- Door passkeys in te schakelen, maakt u ze beschikbaar. Voorwaardelijke toegang met een phishingbestendige authenticatiesterkte maakt ze verplicht.
- Gebruik passkey-profielen om elke groep de juiste opties te bieden: geattesteerde, apparaatgebonden authenticatiemiddelen voor beheerders, en gesynchroniseerde passkeys voor het bredere personeelsbestand, uitsluitend indien uw risicobeoordeling dit toestaat.
- Behandel de registratie van passkeys als een gevoelige handeling. Vereis een sterke aanmelding of een Temporary Access Pass met een korte geldigheidsduur, en breng de gebruiker op de hoogte van elke nieuwe passkey.
- Registreer twee authenticatiemiddelen per gebruiker en test het herstelproces voordat u de terugvaloptie op wachtwoorden verwijdert.
In deze handleiding wordt ervan uitgegaan dat u weet wat passkeys zijn en waarom ze bestand zijn tegen phishing. Mocht dat niet het geval zijn, begin dan met onze handleiding over passkeys en wachtwoordloos inloggen.
Kies de juiste Microsoft-optie
Microsoft biedt vier wachtwoordloze opties aan, die gemakkelijk door elkaar kunnen worden gehaald:
- Windows Hello for Business is de aanmeldingsmethode voor pc's die zijn aangesloten bij of geregistreerd in Microsoft Entra, ondersteund door de TPM. Dit blijft de door Microsoft aanbevolen optie voor het aanmelden bij door het bedrijf beheerde Windows-apparaten.
- Microsoft Entra-passkeys op Windows zijn apparaatgebonden FIDO2-passkeys die zijn opgeslagen in de lokale Windows Hello-container. Ze werken op apparaten die niet zijn aangesloten bij of geregistreerd in Entra, niet worden gesynchroniseerd en waarvoor op elk apparaat een afzonderlijke registratie vereist is. Ze melden de gebruiker niet aan bij Windows zelf.
- Passkeys in Microsoft Authenticator zijn apparaatgebonden passkeys die in de app op de telefoon van de gebruiker worden bewaard. Bij een nieuwe telefoon moet een nieuwe passkey worden geregistreerd.
- FIDO2-beveiligingssleutels zijn draagbare, apparaatgebonden authenticators die via USB of NFC worden aangesloten.
Breng de hiaten in kaart voordat u begint
Toepassingen die via SAML of OIDC zijn gekoppeld aan Entra ID, nemen de passkey-aanmelding zonder aanpassingen over. Toepassingen die authenticeren via RADIUS, NTLM, Kerberos met wachtwoorden of hun eigen aanmeldingsformulieren, moeten worden geüpgraded, gemigreerd of via een proxy worden omgeleid.
Single sign-on dekt zelden alle gevallen. Controleer op lokale accounts op servers en netwerkapparaten, nood- en serviceaccounts die van het beleid zijn uitgesloten, verouderde authenticatie-eindpunten die nog steeds wachtwoorden accepteren, en applicaties met een eigen gebruikersdatabase. Elk van deze gevallen vormt een omzeiling van uw passkey-beleid, totdat het wordt verholpen of expliciet als risico wordt geaccepteerd.
Ook apparaatbeheer kent zijn beperkingen. U hebt controle over door het bedrijf beheerde apparaten, maar een gesynchroniseerde passkey in de persoonlijke iCloud- of Google-account van een gebruiker valt buiten uw controle.
Bepaal de soorten passkeys per gebruikersgroep
Eén beleid past zelden voor de hele organisatie. Een uitgangspunt:
| Gebruikersgroep | Aanbevolen authenticatiemiddel | Opmerkingen |
|---|---|---|
| Algemene en bevoorrechte beheerders | Geattesteerde FIDO2-beveiligingssleutels, twee per persoon | Geen gesynchroniseerde passkeys; gekoppeld aan activering van PIM-rol |
| Financiën, HR en andere risicovolle functies | Apparaatgebonden: beveiligingssleutel, Windows Hello for Business of Authenticator | Beperk waar mogelijk tot goedgekeurde authenticatormodellen |
| Algemeen personeelsbestand | Windows Hello for Business op beheerde pc's, plus een passkey op de telefoon | Gesynchroniseerde passkeys zijn toegestaan indien uw risicobeoordeling dit toestaat |
| Gedeelde werkstations en eerstelijnsmedewerkers | Persoonlijke beveiligingssleutels, of Windows Hello for Business op gedeelde apparaten | Deel een passkey nooit met anderen |
| Aannemers en gasten | De phishingbestendige MFA van hun eigen organisatie via cross-tenant trust, of een beveiligingssleutel die u verstrekt | Intrekken bij beëindiging van het contract |
Passkey-profielen, beschikbaar in Entra ID sinds maart 2026, brengen deze tabel in de praktijk: elk profiel bepaalt of een groep apparaatgebonden passkeys, gesynchroniseerde passkeys of beide mag registreren. Dankzij attestatie kan Entra ID bij registratie het merk en model van de authenticator verifiëren. Gesynchroniseerde passkeys bieden geen attestatie, dus als u dit afdwingt, worden ze uitgesloten. Dwing dit af voor gebruikers met verhoogde bevoegdheden en gebruikers met een hoog risico.
Veilige registratie
Wie een passkey registreert, krijgt blijvend toegang. Eis vóór de registratie een recente, sterke aanmelding of een Temporary Access Pass (TAP), leg elke nieuwe registratie vast, breng de gebruiker via een apart kanaal op de hoogte wanneer er een wordt toegevoegd, en bied gebruikers en de servicedesk een snelle manier om geregistreerde passkeys in te zien en in te trekken. Houd de geldigheidsduur van een TAP kort, geef de voorkeur aan eenmalig gebruik en verifieer de identiteit alvorens er een uit te geven.
Passkeys zijn persoonlijk. Geef op gedeelde werkstations elke gebruiker een beveiligingssleutel of gebruik Windows Hello for Business op gedeelde apparaten. Een TAP kan de registratie voor ploegendienstmedewerkers overbruggen zonder dat er opnieuw permanente wachtwoorden hoeven te worden ingevoerd.
Afdwingen met voorwaardelijke toegang
Het inschakelen van passkeys in het beleid voor authenticatiemethoden voorkomt niet dat gebruikers zich aanmelden met zwakkere methoden. Handhaving vindt plaats via voorwaardelijke toegang met een authenticatiesterkte. De ingebouwde sterkte "Phishing-resistant MFA" accepteert passkeys (FIDO2), Windows Hello for Business en op certificaten gebaseerde authenticatie. Een aangepaste sterkte kan dit verder beperken, bijvoorbeeld tot specifieke beveiligingssleutelmodellen die worden geïdentificeerd aan de hand van hun AAGUID.
Begin met beheerdersportalen, e-mail- en financiële applicaties, en breid vervolgens uit. Voor rollen die worden beheerd via Privileged Identity Management dient u bij het activeren van de rol phishingbestendige authenticatie verplicht te stellen, zodat een gestolen sessie voor het standaardaccount van de gebruiker niet kan worden gebruikt om bevoegdheden te escaleren.
Licenties
Voor het registreren en gebruiken van passkeys is geen premiumlicentie vereist. Voor voorwaardelijke toegang en authenticatiesterktes is Microsoft Entra ID P1 vereist. Voor risicogebaseerde beleidsregels, zoals het vereisen van phishingbestendige MFA wanneer het aanmeldingsrisico hoog is, is P2 vereist via Microsoft Entra ID Protection.
Plan het herstel en de levenscyclus
NIST verwacht dat het herstel even sterk is als de authenticator die het vervangt. Een via e-mail verzonden resetlink voldoet niet aan die eis. Plan elk scenario voordat u wachtwoorden verwijdert:
| Scenario | Reactie |
|---|---|
| Verloren apparaatgebonden authenticator | De gebruiker meldt zich aan met zijn tweede geregistreerde authenticator; de verloren authenticator wordt ingetrokken. Zonder back-up volgt een identiteitsgeverifieerde herregistratie via de servicedesk. |
| Verloren telefoon met gesynchroniseerde passkeys | De passkeys blijven op de andere apparaten van de gebruiker staan; de gebruiker beveiligt het account bij de provider en verwijdert de verloren telefoon daaruit. |
| Vermoeden van gecompromitteerde authenticator of synchronisatieaccount | Trek de passkey in in Entra ID, trek sessies en vernieuwingstokens in, controleer recente aanmeldingen en registraties. |
| Reset via de helpdesk | Verifieer de identiteit via een methode die een aanvaller niet gemakkelijk kan vervalsen (videogesprek met identiteitsbewijs, bevestiging door leidinggevende), en verstrek vervolgens een Temporary Access Pass met een korte geldigheidsduur. |
| Herstel van een bevoorrecht account | Goedkeuring door twee personen, identiteitscontrole in persoon of via video, en een controle van de accountactiviteit achteraf. |
| Vertrek | Schakel het account uit en verwijder de passkeys in Entra ID. Een gesynchroniseerde kopie die op een persoonlijk apparaat is achtergebleven, wordt onbruikbaar zodra de inloggegevens op de server zijn verwijderd. |
De meeste passkey-projecten worden voor het eerst met een echt probleem geconfronteerd wanneer een gebruiker zijn enige geregistreerde apparaat kwijtraakt. Laat elke gebruiker bij de start twee authenticatiemiddelen registreren, bijvoorbeeld Windows Hello for Business en een telefoon-passkey, of twee beveiligingssleutels voor beheerders, en breng de servicedesk op de hoogte voordat u de terugval op wachtwoorden voor een groep uitschakelt.
Test en meet
Voer een proef uit met een groep die representatief is voor uw daadwerkelijke gebruikers, niet alleen IT-medewerkers: verschillende rollen, apparaattypen, locaties en toegankelijkheidsbehoeften. Twintig personen gedurende vier weken is een redelijk voorbeeld, geen regel. Test de registratie, het dagelijks inloggen, het inloggen op verschillende apparaten en een gesimuleerd verloren apparaat, inclusief een gebruiker zonder reserve-authenticatiemiddel. Houd vervolgens deze statistieken bij terwijl u opschaalt:
| Meetwaarde | Wat dit u vertelt |
|---|---|
| Gebruikers met ten minste twee geregistreerde, phishingbestendige authenticatiemiddelen | Dekking en veerkracht bij herstel |
| Aanmeldingen voltooid met een phishingbestendige methode | Daadwerkelijk gebruik, niet alleen registratie |
| Aanmeldingen waarbij nog steeds gebruik wordt gemaakt van wachtwoorden, sms of pushberichten, per applicatie | Resterende uitwijkmogelijkheden die moeten worden afgesloten |
| Servicedesk-tickets en de tijd die nodig is om een gebruiker te herstellen die zijn authenticator is kwijtgeraakt | Gebruikersfrictie en de vraag of het herstel in de praktijk werkt |
Vijf stappen om dit kwartaal van start te gaan
- Breng uw authenticatiepaden in kaart: maak een lijst van welke applicaties zijn gekoppeld aan Entra ID en welke nog steeds wachtwoorden accepteren via verouderde protocollen, lokale accounts of uitgesloten accounts.
- Stel passkey-profielen in: geattesteerde, apparaatgebonden authenticatiemiddelen voor beheerders, en een besluit over gesynchroniseerde passkeys voor alle andere gebruikers.
- Zorg voor een veilige registratie en herstelprocedure: vereis sterke authenticatie of een TAP voor registratie, breng gebruikers op de hoogte van nieuwe passkeys en test elk herstelscenario.
- Voer een representatieve pilot uit: twee authenticatiemiddelen per gebruiker, met aanmelding op verschillende apparaten en een test voor het geval een apparaat verloren gaat.
- Handhaaf per risiconiveau: eis eerst de phishingbestendige authenticatiesterkte voor toepassingen met een hoog risico, en stel vervolgens een plan met een tijdschema op om het inloggen met wachtwoorden geleidelijk af te bouwen, groep voor groep.
Ryland levert al meer dan twintig jaar programma's op het gebied van cyberbeveiliging, compliance en IT-beheer voor gereguleerde organisaties in het Verenigd Koninkrijk en Nederland. Bekijk volledig profiel