Een wachtwoord invoeren en daarna een code via sms ontvangen. Voor veel medewerkers is dat inmiddels de normale manier van inloggen. Maar Microsoft kiest binnen Microsoft Entra ID steeds nadrukkelijker voor een veiligere methode: de passkey.
Sinds 1 september 2026 rolt Microsoft passkeys uit als standaard authenticatie-ervaring binnen Microsoft Entra ID. Op 1 februari 2027 volgt een volgende belangrijke verandering: Microsoft stopt dan voor de meeste gebruikers met de eigen telefoondienst voor sms en telefonische authenticatie. Voor Global Administrators en externe gebruikers geldt 1 juli 2027 als einddatum. Interne gastgebruikers vallen wel onder de wijziging van 1 februari.
Gebruik je binnen jouw organisatie nog sms of telefonisch bellen als MFA-methode? Dan is dit een goed moment om je authenticatie opnieuw te bekijken.
Een passkey is een manier om veilig in te loggen zonder afhankelijk te zijn van een traditioneel wachtwoord.
Passkeys gebruiken cryptografische sleutels in plaats van een gedeeld geheim zoals een wachtwoord. Daardoor zijn ze volgens Microsoft van nature bestand tegen phishing.
Binnen de dienstverlening van WSB zetten we waar mogelijk phishing-resistente authenticatiemethoden in, waaronder passkeys. Een passkey kan wachtwoordloos aanmelden mogelijk maken en, bij de juiste inrichting, worden gebruikt als phishing-resistente MFA. De passkey kan bijvoorbeeld worden opgeslagen op een geschikt apparaat of een hardware security key. De gebruiker kan de passkey vervolgens lokaal ontgrendelen met bijvoorbeeld biometrie of een pincode.
Voor een medewerker betekent het vooral dat de manier van aanmelden verandert. Voor de organisatie gaat er een belangrijkere vraag achter schuil: hoe voorkom je dat gestolen inloggegevens een aanvaller toegang geven tot bedrijfsinformatie?
Sms-verificatie was een belangrijke verbetering ten opzichte van alleen een gebruikersnaam en wachtwoord. Toch is niet iedere vorm van MFA even sterk tegen phishing.
Een extra verificatiestap is niet automatisch een phishing-resistente verificatiestap.
Bij sms, telefonische verificatie en andere methoden met een eenmalige code kan een gebruiker nog steeds worden verleid om een geldige code aan een aanvaller door te geven. Een passkey werkt anders. Die gebruikt public-keycryptografie en is zo ontworpen dat een aanvaller de inloggegevens niet via een nagemaakte inlogpagina kan buitmaken.
De ontwikkeling betekent dus niet dat MFA verdwijnt. Integendeel. Microsoft stuurt aan op sterkere vormen van authenticatie.
Dat onderscheid is belangrijk. Vraag daarom niet alleen:
Hebben onze medewerkers MFA?
Maar ook:
Welke vorm van MFA gebruiken onze medewerkers?
Sinds 1 september 2026 worden gebruikers die sms of telefonische verificatie gebruiken automatisch ook voor passkeys ingeschakeld. Tijdens een volgende MFA aanmelding kunnen zij worden gevraagd om een passkey te registreren.
Dat betekent niet dat sms direct is uitgeschakeld. Microsoft gebruikt deze periode om organisaties en gebruikers over te laten stappen op een sterkere manier van aanmelden.
Vanaf 1 februari 2027 levert Microsoft voor de meeste gebruikers niet langer zelf de telefoondienst achter sms en telefonische authenticatie. Organisaties die deze methoden daarna nog nodig hebben, kunnen via de Microsoft Security Store een telecompartner kiezen. De provider kan hiervoor extra kosten rekenen. Voor Global Administrators en externe gebruikers gaat deze wijziging in op 1 juli 2027.
Microsoft adviseert organisaties om gebruikers zo snel mogelijk over te zetten naar passkeys of een andere phishing-resistente authenticatiemethode.
Dat betekent niet dat je zonder voorbereiding instellingen moet aanpassen.
Bepaal eerst hoe authenticatie binnen jouw organisatie nu is ingericht. Een praktische eerste inventarisatie draait om drie vragen:
Zo behandel je passkeys niet als een los technisch snufje, maar als onderdeel van je bredere toegangsbeveiliging.
Sterkere authenticatie maakt de toegang tot bedrijfsgegevens veiliger, maar lost niet ieder securityrisico op.
WSB combineert binnen zijn Security Level Service phishing-resistente MFA met andere beveiligingsmaatregelen. Dat laat vooral zien waarom authenticatie onderdeel moet zijn van een bredere aanpak.
Een organisatie moet niet alleen bedenken hoe iemand inlogt, maar ook wie toegang krijgt, onder welke voorwaarden die toegang wordt toegestaan en welke aanvullende beveiligingsmaatregelen nodig zijn.
Schakel niet zomaar een nieuwe authenticatiemethode in. Breng eerst in kaart hoe medewerkers nu inloggen en wie nog gebruikmaakt van sms of telefonische authenticatie. Kijk vervolgens welke sterkere authenticatiemethode bij je organisatie past en welke uitzonderingen je moet regelen. Microsoft adviseert daarbij een overstap naar passkeys of een andere phishing-resistente methode.
Binnen de Security Level Service richt WSB phishing-resistente MFA in. Afhankelijk van de omgeving en de gekozen inrichting kunnen passkeys daarbij als authenticatiemethode worden ingezet.
Gebruik de verandering bij Microsoft daarom als aanleiding om je huidige authenticatie-inrichting te controleren. Zo weet je niet alleen of je voorbereid bent op de wijzigingen, maar vooral of de toegang tot jouw bedrijfsgegevens passend is beveiligd.
Vul het formulier in en Maurice neemt binnen 24 uur contact met je op. Geen verplichtingen, wel een eerlijk advies.
