Inloggen met een wachtwoord voelt hopeloos achterhaald. We verzinnen ingewikkelde reeksen met vreemde leestekens, vergeten ze weer en trappen ondanks alle waarschuwingen nog steeds massaal in phishingmails. De passkey moet daar korte metten mee maken.
In plaats van een ingetypte code log je in met je vingerafdruk, gezichtsherkenning of een hardware-sleutel. Geen gedoe dus met wachtwoorden onthouden en technisch onmogelijk om te phishen. Voor bedrijven klinkt dat als de heilige graal, maar in de praktijk vraagt de overstap om meer dan alleen een vinkje zetten.
In de kern is een passkey een digitale sleutel die permanent op je toestel staat. Waar je bij een klassiek account een wachtwoord deelt met een server — die vervolgens kan uitlekken of worden onderschept — werkt een passkey met een cryptografisch sleutelpaar. Op een smartphone, laptop of digitale kluis bevindt zich de geheime sleutel, terwijl de website of clouddienst alleen een openbaar slotje krijgt. Pas zodra je als gebruiker lokaal ontgrendelt met bijvoorbeeld Touch ID of Windows Hello, past de sleutel op het slot en ben je binnen.
De technologie leunt op de officiële standaarden van de FIDO Alliance en het World Wide Web Consortium (W3C). Omdat grote spelers als Apple, Google en Microsoft er gezamenlijk de schouders onder hebben gezet, zit de techniek tegenwoordig standaard ingebouwd in vrijwel elk modern besturingssysteem en elke courante browser.
Waarom phishing geen kans meer maakt
Het grootste zakelijke voordeel laat zich raden: passkeys trekken direct de angel uit phishing. Zelfs een alerte werknemer kan zich vergissen en inloggegevens achterlaten op een levensechte namaakpagina van Microsoft 365 of Google Workspace. Met een passkey kan dat letterlijk niet. Zo’n sleutel is namelijk onlosmakelijk gekoppeld aan het exacte webadres van de dienst.
Staat een collega op een malafide domein dat er identiek uitziet, dan herkent de browser het verschil meteen. Het apparaat weigert dan simpelweg om de sleutel aan te spreken. Omdat er geen wachtwoord bestaat om in te tikken en geen eenmalige sms-code om door te sturen, valt er voor een crimineel niets buit te maken. Zelfs als hackers inbreken bij de cloudprovider zelf, vissen ze achter het net. De openbare sleutels die daar opgeslagen liggen, zijn zonder de fysieke apparaten van het personeel volkomen waardeloos.
De keuze tussen gemak en maximale controle
Voor organisaties zit het voornaamste technische dilemma in het type passkey dat je toestaat. Er zijn grofweg twee smaken, namelijk gesynchroniseerde passkeys en hardware-sleutels. Die keuze bepaalt hoe soepel je personeel werkt en hoeveel grip de IT-afdeling houdt.
Gesynchroniseerde passkeys reizen versleuteld mee via de cloud, bijvoorbeeld via iCloud-sleutelhanger, Google Wachtwoordbeheerder of een zakelijke wachtwoordkluis. Maakt een medewerker op kantoor een passkey aan op zijn MacBook, dan kan hij thuis direct inloggen op zijn iPhone. Dat werkt vliegensvlug, maar brengt ook compliancerisico’s mee. Als IT wil je immers voorkomen dat zakelijke toegangssleutels ongemerkt belanden op privégadgets van het gezin.
Ook moet er goed worden nagedacht over de policy bij uitdiensttreding. Bij een regulier wachtwoord wijzigt de beheerder de toegang en staat de oud-medewerker buiten. Staat er echter een gesynchroniseerde passkey in een persoonlijke Apple- of Google-omgeving, dan blijft dat cryptografische bestand achter op het privétoestel. Het afdwingen van Mobile Device Management (MDM) of een zakelijk beheerde kluis is daardoor bittere noodzaak.
Voor risicovolle functies of sectoren met strenge regelgeving zijn er fysieke tokens. Denk aan de bekende USB- en NFC-sleutels van partijen zoals Yubico. De sleutel zit daarin fysiek opgesloten in een chip en kan het apparaatje met geen mogelijkheid verlaten. Dat biedt absolute zekerheid, maar kost meer en vraagt om een logistiek proces voor provisioning en vervanging.
Lees ook: Wat is een goed wachtwoordbeleid anno 2026?
Welke aanbieders verdelen de markt?
Wie zakelijk aan de slag wil, ziet al snel een duidelijke verdeling in het aanbod. Aan de basis staan uiteraard de techreuzen zelf. Werk je volledig in een Microsoft-omgeving, dan kun je via Microsoft Entra ID al direct wachtwoordloos inloggen met Windows Hello. Handig, maar het houdt gebruikers wel stevig vast in het eigen ecosysteem.
Veel bedrijven kiezen daarom voor gespecialiseerde wachtwoordkluizen als neutrale tussenlaag. Pakketten zoals 1Password, Bitwarden en Dashlane hebben passkeys volledig omarmd. Het grote voordeel is dat ze platformonafhankelijk werken. Een medewerker switcht probleemloos tussen een Windows-desktop, een iPad en een Linux-server, terwijl de beheerder via één dashboard ziet wie toegang heeft tot welke systemen.
Voor de allergrootste enterprise-omgevingen spelen partijen als Okta en Cisco Duo een hoofdrol. Zij richten zich vooral op geavanceerde toegangsregels: pas inloggen met een passkey als het apparaat up-to-date is, zich binnen een goedgekeurde regio bevindt en voldoet aan alle complianceregels.
De praktijk is weerbarstiger dan de theorie
Toch is het niet allemaal rozengeur en maneschijn. Wie vandaag besluit om morgen alle wachtwoorden te schrappen, loopt gegarandeerd tegen muren op. De grootste drempel zit paradoxaal genoeg in het succes van het concept: passkeys zijn namelijk zo ontworpen dat ze strikt persoonlijk zijn.
Dat wringt binnen afdelingen waar inloggegevens worden gedeeld. Denk aan een gezamenlijk LinkedIn-account voor corporate marketing of generieke licenties voor specialistische software. Een wachtwoord plak je desnoods nog op een Post-it of deel je via de kluis; zomaar even een passkey doorgeven kan bewust niet zonder gespecialiseerde tools die dat ondersteunen.
Daarnaast is er het vraagstuk rondom verlies van apparaten. Wat als een accountmanager zijn laptop in de trein laat liggen of zijn fysieke YubiKey kwijtraakt? Zonder een strakke fallback-procedure staat die medewerker direct buitenspel. Als de servicedesk vervolgens te makkelijk een tijdelijk wachtwoord uitdeelt om de boel te resetten, wordt de opgebouwde veiligheid aan de achterkant weer net zo hard afgebroken.
Tot slot ondersteunt simpelweg nog lang niet elk pakket de techniek. De meeste moderne SaaS-oplossingen zijn er klaar voor, maar oudere boekhoudsoftware, interne portalen en sectorspecifieke tools lopen vaak jaren achter. Een volledige overstap naar een wachtwoordloze werkvloer blijft voorlopig dan ook een illusie.
Hoe pak je de overstap aan?
Wie slim is, kiest voor een gefaseerde tussenoplossing. Laat de verouderde randapplicaties nog even links liggen en focus je op de centrale inlogomgeving waar personeel ’s ochtends begint. Dwing je daar passkeys of fysieke tokens af, dan snijd je de gevaarlijkste route voor kwaadwillenden meteen af.
Voor de rest van het softwarelandschap blijft een degelijke wachtwoordmanager voorlopig noodzakelijk gereedschap. Laat medewerkers overstappen op passkeys waar het kan, maar vang verouderde pakketten op met sterke, uniek gegenereerde wachtwoorden in dezelfde kluis. Zo pluk je direct de vruchten van betere security en een forse afname van het aantal helpdesktickets voor vergeten inlogcodes, zonder dat de organisatie operationeel vastloopt.