Inloggen met een wachtwoord en daarna een code per sms ontvangen. Voor veel medewerkers is dit een vertrouwde manier om toegang te krijgen tot Microsoft 365.
Daar komt verandering in.
Microsoft maakt passkeys de standaard binnen Microsoft Entra ID. Tegelijkertijd stopt Microsoft op 1 februari 2027 met het zelf leveren van sms-berichten en telefonische oproepen voor authenticatie.
Dat klinkt misschien als een technische wijziging die Microsoft automatisch regelt. In werkelijkheid raakt deze overgang veel meer: het dagelijks inloggen, wachtwoordherstel, de servicedesk, gastgebruikers, beveiligingsbeleid en de communicatie naar medewerkers.
Daarom is het verstandig om nu al te controleren of je organisatie er klaar voor is.
Wat is een passkey?
Een passkey is een moderne en phishingbestendige manier van inloggen. In plaats van een wachtwoord of overgetypte verificatiecode gebruikt een medewerker bijvoorbeeld:
- Gezichtsherkenning
- Een vingerafdruk
- De pincode van een apparaat
- Microsoft Authenticator
- Windows Hello
- Een fysieke FIDO2-beveiligingssleutel
Een passkey werkt met cryptografische sleutels. De privésleutel blijft veilig op het apparaat van de gebruiker en wordt niet tijdens het inloggen over het internet verstuurd.
Bovendien is een passkey gekoppeld aan de echte website of applicatie waarvoor hij is aangemaakt. Een aanvaller kan de gebruiker daardoor niet eenvoudig verleiden om zijn passkey op een nagemaakte Microsoft-inlogpagina te gebruiken.
Dat maakt passkeys een stuk beter bestand tegen phishing, sim-swapping en het onderscheppen van codes.
Waarom stopt Microsoft met sms en telefonisch inloggen?
Sms en telefonische verificatie waren jarenlang een belangrijke verbetering ten opzichte van alleen een wachtwoord. Toch behoren ze inmiddels tot de zwakkere authenticatiemethoden.
Een sms-code kan worden onderschept of door een medewerker worden doorgegeven aan iemand die zich voordoet als een betrouwbare partij. Ook kan een telefoonnummer via sim-swapping worden overgenomen.
Microsoft wil organisaties daarom laten overstappen op phishingbestendige methoden zoals passkeys, Windows Hello en FIDO2-beveiligingssleutels.
De verandering is dus goed uit te leggen. De uitvoering vraagt alleen meer voorbereiding dan simpelweg één instelling aanzetten.
De belangrijkste datums
Microsoft voert de verandering in verschillende stappen door.
1 september 2026
Gebruikers die binnen de Authentication Methods Policy of de oude MFA-instellingen toegang hebben tot sms of spraak, worden automatisch geschikt gemaakt voor passkeys.
De registratiecampagne wordt door Microsoft beheerd en kan gebruikers tijdens het inloggen vragen om een passkey te registreren.
Daarbij wordt mogelijk een bredere groep benaderd dan alleen de medewerkers die daadwerkelijk via sms of telefonisch inloggen. De door Microsoft beheerde campagne kan namelijk alle gebruikers meenemen die geschikt zijn voor MFA.
18 september 2026
Microsoft maakt bekend welke externe telecomproviders beschikbaar komen voor organisaties die sms of spraakverificatie willen blijven gebruiken. Ook worden dan meer details over prijzen en voorwaarden gepubliceerd.
30 oktober 2026
Vanaf deze datum kunnen organisaties een ondersteunde telecomprovider selecteren en configureren.
Microsoft adviseert deze mogelijkheid alleen te gebruiken wanneer er een aantoonbare technische, operationele of wettelijke reden is om sms of spraak te behouden.
1 februari 2027
Microsoft stopt met de eigen levering van sms-berichten en telefonische oproepen voor authenticatie.
Gebruikers die dan uitsluitend deze methoden hebben, moeten tijdens het inloggen eerst een passkey registreren voordat zij verder kunnen. Deze stap kan vanaf die datum niet meer worden uitgesteld.
De volledige planning staat in de officiële aankondiging van Microsoft.
Geen meldingen betekent niet dat je klaar bent
Microsoft kan gebruikers tijdens het inloggen vragen om een passkey te registreren. Toch krijgt niet iedereen die melding op hetzelfde moment.
Dat komt onder andere doordat:
- De melding niet verschijnt wanneer een gebruiker via Single Sign-On is aangemeld
- Een bestaande lokale passkey de melding kan onderdrukken
- De werking verschilt per apparaat, besturingssysteem en browser
- Bepaalde instellingen in het passkeyprofiel de campagne kunnen beperken
- Conditional Access de registratie kan blokkeren
- Niet ieder mobiel aanmeldpad hetzelfde wordt ondersteund
Een medewerker kan daardoor op een Windows-laptop geen melding krijgen en op een telefoon of Mac wel.
Weinig vragen bij de servicedesk betekenen dus niet automatisch dat iedereen al goed is overgestapt. De enige betrouwbare manier om de voortgang te bepalen, is door de ingestelde en werkelijk gebruikte authenticatiemethoden actief te controleren.
Medewerkers kunnen de registratie voorlopig uitstellen
Binnen de door Microsoft beheerde registratiecampagne kunnen gebruikers de melding voorlopig overslaan. Daarna kan de melding opnieuw verschijnen.
Dat voorkomt dat iedereen direct bij de servicedesk aanklopt, maar brengt ook een risico met zich mee: medewerkers kunnen de registratie blijven uitstellen totdat deze op 1 februari 2027 verplicht wordt.
Een automatische campagne vervangt daarom geen communicatie- en migratieplan.
Medewerkers moeten vooraf weten:
- Waarom de verandering plaatsvindt
- Welke passkey zij moeten kiezen
- Op welk apparaat zij de passkey mogen opslaan
- Wat zij moeten doen als de registratie niet lukt
- Bij wie zij terechtkunnen voor ondersteuning
Vergeet wachtwoordherstel niet
De grootste uitdaging zit mogelijk niet bij MFA, maar bij Self-Service Password Reset: de mogelijkheid waarmee medewerkers zelf hun wachtwoord herstellen.
Vanaf 7 september 2026 accepteert Microsoft hiervoor alleen nog authenticatiemethoden die daadwerkelijk door de gebruiker zijn geregistreerd. Een telefoonnummer of alternatief e-mailadres dat alleen als eigenschap bij het account staat, telt dan niet meer automatisch mee.
Wanneer je wachtwoordherstel twee verschillende controlemethoden vereist en sms of telefonische verificatie wegvalt, kunnen er te weinig geschikte methoden overblijven.
Passkeys lossen dat niet automatisch op. Zolang medewerkers voor bepaalde applicaties nog een wachtwoord gebruiken, blijft een veilig herstelproces nodig.
Controleer daarom onder andere:
- Hoeveel controlemethoden voor wachtwoordherstel verplicht zijn
- Welke methoden medewerkers werkelijk hebben geregistreerd
- Of sms, voice of een extern e-mailadres nog onderdeel is van het proces
- Hoe een medewerker wordt geïdentificeerd wanneer de servicedesk moet helpen
- Hoe verloren of vervangen apparaten worden afgehandeld
Een Temporary Access Pass kan onderdeel zijn van een modern herstelproces. Maar ook dan moet de servicedesk met zekerheid kunnen vaststellen dat de juiste persoon om toegang vraagt.
De menselijke controle wordt daarmee een belangrijk onderdeel van de beveiliging.
Kun je de automatische verandering uitstellen?
Microsoft biedt een tijdelijke mogelijkheid om niet automatisch aan de passkeycampagne deel te nemen.
Dat kan nuttig zijn wanneer je eerst met medewerkers wilt communiceren, beleid wilt aanpassen of een gecontroleerde pilot wilt uitvoeren. Het is echter geen manier om de wijziging definitief te voorkomen.
Vanaf 1 februari 2027 vervalt dit uitstel. Organisaties die hiervan gebruikmaken, moeten daarom meteen vastleggen:
- Wie verantwoordelijk is voor de migratie
- Wanneer de pilot plaatsvindt
- Wanneer medewerkers worden geïnformeerd
- Wanneer het tijdelijke uitstel wordt beëindigd
- Hoe de voortgang wordt gecontroleerd
Uitstellen zonder plan verschuift het probleem alleen naar de deadline.
Kan sms toch behouden blijven?
Voor organisaties met een aantoonbare noodzaak biedt Microsoft de mogelijkheid om een externe telecomprovider te gebruiken.
Dat is meer dan alleen een ander sms-abonnement afsluiten. De organisatie wordt zelf verantwoordelijk voor de providerrelatie, de configuratie, de regionale dekking, de kosten en het monitoren van de dienst.
Bovendien wordt sms als primaire aanmeldmethode niet opnieuw ondersteund. Ook niet wanneer een externe provider wordt gebruikt.
Voor de meeste organisaties is een telecomprovider daarom vooral een tijdelijke of beperkte achtervang voor een specifieke groep gebruikers. Microsoft blijft adviseren om waar mogelijk voor passkeys te kiezen.
Meer informatie hierover staat in de Microsoft-uitleg over externe telecomproviders.
Wat moet je organisatie nu doen?
Wij adviseren om de overgang in deze volgorde aan te pakken.
1. Inventariseer het werkelijke gebruik
Controleer welke gebruikers sms of voice mogen gebruiken én wie deze methoden de afgelopen maanden daadwerkelijk heeft gebruikt.
Neem ook beheerders, externe medewerkers, gastgebruikers en bijzondere accounts mee.
2. Controleer het wachtwoordherstel
Bekijk Self-Service Password Reset voordat je alleen naar MFA kijkt. Controleer of medewerkers na het verdwijnen van sms en voice nog voldoende geregistreerde methoden hebben.
3. Bepaal welke passkeys je toestaat
Kies bewust tussen gesynchroniseerde en apparaatgebonden passkeys. Houd daarbij rekening met zakelijke en privéapparaten, mobiele medewerkers, gedeelde werkplekken en accounts met verhoogde rechten.
4. Voer een realistische pilot uit
Test niet alleen op een standaard beheerde Windows-laptop. Test ook mobiele apparaten, Macs, browsers zonder bestaande SSO-sessie en situaties waarin een medewerker nog geen geschikte lokale passkey heeft.
5. Regel herstel en ondersteuning
Leg vast wat er gebeurt bij verlies, diefstal of vervanging van een apparaat. Zorg ook voor een betrouwbaar identificatieproces bij de servicedesk.
6. Werk beleid en instructies bij
Controleer het authenticatiebeleid, onboardingproces, beveiligingsdocumentatie, ISO 27001-documentatie en de instructies van de servicedesk.
Als daarin nog staat dat MFA via sms verloopt, is die documentatie straks niet meer correct.
7. Communiceer vóórdat medewerkers meldingen krijgen
Laat de eerste passkeymelding niet de eerste uitleg zijn die een medewerker over deze verandering ontvangt.
Hoe helpt Analyst ICT?
Analyst ICT kan je Microsoft 365- en Entra ID-omgeving controleren en inzichtelijk maken welke gebruikers nog afhankelijk zijn van sms of telefonische verificatie.
Vervolgens helpen wij met:
- Het analyseren van de huidige authenticatiemethoden
- Het controleren van Self-Service Password Reset
- Het bepalen van een passende passkeystrategie
- Het configureren van Microsoft Entra ID en Conditional Access
- Het uitvoeren van een pilot
- Het opstellen van gebruikerscommunicatie
- Het inrichten van herstel- en noodprocedures
- Het actualiseren van beleid en servicedeskinstructies
Passkeys maken inloggen veiliger en uiteindelijk ook eenvoudiger. Maar de overstap raakt meer dan alleen het inlogscherm.
Wil je weten of je organisatie klaar is voor 1 februari 2027? Wij brengen het graag voor je in kaart.
Eerst analyseren, dan gecontroleerd overstappen. Eigenlijk superlogisch.
