Passkeys klinken als een eenvoudige vervanger voor wachtwoorden: je ontgrendelt je telefoon of laptop en je bent binnen. Voor een klein team zit de echte vraag echter een stap verder. Wat gebeurt er als iemand zijn telefoon verliest, een laptop wordt gewist of een collega vertrekt? Wie kan herstel regelen, en hoe weet je zeker dat de nieuwe inlogmethode bij alle belangrijke diensten werkt? Een rustige invoering begint daarom niet bij het aanzetten van een instelling, maar bij het uittekenen van de terugweg.

Wat een passkey wel en niet oplost

Een passkey is een inloggegeven dat op een apparaat of in een beveiligde wachtwoordkluis wordt beheerd. De dienst krijgt geen herbruikbaar wachtwoord te zien. Bij het inloggen bewijs je met je apparaat dat je de juiste sleutel bezit en ontgrendel je die lokaal, bijvoorbeeld met een pincode of biometrie. Daardoor wordt een nagemaakt wachtwoord minder bruikbaar voor een aanvaller.

Dat betekent niet dat iedere vorm van fraude verdwijnt. Een aanvaller kan nog steeds proberen je naar een nepwebsite te lokken, je herstelproces te misbruiken of toegang tot je ontgrendelde apparaat te krijgen. Ook verschilt de ondersteuning per dienst en per apparaat. Behandel passkeys dus als een sterke bouwsteen binnen een toegangsbeleid, niet als een magische schakelaar.

Maak een dienstenlijst

Begin met de vijf tot tien diensten die het team dagelijks gebruikt: e-mail, documenten, boekhouding, planning, websitebeheer en klantadministratie. Noteer per dienst wie eigenaar is, welke passkeys worden ondersteund en welke alternatieve herstelroute bestaat. Zet daar ook bij of het om een persoonlijk account of een gedeeld beheerdersaccount gaat. Zo zie je meteen waar invoering eenvoudig is en waar eerst een rol- of eigenaarschapsprobleem moet worden opgelost.

Regel herstel voordat je de eerste sleutel toevoegt

Een herstelroute bestaat uit meer dan een reservewachtwoord in een la. Leg vast wie mag vaststellen dat een apparaat kwijt is, wie de eigenaar van de dienst is en via welk onafhankelijk kanaal je contact opneemt met de leverancier. Gebruik voor die controle geen link of telefoonnummer uit een onverwacht bericht. Een bekend contactpunt in je eigen administratie is betrouwbaarder.

Voor belangrijke accounts werkt een tweede apparaat of een fysieke beveiligingssleutel als aanvullende route. Kies de oplossing op basis van het risico en de praktische situatie. Een team dat op meerdere locaties werkt, kan een sleutel in een beheerde kluis bewaren. Een team met weinig beheerders kan een tweede apparaat bij een aangewezen vervanger registreren. Noteer nooit herstelcodes in hetzelfde document als de gebruikersnaam en maak duidelijk wie de toegang mag gebruiken.

Test met een gewone gebruiker

Maak een proef met een account dat geen beheerder is. Log in op een tweede apparaat, verwijder tijdelijk een lokale sleutel en doorloop de herstelprocedure. Meet niet alleen of het technisch lukt, maar ook hoe lang het duurt en welke informatie ontbreekt. Laat iemand die niet bij de voorbereiding was de stappen uitvoeren. Onduidelijkheid die tijdens deze test naar voren komt, is precies de reden om nog niet breed uit te rollen.

  • Leg het onafhankelijke contactpunt vast.
  • Bewaar een tweede herstelroute buiten het dagelijkse apparaat.
  • Controleer of herstel de juiste persoon terugbrengt en geen brede beheertoegang geeft.
  • Noteer datum, eigenaar en uitkomst van de test.

Voer passkeys in kleine stappen in

Begin met een dienst die belangrijk is, maar niet direct alle bedrijfsprocessen stillegt. Laat twee teamleden deelnemen: een gebruiker en de persoon die toegang beheert. Maak één passkey aan, test een nieuwe sessie en controleer daarna of de bestaande beveiligingsinstellingen nog kloppen. Pas wanneer de route begrijpelijk is, nodig je de rest uit.

Gebruik duidelijke taal in de interne instructie. Zeg waar iemand de passkey maakt, hoe die lokaal wordt ontgrendeld en wat diegene moet doen bij verlies. Vermijd de belofte dat een vingerafdruk of gezichtsscan naar de website wordt gestuurd. Biometrie ontgrendelt doorgaans het lokale apparaat; de precieze verwerking blijft afhankelijk van de gebruikte oplossing en instellingen.

Maak onderscheid tussen sleuteltypes

Een gesynchroniseerde passkey kan op meerdere apparaten beschikbaar komen via een beveiligde kluis. Dat is praktisch voor medewerkers die wisselen tussen laptop en telefoon. Een apparaatgebonden sleutel blijft juist aan één apparaat gekoppeld en kan passend zijn voor een zwaar beschermd beheerdersaccount. Er is geen universeel beste keuze. Kijk naar de gevoeligheid van de dienst, de apparaten die het team beheert en de kwaliteit van het herstelproces.

Neem apparaatverlies en vertrek mee

Bij een verloren telefoon trek je actieve sessies in, markeer je het apparaat als kwijt in het beheer en controleer je welke andere sleutels nog geldig zijn. Wacht niet tot iemand weet of het apparaat werkelijk wordt teruggevonden. Bij vertrek verwijder je de passkey uit het account waar dat kan, trek je sessies in en controleer je gedeelde beheertoegang. Draag documenten, automatiseringen en dienst-eigenaarschap over voordat je het account definitief sluit.

Plan ieder kwartaal een korte controle. Vraag per belangrijke dienst: wie kan erin, welke sleutel hoort bij welke persoon, en kan een vervanger vandaag herstellen? Een lijst met drie kolommen is genoeg: dienst, eigenaar en hersteltest. Zo blijft de overstap een beheersbaar werkproces in plaats van een eenmalig project.

De invoerchecklist

  1. Inventariseer diensten, accounts en beheerders.
  2. Beschrijf een onafhankelijk herstelpad.
  3. Kies een proefdienst en test met twee apparaten.
  4. Leg instructies vast in gewone taal.
  5. Regel verloren apparaten en vertrek vóór de brede uitrol.
  6. Herhaal de controle ieder kwartaal.

Wie deze volgorde aanhoudt, krijgt het belangrijkste voordeel van passkeys: minder afhankelijkheid van herbruikbare wachtwoorden zonder nieuwe onzekerheid rond herstel. Voor bredere toegangsafspraken kun je ook digitale toegang in je team goed regelen en de keuze voor nieuwe hulpmiddelen toetsen met de praktische AI-toolcheck.