Het einde van het wachtwoord: passkeys nemen de inlog over

Security · Authenticatie · Passkeys Het einde van het wachtwoord: passkeys nemen de inlog over Apple, Google en Microsoft willen het wachtwoord uitfaseren. In de plaats komt de passkey: een inlog op basis van cryptografie die je niet kunt vergeten en niet valt te phishen. Afbeelding: Tony Webster from Minneapolis, Minnesota, United States via Wikimedia Commons, CC BY 2.0 Het wachtwoord bestaat al sinds de jaren zestig en is nog altijd de zwakste schakel in bijna elke inbraak. We hergebruiken ze, kiezen te simpele varianten, en trappen in nepmails die ons naar een valse inlogpagina lokken. Al decennia beloven bedrijven een opvolger. Nu lijkt die er eindelijk te zijn, en de grote platforms zetten er vol op in. De sleutel heet passkey. In 2025 zette Microsoft een opvallende stap: nieuwe consumentenaccounts zijn er standaard wachtwoordloos, met de passkey als voorkeursmethode om in te loggen. Google maakte de passkey al eerder de standaard-optie voor persoonlijke accounts. Daarmee is het geen niche-experiment meer, maar de richting waarin de hele branche beweegt. 2013Oprichting van de FIDO Alliance, de standaard achter passkeys 0Wachtwoorden die je nog hoeft te onthouden of in te typen ~80%Aandeel datalekken dat te maken heeft met zwakke of gestolen wachtwoorden Wat is een passkey precies? Een passkey is geen tekst die je onthoudt, maar een paar digitale sleutels. Bij het aanmaken genereert je apparaat twee sleutels die wiskundig aan elkaar gekoppeld zijn: een privésleutel en een publieke sleutel. Dit heet publieke-sleutelcryptografie, dezelfde techniek die het slot naast een adres in je browser mogelijk maakt. De verdeling is het hele punt. De publieke sleutel gaat naar de website of dienst en mag daar rustig blijven staan: er valt niets mee te doen zonder de bijbehorende privésleutel. Die privésleutel verlaat nooit je telefoon, laptop of hardwaresleutel. Bij het inloggen stuurt de dienst een uitdaging (een willekeurige reeks), je apparaat ondertekent die met de privésleutel, en de dienst controleert de handtekening met de publieke sleutel. Er reist dus nooit een geheim over de lijn dat een aanvaller kan onderscheppen. Zo verloopt een passkey-inlog Het geheim (de privésleutel) blijft altijd op je apparaat Jouw apparaat privésleutel + biometrie De dienst publieke sleutel 1. dienst stuurt uitdaging 2. jij stuurt een ondertekend antwoord terug Ontgrendelen doe je met iets wat je al hebt: je vingerafdruk, gezichtsscan of de pincode van je apparaat. Belangrijk detail: die biometrie verlaat je apparaat niet en gaat niet naar de dienst. Ze dient alleen om lokaal te bewijzen dat jij het bent, waarna het apparaat de privésleutel mag gebruiken. Waarom dit veiliger is De grootste winst zit in bestandheid tegen phishing. Een passkey is vastgeklonken aan het exacte domein waarvoor hij is gemaakt. Kom je op een namaaksite die net iets anders heet, dan weigert je apparaat simpelweg te tekenen. Bij een wachtwoord kun je zelf, met de beste bedoelingen, je gegevens in het verkeerde vak typen. Bij een passkey kan dat technisch niet. Daarbovenop komt dat er aan de serverkant geen bruikbaar geheim ligt. Wordt een dienst gehackt, dan buit de aanvaller hooguit een berg publieke sleutels. Zonder de privésleutels op de individuele apparaten heeft hij daar niets aan. Vergelijk dat met de eindeloze lekken van wachtwoord-databases, waarna hergebruikte wachtwoorden op tientallen andere sites geprobeerd worden. Een wachtwoord is een geheim dat je deelt met een dienst. Een passkey is een geheim dat je nooit deelt, en juist dat maakt het verschil. Synchroniseren tussen je apparaten Een terechte zorg: als de privésleutel alleen op mijn telefoon staat en die valt in het toilet, ben ik dan buitengesloten? Nee. De grote platforms synchroniseren passkeys versleuteld via de cloud. Bij Apple gaat dat via de iCloud-sleutelhanger, bij Google via de Google-wachtwoordmanager, en bij Microsoft via Windows Hello en het Microsoft-account. Koop je een nieuw toestel binnen hetzelfde ecosysteem, dan komen je passkeys mee. Ook onafhankelijke wachtwoordmanagers zoals 1Password en Bitwarden slaan inmiddels passkeys op en delen ze over besturingssystemen heen. Wil je maximale scheiding, dan bestaan er fysieke hardwaresleutels (denk aan een USB- of NFC-stick) waarop de passkey nooit de cloud in gaat. Handig voor wie zeer gevoelige accounts beschermt. Het is nog geen gelopen race Passkeys zijn een grote stap vooruit, maar de overgang is rommelig. Niet elke website ondersteunt ze, en de manier waarop je een passkey aanmaakt of overzet verschilt per platform. Wisselen tussen ecosystemen (van iPhone naar Android bijvoorbeeld) is nog niet zo soepel als het overtypen van een wachtwoord, al werkt de FIDO Alliance aan een standaard om passkeys tussen managers te verhuizen. Praktisch advies: zet een passkey aan voor je belangrijkste accounts (e-mail, bank, cloudopslag), maar verwijder je bestaande wachtwoord nog niet meteen. Zolang de ondersteuning wisselend is, is een sterk wachtwoord in een wachtwoordmanager plus twee-factor je terugvaloptie. En let op de valkuil van vergrendeling: leun je volledig op één ecosysteem, dan zit je aan die aanbieder vast voor je hele sleutelbos. Een losstaande wachtwoordmanager die passkeys ondersteunt houdt je vrijer om later te wisselen. Wat dit betekent De richting is duidelijk. Grote diensten als Amazon, PayPal, GitHub en WhatsApp bieden passkeys al aan, en de platforms duwen nieuwe gebruikers standaard die kant op. Het wachtwoord verdwijnt niet volgend jaar, maar de rol ervan krimpt zichtbaar: van hoofdslot naar noodsleutel achter glas. Voor de gemiddelde gebruiker betekent dat vooral minder gedoe en minder risico, twee dingen die zelden samengaan in beveiliging. Het advies is simpel: kom je een knop tegen om een passkey aan te maken, doe het. Je toekomstige zelf, die geen wachtwoord meer hoeft te bedenken en niet meer in een nepmail trapt, zal je dankbaar zijn. Bronnen FIDO Alliance, uitleg over passkeys: fidoalliance.org/passkeys Google Security Blog, passkeys als standaard: blog.google Microsoft, wachtwoordloos en passkeys: microsoft.com/security Apple Support, passkeys gebruiken: support.apple.com/102195 W3C, WebAuthn-standaard: w3.org/TR/webauthn-2

Het einde van het wachtwoord: passkeys nemen de inlog over

Reacties 0

Meer tech artikelen

Kernfusie verlaat het lab: de race naar de eerste fusiestroom

Rode lijnen voor AI: de deadline die eind 2026 nadert

Modelseizoen: waarom AI nu bijna elke week een nieuw brein lanceert