Wachtwoorden zijn bijna altijd de zwakste schakel in elke beveiligingsstrategie. Dat zien we meer en meer door datalekken, ransomware-aanvallen en phishingcampagnes. Passkeys zijn op elk vlak veel veiliger.
Wachtwoorden zijn een van de grootste beveiligingsrisico’s in bedrijven. Niet omdat beheerders er zelf slecht mee omgaan, maar omdat ze afhankelijk zijn van gebruikers die het niet zo nauw nemen met wachtwoordvereisten. Wachtwoorden hergebruiken, te zwakke wachtwoorden kiezen, phishingmails niet herkennen: het zijn fouten die telkens weer leiden tot veiligheidsincidenten. Passkeys lossen die problemen op.
Geen gedoe met onveilige wachtwoorden
De cijfers liegen er niet om. In 2024 werden honderden Belgische bedrijven en bedrijven getroffen door ransomware en andere cyberaanvallen. Het derde kwartaal van 2025 was bij Belgische organisaties goed voor 1.249 cyberaanvallen te verwerken, een verdubbeling vergeleken met vijf jaar eerder.
In veel gevallen kan de aanval uitgevoerd worden door hetzelfde probleem: gestolen of gekraakte inloggegevens. Bij een cyberaanval op Snowflake bleek dat aanvallers via gelekte wachtwoorden toegang kregen tot tientallen klantomgevingen zonder een kwetsbaarheid bij Snowflake zelf. Het onveilige wachtwoord van de klanten was de boosdoener.
Dichter bij huis toonde een onderzoek naar Belgische wachtwoorden aan dat een groot deel ervan binnen het uur te kraken is met standaard aanvalstechnieken. Moderne GPU’s zouden er zelfs binnen drie uur complexe wachtwoorden achterhalen. Ook gerespecteerde instanties zoals bijvoorbeeld het Louvre, waarvan je zou denken dat de beveiliging op orde is, gebruikte jarenlang ‘Louvre’ als wachtwoord.
Cryptografische sleutels
Passkeys werken anders. Ze maken gebruik van unieke cryptografische sleutels. Deze sleutels worden lokaal op een apparaat opgeslagen en zijn gekoppeld aan biometrische gegevens zoals een vingerafdruk of gezichtsherkenning. In theorie bieden passkeys een ondoordringbare beveiliging tegen phishing en andere hacks.
Zonder de privésleutel van het apparaat van de gebruiker kunnen aanvallers nergens inloggen met gestolen gegevens.
Zelfs als een aanvaller de volledige database van een bedrijf buitmaakt, heeft hij daar niks aan. Zonder de privésleutel van het apparaat van de gebruiker kan hij nergens inloggen. Daarmee verdwijnt een groot aanvalsoppervlak dat verantwoordelijk is voor een groot deel van alle datalekken.
Minder last, meer controle
Naast de extra beveiliging is er nog een voordeel dat vaak wordt vergeten: passkeys verminderen de werkdruk op IT-afdelingen. Het resetten van wachtwoorden is bij de meeste bedrijven een van de meest voorkomende helpdesktaken.
Wachtwoorden zouden in principe al tot het verleden moeten behoren.
Medewerkers vergeten wachtwoorden, worden geblokkeerd na te veel foute inlogpogingen of raken verward omdat het wachtwoord elke drie maanden veranderd moet worden. Het gebruik van wachtwoordmanagers, applicaties die je bestaande wachtwoorden kunnen bijhouden of nieuwe wachtwoorden kunnen genereren, blijkt ook niet de veiligste oplossing.
Met passkeys is dat allemaal verleden tijd. De authenticatie gebeurt via iets wat de gebruiker al bij zich heeft: biometrie. Een smartphone of een laptop met gezichtsherkenning of een vingerafdruklezer zorgt voor biometrische verificatie en genereert daarmee meteen een lokale beveiligingssleutel. Dat brengt ook voordelen met zich voor op vlak van compliance. Regelgevingen zoals NIS2, die Belgische bedrijven in sectoren verplicht om hun cyberbeveiliging op orde te brengen, sturen aan op sterke authenticatie.
Waarom zijn ze nog niet algemeen in gebruik?
De uitdaging om passkeys te implementeren gaat er vooral om dat ze (nog) niet ondersteund worden door bepaalde systemen. Voor legacy-systemen zijn er oplossingen via Microsoft Entra of Okta, die een brug slaan tussen moderne authenticatie en oudere applicaties. Het gebruiksgemak valt in de praktijk mee: wie ooit Touch ID of Face ID heeft gebruikt, weet hoe snel dat gaat. Het vraagt ook voor een overstap van de gebruiker, die misschien onterecht nog te hard op zijn zelfgekozen wachtwoord vertrouwt.
De grote spelers zijn wel al begonnen aan die overstap. Microsoft laat nieuwe accounts standaard zonder wachtwoord aanmaken en duwt bestaande gebruikers richting passkeys via Windows Hello en tot voor kort ook via de Authenticator-app. Google doet hetzelfde via Android en Chrome, en breidde de ondersteuning recent uit naar het Advanced Protection Program. Apple integreert passkeys ook in iOS en macOS, net zoals Meta bij WhatsApp en Facebook.
Hoe sneller overstappen, hoe beter
Wachtwoorden verdwijnen niet van de ene dag op de andere, en een hybride omgeving waarbij passkeys en wachtwoorden voorlopig nog naast elkaar bestaan is voor de meeste bedrijven een goeie optie. Elke aanval die vertrekt vanuit gestolen inloggegevens, elke ransomware-aanval die begon met een phishingmail, elke helpdeskcall over een vergeten wachtwoord … Ze bewijzen eigenlijk allemaal hetzelfde. Wachtwoorden zouden in principe al tot het verleden moeten behoren. De vraag voor IT-beheerders is dus niet of ze overstappen naar passkeys, maar wanneer en op welke manier ze dat gaan doen.