Een sms-code als extra controle bij het inloggen voelt vertrouwd, maar is minder veilig dan veel organisaties denken. Microsoft kiest daarom in Entra ID nadrukkelijk voor passkeys: een manier van inloggen waarbij je geen wachtwoord of sms-code meer hoeft over te typen.
Vanaf 1 september 2026 worden passkeys de standaard aanmeldmethode in Microsoft Entra ID. Op 1 februari 2027 stopt Microsoft met de eigen levering van sms- en spraakcodes. Voor MKB-organisaties is dit een goed moment om te controleren wie nog van sms afhankelijk is en de overstap rustig voor te bereiden.
Microsoft voert twee veranderingen door die bij elkaar horen. Vanaf 1 september 2026 begint de gefaseerde uitrol waarbij passkeys de standaard aanmeldervaring in Microsoft Entra ID worden. Gebruikers die voor sms- of spraakverificatie zijn ingeschakeld, worden automatisch ook voor passkeys ingeschakeld. Nadat zij bij een volgende aanmelding multi-factor authenticatie hebben uitgevoerd, krijgen zij het verzoek een passkey te registreren.
Vanaf 1 februari 2027 stopt Microsoft met de eigen telecomlevering voor sms- en spraakverificatie binnen Entra ID. Organisaties die deze methoden toch willen blijven gebruiken, moeten zelf een telecomprovider via de Microsoft Security Store kiezen en de bijbehorende telecomkosten betalen. Wie na die datum alleen sms of spraak als MFA-methode heeft, krijgt tijdens het aanmelden een verplicht verzoek om een passkey te registreren.
Belangrijk om goed te formuleren: Microsoft haalt sms niet uit de Microsoft Authenticator-app. Het bedrijf stopt met de eigen levering van sms- en spraakcodes in Entra ID. Tegelijk wordt de passkey de voorkeursroute.
Een passkey vervangt het overtypen van een wachtwoord en een losse verificatiecode. De techniek gebruikt een cryptografisch sleutelpaar. De geheime sleutel blijft op het apparaat of in de gekozen wachtwoord- en passkeymanager. Je bevestigt het inloggen bijvoorbeeld met gezichtsherkenning, een vingerafdruk of de pincode van je apparaat.
Omdat een passkey is gekoppeld aan de echte website of dienst, is deze beter bestand tegen phishing. Een medewerker kan de passkey niet zoals een sms-code per ongeluk intypen op een nagemaakte inlogpagina.
Microsoft Entra ID ondersteunt zowel gesynchroniseerde passkeys, bijvoorbeeld via iCloud-sleutelhanger of Google Wachtwoordmanager, als apparaatgebonden passkeys. Tot die laatste groep behoren passkeys in Microsoft Authenticator, Entra-passkeys op Windows en FIDO2-beveiligingssleutels.
Veel MKB-organisaties gebruiken sms als praktische tweede factor. Dat is beter dan alleen een wachtwoord, maar een sms-code kan worden onderschept of via misleiding bij een medewerker worden losgekregen. Passkeys verkleinen dat risico en kunnen het aanmelden tegelijk eenvoudiger maken.
Stel dat een medewerker nu inlogt met een wachtwoord en daarna een sms-code ontvangt. Zodra de nieuwe aanmeldervaring voor jouw organisatie is uitgerold, kan die medewerker na een MFA-aanmelding worden gevraagd een passkey te registreren. Daarna wordt de aanmelding bevestigd op een vertrouwd apparaat, bijvoorbeeld met gezichtsherkenning, een vingerafdruk of een pincode.
De overstap hoeft niet voor iedereen op exact dezelfde manier. Voor reguliere medewerkers kan een gesynchroniseerde passkey praktisch zijn, omdat deze op meerdere persoonlijke apparaten beschikbaar kan zijn. Voor beheerders en andere accounts met veel rechten adviseert Microsoft apparaatgebonden passkeys. Denk aan een FIDO2-beveiligingssleutel, een Entra-passkey op Windows of een passkey in Microsoft Authenticator.
Wacht niet tot februari 2027. Een goede overstap begint met inzicht in de huidige situatie en duidelijke afspraken. Controleer in ieder geval:
Microsoft biedt voor de periode van 1 september 2026 tot 1 februari 2027 een tijdelijke mogelijkheid om de automatische inschakeling van passkeys en de registratiecampagne uit te stellen. Vanaf 1 februari 2027 geldt voor de uiteindelijke handhaving geen opt-out. Uitstel is daarom alleen verstandig als onderdeel van een concreet migratieplan.
Bruinsma kan in kaart brengen welke gebruikers nog sms- of spraakverificatie gebruiken, welke apparaten en licenties aanwezig zijn en welke passkey-aanpak bij jouw organisatie past. Daarna kunnen we de instellingen, communicatie en gefaseerde registratie voorbereiden.
Daarbij kijken we ook naar beheerdersaccounts, herstelprocedures en alternatieve aanmeldmethoden. Zo wordt de overstap niet alleen technisch uitgevoerd, maar blijft deze ook werkbaar voor medewerkers.
Microsoft begint op 1 september 2026 met een gefaseerde uitrol. Gebruikers die voor sms of spraak zijn ingeschakeld, worden automatisch ook voor passkeys ingeschakeld en krijgen na een MFA-aanmelding een verzoek om een passkey te registreren.
Op 1 februari 2027 stopt Microsoft met de eigen telecomlevering voor sms- en spraakverificatie in Entra ID. Organisaties die deze methoden willen behouden, moeten een eigen telecomprovider via de Microsoft Security Store configureren en de bijbehorende kosten betalen.
Nee. Microsoft Authenticator blijft juist een van de mogelijkheden om een apparaatgebonden passkey te gebruiken. De wijziging gaat over Microsoft-geleverde sms- en spraakcodes binnen Entra ID, niet over het verdwijnen van de Authenticator-app.
De medewerker kan sms of spraak dan niet meer via Microsoft gebruiken om aan de MFA-eis te voldoen. Tijdens het aanmelden verschijnt een verplicht verzoek om een passkey te registreren. Dit verzoek kan dan niet meer worden overgeslagen.
Microsoft noemt de overstap naar passkeys voor de meeste organisaties de aanbevolen route zonder aanvullende kosten. Wie sms of spraak via een zelfgekozen telecomprovider wil blijven gebruiken, is wel verantwoordelijk voor de kosten van die provider.
Wil je meer weten over dit onderwerp of bespreken wat dit betekent voor jouw organisatie? Mail ons op info@bruinsmakantoor.nl of bel 0523-272121.
Wil je weten welke gebruikers nog van sms afhankelijk zijn en hoe je passkeys gecontroleerd invoert?
Wil je meer weten over dit onderwerp of bespreken wat dit betekent voor jouw organisatie? Mail ons op info@bruinsmakantoor.nl of bel 0523-272121.
