--- title: "De gebruiker is je passkey-probleem niet" date: 2026-09-08 author: "Rik Hoogland" featured_image: "https://humanfirewall.nl/wp-content/uploads/2026/09/passkeys-mkb-herstel-helpdesk-zwakke-plek.png" categories: - name: "Uncategorized" url: "/category/uncategorized.md" --- # De gebruiker is je passkey-probleem niet ![Illustratie van een medewerker die in de regen op een brug de helpdesk belt terwijl een collega achter de servicedesk twijfelt](https://humanfirewall.nl/wp-content/uploads/2026/09/passkeys-mkb-herstel-helpdesk-zwakke-plek.png)De telefoon ligt in de gracht. Het is kwart voor negen, de medewerker staat op een brug in de regen en belt de helpdesk, want inloggen lukt niet meer. Aan de andere kant zit iemand die dit tien keer per week meemaakt en die binnen twee minuten iets moet regelen. Dat gesprek is vanaf nu de zwakste plek in je hele beveiliging. Wereldwijd zijn er inmiddels zo’n vijf miljard passkeys in gebruik en 68 procent van de organisaties rolt ze uit, test ermee of draait een pilot. In Europa is dat 64 procent. Dat komt uit het jaarlijkse State of Passkeys-onderzoek van de [FIDO Alliance](https://fidoalliance.org/passkeys/), uitgevoerd door Sapio Research in april 2026 onder 11.000 consumenten en 1.400 beslissers in tien landen, [samengevat door MSP Business](https://mspbusiness.com/technologie-en-architectuur/passkeys-zijn-volwassen-genoeg-voor-het-mkb/). Let op wat dat cijfer níét zegt: bezig zijn met een pilot is geen uitrol. Ruim een kwart van de organisaties werkt voor het grootste deel echt wachtwoordloos, nog eens 29 procent zegt dat binnen zes tot twaalf maanden te willen halen. ## Acht procent, en daar gaat het hele verhaal over de onwillige medewerker Voor een site die over menselijk gedrag gaat, is dit het opvallendste getal uit het onderzoek. Van de organisaties die gebruikersweerstand als drempel noemen, omschrijft 53 procent het als een klein probleem dat met wat training over gaat. Slechts 8 procent zegt dat gebruikersgedrag de uitrol daadwerkelijk heeft vertraagd. De echte drempels staan ergens anders: compatibiliteit met oude systemen op 38 procent, budget en goedkeuring op 35 procent, en zorgen over herstel bij een verloren apparaat op 33 procent. Dat is een klap voor een aanname die in dit vak al jaren rondgaat: dat je mensen niet mee krijgt. Negentig procent van de consumenten in die tien landen kent passkeys al, driekwart heeft er minstens één ingesteld en de helft gebruikt ze standaard zodra een dienst het aanbiedt. Ze doen het thuis dus allang. En de slagingskans van een inlogpoging ligt op 93 procent bij passkeys tegen 63 procent bij wachtwoorden. Je vraagt mensen niet om iets vervelends, je vraagt ze om te stoppen met iets dat vier keer op de tien mislukt. ## Als 89 procent zegt dat het herstel klopt, klopt het bij een deel niet Hier zeggen wij het hardop: de securitywinst van passkeys wordt in de meeste organisaties weggegeven bij het loket. In hetzelfde onderzoek zegt 89 procent van de organisaties vertrouwen te hebben in de eigen herstelprocedure. Vraag daarna wat die procedure is, en het antwoord is vaak een sms-code of een resetlink per mail. Dat is precies de route die een aanvaller neemt zodra de voordeur dicht zit. Bij een passkey controleert de aanmeldtechniek voor welke website de sleutel bedoeld is. Een nagebouwde login op een ander domein krijgt die aanmelding daardoor niet. Je hoeft ook geen reeks onverwachte pushverzoeken goed te keuren zoals bij MFA-vermoeidheidsaanvallen. Maar dat geldt alleen voor de voordeur. Een helpdesk die na één telefoontje een nieuwe registratiemethode toestaat, heeft een achterdeur gebouwd die niet aan een domein hangt maar aan een gesprek. En overtuigend bellen is nu juist waar deze aanvallers goed in zijn, zoals bij [bankhelpdeskfraude](https://humanfirewall.nl/bankhelpdeskfraude/) al jaren te zien is. ## Oude systemen houden wachtwoorden nog in gebruik Eerlijk blijven: wie nu roept dat elk bedrijf morgen wachtwoordloos kan, negeert de 38 procent die over legacy struikelt. Het on-premises boekhoudpakket, de oude VPN-concentrator, de terminalserver: die vragen gewoon een wachtwoord en dat blijft nog jaren zo. Gedeelde accounts als planning@ of frontdesk@ verdragen zich slecht met een sleutel die aan één persoon en één apparaat hangt. Ook het cijfer waar wij zelf mee zwaaien heeft een randje: die 8 procent komt van de organisaties zélf, en een IT-afdeling die haar eigen uitrol beoordeelt is geen neutrale teller. Het bewijst dat weerstand kleiner is dan gedacht, niet dat weerstand niet bestaat. ## Bel je eigen helpdesk en doe alsof je alles kwijt bent Stem deze week een hersteltest af met de verantwoordelijke voor de helpdesk. Bel tijdens die afgesproken test je eigen helpdesk of servicedesk vanaf een onbekend nummer en zeg dat je je telefoon en je laptop kwijt bent. Kijk hoe ver je komt zonder dat iemand je identiteit echt controleert. Kom je binnen vijf minuten aan een nieuwe inlogmethode, dan is dat je grootste risico en niet de medewerker die op een linkje klikt. De structurele oplossing staat in dezelfde hoek: laat iedereen minstens twee onafhankelijke, phishingbestendige methoden registreren, bijvoorbeeld een passkey in de authenticator-app naast een hardwaresleutel van een paar tientjes in de la. En begin de uitrol bij beheerders, want [daar zit de meeste schade per gecompromitteerd account](https://humanfirewall.nl/menselijke-firewall-adminlogin/). ## Welke andere accounts kan je Gmail helpen herstellen? De helpdesk is niet de enige herstelroute. Bij diensten die een wachtwoordreset per e-mail aanbieden, heeft de mailbox een tweede functie: hij ontvangt het verzoek om weer toegang te krijgen. Dat betekent niet dat één gehackte Gmail automatisch elke bank, betaalapp of wachtwoordkluis openzet. Aanvullende controles verschillen per dienst. Een concreet tegenvoorbeeld is [Bitwarden](https://bitwarden.com/help/forgot-master-password/): een normaal hoofdwachtwoord kun je niet met alleen een vergeten-wachtwoordmail resetten. Vooraf ingerichte herstelopties, zoals [accountherstel via een organisatie](https://bitwarden.com/help/account-recovery/), vragen een aparte beoordeling. Mail kunnen lezen en een versleutelde kluis kunnen ontsleutelen zijn verschillende bevoegdheden. 1. Noteer voor een beheerdersaccount welke mailbox resetverzoeken ontvangt en welke extra controle de dienst verlangt. 2. Controleer wie die mailbox kan herstellen. In een persoonlijk Google-account kun je zoeken op **herstelmailadres**; bij Workspace controleert de beheerder ook de organisatieprocedure. 3. Loop een verloren-apparaatscenario door met toestemming van de verantwoordelijke. Noteer wie de identiteit controleert en wat gebeurt als ook de herstelmailbox onbereikbaar is. [![Nagebouwd voorbeeld: De herstelmailbox is zelf ook een account dat bescherming nodig heeft.](https://humanfirewall.nl/wp-content/uploads/2026/09/gmail-hulp-recovery-20260909.png)](https://humanfirewall.nl/wp-content/uploads/2026/09/gmail-hulp-recovery-20260909.png)De herstelmailbox is zelf ook een account dat bescherming nodig heeft. Nagebouwd, vereenvoudigd voorbeeld zonder accountgegevens; het menu kan afwijken. Tik op de afbeelding om te vergroten.Volgens [Google](https://support.google.com/accounts/answer/12437871?hl=nl) hoort het hersteladres een ander adres te zijn dat je regelmatig gebruikt. Een andere provider kiezen kan afhankelijkheden spreiden, maar vervangt geen sterke beveiliging. Twee mailboxen die uitsluitend elkaar kunnen herstellen blijven een kwetsbare kring. Leg bij de eerstvolgende hersteltest voor één beheerdersaccount vast: via welke route kom je binnen zonder het normale apparaat, wie mag die route openen en welk bewijs verlangt die persoon? Dat vertelt meer dan alleen tellen hoeveel passkeys er zijn geregistreerd. ## Oktober is het moment waarop de sms uit de keten kan Vanaf oktober staat Microsoft in Entra toe om een passkey als allereerste MFA-methode te registreren, zonder dat er eerst een telefoonnummer of sms aan te pas komt. Dat klinkt als een detail en is het niet: zolang er ergens in de keten een telefoonnummer staat, is dat het zwakste punt. Begin 2027 verdwijnen bovendien de beveiligingsvragen als herstelmethode voor Microsoft-consumentenaccounts. Wie in de tussentijd wil weten of het werkt, kijkt niet naar het aantal uitgerolde passkeys maar naar het aantal wachtwoordresets bij de helpdesk. Daalt dat cijfer niet, dan is er een passkey bijgekomen en verder niets veranderd, precies zoals [een dalende klikratio ook niet vanzelf een veiliger bedrijf betekent](https://humanfirewall.nl/klikratio/).