Wachtwoorden worden geraden, gestolen en hergebruikt. Met wachtwoordloos aanmelden (passwordless) meld je je bij Microsoft 365 aan met iets wat je hebt, je telefoon of beveiligingssleutel, en iets wat je bent of weet, je vingerafdruk, gezicht of pincode. Dat is veiliger én sneller. In dit artikel lees je welke methodes er zijn, hoe je ze inschakelt in Microsoft Entra ID en hoe gebruikers ze instellen.
De wachtwoordloze methodes
| Methode | Hoe | Geschikt voor |
|---|---|---|
| Passkey in Microsoft Authenticator | Telefoon met vingerafdruk, gezicht of pincode | De meeste gebruikers; phishingbestendig |
| Aanmelden via telefoon (Authenticator) | Je kiest het juiste getal in de app en bevestigt | Snel in te voeren, maar minder phishingbestendig dan een passkey |
| FIDO2-beveiligingssleutel | USB- of NFC-sleutel, zoals een YubiKey | Beheerders, gedeelde toestellen, mensen zonder smartphone |
| Windows Hello for Business | Gezicht, vingerafdruk of pincode op je eigen pc | Aanmelden op beheerde Windows-pc's |
Passkeys, FIDO2-sleutels en Windows Hello zijn phishingbestendig: ze werken alleen op de echte Microsoft-aanmeldpagina, dus een nagemaakte site kan er niets mee.
Stap 1: de methodes inschakelen
- Ga naar het Microsoft Entra admin center > Entra ID (in oudere menu's Beveiliging) > Verificatiemethoden > Beleid.
- Klik op Passkey (FIDO2), zet het aan en kies Alle gebruikers of een testgroep. Laat passkeys in Microsoft Authenticator toe.
- Klik op Microsoft Authenticator, zet het aan en zet bij Verificatiemodus Elke of Wachtwoordloos.
- Zet ook Tijdelijke toegangspas aan voor de onboarding (zie stap 3).
- Sla telkens op.
Stap 2: gebruikers stellen het in
- De gebruiker gaat naar mysignins.microsoft.com/security-info.
- Klik op Aanmeldingsmethode toevoegen > Passkey in Microsoft Authenticator (of Beveiligingssleutel).
- Volg de stappen: scan de QR-code met de telefoon en bevestig met vingerafdruk of gezicht.
- Bij de volgende aanmelding kiest de gebruiker Aanmelden met een passkey of Aanmeldopties, en bevestigt op zijn telefoon.
Stap 3: nieuwe medewerkers zonder wachtwoord laten starten
Met een tijdelijke toegangspas (Temporary Access Pass) maakt een beheerder een eenmalige code met beperkte geldigheid, bijvoorbeeld acht uur. De nieuwe medewerker meldt zich daarmee de eerste keer aan en registreert meteen zijn passkey. Zo krijgt hij nooit een wachtwoord dat via e-mail of papier rondgaat. Je maakt de pas bij de gebruiker in Entra ID onder Verificatiemethoden > Verificatiemethode toevoegen.
Wachtwoordloos afdwingen
Met Entra ID P1 en voorwaardelijke toegang kun je een verificatiesterkte eisen, zoals phishingbestendige MFA, voor beheerders of voor gevoelige apps. Begin bij de beheerdersaccounts, test met een pilotgroep en breid daarna uit. Houd altijd een of twee noodtoegangsaccounts buiten die regels.