Passkeys voor kmo's: weg met het post-it-wachtwoord

Een wachtwoord is een geheim, en geheimen lekken. Ze worden geraden, hergebruikt, gestolen bij een datalek van een andere dienst, of gewoon afgegeven aan een valse inlogpagina. Dat laatste gebeurt vaker dan je denkt: phishing is professioneler geworden, want ruim 80% van de phishingcampagnes gebruikt AI-gegenereerde teksten in foutloos Nederlands. Het klassieke advies om op taalfouten te letten, helpt dus niet meer.

Het probleem zit zelden bij één zwak wachtwoord, maar bij hergebruik. Wordt jouw wachtwoord gestolen bij een gelekte webwinkel, dan proberen criminelen datzelfde wachtwoord automatisch op je mailbox, je bankomgeving en je sociale media. Wie overal hetzelfde wachtwoord gebruikt, heeft in de praktijk maar één slot op alle deuren van de zaak.

Voor een kmo komt daar nog iets bij: wachtwoorden worden gedeeld. De zaakvoerder, de boekhouder en de stagiair kennen vaak allemaal hetzelfde wachtwoord van de gedeelde info-mailbox. Vertrekt er iemand, dan verandert er meestal niets. Dat is geen nalatigheid, dat is het logische gevolg van een systeem dat niet gemaakt is voor teams.

Een passkey is een digitale sleutel die op je toestel staat, bijvoorbeeld je smartphone of laptop. Log je in bij een dienst die passkeys ondersteunt, dan vraagt je toestel gewoon je vingerafdruk, gezichtsherkenning of pincode. Er is geen wachtwoord meer dat je kunt vergeten, hergebruiken of afgeven aan een valse site.

Dat laatste is het echte verschil. Een passkey werkt alleen op de echte website waarvoor hij is aangemaakt. Bouwt een oplichter een perfecte kopie van de inlogpagina van je bank of je Google-account, dan doet je passkey daar simpelweg niets. Je kunt hem niet per ongeluk afgeven, ook niet onder druk van een overtuigend verhaal. Phishing op je login wordt daarmee technisch onmogelijk in plaats van iets waar je alert voor moet blijven.

Je hoeft er als kmo niets voor te installeren. Passkeys zitten ingebouwd in Android, iOS, Windows en macOS en in de grote browsers. Google, Apple, Microsoft en steeds meer banken en softwarepakketten ondersteunen ze. Aanzetten doe je per dienst in de beveiligingsinstellingen van je account, meestal in minder dan twee minuten.

Passkeys zijn het experimentele stadium ruim voorbij. Volgens de FIDO Alliance, de organisatie achter de standaard, waren er in mei 2026 wereldwijd naar schatting 5 miljard passkeys in gebruik en kent 90% van de consumenten het begrip, tegenover 75% een jaar eerder.

Ook het gebruiksgemak is meetbaar. Onderzoek rond het FIDO-rapport van 2026 toont dat inloggen met een passkey in 93% van de gevallen in één keer lukt, tegenover 63% bij wachtwoorden. Minder mislukte logins betekent minder vergeten-wachtwoord-procedures, minder helpdeskvragen en minder frustratie bij jou en je klanten.

Voor wie twijfelt of dit iets voor bedrijven is: 68% van de organisaties is passkeys aan het uitrollen of testen voor hun medewerkers. De grote spelers zijn al om, en de tools die kmo's gebruiken volgen snel. Wachten heeft weinig zin: elke account die je vandaag omzet, is er een die morgen niet meer gephisht kan worden.

Niet elke dienst ondersteunt al passkeys, dus je hebt nog even een beleid nodig voor de rest. Houd het simpel, anders houdt niemand het vol:

• Eén wachtwoordmanager voor de hele zaak. Dat programma bewaart alle wachtwoorden versleuteld en vult ze automatisch in. Jij onthoudt nog één sterk hoofdwachtwoord, de rest genereert en onthoudt de manager.
• Elk account een uniek wachtwoord. De manager maakt ze zelf aan, lang en willekeurig. Jij hoeft ze nooit te typen of te kennen.
• Gedeelde accounts via de manager delen, niet via post-its. Goede wachtwoordmanagers hebben teamfuncties: je geeft een collega toegang tot een login zonder het wachtwoord te tonen, en je trekt die toegang in als iemand vertrekt.
• Tweestapsverificatie op de kroonjuwelen. Minstens op je mailbox, je bankomgeving en je wachtwoordmanager zelf.
• Geen verplichte wissels om de drie maanden. Dat verouderde advies leidt tot zwakkere wachtwoorden met een cijfertje erachter. Vervang een wachtwoord alleen bij een vermoeden van een lek.

Dit hele beleid past op één A4 en kost enkele euro's per gebruiker per maand. Vergelijk dat met de schade van één gekaapte mailbox.

Je hoeft niet alles in één keer te doen. Deze volgorde werkt voor de meeste kmo's:

1. Week 1: kies en installeer een wachtwoordmanager. Zet er eerst je eigen logins in, daarna die van het team. Vernietig daarna het schriftje en de post-its, letterlijk.
2. Week 2: activeer passkeys op je Google- of Microsoft-account. Dat is voor de meeste zaken het centrale account waar mail, agenda en documenten aan vasthangen, dus daar telt de winst het hardst.
3. Week 3: doe hetzelfde voor je bank, je sociale media en je webshopplatform waar dat kan. Ondersteunt een dienst nog geen passkeys, zet er dan tweestapsverificatie op.
4. Week 4: ruim op. Verwijder oude gedeelde wachtwoorden, trek toegangen in van ex-medewerkers en leg in twee zinnen vast hoe nieuwe collega's toegang krijgen.

Reken op een paar uur werk, gespreid over een maand. Daarna is inloggen sneller dan vroeger en is de klassieke phishingmail op je login een stuk minder gevaarlijk geworden.

Sterke logins zijn onzichtbaar voor je klanten, maar de rest van je online aanwezigheid niet: je website, je e-mailinstellingen en je vindbaarheid bepalen mee of mensen je vertrouwen. Doe de gratis marketing scan en ontdek in enkele minuten waar jouw site vertrouwen wint of verliest, met concrete verbeterpunten in mensentaal.