Sms-codes verdwijnen uit Microsoft 365: waarom passkeys de nieuwe standaard worden

Melden je medewerkers zich vandaag aan op Microsoft 365 met een wachtwoord en een code via sms? Dan verandert er het komende jaar iets fundamenteels. Microsoft kondigde midden juli aan dat passkeys vanaf 1 september 2026 de standaard aanmeldmethode worden, en dat sms- en spraakcodes worden uitgefaseerd. Dat is meer dan een detail voor de IT-afdeling, want het raakt iedereen in je organisatie die zich aanmeldt. Het goede nieuws is dat aanmelden tegelijk veiliger en makkelijker wordt.

Wat is een passkey, in gewone taal?

Een passkey vervangt de combinatie van wachtwoord en code. Je meldt je aan zoals je je telefoon ontgrendelt: met je vingerafdruk, je gezicht of een pincode op je eigen toestel. Er is geen wachtwoord meer om te vergeten, te hergebruiken of te laten stelen. Er is ook geen code meer die je per ongeluk aan een oplichter kan doorgeven.

Technisch werkt het met cryptografische sleutels, volgens de standaarden FIDO2 en WebAuthn. Je toestel bewijst wiskundig dat jij het bent, zonder dat er een geheim over de lijn gaat dat iemand kan onderscheppen. Daar zit het wezenlijke verschil met een sms-code. Die kan onderschept, doorgestuurd of afgetroggeld worden. Een passkey niet.

Waarom stapt Microsoft af van sms-codes?

Aanvallers jagen massaal op inloggegevens, en sms-codes bieden daar te weinig bescherming tegen. Begin juli raakte nog een campagne bekend waarbij aanvallers in twee weken tijd meer dan 81 miljoen aanmeldpogingen deden op Microsoft 365-omgevingen, met wachtwoorden uit oude datalekken. Daarnaast maakt AI phishing zo overtuigend dat veel meer mensen erin trappen dan vroeger. Een code die een mens kan doorgeven, kan een oplichter ook aftroggelen. Daarom schuift de hele sector op naar phishing-resistente methodes, en nu zet Microsoft die stap voor iedereen.

De concrete tijdlijn

• 1 september 2026: passkeys worden de standaard. Gebruikers die nu sms- of spraakcodes gebruiken, worden automatisch ingeschakeld voor passkeys en krijgen bij hun volgende aanmelding de vraag om er een te registreren.
• Vanaf eind oktober 2026: organisaties die om een specifieke reden toch sms willen behouden, kunnen een externe telecomprovider instellen. Dat kost extra geld en moeite.
• 1 februari 2027: Microsoft stopt met het zelf versturen van sms- en spraakcodes. Wie tegen dan geen alternatief heeft geregistreerd, kan zich niet meer aanmelden met sms.

Werk je al met de Microsoft Authenticator-app, Windows Hello of een beveiligingssleutel? Dan hoef je niets te vrezen, want die methodes blijven gewoon werken.

Wat moet je nu doen?

De overgang verloopt grotendeels automatisch. Toch loont het om ze zelf in handen te nemen. Zo vermijd je verwarring en helpdeskvragen, en vooral medewerkers die er in februari 2027 plots niet meer in kunnen. Concreet:

• Breng in kaart wie nog op sms leunt. In Entra ID zie je precies welke gebruikers vandaag sms- of spraakcodes als methode hebben. Dat overzicht is je actielijst.
• Start de omschakeling zelf, voor Microsoft het doet. Met een registratiecampagne in Entra ID nodig je gebruikers gefaseerd uit om een passkey of de Authenticator-app in te stellen, op jouw tempo en met jouw communicatie.
• Informeer je mensen. Eén korte uitleg ("binnenkort meld je je aan met je vingerafdruk, net zoals op je telefoon") voorkomt negen van de tien vragen.
• Denk na over uitzonderingen. Voor gedeelde toestellen, productieomgevingen en mensen zonder smartphone bestaan oplossingen, zoals fysieke beveiligingssleutels. Die wil je vooraf geregeld hebben, en niet pas in januari 2027.

Conclusie

Het einde van de sms-code is een verbetering. Aanmelden gaat sneller en wordt fundamenteel veiliger. Automatisch wil wel niet zeggen dat alles vanzelf goed geregeld raakt, zeker niet in organisaties met tientallen of honderden gebruikers. Wil je weten wie in jullie organisatie vandaag nog op sms-codes leunt, en hoe je de overstap vlot organiseert? Een gerichte doorlichting brengt dat meteen in beeld.