Wat zijn passkeys?
Passkeys zijn een moderne authenticatiemethode die het wachtwoord vervangt. In plaats van een wachtwoord te typen, log je in met biometrie (vingerafdruk of gezichtsherkenning) of met de schermvergrendeling van je apparaat (pincode of patroon). Achter de schermen gebruikt de techniek publieke-sleutelcryptografie.
Voordelen van passkeys ten opzichte van wachtwoorden:
- Phishing-resistent: een passkey is gebonden aan het specifieke domein en werkt niet op neppagina's.
- Geen wachtwoordhergebruik: elke dienst krijgt een unieke sleutel.
- Geen bruikbare lekken: de server bewaart alleen de publieke sleutel, nooit de geheime sleutel.
- Gebruiksvriendelijk: biometrisch inloggen is sneller dan een wachtwoord typen.
Open standaard
Passkeys zijn gestandaardiseerd door de FIDO Alliance en het W3C als onderdeel van de WebAuthn-standaard. Ze worden ondersteund door iOS 16 en hoger, Android 9 en hoger, Windows 10 en hoger, macOS en alle moderne browsers.
Passkeys inschakelen in de Admin Console
In Google Workspace zijn er twee niveaus. Standaard mogen gebruikers altijd al een passkey aanmaken en gebruiken als tweede stap (2SV), ook zonder dat je iets aanzet. Wil je dat gebruikers hun wachtwoord helemaal kunnen overslaan, dan zet je dat apart aan onder Wachtwoordloos.
Wachtwoord overslaan toestaan
Passkeys organisatiebreed inschakelen
- Log in op de Admin Console via
admin.google.com. - Ga naar Beveiliging > Authenticatie > Wachtwoordloos.
- Selecteer bovenaan de organisatie-eenheid waarvoor de instelling geldt.
- Zet Gebruikers toestaan hun wachtwoord over te slaan en met een passkey te authenticeren aan. Deze passkey dekt zowel de eerste als de tweede factor.
- Optioneel: vink Passkeys alleen toestaan op hardware-beveiligingssleutels aan als je de strengste vorm wilt afdwingen.
- Klik op Opslaan.
Geen vaste verplichting
Anders dan voor gewone tweestapsverificatie kun je passkeys niet als enige methode afdwingen voor de hele organisatie. Een fallback (wachtwoord plus tweede stap, of een herstelmethode) blijft altijd beschikbaar voor accountherstel. Plan passkeys dus als sterke standaard, niet als enige uitweg.
Gefaseerde uitrol
Voor een grote organisatie is een gefaseerde uitrol aan te raden:
- Begin met een testgroep in een aparte organisatie-eenheid.
- Volg de adoptie via de Security Investigation Tool (zie verderop).
- Bied training en korte documentatie aan, zeker over wat te doen bij een verloren apparaat.
- Breid daarna uit naar de rest van de organisatie.
Passkey registreren als gebruiker
Zo maak je zelf een passkey aan
- Ga naar
myaccount.google.com. - Klik op Beveiliging in de linkerkolom.
- Scroll naar Zo log je in bij Google.
- Klik op Passkeys en beveiligingssleutels.
- Klik op Een passkey maken.
- Volg de instructies op het scherm. Je apparaat vraagt om biometrische verificatie of een pincode.
- De passkey is aangemaakt en verschijnt in de lijst.
Passkeys op meerdere apparaten
Een passkey hoort bij een apparaat, maar moderne wachtwoordmanagers synchroniseren passkeys veilig tussen apparaten. De situatie is in 2026 een stuk soepeler dan in de begindagen.
- Google Password Manager: synchroniseert passkeys cross-platform tussen Android, iOS, iPadOS, Windows en macOS, zolang je in Chrome met hetzelfde Google-account bent ingelogd. Op iOS en iPadOS 17 en hoger stel je Chrome in als autofill-provider in de systeeminstellingen, en maak je bij de eerste passkey een GPM-pincode aan.
- Apple iCloud-sleutelhanger: synchroniseert passkeys tussen Apple-apparaten die op hetzelfde Apple-account zijn aangemeld.
- Onafhankelijke wachtwoordmanagers: tools zoals 1Password en Bitwarden synchroniseren passkeys over platforms heen.
Maak altijd een tweede passkey
Ook met synchronisatie is het verstandig om een passkey op minstens twee plekken te hebben, bijvoorbeeld op je telefoon en op een hardware-beveiligingssleutel. Zo blijf je inloggen als je toegang tot één apparaat of één account verliest.
Passkey-beheer door de beheerder
Als beheerder beheer je een individuele gebruiker via de Directory:
Passkey van een gebruiker bekijken of intrekken
- Ga naar de Admin Console > Directory > Gebruikers.
- Klik op de betreffende gebruiker.
- Open Beveiliging.
- Onder de aanmeldingsmethoden zie je de geregistreerde passkeys en kun je ze intrekken, bijvoorbeeld bij verlies van een apparaat.
Voor het grotere plaatje, zoals wie een passkey heeft ingeschakeld of wie zijn wachtwoord daadwerkelijk overslaat, gebruik je de Security Investigation Tool. Daarin filter je op gebruikers die een passkey hebben geregistreerd, die een passkey als tweede factor gebruiken, of die hun wachtwoord overslaan bij het aanmelden.
Beschikbaarheid per editie
De Security Investigation Tool is alleen beschikbaar in bepaalde edities, waaronder Enterprise Standard en hoger, Frontline Standard en hoger, Education Standard en hoger en Cloud Identity Premium. In lichtere edities kun je passkeys nog steeds inschakelen en per gebruiker beheren, maar mis je de uitgebreide rapportage.
Wat gebeurt er als een medewerker zijn apparaat verliest?
De beheerder trekt de passkey in via de Admin Console onder Directory en Gebruikers. De medewerker logt vervolgens in met een fallback-methode, zoals wachtwoord plus tweede stap of herstelcodes, en registreert daarna een nieuwe passkey op het vervangende apparaat.
Werken passkeys ook voor externe applicaties via SSO?
Passkeys gelden voor de aanmelding bij Google zelf. Externe applicaties die via Google SSO inloggen leunen op die Google-aanmelding, dus een sterkere Google-login beschermt indirect ook je SSO-applicaties.
Kan ik wachtwoorden volledig uitschakelen?
Niet volledig. Je kunt gebruikers laten toestaan hun wachtwoord over te slaan met een passkey, maar Google houdt altijd een fallback achter de hand voor accountherstel. Passkeys worden zo de dagelijkse standaard, terwijl een herstelpad beschikbaar blijft.
Zijn passkeys veiliger dan hardware-beveiligingssleutels?
Hardware-beveiligingssleutels (FIDO2) zijn nog iets sterker omdat ze los staan van je apparaat en niet gesynchroniseerd worden. Wil je dat afdwingen, dan zet je in de Admin Console de optie aan om passkeys alleen op hardwaresleutels toe te staan. Voor de meeste organisaties bieden gesynchroniseerde passkeys een goede balans tussen veiligheid en gemak.
Welke browsers ondersteunen passkeys?
Alle moderne browsers: Chrome 108 en hoger, Safari 16 en hoger, Firefox 122 en hoger en Edge 108 en hoger. Oudere browsers en sommige strak vergrendelde enterprise-browsers kunnen beperkingen hebben.
Hoeven gebruikers eerst 2SV aan te zetten?
Nee. Gebruikers hoeven niet ingeschreven te zijn voor tweestapsverificatie om met een passkey hun wachtwoord over te slaan. Een passkey dekt in dat geval zowel de eerste als de tweede factor.