Log je bij Microsoft 365 in met een code die je per sms krijgt, of met een telefoontje? Dan verandert er binnenkort iets. Microsoft stopt met het zelf versturen van die codes voor werk- en schoolaccounts. Daarvoor in de plaats komen passkeys.
Wat verandert er, en wanneer?
- Sinds 1 september 2026 zijn passkeys de standaard manier van inloggen. Gebruikers met sms of telefoon als tweede stap krijgen bij het inloggen de vraag om een passkey in te stellen.
- Vanaf 1 februari 2027 verstuurt Microsoft geen codes meer per sms of telefoontje. Heeft een gebruiker alleen sms of telefoon als tweede stap? Dan moet die eerst een passkey instellen voordat hij of zij kan inloggen. Die stap kun je niet overslaan.
- Vanaf 1 juli 2027 geldt hetzelfde voor globale beheerders en externe gebruikers.
De wijziging geldt voor accounts in Microsoft Entra ID. Dat is het accountsysteem achter Microsoft 365 voor bedrijven. Heb je een organisatie die om een speciale reden toch sms nodig heeft? Dan kan die vanaf nu zelf een telefonieaanbieder koppelen via de Microsoft Security Store. Microsoft raadt dat alleen aan als het echt nodig is.
Waarom stopt Microsoft hiermee?
Een code per sms is beter dan alleen een wachtwoord, maar niet waterdicht. Een nagemaakte inlogpagina kan je code net zo goed afvangen als je wachtwoord. Een passkey werkt alleen op de echte website van Microsoft en is daardoor niet te ‘phishen’. Je hoeft ook niets over te typen: je bevestigt met je vingerafdruk, gezicht of pincode.
Wat is een passkey?
Een passkey is een digitale sleutel die op je telefoon, computer of een beveiligingssleutel staat. Microsoft noemt onder meer een passkey in de Microsoft Authenticator-app, een passkey in Windows en een losse FIDO2-beveiligingssleutel. Wie al inlogt met een passkey, Windows Hello for Business of een vergelijkbare veilige methode, merkt niets van de wijziging.
Wat moet je doen?
- Zoek uit wie nog sms of telefoon gebruikt. Microsoft biedt beheerders daar een script voor; ook in het Entra-beheercentrum zie je per gebruiker welke inlogmethoden er zijn.
- Laat die gebruikers een passkey instellen, bijvoorbeeld in de Authenticator-app op hun telefoon. Dat kan nu al, zodat niemand op 1 februari voor een dichte deur staat.
- Licht je medewerkers in. Vertel wat er verandert en wanneer, en wat ze moeten doen als ze bij het inloggen de vraag krijgen.
- Denk aan je beheeraccount. Voor globale beheerders is de datum 1 juli 2027, maar regel het voor jezelf liefst ook nu.
Heb je Microsoft 365 via Siengo, of wil je hulp bij de overstap? Lees meer over Microsoft 365 bij Siengo of neem contact op. Voor je Siengo-account zelf lees je in de kennisbank hoe tweestapsverificatie werkt.
Bronnen
- Microsoft Learn: Passkeys by default and retirement of Microsoft-provided SMS and voice authentication (bijgewerkt 23 september 2026)