Waarom stopt Microsoft met verificatie via sms?

Een sms-code is veiliger dan alleen inloggen met een wachtwoord. Toch biedt deze manier van beveiligen tegenwoordig niet meer voldoende bescherming tegen moderne vormen van phishing.

Cybercriminelen maken bijvoorbeeld websites die bijna niet van de echte Microsoft-inlogpagina te onderscheiden zijn. Vul je daar je gebruikersnaam, wachtwoord én sms-code in, dan kan een aanvaller deze gegevens soms direct gebruiken om toegang te krijgen tot je account.

Microsoft wil daarom dat organisaties gebruikmaken van manieren van inloggen die beter tegen dit soort aanvallen zijn beschermd.

Een van die manieren is een passkey.

Wat is een passkey?

Een passkey is een veilige manier om te bevestigen dat jij degene bent die probeert in te loggen.

In plaats van een code uit een sms over te typen, bevestig je het inloggen bijvoorbeeld met:

• gezichtsherkenning;
• je vingerafdruk;
• de pincode van je apparaat;
• Microsoft Authenticator.

Je gebruikt dit soort mogelijkheden waarschijnlijk al. Denk aan het ontgrendelen van je telefoon met Face ID of het aanmelden op een Windows-laptop met Windows Hello.

Het grote voordeel is dat een passkey veel moeilijker door een cybercrimineel kan worden onderschept of via een valse inlogpagina kan worden gestolen.

Voor medewerkers wordt inloggen daardoor veiliger en vaak ook makkelijker.

Wat verandert er vanaf 1 september 2026?

Vanaf 1 september 2026 begint Microsoft met de overstap.

Gebruikers die nog sms of een telefoongesprek gebruiken om hun identiteit te bevestigen, kunnen tijdens het inloggen worden gevraagd om een passkey in te stellen.

Je hoeft dus niet zelf precies te weten hoe de techniek daarachter werkt. Wel is het belangrijk dat medewerkers weten waarom Microsoft deze vraag stelt en wat ze moeten doen.

Als een medewerker onverwacht een melding krijgt om een nieuwe manier van inloggen in te stellen, kan dat namelijk voor verwarring zorgen. Zeker omdat we gebruikers normaal gesproken juist leren voorzichtig te zijn met onverwachte meldingen over hun account.

Daarom is het beter om medewerkers vooraf te informeren en de overstap gecontroleerd uit te voeren.

En wat verandert er vanaf 1 februari 2027?

Vanaf 1 februari 2027 stopt Microsoft met het zelf aanbieden van verificatie via sms en telefoon.

Gebruikers die op dat moment alleen nog sms of een telefoongesprek gebruiken als extra beveiliging, moeten een passkey registreren om verder te kunnen.

Het is daarom verstandig om niet tot het laatste moment te wachten. Door ruim van tevoren te controleren wie nog sms gebruikt, kan de overstap rustig worden voorbereid.

Microsoft bevestigt beide data in de officiële documentatie over deze wijziging.

Gebruik je Microsoft Authenticator al?

Dan betekent deze wijziging niet automatisch dat je niets hoeft te doen.

Microsoft Authenticator kan namelijk op verschillende manieren worden gebruikt. De bekende melding waarbij je een aanmelding goedkeurt, is niet precies hetzelfde als inloggen met een passkey.

Het is daarom verstandig om niet alleen te kijken óf Microsoft Authenticator wordt gebruikt, maar ook hoe de beveiliging van de Microsoft 365-accounts binnen je organisatie is ingesteld.

Gebruik je Windows Hello?

Log je op je zakelijke Windows-computer al in met gezichtsherkenning, een vingerafdruk of een pincode? Dan gebruik je mogelijk Windows Hello for Business.

Dat is goed nieuws. Microsoft ziet Windows Hello for Business als een veilige manier van aanmelden die goed beschermd is tegen phishing.

De overstap betekent dus niet dat iedere medewerker voortaan precies dezelfde methode moet gebruiken. Welke manier het beste past, hangt af van de apparaten en werkwijze binnen je organisatie.

Waarom is een passkey veiliger?

Het belangrijkste verschil zit in phishing.

Bij een sms-code krijg je een code die je zelf ergens moet invoeren. Een cybercrimineel kan proberen je zover te krijgen dat je die code op een nagemaakte website invult.

Bij een passkey werkt dat anders. De beveiliging controleert of je daadwerkelijk probeert in te loggen bij de juiste dienst. Daardoor kan een aanvaller veel minder eenvoudig je inloggegevens buitmaken via een nagemaakte Microsoft-pagina.

Je hoeft als gebruiker niet te beoordelen wat er technisch op de achtergrond gebeurt. Je bevestigt simpelweg je identiteit op je eigen apparaat.

Dat maakt veilig inloggen niet alleen beter beschermd, maar ook makkelijker.

Moet je nu al iets doen?

Er is geen reden voor paniek. Je hoeft ook niet vandaag alle medewerkers direct over te zetten.

Wel is dit een goed moment om te controleren hoe medewerkers binnen jouw organisatie momenteel inloggen.

Gebruiken sommige medewerkers nog een sms-code? Dan kunnen zij de komende maanden worden voorbereid op een andere manier van aanmelden. Gebruiken jullie al Windows Hello, Microsoft Authenticator of passkeys? Dan kunnen we controleren of dit op de juiste manier is ingericht.

Door dit vooraf te regelen, voorkom je dat medewerkers straks tijdens hun werk onverwacht een nieuwe aanmeldmethode moeten instellen.

Wat betekent dit voor klanten van STH?

Gebruik je Microsoft 365 via STH? Dan kunnen we bekijken hoe het inloggen binnen jullie Microsoft 365-omgeving momenteel is ingericht.

We kijken daarbij niet alleen naar wat technisch mogelijk is. De manier van inloggen moet ook passen bij de mensen die ermee werken.

Een medewerker die iedere dag achter dezelfde zakelijke laptop werkt, kan bijvoorbeeld een andere manier van aanmelden gebruiken dan iemand die veel onderweg is en voornamelijk met een mobiele telefoon werkt.

Zo kiezen we een manier die veilig is, maar ook praktisch blijft in het dagelijkse werk.

Ons advies: bereid de overstap op tijd voor

De belangrijkste data om te onthouden zijn 1 september 2026 en 1 februari 2027.

Vanaf september gaat Microsoft gebruikers nadrukkelijker richting passkeys begeleiden. Vanaf februari 2027 stopt Microsoft met de eigen sms- en spraakverificatie.

Ons advies is daarom eenvoudig: wacht niet totdat een medewerker tijdens het inloggen met deze verandering wordt geconfronteerd.

Controleer vooraf welke medewerkers nog sms-verificatie gebruiken en bepaal welke manier van aanmelden voor jullie organisatie het meest geschikt is. Vervolgens kan de overstap stap voor stap worden uitgevoerd.

Heb je vragen over deze wijziging of wil je weten wat dit voor jullie Microsoft 365-omgeving betekent? Neem dan contact met ons op. We kijken graag met je mee.