Tweefactorauthenticatie (2FA): van TOTP naar passkeys, de gids voor 2026

Ik bouw en beheer systemen waar een gekaapt account geen ongemak is maar een incident: nationale verkiezingsplatforms, webshops met veel verkeer. Op zulke projecten is het losse wachtwoord al lang verdwenen. Tweefactorauthenticatie (2FA), en breder gezien multifactorauthenticatie (MFA), vormen de minimale basis. Hier zijn de grondbeginselen, gevolgd door een helder onderscheid tussen wat u in 2026 echt beschermt en wat alleen veilig voelt.

Wat tweefactorauthenticatie echt is

Tweefactorauthenticatie is een bijzonder geval van multifactorauthenticatie. Het idee past in één zin: om te bewijzen wie u bent, volstaat één geheim niet meer, u hebt er twee nodig van verschillende aard. Steelt een aanvaller uw wachtwoord, dan mist hij nog altijd de tweede factor. De kracht van de methode zit niet in het aantal bewijzen, maar in het combineren van twee verschillende soorten. Twee wachtwoorden blijven één factor, dus één slot.

De drie authenticatiefactoren

Elke authenticatiemethode valt in een van deze drie families.

• Iets wat u weet: een wachtwoord, een pincode, het antwoord op een geheime vraag.
• Iets wat u hebt: uw telefoon, een app die codes genereert, een fysieke beveiligingssleutel.
• Iets wat u bent: uw vingerafdruk, uw gezicht, uw iris.

Echte MFA put uit twee verschillende families. Een wachtwoord (iets wat u weet) plus een eenmalige code op uw telefoon (iets wat u hebt) is degelijke 2FA. Een wachtwoord plus een geheime vraag blijft binnen één familie, en is nauwelijks beter dan een wachtwoord alleen.

SMS, de zwakke schakel

Jarenlang was de code per sms de opstap naar 2FA voor het grote publiek. In 2026 is het de methode die ik afraad zodra er een alternatief is. Sms heeft twee structurele zwaktes. De eerste is de simswap: een aanvaller overtuigt (of omkoopt) uw provider om uw nummer naar zijn eigen simkaart te verhuizen, en ontvangt uw codes in uw plaats. De tweede is onderschepping: het oude telefonienetwerk (SS7) was nooit bedoeld om geheimen te vervoeren, en een code op een vergrendeld scherm is te lezen zonder het toestel te ontgrendelen. De NIST raadt sms als authenticatiekanaal al af sinds 2016. Een sms-code is beter dan niets, maar behandel hem als laatste redmiddel, nooit als uw hoofdverdediging.

TOTP, een code van zes cijfers elke 30 seconden

De methode die sms ruimschoots vervangt heet TOTP, kort voor Time-based One-Time Password (eenmalig wachtwoord op basis van tijd). Het principe is eenvoudiger dan het klinkt. Bij het inschakelen toont de site een QR-code: die bevat een geheime sleutel, eenmalig gedeeld tussen de site en uw app. Vanaf dan combineert uw app die sleutel met de huidige tijd, opgedeeld in vensters van 30 seconden, en leidt daar een code van zes cijfers uit af. De site maakt dezelfde berekening en vergelijkt. Omdat beide kanten de sleutel kennen en dezelfde klok lezen, komen ze op dezelfde code uit zonder ooit iets over het netwerk uit te wisselen. Daarom werkt TOTP in het vliegtuig, zonder enige verbinding: alles wordt lokaal berekend, en de code verandert elke 30 seconden.

Welke authenticator-app kiezen

Google Authenticator is nog altijd de bekendste, maar niet de enige, en lange tijd bood hij geen back-up of export. Wat echt telt, is dat u uw geheimen kunt versleutelen en herstellen op de dag dat u van telefoon wisselt. Mijn aanbevelingen:

• Aegis (Android): opensource, versleutelde kluis, nette export. Mijn standaardkeuze op Android.
• 2FAS (iOS en Android): verzorgde interface, versleutelde back-ups, browserextensie.
• Bitwarden: handig als u deze wachtwoordmanager al gebruikt, alles staat op één plek.
• FreeOTP: opensource en gesteund door Red Hat. Julian T. raadde hem me jaren geleden aan, en het is een betrouwbare keuze gebleven.

Een waarschuwing: wachtwoorden en TOTP-codes in dezelfde kluis bewaren is gemakkelijk, maar zo brengt u uw twee factoren op één plek samen. Houd ze voor een kritiek account gescheiden.

FIDO2-hardwaresleutels en phishingbestendige MFA

TOTP heeft een beperking die u moet kennen: een code kan gephisht worden. Een nepsite, tussen u en de echte dienst geschoven, vraagt uw code en speelt hem in real time door voordat hij verloopt. Hier komen hardwarebeveiligingssleutels (YubiKey en soortgelijke) in beeld, gebouwd op de standaarden FIDO2 en WebAuthn. Hun truc: de sleutel controleert het exacte domein van de site voordat hij antwoordt. Op een nepdomein weigert hij, punt. Dit heet phishingbestendige MFA, en het is een sprong vooruit, geen kleine verbetering. Op mijn projecten verloopt beheertoegang en elk account met veel op het spel via een hardwaresleutel, zonder uitzondering.

Passkeys, het einde van het wachtwoord

Passkeys zijn het sluitstuk van al het voorgaande, en de grote omslag van 2024 tot 2026. Ze steunen op dezelfde FIDO2/WebAuthn-basis als hardwaresleutels, maar trekken de logica helemaal door: ze vervangen het wachtwoord in plaats van het aan te vullen. In de praktijk maakt uw toestel een paar cryptografische sleutels aan. De privésleutel verlaat het toestel nooit (of synchroniseert, versleuteld, via uw ecosysteem of wachtwoordmanager). Om in te loggen ontgrendelt u die sleutel met uw vingerafdruk, uw gezicht of de pincode van het toestel. Drie grote gevolgen: niets te onthouden of in te typen, ingebouwde phishingbestendigheid (de sleutel is aan het domein gebonden), en vooral geen gedeeld geheim op de server. Een datalek levert dan geen enkel te stelen wachtwoord meer op. Apple, Google en Microsoft ondersteunen ze, en de lijst met compatibele sites groeit elke maand. Biedt een dienst een passkey aan, zet hem dan aan.

Herstelcodes, uw vangnet

Een punt dat te veel mensen over het hoofd zien, tot de dag dat ze hun telefoon verliezen. Bij het inschakelen van 2FA geven de meeste diensten u een lijst herstelcodes (vaak een tiental, elk één keer bruikbaar). Dat zijn uw reservesleutels: ermee raakt u binnen, zelfs zonder uw app of uw telefoon. Noteer ze offline of bewaar ze veilig in uw wachtwoordmanager. Zonder die codes kan het verlies van een toestel u voorgoed buiten uw eigen account sluiten. Hebt u ze allemaal gebruikt, genereer dan een nieuwe reeks.

Waar te beginnen

Het plan komt neer op vijf stappen. Zet MFA aan overal waar het bestaat, te beginnen bij uw e-mail en uw wachtwoordmanager (dat zijn de sleutels tot al de rest). Kies altijd TOTP boven sms. Schakel passkeys in zodra een dienst ze aanbiedt. Houd een hardwaresleutel achter de hand voor uw gevoeligste accounts. En bewaar uw herstelcodes op een veilige plek. Precies die volgorde volg ik wanneer ik veilige platforms bouw, en niets houdt u tegen om ze vandaag al op uw eigen accounts toe te passen.

Een vraag over het uitrollen van MFA in uw organisatie? Neem contact op, ik help graag.