Security defaults (in het Nederlands: standaardinstellingen voor beveiliging) zijn een gratis pakket basisbeveiliging voor je Microsoft 365-omgeving. Met één schakelaar verplicht je MFA voor iedereen, extra controles voor beheerders en blokkeer je verouderde aanmeldmethodes die aanvallers graag misbruiken. In dit artikel lees je wat security defaults precies doen, voor wie ze bedoeld zijn en hoe je ze in- of uitschakelt.
Wat zijn security defaults?
Security defaults zijn door Microsoft vooraf ingestelde beveiligingsregels voor Microsoft Entra ID, de identiteitsdienst achter Microsoft 365 en Azure. Volgens Microsoft houden MFA en het blokkeren van verouderde verificatie samen meer dan 99,9% van de gangbare identiteitsaanvallen tegen. Je kan niets aan de regels aanpassen: ze staan aan of uit.
Security defaults zijn gratis en werken ook met de gratis versie van Entra ID. Ze zijn bedoeld voor kleinere organisaties zonder Microsoft Entra ID P1 of P2. Heb je die licenties wel (bijvoorbeeld via Microsoft 365 Business Premium of E3/E5), dan gebruik je beter voorwaardelijke toegang.
Wat doen security defaults?
Als je security defaults inschakelt, gelden deze zes regels voor je hele tenant:
- Iedereen registreert zich voor MFA met de Microsoft Authenticator-app. Er is geen uitstel meer: de vroegere periode van 14 dagen is op 29 juli 2024 geschrapt.
- Beheerders doen altijd MFA, bij elke aanmelding (zie de lijst met rollen hieronder).
- Gewone gebruikers doen MFA wanneer het nodig is. Microsoft bepaalt wanneer, op basis van onder meer de locatie, het toestel, de rol en de taak.
- Verouderde verificatie wordt geblokkeerd: oude Office-clients zonder moderne verificatie (zoals Office 2010) en oudere mailprotocollen zoals IMAP, SMTP-verificatie, POP3 en Exchange ActiveSync met basisverificatie.
- De device code flow wordt geblokkeerd. Bij die aanmeldmethode typ je een code in op een ander toestel; aanvallers gebruiken ze om gebruikers via phishing te laten aanmelden.
- Beheer van Azure is beschermd. Wie Azure Resource Manager gebruikt, zoals de Azure portal, het Entra admin center, Azure PowerShell of de Azure CLI, moet altijd MFA doen, ook als het geen beheerder is.
Deze beheerdersrollen doen altijd MFA
Wie een van deze rollen heeft, moet bij elke aanmelding een extra verificatie uitvoeren:
- Global Administrator (globale beheerder)
- Application Administrator en Cloud Application Administrator
- Authentication Administrator en Authentication Policy Administrator
- Privileged Authentication Administrator en Privileged Role Administrator
- Billing Administrator (factureringsbeheerder)
- Conditional Access Administrator (beheerder voor voorwaardelijke toegang)
- Exchange Administrator en SharePoint Administrator
- Helpdesk Administrator en Password Administrator
- Identity Governance Administrator
- Security Administrator (beveiligingsbeheerder)
- User Administrator (gebruikersbeheerder)
Welke rol je voor welke taak geeft, lees je in het overzicht van administrator-rollen in Microsoft 365.
Welke MFA-methodes werken?
Gebruikers registreren zich met de Microsoft Authenticator-app en melden zich aan door een melding goed te keuren, waarbij ze een getal intypen dat op het scherm verschijnt. Dat helpt tegen zogenaamde MFA-moeheid, waarbij aanvallers blijven aandringen tot iemand per ongeluk "goedkeuren" tikt. Daarna werken ook de codes van de Authenticator-app en codes uit andere authenticator-apps die OATH TOTP ondersteunen. Meer uitleg over MFA lees je in wat is MFA?
Waarom verouderde verificatie blokkeren?
Oudere protocollen zoals POP3, IMAP en SMTP-verificatie ondersteunen geen MFA. Een aanvaller met een gestolen wachtwoord kan via zo'n protocol dus gewoon aanmelden, ook als MFA aanstaat. Daarom blokkeren security defaults ze. Gewone Microsoft 365-gebruikers met Outlook, de Outlook-app of Outlook op het web merken daar niets van.
Let op voordat je inschakelt: printers en scanners die naar e-mail scannen, en oudere toepassingen die via Microsoft 365 mail versturen, gebruiken soms nog SMTP met een gebruikersnaam en wachtwoord. Die moet je eerst omzetten. Zo vermijd je dat ze plots stoppen met werken. Meer achtergrond vind je in het einde van basic authentication en legacy authentication inzichtelijk maken.
Staan security defaults bij mij al aan?
Waarschijnlijk wel als je tenant recent is aangemaakt. Elke nieuwe tenant krijgt security defaults automatisch, met 24 uur respijt voordat ze afgedwongen worden. Microsoft schakelt ze ook automatisch in bij bestaande tenants zonder voorwaardelijke toegang, zonder premium-licenties en zonder actieve oude clients; je krijgt daar dan vooraf een e-mail over. Je controleert het in het Entra admin center, zoals hieronder beschreven.
Security defaults inschakelen in Microsoft Entra
Je hebt minstens de rol Conditional Access Administrator nodig (of Global Administrator).
- Meld je aan bij het Microsoft Entra admin center.
- Ga naar Entra ID > Overzicht > Eigenschappen (Overview > Properties).
- Klik onderaan op Standaardinstellingen voor beveiliging beheren (Manage security defaults).
- Zet Security defaults op Ingeschakeld (Enabled).
- Klik op Opslaan.
Tip: wie al aangemeld was, blijft dat voorlopig. Wil je dat iedereen meteen MFA registreert, trek dan de bestaande sessies in, bijvoorbeeld met Microsoft Graph PowerShell:
Connect-MgGraph -Scopes "User.RevokeSessions.All"
Revoke-MgUserSignInSession -UserId "gebruiker@jouwbedrijf.be"Gebruikers registreren MFA zelf via mysignins.microsoft.com/security-info. Een stappenplan voor je gebruikers vind je in hoe je MFA activeert in Microsoft 365.
Security defaults uitschakelen
Uitschakelen gaat op dezelfde plaats: zet de schakelaar op Uitgeschakeld (niet aanbevolen) en kies een reden. Doe dat alleen als je overstapt naar voorwaardelijke toegang, en zet die beleidsregels dan meteen aan. Zorg ook voor twee noodaccounts (break-glass accounts): cloud-only accounts met permanente Global Administrator-rechten, voor het geval je jezelf buitensluit.
Security defaults of voorwaardelijke toegang?
Met voorwaardelijke toegang (Conditional Access) bepaal je zelf de regels: als iemand zich aanmeldt vanaf een onbeheerd toestel, dan vraag je MFA. Of: blokkeer aanmeldingen van buiten Europa. Security defaults en voorwaardelijke toegang kunnen niet samen aanstaan: wie eigen beleidsregels wil, moet security defaults eerst uitschakelen.
| Security defaults | Voorwaardelijke toegang | |
|---|---|---|
| Licentie | Geen (ook Entra ID Free) | Minstens Microsoft Entra ID P1 |
| Aanpasbaar | Nee, aan of uit | Volledig: gebruikers, apps, locaties, toestellen, risico |
| Uitzonderingen | Niet mogelijk | Wel mogelijk, bijvoorbeeld voor noodaccounts |
| Geschikt voor | Kleine organisaties zonder P1 | Organisaties met Business Premium, E3 of E5 |
Stap je over, dan helpen de door Microsoft beheerde beleidsregels voor voorwaardelijke toegang je op weg. Die bieden dezelfde bescherming als security defaults: verouderde verificatie blokkeren, MFA voor Azure-beheer, MFA voor beheerders en MFA voor alle gebruikers.
Goed om te weten
- Synchronisatieaccounts van Microsoft Entra Connect en Cloud Sync zijn uitgezonderd en krijgen geen MFA-vraag. Gebruik die accounts voor niets anders.
- Gastgebruikers (B2B) worden behandeld als interne gebruikers en moeten dus ook MFA doen.
- Per-gebruiker-MFA toont bij gebruikers vaak de status Uitgeschakeld als je security defaults gebruikt. Dat is normaal: MFA wordt dan door security defaults afgedwongen.
- Exchange Online in oudere tenants: in tenants van vóór 2017 staat moderne verificatie soms nog uit. Zet die eerst aan, anders kan Outlook in een aanmeldlus terechtkomen.
- Microsoft verplicht zelf ook MFA voor de Azure portal en de admin centers van Entra en Intune, los van security defaults.
- Nieuwe versie in preview: Microsoft test een nieuwe versie waarin je de vier regels (MFA voor beheerders, MFA voor iedereen, verouderde verificatie blokkeren, device code flow blokkeren) afzonderlijk kan beheren, ook naast eigen beleidsregels voor voorwaardelijke toegang. Die is voorlopig alleen beschikbaar voor een beperkt aantal tenants.
Lees ook
Hoe MFA activeren in Microsoft 365
App-wachtwoorden beheren voor legacy applicaties
Administrator-rollen in Microsoft 365
Alle Microsoft 365 admin portalen op een rij