Moeten gebruikers in Microsoft 365 hun wachtwoord elke 90 dagen wijzigen, of beter nooit? Lange tijd was regelmatig wijzigen de norm. Vandaag raden Microsoft, het Amerikaanse NIST en veel securityrichtlijnen het af: gebruikers kiezen dan zwakke, voorspelbare wachtwoorden zoals Lente2026! en Zomer2026!. In dit artikel zie je hoe je het beleid voor het verlopen van wachtwoorden instelt in Microsoft 365, wat de standaard is, en wat je beter doet om accounts te beschermen.
Wat is de standaard?
In Microsoft 365 verlopen wachtwoorden standaard nooit. In het admin center staat de optie Wachtwoorden nooit laten verlopen (aanbevolen) aangevinkt. Microsoft raadt aan dat zo te laten en in plaats daarvan meervoudige verificatie (MFA) te gebruiken.
Het beleid instellen in het admin center
Je hebt minstens de rol Gebruikersbeheerder nodig.
- Meld je aan bij het Microsoft 365 admin center.
- Klik op ... Alles weergeven > Instellingen > Instellingen van organisatie.
- Open het tabblad Beveiliging en privacy en klik op Beleid voor verlopen van wachtwoord (Password expiration policy).
- Wil je toch dat wachtwoorden verlopen? Vink Wachtwoorden nooit laten verlopen (aanbevolen) (Set passwords to never expire) uit.
- Vul bij Dagen voordat wachtwoorden verlopen een waarde in tussen 14 en 730 en klik op Opslaan.
Een melding vooraf dat het wachtwoord bijna verloopt, kan je niet meer instellen: het admin center en de Microsoft 365-apps ondersteunen die meldingen niet meer.
Let op bij gesynchroniseerde accounts
Dit beleid geldt alleen voor cloudaccounts in Microsoft Entra ID. Gebruik je Microsoft Entra Connect met wachtwoordhashsynchronisatie, pass-through-verificatie of AD FS, dan bepaalt het beleid van je lokale Active Directory wanneer wachtwoorden verlopen. Dat stel je in via groepsbeleid (Default Domain Policy) of met Fine-Grained Password Policies.
Waarom wachtwoorden beter niet verlopen
- Zwakkere wachtwoorden: wie vaak moet wijzigen, kiest wachtwoorden die makkelijk te raden zijn, of verhoogt alleen een cijfer.
- Meer helpdeskvragen: vergeten wachtwoorden en buitengesloten accounts kosten tijd.
- Geen bescherming tegen phishing: een gestolen wachtwoord wordt meestal binnen enkele uren misbruikt, lang voor het verloopt.
Wijzig een wachtwoord wel meteen als er een vermoeden is dat het gelekt is.
Wat werkt beter dan wachtwoorden laten verlopen?
- MFA voor iedereen, via security defaults of voorwaardelijke toegang.
- Wachtwoordloos aanmelden met passkeys, Windows Hello for Business of de Microsoft Authenticator-app.
- Microsoft Entra-wachtwoordbeveiliging: blokkeert veelgebruikte en zwakke wachtwoorden, en eigen verboden woorden zoals je bedrijfsnaam.
- Selfservice wachtwoordherstel (SSPR), zodat gebruikers zelf een nieuw wachtwoord kunnen instellen.
- Risicogebaseerd beleid (Entra ID P2): een wachtwoordwijziging alleen afdwingen als Microsoft een gelekt wachtwoord of verdachte aanmelding vaststelt.
Met PowerShell (Microsoft Graph)
De oude MSOnline-module (Set-MsolPasswordPolicy) bestaat niet meer. Met Microsoft Graph PowerShell stel je de geldigheid per domein in:
Connect-MgGraph -Scopes "Domain.ReadWrite.All"
Get-MgDomain | Select-Object Id, PasswordValidityPeriodInDays
# Wachtwoorden laten verlopen na 365 dagen:
Update-MgDomain -DomainId "jouwbedrijf.be" -PasswordValidityPeriodInDays 365
# Nooit laten verlopen:
Update-MgDomain -DomainId "jouwbedrijf.be" -PasswordValidityPeriodInDays 2147483647Voor één gebruiker zet je het verlopen uit met:
Update-MgUser -UserId "jan@jouwbedrijf.be" -PasswordPolicies DisablePasswordExpirationGebruik dat bijvoorbeeld voor een serviceaccount, maar beter nog: vervang serviceaccounts door beheerde identiteiten of app-registraties.