Een gestolen wachtwoord is het begin van de meeste hacks in Microsoft 365. Multi-factor authenticatie (MFA) voegt een tweede stap toe, meestal een melding in de Authenticator-app. Zelfs met je wachtwoord kan een aanvaller zich dan niet aanmelden. Volgens Microsoft blokkeert MFA meer dan 99% van de aanvallen op accounts. In dit artikel lees je de manieren om MFA aan te zetten, welke je kiest en hoe je de uitrol zonder klachten laat verlopen.
Welke manier kies je?
| Manier | Licentie | Geschikt voor |
|---|---|---|
| Standaardbeveiliging (security defaults) | Gratis | Kleine organisaties zonder Entra ID P1 |
| Voorwaardelijke toegang (Conditional Access) | Entra ID P1 (o.a. in Business Premium, E3, E5) | Iedereen die uitzonderingen en regels per app of locatie wil |
| MFA per gebruiker | Gratis | Verouderd, niet meer aanbevolen |
Gebruik je nog MFA per gebruiker? Stap over naar een van de andere twee en zet de oude instelling per gebruiker daarna uit, anders krijg je onvoorspelbare prompts.
Voorbereiden
- Maak twee noodaccounts (break-glass): cloudaccounts met de rol Globale beheerder, een lang wachtwoord en bij voorkeur een FIDO2-sleutel. Bewaar de gegevens veilig en offline.
- Informeer gebruikers vooraf: wat verandert er, wanneer, en waar vinden ze hulp.
- Zet selfservice voor wachtwoordherstel aan. Gebruikers registreren dan in één keer hun methodes voor MFA en wachtwoordreset.
Standaardbeveiliging aanzetten
Ga naar entra.microsoft.com > Entra ID > Overzicht > Eigenschappen > Standaardbeveiliging beheren en zet ze aan. In oudere versies van het menu staat Identiteit in plaats van Entra ID. Alle gebruikers moeten dan binnen 14 dagen de Authenticator-app registreren, en beheerders moeten MFA bij elke aanmelding gebruiken. Oude protocollen zoals POP en IMAP met basisverificatie worden geblokkeerd. Meer uitleg in standaardbeveiliging in Entra ID.
Met voorwaardelijke toegang
- Ga naar Entra ID > Voorwaardelijke toegang (vroeger onder Beveiliging) > Nieuw beleid op basis van sjabloon.
- Kies het sjabloon Meervoudige verificatie vereisen voor alle gebruikers.
- Sluit je noodaccounts uit.
- Zet het beleid eerst op Alleen rapporteren, controleer een week lang de aanmeldlogboeken en zet het daarna aan.
Zet standaardbeveiliging uit zodra je voorwaardelijke toegang gebruikt; ze werken niet samen. Het voordeel van voorwaardelijke toegang: je kunt bijvoorbeeld minder vaak om MFA vragen op beheerde toestellen en altijd bij aanmeldingen van buitenaf.
Voor de gebruiker
- Installeer Microsoft Authenticator op je smartphone.
- Ga naar aka.ms/mysecurityinfo > Aanmeldmethode toevoegen > Authenticator-app en scan de QR-code.
- Voeg meteen een tweede methode toe, zoals een telefoonnummer, voor als je je toestel verliest.
- Bij het aanmelden typ je het getal dat op je scherm verschijnt in de app. Typ nooit een getal in als je zelf niet aan het aanmelden bent.
Niet elke methode is even sterk
- Passkeys, FIDO2-sleutels en Windows Hello voor Bedrijven: bestand tegen phishing. De beste keuze.
- Authenticator met getallen: goed en gebruiksvriendelijk.
- Sms en spraakoproep: beter dan niets, maar kwetsbaar voor SIM-swapping. Gebruik ze alleen als reserve.
Verplicht voor beheerders
Microsoft heeft MFA verplicht gemaakt voor wie zich aanmeldt bij de Azure-portal, het Entra-beheercentrum, het Intune-beheercentrum en het Microsoft 365-beheercentrum. In een tweede fase geldt het ook voor Azure CLI, Azure PowerShell en andere beheertools. Heb je nog beheer- of serviceaccounts zonder MFA, regel het dan nu. Voor scripts gebruik je beter een workload-identiteit met een certificaat.
Veelvoorkomende problemen
- Gebruiker heeft een nieuwe telefoon. Een beheerder kiest bij de gebruiker in het Entra-beheercentrum Verificatiemethoden > Opnieuw registreren voor MFA vereisen, of de gebruiker meldt zich aan met de reservemethode.
- Een oude app blijft om een wachtwoord vragen. Die app ondersteunt geen moderne verificatie. Zoek een update of vervanger; app-wachtwoorden zijn een tijdelijke noodoplossing.
- Te veel prompts. Controleer of MFA per gebruiker nog aanstaat naast je beleid.
Veelgestelde vragen
Kost MFA extra?
Nee, standaardbeveiliging en de Authenticator-app zijn gratis. Voor voorwaardelijke toegang heb je Entra ID P1 nodig.
Wat is de volgende stap?
Aanmelden zonder wachtwoord met passkeys. Lees aanmelden zonder wachtwoord.