Je wachtwoord is als de sleutel van je voordeur. Raakt iemand die sleutel kwijt, of maakt iemand er stiekem een kopie van, dan staat de deur wagenwijd open. Multi-Factor Authentication (MFA), in het Nederlands meervoudige verificatie, voegt daar een tweede slot aan toe. Bij het aanmelden bevestig je niet alleen wat je weet, maar ook iets dat je hebt (je gsm of een beveiligingssleutel) of iets dat je bent (je vingerafdruk of je gezicht).
Het resultaat: zelfs als je wachtwoord uitlekt, komt een aanvaller niet binnen. Hij heeft immers ook jouw gsm of jouw vinger nodig. In dit artikel lees je hoe MFA werkt, welke methodes er zijn, welke het veiligst is en hoe je het aanzet, voor jezelf en voor je hele organisatie.
Hoe werkt MFA?
Stel dat je je aanmeldt bij Outlook of Teams. Zonder MFA typ je je e-mailadres en wachtwoord, en je bent binnen. Met MFA gaat het zo:
- Je typt je e-mailadres en je wachtwoord, zoals altijd.
- Microsoft vraagt een tweede bevestiging. Op je gsm verschijnt een melding in de Microsoft Authenticator-app.
- Je typt het getal dat op je scherm staat over in de app en bevestigt met je vingerafdruk, gezicht of pincode.
- Pas dan word je aangemeld.
Dat klinkt als extra werk, maar in de praktijk duurt het een paar seconden. Bovendien hoef je het niet bij elke klik te doen: op een vertrouwd toestel onthoudt Microsoft 365 je aanmelding een tijd. Gebruik je een passkey of Windows Hello, dan valt het wachtwoord zelfs helemaal weg en meld je je aan met alleen je gezicht of vingerafdruk.
De drie soorten factoren
Elke manier om te bewijzen wie je bent, valt in een van deze drie groepen:
- Iets dat je weet: een wachtwoord, een pincode of het antwoord op een beveiligingsvraag.
- Iets dat je hebt: je gsm met een authenticator-app, een beveiligingssleutel (FIDO2) of een smartcard.
- Iets dat je bent: je vingerafdruk of je gezicht, bijvoorbeeld met Windows Hello of Face ID.
MFA combineert er minstens twee uit verschillende groepen. Twee wachtwoorden na elkaar is dus geen MFA: als iemand het ene kan stelen, kan hij het andere meestal ook.
Welke methodes zijn er?
Niet elke tweede factor is even sterk. Dit is de rangorde, van veiligst naar zwakst:
| Methode | Veiligheid | Goed om te weten |
|---|---|---|
| Passkey, beveiligingssleutel (FIDO2) of Windows Hello for Business | Zeer goed, ook tegen phishing | Werkt alleen op de echte website, dus een nagemaakte loginpagina krijgt niets. |
| Microsoft Authenticator met nummervergelijking | Goed | Je typt een getal over, zodat je niet per ongeluk een vreemde aanvraag goedkeurt. |
| Code uit een authenticator-app | Goed | Werkt ook zonder internet op je gsm. De code verandert elke 30 seconden. |
| Sms of telefoonoproep | Beter dan niets, maar het zwakst | Kwetsbaar voor sim-swapping en onderschepte berichten. Gebruik het liefst alleen als reserve. |
Het grote verschil zit in phishingbestendigheid. Een code of een melding kun je nog altijd intypen of goedkeuren op een valse website. Een passkey of FIDO2-sleutel controleert zelf of de website echt is en weigert anders gewoon. Daarom raadt Microsoft passkeys aan als de beste keuze, zeker voor beheerders.
Waarom is MFA zo belangrijk?
Volgens Microsoft blokkeert MFA meer dan 99 procent van de aanvallen op accounts. Dat cijfer is minder verrassend dan het lijkt: de meeste inbraken beginnen niet met geavanceerde hacks, maar met een wachtwoord dat gestolen, geraden of hergebruikt werd. Iemand gebruikt hetzelfde wachtwoord voor een webshop en voor zijn werkmail, de webshop lekt, en de aanvaller probeert het meteen bij Microsoft 365.
Met MFA loopt die aanval vast op de tweede stap. Daarom maakt Microsoft MFA intussen ook verplicht voor iedereen die zich aanmeldt bij de beheerportalen, zoals de Azure-portal, het Microsoft Entra-beheercentrum, het Intune-beheercentrum en het Microsoft 365-beheercentrum. Die verplichting is stap voor stap uitgebreid naar beheertools zoals Azure CLI en PowerShell.
Waar beschermt MFA niet tegen?
MFA is geen wondermiddel. Aanvallers passen zich aan, en twee trucs zie je vaak terugkomen:
- MFA-moeheid: de aanvaller kent je wachtwoord en stuurt je tientallen meldingen, in de hoop dat je uit ergernis op Goedkeuren tikt. Nummervergelijking in Microsoft Authenticator maakt dit veel moeilijker, want je moet een getal overtypen dat alleen op het echte aanmeldscherm staat. Krijg je een melding die je niet zelf aanvroeg? Weiger ze en wijzig je wachtwoord.
- Phishing met een tussenpersoon: een valse loginpagina stuurt alles wat je intypt meteen door naar Microsoft en steelt zo je aanmeldsessie. Hiertegen helpen alleen phishingbestendige methodes zoals passkeys en FIDO2-sleutels.
Kortom: elke vorm van MFA is een enorme stap vooruit, maar wie het maximum wil, kiest voor passkeys.
MFA aanzetten
Voor jezelf is het zo gepiept:
- Ga naar mysignins.microsoft.com/security-info en meld je aan.
- Klik op Aanmeldingsmethode toevoegen.
- Kies Microsoft Authenticator of Passkey en volg de stappen op je gsm.
- Voeg meteen een tweede methode toe als reserve, zodat je niet buitengesloten raakt als je je gsm verliest.
Voor je organisatie heb je twee opties. De eenvoudigste is standaardbeveiliging (security defaults): één schakelaar die MFA aanzet voor iedereen, gratis en zonder extra licentie. Wil je meer controle, bijvoorbeeld geen MFA vragen op het kantoornetwerk maar wel overal anders, dan gebruik je voorwaardelijke toegang (Conditional Access). Daarvoor heb je Microsoft Entra ID P1 nodig, dat onder andere in Microsoft 365 Business Premium zit. Hoe je het stap voor stap instelt, lees je in MFA activeren in Microsoft 365.
Tips voor een vlotte uitrol
- Vertel het op voorhand. Leg uit waarom MFA nodig is en wat collega's te zien krijgen. Een korte mail of een filmpje voorkomt veel vragen aan de helpdesk.
- Laat iedereen twee methodes registreren. Zo blijft niemand buitengesloten na een nieuwe gsm of een kapot scherm.
- Beveilig je noodaccounts. Hou één of twee beheeraccounts achter de hand voor als het misloopt, en beveilig die met een FIDO2-sleutel die je veilig bewaart.
- Blokkeer oude protocollen. Oudere manieren van aanmelden, zoals basisverificatie, kennen geen MFA. Zet ze uit, anders blijft er een achterdeur open.
- Kijk naar de aanmeldlogboeken. In het Microsoft Entra-beheercentrum zie je wie MFA al gebruikt en wie nog niet.
Veelgestelde vragen
Wat als ik mijn gsm kwijt ben?
Gebruik je reservemethode om je aan te melden, of vraag je IT-beheerder om je MFA-methodes opnieuw te laten registreren. Op je nieuwe gsm voeg je daarna gewoon opnieuw de app toe.
Moet ik elke keer een melding goedkeuren?
Nee. Op een vertrouwd toestel onthoudt Microsoft 365 je aanmelding. Je krijgt vooral een vraag op een nieuw toestel, vanaf een andere locatie of als er iets verdachts gebeurt.
Werkt MFA zonder internet op mijn gsm?
Ja. De zescijferige code in Microsoft Authenticator werkt ook offline. Alleen de meldingen hebben een internetverbinding nodig.
Is MFA gratis?
Ja. MFA zit in elk Microsoft 365-abonnement. Alleen voor geavanceerde regels met voorwaardelijke toegang heb je een extra licentie nodig.