De meeste inbraken in Microsoft 365 beginnen niet met geavanceerde hacks, maar met een gestolen of geraden wachtwoord. Tweestapsverificatie — ook wel MFA genoemd — zorgt dat een wachtwoord alleen niet genoeg is.
Hoe werkt het?
Naast je wachtwoord bevestig je bij het inloggen dat jij het bent, meestal met een app op je telefoon (zoals Microsoft Authenticator), soms met een sms-code of een beveiligingssleutel. Een aanvaller met alleen je wachtwoord komt dan niet binnen.
Welke vorm is het veiligst?
- Beveiligingssleutel of passkey: het sterkst, en bestand tegen nep-inlogpagina’s.
- Authenticator-app met nummer-vergelijking: een goede standaard voor de meeste gebruikers.
- Sms of telefoontje: beter dan niets, maar het zwakst.
Waar het in de praktijk misgaat
Niet voor iedereen
MFA staat aan voor beheerders, maar niet voor “gewone” gebruikers. Juist die worden het vaakst gephisht.
Oude inlogmethoden staan nog open
Oudere protocollen ondersteunen geen tweestapsverificatie. Staan die nog aan, dan kan een aanvaller er met alleen een wachtwoord omheen.
Gedeelde accounts
Een account voor de hele balie of het magazijn, waarvan meerdere mensen het wachtwoord kennen. MFA is dan lastig, en je weet niet meer wie wat heeft gedaan.
Uitzonderingen die blijven bestaan
“Even tijdelijk” iemand uitgezonderd van MFA — en daarna vergeten. Uitzonderingen moeten op een lijst staan en regelmatig worden nagelopen.
Standaardbeveiliging of eigen regels?
Microsoft biedt standaardbeveiliging die MFA voor iedereen afdwingt. Met Microsoft 365 Business Premium kun je ook eigen regels maken (voorwaardelijke toegang), bijvoorbeeld alleen inloggen vanaf beheerde apparaten of vanuit bepaalde landen. Welke aanpak past, hangt af van je licenties en je organisatie.
Weten hoe het bij jou zit?
In de M365-audit controleer ik of tweestapsverificatie voor alle gebruikers werkt, welke uitzonderingen er zijn en of oude inlogmethoden geblokkeerd zijn.