Wat is MFA en hoe veilig is het?

MFA staat voor multi-factor authenticatie. Je logt dan niet alleen in met een wachtwoord, maar bevestigt ook met iets anders, meestal een melding of code op je telefoon. Een aanvaller die je wachtwoord heeft, komt zo niet verder. Voor vrijwel elke organisatie die met Microsoft 365 werkt, is het de eerste maatregel die aan moet.

In dit artikel lees je wat MFA precies is, welke vormen er zijn, hoe veilig het is en wanneer het verplicht is.

Hoe werkt multi-factor authenticatie?

Bij het inloggen moet je laten zien dat je bent wie je zegt dat je bent. Daarvoor bestaan drie soorten bewijs, de zogeheten factoren:

• Iets wat je weet: een wachtwoord of pincode.
• Iets wat je hebt: je telefoon, een beveiligingssleutel of een pas.
• Iets wat je bent: je vingerafdruk of gezicht.

Bij MFA combineer je er minstens twee. Een wachtwoord plus een code op je telefoon is de bekendste combinatie.

Wat is het verschil tussen 2FA en MFA?

2FA, tweestapsverificatie, betekent precies twee factoren. MFA betekent twee of meer. In de praktijk worden de termen door elkaar gebruikt, en bijna altijd gaat het om twee factoren. Microsoft noemt het in zijn eigen omgeving MFA.

Welke vormen van MFA zijn er?

Niet elke tweede factor is even sterk. Van zwak naar sterk:

Sms of telefoongesprek. Beter dan alleen een wachtwoord, maar het zwakst. Een simkaart kan via een slinkse truc bij de provider worden overgezet naar een aanvaller.

Een code in een app. Een app als Microsoft Authenticator maakt elke dertig seconden een nieuwe code. Die is niet te onderscheppen via het telefoonnetwerk.

Een melding in de app met nummercontrole. Je ziet op je scherm een getal en tikt dat over in de app. Dit is de standaard in Microsoft 365 en voor de meeste organisaties de beste balans tussen veilig en werkbaar.

Wachtwoordloos inloggen met een passkey of beveiligingssleutel. De sterkste vorm, omdat er geen wachtwoord meer is om te stelen en een nagemaakte inlogpagina niet werkt. Vooral zinvol voor beheerders en mensen met toegang tot gevoelige gegevens.

Welk risico verklein je met multi-factor authenticatie?

De meeste inbraken bij mkb-organisaties beginnen met een gestolen of geraden wachtwoord. Iemand vult zijn gegevens in op een nagemaakte inlogpagina, of gebruikt hetzelfde wachtwoord als bij een webshop die is gehackt. Zonder MFA logt de aanvaller daarmee gewoon in, leest mee in de mailbox en stuurt vanuit dat account een valse betaalopdracht naar een klant.

Met MFA heeft dat wachtwoord alleen weinig waarde. Microsoft geeft zelf aan dat MFA het overgrote deel van de aanvallen op accounts tegenhoudt, en ook het NCSC adviseert het voor alle belangrijke accounts.

Hoe veilig is MFA echt?

Veilig, maar niet onfeilbaar. Er zijn twee bekende manieren om MFA te omzeilen.

De eerste is meldingsmoeheid. De aanvaller heeft het wachtwoord en stuurt keer op keer een inlogverzoek, tot iemand uit gewoonte op Goedkeuren tikt. De nummercontrole in Microsoft Authenticator maakt dit veel lastiger, omdat je het getal van het scherm moet overnemen.

De tweede is een nagemaakte inlogpagina die alles doorgeeft. De medewerker logt in, inclusief de MFA-stap, maar via een tussenstation van de aanvaller. Die neemt daarna de ingelogde sessie over. Hiertegen helpt voorwaardelijke toegang, waarbij je alleen toegang geeft vanaf beheerde apparaten, en wachtwoordloos inloggen voor de belangrijkste accounts.

MFA is dus een stevig slot op de voordeur, geen volledige beveiliging. Combineer het met goede beveiliging van Microsoft 365 en training van medewerkers.

Is multi-factor authenticatie wettelijk verplicht?

Er is geen wet die letterlijk zegt dat elke organisatie MFA moet gebruiken. Wel verplicht de AVG je om passende maatregelen te nemen om persoonsgegevens te beschermen. Bij een datalek door een overgenomen account zonder MFA is het lastig uit te leggen dat dat passend was.

Voor organisaties die onder de Cyberbeveiligingswet vallen, ligt het strenger. Die Nederlandse uitwerking van NIS2 geldt sinds 15 augustus 2026 en noemt sterke authenticatie expliciet als maatregel. Lees meer in NIS2 en de Cyberbeveiligingswet. Daarnaast vragen steeds meer klanten, verzekeraars en certificeringen als ISO 27001 erom.

Wat is er nodig voor MFA?

Weinig. Elke Microsoft 365-licentie ondersteunt MFA. Medewerkers hebben een smartphone met de Authenticator-app nodig. Wil of mag iemand geen app op een privételefoon, dan is een fysieke beveiligingssleutel een goed alternatief.

Wil je meer sturen op wanneer MFA wordt gevraagd, bijvoorbeeld niet opnieuw op een beheerde laptop op kantoor, dan heb je voorwaardelijke toegang nodig. Daarvoor is Microsoft Entra ID P1 vereist, dat onder meer in Business Premium zit. Hoe je het inricht, lees je in MFA instellen en controleren in Microsoft 365.

Waarom gebruiken niet alle organisaties al MFA?

Meestal niet uit onwil. De reden is vaker een oud programma dat niet met MFA overweg kan, een gedeeld account waar meerdere mensen op inloggen, of de angst dat medewerkers gaan klagen. Alle drie zijn op te lossen, en de klachten vallen mee als je MFA slim instelt.