MFA instellen en controleren in Microsoft 365

MFA instellen in Microsoft 365 gaat in twee delen. Als beheerder zet je MFA aan voor de organisatie, via de beveiligingsstandaarden of via voorwaardelijke toegang. Daarna koppelt elke medewerker zelf een tweede inlogmethode, meestal de app Microsoft Authenticator. Pas als beide stappen gedaan zijn, ben je beschermd.

Hieronder lees je hoe je dat doet, en hoe je controleert of het echt bij iedereen werkt. Dat laatste gaat in de praktijk vaker mis dan het aanzetten zelf.

Stap 1: MFA aanzetten voor de organisatie

Er zijn twee routes. Welke je kiest, hangt af van je licentie en van hoeveel controle je wilt.

Route A: beveiligingsstandaarden

De beveiligingsstandaarden (Security defaults) zijn een vaste set instellingen van Microsoft. Het NCSC raadt MFA ook aan voor alle belangrijke accounts. Ze zijn gratis en werken met elke Microsoft 365-licentie.

1. Log in op het Microsoft Entra-beheercentrum met een beheerdersaccount.
2. Ga naar Identiteit, dan Overzicht en Eigenschappen.
3. Kies Beveiligingsstandaarden beheren en zet ze op Ingeschakeld.

Medewerkers krijgen daarna bij de volgende keer inloggen de vraag om MFA te registreren. Ze hebben daar 14 dagen voor.

Het nadeel: het is alles of niets. Je kunt geen uitzonderingen maken, bijvoorbeeld voor een vergaderruimtescherm of een scanner die mailt.

Route B: voorwaardelijke toegang

Met voorwaardelijke toegang (Conditional Access) bepaal je zelf wanneer MFA nodig is. Bijvoorbeeld altijd buiten kantoor, nooit opnieuw op een beheerde laptop binnen de dag, en altijd voor beheerders. Je hebt hiervoor Microsoft Entra ID P1 nodig. Dat zit onder meer in Microsoft 365 Business Premium.

Voor organisaties vanaf een paar tientallen medewerkers is dit bijna altijd de betere keuze. Je kunt MFA strenger maken waar het risico hoog is en soepeler waar het kan, zodat medewerkers er minder last van hebben.

Let op: gebruik niet beide routes tegelijk. Voorwaardelijke toegang werkt pas als de beveiligingsstandaarden uit staan.

Stap 2: medewerkers koppelen hun Authenticator

Elke medewerker koppelt zelf een tweede methode. Dat gaat via mysignins.microsoft.com/security-info: Aanmeldingsmethode toevoegen, Microsoft Authenticator kiezen en de QR-code scannen met de app. In hoe krijg ik een QR-code voor Microsoft Authenticator staan alle stappen, en wat je doet als de code niet verschijnt.

Kies waar het kan voor de Authenticator-app en niet voor sms. Sms is beter dan niets, maar een simkaart kan worden overgenomen en een code via sms is makkelijker te onderscheppen.

Hoe weet ik of MFA bij mij aanstaat?

Als medewerker zie je dat op dezelfde pagina, mysignins.microsoft.com/security-info. Staat daar Microsoft Authenticator of een telefoonnummer bij je aanmeldingsmethoden, dan is MFA voor jou geregistreerd. Krijg je bij inloggen op een nieuw apparaat een melding in de app of een code, dan wordt het ook gebruikt.

Hoe controleer je het voor de hele organisatie?

Dit is het deel dat vaak wordt overgeslagen. MFA staat aan, maar drie accounts zijn nooit geregistreerd, of een oud serviceaccount valt buiten de regels.

1. Ga in het Entra-beheercentrum naar Beveiliging en dan Verificatiemethoden.
2. Open Details van gebruikersregistratie. Je ziet per account of MFA is geregistreerd en met welke methode.
3. Filter op accounts die niet geregistreerd zijn en loop die na.

Kijk daarbij in elk geval naar deze accounts:

• Beheerdersaccounts. Die moeten altijd MFA hebben. Microsoft verplicht dit inmiddels zelf voor de beheerportalen.
• Gedeelde accounts, zoals info@ of planning@. Iemand moet daar nog op kunnen inloggen, dus vaak zijn ze uitgezonderd. Beter is om ze om te zetten naar een gedeelde mailbox zonder eigen wachtwoord.
• Accounts van oud-medewerkers die nog actief zijn. Die horen geblokkeerd te zijn. Zie ook wat je doet met het mailaccount van een ex-werknemer.
• Uitzonderingen in voorwaardelijke toegang. Een uitzondering die ooit voor één dag is gemaakt, staat er na een jaar vaak nog.

Waar het in de praktijk misgaat

Het aanzetten is zelden het probleem. Wat wel misgaat:

Een nieuwe telefoon. Een medewerker ruilt zijn toestel in en de Authenticator gaat mee de doos in. Spreek af dat een telefoonwissel via IT gaat, of zet back-up in de app aan.

Te veel meldingen. Wie tien keer per dag een melding goedkeurt, keurt ook de elfde goed, ook als die van een aanvaller komt. Microsoft laat daarom een getal invoeren in plaats van alleen op Goedkeuren te tikken. Met voorwaardelijke toegang zorg je dat een vertrouwde laptop niet steeds opnieuw vraagt.

Oude programma’s. Sommige oudere mailprogramma’s en koppelingen ondersteunen geen MFA. Die gebruiken dan een achterdeur via oudere verificatie. Die zet je uit, anders heeft MFA weinig zin.

Is MFA genoeg?

MFA houdt het grootste deel van de inbraken met gestolen wachtwoorden tegen. Maar aanvallers kunnen via een nagemaakte inlogpagina ook een sessie overnemen, inclusief de MFA-stap. Daarom combineer je MFA met voorwaardelijke toegang op beheerde apparaten, goede e-mailfiltering en training van medewerkers. Meer over de achtergrond lees je in wat is MFA en hoe veilig is het.

MFA goed geregeld voor iedereen

Voor één account is MFA zo ingesteld. Voor een hele organisatie wil je zeker weten dat het overal aanstaat, dat uitzonderingen bewust zijn gemaakt en dat iemand het blijft controleren. Dat richten we in en bewaken we met Microsoft Entra ID, als onderdeel van Microsoft 365-beveiliging.