De meeste aanvallen op een kantoor beginnen met één gestolen account. Microsoft 365 heeft de gereedschappen om dat te voorkomen, maar niet alles staat standaard goed. Dit zijn de acht instellingen die wij bij elk kantoor als eerste controleren.
Zet in Microsoft 365 in elk geval meervoudige verificatie (MFA) aan voor alle gebruikers, blokkeer oude inlogmethoden zonder MFA, beveilig beheerdersaccounts apart en houd het aantal globale beheerders klein. Zet automatisch doorsturen naar externe adressen uit en beperk delen met buitenstaanders. Met Business Premium kunt u Conditional Access instellen, waarmee u inloggen aan voorwaarden koppelt. Controleer daarna regelmatig uw beveiligingsscore.
Doorloop ze in deze volgorde. De eerste drie leveren het meeste op en kosten geen extra licentie.
Vraag voor elke gebruiker een tweede stap bij het inloggen, bij voorkeur via de Microsoft Authenticator-app. Microsoft zegt dat MFA samen met het blokkeren van oude inlogmethoden meer dan 99,9% van de gangbare aanvallen op identiteiten tegenhoudt.
Oudere mailprotocollen zoals IMAP, POP3 en SMTP en oude Office-versies ondersteunen geen MFA. Een aanvaller kan dan MFA omzeilen. Blokkeer ze, na controle dat uw printers en apps ze niet nodig hebben.
Geef beheerders een apart account voor beheer, naast hun gewone account. Beperk het aantal globale beheerders: Microsoft adviseert minder dan vijf. Zorg voor twee noodtoegangsaccounts, die niet aan een persoon zijn gekoppeld.
Met Conditional Access koppelt u inloggen aan voorwaarden: welk apparaat, welke locatie, welke app. Het vraagt Microsoft Entra ID P1 en zit in Business Premium. Zet beleid eerst in een testmodus.
Aanvallers zetten na een overname vaak een regel klaar die mail naar een extern adres doorstuurt. Zet automatisch doorsturen naar externe ontvangers expliciet uit in het uitgaande spambeleid.
Laat externe links verlopen of eerst om inloggen vragen. Zo komt een gedeelde map niet per ongeluk voor altijd open voor iedereen te staan.
Beperk toegang vanaf niet-beheerde apparaten, zoals een openbare computer of een privélaptop. Met Intune beheert u laptops en telefoons en wist u ze op afstand als er iets zoekraakt.
Gebruik de beveiligingsscore (Secure Score) om te zien wat er nog openstaat. Microsoft verandert regelmatig iets: een instelling die vorig jaar goed stond, kan nu achterlopen.
Security defaults zijn vooraf ingestelde beveiligingsregels die Microsoft gratis aanbiedt. Ze vragen alle gebruikers om zich voor MFA te registreren, eisen MFA van beheerders, blokkeren oude inlogmethoden en blokkeren het inloggen met een apparaatcode. Bij tenants die op of na 22 oktober 2019 zijn aangemaakt, kunnen ze al aan staan. Dat kunt u controleren in het Microsoft Entra-beheercentrum.
Voor een klein kantoor zonder bijzondere eisen is dat een prima basis. Het is alles of niets: u kunt er geen uitzonderingen in maken. Heeft u Business Premium, dan hoort u over te stappen op Conditional Access, waarmee u dezelfde regels kunt instellen en daarbovenop maatwerk. Zet security defaults dan uit en vervang ze direct door beleid, anders zit u even zonder bescherming. Microsoft biedt daarvoor ook door Microsoft beheerd beleid aan.
Beheerders en directie hebben het, de rest niet. Een aanvaller zoekt de gebruiker zonder MFA. Tel hoeveel accounts nog met alleen een wachtwoord binnenkomen.
Elke extra globale beheerder is een extra doelwit met volledige rechten. Beperk ze, en geef anderen alleen de rol die ze nodig hebben.
Het uitgaande spambeleid met "automatisch" laat in sommige organisaties doorsturen toe. Stel het expliciet in op uit, om geen verrassingen te krijgen.
Een scanner of oud boekhoudpakket dat nog via IMAP of SMTP inlogt, houdt de deur op een kier. Vervang die verbinding vóór u blokkeert.
Een privételefoon met bedrijfsmail erop en geen manier om hem te wissen als hij zoekraakt. Beheer van apparaten maakt het verschil.
Instellingen worden eenmalig goed gezet en daarna nooit meer bekeken. Plan elk kwartaal een controle van beheerders, regels en beveiligingsscore.
Met onze Security Check kijken wij mee in uw Microsoft 365-omgeving en tellen precies hoeveel accounts zonder MFA binnenkomen, welke doorstuurregels er staan en wie beheerder is. U krijgt een rapport met een volgorde van aanpakken. Wij wijzigen niets zonder uw akkoord, en het rapport is van u, ook als u verder niets met ons doet.
In ons Microsoft 365-beheer zitten Entra ID, Conditional Access en de Defender-instellingen standaard, en Cloud 365 Secure+ voegt bewaking en opvolging toe in vijf lagen. Kijk voor het grote plaatje ook op Cloud 365 Modern Workplace. Welk plan u nodig heeft om dit allemaal te kunnen instellen, leest u in onze gids Basic, Standard of Premium. Wilt u weten of beveiligingswetgeving voor u geldt? Lees dan de gids over de Cyberbeveiligingswet.
Ja, MFA is beschikbaar via de gratis security defaults. Voor meer maatwerk, zoals voorwaarden per locatie of apparaat, heeft u Conditional Access nodig. Dat vraagt Microsoft Entra ID P1 en zit in Business Premium.
Een als-dan-regel voor inloggen: als iemand bij Microsoft 365 wil, dan moet die een actie uitvoeren, zoals MFA doen of een beheerd apparaat gebruiken. Het gebruikt signalen als gebruiker, locatie, apparaat en app, en zit in Business Premium.
Microsoft adviseert minder dan vijf, met MFA voor elk van hen. Daarnaast adviseert Microsoft twee noodtoegangsaccounts die alleen worden gebruikt als normale accounts niet werken.
Doorsturen kan nuttig zijn, maar kan ook gegevens bij de verkeerde laten komen. Aanvallers gebruiken het na een overname van een account. Het uitgaande spambeleid kent drie standen. Stel het expliciet in op uit in plaats van op automatisch, want automatisch werkt per organisatie verschillend.
Bronnen: Microsoft Learn, Security defaults, Conditional Access, Best practices voor Entra-rollen, Automatisch doorsturen naar extern en Beveiliging in SharePoint en OneDrive, geopend op 28 oktober 2026. De volgorde en de praktijktips zijn van ons.
Een nulmeting van uw Microsoft-omgeving laat zien wat er openstaat, in welke volgorde u het zou aanpakken en wat u zelf kunt doen.
Klaar om te versnellen? Vrijblijvend adviesgesprek.
Afspraak plannenDe Darkweb Scan is gratis, kost u twee velden en levert een rapport op dat u ook zonder ons kunt gebruiken.
Vink aan wat u wilt. U ziet meteen wat het per maand wordt voor uw kantoor.
Stap 1 van 3: wat heeft u nodig?