MFA voor het MKB: zo regel je wachtwoordloos inloggen

MFA voor het MKB betekent dat je naast je wachtwoord een tweede stap gebruikt om in te loggen, zoals een code in een app, een passkey of een hardwaresleutel. Daarmee is een gestolen wachtwoord alleen niet meer genoeg om binnen te komen. Wachtwoordloos inloggen met passkeys gaat nog een stap verder: veiliger tegen phishing en volgens Microsoft ook sneller. Hieronder lees je welke vormen er zijn, of MFA verplicht is en hoe je het invoert in Microsoft 365.

Wat is MFA en waarom is een wachtwoord alleen niet genoeg?

MFA (multifactorauthenticatie) is inloggen met minimaal twee verschillende bewijzen van wie je bent. Het NCSC onderscheidt drie soorten: iets wat je weet (een wachtwoord of pincode), iets wat je hebt (je telefoon of een sleutel) en iets wat je bent (je vingerafdruk of gezicht).

Een wachtwoord alleen is te zwak, omdat het op veel manieren kan uitlekken. Een medewerker vult het in op een nepsite na een phishingmail. Het wordt hergebruikt op een webshop die gehackt wordt. Of het is simpelweg te raden. In al die gevallen logt een aanvaller zonder MFA gewoon in, van waar ook ter wereld.

Met MFA heeft de aanvaller ook je tweede factor nodig, en die zit fysiek bij jou. Daarom noemt het NCSC MFA een van de maatregelen tegen ransomware, en daarom zit MFA-implementatie bij ons in pakket Sterk. Hoe MFA samenwerkt met back-ups en updates, lees je in ransomware voorkomen in het MKB.

Is MFA voor het MKB verplicht?

MFA is verplicht voor organisaties die onder de Cyberbeveiligingswet vallen, de Nederlandse invulling van de Europese NIS2-richtlijn. Volgens het NCSC hoort het gebruik van multifactorauthenticatie bij de zorgplicht van aangewezen essentiële en belangrijke organisaties, naast onder meer risicoanalyse, back-upbeheer en incidentafhandeling. Of en wanneer de wet voor jouw organisatie geldt, lees je in de actuele informatie van het NCSC.

Valt je bedrijf daar niet onder, dan is MFA geen wettelijke plicht. Toch kom je er in de praktijk zelden omheen:

• Cyberverzekering. Verzekeraars vragen in hun vragenlijst vaak of MFA aanstaat op mail en toegang op afstand.
• Eisen van klanten. Grotere klanten die zelf onder NIS2 vallen, stellen eisen aan hun leveranciers.
• De AVG. Die vraagt passende beveiliging van persoonsgegevens. Wat passend is, hangt af van je situatie.

Bij ICT Productions zit NIS2-ondersteuning en -rapportage in pakket IJzersterk. Hulp bij AVG en NIS2 lees je op de pagina over compliance.

Welke vormen van MFA en wachtwoordloos inloggen zijn er?

Er zijn vijf veelgebruikte vormen, van sms tot hardwaresleutel. Ze verschillen vooral in hoe goed ze bestand zijn tegen phishing. De tabel zet ze naast elkaar.

Veeg opzij om de hele tabel te zien

Het NCSC noemt MFA via sms een relatief onveilige manier, omdat berichten niet versleuteld zijn en kunnen worden onderschept. Het waarschuwt ook voor "MFA-vermoeidheid": aanvallers sturen dan zoveel pushmeldingen dat iemand uiteindelijk op goedkeuren drukt.

Passkeys lossen dat op. Volgens Microsoft Learn werkt een passkey alleen op de site of app waarvoor hij is gemaakt, en moet je bij elke inlogpoging zelf aanwezig zijn om hem te ontgrendelen. Een nepsite kan er dus niets mee. Microsoft meldt op basis van zijn eigen consumentenaccounts dat inloggen met een gesynchroniseerde passkey 3 seconden duurt, tegen 69 seconden voor een wachtwoord met traditionele MFA. En 99% van de gebruikers registreert zo'n passkey zonder problemen.

Tip: begin niet met de sterkste vorm voor iedereen. Zet eerst MFA met een app aan voor alle accounts, en stap daarna per groep over op passkeys, te beginnen bij beheerders en de financiële afdeling.

Hoe zet je MFA en wachtwoordloos inloggen aan in Microsoft 365?

Je zet MFA in Microsoft 365 aan via Microsoft Entra ID, de gebruikersomgeving achter Microsoft 365. Dat gaat in vier stappen:

1. Inventariseer alle accounts. Ook gedeelde mailboxen, oude accounts van vertrokken medewerkers en serviceaccounts van koppelingen. Vergeten accounts zijn een favoriete ingang.
2. Kies de toegestane methoden. Bijvoorbeeld de Microsoft Authenticator-app en passkeys, en zet sms uit waar het kan.
3. Laat medewerkers registreren. Plan een moment waarop iedereen zijn methode instelt, met iemand erbij voor vragen.
4. Dwing het af. Via beleid in Entra ID geldt MFA daarna voor iedereen, en strenger voor beheerders en toegang van buiten.

Voor wachtwoordloos inloggen komt daar Windows Hello for Business op de laptops bij, en passkeys in de Authenticator-app of op de telefoon. Microsoft adviseert hardwaresleutels vooral voor gebruikers met veel rechten of in streng gereguleerde sectoren.

Een voorbeeld uit onze eigen klantenkring is CR8 Safety. Daar hebben we Microsoft 365 en SharePoint ingericht met ESET Endpoint Security en tweestapsverificatie, voor veilige communicatie en documentbeheer. Meer over hoe we dat aanpakken, lees je op de pagina MFA-implementatie.

Wat doe je met medewerkers zonder zakelijke telefoon?

Medewerkers zonder zakelijke telefoon kunnen een hardwaresleutel of Windows Hello op hun laptop gebruiken. Niet iedereen wil een werkapp op zijn privételefoon, en dat hoeft ook niet.

De opties op een rij:

• Hardwaresleutel. Een FIDO2-sleutel aan de sleutelbos. Werkt zonder telefoon en is bestand tegen phishing.
• Windows Hello for Business. Inloggen met pincode, gezicht of vingerafdruk op de eigen werklaptop.
• Authenticator-app op privételefoon. Kan, als de medewerker akkoord is. De app geeft de werkgever geen toegang tot de rest van de telefoon.
• Gedeelde werkplekken. Voor een balie of magazijn met een gedeelde pc zijn hardwaresleutels per medewerker vaak het praktischst.

Let op: registreer bij iedereen minimaal twee methoden. Raakt iemand zijn telefoon of sleutel kwijt, dan kan hij met de tweede methode verder werken tot de eerste is vervangen.

Bij ICT Productions zit MFA-implementatie in pakket Sterk, voor €54 per werkplek per maand, exclusief btw. Daarin zit ook het beheer van Microsoft 365, dus ook het blokkeren en opnieuw registreren als iemand een telefoon kwijt is. Hardware zoals sleutels valt buiten de prijs per werkplek; die nemen we op in de offerte als je ze wilt. De pakketten vergelijk je op de prijzenpagina. Wil je weten welke accounts nu nog zonder MFA werken? Vraag een gratis ICT-scan aan. Meer over ICT Productions als ICT-bedrijf voor het MKB lees je op de homepage.

---

Prijzen in dit artikel zijn vanaf-prijzen van oktober 2026, exclusief btw. Je werkelijke prijs hangt af van je situatie en staat in de offerte na een gratis ICT-scan. Dit artikel is algemene informatie en geen juridisch advies. Laat je bij twijfel adviseren door een jurist.