Tweestapsverificatie op elke bedrijfsmailbox: een plan voor één middag

Waarom de mailbox eerst komt

Het Centrum voor Cybersecurity België (CCB) schrijft dat tweestapsverificatie het voor een crimineel moeilijker maakt om in e-mail- en facturatiesystemen te geraken, ook als het wachtwoord gestolen is. Het vraagt elk bedrijf om ze te verplichten voor alle toegang vanaf het internet tot bedrijfsapplicaties, te beginnen met de aanmelding bij applicaties zoals e-mail, toegang van buitenaf en beheerdersrechten (CCB, Safeonweb@work). CyberFundamentals Small, het instapniveau van het CCB voor micro-organisaties en organisaties met beperkte technische kennis, opent met het beveiligen van alle aanmeldingen met multifactorauthenticatie (CCB, CyberFundamentals).

Eurostat telt de ondernemingen met 10 of meer werknemers die minstens twee manieren van aanmelden combineren, zoals een wachtwoord plus een code op de gsm. In België was dat 59,0% in 2024, tegenover 39,36% in 2022; in de hele EU was het 39,84% in 2024 (Eurostat).

BelgiëEU (27 landen)

2022

België39,36%

EU (27 landen)30,96%

2024

België59,0%

EU (27 landen)39,84%

Eurostat meet dit om de twee jaar; 2024 is de laatste meting.

Bron: Eurostat, tabel isoc_cisce_ra (ICT-beveiliging in ondernemingen), bijgewerkt op 15 juni 2026

Voordat u begint

Maak een lijst van elk account dat zich aanmeldt op uw e-mail: één per persoon, de beheerdersaccounts, gedeelde adressen zoals info@, en toestellen die zelf mail versturen, zoals een scanner. Laat uw medewerkers weten op welke dag het gebeurt en welke app ze moeten installeren, zoals de handleiding van Google aanraadt (Google). Met de standaardinstellingen voor beveiliging (security defaults) van Microsoft krijgen gebruikers sinds 29 juli 2024 geen termijn van 14 dagen meer om zich te registreren (Microsoft). Stuur uw medewerkers dus vooraf naar myprofile.microsoft.com, onder Beveiligingsgegevens.

De volgorde van het werk

1. Eerst de beheerders. Microsoft raadt aparte accounts aan voor beheer en voor het dagelijkse werk (Microsoft), en twee of meer noodaccounts die alleen in de cloud bestaan, niet gekoppeld zijn aan één persoon en beveiligd zijn met een passkey (FIDO2) (Microsoft). Google dwingt tweestapsverificatie af voor beheerdersaccounts, en meteen voor wie nieuw beheerder wordt (Google). Google raadt meer dan één superbeheerder aan, elk een andere persoon, met een apart account zonder beheerdersrechten voor het dagelijkse werk (Google).
2. Eén testgebruiker, op een laptop en op een gsm, om na te gaan of mail en agenda nog werken in elke app.
3. Iedereen, op een dag waarop iemand aanwezig is om te helpen.
4. De oude aanmeldmethodes die de tweede stap overslaan, zodra u weet wie ze nog gebruikt.

Microsoft 365: standaardinstellingen voor beveiliging of voorwaardelijke toegang

De standaardinstellingen voor beveiliging zijn één schakelaar voor de hele omgeving (tenant), gratis en zonder verdere configuratie. Ze laten elke gebruiker zich registreren, eisen tweestapsverificatie van beheerders bij elke aanmelding en van andere gebruikers wanneer Microsoft dat nodig acht, en blokkeren verouderde verificatie: oudere protocollen zoals IMAP, POP3 en SMTP, die geen tweede stap kunnen vragen (Microsoft). De schakelaar staat in het Microsoft Entra-beheercentrum onder Entra ID, Overzicht, Eigenschappen, Standaardinstellingen voor beveiliging beheren. Microsoft raadt aan om daarna de bestaande sessies in te trekken, zodat iedereen zich moet registreren.

Met voorwaardelijke toegang (Conditional Access) stelt u zelf regels op. Daarvoor is minstens een licentie Microsoft Entra ID P1 nodig, en volgens Microsoft zijn de standaardinstellingen waarschijnlijk niet geschikt voor een organisatie met P1 of P2 (Microsoft). P1 zit in Microsoft 365 Business Premium (Microsoft). U zet de standaardinstellingen uit zodra uw eigen regels het overnemen. Een regel kan eerst in een testmodus draaien waarin ze alleen rapporteert (report-only), voor een pilootgroep; daar hoort uw testgebruiker thuis. Bij de standaardinstellingen is er geen pilootgroep, dus registreert de testgebruiker zich voordat u de schakelaar omzet.

Kijk in de aanmeldingslogboeken van het Entra-beheercentrum voordat u verouderde verificatie blokkeert: voeg de kolom Client App toe en filter op de verouderde protocollen (Microsoft). Een scanner die documenten mailt, verschijnt daar.

Google Workspace: afdwingen en de periode voor nieuwe gebruikers

Ga in de beheerdersconsole als superbeheerder naar Beveiliging, Verificatie, Tweestapsverificatie. De volgorde van Google: sta gebruikers toe om tweestapsverificatie aan te zetten, met afdwingen op Uit, laat ze zich inschrijven, volg de voortgang in het beveiligingsrapport, en zet afdwingen daarna aan of kies een startdatum. Het afdwingen kan 24 tot 48 uur na die datum beginnen (Google). De instelling kan per organisatie-eenheid verschillen, dus zet uw testgebruiker in een eigen eenheid.

De inschrijfperiode voor nieuwe gebruikers geeft een nieuwe medewerker 1 dag tot 6 maanden om het in te stellen, en tot dan meldt die zich aan met alleen een wachtwoord. Houd ze dus kort. Google raadt af om de tweede stap over te slaan op vertrouwde toestellen, tenzij gebruikers vaak van toestel wisselen. Apps van derden moeten nu OAuth gebruiken; aanmelden met alleen een wachtwoord kan niet meer, op app-wachtwoorden na (Google).

Welke methode u kiest

Het CCB noemt een code via sms of telefoon de minst veilige optie (CCB, Safeonweb@work). Microsoft schrijft dat sms, codes per e-mail en authenticator-apps nog altijd vatbaar zijn voor phishing op afstand, en raadt phishingbestendige methodes aan, zoals passkeys, FIDO2-beveiligingssleutels en Windows Hello voor Bedrijven (Microsoft). Google zegt dat passkeys en beveiligingssleutels even goed tegen phishing beschermen, en noemt beveiligingssleutels de veiligste optie voor beheerdersaccounts (Google). Voor een klein kantoor: een authenticator-app voor iedereen, een passkey of beveiligingssleutel voor de beheerders.

Met de standaardinstellingen registreren gebruikers Microsoft Authenticator of een andere app die codes aanmaakt (OATH TOTP). Authenticator laat de gebruiker een getal overtypen dat op het aanmeldscherm staat. Volgens Microsoft helpt dat tegen MFA-moeheid: een reeks meldingen die blijft komen tot iemand op Goedkeuren tikt (Microsoft).

Gedeelde mailboxen en medewerkers zonder gsm van het werk

Een gedeeld adres zoals info@ mag geen account zijn met een wachtwoord dat het hele team kent. In Microsoft 365 is aanmelden standaard geblokkeerd voor elke nieuwe gedeelde mailbox (Microsoft). Medewerkers openen ze met hun eigen account en hun eigen tweestapsverificatie. Achter elke gedeelde mailbox zit ook een gebruikersaccount, dus controleer of aanmelden ook bij oudere gedeelde mailboxen geblokkeerd is (Microsoft).

Vraag het uw medewerkers voordat u ervan uitgaat dat ze een werkapp op hun eigen gsm zetten. Microsoft merkt op dat Authenticator een beperking kan zijn als u niet zeker weet dat het op een persoonlijk toestel staat (Microsoft). Het alternatief is een beveiligingssleutel aan de sleutelbos: Microsoft Entra ID aanvaardt een passkey (FIDO2) als tweede stap, en Google Workspace aanvaardt een beveiligingssleutel bij zowel de instelling Alle als Alleen beveiligingssleutel.

Back-upcodes en een tweede beheerder

In Google Workspace kan een beheerder back-upcodes aanmaken voor een gebruiker, via de beveiligingsinstellingen van die gebruiker. Alleen een superbeheerder kan dat voor een andere beheerder, en Google raadt superbeheerders aan om codes voor de andere beheerders af te drukken en op een veilige plek te bewaren (Google). Beheerdersaccounts hebben ook een telefoonnummer en e-mailadres voor herstel nodig. In Microsoft 365 zijn de noodaccounts het vangnet: bewaar hun aanmeldgegevens op veilige, aparte plaatsen en test ze minstens om de 90 dagen (Microsoft).

Wat tweestapsverificatie niet tegenhoudt

Tweestapsverificatie beschermt het aanmelden, niet een sessie die al openstaat. De incidentteams van Microsoft beschrijven twee manieren om ze te omzeilen: een valse aanmeldpagina tussen de gebruiker en de echte pagina, die het wachtwoord en het sessietoken onderschept, en malware die de cookies van de browser kopieert, zodat de sessie elders verder gebruikt kan worden. In beide gevallen slaagt de crimineel voor de MFA-controle (Microsoft Security-blog, 16 november 2022). Ons artikel over valse betaalverzoeken via Booking.com beschrijft een campagne met malware die aanmeldgegevens steelt bij hotels.

• Keur nooit een melding goed die u niet zelf hebt gestart, en meld ze.
• Geef beheerders een passkey of beveiligingssleutel, die Microsoft phishingbestendig noemt.
• Kan een account gehackt zijn, wijzig dan het wachtwoord en beëindig ook elke open sessie; in Microsoft 365 doet de opdracht Revoke-MgUserSignInSession dat.

Checklist

1. Accounts, gedeelde mailboxen en toestellen die mail versturen, staan op de lijst.
2. Medewerkers kennen de datum en de app.
3. Twee beheerdersaccounts met een passkey of beveiligingssleutel.
4. Eén testgebruiker gecontroleerd.
5. Standaardinstellingen voor beveiliging of voorwaardelijke toegang aan; in Google afdwingen aan, met een korte inschrijfperiode voor nieuwe gebruikers.
6. Verouderde verificatie nagekeken in de logboeken, daarna geblokkeerd.
7. Gedeelde mailboxen met aanmelden geblokkeerd.
8. Back-upcodes afgedrukt, noodaccounts getest.

Tweestapsverificatie is de helft van het werk. De andere helft zijn medewerkers die een valse aanmeldpagina of een melding waar ze niet om vroegen, herkennen. Onze opleiding cyberveiligheid behandelt valse aanmeldpagina's en welke accounts eerst tweestapsverificatie nodig hebben. Wil een klein kantoor de basis van zijn e-mail en netwerk laten nakijken, dan begint ons aanbod met een gratis online gesprek, op de pagina IT-partner voor kmo's.