MFA uitrollen in je bedrijf: een praktisch stappenplan

Een wachtwoord is in 2026 geen slot meer. Het is hooguit een deurklink. Phishingkits nemen inloggegevens realtime over, infostealers plukken opgeslagen wachtwoorden uit browsers, en aanvallers proberen één veelgebruikt wachtwoord op honderden accounts tegelijk. Wie alleen op wachtwoorden vertrouwt, hoopt vooral dat het meevalt.

Multifactorauthenticatie (MFA, ook geschreven als multi-factor authenticatie) is de goedkoopste maatregel met het grootste effect. Toch loopt de uitrol in veel MKB-bedrijven vast: op weerstand van medewerkers, op dat ene oude systeem dat het niet ondersteunt, of op de vraag wat je doet als iemand zijn telefoon kwijtraakt. Dat is jammer, want die obstakels zijn allemaal te plannen.

In dit artikel lees je niet welke MFA-methode het veiligst is — dat behandelden we al in welke MFA is het veiligst. Hier gaat het over de uitvoering: hoe je MFA daadwerkelijk uitrolt over je bedrijf, in welke volgorde, en hoe je voorkomt dat je er over drie maanden alsnog gaten in schiet.

Wat MFA precies is (en wat het niet is)

MFA betekent dat iemand minimaal twee verschillende soorten bewijs levert bij het inloggen. Verschillende soorten, dat is het sleutelwoord: twee wachtwoorden achter elkaar is geen MFA. De drie categorieën zijn:

Iets wat je weet

Je wachtwoord of pincode. De zwakste schakel, want die is af te kijken, te raden, te phishen of uit een eerder datalek te halen. Een wachtwoordmanager maakt deze factor sterker, maar lost hem niet op.

Iets wat je hebt

Je telefoon met een authenticator-app, een hardwaresleutel (YubiKey en vergelijkbaar), of een pasje. De aanvaller moet dan fysiek iets van jou in handen hebben, of jou zover krijgen dat je zelf goedkeurt.

Iets wat je bent

Vingerafdruk of gezichtsherkenning. In de praktijk gebruik je dit vooral om het apparaat te ontgrendelen dat vervolgens de tweede factor levert — precies hoe passkeys werken.

Belangrijk: niet elke tweede factor is even sterk. Een sms-code is beter dan niets, maar kwetsbaar voor simswap. Een pushmelding is prettig in gebruik, maar gevoelig voor push bombing, waarbij je zoveel meldingen krijgt dat je uiteindelijk op accepteren tikt. Nummermatching, waarbij je een cijfer van je scherm moet overtypen, haalt die truc grotendeels onderuit.

In zes stappen MFA uitrollen

1. Inventariseer waar überhaupt ingelogd wordt

Begin met een lijst. Niet alleen Microsoft 365 of Google Workspace, maar ook: het boekhoudpakket, de webshopbeheeromgeving, het CRM, de VPN of het externe bureaublad, het domeinnaambeheer, de bank, de socialmedia-accounts en de beheerpanelen van je website. Vraag ook aan je team welke tools zij gebruiken; er staat bijna altijd iets op die je niet kende.

Markeer per systeem: ondersteunt het MFA, ondersteunt het single sign-on, en wie heeft er beheerrechten. Die laatste kolom is de belangrijkste.

2. Begin bij de accounts waar de meeste schade zit

Niet alles tegelijk. De volgorde die in het MKB het beste werkt:

1. Beheerdersaccounts van je e-mail- en cloudomgeving. 2. De e-mailaccounts van iedereen die facturen, betalingen of contracten aanraakt. 3. Externe toegang: VPN, RDP, remote support. 4. Financiële systemen en bankieren. 5. De rest van de gebruikers. 6. Systemen die klantgegevens bevatten.

De reden voor die volgorde: een gekaapt beheerdersaccount geeft toegang tot alles, en een gekaapt e-mailaccount is de opstap naar factuurfraude en gerichte phishing richting je klanten.

3. Kies één methode als standaard

Hoe minder varianten, hoe minder support. Voor de meeste MKB-bedrijven is een authenticator-app met nummermatching de standaard, met hardwaresleutels voor beheerders en directie. Sms alleen als noodoplossing voor mensen die echt geen app kunnen gebruiken, en dan met een einddatum.

Zit je al in Microsoft 365 of Google Workspace? Gebruik dan wat er in zit. Je hebt zelden een aparte MFA-leverancier nodig, en een extra product is een extra ding dat kan breken.

4. Regel eerst het herstel, dan pas de uitrol

Dit is de stap die het vaakst wordt overgeslagen en het meeste gedoe veroorzaakt. Leg vóór de uitrol vast:

Wie mag MFA resetten, en hoe controleert die persoon dat de aanvrager echt is wie hij zegt? Een telefoontje van een onbekend nummer is geen identiteitscontrole — helpdesk-resets zijn een bekende aanvalsroute. Spreek af dat resets alleen via een bekend kanaal of persoonlijk gaan.

Waar staan de herstelcodes? Niet in een mailtje naar de gebruiker zelf, want dat is precies het account dat vastzit.

Is er een noodaccount (break-glass) met een sterke, offline bewaarde sleutel, voor het geval de beheerder zelf buitengesloten raakt?

Wat gebeurt er als iemand zijn telefoon verliest? Zie ook wat te doen als je telefoon of laptop kwijt is.

5. Rol gefaseerd uit, met korte uitleg

Doe het in groepen van vijf tot tien mensen, niet in één keer bedrijfsbreed. Stuur van tevoren een bericht van vijf regels: wat er verandert, wat ze moeten doen, hoe lang het duurt (twee minuten) en bij wie ze terechtkunnen. Plan de eerste groep op een rustige ochtend, niet op vrijdagmiddag of tijdens de maandafsluiting.

Loop persoonlijk even langs bij de collega’s die minder handig zijn met techniek. Vijf minuten samen instellen scheelt drie supportvragen later.

De communicatie is hier belangrijker dan de techniek. Uitleggen waaróm het gebeurt — niet als regel van bovenaf, maar omdat een gestolen wachtwoord anders genoeg is om bij de hele organisatie binnen te komen — scheelt zichtbaar in de weerstand.

6. Zet het vast in beleid en controleer

MFA aanzetten is geen project met een einddatum. Leg vast dat elk nieuw account MFA krijgt bij aanmaak, dat elk vertrekkend account direct wordt geblokkeerd (zie de checklist digitale offboarding), en controleer elk kwartaal of er accounts zonder MFA zijn ontstaan. Die ontstaan altijd: serviceaccounts, een gedeeld info-adres, de stagiair van vorige zomer.

Praktijkscenario: het installatiebedrijf met de uitzondering

Een installatiebedrijf met 22 medewerkers zet MFA aan op Microsoft 365. Het gaat soepel, op twee monteurs na die geen zakelijke telefoon hebben. Voor hen wordt een uitzondering gemaakt, met de bedoeling dat later op te lossen. Dat gebeurt niet.

Vier maanden later wordt het account van één van die monteurs overgenomen via een phishingmail. De aanvaller leest een week mee, wacht op een uitgaande factuur en stuurt een keurige correctiemail met een gewijzigd rekeningnummer. De klant betaalt. Het bedrag is niet dramatisch, maar het gesprek erna wel.

De les: uitzonderingen zijn geen probleem, maar ze hebben een einddatum en een tussenoplossing nodig. In dit geval had een hardwaresleutel van dertig euro of een gedeelde tabletprocedure voldoende geweest.

Vijf dingen die de uitrol vertragen — en wat je eraan doet

Weerstand van medewerkers. Meestal geen onwil, maar onduidelijkheid. Leg uit wat het voorkomt in gewone taal en laat zien dat het twee seconden per inlog kost. Vertel er ook bij dat het hun eigen accounts beschermt.

Systemen die geen MFA ondersteunen. Zet die achter single sign-on als dat kan, beperk de toegang tot vaste locaties of beheerde apparaten met conditional access, en zet ze op de vervangingslijst.

Privételefoons. Sommige medewerkers willen geen werk-app op hun eigen toestel. Bied een hardwaresleutel aan als alternatief; dat is goedkoper dan een discussie. Leg de afspraken vast in je BYOD-beleid.

Te veel prompts. Als mensen tien keer per dag moeten bevestigen, gaan ze klikken zonder te kijken. Stel vertrouwde apparaten en sessieduur verstandig in, zodat MFA opvalt wanneer het ertoe doet.

Serviceaccounts en gedeelde postbussen. Die vallen buiten de gebruikelijke uitrol en zijn precies wat aanvallers zoeken bij password spraying. Geef ze een eigen aanpak: lange unieke wachtwoorden, beperkte rechten en waar mogelijk toch een tweede factor.

Zo pak je het aan

Wil je het deze maand geregeld hebben, dan is dit een werkbaar ritme:

Week 1: inventariseer alle systemen en beheerdersaccounts. Kies je standaardmethode. Leg het herstelbeleid en het noodaccount vast.

Week 2: zet MFA aan voor alle beheerders en voor externe toegang. Test zelf de herstelprocedure minstens één keer echt.

Week 3: rol uit naar de gebruikers, in groepen, met een kort bericht vooraf.

Week 4: loop de uitzonderingen na, geef ze een einddatum, en zet een kwartaalcontrole in de agenda.

Combineer het met de rest van je basis: patchen, back-ups en korte securitytraining. MFA houdt de meeste accountovernames tegen, maar het is één laag — niet het hele dak.

Veelgestelde vragen

Is MFA op alle accounts nodig, of alleen op e-mail?

Op alles waar bedrijfsgegevens of geld achter zitten. E-mail is het belangrijkst, omdat daarmee vrijwel elk ander wachtwoord te resetten is. Maar ook je boekhouding, je domeinnaambeheer en je externe toegang horen erbij.

Kan MFA omzeild worden?

Ja, maar het kost aanzienlijk meer moeite. Sessiediefstal en geraffineerde phishingpagina’s kunnen een ingelogde sessie overnemen. Daarom zijn phishingbestendige methodes (passkeys, hardwaresleutels) sterker dan codes, en helpt het om ook te kijken naar de minder bekende routes naar accountovername.

Welke app gebruik je voor de codes?

Draait je bedrijf op Microsoft 365, dan is Microsoft Authenticator de logische keuze: pushmeldingen, koppeling met je beleid, en herstel via het beheerportaal. Google Authenticator werkt prima bij Google Workspace. Kies er één als standaard voor de hele organisatie — twee apps naast elkaar levert alleen verwarring op. Belangrijk: een code uit een app is veiliger dan een sms-code, want een telefoonnummer kan worden overgezet naar een gestolen simkaart. Voor beheerders en kritieke systemen is een hardwaresleutel nog een stap beter.

Wat kost MFA voor een klein bedrijf?

Vaak niets extra. In Microsoft 365 en Google Workspace zit MFA in de licenties die je waarschijnlijk al hebt. De echte kosten zitten in de uitrol en de eerste weken support — en eventueel in hardwaresleutels voor beheerders, ongeveer dertig tot zeventig euro per stuk.

Onze verzekeraar vraagt naar MFA. Waarom?

Omdat verzekeraars het als basismaatregel zien. Ontbreekt MFA op kritieke accounts, dan kan dat gevolgen hebben voor de dekking bij een claim. Hetzelfde geldt voor de zorgplicht die uit NIS2 en de AVG volgt.

Loop je vast op de uitrol, of wil je weten of jullie MFA-instellingen echt dekkend zijn? We kijken graag een keer mee en maken er een plan van dat je team ook volhoudt.