Veel MKB-bedrijven werken tegenwoordig met Microsoft 365. E-mail, Teams, SharePoint, OneDrive: alles zit erin. Handig. Maar de standaardinstellingen van Microsoft zijn niet ontworpen met maximale beveiliging in gedachten. Ze zijn ontworpen voor gemak.
Het resultaat: veel bedrijven gebruiken Microsoft 365 terwijl één gestolen wachtwoord genoeg is voor een inbraak.
Waarom de standaardinstellingen niet genoeg zijn
Microsoft levert 365 zo uit dat zoveel mogelijk mensen er direct mee aan de slag kunnen. Hoe veilig je omgeving standaard is, hangt af van wanneer en hoe die is ingericht. Nieuwere omgevingen hebben de beveiligingsstandaarden van Microsoft vaak aan, maar bij oudere omgevingen staat multi-factor authenticatie lang niet altijd voor iedereen aan. En of externe mail forwarding is toegestaan, waarbij mails automatisch naar een extern adres worden doorgestuurd, verschilt per omgeving.
Criminelen weten dit. Ze kopen inloggegevens op het dark web, loggen in op een Microsoft 365-account en stellen automatische doorstuurregels in. De eigenaar merkt er niets van. Wekenlang leest een crimineel mee met alle e-mail.
Is het al gebeurd? Volg het stappenplan voor een gehackt Microsoft 365-account.
De 6 instellingen die je nu moet controleren
1. Multi-factor authenticatie voor iedereen
Niet alleen voor de IT-beheerder. Voor iedere gebruiker. Een gestolen wachtwoord is nutteloos als er ook een tweede factor nodig is. Dit is de simpelste maatregel met de grootste impact.
Gebruik je geen Conditional Access, controleer dan in het Microsoft Entra-beheercentrum of de beveiligingsstandaarden (security defaults) aanstaan. Die dwingen MFA af voor alle gebruikers. Microsoft beschrijft de stappen in de documentatie.
2. Blokkeer automatische mail forwarding
Ga in de Microsoft Defender-portal naar het uitgaande anti-spambeleid en zet automatisch doorsturen naar externe adressen expliciet op Uit. Dit blokkeert de meest gebruikte manier om mee te lezen met je mailbox na een inbraak.
3. Schakel verouderde authenticatieprotocollen uit
Oude inlogmethoden zonder MFA zijn een bekende omweg voor aanvallers. Microsoft heeft basisverificatie in Exchange Online grotendeels uitgezet. Controleer wel of apparaten zoals scanners en printers nog SMTP AUTH met basisverificatie gebruiken: Microsoft zet dat eind 2026 standaard uit. Zet ook IMAP en POP3 uit voor mailboxen die ze niet nodig hebben.
4. Activeer audit logging
Als er iets misgaat, wil je kunnen terugkijken wat er is gebeurd. Zonder logging ben je blind. Controleer in de Microsoft Purview-portal onder Audit of auditing aanstaat; in sommige omgevingen, vooral met Business-licenties, staat het nog uit.
5. Controleer app-machtigingen en deellinks
Medewerkers installeren regelmatig apps die toegang vragen tot hun Microsoft-account. Soms is dat handig, soms is het een phishing-app die alle mail kan lezen. Ga periodiek na welke apps toegang hebben en trek onbekende machtigingen in.
Kijk ook naar bestanden in OneDrive en SharePoint die zijn gedeeld met "Iedereen met de link": zo'n bestand kan iedereen openen die de link heeft, ook buiten je bedrijf.
6. Stel Conditional Access in
Met Conditional Access geef je regels op over wanneer en hoe mensen mogen inloggen. Bijvoorbeeld: inloggen vanuit onbekende landen is niet toegestaan. Of: inloggen op een niet-beheerd apparaat vereist extra verificatie. Dit werkt als een filter bovenop je normale beveiliging. Let op: Conditional Access vraagt een licentie met Microsoft Entra ID P1, zoals Microsoft 365 Business Premium.
Secure Score: weet hoe je er nu voorstaat
Microsoft heeft een gratis hulpmiddel gebouwd: de Secure Score. Dit is een dashboard dat je vertelt hoe goed je 365-omgeving is beveiligd, met concrete aanbevelingen gesorteerd op impact.
Ga naar security.microsoft.com → Secure Score. Kijk naar de score en voer de aanbevelingen met de hoogste impact als eerste door.
Kijk naast Secure Score ook naar de instellingen van je domein. Of SPF, DKIM en DMARC goed staan, zie je direct met de gratis SPF-, DKIM- en DMARC-check.
Welk Microsoft 365-abonnement past bij een klein bedrijf?
Kort antwoord: Business Standard is voor de meeste kleine bedrijven genoeg om mee te werken. Business Premium is de keuze als je ook de beveiliging en het beheer van laptops binnen Microsoft wilt regelen. Het verschil tussen de abonnementen zit vooral in beveiliging: alleen Premium heeft Conditional Access, apparaatbeheer met Intune en Microsofts eigen endpointbeveiliging.
De drie Business-abonnementen zijn bedoeld voor bedrijven tot 300 gebruikers. Zo verschillen ze op beveiliging:
| Business Basic | Business Standard | Business Premium | |
|---|---|---|---|
| Werken | Mail, Teams, OneDrive en SharePoint, Office in de browser en op mobiel | Alles uit Basic, plus de Office-apps op je computer | Alles uit Standard |
| Spam- en malwarefilter op mail (Exchange Online Protection) | Ja | Ja | Ja |
| MFA voor alle gebruikers | Ja, zelf aanzetten | Ja, zelf aanzetten | Ja, zelf aanzetten |
| Inlogregels met Conditional Access (Entra ID P1) | Nee | Nee | Ja |
| Apparaatbeheer (Intune) | Nee | Nee | Ja |
| Extra bescherming tegen phishing, links en bijlagen (Defender for Office 365 Plan 1) | Nee | Nee | Ja |
| Endpointbeveiliging met EDR (Defender for Business) | Nee | Nee | Ja |
Wat dat in de praktijk betekent:
- Business Basic past als je vooral mailt en samenwerkt in de browser of op je telefoon.
- Business Standard is de gebruikelijke keuze als medewerkers Word, Excel en Outlook op hun computer gebruiken. De beveiliging is dezelfde als bij Basic: een basisfilter op mail en MFA, die je wel zelf goed moet instellen.
- Business Premium voegt de beveiligingslaag toe. Die functies werken alleen als iemand ze inricht en de meldingen ook bekijkt. Microsoft legt uit wat Business Premium aan beveiliging toevoegt.
Microsoft past de prijzen regelmatig aan en toont ze per land, soms in combinatie met Copilot. Kijk daarom voor de actuele prijs op de website van Microsoft of vraag het je leverancier.
En als je Gentic gebruikt? Gentic werkt naast je Microsoft 365-abonnement. We voegen e-mailbeveiliging, endpointbeveiliging met EDR, accountbewaking en 24/7 bewaking van je accounts en apparaten toe. Ook kunnen we riskante delingen in OneDrive en SharePoint opsporen. Voor die onderdelen hoef je dus niet over te stappen op Premium. Wil je inlogregels of apparaatbeheer via Intune, dan blijft Business Premium de logische keuze.
De realiteit voor MKB
De meeste MKB-bedrijven hebben geen IT-afdeling die dit bijhoudt. Ze kochten een Microsoft 365-licentie, iemand heeft accounts aangemaakt en sindsdien runt het gewoon. Maar "het runt gewoon" is niet hetzelfde als "het is veilig".
Een geconfigureerd Microsoft 365 hoeft niet complex te zijn. De meeste punten hierboven zijn in een middag te regelen, en ze maken je omgeving direct een stuk lastiger aan te vallen.
Wil je weten hoe jouw Microsoft 365-omgeving eruitziet vanuit een beveiligingsperspectief? Plan een gratis demo, dan laten we in gewone taal zien waar je op moet letten, hoe Gentic je accounts bewaakt en hoe je mail wordt beveiligd. Of begin met een gratis kwetsbaarhedenscan: die laat onder meer zien welke inloggegevens van je domein in datalekken zijn opgedoken.
