Tweestapsverificatie (2FA): zo werkt het

Tweestapsverificatie (2FA) betekent dat je bij het inloggen naast je wachtwoord een tweede bewijs geeft dat jij het bent, bijvoorbeeld een code in een app op je telefoon. Een gestolen wachtwoord is dan niet genoeg om in je account te komen. Het is een van de eenvoudigste en effectiefste maatregelen tegen cybercriminelen. In deze blog lees je hoe 2FA werkt, welke vorm het veiligst is en hoe je het in je organisatie aanzet. En wat het voor je betekent dat Microsoft op 1 februari 2027 stopt met inloggen via sms.

Wat is tweestapsverificatie?

Bij tweestapsverificatie log je in met twee verschillende soorten bewijs. Er zijn drie soorten:

• Iets wat je weet: je wachtwoord of pincode.
• Iets wat je hebt: je telefoon of een beveiligingssleutel.
• Iets wat je bent: je vingerafdruk of je gezicht.

Pas als beide stappen kloppen, krijg je toegang. Je hoort ook de termen tweefactorauthenticatie en multifactorauthenticatie (MFA). MFA is de verzamelnaam voor inloggen met twee of meer factoren; 2FA is de vorm met precies twee. In Microsoft 365 heet het MFA.

Waarom is een wachtwoord alleen niet genoeg?

Wachtwoorden lekken op allerlei manieren uit: via phishingmails, via datalekken bij andere websites of omdat iemand hetzelfde wachtwoord op meerdere plekken gebruikt. Criminelen proberen gelekte combinaties van e-mailadres en wachtwoord automatisch uit op andere diensten. Met 2FA is een gestolen wachtwoord weinig waard, want de tweede stap ontbreekt. Volgens onderzoek van Microsoft verkleint MFA de kans dat een account wordt overgenomen met meer dan 99 procent.

Voor organisaties speelt nog iets mee. De Europese NIS2-richtlijn noemt multifactorauthenticatie als beveiligingsmaatregel, en ook verzekeraars en klanten vragen er steeds vaker naar.

Welke vormen van 2FA zijn er?

Niet elke tweede stap is even sterk. Van minst naar meest veilig:

• Code per sms of e-mail. Beter dan alleen een wachtwoord, maar het zwakst. Een sms kan worden onderschept, bijvoorbeeld als een crimineel je telefoonnummer laat overzetten naar een eigen simkaart (simswapping). Microsoft stopt daarom met inloggen via sms, zie hieronder.
• Code in een authenticator-app, zoals Microsoft Authenticator of Google Authenticator. De app maakt elke dertig seconden een nieuwe code, ook zonder internetverbinding.
• Pushmelding met nummervergelijking. Je keurt de inlogpoging goed in de app door het getal over te nemen dat op je scherm staat. Zo keur je nooit per ongeluk de inlogpoging van een ander goed.
• Beveiligingssleutel of passkey. Een fysieke sleutel (via USB of NFC) of een passkey op je telefoon of laptop. Deze vorm werkt alleen op de echte website en is daardoor bestand tegen phishing. Het veiligst, en de beste keuze voor beheerdersaccounts.

Ons advies: gebruik voor medewerkers een authenticator-app met nummervergelijking en voor beheerders een beveiligingssleutel of passkey. Gebruik sms alleen als het niet anders kan.

Microsoft stopt met inloggen via sms

Microsoft faseert sms en spraakoproepen als tweede stap uit. Vanaf 1 februari 2027 kunnen de meeste gebruikers van Microsoft 365 (Microsoft Entra ID) niet meer inloggen met een code per sms of een telefoontje van Microsoft. In plaats daarvan zet Microsoft in op passkeys en de Authenticator-app.

Gebruiken jouw medewerkers nu nog sms als tweede stap? Dan is het tijd om over te stappen. Doe je niets, dan kunnen zij na die datum niet meer op de vertrouwde manier inloggen. Begin bij de mensen die alleen sms hebben ingesteld, en plan de overstap ruim voor februari.

Is 2FA waterdicht?

Nee. 2FA maakt inbreken veel moeilijker, maar criminelen zoeken manieren om de tweede stap te omzeilen:

• Nepinlogpagina's. Een phishingmail leidt naar een pagina die precies op die van Microsoft lijkt. Vul je daar je wachtwoord en code in, dan stuurt de crimineel ze direct door naar de echte site.
• MFA-moeheid. De crimineel heeft je wachtwoord al en stuurt keer op keer een inlogverzoek naar je telefoon, in de hoop dat je uit irritatie op 'Goedkeuren' drukt.
• Simswapping. De crimineel laat je telefoonnummer overzetten en ontvangt zo je sms-codes.
• Malware. Kwaadaardige software op je computer kan een sessie overnemen waarin je al bent ingelogd.

Daarom werkt 2FA het best samen met andere maatregelen: inlogmethoden die bestand zijn tegen phishing, regels voor waar en vanaf welk apparaat je mag inloggen, en medewerkers die weten waar ze op moeten letten.

Zo zet je 2FA aan in je organisatie

1. Begin bij de belangrijkste accounts. Eerst beheerdersaccounts en e-mail: wie daarbij kan, kan bij bijna alles.
2. Zet MFA aan voor iedereen in Microsoft 365. Dat kan met de standaardbeveiliging van Microsoft of, flexibeler, met voorwaardelijke toegang (Conditional Access) in Microsoft Entra ID.
3. Kies de juiste methode. Een authenticator-app met nummervergelijking voor medewerkers, een beveiligingssleutel of passkey voor beheerders. Gebruikt iemand nog sms? Stap over vóór 1 februari 2027.
4. Sluit de achterdeurtjes. Blokkeer oude inlogmethoden die MFA overslaan, en vergeet gedeelde accounts en toegang op afstand (VPN) niet.
5. Regel wat er gebeurt als een telefoon kwijt is. Leg vast hoe iemand snel en veilig weer toegang krijgt, zonder dat de servicedesk zomaar codes uitdeelt.
6. Neem je medewerkers mee. Leg uit waarom 2FA nodig is en spreek één gouden regel af: keur nooit een inlogverzoek goed dat je niet zelf hebt gestart.

En gebruik 2FA ook privé, overal waar het kan: voor je e-mail, je bank, sociale media en je wachtwoordmanager.

Veelgestelde vragen over 2FA

Wat is het verschil tussen 2FA en MFA?

MFA (multifactorauthenticatie) is inloggen met twee of meer factoren. 2FA is de vorm met precies twee. In de praktijk worden de termen door elkaar gebruikt.

Is 2FA via sms veilig genoeg?

Sms is beter dan alleen een wachtwoord, maar de zwakste vorm van 2FA, omdat codes onderschept kunnen worden. Kies daarom voor een authenticator-app of een passkey. In Microsoft 365 kan sms vanaf 1 februari 2027 voor de meeste gebruikers niet meer.

Wanneer stopt Microsoft met sms-codes?

Microsoft stopt op 1 februari 2027 met sms en spraakoproepen als inlogmethode voor de meeste gebruikers van Microsoft 365 (Microsoft Entra ID). Stap voor die datum over op de Authenticator-app of een passkey.

Wat als ik mijn telefoon kwijt ben?

Neem contact op met je IT-beheerder of servicedesk. Die controleert wie je bent en zet een nieuwe methode voor je klaar. Stel daarom waar mogelijk een tweede methode in, zoals een beveiligingssleutel.

Is 2FA verplicht?

Niet voor elke organisatie wettelijk. Maar de NIS2-richtlijn noemt multifactorauthenticatie als beveiligingsmaatregel, en veel verzekeraars en klanten vragen erom. Voor elke organisatie is het een logische basismaatregel.

Hulp nodig bij 2FA?

Wij richten multifactorauthenticatie in voor organisaties in Microsoft 365, van de instellingen tot de uitleg aan je medewerkers. Het is een vast onderdeel van onze aanpak voor Cybersecurity voor het MKB. Wil je weten hoe veilig jouw accounts nu zijn? Plan een gesprek met een van onze specialisten, of bekijk eerst onze IT-beveiligingschecklist voor het MKB.