MFA in Microsoft 365: zo controleert en dwingt u het af voor elke gebruiker

Waarom 'MFA staat aan' vaak niet klopt

Tenants eindigen meestal met een mengvorm: security defaults die jaren geleden zijn uitgezet, een Conditional Access-beleid dat een paar accounts 'tijdelijk' uitsluit, enkele gebruikers op de oude MFA-per-gebruiker-instelling, en gedeelde of serviceaccounts waar niemand aan durft te komen. Elke uitzondering is een account dat een aanvaller met alleen een wachtwoord overneemt.

Microsoft dwingt MFA nu zelf af voor aanmeldingen bij zijn beheerportalen: de Azure portal, het Entra admin center en het Intune admin center sinds oktober 2024, het Microsoft 365 admin center sinds februari 2025, en beheer via de Azure-commandoregel en API's sinds oktober 2025. Dat beschermt de beheerportalen. Het doet niets voor de mailbox van de collega van financiën die facturen goedkeurt.

Zo controleert u wie gedekt is

Begin bij registratie, daarna bij afdwinging. Een gebruiker kan alleen om MFA worden gevraagd als er een methode is geregistreerd. De menunamen hieronder zijn die van de Engelstalige portal.

1. Open het Entra admin center en ga naar Entra ID > Authentication methods > User registration details. De kolommen 'MFA capable' en 'Methods registered' tonen wie een bruikbare tweede factor heeft. Filter op gebruikers die niet MFA capable zijn.
2. Ga naar Entra ID > Overview > Properties > Manage security defaults om te zien of security defaults aanstaan.
3. Staan security defaults uit, ga dan naar Entra ID > Conditional Access > Policies. U heeft een beleid nodig dat multifactor authenticatie vereist voor alle gebruikers en alle resources, met de status On, niet Report-only.
4. Open dat beleid en lees de uitsluitingen. Voor elke uitgesloten gebruiker of groep moet u een verdedigbare reden hebben.

Gebruik de pagina voor MFA per gebruiker niet als maatstaf. Een gebruiker die door Conditional Access of security defaults wordt beschermd, staat daar op 'Disabled', en Microsoft documenteert dat als de juiste status. De pagina vertelt alleen wie nog op de oude instelling per gebruiker staat.

Met Microsoft Graph PowerShell vraagt u elke gebruiker zonder geregistreerde methode op:

Connect-MgGraph -Scopes "AuditLog.Read.All"
Get-MgReportAuthenticationMethodUserRegistrationDetail -All |
  Where-Object { -not $_.IsMfaRegistered } |
  Select-Object UserPrincipalName, MethodsRegistered

De oudere PowerShell-modules MSOnline en AzureAD zijn in 2025 uitgefaseerd. Scripts die nog Get-MsolUser gebruiken, werken niet meer.

Zo dwingt u het af

Er zijn twee ondersteunde routes. Kies er per tenant één.

• Security defaults: gratis, standaard aan voor tenants die sinds oktober 2019 zijn aangemaakt, en alles of niets. Het vereist MFA-registratie voor iedereen, vraagt beheerders bij elke aanmelding om MFA en blokkeert legacy authenticatie. Geschikt voor kleine tenants zonder Entra ID P1.
• Conditional Access: vereist Entra ID P1, dat in Microsoft 365 Business Premium en E3/E5 zit. U richt het op gebruikers, apps en voorwaarden, en het is de juiste keuze zodra u ook maar één uitzondering nodig heeft. Security defaults moeten uit voordat uw eigen beleid het overneemt, dus bouw eerst het beleid.

Gebruik bij Conditional Access de template 'Require multifactor authentication for all users'. Die start in Report-only. Voeg uw break-glass-accounts toe als uitsluiting (de template sluit alleen de beheerder uit die hem aanmaakt), bekijk een paar dagen de impact in de aanmeldlogboeken en zet het beleid dan op On.

Verhoog daarna de kwaliteit van de tweede factor. Number matching in Microsoft Authenticator is sinds mei 2023 verplicht en stopt de meeste push-moeheidsaanvallen. Eis voor beheerders een phishing-bestendige methode: passkeys (FIDO2-sleutels of passkeys in Authenticator), Windows Hello for Business of certificaatgebaseerde authenticatie. Phishingkits die de inlogpagina doorsluizen, vangen een eenmalige code net zo makkelijk als een wachtwoord.

Voor MSP's: controleer elke klant op dezelfde manier

Het probleem zit zelden in één tenant. Het is de twintigste klant, drie jaar geleden ingericht door iemand die inmiddels weg is, waar security defaults voor een scanner zijn uitgezet en nooit zijn vervangen. Voer dezelfde vier controles uit op elke tenant die u beheert, leg het resultaat vast en herhaal het: instellingen verschuiven elke keer dat iemand een uitzondering toevoegt.

Veelgestelde vragen