Microsoft Multifactor Authentication (MFA)

Vanaf 1 september 2026 gaat Microsoft van start met het uitfaseren van de SMS en Voice authenticatie voor het aanmelden van een Office Tenant.
SMS en Voice zijn phishinggevoelige authenticatiemethoden en bieden daardoor minder bescherming tegen moderne vormen van phishing. 
Het traject ziet er als volgt uit:

*: Microsoft blijft de optie nog wel aanbieden voor organisaties waarbij het echt niet anders kan, maar dan wel via de door hen aangewezen telecom provider.

**: Omdat op 1 februari 2027 de SMS en Voice dienst gedeactiveerd is, moet via de partner de MFA gereset gaan worden. 
Hiervoor is een account met Global Admin rechten vereist welke een alternatieve MFA hanteert. 

Wat betekent dit voor jou?

Dit houdt in dat je vanaf 1 februari 2027 niet meer kan inloggen met een SMS code of via een telefoontje vanuit het automatische systeem van Microsoft.
Zorg er dus tijdig voor dat je gebruik maakt van één van de alternatieve opties:

• Microsoft Authenticator — aanbevolen voor de meeste gebruikers.
• TOTP via een authenticator of wachtwoordmanager — bijvoorbeeld 1Password.
• FIDO2/passkey of hardware security key — bij voorkeur voor beheerders.
• App-wachtwoord — alleen voor specifieke legacy-applicaties die geen moderne MFA ondersteunen.

Bij het inschakelen van de Microsoft Authenticator optie biedt dit ook de mogelijkheid voor het gebruik van een alternatieve app, waardoor een wachtwoordmanager zoals 1Password of Lastpass (LastPass Authenticator) een TOTP (Time-based One-time Password) ondersteund.
Deze word bij het selecteren automatisch ingevuld in de browser. 

Ons advies is het gebruik van een dienst zoals 1Password. 
Hiermee kan je gebruikers delen met collega's en heb je de mogelijkheid voor een built-in MFA functionaliteit. 
Voor meer informatie over de dienst en opties, zie: https://1password.com/ 

Voorkom dat je wordt buitengesloten

Zorg ervoor dat er binnen de tenant minimaal twee beheerdersaccounts beschikbaar zijn die toegang kunnen krijgen wanneer een regulier beheerdersaccount niet meer kan aanmelden. 
Microsoft adviseert hiervoor twee afzonderlijke cloud-only Emergency Access / Break Glass-accounts met Global Administrator-rechten.

Gebruik voor deze accounts bij voorkeur een phishing bestendige authenticatiemethode, zoals een FIDO2 security key/passkey, en zorg dat de accounts niet afhankelijk zijn van één individuele medewerker.

Wat moet je doen?

Via de volgende stappen kan je de Authenticatie methode omwisselen:

1. Navigeer naar de website https://mysignins.microsoft.com/ en log in met het Global admin account van de Tenant welke aangepast moet worden,
2. Via 'My Account' navigeer je naar “Security info” om de huidige opties te bekijken en de sign-in methode toe te voegen
3. Via de "Add sign-in method" kan je de opties Microsoft Authenticator, Hardware token en App password gebruiken.
4. Kies hier de gewenste optie voor de authenticatie buiten de Phone of SMS functie om en voer de vervolgstappen uit voor het inregelen van de MFA functie

Controleer na het instellen van de nieuwe MFA-methode of je nog steeds toegang hebt tot de tenant. 
Zorg daarnaast dat minimaal één andere beheerder toegang heeft tot de tenant en dat er minimaal twee Emergency Access-accounts beschikbaar zijn.

Test dit vóór 1 februari 2027. 
Het is belangrijk dat je niet pas ontdekt dat de alternatieve MFA-methode niet werkt op het moment dat SMS- of Voice-verificatie al niet meer beschikbaar is.