Microsoft 365 Security

Microsoft 365 is het meest aangevallen platform ter wereld. Microsoft zelf meldt 600 miljoen dagelijkse identiteitsaanvallen op zijn accounts — aanvallen die identiteitsdiefstal, phishing, session hijacking en business email compromise proberen (Bron: Proofpoint State of the Phish). Per seconde worden 7.000 wachtwoordaanvallen geblokkeerd door Microsoft's eigen infrastructuur. En toch blijkt dat de gemiddelde enterprise M365-tenant slechts 30 tot 50% van de beschikbare beveiligingsmaatregelen heeft geactiveerd, aldus CoreView's analyse van duizenden tenants (Bron: Claroty / Nozomi Networks). Meer dan de helft van wat Microsoft beschikbaar stelt, staat uit.

Die kloof — het verschil tussen wat Microsoft biedt en wat organisaties activeren — is de voornaamste reden waarom M365-accounts zo aantrekkelijk zijn voor aanvallers. Ze hoeven niet de meest geavanceerde techniek in te zetten; het omzeilen van standaardconfiguraties is voor professionele aanvallers routine. In februari 2026 werden meer dan 3 miljoen Tycoon 2FA phishing-berichten verstuurd die specifiek waren ontworpen om M365 MFA te omzeilen (Bron: Proofpoint State of the Phish). OAuth device code phishing is significant toegenomen. Business email compromise via gecompromitteerde M365-accounts kost organisaties wereldwijd miljarden per jaar.

Microsoft 365 Security is het geheel van maatregelen dat die kloof dicht. Het is meer dan een product activeren of een instelling wijzigen; het is een continue discipline die begint bij een grondige hardening van de basisinstellingen en eindigt bij doorlopende monitoring van alles wat er in je tenant gebeurt.

Wat Microsoft 365 Security omvat

M365 Security behelst alle beveiligingsmaatregelen gericht op het beschermen van je M365-omgeving: Exchange Online (e-mail), SharePoint (documenten), Teams (communicatie), OneDrive (cloudopslag) en Entra ID (identiteit en toegang). Dat zijn de vijf pijlers van een moderne werkplek — en elk is een potentieel aanvalspad als onvoldoende beveiligd.

De vijf pijlers van M365-beveiliging zijn: Identity & Access (Conditional Access, MFA, Privileged Identity Management), e-mailbeveiliging (Safe Links, Safe Attachments, anti-phishing policies), databeveiliging (Sensitivity labels, Data Loss Prevention, retention policies), device management (Intune, device compliance policies) en monitoring (Defender portal, audit logging, alert policies).

Elk van deze pijlers vereist actieve configuratie. M365 out-of-the-box is ontworpen voor bruikbaarheid, niet voor maximale veiligheid. Legacy authentication staat standaard open (een kwetsbaarheid die moderne MFA-aanvallen mogelijk maakt). Admin-accounts hebben standaard permanente rechten (een risico dat geëlimineerd wordt met Privileged Identity Management). Conditional Access policies bestaan standaard niet. Dit zijn configuraties die bij elke M365-implementatie actief moeten worden aangepast.

Het dreigingslandschap rond Microsoft 365

De schaal van aanvallen op M365 is duizelingwekkend. Microsoft blokkeert niet alleen 7.000 wachtwoordaanvallen per seconde — het detecteert ook honderdduizenden phishing-campagnes maandelijks die specifiek zijn ontworpen om M365-gebruikers te misleiden. De Tycoon 2FA phishing-kit van begin 2026 is representatief voor een nieuwe generatie aanvallen die MFA actief omzeilen door middel van Adversary-in-the-Middle technieken: de aanvaller plaatst zichzelf tussen gebruiker en Microsoft, steelt de sessiecookies en heeft daarna ongehinderd toegang — ongeacht of MFA is ingesteld.

OAuth-phishing is een andere geavanceerde aanvalsvector die significant is toegenomen. Aanvallers misleiden gebruikers om een kwaadaardige applicatie toegang te verlenen tot hun M365-account via OAuth. De gebruiker hoeft geen wachtwoord in te voeren — hij klikt alleen op "Toegang verlenen". Eenmaal verleend heeft de aanvaller langdurige toegang tot e-mail, bestanden en contacten. Conditional Access policies kunnen dit type aanval beperken, maar alleen als ze correct zijn geconfigureerd voor applicatietoestemming.

Business email compromise (BEC) is de duurste aanvalsvorm via M365: aanvallers compromitteren een e-mailaccount, monitoren de communicatie om betaalstromen te begrijpen en grijpen in op het juiste moment — een factuur vervangen, een rekeningnummer wijzigen, een urgente betaalopdracht versturen vanuit een legitiem e-mailaccount. De gemiddelde schade per BEC-incident overstijgt die van ransomware-aanvallen, omdat er geen technisch bewijs is dat iets mis gaat totdat het geld weg is.

Het hardeningsproces stap voor stap

M365 hardening duurt voor een middelgrote organisatie gemiddeld 4 tot 8 weken, gevolgd door doorlopend beheer (Bron: IBM Cost of a Data Breach Report 2024). Het begint met een security assessment in de eerste week: beoordeel de huidige configuratie via de Secure Score in het Microsoft Security Center, inventariseer bestaande Conditional Access policies, controleer MFA-status per gebruiker en bekijk welke admin-accounts bestaan en welke rechten ze hebben. Die eerste week is diagnose: wat staat er goed in, wat staat er slecht in?

De tweede fase (week 1-2) richt zich op Identity & Access hardening. Conditional Access is het hart van M365-identiteitsbeveiliging: policies die bepalen wie, van welk apparaat, vanuit welke locatie en onder welke omstandigheden toegang krijgt. Een basisset omvat MFA verplichten voor alle gebruikers, toegang blokkeren vanuit risicovolle locaties, legacy authentication volledig blokkeren (dit elimineert een categorie aanvallen die MFA omzeilt), en Privileged Identity Management instellen voor admin-accounts. PIM is bijzonder belangrijk: in plaats van permanente global admin rechten krijgen admins only-in-time rechten die ze activeren wanneer nodig en die na een ingestelde periode automatisch verlopen.

De derde fase (week 2-4) richt zich op e-mail en databeveiliging. Safe Links herschrijft URLs in e-mails en controleert ze op het moment van klikken op kwaadaardigheid — ook als de URL na verzending is veranderd. Safe Attachments opent bijlagen in een sandbox-omgeving voordat ze aan de gebruiker worden geleverd. Anti-phishing policies detecteren spoofing en impersonation. DLP (Data Loss Prevention) policies voorkomen dat gevoelige data — patiëntgegevens, financiële informatie, persoonsgegevens — onbedoeld wordt gedeeld via e-mail, Teams of SharePoint. Sensitivity labels classificeren documenten en stellen automatisch beveiligingsinstellingen in op basis van de classificatie.

De vierde fase (week 4-6) configureert device management via Intune en stelt audit logging en alert policies in. Intune dwingt device compliance af: apparaten die niet aan beveiligingseisen voldoen (geen versleuteling, verouderd OS, geen anti-malware) worden geblokkeerd van toegang. Audit logging is essentieel voor incidentonderzoek en voor NIS2-compliance.

Kosten: de drietrapstructuur

De kosten van M365 Security services zijn gestructureerd in drie niveaus. Basis-hardening is een eenmalige investering van EUR 2.000 tot EUR 5.000: configureer Conditional Access, verplicht MFA, stel Defender-instellingen in op de basis. Dit is de minimale ingreep die de meest kritieke kwetsbaarheden dicht.

Het standaardniveau combineert hardening met maandelijks beheer en monitoring voor EUR 5 tot EUR 10 per gebruiker per maand. Voor een organisatie van 50 gebruikers is dat EUR 250 tot EUR 500 per maand, of EUR 3.000 tot EUR 6.000 per jaar. Dit niveau omvat maandelijkse review van de Secure Score, aanpassing van policies bij nieuwe dreigingen en basic incident alerting.

Het premiumbeleid levert volledige managed M365 Security voor EUR 10 tot EUR 25 per gebruiker per maand. Voor 50 gebruikers: EUR 500 tot EUR 1.250 per maand. Dit omvat 24/7 monitoring via het Defender-portaal, actieve incident response, DLP-beheer, compliance-rapportages voor NIS2 en ISO 27001, en doorlopende optimalisatie van alle security-instellingen.

Let op: deze kosten komen bovenop je M365-licentiekosten. Microsoft 365 Business Premium (EUR 22/gebruiker/maand, inclusief Intune en Defender for Business) is voor de meeste MKB-organisaties de meest relevante licentievorm voor security-doeleinden. De beveiligingsfunctionaliteit in Business Premium is substantieel beter dan in Business Basic of Business Standard. Per 1 juli 2026 verhoogt Microsoft de prijzen met 5 tot 25% en bundelt meer beveiligingsfuncties in standaardlicenties — een reden om je licentiestructuur nu te evalueren (Bron: Claroty / Nozomi Networks).

Selectiecriteria voor M365 Security partners

Microsoft-certificeringen zijn de eerste drempeleis: minimaal Microsoft Security Administrator Associate (SC-300), bij voorkeur Microsoft Certified: Security, Compliance, and Identity Fundamentals en Microsoft 365 Security Administrator. Zonder die certificeringen is de partner niet gekwalificeerd om professioneel M365-security te leveren.

Ervaring met jouw licentieniveau is de tweede eis: de configuratiemogelijkheden verschillen aanzienlijk tussen Business Basic, Business Premium, E3 en E5. Een partner die primair ervaring heeft met E5 begrijpt de mogelijkheden van Business Premium mogelijk niet optimaal.

Secure Score track record is de derde eis: vraag de partner om concrete voor- en na-cijfers van vergelijkbare implementaties. Een gemiddelde startwaarde van 30-50% en een na-hardening-score van 70-80% is realistisch. Partners die geen concrete scores kunnen leveren, hebben onvoldoende ervaring.

Monitoring en alerting zijn de vierde overweging: ontvang je 24/7 alerts bij verdachte activiteiten, of alleen een maandelijks rapport? Bij M365 kan een gecompromitteerd account binnen uren significant schade aanrichten; 24/7 alerting is voor organisaties met waardevolle data of NIS2-verplichtingen noodzakelijk (Bron: NCSC / Digitale Overheid).

Veelgemaakte configuratiefouten

Standaardinstellingen niet aanpassen is de meest fundamentele fout. M365 out-of-the-box heeft legacy authentication open, admin-accounts met permanente rechten en geen Conditional Access policies. Elke M365-implementatie moet beginnen met hardening van de basisinstellingen.

MFA niet voor alle gebruikers verplichten is de tweede fout. Elke gebruiker zonder MFA is een potentieel toegangspunt via credential stuffing, password spray of phishing. MFA reduceert het risico op account-compromittering met meer dan 99,9% volgens Microsoft's eigen data (Bron: Microsoft Digital Defense Report).

Geen Conditional Access configureren is de derde fout. Zonder Conditional Access kan iedereen overal en op elk apparaat inloggen. Conditional Access policies zijn de spierballen van M365-beveiliging: ze bepalen de context van toegang en blokkeren alle toegang die niet aan de gestelde eisen voldoet.

Admin-accounts zonder PIM is de vierde fout. Permanente global admin rechten zijn een van de grootste risico's in een M365-omgeving. Als een admin-account wordt gecompromitteerd, heeft de aanvaller permanent en onbeperkt toegang tot de volledige tenant. PIM elimineert dit door rechten just-in-time te verlenen.

Eenmalig hardenen zonder doorlopend beheer is de vijfde en meest onderschatte fout. Configuraties verlopen: nieuwe gebruikers worden aangemaakt zonder de juiste policies, legacy authentication wordt soms voor specifieke applicaties tijdelijk heropend en nooit meer gesloten, nieuwe dreigingen vereisen nieuwe policies. Zonder doorlopend beheer neemt de effectiviteit van je M365-hardening binnen maanden significant af.

NIS2 en M365-beveiliging

M365 Security is een directe invulling van meerdere NIS2-zorgplicht eisen. E-mailbeveiliging dekt de bescherming tegen phishing en social engineering. Conditional Access en MFA dekken toegangsbeheer en authenticatie. Audit logging levert de bewijslast bij een NIS2-incident. DLP en sensitivity labels ondersteunen AVG-compliance voor gegevensbescherming.

Per 1 juli 2026 bundelt Microsoft meer beveiligingsfuncties in standaardlicenties. Dit is niet alleen een commerciële beslissing — het weerspiegelt de groeiende erkenning dat basisbeveiliging voor M365 geen optie meer is, maar een standaard. Organisaties die nu hun M365-beveiliging op orde brengen, zijn beter gepositioneerd voor zowel NIS2-toezicht als de wijzigingen in Microsoft's licentiestructuur.

Voor aanvullende databeveiliging naast M365-instellingen biedt data loss prevention een gespecialiseerde dienst. En voor organisaties die hun M365-identiteitsbeveiliging willen versterken met enterprise-grade access management, biedt privileged access management aanvullende controle boven de standaard PIM-functionaliteit van M365.

Trends: Security Copilot en passwordless

Microsoft Security Copilot wordt vanaf juli 2026 beschikbaar als AI-beveiligingsassistent binnen M365 E5. Het analyseert securityalertsmet behulp van grote taalmodellen, stelt verhalen op van incidenten en suggereert respons-acties. Voor security-teams die te maken hebben met alert fatigue is dit een betekenisvolle productiviteitsverbetering.

De transitie naar passwordless authentication via passkeys en FIDO2 via Entra ID versnelt. Wachtwoorden zijn de meest aangevallen schakel in identiteitsbeveiliging; het elimineren ervan — niet versterken, elimineren — is de structurele oplossing. Microsoft duwt sterk aan op passwordless, en de ondersteunende infrastructuur in M365 is inmiddels volwassen genoeg voor brede uitrol.

De veiligheidsbundeling in standaardlicenties verandert de aankoopbeslissing: organisaties die nu Business Basic of Standard hebben, zijn kwetsbaar voor aanvallen die Business Premium of E3-functionaliteit kunnen weren. Een licentiestap-evaluatie is voor elke M365-organisatie zinvol, niet als verkoopargument van Microsoft, maar als beveiligingsnoodzaak.

Aan de slag

Begin met een Secure Score check op security.microsoft.com. Wat is je huidige score? Vergelijk die met het gemiddelde van 30-50% voor enterprise tenants. Elke aanbeveling in de Secure Score omvat een beschrijving van de impact, de implementatiestappen en het verwachte resultaat in scorepunten. Prioriteer op impact: maatregelen die hoog scoren op gebruikersimpact (MFA, Conditional Access, PIM) voor maatregelen met lagere impact.

Plan daarna de hardening gefaseerd: begin met Identity & Access (meest kritiek), ga dan naar e-mailbeveiliging, daarna databeveiliging en device management. Communiceer de wijzigingen naar gebruikers voordat ze worden doorgevoerd — MFA-verplichtingen en Conditional Access policies die plotseling toegang blokkeren, zorgen voor IT-supporttickets als gebruikers niet zijn voorbereid. Combineer de technische hardening met security awareness training zodat gebruikers begrijpen waarom en hoe de nieuwe maatregelen werken.

De menselijke factor: phishing en social engineering

Technische hardening van M365 lost een groot deel van het beveiligingsprobleem op. Maar 28% van datalekken begint met phishing of social engineering — aanvallen die niet op technische kwetsbaarheden inbreken, maar op menselijk gedrag (Bron: Verizon DBIR 2025). Zelfs de best geconfigureerde M365-tenant is kwetsbaar als gebruikers klikken op phishing-links of neppe inlogpagina's.

Het antwoord op deze kwetsbaarheid is tweezijdig. Technisch: de eerder beschreven e-mailbeveiligingsmaatregelen (Safe Links, Safe Attachments, anti-phishing policies) filteren de meeste phishing-berichten eruit voordat ze de inbox bereiken. Organisatorisch: security awareness training en phishing simulatie en testen maken gebruikers weerbaar tegen de aanvallen die de technische filters ontwijken.

De combinatie van technische beveiliging en menselijke weerbaarheid is krachtiger dan elk afzonderlijk. Een organisatie met uitstekende M365-hardening maar ongetrainde gebruikers is kwetsbaar via social engineering. Een organisatie met goed getrainde gebruikers maar gebrekkige technische beveiliging is kwetsbaar via de talloze aanvallen die niet afhankelijk zijn van menselijke fouten. De beste beveiliging combineert beide lagen en behandelt ze als complementaire investeringen, niet als alternatieven.

De waarde van doorlopend beheer

De grootste misvatting over M365 Security is dat het een eenmalig project is. Je doet de hardening, je score stijgt naar 75% en daarna is het klaar. Maar drie maanden later zijn er nieuwe gebruikers aangemaakt, is er een nieuwe applicatie geïntroduceerd, heeft Microsoft nieuwe security-aanbevelingen gepubliceerd en zijn er nieuwe aanvalstechnieken opgedoken die nieuwe policies vereisen.

Configuratie drift is het fenomeen waarbij je securitypostuur langzaam verslechtert door kleine wijzigingen die geen van allen alarmerend zijn maar die samen je beveiliging ondermijnen. Een tijdelijk uitgezette policy die nooit is hersteld. Een admin-account aangemaakt voor een consultant die nooit is verwijderd. Een DLP-policy aangepast voor een specifiek project en nooit teruggezet naar de strengere standaard.

Doorlopend beheer — maandelijkse review van Secure Score, kwartaalreview van alle Conditional Access policies, periodieke controle van admin-accounts en privileges — is de tegenmaatregel voor configuratie drift. Het is ook een vereiste voor organisaties met NIS2-verplichtingen: toezichthouders verwachten niet alleen dat je beveiligingsmaatregelen hebt getroffen, maar dat je ze actueel en effectief houdt (Bron: NCSC / Digitale Overheid). Een security audit en assessment kan periodiek helpen om de werkelijke effectiviteit van je M365-beveiliging te toetsen aan best practices en actuele dreigingen.

Microsoft 365 is het platform waarop de moderne werkplek draait. De kwaliteit van de beveiliging van dat platform bepaalt in grote mate de kwetsbaarheid van de gehele organisatie. De goede nieuws is dat Microsoft uitstekende beveiligingsfunctionaliteit biedt — in Business Premium en zeker in E3 en E5. Het slechte nieuws is dat die functionaliteit actief geconfigureerd, bewaakt en onderhouden moet worden. Dat is precies waar een gespecialiseerde M365 Security partner waarde toevoegt: niet als eenmalige configuratiehulp, maar als doorlopende security-partner die zorgt dat je tenant niet terugzakt naar de kwetsbare 30-50% Secure Score die het gemiddelde kenmerkt.

In de cybersecurity-wedstrijd is stilstand achteruitgang — en dat geldt nergens meer dan voor het meest aangevallen platform ter wereld.

De licentiestrategie als beveiligingsbeslissing

Een aspect van M365 Security dat vaak over het hoofd wordt gezien is de keuze van de licentielaag. Microsoft 365 bestaat uit meerdere plannen (Business Basic, Business Standard, Business Premium, E3, E5) die significant verschillen in beveiligingsfunctionaliteit. Business Basic biedt nauwelijks beveiligingsfunctionaliteit bovenop standaardtoegangsbeheer. Business Premium voegt Intune (MDM), Defender for Business en Azure AD Premium toe — een substantiële sprong in beveiligingscapaciteit die voor de meeste MKB-organisaties het minimumvereiste zou moeten zijn.

E3 en E5 voegen steeds geavanceerdere functionaliteit toe (Microsoft Defender for Office 365 Plan 2, Defender for Identity, Sentinel-integratie) die voor grotere of meer complexe organisaties relevanter zijn. De licentie-evaluatie is daarmee niet alleen een kostenoefening — het is een beveiligingsbeslissing. Een organisatie die op Business Basic draait maar de beveiligingsfunctionaliteit van Business Premium nodig heeft, heeft een structureel gat in zijn M365-beveiliging dat niet door configuratie alleen kan worden gedicht.

Met de aangekondigde prijsverhogingen van Microsoft per 1 juli 2026 is het moment aangebroken om de licentiestructuur kritisch te evalueren. Wegen de hogere kosten van Business Premium op tegen de beveiligingswaarde die het levert ten opzichte van Business Standard? Voor vrijwel elke organisatie die mobiele apparaten en clouddata heeft, is het antwoord bevestigend. Een security audit en assessment kan helpen om de huidige M365-licentiestrategie te evalueren in relatie tot het actuele dreigingsprofiel en de beveiligingsvereisten van de organisatie.