Logt u bij Microsoft 365 in met een code die per sms binnenkomt? Dan verandert er de komende maanden iets. Microsoft stopt met het versturen van die codes, en wie niets regelt, staat op een ochtend voor een inlogscherm dat niet meer verder wil.
Wat Microsoft heeft aangekondigd
Microsoft schaft de sms-code en de belverificatie af als manier om te bevestigen dat u het echt bent. Dat gaat in stappen:
- Sinds 1 september 2026 zijn passkeys de standaard. Wie nu met sms inlogt, krijgt bij het inloggen de vraag om een passkey aan te maken. Die vraag kunt u nog wegklikken.
- Per 1 februari 2027 verstuurt Microsoft zelf geen sms-codes en belt het niet meer voor verificatie. Gebruikers die alleen sms of een telefoontje als tweede stap hebben, lopen dan vast bij het inloggen.
- Per 1 juli 2027 geldt hetzelfde voor beheerdersaccounts en externe gasten in uw omgeving.
Wie per se sms wil houden, kan vanaf eind oktober 2026 een eigen telecomaanbieder koppelen via Microsoft. Dat kost geld en lost het onderliggende probleem niet op, dus voor vrijwel elk MKB-bedrijf raden wij dat af.
Waarom Microsoft dit doet
Een sms-code was jarenlang veel beter dan alleen een wachtwoord, en dat blijft waar. Maar een code kun je ook doorgeven. Oplichters bouwen inlogpagina’s na die er precies uitzien als die van Microsoft, en vragen dan gewoon om de code die net binnenkwam. Wie die intypt, laat de aanvaller binnen. Een passkey werkt alleen op de echte website van Microsoft, dus op een nagemaakte pagina doet hij niets.
Wat u nu kunt doen
Het goede nieuws is dat het overstappen weinig werk is, als u het niet uitstelt tot de laatste week van januari.
- Breng in kaart wie nog op sms leunt. In de beheeromgeving van Microsoft 365 is per gebruiker te zien welke inlogmethoden er zijn ingesteld. Let vooral op mensen bij wie sms de enige methode is.
- Begin bij de belangrijkste accounts. Beheerders, de administratie en iedereen die bij bankgegevens of klantdossiers kan.
- Kies een vervanger. Voor de meeste mensen is dat een passkey in de Microsoft Authenticator-app op hun telefoon. Wie geen zakelijke telefoon wil gebruiken, kan een kleine beveiligingssleutel aan de sleutelbos krijgen. Passkeys zitten zonder meerprijs in elk Microsoft 365-abonnement.
- Vertel het uw medewerkers vooraf. Een melding die ineens om een passkey vraagt, lijkt verdacht veel op phishing. Laat weten dat die melding eraan komt en dat hij echt is.
- Regel een reserve. Geef iedereen een tweede methode, zodat een kapotte of vergeten telefoon niet betekent dat iemand een dag niet kan werken.
Wat er gebeurt als u niets doet
Tot februari merkt u er weinig van, behalve een vraag bij het inloggen die steeds terugkomt. Daarna komen medewerkers die alleen sms hebben niet meer in hun mail, Teams en bestanden. Dat merkt u meestal op een maandagochtend, als iedereen tegelijk wil beginnen.
Heeft u nog helemaal geen tweede stap bij het inloggen? Dan is dit hét moment om dat in één keer goed te regelen. In ons eerdere artikel over MFA in Microsoft 365 leest u waarom dat de goedkoopste maatregel is die u kunt nemen.
Hoe wij dit aanpakken
Voor klanten in ons beheer zoeken wij uit welke accounts nog op sms draaien, zetten wij de passkeys klaar en lopen wij met elke medewerker het aanmelden door. Dat kost per persoon een paar minuten. Wij plannen het ruim voor februari, zodat er geen haast nodig is.
Wilt u weten hoe het er in uw omgeving voor staat? Bel 0548-541219 of vraag een gratis consult aan. Wij zeggen eerlijk wat er wel en niet nodig is.