Conditional Access in Microsoft 365 voor het MKB: Voorwaardelijke Toegang Inrichten

Elke Microsoft 365-tenant heeft een stille grens: het moment waarop iemand "inlogt" wordt niet alleen bepaald door wachtwoord en MFA, maar door de voorwaarden waaronder je als beheerder de deur open laat gaan. Welk apparaat, welke locatie, welke app, welk risicosignaal. Die set regels heet Conditional Access, en voor een MKB met Microsoft 365 Business Premium of E3 is het een van de krachtigste knoppen die je al in handen hebt, vaak zonder dat je ze gebruikt.

Wat is Conditional Access in Microsoft 365

Conditional Access, onderdeel van Microsoft Entra ID (voorheen Azure AD), is het beleidsframework dat per sign-in beslist of een gebruiker toegang krijgt, en onder welke voorwaarden. Elke policy is een if-then-regel: als deze gebruiker, in deze app, op dit apparaat, vanuit deze locatie, met dit risicoprofiel probeert in te loggen, dan eisen we MFA, een compliant apparaat, een goedgekeurde app, of blokkeren we het helemaal.

Het is dus geen vervanging van wachtwoorden of MFA, maar de laag die beslist wanneer welke eis geldt. In plaats van "MFA voor iedereen altijd" kun je beslissen "MFA voor iedereen buiten kantoor, geen prompt binnen kantoor op een compliant laptop". Gebruiksvriendelijker en strenger tegelijk, als je het goed inricht.

Waarom het MKB dit nu serieus moet nemen

In de Verizon Data Breach Investigations Report van 2025 stond credential-misbruik op de eerste plaats als initiele toegang: 22 procent van alle datalekken begon met een gestolen wachtwoord. MFA alleen helpt, maar aanvallers passen zich aan met MFA-fatigue, adversary-in-the-middle-phishing en tokendiefstal. Conditional Access is de laag die die aanvalspaden sluit door naast het wachtwoord ook de context te beoordelen.

Daarnaast herverdeelt Microsoft sinds 2024 automatisch Microsoft-managed baseline-policies naar tenants (zoals MFA voor admins) en toont het Entra-adminportaal sinds 2026 actiever licentiegap-waarschuwingen. Als je dus Business Premium of E3 hebt maar geen eigen policies draait, bestuurt Microsoft er al een paar voor je zonder dat je het hebt ingericht. Dat is een reden om wakker te worden, niet om achterover te leunen.

Welke licentie heb je nodig

De korte versie: Conditional Access vereist Microsoft Entra ID P1 licenses per gebruiker op wie de policy van toepassing is. Die P1-licentie zit al in:

• Microsoft 365 Business Premium (Business-tier)
• Microsoft 365 E3 en A3 (Enterprise-tier)
• Microsoft 365 F3 (frontline)
• Microsoft Entra ID P1 standalone (rond 7 dollar per gebruiker per maand, prijsverhoging van 6 naar 7 dollar sinds 1 juli 2026)

Heb je alleen Microsoft 365 Business Standard of Basic, dan heb je geen Conditional Access. Dan kun je wel Security Defaults aanzetten, Microsoft's gratis one-click-baseline die MFA afdwingt en legacy-auth blokkeert. Dat is een goede start voor hele kleine omgevingen, maar sluit Conditional Access gelijktijdig uit. Onze gids over MFA implementeren voor het MKB legt die basiskeuze verder uit.

Entra ID P2 (rond 10 dollar per gebruiker per maand, in E5) voegt daarboven op: risk-based Conditional Access op basis van sign-in risk en user risk uit Identity Protection, plus Privileged Identity Management (PIM) en Access Reviews. Veel MKB-bedrijven kopen P2 alleen voor admins en niet voor de rest van de organisatie.

De zes policies die bijna elk MKB nodig heeft

Je kunt eindeloze policies maken, maar deze set dekt in de praktijk 90 procent van wat een MKB nodig heeft. Microsoft noemt ze zelf "common Conditional Access policies" en adviseert ze als uitgangspunt.

1. MFA voor alle gebruikers

Baseline. Elke sign-in op een cloud-app vraagt MFA, eventueel met trusted-location-vrijstelling voor het kantoor. Begin zonder trusted locations: liever vaker MFA dan geopende gaten.

2. MFA voor admins, strenger

Voor rollen als Global Administrator, Security Administrator of Exchange Administrator eis je MFA elke keer, zonder trusted-location-vrijstelling. Liefst met phishing-resistant methodes (FIDO2 security keys of passkeys). Configureer dat via Authentication Strengths in Entra.

3. Block legacy authentication

Legacy-auth is basic authentication over oude protocollen zoals IMAP, POP3, SMTP AUTH, EWS en oude MAPI. Het omzeilt MFA volledig. Microsoft adviseert deze policy expliciet en staat in zijn eigen documentatie dat je hem eerst in report-only moet uitrollen om impact te zien, dan pas aanzetten.

4. Compliant device required voor gevoelige apps

Voor apps als Exchange Online, SharePoint Online en Teams eis je een compliant apparaat (via Intune beheerd en aan je compliance-policies voldoend) of een hybrid Azure AD-joined apparaat. Dit sluit toegang vanaf persoonlijke, ongepatchte laptops af. Zie onze gids over Microsoft Intune voor het MKB voor hoe je de compliance-policies definieert.

5. Risky sign-ins (P2) afhandelen

Met Entra ID P2 kun je op basis van sign-in-risico (Identity Protection) extra eisen stellen: bij medium risico MFA opnieuw, bij high risico blokkeren of wachtwoord resetten. Dit is de meest effectieve verdediging tegen token-theft en atypical-location aanvallen.

6. Geografische restricties waar logisch

Niet elk MKB heeft internationale medewerkers. Werkt je team nooit vanuit bepaalde regio's, dan kun je die expliciet blokkeren. Pas op: hotelwifi tijdens een directievakantie kan via een onverwacht IP komen. Werk dan met named locations en meldingen.

Report-only mode: eerst meten, dan afdwingen

De grootste valkuil bij Conditional Access is een policy die iedereen uitsluit: je zet hem aan, een paar admins werken met legacy-tooling of specifieke scenario's, en ineens kan niemand meer in. Microsoft's eigen aanbevolen flow lost dat op met report-only mode.

In report-only wordt de policy wel geevalueerd bij elke sign-in, maar de grant-controls worden niet afgedwongen. Het resultaat landt in de sign-in-logs: je ziet precies welke accounts in welke scenario's geraakt zouden zijn, en welke zouden zijn geblokkeerd of MFA hadden gekregen.

Een verstandige uitrol werkt zo:

1. Maak de policy in report-only.
2. Laat hem 1 tot 2 weken draaien.
3. Beoordeel de resultaten via de Conditional Access-insights workbook in de Entra-portal.
4. Pas uitzonderingen aan (specifieke serviceaccounts, systeemgroepen).
5. Zet de policy pas op "On" als de rapportage geen onvoorziene impact meer laat zien.
6. Houd een bedrijfscontinuiteitsplan achter de hand voor het geval een onverwachte impact zich alsnog manifesteert.

Zonder deze stap zet je policies aan op vrijdag en zit je zondagavond met een boos directieteam aan de telefoon.

Break-glass accounts: de redactionele uitzondering

Elke Conditional Access-policy die admins kan buitensluiten moet twee noodaccounts respecteren. Dit zijn speciale cloud-only Global Administrator-accounts die bewust buiten elke CA-policy vallen, met een extreem lang random wachtwoord dat in een fysieke kluis ligt, en met monitoring op elke sign-in erop.

Microsoft adviseert expliciet minstens twee van dit soort emergency-access-accounts, buiten federatie (geen hybride koppeling), buiten MFA-policies zelf als die alle gebruikers afdekken, maar wel met uitgebreide alerting bij gebruik. Test ze eens per kwartaal: een break-glass-account dat niemand meer kan vinden is geen break-glass meer.

Dit is geen optionele extra. Een policy die per ongeluk alle beheerders uitsluit zonder zo'n account betekent een support-ticket bij Microsoft dat dagen kan duren.

Hoe je begint als je niets hebt

Veel MKB's hebben Business Premium of E3 maar geen actieve Conditional Access-policies. Een realistische volgorde om vanuit nul te starten:

1. Week 1: audit huidige situatie. Draaien er Security Defaults? Zijn er Microsoft-managed policies actief? Welke admins hebben per-user MFA? Welke serviceaccounts loggen in?
2. Week 2: maak twee break-glass-accounts, documenteer ze, zet credentials in de kluis en alerting op gebruik.
3. Week 3-4: zet de zes baseline-policies klaar in report-only. Monitor de sign-in-logs.
4. Week 5-6: analyseer per policy de impact, pas uitzonderingen aan, train helpdesk op de nieuwe MFA-flow.
5. Week 7: zet policies een voor een op On, in deze volgorde: block legacy auth, MFA voor admins, MFA voor alle gebruikers, compliant device required.
6. Week 8+: beoordeel maandelijks de sign-in-logs en tweak. Conditional Access is geen set-and-forget; nieuwe apps en gebruikspatronen vragen om bijstellen.

Deze fasering voorkomt de klassieke "zet alles aan op maandag en zit tot vrijdag met incidenten" ervaring. Combineer het met onze zero-trust-gids voor het MKB voor hoe Conditional Access past in een bredere zero-trust-strategie.

Fouten die we regelmatig zien

• Alle policies tegelijk op On zonder rapportage. Garantieformule voor een drukke helpdesk-maandag.
• Geen break-glass-accounts. De eerste misconfiguratie wordt een urgent Microsoft-ticket.
• Serviceaccounts tussen gebruikerspolicies gemengd. Een MFA-eis op een serviceaccount dat Exchange-postvakken scant breekt mailstromen.
• Trusted locations op elk kantoor-IP zonder MFA eromheen. Een insider of een gastwifi-gebruiker hoeft dan geen MFA meer; de hele CA-laag valt weg binnen dat segment.
• Microsoft-managed policies vergeten. Microsoft schakelt sommige policies in report-only automatisch aan; als je ze daar nooit op On zet, is het beschermingsbeeld een illusie.
• Geen monitoring op CA-wijzigingen. Als iemand een policy aanpast, wil je dat weten. Audit-logs horen een alert te hebben op sign-in-conditions-wijziging door een admin.

Grenzen van Conditional Access

Het is geen magische barriere. CA beoordeelt sign-ins; het controleert niet continu wat een al-ingelogde sessie doet. Tokens blijven geldig tot ze verlopen, tenzij je Continuous Access Evaluation aanzet, dat sessies realtime herevalueert. Zet CAE aan op elke app die het ondersteunt.

Daarnaast zit CA bovenop je identiteitsmodel. Een aanvaller met OAuth-toestemmingen via phishing blijft soms langer binnen dan je lief is. Combineer CA met moderne email-beveiliging tegen phishing en BEC voor een robuuster geheel.

Veelgestelde vragen over Conditional Access

Heeft elk Microsoft 365 abonnement Conditional Access? Nee. Je hebt minimaal Microsoft Entra ID P1 nodig, dat zit in Business Premium, E3, A3 en F3, of als standalone licentie. Business Basic en Business Standard hebben alleen Security Defaults.

Wat is het verschil tussen Security Defaults en Conditional Access? Security Defaults is een gratis Microsoft-beheerde baseline die MFA voor iedereen afdwingt en legacy-auth blokkeert, in een klik aan of uit. Conditional Access is fijnmaziger: je stelt zelf per app, gebruiker, apparaat en locatie de regels in. De twee sluiten elkaar uit in dezelfde tenant.

Kan Conditional Access MFA volledig vervangen? Nee. Conditional Access is het beleidsframework dat beslist wanneer MFA wordt gevraagd, maar de MFA-methode zelf (Authenticator app, FIDO2 key, passkey) blijft nodig. Beide zijn complementair; zonder MFA-methode kun je in een policy geen "MFA eisen" afdwingen.

Hoe ga je om met serviceaccounts en applicatie-identiteiten? Maak ze expliciet uitzonderingen op gebruikers-CA-policies en gebruik liever workload identities of managed identities in Azure. Een serviceaccount met een wachtwoord buiten alle policies is een risico op zich.

Moeten we eerst Intune hebben voordat Conditional Access zinvol is? Deels. MFA-policies, legacy-auth-blokkades en risky-sign-in-policies werken zonder Intune. "Compliant device required" vereist wel een MDM-oplossing die apparaten als compliant markeert. Veel MKB's starten zonder die eis en voegen hem later toe.

Wat kost Conditional Access invoeren bij een MKB? De licenties zitten er vaak al in als je Business Premium of E3 draait. Het echte werk is configuratie, test en uitrol. Afhankelijk van complexiteit rekenen we voor een eerste uitrol 1 tot 3 weken doorlooptijd met gefaseerde report-only-review.

Conclusie

Conditional Access maakt van "wie heeft toegang" een vraag met context. In plaats van statisch MFA voor iedereen altijd, laat je apparaat, locatie, risico en app meebeslissen. Voor een MKB met Microsoft 365 Business Premium of E3 is dat beschikbare beveiligingslaag die te vaak ongebruikt blijft. Met een gefaseerde uitrol, break-glass-accounts en de zes baseline-policies in report-only, dan pas aanzetten, krijg je de voordelen zonder dat je team een maandag lang buiten de deur staat.

Wil je Conditional Access structureel inrichten en beheren, inclusief sign-in-review, compliance-policies in Intune en de documentatie voor audits? Wij doen dat dagelijks voor Nederlandse MKB-bedrijven in verschillende sectoren. Plan een kennismaking via de contactpagina of bel direct 085-3035869.