Wat zelfservice wachtwoordreset wel en niet is
In Microsoft 365 zijn twee routes makkelijk te verwarren:
- Helpdesk- of beheerder-reset: iemand met de juiste beheerrechten zet een tijdelijk wachtwoord of doet een reset in het Microsoft 365-beheercentrum. Dat werkt, maar hangt aan beschikbaarheid van die persoon — in het MKB vaak de directeur of één externe IT-partner.
- Zelfservice wachtwoordreset (SSPR): de gebruiker bewijst wie hij of zij is met eerder geregistreerde methoden (Authenticator-app, telefoon, e-mail of combinaties die Microsoft toestaat) en stelt zelf een nieuw wachtwoord in, buiten de helpdesk om.
SSPR is geen vervanging van MFA. MFA bewijst bij inloggen wie u bent; SSPR herstelt toegang wanneer het wachtwoord kwijt is. Beide horen naast elkaar. Het is ook geen vrijbrief om zwakke of hergebruikte wachtwoorden te houden — daar hoort een wachtwoordmanager of passkeys bij.
Waarom het MKB dit moet overwegen
Drie praktische redenen. Continuïteit: een vergeten wachtwoord op zondagavond mag niet wachten tot maandagochtend bij de directeur. Minder privilege-druk: elke beheerder-reset is een moment waarop iemand met hoge rechten in een account grijpt; minder van die resets betekent minder risico en minder ad-hoc werk. Consistency met MFA: wie MFA afdwingt maar elke reset handmatig doet, houdt een bottleneck die gebruikers omzeilen (privé-mail, sticky notes, gedeelde wachtwoorden). Zie ook de in- en uitdienstchecklist: bij indiensttreding methoden registreren; bij uitdienst de methoden en het account afsluiten.
Licenties: in Microsoft 365 Business hangt wat SSPR volledig mag (inclusief wachtwoord wijzigen vanuit het portaal versus alleen unlock) af van de licenties en of cloudwachtwoorden of hybride synchronisatie in het spel zijn. Floor ICT toetst dat op uw tenant vóór we knoppen aanzetten — geen generieke “alles staat standaard aan”-belofte.
Wat u schriftelijk vastlegt
Houd het kort genoeg om dit kwartaal echt te besluiten:
- wie mag SSPR gebruiken (alle standaardgebruikers, of eerst een pilotgroep);
- welke authenticatiemethoden u toestaat (Authenticator-app als voorkeur; telefoon of herstel-e-mail alleen als u dat bewust wilt);
- minimum aantal methoden dat iemand moet hebben geregistreerd voordat SSPR werkt;
- beheerdersaccounts: meestal uitgezonderd van SSPR — reset via een tweede beheerder of een vast break-glass-proces;
- koppeling met MFA: SSPR-methoden mogen MFA niet ondermijnen; dezelfde Authenticator-app is vaak juist de brug;
- joiner/leaver: bij start methoden afdwingen; bij vertrek account en methoden intrekken — zie de checklist;
- communicatie: één korte instructie voor medewerkers (waar resetten, wat ze nodig hebben) voordat u live gaat.
Schrijf die punten op één pagina. Dat is uw SSPR-beleid; de tenant volgt die tekst.
Wat Floor ICT configureert — en wat u beslist
In de Microsoft 365-tenant zetten wij doorgaans: SSPR aan voor de groepen die u heeft goedgekeurd; de toegestane authenticatiemethoden; het vereiste aantal methoden; uitsluiting van beheerdersrollen waar u dat wilt; en controles of gebruikers methoden hebben geregistreerd. We stemmen af op bestaande MFA-regels en, waar van toepassing, op hybride wachtwoordsynchronisatie. We helpen met een korte gebruikersuitleg vóór de go-live.
U beslist nog steeds: of SSPR überhaupt aan gaat; voor wie; welke methoden; of beheerders uitgezonderd blijven; en hoe u uitzonderingen (bijvoorbeeld een medewerker zonder smartphone) oplost. Technische knoppen zonder die keuzes leiden tot “het werkt voor half de organisatie en niemand weet waarom”; beleid zonder uitvoering ook niet.
Meer diepte
Checklist voor directeuren in het MKB
1) Bevestig dat MFA voor standaardgebruikers staat. 2) Besluit: SSPR aan voor wie. 3) Kies toegestane methoden (Authenticator bij voorkeur). 4) Beheerdersaccounts: uitzonderen. 5) Laat Floor ICT licenties en tenant-geschiktheid checken. 6) Communiceer kort naar medewerkers. 7) Koppel in- en uitdienst aan methodenregistratie.
Authenticator, telefoon of e-mail?
De Microsoft Authenticator-app is meestal de sterkere, praktischer keuze naast MFA. Sms of spraak op een telefoonnummer is herkenbaar maar gevoeliger voor SIM-wissel en misbruik. Een herstel-e-mail is handig als tweede methode, niet als enige. Welke combinatie u toestaat, is een bewust besluit — niet “alles openzetten omdat het kan”.
SSPR en beheerders
Een compromis van een beheerderaccount via een zwakke SSPR-methode is ernstiger dan bij een standaardgebruiker. Daarom houden de meeste MKB-tenants beheerders buiten SSPR en regelen reset via een tweede beheerder of break-glass. Dat past bij het artikel over beheerdersaccounts.