Wat is MFA en waarom wil je het morgen aan hebben?

Gepubliceerd op 14 juli 2026 door het team van CloudDock, bijgewerkt op 28 oktober 2026.

Wat is MFA in gewone taal?

MFA staat voor multifactor-authenticatie, ook wel tweestapsverificatie genoemd. Simpel gezegd: een extra slot op de deur. Je wachtwoord is de sleutel, MFA is de tweede check dat jij het echt bent. Meestal is dat een melding in een app op je telefoon die je even goedkeurt, soms een code of je vingerafdruk.

Je kent het al van je bank: overboeken zonder extra bevestiging kan niet. Precies datzelfde principe zet je met MFA op je zakelijke mail, bestanden en systemen. Steelt iemand je wachtwoord, dan komt hij zonder die tweede stap alsnog niet binnen.

Zo gaat het mis zonder MFA

Een voorbeeld dat elke week ergens gebeurt:

• Er komt een mail binnen die eruitziet als een bericht van een leverancier: "log in om de offerte te bekijken". De inlogpagina is nagemaakt, maar dat zie je op een drukke ochtend niet.
• Iemand op kantoor vult zijn wachtwoord in en werkt gewoon door. Er lijkt niets aan de hand.
• Ondertussen logt een crimineel met dat wachtwoord in op de mailbox. Hij leest wekenlang mee, ziet welke projecten er lopen en wie de facturen betaalt.
• Op het juiste moment stuurt hij jouw klant een factuur die er precies goed uitziet, met één verschil: een ander rekeningnummer.
• De schade is dan al gebeurd voordat iemand iets doorheeft.

Met MFA aan strandt ditzelfde verhaal bij stap één. Het gestolen wachtwoord is niet genoeg, de inlogpoging loopt dood op de tweede stap en jij ziet hooguit een melding die je niet goedkeurt. Dat is het hele verschil, en precies de reden waarom je MFA morgen aan wilt hebben in plaats van na het eerste incident.

MFA: betekenis en afkorting

MFA staat voor multi-factor authenticatie: inloggen met meer dan één bewijs dat jij het bent. Die bewijzen komen uit drie groepen: iets wat je weet (een wachtwoord), iets wat je hebt (je telefoon of een sleutel) en iets wat je bent (je vingerafdruk of gezicht). Een wachtwoord plus een code uit de app op je telefoon is dus MFA. Een wachtwoord plus een tweede wachtwoord is dat niet, want dat is twee keer dezelfde groep.

Welke vormen van MFA zijn er?

• Authenticator-app: je keurt de inlog goed op je telefoon, vaak door een getal over te typen. De standaard die wij inrichten, via de Microsoft Authenticator.
• Sms-code: werkt, maar is de zwakste vorm; codes zijn te onderscheppen en simkaarten te kapen. Gebruik het alleen als reserve.
• Hardware-sleutel: een sleuteltje op je sleutelbos (FIDO2) dat je in de laptop steekt. Sterk, handig voor beheerders.
• Passkeys en Windows Hello: inloggen met je gezicht of vingerafdruk op het apparaat zelf. Veilig én zonder wachtwoord; dit wordt de norm.

Is MFA verplicht voor bedrijven?

Er is geen wet die letterlijk zegt dat elk bedrijf MFA moet hebben. In de praktijk kom je er niet meer omheen: Microsoft verplicht MFA al voor beheerders in Microsoft 365 en Azure, cyberverzekeraars stellen het als voorwaarde voor dekking, en wie onder NIS2 valt moet aantoonbaar passende maatregelen nemen, waar MFA het eerste van is. Ook opdrachtgevers vragen er steeds vaker naar in hun leveranciersvragenlijst. Wie onder NIS2 valt, lees je in wat NIS2 betekent voor het mkb.