Definitie
2FA staat voor Two-Factor Authentication (twee-factor-authenticatie). Het is een inlogmethode waarbij naast het wachtwoord een tweede bewijsstuk vereist is, meestal een code uit een app (Microsoft Authenticator, Google Authenticator), een sms, een hardware-token of biometrische bevestiging. Doel: zelfs als het wachtwoord uitlekt, is het account niet zomaar te kraken.
De vaktermen die je tegenkomt: 2FA, MFA (Multi-Factor Authentication, voor 2 of meer factoren), en TOTP (Time-based One-Time Password, de tijdelijke 6-cijferige code). Voor de praktijk komt het op hetzelfde neer: dubbele check bij inloggen.
Waarom het ertoe doet voor MKB
Voor MKB is 2FA inmiddels een baseline-maatregel die niet meer optioneel is. Wachtwoord-lekken zijn dagelijkse praktijk; databases met gestolen wachtwoorden circuleren op het dark web. Zonder 2FA is een gelekt wachtwoord een directe ingang voor criminelen. Met 2FA is dat in vrijwel alle gevallen geblokkeerd.
Voor jouw bedrijf is 2FA-implementatie een kwestie van weken, niet maanden. Het kost weinig geld, vraagt eenmalig wennen van medewerkers, en levert disproportioneel veel veiligheid op. Een verzekeraar kan het tegenwoordig vragen voor cyberverzekering.
Concreet voorbeeld
Een dienstverlener met 35 medewerkers werd in 2024 slachtoffer van een phishing-aanval. Een medewerker klikte op een nepmail en vulde zijn Microsoft-wachtwoord in op een nagebouwde inlogpagina. De aanvaller had daarmee toegang tot het account, lees alle mails en stuurde namens de medewerker betalingsverzoeken naar klanten.
Na het incident werd 2FA bedrijfsbreed verplicht: alle medewerkers installeerden Microsoft Authenticator op hun telefoon, en inloggen vereiste sindsdien een tweede bevestiging. Drie maanden later kreeg dezelfde medewerker weer een phishing-mail. Hij viel er weer in en vulde zijn wachtwoord in, maar zonder de Authenticator-bevestiging bleef toegang voor de aanvaller geblokkeerd. Het verschil tussen ramp en bijna-incident.
Misverstanden en valkuilen
- “Sterk wachtwoord is genoeg.” Niet meer. Sterke wachtwoorden worden ook gestolen via phishing of via lekken bij leveranciers. 2FA is een onafhankelijke extra laag.
- “Sms-codes zijn even veilig.” Sms is beter dan niets, maar zwakker dan apps of hardware-tokens. Sim-swap-aanvallen kunnen sms-codes onderscheppen. App-based 2FA is de moderne standaard.
- “Medewerkers vinden het te lastig.” De eerste week wennen ze er even aan, daarna is het routine. De inspanning is minimaal vergeleken met het risico bij een hack.
- “2FA biedt volledige bescherming.” Nee, ook 2FA kan omzeild worden door geavanceerde aanvallen (man-in-the-middle, MFA-fatigue). Maar voor 99% van de aanvallen is het een doorslaande hindernis.
Wanneer moet je hier wakker liggen, wanneer niet
Wakker liggen: als je belangrijke zakelijke accounts (e-mail, bankzaken, ERP) nog zonder 2FA werken. Dat is een directe aanval-wachttijd; het is geen kwestie van of het gebeurt, maar wanneer. Implementeren binnen 4 weken is haalbaar voor elk MKB.
Niet wakker liggen: als 2FA bedrijfsbreed verplicht is via SSO en medewerkers het hebben geïnternaliseerd. Dat is dan een goede basis. Wel periodiek tester op uitzonderingen (oude accounts, gedeelde accounts) want daar zit vaak nog een gat.