Wachtwoord resetten in Microsoft 365 wordt per 7 september strenger

Microsoft scherpt vanaf 7 september 2026 de regels aan voor het zelf resetten van een wachtwoord in Entra ID, het identiteitsplatform achter Microsoft 365. Vanaf die datum accepteert de zelfbedieningsfunctie voor wachtwoordherstel, kortweg SSPR (self-service password reset), alleen nog verificatiemethoden die een gebruiker zelf heeft geregistreerd. Dat melden onder meer Techzine en AdminDroid. Voor de meeste organisaties verandert er weinig, maar wie zijn accountbeveiliging niet op orde heeft, kan na die datum vastlopen bij een simpel wachtwoordprobleem.

Wat er precies verandert

Tot nu toe kon SSPR bij het verifiëren van je identiteit ook terugvallen op contactgegevens die alleen in je gebruikersprofiel staan, zoals een telefoonnummer of een alternatief e-mailadres dat een beheerder ooit heeft ingevuld. Die gegevens hoefden niet apart als verificatiemethode geregistreerd te zijn om te werken. Vanaf 7 september telt dat niet meer mee. Alleen methoden die je zelf hebt geregistreerd via de beveiligingsgegevens van je account, denk aan de Microsoft Authenticator-app, een sms naar een geregistreerd nummer of een telefoonoproep naar een geregistreerd nummer, worden nog geaccepteerd.

Heb je geen geregistreerde methode op het moment dat je een wachtwoord wilt resetten, dan loop je vast. Je krijgt dan een melding dat je eerst een methode moet registreren of dat je contact moet opnemen met je IT-beheerder om het wachtwoord handmatig te laten resetten. Voor een zelfstandige zonder eigen IT-afdeling betekent dat in de praktijk: even geen toegang tot je mailbox of bestanden tot het probleem is opgelost.

Registratiecampagne loopt al sinds juli

Microsoft laat dit niet zomaar op mensen afkomen. Sinds 6 juli 2026 draait er al een registratiecampagne die gebruikers zonder geregistreerde methode automatisch een melding toont zodra ze inloggen, met het verzoek alsnog een verificatiemethode toe te voegen. Volgens de cijfers die daarbij worden genoemd, gebruikt ruim 86 procent van de Entra ID-gebruikers die SSPR inschakelen al een geregistreerde methode. Voor die grote meerderheid verandert er in de praktijk niets. Het gaat vooral om de resterende groep die nooit bewust een methode heeft ingesteld en tot nu toe onbewust op directory-gegevens leunde.

De maatregel geldt breed: naast de gewone zakelijke omgeving (Public cloud) ook voor GCC, GCC High en DoD-tenants. Vrijwel elke organisatie met een Microsoft 365-abonnement en Entra ID krijgt er dus mee te maken.

Waarom Microsoft dit nu doorvoert

De wijziging valt onder het Secure Future Initiative, het meerjarige veiligheidsprogramma waarmee Microsoft eigen producten en diensten beter wil beschermen tegen aanvallen. Identiteitsbeheer staat daarin centraal, en niet zonder reden: aanvallers proberen al jaren wachtwoordherstel te misbruiken door zich voor te doen als een gebruiker en een helpdesk of een reset-formulier te overtuigen met gegevens die eigenlijk makkelijk te achterhalen zijn, zoals een oud telefoonnummer. Door alleen nog expliciet geregistreerde methoden te accepteren, sluit Microsoft dat gat verder af.

Wat betekent dit voor jouw bedrijf

Werk je met Microsoft 365 binnen je bedrijf, dan is dit het moment om even te controleren of je eigen account en die van je collega's een geregistreerde verificatiemethode hebben staan. Log in op je Microsoft-account, ga naar de beveiligingsgegevens en controleer of er minstens één methode geregistreerd staat, bij voorkeur de Authenticator-app. Ben je beheerder van een Microsoft 365-omgeving voor je bedrijf, stuur je team dan een korte herinnering voordat de deadline van 7 september verstrijkt. Dat voorkomt dat iemand er middenin een drukke werkdag achter komt dat hij zichzelf niet meer kan inloggen zonder hulp.

Twijfel je of jouw Microsoft 365-omgeving goed is ingericht, van beveiliging tot mailbeheer? Bij onze dienst Microsoft 365 voor je bedrijf helpen we je met de inrichting en beveiliging, zodat dit soort wijzigingen niet voor verrassingen zorgt. Dit soort verplichte updates rond Microsoft, Google en WordPress houden we structureel bij op onze nieuwspagina.

Bronnen: Techzine Global en AdminDroid Blog.