Donkere illustratie van app-toestemming in Microsoft 365 via beperken, beoordelen en controleren

App-toestemming in Microsoft 365: voorkom ongecontroleerde datatoegang

13 november 2026

Beheer welke apps toegang krijgen tot Microsoft 365-data met beperkt user consent, een goedkeuringsproces en periodieke controles.

Een medewerker koppelt een agenda-app, AI-assistent of documenttool aan Microsoft 365. De app vraagt toegang tot een profiel, mailbox of bestanden. Eén toestemmingsscherm later kan er een blijvende koppeling bestaan tussen bedrijfsdata en een externe leverancier. Dat hoeft niet verkeerd te zijn, maar het verdient dezelfde zorg als ieder ander toegangsbesluit.

App-toestemming, vaak consent genoemd, bepaalt welke applicatie namens een gebruiker of zelfstandig toegang krijgt tot beschermde gegevens. Een organisatie die hier geen beleid voor heeft, ontdekt koppelingen vaak pas tijdens een incident, audit of vertrek van een medewerker. Een organisatie die alles blokkeert zonder werkbaar alternatief, duwt medewerkers juist richting privéaccounts en ongecontroleerde omwegen.

De juiste aanpak combineert drie maatregelen: beperk wat gebruikers zelf mogen toestaan, maak een duidelijke route voor zakelijke aanvragen en controleer bestaande toestemmingen periodiek. Het technische beheer begint in het Microsoft Entra-beheercentrum, maar de belangrijkste beslissingen gaan over eigenaarschap, noodzaak en datarisico. Wil je weten welke externe apps en brede rechten in jouw omgeving aandacht nodig hebben? Laat je Microsoft 365-omgeving beoordelen met de SCAV-IT IT-scan.

Wat geef je precies toestemming?

Een app vraagt API-machtigingen om gegevens of functies in Microsoft 365 te gebruiken. Microsoft onderscheidt twee hoofdtypen:

Gedelegeerde machtigingen: de app handelt namens een aangemelde gebruiker. Wat de app werkelijk kan doen, wordt begrensd door de verleende machtiging én door wat die gebruiker zelf mag.
Applicatiemachtigingen: de app handelt zonder aangemelde gebruiker. Zo'n koppeling kan bijvoorbeeld als achtergrondproces data verwerken. Deze machtigingen kunnen toegang geven tot gegevens van de hele organisatie en vereisen beheerderstoestemming.

Het verschil is belangrijk. Een agenda-app die namens één medewerker diens eigen agenda leest, heeft een ander risicoprofiel dan een achtergrondservice die alle mailboxen of SharePoint-sites kan lezen. Kijk daarom niet alleen naar de appnaam. Beoordeel ook het type machtiging, de precieze reikwijdte en de reden waarom de leverancier die toegang nodig heeft.

Toestemming is bovendien niet hetzelfde als toewijzing. Als een beheerder organisatiebrede toestemming geeft, betekent dit niet automatisch dat iedere medewerker de app nodig heeft. Microsoft Entra kan voor een enterprise-app vereisen dat alleen toegewezen gebruikers of groepen mogen aanmelden. Daarmee scheid je twee besluiten: welke toegang de app technisch mag hebben en welke mensen de app zakelijk mogen gebruiken.

Waarom een bekend logo geen bewijs is

Kwaadwillende apps kunnen namen en vormgeving gebruiken die op vertrouwde producten lijken. Ook een legitieme leverancier kan meer toegang vragen dan de functie rechtvaardigt. Controleer daarom altijd:

wie de uitgever is en of de identiteit van de uitgever is geverifieerd;
welke concrete machtigingen worden gevraagd;
of de machtigingen passen bij de beloofde functie;
welke data de leverancier opslaat, waar dat gebeurt en hoe lang;
welke contractuele en privacyafspraken gelden;
wie intern eigenaar is van de toepassing;
hoe toegang wordt ingetrokken als het product niet meer wordt gebruikt.

Een geverifieerde uitgever is een nuttig signaal, geen volledige veiligheidsverklaring. De verificatie helpt bevestigen wie de app publiceert, maar zegt niet dat iedere gevraagde machtiging voor jouw organisatie noodzakelijk is. Microsoft adviseert om gebruikerstoestemming te beperken tot apps van geverifieerde uitgevers en alleen tot geselecteerde machtigingen met lage impact.

Als de uitgever, het doel of een machtiging niet duidelijk is, keur de aanvraag dan niet goed totdat de leverancier uitleg geeft. Tijdelijke werkdruk is geen goede reden om organisatiebrede toegang te verlenen.

Kies bewust wat medewerkers zelf mogen toestaan

Microsoft Entra biedt grofweg drie beleidsrichtingen voor gebruikerstoestemming:

gebruikerstoestemming uitschakelen;
toestemming alleen toestaan voor apps van geverifieerde uitgevers of apps uit de eigen tenant, en alleen voor geselecteerde machtigingen met lage impact;
gebruikers alle machtigingen laten toestaan die geen beheerderstoestemming vereisen.

Voor veel MKB-organisaties is de beperkte middenroute een werkbaar uitgangspunt. Medewerkers kunnen dan laag-risicoapps gebruiken binnen duidelijke grenzen, terwijl bredere of onbekende verzoeken naar beoordeling gaan. Welke machtigingen als lage impact gelden, moet de organisatie zelf classificeren. Laat dit niet impliciet aan een standaardinstelling over.

Volledig uitschakelen kan passend zijn in een sterk gereguleerde omgeving of wanneer er geen capaciteit is om uitzonderingen veilig te beoordelen. Richt dan wel meteen een aanvraagroute in. Zonder alternatief ontstaat frustratie en gaan mensen mogelijk met persoonlijke accounts werken, waardoor de organisatie nog minder zicht heeft.

Let op: een wijziging in het beleid voor gebruikerstoestemming werkt alleen voor toekomstige toestemmingsacties. Bestaande machtigingen blijven volgens Microsoft actief totdat je ze afzonderlijk beoordeelt en zo nodig intrekt. Alleen de instelling aanscherpen ruimt historische toegang dus niet op.

Maak van goedkeuring een controleerbaar proces

Met de admin consent workflow kunnen medewerkers vanuit het toestemmingsscherm een aanvraag indienen als ze zelf geen toestemming mogen geven. Aangewezen beoordelaars ontvangen de aanvraag en de medewerker krijgt bericht na goedkeuring, afwijzing of blokkering.

Wijs minimaal twee bereikbare beoordelaars aan en gebruik rollen met zo weinig mogelijk bevoegdheden. Alleen iemand als beoordelaar aanwijzen verhoogt diens rechten niet. De beoordelaar moet ook de juiste Entra-rol hebben voor het soort toestemming. Voor bepaalde Microsoft Graph-applicatiemachtigingen kan alleen een Global Administrator goedkeuren. Gebruik die zware rol niet als standaardwerkaccount. De aanpak uit Microsoft Entra PIM: tijdelijk beheer met controleerbare toegang helpt om zulke bevoegdheden tijdelijk te activeren.

Vraag bij iedere aanvraag minimaal om:

het zakelijke doel en de betrokken afdeling;
de interne eigenaar en vervanger;
de verwachte gebruikersgroep;
de gevraagde machtigingen;
het type gegevens dat wordt verwerkt;
de leverancier, contractstatus en privacybeoordeling;
de gewenste gebruiksduur;
een verwijder- of exitplan.

Controleer daarna of de gevraagde machtigingen logisch aansluiten op de functie. Een tool voor SharePoint-beheer kan brede sitetoegang nodig hebben, maar heeft niet vanzelfsprekend volledige mailbox- of directorytoegang nodig. Vraag om een beperktere machtiging als de leverancier meer vraagt dan noodzakelijk.

Keur niet rechtstreeks vanuit een losse e-mail of chatbericht goed. Koppel het besluit aan de aanvraag, leg de motivatie vast en noteer eventuele voorwaarden. Zo kan een volgende beoordelaar later begrijpen waarom de app toegang kreeg.

Beperk ook goedgekeurde apps

Goedkeuring is geen alles-of-nietsbesluit. Nadat een app technisch is toegestaan, kun je de blootstelling vaak verder beperken:

vereis gebruikerstoewijzing en koppel alleen de benodigde groep;
gebruik een pilotgroep voordat de app breed beschikbaar komt;
vermijd permanente brede applicatiemachtigingen als een beperktere integratie mogelijk is;
wijs een zakelijke en technische eigenaar aan;
registreer contracteinde, evaluatiedatum en leveranciercontact;
zet ongebruikte apps of aanmeldingen uit;
controleer geheimen en certificaten van eigen app-registraties op geldigheid en eigenaarschap.

Maak onderscheid tussen apps uit de marketplace, eigen app-registraties en geautomatiseerde koppelingen van leveranciers. Ze verschijnen niet altijd in dezelfde operationele context, maar kunnen allemaal toegang tot bedrijfsgegevens hebben.

Voer periodiek een app- en rechtenreview uit

Een toestemming die vorig jaar terecht was, kan inmiddels overbodig zijn. Een leverancier kan zijn product hebben gewijzigd, een afdeling kan zijn gestopt met de app of de interne eigenaar kan zijn vertrokken. Plan daarom minimaal ieder kwartaal een lichte review en jaarlijks een diepere beoordeling.

Controleer per enterprise-app:

is er recente, verklaarbare aanmeldactiviteit;
bestaat de leverancier nog en is het contract actief;
zijn interne eigenaar en gebruikersgroep actueel;
welke gebruikerstoestemmingen en beheerderstoestemmingen zijn verleend;
zijn nieuwe of bredere machtigingen toegevoegd;
passen de machtigingen nog bij de gebruikte functies;
is gebruikerstoewijzing ingeschakeld waar dat zinvol is;
zijn er verlopen of binnenkort verlopende referenties;
kan toegang worden beperkt, ingetrokken of de app worden verwijderd.

In het Entra-beheercentrum kun je bij een enterprise-app onder Permissions organisatiebrede beheerderstoestemming en toestemming per gebruiker bekijken. Microsoft vermeldt dat beheerderstoestemming daar kan worden ingetrokken. Gebruikerstoestemmingen intrekken kan afhankelijk van de situatie Microsoft Graph of PowerShell vereisen.

Trek toegang niet blind in bij een bedrijfskritische koppeling. Bepaal eerst welke processen afhankelijk zijn van de app, plan een wijzigingsmoment en test of de dienst daarna blijft werken. De werkwijze uit Microsoft 365-wijzigingsbeheer: van Message center naar uitvoerbare acties is ook bruikbaar voor wijzigingen aan app-toegang.

Bewaak nieuwe en verdachte toestemming

Periodieke controle alleen is niet genoeg. Gebruik de Entra-auditlogboeken en, als je licentie dat ondersteunt, Microsoft Defender for Cloud Apps of Azure Monitor om nieuwe toestemmingen en risicovolle OAuth-apps te onderzoeken. Leg vast wie een melding beoordeelt en binnen welke termijn.

Let bijvoorbeeld op:

toestemming voor een onbekende of niet-geverifieerde uitgever;
machtigingen voor alle mailboxen, bestanden, sites of directoryobjecten;
applicatiemachtigingen zonder duidelijke service-eigenaar;
veel mislukte of herhaalde toestemmingsverzoeken;
een app die kort na toestemming afwijkende aanmeldactiviteit toont;
nieuwe referenties of gewijzigde rechten bij een bestaande app.

Bewaar relevante auditinformatie volgens je bewaarbeleid. De gids over het Microsoft 365-auditlogboek voor incidentonderzoek en bewijs helpt om onderzoeksvragen, exports en opvolging gestructureerd vast te leggen.

Wat doe je bij een verdachte app?

Behandel een verdachte toestemming als een mogelijk beveiligingsincident. Verzamel eerst de app-ID, service-principal-ID, uitgever, verleende machtigingen, betrokken gebruikers en relevante tijdstippen. Beperk daarna zo snel mogelijk verdere toegang zonder belangrijk bewijs te vernietigen.

Afhankelijk van de situatie kan herstel bestaan uit:

aanmelden bij de app blokkeren;
gebruikers- en groepstoewijzingen verwijderen;
beheerderstoestemming en gebruikerstoestemmingen intrekken;
actieve gebruikerssessies of tokens ongeldig maken;
de enterprise-app verwijderen als die niet legitiem is;
controleren welke gegevens mogelijk zijn benaderd;
betrokken accounts en apparaten onderzoeken;
de oorzaak aanpakken zodat opnieuw toestemming geven niet direct mogelijk is.

Microsoft waarschuwt dat alleen een bestaande machtiging intrekken niet altijd voorkomt dat een gebruiker later opnieuw toestemming geeft. Combineer herstel daarom met passend consentbeleid en controleer of de app opnieuw machtigingen probeert te verkrijgen.

Veelgemaakte fouten

Alleen beheerderstoestemming controleren

Gebruikers kunnen, afhankelijk van het beleid, zelf gedelegeerde toegang hebben verleend. Controleer zowel beheerderstoestemming als gebruikerstoestemming.

Alles blokkeren zonder aanvraagroute

Dit verplaatst het probleem naar de werkvloer. Bied een duidelijke, snelle en controleerbare route voor noodzakelijke zakelijke apps.

Een geverifieerde uitgever automatisch vertrouwen

Verificatie helpt bij het vaststellen van de uitgever, maar bewijst niet dat de gevraagde rechten minimaal of passend zijn.

Bestaande toestemming vergeten na een beleidswijziging

Strenger beleid werkt volgens Microsoft niet met terugwerkende kracht. Review historische machtigingen apart.

Organisatiebrede toestemming gelijkstellen aan brede uitrol

Beperk de daadwerkelijke gebruikersgroep met verplichte toewijzing als niet iedereen de app nodig heeft.

Veelgestelde vragen

Is app-toestemming hetzelfde als inloggen met Microsoft?

Niet helemaal. Inloggen bevestigt de identiteit. Het toestemmingsscherm bepaalt daarnaast welke gegevens of functies de app namens de gebruiker of organisatie mag gebruiken.

Moeten we gebruikerstoestemming volledig uitschakelen?

Dat hangt af van risico, sector en beheercapaciteit. Microsoft adviseert minimaal een beperking tot geverifieerde uitgevers en geselecteerde machtigingen. Zorg bij strengere blokkades altijd voor een goedkeuringsroute.

Is organisatiebrede toestemming permanent?

De toestemming blijft actief totdat zij wordt ingetrokken of de app of machtiging verandert. Behandel goedkeuring daarom als een besluit met eigenaar en herbeoordelingsdatum.

Kan een beoordelaar automatisch iedere aanvraag goedkeuren?

Nee. Een beoordelaar moet de juiste rol hebben en iedere aanvraag inhoudelijk toetsen. Alleen als beoordelaar worden aangewezen geeft geen extra rechten.

Hoe vaak moeten we enterprise-apps controleren?

Een kwartaalreview is een praktisch minimum voor eigenaar, gebruik en brede rechten. Voer daarnaast een diepere jaarlijkse beoordeling uit en reageer direct op risicosignalen of grote leverancierswijzigingen.

Wat is het verschil tussen intrekken en verwijderen?

Machtigingen intrekken haalt toestemming weg. Toewijzingen verwijderen beperkt wie de app kan gebruiken. De enterprise-app verwijderen haalt het service-principalobject uit de tenant. Kies de maatregel op basis van afhankelijkheden en incidentrisico.

Gebruikte Microsoft-bronnen

De productwerking en aanbevelingen zijn op 13 november 2026 gecontroleerd tegen deze officiële Microsoft-bronnen:

Microsoft kan portaalnamen, rollen en toestemmingsfuncties wijzigen. Controleer daarom de actuele documentatie en tenantinstellingen voordat je beleid of machtigingen aanpast.

Maak app-toegang onderdeel van normaal beheer

App-toestemming is geen eenmalige technische keuze. Het is een doorlopende beheercyclus: beperken, aanvragen, beoordelen, toewijzen, bewaken en opnieuw beoordelen. Met die cyclus kan het MKB nuttige cloudapps blijven inzetten zonder dat externe toegang ongemerkt blijft groeien.

Begin met een inventaris van bestaande enterprise-apps en brede machtigingen. Stel daarna een beperkt consentbeleid en een werkbare goedkeuringsroute in. Geef iedere goedgekeurde app een eigenaar en eindig ieder kwartaal met één duidelijke uitkomst: behouden, beperken, nader onderzoeken of verwijderen.