Microsoft 365 app-toegang controleren: welke apps mogen bij jouw data?

Op je telefoon weet je precies welke apps bij je foto's mogen. In Microsoft 365 is dat veel minder zichtbaar. Toch kan elke app waaraan jij of een collega ooit toestemming gaf, namens jou bij je mail, bestanden of agenda. Ook een koppeling die je jaren geleden hebt aangezet en nooit meer hebt gebruikt. Na de hack bij ConnectWise Cloud Backup (voorheen SkyKick) is dat geen theorie meer. In dit artikel loop je in drie stappen na welke apps toegang hebben tot je Microsoft 365, wat je intrekt en waar je in de logboeken op let. Daarna zet je gebruikerstoestemming dicht.

Wat er bij ConnectWise Cloud Backup gebeurde

Dit zijn de feiten, uit twee bronnen: het artikel van Microsoft Security van 21 oktober 2026 en het bericht van Techzine van 19 oktober 2026.

• Aanvallers kregen de beschikking over de identiteiten van ConnectWise-applicaties. Volgens Microsoft gaat het om de actor Storm-0940.
• Met die apps konden ze inloggen in Microsoft 365-omgevingen van klanten, via koppelingen waar de klant zelf eerder toestemming voor had gegeven. Volgens Microsoft konden ze zo werken zonder dat een gebruiker hoefde in te loggen.
• Microsoft schrijft dat de aanvaller daarna probeerde in te loggen bij meer dan 2.250 omgevingen (tenants).
• In meerdere omgevingen zag Microsoft daarna activiteit via Microsoft Graph: verkennen, het aanpassen van inloggegevens van apps en pogingen om rechten te wijzigen. Zulke wijzigingen kunnen volgens Microsoft blijven bestaan als achterdeur, ook nadat de besmette app is aangepakt.
• Op 17 oktober schakelde ConnectWise zeven applicatie-identiteiten uit en trok het certificaten in. Op 19 oktober meldde Techzine dat Cloud Backup is opgeschort. Wanneer de dienst terugkomt, was toen nog onduidelijk.

Belangrijk om niet te vergeten: Microsoft zegt zelf dat de aanwezigheid van een getroffen app, of zelfs een geslaagde aanmelding, niet automatisch betekent dat er data is ingezien of weggehaald. Het betekent wel dat je moet kijken.

Waarom dit ook jouw bedrijf kan raken

De les geldt veel breder dan één leverancier. Elke dienst die je aan je Microsoft 365 koppelt, of dat nu een back-up, een CRM, een planningstool of een handige add-in is, krijgt rechten in je omgeving. Die rechten blijven staan tot iemand ze intrekt. Techzine schrijft dat ook omgevingen met slapende koppelingen gecontroleerd moeten worden. Microsoft adviseert hetzelfde: kijk ook naar tenants waar de app ooit is geïnstalleerd, ook als je hem niet meer gebruikt.

Raakt zo'n koppeling mail en bestanden met persoonsgegevens, dan speelt ook de AVG mee. Weet je niet meer welke app wat mag lezen, dan weet je ook niet wat je moet melden als het misgaat. Hoe zo'n melding werkt, lees je in ons artikel over datalek melden voor het mkb.

Stap 1: zie welke apps toegang hebben, en waartoe

Je doet dit in het Microsoft Entra admin center. Volgens Microsoft Learn heb je daarvoor minimaal de rol Cloud Application Administrator nodig.

1. Log in op het Microsoft Entra admin center met een beheerdersaccount.
2. Ga naar Entra ID > Enterprise apps > All applications. In sommige weergaven staat dit onder Identity > Applications.
3. Open een app en kies Permissions.
4. Op het tabblad Admin consent zie je de rechten die voor je hele organisatie zijn gegeven. Op het tabblad User consent zie je wat individuele gebruikers hebben toegestaan.
5. Klik op een recht om de details te zien.

Maak er een lijstje van met per app: naam, leverancier, waarvoor je hem gebruikt, wie hem heeft aangezet en welke rechten hij heeft. Stel dan drie vragen: kennen we deze app, gebruiken we hem nog, en heeft hij meer rechten dan hij nodig heeft? Microsoft adviseert om rechten van apps die in meerdere organisaties draaien zo klein mogelijk te houden (least privilege).

Zoek je naar een specifieke app uit het nieuws, zoals de ConnectWise-apps, zoek dan op het application ID en niet op de weergavenaam. Dat adviseert Microsoft. De ID's van de getroffen apps staan in het artikel van Microsoft.

Stap 2: trek oude en onnodige koppelingen en toestemmingen in

Hier zit de valkuil. Verwijder een verdachte app niet als eerste reactie. Microsoft zegt letterlijk dat je enterprise applications niet als eerste stap moet verwijderen: bewaar eerst de configuratie en het bewijs, voordat je iets doet dat je niet kunt terugdraaien. Dus:

1. Leg vast wat er staat. Maak schermafdrukken of exporteer de rechten, eigenaren en instellingen van de app. Bewaar ook de sign-in- en auditlogs, ook als je ze nog niet doorleest.
2. Zet de app uit. Open de app, ga naar Properties, zet Enabled for users to sign-in? op Nee en sla op. Er worden dan geen tokens meer uitgegeven voor die app in jouw omgeving. Volgens Microsoft Learn kun je dit later weer terugzetten.
3. Trek rechten in die niet nodig zijn. Ga naar Permissions, tabblad Admin consent, kies de drie puntjes bij het recht en daarna Revoke permission. Rechten op het tabblad User consent kun je niet in de portal intrekken; dat gaat via Microsoft Graph of PowerShell.
4. Verwijder pas als je zeker bent dat de app echt weg kan, en nadat je hebt vastgelegd wat er stond.

Twee kanttekeningen. Eén: trek je een recht in, dan kan een gebruiker de app opnieuw toestemming geven. Daarom is het onderdeel hieronder over gebruikerstoestemming belangrijk. Twee: zie je tekenen van misbruik, zoals inloggegevens die je niet kent, laat dan iemand met de juiste bevoegdheden het opruimen. Microsoft noemt daarbij het verwijderen van onbekende inloggegevens, toestemmingen, eigenaren en roltoewijzingen, en het vernieuwen van inloggegevens.

Stap 3: kijk in de aanmeldlogs van service principals

Een app die zichzelf aanmeldt heet in Entra een service principal. Zulke aanmeldingen staan in een eigen logboek, los van de aanmeldingen van je medewerkers. Volgens Microsoft Learn komt er bij die aanmeldingen geen gebruiker aan te pas: de app gebruikt zijn eigen certificaat of geheim.

1. Ga naar Entra ID > Monitoring & health > Sign-in logs. Hiervoor heb je minimaal de rol Reports Reader nodig.
2. Open het tabblad Service principal sign-ins.
3. Stel de periode in. Microsoft adviseert in dit geval te kijken vanaf minimaal 15 oktober 2026, en als de gegevens er nog zijn terug te gaan tot 1 oktober.
4. Bekijk geslaagde en mislukte aanmeldingen apart. Let op onbekende bronnen, en op activiteit van buiten de infrastructuur van de leverancier. Beperk je daarbij niet tot gepubliceerde IP-adressen, zegt Microsoft. Techzine noemt de reeks 144.172.64.x als bron van de drie verdachte adressen die ConnectWise publiceerde.

Kijk daarna ook in de Audit logs (Monitoring & health) naar wat Microsoft in dit onderzoek noemt:

• nieuwe inloggegevens (credentials) bij apps of service principals;
• nieuwe apps, service principals of eigenaren;
• nieuwe toestemmingen en roltoewijzingen, vooral beheerdersrollen;
• wijzigingen aan gebruikers, groepen, aanmeldmethodes of Conditional Access.

En in het Microsoft 365-auditlog naar ongebruikelijke toegang tot mail en bestanden, doorsturen van mail, regels in postvakken of transportregels, en rechten op gedeelde postvakken. Techzine noemt een deel van deze punten ook.

Let op de bewaartermijn. Volgens Techzine bewaart Entra audit- en aanmeldlogs standaard zeven dagen bij de gratis variant en 30 dagen bij P1 en P2. Een upgrade haalt verlopen historie niet terug. Wacht dus niet te lang met kijken en exporteer wat je hebt.

Daarna: laat medewerkers niet zelf toestemming geven

Standaard mogen gebruikers in Microsoft 365 zelf toestemming geven aan apps voor rechten die geen beheerder vereisen. Zo komen veel koppelingen binnen: iemand klikt op "Accepteren" en niemand merkt het. Microsoft raadt aan om gebruikerstoestemming alleen toe te staan voor apps van geverifieerde uitgevers, of helemaal uit te zetten. Dit stel je in met een Global Administrator-account (Microsoft Learn):

1. Ga naar Entra ID > Enterprise apps > Consent and permissions > User consent settings.
2. Kies onder User consent for applications de strengste instelling die bij jullie past, of laat gebruikerstoestemming helemaal uitstaan, en sla op.

Dit raakt bestaande toestemmingen niet. Die moet je zelf intrekken, zoals bij stap 2.

Zet daarna de admin consent workflow aan. Dan kunnen medewerkers een app aanvragen, en beslist een beheerder (Microsoft Learn):

1. Ga naar Entra ID > Enterprise apps > Consent and permissions > Admin consent settings.
2. Zet Users can request admin consent to apps they are unable to consent to op Ja.
3. Kies wie de aanvragen beoordeelt en hoe lang een aanvraag geldig blijft, en sla op. Het kan tot een uur duren voordat de workflow actief is.

Let op: beoordelaars kunnen aanvragen bekijken, blokkeren of afwijzen. Goedkeuren van apps die Microsoft Graph-rechten voor applicaties vragen kan alleen een Global Administrator.

Maak er een vaste gewoonte van

Een tip die weinig kost: spreek af wie in jullie bedrijf een nieuwe koppeling mag aanvragen, en zet elk kwartaal een uur in de agenda om de lijst uit stap 1 langs te lopen. Schrijf bij elke app op waarom hij er staat. Een app zonder reden en zonder eigenaar is een app die weg kan, of die je eerst uit moet zetten.

Controleer ook de rest van je beveiliging

Apps zijn één route naar je gegevens. De andere route is een gewone aanmelding met een gestolen wachtwoord. Lees daarom ook hoe je MFA instelt in Microsoft 365. En heb je een back-up van je Microsoft 365-gegevens, of overweeg je er een, dan staat in ons artikel over Microsoft 365 back-up waar je op moet letten.

Veelgestelde vragen over app-toegang in Microsoft 365

Hoe zie ik welke apps toegang hebben tot mijn Microsoft 365?

Log in op het Microsoft Entra admin center en ga naar Entra ID, Enterprise apps, All applications. Open een app en kies Permissions om te zien welke rechten voor de hele organisatie (Admin consent) en welke door individuele gebruikers (User consent) zijn gegeven.

Is er data gestolen als een getroffen app in mijn omgeving stond?

Niet automatisch. Microsoft schrijft dat de aanwezigheid van een getroffen app, of zelfs een geslaagde aanmelding, niet per se betekent dat er data is ingezien of weggehaald. Je moet het wel onderzoeken: kijk naar de aanmeldlogs van de app en naar wijzigingen in je omgeving, zoals nieuwe inloggegevens, toestemmingen en rollen.

Mag ik een verdachte app meteen verwijderen?

Beter van niet. Microsoft adviseert om enterprise applications niet als eerste stap te verwijderen. Bewaar eerst de configuratie en de logs, zet de app uit en trek de rechten in. Verwijderen kan daarna nog steeds.

Moet ik dit doen als ik geen ConnectWise of SkyKick gebruik?

Controleren kan geen kwaad, en het is verstandig om het geregeld te doen. Elke app die toegang heeft tot je omgeving is een mogelijke route. Heb je een IT-partner die je Microsoft 365 beheert, vraag dan ook of die jouw omgeving heeft nagelopen. Techzine schrijft dat IT-dienstverleners (MSP's) hun eigen omgeving en die van hun klanten zelf moeten controleren.

Hoe voorkom ik dat medewerkers zelf apps toestemming geven?

Zet gebruikerstoestemming uit of beperk die tot apps van geverifieerde uitgevers, en schakel de admin consent workflow in. Medewerkers kunnen dan een app aanvragen, en een beheerder beslist.

Conclusie: weet wie er een sleutel heeft

De hack bij ConnectWise Cloud Backup laat zien dat een koppeling die je ooit zelf toestond, later een deur kan zijn. Daar help je jezelf het best mee door te weten welke deuren er zijn. Loop de drie stappen na, zet gebruikerstoestemming dicht en leg vast wie wat mag. Wil je dat wij je Microsoft 365 voor je inrichten en beheren, bekijk dan ons Microsoft 365-aanbod voor het mkb of de Zorgeloos-pakketten. Je krijgt iemand aan de lijn die je situatie kent.