De Verborgen Gevaren: Het Beheersen van Risico’s bij Active Directory naar M365 Migraties
Written by Olivia Nolan
mei 26, 2026
Veel organisaties zien de migratie naar Microsoft 365 als een cruciale stap in hun digitale transformatie. Managed Service Providers (MSP's) spelen een sleutelrol in dit proces, maar onderschatten vaak de complexiteit die schuilgaat achter de bron-omgeving: de on-premise Active Directory (AD). Decennialang was AD de hoeksteen van identiteitsbeheer, wat heeft geleid tot een aanzienlijke opeenstapeling van 'technische schuld'. Denk hierbij aan inactieve gebruikersaccounts, service-accounts met wachtwoorden die nooit verlopen, onduidelijke en diep geneste securitygroepen en overmatig toegekende permissies. De verleiding om via een 'lift and shift'-methode, met tools als Azure AD Connect, deze structuur simpelweg te synchroniseren naar de cloud is groot. Dit is echter waar de fundamentele risico's bij een Active Directory naar M365 migratie beginnen. In plaats van een frisse, veilige start in de cloud, importeert men een verouderde, kwetsbare en onoverzichtelijke identiteitsstructuur. Deze aanpak creëert geen moderne werkplek, maar breidt het aanvalsoppervlak significant uit door oude problemen bloot te stellen aan de gevaren van het internet.
Het fundamentele conflict tussen de traditionele, op een netwerkperimeter gebaseerde beveiliging van on-premise AD en het moderne, op identiteit gerichte 'zero-trust'-model van de cloud is een ander kritiek punt. On-premise werden permissies vaak ruimhartig toegekend onder de aanname dat de fysieke muren en firewalls van het kantoor een veilige bubbel vormden. Accounts met verregaande rechten, zoals 'Domain Admins', waren gebruikelijk. Wanneer deze permissies zonder kritische evaluatie worden gesynchroniseerd naar Azure Active Directory (nu Entra ID), worden ze vertaald naar even krachtige rollen, zoals 'Global Administrator'. Dit is gevaarlijk, omdat deze rollen nu toegankelijk zijn van overal ter wereld. Een aanvaller die een on-premise account compromitteert, krijgt zo mogelijk een directe sleutel tot de meest gevoelige data en systemen in de M365-omgeving, zoals SharePoint, Exchange Online en Azure-resources. Voor MSP's is het cruciaal om te erkennen dat een AD-migratie primair een beveiligingsproject is, en geen infrastructurele verplaatsing.
De gevolgen van het negeren van deze pre-migratie hygiëne zijn verstrekkend. Het simpelweg repliceren van een rommelige AD-structuur ondermijnt de beveiligingsvoordelen die M365 juist biedt, zoals Conditional Access en Multi-Factor Authentication (MFA). Deze moderne tools zijn het meest effectief wanneer ze worden toegepast op een schone, goed beheerde identiteitslaag. Als de basis—de identiteiten en hun permissies—corrupt is, bouwt men een modern beveiligingshuis op een wankel fundament. Voor een MSP betekent het over het hoofd zien van deze risico's niet alleen een technisch falen, maar ook een strategische misstap. Een succesvolle migratie wordt niet gemeten aan de snelheid waarmee data wordt overgezet, maar aan de veerkracht en veiligheid van de nieuwe cloudomgeving. Het nalaten van een grondige AD-opschoning voorafgaand aan de migratie is een recept voor toekomstige beveiligingsincidenten, datalekken en reputatieschade voor zowel de klant als de MSP.
Luister naar dit artikel:
De kern van de migratieproblematiek ligt in de specifieke uitdagingen op het gebied van Identity and Access Management (IAM). Een van de meest voorkomende en gevaarlijkste problemen zijn 'stale accounts'. Dit zijn de slapende accounts van voormalige medewerkers, externe consultants of tijdelijke krachten die nooit correct zijn gedeactiveerd. Binnen de muren van het on-premise netwerk vormden ze al een latent risico, maar na synchronisatie met Azure AD worden ze actieve, internet-toegankelijke toegangspunten. Een aanvaller die via een datalek op het dark web de oude inloggegevens van zo'n account bemachtigt, kan ongemerkt toegang krijgen tot de M365-omgeving van de organisatie. Zonder de juiste monitoring valt een dergelijke inbreuk vaak pas op als de schade al is aangericht. MSP's moeten daarom een strikt protocol hanteren voor het identificeren, auditen en verwijderen of deactiveren van alle inactieve accounts voordat de synchronisatie met de cloud wordt gestart.
Naast slapende accounts is het fenomeen van 'privilege creep' of overmatige permissies een tijdbom. In de loop der jaren krijgen medewerkers vaak meer rechten dan strikt noodzakelijk is voor hun functie, en deze worden zelden ingetrokken wanneer ze van rol veranderen. Groepen zoals 'Domain Admins' of andere breed gedefinieerde securitygroepen verlenen vaak onbeperkte toegang tot systemen en data. Het direct overzetten van deze structuren naar Azure AD is een schending van het 'Principle of Least Privilege' (PoLP), een fundamenteel concept in cloudbeveiliging dat stelt dat een gebruiker alleen de minimale rechten mag hebben die nodig zijn om zijn of haar taken uit te voeren. Het migreren van overgeprivilegieerde accounts creëert een enorme kwetsbaarheid. Een gecompromitteerd regulier gebruikersaccount met excessieve rechten kan een aanvaller in staat stellen om lateraal door de cloudomgeving te bewegen, data te exfiltreren of zelfs ransomware te implementeren. Een grondige audit van rechten en rollen is dus geen optionele stap, maar een absolute vereiste.
Een derde, vaak over het hoofd geziene, IAM-risico betreft legacy authenticatieprotocollen. Oudere on-premise AD-omgevingen maken nog veelvuldig gebruik van protocollen zoals NTLM en Kerberos, die niet ontworpen zijn voor de moderne cloudwereld en kwetsbaar zijn voor aanvallen zoals 'pass-the-hash'. Hoewel Azure AD moderne en veel veiligere protocollen zoals OAuth 2.0 en OpenID Connect promoot, kan de hybride opzet via AD Connect ervoor zorgen dat deze oudere protocollen een zwakke schakel blijven. Als legacy authenticatie niet expliciet wordt uitgeschakeld voor de M365-diensten, kunnen aanvallers deze protocollen misbruiken om beveiligingsmaatregelen zoals MFA te omzeilen. Voor MSP's is de migratie hét uitgelezen moment om de klant te begeleiden naar een volledige adoptie van moderne authenticatie. Dit betekent niet alleen het technisch inschakelen van MFA, maar ook het actief blokkeren van verouderde protocollen om de beveiligingsketen waterdicht te maken.
De theoretische risico's van een onzorgvuldige AD-migratie vertalen zich in de praktijk naar concrete en verwoestende aanvalsvectoren. Ransomware-aanvallen beginnen vaak met een initiële compromittering op een on-premise werkstation, bijvoorbeeld via een phishingmail. Wanneer de on-premise AD vol zit met overmatige permissies en slecht beheerde accounts die gesynchroniseerd zijn met M365, kan een aanvaller deze zwaktes misbruiken voor privilege-escalatie. In plaats van beperkt te blijven tot het lokale netwerk, kan de aanvaller nu direct 'opstijgen' naar de cloud. Eenmaal binnen Azure AD met verhoogde rechten, liggen de kroonjuwelen van de organisatie voor het grijpen: gevoelige bedrijfsdata in SharePoint, financiële informatie in OneDrive en vertrouwelijke communicatie in Exchange Online. De migratie heeft in dit scenario de impact van een lokale inbraak geëscaleerd tot een organisatiebrede datacrisis, waarbij de cloud niet de oplossing was, maar een accelerator van het probleem.
De synchronisatie tussen on-premise AD en Azure AD via AD Connect creëert een hybride identiteitsbrug die, indien niet goed beveiligd, een tweerichtingsverkeer van risico's mogelijk maakt. Een aanval is niet langer beperkt tot één omgeving. Een succesvolle aanval op de on-premise domeincontroller kan leiden tot de compromittering van de hele M365-tenant. Omgekeerd kan een overname van een Global Administrator-account in de cloud worden misbruikt om wijzigingen terug te schrijven naar de on-premise AD, waardoor de aanvaller de controle over de gehele infrastructuur kan overnemen. De AD Connect-server zelf wordt hierdoor een extreem waardevol doelwit ('Tier 0' asset). MSP's moeten deze server behandelen met het hoogste beveiligingsniveau, inclusief strikte toegangscontrole, continue monitoring en regelmatige patching. Het beschouwen van de on-premise en cloud-omgevingen als gescheiden silo's is een gevaarlijke misvatting in een hybride model.
Voor Managed Service Providers zijn de implicaties van een mislukte, onveilige migratie veelzijdig. Allereerst is er het directe operationele risico: de MSP is verantwoordelijk voor het herstellen van de schade na een incident, wat kostbare manuren en middelen vergt. Belangrijker nog is de reputatieschade. Een klant die slachtoffer wordt van een datalek of ransomware-aanval als gevolg van een slecht uitgevoerde migratie, zal het vertrouwen in de MSP verliezen. Dit kan leiden tot contractbeëindiging, juridische stappen en een negatieve reputatie in de markt. Proactief adviseren over en mitigeren van de risico's van een AD-migratie is daarom een commerciële noodzaak. Het positioneert de MSP als een strategische securitypartner in plaats van een louter technische uitvoerder. In een competitieve markt is het aantonen van diepgaande expertise in identiteitsbeveiliging een krachtige differentiator die klantloyaliteit en groei stimuleert.
advertenties
advertenties
advertenties
advertenties
Een veilige overstap naar de cloud vereist een strategische aanpak die ver verder gaat dan het installeren van synchronisatiesoftware. De eerste en meest cruciale best practice is de 'Cleanse Before You Sync'-filosofie. Voordat er ook maar één account naar de cloud wordt gesynchroniseerd, moet de MSP een diepgaande audit en opschoning van de on-premise Active Directory uitvoeren. Dit proces omvat het systematisch identificeren en deactiveren van alle 'stale' gebruikers- en computeraccounts. Vervolgens moeten alle service-accounts onder de loep worden genomen: waarvoor worden ze gebruikt, wie heeft er toegang toe, en kunnen wachtwoorden worden geroteerd? Securitygroepen en distributielijsten moeten worden gerationaliseerd en onnodige diepe nesting moet worden opgelost. Tools zoals de ingebouwde AD-auditing, PowerShell-scripts, maar ook geavanceerdere oplossingen zoals Semperis, Quest of Tenable kunnen hierbij helpen om kwetsbare configuraties en toxische permissiepaden te visualiseren en te saneren. Deze opschoonfase is geen optionele voorbereiding, maar de fundering van een veilige migratie.
In plaats van een 'big bang'-migratie waarbij iedereen tegelijk wordt overgezet, is een gefaseerde uitrol een veel verstandigere strategie. Begin met een zorgvuldig geselecteerde pilotgroep, bijvoorbeeld de IT-afdeling of een specifieke business unit. Deze aanpak stelt de MSP in staat om het proces in een gecontroleerde omgeving te testen, onverwachte problemen te identificeren en de impact op de eindgebruikers te minimaliseren. Belangrijker nog, de migratie moet worden aangegrepen als hét moment om moderne beveiligingscontroles af te dwingen. Dit betekent dat voor elke gebruiker die wordt gemigreerd, Multi-Factor Authenticatie (MFA) onmiddellijk verplicht wordt gesteld. Tegelijkertijd moeten er vanaf dag één robuuste Conditional Access-beleidsregels worden geconfigureerd in Azure AD. Deze regels kunnen toegang beperken op basis van de locatie van de gebruiker, de status van het apparaat (compliant of niet), en het risiconiveau van de inlogpoging. Een gefaseerde uitrol maakt een zorgvuldige implementatie van deze cruciale beveiligingslagen mogelijk.
Een succesvolle migratie markeert niet het einde, maar juist het begin van een nieuw tijdperk van identiteitsbeheer. Cloudomgevingen zijn dynamisch en vereisen continue monitoring en governance om veilig te blijven. MSP's moeten voor hun klanten een robuust monitoringsysteem opzetten dat zowel de on-premise AD als Azure AD in de gaten houdt. Technologieën zoals Microsoft Defender for Identity zijn essentieel voor het detecteren van verdacht gedrag dat kan wijzen op een compromittering, zoals laterale verplaatsingen of pogingen tot privilege-escalatie. Log- en eventinformatie moet centraal worden verzameld en geanalyseerd met een SIEM-oplossing zoals Azure Sentinel. Daarnaast is het opzetten van een governance-framework van vitaal belang. Dit omvat periodieke toegangsreviews (access reviews), waarbij de permissies van gebruikers regelmatig worden gecontroleerd en bevestigd, en een strikt proces voor het beheren van de levenscyclus van identiteiten (joiner, mover, leaver). Alleen door deze continue cyclus van opschonen, beveiligen en monitoren kan de belofte van een veilige en productieve cloudwerkplek worden waargemaakt.
Olivia Nolan is redacteur bij MSP2Day, waar zij zich richt op het vertalen van complexe IT- en technologische ontwikkelingen naar toegankelijke en inspirerende artikelen. Met haar ervaring als content manager en social media expert weet zij inhoud niet alleen informatief, maar ook aantrekkelijk en relevant te maken voor een breed publiek.
