Het afschaffen van NTLM: wat de uitfasering door Microsoft betekent voor MSP’s en IT-teams

Eind 2023 kondigde Microsoft voor het eerst zijn „Evolution of Windows Authentication“ aan , wat uitgroeide tot de driefasige routekaart die momenteel tot en met 2026 wordt uitgevoerd. NT LAN Manager (NTLM) is sinds 1993 een vast onderdeel van Windows-authenticatie en heeft het ecosysteem meer dan 30 jaar gediend. Hoewel het medio 2024 officieel werd afgeschreven, maakt de tijdlijn waar we ons in 2026 bevinden één ding duidelijk: NTLM is niet langer een zorg voor de 'toekomst'.

Voor Managed Service Providers (MSP’s) en IT-teams betekent deze verschuiving een ingrijpende overgang. Fase 1-audits zijn nu standaard in Windows 11 24H2 en Windows Server 2025, en zijn sinds eind 2025 actief. In januari 2026 heeft Microsoft een bijgewerkte roadmap gepresenteerd om Windows over te schakelen naar een 'secure-by-default'-status. Hoewel NTLM op het netwerk de komende jaren standaard wordt uitgeschakeld, blijft het protocol in het besturingssysteem aanwezig als een vangnet dat indien nodig expliciet door beheerders moet worden ingeschakeld; het wordt nog niet uit de systeembestanden verwijderd, maar het 'vangnet' wordt wel weggehaald.

Om verstoringen te voorkomen, moeten organisaties deze periode halverwege 2026 aangrijpen om te beginnen met het controleren en migreren naar Kerberos, voordat de instelling ‘standaard uitgeschakeld’ van kracht wordt in de volgende grote Windows Server-release na Server 2025.

Wat is NTLM en waarom schaft Microsoft het af?

NTLM (New Technology LAN Manager) is een verouderd authenticatieprotocol dat gebruikmaakt van een challenge-response-mechanisme om gebruikers te verifiëren. Al tientallen jaren fungeert het als de belangrijkste terugvaloptie wanneer Kerberos niet beschikbaar is, vaak vanwege aanmeldingen met lokale accounts, applicaties die er rechtstreeks om vragen of een gebrek aan zichtverbinding met een domeincontroller.

Hoewel Microsoft Kerberos meer dan twintig jaar geleden als het voorkeursprotocol introduceerde, bleef NTLM in talloze verouderde omgevingen stevig verankerd als terugvaloptie. De verouderde architectuur ervan brengt echter verschillende kritieke veiligheidsrisico’s met zich mee die niet langer aan de moderne normen voldoen:

• Zwakke cryptografie: het op MD4/MD5 gebaseerde ontwerp is zeer kwetsbaar voor offline kraakpogingen.
• Geen wederzijdse authenticatie: NTLM verifieert alleen de client, niet de server, waardoor de verbinding kwetsbaar is voor spoofing en man-in-the-middle-aanvallen.
• Kwetsbaarheid voor Pass-the-Hash: Aanvallers kunnen gestolen NTLM-hashes gebruiken om zich te authenticeren zonder het wachtwoord van de gebruiker te kennen.
• Gevoeligheid voor relay-aanvallen: Aanvallers kunnen systemen dwingen zich te authenticeren bij door hen gecontroleerde servers om zo hun rechten uit te breiden.
• Beperkt inzicht in de controle: In het verleden hadden organisaties nauwelijks inzicht in waar en waarom NTLM precies werd geactiveerd.

Wat houdt het driestappenplan van Microsoft voor de uitfasering van NTLM in?

Microsoft voert de uitfasering uit in drie afzonderlijke fasen om organisaties te helpen bij de overgang zonder dat de kritieke infrastructuur wordt verstoord.

Fase 1 – Nu (beschikbaar): verbeterde controle

Er zijn momenteel verbeterde NTLM-controletools beschikbaar voor Windows Server 2025 en Windows 11 versie 24H2. Deze fase is gebaseerd op het principe dat je niet kunt migreren wat je niet kunt zien; het gaat erom een nauwkeurig overzicht te krijgen van de afhankelijkheden van verouderde systemen.

• Gedetailleerde logboekregistratie: Beheerders kunnen met behulp van Groepsbeleid-instellingen precies vastleggen waar NTLM nog in gebruik is binnen de omgeving.
• Deadline oktober 2026: De standaardinstelling van de registersleutel BlockNTLMv1SSO wordt gewijzigd van „Audit“ naar „Enforce“, waardoor deze functie in feite wordt uitgeschakeld

NTLMv1, tenzij een beheerder dit expliciet overschrijft.

Fase 2 – tweede helft van 2026: compatibiliteitsverbeteringen

Op dit moment, begin 2026, test Microsoft via het Windows Insider-programma functies die bedoeld zijn om de meest voorkomende oorzaken van NTLM-fallback weg te nemen. Het gaat hierbij onder meer om IAKerb en Local KDC, die in de tweede helft van het jaar op grote schaal zullen worden uitgerold.

• IAKerb: Maakt Kerberos-verificatie mogelijk, zelfs wanneer een domeincontroller niet rechtstreeks bereikbaar is.
• Lokale KDC: Verwerkt lokale accountverificatie zonder op moderne systemen een terugval naar NTLM af te dwingen.
• Wijzigingen in de authenticatieprocedure: Belangrijke Windows-onderdelen worden bijgewerkt zodat bij de authenticatieprocedure eerst de voorkeur wordt gegeven aan Kerberos.

Fase 3 – Volgende grote Windows Server-release: standaard uitgeschakeld

NTLM-netwerkverificatie wordt standaard uitgeschakeld in de opvolger van Windows Server 2025 (verwacht in 2027/2028). Voorlopig blijft NTLM in Windows Server 2025 de standaardinstelling, maar biedt het wel de verbeterde controlefuncties die nodig zijn om je voor te bereiden op deze toekomstige blokkering.

• Standaard beveiligd: NTLM blijft in het besturingssysteem aanwezig, maar wordt alleen geactiveerd als een beheerder dit via een beleid opnieuw inschakelt.
• Tijdschema: Hoewel deze fase gekoppeld is aan de volgende grote release, heeft Microsoft nog geen specifieke datum voor deze laatste fase bekendgemaakt.

Waarom NTLM een veiligheidsrisico vormt: de aanvallen die het gevaarlijk maken

De afstap van NTLM wordt ingegeven door de rol die dit protocol speelt bij moderne cyberaanvallen, waarbij het vaak wordt misbruikt voor laterale bewegingen en het uitbreiden van rechten.

• Pass-the-Hash: Aanvallers stelen NTLM-hashes uit het geheugen (met behulp van tools zoals Mimikatz) en gebruiken deze om zich als het slachtoffer te authenticeren zonder het daadwerkelijke wachtwoord te kennen. De hash is in dit protocol functioneel gelijkwaardig aan het wachtwoord.
• NTLM-relay-aanvallen: Aanvallers onderscheppen NTLM-authenticatiepogingen en sturen deze door naar een andere server om ongeoorloofde toegang te verkrijgen. Met exploits zoals PetitPotam, ShadowCoerce en RemotePotato0 kunnen aanvallers bestaande beveiligingsmaatregelen omzeilen.
• Replay-aanvallen: Gesteelde tokens kunnen later worden hergebruikt om bij diensten te authenticeren, zelfs zonder de oorspronkelijke inloggegevens.
• Offline kraken: NTLMv1-hashes zijn zo zwak dat ze vrijwel onmiddellijk gekraakt kunnen worden. Hoewel NTLMv2 sterker is, blijft het kwetsbaar voor offline brute-force-aanvallen als er voldoende hardware beschikbaar is.

Hoe verhoudt NTLM zich tot Kerberos?

Kerberos is al meer dan twintig jaar het standaardprotocol voor Windows-domeinen en biedt een veel betere beveiliging. Het maakt gebruik van op tickets gebaseerde authenticatie met tijdgebonden tokens en wederzijdse verificatie.

Wat dit betekent voor MSP’s: de gevolgen voor de klant

Voor MSP’s die meerdere omgevingen beheren, betekent de uitfasering van NTLM een project dat zich over elke klant uitstrekt.

• Uitdagingen bij het in kaart brengen: het gebruik van NTLM blijft vaak onopgemerkt totdat er iets misgaat. Het komt mogelijk alleen aan het licht bij specifieke gebeurtenissen, zoals storingen in domeincontrollers, waardoor het in kaart brengen ervan veel tijd kost.
• Risico’s in verband met applicatieafhankelijkheden: Bedrijfsapplicaties, printservers en verouderde ERP-systemen (Enterprise Resource Planning) bevatten vaak hardgecodeerde NTLM-afhankelijkheden. MSP’s moeten per klant met meerdere leveranciers afstemmen om ervoor te zorgen dat de software wordt bijgewerkt voor Kerberos.
• Testlast: Elke applicatie moet worden getest in testomgevingen die niet in productie zijn en waarin NTLM is uitgeschakeld, om problemen aan het licht te brengen voordat ze tot productieproblemen leiden.
• Communicatie met klanten: Nu Microsoft zich opmaakt voor de volgende release van het Long-Term Servicing Channel (LTSC), moeten MSP’s hun klanten informeren over NTLMv1, waarbij de verandering moet worden gepresenteerd als een proactieve verbetering van de beveiliging in plaats van als een verstoring.
• Dienstverleningsmogelijkheid: Audits, het in kaart brengen van afhankelijkheden en migratieplanning vormen een duidelijk factureerbaar dienstenaanbod voor MSP’s.

Wat is het verband tussen de afschaffing van NTLM en e-mailbeveiliging?

De uitfasering maakt deel uit van een bredere ontwikkeling naar phishingbestendige, wachtwoordloze authenticatie. NTLM-relay-aanvallen beginnen vaak met gestolen e-mailgegevens; zodra een aanvaller via phishing toegang heeft verkregen, schakelt hij over op laterale bewegingen op basis van NTLM.

Het implementeren van e-mailverificatieprotocollen zoals DMARC, SPF en DKIM biedt bescherming tegen de methode die vaak wordt gebruikt voor de eerste diefstal van inloggegevens. De vereisten van Microsoft voor afzenders in Outlook (van kracht vanaf mei 2025) sluiten hierbij aan en verplichten bulkverzenders om deze protocollen te gebruiken.

Deze netwerkomschakeling is voor MSP’s het ideale moment om de volledige identiteitsperimeter onder de loep te nemen . Terwijl Kerberos het interne netwerk beveiligt, zorgen protocollen als DMARC en SPF voor de beveiliging van de e-mailgateway – het meest voorkomende toegangspunt voor diefstal van inloggegevens, wat vervolgens leidt tot NTLM-relay-aanvallen.

Actieplan: wat IT-teams en MSP’s nu moeten doen

Hier zijn enkele stappen die je nu kunt en moet nemen:

1. Schakel uitgebreide logboekregistratie en logboekbewaring in
   Implementeer onmiddellijk Groepsbeleid-instellingen voor gedetailleerde logboekregistratie in moderne Windows-omgevingen. Zo beschikt u over de onbewerkte authenticatielogboeken en gegevens van de identiteitsprovider die nodig zijn om precies te zien vanaf welke locatie een aanvaller zich heeft aangemeld. Gebruik hashtools om een SHA-256-hash van deze bestanden te genereren, zodat het bewijsmateriaal voor juridische of verzekeringsdoeleinden ongewijzigd blijft.
2. Stel een inventaris op van afhankelijkheden en voer een audit uit op persistentie
   Het volstaat niet om alleen systemen te documenteren die NTLM activeren; u moet ook „verborgen” persistentiemechanismen in kaart brengen. Dit omvat het opsporen van ongeautoriseerde regels voor het doorsturen van e-mailberichten en machtigingen voor OAuth-toepassingen van derden, waardoor een aanvaller toekomstige wachtwoordwijzigingen zou kunnen omzeilen.
3. Neem contact op met leveranciers en zorg voor naleving van moderne standaarden
   Controleer of er roadmaps zijn voor Kerberos-ondersteuning bij cruciale software, maar stimuleer leveranciers ook om over te stappen op phishingbestendige meervoudige authenticatie (MFA), zoals FIDO2/WebAuthn. Stap af van verouderde sms- of pushmeldingen, aangezien deze door moderne aanvallers gemakkelijk kunnen worden omzeild.
4. Testconfiguraties en workflows voor het intrekken van tokens
   Richt testomgevingen in om "NTLM-Off"-configuraties te testen. Ontwikkel en test tegelijkertijd geautomatiseerde workflows om actieve sessietokens en vernieuwingstokens in te trekken. Aangezien het wijzigen van een wachtwoord alleen niet voldoende is om een aanvaller te stoppen die een inlogcookie heeft gestolen, moet uw team in staat zijn om onmiddellijk een algemene uitlogging te activeren.
5. Bereid u voor op strikte handhavingstermijnen
   Beschouw de aanstaande systeemwijzigingen als een strikte deadline om uw domein beter te beveiligen. Een onderdeel van deze voorbereiding is het afdwingen van DMARC met een p=reject-beleid. Dit voorkomt dat aanvallers uw domein ‘spoofen’ om e-mails te versturen die afkomstig lijken te zijn van uw bedrijf.
6. Nieuwe scenario’s testen met IAKerb en lokale KDC
   Aangezien er in de tweede helft van 2026 nieuwe authenticatiefuncties beschikbaar komen, moet u controleren of deze goed werken in uw omgeving. Zorg er in deze fase ook voor dat u scant op bestandsloze payloads en kwaadaardige scripts (zoals „ClickFix“-tactieken) die tijdens de overgangsperiode mogelijk traditionele gateways hebben omzeild

Opmerking over de stabiliteit van de lokale KDC: Sommige IT-teams die de functie ‘Lokale KDC’ in Windows 11 24H2 testen, hebben melding gemaakt van gebeurtenis-ID 7031 (beëindiging van de service). Mocht u dit tegenkomen, zorg er dan voor dat de service is ingesteld op ‘Automatisch (uitgestelde start) ’, om te voorkomen dat deze tijdens de eerste opstartprocedure vastloopt voordat de netwerkverbinding tot stand is gebracht.

Samenvattend

De afschaffing van NTLM is een belangrijke stap op weg naar een moderne, tegen phishing bestendige identiteitsperimeter, maar netwerkauthenticatie is slechts het halve verhaal. NTLM-relay- en laterale bewegingsaanvallen beginnen vaak met één enkele gehackte e-mailaccount. Een aanvaller die erin slaagt een medewerker via phishing te misleiden, kan dat toegangspunt gebruiken om zich een weg te banen naar het interne netwerk en daar gebruik te maken van verouderde protocollen zoals NTLM.

Om de volledige reikwijdte van het afschaffen van NTLM te begrijpen, moet men beseffen dat het beveiligen van de e-mailkanalen net zo cruciaal is als het migreren van uw authenticatieprotocollen.

Om uw klanten daadwerkelijk te beschermen, moet u zowel het interne netwerk als de externe e-mailkanalen beveiligen. Net zoals Microsoft ernaar streeft om Windows standaard veilig te maken, doet de sector hetzelfde voor e-mail via DMARC, SPF en DKIM. Deze protocollen voorkomen de eerste pogingen tot spoofing en het stelen van inloggegevens, die de kwetsbaarheden in het interne netwerk zo gevaarlijk maken.

Laat de „voordeur“ niet openstaan terwijl u de interne kantoren afsluit. Controleer bij het controleren van uw klanten op NTLM-afhankelijkheden of hun e-maildomeinen eveneens goed beveiligd zijn tegen identiteitsfraude.

Ontdek het PowerDMARC MSP-partnerprogramma om de implementatie van DMARC te vereenvoudigen en uw klanten een uitgebreide, diepgaande beveiligingsstrategie te bieden die zowel netwerk- als e-mailauthenticatie omvat.

Veelgestelde Vragen

Wordt NTLM uit Windows verwijderd?

Het is medio 2024 officieel verouderd verklaard. Hoewel NTLM-netwerkverificatie in de volgende grote release van Windows Server standaard wordt geblokkeerd, blijft het in het besturingssysteem aanwezig en kan het indien nodig via beleidsinstellingen opnieuw worden ingeschakeld.

Wat komt er in de plaats van NTLM?

Kerberos is de opvolger en biedt moderne, op AES gebaseerde versleuteling en bescherming tegen relay-aanvallen. De functies van fase 2 (IAKerb en Local KDC) zijn bedoeld om de laatste redenen voor het terugvallen op NTLM weg te nemen.

Wat is een NTLM-relay-aanval?

Dit gebeurt wanneer een aanvaller een authenticatiepoging onderschept en deze doorstuurt naar een andere server om toegang te krijgen zonder het wachtwoord van het slachtoffer te kennen.

Kan NTLM na fase 3 weer worden ingeschakeld?

Ja, deze functie kan expliciet opnieuw worden ingeschakeld via beleidsinstellingen, maar dit mag alleen dienen als tijdelijke noodoplossing tijdens het herstelproces, en niet als een langetermijnstrategie

Wanneer wordt NTLM standaard uitgeschakeld?

Fase 1 van de audit is nu beschikbaar. De compatibiliteitsupdates voor fase 2 (IAKerb en Local Key Distribution Center) worden in de tweede helft van 2026 uitgebracht voor Windows Server 2025 en Windows 11 24H2. Fase 3, waarbij NTLM standaard is uitgeschakeld, hangt samen met de volgende grote release van het Windows Server Long-Term Servicing Channel (LTSC), maar Microsoft heeft nog geen specifieke datum bekendgemaakt. Daarnaast staan wijzigingen in de handhaving van NTLMv1 gepland voor oktober 2026, wat de dichtstbijzijnde harde deadline is waarvoor actie vereist is.

Wat moeten MSP’s doen om zich voor te bereiden op het uitfaseren van NTLM?

Begin onmiddellijk met fase 1: schakel uitgebreide NTLM-controle in voor alle clientomgevingen om vast te stellen waar het protocol nog steeds wordt gebruikt. Stel een overzicht van afhankelijkheden op, neem contact op met applicatieleveranciers en begin met het testen van NTLM-uitgeschakelde configuraties in niet-productieomgevingen. De wijziging in de handhaving van NTLMv1 in oktober 2026 is de dichtstbijzijnde harde deadline waarvoor actie vereist is. Beschouw de NTLM-afschaffingstermijn als een project voor alle klanten, niet als een eenmalige migratie, en gebruik het als een kans om auditing en Kerberos-migratie aan te bieden als een factureerbare dienst.

• Over
• Laatste berichten

Milena Baghdasaryan

Inhoudspecialist bij PowerDMARC

Milena is een ervaren schrijfster en content creator met meer dan 7 jaar ervaring in het creëren van boeiende content over IT, cyberbeveiliging, virtuele evenementen en meer. Ze heeft bewezen werk van hoge kwaliteit af te leveren voor internationale tijdschriften en is afgestudeerd aan prestigieuze instellingen zoals New York University Abu Dhabi, UWC China en het Europacollege.

Laatste berichten van Milena Baghdasaryan (Bekijk alle berichten)

• E-mailverificatie instellen voor een nieuw geregistreerd domein - 2 juni 2026
• Wat is een phishing-link? - 19 mei 2026
• Wat zijn hacktivistische aanvallen en hoe werken ze? - 12 mei 2026