Microsoft Teams blijft standaard verbonden op elk apparaat waar het is geopend. Deze sessiepermanentie, bedoeld om geen enkele melding te missen, vormt een concreet probleem zodra een werkplek wordt gedeeld, een telefoon verloren gaat of een account lijkt gecompromitteerd. Lokale afmelding, het sluiten van de applicatie en het intrekken van sessies op afstand dekken niet dezelfde risico’s. Begrijpen wat elke actie daadwerkelijk beschermt, helpt valse zekerheden te vermijden.
Sessietokens en beperkingen van de Teams-afmelding
Wanneer een gebruiker op “Afmelden” in Teams klikt, verwijdert de applicatie de lokaal opgeslagen accountinformatie. De meldingen stoppen, de toegang tot gesprekken verdwijnt van dat apparaat.
Wat deze actie niet doet: het sluit de sessies die elders zijn geopend niet af. Een webbrowser, een tweede computer of een smartphone behoudt zijn eigen authenticatietoken. Elk apparaat beheert zijn sessie onafhankelijk, zonder automatische synchronisatie van de afmelding.
In een professionele omgeving die is gekoppeld aan Microsoft Entra, kan een beheerder de sessies van het account intrekken. Maar al uitgegeven tokens of sessiecookies kunnen bruikbaar blijven tot hun vervaldatum. Deze latentie vormt een tijdelijke kwetsbaarheid voor iedereen die vermoedt dat er ongeautoriseerde toegang is.
Om de volledige procedure voor afmelden van Microsoft Teams beter te begrijpen, moet men het lokale afmelden onderscheiden van de wereldwijde intrekking van toegang.
Afmelden op een gedeeld apparaat: wat het sluiten van de sessie niet dekt
Op een openbaar werkstation of een computer die door meerdere mensen wordt gebruikt, is afmelden via de profielfoto (rechtsboven in de applicatie, vervolgens “Afmelden”) de minimale stap. Onder Windows en macOS is de procedure identiek in de desktopapplicatie.
Afmelden bij Teams leegt de cache van de browser niet. Als de verbinding tot stand is gebracht via een webbrowser, kan een geopende venster actieve cookies behouden. Het gebruik van een privé-browsingvenster voordat je je aanmeldt, beperkt dit risico, aangezien de gegevens worden gewist bij het sluiten van alle vensters.
Concreet voorzorgsmaatregelen op een niet-persoonlijk werkstation
- Sluit alle vensters van de browser na het afmelden, niet alleen het Teams-tabblad, om de resterende sessiecookies ongeldig te maken
- Controleer of de optie “Aangemeld blijven” niet is aangevinkt tijdens de eerste aanmelding, omdat dit de levensduur van het authenticatietoken verlengt
- Op Windows, het verwijderen van het account via de systeeminstellingen (Instellingen, Accounts, E-mailaccounts) voorkomt dat Teams automatisch opnieuw verbinding maakt bij de volgende opstart
Het verwijderen van het account via de systeeminstellingen gaat verder dan alleen een eenvoudige afmelding: het verwijdert het account uit alle Microsoft 365-applicaties die aan dit Windows- of macOS-profiel zijn gekoppeld.
Gecompromitteerd account: waarom lokale afmelding niet voldoende is
Een verloren telefoon, een gelekt wachtwoord of een phishingpoging via apparaatcode plaatst het account in een situatie waarin afmelden vanaf één apparaat geen effect heeft op de aanvaller. Het typische scenario: een toegangstoken is onderschept en gebruikt vanaf een derde apparaat dat de legitieme gebruiker niet controleert.
Het intrekken van sessies via Microsoft Entra is het enige passende antwoord. Een IT-beheerder kan de afmelding van alle actieve sessies van het account afdwingen. Maar zelfs deze actie heeft een beperking: sommige al gedistribueerde tokens aan applicaties blijven geldig tot hun natuurlijke vervaldatum. De tijdsduur varieert afhankelijk van de configuratie van de Microsoft 365-huurder.
Aanbevolen acties bij vermoeden van compromittering
- Verander onmiddellijk het wachtwoord van het Microsoft-account, wat toekomstige authenticatiepogingen ongeldig maakt, maar niet de lopende tokens
- Vraag de beheerder om alle actieve sessies in het Entra-portaal in te trekken
- Controleer recente aanmeldingen in het activiteitslogboek van het account om ongebruikelijke apparaten of locaties te identificeren
- Schakel multi-factor-authenticatie in als dit nog niet is gedaan, om te voorkomen dat er opnieuw verbinding wordt gemaakt met alleen de inloggegevens
Mobiele Teams-afmelding: bijzonderheden iOS en Android
Op smartphones verloopt de afmelding via de profielfoto en vervolgens “Afmelden”. De applicatie verwijdert dan de gegevens van het account lokaal. Onder iOS en Android, stoppen de pushmeldingen na het afmelden, in tegenstelling tot het eenvoudig sluiten van de applicatie, wat ze actief houdt.
Een vaak over het hoofd geziene bijzonderheid: op apparaten die zijn geconfigureerd in de modus “gedeeld apparaat”, biedt Teams een wereldwijde afmelding die tegelijkertijd de sessie van alle geïnstalleerde Microsoft 365-applicaties sluit. Deze modus, bedoeld voor frontline-werknemers die dezelfde terminal delen, biedt een hogere beveiliging dan afmelden per applicatie.
Voor standaardgebruikers, de afmelding van Teams op mobiel sluit Outlook, OneDrive of een andere Microsoft-applicatie die op dezelfde telefoon is geïnstalleerd niet af. Elke applicatie behoudt zijn eigen sessie.
Wat de Teams-afmelding beschermt en wat het openlaat
De lokale afmelding verwijdert de toegang tot gesprekken, bestanden en vergaderingen vanaf het betreffende apparaat. Het voorkomt dat iemand die fysiek deze werkplek gebruikt, toegang krijgt tot het account. Het is geen voldoende beveiligingsmaatregel tegen token-diefstal.
Het onderscheid tussen lokale afmelding en sessie-intrekking blijft vaag in de meeste gebruikershandleidingen. Op een persoonlijk apparaat dat alleen wordt gebruikt, voldoet de klassieke afmelding aan de behoefte. Op een gedeeld apparaat moet het worden aangevuld met het sluiten van de browser en het verwijderen van het systeemaccount. Bij vermoeden van compromittering dekt alleen de interventie op het niveau van het Microsoft Entra-account, gecombineerd met het wijzigen van het wachtwoord, werkelijk het risicogebied.
