Terug naar de blog
2 november 2026

Beheerderswerkstations beveiligen: zo richt je een PAW in

Beheerwerkstation voor beveiligde IT-beheeractiviteiten

Een beheerderswerkstation beveilig je door beheer volledig los te halen van het dagelijkse werk. Je gebruikt een apart, gehard apparaat (een privileged access workstation of PAW) met een apart beheeraccount, MFA, geen e-mail en geen vrij internet, en alleen de tools die nodig zijn voor beheer. Dat apparaat is beheerd, versleuteld, altijd up-to-date en wordt continu bewaakt. Zo kan een phishingmail of een besmette website nooit meer de sleutels van je hele IT-omgeving te pakken krijgen. In dit artikel lees je wat een PAW is, welke opstelling bij jouw bedrijf past en hoe je hem stap voor stap veilig inricht.

Astia
astia.nl
Beheer IT veilig en gescheiden
ASTIA beheert werkplekken, netwerken en telefonie voor het MKB, zodat jouw team veilig kan doorwerken zonder zich met techniek bezig te houden.
Bekijk IT-beheer

Kort samengevat

  • 🔑 Een privileged access workstation (PAW) is een apart, gehard apparaat dat je alleen gebruikt voor beheertaken met hoge rechten.
  • 🚫 Op een PAW lees je geen e-mail, surf je niet en draai je geen gewone kantoorapps. Daarvoor heb je een gewone werkplek.
  • 👤 Beheer doe je met een apart beheeraccount, een uniek wachtwoord en MFA. Na het werk log je direct uit.
  • 🛡️ Hardening, versleuteling, applicatiecontrole en geblokkeerd uitgaand verkeer maken het apparaat moeilijk aan te vallen.
  • 📊 Updates, compliance en logging regel je centraal, zodat afwijkingen direct opvallen.

Inhoudsopgave

Wat is een beheerderswerkstation precies?

Een beheerderswerkstation is de computer waarmee iemand je IT-omgeving beheert. Denk aan het aanmaken van gebruikers in Microsoft 365, het aanpassen van firewallregels, het beheren van servers of het instellen van beveiligingsbeleid. Wie die computer in handen heeft, heeft in feite de sleutels van je bedrijf.

Het Britse NCSC omschrijft een PAW als een vertrouwd fysiek apparaat dat toegang met een hoog risico beschermt tegen aanvallers. Zo’n apparaat is vooral belangrijk wanneer misbruik ervan kritieke beveiligingsmaatregelen kan uitschakelen, omzeilen of gevoelige gegevens kan blootleggen.

Microsoft noemt als typische toepassingen het beheren van identiteitssystemen, cloudservices en andere gevoelige functies. De computer is afgeschermd van internet en draait alleen de beheerapplicaties die echt nodig zijn.

Voor een MKB-bedrijf gaat het meestal om:

  • het beheer van Microsoft 365 en Entra ID (gebruikers, rechten, licenties)
  • het beheer van apparaten via een beheerplatform zoals Intune
  • het beheer van firewall, switches en wifi
  • toegang tot servers, back-ups en virtualisatie
  • het beheer van je domeinnaam en DNS

Ook als je maar één of twee mensen met beheerrechten hebt, telt dit. Juist in kleinere teams werkt de beheerder vaak op dezelfde laptop waarop hij ook mailt, offertes opent en websites bezoekt.

Waarom beheer gescheiden moet zijn van gewoon werk

Accounts met hoge rechten zijn erg in trek bij aanvallers. Z-CERT, het expertisecentrum voor cybersecurity in de zorg, adviseert daarom om beheeraccounts alleen te gebruiken voor afgesproken taken en niet voor normale dingen zoals browsen en mailen.

De reden is simpel. Veel aanvallen beginnen bij de gewone werkplek: een phishingmail, een besmette bijlage, een nep-inlogpagina of een kwetsbare browserextensie. Als op dezelfde computer ook beheerd wordt, kan een aanvaller via die ene klik meteen bij je hele omgeving.

Microsoft legt uit dat bevoegde toegang IT-beheerders in staat stelt grote delen van de bedrijfsomgeving te beheren. Misbruik van zulke accounts heeft daardoor snel grote impact. De strategie is om onbevoegde paden af te sluiten en alleen een klein aantal beschermde en goed bewaakte toegangswegen over te houden.

Volgens Microsoft helpt de scheiding tussen beheer en dagelijks gebruik onder meer tegen phishing, kwetsbaarheden, impersonatie en het stelen van inloggegevens. Een PAW zorgt ervoor dat beheeracties niet vanaf gewone gebruikerssessies of onbeheerde apparaten plaatsvinden.

Dat sluit aan bij het Nederlandse NCSC. Na de aanvallen van de groep Laundry Bear adviseerde het NCSC onder meer om geen Bring-Your-Own-Device toe te staan en ervoor te zorgen dat elk apparaat met toegang tot je IT-omgeving door de organisatie wordt beheerd. Voor beheerapparaten geldt dat dubbel.

Waarom beheer gescheiden moet zijn van gewoon werk

Welke opstelling past bij jouw bedrijf?

Een PAW hoeft niet altijd een tweede laptop te zijn. Microsoft noemt twee werkbare varianten: één werkstation voor dagelijkse taken plus één PAW, of één apparaat met gescheiden besturingssystemen, bijvoorbeeld met een virtuele machine voor het dagelijkse werk. In de praktijk kom je deze drie opstellingen tegen:

Opstelling Hoe het werkt Past goed bij
Twee apparaten Een gewone laptop voor mail en kantoorwerk, een aparte geharde laptop alleen voor beheer Bedrijven met een vaste interne beheerder of hoge eisen aan beveiliging
Eén apparaat, PAW als basis De PAW is het hoofdsysteem; het gewone werk draait in een virtuele machine of via een externe desktop Beheerders die veel onderweg zijn en niet twee laptops willen meenemen
Gedeelde beheeromgeving Een of meer PAW’s waarvandaan verschillende beheeraccounts werken, met strak beheerde toegang Teams met meerdere beheerders of een externe IT-partner

Let op de richting bij één apparaat. De PAW moet de vertrouwde basis zijn, en het gewone werk draait daarbovenop. Andersom (een beheer-VM op een gewone laptop) beschermt veel minder, omdat een besmette gewone laptop de VM kan meelezen.

Microsoft benadrukt ook dat een PAW geen één-op-één koppeling tussen account en apparaat vereist. Eén vertrouwde werkstationomgeving kan meerdere gevoelige accounts bedienen. Dat maakt het voor kleinere organisaties goed haalbaar.

Wil je geen eigen hardware aanschaffen en beheren? Dan kan Hardware as a Service een manier zijn om vaste, beheerde apparaten voor een vast maandbedrag te gebruiken.

Accounts en rechten: wie mag wat?

Het apparaat is de helft van het verhaal. De andere helft is het account waarmee je inlogt.

  1. Geef elke beheerder twee accounts. Een gewoon account voor mail, Teams en documenten, en een apart beheeraccount zonder mailbox. Het beheeraccount gebruik je alleen op de PAW.
  2. Maak een rechtenmatrix. Het NCSC adviseert om per medewerker vast te leggen welke toegang tot systemen en data nodig is en ongebruikte accounts direct te verwijderen. Niet iedereen hoeft globale beheerder te zijn.
  3. Gebruik sterke, unieke wachtwoorden. Z-CERT adviseert complexe en unieke wachtwoorden voor beheeraccounts, idealiter in een wachtwoordmanager. In ons artikel over wachtwoordbeheer voor bedrijven lees je hoe je dat praktisch regelt.
  4. Zet MFA aan voor elk beheeraccount. Bij voorkeur met een phishingbestendige methode, zoals Windows Hello of een fysieke sleutel. Weet je niet waar te beginnen? Lees dan hoe je MFA voor Microsoft 365 instelt.
  5. Log direct uit na beheerwerk. Z-CERT wijst erop dat zo voorkomen wordt dat inloggegevens uit het geheugen van systemen worden gestolen.

Wil je verder dan alleen accounts en apparaten, dan kom je uit bij privileged access management: het geheel van beleid en tools om bevoorrechte toegang te beheren, tijdelijk toe te kennen en te controleren.

Zo configureer je een beheerderswerkstation veilig

Hieronder de stappen op een rij. Ze zijn gebaseerd op de richtlijnen van Microsoft, het Britse NCSC en het Amerikaanse CISA.

1. Begin met schone, moderne hardware

Gebruik een nieuw of volledig opnieuw geïnstalleerd apparaat. CISA adviseert hardware die de nieuwste TPM-chip en versleuteling ondersteunt. Zet volledige schijfversleuteling aan, bijvoorbeeld met BitLocker, en beveilig de BIOS/UEFI met een wachtwoord en Secure Boot.

2. Breng het apparaat onder centraal beheer

Microsoft adviseert om beheertaken te beperken tot compatibele, beveiligde werkstations en Intune te gebruiken voor updates, configuratie en compliance. Met voorwaardelijke toegang (Conditional Access) zorg je dat beheerportalen alleen bereikbaar zijn vanaf die beheerde PAW’s.

3. Harden het besturingssysteem

Microsoft noemt sterke authenticatie zoals Windows Hello en strikte hardening met onder meer Credential Guard en AppLocker. Credential Guard beschermt inloggegevens in het geheugen. AppLocker of App Control zorgt dat alleen goedgekeurde programma’s kunnen draaien.

4. Haal lokale beheerrechten weg

De gebruiker van de PAW is geen lokale beheerder van het apparaat zelf. Software installeer je centraal en gecontroleerd, niet handmatig.

5. Beperk het netwerkverkeer

CISA gaat ver: behandel de PAW-omgeving alsof hij air-gapped is, blokkeer uitgaand internetverkeer en sta alleen verkeer toe naar de systemen die beheerd worden. Voor een cloudomgeving betekent dat in de praktijk: alleen de beheerportalen en updatediensten die je echt nodig hebt.

6. Scherm ook de beheerkant af

Het Britse NCSC benadrukt dat een PAW niet alleen een laptop is: ook de infrastructuur erachter bepaalt hoe veilig het geheel is. Het Nederlandse NCSC adviseerde in 2026 bijvoorbeeld om toegang tot kritieke beheerinterfaces zoals VMware vCenter of ESX alleen mogelijk te maken vanuit een gescheiden beheeromgeving. Firewalls, switches en servers horen dus alleen bereikbaar te zijn vanaf je beheernetwerk, niet vanaf elke laptop op kantoor. Met goed ingericht netwerkbeheer voor bedrijven scherm je die beheerkant af.

Internet, e-mail en USB: wat mag wel en niet?

Dit is het deel waar de meeste fouten ontstaan. Een PAW die toch “even” voor mail wordt gebruikt, is geen PAW meer.

Microsoft adviseert om een PAW niet te gebruiken voor websurfen, e-mail of gewone eindgebruikersapps. Daarbij horen strikte applicatiecontrole, geen draadloze verbindingen of externe USB-apparaten, en MFA.

Het Britse NCSC gaat een stap verder met deze punten om het aanvalsoppervlak te verkleinen:

  • ✉️ Blokkeer directe toegang tot e-mail, chat en andere bedrijfsapplicaties op de PAW.
  • 🌐 Beperk externe verbindingen tot essentiële diensten.
  • 🔒 Zorg dat de gebruiker de netwerkregels niet zelf kan verruimen.
  • 🖥️ Moet je toch bij een bedrijfsapp? Gebruik dan een aparte, indirecte route, zoals een externe desktop of een lokale virtuele machine.

Een praktisch voorbeeld: je beheerder krijgt een melding dat een gebruiker is buitengesloten. Die melding leest hij op zijn gewone laptop. Daarna pakt hij de PAW, logt in met zijn beheeraccount en MFA, herstelt het account in het beheerportaal en logt weer uit. De link uit de mail klikt hij nooit aan op de PAW.

Over wifi: niet elke organisatie kan een PAW alleen bekabeld gebruiken. Is draadloos nodig, gebruik dan alleen een beveiligd zakelijk netwerk of een vertrouwde verbinding, en nooit een open hotspot.

Updates, monitoring en herstel

Een PAW is alleen veilig zolang hij goed wordt bijgehouden. Drie dingen regel je centraal:

Updates. Microsoft legt uit dat je met apparaatbeheer apparaten kunt volgen, beveiligen en bijwerken, en dat Windows Update for Business bepaalt welke updates naar welke apparaten gaan. Zo rol je beveiligingsupdates snel en gecontroleerd uit. Bij een PAW wacht je niet weken met patchen.

Monitoring. Controleer continu of het apparaat nog voldoet aan je beleid: versleuteling aan, antivirus actief, geen onbekende software. Het NCSC adviseert daarnaast Endpoint Detection and Response (EDR) in te richten, zodat je verdacht gedrag ziet en erop kunt reageren. Stuur inlog- en sessielogs van beheeraccounts naar een centrale plek waar ze bewaakt worden.

Herstel. Leg vast wat je doet als een PAW kwijtraakt of verdacht gedrag vertoont. Het apparaat blokkeer je op afstand, je trekt sessies in, wijzigt de wachtwoorden van de betrokken beheeraccounts en installeert het apparaat volledig opnieuw. Houd daarnaast een noodaccount (break-glass) achter de hand, goed beveiligd en alleen voor echte noodgevallen.

Goede afspraken helpen ook. Spreek af wie uitzonderingen mag goedkeuren, hoe vaak je de instellingen controleert en wie de logs bekijkt. Zo blijft de PAW ook na een jaar nog net zo veilig als op de eerste dag.

Updates, monitoring en herstel

Veelgemaakte fouten bij beheerderswerkstations

Deze fouten kom je het vaakst tegen:

  • ❌ Beheren met je gewone account. Een account met mailbox en beheerrechten is precies wat een aanvaller zoekt.
  • ❌ De PAW toch “even” gebruiken voor mail of internet. Eén keer is genoeg om het hele principe te ondermijnen.
  • ❌ Ingelogd blijven. Beheersessies die dagen openstaan, maken het stelen van inloggegevens makkelijker.
  • ❌ Beheerportalen bereikbaar vanaf elk apparaat. Zonder voorwaardelijke toegang heeft een aparte PAW weinig zin.
  • ❌ Het te ingewikkeld maken. Microsoft waarschuwt dat gebruikers onveilige alternatieven gaan zoeken als beveiliging de productiviteit te veel beperkt. Zorg daarom altijd voor een goede gewone werkplek naast de PAW, zodat niemand de regels gaat omzeilen.
  • ❌ Geen eigenaar. Als niemand verantwoordelijk is voor updates en controle, veroudert de PAW ongemerkt.

Onze kijk op beheerderswerkstations in het MKB

Veel ondernemers denken dat een PAW iets is voor banken en overheden. Wij zien dat anders. Juist in het MKB werkt de beheerder vaak op dezelfde laptop waarop ook mail, facturen en websites binnenkomen. Dat is precies het pad dat aanvallers zoeken.

Daarom vinden wij dat beheer thuishoort bij een partner die het hele plaatje overziet, inclusief de beveiliging van accounts en apparaten. Wij nemen de verantwoordelijkheid voor het hele IT-fundament: werkplekken, netwerk, telefonie en cloud. Zo hoef je niet te schakelen tussen verschillende leveranciers die elk een stukje beheer doen.

Met 24/7 monitoring zien we afwijkingen voordat ze een storing of incident worden. En heb je een vraag, dan bel je ons gewoon direct. Geen ticketsysteem, maar iemand die je omgeving kent.

Mick

Beheer veilig uitbesteden bij ASTIA

Wil je dat beheer van je IT veilig gebeurt, zonder dat je er zelf een interne specialist voor nodig hebt? Bij ASTIA nemen we het complete beheer van je werkplekken, netwerk, telefonie en cloud uit handen, met proactieve monitoring en vaste, transparante prijzen per werkplek.

Astia

Bekijk hoe we je omgeving beschermen op onze pagina over IT-beveiliging voor het MKB, of lees meer over werkplekbeheer met vaste prijzen. Vanuit Vianen helpen we bedrijven in onder meer Utrecht, Nieuwegein, IJsselstein en de rest van Vijfheerenlanden.

Veelgestelde vragen

Heeft een klein bedrijf echt een PAW nodig?

Als iemand in je bedrijf beheerrechten heeft op Microsoft 365, je netwerk of je servers, dan is er een account dat aanvallers willen hebben. Een aparte, geharde beheeromgeving beschermt die toegang. Hoe groot die opstelling moet zijn, hangt af van het aantal beheerders en je systemen.

Mag ik een virtuele machine gebruiken in plaats van een tweede laptop?

Ja, Microsoft noemt één apparaat met gescheiden besturingssystemen als werkbare optie. Belangrijk is dat de PAW de vertrouwde basis is en het gewone werk in de virtuele machine draait, niet andersom.

Is MFA op het beheeraccount niet genoeg?

MFA is een onmisbare stap, maar beschermt niet tegen alles. Als de computer zelf besmet is, kan een aanvaller na het inloggen alsnog sessies of gegevens overnemen. Daarom combineer je MFA met een apart, gehard en beheerd apparaat.

Wat is het verschil tussen een PAW en privileged access management?

Een PAW is het beveiligde apparaat waarmee je beheert. Privileged access management is het bredere geheel van beleid en tools om beheerrechten toe te kennen, tijdelijk te maken en te controleren. Ze vullen elkaar aan.

Bronnen

Astia
Bespreek veilige beheerwerkplekken
Neem contact op met ASTIA over IT-beheer voor jouw bedrijf en bespreek hoe werkplekken, netwerken en telefonie worden beheerd.

Aanbevelingen