Best practices voor wachtwoordbeheer

Waarom wachtwoorden er nog steeds toe doen, en waar het misgaat

Wachtwoorden zijn al jaren de zwakste schakel in de meeste beveiligingsincidenten. Gestolen of geraden wachtwoorden zijn nog steeds de meest gebruikte ingang bij datalekken: een aanvaller koopt een lijst met inloggegevens uit een eerder lek, probeert die op honderden diensten, en kan in seconden binnen bij medewerkers die hetzelfde wachtwoord op meerdere plekken gebruiken.

In de praktijk komt wachtwoordmisbruik op drie manieren binnen. Hergebruik over diensten heen (zakelijk en privé wachtwoord zijn hetzelfde), zwakke of voorspelbare wachtwoorden (Welkom2026!, naam-van-het-bedrijf + jaartal), en gericht verleid worden tot delen via phishing of een nepbelletje van de "helpdesk".

Geen van deze drie wordt opgelost door alleen complexere wachtwoordregels af te dwingen. Sterker, een te streng beleid (vier hoofdletters, twee cijfers, drie symbolen, elke 30 dagen wijzigen) leidt aantoonbaar tot zwakker gedrag: mensen plakken hun wachtwoord onder het toetsenbord, vervangen P@ssword1! door P@ssword2!, en blijven hergebruiken over diensten heen. Een goed beleid stuurt op het gedrag dat u wilt zien, niet op het gevoel van controle.

Wat een sterk wachtwoord eigenlijk is: lengte boven complexiteit

NIST en het NCSC schrijven sinds enkele jaren hetzelfde voor: lengte is belangrijker dan complexiteit. Een wachtwoord van vier of vijf willekeurige woorden ("zout-piano-glanzend-rivier-92") is voor een mens makkelijker te onthouden en voor een aanvaller veel moeilijker te kraken dan een korte tekenstrook met hoofdletters en symbolen.

Een werkbare regel voor uw beleid: minimaal twaalf tekens, geen verplichte mix van speciale tekens, geen verplichte wijziging op een vaste interval. Wel wachtwoorden controleren tegen openbaar bekende datalekken (gebruik een dienst als Have I Been Pwned of een ingebouwde controle van uw identity-platform) en bij een match het wachtwoord direct laten wijzigen.

Stop bovendien met regelmatig verplicht wijzigen. Onderzoek toont al jaren aan dat verplichte rotatie wachtwoorden zwakker maakt, omdat mensen patronen gaan gebruiken. Wijzig alleen wanneer er een aanleiding is: een vermoeden van compromittering, een gemeld datalek, of vertrek van een collega die toegang had tot gedeelde gegevens.

Waarom een wachtwoordmanager geen luxe is

Een gemiddelde medewerker heeft in 2026 al snel meer dan honderd accounts. Het idee dat iemand voor elk account een uniek, lang wachtwoord onthoudt, is achterhaald. Een wachtwoordmanager doet precies dat: hij genereert per dienst een uniek lang wachtwoord, slaat het versleuteld op, en vult het automatisch in op de juiste website.

Voor de organisatie levert dit drie voordelen op die niet anders te bereiken zijn: medewerkers gebruiken geen wachtwoord meer twee keer (omdat ze zelf niets meer onthouden), phishing wordt zichtbaar (de manager vult niet in op een onbekend domein), en de overstap naar passkeys verloopt soepeler omdat de wachtwoordmanager beide ondersteunt.

Bied een wachtwoordmanager aan als organisatie. Het hoeft geen dure oplossing te zijn; goede zakelijke opties beginnen rond een paar euro per medewerker per maand. Maak het optioneel voor privégebruik (vaak in dezelfde licentie), zodat medewerkers ook thuis veiliger werken. Dat verlaagt het risico op werk dat in privé-accounts blijft hangen.

MFA: noodzakelijk maar niet voldoende, en de overstap naar passkeys

Multi-factor authenticatie blijft een belangrijke laag, maar wordt steeds vaker omzeild. Drie technieken zijn in 2026 routinematig: MFA-fatigue (de aanvaller bombardeert met pushmeldingen tot iemand goedkeurt), adversary-in-the-middle (de aanvaller zit tussen u en de echte website en steelt de sessiecookie), en SIM-swap (de aanvaller laat uw telefoonnummer overzetten en ontvangt voortaan uw sms-codes).

In volgorde van veiligheid voor MFA: hardware-sleutel (FIDO2) is het sterkst, gevolgd door authenticator-app op een toestel waarop u inlogt, daarna pushmelding, en pas helemaal onderaan sms. Sms voor MFA is in 2026 een laatste redmiddel, geen voorkeursoptie.

De echte oplossing is wachtwoordloos. Passkeys zijn cryptografische sleutels die op uw apparaat blijven en niet via een phishingsite kunnen worden gestolen. De grote diensten (Microsoft, Google, Apple, banken, overheid) ondersteunen ze inmiddels allemaal. Voor uw awareness-programma is de boodschap simpel: leg uit dat passkeys geen extra stap zijn maar een sterk vervanging van wachtwoord plus MFA, en help medewerkers bij de eerste keer activeren. Eenmaal in gebruik zijn ze zelfs sneller dan een wachtwoord.

Wat te doen na een datalek met uw wachtwoord

Datalekken zijn een feit van het leven in 2026. Vroeg of laat komt een wachtwoord van een medewerker in een bekende lijst terecht, niet altijd via uw eigen organisatie, maar via een dienst waar hij privé een account had met hetzelfde wachtwoord. Wat dan?

• Wijzig direct het wachtwoord op de getroffen dienst. En op elke andere dienst waar u toevallig hetzelfde wachtwoord gebruikte, want dat hadden we juist willen voorkomen.
• Schakel MFA in als dat nog niet aanstond. Het is op vrijwel elke moderne dienst beschikbaar; activeer het.
• Controleer de inlog-geschiedenis op de getroffen dienst. Onbekende sessies onmiddellijk afmelden en de dienst informeren.
• Meld het bij het securityteam als het om een zakelijke dienst gaat. Eén compromittering kan voor een aanvaller een springplank zijn naar bredere toegang; vroege melding maakt het verschil tussen contained incident en organisatiebrede gijzeling.
• Overweeg over te stappen op een passkey waar de dienst dat ondersteunt. Eén keer een wachtwoord vervangen door een passkey en dit risico is voor die dienst structureel weg.

Hoe u dit verankert in een awareness-programma

Wachtwoordbeheer hoort niet één keer per jaar in een uur-lange training. Het werkt beter als kort, terugkerend thema dat aansluit op wat medewerkers al meemaken. Praktische opbouw:

Begin met een module van zes tot acht minuten waarin u laat zien wat een sterk wachtwoord is (drie tot vijf willekeurige woorden), waarom hergebruik gevaarlijk is, en hoe de wachtwoordmanager van de organisatie werkt. Combineer dat met een interne campagne waarin de wachtwoordmanager actief beschikbaar wordt gemaakt: een korte instructievideo, een helpdesk-spreekuur, en eventueel een spreekuur voor privégebruik.

Geef het thema een vervolg in latere maanden via kortere herinneringen: een posterscampagne over passkeys, een nieuwsbericht na een groot publiek datalek met instructie ("controleer of uw wachtwoord erbij stond"), en een aantekening in de jaarlijkse risicoanalyse over welke afdelingen nog op klassieke wachtwoorden werken. Maak het thema persoonlijk: laat zien hoe medewerkers ook hun privéleven veiliger maken, want kennis die thuis werkt, komt vanzelf ook mee naar kantoor.

Tot slot: koppel het beleid aan de werkelijkheid. Een wachtwoordbeleid dat nog steeds elke 30 dagen verplichte rotatie eist, is niet alleen achterhaald maar werkt aantoonbaar averechts. Stuur op moderne principes (lengte, uniciteit, MFA, passkey waar mogelijk), en laat in de communicatie ook duidelijk merken waarom u verouderde regels schrapt. Dat draagt veel meer bij aan vertrouwen in het programma dan een nieuwe lijst eisen.

Gerelateerde artikelen

• MFA fatigue-aanvallen herkennen
• E-mailbeveiliging en social engineering
• Hoe je een security-cultuur opbouwt
• Wat is phishing?

Bronnen

• NIST SP 800-63B: Digital Identity Guidelines
• NCSC: wachtwoorden (overzicht en adviezen)
• FIDO Alliance: passkeys explained

FAQ

Hoe lang moet een wachtwoord zijn?

Minimaal twaalf tekens. Lengte is belangrijker dan complexiteit. Drie tot vijf willekeurige woorden zijn voor een mens makkelijker te onthouden en voor een aanvaller veel moeilijker te kraken dan een korte combinatie met hoofdletters en symbolen.

Moeten medewerkers wachtwoorden regelmatig wijzigen?

Nee, niet automatisch. Verplichte rotatie maakt wachtwoorden aantoonbaar zwakker omdat mensen patronen gaan gebruiken. Wijzig alleen bij aanleiding: vermoeden van compromittering, melding van een datalek, of vertrek van een collega met gedeelde toegang.

Is een wachtwoordmanager veilig?

Ja. Een goede wachtwoordmanager versleutelt uw wachtwoorden lokaal met een hoofdwachtwoord dat nergens wordt opgeslagen. Het risico van één hoofdwachtwoord is verwaarloosbaar vergeleken met het risico van wachtwoordhergebruik over tientallen diensten.

Wat zijn passkeys?

Passkeys zijn cryptografische sleutels die op uw apparaat blijven en niet via een nepwebsite kunnen worden gestolen. Ze vervangen wachtwoord plus MFA in één stap, zijn sneller in gebruik en bestand tegen phishing en adversary-in-the-middle.

Wat moet ik doen als mijn wachtwoord in een datalek staat?

Wijzig direct het wachtwoord op de getroffen dienst en op elke andere dienst waar u hetzelfde wachtwoord gebruikte. Schakel MFA in en controleer de inlog-geschiedenis op vreemde sessies. Bij een zakelijke dienst altijd ook het securityteam informeren.

Welke MFA-methode is het veiligst?

Een hardware-sleutel (FIDO2) is het sterkst, gevolgd door een authenticator-app, daarna een pushmelding. Sms voor MFA is een laatste redmiddel: kwetsbaar voor SIM-swap en daardoor de zwakste van de gangbare opties.

Moeten organisaties wachtwoordcomplexiteit afdwingen?

Liever niet op de oude manier (mix van symbolen, hoofdletters, cijfers). Wel een minimumlengte van twaalf tekens en een controle tegen openbaar bekende datalekken. Strenge complexiteitsregels leiden aantoonbaar tot zwakker gedrag zoals plakbriefjes en hergebruik.