Best practices voor wachtwoordbeheer

Waarom wachtwoorden er nog steeds toe doen, en waar het misgaat

Wachtwoorden zijn al jaren de zwakste schakel in de meeste beveiligingsincidenten. Gestolen of geraden inloggegevens zijn nog steeds de meest gebruikte ingang bij datalekken: een aanvaller koopt een lijst met inloggegevens uit een eerder lek, probeert die op honderden diensten, en kan in seconden binnenkomenten bij medewerkers die hetzelfde wachtwoord op meerdere plekken gebruiken.

In de praktijk komt wachtwoordmisbruik op drie manieren binnen. Dat start met hergebruik over diensten heen, waarbij zakelijk en privé-wachtwoord hetzelfde zijn, vervolgens zwakke of voorspelbare wachtwoorden zoals Welkom2026! of bedrijfsnaam plus jaartal, en tot slot worden medewerkers gericht verleid tot delen via phishing of een nep-helpdesk-belletje.

Geen van deze drie problemen wordt opgelost door alleen complexere wachtwoordregels af te dwingen. Een te streng beleid (vier hoofdletters, twee cijfers, drie symbolen, elke 30 dagen wijzigen) leidt juist aantoonbaar tot zwakker gedrag. Medewerkers plakken hun wachtwoord dan onder het toetsenbord, vervangen P@ssword1! gewoon in P@ssword2!, en blijven het wachtwoord toch over diensten heen hergebruiken. Een goed beleid stuurt op het gedrag dat je wilt zien, niet op het gevoel van controle.

Wat een sterk wachtwoord eigenlijk is: lengte boven complexiteit

NIST en het NCSC schrijven sinds enkele jaren hetzelfde voor: lengte is belangrijker dan complexiteit. Een wachtwoord van vier of vijf willekeurige woorden ("zout-piano-glanzend-rivier-92") is voor een mens makkelijker te onthouden en voor een aanvaller veel moeilijker te kraken dan een korte tekenstrook met hoofdletters en symbolen.

Een werkbare regel voor je beleid: minimaal twaalf tekens, geen verplichte mix van speciale tekens en geen verplichte wijziging op vaste intervallen. Check wachtwoorden wel tegen openbaar bekende datalekken (gebruik een dienst als Have I Been Pwned of een ingebouwde controle van je identity-platform) en laat het wachtwoord direct wijzigen als er een match is.

Stop bovendien met regelmatig verplicht wijzigen. Onderzoek toont al jaren aan dat verplichte rotatie wachtwoorden zwakker maakt, omdat mensen gaan werken met patronen. Wijzig alleen wanneer er een reden voor bestaat: vermoeden van compromittering, gemeld datalek, of vertrek van een collega die toegang had tot gedeelde gegevens.

Waarom een wachtwoordmanager geen luxe is

Een gemiddelde medewerker heeft in 2026 al snel meer dan honderd accounts. Het idee dat iemand voor elk account een uniek, lang wachtwoord onthoudt, is achterhaald. Een wachtwoordmanager doet precies dat: hij genereert per dienst een uniek lang wachtwoord, slaat het versleuteld op en vult het automatisch in op de juiste website.

Voor de organisatie levert dit drie voordelen op die niet anders bereikt kunnen worden: medewerkers gebruiken geen wachtwoord meer dubbel omdat ze zelf niets meer hoeven onthouden, phishing wordt zichtbaar omdat de manager niet invult op onbekende domeinen, en de overstap naar passkeys verloopt soepeler omdat de wachtwoordmanager beide ondersteunt.

Bied een wachtwoordmanager aan als organisatie. Het hoeft geen dure oplossing te zijn; goede zakelijke opties beginnen rond enkele euro's per medewerker per maand. Maak het optioneel voor privégebruik (vaak in dezelfde licentie), zodat medewerkers ook thuis veiliger werken. Dat verlaagt het risico dat werkgerelateerde data in privé-accounts achterblijft.

Meervoudige verificatie: noodzakelijk maar niet voldoende, en de overstap naar passkeys

Meervoudige verificatie blijft een belangrijke laag, maar wordt steeds vaker omzeild. Drie technieken zijn in 2026 routinematig: meervoudige-verificatie-vermoeidheid waarbij een aanvaller je bombardeert met pushmeldingen tot je goedkeurt, adversary-in-the-middle waarbij de aanvaller tussen jou en de echte website zit en de sessiecookie steelt, en SIM-swap waarbij de aanvaller je telefoonnummer laat overzetten en voortaan je sms-codes ontvangt.

In volgorde van veiligheid voor meervoudige verificatie: hardware-sleutel (FIDO2) is het sterkst, gevolgd door een authenticator-app op een toestel waarop je inlogt, daarna pushmelding, en helemaal onderaan sms. Sms voor meervoudige verificatie is in 2026 een noodoplossing, geen voorkeursoptie.

De echte oplossing is wachtwoordloos. Passkeys zijn cryptografische sleutels die op je apparaat blijven en niet via een phishingsite kunnen worden gestolen. De grote diensten (Microsoft, Google, Apple, banken en overheid) ondersteunen ze inmiddels allemaal. Voor je awareness-programma is de boodschap simpel: leg uit dat passkeys geen extra stap zijn maar een sterke vervanging van wachtwoord plus meervoudige verificatie, en help medewerkers bij het eerste keer activeren. Eenmaal in gebruik zijn ze zelfs sneller dan een wachtwoord.

Wat te doen na een datalek met je wachtwoord

Datalekken zijn een feit van het leven in 2026. Vroeg of laat komt een wachtwoord van een medewerker in een bekende lijst terecht, niet altijd via je eigen organisatie, maar via een dienst waar hij privé een account had met hetzelfde wachtwoord. Wat dan?

• Wijzig direct het wachtwoord op de getroffen dienst. En op elke andere dienst waar je toevallig hetzelfde wachtwoord gebruikte — want dat hadden we juist willen voorkomen.
• Schakel meervoudige verificatie in als dat nog niet aanstond. Het is op vrijwel elke moderne dienst beschikbaar en moet gewoon worden geactiveerd.
• Controleer de inlog-geschiedenis op de getroffen dienst. Meld jezelf onmiddellijk af uit onbekende sessies en informeer de dienst.
• Meld het bij het securityteam als het om een zakelijke dienst gaat. Eén compromittering kan voor een aanvaller een springplank zijn naar bredere toegang — vroege melding maakt het verschil tussen een afgebakend incident en een organisatiebrede crisis.
• Overweeg over te stappen op een passkey waar de dienst dat ondersteunt. Eén keer een wachtwoord vervangen door een passkey en dit risico is voor die dienst structureel opgelost.

Hoe je dit verankert in een awareness-programma

Wachtwoordbeheer hoort niet één keer per jaar in een uur-lange training. Het werkt beter als kort, terugkerend thema dat aansluit op wat medewerkers al meemaken. Een praktische opbouw:

Begin met een module van zes tot acht minuten waarin je laat zien wat een sterk wachtwoord is (drie tot vijf willekeurige woorden), waarom hergebruik gevaarlijk is en hoe de wachtwoordmanager van de organisatie werkt. Combineer dat met een interne campagne waarin de wachtwoordmanager actief beschikbaar wordt gemaakt: een korte instructievideo, een helpdesk-spreekuur en eventueel een spreekuur voor privégebruik.

Geef het thema een vervolg in latere maanden via kortere herinneringen: een posterscampagne over passkeys, een nieuwsbericht na een groot publiek datalek met instructie ("controleer of je wachtwoord erbij stond"), en een aantekening in de jaarlijkse risicoanalyse over welke afdelingen nog op klassieke wachtwoorden werken. Maak het thema persoonlijk: laat zien hoe medewerkers ook hun privéleven veiliger maken, want kennis die thuis werkt, komt vanzelf ook mee naar kantoor.

Tot slot: breng het beleid in overeenstemming met de werkelijkheid. Een wachtwoordbeleid dat nog steeds elke 30 dagen verplichte rotatie eist, is niet alleen verouderd maar werkt aantoonbaar juist averechts. Stuur op moderne principes (lengte, uniciteit, meervoudige verificatie, passkey waar mogelijk) en laat in de communicatie duidelijk merken waarom je verouderde regels schrapt. Dat draagt veel meer bij aan vertrouwen in het programma dan een nieuwe lijst eisen.

Gerelateerde artikelen

• MFA fatigue-aanvallen herkennen
• E-mailbeveiliging en social engineering
• Hoe je een security-cultuur opbouwt
• Wat is phishing?

Bronnen

• NIST SP 800-63B: Digital Identity Guidelines
• NCSC: wachtwoorden (overzicht en adviezen)
• FIDO Alliance: passkeys explained

FAQ

Hoe lang moet een wachtwoord zijn?

Minimaal twaalf tekens. Lengte is belangrijker dan complexiteit. Drie tot vijf willekeurige woorden zijn voor een mens makkelijker te onthouden en voor een aanvaller veel moeilijker te kraken dan een korte combinatie met hoofdletters en symbolen.

Moeten medewerkers wachtwoorden regelmatig wijzigen?

Nee, niet automatisch. Verplichte rotatie maakt wachtwoorden aantoonbaar zwakker omdat mensen patronen gaan gebruiken. Wijzig alleen bij aanleiding: vermoeden van compromittering, melding van een datalek of vertrek van een collega met gedeelde toegang.

Is een wachtwoordmanager veilig?

Ja. Een goede wachtwoordmanager versleutelt je wachtwoorden lokaal met een hoofdwachtwoord dat nergens wordt opgeslagen. Het risico van één hoofdwachtwoord is verwaarloosbaar vergeleken met het risico van wachtwoordhergebruik over tientallen diensten.

Wat zijn passkeys?

Passkeys zijn cryptografische sleutels die op je apparaat blijven en niet via een nepwebsite kunnen worden gestolen. Ze vervangen wachtwoord plus meervoudige verificatie in één stap, zijn sneller in gebruik en bestand tegen phishing en adversary-in-the-middle.

Wat moet ik doen als mijn wachtwoord in een datalek staat?

Wijzig direct het wachtwoord op de getroffen dienst en op elke andere dienst waar je hetzelfde wachtwoord gebruikte. Schakel meervoudige verificatie in en controleer de inlog-geschiedenis op vreemde sessies. Bij een zakelijke dienst altijd ook het securityteam informeren.

Welke methode voor meervoudige verificatie is het veiligst?

Een hardware-sleutel (FIDO2) is het sterkst, gevolgd door een authenticator-app, daarna een pushmelding. Sms voor meervoudige verificatie is een noodoplossing: kwetsbaar voor SIM-swap en daardoor de zwakste van de gangbare opties.

Moeten organisaties wachtwoordcomplexiteit afdwingen?

Liever niet op de oude manier (mix van symbolen, hoofdletters, cijfers). Wel een minimumlengte van twaalf tekens en een controle tegen openbaar bekende datalekken. Strenge complexiteitsregels leiden aantoonbaar tot zwakker gedrag zoals plakbriefjes en hergebruik.