Hieronder staan de drie meest gemaakte fouten als het gaat om beheren en gebruiken van wachtwoorden op je accounts. Er zijn er meer, maar om het beknopt te houden hebben we grootste fouten uiteen gezet.
Als een hacker een wachtwoord ergens steelt, proberen zij dezelfde combinatie automatisch bij andere diensten. Dit heet in technische begrippen credential stuffing. Het werkt vaak en dat komt doordat mensen wachtwoorden hergebruiken voor meerdere accounts. Een datalek bij een externe dienst kan hackers meteen toegang geven tot je accounts met als gevolg ook je bedrijfssystemen.
Een briefje onder het toetsenbord, een Excel-bestand op de gedeelde schijf, wachtwoorden los opgeslagen in de browser: het zijn allemaal manieren om wachtwoorden op te slaan, maar daardoor ook kwijt te raken. Wie toegang heeft tot het apparaat of het bestand, heeft toegang tot alles wat erin staat. Er is geen versleuteling, geen controle over wie het inziet, en vaak ook geen zicht op wie het ooit heeft gekopieerd.
Deze manier van omgang met wachtwoorden vereist geen specialistisch security- of ICT-kennis, het is dan gewoon een kwestie van goed zoeken voordat andere in jouw accounts zitten.
Wachtwoorden als een bedrijfsnaam met een jaartal, of een voorspelbaar patroon zoals "Welkom123", "Herfst2026!", staan vaak in lijsten van standaard gebruikte wachtwoorden die hackers uitproberen. Dat heet een dictionary attack: geen gericht kraakwerk, maar simpelweg de meest voorkomende wachtwoorden langsgaan of combinaties proberen tot er eentje raak is. Hoe voorspelbaarder het wachtwoord, hoe sneller dat lukt.
Een goed wachtwoordbeleid draait niet om zoveel mogelijk regels, maar om de juiste regels. Dit moet gebeuren op zowel papier als in de techniek. Een beleid dat schrijft dat wachtwoorden 12 karakters lang moeten zijn is leuk, maar als je systemen slechts 8 karakters afdwingen ben je toch ineens minder goed beschermd dan dat je op papier hebt staan.
Het advies is de laatste jaren veranderd van "ingewikkeld" naar "lang". Een wachtwoordzin van vier losse woorden is voor een aanvaller moeilijker te kraken dan een kort wachtwoord vol cijfers en tekens. Voor jou is zo'n zin ook makkelijker te onthouden. Als een wachtwoord ingewikkeld moet zijn, gebruiken mensen vaak voorspelbare trucjes. Ze plakken bijvoorbeeld een cijfer en uitroepteken achteraan. Dit maakt het wachtwoord eigenlijk niet sterker, omdat zulke patronen snel worden herkend.
Stel dus een wachtwoord in op je accounts die lang is en als het kan ook nog complex genoeg. Dat maakt het dan moeilijker te onthouden, maar daar hebben we wachtwoordmanager voor. Daarover zo meer.
Wachtwoorden moet je veilig opslaan. Anders loop je het risico dat je wachtwoorden straks op straat liggen. Maar nog belangrijker is dat je voor elk account een uniek wachtwoord instelt. Je kunt tegenwoordig namelijk niet meer voorkomen dat je gegevens op straat liggen door een datalek. Stel nu dat je voor elk account een uniek wachtwoord heb ingesteld, dan is alleen het account en wachtwoord dat in de datalek zat bekend. Ze kunnen nu met die gegevens niet inloggen op jouw andere accounts en systemen, omdat je dus overal een uniek wachtwoord heb ingesteld. Dit beperkt de impact voor je bedrijf drastisch.
Nu hoor ik je denken, voor elke account een uniek wachtwoord? Dat is toch niet te onthouden. En het antwoord is, ja dat klopt. En wederom is ook het antwoord weer, daar hebben we een wachtwoordmanager voor. Die maakt deze vorm van wachtwoordgebruik veel eenvoudiger.
Wachtwoorden moeten elke paar maanden worden gewijzigd. Dat lijkt veilig, maar in de praktijk werkt het vaak averechts. Dit komt omdat mensen dan kiezen een voorspelbare versie van hun oude wachtwoord. Het is verstandiger om een wachtwoord alleen te veranderen als er een duidelijke reden is, zoals een datalek bij een dienst die je gebruikt of een vermoeden van misbruik. Ook de publicatie van NIST 800-63B[1] geeft aan om alleen wachtwoorden te wijzigen indien er sprake is van misbruik of het lekken ervan.
Soms moet je iets delen, denk aan een gedeeld account voor een programma of een systeem. Vermijd dan om wachtwoorden te delen via e-mail, sms of een gedeeld document. Je loopt dan tegen dezelfde problemen aan als bij onveilige opslag: je weet niet wie er toegang heeft en je kunt de toegang niet meer terugtrekken. Wij raden daarom aan om de delenfunctie van een wachtwoordbeheerder te gebruiken. Het wachtwoord is dan versleuteld in een gedeelde kluis, je kunt altijd de toegang intrekken en je ziet wie er nog bij kan.
Als je geen wachtwoordmanager tot je beschikking hebt, dan is het aan te raden het account en het wachtwoord via twee aparte kanalen te delen. Denk hierbij aan het wachtwoord via Team en de gebruikersnaam via e-mail of ander medium. Mocht het wachtwoord dan toch onderschept worden of achterblijven in een gedeeld document, dan weet de persoon niet bij welk account het wachtwoord hoort.
Een wachtwoordmanager genereert en onthoudt voor elk account een uniek, sterk wachtwoord, zodat niemand in je team meer zwakke wachtwoord gebruikt. Met 1Password komt daar nog iets bij: proactieve meldingen zodra een wachtwoord van je organisatie in een bekend datalek opduikt, zodat je kunt ingrijpen voordat het een probleem wordt.
Wil je weten hoe wachtwoordbeheer met 1Password er in de praktijk uitziet voor jouw bedrijf? Ontdek 1Password bij Peakproteqt.
