Welkom01!, Summer2024!, Bedrijfsnaam1. Ken je ze? Iedere IT-beheerder kent ze. En iedere aanvaller ook.
Jarenlang kregen medewerkers de instructie: gebruik een hoofdletter, een cijfer en een speciaal teken. Verander je wachtwoord elke drie maanden. Het resultaat? Mensen kiezen voorspelbare patronen die aan de regels voldoen maar erg makkelijk te raden zijn. En ze schrijven ze op een Post-it.
Wat de wetenschap zegt
Het Amerikaanse NIST, het instituut dat beveiligingsstandaarden opstelt, heeft in augustus 2025 de nieuwe versie van zijn richtlijnen gepubliceerd. De conclusie is verrassend duidelijk:
Stop met verplichte complexiteit en periodieke wijzigingen. Begin met lengte.
Een wachtwoord van 16 tekens zonder speciale eisen is veiliger dan een wachtwoord van 8 tekens mét verplichte mix. Een aanvaller die brute force gebruikt, heeft bij 16 tekens exponentieel meer rekentijd nodig, ongeacht of er een uitroepteken in zit.
Wat wél werkt
Lange wachtzinnen
In plaats van Welk0m01! gebruik je IkHoudVanMijnKattenEnKoffie. Makkelijker te onthouden, moeilijker te kraken. Drie willekeurige woorden met spaties werkt ook prima: Fiets Lantaarn Kaneel.
Een wachtwoordmanager
Dit is de grootste gamechanger voor wachtwoordbeveiliging. Een wachtwoordmanager genereert voor elke website een uniek, lang, willekeurig wachtwoord en onthoudt het voor je. Jij hoeft alleen het hoofdwachtwoord te kennen.
Goede opties voor MKB: 1Password Teams, Bitwarden for Business, Dashlane. De kosten zijn beperkt, vanaf ongeveer 4 dollar per medewerker per maand, en de winst is groot. Een wachtwoordmanager valt onder de MCZ-subsidie: samen met andere nieuwe maatregelen (minimaal €400) kun je tot en met 30 november 2026 de helft terugkrijgen, tot €1.250, zolang het budget strekt.
Multi-factor authenticatie (MFA)
Een sterk wachtwoord plus MFA maakt je account een stuk moeilijker te misbruiken. Zelfs als je wachtwoord uitlekt via een datalek ergens anders, kan een aanvaller er niets mee zonder die tweede factor.
HaveIBeenPwned houdt een database bij van gelekte inloggegevens. Je kunt er controleren of e-mailadressen van je medewerkers al eens zijn gelekt. De kans is groot dat dat zo is, en dan wil je MFA hebben staan. Wil je dat voor je hele domein weten? De gratis kwetsbaarhedenscan laat zien welke inloggegevens zijn gelekt.
Waarom wachtwoorden überhaupt nog zo'n probleem zijn
Het antwoord is credential stuffing. Criminelen hebben toegang tot miljarden gelekte gebruikersnaam/wachtwoord-combinaties uit datalekken bij andere sites. Ze testen die combinaties automatisch op duizenden andere diensten.
Als medewerker X hetzelfde wachtwoord gebruikt voor LinkedIn als voor je bedrijfsmail, en LinkedIn is ooit gehackt, is je bedrijfsmail daarmee ook kwetsbaar. Dat is waarom wachtwoorden uniek moeten zijn voor elke dienst. En dat is precies waarom een wachtwoordmanager onmisbaar is.
Een goed wachtwoordbeleid in 3 regels
Drie dingen die je als bedrijf kunt invoeren en die direct effect hebben:
- Verplicht een wachtwoordmanager voor alle medewerkers en betaal de licentie
- Zet MFA aan voor alle accounts, zeker voor e-mail en financiële systemen
- Stel een minimale wachtwoordlengte in van 12 tekens, zonder eisen aan speciale tekens. Het NIST noemt als ondergrens minimaal 15 tekens zonder MFA, minimaal 8 met MFA.
Dat is het. Geen ingewikkelde policies, geen Post-its onder het toetsenbord.
Passkeys: de toekomst is al begonnen
Wil je helemaal vooruit? Dan zijn passkeys de volgende stap. Passkeys vervangen wachtwoorden door cryptografische sleutels die zijn gekoppeld aan je apparaat. Er valt niets te stelen, niets te raden en niets te vergeten.
Microsoft, Google en Apple ondersteunen passkeys al. De uitrol voor bedrijfsomgevingen verloopt langzamer, maar het is de richting. Het NIST staat passkeys in zijn richtlijnen van 2025 uitdrukkelijk toe als veilige inlogmethode.
Wil je weten hoe sterk de wachtwoordhygiëne in jouw bedrijf is en waar de risico's zitten? Plan een gratis demo, dan lopen we samen door je huidige situatie. Meer lezen? Bekijk onze diensten of pakketten.
