Een gehackt e-mailaccount begint vaak niet met een ingewikkelde aanval, maar met één wachtwoord dat al jaren wordt hergebruikt. Wie hetzelfde wachtwoord voor webmail, een webshop en sociale media gebruikt, geeft een datalek op één plek onbedoeld toegang tot meerdere accounts. Met deze gids veilige wachtwoorden maken pakt u dat praktisch aan, zonder een velletje papier met tientallen codes naast de computer.
Waarom een uniek wachtwoord per account nodig is
Websites en apps kunnen te maken krijgen met een datalek. Daarbij kunnen e-mailadressen en wachtwoorden buitgemaakt worden, ook als u zelf niets verkeerd heeft gedaan. Criminelen proberen die combinatie vervolgens automatisch op bekende diensten uit. Dit heet credential stuffing en werkt vooral goed wanneer wachtwoorden worden hergebruikt.
Een uniek wachtwoord beperkt de schade. Lekt het wachtwoord van een oude webshop uit, dan blijven uw bankomgeving, e-mail en zakelijke software buiten bereik. Dat klinkt als veel werk, maar met de juiste werkwijze hoeft u niet ieder wachtwoord uit uw hoofd te kennen.
Uw e-mailaccount verdient extra aandacht. Via e-mail kunnen wachtwoorden van andere diensten worden gereset. Beveilig dit account daarom met een sterk, uniek wachtwoord en zet waar mogelijk tweestapsverificatie aan. Doe hetzelfde voor accounts met betaalgegevens, cloudopslag, DigiD-achtige overheidsdiensten en zakelijke beheerpakketten.
Veilige wachtwoorden maken: kies een wachtzin
Een lang wachtwoord is meestal sterker dan een kort, ingewikkeld wachtwoord. Kies daarom liever een wachtzin: een combinatie van woorden die voor u goed te onthouden is, maar voor anderen niet voor de hand ligt. Bijvoorbeeld vier willekeurige woorden met leestekens en cijfers ertussen. Gebruik geen voorbeeld letterlijk en gebruik geen persoonlijke gegevens.
Een wachtzin als `Koffie!Lantaarn7FietsBos` is lang en daardoor lastig te raden of te kraken. Belangrijker nog: maak voor elke dienst een andere variant. Voeg niet simpelweg de naam van de website toe aan één vaste basis. Als iemand die opbouw ontdekt, zijn de andere wachtwoorden alsnog voorspelbaar.
Vermijd woorden en patronen die dicht bij u liggen. Denk aan uw naam, geboortedatum, postcode, de naam van uw huisdier, kenteken, bedrijfsnaam of de namen van kinderen. Ook `Welkom123`, `Wachtwoord!1` en een rijtje als `12345678` zijn snel te raden. Een hoofdletter en een uitroepteken maken zo’n bekend patroon niet veilig.
Sommige websites stellen nog ouderwetse eisen, zoals minimaal één hoofdletter, cijfer en speciaal teken. Houd u daaraan, maar laat lengte de basis zijn. Een lange, unieke wachtzin is beter dan een kort wachtwoord vol moeilijk te onthouden tekens.
Hoe lang moet een wachtwoord zijn?
Kies waar mogelijk minimaal 14 tot 16 tekens. Langer is beter, zolang u geen voorspelbare informatie gebruikt. Voor een account dat weinig risico oplevert, zoals een forum waar geen persoonsgegevens of betaalgegevens staan, blijft een uniek wachtwoord nodig. Voor e-mail, bankzaken, administratie en werkaccounts kiest u extra lange wachtzinnen én een tweede beveiligingsstap.
Een wachtwoordmanager kan ook volledig willekeurige wachtwoorden voor u maken, bijvoorbeeld 20 tekens met letters, cijfers en symbolen. Dat is technisch gezien uitstekend. Het nadeel is dat u zo’n wachtwoord niet uit uw hoofd kent. In de praktijk is dat geen probleem wanneer de manager het veilig opslaat en op uw apparaten beschikbaar is.
Gebruik een wachtwoordmanager verstandig
Een wachtwoordmanager bewaart uw inloggegevens versleuteld in een digitale kluis. U hoeft dan nog maar één sterk hoofdwachtwoord te onthouden. De manager vult vervolgens het juiste wachtwoord in op de juiste website of app. Daarmee wordt het haalbaar om werkelijk overal unieke wachtwoorden te gebruiken.
Kies een bekende wachtwoordmanager of de ingebouwde oplossing van uw browser of apparaat, mits u begrijpt hoe de synchronisatie werkt. Voor de meeste thuisgebruikers is gebruiksgemak belangrijk: een systeem dat u consequent gebruikt is veiliger dan een perfecte oplossing die na twee dagen wordt losgelaten.
Beveilig de kluis met een lange wachtzin die u nergens anders gebruikt. Schakel ook hier tweestapsverificatie in als dat kan. Bewaar herstelcodes op een veilige plek, los van uw telefoon. Als uw telefoon kapot, kwijt of gestolen is, kunnen die codes het verschil maken tussen snel weer toegang krijgen en langdurig buitengesloten zijn.
Bij gezinnen kan een gedeelde kluis voor enkele gezamenlijke diensten handig zijn, bijvoorbeeld voor streaming, energie of een gedeelde tablet. Deel niet achteloos alle persoonlijke wachtwoorden. Ieder gezinslid houdt bij voorkeur een eigen kluis voor e-mail, sociale media en financiële zaken.
Voor kleine bedrijven geldt hetzelfde uitgangspunt, maar met meer afspraken. Medewerkers moeten geen gedeeld wachtwoord via e-mail, WhatsApp of een post-it ontvangen. Leg vast wie toegang nodig heeft, verwijder toegang zodra iemand vertrekt en gebruik zakelijke accounts waar dat mogelijk is. Zo blijft duidelijk wie welke handeling heeft uitgevoerd.
Tweestapsverificatie is uw tweede slot
Een sterk wachtwoord voorkomt veel problemen, maar kan toch uitlekken door phishing, malware of een datalek. Tweestapsverificatie voegt een extra controle toe. Naast uw wachtwoord bevestigt u de inlog bijvoorbeeld met een app, een beveiligingssleutel of een code.
Een verificatie-app is doorgaans veiliger dan een sms-code. Sms is nog steeds beter dan geen tweede stap, maar kan kwetsbaar zijn wanneer een telefoonnummer wordt overgenomen. Een fysieke beveiligingssleutel biedt extra bescherming voor accounts die echt belangrijk zijn, zoals zakelijke beheerdersaccounts.
Let op met meldingen op uw telefoon. Keur geen inlogverzoek goed omdat het toevallig verschijnt. Krijgt u onverwacht meerdere verzoeken, verander dan direct uw wachtwoord en controleer of er onbekende apparaten of sessies actief zijn. Een aanvaller hoopt soms dat u uit irritatie toch op ‘goedkeuren’ drukt.
Herken nep-inlogpagina’s voordat u uw wachtwoord invult
Een veilig wachtwoord helpt niet als u het zelf op een nagemaakte website invult. Phishingberichten zetten u onder druk: er zou een pakket vaststaan, een betaling mislukken of een account vandaag verlopen. Controleer rustig de afzender en open belangrijke diensten liever zelf via de app of door het adres handmatig in te typen.
Let op vreemde spelling, onverwachte bijlagen en links die niet passen bij de afzender. Ook een bericht dat van een bekende lijkt te komen, kan vals zijn als het account van die persoon is overgenomen. Twijfelt u? Klik niet en deel geen codes. Een echte organisatie vraagt u niet per bericht om uw wachtwoord of verificatiecode door te geven.
Browsers en wachtwoordmanagers geven soms een waarschuwing wanneer het opgeslagen wachtwoord niet past bij de website. Negeer dat signaal niet. Het kan erop wijzen dat u op een lookalike-site bent beland met een adres dat nét anders is geschreven.
Wanneer moet u wachtwoorden veranderen?
U hoeft niet elke drie maanden zonder reden al uw wachtwoorden te wijzigen. Dat leidt vaak tot zwakkere varianten zoals een nieuw cijfer achter hetzelfde wachtwoord. Verander een wachtwoord wel direct wanneer u een datalekmelding krijgt, een onbekende inlog ziet, een phishingpagina hebt gebruikt of het wachtwoord per ongeluk met iemand hebt gedeeld.
Wijzig het wachtwoord ook als een apparaat mogelijk besmet is met malware, of als iemand toegang heeft gehad tot een ontgrendelde computer of telefoon. Begin dan met uw e-mailaccount en de wachtwoordmanager. Controleer daarna hersteladressen, telefoonnummers, doorgestuurde e-mailregels en ingelogde apparaten. Aanvallers veranderen die instellingen soms om toegang te houden.
Heeft u een vermoeden dat er iets niet klopt, handel dan eerst en zoek daarna uit wat er precies is gebeurd. Zet tweestapsverificatie aan, log onbekende sessies uit en maak nieuwe unieke wachtwoorden. Bij een zakelijke omgeving is het verstandig om ook andere beheerders of medewerkers te informeren, zodat zij alert zijn op afwijkende berichten en inlogpogingen.
Een aanpak die u vandaag kunt uitvoeren
Begin niet met honderd accounts tegelijk. Pak eerst uw primaire e-mail, wachtwoordmanager, bank- en betaalaccounts, cloudopslag en sociale media aan. Werk daarna per week een paar minder belangrijke accounts af. Verwijder oude accounts die u niet meer gebruikt als dat mogelijk is. Minder accounts betekent minder plekken die beveiligd moeten worden.
Noteer geen actuele wachtwoorden in een onbeveiligd tekstbestand, agenda of notitie op uw bureaublad. Een noodinstructie voor uw nabestaanden of bedrijf kan wel nuttig zijn, maar beschrijf daarin veilig hoe zij toegang kunnen krijgen zonder alle codes letterlijk op te schrijven.
Loopt u vast bij het instellen van een wachtwoordmanager, het overzetten van accounts naar een nieuwe computer of het herstellen van toegang? Vraag dan hulp voordat u beveiliging uit frustratie uitschakelt. Een paar goed ingestelde basismaatregelen geven veel rust: unieke wachtwoorden, een veilige kluis en tweestapsverificatie waar het telt.