Best practices voor wachtwoorden in gereguleerde sectoren: een praktische beveiligingsgids

Best practices voor wachtwoorden komen neer op een korte, bijna saaie lijst die echt werkt: gebruik een wachtwoordbeheerder om lange, unieke wachtwoorden voor elk account te genereren, schakel multifactorauthenticatie (MFA) in en hergebruik nooit hetzelfde wachtwoord voor verschillende diensten. Voor teams in de gezondheidszorg, de juridische sector en de financiële sector is het grootste risico zelden een te eenvoudig wachtwoord. Het is een wachtwoord dat is hergebruikt of gestolen. De meeste accountinbreuken beginnen tegenwoordig met inloggegevens die een aanvaller al in handen heeft, niet met een wachtwoord dat is geraden. Het echte doel is dus om hergebruik te voorkomen en een tweede factor toe te voegen.

‍

Belangrijkste punten

• Een wachtwoordbeheerder in combinatie met MFA blokkeert het overgrote deel van de geautomatiseerde accountovernames. Die combinatie, en niet het onthouden van slimme tekenreeksen, vormt de kern van wachtwoordbeveiliging.
• Hergebruik is de belangrijkste kwetsbaarheid. Onderzoek uit de sector laat steeds weer zien dat de meeste mensen wachtwoorden hergebruiken, waardoor één datalek zich kan uitbreiden naar elk account met datzelfde wachtwoord.
• Zwakke wachtwoorden zijn meestal voorspelbaar, niet willekeurig. Seizoenswisselingen, namen van huisdieren en bedrijfsnamen zijn precies wat aanvallers als eerste uitproberen.
• De dreiging is verschoven van het raden van wachtwoorden naar het stelen ervan. Daarom zijn uniciteit en MFA belangrijker dan louter de complexiteit van de tekens.
• Zakelijke en persoonlijke inloggegevens mogen nooit door elkaar lopen. Door ze gescheiden te houden, beperkt u de schade wanneer een van beide wordt gecompromitteerd.

‍

Wat zijn best practices voor wachtwoorden?

Best practices voor wachtwoorden zijn de gewoonten en maatregelen die voorkomen dat inloggegevens worden geraden, gekraakt, hergebruikt of gestolen. Ze bepalen hoe een wachtwoord wordt aangemaakt (lengte en willekeur), hoe het wordt opgeslagen (in een wachtwoordbeheerder in plaats van op een geeltje, in een spreadsheet of in een browser), hoe het wordt beschermd (MFA) en hoe het wordt gedeeld (alleen via beveiligde kanalen). De moderne richtlijnen van normeringsinstanties zijn afgestapt van het afdwingen van ingewikkelde tekenregels en frequente wijzigingen en richten zich nu op lengte, uniciteit en een sterke tweede factor.

‍

Waarom wachtwoordbeveiliging belangrijker is dan ooit

Het draaiboek van aanvallers is veranderd. Tien jaar geleden was de grootste zorg dat iemand een zwak wachtwoord zou kraken door veel combinaties te proberen (brute force). Tegenwoordig is diefstal van inloggegevens de grotere dreiging: aanvallers komen aan werkende wachtwoorden via datalekken, phishing en infostealer-malware (software die ongemerkt opgeslagen wachtwoorden en inlogsessies van een geïnfecteerd apparaat verzamelt) en loggen vervolgens gewoon in. Volgens het Verizon Data Breach Investigations Report zijn gestolen inloggegevens een van de meest voorkomende manieren waarop aanvallers voor het eerst toegang krijgen, en IBM X-Force meldt dat een groot deel van de inbraken gebruikmaakt van geldige, gestolen inloggegevens in plaats van van enige exploit.

‍

Dit is om één praktische reden van belang. Als een aanvaller een wachtwoord kan kopen of stelen dat al werkt, beschermt de sterkte van dat wachtwoord u niet langer. Wat u wel beschermt, is dat het wachtwoord uniek is (zodat het niets anders kan ontgrendelen) en dat er een tweede factor staat tussen het gestolen wachtwoord en het account. Voor gereguleerde teams die met gevoelige gegevens werken, is die verschuiving het hele argument voor de onderstaande werkwijzen.

‍

Wat maakt een wachtwoord sterk?

Drie eigenschappen maken een wachtwoord sterk: lengte, willekeur en uniciteit. Lengte is het belangrijkst. Het Amerikaanse National Institute of Standards and Technology (NIST) beveelt in Special Publication 800-63B-4 een minimum van 15 tekens aan voor een wachtwoord dat als enige factor wordt gebruikt (en ondersteunt lengtes tot minstens 64 tekens), terwijl de Cybersecurity and Infrastructure Security Agency (CISA) aanraadt om minstens 16 tekens te gebruiken. Willekeur betekent dat u woorden uit het woordenboek en persoonlijke gegevens vermijdt. Uniciteit betekent een ander wachtwoord voor elk account.

‍

Een nuttig alternatief voor een willekeurige tekenreeks is een wachtzin (passphrase): vier tot zeven niet-gerelateerde woorden achter elkaar, wat lang en moeilijk te kraken is en veel gemakkelijker te onthouden. CISA geeft voorbeelden zoals een handvol niet-gerelateerde woorden die zijn samengevoegd tot één zin.

‍

‍

Dit is het verschil in de praktijk:

‍

‍

Zo maakt u een sterk wachtwoord

De snelste betrouwbare methode is om een wachtwoordbeheerder er een voor u te laten genereren. Als u er toch handmatig een moet bedenken (bijvoorbeeld het hoofdwachtwoord waarmee u uw beheerder ontgrendelt), stelt u een wachtzin samen:

‍

1. Kies vier tot zeven niet-gerelateerde, willekeurige woorden. Vermijd alles wat met uzelf, uw werkgever of de datum te maken heeft.
2. Combineer ze tot één zin. U kunt de spaties behouden of weglaten.
3. Kies voor lengte in plaats van complexiteit. Een langere zin is beter dan een korte tekenreeks met symbolen.
4. Zorg ervoor dat het op precies één plek wordt gebruikt en nergens anders.
5. Sla het nooit op als platte tekst. Onthoud het hoofdwachtwoord en laat de beheerder de rest bewaren.

‍

Vermijd voorspelbare bouwstenen volledig. Aanvallers voeren woordenboekaanvallen uit (geautomatiseerd raden met lijsten van gangbare woorden en bekende wachtwoorden) en credential stuffing (het opnieuw gebruiken van combinaties van gebruikersnamen en wachtwoorden die bij andere datalekken zijn uitgelekt). Veelvoorkomende gelekte wachtwoorden zoals 123456, admin en password (regelmatig genoemd in onderzoek van NordPass) worden direct gekraakt, evenals contextuele keuzes zoals de naam van een huisdier, de bedrijfsnaam of een seizoen met jaartal.

‍

Stop met het hergebruiken van wachtwoorden: de oplossing die het meest telt

Als u één gewoonte aanpast, laat het dan deze zijn. Uit enquêtes die in beveiligingsonderzoek worden aangehaald blijkt dat de meeste mensen wachtwoorden hergebruiken voor meerdere accounts (Forbes Advisor meldde cijfers rond de 78 procent), en uit de analyse van datalekken door SpyCloud blijkt dat een groot deel van de mensen wier gegevens bij datalekken waren blootgesteld, een eerder uitgelekt wachtwoord had hergebruikt. Hergebruik maakt van één enkel lek een kettingreactie: één gehackte dienst geeft een aanvaller de sleutel tot uw e-mail, en uw e-mail is de herstelroute naar al het andere.

‍

Hieruit volgen direct twee regels. Gebruik ten eerste één wachtwoord per dienst, zonder uitzonderingen. Houd ten tweede zakelijke en persoonlijke inloggegevens volledig gescheiden. Het wachtwoord van uw streamingdienst hoort niet in de buurt van bedrijfssystemen te komen, en een bedrijfswachtwoord mag nooit een persoonlijk account beschermen. Beschouw scheiding als een beveiligingsmaatregel, niet als fatsoen: die beperkt de omvang van de schade, zodat een inbreuk aan de ene kant niet kan overslaan naar de andere.

‍

Wat is een wachtwoordbeheerder en moet u er een gebruiken?

Een wachtwoordbeheerder is een toepassing die uw wachtwoorden genereert, opslaat en automatisch invult in een versleutelde kluis. U onthoudt één sterk hoofdwachtwoord en de beheerder onthoudt al het andere, inclusief lange willekeurige wachtwoorden die u nooit zou kunnen onthouden. Ook meldt de beheerder zwakke of dubbel gebruikte wachtwoorden, zodat u ze kunt verhelpen. CISA en de meeste beveiligingsteams beschouwen een wachtwoordbeheerder als de makkelijkste manier om sterke, unieke wachtwoorden voor elk account haalbaar te maken.

‍

Er zijn twee brede categorieën. Persoonlijke wachtwoordbeheerders zijn bedoeld voor individuele gebruikers en kleine teams. Enterprise-oplossingen, vaak onderdeel van Privileged Access Management (PAM, het beveiligen en bewaken van waardevolle beheerdersgegevens), voegen gecentraliseerde controle, toegangsbeperkingen, auditing en single sign-on (SSO, waarmee gebruikers één keer authenticeren om toegang te krijgen tot meerdere goedgekeurde toepassingen) toe. Een waarschuwing: vertrouw voor belangrijke inloggegevens niet op de ingebouwde opslag van uw browser, want in de browser opgeslagen wachtwoorden zijn vaak makkelijker te achterhalen van een gehackt of gestolen apparaat dan wachtwoorden in een speciale, versleutelde beheerder.

‍

Schakel multifactorauthenticatie (MFA) in

Multifactorauthenticatie (MFA) vereist naast uw wachtwoord een tweede identiteitsbewijs, zoals een code uit een authenticatie-app, een hardwaresleutel of een biometrische controle. Omdat een gestolen of geraden wachtwoord alleen niet genoeg is om binnen te komen, blokkeert MFA het overgrote deel van de geautomatiseerde massale aanvallen, en zowel CISA als Microsoft raden het aan als basismaatregel.

‍

Niet alle factoren zijn gelijk. Geef waar mogelijk de voorkeur aan phishingbestendige methoden op basis van de FIDO2- en WebAuthn-standaarden, waaronder passkeys (cryptografische sleutels die aan uw apparaat zijn gekoppeld, het wachtwoord volledig vervangen en als zelfstandige inlogmethode werken, niet slechts als tweede factor). Eenmalige codes via sms zijn de zwakste gangbare factor, omdat ze kwetsbaar zijn voor SIM-swapping en aanvallen op het SS7-protocol, waarmee sms-berichten op netwerkniveau kunnen worden onderschept. NIST en CISA raden beide af om erop te vertrouwen als er sterkere opties zijn.

‍

Moet u uw wachtwoorden regelmatig wijzigen?

Nee, niet volgens een vast schema, althans niet voor gewone gebruikersaccounts. NIST raadt verplichte periodieke wachtwoordwijzigingen voor gebruikerswachtwoorden inmiddels af, omdat afgedwongen rotatie mensen naar voorspelbare patronen duwt (Summer2025 wordt Summer2026) en ertoe aanzet wachtwoorden op te schrijven. Wijzig een wachtwoord liever wanneer daar een reden voor is: een bekende of vermoede inbreuk, een melding van een datalek of een wachtwoord waarvan u niet meer weet waar het gebruikt wordt. Ook als u „vrij zeker weet dat het goed zit”, is een bevestigde blootstelling reden genoeg om het te vervangen. (Zeer bevoorrechte beheerdersgegevens vormen een uitzondering en worden vaak routinematig vernieuwd.)

‍

Zo deelt u wachtwoorden veilig

Soms moeten inloggegevens echt worden gedeeld. Dan is het kanaal net zo belangrijk als het wachtwoord. Verstuur een wachtwoord nooit via Slack, e-mail of sms, waar het in doorzoekbare geschiedenis kan blijven staan, kan worden doorgestuurd of kan worden blootgesteld als een van beide accounts is gehackt. Deel het in plaats daarvan via de beveiligde deelfunctie van een wachtwoordbeheerder, die de inloggegevens versleuteld houdt en u later de toegang laat intrekken. Als een wachtwoord ooit via chat of e-mail is verstuurd, beschouw het dan als blootgesteld en vervang het.

‍

Best practices voor wachtwoorden in gereguleerde sectoren

Organisaties in de gezondheidszorg, de juridische sector en de financiële sector hebben een extra verplichting, omdat de accounts in kwestie vaak gereguleerde gegevens beschermen. In de gezondheidszorg gaat het onder meer om beschermde gezondheidsinformatie (PHI, individueel identificeerbare gezondheidsgegevens). Regelgevende kaders stellen verwachtingen waaraan een goede omgang met inloggegevens bijdraagt. De HIPAA Security Rule vereist bijvoorbeeld toegangscontroles en authenticatiewaarborgen voor systemen die PHI verwerken, en unieke inloggegevens plus MFA zijn praktische manieren om aan die eisen te voldoen. (HIPAA regelt ook de relaties met leveranciers via een Business Associate Agreement, of BAA, het contract dat een dienstverlener verantwoordelijk maakt voor de bescherming van PHI.)

‍

Eén uitgangspunt is het onthouden waard: compliance en beveiliging hangen samen, maar zijn niet identiek. Een wachtwoordbeleid kan technisch voldoen aan een verouderde checklist en toch echte risico's laten bestaan. Een beleid dat streng oogt (veelvuldige verplichte wijzigingen, complexe tekenregels) kan in de praktijk zwakker zijn dan een eenvoudiger beleid dat draait om lengte, uniciteit, een wachtwoordbeheerder en MFA. Het doel voor een gereguleerd team is een beleid dat zowel verdedigbaar is richting een auditor als daadwerkelijk effectief tegen de manier waarop aanvallers tegenwoordig te werk gaan. Sterke, unieke inloggegevens, MFA, veilig delen en een versleutelde kluis ondersteunen erkende maatregelen binnen kaders zoals HIPAA, SOC 2 en ISO 27001, zonder in te leveren op gebruiksgemak.

‍

Veelgestelde vragen

‍

Wat is het veiligste type wachtwoord?

Het veiligste wachtwoord is een lang, willekeurig wachtwoord dat door een wachtwoordbeheerder wordt gegenereerd en opgeslagen, omdat u het nooit hoeft te onthouden of in te typen. Voor het ene wachtwoord dat u wel moet onthouden, biedt een wachtzin van vier tot zeven niet-gerelateerde woorden zowel lengte als onthoudbaarheid. In beide gevallen moet het wachtwoord uniek zijn voor één account.

‍

Welke veelgebruikte wachtwoorden moet u vermijden?

Onderzoek naar uitgelekte inloggegevens, zoals de jaarlijkse analyse van NordPass, laat steeds dezelfde boosdoeners bovenaan zien: 123456, admin en password. Elk afzonderlijk woordenboekwoord, een naam of huisdier, een bedrijfsnaam of een seizoen gevolgd door een jaartal valt in dezelfde categorie. Dit zijn de eerste gokken van een geautomatiseerde aanval, dus vermijd ze volledig.

‍

Zijn wachtwoordbeheerders veilig?

Ja, voor bijna iedereen is een gerenommeerde wachtwoordbeheerder een stuk veiliger dan de alternatieven: hergebruik, zwakke wachtwoorden en gele plakbriefjes. De kluis is versleuteld en u hoeft slechts één sterk hoofdwachtwoord te beschermen (bij voorkeur een wachtzin) met MFA ingeschakeld. Door dat gemak zijn sterke, unieke wachtwoorden ook haalbaar voor tientallen accounts.

‍

Hoe lang moet een wachtwoord zijn?

Langer is sterker. NIST adviseert een minimum van 15 tekens voor een wachtwoord met één factor en ondersteunt lengtes tot minstens 64 tekens, terwijl CISA aanraadt om minimaal 16 tekens na te streven. Een wachtzin is een eenvoudige manier om die lengte te bereiken zonder iets te creëren dat onmogelijk te onthouden is.

‍

Moet u uw wachtwoorden regelmatig wijzigen?

Niet volgens een vast schema voor gewone accounts. NIST raadt verplichte periodieke wijzigingen af, omdat ze voorspelbare patronen in de hand werken. Wijzig een wachtwoord wanneer er een concrete aanleiding is, zoals een melding van een datalek of een teken van compromittering.

‍

Is het veilig om wachtwoorden in uw browser op te slaan?

Voor belangrijke accounts is een speciale wachtwoordbeheerder veiliger dan de ingebouwde opslag van uw browser. Wachtwoorden die in de browser zijn opgeslagen, kunnen gemakkelijker worden uitgelezen van een verloren, gestolen of met malware geïnfecteerd apparaat. Laat de browser inloggegevens hooguit opslaan voor accounts met een lage waarde.

‍

Hoe moet u een wachtwoord delen met een collega?

Gebruik de functie voor veilig delen in een wachtwoordbeheerder, waarmee de inloggegevens versleuteld blijven en u de toegang later kunt intrekken. Verstuur ze niet via Slack, e-mail of sms. Als een wachtwoord ooit via een van die kanalen is verstuurd, wijzig het dan.