Aanbevolen werkwijzen voor wachtwoorden in gereguleerde sectoren: een praktische beveiligingsgids

De beste praktijken voor wachtwoorden komen neer op een korte, bijna saaie lijst die daadwerkelijk werkt: gebruik een wachtwoordbeheerder om voor elk account lange, unieke wachtwoorden te genereren, schakel meervoudige authenticatie (MFA) in en gebruik nooit hetzelfde wachtwoord voor verschillende diensten. Voor teams in de gezondheidszorg, de juridische sector en de financiële sector is het grootste risico zelden een te eenvoudig wachtwoord. Het is juist een wachtwoord dat is hergebruikt of gestolen. De meeste inbreuken op accounts beginnen tegenwoordig met inloggegevens die een aanvaller al in zijn bezit heeft, niet met gegevens die hij heeft geraden. Het echte doel is dus om hergebruik te voorkomen en een tweede authenticatiefactor toe te voegen.

‍

Belangrijkste punten

• Een wachtwoordbeheerder in combinatie met MFA houdt het overgrote deel van de geautomatiseerde aanvallen waarbij accounts worden overgenomen tegen. Die combinatie, en niet het uit het hoofd leren van ingenieuze reeksen, vormt de kern van wachtwoordbeveiliging.
• Hergebruik is de grootste kwetsbaarheid. Uit onderzoek in de sector blijkt keer op keer dat de meeste mensen wachtwoorden hergebruiken, waardoor één enkel datalek een domino-effect kan hebben op alle accounts waarvoor datzelfde wachtwoord wordt gebruikt.
• Zwakke wachtwoorden zijn meestal voorspelbaar, niet willekeurig. Seizoensgebonden variaties, namen van huisdieren en bedrijfsnamen zijn precies wat aanvallers als eerste testen.
• De dreiging is verschoven van het raden van wachtwoorden naar het stelen ervan; daarom zijn uniekheid en MFA belangrijker dan louter de complexiteit van de tekens.
• Werkgerelateerde en persoonlijke gegevens mogen nooit met elkaar worden vermengd. Door ze gescheiden te houden, blijft de schade beperkt wanneer een van beide in gevaar komt.

‍

Wat zijn de aanbevolen werkwijzen voor wachtwoorden?

Best practices voor wachtwoorden zijn de gewoontes en maatregelen die ervoor zorgen dat inloggegevens niet kunnen worden geraden, gekraakt, hergebruikt of gestolen. Ze hebben betrekking op hoe een wachtwoord wordt aangemaakt (lengte en willekeurigheid), hoe het wordt opgeslagen (een wachtwoordbeheerder in plaats van een plakbriefje, spreadsheet of browser), hoe het wordt beveiligd (MFA) en hoe het wordt gedeeld (alleen via beveiligde kanalen). Moderne richtlijnen van normalisatie-instanties zijn afgestapt van het opleggen van ingewikkelde regels voor tekens en frequente wijzigingen, en richten zich nu op lengte, uniekheid en een sterke tweede factor.

‍

Waarom wachtwoordbeveiliging belangrijker is dan ooit

De tactieken van aanvallers zijn veranderd. Tien jaar geleden was de grootste zorg dat iemand een zwak wachtwoord zou kraken door talloze combinaties te proberen. Tegenwoordig vormt het stelen van inloggegevens de grootste bedreiging: aanvallers komen via datalekken, phishing en ‘infostealer’-malware (software die stiekem opgeslagen wachtwoorden en inlogsessies van een geïnfecteerd apparaat verzamelt) aan werkende wachtwoorden, waarna ze zich eenvoudigweg aanmelden. Volgens het Verizon Data Breach Investigations Report zijn gestolen inloggegevens een van de meest voorkomende manieren waarop aanvallers hun eerste voet aan de grond krijgen, en IBM X-Force heeft gemeld dat bij een groot deel van de inbraken gebruik wordt gemaakt van geldige, gestolen inloggegevens in plaats van een exploit.

‍

Dit is om één praktische reden van belang. Als een aanvaller een wachtwoord kan kopen of stelen dat al werkt, biedt de sterkte van dat wachtwoord je geen bescherming meer. Wat je wel beschermt, is dat het wachtwoord uniek is (zodat er niets anders mee kan worden ontgrendeld) en dat er een tweede beveiligingsfactor tussen het gestolen wachtwoord en het account staat. Voor teams die onder toezicht staan en met gevoelige gegevens werken, is die verschuiving de belangrijkste reden voor de onderstaande werkwijzen.

‍

Wat maakt een wachtwoord sterk?

Drie kenmerken zorgen ervoor dat een wachtwoord sterk is: lengte, willekeurigheid en uniekheid. De lengte is het belangrijkst. Het Amerikaanse National Institute of Standards and Technology (NIST) beveelt in Special Publication 800-63B-4 een minimum van 15 tekens aan voor een wachtwoord dat als enige authenticatiefactor wordt gebruikt (en ondersteunt lengtes tot ten minste 64), terwijl het Cybersecurity and Infrastructure Security Agency (CISA) aanbeveelt om te streven naar ten minste 16 tekens. Willekeurigheid houdt in dat woorden uit het woordenboek en persoonlijke gegevens moeten worden vermeden. Uniekheid betekent dat voor elk account een ander wachtwoord moet worden gebruikt.

‍

Een handig alternatief voor een willekeurige tekenreeks is een wachtwoordzin: vier tot zeven losstaande woorden die aan elkaar zijn geregen. Dit is lang, moeilijk te kraken en veel gemakkelijker te onthouden. CISA geeft voorbeelden zoals een handvol losstaande woorden die tot één zin zijn samengevoegd.

‍

‍

Dit is het verschil in de praktijk:

‍

‍

Hoe maak je een sterk wachtwoord aan?

De snelste en meest betrouwbare methode is om een wachtwoordbeheerder er een voor je te laten genereren. Als je toch zelf een wachtwoord moet aanmaken (bijvoorbeeld het hoofdwachtwoord waarmee je de beheerder ontgrendelt), stel dan een wachtwoordzin samen:

‍

1. Kies vier tot zeven willekeurige woorden die niets met elkaar te maken hebben. Vermijd woorden die verband houden met jezelf, je werkgever of de datum.
2. Voeg ze samen tot één zin. Je kunt de spaties behouden of verwijderen.
3. Zorg voor meer lengte in plaats van meer complexiteit. Een langere zin is beter dan een korte reeks symbolen.
4. Zorg ervoor dat het op precies één plek wordt gebruikt en nergens anders.
5. Sla het nooit op in platte tekst. Leer het hoofdwachtwoord uit je hoofd en laat de beheerder de rest bewaren.

‍

Vermijd voorspelbare bouwstenen volledig. Aanvallers voeren woordenboekaanvallen uit (geautomatiseerd raden aan de hand van lijsten met veelgebruikte woorden en bekende wachtwoorden) en ‘credential stuffing’ (het hergebruiken van combinaties van gebruikersnamen en wachtwoorden die bij andere inbreuken zijn gelekt). Veelvoorkomende gelekte wachtwoorden zoals 123456, admin en password (die regelmatig in onderzoek van NordPass worden aangetroffen) worden onmiddellijk gekraakt, net als contextuele keuzes zoals de naam van een huisdier, de bedrijfsnaam of een seizoen en jaar.

‍

Gebruik geen wachtwoorden meer meerdere keren: de belangrijkste oplossing

Als je één gewoonte wilt veranderen, verander dan deze. Uit enquêtes die in beveiligingsonderzoek worden aangehaald, blijkt dat de meeste mensen wachtwoorden voor meerdere accounts hergebruiken (Forbes Advisor meldt cijfers rond de 78 procent), en uit de analyse van datalekken door SpyCloud blijkt dat een groot deel van de mensen die bij datalekken zijn blootgesteld, een eerder gelekt wachtwoord had hergebruikt. Hergebruik is wat een enkel lek verandert in een kettingreactie: één gehackte dienst geeft een aanvaller de sleutel tot je e-mail, en je e-mail is de weg om al het andere te resetten.

‍

Hieruit vloeien direct twee regels voort. Ten eerste: gebruik voor elke dienst één wachtwoord, zonder uitzonderingen. Ten tweede: houd je zakelijke en persoonlijke inloggegevens volledig gescheiden. Het wachtwoord van je streamingdienst hoort niets te maken te hebben met bedrijfssystemen, en een bedrijfswachtwoord mag nooit een persoonlijk account beveiligen. Beschouw deze scheiding als een beveiligingsmaatregel, niet als een kwestie van etiquette: het beperkt de omvang van de schade, zodat een inbreuk aan de ene kant niet kan overslaan naar de andere kant.

‍

Wat is een wachtwoordbeheerder, en zou je er een moeten gebruiken?

Een wachtwoordbeheerder is een applicatie die je wachtwoorden genereert, opslaat en automatisch invult in een versleutelde kluis. Je hoeft slechts één sterk hoofdwachtwoord te onthouden, en de beheerder onthoudt al het andere, inclusief lange, willekeurige wachtwoorden die je zelf nooit zou kunnen onthouden. Daarnaast signaleert het zwakke of dubbele wachtwoorden, zodat je deze kunt aanpassen. CISA en de meeste beveiligingsteams beschouwen een wachtwoordbeheerder als de eenvoudigste manier om voor elk account sterke, unieke wachtwoorden te gebruiken.

‍

Er zijn twee brede categorieën. Personal zijn bedoeld voor individuele gebruikers en kleine teams. Enterprise , vaak onderdeel van Privileged Access Management (PAM, het beveiligen en monitoren van hoogwaardige beheerdersgegevens), bieden gecentraliseerd beheer, toegangsbeperkingen, auditing en single sign-on (SSO, waarmee gebruikers zich één keer kunnen authenticeren om toegang te krijgen tot meerdere goedgekeurde applicaties). Een waarschuwing: vertrouw niet op de ingebouwde opslag van je browser voor belangrijke inloggegevens, aangezien wachtwoorden die in de browser zijn opgeslagen gemakkelijker kunnen worden geëxtraheerd uit een gehackt of gestolen apparaat dan die in een speciale, versleutelde wachtwoordbeheerder.

‍

Schakel meervoudige authenticatie (MFA) in

Bij meervoudige authenticatie (MFA) is naast uw wachtwoord een tweede identiteitsbewijs vereist, zoals een code uit een authenticatie-app, een hardwaresleutel of een biometrische controle. Aangezien een gestolen of geraden wachtwoord op zichzelf niet voldoende is om toegang te krijgen, blokkeert MFA het overgrote deel van de geautomatiseerde, grootschalige aanvallen. Zowel CISA als Microsoft bevelen MFA aan als basismaatregel.

‍

Niet alle factoren zijn even veilig. Waar dit mogelijk is, geef dan de voorkeur aan phishingbestendige methoden op basis van de FIDO2- en WebAuthn-standaarden, waaronder passkeys (cryptografische sleutels die aan uw apparaat zijn gekoppeld, het wachtwoord volledig vervangen en functioneren als een op zichzelf staande inlogmethode, niet alleen als tweede factor). Eenmalige codes die via sms worden verzonden, vormen de zwakste veelgebruikte factor, omdat ze kwetsbaar zijn voor SIM-swapping en aanvallen via het SS7-protocol, waarbij sms-berichten op netwerkniveau kunnen worden onderschept. Zowel NIST als CISA raden af om hierop te vertrouwen wanneer er sterkere opties beschikbaar zijn.

‍

Moet je je wachtwoorden regelmatig wijzigen?

Nee, niet volgens een vast schema, althans niet voor gewone gebruikersaccounts. Het NIST raadt nu af om gebruikers te verplichten hun wachtwoord periodiek te wijzigen, omdat gedwongen vervanging mensen ertoe aanzet voorspelbare patronen te gebruiken (Summer2025 wordt Summer2026) en hun wachtwoorden op te schrijven. Wijzig een wachtwoord in plaats daarvan wanneer daar een reden voor is: een bekende of vermoedelijke inbreuk, een melding van een datalek, of een inloggegeven waarvan je niet meer weet waar het gebleven is. Zelfs als je „vrij zeker bent dat het in orde is“, is een bevestigde blootstelling reden genoeg om het wachtwoord te wijzigen. (Beheerdersgegevens met hoge bevoegdheden vormen hierop een uitzondering en worden vaak routinematig gewijzigd.)

‍

Hoe je wachtwoorden veilig kunt delen

Soms is het echt nodig om inloggegevens te delen. In dat geval is het kanaal net zo belangrijk als het wachtwoord zelf. Stuur een wachtwoord nooit via Slack, e-mail of sms, want daar kan het in de doorzoekbare geschiedenis achterblijven, worden doorgestuurd of openbaar worden als een van beide accounts wordt gehackt. Deel het in plaats daarvan via de beveiligde deeloptie van een wachtwoordbeheerder, die de inloggegevens versleuteld houdt en je de mogelijkheid biedt om de toegang later in te trekken. Als een wachtwoord ooit via chat of e-mail wordt verzonden, beschouw het dan als openbaar en vervang het.

‍

Aanbevelingen voor wachtwoordbeheer in gereguleerde sectoren

Organisaties in de gezondheidszorg, de juridische sector en de financiële sector hebben een extra verplichting, omdat de betreffende accounts vaak gereguleerde gegevens bevatten. In de gezondheidszorg gaat het daarbij onder meer om beschermde gezondheidsinformatie (PHI, individueel identificeerbare gezondheidsgegevens). In kaders worden verwachtingen vastgelegd waaraan ‘credential hygiene’ bijdraagt. De HIPAA-beveiligingsregel vereist bijvoorbeeld toegangscontroles en authenticatiemaatregelen voor systemen die PHI verwerken, en unieke inloggegevens in combinatie met MFA zijn praktische manieren om aan die vereisten te voldoen. (HIPAA regelt ook relaties met leveranciers via een Business Agreement, of BAA, het contract dat een dienstverlener verantwoordelijk stelt voor de beveiliging van PHI.)

‍

Eén belangrijk onderscheid is goed om in gedachten te houden: compliance en beveiliging hangen samen, maar zijn niet hetzelfde. Een wachtwoordbeleid kan technisch gezien voldoen aan een verouderde checklist, terwijl er in de praktijk nog steeds reële risico’s bestaan, en een beleid dat streng lijkt (regelmatige verplichte wijzigingen, complexe regels voor tekens) kan in de praktijk zwakker zijn dan een eenvoudiger beleid dat is gebaseerd op lengte, uniekheid, een wachtwoordbeheerder en MFA. Het doel voor een team dat aan regelgeving moet voldoen, is een beleid dat zowel verdedigbaar is tegenover een auditor als daadwerkelijk effectief is tegen de manier waarop aanvallers tegenwoordig te werk gaan. Sterke, unieke inloggegevens, MFA, veilig delen en een versleutelde opslagplaats ondersteunen erkende controles binnen kaders zoals HIPAA, SOC 2 en ISO 27001, zonder dat dit ten koste gaat van de gebruiksvriendelijkheid.

‍

Veelgestelde vragen

‍

Wat is het veiligste soort wachtwoord?

Het veiligste wachtwoord is een lang, willekeurig wachtwoord dat door een wachtwoordbeheerder wordt gegenereerd en opgeslagen, omdat je het nooit hoeft te onthouden of in te voeren. Voor het enige wachtwoord dat je wel uit je hoofd moet leren, biedt een wachtwoordzin van vier tot zeven losstaande woorden zowel voldoende lengte als een goede onthoudbaarheid. In beide gevallen moet het wachtwoord uniek zijn voor één enkel account.

‍

Wat zijn de meest voorkomende wachtwoorden die je beter kunt vermijden?

Uit onderzoek naar gelekte inloggegevens, zoals de jaarlijkse analyse van NordPass, blijkt keer op keer dat dezelfde veelgebruikte wachtwoorden bovenaan staan: 123456, admin en password. Elk willekeurig woord uit het woordenboek, een naam of die van een huisdier, een bedrijfsnaam of een seizoen gevolgd door een jaartal valt in dezelfde valkuil. Dit zijn de eerste pogingen die een geautomatiseerde aanval onderneemt, dus vermijd ze ten koste van alles.

‍

Zijn wachtwoordbeheerders veilig?

Ja, voor bijna iedereen is een betrouwbare wachtwoordbeheerder veel veiliger dan de alternatieven, namelijk het hergebruiken van wachtwoorden, zwakke wachtwoorden en plakbriefjes. De kluis is versleuteld en je hoeft slechts één sterk hoofdwachtwoord (bij voorkeur een wachtwoordzin) te beveiligen met MFA ingeschakeld. Dankzij dit gebruiksgemak is het ook haalbaar om voor tientallen accounts sterke, unieke wachtwoorden te gebruiken.

‍

Hoe lang moet een wachtwoord zijn?

Hoe langer, hoe sterker. Het NIST adviseert minimaal 15 tekens voor een wachtwoord met één authenticatiefactor en ondersteunt lengtes tot ten minste 64 tekens, terwijl de CISA aanbeveelt om te streven naar ten minste 16 tekens. Een wachtwoordzin is een eenvoudige manier om die lengte te halen zonder iets te bedenken dat onmogelijk te onthouden is.

‍

Moet ik mijn wachtwoorden regelmatig wijzigen?

Voor gewone accounts geldt geen vast schema. Het NIST raadt verplichte periodieke wijzigingen af, omdat deze voorspelbare patronen in de hand werken. Wijzig een wachtwoord wanneer er een concrete aanleiding is, zoals een melding van een inbreuk of enig teken dat de veiligheid in het geding is.

‍

Is het veilig om wachtwoorden in mijn browser op te slaan?

Voor belangrijke accounts is een speciale wachtwoordbeheerder veiliger dan de ingebouwde opslagfunctie van je browser. Wachtwoorden die in de browser zijn opgeslagen, kunnen gemakkelijker worden achterhaald vanaf een apparaat dat verloren is geraakt, gestolen is of besmet is met malware. Maak, indien je dat al doet, alleen gebruik van de optie van de browser om inloggegevens op te slaan voor accounts die niet zo belangrijk zijn.

‍

Hoe kan ik een wachtwoord met een collega delen?

Gebruik de functie voor veilig delen in een wachtwoordbeheerder, waarmee de inloggegevens versleuteld blijven en je de toegang later kunt intrekken. Stuur ze niet via Slack, e-mail of sms. Als een wachtwoord ooit via een van die kanalen is verzonden, wijzig het dan.