Zijn je wachtwoorden echt veilig? Wat de meeste mensen fout doen
Laten we beginnen met een ongemakkelijke vraag: hoeveel van je online accounts delen hetzelfde wachtwoord?
Als het antwoord meer dan één is, ben je niet de enige. Onderzoek toont consequent aan dat de gemiddelde persoon wachtwoorden hergebruikt voor minstens vijf accounts. Veel mensen gebruiken hetzelfde wachtwoord, of kleine variaties ervan, voor tientallen diensten. Dit is een van de grootste beveiligingsrisico's waar de meeste mensen online mee te maken hebben, en het is volledig te voorkomen.
Het echte gevaar: datalekken en credential stuffing
De meeste mensen denken bij hacken aan iemand die specifiek hen als doelwit heeft, hun wachtwoord raadt of hun account bruteforced. De werkelijkheid is heel anders.
De overgrote meerderheid van accountcompromitteringen gebeurt via datalekken. Een bedrijf waarbij je een account hebt, wordt gehackt. Hun database met gebruikersnamen en wachtwoorden wordt gestolen en online gepubliceerd of verkocht op het dark web. Dit overkomt grote bedrijven met alarmerende regelmaat.
Hier wordt wachtwoordhergebruik rampzalig. Aanvallers nemen de gelekte e-mail-en-wachtwoordcombinaties en proberen ze automatisch op honderden andere diensten: Gmail, Amazon, bankensites, sociale media. Dit heet credential stuffing, en het werkt omdat zoveel mensen overal hetzelfde wachtwoord gebruiken.
Let op Als je hetzelfde wachtwoord hebt gebruikt voor een klein online forum dat is gehackt en voor je primaire e-mailaccount, heeft een aanvaller die de forumdatabase bemachtigt nu toegang tot je e-mail. Vanuit je e-mail kunnen ze wachtwoorden resetten op vrijwel elk ander account dat je bezit.
De meest voorkomende wachtwoordfouten
1. Wachtwoorden hergebruiken
Dit is de doodzonde van wachtwoordbeveiliging. Wanneer je een wachtwoord hergebruikt, brengt een lek bij één dienst elke dienst in gevaar waar je dat wachtwoord hebt gebruikt.
2. Zwakke wachtwoorden gebruiken
Ondanks jaren van bewustwordingscampagnes blijven de meest gebruikte wachtwoorden schokkend eenvoudig. "123456", "wachtwoord", "qwerty" en "admin" staan consequent bovenaan de lijsten. Deze kunnen in minder dan een seconde worden gekraakt.
3. Voorspelbare patronen
Veel mensen denken dat ze slim zijn met patronen zoals:
- Een "1" of "!" aan het einde van een veelgebruikt woord toevoegen
- Alleen de eerste letter hoofdletter maken
- Een basiswachtwoord met de sitenaam erachter gebruiken (bijv. "MijnWachtwoord-facebook")
- Letters vervangen door cijfers ("w@chtw00rd")
Aanvallers kennen al deze patronen. Hun tools zijn specifiek ontworpen om deze variaties te proberen. Een wachtwoord dat er complex uitziet voor een mens kan triviaal zijn voor een geautomatiseerd kraakprogramma.
4. Persoonlijke informatie gebruiken
Huisdiernamen, verjaardagen, trouwdagen, kindernamen, favoriete sportteams. Al deze informatie is vaak openbaar beschikbaar op sociale media. Als je wachtwoord "poesje2019" is en je Instagram vol staat met kattenfoto's met #PoesjeDeKat, ben je niet zo veilig als je denkt.
5. Gecompromitteerde wachtwoorden nooit wijzigen
Zelfs na melding van een datalek veranderen veel mensen hun wachtwoorden niet. Dit geeft aanvallers een verlengd tijdsvenster om de gelekte inloggegevens te exploiteren.
Wist je dat? Het grootste bekende datalek onthulde meer dan 3,2 miljard e-mail- en wachtwoordcombinaties in één enkel lek. Er is een aanzienlijke kans dat minstens één van je wachtwoorden is blootgesteld bij een eerder datalek, zelfs als je nooit op de hoogte bent gesteld.
Wat maakt een wachtwoord sterk?
Een sterk wachtwoord heeft drie belangrijke eigenschappen:
- Lengte. Dit is de belangrijkste factor. Een wachtwoord van 16 tekens is exponentieel moeilijker te kraken dan een van 8 tekens, ongeacht de complexiteit.
- Willekeurigheid. Het mag geen woordenboekwoorden, namen, datums of herkenbare patronen bevatten.
- Uniekheid. Het moet voor één account en slechts één account worden gebruikt.
Zo beïnvloedt wachtwoordlengte de kraaktijd voor een willekeurig wachtwoord:
| Lengte | Alleen kleine letters | Gemengd + cijfers + symbolen |
|---|---|---|
| 6 tekens | Direct | ~5 seconden |
| 8 tekens | ~2 minuten | ~8 uur |
| 12 tekens | ~200 jaar | ~34.000 jaar |
| 16 tekens | ~3 miljoen jaar | Praktisch onkraakbaar |
De conclusie is duidelijk: lengte verslaat complexiteit. Een willekeurig wachtwoord van 16 tekens met alleen kleine letters is veel sterker dan een wachtwoord van 8 tekens met hoofdletters, cijfers en symbolen.
De oplossing: wachtwoordmanagers en unieke wachtwoorden
De meest praktische manier om sterke, unieke wachtwoorden te gebruiken voor elk account is een wachtwoordmanager. Een wachtwoordmanager slaat al je wachtwoorden op in een versleutelde kluis, beveiligd met één hoofdwachtwoord. Je hoeft slechts één wachtwoord te onthouden; de manager doet de rest.
Populaire wachtwoordmanagers zijn onder andere Bitwarden (gratis en open source), 1Password en KeePass. De meeste browsers hebben ook ingebouwde wachtwoordmanagers die redelijk goed werken.
Hoe een wachtwoordmanager werkt
- Wanneer je een account aanmaakt of een wachtwoord wijzigt, genereert de manager een lang, willekeurig wachtwoord.
- Het wachtwoord wordt opgeslagen in je versleutelde kluis.
- Wanneer je een website bezoekt, vult de manager automatisch de inloggegevens in.
- Je hoeft de individuele wachtwoorden nooit te onthouden, te typen of zelfs maar te zien.
Onderneem vandaag nog actie: twee stappen die je nu kunt zetten
Je hoeft je hele digitale leven niet in één keer om te gooien. Begin met deze twee concrete acties.
Stap 1: Controleer of je wachtwoorden zijn gelekt
Ontdek allereerst of je bestaande wachtwoorden al zijn blootgesteld in bekende datalekken. Dit vertelt je welke accounts direct risico lopen.
Tip Je kunt nu gratis controleren of je wachtwoorden voorkomen in bekende lekdatabases: Controleer of je wachtwoord is gelekt. De controle wordt veilig uitgevoerd — je volledige wachtwoord wordt nergens naartoe verzonden.
Stap 2: Genereer sterke wachtwoorden voor je belangrijkste accounts
Begin met de accounts die het meest belangrijk zijn: je primaire e-mail, je bank en elk account dat betalingsgegevens opslaat. Vervang die wachtwoorden door sterke, willekeurig gegenereerde wachtwoorden.
Tip Gebruik onze gratis wachtwoordgenerator om direct sterke, unieke wachtwoorden te maken: Een veilig wachtwoord genereren. Je kunt lengte en tekentypen aanpassen aan de eisen van elke website.
Verder dan wachtwoorden: schakel tweefactorauthenticatie in
Zelfs het sterkste wachtwoord is niet genoeg als de dienst die het opslaat gehackt wordt. Tweefactorauthenticatie (2FA) voegt een tweede beveiligingslaag toe: na het invoeren van je wachtwoord moet je ook een code invoeren van je telefoon, een authenticator-app of een fysieke beveiligingssleutel.
Met 2FA ingeschakeld is een gelekt wachtwoord alleen niet voldoende voor een aanvaller om toegang te krijgen tot je account. Schakel het in op elk account dat het aanbiedt, vooral e-mail, bankieren en sociale media.
Let op SMS-gebaseerde 2FA (codes per sms) is beter dan niets, maar is kwetsbaar voor SIM-swapping-aanvallen. Authenticator-apps (Google Authenticator, Authy) of hardwaresleutels (YubiKey) zijn aanzienlijk veiliger.
Betere gewoonten opbouwen
Wachtwoordbeveiliging is geen eenmalige actie. Het is een doorlopende gewoonte:
- Gebruik een wachtwoordmanager voor alle accounts.
- Genereer een uniek wachtwoord voor elk nieuw account.
- Schakel 2FA in waar beschikbaar.
- Controleer periodiek op lekken, minstens een of twee keer per jaar.
- Wijzig gecompromitteerde wachtwoorden onmiddellijk wanneer je op de hoogte wordt gesteld van een lek.
Begin vandaag met het beveiligen van je accounts:
Beide tools zijn gratis, draaien in je browser en sturen je gegevens nergens naartoe.