Een zwak of hergebruikt wachtwoord is een van de meest gebruikte ingangen voor een gehackte website of e-mailaccount. Toch is een sterk wachtwoord makkelijker te maken en te onthouden dan de meeste mensen denken. In dit artikel lees je waar een sterk wachtwoord aan voldoet, waarom je een wachtwoordmanager gebruikt en hoe je controleert of een van je wachtwoorden is gelekt.
Waarom wachtwoorden zo vaak misgaan
Aanvallers raden wachtwoorden niet met de hand. Ze gebruiken software die miljoenen veelgebruikte wachtwoorden en eerder gelekte combinaties per seconde uitprobeert. Twee gewoontes maken dat gevaarlijk: korte, voor de hand liggende wachtwoorden, en hetzelfde wachtwoord op meerdere plekken. Lekt één dienst waar je account hebt, dan proberen aanvallers diezelfde combinatie automatisch op je e-mail, je hosting en je andere accounts. Dat heet credential stuffing.
Waar een sterk wachtwoord aan voldoet
Lengte gaat boven complexiteit
Een lang wachtwoord is moeilijker te kraken dan een kort wachtwoord met veel vreemde tekens. Mik op minimaal twaalf tekens, en liever meer. Een wachtwoordzin van meerdere willekeurige woorden, bijvoorbeeld tafel-koraal-schema-vuurtoren, is zowel sterk als te onthouden, terwijl iets als P@ss1 in een oogwenk gekraakt is.
Uniek per account
Gebruik voor elk account een ander wachtwoord. Zo blijft een lek bij één dienst beperkt tot die ene dienst en kan een aanvaller er niet mee doorlopen naar je andere accounts. Dit is de belangrijkste regel: liever een wat eenvoudiger wachtwoord dat overal anders is, dan één ijzersterk wachtwoord dat je overal hergebruikt.
Niet te herleiden
Vermijd namen, geboortedata, je bedrijfsnaam en woorden die iemand op je website of social media kan vinden. Ook voorspelbare varianten zoals een woord met een jaartal erachter zijn zwak.
Gebruik een wachtwoordmanager
Tientallen lange, unieke wachtwoorden onthouden lukt niemand. Een wachtwoordmanager lost dat op: het programma genereert voor elk account een sterk, willekeurig wachtwoord, bewaart ze versleuteld en vult ze automatisch in. Je hoeft dan nog maar één ding te onthouden: het hoofdwachtwoord van de manager zelf. Maak dat hoofdwachtwoord extra sterk en zet er twee-factor-authenticatie op.
Sla wachtwoorden niet op in een tekstbestand, een e-mail naar jezelf of een lijstje in je browser zonder hoofdwachtwoord. Een wachtwoordmanager bewaart alles versleuteld achter één sleutel en is daarmee veel veiliger.
Hergebruik nooit een wachtwoord
Wachtwoorden hergebruiken is de fout die de meeste schade aanricht. Eén lek werkt dan als een loper op al je accounts. Gebruik overal een ander wachtwoord, en verander in ieder geval de wachtwoorden van je belangrijkste accounts, zoals je e-mail, je hosting en je bank, zodra je hoort van een datalek bij een dienst die je gebruikt.
Controleer of een wachtwoord is gelekt
Bij grote datalekken komen e-mailadressen en wachtwoorden op internet terecht. Je kunt gratis controleren of jouw e-mailadres in een bekend datalek voorkomt, bijvoorbeeld via Have I Been Pwned. Staat je adres erin, verander dan direct het bijbehorende wachtwoord en elk ander account waar je datzelfde wachtwoord gebruikte. Veel wachtwoordmanagers waarschuwen je hier automatisch voor.
In het kort
| Wel doen | Niet doen |
|---|---|
| Minimaal twaalf tekens of een wachtwoordzin | Korte, voor de hand liggende wachtwoorden |
| Een uniek wachtwoord per account | Hetzelfde wachtwoord overal hergebruiken |
| Een wachtwoordmanager gebruiken | Wachtwoorden in een tekstbestand bewaren |
| Twee-factor-authenticatie aanzetten | Namen, data of bedrijfsnaam gebruiken |
Veelgestelde vragen
Hoe lang moet een wachtwoord zijn?
Minimaal twaalf tekens, en liever meer. Lengte weegt zwaarder dan het aantal speciale tekens. Een wachtwoordzin van vier willekeurige woorden is sterk en toch te onthouden.
Is een wachtwoordmanager wel veilig?
Ja. Je wachtwoorden staan versleuteld achter één hoofdwachtwoord dat alleen jij kent. Dat is aanzienlijk veiliger dan een handvol zwakke, hergebruikte wachtwoorden die je uit je hoofd probeert te onthouden. Zet wel twee-factor-authenticatie op de manager zelf.
Moet ik mijn wachtwoord regelmatig veranderen?
Alleen als er reden voor is, bijvoorbeeld na een datalek of een vermoeden dat iemand meekijkt. Een sterk, uniek wachtwoord hoef je niet zonder aanleiding periodiek te wijzigen; dat leidt vaak juist tot zwakkere varianten.
Wat doe ik als een wachtwoord gelekt is?
Verander direct het wachtwoord van het betrokken account en van elk ander account waar je datzelfde wachtwoord gebruikte. Zet waar mogelijk twee-factor-authenticatie aan als extra beveiliging.
Een sterk wachtwoord wordt nog sterker in combinatie met een tweede stap. Lees hoe dat werkt in twee-factor-authenticatie uitgelegd, of kijk in wachtwoord vergeten als je niet meer bij een account kunt. Kom je er niet uit, neem dan contact op.