Waarom Nederlanders extra kwetsbaar zijn
Nederland is een van de meest gedigitaliseerde landen ter wereld. We bankieren vrijwel allemaal online, regelen onze belastingen via Mijn Belastingdienst, loggen in bij de overheid met DigiD en hebben accounts bij tientallen webwinkels. Die hoge mate van digitalisering maakt ons ook kwetsbaarder. Elk account is een potentieel doelwit.
Uit onderzoek van het CBS blijkt dat jaarlijks honderdduizenden Nederlanders slachtoffer worden van cybercriminaliteit. Phishing, identiteitsfraude en accountovernames zijn de meest voorkomende vormen. En het begint bijna altijd bij een zwak of hergebruikt wachtwoord.
De impact kan groot zijn. Een gehackt DigiD-account geeft criminelen toegang tot je belastinggegevens, je BSN-nummer en je persoonlijke overheidszaken. Een gehackte e-mail is nog erger: daarmee kunnen ze wachtwoorden van al je andere accounts resetten. En bij een gehackt bankaccount is de financiele schade direct voelbaar, al vergoeden banken in veel gevallen de schade als je kunt aantonen dat je niet nalatig bent geweest.
Het probleem is dat de meeste mensen weten dat sterke wachtwoorden belangrijk zijn, maar het in de praktijk te lastig vinden om voor elk account een uniek, sterk wachtwoord te onthouden. En dat is precies waar deze gids bij helpt.
Wat maakt een wachtwoord sterk
De sterkte van een wachtwoord wordt bepaald door twee factoren: lengte en willekeurigheid. Lengte is veruit het belangrijkste. Elk extra teken vermenigvuldigt het aantal mogelijke combinaties exponentieel. Een wachtwoord van 12 tekens is niet twee keer zo sterk als een van 10 tekens, maar honderden keren sterker.
Een veelgehoord advies is om letters, cijfers en speciale tekens te mixen. Dat helpt, maar minder dan je denkt als het wachtwoord zelf kort is. Het wachtwoord 'P@ssw0rd!' bevat alle gewenste tekensoorten maar staat in elke woordenlijst van hackers. Het wachtwoord 'fietsenstalling-regen-paraplu-koffie' bevat alleen kleine letters en streepjes, maar is door de lengte en willekeurigheid van de woordcombinatie vele malen sterker.
Dit heet de wachtwoordzinmethode: combineer vier of meer willekeurige, niet-gerelateerde woorden tot een lange zin. Het is makkelijk te onthouden en bijna onmogelijk te kraken. Vermijd wel bekende uitdrukkingen, songteksten of voor de hand liggende combinaties.
Voor accounts die je niet zelf hoeft te onthouden, wat de meeste accounts zijn als je een wachtwoordmanager gebruikt, is een willekeurig gegenereerd wachtwoord van 20 of meer tekens het beste. Een wachtwoordgenerator maakt deze in een fractie van een seconde aan. Gebruik bij het genereren altijd hoofdletters, kleine letters, cijfers en speciale tekens voor maximale sterkte.
Wachtwoordmanagers: welke en waarom
Een wachtwoordmanager is software die al je wachtwoorden opslaat in een versleutelde kluis. Je onthoudt nog maar een wachtwoord: het hoofdwachtwoord van de kluis. De manager genereert, bewaart en vult automatisch unieke wachtwoorden in voor al je accounts.
De belangrijkste wachtwoordmanagers zijn Bitwarden, 1Password, KeePass en de ingebouwde managers van browsers als Chrome en Safari. Bitwarden is open source en biedt een uitstekende gratis versie. Het is geschikt voor de meeste mensen en werkt op alle platforms. 1Password is een betaalde oplossing die uitblinkt in gebruiksgemak en gezinsabonnementen. KeePass slaat alles lokaal op, wat aantrekkelijk is voor wie niets in de cloud wil, maar is minder gebruiksvriendelijk.
De ingebouwde managers van browsers zijn de afgelopen jaren flink verbeterd. Apple's iCloud Sleutelhanger en Google Wachtwoordbeheer zijn betrouwbaar en handig als je volledig binnen dat ecosysteem werkt. Het nadeel is dat ze minder goed werken als je zowel Apple als Windows of Android gebruikt.
Bij het kiezen van een wachtwoordmanager is het belangrijkste criterium dat je hem daadwerkelijk gaat gebruiken. De beste manager is degene die naadloos in je dagelijkse routine past. Begin met je vijf belangrijkste accounts, en breid geleidelijk uit. Binnen een maand heb je het meeste overgeheveld zonder dat het overweldigend voelt.
Kies een sterk hoofdwachtwoord van minimaal 16 tekens, bij voorkeur een wachtwoordzin die je kunt onthouden. Dit is het enige wachtwoord dat je echt moet onthouden, dus neem de tijd om een goede te verzinnen.
Key Takeaway
Een wachtwoordmanager is software die al je wachtwoorden opslaat in een versleutelde kluis.
Tweefactorauthenticatie instellen
Tweefactorauthenticatie (2FA) voegt een extra beveiligingslaag toe bovenop je wachtwoord. Zelfs als iemand je wachtwoord bemachtigt, kan diegene niet inloggen zonder de tweede factor. Er zijn verschillende vormen van 2FA, en ze zijn niet allemaal even veilig.
De meest voorkomende vorm is een eenmalige code via sms. Dit is beter dan niets, maar kwetsbaar voor sim-swapping: een techniek waarbij criminelen je telefoonnummer overnemen door je provider te misleiden. In Nederland is dit minder gebruikelijk dan in de VS, maar het komt voor.
Veiliger is een authenticatie-app zoals Google Authenticator, Microsoft Authenticator of Authy. Deze apps genereren elke 30 seconden een nieuwe code op je telefoon. De code wordt lokaal berekend en verstuurd niets via het netwerk, wat het immuun maakt voor onderschepping.
De veiligste optie is een fysieke beveiligingssleutel zoals een YubiKey. Je steekt de sleutel in je computer of houdt hem tegen je telefoon om in te loggen. Dit is vrijwel onkraakbaar omdat de aanvaller fysiek je sleutel moet hebben.
Zet 2FA in ieder geval aan op je e-mail (dit is je belangrijkste account), je DigiD, je bankaccounts en je wachtwoordmanager zelf. Bewaar de herstelcodes die je krijgt bij het instellen op een veilige plek. Als je je telefoon verliest en geen herstelcodes hebt, kun je permanent buitengesloten raken.
Veelgemaakte fouten en hoe je ze vermijdt
De grootste fout is wachtwoordhergebruik. Uit onderzoek blijkt dat meer dan 60% van de Nederlanders hetzelfde wachtwoord gebruikt voor meerdere accounts. Als een van die diensten gehackt wordt, en dat gebeurt regelmatig, zijn al je accounts kwetsbaar. Een wachtwoordmanager lost dit probleem volledig op.
De tweede fout is te korte wachtwoorden. Veel websites accepteren nog steeds wachtwoorden van 8 tekens. Dat is het absolute minimum en eigenlijk al onvoldoende met de huidige rekenkracht van computers. Kies altijd voor minimaal 14 tekens, en liever 20 of meer bij accounts waar je een wachtwoordmanager voor gebruikt.
De derde fout is wachtwoorden opschrijven op geeltjes, in een notitieboekje of in een onversleuteld bestand op je computer. Dit is uitsluitend acceptabel als het gaat om het hoofdwachtwoord van je wachtwoordmanager, opgeslagen op een veilige fysieke plek als een kluis thuis.
De vierde fout is het niet updaten van wachtwoorden na een datalek. Websites als haveibeenpwned.com laten je controleren of je e-mailadres voorkomt in bekende datalekken. Controleer dit regelmatig en wijzig het wachtwoord van getroffen accounts direct.
Tot slot: deel nooit je wachtwoord via e-mail, WhatsApp of sms, ook niet met vertrouwde personen. Gebruik in plaats daarvan de deelfunctie van je wachtwoordmanager, die het wachtwoord versleuteld deelt zonder dat het in een chatgeschiedenis terechtkomt.
Key Takeaway
De grootste fout is wachtwoordhergebruik.
Een praktisch stappenplan voor vandaag
Je hoeft niet alles in een keer te doen. Hier is een realistisch plan dat je wachtwoordbeveiliging stap voor stap naar een hoog niveau brengt.
Vandaag: installeer een wachtwoordmanager. Bitwarden is gratis en werkt op alle apparaten. Bedenk een sterk hoofdwachtwoord van minimaal 16 tekens met de wachtwoordzinmethode.
Deze week: wijzig de wachtwoorden van je vijf belangrijkste accounts. Dat zijn je e-mail, je DigiD, je bank, je Apple ID of Google-account en je meest gebruikte webwinkel. Genereer voor elk een uniek wachtwoord van minimaal 20 tekens via de wachtwoordgenerator.
Deze maand: zet tweefactorauthenticatie aan op alle accounts die het ondersteunen. Begin met e-mail en DigiD. Installeer een authenticatie-app en sla de herstelcodes veilig op.
Komende drie maanden: werk geleidelijk al je overige accounts bij. Elke keer als je ergens inlogt en merkt dat het wachtwoord nog niet in je manager staat, is dat het moment om het te vervangen door een sterk, uniek wachtwoord.
Controleer elk half jaar je wachtwoordmanager op zwakke of hergebruikte wachtwoorden. De meeste managers hebben een ingebouwde gezondheidsscore die dit automatisch bijhoudt. Test ook regelmatig de sterkte van je belangrijkste wachtwoorden met een wachtwoordsterktemeter om er zeker van te zijn dat ze nog voldoen aan de huidige normen.