Veilige WiFi voor uw Bedrijf: Meer Dan Alleen een Wachtwoord
Uw WiFi-netwerk is vaak de achterdeur waar aanvallers naar binnen wandelen. Eén gedeeld wachtwoord dat al drie jaar hetzelfde is, laptops van bezoekers rechtstreeks op uw bedrijfsnetwerk. Herkenbaar? Hoog tijd om uw WiFi beveiliging bedrijf professioneel aan te pakken.
1. Waarom bedrijfs-WiFi zo vaak onveilig is
De meeste KMO's installeren WiFi zoals thuis: een router, een wachtwoord, en klaar. Dat volstaat voor een gezin, maar niet voor een professionele omgeving.
Het probleem zit in de gewoontes: wachtwoorden worden gedeeld met bezoekers, leveranciers en tijdelijke medewerkers. Niemand weet nog welke toestellen er precies verbonden zijn. En het wachtwoord? Dat is al vijf jaar hetzelfde.
Geen segmentatie
Gasten, medewerkers én printers zitten op hetzelfde netwerk. Eén geïnfecteerd toestel kan alles bereiken.
Gedeelde wachtwoorden
Iedereen kent het wachtwoord. Ex-medewerkers, leveranciers, bezoekers — geen controle over wie toegang heeft.
Standaardinstellingen
Routers staan nog op fabrieksinstellingen. Standaard-logingegevens zijn online vindbaar in seconden.
2. WPA2 vs WPA3: het verschil uitgelegd
WPA (Wi-Fi Protected Access) is het beveiligingsprotocol voor uw WiFi-verbinding. WPA2 is de huidige standaard in de meeste bedrijven. WPA3 is de opvolger — en het verschil is substantieel.
| Kenmerk | WPA2 | WPA3 |
|---|---|---|
| Brute-force bescherming | ❌ Kwetsbaar | ✅ SAE blokkeert offline aanvallen |
| Open netwerk encryptie | ❌ Geen | ✅ Enhanced Open (OWE) |
| Forward Secrecy | ❌ Nee | ✅ Ja — opgenomen data niet ontsleutelbaar |
| KRACK-kwetsbaarheid | ❌ Aanwezig | ✅ Opgelost |
| Toestelcompatibiliteit | ✅ Universeel | ⚠️ Vereist recente hardware |
3. Gescheiden netwerken: bedrijf, gasten en IoT
Netwerksegmentatie is de belangrijkste stap in WiFi-beveiliging. Door uw netwerk op te splitsen, beperkt u de schade als één toestel gecompromitteerd wordt.
Bedrijfsnetwerk
Alleen vertrouwde, beheerde toestellen. Toegang tot servers, bestanden en interne applicaties. Sterk beveiligd met WPA3 of 802.1X.
Gastennetwerk
Enkel internettoegang. Volledig geïsoleerd van bedrijfsdata. Eigen SSID, eigen wachtwoord, eigen VLAN.
IoT-netwerk
Printers, camera's, thermostaten, slimme schermen. Volledig afgeschermd van andere netwerken. Geen toegang tot bedrijfsdata.
4. SSID best practices: zichtbaar of verborgen?
Uw SSID is de naam van uw WiFi-netwerk. Veel beheerders denken dat een verborgen SSID extra veiligheid biedt. Dat klopt niet.
Mythen over SSID
- Verborgen SSID = onzichtbaar netwerk ❌
- Elke WiFi-scanner vindt het in seconden
- Complexe naam = moeilijker te hacken ❌
- Bedrijfsnaam als SSID = geen risico ❌
Correcte aanpak
- Laat SSID zichtbaar — maakt beheer eenvoudiger
- Gebruik neutrale naam (niet bedrijfsnaam + locatie)
- Aparte SSID per netwerksegment
- Beveilig met WPA3 — dat is echte beveiliging
5. Wachtwoorden: hoe en wanneer wijzigen?
Een sterk WiFi-wachtwoord bestaat uit minimaal 16 tekens, een mix van letters, cijfers en symbolen, en bevat geen woordenboekwoorden of bedrijfsnamen.
Wissel bij personeelswissels
Elke keer dat iemand het bedrijf verlaat die het wachtwoord kende, is een wisseling verplicht. Dit geldt ook voor freelancers, schoonmaakpersoneel en leveranciers.
Wissel na een incident
Bij enige twijfel over een beveiligingsincident — een verdacht toestel, een gestolen laptop — wissel onmiddellijk.
Jaarlijkse rotatie als minimum
Als basisregel: wissel het bedrijfswachtwoord minstens één keer per jaar. Plan dit in als terugkerende taak.
Overweeg 802.1X voor schaalbaarheid
Bij meer dan 10 medewerkers is een gedeeld wachtwoord niet schaalbaar. 802.1X geeft elke medewerker persoonlijke toegangsgegevens.
6. 802.1X: enterprise authenticatie voor WiFi
802.1X is de enterprise-standaard voor netwerkauthenticatie. In plaats van één gedeeld wachtwoord, authenticeert elk toestel of elke gebruiker zich individueel — via gebruikersnaam/wachtwoord of een digitaal certificaat.
Dit biedt grote voordelen: u kunt per medewerker toegang intrekken, audits uitvoeren wie wanneer verbonden was, en automatisch bedrijfstoestellen vertrouwen terwijl privé-toestellen worden geweigerd.
Vereisten voor 802.1X
Een RADIUS-server (bijv. Microsoft NPS, Cisco ISE of FreeRADIUS)
Access points die 802.1X ondersteunen (vrijwel alle professionele modellen)
Een directory (Active Directory of Azure AD) voor gebruikersbeheer
Eventueel een PKI-infrastructuur voor certificaatuitgifte
6b. DPSK: Dynamic Pre-Shared Key — de gulden middenweg voor KMO's
Persoonlijke WiFi-sleutels zonder RADIUS-server of PKI-infrastructuur.
802.1X is de ideale oplossing voor grote organisaties, maar voor veel KMO's is het implementatietraject te zwaar: een RADIUS-server opzetten, certificaten uitrollen, alles beheren. DPSK (Dynamic Pre-Shared Key) biedt een slimme tussenoplossing.
Met DPSK krijgt elke medewerker, elk toestel of elke groep een unieke WiFi-sleutel — maar zonder de complexiteit van 802.1X. De toegangspunten beheren alles centraal via de cloud. U ziet exact wie wanneer verbonden is, en u kunt één sleutel intrekken zonder de rest te verstoren.
PSK vs. DPSK vs. 802.1X — wanneer kiest u wat?
| Kenmerk | PSK (klassiek) | DPSK | 802.1X |
|---|---|---|---|
| Uniek per gebruiker/toestel | ❌ Iedereen hetzelfde | ✅ Ja | ✅ Ja |
| Eén sleutel intrekken | ❌ Heel wachtwoord wijzigen | ✅ Enkel die sleutel | ✅ Ja |
| RADIUS-server nodig | ❌ Nee | ❌ Nee | ✅ Verplicht |
| Certificaten uitrollen | ❌ Nee | ❌ Nee | ✅ Aanbevolen |
| Zichtbaarheid per gebruiker | ❌ Geen | ✅ Wie, wanneer, hoe lang | ✅ Volledige audit trail |
| VLAN-toewijzing per gebruiker | ❌ Nee | ✅ Per sleutel mogelijk | ✅ Ja |
| Complexiteit setup | Zeer laag | Laag–gemiddeld | Hoog |
| Geschikt voor KMO | Tot ~10 personen | ✅ 10–200 personen | Middelgrote org.+ |
Hoe werkt DPSK in de praktijk?
Beheerder maakt sleutels aan
Via de cloud-console (bijv. Cisco Meraki, HPE Aruba Central, Ruckus) maakt u per medewerker, afdeling of toestelgroep een unieke sleutel aan. Elke sleutel ziet er uit als een gewoon WiFi-wachtwoord.
Sleutel bezorgen aan de medewerker
De sleutel wordt via e-mail, QR-code of een portaal aan de medewerker bezorgd. De medewerker verbindt zijn toestel eenmalig met die sleutel — daarna werkt het automatisch.
Access point herkent de sleutel
Het access point valideert de unieke sleutel en weet direct: dit is medewerker X, afdeling Sales — en plaatst het toestel automatisch in het juiste VLAN met de juiste rechten.
Toegang intrekken in seconden
Verlaat iemand het bedrijf? U blokkeert zijn sleutel in de console. Alle andere medewerkers merken niets — hun sleutel blijft geldig. Geen massale wachtwoordwissel meer.
Waarom DPSK bijzonder interessant is voor KMO's
Eenvoudig beheer bij personeelswissels
Nieuwe medewerker = nieuwe sleutel aanmaken. Vertrekker = sleutel blokkeren. Geen impact op de rest van het team.
Zichtbaarheid per gebruiker
In uw dashboard ziet u exact welke sleutel wanneer verbonden was, hoelang, en hoeveel data er doorheen ging.
VLAN-toewijzing per sleutel
Verkopers op VLAN Sales, stagiairs op VLAN Guests, IoT-toestellen op VLAN IoT — automatisch, op basis van de gebruikte sleutel.
Geen complexe infrastructuur
Geen RADIUS-server, geen PKI, geen certificaatbeheer. DPSK werkt via uw bestaande managed access points en een cloud-console.
Praktijkvoorbeeld: aannemers en tijdelijke medewerkers
Een aannemer werkt drie maanden in uw kantoor. Met DPSK krijgt hij een tijdelijke sleutel die automatisch vervalt op zijn laatste werkdag. Hij belandt automatisch op een beperkt netwerk — enkel internet en de projectschijf die hij nodig heeft. Na zijn vertrek: geen actie vereist. De sleutel vervalt vanzelf.
7. Gastennetwerk: hoe correct opzetten
Een gastennetwerk is geen luxe maar een noodzaak. Bezoekers, leveranciers en klanten die internet nodig hebben, mogen nooit rechtstreeks op uw bedrijfsnetwerk. Zo zet u het correct op:
Aparte SSID en VLAN
Maak een volledig apart netwerk aan op een eigen VLAN. Verkeer van gasten mag het bedrijfsnetwerk nooit bereiken.
Bandbreedte beperken
Stel een maximale bandbreedte in per gebruiker (bijv. 10–20 Mbit/s). Zo vertraagt één bezoeker uw hele bedrijf niet.
DNS-filtering activeren
Blokkeer bekende malware-domeinen ook op het gastennetwerk. U bent medeaansprakelijk voor wat via uw netwerk gebeurt.
Eigen wachtwoord — regelmatig wijzigen
Het gastennetwerk heeft een eigen wachtwoord, apart van het bedrijfsnetwerk. Wissel het maandelijks of na elk bezoek van externe partijen.
Client isolation inschakelen
Zorg dat toestellen op het gastennetwerk elkaar niet kunnen zien. Dit voorkomt dat een geïnfecteerde laptop andere gasten aanvalt.
8. RADIUS en certificaatgebaseerde authenticatie
RADIUS (Remote Authentication Dial-In User Service) is het protocol achter 802.1X. Het fungeert als poortwachter: alleen toestellen met geldige inloggegevens of een geldig certificaat krijgen toegang.
Gebruikersnaam + wachtwoord
Medewerkers loggen in met hun bedrijfsaccount (Active Directory of Azure AD). Eenvoudig beheerbaar, maar kwetsbaar als wachtwoorden zwak zijn.
Certificaatgebaseerd (aanbevolen)
Best practiceElk toestel krijgt een uniek digitaal certificaat. Geen wachtwoorden nodig. Alleen door de organisatie uitgegeven toestellen kunnen verbinden — automatisch.
9. WiFi en BYOD: privé-toestellen op het netwerk
BYOD (Bring Your Own Device) — medewerkers die hun privé-smartphone of -laptop gebruiken voor werk — is een beveiligingsuitdaging. U heeft geen controle over de patching, de apps of de beveiliging van die toestellen.
10. IoT-toestellen isoleren: printers, camera's en thermostaten
IoT-toestellen (Internet of Things) — printers, IP-camera's, slimme schermen, thermostaten — zijn notoir slecht beveiligd. Ze ontvangen zelden updates, gebruiken standaardwachtwoorden en draaien oude firmware.
Plaatst u ze op uw bedrijfsnetwerk, dan vormt elk IoT-apparaat een potentieel toegangspunt voor aanvallers. De oplossing: een apart IoT-VLAN dat volledig geïsoleerd is.
Printers en MFP's
Wachtwoord wijzigen, firmware updaten, en op eigen VLAN plaatsen. Beperk toegang tot enkel de toestellen die moeten afdrukken.
IP-camera's
Nooit op het bedrijfsnetwerk. Een gecompromitteerde camera kan als afluisterpunt dienen voor uw interne communicatie.
Slimme thermostaten / schermen
Consumenten-IoT is zelden enterprise-klaar. Isoleer op een apart netwerk met internettoegang maar zonder toegang tot bedrijfsdata.
Algemene regel
Elk toestel dat u niet actief beheert en patcht, hoort niet op uw bedrijfsnetwerk. Bij twijfel: isoleer.
11. Monitoring: detecteer verdachte toestellen
Weet u welke toestellen er op dit moment verbonden zijn met uw WiFi? De meeste KMO's hebben geen idee. Dat is een probleem: u kunt niet beschermen wat u niet ziet.
Toestellen inventariseren
Gebruik uw access point-console of een netwerkscannen (bijv. Nmap, Fing) om alle verbonden toestellen in kaart te brengen. Alles onbekend? Dat verdient opvolging.
NAC: Network Access Control
Een NAC-systeem controleert automatisch of een toestel voldoet aan uw beveiligingsbeleid vooraleer het toegang krijgt. Te integreren met 802.1X.
Logboeken raadplegen
Professionele access points houden bij wie wanneer verbonden was. Activeer logging en sla ze minstens 3 maanden bij.
Alerting instellen
Laat uw systeem u waarschuwen bij een nieuw onbekend toestel of een ongewone hoeveelheid data van één toestel.
12. Rogue access points herkennen
Een rogue access point is een ongeautoriseerd WiFi-toegangspunt dat aan uw netwerk is gekoppeld — door een medewerker die thuis een extra router aansloot, of door een aanvaller die een "evil twin" van uw netwerk opzet.
Evil twin-aanval
Een aanvaller plaatst een access point met dezelfde SSID als uw bedrijfsnetwerk maar met een sterkere signaal. Toestellen verbinden automatisch — en al hun verkeer loopt via de aanvaller. Dit is een man-in-the-middle aanval op netwerkniveau.
13. WiFi-audit: check uw eigen setup
Gebruik deze checklist om uw huidige WiFi-setup te evalueren. Hoe meer vakjes u kunt afvinken, hoe beter uw beveiliging.
Encryptie en authenticatie
Netwerksegmentatie
Toestelbeheer
Geavanceerde maatregelen