Wachtwoordbeheer voor Bedrijven: Een Praktische Gids
Sticky notes op monitors, Excel-lijstjes met wachtwoorden, 'Welkom2024!' als standaardwachtwoord — herkent u het? Wachtwoordbeheer is een van de grootste blinde vlekken in Belgische KMO's. Zo pakt u het professioneel aan.
De harde cijfers: zwakke wachtwoorden als oorzaak #1
81% van alle datalekken is te herleiden naar gestolen of zwakke wachtwoorden (Verizon DBIR 2024). Toch gebruikt meer dan de helft van de medewerkers hetzelfde wachtwoord voor meerdere accounts — privé én professioneel.
Het gevolg: één gelekt wachtwoord van een webshop kan uw bedrijfsnetwerk openzetten. Niet hypothetisch — dit gebeurt dagelijks bij Belgische KMO's.
81%
van datalekken door zwakke of gestolen wachtwoorden (Verizon DBIR 2024)
6 sec
heeft een hacker nodig om een wachtwoord van 8 tekens te kraken met brute force
55%
van medewerkers hergebruikt wachtwoorden over meerdere accounts
Moderne wachtwoord-richtlijnen volgens NIST 2024
Het Amerikaanse NIST (National Institute of Standards and Technology) publiceerde in 2024 bijgewerkte richtlijnen die de wachtwoordsecurity volledig herdenken. Veel van wat u altijd deed, klopt niet meer.
Verouderd — stop hiermee
- Verplicht wijzigen elke 30–90 dagen
- Verplicht speciale tekens (!@#$)
- Maximale wachtwoordlengte beperken
- Wachtwoorden opslaan in een document
- Hints bij wachtwoorden instellen
Moderne aanpak
- Lange wachtwoorden (min. 12–15 tekens)
- Passphrases van meerdere woorden
- Alleen wijzigen bij vermoeden van lek
- Password manager verplicht stellen
- MFA als verplichte tweede laag
Lengte boven complexiteit: waarom?
'P@ssw0rd1' voelt veilig aan — maar is het niet. Het is een van de meest voorkomende patronen in gelekte wachtwoorddatabases. Hackers kennen alle substituties: a→@, o→0, i→!.
Een lang wachtwoord is exponentieel moeilijker te kraken dan een kort maar 'complex' wachtwoord. Dit is wiskunde, geen mening.
| Wachtwoord | Lengte | Kraaktijd | Beoordeling |
|---|---|---|---|
| P@ssw0rd | 8 tekens | 6 seconden | ❌ Gevaarlijk |
| Welkom2024! | 10 tekens | 3 minuten | ❌ Onvoldoende |
| K7#mQpL!x2 | 10 tekens | 1 uur | ⚠️ Zwak |
| appel-bureau-fiets-zee | 22 tekens | 34.000 jaar | ✅ Sterk |
| Mijn-Hond-Heet-Rex-2024 | 23 tekens | Miljoenen jaren | ✅ Uitstekend |
Indicatieve kraaktijden bij brute force aanval met moderne hardware.
Passphrases: lang, sterk én te onthouden
Een passphrase is een combinatie van 4 of meer willekeurige woorden, eventueel verbonden met een scheidingsteken. Ze zijn lang (dus veilig), makkelijk te onthouden en minder frustrerend voor medewerkers.
Voorbeelden van sterke passphrases:
Tip voor medewerkers: Kies woorden die niets met elkaar te maken hebben. "hond-kat-vogel-vis" is zwakker dan "tafel-regen-kopje-maan" — te voorspelbare combinaties zijn een zwakheid.
Password managers: de enige werkbare oplossing
Een gemiddelde medewerker beheert 70 tot 80 wachtwoorden. Het menselijke brein kan dat niet bijhouden — en dat zou het ook niet moeten. Een password manager slaat al uw wachtwoorden veilig op, vult ze automatisch in en genereert sterke wachtwoorden.
U hoeft nog slechts één sterk hoofdwachtwoord te onthouden. De rest doet de tool.
Bitwarden
Open-sourceOpen-source en transparant. Gratis tier voor individuelen, betaalbaar voor teams. Zelf te hosten of via de cloud. Populair bij technisch ingestelde teams.
Gratis / €3/gebruiker/maand
1Password Teams
Beste UXUitstekende gebruikerservaring op alle platformen. Sterke integraties met SSO-providers. Ideaal voor niet-technische medewerkers die snel aan de slag willen.
€4/gebruiker/maand
Keeper Security
EnterpriseUitgebreide enterprise-functies: rolgebaseerde toegang, compliance-rapporten, dark web monitoring. Sterkste keuze voor grotere KMO's met compliancevereisten.
€4,50/gebruiker/maand
Niet aanbevolen: wachtwoorden opslaan in uw browser (Chrome, Edge) biedt onvoldoende zakelijke controle, geen team-sharing en geen auditlogs. Gebruik een dedicated zakelijke password manager.
Enterprise password management: gedeelde wachtwoorden
Veel KMO's delen wachtwoorden via WhatsApp, e-mail of een gedeeld Word-document. Dit is een van de grootste beveiligingsrisico's — u verliest elk overzicht van wie toegang heeft tot wat.
Zakelijke password managers lossen dit op met gedeelde kluizen: u deelt de toegang, maar nooit het wachtwoord zelf. Wanneer een medewerker het bedrijf verlaat, verwijdert u eenvoudig zijn toegang.
Single Sign-On (SSO): één inlog voor alles
SSO (Single Sign-On) laat uw medewerkers inloggen op alle bedrijfsapplicaties met één set credentials — doorgaans hun Microsoft 365- of Google-account.
Het resultaat: minder wachtwoorden om te beheren, minder phishing-kansen en een betere gebruikerservaring. Wanneer een medewerker vertrekt, schakelt u één account uit en verliest hij toegang tot alles in één keer.
Voordelen voor beveiliging
- Eén sterk wachtwoord + MFA i.p.v. tientallen zwakke
- Centraal access management
- Directe revocatie bij uitdiensttreding
- Auditlog van alle logins
Voordelen voor gebruikers
- Geen wachtwoord-moeheid meer
- Sneller inloggen op applicaties
- Minder help desk-tickets
- Betere productiviteit
Microsoft 365 gebruikers: Microsoft Entra ID (Azure AD) biedt ingebouwde SSO voor honderden applicaties. Acom configureert dit als onderdeel van een volledig Modern Workplace-traject.
MFA: de verplichte tweede factor
Een sterk wachtwoord is niet genoeg als het lekt. Multi-Factor Authenticatie (MFA) voegt een tweede verificatielaag toe: ook al kent een hacker uw wachtwoord, zonder uw telefoon of hardware-sleutel komt hij niet verder.
Microsoft berekende dat MFA 99,9% van alle accountaanvallen stopt. Toch heeft slechts 26% van de Belgische KMO's MFA volledig uitgerold. Het is de laaghangende vrucht van elke wachtwoordstrategie.
Authenticator-app (aanbevolen)
✅ SterkMicrosoft Authenticator, Google Authenticator of Authy. Genereert een 6-cijferige code die elke 30 seconden verandert. Gratis en gebruiksvriendelijk.
SMS-code
⚠️ AanvaardbaarEenvoudig maar vatbaar voor SIM-swapping aanvallen. Beter dan niets, maar niet de voorkeursmethode voor zakelijk gebruik.
Hardware security key (YubiKey)
✅✅ SterksteFysieke USB-sleutel die u indrukt bij het inloggen. Sterkste bescherming, immuun voor phishing. Ideaal voor admins en C-level.
E-mailcode
❌ Niet aanbevolenKwetsbaar als de e-mail zelf gecompromitteerd is. Vermijd als MFA-methode voor uw hoofd e-mailaccount.
Lees meer in ons uitgebreid artikel over MFA implementeren in uw KMO →
Een werkbaar wachtwoordbeleid opstellen
Een wachtwoordbeleid is alleen effectief als medewerkers het ook kunnen naleven. Te strikt = omzeild. Te losjes = onveilig. Dit zijn de bouwstenen van een realistisch beleid voor een Belgische KMO:
Minimale lengte: 12 tekens
Stel 12 tekens als minimum in voor gewone accounts, 16+ voor beheerders en gedeelde accounts. Geen maximale lengte opleggen.
Password manager verplicht
Stel een bedrijfsbrede password manager ter beschikking. Betaal de licentie als bedrijf — dit verlaagt de drempel tot nul.
MFA verplicht voor alle accounts
Geen uitzondering voor 'het is maar tijdelijk' of 'die persoon heeft geen gevoelige data'. MFA geldt voor iedereen.
Geen wachtwoorddeling via chat of mail
Gedeelde credentials lopen altijd via de password manager. Nooit via WhatsApp, Teams of e-mail.
Wachtwoord wijzigen bij vermoeden van lek
Geen vaste rotatieplanning meer, maar directe actie bij een incident of melding via HaveIBeenPwned.
Offboarding-procedure
Bij uitdiensttreding: accounts deactiveren, gedeelde wachtwoorden roteren, toegang tot password manager intrekken.
Gebruikerstraining: de zwakste schakel versterken
Technologie lost 80% van het wachtwoordprobleem op. De resterende 20% zit tussen stoel en toetsenbord. Medewerkers die wachtwoorden op papier schrijven of hun hond als wachtwoord gebruiken, ondermijnen elk technisch systeem.
Effectieve training is geen éénmalig verplicht filmpje maar een continue bewustwordingscultuur. Denk aan:
Onboarding-training
Elke nieuwe medewerker leert de password manager instellen op dag 1.
Phishing-simulaties
Test regelmatig hoe medewerkers reageren op nep-phishing-mails.
Security awareness programma
Kwartaalsessies over actuele dreigingen en veilig gedrag online.
Incidentrapportage cultuur
Medewerkers moeten fouten durven melden zonder angst voor bestraffing.
Wachtwoord-audits: ontdek zwakke plekken
Weet u welke wachtwoorden in uw organisatie zwak zijn, hergebruikt worden of al in gelekte databases staan? Een wachtwoord-audit geeft u dat inzicht — zonder de wachtwoorden zelf te kennen.
Microsoft Entra Password Protection
Blokkeert automatisch bekende zwakke wachtwoorden en varianten van uw bedrijfsnaam. Ingebouwd in Microsoft 365.
HaveIBeenPwned (HIBP)
Controleert of e-mailadressen van uw medewerkers voorkomen in gelekte databases. Gratis API beschikbaar voor zakelijk gebruik.
Keeper Security Reports
Bij gebruik van Keeper: automatische rapporten over wachtwoordsterkte, hergebruik en dark web-monitoring per medewerker.
Active Directory wachtwoordbeleid-analyse
Acom controleert uw AD-configuratie en identificeert accounts met zwakke, verlopen of nooit-gewijzigde wachtwoorden.