Een werkbaar wachtwoordbeleid stelt drie dingen verplicht: lange wachtwoorden die per dienst verschillen, opslag in een wachtwoordmanager en meervoudige authenticatie op alles wat vanaf internet bereikbaar is. Verplicht periodiek wijzigen hoort er niet meer bij.
Hoe hardnekkig hergebruik is, liet onderzoek van SpyCloud uit 2020 zien onder medewerkers van Fortune 1000-bedrijven: in de mediasector hergebruikte 85% wachtwoorden, in retail 53%.
Wat er in een wachtwoordbeleid hoort te staan
Een beleid van één pagina werkt beter dan een document dat niemand leest. Leg per onderdeel vast wat geldt en wie het controleert.
| Onderdeel | Wat je vastlegt |
|---|---|
| Lengte | Minimaal 12 tekens voor gewone accounts, 16 of meer voor beheerdersaccounts |
| Hergebruik | Elk account krijgt een eigen wachtwoord, ook privé-accounts met een zakelijk mailadres |
| Opslag | Uitsluitend in de wachtwoordmanager van de organisatie |
| Wijzigen | Alleen bij aanwijzingen van misbruik of na een datalek |
| Tweede factor | Verplicht op mail, opslag, administratie, VPN en beheeromgevingen |
| Gedeelde accounts | Alleen via een gedeelde kluis, met een lijst van wie toegang heeft |
| Uitdiensttreding | Toegang intrekken en gedeelde wachtwoorden vervangen binnen 24 uur |
Lengte weegt zwaarder dan complexiteitsregels
Regels die hoofdletters, cijfers en leestekens afdwingen leveren voorspelbare uitkomsten op. Mensen vormen een basiswoord om volgens vaste patronen: van wachtwoord naar Wachtwoord1 en Passw0rd!. Aanvallers kennen die patronen en testen de varianten geautomatiseerd.
Lengte helpt wel, omdat elk extra teken het aantal mogelijkheden vermenigvuldigt. Een wachtzin van vier of vijf willekeurige woorden is langer dan een cryptische reeks van acht tekens en blijft toch te onthouden. Voor accounts die je in de wachtwoordmanager bewaart, laat je de manager zelf een willekeurige reeks aanmaken.
Een vast minimum verschilt per bron. Het Nederlandse NCSC noemt geen getal en adviseert een lange wachtzin: hoe langer, hoe veiliger. De Amerikaanse standaard NIST SP 800-63B vraagt sinds 2025 minimaal 15 tekens voor accounts die alleen met een wachtwoord zijn beveiligd, en 8 tekens zodra er een tweede factor bij komt. Met 12 tekens plus meervoudige authenticatie zit je dus boven die lat. Voor accounts zonder tweede factor is 15 tekens de veiligere ondergrens.
Stop met verplicht periodiek wijzigen
Elke 90 dagen wisselen leidt tot kleine aanpassingen aan het einde van het wachtwoord en tot briefjes onder het toetsenbord. De Amerikaanse standaard NIST SP 800-63B, sinds 2025 in revisie 4, staat verplichte periodieke wissels daarom niet meer toe en vraagt alleen een wijziging bij aanwijzingen van misbruik. Het NCSC houdt dezelfde lijn aan: wijzig een wachtwoord zodra je vermoedt dat het bekend is geworden.
Vervang de rotatieplicht door detectie. Zet meldingen aan op verdachte logins, controleer wachtwoorden tegen bekende lekken en dwing een wissel af zodra er een treffer is.
Controleer wachtwoorden tegen bekende lekken
Aanvallers proberen bij credential stuffing gelekte inlogparen geautomatiseerd bij andere diensten. Een wachtwoord dat in een oude webshopdatabase stond, wordt zo een risico voor je zakelijke omgeving.
- Zet in Microsoft Entra ID de bescherming tegen zwakke en gelekte wachtwoorden aan, met een eigen lijst van bedrijfsnamen en productnamen.
- Laat medewerkers hun zakelijke mailadres controleren via Have I Been Pwned of Check je Hack van de politie.
- Gebruik de ingebouwde controle van je wachtwoordmanager, die hergebruik en gelekte wachtwoorden per gebruiker toont.
- Behandel een treffer als incident: wachtwoord wijzigen, sessies intrekken en controleren op doorstuurregels in de mailbox.
Raken er persoonsgegevens bij betrokken, dan gelden de regels rond een datalek, inclusief de meldtermijn van 72 uur.
De wachtwoordmanager als kern van het beleid
Zonder hulpmiddel valt een beleid met tientallen verschillende wachtwoorden niet vol te houden. Een wachtwoordmanager maakt per dienst een willekeurig wachtwoord aan, bewaart het versleuteld en vult het alleen in op het bijbehorende domein. Die domeincontrole maakt phishing zichtbaar, want op een nagemaakte inlogpagina blijft het veld leeg.
Zakelijke versies voegen gedeelde kluizen per team toe, plus een overzicht van zwakke en hergebruikte wachtwoorden en een herstelprocedure wanneer iemand zijn hoofdwachtwoord verliest. De verschillen tussen aanbieders staan in ons overzicht van zakelijke wachtwoordmanagers.
Passkeys: waar ze het wachtwoord vervangen
Een passkey is een sleutelpaar dat op je apparaat blijft. Je ontgrendelt het met je vingerafdruk, gezicht of pincode, waarna de dienst controleert of de sleutel klopt. Er gaat geen wachtwoord over de lijn, waardoor phishing en hergebruik als aanvalsroute wegvallen.
Het Britse NCSC adviseerde in april 2026 om passkeys als standaard te gebruiken op diensten die ze aanbieden, en beoordeelde ze daarbij als minstens zo sterk als een wachtwoord met tweestapsverificatie. Voor diensten zonder passkey-ondersteuning blijft het advies: een lang wachtwoord uit de manager plus een tweede factor.
Neem in je beleid op wie passkeys mag instellen, waar ze worden bewaard (in het besturingssysteem of in de wachtwoordmanager) en wat er gebeurt bij verlies van het apparaat. Zonder herstelroute sluit je een medewerker buiten zijn eigen account.
Meervoudige authenticatie op alles wat naar buiten staat
Een wachtwoord dat uitlekt geeft zonder tweede stap directe toegang. Zet twee-factor authenticatie daarom verplicht aan op mail, bestandsopslag, boekhouding, VPN en beheerportalen van je hosting en domeinnamen.
Kies een authenticator-app of een fysieke sleutel boven sms, omdat sms-codes te onderscheppen zijn via simswapping. Let ook op meldingsmoeheid: aanvallers sturen herhaald pushverzoeken tot iemand op accepteren tikt. Nummerkoppeling in de app voorkomt dat.
Wat het SpyCloud-onderzoek onder Fortune 1000-bedrijven liet zien
SpyCloud doorzocht zijn database met gecompromitteerde inloggegevens op accounts die aan Fortune 1000-bedrijven gekoppeld zijn. Medewerkers van die bedrijven bleken wachtwoorden net zo vaak te hergebruiken als iedereen.
- Hergebruik liep uiteen van 85% in de mediasector tot 53% in retail.
- Van 127.083 leidinggevenden waren inloggegevens via criminele kanalen beschikbaar, met de hotel-, restaurant- en vrijetijdsbranche bovenaan.
- Terugkerende thema’s in de wachtwoorden: voornamen, de bedrijfsnaam zelf en korte reeksen cijfers en letters.
- Naast wachtwoorden lagen telefoonnummers, locatiegegevens, financiële gegevens en antwoorden op beveiligingsvragen op straat. Medewerkers in de telecomsector hadden per bedrijf de meeste blootgestelde gegevens.
Die aanvullende gegevens maken gerichte aanvallen mogelijk: overtuigende phishingberichten, simswapping en het koppelen van privé-accounts aan een zakelijke identiteit. Verwante technieken staan in ons artikel over spoofing-aanvallen.
De wachtwoorden die nog steeds bovenaan staan
NordPass analyseert jaarlijks wachtwoorden uit openbare bronnen en het darkweb. In de recentste lijst staat 123456 opnieuw op plek één, gevolgd door varianten als 123456789, password, admin en qwerty. Vrijwel alle wachtwoorden uit die top zijn binnen een seconde te kraken.
Per sector duiken herkenbare patronen op. Zorgmedewerkers kiezen vaak varianten met med erin, en bij de financieel sterkste bedrijven verwijst ongeveer een derde van de wachtwoorden naar het bedrijf zelf: de naam, een deel daarvan, het maildomein of een productnaam. Zet die woorden daarom op de blocklist in je eigen omgeving.
Voorbeeld: wachtwoordbeleid in acht regels
Gebruik deze regels als basis en pas de getallen aan op je eigen omgeving.
- Elk wachtwoord telt minimaal 12 tekens, beheerdersaccounts minimaal 16.
- Elk account krijgt een eigen wachtwoord dat nergens anders terugkomt.
- Wachtwoorden staan in de wachtwoordmanager van de organisatie, niet in browsers, documenten of chatberichten.
- Meervoudige authenticatie staat aan op alle diensten die vanaf internet bereikbaar zijn.
- Passkeys hebben de voorkeur zodra een dienst ze aanbiedt.
- Wijzigen gebeurt bij een vermoeden van misbruik, niet op vaste momenten.
- Gedeelde accounts lopen via een gedeelde kluis en worden vervangen zodra iemand vertrekt.
- Een treffer in een lekcontrole leidt binnen 24 uur tot een nieuw wachtwoord en ingetrokken sessies.
Organisaties die werken aan ISO 27001 of aan de NIS2-richtlijn nemen dit beleid op in hun bredere informatiebeveiliging, inclusief bewijs dat de regels worden nageleefd.
Veelgestelde vragen over wachtwoordbeleid
Hoe lang moet een wachtwoord zijn?
Voor gewone accounts is 12 tekens een werkbare ondergrens, voor beheerdersaccounts 16 of meer. Bewaar je het wachtwoord in een manager, laat die dan een willekeurige reeks van 20 tekens of langer aanmaken.
Moeten medewerkers hun wachtwoord elke drie maanden wijzigen?
Nee. Verplichte wissels leiden tot voorspelbare varianten van hetzelfde wachtwoord. Wijzig bij aanwijzingen van misbruik, na een datalek bij een dienst die je gebruikt en zodra een lekcontrole een treffer geeft.
Is een wachtwoordmanager veilig genoeg voor zakelijk gebruik?
De kluis staat versleuteld en de aanbieder heeft de sleutel niet. Het risico verschuift naar het hoofdwachtwoord en het account eromheen. Zet daarom meervoudige authenticatie op de manager zelf en leg de herstelprocedure vast voordat iemand zijn toegang verliest.
Vervangen passkeys wachtwoorden helemaal?
Nog niet. Lang niet elke dienst ondersteunt passkeys, en bij het toevoegen van een nieuw apparaat vraagt een account vaak alsnog om het wachtwoord. Reken voorlopig op een gemengde situatie waarin passkeys de belangrijkste accounts afdekken en de rest via manager plus tweede factor loopt.
Bronnen
- SpyCloud over blootstelling bij de Fortune 1000.
- NCSC over veilig omgaan met wachtwoorden.
- NordPass over de meest gebruikte wachtwoorden.
Volg Securiguide in Google
Voeg Securiguide toe als voorkeursbron. Google toont onze artikelen dan eerder bij nieuwsresultaten en in AI-antwoorden.
