Veilig omgaan met je wachtwoorden

Mailen, internetbankieren en online aankopen doen; we hebben er wachtwoorden voor nodig. Maar hoe maak je eigenlijk een veilig wachtwoord? En hoe zorg je dat het ook veilig blíjft?

03-01-2020

7 minuten

Een nieuwe code is zo gemaakt, en gekraakt

Je mail lezen, social media checken, internetbankieren, je computer ontgrendelen, online aankopen doen of je reis- of vluchtgegevens inzien. Of we het nu leuk vinden of niet, we hebben de hele dag door met wachtwoorden te maken. Een nieuwe code is vaak zó aangemaakt. Maar hackers kraken wachtwoorden van 8 willekeurige kleine letters soms al binnen enkele minuten… Waar de één zijn wachtwoorden secuur en veilig aanmaakt en beheert, springt de ander er iets minder zorgvuldig mee om en is het hopen dat het goed blijft gaan. Maar hoe maak je nou een veilig wachtwoord aan? En hoe zorg je dat het ook veilig blíjft?

Wij vroegen een panel van 500 mensen te reageren op een 6-tal stellingen over het maken en beheren van hun wachtwoorden. We delen de uitkomsten hiervan en vroegen Erwin Laros, security officer van Achmea, om advies.

Stelling 1: Ik gebruik een wachtwoordmanager waarvoor ik maar 1 wachtwoord hoef te onthouden

Het lijkt een uitkomst, ál je wachtwoorden onder één digitaal dak. Via apps als LastPass en Dashlane hoef je maar één code te onthouden; die om het overzicht te ontgrendelen. Je kunt vervolgens bij ieder wachtwoord dat je ooit in de app noteerde. Én je kunt de applicatie automatisch sterke wachtwoorden laten genereren; voor elk van je accounts een andere. Maar hoe ideaal het ook klinkt, slechts 25,1% van de ondervraagden maakt gebruik van zo’n wachtwoordmanager. De overige 74,9% kiest ervoor om dat niet te doen of wist überhaupt niet van het bestaan van het hulpmiddel.

Post-it met wachtwoord onder je toetsenbord

Erwin is voorstander van het gebruik van de wachtwoordmanager. Sterker nog; hij gebruikt er zelf óók een. “Allereerst om al mijn codes digitaal goed achter slot en grendel te hebben staan. Zo’n app is veel veiliger dan een Excel-sheet op je computer bijvoorbeeld. Of nog erger: een post-it onder je toetsenbord of een briefje op je scherm. En ja, dat gebeurt écht!” Maar hij gebruikt de app ook omdat die ijzersterke wachtwoorden maakt. “Vele malen moeilijker te kraken dan wanneer we zelf codes bedenken. Volgens de richtlijnen zouden 8 tekens overigens genoeg moeten zijn om een sterk wachtwoord op te bouwen. Maar hackers bewijzen steeds opnieuw het tegendeel…” Ook aan het gebruik van een wachtwoordmanager zijn helaas risico’s verbonden, zo stelt Erwin. “Want niks is 100% veilig. Maar veel veiliger wordt het niet.”

Hoe bedenk je een veilige code?

En wat voor wachtwoord gebruik je dan om je wachtwoordmanager zélf mee te beveiligen? Het moet immers een onkraakbare code zijn, want ál je wachtwoorden zitten erachter. Maar een automatisch gegenereerde code is zó willekeurig dat je die waarschijnlijk onmogelijk onthoudt. Ook daar heeft Erwin een oplossing voor. “Kies een zin die belangrijk voor je is. De eerste zin uit een mooi boek bijvoorbeeld. Of een gevleugelde uitspraak van iemand die je kent. Zet dan de eerste of laatste letters van de woorden achter elkaar en vervang verschillende letters door cijfers of symbolen. Dan zit je aardig goed.”

Stelling 2: Ik heb maar 1 of 2 wachtwoorden die ik overal voor gebruik

Waarom allerlei verschillende wachtwoorden bedenken en onthouden? Je kunt – net zo gemakkelijk – ook gewoon overal hetzelfde wachtwoord voor gebruiken. Dat moeten velen van ons denken, want bijna de helft van alle ondervraagden gebruikt steeds dezelfde codes. 48,3% van de respondenten gebruikt slechts 1 of 2 verschillende wachtwoorden om gegevens te vergrendelen.

Na één hack is direct het einde zoek

Is dit een kwalijke zaak? “Eigenlijk wel”, is het oordeel van de security officer. “Want gebruik je steeds hetzelfde wachtwoord en wórd je inderdaad gehackt? Dan zal de hacker waarschijnlijk meteen je mail binnengaan en het wachtwoord daarvan veranderen. Zo kom jij er vervolgens niet meer in. Hij kan voor andere accounts de ‘wachtwoord vergeten’-optie gebruiken; die wachtwoorden worden dan naar jouw gehackte e-mailadres gestuurd. Zo krijgt ‘ie vrij spel. Dan is het einde zoek.”

Een code per dienst of service

Erwin dringt er nogmaals op aan: al is je wachtwoord nóg zo sterk, gebruik ‘m niet op meerdere plekken. Gebruik unieke codes. “Want al maak je het ze nog zo moeilijk, niks is onhackbaar. Zorg er dus voor dat het in het meest ongunstige geval bij maar één account blijft. Zo beperk je de schade.”

Stelling 3: Ik wil wel mijn wachtwoorden verbeteren, maar kom er steeds niet aan toe

Diegenen bij wie het wachtwoordbeheer en -gebruik wat te wensen overlaat, zijn vaak op de hoogte van het risico dat ze nemen en het ongemak dat ermee gepaard gaat. Want ruim 56% zegt zijn of haar wachtwoorden aan te willen pakken. Reden dat het nog niet gebeurd is; ze komen er simpelweg niet aan toe. Dit terwijl het wel nodig blijkt te zijn; meer dan 55% van de respondenten bestempelt zijn/haar wachtwoordbeheer als ‘een rommeltje’. En bijna 26% gebruikt vaak de optie ‘wachtwoord vergeten’, omdat ze geen idee meer hebben wat hun codes zijn.

Voor nieuwe wachtwoorden stap voor stap door

Erwin kan er wel inkomen; het is ook best een klus als je alles in één keer wil ordenen. “Maar doe het desnoods stap voor stap. Registreer je en genereer vervolgens steeds wanneer je ergens een wachtwoord voor nodig hebt een nieuwe code. Zo bouw je jouw lijst langzaam uit en blijft het behapbaar.” Begin dan overigens wel altijd met het wachtwoord voor je e-mailaccount, is zijn dringende advies. “Zoals gezegd; bijna alles wordt ontsloten via je mail, dus beveilig die goed. En maak ook zo snel mogelijk belangrijke accounts zoals die van je DigiD en bankrekening veilig. Dat zijn immers vervelende plekken om gehackt te worden.”

Stelling 4: Ik gebruik waar mogelijk twee-factor-authenticatie

Al is het bij sommigen een beetje een zooitje wat wachtwoorden betreft en valt er te discussiëren over hoe veilig de gemaakte keuzes zijn, bijna 80% van de respondenten gebruikt twee-factor-authenticatie. Door middel van die tweede beveiligingslaag krijgen criminelen minder kans.

Ook Erwin is voorstander van het gebruik ervan. “Er bestaan 3 niveaus: ‘you know’ (een wachtwoord/code), ‘you have’ (een token bijvoorbeeld) en ‘you are’ (een vingerafdruk of irisscan). Op 2 van die 3 niveaus moet blijken dat jij het echt bent. Want iemand kan je onder druk zetten voor je wachtwoord bijvoorbeeld. Maar dan is er altijd nog op een tweede beveiligingslaag.” Extra veilig dus. Maar nog steeds niet 100%, zo stelt hij. “Al dek je hiermee – in combinatie met een uniek, automatisch gegenereerd wachtwoord – wel een hoop risico’s af.”

Beveilig de 'veilige' apparaten ook echt

Het lijkt vaak veel werk; twee-factor-authenticatie gebruiken. “Maar dat hoeft niet per se het geval te zijn”, zo verzekert de expert. “Bij LinkedIn bijvoorbeeld kun je standaardapparaten toestaan. Dat hoef je slechts eenmalig te doen. Probeert er iemand vanaf een ander apparaat in te loggen, dan krijg je een notificatie.” Het is dan overigens wel zaak om de apparaten die je als ‘veilig’ bestempelt ook echt goed te beveiligen. “Geen computers en tablets zonder wachtwoorden dus…”

Stelling 5: Ik ben wel eens gehackt

Op de vraag wie wel eens gehackt is, antwoordde ruim 46% bevestigend. Bij bijna de helft van de respondenten is er dus ooit iemand in zijn of haar account(s) binnengedrongen. Toch worden websites als haveibeenpwned.com – om te controleren of jouw gegevens in verkeerde handen zijn gevallen – maar weinig geraadpleegd. Sterker nog; 47% zegt niet eens van het bestaan van dergelijke sites te weten.

Hacken mag niet te veel tijd kosten

Erwin schrikt niet van dergelijke aantallen. Maar het is wel iets om mee aan de slag te gaan, vindt hij. “Er is al wel steeds meer sprake van bewustwording op dit vlak, gelukkig. Want liggen jouw gegevens eenmaal op straat en heb je je wachtwoordmanagement niet op orde? Dan kan het best een ingewikkelde zaak worden.” Wórd je gehackt, bijvoorbeeld je e-mail, dan is het lastig om er weer toegang toe te krijgen. “Want hoe bewijs je aan Google of Microsoft dat het echt jóúw account is? Ik heb er zelf geen ervaring mee, en er zijn vast en zeker procedures voor. Maar je kunt het tot op zekere hoogte voorkomen door de juiste maatregelen te treffen. Zoals ik al zei: niks is onhackbaar. Het is vooral een kwestie van het zo onaantrekkelijk mogelijk maken. Want uiteindelijk is hacken ook gewoon economie. Het moet allemaal niet te veel tijd kosten…”

Het is overigens vrij eenvoudig om in de gaten te houden of je digitaal gevaar loopt. Via de genoemde website, haveibeenpwned.com, kun je je aanmelden voor een alert. Duiken jouw gegevens op, dan krijg je dat meteen te weten. Kun jij gelijk actie ondernemen, dus.

Stelling 6: Ik pas mijn wachtwoorden 1x per jaar aan

Al is ruim 46% van de respondenten wel eens gehackt, toch neemt slechts 39,7% van alle ondervraagden de tijd om jaarlijks zijn of haar wachtwoorden aan te passen. Evenzoveel personen zouden het wel willen, maar komen er niet aan toe. De overige ruim 20% vindt het een onnodig klusje.

Volgens Erwin is het wel degelijk van belang om minimaal 1 keer per jaar je wachtwoorden te wijzigen. “Ook als je automatisch gegenereerde codes gebruikt, is dat een veilige keuze. Systemen worden steeds slimmer, en hackers dus ook. Elke 3 maanden voor je privéaccounts is wat veel van het goede als je de juiste maatregelen hebt getroffen. Maar blijf ook vooral niet de rest van je leven met dezelfde sterke wachtwoorden doen!”

Veilige wachtwoorden maken en beheren

Resumé! Wil jij veilige wachtwoorden creëren én ze veilig bewaren, doe dan het volgende:

Een wachtwoordmanager is niet alleen handig omdat je nog maar 1 wachtwoord hoeft te onthouden, hij maakt ook ijzersterke wachtwoorden. Zo neemt de kans op een hack enorm af.
Geef je e-mail sowieso een extra moeilijk wachtwoord. Je mail is voor een hacker de ingang naar al je accounts. Als hij in je mail kan, verandert hij het wachtwoord zodat jij er niet meer in kunt. Daarna heeft hij vrij spel en kan hij via de 'wachtwoord vergeten'-optie in veel van je accounts.
Vind je het in 1 keer instellen van een wachtwoordmanager te veel gedoe? Neem dan de tijd en doe het stap voor stap. Registreer je en genereer vervolgens steeds als je ergens een wachtwoord voor nodig hebt een nieuwe code. Zo bouw je jouw lijst langzaam uit en blijft het behapbaar.
Schakel zo mogelijk twee-factor-authenticatie in. Het is lang niet zo ingewikkeld als het klinkt en geeft veel extra zekerheid.
Stel bijvoorbeeld via haveibeenpwned.com een alert in. Dan krijg je direct een melding als je gegevens op verdachte plekken voorkomen.
Bij wachtwoorden geldt eigenlijk hetzelfde als bij je sloten thuis. Hoe meer tijd het de hacker/inbreker kost om ‘binnen’ te komen, hoe onaantrekkelijker het wordt.