Wachtwoorden beheren met een wachtwoordmanager: wat het is, hoe veilig het is en waar je op let

Wachtwoorden zijn de basis: ze bepalen wie in je mail, bank en cloudopslag kan. Een wachtwoordmanager is de oplossing voor het probleem dat je tientallen unieke wachtwoorden niet kunt onthouden. Het korte antwoord: kies een wachtwoordmanager met een gepubliceerde onafhankelijke audit en goede herstelopties, bescherm hem met een lange wachtwoordzin en zet tweestapsverificatie aan. Voor de meeste mensen is dat een flinke stap vooruit ten opzichte van hergebruikte wachtwoorden of een notitie op je telefoon.

PrivacyRoute kan een commissie ontvangen als je via onze links een dienst afneemt. Dat bepaalt niet hoe we diensten beoordelen.

Waarom losse wachtwoorden onthouden niet meer werkt

De gemiddelde internetgebruiker heeft al snel tientallen accounts: webwinkels, streamingdiensten, de gemeente, school, sportclub. Niemand onthoudt voor al die accounts een apart, sterk wachtwoord. Dus doen mensen wat logisch voelt: één of twee wachtwoorden hergebruiken, met hooguit een cijfer erachter.

Daar zit het echte risico, en dat is geen kwestie van hackers die jouw wachtwoord raden. Het gaat zo: een webwinkel of forum lekt zijn database. Daarin staan e-mailadressen met wachtwoorden, soms leesbaar, soms zwak versleuteld. Criminelen proberen die combinaties vervolgens automatisch uit bij grote diensten als Gmail, Outlook, Bol of Instagram. Dat heet credential stuffing. Gebruikte je bij die kleine webwinkel hetzelfde wachtwoord als bij je mail, dan komen ze binnen in je mail. En wie je mail heeft, kan via 'wachtwoord vergeten' bij veel andere accounts een nieuw wachtwoord aanvragen.

Eén uitgelekt wachtwoord raakt dus niet één account, maar alle accounts waar je het hebt gebruikt. Op Have I Been Pwned (haveibeenpwned.com) kun je controleren of je e-mailadres in bekende datalekken voorkomt. Grote kans dat het er minstens één keer in staat. Dat is geen reden voor paniek, wel voor één simpele regel: elk account een eigen wachtwoord. En dat lukt alleen met hulp.

Wat is een wachtwoordmanager en hoe werkt het?

Een wachtwoordmanager is een app die al je inloggegevens bewaart in een versleutelde kluis. Je opent die kluis met één hoofdwachtwoord. Daarna vult de app je gebruikersnaam en wachtwoord in op websites en in apps, maakt hij nieuwe sterke wachtwoorden voor je aan en synchroniseert hij alles tussen je telefoon, laptop en tablet.

De versleutelde kluis in gewone taal

Versleutelen betekent dat je gegevens worden omgezet in onleesbare tekens die alleen met de juiste sleutel weer leesbaar worden. Bij een goede wachtwoordmanager gebeurt dat versleutelen op je eigen apparaat, voordat er iets naar de servers van de aanbieder gaat. De sleutel wordt afgeleid van je hoofdwachtwoord, en dat hoofdwachtwoord verlaat je apparaat niet.

Dat principe heet zero-knowledge: de aanbieder slaat je kluis op, maar kan hem in principe niet lezen. Wordt de aanbieder gehackt, dan buit een aanvaller alleen versleutelde gegevens uit. Om die te openen moet hij je hoofdwachtwoord raden.

Wat je dan nog moet vertrouwen

Zero-knowledge is een ontwerpprincipe, geen garantie. Je vertrouwt erop dat:

• de software echt doet wat de aanbieder zegt (versleutelen op je apparaat, sleutel nooit verzenden);
• de app die je downloadt niet ongemerkt wordt aangepast;
• niet alles versleuteld is wat je denkt. Bij sommige diensten zijn bijvoorbeeld websiteadressen of mapnamen niet of minder goed versleuteld;
• je eigen apparaat niet besmet is, want daar wordt de kluis ontsleuteld.

Precies hierom zijn audits en openheid over de broncode belangrijk. Daarover hieronder meer.

Is een wachtwoordmanager veilig? Wat je zelf kunt controleren

Alle eieren in één mand: dat is de bekendste tegenwerping. Die is terecht om over na te denken, maar het alternatief is meestal slechter. Een hergebruikt wachtwoord ligt waarschijnlijk al in een lek; een goed beveiligde kluis met een sterk hoofdwachtwoord is voor een aanvaller veel moeilijker. Je hoeft een aanbieder ook niet op zijn woord te geloven. Een paar dingen kun je zelf nagaan.

Wat een onafhankelijke audit wel en niet bewijst

Bij een audit laat de aanbieder een extern beveiligingsbedrijf zoeken naar zwakke plekken in de software of de infrastructuur. Bekende namen in deze markt zijn onder meer Cure53, NCC Group en Trail of Bits. Let bij een audit op vier dingen:

1. Is het rapport openbaar? Een zin als 'wij zijn onafhankelijk geaudit' zegt weinig. Zoek op de site van de aanbieder naar een pagina over beveiliging of 'compliance' met een downloadbaar rapport of een samenvatting van de auditor zelf.
2. Wie deed de audit? Een gespecialiseerd beveiligingsbureau zegt meer dan een algemene certificering.
3. Hoe recent is hij? Software verandert voortdurend. Een audit van vier jaar geleden zegt weinig over de huidige app. Liefst zie je jaarlijks nieuwe rapporten.
4. Wat was de reikwijdte? Soms is alleen de browserextensie bekeken, of alleen de servers. Een SOC 2-rapport gaat vooral over interne processen, niet over de vraag of de versleuteling goed is gebouwd.

Een audit bewijst dat deskundigen op een bepaald moment naar een bepaald deel hebben gekeken en wat ze vonden. Het bewijst niet dat de dienst foutloos is of blijft. Wel zegt het iets dat een aanbieder gevonden problemen laat publiceren en oplossen.

Open source versus gesloten broncode

Bij open-source wachtwoordmanagers, zoals Bitwarden, Proton Pass en Passbolt, is de broncode openbaar. Iedereen met kennis kan controleren hoe de versleuteling werkt. Bij gesloten diensten, zoals LastPass, 1Password of Norton Password Manager, moet je vertrouwen op de aanbieder en op audits.

Voor jou als gebruiker betekent open source vooral: meer mogelijkheden voor controle van buitenaf, en minder afhankelijkheid van marketingclaims. Het garandeert niet dat iemand de code ook echt grondig heeft doorgelicht, en ook open-source software heeft bugs. Een gesloten dienst met recente, openbare audits kan net zo betrouwbaar zijn. Open source is een pluspunt, geen keurmerk.

Leermoment: het LastPass-incident uit 2022

In augustus 2022 meldde LastPass dat een aanvaller toegang had gekregen tot een ontwikkelomgeving. In december bleek dat er ook een back-up met klantkluizen was gekopieerd. De wachtwoorden en notities in die kluizen waren versleuteld, maar onder meer de websiteadressen waren dat niet. Daarnaast bleek dat oudere accounts soms met een lagere sterkte waren beveiligd tegen raadpogingen dan nieuwe accounts.

Wat betekende dat? Wie een lang, uniek hoofdwachtwoord had, liep weinig direct risico: de kluis raden kost dan onpraktisch veel rekenkracht. Wie een kort of hergebruikt hoofdwachtwoord had, liep wel risico, omdat een aanvaller de gekopieerde kluis rustig offline kan proberen te kraken. Beveiligingsonderzoekers hebben later diefstallen van cryptovaluta in verband gebracht met gekraakte kluizen uit dit lek.

De lessen zijn praktisch: je hoofdwachtwoord is je laatste verdedigingslinie, kijk wat een dienst precies versleutelt, en let op hoe open een aanbieder communiceert als er iets misgaat. De eerste berichten van LastPass waren geruststellender dan de latere feiten rechtvaardigden. Dat mag meewegen in je keuze.

Hoofdwachtwoord en sterke wachtwoorden: zo maak je ze

Het hoofdwachtwoord: het enige dat je moet onthouden

Het hoofdwachtwoord opent je kluis. Bij de meeste zero-knowledge-diensten kan de aanbieder het niet voor je resetten, omdat hij het niet kent. Vergeet je het, dan kan je kluis voorgoed onbereikbaar zijn. Dat is geen fout, maar het gevolg van hoe de beveiliging werkt.

Regel daarom direct bij het aanmaken je herstel:

• Herstelcode of herstelzin: veel diensten geven je bij registratie een code of reeks woorden. Print die en bewaar hem op papier op een vaste plek thuis, niet als foto op je telefoon.
• Noodtoegang: sommige diensten laten een vertrouwd persoon toegang aanvragen tot je kluis, met een wachttijd waarin jij kunt weigeren. Handig voor partners en voor nabestaanden.
• Ontgrendelen met biometrie: met vingerafdruk of gezicht open je de kluis dagelijks zonder hoofdwachtwoord te typen. Let op: dat vervangt het hoofdwachtwoord niet. Na een herstart of update vraagt de app het meestal toch, dus oefen het af en toe.

Check vóór je kiest welke herstelopties een dienst heeft. Dat is een van de meest onderschatte verschillen tussen aanbieders.

Een goed hoofdwachtwoord: lang in plaats van ingewikkeld

Vergeet het advies 'minimaal 8 tekens met een hoofdletter, cijfer en leesteken'. Iets als Zomer2024! voldoet daaraan en is toch zwak, omdat aanvallers precies zulke patronen eerst proberen. Lengte telt zwaarder dan ingewikkeldheid.

Gebruik een wachtwoordzin van minimaal vijf willekeurige woorden, bijvoorbeeld kapstok-mosterd-veerboot-ijzig-trompet. Belangrijk is dat de woorden echt willekeurig zijn: geen songtekst, spreekwoord of zin over jezelf. Laat de wachtwoordgenerator van je manager zo'n zin maken, of gooi met een dobbelsteen volgens de diceware-methode. Zo'n zin is makkelijker te typen en te onthouden dan X7#qL!9p en tegelijk veel moeilijker te raden. Gebruik het hoofdwachtwoord nergens anders.

De wachtwoordgenerator: verstandige instellingen

Voor alle andere accounts hoef je niets te onthouden, dus laat de wachtwoordgenerator het werk doen. Die maakt met een toevalsgenerator een reeks tekens die niemand kan voorspellen. Verstandige instellingen:

• Lengte: 20 tekens of meer waar het kan. Kost je niets, want je typt het toch niet.
• Tekens: hoofdletters, kleine letters en cijfers aan; leestekens ook, tenzij een site ze weigert.
• Per site uniek: altijd een nieuw wachtwoord genereren, nooit kopiëren van een ander account.
• Uitzondering: voor wachtwoorden die je soms moet overtypen, zoals op een smart-tv of spelcomputer, is een wachtwoordzin van vier of vijf woorden praktischer.

Browser, telefoon of aparte wachtwoordmanager?

Google Chrome en Apple (Safari en iCloud-sleutelhanger, tegenwoordig de app Wachtwoorden) hebben een ingebouwde wachtwoordmanager. Die zijn een stuk beter dan hergebruik, en voor sommige mensen voldoende. Het verschil met een losse wachtwoordmanager zit vooral in flexibiliteit.

• Gemak: ingebouwd wint. Het staat er al, je hoeft niets te installeren.
• Meerdere apparaten: binnen één ecosysteem werkt het goed. Heb je een iPhone én een Windows-laptop, of een Android-telefoon én een Mac, dan wordt het al snel gedoe. Een losse manager werkt overal.
• Browserwissel: stap je over van Chrome naar Firefox of Safari, dan moet je exporteren en importeren. Een losse manager werkt in alle grote browsers.
• Delen met gezin: Apple en Google hebben basale deelopties, maar losse managers bieden meestal gedeelde kluizen of mappen met duidelijker rechtenbeheer.
• Herstel en controle: bij de ingebouwde varianten hangt alles aan je Google- of Apple-account. Wordt dat overgenomen, dan liggen ook je wachtwoorden open, tenzij je extra versleuteling hebt aangezet (bij Chrome heet dat 'versleuteling op het apparaat').

Ons oordeel: gebruik je alleen Apple-apparaten en deel je weinig, dan is de ingebouwde Apple-oplossing een redelijke keuze. Gebruik je verschillende merken door elkaar, wil je met je gezin delen of je wachtwoorden niet aan je Google- of Apple-account koppelen, kies dan een losse wachtwoordmanager.

Alleen je opgeslagen wachtwoorden bekijken?

Zoek je alleen een wachtwoord dat je eerder hebt opgeslagen? De menunamen verschillen per versie, maar grofweg vind je ze hier:

• Chrome (computer): menu met drie puntjes > Wachtwoorden en automatisch invullen > Google Wachtwoordmanager. Of ga naar passwords.google.com.
• Safari op iPhone, iPad en Mac: open de app Wachtwoorden (vanaf iOS 18 en macOS Sequoia). Op oudere versies: Instellingen > Wachtwoorden, of op de Mac Safari > Instellingen > Wachtwoorden.
• Android: Instellingen > Google > Automatisch invullen > Google Wachtwoordmanager. Op Samsung-toestellen kunnen wachtwoorden ook in Samsung Pass staan.

Je moet je identiteit bevestigen met je pincode, vingerafdruk of gezicht voordat je een wachtwoord ziet. De exacte stappen per apparaat staan in de hulppagina's van Google en Apple.

Passkeys en tweestapsverificatie: aanvulling of vervanging?

Passkeys

Een passkey is een inlogmethode zonder wachtwoord. Je apparaat maakt per website een sleutelpaar aan: een geheim deel dat op jouw apparaat blijft en een openbaar deel dat de website krijgt. Inloggen bevestig je met je vingerafdruk, gezicht of pincode. Er is geen wachtwoord dat kan uitlekken, en een passkey werkt alleen op de echte website. Een nepsite kan er niets mee, wat passkeys sterk maakt tegen phishing.

Passkeys werken al bij onder meer Google, Apple, Microsoft, Amazon, PayPal en GitHub. Ze vervangen wachtwoorden nog niet overal: veel sites ondersteunen ze niet, bij sommige sites blijft je oude wachtwoord gewoon actief als achterdeur, en overzetten tussen ecosystemen was lang lastig. Dat laatste verbetert, en hier helpt een wachtwoordmanager: Bitwarden, 1Password, Proton Pass en andere kunnen passkeys opslaan en synchroniseren over al je apparaten, ook tussen Apple, Android en Windows.

Ons advies: maak een passkey aan waar het kan, te beginnen bij je mail en grote accounts. Reken er de komende jaren op dat je naast passkeys nog steeds wachtwoorden beheert.

Tweestapsverificatie

Met tweestapsverificatie (2FA) heb je naast je wachtwoord nog iets nodig, zoals een code. Zet het aan bij je mail, je wachtwoordmanager zelf, je bank en sociale media. De sterkste opties:

• Authenticator-app (zoals Aegis, Ente Auth, Google Authenticator of Microsoft Authenticator): maakt elke 30 seconden een nieuwe code. Beter dan sms, dat te onderscheppen is via simkaartfraude.
• Beveiligingssleutel (een fysieke sleutel zoals een YubiKey): het sterkst tegen phishing. Zinvol voor je mail en je wachtwoordmanager, en neem er twee zodat je een reserve hebt.

Veel wachtwoordmanagers kunnen ook 2FA-codes bewaren. Dat is handig, maar dan zitten wachtwoord en tweede stap in dezelfde kluis. Wie de kluis opent, heeft beide. Ons advies: bewaar de 2FA-codes voor je belangrijkste accounts (mail, bank, de wachtwoordmanager zelf) in een aparte authenticator-app. Voor minder kritieke accounts is opslag in de kluis een redelijke afweging. Beveilig de toegang tot je wachtwoordmanager zelf in elk geval nooit met een code uit diezelfde manager.

Wat een wachtwoordmanager niet oplost

Een wachtwoordmanager verkleint risico's, maar is geen volledige bescherming. Drie zaken blijven:

• Phishing: een manager vult niets in op een nepsite, omdat het webadres niet klopt. Dat is een waarschuwingssignaal. Typ of plak je je wachtwoord daar toch handmatig in, dan helpt de manager niet.
• Een besmet apparaat: malware die toetsaanslagen of je scherm meekijkt, kan gegevens stelen terwijl de kluis open staat. Houd je systeem bijgewerkt en gebruik waar nodig een goede virusscanner.
• Een zwak hoofdwachtwoord: dan staat de deur van de kluis op een kier, zoals het LastPass-incident liet zien.

Waar let je op bij het kiezen van een wachtwoordmanager?

De eerste vraag is voor wie je hem gebruikt.

• Persoonlijk gebruik: je hebt genoeg aan één kluis, synchronisatie op al je apparaten en goede herstelopties. Bitwarden, Proton Pass en 1Password zijn hier gangbare keuzes.
• Gezin: let op gedeelde kluizen (bijvoorbeeld voor streaming of de energieleverancier), aparte privékluizen per persoon en noodtoegang voor partners. Kies iets wat ook je minst technische gezinslid prettig vindt, anders gebruikt die het niet.
• Teams en zelf hosten: kleine bedrijven en verenigingen hebben rechtenbeheer nodig: wie mag wat zien, en wat gebeurt er als iemand vertrekt. Passbolt is open source en gemaakt voor teams. Je kunt het op je eigen server draaien, waardoor gegevens niet bij een externe partij staan. Bitwarden kan ook zelf gehost worden. Zelf hosten betekent wel dat jij verantwoordelijk bent voor updates, back-ups en beveiliging. Doe het alleen als iemand daar structureel tijd voor heeft.

Onze beoordelingscriteria

PrivacyRoute beoordeelt wachtwoordmanagers op basis van openbaar bewijs:

1. Privacybeleid: welke gegevens verzamelt de dienst buiten je kluis (bijvoorbeeld gebruiksstatistieken en IP-adressen), hoe lang worden ze bewaard en waar staan de servers?
2. Audits: zijn er openbare, recente rapporten van gespecialiseerde bureaus, en wat was de reikwijdte?
3. Versleuteling: wordt alles versleuteld, ook websiteadressen en notities, en is het zero-knowledge-ontwerp gedocumenteerd?
4. Gebruiksgemak: werkt automatisch invullen betrouwbaar, en is het importeren eenvoudig?
5. Apparaatondersteuning: apps voor Windows, macOS, Linux, iOS en Android, plus extensies voor de grote browsers en ondersteuning van passkeys.
6. Herstelopties: herstelcode, noodtoegang en duidelijke uitleg over wat er gebeurt als je je hoofdwachtwoord kwijt bent.
7. Transparantie: hoe ging de aanbieder om met eerdere incidenten?

Wat wij niet kunnen weten: of de interne beveiliging van een aanbieder vandaag zo goed is als een audit van vorig jaar suggereert, of er onontdekte lekken zijn, en of een bedrijf zich in de praktijk houdt aan zijn beleid. Daarom wegen we openbaarheid en een staat van dienst zwaar.

Gratis of betaald?

Gratis versies verschillen enorm. Bitwarden en Proton Pass bieden een gratis variant met onbeperkt aantal wachtwoorden en synchronisatie tussen apparaten; voor veel mensen is dat genoeg. Andere gratis versies beperken je tot één apparaattype of een klein aantal items. Betaalde versies voegen meestal noodtoegang, delen met het gezin, extra 2FA-opties en lekmeldingen toe. Kijk dus naar wat je echt mist, niet naar het label 'premium'.

Overstappen en aan de slag: zo begin je

Reken op een uur voor de basis en een paar weken om alles geleidelijk op orde te krijgen.

1. Kies je manager en maak je hoofdwachtwoord: een wachtwoordzin van minimaal vijf willekeurige woorden. Schrijf de herstelcode op papier en bewaar die veilig.
2. Zet 2FA aan op de wachtwoordmanager zelf, met een authenticator-app of beveiligingssleutel.
3. Exporteer je wachtwoorden uit de browser: in Chrome via Google Wachtwoordmanager > Instellingen > Wachtwoorden exporteren; in de Apple-app Wachtwoorden via Archief > Exporteer alle wachtwoorden. Je krijgt een CSV-bestand.
4. Importeer het bestand in je nieuwe manager. Let op: dat CSV-bestand is onversleuteld en leesbaar voor iedereen. Verwijder het direct na het importeren, ook uit de prullenbak.
5. Vervang eerst de belangrijkste wachtwoorden: je e-mail, bank, telefoonaccount (Apple ID of Google), sociale media en webwinkels met opgeslagen betaalgegevens. Gebruik telkens de wachtwoordgenerator. Mail eerst, want daarmee kan iemand andere accounts herstellen.
6. Gebruik het rapport over zwakke of hergebruikte wachtwoorden dat veel managers hebben, en werk de rest stap voor stap af wanneer je toch inlogt.
7. Verwijder de oude opgeslagen wachtwoorden uit je browser en zet het aanbod om wachtwoorden op te slaan daar uit. Zo voorkom je twee versies die uit elkaar lopen.
8. Installeer de app op je telefoon en zet automatisch invullen aan in de systeeminstellingen.

Veelgestelde vragen

Wat is een wachtwoordmanager en wat doet het?

Een app die al je inloggegevens bewaart in een versleutelde kluis die je met één hoofdwachtwoord opent. Hij vult wachtwoorden automatisch in, maakt sterke nieuwe wachtwoorden aan en synchroniseert alles tussen je apparaten.

Is een wachtwoordmanager veilig?

Een goede wachtwoordmanager met zero-knowledge-versleuteling, openbare audits en een sterk hoofdwachtwoord is veel veiliger dan hergebruikte wachtwoorden. Honderd procent veilig bestaat niet: phishing, een besmet apparaat of een zwak hoofdwachtwoord blijven risico's.

Wat gebeurt er als ik mijn hoofdwachtwoord vergeet?

Bij de meeste diensten kan de aanbieder het niet resetten, omdat hij het niet kent. Je komt dan alleen nog binnen via een herstelcode, noodtoegang via een vertrouwd persoon of een ontgrendeld apparaat waarop je nog bent ingelogd. Zonder die opties kan je kluis verloren zijn. Regel je herstel dus meteen bij het aanmaken.

Is de wachtwoordmanager van Chrome of Safari goed genoeg?

Voor wie alleen binnen één ecosysteem werkt, zoals alleen Apple-apparaten, is het een redelijke keuze en veel beter dan hergebruik. Gebruik je verschillende merken of browsers, of wil je met je gezin delen, dan werkt een losse wachtwoordmanager prettiger.

Hoe lang moet een sterk wachtwoord zijn?

Gegenereerde wachtwoorden: 20 tekens of meer waar de site dat toestaat. Een hoofdwachtwoord of ander wachtwoord dat je moet onthouden: een wachtwoordzin van minimaal vijf willekeurige woorden. Lengte en uniciteit zijn belangrijker dan ingewikkelde tekens.

Zijn passkeys beter dan wachtwoorden?

Ja, op de meeste punten: er is niets dat kan uitlekken en ze werken niet op nepsites. Ze worden alleen nog niet overal ondersteund, dus je hebt de komende jaren beide nodig. Een wachtwoordmanager kan ze samen bewaren.

Kan ik mijn opgeslagen wachtwoorden bekijken op Android?

Ja. Ga naar Instellingen > Google > Automatisch invullen > Google Wachtwoordmanager, of open Chrome en kies via het menu Google Wachtwoordmanager. Je bevestigt met je pincode of vingerafdruk. Op Samsung-toestellen kunnen ze ook in Samsung Pass staan.

Is een gratis wachtwoordmanager genoeg?

Vaak wel. De gratis versies van Bitwarden en Proton Pass hebben onbeperkte opslag en synchronisatie. Betalen loont vooral voor noodtoegang, delen met een gezin en extra 2FA-opties. Controleer vooral of een gratis versie je niet tot één apparaat beperkt.

Wat is het verschil tussen een open-source wachtwoordmanager zoals Bitwarden en een gesloten dienst?

Bij open source, zoals Bitwarden, is de broncode openbaar en kunnen onafhankelijke experts controleren hoe de versleuteling werkt. Bij een gesloten dienst ben je aangewezen op de aanbieder en zijn audits. Open source maakt controle makkelijker, maar garandeert geen veiligheid; een gesloten dienst met recente, openbare audits kan ook betrouwbaar zijn.