Veel organisaties hanteren nog steeds een wachtwoordbeleid dat decennia oud is: minimaal acht tekens, een hoofdletter, een cijfer, een speciaal teken, en elke negentig dagen verplicht wijzigen. Dit beleid is gebaseerd op aannames die inmiddels achterhaald zijn, en in de praktijk maakt het organisaties vaak minder veilig, niet meer.
Dat klinkt tegenstrijdig, maar is goed te verklaren als je kijkt naar hoe mensen daadwerkelijk omgaan met dit soort verplichtingen, en naar hoe aanvallers wachtwoorden tegenwoordig misbruiken.
Waarom het oude beleid niet meer werkt
Verplichte periodieke wijziging leidt tot voorspelbare patronen. Als medewerkers elke negentig dagen een nieuw wachtwoord moeten verzinnen, vervallen ze in voorspelbare aanpassingen: Wachtwoord1, Wachtwoord2, Wachtwoord3. Dit patroon is voor aanvallers net zo makkelijk te raden als het oorspronkelijke wachtwoord.
Complexiteitseisen leiden tot hergebruik. Een wachtwoord met hoofdletters, cijfers en symbolen is moeilijk te onthouden, vooral als iemand dit voor tientallen verschillende diensten moet doen. Het resultaat is dat mensen hetzelfde complexe wachtwoord op meerdere plekken gebruiken, of het opschrijven op een onveilige plek. Beide ondermijnen het doel van de maatregel.
Lengte is belangrijker dan complexiteit. Onderzoek naar wachtwoordkraken laat zien dat een langere, eenvoudigere zin moeilijker te kraken is dan een kort, complex wachtwoord. “OndergaandeZonBoven2026” is sterker en makkelijker te onthouden dan “P@ssw0rd!”.
De grootste dreiging is niet het raden van wachtwoorden. De meeste wachtwoorden worden niet gekraakt door ze te raden, maar gestolen via phishing, datalekken bij andere diensten, of malware. Een uitstekend, complex wachtwoord biedt geen bescherming als het via phishing wordt buitgemaakt. Dit verandert wat de prioriteit van een wachtwoordbeleid zou moeten zijn.
Het Nationaal Cyber Security Centrum en internationale instanties zoals het Amerikaanse NIST hebben hun richtlijnen de afgelopen jaren dan ook bijgesteld: weg van verplichte periodieke wijziging en complexiteitseisen, naar lengte, het controleren van wachtwoorden tegen bekende datalekken, en vooral: het inzetten van multifactorauthenticatie.
Wat een modern wachtwoordbeleid wel inhoudt
Lengte boven complexiteit. Stel een minimale lengte in van twaalf tot vijftien tekens, zonder verplichte combinatie van speciale tekens. Moedig het gebruik van langere wachtwoordzinnen aan in plaats van korte, complexe combinaties.
Geen verplichte periodieke wijziging zonder reden. Een wachtwoord hoeft niet te worden gewijzigd als er geen aanwijzing is dat het is gecompromitteerd. Verplicht wijzigen alleen na een vermoeden van een lek of bij een specifiek incident.
Controleren tegen bekende datalekken. Er bestaan databases met wachtwoorden die zijn buitgemaakt bij eerdere datalekken. Systemen kunnen automatisch controleren of een nieuw wachtwoord in zo’n database voorkomt en het wachtwoord afkeuren als dat het geval is.
Multifactorauthenticatie als primaire verdediging. Het wachtwoordbeleid is niet langer de belangrijkste verdedigingslaag. MFA vangt het risico op dat een wachtwoord alleen niet kan dekken, en verdient daarom prioriteit boven verdere verfijning van wachtwoordregels.
Een wachtwoordmanager faciliteren of verplichten. Het grootste probleem met wachtwoorden is dat mensen ze moeten onthouden. Een wachtwoordmanager lost dat probleem op door unieke, sterke wachtwoorden per dienst te genereren en op te slaan, zonder dat een medewerker ze hoeft te onthouden. Veel organisaties stellen een licentie hiervoor beschikbaar als onderdeel van de standaarduitrusting.
Op termijn: passwordless authentication. De richting waarin de industrie zich beweegt, is het volledig vervangen van wachtwoorden door passkeys, gebaseerd op cryptografische sleutels die aan een apparaat zijn gebonden. Dit elimineert het risico van phishing voor wachtwoorden volledig, omdat er simpelweg niets is om te stelen of te misleiden. Niet elke organisatie is hier al klaar voor, maar het is een ontwikkeling die de komende jaren aan relevantie zal winnen.
Wat dit betekent voor de implementatie
Een overstap naar dit beleid vraagt om communicatie naar medewerkers, want het kan in eerste instantie als minder streng overkomen, terwijl het in werkelijkheid effectiever is. Het is nuttig om uit te leggen waarom de verandering wordt doorgevoerd: niet om het makkelijker te maken, maar om het daadwerkelijk veiliger te maken.
De overstap kan geleidelijk: begin met het afschaffen van verplichte periodieke wijziging en de introductie van een wachtwoordmanager, gevolgd door het instellen van controles tegen bekende datalekken, en parallel daaraan de uitrol van MFA op de meest kritieke systemen.
Wat RiskGuard hierin doet
RiskGuard helpt organisaties hun wachtwoordbeleid moderniseren op basis van actuele inzichten, in combinatie met de bredere inzet van multifactorauthenticatie en passwordless authenticatie waar dat past. We ondersteunen bij zowel de technische implementatie als de communicatie naar medewerkers.
Wil je weten of jullie wachtwoordbeleid nog aansluit op de huidige inzichten, of toe is aan vernieuwing? Neem contact op voor een vrijblijvend gesprek.
Benieuwd hoe jouw organisatie scoort?
Doe de gratis zelfscan en ontdek waar de risico's zitten.
