Wachtwoorden en passkeys: stoppen met regels, beginnen met gereedschap

Waarom wachtwoordregels niet werken

Het klassieke beleid vraagt om een hoofdletter, een cijfer, een leesteken, minstens twaalf tekens, en elk kwartaal een nieuw wachtwoord. Dat leest als degelijkheid. In de praktijk levert het het tegenovergestelde op.

Wat er gebeurt is dat mensen een patroon maken en dat patroon aanhouden, omdat er geen andere manier is om twintig verschillende wachtwoorden te onthouden. Het kwartaalwachtwoord wordt Zomer2026! en daarna Herfst2026!. De verplichte wisseling levert dus geen nieuw geheim op maar een voorspelbare reeks, en een aanvaller die het vorige kent, raadt het volgende.

De richtlijnen zijn hierop al jaren geleden bijgesteld. Het advies is nu: geen verplichte periodieke wisseling, geen samenstellingsregels, wél lange wachtwoorden toestaan en wél controleren tegen lijsten van uitgelekte wachtwoorden. Wisselen doe je als er aanleiding voor is, niet omdat de kalender dat zegt.

Het echte probleem staat daar los van, en het is hergebruik. Hetzelfde wachtwoord dat iemand op je zakelijke portaal gebruikt, staat ook op een webshop die drie jaar geleden is gelekt. Dat lek staat in een lijst, die lijst wordt geprobeerd, en dan heeft niemand iets hoeven kraken.

De wachtwoordmanager is de eerste stap, niet de laatste

Hergebruik verdwijnt pas als het onthouden verdwijnt. Daarom is een wachtwoordmanager geen luxe voor de IT-afdeling maar de maatregel met het hoogste rendement van allemaal: iedereen krijgt overal een ander, lang, willekeurig wachtwoord zonder dat iemand er iets voor hoeft te doen.

Wat het in de praktijk oplost, en dat is meer dan de kluis zelf:

• Gedeelde accounts krijgen een plek. Het account van de receptie, de inlog van de leverancier, het beheerderswachtwoord van de webshop — die staan nu in een appgroep of op een briefje in een la. In een gedeelde kluis staan ze op één plaats, met een lijst van wie erbij kan.
• Uitdiensttreding wordt uitvoerbaar. Vertrekt iemand, dan zie je precies welke gedeelde wachtwoorden hij kende en dus welke je moet vervangen. Zonder kluis is dat antwoord altijd "we weten het niet, dus we vervangen niets".
• Phishing wordt zichtbaar. Een manager vult alleen in op het adres waar hij het wachtwoord heeft opgeslagen. Staat de gebruiker op een nagemaakte pagina, dan gebeurt er niets — en dat niets is de waarschuwing.

De weerstand die je krijgt is voorspelbaar en gaat over de meesterwachtwoord-vraag: alles op één plek, is dat niet juist gevaarlijk? Het eerlijke antwoord is dat je een risico verplaatst. Je ruilt twintig zwakke, hergebruikte geheimen in voor één sterk geheim met tweede factor erop. Dat is een betere ruil, en het is de reden dat we dit adviseren en niet dat we doen alsof er geen afweging is.

Wat een passkey is, in gewone woorden

Een passkey is geen wachtwoord dat je niet hoeft te onthouden. Het is iets anders, en het verschil zit hem in wat er over de lijn gaat.

Bij een wachtwoord stuur je het geheim naar de website. De site moet het ontvangen om te kunnen controleren, en daarmee kan het onderweg worden afgevangen of aan de verkeerde site worden gegeven. Bij een passkey maakt je apparaat een sleutelpaar aan. De geheime helft blijft op je apparaat en gaat er nooit af; de site krijgt alleen de openbare helft. Bij het aanmelden stuurt de site een uitdaging, je apparaat ondertekent die, en de site controleert de handtekening.

Daaruit volgt de eigenschap waar het allemaal om draait: een passkey is vastgeklonken aan het adres waarvoor hij is gemaakt. Een nagemaakte inlogpagina op een adres dat één letter afwijkt, krijgt niets — niet omdat de gebruiker oplet, maar omdat de browser de sleutel simpelweg niet aanbiedt. Er is geen geheim dat je per ongeluk kunt weggeven.

Dat is een wezenlijk andere bescherming dan een code uit een app. Een gebruiker die op een goed nagemaakte pagina staat, tikt die code namelijk gewoon over, en de aanvaller gebruikt hem binnen de dertig seconden die hij geldig is. Met een passkey kan dat niet gebeuren.

Ontgrendelen doe je met je vingerafdruk, je gezicht of de pincode van je apparaat. Die gaan niet naar de website; ze openen alleen de sleutel die er al is.

Waar het in de praktijk vastloopt

Zo goed als het idee is, zo hardnekkig zijn de drie plekken waar een invoering strandt. Ze staan zelden in het verkoopverhaal.

• Het herstelpad is de zwakke plek. Een passkey zit op een apparaat. Raakt dat apparaat kwijt, kapot of vertrekt de eigenaar, dan moet er een weg terug zijn. Is die weg "bel de helpdesk en die zet je account open", dan is dát wat een aanvaller aanvalt, en dan heb je de deur verplaatst in plaats van gesloten. Leg vast hoe iemand aantoont wie hij is voordat je passkeys uitrolt, niet erna.
• De terugval maakt de winst ongedaan. Staat het wachtwoord er nog naast als alternatief, dan kan een aanvaller dat pad kiezen. Zolang die knop er is, heb je de phishingbestendigheid niet echt. Het uitzetten kan pas als iedereen over is, en dat is precies waarom een uitrol een einddatum nodig heeft.
• Niet alles doet mee. Je kantooromgeving en de grote clouddiensten ondersteunen het inmiddels goed. Het boekhoudpakket van je branchevereniging, de portal van een leverancier en het apparaat in de productiehal doen dat vaak niet. Voor die blijft er een wachtwoordmanager nodig, en dat is geen tussenoplossing maar de situatie voor de komende jaren.

Een vierde punt dat vaker voorkomt dan gedacht: gedeelde accounts. Passkeys zijn persoonlijk van opzet. Een balie-account waar drie mensen mee werken past er slecht in, en dat is meestal een goed moment om vast te stellen dat dat account eigenlijk drie accounts had moeten zijn.

De volgorde die wij aanhouden

Alles tegelijk werkt niet, en bij passkeys beginnen werkt ook niet. Dit is de volgorde waarin het meeste risico als eerste weggaat.

• Eén: een wachtwoordmanager voor iedereen. Inclusief een gedeelde kluis voor de accounts die niet van één persoon zijn. Dit haalt hergebruik weg en dat is de grootste enkele winst.
• Twee: tweede factor op alles, en op beheerders het eerst. Liever een app of een sleutel dan sms; een code per sms is te onderscheppen en te omzeilen.
• Drie: passkeys op de accounts die ertoe doen. Begin bij de beheerders en bij de aanmelding op je kantooromgeving. Dat is waar phishing op mikt en waar de winst dus het grootst is.
• Vier: het herstelpad dichtzetten. Wie mag een account openzetten, hoe stelt hij de identiteit vast, en wordt dat gelogd. Zonder dit is stap drie schijnveiligheid.
• Vijf: pas dan het wachtwoord als terugval uitzetten, per groep, en niet voordat je zeker weet dat iedereen in die groep over is.

Dit is dezelfde identiteitslaag als in Zero Trust, en het is niet toevallig dat die twee onderwerpen op dezelfde plek uitkomen. Het account is bij vrijwel elk incident de ingang, en dit is het werk dat die ingang smaller maakt.

Reken op een kwartaal voor stap één en twee bij een organisatie van honderd man, en op weerstand in de eerste twee weken. Die weerstand zakt zodra mensen doorhebben dat ze niets meer hoeven te onthouden — dat is bij dit onderwerp de zeldzame situatie waarin veiliger ook makkelijker is.