Een sterk wachtwoord is vooral lang, moeilijk te voorspellen en uniek voor één account. Met een wachtzin kun je een sterk wachtwoord maken dat je ook kunt onthouden. Voor andere accounts helpt een wachtwoordmanager je om verschillende willekeurige wachtwoorden te gebruiken.
Waarom lengte het belangrijkst is
Een aanvaller kan proberen een wachtwoord te raden door veel combinaties uit te proberen. Hoe langer een wachtwoord is, hoe meer mogelijkheden er in het algemeen zijn. Maar lengte alleen is niet genoeg: een lange reeks zoals een bekend liedje of steeds dezelfde letter is voorspelbaar en daardoor minder sterk dan ze lijkt.
Kies waar mogelijk een wachtwoord van minstens 16 tekens. Meer mag, zolang de dienst het accepteert. Gebruik daarbij bij voorkeur een willekeurig gegenereerd wachtwoord of een wachtzin met meerdere willekeurig gekozen woorden. Een kort wachtwoord wordt niet vanzelf sterk doordat je er een uitroepteken aan toevoegt.
Aanvallers proberen vaak eerst veelgebruikte wachtwoorden, woorden en voorspelbare varianten. Soms testen ze inloggegevens die bij een ander bedrijf zijn uitgelekt. Als een aanvaller een bestand met opgeslagen wachtwoordgegevens bemachtigt, kan die ook buiten de website om grote aantallen gissingen proberen. Hoe snel dat gaat, hangt onder meer af van hoe de dienst wachtwoorden heeft opgeslagen.
Een sterk wachtwoord verkleint dus de kans dat iemand het raadt, maar beschermt niet tegen alles. Geef je het zelf af op een nagemaakte website, dan kan een aanvaller het direct gebruiken. Lees daarom ook hoe je phishing herkent.
De wachtzin
Een wachtzin bestaat uit meerdere woorden en is vaak gemakkelijker te onthouden dan een even lange reeks willekeurige tekens. Het belangrijkste is dat de woorden niet samen een bekende uitspraak vormen en niet gemakkelijk uit je persoonlijke leven zijn af te leiden.
Zo maak je een wachtzin:
- Kies meerdere woorden onafhankelijk en willekeurig uit een grote woordenlijst. Je kunt daarvoor een betrouwbare methode gebruiken die met dobbelstenen woorden aanwijst.
- Neem bijvoorbeeld vijf of meer willekeurige woorden en controleer of de dienst de lengte accepteert.
- Zet de woorden achter elkaar of gebruik scheidingstekens als de dienst die toestaat.
- Onthoud de woorden met een vreemd beeld of verhaaltje, maar verzin niet eerst het verhaal om daar vervolgens voorspelbare woorden uit te kiezen.
Een wachtzin met zelfgekozen woorden is niet automatisch willekeurig: mensen kiezen vaak vertrouwde combinaties. Gebruik ook geen voorbeeldwachtzin uit een artikel of van een website. Die is openbaar en kan op een lijst met gissingen terechtkomen.
Moet je volgens een dienst cijfers of speciale tekens gebruiken, voeg die dan toe. Beschouw die eis als aanvulling, niet als vervanging voor lengte en willekeur. Let bij het invoeren op hoofdletters, spaties en de toetsenbordindeling: een kleine afwijking kan ervoor zorgen dat je niet kunt inloggen.
Waarom elk wachtwoord uniek moet zijn
Een uniek wachtwoord gebruik je voor precies één account. Dat is belangrijk omdat ook een sterk wachtwoord kan uitlekken bij een dienst waar je geen invloed op hebt. Als je hetzelfde wachtwoord op meerdere plekken gebruikt, kunnen aanvallers de uitgelekte combinatie van e-mailadres en wachtwoord ook bij andere websites proberen.
Varianten van één basiswachtwoord zijn geen goede oplossing. Als iemand één variant kent, zijn andere varianten met een herkenbare toevoeging vaak te raden. Geef daarom ieder account een zelfstandig gekozen wachtwoord, ook als het account op zichzelf onbelangrijk lijkt.
Voor veel accounts is onthouden lastig. Een wachtwoordmanager kan voor elk account een willekeurig wachtwoord maken en bewaren. Je hoeft dan vooral het hoofdwachtwoord van de wachtwoordmanager te onthouden. Maak dat hoofdwachtwoord lang, uniek en goed te onthouden, bijvoorbeeld met een zorgvuldig gemaakte wachtzin. Bewaar eventuele herstelgegevens op een veilige plek.
Let extra op het wachtwoord van je e-mailaccount. Via e-mail kun je bij veel diensten andere wachtwoorden herstellen. Krijgt iemand toegang tot je mailbox, dan kan die dus mogelijk ook andere accounts overnemen. Meer uitleg over veilig inloggen vind je bij wachtwoorden en tweestapsverificatie.
Veelgemaakte fouten
Een wachtwoord kan lang lijken en toch gemakkelijk te raden zijn. Vermijd daarom niet alleen korte wachtwoorden, maar ook patronen die anderen kunnen herkennen of die vaak in wachtwoordlijsten voorkomen.
- Gebruik geen namen, geboortedata, adressen of andere gegevens die iemand over je kan vinden.
- Kies geen bekende uitdrukking, liedtekst, toetsenbordpatroon of veelgebruikt wachtwoord.
- Vertrouw niet op voorspelbare vervangingen, zoals een letter vervangen door een vergelijkbaar cijfer.
- Hergebruik geen wachtwoord en maak geen herkenbare varianten voor verschillende diensten.
- Deel je wachtwoord niet via een bericht of telefoongesprek. Een legitieme organisatie hoeft niet naar je wachtwoord te vragen.
Sla wachtwoorden ook niet op in een onbeveiligd document dat anderen gemakkelijk kunnen openen. Een wachtwoordmanager is bedoeld om ze beschermd te bewaren. Schrijf je een belangrijk wachtwoord toch op als reserve, bewaar het dan op een veilige plek en niet zichtbaar bij je computer.
Let bovendien op waar je een wachtwoord invoert. Controleer of je op de juiste website of in de juiste app bent. Schadelijke software kan gegevens proberen te stelen, ook als je wachtwoord sterk is. Meer daarover lees je bij malware en virussen.
Wanneer je een wachtwoord moet veranderen
Verander een wachtwoord zodra je weet of vermoedt dat iemand anders het kent. Doe dat bijvoorbeeld na een melding dat je inloggegevens zijn uitgelekt, nadat je ze op een verdachte website hebt ingevuld of wanneer je onbekende activiteit in je account ziet. Wacht dan niet tot een geplande wijziging.
Maak een nieuw, uniek wachtwoord dat niet lijkt op het oude. Gebruikte je het oude wachtwoord ook ergens anders? Verander het dan op al die plekken. Begin bij je e-mail en andere accounts waarmee je toegang tot meer diensten kunt herstellen. Controleer ook of de herstelgegevens van je account nog kloppen en meld onbekende sessies af als de dienst die mogelijkheid biedt.
Denk je dat je apparaat besmet is, gebruik dan zo mogelijk een ander, vertrouwd apparaat om je wachtwoorden te wijzigen en pak ook de mogelijke besmetting aan. Anders kan een aanvaller het nieuwe wachtwoord mogelijk opnieuw onderscheppen. Vermoed je dat iemand al toegang heeft tot een account, volg dan de checklist voor een gehackt account.
Zonder aanwijzing voor misbruik hoef je een sterk en uniek wachtwoord doorgaans niet regelmatig te veranderen. Regelmatig wisselen kan juist leiden tot voorspelbare kleine aanpassingen. Volg wel de beveiligingsregels van je organisatie of dienst als die een wijziging vereist.
Veelgestelde vragen
Hoe lang moet een sterk wachtwoord zijn?
Kies waar mogelijk minstens 16 tekens en gebruik een willekeurig wachtwoord of meerdere willekeurig gekozen woorden. Lengte helpt, maar een voorspelbare lange zin is minder sterk.
Zijn speciale tekens verplicht voor een sterk wachtwoord?
Nee. Een lange wachtzin met willekeurig gekozen woorden kan ook sterk zijn. Voeg speciale tekens toe als de dienst daarom vraagt.
Mag ik hetzelfde wachtwoord met een andere toevoeging gebruiken?
Dat is af te raden: herkenbare varianten kunnen te raden zijn als één wachtwoord uitlekt. Gebruik voor elk account een zelfstandig gekozen wachtwoord.
Moet ik mijn wachtwoord regelmatig veranderen?
Niet zonder aanleiding, zolang het sterk en uniek is. Verander het wel direct bij een lek, vermoeden van misbruik of als de dienst dat vereist.