Waarom jouw wachtwoordbeleid vandaag achterhaald is
Je zou denken dat we in 2025 onze lessen over online veiligheid wel hebben geleerd. Helaas is niets minder waar. Uit onderzoek blijkt dat meer dan 90% van alle gelekte wachtwoorden nog steeds zwak of hergebruikt is. En ja, klassiekers als 123456 en welkom01 voeren de lijst nog altijd aan. In deze blog nemen wij je mee in de redenen waarom het traditionele wachtwoordbeleid niet meer werkt, hoe hackers slimmer zijn geworden door AI en wat jij vandaag nog kunt doen om écht veilig te blijven.
Wessel van den Bosch
Business Process Manager
Wat gaat er mis met traditioneel wachtwoordbeleid
- Hergebruik en voorspelbaarheid
Als gebruiker moet je steeds meer wachtwoorden onthouden, dus vaak wordt hetzelfde wachtwoord opnieuw gebruikt of slechts licht aangepast. Uit onderzoek blijkt dat mensen gemiddeld tientallen of honderden wachtwoorden hebben, en vaak hergebruik toepassen. Het gevolg: als één account wordt gekraakt, dan liggen alle andere accounts ook direct onder vuur.
- Complexiteit boven gebruiksgemak
Door de regels worden vaak wachtwoorden gecreëerd die technisch “moeilijk” zijn, maar praktisch slecht worden beheerd (geschreven op papiertje, hergebruikt met kleine variatie, etc.). Bovendien tonen nieuwe richtlijnen aan dat lengte en uniciteit belangrijker zijn dan alleen symbolen en cijfers. Veel organisaties zetten complexiteit in als hét middel, maar vergeten dat jij als het als gebruiker moet toepassen én onthouden.
- Verouderde aanpak in een moderne dreigingsomgeving
Het beleid werd ontworpen in een tijd waarin hackers vooral handmatig werk deden. Vandaag werken ze met automatisering, AI-tools, credential-stuffing: wachtwoorden die ooit “goed genoeg” waren zijn dat nu echt niet meer. Kortom: het beleid is achterhaald omdat de aanvalsmethoden zijn geëvolueerd, terwijl het beleid hetzelfde blijft.
Waarom de dreiging vandaag groter is dan ooit
Onderzoeken laten zien dat jaarlijks miljarden inloggegevens worden gelekt. Dat betekent in de praktijk dat je met één fout al in de gevaarzone terecht kan komen. Daar komt bij dat hackers tegenwoordig gebruikmaken van geautomatiseerde en AI-gestuurde aanvallen: met behulp van scripts, bots en AI-modellen herkennen ze patronen, raden ze wachtwoorden en voeren ze binnen enkele seconde duizenden loginpogingen uit. Wat vroeger een sterk wachtwoord leek, kan vandaag al binnen minuten worden gekraakt.
Toch blijft het menselijk element de zwakste schakel. Zelfs wanneer gebruikers weten dat hun wachtwoord is gelekt, verandert slechts een klein deel het direct. In combinatie met hergebruik van wachtwoorden, een beperkt gebruik van multi-factor-authenticatie (MFA) en het feit dat we tientallen inloggegevens moeten onthouden, ontstaat een kwetsbare situatie. Het traditionele wachtwoordbeleid houdt hier zelden rekening mee en mist dus een belangrijk element: menselijk gedrag.
Wat verander je vandaag nog binnen jouw organisatie?
We kunnen het niet vaak genoeg benadrukken: het verplicht instellen van multi-factor-authenticatie (MFA) voor alle gevoelige accounts en beheerdersrollen is essentieel. Zelfs als een wachtwoord wordt gekraakt, vormt MFA een extra beveiligingslaag die ongeautoriseerde toegang vaak voorkomt. Daarnaast is het belangrijk om het bestaande beleid kritisch te herzien. In plaats van het traditionele “verplicht wijzigen elke 90 dagen”-beleid, kun je beter overstappen op een risicogestuurde aanpak. Laat gebruikers hun wachtwoord alleen aanpassen bij signalen zoals een datalek, hergebruik of verdachte inlogpogingen. Tot slot is training en bewustwording onmisbaar. Investeer in het opleiden van medewerkers en blijf hen informeren over actuele cyberdreigingen en veilige gedragsregels. Want technologie biedt bescherming, maar de mens blijft de eerste verdedigingslinie.
Wat kun jij als individuele gebruiker doen?
Voor jou als gebruiker hebben wij een aantal praktische tips op een rij gezet om direct veiliger online te zijn:
- Gebruik één unieke wachtzin of wachtwoord per account. Een lange zin van 12-16 karakters of meer is vaak beter dan een korte complexe mix.
- Activeer MFA waar mogelijk (telefoon, e-mail, authenticator-app).
- Gebruik een betrouwbare wachtwoordmanager zodat je veel sterke wachtwoorden hebt zonder ze allemaal te hoeven onthouden.
- Controleer of jouw accountgegevens betrokken zijn bij een datalek (bv. via tools zoals “Have I Been Pwned”) en wijzig direct als dat zo is.
- Sluit of verwijder accounts die je niet meer gebruikt: elk actief account is een potentiële kwetsbaarheid.
Conclusie: tijd voor een modern beleid
Het oude model van wachtwoordbeleid voldoet niet meer in 2025. De wereld is veranderd: hackers zijn sneller, automatisering is standaard, en mensen hebben meer accounts dan ooit. Wie vandaag veilig wil blijven moet schakelen: van strenge regels naar slimme ondersteuning, van focus op alleen wachtwoord naar identiteits- en toegangsbeheer, en van een theoretisch beleid naar praktische veiligheid voor de gebruiker. Kortom: vernieuw je wachtwoordbeleid vandaag nog, voordat het achterhaalde beleid jouw organisatie of jouw persoonlijke accounts kwetsbaar maakt.