Wachtwoorden anno 2026: de nieuwe regels

In cybersecurity wijzigt alles heel snel, ook de regels voor het ideale wachtwoord horen daarbij. Wij hebben een update gemaakt over de nieuwste richtlijnen en hoe je jouw accounts écht beveiligt.

Een aantal jaren geleden zou Tr0ub&dor$2024! een sterk wachtwoord zijn geweest. Ingewikkeld en moeilijk te onthouden, maar toch niet zo veilig als we allemaal zouden denken. Wat vandaag écht veilig is, is veel eenvoudiger.

 

Wat zijn de nieuwste richtlijnen?

In juli 2025 publiceerde het Amerikaanse NIST (National Institute of Standards and Technology) de definitieve versie van Special Publication 800-63B Revision 4 — de gouden standaard voor wachtwoordbeveiliging wereldwijd. De vorige versie werd gelijktijdig ingetrokken. Dit zijn de belangrijkste verschuivingen:

Lengte primeert op complexiteit: Minstens 15 tekens voor een wachtwoord zonder extra beveiliging. Meer is altijd beter. Maximaal 64 tekens moet ondersteund worden.

Geen afdwingbare complexiteitsregels: Systemen mogen niet langer eisen dat u hoofdletters, cijfers en symbolen combineert. Lengte is het sleutelcriterium.

MFA is de norm: Multi-factor authenticatie wordt door NIST beschouwd als een onmisbaar onderdeel van elke serieuze beveiligingsstrategie.

 

Weetje: Bill Burr, de man die in 2003 de complexiteitsregels schreef (hoofdletter, cijfer, symbool, elke 90 dagen wijzigen), heeft publiekelijk zijn excuses aangeboden. Zijn goedbedoelde regels leidden in de praktijk tot voorspelbare patronen: Zomer2024! wordt Zomer2025!. Hackers hadden die trucjes ook snel door.

 

Hoe ziet een degelijk wachtwoord er dan uit?

Het simpelste, krachtigste principe: gebruik een wachtzin (passphrase). Vier tot vijf willekeurige, niet-gerelateerde woorden vormen een wachtwoord dat moeilijker te kraken is dan een kort maar ingewikkeld alternatief en véél gemakkelijker te onthouden.

 

Voorbeeld van een sterk wachtwoord:

fiets.olifant.september.koffie.venster.bang

43 tekens, volledig willekeurig, gemakkelijk te onthouden, vrijwel onkraakbaar via brute force.

 

Voorbeeld van een zwak wachtwoord:

Tr0ub&d0r$2024!

15 tekens maar voorspelbaar patroon (letter→cijfer, eindigt op jaar + uitroepteken). Kraakbaar.

 

De gouden regels op een rij

ü  Gebruik minimaal 15 tekens, streef naar 20 of meer

ü  Kies voor een wachtzin van 4–5 willekeurige woorden

ü  Gebruik een uniek wachtwoord voor elke account

ü  Wijzig uw wachtwoord bij een vermoedelijk lek

û  Vervang geen letters door symbolen: @ voor a, 0 voor o

û  Gebruik nooit persoonlijke info: naam, geboortedatum, huisdier

û  Hergebruik nooit hetzelfde wachtwoord op meerdere sites

û  Sla wachtwoorden nooit op in een onbeveiligd tekstbestand of notitie

 

Wat is MFA en waarom is het onmisbaar?

Multi-Factor Authenticatie (MFA) betekent dat u bij het inloggen niet alleen een wachtwoord invoert, maar u ook op een tweede manier bewijst dat u het bent. Zelfs als een aanvaller uw wachtwoord kent, kan hij niet inloggen zonder die tweede stap.

De drie factoren van authenticatie zijn:

1.        Uw wachtwoord of pincode

2.       Een code via sms, een authenticator-app (Google Authenticator, Microsoft Authenticator), een hardware-sleutel (Key).

3.       Vingerafdruk, gezichtsherkenning: biometrische verificatie. 

 MFA combineert minimaal twee van deze factoren. Het resultaat: zelfs een gelekt wachtwoord is nutteloos voor een aanvaller. Statistieken tonen aan dat MFA meer dan 99,9% van geautomatiseerde aanvallen blokkeert.

 

Welke MFA-methode kiezen?

●         Beste keuze: een authenticator-app. Deze zijn phishing-resistent.

●         Aanvaardbaar: een code via sms beter dan niets, maar kwetsbaarder.

●         Toekomst: passkeysdie gebruik  van bijvoorbeeld een vingerafdruk of gezichtsherkenning

 

 

Een passwordmanager: uw digitale kluis

Hoe beheert u unieke, lange wachtwoorden voor tientallen accounts? Niet door ze te onthouden, dat is onmogelijk. De oplossing: een dedicated passwordmanager.

Een passwordmanager genereert, bewaart en vult automatisch complexe wachtwoorden in. U onthoudt slechts één sterk hoofdwachtwoord. Alles wordt versleuteld opgeslagen, zelfs de aanbieder kan uw wachtwoorden niet lezen.

 

Waarom de browseropslag niet volstaat

Chrome, Edge of Firefox bieden ook wachtwoordopslag aan. Maar dit is anders dan een echte passwordmanager: de browseropslag is gekoppeld aan uw Google- of Microsoft-account, is toegankelijk voor iedereen die uw computer gebruikt, biedt minder sterke versleuteling en heeft beperkte functies voor wachtwoordbeheer en beveiligingsmeldingen. Bij een datalek of gehackt account bent u meteen alles kwijt.

Wat is dan de beste werkwijze? Gebruik een dedicated passwordmanager gecombineerd met MFA via een authenticator-app. Dat is de combinatie die u vandaag het beste beschermt, zowel als particulier particulieren als zakelijk.

 

Samengevat: uw actieplan

In 4 stappen ben je al dichter bij een veilig wachtwoordbeleid:

1.        Wachtzinnen: Gebruik lange, willekeurige zinnen als wachtwoord (15+ tekens)

2.        Uniek per account: Nooit een wachtwoord hergebruiken

3.        MFA activeren: Altijd een tweede factor instellen, bij voorkeur via een app

4.        Passwordmanager: Een dedicated kluis en géén browseropslag

 

Klaar om dit beleid stevig te verankeren in jouw bedrijf? Contacteer sales@phimac.be, dan zetten we het samen snel en veilig op poten.