Wachtwoorden overzetten naar een wachtwoordmanager

Module 7: Samenwerken, apps en beveiliging · Leestijd: 10 minuten

Leerdoel: Na deze les kun je wachtwoorden veilig overzetten uit je browser, briefjes en spreadsheets naar een wachtwoordmanager die past bij je nieuwe opzet, inclusief gedeelde kluizen voor het team.

Kernbegrippen: wachtwoordmanager, kluis, hoofdwachtwoord, herstelsleutel, wachtwoorden in de browser (Google, Edge, Apple), export als csv, gedeelde kluis of collectie, zelf hosten, open source, versleuteling op je eigen apparaat (zero-knowledge), passkeys bewaren

Het vergeten onderdeel

In bijna elke inventaris ontbreken de wachtwoorden. Ze staan niet in een clouddienst die je opzegt, dus niemand denkt eraan. Toch zitten ze er vaak midden in. Bij Bakkerij De Korrel blijkt na een rondje:

• de meeste wachtwoorden staan in Chrome, opgeslagen in het Google-account van de persoon;
• de wachtwoorden van de bank, de groothandel en de webshop staan in een spreadsheet wachtwoorden.xlsx in Google Drive;
• het wifi-wachtwoord en de code van het alarm hangen op een briefje;
• twee collega's gebruiken overal hetzelfde wachtwoord.

Als het Google-account verdwijnt, verdwijnen de wachtwoorden in Chrome mee. En een spreadsheet met wachtwoorden in de cloud is een van de eerste dingen waar een inbreker naar zoekt. Een overstap is dus het goede moment om dit op te lossen.

Wat een wachtwoordmanager doet

Een wachtwoordmanager is een versleutelde kluis voor wachtwoorden, met een app op telefoon en computer en een uitbreiding in de browser. Je onthoudt één sterk hoofdwachtwoord; de manager maakt voor elke site een lang, uniek wachtwoord en vult het voor je in.

Belangrijk is waar de versleuteling gebeurt. Bij de bekende managers wordt de kluis op je eigen apparaat versleuteld met een sleutel die van je hoofdwachtwoord is afgeleid. De aanbieder bewaart alleen de versleutelde kluis en kan je wachtwoorden niet lezen. Dat heet vaak "zero-knowledge". Het gevolg: vergeet je je hoofdwachtwoord en heb je geen herstelsleutel, dan kan ook de aanbieder je niet helpen.

Een goede manager vult ook alleen in op het echte adres. Een nepsite van je bank krijgt dus niets, ook als hij er precies zo uitziet. Dat is een extra bescherming tegen phishing.

Welke soorten zijn er?

Dit is geen ranglijst. Voor een eenmanszaak kan KeePassXC met het kluisbestand in de eigen cloud prima zijn. Voor een team van twaalf is een manager met gedeelde kluizen handiger. Gebruik de vijf vragen uit les 2.1 (vestiging, eigenaar, datacenter, subverwerkers, sleutel) ook hier. Bij een wachtwoordmanager weegt de laatste vraag het zwaarst: wie heeft de sleutel? Is dat alleen jij, dan maakt het minder uit waar de versleutelde kluis staat dan bij gewone bestanden.

Overzetten: export, import en direct weggooien

Bijna elke browser en manager kan wachtwoorden exporteren als csv-bestand. Dat is een gewoon tekstbestand met op elke regel een site, gebruikersnaam en wachtwoord, onversleuteld. Iedereen die het bestand opent, kan alles lezen. Daarom:

1. Doe het op een computer die je vertrouwt, niet op een gedeelde winkelcomputer.
2. Exporteer naar je eigen computer, niet naar een gesynchroniseerde map of de cloud. Anders staat het onversleutelde bestand binnen een paar seconden op de server, in de versies en in de prullenbak.
3. Importeer het meteen in de nieuwe manager.
4. Controleer steekproefsgewijs of het klopt (een paar sites inloggen).
5. Verwijder het csv-bestand direct, en leeg ook de prullenbak van de computer.
6. Zet daarna het opslaan van wachtwoorden in de browser uit, zodat er geen tweede, verouderde kopie ontstaat.

De spreadsheet met wachtwoorden zet je over door de gegevens met de hand in de manager te zetten (of als csv te importeren, met dezelfde regels). Verwijder de spreadsheet daarna, ook uit de prullenbak en de versiegeschiedenis van de oude cloud. Wijzig de belangrijkste wachtwoorden die erin stonden, want je weet niet wie het bestand in de loop der jaren heeft gezien.

Let ook op passkeys (les 7.3). Een passkey die in je Google- of Apple-account is opgeslagen, kun je niet altijd exporteren. Maak bij de belangrijke sites in je nieuwe manager een nieuwe passkey aan of zorg dat je wachtwoord en tweede stap bekend zijn, voordat je het oude account opheft.

Delen in een team

Sommige wachtwoorden horen bij de organisatie, niet bij een persoon: de bank, de groothandel, de social-media-accounts, het wifi. Gebruik daarvoor een gedeelde kluis of collectie in de manager:

• Maak per groep een kluis: "Winkel", "Administratie", "Beheer". Niet iedereen hoeft alles te zien.
• Deel nooit een wachtwoord via chat of mail. Ook niet "even snel".
• Vertrekt iemand, haal hem uit de gedeelde kluizen en wijzig de wachtwoorden waar hij bij kon en die hij kan hebben onthouden of gekopieerd.

Het hoofdwachtwoord en de dag dat het misgaat

Het hoofdwachtwoord is de enige sleutel. Kies een lange zin van vier tot zes willekeurige woorden, die je nergens anders gebruikt. Zet op de manager zelf ook tweestapsverificatie aan.

Regel herstel vooraf:

• Bewaar de herstelsleutel of noodtoegang die je manager biedt op papier, op een veilige plek.
• Spreek voor de organisatie af wie bij overlijden of langdurige ziekte van de eigenaar toegang krijgt. Veel managers hebben daar een functie voor noodtoegang.
• De back-upcodes van je belangrijkste accounts horen hier ook, of op papier (les 7.3). Niet in een kluis waar je alleen in komt met die accounts.

In de praktijk: zo ziet het eruit bij een aanbieder

In een WebOké Nextcloud staat geen aparte wachtwoordmanager; je gebruikt een wachtwoordmanager naar keuze. Gebruik je KeePassXC, dan kun je het versleutelde kluisbestand in je Nextcloud zetten, zodat het via de desktop-app op al je computers staat en via versies terug te halen is. Het bestand is dan versleuteld met jouw hoofdwachtwoord voordat het de server bereikt. De handleiding over de beveiliging van de WebOké Nextcloud raadt zelf ook een wachtwoordmanager aan, en noemt die als goede plek voor je back-upcodes.

Bij andere Europese clouddiensten werkt het vergelijkbaar: de wachtwoordmanager is meestal een losse dienst of app naast je cloud.

Samenvatting

• Wachtwoorden in de browser van je oude account verdwijnen mee als je dat account opheft. Zet ze vooraf over.
• Een wachtwoordmanager versleutelt op je eigen apparaat; het hoofdwachtwoord is de enige sleutel.
• Een csv-export is onversleuteld: nooit in een gesynchroniseerde map, meteen importeren, meteen weggooien.
• Gebruik gedeelde kluizen per groep voor wachtwoorden van de organisatie, en wijzig ze bij vertrek.
• Regel herstel en noodtoegang vooraf, op papier.

Quiz

Opdracht

Opdracht E7.4: Wachtwoorden in kaart en overzetplan. Zoek uit waar de wachtwoorden in je organisatie nu staan (browser per persoon, spreadsheets, briefjes, gedeelde accounts), kies een wachtwoordmanager met de vijf vragen uit les 2.1, en schrijf het overzetplan: wie exporteert wat, op welke computer, wanneer het csv-bestand wordt verwijderd, en welke gedeelde kluizen er komen.

Verder lezen

De stappen in deze artikelen gelden voor de diensten van WebOké; bij andere aanbieders werkt het vergelijkbaar.

• Nextcloud handleiding 3.1: Hoe beveiligt WebOké je Nextcloud?
• Nextcloud handleiding 3.3: Een authenticator-app instellen en back-upcodes bewaren
• NCSC, Beginnen met cybersecurity: https://www.ncsc.nl/beginnen-met-cybersecurity
• KeePassXC: https://keepassxc.org/