Wat een sterk wachtwoord echt is

Module 2: Wachtwoorden en inloggen · Leestijd: 9 minuten

Leerdoel: Na deze les kun je uitleggen waarom lengte en uniek zijn belangrijker zijn dan rare tekens, en wat de huidige NIST-richtlijn over wachtwoorden zegt.

Kernbegrippen: lengte, entropie, wachtwoordzin, woordenboekaanval, brute force, hergebruik, verplicht wisselen

Hoe een wachtwoord gekraakt wordt

Bij "een wachtwoord kraken" denken veel mensen aan iemand die op jouw inlogpagina zit te raden. Dat gebeurt, maar het is niet de grootste dreiging. Een goede inlogpagina remt na een aantal foute pogingen af of blokkeert tijdelijk. Raden via de voordeur gaat dus traag.

Gevaarlijker is offline kraken. Een website bewaart je wachtwoord (als het goed is) niet zelf, maar een hash: een soort vingerafdruk waaruit je het wachtwoord niet direct kunt terugrekenen. Lekt de database van een webwinkel, dan heeft de aanvaller die vingerafdrukken op zijn eigen computers. Daar is geen rem. Hij probeert zoveel wachtwoorden als zijn apparatuur aankan en vergelijkt elke uitkomst met de gelekte vingerafdruk.

Daarbij gebruikt hij twee methoden:

• Woordenboekaanval: eerst alles wat mensen vaak kiezen. Lijsten met miljoenen echte wachtwoorden uit eerdere lekken, woorden uit woordenboeken, namen, plaatsen, jaartallen. Met vaste regels erbij: hoofdletter vooraan, jaartal erachter, uitroepteken aan het eind, a wordt @, o wordt 0.
• Brute force: daarna alle mogelijke combinaties van tekens, van kort naar lang.

Een wachtwoord als Zomer2026! lijkt sterk: hoofdletter, cijfers, leesteken, tien tekens. Maar het is precies het patroon dat in die regels zit: een woord, een jaartal, een teken. Zo'n wachtwoord valt in de eerste ronde, lang voordat de brute force begint.

Lengte wint van rare tekens

Hoe sterk een wachtwoord is, hangt af van hoeveel mogelijkheden een aanvaller moet proberen. Dat aantal reken je zo uit: aantal mogelijke tekens tot de macht lengte.

Op een gewoon toetsenbord zijn er 95 tekens die je kunt typen (letters groot en klein, cijfers, leestekens en de spatie). Een willekeurig wachtwoord van 8 tekens heeft dan 95 tot de macht 8 mogelijkheden: ongeveer 6,63 × 10^15. Dat lijkt veel, maar met snelle apparatuur en een zwakke manier van opslaan is dat binnen dagen doorzocht.

Elk extra teken vermenigvuldigt het aantal met 95. Een extra soort teken (bijvoorbeeld leestekens toevoegen aan alleen letters) vermenigvuldigt de basis maar een beetje. Daarom levert lengte veel meer op dan ingewikkeldheid.

Die laatste kolom is entropie: een maat voor hoe onvoorspelbaar iets is, uitgedrukt in bits. In gewone taal: elk bit erbij verdubbelt het werk van de aanvaller. Een wachtwoord van 65 bits kost dus niet een beetje, maar zo'n 4.000 keer meer werk dan een van 53 bits.

Belangrijk: deze getallen gelden alleen als het wachtwoord echt willekeurig is gekozen. Een wachtwoord dat jij verzint, is bijna nooit willekeurig. Bakkerij2026! heeft dertien tekens, maar zit qua patroon in elke kraaklijst.

De wachtwoordzin

Een wachtwoordzin is een wachtwoord dat bestaat uit een aantal losse woorden, bijvoorbeeld vijf of zes. Het voordeel: lang, en toch te onthouden en te typen. Het NCSC raadt aan om vier tot zes woorden te kiezen die niets met elkaar te maken hebben, en zegt dat een lange zin met alleen kleine letters veiliger is dan een kort wachtwoord met alle soorten tekens.

Een wachtwoordzin is alleen sterk als de woorden willekeurig zijn gekozen:

• Goed: een generator (in je wachtwoordmanager) of dobbelstenen met een woordenlijst. De bekende methode met vijf dobbelstenen gebruikt een lijst van 7.776 woorden, omdat 6 tot de macht 5 precies 7.776 is. De makers van zo'n lijst raden voor de meeste toepassingen zes woorden aan.
• Fout: een bekende zin, een songtekst, een spreekwoord of iets over jezelf. ikhouvanmijnhondbobby is lang, maar de woorden hangen samen en zijn te raden voor wie je kent of je social media leest.

Een wachtwoordzin is nog steeds een wachtwoord. Je gebruikt hem op één plek en je deelt hem niet.

Uniek is belangrijker dan ingewikkeld

Het sterkste wachtwoord helpt niet als je het op twintig plekken gebruikt. In les 1.4 zag je credential stuffing: een gelekt e-mailadres met wachtwoord wordt automatisch geprobeerd bij mail, boekhouding, webwinkels en social media. Lekt het bij de zwakste van die twintig diensten, dan zijn ze alle twintig open.

Hergebruik is daarom de grootste zwakte in de praktijk. En "een beetje varianten" telt niet als uniek. Example!Mail en Example!Shop zijn voor een aanvaller met één gelekt wachtwoord in een paar pogingen te raden.

De oplossing is niet onthouden, maar bewaren: een wachtwoordmanager maakt voor elke dienst een lang, willekeurig wachtwoord en onthoudt het voor je. Dat is les 2.2. Je hoeft dan nog maar een paar dingen te onthouden: het hoofdwachtwoord van de manager en eventueel het wachtwoord van je computer.

Wat de NIST-richtlijn zegt

Het Amerikaanse NIST (National Institute of Standards and Technology) publiceert de bekendste richtlijn voor inloggen: SP 800-63B. De vierde versie is op 31 juli 2025 definitief geworden. Veel organisaties wereldwijd volgen hem. De belangrijkste punten voor wachtwoorden:

• Is het wachtwoord de enige manier van inloggen, dan minstens 15 tekens. Is het onderdeel van tweestapsverificatie, dan minstens 8.
• Een dienst moet wachtwoorden van minstens 64 tekens toestaan.
• Geen samenstellingsregels: een dienst mag niet verplichten tot "minstens één hoofdletter, één cijfer en één leesteken".
• Niet periodiek laten wijzigen. Alleen wijzigen als er een aanwijzing is dat het wachtwoord is uitgelekt.
• Nieuwe wachtwoorden toetsen tegen een lijst van veelgebruikte en gelekte wachtwoorden.
• Plakken en wachtwoordmanagers toestaan.
• Geen beveiligingsvragen ("naam van je eerste huisdier") en geen wachtwoordhints.

Waarom verplicht wisselen niet meer wordt aangeraden

Jarenlang moest je op je werk elke drie maanden een nieuw wachtwoord kiezen. Het idee: een gestolen wachtwoord werkt dan maar kort. In de praktijk doen mensen dit: Zomer2026! wordt Herfst2026!, daarna Winter2026!. Een aanvaller met het oude wachtwoord raadt het nieuwe in een paar pogingen. En wie steeds een nieuw wachtwoord moet bedenken, kiest kortere en schrijft ze op een briefje.

Verplicht wisselen maakt wachtwoorden dus voorspelbaarder. Wel wissel je meteen als er een reden is: een melding van een lek, een vreemde inlog, een collega die vertrekt en het wachtwoord kende, of als je het per ongeluk ergens hebt ingevuld.

In de praktijk: een wachtwoordbeleid op één A4

Voor een klein bedrijf als Bakkerij Example volstaat een kort beleid:

1. Elk account heeft een eigen, persoonlijk wachtwoord. Geen gedeelde inlog voor info@example.com waar vijf mensen het wachtwoord van kennen.
2. Wachtwoorden maakt de wachtwoordmanager: willekeurig, minstens 15 tekens, of een wachtwoordzin van minstens vijf willekeurige woorden waar je moet typen.
3. Nooit hetzelfde wachtwoord op twee plekken.
4. Tweestapsverificatie aan op mail, boekhouding, bank, hosting en domeinregistratie (les 2.3).
5. Wisselen alleen bij een reden, en dan meteen.
6. Wachtwoorden nooit via mail, chat of op een briefje aan het scherm.

Ook je hostingpaneel volgt deze lijn. In de WebOké-omgeving kun je bijvoorbeeld bij het DA-wachtwoord en bij mailboxen een willekeurig wachtwoord laten maken; in andere panelen heet die knop vaak "Genereer" of "Generate". Laat zo'n generator altijd minstens 15 tekens maken; vaak kun je de lengte zelf kiezen.

Samenvatting

• Aanvallers kraken vooral offline, na een lek, met lijsten en regels. Voorspelbare patronen vallen meteen.
• Lengte en echte willekeur leveren veel meer op dan rare tekens. Elk bit entropie verdubbelt het werk.
• Een wachtwoordzin van willekeurig gekozen woorden is lang en toch te onthouden.
• Uniek is belangrijker dan ingewikkeld: hergebruik maakt één lek tot twintig lekken.
• NIST SP 800-63B-4: minstens 15 tekens als enige factor, geen samenstellingsregels, niet periodiek wisselen, wel toetsen tegen gelekte wachtwoorden.

Quiz

Opdracht

Opdracht A2.1: Rekenen en beoordelen. Je vult nergens een eigen wachtwoord in. Deel 1: reken uit hoeveel mogelijkheden een wachtwoordzin en een willekeurig wachtwoord hebben (je krijgt de aantallen woorden en tekens), welke van de twee sterker is en hoeveel keer. Deel 2: beoordeel zes verzonnen voorbeeldwachtwoorden: voorspelbaar, te kort, hergebruikt of sterk. Het programma rekent na en geeft per antwoord uitleg.

Verder lezen

De stappen in de WebOké-artikelen gelden voor de omgeving van WebOké; bij andere aanbieders werkt het vergelijkbaar.

• DirectAdmin handleiding 3.7: Veilige wachtwoorden en wat je doet bij een gelekt wachtwoord
• Wachtwoord of limieten van een e-mailadres wijzigen
• NCSC, Tips voor het bedenken van een sterk wachtwoord: https://www.ncsc.nl/multifactor-authenticatie/tips-voor-het-bedenken-van-een-sterk-wachtwoord
• NCSC, Vier stappen om je wachtwoorden veiliger te maken: https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken
• NIST SP 800-63B-4, Authentication and Authenticator Management (Engels): https://pages.nist.gov/800-63-4/sp800-63b.html
• EFF, Dice-Generated Passphrases (Engels, de woordenlijst met dobbelstenen): https://www.eff.org/dice