--- title: "Tweefactorauthenticatie: de vangrail voor als er tóch iemand klikt" date: 2026-09-17 author: "Rik Hoogland" categories: - name: "Briefing" url: "/category/briefing.md" --- # Tweefactorauthenticatie: de vangrail voor als er tóch iemand klikt **TL;DR**- Tweefactorauthenticatie (2FA) is een vangrail: hij voorkomt het ongeluk niet, maar zorgt dat een gestolen wachtwoord niet meteen een overgenomen account is. - 2FA is sterk tegen gelekte en geraden wachtwoorden, maar niet onfeilbaar: MFA-vermoeidheid en realtime phishing kunnen eromheen. - Er is een duidelijke volgorde van sterkte: sms-codes als minimum, een authenticator-app als degelijke middenweg, hardware security keys als sterkste vorm. - Collega’s krijg je mee door wrijving weg te nemen en het waarom te vertellen, niet door 2FA als zoveelste verplichting te droppen. Op elke zaal waar ik over beveiliging vertel, hangt onuitgesproken dezelfde aanname: als we mensen maar goed genoeg trainen, klikt er niemand meer verkeerd. Laat ik die meteen doorprikken — er klikt altijd een keer iemand verkeerd. Jij ook, ik ook. Niet uit domheid, maar omdat aanvallers maar één geslaagd moment nodig hebben en jij elke dag honderd keer foutloos moet zijn. Daarom is de interessantste vraag niet hoe je klikken voorkomt, maar wat er gebeurt ná de klik. En daar staat, als het goed is, tweefactorauthenticatie: de vangrail die ervoor zorgt dat een afgegeven wachtwoord nog geen overgenomen account is. ## Wat 2FA wél tegenhoudt Tweefactorauthenticatie betekent simpelweg: inloggen vraagt twee verschillende soorten bewijs. Iets dat je weet (je wachtwoord) plus iets dat je hebt (je telefoon, een app, een fysieke sleutel). Het idee: wie je wachtwoord steelt, heeft je telefoon niet, en staat dus alsnog voor een dichte deur. Tegen de meest voorkomende aanvallen werkt dat uitstekend. Een wachtwoord dat in een datalek belandt en geautomatiseerd overal wordt geprobeerd? Strandt op de tweede factor. Een wachtwoord dat geraden of afgekeken wordt? Zelfde verhaal. Een phishingpagina die alleen je wachtwoord verzamelde voor later gebruik? Tegen de tijd dat de aanvaller het probeert, vraagt het echte inlogscherm om een code die hij niet heeft. Veruit de meeste accountovernames beginnen bij zo’n hergebruikt of gestolen wachtwoord — precies de categorie waar 2FA een muur opwerpt. Dat maakt het, samen met een wachtwoordmanager, de meest lonende beveiligingsstap die een gewone gebruiker kan zetten. ## Wat 2FA níet tegenhoudt — en waarom je dat moet weten Een vangrail is geen garantie, en wie 2FA als onfeilbaar verkoopt, creëert schijnveiligheid. Twee aanvalsvormen verdienen eerlijke uitleg. De eerste is MFA-vermoeidheid: bij inlogmethodes die werken met een pushmelding (“Bent u dit? Goedkeuren / Weigeren”) kan een aanvaller die je wachtwoord al heeft, je net zo lang bestoken met meldingen tot je er — moe, geïrriteerd of half slapend — eentje goedkeurt om er vanaf te zijn. De aanval richt zich niet op de techniek maar op jouw irritatiedrempel. De tweede is de realtime phishing-proxy. Daarbij zet de aanvaller een nepsite tussen jou en de echte site: alles wat jij invoert — wachtwoord én verse 2FA-code — wordt direct doorgespeeld naar de echte dienst, en de aanvaller neemt de ingelogde sessie over. Jij hebt keurig je tweede factor gebruikt; hij ook, alleen was het de jouwe. Codes die je overtikt, beschermen dus niet tegen een nepsite die live meekijkt. Krijg je een inlogmelding of code terwijl je zelf nérgens aan het inloggen bent, dan is dat geen ruis maar een brandalarm: iemand anders heeft je wachtwoord en staat nu aan de deur. Het signaal dat iedereen moet kennen Praktijktip: keur nooit “voor de zekerheid” een onverwachte inlogmelding goed, ook niet om van het gepiep af te zijn. Weiger, verander je wachtwoord en meld het. De melding zelf bewijst dat je wachtwoord op straat ligt. ![Hand houdt een hardware security key bij een laptop met een inlogscherm](http://humanfirewall.nl/wp-content/themes/humanfirewall-theme/assets/tweefactorauthenticatie-vangrail-detail.webp?v=1)De sterkste vorm: een fysieke sleutel die alleen op het echte domein werkt. ## De volgorde van sterkte: sms, app, hardware key Niet alle tweede factoren zijn gelijk. De rangorde, van zwakst naar sterkst: VormHoe het werktSterkte en zwakteSms-codeCode per tekstbericht naar je telefoonnummerVeel beter dan niets, maar het zwakst: telefoonnummers kunnen gekaapt worden en codes kunnen worden afgetroggeld of doorgespeeldAuthenticator-appApp op je telefoon genereert kortlopende codes of toont pushmeldingenDegelijke middenweg; niet afhankelijk van je telefoonnummer, maar codes blijven over te tikken op nepsites en pushmeldingen blijven vatbaar voor vermoeidheidsaanvallenHardware security keyFysieke sleutel die je insteekt of tegen je telefoon houdtDe sterkste vorm: de sleutel controleert zelf op welk domein hij wordt gebruikt en weigert op een nepsite — realtime phishing loopt erop dood Het verschil zit in de vraag wie de echtheidscontrole doet. Bij sms en codes ben jíj degene die moet beoordelen of de site echt is — en dat is precies de beoordeling die onder druk misgaat. Een hardware key doet die controle zelf, onverbiddelijk en zonder ooit moe te zijn. Praktisch advies: gebruik minimaal een authenticator-app voor alles wat ertoe doet, en overweeg hardware keys voor je e-mail, je wachtwoordmanager en beheerdersaccounts. Sms houd je alleen aan waar niets beters wordt aangeboden. ## Collega’s meekrijgen zonder gemopper In organisaties strandt 2FA zelden op techniek en vrijwel altijd op gemopper — en dat gemopper is meestal terecht, want de invoering wordt vaak gebracht als kale verplichting met extra gedoe. Zo kan het beter: 1. **Vertel het waarom met een verhaal, niet met beleid.** “Als iemand jouw wachtwoord phisht, kan hij vanaf morgen jouw mail lezen en uit jouw naam facturen sturen — dit is de grendel daartegen” werkt beter dan een verwijzing naar het beveiligingsbeleid, hoofdstuk vier. 2. **Haal de wrijving eruit.** Zorg dat aangemelde apparaten niet elke ochtend opnieuw om een code vragen waar dat niet nodig is. Elke onnodige extra handeling per dag vertaalt zich rechtstreeks in weerstand. 3. **Begeleid de eerste instelling persoonlijk.** Een inloopkwartier of een collega die even meekijkt scheelt frustratie, en de helpdesk een week vol tickets. Regel meteen het reservepad: wat doe je bij een kwijtgeraakte of nieuwe telefoon? 4. **Laat de leiding voorgaan.** Als directie en management zichtbaar als eersten aan de hardware keys gaan, is het signaal: dit is geen pesterij voor de werkvloer, dit is hoe wij hier werken. ## Wat je morgen anders doet Zet vandaag nog tweefactorauthenticatie aan op je e-mailaccount — dat is de moeder van al je accounts, want wie je mail heeft, reset de rest. Kies daarbij een authenticator-app boven sms waar het kan. En onthoud de twee zinnen die de restrisico’s afdekken: een onverwachte inlogmelding keur je nooit goed, en een code tik je alleen in op een site die je zelf via je eigen bladwijzer hebt geopend. Zo wordt de vangrail zo sterk als hij bedoeld is. Waarom de mens daarbij de belangrijkste schakel blijft, lees je op de [homepage van Human Firewall](/) — en hoe stevig jouw eigen reflexen zijn, merk je niet door erover te lezen maar door de [human firewall test](/human-firewall-test/) te doen.