- Wachtwoorden hergebruiken is geen luiheid maar een logische reactie op een onmogelijke opdracht: tientallen unieke, sterke wachtwoorden onthouden kan niemand.
- Het risico heet credential stuffing: één gelekt wachtwoord wordt geautomatiseerd geprobeerd op al je andere accounts.
- “Verzin een sterk wachtwoord” is een advies dat faalt omdat het geheugenprobleem onaangeroerd blijft — sterker maakt het onthouden juist zwaarder.
- De uitweg: een wachtwoordmanager voor vrijwel alles, plus een handvol zelf te onthouden wachtwoordzinnen voor de accounts die de sleutels van de rest bewaken.
Iedereen die ik er ooit in een training naar vroeg, gaf hetzelfde licht schuldbewuste antwoord: ja, ik gebruik weleens hetzelfde wachtwoord op meerdere plekken. En vrijwel iedereen dacht daarmee een persoonlijke zwakte op te biechten. Dat is het niet. Het is de volstrekt voorspelbare uitkomst van een opdracht die niet uit te voeren is.
Reken even mee: een gemiddeld digitaal leven telt al snel vele tientallen accounts. Voor elk daarvan een uniek, lang, onvoorspelbaar wachtwoord onthouden — dat kan geen mens, en het is ook nooit de bedoeling geweest dat een mens dat kan. Wie hergebruikt, faalt niet; het advies faalt. Laten we het dus eens hebben over een aanpak die wél bij een menselijk geheugen past.
Waarom je brein hergebruik kiest
Je geheugen is gebouwd op betekenis en herhaling. Betekenisloze tekenreeksen onthoudt het slecht, en wat het wél onthoudt, onthoudt het door vaak te gebruiken. Hergebruik is dus precies wat je geheugen je adviseert: neem dat ene wachtwoord dat erin zit gesleten en zet het overal in. Wie iets origineler wil zijn, maakt varianten — een uitroepteken erbij, de naam van de site erachter, een jaartal eraan vast. Dat voelt als verschillende wachtwoorden, maar voor iemand die één variant in handen heeft, zijn de andere een kwestie van invullen.
Daar komt nog iets bij: elk nieuw account verschijnt op een onhandig moment. Je wilt iets bestellen, iets lezen, iets regelen — het wachtwoord is een drempel tussen jou en je doel. Op zo’n moment kiest vrijwel iedereen de snelste route, en de snelste route is het wachtwoord dat je al kent.
Hergebruik is geen gemakzucht maar zelfbescherming van een overvraagd geheugen. Wie het gedrag wil veranderen, moet de geheugenlast weghalen, niet de gebruiker vermanen.
De kern van het probleem
Credential stuffing: waarom één lek overal pijn doet
Het gevaar van hergebruik zit niet in het wachtwoord zelf maar in wat er gebeurt als het ergens uitlekt. Websites worden gekraakt, databases met inloggegevens komen op straat te liggen — dat overkomt ook grote, serieuze partijen, en jij hebt er geen invloed op. Vanaf dat moment staat jouw combinatie van e-mailadres en wachtwoord op lijsten die rondgaan.
En dan begint het eigenlijke werk, dat credential stuffing heet: aanvallers proberen die gelekte combinaties volautomatisch op honderden andere diensten. Je mail, je webshops, je sociale media, je werkomgeving. Niet handmatig en niet gericht op jou persoonlijk — gewoon machinaal, op iedereen tegelijk, omdat het vrijwel niets kost en omdat hergebruik zo wijdverbreid is dat er altijd wat raak is. Wie overal hetzelfde wachtwoord voert, heeft daarmee feitelijk één voordeur voor zijn hele digitale leven, en de sleutel ligt bij elke dienst die hem ooit kwijtraakt.
Daarom is “is dit wachtwoord sterk?” de verkeerde vraag. Een ijzersterk wachtwoord dat op twintig plekken staat, is na één lek twintig keer waardeloos. Uniciteit gaat vóór sterkte.
De gewoonte opbouwen: wachtwoordmanager in vier stappen
De oplossing is een wachtwoordmanager: een programma dat al je wachtwoorden genereert, opslaat en invult, beveiligd met één hoofdwachtwoord. Welke je kiest maakt voor het principe weinig uit — de categorie is volwassen, er zijn prima opties — maar hoe je de overstap aanpakt wél. De meeste mensen haken namelijk niet af op de techniek, maar op het idee dat ze eerst een week moeten opruimen. Hoeft niet. Zo doe je het zonder grote schoonmaak:
- Installeer en begin bij nul. Zet de wachtwoordmanager op je telefoon en computer, kies een sterk hoofdwachtwoord (daarover hieronder meer) en migreer nog níets. De drempel moet vandaag laag zijn.
- Laat elk nieuw account voortaan genereren. Vanaf nu verzin je nooit meer zelf een wachtwoord. Nieuw account? De manager maakt iets onuitsprekelijks en onthoudt het. Jij hoeft alleen je hoofdwachtwoord te kennen.
- Vervang bestaande wachtwoorden op natuurlijke momenten. Log je ergens in met een oud, hergebruikt wachtwoord? Verander het ter plekke in een gegenereerd exemplaar. Binnen een paar maanden is het gros vanzelf gemigreerd, zonder dat het ooit als project voelde.
- Pak de kroonjuwelen wél meteen. Eén uitzondering op de geleidelijkheid: je e-mailaccount en je bankzaken doe je deze week. Wie je mail beheerst, kan via “wachtwoord vergeten” vrijwel al je andere accounts overnemen — dat account verdient als eerste een uniek, sterk wachtwoord en liefst ook tweefactorauthenticatie.
Praktijktip: een wachtwoordmanager is en passant een phishing-alarm. Hij vult inloggegevens alleen in op het exacte domein waarvoor ze zijn opgeslagen. Blijft het invulveld op een inlogpagina onverwacht leeg, behandel dat dan als een waarschuwing — grote kans dat je niet op de echte site staat.
Wachtwoordzinnen: voor de paar die je écht moet onthouden
Een handvol wachtwoorden blijft mensenwerk: je hoofdwachtwoord, de toegang tot je computer of telefoon. Daarvoor zijn wachtwoordzinnen de beste vorm: vier of vijf losse, willekeurige woorden achter elkaar, eventueel met een leesteken ertussen. Zoiets als “stoel-banaan-onweer-fluit” — lang genoeg om machinaal raden onbegonnen werk te maken, en toch te onthouden omdat je brein er een absurd beeld bij kan maken (een stoel die op een banaan in het onweer fluit speelt — je vergeet hem nooit meer).
De spelregels: kies de woorden echt willekeurig, dus geen songtekst, geen gezinsnamen, geen variatie op je oude wachtwoord. En elke wachtwoordzin gebruik je op precies één plek — ook hier gaat uniciteit vóór alles.
Wat je morgen anders doet
Drie dingen, samen een avondje werk. Eén: installeer een wachtwoordmanager en bedenk een goede wachtwoordzin als hoofdwachtwoord. Twee: geef je e-mailaccount een uniek gegenereerd wachtwoord plus tweefactorauthenticatie. Drie: spreek met jezelf af dat elk volgend wachtwoord gegenereerd wordt, niet verzonnen. Daarmee verandert hergebruik van een dagelijkse gewoonte in een aflopende zaak — en is de menselijke kant van je beveiliging weer een stuk steviger. Meer over die menselijke kant, van klikgedrag tot werkafspraken, vind je op de homepage van Human Firewall.
Rik Hoogland
Rik begeleidde jarenlang phishing-simulaties en awareness-programma's bij Nederlandse organisaties. Op Humanfirewall.nl legt hij uit hoe oplichters mensen bespelen en hoe je daar als team tegen bestand raakt. Stel Rik je vraag.
Zelf een situatie die niet vertrouwd voelt?
Beschrijf wat er gebeurde of waar je over twijfelt, dan denkt Rik mee over de juiste reactie.