Wat doet een wachtwoordmanager?

Tel je accounts eens. Mail, bank, zorgverzekeraar, twee of drie webshops, de sportschool, een paar apps, de site van de gemeente, een oud forum. Voor elk daarvan een eigen wachtwoord van twaalf tekens of meer onthouden, lukt bijna niemand. In de praktijk wordt het één wachtwoord met een paar varianten, Zomer2024! bij de mail en Zomer2025! bij de webshop, en dat is het patroon dat criminelen als eerste proberen.

Een wachtwoordmanager lost dat geheugenprobleem op. Hieronder staat wat zo'n programma doet, wat je er zelf nog moet regelen, waar het risico zit en hoe je er een kiest. Namen van producten staan er niet in.

Wat een wachtwoordmanager doet

Veilig Internetten omschrijft het zo, 'Een wachtwoordmanager is een digitaal hulpmiddel waarin je al je wachtwoorden en gebruikersnamen kunt opslaan.' Dat is het eerste en belangrijkste werk. Je hoeft je wachtwoorden niet meer te onthouden, dus ze mogen lang, willekeurig en voor elk account anders zijn.

Het tweede werk is wachtwoorden maken. Maak je een nieuw account aan, dan stelt de manager een sterk wachtwoord voor. Volgens Veilig Internetten wordt dat wachtwoord direct opgeslagen als je ervoor kiest het te gebruiken. Het NCSC gaat een stap verder en raadt aan alle wachtwoorden met de generator van je wachtwoordmanager te maken. Een wachtwoord dat jij niet bedenkt, kan ook niet op je andere wachtwoorden lijken.

Het derde werk is invullen. Veel managers vullen je gebruikersnaam en wachtwoord zelf in als je een inlogpagina opent. Dat scheelt typen, en het NCSC noemt er nog een voordeel bij, 'Daarnaast biedt dit ook bescherming tegen bijvoorbeeld phishingwebsites.' Een manager vult in op het adres waarbij hij het wachtwoord bewaarde. Op een nagemaakte site met een net iets ander adres blijft het veld leeg, en dat is het moment om naar de adresbalk te kijken in plaats van het wachtwoord zelf in te typen.

Sommige managers bewaren ook andere gegevens, zoals notities, adressen en betaalgegevens, en sommige maken ook de codes voor tweestapsverificatie. Dat verschilt per programma.

Je onthoudt er één, en die moet goed zijn

Om bij je wachtwoorden te komen, gebruik je één hoofdwachtwoord. Het NCSC schrijft daarover 'Het voordeel is dat je alleen dit wachtwoord of zin hoeft te onthouden.' Achter dat ene wachtwoord zitten wel alle andere, dus het moet sterk en uniek zijn. Het NCSC raadt een wachtwoordzin aan en geeft erbij dat een langere zin met alleen kleine letters, bijvoorbeeld minimaal 16 tekens, veiliger is dan een korte zin met alles erin.

Vergeet dat wachtwoord niet. Het NCSC waarschuwt dat de ondersteuning van een wachtwoordmanager je vaak niet kan helpen bij een vergeten wachtwoord. Je moet dan bewijzen dat jij de eigenaar bent, en lukt dat niet, dan word je volgens het NCSC in sommige gevallen helemaal uitgesloten. Opschrijven mag hier wel. Het NCSC zegt 'Het is niet verkeerd om het wachtwoord van je wachtwoordmanager op een briefje te schrijven en ergens thuis te verstoppen.' Zet er alleen niet bij waarvoor het is.

Bij veel managers kun je ook tweestapsverificatie aanzetten, zodat je naast het hoofdwachtwoord nog een code of je vingerafdruk nodig hebt. Doe dat. Het NCSC voegt eraan toe dat die extra stap een zwak hoofdwachtwoord niet rechtvaardigt. Hoe die tweede stap werkt, lees je op Tweestapsverificatie: wat is het en waarom aanzetten?

Alles op één plek: waar het risico zit

Het bezwaar dat je het vaakst hoort, is dat je alle sleutels in één bos stopt. Het NCSC noemt het zelf, 'Een veel genoemd argument is dat als een hacker toegang zou krijgen tot jouw wachtwoordmanager, deze direct alle wachtwoorden tot zijn beschikking heeft.' De conclusie van het NCSC is dat dit het belang van een sterk hoofdwachtwoord onderstreept.

Veilig Internetten zet er een vergelijking met een datalek tegenover. Een crimineel kan volgens die pagina niet met één aanval op je wachtwoordmanager al je wachtwoorden stelen, terwijl bij een datalek wel in één aanval meer accounts gehackt kunnen worden. Zonder manager zit het risico ergens anders. Gebruik je overal hetzelfde wachtwoord, dan is één lek bij een webshop genoeg.

De browser: twee NCSC-pagina's naast elkaar

Bij het aanmaken van een account vraagt je browser vaak of hij het wachtwoord mag onthouden. Het NCSC is daar op twee pagina's niet even stellig over. Op de pagina over veilig omgaan met wachtwoorden staat kort 'Sla wachtwoorden niet op in de browser.' Op de pagina over het kiezen van een wachtwoordmanager heet de browser een browser-based wachtwoordmanager, die handig is omdat hij vanzelf invult. Daar noemt het NCSC twee voorwaarden, een bijgewerkte browser en een apparaat dat met een pincode, wachtwoord of vingerafdruk is beveiligd. Ook waarschuwt het dat je wachtwoorden niet altijd goed meegaan tussen apparaten met verschillende besturingssystemen.

Kies je toch voor de browser, houd je dan aan die twee voorwaarden. Een los programma werkt volgens het NCSC vaker op al je apparaten tegelijk, ook met verschillende besturingssystemen, en heeft vaak meer functies, zoals een melding als een wachtwoord zwak is. Op een openbare computer laat je nooit een wachtwoord opslaan, zegt Veilig Internetten, en daar log je na afloop altijd uit.

Zo kies je er een

We noemen geen merken van wachtwoordmanagers. Kies er een via de tips van het NCSC, op de NCSC-pagina over het kiezen van een wachtwoordmanager. Daar komen vijf punten terug.

• Hij moet werken op de apparaten die je gebruikt. Een manager die je alleen op je laptop hebt, helpt je niet als je op je telefoon wilt inloggen.
• Online of alleen op je apparaat. Online werkt op al je apparaten. Offline bewaart de wachtwoorden op jouw apparaat, en dan kun je er alleen bij als je dat apparaat bij de hand hebt.
• Gratis of betaald. Een gratis versie kan volstaan. Het NCSC raadt wel aan uit te zoeken wat het verdienmodel van een gratis wachtwoordmanager is.
• Een tweede stap bij het inloggen op de manager zelf. Bij veel managers kan dat, en dan zet je hem aan.
• Herstel als je je hoofdwachtwoord kwijt bent. Kijk welke mogelijkheid er is voordat je begint, want de helpdesk kan je hier vaak niet helpen.

Liever geen wachtwoordmanager

Ook dan kun je je accounts goed regelen. Veilig Internetten zegt 'Gebruik dan in ieder geval unieke, sterke wachtwoorden of wachtwoordzinnen.' Een zin die alleen jij kent, per account een andere, en geen variant op een oud wachtwoord. Hoe je zo'n wachtwoord maakt, staat op Een sterk wachtwoord maken: zo doe je het. Schrijf je ze op, bewaar ze dan niet onbeveiligd op je computer en zet ze nooit in een mail.

Oefenen

Skillido heeft een gratis test Digitaal veilig met korte vragen over situaties zoals hierboven. In de training Digitaal veilig heeft het onderdeel Wachtwoorden en wachtwoordzinnen 30 opgaven, onder meer over een voorstel van je wachtwoordmanager, een hoofdwachtwoord op een briefje en een manager die op een bekende site ineens niets invult. Bij elk antwoord staat de bron.