Veilig wachtwoord maken: sterk genoeg om te houden, simpel genoeg om te onthouden

Een veilig wachtwoord maken klinkt als een vervelende plicht: een brij van letters, cijfers en leestekens intikken die je vijf minuten later al kwijt bent. Geen wonder dat de meeste mensen dan toch bij Zomer2026! of de naam van de hond uitkomen. Het kan anders. Dit artikel laat zien wat een wachtwoord in 2026 echt veilig maakt, welke fouten het vaakst voorkomen en hoe je met een simpele methode wachtwoorden bouwt die sterk zijn en toch blijven hangen.

Wat een wachtwoord in 2026 echt veilig maakt

Lange tijd gold de regel: zo veel mogelijk verschillende tekensoorten, het liefst met vervangingen als a naar @ of o naar 0. Die regel is achterhaald, en officiële instanties zoals het Amerikaanse NIST en het Duitse BSI hebben hun aanbevelingen allang aangepast. De reden: een vervanging als P@ssw0rd! is geen beveiliging maar een bekend patroon. Precies zulke trucs staan in elke aanvalslijst die criminelen bij het kraken van wachtwoorden aflopen.

Wat wel telt, past in drie woorden:

Lengte. Elk extra teken vermenigvuldigt het aantal mogelijkheden dat een aanvaller zou moeten proberen. Een wachtwoord van 16 tot 20 tekens is met de huidige rekenkracht praktisch niet te kraken, ook als het alleen uit letters en cijfers bestaat. Een kort wachtwoord met acht cryptische leestekens is rekenkundig juist duidelijk zwakker dan het eruitziet.

Willekeur. Een wachtwoord is zo veilig als de willekeur die erin zit. Mensen zijn slechte willekeursgeneratoren: we kiezen onbewust patronen die we kennen, namen, jaartallen, rijen op het toetsenbord. Een echt willekeurig wachtwoord laat zich niet raden, omdat het geen herkenbaar systeem volgt, ook het jouwe niet.

Uniciteit. Elke dienst heeft zijn eigen wachtwoord nodig. Zodra je een wachtwoord meerdere keren gebruikt, is één datalek bij een willekeurige aanbieder genoeg om criminelen dat wachtwoord geautomatiseerd bij al je andere accounts te laten proberen, een werkwijze die bekendstaat als credential stuffing en die miljoenen keren per dag gebeurt.

Wie deze drie regels aanhoudt, heeft het wachtwoordprobleem in de kern opgelost. De echte uitdaging is een andere: hoe onthoud je iets dat lang en willekeurig is?

De 5 meest gemaakte wachtwoordfouten

Voor de oplossing loont het om te kijken wat in de praktijk het vaakst misgaat. Deze vijf patronen staan in vrijwel elke statistiek over gelekte wachtwoorden bovenaan:

1. Toetsenbordpatronen. qwerty, 123456 of asdfgh zien er voor het eigen oog willekeurig uit, maar staan bovenaan elke lijst die aanvallers als eerste aflopen. Ze horen bij de eerste kandidaten in elke geautomatiseerde aanval, juist omdat ze zo wijdverbreid zijn.

2. Naam plus jaartal. Sanne1987 of Jansen2026 voelen persoonlijk en daarmee veilig, maar zijn juist daardoor makkelijk te raden. Geboortejaren, namen van kinderen of huisdieren en het lopende jaar zijn vaak al uit socialmediaprofielen af te leiden, helemaal zonder hackkennis.

3. Hetzelfde wachtwoord opnieuw gebruiken. Wellicht de duurste fout: één wachtwoord voor e-mail, webshop en sociale netwerken tegelijk. Eén datalek bij een van die aanbieders zet dan alle deuren tegelijk open.

4. Kale woordenboekwoorden. Losse woorden als Zonneschijn of Wachtwoord123 vallen in seconden voor een woordenboekaanval, hoe lang ze ook zijn, zolang ze uit voorspelbare taalblokken bestaan.

5. Voorspelbare vervangingsregels. Wie van Zomer consequent Z0m3r! maakt, denkt aan veiligheid, maar volgt een patroon dat in elke aanvalssoftware allang is vastgelegd. Eén teken vervangen maakt een zwak wachtwoord niet sterk, het maakt het alleen een klein beetje trager om te kraken.

Alle vijf fouten hebben dezelfde wortel: ze ontstaan doordat mensen wachtwoorden bedenken in plaats van ze te loten. Precies daar begint de volgende methode.

De verhaalmethode stap voor stap

Ons brein is slecht in het onthouden van tekenreeksen en uitstekend in het onthouden van beelden en verhalen, vooral als die absurd zijn. Psychologen noemen dat het beeldsuperioriteitseffect. De verhaalmethode gebruikt precies dat: in plaats van een tekenreeks prent je je een raar beeld in, en uit dat beeld wordt volgens een vast, simpel recept een sterk wachtwoord afgeleid.

Een voorbeeld maakt het tastbaar. Het verhaal 😢🦄💡🛁, "De verdrietige eenhoorn heeft een idee in de badkuip", wordt volgens het recept:

V3rdr13t1g=E3nh00rn!Id33%B4dku1p-2284A1C1379617

Zo werkt de afleiding: de vier kernwoorden van het verhaal (stemming, figuur, handeling, plek) worden overgenomen, losse letters worden vervangen door cijfers die erop lijken (a wordt 4, e wordt 3, i wordt 1, o wordt 0), de woorden worden door leestekens gescheiden en aan het eind komt een willekeurige reeks cijfers. Het resultaat is lang, het oogt willekeurig omdat het willekeurig is, en het blijft toch af te leiden uit het beeld dat je onthouden hebt.

De adder onder het gras bij zelfbedachte verhalen: mensen bedenken voorspelbare verhalen, het lievelingsdier, de hobby, de laatste vakantie. Daarmee is de willekeur weg en de veiligheid ook. Het verhaal moet dus geloot worden, niet gekozen.

De verhaalmethode is bewust bedoeld voor de handvol wachtwoorden die je echt in je hoofd moet hebben, om te beginnen het hoofdwachtwoord van je wachtwoordmanager. Voor al het andere is er een betere oplossing.

Een wachtwoordmanager voor alle andere accounts

Een mens heeft gemiddeld ruim honderd online accounts, van e-mail via de streamingdienst tot de webshop. Voor al die accounts een eigen beeldverhaal bedenken is niet nodig en niet werkbaar. Hier neemt een wachtwoordmanager het werk over: hij maakt voor elke dienst een lang, willekeurig, uniek wachtwoord en onthoudt het voor je, zodat jij zelf nog maar één hoofdwachtwoord nodig hebt.

Drie beproefde, aanbevelenswaardige opties:

Bitwarden is gratis, open source en onafhankelijk te controleren, een belangrijke vertrouwensfactor bij een gereedschap dat al je wachtwoorden beheert. Voor de meeste privédoelen is de gratis versie ruim voldoende.

Proton Pass komt van de aanbieder achter Proton Mail en legt bijzonder gewicht op privacy en end-to-end-versleuteling, met een goede gratis instap en nauwe verwevenheid met de rest van het Proton-ecosysteem.

1Password kost geld, maar is bijzonder comfortabel in gebruik en een klassieker, vooral voor gezinnen en teams die wachtwoorden veilig willen delen.

De taakverdeling is daarmee duidelijk: een sterk hoofdwachtwoord volgens de verhaalmethode beschermt de wachtwoordmanager, en de wachtwoordmanager beschermt al het andere. Waar het kan komt tweefactorauthenticatie erbij, want die maakt een gestolen wachtwoord op zichzelf waardeloos. Beheer je zelf een WordPress-site, dan loont ook ons artikel over wachtwoordbeveiliging in WordPress: brute-force-bescherming, wachtwoordbeleid voor alle gebruikersrollen en tweefactorauthenticatie vanuit het oogpunt van de beheerder.

De checklist tot slot

• Minstens 16 tekens, echte willekeur in plaats van bedachte patronen.
• Voor elke dienst een eigen, uniek wachtwoord.
• Bouw de paar wachtwoorden die in je hoofd moeten blijven met de verhaalmethode, altijd met een geloot beeld.
• Vertrouw alle andere accounts toe aan een wachtwoordmanager.
• Waar beschikbaar: zet ook tweefactorauthenticatie aan.

Veelgestelde vragen