Zwakke of hergebruikte wachtwoorden zijn nog altijd een van de belangrijkste oorzaken van datalekken, zeker bij SMB’s zonder eigen securityspecialisten. Ontdek de actuele beste praktijken voor het opstellen van een wachtwoordbeleid waarmee u gebruikers praktische en effectieve regels meegeeft die hen beschermen zonder hun werk lastiger te maken.
Basisprincipes voor een wachtwoordbeleid dat past bij het MKB
Een wachtwoordbeleid voor SMB’s moet helder en bondig zijn. Leg de nadruk op lengte en uniciteit in plaats van op complexiteit en vermijd het standaard laten verlopen van wachtwoorden. Blokkeer daarnaast zwakke en eerder gelekte wachtwoorden. Beheerders doen er ook goed aan gebruikers uit te leggen waarom het wachtwoordbeleid bestaat en het gebruik van multi-factor authenticatie en wachtwoordmanagers aan te moedigen.
Leg de nadruk op lengte en uniciteit in plaats van complexiteit
Een lang wachtwoord (minimaal 14 tekens) biedt gebruikers sterkere bescherming. Zulke lange wachtwoorden verdienen de voorkeur boven het bedenken van complexe wachtwoorden.
Lange wachtwoorden zijn veiliger omdat de lengte het aantal mogelijke combinaties exponentieel vergroot, waardoor ze veel moeilijker met brute force te kraken zijn. Een lange wachtwoordzin is bovendien makkelijker te onthouden dan een kort, complex woord en biedt meer weerstand tegen dictionary attacks.
Laat wachtwoorden niet standaard verlopen
Veel organisaties laten wachtwoorden routinematig verlopen. Gebruikers moeten hun wachtwoord dan na een vaste periode wijzigen. Dat beleid is echter achterhaald en niet meer zo veilig als het ooit was.
Wachtwoorden vaak moeten wijzigen leidt tot frustratie bij gebruikers. Die frustratie zorgt ervoor dat ze minder veilige wachtwoorden kiezen met voorspelbare patronen en andere kwetsbaarheden. In plaats van wachtwoorden periodiek te wijzigen is het beter om ze alleen te wijzigen bij een vermoeden van misbruik of bij aanwijzingen voor een beveiligingslek.
Blokkeer zwakke of eerder gelekte wachtwoorden
Organisaties doen er verstandig aan gebruik te maken van tools als Have I Been Pawned?, waarin gelekte wachtwoorden worden vermeld. Staat het wachtwoord van een gebruiker in die lijst, dan mag die het niet langer gebruiken. En gebruikt u een tool of software die getroffen is door een beveiligingslek, laat dan alle gebruikers hun wachtwoord wijzigen.
Stimuleer MFA en het gebruik van wachtwoordmanagers
MFA (Multi-Factor Authentication) voegt een extra beschermingslaag toe voor gebruikers. Nadat zij hun gegevens hebben ingevoerd, moeten ze hun identiteit bevestigen: met een code die ze bezitten, een bericht dat ze ontvangen of via een app op hun telefoon. Daardoor krijgen kwaadwillenden geen toegang tot het account, ook niet als het wachtwoord zwak of gelekt is.
Wachtwoordmanagers zijn een andere nuttige tool binnen cybersecurity. Een van de grootste risico’s voor accountbeveiliging is dat gebruikers moeite hebben hun wachtwoorden te onthouden. Daardoor gaan ze onveilig te werk: ze schrijven hun wachtwoord op, hergebruiken wachtwoorden of kiezen voorspelbare patronen.
Wachtwoordmanagers lossen dat probleem op. In plaats van voor elk account een lang en uniek wachtwoord te onthouden, hoeven gebruikers alleen het wachtwoord van hun wachtwoordmanager te onthouden. De wachtwoordmanager genereert zelf sterke wachtwoorden en slaat ze op.
Informeer gebruikers in plaats van ze te straffen
Een van de belangrijkste dingen die een organisatie kan doen om gebruikersaccounts veilig te houden, is gebruikers voorlichten. Ze moeten het beveiligingsbeleid niet alleen volgen, maar ook begrijpen waarom het bestaat. Leg uit waarom wachtwoordzinnen werken, geef tips om hergebruik van wachtwoorden te voorkomen en benadruk de waarde van veilige wachtwoordopslag.
Net zo belangrijk is dat de implementatie niet bestraffend is. Wie het beveiligingsbeleid goed begrijpt, houdt zich beter aan deze beste praktijken.
Beleid toepassen via GPO of cloudinstellingen
In Active Directory of GPO
📌 Vereiste: u moet Active Directory gebruiken om uw endpoints te beheren.
💡 Let op: Group Policy Management Console (GPMC) is standaard geïnstalleerd op domeincontrollers (DC) en u moet de console vanaf een DC openen. U kunt GPMC via de RSAT-tools ook installeren op andere Windows-machines die lid zijn van het domein.
- Druk op Win + R.
- Typ gpmc.msc en druk op Enter. Hiermee opent u de Group Policy Management Console.
- Ga naar dit pad: Forest > Domeinen > <yourdomain.com> > Default Domain Policy.
Vervang yourdomain.com door het domein dat u wilt beheren. - Klik met de rechtermuisknop op Default Domain Policy > Bewerken.
- Ga naar Computerconfiguratie > Beleidsregels > Windows-instellingen > Beveiligingsinstellingen > Accountbeleid > Wachtwoordbeleid.
- Dubbelklik op de volgende instellingen om ze aan te passen en te beheren:
- Minimale wachtwoordlengte – stel in op 12-14 tekens of langer
- Wachtwoord moet voldoen aan complexiteitsvereisten – uitschakelen
- Wachtwoordgeschiedenis afdwingen – bepaalt hoeveel unieke wachtwoorden een gebruiker moet gebruiken voordat een eerder wachtwoord opnieuw mag worden gebruikt; pas dit aan op het beveiligingsbeleid van uw organisatie
In Microsoft 365 of cloudplatformen
📌 Vereiste: uw organisatie moet Microsoft 365 gebruiken.
Microsoft 365 ondersteunt wachtwoorden tot 256 tekens, ruim boven de aanbevolen 12-14 tekens of meer. Dit is een standaardfunctie die beheerders niet hoeven aan te passen.
Volg deze stappen om lijsten met verboden wachtwoorden te configureren:
- Ga naar het Entra-beheercentrum.
- Ga naar Beveiliging > Verificatiemethoden > Wachtwoordbeveiliging.
- Stel uw aangepaste lijst met verboden wachtwoorden samen. U kunt eenvoudig te raden wachtwoorden toevoegen, zoals uw bedrijfsnaam, verjaardagen, seizoenen en jaartallen.
- Zet de modus op Afdwingen zodat Entra zwakke of verboden wachtwoorden actief blokkeert.
Volg deze stappen om het verplicht verlopen van wachtwoorden uit te schakelen:
- Ga naar het Entra-beheercentrum.
- Ga naar Instellingen > Organisatie-instellingen > Beveiliging & privacy.
- Zoek Beleid voor wachtwoordverloop op.
- Zet de instelling op Nooit laten verlopen.
Overzicht van de beste praktijken
| Principe | Waarom het werkt |
| Lengte van de wachtwoordzin > complexiteit | Lange wachtwoorden zijn makkelijker te onthouden en moeilijker te kraken dan complexe wachtwoorden. |
| Geen automatisch verlopen | Voorkomt frustratie bij gebruikers en voorspelbare wisselingen. |
| Hergebruikte/gelekte wachtwoorden blokkeren | Sluit de aanvalsroutes af die kwaadwillenden doorgaans kiezen. |
| MFA + wachtwoordmanager gebruiken | Deze tools maken het werk makkelijker en verhogen tegelijk de veiligheid. |
| Gebruikers trainen | Zo wordt het beleid echt begrepen en niet alleen opgelegd. |
Optioneel aanknopingspunt voor automatisering
Met Windows PowerShell kunt u het afdwingen van uw wachtwoordbeleid automatiseren. Volg hiervoor deze stappen:
📌 Vereiste: u moet Active Directory gebruiken om uw endpoints te beheren.
- Open Windows PowerShell als domeinbeheerder.
- Voer de volgende opdracht uit:
Import-Module ActiveDirectory
Get-ADDefaultDomainPasswordPolicy | Select MinPasswordLength, PasswordHistoryCount
Hiermee haalt u de minimale wachtwoordlengte en de vereiste wachtwoordgeschiedenis op uit het standaard wachtwoordbeleid voor gebruikers in Active Directory.
- Wilt u de minimale wachtwoordlengte wijzigen, typ dan deze opdracht en druk op Enter:
Set-ADDefaultDomainPasswordPolicy -Identity "yourdomain.com" -MinPasswordLength 12
Vervang “yourdomain.com” door het juiste domein en wijzig het getal achter MinPasswordLength in de lengte die uw beveiligingsbeleid voorschrijft.
Quick-start guide
NinjaOne biedt verschillende mogelijkheden om het wachtwoordbeleid te configureren, verspreid over de functies voor Beheer van mobiele apparaten (MDM) en beveiliging:
Belangrijke aandachtspunten voor uw wachtwoordbeleid
- Minimale wachtwoordlengte: stel in op minimaal 10 tekens
Complexiteitsvereisten:
- Vereis minimaal één hoofdletter
- Neem speciale tekens op
- Vermijd eenvoudige of herhaalde tekenreeksen
Instellingen voor toegangscodes in MDM
Voor mobiele apparaten kunt u met NinjaOne het wachtwoordbeleid tot in detail configureren:
Lengte van de toegangscode: instelbare minimale lengte
Vereisten voor complexe tekens:
- Alfanumerieke waarden afdwingen
- Minimaal aantal complexe tekens vastleggen
Limieten voor mislukte pogingen:
- Stel een maximum in voor mislukte aanmeldpogingen
- Vergrendel of wis het device automatisch na herhaalde mislukte pogingen
Wachtwoordverloop:
- Stel een maximale geldigheidsduur voor de toegangscode in
- Dwing periodieke wachtwoordwijzigingen af
Ideeën voor integratie met het NinjaOne-platform om uw wachtwoordbeleid te optimaliseren
Organisaties kunnen de RMM-tools van NinjaOne op een paar manieren in hun wachtwoordbeleid integreren:
- Gebruik de tools voor scripting op afstand van NinjaOne om de status en compliance van het wachtwoordbeleid van gebruikers op afstand te controleren.
- Gebruik NinjaOne Docs voor documentatie waarin u uitlegt waarom bepaalde wachtwoordmaatregelen worden afgedwongen.
Stimuleer veilige wachtwoorden met een sterk wachtwoordbeleid
Een wachtwoordbeleid bestaat niet uit willekeurige regels. Het doel is beveiliging die effectief én werkbaar is. Voeg extra beschermingslagen toe met MFA en wachtwoordmanagers.
Dat verhoogt de veiligheid en beperkt tegelijk de weerstand bij gebruikers. Beheerders zijn bovendien minder tijd kwijt aan gebruikers die hun wachtwoord vergeten of een zwakke wachtwoordzin kiezen. Wie deze praktijken nu stimuleert, helpt zijn bedrijf verder tijdens de groei en vindt de balans tussen risicobeperking en werkbaarheid in de praktijk.
Gerelateerde links:
