Vrijwel iedereen die ik ken heeft een wachtwoordmanager, en vrijwel niemand die ik ken heeft de tweede stap overal aanstaan. Dat is een vreemde combinatie, want een gestolen wachtwoord is tegenwoordig eerder regel dan uitzondering: bij elk datalek belandt er weer een lijst met adressen en hashes op een forum, en aanvallers proberen die combinaties gewoon overal. Een tweede stap zorgt ervoor dat zo’n gestolen wachtwoord op zichzelf waardeloos is. Het instellen kost per account een paar minuten en je doet het één keer, dus ik snap eerlijk gezegd niet waarom het bij zoveel mensen op de lijst blijft staan.
Hieronder staat wat je nodig hebt en in welke volgorde je het aanzet. Die volgorde is niet willekeurig: als je bij het verkeerde account begint, kun je jezelf buitensluiten of denken dat je beveiligd bent terwijl de achterdeur openstaat.
Wat je nodig hebt
- Een telefoon waarop je een authenticator-app kunt zetten. De bekende apps zijn gratis en staan gewoon in de App Store en de Play Store, dus hier hoef je niets voor te kopen.
- Een wachtwoordmanager, gratis of betaald. Veel mensen hebben er al een via hun browser of telefoon zonder het te weten.
- Papier en een pen voor de herstelcodes. Geen bestand op je bureaublad.
- Een plek om die codes te bewaren waar geen bezoek bij komt: een afsluitbaar kastje of een brandwerende documentenmap. Zulke mappen liggen bij bouwmarkten als Gamma of Praxis en bij kantoorzaken, en kosten een paar tientjes.
- Optioneel, maar de moeite waard voor je hoofdmail: twee fysieke beveiligingssleutels. Die verkopen fabrikanten als Yubico en Nitrokey rechtstreeks, en ze liggen ook bij de grotere elektronicaketens zoals Coolblue, MediaMarkt en Bol. Reken op ongeveer vijftig tot zeventig euro per stuk. Twee, want een reservesleutel in de la voorkomt een ramp als de eerste in de wasmachine belandt.
De volgorde
- Begin bij je e-mail, en bij niets anders. Je mailadres is de hoofdsleutel van je hele digitale leven, want vrijwel elke andere dienst stuurt daar zijn herstellink naartoe. Wie je mailbox heeft, kan de rest overnemen zonder ook maar één wachtwoord te kennen. Zet daar dus als eerste de tweede stap aan, en gebruik daar meteen de sterkste vorm die de dienst aanbiedt.
- Kies per account de beste beschikbare methode. Een sleutel of een passkey is het sterkst, omdat die controleert of je op de echte website zit en dus niet werkt op een nagemaakte inlogpagina. Een authenticator-app is een goede tweede. Een code per sms is de zwakste variant, omdat een aanvaller je nummer kan laten overzetten naar een eigen simkaart. Sms is nog altijd oneindig veel beter dan niets, dus als een bank of overheidsdienst alleen dat aanbiedt, zet je het gewoon aan.
- Sla de herstelcodes direct op papier op. Elke dienst geeft bij het instellen een reeks eenmalige codes. Dat is je enige uitweg als je telefoon kapotgaat of gestolen wordt. Schrijf ze over, streep ze door als je ze gebruikt, en leg ze op de plek die je hierboven hebt geregeld. Bewaar ze niet in dezelfde app waarmee je inlogt, want dan zit alles achter dezelfde deur.
- Voeg een tweede methode toe voordat je de eerste vertrouwt. Vrijwel alle grote diensten laten je meerdere methodes registreren. Een app plus een reservesleutel, of een app op twee apparaten. Doe dit meteen, want achteraf een tweede methode toevoegen kan alleen als je nog binnenkomt.
- Log daarna bewust een keer uit en weer in. Dit is de stap die iedereen overslaat en die het meeste oplevert. Je test of de codes werken, je merkt of je iets verkeerd hebt gescand, en je ziet hoe de inlogpagina er echt uitziet, wat later helpt om een namaakversie te herkennen.
- Ga dan pas naar de rest. Bank, DigiD, sociale accounts, de webwinkel waar je kaartgegevens staan, en je werkaccount. Neem er een avond voor, niet één per week, want een half afgemaakte lijst geeft vooral een vals gevoel van veiligheid.
- Ruim de oude toegangen op. In de beveiligingsinstellingen van de meeste diensten staat een lijst met apparaten en gekoppelde apps die nog toegang hebben. Gooi eruit wat je niet herkent of niet meer gebruikt. Een oude telefoon die nog ingelogd staat, omzeilt je nieuwe tweede stap gewoon.
Waar het in de praktijk misgaat
De grootste val is niet technisch maar menselijk. Aanvallers bellen mensen op en vragen om de code voor te lezen, met een verhaal dat klopt genoeg om geloofwaardig te zijn: er zou een verdachte betaling zijn, of een pakket dat niet bezorgd kan worden. Zo’n code is precies zoveel waard als je wachtwoord, en niemand van een bank, een bezorger of een overheidsinstantie heeft hem ooit nodig. Dat het zelfs bij echte telefoonnummers lastig is om vast te stellen wie je aan de lijn hebt, bleek toen veel mensen zich afvroegen of een onbekend nummer van een pakketbezorger echt was. De regel is simpel: hang op en bel zelf terug via een nummer dat je zelf opzoekt.
Een tweede val zit in de meldingen waarop je alleen hoeft te tikken. Sommige diensten sturen een pushbericht met de vraag of jij het bent. Dat is comfortabel, maar het maakt je kwetsbaar voor iemand die je ’s nachts twintig keer achter elkaar zo’n verzoek stuurt tot je uit ergernis op akkoord tikt. Zet die functie waar het kan om naar de variant waarbij je een getal moet overtypen dat op je scherm staat.
De derde val is de reservetelefoon van vroeger. Veel mensen registreren hun nummer ooit als terugvaloptie en vergeten dat, waarna dat nummer jaren later bij een nieuwe eigenaar terechtkomt. Loop je beveiligingsinstellingen dus ook door op telefoonnummers en oude adressen die er niet meer toe doen.
Het Nationaal Cyber Security Centrum publiceert doorlopend actuele adviezen en waarschuwingen over dit soort aanvallen, en die zijn openbaar te lezen. Wat mij daarin steeds opvalt is hoe zelden het om ingewikkelde techniek gaat en hoe vaak om een ingang die iemand ooit heeft opengezet en daarna vergeten is.
Wat het je oplevert
Ik vind de vergelijking met een huissleutel misleidend, want een slot houdt iemand buiten en een tweede stap doet iets anders: hij maakt de buit van een inbraak ergens anders onbruikbaar. Bij een datalek bij een willekeurige webwinkel staat straks jouw mailadres met een wachtwoord op straat. Gebruik je datzelfde wachtwoord ergens anders, dan is dat een probleem. Staat er op dat andere account een tweede stap, dan komt de aanvaller niet verder dan het inlogscherm en krijg jij een melding dat iemand het probeerde.
Dat is meteen de reden waarom de meldingen die je krijgt waardevol zijn en niet irritant. Een inlogpoging die jij niet was, is gratis informatie: het betekent dat dat wachtwoord ergens gelekt is en dat je het overal waar je het hergebruikt moet vervangen. Zet die meldingen dus aan in plaats van uit, hoe verleidelijk dat laatste ook is.
Tot slot een verwachting die klopt te stellen: dit gaat niet weg. Passkeys nemen langzaam de plaats in van wachtwoorden, en dat is winst, maar de overgang duurt jaren en in die tussenperiode heb je beide nodig. Een avond werk nu bespaart je de week die het kost om een gekaapt mailaccount terug te krijgen, en dat is een ruil waarvan ik nooit iemand heb horen zeggen dat hij er spijt van had.
