Een wachtwoordmanager voor je bedrijf: waarom en welke

Het probleem dat een wachtwoordmanager oplost is bijna altijd hetzelfde: wachtwoorden hergebruiken. Niemand onthoudt tientallen unieke, sterke wachtwoorden uit zijn hoofd, dus gebruiken de meeste mensen er een paar varianten voor alles. Dat is het lek. Als een wachtwoord ergens uitlekt, bij een forum, een webshop, een dienst waar je nauwelijks nog aan denkt, wordt dat wachtwoord automatisch geprobeerd bij andere accounts. Ook bij je zakelijke mail, je boekhoudpakket of je bank. Eén zwakke plek buiten je bedrijf kan zo een sterke plek binnen je bedrijf worden. Een wachtwoordmanager haalt de reden weg om wachtwoorden te hergebruiken: hij genereert en onthoudt voor elk account een uniek, sterk wachtwoord, en jij hoeft alleen nog één hoofdwachtwoord te onthouden.

Hoe werkt een wachtwoordmanager in de praktijk?

Je installeert een browserextensie of app, logt eenmalig in met je hoofdwachtwoord, en vanaf dan vult de manager je inloggegevens automatisch in op sites en in apps. Maak je een nieuw account aan, dan stelt hij meteen een lang, willekeurig wachtwoord voor in plaats van dat je zelf iets moet verzinnen. Alles wat je opslaat wordt versleuteld, en wel zo dat zelfs het bedrijf achter de wachtwoordmanager niet kan zien wat er in jouw kluis staat. Dat heet end-to-end encryptie: de sleutel is jouw hoofdwachtwoord, en die kent alleen jij. Vergeet je dat wachtwoord, dan kan ook de leverancier je niet zomaar terug in je eigen kluis helpen. Dat voelt in eerste instantie onhandig, maar het is precies het punt: niemand anders kan erbij, dus ook niemand kan het voor je stelen door bij de leverancier in te breken.

Heb je als zzp’er een zakelijke wachtwoordmanager nodig?

Ja, maar je hebt een eenvoudiger versie nodig dan een bedrijf met personeel. Als zzp’er deel je met niemand, dus alle functies rond gedeelde toegang, rollen en beheerdersrechten zijn voor jou overbodig. Wat je wél nodig hebt:

Alle apparaten waar je op werkt. Laptop, telefoon, misschien een tablet. Een manager die niet op je telefoon staat, ga je op je telefoon omzeilen, en daar begint het hergebruik weer.
Een plek voor je herstelcodes. De back-upcodes van je tweestapsverificatie horen in je kluis, niet als screenshot op dezelfde telefoon waar je authenticator-app op staat.
Een noodplan voor jezelf. Dit slaan zzp’ers het vaakst over. Jij bent de enige met de sleutel, dus als je je hoofdwachtwoord kwijtraakt of jou iets overkomt, kan niemand bij je zakelijke accounts. Elke serieuze manager heeft daar iets voor: een herstelcode of noodkit die je uitprint en veilig bewaart, of een noodcontact. Regel dat op dag één.

Een gezinsabonnement is voor een zzp’er vaak genoeg, en goedkoper dan een zakelijk abonnement. Zodra je werkt met mensen die niet bij je thuis wonen, wil je iets anders.

Wat verandert er zodra je een team hebt?

Bij één persoon is een wachtwoordmanager vooral gemak. Vanaf twee mensen wordt het een organisatievraag: wie mag waarbij, en hoe krijg je dat er weer af.

Zakelijk wachtwoordbeheer voegt daarvoor drie dingen toe. Ten eerste gedeelde kluizen. Je zet het inlogaccount van het Instagram-profiel of een gedeelde tool in een kluis waar het team bij kan. Diegene logt gewoon in en de manager vult het wachtwoord op de achtergrond in, zonder dat het ooit in beeld of in een appje komt. Ten tweede een beheerdersoverzicht: één scherm waarop je ziet wie er zijn en bij welke kluizen ze kunnen. Ten derde beheerdersherstel, de mogelijkheid om iemand die zijn hoofdwachtwoord kwijt is weer toegang te geven. Dat klinkt tegenstrijdig na het stuk over end-to-end encryptie, maar het werkt via sleutels die vooraf tussen de accounts zijn uitgewisseld, niet doordat de leverancier ineens kan meekijken.

Scheid daarbij privé van zakelijk: geef iedereen een persoonlijke kluis náást de gedeelde kluizen. Anders belanden privéwachtwoorden in de bedrijfskluis, en wordt “iemand gaat weg” een gesprek over andermans privéspullen.

Wat doe je als een medewerker uit dienst gaat?

Dit is de meest concrete reden waarom een bedrijf iets anders nodig heeft dan een privéoplossing. Bij een goed ingerichte zakelijke wachtwoordmanager is offboarding één handeling: je schakelt het account uit en de toegang tot alle gedeelde kluizen vervalt. In het beheerdersoverzicht zie je precies welke kluizen dat waren, dus je weet meteen welke wachtwoorden je nog wilt vernieuwen.

Vergelijk dat met een spreadsheet of een briefje bij het bureau. Dan betekent iemand die vertrekt in theorie dat je alle wachtwoorden handmatig wijzigt. In de praktijk gebeurt dat meestal niet, omdat niemand er meer aan denkt. Maanden later staat een ex-medewerker nog steeds in de social-media-app van de zaak, en je merkt dat pas als het slecht uitkomt.

Twee dingen die mensen hierbij vergeten. Eén: toegang intrekken haalt het wachtwoord niet uit iemands hoofd of uit een oude screenshot, dus voor de accounts die er echt toe doen wijzig je het wachtwoord alsnog. Twee: heb je nog iets uit de persoonlijke kluis van die medewerker nodig, regel dat vóór je het account uitzet.

Is de wachtwoordmanager van je browser niet genoeg?

Voor privégebruik is de ingebouwde manager van Chrome, Safari of Edge een prima stap vooruit. Hij is gratis, staat er al op, en hij is oneindig veel beter dan overal hetzelfde wachtwoord gebruiken. Dat is een eerlijker oordeel dan het gebruikelijke “gebruik dat nooit”.

Voor een bedrijf loop je tegen drie grenzen aan. Delen: browsers zijn gemaakt voor één persoon, dus toegang delen betekent in de praktijk het wachtwoord doorsturen, en dan ben je terug bij af. Beheer: er is geen overzicht van wie bij wat kan, en dus ook geen knop om dat in te trekken als iemand vertrekt. En vergrendeling: waar een wachtwoordmanager een apart hoofdwachtwoord vraagt, hangt de browserkluis vaak aan het inloggen op het apparaat zelf. Staat je laptop open en onbeheerd, dan staat je kluis ook open. Daar komt bij dat je zakelijk meer bewaart dan wachtwoorden alleen: back-upcodes, licentiesleutels, een pincode. Daar is autofill niet voor gemaakt.

Welke zakelijke wachtwoordmanager kies je?

Er is geen objectief beste optie, wel een optie die bij jouw manier van werken past. Vergelijk vooral op deze punten:

Prijsmodel. Zakelijke abonnementen rekenen doorgaans per gebruiker per maand, vaak met korting bij jaarbetaling. Reken door wat dat kost bij het aantal mensen dat je over twee jaar verwacht, niet bij het aantal van vandaag.
Waar de gegevens staan. Voor de AVG is het prettig als je kunt aanwijzen in welke regio je gegevens staan. Wachtwoorden zijn end-to-end versleuteld en dus ook buiten de EU niet leesbaar, maar metadata zoals itemnamen en e-mailadressen valt daar niet altijd onder.
Nederlandse interface. Voor jezelf maakt Engels weinig uit, voor een team dat je mee moet krijgen soms wel.
Gedeelde kluizen en offboarding. Kan een gewone gebruiker zonder jouw hulp aan de slag, en kun jij iemand met één handeling buitensluiten?
Export. Kun je je hele kluis er in een leesbaar formaat weer uithalen? Zo niet, zit je vast. Test dat vóór je overstapt.

Van de bekende namen: Bitwarden heeft een gratis variant voor privégebruik met een onbeperkt aantal wachtwoorden en apparaten, plus betaalde Families-, Teams- en Enterprise-abonnementen. De broncode staat publiek op GitHub en je kunt het zelf hosten, en Bitwarden slaat kluisgegevens op in de Microsoft Azure Cloud in de VS of de EU. De interface wordt via Crowdin door de gemeenschap vertaald, inclusief Nederlands. 1Password is de commerciële klassieker, met aparte abonnementen voor privégebruik en voor bedrijven. Dashlane mikt op de zakelijke markt, rekent per gebruiker per maand bij jaarbetaling en geeft veertien dagen proeftijd. En Proton Pass is interessant als Europese jurisdictie meetelt: Proton zit in Zwitserland, er is een gratis variant met een onbeperkt aantal logins en een Family-abonnement voor maximaal zes gebruikers.

Prijzen en functies veranderen hier regelmatig, dus check ze bij de aanbieder zelf. Belangrijker dan welke je kiest, is dát je er een kiest en hem ook echt gebruikt.

Hoe voer je het in zonder dat iedereen in week twee afhaakt?

De grootste reden dat een wachtwoordmanager mislukt is niet techniek maar tempo. Vraag je het team op maandag om honderd wachtwoorden over te zetten, dan is het woensdag voorbij. Een invoering die wel blijft plakken:

Begin bij jezelf. Werk er twee weken mee, zodat je de vragen die komen zelf al hebt gehad.
Importeer wat er al is. Bijna elke manager kan wachtwoorden uit je browser importeren, en dat scheelt het handwerk waar mensen op afhaken. Ruim daarna dubbele en dode accounts op.
Doe eerst de gedeelde accounts. Dat is de winst die iedereen direct voelt: geen appjes met wachtwoorden meer.
Vervang wachtwoorden geleidelijk. Spreek af dat je een wachtwoord vernieuwt op het moment dat je er tóch inlogt. Begin wel meteen met de belangrijkste: e-mail, domeinnaam en DNS, boekhouding en bank.
Zet tweestapsverificatie aan op de manager zelf. Die kluis is nu je kroonjuweel. Hoe je dat aanpakt lees je in Tweestapsverificatie instellen voor je bedrijf.
Spreek één regel af. Staat het niet in de kluis, dan bestaat het niet. Dat werkt beter dan een handleiding van tien pagina’s.

Maken passkeys wachtwoorden binnenkort overbodig?

Op termijn deels, op korte termijn niet. Een passkey vervangt het wachtwoord door een sleutelpaar op je apparaat: je bevestigt met je vingerafdruk, gezicht of pincode, en er gaat geen geheim over de lijn dat iemand kan onderscheppen of nabootsen. Dat maakt passkeys ook bestand tegen phishing, want de sleutel weigert te werken op een nagemaakte inlogpagina.

Alleen ondersteunt lang niet elke dienst die je zakelijk gebruikt passkeys, dus voor de rest blijf je wachtwoorden nodig hebben. Bovendien moeten die passkeys ergens staan en met je team te delen zijn, en dat is precies wat een wachtwoordmanager doet. De meeste managers kunnen ze inmiddels naast wachtwoorden opslaan. Je hebt de komende jaren dus geen keuze tússen wachtwoorden en passkeys, maar een kluis waar allebei in zit.

Wat moet je vooral niet doen?

Een paar dingen die in kleine bedrijven veel voorkomen, en die stuk voor stuk het doel van een wachtwoordmanager ondermijnen:

Een spreadsheet met wachtwoorden. Onversleuteld, meestal gedeeld via mail of een schijf, en voor iedereen met toegang tot dat bestand in te zien.
Wachtwoorden doorsturen via WhatsApp of e-mail. Ze blijven staan in twee gespreksgeschiedenissen en gaan mee naar het volgende toestel.
Overal hetzelfde “sterke” wachtwoord gebruiken. Sterk zegt iets over hoe moeilijk het te raden is, niet over wat er gebeurt als het één keer uitlekt.
Eén gedeeld account waar het hele team op inlogt. Dan weet je bij een incident nooit wie wat heeft gedaan.

Goed wachtwoordbeheer staat trouwens niet los van de rest. Het werkt vooral in combinatie met tweestapsverificatie en met mensen die weten hoe een nepmail eruitziet, want dat is de route waarlangs wachtwoorden meestal weglopen. Daarover lees je meer in Phishing herkennen als ondernemer.

Wil je hulp bij de overstap?

Bouwman.io helpt kleine bedrijven bij het invoeren van een wachtwoordmanager, inclusief de inrichting van teamtoegang: wie welke kluis mag zien, hoe je nieuwe medewerkers aansluit en hoe je iemand die vertrekt netjes uitsluit. Dat maakt onderdeel uit van privacy en cyberbeveiliging.