Gedeelde wachtwoorden op de werkvloer vormen een serieus beveiligingsrisico voor elk bedrijf. Wanneer meerdere medewerkers hetzelfde wachtwoord gebruiken voor een systeem of account, verlies je direct de controle over wie er toegang heeft, wat ermee wordt gedaan en wie er verantwoordelijk is als er iets misgaat. Dit geldt voor bedrijven van elke omvang, maar zeker voor het MKB, waar ICT-beveiliging vaak minder formeel is geregeld. In dit artikel beantwoorden we de meest gestelde vragen over de risico’s van gedeeld wachtwoordgebruik en laten we zien hoe je dit structureel aanpakt.
Hoe komen cybercriminelen binnen via gedeelde wachtwoorden?
Cybercriminelen maken misbruik van gedeelde wachtwoorden doordat ze bij één geslaagde aanval direct toegang krijgen tot alles wat dat wachtwoord beschermt. Omdat meerdere mensen hetzelfde wachtwoord kennen, neemt de kans op een lek toe: één onvoorzichtige medewerker is genoeg om een aanvaller binnen te laten.
Stel: vijf medewerkers gebruiken hetzelfde wachtwoord voor een boekhoudpakket. Eén van hen ontvangt een phishingmail en vult zijn gegevens in op een nepwebsite. De aanvaller heeft nu niet alleen toegang tot dat account, maar ook tot alles wat het gedeelde wachtwoord ontgrendelt. En omdat niemand weet wie het wachtwoord heeft ingevoerd en waar, is de besmetting moeilijk te traceren.
Daarnaast worden gedeelde wachtwoorden vaak minder regelmatig gewijzigd. Als iemand het wachtwoord verandert, moeten alle gebruikers opnieuw worden geïnformeerd, wat gedoe oplevert. Dat gedoe zorgt er in de praktijk voor dat wachtwoorden jarenlang hetzelfde blijven. Voor een aanvaller is dat ideaal: eenmaal verkregen toegang blijft lang geldig.
Veelgebruikte aanvalsmethoden bij gedeelde wachtwoorden zijn:
- Phishing: medewerkers worden verleid om inloggegevens in te voeren op een neppagina
- Credential stuffing: eerder gelekte wachtwoorden worden automatisch geprobeerd op andere systemen
- Interne diefstal: een (ex-)medewerker gebruikt het wachtwoord na vertrek nog steeds
- Afluisteren via onbeveiligde netwerken: wachtwoorden die onversleuteld worden gedeeld, zijn eenvoudig te onderscheppen
Waarom vergroot wachtwoord delen de schade bij een datalek?
Gedeeld wachtwoordgebruik vergroot de schade bij een datalek omdat het onmogelijk maakt om de toegang snel en gericht te blokkeren. Zodra een gedeeld wachtwoord is uitgelekt, heeft een aanvaller net zolang toegang totdat het wachtwoord voor alle gebruikers tegelijk wordt gewijzigd, wat in de praktijk kostbare tijd kost.
Bij een persoonlijk account is de reactie eenvoudig: blokkeer dat account en reset het wachtwoord. Bij een gedeeld account weet je niet wie er op dat moment ingelogd is, wie het wachtwoord allemaal kent en of het al gedeeld is met derden. Dat maakt een snelle en gerichte respons vrijwel onmogelijk.
Bovendien is bij gedeelde accounts geen audittrail beschikbaar. Je kunt achteraf niet vaststellen wie welke actie heeft uitgevoerd, welke bestanden zijn geopend of welke gegevens zijn gedownload. Dit is niet alleen een operationeel probleem, maar ook een juridisch probleem: bij een datalek ben je verplicht te rapporteren wat er precies is gebeurd en welke gegevens zijn betrokken. Zonder traceerbaarheid kun je die vragen niet beantwoorden.
Welke systemen lopen het meeste risico bij gedeeld wachtwoordgebruik?
De systemen met het grootste risico bij gedeeld wachtwoordgebruik zijn die systemen waar gevoelige bedrijfs- of klantgegevens worden opgeslagen of verwerkt. Hoe meer mensen toegang hebben via één wachtwoord, hoe groter het aanvalsoppervlak.
In de praktijk gaat het vaakst mis bij de volgende systemen:
- Boekhoud- en ERP-software: toegang tot financiële gegevens, facturen en klantinformatie
- E-mailaccounts: gedeelde mailboxen zoals info@ of administratie@ worden vaak door meerdere mensen gebruikt
- CRM-systemen: klantgegevens en contacthistorie zijn aantrekkelijk voor concurrenten en criminelen
- Cloudopslag: platforms als SharePoint of OneDrive bevatten vaak gevoelige documenten
- Netwerkapparatuur: routers en firewalls met standaard of gedeelde beheerderswachtwoorden zijn een geliefd doelwit
- Kassasystemen en POS-terminals: in de detailhandel en horeca worden deze regelmatig gedeeld
Systemen die gekoppeld zijn aan andere systemen lopen extra risico. Als een aanvaller via een gedeeld wachtwoord toegang krijgt tot één applicatie, kan hij van daaruit verder bewegen naar andere onderdelen van het netwerk. Dit principe, ook wel lateral movement genoemd, is de reden waarom één zwak punt grote gevolgen kan hebben voor de hele organisatie.
Wat zijn de juridische en compliance-gevolgen van gedeelde accounts?
Gedeelde accounts zijn in veel gevallen een directe schending van de AVG en andere compliance-vereisten. De AVG schrijft voor dat organisaties technische en organisatorische maatregelen nemen om persoonsgegevens te beschermen. Gedeeld wachtwoordgebruik maakt aantoonbare toegangsbeheersing onmogelijk, wat bij een datalek direct tot boetes en aansprakelijkheid kan leiden.
De AVG vereist dat je kunt aantonen wie toegang heeft gehad tot persoonsgegevens. Dat is per definitie onmogelijk bij gedeelde accounts. De Autoriteit Persoonsgegevens kan bij een datalek vragen om een gedetailleerd overzicht van wie welke gegevens heeft ingezien. Als je dat niet kunt leveren, loop je een verhoogd risico op een boete.
Naast de AVG zijn er voor specifieke sectoren aanvullende eisen. Denk aan:
- Zorgsector: de NEN 7510-norm vereist strikte toegangsbeheersing voor medische gegevens
- Financiële sector: banken en verzekeraars vallen onder toezicht waarbij herleidbaarheid van handelingen verplicht is
- NIS2-richtlijn: organisaties die onder NIS2 vallen, zijn verplicht aantoonbare beveiligingsmaatregelen te treffen, inclusief toegangsbeheer
Vergeet ook de interne aansprakelijkheid niet. Als een medewerker via een gedeeld account schade veroorzaakt, is het juridisch vrijwel onmogelijk om die persoon verantwoordelijk te stellen. Dat maakt gedeelde accounts ook een risico voor de interne bedrijfsvoering.
Hoe los je het probleem van gedeelde wachtwoorden structureel op?
De structurele oplossing voor gedeelde wachtwoorden is het invoeren van persoonlijke accounts voor elke medewerker, gecombineerd met een wachtwoordbeheerder en multifactorauthenticatie (MFA). Zo weet je altijd wie toegang heeft, kun je toegang snel intrekken en bescherm je accounts ook als een wachtwoord uitlekt.
Een goede aanpak bestaat uit de volgende stappen:
- Inventariseer alle gedeelde accounts: breng in kaart welke systemen en accounts momenteel gedeeld worden en door wie
- Maak persoonlijke accounts aan: geef elke medewerker een eigen login voor elk systeem dat hij of zij gebruikt
- Implementeer Role Based Access Control (RBAC): geef medewerkers alleen toegang tot de systemen en gegevens die ze voor hun werk nodig hebben
- Activeer MFA: voeg een tweede verificatiestap toe zodat een gelekt wachtwoord alleen niet genoeg is om in te loggen
- Gebruik een wachtwoordkluis: een centrale wachtwoordmanager genereert sterke, unieke wachtwoorden en slaat ze veilig op
- Stel een offboardingprocedure in: blokkeer accounts direct bij uitdiensttreding van een medewerker
Het principe van minimale toegangsrechten is hierbij leidend: een medewerker krijgt alleen toegang tot wat hij of zij nodig heeft voor de eigen werkzaamheden. Dit beperkt niet alleen de schade bij een aanval van buitenaf, maar ook de gevolgen van menselijke fouten of misbruik van binnenuit.
Wanneer is het tijd om een ICT-partner in te schakelen voor wachtwoordbeheer?
Het is tijd om een ICT-partner in te schakelen voor wachtwoordbeheer zodra je organisatie meerdere systemen gebruikt, medewerkers in- en uitstromen of je merkt dat wachtwoorden worden gedeeld omdat het anders “te ingewikkeld” is. Op dat moment overstijgt het probleem wat je intern kunt bijhouden.
Veel MKB-bedrijven herkennen één of meer van de volgende signalen:
- Medewerkers kennen elkaars wachtwoorden en vinden dat normaal
- Er is geen beleid voor het aanmaken of intrekken van accounts
- Vertrokken medewerkers hebben mogelijk nog toegang tot systemen
- MFA is niet ingesteld of alleen voor sommige systemen
- Er is geen overzicht van wie toegang heeft tot welke applicaties
Een ICT-partner helpt je niet alleen met de technische inrichting, maar ook met het opstellen van beleid, het trainen van medewerkers en het monitoren van afwijkend gedrag. Dat is werk dat structureel aandacht vraagt, niet iets wat je eenmalig regelt en daarna vergeet.
Hoe IC-Automatisering helpt met wachtwoordbeheer en toegangsbeveiliging
Wij helpen organisaties om wachtwoordproblemen structureel op te lossen, van de eerste inventarisatie tot en met het dagelijkse beheer. Beveiliging is bij ons geen losse toevoeging, maar een standaard onderdeel van elke werkplek die we inrichten.
Concreet bieden we:
- Persoonlijke accounts met RBAC: elke medewerker krijgt alleen toegang tot wat hij of zij nodig heeft
- Multifactorauthenticatie: een tweede verificatiestap die accounts beschermt, ook als een wachtwoord uitlekt
- Online wachtwoordkluis: veilig opslaan en beheren van wachtwoorden zonder ze te hoeven delen
- Monitoring en alerting: proactieve bewaking van afwijkend inloggedrag via onze 365 Baseline en 365 Alerting
- Security awareness training: medewerkers leren herkennen hoe phishing werkt en hoe ze veilig omgaan met inloggegevens
- Offboarding-procedures: accounts worden direct geblokkeerd bij uitdiensttreding
We starten altijd met een analyse van de huidige situatie: welke accounts bestaan er, wie heeft toegang tot wat en waar zitten de grootste risico’s. Vanuit die inventarisatie werken we een plan uit dat past bij jouw organisatie en sector.
Related Articles
- Wat is de rol van de directie bij een cyberincident en hoe bereid je hen voor?
- Hoe ziet een goed incident response plan eruit voor een MKB-bedrijf?
- Wat is een wachtwoordmanager en welke is geschikt voor zakelijk gebruik?
- Wat moet je doen als jouw bedrijf getroffen wordt door ransomware?
- Wat is smishing en hoe bescherm je jouw medewerkers tegen nep-sms-berichten?