Wachtwoordbeleid en 2FA voor het MKB: het minimum dat u moet hebben

Negentig procent van succesvolle hacks bij MKB-bedrijven begint met één gestolen wachtwoord. Niet met geavanceerde aanvallen, niet met malware, maar met een simpel inloggegeven dat ergens lekt.

Hieronder het minimum dat elk MKB-bedrijf in 2026 zou moeten hebben. Vier stappen. Geen jargon. Te regelen in een week.

Stap 1: een wachtwoord-manager voor het hele team

Stop met wachtwoorden onthouden of opslaan in een Word-document. Gebruik een zakelijke wachtwoord-manager: 1Password, Bitwarden, of Dashlane. Kosten: zes tot acht euro per gebruiker per maand.

Voordeel: iedereen krijgt automatisch sterke, unieke wachtwoorden voor elke service. Iemand vertrekt? U trekt zijn toegang in en hij kan nergens meer in. Een dienst lekt? Alleen dat ene wachtwoord is gecompromitteerd.

Stap 2: 2FA op alles wat data bevat

Two-factor authentication. Naast uw wachtwoord een tweede code die om de dertig seconden verandert, gegenereerd door een app op uw telefoon (Google Authenticator, Authy) of een hardware-sleutel (YubiKey).

Aanzetten op: e-mail (Microsoft 365 of Google Workspace), boekhouding, CRM, klantportaal, hosting, bank. Niet onderhandelbaar. Een gestolen wachtwoord is dan nog steeds nutteloos.

Stap 3: stop met SMS-2FA

SMS lijkt 2FA, maar is in de praktijk omzeilbaar via SIM-swap. Een aanvaller belt uw provider, doet zich voor als u, krijgt uw nummer overgezet naar zijn telefoon, en ontvangt al uw SMS-codes.

Voor banken en overheidsdiensten kunt u soms niet anders. Voor zakelijke software wel: kies altijd app-gebaseerde of hardware-2FA boven SMS.

Stap 4: trek toegang in als iemand vertrekt

Een ex-werknemer met nog werkende inloggegevens is uw grootste risico. Maak een offboarding-checklist: e-mail, CRM, boekhouding, klantportaal, gedeelde drives, VPN, hardware. Allemaal direct intrekken op de laatste werkdag.

Met een goede wachtwoord-manager is dit een handeling van vijf minuten. Zonder wachtwoord-manager bent u uren bezig en mist u altijd iets.

Wat dit kost

Voor een MKB van twintig man: circa honderdtachtig euro per maand voor de wachtwoord-manager. Plus eenmalig vier tot acht uur tijd om alles in te richten.

Wat een datalek u kan kosten: AVG-boete tot twintig miljoen euro of vier procent van uw jaaromzet. Plus reputatieschade, klantverlies, juridische kosten en intern werk om de schade in kaart te brengen.