Hoe kies je een wachtwoordmanager

Bijgewerkt 28-08-2026 · tijdelijkemail.nl

Eén wachtwoord dat je op tien plekken gebruikt is het grootste beveiligingsgat in het leven van de meeste mensen — groter dan verouderde software, groter dan openbare wifi. Een wachtwoordmanager lost dat gat in één keer op.

Waarom dit het probleem is dat je moet oplossen

Wordt een dienst gehackt, dan belanden e-mailadres en wachtwoord samen op een lijst. Aanvallers voeren die combinatie vervolgens automatisch in bij tientallen andere diensten — mail, webshops, sociale netwerken, bankieren. Gebruik je overal hetzelfde wachtwoord, dan verlies je bij één lek alles tegelijk. Gebruik je overal een uniek wachtwoord, dan blijft de schade beperkt tot precies die ene dienst.

Unieke wachtwoorden onthouden kan niemand. Ze opschrijven in een bestand of ze afleiden van een patroon («Netflix2024!», «Bol2024!») werkt niet: dat patroon is voor een aanvaller met één voorbeeld triviaal te raden. De enige praktische oplossing is een programma dat ze voor je genereert en bewaart.

De criteria die er echt toe doen

• Zero-knowledge-versleuteling. Het belangrijkste punt. Alles wordt versleuteld op jouw apparaat, met een sleutel afgeleid van je hoofdwachtwoord, vóórdat er iets naar de server gaat. De aanbieder bewaart alleen onleesbare blokken en kent je hoofdwachtwoord niet.
• Onafhankelijke audit. Is de beveiliging door een extern bureau bekeken en is dat rapport openbaar? Let op de datum.
• Platformen en browsers. Werkt hij op alles wat je gebruikt — je telefoon, je laptop, misschien een werkcomputer met een andere browser? Een manager die op één apparaat ontbreekt, gebruik je uiteindelijk niet.
• Automatisch invullen dat werkt. Klinkt triviaal, is het niet: als invullen elke keer hapert, val je binnen een week terug op oude gewoonten.
• Delen binnen een gezin of team. De wifi-code, het streamingaccount, de gedeelde webwinkel. Delen in een kluis is beter dan appen.
• Lekbewaking. Een manager die je kluis vergelijkt met bekende lekken en zwakke of hergebruikte wachtwoorden aanwijst — zie controleren of je wachtwoorden gelekt zijn.
• Offline toegang. Je moet bij je wachtwoorden kunnen zonder internet en zonder dat de dienst van de aanbieder online is.
• Export. Kun je alles in een leesbaar formaat meenemen? Een dienst die je niet kunt verlaten, moet je niet binnengaan.
• Herstel bij een vergeten hoofdwachtwoord. Kijk vooraf wat er dan gebeurt: een herstelcode, een noodcontact, of niets. Dat laatste is geen fout — het hoort bij zero-knowledge — maar je wilt het weten voordat het je overkomt.
• Prijs per gezin. Gezinsabonnementen dekken meerdere personen en zijn per persoon vaak voordeliger dan losse abonnementen.

«En als ze gehackt worden?»

De meest gestelde vraag, en een terechte. Het antwoord zit in de zero-knowledge-opzet: wat de aanbieder bewaart is een versleuteld blok. Wie de servers leegtrekt, heeft ruis — geen wachtwoorden. Om er iets uit te halen moet hij jouw hoofdwachtwoord raden, en moderne sleutelafleiding maakt dat raden traag en duur.

Twee voorwaarden bepalen of dat waar blijft: je hoofdwachtwoord moet lang zijn en nergens anders gebruikt, en je zet tweestapsverificatie op je kluis aan. Aan die voorwaarden voldaan, is een manager duidelijk veiliger dan het alternatief — één wachtwoord dat overal past.

Hoe je begint, in ongeveer een uur

1. Kies een hoofdwachtwoord als zin. Vier of vijf willekeurige woorden die samen nergens op slaan onthoud je beter dan «Xk9$2p» en zijn moeilijker te kraken. Schrijf het één keer op papier en leg dat ergens veilig; dit is de enige uitzondering op «nooit opschrijven».
2. Installeer de app en de browserextensie op al je apparaten. Sla de telefoon niet over.
3. Importeer je bestaande wachtwoorden uit je browser. Elke manager heeft daar een functie voor. Je begint dus niet met een lege kluis.
4. Vervang niet alles tegelijk. Begin met de accounts die er echt toe doen: je hoofdmail (die is de sleutel tot alle andere via «wachtwoord vergeten»), bankieren, en de winkels waar je kaartgegevens staan. Laat de manager voor elk een nieuw, lang, willekeurig wachtwoord genereren.
5. Zet tweestapsverificatie aan op diezelfde accounts. Wachtwoord plus tweede factor is een aanzienlijk grotere sprong in veiligheid dan een langer wachtwoord alleen.
6. Vervang de rest gaandeweg. Elke keer dat je ergens inlogt, verander je dat wachtwoord. Na een paar weken is de kluis vanzelf schoon.
7. Ruim je browser op. Verwijder daarna de wachtwoorden die daar nog opgeslagen staan — waarom dat nodig is, staat in wachtwoorden opgeslagen in de browser.

Gratis, betaald of ingebouwd

Er bestaan drie soorten. Betaalde diensten verdienen geld aan abonnementen, wat een duidelijk en gezond verdienmodel is bij software die je meest gevoelige gegevens bewaart. De manager die in je besturingssysteem of browser zit is gratis en werkt goed binnen dat ene ecosysteem, maar wordt lastig zodra je apparaten of browsers mengt — daarover meer verderop. Openbronoplossingen die je zelf beheert geven je volledige controle en kosten niets, maar de synchronisatie tussen apparaten regel je zelf, en dat is precies de stap waar mensen afhaken.

Wat je wilt vermijden is een gratis dienst zonder zichtbaar verdienmodel. Bij een kluis met al je inloggegevens is de vraag «waar komt het geld vandaan» geen detail.

Wat je er nog meer in kwijt kunt

Een kluis is niet alleen voor wachtwoorden. Beveiligde notities (herstelcodes voor tweestapsverificatie, verzekeringsgegevens), softwarelicenties, en bij veel managers ook betaalkaarten voor het invullen van afrekenformulieren. Alles wat je nu in een notitie-app of een mail aan jezelf bewaart, hoort hier beter thuis.

Wat een manager niet oplost

Hij verhindert niet dat je je wachtwoord op een nepsite intypt — al helpt hij daar indirect bij, want automatisch invullen werkt niet op een domein dat niet klopt, en dat is een bruikbaar waarschuwingssignaal. Hij verbergt je e-mailadres niet, en hij vervangt geen tweestapsverificatie. Zie privacy online beschermen voor hoe het geheel in elkaar past.

Veelgestelde vragen

Wat gebeurt er als ik mijn hoofdwachtwoord vergeet?

Bij een goed ontworpen manager kan niemand je erin helpen: het hoofdwachtwoord is de sleutel en de aanbieder heeft hem niet. Daarom hoort er bij het opzetten meteen een herstelsleutel of noodcode te worden bewaard, op papier op een veilige plek.

Wat als de aanbieder ermee stopt?

Elke serieuze manager heeft een exportfunctie waarmee je je kluis als bestand meeneemt naar een andere. Controleer dat die er is voordat je begint, en verwijder het exportbestand meteen na de verhuizing — het staat in leesbare tekst.

Kan ik hem op meerdere apparaten gebruiken?

Dat is juist het punt: kluizen synchroniseren tussen telefoon, laptop en browser, versleuteld onderweg. Zonder die synchronisatie ga je bij het invullen op je telefoon alsnog wachtwoorden verzinnen die je kunt onthouden — precies wat je wilde vermijden.