Je wachtwoordmanager lost je risico niet op, hij concentreert het

De aanvallers die eind 2022 de versleutelde kluizen van LastPass-klanten buitmaakten, hoefden daarna nergens meer in te breken. Ze hadden de kluizen al. Op 30 januari 2024, ruim een jaar later, verdween bij één slachtoffer in één keer voor 150 miljoen dollar aan crypto, en Amerikaanse opsporingsdiensten herleidden die diefstal naar hoofdwachtwoorden die uit de gestolen LastPass-kluizen waren gekraakt.

Dat is wat er gebeurt als de kluis het doelwit is in plaats van de oplossing. Het is ook precies de vraag die niemand meer stelt bij het braafste advies uit de digitale hygiëne.

"Gebruik een wachtwoordmanager" is zo onomstreden geworden dat het geen advies meer is maar een geruststelling: heb je er een, dan ben je klaar. Mijn stelling is dat een wachtwoordmanager je risico niet oplost maar concentreert. Alles staat achter één geheim dat één mens moet onthouden en dagelijks ergens intikt. Dat is een verbetering zolang je dat geconcentreerde risico ook als geconcentreerd risico beheert, en vrijwel niemand doet dat.

De kluis is het aantrekkelijkste doelwit geworden dat er is

Aanvallers volgen de rekensom, en die rekensom is gekanteld. Picus Labs analyseerde over heel 2025 bijna 1,1 miljoen kwaadaardige bestanden en vond dat bijna één op de vier aanvallen zich richt op opgeslagen inloggegevens in plaats van op inbreken. Diefstal uit wachtwoordopslag staat daarmee in de top drie van meest voorkomende aanvalstechnieken.

Dat is logisch zodra je het van de andere kant bekijkt. Een geslaagde phishingmail op een gewone inlog levert één account op. Een geslaagd hoofdwachtwoord levert de boekhouding, de webshop, de mail, de domeinregistrar, de betaalprovider en de personeelsadministratie in één keer op, plus alles wat er verder in de gedeelde teamkluis staat. Dezelfde moeite, een totaal andere opbrengst.

Dus wordt er gerichter op geschoten. In juli 2026 kregen gebruikers van LastPass en Bitwarden valse beveiligingsmails vanaf lookalike-domeinen die via een nagemaakte DocuSign-pagina om het hoofdwachtwoord vroegen, waarbij LastPass bevestigde dat er in zijn eigen systemen niets was gebeurd. In diezelfde maand dook CrashStealer op, macOS-malware die zich voordoet als Apple's CrashReporter en met een nagemaakte systeemwachtwoordprompt de Keychain ontgrendelt om er onder meer de gegevens van wachtwoordmanagers uit te halen.

Twee heel verschillende technieken, dezelfde verschuiving: de aanval gaat niet meer om de sloten ín de kluis, maar om de deur ervan.

Een gestolen kluis speelt niet meer volgens jouw regels

Hier zit het deel dat in de standaardvoorlichting ontbreekt. Zolang je kluis online staat, werkt alles waar je stilzwijgend op rekent: een limiet op het aantal pogingen, een tweede factor, een melding bij een vreemde inlog, een knop om alle sessies uit te loggen. Zodra een versleutelde kopie van die kluis bij de aanvaller op de schijf staat, verdwijnt dat in één klap. Er valt niets meer te tellen, niets te alarmeren, niets in te trekken. Wat overblijft is rekenkracht tegen jouw hoofdwachtwoord, in het tempo en met de hardware die de aanvaller kiest.

En dat tempo is ruim. Bij de LastPass-inbraak van 2022 waren juist de oudere klanten kwetsbaar, omdat hun hoofdwachtwoord met veel minder rekenrondes was afgeschermd dan de latere standaard, wat kraken met miljoenen pogingen per seconde haalbaar maakte. TRM Labs traceerde eind 2025 ruim 35 miljoen dollar aan crypto die na die inbraak uit portemonnees is weggehaald, waarvan een golf van zo'n 7 miljoen dollar pas in september 2025 op gang kwam. Bijna drie jaar na de diefstal van die kluizen.

Dat past bij hoe gestolen materiaal zich altijd gedraagt. Twee gelekte Odido-adressen kregen in 150 dagen 61 phishingmails, en de stilte die daarna intrad zei niets over veiligheid, alleen iets over hoe goedkoop de eerste golf was. Bij een gelekt e-mailadres kost je dat hooguit een reeks nepmails. Bij een gelekte kluis is de houdbaarheid van elk item erin precies zo lang als het duurt voordat jij het zelf vervangt. Dat is een deadline die niemand voor je zet.

Niemand heeft een draaiboek voor "de kluis staat open"

Vraag een ondernemer wat hij doet als een laptop uit de auto wordt gestolen en je krijgt meestal een antwoord. Vraag wat hij doet als een medewerker om 16.20 uur het hoofdwachtwoord van de gedeelde kluis heeft ingetikt op een pagina die er precies zo uitzag als de echte, en het blijft stil.

Terwijl dat het enige scenario is waarin alles tegelijk weg is. Op zo'n moment moet je binnen een uur weten welke accounts erin staan, welke daarvan het herstelkanaal van de rest zijn (de mailbox eerst, altijd), welke herstelcodes en API-sleutels in de notities zijn geplakt, en wie de bevoegdheid heeft om dat allemaal in te trekken. In de bedrijven waar ik binnenkom is de gedeelde kluis meestal een gegroeide verzameling van honderden items zonder eigenaar, waarvan een deel van een leverancier is die er al twee jaar niet meer werkt. Dat is geen inventaris. Dat is een zolder.

De ergste categorie zijn de dingen die een compromittatie van de kluis juist moeten overleven. In de Amerikaanse strafzaak rond de LastPass-diefstallen bleken slachtoffers hun crypto-seed phrases in de beveiligde notities te hebben gezet. Het beveiligingsraamwerk van de Security Alliance is er sinds juli 2026 expliciet over: zet je seed phrase niet in een wachtwoordmanager, hooguit het afgeleide geheim dat erbij hoort. Dezelfde logica geldt voor de herstelcodes van je tweefactorauthenticatie. Wie zijn noodsleutel in de kluis legt, heeft geen noodsleutel.

Om eerlijk te zijn: het alternatief is nog altijd veel erger

De sterkste tegenwerping is meteen ook de eerlijkste. Zonder wachtwoordmanager krijg je hergebruikte wachtwoorden, varianten met een jaartal erachter, een gedeeld Excel-bestand en een briefje onder het toetsenbord. Dat is aantoonbaar slechter. Het NCSC adviseert een wachtwoordmanager om je wachtwoorden veilig en centraal te beheren, en dat advies deugt. Bij geen van de incidenten van deze zomer faalde bovendien de techniek: LastPass werd in juli niet gehackt maar nagebootst, en de versleuteling van de kluizen uit 2022 hield stand, behalve waar het hoofdwachtwoord zwak was.

Dat klopt allemaal. Ik gebruik er zelf een en ik richt ze in bij klanten.

Maar "het alternatief is erger" is een argument om er één te hebben. Het is geen argument om daarna op te houden met denken, en precies daar stopt het advies. Kijk naar de meest concrete instructie die het NCSC over de kluis geeft: schrijf het hoofdwachtwoord op een briefje en verstop dat thuis, zonder erbij te zetten waar het voor is. Verstandig. Het gaat alleen over dat ene geheim, over de voordeur, en daarna houdt het op.

Bij back-ups accepteert niemand die redenering meer. "De back-up draait" telt pas als je een herstel hebt getest. De wachtwoordmanager is zo ongeveer het laatste systeem met geconcentreerd risico dat nog wegkomt met "geïnstalleerd, dus geregeld".

De vraag is niet meer of je er een hebt

Wie de kluis als geconcentreerd risico behandelt, stelt drie andere vragen.

De eerste gaat over de deur. Het slot van de kluis hoort zwaarder te zijn dan de sloten die erin liggen, en een hoofdwachtwoord dat je op een nagemaakte pagina kunt intikken is dat niet. Bitwarden laat je de kluis ontgrendelen met een passkey als je browser en je sleutel WebAuthn PRF ondersteunen. Met het detail dat je zelden op een productpagina leest: het hoofdwachtwoord blijft bestaan als terugvaloptie voor als je die passkey kwijtraakt. Het is dus risicoreductie, geen eliminatie. Een prima ruil, zolang je hem bewust maakt.

De tweede gaat over wat erin hoort. Alles wat een compromittatie van de kluis moet overleven, hoort er niet in. Dat is een korte lijst, en hem opstellen kost een half uur.

De derde gaat over het uur erna. Een gecompromitteerde kluis is een scenario met een volgorde, niet een ramp met een schuldige. Welke accounts eerst, wie trekt in, en hoe weet je achteraf dat je niets hebt gemist. Het praktische deel daarvan staat in de cybersecurity basischeck van vijf lagen die je zelf kunt nalopen en in het draaiboek per kanaal om toegang in te trekken. Wat mij hier interesseert is iets anders: bij vrijwel geen enkel bedrijf staat de kluis zelf in dat rijtje.

Die drie vragen liggen dichter bij elkaar dan ze lijken. Ze gaan geen van drieën over het product dat je koos, maar over hoe je eromheen werkt. Dat is dezelfde conclusie die zich opdringt zodra je ziet dat phishing niet meer aan taalfouten te herkennen is en de verdediging bij je proces begint, niet bij je software.

De kluizen van 2022 zijn nooit gehackt in de zin die mensen bedoelen. Ze zijn gekopieerd, meegenomen en daarna in andermans tempo opengemaakt, jaren later, terwijl de eigenaars al lang dachten dat het over was. Dat is het model waar je je op voorbereidt, want dat is het model dat werkt.

Het gevaarlijkste advies in beveiliging is niet het foute advies. Het is het goede advies dat zo vaak herhaald is dat niemand het nog toetst. Een wachtwoordmanager blijft het beste antwoord op het wachtwoordprobleem. Hij is inmiddels ook het waardevolste bezit dat je op één plek hebt staan, en waardevolle bezittingen verdedig je niet door ze te hebben.