In het kort: een sterk wachtwoord maak je vooral lang, niet ingewikkeld. Een wachtzin van vier of vijf willekeurige woorden, zoals ‘kikker-servet-maandag-blauw’, is makkelijker te onthouden en tegelijk veel moeilijker te kraken dan een kort wachtwoord vol rare tekens. Gebruik voor elke website een ander wachtwoord en bewaar ze in een wachtwoordmanager, zodat je ze niet uit je hoofd hoeft te kennen. Hieronder lees je precies hoe je dat aanpakt.
Hoe maak je een sterk wachtwoord?
De snelste manier naar een goed wachtwoord is een wachtzin: een reeks van meerdere woorden achter elkaar. Zo pak je het aan:
- Bedenk vier tot vijf woorden die niets met elkaar te maken hebben. Denk aan ‘ananas’, ’trompet’, ‘winter’ en ‘sleutel’. Hoe willekeuriger, hoe beter, want een zin uit een liedje of spreekwoord is juist makkelijk te raden.
- Plak ze aan elkaar, eventueel met een koppelteken: ananas-trompet-winter-sleutel. Je zit dan al ruim boven de twintig tekens.
- Wil je aan verplichte regels van een site voldoen (hoofdletter, cijfer, teken)? Voeg dan iets kleins toe dat je onthoudt, bijvoorbeeld Ananas-trompet-winter-sleutel!7.
- Gebruik deze zin maar op een plek. Voor elke andere site verzin je een nieuwe, of laat je je wachtwoordmanager er een genereren.
Zo’n zin van meerdere woorden is voor jou goed te onthouden, maar voor een computer die miljarden gokken per seconde doet praktisch onmogelijk te raden. Dat komt puur door de lengte.
Waarom lengte belangrijker is dan rare tekens
Jarenlang was het advies: maak een kort wachtwoord met hoofdletters, cijfers en vreemde tekens, en verander het elke drie maanden. Dat advies is achterhaald. Het Amerikaanse normeringsinstituut NIST, waar veel beveiligingsrichtlijnen op leunen, schrapte in zijn richtlijn van 2024 (SP 800-63B) juist de verplichte samenstellingsregels en de gedwongen periodieke wisseling. De reden: mensen maken er ‘Welkom2024!’ van en veranderen dat in ‘Welkom2025!’. Dat is kort, voorspelbaar en dus zwak.
Elk extra teken maakt een wachtwoord exponentieel moeilijker te kraken. Een lange zin van gewone woorden verslaat daarom bijna altijd een kort wachtwoord vol tekens zoals ‘P@ss!2’. Houd daarom deze vuistregels aan:
- Minimaal 12 tekens, en langer is altijd beter. Voor je belangrijkste accounts (e-mail, bank, wachtwoordmanager) mag je gerust naar 15 tekens of meer.
- Vreemde tekens en cijfers zijn prima, maar niet als vervanging voor lengte. Voeg ze toe als een site erom vraagt, niet in plaats van extra woorden.
- Verander een wachtwoord alleen als er iets mee aan de hand is, bijvoorbeeld na een datalek. Onnodig wisselen levert geen extra veiligheid op.
Voor elke site een uniek wachtwoord
Een sterk wachtwoord is maar de helft van het verhaal. Net zo belangrijk is dat je overal een ander wachtwoord gebruikt. Zodra een website waar jij een account hebt gehackt wordt, komen die inloggegevens vaak op internet te koop. Criminelen proberen die combinatie van e-mailadres en wachtwoord daarna automatisch bij tientallen andere diensten. Dit heet ‘credential stuffing’.
Gebruik je overal hetzelfde wachtwoord, dan geeft een lek bij een willekeurig webshopje ineens toegang tot je e-mail en je bank. Gebruik je overal een uniek wachtwoord, dan blijft de schade beperkt tot dat ene account. Je kunt op haveibeenpwned.com gratis controleren of je e-mailadres in een bekend datalek voorkomt.
Veelgemaakte fouten
- Persoonlijke gegevens gebruiken, zoals je geboortedatum, de naam van je kind of je huisdier. Die zijn met een blik op social media zo te raden.
- Simpele varianten maken, zoals ‘wachtwoord’, ‘qwerty’, ‘123456’ of je gebruikersnaam met een cijfertje erachter. Deze staan boven aan elke lijst die aanvallers als eerste proberen.
- Hetzelfde wachtwoord met een klein verschil per site, bijvoorbeeld eindigend op ‘-gmail’ of ‘-marktplaats’. Dat patroon is makkelijk door te trekken.
- Wachtwoorden opslaan in een kladbestand, in je mailbox of op een geeltje bij je scherm.
- Een wachtwoord invullen na een link in een e-mail of sms. Ga altijd zelf naar de site, want zo trap je niet in phishing.
Waarom je wachtwoorden niet moet onthouden
Als elk wachtwoord lang en uniek moet zijn, kun je ze onmogelijk allemaal onthouden. Dat hoeft ook niet. Een wachtwoordmanager is een kluis die al je wachtwoorden versleuteld bewaart. Jij onthoudt nog maar een sterk hoofdwachtwoord, en de manager doet de rest: hij verzint sterke wachtwoorden, slaat ze op en vult ze automatisch in op de juiste site.
Dat automatisch invullen is meteen een phishingcheck. Herkent je wachtwoordmanager de site niet, dan vult hij niets in, en dat is een sterk signaal dat je op een nepsite zit. Goede opties zijn onder meer Bitwarden (met een gratis versie), 1Password en de wachtwoordfunctie die in je browser of telefoon is ingebouwd. Welke bij je past en hoe je veilig overstapt, lees je in onze gids voor wachtwoordmanagers.
Zet op je hoofdwachtwoord en je belangrijkste accounts altijd een extra slot. Zelfs als je wachtwoord uitlekt, kan een crimineel er dan niets mee. Lees hoe je dit instelt in onze uitleg over tweefactorauthenticatie (2FA).
De toekomst: inloggen zonder wachtwoord met passkeys
Steeds meer diensten bieden een passkey aan, ook wel toegangssleutel genoemd. Daarmee log je in zonder wachtwoord. In plaats van een woord dat je typt, gebruik je je vingerafdruk, gezichtsherkenning of de pincode van je telefoon of laptop. Achter de schermen maakt je apparaat een uniek digitaal slot dat alleen bij die ene site past.
Een passkey heeft twee grote voordelen. Er is geen wachtwoord dat kan uitlekken bij een datalek, en je kunt niet meer worden opgelicht via een nepsite, omdat de sleutel alleen werkt op de echte website. Grote namen zetten hier vol op in: Google meldt inmiddels meer dan 800 miljoen accounts met een passkey, en Microsoft maakte de passkey in 2025 de standaard voor nieuwe accounts. Op Apple-apparaten worden ze via de iCloud-sleutelhanger over je toestellen gesynchroniseerd.
Kom je een passkey tegen bij je e-mail, bank of social media? Stel hem gerust in. Je sterke wachtwoorden blijven voorlopig nodig voor alle plekken die nog geen passkey ondersteunen, dus houd je wachtwoordmanager gewoon aan.
Veelgestelde vragen
Wat is een sterk wachtwoord in 2026?
Een wachtwoord van minimaal 12 tekens dat je nergens anders gebruikt. Een wachtzin van vier of vijf willekeurige woorden is de makkelijkste manier om aan die lengte te komen en toch te onthouden.
Hoe lang moet een wachtwoord zijn?
Minimaal 12 tekens, en langer is beter. Voor je belangrijkste accounts, zoals je e-mail en je wachtwoordmanager, is 15 tekens of meer een verstandig streven.
Moet ik mijn wachtwoord regelmatig veranderen?
Nee. Dat oude advies is losgelaten. Verander een wachtwoord alleen als het mogelijk is uitgelekt, bijvoorbeeld na een datalek of als je iets verdachts merkt.
Is een wachtwoordmanager wel veilig?
Ja. Je wachtwoorden staan er versleuteld in, en een goede manager beschermt beter dan zwakke of hergebruikte wachtwoorden die je zelf onthoudt. Zet er wel tweefactorauthenticatie op voor extra zekerheid.
Wil je verder werken aan je online veiligheid? Begin dan met de basis in onze gids veilig internetten voor beginners, waarin wachtwoorden, updates en phishing kort op een rij staan.
Bronnen: veiliginternetten.nl over sterke wachtwoorden, NIST SP 800-63B (Digital Identity Guidelines) en de FIDO Alliance over passkeys. Laatst gecontroleerd in juli 2026.