Veilig wachtwoord maken: zo doe je het, met gratis generator en sterktecheck

Een hoofdletter, een cijfer en een uitroepteken: zo leerden de meeste mensen een 'sterk' wachtwoord maken. Het resultaat is iets als Welkom2026!, en dat kraakt een computer in minder dan een seconde. Wat een wachtwoord echt sterk maakt, is lengte en toeval, en dat je het nergens anders gebruikt. In dit artikel test je eerst hoe sterk je huidige wachtwoord is. Daarna maak je met de generator een nieuw wachtwoord of een wachtwoordzin die je wél kunt onthouden, en lees je hoe je het daarna veilig bewaart.

Inhoudsopgave

Spring direct naar een onderdeel:

• Kort samengevat
• Test hoe sterk je wachtwoord is
• Wat maakt een wachtwoord sterk?
• Wachtwoord of wachtwoordzin?
• Maak een veilig wachtwoord met de generator
• Het grootste risico: hetzelfde wachtwoord overal
• Een wachtwoordmanager: welke kies je?
• Tweestapsverificatie en passkeys
• Het wachtwoord van je laptop zelf
• Voor bedrijven en zzp'ers

Kort samengevat

De belangrijkste punten in één oogopslag:

• Lengte helpt het meest. Kies minstens 15 tekens, of een wachtwoordzin van zes willekeurige woorden.
• Gebruik elk wachtwoord voor maar één account. Hergebruik is in de praktijk een groter risico dan een te kort wachtwoord.
• Bekende trucs als @ voor een a, een jaartal erachter of een uitroepteken aan het eind maken een wachtwoord nauwelijks sterker.
• Onthoud er zelf maar een paar: je e-mail, je laptop en je wachtwoordmanager. De rest laat je de wachtwoordmanager maken en bewaren.
• Zet tweestapsverificatie aan, in elk geval op je e-mail. Waar het kan, is een passkey nog beter dan een wachtwoord.

Test hoe sterk je wachtwoord is

Typ hieronder een wachtwoord en je ziet direct hoe sterk het is, hoe lang het kraken ongeveer duurt en wat je kunt verbeteren. De check kijkt niet alleen naar de soorten tekens, maar ook naar wat een kraakprogramma als eerste probeert: veelgebruikte wachtwoorden, gewone woorden, jaartallen, datums en reeksen als 123 of qwerty. Alles rekent in je eigen browser, er gaat niets over internet.

De kraaktijd gaat uit van het slechtste geval: een website is gehackt, de database met versleutelde wachtwoorden ligt op straat en iemand probeert met een paar flinke videokaarten 10 miljard combinaties per seconde. Bij een website die wachtwoorden goed beveiligt, gaat dat duizenden keren trager. Bij inloggen via de website zelf gaat het nog veel trager, want daar zit meestal een limiet op het aantal pogingen. Een wachtwoord dat dit slechtste geval doorstaat, zit dus overal goed.

Wat maakt een wachtwoord sterk?

De sterkte van een wachtwoord druk je uit in bits. Elk bit erbij verdubbelt het aantal mogelijkheden, en dus de tijd die een aanvaller nodig heeft. Twee dingen bepalen hoeveel bits een wachtwoord heeft:

• Lengte: elk extra willekeurig teken voegt zo'n 6,5 bits toe. Van 10 naar 15 tekens maakt het kraken dus ruim zeven miljard keer moeilijker.
• Toeval: alleen tekens of woorden die echt willekeurig gekozen zijn, tellen volledig mee. Een woord, naam, jaartal of toetsenbordrij herkent een kraakprogramma direct, en die tellen bijna niet.

Dat verklaart waarom de oude regels weinig opleveren. Wie een hoofdletter moet gebruiken, zet die aan het begin. Wie een cijfer moet toevoegen, zet een 1 of een jaartal aan het eind. Kraakprogramma's weten dat en proberen die varianten als eerste. Het Amerikaanse NIST, dat de richtlijnen schrijft waar veel organisaties hun wachtwoordbeleid op baseren, raadt daarom af om verplichte tekensoorten en periodieke wachtwoordwissels op te leggen. Het advies in de versie van 2025: minimaal 15 tekens als het wachtwoord je enige beveiliging is, en controleren of een nieuw wachtwoord niet in een lijst met gelekte of veelgebruikte wachtwoorden staat.

Uitkomsten van de check hierboven, met 10 miljard pogingen per seconde. Gebruik deze voorbeelden zelf natuurlijk niet: ze staan nu op internet.

Wachtwoord of wachtwoordzin?

Een wachtwoordzin bestaat uit een paar willekeurige woorden achter elkaar, zoals Molen-Kers-Draak-Pruim-Vos-Tafel. Het Britse NCSC raadt al jaren drie willekeurige woorden aan als makkelijk te onthouden basis. Voor wachtwoorden die je echt goed wilt beveiligen, zou ik voor zes woorden gaan. Het werkt om dezelfde reden als een lang willekeurig wachtwoord: een aanvaller moet alle combinaties van alle woorden proberen. De woordenlijst van de generator hieronder telt ruim duizend woorden, dus elk woord voegt zo'n 10 bits toe. Zes woorden geven samen 60 bits, en een cijfer op een willekeurige plek maakt daar zo'n 66 van. Dat is ongeveer even sterk als 10 willekeurige tekens met hoofdletters, cijfers en leestekens.

• Willekeurig wachtwoord (bijvoorbeeld 20 tekens): het sterkst per teken, maar niet te onthouden. Ideaal voor alles wat je wachtwoordmanager voor je invult.
• Wachtwoordzin (zes woorden): iets langer om te typen, maar wel te onthouden. Ideaal voor de paar wachtwoorden die je zelf moet weten: je laptop, je e-mail en je wachtwoordmanager.

Belangrijk: de woorden moeten echt willekeurig gekozen zijn. 'Ik fiets elke dag naar Utrecht' is geen goede wachtwoordzin. Een zin die je zelf verzint, volgt de taal en is daardoor veel voorspelbaarder dan hij lijkt. Songteksten, spreekwoorden en citaten staan allemaal in de lijsten van kraakprogramma's. Laat de woorden dus door de generator kiezen, en verander de volgorde niet omdat die mooier klinkt.

Maak een veilig wachtwoord met de generator

Kies hieronder een willekeurig wachtwoord of een wachtwoordzin, stel de lengte in en kopieer het resultaat. Elk wachtwoord wordt in je eigen browser gemaakt met de cryptografische toevalsgenerator van je besturingssysteem, dezelfde bron die ook wachtwoordmanagers gebruiken. LaptopKompas ziet en bewaart niets.

Vraagt een website om verplichte tekensoorten? Een wachtwoordzin met hoofdletters, een cijfer en streepjes ertussen voldoet bijna altijd. Accepteert een site geen leestekens, zet die dan bij het willekeurige wachtwoord uit en maak het een paar tekens langer: dan blijft het even sterk.

Het grootste risico: hetzelfde wachtwoord overal

Het sterkste wachtwoord helpt niet als je het op tien plekken gebruikt. Websites worden regelmatig gehackt, en de buitgemaakte combinaties van e-mailadres en wachtwoord worden daarna automatisch geprobeerd bij webwinkels, e-mail, sociale media en banken. Dat heet credential stuffing. Gebruik je overal hetzelfde wachtwoord, dan is één lek bij een kleine webwinkel genoeg om in je e-mail te komen. En wie in je e-mail zit, kan via 'wachtwoord vergeten' bij bijna al je andere accounts.

• Check bij Have I Been Pwned of je e-mailadres in een bekend datalek zit. Staat het erin, verander dan het wachtwoord van dat account en van elk account waar je hetzelfde wachtwoord gebruikt.
• Have I Been Pwned heeft ook een check voor wachtwoorden zelf. Die stuurt alleen het begin van een versleutelde versie van je wachtwoord mee, nooit het wachtwoord zelf.
• Begin bij je e-mailaccount: dat is de sleutel tot al je andere accounts en verdient het sterkste, unieke wachtwoord dat je hebt.

Een wachtwoordmanager: welke kies je?

Voor tientallen accounts een uniek, lang wachtwoord onthouden, dat lukt niemand. Daar is een wachtwoordmanager voor: die maakt voor elk account een willekeurig wachtwoord, bewaart alles versleuteld en vult het automatisch in op je laptop en telefoon. Je onthoudt zelf alleen nog het hoofdwachtwoord, en daarvoor gebruik je een lange wachtwoordzin uit de generator hierboven. Een wachtwoordmanager helpt ook tegen phishing: op een nepsite die op je bank lijkt, vult hij niets in, omdat het adres niet klopt.

Twijfel je? Begin met Bitwarden. De ingebouwde wachtwoordmanager van je browser is beter dan overal hetzelfde wachtwoord, maar werkt minder handig als je verschillende browsers of een iPhone naast een Windows-laptop gebruikt. Een wachtwoordmanager zit soms ook in een betaald antiviruspakket, zie heb je een los antiviruspakket nodig?.

Tweestapsverificatie en passkeys

Zelfs een perfect wachtwoord kan uitlekken, bijvoorbeeld via een phishingmail of een besmette computer. Daarom zet je op je belangrijkste accounts tweestapsverificatie aan: naast je wachtwoord heb je dan iets nodig wat alleen jij hebt, meestal je telefoon. Een code uit een app als Microsoft Authenticator of Google Authenticator is veiliger dan een code per sms. Doe het in elk geval bij je e-mail, je Microsoft- of Apple-account en je cloudopslag.

Nog een stap verder gaan passkeys. Daarmee log je in zonder wachtwoord: je laptop of telefoon bewijst met een cryptografische sleutel wie je bent, en jij bevestigt dat met je vingerafdruk, gezicht of pincode. Er is geen wachtwoord dat kan uitlekken of dat je op een nepsite kunt invullen. Microsoft, Google, Apple, Amazon en steeds meer andere diensten ondersteunen passkeys al. Op een Windows-laptop worden ze bewaard via Windows Hello, en de meeste wachtwoordmanagers kunnen ze ook opslaan. Biedt een site een passkey aan, dan is dat bijna altijd de beste keuze.

Het wachtwoord van je laptop zelf

Op je laptop log je in Windows 11 meestal niet in met een wachtwoord, maar met een pincode, vingerafdruk of gezichtsherkenning via Windows Hello. Dat is minder onveilig dan het klinkt: de pincode werkt alleen op die ene laptop en wordt nergens online opgeslagen. Iemand die je pincode kent, kan er dus niet mee inloggen op je Microsoft-account vanaf een andere computer. Een paar dingen om op te letten:

• Gebruik een pincode van minstens 6 cijfers, en geen geboortedatum of 123456. Windows staat ook letters in de pincode toe, dan wordt hij een stuk sterker.
• Log je in met een Microsoft-account, dan is het wachtwoord van dat account het belangrijkste. Daarmee kom je bij je e-mail, OneDrive en de BitLocker-herstelsleutel van je laptop. Geef dat account dus een lange wachtwoordzin en tweestapsverificatie.
• Gebruik je een lokaal account, zoals uitgelegd in Windows 11 met een lokaal account instellen? Dan is het wachtwoord van dat account het enige wat tussen een dief en je bestanden staat, tenminste als je schijf versleuteld is.
• Zet versleuteling aan. Zonder BitLocker of apparaatversleuteling kan iemand de SSD uit je laptop halen en je bestanden lezen zonder ooit je wachtwoord te kennen. Hoe je dit bij een nieuwe laptop goed regelt, staat in je nieuwe laptop instellen.
• Een vingerafdruklezer of een camera voor gezichtsherkenning maakt inloggen sneller en veiliger, omdat niemand dan je pincode over je schouder ziet intikken. Op zakelijke laptops zit dit vaker standaard dan op goedkope consumentenmodellen.

Voor bedrijven en zzp'ers

Werk je zakelijk op je laptop, dan gaat het niet alleen om je eigen gegevens maar ook om die van klanten. Een gelekt wachtwoord kan dan een datalek onder de AVG worden. Drie dingen die voor een klein bedrijf of zzp'er het meeste opleveren:

• Een zakelijke wachtwoordmanager met gedeelde kluizen, zoals Bitwarden of 1Password voor teams. Dan deel je wachtwoorden voor gezamenlijke accounts niet meer via mail of WhatsApp, en kun je de toegang intrekken als iemand vertrekt.
• Verplichte tweestapsverificatie op Microsoft 365 of Google Workspace. Dat stel je voor iedereen tegelijk in via het beheercentrum.
• Laptops met Windows 11 Pro, zodat BitLocker volledig beschikbaar is en de herstelsleutels centraal in je Microsoft-beheeromgeving terechtkomen. Bij de meeste zakelijke lijnen, zoals HP ProBook en EliteBook en Lenovo ThinkPad en ThinkBook, zit Windows 11 Pro er vaak standaard op, net als een vingerafdruklezer of IR-camera.

Laat medewerkers hun wachtwoord niet elke drie maanden wijzigen: volgens NIST en het Britse NCSC leidt dat juist tot zwakkere wachtwoorden, zoals Zomer2026! dat in de herfst Herfst2026! wordt. Wijzig een wachtwoord alleen als daar een reden voor is, zoals een datalek.

Toe aan een nieuwe laptop met vingerafdruklezer, Windows 11 Pro en BitLocker? Bekijk de laptops per categorie.