Je logt in op je e-mail en ziet een melding: je wachtwoord is vijf minuten geleden gewijzigd op een apparaat in een stad waar jij niet bent. Tegen de tijd dat je ‘account herstellen’ hebt aangeklikt, is je e-mailaccount al gebruikt om toegang te krijgen tot je socials en je streamingdiensten. Het duurt een kwartier. Twee-factor-authenticatie stond al die tijd beschikbaar op elk van die accounts.
In dit artikel leggen we uit wat twee-factor-authenticatie precies is, welke vormen er zijn en hoe je het in één keer goed instelt voor al je belangrijke accounts. Inclusief de stappen die mensen vaak overslaan en waardoor het later toch misgaat.
Wat twee-factor-authenticatie doet (en wat niet)
Twee-factor-authenticatie, afgekort 2FA, voegt een tweede verificatiestap toe naast je wachtwoord. Zelfs als iemand je wachtwoord heeft, kan die persoon zonder die tweede stap niet inloggen. Wat 2FA niet doet: het beschermt je niet tegen phishing waarbij je zelf de code invoert op een neppe site. Het is een slot op de deur, geen alarmsysteem.
Drie methoden: sms, authenticator-app of hardware-sleutel
Er zijn drie manieren om die tweede stap in te vullen, en ze zijn niet gelijkwaardig.
- Sms-code: je ontvangt een eenmalige code per tekstbericht. Makkelijk, maar kwetsbaar.
- Authenticator-app: een app op je telefoon genereert elke 30 seconden een nieuwe code. Veel veiliger en niet afhankelijk van je telefoonnummer.
- Hardware-sleutel: een fysiek USB- of NFC-apparaatje dat je aanraakt bij het inloggen. De sterkste methode, maar ook de duurste en minst praktische voor dagelijks gebruik.
Ons advies: kies een authenticator-app als standaard voor vrijwel iedereen. Gebruik sms alleen als een dienst niets anders aanbiedt. Een hardware-sleutel overweeg je als je met gevoelige bedrijfsgegevens werkt of een bijzonder hoog risicoprofiel hebt.
Waarom sms een zwak fundament is
Sim-swapping is de reden. Bij sim-swapping overtuigt een aanvaller jouw telecomprovider ervan dat hij jou is, waarna jouw nummer wordt overgezet naar zijn simkaart. Alle sms-codes komen dan bij hem terecht. Dit klinkt ingewikkeld, maar het gebeurt vaker dan je denkt, ook in Nederland. Codes onderscheppen via ss7-kwetsbaarheden in het telefonienetwerk is bovendien al jaren bekend terrein voor aanvallers. Gebruik sms dus nooit als je enige 2FA-methode voor cruciale accounts.
Stap 1: Installeer eerst een authenticator-app
Raak nog geen enkel account aan voordat je dit geregeld hebt. Goede keuzes zijn Google Authenticator, Microsoft Authenticator en Aegis (voor Android, open-source en met versleutelde back-up). Let op twee dingen: kan de app een versleutelde back-up maken van je codes, en werkt hij ook als je geen internetverbinding hebt? Beide antwoorden moeten ‘ja’ zijn. Microsoft Authenticator en Aegis scoren hier goed op.
Stap 2: Begin bij je e-mailaccount
Je e-mailadres is de hoofdsleutel. Wie toegang heeft tot je e-mail, kan voor elke andere dienst een wachtwoordreset aanvragen. Dit is dus prioriteit één. Ga naar de beveiligingsinstellingen van Gmail, Outlook of je eigen provider en activeer daar twee-factor-authenticatie instellen als eerste handeling. Koppel de authenticator-app, niet je telefoonnummer.
Stap 3: Sla herstelcodes op, nu meteen
Bij het activeren van 2FA krijg je herstelcodes aangeboden. Dit zijn eenmalige noodcodes voor als je je telefoon kwijt bent. De verleiding is groot om ze ‘later’ op te slaan. Doe dat niet. Print ze uit of schrijf ze op en bewaar ze op een fysieke, offline plek, zoals in een kluis of bij je paspoort. Nooit als screenshot in je foto’s, nooit in dezelfde app als je wachtwoorden. Doe dit bij elk account direct bij het activeren.
Stap 4: Je bank en betaaldiensten
Nederlandse banken regelen authenticatie grotendeels zelf via hun eigen app, denk aan de ING-app of de Rabobank-scanner. Controleer wel of je de app goed beveiligd hebt met een pincode of biometrie. Voor betaaldiensten zoals PayPal of Wise regel je 2FA zelf in de accountinstellingen. Zoek daar specifiek naar ‘beveiliging’ of ’tweestapsverificatie’ en koppel je authenticator-app.
Stap 5: Sociale media en overige accounts
Begin hier niet op de homepagina of in de reguliere app, maar zoek direct de accountinstellingen op via de beveiligingspagina. Bij Instagram ga je naar Instellingen, dan Beveiliging, dan Tweestapsverificatie. Bij Facebook is het vergelijkbaar. Bij LinkedIn vind je het onder ‘Aanmelden en beveiliging’. Neem ook Google, Apple ID, je wachtwoordmanager en eventuele werkaccounts mee. Diensten als Dropbox, GitHub en ook webshops met opgeslagen betaalgegevens verdienen aandacht.
Stap 6: Test elke koppeling direct
Na het activeren: log meteen uit en log opnieuw in. Controleer of de app de juiste code geeft en of de dienst die accepteert. Sla dit niet over. Een verkeerd ingestelde koppeling ontdek je liever nu dan op het moment dat het er echt toe doet.
Stap 7: Houd bij welke accounts 2FA hebben
Maak een simpele lijst, in een notitieboekje of als versleuteld tekstbestand, van alle accounts waarop je 2FA hebt ingeschakeld. Dit lijkt overbodig totdat je maanden later een wachtwoord wisselt en vergeet te controleren of de 2FA-koppeling nog klopt. De lijst geeft je ook zicht op blinde vlekken: accounts die je vergeten was maar die wel een risico vormen.
Hardware-sleutels: voor wie is dat realistisch?
Een YubiKey of vergelijkbaar apparaatje kost tussen de 30 tot 70 euro en biedt de sterkste bescherming die er is. Phishing-aanvallen waarbij je wordt misleid een code in te voeren werken hier simpelweg niet, want de sleutel communiceert direct met de legitieme website. Realistisch voor: mensen die met gevoelige bedrijfsinformatie werken, journalisten, activisten of iedereen die doelgericht aangevallen zou kunnen worden. Voor de gemiddelde consument is een authenticator-app ruim voldoende.
Drie fouten die je beveiliging alsnog onderuithalen
Herstelcodes kwijt. Als je je telefoon kwijtraakt en geen herstelcodes hebt, ben je buitengesloten van je eigen account. Zie stap 3 hierboven, maar dan serieus.
Je back-upmail niet beveiligd. Heb je een back-upemailadres gekoppeld aan je account? Beveilig ook dat adres met 2FA en gebruik daar een sterk en uniek wachtwoord. Anders is het de achterdeur die wagenwijd openstaat.
2FA-codes opgeslagen in dezelfde app als je wachtwoorden. Sommige wachtwoordmanagers bieden ook de mogelijkheid om 2FA-codes op te slaan. Dat is praktisch, maar het maakt van tweefactorauthenticatie feitelijk eenfactorauthenticatie: wie toegang heeft tot je wachtwoordmanager, heeft meteen ook je codes. Houd de twee gescheiden.
Wat als je telefoon kwijt of kapot is?
Regel dit herstelplan nu, niet als de nood al aan de man is. Zorg dat je authenticator-app een versleutelde back-up heeft via cloudopslag of een tweede apparaat. Bewaar de herstelcodes fysiek. Overweeg om een tweede apparaat, zoals een oude tablet, als back-up toe te voegen aan je authenticator. Bij verlies van je telefoon log je in via een herstelcode en koppel je vervolgens je nieuwe telefoon. Zonder die voorbereiding is het een langdurig en frustrerend proces van identiteitsverificatie bij elke afzonderlijke dienst.
Voor de meeste mensen is twee-factor-authenticatie op alle belangrijke accounts in één tot twee uur geregeld. Begin bij je e-mailaccount, want dat is de sleutel tot alles wat daarachter zit. Download een authenticator-app voordat je ook maar één account aanraakt, sla herstelcodes op een veilige plek op en test elke koppeling direct na het instellen. Wij van Techguide.nl raden aan om die volgorde aan te houden: wie begint bij een willekeurig account en pas daarna aan zijn e-mail denkt, loopt een onnodig risico. De techniek is simpel genoeg; het enige dat het nu nog tegenhoudt, is beginnen.
