De wachtwoorden van het bedrijf staan in een Excel-bestand: waarmee vervangt u ze?

Het scenario in het kort

Voorbeeld, verzonnen ter illustratie. Een fictieve kmo van twaalf mensen bewaart al haar toegangen in één Excel-bestand, ‘Codes.xlsx’, op de gedeelde schijf: onlinebankieren, het beheerdersaccount van de mail, de website, de portalen van leveranciers, het alarm, de wifi. Het bestand is beveiligd met een wachtwoord dat iedereen kent, want het moet natuurlijk open kunnen.

Door de jaren heen werd het bestand per mail naar een nieuwe collega gestuurd, op een usb-stick gekopieerd voor een herstelling, geopend op een laptop die in een auto bleef liggen. Een boekhouder die twee jaar geleden vertrok, heeft er misschien nog een kopie van. Niemand kan zeggen wie het geopend heeft, of wanneer. En de meeste wachtwoorden zijn nooit gewijzigd.

Er is niets ergs gebeurd. Maar de dag dat dit bestand het bedrijf verlaat, ligt niet één account open, maar alle accounts tegelijk.

Waarom een Excel-bestand een slechte verstopplaats is

Excel is een rekenblad, geen kluis. Microsoft zegt het zelf: beveiliging op werkbladniveau ‘is niet bedoeld als een beveiligingsfunctie’, ze verhindert alleen dat cellen worden gewijzigd. En over het wachtwoord dat het hele bestand afsluit, waarschuwt Microsoft dat ‘het vergrendelen van een bestand met een wachtwoord de inhoud niet per se beschermt tegen kwaadwillende bedoelingen’.

Het echte probleem is niet technisch, maar praktisch. Een bestand wordt gekopieerd, doorgestuurd en gesynchroniseerd op elke computer en elke telefoon die het ooit opende. U kunt het niet ‘terugnemen’ van iemand die vertrekt.

• Eén wachtwoord voor iedereen: dat van het bestand. Het gaat van mond tot mond, vaak per mail.
• Alles of niets: de stagiaire die de wifi nodig heeft, ziet ook de toegang tot de bank.
• Geen enkel spoor: onmogelijk te weten wie het bestand opende, een regel kopieerde of een kopie bijhield.
• Overal kopieën: bijlagen, usb-sticks, downloads, prullenbakken, oude computers.
• Wachtwoorden die nooit veranderen: ze wijzigen betekent het bestand bijwerken en iedereen verwittigen, dus gebeurt het niet.
• Vergeten is definitief: als het wachtwoord van het bestand kwijt is, kan Microsoft het naar eigen zeggen niet achterhalen.

En wachtwoorden zijn doelwit nummer één. In zijn jaarlijkse rapport over digitale verdediging meldt Microsoft dat meer dan 97 % van de aanvallen op identiteiten wachtwoordaanvallen zijn, en dat de aanvallen op identiteiten in de eerste helft van 2025 met 32 % zijn gestegen.

Wat specialisten in cyberbeveiliging aanraden

Het Franse nationale agentschap voor cyberbeveiliging (ANSSI), waarvan de handleidingen ook ver buiten Frankrijk als referentie gelden, laat geen twijfel bestaan. In zijn handleiding over authenticatie en wachtwoorden (in het Frans) schrijft het dat oplossingen waarbij u ‘een kantoorbestand gebruikt dat met een wachtwoord beveiligd is’ uit den boze zijn, omdat ze niet hetzelfde beschermingsniveau bieden als een tool die daarvoor ontworpen is. Zijn handleiding voor kleine ondernemingen en kmo’s (in het Frans) geeft vervolgens vier eenvoudige richtpunten.

1. Een lengte die past bij het belang: minstens 15 tekens voor een kritieke dienst (bank, mail, boekhouding), minstens 9 voor een minder kritieke dienst, met een mix van hoofdletters, kleine letters, cijfers en speciale tekens.
2. Een ander wachtwoord voor elke dienst, zodat de schade beperkt blijft als er één uitlekt. En nooit hetzelfde voor uw persoonlijke en uw professionele mail.
3. Een wachtwoordbeheerder (het ANSSI spreekt van een ‘kluis’), die sterke wachtwoorden aanmaakt en ze bewaart in een versleuteld bestand dat met één enkel wachtwoord opengaat.
4. Multifactorauthenticatie zodra de dienst het aanbiedt: naast het wachtwoord een tweede element, zoals een code op uw smartphone.

Als een toegang echt niet persoonlijk kan zijn (wifi, oude software), laat de beheerder toe om ze te delen zonder ze te tonen, en om de toegang voor één persoon in te trekken. Voor al de rest mikt u op één account per persoon (zie verder).

En is alles op één plek bewaren wel voorzichtig? Het ANSSI verzwijgt de keerzijde niet: het hoofdwachtwoord van de beheerder is ‘zeer kritiek’, en wie het bemachtigt, krijgt toegang tot alle wachtwoorden in de kluis. Het moet dus sterk zijn en uit het hoofd gekend, en veel tools laten toe er een tweede factor aan toe te voegen. Het risico blijft veel kleiner dan dat van een bestand dat rondgaat.

Excel of beheerder: wat er concreet verandert

Een wachtwoordbeheerder is software die wachtwoorden in een versleutelde databank bewaart, dat wil zeggen onleesbaar zonder de juiste sleutel. Iedereen opent hem met zijn eigen hoofdwachtwoord, op de computer en op de smartphone. De versies voor bedrijven voegen gedeelde kluizen per team toe, en een console om de toegangen te beheren.

Dat laatste punt telt meer dan het lijkt: een beheerder stelt alleen voor om het wachtwoord in te vullen op de website waarvoor het bewaard werd. Op een valse aanmeldpagina blijft hij stil, en dat is al een alarmsignaal. Maar hij belet niemand om zijn wachtwoord zelf te kopiëren of in te typen op een valse pagina: vandaar het belang van multifactorauthenticatie op de belangrijke accounts.

De vragen die u stelt voor u kiest

Geen merknamen, wel de punten die u nagaat met uw IT-dienstverlener of met de softwareleverancier. Het ANSSI raadt trouwens aan dat de IT-verantwoordelijken een beheerder ter beschikking stellen van iedereen en iedereen leren ermee te werken.

De migratie in zes stappen, zonder iets stuk te maken

Overstappen van een bestand naar een beheerder vraagt vooral methode, en de volgorde telt.

1. De inventaris van het bestand maken. Regel per regel: bestaat dit account nog? Wie heeft het nodig? Schrap de dode toegangen en noteer de gedeelde accounts.
2. De tool in gebruik nemen en de kluis beveiligen. Schakel multifactorauthenticatie in voor iedereen, en voorzie minstens twee mensen die de toegangen kunnen beheren, zodat u nooit van één persoon afhangt.
3. Kluizen per team aanmaken. Directie, boekhouding, onthaal, IT: iedereen krijgt alleen wat hij nodig heeft.
4. Elk wachtwoord wijzigen bij het overzetten. Het bestand heeft gecirculeerd: ga ervan uit dat de wachtwoorden gekend zijn. Vervang ze bij het overzetten door wachtwoorden die de tool genereert, te beginnen met de bank, de mail en de boekhouding.
5. Het bestand en de kopieën verwijderen. Gedeelde schijf, bijlagen in mails, downloads, usb-sticks, prullenbakken. Een vergeten oud bestand bevat de oude wachtwoorden, vandaar stap 4.
6. Het team opleiden. Een korte sessie volstaat: de kluis openen, een wachtwoord invullen, een nieuw aanmaken, weten wat te doen als u uw telefoon kwijt bent.

De valkuil: het bestand zoals het is in de beheerder importeren en daar stoppen. De oude wachtwoorden blijven geldig, en er slingeren nog kopieën van het bestand rond. Stap 4 is niet optioneel.

De tweede valkuil: ‘voor alle zekerheid’ een afgedrukte kopie of een nieuw reservebestand bijhouden. De reserve is de herstelprocedure van de tool, die u al in stap 2 voorziet.

En waar het kan: het gedeelde wachtwoord schrappen

Het beste gedeelde wachtwoord is het wachtwoord dat niet meer bestaat. Veel diensten laten toe om per persoon een account aan te maken in plaats van een gemeenschappelijk account: onlinebankieren met een toegang per gebruiker, de mail met gedeelde mailboxen die vanuit ieders eigen account bereikbaar zijn, leveranciersportalen met meerdere gebruikers.

Elk persoonlijk account kan dan zijn eigen multifactorauthenticatie krijgen, en de dag van het vertrek worden afgesloten zonder dat er voor de anderen iets verandert. De gedeelde kluis blijft nuttig voor wat echt niet persoonlijk kan zijn, zoals de wifi of oude bedrijfssoftware.

Maandagochtend: vijf acties

1. Zoek op de gedeelde schijf en in de mails naar bestanden met ‘wachtwoord’, ‘codes’ of ‘toegang’. Dan weet u hoeveel kopieën er bestaan.
2. Lijst de drie gevoeligste toegangen op: bank, mail (beheerdersaccount), boekhouding. Die zet u als eerste over en wijzigt u als eerste.
3. Ga na of multifactorauthenticatie actief is op die drie accounts.
4. Vraag uw IT-dienstverlener welke beheerder voor bedrijven hij aanraadt en hoe die aansluit op uw tools.
5. Leg een datum vast om het Excel-bestand te verwijderen, en hou u eraan.

Niets hiervan vraagt technische kennis. Het is vooral een kwestie van orde, en van discipline de dag dat iemand het bedrijf verlaat.

Uw wachtwoorden beter beheren→