Nederlandse overheid gaat ouderen voorlichten over belang tweetrapsauthenticatie

De Nederlandse Rijksoverheid gaat een publiekscampagne beginnen om 65-plussers op het belang van tweetrapsauthenticatie te wijzen. De overheid zet de campagne 'Dubbel beveiligd is dubbel zo veilig' volgend jaar door, maar richt die meer op ouderen.

Het ministerie van Justitie en Veiligheid zegt dat het een voorlichtingscampagne van vorig jaar doorzet. In 2024 begon de Rijksoverheid de campagne 'Dubbel beveiligd is dubbel zo veilig', die bedoeld is om het belang van tweestapsverificatie te onderstrepen en te zorgen dat meer burgers die zouden instellen. Die campagne liep vanaf eind november van dat jaar en gaat in 2026 door.

Het grote verschil met de campagne van vorig jaar is dat die nu specifieker wordt gericht op 65-plussers. Het ministerie verwijst naar onderzoek waaruit blijkt dat veel 65-plussers geen 2fa instellen. Een groot deel van hen vindt dat te ingewikkeld of tijdrovend en vaak weten ze niet hoe ze het moeten instellen

"Aanleiding genoeg voor het campagneteam om dit keer senioren als doelgroep voor de campagne te kiezen", schrijft het ministerie. "We willen deze doelgroep bewust maken van de risico’s van het niet instellen en van de voordelen van het wél instellen van 2fa. Bijvoorbeeld van het gevaar dat e-mailaccounts toegang kunnen bieden tot andere accounts."

De website dubbelzoveilig.nl, die omleidt naar veiliginternetten.nl, blijft in de lucht en gaat voorlichtingen en tips geven over het instellen van 2fa. De overheid werkt samen met verschillende partijen, zoals het Nationale Ouderenfonds en de DigiHulplijn, om ouderen te bereiken.

Reacties (180)

[FrostyPeet]

Het probleem is dat o.a. de overheid zelf zich teruggetrokken heeft achter een digitale muur. Een van de frappantste voorbeelden die ik laast tegenkwam was de RDI waar een kennis een vergunning moest aanvragen. Ze hebben twee tarieven. Een als je het volledig digitaal kan doen zonder hun hulp. Een duurder tarief als een ambtenaar ook maar de kleinste handeling moet uitvoeren. Heel subtiel.

Banken hebben zich ook teruggetrokken in de digitale wereld. Je doet vrijwel niets meer zonder bank app.

Vervolgens is het natuurlijk het probleem van de klant of burger als ze niet (volledig) mee kunnen.

Er wordt dan een vermogen aan foldertjes en spotjes uitgegeven. Vrijwilligers bij de bibliotheek die de digitale onbekwame medemensen moeten "helpen". Mag je met je hele hebben en houden naar een vreemde om iets te regelen.

Vervolgens wordt de digitale onbekwame medeburger de oren gewassen omdat hij geen tweetraps verificatie heeft aanstaan. Zo van, eigen schuld als het fout gaat. Koop maar braaf elke paar jaar een nieuwe smartphone, want anders mag u bijvoorbeeld niet meer bankieren (voor uw veiligheid natuurlijk). Of niet meer veilig inloggen op een website van de overheid.

[NepGangster]

Mijn vader is zo'n vrijwilliger bij de bibliotheek en inderdaad, de hulp daar is hard nodig.

Niet te bedenken dat die mensen allemaal nu in een rap tempo een Windows 11 machine hebben aangeschaft om nu te horen dat ze toch nog een jaar Windows 10 hadden kunnen gebruiken.

Wel, is het onthouden van een wachtwoord een mega probleem, tweetrapsauthenticatie zou dit kunnen verbeteren, versimpelen. Maar of het allemaal behapbaar blijft voor deze mensen?

[PdeBie]

Overal Passkeys maar gebruiken dan? Moet je alleen niet je telefoon/device verliezen.

[Fathier]

Of je passkeys gebruikt of niet, dat maakt niks uit. Je moet je telefoon so wie so niet verliezen. En als je alleen maar een telefoon hebt om je inloggegevens te bewaren, neem je dan wel een groot risico. Bovendien, je telefoon kan ook de geest geven.

Het is merkwaardig dat zoveel mensen altijd afgeven op het gebruik van passkeys. In wezen is het niks anders dan inloggen met een gebruikersnaam en wachtwoord, al dan niet aangevuld met TOTP, Yubikey, of - inderdaad - een passkey. In alle gevallen ben de sjaak als je die gegevens kwijtraakt.

[The Realone]

Deze discussie is een tijdje terug hier ook al eens gevoerd en ook toen vroeg ik mij af wanneer die "ouderen" nu eindelijk zelf eens verantwoordelijkheid gaan nemen. Dat klinkt heel bot, maar de "digitale revolutie" is al een tijdje terug te vinden in de geschiedenisboeken en echt niet iets van de laatste paar jaar. Toen internetbankieren en belastingaangifte 20 jaar geleden aan de digitale opkomst begon had ik alle symphatie voor ouderen die het niet bij konden benen, maar met de gemiddelde leeftijdsverwachting van 83 in Nederland, waren die mensen toen nog niet eens met pensioen.

Ik ben oprecht wel benieuwd, indien niet vandaag, wanneer mogen dan wel stellen dat men "voldoende tijd" heeft gehad om zich in ieder geval de basisvaardigheden op de digitale wereld die nodig zijn om te functioneren in de maatschappij meester te maken?

[tweaker29789]

Ik snap dat ook niet dat de overheid het toelaat dat loketten massaal voor vitale zaken verdwijnen. Er zijn zoveel situaties bedenkbaar waarin iemand geen beschikking heeft tot een smartphone of pc (armoede, verloren/gestolen, stuk, out of date).

De bibliotheek vind ik een slechte tijdelijke oplossing hiervoor. Onbekende pc en mensen die je helpen met je privacy gevoelige zaken. En het idee dat je eerst een smartphone of pc moet zien te regelen voordat je je belangrijke zaken kunt regelen, is belachelijk.

[Meg]

Goed dat ze dit doen, maar ik denk juist dat het beter is als je iedereen hier meer over gaat voorlichten.

[Honytawk]

Zeker
Maar volgens mij doen ze het omdat ouderen nogal makkelijk hun paswoord op een post-it schrijven vanwege hun grotendeels slechte geheugens.
Dus een extra authenticatie gaat daar extra helpen.

De rest zal er ook wel iets van opsteken, het is niet dat die ouderen in een bubbel leven.

[cdwave]

Maar volgens mij doen ze het omdat ouderen nogal makkelijk hun paswoord op een post-it schrijven vanwege hun grotendeels slechte geheugens.

Wat doorgaans geen probleem is, want de Russische hacker kan post-its in de bureaula niet lezen. De meeste hacks gebeuren toch echt op afstand.

En daarbij, een post-it is functioneel zo'n beetje hetzelfde als een passwordmanager. De toegang is geregeld door het in staat zijn tot het fysiek openen van de bureaula. Dat is best een flinke drempel.

Mijn 80-jarige ouders hebben een notitieboekje in de la liggen met de wachtwoorden voor al hun accounts. Best top, ze gebruiken dus al een ander wachtwoord voor elke site.

[Reactie gewijzigd door cdwave op 3 oktober 2025 09:47]

[NatteKrant]

Precies dit!

Die post-it wordt altijd een beetje weggezet als " het stomste wat je kan doen" maar in een thuis situatie is dat helemaal geen slecht model. In een kantooromgeving wordt het een heel ander verhaal, maar mijn moeder wachtwoorden boekje gaat niemand op afstand kunnen inzien.

[CH4OS]

Omdat mensen het wachtwoordenboekje en hun apparatuur wel bij elkaar houden en het wachtwoordenboekje niet bijvoorbeeld in de kluis of ergens anders bewaren. Dan leg je dus eigenlijk de sleutel van de voordeur in de plantenbak of onder de deurmat maar alsnog bij de voordeur; te gemakkelijk om te vinden.

[Reactie gewijzigd door CH4OS op 3 oktober 2025 10:14]

[locke960]

Om bij je beeldspraak te blijven: Sommige mensen komen zonder die sleutel in de plantenbak zelf ook hun huis niet meer in.

Op een bepaald moment in iemands leven zul je keuzes moeten maken waarbij beveiliging misschien net iets anders gewogen wordt.

[vrow]

Koop dan alsjeblieft een slim slot met een vingerafdruklezer. Je kunt je vinger nooit vergeten. En echt duur is dit niet. Een Nuki-slot met een Keypad 2 kan bijvoorbeeld en er zijn heel veel andere opties.

Ik snap dat mensen vergeetachtig worden en dan de sleutel vergeten, maar om dan maar de sleutel onder de mat te leggen, dat is tegenwoordig echt niet meer nodig. En helaas tegenwoordig ook niet echt meer veilig.

[JeroenH]

Mensen die uit een tijd komen waarin zaken als een deurslot mechanisch en dus "simpel" waren opzadelen met een elektronisch deurslot is vragen om moeilijkheden. Kan een tijd goed gaan, maar dan belt je moeder je op een dag half in paniek op "de deur gaat niet meer open!".

En dan ga jij op je ICT's uitleggen "oh ja, de lokale applicatie heeft een update nodig, is niet meer in sync met de backend" - maar je moeder staat in de regen voor die dichte deur. Voor jouw gevoel ben je lekker analytisch en oplossend bezig bent, maar zij staat terwijl jij je ICT-kunstje doet alleen maar te denken "dit is nodeloos ingewikkeld, ik wil weer gewoon een sleutel die ik achter de buitenlamp kan hangen!"

Ik denk dat een flink deel van onze maatschappij gewoon nog niet toe is aan verregaande digitalisering. Dat vinden allerlei bedrijven en organisaties niet leuk (want kostenbesparing), maar voor die groep* zal naar mijn mening gewoon nog heel lang een fysiek loket en fysieke post in stand gehouden moeten worden - en sloten met gewoon een sleutel.

_{* Ouderen, maar vergeet ook niet dat grofweg 15% van de bevolking een IQ van lager dan 85 heeft. Dan nog de mensen met een (visuele) beperking enz. Ik denk dat de digitale wereld, die voor ons Tweakers zo vanzelfsprekend is, door zeker 30-40% van de Nederlanders als moeilijk wordt ervaren. Misschien is die groep nog wel groter dan ik denk.}

[Reactie gewijzigd door JeroenH op 3 oktober 2025 11:33]

[Miglow]

Er zouden meer ICT'ers moeten denken als jij. Veel apps, boordcomputers en andere software worden gemaakt door IT'ers voor IT'ers. Met volkomen onlogische stappen of afkortingen die bij veel gebruikers veel weerstand oproept omdat een manager er misschien mooie grafiekjes mee kan maken, een macro een mooie weegbon of noem maar op, maar de vrachtwagenchauffeur die tig menuutjes door moet op een boordcomputer bij elke klant of zoals gezegd je moeder die in de regen buiten staat krijgt daar dus gewoon een hekel aan.

[vrow]

Sorry, maar: nee.

Zo'n slot werkt volledig lokaal, zonder clouddiensten en zonder apps.
Vinger in de vingerafdruklezer en de deur gaat open.

En liever dat ze in paniek opbelt dat ze buiten in de regen staat, dan dat ze in paniek opbelt omdat er 's nachts iemand binnen staat die de sleutel achter de lamp vandaan heeft gevist.

[ioor]

Dan begrijp jij niet dat de meeste ouderen nieuwe dingen niet makkelijk aanleren of willen hebben. Een keer bellen is dan NIET een keer, maar meerder keren per dag en ze voelen zich dood ongelukkig als ze dat moeten doen.

Leuk nieuwe tech (ik hou er van) maar er is nou eenmaal een enorme generatie kloof met t adopteren van nieuwe tech...

[Zwarte_os]

Ik vind dit een verslagen denkwijze waar ouderen niet mee geholpen zijn.. Er is in Nederland een impliciete aanname dat ouderen infantiele wezens zijn die je niet mag uitdagen en vooral lekker met rust moet laten. Ik vind dat je daardoor mensen ontzettend tekort doet.

En ja, er is altijd een groep die niet mee kan komen.. Analfabeten, anderstaligen, mensen met een beperking. Als we ouderen maar een beetje laten aanmodderen in hun anti-digitale houding dan krijgen mensen die écht hulp nodig hebben ook steeds minder ruimte.

[Reactie gewijzigd door Zwarte_os op 3 oktober 2025 17:08]

[JeroenH]

Stroomuitval, netvoedinkje stuk, noem maar op. Veel meer failure modes dan een mechanisch slot. Plus je zegt wel doodleuk "zonder clouddiensten", maar dat is uitstervende, dat is overduidelijk. Alles moet cloud, want planned obsolescense en data stofzuigeren.

Voor de jonge, gezonde Tweaker die is opgegroeid met tech; digitaal deurslot, zeker doen. Voor een best groot deel van bevolking: problematisch.

Maar goed, het slot was eigenlijk een voorbeeld voor de bredere problematiek die veel mensen hebben met digitalisering.

[JP1980]

En wie zorgt ervoor dit de batterij op tijd wordt geladen, of vervangen?

Zelfs ik als ervaren ICT'er wil dat elk belangrijk deel van m'n thuisautomatissering ook handmatig werkt. Dus prima een elektrisch slot op de deur. Maar als die uitvalt moet een fysieke sleutel het ook doen.

[Reactie gewijzigd door JP1980 op 3 oktober 2025 13:25]

[Polydeukes]

Helamaal met je eens. We leven in een maatschappij waar alles digitaal gaat. Voor bijna alles heb je een app nodig, moet je een account aanmaken, inloggen, klikken, swipen of een QR-code scannen. Zonder smartphone, tablet of laptop kun je niet meedoen. We zijn doorgeslagen in onze digitalisering. Vaak onder het mom van “kosten besparen”, terwijl die besparingen in de praktijk vaak tegenvallen. Ondertussen vergeten we groepen mensen die níet digitaal vaardig (meer) zijn.

De cijfers zijn duidelijk: 11% van de Nederlanders tussen 16 en 65 jaar heeft weinig tot geen computerervaring. Onder 55-plussers loopt dat op tot 20% (bron: Rijksoverheid). Het gaat dus niet alleen om ouderen, maar ook om mensen met verstandelijke, lichamelijke, cognitieve, neurologische of psychische beperkingen. Voor hen is digitaal meedoen simpelweg niet haalbaar. Dat heeft niets met onwil of desinteresse te maken. Het lukt ze gewoon niet.

En wat doen we daartegen? Spotjes op radio en tv dat 'two factor authentication' belangrijk is. Ambtenaren die dit verzinnen zijn compleet los van de werkelijkheid.

[JeroenH]

101% mee eens. Maar zie het maar eens tegen te houden.

[tweaker29789]

Digitalisering is ook niet in alle gevallen een stap vooruit. Vooral als het leidt tot meer potentiele points of failure. Vooral bij simpele maar erg belangrijke zaken zoals bijvoorbeeld een slot of administratieve taken zoals bankieren moet je daarbij oppassen vind ik. Het kan een mooie toevoeging zijn, maar niet altijd een perfecte vervanging.

[oudengrijs]

Fout! Vingerafdruklezers werken alleen betrouwbaar voor jonge mensen.

Ter illustratie:

Sinds kort worden vingerafdrukken opgeslagen in de chip van de Nederlandse identiteitskaart. Eerder dit jaar bezocht ik het stadskantoor omdat mijn oude identiteitskaart ging verlopen. De afspraak liep uit, omdat het opnemen van mijn vingerafdrukken vele malen moest worden herhaald. Uiteindelijk was het front-office-systeem tevreden en kon de ambtenaar aan de balie mijn aanvraag doorsturen. Toen ik een week later mijn nieuwe identiteitskaart ging ophalen, bracht ik daarmee het stadskantoor in rep en roer. De ene na de andere ambtenaar werd erbij geroepen. Mijn identiteitskaart moest gereed zijn, maar was nergens te vinden, en dus kennelijk verloren geraakt. Pas na ongeveer een half uur wist een deskundige vast te stellen dat mijn vingerafdrukken in het back-office-systeem alsnog waren afgekeurd en dat de aanvraag daardoor in het back-office-systeem was stukgelopen. Ik heb nu, bij wijze van uitzondering, een identiteitskaart zonder vingerafdrukken.

Aanraakschermen en vingerafdruklezers kunnen niet overweg met mijn magere handen. Dit 'zombie finger syndrome' is een realiteit waar iedereen vroeg of laat mee te maken kan krijgen.

[B_FORCE]

Een kluis?

Jij verwacht dat een inbreker, die niet de gehele plattegrond van een huis uit zijn hoofd weet, gelijk gaat zoeken naar password boekjes en post-its?

Geen cynische vraag, maar oprechte vraag.

[CH4OS]

Jij denkt dat een inbreker die een boekje dat bijvoorbeeld bovenop een laptop ligt niet doorheen bladert of denkt dat het mogelijk een wachtwoorden boekje is? Dat is behoorlijk naïef.

[B_FORCE]

Nee, ik denk dat een inbreker zo snel mogelijk een laptop meegrijpt en binnen een minuut of twee weer buitenstaat.

Dat terzijde, het is gelijk wel weer andere extreem natuurlijk.
Paswoorden gewoon elders bewaren is niet zo heel moeilijk.

[telenut]

Nee hoor, inbrekers zoeken geld en juwelen. Van al de rest blijven ze af ( tenzij de junkies... )

[P_Tingen]

En hoe groot is de kans dat een hacker de moeite neemt om bij je moeder in te breken en daar in het wachtwoordenboekje te kijken?

[CH4OS]

Groter dan je denkt. Criminelen doen zich met hetzelfde gemak ook voor als onschuldige bankmedewerkers die een pinpas komen omruilen, of je dan nog wel even wilt bevestigen door de pincode in te vullen... ;)

[B_FORCE]

Dat is toch totaal iets anders dan op zoek gaan naar boekjes en post-its met paswoorden?

[CH4OS]

Dan mis je mijn punt: men schroomt nergens meer voor tegenwoordig, zeker niet als het wachtwoorden boekje naast of bij de computer ligt.

[Reactie gewijzigd door CH4OS op 3 oktober 2025 14:41]

[Septillion]

Voor buiten de deur ben ik met je eens. Dus telefoon en notitieboekje in de handtas is niet handig. Maar gewoon thuis is prima. Dat is namelijk gewoon achter slot en grendel, namelijk het slot van je huis. Fysieke inbraak is al amper de aanleiding voor accountdiefstal, laat staan als ook nog een notitieboekje gevonden moet worden.

Dus voor privé veel liever dat iemand een sterk en vooral uniek wachtwoord gebruikt en deze thuis in een notitieboekje hebben staan dan hetzelfde wachtwoord overal.

Maar waar ik nog liever voorlichting in zou willen zien is hoe MFA voor jezelf veilig houden. Ofwel, wat kan je doen om niet buitengesloten te worden als je toegang tot je MFA verliest. En probleem is, het verschilt enorm per dienst wat er mogelijk is.

[NoUser]

Die post-it wordt altijd een beetje weggezet als " het stomste wat je kan doen"

Zakelijk gezien natuurlijk wel. Die plakkers rond het scherm was niet echt handig.

Voor ouderen met een ww boekje in een lade is prima, met een kleine maar in geval van brand. Los ik zelf op door voor hen foto’s te maken en in een digitale kluis te stoppen.

[kiddingguy]

Zie dit ook bij mijn ouders. Op zich een offline lijstje, of Excel bestand, is redelijk-ish veilig.

Maar.. met alle telefoon & apps, en je moet opeens inloggen op een externe site of app... dan heb je een probleem. Of wil een een app uit een app-store downloaden, tsja...

Een wachtwoordmanager zou een goede optie, maar dit heeft wel weer een leercurve...

[SomerenV]

En die leercurve is best een ding denk ik. Mijn opa (helaas een aantal jaar geleden overleden) was best tech savvy maar gebruikte ook een boekje en post-its voor wachtwoorden. Die had ik een wachtwoordmanager/authenticatie app niet uitgelegd gekregen.

Sterker nog, op m'n werk hebben we een tijdje verplicht gebruik moeten maken van een authenticator om in te loggen op de planning-app maar dat was voor veel mensen oprecht ingewikkeld. En dat terwijl het vooral om 20-35-jarigen ging.

Goed dat er nu een campagne komt, maar wellicht wordt de moderne digitale wereld voor sommigen gewoon te ingewikkeld.

[Septillion]

Komt ook weer met pitfalls... Zo had ik mijn zusje aan de password manager en dat ging allemaal prima. Maar vervolgens was ze zo er aan gewend dat ze die gebruikte en ontgrendelde met een vingerafdruk dat ze haar masterpassword vergat Dat was best een ramp toen haar telefoon het begaf...

Dus als je iemand aan een password manager helpt, laat ze hun master password gewoon lekker thuis in een notitieboekje schrijven (en lekker thuis laten liggen).

[Reactie gewijzigd door Septillion op 3 oktober 2025 12:32]

[PdeBie]

Dus als je iemand aan een password manager helpt, laat ze hun master password gewoon lekker thuis in een notitieboekje schrijven (en lekker thuis laten liggen).

Ik heb mijn master password ook bewaard op een plek waar mijn vrouw bij kan, mocht ik te komen overlijden bijvoorbeeld. Kan ze in ieder geval bij al mijn accounts om ze af te sluiten of wat er dan ook nodig is met dat account.

En voordat men reageert: maar dan kan ze nu ook bij je accounts!!!

Dat heet vertrouwen in een relatie

[Reactie gewijzigd door PdeBie op 3 oktober 2025 14:47]

[DonChaot]

Het is ook het stomste wat je kan doen, ook thuis. Mijn moeder heeft 1 keer een insluiper gehad die pinpas + pincode heeft bemagtigd en later heeft ze nog eens een zogenaamde Ziggo monteur binnen gelaten (die gelukkig wel met lege handen vertrok). Ze heeft zo wel door schade moeten leren dat post-its not done zijn.

[Jron667]

Todat je een foto deelt op Facebook met de postit erop.

[CH4OS]

Wat doorgaans geen probleem is, want de Russische hacker kan post-its in de bureaula niet lezen. De meeste hacks gebeuren toch echt op afstand.

En daarbij, een post-it is functioneel zo'n beetje hetzelfde als een passwordmanager. De toegang is geregeld door het in staat zijn tot het fysiek openen van de bureaula. Dat is best een flinke drempel.

Die Russische "hacker" kan natuurlijk ook net zo goed een inbreker zijn, of je nou een Post-It note gebruikt, of een wachtwoorden boekje (al doen overigens jongere mensen dat ook gewoon, er zijn voldoende medewerkers bij ons die gewoon een "wachtwoord boekje" gebruiken, terwijl wij LastPass beschikbaar stellen en vooral benadrukken bij de onboarding van elke medewerker om LastPass te gebruiken... ).

Mijn 80-jarige ouders hebben een notitieboekje in de la liggen met de wachtwoorden voor al hun accounts. Best top, ze gebruiken dus al een ander wachtwoord voor elke site.

Toch zou ik willen dat ook mijn ouders aan een password manager gaan, omdat je dan wachtwoorden niet zelf hoeft te onthouden, maar ook gegenereerde wachtwoorden kunt gebruiken, die veiliger zijn dan wachtwoorden die ze wel kunnen onthouden omdat zij anders te simpele wachtwoorden gebruiken die geraden kunnen worden.

[.MaT]

En daarbij, een post-it is functioneel zo'n beetje hetzelfde als een passwordmanager. De toegang is geregeld door het in staat zijn tot het fysiek openen van de bureaula. Dat is best een flinke drempel.

Voor de Russische hacker wel ja, maar het gevaar zit niet enkel daar natuurlijk. Zeker bij oudere mensen kunnen er best wat mensen over de vloer komen.
Kwaadwillige familie/vrienden, poetshulp, thuisverpleging, klusjesmannen,... en natuurlijk de notoire oplichters die zich als wijkagent oid voordoen om binnen te geraken, hebben dan wel potentieel toegang tot al die zaken.

[Meg]

Die post-it is zeker waar, vooral bij mijn vader. Die gebruikte voorheen overal hetzelfde wachtwoord tot zijn Facebook op een gegeven moment gehackt werd...

Tegenwoordig staan alle wachtwoorden van zowel mijn vader als mijn moeder in Bitwarden (Family Plan) onder mijn beheer. Ze kunnen hun eigen wachtwoorden zien, ze kunnen bepaalde wachtwoorden van elkaar zien en ik kan alles zien zodat ik als het nodig is kan helpen om bijvoorbeeld een wachtwoord te resetten.

[mr_evil08]

Wachtwoord opschrijven op een post-it is niks mis mee zolang niemand anders in die ruimte komt, dus ook niet thuiszorg.

Wij hebben het zo geregeld dat de wachtwoorden onder het toetsenbord staan.

[Triblade_8472]

Sterker nog, ik garandeer je dat post-it wachtwoorden 99,99% minder gehacked worden dan digitaal opgeslagen wachtwoorden.

Je moet ze inderdaad alleen niet open en bloot tentoonstellen. Midden in een boek oid gaat echt niemand m vinden.

[kujinshi]

Ik heb als jongere, paswoorden ook opgeschreven en liggen in de kast. Komt niemand bij.

En is 100x veiliger dan menig paswoord manager digitaal.

Analoog opslaan is alleen kwetsbaar voor brand in huis. Zelfs een dief zal mij paswoorden niet vinden.


EDIT: Mijn vrouw heeft haar paswoorden "cryptisch" omschreven. Dat zal niemand ooit ontdekken de logica daarin.

[Reactie gewijzigd door kujinshi op 3 oktober 2025 10:16]

[TheVivaldi]

Als je een lokale beheerder gebruikt, zoals KeePass zonder browserextensie, is de kans op hacken al zeer gering. Maar ik ben het ermee eens dat een wachtwoordenboekje lang niet zo slecht is als sommigen denken, zeker niet als je hem veilig opbergt.

[Alex3]

Bij ons in de UB stond het wachtwoord op een post-it aan het beeldscherm in de portiersloge geplakt. Je kon het lezen als je er buiten langs liep.

[Triblade_8472]

Hah, ja ook wel eens meegemaakt. Dat is dan weer niet erg handig.

Net als wachtwoorden op een whiteboard met een webcam erop gericht.

[divvid]

omdat ouderen nogal makkelijk hun paswoord op een post-it schrijven

believe me, jongeren ook....

[rko4u]

Uiteindelijk is mfa vaak geen keuze, dus ik vraag me af voor welke systemen dit van belang is.

[Niema]

De meeste mensen weten echt wel de basics van de voor en nadelen. Daar zal het wss een keuze zijn. En is het gewoonweg verspilde moeite en verspilling van belastinggeld. Voor 65+ ers kan ik me prima indenken dat het zinnig heeft. Ook omdat deze leeftijdsgroep t.o.v andere leeftijdsgroepen vaker gewoon niet geïnformeerd zijn

[Blokker_1999]

Zelfs vele tweakers weten niet eens hoe ze correct met MFA moeten omgaan, laat staan dat Jan Modaal het weet.

Om het simpel te stellen: Als jij je TOTP tokens opslaat in de zelfde wachtwoordmanager als waar al je wachtwoorden in zitten, dan heb je je MFA gewoon uitgezet.

[jvdberg]

Wat een onzin, dat geldt alleen als je wachtwoordmanager zelf gecompromitteerd wordt. Het is misschien niet zo veilig als ze volledig gescheiden houden, maar een wachtwoord kan op meer manieren gecompromitteerd worden en in zo'n geval ben je nog altijd beter af met 2FA ook al staat die in dezelfde wachtwoord manager.

[i7x]

Alsof het geen toegevoegde waarde zou hebben normale oplossingen als Apple Keychain te gebruiken en je het dan maar net zo goed niet zou hoeven doen.

Het is sowieso een grote verbetering. Dat het theoretisch nog steeds omzeild kan worden als men niet enkel een gelekte hash of plain text van je wachtwoord heeft (verreweg het grootste probleem) maar ook toegang to je ww manager account, dat maakt het niet een slechte oplossing. Ja, je kunt nog wel meer stapjes bedenken om het nog veiliger te maken allemaal, maar dit zijn gewoon standaard oplossingen van Apple/MS/Google. Het is niet verkeerd voor de gemiddelde persoon om dat gewoon gebruik van te maken.

[Moortn]

Het gaat altijd om de balans tussen veilig en gemakkelijk. Dat is voor iedereen anders, maar als het te omslachtig of ingewikkeld wordt haken mensen af of, erger nog, gaan ze eromheen werken.

2FA heb ik voor de meeste websites ook 'gewoon' in mijn password manager staan. Dan is er alsnog een extra beveiliging mocht het wachtwoord uitlekken. Als ik voor elke inlog een authenticator op mijn telefoon moet gebruiken, dan zou ik het simpelweg veel minder vaak aanzetten. Telefoon pakken, unlocken, authenticator openen, zoeken naar de juiste record, na 3 cijfers te hebben ingetypt veranderd de hele code...als ik er niet wakker van lig als ik dat account kwijt raak dan houd ik het liever simpel.

[William_H]

Telefoon pakken, unlocken, authenticator openen, zoeken naar de juiste record, na 3 cijfers te hebben ingetypt veranderd de hele code...

Daarom gebruik ik tegenwoordig 2FAS, met een plugin voor Firefox (of Chrome). Dan kun je een verzoek naar je telefoon sturen, die geeft een melding, en vervolgens keur je die goed en wordt de huidige code op de website ingevuld. Scheelt een hoop handelingen, MFA toch gescheiden van m'n wwmanager, en toch net zo veilig.

[telenut]

gebruik die ook. Snel is de dienst wel niet... soms duurt het wat lang voor de code op het scherm komt en is er al vervallen.
Maar je moet dus wel degelijk nog altijd iets op de telefoon doen: unlocken en goedkeuren :-)

[donkerlicht]

Ik vraag het mij af. Volgens mij zijn velen beter af zijn wanneer ze überhaupt MFA gaan gebruiken. Jan Modaal zal ook geen high priority target zijn waar je je bewust moet zijn van het scheiden van alles. Laat ze eersf maar eens gebruikmaken van MFA, en ja, een voor die persoon bekende applicatie maakt dat gemakkelijker.

[P_Tingen]

Dat is wel wat zwart/wit. Ja, als je ww-manager gehackt wordt ben je de sigaar, maar op de schaal van beveiliging is TOTP-in-wwmanager nog altijd beter dan geen-TOTP.

Beveiliging is een afweging tussen veiligheid en gebruiksgemak. Je zou kunnen stellen dat een online ww-manager onveiliger is dan een in eigen beheer gehouden Keepass database op een usb-stick, maar een online manager is zó veel makkelijker en geeft slechts een fractie meer risico. Even aannemend dat je een fatsoenlijke manager á la BitWarden of OnePass gebruikt.

[Visgek82]

Het zal je nog verbazen hoe weinig mensen ècht goed de basics weten. ook onder de 50. dit is een extreem goed initiatief en zou eigenlijk voor iedereen moeten gelden.

[g_v_rijn]

Ze controleren wel 3x of de deur goed op slot zit.

[Reactie gewijzigd door g_v_rijn op 3 oktober 2025 17:07]

[mr_evil08]

Dat is fysiek, digitaal is een heel ander verhaal bij ouderen.

[Jorah_Newstone]

Ouderen zijn hier de zwakste schakel, natuurlijk moet je iedereen voorlichten, maar dat kost meer geld. Die moet je op een bepaalde manier voorlichten, daar moet je een hele campagne voor bedenken. Wil je dit het meest effectief doen.

[kujinshi]

Ouderen zijn tegenwoordig ook niet meer ouderwets. Menig 60 jarige was 30 jaar geleden ook al computer nerd. In 1995 was de computer al zeker ingeburgerd bij velen.

Een 70 jarige, voor die groep is computers wel minder vanzelfsprekend.

[R_Zwart]

Het is meestal veel effectiever om campagnes per doelgroep te doen. Probeer maar eens een insteek te vinden waarbij iedereen zich aangesproken voelt.

[Luchtbakker]

Ik zou niet weten waarom je enkel ouderen zou willen betrekken bij dit, en niet gewoon iedereen. Er zijn een heleboel digibeten (zelfs jongeren) die echt niet weten wat 2FA inhoud en hoe belangrijk het is.

Dan vang je meerdere vliegen in 1 klap en maak je vele accounts een stuk veiliger

[Meg]

Dit is zeker waar. Eigenlijk zouden dit soort dingen op de basisschool al besproken moeten worden, aangezien de kinderen ook steeds jonger met bijvoorbeeld een smartphone rond lopen.

[Tielenaar]

Middelbare school lijkt me beter. Vanaf een jaar of 12. Daarvoor is het te complexe materie om echt te begrijpen waar de beveiliging voor dient, en hebben ze over het algemeen nog geen bankgegevens op hun telefoon staan, om maar een voorbeeld te noemen.

[TheVivaldi]

Enerzijds eens, anderzijds begint puberen rond een jaar of twaalf. In die zin zou je dit eigenlijk rond tien moeten doen, dan heb je de meeste kans om tot ze door te dringen.

[Tielenaar]

Sowieso blijven herhalen natuurlijk.
Ik begin er zelf nu ook wel over nu mijn zoon bijna 11 is, maar die snapt dat nog niet allemaal echt goed.

[kujinshi]

Inderdaad, menig 60 jarige weet veel meer van computers en veiligheid dan 25 jarigen.

Hier op mijn werk zijn de 20-30 jarigen erg "dom" in beveiligings zaken. Ze hebben geen idee.

[Zyzzjan]

Misschien ouderen eerst en dan de rest, de hoogste percentage digibeten zit sowieso bij de ouderen.

[mjtdevries]

Vlak de jongeren niet uit. Die zijn ook dramatisch.
Dat ze continu een telefoon in hun hand hebben betekent niet dat ze weten wat ze doen.

[TheVivaldi]

Exact. Ik vind dat soort aannames altijd gevaarlijk. Was er niet een keer uit onderzoek gebleken dat de meeste ongelukken op de weg gebeuren door mensen die op voor hen ‘bekend terrein’ rijden en daarom niet meer goed opletten op bebording en dergelijke? Bij smartphones lijkt me dat hetzelfde verhaal: dat je bekend bent met het concept, wil niet zeggen dat je overal oog voor hebt.

[R_Zwart]

Hoe zou jij een campagne maken die bij zowel ouderen, mensen van middelbare leeftijd en jongeren impact heeft? Die staan allemaal anders in het leven en zijn op andere manieren kwetsbaar voor cybercrime.

[CPV]

In 2024 begon de Rijksoverheid de campagne 'Dubbel beveiligd is dubbel zo veilig'

Nog nooit van gehoord. Hoe dat kan, mogen ze dan ook wel eens naar kijken.

[Katoenplukker]

Ik vind voor ouderen de naam "dubbele beveiliging" beter dan tweetrapsauthenticatie. Moeilijke termen of afkortingen (bijv. MFA) schrikt af.

[TheVivaldi]

In de software die ik vertaal (ben vertaler van beroep) gebruik ik altijd ‘verificatie in twee stappen’, maar ‘dubbele beveiliging’ vind ik eigenlijk ook wel een hele goede, zeker voor ouderen of mensen die nog niet erg bekend zijn op het internet.

[iAR]

Eens, maar op sites kom je dat dan wel weer tegen. OTP, 2FA, MFA

[Alex3]

Al die campagnes hebben maar beperkt nut. Je bereikt lang niet iedereen en mensen kun je toch niet veranderen, omstandigheden wel.

[lenwar]

Klopt. Je bereikt niet iedereen 'direct', maar er is ook een via-via-kanaal.

Dit is een beetje de discussie met NL-Alert en het luchtalarm wel of niet afschaffen. 'Niet iedereen heeft een telefoon (bij zich)'. Maar als je op straat loopt, ben je zelden helemaal alleen. Als de spreekwoordelijke pleuris uitbreekt, dan spreken mensen elkaar echt wel aan. (( N.B. Ik ben persoonlijk van mening dat beiden beter is, al is het maar omdat je dan twee gescheiden kanalen hebt die beperkt invloed op elkaar hebben, en de kans bereik in een gebied vergroot, maar dat is een andere discussie ))

Campagnes moet je dus op een 'slimme manier' doen. Als je MFA wil stimuleren onder ouderen, moet je niet op Tweakers.net of de lokale sushibar adverteren, maar een betrouwbaar poppetje bij praatprogramma's van Omroep Max zetten, en proberen met persberichten in het achtuurjournaal te komen, of via het 'Ouderenfonds', of flyeren/posters ophangen op plaatsen waar veel ouderen komen. (buurthuis waar een bridgeclub komt, enz.)

[haagsepracht]

Passwordless is de toekomst. Phishing-resistant FIDO2 authenticatiemethoden zouden mainstream moeten worden. Dit hoeft nog geen eens in de vorm van een fysieke hardware key, want het werkt al perfect in de vorm van een passkey op iemand zijn telefoon. Voor heel veel mensen zou dit een perfecte praktische oplossing zijn. We moeten toch echt eens af gaan stappen van wachtwoorden ondertussen.

Aanbieders van services zouden dit asap moeten gaan implementeren. Dus Tweakers.net (@TijsZonderH) staat dit wellicht al op de planning?

[hanev001]

Je hebt het probleem blijkbaar niet helemaal begrepen. Het gaat er om om ouderen die nu al moeite hebben met de 2 staps methode daar naar toe over te halen. En dan kom jij met een nog veel complexere oplossing die dan dus zeker niet gebruikt gaat worden.

Let eens op je gebruikte woordem "Passwordless,Phishing, FIDO2, mainstream, hardware key, passkey" Dat zegt al genoeg om te weten dat jij op een ander nivo denkt.

[TheVivaldi]

Niet alleen ouderen, hoor. Ik ben 33 en technisch onderlegd (anders zou ik hier ook niet zitten, duh ) en 2FA doe ik wel aan, maar van passkeys heb ik de ballen verstand, en heb ook niet direct de behoefte om me daarin te verdiepen.

[GertMenkel]

Het is dat zo weinig websites het ondersteunen en dat Google, Microsoft, en Apple het verstoppen in de UI, maar anders is een fysieke Yubikey toch wel de makkelijkste, veiligste manier die iedereen kan snappen.

"Stop je beveiligingssleutel in je computer" kan iedereen begrijpen. Toch een stuk makkelijker dan FIDO2/"inloggen met telefoon"/"beveiligingssleutels" die aan een cloudaccount hangen.

Ik snap en waardeer de complexere opties die in het FIDO2-protocol zit ingebouwd, maar de manier waarop computer-UI's het moeilijk maken om fysieke sleutels te gebruiken frustreert me enorm.

[Reactie gewijzigd door GertMenkel op 3 oktober 2025 13:37]

[hanev001]

Opnieuw een voorbeeld van niet het probleem begrijpen.

Mijn reactie is namelijk Yubikey wat is dat, nooit van gehoord.

[GertMenkel]

Ik pas mijn taal hier in de comments aan aan Tweakers-publiek, niet aan leken voor op de manier waarop ik de reclame zou maken.

De overheidsspotjes zouden het wellicht iets van een "computersleutel" noemen. Yubikey is tenslotte maar een werk en Google Titan en diverse andere merken bieden dezelfde voordelen.

[haagsepracht]

We zitten hier op Tweakers.net. Zodoende mijn woordkeuze. Uiteraard moet je communicatie zoals altijd aanpassen aan de doelgroep.

Voor ouderen zouden passkeys echt vele malen makkelijker in gebruik zijn. Men kan dan niet meer ten prooien vallen aan phishing én raakt men het niet zomaar meer kwijt. Het verkort ook nog eens de login tijd naar pakweg een seconde of 6 i.p.v. een minuut of meer bij ouderen.

[TijsZonderH]

Dat moet je niet aan mij vragen, ik ben ook maar gewoon een redacteur

Volgens mij wordt hier wel aan gewerkt maar ik weet de status niet, dat wordt her en der in Mooie Features wel besproken dus ik zou ff daar kijken!

[haagsepracht]

Dat weet ik ook wel ik vind jou een hele leuke redacteur ook

Thnx voor je feedback, ik ga eens een kijkje nemen.

[Katoenplukker]

En wat zijn de demografische gegevens van deze ouderen? Vanaf welke leeftijd? Zijn ze alleenstaande of zonder nabestaanden?

Mijn ouders zitten bijna tegen de 70 aan en die doen prima met smartphones alles. Ja, daar help ik ze bij en ik waarschuw voor de gevaren van deze criminelen. Daar hebben ze oor naar, maar ik moet wel up to date blijven met nieuwe methoden waarmee ze geld afhandig willen maken.

Ik zeg ze: "als je wordt benaderd moeten ze altijd iets van je hebben."

Of het nu gaat om een crimineel of een verkoper. Belangrijk is dat "nee" het voornaamste antwoord is en je mag altijd ook ophangen. Als de zogenaamde bank belt: hang op en bel zelf naar de bank om te vragen wat ze willen. Dat is praktisch ook 2FA.

[multikoe]

De cognitieve vaardigheden van ouderen nemen per definitie af met toenemende leeftijd. Jouw ouders zijn maar een paar jaar ouder dan ik, maar ik werk in de IT en weet daarom wel waar dit over gaat. Maar een groot deel van de mensen van mijn leeftijd en ouder zijn niet met IT opgegroeid en vinden het lastig, moeilijk of soms onmogelijk om de ontwikkelingen bij te houden. MFA is voor die groep echt te hoog gegrepen en zij zullen dus in toenemende mate hun zaken niet meer zelf kunnen regelen.

Ook zullen jouw ouders in toenemende mate het beoordelingsvermogen verliezen om te bepalen of iets veilig is of niet. Het risico neemt dus gewoon toe naarmate mensen ouder worden.

De IT faalt op dit moment die groep. De overheid kan communiceren wat ze willen, dat gaat maar weinig helpen. Het zijn de tools die het probleem zijn. De mensen die die tools ontwikkelen hebben die groep niet op het netvlies. Ik zie dat in alles.

[Katoenplukker]

Interessant dat je zegt dat cognitieve vaardigheden afnemen bij toename van leeftijd. Geldt dit voor alles? Of geven we toe dat we ouder worden en daarom willen we minder moeite doen om te leren? Ik vind het lastig om dit in te beelden, want mijn ouders zijn juist vaardiger geworden door mijn actieve deelname in hun digitale veiligheid. Ik hoef ook steeds minder te doen.

De overheid kan communiceren wat ze willen, dat gaat maar weinig helpen. Het zijn de tools die het probleem zijn. De mensen die die tools ontwikkelen hebben die groep niet op het netvlies. Ik zie dat in alles.

Ik heb een UX-opleiding gedaan. In mijn ogen is UX de basis voor alle digitale gereedschappen. Heb je de doelgroep duidelijk in kaart gebracht dan zal heel je onderzoek het ruggengraat worden van je product. Op lange termijn scheelt dit veel geld en je product zal zeer fijn blijven om te gebruiken.

Offtopic en een stukje persoonlijke irritatie: bedrijven en investeerders snappen de return on investments voor UX niet en misbruiken de term om even een strakke UI neer te zetten. Dat maakt het lastig om een product te ontwikkelen voor een doelgroep.

[Reactie gewijzigd door Katoenplukker op 3 oktober 2025 14:02]

[ioor]

Als je dit zou onderzoeken, zou je er hoogstwaarschijnlijk aan ontdekken dat de meerderheid boven de 70 jaar hier heel veel moeite mee heeft.

Dat je daarna dit alsnog door hun strot duwt zegt meer over het systeem (en de mensen er achter) dan wat het daadwerkelijke probleem is.

[multikoe]

Met het ouder worden nemen verschillende vaardigheden af, met name nieuwe dingen leren en het geheugen. De snelheid van informatieverwerking ook. Dat is allemaal gewoon terug te vinden in onderzoeksresultaten. Je kunt nog steeds dingen leren, maar langzamer en je vergeet ook wat sneller. Iedereen die zijn ouders van dichtbij meemaakt tijdens het ouder worden zal dat beamen. Het is niet voor niets dat je vanaf 75 jaar elke vijf jaar een verplichte keuring voor je rijbewijs moet doen... En het is ook niet voor niets dat vooral ouderen worstelen met moderne communicatiemiddelen.

Toegeven dat je iets niet (meer) begrijpt is voor veel mensen erg lastig en de reactie van ouderen naar buiten toe is vaak om dat onvermogen te verhullen en te doen alsof het een keus is: "Dat is stom, onnodig, en vroeger deden we het ook niet". Dat zou je kunnen interpreteren als onwil, maar het is feitelijk onkunde.

[JJK]

Ik snap best hoe belangrijk het is maar dan krijg je een nieuwe telefoon en ja natuurlijk moet je overal backup codes van hebben maar ik was toch even buiten gesloten uit een aantal instanties omdat ik het blijkbaar niet goed geregeld had. Dacht namelijk dat de 2FA app met alle settings overgezet zou worden naar een nieuwe iPhone... sta je dan...

[Meg]

Er zijn natuurlijk alternatieve apps waar je de codes in kan bewaren, zelf heb ik alles in Bitwarden staan; wanneer ik bijvoorbeeld een nieuwe telefoon neem installeer ik de app en log ik in. Ik pak eenmalig een code uit mijn mailbox en kan overal weer bij.

[Blokker_1999]

En je hebt dus opnieuw geen MFA. Een aanvaller die in je Bitwarden komt heeft direct alle wachtwoorden en alle TOTP codes. Bij mij wordt MFA net vanuit een andere app gedaan, exact om die reden. En dan ook een app op de telefoon en niet op de computer daar de telefoon automatisch voor 2 factoren zorgt in je MFA, namelijk iets dat je hebt, zijnde de telefoon, en iets dat je weet (de PIN code van de telefoon) of iemand die je bent (biometrics).

[rko4u]

Ja en nee, iemand die je wachtwoord heeft voor de site, zal zonder de bijbehorende TOTP niets kunnen. En je Bitwareden kent hopelijk toch ook een mfa beveiliging. Deze zal vermoedelijk werken met wachtwoord/device. Dan hebben ze dus je device of een andere sleutel nodig om er in te komen. Als die met alleen wachtwoord werkt, dan heb je inderdaad gelijk, maar dan ligt dat aan de beveiliging van de app, niet aan de methode.

[Reactie gewijzigd door rko4u op 3 oktober 2025 10:48]

[TheVivaldi]

En dan nog is de vraag hóe ze in je Bitwarden komen. Ik bedoel: als je overal een ander wachtwoord gebruikt, dus ook voor Bitwarden, dan wordt het al veel lastiger. Dan moeten ze een daadwerkelijke loophole vinden om binnen te geraken en alles uit te lezen. De gemiddelde hacker moet dus door meerdere beveiligingslagen heen (telefoon-/computerwachtwoord, Bitwarden-wachtwoord, evt. mailwachtwoord/toegangscode voor Bitwardens 2FA-mail, etc.). Dat gaat een gemiddelde hacker echt niet doen, zeker niet als het iemand als jij of ik betreft die niet duidelijk iets belangrijks bezit (bij bijvoorbeeld Dick Schoof zou het een ander verhaal zijn).

[Blokker_1999]

Maar er is geen enkele dienst waarbij ik MFA gebruik waarbij ik ook schrik heb dat mijn wachtwoord gestolen wordt. Zowat alle diensten die nadenken over beveiliging slagen die wachtwoorden met salt en een sterke hash op waardoor een lek in een database geen probleem vormt voor het wachtwoord. Daar doe je het dus al niet voor.

En als ik elke Bitwarden gebruiker die zijn vault niet opnieuw laat vergrendellen na enkele minuten 1 cent zou geven, ik zou geen cent meer overhouden maar diep in de schulden zitten.

Dus een aanvaller die inbreekt op je computer heeft dan onmiddelijk heel je wachtwoordkluis in handen als ze dat wensen. Want dat schrijft Meg ook, zij laat de MFA voor haar bitwarden naar haar mail sturen (ook niet de veiligste optie) en dat alleen bij een nieuw OS, dus op alle andere momenten is er helemaal geen sprake meer van enige vorm van MFA.

Wil je MFA doen? Neem dan de moeite om het goed te doen. Elke login die je doet vereist minstens 2 dingen. Iets dat je hebt, iets dat je weet en/of iemand die je bent. Anders doe je geen MFA.

[rko4u]

U mist minimaal 2 zaken:

1) het plain text opslaan van wachtwoorden is al zeker zo’n 10 tot 20 jaar niet meer geaccepteerd.

2) als je een nieuw account installeert en een mfa code naar je mail laat zenden na het invoeren van je wachtwoord is dat mfa. Vervolgens moet je het device fysiek in handen krijgen om er bij te komen, daarnaast moet je vermoedelijk op het device inloggen met een code of vingerafdruk of wordt met regelmaat opnieuw om je wachtwoord gevraagd door de tool. veilig apparaat plus toegangscode of vingerafdruk, wordt ook gezien als mfa in de beveiligingswereld.

[lenwar]

Klopt. Je verplaatst je probleem daarmee. Maar dan is het weer 'Wat als ze je gedeblokkeerde telefoon hebben.' (wat in de praktijk natuurlijk lastiger is.)

Onder aan de streep komt het er op neer: "Wat wil je beschermen en waartegen?" TOTP is een bijzonder simplistische MFA-methode, gebaseerd op een 'shared secret' (zowel de gebruiker als de dienst hebben beiden een onversleutelde versie van een string opgeslagen staan.) Het werkt volledig offline (wat zowel voordeel als nadeel is. Voordeel: "Geen afhankelijkheid van internet/netwerk/connectiviteit." Nadeel "Je weet niet of het gebruikt wordt aan de client kant, en je kan niet weten of iemand anders het gebruikt.") Je kunt het veelal niet makkelijk 'roteren' (een andere string instellen.)

Het voornaamste dat je TOTP afschermt is toegang tot accounts voor mensen die je wachtwoord kennen. Dus 'over je schouder', keyloggers, enz. En daar houdt het 'in de praktijk' vaak op. Het zat per implementatie verschillen, maar er is een goede kans dat de TOTP-string in dezelfde gebruikersdatabase staat als het gehashte wachtwoord. Dus bij een slechte hashing (zonder salt/pepper) is het account heel makkelijk te vinden.

Als je als individu echt getarged wordt (al verwacht ik niet dat jij en ik erg interessant zijn om echt als doelwit te zijn.), dan is het sowieso lastig om je goed te beschermen, en kun je je afvragen of TOTP op hetzelfde apparaat veel toevoegt. Als je een onderdeel van een groter geheel bent (dus een gestolen database), dan heeft die TOTP-string al weinig toegevoegde waarde meer (zoals ik boven al beschreef.))

Je TOTP-codes in dezelfde app is 'uiteraard' minder goed dan in een losse app. Maar het gaat pas echt wat toevoegen, als losse PIN-codes voor elke app, en dus niet het PIN/biometrische systeem van je telefoon zelf.
Door de TOTP in dezelfde te zetten, zijn mensen sneller geneigd het überhaupt te gebruiken, en dat is ook al heel wat waard. Hoe moeilijker je het maakt om in te loggen, hoe groter de kans is dat mensen trucjes gaan proberen te doen om het te omzeilen. Dat is mensen hun eigen verantwoordelijkheid natuurlijk, maar het wordt ook een beetje uitgelokt.

En uiteindelijk is een zwakke MFA (zoals TOTP) 100x beter dan helemaal geen MFA.

[rko4u]

Als je van een goede wachtwoordmanager gebruik maakt, wordt het meeste gewoon meegemigreerd. Dan miet je hooguit eenmalig je wachtwoord uit de kluis halen om vervolgens het nieuwe apparaat te koppelen. Dat zit gewoon ingebakken in IOS (hoewel daar de beveiliging wat beter zou kunnen, want toen mijn vingerafdrukscanner kapot was, kon ik daar gewoon met mijn toegangscode bij)

[HansvDr]

Joh voor dat mijn schoonvader zijn Authenticator app geopend heeft is de code alweer verlopen.

Ik snap ook niet waarom dat overal tegenwoordig gebruikt wordt. Bankzaken en verzekeringen snap ik nog maar een willekeurig website, hou toch op met die onzin.

[nightgold]

Inderdaad. Meer en meer websites beginnen dit af te dwingen terwijl er geen meerwaarde is.
Zo had ik een github account met wat hobbycode dit totaal onbelangrijk was. Ik heb geen zin of mfa te moeten gebruiken voor iets wat me niet kan schelen mocht het gehackt worden, die extra stappen zijn er te veel aan in dat geval.
Zelfde verhaal met bijvoorbeeld mijn e-mail accounts bedoeld voor spam.

[Alex3]

Ik begrijp ook niet waarom ik door allerlei hoepels moet springen omdat sommigen slechte wachtwoorden gebruiken.

[TheVivaldi]

Ik ook niet. Stel je voor dat we dat elders zouden doen: allemaal gedwongen worden tralies voor de ramen te plaatsen en een geavanceerd beveiligingssysteem op de deur te hebben, omdat sommigen hun deur en/of ramen open laten als ze weggaan…

[lenwar]

Het gehacked worden van 'jouw account' is op de meeste sites dan ook niet 'jouw probleem', maar meer voor het platform/de overige gebruikers van dat platform. Pak je Tweakers-account als voorbeeld. Stel dat iemand jouw Tweakers-account kaapt. 'lekker belangrijk' Het is maar een forum-account, en of iemand nou namens jou impopulaire meningen uit, is geen probleem voor het grote plaatje, hooguit lastig. Maar die kaper kan wel onder jouw naam allerlei vage shit posten met links naar malware-sites enzovoorts, en is het dus een probleem 'voor de rest'. De redactie en moderators hebben dit niet binnen een paar seconden door. Ook eventuele automatisering hieromtrent zal nooit waterdicht zijn.

[rko4u]

Ik neem aan dat als jij merkt dat je tweakers account gehacked is, dat je zo snel mogelijk een password reset of blokkade van je account aanvraagt.

[lenwar]

Ja, maar als er dan in de tussentijd al 50 malafide berichtjes zijn gepost...
Ik doe zelf bijvoorbeeld bijna niets op het forum. Ik zou daar niet direct achter komen als er namens mij wordt gepost. (hooguit bij het belletje als m'n posts reacties krijgen.)

[nightgold]

Om het voorbeeld van @TheVivaldi the gebruiken. De politie gaat toch ook niet iedereen verplichten om hun huis zwaar te beveiligen omdat het anders hun probleem kan worden?
Ik wordt de toegang tot mijn tuinhuisje niet ontzegd door de politie omdat er geen slot opzit, zelfs al kan iemand een schop gaan uithalen en daarmee een raam inslaan of dergelijke.

De inbreker/hacker is in fout, niet ik. _{Oftewel dat ik mijn wachtwoord paswoord123 ga maken of een geheugensteuntje op mijn profielpagina ga zetten, dan is het een "open deur" uiteraard.}

Bewustmaking en preventie is 1 iets, verplichting is iets anders.

[Reactie gewijzigd door nightgold op 3 oktober 2025 15:44]

[lenwar]

Nee, dat klopt. We hebben het hier ook niet over een huis, maar over een digitale dienst.

Het veilig houden van mijn account heeft invloed op de rest. Mijn huis veilig houden heeft geen invloed op de rest van wijk. Steker nog. Dat kan negatief uitpakken. Als mijn huis als enige rottiger is om in te breken, enz.

Maar als je al een vergelijking wil maken vastgoed en zaken er omheen: Een betere vergelijking zou zijn, dat ik ook verplicht ben om de stoep voor m'n tuin 'veilig te houden' (ijzel verwijderen, enz.) Daar heeft mijn account (de toegang tot m'n tuin) en de rest van de wijk ook profijt van, of in elk geval iedereen die langsloopt.

[Tielenaar]

Ik heb het bij mail (google, ms), gitlab/github, werk, vpns, bankzaken, crypto en overheid, maar verder wordt het toch vrijwel nergens geforceerd?

[g_v_rijn]

Authenticatie met notificatie - is overtikken van code niet nodig.

[HansvDr]

Mijn schoonvader begint er bijna niet meer aan. Dan is overtikken ook niet nodig :-)

[g_v_rijn]

Het is van alle tijden, er is niet voor alles / iedereen een oplossing, anders dan er - voor zover mogelijk - omheen werken. En tegen eigenwijsheid is voor zover ik weet geen oplossing.

[HansvDr]

Zijn wachtwoordenboekje lukt meestal nog wel. Voor de bank de scanner die hij al jaren heeft
Digi D lukt hem met hulp nog net

Authenticator App verwijderd

[g_v_rijn]

Voor het gebruik van de ING App heb je geen authenticatie App nodig. Slechts het eenmalig activeren van App m.g.v. identiteitsbewijs is de enige hobbel en hierna heb je geen scanner meer nodig.

[HansvDr]

Oke. ING zit hier niet dus schoonvader heeft Rabo. Met scanner, dat snap hij wel. Geen app nodig, gewoon op de PC.

[GertMenkel]

Bankzaken en verzekeringen snap ik nog maar een willekeurig website, hou toch op met die onzin.

Iedere website die moet dealen met gebruikers die Welkom01! als wachtwoord hebben en de spammers die diens gehackte accounts veroorzaken, voegen dat spul toe. Dat staat nog naast de beschuldigingen dat websites liegen als ze mensen informeren dat ze niet gehackt zijn nadat iemand "Willem1962" geraden heeft.

Het is niet altijd bescherming van gebruikers, het voorkomt ook een hoop ellende voor de websiteeigenaren.

[Reactie gewijzigd door GertMenkel op 3 oktober 2025 13:40]

[HansvDr]

Ja en daarom worden dat soort websites steeds minder bezocht.

Wat boeit het een wachtwoord als welkom123 of sites zoals dit? niets.

[GertMenkel]

Het boeit omdat de website dan met de brokken zit wanneer die accounts overgenomen worden. Als te veel mensen te lui zijn om een normaal wachtwoord te kiezen dan krijgt iedereen 2FA opgedrongen. Mensen zijn te dom of lui om een wachtwoord te kiezen maar dikke krokodillentranen als er door criminelen op zo'n account iets wordt besteld/geplaatst/verwijderd en de rekening/ban aankomt.

Op zich zijn dat soort mensen een goed argument voor passkeys, scheelt weer misbruik door credential stuffing en Apple/Google/Microsoft mag de boeman spelen om 2FA aan te zetten op die passkey-accounts waar ze standaard mee aankomen zetten.

[HansvDr]

Kom je aan met passkeys en credential stuffing in een reactie op een nieuwsbericht over ouderen die moeite hebben met 2FA.

Dat zal helpen!

[GertMenkel]

Ik reageer op jou, niet je oma

Het maakt onder de streep niet uit of en waarom ouderen/kinderen/verstandelijk gehandicapten/digibeten die het leven van websitebeheerders moeilijk maken, mijn punt is dat er wat aan gedaan moet worden als je website een bepaalde grootte bereikt.

[Floort]

Waarom wordt mensen wijsgemaakt dat mfa slechts twee keer zo veilig is? Alle statistieken die ik zie wijzen om een veel grotere effectiviteit in het reduceren van het aantal gecompromiiteerde accounts.

[Oon]

Hoewel multifactor super is zie ik twee problemen:
Ten eerste heel vreemd dat de focus op ouderen ligt, als ik om me heen willekeurige mensen echt nog in de 30 of 40 zie dan is de algemene technische geletterdheid écht heel erg laag. Naar mate de leeftijd omlaag (tiktok generatie) of omhoog (boomers) gaat dan gaat het meteen nog meer achteruit, maar dat gaat beide kanten op. Mensen weten gewoon niet meer dan hoe ze Facebook moeten gebruiken op hun telefoon.
En ten tweede, als gevolg op het eerste; dit gaat echt een nachtmerrie zijn voor ondersteuning. Ouderen die ergens een secret activeren maar niet (goed) noteren, nieuwe telefoon of telefoon naar fabrieksinstellingen en je bent er al. Syncen van secrets mag niet, want je multifactor is niks waard als je secrets óók gewoon in de cloud staan, maar zelfs als je wel gaat syncen is een secret niet iets dat je even in het wachtwoordenboekje schrijft.

Het wordt tijd dat FIDO2 de standaard wordt en mensen gewoon een USB stick (evt. met NFC, voor mobiel) gaan gebruiken als tweede factor, in plaats van TOTP.