Wachtwoorden in Excel: waarom je opdrachtgever daar straks naar vraagt

Vraag een willekeurige mkb-ondernemer waar de wachtwoorden van zijn bedrijf staan, en je krijgt zelden een antwoord waar iemand blij van wordt.

Ze staan in een Excel-bestand op de gedeelde schijf, waarvan drie mensen een kopie op hun bureaublad hebben. Ze zijn ooit via WhatsApp doorgestuurd toen iemand met vakantie was. Ze staan in de browser van de laptop van de administratie. En het wachtwoord van de webshop kent nog steeds de bouwer van de site, die je in 2021 voor het laatst hebt gesproken.

Dat is jarenlang een ongemakkelijk feitje geweest waar niemand naar vroeg. Vanaf dit jaar wordt er wel naar gevraagd, en niet door de toezichthouder maar door je grootste klant.

Wat er is veranderd

Op 15 augustus 2026 is de Cyberbeveiligingswet in werking getreden. Organisaties die eronder vallen, ongeveer achtduizend in Nederland, hebben een zorgplicht. In de opsomming van maatregelen die daarbij hoort staan er drie die niet over techniek gaan maar over mensen:

• basale cyberhygiëne en opleiding op het gebied van cyberbeveiliging
• personeelsbeveiliging, toegangsbeleid en beheer van bedrijfsmiddelen
• multifactorauthenticatie en beveiligde communicatie

Die zorgplicht strekt zich ook uit tot de toeleveringsketen. Dus als jij levert aan een ziekenhuis, een gemeente, een energiebedrijf of een grote industriële partij, dan komt de vraag hoe jij toegang en wachtwoorden geregeld hebt vroeg of laat bij jou terecht.

Val je zelf niet onder de wet, en dat geldt voor de meeste bedrijven onder de vijftig man, dan verandert er wettelijk niets voor je. Commercieel verandert er wel iets, want de vraag komt via het contract binnen in plaats van via de wetgever.

Wat er precies gevraagd wordt

De formulering verschilt, de strekking niet. Je komt varianten tegen op:

• Hoe worden wachtwoorden binnen uw organisatie beheerd en gedeeld?
• Gebruikt u multifactorauthenticatie op accounts met toegang tot onze gegevens?
• Hoe wordt toegang ingetrokken wanneer een medewerker uit dienst gaat?
• Hoe voorkomt u dat inloggegevens hergebruikt worden over systemen heen?
• Worden medewerkers periodiek getraind in het herkennen van phishing?

Op de meeste daarvan kun je met een Excel-bestand op de schijf geen prettig antwoord geven. Niet omdat het formulier streng is, maar omdat het antwoord er gewoon niet is.

Waarom dat Excel-bestand er nog steeds staat

Even eerlijk zijn: het is niet uit luiheid ontstaan. Het is ontstaan omdat het werkte.

Er kwam een tweede medewerker bij die ook bij de webshop moest. Iemand zette het wachtwoord in een gedeeld bestand zodat niet iedereen steeds hoefde te vragen. Dat werkte, dus er kwam een tweede regel bij, en een derde. Vijf jaar later staan er tachtig regels in en durft niemand hem meer op te ruimen omdat niemand weet wat er nog gebruikt wordt.

Dat is het echte probleem, en het is groter dan het lek zelf. Je weet niet meer wie waar bij kan.

De drie concrete risico's

Eén: hergebruik. Als het wachtwoord van de webshop ook het wachtwoord van de boekhouding is, is één datalek bij een willekeurige leverancier genoeg om beide open te zetten. Dat gebeurt niet doordat iemand jou uitkiest, maar doordat automatisch gelekte combinaties op honderden sites geprobeerd worden.

Twee: vertrek. Iemand gaat uit dienst, je haalt zijn mailaccount weg, en de zeventien wachtwoorden die hij kende blijven gewoon geldig. Als die in een gedeeld bestand staan, weet je bovendien niet welke dat zijn.

Drie: je merkt het niet. Bij een gedeeld bestand kun je achteraf niet zien wie wanneer wat heeft gebruikt. Als er iets misgaat, kun je precies niets reconstrueren, en dat is nou net wat je bij een incident moet doen.

Wat je opdrachtgever wil horen

Niet dat je alles perfect hebt. Wel dat er een systeem achter zit. Vier antwoorden dekken vrijwel elke vraag op dit onderwerp:

1. Wachtwoorden staan in een kluis, niet in een bestand

Een zakelijke wachtwoordmanager lost drie dingen tegelijk op. Elk wachtwoord is uniek en lang, want niemand hoeft ze meer te onthouden. Delen gaat via de kluis in plaats van via de app. En je kunt met één handeling iemands toegang intrekken.

Let op het woord zakelijk. Een gratis persoonlijke kluis per medewerker lost het delen niet op, en dat is precies waar het misgaat.

2. Multifactorauthenticatie op wat ertoe doet

Begin bij e-mail. Wie bij je mailbox kan, kan bij vrijwel alles, want overal zit een wachtwoord-vergeten-knop die naar diezelfde mailbox mailt.

Daarna je boekhouding, je bank, je website-beheeromgeving en de omgeving van je hostingpartij. Dat is een middag werk voor een heel bedrijf en het is het beste rendement op een middag dat je in dit dossier kunt halen.

3. Toegang gaat weg op de dag dat iemand weggaat

Schrijf op wie dat doet en binnen hoeveel tijd. Bijvoorbeeld: op de laatste werkdag worden het account, de kluistoegang en de rechten in externe systemen ingetrokken, en dat wordt afgevinkt door de leidinggevende.

Dat is één alinea in een document en het beantwoordt een vraag waar bijna niemand een antwoord op heeft.

4. Mensen weten waar ze op moeten letten

Hier gaat het over training. Niet een dagdeel in een zaaltje waarvan over drie weken niemand meer iets weet, maar korte terugkerende oefeningen plus af en toe een testmail.

Het punt is niet dat niemand meer op een link klikt. Het punt is dat iemand die geklikt heeft het meldt in plaats van het te verzwijgen. Dat scheelt bij een incident uren, en soms het verschil tussen een vervelende ochtend en een datalek. Wat je in dat eerste uur doet staat in het stuk over op een phishinglink geklikt.

Van Excel naar kluis, in stappen

Dit is de volgorde die werkt. Reken op twee weken doorlooptijd, waarvan misschien een dag echt werk.

Week 1, dag 1. Kies een kluis en zet de accounts klaar. Nodig iedereen uit. Doe dit op een maandag, niet op een vrijdag.

Week 1, dag 2. Zet de gedeelde wachtwoorden erin, gegroepeerd per afdeling of per systeem. Doe dit één keer goed en samen met de mensen die ze gebruiken, want die weten welke regels nog kloppen.

Week 1, dag 3. Zet MFA aan op e-mail. Begin bij jezelf zodat je weet hoe het voelt voor je het bij de rest aanzet.

Week 2. Ruim op. Verwijder wat niemand herkent. Zoek uit wie er nog toegang heeft die er niet meer hoort te zijn, en dat is vaker een externe partij dan een oud-medewerker.

Daarna. Verwijder het Excel-bestand. Echt verwijderen, ook de kopieën op bureaubladen. Zolang het er staat, gebruikt iemand het.

De grootste weerstand zit niet in de techniek maar in de gewoonte. Reken op twee weken mopperen en daarna wil niemand meer terug, want niemand mist het typen van wachtwoorden.

Wat het kost

Een zakelijke wachtwoordmanager kost ruwweg twee tot vijf euro per gebruiker per maand. Voor een bedrijf van tien man is dat tussen de 240 en 600 euro per jaar.

Zet daar tegenover wat één incident kost. Niet eens een gijzeling, gewoon een gekaapte mailbox waarmee namens jou facturen met een ander rekeningnummer worden verstuurd. Dat is een week gedoe, een reeks ongemakkelijke telefoontjes met klanten en soms een bedrag dat niet terugkomt.

En zet er nog iets tegenover: de opdracht die je verliest omdat je op één vraag in een formulier geen fatsoenlijk antwoord had.

Wat je vooral niet moet doen

Niet het Excel-bestand met een wachtwoord beveiligen. Dat lost niets op en het geeft een vals gevoel van veiligheid. Je hebt dan één wachtwoord dat iedereen kent en dat toegang geeft tot alle andere.

Geen wachtwoorden in de browser laten staan als dat je enige oplossing is. Voor persoonlijk gebruik is het redelijk, maar delen kan niet, intrekken kan niet en overzicht is er niet.

Niet wachten tot de vragenlijst binnenkomt. Dan sta je met een deadline van twee weken iets te regelen wat je beter rustig had gedaan.

Hoe wij het regelen

Wij zetten dit in bij bedrijven van vijf tot vijftig man, meestal in combinatie met de training. Een kluis voor het hele team met gedeelde mappen per afdeling, tweestapsverificatie, en bewaking op datalekken zodat je het hoort als een bedrijfsmailadres van jullie in een gelekt bestand opduikt.

Wij zetten het op, zetten de bestaande wachtwoorden over en nodigen je mensen uit. Jij levert een lijst met namen aan. Daarna krijg je elk kwartaal een rapport dat je kunt doorsturen naar de opdrachtgever die ernaar vroeg.

Zit je nu met dat Excel-bestand en wil je weten waar je moet beginnen? Bel gerust even. Meestal is in tien minuten duidelijk of het een middag werk is of een week.