Tweefactorauthenticatie (2FA) uitgelegd

Tweefactorauthenticatie is het meest effectieve dat je kunt doen om je accounts te beschermen — en instellen kost een paar minuten. Deze gids legt uit wat het is, waarom een wachtwoord alleen niet genoeg is en hoe je kiest tussen de verschillende methoden.

Wat 2FA is

Tweefactorauthenticatie (2FA), soms tweestapsverificatie genoemd, betekent je identiteit bewijzen met twee verschillende soorten bewijs in plaats van één. De klassieke drie categorieën zijn:

• Iets dat je weet — een wachtwoord of pincode.
• Iets dat je hebt — je telefoon of een hardwaresleutel.
• Iets dat je bent — een vingerafdruk of gezichtsscan.

Een wachtwoord is één factor. 2FA voegt een tweede toe, zodat een gestolen wachtwoord op zichzelf niet genoeg is om binnen te komen.

Waarom een wachtwoord niet genoeg is

Wachtwoorden lekken — via datalekken, hergebruik over sites en phishing. Zoals behandeld in onze gids voor sterke wachtwoorden, proberen aanvallers na een inbraak bij één site diezelfde gegevens overal elders. 2FA verbreekt die keten: zelfs met je exacte wachtwoord kan een aanvaller nog steeds niet inloggen zonder je tweede factor.

De methoden, van slechtst tot best

Sms-codes

Een code die naar je telefoon wordt ge-sms't. Veel beter dan niets, maar de zwakste optie — codes kunnen worden onderschept, en „SIM-swap”-aanvallen laten criminelen je telefoonnummer kapen. Gebruik het alleen als het de enige keuze is.

Authenticator-apps

Een app op je telefoon genereert elke 30 seconden een nieuwe 6-cijferige code (dit heet TOTP). De codes worden op je apparaat gemaakt en nooit over het netwerk verzonden, dus ze kunnen niet worden onderschept zoals sms. Instellen betekent meestal een QR-code scannen die het gedeelde geheim draagt. Dit is het beste midden voor de meeste mensen — gratis, makkelijk en veel sterker dan sms.

Hardware-beveiligingssleutels

Een klein fysiek apparaat (zoals een YubiKey) dat je aantikt of insteekt. Gebaseerd op moderne standaarden (FIDO2/WebAuthn) zijn deze de gouden standaard — vrijwel immuun voor phishing, omdat de sleutel de echte website verifieert voordat hij reageert. Ideaal voor je belangrijkste accounts.

Sla de back-upcodes niet over

Wanneer je 2FA inschakelt, geeft de dienst je een set eenmalige back-upcodes. Bewaar ze op een veilige plek (een wachtwoordmanager, of afgedrukt en opgeborgen). Ze zijn je weg terug als je je telefoon verliest — zonder hen kan het verliezen van je tweede factor het verliezen van het account betekenen.

Waar je het eerst inschakelt

Begin met de accounts die de andere kunnen ontgrendelen: eerst je e-mail (die kan de meeste van je andere wachtwoorden resetten), dan bankieren en elk account dat aan je identiteit of geld is gekoppeld. Gecombineerd met een uniek sterk wachtwoord per site zet 2FA je voor op de overweldigende meerderheid van accounts online. Om je data op andere manieren te beschermen, zie onze gids over fotometadata en privacy.