Credentials

Credentials, oftewel inloggegevens of authenticatiegegevens, zijn de digitale bewijsstukken waarmee je je identiteit verifieert bij het inloggen op systemen, applicaties of netwerken. De meest bekende vorm is de combinatie van een gebruikersnaam en wachtwoord, maar credentials omvatten ook digitale certificaten, API-sleutels, SSH-keys, OAuth-tokens, biometrische gegevens en hardware tokens. In cybersecurity vormen credentials een van de meest waardevolle doelwitten voor aanvallers. Het Verizon Data Breach Investigations Report 2025 toont aan dat gestolen credentials verantwoordelijk zijn voor 22 procent van alle datalekken over meer dan 12.000 bevestigde incidenten. Het adequaat beheren en beschermen van credentials is daarom een fundamenteel onderdeel van je beveiligingsmaatregelen. Elke credential die je uitgeeft, is potentieel een toegangspunt voor een aanvaller.

Waarom zijn credentials belangrijk?

Credentials zijn de sleutels tot je digitale omgeving. Wie de juiste credentials heeft, krijgt toegang tot systemen, data en functionaliteiten alsof het een legitieme gebruiker betreft. Dit maakt credentials tot een primair doelwit voor credential harvesting, phishing, brute force-aanvallen en social engineering. In de eerste helft van 2025 werden wereldwijd 1,8 miljard credentials gestolen, en in februari 2026 verscheen een compilatie van 16 miljard gelekte credentials op het dark web.

Zwak credentialbeheer leidt tot ketenproblemen die veel verder reiken dan een enkel gecompromitteerd account. Als een medewerker hetzelfde wachtwoord gebruikt voor een zakelijk account en een persoonlijke dienst die wordt gehackt, zijn de bedrijfsgegevens indirect gecompromitteerd. Dit risico, bekend als credential stuffing, treft organisaties van elk formaat. Volgens het IBM Cost of a Data Breach Report kost een datalek veroorzaakt door gestolen credentials gemiddeld 4,6 miljoen euro aan directe en indirecte schade.

Voor organisaties die vallen onder NIS2 of de AVG is het beschermen van credentials een wettelijke verplichting. NIS2 vereist passende maatregelen voor toegangscontrole en authenticatie als onderdeel van de minimale beveiligingseisen. De Autoriteit Persoonsgegevens beschouwt het niet adequaat beveiligen van inloggegevens als een schending van de zorgplicht onder de AVG. Goed credentialbeheer is daarmee zowel een technische als een juridische noodzaak, en het nalaten ervan kan leiden tot boetes tot 10 miljoen euro of 2 procent van de jaaromzet.

Hoe pas je credentials toe?

Effectief credentialbeheer begint met het classificeren van je credentials op basis van het risico dat ze vertegenwoordigen. Beheerdersaccounts en service accounts met brede toegang vormen een hoger risico dan standaard gebruikersaccounts en vereisen strengere beveiligingsmaatregelen. Pas het principe van least privilege toe: geef gebruikers en systemen alleen de minimale toegangsrechten die ze nodig hebben voor hun functie. Evalueer deze rechten periodiek en trek overbodige toegang in.

Implementeer een wachtwoordbeleid dat sterke, unieke wachtwoorden afdwingt. Moderne richtlijnen van het NCSC en NIST bevelen wachtwoordzinnen aan van minimaal 12 karakters, in plaats van complexe maar korte wachtwoorden met verplichte speciale tekens die moeilijk te onthouden zijn en tot onveilig gedrag leiden. Combineer dit met meerfactor authenticatie om de impact van een gecompromitteerd wachtwoord te beperken tot een minimaal risico.

Gebruik een enterprise wachtwoordmanager om credentials centraal en versleuteld op te slaan. Dit voorkomt dat medewerkers wachtwoorden noteren op briefjes, opslaan in onbeveiligde spreadsheets of hergebruiken over meerdere diensten. Voor technische credentials als API-sleutels, SSH-keys en databasewachtwoorden gebruik je een secrets management-tool als HashiCorp Vault, AWS Secrets Manager of Azure Key Vault. Deze tools bieden automatische rotatie en granulaire toegangscontrole tot gevoelige credentials.

Credentials in de praktijk

In de praktijk onderscheid je verschillende typen credentials, elk met eigen beveiligingseisen en beheerstrategieen. Gebruikerscredentials zijn de dagelijkse inloggegevens van medewerkers voor e-mail, applicaties en clouddiensten. Service accounts zijn technische accounts die applicaties gebruiken om met elkaar te communiceren, vaak met verhoogde rechten. Privileged credentials geven beheerderstoegang tot servers, databases, netwerkapparatuur en cloudbeheerportalen.

Een veelgemaakte en riskante fout is het hardcoden van credentials in broncode of configuratiebestanden. Ontwikkelaars die API-sleutels in hun code plaatsen en deze naar een publieke repository pushen, creeren een directe beveiligingskwetsbaarheid die binnen minuten kan worden geexploiteerd. Geautomatiseerde scanners doorzoeken platforms als GitHub continu op gelekte credentials. Gebruik environment variables, .env-bestanden die in .gitignore staan, of secrets management-tools om dit risico volledig te elimineren.

Privileged Access Management (PAM) is een specifieke discipline binnen credentialbeheer die zich richt op het beveiligen van beheerdersaccounts en service accounts. PAM-oplossingen bieden functies als sessie-opname voor auditdoeleinden, just-in-time toegang die rechten tijdelijk verleent en automatisch intrekt, en automatische wachtwoordrotatie voor kritieke systemen. Voor organisaties met een complexe IT-omgeving is PAM een onmisbaar onderdeel van het Identity & Access Management-beleid. Het monitoren van credential-gebruik via een SIEM-systeem helpt bij het real-time detecteren van misbruik en het aantonen van naleving bij audits en compliance-controles.

De opkomst van machine-to-machine credentials vormt een groeiende uitdaging voor organisaties. Waar traditioneel credentialbeheer zich richtte op menselijke gebruikers, groeit het aantal service accounts, API-keys en machine identities exponentieel met de adoptie van microservices, containers en serverless architecturen. In een typische enterprise-omgeving zijn er inmiddels meer machine credentials dan menselijke credentials. Elk van deze credentials vertegenwoordigt een potentieel aanvalsoppervlak dat adequaat beheer vereist.

Zero trust-architectuur verandert fundamenteel hoe organisaties met credentials omgaan. In een zero trust-model wordt elke toegangspoging geverifieerd, ongeacht of deze van binnen of buiten het netwerk komt. Dit betekent dat credentials niet langer volstaan als eenmalig bewijs van identiteit maar continu worden gevalideerd. Continuous authentication combineert credentials met gedragsanalyse en contextinformatie om te bepalen of een sessie legitiem is. Als het gedrag van een gebruiker afwijkt van het normale patroon, wordt aanvullende verificatie gevraagd, zelfs als de oorspronkelijke credentials correct waren. Dit adaptive authenticatiemodel wordt steeds gangbaarder bij organisaties die hun beveiligingsarchitectuur moderniseren en de afhankelijkheid van statische credentials willen verminderen.

Veelgestelde vragen over credentials

Wat is het verschil tussen credentials en authenticatie?

Credentials zijn de gegevens die je overlegt, zoals een wachtwoord of certificaat. Authenticatie is het proces waarbij die credentials worden geverifieerd tegen een identiteitsopslag. Credentials zijn het bewijs, authenticatie is de controle.

Hoe vaak moet je credentials wijzigen?

Het NCSC en NIST adviseren om wachtwoorden niet meer periodiek te wijzigen, tenzij er aanwijzingen zijn van compromittering. Frequente verplichte wijzigingen leiden tot zwakkere wachtwoorden. Gebruik sterke unieke wachtwoorden met MFA.

Wat zijn de risico's van gedeelde credentials?

Gedeelde credentials maken het onmogelijk om individuele acties te traceren bij een audit of incident. Gebruik persoonlijke accounts met role-based access control in plaats van gedeelde inloggegevens.

Hoe bescherm je credentials in de cloud?

Gebruik de secrets management-dienst van je cloudprovider, zoals AWS Secrets Manager of Azure Key Vault. Implementeer automatische rotatie en beperk de levensduur van API-sleutels en tokens tot het minimum.

Wat doe je bij gelekte credentials?

Wijzig direct het gecompromitteerde wachtwoord en alle accounts waar het hergebruikt is. Activeer MFA als dat nog niet actief was. Controleer logs op ongeautoriseerde toegang en beoordeel of er meldplicht geldt onder de AVG.

Meer weten over credentialbeheer? Bekijk Identity & Access Management op IBgidsNL.