Wachtwoorden delen in je team: wat een wachtwoordmanager kost

Bij veel kleine bedrijven staan de inloggegevens van de belangrijkste accounts in een Excel-bestand, een notitie-app of een vastgezet bericht in een WhatsApp-groep. Het account van de hostingpartij, de social-mediakanalen, het boekhoudpakket, de domeinregistratie: iedereen die ermee moet werken, krijgt op een gegeven moment een kopie.

Dat werkt, tot het misgaat. Een Excel-bestand met wachtwoorden is net zo kwetsbaar als het apparaat waarop het staat. Komt een laptop in verkeerde handen, wordt een mailbox gehackt, of wordt het bestand per ongeluk doorgestuurd naar de verkeerde persoon, dan ligt in één klap alles open: niet één account, maar alle accounts die in dat bestand staan.

WhatsApp is niet gebouwd om langdurig gevoelige informatie in te bewaren. Berichten blijven staan in chatgeschiedenissen, worden automatisch gebackupt naar de cloud en zijn eenvoudig door te sturen. Een wachtwoord dat je drie jaar geleden deelde in een groepsapp, staat er vaak nog steeds — ook als dat account intussen van eigenaar is gewisseld binnen het team of de medewerker die het toen kreeg al lang weg is.

Het Nationaal Cyber Security Centrum wijst erop dat hergebruik van wachtwoorden een van de grootste risico's is: wordt één wachtwoord gestolen, dan kan een aanvaller daarmee bij alle accounts die hetzelfde wachtwoord gebruiken. Een lijstje met gedeelde, vaak ook nog simpele wachtwoorden maakt dat risico alleen maar groter, juist omdat het de standaardmanier wordt waarop collega's onderling toegang regelen.

Een wachtwoordmanager doet in de basis twee dingen: hij genereert lange, unieke wachtwoorden per account, en hij bewaart ze versleuteld achter één hoofdwachtwoord. Voor een team komt daar een derde functie bij: een gedeelde kluis.

In een gedeelde kluis zet je de inloggegevens die een groep mensen samen nodig heeft: het CMS van de website, het bedrijfsaccount op social media, de toegang tot een leveranciersportaal. Iedereen met toegang tot die kluis kan inloggen zonder dat hij het eigenlijke wachtwoord ooit ziet of moet onthouden — de manager vult het automatisch in.

Het NCSC beschrijft dit als een standaardfunctie van de meeste wachtwoordmanagers:

De meeste wachtwoordmanagers bieden een gedeelde kluis, waarin iedereen met toegang de opgeslagen wachtwoorden kan zien. Dit kan handig zijn om toegang tot een systeem te delen met collega's of een heel team.

Hoe de rechten precies geregeld zijn, verschilt per leverancier: bij de een kun je per kluis instellen wie alleen mag invullen en wie ook mag wijzigen, bij de ander is het grover geregeld.

Het grootste praktische voordeel merk je pas als iemand vertrekt: je trekt met één handeling de toegang tot alle gedeelde kluizen in, zonder dat je ieder wachtwoord apart moet opzoeken en wijzigen. Dat is niet hetzelfde als de onderliggende wachtwoorden daadwerkelijk vervangen — dat blijft nodig bij gevoelige accounts — maar het voorkomt dat een oud-medewerker nog gewoon kan inloggen met wat hij een jaar geleden in de kluis zag.

De prijzen van zakelijke wachtwoordmanagers lopen uiteen, maar zijn voor een klein team geen grote kostenpost. Twee veelgebruikte aanbieders, geraadpleegd in november 2026:

• Bitwarden Teams kost 4,00 Amerikaanse dollar per gebruiker per maand bij jaarlijkse facturering (excl. belasting), met gedeelde kluizen, logbestanden en synchronisatie met een gebruikersdirectory. De stap hoger, Enterprise, kost 6,00 Amerikaanse dollar per gebruiker per maand en voegt onder meer wachtwoordloze SSO en eigen rollen toe.
• 1Password Teams Starter Pack kost €21,95 per maand bij jaarlijkse facturering, voor maximaal 10 leden — dat is dus geen prijs per gebruiker maar een vast bedrag. Een extra zetel boven die 10 kost €4,49 per maand. Wil je meer functies, zoals koppeling met een identity provider of eigen beleidsregels, dan land je bij Business, voor 8,99 Amerikaanse dollar per gebruiker per maand.

Voor een team van vijf tot tien mensen betaal je dus ergens tussen de €20 en €90 per maand, afhankelijk van het pakket en de leverancier. Dat is te overzien, maar reken ook de tijd mee die de overstap kost: wachtwoorden overzetten, collega's instrueren, en de kluizen indelen. Bij een team van twee of drie mensen met een paar gedeelde accounts is die tijd vaak niet in verhouding tot wat je ermee wint — dan kom je met goede afspraken en unieke wachtwoorden per account ook een stuk verder.

Een wachtwoordmanager invoeren is meer dan een abonnement afsluiten. Een paar dingen die in de praktijk vaak onderschat worden.

Overzetten is geen druk-op-de-knop-actie. Wachtwoorden die in een Excel-bestand of browser staan, kun je meestal importeren, maar niet alles komt automatisch goed terecht. Reken op een paar uur om de boel uit te zoeken en in de juiste gedeelde kluizen te zetten.

Niet iedereen moet alles kunnen zien. Het is verleidelijk om één grote gedeelde kluis te maken voor het hele bedrijf. Handiger is een indeling per team of functie: de financiële administratie ziet andere accounts dan de marketingmedewerker. De meeste zakelijke pakketten staan dat toe via afzonderlijke kluizen of collections met eigen rechten.

Het hoofdwachtwoord is het nieuwe single point of failure. Het NCSC adviseert een hoofdwachtwoord van minimaal 12 tekens, of liever een lange wachtwoordzin, plus tweefactorauthenticatie op de manager zelf. Schrijf het hoofdwachtwoord ergens veilig op — niet in de kluis die het zelf beschermt — want veel leveranciers kunnen je er niet in terughelpen als je het vergeet.

De oude kopieën verdwijnen niet automatisch. Zodra een wachtwoord in de manager staat, is het verleidelijk te denken dat het probleem is opgelost. Maar het Excel-bestand op de gedeelde schijf, de notitie in WhatsApp en het briefje naast het bureau blijven gewoon werken tot je de onderliggende wachtwoorden daadwerkelijk wijzigt. Pas dan is de oude, kwetsbare versie nutteloos.