· Wifi-beveiliging · 4 min leestijd
Even eerlijk: loop eens door je kantoor en check de koelkast, het prikbord naast de printer, of die ene flipchart in de vergaderzaal. De kans dat je daar je wifi-wachtwoord ziet hangen, is groter dan je denkt.
Waarom dat plakbriefje zo'n gevaarlijk ding is
Een gedeeld wifi-wachtwoord op een briefje lijkt praktisch. Iedereen kan er bij, niemand hoeft te bellen naar IT, en gasten zijn meteen geholpen. Maar elk persoon die ooit in dat lokaal staat — een leverancier, de poetsdienst, een sollicitant, een stagiair, de techneut van de koffiemachine — heeft nu toegang tot je netwerk. Niet alleen vandaag. Voor altijd. Want dat wachtwoord verandert nooit.
"Maar ons wifi is toch beveiligd?"
Een WPA2-wachtwoord beschermt tegen wildvreemden op de parking. Het beschermt niet tegen iemand die het wachtwoord kent. En zodra iemand op je interne netwerk zit, kan die — afhankelijk van je setup — file shares zien, printers misbruiken, of erger: een keylogger op een gedeelde pc planten en wachten.
Het scenario waar je 's nachts wakker van zou moeten liggen
- De koerier neemt een foto van het briefje "voor moest hij nog eens komen".
- De stagiair die vorige zomer een maand bleef, heeft het wachtwoord nog op z'n laptop.
- Een ex-medewerker die ruzie kreeg, heeft het wachtwoord nog op z'n privé-gsm staan.
- Iemand met slechte bedoelingen parkeert in de straat en logt in alsof hij erbij hoort.
En als er dan iets misgaat — een datalek, een ransomware-aanval — sta jij bij de Gegevensbeschermingsautoriteit uit te leggen dat je wifi-wachtwoord op de koelkast hing. Succes daarmee.
Wat zegt de wet hierover?
GDPR vraagt al jaren om "passende technische maatregelen" voor toegang tot persoonsgegevens. Met de komst van NIS2 in 2024 is dat veel concreter geworden: toegangscontrole, logging en encryptie zijn nu wettelijk verplicht voor veel meer bedrijven dan vroeger. Niet alleen voor banken en ziekenhuizen — ook voor MSP's, leveranciers van die bedrijven, en steeds meer KMO's.
Een gedeeld wifi-wachtwoord voldoet aan geen enkele van die eisen. Geen logging (je weet niet wie online was), geen unieke toegangscontrole, geen mogelijkheid om iemand individueel uit te schakelen.
Wat je in plaats daarvan doet
De fix heet 802.1X. Elke gebruiker logt in met z'n eigen account of een certificaat op z'n toestel. Geen gedeeld wachtwoord meer — dus ook geen plakbriefje meer. Iemand uit dienst? Eén account uitschakelen en die persoon staat overal buiten. Audit? Je hebt een log van wie wanneer online was.
Vroeger was 802.1X iets voor universiteiten en multinationals, omdat je een eigen RADIUS-server in je serverkast moest stoppen. Vandaag draaien wij dat in de cloud, betaal je een vaste prijs per gebruiker en hangt er niks meer in jouw kelder.
Concreet vandaag nog
- Loop door je kantoor en haal alle wifi-wachtwoorden van de muur.
- Maak een lijst van wie het huidige wachtwoord echt nog mag kennen.
- Bel ons (of een andere serieuze partner) en zet 802.1X op. Dat is meestal sneller geregeld dan een nieuwe printer installeren.
Het briefje op de koelkast was misschien charmant in 2010. In 2026 is het gewoon een datalek dat nog niet gebeurd is.