Als we bij een nieuwe klant de digitale omgeving in kaart brengen, stellen we altijd dezelfde vraag: wie kan er eigenlijk overal bij? Negen van de tien keer volgt een lange stilte. De ondernemer weet het antwoord niet, en dat is precies het probleem. Niet de firewall, niet het wachtwoordbeleid, maar simpelweg het overzicht ontbreekt.
Een gemiddeld MKB-bedrijf heeft inloggegevens verspreid over twaalf tot vijftien plekken: de domeinregistrar, de hostingomgeving, het CMS, de zakelijke e-mail, Google Business Profile, een stuk of drie sociale media-accounts, Google Analytics, een betaalprovider, een nieuwsbriefsysteem en vaak nog een koppeling met de boekhouding. Elk van die plekken is een deur naar buiten. En van die deuren weet meestal niemand meer wie er allemaal een sleutel van heeft.
Het voorbeeld dat we vaker zien dan u denkt
Een paar jaar geleden kregen we een klant in paniek aan de telefoon: zijn Google Business Profile was gewijzigd, het telefoonnummer verwees naar een onbekende lijn en de openingstijden klopten niet meer. Geen hack, geen malware, niets technisch geks. Een oud-marketingbureau had jaren geleden toegang gekregen, was uit beeld verdwenen na een conflict, maar de rechten waren nooit ingetrokken. Iemand bij dat bureau had kennelijk nog steeds interesse in het account.
Dit soort incidenten komt vaker voor via vergeten toegang dan via geavanceerde aanvallen. Een freelancer die twee jaar geleden de website bouwde en nog steeds adminrechten heeft. Een oud-werknemer die privé nog ingelogd staat op het bedrijfs-Twitter-account. Een extern bureau dat ooit SEO deed en nog toegang heeft tot Search Console.
Waarom dit erger is dan een gewone hack
Bij een externe aanval ziet u meestal snel dat er iets mis is: een vreemde pop-up, een waarschuwing van uw browser, een e-mail van uw hostingpartij. Bij vergeten toegang gebeurt er vaak maandenlang helemaal niets, totdat iemand er wél iets mee doet. En omdat het via een ‘geldig’ account gebeurt, triggert het geen enkel beveiligingsalarm. Geen enkele firewall markeert een login met correcte gegevens als verdacht.
Een rekenvoorbeeld
Stel: uw Google Business Profile wordt drie weken overgenomen voordat u het merkt. In die periode belt gemiddeld 20% minder nieuwe klanten, omdat het telefoonnummer niet klopt. Bij een gemiddelde orderwaarde van 150 euro en twintig nieuwe aanvragen per week, praat u al snel over een gemiste omzet van 1.800 euro – en dat is nog zonder de reputatieschade van klanten die een verkeerd nummer belden en niemand aan de lijn kregen.
Hoe u dit in anderhalf uur oplost
Dit is geen project van weken. Het is een middag werk, mits u gestructureerd te werk gaat.
Stap 1: maak de inventarisatie
Zet alle platforms op een rij waar uw bedrijf een account heeft: domein, hosting, CMS, e-mail, sociale media, Google-diensten, betaalprovider, nieuwsbrieftool, boekhoudkoppelingen. Gebruik hiervoor gewoon een spreadsheet – dit hoeft geen ingewikkeld systeem te zijn.
Stap 2: controleer wie er toegang heeft per platform
De meeste platforms hebben een gebruikersoverzicht onder ‘instellingen’ of ‘teamleden’. Kijk specifiek naar:
- Accounts van mensen die niet meer bij u werken
- Externe partijen (bureaus, freelancers) die het project al lang hebben afgerond
- Gedeelde algemene accounts zoals info@uwbedrijf.nl met een wachtwoord dat al jaren niet is gewijzigd
Stap 3: verwijder, niet archiveer
Zet oude accounts niet ‘op inactief’, maar verwijder de toegang daadwerkelijk. Een geblokkeerd account kan soms alsnog gereactiveerd worden; een verwijderd account niet.
Stap 4: zet overal tweestapsverificatie aan
Dit is de simpelste maatregel met het grootste effect. Zelfs als een wachtwoord uitlekt via een datalek bij een andere dienst – en dat gebeurt vaker dan u denkt, want mensen hergebruiken wachtwoorden – blijft de deur dicht zonder die tweede stap.
Stap 5: centraliseer met een wachtwoordmanager
Tools zoals Bitwarden of 1Password maken het mogelijk om wachtwoorden te delen met teamleden zonder dat iedereen het daadwerkelijke wachtwoord ziet. Zodra iemand vertrekt, verwijdert u simpelweg diens toegang tot de kluis, en alle wachtwoorden blijven intact zonder dat u ze hoeft te wijzigen.
Zet dit op herhaling
Eenmalig opruimen lost het probleem voor nu op, maar over een jaar is er weer een freelancer bijgekomen en een medewerker vertrokken. Plan daarom elk kwartaal een vast moment van dertig minuten om de toegangslijst te controleren. Wij doen dit voor klanten standaard mee in het beheer, juist omdat het zo makkelijk wordt vergeten tussen de dagelijkse bedrijfsvoering door.
Een slot op de voordeur heeft weinig zin als er nog drie sleutels rondzwerven bij mensen die u niet meer kent.
De technische kant van beveiliging – updates, firewalls, SSL-certificaten – krijgt terecht veel aandacht. Maar de meeste schade die wij in de praktijk zien, ontstaat niet doordat iemand een slot forceert. Het ontstaat doordat er ergens nog een sleutel rondslingert die niemand is komen ophalen.