2FA instellen: zo bescherm je je accounts (sms, app of sleutel)

Een wachtwoord alleen is tegenwoordig niet meer genoeg. Lekt het ergens, dan staat de deur naar je account gewoon open. 2FA voegt een tweede slot toe, en het instellen kost je op de meeste diensten hooguit vijf minuten. Hieronder lees je hoe je het doet op Google, je Microsoft-account en WhatsApp, en waarom de methode die je kiest er wel degelijk toe doet.

Het kernantwoord: kies een authenticator-app, geen sms

Heb je haast en wil je gewoon de veiligste keuze zonder alle nuance te lezen: installeer een gratis authenticator-app zoals Google Authenticator of Microsoft Authenticator, en koppel die aan je belangrijkste accounts. Sms kan ook, en is beter dan niets, maar geldt inmiddels als de zwakste schakel. Microsoft noemt sms zelf “een van de meest gebruikte methoden, hoewel het minder veilig is dan andere vanwege risico’s zoals sim-swapping”, en faseert de optie geleidelijk uit. Heb je een account waar echt veel op het spel staat, zoals je e-mail of een cryptowallet, dan is een fysieke hardware-sleutel de sterkste optie.

Wat is 2FA precies?

2FA staat voor two-factor authentication, in het Nederlands tweefactorauthenticatie of tweestapsverificatie. Je logt niet meer in met alleen een wachtwoord, maar met een tweede bewijs dat jij het echt bent. Het Nationaal Cyber Security Centrum (NCSC) verdeelt die tweede factor in drie categorieën: iets wat je weet (een code), iets wat je hebt (je telefoon), en iets wat je bent (een vingerafdruk of gezicht). Een dief die alleen je wachtwoord steelt, komt zonder die tweede factor nergens.

Het principe is simpel, maar niet elke uitvoering is even sterk. Een code via e-mail is volgens het NCSC “gemakkelijker te onderscheppen dan een vingerafdruk”, en dat verschil in kwetsbaarheid geldt net zo goed voor de drie methodes die je als consument het vaakst tegenkomt.

Sms, authenticator-app of hardware-sleutel: wat is het verschil?

Sms, een authenticator-app en een hardware-sleutel zijn de drie gangbare 2FA-methodes voor consumenten, en ze verschillen flink in hoe makkelijk ze te omzeilen zijn. De meeste uitlegartikelen over 2FA stoppen bij “er zijn verschillende methodes”, maar dat verschil in kwetsbaarheid bepaalt juist welke je zou moeten kiezen.

Sim-swapping is precies waarom sms de zwakste schakel is: een aanvaller hoeft jouw telefoon niet te stelen, alleen je provider te overtuigen om je nummer naar een nieuwe simkaart te verhuizen. Een authenticator-app draait volledig lokaal op je toestel en is daarmee ongevoelig voor sim-swapping. Een hardware-sleutel gaat nog een stap verder: Microsoft noemt dit type “phishing-bestendige methoden”, omdat de sleutel controleert of je echt op de juiste website inlogt voordat hij een code afgeeft. Zelfs een overtuigende nepsite krijgt zo geen bevestiging los.

2FA instellen op je Google-account

1. Ga naar myaccount.google.com en open het tabblad Beveiliging.
2. Klik onder “Zo meld je je aan bij Google” op 2-stapsverificatie.
3. Volg de stappen op het scherm en kies je methode: een passkey, Google Authenticator, een sms-code of een Google-prompt op je telefoon.
4. Bewaar de backupcodes die Google je aanbiedt op een plek los van je telefoon.

Google raadt zelf passkeys of Google Authenticator aan boven sms, om dezelfde reden als hierboven: die zijn niet gevoelig voor sim-swapping.

2FA instellen op je Microsoft-account

1. Log in op account.microsoft.com/security.
2. Klik op Beheren hoe ik me aanmeld.
3. Kies onder “Extra beveiliging” voor Inschakelen bij tweestapsverificatie.
4. Koppel de Microsoft Authenticator-app door de QR-code te scannen, of kies een e-mailadres of telefoonnummer als methode.
5. Voeg bij voorkeur een tweede en derde beveiligingsmiddel toe (in totaal minstens 3), zodat je niet vastloopt als je je telefoon kwijtraakt.

Gebruik je een werk- of schoolaccount, dan bepaalt vaak je organisatie welke methode verplicht is. Kom je er niet uit met je oude Hotmail-adres, dan lees je in oude Hotmail inloggen: zo kom je weer bij je account hoe je bij een lastig bereikbaar account komt, en in Hotmail wachtwoord vergeten: wat nu? wat je doet als ook je wachtwoord zoek is.

2FA instellen op WhatsApp

WhatsApp werkt met een eigen variant: een pincode in plaats van een authenticator-app of sleutel. De officiële stappen staan in het WhatsApp-helpcentrum.

1. Open WhatsApp en ga naar Instellingen.
2. Tik op Account, dan op Verificatie in 2 stappen.
3. Kies Inschakelen en voer een pincode van 6 cijfers in, twee keer ter bevestiging.
4. Voeg optioneel een e-mailadres toe. Doe dit wel: zonder e-mailadres kun je de pincode niet resetten als je hem vergeet.

Zonder deze pincode kan iemand die je simkaart in handen krijgt (of via sim-swapping je nummer overneemt) je WhatsApp-account niet zomaar op een nieuw toestel activeren. Het is daarmee net zo goed een verdediging tegen sim-swapping als de authenticator-app-methode hierboven, alleen dan specifiek voor WhatsApp.

Wat als je geen toegang meer hebt tot je tweede factor

Elke grote dienst geeft bij het instellen van 2FA een set backupcodes. Bewaar die niet op je telefoon zelf, want dan heb je er niets aan als juist die telefoon het probleem is. Print ze uit, zet ze in een wachtwoordmanager, of schrijf ze op papier en bewaar dat ergens veilig. Ben je die kwijt en heb je geen backupcodes, dan blijft er meestal een herstelprocedure via je e-mailadres of een ander ingelogd apparaat, maar reken op een wachttijd van enkele dagen voordat je weer binnen bent.

Veelgestelde vragen

Wat gebeurt er als je je telefoon kwijt bent met 2FA ingesteld?
Ben je je telefoon kwijt met 2FA ingesteld, dan kom je niet automatisch buitenspel te staan. De meeste diensten geven bij het instellen backupcodes, bewaar die ergens anders dan op je telefoon, bijvoorbeeld uitgeprint of in een wachtwoordmanager. Heb je die niet bewaard, dan kun je bij Google, Microsoft en WhatsApp via een herstelprocedure met je e-mailadres of een ander apparaat weer toegang krijgen. Dat duurt vaak wel een paar dagen, dus stel die backupcodes liever meteen in.

Is 2FA verplicht?
2FA is voor de meeste consumentendiensten niet verplicht, je zet het zelf aan. Sommige zakelijke omgevingen, zoals een werk- of schoolaccount bij Microsoft, verplichten het wel vanuit de organisatie. Voor je eigen Google-, Microsoft- of WhatsApp-account is het een keuze, maar wel een die je beveiliging flink verbetert: zonder 2FA is een gelekt wachtwoord vaak genoeg voor een hacker om binnen te komen.

Is 2FA via sms nog wel veilig genoeg?
2FA via sms is beter dan geen 2FA, maar de zwakste van de drie gangbare methodes. Het risico zit in sim-swapping: een crimineel neemt je telefoonnummer over en onderschept zo je sms-code. Microsoft noemt sms daarom een van de meest gebruikte methodes, maar wel een die minder veilig is dan de alternatieven, en faseert de optie geleidelijk uit. Heb je de keuze, kies dan voor een authenticator-app of een hardware-sleutel.

Kost een 2FA-authenticator-app geld?
Een 2FA-authenticator-app is in de basis gratis. Apps als Google Authenticator en Microsoft Authenticator kun je zonder kosten downloaden en gebruiken voor al je accounts. Alleen hardware-sleutels, zoals een Yubikey, kosten geld omdat je daarvoor een fysiek apparaatje aanschaft. Voor de meeste gebruikers is een gratis authenticator-app ruim voldoende.

Werkt 2FA ook zonder internetverbinding?
2FA via een authenticator-app werkt ook zonder internetverbinding. De app genereert de code lokaal op je telefoon met een tijdgebaseerd algoritme (TOTP), dus je hebt geen wifi of mobiel netwerk nodig om de code te zien. Sms-codes werken juist niet zonder netwerkbereik, want die moeten nog binnenkomen. Dat maakt een authenticator-app ook praktischer als je in het buitenland bent zonder databundel.

Waar vind ik mijn 2FA-code?
Waar je je 2FA-code vindt, hangt af van de methode die je hebt ingesteld. Bij sms staat de code gewoon in het tekstbericht dat je ontvangt. Bij een authenticator-app open je de app zelf, die toont een 6-cijferige code die elke 30 seconden ververst. Ben je die kwijt of werkt geen van beide, dan gebruik je de backupcodes die je bij het instellen hebt gekregen en apart hebt bewaard.

Kun je gehackt worden ondanks 2FA?
Ja, gehackt worden ondanks 2FA is mogelijk, al is het risico veel kleiner dan zonder. Sms-codes zijn kwetsbaar voor sim-swapping, en zelfs een authenticator-app helpt niet als je de code zelf doorgeeft op een nepinlogpagina die ‘m meteen doorstuurt naar de aanvaller. Een hardware-sleutel is hiertegen bestand, omdat die controleert of je echt op de juiste website inlogt voordat hij een code afgeeft. 2FA sluit de deur dus niet helemaal af, maar maakt hem voor een aanvaller wel een stuk zwaarder om open te krijgen.