Waarom wachtwoordbeleid belangrijk is
Zwakke of hergebruikte wachtwoorden zijn de meest voorkomende oorzaak van account-compromittatie. Een goed wachtwoordbeleid verkleint de aanvalsoppervlakte aanzienlijk. Het is geen vervanging voor 2-stapsverificatie, maar de eerste verdedigingslinie die je daarmee combineert.
Verlopen wachtwoorden: liever niet
NIST en Google raden aan om geen verplichte verloopdatum in te stellen, tenzij een account mogelijk gecompromitteerd is. Regelmatig wisselen zonder aanleiding leidt juist tot zwakkere wachtwoorden, omdat gebruikers voorspelbare variaties kiezen (zoals Lente2026! gevolgd door Zomer2026!).
Wachtwoordbeleid instellen
Beleid instellen via de Admin Console
- Ga naar admin.google.com.
- Navigeer naar Beveiliging > Verificatie > Wachtwoordbeheer.
- Selecteer links de organisatie-eenheid waarvoor het beleid geldt (of de hoogste organisatie-eenheid voor iedereen).
- Pas de gewenste instellingen aan (zie hieronder).
- Klik op Opslaan. Wijk je af van een bovenliggende OU, kies dan eerst Overschrijven.
Beschikbare instellingen
Google Workspace toont de instellingen in een paar secties. De belangrijkste:
| Instelling | Wat het doet | Aanbeveling |
|---|---|---|
| Sterk wachtwoord afdwingen | Blokkeert zwakke wachtwoorden en wachtwoorden van Google's lijst met bekende slechte wachtwoorden. | Aanzetten |
| Minimale lengte | Het minimum aantal tekens. Workspace staat 8 tot 100 tekens toe; standaard staat dit op 8. | Minimaal 12 |
| Maximale lengte | Een optioneel maximum. | Niet instellen |
| Beleid afdwingen bij volgende aanmelding | Gebruikers met een wachtwoord dat niet voldoet, moeten meteen wijzigen. | Aanzetten bij aanscherping |
| Hergebruik toestaan | Staat het opnieuw gebruiken van een oud wachtwoord toe. | Uitvinken (hergebruik blokkeren) |
| Verloopperiode | Keuzemenu met vaste periodes (bijvoorbeeld 90 of 180 dagen) waarna het wachtwoord vervalt. | Op "Nooit" laten staan |
Geïmporteerde wachtwoorden ontkomen aan de regels
Google kan de lengte- en sterkte-eisen niet afdwingen op wachtwoorden die via een hash worden gezet, bijvoorbeeld via de bulk-uploadtool, de Directory API of synchronisatietools zoals Google Cloud Directory Sync (GCDS). Die accounts voldoen pas aan het beleid zodra de gebruiker het wachtwoord een volgende keer zelf wijzigt.
Wachtwoord resetten als beheerder
Is een gebruiker buitengesloten, reset het wachtwoord dan handmatig.
Wachtwoord van een gebruiker resetten
- Ga naar Directory > Gebruikers en selecteer de gebruiker.
- Klik op Wachtwoord opnieuw instellen.
- Laat Workspace een wachtwoord genereren of typ zelf een tijdelijk wachtwoord.
- Schakel Gebruiker moet wachtwoord wijzigen bij volgende aanmelding in.
- Klik op Opnieuw instellen en deel het tijdelijke wachtwoord via een veilig kanaal.
Wachtwoordsterkte monitoren
Via Rapportage > Gebruikersrapporten > Accounts zie je per gebruiker of het wachtwoord als zwak wordt aangemerkt en wanneer het voor het laatst is gewijzigd. Filter op wachtwoordsterkte om accounts met zwakke wachtwoorden op te sporen en gericht te resetten. Voor een grafisch overzicht over de hele organisatie gebruik je Rapporten > App-rapporten > Accounts.
Wachtwoordbeleid per organisatie-eenheid
Je kunt per organisatie-eenheid (OU) een ander beleid hanteren. Zo geef je de IT-afdeling of accounts met toegang tot gevoelige data een strenger beleid dan externe partners of contractanten. Selecteer in stap 3 hierboven de gewenste OU voordat je de instellingen aanpast, en kies Overschrijven om af te wijken van de overerving.
Combineren met 2-stapsverificatie
Een sterk wachtwoordbeleid houdt op zichzelf geen vastberaden aanvaller tegen. Combineer het altijd met 2-stapsverificatie (2SV). Zelfs als een wachtwoord lekt, voorkomt 2SV dat de aanvaller binnenkomt. Zie het artikel over 2SV afdwingen voor de stappen.
Sterke basis in drie stappen
Zet Sterk wachtwoord afdwingen aan, zet de minimale lengte op 12 tekens of meer, en dwing 2SV af voor de hele organisatie. Daarmee dek je het overgrote deel van de wachtwoordrisico's af zonder gebruikers onnodig te frustreren.
Kunnen gebruikers hun eigen wachtwoord wijzigen?
Ja, dat doen ze via myaccount.google.com, tenzij je in het beleid hebt vastgelegd dat alleen beheerders een reset mogen uitvoeren.
Wat als een gebruiker al een zwak wachtwoord uit het verleden heeft?
Workspace dwingt een nieuw beleid pas af zodra de gebruiker het wachtwoord wijzigt. Schakel "Beleid afdwingen bij volgende aanmelding" in om dat te forceren, of spoor zwakke wachtwoorden op via de rapporten en reset ze gericht.
Hoeveel oude wachtwoorden onthoudt Workspace?
Workspace werkt niet met een instelbaar aantal eerdere wachtwoorden zoals sommige andere systemen. Je hebt één keuze: hergebruik toestaan of blokkeren via het selectievakje "Hergebruik toestaan".
Geldt het wachtwoordbeleid ook voor serviceaccounts?
Nee. Serviceaccounts gebruiken sleutelparen of OAuth en geen wachtwoorden, dus het gebruikerswachtwoordbeleid raakt ze niet.
Kan ik een eigen lijst met verboden wachtwoorden uploaden?
Niet rechtstreeks via de Admin Console. Google controleert automatisch tegen bekende zwakke wachtwoorden. Voor een organisatiespecifieke bloklijst heb je de Admin SDK of een externe oplossing nodig.
Werkt het beleid op wachtwoorden die via GCDS of de API zijn gezet?
De lengte- en sterkte-eisen gelden niet voor wachtwoorden die via een hash worden geïmporteerd. Die voldoen pas aan het beleid wanneer de gebruiker het wachtwoord zelf opnieuw instelt.