Je wachtwoord is de sleutel tot je digitale leven: e-mail, bankzaken, social media, werk. Maar hoe veilig is die sleutel eigenlijk? In dit artikel leer je hoe hackers wachtwoorden kraken, welke technieken ze gebruiken, en - het allerbelangrijkste - hoe je jezelf effectief beschermt. Want als je begrijpt hoe de aanval werkt, kun je je verdediging stukken beter opzetten.
Hoe worden wachtwoorden opgeslagen?
Voordat we het over kraken hebben, moet je eerst begrijpen hoe wachtwoorden worden opgeslagen. Een goed gebouwd systeem slaat je wachtwoord nooit als leesbare tekst op. In plaats daarvan wordt je wachtwoord omgezet in een onleesbare reeks tekens via een proces dat hashing heet.
Stel je wachtwoord is Welkom123. Het systeem berekent een hash en slaat alleen die hash op:
Als je inlogt, berekent het systeem opnieuw de hash van wat je intypt en vergelijkt die met de opgeslagen hash. Komen ze overeen? Dan klopt je wachtwoord. Het mooie is dat het systeem je wachtwoord zelf nooit hoeft te kennen.
Veelgebruikte hash-algoritmen
Niet alle hash-algoritmen zijn even sterk. Hier zijn de meest voorkomende:
- MD5 - Verouderd en onveilig. Wordt helaas nog steeds gebruikt door sommige systemen. Kan in seconden gekraakt worden.
- SHA-256 - Veel sterker dan MD5, maar nog steeds relatief snel te berekenen. Niet ideaal voor wachtwoordopslag.
- bcrypt - Speciaal ontworpen voor wachtwoorden. Opzettelijk traag, wat brute force aanvallen extreem moeilijk maakt.
- Argon2 - De huidige gouden standaard. Winnaar van de Password Hashing Competition (2015). Vereist veel geheugen, waardoor zelfs GPU-aanvallen traag worden.
Wat is salting?
Een salt is een willekeurige reeks tekens die aan je wachtwoord wordt toegevoegd voor het hashen. Waarom? Zonder salt hebben twee gebruikers met hetzelfde wachtwoord ook dezelfde hash. Een aanvaller die de database steelt, ziet dan direct welke accounts hetzelfde wachtwoord gebruiken. Met een unieke salt per gebruiker krijgt hetzelfde wachtwoord een compleet andere hash.
Wat is password cracking?
Password cracking is het proces waarbij een aanvaller probeert om vanuit een hash het originele wachtwoord te achterhalen. Omdat hashing een eenrichtingsfunctie is, kan de aanvaller niet simpelweg "terugrekenen." In plaats daarvan probeert de aanvaller miljoenen mogelijke wachtwoorden te hashen en vergelijkt elke hash met de gestolen hash. Komt er een match? Dan is het wachtwoord gekraakt.
Dit klinkt als een langzaam proces, maar moderne GPU's (videokaarten) kunnen miljarden hashes per seconde berekenen. Een simpel wachtwoord als "hallo123" is binnen milliseconden gekraakt.
De vijf aanvalsmethoden
1. Brute Force Attack
De meest directe methode: probeer elke mogelijke combinatie van tekens. Beginnend bij "a", dan "b", dan "c"... tot "aa", "ab", enzovoort. Dit klinkt primitief, maar met moderne hardware is het verrassend effectief voor korte wachtwoorden.
Het probleem met brute force: de tijd groeit exponentieel met elke extra teken. 6 tekens? Seconden. 8 tekens? Uren. 12 tekens? Eeuwen. Lengte is je beste verdediging.
2. Dictionary Attack (Woordenboekaanval)
In plaats van elke combinatie te proberen, gebruikt de aanvaller een lijst met veelvoorkomende wachtwoorden. Er bestaan databases met miljoenen gelekte wachtwoorden uit eerdere data breaches. De beroemdste is de RockYou-lijst met 14 miljoen wachtwoorden.
Varianten hierop combineren woordenboekwoorden met veelgebruikte patronen: Welkom1!,
Zomer2026, Voetbal123. Deze "rule-based" aanvallen zijn verrassend
effectief, omdat mensen voorspelbare patronen volgen: een hoofdletter aan het begin, cijfers aan het eind,
en een uitroepteken als "speciaal teken."
123456, password, qwerty,
abc123 en iloveyou. Als jouw wachtwoord hierop lijkt, verander het vandaag nog.
3. Rainbow Tables
Rainbow tables zijn enorme tabellen met vooraf berekende hashes. In plaats van elke hash opnieuw te berekenen, zoekt de aanvaller de hash simpelweg op in de tabel. Dit werkt razendsnel, maar vereist gigabytes aan opslagruimte.
Het goede nieuws: salting maakt rainbow tables nutteloos. Wanneer elke hash een unieke salt heeft, zou de aanvaller voor elke salt een aparte rainbow table moeten berekenen - dat is onpraktisch.
4. Credential Stuffing
Bij credential stuffing gebruikt een aanvaller gestolen inloggegevens van de ene website om in te loggen op andere websites. Gebruik je hetzelfde wachtwoord voor je e-mail, Netflix en je bank? Dan is een lek bij Netflix genoeg om al je accounts in gevaar te brengen.
hydra is een krachtige offensive tool voor
het testen van inlogbeveiliging. Gebruik deze tool uitsluitend op systemen waar je schriftelijke
toestemming voor hebt. Ongeautoriseerd gebruik is strafbaar onder art. 138ab van het Wetboek van Strafrecht.
5. Social Engineering en Phishing
Soms hoeft een aanvaller helemaal niks te kraken. Via social engineering wordt je simpelweg gevraagd je wachtwoord in te voeren op een nep-website die eruitziet als de echte. Of je krijgt een e-mail die beweert van je bank te zijn. Geen enkel sterk wachtwoord beschermt je als je het zelf weggeeft.
Hashcat: de koning van password cracking
hashcat is de meest gebruikte password cracking tool ter
wereld, zowel door ethische hackers als door criminelen. Het maakt gebruik van je
GPU
(videokaart) om miljarden hashes per seconde te berekenen. Ter vergelijking: een CPU doet er misschien miljoenen
- een GPU doet er miljarden.
Hashcat ondersteunt meer dan 350 hash-types, van MD5 en SHA-256 tot WPA2 wifi-wachtwoorden en Windows NTLM hashes. Het is de Zwitserse zakmessen van password cracking.
hashcat veilig uitproberen zonder
echte hashes te kraken. Je leert de syntax, de aanvalsmodi, en de logica achter password cracking - in een
veilige simulatie.
Hoe lang duurt het kraken?
De kraaktijd hangt af van drie factoren: de lengte van het wachtwoord, de complexiteit (welke tekens), en het gebruikte hash-algoritme. Hieronder een overzicht voor MD5-hashes op een moderne GPU (10 miljard hashes per seconde):
| Wachtwoord | Karakterset | Kraaktijd (MD5) |
|---|---|---|
| 6 tekens, alleen kleine letters | a-z (26) | < 1 seconde |
| 8 tekens, kleine + hoofdletters | a-z, A-Z (52) | ~15 minuten |
| 8 tekens, letters + cijfers | a-z, A-Z, 0-9 (62) | ~1 uur |
| 8 tekens, alles + speciale tekens | 95 tekens | ~19 uur |
| 10 tekens, alles + speciale tekens | 95 tekens | ~7 maanden |
| 12 tekens, alles + speciale tekens | 95 tekens | ~6000 jaar |
| 16 tekens, alles + speciale tekens | 95 tekens | ~50 miljard jaar |
Hoe bescherm je jezelf?
Nu je weet hoe aanvallen werken, kun je je verdediging opbouwen. Hier zijn de zes belangrijkste maatregelen, van meest tot minst impactvol:
1. Gebruik lange wachtwoorden (12+ tekens)
Lengte verslaat complexiteit. Het wachtwoord mijn-kat-eet-graag-vis (21 tekens, alleen kleine
letters en streepjes) is astronomisch veel sterker dan K@t!2026 (7 tekens met
speciale tekens). De reden: brute force schaalt exponentieel met lengte.
Een goed patroon is een passphrase: vier of meer willekeurige woorden aan elkaar. Makkelijk te onthouden, bijna onmogelijk te kraken:
2. Gebruik een password manager
Een password manager genereert en onthoudt unieke, sterke wachtwoorden voor elk account. Je hoeft zelf maar een sterk master-wachtwoord te onthouden. Populaire opties zijn Bitwarden (gratis, open source), 1Password en KeePassXC (lokale opslag).
3. Activeer tweefactorauthenticatie (2FA)
2FA voegt een tweede beveiligingslaag toe. Zelfs als een aanvaller je wachtwoord kraakt, heeft die ook nog je telefoon of security key nodig om in te loggen. Gebruik bij voorkeur een authenticator app (Google Authenticator, Authy) in plaats van SMS-codes, omdat SMS onderschept kan worden via SIM-swapping.
4. Hergebruik nooit wachtwoorden
Dit is de nummer een fout die mensen maken. Als je hetzelfde wachtwoord gebruikt voor je e-mail en een webshop, en die webshop wordt gehackt, dan is je e-mail ook compromised. En via je e-mail kan een aanvaller wachtwoorden resetten van al je andere accounts. Een password manager lost dit probleem automatisch op.
5. Check of je gegevens gelekt zijn
Via websites als Have I Been Pwned kun je controleren of je e-mailadres of wachtwoorden voorkomen in bekende data breaches. Dit is gratis en veilig om te gebruiken. Staan je gegevens erbij? Verander dan direct je wachtwoord op die dienst en overal waar je hetzelfde wachtwoord gebruikte.
6. Wees alert op phishing
Controleer altijd de URL voordat je inlogt. login.bank.nl is niet hetzelfde als
login-bank.nl.attacker.com. Klik niet op links in onverwachte e-mails, en gebruik bij twijfel
de officiële app of typ de URL zelf in. Geen enkel sterk wachtwoord beschermt je als je het zelf weggeeft
op een phishing-pagina.
Ethische context: responsible disclosure
Als ethisch hacker kun je password cracking technieken gebruiken om systemen sterker te maken. Denk aan een penetratietest waarbij je de wachtwoorddatabase van een bedrijf test. Als je ontdekt dat 40% van de werknemers "Bedrijfsnaam2026" als wachtwoord gebruikt, is dat waardevolle informatie voor de IT-afdeling.
Maar hiervoor gelden strenge regels:
- Schriftelijke toestemming - Altijd een contract of scope-document voordat je begint
- Responsible disclosure - Vind je een kwetsbaarheid? Meld het bij de eigenaar, publiceer het niet
- Data beschermen - Gekraakte wachtwoorden rapporteer je, maar deel je niet met onbevoegden
- Proportionaliteit - Test wat nodig is, ga niet verder dan de scope
hashcat en
hydra alleen ethisch: in een lab-omgeving, op eigen systemen,
of met expliciete schriftelijke toestemming.
Oefenen in HackSimulator.nl
Wil je zelf ervaren hoe password cracking werkt? In HackSimulator.nl kun je veilig experimenteren met
hashcat en
hydra in een gesimuleerde omgeving. Je leert:
- Hoe je hashes identificeert (MD5, SHA-256, bcrypt)
- Welke aanvalsmodus je kiest (brute force, dictionary, rule-based)
- Hoe je de output interpreteert
- Waarom sommige wachtwoorden in seconden vallen en andere nooit
Probeer het zelf!
Open de simulator en type hashcat om te zien hoe password cracking werkt. Of begin met
leerpad als je helemaal nieuw bent. Alles draait veilig in je browser.
Samenvatting
Laten we de belangrijkste lessen op een rij zetten:
- Wachtwoorden worden opgeslagen als hashes - eenrichtingsfuncties die niet teruggerekend kunnen worden
- Aanvallers proberen miljoenen wachtwoorden te hashen en vergelijken de resultaten (brute force, dictionary attack)
- Rainbow tables versnellen dit proces, maar salting maakt ze nutteloos
- Moderne GPU's kraken korte wachtwoorden in seconden - lengte is je beste verdediging
- Gebruik een password manager, activeer 2FA, en hergebruik nooit wachtwoorden
- Password cracking is legaal als tool voor ethische hackers - maar alleen met toestemming
Meer lezen?
- Wat is Ethisch Hacken? - White hat vs black hat uitgelegd
- Terminal Commands voor Beginners - De basis van terminal gebruik