Accounts op je VPN beheren: geen gedeelde logins, geen vergeten collega's

Of: waarom de badge van de stagiair van 2022 nog altijd werkt

Bij de beveiliging van je VPN denk je eerst aan het toestel. Maar een VPN laat mensen binnen, en wie er binnen mag, staat in een lijst van accounts die in veel kleine zaken nooit iemand nakijkt. Het Amerikaanse CISA noemt het vervangen van standaardwachtwoorden een van de basismaatregelen voor firewalls en VPN-gateways, naast het beperken van wie erbij kan.

Het antwoord past in drie regels: één account per persoon, niet meer toegang dan nodig, en opruimen op de dag van vertrek. De rest van deze gids gaat over hoe je dat volhoudt.

Accounts op de VPN: wie heeft er een badge

Eén persoon, één account

Neem een tandartsenpraktijk met vier assistenten die van thuis de afsprakenagenda bijwerken. Ze gebruiken allemaal het account „praktijk”, met hetzelfde wachtwoord. Dat lijkt efficiënt, tot je ziet wat het kost:

• Tweestapsverificatie wordt een gedeelde gsm. De codes komen op één toestel, en dus vraagt iedereen ze aan de persoon die dat toestel heeft.
• De logboeken zeggen niets. Er staat dat „praktijk” om 23.40 uur verbond. Welke van de vijf?
• Vertrek wordt een probleem. Als één assistent vertrekt, moet het wachtwoord voor iedereen veranderen. In de praktijk gebeurt dat niet.

Voor een zelfstandige die alleen werkt, lijkt het verschil klein. Maar ook dan geldt: een account voor jezelf, een apart account voor de IT-partner of de boekhouder die soms moet inloggen, en geen gedeeld wachtwoord tussen die twee.

Koppel aan de lijst die je al hebt

Veel firewalls laten je VPN-accounts aanmaken op het toestel zelf. Dat werkt voor drie gebruikers. Bij tien wordt het een tweede gebruikerslijst die naast je echte lijst leeft, en die niemand bijwerkt.

Beter is een koppeling met de gebruikerslijst die je al hebt, zoals Microsoft Entra ID of Active Directory, via RADIUS, LDAP of een aanmelding met SAML. Wie Windows Server gebruikt, kan met de rol Netwerkbeleidsserver centraal vastleggen wie mag verbinden, op welke uren en hoelang. Schakel je dan iemand uit in je gebruikerslijst, dan verliest hij meteen ook de VPN.

Let bij zo’n koppeling op de groep die toegang krijgt. Een instelling als „alle gebruikers uit de directory” is snel gekozen, en geeft ook het account van de vergaderzaal en de oude testgebruiker toegang. Maak een aparte groep „VPN” en zet daar alleen in wie het echt nodig heeft.

Vertrek, verlof en wissels

De dag dat iemand vertrekt, doe je vier dingen:

1. Het account uitschakelen, of de persoon uit de VPN-groep halen.
2. Het toestel voor de tweede factor uit het account verwijderen.
3. Een certificaat of sleutel op de laptop intrekken, als je die gebruikt.
4. Nagaan of er nog een verbinding openstaat, en die afsluiten.

Een keer per kwartaal leg je de lijst van VPN-accounts naast de personeelslijst. Wat er niet op past, gaat eruit.

De IT-partner en andere externen

Een IT-partner heeft vaak de ruimste toegang van allemaal: VPN, beheerinterface, servers. Geef hem een persoonlijk account per technicus, met tweestapsverificatie, en liefst alleen actief wanneer er gewerkt wordt. Het CyberFundamentals-kader van het CCB vraagt multifactorauthenticatie voor alle toegang op afstand, ook die van leveranciers en onderaannemers.

Kmo-Kristof: Onze IT-partner heeft al tien jaar hetzelfde beheerderswachtwoord. Hij kent het van buiten.

Security-Sofie: Hij niet alleen, vermoed ik.

Kmo-Kristof: Hoe bedoel je?

Security-Sofie: Tien jaar is lang. Hoeveel technici heeft hij in die tijd gehad?

Standaardwachtwoorden en migraties

Een nieuwe firewall komt met een beheeraccount en een standaardwachtwoord, of laat je er bij de eerste aanmelding een kiezen. Controleer dat het standaardwachtwoord echt weg is, ook op tweede beheeraccounts waarvan je het bestaan niet kende.

Bij een migratie naar een nieuw toestel ligt de valkuil elders. In augustus 2025 linkte SonicWall een reeks inbraken via zijn SSL-VPN aan klanten die van een oudere naar een nieuwere firewall waren overgestapt en daarbij de lokale accounts met hun wachtwoorden hadden meegenomen. De fabrikant raadde aan al die wachtwoorden te vervangen en ongebruikte accounts te verwijderen. Een nieuw toestel met oude wachtwoorden is een nieuw slot met de sleutels van het vorige.

Een tweede factor per persoon

Een eigen account is de voorwaarde voor een eigen tweede factor. Welke methode je kiest en waar ze tekortschiet, staat bij tweestapsverificatie per gebruiker.

Een sleutel per toestel

Wie verder wil gaan, koppelt de toegang niet alleen aan de persoon maar ook aan de laptop. Hoe dat werkt, lees je bij een certificaat per laptop.

Wat de logboeken vertellen

Persoonlijke accounts maken logboeken pas bruikbaar. Wat je bijhoudt en hoelang, staat bij de logboeken van je VPN.