Tweestapsverificatie op je VPN: de maatregel die het meest oplevert
Tweestapsverificatie op je VPN betekent dat een wachtwoord alleen niet meer volstaat om verbinding te maken met het netwerk van je zaak: elke login wordt bevestigd met een tweede factor, zoals een app, een fysieke sleutel of een certificaat op het toestel. Het is de maatregel die het vaakst terugkomt in de adviezen van het Amerikaanse CISA, het Belgische CCB en de fabrikanten zelf, omdat veel inbraken via de VPN beginnen met een gestolen of geraden wachtwoord. Deze gids legt uit welke methodes een zelfstandige of kmo kan gebruiken en waar de grenzen liggen.
Of: waarom een badge zonder pincode eigenlijk een sleutel onder de mat is
Als je maar één ding doet om je VPN te beveiligen, dan is het dit: elke VPN-login vraagt naast het wachtwoord een tweede bewijs. Het Amerikaanse CISA vraagt in zijn advies over de ransomwarebende Akira uitdrukkelijk om multifactorauthenticatie (MFA) op VPN’s, webmail en accounts met toegang tot kritieke systemen, omdat die bende vaak binnenkwam via een VPN zonder tweede factor.
Het tweede deel van het antwoord: tweestapsverificatie is geen schild tegen alles. Ze maakt een gestolen wachtwoord waardeloos, maar ze helpt niet als het VPN-toestel zelf een lek heeft. Daarom hoort ze samen te gaan met updates en met een beheerinterface die niet open op het internet staat.
Tweestapsverificatie op de VPN: wat ze tegenhoudt
Eén slot, drie manieren om het te openen
Een VPN met alleen een wachtwoord heeft één slot, en dat slot kan op drie manieren open: iemand raadt het wachtwoord, iemand vindt het in een gelekte lijst, of iemand koopt het. Cisco schreef in augustus 2023 dat aanvallers van de Akira-bende zo waarschijnlijk toegang kregen tot Cisco-VPN’s zonder tweede factor.
Neem een boekhoudkantoor met acht medewerkers. De zaakvoerder gebruikt voor de VPN hetzelfde wachtwoord als voor een webwinkel waar hij ooit inktpatronen kocht. Die webwinkel lekt zijn klantenbestand. Zonder tweede factor is dat het hele verhaal. Met een tweede factor heeft de aanvaller een wachtwoord en een probleem.
Voor een zelfstandige die alleen op de VPN zit, is het niet anders. Eén account is één deur, en ook die ene deur staat aan de straatkant.
Welke tweede factor
CISA rangschikt de methodes in een factsheet van oktober 2022 van sterk naar zwak. Vrij samengevat:
| Methode | Sterkte | Waar je op let |
|---|---|---|
| FIDO2-sleutel of passkey | sterkst, bestand tegen phishing | werkt bij een VPN meestal via een aanmelding bij je identiteitsdienst (SAML) |
| Certificaat op het toestel | sterk, bestand tegen phishing | vraagt beheer van certificaten |
| App met code, of pushmelding met nummercontrole | goed | de standaardkeuze voor de meeste kmo’s |
| Pushmelding zonder nummercontrole | zwakker | gevoelig voor een stortvloed aan meldingen tot iemand op goedkeuren tikt |
| Sms of telefoonoproep | zwakst | kwetsbaar voor de overname van een gsm-nummer |
Bij die pushmeldingen spreekt CISA van push bombing: wie genoeg meldingen krijgt, keurt er uiteindelijk een goed om ervan af te zijn. Nummercontrole, waarbij je een getal van het aanmeldscherm in de app overtikt, maakt dat veel moeilijker. Elke vorm van MFA is volgens CISA beter dan geen MFA.
Hoe je het aanzet, hangt af van je toestel. De meeste firewalls met een VPN kunnen een code uit een app vragen, of de aanmelding doorgeven aan een identiteitsdienst. Wie Microsoft 365 en een Windows-server heeft, kan de VPN via RADIUS en de NPS-extensie koppelen aan de tweestapsverificatie van Microsoft Entra. Microsoft waarschuwt daar wel dat niet elke VPN-client codes uit een app aankan, de ingebouwde VPN-client van Windows bijvoorbeeld niet.
Vergeet de beheerders niet. Wie op de beheerinterface van de firewall inlogt, kan de VPN herconfigureren. Die interface hoort zelf achter een tweede factor, en liefst niet bereikbaar vanaf het internet.
Kmo-Kristof: Tweestapsverificatie is lastig voor mijn mensen. Elke ochtend die code.
Security-Sofie: Het is lastig voor wie je wachtwoord heeft gekocht. Dat is een beetje de bedoeling.
Waar de tweede factor niet helpt
MFA beschermt de aanmelding. Als de aanvaller niet langs de aanmelding moet, helpt ze niet. Bij het lek in Citrix NetScaler dat bekend werd als Citrix Bleed (CVE-2023-4966, oktober 2023) konden aanvallers sessies overnemen die al waren aangemeld, tweede factor inbegrepen. Citrix raadde daarom aan om na de update alle actieve sessies af te sluiten.
Ook de koppeling zelf kan een fout bevatten. Op 6 november 2026 zette CISA een lek in de SSL-VPN van SonicWall (CVE-2026-19868) op zijn lijst van actief misbruikte kwetsbaarheden: wie geldige gegevens had voor een andere aanmeldmethode, kon de SAML-aanmelding en de tweede factor die daaraan hing omzeilen.
Welke lekken dat nog meer waren, en waarom aanvallers net die toestellen kiezen, staat bij de bekende kwetsbaarheden van VPN-toestellen.
Eén persoon, één tweede factor
Tweestapsverificatie werkt per account. Een gedeeld VPN-account met één gsm voor de codes is een tweede factor die op het bureau van de zaakvoerder ligt, en iedereen weet waar. Hoe je dat ontwart, lees je bij het beheer van VPN-accounts.
Nog een stap verder
Wie de tweede factor wil laten samenvallen met het toestel zelf, kijkt naar certificaten: een bewijs dat alleen op de laptop van de zaak staat en niet kan worden overgetikt. Hoe dat werkt, staat bij inloggen met een certificaat.