Toegangsbeheer: wie mag wat in je bedrijfsaccounts?

Een account waar te veel mensen aan kunnen, of waar niemand nog aan kan, is een bedrijfsrisico met een prijskaartje. Het gaat niet enkel over gehackt worden. Het gaat over stilstand, over een campagne die niet gepauzeerd kan worden, over een domeinnaam die verloopt.

De cijfers over de Belgische situatie zijn duidelijk genoeg. 45,8% van de Vlaamse ondernemingen werd in 2024 slachtoffer van een cyberaanval, en 78% van de bedrijven in België en Nederland kreeg het voorbije jaar met fraude te maken, met CEO-fraude als meest voorkomende vorm bij 39%. Bij bijna 1 op 10 getroffen organisaties loopt de schade op tot boven 500.000 euro.

Veel van die aanvallen beginnen niet met techniek maar met een account: een gedeeld wachtwoord dat rondslingert, een oud e-mailadres dat nog rechten heeft, een medewerker die op een phishinglink klikt terwijl hij beheerdersrechten heeft die hij nooit nodig had.

Voor je iets kan regelen, moet je weten wat er bestaat. Zet één document op met alle accounts die aan je bedrijf hangen. Niet de wachtwoorden, wel de accounts en wie erbij kan.

Account	Waarom kritisch	Wie hoort er echt aan te kunnen
Domeinnaam en dns	Zonder dit valt je site en je mail weg	Zaakvoerder, plus één vervanger
Hosting en website-beheer	Inhoud, updates, back-ups	Zaakvoerder en websitebouwer
Mailbeheer	Nieuwe adressen, doorstuurregels, mailidentiteit	Zaakvoerder, plus één vervanger
Google Bedrijfsprofiel	Je lokale vindbaarheid en reviews	Zaakvoerder en wie reviews opvolgt
Advertentieaccounts	Er hangt een betaalmiddel aan	Zaakvoerder en het bureau, apart
Analytics en meettools	Klantgegevens en historiek	Wie rapporteert
Sociale media	Reputatie en berichten van klanten	Wie plaatst, plus één beheerder
Boekhouding en betalingen	Rechtstreeks geld	Zaakvoerder en boekhouder

Vul bij elke rij drie dingen in: op welk e-mailadres het account staat, wie er vandaag aan kan, en wie het zou moeten zijn. Die derde kolom is meestal korter dan de tweede, en daar zit precies het werk.

Je hebt geen uitgebreid rechtenmodel nodig. Voor een kmo werken drie niveaus, en je wijst per account toe wie waar zit.

1. Eigenaar. Kan alles, inclusief andere mensen toevoegen of verwijderen. Altijd de zaakvoerder, en bij voorkeur één tweede persoon als vervanger. Nooit een externe partij alleen.
2. Beheerder. Kan het dagelijkse werk doen, maar geen eigenaars toevoegen of het account overdragen. Dit is de rol voor je websitebouwer, je marketingbureau en je medewerkers die inhoud beheren.
3. Meelezer. Kan bekijken en rapporteren, maar niets wijzigen. Verrassend vaak volstaat dit, bijvoorbeeld voor wie enkel cijfers nodig heeft.

Twee principes maken het verschil. Ten eerste: geef standaard de laagste rol die volstaat, en verhoog pas wanneer iemand vastloopt. Ten tweede: laat elke persoon met een eigen account werken, ook in kleine teams.

Eén gedeeld wachtwoord voor het hele team betekent dat je nooit weet wie wat deed, en dat je bij elk vertrek alles moet wijzigen. Aparte accounts kosten niets extra en lossen beide problemen op.

Zet daarnaast tweestapsverificatie aan op de accounts uit de eerste vier rijen van je lijst. Dat is de ene technische maatregel die het meeste risico wegneemt voor het minste werk, en ze is extra belangrijk nu ruim 80% van de phishingcampagnes AI-gegenereerde inhoud in foutloos Nederlands gebruikt, waardoor een wachtwoord alleen te makkelijk ontfutseld wordt.

Er is een verschil tussen toegang hebben en eigenaar zijn. Dat verschil merk je pas wanneer je ergens weg wil, of wanneer een samenwerking eindigt. Vier zaken staan best altijd op naam van je bedrijf, met een e-mailadres op je eigen domein:

• Je domeinnaam. Dit is de basis van je website én je mail. Als je bouwer die op zijn naam heeft, ben je afhankelijk voor iets fundamenteel.
• Je Google Bedrijfsprofiel. De lokale vindbaarheid en al je reviews hangen eraan.
• Je advertentieaccounts. Geef een bureau beheerdersrechten, maar hou het account en het betaalmiddel zelf in handen.
• Je analytics. Daar zit je historiek, en die kan je niet reconstrueren.

Gebruik ook nooit een persoonlijk adres van een medewerker als hoofdaccount. Werk met een bedrijfsadres op je eigen domein, wat overigens ook los daarvan vertrouwen wekt: 75% van de consumenten noemt een e-mailadres op eigen domein een belangrijke factor om een klein bedrijf te vertrouwen.

De dag dat iemand het bedrijf verlaat, wil je geen zoektocht beginnen. Met je lijst uit stap 1 is dit een halfuur werk. Doe het in deze volgorde, en op de laatste werkdag zelf.

1. Eerst de mailbox, dan de rest. Wie nog in zijn mail kan, kan bij veel andere accounts een wachtwoordherstel aanvragen. Sluit dus de mail eerst.
2. Zet doorstuurregels op naar een collega of naar info@, zodat lopende klantgesprekken niet verdwijnen.
3. Verwijder de persoon uit elk account op je lijst. Niet de rol verlagen, wel verwijderen.
4. Wijzig gedeelde wachtwoorden die je nog hebt, en vervang ze bij die gelegenheid door individuele accounts.
5. Draag de eigendom over van accounts die op zijn of haar naam stonden, voor de mailbox sluit.
6. Check betaalmiddelen en abonnementen die aan die persoon hingen.
7. Vraag bedrijfstoestellen terug en meld ze af waar ze nog ingelogd staan.

Doe dit ook wanneer iemand in goede verstandhouding vertrekt. Het is geen wantrouwen, het is opruimen. De reden is bovendien praktisch: een oud account dat nog toegang heeft en niet meer opgevolgd wordt, is precies het soort deur waar misbruik langs binnenkomt. En dat misbruik is in België dagelijkse kost: in de eerste drie maanden van 2026 werden ruim 3,6 miljoen phishingberichten gemeld, goed voor 40.710 meldingen per dag.

Toegangsbeheer is geen project, het is een gewoonte. Zet één moment per jaar in je agenda, bijvoorbeeld samen met je verzekeringen of je domeinverlenging, en loop je lijst af met vier vragen:

• Staat er nog iemand in die er niet meer hoort te zijn?
• Heeft iemand meer rechten dan hij nodig heeft?
• Zijn er accounts zonder tweede eigenaar, waar we bij ziekte of vakantie vastlopen?
• Staan onze vier kritieke accounts op een bedrijfsadres op ons eigen domein?

Bewaar je lijst op een plek waar twee mensen bij kunnen, en niet in een mailbox. Voor de wachtwoorden zelf gebruik je een wachtwoordmanager met gedeelde mappen per rol, zodat iemand toegang krijgt tot wat bij zijn functie hoort en niet tot alles.

Toegangsbeheer is de onzichtbare kant van vertrouwen. De zichtbare kant, wat je klanten zien wanneer ze op je site landen of een mail van je krijgen, hangt er nauw mee samen: een verlopen certificaat, een verlopen domein of een mail die in spam belandt, komt vaak uit hetzelfde soort losse afspraken.

Wil je zien hoe jouw website en e-mail er langs de buitenkant uitzien, laat ze dan doorlichten met de gratis marketing scan van Marketing Scan. Je krijgt concrete punten, en meteen ook de aanleiding om die accountlijst eindelijk te maken.