2FA aanzetten: waarom, hoe, en welke methode werkt eigenlijk het best

Je wachtwoord lekt vandaag of morgen. Dat klinkt paranoïde, maar de cijfers zijn nuchter: sinds 2020 hebben 1 op de 3 Nederlandse internetgebruikers minstens één keer in een data-lek gestaan (CBS ICT-onderzoek 2024). De meeste mensen weten het niet. De enige manier om daar geen slachtoffer van te worden als het jouw wachtwoord ook betreft, is een tweede inlog-factor naast je wachtwoord.

Hier een praktische gids over 2FA — wat het is, welke soort je moet kiezen, en specifiek hoe je het in Okidoky aanzet.

Wat is 2FA eigenlijk?

2FA (two-factor authentication, ook wel MFA — multi-factor authentication) betekent: om in te loggen heb je twee dingen nodig die bij elkaar horen. Meestal:

  1. Iets wat je weet — je wachtwoord.
  2. Iets wat je hebt — een apparaat waar een tijdelijke code op verschijnt.

Als alleen je wachtwoord lekt (de meest voorkomende lek-vorm), kan een aanvaller niet inloggen omdat hij de tweede factor niet heeft. Als alleen je telefoon gestolen wordt, kan een dief niet inloggen omdat hij je wachtwoord niet weet. Allebei tegelijk is vrijwel onmogelijk bij externe aanvallen.

De drie 2FA-methoden, gerangschikt op veiligheid

Niet alle 2FA is gelijk. Van slechtst naar best:

SMS 2FA — NIET MEER AANBEVOLEN

Je krijgt een 6-cijferige code per SMS bij het inloggen. Werkt, maar is sinds ongeveer 2019 ontraden door beveiligingsspecialisten. Waarom:

  • SIM-swap aanvallen: een crimineel belt jouw telefoonprovider, doet zich voor als jou ("ik heb een nieuwe SIM nodig"), en krijgt jouw nummer op HUN simkaart. Daarna ontvangen ze jouw SMS-codes. Dit gebeurt duizenden keren per jaar in NL — vaak met succes omdat telefoonprovider-personeel te licht verifieert.
  • SS7-netwerk-lekken: het wereldwijde telecomprotocol waarop SMS draait, heeft bekende zwakheden waardoor berichten kunnen worden onderschept.
  • Simkaart-diefstal bij ongelukjes: fysieke toegang tot je telefoon gedurende een paar minuten is genoeg.

Okidoky ondersteunt SMS 2FA als backup — maar we raden het af als primaire methode voor alles dat je echt beschermen wilt.

Authenticator-app (TOTP) — AANBEVOLEN

Een app op je telefoon (Google Authenticator, Microsoft Authenticator, Authy, Bitwarden, 1Password, Aegis) die elke 30 seconden een nieuwe 6-cijferige code genereert op basis van een geheim dat de eerste keer is uitgewisseld. "TOTP" staat voor Time-based One-Time Password.

Waarom beter: de code wordt LOKAAL op je telefoon berekend, zonder communicatie met een netwerk. Er is niks om te onderscheppen, er is geen telefoonprovider bij betrokken, er is geen netwerk dat compromitteerbaar is. Als je telefoon fysiek veilig is, is TOTP veilig.

Keuze van app:

  • Aegis (Android) — open source, offline, versleutelde backup naar je eigen Nextcloud/Dropbox.
  • Raivo / 2Stable (iOS) — iCloud-sync, offline.
  • Bitwarden / 1Password — geïntegreerd met je password manager (sommigen vinden dit praktisch, anderen vinden het onwenselijk omdat het "alle eieren in één mandje" is).
  • Google Authenticator — simpel, populair, maar historisch geen backup-functie (nu wel via Google-account-sync, wat weer andere afwegingen oplevert).

Voor de meeste gebruikers: begin met de app die je password manager biedt (Bitwarden of 1Password), en schakel over naar Aegis/Raivo als je TOTP scheidt van je wachtwoorden.

Passkey / FIDO2 / hardware-key — NOG BETER

Sinds 2024 wordt steeds vaker Passkey gebruikt — een cryptografische sleutel die op je telefoon of laptop staat (geen code typen, gewoon biometrische bevestiging) of op een fysieke USB-key (YubiKey, Titan Security Key). Dit is technisch de veiligste optie.

Okidoky ondersteunt Passkey nog niet — het staat op onze roadmap voor Q3 2026. Tot die tijd: TOTP is onze aanbevolen methode.

Hoe je 2FA in Okidoky aanzet — stap voor stap

  1. Log in op okidoky.nl/login met je wachtwoord.
  2. Ga naar Profiel (klik je avatar rechtsboven → "Profiel", of ga direct naar /profiel).
  3. Scroll naar "Twee-factor authenticatie (2FA)".
  4. Kies je methode:
    • Authenticator-app — we tonen een QR-code die je scant in je authenticator-app. Die app genereert daarna elke 30 seconden een code.
    • E-mail — we sturen een code naar je geregistreerde e-mailadres bij elk login. Minder veilig (als je e-mail is gecompromitteerd, zit je vast), wel beter dan niks.
    • Beide — je kunt er één kiezen bij elke login.
  5. Test meteen — log uit en weer in, check dat 2FA inderdaad vraagt om de tweede factor.
  6. Print backup-codes — heel belangrijk. Okidoky genereert 10 eenmalig bruikbare codes waarmee je kunt inloggen als je telefoon kapot/kwijt is. Print ze, plak in je administratiemap, en zie ze als een kopie van je huissleutel: ze verdienen dezelfde bescherming.

Wat als je telefoon kwijt is?

Dit is waar back-up codes voor zijn. Als je geen back-up codes hebt:

  • E-mail als fallback: als je 2FA via e-mail had aangezet óók, log je daarmee in.
  • Contact support: stuur een mail naar info@okidoky.nl vanaf je geregistreerde e-mailadres. We vragen om identificatie (via de originele e-mail + bevestiging van enkele account-details) en kunnen na verificatie je 2FA resetten. Dit duurt 24-48 uur — niet meteen, met opzet, want directe reset zou 2FA waardeloos maken.

De grotere les

2FA verhoogt je werkelijke beveiliging DRASTISCH. Het voegt ongeveer 5-10 seconden aan je login-flow toe, en bijna alle gelekte-wachtwoord-aanvallen worden daardoor waardeloos.

We zetten 2FA bij Okidoky niet verplicht aan, omdat dat voor sommige gebruikers (ouderen, mensen zonder smartphone) een drempel zou zijn. Maar voor iedereen met een smartphone is het advies simpel: zet het aan. Nu, niet "later".

Voor een kasboek is de inzet nog wat hoger dan voor een willekeurige app: je transacties en bonnetjes laten zien wat je uitgeeft en verdient. Niet super-gevoelig, maar ook niet iets dat je zomaar aan een onbekende wilt laten zien. Vijf minuten setup voor een paar jaar veiligheidsgroei is elk moment van je tijd waard.

Heb je hulp nodig bij 2FA-setup voor Okidoky? Stuur gerust info@okidoky.nl — we gidsen mensen graag door de paar klikken.