Tweestapsverificatie instellen
Kort antwoord
Tweestapsverificatie (ook wel 2FA of MFA) vraagt naast je wachtwoord om een tweede bewijs dat jij het bent — meestal een code uit een app. Daarmee is een gelekt wachtwoord alleen niet meer genoeg om bij je account te komen. Zet het bij voorkeur aan met een authenticator-app in plaats van sms, en begin bij je e-mail, daarna je bank, daarna social media.
Tweestapsverificatie betekent dat je na je wachtwoord nog een tweede stap moet zetten om in te loggen: een code uit een app op je telefoon, een druk op een notificatie, of een fysiek sleuteltje. Het idee erachter is simpel maar effectief — zelfs als een aanvaller jouw wachtwoord al in handen heeft (bijvoorbeeld via een lek bij een andere dienst, zie een sterk wachtwoord maken), komt hij zonder die tweede stap niet binnen. Het is misschien wel de enkele maatregel met het grootste effect tegen accountovername.
Niet elke vorm van tweestapsverificatie is even sterk. Een code via sms is beter dan niets, maar heeft een bekende zwakte: sim-swapping, waarbij een aanvaller jouw telefoonnummer naar een eigen simkaart overzet (vaak via social engineering bij je provider) en zo jouw sms-codes onderschept. Een authenticator-app — zoals de ingebouwde optie van je telefoon, of een losse app die codes genereert — draait los van je telefoonnummer en is daardoor niet gevoelig voor sim-swapping. Waar een dienst de keuze geeft, is een authenticator-app dus de betere optie.
Het aanzetten werkt bij bijna elke dienst in grote lijnen hetzelfde, ook al verschilt de precieze plek per app en verandert die weleens: zoek in de accountinstellingen naar 'beveiliging' of 'inloggen en beveiliging', en daarbinnen naar 'tweestapsverificatie', 'tweefactorauthenticatie' of '2FA'. Volg vanaf daar de stappen die de dienst zelf aanbiedt — meestal scan je een QR-code met een authenticator-app, of ontvang je eenmalig een code om te bevestigen dat het werkt. Bewaar de 'herstelcodes' die je bij het instellen krijgt op een veilige plek: daarmee kom je nog bij je account als je je telefoon ooit kwijtraakt.
Je hoeft dit niet overal in één middag te doen. Begin bij je e-mailadres — wie bij je mailbox kan, kan via 'wachtwoord vergeten' vaak bij al je andere accounts. Zet het daarna aan op je bank en je betaaldiensten, en pas daarna op social media. Combineer dit met een wachtwoordmanager voor het beste resultaat, en als je vermoedt dat een account al is overgenomen, lees dan verder bij /gehackt/.
Bronnen
Bijgewerkt 7 november 2026.
Veelgestelde vragen
Wat is het verschil tussen 2FA en MFA?
2FA (tweefactorauthenticatie) is een tweede stap naast je wachtwoord. MFA (multifactorauthenticatie) is de bredere term en kan ook meer dan twee stappen betekenen. In de praktijk, voor een particulier account, komen ze op hetzelfde neer.
Waarom is sms als tweede stap minder veilig dan een app?
Omdat een aanvaller via sim-swapping jouw telefoonnummer kan overnemen en zo de sms-code onderschept, zonder jouw telefoon in handen te hebben. Een authenticator-app is aan het apparaat gekoppeld, niet aan je telefoonnummer.
Wat als ik mijn telefoon met de authenticator-app kwijtraak of kapot laat vallen?
Daarvoor krijg je bij het instellen eenmalige herstelcodes — bewaar die apart, bijvoorbeeld in je wachtwoordmanager. Zonder die codes kan het terugkrijgen van toegang bij sommige diensten lastig en traag zijn.
Moet ik tweestapsverificatie echt overal aanzetten?
Zet het zeker aan waar veel op het spel staat: e-mail, bank, en accounts die aan betaalmiddelen hangen. Voor een account waar weinig gevoelige informatie achter zit, is het minder urgent, maar nooit verkeerd.