Wachtwoordenlijst Excel - Gratis Voorbeeld

1. Stap 1 — Lees eerst het tabblad Instructies. Controleer vooral de waarschuwing dat echte wachtwoorden, herstelcodes en geheime tokens niet in Excel mogen worden opgeslagen.
2. Stap 2 — Open Wachtwoorden en gebruik uitsluitend de invoervelden voor record-ID, systeem, categorie, eigenaar, kluislocatie, login, MFA, risico, controledatum en opmerking.
3. Stap 3 — Kies categorie, MFA-status en risiconiveau uit de bestaande keuzelijsten. Gebruik bijvoorbeeld PW-2026-004 als uniek record-ID voor een nieuw fictief voorbeeld.
4. Stap 4 — Vul Laatst gecontroleerd in als datum in de notatie DD-MM-YYYY. De volgende controledatum wordt automatisch afgeleid van de categorie en het beleid.
5. Stap 5 — Controleer de berekende kolommen J, K en L. Deze tonen de volgende controle, de status en de sterktecontrole; overschrijf deze formules niet.
6. Stap 6 — Pas alleen geautoriseerde waarden aan in Beleid. Controleer daarna in Overzicht de kerncijfers, de drie grafieken en de verdeling per categorie.
7. Stap 7 — Beperk delen tot geautoriseerde medewerkers en archiveer verouderde records volgens het interne beleid. Verwijder onnodige persoonsgegevens uit opmerkingen en contactinformatie.

Een wachtwoordenregister hoort in de praktijk naast een wachtwoordmanager te staan, niet ervoor in de plaats. Een IT-beheerder gebruikt Wachtwoorden om te zien welke dienst bij welke eigenaar hoort; een financieel medewerker kan Exact Online controleren; een HR-medewerker kan vastleggen wie verantwoordelijk is voor een personeelsapplicatie. Figuur 1 toont het tabblad Wachtwoorden met de brede invoertabel van kolom A tot en met M.

Van systeem naar verantwoordelijke

Begin met een uniek Record-ID, zoals PW-2026-001, en leg in Systeem/dienst bijvoorbeeld Microsoft 365 vast. De kolommen Categorie, Eigenaar en Locatie wachtwoordmanager maken duidelijk waar de toegang thuishoort. In een organisatie met 25 SaaS-diensten voorkomt dit dat een vertrokken medewerker de enige bekende contactpersoon blijft.

Noteer in Gebruikersnaam/login alleen de zakelijke identificatie, zoals [email protected]. De feitelijke geheime waarde blijft in de kluis. Dat onderscheid is belangrijk: het spreadsheet is een beheerlijst met 13 kolommen, geen digitale kluis.

Controles plannen met beleid

De zes categorieën in Beleid bepalen de frequentie. E-mail en Hosting staan standaard op 90 dagen, CRM, Boekhouding en Overheid op 180 dagen en Overig op 365 dagen. Bij 20 e-mailaccounts betekent een termijn van 90 dagen ongeveer 80 controleacties per jaar; plan die controles daarom bij voorkeur per eigenaar of team.

Figuur 2 laat Beleid zien met de kolommen Categorie, Minimale MFA, Controletermijn (dagen) en Standaardrisico. Figuur 3 toont Overzicht: daar zie je onder meer het totaal aantal records, actieve records, te late controles, MFA-dekking en hoge-risico-items. De drie grafieken verdelen de gegevens naar MFA-status, categorie en status.

Instructies sluit de werkstroom af. Daar staat expliciet dat het bestand niet via onbeveiligde opslag of gewone e-mail gedeeld mag worden. Figuur 4 toont dit tabblad met aanwijzingen voor MFA, AVG, archivering en periodieke controle.

Een wachtwoordenlijst bevat al snel persoonsgegevens, zoals een naam, zakelijke login en eigenaar. Onder de AVG moet je daarom kunnen uitleggen waarom elk veld nodig is. Artikel 5 AVG verlangt onder meer doelgebondenheid en dataminimalisatie; noteer dus geen BSN, privételefoonnummer, herstelcode of token in deze lijst.

Dataminimalisatie in de kolommen

De opzet kiest bewust voor een record-ID en een kluislocatie. Instructies noemt als fictief KvK-nummer 00000000 en waarschuwt dat echte BSN- en IBAN-gegevens niet in het bestand thuishoren. Gebruik het voorbeeldrecord PW-2026-001 als demonstratie, maar vervang fictieve namen en e-mailadressen alleen door gegevens die noodzakelijk zijn voor beheer.

Artikel 30 AVG verplicht organisaties die onder de voorwaarden vallen tot een verwerkingsregister. Dit Excel-bestand is niet automatisch zo’n register: het bevat geen grondslagen, bewaartermijnen of volledige verwerkingsactiviteiten. Gebruik het daarom als toegangscontrolelijst en leg de bredere verwerking vast in het eigen AVG-proces.

MFA als technische beheersmaatregel

De kolom MFA actief gebruikt de waarden Ja en Nee. In Beleid staat voor vijf categorieën Minimale MFA op Ja; bij Overig staat Aanbevolen. Dat is een duidelijke technische voorkeur: voor e-mail, CRM, hosting, boekhouding en overheidsportalen hoort MFA de standaard te zijn, omdat één onderschept wachtwoord anders direct toegang kan geven.

De formule in Sterktecontrole geeft Goed wanneer MFA op Ja staat en het risiconiveau niet Hoog is. Bij MFA Nee verschijnt Verbeteren. Dat is een eenvoudige signalering, geen volledige wachtwoordaudit: de werkmap controleert niet de geheime wachtwoordwaarde, lengte, hergebruik of gelekte credentials.

De controletermijnen zijn concrete beleidsinstellingen, geen wettelijke AVG-termijnen. Een termijn van 90 dagen voor e-mail betekent dat de datum 90 dagen na Laatst gecontroleerd wordt berekend. Bij een controle op 05-01-2026 komt de geplande controle uit op 05-04-2026; pas de beleidswaarde aan als je interne norm aantoonbaar anders is.

De gevaarlijkste fout is het bestand behandelen als wachtwoordmanager. In klantbestanden zie je dan wachtwoorden, back-upcodes en API-tokens in Opmerking of Gebruikersnaam/login verschijnen. Verwijder zulke waarden direct en gebruik alleen de recordverwijzing naar de goedgekeurde kluis.

Verkeerde status door ontbrekende datums

Kolom K kan alleen een status tonen als Volgende controle gevuld is. Bij nieuwe rijen wordt J pas berekend als Record-ID, Categorie en Laatst gecontroleerd aanwezig zijn. Een record met een systeemnaam maar zonder controledatum lijkt daardoor niet achterstallig; het is simpelweg onvolledig.

Een tweede fout is een datum als tekst invoeren, bijvoorbeeld 10/9 zonder jaartal. Gebruik DD-MM-YYYY, zoals 10-09-2026, zodat Excel correct kan vergelijken met de huidige datum. Bij 30 records met 5 tekstdata kunnen vijf controles uit Overzicht verdwijnen, terwijl de beheerder denkt dat alles is opgenomen.

Formules overschrijven of beleid verkeerd wijzigen

J, K en L zijn berekende kolommen. Wie in K14 handmatig Actief typt, maakt de uitkomst statisch en verliest de automatische beoordeling na het verstrijken van de controledatum. Herstel een overschreven formule door een correcte naburige rij te kopiëren, niet door zelf een status te typen.

Let ook op het wijzigen van Beleid. Als je E-mail van 90 naar 365 dagen zet, verschuift de volgende controle voor nieuwe berekeningen aanzienlijk. Voor 12 e-mailrecords levert dat 12 geplande controles per jaar op bij 30 dagen per maand, maar slechts ongeveer 3 tot 4 bij een jaartermijn; dat verlaagt de controledruk en verhoogt het risico.

Een derde praktijkfout is MFA als afvinkvakje gebruiken zonder de accountinstelling te controleren. De waarde Ja moet verwijzen naar een werkelijk geactiveerde tweede factor. Controleer de dienst zelf en werk daarna Laatst gecontroleerd bij. Overzicht bevat drie grafieken, maar die bewijzen niet dat MFA technisch werkt; ze tellen alleen de geregistreerde waarden.

Pas het bestand aan vanuit je bestaande toegangsproces, niet vanuit de wens om zoveel mogelijk velden toe te voegen. De huidige indeling is geschikt voor 100 voorbereide rijen en bevat geen Excel-tabel; houd die structuur intact als je de formules in J, K en L wilt blijven gebruiken.

Beleid verfijnen

Gebruik Beleid voor de zes aanwezige categorieën. Voor een organisatie met 40 systemen kun je bijvoorbeeld E-mail op 90 dagen laten staan, CRM en Boekhouding op 180 dagen zetten en Overig op 365 dagen. Kies één verantwoordelijke die wijzigingen in controletermijnen goedkeurt en documenteer die beslissing buiten de geheime gegevens.

• Gebruik E-mail voor Microsoft 365 en andere zakelijke maildiensten.
• Gebruik Boekhouding voor Exact Online of vergelijkbare financiële software.
• Gebruik Hosting voor server-, domein- en hostingaccounts.
• Gebruik Overig alleen wanneer geen van de vijf specifieke categorieën past.

Werkproces uitbreiden zonder geheimen toe te voegen

Voeg in Opmerking hooguit een ticketnummer, teamnaam of geplande actie toe. Een ticket zoals SEC-2026-014 is bruikbaarder en veiliger dan een herstelcode. Wil je leveranciers of applicaties koppelen, gebruik dan het bestaande Record-ID als sleutel in een afzonderlijk beheersysteem.

Maak maandelijks een controleplanning op basis van de status Te laat en Binnenkort controleren. Bij 60 records en een gelijkmatige verdeling over 12 maanden zijn dat gemiddeld 5 controles per maand. Overzicht helpt prioriteren met hoge-risico-items en MFA-dekking, maar bevat geen automatische e-mailmelding of taaktoewijzing.

Bewaar het bestand versleuteld op een geautoriseerde locatie en beperk toegangsrechten tot medewerkers die het register nodig hebben. Instructies noemt daarnaast archivering van verwijderde systemen en het verwijderen van overbodige contactinformatie. Dat is een betere uitbreiding dan het opnemen van extra vertrouwelijke velden.