Europees ogende wachtwoordmanager lijkt Russisch te zijn

De Europees ogende wachtwoordmanager Passwork lijkt Russisch te zijn, blijkt uit onderzoek van meerdere Nederlandse media. Onder meer Europese overheden, havens en een Nederlandse zonneparkbeheerder gebruiken de software.

Dat blijkt uit onderzoek van Investico, samen met NU.nl en De Groene Amsterdammer. Ook het Belgische De Tijd deed mee aan het onderzoek. Dit onderzoek richtte zich op Passwork, een wachtwoordmanager die zich presenteert als Europees en gevestigd is in Spanje.

Hoewel Passwork zich als Europees presenteert, lijkt het bedrijf Russisch te zijn. Het bedrijf werd in 2014 opgericht in Rusland, maar nadat Rusland Oekraïne binnenviel, werd het ondergebracht bij een brievenbusmaatschappij in Spanje. Het bedrijf is daarnaast ook in Rusland actief en wordt onder meer gebruikt door de geheime dienst FSB en door het ministerie van Defensie.

Een onderzoeker van Instituut Clingendael zegt dat Rusland daarmee veel inzicht heeft in de software. Om in Rusland een licentie te krijgen voor gebruik in de militaire sector, moeten bedrijven veel inzage geven in hun werking.

Geen bewijs van misbruik

Er zijn geen aanwijzingen dat Passwork gecompromitteerd is of dat Rusland toegang heeft tot wachtwoorden of andere data. Wel waarschuwen verschillende experts voor de risico's. Wachtwoorden kunnen in theorie worden gestolen als de makers worden gedwongen een achterdeur in te bouwen. Ook als klanten de dienst zelf hosten, moet de software toch verbinding maken met servers van Passwork.

Het is ook onduidelijk hoe groot Passwork precies is. De media ontdekten dat onder andere een Nederlandse beheerder van zonneparken de software gebruikt. Daarnaast bleken ook Franse havens, Ierse en Duitse overheidsorganisaties en universiteiten er gebruik van te maken.

Bron: picture alliance, Getty Images

Reacties (186)

[Annihilism]

Ik vind het altijd wel bijzonder hoe overheidsinstanties bij dit soort partijen terecht komen. Waarom niet een bekende grote (europese) naam pakken zoals Proton of desnoods gewoon KeePass waar je de code van kunt inzien?

[fre0n]

Gelukkig doet de nederlamdse overheid dit dan weer wel goed

Het stukje is wel een beetje propaganda/stemmingmakerij. De software is russisch, ok. Maar er is geen misbruik aangetoond. Dus eigenlijk is er (nog) niets aan de hand maar is het vooral 'eng' ?

[Keypunchie]

In de (professionele) IT ben je niet alleen maar bezig met happy flow.

Ik heb genoeg servers beheerd, die tijdens hun hele jarenlange levensduur nooit een bestand van backup terugzetten nodig hebben gehad. Maar ja, je maakt backups, niet omdat je ze nu nodig hebt, maar omdat je de kans ziet dat je ze in de toekomst nodig hebt.

Op dit moment wordt de IT-wereld wakker geschud door geo-politiek en zien we dat er meer dingen "happy flow" zijn, waar je vraagtekens bij kunt zetten. In een wereld waarin de President van de VS expliciet zegt geen militaire opties uit te sluiten bij het willen inlijven van het grondgebied van een Europese bondgenoot (Groenland/Denemarken), dan moet je ook gaan nadenken over wat betekent voor je online diensten.

Rusland is ook een geopolitieke tegenstander. We zijn niet direct in oorlog, maar het scheelt niet veel. In ieder geval zijn er constante cyberaanvallen en staats-gesponsorde hacks. Is het dan verstandig om je sleutels tot je systemen te bewaren bij een bedrijf waar de Russische overheid de controle over heeft?

[fre0n]

Nee ik zou deze links laten liggen. Maar dat is in eerste instantie omdat het closed source is , in tweede instantie omdat ook de self hosted versie contact moet maken met het bedrijf (doen er ook meer, licenties enzo) en pas daarna omdat t russisch is.


Ook een duitse , belgische of nederlande closed source password manager laat ik links liggen

[PeterDons]

Is een keus "Rusland is ook een geopolitieke tegenstander." We hebben al vaak genoeg gezien dat je ook zoegenaamde bondgenoten niet kan vertrouwen. De hack van de belgische telefooncentralke door de Britten.W ie nu je vrienden zijn kunnen later als dat door sommigen landen (EU) gewenst is je vijanden worden.

Daarom ook zo veel mogelijk in eigen beheer.

[Mathijs Kok]

Het stukje is wel een beetje propaganda/stemmingmakerij. De software is russisch, ok. Maar er is geen misbruik aangetoond. Dus eigenlijk is er (nog) niets aan de hand maar is het vooral 'eng' ?

Mmm, ja.

Zou jij ervoor kiezen om een password manager te gebruiken die Russisch is en door de Russische overheid wordt gebruikt? Ik niet omdat ik dat 'eng' vind. Als jij daar niets engs aan vindt, dan lijkt het me een duidelijk afwijkende mening. Niets mis mee, hoor, maar feiten feitelijk weergeven zoals hier is gedaan kan naar mijn mening prima door de bocht.

[stresstak]

Als zelfs de Russische overheid zelf de Russische passwordmanager niet zou vertrouwen, dan is het kennelijk wel een heel dubieus programma.
Die overheid heeft toch ook geheimen te verbergen?

[fre0n]

De russische overheid gebruikt de password manager. Dan vertouwen ze het dus juist wel. Bovendien is er niet aangetoond dat er misbruik gemaakt is. Dit staat letterlijk in het artikel?


Ik ben niet pro rusland, maar wel anti propaganda

[fre0n]

Nee ik zou deze links laten liggen. Maar dat is in eerste instantie omdat het closed source is , in tweede instantie omdat ook de self hosted versie contact moet maken met het bedrijf (doen er ook meer, licenties enzo) en pas daarna omdat t russisch is.

Ook een duitse , belgische of nederlande closed source password manager laat ik links liggen.

[Teigetje!]

er is geen misbruik aangetoond. het gaat hier om dat laatste woordje, dat je het niet hebt kunnen vinden betekent niet dat het er niet is.

[MVO88]

Dat heeft met de aanbestedingswet te maken, wanneer aanschaf van een pakket boven een x-bedrag komt moet deze (Europees) worden aanbesteed.

Hierbij moet de overheid meerdere partijen een offerte laten maken waarbij deze op vooraf gestelde criteria moet voldoen.

Ik heb een blauwe maandag bij een overheidsinstantie gewerkt waarbij ze ontzettend graag in zee wilde met leverancier X. Helaas waren de criteria vooraf niet goed toegespitst op hun pakket, waarna de blinde evaluatie uitkwam op leverancier Y. Dit was een draak van een applicatie waar ze tot ontzet de komende jaren mee moesten werken, tot ze weer opnieuw mogen aanbesteden.

Het werkt bij overheden niet zo dat ze mogen cherry picken welk pakket ze gaan gebruiken.

[Sfynx]

Het belangrijkste criterium, namelijk of er simpelweg vertrouwen is in een bepaalde partij op basis van het verleden, mag dus niet worden meegewogen? Als er al 20 jaar naar volle tevredenheid wordt gewerkt met leverancier X, is het logisch om daar als eerste te kijken als er een nieuw product aangeschaft moet worden en niet voor een paar centen minder bij beunhaas Y die zegt hetzelfde te kunnen bieden. Dat is gezond verstand, wat heel wat ellende kan voorkomen.

[roemba]

Vaak is 'goede ervaringen' geen geldig criterium omdat dat vriendjespolitiek in de hand werkt. Bedenk dat de aanbestedingswet gemaakt is om corruptie tegen te gaan en dat je niet de vrije hand hebt om bepaalde criteria te bedenken, omdat een bedrijf te vage criteria of criteria in strijd met handelsakkoorden kan aanvechten voor de rechter, waarna je de hele aanbesteding opnieuw mag doen.

Gezien aanbestedingen al lang duren wordt er dus veel moeite gestopt in het opstellen van veilige criteria die 3x door legal gecheckt zijn, en worden ze verafschuwd door iedereen die bij de overheid werkt omdat het ongelooflijk ingewikkeld kan zijn om een goede uitkomst te krijgen.

Een goede uitkomst kan wel maar vereist: legal expertise om te weten wat je wel en niet mag vragen, een scherpe eisenlijst die alles (echt alles!) bevat wat je nodig hebt en wat je niet wilt en een verificatieronde die ook controleert of de leverancier niet gewoon heeft staan bullshitten toen ie zich inschreef op de aanbesteding (gebeurt vaker dan je denkt). Bij de meeste aanbestedingen gaat 1 van deze 3 dingen mis.

[AceAceAce]

Nee, vertrouwen en resultaten uit het verleden zijn geen criteria in europese aanbestedingsregels die in Nederland vertaald zijn in de aanbestedingswet en aanbestedingsbesluit.

Zie 2.114 en 2.115 uit de aanbestedingswet 2012.
https://wetten.overheid.nl/BWBR0032203/2026-04-30#Deel2_Hoofdstuk2.3_Afdeling2.3.8_Paragraaf2.3.8.4_Artikel2.114

[Reactie gewijzigd door AceAceAce op 17 juli 2026 10:33]

[magwelwatminder]

Ook geen slechte ervaringen in het verleden. We hadden er eentje die makkelijk 40 A4tjes per jaar haalden aan wat er niet goed ging. Kon zich gewoon weer de volgende ronde inschrijven en werd het weer omdat die geschiedenis niet bij een neutrale beoordeling past.

[Jerie]

Al vijftig jaar Oracle, zeer betrouwbaar, we zijn tevreden. Wel een beetje duur, maar ja, zo hebben we het altijd gedaan.

[CPV]

De NS moest de Fyra hoge snelheidstrein aanbesteden en moest toen de Ansaldo Breda treinen aanschaffen, wat een groot fiasco werd.

[SPee]

Dat kwam door het eisenpakket dat de NS had. Ze wouden bv een trein die sneller dan de TGV kon, waardoor die fabrikanten afvielen. Ze schoten zichzelf in de voeten daarmee.

[Webgnome]

dat is toch niet alleen een probleem van overheden zoals je in het artikel zelf kan lezen? Waarom zou een overheid en private partij hierin heel anders zijn? Het blijft mensenwerk..

[Annihilism]

Bij een overheid verwacht ik toch wel iets meer initiatief met betrekking tot veiligheid dan een private partij. Ik kan me niet voorstellen dat bij overheden dit soort software niet getoetst wordt door een aantal afdelingen voordat het ingezet wordt.

[Webgnome]

Die zal vast getoetst moeten worden, echter snap ik dat verschil niet. Waarom zou dat bij een private partij NIET moeten dan? De impact is er toch niet minder perse?

[Annihilism]

Omdat je bij een private partij (in veel gevallen, niet altijd) er zelf voor kiest om je gegevens er mee te delen. Bij een overheid ben je verplicht om bepaalde gegevens te delen, sterker nog je kunt het vaak niet eens voorkomen.

[Webgnome]

ah, eigen verantwoordelijkheid.. Sorry, als ik daar zelf voor kies is dat niet hetzelfde als dat ik weet wat er met die gegevens gebeurt. Ik koos er zelf voor om bepaalde dingen bij Odido achter te laten toen ik een abbo afsloot. Waar ik niet voor koos was dat ze vervolgens jaren later alles op straat hadden liggen.

[demianmonteverd]

Dat is een heel ander probleem qua oorzaak en vooral de risico's. Dan waar Anihilism het over had hierboven.

Als een (semi-)overheids organisatie haar toegang uit handen geeft tot systemen die ze gebruiken dan zijn de mogelijke gevolgen enorm.

[MattiVM]

Ik zou denken dat een overheid impact kan hebben op heel het land en alle gegevens van de inwoners, terwijl het kan zijn dat een privaat bedrijf een "beperktere" impact zal hebben (enkel hun (klant-) gegevens).

De interne impact zal hetzelfde zijn.

Dat de verantwoordelijkheid hetzelfde moet zijn is correct. De ene partij mag hierin niet lichter over gaan dan de andere partij. Maar het wilt niet zeggen dat de impact ook hetzelfde zal zijn.

[Reactie gewijzigd door MattiVM op 17 juli 2026 09:41]

[Lodd]

Indien de waarde van een opdracht boven bepaalde aanbestedingsdrempels komen (hoogte afhankelijk van sector en omstandigheden), dan komt er een aanbestedingsprocedure en in die context wordt er vaak wel redelijk wat getoetst. Ook verlangt men dan dat bepaalde papieren overlegd worden. In die context is er vaak sprake van een projectteam bij een overheid wat dan ook goed na gaat denken over de eisen die van toepassing moeten zijn. Uit mijn hoofd is die aanbestedingsdrempel iets van €448.000 voor vier jaar, maar pin me er niet op vast. (Voor bijv. Speciale sector bedrijven. )

Onder de aanbestedingsdrempel is het vaak anders. Sommige bedrijven hebben intern beleid waardoor bijvoorbeeld meerdere offertes uitgevraagd moeten worden, maar in deze context is vaak geen sprake van een heel projectteam of uitgebreide eisen. Des te kleiner het bedrag, des te groter de kans dat 1 persoon "effe snel iets regelt", zeg maar. Nu kan ik me voorstellen dat bij kleinere organisaties de gemoeide bedragen kleiner zijn en bovendien minder mensen beschikbaar zijn om mee te kijken.

[Reactie gewijzigd door Lodd op 17 juli 2026 09:55]

[rob12424]

Ik werk semi-overheid. En ken mensen binnen overheid. Het toetsen en ketenbeheer kennen ze meestal niet, of niet goed.

Of denk je werkelijk dat een gemeente iemand naar Barcelona gaat sturen om te kijken of het geen brievenbusfirma is? (Dat vinden ze al gauw te duur)

Terwijl de Russen waarschijnlijk wel iemand hebben die zijn diensten aanbied om te kijken of het een brievenbus firma is. En die kun je als gemeente zeer goedkoop wel weer inhuren

[demianmonteverd]

Dit moeten ze ook gewoon samen doen. Waarom werken ze niet samen met hun collega's? Er zijn (als het goed gedaan word) overal mensen met deze problemen bezig bij onze (semi-)publieke organisaties. Laat ze een keer contactgegevens uitwisselen.

[rob12424]

Dat wordt ook wel gedaan. Maar huidige maatschappij is vaak ik mag geen fouten maken. Dus niemand steekt zijn hoofd boven maaiveld uit. Als iemand het doet schuift gelijk iedereen werk en verantwoordelijkheid daarheen. En als diegene dan een fout maakt wordt het gelijk onder vergrootglas gelegd.

Daarnaast zijn het allemaal eilandjes vaak. En een politieke turnover van 4 jaar waardoor er geen lange termijn strategie is.

Water is daarin overigens de enige uitzondering maar dat komt omdat het deltaplan ook wettelijk voor mij. 20 jaar is vastgelegd en de waterschappen nog redelijk onafhankelijk zijn (=geen partij en lobbyisten politiek)

Besluitvorming duurt vaak eeuwig en dan gaat het fout of bijna fout en moet er halsoverkop actie ondernomen worden. En vaak werken mensen in grijze gebieden zonder communicatie op papier of zo min mogelijk. (Denk maar aan die oude Nokia van Rutte) Want als het dan fout gaat heb je geen overzicht of inzicht wie of wat. Maar je bent ook niet de Sjaak want niets staat op papier.

[demianmonteverd]

Maar Rob, door dit wegkijken worden er toch meer onnodige fouten gemaakt? Dit is niet houdbaar als het om IT gaat, het wegkijken is misschien werkbaar op andere beleidsterreinen (al denk ik dat het ook daar problemen zal geven) maar op IT is het gewoon onverantwoordelijk en het werkt aantoonbaar niet. Moet er dan eerst wetgeving komen die de politici en managers bij deze organisaties specifiek zou kunnen aanpakken?

En sowieso, als de verantwoordelijkheid elders gelegd kan worden met een gedeeld gemeentelijk OSS organisatie (of liever een EU+-OSS organisatie), dan is het toch niet eens een probleem. Dit moet gewoon opgelost worden voor het echt een keer misgaat en men echt belangrijke systemen weet te hacken.

[rob12424]

Dat is makkelijker gezegd dan gedaan. En nog een laag erbij die erover heen moet zeiken is meestal juist verder van de werkvloer af en meestal niet de oplossing Bij de overheid kijken ze echt vaak letterlijk naar papiertjes. Carrière maken is ook moeilijk daardoor. (Bij ons is het hoofd IT dat wel gelukt toevallig). Maar ze luisteren vaak niet naar de werkvloer. Wetgeving is er wel. Maar vaak door een iemand met geen verstand gemaakt of die het totaal verkeerd begrepen heeft achter zijn bureau. En vaak horen die managers iets door de ether wat hip is en door een lobbyclub aan is gekaart en roepen ze daar mee te poggen terwijl ze niet eens de afhankelijkheden kennen en het presenteren als het gouden ei.

En als het goed gaat strijken mensen met de eer gaat het slechts dan heeft iedereen het gedaan behalve zij zelf. Hoe denk je dat de toeslagenaffaire er is gekomen en nog steeds is? En ja soms heb je ook ondergeschikten die je tegenwerken omdat ze dingen niet gunnen.

Wat mij betreft gooien ze alles zoveel mogelijk opensource zodat programmeurs maar ook beleidsmakers van bedrijven gratis kunnen helpen bijdragen met oplossingen of dingen aankaarten.

Kijk maar eens naar de regering: hoeveel van de ambtenaren communicatie medewerkers zijn in de vorm van persvoorlichters enz. Je schrikt je gewoon rot.

[Lodd]

Volgens mij maken we hetzelfde punt: Er is nogal een verschil tussen grote rijksorganisaties zoals bijvoorbeeld Rijkswaterstaat en ProRail en bijvoorbeeld een kleine gemeente. Dat neemt niet weg dat er ook in grote organisaties vaak dingen misgaan en genoeg incompetentie zit. Maar grote organisaties hebben vaak wel meer middelen (dedicated informatiebeveiligings afdelingen, bijvoorbeeld). En als je 5000 licenties koopt, kom je al sneller in een aanbestedingstraject terecht dan als je er 50 koopt.

[phoenix2149]

Hebben wij nu niets geleerd dat sinds mensenheugenis het extern beïnvloeden van politici door lobbyisten die niet het algemeen belang in gedachte hebben. Als je dus een zeer effectieve lobby hebt betaald door Rusland, die als core business lijkt te hebben wereldpolitiek in chaos te houden (en met behoorlijk succes) dan verbaast dit mij helemaal niets.

[HollowGamer]

Je bedoelt diezelfde overheden die onze hele Domain Infrastructuur wilde weggeven aan AWS, en toen pas bij commentaar er iets aan ging doen?

Verder is er bij ons in Nederland ook vriendjespolitiek. De man die klokkenluider was bij de DigiD affaire (noem het maar even zo), is ontslagen en mag dit nu gaan aanvechten.

Dus m.a.w. het verbaast mij niets. Er gebeuren veel schimmige zaken daar, en tegengeluiden worden niet gewaardeerd. Het komt ook niet in de media, wel dagelijks van actiegroepen over conflicten kilometers hier vandaan.

[Reactie gewijzigd door HollowGamer op 17 juli 2026 10:49]

[Bender]

Waarom het anders moet zijn?
De overheid draagt een verantwoordelijkheid voor de hele maatschappij met daarbij een voorbeeldfunctie.

[Webgnome]

dat is helemaal waar. Echter een bedrijf heeft klanten, contactpersonen etc etc. Daar moet ook verantwoordelijk mee om worden gesprongen. Ook al heb je geen voorbeeld functie. Dat verschil moeten we eens een keer niet willen maken anders staat de deur open voor 'ja de overheid doet het niet dus waarom zou ik het doen'. Dat is een gevaarlijke instelling

[Reactie gewijzigd door Webgnome op 17 juli 2026 10:51]

[beeldbuijs]

De ironie is dat de overheid zoveel regels heeft dat men er in de dagelijkse praktijk niet aan toe komt ze allemaal uit te voeren. Wat ook niet helpt is dat de overheid zelf het echte werk vaak uitbesteedt, zoals het maken van een wachtwoordmanager ;) waardoor alsnog het risico naar het bedrijfsleven wordt verplaatst.

Andersom heeft het bedrijfsleven de neiging de regels bewuster te negeren, ontwijken, vrijer te interpreteren, want anders doet de concurrentie het wel en blijft er geen winst over.

Overigens zijn er zoveel regels dat niemand nog het overzicht heeft. Bedrijven bijvoorbeeld moeten zelf jaarlijks melden hoeveel en welke schadelijke stoffen ze uitstoten. Als ik dat tegen een ondernemer zeg, kijkt die je schaapachtig aan, alsof je een grap maakt. Andersom hebben bijvoorbeeld politieagenten geen flauw idee wat er in de jachtwet staat.

[Finraziel]

Los van of het voor een overheid anders zou moeten zijn, als je ooit met overheid als opdrachtgever gewerkt hebt zou je weten dat ze echt extreem veeleisend kunnen zijn (niet dat dat per se een slecht iets is)... Het probleem is dat het ook vaak wat ongecoördineerd en soms (of vaak) niet zo consequent kan zijn. Heel veel eisen, maar dan alsnog allemaal gaten open laten. Daarom zie je ook vaak dat ze dan met een of andere grote partij in zee gaan die het administratief aankan om aan alle eisen te voldoen en de loopholes kan vinden om het goedkoper te doen dan een ander (en waardoor het vaak toch mis gaat).

Maar ja dan is het inderdaad wel apart dat er een partij gekozen is waar ze blijkbaar niet eens van weten wie er achter zit.

[lenwar]

De term Europees wordt op verschillende manieren gebruikt. Europees kan betekenen Geografisch Europa of ‘in de EU’. In de praktijk niet inclusief EFTA. (EFTA omvat op het moment van schrijven Noorwegen, Zwitserland, IJsland en Lichtenstein.))

Geografisch Europa ligt 'grofweg' ten westen van het Oeral gebergte en ten oosten van de Atlantische Oceaan. (en ten noorden van de Middellandse zee). Dit is dus 'ook' inclusief een deel van Rusland. (Moskou ligt dus ruimschoots in geografisch Europa.)

Europees in dit geval betekend 'EU', en daarmee zou Proton dus afvallen. (N.B. Er is natuurlijk niets mis met Proton.)

[Reactie gewijzigd door lenwar op 17 juli 2026 14:16]

[pegagus]

In dit geval betreft het het continent Europa, voor zover het niet Rusland betreft. De nieuwe wereldorde is toe aan nieuwe geografische duidingen.

[lenwar]

Wetenschappers maken zich vaak op dit niveau, niet zo druk om politieke strubbels. Het is uiteindelijk maar een plak grond, hè? 😊

Als het om een aaneen gesloten stuk grond gaat, dan heb je zelfs te maken met Eurazië, of als je het Suez-kanaal negeert, zelfs Afro-Eurazië. (Dat negeren zou terecht zijn omdat het natuurlijk gegraven is.)

[WillySis]

Zelf ben ik niet zo'n fan van online opgeslagen wachtwoorden. Ik sla mijn wachtwoorden lokaal op met Password Safe (open source). Ik heb wel een kopie van de kluis op mijn Onedrive staan.

De herkomst van software in niet altijd gemakkelijk te achterhalen. Password had zich verscholen achter een Spaanse brievenbus en leek daardoor Europees. Open Source is ook geen garantie tegen misbruik door hackers of schurkenstaten. Ook die kunnen immers updates doen waarin dodgy code zit verscholen.

Wil Europa echt veilige software gaan gebruiken, dan zal men een eigen software industrie moeten creëren. Dat kan door een aantal bedrijven aan te wijzen die men vertrouwt en die uitsluitend in Europa gecreëerde code gebruiken, eventueel met gebruik van een Europese AI assistent. Eventueel kan men dat uitbreiden met Australië en Nieuw Zeeland die min of meer hetzelfde probleem hebben.

Eigenlijk is het gewoon triest dat we andere landen niet meer kunnen vertrouwen en de wereld in blokken uiteenvalt. Zo krijgen we Amerika en China als machtige blokken en Rusland, Europa en Australië / Nieuw Zeeland die zich van die machten proberen los te maken.

[Triblade_8472]

Of de Australische Passwordstate. Kan je prima lokaal hosten (zonder problemen zelfs op Windows).

Of Vaultwarden, als lokale installatie van Bitwarden.

[PjotrX]

Omdat de overheid niet zomaar een partij mag kiezen omdat het een bekend naam heeft. Veel aankopen boven een bepaald bedrag moeten via een aabesteding zodat alle bedrijfen dezelfde kansen krijgen.

[demianmonteverd]

Zo'n password tooltje zal die grens wellicht niet halen.

[PjotrX]

Zo'n passwoordtoolje is geen specialistisch software dat maar door paar man in een organisatie gebruikt wordt. Vooral als je aan bepaalde standaarden rond security moet voldoen heb je al snel dat een groot deel van je personeel geacht wordt een passwordmanager te gebruiken. Daardoor telt het snel op kwa kosten. Aanbesteding is meestal voor een periode voor x aantal jaar, zoals 4. 1Password is 8 euro p.p.p.m, dat is 380 euro per persoon over zo'n periode. Dan ben je met 500 medewerkers al over zo'n grens heen.

[demianmonteverd]

Grotere organisaties waar ik voor of met heb samengewerkt, deden vroeger meestal gewoon gnupg met shellscripts voor het delen van een gemeenschappelijke pw database via rcs en later cvs. Dat werd door developers en systeembeheerders dan gebruikt. Dat kost ook niets. Maar voor kantoor personeel is dat inderdaad misschien niet praktisch, die werken vaak sowieso niet op een unix-achtig systeem. Mijn reactie is meer voor de meer technisch onderlegde afdelingen wellicht een optie die overwogen kan worden, al kan men ook natuurlijk zelf iets doen met shell scripts.

Misschien moet de overheid zelf een keer een goede password manager maken (en zelf hosten!) met diverse nivo's qua beveiliging. Is wat werk maar dan ben je van dit probleem af, laten we het in elk geval niet weer alleen proberen, werk samen in EU+-verband, anders krijg je weer onzinnige issues over een tijdje. En als de overheid dit doet, maak het dan meteen beschikbaar voor lagere overheden en andere semi-publieke organisaties, anders blijven die weer hangen. Er is nog heel veel werk te verzetten en het probleem negeren werkt dus niet gezien de infiltratie van deze tool.

[Ducky]

Überhaupt zo iets in de cloud hosten, dan heb je toch de begin les cybersecurity gemist...

[Mathijs Kok]

Überhaupt zo iets in de cloud hosten, dan heb je toch de begin les cybersecurity gemist...

Jij denkt dat iedereen de kennis heeft om dit zelf te hosten en tweevoudig te backuppen?

[demianmonteverd]

Daarom moet je ook samenwerken met andere organisaties. Samen sta je sterker en weet je meer. Voor het bedrijfsleven is dat natuurlijk soms wat lastiger, wellicht dat de diverse bedrijfsorganisaties ook meer op dit soort gebieden moeten doen. Bijv. de notarissen doen wel al heel veel via hun beroepsorganisatie op dit soort gebieden, in elk geval in NL, geen idee hoe dat zit in andere EU landen zoals BE.

[Jerie]

Ja, en alle gemeenten moeten alles zelf maar regelen i.p.v. centraliseren. Foute boel als je het mij vraagt. Regel het centraal en bied het gratis aan voor gemeenten. Als ze vervolgens elders in zee willen gaan, op eigen kosten (en niet daarover zeiken).

[demianmonteverd]

Om te huilen als je er over nadenkt, er is zo veel kennis in die gemeenten aanwezig, zelfs nu al, maar volledig onbenut, want versnipperd. En dan heb je nog EU-breed een potentie... Als je er over na gaat denken, dan springen de tranen in je ogen.

En dan laten we ze nog niet eens samenwerken met de mensen die beschikbaar zijn voor provincies of de centrale overheid of zelfs EU...

Het zal vast gebeuren op bepaalde onderwerpen (parkeren bijv.), maar voor security/software/hosting/netwerken en dergelijke is het eigenlijk een must.

[Jerie]

Misschien kan het via VNG, maar het is hoe dan ook een investering die ergens vandaan moet komen (en die schaalbaar zich terug zou verdienen waardoor gemeenten geld kunnen besparen).

Denk je groter, kom je uit bij EU. Qua EU moeten we m.i. vooral van te voren nadenken over locales. Bij moderne software is dat allemaal eenvoudig.

Maatwerk leveren op basis van FOSS kan, blijft wel veel bij consultants hangen dan (lekker parasitair), en geld komt dan niet waar het eigenlijk hoort (de devs). Daarom ben ik van mening dat je FOSS moet financieren als overheid (EU) zijnde. Daar zijn wel mooie initiatieven voor (NLnet bijvoorbeeld). Vanaf dat punt kun je altijd nog voor maatwerk gaan, maar je zou dat maatwerk doorgaans ook in de software zelf kunnen stoppen.

[demianmonteverd]

NLNet is een goed model inderdaad! Al zou ik liever zien dat men het echt 'intern' neemt als het om essentiele software gaat, neem ze in dienst, zorg dat je 'zelf' de maintainer bent. Als het niet anders kan forken voor specifieke features, iets meer werk om alles bij elkaar te houden en daar moet je dan in investeren zoals jij al aangeeft.

Er is geen reden waarom we niet een aantal open source developers op de loonlijsten kunnen zetten in de EU. DE heeft dit altijd al indirect gedaan met subsidies voor projecten als gnupg, maar voor kantoor-achtige software is er weinig gedaan nog, terwijl je hier in de reacties ziet dat mensen absoluut behoefte hebben aan zaken als password managers omdat voor hun organisaties of persoonlijke behoefte, om verschillende redenen, tools als pass niet voldoende zijn.

Misschien een EU OSS bureau, maar dan a.u.b. zonder te veel politici in het bestuur en als het kan zonder vriendjes en/of familie van politici, Fedorov uit UA is straks mogelijk beschikbaar (tot groot ongenoegen van UA burgers en ook helaas voor de EU/wereld in het algemeen), lijkt mij een meer dan uitstekende keuze voor een initiatief als dit.

En a.u.b. doe eerst iets aan self-hosting binnen de EU, anders blijf je issues houden.

[Keypunchie]

Jurisdictie van bedrijven (en uiteindelijke eigenaar, de "UBO") wordt steeds belangrijker om te checken.

Voor wachtwoorden is het misschien goed om te weten dat 1Password een Canadees bedrijf is. Zelf zou ik als je het niet lokaal/zelf wilt hosten vooral naar Proton kijken, maar ik heb geen ervaring met hun passwordmanager

[wjn]

Het UBO register is (niet meer) openbaar (gelukkig zou ik zeggen).

Proton Pass werkt fijn, ik gebruik het nu ongeveer een half jaartje (n=1). Stelt bij nieuwe aanmeldingen automatisch een email alias voor en uiteraard een sterk wachtwoord. Je kunt een alias naar verschillende (of meerdere) eigen emailadressen sturen. 2FA en passkeys zijn ook geintegreerd.

[Reactie gewijzigd door wjn op 17 juli 2026 09:03]

[DigitalExorcist]

Dat heb ik met Bitwarden; ik heb een betaald abonnement, maar draai het binnen de .eu omgeving. Voor nu is dat "goed genoeg" voor privézaken. Ik heb een dienst die automatisch mailadressen kan maken maar ben de naam even vergeten en ik kan het in de instellingen zo gauw niet terugvinden

EDIT: SimpleLogin ! Dat was het.

[Reactie gewijzigd door DigitalExorcist op 17 juli 2026 09:25]

[Sankara]

Vaultwarden kan je op je eigen omgeving hosten. Dat kan al op een goedkope thin client van een paar tientjes. Maak je backups naar een externe (EU) storage locatie voor 3 euro per maand en je hebt volledig controle over je eigen data/wachtwoordkluis.

Als er iets is dat je in eigen beheer moet houden is het je wachtwoordenbeheer.

[DigitalExorcist]

Ja leuk maar ik heb geen zin meer in gehannes met self hosted meuk. Dat moet ik óók weer onderhouden allemaal. OS, applicatie, firewall, dat heb ik een tijd lang gedaan met VaultWarden (op een Raspberry Pi) in combinatie met een ZeroTier (vxlan) oplossing. Hoop gedoe, om de haverklap werkte het syncen niet meer, nah ik geloof het wel.

Zakelijk? Ja prima. Maar privé vindt ik het wel even best. Op mijn leeftijd wil ik vooral gemak hebben en als dat wat geld kost, prima.

[tvtech]

Ik draai al jaren Vaultwarden in Home Assistant wat in een vm in Proxmox draait op een simpele Dell micro pc. Nog nooit een probleem mee gehad, draait retestabiel. Ook met de extensies en div clients en OS' en

[DigitalExorcist]

Ja maar ik heb die toegang altijd overengineered - alleen toegang als ik met ZeroTier verbonden ben. Geen poorten van buiten naar binnen open, werkt over het algemeen prima maar een mini-PC onderhouden (incl. stroomkosten en alles), ik heb er gewoon geen zin meer in. Ja, HomeAssistant draait op m'n Synology NAS maar ook daar doe ik veel te weinig mee eigenlijk. Je moet zo'n berg aan software onderhouden, als ik naast het OS dan ook HA moet onderhouden, ZeroTier, de firewall, firmware van die mini-PC, álles, daar heb ik een dagtaak aan zowat.

[Reactie gewijzigd door DigitalExorcist op 17 juli 2026 10:06]

[tvtech]

daar heb je inderdaad een punt, ik heb ook geen poorten open maar gebruik Pangolin als reverse proxy en toegang. Het klopt dat je er allemaal werk aan hebt. Ik gebruik het ook als leer project en hobby ondanks dat ik overdag als werk een eind hetzelfde doe. Soms kan ik de kennis aan beide kanten gebruiken, ik blijf graag bij met kennis.

[DigitalExorcist]

Ja ik ook, maar op een gegeven moment was ik er klaar mee dat "soms dingen wel en soms ook niet" werkten. Het automatisch syncen van m'n iPhone met Vaultwarden werkte dan niet omdat ZeroTier niet direct aan stond, dan zit je weer als je live onderweg ergens een accountje moet aanmaken, dat gedoe allemaal. Zwaar irritant. Op een gegeven moment voor gemak gekozen en 'gewoon' Bitwarden hosted genomen.

Maar Proton Pass lijkt me ook wel wat. En anders kan ik gewoon de Apple Wachtwoorden app nog nemen (die was er nog niet voor Windows toen ik overstape naar Bitwarden anders had ik dat denk ik wel gedaan).

[logix147]

Nadeel aan Apple is wel weer dat die de laatste jaren beetje anti-eu regelgeving beginnen te lijken. Los daarvan mogen ze alles van me weten, maar ik heb mijn wachtwoorden gewoon ook bij Bitwarden zitten. Mijn hoofdwachtwoord zit weer elders, maar daar zitten eigenlijk ook maar een paar entries in, soort van mijn digitale testament. Zonder dat dit dan weer bekend moet zijn bij de instantie die daarvan de fysieke toegang heeft.

[Niemand_Anders]

Ik heb pangolin zowel intern als extern draaien en beide bedienen hetzelfde domain (home.example.com). Via de publieke DNS ga je naar de externe Pangolin instantie, als je intern zit, krijg je via dhcp een adguard home DNS server toegewezen welke een override is van home.example.com. Hierdoor kan ik immich.home.example.com ook delen met familie, terwijl andere services alleen intern blijven zoals netbird.

[tvtech]

ik alleen extern bij ionos en heb de enterprise versie met rules om sommige zaken publiek en andere alleen vanaf een bepaald ip of land toe te staan.

[Mathijs Kok]

Vaultwarden, in HA, in Proxmox (met interne en externe backup neem ik aan?), een goed idee! Zal dit aanraden aan al mijn familie als ze me om advies vragen.

[tvtech]

inderdaad. PBS server op een 2e host (ik heb er 3) en op mijn werk draait Proxmox op een afgeschreven Dell Poweredge met daarin ook een PBS backup server. Wireguard aan op mij Fritzbox, de PBS server heeft de Wireguard client en zo backup ik via internet alle vm's naar de 2e locatie op het werk.

HA wordt ook nog eens incl add-ons gebackupped naar mijn Onedrive.

[Reactie gewijzigd door tvtech op 17 juli 2026 11:25]

[nullbyte]

Die host ik al een tijdje zelf naast alias vault. Geen problemen met syncen overigens. Op mijn leeftijd wil ik vooral veiligheid en geen cloud meuk. Onderhouden? Daarvoor hebben we ansible.

[Reactie gewijzigd door nullbyte op 18 juli 2026 01:50]

[logix147]

Dat ligt eraan of je dat kan, het zelf in beheer houden. Ik kies ervoor om dit bij Bitwarden zelf neer te leggen, omdat ik niet wil dat als mijn eigen hosted materiaal plat gaat, reden onbekend, ik geen toegang meer heb tot al mijn wachtwoorden.

Dat is jaren goed kan gaan en zo kan werken is helaas geen garantie voor de toekomst en laatste wat ik bij een brand thuis bijvoorbeeld wil bedenken is hoe ik mijn wachtwoorden weer tevoorschijn tover. Dat mijn homelab data weg deels zinloos, weg is, prima risico.

Ieder zijn keuze, op basis van ieders afweging.

[metbril]

Als je een betaald abonnement hebt bij SimpleLogin, heb je volgens mij automatisch ook Proton Pass Plus. Dat scheelt weer de kosten van een password manager.

https://simplelogin.io/blog/sl-premium-including-pass-plus/

[DigitalExorcist]

Ja klopt; ik heb de gratis versie nog, maar die koppeling is inderdaad handig!

[Slash]

SimpleLogin is ruim 4 jaar geleden overgenomen door Proton.

Bron: https://proton.me/blog/proton-and-simplelogin-join-forces

[question]

Werkt de auto email alias functie ook met een eigen domeinnaam?

[wjn]

Nou, had ik nog niet naar gekeken, maar dat kan wel inderdaad.

Hide-my-email aliases | Proton

Create aliases with a custom domain address

If you’re on a paid Proton Pass, Proton Workspace, or Proton Visionary plan, you can add up to 10 personal domains to your Proton Pass account and use them to create alias addresses like [e-mail].

Note: You can’t use the same domain for Proton Mail and Proton Pass at the same time. If you’re already using your custom domain for Proton Mail, you will see a “Failed to create domain” error when you try to add it to Proton Pass.

Ik gebruik alias alleen voor webshops e.d., wat niet kritisch is.

[GeleKoplamp]

n=2, kan het beamen.

Kwam onlangs ook aardig uit een onafhankelijke audit:

https://cyberinsider.com/proton-pass-rated-well-above-par-in-independent-security-audit/

[beeldbuijs]

Ik mag toch hopen dat de controles iets verder gaan dan kijken wie op papier de ubo van Passwork in Spanje is. Is een kwestie van een stroman zeerzetten.

[tfro71]

UBO kan, mits goed onderzocht en geregistreerd, juist niet een stroman zijn ;)
Dat zit hem een beetje in de U.

[Gamebuster]

"Hey ik geef je 10K om dit bedrijf te registreren, wij doen de rest"

[Concept8]

UBO gaat niet over registreren. Jouw vraag zou dan zijn: je krijgt 10k als we je als eigenaar van 20+ procent van de aandelen of 20+ procent van de feitelijke zeggenschap opgeven. En niemand anders achter de schermen krijgt meer dan 20% van de aandelen, want anders zouden die ook als UBO opduiken.

Misschien dat het dan alsnog gebeurt om zo’n constructie op te tuigen, maar in principe heeft de UBO dan ook echt iets in handen.

[Gamebuster]

Juridisch gezien kan de stroman gewoon 100% eigenaar zijn, en alsnog betaald of beinvloed worden door een "foute partij". Je betaalt iemand om de BV te registreren en dingen als een bankrekening aan te vragen, en de rest doet "de foute partij".

Dus de "stroman" zet gewoon af en toe en handtekening en meer niet.

[Reactie gewijzigd door Gamebuster op 17 juli 2026 14:35]

[demianmonteverd]

Eigenlijk kan het niet alleen UBO checken, je moet dat ook bijhouden immers. Men zal moeten gaan samenwerken, het is duidelijk dat dit probleem anders de kop zal blijven opsteken. Misschien prima voor sommige organisaties zonder groot risico profiel voor de maatschappij, zoals een bakkerij op de hoek, maar met gemeenten is het al een stuk minder grappig.

[killergrave]

Exact, dat is de kern van het probleem bij dit soort geopolitiek gevoelige software. In de praktijk zie je dat er vaak gebruik wordt gemaakt van complexe, holdingstructuren of zogeheten shell companies (brievenbusfirma's) in landen als Cyprus, Malta of Spanje. Dit gaat soms zo ver dat de ingehuurde ontwikkelaars op de werkvloer oprecht geloven dat ze voor een legitieme Europese of Russische start up werken, zij zien ook alleen de buitenste schil.

Wat betreft het risico, de dreiging hoeft inderdaad niet direct in de huidige broncode te zitten. Dit sluit naadloos aan bij het concept van een supply chain attack of een sleeping agent scenario. Een kwaadwillende actor of een overheidsdienst via een intelligence requirement hoeft pas toe te slaan wanneer de software een kritieke massa aan hoogwaardige doelwitten heeft bereikt. Het XZ Utils incident van begin 2024 liet perfect zien hoe een actor (mogelijk gelieerd aan een staat) jarenlang geduldig kan bouwen aan vertrouwen alvorens een backdoor te introduceren.

Als een overheid als de Russische besluit zo een tool te weaponizen, hoeven ze niet eens de database centraal te kraken, een gerichte, kwaadaardige update naar specifieke endpoints is voldoende. De buitgemaakte data van bijvoorbeeld die Franse havens of Duitse overheidsinstanties is onbetaalbaar voor spionage, sabotage of het voorbereiden van grotere infrastructurele aanvallen op een later moment. Enkel controleren wie de UBO op papier is, dekt dit risico simpelweg niet af. En ergens denk ik dat ze dat ook expres zo willen houden.

[hluijend]

Ik heb proton pass, na een overstap van Bitwarden. Wel de betaalde versie, inclusief mail, drive enzo. Ik vind het een groot voordeel dat je met Proton Pass ook aliassen kunt aanmaken voor email-adressen. Maakt je accounts nog lastiger te hacken :-)

[metbril]

Ik ben wel een beetje teruggekomen van al die aliassen. Gebruik nu weer grotendeels een email adres op een eigen domein. Ben nu 55+ en wil vooral gemak. Je gegevens komen uiteindelijk toch op straat te liggen, alias of niet. Met een goed spamfilter, een goede wachtwoordmanager met sterke wachtwoorden, 2FA en passkeys kom ik zo een heel eind.

[Joab9000]

Ik ben overgestapt van 1Password naar ProtonPass. Nog geen seconde spijt van.

[korenpc]

ik gebruik prive ook Protonpass, gebruikte in het verleden keepass en diens forken. Maar omdat ik op een gegevenmoment op elk systeem een eigen database had staan, en dus nooit precies up to date kon blijven of het dan synchroniseren via bijv. onedrive dmv thirdparty pluggins. is het gebruikers gemak van Protonpass voor mij prima.

Alleen blijft het een kwestie van vertrouwen. dat Proton echt zo beveiligd en encrypted is als ze zelf beweren.

En misschien nog net zo belangrijk als mensen (al is het met behulp van hulpmiddelen zoals computer rekenkracht) de ultieme beveilig kunnen bouwen dan kunnen mensen tegelijkertijd (al is het met behulp van hulpmiddelen....) die zelfde ultieme beveiliging kunnen kraken / naar binnen komen.

Het is volgens mij niks meer dan een kat en muisspel.

Ik heb alleen voor mijn zakelijke apparaten een offline password manager.

Het voordeel van offline opslaan is, dat de kans dat ik als gewone simpele jan lul bewust aangevallen wordt door hackers is vele malen lager, dan dat Proton wordt aangevallen.

[Reactie gewijzigd door korenpc op 17 juli 2026 10:31]

[pmeulman]

Weet je dat zeker? Jan met de korte achternaam is namelijk heel interessant om juist wel te hacken. Je denkt dat je niet interessant bent en vergat net even dat laatste oen poortjes of bug niet te fixen.

[amigob2]

Had proton tot ik er achter kwam dat Proton user friendliness voor veiligheid plaatst. Ik ben er weg gegaan

Geen fatsoenlijk snelle veilig unlock van je database op windows.

[Reactie gewijzigd door amigob2 op 17 juli 2026 09:16]

[YopY]

Denk dat dit nu precies een zaak is voor bijv. het AIVD, dat die dienstverleners en softwareboeren doorlichten om te kijken of ze koppelingen hebben met mogelijk vijandige partijen, of dat ze liegen over hun afkomst. En vervolgens adviezen geven aan bedrijven.

Ik wil niet zeggen dat ze een veilige lijst ofzo moeten maken, de vrije markt is namelijk ook belangrijk. Maar het moet wel eerlijk en veilig zijn.

[Halfscherp]

Proton heeft weer innige banden (gehad) met TesoNet. Bedrijf dat onder andere datamining als service aanbiedt

1Password zijn echt al sinds de Roboform dagen in de markt, er is nog nooit een vuiltje aan de lucht geweest en ze doen elke paar jaar wel een audit. En deels dankzij hun doen zoveel sites nu aan passkeys. Hun vault format is ook open spec, dus als ze failliet gaan kun je die gewoon decrypten.

Al heb je 1Password natuurlijk vooral omdat de UX en UI met kop en schouders boven de rest uitsteekt (ook bv de SSH en CLI integratie). Als het je echt om maximale veiligheid gaat dan zit je bij Bitwarden of lokaal.

[Merik]

Ja dat deed ik toevallig laatst bij een bouwverzekering, een afbouwgarantie bij een tinyhouse. Daar, stond een eenmansfirma in Eindhoven op als naam, maar op de website van die firma kom je bij een adres in Delaware in de V.S. uit, op een bedrijvenhub waar ook al eens (of vaker) een inval wegens belastingfraude geweest is, en daarachter een bedrijf in Dubai. Die bouw- en makelaarswereld is ook zo schimmig als het maar zijn kan...

[Vinnie.1234]

Voor mij is het echt heel simpel, elke wachtwoordmanager die mijn wachtwoorden op een server op slaat vertrouw ik niet! Ik wil mijn eigen beheer kunnen hebben over mijn wachtwoorden en me zelf enigsinds kunnen verzekeren dat mijn wachtwoorden veilig zijn. Ik heb zelf Enpass waarvan ik mijn database wel in een cloud heb staan (OneDrive). Maar hierin heb ik wel een beetje dat als ik Microsoft in dit geval niet genoeg hier voor kan vertrouwen ik veel grotere issues heb, heb immers een Microsoft email .

Voor de rest maakt het me weinig uit of het Russisch is of welk ander land dan ook. Als het op een server staat kan dat bedrijf gehackt worden en kunnen mijn wachtwoorden op straat liggen!

[Marq]

Zo simpel is het niet. Wanneer je de code van de client niet zelf controleert (lokaal, niet op GitHub) en dat na elke update herhaalt, weet je nooit zeker of je 'lokale password manager' niet stiekem een ontsleutelde kopie naar een server stuurt.

[nandervv]

Niet geheel waar natuurlijk, je kan op operating system niveau gewoon blokkeren dat die applicatie überhaupt het internet op mag . Dan kan die hoog springen of laag springen, hij krijgt zn data gewoon niet naar huis

[demianmonteverd]

Op het nivo waartegen overheids en semi-publieke organisaties zich moeten kunnen verdedigen tegen RU, is dit onvoldoende helaas. Als je eenmaal software uitvoert op een machine is het eigenlijk al einde verhaal hoe goed je je netwerk ook beveiligd, je kunt lezen wat een overheidsorganisatie allemaal kan met bijna geen access in diverse boeken, bijv. Stuxnet is een aardig boek en een bekende case.

[CAPSLOCK2000]

Zo simpel is het niet. Wanneer je de code van de client niet zelf controleert (lokaal, niet op GitHub) en dat na elke update herhaalt, weet je nooit zeker of je 'lokale password manager' niet stiekem een ontsleutelde kopie naar een server stuurt.

Absolute zekerheid bestaat niet, het gaat altijd om kansen. Zelfs als je de password manager helemaal vertrouwt moet je ook nog het OS vertrouwen, alle firmware, de hardware, crypto libraries, etc.
Door steekproefsgewijs code te controleren kun je vertrouwen opbouwen. Dat is geen absolute zekerheid maar beter dan niks, zoals wanneer alles extern draait of closed source is.

[bigbadbull]

Daarvoor hebben we net een cybercycurity team dat dit zou moeten controleren.

Maar he je het draait of keert een lokale pswdmgr is altijd minder inbraakgevoelig dan een online versie. Het zijn allemaal verschillende databases op verschillende locaties, waar een cloud variant slechts 1 database (en misschien een lokale sync per user) met gegeven van alle gebruikers. Dus veel interessanter om daar te gaan vissen.
Lokaal moeten ze eerst toegang tot elke pc aparte hebben , kijken of er een dergelijke applicatie is en dan nog eens die proberen te hacken, elk kan nog verschillende firewalls en zelfs OS hebben. En een gehackte lokale database bevat ook minder gegevens.

[Marq]

De meeste software heeft tegenwoordig wel een update mogelijkheid. Dus als aanvaller hoef je 'alleen maar' de distributie van de software aan te vallen. Je zorgt dat je kwaadaardige code wordt toegevoegd als onderdeel van een build of distributieproces et voilà. Let wel: die aanvaller kan ook de aanbieder van de software zelf zijn.

Het klopt wel dat dit ook kan voor de software die cloud sync heeft, dus dat soort software heeft wel meer mogelijke punten die aangevallen kunnen worden. Aan de andere kant zou in die cloud alleen de versleutelde data moeten staan, en het is niet zo moeilijk dat correct en veilig te implementeren.

[bigbadbull]

klopt volledig, maar ons cyberdefence controleert eerst alle updates om te vermijden dat de update chain besmet is.

[Caelorum]

Op zich een goed uitgangspunt, maar dat je het dan op onedrive zet is wel weer interessant. Hoe is dat anders dan sommige wachtwoordbedrijven?

Bijvoorbeeld de setup van 1password met end-to-end encryption is dusdanig dat als hackers de data al hebben het ze nog steeds met een top tier quantum of supercomputer langer duurt dan de aarde zal bestaan. Er zijn eenvoudigere manieren om die wachtwoorden van mij te krijgen, waaronder ontvoering en marteling. Als ik al ooit zo belangrijk wordt heb ik meer problemen.

[demianmonteverd]

Als je op linux/freebsd/openbsd zit is pass wel een redelijke oplossing. Maar nog steeds opletten op wat je doet, als je je private key gaat lekken of ongemerkt en onbewust bloot stelt is alles natuurlijk weer voor niets. Goed beveiligen is moeilijk.

Bruce Schneier heeft ook zich ingezet, heb dit zelf niet gebruikt, maar qua reputatie is hij wel iemand om te overwegen als bron voor goede oplossingen.

[Reactie gewijzigd door demianmonteverd op 17 juli 2026 10:41]

[Vinnie.1234]

Bij elk wachtwoord bedrijf is het maar de vraag hoe goed de encryptie daadwerkelijk is. Maar meta data is vaak een stuk minder goed beveiligd en kan je ook heel veel aan hebben

Daarbij is mijn OneDrive beveiligd opzichzelf. Tuurlijk kan je je afvragen of Microsoft te vertrouwen is, maar als ik dan bedenkt dat een groot deel van het internet op Azure servers draait, mijn PC windows heeft en mijn email ook van outlook is moet ik domweg vertrouwen dat dit veilig genoeg is. Op het moment dat ik daar aan twijfel heb ik grotere zorgen en is eigenlijk het internet niet meer te gebruiken zoals ik dat wil. Een eigen nextcloud wel is naar gekeken, maar als ik die op een server draai heb ik alsog het punt dat ik de provider moet vertrouwen en als ik deze lokaal draait loop ik het risico dat het kapot kan gaan. Hardware of een brand bijvoorbeeld en kan ik nergens meer in. Ik wil dus ergens in een cloud de data hebben.

Dan hebben we nog de 2e laag van beschreming en dat is dat mijn wachtwoordkluis zelf beveiligd is. Mochten ze mijn OneDrive in komen zijn ze nog steeds niet in mijn kluis. En mocht Enpass een probleem hebben zodat ze makkelijk mijn kluis is kunnen komen moeten ze eerst mijn OneDrive nog inkomen.

En dan nog het punt, als ze in mijn OneDrive zijn betekend dat dat ze bij mij mail kunnen. Kunnen ze bij mijn mail is het voor het gross van de plekken waar ik een wachtwoord heb niet heel moeilijk meer het wachtwoord gewoon aan te passen. Ik denk zelfs bij vee overheids zaken etc.. Kunnen ze in mijn mail is indentiteit fraude ook niet heel moeilijk meer namelijk!

[Caelorum]

Het is van 1password gewoon bekend en publiek beschikbaar hoe ze alles encrypten en met welke sterkte en overigens ook wat (de hele kluis incl metadata). Verder eens met je verhaal hoor. Zelf heb ik mijn mail ergens anders ondergebracht, maar als je die bij MS hebt kan je ook net zo goed onedrive gebruiken.

[Loggedinasroot]

Paar jaar terug even in onze SIEM gekeken naar certificaten van binaries die gesigned zijn door Russische rechtsvormen(OOO,ZAO,AO etc) en dat waren er stiekem toch best een aantal.

Nu ga ik er van uit dat "Passwork" misschien niet eens gesigned is, en als het dat wel is misschien door een spaanse rechtsvorm.

Maar in ieder geval een idee om te kijken of er Russische software binnen je bedrijf gebruikt wordt. Je vindt in ieder geval het laaghangende fruit.

[Impulse-IT]

Veeam is er ook zo eentje met een Russische bodem.. Kan je wel niet zomaar veranderen want, is er wel iets wat minstens even goed is?

[xSNAKEX]

Hornetsecurity (Altaro) is met gemak minimaal even goed en zelf beter imo. Acronis en Bacula zijn ook prima alternatieven.

[question]

Ik vraag me weleens af hoeveel het echt uitmaakt. Wanneer ik zakelijk contact heb met Acronis tech support kom ik nagenoeg altijd in India uit. Leuk, zo'n Zwitsers bedrijf..

[Tha Render_2]

Kort antwoord: Ja, Rubrik is beter dan Veeam.

[stftweaker]

Het gaat niet om consumentjes. Gaat om Bedrijven/ instellingen die van deze software gebruik maken. Dat is gezien de politieke ontwikkelingen zeer onwenselijk. Daarom is het een goede wake up call.

[The Zep Man]

Er zijn overigens geen aanwijzingen dat Passwork gecompromitteerd is of dat Rusland toegang heeft tot wachtwoorden of andere data. Wel waarschuwen verschillende experts voor de risico's.

Een in het artikel niet genoemd risico is mogelijke boetes als een bedrijf onder de huidige sancties gebruik blijft maken van Passwork. Een migratie is nodig om dit te voorkomen.

[Ghoelian]

Op hun website staat letterlijk als eerste feature die ze benoemen "auditable source code". Nou, de enige source code die ik kan vinden is een aantal deprecated repo's en een command-line interface, niet de server of andere client software.

Ze hebben het ook over self-hosted, maar ik zie nergens een server download oid. Ook al logen ze niet over hun afkomst, klinkt dit wel heel vaag. De "on-premise solution" link in hun footer redirect gewoon naar de homepagina.

Als alles gewoon open-source geweest was, met een verifieerbare build pipeline, zou het in principe geen enkel probleem hoeven zijn dat deze partij Russisch is. Maargoed zoals het nu is zou ik het sowieso niet vertrouwen.

[CPV]

Wat is dit:
ik type een reactie op de reactie van ene Kaasdipje en bij het plaatsen krijg ik een unauthorized action?
Na het refreshen van de pagina blijkt de betreffende post met alle (10tallen) posts eronder, verdwenen te zijn.

Hoe kan dat? Worden reacties gemoderate?

[mastair]

Ik denk inderdaad dat ze alle reacties die over de afbeelding gingen die eerst bij dit artikel stond stilletjes hebben verwijderd.

[eamelink]

Ik kan iedereen aanraden om donateur te worden van Investico, of lid van de Groene

[vtsalf]

Ik draai toevallig een instance van Passwork on-premise. De code is inderdaad gewoon in te zien, het is een docker install in ons geval op Linux. Zie de manuals voor installatie:

Standard Passwork installation on Linux | Passwork

Erg fijne password manager met enterprise functionaliteit, zoals SSO via Azure, SCIM via Azure, rollen die toe te kennen zijn aan gebruikers (wij hebben 30 gebruikers van ons IT team hier in hangen) waarmee je vaults kunt afschermen. Wachtwoorden die niet zichtbaar zijn voor anderen kunnen eenmalig of tijdelijk zichtbaar gemaakt worden.

Ook uiteraard een browser plugin en desktop app.

Uiteraard mag deze instance niet het internet op (althans, behalve de update repos voor Alma dan). Updates gebeurt door een ZIP te downloaden en deze via een udpate script uit te rollen. Dus ik maak mezelf absoluut geen zorgen over deze software.

[Reactie gewijzigd door vtsalf op 17 juli 2026 11:35]

[Zarc.oh]

Klinkt alsof je de omgeving zorgvuldig hebt afgeschermd. Eén aandachtspunt dat ik aanvullend zou controleren: kan de Passwork-instance, de onderliggende host of een van de containers nog DNS-verkeer initiëren?
Een systeem kan namelijk ook zonder reguliere internettoegang gegevens naar buiten sturen via DNS-tunneling, mits het DNS-query’s kan uitvoeren naar een resolver die uiteindelijk externe domeinen kan opvragen. Alleen HTTP- en HTTPS-verkeer blokkeren is daarvoor dus niet altijd voldoende.
Ik zou daarom controleren welke systemen DNS nodig hebben, naar welke resolvers zij mogen communiceren en of direct uitgaand verkeer op UDP/TCP-poort 53 wordt geblokkeerd. Laat DNS bij voorkeur uitsluitend via beheerde interne resolvers lopen en monitor daar op afwijkende query’s, zoals ongebruikelijk lange subdomeinen, grote aantallen unieke queries of verzoeken naar zelden gebruikte domeinen. Houd daarbij ook rekening met versleutelde DNS-varianten zoals DoH en DoT.

[jared9]

Volgende prompt:
"Oké, Chat. Herschrijf dit artikel in mijn woorden zodat het niet overmatig geredigeerd lijkt."