Hoe lang duurt het om een wachtwoord te kraken?

Hoe lang het duurt om een wachtwoord te kraken, hangt af van drie dingen: hoeveel mogelijke wachtwoorden er zijn (lengte en soorten tekens), hoe snel een aanvaller gokken kan testen, en of het wachtwoord überhaupt willekeurig is. Een willekeurig wachtwoord van 8 kleine letters, opgeslagen met een langzame hash, kan met gehuurde grafische kaarten binnen een paar weken vallen; een willekeurig wachtwoord van 16 gemengde tekens zou langer duren dan het heelal oud is. De gratis Wachtwoordgenerator maakt de willekeurige, lange soort op je apparaat.

De bekende tabellen met kleurcodes die online worden gedeeld, zijn nuttig, maar ze rusten op aannames. Als je die aannames kent, weet je wat een account echt veilig houdt.

Wat "kraken" eigenlijk betekent

Meld je je ergens aan, dan slaat een goed beheerde site je wachtwoord niet op. Hij slaat een hash op: een versleutelde vingerafdruk ervan. Log je in, dan hasht de site wat je typt en vergelijkt hij de vingerafdrukken. De gratis Hashgenerator laat het idee zien: typ password123 en de MD5-hash is 482c811da5d5b4bc6d497ffa98491e38, elke keer, op elke computer.

Wordt de database van een site gestolen, dan krijgen aanvallers de hashes, niet de wachtwoorden. Kraken betekent wachtwoorden raden, elke gok hashen en kijken of er een match is, offline en zo snel als hun hardware toelaat. Geen blokkade van de website die ze afremt.

Daarom bepalen twee dingen de tijd:

1. Het aantal mogelijkheden dat de aanvaller misschien moet proberen.
2. De gok-snelheid, die sterk afhangt van de hashmethode die de site gebruikte.

De rekensom achter brute force

Het aantal mogelijke wachtwoorden is de grootte van de tekenset tot de macht van de lengte.

Tekenset	Tekens
Alleen cijfers	10
Kleine letters	26
Kleine letters + hoofdletters + cijfers	62
Alle vier soorten in onze generator	85

Een wachtwoord van 8 kleine letters heeft 26^8, ongeveer 209 miljard, mogelijkheden. Met alle 85 tekens geven 8 tekens ongeveer 2,7 × 10^15. Elk extra teken vermenigvuldigt het totaal met de grootte van de set, en daarom wint lengte van al het andere.

Wat de nieuwste tabel zegt

Volgens de wachtwoordtabel 2026 van Hive Systems haalde een groep van 16 RTX 5090-grafische kaarten die wachtwoorden aanviel die met bcrypt waren opgeslagen (een bewust langzame hash, met work factor 10), ongeveer 138.675 gokken per seconde. In dat tempo schatten zij dat een wachtwoord van 8 kleine letters in ongeveer twee weken wordt gekraakt, en een wachtwoord van 8 tekens met alle soorten in ongeveer 132 jaar. Hun tijden zijn het slechtste geval, waarbij het juiste wachtwoord de allerlaatste gok is.

Met diezelfde gok-snelheid en de tekenset van 85 tekens van de generator komen we op deze tijden in het slechtste geval voor willekeurige wachtwoorden:

Lengte	Alleen kleine letters (26)	Alle vier soorten (85)
6	ongeveer 37 minuten	ongeveer 32 dagen
8	ongeveer 17 dagen	ongeveer 620 jaar
10	ongeveer 32 jaar	ongeveer 4,5 miljoen jaar
12	ongeveer 22.000 jaar	ongeveer 32 miljard jaar
16	ongeveer 10 miljard jaar	ongeveer 1,7 × 10^18 jaar

Ons getal voor 8 tekens komt niet overeen met dat van Hive, omdat tabellen verschillen in de grootte van de tekenset, de hashinstellingen en hoe ze gokken tellen; de boodschap is dezelfde. Gemiddeld komt de juiste gok ongeveer halverwege, dus halveer deze getallen voor een typisch geval.

Waarom de tabel veel te gunstig kan zijn

De tabel gaat op twee manieren uit van het beste geval voor jou.

De site gebruikt misschien een snelle hash. bcrypt is gebouwd om langzaam te zijn. Oude of slordige systemen gebruiken snelle hashes zoals MD5 of gewone SHA-1, die één grafische kaart miljarden keren per seconde kan testen. Daartegen krimpen de tijden hierboven met een factor een miljoen of meer. Je kunt niet zien hoe een site je wachtwoord opslaat, dus ga uit van het slechtere geval. De gids over MD5 vs SHA-256 legt het verschil uit.

Je wachtwoord is misschien niet willekeurig. Brute force is de langzaamste aanval. Echt kraken begint met lijsten van gelekte wachtwoorden, woordenboekwoorden, namen, datums en bekende patronen als Password123! (hoofdletter vooraan, cijfer en symbool aan het eind). Een wachtwoord dat zo is opgebouwd, wordt binnen seconden gevonden, hoeveel soorten tekens het ook heeft, omdat aanvallers die patronen eerst proberen.

Het is misschien al gelekt. Hergebruik je een wachtwoord en wordt een site waar je het gebruikte gehackt, dan hoeven aanvallers niets te kraken. Ze proberen gewoon hetzelfde e-mailadres en wachtwoord op andere sites.

Wat je echt veilig houdt

• Lengte en willekeur. Een willekeurig wachtwoord van 16 tekens of meer is voor elke realistische aanvaller buiten bereik van brute force. Volgens NIST SP 800-63B (revisie 4, 2025) moeten diensten die alleen op een wachtwoord vertrouwen minstens 15 tekens eisen, en geen samenstellingsregels of regelmatige wijzigingen afdwingen.
• Een uniek wachtwoord voor elke site. Dat verslaat aanvallen met hergebruikte wachtwoorden volledig.
• Een wachtwoordmanager. Die onthoudt tientallen lange willekeurige wachtwoorden, zodat jij dat niet hoeft. Dan kost lengte je niets.
• Tweestapsverificatie. Ook als een wachtwoord gekraakt is, heeft de aanvaller nog je telefoon of beveiligingssleutel nodig. Zet het als eerste aan voor e-mail, bankieren en sociale media.

Heb je een wachtwoord nodig dat je kunt onthouden en typen, zoals het hoofdwachtwoord van je wachtwoordmanager, dan past een lange wachtzin van willekeurige woorden goed. Zie wachtzin vs wachtwoord.

Maak er een die niet gekraakt wordt

Open de gratis Wachtwoordgenerator, zet de lengte op 16 of meer (hij begint op 20), laat Kleine letters, Hoofdletters, Cijfers en Symbolen aangevinkt, druk op Genereren en dan op Kopiëren. Het wachtwoord wordt op je apparaat gemaakt en nergens heen gestuurd. Meer over de instellingen lees je in een sterk wachtwoord maken.