Welke wachtwoordmanagers zijn gelekt, en welke zijn onafhankelijk geaudit? (2026)
Het korte antwoord
Het bekendste datalek in deze markt is dat van LastPass in 2022. Daarbij werden back-ups van versleutelde klantkluizen buitgemaakt. De trage communicatie daarna kostte het bedrijf veel vertrouwen. In 2026 kwamen er twee incidenten bij. Bij Dashlane kopieerden aanvallers na een aanval vanaf 31 mei de versleutelde kluizen van minder dan twintig gebruikers met een persoonlijk abonnement. Bij LastPass werd in juni bekend dat aanvallers via een leverancier contactgegevens en supportzaken van klanten hadden ingezien.
Volgens beide bedrijven bleef de inhoud van de kluizen buiten bereik. Van Bitwarden, 1Password en Proton Pass is geen vergelijkbaar lek bekend. Het meeste houvast geven managers met open broncode en een onafhankelijke audit. Voorbeelden zijn Bitwarden, Proton Pass en KeePass.
Uitgebreid
Een wachtwoordmanager is de app waar een datalek het meest pijn doet. Daarom telt de geschiedenis van een dienst net zo zwaar als de functies. Het bepalende moment was het LastPass-lek in 2022. Aanvallers maakten toen back-ups van klantkluizen buit. Die kluizen waren versleuteld. Wie een sterk en uniek hoofdwachtwoord had, bleef daardoor grotendeels beschermd. De trage en onvolledige communicatie deed wel blijvende schade. Toch ben je met een wachtwoordmanager nog altijd veel veiliger dan met hergebruikte wachtwoorden. Hoe een bedrijf na een incident handelt, hoort wel bij wat je koopt.
Dit zijn de twee incidenten van 2026. Vanaf 31 mei probeerden aanvallers bij Dashlane op grote schaal de tweestapscodes van gebruikers te raden. Bij minder dan twintig gebruikers met een persoonlijk abonnement konden ze een versleutelde kopie van de kluis downloaden. Volgens Dashlane is die zonder hoofdwachtwoord niet te openen. Dashlane lichtte de getroffen gebruikers zelf in en maakte het koppelen van een nieuw apparaat strenger.
Op 22 juni meldde LastPass een lek bij Klue. Dat is een externe dienst voor marktinformatie die het bedrijf gebruikt. Met gestolen toegangssleutels van Klue kwamen aanvallers in het klantsysteem van LastPass. Daar zagen ze namen, adressen en telefoonnummers van klanten. Ook e-mailadressen en supportzaken waren in te zien. De kluizen bleven volgens LastPass veilig. Wees na zo’n lek extra alert op nepmails en telefoontjes uit naam van het bedrijf. Een medewerker van een wachtwoordmanager vraagt nooit om je hoofdwachtwoord.
Twee signalen laten zien of beveiliging echt te controleren is. Het eerste is open source. Dan kan iedereen de code op fouten nakijken. Bitwarden, Proton Pass en KeePass zijn open source. Het tweede is een audit door een onafhankelijke partij. Bitwarden en Proton Pass worden daarnaast regelmatig onafhankelijk geaudit. Closed source is niet onveilig, maar dan rust het bewijs op herhaalde audits door derden. 1Password publiceert die audits.
Het voegt ook een tweede geheime sleutel toe bovenop je hoofdwachtwoord. Dat is een structurele extra bescherming. Is een manager niet open source en niet regelmatig geaudit, dan vertrouw je op een belofte die je niet kunt controleren.
Bij de gratis versies zit het grootste verschil in het aantal apparaten. Bitwarden Free is de enige echt complete gratis versie. Je bewaart er onbeperkt wachtwoorden mee op al je apparaten. NordPass Free laat je op een apparaat tegelijk inloggen. Dashlane stopte zijn gratis versie in september 2025. Oud-gebruikers konden hun wachtwoorden nog tot 16 september 2026 exporteren. De gratis ingebouwde managers van Apple en Google zijn prima binnen hun eigen wereld.
Gebruik je Apple, Windows en Android door elkaar? Dan werken ze minder soepel. Voor de meeste mensen is Bitwarden daarom het beste advies. Het is open source, geaudit en gratis op alles.