MFA voor coaches: zo beveilig je je praktijk in 2026

MFA voor coaches: zo beveilig je je praktijk in 2026

MFA betekent dat je bij het inloggen twee bewijzen geeft in plaats van een. Eerst je wachtwoord, daarna bijvoorbeeld een code uit een app op je telefoon. Voor coaches is dat geen technisch detail. In je sessienotities staan vaak zaken die een coachee aan niemand anders vertelt: twijfels over werk, conflicten, stress, soms gezondheid. Als iemand je wachtwoord steelt, kan hij zonder MFA direct bij al die notities. Met MFA niet. In dit artikel lees je wat MFA is, of het verplicht is, welke methode je kiest en hoe je het in een middag regelt.

TL;DR

• MFA (meerfactorauthenticatie) vraagt bij het inloggen om twee soorten bewijs, bijvoorbeeld je wachtwoord plus een code uit een app. Twee wachtwoorden tellen niet.
• Verplicht? Er is geen aparte wet voor coaches. Maar de AVG eist passende beveiliging, en volgens de Autoriteit Persoonsgegevens hoort MFA daarbij als je gevoelige gegevens verwerkt, zoals informatie over gezondheid.
• Kies een authenticator app of passkey, geen sms. Het NCSC raadt sms af omdat die berichten niet versleuteld zijn.
• Begin bij je e-mail, daarna je coachingsoftware, agenda, opslag en bank.
• MFA is een begin. Leg ook vast wie waar toegang toe heeft en wat je doet als je telefoon kwijt is.

Inhoudsopgave

• Wat MFA is, in gewone woorden
• Is MFA verplicht voor een coach?
• Welke accounts je als eerste beveiligt
• Welke MFA-methode past bij jou
• MFA instellen in vijf stappen
• Een onverwachte MFA-melding, of je telefoon kwijt
• MFA is een begin, niet het hele verhaal
• Hoe wij naar inlogbeveiliging kijken
• Een coachingomgeving waar MFA standaard bij hoort
• Veelgestelde vragen
• Bronnen

Wat MFA is, in gewone woorden

MFA staat voor multi-factor authentication. In het Nederlands zeg je meerfactorauthenticatie. Je kent het misschien als tweestapsverificatie of 2FA. 2FA is de meest gebruikte vorm van MFA: precies twee stappen.

Het idee is simpel. Een systeem wil zeker weten dat jij het bent. Daarvoor zijn er drie soorten bewijs. De Autoriteit Persoonsgegevens noemt deze drie factoren:

1. Iets wat je weet, zoals een wachtwoord of pincode.
2. Iets wat je hebt, zoals je telefoon met een app, of een fysieke sleutel.
3. Iets wat je bent, zoals je vingerafdruk of je gezicht.

Bij MFA combineer je minstens twee van deze soorten. Dat is het belangrijke punt. Een tweede wachtwoord of een beveiligingsvraag is nog steeds “iets wat je weet”. Die combinatie telt dus niet als MFA.

Waarom werkt dit zo goed? Het NCSC noemt inloggen met alleen gebruikersnaam en wachtwoord kwetsbaar voor phishing. Phishing is een valse e-mail of nep-website die je laat inloggen, zodat iemand anders je gegevens krijgt. Coaches krijgen zulke mails ook: een nep-factuur, een “gedeeld document” of een melding dat je mailbox vol is. Klik je een keer verkeerd, dan heeft de aanvaller je wachtwoord. Met MFA mist hij nog steeds je telefoon of je vingerafdruk. Hij staat dan voor een tweede slot.

Is MFA verplicht voor een coach?

Kort antwoord: er staat nergens “coaches moeten MFA gebruiken”. Maar dat betekent niet dat je het kunt overslaan.

Wat de AVG van je vraagt

De AVG is de Algemene verordening gegevensbescherming, de Europese privacywet. Als coach verwerk je persoonsgegevens: namen, contactgegevens, doelen, verslagen van gesprekken. Artikel 32 van de AVG vraagt om passende technische en organisatorische maatregelen om die gegevens te beschermen. Wat “passend” is, hangt af van hoe gevoelig de gegevens zijn en wat er mis kan gaan.

De Autoriteit Persoonsgegevens (AP) is de Nederlandse toezichthouder. De AP schrijft op haar pagina over beveiliging van persoonsgegevens dat organisaties die gevoelige gegevens verwerken, zoals gezondheidsgegevens, minimaal meerfactorauthenticatie moeten gebruiken.

Valt jouw praktijk daaronder?

Dat hangt af van wat je opschrijft. Een loopbaancoach die alleen werkervaring en doelen vastlegt, verwerkt minder gevoelige gegevens dan een life coach die met een coachee over burn-out, rouw of slaapproblemen praat. Maar ook een executive coach hoort vaak vertrouwelijke dingen over een organisatie, een reorganisatie of een collega. In de praktijk noteren de meeste coaches wel eens iets wat over gezondheid of welzijn gaat.

Twijfel je of jouw notities gevoelige gegevens bevatten? Ga er dan van uit dat dat zo is. Bij echte twijfel over jouw situatie is een privacyjurist of de AP-website de juiste plek voor een antwoord.

Wat er gebeurt als het misgaat

De AP heeft al vaker ingegrepen bij organisaties zonder MFA. Het Amsterdamse ziekenhuis OLVG kreeg in 2021 een boete van 440.000 euro, onder meer omdat er geen tweefactorauthenticatie was bij het inloggen in medische dossiers. Eerder legde de AP het UWV een last onder dwangsom op van 150.000 euro per maand, omdat werkgevers zonder MFA konden inloggen in een portaal met gezondheidsgegevens.

Een kleine coachingpraktijk is geen ziekenhuis. De bedragen zeggen weinig over jouw risico. De les zegt wel veel: voor de AP is inloggen met alleen een wachtwoord niet genoeg als de gegevens gevoelig zijn. Daarbij komt de schade die geen boete is. Een coachee die hoort dat zijn verslagen op straat liggen, komt niet terug. En hij vertelt het door.

Welke accounts je als eerste beveiligt

Je hoeft niet alles op een dag te doen. Begin bij de accounts waar de meeste schade kan ontstaan. Het NCSC adviseert om accounts in te delen naar impact: laag, midden en hoog. Voor een coach ziet dat er ongeveer zo uit:

Een tip: kijk ook naar accounts die je bijna vergeten bent. Een oude Dropbox met intakeformulieren uit 2021, een gratis formulier-tool die je ooit gebruikte. Zet daar MFA aan, of verwijder het account als je het niet meer nodig hebt.

Welke MFA-methode past bij jou

Niet elke vorm van MFA is even sterk. Het NCSC legt op de pagina Hoe kies je een MFA methode? uit welke methodes er zijn. Het NCSC geeft daar het dringende advies om waar mogelijk geen sms te gebruiken, omdat sms-berichten niet versleuteld zijn en kunnen worden onderschept.

Authenticator app: de praktische standaard

Een authenticator app is gratis en werkt op elke smartphone. Bekende apps zijn Microsoft Authenticator en Google Authenticator. Je scant een keer een QR-code, daarna maakt de app steeds een nieuwe, kortlevende code. Voor de meeste coaches is dit de beste eerste stap.

Passkeys: het wachtwoord voorbij

Een passkey is een nieuwere manier van inloggen. Het NCSC legt uit dat passkeys werken met je vingerafdruk of gezichtsherkenning op je eigen apparaat. De digitale sleutel hoort bij die ene website. Een nep-website kan er daarom niets mee. Biedt een dienst passkeys aan, dan is dat vaak de sterkste en tegelijk makkelijkste keuze. Het NCSC noemt passkeys en beveiligingssleutels volgens de FIDO2-standaard als beste bescherming tegen phishing.

MFA instellen in vijf stappen

Voor de meeste diensten werkt het ongeveer zo. De precieze knoppen verschillen per account.

1. Installeer een authenticator app op je telefoon. Doe dit voor je begint, dan hoef je niet halverwege te stoppen.
2. Ga naar de beveiligingsinstellingen van het account. Zoek naar woorden als “tweestapsverificatie”, “2FA”, “MFA” of “inloggen en beveiliging”.
3. Kies de app of een passkey als methode, niet sms. Scan de QR-code met je app en vul de eerste code in ter controle.
4. Bewaar je herstelcodes. Veel diensten geven je een lijst met reservecodes. Bewaar die op papier op een veilige plek, of in je wachtwoordmanager. Niet als foto op dezelfde telefoon.
5. Test het. Log uit, log opnieuw in en controleer of de tweede stap werkt. Doe daarna het volgende account uit je lijst.

Reken op tien tot vijftien minuten per account. Met de acht accounts uit de tabel ben je in een middag klaar.

Werk je met meer coaches?

Werk je met collega’s of een assistent, zorg dan dat iedereen MFA gebruikt. Een praktijk is zo sterk als het zwakste account. Gebruik geen gedeelde inlog voor een hele praktijk. Dan weet je niet wie wat heeft gedaan, en kun je iemand die vertrekt niet netjes de toegang afnemen.

Een onverwachte MFA-melding, of je telefoon kwijt

Een MFA-melding is het bericht dat je tijdens het inloggen op je telefoon krijgt: een code, of een vraag als “Ben jij dit aan het inloggen?” Normaal komt die melding alleen als je zelf inlogt.

Krijg je een melding terwijl je niet aan het inloggen bent? Keur hem dan niet goed. Het betekent meestal dat iemand anders je wachtwoord heeft en nu probeert binnen te komen. MFA heeft dan net zijn werk gedaan. Verander direct het wachtwoord van dat account.

Denk je dat een account toch gehackt is? Het NCSC geeft een stappenplan om een gehackt account te herstellen. Een belangrijk punt daaruit: alleen je wachtwoord veranderen is niet genoeg. Log ook uit op alle apparaten waar het account actief is. Anders kan iemand die al binnen is, gewoon blijven. Ging het om een account met gegevens van coachees, kijk dan ook of je een datalek moet melden bij de AP.

Telefoon kwijt of nieuw toestel? Gebruik je herstelcodes om in te loggen en koppel daarna je nieuwe telefoon. Daarom is stap 4 zo belangrijk. Zonder herstelcodes kan het dagen duren voor je weer in je eigen account kunt.

MFA is een begin, niet het hele verhaal

MFA beschermt de voordeur. Maar een goede beveiliging van je praktijk vraagt meer.

• Weet wie waar bij kan. De AP raadt aan om een overzicht te maken van wie toegang heeft tot welke persoonsgegevens en waarom. Voor een solo-coach is dat een korte lijst. Voor een praktijk met een assistent of meerdere coaches voorkomt het dat iedereen alles kan inzien.
• Gebruik een wachtwoordmanager. Het NCSC noemt sterke, unieke wachtwoorden en een wachtwoordmanager als basis, naast MFA.
• Houd gegevens bij elkaar. Hoe meer losse plekken, hoe meer accounts je moet beveiligen. Notities in een app, intakes in een formulier-tool, verslagen in Word in de cloud en afspraken via WhatsApp: elk van die plekken is een extra deur.
• Maak afspraken met je leveranciers. Software die gegevens van coachees bewaart, verwerkt die gegevens voor jou. Daarvoor sluit je een verwerkersovereenkomst af, een contract over hoe zij met die gegevens omgaan.
• Bekijk je hele administratie. Ook je boekhouding en zakelijke apps horen erbij. Deze ICT-checklist voor zzp en mkb in 2026 helpt je om je zakelijke systemen een keer goed na te lopen.

Wil je weten waar jouw praktijk nu staat? Met onze AVG-checklist voor coaches loop je de verplichtingen een voor een na. De korte privacycheck voor coaching geeft je in een paar minuten een eerste beeld.

Hoe wij naar inlogbeveiliging kijken

Wij bouwen Exantur voor coaches. We zien vaak hetzelfde beeld. Een coach heeft zorgvuldig nagedacht over vertrouwelijkheid in de sessie zelf. Maar de verslagen staan verspreid over vijf tools, met vijf wachtwoorden, waarvan er twee hetzelfde zijn. Dat is geen onwil. Het groeit zo, tool voor tool.

Daarom vinden wij MFA geen extraatje, maar een basis. Iemand die je zijn twijfels, zijn angsten of zijn plannen voor een nieuwe baan vertelt, mag ervan uitgaan dat dat niet uit te lezen is met alleen een gestolen wachtwoord. MFA zit daarom in Exantur. Net als hosting in de EU, in Frankfurt, en een verwerkersovereenkomst die je kunt afsluiten. De gegevens van de ene organisatie zijn strikt gescheiden van die van een andere.

We zijn ook eerlijk over de grens. Software met MFA maakt je praktijk niet vanzelf AVG-proof. Jij bepaalt wat je opschrijft, hoe lang je het bewaart en wie erbij kan. Wij kunnen het je makkelijker maken om dat goed te doen. De keuzes blijven van jou.

Martijn

Een coachingomgeving waar MFA standaard bij hoort

Wil je minder losse accounts om te beveiligen? Exantur brengt je praktijk samen op een plek. Je beheert coachees, programma’s, sessienotities, doelen, check-ins, intakeformulieren en assessments zoals DISC en Wheel of Life in een werkruimte, beveiligd met MFA. Je coachees krijgen een eigen portaal voor coachees, zodat gedeelde documenten en opdrachten niet meer via losse mail of chatapps hoeven. Voor praktijken met meerdere coaches zijn er teams, rollen en audit-logs, zodat je kunt zien wie wat heeft gedaan.

Het Mini-pakket kost € 19 per maand of € 190 per jaar. Starter kost € 49 per maand, Growth € 99 per maand en Practice € 199 per maand. Bekijk alle pakketten en prijzen of lees meer over veilige coachingsoftware. Je kunt Exantur eerst gratis uitproberen.

Veelgestelde vragen

Waar staat MFA voor?

MFA staat voor multi-factor authentication, in het Nederlands meerfactorauthenticatie. Je bewijst bij het inloggen op minstens twee verschillende manieren dat jij het bent. Bijvoorbeeld met je wachtwoord en een code uit een app op je telefoon.

Is MFA wettelijk verplicht voor coaches?

Er is geen wet die specifiek coaches MFA oplegt. De AVG vraagt wel om passende beveiliging van persoonsgegevens. Volgens de Autoriteit Persoonsgegevens is MFA minimaal nodig als je gevoelige gegevens verwerkt, zoals informatie over gezondheid. Veel coaches noteren zulke informatie, dus voor de meeste praktijken is MFA in de praktijk de norm.

Wat is het verschil tussen 2FA en MFA?

2FA, tweefactorauthenticatie, gebruikt precies twee stappen. MFA is de bredere term voor twee of meer stappen. Voor een coach is het verschil klein: zet het aan, en kies een sterke tweede stap zoals een authenticator app of passkey.

Is een sms-code goed genoeg?

Een sms-code is beter dan alleen een wachtwoord, maar het is de zwakste vorm. Het NCSC raadt sms af, omdat berichten niet versleuteld zijn en onderschept kunnen worden. Kies waar het kan een authenticator app, een passkey of een beveiligingssleutel.

Bronnen

• Beveiliging van persoonsgegevens | Autoriteit Persoonsgegevens
• Toegang tot persoonsgegevens | Autoriteit Persoonsgegevens
• Ziekenhuis OLVG beboet om onvoldoende beveiliging medische dossiers | Autoriteit Persoonsgegevens
• AP dwingt UWV met sanctie gegevens beter te beveiligen | Autoriteit Persoonsgegevens
• Hoe kies je een MFA methode? | NCSC
• Volwassen authenticeren | NCSC
• Wat zijn passkeys? | NCSC
• Hoe herstel je een gehackt account? | NCSC

Aanbevelingen

• Beste praktijkmanagementsoftware voor coaches