De Beste Password Managers voor het Opslaan van Seed Phrases

Waarom je seed phrase niet zomaar overal opslaat

Een seed phrase — meestal 12 of 24 woorden — is de ultieme sleutel tot je crypto. Verlies je hem, dan ben je je tegoeden kwijt. Lekt hij uit, dan kan iedereen met toegang je wallet legen. Dat maakt de keuze van opslagmethode een serieuze beveiligingsbeslissing, geen bijzaak.

De LastPass-datalek van 2022 is de meest schrijnende case study. Aanvallers konden gestolen kluizen offline kraken bij gebruikers met zwakke masterwachtwoorden. Onder de slachtoffers bevonden zich meer dan 150 mensen die gezamenlijk meer dan $35 miljoen aan crypto verloren — allemaal omdat ze hun seed phrases in LastPass hadden opgeslagen.4 In 2025 werd een nog grotere diefstal van $150 miljoen aan hetzelfde lek gelinkt.4

De CryptoCurrency Certification Consortium (C4) stelt heldere richtlijnen: voor een hot wallet is opslag in een password manager redelijk veilig; voor een cold wallet is het nooit acceptabel.1 Het verschil is cruciaal — een hot wallet is verbonden met het internet en bedoeld voor dagelijks gebruik met beperkte bedragen, terwijl een cold wallet je langetermijnreserve bevat.

> De dingen die het waard zijn om te beschermen, verdienen meer dan een default-instelling.

Wat een password manager hier onderscheidt

Niet elke password manager is geschikt voor het opslaan van seed phrases. Drie eigenschappen bepalen of een tool hier geschikt is:

1. Encryptie-architectuur — Hoe sterk is de versleuteling, en hoe goed beschermt die tegen offline brute-force aanvallen? De LastPass-kluizen werden gekraakt omdat zwakke masterwachtwoorden konden worden geraden.4
2. Offline-mogelijkheden — Kan de manager volledig zonder cloud werken? DataRecovery.com waarschuwt dat cloud-synced opslag al je risico op één digitale plek concentreert: bij een inbreuk op de service óf via phishing van je master password komt alles tegelijk bloot te liggen.3
3. Zero-knowledge design — Kan de aanbieder zelf je kluizen niet lezen? Dit is de fundamentele garantie die een serverlek onmogelijk maakt — mits je master password sterk genoeg is.

Hot wallet vs cold wallet: de gouden regel

C4 maakt een onderscheid dat elke crypto-gebruiker moet kennen:1

• Hot wallet seed — Redelijk veilig in een password manager, mits een sterk master password en goede encryptie. Een hot wallet is verbonden met het internet en bedoeld voor dagelijks gebruik.
• Cold wallet seed — Nooit in een password manager. Een cold wallet (hardware wallet) bewaart je crypto offline. De seed phrase hoort óf op papier, óf op metaal gegraveerd, óf — als je digitaal wilt — in een volledig offline password manager zoals KeePassXC.

CryptoAdventure bevestigt dit: een goede password manager helpt bij wachtwoorden, passkeys en exchange-accounts, maar wordt een gevaarlijk single point of failure zodra je er seed phrases, private keys of hardware wallet recovery backups in opslaat via cloud-sync.2

Cloud-sync vs offline-first: welke benadering wint?

Voor cold wallet seeds is offline-first de enige verantwoorde keuze. KeePassXC en Enpass slaan data lokaal op zonder verplichte cloud-sync.76 Voor hot wallet seeds of niet-kritieke wallet-notities is een cloud-based manager met sterke zero-knowledge encryptie zoals Bitwarden of 1Password acceptabel — mits je master password sterk genoeg is.

De les uit LastPass: het gaat niet om of de cloud kan worden gekraakt, maar om wat er gebeurt als dat gebeurt. Met zero-knowledge encryptie zou een serverlek je kluizen niet moeten kunnen ontsleutelen. Maar zwakke masterwachtwoorden maken die bescherming nutteloos.4

Onze keuzes

1. KeePassXC — Topkeuze voor cold wallet seeds

KeePassXC is volledig offline. Het slaat wachtwoorden, notities en bijlagen in een lokaal KDBX-encryptiebestand dat je zelf op elke locatie kunt bewaren — USB-stick, externe schijf, of een privé-cloud die jij controleert.7 Geen cloud, geen server, geen aanvalsoppervlak voor externe aanvallers. Open-source en gratis, wat betekent dat de code onafhankelijk kan worden gecontroleerd.

Voor cold wallet seeds is dit de gouden standaard: het bestand verlaat nooit een apparaat tenzij jij dat expliciet bepaalt. De combinatie van AES-256 KDBX-encryptie en volledige offline opslag maakt het het kleinste mogelijke doelwit.

2. Bitwarden — Beste open-source cloud-optie

Bitwarden biedt end-to-end encryptie met een zero-knowledge architectuur en is volledig open-source.8 Het onderscheidende kenmerk: self-hosting. Je kunt Bitwarden op je eigen server draaien — via Docker, Linux, Windows of zelfs een Raspberry Pi — of de Bitwarden-cloud gebruiken met een gratis tier.8

Voor hot wallet seeds is dit een solide keuze. De open-source code betekent transparantie, en de self-hosting optie geeft je controle over waar je data staat. Maar onthoud: zodra je cloud-sync aanzet, geldt dezelfde waarschuwing als voor elke cloud-based manager — een sterk master password is essentieel.

3. 1Password — Sterkste bescherming tegen brute-force

1Password gebruikt een uniek encryptiemodel: naast je master password genereert de app een 128-bit Secret Key die lokaal op je apparaat wordt opgeslagen. Om een gestolen kluis te kraken moet een aanvaller zowel je master password áls je Secret Key hebben.2

Dat is precies het aanvalstype dat LastPass-kluizen kraakte — offline brute-force op gestolen kluizen met zwakke masterwachtwoorden.4 De extra Secret Key-laag maakt dat aanzienlijk moeilijker. Zero-knowledge architectuur betekent dat 1Password zelf je kluizen niet kan lezen. Niet open-source, maar de cryptografische architectuur is goed gedocumenteerd.

4. Keeper — Crypto-bewuste enterprise-optie

Keeper onderscheidt zich met FIPS 140-3 gevalideerde encryptie en record-level AES-256 encryptie — elk record wordt apart versleuteld.5 Opvallend: Keeper gebruikt de BIP39-woordlijst voor zijn eigen 24-woord recovery phrase, dezelfde standaard die crypto-wallets gebruiken.5 Dat toont crypto-oriëntatie.

PBKDF2 met 1 miljoen iteraties biedt sterke bescherming tegen brute-force aanvallen op gestolen kluizen.5 Cloud-based, dus primair geschikt voor hot wallet seeds en niet-kritieke wallet-notities — niet voor cold wallet seeds.

5. Enpass — Offline-first met flexibiliteit

Enpass is een offline-first password manager met AES-256 encryptie en lokale opslag.6 Data verlaat nooit je apparaat tenzij je zelf kiest voor cloud-sync via een derde-partij dienst. De Wi-Fi sync-optie laat je synchroniseren tussen apparaten zonder dat je data via een externe server gaat.6 Er is ook een portable versie beschikbaar.

Voor gebruikers die seed phrases offline willen opslaan met iets meer flexibiliteit dan KeePassXC — bijvoorbeeld sync tussen een desktop en een laptop via eigen Wi-Fi — is Enpass een sterke alternatief. Niet open-source, maar de offline-first benadering minimaliseert het aanvalsoppervlak.

De vergelijking in het kort

De gouden regels, samengevat

1. Cold wallet seed? Alleen offline — KeePassXC of Enpass, of beter nog: papier of metaal.
2. Hot wallet seed? Een cloud-based zero-knowledge manager zoals Bitwarden of 1Password is acceptabel, mits een sterk master password.
3. Nooit je seed phrase in een manager zonder zero-knowledge encryptie opslaan.
4. Je master password is de zwakste schakel. De LastPass-slachtoffers hadden zwakke wachtwoorden die konden worden geraden.4
5. Overweeg multi-factor authenticatie op je password manager — altijd.

> De dingen die het waard zijn om te beschermen, verdienen meer dan gemakkelijk.

Transparantie: we kunnen een commissie verdienen via affiliate-links in dit artikel. Dat beïnvloedt onze beoordelingen niet — onze keuzes zijn gebaseerd op encryptie-architectuur, offline-mogelijkheden en zero-knowledge design.

Wil je een vervolgvraag die het artikel niet beantwoordde? Vraag de engine — hij draagt de context van het artikel mee.