Waarom elke ober een eigen pincode nodig heeft, niet één gedeelde kassalogin (2026)

Zes obers, één kassa, één login die "Personeel" heet. Verdwijnt er op zaterdagavond €180, dan levert die opzet je precies één verdachte op: iedereen.

Hier is het korte antwoord. Iedereen die aan de kassa komt, heeft een eigen pincode nodig — het liefst 6 cijfers, nooit gedeeld, uitgezet op de dag dat iemand vertrekt. Een gedeelde login is geen klein handigheidje. Het haalt de naam weg bij elke annulering, korting, terugbetaling en kassalade in je zaak, en daardoor kan geen enkel rapport je nog iets nuttigs over mensen vertellen. Eigen pincodes kosten niets op vrijwel elk modern kassasysteem, kosten ongeveer 20 minuten om in te stellen, en maken een wissel aan de kassa zo'n twee seconden langer.

En het stuk dat eigenaren niet zien aankomen: degene die het meest last heeft van een gedeelde login is meestal de manager. Zijn naam staat onder alles wat hij niet gedaan heeft.

Laten we doornemen wat een gedeelde login je echt kost, en hoe je het vóór vrijdag oplost.

Wat een gedeelde kassalogin je echt kost

Het lijkt onschuldig. Eén account, één pincode op een plakbriefje onder de kassa, iedereen kan snel door. Daarna komen de problemen, stilletjes.

Je raakt de "wie" kwijt. Je kassasysteem legt nog steeds elke annulering, elk weggegeven item, elke korting en elke terugbetaling vast. Het zet er alleen overal dezelfde naam onder. Uiteindelijk heb je een prachtig rapport over iemand die niet bestaat.

Je manager draagt de schuld. Opent een manager de kassa om 16.00 uur en blijft die tot sluitingstijd open, dan staat elke actie van die avond op papier op zijn naam. Veertig annuleringen, drie terugbetalingen, €90 aan korting — allemaal onder één naam. Dat is niet alleen oneerlijk. Het maakt het onmogelijk om juist de persoon die je het meest vertrouwt vrij te pleiten.

Je kunt niets doen met wat je vindt. Stel dat je kortingstotaal in een maand verdubbelt. Met eigen pincodes is dat tien minuten kijken en één gesprek met één persoon. Met een gedeelde login is het een raadsel dat je negeert of aanpakt door iedereen te beschuldigen — en zo raak je goede mensen kwijt.

Ontslag wordt riskant. Moet je ooit iemand ontslaan om geld, dan is "het gedeelde account heeft het gedaan" geen bewijs. Bij een ontslagzaak draait alles om je dossier. Een logboek met één anoniem account erin is erger dan geen logboek, want het bewijst dat je een systeem had en dat het niet werkte.

De kaartregels staan het misschien niet toe. Verderop meer, maar kort gezegd: de beveiligingsstandaard voor kaartbetalingen gaat ervan uit dat iedereen een eigen unieke gebruiker heeft.

Niets hiervan is theorie. Overal in de horeca hoor je hetzelfde gesprek: er klopt iets niet in de cijfers, en niemand kan ook maar iets bewijzen, in welke richting dan ook.

Wat een pincode is (en wat niet)

Een pincode is een korte cijfercode — meestal 4 tot 6 cijfers — die één medewerker herkent aan de kassa. Je tikt je code in, en alles wat je de minuten daarna doet staat op jouw naam.

Het is geen wachtwoord, en dat wil het ook niet zijn. Er worden hier geen staatsgeheimen bewaakt. Een pincode beantwoordt één vraag: wie staat er nu voor dit scherm?

De meeste kassasystemen doen dit op een van twee manieren:

• Pincode per actie. De kassa blijft op een algemeen scherm staan, en medewerkers tikken hun pincode in bij een actie waar een naam bij hoort — een bestelling versturen, betaling aannemen, korting geven.
• Apparaatslot plus persoonlijke sessies. Een manager opent de kassa één keer aan het begin van de dienst. Daarna gaan medewerkers daarbovenop met hun eigen pincode in en uit hun sessie, met een vergrendelknop om de kassa aan de volgende door te geven.

Allebei werkt. De tweede is meestal sneller op een drukke vloer, want het apparaat doet zijn trage opstart maar één keer per dag.

Het maakt niet uit welke je kiest. Waar het om gaat, is dat de naam onder elke actie één echt mens is.

De vijf dingen die je alleen krijgt met een eigen pincode per ober

Dit is het praktische verhaal. Elk van deze vijf is onmogelijk met een gedeeld account.

1. Patronen in annuleringen en kortingen per persoon. Annuleringen zijn normaal. Iedereen heeft ze. Niet normaal is één ober die vier keer zo vaak annuleert als de rest, op dezelfde sectie. Dat zie je alleen als acties een naam hebben.

2. Terugbetalingen met een naam erbij. Terugbetalen is de meest misbruikte actie in elk kassasysteem. De klassieke truc is oud en werkt nog steeds: reken de rekening contant af, wacht tot de gast weg is, boek een terugbetaling en houd het geld. Die naam eronder is je hele verdediging. Wil je dit strakker zetten, dan staat het hele proces hier: terugbetalingen in restaurants afhandelen.

3. Duidelijkheid in de kassalade. Zit er €40 te weinig in de lade, dan maakt een pincodelog van "iemand" drie mensen die die dienst echt contant geld hebben aangenomen. Meestal is het een telfout of verkeerd wisselgeld, en vind je het in vijf minuten in plaats van er een week over te malen.

4. Fooien die bij de juiste persoon terechtkomen. Verdeel je fooien op omzet of leg je ze per bestelling vast, dan moet de kassa weten van wie die bestelling was. Met een gedeelde login wordt het verdelen van de fooienpot elke week weer ruzie.

5. Echte cijfers over prestaties. Gemiddelde besteding per ober. Hoe vaak iemand extra's verkoopt. Wie het dessert er echt bij verkoopt. Dit is het leuke deel van pincodes, en het deel dat niemand noemt — het is niet alleen controle, het is de enige manier om te weten wie in je team echt goed kan verkopen. Plak het vast aan de cijfers die je toch al bekijkt: horeca-kpi's die je elke maandagochtend bekijkt.

Let op: vier van die vijf hebben niets te maken met een dief betrappen. Dat is het eerlijke verhaal voor je team, en het klopt ook nog.

Rechten werken niet zonder pincodes

Dit is het stuk dat het vaakst wordt overgeslagen.

Stel dat je het verstandige hebt gedaan en nette rollen hebt ingesteld — obers mogen niet terugbetalen, alleen managers mogen weggeven, kortingen hebben een limiet. Mooi. Zet nu iedereen op één gedeelde login en kijk wat er gebeurt.

Die login heeft één set rechten. Is het een manageraccount, dan heeft elke ober nu managerrechten. Is het een oberaccount, dan kan je manager zijn werk niet doen zonder uit en weer in te loggen — dus binnen een week zet iemand het gedeelde account "even tijdelijk" hoger en draait het nooit meer terug.

Rechten en identiteit zijn één systeem, niet twee. Elke schakelaar die je instelt is alleen echt als je kunt zeggen wie hem omzette. Staan die schakelaars nog niet goed, dan is dat de bijbehorende klus: kassarechten: wat je ober wél en niet mag doen.

De kaartregels die niemand noemt

Komt je kassasysteem op wat voor manier dan ook in aanraking met kaartgegevens, dan geldt de Payment Card Industry Data Security Standard (PCI DSS) voor jou. Het is geen wet, maar het staat in je contract met je betaaldienstverlener, en alle eisen van versie 4.0 gelden sinds 31 maart 2025.

Eis 8 is er duidelijk over: elke gebruiker met toegang tot systeemonderdelen moet een eigen unieke gebruiker hebben, en gedeelde of algemene accounts mogen alleen in smalle, vastgelegde en streng gecontroleerde gevallen. Eén login die "Personeel" heet en door negen mensen wordt gebruikt, is precies waar die eis voor bedoeld is.

Twee eerlijke kanttekeningen:

• Is je betaalautomaat een los, versleuteld apparaat en ziet je kassasysteem nooit kaartgegevens, dan valt er veel minder onder. Veel kleine zaken zitten in die situatie.
• Wat er precies onder valt is echt technisch en hangt af van jouw exacte opzet.

Zie deze pagina dus niet als jouw antwoord op de regels. Vraag je betaaldienstverlener of acquirer onder welke zelfevaluatievragenlijst je valt, en of je huidige logins daar doorheen komen. Regels veranderen, en het kost je één mailtje om het zeker te weten.

Er zit ook een kant aan van je urenregistratie. De Arbeidstijdenwet verplicht je om de arbeids- en rusttijden van je personeel deugdelijk bij te houden, en die registratie bewaar je minstens 52 weken. Je loonadministratie bewaar je zeven jaar voor de Belastingdienst. Een pincodelog uit je kassa is niet automatisch een geldige urenregistratie, en je cao kan er nog eisen bovenop leggen. Wil je het in- en uittikken van pincodes gebruiken als onderdeel van je urenregistratie, leg dat dan eerst voor aan je salarisadministrateur of accountant.

Maar vertraagt het de vloer niet?

Dit is het echte bezwaar, en het verdient een echt antwoord in plaats van een preek.

Ja, het kost tijd. Ongeveer twee seconden per wissel, als je systeem goed staat. Twintig wissels per dienst is minder dan een minuut van je hele avond.

Mensen denken er anders over omdat ze een kassa hebben gehad waar wisselen betekende: helemaal uitloggen, een laadscherm en vijftien seconden wachten. Dat is geen probleem van de pincode. Dat is een slechte uitvoering, en het is veruit de grootste reden dat er in de praktijk logins gedeeld worden.

Drie oplossingen, van meeste naar minste effect:

• Gebruik een vergrendelknop, geen uitloggen. Vergrendelen hoort meteen terug te gaan naar het pincodescherm. Uitloggen en weer inloggen hoort helemaal geen onderdeel van een normale dienst te zijn.
• Zet automatisch vergrendelen aan. 60 tot 120 seconden zonder activiteit is het beste. Kort genoeg dat een achtergelaten kassa zichzelf sluit, lang genoeg dat hij niet dichtklapt midden in een bestelling.
• Zet er een kassa bij voordat je gaat sleutelen. Bedient één kassa 14 tafels, dan is de rij het probleem, niet de pincode. Een tweede tablet kost minder dan één week van het verlies dat een gedeelde login verstopt.

Doe deze test. Klok een echte wissel op je kassa. Duurt het langer dan vijf seconden, dan moet je de werkwijze aanpakken. Duurt het twee seconden, dan is het bezwaar van tafel.

Pincoderegels die echt blijven hangen

De meeste pincoderegels mislukken omdat ze zijn geschreven als een IT-document. Houd het op zes regels die mensen kunnen onthouden.

1. Zes cijfers, geen vier. Vier cijfers geven 10.000 combinaties. Zes geven er een miljoen. Met een stuk of tien medewerkers en een scherm dat iedereen ziet, is dat verschil die extra tik waard.

2. Geen geboortedatums, geen 1234, geen 0000. Deze verrast eigenaren. Je collega's kennen je verjaardag. Die staat op het rooster. Een pincode met je geboortejaar is in een restaurant zo goed als openbaar.

3. Niets opgeschreven bij de kassa. Geen plakbriefjes, geen pincodelijstje in de bureaula, geen pincodes in de personeels-WhatsApp. Staat het ergens opgeschreven, dan is het geen pincode meer maar een bordje.

4. Draai het scherm. Een pincodescherm dat de zaal in kijkt, wordt per ongeluk meegelezen. Draai de kassa, of gebruik een systeem dat de cijfers verbergt tijdens het intikken.

5. Niemand tikt de pincode van een ander in. Nooit. Ook niet "even alleen tijdens de drukte". Zodra iemand de code van een ander intikt, is je hele logboek een gok. Deze regel moet je hardop uitspreken, want anders denken mensen dat het een detail is.

6. Iedereen mag zijn eigen pincode altijd wijzigen. Denkt iemand dat zijn code gezien is, dan hoort wijzigen tien seconden te kosten, zonder dat je het aan een manager moet vragen. Maak dat makkelijk en mensen doen het ook echt.

Neem je veel contant geld aan, voeg er dan nog één regel aan toe: wijzig de managerpincodes elke paar maanden, en altijd als een manager vertrekt.

De managerpincode die iedereen kent

Elk restaurant krijgt hier vroeg of laat mee te maken, en het begint met een goede reden.

Een ober heeft goedkeuring nodig voor een annulering. De manager staat in de koelcel. De zaak zit vol. Dus roept de manager de pincode één keer hardop, om iedereen dertig seconden te besparen. Binnen een maand kent iedereen hem, en hij blijft in omloop lang nadat die manager weg is.

Dit los je niet op met een preek. Je lost het op door de reden weg te halen.

• Maak goedkeuren snel. Een manager hoort een actie goed te keuren door zijn pincode op hetzelfde scherm in te tikken, ter plekke, in seconden. Moet je ervoor naar kantoor lopen, dan wordt het omzeild.
• Leg beide namen vast. In de registratie hoort te staan wie het vroeg en wie het goedkeurde. Eén naam is een gok. Twee namen zijn een spoor.
• Leg de goedkope beslissingen lager. Wordt een manager vijftien keer per dienst geroepen voor kleine annuleringen, dan staan de rechten te strak. Zet ze ruimer, maak in plaats daarvan een redencode verplicht, en kijk er wekelijks naar.
• Wijzig de managerpincode volgens een vast schema. Elk kwartaal, plus meteen als er een manager vertrekt. Behandel hem precies als de code van de kluis.

Zijn je managers zo dun gezaaid dat ze niets kunnen goedkeuren zonder de service op te houden, dan is dat een personeelsprobleem in een technisch jasje: shiftmanagers aannemen.

Pincodes invoeren in één dienst

Veertig minuten, één briefing, klaar.

1. Zet iedereen op een rij die aan de kassa komt. Ook de kok die af en toe een afhaalbestelling aanslaat en de partner van de eigenaar die de zondag draait. Juist die spookgebruikers gaan uiteindelijk delen.
2. Maak één account per persoon, met de echte naam en de juiste rol. Niet "Ober 1" en "Ober 2" — echte namen, anders heb je hetzelfde probleem opnieuw gebouwd met extra stappen.
3. Koppel rechten aan de rol, niet aan de persoon, zodat je volgende nieuwe medewerker automatisch de juiste toegang krijgt.
4. Laat iedereen zijn eigen pincode van 6 cijfers instellen. Geef ze 30 seconden bij de kassa tijdens de briefing. Een code die iemand zelf kiest, onthoudt hij; een code die jij uitdeelt, komt op een hand te staan.
5. Zet automatisch vergrendelen aan op 60 tot 120 seconden en zorg dat de vergrendelknop zit waar een duim vanzelf terechtkomt.
6. Verwijder het gedeelde account. Niet uitzetten — verwijderen, als je systeem dat toelaat. Een uitgezet account heeft de gewoonte om op een drukke zaterdag terug te komen.
7. Vertel waarom, in één minuut, in de briefing. Houd het bij duidelijkheid, niet bij wantrouwen. "Je omzet en je fooien tellen nu als die van jou, en er komt niets op je naam te staan wat jij niet gedaan hebt" is een zin waar mensen echt blij van worden.
8. Kijk op dag drie in het logboek. Je zoekt één ding: staat alles nog steeds onder één naam? Dan wordt er gedeeld, en heb je een probleem met de werkwijze op te lossen — geen probleem met discipline.

Die controle op dag drie ís de hele invoering. Sla je hem over, dan ontdek je een half jaar later dat je pincodesysteem sinds week één alleen maar versiering was.

De dag dat iemand vertrekt

Elk restaurant heeft een lijstje voor vertrekkers: sleutels en de deurcode. De kassa hoort op datzelfde lijstje, op dezelfde dag.

• Zet het account uit vóór het einde van de laatste dienst, niet "volgende week als ik op kantoor zit".
• Wijzig de managerpincode als de vertrekker hem had, of hem waarschijnlijk kende.
• Zet openstaande bestellingen op iemand anders, zodat er niets blijft staan onder iemand die weg is.
• Bewaar de historie. Zet de login uit, verwijder nooit het dossier — je hebt de omzet van vorig kwartaal nog steeds correct op naam nodig, en misschien ook het spoor van acties.
• Controleer de toegang op afstand als je kassasysteem in een browser draait. Een backoffice-login is een andere deur dan een pincode op de vloer, en dat is de deur die mensen vergeten.

Logins van oud-medewerkers geven meer gedoe dan actieve, juist omdat er niemand naar kijkt.

Meer dan één kassa, meer dan één vestiging

Twee extra regels zodra je meer dan één kassa hebt.

Eén persoon, één pincode, op elke kassa. Een ober hoort aan de bar geen andere code te hebben dan in de zaal. Overal dezelfde persoon, anders zit je je rapporten met de hand bij elkaar te puzzelen.

Koppel mensen aan hun eigen vestiging. Een ober bij de ene zaak hoort geen bestellingen te kunnen openen bij de andere. De meeste systemen doen dit met een vestiging per medewerker — stel het in, en controleer het opnieuw zodra iemand een dienst aan de andere kant van de stad overneemt, want tijdelijke toegang heeft de gewoonte om permanent te worden. Het hoort bij dezelfde familie van ergernissen: problemen met een kassasysteem op meerdere locaties.

En houd de lengte van de pincode op elke locatie hetzelfde. Bij verschillende regels weet niemand meer welke zaak zes cijfers wil, en precies in die verwarring begint het delen.

Waar je na twee weken naar kijkt

Zodra de pincodes draaien, zit de winst in de rapporten. Tien minuten, per medewerker:

1. Annuleringen en verwijderde regels — aantal en bedrag
2. Kortingen — aantal, bedrag en gemiddeld percentage
3. Terugbetalingen en weggegeven items — stuk voor stuk, met de reden
4. Contant afgerekende bestellingen die later zijn aangepast — dit hoort bijna nul te zijn
5. Sessies die lang open blijven staan — een teken van delen, niet van diefstal

Vergelijk daarna mensen met elkaar, niet met nul. Iedereen annuleert. Het signaal is één persoon die vier keer zo vaak annuleert als zijn collega's, op dezelfde diensten, dezelfde sectie, dezelfde gasten.

Check de saaie verklaringen voordat je iemand beschuldigt. Veel annuleringen betekent meestal een verwarrend productscherm, drie gerechten die er op het scherm identiek uitzien, of slechte training. Je hebt meestal gelijk, en je houdt een goede ober die je anders kwijt was geraakt. Zijn die rapporten nog onbekend terrein, begin dan hier: een omzetrapport lezen.

Fouten die een pincodesysteem slopen

• Het gedeelde account houden "alleen voor noodgevallen". Binnen een maand is het je hoofdaccount.
• Pincodes uitdelen in plaats van mensen zelf laten kiezen. Uitgedeelde codes komen op bonnetjes en onderarmen te staan.
• Wisselen van gebruiker traag maken. Veruit de grootste oorzaak van delen. Pak de werkwijze aan, niet de mensen.
• Geen automatisch vergrendelen. Eén kassa die de hele avond open staat, maakt elke pincode in de zaak zinloos.
• Codes op volgorde, zoals 1001, 1002, 1003. Wie één code ziet, raadt de rest.
• De pincode van een vertrekker opnieuw gebruiken voor een nieuwe medewerker. Het vertroebelt je historie en maakt je rapporten onduidelijk.
• Zoveel blokkeren dat managers constant geroepen worden. Omzeilen volgt, gegarandeerd.
• Het instellen en daarna nooit meer in het logboek kijken. Rechten en pincodes zonder controle zijn toneel.
• Het brengen als een actie tegen diefstal. Doe dat en je bent een maand bezig met vertrouwen terugwinnen dat je niet had hoeven verliezen.

FAQ

Waarom hoort elke medewerker een eigen pincode op de kassa te hebben? Omdat een pincode een naam onder elke actie zet. Annuleringen, kortingen, terugbetalingen, betalingen en contant geld zijn dan te herleiden tot één persoon in plaats van tot één anoniem account. Dat geeft je echte cijfers per persoon, beschermt mensen die niets fout deden, en voorkomt dat de naam van je manager onder dingen staat die hij nooit gedaan heeft.

Is een gedeelde kassalogin echt een probleem als ik mijn team vertrouw? Ja, en vertrouwen is de verkeerde insteek. Bij een gedeelde login kun je van niemand bewijzen dat hij iets gedaan heeft — en ook niet dat hij het níét deed. Het sloopt ook je omzetcijfers per ober, maakt het verdelen van fooien lastig, en botst waarschijnlijk met de regels voor kaartbetalingen, die een eigen unieke gebruiker per persoon eisen.

Uit hoeveel cijfers moet een pincode bestaan? Zes is in de praktijk het beste. Vier cijfers geven maar 10.000 combinaties en worden zo geraden door collega's die elkaars verjaardag kennen. Zes cijfers geven er een miljoen en kosten ongeveer een halve seconde extra om in te tikken.

Vertragen pincodes de bediening? Nauwelijks — ongeveer twee seconden per wissel als het systeem goed staat. Duurt wisselen langer, dan komt dat meestal doordat je helemaal moet uitloggen in plaats van een snelle vergrendelknop te hebben, of doordat je te weinig kassa's hebt voor het aantal tafels.

Wat is het verschil tussen een apparaatslot en een persoonlijke pincode? Een apparaatslot opent de kassa voor de dag, meestal door een manager. Een persoonlijke pincode laat zien wie hem nú gebruikt. In dat model gaan medewerkers boven op het geopende apparaat met hun eigen pincode in en uit hun sessie, en tikken ze op vergrendelen om de kassa door te geven.

Hoe vaak moeten pincodes gewijzigd worden? Pincodes van medewerkers hoeven niet standaard gewijzigd te worden zolang niemand ze deelt. Managerpincodes wijzig je elke paar maanden, en meteen als er een manager vertrekt. Wie denkt dat zijn pincode gezien is, moet hem in seconden kunnen wijzigen zonder het te hoeven vragen.

Wat doe ik met een kassa-account als iemand vertrekt? Zet het uit vóór het einde van de laatste dienst, wijzig elke managerpincode die de vertrekker kende, zet openstaande bestellingen op iemand anders, en controleer de backoffice- of browserlogin apart. Bewaar het dossier van de medewerker zelf, zodat oude omzet correct op naam blijft staan — zet de login uit, verwijder de historie niet.

Kun je pincodes gebruiken om in en uit te klokken? Veel systemen kunnen het, en het is handig. Maar een log uit je kassa is niet automatisch een geldige urenregistratie. De Arbeidstijdenwet verplicht je om arbeids- en rusttijden deugdelijk bij te houden, en je cao kan er nog eisen bovenop leggen. Leg het voor aan je salarisadministrateur of accountant voordat je erop vertrouwt.

Heeft een café met drie mensen echt aparte pincodes nodig? Ja, en het kost een kwartier. Juist bij kleine teams doet één gat de meeste schade, want er is geen ruimte om het op te vangen. Aparte pincodes, terugbetalingen en weggeven bij de eigenaar, en wekelijks even naar de cijfers kijken — dat is de hele opzet.

Wat als mijn kassasysteem maar één login ondersteunt? Dan is het het verkeerde systeem voor een zaak met personeel. Eigen accounts met pincodes zijn standaard, ook in gratis systemen. Ontbreekt die functie, dan heb je geen cijfers per persoon, geen controle op rechten, en waarschijnlijk een probleem met de regels voor kaartbetalingen.

Kan ik zien wie een bepaalde betaling heeft aangenomen? Met eigen pincodes wel — bij de betaling staat welke medewerker hem aannam, en dat is precies wat je nodig hebt bij een chargeback, een verschil in de kassalade of een discussie met een gast. Met een gedeelde login zegt dat veld niets.

Hoe voorkom ik dat personeel toch pincodes deelt? Maak de eerlijke weg sneller dan de sluiproute. Meteen vergrendelen, snel wisselen, genoeg kassa's, en rechten die ruim genoeg zijn zodat niemand de code van een manager hoeft te lenen. Kijk daarna op dag drie of er meer dan één naam in het logboek staat, en behandel delen eerst als een fout in de werkwijze en pas daarna als een disciplinekwestie.

---

Een gedeelde kassalogin voelt alsof het tijd bespaart. Wat het echt doet, is het antwoord wissen op elke vraag die je later wilt stellen — over geld, over fooien, over welke van je obers stiekem je beste verkoper is.

Doe deze week één ding. Open de medewerkerslijst in je kassasysteem en tel de accounts. Zijn er minder accounts dan mensen, dan heb je je klusje voor zaterdagmiddag gevonden, en het is een korte. Twintig minuten, één praatje in de briefing, en vanaf die dag komt elk cijfer dat je zaak produceert met een naam erbij.