Wat is een datalek?
Laatst bijgewerkt: september 2026
Een datalek is een beveiligingsincident waarbij persoonsgegevens onbedoeld toegankelijk worden voor onbevoegden. Dit kan betekenen dat gevoelige informatie zoals e-mailadressen, wachtwoorden, telefoonnummers of financiële gegevens worden gestolen, openbaar gemaakt of op een andere manier blootgesteld. De term wordt in de Algemene Verordening Gegevensbescherming (AVG) omschreven als een inbreuk op de beveiliging die leidt tot vernietiging, verlies, wijziging of ongeoorloofde verstrekking van persoonsgegevens.
Datalekken komen vaker voor dan de meeste mensen denken. Wereldwijd zijn er inmiddels meer dan 17+ miljard accounts getroffen door bekende datalekken. In Nederland worden jaarlijks tienduizenden datalekken gemeld bij de Autoriteit Persoonsgegevens (AP). Niet alleen grote bedrijven worden getroffen — ook kleine organisaties, gemeenten en zorginstellingen zijn regelmatig het doelwit.
Soorten datalekken
Datalekken kennen verschillende oorzaken. Dit zijn de meest voorkomende typen:
Hacking en cyberaanvallen
Hackers breken in bij organisaties om grote hoeveelheden data te stelen. Dit is de meest bekende vorm van een datalek. Criminelen gebruiken technieken zoals SQL-injectie, brute-force aanvallen of het uitbuiten van bekende kwetsbaarheden om toegang te krijgen tot databases met klantgegevens. Vaak worden de gestolen gegevens vervolgens verkocht op het dark web of publiekelijk gelekt.
Menselijke fouten
Een aanzienlijk deel van alle datalekken wordt veroorzaakt door menselijke fouten. Denk aan het per ongeluk versturen van een e-mail met gevoelige bijlagen naar de verkeerde persoon, het openbaar maken van een database door een verkeerde configuratie, of het verliezen van een USB-stick met klantgegevens. De Autoriteit Persoonsgegevens meldt dat dit type lek in Nederland veelvuldig voorkomt.
Softwarekwetsbaarheden
Verouderde software of onbekende beveiligingslekken (zero-days) kunnen ervoor zorgen dat aanvallers ongemerkt toegang krijgen tot systemen. Wanneer een organisatie software niet op tijd bijwerkt met de laatste beveiligingspatches, ontstaan er openingen die kwaadwillenden kunnen misbruiken om bij persoonsgegevens te komen.
Insider threats
Soms komt een datalek van binnenuit. Medewerkers met toegang tot gevoelige systemen kunnen opzettelijk of onopzettelijk gegevens lekken. Dit kan gaan om een ontevreden werknemer die data kopieert, maar ook om iemand die zonder kwade bedoelingen meer gegevens raadpleegt dan noodzakelijk is voor het werk.
Hoe ontstaat een datalek in de praktijk?
Een datalek begint vrijwel altijd met een zwakke schakel in de beveiliging. Bij een cyberaanval scannen hackers het internet systematisch op kwetsbare systemen. Zodra ze een opening vinden, proberen ze toegang te krijgen tot de achterliggende database. Dit proces kan weken tot maanden duren zonder dat de organisatie het merkt.
Zodra de aanvallers toegang hebben, kopiëren ze zoveel mogelijk gegevens. Vervolgens dreigen ze de data openbaar te maken (ransomware) of verkopen ze de gestolen informatie direct op ondergrondse marktplaatsen. De gelekte gegevens worden dan gebruikt voor identiteitsfraude, gerichte phishing-aanvallen of andere vormen van cybercriminaliteit.
Bij menselijke fouten gaat het vaak sneller. Een verkeerd ingestelde cloudserver kan binnen minuten door geautomatiseerde scanners gevonden worden. Een e-mail met een CC in plaats van BCC kan honderden e-mailadressen in een keer blootstellen. Het kenmerk van dit type lek is dat het meestal onbedoeld en onopgemerkt gebeurt.
Voorbeelden van datalekken
Een datalek hoeft geen grote hack te zijn. De Autoriteit Persoonsgegevens ontvangt jaarlijks tienduizenden meldingen, en het merendeel gaat om alledaagse fouten. Enkele voorbeelden uit de praktijk:
- Een e-mail aan tientallen klanten wordt verstuurd met alle adressen in het CC-veld in plaats van BCC, zodat iedereen elkaars e-mailadres kan zien.
- Een brief of factuur met persoonsgegevens wordt naar het verkeerde adres gestuurd.
- Een laptop, telefoon of USB-stick met onversleutelde klantgegevens wordt verloren of gestolen.
- Een medewerker klikt op een phishinglink, waarna een aanvaller toegang krijgt tot de mailbox met klantdossiers.
- Een database of back-up staat zonder wachtwoord open op internet door een verkeerde serverinstelling.
- Een oud-medewerker heeft na vertrek nog toegang tot systemen en kijkt gegevens in.
Bekende datalekken in Nederland en daarbuiten
De grote incidenten halen het nieuws. Onderstaande voorbeelden laten zien hoe verschillend een datalek kan ontstaan — van een hack tot een overtuigende nepmail of een fout bij een leverancier.
Odido (2026) — cyberaanval en afpersing
In februari 2026 maakte hackersgroep ShinyHunters de gegevens van miljoenen Odido-klanten openbaar. Het ging om namen, adressen, telefoonnummers, IBAN-nummers, paspoortnummers en rijbewijsnummers. Dit is een van de grootste datalekken in de Nederlandse geschiedenis. Ook klanten van dochtermerk Ben werden getroffen. De impact is groot omdat naast contactgegevens ook financiële en identiteitsgevoelige documenten zijn buitgemaakt. Lees meer over het Odido-datalek.
Revolut (2026) — social engineering
In september 2026 bleek dat fintech-bank Revolut paspoortkopieën, verificatie-selfies, rekeningoverzichten en transactiegegevens van klanten had opgestuurd naar oplichters. Die hadden zich voorgedaan als overheidsinstantie via het misbruikte e-maildomein van een échte instantie. Er is dus niet ingebroken: het lek ontstond doordat een overtuigend verzoek werd vertrouwd. Lees meer over het Revolut-datalek.
CEVA Logistics (2026) — lek bij een leverancier
In augustus 2026 werd logistiekdienstverlener CEVA gehackt. Klanten van bol, de Bijenkorf, ING, Ace & Tate en Ajax waren nooit rechtstreeks klant bij CEVA, maar hun namen, adressen, e-mailadressen, telefoonnummers en bestelgegevens lagen wél bij dit bedrijf. Een klassiek voorbeeld van een ketenlek: jouw gegevens lekken bij een partij waarvan je het bestaan niet eens kende.
GGD CoronaIT (2021) — insider threat
Begin 2021 bleek dat medewerkers van de GGD-systemen CoronaIT en HPzone onrechtmatig toegang hadden tot persoonsgegevens van miljoenen Nederlanders. Het ging om BSN-nummers, adressen, telefoonnummers en testresultaten. Gegevens werden verhandeld via berichtendiensten. Dit lek was een voorbeeld van zowel een insider threat als een gebrek aan toegangscontrole.
Facebook (2021) — scraping via een kwetsbaarheid
In april 2021 werden de gegevens van meer dan 533 miljoen Facebook-gebruikers wereldwijd gepubliceerd, waaronder enkele miljoenen Nederlandse accounts. De gelekte data omvatte telefoonnummers, e-mailadressen, namen, geboortedata en locaties. De gegevens waren al in 2019 buitgemaakt via een kwetsbaarheid in de contactimportfunctie, maar werden pas twee jaar later breed verspreid.
Een actueel overzicht van de grootste incidenten van dit jaar vind je in de grootste datalekken van 2026.
Wat kun je doen als je gegevens gelekt zijn?
Het is niet mogelijk om gelekte gegevens van het internet te verwijderen. Zodra data eenmaal is verspreid, is het blijvend beschikbaar. Wat je wel kunt doen, is de schade beperken en jezelf beter beschermen:
- Wijzig direct je wachtwoord bij de getroffen dienst. Gebruik een lang, uniek wachtwoord dat je nergens anders gebruikt.
- Schakel tweestapsverificatie (2FA) in bij alle belangrijke accounts. Dit voegt een extra beveiligingslaag toe, zelfs als je wachtwoord bekend is.
- Gebruik een wachtwoordmanager om voor elke website een uniek, sterk wachtwoord te genereren en op te slaan.
- Wees extra alert op phishing. Criminelen gebruiken gelekte gegevens om overtuigende nep-mails en sms-berichten te versturen.
- Controleer je bankafschriften regelmatig als financiële gegevens zijn gelekt, en neem bij verdachte transacties direct contact op met je bank.
- Meld verdachte activiteiten bij de politie en de Autoriteit Persoonsgegevens als je vermoedt dat je gegevens worden misbruikt.
Wil je precies weten welke acties je in welke volgorde moet ondernemen? Bekijk het volledige stappenplan wat te doen na een datalek.
Hoe voorkom je dat je slachtoffer wordt?
Hoewel je als individu geen controle hebt over de beveiliging van bedrijven waar je klant bent, kun je het risico op schade aanzienlijk verkleinen:
- Gebruik voor elke website een ander wachtwoord. Als er dan een lek plaatsvindt, zijn je andere accounts niet in gevaar.
- Deel niet meer persoonsgegevens dan strikt noodzakelijk. Hoe minder gegevens een organisatie van je heeft, hoe minder er kan lekken.
- Houd je software en apparaten up-to-date. Beveiligingsupdates dichten kwetsbaarheden die aanvallers anders kunnen misbruiken.
- Controleer regelmatig of je e-mailadres voorkomt in bekende datalekken, zodat je snel kunt handelen wanneer dat nodig is.
Digitale veiligheid begint met bewustzijn. Door te weten wat een datalek is en hoe het ontstaat, kun je betere keuzes maken in het beschermen van je gegevens. Wil je weten of jouw e-mailadres al voorkomt in een bekend datalek? Voer dan hieronder een gratis check uit.