Wat is een datalek?

Een datalek is een beveiligingsincident waarbij persoonsgegevens onbedoeld toegankelijk worden voor onbevoegden. Dit kan betekenen dat gevoelige informatie zoals e-mailadressen, wachtwoorden, telefoonnummers of financiele gegevens worden gestolen, openbaar gemaakt of op een andere manier blootgesteld. De term wordt in de Algemene Verordening Gegevensbescherming (AVG) omschreven als een inbreuk op de beveiliging die leidt tot vernietiging, verlies, wijziging of ongeoorloofde verstrekking van persoonsgegevens.

Datalekken komen vaker voor dan de meeste mensen denken. Wereldwijd zijn er inmiddels meer dan 17 miljard accounts getroffen door bekende datalekken. In Nederland worden jaarlijks tienduizenden datalekken gemeld bij de Autoriteit Persoonsgegevens (AP). Niet alleen grote bedrijven worden getroffen — ook kleine organisaties, gemeenten en zorginstellingen zijn regelmatig het doelwit.

Soorten datalekken

Datalekken kennen verschillende oorzaken. Dit zijn de meest voorkomende typen:

Hoe ontstaat een datalek in de praktijk?

Een datalek begint vrijwel altijd met een zwakke schakel in de beveiliging. Bij een cyberaanval scannen hackers het internet systematisch op kwetsbare systemen. Zodra ze een opening vinden, proberen ze toegang te krijgen tot de achterliggende database. Dit proces kan weken tot maanden duren zonder dat de organisatie het merkt.

Zodra de aanvallers toegang hebben, kopieren ze zoveel mogelijk gegevens. Vervolgens dreigen ze de data openbaar te maken (ransomware) of verkopen ze de gestolen informatie direct op ondergrondse marktplaatsen. De gelekte gegevens worden dan gebruikt voor identiteitsfraude, gerichte phishing-aanvallen of andere vormen van cybercriminaliteit.

Bij menselijke fouten gaat het vaak sneller. Een verkeerd ingestelde cloudserver kan binnen minuten door geautomatiseerde scanners gevonden worden. Een e-mail met een CC in plaats van BCC kan honderden e-mailadressen in een keer blootstellen. Het kenmerk van dit type lek is dat het meestal onbedoeld en onopgemerkt gebeurt.

Bekende datalekken in Nederland

Nederland is de afgelopen jaren meerdere keren opgeschrikt door grote datalekken. Hieronder drie voorbeelden die de impact goed illustreren:

• Odido (2026)

  In februari 2026 maakte hackersgroep ShinyHunters de gegevens van miljoenen Odido-klanten openbaar. Het ging om namen, adressen, telefoonnummers, IBAN-nummers, paspoortnummers en rijbewijsnummers. Dit is een van de grootste datalekken in de Nederlandse geschiedenis. Ook klanten van dochtermerk Ben werden getroffen. De impact is groot omdat naast contactgegevens ook financiele en identiteitsgevoelige documenten zijn buitgemaakt.

• GGD CoronaIT (2021)

  Begin 2021 bleek dat medewerkers van de GGD-systemen CoronaIT en HPzone onrechtmatig toegang hadden tot persoonsgegevens van miljoenen Nederlanders. Het ging om BSN-nummers, adressen, telefoonnummers en testresultaten. Gegevens werden verhandeld via berichtendiensten. Dit lek was een voorbeeld van zowel een insider threat als een gebrek aan toegangscontrole.

• Facebook (2021)

  In april 2021 werden de gegevens van meer dan 533 miljoen Facebook-gebruikers wereldwijd gepubliceerd, waaronder enkele miljoenen Nederlandse accounts. De gelekte data omvatte telefoonnummers, e-mailadressen, namen, geboortedata en locaties. De gegevens waren al in 2019 buitgemaakt via een kwetsbaarheid in de contactimportfunctie, maar werden pas twee jaar later breed verspreid.

Wat kun je doen als je gegevens gelekt zijn?

Het is niet mogelijk om gelekte gegevens van het internet te verwijderen. Zodra data eenmaal is verspreid, is het blijvend beschikbaar. Wat je wel kunt doen, is de schade beperken en jezelf beter beschermen:

• Wijzig direct je wachtwoord bij de getroffen dienst. Gebruik een lang, uniek wachtwoord dat je nergens anders gebruikt.
• Schakel tweefactorauthenticatie (2FA) in bij alle belangrijke accounts. Dit voegt een extra beveiligingslaag toe, zelfs als je wachtwoord bekend is.
• Gebruik een wachtwoordmanager om voor elke website een uniek, sterk wachtwoord te genereren en op te slaan.
• Wees extra alert op phishing. Criminelen gebruiken gelekte gegevens om overtuigende nep-mails en sms-berichten te versturen.
• Controleer je bankafschriften regelmatig als financiele gegevens zijn gelekt, en neem bij verdachte transacties direct contact op met je bank.
• Meld verdachte activiteiten bij de politie en de Autoriteit Persoonsgegevens als je vermoedt dat je gegevens worden misbruikt.

Hoe voorkom je dat je slachtoffer wordt?

Hoewel je als individu geen controle hebt over de beveiliging van bedrijven waar je klant bent, kun je het risico op schade aanzienlijk verkleinen:

• Gebruik voor elke website een ander wachtwoord. Als er dan een lek plaatsvindt, zijn je andere accounts niet in gevaar.
• Deel niet meer persoonsgegevens dan strikt noodzakelijk. Hoe minder gegevens een organisatie van je heeft, hoe minder er kan lekken.
• Houd je software en apparaten up-to-date. Beveiligingsupdates dichten kwetsbaarheden die aanvallers anders kunnen misbruiken.
• Controleer regelmatig of je e-mailadres voorkomt in bekende datalekken, zodat je snel kunt handelen wanneer dat nodig is.

Digitale veiligheid begint met bewustzijn. Door te weten wat een datalek is en hoe het ontstaat, kun je betere keuzes maken in het beschermen van je gegevens. Wil je weten of jouw e-mailadres al voorkomt in een bekend datalek? Voer dan hieronder een gratis check uit.