Datalek voorkomen: 10 maatregelen die echt helpen

Een datalek klinkt als iets wat grote bedrijven overkomt. De praktijk is anders. Juist bij kleinere organisaties gaat het mis, omdat daar minder toezicht is op wie waarbij kan en omdat er zelden iemand fulltime met beveiliging bezig is. Eén doorgestuurde bijlage, één gedeelde map die per ongeluk openstaat, één medewerker die op een nepmail klikt: dat is genoeg. Een datalek voorkomen is daarom geen project voor later.

De schade is bovendien zelden alleen technisch. Je verliest tijd, je moet klanten inlichten, en het vertrouwen dat je in jaren hebt opgebouwd staat ineens ter discussie. Wat de kosten van een datalek vooral opdrijft is de tijd tussen het moment dat het gebeurt en het moment dat iemand het doorheeft.

Het goede nieuws: de meeste datalekken zijn te voorkomen met maatregelen die niet duur of ingewikkeld zijn. Hieronder tien die in het MKB echt verschil maken, plus wat je doet als het toch misgaat.

Wat is een datalek precies?

Een datalek is elke situatie waarin persoonsgegevens of vertrouwelijke bedrijfsgegevens in verkeerde handen komen, kwijtraken of onbedoeld gewijzigd worden. Denk aan klantnamen, e-mailadressen, personeelsdossiers, offertes of bankgegevens. Het gaat dus niet alleen om data in een systeem, maar om alle gevoelige informatie die je organisatie verwerkt.

Belangrijk om te weten: een datalek is niet per se een hack. Een laptop die in de trein blijft liggen telt ook. Net als een e-mail met een klantenlijst die naar het verkeerde adres gaat, of een oude medewerker die nog steeds bij de gedeelde schijf kan. Onder de Algemene verordening gegevensbescherming (AVG) moet je een datalek met risico voor betrokkenen binnen 72 uur melden bij de Autoriteit Persoonsgegevens. Die meldplicht datalekken geldt volgens de AVG voor elke organisatie die persoonsgegevens verwerkt, en je bent daartoe verplicht ongeacht hoe klein je bedrijf is. Val je onder NIS2, dan gelden er nog strengere meldtermijnen.

Waarom kleinere bedrijven vaak het doelwit zijn

Aanvallers kiezen niet op naam. Ze scannen het internet op zwakke plekken en pakken wat openstaat. Een klein bedrijf met een verouderde firewall of een account zonder tweestapsverificatie is voor hen makkelijker binnen te komen dan een concern met een securityteam. Dat is precies waarom het MKB relatief vaker geraakt wordt.

Daarbij zit je vaak in de keten van grotere klanten. Jouw toegang tot hun systemen maakt jou interessant, ook als je zelf niets spannends te stelen hebt.

10 maatregelen die datalekken voorkomen

1. Zet tweestapsverificatie overal aan

Dit is de maatregel met verreweg het meeste effect per bestede minuut. Een gestolen wachtwoord is waardeloos als er ook nog een tweede stap nodig is. Zet het aan op e-mail, cloudopslag, boekhouding en je administratieve systemen. Niet alle methodes zijn even sterk; sms is beter dan niets, maar een authenticator-app of hardwaresleutel is veiliger. Zie welke MFA het veiligst is.

2. Gebruik een wachtwoordmanager

Mensen hergebruiken wachtwoorden omdat ze er twintig moeten onthouden. Een wachtwoordmanager lost dat op: één sterk hoofdwachtwoord, en voor elke dienst een uniek, lang wachtwoord dat niemand hoeft te onthouden. In de zakelijke variant kun je bovendien wachtwoorden veilig delen binnen je team zonder ze in een Excel of appgroep te zetten.

3. Houd software actueel

De meeste succesvolle aanvallen gebruiken lekken waarvoor al maanden een update bestaat. Zet automatische updates aan voor besturingssystemen, browsers en apps, en zorg dat ook je netwerkapparatuur en NAS worden meegenomen. Structureel aanpakken doe je met patchmanagement.

4. Geef mensen alleen toegang tot wat ze nodig hebben

Als iedereen bij alles kan, kan één gekaapt account ook bij alles. Werk met rollen: verkoop hoeft niet in de personeelsmappen, en de stagiair hoeft niet bij de bankgegevens. Loop de rechten regelmatig door — minstens één keer per jaar — en haal accounts van vertrokken medewerkers direct weg. Dat verkleint het risico op een datalek als één inlog toch in verkeerde handen valt, en beperkt hoeveel gegevens er dan mogelijk gelekt worden.

5. Versleutel gevoelige gegevens

Versleuteling zorgt dat een gestolen laptop of USB-stick niets oplevert: de gegevens zijn dan wel weg, maar niet leesbaar. Zet schijfversleuteling aan (BitLocker op Windows, FileVault op Mac) en gebruik versleutelde verbindingen voor bestandsoverdracht. Wil je weten wat er onder de motorkap gebeurt: we legden de gangbare encryptiemethodes op een rij.

6. Train je collega’s in het herkennen van nepmail

Techniek stopt veel, maar niet alles. De laatste meter is altijd een mens die wel of niet klikt. Korte, terugkerende training werkt beter dan één lange sessie per jaar; lees hoe vaak je securitytraining zou moeten geven. Maak vooral duidelijk dat melden nooit gevolgen heeft, ook niet als iemand al geklikt heeft.

7. Beveilig je e-mail aan de voorkant

Stel SPF, DKIM en DMARC in zodat anderen niet ongestraft namens jouw domein kunnen mailen. Zet daarnaast filtering aan die verdachte bijlagen en links tegenhoudt. Een praktisch stappenplan staat in zakelijke e-mail beveiligen in 6 stappen.

8. Zorg voor back-ups die je hebt getest

Een back-up voorkomt geen datalek, maar beperkt de gevolgen enorm: je krijgt je data terug zonder afhankelijk te zijn van een aanvaller. Werk volgens de 3-2-1-regel: drie kopieën, op twee soorten media, waarvan één buiten de deur of onveranderbaar. En test minstens één keer per kwartaal of terugzetten ook echt lukt. Meer hierover in veilige back-ups: best practices.

9. Zet je netwerk en wifi goed neer

Vervang standaardwachtwoorden van router en accesspoints, gebruik WPA3 waar het kan, en zet gasten en slimme apparaten op een apart netwerk. Zo kan een besmette printer of thermostaat niet bij je administratie.

10. Weet wie wat doet als het misgaat

Leg op één A4 vast wie je belt, wie klanten informeert, wie de melding bij de Autoriteit Persoonsgegevens doet en waar de back-ups staan. Oefen het één keer. Een team dat het scenario al eens heeft doorlopen reageert uren sneller, en die uren bepalen de schade.

Zo pak je het aan

Alles tegelijk hoeft niet. Een datalek voorkomen doe je stap voor stap, en deze volgorde dekt de grootste risico’s voor je gegevens eerst:

1. Week 1: tweestapsverificatie aan op e-mail en cloudopslag, en accounts van vertrokken medewerkers opruimen.
2. Week 2: wachtwoordmanager uitrollen en automatische updates controleren op alle apparaten.
3. Week 3: toegangsrechten doorlopen per map en per systeem, en overbodige rechten intrekken.
4. Week 4: back-upherstel testen en het incidentplan op één A4 zetten.
5. Daarna: elk kwartaal een korte controle en een half uur training met het team.

Praktijkvoorbeeld: hoe klein het begint

Een installatiebedrijf met twaalf medewerkers krijgt een mail die lijkt te komen van hun leverancier: gewijzigd rekeningnummer, nette huisstijl, kloppende ondertekening. De administratie past het nummer aan. Pas drie weken later blijkt dat de leverancier nooit betaald is en dat het mailaccount van een collega al een maand werd meegelezen.

Wat het had voorkomen: tweestapsverificatie op dat ene mailaccount, en de simpele afspraak dat een gewijzigd rekeningnummer altijd telefonisch wordt geverifieerd via een bekend nummer. Twee maatregelen, nul euro aan techniek.

En als het toch gebeurt?

Snelheid is dan alles. Isoleer het betrokken account of apparaat, verzamel wat je weet, en beoordeel welke gegevens gelekt zijn en of er persoonsgegevens bij zijn. Meld het datalek binnen 72 uur bij de Autoriteit Persoonsgegevens als er risico is voor betrokkenen, en informeer klanten eerlijk en op tijd. De veelgemaakte fouten in die fase staan in datalek afhandelen: 5 valkuilen.

Veelgestelde vragen

Hoe vaak moet ik onze beveiliging controleren?

Een korte controle per kwartaal is voor de meeste MKB-bedrijven genoeg: updates, toegangsrechten, back-uptest en actieve accounts. Eén keer per jaar iets uitgebreider, bijvoorbeeld tegelijk met je jaarlijkse IT-review. Werk je met een IT-partner, dan hoort dit gewoon in de afspraken te staan.

Zijn deze maatregelen niet duur voor een klein bedrijf?

De meeste kosten weinig tot niets. Tweestapsverificatie zit al in je Microsoft 365- of Google-abonnement, updates zijn gratis, en toegangsrechten opruimen kost alleen tijd. Een wachtwoordmanager en fatsoenlijke back-up kosten een paar euro per medewerker per maand. Afgezet tegen een week stilstand is dat verwaarloosbaar.

Wat is de meest voorkomende oorzaak van een datalek?

Gekaapte inloggegevens, meestal via phishing of een hergebruikt wachtwoord. Daarna volgen menselijke vergissingen, zoals een e-mail naar de verkeerde ontvanger of een map die te ruim gedeeld staat. Daarom leveren tweestapsverificatie en het opruimen van toegangsrechten de meeste winst.

Moet ik elk datalek melden?

Nee. Je meldt bij de Autoriteit Persoonsgegevens als het lek waarschijnlijk risico oplevert voor de betrokkenen. Je moet elk lek wél intern registreren, ook de kleine. Bij twijfel: leg het voor, want te laat melden weegt zwaarder dan te vaak melden.

Welke gegevens zijn het belangrijkst om te beschermen?

Alles wat naar een persoon te herleiden is: klantgegevens, personeelsdossiers en financiële of medische informatie. Loop één keer door je systemen en noteer waar die gegevens staan en wie erbij kan. Gegevens die je niet meer nodig hebt, hoef je ook niet te bewaren — dat scheelt risico’s, en hoe minder je bewaart, hoe kleiner de kans op datalekken.

Weet je niet zeker hoe je bedrijf ervoor staat? We kijken graag een keer mee: waar zitten de gaten, wat is snel op te lossen en wat kan wachten. Zonder verkooppraat, gewoon een eerlijk beeld.