Controleren of je wachtwoorden gelekt zijn

Bijgewerkt 28-08-2026 · tijdelijkemail.nl

Er is een verschil tussen «is mijn adres ergens uitgelekt» en «staat mijn wachtwoord op straat». Het tweede is het serieuze geval, en je kunt het binnen een paar minuten nagaan — zonder je wachtwoord ergens in te typen.

Hoe de controle werkt

Als een dienst wordt gehackt, komt de gestolen database vroeg of laat in omloop. Onderzoekers verzamelen die openbaar geworden verzamelingen, halen de e-mailadressen en wachtwoordhashes eruit en maken er een doorzoekbare index van. Jij vult je adres in en krijgt de lijst met lekken waarin het voorkomt, met per lek de categorieën gegevens die zijn blootgesteld.

De bekendste dienst hiervoor is Have I Been Pwned. Daarnaast bieden de meeste browsers en vrijwel alle wachtwoordmanagers deze controle ingebouwd aan — met het grote voordeel dat ze niet alleen je adres maar ook je opgeslagen wachtwoorden kunnen nakijken, en dat ze het automatisch blijven doen.

Waarom je dat veilig kunt doen

De begrijpelijke vraag: ga ik mijn adres of wachtwoord invullen op een site die ik niet ken? Voor het adres geldt dat het al in die lekken staat — daar gaat de controle immers over. Een serieuze dienst gebruikt het alleen voor de zoekopdracht en bewaart het hooguit als je expliciet om waarschuwingen vraagt.

Voor het wachtwoord bestaat een slimmere oplossing, en die is het waard om te kennen. Je browser of manager berekent lokaal de hash van je wachtwoord en stuurt alleen de eerste vijf tekens daarvan naar de dienst. De server stuurt alle bekende hashes terug die met die vijf tekens beginnen — vaak honderden. Jouw apparaat kijkt vervolgens zelf of de volledige hash daartussen zit. De dienst weet dus nooit welk wachtwoord je controleerde en zelfs niet of er een treffer was. Dit heet k-anonimiteit. Vul je wachtwoord alleen in bij een dienst die deze werkwijze beschrijft — een site die om je volledige wachtwoord vraagt, sluit je.

Wat je doet, afhankelijk van wat er uitlekte

Alleen je e-mailadres. Vervelend, niet dringend. Reken op meer spam en op phishing die geloofwaardiger is dan gemiddeld. Er is geen wachtwoord dat je hoeft te wijzigen. Voor de langere termijn: geef dat adres minder vaak weg.

Je adres en je wachtwoord. Dit is het geval dat telt. Handel in deze volgorde:

1. Wijzig het wachtwoord bij de gelekte dienst.
2. Wijzig het overal waar je hetzelfde of een gelijkend wachtwoord gebruikte. Dit is verreweg de belangrijkste stap: aanvallers proberen gelekte combinaties automatisch bij tientallen andere diensten.
3. Zet tweestapsverificatie aan, minstens op je hoofdmail en alles wat met geld te maken heeft.
4. Controleer in het betrokken account de actieve sessies en apparaten en sluit wat je niet herkent.

Je adres met persoonsgegevens (naam, telefoon, woonadres, geboortedatum). Hier verandert er niets aan je wachtwoorden, maar wel aan de kwaliteit van de oplichting die je kunt verwachten: een beller die je adres en je geboortedatum kent klinkt overtuigend. Behandel elk onverwacht contact met wantrouwen, hoeveel de ander ook over je lijkt te weten. Wat er verder bij een lek van je adres komt kijken staat in je e-mailadres is gelekt? dit doe je.

Doorlopend in plaats van eenmalig

Eén keer controleren is een momentopname. Het volgende lek komt vanzelf, en de kans is groot dat je pas maanden later hoort dat een dienst gehackt is. Zet daarom bewaking aan:

• Meld je adres aan voor waarschuwingen bij een lekdienst — je krijgt bericht zodra het in een nieuw lek opduikt.
• Laat je wachtwoordmanager je kluis periodiek doorlichten op gelekte, zwakke en hergebruikte wachtwoorden.
• Zet de ingebouwde waarschuwingen van je browser aan als je die gebruikt.

Het verschil tussen deze twee manieren van bewaren behandelen we in wachtwoorden opgeslagen in de browser.

Wat een treffer níét betekent

Een lange lijst met lekken naast je adres ziet er alarmerend uit, maar zegt vooral iets over hoe lang je dat adres al gebruikt. Het betekent niet dat iemand nu in je accounts zit, en het betekent ook niet dat je apparaat besmet is: de gegevens zijn gestolen bij de dienst, niet bij jou. Ga de lijst rustig langs en kijk per regel of er een wachtwoord bij zat en of je dat ergens nog gebruikt. De meeste regels vragen om niets meer dan die controle.

Andersom geldt: geen treffer is geen garantie. Lekken duiken soms pas jaren later op, en niet elk lek wordt openbaar. Beschouw de uitslag daarom als nuttige informatie, niet als een schoon rapport waarna je achterover kunt leunen.

«Ik heb je wachtwoord» — de afpersmail

Vroeg of laat krijg je een bericht dat begint met een wachtwoord van jou, gevolgd door de bewering dat de afzender je camera heeft gehackt en beelden gaat verspreiden als je niet in cryptovaluta betaalt. Dit is vrijwel altijd bluf, en de bron is precies wat hierboven staat: een openbare lekdatabase. De afzender heeft een lijst gekocht, er een sjabloon overheen gelegd en die naar honderdduizenden adressen gestuurd.

Betaal niet en antwoord niet. Herken je het wachtwoord uit de mail, wijzig het dan overal waar je het nog gebruikt — dat is het enige echte signaal in zo’n bericht. Verwijder de mail verder gewoon. Meer over deze categorie staat in wat is phishing en hoe herken je het.

Het lek dat je voorkomt

Je kunt niet voorkomen dat diensten gehackt worden, maar wel bepalen wat ze van je hebben. Twee gewoonten halen bijna al het gif eruit: overal een uniek wachtwoord uit een wachtwoordmanager, en voor eenmalige registraties een tijdelijk adres in plaats van je echte. Dan gaat het volgende lek over een postbus die je niet gebruikt en een wachtwoord dat nergens anders werkt.

Veelgestelde vragen

Hoe vaak moet ik controleren?

Handmatig een paar keer per jaar is genoeg, mits je unieke wachtwoorden gebruikt. Nog beter is het om je te abonneren op meldingen voor je adres, want dan hoor je het op het moment dat een lek bekend wordt in plaats van maanden later.

Wat als mijn adres nergens in staat?

Dat is goed nieuws, maar geen garantie. Controlediensten kennen alleen de lekken die openbaar geworden zijn; datasets die alleen privé circuleren staan er niet in. Behandel «geen treffer» dus als geruststelling, niet als bewijs.

Moet ik ook adressen controleren die ik niet meer gebruik?

Zeker, en juist die. Aan oude adressen hangen vaak vergeten accounts met verouderde wachtwoorden, en zolang die accounts bestaan zijn ze een ingang. Kom je een treffer tegen, hef het account dan op in plaats van alleen het wachtwoord te wisselen.