Hoe veilig is uw DigiD?

De DigiD is een beveiligd persoonlijk wachtwoord voor toegang tot websites van de overheid. Handig om belastingaangifte te doen bijvoorbeeld. Toch vallen de digitale persoonsgegevens soms in handen van criminelen. Hoe zit dat?

DigiD is een combinatie

van een zelfgekozen gebruikersnaam en wachtwoord, waarmee u zich kunt identificeren op websites van de overheid. Bijvoorbeeld als u aangifte doet, maar ook voor het aanvragen van een uittreksel uit het bevolkingsregister.

Wanneer u zo’n online-aanvraag doet, wordt u automatisch naar het inlogscherm van DigiD geleid. De verbinding tussen uw eigen computer en die van de gemeente is beveiligd. Die veiligheid hebt u voor een deel ook zelf in de hand, bijvoorbeeld door na het afronden van uw aanvraag op de button ‘uitloggen’ te klikken.

Net als bij internetbankieren is het zaak om zorgvuldig om te gaan met gebruikersnaam en wachtwoord. Kwaadwillenden kennen allerlei trucjes om voordeel te halen uit uw persoonsgegevens. DigiD voorkomt dit misbruik – tenminste, dat is de bedoeling. Het kan namelijk ook flink misgaan. Momenteel zijn er zo’n negen miljoen gebruikers van DigiD en het aantal gevallen van misbruik ligt in de honderden, mogelijk zelfs duizenden.

Digitale inbraak

Vorige zomer kwamen de berichten over misbruik steeds vaker in het nieuws. Met behulp van andermans DigiD krijgen criminelen toegang tot de sites van de overheid, waarna ze uitkeringen voor kinderbijslag of extra toeslagen voor huur of zorg laten bijschrijven op een andere bankrekening. De pijn wordt extra groot wanneer de uitkerende instantie het onterecht uitgekeerde bedrag vervolgens komt terugvorderen bij de eigenaar van de DigiD.

In augustus liep de schade al op tot in de miljoenen euro’s. De onzekerheid rond de veiligheid van overheidssites bereikte een hoogtepunt met de digitale inbraak bij DigiNotar, een bedrijf dat nota bene betrokken was bij de beveiliging van die overheidssites.

Wachtwoord per post

Veel alarmerende berichten betroffen fraude met het aanvragen van toeslagen bij de Belastingdienst. “De kwetsbaarheid in het systeem ontstond nadat de Belastingdienst bekend had gemaakt dat de DigiD van de rechthebbende niet nodig was om een toeslag aan te vragen”, zegt Michiel Groeneveld, voorlichter bij Logius, de ICT-dienst van de overheid. “Inmiddels is dat weer aangepast.”

Verschillende instanties, zoals het Genootschap van Informatiebeveiligers, hebben echter nog steeds kritiek op de veiligheid van DigiD. Bijvoorbeeld: na het aanvragen van een DigiD wordt de activeringscode van het wachtwoord per post bezorgd. Maar er wordt daarna niet gecontroleerd of die brief wel op het juiste adres is aangekomen. Aangetekend versturen zou een oplossing zijn, maar dat is duur.

Elektronische identiteit

Bij het ministerie van Binnenlandse Zaken wordt al onderzoek gedaan naar een verdere beveiliging van het systeem door middel van de elektronische identiteit, de eID. Die vervangt de DigiD niet, maar wordt er een onderdeel van. Voordat dat mogelijk is, moet het systeem echter uitgebreid worden getest. Tegen de tijd dat de eID daadwerkelijk kan worden ingevoerd, zijn we zo een jaar verder.

“De onrust rond de onveiligheid van de DigiD is de laatste tijd weer wat afgenomen”, zegt Jasper Bakker, redacteur bij Webwereld.nl, een onlinekrant over ICT en internet. Webwereld heeft vorig jaar intensief bericht over fraudegevoeligheid van de overheidssites. “Enkele gemeenten in Nederland hadden hun DigiD niet goed beveiligd. Toen dat aan het licht kwam, heeft de overheid die gemeenten direct losgekoppeld van het DigiD-systeem.”

Is de DigiD dan weer veilig? Jasper Bakker: “Veiliger dan vorig jaar in ieder geval, maar hij kan veiliger. Al is het ook weer zo dat honderd procent veiligheid niet bestaat; wat op slot kan, kan ook open.”

Het kán veiliger

Wat kunt u als burger nu het beste doen? Uw DigiD gewoon gebruiken, of toch maar liever ouderwets een papieren aangifte? “Iedereen kan zijn DigiD veilig gebruiken, mits hij er ook zelf zorgvuldig mee omgaat”, benadrukt overheidsvoorlichter Michiel Groeneveld. (Zie kader met veiligheidstips.) Ook de redacteur van Webwereld stelt dat DigiD weer gewoon gebruikt kan worden. Bakker: “Gebruik ’m, maar blijf te allen tijde alert op de veiligheid.”

Zo gaat u veilig om met uw DigiD

Geef uw DigiD nooit aan iemand anders. Ook niet als deze persoon of organisatie u helpt. Toets dan altijd zelf uw DigiD in.
Zorg ervoor dat niemand meekijkt wanneer u uw DigiD intoetst.
Kies een moeilijk te raden wachtwoord en wijzig het regelmatig.
Op websites waar u inlogt met een wachtwoord, moet u ook weer uitloggen. Doe dat direct zodra u klaar bent.
Net als bij internetbankieren zullen medewerkers van DigiD u nooit vragen om uw gebruikersnaam, wachtwoord of activeringscode. Niet per e-mail, telefoon of op welke manier dan ook.
Gebeurt dat wel, dan weet u zeker dat u met oplichters te maken hebt: sluit de internetbrowser of de e-mail dan onmiddellijk. Gooi de e-mail altijd weg.
Wees zeer voorzichtig als u uw DigiD op een andere dan uw eigen computer gebruikt. U hebt dan geen zicht op de veiligheid van de computer waarop u uw zaken regelt.
Gebruik op uw computer een goed antivirusprogramma.
Klik nooit zomaar op linkjes van e-mails waarvan u de afzender niet kent.
Controleer de website waarop u uw DigiD invoert: veilige websites beginnen met ‘https’, waarbij de ‘s’ staat voor secure (‘veilig’), en hebben rechtsboven een hangslotje. Als u daarop klikt, kunt u de afzender controleren.
De DigiD verloopt wanneer hij anderhalf jaar niet wordt gebruikt. In dat geval dient u een nieuw wachtwoord aan te vragen.

Lees ook: