Je domein-privacy beschermt je bedrijf niet, en je registrar checkt niemand

De privacy die je ooit bij je domeinnaam aanzette, beschermt precies de partij die het het minst nodig heeft: jou als privépersoon. Je bedrijf viel er nooit onder. Dat klinkt als een voetnoot voor juristen, tot je ziet wat deze week naar buiten kwam.

SIDN, de beheerder van alle .nl-domeinnamen, ontdekte dat zijn publieke RDAP-dienst sinds april 2024, twee jaar lang, meer registratiegegevens van zakelijke .nl-houders toonde dan het eigen beleid toestond: de bedrijfsnaam, het administratieve contact-e-mailadres en dat van de technische contactpersoon. Geen wachtwoorden, geen betaalgegevens. Precies de gegevens waarmee een oplichter je gericht kan benaderen.

Mijn stelling is simpel. Je domeinregistratie geeft structureel meer over je bedrijf prijs dan je "privacy"-instelling belooft, en omdat vrijwel niemand zijn registrar als leverancier behandelt, blijft zo'n lek jarenlang liggen. Het SIDN-incident is niet de uitzondering. Het is de blinde vlek, één keer zichtbaar geworden.

De afscherming geldt voor personen, niet voor je zaak

Vraag een willekeurige ondernemer of zijn domeingegevens afgeschermd staan, en het antwoord is meestal "ja, dat regelt mijn registrar". Dat klopt, maar niet zoals hij denkt. De afscherming waar iedereen op vertrouwt komt uit de AVG, en die beschermt natuurlijke personen, geen rechtspersonen. Registreer je een domein op je eenmanszaak of je bv, dan is de houder in juridische zin een bedrijf, en krijgt die standaard minder bescherming dan een particulier met precies dezelfde gegevens.

Dat is geen theorie. Het is exact het onderscheid dat het SIDN-lek blootlegde: de gegevens die te ruim zichtbaar waren, waren die van zakelijke houders. Een privépersoon met een .nl-domein zat achter de afscherming; een bedrijf stond, by design, een stukje meer in de etalage. De privacy-instelling die je geruststelt is dus vooral een geruststelling. Wat je bedrijf prijsgeeft bepaalt niet je vinkje, maar het beleid van je registrar en het protocol eronder.

Van "iemand kán het opzoeken" naar "iemand oogst het op schaal"

Hier komt de tweede helft van het probleem binnen. Deze gegevens waren altijd al ergens opvraagbaar via de oude Whois, en dat voelde ongevaarlijk: één zoekopdracht per keer, handmatig. Maar de Whois is aan het verdwijnen. Sinds 28 januari 2025 hoeft een domeinregistry helemaal geen losse Whois-dienst meer aan te bieden, want opvolger RDAP is de norm geworden, en dat protocol laat zich geautomatiseerd bevragen.

En dat is de wrange kant. RDAP werd juist ontworpen om minder klakkeloos prijs te geven dan de oude Whois: anonieme bevragingen horen alleen de kale domeingegevens te zien, de houder zijn eigen volledige registratie, en pas geverifieerde partijen als opsporing of securityteams de rest. Precies die publieke onderste laag gaf bij SIDN te veel terug. Het protocol dat de blootstelling zou inperken, lekte op de plek die het het strakst had moeten dichthouden.

Dat verschil in schaal is de kern. SIDN wees er zelf op: waar de Whois bedoeld is voor losse, individuele zoekopdrachten, laat RDAP zich machinaal uitvragen. Een contactadres dat in theorie "openbaar maar onvindbaar" was, wordt zo een regel in een oogstbare lijst. En de adressen die uitlekten, het administratieve en het technische contact, zijn precies de mailboxen waar nep-facturen voor domeinverlenging en overtuigende phishing naartoe gaan. De nep-verlengingsfactuur is geen hypothetisch scenario, het is een van de oudste trucs rond domeinbeheer, en hij werkt beter naarmate de afzender jouw echte contactadres kent.

Dit is een ander verhaal dan de vorige keer dat een domein een datalek werd. Toen kwam een ethisch hacker via verlopen .nl-domeinen bij 258 financiële dossiers van mensen onder bewind: een vergeten, vervallen naam die iemand anders kon oppakken. Dat was domein-overname, verwaarlozing. Het SIDN-geval is de spiegelvariant: een actief, keurig beheerd domein dat te veel prijsgeeft terwijl je alles goed hebt gedaan. Twee tegengestelde faalvormen, met dezelfde les. De gegevens rond je domein zijn een aanvalsoppervlak, geen bijzaak.

Je registrar is een leverancier die je nooit hebt gescreend

Waarom valt zoiets twee jaar niet op? Omdat de partij die het lek veroorzaakte in niemands risicoanalyse staat. Je screent je IT-leverancier op zijn back-ups, zijn certificeringen en wat er gebeurt als hij wordt gehackt. Misschien ben je inmiddels ook gaan kijken naar de accountant die dezelfde gevoelige klantdata beheert maar structureel buiten je ketenanalyse valt. Maar je domeinregistrar? Die beheert de sleutel tot je e-mail, je inlogherstel en je online identiteit, en je hebt hem waarschijnlijk nog nooit één beveiligingsvraag gesteld.

Dat is dezelfde denkfout, één laag dieper. Je IT-leverancier staat gecategoriseerd als "systeem, dus risico". Je registrar staat als "een naam die ik jaren geleden regelde voor twaalf euro". Die categorisering is menselijk, en het is precies waar je zicht ophoudt. Waar je data staat en van wie je infrastructuur is, hoort op dezelfde plank als één te grote klant of één leverancier waar je niet omheen kunt. Een domeinregistrar hoort daar net zo goed bij, want hij zit tussen jou en de bereikbaarheid van je hele bedrijf.

Het veelzeggende aan het SIDN-lek is niet dát het gebeurde, maar hoe het aan het licht kwam: SIDN vond het zelf. Geen enkele domeinhouder merkte in twee jaar dat zijn registratiegegevens ruimer zichtbaar waren dan afgesproken, want geen enkele domeinhouder kijkt daarnaar. Dat is de echte kwetsbaarheid: niet dit ene veld te veel, maar een complete leverancierslaag die buiten je blikveld draait.

Om eerlijk te zijn: dit was geen inbraak

Nu de eerlijke tegenwerping, want die is sterk. Dit was geen hack. Een dienst deed netjes zijn werk, alleen met een ruimere set velden dan het beleid voorschreef. Er zaten geen wachtwoorden of betaalgegevens bij, er zijn geen aanwijzingen voor misbruik, en SIDN bracht het lek zelf naar buiten en meldde het bij de Autoriteit Persoonsgegevens. Massaal oogsten is bovendien lastig, want SIDN publiceert geen complete lijst van .nl-domeinnamen. Overdrijf ik dan niet een incident dat vooral goed is afgehandeld?

Nee, en juist om die reden koos ik het als voorbeeld. Het gevaar van over-exposure zit niet in een spectaculaire buit, het zit in de stille optelsom. Een gericht mailadres heeft geen bewijs van misbruik nodig om je aanvalsoppervlak te vergroten, het voedt phishing die je later nooit aan één bron koppelt. En als een lek dat netjes wordt afgehandeld al twee jaar onzichtbaar kan blijven, wat zegt dat dan over een registrar die het minder netjes doet, of over de volgende fout die niemand zelf meldt? De transparantie van SIDN is de lat, geen garantie dat je de volgende keer zo'n meevaller hebt.

De vraag is niet of je privacy aanstaat

Kom dan terug bij dat vinkje. De privacy-instelling op je domein beloofde nooit wat je erin las: ze schermt een persoon af, niet je bedrijf, en ze is zo sterk als het protocol en de registrar eronder. De echte vraag is niet óf je domeinprivacy aanstaat, maar of je weet wat je domein over je zegt tegen iedereen die het geautomatiseerd opvraagt.

Behandel je registrar zoals je elke leverancier behandelt die iets vasthoudt wat je niet kunt missen. Weet welke velden hij via RDAP toont, weet of je met minimale gegevens of via een tussenpersoon kunt registreren, en zet een domeinverlenging nooit klakkeloos door op een mail die je niet zelf hebt aangevraagd. Je domeinnaam is de goedkoopste regel op je IT-factuur en tegelijk de meest kritische. Dat die twee zo ver uit elkaar liggen is precies waarom niemand ernaar kijkt, en waarom het loont om de eerste te zijn die het wél doet.