E-mailprivacy in 2026: wat je moet versleutelen en wat providers kunnen zien

De meeste adviezen over e-mailprivacy beginnen hetzelfde: wissel van provider, neem een nieuw adres en verhuis je hele leven. Voor de meeste mensen is dat in 2026 veel gedoe voor een onduidelijk voordeel. Het praktische alternatief is werken met de inbox die je al hebt - begrijp wat Gmail of Outlook daadwerkelijk kunnen zien, versleutel het kleine aantal gesprekken dat dat verdient, en pak de gewoontes aan die meer lekken dan welke provider ook.

Wat je provider daadwerkelijk kan zien

Als je Gmail, Outlook.com of een andere gehoste mailservice gebruikt, kan de provider je berichten lezen. Zo werkt gehoste e-mail nu eenmaal: je mail staat leesbaar op hun servers en hun systemen verwerken die voortdurend. Google's Safety Center zegt dat de systemen van Gmail bijna 10 miljoen spammails per minuut blokkeren, wat een beeld geeft van de schaal van geautomatiseerde verwerking aan de kant van de provider.

Veel mensen grijpen op dit punt naar de Vertrouwelijke modus van Gmail, dus het is de moeite waard om precies te zijn over wat die doet. Vertrouwelijke modus is geen versleuteling. Google's eigen hulppagina's beschrijven extra opties zoals vervaldatums en wachtcodes, en de analyse van de Electronic Frontier Foundation uit 2018 wees erop dat Google de berichttekst nog steeds kan lezen, terwijl ontvangers vrijelijk screenshots kunnen maken of het bericht kunnen doorsturen. De naam belooft meer dan het mechanisme waarmaakt.

Het eerlijke uitgangspunt is dus dit: bij gewone gehoste e-mail moet je ervan uitgaan dat de provider inhoud en metadata kan lezen - onderwerpregels, aan wie je schrijft, wanneer. Of dat ertoe doet, hangt af van wat je daadwerkelijk verstuurt.

Wat is versleuteling echt waard

Niet alles. Een nieuwsbrief, een bezorgbevestiging, een notitie over weekendplannen - dit versleutelen levert alleen maar frictie op zonder echt voordeel. End-to-end-versleuteling verdient zijn plek bij een specifieke lijst: medische gegevens, juridische zaken, financiële documenten, solliciteren vanaf een werkaccount, alles wat je niet op een ansichtkaart zou zetten.

Versleuteling heeft ook een blinde vlek waar de meeste mensen nooit van horen. Klassieke met PGP versleutelde e-mail, zoals beschreven in RFC 3156, kan de onderwerpregel en de ontvangerslijst nog steeds in leesbare tekst blootleggen, tenzij je client beschermde headers ondersteunt, waar de Enigmail-documentatie van Thunderbird uitgebreid op ingaat. De meeste mensen gaan ervan uit dat versleuteling het hele bericht beschermt. Vaak beschermt het alleen de tekst.

Als je versleuteling wilt zonder van adres te wisselen, is ProtectMyMail een eerlijke optie: een browserplugin die end-to-end-versleuteling en cryptografisch geverifieerde afzenders toevoegt aan de Gmail-, Outlook- of IMAP-inbox die je al gebruikt. Geen nieuw adres, geen migratie, 4 weken gratis, daarna $5 per maand. Het maakt e-mail niet perfect - niets doet dat - maar het behandelt de gesprekken die het echt nodig hebben.

Gewoontes die net zo veel ertoe doen als versleuteling

Iedereen raadt 2FA aan, en dat moet je gebruiken. Maar hier komt het deel dat de meeste mensen missen: IMAP-appwachtwoorden omzeilen 2FA volledig. De accountdocumentatie van Google en Microsoft zelf bevestigt dat een gegenereerd appwachtwoord volledige toegang tot je mailbox geeft, hoe sterk je 2FA-instelling ook is. Als je jaren geleden een appwachtwoord aanmaakte voor een oude telefoon of mailapp, werkt dat mogelijk vandaag nog. Controleer ze in de beveiligingsinstellingen van je Google- of Microsoft-account en trek alles in wat je niet herkent.

Controleer daarna je doorstuurregels. Open de instellingen van Gmail of Outlook, kijk naar doorsturen en filters, en bevestig dat er niets stilletjes je mail kopieert naar een adres dat je niet kent. Het kost ongeveer 30 seconden, en het vangt problemen die anders verborgen zouden blijven.

Wat je deelt, doet er net zoveel toe als hoe je het verstuurt. E-mail is permanent, doorzoekbaar en makkelijk door te sturen. Een paar gewoontes helpen:

• Stuur nooit wachtwoorden, niet eens naar jezelf. Gebruik in plaats daarvan de deelfunctie van je wachtwoordmanager.
• Vraag jezelf af of een verzoek om identiteitsdocumenten, kaartnummers of fiscale gegevens via e-mail klopt, ook als het van een bekend adres komt. Verifieer eerst via een ander kanaal.
• Gebruik plus-adressering wanneer je je aanmeldt voor diensten, zoals jouwnaam+bank@gmail.com, zodat je kunt traceren welke site je adres heeft gelekt of verkocht wanneer er onverwachte mail verschijnt.

Moet je van provider wisselen?

Privacygerichte providers hebben echte voordelen, en voor sommige mensen is een nieuw adres de juiste keuze. Maar het is geen wondermiddel. Je bent weken bezig met contacten, banken en diensten informeren over de overstap, je geschiedenis blijft verdeeld tussen oude en nieuwe inboxen, en geen enkele provider, hoe privacygericht ook, kan een gerechtelijk bevel in eigen jurisdictie negeren. Voor de meeste mensen is de betere ruil: houd je adres, beveilig je account, en versleutel wat het verdient.

Een checklist van 5 minuten voor 2026

1. Zet 2FA aan, controleer daarna je appwachtwoorden en trek oude in.
2. Controleer doorstuurregels en filters in de instellingen van Gmail of Outlook.
3. Bepaal wat echt versleuteling nodig heeft: medisch, juridisch, financieel, werkgevoelig. Een plugin als ProtectMyMail kan die gesprekken dekken zonder nieuw adres.
4. Stop met het versturen van wachtwoorden en identiteitsdocumenten via e-mail.
5. Gebruik plus-adressering voor nieuwe aanmeldingen om lekken te traceren.
6. Als je al versleutelt, controleer dan wat beschermd is, inclusief onderwerpregels.

Niets hiervan maakt je anoniem, en geen enkele tool maakt e-mail vlekkeloos. Het realistische doel is bescheidener en eerlijker: weet wie wat kan lezen, versleutel de weinige gesprekken die dat rechtvaardigen, en houd de rest gemakkelijk. Dat is een haalbare standaard voor e-mailprivacy in 2026.