De Vlaamse vastgoedsector draait recordvolumes: elke transactie vertegenwoordigt honderdduizenden euro’s, en elk kandidaat-dossier bevat een schat aan gevoelige gegevens. Precies die combinatie maakt het immokantoor tot een aantrekkelijk doelwit. Cybersecurity voor vastgoed gaat daarom niet over abstracte dreiging, maar over twee heel concrete risico’s: een gemanipuleerde betalingsinstructie die een huurwaarborg naar een crimineel stuurt, en een datalek waarbij loonfiches en identiteitsdocumenten van huurders op straat belanden. Dit dossier legt uit waar de gaten zitten en hoe een kantoor ze dicht.
In het kort
- Een immokantoor beheert eID-scans, loonfiches, gezinssamenstellingen en antiwitwasdocumenten. Die data is op de zwarte markt geld waard voor identiteitsfraude en maakt van elk kantoor een doelwit.
- IBAN-fraude bij een huurwaarborg of voorschot is het acuutste financiële risico. Criminelen onderscheppen de mailconversatie en wijzigen geruisloos het rekeningnummer.
- De AVG en de antiwitwaswet (WTW) trekken aan het kantoor in tegengestelde richting: dataminimalisatie tegenover een bewaarplicht van 10 jaar. Beide correct naleven vraagt om proces, niet om improvisatie.
- De collectieve CIB-cyberverzekering keert enkel uit wanneer preventieve maatregelen zoals MFA en patchbeleid aantoonbaar aanwezig zijn.
- Sinds 1 februari 2026 is cybersecurity-advies de enige adviescategorie die nog subsidiabel is via de Vlaamse kmo-portefeuille, tot 45% voor kleine ondernemingen.
Welke data maakt een immokantoor een doelwit?
Een vastgoedkantoor verwerkt in de praktijk meer gevoelige persoonsgegevens dan menig zorginstelling. Bij elke verhuring en verkoop passeren identiteitskaarten, loonfiches, gezinssamenstellingen, solvabiliteitsattesten en antiwitwasdocumenten. Die dossiers zijn op de zwarte markt bruikbaar voor identiteitsfraude, wat verklaart waarom criminelen makelaars actief viseren.
De makelaar zit bovendien in het centrum van een netwerk van kopers, verkopers, huurders, notarissen en banken. Dat maakt hem een ideaal mikpunt voor social engineering: wie een mailconversatie tussen makelaar en cliënt onderschept, weet dat er grote bedragen circuleren en dat de tijdsdruk hoog is.
Daar komt de mobiele werkrealiteit bij. Makelaars zijn voortdurend onderweg voor bezichtigingen en pandbeoordelingen, en raadplegen hun CRM via smartphone en tablet. Elk toestel buiten de kantoormuren is een extra kwetsbaar toegangspunt. De digitale voetafdruk van een klein kantoor is daardoor groter dan de zaakvoerder vaak beseft.
Het conflict tussen de AVG en de antiwitwaswet
Hier wringt het voor bijna elk kantoor. De AVG eist dataminimalisatie: verzamel niet meer dan nodig, bewaar niet langer dan nodig. De antiwitwaswet van 18 september 2017 legt daarentegen een strikte bewaarplicht van 10 jaar op voor identificatiegegevens van cliënten. Twee wetten, twee tegengestelde reflexen.
De oplossing zit niet in kiezen, maar in scheiden. Verplichte WTW-identificatiebewijzen horen in een apart, versleuteld archief dat na 10 jaar automatisch vernietigd wordt. De rest van de dossiers volgt kortere, gedifferentieerde termijnen.
| Categorie van gegevens | Maximale bewaartermijn | Grondslag |
|---|---|---|
| Prospecten (niet-actieve contacten) | 3 tot 5 jaar na laatste contact | Gerechtvaardigd belang |
| Kandidaat-huurders (niet-geselecteerd) | Maximaal 12 maanden na einde procedure | Dataminimalisatie / GBA-advies 150/2023 |
| Actieve huurders en kopers | Tot 10 jaar na beëindiging relatie | Contractuele aansprakelijkheid |
| Identificatiegegevens (antiwitwas) | Strikt 10 jaar | Art. 60 Wet 18 september 2017 |
| Syndicus-boekhouding (VME) | 7 jaar na afsluiting boekjaar | Wettelijke boekhoudplicht |
| Technische logs en metadata | Maximaal 12 maanden | Operationele veiligheid |
Een veelgemaakte fout schuilt aan het begin van de keten. Veel makelaars eisen een eID-kopie of loonfiche als voorwaarde om een pand louter te mogen bezichtigen. Daar is geen wettelijke grondslag voor. De WTW-identificatieplicht treedt pas in werking vlak voor het aangaan van een zakelijke relatie, bijvoorbeeld bij het opmaken van een huur- of verkoopovereenkomst. De Gegevensbeschermingsautoriteit (GBA) documenteerde onder meer een kantoor in Lanaken dat de fysieke eID van een kandidaat-huurder opeiste als “waarborg” in ruil voor de sleutel. Lekt zo’n onrechtmatig verzamelde scan later, dan draagt de makelaar de volledige aansprakelijkheid voor de identiteitsfraude die eruit voortvloeit.
Hoe werkt IBAN-fraude bij een huurwaarborg?
IBAN-fraude bij een vastgoedtransactie verloopt via een onderschepte mailbox. Criminelen krijgen toegang tot de mailbox van de makelaar, volgen de conversatie over een huurwaarborg of voorschot, en wijzigen op het beslissende moment het rekeningnummer in de betalingsinstructie. De cliënt betaalt te goeder trouw aan de oplichter. Het geld is doorgaans onmiddellijk weg.
In de Belgische rechtspraktijk is een casus bekend waarbij huurders na ondertekening van hun huurovereenkomst de waarborg overschreven naar een rekeningnummer dat de makelaar hen schriftelijk had bezorgd. Dat nummer bleek vervalst: criminelen hadden de mailbox van de makelaar gekaapt en de instructies aangepast. Toen die makelaar korte tijd later failliet ging, bleven de huurders juridisch en financieel in de kou staan, precies door het gebrek aan verificatie en versleuteling bij het eerste kantoor.
Deze fraudevorm is geen randfenomeen. De FOD Economie ontving in 2024 215 meldingen van factuurfraude met een gemelde schade van meer dan 3,3 miljoen euro; in de loop van 2025 stond de teller al op 166 meldingen en 736.719 euro. Omdat vastgoedtransacties over uitzonderlijk grote bedragen gaan, weegt elk succesvol incident in deze sector extra zwaar door. Sinds 9 oktober 2025 zijn Belgische banken bovendien verplicht om bij elke overschrijving in euro de naam van de begunstigde te toetsen aan het rekeningnummer, wat een extra vangnet biedt maar het verificatiewerk aan kantoorzijde niet vervangt.
Dat de accountancysector met exact hetzelfde mechanisme worstelt, is geen toeval: overal waar betalingsinstructies en beroepsaansprakelijkheid samenkomen, ligt dezelfde val op de loer. Voor een diepgaande analyse van hoe factuurfraude tot zware aansprakelijkheidsclaims leidt in een aanverwante sector, is het dossier over cybersecurity voor het boekhoudkantoor een nuttige vergelijking.
Waarom vergoedt de bank de schade zelden?
Veel gedupeerden gaan ervan uit dat de bank tussenkomt bij factuurfraude. In de praktijk is dat zelden zo. Heeft de gebruiker de transactie zelf geauthenticeerd, bijvoorbeeld via de bank-app of kaartlezer, dan beschouwt de bank dit als een toegestane betaling. Tenzij er sprake is van een technische storing of grove nalatigheid aan de kant van de bank, bestaat er geen wettelijke terugbetalingsplicht.
Erger nog: banken proberen bij internetfraude actief aan te tonen dat de klant “grof nalatig” is geweest, net om onder die verplichting uit te komen. Een aantoonbaar en geauditeerd beveiligingsbeleid is daardoor niet enkel preventie, maar ook een juridisch verweer. Wie kan bewijzen dat het kantoor de nodige maatregelen had genomen, staat sterker in het gesprek met bank en verzekeraar.
Hoe veilig zijn CRM-koppelingen en externe portalen?
Het CRM is het kloppend hart van elk immokantoor, en meteen het grootste concentratierisico. Whise is het meest gebruikte platform in België en beheert de kritieke data van honderden Vlaamse kantoren. Whise werd getroffen door een beveiligingsincident dat een deel van het platform raakte, een pijnlijke illustratie dat ook cloudgebaseerde CRM-systemen een aantrekkelijk doelwit vormen.
Wie zich toegang verschaft tot zo’n centraal systeem, kan niet alleen verkoop- en verhuurportefeuilles inzien, maar ook databases met e-mailadressen, telefoonnummers en identiteitsdocumenten van duizenden kopers en huurders buitmaken. De gebruikelijke toegangswegen zijn bekend: zwakke authenticatie, onbeveiligde API-koppelingen met externe websites en netwerkactiviteit die niemand opvolgt.
Daar zit meteen een hardnekkige misvatting. Veel zaakvoerders denken dat de cloudleverancier de volledige beveiliging voor zijn rekening neemt. Beveiliging is echter een gedeelde verantwoordelijkheid. De infrastructuur van Whise of Sweepbright mag stevig zijn, ze beveiligt niet de toestellen van de makelaars. Gebruikt één medewerker een zwak wachtwoord, ontbreekt MFA op zijn mobiel, of trapt hij in een phishingmail, dan heeft de aanvaller rechtstreeks toegang tot alles. De koppelingen met portalen zoals Immoweb en Realo verdienen dezelfde aandacht: elke API-verbinding is een deur, en een deur die niemand controleert staat op een kier.
Vier concrete stappen om een vastgoedkantoor te beveiligen
Een kantoor hoeft geen dure of complexe setup om significant veiliger te worden. De meeste winst zit in vier maatregelen die vandaag te starten zijn en die samen het leeuwendeel van de risico’s afdekken.
- Activeer multi-factor authenticatie (MFA) overal. Zet MFA verplicht op alle mailboxen, het CRM en elk gekoppeld platform. Het is de goedkoopste maatregel met de grootste impact, en vaak een expliciete voorwaarde in de CIB-cyberverzekering.
- Hanteer het vier-ogen-en-twee-kanalen-principe. Elke wijziging van een rekeningnummer, van een leverancier, koper, verhuurder of de makelaar zelf, wordt bevestigd via een tweede, onafhankelijk kanaal. Bel naar een reeds gekend en geverifieerd nummer, nooit naar het nummer dat in de verdachte mail of op de factuur staat.
- Bouw een menselijke firewall met awareness-training. Medewerkers vormen de eerste verdedigingslinie. Periodieke training leert makelaars en administratief personeel om phishing, spoofing en social engineering te herkennen en te melden voor er schade ontstaat.
- Laat een onafhankelijke audit en penetratietest uitvoeren. Een externe cybersecurity-audit brengt de volledige digitale voetafdruk in kaart, inclusief de CRM-configuratie en de koppelingen met externe portalen. Een penetratietest toont objectief aan waar de zwakke plekken zitten, voor een crimineel ze vindt.
Aanvullend versterkt technische e-mailbeveiliging het geheel. Anti-spoofingprotocollen zoals SPF, DKIM en DMARC verhinderen dat criminelen mails versturen uit naam van uw domein. Combineer dat met de IBAN-naamcontrole van de bank bij elke overschrijving, en de meest voorkomende fraudekanalen zijn afgedekt.
Wat dekt de collectieve CIB-cyberverzekering?
De collectieve cyberverzekering van de Confederatie van Immobiliënberoepen (CIB) biedt aangesloten makelaars een financiële achtervang, maar geen vrijgeleide. De polis stelt strenge preventievoorwaarden. De algemene dekking loopt tot 100.000 euro per makelaar met een plafond van 500.000 euro per kantoor per jaar, op voorwaarde van een actieve firewall, antivirus en regelmatige back-ups. Ransomwareschade is gedekt tot 250.000 euro, maar enkel met aantoonbaar patch- en updatebeleid. Dekking voor factuurfraude tot 125.000 euro en CEO-fraude tot 35.000 euro zijn vaak optioneel en vereisen verplichte MFA en schriftelijk vastgelegde verificatieprocedures. De les is duidelijk: wie de preventie niet op orde heeft, riskeert een weigering net op het moment dat de dekking nodig is.
Hoeveel subsidie krijgt een kantoor voor cybersecurity?
Sinds 1 februari 2026 is cybersecurity-advies via de Vlaamse kmo-portefeuille aantrekkelijker dan ooit, precies omdat het bijna alleen overblijft. De Vlaamse Regering schrapte de subsidiëring van algemene adviesdiensten, met één uitzondering: adviestrajecten rond cybersecurity blijven als enige vorm van extern advies subsidiabel.
Concreet ontvangt een kleine onderneming 45% subsidie op cybersecurity-audits, penetratietesten en awareness-trainingen; een middelgrote onderneming 35%. Het maximale subsidiebedrag bedraagt 7.500 euro per kalenderjaar. Kantoren die daarnaast investeren in beveiligings- of monitoringsoftware kunnen bovendien via de verhoogde investeringsaftrek 10% tot 40% van de investeringswaarde van de belastbare winst aftrekken.
Voor de meeste zaakvoerders verschuift de vraag daarmee. Ze luidt niet langer “kan ik me dit veroorloven?”, maar “waarom heb ik dit nog niet in orde?”. Een audit die vertrekt bij de reële risico’s van uw kantoor, en die grotendeels gesubsidieerd wordt, is een verstandige eerste stap.
Veelgestelde vragen
Mag een makelaar een kopie van het identiteitsbewijs eisen voor een bezichtiging?
Nee. De GBA en de BIV-deontologie verbieden dit. Een eID-kopie verzamelen is pas proportioneel en wettelijk toegestaan wanneer er een concreet huur- of koopvoorstel is, of in het kader van de wettelijke antiwitwascontrole vlak voor het sluiten van de transactie. Voor een loutere bezichtiging bestaat er geen grondslag.
Wat is het risico als een kantoor gehackt wordt en klantgegevens lekken?
Naast ernstige reputatieschade riskeert het kantoor administratieve boetes van de GBA wegens schending van de AVG. Daarbovenop kan het BIV tuchtrechtelijke sancties opleggen, zoals een tijdelijke schorsing, wegens het niet naleven van de deontologische plicht om als goede huisvader over klantgegevens te waken.
Dekt de collectieve CIB-cyberverzekering alle schade bij factuurfraude?
Niet automatisch. De CIB-verzekering biedt een sterke basisdekking, maar stelt strikte preventievoorwaarden. Ontbreekt MFA op de systemen of is software niet tijdig gepatcht, dan kan de verzekeraar uitkering weigeren. Factuur- en CEO-fraude zijn bovendien vaak optionele dekkingen die expliciet geactiveerd moeten worden.
Hoeveel subsidie kan een kantoor krijgen voor een cybersecurity-audit?
Sinds 1 februari 2026 kan een kleine onderneming tot 45% subsidie ontvangen op cybersecurity-adviestrajecten en audits via de Vlaamse kmo-portefeuille, en een middelgrote onderneming tot 35%. Het maximale subsidiebedrag bedraagt 7.500 euro per kalenderjaar.
Hoe voorkomt een makelaar IBAN-fraude bij een huurwaarborg?
Door een strikt tweeledig verificatieprotocol. Elke wijziging van een rekeningnummer of betalingsinstructie wordt telefonisch bevestigd via een reeds gekend, onafhankelijk nummer. Aanvullend beschermt het kantoor het mailverkeer met SPF, DKIM en DMARC en gebruikt het consequent de IBAN-naamcontrole van de bank.
Wilt u weten waar uw kantoor vandaag kwetsbaar is? Een vrijblijvende security-check brengt de reële risico’s van uw immokantoor in kaart en toont welke maatregelen prioriteit hebben, grotendeels subsidieerbaar via de kmo-portefeuille. Plan een kennismaking en start met duidelijkheid in plaats van onzekerheid.
