Veilig op openbare wifi: een reisbeleid voor uw medewerkers

Uw commercieel directeur zit op de trein naar een klant, opent snel de laptop en maakt verbinding met NMBS_Free_Wifi om nog een offerte na te kijken. Wat hij niet ziet: dat netwerk komt niet van de spoorwegmaatschappij, maar van een toestel in de tas van de persoon twee zetels verderop. Op dat moment verdwijnt de veilige kantoorperimeter en wordt uw medewerker de zwakste schakel in uw beveiliging. Precies daar, buiten de muren van uw bedrijf, gebeurt het gedrag dat u het minst kunt zien en dus het hardst moet vastleggen.

Deze gids legt uit waarom veilig omgaan met openbare wifi geen technische kwestie is maar een gedragsvraagstuk, welke gevaren reizend personeel echt loopt, wat de Belgische NIS2-wet en de AVG van u verwachten, en hoe u een concreet gedragsbeleid opzet dat uw mensen wél volgen.

In het kort

• Openbare wifi is nooit veilig voor zakelijk gebruik. De veiligste norm is dat medewerkers uitsluitend de persoonlijke hotspot (tethering) van hun smartphone gebruiken, nooit een gedeeld publiek netwerk.
• Een wachtwoord op hotel- of caféwifi maakt de verbinding niet veilig: dat wachtwoord deelt u met alle andere gasten op dezelfde locatie.
• De grootste reisrisico’s zijn een evil twin (nep-netwerk met een legitieme naam), meelezen op onbeveiligde netwerken, juice jacking via publieke USB-poorten, meekijken over de schouder en fysiek verlies van toestellen.
• Een verloren of gestolen toestel met persoonsgegevens is een datalek. Zonder degelijke encryptie moet u dit binnen 72 uur melden aan de Gegevensbeschermingsautoriteit (GBA).
• Sinds 1 februari 2026 is cybersecurity het enige adviesthema dat nog steun krijgt via de kmo-portefeuille: tot 45% voor kleine ondernemingen.

Waarom reizen de blinde vlek is in de cybersecurity van kmo’s

Reizen is de blinde vlek omdat de zichtbaarheid wegvalt op precies het moment dat het risico stijgt. Zodra een medewerker de kantoorperimeter verlaat, verdwijnt het zicht op zijn digitale handelingen, terwijl productiviteitsdruk hem naar het eerste beschikbare gratis netwerk duwt. Het gevolg: veilig gedrag hangt volledig af van gewoontes, niet van techniek.

Bij medewerkers onderweg speelt een hardnekkige gemakzucht-bias. De drang om snel te reageren op een e-mail of klantvraag wint het van de reflex om even stil te staan bij het netwerk. Daarbij leeft de onbewuste misvatting dat een fysiek nette locatie ook digitaal veilig is. Een viersterrenhotel of een luchthavenlounge oogt betrouwbaar, dus voelt de wifi daar ook betrouwbaar aan. Die aanname klopt niet.

Voor de zaakvoerder van een Vlaamse kmo ontstaat hier een dubbel probleem. De meeste kmo’s hebben geen eigen cybersecurity-afdeling; het IT-beleid ligt bij de zaakvoerder zelf of bij een externe allround IT-partner. Er is dus een permanent tekort aan tijd én specifieke expertise. Tegelijk groeit de handhavingsangst: hoe houdt u grip op gedrag dat u niet ziet, zonder te vervallen in verstikkend micromanagement? Het antwoord ligt niet in meer controle, maar in gedragsregels die de veilige keuze de makkelijkste keuze maken.

Wat zijn de reële gevaren van openbare wifi op reis?

De reële gevaren onderweg zijn een mix van netwerkmanipulatie en fysieke blootstelling: nep-netwerken die legitieme namen kopiëren, meelezen op onbeveiligde verbindingen, gemanipuleerde USB-laadpunten, meekijken over de schouder en verlies of diefstal van toestellen. De meeste ervan zijn eenvoudig te vermijden met gedrag, niet met dure technologie.

Wat is een evil twin wifi-aanval?

Een evil twin-aanval is een methode waarbij een aanvaller een draagbaar toegangspunt opzet met exact dezelfde netwerknaam (SSID) als een legitiem netwerk, bijvoorbeeld NMBS_Free_Wifi of Starbucks_Guest. Wie verbinding maakt, krijgt vaak een valse inlogpagina te zien en geeft nietsvermoedend e-mailadres of zakelijke inloggegevens prijs, die de aanvaller direct onderschept.

Dit is geen theoretisch scenario. In november 2025 werd op de luchthaven van Perth een man veroordeeld tot een gevangenisstraf van meer dan zeven jaar voor het opzetten van valse wifi-netwerken op drie luchthavens en aan boord van vluchten. Tientallen reizigers voerden hun gevoelige gegevens in op de nagemaakte inlogpagina’s. Het incident toont hoe moeilijk het voor een gewone gebruiker is om een legitiem netwerk te onderscheiden van een kwaadaardige kopie. De evil twin komt bovendien vaak hoger in de netwerklijst te staan, simpelweg omdat het signaal van de aanvaller fysiek dichterbij en dus sterker is.

Meelezen op onbeveiligde netwerken

Op een onbeveiligd openbaar netwerk kan een aanvaller met eenvoudige software al het onversleutelde dataverkeer van aangesloten apparaten onderscheppen en meelezen. Alles wat in leesbare tekst wordt verzonden, ligt open voor derden. Dit heet een man-in-the-middle-situatie: de aanvaller zit tussen uw medewerker en het internet.

Hier duikt meteen de grootste misvatting op. Veel medewerkers denken dat wifi met een wachtwoord veilig is. Onjuist. Dat wachtwoord wordt gedeeld met alle andere gasten op die locatie. Een kwaadwillende gast op hetzelfde hotelnetwerk kan met simpele sniffing-tools nog steeds meekijken of proberen een actieve verbinding met de laptop van uw medewerker te leggen.

Juice jacking via publieke USB-poorten

Juice jacking is het risico dat openbare USB-oplaadstations, zoals in treinen, luchthavens of hotellobby’s, gemanipuleerd zijn om data van het aangesloten toestel te kopiëren of malware te installeren. De Amerikaanse burgerrechtenorganisatie EFF plaatst kanttekeningen bij de werkelijke frequentie van deze aanvallen, maar het risico blijft technisch aanwezig en, belangrijker nog, bijzonder eenvoudig te vermijden. Wie zijn eigen 230V-adapter of powerbank gebruikt, sluit dit risico volledig uit.

Shoulder surfing en fysiek verlies

De laagtechnologische risico’s worden het vaakst onderschat. Shoulder surfing is het simpelweg meelezen van inloggegevens of vertrouwelijke documenten door iemand die naast of achter uw medewerker zit, op de trein of in de lounge. Een fysieke privacyfilter op het scherm maakt zijwaartse inkijk onmogelijk.

En dan is er het meest banale scenario: een laptop, tablet of smartphone die achterblijft in de trein, de taxi of de hotelkamer. Is dat toestel niet vergrendeld en versleuteld, dan is er onmiddellijk sprake van een ernstig datalek. Niet de vervangingswaarde van de hardware is het probleem, maar de data erop.

Gerichte spionage: de DarkHotel-methode

Voor reizende directieleden bestaat een verfijnder gevaar. De spionagegroep DarkHotel (ook bekend als APT-C-06 of DUBNIUM) richt zich specifiek op reizende topfunctionarissen. De groep infiltreert de wifi-infrastructuur van luxehotels. Zodra een doelwit verbindt, dwingt de gecompromitteerde infrastructuur een pop-up af die waarschuwt voor een dringende software-update, bijvoorbeeld van de browser of een mediaspeler. Accepteert de gebruiker die update, dan wordt een trojan geïnstalleerd die alle toetsaanslagen registreert en diepe toegang geeft tot bedrijfsdocumenten. De les is helder: installeer onderweg nooit updates, hoe overtuigend de melding ook oogt.

Wat betekenen de NIS2-wet en de AVG voor reizend personeel?

De Belgische NIS2-wet verplicht organisaties om medewerkers actief te trainen in cyberhygiëne en verplicht bestuurders om zelf opleiding te volgen. De AVG maakt van elk verloren onversleuteld toestel met persoonsgegevens een meldingsplichtig datalek. Samen tillen ze veilig reisgedrag van goed advies naar wettelijke plicht.

De Europese NIS2-richtlijn is in België omgezet via de Wet van 26 april 2024 en trad in werking op 18 oktober 2024. Formeel richt de wet zich op grotere entiteiten in kritieke sectoren, typisch vanaf 50 medewerkers of 10 miljoen euro omzet. Maar er is een belangrijk cascade-effect: kmo’s die leveren aan NIS2-plichtige organisaties worden via contractuele clausules gedwongen om aan nagenoeg dezelfde normen te voldoen. Uw grootste klant kan u dus verplichten, ook al valt u zelf niet rechtstreeks onder de wet.

Onder de Belgische NIS2-wet dragen bestuurders en management een persoonlijke aansprakelijkheid voor het beheer van cyberrisico’s. De richtlijn verplicht hen om zelf cybersecurity-training te volgen én om hun werknemers actief te trainen in cyberhygiëne. Het CCB (Centrum voor Cybersecurity België) adviseert hierbij het CyberFundamentals-framework (CyFun). Uit analyses blijkt dat de basishygiënemaatregelen uit dat raamwerk tot 82% van alle cyberaanvallen kunnen afweren, wat het gewicht van awareness-initiatieven onderstreept. Technologie alleen biedt hier nooit de volledige oplossing. Wie wil begrijpen waarom een structurele aanpak van het menselijke gedrag onmisbaar is, leest daarover meer in ons artikel over waarom security awareness training essentieel is en technologie alleen niet volstaat.

Is het verlies van een zakelijk toestel meteen een datalek?

Zodra een mobiele medewerker een toestel met persoonsgegevens verliest, treedt de AVG in werking. Het verlies of de diefstal van een onversleutelde laptop of smartphone met persoonsgegevens is een persoonlijke databreuk. De wet stelt drie zaken vast:

• Meldplicht binnen 72 uur. Zodra de inbreuk ontdekt is, moet u die melden aan de Belgische Gegevensbeschermingsautoriteit (GBA), tenzij u kunt aantonen dat er waarschijnlijk geen risico is voor de betrokkenen.
• Encryptie als reddingsboei. Was de harde schijf aantoonbaar volledig versleuteld, bijvoorbeeld met BitLocker, dan zijn de gegevens onleesbaar voor derden. In dat geval vervalt de externe melding aan de GBA en de betrokkenen doorgaans, al moet u het incident wel intern documenteren.
• Het datalekregister. Elke inbreuk, meldingsplichtig of niet, moet verplicht in het interne datalekregister van uw onderneming worden opgenomen.

Encryptie is dus geen technisch detail maar uw juridische vangnet. Een volledig versleuteld toestel verandert een potentieel gênant datalek in een intern administratief feit.

Hoe stelt u een gedragsbeleid op voor mobiel werkende medewerkers?

U stelt een gedragsbeleid op door duidelijke, concrete regels vast te leggen rond netwerkkeuze, apparaathygiëne, fysieke beveiliging, stroomvoorziening en incidentmelding, en die te verankeren met regelmatige awareness-training. Het beleid werkt pas als het de veilige keuze tot de standaard maakt en de frictie voor de medewerker minimaliseert.

De kern van elk mobiel beleid is de hotspot-reflex. Laat medewerkers onderweg nooit verbinden met openbare wifi. Ze gebruiken uitsluitend de smartphone als persoonlijke hotspot om laptop of tablet online te brengen. Een 4G- of 5G-dataverbinding is inherent vele malen veiliger dan een gedeeld publiek netwerk, en maakt de hele discussie over evil twins in één klap irrelevant. Maak dat de standaardinstelling en het veiligste gedrag wordt meteen ook het makkelijkste.

De onderstaande gedragsregels vormen samen een checklist die u direct kunt overnemen:

1. Hanteer de hotspot-reflex. Geen openbare wifi, altijd tethering via de eigen smartphone.
2. Schakel automatisch verbinden uit. Deactiveer op elk toestel de optie om automatisch met bekende of open netwerken te verbinden. Was een openbaar netwerk toch eenmalig nodig, verwijder het dan meteen handmatig uit de lijst met opgeslagen netwerken.
3. Houd fysieke controle. Laat toestellen nooit onbeheerd achter, ook niet voor enkele seconden. Gebruik in publieke ruimtes altijd een privacyfilter tegen shoulder surfing.
4. Update vóór vertrek. Voer alle openstaande software-updates uit vóór de reis. Installeer onderweg nooit updates of apps vanaf onbekende of onbeveiligde netwerken.
5. Laad veilig op. Gebruik uitsluitend een eigen 230V-adapter of een persoonlijke powerbank, nooit een openbare USB-poort.
6. Beperk blootstelling bij grenscontroles. Bij reizen buiten de EU mogen douanebeambten toestellen laten ontgrendelen voor inspectie. Plaats toestellen voor de controle in vliegtuigmodus en log uit bij zakelijke apps. Voor risicovolle bestemmingen werkt u best met een schone leenlaptop met minimale data.

Mag de douane aan de grens een zakelijke laptop doorzoeken?

Ja. Grensautoriteiten in onder meer de Verenigde Staten mogen onder de “border search exception” lokale bestanden op toestellen inspecteren zonder voorafgaand gerechtelijk bevel. Ze mogen wettelijk alleen lokaal opgeslagen bestanden bekijken en geen toegang zoeken tot cloud-gegevens. Vliegtuigmodus en uitgelogd zijn bij e-mail, SharePoint of CRM beperken dan ook wat zichtbaar is.

Een kant-en-klaar beleidskader per domein

Het volgende kader kunt u rechtstreeks in uw organisatie implementeren. Het is opgesteld in de objectieve derde persoon, zodat het als formeel beleidsdocument leest.

Let bij het uitrollen op vier veelgemaakte fouten. Het geloof dat wachtwoord-wifi veilig is. Het overschatten van dure security-software terwijl de menselijke factor ongetraind blijft. Het wegwuiven van een gestolen laptop als louter hardwareverlies, terwijl het een meldingsplichtig datalek kan zijn. En te veel aandacht voor sensationele dreigingen, terwijl de meeste incidenten voortkomen uit basale fouten zoals ontbrekende MFA, zwakke wachtwoorden of achterstallige updates.

Van beleid op papier naar gedrag in de praktijk

Een beleidsdocument in een la verandert niets. Het verschil ontstaat wanneer de regels gedragen worden door herhaalde training en meting. De cijfers onderstrepen de urgentie: het CCB registreerde in 2025 in België 635 officiële cyberincidenten, een stijging van 70% in één jaar. In 2026 ontvangt Safeonweb per dag meer dan 40.000 verdachte e-mails. En de toerisme- en vrijetijdssector krijgt volgens Check Point Research gemiddeld 2.291 aanvallen per week te verwerken, 24% meer dan het jaar ervoor. Reizende professionals worden actief als zwakke schakel beschouwd.

De boodschap voor Vlaamse kmo’s is niet dat reizen gevaarlijk is, maar dat mobiel werken vraagt om expliciete afspraken die u anders nergens vastlegt. Wie de hotspot-reflex, update-discipline en fysieke waakzaamheid tot gewoonte maakt, verlaagt zijn risico drastisch zonder in dure technologie te investeren. Het budget hoeft geen drempel te zijn: sinds 1 februari 2026 is cybersecurity het enige adviesthema dat nog steun geniet via de kmo-portefeuille van VLAIO, met 45% subsidie voor kleine en 35% voor middelgrote ondernemingen op advies en opleiding.

Wilt u weten of het reis- en wifi-gedrag binnen uw organisatie op orde is, en waar de grootste gaten zitten? In een vrijblijvende kennismaking brengen we samen uw situatie in kaart en tonen we welke concrete afspraken voor uw team het meeste verschil maken.

Veelgestelde vragen

Wat is het grootste risico van openbare wifi op reis?

Het grootste risico is dat een medewerker onbewust verbindt met een kwaadaardig netwerk dat door een aanvaller onder een legitieme naam is opgezet, een evil twin. Daardoor kan al het internetverkeer worden onderschept en kunnen inloggegevens worden gestolen. Uitsluitend de smartphone als persoonlijke hotspot gebruiken is de meest effectieve manier om dit te voorkomen.

Hoe herkent een medewerker een evil twin-netwerk?

Visueel is een evil twin nagenoeg niet te onderscheiden van een legitiem netwerk. Soms verschijnt het malafide netwerk hoger in de lijst omdat de aanvaller fysiek dichterbij zit en een sterker signaal uitzendt. De enige betrouwbare verdediging is openbare wifi principieel mijden en altijd de eigen mobiele hotspot gebruiken.

Geldt het verlies van een zakelijke smartphone als een datalek onder de AVG?

Ja, als er persoonsgegevens zoals contacten, e-mails of klantinformatie op staan en het toestel niet degelijk versleuteld of vergrendeld is. Het incident moet verplicht in het interne datalekregister worden geregistreerd en eventueel binnen 72 uur worden gemeld aan de Gegevensbeschermingsautoriteit (GBA). Volledige encryptie kan die externe meldplicht doen vervallen.

Welke risico’s brengt juice jacking met zich mee op reis?

Via gemanipuleerde openbare USB-laadpoorten in treinen, luchthavens of hotellobby’s kan data worden uitgelezen of malware worden geïnstalleerd. Het risico is technisch reëel maar bijzonder eenvoudig te vermijden: laat medewerkers uitsluitend hun eigen stopcontactadapter of een persoonlijke powerbank gebruiken en nooit een publieke USB-poort.

Hoe kan een kmo financieel ondersteund worden bij het opzetten van een cybersecuritybeleid?

Vlaamse kmo’s kunnen gebruikmaken van de kmo-portefeuille van VLAIO. Sinds 1 februari 2026 is cybersecurity het enige adviesthema dat nog in aanmerking komt voor deze subsidie. Kleine ondernemingen ontvangen 45% subsidie en middelgrote ondernemingen 35% op adviestrajecten en opleidingen, met een jaarlijks plafond van 7.500 euro.