Odido gaat in bezwaar tegen miljoenenboete RDI

Odido gaat in bezwaar tegen de boete die de Nederlandse Rijksinspectie Digitale Infrastructuur aan de provider heeft opgelegd, zegt de provider tegen Tweakers. Odido is het oneens met de lezing van de RDI dat de provider zijn systemen onvoldoende zou beveiligen.

De overheidsorganisatie schreef vrijdag dat Odido een boete van 1.518.750 euro krijgt vanwege vermeende beveiligingsproblemen rond het aftapsysteem in 2021 en 2022. Dat systeem is een onderdeel van het netwerk waar inlichtingendiensten en het Openbaar Ministerie toegang toe kunnen krijgen om verkeer af te tappen. De RDI oordeelde onder meer dat Odido 'geen beveiligingsplan' had.

Een woordvoerder laat aan Tweakers weten het niet eens te zijn met die lezing: "We hebben een alomvattend beveiligingsplan en daarbinnen zitten ook beveiligingsmaatregelen voor het aftapsysteem. Daarom is de bewering dat er geen beveiligingsplan is wat ons betreft onjuist."

De RDI schreef ook dat Odido een aantal beveiligingsmaatregelen niet op orde had en dat ongeautoriseerde werknemers toegang hadden tot het systeem. De woordvoerder weidt niet uit over details in het beveiligingsplan van Odido, maar zegt dat 'bepaalde veiligheidsmaatregelen' sowieso onderdeel zijn van de infrastructuur van het bedrijf: "Wij verschillen daarin wel degelijk van mening met de RDI. Ik vind het ook belangrijk om te vermelden dat er nooit daadwerkelijk iemand zonder bevoegdheid deze aftapgegevens heeft ingezien."

Reacties (37)

[HollowGamer]

Het staat vrij om in hoger beroep te gaan.

Desondanks vind ik het wel schokkend. Ik was altijd heel voorzichtig met VPNs en gebruik voor de zekerheid altijd een beveiligde DNS. Maar misschien is dat dus niet voldoende? Of ik nu wordt afgetapt of niet, niemand hoeft te weten wat ik doe, tenzij daar echt aanwijzingen voor zijn.

[Floort]

Het staat Odido helemaal niet vrij om in hoger beroep te gaan. Ze gaan nu in bezwaar. Er ligt nog helemaal geen uitspraak van een rechter om in hoger beroep tegen te gaan.

edit:
Er ligt nu een bestuursrechtelijke boete van het RDI. Daar kunnen belanghebbenden tegen in bezwaar gaan. Dat bezwaar wordt opnieuw behandeld door het RDI. Als het besluit op bezwaar nog steeds niet naar de zin van Odido is kan Odido naar de rechter stappen in een beroepsprocedure. De rechter doet dan een uitspraak in de beroepszaak. Is Odido het niet eens met die uitspraak van de rechter, dan pas kan Odido misschien in hoger beroep gaan. Odido kan niet zomaar al die stappen overslaan.

[Reactie gewijzigd door Floort op 17 oktober 2025 13:25]

[Jay-v]

Met een beveiligde DNS (DNS over HTTPS bijv) kom je een heel eind. Zo'n beetje elke site heeft encryptie tegenwoordig, maar vaak kan je dus nog wel zien welke sites er bezocht worden. In de TLS Handshake wordt er namelijk een naam meegegeven (SNI), zodat de server weet welk certificaat te presenteren.

Daar zijn ook wel oplossingen voor, maar de meeste sites implementeren dat (nog) niet. Een VPN is dus zeker noodzakelijk indien je die informatie niet wilt delen met je ISP.

[Aaargh!]

Een VPN is dus zeker noodzakelijk indien je die informatie niet wilt delen met je ISP.

Probleem met VPNs is dat ze doen alsof je hierdoor je anonimiteit garandeert. Dat is natuurlijk niet zo. Je deelt die informatie nog steeds, alleen nu met een andere partij. De vraag is dus waar je meer vertrouwen in hebt.

Daar komt ook nog eens bij dat zo'n VPN provider natuurlijk een enorm aantrekkelijk doelwit is voor partijen die andere willen afluisteren. Als je een VPN aanbieder weet te infiltreren dan heb je opeens toegang tot het verkeer van een heleboel mensen die specifiek hun verkeer proberen te verbergen.

En hiervoor hoef je niet eens de VPN provider te hacken, het is voldoende om de ISP van de VPN provider af te tappen. Als je het inkomende en uitgaande verkeer van de VPN provider hebt dan is het ongetwijfeld mogelijk om de inkomende encrypted VPN pakketjes (met daaraan jouw IP als afzender) te matchen met de uitgaande (decrypted) pakketjes die de VPN dienst namens jou uitstuurt (o.b.v. timing, grootte, etc). En omdat een VPN provider zo'n aantrekkelijk target is en je hiermee een hoop mensen kan volgen die hun verkeer proberen te verbergen zou het met niest verbazen als dit bij een aantal ook daadwerkelijk gebeurt.

[Reactie gewijzigd door Aaargh! op 17 oktober 2025 13:54]

[HollowGamer]

Probleem met VPNs is dat ze doen alsof je hierdoor je anonimiteit garandeert. Dat is natuurlijk niet zo. Je deelt die informatie nog steeds, alleen nu met een andere partij. De vraag is dus waar je meer vertrouwen in hebt.

Dat is ook het geen waar ik bang voor ben, maar ook door velen wordt weggewuifd dat dit minder erg is dan je ISP of whataboutism.

Ik moet de VPN provider geloven dat zij alles 100% dichttimmeren (wat in mijn optiek niet kan), en dat elke server in een willekeurig land, niet kan wordt afgetapt door iemand van de overheid daar.

Misschien creëer je juist een groter probleem, doordat alles centraal (weliswaar encrypted) op zo'n server komt te staan. Dat is ook iets wat mensen roepen dat je dan maar in de UK een VPN moet aanschaffen, wetende dat VPN-aanbieders ook aan wetten moeten voldoen (straks) of anders moeten vertrekken (wat ook al gebeurt).

[R_Zwart]

En dat laatste gebeurt dus ook. Er worden alleen taps gezet na een gerechtelijk bevel. Providers zitten hier ook helemaal niet op te wachten. Het hebben van de spullen kost ze alleen maar geld, de vergoeding die ze krijgen per tap is veel lager dan de daadwerkelijke kosten. Maar ze zijn wettelijk verplicht om de voorziening te hebben. Zo niet, dan kan de licentie worden ingetrokken.

Daarnaast zijn de meeste mensen zo oninteressant dat providers wel wat beters te doen hebben dan gaan afluisteren.

[HollowGamer]

Kan een ISP ook weigeren? Ik dacht inderdaad ook van niet, ze moeten het uitvoeren, en daar houdt het op.

Het doet mij erg denken aan Brein, die van iedereen de IP-addressen wilde hebben van de ISPs. Sommige gaven die gewoon, weet eigenlijk wat er nu de status van is, maar dit dus wat je krijgt. Ik vind het een hele enge ontwikkeling dat kennelijk zoveel mogelijk is, en er buiten TOR wellicht, geen enkele mogelijkheid is om nog iets anoniem te doen. Dat hoort in mijn optiek ook bij ons mensenrecht (zoals kritische stukken over de overheid als journalist, zonder dat je daarvoor wordt opgepakt*).

[neh]

Dat is totaal niet te vergelijken. Brein is een private organisatie terwijl de taps in dit systeem alleen gezet kunnen worden door opsporingsinstanties en binnen de kaders van de wet.

[engessa]

Dit is toch gewoon onderdeel van de 'cost of doing business'? Als ik, noem maar wat, brood wil bakken en verkopen moet ik van overheidswege ook aan allerlei wetgeving voldoen die mij geld kosten. Ik zie dat niet als iets problematisch.

[stuiterveer]

Daar gaan we weer met het angstverhaaltje "maar je weet niet wat je provider doet". In het geval van louche landen/providers (zoals Amerikaanse providers die jaren geleden eigen HTTPS certificaten gebruikten om ads op websites te tonen) is het een valide punt, maar over het algemeen is het dat gewoon niet. Uiteindelijk moet verkeer gewoon het internet op, of dat nou via jouw provider gaat of via de VPN provider. Wie zegt dat er niks raars gebeurt aan de kant van de VPN server? Logbestanden die worden bijgehouden (en dus ook kunnen worden geraadpleegd door autoriteiten), of daar alsnog injecteren van advertenties/malware, of zelfs het bijhouden van surfgedrag (zoals gebeurt met veel gratis VPN services die voor Android en iOS beschikbaar zijn). Dit gebeurt ook "gewoon". Om nog maar te zwijgen over het feit dat je dan met de ISP van de VPN provider te maken hebt!

Los daarvan kan je ISP, in theorie, nog altijd zaken loggen met een VPN verbinding, namelijk het feit dat een VPN verbinding wordt gebruikt en waarnaar wordt verbonden daarvoor. Ok, dan kunnen ze niet zien welk verkeer er precies overheen gaat, maar dat kon ook al niet in het geval van HTTPS verkeer: dan kunnen ze wel zien met welke hostnaam/IP je verbindt, maar niet welke data heen en weer gaat.

Het uberhaupt gebruiken van een VPN is dus een wassen neus. Bedenk eerst waarom je het uberhaupt nodig zou hebben, of dat een daadwerkelijk verschil maakt ten opzichte van normaal verkeer, en welke provider (met hun eigen voorwaarden, beveiliging, etc) in dat geval bij jouw wensen en waarden past.

[Reactie gewijzigd door stuiterveer op 17 oktober 2025 13:34]

[HollowGamer]

Het grappige is dat ik het helemaal met je eens ben.

We hebben gewoonweg geen idee waar verkeer allemaal doorheen gaat, en tracken is al vrij makkelijk. Je kunt best door iemand zijn surfgedrag op je website, een goed beeld vormen over een persoon, dus zo anoniem zijn we echt niet.

Wat ik wel belangrijk vind, is dat een ISP wel is dichtgetimmerd. Het kan niet zo zijn dat willekeurige mensen iemand zijn logs kunnen inzien. Dat mag je van een ISP toch wel verwachten vind ik.

[yevgeny]

Dankzij de sleepwet uit 2017 tapt aivd alle internet verkeer in nederland, wil je daar niet aan meedoen dan gebruik je een VPN.

[stuiterveer]

wil je daar niet aan meedoen dan gebruik je een VPN.

Totale onzin. Ok, misschien loopt je verkeer via een ander land dan waar de AIVD opereert, maar dat betekent niet dat je buiten schot blijft voor overheden. Ergens moet je internetverkeer de VPN tunnel uit, en dan mag je hopen dat dat niet ergens is waar men minder rechten heeft als het gaat om privacy en/of aftappen. Desondanks kan de AIVD nog altijd mooi zien met welke VPN provider je verbindt, dus hoeven ze "alleen maar" hun aandacht te verplaatsen naar de VPN partij in plaats van je ISP.

[yevgeny]

Veel extra papierwerk voordat nederlandse overheden log gegevens van een buitenlandse VPN provider in handen hebben.

[DdeM]

Als ze je interesant genoeg vinden om je te volgen, is gegevens opvragen van een VPN provider natuurlijk niet bepaald een grote moeite. If anything maak je je met een VPN ook juist meer verdacht, wanneer ze in jou omgeving aan het aftappen zijn dit moet ook onder de sleepwet namelijk nog steeds zo gericht mogelijk gebeuren:
"Als de AIVD of de MIVD bijzondere bevoegdheden gebruiken, moeten zij dat zo gericht mogelijk doen. Niet breder dan nodig. De minister die toestemming geeft, moet daar ook op letten. Ook de onafhankelijke Toetsingscommissie Inzet Bevoegdheden (TIB) beoordeelt dat. De TIB kijkt van tevoren naar de inzet van bijzondere bevoegdheden."

[arjankoole]

door een VPN heen kun je niet meer echt zien wat je bezoekt, met HTTPS heb je nog wel een indruk.

de SNI header gaat altijd buiten de encryptie om namelijk. Dus als ze je tappen zien ze zonder VPN nog even goed of je naar www.tweakers.net gaat of naar www.porno.xxx.

Of dat boeiend is, hangt er geheel vanaf wat je verder nog uitspookt op een van die twee sites.

keerzijde: via vpn moet je er op vertrouwen dat die ook niet tappen. En in hun marketing zijn ze allemaal heel luid over privacy, maar puntje bij paaltje moeten ze voldoen aan de lokale wetgeving.

[Reactie gewijzigd door arjankoole op 17 oktober 2025 14:14]

[neh]

De aftapsystemen waar dit over gaat werken heel gericht en volgens mij alleen na rechterlijke toestemming. Dus tenzij er onderzoek naar je gedaan wordt tappen deze systemen jouw verkeer niet.

[HollowGamer]

Ik neem aan dat je met dit systeem kunt zeggen: 'Ik wil gebruiker <naam> monitoren'.

Kennelijk kon iedereen daarbij, en dat dus ook zien. Dat is wat ik begrijp uit de tekst? Er was geen procedure voor, en iedereen kon (kan?) het doen.

Snap heel goed dat je zegt dat dit met rechtelijke toestemming moest, maar hoe ik het lees, was dat ook mogelijk zonder dat (er was namelijk geen toezicht op).

[Reactie gewijzigd door HollowGamer op 17 oktober 2025 13:57]

[neh]

Kennelijk kon iedereen daarbij, en dat dus ook zien. Dat is wat ik begrijp uit de tekst? Er was geen procedure voor, en iedereen kon (kan?) het doen.

Snap heel goed dat je zegt dat dit met rechtelijke toestemming moest, maar hoe ik het lees, was dat ook mogelijk zonder dat (er was namelijk geen toezicht op).

Het ligt denk ik een stuk genuanceerder. Jij stelt dat iedereen toegang heeft, maar het RDI heeft over toegang alleen gecommuniceerd dat niet al het personeel dat toegang had over een VOG en geheimhoudingsverklaring beschikte zoals wel verplicht is.

[HollowGamer]

De RDI zegt ook dat werknemers toegang hadden tot het systeem terwijl ze dat niet hoefden te hebben.

Ik snap wat je zegt, en het zal inderdaad genuanceerder liggen. Toch vind ik dit wel schokkend, want je zou juist op dit soort systemen echt beveiliging en monitoring (daarvan) verwachten.

[sIRwa3]

Dat is ook schokkend, vandaar de boete!! De mogelijkheid om af te luisteren wordt dus ook uitermate serieus genomen. Denk dat bezwaar ook weinig zin heeft.

[HollowGamer]

Als het klopt, vind ik de boete ook zeker terecht, en missen nog veel te laat gekregen.

[bzuidgeest]

Eerlijk gezegd vind ik dat behoorlijk paranoïde overkomen. Niemand hoeft te weten wat ik doe, maar als iemand het zou weten dan is er niets aan de hand. https/ssl etc verkeer kunnen ze met of zonder VPN toch niet inzien. Tenzij ze van de grootte certificaat leveranciers nep certificaten krijgen.

En als dat zo is dan kan je per definitie niets op het internet vertrouwen. Ook de VPN niet. Nep certificaten zijn overigens iets dat de grote leveranciers van certificaten liever niet zien. Het lekt altijd uit en hun business is gebaseerd op vertrouwen. Geen vertrouwen, geen klanten, geen business. Zelfde geld voor vertrouwen in VPN boeren. Je moet maar geloven dat ze niet lekken of loggen. En zeker bij de gratis figuren is dat niet gegarandeerd.

Wat mij betreft is het enige wat jij doet dus geld weggooien aan een VPN boer e.d. over nauwelijks gegronde angsten. Moet je zelf weten natuurlijk. Maar je bent 1 persoon op vele miljarden. Welke vieze plaatjes je kijkt of zo zal niemand wat kunnen schelen. Denk maar niet dat je zo belangrijk bent. Dat zijn we allemaal niet gemiddeld.

[HollowGamer]

https/ssl etc verkeer kunnen ze met of zonder VPN toch niet inzien. Tenzij ze van de grootte certificaat leveranciers nep certificaten krijgen.

Wat ik begrijp is dat TLS niet waterdicht is. De connectie tussen jouw en mij kan bijvoorbeeld versleuteld zijn, maar iets met DPI of zoals je zegt een proxy, kan je er zonder e2e-encryptie nog altijd bij.

Het is dus zeker niet paranoia, al snap ik wel wat je bedoelt. Ik zit ook gewoon op het internet, heb geen VPN, maar wel Adguard en daarbij weer DNS-entries die claimen niets aan de logging te doen. Maar buiten mijn eigen muren, gebruik ik weer de eigen DNS van de ISP.

Maar ik begin mij gewoon langzaam wel zorgen te maken. Doordat alles zoveel extreme wordt, vrees ik wel scenarios als die in de UK/US/China, die hier naartoe komen onder het mom van 'kids te beschermen'. Dus vind ik wel zorgelijk dat kennelijk medewerkers van een ISP vrij ruim kunnen kijken, zonder dus regels en procedures. Wie zegt dat ze met dit systeem niet een ex in de gaten kunnen houden? Kennelijk was daar geen controle op?

[bzuidgeest]

Wat ik begrijp is dat TLS niet waterdicht is. De connectie tussen jouw en mij kan bijvoorbeeld versleuteld zijn, maar iets met DPI of zoals je zegt een proxy, kan je er zonder e2e-encryptie nog altijd bij.

Dat is waar voor elke vorm van beveiligde communicatie. Als je de certificaat autoriteit die de beveiliging mogelijk maakt niet meer kan vertrouwen dan houd het helemaal op. Zelfs e2e encryptie rust uiteindelijk op certificaten die ergens geverifieerd moeten kunnen worden. En als die plek valse certificaten in de omloop heeft is het over. Dat is ook al wel gebeurd voor sommige cert authorities.

Het is dus zeker niet paranoia,

Daar denk ik anders over

Dus vind ik wel zorgelijk dat kennelijk medewerkers van een ISP vrij ruim kunnen kijken, zonder dus regels en procedures.

Odido gaat in beroep omdat ze beweren die gewoon te hebben. Dus of die ontbreken moeten we nog zien. En het feit dat ze kunnen proberen te tappen, betekend dat ze verkeer kunnen zien, maar vercijferd verkeer kunnen ze wel zien maar niet lezen. Dat is het hele punt. Ze kunnen dat alleen zeggen dat er wat heen en weer gaat. Een man in the middle met een proxy valt op, want die heeft niet het cert van de website of zo waar je naar toe gaat en dan is de cert chain gebroken. Je browser merkt dat. De enige manier is valse certs uitdelen. En als verisign of zo dat gaat proberen leven ze denk ik niet lang.

Ik denk dat jou onzekerheden net als bij veel mensen uit onbekendheden met de verschillende technieken komen. En ja het is een steeds complexere omgeving. En we zien meer extremisme. Maar we zijn hier niet de VS of China of een sharia staat. Daar zitten we nog wel even van weg. Onze politiek lijkt wat labiel. Maar dat is omdat onze politiek een goed representatie is van het volk door onze volledig democratische kies methode. En het volk is verdeeld. Dus dat word gereflecteerd in de politiek. Maar vergeet niet dat extremisme luid is en polarisatie verkoopt. In de media zie je alle goede dingen niet. En het meeste hier gaat gewoon goed.

[NeoVamp]

https://wetten.overheid.nl/BWBR0009999/2003-01-24

Er is een wet actief voor providers om in elk geval mee te werken, maar dan moet er wel redelijke verdenking zijn, dus in de praktijk zal je wel niet zo vaak afgetapt worden als je binnen de lijntjes kleurt :)

[adje123]

Daarnaast, als ik het goed heb, moet altijd een rechter(commissaris) toestemming geven om iemand af te tappen.

[Niema]

Sinds de invoering van de (verbastering van de) sleepwet is ook iemand in je omgeving die mogelijk verdacht is genoeg reden om jou af te tappen. Ja, de citv zou de aivd moeten controleren op onrechtmatig tappen, maar heeft beperkte slagkracht en is niet bepaald happy over de huidige situatie https://www.ctivd.nl/actueel/nieuws/2025/03/14/index

Als je niet wil dat de geheime dienst weer welke websites je bezoekt wanneer en hoelaat lijkt me een keuze voor een vpn vrij redelijk

[willieverhoef]

De vraag is, wat is redelijke verdenking en waarvan. Het is niet hard, maar een verdenking van "illegaal streamen" is dat genoeg? En de bijvangst is dat jij een harde campagne tegen de huidige regerende partij aan het opzetten bent bij de verkiezingen? Natuurlijk allemaal speculatie natuurlijk, en natuurlijk ook niet direct gevaarlijk. Maar als er ooit een partij aan de macht komt welke al zijn vijanden op tijd wil uitschakelen, is alles wat democratie tegenwerkt niet prettig. Bij democratie hoort naar mijn mening ook privacy, maar ook controleerbaarheid en openbaarheid van bestuur. En dat betekent dat als er wordt afgeluisterd dit niet als vriendendienst, of nieuwsgierigheid moet kunnen gebeuren.

[R_Zwart]

De rechter toetst dat aan de wet. Als de rechter vindt dat er een redelijke kans is dat er een wet wordt overtreden dan kan de rechter toestemming geven om een tap te zetten. Zoals ik hierboven als schreef, providers zitten hier niet op te wachten. Sterker nog: als er vandaag gezegd zou worden dat het niet meer verplicht is, dan staat de apparatuur maandag uit.

[n00bs]

"De rechter toetst dat aan de wet"

LOL, dan weet ik helaas een hoop meer dan jij

[NeoVamp]

Ik denk dat het vaak een offcier van justitie zal zijn, het gaat immers nog om verdacht zijn, niet veroordeeld in de meeste gevallen

[n00bs]

Vaak inderdaad wel, maar zeker niet altijd :-)

[FrostyPeet]

Zo ik het begrijp is het vooral een administratieve kwestie. Dat iemand een verklaring moet hebben, dat er een draaiboek moet zijn, dat er gelogd moet worden.

Hoeft dus niet perse in te houden dat er "slechte" medewerkers gegevens hebben verzameld of verspreid.

Ik heb vroeger nog analoge telefoonlijnen gerouteerd (met van die LSA stroken). Ja, zo oud ben ik. Soms klopte de tekening niet bij het vinden van een "vrije draad". Prikte ik mijn test telefoon op een kabelpaar, hoorde ik een gesprek. Eigenlijk was ik toen aan het aftappen, juridisch gesproken. Dus losmaken en een nieuwe kabel testen. In mijn arbeidscontract stond een vertrouwelijkheid clausule. Ze vertrouwden er op dat de monteurs zich etisch gedroegen. Als ik nu hetzelfde werk zou moeten doen zou ik heel veel tijd kwijt zijn met stempeltjes, formuliertjes, verklaring of ik wel deug, logboekjes etc.

[ChrsL]

Tja, een globale 'beveiligingsplan' of eentje specifiek voor dat aftapsysteem?

't zal zichzelf maar bewijzen of je een persoons-gebonden user heb zien inloggen, of een generiek user. Dat heeft al de vereiste dat je dat al ergens hebt gelogd op een plek, dat ook nog eens niet herschreven kan worden. dan nog authorisatie met al dat VOG gedoe, hoe is dat soort zooi geregeld daar bij odido?

't zal zich maar bewijzen.

[Paul Hendriks]

Dit is echt lachwekkend van Odido. De regelgeving geldt al sinds 2003. Als je het boetebesluit leest, dan zie je dat er sinds 2003 géén beveiligingsplan was. Kort nadat de toezichthouder op bezoek was geweest, hebben ze snel iets in elkaar gezet. De toezichthouder was gelukkig niet gek en controleerde de meta-data.

[De_Daapse]

Als het aftappen niet beveiligd wordt, dan kan er meegeluisterd worden met gesprekken die gevoerd worden en afgetapt moeten worden en.......... hé, is dit niet juist een oplossing in plaats van een probleem?