Geen doemscenario's, wel eerlijk: wat er concreet gebeurt als gegevens van je klanten op straat komen, en hoe groot dat risico echt is voor een kleine app.
Hoe het meestal begint
Bij kleine apps is het zelden een gerichte aanval. Meestal is het iets eenvoudigs: een database die per ongeluk voor iedereen openstaat, een sleutel die in de code is blijven staan, of een beheerderspagina zonder wachtwoord.
Er lopen programma's over het internet die de hele dag niets anders doen dan zulke open deuren zoeken. Die vinden een kleine app net zo makkelijk als een grote.
Wat er dan concreet gebeurt
- Gegevens van je gebruikers — namen, e-mailadressen, soms meer — zijn bij anderen terechtgekomen.
- Je moet dat melden: bij gegevens van Europese burgers is de Autoriteit Persoonsgegevens duidelijk dat een lek binnen 72 uur gemeld moet worden als er risico is.
- Je moet je gebruikers informeren, wat je nooit leuk doet maar wel moet.
- Het vertrouwen dat je hebt opgebouwd krijgt een deuk die niet met een excuusmail te repareren is.
De kosten zijn vooral indirect
De boete haalt de krant, maar voor een kleine ondernemer zijn het vooral de andere kosten: uitzoeken wat er precies is gebeurd, het lek dichten, gebruikers bijpraten en ondertussen gewoon je bedrijf draaiende houden. Dat zijn makkelijk weken aandacht.
En als je app je bedrijf ís, raakt een lek je direct in je omzet.
Met backups kun je verloren of gewijzigde gegevens herstellen, maar een lek maak je er niet ongedaan mee.
Het goede nieuws
De meeste lekken bij kleine apps komen door een klein aantal bekende fouten: open databases, gelekte sleutels en rechten die te ruim staan. Die zijn vooraf te vinden met een automatische controle — je hoeft geen expert te zijn om ze te voorkomen, alleen om ze op te lossen.
Begin met de basis van cybersecurity voor het mkb.
Meer over de grootste risico’s voor het mkb lees je in onze gids
Veelgestelde vragen
Is mijn kleine app echt interessant voor aanvallers?
Niet jij specifiek — maar de automatische zoekprogramma's maken geen onderscheid. Een open deur is een open deur, hoe klein het huis erachter ook is.
Moet ik een datalek echt melden?
Bij persoonsgegevens van EU-burgers: meestal wel, binnen 72 uur bij de Autoriteit Persoonsgegevens. Zie de toelichting op autoriteitpersoonsgegevens.nl.
Kan ik me hiertegen verzekeren?
Er zijn cyberverzekeringen, maar die dekken vooral de schade achteraf. Voorkomen is goedkoper: de gebruikelijke oorzaken zijn vooraf automatisch te vinden.