Cyberveiligheid 2026: zo beschermt u als zzp'er uw accounts

Uw e-mail, uw Amazon- of Etsy-account, uw online bankieren: dat is vandaag uw bedrijf. Als een aanvaller hier binnenkomt, staat in het ergste geval uw boterham op het spel. In 2026 heeft phishing een nieuw niveau bereikt: volgens het Duitse Bundesamt für Sicherheit in der Informationstechnik (BSI) zijn berichten vaak met AI gegenereerd en bijna niet meer te herkennen aan typfouten. Dit artikel laat zien hoe u zich als zzp'er of kleine ondernemer met overzichtelijke inspanning effectief beschermt.

Inhoudsopgave

• Waarom zzp'ers en MKB nu bijzonder in het vizier liggen
• De nieuwe phishinggolf: wat is anders in 2026
• Voorbeeld: wanneer het Etsy-account plotseling weg is
• Vijf beschermingsmaatregelen die elke zzp'er meteen kan invoeren
• Phishing herkennen: de vuistregel voor 2026
• Als het is gebeurd: de eerste 24 uur
• Veelgestelde vragen
• Conclusie

Waarom zzp'ers en MKB nu bijzonder in het vizier liggen

Het BSI is de Duitse federale autoriteit voor informatiebeveiliging. In het rapport 2025 worden kleine en middelgrote ondernemingen als bijzonder kwetsbaar aangemerkt: ongeveer 80 procent van de gemelde ransomware-incidenten in Duitsland trof MKB, vaak via klassieke phishing- of versleutelingscampagnes.

De oorzaak is zelden onwil, vaker tijdgebrek. Wie als zzp'er naast het dagelijks werk facturen schrijft, bestellingen afhandelt en klanten te woord staat, heeft geen eigen IT-afdeling. Daar grijpen aanvallers naar binnen. In de Cybersecurity-monitor 2026 van BSI en ProPK gaf ongeveer één op de negen internetgebruikers in Duitsland aan vorig jaar slachtoffer te zijn geworden van cybercriminaliteit. Phishing en ongeoorloofde accounttoegang behoren tot de meest voorkomende incidenten.

Wat betekent dat voor u? Ook zonder grote zakelijke klanten bent u een lonend doel — vooral omdat uw marketplace-accounts, banktoegangen en e-mailpostvakken hard geld waard zijn.

De nieuwe phishinggolf: wat is anders in 2026

Phishingmails waren vroeger te herkennen aan houterig Nederlands en vreemde afzenderadressen. Die tijd is voorbij. Teksten worden tegenwoordig doorgaans met AI gegenereerd, klinken alsof ze van de klantenservice komen en zijn op uw branche toegesneden. Branche-onderzoeken voor 2025/2026 spreken over circa 80 procent met AI gegenereerde phishingmails — de klassieke alarmbellen ontbreken.

Daar bovenop komen nieuwe aanvalsroutes waar het BSI samen met de Duitse Bundesamt für Verfassungsschutz (BfV) voor heeft gewaarschuwd. Op 6 februari 2026 publiceerden beide diensten een gezamenlijk veiligheidsadvies over phishing via messengerdiensten zoals Signal en actualiseerden de waarschuwing op 17 april 2026. Kenmerkend: aanvallers misbruiken geen technische zwakheid, maar legitieme functies — zoals het koppelen van een extra apparaat — in combinatie met social engineering. Wie op een vermeende QR-code klikt, geeft vreemden toegang tot zijn chats.

Marketplace-accounts worden parallel met klassieke phishingmail aangevallen: nep-„koperberichten” met bijlage, vermeende blokkadewaarschuwingen met inlog-link of vermeende merkrechtschendingen om u te verleiden uw verkoperlogin in te voeren.

Voorbeeld: wanneer het Etsy-account plotseling weg is

Stelt u zich Sabine voor, parttime Etsy-verkoper. In haar privé-Gmail komt een vermeend koperbericht: „Bekijk de schadefoto, anders terugbetaling.” Ze opent de bijlage — een loginpagina die er precies uitziet als Etsy. Wachtwoord ingevoerd. Uren later is haar account overgenomen, het uitbetalings-IBAN is gewijzigd. Drie lopende bestellingen worden naar een vreemde rekening uitbetaald, Sabine zit met de verzendkosten.

Drie punten hadden dat voorkomen: tweefactorauthenticatie op het Etsy-account, een apart wachtwoord voor het e-mailadres en een gezonde argwaan tegenover inlog-links uit e-mails. Precies daar kijken we nu naar.

Vijf beschermingsmaatregelen die elke zzp'er meteen kan invoeren

1. Tweefactorauthenticatie — overal waar het kan

Het BSI adviseert consumenten om tweefactorauthenticatie (2FA) altijd in te zetten wanneer de online dienst dat toestaat. Wie het wachtwoord kent, komt zonder de tweede factor niet binnen. Voorkeur: authenticator-apps (tijdsgebonden codes) of hardwaresleutels volgens FIDO2. SMS-codes zijn beter dan niets, maar kwetsbaar.

Activeer 2FA minstens voor: e-mailbox, online bankieren, elk marketplace-account (Amazon Seller, eBay, Etsy, Otto, Kaufland, Shopify), cloudopslag en boekhoudsoftware.

2. Behandel uw e-mail als een kluis

Wie uw mailbox heeft, kan bij vrijwel elke andere dienst „wachtwoord vergeten” activeren. Drie regels: een lang, uniek wachtwoord dat u nergens anders gebruikt — 2FA op het mailaccount — en idealiter een aparte zakelijke mailbox die niet openbaar in uw colofon staat. Voor gevoelige logins een andere dan die voor klantantwoorden.

3. Automatische updates — en een wachtwoordmanager

Updates sluiten beveiligingslekken: dus niet „ooit na het werk”, maar automatisch. Besturingssysteem, browser, alle apps. Een wachtwoordmanager bespaart u 50 codes uit het hoofd te leren en zorgt dat elk account echt een eigen wachtwoord heeft.

4. Back-ups volgens de 3-2-1-regel

Drie kopieën van uw belangrijke data, op twee verschillende media, één daarvan apart opgeslagen (bijvoorbeeld versleutelde cloudopslag). Regelmatig back-uppen biedt veel betere bescherming tegen ransomware — zelfs in het slechtste geval zijn facturen, bonnen en stamdata niet weg. Cloudtoepassingen met revisievaste documentarchivering zijn hier een praktische bouwsteen.

5. Print de IT-noodkaart van het BSI

Het BSI biedt een gratis IT-noodkaart die als een brandinstructie in het kantoor hangt — met een ingevuld noodnummer (bijvoorbeeld uw IT-dienstverlener) en korte gedragsregels. Aangevuld met een maatregelencatalogus en een TOP-12-lijst. Kost niets en dwingt u eenmalig na te denken voordat het ernst wordt.

Wat betekent dat voor u? Deze vijf punten zijn geen theorie: ze zijn in 1 à 2 uur geïmplementeerd en dekken de meest voorkomende aanvalspatronen die het BSI in 2026 ziet.

Phishing herkennen: de vuistregel voor 2026

Omdat de klassieke signalen niet meer werken, geldt in 2026 een eenvoudige vuistregel: nooit inloggen via een link in een mail of messengerbericht. Als Amazon waarschuwt, opent u Amazon via uw bladwijzer. Belt de bank, dan belt u terug op het officiele nummer achterop uw bankpas. Vraagt iemand in Signal om een „extra apparaat” te koppelen — niet doen, daar waarschuwt het BSI juist voor.

Nog twee signalen: druk („alleen vandaag”, „account over 24 uur geblokkeerd”) en ongebruikelijke betaalwegen (cadeaukaarten, crypto, vreemde IBAN). Beide zijn al jaren betrouwbare fraudesignalen.

Als het is gebeurd: de eerste 24 uur

Is uw account overgenomen, dan telt snelheid:

1. Wijzig het wachtwoord van de getroffen dienst — als dat niet meer kan, neem contact op met de support (officiële hulppagina, niet via zoekadvertenties googelen, daar duiken nepnummers op).
2. Wijzig de wachtwoorden van alle diensten die aan hetzelfde mailadres of wachtwoord gekoppeld zijn.
3. Zet 2FA opnieuw op en meld alle actieve apparaten/sessies af.
4. Bij financiële schade: bank informeren, aangifte bij de politie (ook online mogelijk).
5. Bij een datalek met persoonsgegevens van derden: termijn van 72 uur voor melding aan de bevoegde autoriteit nakijken.

Voor bedrijven biedt het BSI concrete handvatten met de IT-noodkaart en de TOP-12-lijst — in de hectiek van het moment helpt elke voorbereide stap.

Veelgestelde vragen

Is 2FA via sms voldoende?

Beter dan alleen een wachtwoord, maar niet ideaal. SMS-berichten kunnen via zogenoemde SIM-swapping worden onderschept. Het BSI adviseert bij voorkeur authenticator-apps of hardwaresleutels. Waar alleen sms beschikbaar is, kunt u het beter toch activeren.

Wat kost een hardware-beveiligingssleutel?

Eenvoudige FIDO2-sticks zijn beschikbaar voor enkele tot enkele tientallen euro. Voor mail en bankieren een verstandige investering, vooral als u marketplace-accounts met hoge uitbetalingen beheert.

Mijn Amazon-verkopersaccount is gehackt — wat nu?

Meteen contact opnemen met Amazon-support via het officiële Seller Central, wachtwoord wijzigen, alle uitbetalingsgegevens controleren, recente verkopen en communicatie nakijken. Parallel laat u de opgeslagen bankgegevens bij uw bank blokkeren als een vreemde IBAN is ingevoerd.

Moet ik een cyberincident melden?

Als persoonsgegevens van klanten betrokken kunnen zijn, geldt doorgaans de AVG-meldplicht binnen 72 uur bij de bevoegde toezichthouder. Puur bedrijfsincidenten zonder impact op derden zijn niet meldingsplichtig, maar dienen voor de verzekering gedocumenteerd te worden.

Moet ik wachtwoorden regelmatig wijzigen?

Het BSI heeft afscheid genomen van de rigide „elke 90 dagen”-regel. Belangrijker zijn lange, unieke wachtwoorden per dienst plus 2FA. Wijzigen doet u bij een vermoeden of als een dienst getroffen is door een datalek.

Conclusie

Cyberveiligheid is voor zzp'ers in 2026 geen kwestie van comfort meer, maar een bedrijfsbasis. De vijf basismaatregelen — 2FA, schone mailinrichting, updates, back-ups, noodplan — kosten weinig tijd en beschermen tegen de meest voorkomende aanvalspatronen die het BSI ziet. Wie zijn bedrijfsprocessen zoals facturen, bankimport en betalingstoewijzing en documentarchivering in een moderne cloudoplossing bundelt, profiteert bovendien van centrale toegangen die consequent met 2FA te beveiligen zijn — in plaats van een verspreid samenraapsel van kritieke wachtwoorden.

Wie veel via marketplaces verkoopt, moet bovendien platformberichten over accountveiligheid lezen — bijvoorbeeld als tarieven of uitbetalingen wijzigen of nieuwe marktplaatsen zoals TikTok Shop starten. Ook lokale aanbieders zoals ambachtsbedrijven profiteren: een Google Business Profile goed onderhouden vraagt vandaag een degelijk beveiligd Google-account.

Bronnen

1. BSI — De staat van IT-veiligheid in Duitsland 2025
2. BSI / BfV — Gezamenlijk veiligheidsadvies: phishing via messengerdiensten (6 februari 2026)
3. BSI Pers — Geactualiseerde waarschuwing en gids voor Signal-phishing (17 april 2026)
4. BSI — Cybersecurity-monitor 2026 (Digitalbarometer)
5. BSI — IT-noodkaart voor MKB
6. BSI — Tweefactorauthenticatie
7. BSI — Cybersecurity voor MKB (publicatie)

Let op: Dit artikel vormt geen juridisch advies. Raadpleeg bij een concrete cyberaanval of vragen over AVG-meldplicht een advocaat of de bevoegde autoriteit persoonsgegevens.