In het kort: openbare wifi is een stuk veiliger dan een paar jaar geleden, omdat bijna alle websites tegenwoordig via een versleutelde https-verbinding werken. Toch blijven er reele risico’s, vooral nep-hotspots (een ‘evil twin’), man-in-the-middle-aanvallen en het afvangen van verkeer dat niet versleuteld is. Met een paar simpele gewoontes surf je veilig: gebruik alleen https-sites, log niet in op onbekende netwerken, zet automatisch verbinden uit en pak bij twijfel je eigen 4G- of 5G-hotspot. Hieronder lees je precies hoe elke aanval werkt en wat je eraan doet.
Hoe gevaarlijk is openbare wifi nog echt?
Het klassieke horrorverhaal stamt uit de tijd dat het grootste deel van het web nog onversleuteld was. Alles wat je typte, ging als leesbare tekst door de lucht, en iedereen op hetzelfde netwerk kon meelezen. Dat beeld is achterhaald. Inmiddels draait ruwweg negen op de tien websites op https, en moderne netwerken gebruiken versleuteling via WPA2 of WPA3. De inhoud van je verkeer is daardoor standaard beschermd, ook zonder extra software. Werk je onderweg of op afstand vaak met bedrijfsdata? Lees dan ook onze gids over veilig thuiswerken.
Betekent dat dat je zorgeloos alles kunt doen op de wifi van het station of de McDonald’s? Nee. De gevaren van openbare wifi zijn verschoven van ‘iemand leest je wachtwoord mee’ naar subtielere trucs: een nep-netwerk waar je zelf op klikt, een pagina die je naar een valse inlog stuurt, of het simpele feit dat de netwerkbeheerder kan zien welke sites je bezoekt. Hieronder de aanvallen die er in 2026 nog toe doen.
De belangrijkste aanvallen op openbare wifi
Man-in-the-middle: iemand gaat tussen jou en de website zitten
Bij een man-in-the-middle-aanval plaatst een aanvaller zich ongemerkt tussen jouw apparaat en de server waarmee je praat. Al het verkeer loopt dan via hem, zodat hij kan meelezen of dingen kan aanpassen. Op onversleutelde verbindingen is dat kinderspel. Op een https-site loopt de aanvaller vast op de versleuteling, tenzij jij een certificaatwaarschuwing wegklikt. Precies daarom is die rode waarschuwing ‘je verbinding is niet privé’ geen formaliteit die je even wegtikt, maar een stopteken.
Evil twin: de nep-hotspot met een vertrouwde naam
Dit is misschien wel het grootste risico van dit moment. Een aanvaller zet een eigen wifi-punt op met een naam die exact lijkt op de echte, bijvoorbeeld ‘Starbucks Free Wifi’ of ‘NS Trein’. Verbind je daarmee, dan loopt al je verkeer via zijn apparatuur. Vaak krijg je een nagemaakte inlogpagina te zien die om je e-mailadres, wachtwoord of zelfs betaalgegevens vraagt. Zo’n dubbelganger is met goedkope apparatuur binnen enkele minuten opgezet. Twee namen die bijna hetzelfde zijn, of een ‘gratis’ netwerk zonder enige beveiliging, zijn een teken om weg te blijven.
Afluisteren (wifi eavesdropping): meeluisteren op het netwerk
Op een open netwerk zonder wachtwoord kan iemand met de juiste software het draadloze verkeer opvangen dat door de lucht gaat. Bij versleutelde https-sites ziet zo’n meelezer alleen ruis plus welk domein je bezoekt, niet de inhoud. Maar bezoek je nog een oude site zonder https, of een app die zijn verkeer niet goed versleutelt, dan liggen die gegevens wel open. Ook je surfgedrag zelf (welke sites, hoe laat, hoe vaak) is voor de netwerkbeheerder zichtbaar.
Beschermt het slotje (https) je dan volledig?
Grotendeels wel, maar niet volledig, en het beroemde slotje bestaat eigenlijk niet meer. Sinds Chrome 117 (september 2023) is het hangslotje in de adresbalk vervangen door een instellingen-icoontje, omdat uit onderzoek bleek dat bijna negen op de tien mensen dachten dat het slotje ‘veilige website’ betekende. Dat klopt niet: het gaf alleen aan dat de verbinding versleuteld is. Ook een phishingsite kan een keurige https-verbinding hebben.
Wat https wel doet: het versleutelt de inhoud van wat je verstuurt en ontvangt, zodat niemand op het netwerk je wachtwoorden of berichten kan meelezen. Wat het niet doet: het verbergt niet welke sites je bezoekt (het domein lekt via DNS en de zogeheten SNI), het maakt een valse site niet betrouwbaar, en het beschermt je niet als je zelf op een malafide link klikt of een waarschuwing negeert. Kortom: https is je basisbescherming, geen totaalgarantie.
Wat je beter niet doet op open wifi
- Inloggen bij je bank of iets betalen. Kan het wachten tot je thuis of op mobiel internet zit, doe het dan daar.
- Inloggen via een pop-up of portaalpagina die om je wachtwoord of betaalgegevens vraagt. Een echt gastnetwerk vraagt hooguit om akkoord met de voorwaarden, niet om je LinkedIn- of e-mailwachtwoord.
- Doorklikken op een certificaatwaarschuwing (‘je verbinding is niet privé’). Sluit het tabblad in plaats daarvan.
- Bestanden delen laten aanstaan. Zet ‘netwerkdetectie’ en ‘bestands- en printerdeling’ uit, of markeer het netwerk als ‘openbaar’ in Windows.
- Automatisch verbinden met bekende netwerknamen aan laten staan. Je telefoon springt anders vanzelf op een nep-‘Starbucks Free Wifi’.
Wanneer helpt een VPN echt?
Een VPN (virtueel privénetwerk) stopt al je verkeer in een versleutelde tunnel naar een server van de VPN-aanbieder. Op het lokale netwerk is dan niet meer te zien welke sites je bezoekt, alleen dat je met de VPN praat. Dat is nuttig, maar door de opkomst van https is een VPN minder onmisbaar dan aanbieders je willen doen geloven. Voor de inhoud van je verkeer voegt hij op een https-site weinig toe.
Een VPN is wel echt zinvol als je:
- wilt voorkomen dat de netwerkbeheerder of een meelezer ziet welke sites en diensten je gebruikt;
- nog wel eens oudere sites of apps zonder goede versleuteling gebruikt;
- op een netwerk zit waarvan je de beheerder niet vertrouwt, zoals een hotel of een druk evenement;
- gevoelig werk doet en een extra laag wilt.
Kies dan wel een betrouwbare, betaalde aanbieder met een duidelijk privacybeleid; gratis VPN’s verdienen vaak juist aan je gegevens. Wil je zien hoe een VPN in de praktijk werkt, bekijk dan onze uitleg over een VPN gebruiken om series uit een andere regio te bekijken, daar zie je meteen hoe je er een instelt.
Veiliger alternatief: je eigen 4G- of 5G-hotspot
De simpelste manier om alle risico’s van openbare wifi te omzeilen, is er niet op gaan. Zet op je telefoon de persoonlijke hotspot aan en laat je laptop of tablet via je eigen mobiele data internetten. Je verbinding loopt dan via het netwerk van je provider, dat versleuteld en veel lastiger te bespioneren is dan een open wifi-punt. Met de databundels van 2026 en 5G is dat voor even mailen, bankieren of werken bijna altijd snel genoeg.
Vuistregel: moet je iets gevoeligs doen (bankieren, betalen, inloggen bij DigiD), gebruik dan je eigen mobiele data of wacht tot je op een vertrouwd netwerk zit. Openbare wifi is prima voor nieuws lezen, een routekaart bekijken of een video kijken.
Checklist: veilig internetten op openbare wifi
- Controleer de exacte netwerknaam bij het personeel voordat je verbindt, en let op dubbelgangers.
- Zet ‘automatisch verbinden’ uit voor openbare netwerken.
- Kijk of de site https gebruikt (geen doorgeklikte waarschuwingen) voordat je iets invult.
- Log niet in bij je bank en doe geen betalingen; bewaar dat voor je eigen mobiele data.
- Vul nooit wachtwoorden of betaalgegevens in op een portaal- of pop-uppagina.
- Zet bestands- en printerdeling uit en markeer het netwerk als ‘openbaar’.
- Gebruik een VPN als je niet wilt dat het netwerk je surfgedrag ziet.
- Twijfel je? Pak je eigen 4G- of 5G-hotspot.
- Verbreek de verbinding en ‘vergeet’ het netwerk zodra je klaar bent.
Nog een risico op openbare plekken dat weinig mensen kennen: opladen via een publieke USB-poort. Hoe groot dat risico echt is, lees je in ons artikel over juice jacking.
Veelgestelde vragen
Is openbare wifi in 2026 nog gevaarlijk?
Minder dan vroeger, omdat bijna alle sites via https werken en je gegevens daardoor versleuteld zijn. De grootste risico’s zijn nu nep-hotspots en valse inlogpagina’s waar je zelf op klikt, plus het feit dat de netwerkbeheerder je surfgedrag kan zien.
Kan iemand mijn wachtwoord zien op openbare wifi?
Op een https-site niet: je gegevens gaan versleuteld over de lijn. Het gaat wel mis als je inlogt op een oude site zonder https, op een nep-netwerk zit, of een certificaatwaarschuwing wegklikt. Vul wachtwoorden dus alleen in op sites die je vertrouwt en die https gebruiken.
Heb ik echt een VPN nodig op openbare wifi?
Niet strikt noodzakelijk voor de inhoud van je verkeer, want https regelt dat al. Een VPN is vooral zinvol als je wilt verbergen welke sites je bezoekt of als je oudere, onversleutelde diensten gebruikt. Voor gevoelige zaken is je eigen mobiele hotspot vaak de simpelste veilige keuze.
Wat moet ik doen als ik toch heb ingelogd op een verdacht netwerk?
Verbreek de verbinding, wissel zo snel mogelijk je wachtwoorden op een vertrouwd netwerk en zet tweefactorauthenticatie aan waar dat kan. Zie je vreemde transacties of berichten, meld dat dan bij je bank en eventueel bij de Fraudehelpdesk (0800-8028).
Wil je breder aan de slag met veilig online zijn? Begin bij onze gids veilig internetten voor beginners en lees daarna hoe je je online privacy beschermt. Zo maak je van veilig surfen een gewoonte in plaats van iets waar je alleen op openbare wifi aan denkt.
Bron: Google Chrome-documentatie over het vervangen van het slotje-icoon, en Consumentenbond en veiliginternetten.nl over veilig gebruik van openbare netwerken. Laatst gecontroleerd in juli 2026.