Laatst bijgewerkt:
Tweekanaalsoverdracht
Stuur de data en de sleutel nooit langs hetzelfde kanaal. Wie de enveloppe onderschept, heeft dan geen wachtwoord, en wie de mail meeleest, heeft geen drager. Het is hetzelfde idee als tweefactorauthenticatie, en zo leg ik het ook uit aan een griffie of een advocaat.
Wat geen twee kanalen zijn
Een versleuteld archief in een mail en het wachtwoord in de volgende mail. Een deellink met het wachtwoord in dezelfde mail. Een stick met een briefje in dezelfde enveloppe. Telkens heeft wie dat ene kanaal onderschept, alles.
Het tweede kanaal moet echt anders zijn: papier tegenover netwerk, of telefoon tegenover e-mail. Een tweede e-mailadres van dezelfde ontvanger telt niet. Dat loopt over dezelfde mailserver en meestal over hetzelfde toestel.
Drie manieren
Welke je kiest, hangt af van de ontvanger en van de hoeveelheid data.
Downloadlink per e-mail, pincode per sms
De snelste manier, als de ontvanger akkoord gaat met een online overdracht. De data staan op een dienst die een pincode vraagt, zie Boomerang. De link gaat per e-mail, de pincode per sms naar een gsm-nummer dat de ontvanger daarvoor zelf schriftelijk opgaf.
Drager per post, wachtwoord apart
Zet de data in een 7-Zip-archief met wachtwoord, zie hieronder, en verstuur de USB-sticks aangetekend, met ontvangstbewijs. Het wachtwoord volgt per telefoon of per e-mail.
Steek een korte brief in de enveloppe die uitlegt dat het wachtwoord apart komt, en waarom, en dat de ontvanger 7-Zip nodig heeft. Anders denkt hij dat het archief stuk is.
Tarieven bij bpost vanaf 1 januari 2026: de aantekening kost € 7,33 met zegels of vignetten en € 7,14 met een frankeermachine, een PB-nummer of Collect&Stamp, bovenop het gewone PRIOR-tarief. Een ontvangstbewijs kost € 1,64 extra. Boven 2 kg geldt een vast tarief van € 33,00, tot 10 kg. De actuele tabellen staan op de tarievenpagina van bpost.
Link per e-mail, wachtwoord per brief
Mail de link naar een beveiligde gedeelde map, zie Tresorit, en stuur het wachtwoord dezelfde dag met een gewone brief. Wie een link krijgt die niet opengaat en dagen op een brief moet wachten, vraagt het wachtwoord uiteindelijk toch per mail.
Een korte brief op briefhoofd volstaat: rolnummer, partijen, je gegevens, en het wachtwoord in een kader. Zo ziet niemand het wachtwoord voor een referentie aan.
Versleuteling die de ontvanger kan openen
Bij een drager die aangetekend verstuurd of zelf afgegeven wordt, mag je ervan uitgaan dat hij in de juiste handen belandt. Belangrijker is dat de data authentiek zijn, en dat toon je aan met de hashes in het verslag. Het wachtwoord beschermt alleen tegen meelezen. Kies dus een versleuteling die de ontvanger zeker open krijgt, want je weet zelden op welk systeem de griffie, het advocatenkantoor of de technisch raadsman werkt.
7-Zip. Versleutel het archief, niet de drager: 7z-formaat, AES-256, met de optie Bestandsnamen versleutelen aan (-mhe=on op de opdrachtregel). Zonder die optie blijft de lijst met bestandsnamen leesbaar, en die alleen vertelt al waar een zaak over gaat. 7-Zip is gratis en draait ook op oude Windows-versies. De ontvanger moet het wel hebben, en op een beheerde werkplek mag niet iedereen software installeren. Vraag het dus vooraf. Zet de hash van het archief en van de bestanden erin in het verslag.
Een gewone ZIP met wachtwoord opent Windows zonder extra software, maar die versleuteling is zwak en de bestandsnamen blijven leesbaar.
Geen BitLocker To Go. Windows versleutelt verwisselbare dragers standaard met XTS-AES 128. Windows 7 kan dat niet lezen, en Windows 8.1 alleen met de nodige update. Juist die machines draaien nog op griffies en in kleine kantoren. De beveiliging die je wint, weegt niet op tegen een drager die de ontvanger niet open krijgt.
Werkregels
Gebruik twee merken dragers. Dat is gewoon extra redundantie. Met één merk ben je afhankelijk van bijvoorbeeld een slechte batch in de productie, en dat wil je vermijden.
Maak een tweede kopie. Is een drager defect, dan val je terug op de tweede zonder alles opnieuw te moeten extraheren. Een extra stick kost enkele tientallen euro’s.
Label elke drager. Een volumelabel dat verschijnt zodra de drager aangesloten wordt, een kleur per ontvanger en een overzichtsblad dat drager en ontvanger koppelt. Zo krijgt partij A niet de kopie van partij B.
Laat de afgifte schriftelijk bevestigen. Laat op de griffie afstempelen wat je afgeeft, of laat de aangetekende zending aftekenen. Zonder dat papier kun je de levering niet aantonen.
Bewaar het wachtwoord buiten het dossier. Een wachtwoord in de dossiermap, zeker als die met de cloud synchroniseert, maakt de versleuteling zinloos. Bewaar het in een wachtwoordbeheerder of offline.
Zet het wachtwoord niet in het bestand van je brief. Dat document staat in dezelfde dossiermap als de data, en dan zitten sleutel en data toch weer samen.
Is het heel gevoelig, breng de dragers dan zelf. Noteer die keuze en waarom. Dat verantwoordt de tijd en de verplaatsingskosten in je staat van kosten.
In het verslag
Welke dragers, welke versleuteling, hoeveel kopieën, langs welk kanaal elk deel verstuurd is, en naar wie. Zet het in een tabel per ontvanger. Samen met het ontvangstbewijs van de aangetekende zending is dat je bewijs van levering.