Eén verkeerd vinkje in je low-code app kan een datalek veroorzaken

Stel: je laat een nieuwe klantportaal bouwen via Mendix. De bouwer levert netjes op, alles werkt, en jij bent blij. Wat niemand opmerkt, is dat één instelling in het configuratiescherm net even anders staat dan bedoeld. Een vinkje bij 'Openbaar toegankelijk' dat eigenlijk uit had moeten staan. Drie maanden later blijkt dat klantgegevens, offertes of interne projectdata gewoon raadpleegbaar waren voor iedereen met de juiste URL. Geen hacker nodig. Geen geavanceerde aanval. Gewoon een verkeerd vinkje.

Herken je dit scenario? Het klinkt misschien vergezocht, maar het DIVD (Dutch Institute for Vulnerability Disclosure) deed eind 2025 grootschalig onderzoek naar low-code platforms en publiceerde in februari 2026 een opvallende conclusie: meerdere applicaties op platforms als Mendix en Salesforce stonden verkeerd geconfigureerd. Groot genoeg om het Nationaal Cyber Security Centrum een officieel expertblog aan te wijden.

Waarom low-code platforms zo aantrekkelijk zijn, en waarom dat risico's oplevert

Low-code platforms zoals Mendix, Salesforce en vergelijkbare tools zijn populair in het MKB omdat ze snelheid bieden. Je hoeft geen programmeur te zijn om er een werkende applicatie mee te bouwen. Formulieren, klantportalen, interne dashboards, procesautomatisering. Het kan allemaal. En dat is precies de aantrekkingskracht.

Maar die laagdrempeligheid heeft een keerzijde. Omdat het zo toegankelijk is, worden deze platforms ook beheerd door mensen zonder diepgaande IT-securitykennis. Een handige collega die 'er wel even naar kijkt', een externe websitebouwer die snel oplevert, of een leverancier die de configuratie instelt maar nooit terugkomt voor een controle. En in die constellatie sluipen fouten binnen die grote gevolgen kunnen hebben.

Het NCSC is duidelijk in haar expertblog van september 2026: 'Misconfiguraties bieden een open deur tot gevoelige gegevens.' En Computable vatte het treffend samen: 'Een datalek hoeft niet het gevolg te zijn van een sluwe hack of een kwetsbaarheid in de software. Met name bij low-codeplatforms kan één verkeerde configuratie al genoeg zijn om gevoelige informatie openbaar te maken.'

Wat er mis kan gaan, concreet

Laten we het concreet maken met drie scenario's die ik regelmatig tegenkom bij MKB-bedrijven in Brabant.

Scenario 1: de cloudopslag die ineens openbaar is. Een medewerker maakt een map aan in SharePoint of Google Drive, deelt die met een externe partij, en vergeet nadien de rechten in te trekken. Of de instelling staat standaard op 'iedereen met de link', en niemand heeft dat ooit gecontroleerd. Documenten met klantgegevens, prijsafspraken of personeelsdossiers zijn daarmee voor buitenstaanders in te zien.

Scenario 2: de websitebouwer die een update doet. Jij besteedt je website of klantportaal uit aan een externe partij. Die voert een update door en configureert daarbij een formulierpagina verkeerd. Gegevens die klanten invullen, landing op een plek zonder adequate beveiliging. Jij krijgt een factuur, bedankt de bouwer, en weet van niets.

Scenario 3: de Salesforce-inrichting die niemand heeft nagelopen. Een CRM-implementatie door een consultant, vlak voor de deadline opgeleverd. Accessprofielen die breder zijn ingesteld dan nodig, rapportages die door niet-geautoriseerde gebruikers kunnen worden geopend. Drie jaar later heeft niemand meer zicht op wie wat kan zien.

Een klant van ons: de verscholen deeldocumenten

Een klant van ons, een adviesbureau in de regio, had al jaren gewerkt met Microsoft 365. Teams, SharePoint, OneDrive, alles in gebruik. Toen we bij hen een configuratieaudit deden, troffen we meerdere SharePoint-sites aan waarvan de toegangsrechten niet meer klopten. Oud-medewerkers hadden nog steeds toegang. Externe projectpartners die al twee jaar weg waren, konden nog steeds documenten inzien. En één site bleek als 'openbaar voor de hele organisatie' te zijn ingesteld, terwijl die HR-gerelateerde documenten bevatte.

Niemand had het door. Er was geen kwade opzet, geen hack, geen incident. Gewoon drie jaar zonder periodieke controle. De directeur schrok ervan. We hebben alles netjes opgeschoond, rechten herzien en een halfjaarcyclus ingericht voor terugkerende controles. Sindsdien slaapt hij een stuk rustiger.

De Ratho-driehoek: Mens, Proces, Techniek

Bij Ratho kijken we naar IT-beveiliging altijd via drie lagen: Mens, Proces en Techniek. Bij het probleem van low-code misconfiguraties kom je alle drie tegen.

De mens. Wie configureert jouw low-code applicaties? Heeft diegene verstand van toegangsrechten, dataclassificatie en privacyinstellingen? Veel MKB-bedrijven laten dit over aan een handige collega of een externe leverancier. Dat is begrijpelijk, maar zonder bewustzijn van de risico's gaat het vroeg of laat mis.

Het proces. Wanneer heeft iemand voor het laatst de instellingen van jullie Salesforce-omgeving, jullie SharePoint, of jullie klantportaal gecontroleerd? Als het antwoord is 'bij de implementatie', dan is dat te lang geleden. Configuraties veranderen. Gebruikers komen en gaan. Externe koppelingen worden gelegd en vergeten. Zonder een periodiek controleproces bouw je blinde vlekken op.

De techniek. De platformen zelf bieden steeds meer mogelijkheden voor monitoring en logging, maar die staan lang niet altijd standaard goed ingesteld. Als je geen zicht hebt op wie wanneer toegang heeft gehad tot welke data, kun je een lek soms pas weken later ontdekken. Of helemaal niet, totdat de Autoriteit Persoonsgegevens belt.

Jouw aansprakelijkheid onder de AVG

Hier is een punt dat veel MKB-ondernemers onderschatten. Zelfs als de fout gemaakt is door een externe leverancier, een websitebouwer, een Salesforce-implementatiepartner of je hostingbedrijf, ben jij als verwerkingsverantwoordelijke aansprakelijk onder de AVG. De casus van gemeente Meerssen illustreert dit: een fout van een externe partij leidde tot een datalek waarvoor de gemeente zelf verantwoordelijk werd gehouden.

Dat betekent dat je altijd een verwerkersovereenkomst nodig hebt met alle partijen die in naam van jou persoonsgegevens verwerken. En dat je, ook als je iets uitbesteedt, zelf verantwoordelijk blijft voor het toezicht op die uitbesteding.

Wat kun je morgen al doen?

Je hoeft niet meteen alles op zijn kop te gooien. Begin klein, maar begin wel.

Stap 1: breng in kaart welke low-code of cloudplatforms je gebruikt. Mendix, Salesforce, Microsoft 365, SharePoint, Dropbox, Google Workspace, noem het maar op. Maak gewoon een lijstje.

Stap 2: controleer de toegangsrechten. Wie heeft toegang? Heeft iedereen die toegang ook echt toegang nodig? Zijn er oud-medewerkers of oud-leveranciers in de lijst?

Stap 3: controleer of er verwerkersovereenkomsten zijn met alle externe partijen die jouw data beheren. Geen overeenkomst? Dan is dat een AVG-risico.

Stap 4: plan een configuratieaudit. Minimaal twee keer per jaar. Laat dit niet over aan de handige collega, maar aan iemand met een frisse blik en kennis van de risico's.

Stap 5: zorg voor logging en monitoring. Als je niet weet wat er in je omgeving gebeurt, zie je een lek niet aankomen.

Hoe Ratho hierin helpt

Bij Ratho bieden we IT-beheer dat meegroeit met je organisatie, van basisondersteuning tot volledige compliance-gedreven beveiliging. Configuratieaudits zijn een vast onderdeel van ons aanbod. We lopen samen met je door je Microsoft 365-omgeving, je cloudinstellingen en je externe koppelingen, en we brengen in kaart wat goed is, wat beter kan en wat urgent is.

Daarnaast helpen we je team om slimmer om te gaan met de tools die je al betaalt. Want veel MKB-bedrijven betalen voor Microsoft 365 maar gebruiken maar een fractie van de beveiligingsfuncties die er standaard inzitten. Met onze trainingen en adoptieondersteuning zorg je dat je mensen weten wat ze wel en niet mogen doen met gedeelde bestanden, externe koppelingen en cloudopslag.

En als je overweegt om naar de cloud te migreren, of al midden in een migratie zit, zorgen we dat de configuratie van meet af aan klopt. Veilig, schaalbaar en zonder onnodige verrassingen achteraf.

Veelgestelde vragen

Geldt dit risico ook voor kleine bedrijven, of alleen voor grote organisaties?

Juist bij kleine bedrijven is het risico groot, omdat er vaak minder toezicht is. Er is geen dedicated IT-securityteam, configuraties worden ingesteld bij de lancering en daarna nooit meer bekeken, en de afhankelijkheid van externe leveranciers is hoog. Het DIVD-onderzoek laat zien dat dit type fout bij uiteenlopende organisaties voorkomt, ook bij mkb'ers, stichtingen en verenigingen.

Hoe snel moet ik een datalek melden bij de Autoriteit Persoonsgegevens?

Onder de AVG ben je verplicht een datalek binnen 72 uur te melden bij de Autoriteit Persoonsgegevens, als het lek waarschijnlijk een risico oplevert voor de rechten en vrijheden van betrokkenen. Dat is een korte termijn. Zorg dus dat je weet hoe je een lek herkent en dat je intern een procedure hebt liggen voor het geval het toch misgaat.

Ik heb de IT uitbesteed. Ben ik dan niet gewoon veilig?

Uitbesteden vermindert de dagelijkse last, maar niet de verantwoordelijkheid. Als verwerkingsverantwoordelijke blijf jij aansprakelijk, ook als de fout gemaakt is door een externe leverancier. Je hebt verwerkersovereenkomsten nodig, en je moet als opdrachtgever toezicht houden op wat die leverancier doet. Een goede IT-partner legt dit transparant aan je voor.

Hoe vaak moet ik mijn configuraties controleren?

De aanbeveling van security-experts is minimaal twee keer per jaar een configuratieaudit uit te voeren. Daarnaast is het slim om bij elke grote wijziging, een nieuwe medewerker, een nieuwe externe koppeling, een platformupdate, even te controleren of de instellingen nog kloppen. Maak er een vaste check van, niet een momentopname die je een keer doet en daarna vergeet.