AIVD: je slimme auto kan een spion zijn. Zo bescherm je jezelf

Op 30 september 2026 publiceerde de AIVD een korte brochure met een opvallende titel: De moderne auto als mogelijke spion. De boodschap: microfoons, camera's, navigatie en de internetverbinding van een moderne auto verzamelen veel gegevens over wie erin zit en wat er rondom gebeurt. Volgens de dienst kunnen kwaadwillenden, waaronder andere staten, daar zeer waarschijnlijk bij. Het advies is vooral bedoeld voor mensen met gevoelige functies, maar de AIVD zegt er zelf bij dat iedere automobilist er iets aan heeft.

In dit artikel lees je wat er echt in de brochure staat, wat er in de berichtgeving bij is verzonnen, hoe groot het risico voor een gewone automobilist is en welke tien maatregelen je vandaag nog kunt nemen. Met extra aandacht voor een privacyval die bijna iedereen vergeet: het kopen en verkopen van een tweedehands auto.

Ga bewust om met spionagerisico's die gepaard gaan met moderne voertuigen. (AIVD, september 2026)

Wat de AIVD precies zegt

De brochure is drie pagina's lang en nuchter van toon. De kern: een moderne auto verzamelt automatisch en ongemerkt data over de inzittenden, over het voertuig zelf en over personen en objecten in de nabije omgeving. Als bestuurder heb je daar volgens de AIVD vaak geen grip op.

Wie kan bij die gegevens? Niet alleen de fabrikant. De AIVD noemt ook dealers, lease- en onderhoudsbedrijven, app-ontwikkelaars, producenten van onderdelen en clouddiensten. Daarnaast hebben kwaadwillenden er interesse in en, in de woorden van de dienst, 'zeer waarschijnlijk ook toegangsmogelijkheden'. Sommige staten kunnen de data bij bedrijven opvragen of zelf hacken. Voor gewone cybercriminelen zijn de gegevens interessant om te gijzelen of te verkopen.

Wat er niet in staat: een land of een automerk. In internationale media en op sociale media werd de waarschuwing snel gelezen als een waarschuwing tegen Chinese auto's. De AIVD zelf noemt geen enkel land en geen enkele fabrikant. De risico's die de dienst beschrijft gelden voor elke auto met microfoons, camera's en een internetverbinding, ongeacht waar hij gebouwd is.

Voor wie is deze waarschuwing bedoeld?

De adviezen zijn in de eerste plaats gericht aan hoogwaardigheidsbekleders, mensen met sleutelfuncties in het bedrijfsleven of bij de overheid en anderen die over gevoelige informatie beschikken. Hun gesprekken en reisbewegingen zijn interessant voor buitenlandse inlichtingendiensten.

Maar de AIVD schrijft er uitdrukkelijk bij dat de adviezen 'mensen daarbuiten ook handvatten' geven om bewust om te gaan met de brede dataverzameling door auto's, en om 'zichzelf van de automatische piloot af te halen'. Ook belangrijk: niet elk advies past bij elke situatie. Weeg per situatie af wat nodig is.

Betekent dit dat je auto je nu afluistert? Nee. De AIVD beschrijft wat technisch mogelijk is, niet dat gewone automobilisten massaal worden afgeluisterd. Voor de meeste mensen zit het realistische risico ergens anders: in commerciële dataverzameling, datalekken en een app-account dat in verkeerde handen valt.

De zeven systemen waar het risico zit

De AIVD noemt zeven 'risicovolle systemen'. Per systeem lees je hieronder wat de dienst zegt en welk advies erbij hoort.

1. Microfoons

Veel auto's hebben meerdere microfoons: voor handsfree bellen, spraakbediening en de noodoproep (eCall). Volgens de AIVD is het technisch mogelijk om die op afstand in te schakelen. Advies: voer geen vertrouwelijke gesprekken in of rondom de auto.

2. Camera's

Moderne auto's hebben camera's binnen en buiten: achteruitrijcamera's, 360-gradencamera's, bewakingsmodi die de omgeving filmen als de auto geparkeerd staat en camera's die de bestuurder in de gaten houden. Ook die kunnen technisch op afstand worden ingeschakeld. Advies: wees je bewust van wat de camera kan zien, en rij niet met een auto met externe camera naar een gevoelige locatie.

3. Je telefoon koppelen

Bluetooth, wifi, een USB-kabel en de draadloze oplader zijn allemaal verbindingen tussen je telefoon en de auto. Via elk daarvan kan een kwaadwillende volgens de AIVD bij de systemen van de auto komen, of vanuit de auto bij de gegevens op je telefoon. Advies: vermijd automatisch verbinden via Bluetooth of wifi, gebruik geen draadloos laden en sluit je telefoon niet zomaar aan op USB, maar gebruik een datablocker.

4. Het infotainmentsysteem

Het scherm in het dashboard is het centrale punt waar de auto data verzamelt en opslaat. Denk aan de unieke nummers van gekoppelde apparaten, je contacten, internetverkeer, verstuurde berichten en navigatiegegevens. Een deel daarvan gaat door naar de fabrikant en andere partijen. Advies: wees terughoudend met het invullen van je thuisadres of het adres van een gevoelige locatie, en weeg per rit af of je de ingebouwde navigatie gebruikt.

5. GPS en track-and-trace

Fabrikanten gebruiken deze systemen om een auto live te volgen en ritten te registreren. Kwaadwillenden kunnen die live-locatie technisch ook volgen.

6. De telematicamodule

Dit is het ingebouwde 'modem' van de auto. Het heeft altijd internet, voor fileinformatie, locatiegegevens en software-updates, en deelt via die weg voertuigdata met de fabrikant.

7. Laadpalen

Bij elektrische auto's wisselt de laadpaal data uit over het voertuig dat eraan hangt.

Voor de laatste drie systemen is de AIVD opvallend eerlijk: 'Risico's vanuit deze systemen zijn niet te voorkomen met techniek of door gedrag.' Het enige advies is afwegen of je voor een bepaalde rit deze auto wel wilt gebruiken.

Zo bescherm je jezelf: tien maatregelen

De eerste vier komen rechtstreeks uit de brochure. De rest is ons advies voor iedereen die meer grip wil op zijn autodata, ook als je geen minister bent.

1. Houd gevoelige gesprekken buiten de auto. Niet in de auto en ook niet ernaast. Een privégesprek over geld, gezondheid of werk voer je beter thuis of tijdens een wandeling.
2. Zet automatisch verbinden uit. Schakel automatisch koppelen via Bluetooth en wifi uit, en verwijder in het menu oude telefoons die je niet (meer) kent.
3. Laad bedraad, met een datablocker. Een datablocker is een klein USB-tussenstuk dat alleen stroom doorlaat en de datalijnen blokkeert. Het kost een paar euro. Een kabel die alleen kan laden werkt ook. Laat de draadloze oplader ongebruikt.
4. Zet je thuisadres niet als 'Thuis' in de auto. Navigeer liever met je telefoon in een houder, zonder hem aan de auto te koppelen. Dan blijven je bestemmingen niet in het geheugen van de auto staan.
5. Loop de privacyinstellingen na. Veel auto's en apps hebben een privacymodus of laten je locatiedeling, spraakopnames en het delen van rijgedrag uitzetten. Kijk in het menu van de auto én in de app van de fabrikant.
6. Beveilig je account bij de fabrikant. De app van je auto is in feite een tweede sleutel: hij kan de auto vinden, openen en soms starten. Gebruik een uniek wachtwoord en zet tweestapsverificatie aan als dat kan.
7. Installeer updates. Software-updates dichten beveiligingslekken. Sinds juli 2024 moeten alle nieuwe auto's in de EU een goedgekeurd systeem hebben om zulke lekken te beheren en updates veilig te verspreiden.
8. Gebruik je recht op inzage. Onder de AVG mag je de fabrikant vragen welke gegevens hij over jou heeft, waar ze naartoe gaan en hoe lang ze bewaard worden. Het bedrijf moet binnen een maand antwoorden. Je kunt ook vragen om gegevens te wissen. De Autoriteit Persoonsgegevens heeft daar een voorbeeldbrief voor.
9. Zet bewakingscamera's bewust aan. Een bewakingsmodus die de omgeving filmt is handig tegen schade en inbraak, maar filmt ook iedereen die langsloopt. Zet hem uit op plekken waar je dat niet wilt.
10. Wis alles als de auto van eigenaar wisselt. Hierover meer in de volgende paragraaf, want dit is de stap die het vaakst wordt overgeslagen.

Wil je ook je auto zelf beter beschermen tegen diefstal? Lees dan hoe relay-aanvallen op keyless auto's werken of bekijk onze tips op de beschermingspagina.

De vergeten privacyval: tweedehands kopen en verkopen

Een auto gaat gemiddeld door meerdere handen. Elke vorige eigenaar, leasemaatschappij of verhuurder kan sporen hebben achtergelaten: gekoppelde telefoons, opgeslagen adressen en, het belangrijkste, een app-account dat nog aan de auto hangt.

Dat is geen theorie. In de Verenigde Staten kon een man die zijn Ford Escape had ingeruild via de FordPass-app nog steeds zien waar de auto stond, hoeveel kilometer ermee gereden was en wat de bandenspanning was. Al in 2017 liet een beveiligingsonderzoeker van IBM zien dat hij zijn oude auto jaren na de verkoop nog via een app kon bedienen. Bij sommige merken kan alleen de fabrikant of de dealer een oude gebruiker verwijderen.

Verkoop je je auto?

• Verwijder de auto uit je account in de app of op de website van de fabrikant, en zeg eventuele connected-diensten op.
• Zet het infotainmentsysteem terug naar fabrieksinstellingen. Dat wist gekoppelde telefoons, contacten, adressen en wifinetwerken.
• Ontkoppel extra's zoals de garagedeuropener, tolbadges en laadpassen.
• Controleer daarna in je app dat de auto echt verdwenen is.

Koop je een tweedehands auto?

• Vraag de verkoper om te bevestigen dat de auto uit zijn app-account is verwijderd.
• Kijk in het menu welke telefoons en accounts nog gekoppeld zijn, en verwijder ze.
• Registreer de auto zo snel mogelijk op je eigen account. Bij een aantal merken vervalt de toegang van de vorige eigenaar pas op dat moment.
• Lukt het niet? Neem contact op met de dealer of de fabrikant en laat de oude gebruiker verwijderen.

Check bij een tweedehands auto natuurlijk ook de auto zelf: of hij als gestolen staat geregistreerd, of de tellerstand klopt en of de gegevens overeenkomen met het RDW-register. Onze checklist voor een tweedehands auto loopt alle stappen door.

Wat regelt de wet?

Een deel van de sensoren in je auto is verplicht. Sinds 31 maart 2018 moeten nieuwe automodellen in de EU eCall hebben, het systeem dat na een zwaar ongeluk automatisch 112 belt, met een microfoon en een luidspreker. De Europese regels schrijven voor dat eCall in normaal gebruik slaapt en de auto niet volgt. Vanaf juli 2026 moet bovendien elke nieuw geregistreerde auto een systeem hebben dat waarschuwt als de bestuurder afgeleid is. In de praktijk gebeurt dat met een camera die op de bestuurder gericht is.

Tegelijk zijn de beveiligingseisen strenger geworden. Sinds juli 2024 moet elke nieuwe auto in de EU voldoen aan de VN-regels R155 en R156: de fabrikant moet aantonen dat hij cyberrisico's beheert gedurende de hele levensduur van de auto, en dat software-updates veilig verlopen. Een aantal oudere modellen verdween daardoor uit de showroom.

Andere landen gaan verder. De Verenigde Staten verbieden vanaf modeljaar 2027 software voor verbonden auto's van bedrijven met banden met China of Rusland, en vanaf modeljaar 2030 ook de hardware. Volgens Brussels Signal weren sommige Duitse militaire terreinen Chinese automerken. Nederland en de EU kennen zo'n verbod niet.

Hoe groot is het risico voor jou?

Voor een minister, een topbestuurder of iemand met staatsgeheimen is de waarschuwing letterlijk bedoeld. Voor die groep kan het verstandig zijn om voor gevoelige afspraken een andere auto, een taxi of het openbaar vervoer te kiezen.

Voor de meeste mensen is de kans klein dat een buitenlandse dienst meeluistert. Het grotere en reëlere risico is alledaags: hoeveel data de auto verzamelt en met wie die gedeeld wordt. Toen de Mozilla Foundation in 2023 de privacyvoorwaarden van 25 automerken onderzocht, zakte elk merk voor de test. Auto's waren volgens Mozilla de slechtste productcategorie die de organisatie ooit had beoordeeld. Daar komen datalekken bij, en een app-account van een vorige eigenaar of een ex-partner dat nog toegang heeft.

Het goede nieuws: de maatregelen die tegen spionage helpen, beschermen je ook tegen al die gewone risico's. Daarom is de AIVD-brochure de moeite waard, ook als je nooit een staatsgeheim in de auto bespreekt.

Bronnen: AIVD, 'De moderne auto als mogelijke spion. Digitale dreigingen in slimme voertuigen' (brochure, 30 september 2026) en de themapagina 'Spionagerisico's en moderne voertuigen' (aivd.nl); Security.NL en Brussels Signal (30 september 2026); Mozilla Foundation, Privacy Not Included, auto's (september 2023); U.S. Bureau of Industry and Security, regel voor verbonden voertuigen (januari 2025); Verordening (EU) 2015/758 (eCall) en (EU) 2019/2144 (algemene veiligheid); VN-reglementen R155 en R156; WGME en Engadget over app-toegang van vorige eigenaren. Stand van zaken: 11 oktober 2026.