De gemeente Epe werd in 2023 getroffen door een hack. Nu blijkt dat een onbeveiligd noodaccount de zwakke plek was. Het account had ruime rechten en geen extra beveiliging met multifactorauthenticatie. De uitkomst raakt ook aan AVG-verplichtingen en legt druk op gemeenten om hun digitale weerbaarheid te versterken.
Noodaccount miste MFA
Onderzoek na het incident laat zien dat een noodaccount zonder multifactorauthenticatie (MFA) de aanval mogelijk maakte. MFA is een extra controle naast het wachtwoord, zoals een code op de telefoon. Door het ontbreken van MFA en strakke toegangsregels kreeg de aanvaller snel meer macht in het netwerk. Zo werd het noodaccount de achilleshiel van de omgeving.
Een noodaccount is een extra beheerdersaccount voor noodgevallen. Het hoort alleen te worden gebruikt als andere inlogmethoden uitvallen. Omdat het uitzonderingen toestaat, moet het extra streng zijn beveiligd.
In veel organisaties is zo’n ‘break-glass’-account bedoeld voor calamiteiten. Het mag dan niet worden geblokkeerd door normale regels, maar moet wél zwaar worden beschermd. Denk aan uniek beheer, fysieke opslag van inloggegevens en duidelijke procedures. Zonder die waarborgen wordt een redmiddel een risico.
Het incident in Epe past in een bekend patroon: identiteiten zijn het nieuwe aanvalsdoel. Aanvallers zoeken zwakke accounts met veel rechten, liefst zonder MFA. Als dat lukt, kunnen zij zich stil verplaatsen en meer systemen overnemen. Dit onderstreept dat identiteitsbeveiliging de eerste verdedigingslinie is.
Meldplicht en AVG-risico’s
Omdat gemeentelijke systemen persoonsgegevens verwerken, kan een hack snel een datalek zijn onder de AVG. Overheden moeten zo’n lek binnen 72 uur melden bij de Autoriteit Persoonsgegevens en betrokken inwoners informeren. Versleuteling en dataminimalisatie beperken de schade, maar nemen de meldplicht niet altijd weg. Transparantie naar burgers blijft verplicht.
De AVG vraagt om passende technische en organisatorische maatregelen. Concreet gaat het om sterke authenticatie, het beperken van rechten en goed loggen van toegang. Als deze basis op orde is, is misbruik eerder zichtbaar en sneller te stoppen. Dat verkleint ook de juridische en financiële risico’s.
Boetes zijn niet het enige risico voor een gemeente. Uitval van digitale dienstverlening schaadt vertrouwen en kost veel herstelcapaciteit. Denk aan uitkeringen, vergunningen en baliediensten die tijdelijk niet doorlopen. Een robuuste beveiliging is daarom ook continuïteitsbeleid.
BIO en NIS2 vergen meer
Gemeenten vallen onder de Baseline Informatiebeveiliging Overheid (BIO). Die eist risicogestuurde maatregelen, waaronder sterke authenticatie voor beheerders. Een onbeveiligd noodaccount past daar niet bij. Het incident laat zien dat naleving meer moet zijn dan beleid op papier.
De Informatiebeveiligingsdienst (IBD) voor gemeenten biedt richtlijnen en praktijkkaarten. Daarin staan concrete maatregelen voor identiteiten, logging en incidentrespons. Het advies is helder: minimaliseer uitzonderingen en beperk machtige accounts. Test procedures geregeld met oefeningen.
Met NIS2 worden de eisen strenger en het toezicht strakker, ook voor publieke diensten. Nederland werkt op het moment van schrijven aan de implementatie daarvan in nationale wetgeving. Verwacht worden zwaardere eisen rond identity & access management, rapportage en bestuurdersverantwoordelijkheid. Gemeenten doen er goed aan nu al op dat niveau te handelen.
Identiteiten centraal beveiligen
Begin bij het principe ‘least privilege’: geef alleen de rechten die echt nodig zijn. Beheeraccounts horen kort te bestaan en alleen actief te zijn als dat nodig is. Dit heet just-in-time-toegang en beperkt blijvende macht. Combineer dit met strenge goedkeuring en logging.
Verplicht MFA voor alle accounts, zonder uitzonderingen voor beheer. Gebruik waar mogelijk phishingbestendige methoden, zoals een hardwaretoken. Zorg dat noodtoegang alleen via een gecontroleerde procedure kan. Leg vast wie dit mag doen en wanneer.
Maak zichtbaarheid een prioriteit met centraal loggen en alarmering. Een SIEM, een systeem dat beveiligingslogboeken verzamelt en analyseert, helpt verdachte patronen snel te zien. Zet waarschuwingen op mislukte aanmeldingen, nieuwe adminrollen en uitschakelen van beveiliging. Reageer direct met een geoefend incidentplan.
Praktische stappen voor gemeenten
Voer een snelle identiteitsaudit uit: inventariseer alle beheeraccounts, noodaccounts en uitzonderingen. Schakel wat overbodig is uit en borg de rest met MFA, sterke wachtwoorden en monitoring. Beperk toegang tot kritieke systemen met netwerksegmentatie. Test herstel met offline, immu(ta)bele back-ups.
Leg verantwoordelijkheden vast bij bestuur en lijnmanagement. Security is geen alleen-domein van ICT, maar een organisatiebreed risico. Koppel doelen aan de BIO en de aankomende NIS2-eisen. Rapporteer periodiek over voortgang en openstaande risico’s.
Werk ook aan leveranciersbeveiliging. Externe toegang moet via versleutelde verbindingen en MFA, met beperkte rechten. Leg in contracten eisen vast, zoals BIO-conformiteit of ISO 27001. Controleer dit met audits en toegangsrapportages.
