Is WhatsApp veilig?

Op basis van de eigen hulppagina’s en het privacybeleid van WhatsApp:

• Persoonlijke chats, groepschats en oproepen: standaard end-to-end versleuteld. Zelfs WhatsApp kan ze niet lezen.
• Chatback-ups in iCloud of Google Drive: alleen end-to-end versleuteld als je dat aanzet.
• Chats met bedrijven die de hosting van Meta gebruiken: niet end-to-end versleuteld, zoals WhatsApp zelf zegt.
• Je telefoonnummer: altijd nodig om je aan te melden, en zo vinden en zien mensen je.

Voor gewoon dagelijks chatten zit de versleuteling van WhatsApp dus goed in elkaar. De gaten zitten aan de randen, en die mis je makkelijk.

Ja. WhatsApp gebruikt het Signal Protocol, hetzelfde als Signal en Morse. In de woorden van WhatsApp zelf gebeurt dat allemaal automatisch, zonder dat je speciale instellingen hoeft aan te zetten. Dat geldt voor je berichten, foto’s, video’s, spraakberichten en oproepen, in één-op-één-chats en in groepen.

Het werkt ook op gekoppelde apparaten, zoals WhatsApp op je laptop: elk apparaat maakt zelf verbinding en houdt de chats end-to-end versleuteld. Maar end-to-end versleuteling dekt alleen de reis tussen apparaten. Zoals de afbeelding hieronder laat zien, reikt die niet tot overal waar je berichten terecht kunnen komen.

Benieuwd hoe dat op slot doen zelf werkt? Lees hoe end-to-end versleuteling werkt.

Spraak- en videogesprekken via WhatsApp zijn end-to-end versleuteld, dus niemand kan onderweg meeluisteren, ook WhatsApp niet.

Maar versleuteling beschermt het gesprek alleen terwijl het onderweg is. Iedereen die aan het gesprek deelneemt, kan het nog steeds opnemen met een andere app of een tweede apparaat, en geen enkele berichtenapp kan dat tegenhouden. Hetzelfde geldt voor screenshots van je chats. Versleuteling beschermt je tegen buitenstaanders, niet tegen de mensen met wie je praat.

Dit is het grootste gat. WhatsApp kan een back-up van je chatgeschiedenis maken in iCloud op een iPhone of in Google Drive op Android. Standaard zijn die back-ups niet beschermd door de end-to-end versleuteling van WhatsApp. Ze staan in je Apple- of Google-account, en worden in plaats daarvan beschermd door de beveiliging van dat bedrijf.

Een bericht dat onderweg naar jou end-to-end versleuteld was, kan dus terechtkomen in een back-up die dat niet is. Komt iemand in je Apple- of Google-account, dan kan je chatgeschiedenis binnen bereik liggen. De oplossing is een instelling die end-to-end versleutelde back-up heet, en die zet je in ongeveer een minuut aan.

Zo doe je dat, volgens de hulppagina’s van WhatsApp:

1. 1Open Instellingen in WhatsApp en tik op Chats en daarna op Chatback-up.
2. 2Tik op End-to-end versleutelde back-up.
3. 3Kies of je een toegangssleutel (passkey) wilt gebruiken, of kies via de extra opties een wachtwoord of een versleutelingssleutel van 64 cijfers.
4. 4Maak de back-up aan. Bewaar dat wachtwoord of die sleutel op een veilige plek, want die heb je nodig om je chats terug te zetten.

Vanaf dat moment zitten je back-ups op slot met iets wat alleen jij hebt, net als je chats.

Meestal werkt chatten met een bedrijf net als chatten met een vriend. Maar sommige bedrijven gebruiken de hostingdienst van Meta om hun WhatsApp-chats af te handelen, en WhatsApp zegt dat het die chats niet als end-to-end versleuteld beschouwt.

Je kunt ze herkennen: WhatsApp toont dan in de chat een melding dat het bedrijf een beveiligde dienst van Meta gebruikt om de chat te beheren. Zie je die melding, ga er dan van uit dat de chat niet privé is tussen alleen jou en het bedrijf.

Je gewone chats niet. WhatsApp zegt dat Meta AI alleen berichten kan lezen die je ernaar stuurt, berichten waarin @MetaAI wordt genoemd, en berichten die je er zelf mee deelt. Je andere persoonlijke chats blijven end-to-end versleuteld.

Voor functies zoals samenvattingen van berichten zegt WhatsApp een systeem te gebruiken dat Private Processing heet, zo gebouwd dat Meta niet kan lezen wat je deelt. Houd er toch rekening mee dat alles wat je aan Meta AI zelf typt een gesprek met Meta is, en geen end-to-end versleutelde chat met een vriend.

De versleuteling zelf is heel moeilijk te kraken. De meeste “hacks” bij WhatsApp gaan er juist omheen, en meestal beginnen ze met een bericht. De meest voorkomende trucs:

• Een bericht van een “oude vriend” of van “WhatsApp-support” die je vraagt de zescijferige code door te sturen die je net hebt gekregen. Met die code kan iemand jouw nummer op zijn eigen telefoon registreren.
• “Hoi mam, ik ben mijn telefoon kwijt, dit is mijn nieuwe nummer”, gevolgd door een dringend verzoek om geld.
• Een link naar een nep-inlogpagina of een nepprijs, gemaakt om eruit te zien alsof hij van WhatsApp komt.
• Een simswap, waarbij iemand je provider overhaalt om je nummer naar zijn eigen simkaart over te zetten.

In al die gevallen kraakt niemand de versleuteling. In plaats daarvan kapen ze het account, of misleiden ze de persoon. Daarom zijn de instellingen hieronder zo belangrijk: verificatie in twee stappen alleen al houdt de meeste accountovernames tegen, omdat een gestolen code dan niet meer genoeg is.

Het is ook een van de redenen dat Morse zonder telefoonnummer werkt: er zijn geen sms-codes om te stelen en geen simswap om je zorgen over te maken.

Ja, als iemand een minuutje je ontgrendelde telefoon in handen krijgt. Met WhatsApp kun je een computer koppelen door een QR-code te scannen, dus iemand met jouw telefoon kan zijn eigen laptop koppelen en vanaf dan meelezen.

De oplossing is simpel: open af en toe Gekoppelde apparaten in de instellingen van WhatsApp, en log alles uit wat je niet herkent. Zet je daarbij ook een vergrendeling op de app zelf, dan is deze deur dicht.

Je berichten kunnen onderweg niet worden gelezen. Maar WhatsApp verzamelt wel informatie eromheen. Het privacybeleid noemt dingen als informatie over je activiteit in de app, je IP-adres en apparaat-ID’s, en zegt dat WhatsApp je IP-adres en het netnummer van je telefoonnummer gebruikt om je algemene locatie te schatten, zoals je stad en land.

WhatsApp zegt ook dat het je berichten normaal gesproken niet op zijn servers bewaart: ze worden op je apparaat opgeslagen. De inhoud is dus beschermd, terwijl informatie over hoe en wanneer je de app gebruikt niet onder de versleuteling valt. Dat bedoelen mensen met metadata.

Ja. Gewone sms-berichten zijn niet end-to-end versleuteld. Ze gaan via je provider in een vorm die de provider kan lezen, en ze zijn per definitie aan je telefoonnummer gekoppeld.

WhatsApp-berichten zijn end-to-end versleuteld, dus alleen jij en de ander kunnen ze lezen. Twijfel je tussen een sms en WhatsApp voor iets persoonlijks, dan is WhatsApp de betere keuze, en een app die ook je nummer niet nodig heeft, is nog beter.

Nee. Je hebt een telefoonnummer nodig om een WhatsApp-account aan te maken. WhatsApp kondigde in juni 2026 gebruikersnamen aan en voert ze stap voor stap in, zodat je met mensen kunt chatten zonder je nummer te geven. Maar het account zelf begint nog steeds met een telefoonnummer, en mensen die je nummer al hebben opgeslagen, zien het nog steeds.

Wil je je berichten liever helemaal niet aan een telefoonnummer koppelen, kijk dan eens naar berichten sturen zonder telefoonnummer.

Blijf je bij WhatsApp, dan zijn deze een paar minuten van je tijd waard:

• Zet verificatie in twee stappen aan, zodat een gestolen sms-code niet genoeg is om je account over te nemen.
• Zet end-to-end versleutelde back-up aan, zoals hierboven beschreven.
• Vergrendel de app en losse chats met de vingerafdruk of gezichtsherkenning van je telefoon, zodat een geleende telefoon je chats niet opent.
• Loop met de privacycheck van WhatsApp na wie je profielfoto, laatst gezien en meer kan zien.
• Loop je meer risico, bijvoorbeeld als journalist, kijk dan naar de strikte accountinstellingen van WhatsApp.

Zo verhouden de standaardinstellingen van WhatsApp zich tot de andere apps waar mensen vaak aan denken:

WhatsApp heeft één groot ding goed gedaan: standaard end-to-end versleuteling. Morse doet dat ook, voor elke chat, groep en foto, elk spraakbericht en elke één-op-één-oproep, met hetzelfde Signal Protocol, en daarbovenop post-quantum sleuteluitwisseling (ML-KEM).

Waar Morse verschilt, is alles eromheen. Je hebt geen telefoonnummer of e-mailadres nodig om je aan te melden: je krijgt een korte Morse ID, en jij bepaalt wie die krijgt. Er zijn geen advertenties, want Morse wordt betaald door de mensen die het gebruiken. En er is geen sms-code die iemand je kan ontfutselen.

Benieuwd hoe ze zich in detail tot elkaar verhouden? Hier zie je WhatsApp vs Morse, naast elkaar.