Is Gmail veilig en privé?

Gmail is moeilijk binnen te dringen. Google zegt dat het meer dan 99,9% van de spam, phishing-pogingen en malware blokkeert voordat die u bereiken, en een passkey of beveiligingssleutel maakt het account erg moeilijk te stelen. Daardoor is Gmail veilig tegen veel voorkomende dreigingen, maar niet noodzakelijk privé.

Beveiliging en privacy beantwoorden verschillende vragen:

• Beveiliging vraagt of een crimineel in de inbox kan komen.
• Privacy vraagt wie er nog meer kan meelezen, inclusief het bedrijf dat het beheert.

Gmail is standaard niet end-to-end versleuteld. Dat betekent dat berichten niet zodanig zijn versleuteld dat alleen u en de ontvanger ze kunnen ontsleutelen. Google heeft de sleutels voor opgeslagen berichten, verwerkt de inhoud om spamfilters te laten werken en functies zoals Smart Compose mogelijk te maken, en koppelt het account aan hetzelfde Google-profiel dat de advertentie-activiteiten van het bedrijf aandrijft. Het korte antwoord: Gmail is relatief veilig, maar het is geen privé-e-mailservice.

• Is Gmail versleuteld?
• Is Gmail veilig?
• Is Gmail privé?
• Hoe Gmail veiliger en privé te maken
• Een veiliger alternatief voor Gmail

Is Gmail versleuteld?

Ja, maar niet end-to-end. Standaard gebruikt Gmail TLS voor transport en versleuteling van opgeslagen gegevens. Zakelijke klanten met bepaalde betaalde Google Workspace-abonnementen kunnen sterkere opties toevoegen.

Versleutelingstype	Wat het beschermt	Beschikbaar op	Kan Google het bericht lezen?
TLS	E-mail die tussen e-mailservers wordt verzonden, als de andere server dit ondersteunt	Alle accounts	Ja
Versleuteling van opgeslagen gegevens	Opgeslagen e-mail, tegen gestolen drives en sommige aanvallen op de infrastructuur	Alle accounts	Ja
Gehoste S/MIME	E-mail tussen gebruikers die beiden S/MIME-certificaten hebben	Enterprise Plus, Frontline Plus en Education-abonnementen	Ja: certificaten en geheime sleutels worden geüpload naar Gmail
Versleuteling aan clientzijde (CSE)	E-mail versleuteld in de browser met sleutels die de organisatie beheert	Enterprise Plus, Frontline Plus, Education Standard en Plus	Nee, maar de organisatie kan dat wel

In persoonlijke Gmail vereist echte end-to-end versleuteling een PGP-extensie van derden, zoals Mailvelope, en de ontvanger heeft ook PGP nodig (software die de OpenPGP-standaard volgt, een open standaard voor end-to-end versleuteling).

Versleutelt de vertrouwelijke modus van Gmail e-mail?

Nee. Met de vertrouwelijke modus kan een verloopdatum worden ingesteld, de toegang worden ingetrokken, een SMS-toegangscode worden vereist en ontvangers worden verhinderd een bericht door te sturen, te kopiëren, af te drukken of te downloaden. Ontvangers kunnen nog steeds schermafbeeldingen of foto’s van e-mails maken. De vertrouwelijke modus beperkt wat de ontvanger kan doen, maar zorgt er niet voor dat het bericht privé blijft voor Google.

Is Gmail veilig?

Ja – tegen gestolen wachtwoorden, phishing, spam en malware is Gmail een van de sterkere e-mailservices die beschikbaar zijn, vooral wanneer het wachtwoord wordt vervangen door een passkey of beveiligingssleutel. Hier is waarom:

Versleuteling tijdens transport en van opgeslagen gegevens

Gmail versleutelt berichten met TLS (Transport Layer Security) terwijl ze tussen e-mailservers reizen, zodat e-mails tijdens transport beschermd zijn zolang de e-mailprovider aan de andere kant van de lijn ook TLS ondersteunt. Als u een rood, open slotpictogram naast een bericht ziet, betekent dat dat de e-mail niet versleuteld is.

Zodra de e-mail op de servers van Google aankomt, is deze versleuteld wanneer hij is opgeslagen. In het whitepaper over versleuteling(nieuw venster) van Google Workspace staat dat Gmail-berichten en bijlagen worden versleuteld met AES met een sleutel van 128-bits of sterker, die door Google wordt gegenereerd en beheerd.

Beide beschermingen houden buitenstaanders tegen, zoals iemand die een netwerkkoppeling afluistert of een harde drive uit een datacenter steelt. Omdat Google echter de sleutels heeft, behoudt het technische toegang tot e-mails. Dat is het verschil met end-to-end versleuteling, waarbij alleen de afzender en de ontvanger het bericht kunnen ontsleutelen.

Tweestapsverificatie en passkeys

Google ondersteunt tweestapsverificatie (2FA). Inloggen kan worden bevestigd met een Google-melding op de telefoon, een authenticatie-app, een passkey, een fysieke beveiligingssleutel of een code die per sms of telefoontje wordt verzonden. Verificatiecodes die per sms of telefoontje worden verzonden, zijn kwetsbaar voor aanvallen op basis van telefoonnummers, en een woordvoerder van Gmail vertelde Forbes in februari 2025(nieuw venster) dat Google “wil stoppen met het verzenden van sms-berichten voor verificatie.” Passkeys, de standaard inlogoptie van Google, zijn sterker omdat ze online aanvallen zoals phishing kunnen weerstaan.

Voor mensen met een verhoogd risico biedt Google het Advanced Protection Program. Het vereist een passkey of beveiligingssleutel om in te loggen, laat alleen Google-apps en geverifieerde apps van derden toegang krijgen tot accountgegevens en voert strengere controles uit op downloads. Dit verandert niet hoe Gmail e-mail versleutelt, dus kan Google berichten nog steeds lezen.

Bescherming tegen spam, phishing en malware

Gmail filtert inkomende e-mail automatisch. Het bedrijf zegt dat het bijna 10 miljoen spam-e-mails per minuut blokkeert, en dat een nieuwer AI-model dat eind 2024 is geïntroduceerd 20% meer spam blokkeert dan voorheen. Daarnaast doet Gmail het volgende:

• Weigert risicovolle bijlagetypen, zoals uitvoerbare bestanden, en waarschuwt voordat een gevaarlijke bijlage wordt gedownload.
• Toont waarschuwingsbanners bij verdachte berichten, onveilige inhoud en misleidende koppelingen.
• Vereist dat wie naar Gmail verzendt het domein verifieert met SPF of DKIM, via TLS verstuurt en het percentage spam onder 0,3% houdt. Afzenders die meer dan 5\u00a0000 berichten per dag verzenden, moeten ook zowel SPF als DKIM gebruiken, en daarnaast DMARC en afmelding met één klik. E-mails die niet aan deze eisen voldoen, worden geweigerd of naar de spammap gestuurd.
• Toont een geverifieerd logo (Brand Indicator for Message Identification, of BIMI), dat eruitziet als een blauw vinkje, naast merken die domein en logo hebben geverifieerd. Daardoor wordt identiteitsfraude lastiger.

Filters verminderen het risico, maar verwijderen het niet. Microsoft detecteerde ongeveer 8,3 miljard e-mailgebaseerde phishingdreigingen(nieuw venster) in het eerste kwartaal van 2026, en aanvallers hebben de eigen systemen van Google misbruikt: in april 2025 verstuurden phishers valse waarschuwingen(nieuw venster) vanaf no-reply@google.com die de verificatiecontroles van Gmail doorstonden.

De spamfilters van Gmail hebben ook uitzonderingen, en Google bepaalt wie die krijgt. Sinds september 2026 kunnen geregistreerde Amerikaanse politieke comités via het Gmail Verified Sender Program het filter omzeilen als ze vanaf geverifieerde domeinen verzenden en klachten onder 0,3% houden. Politieke e-mails die Gmail eerder als spam zou hebben tegengehouden, komen nu in de inbox terecht, en het opnieuw uitfilteren ervan is aan u.

Beveiligingsfuncties voor accounts

De accounttools van Google signaleren veel overnamepogingen al vroeg:

Beveiligingscontrole geeft gepersonaliseerde aanbevelingen, zoals het verwijderen van oude apparaten of het toevoegen van een herstelmethode.

Beveiligingsmeldingen waarschuwen u telefonisch of per e-mail als iemand op een nieuw apparaat inlogt of als een account ongebruikelijk veel e-mails verzendt. Oplichters imiteren deze meldingen: in 2024 werden nepherstelverzoeken gecombineerd met AI-stemoproepen(nieuw venster) gebruikt om accounts over te nemen. Controleer een melding door het Google-account rechtstreeks te openen in plaats van op de koppelingen erin te klikken.

Apparaatbeheer laat u elk aangemeld apparaat zien en op afstand uitloggen. Gebruik het na elk malwarealarm: in 2024 ontdekten onderzoekers(nieuw venster) infostealers die zelfs na een wachtwoordreset toegang tot Google-accounts behielden door gestolen sessietokens opnieuw te gebruiken. Google zei dat uitloggen bij de getroffen browser of het intrekken van die browser via de apparatenpagina deze toegang beëindigt.

Herstel via telefoonnummer en e-mail helpt u weer toegang te krijgen als u buitengesloten bent.

Verbeterd veilig browsen voegt extra bescherming toe tegen phishing en malware in Chrome en Gmail.

Beveiligingsincidenten en aanvallen bij Gmail

Hieronder staan enkele bekende beveiligingsincidenten bij Gmail. Let op: deze ontstonden aan de kant van de gebruiker, via phishing, malware of gelekte wachtwoorden en niet door schendingen van de systemen van Google.

• In januari 2026 vond een onderzoeker een blootgestelde database met 149 miljoen gestolen inloggegevens(nieuw venster), waarvan ongeveer 48 miljoen voor Gmail. Google zei dat de inloggegevens werden verzameld door malware op de apparaten van gebruikers zelf en niet bij Google zelf waren weggehaald.
• In augustus 2025 stalen hackers die bekendstaan als ShinyHunters gegevens uit een Salesforce-database van Google: contactgegevens en notities over kleine en middelgrote bedrijven. Er waren geen Gmail-gegevens bij betrokken.
• In juli 2025 toonden onderzoekers(nieuw venster) aan dat verborgen tekst in een e-mail ervoor kon zorgen dat de functie “Summarize this email” van Gemini een nepbeveiligingswaarschuwing weergaf.
• In april 2025 werden nepmeldingen verzonden(nieuw venster) door phishers vanaf no-reply@google.com die de verificatiecontroles van Gmail doorstonden en een koppeling bevatten naar een nepondersteuningspagina op Google Sites.
• In oktober 2024 gebruikten oplichters AI-gegenereerde stemoproepen waarbij ze zich voordeden als Google-ondersteuning(nieuw venster), samen met nepverzoeken voor accountherstel om Gmail-accounts over te nemen.
• Tussen oktober en december 2018 zorgden twee bugs in Google+ ervoor dat profielgegevens van maximaal 500 000 en daarna 52,5 miljoen gebruikers openlagen. Google sloot Google+ af en verscherpte de toegang voor derden tot Gmail.

Is Gmail privé?

Niet echt. Gmail beschermt gebruikers goed tegen buitenstaanders, maar Google zelf kan berichten inzien, verzamelt gegevens over hoe ze worden gebruikt en koppelt die gegevens aan het Google-account. Privacygerichte e-mailproviders die end-to-end- en zero-access-versleuteling gebruiken, zijn zo ontworpen dat ze dat niet kunnen.

Gmail is standaard niet end-to-end versleuteld

Om de inbox te indexeren voor zoeken en om antwoorden voor te stellen, werken de servers van Google met e-mails in leesbare vorm. Dat is alleen mogelijk omdat Google en niet de gebruiker de encryptiesleutels bezit.

Alleen betaalde Google Workspace met client-side-versleuteling bood end-to-end versleuteling. Bij end-to-end versleuteling wordt een bericht op het apparaat van de afzender versleuteld en pas op het apparaat van de ontvanger ontsleuteld. De aanbieder slaat onleesbare gegevens op waarvoor geen sleutel bestaat.

Welke gegevens verzamelt Google van Gmail-gebruikers?

Het Privacybeleid van Google geldt voor Gmail, net als voor Zoeken, Maps en YouTube, dus alle activiteit binnen die diensten draagt bij aan wat Google over u weet. Het noemt deze categorieën:

Categorie	Voorbeelden uit het privacybeleid van Google
Zaken die u aanmaakt of verstrekt	Naam, wachtwoord, telefoonnummer, betaalgegevens en inhoud, waaronder e-mails
Apps, browsers en apparaten	Unieke identificatiecodes, browser- en apparaattype, besturingssysteem, crashrapporten
IP-adres & locatie	IP-adres(nieuw venster), GPS, apparaten in de buurt en locatie die wordt afgeleid uit activiteit
Activiteit in Google-diensten	Zoekopdrachten, bekeken video’s, aankoopactiviteit en communicatie, afhankelijk van de instellingen

Vanaf oktober 2026 vermeldt het privacylabel van de Gmail-app in de iOS App Store de gegevens die worden verzameld als “Gegevens gekoppeld aan jou”, waaronder aankopen, globale locatie, contactpersonen, e-mails en andere gebruikersinhoud, zoekgeschiedenis, gebruikers- en apparaat-id’s en advertentiegegevens.

Wijzig de privacyinstellingen van Google om Web- en app-activiteit te onderbreken, gepersonaliseerde advertenties in Mijn advertentiecentrum uit te schakelen, locatietracking te stoppen en meer.

Gebruikt Google Gmail-gegevens voor advertenties?

Google zegt dat de inhoud van e-mails niet wordt gebruikt om advertenties te richten. Dat stopte in 2017, toen het zei: “Gmail-content voor consumenten wordt niet gebruikt of gescand voor enige personalisatie van advertenties.” In het Privacybeleid staat nu: “Wij tonen u geen gepersonaliseerde advertenties op basis van content uit Drive, Gmail of Foto’s.”

Ook de inbox maakt op andere manieren nog deel uit van de advertentie-activiteiten van Google. Zo toont Gmail advertenties op basis van “online activiteit terwijl u bent ingelogd bij Google”, zoals zoekopdrachten en YouTube-geschiedenis. In 2025 legde de toezichthouder voor gegevensbescherming in Frankrijk Google een boete van € 325 miljoen op(nieuw venster), deels omdat advertenties zonder toestemming tussen e-mails in de tabbladen Promoties en Sociaal werden ingevoegd. Google is in beroep gegaan en vanaf oktober 2026 is er geen uitspraak gemeld.

Gebruikt Gmail e-mails om AI te trainen?

Google zegt nee. In november 2025 vertelde een woordvoerder aan Tom’s Guide(nieuw venster): “Wij gebruiken Gmail-content niet voor het trainen van ons Gemini AI-model.”

Als u Gemini echter toestaat Gmail te lezen, volgt de e-mailinhoud die in een chat terechtkomt de regels van Gemini, waarbij Google prompts en antwoorden kan gebruiken voor AI-training terwijl Gemini-activiteit wordt opgeslagen. Chats die menselijke beoordelaars bekijken, worden tot drie jaar bewaard.

De instellingen voor slimme functies van Gmail regelen Smart Compose, pakketvolging en samenvattingskaarten. Google zegt dat als deze worden ingeschakeld: “wij kunnen Workspace-content en -activiteit ook verwerken om deze functies te verbeteren.” Gemini uitschakelen in Gmail schakelt echter ook andere handige AI-functies uit, zoals inboxcategorieën en Smart Reply.

Gmail-rechtszaken en privacyovertredingen

Google is herhaaldelijk beboet en aangeklaagd over de manier waarop het gegevens van Gmail-gebruikers verwerkt. Hieronder staan enkele voorbeelden:

• In november 2025 beweerde Thele v. Google(nieuw venster) dat Google Gemini zonder toestemming had ingeschakeld voor Gmail, Chat en Meet. Een rechter wees de klacht in juli 2026 af met de mogelijkheid deze te wijzigen, en een gewijzigde klacht is nog in behandeling.
• In september 2025 legde CNIL Google een boete van € 325 miljoen op(nieuw venster) voor het tonen van advertenties tussen e-mails in de tabbladen Promoties en Sociaal van Gmail zonder toestemming en voor cookies die bij het aanmaken van een account werden geplaatst. Volgens CNIL hebben 53 miljoen mensen de advertenties gezien. Google is in beroep gegaan.
• In juli 2018 meldde(nieuw venster) The Wall Street Journal dat medewerkers van e-mailapps van derden Gmail-berichten van gebruikers hadden gelezen. Google reageerde dat “niemand bij Google uw Gmail leest”, behalve met toestemming of voor de beveiliging, en dat gebruikers die apps toegang verlenen. Later in oktober beperkte Google de Gmail-API-toegang tot apps die “e-mailfunctionaliteit direct verbeteren”.
• In 2013 en 2014 klaagden gebruikers Gmail aan wegens het scannen van e-mailinhoud om advertenties te richten(nieuw venster). De collectieve actie mislukte en de meeste eisers schikten individueel. Google stopte in 2017 met het scannen voor advertenties.

Gmail veiliger en privé maken

Deze stappen maken het veel moeilijker om een account over te nemen en verminderen wat Google verzamelt. Geen van deze stappen belet Google om toegang te krijgen tot berichten.

1. Gebruik een Passkey of beveiligingssleutel. Stel er een in via het Google-account onder Beveiliging. Passkeys bieden meer bescherming tegen phishing dan wachtwoorden en sms-codes.
2. Schakel tweestapsverificatie in en kies bij voorkeur voor Google-meldingen of een authenticator-app boven sms-berichten.
3. Gebruik een uniek wachtwoord dat is gegenereerd door een wachtwoordbeheerder, zodat een lek bij een andere website Gmail niet kan ontgrendelen.
4. Controleer uw apparaten en log uit op apparaten die u niet herkent.
5. Verwijder apps van derden die u niet meer gebruikt uit de lijst met gekoppelde apps van het account, vooral apps die toestemming hebben om e-mails te lezen.
6. Voer een beveiligingscontrole uit en voeg een telefoonnummer en e-mailadres voor herstel toe waarover u zelf beschikt.
7. Schakel Smart-functies uit in de Gmail-instellingen als u niet wilt dat Google e-mails verwerkt voor Smart Compose, samenvattingskaarten en functies die meerdere producten omvatten, en controleer het activiteitsbeheer in de instellingen voor Gegevens en privacy van het Google-account.
8. Leer phishing herkennen. Wees achterdochtig bij dringende beveiligingswaarschuwingen, ook als die van Google lijken te komen.
9. Verzend geen zeer gevoelige informatie. Gebruik hiervoor privé en beveiligde e-mail.

Een meer privé en veiliger alternatief voor Gmail

Als u op zoek bent naar een veiliger en meer privé Gmail-alternatief, let dan op een dienst met ingebouwde end-to-end versleuteling en zero-access-versleuteling. Proton Mail biedt beide, samen met de dagelijkse functies die u van Gmail gewend bent, bij zowel gratis als betaalde abonnementen.

E-mails die u verzendt naar andere Proton-gebruikers of naar ontvangers die PGP gebruiken, zijn end-to-end versleuteld, inclusief de berichtinhoud en bijlagen. Voor andere gevallen kunt u wachtwoordbeveiliging toevoegen. Zo kunnen alleen u en de persoon aan wie u schrijft die e-mails lezen. Bij een onwaarschijnlijke schending van de servers van Proton blijft de inhoud van de e-mail beschermd. Hetzelfde geldt als Proton een gerechtelijk bevel ontvangt.

Proton wordt gefinancierd door abonnementen en niet door gegevens over u. Er worden nooit advertenties getoond, u wordt niet gevolgd, gegevens worden niet verkocht en ze worden ook niet gebruikt voor AI-training. Net als alle Proton-apps wordt Proton Mail beschermd door de Zwitserse privacywetgeving, een van de sterkste ter wereld.

U kunt met Easy Switch overstappen van Google. Hiermee worden Gmail-berichten, contacten en agenda’s geïmporteerd, worden nieuwe e-mails doorgestuurd naar Proton Mail en kunt u blijven verzenden vanaf het Gmail-adres terwijl u went aan de nieuwe inbox. Wanneer u klaar bent om Google definitief achter u te laten, kunt u de volledige overstap maken en het Gmail-account verwijderen, een belangrijke stap naar het deGoogelen van uw leven.