Weten dat een adres in een datalek is opgedoken kost niets en verandert niets: het geldt voor bijna iedereen. De vraag die uw verantwoordelijkheid raakt is tweeledig: opent dit lek nog een deur bij u, en wie moet u waarschuwen, binnen welke termijn.
Een lek van inloggegevens is geen op zichzelf staande gebeurtenis bij u: het is een wereldwijde stroom. Als orde van grootte: de openbare referentie van het vakgebied indexeerde in november 2025 in één enkele handeling 1 957 476 021 unieke adressen (cijfer gepubliceerd door Have I Been Pwned).
Praktische conclusie: de aanwezigheid van uw domeinnaam in een lek is waarschijnlijk, en op zichzelf geen bruikbare informatie. Wat telt is wat erop volgt.
Geen van deze drie antwoorden staat in een lekdatabase. Ze worden met uw toestemming binnen uw directory of uw tenant gelezen.
Deze procedure volgt de AVG, artikelen 33 en 34. Officiële tekst. Zij vervangt geen juridisch advies: wij zijn auditors, geen advocaten. Officiële bronnen: Verordening (EU) 2016/679, artikelen 33 en 34 (EUR-Lex); richtsnoeren 9/2022 van de EDPB; CNIL: schendingen van persoonsgegevens; CNIL: een schending melden; Richtlijn (EU) 2022/2555, artikel 23 (EUR-Lex).
De bevoegde gegevensbeschermingsautoriteit voor 30 landen van de Europese Economische Ruimte. Zevenentwintig regels zijn afzonderlijk geverifieerd tegen de officiële ledenlijst van het Europees Comité voor gegevensbescherming en dragen de link naar die bron; voor Liechtenstein is de bron de website van de autoriteit zelf; voor IJsland en Luxemburg is de verificatie niet gepubliceerd: controleer de autoriteit op de lijst van het Comité voordat u een melding doet.
Een ontbrekende regel betekent dat wij haar niet konden verifiëren, niet dat zij niet bestaat. Wij verkiezen een kortere tabel boven een onjuistere.
8 openbare bronnen beschrijven wat een aanvaller van u ziet voordat hij binnenkomt: certificaatlogboeken, DNS- en mailrecords, blootgestelde diensten, gelijkende domeinnamen, codepublicaties, geïndexeerde documenten.
Daar liggen de drie antwoorden die tellen. Wij auditen Microsoft 365 en Active Directory vanaf uw eigen werkplek, alleen-lezen, en leggen wat het lek aankondigt naast de werkelijke staat van uw accounts.
De motor die deze 8 bronnen bevraagt is geschreven en werkend, maar heeft nog niet bij een klant gedraaid. Wij verkopen hier dus geen zelfbedieningsdiagnose: wij voeren die zelf uit, met u, en u wordt erop gewezen dat u tot de eersten zou behoren. Wij zeggen het liever dan het u te laten ontdekken.
De audit van Microsoft 365 en die van Active Directory draaien daarentegen al bij echte klanten.