Voorkom dat je internetprovider ziet welke sites je bezoekt

Je internetprovider weet welke sites je bezoekt. Niet de exacte inhoud van de pagina's (als de site HTTPS gebruikt), maar de domeinnamen: hij weet dat je een bepaalde gezondheidssite, een bepaald forum, een bepaalde streamingdienst hebt bezocht, hoe laat en hoe lang. Deze informatie loopt via zijn DNS-servers en de metadata van je verbindingen. In de meeste landen zijn ISP's zelfs wettelijk verplicht deze gegevens voor een bepaalde periode te bewaren. In Nederland verplichtte de Wet bewaarplicht telecommunicatiegegevens dit oorspronkelijk voor 12 maanden, hoewel deze wet door het Europees Hof van Justitie ongeldig werd verklaard. In België geldt een bewaarplicht van 12 maanden onder de Wet op de elektronische communicatie.

Dit is geen paranoia, het is de normale werking van het netwerk. Als je een adres in je browser typt, stuurt je apparaat een DNS-query naar de server van je provider om de domeinnaam te vertalen naar een IP-adres. Deze query wordt in platte tekst verstuurd, zonder versleuteling, en je provider registreert het. Zelfs als de pagina-inhoud via HTTPS is versleuteld, ziet de provider de naam van de site die je opvraagt. Het is als een brief in een ondoorzichtige envelop: de postbode kan de inhoud niet lezen, maar ziet het adres van de ontvanger.

Wat je provider precies ziet

Om je goed te beschermen, moet je eerst begrijpen wat de provider wel en niet kan zien:

Wat hij ziet: de domeinnamen die je bezoekt (via DNS-queries), de IP-adressen van de servers waarmee je verbindt, de tijdstempels van elke verbinding, het uitgewisselde datavolume, en in sommige gevallen het SNI (Server Name Indication), een niet-versleuteld veld in de TLS-handshake dat de sitenaam onthult zelfs zonder via zijn DNS te gaan.

Wat hij niet ziet (als de site HTTPS gebruikt): de pagina-inhoud, de inloggegevens die je invoert, de berichten die je stuurt, de bestanden die je downloadt. HTTPS versleutelt de inhoud, maar niet de verbindingsmetadata.

Het onderscheid is belangrijk. Weten dat je om 3 uur 's nachts een medische consultatiesite hebt bezocht, is al gevoelige informatie, zelfs als de provider niet weet welke exacte pagina je hebt bekeken.

DNS-server wijzigen: de eerste stap

De eenvoudigste en snelste manier om te voorkomen dat je provider je DNS-queries ziet, is stoppen met het gebruik van zijn DNS-servers. Standaard gebruikt je apparaat de DNS van je provider. Bij elk sitebezoek gaat de query via hun servers en wordt geregistreerd.

Door van DNS-server te wisselen, stuur je queries naar een derde partij (Cloudflare, Google, Quad9) in plaats van je provider. Maar let op: als je alleen van DNS-server wisselt zonder versleuteling in te schakelen, reizen je queries nog steeds in platte tekst over het netwerk. Je provider verwerkt ze niet meer, maar kan ze nog steeds onderscheppen in transit.

Om de wijziging echt effectief te maken, moet je versleuteld DNS gebruiken. Twee protocollen bestaan:

DNS over TLS (DoT) versleutelt DNS-queries via het TLS-protocol op poort 853. Dit is het protocol dat wordt gebruikt door de "Privé-DNS"-functie van Android 9+. Je voert een hostnaam in zoals one.one.one.one (Cloudflare) of dns.google en al je queries worden versleuteld. Je provider ziet dat je communiceert met een externe DNS-server op poort 853, maar kan de inhoud van de queries niet meer lezen.

DNS over HTTPS (DoH) versleutelt DNS-queries via HTTPS op poort 443, dezelfde poort als normaal webverkeer. Het voordeel: DNS-queries zijn niet te onderscheiden van regulier webverkeer. De provider kan niet eens zien dat je aparte DNS-queries maakt. Firefox, Chrome, Edge en Brave ondersteunen allemaal DoH in hun instellingen.

De belangrijkste versleutelde DNS-servers:

Het SNI-probleem: DNS is niet altijd genoeg

Zelfs met versleuteld DNS kan je provider in sommige gevallen nog steeds zien welke sites je bezoekt. Wanneer je browser verbindt met een HTTPS-server, stuurt hij de sitenaam in platte tekst in een veld genaamd SNI (Server Name Indication) tijdens de TLS-handshake. Dit veld laat de server weten welk SSL-certificaat hij moet presenteren wanneer hij meerdere sites host op hetzelfde IP-adres.

Een provider die je verbindingsmetadata inspecteert, kan dit SNI-veld lezen en de sitenaam zien, zelfs als je versleuteld DNS gebruikt. Dit is een bekend gat, en de oplossing heet ECH (Encrypted Client Hello), voorheen bekend als ESNI. ECH versleutelt het SNI-veld, waardoor het voor de provider onmogelijk wordt de sitenaam te zien tijdens de TLS-handshake.

De uitrol van ECH is aan de gang. Cloudflare schakelt het in op zijn servers, Firefox ondersteunt het in combinatie met DoH, en Chrome werkt eraan. Maar ECH werkt alleen als de server van de bezochte site het ook heeft ingeschakeld. In 2026 groeit de dekking maar is nog niet universeel.

VPN gebruiken: de meest complete oplossing

Een VPN (Virtual Private Network) creëert een versleutelde tunnel tussen je apparaat en een server van de VPN-provider. Al je internetverkeer loopt door deze tunnel, inclusief DNS-queries, verbindingsmetadata en inhoud. Je provider ziet nog maar één ding: dat je verbonden bent met een VPN-server. Hij weet niet welke sites je bezoekt, welke inhoud je bekijkt of welke diensten je gebruikt.

Dit is de meest effectieve oplossing om je activiteit voor je provider te verbergen, maar het heeft belangrijke implicaties:

Je verplaatst vertrouwen, je elimineert het niet. Je provider ziet je verkeer niet meer, maar je VPN-provider wel. Je vervangt de ene controlerende instantie door een andere. De keuze van VPN is daarom cruciaal. Geef voorkeur aan providers wier no-logs-beleid door onafhankelijke bedrijven is geauditeerd (Mullvad, IVPN, ProtonVPN hebben allen audits gepubliceerd). Vermijd gratis VPN's: als ze niets kosten, ben jij het product.

Prestatie-impact. Een VPN voegt een tussenstap toe tussen jou en de servers die je bezoekt. De latentie neemt toe (doorgaans 10-30 ms afhankelijk van de afstand tot de VPN-server), en de doorvoer kan afnemen. Voor webbrowsen is het zelden merkbaar. Voor online gaming of videovergaderen kan het voelbaar zijn.

VPN-protocollen. WireGuard is het modernste en snelste protocol, met een minimale codebase en uitstekende prestaties. OpenVPN is ouder maar beproefd en breed ondersteund. Vermijd PPTP, dat verouderd en onveilig is. De meeste moderne VPN-providers gebruiken standaard WireGuard.

Kill switch. Controleer of je VPN-client een kill switch heeft. Deze functie verbreekt automatisch je internetverbinding als de VPN uitvalt, en voorkomt dat je verkeer kort onbeschermd is. Zonder kill switch kan een korte VPN-onderbreking (wisselen van Wi-Fi-netwerk, verlies van mobiel signaal) je activiteit aan je provider onthullen.

Tor: maximale anonimiteit, met compromissen

Tor (The Onion Router) leidt je verkeer door drie opeenvolgende relais, elk met een extra versleutelingslaag. Het eerste relais ziet je IP-adres maar niet je bestemming. Het laatste relais ziet de bestemming maar niet je IP-adres. Geen enkel relais ziet beide tegelijk. Je provider ziet alleen dat je verbonden bent met het Tor-netwerk, zonder te weten wat je daar doet.

Tor biedt meer anonimiteit dan een VPN, maar met aanzienlijke compromissen:

Traagheid. De drievoudige sprong via vrijwillige relais maakt browsen merkbaar trager dan met een VPN. Videostreaming is vrijwel onbruikbaar, en zelfs basis webbrowsen kan moeizaam zijn.

Argwaan. Alleen al verbinden met Tor kan in bepaalde contexten aandacht trekken. Sommige providers of bedrijfsnetwerken blokkeren Tor-verbindingen, en in sommige landen wordt Tor-gebruik nauwlettend gevolgd. Er bestaan Tor-"bridges" om deze blokkades te omzeilen, maar de configuratie is technischer.

Mogelijke lekken. Als je Tor gebruikt om reguliere sites te bezoeken (niet .onion), kan het uitgangsrelais je niet-versleutelde verkeer zien. Zorg ervoor dat je alleen HTTPS-sites bezoekt bij Tor-gebruik. De Tor Browser bevat standaardbeschermingen, maar onjuiste configuratie of het installeren van extensies kan je anonimiteit in gevaar brengen.

HTTPS overal: noodzakelijk maar niet voldoende

HTTPS versleutelt de inhoud van uitwisselingen tussen je browser en de server van de bezochte site. Zonder HTTPS kan je provider (en iedereen op het netwerk) alles zien wat je op de site doet: bezochte pagina's, ingevulde formulieren, gedownloade bestanden. Met HTTPS ziet de provider alleen de domeinnaam (via DNS of SNI), niet de inhoud.

In 2026 gebruikt meer dan 95% van de pagina's geladen in Chrome HTTPS. Moderne browsers tonen een waarschuwing wanneer een site geen HTTPS gebruikt. Als je nog HTTP-sites tegenkomt, vermijd dan persoonlijke informatie in te voeren.

HTTPS is een onmisbare basislaag, maar verbergt geen metadata voor je provider. Het verbergt niet de naam van de site die je bezoekt, de frequentie van je bezoeken, of het volume van uitgewisselde data. Voor die metadata moet je HTTPS combineren met versleuteld DNS of een VPN.

Beschermingen combineren

Geen enkele methode alleen dekt alle hoeken. Hier de combinaties per beschermingsniveau:

Basisbescherming: Versleuteld DNS (DoH of DoT) + HTTPS. Je provider ziet je DNS-queries niet meer. Hij kan nog steeds de IP-adressen van servers zien waarmee je verbindt en mogelijk het SNI, maar kan de inhoud niet lezen. Dit is de aanbevolen minimumconfiguratie voor iedereen, en het kost niets.

Gemiddelde bescherming: Betrouwbare VPN + DNS van de VPN. Al je verkeer is versleuteld en loopt via de VPN-server. Je provider ziet alleen de VPN-verbinding. De VPN-provider wordt de vertrouwensschakel. De meest praktische keuze voor dagelijks gebruik.

Maximale bescherming: Tor + versleuteld DNS + HTTPS. Het drievoudige relais van Tor verbergt zowel je identiteit als je bestemming. De traagheid maakt deze configuratie ongeschikt voor dagelijks gebruik, maar relevant voor gevoelig onderzoek.

Wat deze methoden niet beschermen

Je verkeer voor je provider verbergen maakt je niet onzichtbaar online. Websites identificeren je op andere manieren: cookies, browser fingerprinting, ingelogde accounts (als je bij Google bent ingelogd en een site bezoekt die Google Analytics gebruikt, weet Google dat jij het bent). Sociale netwerken en advertentienetwerken volgen je over sites heen met trackers en tracking pixels.

Om je te beschermen tegen advertentietracking, moet je verkeersversleuteling combineren met een trackerblocker (uBlock Origin in de browser, of een filterende DNS als NextDNS of AdGuard DNS) en goede gewoonten: browsen in privémodus voor gevoelige zoekopdrachten, tabcontainers gebruiken (Firefox Multi-Account Containers), geïnstalleerde extensies beperken, en uitloggen van accounts wanneer je ze niet nodig hebt.

Je provider ziet standaard elke domeinnaam die je opvraagt. Versleuteld DNS (DoH of DoT) is de eerste stap, gratis en eenvoudig, om die zichtbaarheid te doorbreken. Een VPN gaat verder door al je verkeer te verbergen. Maar welke methode je ook kiest, onthoud dat je vertrouwen verplaatst, niet elimineert: van de provider naar de DNS-provider, of van de provider naar de VPN-provider. Kies je tussenpersonen zorgvuldig.