Wat is shoulder surfing precies?
Shoulder surfing — letterlijk vertaald “over de schouder kijken” — is een vorm van social engineering waarbij een aanvaller of toevallige omstander zichtbare informatie van een scherm of toetsenbord afleest. De term wordt door het Nationaal Cyber Security Centrum (NCSC) gerekend tot de categorie visueel hacken: methodes om aan informatie te komen zonder digitale systemen te hoeven kraken.
De informatie die zo wordt buitgemaakt loopt uiteen van wachtwoorden en pincodes tot e-mails, contracten, klantgegevens, patiëntdossiers en interne dashboards. Voor de aanvaller is het laagdrempelig: geen technische kennis, geen sporen, geen logbestanden.
Hoe vaak komt visueel hacken voor?
De meest geciteerde studie is het Visual Hacking Experiment van het Ponemon Institute (2016, in opdracht van 3M). In een gecontroleerd experiment bij Amerikaanse bedrijven slaagde een undercover hacker er in 91% van de pogingen in om binnen 15 minuten gevoelige bedrijfsinformatie van een onbeveiligd scherm af te lezen. Bij Europese vervolgstudies lagen de cijfers in dezelfde orde van grootte.
In de praktijk vinden de meeste incidenten echter onopgemerkt plaats. Slachtoffers merken niet dat er is meegekeken, en omstanders melden zelden dat ze iets hebben gezien. Het werkelijke aantal incidenten ligt vrijwel zeker hoger dan wat wordt gerapporteerd.
Welke informatie is het kwetsbaarst?
In rangorde van waarde voor een aanvaller:
- Inloggegevens en MFA-codes – directe toegang tot systemen
- E-mail en chat – vertrouwelijke afspraken, contractgegevens, interne discussies
- Klant- en patiëntgegevens – AVG-relevante persoonsgegevens
- Financiële data – omzetten, marges, M&A-informatie
- Strategische documenten – beleidsplannen, organisatieveranderingen
- Intellectueel eigendom – broncode, recepten, ontwerpen
Waar gebeurt shoulder surfing het meest?
Dit zijn de risicovolste werkplekken:
- Openbaar vervoer – treinen en bussen waar mensen dicht naast elkaar zitten. Forenzen vormen een gewoontepatroon dat een aanvaller kan exploiteren.
- Flexwerkplekken – onbekenden zitten naast elkaar; geen vertrouwde relatie tussen werkplekgenoten.
- Café’s, lobby’s en luchthavens – mensen werken in publieke ruimtes met onbekenden om hen heen.
- Spreekkamers en balie-omgevingen – bezoekers zien soms (gedeeltelijk) wat op het scherm van de medewerker staat.
- Thuiswerkplek – huisgenoten, gasten en (bij videocalls) achtergrondkijkers kunnen meekijken.
Wat zegt de AVG over visueel hacken?
De Algemene Verordening Gegevensbescherming (AVG/GDPR) verplicht verwerkers van persoonsgegevens tot “passende technische en organisatorische maatregelen” om die gegevens te beschermen (artikel 32 AVG). De Autoriteit Persoonsgegevens noemt visueel hacken expliciet als risico bij werken in openbare ruimtes en bij thuiswerken.
Concreet betekent dit: als medewerkers met persoonsgegevens werken op locaties waar onbevoegden kunnen meekijken, dienen er maatregelen genomen te worden om dat risico te mitigeren. Een privacy filter is een aantoonbare technische maatregel binnen deze categorie.
Voor overheidsorganisaties geldt aanvullend de Baseline Informatiebeveiliging Overheid (BIO). De BIO bevat onder andere controles rondom Clean desk en clean screen (7.7) en fysieke beveiliging, die direct raken aan de zichtbaarheid van schermen buiten beveiligde omgevingen. Lees meer over onze aanpak voor de publieke sector op de pagina privacy filters voor overheid.
7 maatregelen om shoulder surfing te voorkomen
1. Privacy filter op laptops en monitoren
Een privacy filter beperkt de kijkhoek van het scherm tot ongeveer 30 graden aan weerszijden. Iemand die niet recht voor het scherm zit, ziet alleen een zwart vlak. Dit is de meest effectieve fysieke maatregel tegen meekijken. Het filter is permanent geïnstalleerd (via plakstrips) of uitschuifbaar (via houders) en heeft geen invloed op de werking van het systeem.
2. Vergrendel het scherm bij elke onderbreking
Windows-toets + L op Windows, Control + Command + Q op macOS. Train medewerkers dit te doen zodra zij hun werkplek verlaten — ook voor korte momenten.
3. Positioneer schermen weg van loop- en kijkroutes
In flexkantoren en bij balies: plaats schermen zo dat de achterkant naar publieke loopruimtes wijst. Bij thuiswerken: niet met het scherm naar een raam of openstaande deur.
4. Stel een clean screen-beleid op
Documenteer wat medewerkers wel en niet op hun scherm mogen hebben staan in openbare ruimtes. Tools als Window Snap, virtuele desktops en specifieke ‘reisprofielen’ helpen om gevoelige informatie te verbergen tijdens reizen.
5. Train medewerkers in awareness
Een eenmalige training is niet voldoende. Herhaal de boodschap via interne nieuwsbrieven, periodieke phishing-campagnes en concrete praktijkvoorbeelden. Awareness is de organisatorische tegenhanger van de technische maatregelen.
6. Gebruik verkleind of getint scherm bij reizen
Verminder de schermhelderheid in OV en publieke ruimtes. Gebruik donkere thema’s met lage contrastinstellingen. Een privacy filter werkt nog effectiever in combinatie met een gedimd scherm.
7. Beleid voor videocalls en delen van scherm
Bij videocalls vanuit huis of café: gebruik blur of een virtuele achtergrond. Bij screen sharing: deel alleen het specifieke venster, niet uw volledige scherm. Sluit chatvensters en e-mailclients voordat u deelt.
Hoe werkt een privacy filter precies?
Een privacy filter is een dunne (circa 0,4 mm) laag PET-materiaal die op het beeldscherm wordt geplaatst. In de filter zit microlouvre-technologie: een serie microscopisch dunne verticale lamellen, vergelijkbaar met een minuscule jaloezie. Wanneer je recht voor het scherm zit, zie je door de lamellen heen alsof ze er niet zijn. Vanaf opzij wordt het beeld geblokkeerd door de lamellen, en ziet de waarnemer een zwart vlak.
Goede privacy filters zoals die van ons hebben een effectieve kijkhoek van circa 60 graden totaal (30 graden aan elke zijde van het midden). Daarnaast bieden ze een blauwlichtfilter (tot 66% reductie), anti-reflectie en bescherming tegen krassen.
Wanneer is een privacy filter de juiste oplossing — en wanneer niet?
Een privacy filter is de juiste oplossing wanneer:
- Medewerkers regelmatig in publieke ruimtes of bij klanten werken
- Je met persoonsgegevens, financiële of medische informatie werkt
- Je flexwerkplekken of hot desks gebruikt
- Je als overheidsorganisatie moet voldoen aan BIO-controles
Een privacy filter is minder geschikt wanneer:
- Je voornamelijk met touchscreens werkt (sommige filters belemmeren touch-functionaliteit)
- Je vaak samen met collega’s naar één scherm kijkt (delen wordt lastiger — kies dan voor een uitschuifbare variant)
- Je een afwijkend schermformaat heeft - overweeg dan een maatwerkfilter
Conclusie
Shoulder surfing is een onderschat maar veelvoorkomend risico voor elke organisatie waarvan medewerkers buiten een gecontroleerde kantooromgeving werken. De combinatie van een privacy filter (technische maatregel), clean screen-beleid (organisatorische maatregel) en awareness-training (gedragsmaatregel) dekt het risico effectief af — voor de AVG-verplichtingen, voor de BIO-compliance, en voor het simpele feit dat vertrouwelijke informatie vertrouwelijk hoort te blijven.
Aan de slag: bekijk ons aanbod privacy filters voor laptops of privacy filters voor monitoren. Voor zakelijke afnames vraagt u eenvoudig een offerte aan via onze zakelijke pagina of, voor overheidsorganisaties, onze overheidspagina.