Waarom je bluetooth op je smartphone moet uitzetten

door Dirk Kruin

dinsdag, 28 juli 2026 om 12:35

Bluetooth staat bij vrijwel iedereen dag en nacht aan, "voor het geval dat". Sinds Deense ambtenaren hun AirPods moesten inleveren en Leuvense onderzoekers lieten zien hoe makkelijk een koptelefoon in een afluisterapparaat verandert, is dat schuifje ineens een serieuze keuze.

Er is een categorie beveiligingsadviezen die je jarenlang kunt negeren zonder dat er iets gebeurt. Bluetooth uitzetten hoorde daar tot voor kort bij: het klonk als iets voor mensen met aluminiumfolie op de ruiten. Dat is dit jaar veranderd, en niet door een bangmakende blogpost maar door een Belgisch onderzoekslab en een nerveuze Deense inlichtingendienst.

Het lek dat je oordopjes verraadt

Onderzoeksgroep COSIC van de KU Leuven publiceerde in januari een reeks aanvallen onder de naam WhisperPair. Het probleem zit in Google Fast Pair, de techniek die het koppelen van draadloze oordopjes tot één tikje reduceert. Handig, tot blijkt dat veel fabrikanten de controle of het apparaat écht in koppelmodus staat slordig hebben ingebouwd.

Het resultaat: een aanvaller met standaardhardware kan zich op zo'n veertien meter afstand koppelen aan andermans koptelefoon. Van de 25 geteste apparaten van zestien fabrikanten lukte dat bij 68 procent. Daarna kan hij audio afspelen, de microfoon aanzetten en meeluisteren met wat er in de trein of aan de vergadertafel wordt gezegd. Nog vervelender is het stalkingscenario: via Googles Find Hub-netwerk kan een aanvaller zich als eigenaar registreren en het apparaat dagenlang volgen. De waarschuwing tegen ongewenste tracking komt pas na 48 uur, en oogt dan ook nog eens weinig alarmerend.

De lijst met betrokken merken leest als het schap van een elektronicawinkel: Sony, JBL, Jabra, Marshall, Logitech, Nothing, Soundcore, OnePlus en Google zelf. Google classificeerde het lek als kritiek en werkt met fabrikanten aan updates. Of jouw drie jaar oude oordopjes die update ooit krijgen, is een heel andere vraag.

Denemarken doet het schuifje gewoon om

Terwijl consumenten wachten op firmware, koos Denemarken voor de botte bijl. Midden januari kregen ambtenaren, politiemensen en militairen de instructie om bluetooth op werk- én privéapparatuur uit te zetten, AirPods nadrukkelijk inbegrepen. Aanleiding: de inlichtingendienst ziet draadloze audioaccessoires als afluisterrisico, in een periode van hoogoplopende spanningen rond Groenland.

Je kunt dat afdoen als geopolitieke zenuwachtigheid. Maar als een NAVO-lidstaat besluit dat het risico van een koptelefoon groter is dan het ongemak van een snoertje, is dat een signaal.

Ook zonder spionnen lekt je telefoon

Voor wie geen staatsgeheimen bewaart, is er een alledaagser bezwaar. Bluetooth is een bakenzender: je telefoon roept continu de omgeving aan. Winkelgebieden, evenementen en vervoersknooppunten gebruiken dat voor drukte- en loopstroommetingen. De Autoriteit Persoonsgegevens is er duidelijk over dat de gegevens die daarbij worden verzameld persoonsgegevens zijn, met alle voorwaarden van dien.

Dat betekent niet dat elke sensor illegaal is. Het betekent wel dat je met bluetooth aan permanent een identificeerbaar spoor achterlaat op plekken waar je dat niet vermoedt.

Wat je concreet kunt doen

Zet bluetooth uit als je het niet gebruikt. De Amerikaanse NSA adviseert dat al jaren, met de nuttige waarschuwing dat vliegtuigmodus bluetooth niet altijd uitschakelt.
Gebruik het echte schuifje in de instellingen. Op iPhone en Android zet het bedieningspaneel bluetooth vaak alleen tijdelijk uit.
Installeer firmware-updates voor je oordopjes en koptelefoon zodra ze verschijnen. Dat gaat via de app van de fabrikant, niet via je telefoonupdate.
Ruim oude koppelingen op. Elke vergeten autoradio of speaker uit 2016 is een openstaande deur.
Let bij nieuwe aankopen op de CE-markering: sinds 1 augustus 2025 moeten draadloze apparaten in de EU voldoen aan aangescherpte cybersecurity-eisen uit de radioapparatuurrichtlijn.

De onderzoekers uit Leuven stelden ook een structurele oplossing voor, IntentPair, waarbij alleen een fysieke handeling van de gebruiker het koppelen cryptografisch bevestigt. Prima idee. Tot de industrie dat overneemt, blijft de goedkoopste beveiliging die ene tik op je scherm.

Meer weten?