Kan je werkgever berichten op een werktelefoon lezen?

Mogelijk, maar apparaatbeheer geeft een werkgever niet automatisch toegang tot elk versleuteld gesprek. Het antwoord hangt af van wie het apparaat bezit, de inschrijvingsmodus, de gebruikte app of account en aanvullende controlesoftware.

Versleuteling kan berichten beschermen terwijl ze tussen deelnemers worden verzonden en, afhankelijk van het systeem, tijdens opslag. Ze beschermt een bericht niet noodzakelijk nadat het is ontsleuteld en weergegeven op een apparaat dat de werkgever beheert.

Meldingsvoorbeelden, schermafbeeldingen, fysieke toegang, back-ups en controlesoftware kunnen allemaal invloed hebben op privacy. De veiligste aanname is eenvoudig: persoonlijke berichten op een bedrijfstelefoon blijven mogelijk niet privé.

Dit artikel biedt algemene informatie over privacy en beveiliging, geen juridisch advies. Werkplekbeleid en wettelijke rechten verschillen per rechtsgebied.

Kan een werkgever versleutelde berichten op een werktelefoon lezen?

Mogelijk. Dat hangt af van wie de telefoon bezit en hoe deze is ingesteld en wordt beheerd.

Sterke versleuteling kan verhinderen dat een werkgever berichtinhoud leest door alleen netwerkverkeer te onderscheppen. Ze beschermt inhoud niet automatisch op het eindpunt: de telefoon waarop je berichten typt en leest.

Een werkgever kan mogelijk toegang krijgen tot informatie via:

• meldingsvoorbeelden;
• fysieke of externe toegang tot het apparaat;
• schermafbeeldingen of hulpmiddelen voor schermopname;
• toegankelijkheidssoftware of eindpuntbeveiliging;
• controle van het klembord;
• cloudback-ups of apparaatback-ups;
• geëxporteerde bestanden en gedownloade media;
• archiveringssystemen van de werkgever;
• een andere deelnemer die het gesprek doorstuurt of vastlegt.

Niet elke werkgever gebruikt deze mogelijkheden en niet elk mobiel besturingssysteem staat dezelfde mate van controle toe. Werknemers moeten apparatuur van de werkgever echter niet als een privéomgeving beschouwen.

Hoe beheer van mobiele apparaten de privacy van chats beïnvloedt

Beheer van mobiele apparaten, meestal MDM genoemd, stelt een organisatie in staat telefoons voor werk in te stellen en te beschermen.

Afhankelijk van het besturingssysteem en het inschrijvingsmodel kunnen beheerders mogelijk:

• toegangscodes en beveiligingsinstellingen afdwingen;
• beheerde apps installeren of verwijderen;
• werkaccounts, certificaten en VPN’s instellen;
• kopiëren tussen zakelijke en persoonlijke apps beperken;
• controleren of een apparaat of app aan de eisen voldoet;
• werkgegevens vergrendelen of wissen;
• bepaalde apparaat- en netwerkgegevens verzamelen.

Standaard-MDM biedt niet automatisch onbeperkte toegang tot elk bericht en maakt niet op elk besturingssysteem ongemerkte schermopname mogelijk.

De mogelijkheden verschillen aanzienlijk afhankelijk van:

• het besturingssysteem;
• wie het apparaat bezit;
• beheer van een werkprofiel of het hele apparaat;
• geïnstalleerde eindpuntbeveiligingssoftware;
• de configuratie van de beheerder;
• het werkplekbeleid.

Een persoonlijke Android-telefoon met een apart werkprofiel kan andere privacygrenzen hebben dan een volledig onder toezicht geplaatst bedrijfsapparaat. Lees de informatie over inschrijving en het beleid voor aanvaardbaar gebruik van je organisatie voordat je een van beide voor persoonlijke gesprekken gebruikt.

Kan MDM versleutelde berichten ontsleutelen?

MDM breekt sterke berichtversleuteling doorgaans niet rechtstreeks. Het risico zit meestal bij het beheerde eindpunt.

Een bericht moet worden ontsleuteld voordat het op het scherm kan verschijnen. Op dat moment kan het worden blootgesteld via:

• zichtbare meldingen;
• toegang tot het apparaat;
• schermafbeeldingen;
• kopiëren en plakken;
• controle- of toegankelijkheidshulpmiddelen;
• onveilige back-ups;
• gedownloade bijlagen.

Daarom betekenen ‘versleuteld’ en ‘privé op een werktelefoon’ niet hetzelfde.

Wat versleuteling wel en niet kan beschermen

Versleuteling heeft een afgebakend bereik. Ze mag niet worden beschouwd als een garantie tegen elk mogelijk privacyrisico.

Versleuteling kan beschermen tegen

• passief onderscheppen op openbare of bedrijfsnetwerken;
• gewone inspectie van versleuteld verkeer;
• bepaalde vormen van onbevoegde toegang tot servers of opslag;
• derden die niet over de vereiste sleutels beschikken.

De precieze bescherming hangt af van het protocol en de implementatie ervan.

Versleuteling voorkomt niet noodzakelijk

• dat een ontvanger een schermafbeelding maakt;
• dat een gecompromitteerd of gecontroleerd eindpunt inhoud vastlegt;
• dat meldingstekst op een vergrendelscherm verschijnt;
• dat iemand toegang krijgt tot een ontgrendelde telefoon;
• onveilige opslag van sleutels;
• dat inhoud wordt gekopieerd, doorgestuurd of geëxporteerd;
• dat metadata zichtbaar zijn voor de dienst of het netwerk;
• dat iemand met toegang kopieën openbaar maakt, afhankelijk van diens omstandigheden.

Alleen cryptografische algoritmen noemen bewijst niet dat een compleet berichtensysteem veilig is. Ook protocolontwerp, implementatiekwaliteit, sleutelauthenticatie, sleutelopslag en vertrouwen in het apparaat zijn belangrijk.

Kan een werkgever berichten via bedrijfswifi lezen?

Als een app versleuteling aan de clientzijde of end-to-endversleuteling correct implementeert, zou de beheerder van bedrijfswifi de berichtinhoud niet moeten kunnen lezen door alleen netwerkverkeer te observeren.

Het netwerk kan nog steeds metadata onthullen, waaronder:

• de benaderde dienst of domeinnaam;
• datums en tijden van verbindingen;
• het geschatte verkeersvolume;
• apparaat- en netwerkidentificatoren;
• de verbindingsduur.

Door de werkgever geïnstalleerde certificaten, beheerde software, VPN-configuraties of toegang tot eindpunten kunnen extra risico’s opleveren. Netwerkversleuteling maakt een door de werkgever beheerde telefoon dus niet privé.

Een werkprofiel is niet hetzelfde als controle van het hele apparaat

Volgens Googles privacyrichtlijnen voor Android Enterprise beheert een organisatie apps en gegevens in het werkprofiel, terwijl apps, gegevens en gebruik in het persoonlijke profiel niet via dat beheermodel zichtbaar zijn. Een bedrijfsapparaat kan aanvullend apparaatbreed beleid hebben. Een VPN van het werkprofiel leidt op zichzelf geen verkeer van het persoonlijke profiel om.

Dit onderscheid is belangrijk: een werkbadge op sommige apps bewijst niet dat je werkgever je persoonlijke chats kan lezen. Omgekeerd beschermt de grens van een werkprofiel geen materiaal dat je bewust naar een beheerde app of werkaccount kopieert. Lees de informatie over inschrijving en vraag IT welk model van toepassing is voordat je conclusies trekt.

Voor Apple-apparaten legt Apples beheerdocumentatie configuratieprofielen uit. De mogelijkheden hangen af van inschrijving en toezicht; pas Android-instructies niet blindelings toe op een iPhone.

Stel IT deze vier concrete vragen

1. Is dit een werkprofiel, een volledig beheerd apparaat of een andere inschrijvingsmodus?
2. Welke apps, accounts en welk verkeer worden gelogd of bewaard?
3. Kunnen persoonlijke gegevens worden gewist wanneer het apparaat buiten gebruik wordt gesteld, en hoe scheid ik die vooraf?
4. Welk beleid beschrijft de controle en met wie kan ik contact opnemen over privacyzorgen?

Gepubliceerd beleid beschrijft toegestane werkwijzen; het is geen technische audit van wat er werkelijk met een individueel bericht is gebeurd.

Hoe je privacy op een bedrijfstelefoon verbetert

De effectiefste optie is persoonlijke gesprekken buiten apparaten van de werkgever te houden.

1. Gebruik een persoonlijk apparaat

Gebruik waar mogelijk je eigen telefoon en persoonlijke account voor privégesprekken. Schrijf dat apparaat niet in voor volledig apparaatbeheer tenzij je de gevolgen begrijpt.

2. Bekijk het beheerprofiel

Controleer of de telefoon gebruikmaakt van:

• volledig apparaatbeheer;
• Android-werkprofielbeheer;
• een bedrijfs-VPN;
• geïnstalleerde certificaten;
• eindpuntbeveiliging of controlesoftware.

Verwijder geen zakelijke controlemaatregelen zonder toestemming.

3. Schakel gevoelige meldingsvoorbeelden uit

Stel meldingen zo in dat de berichtinhoud niet op het vergrendelscherm verschijnt. Dat vermindert onbedoelde blootstelling, maar voorkomt geen geautoriseerde apparaatcontrole.

4. Vermijd persoonlijke back-ups op een werkapparaat

Bijlagen, geëxporteerde gesprekken en gedownloade media kunnen na verwijdering van het oorspronkelijke bericht in lokale opslag of back-ups blijven staan.

5. Lees het werkplekbeleid

Bekijk het beleid van je werkgever voor aanvaardbaar gebruik, privacy, controle en bewaartermijnen. Vraag bij onduidelijkheid de betreffende contactpersoon bij IT, privacy of personeelszaken.

6. Beschouw ontvangers als onderdeel van de vertrouwensgrens

Versleuteling kan niet verhinderen dat een andere deelnemer een bericht vastlegt, doorstuurt of openbaar maakt. Verstuur niets waarvan je niet zou kunnen verdragen dat het openbaar wordt.

Veelgestelde vragen

Kan mijn werkgever tekstberichten op een bedrijfstelefoon lezen?

Je werkgever kan mogelijk toegang krijgen tot berichten, afhankelijk van het apparaat, de beheerconfiguratie, back-ups, geïnstalleerde software en het werkplekbeleid. Ga er niet van uit dat persoonlijke berichten privé zijn op hardware van de werkgever.

Kan MDM versleutelde berichten ontsleutelen?

MDM breekt sterke berichtversleuteling doorgaans niet. Een beheerd eindpunt kan inhoud echter blootstellen wanneer deze wordt ingevoerd, weergegeven, gekopieerd, in meldingen opgenomen of geback-upt.

Kan mijn werkgever berichten lezen die via bedrijfswifi zijn verstuurd?

Correct geïmplementeerde client-side- of end-to-endversleuteling zou berichtinhoud tegen gewone netwerkobservatie moeten beschermen. Het netwerk kan nog steeds metadata onthullen, terwijl beheerde software of toegang tot het eindpunt inhoud op het apparaat kan blootstellen.

Zijn persoonlijke berichten privé op een werktelefoon?

Daar kun je niet betrouwbaar van uitgaan. Apparaateigendom, beheermaatregelen, meldingsinstellingen, back-ups, controlebeleid en fysieke toegang kunnen allemaal invloed hebben op privacy.

Kan mijn werkgever verwijderde berichten zien?

Mogelijk. Een verwijderd bericht kan achterblijven in meldingen, back-ups, archieven, geëxporteerde bestanden, systeemlogs of de gespreksgeschiedenis van een andere deelnemer. Verwijderen uit een app wist niet noodzakelijk elke kopie.

Is een versleutelde berichtenapp veilig op een bedrijfstelefoon?

Versleuteling kan de beveiliging aanzienlijk verbeteren, maar maakt een door de werkgever gecontroleerd eindpunt niet intrinsiek privé. Gebruik een persoonlijk apparaat voor gesprekken die buiten werksystemen moeten blijven.

De kern

Je werkgever krijgt niet noodzakelijk automatisch toegang tot elk versleuteld gesprek alleen omdat die je telefoon beheert. Versleuteling kan een bericht echter niet tegen elke vorm van toegang tot het eindpunt beschermen.

Op een werktelefoon hangt privacy van veel meer af dan het berichtenprotocol. Apparaateigendom, inschrijvingsmodus, geïnstalleerde software, meldingsinstellingen, back-ups en werkplekbeleid zijn allemaal belangrijk.

Gebruik voor gesprekken die gescheiden moeten blijven van werk een persoonlijk account op een apparaat buiten het beheer van de werkgever, en beveilig ook daarvan de meldingen, back-ups en gekoppelde sessies.