Have I Been Pwned gebruiken: uw e-mailadres controleren op datalekken

Have I Been Pwned (kort: HIBP) is een van de bekendste plekken om te zien of een e-mailadres in een datalek voorkomt. De naam is Engels en de site is Engelstalig, maar de uitslag is helder als u weet waar u op let. Dit artikel legt uit wat de site doet, hoe u uw adres controleert, hoe u de uitslag leest en wat u daarna doet. De uitleg over de site komt van haveibeenpwned.com zelf, de adviezen na een lek van het NCSC en de politie. Alles is gelezen op 31 oktober 2026.

Wat is Have I Been Pwned?

HIBP is een gratis website waarmee u kunt nagaan of uw online accounts zijn blootgesteld in datalekken. Troy Hunt maakte de site en beheert hem sinds 2013. Volgens de site is de aanleiding het datalek bij Adobe, destijds het grootste bekende lek van klantaccounts. De gegevens komen uit lekken waarbij informatie bij mensen terechtkwam die er geen toegang toe hadden.

De Nederlandse politie noemt HIBP in haar uitleg bij het Odido-datalek als extra controle, naast haar eigen Check je hack. Dat is geen aanbeveling voor alle diensten van de site, maar het laat zien dat het een gangbaar hulpmiddel is.

Zo controleert u uw e-mailadres

1. Ga naar haveibeenpwned.com. Typ het adres zelf in uw browser en volg geen link uit een e-mail of bericht.
2. Voer uw e-mailadres of gebruikersnaam in.
3. Bekijk de lijst met datalekken waarin dat adres voorkomt.

Een openbare zoekopdracht geldt voor één adres tegelijk. Controleer dus elk adres dat u gebruikt, ook oude.

Over uw privacy schrijft de site het volgende. Zoekopdrachten worden niet gelogd, al kunnen Google Analytics, Application Insights en diagnostische gegevens van foutmeldingen wel enige informatie verzamelen. De meldingsdienst slaat adressen wel op, samen met de datum van aanmelding en een willekeurig verificatietoken.

De uitslag lezen

Een datalek. Dit is een incident waarbij gegevens per ongeluk zijn blootgesteld vanuit een kwetsbaar systeem. Staat uw adres in een datalek, kijk dan om welke dienst het gaat en welke gegevens zijn gelekt. Komt u de dienst nog tegen in uw accounts, wijzig dan het wachtwoord.

Een paste. Dat is informatie die op een openbare deelsite is geplaatst, zoals Pastebin. Dat uw adres in een paste staat, betekent niet automatisch dat er een datalek was. Bekijk het en bepaal zelf of u iets moet doen. Pastes worden vaak snel verwijderd en HIBP bewaart de inhoud niet.

Gevoelige datalekken. Sommige lekken zijn ingedeeld als gevoelig, omdat een vermelding iemand kan schaden als anderen die zien. Zij zijn niet openbaar te doorzoeken. Alleen de geverifieerde eigenaar van het adres ziet ze, na inloggen in het dashboard onder “Breaches” bij “Personal”.

Wachtwoorden. HIBP toont of verstuurt gelekte wachtwoorden niet, en bewaart ze niet naast persoonsgegevens zoals een e-mailadres. U ziet dus alleen dát uw adres in een lek voorkwam.

Geen resultaat. Dat bewijst niet dat u niet bent getroffen. Veel datalekken worden nooit openbaar.

Staat uw adres in een datalek? Dit doet u

De site zelf adviseert: kijk naar het lek, bepaal of uw account risico loopt en wijzig de betrokken wachtwoorden. Een wachtwoord dat in een lek zit, gebruikt u niet meer. Het NCSC vult dat aan:

1. Controleer via officiële kanalen bij het bedrijf of uw gegevens echt zijn gelekt, en welke.
2. Wijzig snel het wachtwoord van het gelekte account en ook elders als u het daar hergebruikte. Gebruik nooit hetzelfde wachtwoord voor meerdere accounts, omdat criminelen buitgemaakte inloggegevens op andere accounts uitproberen.
3. Wees alerter dan normaal. Na een datalek kunnen criminelen de gegevens gebruiken om phishingmails, helpdeskfraude of factuurfraude overtuigender te maken.
4. Is er misbruik gemaakt van uw persoonsgegevens, meld dat dan bij het Centraal Meldpunt Identiteitsfraude.

De politie voegt in haar uitleg bij Odido toe dat u uw wachtwoorden en e-mail kunt wijzigen, per account een uniek wachtwoord kunt gebruiken, bijvoorbeeld met een wachtwoordmanager, en tweestapsverificatie kunt aanzetten waar dat kan. Hoe dat werkt, leest u in Wachtwoordmanager kiezen en gebruiken en Tweestapsverificatie activeren.

Meldingen aanzetten en uw adres beheren

HIBP biedt een meldservice. U kunt zich aanmelden om bericht te krijgen als uw adres in een toekomstig datalek voorkomt. Meldingen gaan alleen naar het gecontroleerde adres, dus u kunt het adres van iemand anders of een adres dat u niet meer beheert niet volgen. De verificatiemails komen van noreply@haveibeenpwned.com.

Er is ook een domeinzoekopdracht, voor wie een domein beheert: die toont meerdere gelekte adressen van een domein, maar pas nadat u hebt aangetoond dat u dat domein mag beheren. Grotere domeinen vragen meestal een abonnement.

Wilt u niet dat een datalek openbaar bij uw adres verschijnt, dan kunt u de opt-outfunctie gebruiken. Die verandert niets aan het lek zelf: gegevens van een lek worden achteraf niet aangepast, en een nieuw wachtwoord haalt de vermelding dus niet weg.

Have I Been Pwned of Check je hack?

Gebruik gerust beide. De politie schrijft dat u bij Check je hack uw e-mailadres invoert en een e-mail ontvangt als het in een dataset staat die zij heeft veiliggesteld. Staat het er niet in, dan krijgt u geen e-mail. HIBP daarentegen toont de uitslag meteen op het scherm. Meer over de check van de politie vindt u in Check je hack en datalek checken en in Ben ik gehackt? Zo controleert u het.

Wat de gratis analyse van Remove Me kan doen

De gratis analyse van Remove Me werkt zonder account. U vult uw gegevens in, de dienst doorzoekt openbaar zichtbare webresultaten, bekende datalekken (via Have I Been Pwned) en een register van databrokers, en toont u daarna een rapport. U opent het rapport met een zescijferige code die per e-mail komt. Remove Me verstuurt op dit moment nog geen verzoeken tot gegevenswissing namens u. Start mijn gratis analyse.

Bronnen

• Have I Been Pwned: About, geraadpleegd op 31 oktober 2026.
• Have I Been Pwned: FAQs, geraadpleegd op 31 oktober 2026.
• Politie: Checkjehack aangevuld met Odido, geraadpleegd op 31 oktober 2026.
• Politie: Check je hack, geraadpleegd op 31 oktober 2026.
• NCSC: Wat te doen bij een datalek?, geraadpleegd op 31 oktober 2026.

Geschreven door het Remove Me-team op basis van de pagina's van Have I Been Pwned, de politie en het NCSC.