Tweekanaalsoverdracht
De data en de sleutel reizen nooit langs hetzelfde kanaal. Wie de enveloppe onderschept heeft geen wachtwoord; wie de mailbox meeleest heeft geen drager.
Het is het principe van tweefactorauthenticatie, met de post en de telefoon als tweede kanaal. In één zin uit te leggen aan een griffier, en toch de stap die er onder tijdsdruk het eerst uit vliegt.
Wat geen twee kanalen zijn
Eén versleuteld archief in een e-mail, en het wachtwoord in de e-mail erna. Een deellink en het wachtwoord in dezelfde mail. Een stick met een briefje erbij in de enveloppe. Dat zijn varianten van één kanaal: wie dat kanaal heeft, heeft alles.
Het tweede kanaal moet fysiek anders zijn. Papier tegenover netwerk, of stem tegenover tekst. Een tweede e-mailadres van dezelfde ontvanger telt niet, want het loopt over dezelfde mailserver en waarschijnlijk over hetzelfde ingelogde toestel.
Twee varianten
Allebei bruikbaar. De keuze hangt af van wie er aan de andere kant zit en van hoeveel data er moet.
Drager per post, sleutel digitaal
Je verstuurt versleutelde USB-sticks of schijven aangetekend, met bericht van ontvangst. Het wachtwoord volgt per telefoon of per e-mail.
Voeg in de enveloppe een begeleidende brief die uitlegt dat het wachtwoord langs een ander kanaal komt en waarom. Zonder die brief belt de ontvanger de griffie met de melding dat de stick stuk is, en dat kost meer tijd dan het schrijven van de brief.
Tarieven bij bpost, vanaf 1 januari 2026: de aantekenport bedraagt € 7,33 bij frankering met zegels of vignetten en € 7,14 bij een frankeermachine, een PB-nummer of Collect&Stamp. Dat komt bovenop het gewone PRIOR-tarief. Het bericht van ontvangst kost € 1,64 extra. Boven de 2 kg geldt een vast tarief van € 33,00, tot maximaal 10 kg. De actuele tabellen staan op de tarievenpagina van bpost.
Link digitaal, sleutel per post
Een beveiligde gedeelde map per e-mail, met het wachtwoord in een gewone brief die dezelfde dag vertrekt. Voor de kant van de gedeelde map, zie Tresorit.
Dezelfde dag is geen detail. Wie een link krijgt die hij niet kan openen en drie dagen op een brief wacht, belt intussen, mailt intussen, en vraagt op een gegeven moment het wachtwoord gewoon per e-mail. De scheiding sneuvelt dan niet op techniek maar op logistiek.
Een korte formele brief op briefhoofd volstaat: rolnummer, partijen, je identiteitsblok, en het wachtwoord in een omkaderd vak. Dat kader dient om te vermijden dat iemand het wachtwoord voor een referentie aanziet, en het valt op wanneer de brief later ingescand ergens terechtkomt waar hij niet hoort.
Versleuteling die aan de andere kant ook opengaat
Aan de andere kant zit een griffie, een advocatenkantoor of een technisch raadsman, en je weet zelden vooraf op welk systeem. De sterkste versleuteling is waardeloos als de ontvanger ze niet geopend krijgt.
BitLocker To Go. Voor verwisselbare gegevensdragers versleutelt Windows standaard met XTS-AES 128. Dat algoritme wordt niet gelezen door Windows 7, en evenmin door 8.1 zonder de nodige update. Dat zijn precies de machines die op een griffie of in een klein kantoor nog draaien. Ken je de ontvanger niet, stel dan AES-CBC in via Computerconfiguratie → Beheersjablonen → Windows-onderdelen → BitLocker-stationsversleuteling → Versleutelingsmethode en sterkte van codering kiezen, of kies een container in plaats van volledige schijfversleuteling.
De herstelsleutel is een getal van 48 cijfers, in acht groepen van zes. Dat is het stuk dat nooit in de dossiermap mag belanden.
VeraCrypt-container. Platformonafhankelijk en gratis, maar de ontvanger moet software installeren. Op een beheerde werkplek van een advocatenkantoor lukt dat vaak niet. Vraag het vooraf.
7-Zip. De laagste drempel: 7z-formaat, AES-256, en de optie Bestandsnamen versleutelen aan, op de opdrachtregel -mhe=on. Zonder die optie blijft de inhoudsopgave van het archief leesbaar, en in een dossier zijn de bestandsnamen vaak het meest sprekende wat er is. Een lijst met namen van bijlagen vertelt een lezer al waar de zaak over gaat, ook al gaat er geen enkel bestand open.
Werkregels
Gebruik twee verschillende merken dragers. Eén type betekent één serie, en dus één mogelijke seriefout. Twee merken beperken dat risico en werken bovendien op meer systemen.
Maak redundante kopieën. Bij een defecte of onleesbare drager val je terug op de tweede identieke kopie, zonder het bronmateriaal te moeten reconstrueren. Een tweede stick van enkele tientallen euro’s is altijd goedkoper dan de extractie opnieuw doen.
Label de drager zo dat hij zichzelf identificeert. Een volumelabel dat zichtbaar wordt zodra de drager gekoppeld is, een kleurcode per ontvanger, en een overzichtsblad dat drager aan bestemmeling koppelt. Bij vier sticks in een tas is dat het enige wat verwisseling voorkomt, en een verwisseling betekent dat partij A de kopie van partij B in handen heeft.
Bevestig de fysieke afgifte schriftelijk. Laat op de griffie afstempelen wat je precies afgeeft, of laat je aangetekende zending aftekenen. Zonder dat papier bestaat de levering niet, en de discussie daarover komt pas wanneer niemand zich nog herinnert wie wat kreeg.
Bewaar de herstelsleutels buiten het dossier. Een herstelsleutel die in de dossiermap belandt, zeker in een map die met de cloud synchroniseert, heft de versleuteling op. Bewaar ze in een wachtwoordbeheerder of offline.
Schrijf het wachtwoord niet uit in het bronbestand van je brief. Diezelfde regel, één niveau dieper. Het tekstdocument van de begeleidende brief staat in dezelfde dossiermap als de data, en dan reizen sleutel en data alsnog samen, alleen op je eigen schijf in plaats van over de post.
Bij hoge gevoeligheid: breng de dragers zelf. Post en koerier zijn dan niet gepast. Noteer die keuze en de reden ervan, want ze verantwoordt het tijdverlies en de verplaatsingskosten in je staat.
Wat in het verslag komt
Welke dragers, welke versleuteling, hoeveel kopieën, via welk kanaal elk deel is verstuurd, en aan wie. Dat is meteen je bewijs van aflevering.
Schrijf het als een tabel per bestemmeling. Wanneer een partij later beweert niets te hebben ontvangen, is dat overzicht samen met het aftekenblad van de aangetekende zending het enige wat je nodig hebt.