Tweeledige versleuteling in het Verenigd Koninkrijk

Door MacAnorak 21 september 2026

Hier is iets vreemds aan de hand. Alice en Bill wonen beiden in het Verenigd Koninkrijk. Beiden hebben identieke iPhones. Beiden maken gebruik van iCloud. Beiden betalen Apple voor dezelfde diensten. Alice heeft 'Geavanceerde Gegevensbescherming' (Advanced Data Protection, ADP) ingeschakeld, waardoor het grootste deel van haar iCloud-gegevens is beschermd. Bill niet, en hij kan het niet inschakelen. Alice activeerde het voordat Apple de functie in februari 2025 introk voor nieuwe Britse gebruikers. Bill heeft dat venster gemist.

Om te begrijpen hoe dit is gebeurd, moeten we meer dan tien jaar teruggaan naar de nasleep van de Snowden/NSA-onthullingen rondom PRISM. In januari 2014 werd Tim Cook geïnterviewd door David Muir voor ABC News. Cook zei: "We hebben momenteel een zwijgplicht," maar verduidelijkte: "er is geen achterdeur. De overheid heeft geen toegang tot onze servers. Ze zouden ons in een kist naar buiten moeten dragen om dat voor elkaar te krijgen... we staan daar heel sterk in."

Bijna twee jaar later, op 2 december 2015, voerden Syed Rizwan Farook en Tashfeen Malik de terroristische aanslag in San Bernardino uit, waarbij 14 mensen omkwamen en 22 gewond raakten. De FBI kreeg de iPhone 5C in handen die door Farook was gebruikt. Ze hadden een bevel om de iPhone te doorzoeken, maar ze kenden de toegangscode niet. De FBI verkreeg een gerechtelijk bevel om Apple te dwingen hen te helpen bij het openen van het apparaat. Ze wilden dat Apple een versie van iOS zou maken die de beveiligingsbeschermingen van de iPhone zou verwijderen of omzeilen (in het bijzonder de limieten op het aantal pogingen voor de toegangscode). Apple weigerde. In een open brief schreef Tim Cook dat de overheid vroeg om iets wat het bedrijf simpelweg niet had, en iets wat het als "te gevaarlijk om te creëren" beschouwde.

In een ander interview met David Muir van ABC gaf Cook een gepassioneerde en soms boze verdediging van het standpunt van Apple, waarbij hij de gevraagde software beschreef als het "equivalent van kanker". Hij betoogde dat zo'n tool zou fungeren als een "moedersleutel" die in staat zou zijn honderden miljoenen apparaten te ontgrendelen, en dat er, zodra deze gebouwd was, geen manier zou zijn om te garanderen dat hij alleen tegen die ene telefoon werd gebruikt.

In een apart interview voor CBS' 60 Minutes herhaalde Cook het onderliggende principe: "Als je een achterdeur inbouwt, dan is die achterdeur voor iedereen. Voor de goede jongens en de slechte jongens." James Comey, toen directeur van de FBI, vertelde 60 Minutes dat hij zich weliswaar had gecommitteerd aan het beschermen van de privacy van Amerikanen, maar dat "de gedachte dat we apparaten op de markt zouden brengen waarmee iemand zich buiten de wet kan plaatsen, mij zeer zorgen baart."

De FBI kreeg uiteindelijk toegang via een derde partij (naar algemeen bekend Cellebrite [1]) en trok de juridische actie tegen Apple in.

Spring bijna een decennium vooruit: op 7 februari 2025 onthulde The Washington Post exclusief dat de Britse regering Apple had bevolen toegang te verlenen tot gegevens die waren beschermd door het sterkste niveau van iCloud-versleuteling. Het Verenigd Koninkrijk heeft de bevoegdheid om dergelijke verzoeken in te dienen onder de Investigatory Powers Act 2016 — het middelpunt van de moderne Britse surveillanwetgeving. [2]

Een van de mechanismen die onder die wetgeving beschikbaar zijn, wordt een Technical Capability Notice (TCN) genoemd (een gesaniteerd, bureaucratisch eufemisme als ooit). Een TCN is een wettelijke instructie die een communicatie- of technologieprovider verplicht om de capaciteit te behouden of te ontwikkelen om te voldoen aan bepaalde vereisten (de kennisgeving zelf geeft niemand toestemming om toegang te krijgen tot gegevens — het zorgt er alleen voor dat de capaciteit bestaat voor het moment dat er een specifiek bevel of een machtiging is). Voordat een TCN wordt uitgevaardigd, is de overheid verplicht om zaken te overwegen zoals technische haalbaarheid, kosten, waarschijnlijke voordelen en het aantal getroffen gebruikers. Een TCN vereist goedkeuring van een Judicial Commissioner, en de ontvanger van een TCN heeft doorgaans een zwijgplicht en mag het bestaan of de inhoud ervan niet onthullen zonder toestemming van de Britse minister van Binnenlandse Zaken (het Home Office zegt over het algemeen noch te bevestigen, noch te ontkennen of een specifieke TCN bestaat).

De Post meldde dat Britse veiligheidsfunctionarissen in januari 2025 in het geheim zo'n TCN hadden uitgevaardigd, waarin werd verzocht dat Apple een manier zou creëren om toegang te krijgen tot versleutelde iCloud-gegevens, niet alleen van Britse gebruikers, maar van Apple-gebruikers wereldwijd. De brutaliteit hiervan was verbijsterend.

Het standpunt van Apple (privé, aangezien zij verboden waren om publiekelijk te reageren op de gerapporteerde TCN) toonde trouw aan hun eerdere positie: het opzettelijk verzwakken van end-to-end versleuteling, voor welk doel of voor wie de beoogde begunstigde ook is, zou elke gebruiker minder veilig maken. De discussie werd zo een conflict waarbij de Britse regering zei dat ze toegang nodig had, Apple zei dat ze de gegevens niet kon ontsleutelen, en de Britse overheid effectief antwoordde: verander dan het systeem zodat je dat wel kunt.

Het is belangrijk om hier in op de technische details in te gaan. Alle iCloud-gegevens zijn versleuteld. Maar er is een verschil tussen versleutelde gegevens en end-to-end versleutelde (E2EE) gegevens. iCloud beschermt gevoelige categorieën gegevens (zoals wachtwoorden, gezondheidsgegevens, berichten in iCloud, etc.) standaard al met end-to-end versleuteling. Voor al het andere behoudt Apple de mogelijkheid om de gegevens te ontsleutelen wanneer dat nodig is, en kan Apple door wetshandhavingsinstanties worden bevolen deze gegevens over te dragen. Met Geavanceerde Gegevensbescherming (ADP) worden verschillende extra categorieën iCloud-gegevens end-to-end versleuteld (iCloud-reservekopie, foto's, notities en andere). Apple zelf bezit de sleutels die nodig zijn om die beschermde gegevens te ontsleutelen niet. Het is niet iets wat Apple kan ontgrendelen, simpelweg omdat een overheid om de inhoud vraagt.

Er was een bemoedigende tegenreactie op wat de Britse regering Apple had gevraagd. Het Investigatory Powers Tribunal (IPT) raakte betrokken (het onafhankelijke Britse orgaan dat klachten behandelt over onrechtmatige surveillance of schendingen van mensenrechten door overheidsinstanties). Privacy International en andere groepen voerden aan dat de overheid technologiebedrijven niet in het geheim mag dwingen om versleuteling te verzwakken zonder adequate publieke controle. Apple zelf bevestigde effectief de onderliggende confrontatie met de Britse regering, zonder direct het bestaan van de gerapporteerde TCN te erkennen: op 21 februari kondigde het bedrijf aan dat Geavanceerde Gegevensbescherming niet langer beschikbaar zou zijn voor nieuwe Britse gebruikers, met de verklaring dat "we nooit een achterdeur of moedersleutel hebben gebouwd voor een van onze producten of diensten en dat zullen we ook nooit doen". [3]

Om duidelijk te zijn: de gerapporteerde TCN zelf beval Apple niet om ADP in te trekken. Het beval Apple om de technische capaciteit te behouden om ADP-beschermde gegevens toegankelijk te maken wanneer een bevel daarom vroeg. Als Apple had voldaan aan de gerapporteerde TCN, hadden ze een mechanisme moeten creëren dat in staat is om privé-informatie te ontgrendelen, wat potentieel geëxploiteerd zou kunnen worden door hackers, vijandige overheden en anderen. Het zou, geloof ik, ook een gevaarlijk precedent hebben geschapen — de "goede jongens" zijn misschien niet daadwerkelijk goed, en zelfs als ze dat waren, zou een toekomstige regering dat misschien niet zijn en die toegang voor slechte doeleinden willen gebruiken. Apple was in dit geval de kanarie in de kolenmijn. [4] Zo'n precedent zou ook invloed hebben op WhatsApp, Signal [5], cloud-opslagbedrijven, wachtwoordbeheerders, banken en in feite elke dienst die vertrouwt op echte end-to-end versleuteling.

Geconfronteerd met een wettelijk bevel dat zou vereisen dat de beveiligingsarchitectuur waarop ADP rust zou worden gewijzigd, vond Apple een derde optie: stop met het aanbieden van de functie die dit dilemma in de eerste plaats veroorzaakte. Apple zette de getroffen Britse iCloud-gegevens terug naar Standaard Gegevensbescherming, waarbij Apple de sleutels wel bezit en kan reageren op rechtmatige juridische procedures (behalve de basiscategorieën die in beide gevallen end-to-end versleuteld blijven). Dit voldeed aan de onderliggende wettelijke vereiste zonder ooit een 'achterdeur' te bouwen.

Apple zei dat de beslissing om ADP in het VK in te trekken hen "ernstig teleurstelde". Er was echter een belangrijke kanttekening. Apple stopte er alleen mee om nieuwe Britse gebruikers toe te staan Geavanceerde Gegevensbescherming in te schakelen. Het bedrijf gaf aan dat het ADP niet automatisch kon uitschakelen voor bestaande gebruikers die het al hadden ingeschakeld. Waarom kon Apple ADP niet gewoon voor iedereen in het VK uitschakelen? Omdat Apple ADP bewust zo heeft ontworpen dat de instelling alleen door de vertrouwde apparaten van de gebruiker kan worden gewijzigd. De beveiligingsdocumentatie van Apple stelt dat de servers de ADP-instelling niet kunnen wijzigen of terugdraaien namens een gebruiker.

Dit heeft effectief geleid tot een "tweeledig" niveau van versleuteling voor Apple-klanten in het Verenigd Koninkrijk. Mensen zoals ik, die het geluk hadden de functie te hebben ingeschakeld voordat deze werd ingetrokken, worden nog steeds beschermd door Geavanceerde Gegevensbescherming. Apple zegt dat "gebruikers een bepaalde tijd krijgen om de functie zelf uit te schakelen om hun iCloud-account te blijven gebruiken" (het bedrijf heeft geen deadline gepubliceerd voor wanneer bestaande Britse gebruikers dit moeten doen). Mensen die ADP niet hadden ingeschakeld vóór de beslissing, of die na het intrekken van de functie Apple-klant werden, kunnen ADP niet inschakelen.

Dit is wat ik nog steeds zie op mijn iPhone:

Om dit scherper te stellen: Alice schakelde ADP in op haar iPhone in 2024. Bill kan de functie niet inschakelen. Beiden zijn inwoners van het VK. Beiden gebruiken iCloud. Beiden vallen onder hetzelfde Britse wettelijke regime. Toch heeft Alice de sterkere end-to-end versleuteling voor de extra ADP-beschermde categorieën, terwijl Bill dat niet heeft.

Er zijn twee manieren waarop Bill hier terecht is gekomen. Misschien kocht hij zijn iPhone nadat Apple de optie voor nieuwe Britse gebruikers volledig had ingetrokken. Of misschien kocht hij hem vóór de deadline, net als Alice, maar wist hij niet dat ADP een opt-in functie was — hij moest het actief inschakelen, en dat deed hij niet. Welke versie van Bill je ook voorstelt, hetzelfde feit is nu voor beiden van toepassing: het is te laat voor hem om er iets aan te doen.

Pech gehad, Bill.

Waar we nu staan en waarom geheimhouding ertoe doet

De oorspronkelijke gerapporteerde eis van de Britse regering was wereldwijd. Deze werd eind 2025 vervangen door een beperktere kennisgeving die alleen Britse burgers betrof, nadat de regering-Trump druk uitoefende vanwege zorgen over de implicaties voor Amerikaanse gebruikers.

In juli 2026 diende Apple een nieuwe klacht in bij het Investigatory Powers Tribunal, die de maand daarna openbaar werd. Daarna, op 11 september 2026, riepen de Amerikaanse senator Ron Wyden [6] (een Democraat) en het Republikeinse Congreslid Warren Davidson het Investigatory Powers Tribunal op om de procedures betreffende het versleutelde gegevensconflict van Apple openbaar te maken. In hun brief aan het tribunaal betoogden ze dat de Britse eis voor geheimhouding de democratische governance aan beide kanten van de oceaan ondermijnt, en waarschuwden dat het Congres zijn toezichthoudende taken niet kan vervullen als "buitenlandse geheimhoudingsbevelen worden gewapend" om Amerikaanse bedrijven te verhinderen verantwoording af te leggen aan gekozen wetgevers.

Op 17 september meldde The Daily Telegraph dat Apple het Investigatory Powers Tribunal had gevraagd de beperkingen op te heffen die hen beletten het bestaan van de gerapporteerde TCN te bevestigen. Daniel Beard KC, die Apple vertegenwoordigt, vertelde het tribunaal dat dit zou toelaten dat "feiten in het openbaar worden gebracht". Advocaten van twee mensenrechtenorganisaties — Liberty en Privacy International — voerden aan dat het handhaven van het zwijgbevel "absurd" is, omdat iedereen er inmiddels van weet; Ben Jaffey KC vergeleek het geheimhoudingsbevel met de "kleren van de keizer... en brengt de rechtspleging in diskrediet".

En dit is het meest zorgwekkende aspect van deze hele zaak — de geheimhouding. Technical Capability Notices kunnen in het geheim worden uitgevaardigd door de Britse regering, en de ontvanger van de kennisgeving is wettelijk beperkt in wat hij daarover publiekelijk mag zeggen.

In een rede uit 1961 voor de American Newspaper Publishers Association [7] waarschuwde John F. Kennedy dat "het woord 'geheimhouding' op zichzelf al weerzin wekt in een vrije en open samenleving," waarbij hij specifiek wees op "geheime genootschappen... geheime eden en... geheime procedures". Hij betoogde dat een vrije samenleving geheimhouding niet automatisch moet accepteren, enkel omdat de overheid zich beroept op veiligheid. Hij waarschuwde dat elke aangekondigde behoefte aan verhoogde veiligheid het risico loopte te worden geëxploiteerd door hen die dit willen uitbreiden tot volledige censuur en verhulling.

Ik wil eerlijk zijn naar de Britse regering, dus laat me eerst de meest welwillende verklaring proberen: misschien is dit geen kwaadwillendheid, maar gewoon pure onwetendheid — technologische ongeletterdheid aan de kant van de Britse ministers. Maar deze verklaring is te simpel, te troostrijk. Het is moeilijk te geloven dat de Britse regering er niet van op de hoogte is dat versleuteling niet is als een fysieke kluis waarvan de fabrikant een moedersleutel heeft die een overheid via een bevel kan opeisen. Het cryptografische ontwerp betekent dat er geen moedersleutel is. Je kunt informatie niet verkrijgen door de fabrikant simpelweg te bevelen deze over te dragen. De enige manier om dat te doen is door het systeem te wijzigen. En onwetendheid is nog moeilijker geloofwaardig te maken als je bedenkt wie er waarschijnlijk betrokken zijn bij het uitgeven van een TCN — niet alleen ministers, maar ook veiligheids- en inlichtingendiensten, advocaten en technische adviseurs, die allemaal opereren binnen het wettelijke kader van de Investigatory Powers Act.

De overheid zou kunnen aanvoeren dat deze situatie niets te maken heeft met de eis van de FBI uit 2016 voor een moedersleutel: het is een wettelijk mechanisme, onderworpen aan onafhankelijk gerechtelijk toezicht, gericht op ernstige misdrijven. Maar naar mijn mening lost gerechtelijk toezicht het onderliggende technische probleem niet op — elk mechanisme dat een geautoriseerde partij binnenlaat, is een mechanisme dat een ongeautoriseerde partij potentieel kan ontdekken en exploiteren. De Britse regering (en dit gedrag betreft opeenvolgende Britse regeringen, van verschillende politieke kleuren, zowel Labour als Conservatief) lijkt te geloven dat de voordelen voor de nationale veiligheid opwegen tegen elke cybersecurity-kost. Ik begrijp het standpunt: ernstige criminelen gebruiken versleuteling, dus wetshandhavers hebben een manier nodig om toegang te krijgen tot versleuteld materiaal wanneer dat wettelijk is toegestaan. Maar we zitten in een impasse. Apple heeft de ontsleutelingssleutels niet. Het kan de overheid niet geven wat ze wil. Dus, in de context van dit specifieke geschil, heeft de Britse regering eigenlijk maar twee opties: Apple dwingen het systeem te wijzigen zodat iemand anders dan de vertrouwde apparaten van de gebruiker uiteindelijk toegang kan krijgen — noem het een achterdeur, een technische capaciteit, welk eufemisme ook past — of accepteren dat sommige gegevens permanent onbereikbaar blijven, als onderdeel van de afweging van het leven in een vrije samenleving.

Ik vraag me soms af wat er zou zijn gebeurd als Apple had toegegeven aan de verzoeken van de FBI in 2015. Wat men ook vindt van Tim Cooks (waarschijnlijk berekende) instemming met Trump [8], het is de moeite waard om terug te kijken naar zijn trouw aan één onvoorwaardelijk standpunt na de terroristische aanslag in San Bernardino, toen hij en zijn bedrijf onder zware vuur kwamen te liggen, niet alleen van de FBI en het bredere overheidsapparaat, maar ook van grote delen van het publiek. Het blijft een van de meest prominente voorbeelden van een privaat Amerikaans bedrijf dat zich publiekelijk verzette tegen overheidsmacht ten gunste van zijn gebruikers. [9]

Aan deze kant van de oceaan koos Apple ervoor om het oorspronkelijke verzoek van de Britse regering af te wijzen door ADP in te trekken voor nieuwe Britse gebruikers, waardoor zij ironisch genoeg worden beroofd van end-to-end versleuteling voor categorieën iCloud-gegevens die ADP voorheen beschermde. Het zou niet eerlijk zijn om de resulterende tweeledige uitkomst als iets te beschouwen dat Apple Bill is aangedaan. Apple kreeg een buitengewoon moeilijke keuze voorgeschoteld en koos de minst slechte beschikbare optie. Naar mijn mening ligt de onrechtvaardigheid bij de overheidsbeslissing die dit onmogelijke bevel in de eerste plaats heeft gecreëerd.

Noot: Ik heb voorafgaand aan de publicatie van dit stuk geschreven naar de minister van Binnenlandse Zaken en andere relevante ministers; geen van hen had gereageerd op het moment dat het live ging.

***

Voetnoten:

[1] Onderzoekers van het Citizen Lab van de Universiteit van Toronto hebben gedocumenteerd dat extractieapparaten van Cellebrite zijn gebruikt tegen mensenrechtenactivisten en journalisten in Rusland, Servië en elders, soms zelfs nadat het bedrijf beweerde het betreffende land te hebben afgesneden.

[2] De wortels van de Investigatory Powers Act gaan terug naar het 'Snooper's Charter' uit 2012, een poging om de toegang van de overheid tot communicatiegegevens uit te breiden, en naar eerdere wetgeving zoals de Regulation of Investigatory Powers Act 2000. Nadat de voorstellen uit 2012 vastliepen, kwam de regering in 2015 terug met de Investigatory Powers Bill. Deze werd in november 2016 wet en trad het jaar daarop in werking.

[3] Het intrekken van ADP in het VK had geen invloed op de 14 iCloud-categorieën die standaard al end-to-end versleuteld waren, waaronder iCloud Keychain en Gezondheid. ADP verhoogt het totaal van 14 naar 23 categorieën. Voor Britse gebruikers zonder ADP keren de extra categorieën (iCloud-reservekopie, Foto's, Notities, iCloud Drive en zo verder) terug naar Standaard Gegevensbescherming.

[4] Kanaries zingen constant en worden stil bij het eerste teken van gas. Mijnwerkers leerden te luisteren naar de stilte. Dit is niet het enige waarschuwingssysteem dat is gebouwd rond vogelgezang. Sommige Japanse kastelen uit de 17e eeuw (bijvoorbeeld het Nijō-kasteel in Kyoto) hebben vloeren die naar verluidt tjilpen als een nachtegaal bij elke voetstap, waarvan algemeen wordt aangenomen dat dit bewakers waarschuwde voor iedereen die door de gangen sloop (de bewegwijzering van het kasteel zegt echter: "Het zingende geluid is niet daadwerkelijk opzettelijk, maar komt voort uit de beweging van nagels tegen klonten in de vloer als gevolg van slijtage door de jaren heen").

[5] Meredith Whittaker, president van de Signal Foundation, heeft gezegd: "We zouden het VK of welke jurisdictie dan ook verlaten als de keuze zou komen tussen het inbouwen van een achterdeur in onze versleuteling en het verraden van de mensen die op ons vertrouwen voor hun privacy, of vertrekken."

[6] Dit is geen nieuwe strijd voor Wyden — hij is al bijna tien jaar een van de luidste stemmen tegen achterdeurtjes in de Amerikaanse Senaat en introduceerde in december 2014 de Secure Data Act om de overheid te verbieden bedrijven te dwingen versleuteling te verzwakken.

[7] Kennedy hield deze rede ongeveer een week na de mislukte invasie in de Varkensbaai. Hij pleitte tegelijkertijd voor "veel meer publieke informatie" en "veel meer officiële geheimhouding", wat de spanning weerspiegelt tussen persvrijheid en nationale veiligheid tijdens de Koude Oorlog.

[8] Tim Cook presenteerde Trump in augustus 2025 in het Oval Office een op maat gemaakte plaquette van 24-karaats goud op glas, samen met een aankondiging van een productie-investering van 100 miljard dollar.

[9] Een paar andere opmerkelijke voorbeelden: Lavabit sloot zichzelf volledig om de FBI niet de SSL-sleutels te overhandigen, nadat het werd bedreigd met een boete van 5.000 dollar per dag; Yahoo vocht tegen een geheim FISA-gerechtsbevel waarin werd geëist dat gebruikersgegevens aan het PRISM-programma van de NSA werden overhandigd, en werd bedreigd met boetes van 250.000 dollar per dag bij weigering.