Zijn iCloud-foto's end-to-end versleuteld?

Standaard zijn iCloud-foto's niet end-to-end versleuteld. Apple slaat ze op met versleutelingssleutels die het zelf beheert en kan ze ontsleutelen wanneer dat wettelijk vereist is. Het inschakelen van Geavanceerde gegevensbescherming verandert dat: je vertrouwde apparaten hebben de sleutels, Apple niet. ADP is opt-in, standaard uitgeschakeld en vereist herstelinstelling voordat je het kunt inschakelen.

iCloud-foto's zijn versleuteld - maar onder standaard gegevensbescherming bewaart Apple de versleutelingssleutels en kan het je foto's inzien als reactie op een rechterlijk bevel of voor accountherstel. Met Geavanceerde gegevensbescherming ingeschakeld worden iCloud-foto's echt end-to-end versleuteld: je apparaten bewaren de sleutels, Apple heeft niets. ADP moet handmatig worden ingeschakeld. Het is niet de standaard en het werd in februari 2025 verwijderd voor VK-gebruikers door een overheidseisen die Apple wettelijk niet kon weigeren.

Wat 'versleuteld' betekent als Apple de sleutels bewaart

iCloud versleutelt je foto's wel. Die bewering is waar en tegelijk misleidend als je daar stopt.

Onder standaard gegevensbescherming - de standaard voor elk Apple-account - zijn je foto's versleuteld tijdens transport en opgeslagen in een versleuteld formaat op Apple's servers. De versleuteling is echt. Wat de kleine lettertjes zeggen is dat Apple de versleutelingssleutels bewaart in hardwarebeveiligingsmodules in zijn eigen datacenters. Apple's supportdocumentatie is duidelijk: de sleutels zijn toegankelijk voor Apple-servers en Apple kan je helpen je gegevens te herstellen als je de toegang tot je account verliest.

Die architectuur heeft een naam: server-side versleuteling. De aanbieder versleutelt de gegevens en de aanbieder bewaart de sleutel. Het beschermt je foto's tegen iemand die de opslaglaag binnenbreekt zonder inloggegevens. Het beschermt ze niet tegen Apple zelf, tegen een rechterlijk bevel gericht aan Apple, of tegen een inbreuk op de sleutelbeheersystemen. Als journalisten en onderzoekers iCloud beschrijven als doelwit voor handhavingsverzoeken, is dat het mechanisme dat ze beschrijven. De gegevens zijn opvraagbaar omdat Apple ze kan opvragen.

Dit is geen verborgen gebrek. Apple publiceert het in zijn iCloud-gegevensbeveiligingsoverzicht. Het is de bewuste afweging voor accountherstel: je kunt je foto's terugkrijgen na het verlies van je apparaat precies omdat Apple ze namens jou kan ontsleutelen.

Vijftien iCloud-gegevenscategorieen zijn end-to-end versleuteld onder standaardbescherming, waaronder Wachtwoorden en Sleutelhanger, Gezondheidsgegevens en een aantal andere. iCloud-foto's, iCloud-back-up, Notities en de meeste andere niet.

Geavanceerde gegevensbescherming: wanneer iCloud-foto's echt end-to-end versleuteld worden

Geavanceerde gegevensbescherming voor iCloud, dat Apple op 7 december 2022 aankondigde, verandert het sleutelbeheermodel voor de meeste iCloud-gegevens. Als ADP is ingeschakeld, bewaren je vertrouwde apparaten de versleutelingssleutels, niet Apple. Het aantal gegevenscategorieen dat is beveiligd met end-to-end versleuteling stijgt van 15 naar 25, en iCloud-foto's is een van de toevoegingen.

Een opmerking over dat aantal categorieen: Apple's oorspronkelijke aankondiging in december 2022 vermeldde dat de dekking uitbreidde van 14 naar 23 categorieen. Huidige Apple-ondersteuningspagina's vermelden 25. Apple heeft de ADP-dekking uitgebreid sinds de lancering. Dit artikel gebruikt 25 als het huidige getal uit live Apple-ondersteuningsdocumentatie en vermeldt de discrepantie voor de nauwkeurigheid.

Ivan Krstić, Apple's hoofd Security Engineering and Architecture, beschreef het bij de lancering: Geavanceerde gegevensbescherming is Apple's hoogste niveau van cloudgegevensbeveiliging en geeft gebruikers de keuze om het overgrote deel van hun meest gevoelige iCloud-gegevens te beschermen met end-to-end versleuteling, zodat deze alleen op hun vertrouwde apparaten kunnen worden ontsleuteld.

Die beschrijving klopt. Als ADP is ingeschakeld, beschikt Apple niet over de sleutels die nodig zijn om de foto's in uw persoonlijke bibliotheek te decoderen. Apple kan bij een geldig juridisch verzoek nog steeds versleutelde gegevens en bijbehorende account- of dienstmetadata verstrekken; het punt is dat Apple de versleutelde foto's niet leesbaar kan maken. Gedeelde albums en andere uitgesloten categorieën gebruiken een ander beveiligingsmodel.

ADP is een echte privacyverbetering. Als het ingeschakeld is, wordt iCloud echte end-to-end versleutelde fotoopslag. Als je iCloud gebruikt voor foto's die je privaat wilt houden en je niet in het VK woont, is het inschakelen van ADP de installatieomzet waard.

Wat ADP nog steeds niet beschermt

De dekking is breed maar niet volledig. Drie categorieen vallen buiten end-to-end versleuteling, zelfs als ADP is ingeschakeld.

Mail, Contacten en Agenda. Apple's redenering is interoperabiliteit: deze diensten wisselen gegevens uit met externe systemen - e-mailservers, CalDAV-providers, CardDAV-diensten - en standaardversleuteling is vereist voor die uitwisseling. Apple versleutelt deze gegevens, maar bewaart de sleutels.

Gedeelde albums in Foto's. Een album dat is gedeeld met andere mensen of gepubliceerd met een URL voor 'iedereen met de link' is toegankelijk op het web. Die toegang vereist dat Apple de inhoud kan leveren, wat server-side sleutels vereist. De foto's in je persoonlijke bibliotheek zijn end-to-end versleuteld als ADP is ingeschakeld; dezelfde foto's in een gedeeld album zijn dat niet.

iWork-samenwerking. Realtime bewerking van gedeelde Keynote-, Numbers- en Pages-documenten gaat via Apple's servers voor bemiddeling. Die coordinatie vereist servertoegang tot de inhoud.

Dit is niet Apple dat onzorgvuldig is. Het zijn de architectuurkosten van functies die een server in het midden vereisen. Als je end-to-end versleutelde foto's wilt, houd ze dan buiten Gedeelde albums.

Controleren of ADP is ingeschakeld en hoe je het inschakelt

ADP is standaard niet ingeschakeld. Om te controleren: open Instellingen op je iPhone, tik op je naam bovenaan, tik op iCloud, scrol naar beneden en tik op Geavanceerde gegevensbescherming. Als je 'Geavanceerde gegevensbescherming is ingeschakeld' ziet, is het actief. Als je een prompt ziet om het in te schakelen, is het dat niet.

Het inschakelen vereist twee dingen die Apple zal vragen voordat de schakelaar iets doet: tweefactorauthenticatie op je Apple-account en minimaal een herstelmethode - een herstelcontact (een andere persoon met een Apple-apparaat) of een herstelsleutel (een reeks van 28 tekens die je op een veilige plek bewaart). Dit is verplicht, niet optioneel. Apple kan je niet helpen end-to-end versleutelde gegevens te herstellen als je de toegang verliest, dus je moet je eigen herstelpad instellen voordat ADP wordt ingeschakeld.

Het inschakelen van ADP op een apparaat schakelt het in voor je volledige Apple-account op alle compatibele apparaten. Het is accountbreed. Apparaten moeten iOS 16.2, iPadOS 16.2, macOS 13.1 of later draaien.

De duurzaamheidsvraag: wat er in het VK gebeurde

In februari 2025 verwijderde Apple Geavanceerde gegevensbescherming voor VK-gebruikers. De directe oorzaak was een Technical Capability Notice uitgegeven door het VK Home Office onder de Investigatory Powers Act, die eiste dat Apple toegang zou bieden tot versleutelde gebruikersgegevens opgeslagen in iCloud.

In plaats van een achterdeur te bouwen, trok Apple ADP terug voor het VK. VK-gebruikers die ADP al hadden ingeschakeld, ontvingen op 21 februari 2025 meldingen met de instructie het uit te schakelen of het risico te lopen de toegang tot hun iCloud-accounts te verliezen. Nieuwe VK-gebruikers kunnen ADP helemaal niet inschakelen. De 15 standaard versleutelde categorieen blijven beschermd; alles andere - Foto's, Back-up, Notities en de rest van de 25 ADP-categorieen - keerde terug naar standaard (Apple-bewaart-de-sleutels) versleuteling voor VK-accounts.

De oorspronkelijke notice eiste naar verluidt toegang tot iCloud-gegevens van alle wereldwijde gebruikers. Na aanzienlijke druk van Amerikaanse wetgevers en, volgens berichtgeving in augustus 2025, een verklaring van de Amerikaanse Director of National Intelligence dat het VK de bredere eis had ingetrokken, wijzigde het Home Office de order zodat deze alleen VK-gebruikers betrof. Apple liet daarna zijn juridisch bezwaar tegen de herziene notice vallen. Het Investigatory Powers Tribunal wees het beroep af op 14 oktober 2025, met als reden een 'verandering van omstandigheden.'

Apple's verklaring op dat punt: 'We zijn ernstig teleurgesteld dat de bescherming van ADP niet beschikbaar is voor onze klanten in het VK, gezien de voortdurende toename van datalekken en andere bedreigingen voor de privacy van klanten.'

Per juni 2026 is ADP nog steeds niet beschikbaar voor VK-gebruikers volgens Apple's eigen ondersteuningspagina op support.apple.com/en-gb/122234. Privacy International en Liberty hebben actieve juridische bezwaren tegen de bewakingsorders van het Home Office die doorlopen tot 2026, maar die zaken zijn bedoeld om de orders te betwisten, niet om ADP als nabijgelegen uitkomst te herstellen. Of ADP zal terugkeren naar het VK is een open vraag zonder bevestigd antwoord op het moment van schrijven.

De VK-zaak is relevant voor gebruikers overal om een reden: het is een gedocumenteerd proof of concept. Een overheid kan een platformbrede schakelaar uitschakelen voor de gebruikers van een heel land zonder dat die gebruikers individueel worden aangevallen of op de hoogte gesteld. Het mechanisme - een geheime kennisgeving op grond van een nationale veiligheidswet - is niet uniek voor het VK. De Investigatory Powers Act heeft equivalenten in andere rechtsgebieden. Het punt is niet om te alarmeren; het punt is dat 'het platform belooft end-to-end versleuteling' anders is dan 'het vermogen van het platform om end-to-end versleuteling te leveren is juridisch duurzaam.' Dat zijn twee afzonderlijke beweringen.

Waar Vaultaire past: een andere architectuur

Vaultaire is een andere architectuur, geen vervanging voor alles wat ADP doet.

ADP is platformniveau, accountgebonden en cloudgekoppeld. De gegevens staan nog steeds in iCloud; de innovatie is dat Apple de sleutel niet meer heeft. Je krijgt iCloud's synchronisatie, toegang via meerdere apparaten en back-up, met de sleutelbewaring verplaatst naar je apparaten. Dat is een goede afweging voor de meeste mensen.

Vaultaire werkt lokaal eerst. Uw kluisbestanden verlaten de iPhone alleen als op het apparaat versleutelde kopieën, via de back-up, synchronisatie en deelacties die hieronder staan. Een patroon getekend op het 5x5-raster en een salt per apparaat gaan door PBKDF2-HMAC-SHA512 om de lokale kluissleutel af te leiden. Die sleutel authenticeert de versleutelde index en pakt een aparte willekeurige hoofdsleutel uit die wordt gebruikt voor AES-256-GCM-bestandsversleuteling. Herstelvelden worden bewaard in een met AES-GCM versleutelde database in de sleutelhanger (Keychain); ze ontbreken dus niet in de opslag van het apparaat.

Voor de versleutelde iCloud-back-up, die standaard is ingeschakeld, leidt Vaultaire uit het patroon een aparte, apparaatonafhankelijke back-upsleutel af en versleutelt het opgevulde CloudKit-gegevens op het apparaat. Apple ontvangt versleutelde gegevens, record- en overdrachtsmetadata en een versleuteld herstelmanifest, geen onversleutelde back-upsleutel. De herstelzin, een gegenereerde zin van 9 woorden of een eigen zin van minstens zes woorden, leidt een andere sleutel af die dat manifest kan openen zolang de bijbehorende versleutelde records beschikbaar blijven.

De grens bij de aanbieder is precies: Vaultaire geeft geen dienst een onversleutelde kluis- of back-upsleutel. Een inbraak bij een aanbieder kan nog steeds versleutelde gegevens en dienstmetadata blootleggen, en de app, iOS, de sleutelhanger, herstelgegevens en een ontgrendeld apparaat blijven deel van het vertrouwensmodel.

Het verschil met ADP is waar de controle ligt. Met ADP en iCloud-foto's wordt uw bibliotheek tussen apparaten gesynchroniseerd en kan ze worden hersteld via het herstelmodel dat u bij Apple hebt ingesteld. Vaultaire verstuurt kluisgegevens via CloudKit voor de versleutelde back-up, die standaard aan staat en kan worden uitgeschakeld, en voor synchronisatie of delen als u die gebruikt; herstel uit CloudKit vereist de eigen herstelzin plus de bijbehorende versleutelde records. Aparte back-ups van iOS of via een computer vallen onder het besturingssysteem. Vaultaire heeft geen Wraxle-reservesleutel.

Geen van beide modellen is strikt superieur. ADP voegt end-to-end-bescherming toe aan ondersteunde iCloud-categorieën en behoudt iCloud-synchronisatie en -herstel. Vaultaire heeft geen account nodig, en de op het apparaat versleutelde CloudKit-back-up staat standaard aan omdat één apparaat te kwetsbaar is; u kunt die uitschakelen in Instellingen. Geen van beide keuzes haalt het apparaat, de herstelroute, de metadata, de back-upinstellingen van het besturingssysteem of de app zelf uit het dreigingsmodel.

Je kunt beide gebruiken. De meeste mensen die Vaultaire gebruiken, gebruiken iCloud-foto's nog steeds voor hun dagelijkse bibliotheek, met ADP ingeschakeld.

Gerelateerd:

• End-to-end versleuteling voor foto's, uitgelegd
• Scant Apple Intelligence je foto's?
• Zero-knowledge versleuteling, uitgelegd
• Versleutelde iCloud-back-up: versleuteld voordat het je telefoon verlaat
• Wat het privacybeleid van cloudopslag voor foto's werkelijk zegt

Veelgestelde vragen

Zijn iCloud-foto's standaard end-to-end versleuteld?

Nee. Onder standaard gegevensbescherming slaat Apple iCloud-foto's op met versleutelingssleutels die het beheert in zijn eigen datacenters. Apple kan je foto's ontsleutelen wanneer vereist: voor accountherstel en als reactie op geldige rechterlijke bevelen. Slechts 15 iCloud-gegevenscategorieen zijn standaard end-to-end versleuteld; Foto's is daar geen van.

Wat doet Geavanceerde gegevensbescherming eigenlijk met mijn foto's?

Met ADP ingeschakeld sluiten iCloud-foto's aan bij de 25 iCloud-gegevenscategorieen die gebruikmaken van end-to-end versleuteling. Je vertrouwde apparaten bewaren de sleutels, niet Apple. Apple kan je foto's niet lezen, ze niet overdragen als reactie op een rechterlijk bevel voor iCloud-gegevens en ze niet herstellen als je je account verliest. Herstel is jouw verantwoordelijkheid - dat is waarom ADP vereist dat je een herstelcontact of herstelsleutel instelt voordat het wordt geactiveerd.

Kan Apple mijn iCloud-foto's zien?

Onder standaard gegevensbescherming: ja, Apple kan iCloud-foto's inzien en ontsleutelen wanneer vereist. Onder Geavanceerde gegevensbescherming: nee, Apple heeft geen sleutel tot je end-to-end versleutelde gegevens. De 15 standaardcategorieen - inclusief Gezondheid en Sleutelhanger-wachtwoorden - zijn altijd ontoegankelijk voor Apple, ongeacht de ADP-status.

Hoe schakel ik Geavanceerde gegevensbescherming in?

Open Instellingen, tik op je naam, tik op iCloud, scrol naar beneden en tik op Geavanceerde gegevensbescherming. Je hebt tweefactorauthenticatie nodig en minimaal een herstelmethode ingesteld - een herstelcontact of een herstelsleutel. Apparaten moeten iOS 16.2 of later draaien. Het inschakelen op een apparaat activeert het voor je hele Apple-account.

Welke gegevens zijn niet gedekt door Geavanceerde gegevensbescherming?

Mail, Contacten en Agenda zijn niet end-to-end versleuteld, zelfs niet met ADP ingeschakeld, omdat ze gegevens moeten uitwisselen met externe servers. Gedeelde albums in Foto's zijn ook niet end-to-end versleuteld: ze zijn toegankelijk op het web. iWork realtime samenwerkingsdocumenten zijn ook niet gedekt. Alles wat is gedeeld 'met iedereen met de link' valt buiten ADP's bescherming.

Kan de overheid via Apple toegang krijgen tot mijn iCloud-foto's?

Onder standaard gegevensbescherming: ja, een geldig rechterlijk bevel gericht aan Apple kan resulteren in het overdragen van je foto's. Met ADP ingeschakeld heeft Apple geen sleutel om over te dragen. De VK-zaak van februari 2025 toonde aan dat een overheid een platform ook kan dwingen ADP voor een heel land uit te schakelen, waardoor gebruikers van end-to-end bescherming teruggaan naar standaardbescherming zonder hun individuele toestemming.

Wat is een iCloud-fotokluis?

De uitdrukking beschrijft het gebruik van iCloud-foto's als plek om gevoelige foto's op te slaan. Met ADP ingeschakeld functioneren iCloud-foto's als echte end-to-end versleutelde cloudopslag voor foto's. De praktische beperking is dat dit nog steeds accountgebonden is: toegang vereist je Apple-account en de duurzaamheid van de versleuteling hangt af van Apple's vermogen om het te handhaven onder juridische druk in jouw rechtsgebied.

Is er een manier om foto's op te slaan die Apple niet kan inzien?

Ja, op twee manieren. Ten eerste houdt Geavanceerde gegevensbescherming de ontsleutelingssleutels voor beschermde iCloud-foto's weg bij Apple. Ten tweede kan een lokale kluis bestanden buiten de cloudopslag houden of ze op het apparaat versleutelen vóór elke upload. Apple heeft mogelijk nog steeds account- en dienstmetadata en versleutelde gegevens, maar geen onversleutelde inhoudssleutel voor die beschermde bestanden.