VPN vs versleutelde overdracht: heeft u beide nodig?
VPN vs versleutelde overdracht vergeleken. Begrijp wat elk beschermt en of u beide beveiligingslagen nodig heeft.
Een VPN tunnelt je netwerkverkeer via een tussenpersoon en verbergt bestemmingen voor je internetprovider en het lokale netwerk. Versleutelde bestandsoverdracht maakt de bestandsinhoud onleesbaar, zodat alleen de ontvanger ze kan ontsleutelen. Ze lossen verschillende problemen op: de VPN beschermt je verbindingsmetadata — welke sites je bezoekt, welke IP-adressen je contacteert — terwijl versleutelde overdracht de payload beschermt: de inhoud van de .pdf die je verstuurt. Je hebt zelden beide nodig voor hetzelfde risico, maar samen gebruiken kost niets en dicht gaten die geen van beide alleen kan afdichten. Een VPN zonder E2EE lekt bestanden naar de VPN-aanbieder; E2EE zonder VPN lekt metadata naar de WeTransfer-achtige server.
Wat een VPN daadwerkelijk verbergt
Een VPN legt een TLS- of WireGuard-tunnel aan van je toestel naar een server van de VPN-aanbieder. Je internetprovider ziet versleuteld verkeer naar een Mullvad-IP in Zweden; ze zien niet dat je hexatransfer.com bezoekt. De doelwebsite ziet het IP-adres van de VPN als jouw herkomst. Binnenin de tunnel werkt je TLS naar de bestemming gewoon door — de VPN leest het niet, tenzij de aanbieder zijn no-logs-belofte schendt. Wat een VPN niet doet: het bestand zelf versleutelen. Als de doelserver je upload in plaintext opslaat, heeft de VPN alleen verborgen wie de uploader was, niet wat er geüpload is.
Wat versleutelde bestandsoverdracht verbergt
End-to-end versleutelde overdracht gebruikt AES-256-GCM met een sleutel afgeleid van een wachtwoord of willekeurig URL-fragment. De serviceprovider ziet alleen ciphertext — hij kan het bestand niet lezen, kan niet meewerken aan een gerechtelijk verzoek om de inhoud, en kan er geen AI op trainen. Wat E2EE niet verbergt: je IP-adres dat verbinding maakt met de service, de bestandsgrootte, het tijdstip en doorgaans het feit dat er een overdracht heeft plaatsgevonden. Metadatalekken blijven bestaan. Een waarnemer op je netwerk ziet "Alice uploadde 4,2 GB naar hexatransfer.com om 14:03 UTC" — ook al ziet hij het bestand zelf niet.
De dreigingsmodellen waarbij elk wint
Kies voor een VPN wanneer je bedreiging op netwerkniveau zit: een vijandige internetprovider, een aanvaller op het wifi-netwerk van een koffiebar, een land dat bepaalde sites blokkeert, of een bedrijfsproxy die URL's logt. Kies voor versleutelde overdracht wanneer de bedreiging de serviceprovider is, een gerechtelijk verzoek aan de service, een cloudopslag-datalek of handhaving die een server onderschept. Kies voor beide wanneer je te maken hebt met een geavanceerde tegenstander die metadata over lagen heen koppelt — een journalist die brondocumenten doorstuurt naar een redactie, of een klokkenluider die attributie wil vermijden.
Waar een VPN alleen tekortschiet
Services als NordVPN, Mullvad en ProtonVPN versleutelen niet wat je uploadt naar bestemmingen van derden, buiten TLS. Als je een .docx van 200 MB uploadt naar een dienst die het in plaintext opslaat — sommige oudere bedrijfsbestandsshares doen dit nog — dan heeft de VPN je IP verborgen, maar de service heeft je document leesbaar in handen. Bovendien kunnen VPN-aanbieders zelf worden gecompromitteerd: PureVPN's logs uit 2017 hielpen de FBI een stalker identificeren ondanks hun "no logs"-marketing. Je dreigingsmodel moet de VPN-aanbieder vertrouwen, en dat is geen nulrisico.
Waar versleutelde overdracht alleen tekortschiet
Als hexatransfer.com wordt geblokkeerd door jouw land — Rusland blokkeerde in 2024 meerdere bestandsoverdrachtsdiensten — helpt client-side encryptie je niet om de service te bereiken. Als je internetprovider logt dat je de site bezoekt, kan die metadata alleen al verdacht zijn in autoritaire contexten. Een journalist in een vijandig land die uitsluitend E2EE gebruikt, geeft prijs dat er een brondelingsevenement heeft plaatsgevonden, zelfs als de inhoud privé blijft. Voor dit profiel is Tor plus E2EE of VPN plus E2EE de juiste combinatie.
De combinatie in de praktijk
Eerst een VPN, dan een versleuteld bestand uploaden, levert sterke eigenschappen op: de VPN verbergt voor je internetprovider dat je hexatransfer.com gebruikt, de E2EE verbergt de bestandsinhoud voor de service, en geen enkele aanbieder ziet tegelijk je identiteit én je bestand. WireGuard voegt circa 3–5 ms latentie toe en nauwelijks bandbreedteoverhead op moderne hardware. De AES-256-GCM-encryptie voegt 500 ms PBKDF2-afleiding toe plus een paar procent CPU-gebruik tijdens het uploaden. Voor een bestand van 1 GB over een 100 Mbps-lijn is de totale overhead minder dan 2 seconden. Gebruik ze samen.
Bedrijfs-VPN's en het split-tunnelprobleem
Zakelijke VPN's — Cisco AnyConnect, Palo Alto GlobalProtect — sturen medewerkerverkeer via een bedrijfsgateway die TLS-inspectie uitvoert. Die gateway beëindigt je HTTPS, leest de plaintext en versleutelt opnieuw naar de bestemming. Upload je een niet-versleuteld bestand, dan ziet het beveiligingsteam — of een gecompromitteerde beheerder — het inhoud. Client-side encryptie doorbreekt dit: de ciphertext binnenin de TLS-tunnel blijft ondoorzichtig voor de inspectiemakelaar, omdat die de AES-sleutel niet heeft. Dit is relevant wanneer je persoonlijke documenten via een werklaptop moet versturen.
Tor als derde optie
Voor extreme metadatabescherming overtreft Tor zowel VPN's als versleutelde overdracht. Drie hops, uienroutering, geen enkele relay ziet tegelijk bron en bestemming. Een overdrachtsdienst met een .onion v3-adres (56 tekens base32, ed25519-sleutels) geeft nog betere privacy dan IP-gebaseerde toegang plus VPN. Het nadeel is snelheid: Tor's huidige bandbreedte gemiddeld 50–200 Mbps per circuit, waardoor een bestand van 10 GB langer duurt. SecureDrop gebruikt deze combinatie voor documentontvangst bij nieuwsredacties; voor alledaagse bestandsdeling is VPN plus E2EE de betere afweging.
Juridische blootstelling en het chilling effect
In sommige rechtsgebieden is VPN-gebruik op zichzelf al verdacht: China, Rusland, de VAE en Iran beperken VPN-gebruik. Encryptiewetgeving in het VK (Online Safety Act 2023) en Australië (TOLA 2018) creëert gedwongen-bijstandsregimes die een VPN-aanbieder kunnen verplichten specifieke gebruikers te loggen. E2EE waarbij de service geen sleutels bewaart, beschermt tegen gedwongen bijstand: er valt niets over te dragen. Dit is waarom journalistieke organisaties als de Freedom of the Press Foundation Tor plus SecureDrop plus PGP aanbevelen boven een commerciële VPN met standaardoverdracht.
De praktische aanbeveling
Voor de meeste mensen die een .pdf naar hun accountant sturen, is versleutelde bestandsoverdracht alleen voldoende — de dreiging is toegang door de serviceprovider, niet netwerksurveillance. Mensen op onvertrouwde netwerken — hotel-wifi, luchthaven — voegen een VPN toe. Mensen met een vijandiger dreigingsmodel — journalisten, activisten, advocaten met gevoelige zaken — voegen Tor toe. De tools zijn combineerbaar; één kiezen sluit de andere niet uit. Investeer in het minimum dat je dreigingsmodel vereist, sla de rest over.
Probeer het op hexatransfer.com — gratis, zonder account, tot 10 GB.
Verstuur grote bestanden veilig met end-to-end-versleuteling
Draag bestanden tot 10 GB gratis over met end-to-end-versleuteling. Geen account nodig. Uw bestanden worden in uw browser versleuteld voordat ze worden geüpload — niemand anders kan ze lezen.
Een bestand verzenden