Hoe beveilig je je smart home hub tegen hackers en indringers?

Bas Hartman

Smart Home & Energie Adviseur

Je smart home hub is het kloppende hart van je woning. Het is de plek waar je zonnepanelen praten met je laadpaal, je slimme thermostaat de verwarming aanstuurt en je energiebeheersysteem beslist of je nu stroom van het net haalt of teruglevert.

Alles wat met energiebesparing te maken heeft, komt hier samen. En dat maakt het ook een extreem aantrekkelijk doelwit voor hackers.

Een kwaadwillende kan niet alleen je data stelen, maar je complete huishouden ontregelen. Denk aan een laadpaal die op vol vermogen je auto oplaadt midden in de nacht, of een thermostaat die je huis op 30 graden zet. Dit is geen toekomstmuziek; het zijn reële scenario's.

Gelukkig is je hub goed te beveiligen met een paar concrete stappen. Je hoeft geen IT-expert te zijn. Je moet alleen weten waar je moet kijken. In deze handleiding loop je stap voor stap je smart home hub na, zodat jij de controle houdt over je eigen huis en energie.

Stap 1: De basis op orde – je netwerk

Voordat je naar je hub kijkt, moet je weten dat elke hacker eerst je netwerk in moet. Een open wifi-netwerk is als een open deur.

Je hoeft niet eens bij je hub te kunnen als je al op je netwerk zit. De eerste stap is dus je router, de poortwachter van je huis.

Wat je nodig hebt

• Toegang tot je router (meestal via 192.168.1.1 of 192.168.0.1 in je browser).
• De inloggegevens van je router (staan vaak op een sticker op het apparaat).
• Een app voor je router, zoals die van Ziggo, KPN of T-Mobile.

De instructies

1. Verander het standaardwachtwoord van je router. De fabrieksinstellingen zijn vaak 'admin' en 'wachtwoord'. Dit is het eerste wat hackers proberen. Kies een sterk wachtwoord van minimaal 12 tekens, met cijfers en symbolen. Dit duurt 5 minuten en voorkomt 90% van de basisaanvallen.
2. Zet WPA3 of WPA2-encryptie aan. Dit is de beveiliging van je wifi-netwerk. Kies nooit voor WEP, dat is verouderd en binnen een minuut gekraakt. WPA3 is het nieuwste en beste. Als je router dat niet heeft, vervang 'm dan. Een goede router (zoals een TP-Link Archer of Netgear Nighthawk) kost tussen de €80 en €150 en gaat jaren mee.
3. Maak een gastennetwerk (Guest Network). Zet je smart home apparaten op een apart netwerk. Je laptop en telefoon horen op het 'normale' netwerk. Mocht er een slimme lamp gehackt worden, dan kan die niet zomaar je laptop infecteren. Dit instellen kost 3 minuten en is een gamechanger.
4. Schakel WPS uit. WPS (Wi-Fi Protected Setup) is een handige knop om snel te verbinden, maar het is een bekend beveiligingsgat. Zet het uit in de routerinstellingen.

Veelgemaakte fouten

• Je wachtwoord niet veranderen. Dit is de meest gemaakte en domste fout.
• Je oude router blijven gebruiken. Een router ouder dan 5 jaar mist cruciale beveiligingsupdates.
• Alle apparaten op één netwerk gooien. Scheid je bezoekers, je computers en je slimme stopcontacten.

Stap 2: De hub zelf – je digitale kern

Je hub, of het nu een Home Assistant Green, een Hubitat of een specifieke hub van een energieleverancier is, is de doelwit.

Hier liggen al je data en toegangscodes. De fabrikant doet zijn best, maar jij moet de deur op slot doen. We gaan de hub zelf aanscherpen.

Wat je nodig hebt

• Toegang tot de instellingen van je hub (via een app of webinterface).
• Een wachtwoordmanager (zoals Bitwarden of 1Password) om sterke wachtwoorden te genereren en bewaren.
• Je hub-firmware up-to-date.

De instructies

1. Verander de standaard inlognaam en het wachtwoord. Veel hubs draaien op 'admin'/'admin'. Dit is het allereerste wat een hacker probeert. Maak een unieke gebruikersnaam en een zeer sterk wachtwoord van minimaal 16 tekens. Schrijf het niet op een briefje, maar gebruik een wachtwoordmanager. Dit duurt 10 minuten, maar het is de moeilijkste hack die er is.
2. Schakel Tweefactorauthenticatie (2FA) in. Dit is de allerbelangrijkste stap. Zelfs als een hacker je wachtwoord heeft, heeft hij ook je telefoon nodig om in te loggen. Gebruik een authenticator-app zoals Authy of Google Authenticator. Dit voelt misschien als een extra stap, maar het maakt je account in feite onkraakbaar. Instellen duurt 3 minuten.
3. Update je firmware regelmatig. Fabrikanten vinden lekken en patchen ze. Als je niet update, blijf je kwetsbaar. Zet automatische updates aan als dat kan. Check anders eens per maand handmatig. Een update duurt 5 tot 15 minuten. Doe dit nooit vlak voordat je de deur uitgaat.
4. Beperk de toegang tot je hub. Schakel 'Remote Access' uit als je het niet dagelijks gebruikt. Wil je wel op afstand bij je hub kunnen? Gebruik dan een veilige VPN-verbinding in plaats van een open poort. Dit klinkt technisch, maar veel routers (zoals die van Ubiquiti) hebben dit ingebouwd. Het is veiliger dan poorten open zetten.

Veelgemaakte fouten

• 2FA niet aanzetten. "Het is toch maar een lamp?" Totdat iemand je complete energieverbruik inziet en je laadpaal overneemt.
• Automatische updates uitzetten omdat je bang bent dat iets stuk gaat. Een stukje software dat je niet update, is een open deur.
• Externe toegang open zetten zonder extra beveiliging. Je zet dan letterlijk een deur open naar je netwerk.

Stap 3: Specifieke kwetsbaarheden bij energie-apparatuur

Hier komen we in de niche van energiebesparing en zonnepanelen. Je zonnepanelen-inverter, je laadpaal (zoals een Easee of Wallbox) en je energiemeter (bijv. van SolarEdge of Fronius) communiceren met je hub.

Deze apparaten hebben vaak een eigen 'taal' (protocollen als Modbus of MQTT) en die kunnen lek zijn. We gaan hier specifiek op in.

Wat je nodig hebt

• Inzicht in welke apparaten op je hub zijn aangesloten.
• Toegang tot de instellingen van je zonnepanelen-inverter en laadpaal.
• Een netwerkscanner (optioneel, apps zoals Fing helpen hierbij).

De instructies

1. Wijzig de standaardpoorten van je inverter en laadpaal. Apparaten zoals een GoodWe of Huawei inverter communiceren via poort 502 (Modbus). Hackers scannen deze poorten standaard. In de geavanceerde instellingen van je apparaat kun je deze poort vaak aanpassen naar een willekeurig getal boven de 1024. Dit duurt 5 minuten en maakt automatische scans nutteloos.
2. Maak een apart VLAN voor je energie-apparaten. Dit is een stapje verder dan een gastennetwerk. Een VLAN (Virtual Local Area Network) scheidt je apparaten op netwerkniveau. Je zonnepanelen-inverter kan dan niet communiceren met je laptop. Dit vereist een wat geavanceerdere router (vanaf €150), maar het is de gouden standaard voor smart home beveiliging. Het instellen kost een uur, maar het is een set-and-forget oplossing.
3. Gebruik lokale integraties in plaats van cloud. Koppel je apparaten zoveel mogelijk lokaal aan je hub. Gebruik een Home Assistant integratie die lokaal werkt in plaats van een die via de cloud van de fabrikant gaat. Dit is niet alleen sneller en beter voor je privacy (je data blijft in huis), maar het reduceert ook het aanvalsoppervlak. Je bent niet afhankelijk van de beveiliging van een ver oceaan server.
4. Controleer de API-toegang van je energieleverancier. Sommige energieleveranciers (bijv. via Home Assistant) vragen om een API-sleutel. Zie deze sleutel als een digitale huissleutel. Deel hem nooit. Bewaar hem in een veilige plek en als je hem niet gebruikt, verwijder hem dan uit je account bij de leverancier.

Veelgemaakte fouten