DDoS-aanval legt inloggen bij DigiD en Belastingdienst ruim een uur deels plat, een dag voor de btw-deadline

De aanval begon om 13.22 uur

DigiD lag vrijdagmiddag 30 oktober ruim een uur en een half deels plat door een DDoS-aanval. De verstoring begon om 13.22 uur en was rond 14.49 uur voorbij. In die periode mislukten inlogpogingen voor een deel van de gebruikers, terwijl de website van DigiD zelf wel bereikbaar bleef. Dat verschil maakte de storing verwarrend: wie de pagina opende kreeg die te zien, maar kwam vervolgens niet door de inlogstap.

Logius, het onderdeel van de Rijksoverheid dat DigiD beheert en ontwikkelt, bevestigde dat een DDoS-aanval de oorzaak was. Bij zo'n aanval wordt een dienst overspoeld met zoveel internetverkeer dat gewone gebruikers er niet meer bij kunnen. De organisatie liet weten druk bezig te zijn om de online diensten weer werkend te krijgen en adviseerde gebruikers het later opnieuw te proberen.

Welke diensten eruit lagen

Naast DigiD zelf waren ook DigiD Machtigen, de Belastingdienst en MijnOverheid slechts gedeeltelijk bereikbaar. Dat is een logisch gevolg van de opzet: die diensten gebruiken DigiD als voordeur, dus een probleem bij de inlogvoorziening slaat door naar alles wat erachter zit. Meldingen gingen onder meer over de DigiD-app op Android-telefoons, waarmee inloggen niet lukte.

Op de storingssite Allestoringen liep het aantal meldingen hard op. Tussen 13.00 en 14.30 uur kwamen er ongeveer 4.500 meldingen binnen over DigiD. Over de Belastingdienst kwamen bijna 500 meldingen binnen, waar dat op een gewone dag rond de twintig ligt.

De timing viel samen met de btw-aangifte

De verstoring kwam op een ongelukkig moment. De aangifte omzetbelasting over het derde kwartaal moest uiterlijk 31 oktober binnen zijn, de dag na de aanval. Ondernemers, bedrijven en accountants die op vrijdagmiddag hun aangifte wilden afronden, liepen dus vast op zowat het laatste moment waarop dat nog comfortabel kon.

Dat maakt het verschil tussen een technische storing en een praktisch probleem. Wie op een willekeurige dinsdag niet kan inloggen, probeert het een uur later. Wie dat op de voorlaatste dag van een aangiftetermijn niet kan, heeft weinig uitwijkruimte.

Aangifte bij de politie en onderzoek naar datadiefstal

Logius deed aangifte bij de politie. Wie achter de aanval zit, is niet bekend. De organisatie onderzoekt de oorzaak en de gevolgen, en bekijkt daarbij ook of er gebruikersgegevens zijn gestolen. Over die vraag was vrijdag nog geen uitkomst gemeld.

Bij een DDoS-aanval is diefstal van gegevens niet het doel. Het gaat om het onbereikbaar maken van een dienst, niet om het binnendringen ervan. Dat er toch onderzoek naar een mogelijk datalek wordt gedaan, past bij de mogelijkheid dat een overbelastingsaanval wordt gebruikt om de aandacht van iets anders weg te trekken.

Niet het eerste incident van dit jaar

DigiD kreeg dit jaar al eerder met verstoringen te maken. Op 23 maart lag de dienst ongeveer twee uur uit de lucht, en op 9 juli waren er aanvallen tussen 16.00 en 19.01 uur. In januari en maart 2025 waren er ook storingen die uren duurden. Een week voor de aanval van vrijdag, op 24 oktober, hielden Logius en de Belastingdienst nog een gezamenlijke oefening om zich tegen dit soort aanvallen te verdedigen.

Die oefening maakt de uitkomst van vrijdag ongemakkelijker, niet geruststellender. De betrokken organisaties wisten dat dit scenario zich zou voordoen en hadden er net samen op geoefend.

De staatssecretaris meldde de verslechtering al eerder

Op 8 oktober liet staatssecretaris Van der Burg van Binnenlandse Zaken de Tweede Kamer weten dat DigiD dit jaar vaker het doelwit is van DDoS-aanvallen die daadwerkelijk impact hebben dan in voorgaande jaren. Hij stelde ook vast dat die aanvallen gecompliceerder en doelgerichter worden. DigiD krijgt dagelijks aanvallen van wisselende grootte te verwerken, waarvan de meeste worden afgevangen zonder dat gebruikers er iets van merken.

Van der Burg zei te onderzoeken hoe DigiD in de toekomst beter bestand kan zijn tegen deze gerichtere aanvallen. Daarmee lag er al een erkenning van het probleem voordat de storing van vrijdag zich voordeed.

De beschikbaarheidscijfers zakken, maar blijven boven de norm

De cijfers die de staatssecretaris meestuurde laten een geleidelijke verslechtering zien. In 2024 was DigiD 99,93 procent van de tijd beschikbaar. In 2025 was dat 99,65 procent, en in 2026 tot augustus 99,57 procent. De norm ligt op 99,5 procent, dus formeel haalt de dienst die nog, al wordt de marge elk jaar kleiner.

D66-Kamerlid El Boujdaini vroeg waarom geplande onderhoudsperiodes niet meetellen in die rapportages. Van der Burg antwoordde dat gepland onderhoud niet wordt gezien als prestatieverlies. Dat betekent dat het werkelijke aantal uren waarin burgers niet kunnen inloggen hoger ligt dan het gerapporteerde percentage suggereert.

Wat dit betekent voor Nederland

DigiD is de enige inlogroute naar een groot deel van de Nederlandse overheid: belastingaangifte, zorgverzekering, pensioenoverzicht, gemeentezaken. Die concentratie maakt de dienst efficient en tegelijk tot een enkel punt waar een aanval veel in een keer kan raken. Een verstoring van anderhalf uur is beheersbaar, maar laat zien hoeveel er gelijktijdig stilvalt.

Wat nog onduidelijk is, is wie de aanval uitvoerde en met welk doel. Ook is niet bekend of het onderzoek naar mogelijke datadiefstal iets oplevert, en wat het onderzoek naar betere bescherming concreet gaat inhouden. Zolang die antwoorden ontbreken, blijft de waarschuwing van de staatssecretaris de belangrijkste informatie die er ligt: de aanvallen worden gerichter, en de dienst merkt dat in de cijfers.