Bestanden versleutelen op Windows: elke praktische optie vergeleken

Op "hoe versleutel ik een bestand op Windows?" bestaan minstens zes juiste antwoorden, en ze beschermen tegen totaal verschillende dingen. De schijf van je laptop versleutelen doet niets voor de kopie die je naar Google Drive uploadt; een zip met wachtwoord doet niets voor de bestanden die nog in je map Documenten staan. Dus in plaats van één recept volgt hier de eerlijke kaart: waartegen elke versleutelingsoptie op Windows werkelijk beschermt, en welke past bij de klus die voor je ligt.

Bepaal eerst waartegen je beschermt

• Gestolen of verloren laptop → volledige schijfversleuteling (BitLocker).
• Iemand met toegang tot je pc of gebruikersaccount → versleuteling per bestand, met een eigen wachtwoord.
• Bestanden die je machine verlaten - uploads, cloudopslag, e-mailbijlagen, FTP-servers → versleuteling per bestand aan jouw kant, zodat er alleen versleutelde tekst reist.
• Eén bundel naar één persoon sturen → een versleuteld archief dat die persoon met een gedeeld wachtwoord kan openen.

Optie 1: BitLocker - beschermt de hele schijf, en alleen de schijf

BitLocker (Windows Pro en hoger; "Apparaatversleuteling" op veel Home-machines) versleutelt je hele schijf. Wordt de laptop gestolen, dan zijn de gegevens onleesbaar - dat is zijn taak, en die vervult hij goed. Zet het aan onder Instellingen → Privacy en beveiliging → Apparaatversleuteling, of zoek op "BitLocker beheren".

Wat het niet doet: bestanden beschermen tegen wie jouw aangemelde sessie gebruikt, of iets beschermen dat de schijf verlaat. Zodra een bestand naar een usb-stick wordt gekopieerd, aan een e-mail wordt gehangen of naar een cloud wordt gesynchroniseerd, verlaat het de versleutelde schijf in leesbare vorm.

Optie 2: EFS - per bestand, maar gekoppeld aan je Windows-account

EFS (Encrypting File System, alleen Windows Pro) versleutelt losse bestanden onzichtbaar: klik met rechts → Eigenschappen → Geavanceerd → "Inhoud versleutelen om gegevens te beveiligen". Bestanden worden vanzelf ontsleuteld wanneer jij bent aangemeld, en zijn onleesbaar voor andere accounts.

Die onzichtbaarheid is meteen de zwakte: alles wat onder jouw account draait, leest de bestanden probleemloos, en kopieën die je profiel verlaten (cloudsynchronisatie inbegrepen) vertrekken ontsleuteld. EFS is prima voor een gedeelde gezinspc; het is geen gereedschap om uploads te beschermen.

Optie 3: archieven met wachtwoord - de AES-256 van 7-Zip

Het klassieke antwoord op "stuur deze bestanden veilig naar één persoon": pak ze in een archief met wachtwoord. Let op: de ingebouwde zip van Windows kan dit niet - "Comprimeren naar ZIP-bestand" in de Verkenner heeft helemaal geen wachtwoordoptie. Je hebt 7-Zip nodig (gratis): selecteer bestanden → 7-Zip → Toevoegen aan archief → stel een wachtwoord in en kies AES-256 (niet het zwakke, verouderde ZipCrypto). De volledige uitleg, inclusief hoe je dit op externe opslag doet, staat in onze handleiding over inpakken en versleutelen.

Archieven zijn prima voor eenmalig delen, en onhandig voor doorlopende bescherming: elke wijziging betekent uitpakken, aanpassen, opnieuw inpakken en het wachtwoord opnieuw invoeren.

Optie 4: documentwachtwoorden - de ingebouwde versleuteling van Office

Word, Excel en PowerPoint kunnen één document versleutelen: Bestand → Info → Document beveiligen → Versleutelen met wachtwoord. Modern Office gebruikt AES en is met een goed wachtwoord oprecht sterk. Volkomen redelijk voor één contract of spreadsheet; onwerkbaar als systeem - het dekt alleen Office-formaten, en elk bestand heeft zijn eigen wachtwoord.

Optie 5: versleuteling per bestand aan jouw kant - gemaakt voor bestanden die op reis gaan

Alles hierboven beschermt bestanden thuis. Het gat zit bij bestanden die vertrekken: back-ups op een FTP-server, documenten in Google Drive of Dropbox, mappen op een NAS waar je hele gezin bij kan. Daarvoor wil je het bestand versleuteld hebben voordat het ergens heen gaat, met een sleutel die je machine nooit verlaat - zodat de opslag alleen ooit versleutelde tekst bevat.

Dat is wat de bestandsversleuteling van FTPie doet: klik met rechts op een bestand of map → Versleuteling → Versleutelen, stel een wachtwoord in, en het wordt verzegeld met AES-256 (CBC met HMAC-SHA256-integriteitscontroles, en de sleutel op je eigen pc afgeleid met PBKDF2). Het werkt hetzelfde bij lokale en externe bestanden, en met Versleutelen naar… versleutel je in één stap rechtstreeks naar elke verbonden opslag - zelfs van cloud naar cloud, waarbij het onderweg streamt en versleutelt zonder eerst te downloaden. Ontsleutelen is voor iedereen gratis: ontvangers installeren het gratis FTPie, vullen het wachtwoord in, klaar.

Eén eerlijke beperking die alle gereedschappen per bestand delen: bestandsnamen blijven zichtbaar (het bestand wordt naam.ftpie.ext). Zijn de namen gevoelig, pak dan eerst in en versleutel het archief.

De vergelijking, in één tabel

Verstandige combinaties

Deze concurreren niet met elkaar - een degelijke opzet gebruikt er meerdere: BitLocker aan voor het apparaat, versleuteling per bestand voor alles wat vertrekt (uploads, cloudmappen, back-ups buiten de deur), en een versleuteld archief als je een bundel aan iemand anders geeft. Belanden je bestanden specifiek op Google Drive of Dropbox, dan hebben we handleidingen stap voor stap geschreven om te versleutelen voordat je uploadt naar Google Drive en Dropbox - en voor automatische bescherming kunnen geplande back-ups bij elke keer inpakken en versleutelen.