Automatische vakantie-antwoorden: hoeveel verklap je eigenlijk?

Een out-of-office lijkt onschuldig, maar staat vaak vol informatie die je liever niet aan een vreemde geeft. Wat laat je weg, en wat mag erin?

Het is juli, de koffers staan klaar, en op het laatste moment zet je nog even een automatisch antwoord aan. Snel getypt, verzonden — klaar. Maar wist je dat zo'n out-of-office vaak precies de informatie bevat waar oplichters op zitten te wachten? We zien elk jaar in augustus een piek in fraudepogingen die beginnen met een keurig, automatisch antwoord uit een vakantieoord.

In deze post loop je langs wat er meestal té veel in staat, wat er wél in mag, en hoe je een vakantie-antwoord opstelt dat vriendelijk én veilig is.

Waarom een out-of-office interessant is voor fraudeurs

Een automatisch antwoord verstuur je aan iedereen die mailt. Dus ook aan de persoon die vorige week een spamlijst kocht, of die net doet alsof hij bij een leverancier werkt. Uit één zin kunnen ze vaak halen:

• Dat jij er de komende twee weken niet bent.
• Wie je vervangt en hoe die persoon te bereiken is.
• Wat je functie is en bij welke afdeling je hoort.
• Soms zelfs je privételefoonnummer of de naam van je manager.

Combineer dat met een look-alike domein en een spoedmailtje aan je collega ("Hoi, ik zit in het buitenland, kun jij snel deze factuur regelen?") en je hebt de klassieke CEO-fraude in de zomer.

Wat je beter weglaat

1. De exacte periode

"Ik ben terug op 5 augustus" is prima. "Ik ben van 20 juli tot en met 4 augustus met mijn gezin in Italië" is dat niet. Datum van terugkomst is genoeg — niemand hoeft te weten hoe lang je huis leegstaat.

2. De reden

Op vakantie, ziek, sabbatical, huwelijksreis: het gaat de afzender niets aan. "Afwezig" volstaat.

3. Privételefoonnummers

Zet nooit je 06-nummer in een out-of-office "voor spoedgevallen". Als het écht spoed is, belt iemand het kantoor. Voor de rest is het een uitnodiging aan bellers die je liever niet spreekt.

4. Uitgebreide vervangerinformatie

Eén naam en één zakelijk mailadres is voldoende. Vermeld niet ook nog het directe nummer, de functie, én dat die persoon "volledig gemachtigd is om namens mij beslissingen te nemen." Dat laatste is precies wat een fraudeur wil lezen.

5. Interne details

Geen projectnamen, geen klantnamen, geen "ik zit in de closing-fase van de overname van X." Klinkt logisch, maar we zien het vaker dan je denkt.

Wat er wél in mag

Een goede out-of-office is kort, vriendelijk en functioneel:

Bedankt voor je mail. Ik ben afwezig en lees mijn mail beperkt. Vanaf 5 augustus ben ik weer bereikbaar en reageer ik zo snel mogelijk.

Voor dringende zaken kun je contact opnemen met mijn collega Sanne via sanne@voorbeeld.nl.

Met vriendelijke groet,
Jouw Naam

Dat is het. Geen data, geen locatie, geen 06-nummer, geen reden.

Twee versies: intern en extern

In Microsoft 365 en Google Workspace kun je een ander bericht instellen voor interne en externe afzenders. Gebruik dat. Intern mag je iets specifieker zijn ("Ik ben terug op 5 augustus, urgente offerte-vragen naar Sanne, boekhoudkwesties naar Peter"). Extern hou je het bewust vaag.

Vergeet niet: in Outlook staat die optie standaard aan, in Gmail moet je onder "Vakantiemelding" expliciet aanvinken dat het bericht alleen naar contacten of alleen intern gaat. Loop het even na.

Waarschuw je collega's

Het risico verplaatst zich vaak naar degene die achterblijft. De vervanger krijgt ineens mails als: "Hoi Sanne, ik hoor van Marks out-of-office dat jij hem vervangt. Kun je even snel deze betaling goedkeuren, Mark had het nog met mij besproken."

Spreek daarom vóór de vakantie kort af:

• Geen betalingen of rekeningnummer-wijzigingen doorvoeren zonder mondelinge bevestiging.
• Bij twijfel: even wachten. Een échte klant wacht een dag. Een fraudeur pusht.
• Verdachte mails niet doorsturen, wel bewaren, en na de vakantie samen bekijken.

Nog een paar snelle checks voor je op vakantie gaat

1. 2FA staat aan op je mail, boekhouding en cloudopslag — óók op accounts waar je zelden komt.
2. Je hersteltelefoonnummer is nog actueel (zie ook onze eerdere post over oude nummers bij 2FA).
3. Je wachtwoordkluis is bereikbaar voor jezelf op je telefoon, mocht je onderweg toch moeten inloggen.
4. Er is iemand met toegang tot de gedeelde inbox als er echt iets misgaat.
5. Automatische betalingen en licenties lopen niet af tijdens je afwezigheid.

Kortom

Een out-of-office is geen persoonlijk briefje aan een vriend. Het is een openbaar bericht aan iedereen die jouw adres kent — inclusief mensen met slechte bedoelingen. Hou het kort, noem geen datums naast de terugkomstdatum, verklap geen redenen, en spreek met je vervanger af dat betalingen én adreswijzigingen wachten tot jij terug bent.

Wil je vóór de vakantie nog even zeker weten dat je mailbeveiliging op orde is? Onze mail-beveiligingscheck (SPF, DKIM, DMARC) laat zien of jouw domein makkelijk te misbruiken is voor look-alike-berichten aan je collega's. En als 2FA op een oud nummer staat: dat regel je in een half uur met onze dienst 2FA implementeren. Fijne vakantie.