macOS privacy in 2026 — wat Gatekeeper, App Sandbox en SIP écht doen (en niet doen)

De korte versie: macOS geeft je Gatekeeper + Notarization (onderschept bekende schadelijke code-gesigneerde apps), App Sandbox (effectief voor App Store-apps, gedeeltelijk voor de rest), System Integrity Protection (verhindert zelfs root om systeembestanden aan te raken) en gedetailleerde privacymachtigingen voor Camera, Microfoon, Schermopname, Volledige schijftoegang en Toegankelijkheid. De echte blinde vlek voor de meeste gebruikers: elke app die je start kan uitgaande netwerkverbindingen maken naar elk eindpunt zonder toestemming te vragen, en daar bevindt zich 90% van het bedreigingsoppervlak voor consumentenprivacy. Via Instellingen kom je tot ongeveer 70%; een filter op netwerkniveau sluit de rest.

Het structurele verschil: macOS is geen iOS

macOS is bewust ruimer dan iOS — het is een desktop-besturingssysteem waarbij ontwikkelaars productiviteitssoftware moeten kunnen leveren. Drie structurele feiten die bepalen hoe privacy op de Mac er in 2026 uitziet:

App Sandbox wordt alleen afgedwongen voor App Store-apps. Sandboxing vereist dat apps hun rechten declareren (bestandstoegang, netwerktoegang, hardwaretoegang) en daartoe beperkt blijven. App Store-apps moeten gesandboxt zijn. Apps die buiten de App Store worden verspreid — de meeste professionele software, waaronder Adobe Creative Cloud, Microsoft Office, Slack, Spotify en elk ontwikkelaarsprogramma — kunnen sandboxing volledig omzeilen. Notarization (Apples malwarescan) is nog steeds van toepassing, maar de inperkingsgaranties van sandboxing niet.

Uitgaande netwerkverbindingen vereisen geen enkele toestemming. macOS beheert Camera, Microfoon, Locatie, Contacten, Agenda, Herinneringen, Foto's, Schermopname, Volledige schijftoegang, Toegankelijkheid, Invoerbewaking, Bluetooth en meer — maar het beheert GEEN netwerkverbindingen. Elke app, gesandboxt of niet, kan verbinding maken met elke server op het open internet zonder de gebruiker te vragen. Dit is bewust (Apple vindt netwerkverbindingen te fundamenteel om per app te beperken), maar het is ook de opening die de meeste privacyzorgen van consumenten opslokt.

Apple Silicon veranderde het beveiligingsmodel. M-serie Macs (M1+ vanaf 2020) introduceerden Secure Enclave voor gevoelige bewerkingen, geïntegreerde Touch ID, hardware-verankerde FileVault en bescherming van het gesigneerde systeemvolume. Apple Silicon-Macs zijn op hardwareniveau merkbaar moeilijker te compromitteren dan Intel-Macs. Maar het bedreigingsoppervlak op netwerkniveau is identiek: dezelfde apps, dezelfde verbindingen, dezelfde exfiltratiepatronen. De hardwarebeveiliging helpt bij het verankeren van malware; het biedt geen bescherming tegen de SDK in Spotify die naar huis belt.

Wat macOS standaard biedt

De beveiligingen die werken zonder enige gebruikersactie:

Gatekeeper + Notarization

Gatekeeper blokkeert het uitvoeren van apps tenzij ze zijn ondertekend door een door Apple erkende ontwikkelaar-ID of door Apple zijn genotariseerd. Notarization betekent dat Apple de binary heeft gescand op bekende malwarehandtekeningen. Dit vangt het grootste deel van de consumentenmacmalware op voordat die wordt uitgevoerd. Omzeilbaar door gebruikers die rechtsklikken → Openen, dus het houdt iemand niet tegen die vastbesloten is om niet-ondertekende code te draaien — maar voor de gemiddelde gebruiker is het effectief.

App Sandbox (App Store-apps)

App Store-apps moeten verklaren welke resources ze nodig hebben (welke bestanden, welke hardware, welke netwerkeindpunten) en zijn daartoe beperkt. Een gesandboxte teksteditor kan je map Documenten niet lezen tenzij je expliciet toegang verleent. Dit is de sterkste inperking die macOS biedt — maar het geldt alleen voor App Store-apps, en de meeste professionele Mac-software staat niet in de App Store.

System Integrity Protection (SIP)

SIP verhindert dat zelfs rootprocessen systeembestanden, systeembinaries of kernelextensies wijzigen. Apple gebruikt dit om het besturingssysteem te beschermen tegen zichzelf (en tegen malware die naar root escaleert). SIP uitschakelen vereist opstarten in de herstelmodus — de meeste gebruikers doen dat nooit. SIP is mede de reden waarom het macOS-malware-ecosysteem kleiner is dan dat van Windows: het oppervlak voor persistentie is oprecht kleiner.

Gedetailleerde privacymachtigingen

Apps moeten gebruikerstoestemming vragen voordat ze toegang krijgen tot Camera, Microfoon, Locatie, Schermopname, Volledige schijftoegang, Toegankelijkheid, Invoerbewaking, Contacten, Agenda, Herinneringen, Foto's, Bluetooth. Deze prompts zijn strenger op macOS dan op de meeste andere desktops — Schermopname en Volledige schijftoegang in het bijzonder. Het loont de moeite deze regelmatig te controleren in Instellingen → Privacy & Beveiliging.

iCloud Private Relay (iCloud+)

Anonimiseert het surfende IP-adres in Safari via een dubbele doorstuurrelay. Alleen Safari — zie onze diepgaande analyse van Private Relay voor wat het werkelijk dekt. Andere browsers (Chrome, Firefox, Brave) profiteren er niet van.

Mail Privacy Protection

Voor gebruikers van Apple Mail (de native client) haalt MPP e-mailtrackers op via Apples proxy's, ongeacht of je de e-mail hebt geopend — waardoor de meeste analyses van e-mailopeningen worden verslagen. Geldt alleen voor Apple Mail, niet voor Gmail / Outlook / Spark / etc.

Verberg mijn e-mail

iCloud+-functie die een doorstuur-e-mailas per dienst genereert. Uitstekend voor nieuwsbriefinschrijvingen en elke situatie waarin je je echte e-mailadres niet wilt delen.

Intelligent Tracking Prevention (Safari)

Safaris cookie-niveau trackerisola­tie. Beperkt cross-site-tracking via cookies van derden en vermindert de effectiviteit van trackers in de loop van de tijd. Alleen Safari — andere browsers hebben hun eigen equivalenten (Firefox Total Cookie Protection, Brave Shields).

De instellingen die er echt toe doen (op volgorde van prioriteit)

1. Controleer privacymachtigingen

Instellingen → Privacy & Beveiliging → (elke categorie). Loop door Schermopname, Volledige schijftoegang, Toegankelijkheid, Invoerbewaking, Camera, Microfoon, Locatie. De meeste gebruikers hebben minimaal 2–3 apps met machtigingen die ze niet meer nodig hebben. Veelvoorkomende bevindingen:

• Oude schermopname-apps die je één keer hebt geprobeerd en nooit meer gebruikt
• Browsers met Toegankelijkheidsmachtiging (waarmee ze toetsaanslagen kunnen lezen — verleen dit alleen aan wachtwoordbeheerders die je vertrouwt)
• Apps met Volledige schijftoegang die dat niet nodig hebben (sommige installatieprogramma's vragen erom en geven het niet vrij)
• Locatieservices verleend aan apps die locatie niet wezenlijk nodig hebben

2. Schakel FileVault in (volledige schijfversleuteling)

Instellingen → Privacy & Beveiliging → FileVault. Versleutelt de volledige schijf met je accountwachtwoord. Standaard ingeschakeld voor nieuwe Macs sinds macOS Big Sur, maar niet altijd voor bijgewerkte exemplaren. Zonder FileVault kan iedereen met fysieke toegang tot je laptop opstarten vanaf externe media en je bestanden lezen. Met FileVault krijgen ze een versleutelde blob.

3. Schakel de Firewall + Stealth-modus in

Instellingen → Netwerk → Firewall → Aan. Klik vervolgens op Opties en schakel "Stealth-modus" in (laat ongewenste tests stil vallen in plaats van te antwoorden). Blokkeert inkomende verbindingen van willekeurige bronnen op openbare wifi. De meeste gebruikers hebben dit standaard uitgeschakeld en weten het niet; de firewall werkt stil en met minimale overhead — laat hem aan.

4. Schakel analyses en diagnostiek uit

Instellingen → Privacy & Beveiliging → Analyse & verbeteringen. Schakel "Deel Mac-analyse" en "Verbeter Siri & Dicteren" uit. Apple gebruikt deze voor producttelemetrie; de impact op de functionaliteit van je Mac is nul. Als je crashrapporten wilt blijven doorsturen (wat Apple kan helpen bugs te verhelpen die jou treffen), laat "Deel crashrapporten" aan; anders, uit.

5. Schakel Spotlight-suggesties / Siri-suggesties uit

Instellingen → Spotlight → Zoekresultaten. Schakel "Help Apple zoeken te verbeteren" uit en controleer de categorieën. Spotlight-suggesties stuurt zoekquery's naar Apple voor web-/app-/nieuwsresultaten. Als je ze uitschakelt, zoekt Spotlight alleen wat op je Mac staat. Hetzelfde geldt voor Siri-suggesties in Mail/Berichten/Notities.

6. Controleer aanmeldingsobjekten en achtergrondobjekten

Instellingen → Algemeen → Aanmeldingsobjekten. Toont apps die bij aanmelding starten en achtergrondhelpers die door apps zijn geïnstalleerd. Het is verrassend vaak zo dat apps die je maanden geleden hebt verwijderd achtergrondhelpers hebben achtergelaten. Schakel alles uit dat je niet herkent of niet nodig hebt. Voor grondiger opruiming toont de lijst "Sta toe op de achtergrond" in hetzelfde scherm helperapps die nog steeds actief zijn voor apps die je misschien helemaal niet meer gebruikt.

7. Controleer systeemextensies en kernelextensies

Instellingen → Algemeen → Aanmeldingsobjekten → tabblad Extensies. Toont wat er op systeemniveau is geïnstalleerd (netwerkextensies, eindpuntbeveiligingsextensies, VPN-clients). Sommige producten installeren zware systeemextensies die na verwijdering blijven hangen — antivirusprogramma's en bepaalde oudere VPN-clients zijn veelvoorkomende overtreders. Als je iets ziet dat je niet herkent, zoek het op voordat je het uitschakelt (sommige zijn legitiem nodig voor software die je gebruikt).

8. Kies bewust je standaardbrowser

Safari heeft sterke privacyfuncties (ITP, Private Relay bij iCloud+), maar die beschermen alleen Safari. Als je standaardbrowser Chrome is (de meeste gebruikers), verlies je die bescherming. Verstandige standaardkeuzes in 2026:

• De meeste gebruikers: Safari voor regulier browsen, Brave voor privacygevoelige taken
• Ontwikkelaars: Firefox of Brave als primair, Chromium voor compatibiliteitstests
• Als je Chrome moet gebruiken, installeer dan uBlock Origin en bekijk de per-site privacyinstellingen van Chrome

9. Gevorderd: installeer een uitgaande firewall

Little Snitch (€45) of LuLu (gratis, open-source) geeft een melding de eerste keer dat een app een netwerkverbinding probeert te maken. Je krijgt een levendig beeld van waarmee je Mac werkelijk communiceert. Voor 90% van de gebruikers is dit overdreven en vermoeiend; voor technische gebruikers die hun systeem willen begrijpen is het onschatbaar. Gebruik het naast (niet in plaats van) het netwerklaagfilter van Casper — ze dekken verschillende zaken.

10. Schakel Apple Intelligence uit (of controleer het)

Instellingen → Apple Intelligence & Siri. Apple Intelligence (macOS Sequoia 15+) voert LLM-achtige functies zoveel mogelijk op het apparaat uit, met een optionele "Private Cloud Compute"-fallback naar Apples servers voor complexe verzoeken. Het privacyverhaal is oprecht het sterkste in de consumentensector voor LLM's — maar het oppervlak is nieuw. Als je geen AI-functies gebruikt, zet het dan uit; als je dat wel doet, controleer dan welke apps toegang hebben tot de persoonlijke AI-context.

Wat Apple nog steeds kan zien, ongeacht wat je instelt

• iCloud-synchronisatiemetadata. Bestandsnamen, synchronisatietijdstempels en bestandsgroottes stromen via Apples servers. Inhoud is end-to-end versleuteld voor gebruikers met Geavanceerde gegevensbescherming ingeschakeld; metadata niet.
• Activiteit gekoppeld aan Apple ID. Alles dat aan je Apple ID is gekoppeld — App Store-downloads, iCloud Mail, iMessage-routering, FaceTime-gesprekken — genereert activiteit op accountniveau.
• Crashrapporten (basislijn). Zelfs met "Deel crashrapporten" uitgeschakeld stroomt er nog enige kritieke telemetrie voor veiligheids- en beveiligingsbewerkingen.
• Pushmeldingen. Alle pushmeldingen passeren Apples Push Notification Service. Inhoud is versleuteld; routeringsmetadata is zichtbaar.
• Zoek mijn-netwerk. Zelfs als je Zoek mijn niet actief gebruikt, kan je Mac een doorstuurknooppunt zijn voor het Zoek mijn-netwerk, tenzij je je er expliciet voor afmeldt.

Niets hiervan is kwaadaardig; zo werkt het platform. Maar het betekent dat "ik heb Instellingen beveiligd" een zinvolle verbetering is, geen onzichtbaarheid.

Wat apps nog steeds kunnen zien — buiten wat OS-machtigingen bewaken

macOS-machtigingen zijn goed voor de categorieën die ze dekken (Camera, Microfoon, Schermopname, Bestanden). Ze bewaken niet:

• Netwerkverbindingen. Elke app kan verbinding maken met elk eindpunt zonder toestemming te vragen. Dit is de grootste opening — en het grootste gebied waar ingebedde SDK-telemetrie plaatsvindt.
• Systeeminformatie. Hardware-ID, serienummer van de Mac, model, OS-versie, geïnstalleerde talen, toegankelijkheidsinstellingen — allemaal leesbaar zonder toestemming.
• Proceslijst. Apps kunnen zien welke andere apps actief zijn.
• Bestandssysteem (niet-gesandboxte apps). Apps die buiten de App Store worden verspreid, kunnen grote delen van je bestandssysteem lezen zonder expliciete prompt, inclusief gedownloade bestanden, browserbladwijzers en bepaalde caches.
• Inter-processtatus. Apps kunnen in sommige gevallen dezelfde NSUserDefaults/voorkeuren lezen die andere apps hebben geschreven.

De grootste praktische exfiltratievector is de eerste: ingebedde SDK's die naar huis bellen. De analyseSDK's van Spotify, de telemetrie van Adobe Creative Cloud, de diagnostische rapportage van Microsoft Office, elk menubalkprogramma — ze maken allemaal naar eigen goeddunken netwerkverbindingen. macOS-machtigingen bewaken ze niet; je moet ingrijpen op de netwerklaag.

Hier loont filteren op netwerkniveau — dezelfde logica als in de diepgaande analyse over DNS-filtering. Blokkeer het doel van de SDK op de DNS-laag en de gegevens kunnen het apparaat niet verlaten. Caspers trackerblokkering dekt tienduizenden bekende tracker-/telemetrie-/analyseeindpunten — precies de categorie die onzichtbaar is voor macOS-machtigingsinstellingen.

Mac-specifieke risico's die het begrijpen waard zijn

Notarization is geen malwarescan in de antivirussin. Apples notarization controleert op bekende slechte handtekeningen en beleidsschendingen. Het betekent NIET dat Apple heeft geverifieerd dat deze code veilig is. Een goed gecamoufleerde kwaadaardige app kan notarization doorstaan. Notarization verhoogt de ondergrens; het is geen plafond.

Mac-malware groeide aanzienlijk in 2023-2026. De Mac was niet immuun; de dreigingsactoren haalden hem in. Informatie­stelers (Atomic Stealer, MacStealer, Banshee Stealer) die zich richten op wachtwoorden, cryptowallets en browsercookies waren de dominante categorie. De meeste arriveren via nep-DMG-installatieprogramma's van zoekadvertentie-/typfout-domeinbronnen. De tegenmaatregelen: installeer alleen software van betrouwbare bronnen, gebruik een wachtwoordbeheerder (geen browserautovulling), schakel FileVault in en gebruik filteren op netwerkniveau dat de data-exfiltratieëindpunten onderschept waarmee deze stelers verbinding maken.

Sideloaden van buiten de App Store is de norm voor de meeste professionele software. Dat is prima, maar het betekent dat je niet kunt vertrouwen op moderatie van de App Store voor veiligheid. Controleer downloadbronnen, controleer handtekeningen van ontwikkelaars en omzeil Gatekeeper-waarschuwingen nooit zonder erover na te denken.

Geavanceerde gebruikers: controleer periodiek: open het tabblad Netwerk in Activiteitenweergave om te zien wat er werkelijk bandbreedte gebruikt. Verrassende apps verschijnen die je niet zichtbaar actief hebt — meestal achtergrondhelpers van apps die je eenmalig hebt geïnstalleerd.

Het tweelaagsmodel op macOS

1. Instellingen op OS-niveau regelen hardwaremachtigingen, schijfversleuteling, firewall, aanmeldingsobjekten, systeemextensies. Neem eenmalig 30 minuten om dit goed in te stellen.
2. Filteren op netwerkniveau (VPN met DNS-filtering) regelt de ingebedde SDK-telemetrie, trackerverbindingen, phishingdoelen en advertentienetwerken. Dit is de opening die macOS-instellingen niet aanpakken. Caspers macOS-app bevindt zich hier en werkt naast de native beveiligingen — geen conflicten.

Voor technische gebruikers: voeg optioneel een uitgaande firewall toe (Little Snitch of LuLu) voor inzicht in wat verbinding maakt met wat, plus uBlock Origin of Brave Shields in de browser-DOM-laag voor advertenties die worden geleverd vanuit eindpunten op hetzelfde domein (die DNS-filtering niet altijd kan onderscheiden van legitiem verkeer). De drie lagen vullen elkaar goed aan; elk onderschept wat de andere mist.

Wat er verandert in 2026 en 2027

Evolutie van Apple Intelligence. Apple Intelligence werd uitgerold in macOS 15 (Sequoia) met LLM-functies op het apparaat en een optionele Private Cloud Compute-fallback. Het privacyverhaal is oprecht sterk, maar het functieopp­ervlak is nieuw en breidt zich uit. Het loont Apple Intelligence-instellingen jaarlijks opnieuw te controleren naarmate meer apps het integreren.

Strengere notarization en handhaving van de Mac App Store. Apple heeft de notarization-vereisten incrementeel aangescherpt en niet-ondertekende apps zijn steeds lastiger uit te voeren. Tegen 2027 wordt nog meer wrijving verwacht voor niet-genotariseerde software. Legitieme impact op open-source-/niche-ontwikkelaarsprogramma's; voordeel voor vermindering van malware.

macOS Containers-framework. Apple introduceerde in macOS 15 een systeemcontaineriseringskader waarmee apps geïsoleerde omgevingen kunnen opstarten. Nog steeds gericht op ontwikkelaars; consumententoepassingen zijn beperkt. Verwacht dat dit het sandboxingmodel de komende releases uitbreidt voorbij alleen App Store-apps.

Voortgezette handhaving van netwerkprivacy. Mail Privacy Protection, ITP en Private Relay hebben alle drie hun bereik incrementeel uitgebreid. De trend is meer privacyverwerking op het apparaat en minder metadata die via Apples servers stroomt.

Conclusie

macOS heeft in 2026 meer privacycontroles dan de meeste gebruikers beseffen, en één grote structurele leemte (geen machtigingsgate voor uitgaande netwerkverbindingen). De 30 minuten die je besteedt aan het controleren van machtigingen in Instellingen, het inschakelen van FileVault, het aanzetten van de firewall, het uitschakelen van onnodige aanmeldingsobjekten en het kiezen van een privacyvriendelijke standaardbrowser leveren meer privacyverbetering per minuut op dan wat je ook maar op de OS-laag kunt doen. Daarna is filteren op netwerkniveau wat de leemte van ingebedde SDK-telemetrie sluit die geen enkel per-app machtigingssysteem aanpakt.

Als je de netwerklaag voor je Mac voor je wilt laten regelen, is dat precies wat Caspers macOS-app doet — installeert als een standaard systeem-Network Extension (geen kernelextensie vereist sinds macOS 11), dekt elke browser en elk achtergrondproces, geen onderhoud.