Uw oude e-mailadres kan over 12 maanden aan een onbekende toebehoren

Niemand gebruikt het adres uit 2011 nog. Het staat nog ergens in een formulier opgeslagen, bij een winkel die u één keer per jaar bezoekt, of als contactadres op een account waar u zelden aan denkt. De mailbox zelf is al jaren niet meer geopend.

Bij de Duitse providers GMX en WEB.DE geldt een vervaltermijn. Paragraaf 5.3 van de voorwaarden vermeldt bij beide hetzelfde. Na 6 maanden zonder inloggen kunnen de opgeslagen berichten en bestanden zonder voorafgaande kennisgeving worden verwijderd. Na 12 maanden mag de provider de geregistreerde e-mailadressen vrijgeven en beschikbaar stellen aan andere gebruikers. De Duitse tekst kent geen officiële Engelse versie, dus dit is een vertaling en geen letterlijk citaat.

Het adres verdwijnt niet. Het krijgt een nieuwe eigenaar.

Wat geldt als inloggen

Er bestaat een hardnekkig misverstand over die termijn. Op forums wordt beweerd dat alleen inloggen via een browser de teller reset. In de voorwaarden worden drie manieren genoemd: een webbrowser, een e-mailapp en een e-mailclient. Iedereen wiens oude mailbox is ingesteld in Thunderbird of in een telefoonapp, en die daar nog steeds e-mail ophaalt, houdt het account actief.

Dat geldt echter alleen zolang de client daadwerkelijk e-mail ophaalt. Een account dat drie telefoons geleden is ingesteld, haalt doorgaans niets meer op, zelfs als het nog steeds in een app verschijnt.

Er zit een periode van zes maanden tussen de twee deadlines, en die periode biedt een kans. GMX vermeldt op zijn eigen helppagina’s dat inloggen mogelijk blijft nadat de inhoud van de mailbox is verwijderd. Als u de waarschuwingsmail binnen die periode opmerkt, raakt u de oude berichten kwijt, maar behoudt u het adres. Als u dit pas na 12 maanden opmerkt, kunt u beide kwijtraken.

Wat hangt af van dat adres

De schade vindt niet plaats in de lege mailbox. Deze vindt plaats bij de diensten die er nog steeds naar verwijzen. Bijna elk inlogscherm bevat een link met de tekst „wachtwoord vergeten“. In de meeste gevallen leidt deze naar precies één route: een e-mail die naar het geregistreerde adres wordt verzonden. Wie dat adres beheert, beheert het account.

Google noemt het veld „herstel-e-mailadres“ en plaatst het onder „Beveiliging“ in het account. Microsoft slaat dezelfde gegevens op onder „beveiligingsgegevens“. Webwinkels, forums en kleinere diensten hebben vaak helemaal geen apart hersteladres, dus is het contactadres de enige manier om weer toegang te krijgen.

Apple vormt hierop een uitzondering. Bij een vergeten wachtwoord wordt u eerst doorgestuurd naar een vertrouwd apparaat, een iPhone of een Mac waarop u al bent aangemeld en die is beveiligd met een apparaatcode. Het e-mailadres is daar niet de belangrijkste toegangsweg. Hetzelfde mechanisme geldt één niveau lager voor een oud mobiel nummer. De apparaten waarop u nog steeds bent aangemeld, worden weergegeven in de apparatenlijsten.

Het adres van uw voormalige werkgever

Een tweede situatie doet zich voor bij mensen die nooit een gratis e-mailadres hebben gehad. Iedereen die tijdens een stage of een vorige baan een zakelijk e-mailadres voor privédoeleinden heeft gebruikt, levert dit in bij het vertrek. De IT-afdeling beslist wat er vervolgens mee gebeurt.

Microsoft beschrijft de standaardprocedure in zijn eigen beheerdersdocumentatie. Wanneer iemand de organisatie verlaat, kan een beheerder „het e-mailadres van de voormalige werknemer toewijzen aan een andere werknemer, of de mailbox van de voormalige werknemer omzetten naar een gedeelde mailbox“. Beide opties zijn gebruikelijk en verstandig vanuit het oogpunt van het bedrijf, omdat lopende werkzaamheden niet verloren mogen gaan.

De terugkeer via de privé-route is een andere zaak. De opvolger ontvangt nu de e-mail die een webwinkel verstuurt om een wachtwoord te resetten. Daarvoor is geen kwade opzet nodig. Het volstaat dat het bericht bij hem of haar terechtkomt.

Ook Google en Microsoft ruimen privéaccounts op, zij het langzamer. Beide bedrijven hanteren een termijn van twee jaar zonder aanmelding. Google kan het account en de inhoud ervan vervolgens verwijderen en maakt dit per e-mail bekend aan het account zelf en aan het hersteladres. Een ongeldig adres betekent dat de waarschuwing nergens terechtkomt. Verwijderde Gmail-adressen worden in ieder geval nooit meer opnieuw toegewezen.

Wat u in 10 minuten kunt doen

Meld u één keer aan bij elke oude e-mailaccount die nog bestaat. De klok begint opnieuw te lopen en u kunt zien welke diensten daar nog steeds berichten naar sturen. De onderwerpen van de afgelopen maanden vormen een vrij volledige lijst van uw vergeten accounts, en het kost u geen moeite om dit na te gaan.

Schakel vervolgens die diensten om naar een e-mailadres dat u dagelijks leest. Google bewaart dit onder ‘Beveiliging’, Microsoft onder ‘beveiligingsgegevens’ en webwinkels meestal in het profiel. Indien er een apart hersteladres bestaat, dient dit bij een andere provider te zijn dan het hoofdaccount; anders vallen beide uit bij één storing.

Dan blijft de lastige vraag over of de mailbox zelf wel beveiligd is. Een account dat alleen dient als terugweg heeft nog steeds een eigen wachtwoord en tweefactorauthenticatie nodig, omdat het toegang geeft tot alle andere accounts. Waar de back-upcodes daarvoor thuishoren, zonder ze aan een infostealer te geven, wordt behandeld in ons artikel over back-upcodes.

Als het adres al lang verdwenen is en nu in handen is van iemand anders, ligt de oplossing bij de diensten zelf. Bij de meeste providers kunt u het contactadres wijzigen zolang u zich nog met het wachtwoord kunt aanmelden, en dat is het eerste wat u bij elk getroffen account moet doen. Als u ook het wachtwoord kwijt bent, verandert het opschonen in een supportzaak met een onzekere uitkomst.

Iedereen die de oude mailbox helemaal niet meer nodig heeft, dient eerst alle diensten die ernaar verwijzen om te zetten en deze daarna te verwijderen. Het adres is dan net zo vrij als het na de uiterste datum zou zijn, alleen op een moment dat u zelf kiest.