Søren Abildgaard is ‘heel, heel blij’ dat Odido niet heeft betaald toen het bedrijf in februari 2026 slachtoffer werd van een cyberaanval. Criminelen stalen de persoonsgegevens van ruim 6 miljoen klanten en eisten losgeld. De telecomprovider betaalde niet, waarna de gegevens op het darkweb werden gepubliceerd.
Wel of niet over de brug komen? Het was volgens de voormalige ceo – eind oktober stapte hij onverwacht op – een moeilijke afweging. ‘Maar ethisch gezien ben ik heel, heel blij dat ik deze beslissing heb genomen’, zei hij onlangs tijdens een congres.
Groeiend aantal cyberaanvallen
Het is wat je noemt een duivels dilemma. Tegenover het maatschappelijke belang om criminaliteit niet in stand te houden, staat de zorgplicht voor de ruim zes miljoen getroffen klanten en oud-klanten. Zij hebben hun gegevens aan Odido toevertrouwd en verwachten bescherming.
Odido is niet het enige bedrijf dat recent slachtoffer werd van een hack. De lijst wordt steeds langer: alleen al dit jaar werd er digitaal ingebroken bij Booking.com, Rituals, ChipSoft, Basic-Fit, de Bijenkorf en recent Albert Heijn. Vorige week nog werden de koelsystemen van meerdere Europese supermarktketens gekraakt.
Lees ook: Grote cyberaanval op Odido staat niet op zichzelf: ‘Bedrijven verliezen de controle’
Het doel is vaak losgeld in ruil voor gestolen klantgegevens. Wie overweegt te betalen, kan daarmee proberen de schade voor klanten te beperken of te voorkomen – mits bedrijven kunnen onderbouwen welke bescherming klanten daadwerkelijk kunnen verwachten. Wie weigert te betalen, moet uitleggen waarom die keuze ondanks mogelijke openbaarmaking verantwoord is.
Zorgplicht, beursplannen en merkvertrouwen
Bij Odido speelden op de achtergrond de beursplannen mee. En ook het jonge merk stond op het spel. Odido werd drie jaar geleden geïntroduceerd met een nadrukkelijke belofte van mensgerichtheid en betere service. Een omvangrijk datalek staat haaks op die belofte. De manier waarop klanten vervolgens worden behandeld, kan langdurig doorwerken in het vertrouwen in het merk.
Zo ontstaat een afweging tussen het bestrijden van criminaliteit, de zorg voor klanten, financiële belangen en merkvertrouwen. Die belangen zijn niet zonder meer gelijkwaardig. Zorgplicht is een verantwoordelijkheid tegenover mensen. Een sterk merk is een zakelijk belang, maar mag geen reden zijn om klantbelangen ondergeschikt te maken.
Hier is sprake van wat ik dilemmaleiderschap noem. Dat vraagt om een moreel kompas dat duidelijk maakt welke verantwoordelijkheden voorrang krijgen en welke nadelen de organisatie daarvoor zelf wil dragen – ook als dat financieel onaantrekkelijk uitpakt. Bij een werkelijk dilemma zijn waarden of verplichtingen immers niet allemaal tegelijk te realiseren.
De verwachtingen ten aanzien van leiders zijn de afgelopen jaren toegenomen, ziet reputatiestrateeg Frank Peters. Tegelijk belanden ze steeds vaker in situaties waarvoor geen pasklare oplossingen bestaan. In zijn nieuwe boek Dilemmaleiderschap beschrijft hoe je in zulke situaties leert te (durven) kiezen en koers te houden.
Uitleg en excuses
Bij een dilemma is het cruciaal om de spanning tussen botsende belangen te verkleinen. Odido koos ervoor criminaliteit niet te faciliteren, maar schoot daarmee tekort in de zorgplicht tegenover klanten van wie de gegevens waren gestolen.
Ook de communicatie liet in de eerste fase van de crisis nadrukkelijk te wensen over. Zo was de top van de organisatie nauwelijks zichtbaar. Als je de keuze maakt om niet te betalen, moet je jouw klanten niet alleen uitleggen waarom je dat niet doet, maar ze ook handelingsperspectief bieden. Bijvoorbeeld door de slachtoffers te ondersteunen, maatregelen te nemen tegen misbruik en antwoord te geven op de vraag hoe je de beveiliging voor de toekomst gaat verbeteren.
Een financieel aantrekkelijke keuze als niet betalen is maatschappelijk immers moeilijk te verdedigen als de klanten daardoor in de kou staan.
Lees ook: AI-hack bij Hugging Face krijgt toch nog een staartje: aanklacht tegen OpenAI ingediend
Ook had Odido expliciet moeten maken welke offers de organisatie zelf brengt. Een besluit om geen losgeld te betalen moet samengaan met forse, zichtbare uitgaven aan klantbescherming en herstel. Wie criminaliteit niet wil financieren, moet bereid zijn te investeren in de mensen die na de aanval risico blijven lopen.
Tot slot verdienden klanten van wie de gegevens volgens de wet niet meer in de database van Odido hadden mogen staan, uitleg en excuses. Zo krijgt de zorgplicht concreet betekenis.
Blijf verantwoordelijk na het besluit
Het besluit van Odido vroeg dus om een heldere verantwoording. Dat had moeten beginnen met een uitleg over de vraag welke waarden botsten en waarom bepaalde belangen in deze casus zwaarder wogen dan andere.
In de communicatie van Odido was bovendien te weinig ruimte voor ondersteuning voor de getroffen klanten en voor regelmatige nieuwsupdates. Als klanten risico lopen, moet de organisatie bereikbaar zijn en hulp organiseren. En ook als je nog geen nieuwe informatie hebt, is het belangrijk om te blijven communiceren. Benoem dan wat nog onbekend is en wanneer nieuwe informatie volgt.
De zorg voor klanten is voor een bedrijf als Odido de basis voor merkherstel. Ten slotte krijgt dilemmaleiderschap pas betekenis als een organisatie verantwoordelijkheid neemt voor de mensen die de prijs van haar besluiten betalen.
