OTTGepubliceerd op 22 okt 202613 min lezen

Contentbeveiliging van begin tot eind: zo blijft premium video veilig van bron tot scherm

DRM is één schakel in een langere keten. Hoe premium video wordt beschermd van contributiefeed tot scherm, wat rechthebbenden verwachten en wat er komt.

Door TV2Z Editorial

Contentbeveiliging van begin tot eind: zo blijft premium video veilig van bron tot scherm. Een stream gaat door vijf beveiligde fasen naar een tv-scherm.

Vraag een platformleverancier naar contentbeveiliging, en het antwoord begint en eindigt meestal bij DRM. DRM is belangrijk, maar het dekt maar één deel van een langere route. Een film of een live wedstrijd gaat via contributieverbindingen, opslag, packaging, een CDN en een apparaat voordat iemand ernaar kijkt, en op elk van die punten kan hij uitlekken. Rechthebbenden weten dat, en hun beveiligingsbijlagen gaan inmiddels over al die punten.

Livesport laat zien waarom. In haar evaluatie van piraterij van live-evenementen uit november 2025 beschrijft de Europese Commissie een omroep die in sommige gevallen meer dan 3.000 illegale streams van één evenement vond. De omroep stuurde meer dan een miljoen verwijderverzoeken naar hostingproviders, en slechts 1,4% van de gemelde streams ging offline terwijl het evenement nog liep. Bij vrijwel alle andere was de wedstrijd eerder voorbij. Wat wel werkt, is beveiliging die een lek bij voorbaat moeilijk maakt en die elk lek kan herleiden tot het account waar het vandaan komt.

Dit artikel volgt content langs die route, van de rechthebbende tot het scherm en daarna. Het eindigt met wat elke dienst nodig heeft, wat premium content vraagt en wat er aankomt.

Vijf plekken waar content uitlekt

Elke beveiligingsmaatregel hoort bij een van de vijf fasen: de bron, opslag en packaging, het netwerk, het apparaat, en wat er na het scherm gebeurt.

Bij de bron: contributiefeeds en masterbestanden

Content is het meest waard zolang die nog niet voor kijkers is versleuteld. Een contributiefeed is een onbewerkt signaal met een hoge bitrate, en een mezzanine-master is de film zelf. Een piraat die een van beide in handen krijgt, heeft betere kwaliteit dan welke abonnee ook.

Livefeeds gaan tegenwoordig over IP, met protocollen die onderweg versleutelen: SRT, RIST en Zixi ondersteunen allemaal AES met sleutels tot 256 bits. Versleuteling op zich houdt alleen buitenstaanders tegen. Een rechthebbende die één feed naar veel distributeurs stuurt, moet ook weten welke ontvanger hem heeft gelekt, en die ontvanger kunnen uitschakelen. De royaltyvrije BISS-CA-standaard van de EBU doet precies dat: de toegangsrechten (entitlements) reizen mee in de stream, zodat een ontvanger in realtime toegang kan krijgen of verliezen. BT Sport nam het in augustus 2019 in gebruik en beveiligde er daarna zijn satellietfeeds van de Premier League mee.

Afgewerkte programma's komen meestal binnen als IMF-pakketten (SMPTE ST 2067), het masterformaat waaraan Netflix, Disney en de BBC de voorkeur geven voor UHD-levering. Ze gaan over versnelde transfertools die elk datapakket versleutelen en de bestanden bij aankomst controleren, zodat beide partijen kunnen aantonen wat er is geleverd en dat er onderweg niets is veranderd.

De zwakste schakel in deze fase is zelden de cryptografie. Het zijn mensen en leveranciers. In 2017 lekte een aflevering van Game of Thrones via een verwerkingsbedrijf in India. In 2024 bevestigde Netflix dat een van zijn postproductiepartners was gecompromitteerd, nadat nog niet uitgebrachte afleveringen online waren verschenen. Daarom beoordelen studio's hun leveranciers via het Trusted Partner Network van de MPA. TPN heeft zijn niveaus in september 2025 aangepast: wat vroeger Gold opleverde, levert nu Silver op, en voor Gold moet nu elk verbeterpunt uit de best practices zijn afgerond en door TPN zijn beoordeeld.

In opslag en packaging: de sleutels tellen meer dan de bestanden

Zodra content in een platform staat, moeten twee dingen worden beschermd: de masterbestanden, en de sleutels waarmee de streams worden versleuteld.

Versleuteling in rust is inmiddels het minimum, geen extra functie. Amazon S3 versleutelt bijvoorbeeld sinds januari 2023 standaard elk nieuw object. De maatregelen die ertoe doen, liggen daarboven. Sleutels die de platformeigenaar zelf beheert, kunnen worden geroteerd, beperkt en uitgeschakeld. Toegang hoort het principe van minimale rechten te volgen, met inloggegevens die maar kort geldig zijn. En omdat het lezen van afzonderlijke bestanden standaard niet wordt gelogd, moet iemand die logging aanzetten om te weten wie een master heeft geopend.

Bij packaging verandert content van vorm. De encoding- en packagingpipeline knipt elke titel in korte segmenten en versleutelt die met Common Encryption (ISO/IEC 23001-7), zodat één set bestanden door Widevine, PlayReady en FairPlay kan worden ontsleuteld. De sector groeit toe naar de "cbcs"-variant van die standaard, die verplicht is voor FairPlay en die actuele Widevine- en PlayReady-clients ondersteunen. Sommige oudere smart-tv's en Android-versies hebben nog de eerdere "cenc"-variant nodig, en dat betekent twee keer packagen, met aparte sleutels.

De sleutels reizen nooit mee met de content. Een aparte sleuteldienst maakt ze aan en geeft ze aan de packager via een standaarduitwisseling: DASH-IF CPIX, of AWS SPEKE, dat daarop is gebouwd. Die scheiding is de kern: wie inbreekt op de origin van het CDN, vindt alleen versleutelde data. Twee extra maatregelen leggen de lat hoger:

Aparte sleutels per kwaliteitsniveau. SD-, HD- en UHD-versies en de audio krijgen elk een eigen sleutel. Een sleutel die uit een zwakke softwareclient wordt gehaald, ontsluit dan alleen het SD-beeld.
Sleutelrotatie op livekanalen. Tijdens een livestream wisselen de sleutels met vaste tussenpozen, zodat één gecompromitteerde sleutel weinig blootgeeft.

Op het netwerk: tokenisatie op de edge

Versleuteling beschermt de content. Tokenisatie beschermt de toegang ertoe. Een CDN levert bestanden aan iedereen die erom vraagt, tenzij elk verzoek bewijs meedraagt dat het is toegestaan. Dat bewijs is een token: een ondertekend toegangsbewijs met een vervaltijd, in de URL of in een cookie.

Eenvoudige tokens, zoals ondertekende URL's en cookies, krijgen een vervaltijd en kunnen een verzoek aan een reeks IP-adressen koppelen. Ze stoppen het zomaar delen van links. Tegen een vastberaden restreamer, die steeds opnieuw een geldig token van één betalend account ophaalt, doen ze minder.

Het nieuwere Common Access Token (CTA-5007-B, gepubliceerd in april 2025) standaardiseert uitgebreidere regels die elk CDN kan afdwingen: vernieuwing, grenzen aan hergebruik, koppeling aan een IP-adres of een land, en bewijs dat het token hoort bij het apparaat dat het aanbiedt. De ondersteuning komt, maar ongelijkmatig. Amazon CloudFront voegde het in november 2025 toe. Per oktober 2026 ondersteunt Akamai een deel van de specificatie, zonder grenzen aan hergebruik of bewijs van bezit.

Rond het token zitten de andere netwerkmaatregelen:

Geo-blocking en VPN-detectie, zodat content binnen de gebieden blijft waarvoor die in licentie is gegeven.
Licentievensters. Licenties zijn vaak ook in tijd beperkt, dus toegangsregels moeten per land en per periode worden ingesteld in het contentmanagementsysteem achter de dienst.
TLS op elke verbinding, voor manifesten, segmenten, licentieverzoeken en de API's achter de app.
Niet vertrouwen op "clear key"-versleuteling. Gewone AES-128-versleuteling in HLS geeft de ruwe sleutel aan de speler. Dat houdt eenvoudige downloadpogingen tegen, maar biedt geen koppeling aan het apparaat, geen beveiliging van de beeldaansluiting en geen licentieregels. Het is dus geen DRM.

Op het apparaat: DRM, beveiligingsniveaus en het scherm

Op het apparaat moet versleutelde content een beeld worden, dus daar doet DRM zijn werk. Drie systemen dekken de markt: Widevine voor Android, Chrome en veel smart-tv's; PlayReady voor Windows, Xbox en veel andere tv's; en FairPlay voor Apple-apparaten. Een dienst die elk scherm wil bereiken, heeft ze alle drie nodig, ingebouwd in de app op elk platform: Widevine L1 op gecertificeerde Android-apparaten, FairPlay op Apple-apparaten en de Encrypted Media Extensions van de browser op het web.

Het beveiligingsniveau dat een apparaat haalt, weegt even zwaar als het DRM-systeem dat het gebruikt:

Widevine L1 ontsleutelt en verwerkt video in een trusted execution environment, afgeschermd van het besturingssysteem. L3 draait in software en is doorgaans beperkt tot SD.
PlayReady SL3000 bewaart zijn geheimen in beveiligde hardware. SL2000 dekt geharde clients die ze in software kunnen beschermen. De documentatie van Microsoft over beveiligingsniveaus legt uit hoe een licentieserver hogere resoluties kan voorbehouden aan SL3000-apparaten.
FairPlay verwerkt sleutels en ontsleuteling in de kernel van het besturingssysteem, buiten bereik van de app.

De licentie bevat de bedrijfsregels. Ze kan de resolutie per beveiligingsniveau begrenzen, HDCP 2.2 of hoger eisen voordat UHD afspeelt, een vervaldatum zetten op offline downloads en periodieke vernieuwing eisen, zodat een sessie kan worden beëindigd. Daarnaast gelden accountregels: limieten voor geregistreerde apparaten en gelijktijdige streams ontmoedigen informeel delen en maken restreaming vanaf één account makkelijker zichtbaar.

Dan is er de weg naar het scherm, en de app rond de speler:

HDCP beschermt de HDMI-verbinding tussen een box of stick en de tv. Op settopboxen zoals TV2Z Play One zorgt secure boot ervoor dat alleen ondertekende software draait.
Het blokkeren van schermopnames stopt eenvoudig opnemen, maar met beperkingen die u moet kennen. Volgens Google werkt het mechanisme van Android op Android 11 en ouder maar op ongeveer 70% van de apparaten betrouwbaar, en iOS maakt FairPlay-video zwart in een schermopname, maar de audio niet.
Root- en jailbreakdetectie en attestatie via Google Play Integrity en Apple App Attest stellen een dienst in staat het afspelen te weigeren op een gecompromitteerd apparaat of in een gemanipuleerde app.

Dit alles actueel houden op elk platform is specialistisch werk, en een van de redenen waarom de meeste enterprise-OTT-projecten geen eigen platform zouden moeten bouwen.

Na het scherm: watermarking, monitoring en verwijdering

Geen beveiliging is perfect. Een camera die op een tv is gericht, of één gecompromitteerd apparaat, levert vroeg of laat een illegale kopie op. Vanaf dat moment draait alles om snelheid: de kopie vinden, vaststellen waar die vandaan komt en de verspreiding stoppen.

Forensic watermarking maakt die middelste stap mogelijk. De stream van elke kijker draagt een onzichtbaar, uniek watermerk, meestal een sessie- of abonnee-ID. Duikt er een illegale stream op, dan laat het uitlezen van dat watermerk zien van welk account hij komt, en kan die sessie worden beëindigd terwijl het evenement nog loopt.

De best schaalbare methode is A/B-watermarking, gestandaardiseerd door DASH-IF en door ETSI gepubliceerd als TS 104 002. Elk segment wordt in twee versies gemaakt, A en B, die er hetzelfde uitzien. Het CDN levert elke kijker een unieke reeks A's en B's, zodat uit elke opname af te lezen is van welke sessie die komt.

Elk segment bestaat in twee versies, A en B, die er voor een kijker hetzelfde uitzien. Het CDN levert elke sessie een eigen reeks, zodat uit een opname af te lezen is waar die vandaan komt. In theorie onderscheiden zes segmenten 64 sessies, en 32 segmenten meer dan vier miljard. Dit is een vereenvoudigd model: echte systemen spreiden elk ID over veel meer segmenten, met foutcorrectie, zodat een herleiding hercodering en gemengde sessies overleeft. Leveranciers melden herleidingen in minuten.

Watermarking wordt een standaardfunctie in plaats van een specialisme. AWS voegde in september 2026 forensische A/B-watermarking toe aan zijn live-encoder, en leveranciers plaatsen watermerken inmiddels op de CDN-edge, vanuit één enkele encode. Leveranciers melden dat ze een lek bij livesport in slechts drie tot vijf minuten kunnen herleiden.

Monitoring en juridische stappen maken de cirkel rond. Rechthebbenden zoeken tijdens elk evenement naar illegale streams en sturen verzoeken naar de diensten die ze hosten; het cijfer van 1,4% hierboven laat zien waarom verzoeken aan hostingproviders op zich niet werken bij live content. Overheden reageren uiteenlopend. De Europese Commissie vond het effect van haar aanbeveling uit 2023 "beperkt" en onderzoekt verdere maatregelen. Het Italiaanse Piracy Shield eist blokkering binnen 30 minuten, en de toezichthouder legde Cloudflare een boete van € 14,25 miljoen op omdat het niet blokkeerde via zijn publieke DNS-resolver; Cloudflare heeft gezegd die boete aan te vechten. De door de rechter bevolen IP-blokkades in Spanje tijdens wedstrijden van LaLiga hebben honderdduizenden domeinen getroffen, de meeste zonder enig verband met voetbal, volgens een onderzoek van OONI uit 2026. In de Verenigde Staten zijn wetsvoorstellen voor het blokkeren van sites in behandeling, maar per oktober 2026 is er nog geen aangenomen.

Het delen van accounts is een minder zichtbare variant van hetzelfde probleem. Sinds Netflix in 2023 overstapte op accounts per huishouden, is handhaving op basis van apparaten, IP-adressen en activiteit gangbaar geworden bij abonnementsdiensten.

Het moeilijkste geval: offline en aan boord

Op schepen en in vliegtuigen valt het vangnet weg. Er is geen licentieserver bereikbaar via internet, de servers reizen mee met het schip of vliegtuig, buiten een beveiligd datacenter, en het gaat vaak om early-window-content.

Luchtvaartmaatschappijen reageerden hierop met APEX 0415, de specificatie voor contentbeveiliging bij in-flight entertainment. Versie 2, goedgekeurd in 2019, gebruikt CMAF met Common Encryption, stelt beveiligingseisen voor content tot en met UHD en early-window-releases, en voegt forensic watermarking toe.

Een on-premises-installatie voor maritiem en transport volgt hetzelfde model. Het platform draait lokaal aan boord, en content wordt vanaf een hub aan wal gesynchroniseerd via versleutelde overdrachten met certificaten, die alleen verzenden wat is gewijzigd, wat bij satellietverbindingen veel uitmaakt. Alle drie de DRM-systemen draaien naast elkaar. Sleutels staan in een versleutelde opslag die in hardware is verankerd, meestal een TPM, met secure enclaves voor de gevoeligste verwerking, en de systemen aan boord zitten achter een VPN-verbinding in plaats van op het publieke internet.

Hardware-enclaves leggen de lat hoger, maar zijn op zich niet genoeg. Onderzoek uit 2025 liet zien dat een aanvaller met fysieke toegang tot een server en goedkope hardware de geheugenversleuteling kan omzeilen waarop Intel SGX en vergelijkbare technologieën steunen, en de chipmakers rekenen zulke aanvallen niet tot hun dreigingsmodel. Daarom rust een goed ontwerp niet alleen op de enclave: sleutels worden ook versleuteld en gewrapt, een TPM verankert het vertrouwen, het certificaat van elke server wordt regelmatig vernieuwd en kan worden ingetrokken, en de fysieke beveiliging van de serverruimte hoort bij het ontwerp, geen bijzaak.

Drie niveaus van beveiliging

Niet elke titel heeft elke maatregel nodig. Het juiste niveau hangt af van de waarde van de content en van wat het contract van de rechthebbende eist.

Basis, voor elke dienst. Versleutelde contributiefeeds en bestandsoverdracht. Versleutelde opslag met gecontroleerde toegang, en sleutels uit een aparte sleuteldienst. TLS overal. Multi-DRM, waarbij voor SD softwarematige beveiliging volstaat. Ondertekende URL's met een vervaltijd. Geo-blocking. Limieten voor apparaten en gelijktijdige streams. Root- en jailbreakdetectie waar het platform dat toelaat. Monitoring en verwijderverzoeken.

Premium, voor UHD, early-window-releases en livesport. Dit niveau bouwt voort op de Enhanced Content Protection-specificatie van MovieLabs, de gezamenlijke technologieorganisatie van de studio's (versie 1.4, augustus 2024). ECP vraagt om hardwarematige DRM, HDCP 2.2 of hoger, aparte sleutels voor ECP-content, ondertekende of getokeniseerde URL's, geofiltering met detectie van VPN's en proxy's, het uitsluiten van apparaten en verplichte beveiligingsupdates, forensische watermerken die een opname overleven, en content die zo laat mogelijk op het CDN komt, bijvoorbeeld niet eerder dan twee dagen voor de release. Premiumdiensten voegen daar sleutelrotatie op livekanalen, aparte sleutels per kwaliteitsniveau, tokens die aan de sessie zijn gekoppeld, het uitsluiten van ontvangers van contributiefeeds en een beoordeelde toeleveringsketen aan toe.

Toekomst: wat er verandert. Een deel komt er nu aan:

Watermarking als standaardfunctie van encoders in de cloud en van de CDN-edge, in plaats van een aparte integratie.
Het Common Access Token bij steeds meer CDN's, zodat diensten met meerdere CDN's één tokenformaat hebben.
Hardwarematige DRM als standaard. Widevine sluit oudere desktopclients inmiddels regelmatig uit, Chrome stopte in 2025 met offline licenties op de desktop, en PlayReady SL3000 werkt nu in Chrome op Windows 11.
Post-quantum sleuteluitwisseling voor verbindingen. NIST stelde in augustus 2024 zijn eerste post-quantumstandaarden vast, en Chrome en iOS 26 gebruiken er een van, ML-KEM, al standaard in een hybride sleuteluitwisseling, zodat licentieverzoeken via HTTPS onderweg steeds vaker zo zijn beschermd als de server dat ondersteunt.

Een deel is in opkomst:

Tokens die bezit bewijzen, die toegang koppelen aan een apparaatsleutel of een TLS-sessie, zodat een gestolen token elders niets waard is. De standaard ondersteunt het; per oktober 2026 de meeste CDN's nog niet.
AI aan beide kanten. Rechthebbenden gebruiken het om illegale streams in realtime te herkennen, en piraten om sites sneller te bouwen en te verplaatsen.
Snellere juridische middelen, nu de EU verdere, mogelijk bindende maatregelen tegen livepiraterij overweegt.

En een deel is het volgen waard, zonder het te overdrijven:

Post-quantumcryptografie binnen DRM. Per oktober 2026 hebben we nog geen gepubliceerde roadmap van een DRM-leverancier gezien voor de sleuteluitwisseling binnen DRM zelf.
Confidential computing voor licentie- en sleutelservers. Enclaves zoals Intel SGX worden in on-premises-systemen al gebruikt, maar voor licentie- en sleutelservers in de cloud vonden we geen publieke toepassingen, en de fysieke aanvallen uit 2025 gelden ook hier.
Content Credentials (C2PA). Die laten zien waar content vandaan komt en of die sinds de ondertekening is gewijzigd, wat telt voor nieuws en tegen deepfakes. Ze bepalen niet wie mag kijken.
Passkeys. Die maken het overnemen van accounts veel moeilijker. Hun effect op het delen van accounts is minder duidelijk.

Vragen voor elke platformleverancier

Of u nu een platform kiest of de beveiligingsbijlage van een rechthebbende invult, deze vragen laten snel zien hoe volledig de beveiliging van een leverancier is:

Welke DRM-systemen ondersteunt u op elk apparaat, en op welk beveiligingsniveau?
Hoe worden contentsleutels aangemaakt, opgeslagen en geroteerd, en krijgen kwaliteitsniveaus en audio aparte sleutels?
Hoe worden CDN-verzoeken getokeniseerd, en kan een geldige URL worden gedeeld of hergebruikt?
Hoe dwingt u gebieden, licentievensters en VPN-detectie af?
Welke limieten gelden voor apparaten en gelijktijdige streams, en kan een sessie op afstand worden beëindigd?
Kunt u elke sessie van een watermerk voorzien, en hoe snel is een lek naar een account te herleiden?
Hoe wordt content naar u overgedragen en in rust opgeslagen, en wie kan een masterbestand openen?
Welke beveiligingsbeoordelingen heeft uw toeleveringsketen doorstaan?
Blijft de beveiliging offline werken, op een schip of in een vliegtuig?

Waar te beginnen

Contentbeveiliging is het makkelijkst goed te regelen als die vanaf het begin in het platform is ontworpen, in plaats van per rechthebbende te worden toegevoegd. Welke maatregelen een dienst nodig heeft, hangt af van de content, de contracten en het publiek, en de vragen hierboven helpen om de gaten te vinden.

Beheert of plant u een beheerde TVaaS-dienst of een enterprise-OTT-platform, en ligt de beveiligingsbijlage van een rechthebbende op uw bureau, dan denken we graag met u mee.