Begrijpen wanneer een hacker inhuren legaal is

De eerste vraag bij het inhuren van een specialist is niet wat het kost, maar of de opdracht in juridisch opzicht houdbaar is. De meeste mensen die deze zoektocht beginnen, zitten midden in een concrete gebeurtenis: hun e-mailaccount vertoont activiteit die zij niet zelf herkennen, hun telefoon gedraagt zich plotseling afwijkend, of een server van het bedrijf reageert niet meer zoals gewend. In al die gevallen hangt het antwoord op de legaliteitsvraag af van twee punten: wie het toestel of het account rechtmatig beheert, en of die partij toestemming verleent en die vastlegt.

Dat onderscheid is bepalend. Dezelfde handelingen die met instemming een beveiligingsonderzoek vormen, zijn zonder instemming een strafbaar feit. In dit artikel loopt Cyberlord langs het wettelijk kader in gewone taal, de bijzondere situatie rond telefoons en accounts, de inhoud van een opdrachtomschrijving, de rapportage die een rechtmatig onderzoek oplevert en de signalen van een onrechtmatig aanbod.

Cyberlord werkt uitsluitend aan opdrachten op systemen en accounts die aan u toebehoren of waarvoor de rechtmatige eigenaar schriftelijke toestemming heeft gegeven. Verzoeken om heimelijke toegang tot het profiel van een partner, familielid of collega nemen we om die reden niet in behandeling.

Wanneer professionele hulp zinvol is

Professionele bijstand verdient aanbeveling wanneer een incident zich binnen uw eigen omgeving afspeelt en u er zelf onvoldoende vat op heeft. Voorbeelden: logbestanden op eigen servers die binnen enkele dagen overschreven worden, een account dat is overgenomen terwijl onduidelijk blijft vanaf welk apparaat, of een organisatie die richting verzekeraar of directie een controleerbaar verslag nodig heeft. Het onderzoek richt zich dan op eigendommen van u zelf en wordt als toegestane diagnostiek opgezet. Betreft de vraagstelling daarentegen een toestel of account van iemand anders, dan begint het traject bij een jurist of bij een aangifte; technisch onderzoek is dan niet de juiste ingang.

Het wettelijk kader in gewone woorden

Voor de hoofdlijnen hoeft u geen jurist te zijn. In het Nederlands strafrecht is inbreng in een computersysteem of account waarvoor de rechthebbende geen toestemming gaf strafbaar; ook het aftappen van wachtwoorden en het plaatsen van bewakingssoftware zonder akkoord vallen daaronder. De Europese privacywetgeving (AVG) stelt daar een tweede eis naast: persoonsgegevens zoals locatiehistorie, berichteninhoud en contactgegevens mogen alleen worden verwerkt met een geldige grondslag, met uitleg aan de betrokkenen over wat er gebeurt en waarom.

Er bestaat bovendien geen "hacker-vergunning" die dit alles toelaat. Wat een opdracht rechtmatig maakt, is uitsluitend de toestemming van de rechtmatige eigenaar, vastgelegd vóórdat er gewerkt wordt. Specialistenkennis verandert daar niets aan; wie anders beweert, verkoopt u risico.

Wie mag werkelijk toestemming verlenen

Aan wiens akkoord u moet denken, hangt af van het onderzoeksobject:

Eigen toestel — de natuurlijke persoon of organisatie die juridisch eigenaar is; bij een zakelijke laptop gelden de arbeidscontext en het apparatenbeleid van de organisatie.
E-mailaccount of profiel — de naamhouder van de rekening. Bij een zakelijke rekening verleent de organisatie, via een bevoegde bestuurder, het akkoord en niet een willekeurige medewerker.
Thuisnetwerk of router — de abonnementshouder van de internetverbinding.
Systemen van een derde — u vraagt toestemming aan die partij zelf, en die partij beslist of en hoe zij die verleent. Als gebruiker van een schoolplatform of werkomgeving mag u dat besluit niet namens de instelling nemen.

Samenwonen, een gedeeld tarief of een bekend wachtwoord van iemand anders maakt u nog niet tot rechthebbende. Een akkoord vraagt altijd een bevoegde ondertekenaar.

Telefoon, account en e-mail: wat uw eigen situatie toelaat

Met dit kader voor ogen laat de alledaagse situatie zich eenvoudig lezen:

Uw eigen telefoon of laptop. Op toestellen die onder uw naam zijn aangeschaft kunt u zonder beperking diagnostiek bestellen: sporen van een inbreng achterhalen, de toegang herstellen en de beveiliging daarna dichtzetten.
Uw eigen account of e-mail. Onderzoek naar een overgenomen rekening, openstaande sessies en de vraag hoe iemand binnenkwam is zonder meer toegestaan, zolang u de naamhouder bent.
Account of toestel van uw partner. Een relatie verleent geen inzage; heimelijk meelezen, berichten uitlezen of een telefoon volgen behoort zonder het akkoord van de rechthebbende niet tot het aanbod van een vakman. Staat uw veiligheid ter discussie, dan loopt het traject via de politie en eventueel een jurist.
Minderjarige kinderen. Ouders dragen de zorg voor hun kinderen, maar dat maakt verborgen volgsoftware die een commercieel team op een toestel zet niet zomaar passend. Kies liever de ouderlijke instellingen die het apparaat zelf aanbiedt en houd de gesprekken open; bij aanwijzingen van een misdrijf blijft aangifte de aangewezen weg.
Bedrijfsapparatuur van medewerkers. De organisatie mag testen van de eigen apparaten laten uitvoeren, mits medewerkers volgens een helder beleid op de hoogte zijn en het gebruik van hun gegevens aan de privacyeisen voldoet.

Wat Cyberlord eerst controleert

Vóór elke planning toetst Cyberlord drie zaken: wie het doelobject rechtmatig beheert, wie daartoe bevoegd is om akkoord te geven, en welk resultaat het onderzoek moet aanleveren. In de praktijk betekent dit:

het eigendomsverhaal en de bevoegdheid van de ondertekenaar verifiëren
vastleggen hoe persoonsgegevens tijdens het onderzoek worden veiliggesteld, conform de privacywetgeving
kiezen tussen forensisch sporenonderzoek, een gerichte penetratietest en een beveiligingsbeoordeling
veilige communicatie en een gecontroleerde gegevensoverdracht afspreken
uiterst gevoelige dossiers, zoals medische of financiële stukken, waar mogelijk buiten het bereik van het onderzoek laten

Zo ontstaat een opdracht waarmee u achteraf verantwoording kunt dragen.

Zo richt u de opdracht goed in

Giet de gemaakte afspraken in een scope-document. Daarin staan in elk geval: de namen en vestigingsgegevens van beide partijen; een exacte opsomming van de systemen, accounts, domeinen en toestellen die tot het onderzoek mogen behoren; het tijdvenster waarbinnen gewerkt mag worden; de technieken die wel en juist niet zijn toegestaan — denk aan de vraag of nagebootste berichten of telefoontjes binnen de opdracht vallen; de meldingsprocedure als er tussentijds een ernstige zwakke plek naar boven komt; geheimhouding jegens derden; de regels rond persoonsgegevens; kosten, facturering en annulering; en de ondertekening door iemand die daartoe bevoegd is. Alles wat buiten het document valt, behoort ook buiten de uitvoering; die grens is precies de bescherming waarvoor u het document opstelt.

Welke resultaten u mag verwachten

Een rechtmatig opgezet onderzoek levert bruikbare bescheiden op: een leesbare samenvatting voor niet-technici, bevindingen voorzien van tijdstip en risico-aanduiding, adviezen die op urgentie gerangschikt zijn en een beschrijving van de herstelstappen. Bij wens volgt een herbeoordeling van de getroffen maatregelen of een mondelinge toelichting. Het onderliggende materiaal blijft gedurende de opdracht binnen uw eigen omgeving en wordt na de overeengekomen bewaartermijn definitief verwijderd.

Wat u juist níet ontvangt, is een belofte over een specifieke uitkomst, acties gericht tegen derde partijen of stukken die alleen in een privéconflict functioneren. Het eindverslag moet gehard zijn tegen kritische vragen van uw accountant, verzekeraar of, indien u tot aangifte besluit, van justitie.

Waarschuwingssignalen bij valse aanbieders

Bepaalde formuleringen maken een aanbod niet alleen riskant maar direct onrechtmatig:

Wachtwoorden afvangen bij uw partner zonder dat die akkoord is — inbreng in een account waarvoor de naamhouder geen akkoord gaf.
Doorlichting van het platform van uw school of werkgever — die instelling is de rechthebbende; als gebruiker kunt u niet namens haar instemmen.
Schaduwwaarneming van vele dagen op elke telefoon — verborgen bewakingssoftware op apparaten van derden bevindt zich in het strafbaar gebied.
Een aanbieder die niet vraagt wie de eigenaar is — wie de kernvraag overslaat, levert per definitie geen rechtmatige dienst.

Daarnaast gelden de bekende kenmerken van fraude: anonieme chatkanalen, uitsluitend vooruitbetaling in cryptocurrency zonder contract, garanties op de uitkomst en onredelijke druk om binnen enkele uren te tekenen. Noem ten slotte het positieve tegenbeeld: een specialist die uw verzoek afwijst omdat de wettelijke voorwaarden ontbreken, houdt u juist buiten de problemen.

Cyberlord

Wilt u weten of en hoe uw situatie rechtmatig kan worden vormgegeven? Stuur de feiten: wat er gebeurde, wanneer, op welk toestel of account en wie de eigenaar is. Cyberlord beantwoordt eerst de rechtsvraag en de vraag naar technische haalbaarheid, voordat enig aanbod volgt.

Kan Cyberlord direct helpen?
Ja, te beginnen met een beoordeling van de rechtsvraag, het risico en de beschikbare bewijzen.

Moet ik wachtwoorden sturen?
Nee. Deel geen inloggegevens voordat scope en veilige gegevensoverdracht schriftelijk zijn vastgelegd.