Ethiek van telefoonhacking: waar ligt de juridische grens?

Telefoonhacking is een van de meest gezochte termen op het Nederlandse internet. De zoekopdrachten komen uit heel verschillende hoeken: iemand die een partner verdenkt, een ouder die zich zorgen maakt over het schermgebruik van een puber, een ondernemer die vreest dat zijn toestel wordt afgeluisterd. De juridische en ethische werkelijkheid achter die zoekopdracht is bijna nooit wat de advertenties beloven.

Dit artikel gaat niet over het binnendringen van andermans toestel. Het legt uit waarom ongeoorloofde toegang strafbaar en schadelijk is, hoe spyware zich verbergt, waaraan u een compromis herkent en welke geoorloofde routes er wél zijn: schriftelijke toestemming, ouderlijk toezicht, geautoriseerd forensisch onderzoek en een melding bij de Autoriteit Persoonsgegevens of de politie.

Wat mensen met telefoonhacking bedoelen

De term omvat praktijken die juridisch en ethisch ver uit elkaar liggen. Wie dat onderscheid niet maakt, belandt makkelijk bij een aanbieder die het tegenovergestelde levert van wat hij belooft.

Ongeoorloofde toegang op afstand. Dit is het beeld dat de meeste mensen voor ogen hebben: een dienst die toegang belooft tot berichten, belijsten, foto's of de actuele locatie van iemand anders. In Nederland is dat computervredebreuk volgens artikel 138ab van het Wetboek van Strafrecht, en in vrijwel elk land met moderne digitale wetgeving geldt eenzelfde verbod.

Stalkerware. Commerciële software die als ouderlijk toezicht of medewerkerstracking wordt verkocht en na installatie stilzwijgend communicatie, locatie en appactiviteit doorstuurt. Op de telefoon van een volwassene zonder diens medeweten is installatie in Nederland strafbaar, en in situaties van huiselijk geweld is het een van de belangrijkste middelen waarmee een dader zijn slachtoffer controleert.

SIM-swapping. Hierbij wordt een medewerker van de telecomprovider gemanipuleerd om het nummer van het slachtoffer over te zetten naar een simkaart van de aanvaller. Daarna kan die sms-codes voor tweefactorauthenticatie onderscheppen en e-mail-, bank- en socialmedia-accounts overnemen. Het is oplichting en identiteitsfraude, en een hardnekkige dreiging voor bestuurders en houders van cryptovaluta.

Misbruik van SS7. SS7 is het signaleringsprotocol achter het wereldwijde telefoonnetwerk. Bekende kwetsbaarheden maken het mogelijk gesprekken en sms-berichten te onderscheppen en een toestel te volgen zonder het aan te raken, maar dat vereist toegang tot telecominfrastructuur of middelen op staatsniveau. Aanbieders die SS7-tracking voor een paar honderd euro adverteren, zijn bezig met oplichting of met iets ernstigers.

Geautoriseerde beveiligingstest. De rechtmatige variant: een gecertificeerde specialist mobiele beveiliging test een toestel op kwetsbaarheden, malware, zwakke configuraties en blootstelling van gegevens, in opdracht en met schriftelijke toestemming van de eigenaar of diens organisatie. Legaal, ethisch verantwoord en voor organisaties met een verhoogd dreigingsprofiel vaak bijzonder waardevol.

De wettelijke grens: artikel 138ab en 139c Sr

Artikel 138ab Sr stelt strafbaar dat iemand opzettelijk en wederrechtelijk binnendringt in een geautomatiseerd werk, bijvoorbeeld door een beveiliging te doorbreken, zich een valse hoedanigheid aan te meten of een technische ingreep te plegen. Artikel 139c Sr richt zich op het heimelijk aftappen of opnemen van gegevens die via een geautomatiseerd werk worden verwerkt. Beide artikelen zijn geschreven voor systemen, niet voor relaties: de band tussen twee mensen verandert niets aan de strafbaarheid.

Dat punt wordt het vaakst gemist. Een echtgenoot, een ouder van een meerderjarig kind, een werkgever of een ex-partner verkrijgt door die relatie geen bevoegdheid om privécommunicatie te observeren. Ook een gerechtvaardigd doel, zoals verdenking van ontrouw of zorg om iemands welzijn, is geen rechtvaardigingsgrond. Bewijs dat via ongeoorloofde toegang is verzameld, is in een civiele procedure doorgaans onbruikbaar en kan de positie van de verzamelaar verslechteren, nog los van de strafrechtelijke risico's en een mogelijke schadeclaim.

Daar komt de AVG bij. Iemand heimelijk volgen is verwerking van persoonsgegevens zonder rechtsgrond, vaak zelfs van gevoelige gegevens over gezondheid of seksualiteit. De Autoriteit Persoonsgegevens kan daar handhavend tegen optreden. Dit artikel is algemene voorlichting en geen juridisch advies; raadpleeg bij een concreet geschil een advocaat.

Waarom schriftelijke toestemming het hele verschil maakt

De helderste ethische grens in digitale monitoring is toestemming plus openheid. Wie weet dat er wordt meegekeken en daarmee instemt, behoudt de controle over wat er met zijn gegevens gebeurt. Die toestemming moet wel aan voorwaarden voldoen: schriftelijk vastgelegd, geïnformeerd over wát er wordt ingezien, beperkt tot een afgebakend doel en een afgebakende periode, en op elk moment intrekbaar. Een vinkje in algemene voorwaarden is geen toestemming voor het meelezen van privéberichten.

Voor ouderlijk toezicht geldt een eigen afweging. Ouders mogen het toestel van een minderjarige in hun zorg beheren, maar de mate waarin hangt af van leeftijd, begripsvermogen en de aard van de zorg. Een openlijke app voor schermtijd en locatie bij een twaalfjarige is iets anders dan een verborgen meeluisterfunctie bij een zeventienjarige. Naarmate een kind ouder wordt, verschuift de verhouding van controle naar begeleiding.

Voor werkgevers geldt: toezicht op bedrijfsapparatuur kan binnen een transparant beleid, met een duidelijk doel, een geregistreerde grondslag en kennisgeving aan de medewerker. Wat niet kan, is een privételefoon binnendringen of privécommunicatie op een zakelijk toestel doorzoeken zonder deugdelijke grondslag. Apparaatbeheer met kennisgeving vooraf is de geoorloofde route; heimelijke ontsluiting is dat niet.

Hoe spyware zich op een telefoon verstopt

Spyware kondigt zichzelf niet aan, maar de technieken waarmee surveillancetools zich nestelen zijn bijna altijd terug te vinden in de instellingen. Vier plekken verdienen aandacht.

Toegankelijkheidsrechten. Op Android is de toegankelijkheidsdienst bedoeld voor gebruikers die ondersteuning nodig hebben bij de bediening. Dezelfde rechten laten een app het scherm lezen, tikken nabootsen en invoer onderscheppen. Een onbekende app met toegankelijkheidsrechten is een van de duidelijkste signalen van stalkerware.

Configuratieprofielen en apparaatbeheer. Op iOS kan een configuratieprofiel het toestel verregaand beheren: netwerkverkeer omleiden, certificaten vertrouwen, apps installeren. Een profiel dat u zelf niet hebt geïnstalleerd, hoort er niet te staan. Op Android speelt hetzelfde patroon via apparaatbeheerdersapps met rechten die u nooit hebt toegekend.

Afwijkend batterijgebruik. Surveillancesoftware draait continu op de achtergrond, verstuurt gegevens en houdt de processor wakker. Een toestel dat zonder gebruik warm wordt en veel sneller leegloopt dan een maand eerder, verdient onderzoek.

Onverwacht dataverbruik. Spyware exfiltreert gegevens naar een externe server. Een plotselinge stijging in mobiel of wifi-verbruik, zeker bij een app die daar functioneel niets te zoeken heeft, is een aanwijzing. Kijk niet alleen naar de voorpagina van uw appoverzicht, maar doorloop de volledige lijst.

Daarnaast zijn er indirecte sporen: inlogmeldingen vanaf onbekende locaties, wachtwoordresets die u niet hebt aangevraagd, verificatiecodes die binnenkomen terwijl u niet inlogt, en een scherm dat oplicht terwijl het toestel ongebruikt op tafel ligt. Geen enkel signaal is op zichzelf bewijs; de combinatie van meerdere is reden voor nader onderzoek.

Overzicht: wat is geoorloofd en wat niet

Vorm	Wat er feitelijk gebeurt	Toestemming	Status in Nederland
Beveiligingstest in opdracht	Specialist test eigen toestel op kwetsbaarheden en malware	Schriftelijk, van de eigenaar	Geoorloofd
Ouderlijk toezicht	Locatie en schermtijd van een minderjarige in uw zorg	Openlijk, passend bij leeftijd	Geoorloofd
Stalkerware op partner	Berichten, locatie en appgebruik heimelijk doorsturen	Geen	Strafbaar (art. 138ab en 139c Sr)
SIM-swap	Nummer overzetten naar een eigen simkaart	Geen	Strafbaar (oplichting, identiteitsfraude)
SS7-tracking	Aftappen via telecominfrastructuur	Geen	Strafbaar, praktisch voorbehouden aan statelijke actoren
Nepbewijs laten maken	Vervalste screenshots of chatlogs voor de rechter	Geen	Strafbaar (valsheid in geschrifte)

De oplichtingsindustrie rond het inhuren van een hacker

Wie zoekt naar een dienst die een telefoon hackt, komt terecht in een criminele infrastructuur die vooral één ding wil: uw geld. Vier patronen komen steeds terug.

Vooruitbetaling zonder levering. De hacker stemt in, vraagt een bedrag vooraf via overschrijving, cryptovaluta of cadeaukaarten, en verdwijnt. De opdrachtgever is geld kwijt en heeft niets ontvangen.

Gedeeltelijke levering met oplopende eisen. De oplichter levert een paar verzonnen resultaten — screenshots, algemene locatiegegevens, een samenvatting van zogenaamd onderschepte berichten — en meldt dan dat een technisch probleem extra betaling vereist. Wie al emotioneel en financieel geïnvesteerd is, betaalt opnieuw, tot hij weigert.

Vervalsing van bewijs. Sommige diensten verkopen overtuigend uitziende nep-screenshots van berichten of gesprekken aan mensen die in een scheiding of omgangsregeling verwikkeld zijn. Het gebruik van verzonnen bewijs in een gerechtelijke procedure is een ernstig strafbaar feit waarop al cliënten in detentie zijn beland.

Afpersing na de opdracht. De gevaarlijkste variant: de oplichter achterhaalt wie de opdracht gaf en gebruikt die wetenschap tegen de klant. Betaal, of wij vertellen uw partner of werkgever wat u hebt laten doen. De opdrachtgever heeft dan zowel een strafbaar feit gepleegd als een afpersingsrelatie opgebouwd. Komt daar dreiging met gestolen beelden bij, dan helpt onze uitleg over afpersing met intieme beelden bij de eerste stappen.

Wat u zelf kunt controleren bij een vermoeden

Veiligheid gaat voor techniek. Vermoedt u dat de monitoring samenhangt met een onveilige thuissituatie, onderneem dan niets vanaf het verdachte toestel wat de controleur kan opmerken. Gebruik een ander apparaat en stap daarna pas over op technische maatregelen.

In alle andere gevallen kunt u zelf een eerste inventarisatie doen:

• Doorloop de volledige app-lijst, niet alleen het beginscherm.
• Controleer op iOS het scherm met VPN- en apparaatbeheer op profielen die u niet herkent.
• Controleer op Android de toegankelijkheidsdiensten en de apparaatbeheerdersapps.
• Bekijk het dataverbruik per app over de afgelopen maand.
• Controleer actieve sessies en gekoppelde apps in uw Apple ID of Google-account en in elk sociaal platform.
• Lees de inlogmeldingen van de afgelopen weken door.

Bij een vermoeden van een gerichte aanval op een bestuurder, journalist of publiek figuur is consumentensoftware niet toereikend. Dan is mobiel forensisch onderzoek de aangewezen route, uitgevoerd met schriftelijke toestemming en een afgebakende opdracht.

Stappenplan bij een vermoeden van compromittering

1. Werk het besturingssysteem en alle apps bij. Veel surveillancetools leunen op kwetsbaarheden in verouderde software.
2. Laat een gerenommeerde mobiele scan lopen. Malwarebytes, Lookout en Norton Mobile Security herkennen een groot deel van de commerciële spyware.
3. Beoordeel de app-rechten voor locatie, microfoon, camera en contacten, en trek in wat niet past bij de functie van de app.
4. Controleer sessies en gekoppelde apparaten in uw Google-account, uw Apple ID en elk sociaal platform, en trek in wat u niet herkent.
5. Wijzig uw belangrijkste wachtwoorden, te beginnen bij e-mail en de account van uw telecomprovider. Doe dit vanaf een schoon toestel, niet vanaf het verdachte exemplaar.
6. Stap over op app-gebaseerde tweefactorauthenticatie. Een authenticator-app of hardwaresleutel haalt sms-onderschepping als aanvalsvector weg.
7. Overweeg een fabrieksreset en herstel daarna alleen essentiële gegevens; een volledige back-up kan malware opnieuw binnenhalen.

De geoorloofde alternatieven

Er bestaat voor bijna elk legitiem doel een rechtmatige route. Wie een vermoeden wil onderbouwen, kan dat beter doen met middelen die standhouden dan met bewijs dat bij de rechter sneuvelt.

• Schriftelijke toestemming van de eigenaar, met een omschrijving van scope, doel en looptijd.
• Ouderlijk toezicht op een minderjarige in uw zorg, openlijk en passend bij de leeftijd.
• Geautoriseerd forensisch onderzoek door een gecertificeerde specialist, met een rapport over de bevindingen.
• Een melding bij de Autoriteit Persoonsgegevens bij een datalek of een onrechtmatige verwerking.
• Aangifte bij de politie bij een vermoeden van computervredebreuk of heimelijk aftappen.

Wilt u weten waar de grens tussen rechtmatig en strafbaar precies ligt bij het inschakelen van een professional, lees dan ons artikel over of een hacker inhuren legaal is.

Wat een forensisch onderzoek wel en niet doet

Een geautoriseerd mobiel beveiligingsonderzoek begint met schriftelijke toestemming van de eigenaar en een afgebakende opdracht. Binnen die kaders stelt een specialist vast of geavanceerde, niet-commerciële spyware aanwezig is, analyseert hij geautoriseerd netwerkverkeer op sporen van command-and-control-verkeer en levert hij een schriftelijk rapport op met bevindingen, methode en onderbouwing.

Zakelijk geldt dezelfde discipline: apparaatbeheer-configuraties testen op lekken, controleren of medewerkerstoestellen aan het beleid voldoen, een verdacht toestel beoordelen bij incidentrespons en zelf ontwikkelde apps toetsen vóór release. Wat zo'n onderzoek nooit doet, is toegang verschaffen tot gegevens van iemand anders dan de opdrachtgever.

Melden bij de Autoriteit Persoonsgegevens en de politie

Bij een datalek geldt op grond van de AVG een meldplicht bij de Autoriteit Persoonsgegevens binnen 72 uur nadat u het lek heeft vastgesteld. Bij heimelijke surveillance is daarnaast sprake van een onrechtmatige verwerking van persoonsgegevens, en de AP is de toezichthouder die daarop kan handhaven. Bewaar wat u aantrof: schermafbeeldingen van onbekende profielen, namen van verdachte apps en datums.

Voor computervredebreuk of heimelijk aftappen doet u aangifte bij de politie en laat u het technisch onderzoek aan de politie over. Ga niet zelf de indringer terugpakken: een vergeldingsactie is zelf strafbaar en kan uw aangifte ondermijnen.

Samenvatting

• Ongeoorloofde toegang tot een telefoon is in Nederland én in vrijwel elk ander rechtsgebied strafbaar, ongeacht de relatie tussen partijen.
• De meeste diensten die telefoonhacking aanbieden, zijn erop gericht geld af te troggelen, bewijs te vervalsen of de opdrachtgever te chanteren.
• Toegankelijkheidsrechten, onbekende configuratieprofielen en afwijkend batterij- en dataverbruik zijn de bruikbaarste signalen.
• Bij een hoog risicoprofiel is een geautoriseerd forensisch onderzoek de enige route die juridisch standhoudt.

Veelgestelde vragen

Is het ooit toegestaan om iemands telefoon te bekijken?

Ja, met uitdrukkelijke schriftelijke toestemming van de eigenaar. Ouders mogen het toestel van een minderjarige in hun zorg beheren met passende openheid en werkgevers mogen bedrijfsapparatuur controleren binnen een transparant beleid. Zonder die grondslag is toegang in beginsel strafbaar, ongeacht de relatie.

Kan spyware op afstand worden geïnstalleerd zonder het toestel aan te raken?

De meeste commerciële stalkerware vereist fysieke toegang, al is het maar enkele minuten. Instrumenten op staatsniveau kunnen via zero-click-kwetsbaarheden op afstand installeren, maar die zijn zeldzaam en richten zich op specifieke doelwitten.

Hoe controleer ik of mijn telefoon spyware bevat?

Begin bij de toegankelijkheidsrechten, de apparaatbeheerders en de configuratieprofielen, en vergelijk het batterij- en dataverbruik met dat van een maand geleden. Voor forensische zekerheid laat u eerst een image van het toestel analyseren.

Waar meld ik een dienst die telefoonhacking aanbiedt?

Bewaar alle correspondentie, betaalbewijzen en zogenaamde resultaten, en doe aangifte bij de politie. Meld de fraude daarnaast bij de Fraudehelpdesk en, wanneer er persoonsgegevens in het spel zijn, bij de Autoriteit Persoonsgegevens.

Wilt u uw eigen toestel eerst laten verifiëren, bekijk dan onze gids over hoe u een iPhone tegen hackers beschermt.