Phishing en ransomware: strafbaarheid, meldplicht en schade

Gepubliceerd op 16 april 2020 · Laatst bijgewerkt op 31 oktober 2026

Phishing en ransomware zijn strafbaar als computervredebreuk (artikel 138ab Sr), het onbruikbaar maken van gegevens (artikel 350a Sr), oplichting (artikel 326 Sr) en afpersing of afdreiging (artikelen 317 en 318 Sr). Voor de getroffen organisatie volgt daaruit vrijwel altijd een tweede vraag: is er een datalek dat u binnen 72 uur moet melden bij de Autoriteit Persoonsgegevens (artikel 33 AVG)?

Phishing en ransomware horen bij elkaar: een phishingmail is vaak de deur waardoor de gijzelsoftware binnenkomt. Hieronder leest u welke strafbepalingen gelden, hoe rechters phishingzaken beoordelen, wat de meldplichten zijn en wie de schade draagt.

Welke strafbepalingen raakt een aanval?

Het Wetboek van Strafrecht kent geen delict dat cybercrime heet. De gedragingen zijn verdeeld over verschillende bepalingen, en bij één aanval worden er meestal meerdere tegelijk overtreden.

Afdreiging komt steeds vaker voor: de aanvaller versleutelt niet alleen, maar kopieert de gegevens eerst en dreigt ze te publiceren. Een breder overzicht van de strafbare gedragingen leest u in ons artikel over strafbaar online gedrag.

Hoe rechters phishing en inbraak met inloggegevens beoordelen

De rechtbank Midden-Nederland veroordeelde op 6 maart 2020 een verdachte die verkopers via Marktplaats of WhatsApp vroeg om € 0,01 over te maken via een nep-betaallink (ECLI:NL:RBMNE:2020:854). De link leidde naar een phishingsite die bankinloggegevens afving. Bewezen werden computervredebreuk, het voorhanden hebben van phishingsites als hulpmiddel, oplichting en diefstal met een valse sleutel. Een tenlastegelegde poging tot afpersing werd niet bewezen.

Dat ook een eerdere relatie met het slachtoffer de inbraak niet rechtvaardigt, blijkt uit een arrest van de Hoge Raad van 18 april 2023 (ECLI:NL:HR:2023:610). De verdachte had met een valse sleutel de server van een bedrijf betreden waarvoor hij eerder rechtmatig werk had gedaan. Dat ging in tegen de onmiskenbare wil van het bedrijf en was computervredebreuk.

Hoe herkent u een phishingmail?

Phishing is een vorm van internetoplichting waarbij een bericht zo wordt opgemaakt dat het van uw bank, de Belastingdienst, een leverancier of een collega lijkt te komen. Er wordt gevraagd op een link te klikken, een bijlage te openen of een factuur te betalen. Klikt u door, dan komt u op een inlogpagina die op de echte lijkt, waar uw gebruikersnaam en wachtwoord worden afgevangen.

• Kijk naar het afzenderadres, niet naar de weergegeven naam, en vergelijk het domein letter voor letter met de officiële website.
• Wantrouw tijdsdruk: woorden als dringend, laatste herinnering en binnen 24 uur moeten u laten handelen voordat u nadenkt.
• Verwacht geen kromme zinnen meer: door taalmodellen zijn goed geschreven phishingmails gewoon geworden.
• Twijfelt u, bel de afzender via het nummer op de officiële website, nooit via het nummer in het bericht.

Inloggen is niet altijd nodig om schade te lijden: soms is het openen van een bijlage al genoeg om schadelijke software te installeren. Hoe u digitale misleiding achteraf vastlegt en bewijst, leest u in ons artikel over het bewijzen van online fraude en phishing.

Wat gebeurt er bij een ransomware-aanval?

Ransomware, in het Nederlands gijzelsoftware, versleutelt de bestanden op uw systemen. U krijgt een bericht dat u de sleutel ontvangt na betaling, meestal in cryptovaluta. De software komt binnen via een phishingmail, een kwetsbaarheid in software die niet is bijgewerkt, een besmette advertentie of een leverancier met toegang tot uw netwerk.

De schade zit zelden alleen in het losgeld. Uw organisatie ligt dagen tot weken stil, en daarna volgen kosten voor forensisch onderzoek, het opnieuw opbouwen van systemen en het informeren van klanten. De strafrechtelijke positie van de getroffen ondernemer werken wij verder uit in ons artikel over ransomware en strafrechtelijke aansprakelijkheid.

Mag u losgeld betalen?

Het betalen van losgeld is in Nederland niet zelfstandig strafbaar gesteld. Dat betekent niet dat het zonder juridisch risico is. Weet u of vermoedt u dat het geld terechtkomt bij een persoon of organisatie op een sanctielijst, dan kan de betaling een overtreding van de Sanctiewet 1977 opleveren. Een betaling die via omwegen loopt, kan daarnaast vragen oproepen over de witwasbepalingen van de artikelen 420bis tot en met 420quater Sr.

Praktisch is er een sterker argument om niet te betalen: u koopt geen zekerheid. Een sleutel werkt niet altijd, herstel duurt ook daarna nog weken, en de toegang van de aanvaller tot uw netwerk verdwijnt niet met de betaling. Controleer eerst uw verzekeringspolis: veel cyberpolissen sluiten losgeld uit of stellen voorwaarden, zoals voorafgaande toestemming van de verzekeraar.

Meldplichten na een aanval: AVG en Cyberbeveiligingswet

Zijn bij de aanval persoonsgegevens versleuteld, gekopieerd of ingezien, dan is er een inbreuk in verband met persoonsgegevens: een datalek. Ook versleuteling zonder diefstal is een datalek, want de beschikbaarheid van de gegevens is aangetast. Daarnaast kan uw organisatie onder de Cyberbeveiligingswet vallen. De tabel zet de plichten naast elkaar.

Artikel 32 AVG verplicht u bovendien tot passende technische en organisatorische maatregelen; na een incident beoordeelt de toezichthouder vrijwel altijd of daaraan is voldaan. De boetebevoegdheid staat in artikel 83 AVG. Hoe de termijn van 72 uur in de praktijk uitpakt, behandelen wij in ons artikel over de meldplicht bij een datalek.

Wat regelt de Cyberbeveiligingswet?

Actualiteit: op 15 augustus 2026 zijn de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten in werking getreden, volgens het bericht van de Rijksoverheid. De Cyberbeveiligingswet zet de Europese NIS2-richtlijn (Richtlijn (EU) 2022/2555) om en vervangt de Wet beveiliging netwerk- en informatiesystemen. Zij geldt voor organisaties in 18 sectoren, waaronder energie, drinkwater, digitale infrastructuur, gezondheidszorg en vervoer.

• Zorgplicht: passende en evenredige maatregelen tegen risico’s voor uw netwerk- en informatiesystemen.
• Meldplicht: significante incidenten melden bij het CSIRT en de bevoegde autoriteit; drempelwaarden staan per sector in ministeriële regelingen.
• Registratieplicht: inschrijving in het entiteitenregister van het Nationaal Cyber Security Centrum.
• Bestuurders: het bestuur keurt de maatregelen goed, houdt toezicht op de uitvoering en moet een passende training volgen.

Wie is aansprakelijk als het misgaat?

Binnen de vennootschap is de bestuurder gehouden tot een behoorlijke taakvervulling (artikel 2:9 BW). Wie bekende kwetsbaarheden maandenlang laat bestaan, geen back-ups laat maken of waarschuwingen negeert, loopt het risico dat dit als ernstig verwijtbaar wordt aangemerkt.

Naar buiten toe is de grondslag doorgaans een tekortkoming in de nakoming van een overeenkomst (artikel 6:74 BW) of een onrechtmatige daad (artikel 6:162 BW). Klanten van wie gegevens uitlekken, kunnen materiële en immateriële schade vorderen op grond van artikel 82 AVG. Is de aanval mogelijk geworden door een fout van een ICT-dienstverlener, kijk dan naar de verwerkersovereenkomst en de aansprakelijkheidsbeperking in de algemene voorwaarden. Welke maatregelen u voor werknemers treft, leest u in ons artikel over cybercrime-risico’s voor werknemers.

De eerste 72 uur na een aanval: de volgorde

1. Koppel de getroffen systemen los van het netwerk, maar zet ze niet uit: geheugen dat wordt gewist, is bewijs dat verdwijnt.
2. Leg vast wanneer u wat heeft geconstateerd, en bewaar logbestanden, het losgeldbericht en de betrokken e-mails. U heeft die nodig voor de politie, de Autoriteit Persoonsgegevens en uw verzekeraar.
3. Doe aangifte bij de politie en meld het incident bij het Nationaal Cyber Security Centrum of, als u onder de Cyberbeveiligingswet valt, bij het CSIRT en de bevoegde autoriteit.
4. Beoordeel binnen 72 uur of er een meldplichtig datalek is (artikel 33 AVG), en leg dat oordeel vast, ook als u niet meldt.
5. Informeer daarna pas klanten en relaties, met een boodschap die klopt en die u later niet hoeft te herroepen.

Welke rechten u als getroffen partij heeft, zetten wij uiteen in ons artikel over de rechten van slachtoffers van cyberaanvallen.

Hoe voorkomt u phishing en ransomware?

Techniek en organisatie moeten samen optrekken. Zet tweestapsverificatie aan op alle accounts die van buitenaf bereikbaar zijn, installeer beveiligingsupdates zodra ze verschijnen, en beperk de rechten van gebruikers tot wat zij nodig hebben. Maak regelmatig back-ups, bewaar ten minste één kopie los van het netwerk en test of terugzetten lukt; een back-up die mee versleuteld raakt, is geen back-up.

Train medewerkers op het herkennen van phishing, spreek af hoe zij een verdacht bericht melden en zorg dat melden nooit tot verwijten leidt. Leg vast wie bij een incident welke beslissing neemt en wie de politie, de toezichthouder en uw advocaat benadert. Beoordeel ten slotte de beveiligingsafspraken met uw leveranciers: uw beveiliging is zo sterk als de zwakste partij met toegang tot uw netwerk.

Wat wij doen na phishing of ransomware

• Beoordelen of u het datalek moet melden bij de Autoriteit Persoonsgegevens en de betrokkenen (artikelen 33 en 34 AVG).
• De aangifte opstellen en zorgen dat het bewijs bruikbaar wordt vastgelegd.
• Toetsen of uw organisatie onder de Cyberbeveiligingswet valt.
• Een nalatige ICT-leverancier aanspreken, of verweer voeren tegen schadeclaims op grond van artikel 82 AVG.

In het kort

• Een phishingaanval levert vaak tegelijk computervredebreuk, oplichting en diefstal met een valse sleutel op (Rb. Midden-Nederland 6 maart 2020).
• Losgeld betalen is niet zelfstandig strafbaar, maar kan de Sanctiewet 1977 of de witwasbepalingen raken.
• Ook versleuteling zonder diefstal is een datalek; de meldtermijn bij de Autoriteit Persoonsgegevens is 72 uur.
• Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet voor 18 sectoren, met verantwoordelijkheid bij het bestuur.

Veelgestelde vragen

Kan ik de aanvaller aansprakelijk stellen?

Juridisch wel: de aanval is een onrechtmatige daad (artikel 6:162 BW). Praktisch stuit dit bijna altijd op de anonimiteit en de buitenlandse locatie van de dader. Wordt een verdachte wel vervolgd, dan kunt u zich in de strafzaak voegen als benadeelde partij (artikel 51f Sv).

Kan ik een werknemer aanspreken die op de phishinglink klikte?

Zelden. Een werknemer is voor schade die hij bij zijn werk aan de werkgever toebrengt alleen aansprakelijk bij opzet of bewuste roekeloosheid (artikel 7:661 BW). De werkgever moet beveiliging, training en procedures op orde hebben.

Bent u ook geld kwijtgeraakt door een valse webwinkel of verkoper, lees dan onze uitleg over internetoplichting.

Meer over hoe Law & More u hierbij helpt, leest u op de pagina strafrecht advocaat.