Gepubliceerd op 11 oktober 2025 · Laatst bijgewerkt op 30 oktober 2026
Artikel 138ab van het Wetboek van Strafrecht (Sr) stelt hacken strafbaar als iemand opzettelijk en wederrechtelijk binnendringt in een geautomatiseerd werk. De maximumstraf is twee jaar, en vier jaar als gegevens worden overgenomen of als het systeem wordt gebruikt om verder te hacken. Met toestemming van de eigenaar is het niet strafbaar; wie zonder toestemming een lek zoekt en netjes meldt, loopt nog steeds risico, maar het OM en de rechter kunnen dan rekening houden met een maatschappelijk belang.
Hieronder leest u wat juridisch onder hacken valt, wanneer het is toegestaan, welke straffen gelden en wat de rechtspraak zegt over ethisch hacken en over medewerkers die hun inlogrechten misbruiken. Bent u slachtoffer van een hack, dan zijn dezelfde regels van belang voor uw aangifte en schadeclaim. Meer over de basis leest u in ons artikel over strafrecht in Nederland.
Inhoudsopgave
Wat is computervredebreuk?
Hacken heet in de wet computervredebreuk. Het artikel is gemodelleerd naar huisvredebreuk: u gaat ergens binnen waar u niet mag zijn. Of u schade aanricht, maakt voor de strafbaarheid niet uit. Het binnendringen zelf is al strafbaar.
Een geautomatiseerd werk is in de wet omschreven als een apparaat of groep verbonden apparaten die automatisch computergegevens verwerken (art. 80sexies Sr). Daaronder vallen:
- Computers, laptops en servers
- Smartphones en tablets
- Cloudopslag en online accounts
- Netwerkapparatuur, smart home-apparaten en beveiligingssystemen
Het systeem hoeft niet met internet verbonden te zijn. Ook een losstaande computer valt eronder.
Op welke manieren kan iemand binnendringen?
Artikel 138ab lid 1 Sr noemt als voorbeelden van binnendringen:
| Manier | Wat het is | Voorbeeld |
|---|---|---|
| Doorbreken van een beveiliging | Een technische drempel omzeilen | Een wachtwoord kraken, een lek misbruiken |
| Technische ingreep | Het systeem zelf aanpassen | Hardware of software manipuleren |
| Valse signalen | Nagebootste communicatie | IP-spoofing |
| Valse sleutel | Inloggegevens die u niet mag gebruiken | Inloggen met het wachtwoord van een ander of van een ex-partner |
| Valse hoedanigheid | Zich voordoen als iemand anders | Social engineering, zich als systeembeheerder voordoen |
Toegang via misleiding valt dus ook onder het artikel. Het maakt niet uit of u technisch slim te werk ging of een eenvoudige truc gebruikte. Lees ook over phishing en ransomware, waar dezelfde bepalingen vaak samen met oplichting worden ten laste gelegd. Wie zich voordoet als een ander om iets te verkrijgen, kan ook oplichting plegen.
Kan een medewerker met eigen inlogrechten ook hacken?
Ja. De rechtbank Midden-Nederland oordeelde op 14 september 2021 (ECLI:NL:RBMNE:2021:4419) over een GGD-medewerker met een rechtmatig account voor het CoronIT-systeem. Hij zocht gegevens op van mensen met wie hij via zijn werk niets te maken had en bood die te koop aan. Volgens de rechtbank was zijn toegang beperkt tot zijn eigen werkzaamheden. Door daarbuiten gegevens op te zoeken, gebruikte hij zijn wachtwoord als een valse sleutel. Hij kreeg tien maanden gevangenisstraf, waarvan vijf voorwaardelijk.
Voor werkgevers betekent dit dat een duidelijke afbakening van autorisaties ertoe doet. Voor werknemers betekent het dat “ik mocht inloggen” geen verweer is als u het systeem voor een ander doel gebruikt.
Welke straffen staan op hacken?
| Vorm | Artikel | Maximale straf |
|---|---|---|
| Binnendringen | Art. 138ab lid 1 Sr | 2 jaar gevangenisstraf of geldboete van de vierde categorie |
| Binnendringen en gegevens overnemen, aftappen of opnemen | Art. 138ab lid 2 Sr | 4 jaar gevangenisstraf of geldboete van de vierde categorie |
| Binnendringen via een telecommunicatievoorziening en verwerkingscapaciteit gebruiken of doorhacken naar een derde | Art. 138ab lid 3 Sr | 4 jaar gevangenisstraf of geldboete van de vierde categorie |
De geldboete van de vierde categorie bedraagt per 1 januari 2026 ten hoogste € 27.500 (art. 23 lid 4 Sr). De rechter kijkt bij de strafmaat naar de schade, het motief, de hoeveelheid gegevens en de gevolgen voor slachtoffers. Rechters kunnen zowel gevangenisstraffen als geldboetes en taakstraffen opleggen.
Naast computervredebreuk kunnen andere bepalingen spelen, zoals het opzettelijk wijzigen of wissen van gegevens (art. 350a Sr) of het platleggen van een systeem met een DDoS-aanval (art. 138b Sr).
Welke bijkomende gevolgen zijn er?
Een veroordeling komt op uw strafblad. Voor functies in de IT met toegang tot gevoelige systemen vragen werkgevers vaak een Verklaring Omtrent het Gedrag. Een veroordeling voor computervredebreuk kan die in de weg staan.
Slachtoffers kunnen schadevergoeding vorderen, in de strafzaak of via de civiele rechter. Denk aan de kosten van herstel en onderzoek. Bij een datalek kan ook de vraag spelen wie aansprakelijk is tegenover de betrokkenen; zie ons artikel over aansprakelijkheid bij datalekken.
Wanneer is hacken toegestaan?
Hacken is niet strafbaar als u toestemming heeft van de rechthebbende op het systeem. Dan is het binnendringen niet wederrechtelijk.
Penetratietests en bug bounty-programma’s
Bij een penetratietest huurt een organisatie een specialist in om haar systemen te testen. Bij een bug bounty-programma nodigt een organisatie onderzoekers uit om lekken te zoeken, onder vooraf bekendgemaakte regels. In beide gevallen bepaalt de afgesproken scope wat mag. Wie buiten die scope gaat, handelt weer zonder recht.
Leg de afspraken vast, en laat het contract controleren als het om een opdracht gaat. Daarin hoort te staan:
- Welke systemen getest mogen worden
- In welke periode
- Welke methoden zijn toegestaan en welke niet
- Wat er gebeurt met gevonden gegevens
- Wie namens de opdrachtgever bevoegd is om toestemming te geven
Een gewone medewerker kan meestal geen toestemming geven voor het hele bedrijfssysteem. Laat de toestemming komen van iemand die daartoe bevoegd is.
Wat als u zonder toestemming een lek vindt en meldt?
Dan blijft het binnendringen in beginsel strafbaar. Wel kan de wederrechtelijkheid ontbreken als u een wezenlijk maatschappelijk belang diende en daarbij proportioneel en subsidiair handelde.
De rechtbank Oost-Brabant paste die toets toe op 15 februari 2013 (ECLI:NL:RBOBR:2013:BZ1157). De verdachte had met een toevallig opgevangen wachtwoord van een psychiater ingelogd en medische dossiers bekeken, om gebreken in de beveiliging aan te tonen. Het eerste inloggen en het bekijken van enkele dossiers diende volgens de rechtbank een maatschappelijk belang. Maar hij logde vaker in, bekeek en printte veel meer dan nodig en schakelde de media in voordat de beheerder het probleem kon oplossen. Dat was niet proportioneel en niet subsidiair. Hij kreeg een geldboete van € 750.
De les uit deze zaak:
- Doe niet meer dan nodig is om het lek aan te tonen.
- Bekijk, kopieer of bewaar geen persoonsgegevens.
- Meld het lek eerst bij de eigenaar en geef die tijd om het op te lossen.
- Leg vast wat u deed en wanneer.
Veel organisaties hebben een beleid voor coordinated vulnerability disclosure. Volg dat beleid als het er is.
Mag de politie hacken?
Ja, onder strikte voorwaarden. Bij een verdenking van een ernstig misdrijf kan de officier van justitie de politie toestemming geven om heimelijk binnen te dringen in een geautomatiseerd werk van de verdachte. Daarvoor is een machtiging van de rechter-commissaris nodig (art. 126nba Sv).
Wat doet u als u wordt verdacht van hacken?
Bij een verdenking van computervredebreuk volgt vaak een doorzoeking waarbij computers en telefoons in beslag worden genomen. Het bewijs is meestal technisch: IP-adressen, logbestanden, chatgesprekken en sporen op apparaten.
Welke rechten heeft u als verdachte?
- U heeft het recht om te zwijgen (art. 29 Sv).
- U mag vóór het eerste verhoor een advocaat spreken en de advocaat mag bij het verhoor aanwezig zijn (art. 28c en 28d Sv).
- U heeft recht op informatie over de verdenking.
- U bent verplicht uw identiteit op te geven, maar niet om mee te werken aan uw eigen veroordeling.
Voor jongeren van 12 tot 18 jaar gelden de regels van het jeugdstrafrecht. Ouders worden op de hoogte gesteld. Voor jonge, first offender-hackers bestaat het programma Hack_Right als alternatieve afdoening.
Waar let u op bij het bewijs?
Een hackingzaak draait vaak om de vraag of de verdachte degene was achter een IP-adres of account. Gedeelde netwerken, gelekte inloggegevens en malware kunnen alternatieve verklaringen opleveren. Ook de vraag of er werkelijk is binnengedrongen, of alleen gescand naar kwetsbaarheden, kan beslissend zijn.
Wis of vernietig geen gegevens. Dat kan als belastend worden uitgelegd en kan zelf strafbaar zijn. Bespreek met uw advocaat voordat u iets verklaart tijdens een politieverhoor.
Hoe staan wij u bij bij een verdenking van computervredebreuk?
Als strafrechtadvocaat doen wij bij een verdenking van computervredebreuk het volgende.
- Wij bereiden het politieverhoor met u voor en bespreken of u verklaart of zwijgt.
- Wij beoordelen of u toestemming had of binnen de scope van een opdracht of disclosure-beleid bleef.
- Wij toetsen het digitale bewijs, zoals logbestanden en IP-gegevens, en vragen zo nodig om aanvullend onderzoek.
- Wij beoordelen of een afdoening buiten de rechter, zoals Hack_Right voor jongeren, mogelijk is.
- Wij voeren het verweer op de zitting, ook tegen een vordering tot schadevergoeding.
Hacken en het strafrecht in vijf punten
- Opzettelijk en wederrechtelijk binnendringen in een geautomatiseerd werk is strafbaar (art. 138ab Sr), met maximaal twee jaar en vier jaar bij de zwaardere vormen.
- Ook een medewerker die zijn inlogrechten voor een ander doel gebruikt, kan computervredebreuk plegen (Rb. Midden-Nederland 2021).
- Met toestemming van de rechthebbende is hacken niet strafbaar; houd u aan de afgesproken scope.
- Zonder toestemming kan een maatschappelijk belang de wederrechtelijkheid wegnemen, maar alleen bij proportioneel en subsidiair handelen (Rb. Oost-Brabant 2013).
- Als verdachte heeft u zwijgrecht en recht op een advocaat vóór en tijdens het verhoor.
Veelgestelde vragen
Is het strafbaar om in te loggen op het account van mijn partner of ex?
Ja, als u daarvoor geen toestemming heeft. Ook als u het wachtwoord kent, kan het gebruik ervan zonder toestemming gelden als binnendringen met een valse sleutel. Dat geldt voor e-mail, sociale media en cloudaccounts.
Is het scannen van een website op kwetsbaarheden al hacken?
Niet zonder meer. Strafbaar is het binnendringen. Alleen scannen van buitenaf is nog geen binnendringen. Maar wie een gevonden lek vervolgens gebruikt om binnen te komen, gaat wel over de grens. Ook kan het voorhanden hebben van hacksoftware met het oog op een misdrijf strafbaar zijn.
Kan een bedrijf aangifte doen en tegelijk schadevergoeding vragen?
Ja. Het bedrijf kan aangifte doen bij de politie en zich in de strafzaak voegen als benadeelde partij (art. 51f Sv). Is de vordering te ingewikkeld voor de strafrechter, dan volgt een civiele procedure. Laat bij een hack ook beoordelen of er een meldplicht voor een datalek geldt, en zorg voor goede beveiligingsmaatregelen.
