Gepubliceerd op 27 december 2025 · Laatst bijgewerkt op 30 oktober 2026
U bewijst online fraude of phishing door alles direct en volledig vast te leggen: het originele bericht met de volledige e-mailheaders, de URL van de nepwebsite, screenshots met datum en tijd en de afschriften van elke betaling. Met dat bewijs meldt u de fraude bij uw bank en doet u aangifte; de belangrijkste uitzondering is dat de bank de schade niet hoeft te dragen als u grof nalatig was, bijvoorbeeld door inlogcodes af te geven en waarschuwingen te negeren (art. 7:529 Burgerlijk Wetboek boek 7).
Criminelen sturen nepberichten, bouwen valse websites en doen zich voor als uw bank of een webshop om uw geld of persoonlijke gegevens te krijgen. Of u uw geld terugkrijgt, hangt vaak af van twee vragen: heeft u de betaling zelf toegestaan, en wat kunt u aantonen over hoe het is gegaan? Dit artikel richt zich op dat bewijs. Algemene tips om u te beschermen tegen digitale aanvallen en de verschillende vormen van online fraude vindt u in aparte artikelen.
Inhoudsopgave
Welke strafbare feiten spelen bij phishing?
Phishing is geen apart wetsartikel. Afhankelijk van wat er gebeurt, gaat het om een of meer van deze feiten uit het Wetboek van Strafrecht:
- oplichting (art. 326 Sr): iemand beweegt u met een valse naam, listige kunstgrepen of een samenweefsel van verdichtsels tot het afgeven van geld of gegevens;
- computervredebreuk (art. 138ab Sr): de dader dringt met uw gestolen inloggegevens binnen in uw bankapp of e-mail;
- diefstal of verduistering, als er met uw bankpas of gegevens geld wordt weggenomen.
Welk feit u in de aangifte noemt, bepaalt mede welk bewijs de politie nodig heeft. Bij oplichting moet blijken dat u door misleiding iets heeft afgegeven. Bij computervredebreuk moet blijken dat iemand zonder recht in uw account is gekomen. Meer over digitale fraude en hacken en kwaadaardige software leest u elders.
Welke vorm van phishing was het, en welk bewijs hoort daarbij?
Elke methode laat andere sporen na. De tabel laat zien wat u per vorm in elk geval bewaart.
| Methode | Hoe het werkt | Bewijs dat u bewaart |
|---|---|---|
| E-mailphishing | Een nep-e-mail met een link naar een nagemaakte inlogpagina | Het originele bericht als bestand (.eml of .msg), de volledige headers, de URL van de nepsite |
| Smishing | Een sms of WhatsApp-bericht namens bank, bezorger of overheid | Screenshot met afzendernummer, datum en tijd; het bericht zelf niet verwijderen |
| Vishing en bankhelpdeskfraude | Een beller doet zich voor als bankmedewerker, vaak met een nepnummer dat op het echte lijkt | Belgeschiedenis met nummer, tijdstip en duur; uw eigen aantekeningen direct na het gesprek |
| Quishing | Een QR-code op een parkeerautomaat, factuur of e-mail leidt naar een betaalpagina | Foto van de code en de plek, de URL waarnaar de code verwees |
| CEO- of factuurfraude | Een e-mail namens de directeur of leverancier met een gewijzigd rekeningnummer | De e-mail met headers, de echte factuur ter vergelijking, de betaalopdracht |
Daders gebruiken steeds vaker nagemaakte stemmen en deepfakes en gegevens van sociale media (social engineering). Voor het bewijs verandert dat weinig: leg vast wat u zag en hoorde, en wanneer.
Hoe legt u het bewijs vast, stap voor stap?
Begin zo snel mogelijk. Berichten verdwijnen, nepsites gaan offline en banken bewaren sommige loggegevens maar beperkt.
1. Bewaar het origineel, niet alleen een screenshot
Een screenshot toont wat u zag, maar niet waar het bericht vandaan kwam. Sla verdachte berichten daarom ook op als bestand. In de meeste e-mailprogramma’s vindt u de headers via “bron weergeven” of “origineel tonen”. Daarin staan de werkelijke afzender, de servers waarlangs het bericht ging en vaak een IP-adres. Kopieer die tekst naar een apart bestand.
2. Leg de nepwebsite vast zonder opnieuw in te loggen
Noteer de volledige URL, ook als die op een echte site lijkt. Maak screenshots van de inlogpagina en de pagina’s waar om gegevens werd gevraagd. Voor .nl-domeinen kunt u bij SIDN opzoeken wanneer en door wie een domeinnaam is geregistreerd. Een domein dat een paar dagen oud is, ondersteunt uw verhaal.
3. Verzamel de betaalgegevens
Download de afschriften van alle betalingen die u niet herkent, met datum, tijd, bedrag en tegenrekening. Bewaar ook meldingen van uw bank, zoals sms’jes over een nieuw gekoppeld apparaat of een gewijzigd e-mailadres. Die meldingen spelen een grote rol in de vraag of u grof nalatig was (zie hieronder).
4. Schrijf een tijdlijn
Zet direct op papier wat er gebeurde: wanneer u het bericht kreeg, wat u invulde of deed, wanneer u merkte dat het mis was en wanneer u de bank belde. Doe dit dezelfde dag; later onthoudt u details minder goed.
5. Bewaar alles op één plek
Geef bestanden een duidelijke naam met datum en tijd. Wis niets van uw telefoon of computer voordat de bank en de politie hun onderzoek hebben gedaan.
Een voorbeeld ter illustratie: u krijgt op maandag een sms “namens uw bank” en vult op een nepsite uw inlogcode in. Bewaar dan de sms, de link, een screenshot van de nepsite, de melding dat er een nieuw toestel aan uw account is gekoppeld, en uw belgeschiedenis met de bank. Samen laten die zien hoe en wanneer de dader toegang kreeg.
Moet de bank uw geld terugbetalen?
Dat hangt af van de vraag of de betaling “niet-toegestaan” was. De regels staan in titel 7b van boek 7 BW.
| Situatie | Juridische kwalificatie | Gevolg |
|---|---|---|
| De dader maakt met uw gestolen inloggegevens zelf geld over | Niet-toegestane betaling (art. 7:528 BW) | De bank moet terugbetalen, behalve bij fraude of opzet of grove nalatigheid van u (art. 7:529 BW) |
| U maakt zelf geld over omdat een “bankmedewerker” u dat opdraagt | In beginsel een toegestane betaling | De terugbetalingsregel van art. 7:528 BW geldt niet; u kunt hooguit de bank aanspreken op haar zorgplicht |
| U meldt het misbruik te laat bij de bank | Schending meldplicht (art. 7:524 en 7:526 BW) | Uw recht op terugbetaling kan vervallen |
De bank moet de grove nalatigheid aantonen. Dat de bank in haar systeem ziet dat met uw codes is ingelogd, is daarvoor op zichzelf niet genoeg. Uw bewijs dient dus ook om te laten zien dat u niet onzorgvuldig was.
Wat de rechter beslist over grove nalatigheid
De Hoge Raad oordeelde op 21 mei 2021 (ECLI:NL:HR:2021:749) dat de plicht om de bank “onverwijld” te waarschuwen pas begint als u daadwerkelijk weet van het misbruik. Een bankvoorwaarde die u al verantwoordelijk houdt vanaf het moment dat u het “had behoren te ontdekken”, geldt niet tegenover een consument.
De Rechtbank Amsterdam kwam op 12 juni 2024 tot een ander resultaat (ECLI:NL:RBAMS:2024:3461). Een rekeninghouder had via een nep-sms namens haar bank haar inloggegevens op een valse website ingevuld. De volgende avond koppelde de dader een nieuwe iPhone aan haar account; een dag later werd ruim € 44.000 naar een buitenlandse rekening overgemaakt. De rechtbank vond de betalingen niet-toegestaan, maar oordeelde dat zij grof nalatig was: zij had 24 uur de tijd gehad om de waarschuwingen van de bank op te merken. Zij moest de schade zelf dragen.
De les uit beide uitspraken: het moment waarop u iets had kunnen merken, en wat u toen deed, is beslissend. Bewaar daarom alle meldingen van de bank en noteer wanneer u ze zag.
Actueel: uitspraak van het Europese Hof van 15 oktober 2026
Op 15 oktober 2026 deed het Hof van Justitie van de EU uitspraak in een Poolse zaak over phishing (ECLI:EU:C:2026:852). Volgens de berichtgeving mag een bank de directe terugbetaling van een niet-toegestane betaling niet weigeren alleen omdat zij grove nalatigheid van de klant vermoedt. Hoe Nederlandse rechters en het Kifid deze uitspraak toepassen, is nog niet duidelijk. Beroept uw bank zich op grove nalatigheid, laat dan beoordelen of deze uitspraak in uw zaak verschil maakt.
Hoe doet u aangifte en verhaalt u uw schade?
Doe aangifte bij de politie, online via politie.nl of op een bureau. Lees vooraf hoe online aangifte werkt en wat ondernemers moeten weten over aangifte doen. Neem uw tijdlijn en bewijsbestanden mee. Vraag om een kopie van de aangifte; uw bank en verzekeraar vragen daar vaak om.
Wordt een verdachte vervolgd, dan kunt u zich als benadeelde partij in de strafzaak voegen (art. 51f Wetboek van Strafvordering). De rechter kan dan een schadevergoedingsmaatregel opleggen (art. 36f Sr). Het CJIB int dat bedrag bij de dader.
Weet u wie de dader is, of wie de rekening houdt waarnaar u heeft betaald, dan kunt u ook een civiele procedure beginnen. De houder van een “doorsluisrekening” kan aansprakelijk zijn, ook als hij niet zelf de oplichter was.
Meld phishingberichten daarnaast bij de Fraudehelpdesk; verdachte e-mails kunt u doorsturen naar verdacht@fraudehelpdesk.nl. Een melding is geen aangifte, maar helpt anderen te waarschuwen.
Wat als het binnen uw bedrijf gebeurt?
Bij een phishing-aanval op een onderneming spelen twee extra punten. Ten eerste de meldplicht: leidt de aanval tot een datalek met risico’s voor personen, dan meldt u dat binnen 72 uur bij de Autoriteit Persoonsgegevens (art. 33 AVG). Lees meer over meldingen bij cyberincidenten.
Ten tweede de bewijspositie tegenover uw eigen bank. De regels over terugbetaling van titel 7b BW beschermen consumenten het sterkst; tussen bank en zakelijke klant kan daarvan in de voorwaarden worden afgeweken. Leg daarom vast welke beveiligingsmaatregelen u had, zoals een vier-ogenprincipe bij betalingen en een vaste procedure voor gewijzigde rekeningnummers. Bij ransomware en digitale communicatie bij overnames gelden eigen aandachtspunten.
Welke fouten verzwakken uw bewijs?
- Het bericht of de chat verwijderen voordat u het als bestand heeft opgeslagen.
- Alleen een screenshot bewaren zonder headers of URL.
- Uw telefoon of computer herstellen naar fabrieksinstellingen voordat er onderzoek is gedaan.
- Wachten met het bellen van de bank; elke dag vertraging kan als nalatigheid worden uitgelegd.
- In de aangifte of tegenover de bank speculeren over wat er “waarschijnlijk” gebeurde, in plaats van te beschrijven wat u zelf zag en deed.
Na het veiligstellen van het bewijs wijzigt u uw wachtwoorden, zet u tweestapsverificatie aan en laat u besmette apparaten controleren. Gebruik sterke wachtwoorden en betrouwbare beveiligingssoftware. Doe dat pas nadat u alles heeft vastgelegd, zodat er geen sporen verloren gaan. Was het phishing gericht op uw identiteit, lees dan ook over identiteitsfraude.
Wat wij doen bij phishing en online oplichting
Onze strafrechtadvocaten kunnen onder meer:
- beoordelen of uw bewijs volstaat en wat er nog ontbreekt, zoals headers of bankmeldingen;
- u helpen bij een aangifte van oplichting (art. 326 Sr) of computervredebreuk (art. 138ab Sr);
- uw bank aanspreken als die weigert een niet-toegestane betaling terug te boeken;
- u als benadeelde partij voegen in de strafzaak (art. 51f Sv).
In het kort
- Bewaar het originele bericht met headers, niet alleen een screenshot.
- Haalde de dader het geld zelf weg, dan moet de bank in beginsel terugbetalen; heeft u zelf overgemaakt, dan geldt die regel niet.
- De bank moet grove nalatigheid aantonen; meldingen van de bank die u negeerde, wegen zwaar (Rb. Amsterdam 12 juni 2024).
- Uw meldplicht begint pas als u daadwerkelijk van het misbruik weet (Hoge Raad 21 mei 2021).
