1 november 2026 · 10 min leestijd · Door Michael van Mameren, Lead Penetration Tester (OSCP)
Wat is een ethisch hacker? Betekenis, white, grey en black hat, de wettelijke basis en hoe u er een inhuurt
Een ethisch hacker gebruikt dezelfde technieken als een criminele aanvaller, met één verschil dat alles verandert: toestemming. Deze gids legt uit wat de term omvat, wat het werk in Nederland en daarbuiten legaal maakt, wat ethische hackers daadwerkelijk voor organisaties doen en wat u regelt voordat u er een inhuurt.
Wat is een ethisch hacker?
Een ethisch hacker is iemand die doelbewust zoekt naar beveiligingszwaktes in computersystemen, netwerken, applicaties of organisaties, met kennis en toestemming van de eigenaar, zodat die zwaktes worden hersteld in plaats van misbruikt. De vaardigheden zijn identiek aan die van een criminele hacker: verkennen, kwetsbaarheden vinden, ze misbruiken, toegang uitbreiden. De intentie, de toestemming en de uitkomst zijn het tegenovergestelde. De term wordt ook geschreven als ethische hacker, ethical hacker of white hat hacker; ethical hacking is de benaming voor de activiteit zelf.
Ethisch hacken is een verzamelnaam. Het omvat professionele pentesters die onder contract werken, red teamers die een specifieke aanvaller nabootsen, beveiligingsonderzoekers die fouten in veelgebruikte producten vinden en melden, bugbountyjagers die binnen een gepubliceerd programma werken, en interne beveiligingsmedewerkers die hun eigen systemen aanvallen. Wat hen verbindt, is een rechtmatige basis voor elke handeling: een contract, een gepubliceerd meldbeleid of de uitdrukkelijke toestemming van de eigenaar.
Het woord hacker zelf is ouder en neutraler dan het gebruik in nieuwsberichten. In de technische gemeenschap betekent het nog altijd iemand die systemen zo goed doorgrondt dat hij of zij ze dingen laat doen waarvoor ze niet ontworpen zijn. Ethische hackers zijn hackers in die betekenis die ervoor hebben gekozen aan de verdedigende kant te werken, en die het papierwerk aanvaarden dat daarbij hoort.
White hat, grey hat en black hat
De kleuren van de hoed zeggen iets over intentie en toestemming, niet over vaardigheid. Dezelfde persoon kan op verschillende dagen verschillende posities innemen, en precies daarom telt schriftelijke toestemming.
White hat
Werkt met uitdrukkelijke toestemming en meldt alles aan de eigenaar. Pentesters onder contract, red teamers met een ondertekende machtiging, bugbountydeelnemers binnen een gepubliceerde scope, interne beveiligingsteams. Elke handeling is gedocumenteerd en herleidbaar. Dit is wat mensen bedoelen als ze ethisch hacker zeggen.
Grey hat
Vindt kwetsbaarheden zonder voorafgaande toestemming en meldt ze meestal, soms met een verzoek om beloning, soms door publicatie. De bedoelingen kunnen goed zijn; de juridische positie is dat niet. In Nederland blijft binnendringen zonder toestemming computervredebreuk, ook als de vinder het meldt, hoewel het Openbaar Ministerie goede trouw en proportionaliteit meeweegt binnen het kader van coordinated vulnerability disclosure.
Black hat
Valt aan voor eigen gewin, sabotage, spionage of ideologie, zonder toestemming en zonder melding. Ransomwaregroepen, datahandelaren, door staten gesteunde inbraakteams. Dit zijn de tegenstanders die ethische hackers nabootsen, en daarom bestuderen ethische hackers hun tooling en werkwijze zo nauwkeurig.
De wettelijke basis: wat maakt ethisch hacken legaal?
Niets aan de techniek is op zichzelf legaal of illegaal. Het papierwerk is dat wel. Vijf elementen bepalen of een handeling een dienst is of een misdrijf.
1. Het delict: computervredebreuk (artikel 138ab Sr)
In Nederland is opzettelijk en wederrechtelijk binnendringen in een geautomatiseerd werk, of een deel daarvan, computervredebreuk volgens artikel 138ab van het Wetboek van Strafrecht (Sr). Het wordt bestraft met gevangenisstraf of een geldboete, met hogere maxima wanneer gegevens worden overgenomen of de toegang wordt gebruikt om verder in te breken in andere systemen. Verwante bepalingen stellen het verstoren van de toegang tot systemen en het vernielen of veranderen van gegevens strafbaar. Wederrechtelijk is het sleutelwoord: toegang met toestemming van de eigenaar is niet wederrechtelijk.
2. Schriftelijke toestemming: het mandaat
Wat een penetratietest legaal maakt, is de voorafgaande schriftelijke toestemming van de eigenaar, meestal een ondertekende machtiging of mandaatbrief bij het contract, met daarin de systemen in scope, het tijdvenster, de toegestane technieken en de personen die mogen testen. De ondertekenaar moet daadwerkelijk bevoegd zijn om toestemming te geven: voor uw eigen servers, ja; voor het gedeelde SaaS-platform van een leverancier, alleen met instemming van die leverancier. Testers dragen dit document tijdens de opdracht bij zich, wat verklaart waarom het soms de vrijwaringsbrief wordt genoemd.
3. Coordinated Vulnerability Disclosure (de Leidraad van het NCSC)
Voor kwetsbaarheden die zonder contract worden gevonden, kent Nederland een landelijk kader sinds het NCSC in 2013 zijn leidraad responsible disclosure publiceerde, in 2018 herzien als de Leidraad Coordinated Vulnerability Disclosure (CVD). Organisaties publiceren een CVD-beleid dat beschrijft hoe gemeld wordt, wat een melder wel en niet mag doen, en dat zij geen aangifte doen als de melder zich daaraan houdt. Het Openbaar Ministerie heeft aangegeven dat het meeweegt of een melder handelde in het algemeen belang, proportioneel en niet verder dan noodzakelijk. Een CVD-beleid is geen vrijbrief om aan te vallen; het is een gepubliceerde uitnodiging met grenzen.
4. Andere rechtsgebieden bij grensoverschrijdend werk
Staan systemen of testers buiten Nederland, dan gelden tegelijk andere wetten. In de EU harmoniseert Richtlijn 2013/40/EU de delicten onrechtmatige toegang, systeemverstoring en gegevensverstoring. In de Verenigde Staten geldt de Computer Fraud and Abuse Act (18 U.S.C. § 1030), waarover het ministerie van Justitie in 2022 verklaarde dat beveiligingsonderzoek in goed vertrouwen niet vervolgd hoort te worden. In het Verenigd Koninkrijk geldt de Computer Misuse Act 1990, zonder algemene uitzondering voor onderzoek. Schriftelijke toestemming die elk betrokken rechtsgebied dekt, blijft de enige betrouwbare bescherming.
5. Privacy en contractuele grenzen
Toestemming van de eigenaar zet de AVG niet buiten werking. Een test die persoonsgegevens raakt, vraagt een rechtsgrond, een verwerkersovereenkomst waar de tester als verwerker optreedt, en dataminimalisatie in het rapport: schermafbeeldingen geanonimiseerd, geen buitgemaakte persoonsgegevens bewaard. Contracten met cloudaanbieders, betaalverwerkers en softwareleveranciers kunnen een melding vereisen of bepaalde tests verbieden. Die controleren hoort bij de scoping, niet bij de nazorg.
Wat doen ethische hackers voor organisaties?
Zes diensten, van een eenmalige test tot een doorlopend programma. De meeste organisaties beginnen met de eerste en voegen de rest toe naarmate hun verdediging volwassener wordt.
Penetratietesten
Een afgebakende, in tijd begrensde aanval op specifieke systemen (webapplicaties, API's, netwerken, cloud, mobiel) volgens een methodiek zoals PTES, OWASP WSTG of NIST SP 800-115, eindigend in een rapport met bevindingen op ernst en oplossingen. De meest ingekochte vorm van ethisch hacken.
Red teaming
Een doelgerichte simulatie van een echte aanvaller over weken of maanden, die meet of de organisatie detecteert en reageert, en niet alleen of er kwetsbaarheden zijn. Alleen een kleine controlegroep weet ervan. Financiële instellingen onder toezicht kennen het als threat-led penetration testing onder DORA.
Bugbounty- en CVD-programma's
Een gepubliceerd beleid dat externe ethische hackers uitnodigt kwetsbaarheden te melden in ruil voor erkenning of een beloning, binnen vastgelegde regels. Volwassen organisaties draaien zo'n programma naast gecontracteerde tests, omdat duizenden onafhankelijke ogen vinden wat een test van twee weken niet kan.
Beveiligingsonderzoek
Het bestuderen van veelgebruikte producten, protocollen of platformen om nieuwe soorten zwaktes te vinden en die verantwoord bij de leverancier te melden, zodat er een patch is voordat de fout openbaar wordt. De meeste CVE-registraties beginnen met een ethisch hacker die dit werk doet.
Social engineering en bewustzijnstests
Phishingsimulaties, telefonische pretexting en, waar gescopet, pogingen tot fysieke toegang, om te meten hoe mensen en procedures standhouden tegen manipulatie. Altijd met toestemming, altijd zorgvuldig richting de betrokken medewerkers, en met resultaten op groepsniveau in plaats van om individuen aan te wijzen.
Purple teaming en training
Aanvallers en verdedigers werken zij aan zij en voeren specifieke aanvalstechnieken uit tegen de eigen monitoring van de organisatie om detectie en respons af te stemmen. De snelste manier om een offensieve bevinding om te zetten in een defensieve verbetering.
Ethisch hacker, pentester, red teamer of bugbountyjager: het verschil
De eerste is een beschrijving van intentie; de andere drie zijn specifieke disciplines. Wie een dienst inkoopt, koopt een van de disciplines.
| Term | Aard | Rechtsgrond | Wat u ontvangt |
|---|---|---|---|
| Ethisch hacker | Verzamelnaam voor iedereen die offensieve vaardigheden rechtmatig inzet | De toestemming waaronder wordt gewerkt, welke vorm die ook heeft | Afhankelijk van de rol |
| Pentester | Professionele discipline: afgebakende, in tijd begrensde test volgens een methodiek | Contract plus ondertekende machtiging | Rapport met bevindingen, bewijs, ernst en oplossingen; hertest |
| Red teamer | Professionele discipline: doelgerichte aanvallerssimulatie die detectie en respons meet | Contract plus machtiging, bekend bij een kleine controlegroep | Aanvalsverhaal, detectietijdlijn, hiaten in de respons |
| Bugbountyjager / onderzoeker | Onafhankelijk; werkt binnen gepubliceerde programma's of via gecoördineerde melding | Programmavoorwaarden of CVD-beleid | Afzonderlijke kwetsbaarheidsmeldingen, meestal per bevinding beloond |
Een ethische hacker inhuren: wat u regelt
Zoekt u op ethische hacker inhuren of ethical hacker inhuren, dan heeft u in de praktijk een penetratietest of een red-team-opdracht nodig van een bureau dat zijn mensen, zijn methode en zijn papierwerk kan laten zien. Onze dienstpagina over penetratietesten behandelt de scoping en wat u ontvangt; dit zijn de zaken die geregeld moeten zijn voordat iemand begint.
- Een schriftelijke scope met systemen, rollen, omgevingen, tijdvenster en expliciete uitsluitingen
- Een ondertekende machtiging (mandaatbrief) van iemand die bevoegd is toestemming te geven voor elk systeem in scope, inclusief platformen van derden waar hun instemming nodig is
- Een geheimhoudingsovereenkomst en, waar persoonsgegevens geraakt kunnen worden, een verwerkersovereenkomst
- Testers bij naam met verifieerbare certificeringen (OSCP als minimum; OSWE, OSEP of CREST voor complexe scopes) en een schone achtergrond
- Een beroepsaansprakelijkheidsverzekering die testwerkzaamheden expliciet dekt
- Een gedocumenteerde methodiek (PTES, OWASP WSTG of MASTG, NIST SP 800-115) en spelregels over denial of service, social engineering en productiegegevens
- Een escalatieprocedure voor kritieke bevindingen tijdens de test, met namen en reactietijden
- Een rapportformaat dat u vooraf heeft gezien, en een hertest van de verholpen bevindingen
Wat ethische hackers doorgaans vinden
Over opdrachten heen keren dezelfde categorieën terug. In webapplicaties: gebroken toegangscontrole (de ene gebruiker die de gegevens van een andere leest of wijzigt), zwakke authenticatie, injectie en server-side request forgery, en fouten in bedrijfslogica die geen scanner kan zien. In interne netwerken: een plat netwerk, verouderde protocollen die nog aanstaan, hergebruik van lokale beheerderswachtwoorden, serviceaccounts met te veel rechten, en Active Directory-configuratiefouten die binnen enkele dagen aaneenschakelen tot domeinbeheerder. In cloudomgevingen: openbaar leesbare opslag, te ruime IAM-rollen, geheimen in broncode en onbeschermde metadata-endpoints. Bij mensen en processen: phishing die bij een betekenisvol deel van de medewerkers werkt, toegangspasbeleid dat niemand handhaaft, en incidentprocedures die alleen op papier bestaan.
Weinig hiervan is exotisch. Het meeste zijn bekende zwaktes die niemand tot een aanvalspad had verbonden. Dat is de waarde die een ethisch hacker toevoegt boven een scanner: het pad, het bewijs en een geprioriteerde lijst van wat als eerste dicht moet. Een bevinding die op zichzelf medium scoort, kan de eerste stap zijn van een keten die eindigt in uw klantendatabase, en alleen een menselijke aanvaller leest hem zo.
Hoe HackersHub werkt
HackersHub is een offensief beveiligingsbedrijf in Amsterdam met meer dan tien jaar penetratietesten en red teaming achter zich. Elke tester heeft minimaal OSCP; het team telt OSWE- en CREST-gecertificeerde testers. Opdrachten worden geleid door een seniore tester bij naam, zoals Michael van Mameren, Lead Penetration Tester (OSCP). Geen test begint zonder schriftelijke scope, ondertekende machtiging en afgesproken spelregels. Rapporten bevatten een managementsamenvatting, CVSS-gescoorde bevindingen met bewijs, een aanvalsverhaal en een geprioriteerd herstelplan, en een verificatiehertest van bevindingen vanaf medium binnen 90 dagen is inbegrepen. Opdrachtgevers beoordelen het werk met 4,9/5 over 127 reviews.
Heeft u een ethisch hacker nodig, dan vraagt u in werkelijkheid om een afgebakende opdracht met gecertificeerde mensen bij naam en een verdedigbaar papieren spoor. Dat is wat wij leveren, en wij lopen de machtigingsdocumenten graag met u door voordat u zich aan iets verbindt.
Veelgestelde vragen
Gerelateerde gidsen
- Wat is een pentester? Taken, vaardigheden en certificeringen
- Penetratietest laten uitvoeren door HackersHub
- Hoe kiest u een pentestbedrijf?
- Pentest keurmerk en certificeringen uitgelegd
- Wat is red teaming? Adversary simulation uitgelegd
- Social engineering testen als dienst
- AVG en penetratietesten: artikel 32 uitgelegd
Een ethisch hacker nodig, met het papierwerk erbij?
HackersHub levert gescopete penetratietesten en red-team-opdrachten onder leiding van OSCP-gecertificeerde testers bij naam, met een ondertekende machtiging en een methodiek die u kunt lezen. Praat met een expert over uw scope.