1 november 2026 · 10 min leestijd · Door Michael van Mameren, Lead Penetration Tester (OSCP)
Fysieke pentest: hoe een gecontroleerde inbraakpoging uw gebouw, uw mensen en uw processen test
Een fysieke pentest is een geautoriseerde poging om uw pand binnen te komen en de assets te bereiken die ertoe doen, met de methoden die een echte indringer gebruikt: achter een medewerker door een deur lopen, een overtuigend verhaal bij de receptie, een ongesloten patchruimte, een actieve netwerkaansluiting in een vergaderzaal. Deze gids legt uit wat er wordt getest, hoe een opdracht wordt geautoriseerd en begrensd, wat hij niet is en wat u aan het einde ontvangt.
Wat een fysieke pentest is
Een fysieke pentest (ook fysieke penetratietest of fysieke beveiligingstest genoemd) is een gecontroleerde, schriftelijk geautoriseerde poging om ongeautoriseerd fysiek toegang te krijgen tot het pand van een organisatie, en van daaruit tot de mensen, het papier, de apparatuur en de netwerken binnen. Waar een netwerkpenetratietest vraagt of een aanvaller uw systemen via internet kan bereiken, vraagt een fysieke test of iemand er simpelweg naartoe kan lopen. De tester speelt een gemotiveerde buitenstaander: een koerier, een monteur, een nieuwe collega zonder pas, een bezoeker die niemand terugbracht naar de uitgang. Het doel wordt vooraf afgesproken en is bijna altijd concreet: een serverruimte, een werkplek op de financiële afdeling, een netwerkpoort in de bestuurskamer, een stapel geprinte klantgegevens.
De test beoordeelt drie lagen tegelijk. De fysieke laag: hekken, deuren, sloten, paslezers, camera's, alarmzones. De menselijke laag: controleert de receptie de identiteit, spreken medewerkers een onbekend gezicht aan, valt het iemand op dat een deur openstaat. De proceslaag: hoe passen worden uitgegeven en ingetrokken, hoe bezoekers worden geregistreerd en begeleid, hoe leveringen worden afgehandeld, wat een beveiliger om elf uur 's avonds met een brief doet. De meeste echte inbraken slagen op de tweede en derde laag, terwijl de eerste precies doet wat hij moet doen.
Verschillende kaders noemen fysiek testen. DORA artikel 25 noemt fysieke beveiligingsbeoordelingen als een van de tests in het weerbaarheidsprogramma van een financiële entiteit. ISO 27001:2022 bijlage A, maatregelen 7.1 tot en met 7.4, behandelt fysieke beveiligingszones, fysieke toegang, het beveiligen van kantoren en faciliteiten en fysieke beveiligingsmonitoring; een auditor accepteert een testrapport als bewijs dat die maatregelen werken. PCI DSS v4.0.1 Requirement 9 beperkt fysieke toegang tot omgevingen met kaarthoudergegevens. NIS2 artikel 21(2) vereist toegangsbeleid en assetmanagement, en de BIO 2.0 stelt vergelijkbare eisen aan overheidsorganisaties. Een test is de eenvoudigste manier om aan te tonen dat het beleid standhoudt tegen een onbekende in een veiligheidshesje.
Wat een fysieke pentest onderzoekt
Een opdracht wordt gescopet op een selectie hiervan, gekozen rond de assets die u het meest moet beschermen. Elk onderdeel test een maatregel, een gedrag en een proces.
Perimeter en parkeerterrein
Hekken, poorten, slagbomen, laadperrons, rookplekken en de parkeerplaats. Niet of er een hek staat, maar of er een route omheen is die medewerkers dagelijks gebruiken, en of iemand achter de camera's dat zou opmerken.
Receptie, bezoekers en leveringen
Wordt de identiteit gecontroleerd tegen een aangemelde bezoeker, of volstaan een naam en een bedrijf? Worden bezoekers begeleid, van een pas voorzien, geregistreerd en uitgeschreven? Passeren koeriers en pakketten de receptie ongecontroleerd en bereiken zij onbegeleid afgeschermde verdiepingen?
Toegangscontrole en passen
Uitgifte van passen, intrekking bij vertrek van medewerkers en inhuur, zonering tussen publieke en afgeschermde ruimtes, deuren die open blijven staan of traag sluiten, nooduitgangen die als ingang dienen, en of een ontbrekende pas wordt opgemerkt.
Tailgating en aanspreekcultuur
Achter een medewerker door een beveiligde deur lopen is de meest voorkomende manier om binnen te komen. De test meet hoe vaak het lukt, bij welke deuren, op welke tijden, en of iemand er iets van zegt. Een aanspreekcultuur is een maatregel; het ontbreken ervan is een bevinding.
Clean desk, printers en papier
Onvergrendelde schermen, wachtwoorden op briefjes, rapporten in de printerlade, vertrouwelijk afval in open bakken, whiteboards met netwerkschema's. Deze waarnemingen hebben vaak meer bedrijfsimpact dan de deur waardoor de tester binnenkwam.
Netwerkaansluitingen en onbeheerde apparatuur
Actieve wandcontactdozen in vergaderzalen en lobby's, onbeheerde laptops, ongesloten dockingstations, printers en vergadersystemen op het bedrijfsnetwerk. Wordt een apparaat in een vrije poort geblokkeerd, geïsoleerd of verwelkomd?
Server-, patch- en technische ruimtes
Waar de racks, patchpanelen, switches en back-upmedia staan. Vormen deze ruimtes een aparte toegangszone, met logging en alarm? Hangt de sleutel in een kastje ernaast, of heeft het schoonmaakbedrijf er een? Wie merkt het als iemand er twintig minuten binnen is?
Buiten kantoortijd, alarm en beveiligingsrespons
Avonden en weekenden testen de inschakeling van het alarm, rondes van de beveiliging, reactietijd bij een sensor die afgaat, toegang voor schoonmaak en onderhoud, en of de dienstdoende beveiliger de verificatieprocedure volgt wanneer hij een verhaal en een brief krijgt voorgelegd.
Scoping en autorisatie: het papierwerk dat de test legaal en veilig maakt
Een pand betreden zonder toestemming is een strafbaar feit. Het autorisatiepakket is wat een fysieke pentest daarvan onderscheidt, en het wordt opgesteld voordat iemand in de buurt van het gebouw komt.
1. De autorisatiebrief
Een ondertekende brief van iemand die bevoegd is om toegang tot het pand te verlenen (doorgaans de CISO, de facilitair directeur of een bestuurder) waarin staat dat de genoemde testers in het genoemde tijdvak toegang mogen proberen te krijgen tot de genoemde adressen. Elke tester draagt een exemplaar bij zich, samen met een identiteitsbewijs, en de brief noemt twee of drie contactpersonen die op elk uur bereikbaar zijn om hem te bevestigen. Dit is het document dat een beveiliger of politieagent leest wanneer een tester wordt aangehouden, vandaar de bijnaam vrijwaringsbrief. Hij moet die lezing overleven: concrete adressen, data, namen en verifieerbare telefoonnummers.
2. Juridische toetsing
Uw juridisch adviseur bevestigt wie toegang tot elk gebouw mag autoriseren. In een gehuurd of gedeeld pand moeten de verhuurder en de gebouwbeveiliging meestal worden geïnformeerd en soms meetekenen. In Nederland is het binnendringen van een besloten lokaal strafbaar als huisvredebreuk (artikel 138 Sr), en het zonder toestemming verbinden met een netwerk valt onder computervredebreuk (artikel 138ab Sr); de autorisatie haalt de test uit beide. De adviseur toetst ook aansprakelijkheid, verzekering en geheimhouding.
3. Ondernemingsraad en privacy
Een fysieke test observeert gedrag van medewerkers. Laat beoordelen of de ondernemingsraad op grond van de Wet op de ondernemingsraden moet worden geïnformeerd of geraadpleegd; veel organisaties informeren de OR uit goed gebruik, ook waar dat niet verplicht is. Onder de AVG heeft de test een grondslag nodig (doorgaans gerechtvaardigd belang), een korte privacytoets en bewijsregels: foto's tonen maatregelen en locaties, geen gezichten; individuele medewerkers worden nooit genoemd; opnames worden niet langer bewaard dan de opdracht vereist.
4. Uitsluitingen
Wat de testers niet doen en waar zij niet komen: forceren of beschadigen van deuren, sloten of ramen; betreden van ruimtes met veiligheidsrisico's zoals technische ruimtes of laboratoria; ingrijpen in branddeuren, alarmen of andere veiligheidssystemen; benaderen van met naam genoemde personen of directiekamers; zich voordoen als politie, hulpdiensten of toezichthouder; iets meenemen uit het pand. Op papier, zodat het rapport kan vaststellen dat ze zijn gerespecteerd.
5. Veiligheidsregels en afbreekprotocol
Een stopwoord dat de test onmiddellijk beëindigt wanneer een van beide partijen het uitspreekt. Een tester die wordt aangesproken en gevraagd te vertrekken doet dat, toont zo nodig de brief en gaat niet in discussie. De test pauzeert bij een echt incident, een medische noodsituatie of een echte indringer. Afgesproken uren, een maximale verblijfsduur in afgeschermde ruimtes en de regel dat er nooit iets wordt losgekoppeld of uitgezet.
6. Vertrouwenspersonen en afstemming met beveiliging
Een zeer kleine groep weet dat de test plaatsvindt: doorgaans de opdrachtgever, één security lead en de ondertekenaar van de brief, allen gedurende het tijdvak bereikbaar. Werkt u met een beveiligingsbedrijf, dan heeft de meldkamer een gesloten envelop of een contactpersoon nodig, zodat een escalatie wordt geverifieerd in plaats van te eindigen in een politiemelding. Bij testen buiten kantoortijd wordt vooraf afgesproken hoe een alarmmelding wordt afgehandeld.
Wat een fysieke pentest niet is
Opdrachtgevers verwachten soms een inbraak, en medewerkers vrezen soms een valstrik. Het is geen van beide. De rules of engagement sluiten dit schriftelijk uit.
- Geen braak. Er wordt niets gebroken, geknipt, geboord of beschadigd. Een maatregel die standhoudt, wordt vastgelegd als een maatregel die werkt
- Geen diefstal. Het bereiken van een asset wordt aangetoond met een foto, een tijdstempel of een klein gelabeld markeringsobject dat later wordt opgehaald, nooit door de asset mee te nemen
- Geen dwang. Testers mogen een plausibel voorwendsel gebruiken; zij dreigen niet, zetten niemand onder druk, bieden niets aan en misbruiken geen persoonlijke relatie om een deur open te krijgen
- Geen test van individuen. Het rapport beschrijft welke maatregelen en processen faalden en waar; het noemt nooit de receptionist die de deur openhield, en er wordt geen beeld of geluid van medewerkers bewaard buiten de afgesproken bewijsregels
- Geen verkapte hackoefening. Een apparaat in een wandcontactdoos steken om te zien of het wordt geblokkeerd test een fysieke maatregel; interne systemen van daaruit aanvallen is een netwerk- of red team-scope die apart wordt afgesproken
- Geen demonstratie van slot- of pastechniek. Waar zo'n zwakte relevant is, stelt het rapport vast dat de maatregel te omzeilen is en adviseert de oplossing; het leert de techniek niet aan
Fysieke pentest, social engineering-test en red team: hoe ze zich verhouden
De drie overlappen, en opdrachtgevers hebben vaak een combinatie nodig. De verschillen zitten in de vector, het doel en hoeveel van de organisatie ervan weet.
| Aspect | Fysieke pentest | Social engineering-test | Red team-opdracht |
|---|---|---|---|
| Kernvraag | Kan iemand in persoon ons pand en onze assets bereiken? | Kan iemand onze mensen op afstand bewegen tot het geven van toegang of informatie? | Kan een realistische aanvaller via welke route dan ook een bedrijfsdoel bereiken zonder te worden gestopt? |
| Vectoren | Perimeter, deuren, passen, tailgating, pretexting ter plaatse, poorten, ruimtes | Phishing, vishing, smishing, pretextgesprekken, nep-leverancierscontact | Fysieke, sociale, digitale en supply-chain-vectoren gecombineerd |
| Gebruikelijke duur | Twee tot vijf dagen op locatie, plus verkenning en rapportage | Een tot drie weken aan campagnes | Vier tot twaalf weken, langer bij TIBER-achtige tests |
| Wie weet ervan | Opdrachtgever en enkele vertrouwenspersonen | Opdrachtgever en enkele vertrouwenspersonen | Opdrachtgever en een white team; het verdedigende team wordt niet geïnformeerd |
| Gebruikelijke output | Verslag, fotografisch bewijs, procesbevindingen, geprioriteerde oplossingen | Campagnestatistieken, voorbeelden, bevindingen over bewustzijn en proces | Aanvalsverslag, MITRE ATT&CK-mapping, detectiegaten |
Opleveringen: wat het rapport bevat en hoe bevindingen worden opgelost
Het rapport opent met een managementsamenvatting die de vraag van de opdrachtgever in gewone taal beantwoordt: hebben de testers het doel bereikt, hoe, hoe lang duurde het en wie heeft het opgemerkt. De kern is een aanvalsverslag met tijdlijn: verkenning, elke geprobeerde benadering, welke werden gestopt en waardoor, welke slaagden en waarom, en het moment van detectie als dat er was. Elke stap wordt onderbouwd met geanonimiseerde foto's met tijdstempel. Een paragraaf over maatregelen die werkten is bewust opgenomen; een receptionist die aandrong op een terugbelcontrole of een beveiliger die de brief verifieerde zijn resultaten die de organisatie moet versterken.
Bevindingen worden gewogen op de bedrijfsimpact van wat is bereikt, niet op hoe vernuftig de binnenkomst was. In een lobby staan is geen bevinding. Twintig minuten onopgemerkt in de patchruimte staan met een apparaat op het netwerk is een kritieke. Elke bevinding draagt een geprioriteerd hersteladvies, gesplitst in directe, kortetermijn- en structurele maatregelen.
In onze ervaring zitten de oplossingen vooral in processen, niet in hardware. Een nieuwe paslezer op een deur die medewerkers nog altijd openhouden verandert niets. Wat de uitkomst wel verandert: een bezoekersproces dat ook wordt gevolgd als de receptie druk is; een uitdienstproces dat passen dezelfde dag intrekt; een cultuur waarin een onbekende om zijn pas vragen normaal is; netwerktoegangscontrole zodat een onbekend apparaat niets krijgt; serverruimtes in een aparte zone met een logboek dat iemand ook leest; een geoefende verificatieprocedure voor de beveiliging; en een korte bewustwordingssessie rond wat er werkelijk in het gebouw is gebeurd. Waar hardware wel het verschil maakt, zegt het rapport dat: een slot dat te omzeilen is, een lezerzone die lekt, een dode hoek in het camerabeeld.
Hoe u zich voorbereidt op een fysieke pentest
Voorbereiding maakt de opdracht veilig, legaal en bruikbaar. Het meeste gebeurt in twee of drie gesprekken met uw tester voordat het tijdvak opent.
- Bepaal het doel: welke ruimtes, assets of uitkomsten zouden het meeste pijn doen als een buitenstaander ze bereikt
- Stel vast wie toegang tot elk adres mag autoriseren, inclusief verhuurder en gebouwbeveiliging bij gehuurde of gedeelde panden
- Spreek het tijdvak af: kantooruren, avonden, weekenden of een combinatie, en of de verkenning eerder mag beginnen
- Schrijf de uitsluitingen en veiligheidsregels op en stem ze af met facilitair en met arbo of veiligheid
- Kies twee of drie vertrouwenspersonen en stem met uw beveiligingsbedrijf af hoe een escalatie wordt geverifieerd zonder politiemelding
- Betrek de juridisch adviseur, de privacyfunctionaris en waar passend de ondernemingsraad voordat de brief wordt ondertekend
- Besluit vooraf dat de evaluatie zonder schuldvraag plaatsvindt: medewerkers die achteraf worden genoemd of aangesproken, durven nooit meer iemand aan te spreken
Hoe HackersHub fysiek testen uitvoert
HackersHub voert al meer dan tien jaar offensieve beveiligingsopdrachten uit vanuit Amsterdam. Fysiek testen wordt gedaan door hetzelfde team dat onze red team-opdrachten uitvoert, onder leiding van Michael van Mameren. Elke tester heeft minimaal OSCP, en het team telt OSWE- en CREST-gecertificeerde leden. Wij scopen fysiek testen als zelfstandige opdracht of als fysieke fase van een bredere red team-opdracht, in lijn met PTES en NIST SP 800-115, en wij beginnen niet zonder een volledig autorisatiepakket dat door uw juridisch adviseur is beoordeeld.
U ontvangt een managementsamenvatting, een onderbouwd aanvalsverslag, bevindingen geprioriteerd op bedrijfsimpact en een herstelplan dat proces van hardware onderscheidt. Een verificatiehertest van bevindingen vanaf medium binnen 90 dagen is inbegrepen, zodat uw proceswijzigingen worden bevestigd in plaats van verondersteld. Wilt u de bredere vraag stellen, van perimeter tot productiedata, dan kunt u een penetratietest laten uitvoeren die fysiek, netwerk en applicatie combineert. Onze klanten beoordelen ons met 4,9/5 over 127 reviews.
Veelgestelde vragen
Gerelateerde gidsen en diensten
Wilt u weten of een onbekende uw serverruimte kan bereiken?
Wij scopen fysiek testen rond de assets die u het meest moet beschermen, met een volledig autorisatiepakket en een rapport waarmee uw facilitaire, security- en HR-teams aan de slag kunnen. Praat met een expert.