In het kort: niet elke hacker is een crimineel. De bekendste indeling gebruikt hoedkleuren: black hat (kwaadwillend), white hat (met toestemming, ter beveiliging) en grey hat (goede bedoelingen, geen toestemming). Daarnaast zijn er hacktivisten met een politiek doel, onervaren script kiddies en staatshackers die voor een land werken. Hieronder lees je wat elk type doet, wat ethisch hacken en pentesten inhouden, en waarom dit voor jouw eigen veiligheid uitmaakt.
Wat is een hacker eigenlijk?
Een hacker is iemand die diep begrijpt hoe systemen werken en die kennis gebruikt om ze iets te laten doen waarvoor ze niet bedoeld zijn. Dat kan kwaadaardig zijn, maar net zo goed nuttig: veel hackers sporen juist zwakke plekken op zodat ze gedicht kunnen worden. Het onderscheid dat er echt toe doet, is simpel: heeft de eigenaar van het systeem toestemming gegeven of niet?
De kleuren komen uit oude westernfilms, waarin de held een witte hoed droeg en de schurk een zwarte. De beveiligingswereld leende die beeldspraak om in een oogopslag duidelijk te maken aan welke kant iemand staat.
De soorten hackers op een rij
Black hat hackers
Dit zijn de criminelen. Ze breken zonder toestemming in op systemen om geld te verdienen, gegevens te stelen of schade aan te richten. Ze verspreiden bijvoorbeeld malware, spyware en adware of zetten je bestanden op slot met gijzelsoftware. Hun werk is strafbaar.
White hat hackers (ethische hackers)
White hat hackers doen technisch gezien hetzelfde als black hats, maar met een cruciaal verschil: ze hebben vooraf toestemming en melden elk gevonden lek aan de eigenaar. Bedrijven en overheden huren ze in om zwakke plekken te vinden voordat de criminelen dat doen. Dit is een legaal en gewild beroep.
Grey hat hackers
Grey hats zitten er tussenin. Ze breken in zonder toestemming, dus strikt genomen illegaal, maar met goede bedoelingen: ze waarschuwen de eigenaar over het lek in plaats van het te misbruiken. Zonder duidelijke afspraken vooraf blijft dit een juridisch grijs gebied, ook als de intentie goed is.
Hacktivisten
Hacktivisten hacken om een politiek of maatschappelijk statement te maken. Denk aan het platleggen van een website of het lekken van documenten uit protest. Bekende namen uit dit kamp zijn losse collectieven zoals Anonymous. Hun motief is een boodschap, niet geld.
Script kiddies
Script kiddies zijn onervaren aanvallers die kant-en-klare hacktools en scripts van anderen gebruiken zonder echt te snappen hoe die werken. Ze zijn vaak uit op status of kattenkwaad. Onderschat ze niet: met gekochte tools kunnen ook zij een slecht beveiligd account of website raken.
Staatshackers
Dit zijn goed gefinancierde teams die in opdracht van een land werken, vaak spionage of sabotage. In vakjargon heten de langlopende, geavanceerde operaties APT’s (advanced persistent threats). Als particulier ben je hier zelden het directe doelwit, maar bedrijven en vitale infrastructuur wel.
Twee termen die je vaak hoort: een red team speelt de aanvaller om de verdediging te testen, een blue team is het verdedigende beveiligingsteam. Beide bestaan uit white hats die samen een organisatie weerbaarder maken.
Wat is ethisch hacken en pentesten?
Ethisch hacken is het werk van de white hats: met toestemming inbreken om beveiliging te verbeteren. De bekendste vorm is een penetratietest (pentest), waarbij een specialist een systeem gericht aanvalt binnen vaste afspraken en daarna precies rapporteert welke lekken er zijn en hoe je ze dicht.
Daarnaast bestaan bug bounty-programma’s, waarbij bedrijven zoals Google en Microsoft een beloning uitloven aan iedereen die netjes een kwetsbaarheid meldt. In Nederland bestaat hiervoor ook een officiele route via het NCSC, Coordinated Vulnerability Disclosure (CVD), voorheen responsible disclosure genoemd. Vind je een lek in een systeem, dan meld je het via het CVD-formulier op ncsc.nl, zodat de eigenaar het kan oplossen voordat het openbaar wordt.
Sinds 1 januari 2026 zijn het NCSC en het Digital Trust Center samengevoegd tot een versterkt NCSC: een centraal, 24/7 bereikbaar aanspreekpunt voor digitale weerbaarheid voor alle Nederlandse organisaties.
Wat betekent dit voor jouw veiligheid?
Voor jou als thuisgebruiker gaat het vrijwel altijd om de black hats en soms de script kiddies. Zij pikken niet doelgericht een individu eruit, maar zoeken massaal naar de makkelijkste slachtoffers: accounts met een zwak wachtwoord, verouderde software en mensen die op een neplink klikken. Je hoeft geen expert te zijn om lastig doelwit te worden. Deze basis houdt de meeste aanvallen buiten de deur:
- Gebruik een lang, uniek wachtwoord per account en bewaar ze in een wachtwoordmanager.
- Zet tweefactorauthenticatie (2FA) aan op je belangrijke accounts, zoals e-mail, bank en sociale media.
- Installeer updates zodra ze er zijn; die dichten precies de lekken waar aanvallers op mikken.
- Klik niet zomaar op links of bijlagen in onverwachte berichten, ook niet als ze van een bekende lijken te komen.
- Maak regelmatig een back-up, zodat je bij een gijzelsoftware-aanval niet hoeft te betalen.
Ben je toch slachtoffer van oplichting of een hack? Meld het bij de Fraudehelpdesk (0800-4444, gratis) en doe aangifte bij de politie via 0900-8844. Bij gijzelsoftware helpt onze complete gids over ransomware voorkomen je verder. Wil je van de basis af aan opbouwen, begin dan bij veilig internetten voor beginners.
Liever kijken dan lezen? We zetten de beste documentaires, films en boeken over cybercriminaliteit voor je op een rij.
Veelgestelde vragen
Is hacken altijd illegaal?
Nee. Inbreken zonder toestemming is strafbaar, maar white hat hackers werken juist met toestemming om systemen veiliger te maken. Het is een erkend en gevraagd beroep.
Wat is het verschil tussen een white hat en een grey hat?
Toestemming. Een white hat heeft vooraf afspraken met de eigenaar en handelt legaal. Een grey hat breekt zonder toestemming in, maar meldt het lek in plaats van het te misbruiken; dat blijft juridisch een grijs gebied.
Loop ik als particulier gevaar door staatshackers?
Vrijwel nooit rechtstreeks. Staatshackers richten zich op overheden, bedrijven en vitale infrastructuur. Als gewone gebruiker heb je veel meer te maken met massale aanvallen van criminelen en script kiddies.
Wat moet ik doen als ik zelf een beveiligingslek vind?
Misbruik het niet en deel het niet openbaar. Meld het netjes bij de eigenaar, of bij een Nederlands overheidssysteem via het CVD-formulier van het NCSC (ncsc.nl). Zo krijgt de eigenaar de kans het te dichten.
Bron: NCSC (Coordinated Vulnerability Disclosure en het versterkte NCSC per 2026) en veiliginternetten.nl. Laatst gecontroleerd in juli 2026.