Phishing og internetsvindel: dine rettigheder i henhold til hollandsk lov

Phishing og internetsvindel er strafbare handlinger i henhold til hollandsk lov. En svindler, der narrer dig til at udlevere loginoplysninger eller overføre penge, begår bedrageri (oplichting) i henhold til artikel 326 i den hollandske straffelov og ofte også uautoriseret adgang til et computersystem (computervredebreuk) i henhold til artikel 138ab. Hvis penge er forladt din konto uden dit samtykke, skal din bank i princippet refundere dem i henhold til artikel 7:528 i den hollandske borgerlige lovbog. Den primære undtagelse: banken behøver ikke at betale, hvis den kan bevise, at du har handlet svigagtigt eller grov uagtsomt. Hastighed er vigtig, så anmeld hændelsen til din bank og indgiv en politianmeldelse, så snart du bemærker det.

Hvad tæller som phishing i henhold til hollandsk lov?

Phishing er bedrag, hvor en kriminel udgiver sig for at være en organisation, du har tillid til, for at få fat i dine legitimationsoplysninger eller penge. Hollandsk lov bruger ikke ordet phishing, men den straffer den bagvedliggende adfærd.

Svindleren kan udgive sig for at være en bank, en betalingsudbyder, et leveringsfirma eller den hollandske skattemyndighed (Belastingdienst). Formålet er at få adgang til loginoplysninger, betalingskortoplysninger, en bekræftelseskode eller en underskrift i en bankapp. Mediet varierer: en e-mail, en sms-besked (smishing), et telefonopkald fra en person, der påstår at være fra bankens svindelafdeling (vishing), en besked på WhatsApp eller LinkedIn eller en klonet hjemmeside bag et sponsoreret søgeresultat.

Flere bestemmelser i den hollandske straffelov (Wetboek van Strafrecht) kan finde anvendelse samtidig:

At udgive sig for at være en bank for at få nogen til at udlevere penge eller data er bedrageri i henhold til artikel 326.
At logge ind på en konto med legitimationsoplysninger, der er opnået på den måde, er uautoriseret adgang i henhold til artikel 138ab.
Det er strafbart i henhold til artikel 231b at bruge en anden persons identificerende data til at forårsage skade eller opnå en fordel.
Forfalskning af dokumenter eller digitale optegnelser falder ind under artikel 225.
Misbrug af betalingskort eller dataene bag dem falder ind under artikel 232.
Hvor et angreb ender med krypterede filer og et krav om løsesum, kommer artikel 350a (ændring eller ødelæggelse af data) og artikel 317 (afpresning) i spil.

Hvad tæller som internetsvindel?

Internetsvindel er den bredere kategori: ethvert bedrag udført via en onlinekanal. Juridisk set falder de fleste former igennem den samme bestemmelse, artikel 326 i straffeloven.

Internetsvindel dækker webshops, der tager imod betaling og aldrig sender varer, falske lejemål og investeringssvindel bygget op omkring kryptovaluta. Det dækker også fakturasvindel, hvor en leverandørs bankoplysninger i al hemmelighed ændres, og CEO-svindel, hvor en økonomimedarbejder modtager en hastende betalingsinstruktion, der ser ud til at komme fra en direktør. Kernen er altid den samme: en vildledende handling, der får nogen til at skille sig af med penge, varer eller data.

Den praktiske forskel mellem phishing og den bredere kategori er, hvor tabet opstår. I et phishing-tilfælde forlader pengene normalt en betalingskonto uden dit samtykke. Det bringer reglerne for betalingstjenester i Bog 7 i den civile lovbog i spil. I en webshop- eller investeringssvindel overfører du selv pengene. Inddrivelse bliver derefter en civil sag mod svindleren og nogle gange mod platformen eller banken, der modtog pengene.

Hvordan genkender man en phishing-besked?

Se på, hvad beskeden beder dig om at gøre, ikke på stavningen. Moderne phishing-beskeder er velskrevne og ofte personlige, så de gamle råd om stavefejl er ikke længere nok.

Tre signaler forbliver pålidelige:

Beskeden skaber tidspres. Den fortæller dig, at en konto er blevet blokeret, eller at en betaling vil blive tilbageført, medmindre du handler nu.
Den leder dig væk fra de kanaler, du normalt bruger. Den beder dig om at klikke på et link eller ringe til et nummer i stedet for at åbne din egen bankapp.
Den beder om noget, som en bank aldrig beder om: en bekræftelseskode, en underskrift i din bankapp for en transaktion, du ikke har startet, eller tilladelse til at installere fjernadgangssoftware på din enhed.

For organisationer gælder den samme logik for betalingsinstruktioner. En leverandør, der ændrer sine bankoplysninger via e-mail, en direktør, der anmoder om en hasteoverførsel uden for den sædvanlige godkendelseskæde, eller en faktura, der ankommer lidt tidligere end forventet, ringer alle for at få en check. Ring tilbage på et nummer, du allerede havde registreret, ikke et, der var angivet i beskeden.

Kan du få dine penge tilbage fra banken?

Normalt ja. Hvis du ikke har samtykket til en betaling, skal banken i princippet refundere den med det samme, medmindre du har handlet svigagtigt eller har udvist grov uagtsomhed.

En betalingstransaktion, som betaleren ikke har givet samtykke til, er en uautoriseret transaktion i henhold til artikel 7:522, stk. 2, i den hollandske borgerlige lovbog. Artikel 7:528, stk. 1, forpligter derefter betalingstjenesteudbyderen til straks at tilbagebetale beløbet og genoprette kontoen til den tilstand, den ville have været i. Udgangspunktet er med andre ord, at banken bærer tabet.

Undtagelsen findes i artikel 7:529, stk. 1. Banken er ikke forpligtet til at refundere, hvis kontohaveren har handlet svigagtigt eller forsætligt eller grov uagtsomt har undladt at opfylde forpligtelserne i artikel 7:524. Disse forpligtelser kræver, at du bruger betalingsinstrumentet i overensstemmelse med de gældende betingelser og sikkerhedsforanstaltninger. Grov uagtsomhed er en høj standard. Det vurderes ud fra alle omstændighederne, ikke alene ud fra tabet. Artikel 7:529, stk. 3, tilføjer en yderligere beskyttelse: Hvis banken ikke anvendte stærk kundeautentifikation, bærer du intet tab overhovedet.

Hvad kan du gøre, hvis banken nægter at betale?

Som forbruger kan du indbringe tvisten for Klageninstituut Financiële Dienstverlening (Kifid) eller for den civile domstol. Kifid behandler først din klage, når du har gennemført bankens interne klageprocedure.

Erhvervskontohavere er i en anden situation. De falder uden for det meste af forbrugerbeskyttelsen og er i høj grad afhængige af deres kontrakt med banken og af generelle ansvarsregler. Det gør en virksomheds interne betalingskontrol endnu vigtigere.

Kan du kræve erstatning fra svindleren eller en uagtsom organisation?

Ja. Hvis gerningsmanden er identificeret, kan du få erstatning for tabet som en ulovlig handling (onrechtmatige daad) i henhold til artikel 6:162 i den borgerlige lovbog. Et krav mod en organisation, hvis dårlige sikkerhed muliggjorde bedrageriet, dækkes af samme artikel.

Mod gerningsmanden sker dette oftest i straffesagen. I henhold til artikel 51f i den hollandske strafferetsplejelov kan du deltage i straffesagen som skadelidt (benadeelde partij) og anmode strafferetten om at tilkende erstatning. Det er normalt billigere og hurtigere end et separat civilt krav. Retten vil kun behandle et krav, der ikke pålægger straffesagen en uforholdsmæssig stor byrde. Dit tab skal derfor være dokumenteret og let at beregne.

En anden rute er et krav mod en organisation, hvis sikkerhed ikke var tilstrækkelig. Tænk på arbejdsgiveren, hvis postkasse blev kompromitteret, platformen, der tillod en sælger at operere uden nogen form for verifikation, eller databehandleren, der lækkede en kundedatabase. Den anvendte standard er, hvad en omhyggelig organisation burde have gjort i betragtning af den aktuelle teknologi og dataenes følsomhed. Rettighederne for ofre for cyberangreb beskriver, hvordan anmeldelsespligt, erstatning og forsikring interagerer i disse tilfælde. Bevis er normalt den svære del; vores artikel om, hvordan man beviser digital bedrag, omhandler de beviser, der vejer tungt.

Hvad kræver GDPR af organisationer, der er ramt af phishing?

Et vellykket phishing-angreb på en virksomhed resulterer næsten altid i et brud på persondatasikkerheden. Organisationen skal derefter anmelde det til den hollandske databeskyttelsesmyndighed (Autoriteit Persoonsgegevens) uden unødig forsinkelse og, hvor det er muligt, inden for 72 timer.

Artikel 32 i GDPR kræver, at dataansvarlige og databehandlere træffer passende tekniske og organisatoriske sikkerhedsforanstaltninger. Artikel 33 indeholder pligten til at indberette et brud inden for 72 timer efter, at man er blevet opmærksom på det, medmindre bruddet sandsynligvis ikke vil medføre en risiko for de berørte personer. Hvor risikoen for disse personer er høj, tilføjer artikel 34 en pligt til at informere dem direkte.

Tilsynsmyndigheden ser mindre på, om et angreb lykkedes, end på, hvad der gik forud for det. Var multifaktor-godkendelse på plads? Var adgangsrettighederne begrænset til, hvad personalet rent faktisk havde brug for? Tillod logføring at rekonstruere hændelsen? Var personalet blevet oplært? En organisation, der kan udvise en velovervejet sikkerhedstilgang og en dokumenteret reaktion, er i en langt stærkere position end en, der først begynder at skrive tingene ned efter hændelsen. Hvem der er ansvarlig efter et databrud, gennemgår, hvordan dette ansvar fordeles.

Hvilke indberetningspligter gælder i henhold til Cyberbeveiligingswet?

Siden den 15. august 2026 har den hollandske cybersikkerhedslov (Cyberbeveiligingswet), som implementerer NIS2-direktivet, været gældende sideløbende med GDPR. Organisationer, der er omfattet af dens anvendelsesområde, skal rapportere betydelige hændelser i etaper: en tidlig varsling inden for 24 timer, en underretning inden for 72 timer og en endelig rapport inden for en måned.

Organisationer, der er omfattet af loven, skal også registreres hos National Cyber Security Center (NCSC). De skal træffe foranstaltninger under en omsorgspligt, der omfatter risikostyring, sikkerhed i forsyningskæden og håndtering af hændelser. Bestyrelsen skal godkende disse foranstaltninger, føre tilsyn med deres implementering og følge træning, så cybersikkerhed er et ledelsesansvar og ikke kun et anliggende for IT.

De to ordninger overlapper hinanden, men er ikke ens. En phishing-hændelse, der kompromitterer en postkasse, kan udløse en GDPR-meddelelse til Autoriteit Persoonsgegevens og en separat hændelsesrapport i henhold til Cyberbeveiligingswet, med forskellige deadlines og til forskellige myndigheder. Undersøg på forhånd, hvilken ordning der gælder for din organisation, og hvem der foretager opkaldet klokken tre om morgenen. Vores vejledning om rapporteringspligter for cybersikkerhedshændelser sætter deadlines side om side.

Hvad hvis svindleren eller pengene er i udlandet?

Indgiv alligevel en politianmeldelse (aangifte) i Holland. En lovovertrædelse rettet mod et offer i Holland betragtes generelt som begået her, så det hollandske politi og anklagemyndighed er det rette udgangspunkt, selv når gerningsmanden er i udlandet.

Phishing-operationer er sjældent begrænset til ét land. Afsendende infrastruktur befinder sig i én jurisdiktion, offeret i en anden, pengene i en tredje og hosting af det klonede websted i en fjerde. Hollands strafferetlige jurisdiktion omfatter lovovertrædelser begået på hollandsk territorium.

Bevismateriale fra en anden stat indhentes gennem etablerede kanaler. Inden for Den Europæiske Union giver den europæiske efterforskningskendelse en hollandsk anklager eller undersøgelsesdommer mulighed for at anmode om data, kontooplysninger eller indefrysning af midler fra en anden medlemsstat. Uden for EU indeholder Europarådets konvention om cyberkriminalitet, der blev indgået i Budapest i 2001, bestemmelser om fremskyndet opbevaring af lagrede computerdata og gensidig bistand mellem de stater, der har tilsluttet sig den. Europol og Interpol koordinerer operationer, men retsforfølger ikke selv; sagen forbliver hos en national anklagemyndighed.

For dig som offer har dette en praktisk konsekvens. Inddrivelse af midlerne afhænger normalt af, hvor hurtigt den modtagende bank kan blive underrettet, fordi penge, der overføres via en muldyrskonto, spredes inden for få timer. Det er mere sandsynligt, at du straks rapporterer til din egen bank, så den kan forsøge at inddrage penge, vil give et resultat end et senere juridisk skridt.

Hvordan forebygger I phishing og internetsvindel i jeres organisation?

Fjern enkeltstående fejlpunkter; køb af mere software er sjældent løsningen. Et par grundlæggende foranstaltninger stopper de fleste opportunistiske angreb.

Brug multifaktorgodkendelse på alle konti, der kan tilgå virksomhedsdata.
Opbevar unikke adgangskoder i en adgangskodeadministrator.
Opdater enheder og software med det samme.
Bekræft alle ændringer i leverandørens bankoplysninger telefonisk på et nummer, du allerede havde.
Sørg for, at ingen enkelt person kan både oprette og frigive en betaling.

Træning lukker det resterende hul, forudsat at det gentages og er realistisk. Medarbejdere, der har set en overbevisende simuleret phishing-besked, genkender den ægte; medarbejdere, der kun har læst en politik, gør det generelt ikke. Endelig skal du beslutte på forhånd, hvad der sker i den første time efter en hændelse: hvem isolerer kontoen, hvem gemmer loggene, hvem kontakter banken, og hvem vurderer, om en underretningspligt er blevet udløst. Den liste er mere værd på dagen end nogen mængde analyse efter hændelsen.

Hvad skal du gøre, hvis du er blevet målrettet?

Kontakt din bank først, sørg derefter for at sikre dine konti, behold beviserne og anmeld det til politiet. Handl i denne rækkefølge:

Kontakt din bank via deres officielle svindelnummer og bed om at få transaktionen blokeret eller tilbagekaldt.
Skift loginoplysningerne for den kompromitterede konto og for enhver anden konto, der bruger den samme adgangskode.
Behold alt: den oprindelige besked med dens overskrifter, skærmbilleder, transaktionsreferencer og de tidspunkter, hvor du bemærkede hvert trin.
Indgiv en politianmeldelse. De fleste forsikringsselskaber kræver en, og den er grundlaget for ethvert senere krav som skadelidt.
Hvis andres personoplysninger er blevet eksponeret, skal underretningspligterne i henhold til GDPR og, hvor det er relevant, Cyberbeveiligingswet vurderes, inden fristerne udløber.

Vi rådgiver ofre for phishing og internetsvindel om at inddrive tab fra banker, platforme og gerningsmænd. Vi rådgiver også virksomheder om sikkerhedsforpligtelser, meddelelser om brud og ansvar efter en hændelse. Yderligere læsning findes i vores hollandske IT-retsvejledninger.

Sammenfattende

Phishing og internetsvindel er strafbare i Holland, primært som bedrageri (artikel 326 i straffeloven) og uautoriseret adgang (artikel 138ab).
For en betaling, du ikke har godkendt, skal banken i princippet straks refundere dig (artikel 7:528 i den borgerlige lovbog), medmindre du har handlet svigagtigt eller udvist grov uagtsomhed (artikel 7:529).
Hvis banken nægter, kan forbrugerne henvende sig til Kifid efter bankens interne klageprocedure eller til den civile domstol.
Organisationer, der er ramt af phishing, skal vurdere en GDPR-meddelelse inden for 72 timer og, hvis det er inden for rammerne, rapportere i henhold til Cyberbeveiligingswet (24 timer, 72 timer, en måned).
Ring straks til din bank og indgiv en politianmeldelse: hurtig betaling er ofte afgørende for at få pengene tilbage.

Ofte stillede spørgsmål

Skal min bank refundere mig, hvis jeg klikkede på et phishing-link?

Ikke automatisk, men ofte. Udgangspunktet er en refusion for enhver betaling, du ikke har givet samtykke til. Banken skal vise, at du har handlet grov uagtsomhed, og det vurderes ud fra alle sagens omstændigheder.

Er en virksomhedskonto beskyttet på samme måde?

Stort set ikke. De fleste forbrugerbeskyttelser gælder ikke for erhvervskonti, så kontrakten med banken og de generelle ansvarsregler afgør, hvem der bærer tabet.