Offensief hacken: waarom westerse landen terughoudend zijn

Wat is offensief hacken?

Offensief hacken, ook wel “hacking back” of “terughacken” genoemd, is het actief aanvallen van de computersystemen van tegenstanders. Dit kan gaan om staten, organisaties of criminele groepen die een cyberaanval uitvoeren. Waar defensieve cybersecurity zich richt op het beschermen en monitoren van de eigen netwerken, is offensief hacken erop gericht de bron van een aanval te verstoren, informatie te verzamelen of systemen van de tegenstander uit te schakelen.

Voorbeelden van offensieve acties zijn het binnendringen van servers om malware uit te schakelen, het vernietigen van gestolen data, of zelfs het platleggen van infrastructuur die wordt gebruikt om cyberaanvallen mee uit te voeren.

Waarom de terughoudendheid in het Westen?

Hoewel de technologie beschikbaar is, zijn veel westerse landen en organisaties bewust terughoudend. Daar zijn verschillende redenen voor:

Juridische grenzen: het internationaal recht is onduidelijk over de rechtmatigheid van hackback-operaties. Aanvallen kunnen al snel worden gezien als een schending van soevereiniteit of zelfs als een daad van oorlog.
Escalatierisico: een offensieve hack kan leiden tot vergeldingsaanvallen, waardoor een conflict groter wordt of verder oplaait.
Nevenschade: digitale aanvallen zijn vaak lastig te beheersen. Een aanval op de server van een crimineel kan ook onschuldige systemen van derden raken, zoals cloudproviders die door meerdere klanten worden gebruikt.
Ethiek en reputatie: westerse democratieën willen zich profileren als staten die de rechtsstaat en mensenrechten respecteren. Offensieve acties kunnen met dat beeld botsen.
Complexiteit en attributie: het is vaak lastig om met zekerheid vast te stellen wie er achter een aanval zit. Een mislukte hackback kan onschuldige partijen raken.

Voorbeelden van landen die offensief hacken inzetten

Verenigde Staten: de VS beschikt over een van de meest geavanceerde cybercommando's ter wereld. Het U.S. Cyber Command voert regelmatig offensieve operaties uit. Een bekend voorbeeld is Stuxnet (2010), een gezamenlijke operatie met Israël die Iraanse nucleaire installaties saboteerde. In 2018 maakte de VS bekend ook offensief te hacken tegen Russische trollenfabrieken die probeerden verkiezingen te beïnvloeden.
Israël: Israël staat bekend om zijn uitgebreide cybercapaciteiten. Naast defensieve maatregelen zet het land ook offensieve middelen in, vaak gericht op vijandige staten of groepen in het Midden-Oosten. De samenwerking met de VS rond Stuxnet is het meest prominente voorbeeld, maar ook het bedrijf NSO Group, producent van de Pegasus-spyware, laat zien hoe Israëlische technologie offensieve capaciteiten mogelijk maakt.
Verenigd Koninkrijk: het Verenigd Koninkrijk heeft via zijn National Cyber Force expliciet aangegeven offensieve cyberoperaties uit te voeren. Het doel: vijandige staten, terroristen en georganiseerde criminaliteit digitaal verzwakken.

Hoe Nederland hiermee omgaat

Nederland heeft sinds 2014 een Defensie Cyber Commando, dat over zowel defensieve als offensieve cybercapaciteiten beschikt. Het beleid is echter voorzichtig: offensieve middelen worden alleen ingezet in zeer uitzonderlijke omstandigheden, bijvoorbeeld bij een (dreigend) militair conflict.

Verder benadrukt de Nederlandse overheid dat hackback door private bedrijven verboden is. Alleen de staat mag dergelijke middelen inzetten, en altijd onder democratische controle. Het Nationaal Cyber Security Centrum (NCSC) en het Openbaar Ministerie leggen de nadruk op samenwerking, informatiedeling en de juridische vervolging van cybercriminelen, in plaats van digitale vergelding.

Hoe de EU hiermee omgaat

De Europese Unie kiest voor een multilaterale en juridische aanpak. In plaats van offensief hacken door lidstaten, richt de EU zich op:

Sancties tegen staten, bedrijven of individuen die verantwoordelijk zijn voor cyberaanvallen (bijvoorbeeld tegen Russische en Chinese hackers).
Internationale samenwerking, zoals via het European Cybercrime Centre (EC3) van Europol.
Wetgeving en normen, waaronder de NIS2-richtlijn, die lidstaten verplicht hun cyberweerbaarheid te vergroten.

De EU beschouwt offensief hacken vooral als een risico op escalatie en ondermijning van de internationale rechtsorde. Daarom ligt de nadruk op diplomatie, economische druk en collectieve weerbaarheid.

Argumenten vóór offensief hacken

Afschrikking: duidelijk maken dat aanvallen gevolgen hebben, kan staten of criminelen ontmoedigen.
Proactieve bescherming: het uitschakelen van malware-infrastructuur kan toekomstige aanvallen voorkomen.
Snelheid: in sommige gevallen biedt offensief optreden sneller bescherming dan wachten op juridische of diplomatieke stappen.
Inlichtingenvoordeel: door in te breken in vijandige systemen kunnen waardevolle data en inzichten worden verzameld.

Argumenten tegen offensief hacken

Internationaal recht: er is geen duidelijke juridische basis, waardoor hackback-operaties in een grijs gebied opereren.
Onbedoelde schade: digitale middelen kunnen zich verder verspreiden dan het oorspronkelijke doelwit.
Escalatie en vergelding: elke aanval kan leiden tot een tegenaanval, waardoor de situatie verder escaleert.
Democratisch toezicht: offensieve operaties zijn vaak geheim, waardoor er weinig ruimte is voor parlementair of publiek toezicht.
Alternatieven: samenwerking met de politie, internationale partners en juridische instrumenten wordt vaak als effectiever en duurzamer beschouwd.

Conclusie

Offensief hacken blijft een controversieel middel in de digitale wereld. Voorstanders zien het als noodzakelijk om aanvallen proactief te bestrijden en tegenstanders af te schrikken. Tegenstanders wijzen echter op de juridische, ethische en praktische risico's.

Nederland en de EU kiezen voor terughoudendheid en internationale samenwerking. Deze aanpak is erop gericht cyberaanvallen te bestrijden zonder het risico op ongecontroleerde escalatie. Toch blijft de vraag: kan een volledig defensieve houding voldoende bescherming bieden in een wereld waarin cyberaanvallen steeds complexer en agressiever worden?