Stalkerware is commerciële spionagesoftware die heimelijk op iemands smartphone wordt geïnstalleerd om berichten, locatie, foto's, oproepen en zelfs microfoon en camera op afstand mee te lezen. In tegenstelling tot gewone malware wordt stalkerware bewust geplaatst door iemand die fysieke toegang tot het toestel heeft gehad, meestal een (ex-)partner, familielid of collega. Voor slachtoffers van coercive control en digitale intimidatie is dit een van de meest ingrijpende privacyschendingen die er bestaat.
Dit artikel is geschreven voor Nederlandse lezers die vermoeden dat er iets mis is met hun telefoon, voor HR- en securitymanagers die medewerkers willen beschermen, en voor inkopers die zoeken naar praktische privacyproducten en relatiegeschenken die daadwerkelijk iets doen tegen digitale spionage. We leggen uit wat stalkerware technisch is, hoe je het herkent, wat de AVG en het Nederlandse strafrecht erover zeggen, en welke stappen je veilig kunt zetten. Op onze collectie privacycases vind je bovendien hardwarematige bescherming die softwarelekken niet kan oplossen.
Wat is stalkerware precies?
Stalkerware is een verzamelnaam voor apps die zonder medeweten van de gebruiker op een smartphone draaien en persoonlijke data doorsturen naar een derde partij. De Coalition Against Stalkerware, een internationaal samenwerkingsverband van beveiligingsbedrijven en hulporganisaties, definieert stalkerware als software die specifiek is ontworpen om het gedrag van een persoon te monitoren zonder diens toestemming, meestal in de context van huiselijk geweld of intimidatie.
Het verschil met reguliere malware is de installatiemethode en het doelwit. Malware verspreidt zich vaak via phishing of kwetsbaarheden op grote schaal. Stalkerware wordt daarentegen gericht geplaatst door iemand die de telefoon een paar minuten in handen heeft gehad. Bekende voorbeelden zijn mSpy, FlexiSpy, Cerberus en Hoverwatch. Veel van deze aanbieders presenteren zich publiekelijk als "parental control" of "employee monitoring", maar hun functionaliteit, denk aan verborgen icoontjes en heimelijke microfoonopname, wijst duidelijk op ander gebruik.
Stalkerware versus spyware versus ouderlijk toezicht
Om verwarring te voorkomen: niet elke monitoringapp is stalkerware. Het verschil zit in transparantie en toestemming.
- Ouderlijk toezicht zoals Apple Screen Time of Google Family Link is zichtbaar op het toestel en wordt met medeweten van het kind ingesteld.
- Enterprise Mobile Device Management in een zakelijke context is contractueel vastgelegd en zichtbaar in de instellingen van het toestel.
- Spyware is een breed begrip voor kwaadaardige software die data steelt, vaak op afstand geïnstalleerd via een exploit.
- Stalkerware is heimelijk, vereist doorgaans fysieke toegang bij installatie en wordt door één persoon gericht ingezet tegen één ander persoon.
Hoe komt stalkerware op een telefoon?
In vrijwel alle gevallen krijgt stalkerware toegang via fysieke installatie. Iemand pakt je telefoon, weet je toegangscode, en installeert de app in enkele minuten. Op Android gebeurt dat meestal via een APK-bestand dat buiten de Play Store om wordt geïnstalleerd, met daaraan gekoppelde toegankelijkheidsrechten en toestemming voor het uitlezen van meldingen. Op iPhone verloopt het vaker via een gecompromitteerd iCloud-account waarmee back-ups, foto's, locatie en berichten op afstand kunnen worden ingezien, of via een jailbreak.
Externe installatie zonder fysieke toegang is technisch mogelijk maar zeldzaam en duur. Zulke aanvallen, denk aan Pegasus-achtige exploits, zijn voorbehouden aan statelijke actoren en niet aan een jaloerse ex. Wie zich zorgen maakt over stalkerware in een privésituatie, moet dus vooral denken aan iemand die toegang tot het toestel én de code heeft gehad.
Signalen dat je telefoon besmet kan zijn
Er is geen enkel symptoom dat op zichzelf bewijst dat er stalkerware draait, maar een combinatie van signalen is verdacht. Let op de volgende punten:
- De batterij loopt merkbaar sneller leeg dan voorheen, ook zonder zwaar gebruik.
- Het toestel wordt warm in stand-by.
- Het dataverbruik is hoger dan je verwacht op basis van je gedrag.
- Je ziet onbekende apps, of apps met vage namen zoals "System Service" of "Sync Manager".
- Instellingen zoals "onbekende bronnen toestaan" (Android) of een onbekend configuratieprofiel (iOS) staan aan zonder dat jij dat hebt gedaan.
- Het lampje van de camera of microfoon knippert kort zonder dat je een app open hebt.
- De persoon die je verdenkt weet dingen die alleen op je telefoon staan.
Vooral dat laatste punt is in de praktijk het meest bruikbare signaal. Als een (ex-)partner opmerkingen maakt over locaties, gesprekken of berichten die alleen digitaal beschikbaar waren, is dat een sterke aanwijzing.
Wat zegt de wet in Nederland en de EU?
Het heimelijk installeren van stalkerware is in Nederland strafbaar op meerdere fronten. Artikel 285b van het Wetboek van Strafrecht stelt belaging (stalking) strafbaar, en digitale monitoring valt daar in de rechtspraak steeds vaker onder. Daarnaast is het onbevoegd binnendringen in een geautomatiseerd werk strafbaar via artikel 138ab (computervredebreuk), en het aftappen van communicatie via artikel 139a en verder.
Onder de AVG is het verwerken van persoonsgegevens zonder rechtsgrond een overtreding. Een privépersoon die stalkerware installeert, verwerkt zonder toestemming bijzondere categorieën gegevens, waaronder locatie en communicatie-inhoud. Dat is geen "huishoudelijk gebruik" waarop de AVG-uitzondering slaat: de Autoriteit Persoonsgegevens beschouwt heimelijke monitoring van een individu als een verwerking waarvoor geen enkele rechtsgrond bestaat.
Ook fabrikanten en distributeurs van stalkerware lopen risico. De Federal Trade Commission in de VS heeft meerdere aanbieders vervolgd, en Europese toezichthouders onderzoeken de bedrijfsmodellen actief. Wie stalkerware inzet tegen een medewerker of gezinslid moet er dus rekening mee houden dat zowel het gebruik als de aanschaf juridisch traceerbaar is.
Veilig omgaan met een verdachte telefoon
Als je vermoedt dat er stalkerware op je toestel staat, is de eerste reflex vaak: verwijderen. Doe dat niet meteen. Wie stalkerware installeert, krijgt vaak een melding zodra de app verdwijnt. In situaties van huiselijk geweld kan dat de veiligheid van het slachtoffer direct in gevaar brengen. De volgorde is daarom:
- Documenteer wat je ziet. Maak foto's met een ander toestel van vreemde apps, instellingen en accountactiviteit. Dit is bewijs voor politie of advocaat.
- Zoek hulp voordat je iets verwijdert. Voor slachtoffers van huiselijk geweld: Veilig Thuis (0800-2000). Voor zakelijke situaties: schakel je IT- of securityteam in.
- Gebruik een schoon toestel voor gevoelige communicatie. Een goedkope tweede telefoon met een nieuwe simkaart en een nieuw e-mailaccount is vaak veiliger dan pogingen tot desinfectie.
- Verwijder pas als je klaar bent. Op iPhone is een fabrieksreset gevolgd door opnieuw instellen (niet uit back-up) meestal effectief. Op Android is dat ook de meest betrouwbare route, gecombineerd met het wijzigen van je Google-wachtwoord vanaf een ander apparaat.
Wijzig na de reset alle wachtwoorden vanaf een schoon toestel, activeer tweestapsverificatie op je belangrijkste accounts, en controleer welke apparaten met je iCloud of Google-account verbonden zijn.
Hardware sluit uit wat software niet kan zien
Het frustrerende aan stalkerware is dat de meest kwetsbare onderdelen van een moderne telefoon, de camera's en microfoon, softwarematig heel moeilijk waterdicht af te schermen zijn. App-machtigingen kunnen worden misleid, besturingssystemen bevatten kwetsbaarheden, en toegankelijkheidsdiensten geven verregaande rechten. Fysieke afscherming lost dat probleem op een manier die software niet kan evenaren: een stukje kunststof over een lens kan niet gehackt worden.
Voor de iPhone biedt Spy-Fy privacycases met ingebouwde schuifjes voor zowel de front- als de achtercamera, ontworpen voor de iPhone 12 tot en met de iPhone 17-serie. Face ID blijft werken als je het voorste schuifje opent, en de zaklamp blijft bruikbaar met de achterklep dicht. Wie op één specifiek toestel zit, kan direct naar de iPhone 16 Privacy Case of naar een van de modellen uit de iPhone 17 Pro Max variant. Voor bedrijven die hun medewerkers een concreet privacyproduct willen geven, is ook een zakelijke variant met eigen logo beschikbaar.
Bescherming die verder gaat dan je telefoon
Digitale intimidatie beperkt zich zelden tot één apparaat. Wie zich zorgen maakt over stalkerware, doet er verstandig aan het bredere digitale voetspoor onder de loep te nemen: gedeelde streamingaccounts, een auto met een ingelogde smartphone-app, een laptop waarop hetzelfde e-mailaccount is gekoppeld. Onze uitleg over je digitale privacy beschermen geeft een overzichtelijk startpunt.
Ook fysieke situaties verdienen aandacht. Reisdocumenten die uit een tas worden gescand, of contactloos betalen dat wordt onderschept, staan los van stalkerware maar horen bij hetzelfde bedreigingsmodel. Voor wie regelmatig reist of grensovergangen passeert, is een Privacy Passport Cover een tastbare aanvulling: RFID-blokkerend en bruikbaar als praktisch relatiegeschenk voor zakelijke reizigers.
Wat te doen als je zeker weet dat het foute boel is
Ontdek je bewijs van stalkerware, dan zijn er drie sporen die je parallel kunt volgen. Ten eerste juridisch: doe aangifte bij de politie, eventueel met ondersteuning van Slachtofferhulp Nederland. Neem screenshots, notities en het verdachte toestel mee. Ten tweede praktisch: zorg voor een schoon apparaat, wijzig al je wachtwoorden en beveilig je e-mail en cloudopslag met tweestapsverificatie via een authenticator-app in plaats van sms. Ten derde sociaal: als de dader iemand uit je directe omgeving is, betrek dan een vertrouwenspersoon of hulporganisatie voordat je confronteert.
Bedrijven die stalkerware bij een medewerker aantreffen, moeten de zaak behandelen als een datalek in de zin van de AVG als er zakelijke gegevens op het toestel stonden. Meld het bij de Autoriteit Persoonsgegevens binnen 72 uur en documenteer welke categorieën data betrokken zijn.
De rode draad: heimelijkheid is het probleem
Wat stalkerware onderscheidt van andere digitale dreigingen is niet de techniek, maar de bewuste heimelijkheid en de vaak persoonlijke relatie tussen dader en slachtoffer. Herkenning begint met een eerlijke inventarisatie van wie fysieke toegang tot je toestel heeft gehad, welke accounts je deelt, en welke informatie de ander "toevallig" weet. Vanaf dat punt is de aanpak een combinatie van juridisch, digitaal en fysiek: aangifte, een schoon toestel met sterke wachtwoorden, en hardware die simpelweg niet te hacken is.
Wil je preventief werken en camera- en microfoontoegang op je iPhone fysiek afschermen, kijk dan naar de volledige collectie privacycases van Spy-Fy. Voor kantoren, HR-afdelingen en marketeers die medewerkers of relaties een privacyproduct willen geven dat écht iets doet, bieden we bedrukte varianten met eigen logo aan via de zakelijke pagina.
