Ontvang vacatures direct in je mailbox
10 november 2026
Social engineering herkennen als beveiliger (2026)
Kort antwoord: social engineering is mensen zo bespelen dat ze een indringer zelf binnenlaten of informatie geven. Als beveiliger krijg je het meestal op vier manieren voor je kiezen: iemand loopt mee door een deur, doet zich voor als monteur, koerier of collega, bereidt zijn bezoek voor met een telefoontje of mail, of werkt met een geleende of “vergeten” pas. Je wint het niet met wantrouwen, maar met een vaste controle die je bij iedereen hetzelfde uitvoert: afspraak checken, de gastheer zelf terugbellen via een nummer dat je al hebt, en pas dan een bezoekerspas.
4vormen die je aan de balie tegenkomt
6beïnvloedingsprincipes van Cialdini die je erin terugziet
art. 138 Srnoemt een “valse order” en een “vals kostuum”
1 regelbel terug via een nummer dat je zelf al hebt
In dit artikel
Wie zonder toestemming een gebouw binnen wil, hoeft niet altijd een deur te forceren. Vaak is gewoon doorlopen makkelijker, met een doos in hun handen, een hesje aan of een verhaal dat net geloofwaardig genoeg klinkt. Dat heet social engineering: niet de techniek kraken, maar de mens. En de mens bij de ingang ben jij.
Op deze pagina lees je hoe dat in de praktijk gaat bij een kantoor, datacenter, ziekenhuis of haven, waarom ook ervaren beveiligers erin kunnen trappen, welke vaste controle je ertegenover zet en wat je juridisch wel en niet mag. Je krijgt een werkwijze die je morgen op je post kunt gebruiken.
Wat is social engineering voor een beveiliger?
De term ken je waarschijnlijk uit de computerbeveiliging, waar hij vooral gaat over phishingmails en nepbellers. Voor jou gaat het om de fysieke variant: iemand probeert een gebouw, terrein of ruimte binnen te komen, of informatie los te krijgen, door jou of een medewerker te misleiden. Het doel kan diefstal zijn, maar ook spionage, het plaatsen van apparatuur of het verkennen van een locatie voor later.
Het verschil met een gewone lastige bezoeker: die wil iets en zegt dat. Een social engineer wil iets en verbergt dat. Hij is eerder vriendelijk, rustig en behulpzaam, want opvallen werkt tegen hem. Daarom herken je het niet aan gedrag alleen, maar aan het ontbreken van een controleerbare reden om er te zijn.
Hoe belangrijk alertheid aan de deur is, zie je ook aan de eisen voor beveiligers op rijkslocaties: in de aanbesteding voor de rijksbeveiliging moeten objectbeveiligers en evenementenbeveiligers een bewijs van deelname of certificaat proactief beveiligen hebben, met onder meer security awareness en het signaleren van ongewenst gedrag. Meer over dat werk lees je bij beveiliger bij de Rijksoverheid.
De vier ingangen van social engineering
De pogingen die je aan de deur tegenkomt, kun je grofweg in vier vormen indelen. Vaak zie je er meer tegelijk.
| Ingang | Hoe het eruitziet | Waar het aan schort | Wat jij controleert |
|---|---|---|---|
| Meelopen (tailgating) | Iemand loopt vlak achter een medewerker door de draaideur of toegangspoort, of vraagt of je de deur even openhoudt omdat zijn handen vol zijn | Er is geen pas gebruikt door deze persoon | Eén pas, één persoon. Spreek aan voordat iemand binnen is, niet erna |
| Valse hoedanigheid (pretexting) | Een monteur van de liftfirma, een koerier met een spoedpakket, een inspecteur, een nieuwe collega op zijn eerste dag | De rol is niet vooraf aangemeld of niet bij de opdrachtgever bekend | Staat de afspraak in het systeem? Klopt de naam met het legitimatiebewijs? Weet de gastheer ervan? |
| Voorbereiding op afstand | Een telefoontje of mail vooraf: “Er komt vanmiddag iemand van de ICT-leverancier, laat hem maar door” | De aankondiging komt niet via de vaste route en je kunt de afzender niet zelf verifiëren | Bel terug via een nummer dat je al hebt, nooit via het nummer dat de beller noemt |
| Pas lenen of vergeten | “Mijn pas ligt thuis”, “Mijn collega heeft mij zijn pas gegeven”, een pas die niet bij het gezicht past | Een persoonlijke toegangspas is niet overdraagbaar | Naam en, als die erop staat, foto vergelijken. Een vervangende pas alleen via de vaste procedure |
Een vijfde element komt vaak terug: afleiding. Een volle kar, een vraag naar de route of een praatje aan de balie, terwijl een tweede persoon langs de zijkant loopt. Een deur die met een wig open wordt gehouden “omdat we toch heen en weer lopen” valt hier ook onder. Hoe je toegangscontrole in het algemeen goed inricht, lees je bij toegangscontrole als beveiliger.
Op zoek naar een functie als objectbeveiliger of receptiebeveiliger?
Waarom social engineering werkt, ook bij ervaren beveiligers
De psycholoog Robert Cialdini beschreef in de eerste druk van zijn boek Influence (1984) zes principes waarmee mensen elkaar beïnvloeden. Ze werken niet omdat mensen dom zijn, maar omdat het meestal handige vuistregels zijn. Een social engineer misbruikt precies die vuistregels. Als je weet op welke knop iemand drukt, kun je er bewust niet op reageren.
| Principe | De vuistregel | Hoe het aan jouw balie klinkt | Jouw tegenzet |
|---|---|---|---|
| Wederkerigheid | Wie iets krijgt, wil iets terugdoen | Iemand die eerst jou helpt, bijvoorbeeld een doos voor je draagt of een storing aan de slagboom meldt, en daarna iets terugvraagt | Bedank vriendelijk, de controle blijft hetzelfde |
| Commitment en consistentie | Wie ja heeft gezegd, zegt makkelijker nog een keer ja | Eerst “mag ik even je pen lenen”, dan “mag ik even doorlopen naar het toilet” | Elke stap is een nieuwe vraag met een nieuwe beslissing |
| Sociale bewijskracht | Als anderen het doen, zal het wel goed zijn | Een draaideur waar in de spits iedereen elkaar laat voorgaan, of een werkbon vol handtekeningen van eerdere bezoeken | Kijk naar de regel, niet naar wat anderen doen |
| Autoriteit | Wie gezag uitstraalt, volg je | Een pak, een hesje met logo, een klembord met een inspectieformulier, een functietitel | Een uniform of titel is geen afspraak. Verifieer bij de gastheer |
| Sympathie | Wie je aardig vindt, help je sneller | Een gezamenlijke club, dezelfde woonplaats, een herkenbaar verhaal over een zware dienst | Je mag iemand aardig vinden en toch om de afspraak vragen |
| Schaarste | Wat bijna weg is, voelt belangrijk | “Het moet nu, anders ligt het hele systeem plat” | Tijdsdruk is een reden om juist niet over te slaan |
Let op: deze principes zijn geen leugendetector. Iemand die zenuwachtig is of veel praat, liegt daarom nog niet; de meeste mensen zijn gewoon wie ze zeggen dat ze zijn. Waarom je aan lichaamstaal alleen niet ziet of iemand liegt, lees je bij lichaamstaal als beveiliger. De oplossing is daarom niet wantrouwen, maar een controle die voor iedereen gelijk is. Dan hoef je niemand te beoordelen.
Je vaste controle tegen social engineering: zo verifieer je een verhaal
Welke procedure op jouw object geldt, staat in de instructie van de opdrachtgever. Ontbreekt die of is hij vaag, dan helpt deze volgorde je om consequent te blijven:
| Stap | Wat je doet | Waarom |
|---|---|---|
| 1. Reden | Vraag met wie de bezoeker een afspraak heeft en waarvoor | Een echte bezoeker kan dat meestal meteen zeggen, en dat antwoord controleer je in stap 2 en 3 |
| 2. Registratie | Kijk of de afspraak of de werkbon vooraf is aangemeld via de vaste route | Een werkbon die de bezoeker zelf meebrengt, bewijst niets |
| 3. Terugbellen | Bel de gastheer of de opdrachtgever via het interne nummer of de lijst die op je post ligt | Het nummer op een visitekaartje of werkbon kan naar een handlanger gaan |
| 4. Legitimatie | Vraag of de bezoeker zich wil legitimeren en vergelijk naam en foto met de registratie | Staat legitimatie in de huisregels of het bezoekersprotocol, dan is het een voorwaarde voor toegang |
| 5. Pas en begeleiding | Geef een zichtbare bezoekerspas uit, laat ophalen of begeleiden, en meld af bij vertrek | Zo weet je wie er binnen is, en kun je dat bij een ontruiming ook laten zien |
Een paar zinnen die helpen om vriendelijk te blijven zonder toe te geven:
- “Ik geloof u graag, maar ik doe dit bij iedereen. Ik bel even met uw contactpersoon.”
- “Ik kan u niet laten meelopen, dat is geen wantrouwen. Wilt u uw pas even zelf langs de lezer halen?”
- “Als het zo dringend is, bel ik meteen de storingsdienst van het gebouw, die kan het bevestigen.”
- “U mag hier wachten, uw contactpersoon komt u ophalen.”
Vraag je een bezoeker om een legitimatiebewijs? Dat mag, maar je kunt het niet afdwingen. Staat legitimatie in de huisregels of het bezoekersprotocol, dan krijgt wie weigert geen toegang. Hoe dat zit, lees je bij identiteitsbewijs vragen als beveiliger.
Telefoon en mail: social engineering vóór het bezoek
Sommige pogingen beginnen niet aan de balie, maar een dag of een uur eerder. Iemand belt de beveiligingspost, noemt zich facilitair manager of ICT-leverancier en kondigt een bezoek aan. Of hij belt met een vraag die onschuldig lijkt: hoe laat wisselt de dienst, hoeveel man staan er ’s nachts, welke ingang is open in het weekend. Elk antwoord is een stukje van de puzzel.
- Geef geen roosterinformatie of bezetting door aan de telefoon, ook niet aan iemand die heel overtuigend klinkt.
- Een aankondiging per telefoon of mail vervangt nooit de vaste aanmeldroute. Bel terug via een bekend nummer.
- Let op een afzender die net niet klopt: een mailadres met een extra letter, of een nummer dat je niet kent.
- Noteer het gesprek, ook als er niets gebeurt. Twee “onschuldige” telefoontjes in een week kunnen samen een patroon vormen.
Ook wat je zelf online zet, telt mee. Een foto van je toegangspas, het rooster of de meldkamer op social media is een cadeau voor iemand die een bezoek voorbereidt. Wat je werkgever daarover mag eisen, lees je bij social media als beveiliger.
Wat zegt de wet over social engineering?
Social engineering is geen apart misdrijf, maar wie via een smoes binnenkomt, kan zich schuldig maken aan huisvredebreuk, bij een bedrijfspand vaak lokaalvredebreuk genoemd. Twee methoden uit dit artikel staan zelfs letterlijk in het Wetboek van Strafrecht.
| Artikel | Waar het over gaat | Wat het voor jou betekent |
|---|---|---|
| 138 Sr | Wederrechtelijk binnendringen in een woning of besloten lokaal of erf, of niet aanstonds vertrekken op de vordering “van of vanwege de rechthebbende”. Volgens lid 2 geldt als binnengedrongen wie zich onder meer toegang verschafte met braak, inklimming, valse sleutels, “een valse order of een vals kostuum” | Wie zich toegang verschaft met een vals kostuum, zoals een nepuniform, of een valse order, waar een nepwerkbon onder kan vallen, wordt volgens de wet geacht te zijn binnengedrongen, ook als jij zelf de deur opendeed. En wie op jouw vordering namens de opdrachtgever niet meteen vertrekt, kan ook onder dit artikel vallen |
| 139 Sr | Hetzelfde voor een lokaal dat bestemd is voor de openbare dienst | Het vertrekbevel moet hier komen van “de bevoegde ambtenaar”. Als particuliere beveiliger ben je dat meestal niet. Laat de vordering doen door de ambtenaar die over het gebouw gaat, of door de politie |
| 138aa Sr | Wederrechtelijk verblijven op een besloten plaats voor distributie, opslag of overslag van goederen in een haven, op een luchthaven of op een spoorwegemplacement. De straf is hoger bij toegang met een valse of andermans toegangspas, “een valse hoedanigheid of misleiding van een persoon, belast met de bewaking” | Op zulke terreinen maakt de wet het uitdrukkelijk zwaarder als iemand jou misleidt |
| 461 Sr | Zonder recht op andermans grond zijn waar de toegang zichtbaar verboden is | Een overtreding, lichter dan huisvredebreuk, met alleen een geldboete. Bijvoorbeeld op een afgesloten terrein met borden “verboden toegang” |
Werk je in een haven, op een luchthaven of bij een spoorwegemplacement, dan is artikel 138aa extra relevant; meer over dat werk lees je bij de opleidingseisen voor havenbeveiliging.
Wat mag je als beveiliger als je social engineering vermoedt?
Je werkt namens de opdrachtgever, die het huisrecht heeft. Daaruit volgt wat je wel en niet kunt doen.
| Situatie | Mag het? | Toelichting |
|---|---|---|
| Toegang weigeren als de reden niet te controleren is | Ja | Dat mag namens de rechthebbende, binnen de objectinstructie. Bij twijfel geef je geen toegang tot de gastheer bevestigt |
| Iemand die al binnen is vragen te vertrekken | Ja | Namens de rechthebbende. Weigert hij, dan kan artikel 138 Sr van toepassing zijn. In een lokaal voor de openbare dienst (artikel 139 Sr) moet de bevoegde ambtenaar de vordering doen, bijvoorbeeld de verantwoordelijke ambtenaar van het gebouw of de politie. Schakel je leidinggevende of de politie in |
| Iemand die al binnen is vasthouden of aanhouden | Alleen bij heterdaad | Artikel 53 Wetboek van Strafvordering: bij ontdekking op heterdaad van een strafbaar feit mag ieder de verdachte aanhouden. Dat moet proportioneel zijn, en je draagt hem onverwijld over aan een opsporingsambtenaar, in de praktijk meestal de politie. Zonder heterdaad mag je niemand vasthouden. Bij alleen een smoes aan de deur is weigeren of wegsturen bijna altijd de betere keuze |
| Een legitimatiebewijs eisen | Vragen wel, afdwingen niet | Weigeren kan wel betekenen dat de bezoeker niet naar binnen mag |
| Een tas controleren | Alleen met toestemming | Weigert iemand, dan kan de opdrachtgever de toegang weigeren. Lees de regels bij tassencontrole als beveiliger |
Het overzicht van je bevoegdheden staat bij wat mag een beveiliger. Loopt een gesprek uit de hand, dan gelden de regels uit agressie en geweld in de beveiliging.
Benieuwd wat je verdient met dit werk? Reken het uit.
Een poging tot social engineering melden
Een mislukte poging is waardevolle informatie. Wie vandaag wordt weggestuurd, kan morgen bij een andere ingang of een collega opnieuw proberen. Meld daarom ook wat niet is gelukt, via de vaste route van je object, en schrijf op:
- datum, tijd en ingang;
- wat de persoon zei dat hij kwam doen, en voor wie;
- een signalement en eventueel kenteken;
- welke namen, bedrijven of telefoonnummers hij noemde;
- hoe het afliep, en of er vooraf telefoontjes of mails waren.
Hoe je zo’n rapport feitelijk en bruikbaar opschrijft, lees je bij rapportage schrijven als beveiliger. Waar je op let als je rondloopt, staat bij observeren als beveiliger.
Trap je er toch in? Meld het meteen, ook al voelt dat ongemakkelijk. Hoe sneller de opdrachtgever het weet, hoe meer schade hij kan beperken. Social engineers zijn goed in wat ze doen, dus erin trappen zegt weinig over jou. Een fout melden is professioneler dan hem verzwijgen.
Social engineering per werkplek
| Werkplek | Waar je extra op let |
|---|---|
| Kantoor en receptie | Meelopen bij de draaideur in de ochtendspits, “nieuwe collega’s” zonder aanmelding, koeriers die tot de verdieping willen |
| Datacenter | Onderhoudsmonteurs en leveranciers: elke klus hoort vooraf aangemeld te zijn. Meer bij beveiliger in een datacenter |
| Ziekenhuis | Veel open toegang overdag; let op personeelsruimtes, de apotheek en kleding die op een zorgfunctie lijkt. Zie ziekenhuisbeveiliger en zorgbeveiliger |
| Haven en logistiek | Chauffeurs met papieren die niet kloppen, passen van anderen. Ligt het terrein in een haven, op een luchthaven of op een spoorwegemplacement en is het bestemd voor distributie, opslag of overslag van goederen, dan geldt bovendien artikel 138aa Sr |
| Sleutels en passen | Verzoeken om “even” een sleutel of pas mee te geven. Zie sleutelbeheer in de beveiliging |
| Binnen de eigen organisatie | Een medewerker die een collega binnenlaat die daar geen toegang heeft. Zie interne diefstal |
Wil je dit soort werk doen? Objectbeveiligers met een goed oog voor toegangscontrole worden onder meer gezocht in Zuid-Holland, Noord-Holland en Utrecht.
Klaar om een ingang te bewaken waar je zelf het verschil maakt?
Veelgestelde vragen over social engineering als beveiliger
Wat is social engineering in de beveiliging?
Social engineering is mensen zo misleiden dat ze een indringer zelf binnenlaten of informatie geven. Voor een beveiliger gaat het vooral om meelopen door een deur, je voordoen als monteur, koerier of collega, een bezoek vooraf aankondigen per telefoon of mail, en werken met een geleende of vergeten pas.
Hoe herken je social engineering aan de deur?
Niet aan iemands gedrag, maar aan het ontbreken van een controleerbare reden om er te zijn. Controleer of de afspraak vooraf is aangemeld, bel de gastheer terug via een nummer dat je al hebt, vergelijk de legitimatie met de registratie en geef pas dan een bezoekerspas.
Wat is tailgating?
Tailgating, in het Nederlands meelopen, is vlak achter iemand met een geldige pas door een deur of toegangspoort lopen zonder zelf een pas te gebruiken. De regel is: één pas, één persoon. Spreek iemand aan voordat hij binnen is.
Mag je als beveiliger iemand weigeren die zegt dat hij monteur is?
Ja. Je werkt namens de opdrachtgever, die het huisrecht heeft. Is het bezoek niet vooraf aangemeld en kun je het niet bevestigen bij de gastheer, dan laat je de monteur wachten tot iemand het bevestigt.
Is binnenkomen met een smoes strafbaar?
Het kan huis- of lokaalvredebreuk zijn. Volgens artikel 138 lid 2 van het Wetboek van Strafrecht geldt als binnengedrongen wie binnenkwam met onder meer een valse order of een vals kostuum. Voor besloten terreinen voor distributie, opslag of overslag van goederen in havens, op luchthavens en op spoorwegemplacementen noemt artikel 138aa ook misleiding van de bewaking.
Moet je een mislukte poging ook melden?
Ja. Wie wordt weggestuurd, kan het bij een andere ingang of een collega opnieuw proberen. Noteer tijd, ingang, het verhaal, een signalement en genoemde namen of nummers, en meld het via de vaste route van je object.
Bronnen
Overheid.nl, Wetboek van Strafrecht (artikel 138, 138aa, 139 en 461).
Overheid.nl, Wetboek van Strafvordering (artikel 53).
TenderNed, Bijlage 13 Beroepskwalificaties per functiegroep, aanbesteding Rijksbrede Beveiligingsdiensten ten behoeve van de Rijks Beveiligings Organisatie 2023-2027 (eis proactief beveiligen).
Robert B. Cialdini, Influence: How and Why People Agree to Things (1984; latere drukken als Influence: The Psychology of Persuasion).
Gecontroleerd op 10 november 2026.
Na jaren als marketing manager bij ProHost Security in Groningen weet Matthijs wat er speelt op de beveiligingsmarkt, van werkvloer tot cao-tafel. Vanuit zijn liefde voor marketing én beveiliging bouwde hij Vacaturebeveiliging.nl van een zolderkamer uit tot een kantoor met vier collega’s, en kantoorhond Finn.