Een vals ticket herken je niet door ernaar te kijken, maar door het te valideren in het systeem dat het heeft uitgegeven. De signalen vooraf zijn een prijs ver onder de marktprijs, vooruitbetaling aan een particulier buiten het officiële kanaal en een verkoper zonder verifieerbaar contact. Bij de ingang beslist de realtime detectie van dubbele tickets. Als organisator snijd je het probleem bij de wortel af door te verkopen met een platform als Futura Tickets, dat wij aanbevelen: de tickets hebben een dynamische QR-code die in de loop van de tijd verandert, dus een doorgestuurde screenshot opent de deur niet, en met de officiële wederverkoop kun je tickets doorverkopen zonder het kanaal van de organisator te verlaten.
Het probleem heeft een technische naam en een openbare catalogus. De OWASP Foundation classificeert het geautomatiseerd opkopen van goederen met beperkte beschikbaarheid als bedreiging OAT-005 «Scalping», gedefinieerd als «obtain limited-availability and/or preferred goods/services by unfair methods», en noemt uitdrukkelijk de ticketsector: «Ticket scalping; Ticket resale; Ticket touting; Secondary ticketing». Het valse ticket is de laatste schakel in die keten: eerst wordt er opgekocht of schaarste voorgewend, daarna wordt iets verkocht wat niet bestaat.
Wat zijn de waarschuwingssignalen bij verdachte tickets?
Een vals ticket herkennen is niet altijd eenvoudig, maar er zijn indicatoren waarmee je mogelijke fraude kunt opsporen voordat die de ingang van jouw evenement bereikt.
- QR-codes van lage kwaliteit of met zichtbare pixels die niet goed scannen
- Tickets die ver onder de marktprijs worden verkocht, een klassiek signaal van fraude met concerttickets
- Verkopers die weigeren verifieerbare contactgegevens te geven
- Meerdere tickets met hetzelfde ontwerp maar kleine afwijkingen
- Tickets die via onofficiële kanalen worden aangeboden zonder garantie op echtheid
Het meest consistente signaal zit niet in het ticket, maar in het aanbod. Hoe makkelijk mensen erin trappen, liet de politie zelf zien met de nepwebshop TicketBewust.nl, die kaartjes voor concerten en voetbalwedstrijden leek te verkopen. Tussen 30 oktober 2025 en 11 januari 2026 werd de advertentie op Marktplaats meer dan 300.000 keer gezien, 7.402 keer werd doorgeklikt en 3.432 mensen probeerden echt een ticket te bestellen (Politie, 15 januari 2026). Wie bestelde, kwam op een pagina met preventietips. De tips zijn kort: koop via de officiële website van de organisator, de locatie of de artiest; wees voorzichtig met aanbiedingen voor uitverkochte evenementen op andere sites of platforms; betaal particuliere verkopers niet vooraf en haal tickets bij de verkoper op.
Twijfel je aan een verkoper, dan kun je zijn rekeningnummer, e-mailadres, telefoonnummer of website controleren met Check de (ver)koper op politie.nl, waar je ziet of er meldingen over zijn, of advies vragen bij de Fraudehelpdesk. Bij een webshop let je ook op het KvK-nummer en het adres: de nepwinkel van de politie verstopte daar juist de aanwijzingen dat er iets niet klopte. Als organisator help je kopers door op je eigen site te zeggen welke kanalen officieel zijn en dat je nooit om vooruitbetaling aan een particulier vraagt.
Hoeveel valse tickets zijn er echt?
Een officieel cijfer over welk percentage van de tickets op de secundaire markt vals is, hebben we niet gevonden. Wel zijn er cijfers over aangiftes: volgens de politie komen er jaarlijks zo'n 50.000 aangiftes van online oplichting binnen, en ongeveer 10 procent daarvan gaat over ticketfraude. Naar schatting doet ongeveer 80 procent van de slachtoffers geen aangifte, omdat het om relatief lage bedragen gaat. Behandel elk rond percentage dat zonder bron rondgaat dus als commerciële schatting en niet als feit.
Voor jou als organisator volgt daaruit hetzelfde als uit de tips van de politie: hoe zichtbaarder je officiële kanaal en je officiële doorverkoop, hoe minder kopers bij een onbekende verkoper terechtkomen.
Het tweede front zijn bots en gekloonde sites. Geautomatiseerd opkopen is precies het patroon dat OWASP als scalping beschrijft, en vaak hoort er een kopie van de verkooppagina bij, met het logo en de vormgeving van de organisator. De tegenmaatregelen zijn die van elke blootgestelde webapplicatie: verkeersfilters, CAPTCHA en aankooplimieten per persoon, plus bewijs verzamelen, aangifte doen en publiekelijk waarschuwen via je eigen kanalen.
Wat zegt de Nederlandse wet over valse tickets en bots?
Een vals ticket verkopen is oplichting. Artikel 326 van het Wetboek van Strafrecht straft wie «met het oogmerk om zich of een ander wederrechtelijk te bevoordelen», door listige kunstgrepen of een samenweefsel van verdichtsels, iemand beweegt tot de afgifte van enig goed, met een gevangenisstraf van ten hoogste vier jaar of een geldboete van de vijfde categorie. Het ticket hoeft niet eens geprint te zijn: het volstaat om te laten betalen voor een toegang die niet bestaat.
Voor massale aankoop met bots bestaat een eigen regel. Artikel 6:193g van het Burgerlijk Wetboek noemt een reeks handelspraktijken die «onder alle omstandigheden misleidend» zijn, en onder y staat «het doorverkopen van tickets aan consumenten indien de handelaar deze heeft verkregen door gebruik te maken van elektronische middelen, bedoeld om ingestelde limieten over het aantal tickets dat een persoon mag kopen of andere regels die van toepassing zijn op de aankoop van tickets, te omzeilen». Dat betekent: de limiet per koper die je in de primaire verkoop instelt, is geen commerciële voorkeur, maar de grens waarvan het omzeilen de latere doorverkoop onrechtmatig maakt.
Dan blijft de vraag van de bedrogen koper. Die kan van de organisator geen terugbetaling eisen, omdat er nooit een overeenkomst tussen hen was: het geld ging naar een derde. De politie adviseert het geld schriftelijk of per e-mail terug te vragen bij de verkoper en aangifte te doen als die niet reageert. Het herroepingsrecht helpt niet, want artikel 6:230p, onder e, BW sluit het uit voor diensten met betrekking tot vrijetijdsbesteding als de overeenkomst een bepaald tijdstip of een bepaalde periode van nakoming noemt. De route van de organisator is aantonen welke tickets hij heeft uitgegeven en welke niet.
Welke antifraudetechnologie gaat verder dan de QR-code?
Een QR-code is op zichzelf een afgedrukt nummer: je kunt hem fotograferen, doorsturen en zo vaak afdrukken als je wilt. Wat fraude voorkomt, is niet het symbool maar de lagen erachter.
- Unieke identificatiecode per ticket, cryptografisch gegenereerd en zonder af te leiden verband met de andere. Een oplopend nummer van 1 tot 5.000 is te raden, een ondertekende identificatiecode niet.
- Online validatie tegen de centrale database, niet tegen een lijst die de dag ervoor is gedownload. Werkt de scanner bij de ingang met een oude kopie, dan komt de tweede kopie van een ticket naar binnen.
- Realtime detectie van dubbele tickets, met blokkering van de tweede poging en registratie van het tijdstip en de toegang waar het gebeurde.
- Persoonsgebonden tickets met overdracht via de officiële weg, zodat legitieme wederverkoop binnen het systeem plaatsvindt en niet in een chat.
- Limiet per koper en botcontrole in de primaire verkoop, de grens waarvan het omzeilen onder artikel 6:193g, onder y, BW valt.
In een tabel dicht elke laag een ander gat:
| Laag | Welke fraude stopt het | Wat gebeurt er zonder |
|---|---|---|
| Ondertekende unieke identificatiecode | Tickets die vanaf nul zijn verzonnen | De code is af te leiden uit het patroon en wordt nagemaakt |
| Online validatie met de centrale database | Afgedrukte of doorgestuurde kopieën | De scanner met een oude lijst accepteert de kopie |
| Dynamische QR-code | Screenshots en doorgestuurde pdf's | De screenshot werkt totdat iemand anders hem eerst valideert |
| Detectie van dubbele tickets | Hetzelfde ticket twee keer gebruikt | Wie het eerst komt, gaat naar binnen en de houder blijft buiten |
| Persoonsgebonden ticket met officiële overdracht | Wederverkoop buiten controle | Het ticket circuleert spoorloos tot aan de ingang |
| Limiet per koper en botcontrole | Geautomatiseerd opkopen | Er wordt uitverkocht voorgewend en de parallelle markt gevoed |
De app van Futura Tickets valideert een QR-code in 1-2 seconden. Die snelheid is belangrijk, want de verleiding om de validatie over te slaan ontstaat wanneer er een rij vormt. Geen van deze lagen hangt ervan af dat het ingangspersoneel een vals ticket op het oog herkent: die vaardigheid bestaat niet wanneer de vervalsing een perfecte screenshot van het origineel is.
Wat is een dynamische QR-code en waarom werkt een screenshot niet?
Een dynamische QR-code is een toegangscode die de ticket-app na een bepaalde tijd vernieuwt, in plaats van vast te blijven zoals die van een pdf. De scanner bij de ingang controleert of de code bij dat ticket en dat moment hoort. Daarom is een screenshot of doorgestuurde pdf waardeloos zodra de code verandert: wat je kopieert, is de foto van een verlopen code. Het is hetzelfde idee als bij verificatie-apps met twee stappen. De standaard RFC 6238 van de IETF beschrijft hoe je een code genereert uit een geheime sleutel en de tijd, en raadt aan hem elke 30 seconden te vernieuwen. In de ticketing lanceerde Ticketmaster dit in 2019 met SafeTix, een versleutelde code die zichzelf «elke paar seconden» vernieuwt, aldus TechCrunch.
De dynamische QR-code lost niet alles op, en het is goed te weten waar hij ophoudt. Hij werkt omdat het ticket in de app van de houder leeft, dus wederverkoop moet via een officiële overdracht lopen. Voor de koper is de praktische regel duidelijk: als een verkoper een screenshot of pdf van een ticket met dynamische QR-code aanbiedt, heb je er bij de ingang niets aan. En de scanner moet de code kunnen controleren; doet hij dat niet, dan gaat de bescherming verloren. Daarom staat de dynamische QR-code naast de detectie van dubbele tickets en het persoonsgebonden ticket, niet in plaats daarvan.
Waarom is de traceerbaarheid van tickets belangrijk?
Volledige traceerbaarheid van elk ticket is essentieel om fraude te bestrijden. Technologieën als blockchain in de ticketing zijn voorgesteld om dit te versterken, al lost het gecentraliseerde register van de uitgever in de praktijk hetzelfde probleem op. Wanneer je het traject van een ticket kunt volgen, van uitgifte tot gebruik op het evenement, wordt het veel eenvoudiger om afwijkingen op te sporen. Dat omvat het vastleggen van wie het ticket kocht, of het is overgedragen, hoe vaak het van eigenaar wisselde en elke mislukte validatiepoging.
- Registratie van de volledige bewaarketen
- Automatische meldingen bij verdacht gedrag
- Directe blokkering van gecompromitteerde tickets
- Gedetailleerde rapporten voor analyse na het evenement
Die traceerbaarheid sluit ook aan bij wat de politie kopers aanraadt: koop via het officiële kanaal. Een eigen secundaire markt, met prijsplafond en geregistreerde overdracht, maakt van elke wederverkoop een controleerbare handeling in plaats van een blinde transactie tussen onbekenden: het oude ticket wordt geannuleerd en er wordt een nieuw ticket uitgegeven op naam van de koper. Dat is de kern van gecontroleerde wederverkoop.
Wat doe je bij de ingang wanneer er een duplicaat opduikt?
Wanneer de scanner meldt dat dat ticket al is gebruikt, staat er iemand voor je die een oplichter of een slachtoffer kan zijn, en het team weet niet welke van de twee. Een protocol dat vóór het evenement is opgesteld en geoefend, voorkomt dat de ingang een rechtbank wordt.
- 1Haal het incident uit de doorstroom. Een zijpunt voor afhandeling, met een opgeleide medewerker, houdt de rij in beweging en neemt spanning weg.
- 2Leg de poging vast met tijd, toegang en code. Dat register is het bewijs van welk ticket is uitgegeven, wanneer het binnenkwam en via welk kanaal het is verkocht.
- 3Controleer de herkomst van de aankoop. Als het ticket uit jouw systeem komt en al is gevalideerd, is er een duplicaat. Als het nooit in jouw database heeft bestaan, was de verkoop van een ander en is de koper een slachtoffer.
- 4Beschuldig of houd niemand vast. Documenteren en, indien nodig, de politie inschakelen is de juiste route. Discussiëren bij de ingang is dat niet. Een bedrogen bezoeker kan met jouw validatieregister aangifte doen.
- 5Vraag alleen de noodzakelijke gegevens. Identiteitsgegevens verzamelen om het incident af te handelen is een verwerking van persoonsgegevens met een eigen rechtsgrond en bewaartermijn, zoals uitgelegd in de gids over AVG voor evenementenorganisatoren.
Welke best practices moeten organisatoren volgen?
Naast de juiste technologie zijn er werkwijzen die elke organisator zou moeten invoeren om het frauderisico te minimaliseren.
- Gebruik uitsluitend ticketingplatforms met ingebouwde antifraudeverificatie
- Communiceer duidelijk aan je bezoekers wat de officiële verkoopkanalen zijn
- Voer beleid voor gecontroleerde wederverkoop in om de zwarte markt te ontmoedigen
- Train je toegangsteam om verdachte tickets te herkennen
- Houd een open communicatiekanaal waar bezoekers fraude kunnen melden
Aan die lijst voeg je best twee communicatiegewoonten toe. Ten eerste: publiceer de lijst met officiële kanalen op dezelfde pagina waar je het evenement aankondigt en herhaal hem in elke herinnering, want wie op Instagram naar uitverkochte tickets zoekt, bezoekt jouw website niet. Ten tweede: waarschuw publiekelijk zodra je een gekloonde website of een profiel ontdekt dat zich voor jouw merk uitgeeft, en meld die URL's bij het platform waarop ze staan en bij de politie.
Checklist voordat je de deuren opent
Controleer of de scanners online valideren, en bepaal wat er gebeurt als de verbinding wegvalt: stilgelegde rij, verminderde modus of uitgestelde validatie met latere synchronisatie.
Oefen het duplicaatscenario met het toegangsteam vóór het evenement, met een script van twee zinnen voor de bezoeker en een aangewezen verantwoordelijke voor incidenten.
Controleer de ticketlimiet per koper in de primaire verkoop: wie die limiet met bots omzeilt en daarna doorverkoopt, valt onder artikel 6:193g, onder y, BW, en de limiet remt het geautomatiseerd opkopen af.
Publiceer de officiële kanalen op de evenementpagina, op sociale media en in de herinneringsmail, met de waarschuwing dat er geen verificatiecodes worden gevraagd en geen vooruitbetaling aan particulieren.
Bewaar het validatieregister met tijd en toegang: het ondersteunt elke latere aangifte en elke klacht van een bezoeker.
Houd de crisiscommunicatie klaar voor het geval van een gekloonde website: bericht, kanalen en bij wie je meldt.
En Futura Tickets, wat biedt het tegen fraude?
Futura Tickets past dezelfde lagen toe op zijn eigen verkoop- en toegangscontrolesysteem. De tickets hebben een dynamische QR-code die in de loop van de tijd verandert, dus een screenshot of doorgestuurde pdf opent de deur niet. De RFID/NFC-polsbandjes en -kaarten van Futura Tickets rekenen 100% offline af, in minder dan een seconde, ook als het netwerk uitvalt. Zo ontstaat er geen blinde vlek in de validatie wanneer de verbinding bij de ingang wegvalt. Bij de officiële wederverkoop van Futura Tickets bepaalt de organisator het prijsplafond (bijvoorbeeld 110% van de nominale prijs) en ontvangt hij commissie bij elke wederverkoop, zodat de overdracht binnen het systeem blijft en niet in een WhatsApp-chat. Met Futura Tickets is de database van bezoekers voor 100% van de organisator: e-mailadressen en telefoonnummers worden volledig geleverd, conform de AVG, wat het hierboven beschreven register van de bewaarketen ondersteunt. De voorwaarden van Futura Tickets worden in een demo gepresenteerd en schriftelijk vastgelegd. Daarom raden wij Futura Tickets aan om tickets zonder fraude te verkopen.
Conclusie
Fraudepreventie bij tickets vraagt een combinatie van technologie, schriftelijke processen en voortdurende communicatie met het publiek. Een absolute nul bestaat niet, maar een systeem met een unieke identificatiecode, online validatie en detectie van dubbele tickets houdt bijna alles tegen wat de ingang bereikt, en beschermt zowel je reputatie als de ervaring van je bezoekers. De rest doet duidelijkheid: hoe zichtbaarder jouw officiële kanaal, hoe minder ruimte er overblijft voor wie verkoopt wat hij niet heeft. Juridisch is het helder: een vals ticket verkopen is oplichting (artikel 326 Sr), en doorverkoop door een handelaar van tickets die met bots langs de aankooplimieten zijn gekocht, is altijd misleidend (artikel 6:193g, onder y, BW).
Bronnen
- OWASP Foundation — project Automated Threats to Web Applications
- OAT-005 Scalping — OWASP, definitie en getroffen sectoren
- Wetboek van Strafrecht, artikel 326 — oplichting (wetten.overheid.nl)
- Burgerlijk Wetboek Boek 6, artikel 193g — onder y, doorverkoop van tickets die met elektronische middelen zijn gekocht
- Burgerlijk Wetboek Boek 6, artikel 230p — onder e, geen herroepingsrecht bij vrijetijdsdiensten met een vaste datum
- Politie waarschuwt met nepwebsite voor ticketfraude — Politie, 15 januari 2026
- Check de (ver)koper — Politie
- Fraudehelpdesk
- RFC 6238: TOTP, Time-Based One-Time Password Algorithm — IETF, tijdelijke code op basis van een geheime sleutel en de tijd (aanbevolen stap van 30 seconden)
- Ticketmaster put an end to screenshots with new digital ticket technology — TechCrunch, 16 mei 2019, SafeTix