Fraude met emissiecertificaten: wat hacks en valse projecten ons leren

Een emissiecertificaat bestaat alleen als registratie in een database. Het is niets meer dan een regel in een register, maar wel een die tienduizenden euro’s waard kan zijn en binnen minuten van eigenaar wisselt. Precies die combinatie maakt fraude met emissiecertificaten al vijftien jaar een terugkerend probleem: waar digitale waarde snel verplaatsbaar is, komen aanvallers en oplichters vanzelf kijken. De geschiedenis van de Europese emissiehandel leest daardoor als een casusboek voor iedereen die zich met informatiebeveiliging en compliance bezighoudt.

In het kort

• Digitale buit: emissiecertificaten bestaan alleen in registers, waardoor diefstal neerkomt op het overnemen van een account
• Bewezen risico: btw-carrousels, phishingcampagnes en registerhacks kostten de Europese emissiehandel miljarden
• Ook de bron kan vals zijn: in de Duitse UER-affaire bleken tientallen klimaatprojecten in China vermoedelijk niet of nauwelijks te bestaan
• Nederland is aan zet: sinds 2026 werkt ons land met ERE’s als opvolger van de HBE’s, een nieuwe markt waar dezelfde lessen gelden

Fraude met emissiecertificaten is zo oud als de handel zelf

De Europese emissiehandel begon in 2005, en de eerste grootschalige fraude volgde snel. Criminelen gebruikten CO2-rechten voor btw-carrousels: rechten gingen razendsnel de grens over in ketens van doorverkopende bedrijven, waarbij de btw wel in rekening werd gebracht maar nooit werd afgedragen. Europol schatte de schade voor de Europese schatkisten eind 2009 op ongeveer 5 miljard euro.

Daarna verschoof de aandacht van de belasting naar de rechten zelf. Begin 2010 stuurden oplichters e-mails die van registerbeheerders leken te komen en lokten ze accounthouders naar een nagemaakte registerwebsite. Met de buitgemaakte inloggegevens verdwenen zo’n 250.000 emissierechten. In januari 2011 volgde de grootste klap: aanvallers drongen de nationale registers van onder meer Tsjechië, Oostenrijk en Griekenland binnen en stalen ruim 2 miljoen rechten, waaronder een partij van circa 7 miljoen euro uit één Tsjechische rekening. De Europese Commissie legde daarop op 19 januari 2011 de spothandel in heel Europa stil. Registers mochten pas weer open nadat ze aan minimale beveiligingseisen voldeden; bij sommige duurde dat tot ver in april.

Waarom certificatenmarkten een aantrekkelijk doelwit zijn

Dat juist deze markten steeds opnieuw worden geraakt, is geen toeval. Een aantal eigenschappen komt telkens terug:

• Volledig digitaal: wie een account overneemt, heeft de waarde zelf in handen; er hoeft geen kluis open of vrachtwagen voor te rijden
• Snel overdraagbaar: een overboeking tussen rekeningen is in minuten rond, terugdraaien is juridisch ingewikkeld
• Complexe regelgeving: weinig mensen doorgronden het systeem volledig, en dat maakt controle op afwijkingen lastig
• Jonge markten: nieuwe regelingen betekenen nieuwe deelnemers, onwennige processen en toezicht dat nog moet inregelen

Let wel: dit zijn geen zwaktes van het instrument zelf, maar van de omgeving eromheen. Dezelfde eigenschappen die de handel efficiënt maken, maken haar ook aantrekkelijk voor misbruik. En de fraude hoeft niet eens bij het register te beginnen.

Ook de bron kan vals zijn: de Duitse UER-affaire

De recentste grote zaak draait niet om gestolen certificaten, maar om certificaten die nooit hadden mogen bestaan. Duitse brandstofleveranciers mochten hun CO2-verplichting deels afdekken met UER-certificaten uit emissiereductieprojecten elders, vaak bij oliewinning in China. In 2024 bleek een groot deel van die projecten vermoedelijk verzonnen of sterk overdreven: het Duitse Umweltbundesamt bestempelde na onderzoek 45 van de 66 doorgelichte projecten als verdacht, en de omroep ZDF becijferde de waarde van de vermoedelijk valse certificaten op ruim 600 miljoen euro. Het Berlijnse Openbaar Ministerie startte een strafrechtelijk onderzoek waarin ook medewerkers van keuringsinstanties figureren, en Duitsland beëindigde de UER-regeling vervroegd.

Nederland kent zijn eigen varianten. Justitie vervolgde de afgelopen jaren meermaals handelaren die gewone brandstof met valse duurzaamheidsverklaringen als biobrandstof lieten doorgaan. De rode draad is steeds dezelfde: de papieren werkelijkheid in het register klopte, de fysieke werkelijkheid erachter niet. Wie alleen het certificaat controleert, ziet de fraude per definitie niet.

De les voor de nieuwe Nederlandse certificatenmarkt

Voor Nederland is dit onderwerp actueler dan ooit. Brandstofleveranciers tonen hier hun bijdrage aan verduurzaming aan met verhandelbare eenheden in het register van de Nederlandse Emissieautoriteit. Tot en met 2025 waren dat de HBE’s; sinds 2026 zijn dat ERE’s, opgesplitst in aparte markten voor zeevaart, landvervoer en binnenvaart. Zo’n systeemwissel brengt precies de omstandigheden mee waarin fraude historisch gedijt: nieuwe regels, nieuwe deelnemers en processen die zich nog moeten zetten. Wie de overstap wil begrijpen, vindt een heldere uitleg over HBE certificaten en het nieuwe ERE systeem in de kennisbank van handelsplatform Agrioil Trade.

Het goede nieuws: de sector heeft geleerd. Registers stellen tegenwoordig aanzienlijk strengere eisen aan toegang en identificatie dan in 2011, en de handel loopt vaker via partijen die tegenpartijen kennen en screenen. Maar de verantwoordelijkheid houdt niet op bij het register. Elke deelnemende organisatie is zelf een potentieel doelwit, want een aanvaller heeft aan één overgenomen account of één vervalste verklaring genoeg.

Compliance-lessen voor bedrijven die met certificaten werken

De geschiedenis van de emissiehandel vertaalt zich in een concreet lijstje maatregelen, en de meeste daarvan zijn gewoon degelijke informatiebeveiliging:

• Beveilig accounts als bankrekeningen: tweefactorauthenticatie op elk account met toegang tot registers of handelsplatformen, zonder uitzondering
• Train op gerichte phishing: de registerhacks begonnen met mails die van de beheerder leken te komen, een klassiek geval van spear phishing
• Ken je tegenpartij: controleer met wie je handelt en wees alert op partijen die ver onder de marktprijs aanbieden
• Vier ogen op elke overboeking: laat overdrachten van certificaten altijd door een tweede persoon goedkeuren
• Kijk verder dan het papier: vraag bij twijfel naar de herkomst van eenheden en de onderliggende keten

Certificatenmarkten zijn een blijvend onderdeel van het klimaatbeleid, en de bedragen die erin omgaan groeien met de ambities mee. De organisaties die er zonder kleerscheuren doorheen komen, zijn niet de partijen die fraude uitsluiten, maar de partijen die erop voorbereid zijn.