Een mouse jiggler herkennen – en waarom de jacht erop het echte probleem mist

Als uw monitoringdashboard laat zien dat muis of toetsenbord zelfs tijdens de lunchpauze nooit stilvallen, kijkt u naar de klassieke handtekening van een mouse jiggler. Dat patroon is makkelijk te herkennen. Lastiger is de vraag waarom iemand überhaupt de behoefte voelde om activiteit te veinzen – en die tweede vraag is belangrijker dan de eerste.

Een mouse jiggler (ook wel muisbeweger genoemd) is een klein apparaatje of programma dat de cursor met tussenpozen beweegt of toetsaanslagen simuleert, zodat de computer niet als inactief wordt weergegeven. Sommige zijn kleine USB-apparaatjes, andere kleine plateaus waarop u de muis legt, en weer andere zijn pure software. Het doel is altijd hetzelfde: de status blijft groen terwijl er niemand werkt. Nu thuiswerken en hybride werken gewoon zijn geworden, komt het onderwerp in Nederlandse organisaties regelmatig op tafel – vaak samen met de vraag hoeveel controle eigenlijk is toegestaan.

Deze gids behandelt beide kanten van het probleem. Eerst de techniek: hoe deze tools werken en wat er werkelijk zichtbaar wordt als iemand er een gebruikt. Daarna – en dat is belangrijker – waarom het opsporen van een jiggler maar de makkelijke 10% van het werk is, hoe de overige 90% eruitziet en waar werkgevers in Nederland juridisch rekening mee moeten houden.

Wat een mouse jiggler eigenlijk doet

Een hardwarejiggler is meestal een USB-apparaatje dat eruitziet als een kleine dongle. Het meldt zich bij het besturingssysteem aan als Human Interface Device (HID), dezelfde apparaatklasse als elk toetsenbord en elke muis, en stuurt met vaste tussenpozen kleine bewegings- of kliksignalen. Softwarejigglers doen hetzelfde zonder hardware: een script op de achtergrond verschuift de cursor één pixel of drukt met vaste intervallen op een onschuldige toets. Daarnaast bestaan er puur mechanische modellen die de muis fysiek laten bewegen en helemaal niet als apart apparaat verschijnen.

Alle varianten bestaan om één reden: de inactiviteitsdetectie omzeilen. De status ‘Afwezig’ in Teams of Slack, de automatische schermvergrendeling en sommige monitoringtools reageren pas als er een tijdje geen invoer is geweest. Een jiggler haalt precies dat signaal weg – zonder dat er gewerkt wordt.

Een mouse jiggler herkennen: signalen die een tweede blik waard zijn

Geen enkel signaal bewijst op zichzelf dat iemand een jiggler gebruikt. Toch zijn sommige patronen een nadere blik waard voordat u conclusies trekt.

• Een metronoomritme. Echte muisbewegingen zijn onregelmatig: korte uitbarstingen, pauzes, correcties. Een cursor die met verdacht gelijke tussenpozen – zeg elke 30 tot 60 seconden – steeds hetzelfde kleine stukje opschuift, oogt mechanisch. Wat hem verraadt, is niet de beweging zelf, maar de regelmaat ervan.
• Beweging zonder resultaat. De cursor beweegt, maar er wisselt geen venster, er scrolt geen document en geen enkele klik komt ergens terecht. Beweging zonder enig effect is de sterkste afzonderlijke aanwijzing.
• Activiteit die nooit inzakt. Elke werkdag kent natuurlijke onderbrekingen: een telefoontje, een koffiepauze, de lunch. Een status die acht uur lang onafgebroken actief is, is verdachter dan een status met normale pauzes.
• Kanalen die elkaar tegenspreken. Er is cursoractiviteit, maar het wisselen tussen programma’s, websitebezoek of chatactiviteit laat nauwelijks uitslag zien. Echt werk laat vrijwel altijd sporen na in meerdere kanalen tegelijk.

Geen van deze signalen is op zichzelf een basis voor een beschuldiging. Ze zijn aanleiding voor een gesprek – niet voor een officiële waarschuwing.

Waar technische detectie tegen grenzen aanloopt

Dit deel slaan de meeste handleidingen over. Toch is het belangrijk, omdat het laat zien wat technische detectie realistisch gezien kan opleveren.

Besturingssystemen zijn niet gebouwd om jigglers te herkennen. Windows registreert weliswaar wanneer er een nieuw apparaat wordt aangesloten (bijvoorbeeld in Logboeken), en via Groepsbeleid of het apparaatbeheer (device control) van Microsoft Defender kunt u beperken welke USB-apparaten geïnstalleerd mogen worden. Maar dat zegt iets over apparaten, niet over de vraag of een invoer van een mens afkomstig is – en in Taakbeheer is daar niets van te zien. Op macOS kunt u actieve processen controleren in Activiteitenweergave en de bij het inloggen geladen achtergrondonderdelen in Systeeminstellingen of met de opdrachtregeltool sfltool; daarmee vindt u hooguit een softwarejiggler, nooit een hardwarejiggler. Geen van de gangbare besturingssystemen heeft een ingebouwde jigglerdetector.

Hardwarejigglers maken het nog ingewikkelder. Omdat ze zich als standaard-HID-apparaten aanmelden, zijn ze in principe te herkennen aan hun leveranciers- en product-ID. IT kan het installeren van software beperken tot beheerders, alleen geregistreerde invoerapparaten toestaan of zich laten waarschuwen zodra er een nieuw USB-invoerapparaat wordt aangesloten. Een blokkeerlijst houdt echter alleen apparaten tegen die er al op staan – en mechanische jigglers onder de muis verschijnen helemaal niet als apparaat. Softwarejigglers zijn nog lastiger: een script dat de cursor één pixel verschuift, is op invoerniveau nauwelijks te onderscheiden van iemand die even tegen de muis tikt. Windows markeert door software gegenereerde invoer intern wel als ‘geïnjecteerd’, maar legitieme hulpmiddelen zoals extern bureaublad of toegankelijkheidssoftware dragen dezelfde markering, en die is te omzeilen – op zichzelf bewijst ze niets.

Dat is de praktische grens: detectie die alleen naar invoer kijkt, levert altijd zowel vals alarm als gemiste gevallen op, omdat het besturingssysteem niet met zekerheid kan onderscheiden of ‘een machine dit bewoog’ of ‘een mens de muis nauwelijks aanraakte’. Een jiggleralarm als bewijs behandelen is daarom op elk platform een vergissing.

Waarom context meer zegt dan muislogs – en wat er in Nederland mag

Als cursor- en toetsenbordlogs de vraag niet beantwoorden, wat dan wel? Context. Een screenshot uit de betreffende periode laat zien of er echt een document openstond waaraan gewerkt werd, of een applicatie op de voorgrond actief werd gebruikt, of dat er de hele tijd een vergrendelscherm of een leeg bureaublad te zien was terwijl de jiggler de status groen hield.

Precies daar strandt de simulatie: een jiggler kan een inactiviteitstimer om de tuin leiden, maar kan niet doen alsof er aan een document wordt gewerkt of een browsertabblad actief is als dat niet zo is. Invoergegevens tonen beweging, programma-activiteit en screenshots tonen inhoud – de twee bronnen beantwoorden verschillende vragen.

In Nederland is het kader de AVG, aangevuld met de Uitvoeringswet AVG (UAVG), met de Autoriteit Persoonsgegevens (AP) als toezichthouder. De AP is duidelijk: werkgevers mogen hun werknemers niet zomaar de hele dag volgen. Er moet een gerechtvaardigd belang zijn, de controle moet noodzakelijk zijn – er is geen minder ingrijpende manier om hetzelfde doel te bereiken – en werknemers moeten vooraf weten wat wel en niet mag, dat er gecontroleerd kan worden en hoe. Grootschalige of stelselmatige monitoring van werknemers staat bovendien op de lijst van verwerkingen waarvoor de AP een DPIA verplicht stelt. Heeft uw onderneming een ondernemingsraad, dan heeft die instemmingsrecht bij een regeling over voorzieningen die gericht of geschikt zijn voor waarneming van of controle op aanwezigheid, gedrag of prestaties van werknemers (art. 27 lid 1 onder l WOR); de AP noemt software die toetsaanslagen, e-mail of internetgebruik vastlegt uitdrukkelijk als voorbeeld van zo’n personeelsvolgsysteem. Zonder instemming van de OR mag u zo’n systeem in principe niet invoeren, tenzij de kantonrechter vervangende toestemming geeft. Doorlopende screenshots met korte tussenpozen, de hele werkdag en zonder concrete aanleiding, zijn in dat licht moeilijk te verdedigen; bekijk ze liever gericht en proportioneel.

Met CleverControl kan een leidinggevende de betreffende periode in het beveiligde webaccount bekijken en de screenshots naast de programma- en website-activiteit uit hetzelfde tijdvak leggen. Beweegt de cursor terwijl het scherm urenlang een leeg bureaublad of een onaangeroerde applicatie toont, dan zegt die combinatie veel meer dan welk cursorlog ook. Richt de controle zo in dat ze precies aansluit bij de regeling waarmee de OR heeft ingestemd en bij wat medewerkers vooraf is verteld.

De echte vraag: waarom grijpt iemand naar een jiggler?

Dit is het belangrijkste deel – en precies het deel dat een puur technische aanpak overslaat. Een jiggler is geen oorzaak. Het is een reactie op iets, meestal op een systeem dat iemand als oneerlijk, onduidelijk of niet eerlijk haalbaar ervaart.

Waar de aanwezigheid van een jiggler eigenlijk op wijst:

• Een KPI die aanwezigheid meet in plaats van resultaat. Als de maatstaf voor productiviteit ‘bewoog de muis?’ is, heeft u zelf een prikkel gecreëerd om muisbeweging te veinzen. Dat is geen oneerlijkheid in het luchtledige, maar een voorspelbare reactie op een slecht gekozen meetlat.
• Werklast en verwachting die niet op elkaar aansluiten. Wie voor de eigen taken vier uur per dag nodig heeft, maar acht uur zichtbare activiteit moet laten zien, krijgt een prikkel om de andere vier te ‘produceren’. De jiggler is het gevolg van een gesprek over werkdruk dat niemand heeft gevoerd.
• Wantrouwen tegenover de monitoring zelf. Als medewerkers denken dat elke inactiviteit wordt afgestraft, ongeacht of het werk af is, wordt activiteit veinzen de rationele keuze – zelfs voor wie het werk eigenlijk goed doet.
• Echte misleiding. Ook dat komt voor: iemand werkt gewoon niet en wil dat verbergen. Dat is reëel, maar het is één verklaring van meerdere, niet de standaardaanname.

Wie elk jiggleralarm behandelt als bewijs voor de laatste verklaring en de eerste drie overslaat, lost niets op. Erger nog: de rest van het team leert dat het veiligste antwoord op een gebrekkige KPI is om zich beter te verstoppen – niet om het probleem aan te kaarten. Hoe u tijddiefstal op de werkvloer herkent zonder in deze valkuil te stappen, leest u in onze aparte gids.

Proportioneel reageren: wat u concreet doet

Een werkbare aanpak zodra er een opvallend patroon voor u ligt:

1. Bevestig het patroon voordat u een oorzaak noemt. Bekijk – binnen wat uw regeling toestaat – de screenshots en programma-activiteit voor de betreffende periode. Sluit technisch vals alarm uit: een geplande taak, een vastgelopen script of een legitiem toegankelijkheidshulpmiddel.
2. Toets de KPI, niet alleen de medewerker. Vraag u af of de doelen van de functie worden gemeten aan zichtbare activiteit, aan resultaten of aan allebei. Luidt het antwoord ‘vooral activiteit’, dan heeft u de waarschijnlijke oorzaak gevonden – en die geldt voor het hele team, niet voor één persoon.
3. Eerst het gesprek, dan eventuele maatregelen. Begin bij wat u heeft gezien, niet bij een conclusie: ‘Het viel me op dat de logs doorlopende invoer laten zien op momenten waarop het scherm inactief lijkt – kun je me uitleggen wat er toen gebeurde?’ Dat levert informatie op. Een beschuldiging levert alleen verdediging op.
4. Houd de twee uitkomsten uit elkaar. Blijkt er een probleem met werkdruk of KPI te zijn, dan is dat een kwestie van beleid: pas de maatstaf aan, verdeel het werk anders of maak duidelijk wat ‘productief’ in deze functie betekent. Blijkt er sprake van plichtsverzuim, dan is dat een arbeidsrechtelijke kwestie, meestal eerst met een gesprek en een schriftelijke waarschuwing – in verhouding tot wat u daadwerkelijk kunt aantonen. Ontslag op staande voet vereist een dringende reden en moet onverwijld worden gegeven, met onverwijlde mededeling van die reden (art. 7:677 en 7:678 BW).
5. Corrigeer de prikkel, niet alleen het incident. Duikt er een jiggler op omdat uw systeem beloont wie druk lijkt, dan houdt één gesprek met één medewerker de volgende niet tegen. Kijk opnieuw naar wat uw monitoring eigenlijk meet.

Hier doet transparantie meer dan welke detectie ook. Medewerkers die weten wat er wordt gemeten en wat een leidinggevende wel en niet kan zien, gaan minder snel van het ergste uit en kaarten een werkdrukprobleem eerder rechtstreeks aan, in plaats van het stilletjes te omzeilen. Hoe u dat in de praktijk aanpakt, leest u in onze artikelen over hoe u medewerkers informeert over monitoring en over de ethiek van werknemersmonitoring. Een onduidelijke regeling is precies het gat waar jigglers in springen.

Een cultuur die geen jigglers nodig heeft

De duurzaamste oplossing is geen betere detectiemethode. Het is de reden wegnemen waarom iemand een jiggler zou willen gebruiken.

• Meet resultaten waar het kan. Opgeleverd werk, reactietijden, afgeronde taken – alles wat dichter bij echte output ligt dan bij cursorbeweging.
• Maak het monitoringbeleid openbaar. Vertel duidelijk wat er wordt vastgelegd en waarom, en zorg dat het beleid draait om het controleren van resultaten en het ondersteunen van het team – niet om mensen te betrappen.
• Controleer de controleurs. Ga regelmatig na of leidinggevenden activiteitsgegevens proportioneel gebruiken, in plaats van elke stille periode als verdacht te behandelen. Wie overreageert op normale pauzes, leert mensen die te verbergen.
• Maak pauzes normaal. Als uw beleid stilzwijgend elke dip in activiteit afstraft, heeft u precies de prikkel gecreëerd waarop een jiggler het antwoord is.

Daar komt bij dat werkgevers in Nederland op grond van de Arbeidstijdenwet in de regel een deugdelijke registratie van arbeids- en rusttijden moeten bijhouden (art. 4:3 Atw). Een heldere, transparante tijdregistratie is een veel betere maatstaf dan een groen bolletje in Teams – en neemt de jiggler zijn bestaansreden af. Het past ook beter bij resultaatgericht werken, waarbij output het gesprek bepaalt en niet een teller van muisbewegingen.

Een team dat de maatstaf vertrouwt, hoeft hem niet te vervalsen. Dat probleem is goedkoper op te lossen dan elke nieuwe jigglervariant najagen die op de markt verschijnt. Daarvoor zijn drie dingen nodig: een regeling die benoemt wat er wordt gemeten en waarom, een KPI die echte prestaties weerspiegelt in plaats van louter aanwezigheid, en leidinggevenden die bij een opvallend patroon beginnen met een vraag in plaats van een oordeel. Staan die drie, dan verliest de technische wapenwedloop rond detectie grotendeels zijn betekenis.

Veelgestelde vragen

Is het gebruik van een mouse jiggler verboden?
Het apparaat zelf is niet verboden. Bepalend zijn de arbeidsovereenkomst, de cao en de afspraken in het personeelshandboek of de monitoringregeling. Wordt een jiggler gebruikt om werktijd voor te wenden die niet is gewerkt, dan kan dat plichtsverzuim zijn, en bij opzettelijke misleiding kan in ernstige gevallen zelfs een dringende reden voor ontslag op staande voet bestaan (art. 7:677 en 7:678 BW). De rechter weegt daarbij wel alle omstandigheden mee, ook persoonlijke, zoals de duur van het dienstverband. Of een maatregel in een concreet geval standhoudt, hangt af van de feiten en het bewijs.

Kan monitoringsoftware een mouse jiggler automatisch herkennen?
Sommige programma’s markeren ongebruikelijke activiteitspatronen automatisch, en activiteitsoverzichten maken afwijkingen zichtbaar – maar een afwijking is nog geen bevestigd antwoord. Een leidinggevende moet nog steeds de context bekijken om te beoordelen of het patroon echt mechanisch is of gewoon een ongewoon rustige, maar echte werkdag. Wie een melding als automatisch bewijs behandelt, slaat precies de stap over die duidelijk maakt wat er is gebeurd.

Mag ik een medewerker heimelijk controleren als ik een jiggler vermoed?
Alleen onder strenge voorwaarden. Volgens de AP kan heimelijke controle pas bij een redelijke verdenking dat een of meer werknemers iets doen wat strafbaar of verboden is, als andere maatregelen niet hebben gewerkt, als de controle incidenteel blijft en als de betrokkenen achteraf worden geïnformeerd – ook als de verdenking ongegrond blijkt. In de regel is vooraf ook een DPIA nodig. Eén opvallend activiteitspatroon zal daar zelden aan voldoen; begin dus met de aangekondigde, reguliere controle en met een gesprek.

Wat zeg ik tegen een medewerker als ik een jiggler vermoed?
Begin bij wat u heeft gezien in plaats van bij een conclusie: beschrijf het concrete patroon in de logs en vraag de medewerker het toe te lichten. Zo krijgt u een verklaring in plaats van een defensieve reactie, en laat u ruimte voor de mogelijkheid dat het antwoord een werkdrukprobleem is en geen oneerlijkheid.

Zijn hardwarejigglers makkelijker te blokkeren dan softwarejigglers?
Iets makkelijker, ja. USB-jigglers melden zich aan als invoerapparaten met herkenbare leveranciers- en productcodes, die IT in principe kan blokkeren of via een lijst met toegestane apparaten kan uitsluiten – maar nieuwe apparaten verschijnen sneller dan blokkeerlijsten worden bijgewerkt. Puur mechanische modellen zijn technisch helemaal niet zichtbaar, en softwarejigglers simuleren invoer op een niveau dat nauwelijks te onderscheiden is van licht, echt muisgebruik.

Hoe weet ik of het echte probleem mijn KPI is en niet de medewerker?
Als de maatstaf waarop iemand wordt beoordeeld zichtbare activiteit beloont in plaats van afgerond werk, is dat een sterk signaal dat eerst de prikkel zelf moet worden gecorrigeerd. Kijk of collega’s die op dezelfde KPI worden beoordeeld vergelijkbare patronen laten zien: een patroon in het hele team wijst naar het systeem, niet naar de persoon.

Moet ik medewerkers en de OR vooraf informeren?
Ja. Medewerkers moeten op grond van de AVG (art. 13) vooraf weten welke gegevens voor welk doel worden verwerkt, en volgens de AP ook dat en hoe er gecontroleerd wordt. Heeft u een ondernemingsraad, dan is voor een personeelsvolgsysteem instemming nodig (art. 27 lid 1 onder l WOR), en dat geldt ook voor een regeling over het verwerken en beschermen van persoonsgegevens (onder k). Bij stelselmatige monitoring hoort bovendien een DPIA. Een overzicht vindt u in ons artikel over de AVG-eisen voor werknemersmonitoring. Laat de concrete eisen voor uw organisatie vóór de invoering toetsen door een deskundige adviseur.

Let op: dit artikel geeft een algemeen overzicht en is geen juridisch advies voor uw specifieke situatie.