Arnoud is van alle markten thuis, maar vindt vooral in technische / hacking vragen een uitdaging. De Juridische vraag is een rubriek op Security.nl, waar wetgeving en security centraal staan. Elk kwartaal kiest Arnoud de meest creatieve vraag, die dan zijn boek zal ontvangen.

Vraag: Laatst sprak ik iemand die zijn netwerk opzettelijk had opengezet voor iedereen. Volgens eigen zeggen had hij netwerk goed beveiligd: een firewall, een VPN voor zijn eigen privehandelingen, een apart SSID voor het open WiFi-netwerk en hij paste QoS toe om ervoor te zorgen dat zijn bandbreedte niet helemaal opgeslokt werd door langsrijdende downloaders. Hij had zelfs een portal gemaakt waarin hij duidelijk maakte dat zijn netwerk vrij te gebruiken was. Hij zou zijn buren etc. vertrouwen en zou te hoog in een flat wonen voor voorbijgangers op straat om het signaal op te vangen.

Maar wat nu als een kwaadwillende het netwerk ontdekt, en daar allerlei onwettige dingen mee doen gaat. Kinderporno downloaden of verspreiden om maar eens wat te noemen. Dan heeft deze goedwillende 'mini-ISP' toch heel wat uit te leggen als hij voor de rechter wordt gesleept? Het is tenslotte zijn IP adres dat opduikt in de logs bij zijn eigen internetprovider.

Antwoord: Meeliften op andermans WLAN is in principe strafbaar, maar als iemand zijn eigen netwerk openzet, en dat ook expliciet aankondigt of zelfs mensen uitnodigt, dan kan van inbraak geen sprake meer zijn.

Je loopt inderdaad wel het risico dat opsporingsdiensten bij jou uitkomen op basis van het gebruikte IP-adres. Als je dit wilt doen, is het dus van het grootste belang dat je goede logs bijhoudt zodat je in ieder geval kunt aantonen dat er sprake was van een langsrijdende downloader. Log dan ook bijvoorbeeld het MAC-adres van de computer van die downloader. Hoewel dat in theorie te vervalsen is, vergeten de meeste mensen dat te doen nadat ze iemands draadloos netwerk gebruikt hebben. (Mag dat? Ja, dat mag, mits je het aankondigt op die portalpagina.)

Stel nu dat de politie het verhaal van het open netwerk niet gelooft en de zaak voor laat komen. Bij een strafzaak moet de rechter ‘overtuigd’ zijn van de schuld van de verdachte (artikel 338 Strafvordering).

Heeft de verdachte een redelijk klinkende alternatieve verklaring voor het gebeurde, dan kan hij worden vrijgesproken. Maar een enkele theoretische mogelijkheid is meestal niet genoeg. Pas als het bewijs een redelijke twijfel oproept, kan vrijspraak volgen. In dit geval zal het bewijs vrijwel altijd een verklaring van een getuige-deskundige zijn. Logfiles en andere aanwijzingen zijn op zichzelf namelijk meestal niet duidelijk genoeg om meteen als bewijs te dienen. De getuige-deskundige moet dan uitleggen wat voor elektronische aanwijzingen hij heeft gevonden op de PC en het thuisnetwerk van de verdachte, en of daaruit redelijkerwijs blijkt dat er sprake was van een indringer van buitenaf.

Hoe ver kom je nu met "jamaar er zat iemand op mijn draadloos netwerk?" Dat is nog niet aan de orde geweest in de rechtspraak. Wel is er een aantal zaken geweest waarin mensen claimden dat op hun computers ingebroken was. In een arrest van de Hoge Raad van juni 2007 ging het over bedreigingen per e-mail. De verdachte verdedigde zich door te zeggen dat het mogelijk was dat iemand anders toegang had gekregen tot zijn systeem en zo de mails had verstuurd. De HR zei daarover echter:

"Dat de andere berichten verzonden zouden kunnen zijn van een andere computer - hetgeen inderdaad bij een hotmail-adres mogelijk is - is een mogelijkheid die het Hof als hoogst onwaarschijnlijk buiten beschouwing heeft kunnen laten, mede in aanmerking genomen wat het Hof over het IP-adres, zoals hiervoor vermeld en de verhouding tussen verdachte en [het slachtoffer] heeft vastgesteld. Dan zou een derde zich onbevoegd het wachtwoord en het e-mailadres hebben moeten verschaffen. Daarbij komt nog dat uit bewijsmiddel 9 kan worden afgeleid dat het desbetreffende e-mailadres “[e-mailadres 1]” 168 keer is aangetroffen op de computer van de verdachte."

De rechter neemt dus ook andere omstandigheden mee, zoals in dit geval het feit dat de twee elkaar kenden en de verdachte een hekel aan het slachtoffer had. Het kan dan natuurlijk nog steeds dat een derde in feite verantwoordelijk was, maar in dit vonnis gaf de rechtbank mooi weer hoe men met die mogelijkheid omgaat:

"Tegen het feit dat [een tweede deskundige] ter terechtzitting in hoger beroep, sprekend over de theoretische mogelijkheid dat hem sporen van hacking zouden zijn ontgaan, heeft opgemerkt dat hacken niet uit te sluiten is, weegt op dat hij voor het feit dat dat zou zijn gebeurd (te weten dat die computers wèl gehackt zouden kunnen zijn geweest) geen enkele aanwijzing heeft gevonden en dat de aangetroffen sporen op de computers dermate in elkaar grijpen en interne consistentie vertonen dat het onwaarschijnlijk is dat de sporen anders dan door normaal gebruik van de computers – en dus niet door manipulatie van buitenaf – op die computers terecht zijn gekomen."

Je kunt dus niet zonder meer zeggen “er kan gehackt zijn, dus ik was het niet”. Kortom, zorg voor goede logfiles en maak duidelijk dat het netwerk open is en ook bedoeld is voor anderen. De vraagsteller heeft trouwens medestanders van formaat; ook Bruce Schneier doet dit ook. En wel om een heel bijzondere reden: stel hij beveiligt zijn netwerk wel maar het wordt toch gekraakt, wie zou hem dan ooit geloven?

Arnoud Engelfriet is ICT-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. In 2008 verscheen zijn boek "De wet op internet".