Juridische vraag: Hoeveel jaar cel staat op DDoS-aanval?
Heb jij een uitdagende vraag over beveiliging, recht en privacy, stel hem aan ICT-jurist Arnoud Engelfriet en maak kans op zijn boek
"De wet op internet".
Arnoud is van alle markten thuis, maar vindt vooral in technische / hacking vragen een uitdaging. Vragen over licenties worden niet behandeld, aangezien die geen raakvlak met beveiliging hebben. De Juridische vraag is een rubriek op Security.nl, waar wetgeving en security centraal staan. Elk kwartaal kiest Arnoud de meest creatieve vraag, die dan zijn boek zal ontvangen.
Vraag:In diverse media wordt gemeld dat op het uitvoeren van Denial of Service-aanvallen zes jaar cel staat. Maar toen ik de wet erop nasloeg, vond ik artikel 138b Strafrecht en daarin staat toch duidelijk "maximaal één jaar". Hoe zit het nu?
Antwoord: Het klopt, artikel 138b Wetboek van Strafrecht is het "DoS-artikel" en dat artikel noemt één jaar cel (of maximaal 19.000 euro boete) bij het plegen van dit misdrijf.
Het OM heeft het echter over een ander artikel, namelijk 161sexies. Dit stelt strafbaar het "vernielen, beschadigen of onbruikbaar maken" van een computersysteem of een "stoornis in de gang of in de werking" daarvan te veroorzaken. En een DoS-aanval kan prima aan die definitie voldoen.
Artikel 161sexies is veel strenger, zeker als er bij je vernieling "gemeen gevaar" of levensgevaar te duchten valt. (Gemeen gevaar wil zeggen gevaar tegen iets of iemand zonder dat je specifiek hoeft te bewijzen welke iemand dan.) Als je gevaar veroorzaakt, dan levert dat maximaal zes jaar cel op, en bij levensgevaar kan dat oplopen tot negen jaar of vijftien jaar als er daadwerkelijk doden vallen.
In april van dit jaar werd een man veroordeeld voor het platleggen van twee Nederlandse sites, www.turkishplace.nl en www.turkplace.nl, in 2009. Die aanvallen waren zo groot dat ook andere klanten van de hostingproviders daar last van ondervonden. Die providers (Leaseweb en Argeweb, toch niet de kleinsten) hadden een "vitale" rol bij de internet-infrastructuur in Nederland en die werd nu verstoord. Daarmee achtte de rechtbank "gemeen gevaar" bewezen:
Het is een feit van algemene bekendheid dat het uitvoeren van een (d)dos aanval op een dergelijke vitale infrastructuur vergaande financieel-economische schade tot gevolg kan hebben en een groot aantal klanten kan treffen dat van de diensten van voornoemde providers gebruik maakt.
In een zaak uit 2005 over de DoS-kabouters werd met een vergelijkbare redenering ook artikel 161sexies van toepassing geacht. Het lijkt er dus op dat het OM dit nu graag standaard inzet, en op zich is dat te begrijpen als het gaat om grootschalige (D)DoS-aanvallen gaat waarbij hele providers onderuit gaan.
Dat Jeroenz0r die zes jaar zal krijgen, lijkt me uitgesloten: de Turkplace-dosser kreeg 15 maanden cel (waarvan 5 voorwaardelijk) en de DoS-kabouter kreeg 240 uur werkstraf, mede vanwege zijn leeftijd.
Arnoud Engelfriet is ICT-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. In 2008 verscheen zijn boek "De wet op internet".
http://blog.iusmentis.com/2010/12/20/legaal-hacken-waar-ligt-de-grens-slideshare/
Dat klopt inderdaad, maar het is wel een verschil of je schrijft dat de maximum straf 6 jaar is, of dat je de suggestie werkt dat die straf waarschijnlijk opgelegd gaat worden. Het laatste gebeurt toch vrij vaak ;)
Het leek me aardig om die strafmaat te vergelijken met die voor DoS en ook eens naar de argumentatie voor de straf voor het oproepen tot "bank runs" te kijken in relatie tot wat velen op security.nl doen, nl. het in diskrediet brengen van organisaties omdat deze, naar het oordeel van de berichtgever, hun zaakjes niet op orde hebben; laat ik daar eens mee beginnen.
Voorbeeld: op deze site wordt door velen opgeroepen om Adobe producten te mijden, en ook andere marktpartijen (met name Microsoft) moeten het vaak ontgelden. Niet zelden zijn deze oproepen slecht onderbouwd, en de algemene berichtgeving kan regelmatig als tendentieus worden aangemerkt.
In http://www.rijksoverheid.nl/bestanden/documenten-en-publicaties/brieven/2010/12/22/brief-tk-aanbeveling-commissie-dsb-bank-inzake-het-oproepen-tot-een-bank-run/briefaanbevelingdsbbank-definitief.pdf (PDF) lees ik onder meer:
Terug naar de strafmaat. Als het zo is dat iemand die een bank ten val kan brengen, met de in de PDF geschetste zeg maar "maatschappij ontwrichtende" consequenties, daar hooguit 4 jaar voor kan krijgen, hoe kan dan sprake zijn van gerechtigheid als iemand die een DoS attack uitvoert 6 jaar kan krijgen, of in het voorbeeld van de Turkplace-dosser daadwerkelijk 15 maanden?
N.b. bij een DoS-attack is de schade op korte termijn redelijk duidelijk, op lange termijn kan het zijn dat klanten zijn weggelopen omdat een site niet bereikbaar was, maar het kan ook zijn dat de media-aandacht tot nieuwe klanten leidt. Bovendien, Google eens naar storing internetbankieren, de banken zelf maken zich duidelijk ook niet erg druk om hun beschikbaarheidcijfers.
Ik snap er niets van, maar IANAL. Kan iemand mij dit uitleggen?
Ik pretendeer niet de wijsheid in pacht te hebben maar bij mij komt dit soort wetgeving over als paniekvoetbal met een vleug populisme.
Beste kerel,
Wij roepen niet op om zaken wel of niet te doen; WIJ ADVISEREN
Wij zijn allemaal ADVISEURS hier ;-)
Indien een bank gezond is zal zo'n oproep volkomen ineffectief zijn. Maar kennelijk moet voortaan niet de bank die wanbeleid voert gestraft worden, maar degene die dit naar buiten brengt. Wie is verantwoordelijk voor de ondergang van DSB, is dat de heer Scheringa of de heer Lakeman ? Volgens mij zit er een steekje los bij politici die met dit soort wetsvoorstellen komen.
Indien een bank gezond is zal zo'n oproep volkomen ineffectief zijn. Maar kennelijk moet voortaan niet de bank die wanbeleid voert gestraft worden, maar degene die dit naar buiten brengt. Wie is verantwoordelijk voor de ondergang van DSB, is dat de heer Scheringa of de heer Lakeman ? Volgens mij zit er een steekje los bij politici die met dit soort wetsvoorstellen komen.
Stellen dat elke ongezonde financiële instelling mag omvallen ondermijnt het geheel van de financiële wereld. Hoe slecht het ook is dat het zo is. Het gaat hier niet om wie er schuld heeft aan de ondergang van DSB, maar hoe je daarmee omgaat. Scheringa zat fout en dus moest de Nederlandse Bank daar ingrijpen en de boel overnemen, niet een anarchist Lakeman die wel even de bank de nek om zal draaien.
Voor de ellende die is voortgekomen uit zijn oproep is hij verantwoordelijk. Er zit dus geen steekje los bij politici (in dit geval) maar bij de idioten die vinden dat ze wel eventjes zelf een bank kunnen afstraffen. Uiteindelijk hebben belastingbetalers en andere banken er de rekening van gekregen, die veel hoger is dan wanneer de Nederlandse Bank het netjes had opgelost.
Meneer Lakeman kreeg er een hele grote plasser van dat die bank kapot ging, maar hij geeft niets om de rekeninghouders en de normale medewerkers van die bank. Wat hem betreft kunnen die met Scheringa kapot gaan.
Zolang mensen niet de gevolgen van hun acties ten volle kunnen inzien, en dus ook de verantwoordelijkheid kunnen dragen, is wetgeving die hen beschermt. Niemand die door rood rijdt heeft de intentie om daarbij iemand dood te rijden en krijgt dus niet de optie om de verantwoordelijkheid daarvoor op zich te nemen, omdat wetgeving het verbiedt om door rood te rijden. Intenties zijn leuk, maar kunnen meer kapot maken dan je ooit had kunnen overzien. Overzie je het wel en ben je bereidt die verantwoordelijkheid op je te nemen, dan moet je vooral de wet breken en het proberen uit te leggen aan de rechter.
Microsoft failliet. Leuke vergelijking, maar omdat er nogal een monopoly is, zijn er te veel mensen en bedrijven echt afhankelijk van Microsoft. Als 80% van de bedrijven de contracten op zou zeggen hebben zij een probleem, niet Microsoft. Ze zullen namelijk jankend terugkomen. Er is geen concurrent waar ze terecht kunnen.
Nogmaals: banken zijn afhankelijk van elkaar. Valt er in de US één bank om, dan voelen wij het in onze portemonnee. Daar word ik niet blij van, niet doen dus.
DDoS aanvallen gaan verder dan een beetje internetbankieren van de huisvrouwtjes. Dat laat exact zien hoeveel de DDoS-ers beseffen wat voor schade ze kunnen aanrichten. Er zijn betalingen die op dat moment uitgevoerd moeten worden en de bank garandeert dat. Ze hebben afspraken met providers, energie bedrijven, alles! De hele infrastructuur kan real time overgenomen worden door een kopie in een bunker. Kortom: ze doen hun uiterste best omdat zij het hart van de economie zijn.
En dat is tijdelijk plat te leggen door DDoS mensjes die vinden dat ze het recht hebben om dat te doen. Bedrijven gaan weg bij een bank die niet kan garanderen dat de betalingen op tijd worden gedaan. Als jij vindt dat de bank inderdaad schade moet lijden omdat ze Wikileaks niet helpen, zal je daar ook de gevolgen van moeten dragen.
Banken geven om hun reputatie. Wat denk je wanneer ze in de krant zeggen dat ze wel bang zijn voor DDoS aanvallen en oproepen om spaargeld weg te halen? Juist, dan gaan alle kneuzen aan het DDoS-en en hun bankrekeningen overzetten. Wat doet dat met onze economie? Vast veel goed.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
