Heb jij een interessante vraag op het snijvlak van privacy, cybersecurity en recht? Stuur je vraag naar juridischevraag@security.nl. Elke week geeft ict-jurist Arnoud Engelfriet in deze rubriek antwoord.

Vraag: De geruchten worden steeds sterker dat de Universiteit Maastricht losgeld betaalde om haar door Clop gegijzelde systemen terug te krijgen. Nu vroeg ik me af of dat wel mag eigenlijk, losgeld betalen. Moet je niet zoiets via de politie laten lopen?

Antwoord: Ransomware zoals Clop wordt een steeds groter probleem, getuige de vele berichten over ransomware hier op Security.nl alleen al. Het is haast de perfecte misdaad: je ontkomt haast niet aan betalen (tenzij je heel hard je best doet, zie topdraadje maar dat lukt vele organisaties niet) en de daders opsporen lukt haast niet. Want waar je een zak geld achtergelaten in de prullenbak in het park nog kunt volgen, is dat met een cryptomunt niet te doen.

Het is niet strafbaar om losgeld te betalen. Dat zou ook wel erg onethisch zijn, slachtoffers van een misdrijf zet je zo klem terwijl ze een geliefde (of heel waardevol object) kwijt zijn en terug kunnen krijgen met dat geld. Dat kun je niet maken als wetgever. Natuurlijk is het beter de politie hierover te laten beslissen, want wellicht weten die een manier om met de betaling de daders op te sporen.

Bij ransomware lees je vaak dat verzekeraars betalen wanneer ransomware heeft toegeslagen bij een polishouder. Zakelijk is het immers puur een rekensom: wat kost het om het hele systeem terug te zetten, en hoe hoog is het losgeld? Verrassend genoeg blijken veel ransomware-verspreiders namelijk gewoon de sleutel te geven als je betaalt. Logisch vanuit hun perspectief, want dan gaan de betalende slachtoffers anderen adviseren om ook te betalen. En dit soort misdaad moet het van vele gewillige slachtoffers hebben.

Voor een individueel slachtoffer is het dus niet gek om gewoon te betalen, hoewel maatschappelijk gezien dat natuurlijk buitengewoon onwenselijk is. Voor een verzekeraar voelt het gekker: die heeft meer klanten die mogelijk slachtoffer kunnen worden, en veroorzaakt zo meer claims bij zichzelf (en concullega's). Maar voor het individuele geval zou het ook bij de verzekeraar een prima oplossing kunnen zijn.

Ik ken geen wet die expliciet verbiedt dat een verzekeraar losgeld betaalt. Als de verzekeraar dit in de polis zet als recht, dan zou dat waarschijnlijk in strijd met de openbare orde of goede zeden zijn (art. 3:40 BW). Maar dat levert volgens mij alleen op dat de klant de verzekeraar niet kan dwingen te betalen (een dergelijke verbintenis is immers nietig) of dat de verzekeraar het geld als onverschuldigd betaald kan terugvorderen bij de ransomware-verspreider (en dat heeft geen betekenis). Ik ken geen artikel uit het wetboek van strafrecht dat je tegen zo'n betalende verzekeraar in kunt zetten. Waarschijnlijk is het nooit verboden omdat niemand er aan gedacht heeft dat dit grootschalig een ding kon worden - bij traditionele gijzelingen is de politie er meestal bij betrokken, en die kan dan bepalen wat wijsheid is.

Arnoud Engelfriet is Ict-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. Hij schreef twee boeken, De wet op internet en Security: Deskundig en praktisch juridisch advies.