Hof vindt website geen geautomatiseerd werk en spreekt verdachte vrij
Heb jij een interessante vraag op het snijvlak van privacy, cybersecurity en recht? Stuur je vraag naar juridischevraag@security.nl. Elke week geeft ict-jurist Arnoud Engelfriet in deze rubriek antwoord.
Juridische vraag: Een man uit Tiel die voor het inbreken op de website van een Haagse huisartsenpost werd veroordeeld tot een gevangenisstraf van twee maanden, waarvan één maand voorwaardelijk, is in hoger beroep vrijgesproken, las ik bij Security.nl. Dit omdat een website volgens het gerechtshof Den Haag niet als geautomatiseerd werk kan worden aangemerkt. Is dat een pietluttig zoeken naar spijkers op laag water of zit hier meer achter?
Antwoord: Eerst een organisatie hacken, en vervolgens voor veel geld aanbieden om het ‘lek’ te dichten. Dat was volgens het OM het business model van de 29-jarige man uit Tiel. Hem werd computervredebreuk ten laste gelegd, het OM kon zijn beroep op “white hat hacken” niet serieus nemen. Het was een mooie casus om eens te bepalen wat er wel en niet kan als je tegen lekken aanloopt en het je werk is die te dichten.
Die kans is gemist, want na een veroordeling in eerste instantie ging de man in hoger beroep. En daar werd hij vrijgesproken vanwege de semantische discussie dat een website geen “geautomatiseerd werk” is zoals de wet dat bedoelt, namelijk “een inrichting die bestemd is om langs elektronische weg gegevens op te slaan, te verwerken en over te dragen”. In 2013 hadden we nog een discussie over die term ‘inrichting’, dat mag best een samenstel van fysieke dingen zijn maar er moeten wel fysieke ding(en) gehackt zijn, uiteindelijk. (Ook de tegenwoordige definitie, die nog niet gold ten tijde van dit feit, vereist een of meer stukken hardware.)
In 2020 deed ditzelfde Hof ook zoiets, toen het ging om het hacken van een Facebook-account: “Een account op Facebook bestaat feitelijk slechts uit een samenstel van gegevens en heeft daarmee geen fysieke vorm. ” Het OM was daar destijds op voorbereid, door subsidiair "de server achter het account" op te nemen als voorwerp van hack, maar dat mocht dan ook weer niet:
"Dat geldt eveneens ten aanzien van het tweede en derde gedachtestreepje, aangezien de webserver en/of het netwerk en/of de computer(s)(systemen) achter het Facebook-account waarop de verdachte trachtte in te loggen niet toebehoren aan [slachtoffer 2]. Het tweede en het derde gedachtestreepje uit de tenlastelegging kunnen naar het oordeel van het hof daarom evenmin wettig en overtuigend bewezen worden verklaard."
Nou weet ik dat men in het strafrecht van de precieze is, en het is inderdaad fout om te zeggen dat er bij Jansen is ingebroken als men bij een pand in eigendom Pietersen naar binnen ging. Maar ik snap in deze situatie niet welk belang het Hof probeert te beschermen. Had in die Facebook-zaak Meta als mede-slachtoffer moeten zijn opgevoerd? Dat voelt raar: als Jansen de huurder was van dat pand van Pietersen, dan is “inbreken bij Jansen” toch gewoon juist?
Een jaar later kwam de Hoge Raad met een arrest over ddos-aanvallen, die ook alleen op geautomatiseerde werken kunnen worden uitgevoerd. Daar was in de tenlastelegging alleen opgenomen dat “gegevens toegezonden naar de website “[internetsite 2]” waren, wat kennelijk genoeg was:
"Het hof heeft vastgesteld dat de verdachte via de website ‘[internetsite 1]’ zestien Distributed Denial of Service-aanvallen (hierna: DDoS-aanvallen) heeft laten uitvoeren op de website ‘[internetsite 2]’, en dat de toegang tot de website ‘[internetsite 2]’ door deze aanvallen daadwerkelijk (tijdelijk) belemmerd is geweest. Op grond hiervan heeft het hof bewezenverklaard dat de verdachte de toegang tot en/of het gebruik van een geautomatiseerd werk heeft belemmerd. In het licht van de onder 2.5 en 2.6 weergegeven wetsgeschiedenis en gelet op wat hiervoor onder 2.7 is vooropgesteld, geeft dit oordeel niet blijk van een onjuiste rechtsopvatting."
De HR lijkt dus "website" zo te lezen dat "onderliggende serverhardware en netwerkinfrastructuur" er gewoon bij hoort, en heeft er geen moeite mee dat de website-eigenaar een andere entiteit is dan de eigenaar of exploitant van die hardware. Het belang van de strafbaarheid zit hem erin dat die website offline was, of hier dat de verdachte is gegaan waar hij niet mocht zijn. Niet of er een complete lijst bijgevoegd is van de eigenaren van alle componenten.
Dus nee, ik zie niet hoe het Hof in enige redelijkheid tot deze conclusie kan komen.
Arnoud Engelfriet is Ict-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. Hij schreef twee boeken, De wet op internet en Security: Deskundig en praktisch juridisch advies.
Maar goed, ik heb nog wel een vraag hierover:
Dus wat is er dan nog "fysiek hacken"? Alleen het openbreken van een laptop om er een BIOS reset op te kunnen doen?
Noem mij een website of andere applicatie die niet uiteindelijk op hardware draait.
Gegevens in een computer of netwerk hebben altijd een fysieke drager, waardoor het "langs elektronische weg gegevens opslaan, verwerken en overdragen" per definitie betekent dat wijziging van gegevens ook wijziging van iets fysieks inhoudt.
Er is dus altijd een fysieke component aan de hack.
Het lijkt er dus op dat het hof in dit geval heeft laten zien totaal onwetend te zijn op het gebied waarover het uitspraak moest doen.
Het lijkt me ook moeilijk om afpersing te bewijzen, omdat de Tielenaar zijn bericht aan de huisartsenpost zodanig had geformuleerd dat het ook opgevat kan worden als een goedwillende "attendering op risico's". De Tielenaar eiste niet dat hij zelf de bug mocht herstellen, maar bood dat alleen aan. Hij zei dus niet: "Als je die reparatie-opdracht niet aan mij geeft, ga ik jou schade berokkenen."
De Tielenaar maakte dus vaardig gebruik van het middel van "plausible deniability". Dat kunnen we vervelend vinden, maar in een rechtsstaat wordt iemand onschuldig geacht totdat het tegendeel is bewezen (onschuldpresumptie).
Ik zou deze zaak wel willen vergelijken met een Tielenaar die de klep van de fysieke brievenbus van zijn buurman zonder diens toestemming opent, door de opening naar binnen gluurt en constateert dat hij in staat zou zijn de papieren enveloppen die zich daar in de bus bevinden, er zonder veel moeite uit te vissen. Vervolgens belt deze persoon aan bij de eigenaar van de betreffende brievenbus en zegt: "Uw brievenbus is onveilig. Als u wilt, kan ik voor u een nieuwe brievenbus installeren waar de post niet zo makkelijk uitgevist kan worden. Daarvoor breng ik u slechts €20.000,-- in rekening."
Als ik de eigenaar van de brievenbus was, zou ik niet blij worden van zo'n "aanbod". Maar dat wil nog niet zeggen dat strafrechtelijke vervolging op zijn plaats zou zijn. Bij mijn weten is er geen wettelijke bepaling die het mensen verbiedt de klep van een brievenbus te openen (mits men aan die bus geen schade toebrengt).
Software heeft altijd een basis in fysieke hardware. Je kunt een piepkleine verschuiving in een piepklein magnetisch veld (een 0 verandert in een 1) natuurlijk gaan opvatten als een fysiek fenomeen. Maar dan moet je onze menselijke gedachten ook gaan opvatten als fysieke fenomenen en dan verliest het onderscheid tussen enerzijds "fysiek/materieel" en anderzijds "geestelijk/mentaal/informatie" zijn (praktische) betekenis.
Terwijl dat onderscheid wel diep verankerd is in onze cultuur, in de manier waarop we de wereld überhaupt menen te (kunnen) begrijpen, en in onze wetgeving en jurisprudentie. Ik zou me kunnen voorstellen dat het Gerechtshof Den Haag niet wil tornen aan zulke fundamenten. Anderzijds zou ik me ook kunnen voorstellen dat het Gerechtshof Den Haag er niet zo diep over heeft nagedacht. Ik kan niet in de hoofden van die rechters kijken.
Hoe dan ook, ik denk dat er ook een risico bestaat dat mensen vergeten dat de "virtuele" wereld die ons via computerschermen bereikt, inderdaad "virtueel" is, en dat mensen hun gedachten en dromen over virtuele ruimtes ten onrechte gelijk gaan stellen aan het fysiek bezoeken van fysieke ruimtes.
Ik denk dat deze zaak vooral aan het licht brengt dat het geloof van mensen in de voortreffelijkheid van digitale systemen het risico in zich bergt dat ze in een fantasiewereld gaan geloven met als gevolg dat zij op nieuwe manieren kwetsbaar worden. Ik heb zelf steeds gevonden dat medische dossiers niet standaard aan internet gekoppeld moeten worden, maar ofwel op papier, ofwel op stand-alone-computers moeten worden bewaard. Pas in concrete situaties van bijv. noodzakelijke ziekenhuiszorg zouden versleutelde kopieën bijv. via een fysieke USB-stick mogen worden toevertrouwd aan een terminal van het internet om door de huisarts van daaruit naar andere zorgverleners te worden verzonden (na toestemming van de patiënt of diens naasten).
Ik besef heel goed dat dat een compleet andere benadering is dan de structurele privacy-schending die momenteel gangbaar is met medische gevens. Ik vermoed dan men liever blijft wegkijken, waarbij men zich verschuilt achter een vorm van "inevitabilism" (Shoshana Zuboff in The Age of Surveillance Capitalism), dan dat men de bescherming van medische persoonsgegevens eindelijk serieus zal gaan nemen. Maar wie weet... de wonderen zijn de wereld nog niet uit.
Conclusie: in plaats van ons te verbazen of boos te worden over het feit dat een slimme Tielse ondernemer ongestraft bepaalde capriolen kan uithalen, zouden we ook de beveiliging van medische gegevens eindelijk serieus kunnen gaan nemen. Dan zou het Tielse verdienmodel geen kans meer maken.
M.J.
Nooit netjes om een vraag met een wedervraag te beantwoorden. Maar. Rechters stellen zelf ook vragen om de zaken helder te krijgen alvorens te vonnissen. In hoeverre moeten ze dat ook? Of in hoeverre mag je dat van een rechter velangen, niet zozeer voor de individuele zaak maar voor de algemene werking van een onhandig vonnis?
En dan heb ik er nog eentje. In civiele zaken voert altijd de procureur (dus de advocaat) de zaak. Als die denkt dat een rechter mogelijk iets sufs zou kunnen vonnissen, en het op geen manier tegen het belang van zijn client ingaat, hoort die dan niet op zijn minst de rechter een knipoogje of zo te geven dat die wellicht een voor jokertje-vonnis zou kunnen vellen als die niet wat diepere vragen stelt?
Natuurlijk kun je altijd in cassatie gaan. Dan zitten er drie, dus dan is de kans kleiner dat eentje vergeet om door te vragen. Daarna wordt het een stuk lastiger want de hoge raad kijkt enkel naar of de procedure goed doorlopen is, maar niet naar eventuele "nieuwe" informatie. Maar volgens mij kunnen die dan bij pittende rechters (of die toch volgende week met pensioen gaan) de zaak soms toch weer terugverwijzen. Ondertussen zit je dan natuurlijk wel al heel lang met de onzekere gebakken peren.
Ik zou deze zaak wel willen vergelijken met een Tielenaar die de klep van de fysieke brievenbus van zijn buurman zonder diens toestemming opent, door de opening naar binnen gluurt en constateert dat hij in staat zou zijn de papieren enveloppen die zich daar in de bus bevinden, er zonder veel moeite uit te vissen. Vervolgens belt deze persoon aan bij de eigenaar van de betreffende brievenbus en zegt: "Uw brievenbus is onveilig. Als u wilt, kan ik voor u een nieuwe brievenbus installeren waar de post niet zo makkelijk uitgevist kan worden. Daarvoor breng ik u slechts €20.000,-- in rekening."
Ik denk dat je het eerder moet vergelijken met "er is wat fout in de installaties rond uw voordeur. u kunt mij dit voor
20.000 euro laten oplossen. zo niet dan kunt u natuurlijk ook bij een ander advies inwinnen over wat er eventueel fout
is en wat zij offreren voor het herstel".
M.a.w. het hangt er vanaf hoeveel detail er gegeven wordt. Als er precies verteld wordt wat er fout is dan had de arts
dit waarschijnlijk goedkoper kunnen laten oplossen door de leverancier/beheerder van zijn site. Dus laten we er maar
vanuit gaan dat de details in het midden gelaten zijn. Dan komt het toch wel dicht in de buurt van mafia-praktijken.
Dat het recht er zo moeilijk over doet om in "twijfelgevallen" een uitspraak te doen dat vind ik geen voordeel. Het komt
maar al te vaak voor dat overduidelijke misdragingen onbestraft blijven onder het mom van "dat is de rechtsstaat".
Er wordt dan makkelijk vergeten dat er in veel gevallen wel een slachtoffer is, dat het daar dan maar mee moet doen.
Dat is tegen de rechterlijke insteek in dat het duidelijk uit de wettekst moet volgen of dat er een duidelijke instructie / aanwijzing
over de interpretatie moet zijn. De betreffende rechter faalt volgens mijn als rechter en als iemand die met de tijd is meegegaan. De genoemde insteek is niet goed uit te leggen al doet A.Engefriet zijn best daarvoor.
Ah ik moet verder lezen. Na de hardware voorwaarde komt ook tot de vraag dat er wel ergens hardware moet zijn maar nergens vereist dat elk onderdeel waar de overtreding gedaan is expliciet benoemd zou moeten zijn.
..
Er is dus altijd een fysieke component aan de hack.Het lijkt er dus op dat het hof in dit geval heeft laten zien totaal onwetend te zijn op het gebied waarover het uitspraak moest doen.
Als je in een softwaresysteem inbreekt dan breek je onherroepelijk ook in op het hardwaresysteem waarop die software wordt uitgevoerd. Het bestaat simpelweg niet los van elkaar.
Zoals de tweede reageerder schreef: de fysieke component is er altijd.
Nu wordt hij conceptueel leuk. Het krijgt zelfs extradimensionele aspecten. Of iets van de enge dingen van Einstein.
Fysiek inbreken is dat je ergens fysiek aan hebt gezeten. Dus met je vingers aan de processor of zo. Of aan de met een slotje beschermde floppy disc.
Terwijl je bits en bytes helemaal niet aan kunt raken. Of het moet naar een braillelezer gaan.
Met name de conclusie dat hardware en software niet zonder elkaar kunnen bestaan, dùs dat is enkel inbraak op hardware is erg interessant. Is plagiaat dan ook uiteindelijk inbreuk op de hardware van een typemachine. Vraag ik mij zo ineens af.
En telt de rest niet ook. De software bedoel ik. Omdat die veel te vervelend is om te doorgronden wellicht?
Ik zou deze zaak wel willen vergelijken met een Tielenaar die de klep van de fysieke brievenbus van zijn buurman zonder diens toestemming opent, door de opening naar binnen gluurt en constateert dat hij in staat zou zijn de papieren enveloppen die zich daar in de bus bevinden, er zonder veel moeite uit te vissen. Vervolgens belt deze persoon aan bij de eigenaar van de betreffende brievenbus en zegt: "Uw brievenbus is onveilig. Als u wilt, kan ik voor u een nieuwe brievenbus installeren waar de post niet zo makkelijk uitgevist kan worden. Daarvoor breng ik u slechts €20.000,-- in rekening."
Ik denk dat je het eerder moet vergelijken met "er is wat fout in de installaties rond uw voordeur. u kunt mij dit voor
20.000 euro laten oplossen. zo niet dan kunt u natuurlijk ook bij een ander advies inwinnen over wat er eventueel fout
is en wat zij offreren voor het herstel".
M.a.w. het hangt er vanaf hoeveel detail er gegeven wordt. Als er precies verteld wordt wat er fout is dan had de arts
dit waarschijnlijk goedkoper kunnen laten oplossen door de leverancier/beheerder van zijn site. Dus laten we er maar
vanuit gaan dat de details in het midden gelaten zijn. Dan komt het toch wel dicht in de buurt van mafia-praktijken.
Dat het recht er zo moeilijk over doet om in "twijfelgevallen" een uitspraak te doen dat vind ik geen voordeel. Het komt
maar al te vaak voor dat overduidelijke misdragingen onbestraft blijven onder het mom van "dat is de rechtsstaat".
Er wordt dan makkelijk vergeten dat er in veel gevallen wel een slachtoffer is, dat het daar dan maar mee moet doen.
Nee, dit is iemand die naar binnen gaat, papieren gaat lezen en vervolgens zegt "Kijk wat ik allemaal kan lezen, ik kan je voordeur wel verbeteren hoor, stel je voor dat iemand al deze papieren publiekelijk maakt!
Ik zou deze zaak wel willen vergelijken met een Tielenaar die de klep van de fysieke brievenbus van zijn buurman zonder diens toestemming opent, door de opening naar binnen gluurt en constateert dat hij in staat zou zijn de papieren enveloppen die zich daar in de bus bevinden, er zonder veel moeite uit te vissen. Vervolgens belt deze persoon aan bij de eigenaar van de betreffende brievenbus en zegt: "Uw brievenbus is onveilig. Als u wilt, kan ik voor u een nieuwe brievenbus installeren waar de post niet zo makkelijk uitgevist kan worden. Daarvoor breng ik u slechts €20.000,-- in rekening."
Ik denk dat je het eerder moet vergelijken met "er is wat fout in de installaties rond uw voordeur. u kunt mij dit voor
20.000 euro laten oplossen. zo niet dan kunt u natuurlijk ook bij een ander advies inwinnen over wat er eventueel fout
is en wat zij offreren voor het herstel".
M.a.w. het hangt er vanaf hoeveel detail er gegeven wordt. Als er precies verteld wordt wat er fout is dan had de arts
dit waarschijnlijk goedkoper kunnen laten oplossen door de leverancier/beheerder van zijn site. Dus laten we er maar
vanuit gaan dat de details in het midden gelaten zijn. Dan komt het toch wel dicht in de buurt van mafia-praktijken.
Dat het recht er zo moeilijk over doet om in "twijfelgevallen" een uitspraak te doen dat vind ik geen voordeel. Het komt
maar al te vaak voor dat overduidelijke misdragingen onbestraft blijven onder het mom van "dat is de rechtsstaat".
Er wordt dan makkelijk vergeten dat er in veel gevallen wel een slachtoffer is, dat het daar dan maar mee moet doen.
Nee, dit is iemand die naar binnen gaat, papieren gaat lezen en vervolgens zegt "Kijk wat ik allemaal kan lezen, ik kan je voordeur wel verbeteren hoor, stel je voor dat iemand al deze papieren publiekelijk maakt!
(1) De vergelijking met iemand die fysiek een huis binnen gaat, gaat niet op. De Tielenaar is niet fysiek de hardware van het "geautomatiseerde werk" binnengegaan. Hij heeft - voor zover we weten - alleen kennis genomen van sommige software die zich in het geautomatiseerde werk bevond. Daarvoor heeft hij het geautomatiseerde werk wel moeten manipuleren - vandaar mijn vergelijking met het openen van de klep van een brievenbus.
(2) De vergelijking met iemand die vaag zegt: "Er is wat fout met de installaties rond uw voordeur", zonder dat te specificeren, zou mogelijk kunnen kloppen, maar ik vind die vergelijking minder interessant. Want als iemand zoiets vaags beweert, dan ligt het voor de hand dat de bewoner van het huis vraagt: "Welke installaties bedoelt u dan? Wat is er mis met die installaties?" En als de Tielenaar dan geen adequaat antwoord kan geven, of alleen zegt dat "het lampje van de elektrische deurbel af en toe flikkert", dan wordt zijn "aanbod" om voor veel geld te herstellen wat er fout zou zijn, natuurlijk uitermate oninteressant.
Ook zou het dan op zich geen effectieve vorm van afpersing (intimidatie) zijn. Als iemand mij op staat aanspreekt en vraagt: "Waarom kijk je zo naar me? Staat mijn gezicht je soms niet aan?" Dan is het niet die vraag op zich die mij mogelijk angst aanjaagt, maar de non-verbale signalen daaromheen. Als een zware kerel met opbollende spierballen en een dreigend gezicht dat grommend aan me vraagt, voel ik me heel anders dan wanneer een tengere vrouw dat spits en puntig aan me vraagt. In het eerste geval voel ik me waarschijnlijk bedreigd, in het tweede geval eerder geamuseerd.
Vaagheid is op zichzelf geen aanwijzing voor afpersing of "mafia-praktijken". Uit de voorhanden informatie (voor zover mij bekend) blijkt niet dat de Tielenaar zich verbaal of non-verbaal dreigend heeft uitgelaten.
M.J.
(1) De vergelijking met iemand die fysiek een huis binnen gaat, gaat niet op. De Tielenaar is niet fysiek de hardware van het "geautomatiseerde werk" binnengegaan. Hij heeft - voor zover we weten - alleen kennis genomen van sommige software die zich in het geautomatiseerde werk bevond. Daarvoor heeft hij het geautomatiseerde werk wel moeten manipuleren - vandaar mijn vergelijking met het openen van de klep van een brievenbus.
(2) De vergelijking met iemand die vaag zegt: "Er is wat fout met de installaties rond uw voordeur", zonder dat te specificeren, zou mogelijk kunnen kloppen, maar ik vind die vergelijking minder interessant. Want als iemand zoiets vaags beweert, dan ligt het voor de hand dat de bewoner van het huis vraagt: "Welke installaties bedoelt u dan? Wat is er mis met die installaties?" En als de Tielenaar dan geen adequaat antwoord kan geven, of alleen zegt dat "het lampje van de elektrische deurbel af en toe flikkert", dan wordt zijn "aanbod" om voor veel geld te herstellen wat er fout zou zijn, natuurlijk uitermate oninteressant.
Ook zou het dan op zich geen effectieve vorm van afpersing (intimidatie) zijn. Als iemand mij op staat aanspreekt en vraagt: "Waarom kijk je zo naar me? Staat mijn gezicht je soms niet aan?" Dan is het niet die vraag op zich die mij mogelijk angst aanjaagt, maar de non-verbale signalen daaromheen. Als een zware kerel met opbollende spierballen en een dreigend gezicht dat grommend aan me vraagt, voel ik me heel anders dan wanneer een tengere vrouw dat spits en puntig aan me vraagt. In het eerste geval voel ik me waarschijnlijk bedreigd, in het tweede geval eerder geamuseerd.
Vaagheid is op zichzelf geen aanwijzing voor afpersing of "mafia-praktijken". Uit de voorhanden informatie (voor zover mij bekend) blijkt niet dat de Tielenaar zich verbaal of non-verbaal dreigend heeft uitgelaten.
M.J.
Alleen moet er dan in diezelfde wet tegelijk een plicht voor huisartsen met een "nee-nee"-website komen om hun patiënten ook de mogelijkheid te bieden hun medische gegevens op een andere, volwaardige manier te laten bewaren en in te zien. Bijvoorbeeld op een stand-alone-computer of in een papieren archief. Immers, je mag patiënten niet dwingen om hun medische gegevens toe te vertrouwen aan een site die ALLEEN door kwaadwillenden wordt gehackt en daardoor onnodig hoge risico's voor die patiënten met zich meebrengt.
M.J.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
