Heb jij een uitdagende vraag over beveiliging, recht en privacy, stel hem aan ICT-jurist Arnoud Engelfriet en maak kans op zijn boek
"De wet op internet".

Arnoud is van alle markten thuis, maar vindt vooral in technische / hacking vragen een uitdaging. Vragen over licenties worden niet behandeld, aangezien die geen raakvlak met beveiliging hebben. De Juridische vraag is een rubriek op Security.nl, waar wetgeving en security centraal staan. Elk kwartaal kiest Arnoud de meest creatieve vraag, die dan zijn boek zal ontvangen.

Vraag: Ik ben beveiligingsonderzoeker en was laatst in Duitsland op een conferentie. Daar hoorde ik dat Duitsland een nogal strenge benadering had betreffende het bezit van 'hacking tools'. Dat zou eigenlijk altijd strafbaar zijn, ook al handel je volstrekt te goeder trouw. Klopt dat?

Antwoord: Zowel in Nederland als in Duitsland hebben we regels over het bezit van computerinbraaktools. In Nederland staat het zo in art. 139d lid 2 Strafrecht:
Hij die met het oogmerk dat daarmee [computervredebreuk wordt gepleegd] ... een technisch hulpmiddel dat hoofdzakelijk geschikt gemaakt of ontworpen is tot het plegen van [computervredebreuk] vervaardigt, verkoopt, verwerft, invoert, verspreidt of anderszins ter beschikking stelt of voorhanden heeft [wordt gestraft etcetera]

Een pentestingtool of zelfs maar een simpele wachtwoordtester kan hieronder vallen. Maar dan moet wel aan twee eisen zijn voldaan:
1) De tool moet zijn ontworpen of "hoofdzakelijk geschikt" zijn om mee in te breken in een computersysteem
2) Het maken, voorhanden hebben, verkopen, verspreiden etcetera moet gebeuren met het doel dat iemand dat ook werkelijk doet.

Een wachtwoordtester valt hier in het algemeen niet onder. Deze zijn niet "hoofdzakelijk geschikt" of "ontworpen" om mee in te breken. Hun enige doel is wachtwoorden testen, en daaruit kun je niet afleiden of dat te goeder of te kwader trouw bedoeld is.

Een exploit die na het aanklikken een privilegeëscalatie doet en een rootkit installeert, is wel hoofdzakelijk geschikt om in te breken. Natuurlijk kún je die ook gebruiken om te kijken of je zelf kwetsbaar bent voor de achterliggende bug, maar dat lijkt mij een ondergeschikt gebruik. (Als er geen rootkit wordt geïnstalleerd en alleen bv. Notepad wordt gestart, of alleen "you have been h4x0rd" in beeld komt, is het twijfelachtig.)

Zulke tools zijn dus problematisch om te bezitten. Je moet dan terugvallen op het tweede criterium: jouw reden om deze tools te bezitten of verspreiden. Ben je een bekend beveiligingsbedrijf, dan zal niet snel sprake zijn van het bezitten of verspreiden met het doel om daar misdrijven mee te plegen. Verzin je een leuke l33t naam voor jezelf en je groepje en doe je regelmatig ongevraagde pentesten, dan zul je een probleem hebben.

In Duitsland is het criterium iets anders geformuleerd. Het wetsartikel zegt daar:
Wer eine Straftat nach § 202a oder § 202b [=computervredebreuk] vorbereitet, indem er ... Computerprogramme, deren Zweck die Begehung einer solchen Tat ist, herstellt, sich oder einem anderen verschafft, verkauft, einem anderen überlässt, erbreitet oder sonst zugänglich macht, wird mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft.

De Duitse opzet is dus iets anders:
1) De tool moet als doel (Zweck) hebben om computervredebreuk te plegen, maar er staat niet zoals bij ons "hoofdzakelijk" bij. Ook een bijkomstig doel zou je er al onder kunnen doen vallen.
2) Er moet iemand van plan zijn er computervredebreuk te plegen, maar dat hoeft bij jou niet bekend te zijn. Onze formulering met "oogmerk" impliceert dat je zelf had moeten weten dat de tool voor Evil ingezet gaat worden.

In de praktijk vermoed ik dat het niet veel uit zal maken. De prioriteit bij het aanpakken van een individu met een paar tools op de harde schijf is zowel hier als in Duitsland erg laag, tenzij er omstandigheden zijn waaruit blijkt dat die persoon daadwerkelijk aan het inbreken is of anderen daarbij helpt.

Arnoud Engelfriet is ICT-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. In 2008 verscheen zijn boek "De wet op internet".