De politie houdt zich niet altijd aan de regels wanneer het de hackbevoegdheid inzet, zo concludeert de Inspectie Justitie en Veiligheid in een vandaag verschenen verslag (pdf). De Wet Computercriminaliteit III geeft politie de bevoegdheid om heimelijk een geautomatiseerd werk zoals een laptop of een smartphone van een verdachte binnen te dringen. De Inspectie JenV houdt toezicht op de inzet van deze hackbevoegdheid.

Vorig jaar heeft het Openbaar Ministerie voor acht zaken in totaal zeventien bevelen afgegeven voor het inzetten van de hackbevoegdheid. Op alle acht inzetten heeft de Inspectie JenV toezicht gehouden. De inzet ging niet altijd volgens de regels, zo blijkt uit het jaarverslag. In de wet staat dat bij de uitvoering van de hackbevoegdheid doorlopend en automatisch gegevens worden vastgelegd in logbestanden.

Het gaat dan om de handelingen die worden verricht voor het uitvoeren van het bevel, de toegang tot een technisch hulpmiddel, de gegevens die al dan niet met een technisch hulpmiddel zijn verkregen en het functioneren van de technische infrastructuur. Wanneer de gegevens niet automatisch zijn vast te leggen moet dit handmatig gebeuren. In alle acht de zaken waarbij de hackbevoegdheid vorig jaar werd ingezet is de logging niet geheel volgens de wet uitgevoerd.

"In alle acht zaken is de logging van uitgevoerde handelingen niet volledig. Dit heeft de mogelijkheden tot interne controle door de politie en de toezichthoudende taak van de Inspectie bemoeilijkt. Daardoor heeft de Inspectie JenV niet kunnen vaststellen of zich gedurende de uitvoering van de bevelen een onregelmatigheid heeft voorgedaan, die van invloed is op de betrouwbaarheid van de met de onderzoekshandelingen verkregen gegevens", zo laat de Inspectie weten.

Technisch hulpmiddel

Het doorzoeken van een laptop of computer kan handmatig of met een technisch hulpmiddel worden uitgevoerd. Bij zes van de acht zaken vorig jaar werd door de officier van justitie bevolen om het onderzoek via een technisch hulpmiddel te verrichten. De Inspectie stelt vast dat in geen van deze zes zaken onderzoek is uitgevoerd met een vooraf goedgekeurd technisch hulpmiddel.

Bij de overige twee zaken moest het onderzoek handmatig worden uitgevoerd. In een van deze zaken maakte de politie gebruik van een zelf ontwikkeld script. Volgens de Inspectie is gezien de functionaliteit van het script er sprake van een technisch hulpmiddel.

Testen

De Inspectie stelt ook vast dat de politie in een aantal zaken bij de toepassing van de hackbevoegdheid de uitgevoerde handelingen niet vooraf volledig heeft getest. Dit zorgde bij de uitvoering van die zaken voor technische problemen die volgens de Inspectie te vermijden waren geweest als de politie wel had getest. De problemen hadden geen negatieve gevolgen voor het onderzochte apparaat of systemen van derden.

Verder beschikte de politie vorig jaar niet over een intern kwaliteitssysteem om eventuele tekortkomingen in de toepassing van de hackbevoegdheid tijdig te identificeren en te verhelpen. "Daardoor kan zij zelf niet aantonen dat de verwerking van de politiegegevens in overeenstemming wordt verricht met de wettelijke eisen en dat passende beveiligingsmaatregelen zijn getroffen", merkt de Inspectie op.

Zero-days

Om het systeem van een verdachte binnen te dringen kan de politie gebruikmaken van "binnendringsoftware", die bijvoorbeeld gebruikmaakt van een kwetsbaarheid in het systeem van de verdachte. Handmatig binnendringen kan bijvoorbeeld via verkregen inloggegevens. De politie zou via een onbekende kwetsbaarheid, een zogenoemde zeroday, toegang tot het systeem kunnen krijgen.

De Inspectie laat weten dat de politie vorig jaar geen enkele keer eigen ontwikkelde of ingekochte informatie over onbekende kwetsbaarheden heeft ingezet om het systeem van een verdachte binnen te dringen. Wel maakte de politie in drie van de acht gebruik van commerciële binnendringsoftware. Dergelijke software mag uitsluitend worden ingezet wanneer minder ingrijpende middelen niet voldoende zijn.

"Ondanks dat het hackteam nog in de opbouwfase verkeerde, heeft de politie deze nieuwe hackbevoegdheid goed opgepakt. Zij heeft zich aan vrijwel alle wettelijke eisen gehouden die gelden voor dit heimelijk binnendringen en onderzoeken", zo stelt de Inspectie. Wel zijn er verbeteringen nodig bij logging, de inzet van technische hulpmiddelen, bij het testen van uit te voeren handelingen en bij het aantoonbaar beheersen van beveiligingsrisico's.