Is ethisch hacken strafbaar?

Over white hat hacking en het strafrecht

Het woord 'hacken' wordt vaak geassocieerd met het illegaal binnendringen in andermans systemen. Dat is strafbaar gesteld in het Wetboek van Strafrecht. Hacken omvat echter ook het binnendringen met goede bedoelingen. Dit wordt wel ethisch hacken of white hat hacking genoemd.

White hat hackers zoeken actief naar kwetsbaarheden in systemen en netwerken. Anders dan black hat hackers maken zij geen misbruik van de kwetsbaarheden, maar melden zij deze bij de beheerder van het systeem. Het lek kan dan worden gedicht, zodat het systeem daarna veiliger is. Zo kan een ethisch hacker bijvoorbeeld ontdekken dat een formulier op een site niet beveiligd is tegen SQL-injecties.

Een hacker kan echter niet onbeperkt zijn gang gaan. Een DDoS-aanval of het bruteforcen van een wachtwoord zijn bijvoorbeeld geen passende methoden voor een white hat hacker.

In het strafrecht wordt formeel geen onderscheid gemaakt naar de intenties van een hacker. Diverse strafbepalingen – bijvoorbeeld computervredebreuk (art. 138ab Sr) – zijn naar de letter van de wet ook van toepassing op de ethisch hacker. De wet moet tot uitdrukking brengen dat hacken 'onvoorwaardelijk niet is toegestaan' (zie B.J. Koops en J.J. Oerlemans (red.), Strafrecht en ICT, Den Haag: Sdu 2019, p. 39).

Dat betekent echter niet dat hacken in de praktijk ook altijd strafbaar is (voor zover de identiteit van de hacker al bekend is). In de eerste plaats wordt bij een juist uitgevoerde hack met goede bedoelingen niet altijd aangifte gedaan. In de tweede plaats moet voor een strafbare hack sprake zijn van wederrechtelijkheid. Daar liggen kansen voor advocaat en hacker.

Onder omstandigheden geen aangifte

Veel organisaties hebben tegenwoordig beleid met betrekking tot Coordinated Vulnerability Disclosure (CVD), voorheen ook wel Responsible Disclosure (RD) genoemd. Het gaat hier om het op verantwoorde wijze melden van kwetsbaarheden, op een wijze zoals bepaald door de organisatie. Wanneer een kwetsbaarheid is aangetoond en gemeld volgens die regels, wordt in principe geen aangifte gedaan. Integendeel, soms krijgt de hacker zelfs een eervolle vermelding of beloning.

CVD-beleid is ontstaan vanuit de gedachte dat organisaties er baat bij hebben om zo snel en zorgvuldig mogelijk op de hoogte te raken van kwetsbaarheden in hun systemen. Organisaties maken via dit beleid kenbaar op welke wijze – en onder welke voorwaarden – zij bereid zijn om geen aangifte te doen van bijvoorbeeld computervredebreuk. Daarmee bestaat op voorhand enige mate van duidelijkheid over de 'spelregels' van ethisch hacken bij die betreffende organisatie.

Het Nationaal Cyber Security Centrum (NCSC) heeft een leidraad gepubliceerd om de kaders voor Coordinated Vulnerability Disclosure te verduidelijken. Het NCSC benadrukt dat de meldingen in de laatste jaren de veiligheid en continuïteit van informatiesystemen hebben verbeterd, en erkent daarmee de waarde van ethisch hacken.

Het Openbaar Ministerie heeft daarnaast een (herziene) beleidsbrief gepubliceerd. In deze brief zet het College van Procureurs-Generaal uiteen hoe het OM dient te handelen wanneer mogelijk sprake is van ethisch hacken. Uitgangspunt is daarbij dat bij een mogelijk geval van CVD geen strafrechtelijk opsporingsonderzoek plaatsvindt, maar een 'feitenonderzoek'.

Tegelijkertijd wordt in de brief benadrukt dat een (onterechte) claim van white hat hacking geen vrijbrief mag zijn om schade aan te richten bij organisaties. In geval van twijfel wil het OM dan onder meer kunnen beoordelen of een melder niet te ver is gegaan. Wanneer niet aan de voorwaarden van ethisch hacken lijkt te zijn voldaan, kan alsnog strafrechtelijk onderzoek of zelfs vervolging worden ingesteld.

Beoordelingscriteria OM en rechter

Om te beoordelen of sprake is geweest van ethisch hacken, bekijkt het OM of het handelen noodzakelijk was en of voldaan is aan de eisen van proportionaliteit en subsidiariteit. Voor de noodzakelijkheid wordt beoordeeld of sprake was van een zwaarwegend algemeen belang. Proportionaliteit ziet op de vraag of het gekozen middel in een redelijke verhouding stond tot het doel. Subsidiariteit ten slotte ziet op de vraag of de hacker anders had kunnen en moeten handelen. Hier is onder meer van belang of een kwetsbaarheid zo spoedig als mogelijk is gemeld.

Indien het toch tot strafrechtelijke vervolging komt, kan de white hat hacker bepleiten dat de wederrechtelijkheid aan zijn handelen heeft ontbroken. Als de rechter dat verweer honoreert, volgt in de regel vrijspraak (bijvoorbeeld in geval van computervredebreuk). Ik geef enkele voorbeelden.

Een hacker die binnendrong op de server van een ziekenhuis, handelde volgens de rechtbank noodzakelijk om aan te tonen dat het netwerk slecht beveiligd was. Toch ging de hacker niet vrijuit, omdat hij direct naar de media stapte en later nog een paar keer binnendrong op de server. Bovendien heeft hij in het systeem gezocht naar gegevens van een bekende Nederlander. De rechtbank oordeelde daarom dat de grenzen van proportionaliteit waren overschreden en veroordeelde de hacker voor computervredebreuk.

Direct naar de media stappen werd ook een verdachte in een zaak uit 2018 verweten. Ook hier was niet voldaan aan de eis van proportionaliteit.

Een ethisch hacker die in 2020 het wachtwoord van het Twitteraccount van de toenmalige president Trump wist te raden en zo binnendrong op het account, had volgens de regelen der kunst gehandeld en was dus niet strafbaar.

Conclusie

Kortom, ik adviseer de ethische hacker zich eerst te verdiepen in het beleid inzake Coordinated Vulnerability Disclosure van een organisatie. De inhoud daarvan is belangrijk. Hierin kan immers beschreven staan in welke gevallen wel of geen aangifte wordt gedaan. Zo wordt het uitgebreid scannen van systemen niet altijd gewaardeerd, omdat de organisatie niet op voorhand weet of het een white hat hacker betreft of een kwaadaardige indringer. Dan kunnen bijvoorbeeld onnodig kosten worden gemaakt door het Computer Emergency Response Team (CERT) in te zetten.

Bovenal is van belang om de inbreuk zo beperkt mogelijk te houden door het minst vergaande middel te gebruiken, geen gegevens over te nemen en het lek onmiddellijk te melden. Dit laatste dient ook voorzichtig te gebeuren, bijvoorbeeld met een versleuteld e-mailbericht zodat derden geen kennis kunnen nemen van de kwetsbaarheid. Ook raad ik af om zelf actief voorwaarden te stellen, zoals een beloning. Het initiatief daartoe zal vanuit de organisatie moeten komen. Overleg daarover is mogelijk, maar stel dit niet als voorwaarde. Ten slotte is het raadzaam pas naar buiten te treden met de ontdekking nadat de kwetsbaarheid is opgelost.

Behalve wanneer de ethisch hacker volledig anoniem blijft, is vervolging nooit volledig uit te sluiten. De criteria bieden immers ruimte voor interpretatie. Wanneer echter aan al deze voorwaarden is voldaan, is het risico op strafvervolging – ondanks de wat onverbiddelijke wettekst en parlementaire geschiedenis – relatief klein. Vervolging hoort in die gevallen niet plaats te vinden. Want de melder die de inbreuk beperkt houdt, geen gegevens kopieert en direct volgens de CVD-beleidsregels van de organisatie een melding doet, bewijst daarmee de organisatie en de samenleving een dienst.

Als er toch aangifte tegen u wordt gedaan, of een feitenonderzoek dan wel opsporingsonderzoek tegen u loopt, kunt u uiteraard contact opnemen voor advies of bijstand.