Strafbaarheid van bezit ‘‘hackingtools’’ en malware

In Nederland vindt steeds vaker strafrechtelijke vervolging plaats voor het in bezit hebben van zogenoemde “hackingtools”. Deze kwalificatie van het Openbaar Ministerie (OM) heeft kort gezegd betrekking op technische hulpmiddelen die geschikt zijn gemaakt om vormen van cybercrime mee te plegen (bijvoorbeeld malware).

Een belangrijke oorzaak voor deze ontwikkeling is dat de Nederlandse politie zich in samenwerking met andere landen en organisaties (zoals het European Cybercrime Center van Europol) actief richt op de bestrijding van diensten die cybercrime als dienst aanbieden. Een recent voorbeeld is Webstresser.org, waar tegoed kon worden ingekocht voor het uitvoeren van DDoS-aanvallen. Een ander voorbeeld is Razorcrypter, waar men kwaadaardige bestanden kon laten crypten om deze “fully undetectable” te maken voor virusscanners. Deze dienstverleners zijn in samenwerking met de Nederlandse opsporingsdiensten “platgelegd”.

Bijkomend gevolg van deze strijd tegen cybercrime is dat ook de afnemers van deze diensten in het vizier van de opsporingsdiensten komen en als verdachte kunnen worden aangemerkt (zie ook website politie). Uit de Richtlijn voor strafvordering cybercrime volgt dat het OM ter terechtzitting in beginsel twee weken onvoorwaardelijke gevangenisstraf zal eisen voor het bezit van hacktingtools en/of malware. Het bezit van hacktingtools is dus niet zonder risico. In deze blog wordt besproken onder welke omstandigheden het bezit van hackingtools strafbaar is.

Juridisch kader

Het relevante wetsartikel in dit kader is het Wetboek van Strafrecht, artikel 139d lid 2:

“2. Met dezelfde straf wordt gestraft hij die, met het oogmerk dat daarmee een misdrijf als bedoeld in artikel 138ab, eerste lid, 138b of 139c wordt gepleegd:
a. een technisch hulpmiddel dat hoofdzakelijk geschikt gemaakt of ontworpen is
tot het plegen van een zodanig misdrijf, vervaardigt, verkoopt, verwerft, invoert,
verspreidt of anderszins ter beschikking stelt of voorhanden heeft”

Oogmerk

De eerste voorwaarde voor strafbaarheid van het bezit van hackingtools (of malware) is het oogmerk tot het plegen van strafbare feiten. Het gaat dan specifiek om de in het artikel genoemde misdrijven, te weten artikel 138ab (computervredebreuk), artikel 138ab (bijvoorbeeld DDoS-aanvallen) en artikel 139c (bijvoorbeeld keyloggers).

De persoon die de hacktingtool voorhanden heeft moet daadwerkelijk over het oogmerk beschikken om hiermee strafbare feiten te begaan. Cybersecuritybedrijven, die onderzoek doen naar malware, zullen in beginsel buiten het bereik van dit artikel vallen, omdat het oogmerk van het bezit aantoonbaar niet gericht zal zijn op (kwaadaardig) gebruik. Maar hoe zit het bij bijvoorbeeld nieuwsgierige particulieren?

Vooropgesteld: uit het simpele bezit kan op zichzelf niet het oogmerk tot het plegen van strafbare feiten worden afgeleid. Dit ligt uiteraard anders indien het technisch hulpmiddel daadwerkelijk is ingezet. Volgens de regels van strafvordering zal het OM het oogmerk op het plegen van strafbare feiten dienen te bewijzen. De ervaring bij strafbeschikkingszittingen leert dat het OM min of meer uitgaat van een omgekeerde bewijslast. Aan de verdachte de taak om de afwezigheid van het oogmerk aannemelijk te maken.

Technisch hulpmiddel

Een tweede voorwaarde voor strafbaarheid is dat het technisch hulpmiddel (de hackingtool) hoofdzakelijk geschikt gemaakt is of ontworpen is tot het plegen van genoemde misdrijven. Het technisch hulpmiddel moet specifieke functionaliteiten bevatten om deze strafbare feiten te kunnen plegen.

Dat de software ook gebruikt kan worden voor legale activiteiten is niet relevant, zo oordeelde de rechtbank Rotterdam in een recente zaak over de Blackshades-software (ECLI:NL:RBROT:2018:10149).

Slot

Het bezit van hackingtools leidt al snel tot een strafrechtelijke verdenking van overtreding van artikel 139d lid 2 Wetboek van Strafrecht. Het is de taak van het OM om het oogmerk op het plegen van strafbare feiten te bewijzen. In de praktijk blijkt de bal bij de verdachte te worden neergelegd, die om strafrechtelijke vervolging te voorkomen tijdens het politieverhoor al aannemelijk zal moeten maken dat het oogmerk tot het plegen strafbare feiten afwezig was.

Het OM heeft sinds 1 februari 2018 strenge richtlijnen, en hanteert als uitgangspunt een gevangenisstraf van twee weken. Kortom, het enkele bezit van hacktingtools is niet zonder risico’s.

Meer informatie? Neem contact op met Bob Kaarls, of bel of e-mail naar ons kantoor.