- Afhankelijkheid van een tactisch team
- Meldplicht kwetsbaarheden bemoeilijkt (inter)nationale samenwerking
- Haken en ogen van commerciële hacksoftware
- Onderzoekers waarschuwen voor patstelling tussen Inspectie en politie
- Kabinet komt in 2023 met reactie op het rapport
- Inspectie wees al eerder op gevaren van commerciële hacksoftware
Om gebruik te maken van haar hackbevoegdheid, doet de politie een beroep op hacksoftware van commerciële partijen. Deze voldoet echter niet aan de goedkeuringseisen die de wet formuleert. Ook het toezicht op de inzet van de hackbevoegdheid laat te wensen over.
Dat concludeert het Wetenschappelijk Onderzoek- en Documentatiecentrum (WODC) in haar evaluatierapport.
Afhankelijkheid van een tactisch team
In opdracht van het ministerie van Justitie en Veiligheid deed het WODC onderzoek naar de Wet Computercriminaliteit III, die in maart 2019 in werking is getreden. Deze wetgeving vertelt hoe en wanneer de politie haar hackbevoegdheid mag inzetten en aan welke eisen voldaan dient te worden. De onderzoekers keken op welke wijze uitvoering wordt gegeven aan de hackbevoegdheid en welke knelpunten zich voordeden in de opsporingspraktijk.
Eén van die knelpunten is dat het Digital Intrusion Team van het Openbaar Ministerie (Digit-OM) een prominente rol speelt bij de beoordeling over de inzet van de hackbevoegdheid. “De inzet van deze bevoegdheid [vereist] zeer specialistische kennis waarover maar weinig mensen beschikken. Omdat Digit-OM uit twee personen bestaat en de verantwoordelijkheid dus vooral op die schouders rust, maakt dat de positie van Digit-OM kwetsbaar”, zo staat er in het evaluatierapport.
Een ander struikelblok is dat voor het binnendringen in een geautomatiseerd werk het soms nodig is dat dit op locatie gebeurt. Volgens de onderzoekers heeft de wetgever daar geen rekening mee gehouden. “Om toch op locatie aanwezig te kunnen zijn, moet Digit soms gebruikmaken van een (bijzondere) opsporingsbevoegdheid. Van deze opsporingsbevoegdheid kan echter alleen gebruik worden gemaakt als die toevallig al door een tactisch team in het opsporingsonderzoek wordt ingezet. Deze afhankelijkheid van een tactisch team vormt voor Digit een knelpunt, omdat een tactisch team niet altijd van plan is zo’n bevoegdheid in te zetten.”
De onderzoekers pleiten dan ook voor de invoering van een steunbevoegdheid.
Meldplicht kwetsbaarheden bemoeilijkt (inter)nationale samenwerking
De politie maakt doorgaans gebruik van bekende kwetsbaarheden om in te breken in hard- en software. Mocht de politie op een onbekende kwetsbaarheid stuiten, dan dient ze dit te melden aan de softwareontwikkelaar. Het probleem is dat hackers en cybercriminelen dat eveneens op de hoogte zijn van deze zero-day exploits en eventueel kunnen misbruiken om digitaal in te breken.
Er bestaat een mogelijkheid om het melden van kwetsbaarheden aan de fabrikant uit te stellen, maar de rechter-commissaris heeft in twee jaar tijd slechts één keer zo’n machtiging afgegeven. “De rechter-commissaris heeft deze machtiging verleend, maar op een gegeven moment zal de kwetsbaarheid toch gemeld moeten worden. Dit roept de vraag op in hoeverre het melden van dit soort kwetsbaarheden zorgt voor meer veiligheid. Het lijkt er eerder op dat personen met criminele intenties in dit soort gevallen juist de gelegenheid krijgen om hun afscherming beter op orde te brengen”, aldus de onderzoekers.
Het WODC wijst er tevens op dat de wettelijke meldplicht de nationale en internationale samenwerking kan bemoeilijken. “In sommige landen is het gebruik van een kwetsbaarheid staatsgeheim. Als Nederland met dat soort landen zou willen samenwerken, is dat problematisch omdat Nederland de verplichting heeft om hetgeen staatsgeheim is in het buitenland, in Nederland te melden. Het risico hiervan is dat die kwetsbaarheid niet langer bruikbaar is en samenwerking voor die landen onaantrekkelijk wordt.”
Haken en ogen van commerciële hacksoftware
Om haar hackbevoegdheid uit te oefenen, maakt de politie gebruik van commerciële hacksoftware. Daar zitten de nodige haken en ogen aan. Om te beginnen is deze software zeer prijzig. In het Regeerakkoord is afgesproken dat commerciële hacksoftware zo min mogelijk gebruikt dient te worden om de markt van onbekende kwetsbaarheden niet onnodig te stimuleren. Het gevolg is dat voor iedere zaak een licentie moet worden aangeschaft. “Omdat dit product bij veel inzetten is gebruikt, wordt geschat dat deze afspraak ertoe heeft geleid dat inmiddels ruim twee keer de aanschafprijs voor het product betaald is.” Naar schatting gaat het om ‘enkele miljoenen’.
Daarnaast zetten de onderzoekers hun vraagtekens bij de betrouwbaarheid, herleidbaarheid en integriteit van de gegevens die de politie verzamelt als ze haar hackbevoegdheid inzet. Om deze aspecten te waarborgen, zijn er keuringseisen opgesteld. In de afgelopen jaren is het echter nauwelijks gelukt om een vooraf goedgekeurd hulpmiddel in te zetten. “Die ontwikkeltijd staat op gespannen voet met het dringende opsporingsbelang waarvan sprake moet zijn om de bevoegdheid in te mogen zetten. Het is dan ook de vraag of het altijd realistisch is om te eisen dat een vooraf goedgekeurd hulpmiddel dient te worden ingezet”, zo schrijft het WODC.
Een ander problematisch aspect van de keuringseisen is dat de ontwikkelaar toegang heeft tot vertrouwelijke informatie die de politie heeft verzameld. “Hoewel contractuele afspraken zijn gemaakt dat de leverancier deze gegevens niet mag inzien en alleen toegang mag hebben tot de server voor het onderhoud van zijn product, kan niet worden uitgesloten dat de leverancier ook op andere momenten zichzelf toegang verschaft tot de server.” Alleen al om die reden kan een technisch hulpmiddel nooit worden goedgekeurd.
Onderzoekers waarschuwen voor patstelling tussen Inspectie en politie
De onderzoekers constateren dat er zich een aantal knelpunten voordoet in de uitvoeringspraktijk. De Inspectie van Justitie en Veiligheid (JenV) richt zich op de naleving van de regels en niet zozeer op de uitvoerbaarheid daarvan. Het gevolg is dat de Inspectie met voorstellen komt om de werkwijze te verbeteren, maar dat de politie deze bewust naast zich neerlegt vanwege de onuitvoerbaarheid. “Een dergelijke patstelling roept de vraag op of de beoogde effecten van het toezicht behaald kunnen worden en wat de consequenties zijn als de Inspectie iets constateert en Digit besluit om daar verder niets mee te doen”, stellen de onderzoekers.
Ook is er discussie over de reikwijdte van het toezicht. De Inspectie richt zich op het handelen van de politie en niet dat van het Openbaar Ministerie. “Het handelen van de Digit-officier en van Digit-politie is in de praktijk echter onlosmakelijk met elkaar verbonden en beide zijn daardoor lastig uit elkaar te trekken”, zo staat er in het rapport. Er worden momenteel gesprekken gevoerd om meer duidelijkheid te krijgen over wie op welke onderwerpen toezicht houdt.
Tot slot stelt het WODC dat de hackbevoegdheid van diverse waarborgen is voorzien. “Die waarborgen zijn er niet voor niets. De bevoegdheid vormt een zeer ingrijpende inbreuk op het privéleven van mensen en mag om die reden niet zomaar worden ingezet. Dat neemt niet weg dat het wenselijk is om een aantal van die waarborgen en daaraan verwante onderwerpen nog eens nader onder de loep te nemen, omdat ze in dit onderzoek als knelpunt naar voren kwamen.”
Kabinet komt in 2023 met reactie op het rapport
Minister van Justitie en Veiligheid Dilan Yeşilgöz-Zegerius laat aan de Tweede Kamer weten dat ze een inhoudelijke reactie op het evaluatierapport voorbereid. In het najaar van 2023 hoopt ze deze te kunnen geven. Het tweede deel van de evaluatie -over de praktische betekenis van de hackbevoegdheid voor de tactische teams en de meerwaarde van deze bevoegdheid binnen een opsporingsonderzoek- kunnen we in de loop van 2024 verwachten.
Inspectie wees al eerder op gevaren van commerciële hacksoftware
De WODC is niet de enige instantie die een mening heeft over de inzet van de hackbevoegdheid door de politie. In mei van dit jaar publiceerde de Inspectie van JenV een jaarverslag over dit onderwerp. Daarin wees ze, net als de WODC, op de risico’s van commerciële hacksoftware. Om te beginnen is de software een ‘black box’, zowel voor de politie als de Inspectie. Zij weten niet hoe het programma werkt, waardoor het onmogelijk is om te oordelen of alles wel door de beugel kan.
Daarnaast wees de inspectie op het gevaar dat de ontwikkelaar van de hacksoftware mogelijk toegang heeft tot alle informatie die de politie binnenhaalt. De politie heeft hierover weliswaar afspraken gemaakt met de softwareleverancier, maar het is technisch onmogelijk om dit te controleren of beperken. “De Inspectie JenV constateert dat hierdoor spanning ontstaat met het rechtskader wat voorschrijft dat alleen specifiek aangewezen politiemensen bij die gegevens mogen komen”, zo schreef de Inspectie in zijn verslag.
Tot slot concludeerde de Inspectie dat ze de afgelopen jaren weinig verbeteringen heeft gezien. “Evenals in 2020 concludeert de Inspectie dat in 2021 nog geen sprake was van een samenhangend kwaliteitssysteem om de kwaliteit van de inzet van de hackbevoegdheid tijdens alle fasen van de uitvoering te borgen. Tevens is geen vooruitgang geboekt in het aantoonbaar waarborgen van de informatiebeveiliging. Interne borging van deze beveiliging en kwaliteit zijn voorwaarden voor een professionele taakuitvoering door de politie en vermindering van het toezicht door de Inspectie.”
