Rb. Breda, 26-11-2008, nr. 168681 / HA ZA 06-2057

ICTU heeft aan haar vordering ten grondslag gelegd dat de gedragingen van [gedaagdede 3], [[gedaagde 4]], [gedaagde 5] en [gedaagde 1] dienen te worden aangemerkt als een onrechtmatige daad jegens ICTU op grond van artikel 6:162 BW alsmede op grond van 6:166 BW.

ICTU heeft ter onderbouwing van haar vordering uit onrechtmatige daad op grond van 6:162 BW gesteld dat [gedaagdede 3], [[gedaagde 4]], [gedaagde 5] en [gedaagde 1] hebben gehandeld in strijd met wettelijke strafbepalingen in het bijzonder artikel 161 sexies aanhef en onder 1 en 2 Sr. Voorts heeft ICTU gesteld dat zij inbreuk hebben gemaakt op het eigendomsrecht van ICTU en hebben gehandeld in strijd met hetgeen volgens ongeschreven recht in het maatschappelijk verkeer betamelijk is. ICTU verwijst naar het vonnis van de rechtbank, bekrachtigd door het hof en de Hoge Raad waarin gedaagden strafrechtelijk zijn veroordeeld vanwege hun handelen in strijd met voornoemd artikel 161 sexies Sr.

Ter onderbouwing van haar vordering op grond van artikel 6:166 BW heeft ICTU aangevoerd dat [gedaagdede 3], [[gedaagde 4]], [gedaagde 5] en [gedaagde 1] in groepsverband hebben gehandeld, dat zij overleg hebben gepleegd over de aanvallen, informatie hebben verzameld en de DDoS-aanvallen hebben uitgevoerd. [gedaagdede 3], [[gedaagde 4]], [gedaagde 5] en [gedaagde 1] hebben allen op zich een onrechtmatige daad gepleegd jegens ICTU en wisten althans behoorden te begrijpen dat het groepsoptreden het gevaar schiep voor het ontstaan van schade, aldus ICTU. Ten slotte heeft ICTU aangevoerd dat de kans dat het handelen in groepsverband tot schade zou leiden, [gedaagdede 3], [gedaagde 4], [gedaagde 5] en [gedaagde 1] had moeten weerhouden van het handelen, maar dat op geen enkel manier gebleken is dat gedaagden zich van hun handelen hebben gedistantieerd.

[gedaagdede 3] heeft aangevoerd dat ICTU niet aannemelijk heeft gemaakt dat [gedaagdede 3] in strijd met wettelijke bepalingen heeft gehandeld. [gedaagdede 3] stelt dat de vraag of de veroorzaakte hinder onrechtmatig is, dient te worden beoordeeld aan de hand van hetgeen naar ongeschreven recht in het maatschappelijk verkeer betaamt. [gedaagdede 3] heeft ten slotte gesteld dat niet aangetoond is dat ICTU ernstig gehinderd was in haar bedrijfsvoering.

[[gedaagde 4]] heeft betwist dat sprake is van onrechtmatige daad en heeft gesteld dat het enkele handelen in strijd met een wettelijke strafbepaling geen onrechtmatige daad kan opleveren. Ten aanzien van de stelling van ICTU dat gehandeld is in strijd met de maatschappelijke zorgvuldigheid heeft [[gedaagde 4]] primair aangevoerd dat de aanvallen [gedaagde 4] niet kunnen worden toegerekend en dat de handelingen van [[gedaagde 4]] niet als onrechtmatig beschouwd kunnen worden, en subsidiair aangevoerd dat er geen sprake is van hinder, omdat ICTU onvoldoende aannemelijk heeft gemaakt dat er sprake was van hinder.

[gedaagde 5] heeft ten verwere aangevoerd dat de aanvallen niet kunnen worden gekwalificeerd als een onrechtmatige daad. Voorts heeft ICTU niet aannemelijk gemaakt wie welke rol heeft gespeeld in de aanvallen.

[gedaagde 1] heeft gesteld dat hij zich niet schuldig heeft gemaakt aan een actieve onrechtmatige gedraging en dat er geen sprake was van een bewust gezamenlijk optreden. Dat [gedaagde 1] door de strafrechter is veroordeeld voor medeplegen, levert geen dwingend bewijs op dat hij onrechtmatig heeft gehandeld, aldus [gedaagde 1]. [gedaagde 1] verwijst ter onderbouwing naar het vonnis van rechtbank Zwolle-Lelystad van 18 mei 2005, NJF 2006, 303. Voorzover [gedaagde 1] handelen in strijd met de maatschappelijke betamelijkheid wordt verweten, wijst [gedaagde 1] er op dat hij degene was die door naar de politie te gaan, de DDoS-aanvallen heeft doen eindigen. Ten slotte heeft [gedaagde 1] betwist dat hem enig onrechtmatig handelen jegens ICTU toe te rekenen is.

Artikel 6:166 lid 1 BW bepaalt dat indien één van een tot een groep behorende personen onrechtmatig schade toebrengt en de kans op het aldus toebrengen van schade deze personen had behoren te weerhouden van zijn gedragingen in groepsverband, hoofdelijk aansprakelijk indien deze gedragingen hun kunnen worden toegerekend.

De rechtbank zal in de navolgende rechtsoverwegingen beoordelen of in dit geval aan de in voornoemd artikel gestelde voorwaarden is voldaan.

Gelet op de vonnissen van de rechtbank te 's‑Gravenhage van 14 maart 2005 en de overige stukken uit het dossier blijkt met betrekking tot gedaagden het navolgende:

[gedaagde 1] en anderen hebben zich met het oog op een aanval op websites van de overheid afgezonderd van het IRC-kanaal #0x1FE in een besloten IRC-kanaal. [gedaagde 1] heeft deelgenomen aan het samenwerkingsverband door in dat kanaal mee te chatten, zowel bij de voorbereiding als tijdens de uitvoering van de aanvallen. [gedaagde 1] heeft informatie dienstig voor de aanval met de anderen gedeeld, door de aan te vallen overheidssites uit te zoeken en zijn ontdekking dat de betreffende sites via ASP4ALL op één server draaiden, door te geven aan de anderen (produktie 7, conclusie van repliek). Voorts heeft [gedaagde 1] zich niet gedistantieerd van de DDoS-aanvallen.

[gedaagdede 3] heeft verklaard dat hij op 4 oktober 2004 is benaderd door een persoon met de bijnaam Anarchie om mee te doen met een groep die sites aan het platgooien was in verband met het huidige regeringsbeleid. Hij heeft vervolgens na een verzoek daartoe door voornoemde persoon ongeveer 400 bots het commando heeft gegeven om de site regering.nl aan te vallen. [gedaagdede 3] heeft verklaard dat ongeveer twee uur nadat hij is gaan helpen deze site is platgegaan. [gedaagdede 3] heeft van maandag 4 oktober tot en met vrijdag 8 oktober deels handmatig, deels met behulp van een timer, herhaalde malen aanvalcommando's gegeven. Uit het strafvonnis blijkt verder dat [gedaagdede 3] heeft verklaard dat de jongens zichzelf als een groep beschouwden.

[[gedaagde 4]] heeft op 3 oktober 2004 aan [gedaagde 5] gevraagd tijdens het chatten in het IRC-kanaal of [gedaagde 5] nog van plan was om de overheidssites aan te vallen. [[gedaagde 4]] heeft zich met anderen met het oog op een aanval op websites van de overheid afgezonderd in een besloten IRC-kanaal en hierin is met een kleine groep, waaronder [[gedaagde 4]], verder gechat over het aanvallen van de overheidssites, waarbij is nagegaan welke sites konden worden aangevallen en wat de IP-adressen van die sites waren. [gedaagdede 3] heeft blijkens het proces-verbaal van de zitting van 24 februari 2005 bij de rechtbank te 's‑Gravenhage (produktie 14, conclusie van repliek) verklaard dat ook [[gedaagde 4]] heeft meegedaan aan de aanvallen op de overheidssites.

Ten slotte blijkt uit het strafvonnis dat ook [gedaagde 5] handelingen heeft verricht ten behoeve van de aanvallen op de overheidssites. [gedaagde 5] heeft zich samen met anderen afgezonderd in een besloten IRC-kanaal en met een kleine groep verder gechat over de aanvallen. [gedaagde 5] heeft hierbij het voortouw genomen. Hij heeft verklaard dat hij heeft gezien dat de site van de overheid eruit ging. [gedaagde 5] heeft in het kanaal opdrachten met betrekking tot de aanval gegeven aan de andere aanwezige personen. Verder heeft [gedaagde 5] nog verklaard dat er afspraken zijn gemaakt over wie op welke tijdstippen wel of niet aanwezig waren, zodat de aanvallen gecontinueerd konden worden. [gedaagde 5] heeft tijdens de zitting bij de rechtbank te 's‑Gravenhage aangegeven dat er sprake was van een groep en dat hij die groep coördineerde, wat volgens hem inhield het runnen van de groep en het aanreiken van de informatie (produktie 3, dagvaarding). [gedaagde 5] heeft vanaf het begin deelgenomen aan het samenwerkingsverband en daarin een leidende rol gespeeld.

De rechtbank is gelet op voornoemde handelingen van oordeel dat [gedaagde 1], [gedaagde 5], [gedaagdede 3] en [[gedaagde 4]] onrechtmatig gehandeld hebben jegens ICTU. De onrechtmatigheid van de handelingen is gegeven gelet op de omstandigheid dat gedaagden — onherroepelijk — zijn veroordeeld voor het medeplegen van opzettelijke stoornis in de gang of in de werking van enig werk voor telecommunicatie veroorzaken, terwijl daardoor gemeen gevaar voor verlening van diensten is te duchten, meermalen gepleegd (artikel 161 sexies WvSr). Gedaagden hebben door hun handelingen ieder voor zich een bijdrage geleverd aan de onrechtmatige gedragingen, zo blijkt uit hetgeen is weergegeven onder overweging 3.10.1. Nu vast staat dat alle gedaagden actieve handelingen hebben verricht, is daarbij niet van belang hoe groot de bijdrage is geweest van ieder van de gedaagden. De rechtbank verwerpt [gedaagde 1]s stelling dat hij zich niet schuldig heeft gemaakt aan een actieve onrechtmatige gedraging. Voor de vaststelling van aansprakelijkheid op grond van art. 6:166 BW is het naar het oordeel van de rechtbank niet noodzakelijk dat alle personen een — even grote — actieve bijdrage hebben geleverd. Uit het vonnis van de rechtbank van 14 maart 2005 blijkt immers het tegendeel, nu [gedaagde 1] in ieder geval een actieve bijdrage heeft geleverd door informatie te vergaren en vervolgens te verstrekken in het besloten chatkanaal.

Naar het oordeel van de rechtbank vertonen deze gedragingen voorts een zodanige samenhang dat de gedragingen als gedragingen in groepsverband gekwalificeerd kunnen worden. Dit blijkt reeds uit de omstandigheid dat gedaagden zich met elkaar en anderen in een besloten IRC-kanaal hebben teruggetrokken en met elkaar over de aanvallen hebben gechat. Zowel [gedaagde 5] als [gedaagdede 3] hebben voorts verklaard dat gedaagden zichzelf als een groep beschouwden. Tenslotte heeft de rechtbank te 's‑Gravenhage in de vonnissen van 14 maart 2005 overwogen dat gedaagden een samenwerkingsverband vormden, welke samenwerking in de betreffende periode was gericht op het plat leggen en houden van de websites van de overheid. Het samenwerkingsverband heeft de benodigde capaciteit gegenereerd om de websites van de overheid gedurende een langere periode ontoegankelijk te houden, aldus de rechtbank te 's ‑Gravenhage.

De rechtbank is van oordeel dat [gedaagde 1], [gedaagde 5], [gedaagdede 3] en [[gedaagde 4]] wisten althans behoorden te begrijpen dat hun gezamenlijk optreden er toe zou kunnen leiden dat schade werd toegebracht aan ICTU of een andere partij. Er was immers sprake van gecoördineerde en gerichte aanvallen op de overheidssites, waarbij gedaagden, gezien hun kennis van computers, hadden moeten, dan wel kunnen weten wat de gevolgen van die aanvallen konden zijn en dat de kans op het ontstaan van schade bij ICTU aanwezig was. De kans op het aldus toebrengen van schade had gedaagden moeten weerhouden van hun gedragingen in groepsverband, maar hiervan is niet gebleken. [gedaagde 1]s stelling dat hij op enig moment naar de politie is gegaan, waarna de aanvallen zijn beëindigd, doet hier niet aan af. Op het moment dat [gedaagde 1] de politie heeft benaderd, waren de aanvallen immers al een aantal dagen aan de gang, zodat de kans op schade reeds reëel was.

Gelet op het vorenstaande is de rechtbank van oordeel dat [gedaagde 1], [gedaagde 5], [gedaagdede 3] en [gedaagde 4] (hoofdelijk) aansprakelijk zijn op grond van artikel 6:166 BW voor door ICTU geleden schade als gevolg van DDoS-aanvallen op de bij ICTU in beheer en in eigendom zijnde websites. Om die reden kan in het midden blijven of sprake is van aansprakelijkheid op grond van 6:162 BW.

ICTU heeft gesteld dat zij door het handelen van gedaagden vermogensschade heeft geleden en vordert van gedaagden het bedrag van EUR 471.553,54. ICTU verwijst naar de vonnissen van 14 maart 2005 van de rechtbank te 's‑Gravenhage, waarin is overwogen dat het handelen van gedaagden grote financiële schade heeft veroorzaakt en dat betrokkenen voor kortere of langere tijd ernstig gehinderd zijn in hun bedrijfsvoering. ICTU wijst erop dat onbereikbaarheid en vertraging van websites een slecht imago meebrengt voor de websites en dat de dienstverlening in gevaar komt. Voorts stelt ICTU dat de bezoekers van de websites informatie wordt onthouden, omdat zij tijdelijk de betreffende websites niet kunnen bezoeken. ICTU stelt zich op het standpunt dat de door haar geleden schade een direct gevolg is van de onrechtmatige handelingen van gedaagden en dat ICTU deze kosten niet had hoeven maken, als gedaagden de DDoS-aanvallen niet had uitgevoerd.

[gedaagde 1], [gedaagdede 3], [[gedaagde 4]] en [gedaagde 5] hebben met betrekking tot de gevorderde schadevergoeding aangevoerd dat de door ICTU in dat verband gestelde inkoop van de extra bandbreedte en de Firewall Router als noodoplossing, de inkoop van extra bandbreedte voor de toekomst en de structurele oplossing ter beveiliging van de websites investeringen voor de toekomst zijn. Deze maatregelen hielden geen verband met de aanvallen in oktober 2006 en de kosten daarvan zijn niet aan te merken als vermogensschade, aldus gedaagden. De advieskosten van Adviesbureau Verdonck, Klooster en Associates (VKA) hebben betrekking op structurele maatregelen en houden derhalve eveneens geen causaal verband met de aanvallen. Gedaagden stellen voorts dat de juridische kosten niet gespecificeerd zijn en dat niet aannemelijk is gemaakt waarom deze kosten niet aan te merken zijn als proceskosten. Met betrekking tot de extra uren die de ambtenaren van ICTU zouden hebben gemaakt, stellen gedaagden dat onvoldoende is onderbouwd dat deze uren ook daadwerkelijk aan de aanvallen zijn besteed. Gedaagden doen voor wat betreft de bepaling van de hoogte van de schadevergoeding een beroep op eigen schuld aan de zijde van ICTU. ICTU zou hebben geweten dat de infrastructuur en de capaciteit van de websites te kort schoten en heeft dit risico bewust aanvaard. Gedaagden doen een beroep op matiging van de schadevergoeding op grond van art. 6:109 BW.

Artikel 6:96 lid 2 BW bepaalt dat als vermogensschade mede voor vergoeding in aanmerking komen redelijke kosten ter voorkoming of beperking van schade die als gevolg van de gebeurtenis waarop de aansprakelijkheid berust, mocht worden verwacht (a), redelijke kosten ter vaststelling van schade en aansprakelijkheid (b) en redelijke kosten ter verkrijging van voldoening buiten rechte, wat de kosten onder b en c betreft (c) (…).

De rechtbank bespreekt hierna met inachtneming van het bepaalde in voornoemd artikel de door ICTU gestelde schadeposten.

ICTU heeft gesteld dat door de DDoS-aavallen het netwerk onevenredig is belast met dataverkeer, waardoor ICTU gedwongen was extra bandbreedte en een Firewall Router in te kopen tijdens de aanvallen om de schade zoveel mogelijk te beperken. Voorts heeft ICTU gesteld dat het om eenmalige kosten gaat. ICTU heeft naar het oordeel van de rechtbank voldoende aannemelijk gemaakt dat deze kosten zien op maatregelen die ICTU ten tijde van de aanvallen heeft moeten treffen om verdere schade te voorkomen. Deze schade kan aan gedaagden worden toegerekend. Het door ICTU gevorderde bedrag van EUR 6.050,-- inclusief BTW komt voor toewijzing in aanmerking.

ICTU heeft voorts vergoeding van een bedrag van in totaal EUR 41.055,-- gevorderd, voor de inkoop van extra bandbreedte voor de toekomst, totdat een structurele oplossing was gevonden, en van een bedrag van EUR 309.604,00 ten behoeve van de structurele oplossing ter beveiliging van de websites. Naar het oordeel van de rechtbank kunnen deze kosten niet worden aangemerkt als vermogensschade, ontstaan als gevolg van de DDoS-aanvallen. ICTU heeft zelf gesteld dat de maatregelen een structureel karakter dragen. Zoals gedaagden terecht hebben gesteld, betreft het kosten die ICTU ook zonder de DDoS-aanvallen op enig moment gemaakt zou hebben, ter verbetering van het netwerk en de websites van ICTU. Slechts de kosten, gemaakt ten behoeve van de oplossing van de crisissituatie, ontstaan als gevolg van de aanvallen, kunnen aan gedaagden worden toegerekend. Kosten als gevolg van structurele (beveiligings)maatregelen dienen voor rekening van ICTU te blijven.

ICTU vordert vergoeding van advieskosten, gemaakt in verband met de DDoS-aanvallen. Het betreft door VKA uitgebrachte ad hoc-adviezen, uitgebracht met name ter aansturing van ASP4ALL die maatregelen trof om de websites weer bestuurbaar te maken. Voorts vordert ICTU vergoeding van advieskosten, gemaakt in verband met structurele oplossingen om de continuïteit van de overheidswebsites voor de toekomst te verbeteren.

Naar het oordeel van de rechtbank komen — zoals onder 3.13.1. overwogen — slechts de kosten ten behoeve van het advies voor noodoplossingen voor vergoeding in aanmerking. De rechtbank stelt de hoogte van dit gedeelte van de vergoeding in zoverre vast op EUR 4.819,50, conform de door ICTU als produktie 11 in het geding gebrachte factuur. Met betrekking tot de overige kosten à EUR 22.610,-- en EUR 48.568,-- is de rechtbank van oordeel dat deze kosten vanwege het structurele karakter daarvan niet aan gedaagden kunnen worden toegerekend. Het betreft kosten die ICTU sowieso had moeten maken in verband met verbetering van en investering in het netwerk en de websites. Aldus ontbreekt causaal verband tussen de handelingen van gedaagden en de kosten.

ICTU vordert verder vergoeding van de door ambtenaren extra gewerkte uren als gevolg van de DDoS-aanvallen. ICTU onderbouwt deze vordering door te stellen dat extra werkzaamheden zijn verricht als het doen van aangifte en het opstellen van persberichten en verwijst verder naar de als productie 12 bij dagvaarding overgelegde urenoverzichten. De rechtbank overweegt dat uit de overgelegde urenoverzichten niet kan worden afgeleid voor welke werkzaamheden in verband met de aanvallen welke ambtenaren zijn ingezet en of deze werkzaamheden zijn verricht ter bereddering van de ontstane situatie. Voorts kan hieruit ook niet worden afgeleid dat het in dit geval om extra uren gaat, gewerkt naast de reguliere tijdsbesteding. Nu dit deel van de vordering gelet op de gemotiveerde betwisting daarvan onvoldoende onderbouwd is, dient de vordering dan ook te worden afgewezen.

ICTU vordert vergoeding van de kosten van het inwinnen van juridisch adviezen, die zagen op computercriminaliteit, de gevolgen van een strafprocedure en een civiele procedure. Ter onderbouwing verwijst ICTU naar de als productie 13 bij dagvaarding in het geding gebrachte facturen ten bedrag van EUR 11.675,08.

Naar het oordeel van de rechtbank heeft ICTU onvoldoende onderbouwd dat de bedoelde juridische kosten verband houden met de gebeurtenissen in oktober 2004. Uit de in het geding gebrachte declaraties valt immers niet te herleiden op welke werkzaamheden de declaraties betrekking hebben. Voor zover de kosten van juridisch advies, zoals ICTU heeft gesteld, verband houden met de vaststelling van de schade en de aansprakelijkheid heeft ICTU niet aannemelijk gemaakt dat deze kosten niet aan te merken zijn als proceskosten, maar afzonderlijk voor vergoeding in aanmerking behoren te komen. Voorzover de kosten zien op de beoordeling of ICTU zich als civiele partij zou voegen in de strafprocedure, is de rechtbank van oordeel dat deze kosten onredelijk hoog zijn, nu deze beoordeling van betrekkelijk eenvoudige aard is. Ook dit deel van de vordering wordt afgewezen.

De rechtbank zal van de gevorderde schade toewijzen een bedrag van in totaal EUR 10.869,50. Gelet op de ernst van de gedragingen van gedaagden, de gevolgen ervan en de hoogte van de toe te wijzen schadevergoeding ziet de rechtbank geen grond voor matiging.

[gedaagde 1], [gedaagdede 3], [[gedaagde 4]] en [gedaagde 5] zullen als de grotendeels in het ongelijk gestelde partij in de proceskosten worden veroordeeld. Nu een lager bedrag wordt toegewezen dan door ICTU wordt gevorderd, zal de rechtbank de proceskosten [vastrecht] dienovereenkomstig naar een lager tarief liquideren. De rechtbank begroot de proceskosten aan de zijde van ICTU op basis van het toegewezen bedrag op EUR 2.337,00 waarvan EUR 2.034,00 aan advocaatsalaris.

In het vonnis in incident van 16 mei 2007 is de beslissing over de proceskosten voor zover betrekking hebbend op de kosten aangehouden. Ter zake die kosten zal [[gedaagde 4]] als de in de hoofdzaak in het ongelijk gestelde partij in de proceskosten worden veroordeeld. De rechtbank begroot de proceskosten aan de zijde van ICTU gevallen in het incident op basis van het toegewezen bedrag op EUR 452,00 aan advocaatsalaris.

veroordeelt [gedaagde 1], [gedaagdede 3], [[gedaagde 4]] en [gedaagde 5] hoofdelijk, ieder voor het geheel des dat de één zal zijn bevrijd wanneer de ander zal hebben betaald tegen behoorlijk bewijs van kwijting, aan ICTU te betalen een bedrag van EUR 10.869,50 (zegge: tienduizendacht-honderdnegenenzestig euro vijftig cent), vermeerderd met de wettelijke rente als bedoeld in art. 6:119 BW over dit bedrag vanaf de dag der dagvaarding tot de dag van volledige betaling,

veroordeelt [gedaagde 1], [gedaagdede 3], [[gedaagde 4]] en [gedaagde 5] hoofdelijk, ieder voor het geheel des dat de één zal zijn bevrijd wanneer de ander zal hebben betaald, in de kosten van het geding, voor zover aan de zijde van ICTU gevallen, tot op heden begroot op EUR 2.337,00, waaronder begrepen een bedrag van EUR 2.034,00 aan advocaatssalaris;

veroordeelt [[gedaagde 4]] in het incident in de kosten van het incident, voor zover aan de zijde van ICTU gevallen, tot op heden begroot op EUR 452,-- aan advocaatssalaris;

verklaart dit vonnis tot zover uitvoerbaar bij voorraad,

wijst het meer of anders gevorderde af.