HR, 22-02-2011, nr. 09/02184

Het gaat in deze zaak om het volgende. De verdachte en zijn medeverdachte hebben een groot aantal computers geïnfecteerd met verschillende versies van een door de verdachte zelf ontwikkeld virus, het W32.Toxbot-virus. Door middel van dit Toxbot-virus werd een botnet(werk) tot stand gebracht.1. De verdachten hadden aldus, als beheerders van het netwerk, de controle over de geïnfecteerde computers. Het Toxbotvirus was voorzien van verschillende ‘functionaliteiten’, die door middel van opdrachten door de verdachten konden worden geactiveerd.2. Zo konden de verdachten het virus de opdracht geven zich over andere, nog niet geïnfecteerde computers te verspreiden.3. Het botnet breidde zich daardoor uit. Zo omvatte het netwerk op 11 juli 2005 meer dan 30.000 geïnfecteerde computers, terwijl het op 8 augustus 2005 al uit 50.096 computers bestond.4. Op dit infecteren van computers ziet het onder 1 tenlastegelegde (computervredebreuk).

Tot de opdrachten die aan de bots gegeven konden worden, behoorde ook de opdracht een bepaalde trojan (Wayphisher) te downloaden en te installeren.5. Deze trojan zorgde ervoor dat nietsvermoedende internetbankierende computergebruikers werden omgeleid naar een ander internetadres en zo hun financiële gegevens (gebruikersnamen, wachtwoorden, enz.) invulden op inlogschermen die bedrieglijk veel op die van de bank leken. Ook op andere wijze werden inloggegevens onderschept. Tot de functionaliteiten van het Toxbotvirus behoorde het vastleggen en versturen van toetsenbordaanslagen door zogenaamde keyloggers. Deze functionaliteit werd geactiveerd zodra de gebruiker een internetadres intypte waarin bepaalde woorden (zoals bank, login, ebay en paypal) voorkwamen. Op dit doen installeren van het Wayphister-trojan en van de (van het Toxbotvirus deeluitmakende) keyloggers zien de onder 2 en 3 tenlastegelegde feiten (art. 161sexies Sr).6.

De aldus onderschepte inloggegevens werden door de verdachten gebruikt voor het doen van bestellingen op internet ten koste van de rekeninghouders. De verdachten werkten voorts aan een methode om met behulp van de onderschepte gegevens geld van privérekeningen over te maken naar eigen rekeningen.

Voor zover voor de beoordeling van de middelen relevant, is aan de verdachte tenlastegelegd dat:

Van het onder 2 en 3 tenlastegelegde heeft het Hof vrijgesproken. Onder 1 heeft het Hof bewezenverklaard dat:

De artikelen 138a en 161sexies Sr luidden in tenlastegelegde periode:

Van belang zijn ook de artikelen 326c en 350a Sr. Die luidden in de tenlastegelegde periode:

Het op 1 september 2006 ingevoerde art. 138b Sr7. luidt:

In het navolgende zal ik eerst het middel van de plaatsvervangend Advocaat-Generaal bespreken; het middel van de verdachte komt daarna aan de orde.

Het middel klaagt dat het Hof de grondslag van de tenlastelegging heeft verlaten, nu het de verdachte van het onder 2 en 3 tenlastegelegde heeft vrijgesproken, en daarbij een onjuiste uitleg heeft gegeven aan de in die tenlastelegging voorkomende begrippen ‘geautomatiseerd werk’ en/of ‘gemeen gevaar voor de verlening van diensten’.

Voor zover voor de beoordeling van het middel relevant, houdt het bestreden arrest in:

De vraag waarop het middel zich toespitst, is of het gemeen gevaar voor de verlening van diensten waarvan art. 161sexies Sr spreekt, te duchten moet zijn van de vernieling (enz.) van een geautomatiseerd werk dat bij de dienstverlener in gebruik is. Het Hof beantwoordt die vraag kennelijk bevestigend. De indiener van het middel daarentegen stelt zich op het standpunt dat ook de vernieling (enz.) van computers die bij de afnemers van de diensten in gebruik zijn het strafbare feit van art. 161sexies Sr oplevert als daarvan gemeen gevaar voor de verlening van diensten te duchten is. De vraag die daar doorheen speelt, is wat onder het bedoelde gemeen gevaar moet worden verstaan.

De Memorie van Toelichting op het wetsvoorstel strekkende onder meer tot invoering van artikel 161sexies Sr (Wet computercriminaliteit) houdt onder meer in:

In de Memorie van Antwoord wordt ingegaan op de kritiek die door de Raad van Centrale Ondernemingsorganisaties op het wetsvoorstel was geuit. Daarbij wordt onder meer gesteld:

In de MvT wordt opgemerkt dat het voorgestelde art. 161sexies aansluit bij de bestaande bepalingen uit Titel VII van Boek 2 van het Wetboek. De in deze Titel opgenomen gemeengevaarlijke delicten zijn er evenwel in soorten en maten. Ik zal dat hierna pogen te verduidelijken. Dit omdat de vraag is bij welke bepalingen in het bijzonder art. 161sexies aansluit. In het verlengde daarvan ligt de vraag hoeveel gewicht moet worden toegekend aan het beroep dat in de MvT en de MvA wordt gedaan op het karakter van de gemeengevaarlijke delicten.

Het in de praktijk meest voorkomende en daardoor wellicht gezichtsbepalende gemeengevaarlijke delict is de brandstichting, strafbaar gesteld in art. 157 Sr, waarmee de genoemde Titel VII opent. Het gemeengevaarlijke karakter van dit delict schuilt in de aard van de handeling: brandstichting is gevaarlijk omdat het vuur om zich heen kan grijpen. Het gaat bij de strafbaarstelling dan ook niet om de bescherming van het in brand gestoken object. Dat wordt onderstreept door het feit dat ook iemand die zijn eigen spullen in brand steekt, zich schuldig kan maken aan art. 157 Sr. Want ook dan kan het gevaar bestaan dat de brand overslaat naar andere goederen of dat mensen in de vlammen omkomen. In dat dreigende gevaar vindt de strafbaarstelling haar grond. Brandstichting is dan ook niet strafbaar (althans niet op grond van art. 157 Sr) als dat gevaar objectief gezien niet aanwezig is.

In de MvA wordt, met een beroep op Noyon-Langemeijer-Remmelink, gesteld dat ‘gemeen gevaar voor de verlening van diensten’ ziet ‘op een zodanige stoornis van een geautomatiseerd werk dat vooraf geen inzicht kan worden gevormd over de omvang van de schade die daardoor wordt aangericht’. In Noyon-Langemeijer-Remmelink wordt weer verwezen naar de MvT op art. 157 Sr, waarin ter adstructie van de overeenkomst tussen brandstichting enerzijds en het veroorzaken van een ontploffing of overstroming anderzijds wordt gesteld: ‘Men brengt eene natuurkracht in werking waarvan de gevolgen niet te berekenen zijn.’.8. Naar mijn mening kan uit deze karakterisering niet worden afgeleid dat strafbaarheid steeds ontbreekt als vooraf duidelijk is wat de (totale) omvang van de schade zal zijn. Dat geldt ook voor brandstichting. Waar het mijns inziens om gaat, is dat vooraf niet te voorzien moet zijn dat de brand beperkt blijft tot het in brand te steken object. Als die voorzienbaarheid ontbreekt, zijn, om met de MvT op art. 157 Sr te spreken, de gevolgen niet te berekenen. Er is dan sprake van gemeen gevaar voor goederen. Dat is niet het geval als wél vooraf te berekenen valt dat het vuur tot het in brand te steken object beperkt blijft. Het stellen van een verdergaande eis — in die zin dat de totale omvang van de brand niet te voorspellen moet zijn — is in strijd met de ratio legis. Stel de dader steekt een hooiberg in brand die op het erf staat van een eenzame boerderij op het godvergeten Groninger platteland. Vooraf staat dan vast dat alleen de boerderij en de daarin aanwezige goederen gevaar kunnen lopen. Waarom zou de strafbaarheid in dat geval moeten afhangen van de vraag hoe zeker het vooraf gezien is dat de brand de hele boerderij in de as zal leggen? Voldoende is dat de kans dat de brand overslaat objectief gezien reëel is. Het is absurd om straffeloosheid aan te nemen als het menselijkerwijs gesproken zo goed als zeker is — doordat de hooiberg zowat tegen het kurkdroge rieten dak van de boerderij aanleunt — dat de hele boerderij met al wat daarin is in vlammen zal opgaan. Of de totale omvang van de schade al dan niet te voorzien valt, doet dus niet terzake.9.

Daar komt dan nog bij dat het in de MvT op art. 157 Sr ging om een karakterisering van de gedragingen die in art. 157 Sr zijn strafbaar gesteld. Er is dus geen goede grond om het gestelde door te trekken naar gemeengevaarlijke delicten die niet bestaan uit het in werking brengen van een natuurkracht.

Omdat het gevaar bij brandstichting in de handeling schuilt, is het delict voltooid zodra de brand is gesticht. Dat betekent dat de strafbaarheid niet afhankelijk is van daadwerkelijke schade. Het gevaar behoeft niet te zijn gerealiseerd. De wet eist ook niet dat het in brand gestoken object is vernield, beschadigd of onbruikbaar gemaakt. Om de bescherming van dat object gaat het als gezegd niet. Omgekeerd geldt dat het aanrichten van daadwerkelijke schade nog niet betekent dat de dader zich schuldig heeft gemaakt aan het strafbare feit van brandstichting (art. 157 Sr). In de eerste plaats uiteraard omdat de schade ook op andere wijze dan door brandstichting kan zijn aangericht. In de tweede plaats omdat sprake kan zijn van afzonderlijke brandstichtingen. Wie een hooiberg in de brand steekt, maakt zich schuldig aan art. 157 Sr als het gevaar bestaat dat de brand overslaat naar twee andere zich in de nabijheid bevindende hooibergen. Wie daarentegen drie ver van elkaar in de verlatenheid staande hooibergen in de brand steekt, pleegt niet het strafbare feit van art. 157 Sr, ook al is de schade even groot of groter. Van gemeen gevaar voor goederen is in dat geval geen sprake geweest.

Voor de onderhavige casus is dat wellicht niet zonder betekenis. Het enkele feit dat een groot aantal particulieren niet (veilig) meer kan internetbankieren, betekent nog niet dat sprake is geweest van een gemeen gevaar voor de verlening van diensten dat zich heeft gerealiseerd. Als een bende onverlaten plunderend door de stad trekt en met knuppels alle personal computers die zij aantreft, in elkaar slaat, is het effect daarvan dat een grote groep burgers internetbankieren wel even kan vergeten. Maar dat wil niet zeggen dat de groep onverlaten zich schuldig heeft gemaakt aan het medeplegen van art. 161sexies Sr. Van de vernieling van één enkel geautomatiseerd werk (daarop lijkt het artikel het oog te hebben) die tot gevolg heeft dat de dienstverlening gevaar loopt, is geen sprake. Het opgetreden effect is het gevolg van een veelheid van vernielingen, die elk afzonderlijk geen gevaar voor de dienstverlening opleverden.

Dat het bij art. 157 Sr niet gaat om de bescherming van het object dat in brand wordt gestoken, brengt ook mee dat het bij het vereiste gemeen gevaar voor goederen niet gaat om de schade die het gevolg kan zijn van de vernieling of de beschadiging van dat object. Een voorbeeld om dat te verduidelijken. Als iemand een vuurtoren in de brand steekt, valt doorgaans objectief te voorzien dat die vuurtoren daardoor zal ophouden te branden met als gevolg dat talloze schepen op zee op de klippen dreigen te lopen. Toch is daarmee de delictsomschrijving van art. 157 Sr niet vervuld. Het gevaar dat de schepen lopen, is namelijk niet het gemeen gevaar voor goederen waarop het artikel het oog heeft. Dat gevaar is dat de brand zal overslaan op andere goederen. En dat gevaar lopen de schepen op zee niet.

Er zijn ook gemeengevaarlijke delicten waarbij het wel (primair of zelfs uitsluitend) gaat om de schade die het gevolg is van de vernieling van het desbetreffende object. Men denke bijvoorbeeld aan de vernieling van een elektriciteitscentrale (art. 161bis Sr). Van gemeen gevaar voor goederen is hier bijvoorbeeld sprake als diepgevroren goederen door de stroomuitval dreigen te bederven (HR 10 oktober 1989, NJ 1990, 172). Het gemeen gevaar voor goederen bestaat hier dus niet uit het gevaar dat ook andere elektriciteitscentrales door de vernieling onklaar raken. De vernieling van één centrale is al erg genoeg. Dat wordt onderstreept door het feit dat gemeen gevaar voor goederen of levengevaar voor een ander hier geen noodzakelijke voorwaarde voor strafbaarheid is. Als de vernielde centrale stroom ten algemene nutte levert, is het enkele feit dat de stroomlevering is verhinderd of bemoeilijkt, voldoende voor strafbaarheid (art. 161bis sub 1^o Sr).

Het verschil vindt zijn verklaring mijns inziens in het feit dat het misdrijf van art. 161bis Sr zijn gemeengevaarlijke karakter niet ontleent aan de gevaarlijkheid van de gedraging, maar aan de beschermenswaardigheid van het betrokken object. De wijze waarop het elektriciteitswerk wordt vernield, doet dan ook niet ter zake. Dat kan brandstichting zijn, maar bijvoorbeeld ook een bombardement. Elke gedraging die tot vernieling van het werk leidt, valt onder de delictsomschrijving. Dat wijst erop dat het in art. 161bis Sr, anders dan in art. 157 Sr, wél om de bescherming van het object in kwestie gaat. Elektriciteitswerken zijn in onze samenleving van zo'n vitaal belang, dat zij een bijzondere bescherming verdienen. De afhankelijkheid van de samenleving van elektriciteit is zo groot, dat met het tegengaan van stroomuitval een algemeen belang is gemoeid. Die betrokkenheid van het algemeen belang maakt dat het gevaar dat de stroomlevering ten algemene nutte uitvalt als een gemeen gevaar kan worden bestempeld.

Het belang van een ongestoorde stroomvoorziening (dat in art. 161bis Sr bescherming vindt), maakt voorts dat het ‘gemeen gevaar voor goederen’ waarvan het artikel spreekt, een eigen inhoud krijgt. Het gaat om het gevaar dat goederen lopen doordat de stroomvoorziening uitvalt. Het voorbeeld van de in brand gestoken vuurtoren kan hier nogmaals dienstig zijn. Van gemeen gevaar voor goederen in de zin van art. 157 Sr was, zo zagen wij, in het voorbeeld geen sprake. Een ramp is dat niet. De vernieling van een vuurtoren valt onder art. 166 Sr en levert dus een apart gemeengevaarlijk delict op. Het gevaar dat schepen stranden, zou bij dat delict wél ‘gemeen gevaar voor goederen’ hebben opgeleverd, zij het dat de wetgever dat gevaar specifieker heeft omschreven, namelijk als ‘gevaar voor de veiligheid van de scheepvaart’.

Het is de eigen, wisselende inhoud die het vereiste van te duchten gevaar bij de verschillende gemeengevaarlijke delicten heeft, die maakt dat het hachelijk is om, zoals in de MvA met betrekking tot art. 161sexies Sr is gedaan, het begrip gemeen gevaar zoals dat in het kader van art. 157 Sr functioneert, te veralgemeniseren en daaruit conclusies te trekken met betrekking tot andere delicten (vergelijk hiervoor, punt 17). Op grond van die benadering wordt zoals wij zagen in de MvA gesteld dat er geen sprake is van gemeen gevaar als ‘de stoornis zich [beperkt] tot een computer die betrekking heeft op een bepaald soort dienstverlening, die door de schade uitvalt, zonder dat verderstrekkende gevolgen kunnen intreden.’10. Als in de MvA aansluiting was gezocht bij het type gemeengevaarlijke delicten waarvan sprake is in art. 161bis en art. 166 Sr, had deze beperkte uitleg allerminst voor de hand gelegen. Een elektriciteitscentrale beperkt zich maar tot één bepaald soort dienst, namelijk de levering van stroom. Toch wordt de storing in de stroomvoorziening als een gemeen gevaar beschouwd. Ook de functie van een vuurtoren is nogal eenzijdig. Toch kan de vernieling van die vuurtoren gevaar voor de veiligheid van de scheepvaart opleveren. Als naar analogie daarvan wordt geredeneerd, valt niet goed in te zien waarom niet van een gemeen gevaar voor de verlening van diensten kan worden gesproken als de vernieling van een computer die maar één (vitale) functie vervult (zoals het faciliteren van internetbankieren), tot gevolg heeft of dreigt te hebben dat de daarmee gemoeide dienstverlening niet meer mogelijk is.

Een belangrijke vraag is gelet op het voorgaande om welk type gemeengevaarlijk delict het in art. 161sexies Sr gaat. Gaat het om het ontketenen van (natuur)krachten die niet in de hand zijn te houden of gaat het om het vernielen, beschadigen (enz.) van installaties die in de maatschappij een cruciale functie vervullen? Er kan mijns inziens weinig twijfel over bestaan dat het laatste het geval is. Daarop wijst in de eerste plaats de reden voor strafbaarstelling die in de MvT wordt genoemd. Zoals wij zagen, wordt die reden gezocht in ‘de plaats die de geautomatiseerde opslag, verwerking en overdracht van gegevens in de samenleving is gaan innemen’. Bedoeld lijkt te zijn dat de toenemende afhankelijkheid van de samenleving van die geautomatiseerde opslag en verwerking maakt dat daarmee algemene belangen zijn gemoeid en dat daarom strafbaarstelling als gemeengevaarlijk delict gerechtvaardigd is. Daarop wijst in de tweede plaats de vermelding in de MvT dat de voorgestelde artikelen 161sexies en 161septies (de schuldvariant van art. 161sexies) op dezelfde leest zijn geschoeid als de artikelen 161bis en 161ter. Daarop wijst in de derde plaats de tekst van art. 161sexies Sr, die inderdaad grote gelijkenis vertoont met die van art. 161bis Sr. Strafbaar is dan ook niet gesteld het op een specifieke wijze ontketenen van niet in de hand te houden (natuur)krachten (zoals het ‘loslaten’ van wormen op internet) waardoor gemeen gevaar voor het naar behoren functioneren van geautomatiseerde werken te duchten is, maar het vernielen (enz.) van enig geautomatiseerd werk. De wijze waarop de vernieling plaatsvindt (door brandstichting of anderszins) is daarbij onverschillig.

Een verschil met art. 161bis Sr is wel dat het begrip ‘enig geautomatiseerd werk’ in art. 161sexies Sr ruim lijkt te zijn begrensd. Wat onder ‘enig electriciteitswerk’ moet worden verstaan, is te vinden in art. 90ter Sr. Het moet gaan om ‘werken dienende tot voortbrenging, geleiding, transformatie of levering van elektriciteit en daarmede in verband staande beveiligings-, ondersteunings- en waarschuwingswerken’. Deze begripsomschrijving maakt duidelijk dat het moet gaan om werken die ervoor zorgen dat de klant (huishoudens en bedrijven) van stroom wordt voorzien. Tot die werken behoort nog wel de meterkast, maar niet het koffiezetapparaat en de vaatwasmachine. Dat de vernieling van alle elektrische apparaten in een bepaald huishouden voor de betrokkenen even erg — of zelfs erger — is dan de vernieling van de meterkast, maakt nog niet dat de stroomvoorziening daardoor in gevaar is gebracht. Dat van die stroomvoorziening geen gebruik kan worden gemaakt, is een andere zaak. De duidelijkheid die art. 90ter Sr met betrekking tot art. 161bis Sr biedt, moet art. 161sexies Sr ontberen. Toch lijkt een analoge wetsuitleg gelet op de ratio legis geboden. Anders zou de vernieling (enz.) van een personal computer die door de klant wordt gebruikt om de op internet aangeboden diensten af te nemen, het gemeengevaarlijke delict van art. 161sexies Sr opleveren.

De gewenste beperking kan daarbij niet gevonden worden in een beperkte uitleg van het begrip ‘enig geautomatiseerd werk’ als zodanig, maar in de uitleg van het ‘gemeen gevaar’ dat van de vernieling (enz.) van een dergelijk werk te duchten moet zijn. Die uitleg brengt mee dat het in art. 161sexies lid 1 sub 2 ^o en sub 3 ^o Sr moet gaan om geautomatiseerde werken die een (cruciale) functie vervullen bij hetzij de beveiliging van personen of goederen, hetzij bij de verlening van diensten. Als dat niet het geval is kan van de vernieling van die werken geen gemeen gevaar voor goederen, levensgevaar voor een ander of gemeen gevaar voor de verlening van diensten te duchten zijn.

Steun voor deze benadering is te vinden in HR 2 december 1997, NJ 1998, 306, waarin het ging om iemand die dreigde de computer van een makelaarskantoor op de grond te gooien. Dat daardoor mogelijk ook andere, zich in de nabijheid bevindende goederen gevaar liepen, was onvoldoende om gemeen gevaar voor goederen aan te nemen. De Hoge Raad overwoog dat de wetgever blijkens de wetsgeschiedenis bij art. 161sexies Sr ‘ook voor wat de strafbaar gestelde vernieling, beschadiging of onbruikmaarmaking van het desbetreffende werk betreft, het oog [heeft] gehad op het gemeen gevaar voor goederen dat is te duchten van daardoor optredende verstoring van het functioneren van dat werk’. Het moet dus gaan om (gevaar voor) goederen die door (het functioneren van) de computer worden beschermd.11.

In de hier verdedigde wetsuitleg — waarin de functie van de desbetreffende computer bepalend is voor de vraag of van gemeen gevaar kan worden gesproken — komt veel gewicht toe aan het feit dat in art. 161sexies Sr gesproken wordt van de ‘verlening’ van diensten (en niet van het gebruik van diensten). Van gemeen gevaar voor de verlening van diensten kan alleen sprake zijn als de computer in kwestie een functie vervult bij de verlening van diensten.

Ik merk op dat deze uitleg recht doet aan de verhouding tussen art. 161sexies lid 1 sub 1^o en art. 161sexies lid 1 sub 2^o Sr zoals die in de MvA is toegelicht (hiervoor, punt 13). De verschillende strafbaarstellingen (sub 1^o en sub 2^o) zijn onmiskenbaar geschoeid op de leest van art. 161bis Sr en de in de MvA gegeven toelichting bevestigt dat hun onderlinge verhouding dezelfde is. Als het gevolg van de vernieling (enz.) van een geautomatiseerd werk enkel is dat de opslag, verwerking of overdracht van gegevens (wederrechtelijk) wordt bemoeilijkt of verhinderd, levert die vernieling (enz.) alleen een gemeengevaarlijk delict op als het gaat om opslag, verwerking en overdracht ‘ten algemene nutte’. De MvA verwoordt dit door te stellen: ‘De reikwijdte van deze strafbepaling is beperkt tot geautomatiseerde werken ten algemene nutte’ (curs. van mij, Kn). Als rechtvaardiging voor die beperking wordt genoemd dat er ‘dan immers een belang [is] van ruimere strekking dan alleen het belang van de particuliere organisatie’. De (veel) zwaardere strafbaarstelling van art. 161sexies lid 1 sub 2^o Sr vindt haar rechtvaardiging in het gevaar dat te duchten is. Dat gevaar maakt dat het niet per se hoeft te gaan om de vernieling (enz.) van een geautomatiseerd werk ten algemene nutte. Ook de vernieling van een computer die onderdeel vormt van het geautomatiseerde beveiligingssysteem van een particuliere organisatie kan daar bijvoorbeeld onder vallen. Hetzelfde geldt wellicht voor een computer die wordt gebruikt voor de interne dienstverlening binnen een bepaalde organisatie, waarbij bijvoorbeeld te denken valt aan een geautomatiseerde personeelsadministratie waarin werknemers zelf hun verlofdagen kunnen registreren. De vernieling van een computer waarmee van de op internet aangeboden diensten gebruik gemaakt kan worden, kan daarmee bezwaarlijk op één lijn gesteld worden. Het belang van de particuliere computerbezitter om te kunnen internetten, ligt in dezelfde orde van grootte als zijn belang om met zijn computer gegevens te kunnen verwerken en op te slaan. In elk geval valt niet in te zien dat hier opeens wél sprake is van een belang van ‘ruimere strekking’, laat staan van een zo zwaarwegend belang dat strafbaarstelling op basis van art. 161sexies lid 1 sub 2^o Sr is gerechtvaardigd.

Aandacht bij dit alles verdient dat het verstoren van het (particuliere) computergebruik niet straffeloos is als het begrip ‘gemeen gevaar’ in art. 161sexies Sr beperkt wordt uitgelegd. In de aangehaalde passage uit de MvA wordt daar ‘voor alle duidelijkheid’ op gewezen. De ‘ouderwetse’ vernieling, beschadiging of onbruikbaar making van de computer door fysiek geweld is strafbaar op grond van art. 350 Sr. Als de storing van het normale gebruik het gevolg is van geknoei met de software (het wissen, onbruikbaar of ontoegankelijk maken van de opgeslagen of verwerkte gegevens of het daaraan toevoegen van andere gegevens), is de dader strafbaar op grond van art. 350a Sr. Daarbij voorziet het tweede lid in strafverzwaring als het geknoei met de software geschiedt na binnendringing door tussenkomst van een openbaar telecommunicatienetwerk en daarbij ‘ernstige schade met betrekking tot [de] gegevens’ is veroorzaakt.12. Of het feit dat niet meer veilig kan worden getelebankierd als dergelijke ernstige schade kan worden aangemerkt, is een vraag die hier niet behoeft te worden beantwoord.13.

In punt 24 merkte ik op dat het ‘loslaten’ van wormen op internet niet het gemeengevaarlijke delict van art. 161sexies Sr oplevert. Dat vindt bevestiging in het feit dat dergelijk gevaarzettend gedrag strafbaar is gesteld in art. 350a lid 3 Sr. Het artikellid voorziet volgens de Nota van wijziging in ‘de strafbaarstelling van de verspreiding van virussen, ook wanneer deze nog niet daadwerkelijk schade hebben aangebracht’.14.

Een bijkomend argument kan voorts nog gevonden worden in de invoeging in het Wetboek van Strafrecht van art. 138b Sr bij Wet van 1 juni 2006, Stb. 300 (Wet computercriminaliteit II).15. In dat artikel wordt ‘bombing’ (een speciale vorm van spam) strafbaar gesteld. In de MvT wordt daarover het volgende opgemerkt:

Volgens deze MvT komt art. 161sexies Sr ingeval van bombing pas in beeld als de werking van de server van een Internet Service Provider daardoor tijdelijk wordt verstoord ‘en daardoor diens dienstverlening ernstig wordt bemoeilijkt’. De toegang van de individuele gebruiker tot het internet (en daarmee de mogelijkheid om van de daarop aangeboden diensten gebruik te maken) is een belang dat door een aparte strafbaarstelling moet worden beschermd.

Mijn slotsom is dat van gemeen gevaar voor de verlening van diensten alleen sprake kan zijn ingeval van vernieling (enz.) van een geautomatiseerd werk dat bij de dienstverlener ten behoeve van diens dienstverlening in gebruik is. Dat betekent dat het middel op een onjuiste rechtsopvatting berust en daarom niet kan slagen.

Enigszins buiten de orde (het middel heeft daarop geen betrekking) nog een opmerking over de vraag welke betekenis moet worden toegekend aan het in art. 161sexies Sr gehanteerde meervoud (diensten). Mijns inziens komt, in weerwil van hetgeen in de MvA werd gesteld, bij de uitleg van het bestanddeel ‘gemeen gevaar voor de verlening van diensten’ noch aan de onvoorspelbaarheid van de schade, noch aan het al dan niet meervoudige karakter van de dienstverlening enige betekenis toe. Dit omdat, naar hiervoor is uiteengezet, het gestelde in de MvA berust op een ondeugdelijke vergelijking met art. 157 Sr. Niet noodzakelijk is dus dat de vernielde computer meer dan een soort dienst verleent. Voor zover aan het gebezigde meervoud enige betekenis moet worden toegekend, is die betekenis dat de dreigende verstoring van de dienstverlening enige omvang moet hebben. Als het manipuleren van de computer van de dienstverlener slechts tot gevolg heeft dat de desbetreffende dienst aan één klant niet (behoorlijk) kan worden verleend, is van gemeen gevaar wellicht geen sprake.

Het middel faalt.

Het middel van de verdachte klaagt over het oordeel van het Hof dat ten aanzien van het onder 1 tenlastegelegde en bewezenverklaarde sprake was van ‘het doorbreken van een beveiliging’ en ‘een technische ingreep’.

Het middel bouwt voort op een in feitelijke aanleg gevoerd verweer. Het Hof heeft dat verweer verworpen en daartoe onder meer het volgende overwogen:

Het Hof heeft de verdachte veroordeeld wegens het ‘medeplegen van computervredebreuk meermalen gepleegd’, en heeft daarbij bewezenverklaard, zoals hiervoor onder 5 is weergegeven, dat de verdachte in computers is ‘binnengedrongen, waarbij hij, verdachte en zijn medeverdachte de beveiliging hebben doorbroken, in elk geval de toegang hebben verworven door een technische ingreep, met behulp van valse signalen en/of door het aannemen van een valse hoedanigheid’. De verschillende, in deze bewezenverklaring opgenomen onderdelen stemmen overeen met de onder a en b in art. 138a, eerste lid, Sr (oud; zie hiervoor onder 6) opgenomen wijzen van binnendringen of verwerven van toegang. Alleen het gebruik van een valse sleutel komt in de bewezenverklaring niet voor.

Het middel van de verdachte lijkt zich niet te richten tegen de oordelen van het Hof dat sprake was van het verwerven van toegang met behulp van valse signalen dan wel door het aannemen van een valse hoedanigheid. Ik heb mij afgevraagd of dit betekent dat het middel reeds om deze reden niet tot cassatie zou kunnen leiden. Ik zou deze vraag niet, althans niet op voorhand, bevestigend willen beantwoorden. In de eerste plaats lijkt, althans op het eerste gezicht, sprake van een alternatieve bewezenverklaring. Volgens vaste jurisprudentie is vereist dat alle bewezenverklaarde alternatieven steun vinden in de bewijsmiddelen. Dat brengt mee dat erover geklaagd kan worden dat twee van de vier alternatieven geen steun vinden in de bewijsmiddelen. In de tweede plaats lijkt het oordeel van het Hof dat sprake is geweest van het gebruik van valse signalen en/of een valse hoedanigheid nauw verweven te zijn met zijn (slot)oordeel onder D4 dat sprake was ‘van het doorbreken van de systeembeveiliging en van het verwerven van toegang middels een technische ingreep’. De tegen dat oordeel gerichte klacht richt zich dan indirect ook tegen de daaraan ten grondslag liggende oordelen met betrekking tot de valse signalen en de valse hoedanigheid.

Het middel werpt twee nauw samenhangende vragen op. De eerste is wat verstaan moet worden onder de verschillende begrippen die in art. 138a lid 1 (oud) Sr onder a. en b. worden gebezigd. Wat bijvoorbeeld is het doorbreken van een beveiliging en waarin verschilt dat van een technische ingreep? De tweede vraag is hoe al deze begrippen zich tot elkaar verhouden. Gaat het om onderling scherp afgebakende begrippen of juist om begrippen die weinig vast zijn omlijnd en die elkaar goeddeels overlappen? Beantwoording van die vragen vergt kennis van de totstandkomingsgeschiedenis van art. 138a Sr.

In het oorspronkelijke wetsvoorstel dat in 1993 leidde tot de invoeging van art. 138a in het Wetboek van Strafrecht bij de Wet computercriminaliteit, luidde het artikel als volgt:

De tekst was gelijkluidend aan die in het rapport van de Commissie Franken waarop het wetsvoorstel was gebaseerd.16. Zowel in het rapport als in de MvT werd het nieuw te creëren delict aangeduid als ‘computervredebreuk’. Dit omdat het delict verwant zou zijn aan de in art. 138 Sr strafbaar gestelde huisvredebreuk. De terminologie en de opbouw van het voorgestelde art. 138a vertonen niet voor niets grote overeenkomst met die van art. 138 Sr. Dat geldt ook voor het tweede lid, dat is geïnspireerd door art. 138 lid 2 Sr.

Over de beveiligingseis is tijdens de parlementaire behandeling het nodige te doen geweest. Dat is niet onbegrijpelijk. Dat moet binnengedrongen zijn ‘in een daartegen beveiligd’ werk is een eis die art. 138 Sr niet kent. Van binnendringen in een woning is al sprake als tegen de verklaarde wil van de bewoner wordt binnengetreden. De woning behoeft dus niet door middel van slot en grendel te zijn afgesloten. De vraag is dan ook wat de in het voorgestelde art. 138a opgenomen beveiligingseis toevoegt aan het daarnaast gestelde vereiste dat de dader wederrechtelijk in het geautomatiseerde werk moet zijn binnengedrongen. Daarbij komt dat binnendringen in een daartegen beveiligd werk iets van een contradictio in terminis heeft. Als is binnengedrongen, was het werk daartegen klaarblijkelijk niet (afdoende) beveiligd. Dat lijkt, merk ik alvast op, ook de teneur van het in deze zaak voorgestelde middel te zijn. Omdat de desbetreffende computers met het W32.Toxbot-virus konden worden geïnfecteerd, waren die computers daartegen kennelijk niet beveiligd, zodat die beveiliging ook niet doorbroken kan zijn.

De gesignaleerde onduidelijkheid zette zich voort in het voorgestelde tweede lid. Puur tekstueel gezien zegt dat artikellid, evenals art. 138 lid 2 Sr waaraan het was ontleend, alleen iets over de vraag of is binnengedrongen, dus over de vraag of het zich toegang verschaffen tot de opgeslagen gegevens geschiedde tegen de wil van de rechthebbende. Dat dit het geval is, zegt, als het artikellid letterlijk wordt gelezen, niets over de vraag of binnengedrongen is in een beveiligd werk. Of het onbevoegde gebruik van het (juiste) password het strafbare feit van art. 138a Sr zou opleveren, was dus nog maar de vraag. Er mag dan gebruikgemaakt zijn van een valse sleutel, maar dat wil — uitgaande van een letterlijke lezing — niet zeggen dat het werk tegen binnendringen is beveiligd. Het afschermen van de opgeslagen gegevens door middel van inlogcodes is mogelijk geen (afdoende) beveiliging. Dat is, zo merk ik alvast op, ook de opvatting te zijn die aan het voorgestelde middel ten grondslag ligt.

Nu is de vraag of de bedoelde letterlijke lezing door de ontwerpwetgever was bedoeld. In het rapport van de Commissie Franken wordt gesteld dat op twee manieren zou kunnen blijken dat de toegang tot de gegevens is verschaft tegen de onmiskenbare wil van de rechthebbende: door woorden en door daden.17. Woorden alleen waren volgens het rapport niet voldoende. Als voorbeeld wordt genoemd een tekst op het beeldscherm als ‘verboden toegang voor onbevoegden’. De wil van de rechthebbende moest ook uit daden blijken: ‘Men denke hier aan wachtwoorden, PIN-codes en dergelijke’. Deze verdergaande eis moest volgens de Commissie worden gesteld omdat alleen een bordje ‘verboden toegang’ niet zou uitsluiten dat men ‘per ongeluk’ toegang tot de gegevens zou krijgen.18. Bij een ‘hogere drempel’ zou dit gevaar zich minder vaak voor doen. Die hogere drempel diende te bestaan ‘uit bepaalde, tegen het wederrechtelijk binnendringen gerichte, beveiligingsmaatregelen’. Aldus werd een ‘nadere beperking’ aangebracht.

De Commissie lijkt op twee gedachten te hebben gehinkt. Enerzijds wordt gesteld dat de beveiligingseis een nadere beperking meebrengt (die dus bovenop de eis komt dat tegen de onmiskenbare wil van de rechthebbende wordt gehandeld), anderzijds wordt de beveiligingseis juist gepresenteerd als een uitvloeisel van de eis dat het kennisnemen van de gegevens tegen de onmiskenbare wil van de rechthebbende plaatsheeft. Die eis preciseert dan slechts de vereiste ‘onmiskenbaarheid’ van de wil. Die laatste gedachte is mijns inziens overheersend geweest. Ten aanzien van het voorgestelde tweede lid merkt de Commissie op: ‘De formulering is zo dat diverse manieren om toegangsbeveiligingen te doorbreken, dan wel te omzeilen, er onder te brengen zijn.’. Het gebruik van bijvoorbeeld een valse sleutel wordt hier dus gepresenteerd als een manier om de toegangsbeveiliging te doorbreken. Dat impliceert dat een geautomatiseerd systeem dat door middel van een password is afgeschermd, een tegen binnendringen beschermd werk is als bedoeld in het eerste lid van het voorgestelde art. 138a Sr. Aannemelijk is zogezien dat het voorgestelde tweede lid als volgt gelezen moest worden: ‘Hij die [enz.] wordt geacht te zijn binnengedrongen in een daartegen beveiligd geautomatiseerd werk’.

De Commissie stelde een beperkte strafbaarstelling voor. Het strafbaarstellen van het zich onbevoegd toegang verschaffen als zodanig zou leiden tot ‘overcriminalisering’.19. Tegen die achtergrond moet de gestelde beveiligingseis worden bezien. Daartegen rees, zo blijkt uit de MvT, nogal wat bezwaar.20. Gevreesd werd dat de slachtoffers van computercriminaliteit geen aangifte zouden doen als hun wijze van beveiliging in de rechtszaal zou worden gekritiseerd door de verdediging. De Minister zag daarin geen reden om van het voorstel van de Commissie af te wijken. Hij lichtte dat standpunt toe door onderscheid te maken tussen absolute, maximale, adequate, minimale en pro forma beveiliging. Naar zijn zeggen volstond minimale beveiliging. Die minimale beveiliging moest daarbij wel een daadwerkelijke zijn. In dat verband werd gesteld:

Deze passage is om twee redenen van belang. De eerste is dat daaruit blijkt dat de ontwerpwetgever ‘een systeem van autorisatie’ in beginsel als een reële beveiliging beschouwde. Dat betekent dat het onbevoegd gebruik van het juiste wachtwoord in beginsel als het binnendringen in een daartegen beveiligd werk moest worden aangemerkt. In zoverre bevestigt de MvT de hiervoor gegeven interpretatie van het commissievoorstel.

De tweede reden is dat het gestelde de gerezen bezwaren eerder zal hebben gevoed dan weggenomen. Het onbevoegd gebruik van het juiste wachtwoord lijkt immers niet steeds tot strafbaarheid te leiden. Als een hacker het wachtwoord heeft weten te achterhalen, moet de rechthebbende er rekening mee houden dat dit wachtwoord in brede kring bekend wordt. Past hij desondanks het wachtwoord niet aan, dan is, zo lijkt in de weergegeven passage gelezen te moeten worden, niet alleen geen sprake van een adequate beveiliging, maar ook niet van de vereiste minimale beveiliging. Dat is een benadering die afwijkt van hetgeen met betrekking tot inbraak (art. 311 Sr) en huisvredebreuk (art. 138 Sr) geldend recht is. De inbreker kan niet zijn eigen straffeloosheid creëren door kopieën van de huissleutel die hij heeft bemachtigd in brede kring te verspreiden en daarvan kond te doen aan de bewoner. Natuurlijk doet die bewoner er verstandig aan om zijn huis van nieuwe sloten te voorzien, maar als hij dat nalaat, is nog steeds sprake van het gebruik van een valse sleutel als met behulp van een (kopie van) de weggenomen huissleutel wordt binnengetreden.

Meer in het algemeen lijkt de Minister van de rechthebbende te verlangen dat hij gelijke tred houdt met de ontwikkelingen in ‘de elektronische oorlogsvoering’. Hoe geavanceerder en geniepiger de methoden van de hackers zijn, zo lijkt de gedachte te zijn, hoe hoger de eisen zijn waaraan de beveiliging moet voldoen wil de rechthebbende aanspraak hebben op de bescherming van de strafwet. Daarmee dreigde zich te realiseren waarvoor de critici beducht waren: de schuld wordt bij de rechthebbende gelegd. Als die zich onvoldoende heeft bewapend in de ‘oorlog’ die tegen hem wordt gevoerd, zijn de ‘aanvallen’ die onbevoegden op zijn geautomatiseerde systeem uitvoeren, straffeloos. Zo legitimeren de geniepige methoden zichzelf: zodra die methoden in zwang zijn, kunnen ze straffeloos worden gebruikt omdat de computerbezitter zich daar maar tegen moet beveiligen.

Het wekt zogezien geen verbazing dat de kritiek op het wetsvoorstel aanhield. Dit keer sorteerde die kritiek wel effect. De MvA ging vergezeld van een Nota van wijziging, die art. 138a van een nieuwe redactie voorzag.21. Het voorgestelde artikel kwam daardoor als volgt te luiden:

Volgens de MvA werd door deze redactiewijziging aan een aantal van de geuite bezwaren tegemoet gekomen.22. Gesproken werd van een strafbaarstelling in ‘afgezwakte vorm’, van een ‘nog soepeler regime’ met betrekking tot de beveiligingseis.23. De Minister nam daarbij met zoveel woorden afstand van hetgeen in de MvT was gesteld:24.

De vraag is welke versoepeling met de redactiewijziging werd beoogd. Volgens de MvA is het nodig dat er ‘enige beveiliging’ is, omdat ‘het doorbreken van die beveiliging het strafbare feit vormt’. Er moet in rechte worden vastgesteld dat er ‘iets’ is doorbroken. ‘Was er niets, dan kan er ook niets doorbroken zijn geweest.’25. Alleen in zoverre wordt aan de beveiligingseis vastgehouden. De versoepeling zit hierin dat ‘iets’ aan beveiliging al voldoende is. Thans wordt voorgesteld, zo schrijft de Minister op p. 12, gegevens in geautomatiseerde bestanden te beschermen ‘door het doorbreken van veiligheidsmaatregelen strafbaar te stellen, zonder dat daarmee eisen worden gesteld aan de aard van de veiligheidsmaatregelen’. Elders wordt gesteld dat ‘de onbelemmerde kennisneming’ van gegevens die niet voor de betrokkene zijn bestemd, niet strafbaar is. ‘Strafbaarheid ontstaat eerst daar waar doelbewust getroffen voorzieningen met het oog op geheimhouding worden omzeild, om aldus de kennelijk door de rechthebbende niet gewenste kennisneming van gegevens toch te bewerkstelligen.’26. Niet méér vereist is dus dan dat de wil van de betrokkene kenbaar is uit getroffen beveiligingsmaatregelen.27. Uitdrukkelijk wordt gesteld dat het onbevoegd gebruikmaken van een wachtwoord steeds strafbaar binnendringen oplevert (p. 31, 32). Dat geldt ook als de kraker het password door onachtzaamheid van de rechthebbende heeft verkregen (p. 29). Dat geldt zelfs als de beheerder na een succesvolle inbraak zijn passwords niet zou wijzigen ‘hoewel deze op een bulletinboard voor een ieder bereikbaar zijn’ (p. 31). Nalatigheid van de beheerder om de beveiliging aan te passen, leidt daarom niet tot straffeloosheid van de kraker (p. 32).

De vraag is of de gewijzigde redactie tot uitdrukking brengt wat gezien de in de MvA gegeven toelichting kennelijk de bedoeling was. Als winst ten opzichte van de oorspronkelijke redactie kan worden beschouwd dat er geen misverstand over kan bestaan dat het gebruik van een valse sleutel of een valse hoedanigheid tot strafbaarheid leidt. Een aanvullende beveiligingseis wordt niet gesteld. Maar tegelijk wordt nieuw leven geblazen in het oude misverstand dat het gebruik van een valse sleutel nog niet betekent dat wordt binnengedrongen in een daartegen beveiligde computer. Tekstueel gezien is het gebruik van een valse sleutel immers iets anders dan het doorbreken van een beveiliging. De redactie nodigt daardoor als het ware uit tot de gedachte dat het gebruik van een valse sleutel — en hetzelfde geldt voor de andere onder b. opgesomde methoden — weliswaar strafbaar is, maar dat dit zo is ondanks het feit dat er geen beveiliging is doorbroken. Het is dan nog maar een klein stapje naar de gedachte dat een geautomatiseerd werk dat ‘slechts’ voorzien is van een systeem van autorisatie geen beveiligde computer is.

Deze letterlijke interpretatie strookt niet met wat in de MvA wordt gesteld. Het strafbare feit van art. 138a Sr bestaat volgens de Minister immers uit het doorbreken van beveiliging(smaatregelen). Dat kan moeilijk anders begrepen worden dan dat ook het gebruik van de onder b. opgesomde methoden een doorbreking van de beveiliging oplevert. En dat impliceert dat een systeem van autorisatie het vereiste ‘iets’ aan beveiliging is dat doorbroken wordt als bijvoorbeeld een valse sleutel wordt gehanteerd. Dit vindt bevestiging in de toelichting op de gewijzigde redactie die in de Nota van wijziging wordt gegeven:28.

Zo mogelijk nog duidelijker is wat de Minister stelt in de MvA aan de Eerste Kamer:29.

In dit antwoord wordt de wetsgeschiedenis wat vertekend, maar dat neemt niet weg dat wordt bevestigd dat het in onderdeel b van het voorgestelde art. 138 lid1 gaat om een (niet limitatieve) opsomming van methoden om enige beveiliging te doorbreken. Die opsomming was daarbij wenselijk (niet noodzakelijk) om de bedoeling van de wetgever met betrekking tot de beveiligingseis duidelijk te maken.30.

De conclusie moet mijns inziens dan ook zijn dat het ook bij art. 138a lid 1 sub b (oud) Sr gaat om het doorbreken van enige beveiliging. Het gebruik van een valse sleutel vormt dus een species van het genus doorbreking van enige beveiliging. Gelet daarop is de redactie weinig gelukkig. Beter was het geweest als de niet limitatieve opsomming van methoden voorop was gesteld (in onderdeel a.) en als onderdeel b. vervolgens had geluid: ‘op andere wijze enige beveiliging doorbreekt’.

De gegeven opsomming is, zei de Minister, niet limitatief. Op de vraag welke andere methoden er zijn om enige beveiliging te doorbreken, zoekt men in de wetsgeschiedenis tevergeefs naar een antwoord. Voorbeelden van een doorbreking van enige beveiliging die niet door de gegeven opsomming van methoden wordt gedekt, worden niet gegeven. Daarbij moet bedacht worden dat het antwoord dat de Minister de Eerste Kamer gaf, betrekking had op het voorgestelde art. 138a zoals dat was komen te luiden na de wijzigingen die daarin bij de Tweede nota van wijziging waren aangebracht. Wat eerst het gehele art. 138a was, werd nu art. 138a, eerste lid. Dat eerste lid kwam als volgt te luiden:

De in onderdeel b. gegeven opsomming is in vergelijking met die in de eerdere redactie (zie punt 52) gewijzigd. De listige kunstgrepen zijn verdwenen, de technische ingreep en de valse signalen zijn toegevoegd. Op het hoe en waarom van deze wijziging wordt aanstonds ingegaan. Hier is van belang om te constateren dat de gegeven opsomming veel omvattender is geworden. Daardoor is de vraag of de meerwaarde van onderdeel a. die van een zekerheidshalve aangebracht vangnet overtreft.

In dit verband zij het volgende opgemerkt. De term ‘doorbreking’ van enige beveiliging roept associaties op met fysiek ingrijpen. Denkbaar is dat de rechthebbende zijn stand alone-computer beveiligt door die computer te plaatsen in een vertrek dat afgesloten is met een van een hangslot voorziene deur. Het intrappen van die deur zou dan wellicht als het doorbreken van enige beveiliging kunnen worden aangemerkt, al is het de vraag of de wetgever daarop het oog had. Om fysiek ingrijpen in de computer zelf (in de hardware) kan het echter in onderdeel a. niet gaan. Iedere poging om met behulp van de schroevedraaier, de nijptang en de soldeerbout tot de opgeslagen gegevens door te dringen, zal die gegevens alleen maar minder bereikbaar maken. Daarbij laat ik nog daar dat de hacker die gebruikmaakt van telecommunicatie, geeneens tot fysiek ingrijpen in staat is. Om het veranderen van de programmagegevens die voor de beveiliging zorg dragen, kan het in onderdeel a. evenmin gaan. Want om die gegevens te kunnen veranderen, moet men eerst toegang tot die gegevens hebben. De vraag is hoe die toegang wordt verkregen.

Als ik het wel heb, is de enige manier om toegang te krijgen tot gegevens die in een geautomatiseerd zijn opgeslagen, het verzenden van signalen waarop dat geautomatiseerde werk reageert. En dat kan alleen als dat geautomatiseerde werk zodanig is geprogrammeerd, dat op die signalen wordt gereageerd. Dat betekent dat de toegang tot een geautomatiseerd werk alleen kan worden verkregen door gebruikmaking van de programmatische mogelijkheden van de desbetreffende computer. Dat geldt ook voor de hacker. Blijkens zijn ter terechtzitting van het Hof overgelegde pleitnota (p. 7) heeft de raadsman van de verdachte aldaar de volgende kritiek geleverd op het aanvullende proces-verbaal van verbalisant [verbalisant 1] (door het Hof gebezigd als bewijsmiddel 17; zie ook bewijsoverweging D2 onder r.):

Uit het verweer spreekt de beroepstrots van de ware hacker. Natuurlijk is het Toxbot niet zo geprogammeerd dat het verkeerde signalen afgeeft. De kunst is juist om de goede signalen af te geven, de signalen waarop het geautomatiseerde systeem is (voor)geprogrammeerd. Alleen zo kan men tot dat systeem doordringen. De hacker maakt dus per definitie gebruik van de wijze waarop het systeem is geprogrammeerd. In die zin wordt er niets ‘doorbroken’. Het systeem (de wijze waarop het is geprogrammeerd) blijft geheel in tact. Juist daardoor kan ervan worden geprofiteerd.

Uit het voorgaande volgt niet dat de kritiek van de raadsman hout snijdt. Veeleer volgt daaruit dat die kritiek nergens op slaat. Het begrip ‘doorbreken van enige beveiliging’ kan door de wetgever niet anders dan in overdrachtelijke zin zijn gebezigd. Op het onmogelijke kan de wetgever immers niet het oog hebben gehad. Het kan niet zo zijn dat de aanwezige beveiliging (dat wil zeggen de programma's die daarvoor zorgen) op een of andere manier geweld moet zijn aangedaan. Wat strafbaar is gesteld, is het geven van in technisch opzicht correcte signalen (dat wil zeggen signalen die door het systeem worden herkend en waarop het systeem conform zijn programmering respondeert). De vraag waarop het aankomt, is wanneer het geven van dergelijke correcte signalen als het doorbreken van een beveiliging in de zin van art. 138a Sr moet worden aangemerkt. Onderdeel b. van art. 138a lid 1 (oud) Sr geeft op die vraag in elk geval een begin van een antwoord. Daarom zal nu eerst een antwoord worden gezocht op de vraag op welke methoden de wetgever met de gegeven opsomming het oog heeft gehad.

In het rapport van de Commissie Franken — waarop het oorspronkelijke wetsvoorstel was gebaseerd — wordt met betrekking tot de begrippen ‘valse hoedanigheid’, ‘listige kunstgrepen’ en ‘valse sleutel’ opgemerkt dat daarmee beoogd wordt ‘die situaties onder de werking van de strafbepaling te brengen, waarin men de beschikking heeft verkregen over overigens geldige toegangsmiddelen, echter zonder toestemming van de beheerder van de inrichting of de houder van toegangsmiddelen’.31. De term ‘listige kunstgrepen’ zou daarbij zien op de ingenieuze manieren die hackers hanteren om achter de toegangscodes te komen. Die term paste niet goed in het rijtje, omdat het niet gaat om een (geldig) toegangsmiddel, maar om de manier waarop dat middel wordt verkregen. En die doet niet ter zake (zie punt 53).32. Of dat de reden is dat de listige kunstgrepen als manier om de beveiliging te doorbreken bij de Tweede nota van wijziging afvielen, is overigens de vraag. Vergelijk hierna, punt 67. De termen ‘valse hoedanigheid’ en ‘valse sleutel’ zagen volgens de Commissie wél op het gebruik dat van het (niet legaal verkregen) toegangsmiddel werd gemaakt. Als voorbeelden van beide termen noemt de Commissie de magneetpas en de toegangscode (als zij zonder toestemming worden gebruikt). Het verschil zou daarbij zitten in de toegangsprocedure. Van het gebruik van een valse sleutel was sprake ‘wanneer de toegangsprocedure niet in een identificatie doch slechts in een autorisatie van de gebruiker voorziet’. Anders zou sprake zijn van het gebruik van een valse hoedanigheid. Men kan vraagtekens plaatsen bij de houdbaarheid, de hanteerbaarheid en de relevantie van dit onderscheid. Ik merk slechts op dat het onbevoegd gebruik van een password in de MvA consequent als het gebruik van een valse sleutel wordt bestempeld, hoewel dat alleen juist zou zijn als de autorisatieprocedure niet in identificatie zou voorzien. En dat lijkt zelden of nooit het geval te zijn.33.

Uit het voorgaande kunnen twee conclusies worden getrokken. De eerste is dat het onderscheid tussen het gebruik van een valse hoedanigheid en het gebruik van een valse sleutel niet helder is. Erg is dat niet omdat aan het onderscheid geen rechtsgevolgen zijn verbonden. Het gebruik van beide toegangsmiddelen is strafbaar. De tweede conclusie is dat beide toegangsmiddelen betrekking hebben op de normale toegangsprocedure die ook door de rechthebbende wordt doorlopen. De hacker die deze middelen hanteert gebruikt dezelfde ingang als de rechthebbende en verzendt daarbij dezelfde signalen. Het verschil is alleen dat de hacker niet bevoegd is deze signalen te verzenden.

De ‘technische ingreep’ en de ‘valse signalen’ zijn als gezegd bij de Tweede nota van wijziging in het voorgestelde eerste lid van art. 138a terechtgekomen. Deze toevoeging hield verband met de stapsgewijze introductie in het wetsvoorstel van art. 326c Sr, waarin beide termen eveneens voorkomen.34. Het artikel verving art. 50 lid 3 van de (inmiddels vervallen) Wet op de telecommunicatievoorzieningen. Dit artikellid luidde als volgt:

De MvT op deze strafbepaling vermeldde dat daarmee werd voorzien in een leemte die door de Commissie Franken was gesignaleerd.35. Overheveling van de bepaling naar het Wetboek van Strafrecht werd daarbij in het vooruitzicht gesteld. Met betrekking tot het begrip ‘technische ingreep’ wordt het volgende opgemerkt:

In het bijzonder de laatste zin lijkt erop te duiden dat bij een ‘technische ingreep’ ook en misschien wel vooral werd gedacht aan fysiek ingrijpen in de telecommunicatie-infrastructuur. Ook de toevoeging van de ‘valse signalen’ in het voorgestelde art. 326c lijkt daarop te wijzen. In de Nota van wijziging wordt daarover het volgende gesteld:36.

In de Tweede nota van wijziging werd een verzwaarde vorm van computervredebreuk strafbaar gesteld, neergelegd in het nieuwe tweede (later derde) lid van art. 138a. Er werd op gewezen dat het bedoelde computermisbruik maar ten dele door het voorgestelde art. 326c werd gedekt en dat, om tot een betere afbakening te komen, ook art. 326c moest worden gepreciseerd.37. De gesignaleerde verwantschap tussen beide strafbaarstellingen is kennelijk de reden geweest dat de ‘technische ingreep’ en de ‘valse signalen’ werden opgenomen in de in onderdeel b. van het eerste lid van art. 138a.

Men kan zich afvragen of de wetgever aan dat laatste goed heeft gedaan. De bedoelde begrippen hebben in het kader van art. 326c Sr nog wel een enigszins te omlijnen inhoud doordat zij verwijzen naar concrete vormen van misbruik van telecommunicatie die de wetgever wenste tegen te gaan. De overplanting van deze begrippen naar art. 138a maakt dat anders. In het kader van dat artikel is het niet eenvoudig zich een concrete voorstelling te maken van hetgeen bedoeld zou kunnen zijn. De toch al wazige formuleringen waarmee deze begrippen werden toegelicht, lijken hier alle betekenis te verliezen. Het onderscheid tusen beide begrippen kan in het kader van art. 138a in elk geval niet meer gezocht worden in de vraag of louter (valse) signalen zijn verzonden, dan wel of er iets is veranderd door fysiek ingrijpen of door het wijzigingen van programmagegevens. Programmagegevens kan men immers pas veranderen als reeds toegang tot het geautomatiseerde werk is verkregen. En door fysiek ingrijpen (zoals het doorknippen en anders verbinden van kabels) verkrijgt men geen toegang tot een geautomatiseerd werk. Daarvoor is nodig dat (al dan niet door tussenkomst van gemanipuleerde kabels) signalen worden verzonden waarop dat werk reageert conform zijn ‘(geprogrammeerde) veronderstellingen’. Een ‘technische ingreep’ waardoor toegang tot een geautomatiseerd werk wordt verkregen, kan anders gezegd moeilijk anders worden gerealiseerd dan door middel van ‘valse signalen’.

Niet alleen is onduidelijk wat in een digitale context precies het verschil is tussen de technische ingreep en het gebruik van valse signalen, onhelder is ook hoe het gebruik van die valse signalen zich verhoudt tot het gebruik van een valse hoedanigheid of een valse sleutel. In de Nota van wijziging wordt zoals wij zagen gesteld dat de ontvanger door de valse signalen wordt misleid. In technische zin echter kan een computer niet worden ‘misleid’ door ‘verkeerde’ signalen. De computer reageert zoals hij is geprogrammeerd. Van ‘(geprogrammeerde) veronderstellingen die onjuist blijken te zijn’ kan dan ook alleen in overdrachtelijke zin worden gesproken. Bedoeld zijn mogelijk de veronderstellingen die de programmeurs hadden en de rechthebbenden koesteren over het gebruik dat van de geprogrammeerde mogelijkheden wordt gemaakt. Van onbehoorlijk gebruik, gebruik waarvoor zij het systeem niet hebben ontworpen of bestemd, zijn zij niet uitgegaan. Welnu, ingeval van het gebruik van een valse sleutel of een valse hoedanigheid kan gesproken worden van het verzenden van signalen die niet overeenkomen met de ‘geprogrammeerde veronderstelling’ dat alleen een bevoegde van het password gebruik zal maken. In de Nota van wijziging wordt, zoals wij zagen, uitdrukkelijk verwezen naar de jurisprudentie omtrent het begrip valse sleutel in de artikelen 90 en 138 Sr. De conclusie lijkt voor de hand te liggen dat het gebruik van een valse sleutel of een valse hoedanigheid een subcategorie van het gebruik van valse signalen is.

Een verschil tussen de valse sleutel en de valse hoedanigheid enerzijds en de technische ingreep en de valse signalen anderzijds is dat het bij de eerste twee toegangsmiddelen steeds gaat om gebruikmaking van de normale ingang tot het geautomiseerde werk, terwijl dit bij de laatste twee niet per se het geval behoeft te zijn. Ook trucs die erop gericht zijn andere, ‘abnormale’ ingangen te benutten, zouden daaronder kunnen worden gebracht. Een argument voor een dergelijke ruime uitleg kan ontleend worden aan het feit dat de laatste twee begrippen ontleend zijn aan art. 326c. In de Nota naar aanleiding van het Eindverslag (TK 1991–1992, 21551, nr 11, p. 23) wordt de suggestie van de vaste Commissie voor Justitie om in het voorgestelde art. 326c de term ‘listige kunstgrepen’ te hanteren in plaats van de technische ingreep en de valse signalen als volgt gepareerd:

De Minister wenste alle vormen van bedrieglijkheden met behulp van informatietechniek te dekken met de begrippen technische ingreep en valse signalen. Dat roept de vraag op of die begrippen in het kader van art. 138a ook niet alle bedrieglijkheden dekken. Zijn er manieren om de beveiliging te doorbreken die niet bestaan uit een technische ingreep of het gebruik van valse signalen?

Wij zagen dat de term ‘listige kunstgrepen’ aanvankelijk ook in het voorgestelde art. 138a voorkwam. De zojuist aangehaalde passage uit de Nota naar aanleiding van het Eindverslag verklaart mogelijk de vervanging van deze term door het begrippenpaar technische ingreep en valse signalen. De term zou te beperkt zijn omdat ook de toepassing van eenvoudige trucs tot strafbaarheid op grond van art. 138a zou moeten leiden. Dat past bij de afzwakking van de beveiligingseis die in de MvA haar beslag kreeg. Deze verklaring betekent intussen dat, als zij juist is, de Minister ongemerkt aan de term ‘listige kunstgrepen’ een andere inhoud is gaan geven dan die term in het door de regering overgenomen voorstel van de Commissie Franken had (zie hiervoor, punt 61).

De conclusie uit het voorgaande kan zijn dat de toevoeging van de technische ingreep en de valse signalen aan de in onderdeel b. opgenomen toegangsmiddelen weinig doordacht is geweest. De vier opgesomde toegangsmiddelen hebben een onzekere inhoud, hetgeen wordt geïllustreerd door het feit dat de door de Commissie Franken geïntroduceerde toegangsmiddelen in de loop van het wetgevingsproces van kleur zijn verschoten. Aan het verschil dat de Commissie zag tussen de valse sleutel en de valse hoedanigheid lijkt niet te zijn vastgehouden. Meer in het algemeen geldt dat een onderlinge afbakening van de opgesomde toegangsmiddelen niet wel mogelijk is. De begrippen lijken elkaar goeddeels te overlappen en zelfs geheel in elkaar op te gaan. De begrippen kunnen daarbij mede vanwege hun vaagheid zo ruim worden uitgelegd, dat zij alle vormen van doorbreking van de beveiliging dekken. De functie die de opsomming van toegangsmiddelen aanvankelijk had — namelijk zeker stellen dat het onbevoegd gebruik van toegangscodes strafbaar was — is daardoor verloren gegaan. Alle trucs — de listige en de kinderlijk eenvoudige — kunnen in onderdeel b een plaats vinden.

Deze conclusie vindt tot op zekere hoogte bevestiging in de wordingsgeschiedenis van de — na het plegen van de onderhavige feiten in werking getreden — Wet computercriminaliteit II. In de Tweede Nota van wijziging wordt toegelicht wat onder een ‘technische ingreep’ als bedoeld in art. 138a Sr moet worden verstaan.38. Dit omdat deze term destijds zonder nadere toelichting zou zijn geïntroduceerd. Uiteengezet wordt dat de term is ontleend aan art. 50 lid 3 Wet op de telecommunicatievoorziening (dat de basis vormde voor art. 326c Sr) en dat het daarbij gaat om een ‘specifiek op telecommunicatie toegespitste vorm van oplichting’. Op grond daarvan wordt geconcludeerd dat de ‘technische ingreep’ een ‘vertaling [was] van de oplichtingsmiddelen naar de technische omgeving van de telecommunicatie’. Vervolgens wordt gesteld:

Een ‘nauw omlijnde interpretatie’ kan, zo mag geconcludeerd worden, niet gegeven worden. Een en dezelfde truc kan onder verschillende begrippen tegelijk vallen. Ook van een scherpe scheiding tussen de onderdelen a. en b. van art. 138a lid 1 (oud) Sr is geen sprake. Een technische ingreep kan ook het doorbreken van een beveiliging opleveren.

In de zojuist aangehaalde passage wordt gesteld dat een nauw omlijnde interpretatie in de nieuwe opzet van art. 138a van beperkte betekenis is. Die nieuwe opzet, of beter: de reden die daaraan ten grondslag ligt, kan hier niet onbesproken blijven. Het eerste lid van art. 138a in de gewijzigde opzet is als volgt komen te luiden:

Volgens de Minister was de nieuw gekozen opzet noodzakelijk om tegemoet te komen aan de eisen die in het bijzonder voortvloeiden uit het Kaderbesluit 2005/222/JBZ van 24 februari 2005 over aanvallen op informatiesystemen (PbL 2005/69, p. 67).39. Dit Kaderbesluit verplicht tot de strafbaarstelling van hacken. Volgens art. 2 lid 2 van dat Kaderbesluit kan iedere lidstaat de strafbaarstelling afhankelijk maken van een inbreuk op beveiligingsmaatregelen. Van andere voorwaarden, zo redeneerde de Minister, dus niet. Daaruit zou volgen dat art. 138a Sr zoals dat toen luidde, niet met het Kaderbesluit in overeenstemming was. Want daarin werd de strafbaarheid niet alleen afhankelijk gemaakt van de doorbreking van een beveiliging, maar ook van de in onderdeel b. opgesomde methoden. Op deze argumentatie is heel wat af te dingen. De belangrijkste tegenwerping is dat de stelling dat het bij onderdeel b. niet gaat om beveiligingsmaatregelen, lijkt te getuigen van een misvatting.40. Die stelling is zelfs moeilijk te rijmen met hetgeen bij gelegenheid van dezelfde wetgevingsoperatie werd gesteld met betrekking tot het begrip ‘technische ingreep’. Volgens de Tweede nota van wijziging kan een technische ingreep immers ook een doorbreking van enige beveiliging zijn.

Of aan de argumentatie van de Minister betekenis toekomt als het om de uitleg van het huidige art. 138a Sr gaat, kan hier in het midden blijven. Een authentieke interpretatie van het toen geldende recht levert zij in elk geval niet op. Ik meen dan ook dat daaraan hier voorbijgegaan mag worden.

Volgens de Minister is een nauw omlijnde interpretatie ‘zeker’ in de nieuwe opzet van art. 138a van beperkte betekenis. De vraag is of niet hetzelfde geldt voor de oude opzet van het artikel. Als de wetgever er niet in slaagt om een helder omlijnd begrippenapparaat te presenteren, mag van de rechter niet verwacht worden dat hij er wél chocola van weet te maken.

Ik merk daarbij op dat de op art. 138a toegespitste verduidelijking die werd gegeven (hiervoor, punt 69), ons ook wat het oude recht betreft niet verder brengt. Wat men zich bij een verandering van het ‘technisch functioneren’ van het geautomatiseerde werk moet voorstellen, blijft in nevelen gehuld. Om fysieke ingrepen in de hardware of om het veranderen van het besturingsprogramma kan het in het kader van art. 138a niet gaan. Toegang tot een geautomatiseerd systeem kan alleen worden verkregen door gebruikmaking van de mogelijkheden tot toegang die zijn ingeprogrammeerd. De hacker verandert het technisch functioneren van het systeem dus niet, hij maakt daar juist gebruik van. Daarin is mijns inziens tegelijk de verklaring gelegen voor het feit dat de verschillende toegangsmiddelen zich niet nauwkeurig laten omlijnen. De hacker maakt gebruik — of wellicht beter: misbruik — van de mogelijkheden die het systeem biedt. De gehanteerde methoden worden dus door die mogelijkheden bepaald. Dat betekent dat die methoden zich in technisch opzicht alleen laten onderscheiden door onderscheid te maken tussen de vele en uiteenlopende mogelijkheden die de verschillende systemen te bieden hebben. En dat is een hachelijke onderneming, zeker voor een wetgeving die techniek-onafhankelijk pretendeert te zijn.

Om de verschillen in technisch opzicht kan het bij de onderscheiden methoden dus niet, of slechts in beperkte mate gaan. Wij zagen dat het gebruik van een valse sleutel of een valse hoedanigheid technisch gezien kan worden gekoppeld aan de normale toegangsprocedure, aan het ingeprogrammeerde systeem van autorisatie. Maar het lijkt niet zo te zijn dat de beide andere methoden uitsluitend betrekking hebben op de ‘abnormale’ ingangen die het systeem te bieden heeft (vergelijk punt 66). Als die methoden betrekking hebben op alle geprogrammeerde toegangsmogelijkheden van het systeem, laten zij zich in technisch opzicht niet van elkaar onderscheiden. De retorische vraag is natuurlijk: waarin dan wel?

De vraag waarop het aankomt, zo stelde ik eerder (punt 60), is wanneer het geven van in technisch opzicht correcte signalen aan een geautomatiseerd systeem als het doorbreken van een beveiliging in de zin van art. 138a Sr moet worden aangemerkt. Het antwoord kan niet in de techniek gevonden worden. Dat betekent dat het antwoord normatief van aard is. Wat een password tot een valse sleutel maakt, is de onbevoegdheid van het gebruik. Daarin verschilt die methode niet van de andere methoden waarmee men zich de toegang tot een geautomatiseerd systeem kan verschaffen. Correcte signalen doorbreken de beveiliging als zij onbevoegd worden gegeven, als daardoor misbruik wordt gemaakt van de technische mogelijkheden die in het systeem zijn ingebakken. Daarbij is niet méér vereist dan dat op grond van enige daad van beveiliging objectief duidelijk is dat sprake is van misbruik, dat de ‘correcte’ signalen onbevoegd worden gegeven. Als de normale toegang tot bepaalde delen van de computer is beveiligd door een systeem van autorisatie, volgt daaruit dat het gebruiken van de andere toegangsmogelijkheden die het systeem kent, misbruik van die mogelijkheden oplevert, zeker als het gaat om willekeurige derden.

Ik roep in herinnering dat de wetgever alleen de onbelemmerde toegang straffeloos wilde laten (hiervoor, punt 53). Van een dergelijke onbelemmerde toegang is sprake bij de vele websites waar men op internet naar toe kan surfen. Van een onbelemmerde toegang is geen sprake als men stuit op schermen waarop inlogcodes moeten worden ingevuld. Dat die schermen voor een hacker mogelijk geen barrière vormen, doet daaraan niet af. Hetzelfde geldt a fortioro als men in het geheel niet stuit op schermen die toegang tot het systeem verschaffen. Van een onbelemmerde toegang kan dan bezwaarlijk gesproken worden. Dat er hidden shares zijn, die het voor een hacker een koud kunstje maken om binnen te dringen, maakt dat niet anders. Adequaat behoeft de beveiliging immers niet te zijn.

Moeilijker moeten we het mijns inziens niet proberen te maken. Art. 138a Sr vraagt om een normatieve invulling die functioneel is, die voorziet in een effectieve strafrechtelijke bescherming tegen onbevoegde kennisneming van in geautomatiseerd werken opgeslagen gegevens. Het criterium voor de vraag of onbevoegd gebruik is gemaakt van de ingeprogrammeerde toegangsmogelijkheden van een geautomatiseerd systeem, zou ik dan ook, wat de toegang door middel van telecommunicatie betreft, willen zoeken in hetgeen in het maatschappelijk (internet)verkeer algemeen geaccepteerd is. Alle methoden van toegangverschaffing die het normale, algemeen geaccepteerde gebruik van de programmatische mogelijkheden van op de telecommunicatie-infrastructuur aangesloten systemen te buiten gaan, leveren in beginsel het onbevoegd gebruik van die mogelijkheden op.

Bij de hier geschetste stand van zaken is het mijns inziens niet nodig dat de rechter een keuze maakt uit de verschillende mogelijkheden van evident onbevoegd gebruik die in de onderdelen a. en b. van art. 138a lid 1 (oud) Sr worden genoemd. In veel gevallen is een dergelijke keuze niet doenlijk. En in geen enkel geval is een dergelijke keuze strafrechtelijk relevant. Daarom kan de in onderdeel b. gegeven opsomming maar het beste in haar geheel worden gezien als een poging om te verduidelijken wat onder het doorbreken van enige beveiliging moet worden verstaan. Zelfstandige betekenis komt aan die (weinig geslaagde) poging niet toe.

Na deze lang uitgevallen aanloop kan ik over het middel betrekkelijk kort zijn. Aangevoerd wordt dat het Hof, door in aanmerking te nemen dat een standaard Windows XP installatie is beveiligd tegen inloggen van buitenaf, een verkeerde maatstaf heeft aangelegd. Dit omdat de verdachte juist niet heeft ingelogd, maar de computer op andere wijze is binnengegaan. Die klacht berust op een onjuiste rechtsopvatting. Juist het feit dat de computer is beveiligd tegen inloggen van buitenaf, maakt dat het op andere wijze binnendringen van die computer als het doorbreken van een beveiliging moet worden aangemerkt.

De stelling dat de computers met Windows XP, servicepack 0, niet zijn beveiligd, berust dan ook op een onjuiste rechtsopvatting. Dat, zoals wordt betoogd, slechts gebruik gemaakt is van de ‘gaten in de beveiliging’ impliceert dat er wel enige beveiliging was, hoe gebrekkig die beveiliging in de ogen van de verdachte wellicht ook was. De wetgever eist niet dat de rechthebbende gelijke tred houdt met de ‘voortdurende technologische oorlogsvoering’. Dat servicepack 1 en 2 ontbreken, wil dus niet zeggen dat het boevenpak straffeloos zijn gang kan gaan.

De beeldende vergelijking die verweer en middel maken met het huis waarvan alle ramen en deuren openstaan, gaat dan ook mank. Als alle deuren en ramen openstaan, is het huis inderdaad op geen enkele wijze beveiligd. Maar als de deur (de normale toegang tot het huis) dicht zit en alle ramen staan open, is er wel enige beveiliging. De ongenode gast die door het raam naar binnengaat, maakt zich schuldig aan inklimming, hetgeen hem even zwaar wordt aangerekend als braak of verbreking. Zijn gedrag levert huisvredebreuk op (art. 138 lid 2). Dat men het huis gemakkelijk kan binnengaan (dat de beveiliging gebrekkig was), maakt vanuit normatief gezichtspunt dus geen verschil. Met computervredebreuk is het niet anders. Het middel lijkt op de opvatting te berusten dat iedere mogelijkheid om het systeem binnen te dringen, van een aparte, afdoende beveiliging moet zijn voorzien. Die opvatting brengt, consequent doorgedacht, mee dat hacking die niet bestaat uit het onbevoegd gebruik van toegangscodes, nooit strafbaar is. Want men kan alleen toegang krijgen tot een geautomatiseerd werk door gebruikmaking van de ‘gaten’ die in de programmatuur van dat werk besloten liggen. Zodra beveiligingsmaatregelen verhinderen dat van dat gat gebruik wordt gemaakt, biedt het geautomatiseerde systeem niet meer de mogelijkheid om langs die weg binnen te dringen. En omgekeerd: als op een bepaalde wijze is binnengedrongen, betekent dat dat het werk daartegen niet beveiligd was.

Het Hof heeft in het voetspoor van de tenlastelegging bewezenverklaard dat ‘verdachte en zijn medeverdachte de beveiliging hebben doorbroken, in elk geval de toegang hebben verworven door een technische ingreep, met behulp van valse signalen en/of door het aannemen van een valse hoedanigheid’. Ik denk dat dit gelezen zou moeten worden als: dat ‘verdachte en zijn medeverdachte de toegang hebben verworven door een technische ingreep, met behulp van valse signalen en/of door het aannemen van een valse hoedanigheid, in elk geval de beveiliging hebben doorbroken’ (vgl. punt 56). Maar wat daarvan ook zij, het Hof heeft op grond van hetgeen het heeft vastgesteld — namelijk dat de verdachte en zijn medeverdachte, hoewel de desbetreffende computers beveiligd waren tegen inloggen van buitenaf, desondanks van buitenaf die computers zijn binnengedrongen met behulp van een daartoe ontwikkeld wormvirus en aldus misbruik hebben gemaakt van de kwetsbaarheid van die systemen — met juistheid geoordeeld dat sprake was van het doorbreken van enige beveiliging en tevens dat, gelet op de niet vast omlijnde betekenis van die term, sprake was van een technische ingreep.

In de schriftuur wordt nog geklaagd over de begrijpelijkheid van 's Hofs oordeel dat sprake was van een technische ingreep omdat de verdachten ‘verhuld en onherkenbaar, middels het ‘verpakte’ virus’ zijn binnengedrongen (zie punt 39; onder D4). Aangevoerd wordt dat uit de bewijsmiddelen blijkt de verpakking van het virus diende om herkenning door een virusscanner van het reeds binnengedrongen virus te voorkomen. Daaruit kan niet worden afgeleid dat de verpakking een rol speelde bij het doorbreken van de beveiliging. Hoewel die klacht mij terecht lijkt te zijn voorgedragen, kan zij niet tot cassatie leiden. Aan de hiervoor bereikte slotsom doet het gestelde namelijk niet af.

Het Hof heeft tevens geoordeeld dat het bewezenverklaarde gebruik van een valse hoedanigheid hierin bestond dat de verdachte ‘gaten in systeembeveiliging opzocht ten einde als administrator/system […] binnen te dringen’. Als juist is dat het aannemen van een valse hoedanigheid alleen betrekking heeft op het onbevoegd gebruik van toegangscodes (vgl. punt 62), is dit oordeel van het Hof niet begrijpelijk. Het middel klaagt daarover echter niet.

Het middel faalt.

Beide middelen falen.

Ambtshalve vraag ik aandacht voor het volgende. Verdachte heeft op 26 september 2008 beroep in cassatie ingesteld. De Hoge Raad zal uitspraak doen nadat sedertdien meer dan vierentwintig maanden zijn verstreken. Dat brengt mee dat de redelijke termijn als bedoeld in artikel 6, eerste lid, EVRM is overschreden. Dat moet leiden tot strafvermindering.

Andere gronden waarop de Hoge Raad gebruik zou moeten maken van zijn bevoegdheid de bestreden uitspraak ambtshalve te vernietigen, heb ik niet aangetroffen.

Deze conclusie strekt tot vernietiging van het bestreden arrest voor wat betreft de opgelegde straf. De Hoge Raad kan de hoogte daarvan verminderen naar de gebruikelijke maatstaf. Voor het overige dient het beroep te worden verworpen.

De Procureur-Generaal bij de Hoge Raad der Nederlanden

AG