Artikel 32a Aw: Middelen om softwarebeveiliging te kraken

Deze bepaling richt zich niet op het kopiëren zelf, maar op het gereedschap. Strafbaar is wie opzettelijk middelen aanbiedt, voorhanden heeft voor verspreiding, invoert, doorvoert, uitvoert of uit winstbejag bewaart die uitsluitend bedoeld zijn om de beveiliging van een computerprogramma te verwijderen of te omzeilen. Het strafmaximum is zes maanden gevangenisstraf of een geldboete van de vierde categorie.

Computerprogramma's zijn als categorie beschermd werk opgenomen in artikel 10 Aw. Omdat software met één handeling perfect te kopiëren is, leunt de bescherming ervan sterk op technische maatregelen: serienummers, activatieroutines, hardwaresleutels. Wie die maatregelen breekt, ondergraaft de bescherming van alle exemplaren tegelijk. Daarom pakt de wet niet alleen de kraker, maar vooral de verspreider van het kraakmiddel.

Uitsluitend bestemd

Het scherpste bestanddeel is het woord uitsluitend. Het middel moet alleen kunnen dienen om de beveiliging te ontwijken of te verwijderen. Gereedschap met een reële andere toepassing valt erbuiten, ook als het misbruikt kan worden. Een debugger, een netwerkanalysetool of een algemeen programmeerhulpmiddel is daarmee niet strafbaar. Een kant-en-klaar programmaatje dat niets anders doet dan een activatiecontrole uitschakelen, is dat wel.

Ook hier is opzet vereist. De verspreider moet weten wat het middel doet, of bewust de aanmerkelijke kans daarop aanvaarden. Wie een bestand doorgeeft zonder enig idee van de inhoud, mist die opzet, al is dat verweer zwak bij iemand die zulke bestanden systematisch aanbiedt.

Verhouding tot de civiele regeling

Naast deze strafbepaling kent de wet een civiele regeling over technische voorzieningen in artikel 29a Aw. Die richt zich breder op het omzeilen van beveiligingen van beschermde werken en op de handel in daarvoor bestemde middelen, en geeft de rechthebbende zelf een vordering. Dit artikel voegt daar het strafrechtelijke sluitstuk aan toe voor de beveiliging van software, en volgens artikel 33 Aw gaat het om een misdrijf.

Een praktijkvoorbeeld

Een softwarehuis levert een tekenprogramma dat alleen werkt met een licentiesleutel. Een handelaar in tweedehands hardware verkoopt daarnaast een USB-stick met een programmaatje dat de licentiecontrole permanent uitschakelt, met de tekst 'werkt bij elke versie'. De stick heeft geen enkele andere functie. De verkoop daarvan valt onder dit artikel, ook als de handelaar zelf geen enkele kopie van het tekenprogramma verspreidt en zelfs als niemand het middel uiteindelijk gebruikt.

In de praktijk

• Voor softwareleveranciers: documenteer hoe je beveiliging werkt en wat een aangetroffen middel precies uitschakelt. Het bewijs draait op de vraag of het middel echt geen andere functie heeft.
• Voor onderzoekers en IT-dienstverleners: houd hulpmiddelen met legitieme functies gescheiden van kant-en-klare omzeilingstools, en leg het doel van je werkzaamheden vast. De grens ligt bij de exclusieve bestemming.
• Voor doorverkopers: ook aanbieden en in voorraad houden telt al, los van de vraag of er iemand mee heeft gekraakt. Wacht dus niet met opruimen tot een klant klaagt.