Met gevangenisstraf van ten hoogste twee jaren of geldboete van de vierde categorie wordt gestraft hij die, met het oogmerk dat daarmee een misdrijf als bedoeld in artikel 350a, eerste lid, of 350c wordt gepleegd: a. een technisch hulpmiddel dat hoofdzakelijk geschikt gemaakt of ontworpen is tot het plegen van een zodanig misdrijf, vervaardigt, ontvangt, zich verschaft, overdraagt, verkoopt, verwerft, vervoert, invoert, uitvoert, verspreidt of anderszins ter beschikking stelt of voorhanden heeft, of b. een computerwachtwoord, toegangscode of daarmee vergelijkbaar gegeven waardoor toegang kan worden verkregen tot een geautomatiseerd werk of een deel daarvan, vervaardigt, verkoopt, verwerft, invoert, verspreidt of anderszins ter beschikking stelt of voorhanden heeft.
Artikel 350d Sr: Hulpmiddelen en toegangscodes voor computersabotage
Hulpmiddelen en toegangscodes voor computersabotage
Wettekst
Toelichting
Artikel 350d Sr grijpt in voordat er schade is. Strafbaar is wie een technisch hulpmiddel of een toegangscode maakt, verhandelt of voorhanden heeft met het oogmerk dat daarmee een misdrijf uit artikel 350a Sr, eerste lid, of uit artikel 350c Sr wordt gepleegd: het aantasten van gegevens of het saboteren van een systeem of netwerk. Het gaat dus om een voorbereidingsdelict, waarbij de bedoeling van de bezitter beslissend is.
Twee categorieën
- Technische hulpmiddelen — het middel moet hoofdzakelijk geschikt gemaakt of ontworpen zijn voor het plegen van zo'n misdrijf. Die eis sluit gewone apparatuur en algemeen bruikbare software uit: een computer of een netwerkprogramma is niet hoofdzakelijk voor sabotage bedoeld.
- Wachtwoorden en toegangscodes — computerwachtwoorden, toegangscodes en vergelijkbare gegevens waarmee toegang tot een systeem of een deel daarvan kan worden verkregen. Hier gaat het niet om de aard van het middel maar om wat ermee kan worden geopend.
De strafbare handelingen
De wet noemt een lange reeks: vervaardigen, ontvangen, zich verschaffen, overdragen, verkopen, verwerven, vervoeren, in- en uitvoeren, verspreiden, op andere wijze ter beschikking stellen en voorhanden hebben. Daarmee is de hele keten gedekt, van maken tot bewaren. Voor de codes uit de tweede categorie noemt de wet een iets kortere reeks, maar ook daar valt het enkele voorhanden hebben eronder. Er hoeft geen aanval te zijn uitgevoerd en er hoeft geen schade te zijn.
Het oogmerk begrenst de bepaling
Zonder het vereiste oogmerk is er geen strafbaar feit. Dat is van groot belang, omdat veel middelen zowel voor aanval als voor verdediging kunnen worden gebruikt. Wie beroepsmatig systemen test binnen een afgesproken opdracht, wie kwetsbaarheden onderzoekt om ze te melden, of wie beheerderswachtwoorden bewaart omdat zijn functie dat vraagt, heeft niet het oogmerk een misdrijf te plegen. Het bewijs van dat oogmerk wordt in de praktijk afgeleid uit de context: waar zijn de gegevens vandaan gekomen, wat is ermee gedaan, en bestond er een legitieme grond om ze te hebben.
De straf
Voor dit feit geldt een maximum van twee jaren gevangenisstraf, of anders een geldboete van de vierde categorie. Dat is even hoog als het maximum voor het aantasten van gegevens zelf in artikel 350a Sr, eerste lid, wat laat zien dat de wetgever de handel in aanvalsmiddelen serieus neemt; de schade die daarmee kan worden aangericht staat immers los van wat één dader zelf doet.
Afbakening
Wordt het middel daadwerkelijk gebruikt, dan gaan de misdrijven zelf voor: artikel 350a Sr bij het aantasten van gegevens en artikel 350c Sr bij sabotage van een systeem of netwerk. Wordt met een code binnengedrongen in een systeem, dan gaat het om computervredebreuk volgens artikel 138ab Sr. Wordt een systeem onbereikbaar gemaakt door het toesturen van gegevens, dan geldt artikel 138b Sr. Voor het verspreiden van gegevens die zijn gemaakt om schade aan te richten bestaat bovendien een eigen strafbaarstelling in het derde lid van artikel 350a Sr, met een uitzondering voor wie juist schade wil beperken.
In de praktijk
Voor beveiligingsonderzoekers en beheerders is de praktische les dat de legitieme grond aantoonbaar moet zijn: werk op basis van een schriftelijke opdracht of binnen een gepubliceerde meldingsregeling, bewaar die afspraken en beperk je tot wat is afgesproken. Voor particulieren is de belangrijkste waarschuwing dat het kopen of doorverkopen van gestolen inloggegevens onder deze bepaling kan vallen, ook als er verder niets mee gebeurt. Wie als verdachte wordt gehoord, doet er goed aan zich te realiseren dat de zaak vrijwel volledig draait om zijn bedoeling; bijstand van een advocaat is vanaf het eerste verhoor beschikbaar.