Minister Van Weel van Justitie en Veiligheid wil dat de politie hacksoftware kan inzetten zonder dat die vooraf gekeurd wordt. Een ontwerpbesluit hiervoor staat momenteel ter consultatie online. Beveiligingsexperts en juristen uiten al kritiek, maar het besluit legt ook een dieper liggend ICT- en zakelijk probleem bloot.
De hackbevoegdheid bestaat sinds 1 maart 2019. Op die datum werd de Wet Computercriminaliteit III van kracht. Die wet geeft de politie de mogelijkheid om in het geheim een geautomatiseerd werk binnen te dringen, zoals een laptop of smartphone van een verdachte. Dat mag alleen bij verdenking van een ernstig strafbaar feit en het volledige proces moet worden vastgelegd, zodat later controleerbaar blijft wat er precies is gedaan.
Gegevens die de politie op deze manier verzamelt, moeten betrouwbaar, herleidbaar en integer zijn. Een keuring vooraf van de gebruikte hacksoftware is daarvoor een belangrijke waarborg. Maar juist die keuring loopt in de praktijk vast op de zakelijke realiteit van de IT-markt.
Waarom de keuring niet werkt
Het Wetenschappelijk Onderzoek- en Documentatiecentrum (WODC) stelde eerder al vast dat het de politie nauwelijks lukt om een vooraf goedgekeurd technisch hulpmiddel in te zetten. De oorzaak is dat de politie leunt op één commerciële hacktool van een externe leverancier. Deze commerciële partij verzet zich strikt tegen een keuring of broncode-audit uit vrees voor het lekken van haar intellectueel eigendom en bedrijfsgeheimen.
In een jaar tijd hackte de politie in acht zaken computers van verdachten, maar liet de inzet niet keuren zoals de regels voorschrijven. In zes zaken ontbrak een keuring vooraf volledig. Achteraf werd er slechts één aangevraagd, waarbij de software werd afgekeurd. Een ander gevoelig punt op het gebied van data-governance is dat leveranciers van commerciële software in het verleden achteraf toegang bleken te krijgen tot de gehackte informatie op overheids-servers. Dit vormt een directe schending van de wet, die voorschrijft dat uitsluitend geautoriseerde ambtenaren toegang mogen hebben tot deze gevoelige bewijslast.
Van keuring naar risicoanalyse
Volgens de autoriteiten zijn de huidige keuringseisen niet meer van deze tijd. Tijdens een operatie verandert de technische omgeving snel, waardoor de politie vaak tussentijds van exploit of hulpmiddel moet wisselen. “Destijds is niet onderkend dat technische hulpmiddelen zo snel wijzigen. De praktijk en de evaluatie hebben geleerd dat keuren vooraf niet haalbaar is”, staat in de toelichting bij het ontwerpbesluit.
De minister wil de verplichte keuring vooraf daarom vervangen door een interne risicoanalyse en eventuele controle achteraf. Tevens wordt geregeld dat de politie commerciële binnendringsoftware straks voor meerdere zaken mag hergebruiken. Hoewel dit vanuit kosten- en licentieperspectief efficiënt lijkt, vergroot dit volgens IT-analisten de afhankelijkheid van een kleine groep commerciële spyware-aanbieders, wat leidt tot een aanzienlijke vendor lock-in.
In ander nieuws: Onderzoek Odido-hack wijst richting Nederlandse daders
De zakelijke dynamiek van de exploit-markt
Het schrappen van de voorafgaande keuring raakt direct aan de markt waarin opsporingsdiensten en commerciële spyware-leveranciers opereren. Omdat aanbieders van kostbare zero-day kwetsbaarheden weigeren hun intellectueel eigendom te laten auditen, ontstaat er een spanningsveld. Dat ontstaat tussen de wettelijke transparantie-eisen en de commerciële belangen van de IT-leveranciers.
Daarnaast beïnvloedt deze afhankelijkheid het bredere IT-landschap. Wanneer de overheid kwetsbaarheden op de commerciële markt opkoopt in plaats van ze via Coordinated Vulnerability Disclosure te melden bij softwareontwikkelaars, blijven bekende beveiligingslekken in stand. Dit brengt risico’s met zich mee voor de algemene digitale veiligheid van bedrijven en burgers.
Tot slot heeft het ontbreken van een voorafgaande keuring zakelijke en juridische gevolgen voor de bewijsvoering. Zonder een geauditeerde ‘chain of custody’ kan de verdediging in strafzaken de integriteit van de exfiltreerde data betwisten, wat de houdbaarheid van het bewijs in de rechtbank in gevaar brengt.
Kritiek uit de IT- en beveiligingssector
Niet iedereen is overtuigd van het nieuwe voorstel. Beveiligingsexperts waarschuwen in hun reacties op de consultatie dat een interne risicoanalyse in feite neerkomt op een vrijbrief om ongeteste commerciële tools in te zetten. Daarnaast is er kritiek op het ambtelijke taalgebruik in het besluit, dat de werkelijke technische risico’s en impact te veel zou verhullen.
Reageren op het ontwerpbesluit kan nog tot 10 september via Internetconsultatie.nl. De uitkomst zal bepalend zijn voor de manier waarop de overheid in de toekomst omgaat met de balans tussen digitale opsporing, verantwoorde overheids-IT en de macht van commerciële IT-leveranciers.