Bij de politierechter: hacken voor dummies

Christian (42) is computerprogrammeur van beroep, maar dat hoeft hij er nauwelijks bij te zeggen. Zijn voorkomen – stevige leren schoenen, een modelloze donkere spijkerbroek en een blauwwit gestreept overhemd – laat weinig andere opties open. Hij is zenuwachtig. Voordat zijn zaak begint zoekt zijn blik nog snel die van zijn vrouw, die als steun in de rug pal achter hem in de zaal is gaan zitten. Samen wachten ze al een paar jaar op deze dag; de dag waarop de rechter eindelijk vaststelt of de keurige Christian zich schuldig heeft gemaakt aan hacken, of in beter Nederlands ‘computervredebreuk’, of niet.

Waarom hij uitgerekend de website van het Utrechtse St. Antonius Ziekenhuis uitkoos, blijft vandaag onbesproken. Feit is dat Christian op een vrijdagavond op de site van het ziekenhuis terechtkomt en er daar in slaagt medische dossiers en andere patiëntgegevens te downloaden. In totaal gaat het om vier bestanden.

@backlink(161693)

Sleutel onder bloempot

Hij schrikt er zelf van hoe makkelijk het gaat en loopt het hele weekend met een naar gevoel rond. Zijn vrouw adviseert hem het lek te melden bij het ziekenhuis. Op zondag surft Christian opnieuw naar de site. Voordat hij het lek meldt, wil hij weten wie de beheerder van de website is. Met een paar keer klikken komt hij erachter dat het een arts is die nota bene zelf in het St. Antonius werkt. Dat verandert de zaak, vindt Christian.

“Ik dacht dat ik misschien in de problemen zou komen als ik dat bij het ziekenhuis zou melden,” zegt hij nu. “En anders die arts wel. Uiteindelijk dacht ik: het zijn mijn zaken niet, ik hou me erbuiten.” Van iemand zeggen dat hij een autistische indruk maakt is niet erg netjes, maar het zijn wel woorden die zich opdringen bij het zien en aanhoren van de computerprogrammeur. Zeker wanneer hij op verzoek van de rechter ‘in gewone mensentaal’ probeert uit te leggen wat hij nou precies gedaan heeft. Tussen de vele uh’s door heeft Christian het over ‘urls’, ‘extensions’, ‘query-parameters’ en andere zaken waaraan de rechter geen touw kan vastknopen.

De poging die zijn advocaat even later waagt schijnt meer licht op de zaak. Volgens hem was er van enige beveiliging totaal geen sprake, en dus kon Christian zich ook onmogelijk schuldig maken aan het omzeilen of het doorbreken ervan.

“Mijn cliënt tikte een onschuldige zoek- term in waarna een foutmelding volgde: ‘bedoelt u...’ gevolgd door de link die hem naar de patiëntgegevens leidde. Dat is geen hacken, dat is gewoon downloaden. Het had u ook kunnen overkomen.”

Om zijn punt te maken vergelijkt hij de website van het ziekenhuis met een woning. “Het is alsof je bij iemand aanbelt die niet opendoet, maar wel naar je roept dat de sleutel onder de bloempot ligt,” sluit de advocaat zijn betoog af.

De rechter trekt zich kort terug om zich te beraden.

“Ik acht de computervredebreuk bewezen,” oordeelt ze. “Het gaat er mij niet om hoe ingewikkeld of hoe simpel het was. U wist dat de gedownloade bestanden zeer privacygevoelig en niet voor uw ogen bestemd waren. Toch ging u door en downloadde u nog een bestand. En nog eentje. Het feit dat u geen melding van het lek maakte reken ik u, zeker gezien uw beroep, eveneens aan.”

Toch is haar straf mild. Waarschijnlijk kan ze zich maar moeilijk voorstellen dat de man die voor haar zit iets kwaads in de zin had. Ze stuurt hem weg met een waarschuwing: een boete van 100 euro, geheel voorwaardelijk.

@backlink(161689)

Lees het in Panorama

Dit was een aflevering van 'De politierechter' uit de oude doos, geschreven door onze verslaggever Jochem Davidse. Benieuwd naar de aflevering van deze week? Bestellen kan hier.