Vragen over reikwijdte en toezicht tijdens debat 'hackvoorstel' in Eerste Kamer

De Eerste Kamer heeft dinsdag gesproken over het wetsvoorstel Computercriminaliteit III, ook wel het 'hackvoorstel' genoemd, omdat het de politie de bevoegdheid geeft om systemen binnen te dringen. De partijen stelden vragen over de reikwijdte van de wet, toezicht en kwetsbaarheden.

Verschillende partijen, waaronder D66, PVV, GroenLinks en SP, stelden vragen over de mogelijkheid om de wet uit te breiden naar andere misdrijven met een zogenaamde algemene maatregel van bestuur, oftewel amvb. De regering kan deze opstellen. Het huidige wetsvoorstel maakt het bijvoorbeeld mogelijk om de hackbevoegdheid in te zetten bij misdrijven waarvoor een minimale gevangenisstraf van acht jaar geldt. Deze categorie kan dus nog worden uitgebreid met een amvb, wat volgens de partijen onduidelijk maakt in welke gevallen de bevoegdheid kan worden ingezet.

Volgens de SP is het wetsvoorstel 'een monsterwet' geworden. Zo zou de noodzaak van de wet duidelijk zijn, maar zou de behandeling lang duren als gevolg van controversiële onderdelen. Ook de VVD stipt de lange duur van 2,5 jaar na indiening van het voorstel aan. De partij zegt positief te zijn over de waarborgen in de wet en stelde verder voornamelijk vragen over het voorkomen van schade bij derden door de inzet van de hackbevoegdheid, bijvoorbeeld bij organisaties die kritieke diensten leveren.

Partijen besteedden bovendien aandacht aan het melden van onbekende kwetsbaarheden. Eerder bleek dat de politie onder de nieuwe wet weliswaar geen onbekende kwetsbaarheden mag inkopen, maar dat wel software mag worden ingekocht die voor zijn werking gebruikmaakt van dat soort lekken. Het melden van onbekende kwetsbaarheden, wat volgens het voorstel wel moet en door de officier van justitie kan worden uitgesteld, zou daardoor volgens GroenLinks een 'dode letter' zijn. De PVV ziet niets in een meldplicht.

Ook het toezicht op de uitvoering van de nieuwe bevoegdheden in de wet passeerde de revue. Zo pleitte bijvoorbeeld de PvdA voor 'kritisch en onafhankelijk toezicht' en een eerdere evaluatie van de wet na twee tot drie jaar. GroenLinks wil voor alle 'hackacties' toezicht achteraf en ook het CDA wilde van de minister weten op welke manier hij het toezicht denkt te gaan versterken.

Het eerste deel van de bespreking van de wet gaf partijen de kans om vragen te stellen aan minister Grapperhaus van Justitie en Veiligheid. De antwoorden daarop volgen later. Het wetsvoorstel Computercriminaliteit III werd eind 2015 ingediend bij de Tweede Kamer. Die stemde er vervolgens een jaar later mee in. Sindsdien ligt de wet bij de Eerste Kamer, die er nog over moet stemmen. In deze Kamer kwamen eerder al experts aan bod in een debat.

De wet gaat behalve over de hackbevoegdheid voor de politie over tal van andere zaken, zoals het ontoegankelijk maken van gegevens. Ook mogen politiefunctionarissen volgens de wet als 'lokpubers' worden ingezet om personen op te sporen die via internet contact zoeken met minderjarigen. Daarnaast wordt het handelen in gestolen data strafbaar gesteld.

Reacties (54)

[davekok]

Hmmm, ik zie nog liever dat de politie een goed beveiligde backdoor binnen mag komen waarbij leveranciers per apparaat een sleutel moeten bewaren die opvraagbaar is via de rechter. Dan dat de politie mag hacken. Dit lijkt mij iets dat gaat uitlokken tot het opzettelijk inbouwen van kwetsbaarheden door leveranciers. Zodat de politie niet steeds geld hoeft neer te leggen voor weer de volgende kwetsbaarheid.

[Zer0]

Dit lijkt mij iets dat gaat uitlokken tot het opzettelijk inbouwen van kwetsbaarheden door leveranciers.

Waarom zouden ze dat doen? Wat is het voordeel voor de leverancier? Waar is de winst?

[davekok]

Misschien een mooi dealtje met de overheid. Bouw die kwetsbaarheid in en wij bestellen zoveel van u (zonder die kwetsbaarheid).

[Zer0]

Tja, want een deal met een klein landje als Nederland levert natuurlijk flink wat op
De kwetsbaarheid moet zitten in software die veel gebruikt wordt, anders heeft het geen nut, en de grote software leveranciers zullen echt hun wereldwijde verkoopkansen en reputatie niet op het spel zetten voor een dealt met een "lullig" landje als Nederland.

[BlaDeKke]

Als Belg zijnde, Nederland wordt internationaal niet gezien als lullig landje. Het is juist zo'n sterke speler omdat jullie veel intel verzamelen en hebben.

[davekok]

Software kan prima per gebied uitgerold worden.

[Zer0]

Dat is niet relevant. Zie je het voor je dat Microsoft een speciale Office versie uitbrengt voor Nederland, met backdoor? Zouden andere klanten dan ook niet achter hun oren krabben en goed nadenken of die backdoor mogelijk ook in hun versie zit? Het beetje geld wat ze eventueel aan de Nederlandse overheid kunnen verdienen met een dergelijke deal valt in het niet met het verlies van klanten en de reputatie-schade.

Een mooi voorbeeld is Kaspersky, die zouden een dergelijke deal hebben met de Russische overheid.... kijk eens wat ze dat aan klanten kost...Diverse overheden hebben hun software al in de ban gedaan of raden het gebruik af.

[davekok]

Dat is omdat ze het verkochten aan de rest van de wereld. Als ze het alleen aan russen hadden verkocht, had niemand het iets kunnen schelen.

Het liefste heb ik gewoon dat ze helemaal niet hacken of backdoors krijgen. Maar als ik moet kiezen. Kies ik voor backdoors. Echter ik heb weinig te kiezen. Het enige wat ik kan hopen is dat ik als software developer productief genoeg wordt om mijn eigen software te schrijven.

[Zer0]

Als ze het alleen aan russen hadden verkocht, had niemand het iets kunnen schelen.

En hoeveel software ontwikkelaars zijn er die alleen aan Nederland leveren, en wiens software veel gebruikt wordt onder de bevolking?

[davekok]

Het is echt niet moeilijk om aparte variante van dezelfde software te maken. Dit heeft niets te maken of ze alleen aan Nederland leveren.

[Single_Core]

Zou extreem slecht aanvaard worden door tweakers / ethical hackers / software developers / ...

Gevolg? Ze raden hun familie / vrienden af om product X te kopen, want persoon Y op reddit heeft ontdekt dat er een bepaalde backdoor/vulnerability inzit met opzet ...

Nu ben ik wel voorstander als ze een bepaalde persoon hacken, indien ze dit kunnen, want ze mogen ook een gebouw binnenvallen, waar geen computer/server kraken?

[Baris]

Bij de overheid gaan veel (alle tot een bepaalde grens?) inkopen via een aanbesteding. Dus dit lijkt mij dit onwaarschijnlijk.

[Reactie gewijzigd door Baris op 23 juli 2024 13:50]

[Tweekzor]

Bij de overheid gaan veel (alle tot een bepaalde grens?) inkopen via een aanbesteding. Dus dit lijkt mij dit onwaarschijnlijk.

Alle aankopen vanaf een bepaalde grens juist. Tenzij iets wordt aangeschaft onder het mom van staatsveiligheid (zijn uiteraard regels voor). Dan mag het 5, 10 jaar of nog langer geheim worden gehouden en onderhands worden aangekocht met een stapel NDA's richting leverancier.

[tweaknico]

Hoeft geen winst op te leveren, kan ook gewoon per wet verordoneerd worden.
Niet lang geleden speelde Den Haag nog met de gedachte dat alle Private Keys in Escrow gegeven moesten worden bij de overheid....

[Zer0]

Dat zou kunnen, maar zal een leverancier er dan voor kiezen om de kleine Nederlandse markt te verlaten, of in de rest van de wereld klanten kwijt te raken....
Zie Kaspersky, mogelijk gedwongen door de Russiche overheid om een backdoor in te bouwen, door diverse overheden in de ban gedaan.

[tweaknico]

Alle overheden eigenen zich het recht toe om dat te mogen afdwingen. CLOUD wetgeving in USA, deze wet in NL, maar ook WIV. UK heeft dit ook al enige tijd vastgelegd.

BKA (Duitste overheid) heeft dit ook al eens gedaan bij een berichten/chat dienst. Dat leidde tot een proces, waar het vermoeden dat het een en ander bij die berichten dienst niet in de haak geweest was bevestigd werd.
De berichten dienst is uiteindelijk klantloos verdwenen.

[WhatsappHack]

De goede beveiliging wordt vanzelf gekraakt. Dus slecht plan en dan wordt t veel te makkelijk om massasurveillance toe te passen, wat ze toch al volop proberen te bereiken. Dus laat het maar flink geld kosten voor de overheid, dan is de grens lastiger te doorbreken en moeten ze heel goed afwegen of het ‘t wel waard is.

[Blokker_1999]

- Hoe ga jij de unieke ID van het apparaat bepalen zonder vanop afstand toegang te verschaffen tot het apparaat?
- Hoe ga jij er voor zorgen dat die database nooit in verkeerde handen valt?

[davekok]

Je kunt bij de verkoop vastleggen welk serienummer aan welke persoon zit gekoppeld.

Uiteraard geen database. Liever een fysiek archief met een kaartje met serienummer en code.

[tweaknico]

Dat gebeurt al... als jij spullen koopt wordt oa. het serienummer op de kassabon vermeld.
En via factuur of betaal gegevens of "klanten"-pas is ook een referentie bekend.
(Bij kleuren printers/copiers is dat serienummer ook op alle afdrukken terug te vinden als een geel stippen patroon samen met datum en tijd).

Kan die database wel in juiste handen zijn??

[Jartim00]

Vindt het internet de laatste tijd maar een enge plaats om eerlijk te zijn... Ik bedoel, eerst komt de EU met artikel 11 en 13 dat het vrije internet volledig bedreigt, en nu komt Nederland ook nog eens met een achterlijk voorstel. Het moet niet gekker.

[bArAbAtsbB]

het voorstel is al 3 jaar oud...tis niet zo dat ze er ineens mee komen ofzo!

er is nou eenmaal wel wat regelgeving nodig op het internet...het mag geen vrijstaat voor criminelen worden! (ook al gaat deze wet wat ver en is de materie ingewikkeld (daarom duurt het ook zo lang in de 1e kamer))

[Reactie gewijzigd door bArAbAtsbB op 23 juli 2024 13:50]

[Killer]

Waarom is er regelgeving nodig? Het internet zelf doet niet veel verkeerd. Het zijn de gebruikers die er slechte dingen mee doen. Laat het gewoon een vrijplaats voor iedereen zijn.

De politie mag dan best onderzoek doen, maar dan net als bij jou en mij thuis, slechts met een huiszoekingsbevel (in dit geval computerzoekingsbevel o.i.d.) waarvoor een Officier van Justitie een akkoord heeft gegeven omdat de politie een zeer gerede verdenking richting jou als persoon heeft en deze heeft kunnen aantonen aan die officier.

We geven steeds meer vrijheden op, onder het mom van veiligheid en daarmee de staat steeds meer enge mogelijkheden tot controle. Alleen zijn we ondertussen geen steek veiliger geworden, maar verlaten we wel steeds verder het principe van 'onschuldig totdat anders bewezen' en maken we er 'Schuldig tenzij anders bewezen van'. Het enige dat we met dat alles tot nu toe bereikt hebben is dat de echte criminelen alleen nog verder onder de radar gedoken zijn.

Wie garandeert mij dat er over een paar jaar niet één of andere engerd aan het roer staat in Nederland, die dan ineens zeggenschap heeft over al die surveillance en controle mogelijkheden?

[Reactie gewijzigd door Killer op 23 juli 2024 13:50]

[Kriekel]

Op de meeste punten ben ik het met je eens, maar niet met het eerste. Een auto doet zelf namelijk ook niet veel verkeerd, maar toch ben ik blij dat er verkeersregels zijn.

[tweaknico]

ehm de verkeersregels gaan niet over de auto.... dat gaat over chauffeurs en gedrag van chauffers....
Als het over auto's ging was er al lang geautomatiseerd transport.

[bArAbAtsbB]

de democratie garandeert dat degene die aan het roer staat verkozen is! iig de kopman van de grootste partij mag in basis Premier zijn....dus als we met zn allen niet zo gek zijn om de PVV de grootste te maken hebben we niet veel te duchten!

[nobraininvolved]

mja, ik sta er heel dubbel in.
Aan de ene kant; je zult maar een dochter hebben waarvan een vriendje naaktfoto's heeft geplaatst op internet, of je zult maar continue bedreigd worden via 'anoniempje' via internet....dat zijn wel de 'dagelijkse praktijkzaken' waar veel mensen mee te maken hebben en die nu op dit moment niet aangepakt (kunnen) worden.

Ook de grote criminaliteit, huurmoordenaars, drugshandel, terrorisme.
Aan die kant vind ik het niet meer dan logisch dat de politie mee gaat met de tijd en de tools krijgt voor gedegen onderzoek.

Aan de andere kant vind ik niet dat die tools te pas en te onpas zouden mogen worden gebruikt met pas 'controle achteraf'.
ik vind wel dat de politie getoetst (vooraf, dus via een rechter) zou moeten worden voordat ze ergens op mogen gaan hacken en het maatschappelijk/persoonlijk belang moet wel worden afgewogen tegen de inbreuk van de privancy van de 'verdachte'.
Daarnaast zou er een veel betere garantie moeten komen dat er geen profiling plaatsvindt op basis van 'sleepnetgegevens', de bewaartermijn van niet relevante gegevens eerder in de uren dan in de dagen/weken/maanden moet liggen, enz.

[AmigaWolf]

Dat gaat de internet woorden, "our way or the high way"

Dat een elite groep mensen gaan beslissen wat wel mag en wat niet, artikel 11 en 13 gaat er voor zorgen dat de internet zo als we die nu kunnen verdwijnen.

https://www.youtube.com/watch?v=xwR34cT1grw

https://www.youtube.com/watch?v=vpwsGomSTKk

[Verwijderd]

Dat een elite groep mensen gaan beslissen wat wel mag en wat niet, artikel 11 en 13 gaat er voor zorgen dat de internet zo als we die nu kunnen verdwijnen.

Met elite bedoel je de mensen die wij gekozen hebben om ons te vertegenwoordigen? Want daar gaat dit nieuwsbericht over. Als je wat meer over deze mensen weet zal je zien dat het geen 'elite' is maar gewoon mensen die voor een zeer karig salaris werken (ik verdien vijf keer zoveel als een eerste kamer senator).

[AmigaWolf]

[...]


Met elite bedoel je de mensen die wij gekozen hebben om ons te vertegenwoordigen? Want daar gaat dit nieuwsbericht over. Als je wat meer over deze mensen weet zal je zien dat het geen 'elite' is maar gewoon mensen die voor een zeer karig salaris werken (ik verdien vijf keer zoveel als een eerste kamer senator).

Woord zo moe elke keer van "Met elite bedoel je de mensen die wij gekozen hebben om ons te vertegenwoordigen"

Nee heb niet voor hun/hem gekozen, heb NOOIT gekozen voor Rutte VVD, D66, CDA, en zelfde met de EU Brussel (want dié ‘besturen’ feitelijk het land) heb ze ook niet gekozen, leuke is geen een burger heeft daar voor gekozen.

En leuk dat jij meer verdient dan een senator, maar de meeste mensen niet.

[234FaTaLiTy]

Word ik nu ook extra in de gaten gehouden als ik je een +1 geef?

Nee, maar ik ben het volkomen met je eens.

[SgtElPotato]

Tijd voor internet 2.0

Het vrije internet is in Amerika ook al aan banden gelegd, komt de EU nu bij.

Prima dat ze dit doen om criminelen op te pakken, maar ondertussen leveren wij al onze vrijheid en privacy in op het internet.

[Phyxion]

Dat klinkt erg leuk en eenvoudig, maar als iedereen op "Internet 2.0" zit dan gaan de criminelen daar natuurlijk ook op.

[SgtElPotato]

Tja, criminelen vinden toch wel een weg, zie bijvoorbeeld het TOR netwerk etc.

Ik heb behoefte aan mijn privacy e.d. Als de overheid dat afpakt vind ik op zijn zachtst gezegd niet erg prettig.

[tweaknico]

TOR is niet relevant..

[Blokker_1999]

Waarom zou het internet vrij moeten zijn? Waarom zouden daar geen regels moeten gelden? Voor een veilig internet zijn er regels nodig die door iedereen gevolgd worden.

[synoniem]

Een veilig internet is een illusie dat bestaat niet en komt er ook niet. Wat er wel komt/is zijn overheden die "preventief" het internet verkeer willen monitoren. Onder het mom van criminaliteit en terrorisme kan als "bijvangst" van het sleepnet van elke burger een profiel gemaakt worden met een risicoscore en braafheidscijfer. Tegelijkertijd kan iedere politieke weerstand bij voorbaat al de kop in worden gedrukt door die verzamelde data te manipuleren. Geef mij maar een vrij internet zonder overheidsbemoeienis.

[tweaknico]

Vergelijk Internet met de Zee.....

Waarom zou de Zee Vrij moeten zijn?.... (Mare Liberum, Hugo de Groot)...
https://nl.wikipedia.org/wiki/Mare_liberum

Dus (volgens google translate):
Interrete Liberi

Zou een betere benadering zijn....

[chopper88]

Wat krijg ik toch altijd een nare smaak in m'n mond wanneer de overheid weer met dit soort praktijken aan komt zetten

GroenLinks wil voor alle 'hackacties' toezicht achteraf

Hoe kan er achteraf gedegen toezicht plaats vinden? Achteraf weet men toch niet of alles netjes gelogd is wat er is gebeurd, en daarnaast blijkt de overheid in vele gevallen zeer onbetrouwbaar te zijn met dit soort zaken waarbij dingen 'verdwijnen' of waar er gewoon glashard wordt gelogen over het niet bestaan.

Eerder bleek dat de politie onder de nieuwe wet weliswaar geen onbekende kwetsbaarheden mag inkopen, maar dat wel software mag worden ingekocht die voor zijn werking gebruikmaakt van dat soort lekken.

Mooie loophole... "Autodieven mogen geen onbekende kwetsbaarheden kopen om in auto's te komen, ze mogen echter wel lopers kopen die deze kwetsbaarheden uitbuiten waarmee ze auto's kunnen openen"

De PVV ziet niets in een meldplicht.

Het weegt inderdaad veel zwaarder dat de overheid toegang houdt tot 0.0001% van de systemen in ons land via deze kwetsbaarheden, in plaats van dat het hele land zichzelf kan beveiligen tegen deze kwetsbaarheden.

Volgens de SP is het wetsvoorstel 'een monsterwet' geworden. Zo zou de noodzaak van de wet duidelijk zijn, maar zou de behandeling lang duren als gevolg van controversiële onderdelen. Ook de VVD stipt de lange duur van 2,5 jaar na indiening van het voorstel aan.

Wat is hier het probleem van? Dat het te lang duurt voordat we ergens in mogen breken?

[Verwijderd]

Hoe kan er achteraf gedegen toezicht plaats vinden? Achteraf weet men toch niet of alles netjes gelogd is wat er is gebeurd, en daarnaast blijkt de overheid in vele gevallen zeer onbetrouwbaar te zijn met dit soort zaken waarbij dingen 'verdwijnen' of waar er gewoon glashard wordt gelogen over het niet bestaan.

Geef eens wat voorbeelden van IT zaken waar de overheid glashard gelogen heeft en waar er geen afdoende correctie maatregelen genomen zijn?

Ik weet wel dat jouw reactie door veel Tweakers geapprecieerd zal worden maar ik zie ze maar zeer zelden onderbouwd met feiten en dan kan ik niet veel verder komen dan dat het roeptoeteren is. Zeer welkom op GeenStijl!

[_JGC_]

Onze overheid is er heel goed in om dingen in de doofpot te stoppen. Soms zit het deksel er niet goed op en loert een journalist om de hoek, hebben ze weer een schandaaltje waardoor een liegende of vergeetachtige minister moet aftreden.

Wat betreft politie hackbevoegdheid geven, ook daar zitten corrupte lui. Er zijn genoeg voorbeelden van mensen die onterecht veroordeeld zijn. Hoger beroep duurt jaren voordat ze weer vrij zijn. Hoe makkelijk is het om digitaal bewijs te fabriceren als datgene dat je wilt onderzoeken gehackt mag worden? Er staan geen vingerafdrukken bij de aangetroffen bestanden.

[tweaknico]

En de VVD vindt het nu wel voldoende met die toezicht, maar ik geloof ook dat daar de meeste "missers" m.b.t. toezicht aan het licht komen..

[chopper88]

Bedankt voor de stempel 'roeptoeter' en verwijzing naar GeenStijl, ga ik verder maar even niet op in

_JGC_ heeft eigenlijk al geantwoord wat ik bedoel, maar goed:
Ik heb het niet over IT zaken, maar over toezicht achteraf in z'n algemeenheid. 'Verdwenen' bonnetjes, zeggen dat je niks van memo's afweet die je zelf hebt geschreven, verzinnen dat je met Putin hebt gesproken etc. En dit dan als clubje politici met elkaar ook nog allemaal angstvallig verzwijgen, ontkennen en verdraaien.

[T-Forever]

Dat wilt dus zeggen controle of de hackacties volgens de wet toegestaan waren, en dat groenlinks de enige fractie is die deze toezicht wenst, de rest er dus de noodzaak niet van in ziet de overheid te controleren en op hun blauwe ogen geloofd is toch veel erger?

Een 'monsterwet' is doorgaans heel gebruikelijk in het verpakken van een paar niet populaire onderdelen, zodat je die er toch door kunt krijgen. Vele stukken in die wet zijn noodzakelijk die zouden zonder pardon aangenomen zijn, zodoende het verwijt.

[bbob]

Daarnaast wordt het handelen in gestolen data strafbaar gesteld.

Dat wordt lachen hoe kan de belastingdienst nu aan gesloten data van zwart geld komen. die hebben ze in het verleden immer ook gekregen/gekocht.

[Verwijderd]

Dat wordt lachen hoe kan de belastingdienst nu aan gesloten data van zwart geld komen. die hebben ze in het verleden immer ook gekregen/gekocht.

De overheid mag onder bepaalde voorwaarden zijn eigen wetten overtreden. Zo mogen politie auto's te hard rijden, mag de politie afluisteren en mag de belastingdienst dingen kopen die jij niet mag kopen. Als burger mag je die actie altijd laten toetsen door de rechter als je er bij betrokken bent.

Als Karmakoning over wetgeving had ik een dergelijke reactie niet verwacht overigens.

[tweaknico]

Maar Heling hoort bij mijn weten niet bij die omstandigheden.

[Verwijderd]

Staat een beetje gelijk aan het mogen plegen van huisvredebreuk zonder bevel. Dat is wel een beetje raar. Of ik begrijp het verkeerd.

[Sergelwd]

Allemaal leuk en aardig natuurlijk als dit voor echt zware criminaliteit ingezet kan gaan worden.
Alleen wat zijn de beloftes nog waard tegenwoordig, met de algehele moraal(of het haast complete gebrek aan moraal) van dezer dagen.

Function creep incoming?

[Reactie gewijzigd door Sergelwd op 23 juli 2024 13:50]

[tweaknico]

Video surveillance was alleen voor gebieden met een hoog risico... (waarop?) ...
blijkbaar is Nederland een aardig risico gebied want die camera's hangen op best wel heel veel plekken.

[gregor160300]

Het blijven allemaal lastige zaken, regulering van het internet is voor de meeste mensen toch iets waar ze een sterke mening over hebben en terecht. Zelf ben ik erg op mijn privacy gesteld en zit ik dus met smart te wachten op een quantuminternet. In de tussentijd gebruik ik gewoon overal een VPN voor en hoop ik zo min mogelijk in de gaten gehouden te worden.

[Saph]

Hacken, dus straks mag de politie zonder jouw kennis daarvan je computer binnendringen? Vergelijkbaar met je stiekem inbreken in je huis. Lijkt me dat je daarvan gewoon op de hoogte moet worden gesteld toch vergelijkbaar met een huiszoekingsbevel waarbij je ze huis binnentreden.

[vharten]

In uitzonderlijke gevallen mag de politie nu ook al zonder dat je het weet in je huis komen:
http://www.wetboek-online...0Strafvordering/126l.html