AIVD en MIVD mogen IMSI-catchers alleen inzetten met voorafgaande toestemming

De Nederlandse inlichtingendiensten mogen IMSI-catchers alleen inzetten met voorafgaande toestemming. De AIVD en MIVD stelden dat ze alleen ministeriële toestemming nodig hadden voor het inzetten van de zendmastnabootsers, maar de toezichthouders zijn het daarmee niet eens.

De Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten, of Ctivd, heeft samen met de Toetsingscommissie Inzet Bevoegdheden een zogeheten rechtseenheidbrief gestuurd naar de ministers van Binnenlandse Zaken en van Defensie. Die zijn verantwoordelijk voor respectievelijk de Algemene en de Militaire Inlichtingen- en Veiligheidsdiensten. In de brief schrijven de twee toezichthouders dat de AIVD en de MIVD niet zonder meer zogeheten IMSI-catchers mogen inzetten bij onderzoeken.

IMSI-catchers zijn draagbare apparaten waarmee gebruikers een zendmast kunnen nabootsen. De apparatuur wordt door de AIVD en MIVD gebruikt om telefoonverkeer van verdachten te kunnen onderscheppen.

De brief van de toezichthouders gaat over de manier waarop de inlichtingendiensten die tool kunnen gebruiken en wie daarop toezicht dient te houden. Daarover ontstond een meningsverschil. Dat was gebaseerd op de Wiv 2017, de Wet op de inlichtingen- en veiligheidsdiensten, die bepaalt wat de bevoegdheden van de AIVD en MIVD zijn.

De ministers en de diensten stelden dat de diensten IMSI-catchers altijd mogen inzetten, met slechts toestemming van de ministers. Zij beroepen zich daarbij op artikel 40 van de Wiv 2017. Die geeft de diensten bevoegdheid voor het 'volgen en in het kader daarvan vastleggen van gegevens betreffende natuurlijke personen of zaken, al dan niet met behulp van volgmiddelen, plaatsbepalingsapparatuur en registratiemiddelen'. Daarmee zijn de toezichthouders het niet eens. "Wij beschouwen een IMSI-catcher als een zwaarder middel dan een (passief) observatie- en registratiemiddel of plaatsbepalingsapparatuur", schrijven de instanties in hun brief.

In de praktijk is er maar één rechtsgrond waarop de diensten wél IMSI-catchers mogen gebruiken, zeggen de toezichthouders. Dat is artikel 47 van de wet. Dat heeft gevolgen voor hoe de AIVD en MIVD in de praktijk moeten werken. Onder artikel 40 is er geen voorafgaande toestemming nodig van de TIB om IMSI-catchers in te zetten, maar onder artikel 47 is dat wel verplicht.

"Gelet op de privacyinbreuk die het gebruik van een IMSI-catcher door de diensten maakt, vinden wij een toetsing van de rechtmatigheid door de TIB voorafgaand aan de inzet van dit middel op zijn plaats", schrijven de toezichthouders. "Bij deze toetsing kan rekening gehouden worden met onder meer de proportionaliteit, subsidiariteit en gerichtheid van de inzet."

Data verwijderen

Ook moeten de diensten bij de inzet van IMSI-catchers anders omgaan met verzamelde data. "Ontvangen gegevens die geen betrekking hebben op het hier bedoelde nummer of technische kenmerk moeten door de diensten terstond worden vernietigd", schrijven de toezichthouders. In de praktijk betekent dat dat de diensten data van derden, die ze bijvoorbeeld als bijvangst verzamelen, per direct moeten verwijderen. Als artikel 40 als grondslag zou worden gebruikt, moeten de gegevens 'zo spoedig mogelijk' worden verwijderd in plaats van direct, maar de wet biedt ruimte om de gegevens maximaal anderhalf jaar te bewaren. De AIVD en MIVD kregen eerder al kritiek omdat ze bulkdatasets met privégegevens te lang bewaarden.

De AIVD en MIVD klagen al langer over het verplichte toezicht op hackoperaties door de TIB. Die moet de meeste operaties van de diensten goedkeuren voordat de diensten die mogen starten, maar dat is in de praktijk te traag, stellen de diensten. De directeur van de MIVD pleitte in 2022 voor realtime toezicht. Inmiddels zijn er plannen de Wiv 2017 daar opnieuw op aan te passen. De TIB en de Ctivd erkennen dat in hun brief. Sommige doelen voor de inzet van IMSI-catchers 'zouden bij de herziening van de Wiv 2017 kunnen worden geadresseerd'.

Door Tijs Hofmans

Nieuwscoördinator

29-11-2024 • 14:11

33

Reacties (33)

33
32
17
4
0
10
Wijzig sortering
De Nederlandse inlichtingendiensten mogen IMSI-catchers alleen inzetten met voorafgaande toestemming. De AIVD en MIVD stelden dat ze alleen ministeriële toestemming nodig hadden voor het inzetten van de zendmastnabootsers, maar de toezichthouders zijn het daarmee niet eens.
Wat zijn de gevolgen als ze het toch ongeoorloofd doen?
Boze brief en klaar?

Alle (indirecte) bewijzen nietig verklaren? En daarmee bedoel ik dus ook alle bewijzen die ze later rechtmatig verzamelen omdat de illegaal verkregen bewijzen ze op dat spoor hebben gezet.

Mijn voorspelling: "AIVD en MIVD blijven gewoon doen wat ze willen want de voordelen wegen op tegen de nadelen."
Alle (indirecte) bewijzen nietig verklaren? En daarmee bedoel ik dus ook alle bewijzen die ze later rechtmatig verzamelen omdat de illegaal verkregen bewijzen ze op dat spoor hebben gezet.
Deze verwarring is veel voorkomend op Tweakers, dus nog maar een keer: de AIVD en MIVD zijn inlichtingendiensten, geen rechercheurs. Het verschil is dat de recherche bewijs verzameld om te achterhalen wat er zich op het plaats delict heeft afgespeeld en zo een zaak tegen een verdachte op te bouwen in een rechtzaak. Een inlichtingendienst verzameld informatie om te ontdekken welke binnenlandse actoren (AIVD) of buitenlandse krijsgmachten (MIVD) tegen het belang van diens staat en burgers iets plannen en welke capaciteiten zij daar voor hebben. In criminele context is er nog het CID.

De een brengt inhoudelijke gedetailleerde dossiers uit met - indien mogelijk - tot op de seconde nauwkeurig alle feiten van een misdaad in een logisch verband gebracht, de ander brengt waarschuwingen en risicoanalyses uit zonder daarbij informanten en bronnen bloot te geven.

[Reactie gewijzigd door nst6ldr op 29 november 2024 14:47]

Dus jij stelt dat de AIVD en MIVD geen bewijsmateriaal delen met rechercheurs?
Bij de meeste onderzoeken van AIVD en MIVD is dat ook helemaal niet nodig. Hetgeen zij onderzoeken heeft niets met delicten te maken, en is voor een groot deel continu onderzoek, zonder aanleiding. Vooral zoeken totdat je iets vindt. De recherche komt pas in actie nadat er iets gebeurd is.
Precies. In simpele termen:

AIVD zoekt naar mogelijk in de toekomst gepleegde strafbare feiten. Het zijn vooral risicoanalyzes die ze uitvoeren naar mensen die mogelijk de nationale veiligheid in het geding brengen.
Het OM (hiermee bedoel ik OM+Politie+Recherche) zoekt naar mogelijk al gepleegde strafbare feiten. Zij kijken of een strafrechtelijke wet overtreden is.

Stel de AIVD vindt iemand die mogelijk iets wat het OM interessant zou kunnen vinden, dan wordt dat via een ambtsbericht medegedeeld. Voor de rest doen ze zelf geen strafrechtelijk onderzoek. Zo'n ambtsbericht an sich is niet geheim, en wordt vaak bij een strafrechtelijke zitting (bijvoorbeeld voor terrorisme) openbaar gemaakt. Zo kan je op het internet precies zien hoe zo'n ambtsbericht eruit ziet

Daarnaast: Als het OM de AIVD vraagt om gegevens, mag alleen de Minister van Binnenlandse Zaken en de AIVD beslissen of ze informatie aan het OM overhandigen via een ambtsbericht. Het OM heeft hier geen zeggenschap in.

Wel kan de Minister van Justitie en Veiligheid (eindverantwoordelijke van het OM) en de Minister van Binnenlandse Zaken (eindverantwoordelijke van de AIVD) natuurlijk overleg plegen bij belangrijke strafrechtelijke zaken of er informatie gedeeld gaat worden. Dat zal ook wel in grote mate gebeuren (goed voorbeeld is het Marengo-proces). Zij hebben over het algemeen het laatste zeggenschap over of informatie gedeeld moet worden. Ministers zijn dus cruciaal in dit deelbeleid.

[Reactie gewijzigd door MrFax op 1 december 2024 12:21]

Je moet het meer zien dat inlichtingendiensten in de voorkomen-business zitten en rechercheurs in de genezen-business.
En de diensten zijn zeker geen bewijs hulpje van het OM, en dat is maar goed ook.
Ze zullen enkel een ambtsbericht doen uitgaan.
Voor zover ik weet wordt er officieel geen bewijsmateriaal gedeeld, maar natuurlijk bestaan er voldoende lijntjes om tips te geven aan de politie of andere instanties.
Nee, dit wordt echt exclusief gedeeld via een ambtsbericht. Wel mag het OM *vragen* om gegevens, maar die hoeft de AIVD niet te delen. Zij mogen in principe over alles zelf beslissen wat openbaar maken of delen, en dat wordt zeer zorgvuldig gedaan.

Als de AIVD gegevens zou delen met het OM, en het blijkt dat diegene niets strafbaars gedaan heeft, kan dat alsnog grote gevolgen hebben voor iemands priveleven. De AIVD kijkt namelijk helemaal niet of iemand iets strafbaars heeft gedaan, dat is aan het OM. Zo kom je wel in een cirkel, maar die cirkel bestaat om een goede reden en die wordt niet zomaar doorbroken, om zo mensen hun priveleven te beschermen.

[Reactie gewijzigd door MrFax op 1 december 2024 12:24]

Dit is natuurlijk een gemakkelijk onderwerp om lekker conspiracy-theory op te gaan. Dus -naast @nst6ldr terechte opmerking - nog maar wat gewone info:
- Dit gaat over verschil in inzicht over welke toestemming nodig is. Indien toestemming van TIB nodig is, dan mogen de diensten alleen door als die toestemming er is. Als dat afgewezen wordt, kunnen ze niet door en is er geen ongeoorloofde handeling. De CTIVD houdt daar toezicht op.
- In het geval er spoed nodig is en niet vooraf toestemming van de TIB is gekregen dan wordt het alsnog zsm door de TIB bekeken en die kan de ministeriële toestemming intrekken, waarop "De met de uitoefening van de bevoegdheid verzamelde gegevens worden terstond vernietigd." (artikel 37 WIV).
- Het is niet zo dat diensten 'gewoon doen wat ze willen'; ook als er geen TIB toestemming vereist is, moeten diensten verantwoorden en onderbouwen waarom de inzet van een middel proportioneel, subsidiair en gericht is. Uiteindelijk is het verschil waar dit artikel over gaat, een verschil in de vraag wie toestemming moet geven. Maar ook als dat niet de toezichthouder is, moet dat hier alsnog de minister zijn. Dus toestemming was altijd al nodig.
Let wel, de IMSI-catcher mag in Nederland niet worden ingezet voor afluisteren.
https://wetten.overheid.nl/BWBR0013213/2017-07-01
Artikel 2
1De apparatuur waarmee op grond van artikel 3.22, eerste lid, van de wet een gebruik van frequentieruimte is toegestaan dat afwijkt van het bepaalde bij of krachtens hoofdstuk 3 van de wet voldoet aan de volgende eisen:

a.de apparatuur is voorzien van een inrichting die de nummergegevens, bedoeld in artikel 13.4, eerste lid, van de wet zodanig selecteert dat het selectieproces niet meer dan een plaatselijke, zeer geringe verandering van de functionaliteiten van het desbetreffende netwerk veroorzaakt;

b.de apparatuur is voorzien van een inrichting waarmee het uitgezonden vermogen kan worden geregeld;

c.indien de apparatuur is voorzien van een inrichting die het, al dan niet in combinatie met het selectieproces, bedoeld onder a, mogelijk maakt om telecommunicatie af te luisteren of op te nemen, dient deze inrichting uitgeschakeld en vergrendeld te zijn;

d.de apparatuur is geregistreerd bij Onze Minister.
Volgens mij klopt het niet wat je stelt, want 'artikel 3.22, eerste lid' waarmee jouw citaat begint, heeft geen betrekking op de inlichtingendiensten, maar beperkt de rest van die bepalingen tot:
1 Frequentieruimte mag in afwijking van het bepaalde bij of krachtens dit hoofdstuk worden gebruikt, indien dit nodig is teneinde toepassing te kunnen geven aan strafvorderlijke bevoegdheden tot het onderzoek van telecommunicatie
En zoals @nst6ldr al terecht schrijft: inlichtingendiensten werken niet aan strafvordering en vervolging. En de beperking dat een IMSI-catcher dus alleen maar (telefoon)nummers mag opslaan en geen gesprekken mag bewaren, geldt dus niet voor hen.

[Reactie gewijzigd door ZwolschBalletje op 29 november 2024 15:07]

Je hebt een punt. Ik haal twee dingen door elkaar. Onder de oude WIV 2002 mochten ze het niet. Dus gold onder de oude WIV dezelfde technische eisen aan de IMSI catcher als die voor de opsporingen werd gebruikt. Maar dat was niet op basis het besluit bijzondere vergaring. Dat gezegd hebbende, de bestandsanalyse die de telco moet doen op verzoek van de AIVD en MIVD, nadat de gegevens van de IMSI-catcher er zijn, gaat wel op basis van het Besluit Bijzondere Vergaring artikel 5

Onder de nieuwe WIV 2017 mag er wel wat worden afgetapt, maar dat mag maar zeer beperkt en alleen voorzover nodig om het daarna te kunnen gebruiken voor een tap of vergelijkbare middelen zie lid 4 van art. 47
Indien bij het verzoek om toestemming het nummer of het technisch kenmerk, bedoeld in het derde lid, onder a, nog niet bekend is, wordt de toestemming slechts verleend onder de voorwaarde dat de bevoegdheid slechts mag worden uitgeoefend, zodra het desbetreffende nummer of het technisch kenmerk bekend is. De diensten zijn bevoegd tot het gebruik van een technisch hulpmiddel waarmee het nummer of het technisch kenmerk, bedoeld in de eerste volzin, kan worden verkregen. De diensten zijn bevoegd om in dat kader van de daarbij ontvangen gegevens kennis te nemen voor zover en zolang dat noodzakelijk is ter vaststelling van het juiste nummer of het technisch kenmerk. Ontvangen gegevens die geen betrekking hebben op het hier bedoelde nummer of het technisch kenmerk worden terstond vernietigd.
De Memorie van Toelichting zegt dan:
De diensten zullen dan op een andere wijze het nummer dienen te verkrijgen bijvoorbeeld door de inzet van een technisch hulpmiddel; een voorbeeld daarvan is – waar het gaat om mobiele telefonie – de inzet van zogeheten actieve scanapparatuur, zoals een IMSI-catcher68. In de praktijk kan echter niet altijd worden volstaan met het scannen van de ether om het vereiste nummer te achterhalen, maar zal het soms ook noodzakelijk zijn om gedurende een korte periode kennis te nemen van de inhoud van de via een dergelijk technisch hulpmiddel ontvangen gegevens teneinde het juiste nummer vast te stellen. Dit zal zich met name voordoen indien er sprake is van meerdere gebruikers binnen het bereik van de actieve scanapparatuur en andere, minder ingrijpende methoden, zoals scannen op verschillende locaties waar het target zich bevindt en aldus via vergelijking van de ontvangen nummers trachten het relevante nummer te onderkennen, niet mogelijk zijn vanwege bijvoorbeeld tijdgebrek (de urgentie van het onderzoek verzet zich ertegen) of bijvoorbeeld de wijze waarop en de soort communicatie die plaatsvindt. In verband hiermee wordt thans in artikel 47, vierde lid, voorzien in de mogelijkheid dat door de diensten daarbij van de ontvangen gegevens kennis mag worden genomen voor zover en zolang dat noodzakelijk is voor het vaststellen van het juiste nummer. De bevoegdheid is nadrukkelijk beperkt tot dat doel en gebruik van de inhoud voor andere doeleinden is niet toegestaan.
Dus ja, er mag kennis worden genomen van de inhoud, maar dat mag alleen om voldoende gegevens te verkrijgen, zodat het nummer kan worden verkregen.
Dank, het is al weer even geleden dat ik werkte met deze regels, dus mijn geheugen had de dingen wat door elkaar gehaald
Ik vraag mij nu vooral af of er encryptie zit op de gespreken. Een IMSI-Catcher is niet zo heel spannend om aan te zetten. Als je deze in IMSI-Listening modus kunt zetten (dus werkelijk afluisteren) moet wel eerst de encryptie er af gehaald worden als deze er op zit. Met een standaard IMSI-Catcher zie je geen telefoonnummers overigens. Je ziet het IMEI nummer, land van herkomst, provider naam 1 (bijvoorbeeld Odido), provider naam 2 (bijvoorbeeld T-Mobile Netherlands) en nog een paar gegevens, maar niet het telefoonnummer. Dat koppelt de provider er aan en gebeurd op een heel ander niveau.
In Wikipedia: IMSI-catcher wordt onderaan verwezen naar https://folk.universitete...ng/papers/JMD2015-JIW.htm waar verteld wordt dat original 2G ontworpen is met encryptie, maar dat er bewust voor was gekozen dat die te breken was. Er wordt ook ingegaan op wijzigingen in 3 en 4G wat betreft deze encryptie en dat het zolang er 2G beschikbaar is het er niet toe doet, omdat je simpelweg kunt worden gedowngrade naar 2G. Nu wordt 2/3G Groot en deels niet meer ondersteunt, maar dit was wel mogelijk tot ongeveer 2020. Blijkbaar houden ze dus ook rekening met de geupdate 4g encryptie

[Reactie gewijzigd door Niema op 30 november 2024 13:59]

Misschien kom ik uit een ei, maar wat is een IMSI catcher? Kan prima wel even zoeken op Google maar zou de doelgroep van Tweakers dit moeten weten?
Juist een gemiddelde Tweaker zou dit moeten weten, we zijn geen nu.nl.

Grof samengevat: een IMSI catcher is een mast voor mobiele telefonie en data die onder beheer van een aanvaller valt, vaak zijn deze (relatief) klein en mobiel uitgerust.
Geldt hetzelfde voor andere MITM methoden zoals WiFi deauth plus een sterker signaal?
Daar zijn we weer, in de eeuwig terugkerende spagaat tussen effectiviteit van, en vertrouwen in de inlichtingendiensten. Waarin de diensten aangeven dat ze meer moeten

Feit is wel dat het wereldbeeld en het dreigingsbeeld sinds 2017, toen de Wet Inlichtingen- en Veiligheidsdiensten (WIV) van kracht werd, ingrijpend veranderd is. 7 Jaar geleden werd er nog serieus anders gekeken naar wat landen als Rusland, China, Korea en Iran zouden kunnen en willen, dan sinds de oorlog in Oekraïne.

Logisch dus dat MIVD / AIVD aan de grenzen van hun speelruimte opereren en de IMSI catcher zien als een middel "om targets te observeren en te volgen", waarvoor toestemming kan worden gegeven door iemand aan wie het diensthoofd dat gedelegeerd heeft.

En even logisch is het, dat de toezichthouders (Toetsingscommissie Inzet Bevoegdheden en de Commissie van Toezicht uit de Tweede Kamer) er bovenop zitten dat de inlichtingendiensten zich binnen hun gegeven mandaat blijven bewegen, en toestemming vragen wanneer "een IMSI-catcher "‘intervenieert’ als zendmast, contact [maakt] met alle mobiele telefoons in de omgeving"

Het lastige is, dat er achteraf altijd naar de inlichtingendiensten wordt gewezen wanneer zij een groot incident niet hebben voorkomen (zoals in Israël en na 9/11). En vooraf worden grote vraagtekens gezet bij hun datahonger: "is dat nou allemaal wel nodig?".

Het zou goed zijn als de WIV binnenkort wordt herzien, waarin er opnieuw expliciet wordt gekozen voor een balans tussen toezicht op privacy enerzijds en effectieve inlichtingen anderzijds, passend bij de spanningen zoals die zich in de wereld voordoen. Want in de geest van de 'Jaren 90 - Hoera het Oostblok is ingestort' maak je nou eenmaal andere keuzes dan in de 'Jaren 60 - De Russen komen!'.
"Bij deze toetsing kan rekening gehouden worden met onder meer de proportionaliteit, subsidiariteit en gerichtheid van de inzet."

Weten toezichthouders überhaupt de impact van dit soort taps? Gezien het cowboygedrag van deze organen (inclusief de NCTV) lijkt het me dat men al langer achter de feiten aan loopt.
"Cowboygedrag" ... Waar baseer je deze uitspraak op?

[Reactie gewijzigd door Homer J.Simpson op 30 november 2024 07:34]

Als je ook maar een minuut had gespendeerd in een zoekmachine

https://www.bitsoffreedom...ische-optie-voor-de-nctv/

https://www.parool.nl/ams...een-woord-bizar~b592fbb4/

https://www.nrc.nl/nieuws...nlijk-niet-mocht-a4193391

en dat gaat maar door. Als beloning werd de boel achteraf gelegaliseerd voor een deel en kreeg de hoogste pief een premierschap kado.
Tja, Nederland veilig houden met handen op je rug gebonden is niet zo makkelijk tenslotte, vandaar overtredingen zoals LIMC etc. Hoop dat je je wel beseft dat al die “slechte” inlichtingen mensen hun stinkende best doen om jouw veiligheid te bewaren door eventuele boefjes te snel af te zijn.
De wet overtreden is natuurlijk niet goed, maar het probleem hier is denk ik de wet zelf, en de angst van mensen dat ze misschien gemonitord zouden kunnen worden, niet de intentie van de diensten.
Denk dat genoemde bits of freedom en nieuwskanalen zich dat vest wat meer zouden mogen realiseren: straks blaast een gek zich op op Amsterdam, en dan zijn het exact dezelfden die het hardst lopen te brullen dat “dit nooit had mogen gebeuren”…
Als en hadden is een drogreden.
Die " gek" die in Amsterdam mensen gijzelde in de Apple store op het Leidseplein. Kun je niet voorkomen.

Een voormalige "DDR " staat wil je niet hebben in Nederland. Mochten de overheidsdiensten volledige controle hebben over zijn burgers dan zouden eventuele criminele machthebbers vrij spel hebben.

Dat is wat we hebben geleerd tijdens de bezetting in de tweede wereldoorlog.

Alleen is deze gedachtengang helaas losgelaten in Nederland.
In deze tijden van hybride oorlogsvoering en ook maatschappelijke polarisatie hebben deze diensten wel wat anders te doen dan onnodig die apparatuur inzetten.
'IMSI-catchers zijn draagbare apparaten waarmee gebruikers een zendmast kunnen nabootsen. De apparatuur wordt door de AIVD en MIVD gebruikt om telefoonverkeer van verdachten te kunnen onderscheppen.'
Zijn IMSI-catchers nog een dingetje dan? Bij GSM was het nog zo dat de meeste toestellen het netwerk niet verifieren bij het aanmelden (waardoor een IMSI-catcher kan werken), maar de daarvoor benodigde versleuteling is wel aanwezig. We zijn nu een paar generaties van de technologie verder en deze bug zit er nog steeds in? WTF?
Klinkt wel handig, zo'n IMSI-catcher. Waar kan ik er één kopen?
Ik zou niet weten wat je er mee wil doen, maar met een DVB-T USB stick van 5 euro kan je deze IMSI's al sniffen. Je weet dan in een straal van x kilometer welke simkaarten er zich bevinden (zonder naam, enkel die code) in dat gebied, alsook het land waarin die sim kaart is uitgegeven. Meer kan je niet zien door de geëncrypteerde datastroom.
Wonderlijk dat er in het artikel niet gesproken wordt over het feit dat ook de LE (landelijke eenheid) in het bezit is van een IMSI catcher. Veel al gebruikt voor technisch onderzoek, maar dat mag dan blijkbaar wel want geen privacy schendingen

Op dit item kan niet meer gereageerd worden.