Boevenvangers op het dievenpad?

Regelmatig geef ik presentaties over it-beveiliging, in het rijtje aanvallers heeft tot nu toe de politie ontbroken. Waarschijnlijk mijn naïviteit, maar het schijnt een reële optie te zijn. Dus naast criminelen, 'insiders', veiligheidsdiensten, terroristen en industriele spionnen moeten we schijnbaar ook de politie in Nederland aan dit illustere rijtje toevoegen.

Een artikel van Marcel Proost haalde onlangs de voorpagina van mijn regionaal dagblad onder de titel 'Politie hackt computer verdachten misdrijven'. Wat is de juridische basis voor deze activiteiten, mag dit zo maar, hoe doen ze dit dan? Genoeg storende vragen tijdens het ontbijt om ook voor iemand die zich vooralsnog netjes aan de wet probeert te houden eens te onderzoeken waar de grenzen zijn. Het argument van de politie is dat traditionele methoden zoals telefoontaps steeds minder op leveren omdat de criminelen hun communicatie verleggen naar het internet en Skype. De politie moet met zijn tijd mee en voegt een nieuw wapen aan het arsenaal toe. Het idee is eenvoudig, we installeren bijvoorbeeld een trojan horse op de pc van een crimineel en luisteren vervolgens mee met de chatsessies, onderzoeken zijn documenten en als er ook nog een camera geïnstalleerd is, is het helemaal feest bij onze speurneuzen.

Nu bestaat er voor de telefoontap een mooie wet en procedure die onze rechten beschermd, maar zoals zo vaak haalt de techniek de bestaande praktijk in en beweegt de overheid zich nu in het schaduwgebied tussen wet en illegaliteit. Onze oosterburen zijn hier duidelijk over, hacking door de politie is niet toegestaan! Een uitspraak van de Duitse hoge raad verbiedt het. De twee belangrijkste argumenten zijn dat telefoontaps verschillen van hacking doordat het bij telefoontaps om 'live' communicatie gaat en bij hacking ook sprake is van inzage in gearchiveerde informatie. Het andere argument is dat hacking ook verschilt van het huiszoekingsargument omdat bij een huiszoeking de verdachte (of een andere getuige) aanwezig is en bij hacking hier geen sprake van is.

Hoe doet de politie dit dan? Er van uitgaande dat de fatsoensregels door de overheid in acht genomen worden en dat de trojan horse alleen bij de crimineel geïnstalleerd wordt, zijn er niet zoveel mogelijkheden om de pc te infecteren, eigenlijk alleen één op één communicatie zoals e-mail of chatsessies zijn de opties. Een methode die gebruikt maakt van een webpagina zoals www.boeventips&tricks.nl gaat niet werken omdat ook niets vermoedende burgers de pagina zouden kunnen oproepen. Zal men ook zo netjes zijn om na de geslaagde aanval de malware weer te verwijderen om de crimineel te beschermen tegen aanvallen van zijn vakbroeders? Vele vragen blijven open, niet in de laatste plaats het subtiele verschil tussen de rechten van een verdachte en van een crimineel. Voor mij lijkt het er sterk op dat onze boevenvangers het dievenpad hebben gekozen.