Categorie: Security

Een lezer vroeg me:

Met enige regelmaat ontdekken wij dat niet alle klanten behoefte hebben aan backups van hun Office 365-omgevingen. Meestal gaat het dan om budgetkwesties, maar toch maken we ons zorgen gezien de impact die een verloren omgeving zónder backup kan geven. Nu hadden wij bedacht om voor al onze klanten een backupoplossing uit te rollen, waarbij we pas geld vragen als de klant deze nodig heeft. Op dat moment begrijpen ze de waarde van een backup zeker wel. Is dit toegestaan?

Het verzorgen van goede backups van data (of dienstverlening) van een klant is eigenlijk altijd een goed idee. Ik durf anno 2024 wel zo ver te gaan door te zeggen dat dit gewoon deel is van je zorgplicht. Een klant verwacht van jou dat er backups zijn. Dit is zó gebruikelijk en de impact van geen backups is zó enorm, dat je er nauwelijks onderuit kunt.

Natuurlijk, het is mogelijk om af te zien van backups. Maar dat moet dan wel heel expliciet gebeuren. Dus doorvragen en expliciet op papier zetten. Het liefst inclusief waarom: de klant heeft al een eigen backup oplossing, deze dienst is niet bedrijfskritisch, als de data verloren gaat is er geen man overboord. Let op: dit is dus niet hetzelfde als “we hebben in artikel 17.3 Algemene Voorwaarden bepaald dat we geen backups maken”.

Hier wil de leverancier het omgekeerde doen: juist wél backups maken, ook als de klant dat eigenlijk niet wil. Of nou ja, zonder na te gaan of de klant het wil. Ik zie daar in principe geen probleem mee, juist vanwege het enorme voordeel dat het de klant oplevert als de backup toch noodzakelijk blijkt. Natuurlijk zit je met zaken als vertrouwelijkheid en AVG, maar een goede informatiebeveiliging rondom die backups moet dat kunnen oplossen.

Het grootste probleem lijkt me het tarief op het moment dat de data weg blijkt. Dat zal al heel snel overkomen als er een slaatje uit willen slaan. De klant zit in nood, er is een backup, dat kostte nooit wat en nú wil je X duizend euro voor het terugzetten? Als deze zaak net voor de lunch bij de rechter komt, dan sta je niet heel sterk als dienstverlener.

Ik val dan weer terug op de zorgplicht. Daar hoort ook bij dat je de klant voorlicht en duidelijk maakt wat er nodig is. Backups moeten dus onderdeel zijn van dat gesprek. Je kunt daarin prima een backup meenemen als de defaultoptie: we doen dit gratis voor het geval dat, de restorekosten zijn X. Wil de klant dat niet, dan haal je het eruit mét een motivatie waarom de klant het niet wil. Zegt de klant niets, dan blijft het staan. Maar dan is het besproken, en dán wordt het een stuk redelijker allemaal.

Arnoud

 

Moet jij bewijzen dat je handtekening is vervalst, of de wederpartij het omgekeerde? Die vraag kwam recent zijdelings langs bij het Hof Amsterdam in een zaak over een borgtochtovereenkomst.

De gedaagde partij zou volgens een borgtochtovereenkomst op moeten draaien voor een lening van € 18.630 aan een (ondertussen failliet) bedrijf waar hij directeur en enig aandeelhouder van was. In art. 7:859 BW staat dat een borgovereenkomst alleen kan worden bewezen met een door de borgsteller ondertekend geschrift. Betwisten van de handtekening kan dus een effectief middel zijn om zo’n borg van tafel te krijgen.

Het Hof vindt de stelling dat deze persoon niets te maken had met de lening of borg moeilijk te geloven – hij was immers de enige directeur van het bedrijf. Die skepsis zien we terug in de beoordeling van de argumenten over identiteitsmisbruik:

In dat verband ligt het op zijn weg toe te lichten hoe het mogelijk is dat derden in het bezit zijn gekomen van gegevens met betrekking tot Zesto Groep zoals inloggegevens behorend bij de mailaccount en de bankrekening van Zesto Groep en wat de achtergrond en redenen ervan zijn dat diverse geldbedragen van de bankrekening van Zesto Groep zijn overgeboekt naar zijn eigen privérekening.

De achterliggende technologie is IDIN. Hierbij identificeer je jezelf via je bank, wat algemeen als veilig wordt gezien omdat toegang tot bankrekeningen al aan strenge authenticatie- en veiligheidsvoorschriften gebonden is. Daarnaast wordt gesproken over een mailaccount, dat is het info@ adres dus ik kan me nog nét voorstellen dat een ander dan de directeur in die mailbox kan.

Bij het banksysteem is dat wat meer twijfelachtig, gezien het algemeen bekende feit dat daar tweefactorauthenticatie en andere controles en toezicht zijn. Terecht zegt het Hof dan ook:

Onder deze omstandigheden lag het op de weg van [appellant] toe te lichten hoe het mogelijk is dat derden aan zijn persoonlijke inloggegevens zijn gekomen als het werkelijk zo is dat een en ander buiten hem om is gegaan. [appellant] heeft die toelichting evenwel niet gegeven. De stelling van [appellant] dat de stem in de geluidsfragmenten van de telefoongesprekken niet van hem is, maar van [naam 3] en dat daaruit zou moeten blijken dat niet [appellant] maar [naam 3] betrokken is geweest bij de totstandkoming van de overeenkomsten, is door [appellant] – tegenover de betwisting van [geïntimeerde] – op geen enkele wijze onderbouwd.

Dit wringt in zoverre dat normaliter de wederpartij bij een “stellige ontkenning” moet bewijzen dat de handtekening wél door die persoon is gezet (art. 159 lid 2 Rv). En daar komt bij dat de borg door deze meneer is aangegaan vanuit zakelijke motieven – zijn eigen bedrijf, immers – en dat de strenge handtekeningeis daarmee van tafel is.

De man krijgt de borgverplichting dus gewoon opgelegd. Had hij enige argumenten ingebracht waarom zijn account gehackt was of internetbankieren overgenomen, dan was dat wellicht anders komen te liggen.

Arnoud

Activision heeft zijn rechtszaak tegen Duitse cheatmaker EngineOwning gewonnen. Dat meldde Tweakers onlangs. De speluitgever die onder meer het populaire Call of Duty-spel op de markt brengt (zie screenshot met aimbot), treedt al lang hard op tegen valsspelers. Het vonnis kan een forse winst zijn voor het bedrijf.

De dienst van EngineOwning is een van de grootste op de markt als het gaat om valsspeelsoftware. Dat is bij een groot, betaald online spel natuurlijk zeer ongewenst voor mensen die eerlijk willen spelen, vandaar dat Activision ze al langer achter de broek zit.

Het probleem is altijd: op welke rechtsgrond kun je verbieden dat iemand cheatsoftware verkoopt? De speler zal vast ergens voorwaarden overtreden, maar EngineOwning speelt niet zelf en pleegt dus geen contractbreuk. Strafbaar is het ook niet om zulke software te maken.

Activision had haar pijlen gericht op de DMCA, de Amerikaanse auteurswet die bepalingen bevat over het omzeilen van kopieerbeveiligingen. Die term mag je namelijk breder lezen dan enkel het maken van integrale kopieën van een spel:  “circumventing a technological measure that effectively controls access to a work”. Anticheatsoftware is een toegangscontrole (namelijk tegen cheatgebruikers) en cheatsoftware omzeilt die controle. Je mag zulke software dus niet op de markt brengen.

Ook had Activision ingebracht dat de software bestemd is voor computervredebreuk, iets preciezer computerfraude: toegang tot een beveiligd computersysteem verkrijgen of autorisatie overschrijden zonder toestemming.

Of al die argumenten hier opgaan valt juridisch te betwisten. Is cheatsoftware wel software die toegang tot het spel omzeilt, of alleen de anticheatsoftware? Kun je met de cheatsoftware wel bij data of plekken waar je niet mocht zijn, het juridische criterium voor computerfraude. Daar hoefde de rechter echter niet op in te gaan, omdat EngineOwning geen juridisch verweer had gevoerd.

Ergens slim, want hoewel EO nu haar domeinnaam moet afstaan, heeft ze geen geld of bezittingen in de VS waardoor ze nu verder geen concrete schade heeft. Met een andere domeinnaam kan ze dus weer verder.

De hamvraag is dan ook: gaat Activision met dit vonnis naar de Duitse rechter (het land waar EO gevestigd is) om daar om tenuitvoerlegging te vragen? Er is geen expliciet verdrag tussen Duitsland en de VS dat dit regelt. Maar ook zonder zo’n verdrag is dit mogelijk (net als bij ons, trouwens) al is de procedure wat ingewikkeld.

In de kern komt het erop neer dat het Amerikaanse vonnis door een Duitse rechter wordt bekeken op basisaspecten (zoals of er nog beroep mogelijk is in de VS) en vergeleken met eventuele Duitse vonnissen over hetzelfde. Ook wordt getoetst aan wat wij de openbare orde en goede zeden noemen, wat onder meer met de beruchte punitive damages een beperking kan opleveren.

Vooralsnog is dat wat vroeg: EngineOwning kan het vonnis nog aanvechten.

Arnoud