Selecteer een pagina

Angela Merkel zegt ‘hard bewijs’ te hebben dat Russische cyberspionnen haar mailbox gehackt hebben

De Duitse bondskanselier Angela Merkel heeft in de Bondsdag gezegd “hard bewijs” te hebben dat ze het doelwit van Russische hackers was. Dat meldt Britse krant The Independent.

Merkel zei dat ze zal blijven proberen de banden met Rusland aan te halen, maar dat de hack van haar mailbox door Russische cyberspionnen dat niet makkelijker maakt. “Ik neem dit heel serieus. Het doet me pijn dat dit gebeurt terwijl ik dagelijks probeer de betrekkingen met Rusland te verbeteren.”

Het Duitse weekblad Der Spiegel meldde eerder al dat Russische hackers bij een aanval in 2015 twee e-mailboxen van de Duitse bondskanselier hebben gekopieerd. Vermoed wordt dat de cybercriminelen alle e-mailverkeer van Merkel in de periode 2012 tot en met 2015 hebben bemachtigd.

Uit onderzoek zou blijken dat de aanvallers in mei 2015 toegang hadden tot de IT-systemen van de Bondsdag. Volgens Der Spiegel is in totaal voor 16 GB aan data buitgemaakt, waaronder mogelijk de e-mails van Merkel.

De Duitse justitie heeft inmiddels een arrestatiebevel uitgevaardigd voor de Rus Dmitriy Badin, die verdacht wordt van de hack. Hij zou een agent van de Russische inlichtingendienst GRU zijn.

Duitsland verdenkt Russische spion Dimitri Badin van hacken computers parlement

Duitsland heeft een arrestatiebevel tegen Dimitri Badin uitgevaardigd. De Duitse justitie denkt dat hij een agent is van de Russische militaire inlichtingendienst GRU. De Russische spion zou achter de hack op de Bondsdag in 2015 zitten, meldt de Süddeutsche Zeitung.

In 2015 werd de Bondsdag getroffen door een cyberaanval. De computers werden geïnfecteerd via malware; onder meer de computer van bondskanselier Angela Merkel werd getroffen.

De malware kon op de systemen worden geïnstalleerd via een link in een phishingmail die naar een nepwebsite die op de website van de Verenigde Naties leek leidde.

Na uitgebreid onderzoek van de federale recherche van Duitsland is nu een arrestatiebevel uitgevaardigd tegen Badin. Het is onduidelijk waar hij zich bevindt. Als Badin in Rusland is, zal hij hoogstwaarschijnlijk niet uitgeleverd worden.

Het gebeurt niet vaak dat een specifieke persoon als verdachte wordt aangewezen na een cyberaanval. Meestal kan een aanval alleen tot een hackersgroep waarvan de identiteit onbekend is herleid worden.

Badin wordt al langer gezocht door de FBI. De Amerikaanse inlichtingendienst denkt dat hij achter een aanval op de antidopingautoriteit WADA zit. Daarnaast zou hij verantwoordelijk zijn voor de publicatie van de e-mails van Hillary Clinton.

Sites met Facebook Like button overtreden privacywet volgens Europese Hof van Justitie

Websites met een likeknop van Facebook zijn volgens het Europees Hof van Justitie verantwoordelijk voor het doorsturen van persoonsgegevens naar het sociale netwerk.
Het Europese Hof deed een verstrekkende uitspraak in een zaak tegen de Duitse webshop Fashion ID van Peek & Cloppenburg.

Op de site FashionID.de is een likebutton van Facebook geplaatst. Hiermee kunnen gebruikers ervoor kiezen Fashion ID op Facebook te volgen.
Maar de like button zorgt er meteen ook voor dat op de achtergrond aan Facebook wordt doorgegeven welke internetgebruikers op een websitepagina zijn geweest.

Facebook gebruikt de informatie om bijvoorbeeld een profiel samen te stellen waarmee op basis van het surfgedrag van klanten doelgericht advertenties kunnen worden getoond.

Volgens de aanklagers gebeurde dit bij Fashion ID zonder dat gebruikers vooraf om toestemming werden gevraagd.

Volgens het Europees Hof van Justitie is in dit geval zowel Fashion ID als Facebook verantwoordelijk voor de gegevensverzameling.

De Duitse site zou zijn gebruikers daarom ook duidelijk moeten vertellen dat gegevens met het sociale netwerk worden gedeeld.

Het arrest van het Hof wordt gedeeld met het Duitse gerechtshof, dat een oordeel in de zaak zal vellen. De Europese uitspraak kan echter gevolgen hebben voor toekomstige zaken bij Europese rechtbanken.

Consequenties voor meer Europese sites

Het oordeel kan ook consequenties hebben voor andere websites die likeknoppen voor Facebook tonen. De uitspraak kan ertoe leiden dat sites explicieter toestemming moeten vragen voor het tonen van een likeknop, net zoals er nu toestemming nodig is om cookies te plaatsen en persoonsgegevens te verwerken. De knop valt immers onder gegevensverwerking.

Websites zijn volgens het Hof alleen verantwoordelijk voor het doorsturen van persoonsgegevens naar Facebook. Als het sociale netwerk die data eenmaal in handen heeft, dan kan een site niet verantwoordelijk worden gehouden voor wat er vervolgens mee gebeurt.

Sites met Facebook Like button overtreden privacywet volgens Europese Hof van Justitie

Websites met een likeknop van Facebook zijn volgens het Europees Hof van Justitie verantwoordelijk voor het doorsturen van persoonsgegevens naar het sociale netwerk.
Het Europese Hof deed een verstrekkende uitspraak in een zaak tegen de Duitse webshop Fashion ID van Peek & Cloppenburg.

Op de site FashionID.de is een likebutton van Facebook geplaatst. Hiermee kunnen gebruikers ervoor kiezen Fashion ID op Facebook te volgen.
Maar de like button zorgt er meteen ook voor dat op de achtergrond aan Facebook wordt doorgegeven welke internetgebruikers op een websitepagina zijn geweest.

Facebook gebruikt de informatie om bijvoorbeeld een profiel samen te stellen waarmee op basis van het surfgedrag van klanten doelgericht advertenties kunnen worden getoond.

Volgens de aanklagers gebeurde dit bij Fashion ID zonder dat gebruikers vooraf om toestemming werden gevraagd.

Volgens het Europees Hof van Justitie is in dit geval zowel Fashion ID als Facebook verantwoordelijk voor de gegevensverzameling.

De Duitse site zou zijn gebruikers daarom ook duidelijk moeten vertellen dat gegevens met het sociale netwerk worden gedeeld.

Het arrest van het Hof wordt gedeeld met het Duitse gerechtshof, dat een oordeel in de zaak zal vellen. De Europese uitspraak kan echter gevolgen hebben voor toekomstige zaken bij Europese rechtbanken.

Consequenties voor meer Europese sites

Het oordeel kan ook consequenties hebben voor andere websites die likeknoppen voor Facebook tonen. De uitspraak kan ertoe leiden dat sites explicieter toestemming moeten vragen voor het tonen van een likeknop, net zoals er nu toestemming nodig is om cookies te plaatsen en persoonsgegevens te verwerken. De knop valt immers onder gegevensverwerking.

Websites zijn volgens het Hof alleen verantwoordelijk voor het doorsturen van persoonsgegevens naar Facebook. Als het sociale netwerk die data eenmaal in handen heeft, dan kan een site niet verantwoordelijk worden gehouden voor wat er vervolgens mee gebeurt.

Duitse Bundeskartellamt wil Facebook verbieden ook persoonsgegevens van gebruikers op andere kanalen te verzamelen

Het Duitse Bundeskartellamt gaat volgens de tabloid Bild am Sonntag Facebook verbieden gegevens te verzamelen via gekoppelde diensten zoals Twitter, game-apps en Facebook-dochterondernemingen WhatsApp en Instagram. Ook de “like me”-knop van Facebook zou de regels overtreden.

Bild am Sonntag beroept zich op een rapport waarin wordt gemeld dat Facebook in de komende weken op de hoogte zal worden gesteld van de beslissing.

Het Bundeskartellamt maakt zich vooral zorgen over de verzameling en het gebruik van gegevens uit bronnen van derden op Facebook. Dit gebeurt vaak zonder de uitdrukkelijke toestemming van de gebruiker.

Persoonlijke gegevens worden door Facebook samengevoegd en gebruikt voor reclamedoeleinden. Facebook maakt volgens het Bundeskartellamt misbruik van zijn dominante marktpositie.

Andreas Mundt, voorzitter van het Bundeskartellamt, had begin 2018 al aangekondigd dat de markt voor online reclame nader zou worden onderzocht.

Het is nog onduidelijk aan welke voorwaarden Facebook concreet moet voldoen. Volgens het rapport wilde het Bundeskartellamt in verband met de lopende procedure geen details verstrekken.

Facebook is al op de hoogte gebracht van de feiten en zou al hebben gereageerd. Een woordvoerster legde uit dat haar bedrijf de standpunten van het Bundeskartellamt niet deelt. Facebook klaagt dat in dit geval gegevensbescherming en antitrustwetgeving door elkaar worden gehaald; dit is volgens Facebook onaanvaardbaar.

Het dilemma Whatsapp en de AVG… Privé wel, zakelijk niet?

Veel organisaties gebruiken Whatsappgroepen voor interne communicatie. Whatsapp is ideaal voor projectmanagement. Intern en extern. De grote vraag is echter of Whatsapp zich wel houdt aan de privacywet GDPR / AVG. Mag je Whatsapp eigenlijk nog zakelijk gebruiken?

Wie op Google zoekt naar “Whatsapp GDPR” ontdekt dat in de hele EU getwijfeld wordt. Wie de regels strikt uitlegt kan niet anders dan concluderen dat Whatsapp na 25 mei 2018 niet compliant kan zijn. En in dat geval mag je Whatsapp dus zakelijk niet gebruiken.

Whatsapp krijgt automatisch toegang tot contacten. Dat mag eigenlijk niet

Organisaties die medewerkers WhatsApp laten gebruiken kampen er mee dat WhatsApp bij het maken van chatgroepen of het leggen van een-op-een connecties voor chat automatisch toegang krijgt tot contacten die zijn opgeslagen op de telefoon.

Er vindt dan dus overdracht plaats van persoonsgegevens aan een onderneming in de VS. In principe is dit volgens de AVG alleen toegestaan na voorafgaande toestemming van de betreffende contactpersoon.

Geen toestemming, dan in strijd met AVG

Indien geen toestemming wordt gegeven, worden de gegevens in strijd met de AVG doorgegeven.

Bovendien gaat het bij de doorgifte van dergelijke gegevens om de verwerking van ordergegevens. Een dergelijke openbaarmaking vereist een contract voor de verwerking van ordergegevens tussen de organisatie en WhatsApp.

Doorgaans wordt niet aan deze eis voldaan en gebruiken organisaties WhatsApp dus illegaal.

Juristen in Groot-Brittannië en Duitsland

Juristen in Groot-Brittannië en Duitsland adviseren Whatsapp absoluut niet zakelijk te gebruiken als er geen gegevensverwerkingsopdracht is tussen een organisatie en WhatsApp en de contactpersoon van het bedrijf niet heeft ingestemd met het doorsturen van zijn gegevens naar WhatsApp.

Maar ondernemers en medewerkers hebben niet alleen zakelijke contacten. Ze communiceren ook privé. En dat mag wel met Whatsapp. Dat zorgt voor een dilemma. Er vindt vermenging van privé en zakelijk plaats. Zakelijk ben je dan nog steeds in overtreding.

Nederlandse ICT-jurist Arnoud Engelfriet

Hoe denken Nederlandse juristen over het zakelijk gebruik van Whatsapp?

Ict-jurist Arnoud Engelfriet geeft op de website Security.nl elke week antwoord op een interessante vraag over beveiliging, recht en privacy. Op de site reageert hij ook op een vraag over de legitimiteit van zakelijk Whatsapp gebruik binnen de GDPR.

“Namen en telefoonnummers zijn persoonsgegevens”, legt Engelfriet uit. “Het gebruik daarvan valt in principe dan ook onder de Privacyverordening / AVG / GDPR. Het verstrekken van die gegevens aan derden kan onder die wetgeving eigenlijk alleen met toestemming of als het noodzakelijk is voor een aangevraagde dienst of gesloten overeenkomst.”

Privacywet niet van toepassing voor huishoudelijke doeleinden

Bij WhatsApp-groepen val je volgens Engelfriet echter mogelijk buiten de privacywet, omdat het vaak gaat om particulieren die die groepen opzetten.

“De privacywetgeving is niet van toepassing op verwerkingen voor strikt huishoudelijke doeleinden, en verdedigbaar is dat een dergelijke groep daaronder valt. Hoewel in 2014 werd bepaald dat het filmen van de openbare weg door een particulier niet meer strikt huishoudelijk was, dus als je streng in de leer bent dan gaat dit niet op.”

Voorwaarden van WhatsApp

Natuurlijk staat er over dit onderwerp ook van alles in de Voorwaarden van WhatsApp, maar dat boeit weinig zegt Engelfriet. “Toestemming kan niet in algemene voorwaarden worden verkregen, en bovendien moet toestemming specifiek zijn. Op WhatsApp zitten betekent niet dat iedereen je in alle mogelijke groepen mag prikken.”

Kortom: De ervaren Nederlandse ICT-jurist kan geen eenduidig antwoord geven op de vraag of bedrijven Whatsapp nog mogen gebruiken. Bij twijfel niet doen is doorgaans het advies.

Alternatief voor WhatsApp

Maar wat is dan het alternatief voor Whatsapp als bedrijven toch graag intern zakelijk willen kunnen chatten?

In de zorgsector stappen veel instellingen over op de chatapp Yammer van Microsoft. Deze app houdt zich wel aan de Europese privacywet. Er is dus een alternatief. Maar de leercurve voor Yammer is groter dan bij Whatsapp. De chatapp van Facebook is juist bijzonder gebruiksvriendelijk.

Hoeveel organisaties nemen het risico en blijven Whatsapp gewoon gebruiken?

Wie heeft er een goede steekhoudende argumentatie waarmee de toezichthouder overtuigd kan worden?