In tegenstelling tot bijvoorbeeld Echelon is het aftappen van internetverkeer in Nederland altijd gericht op verdachte personen, nadat een rechter-commissaris toestemming geeft voor het aftappen. Elke keer dat de verdachte contact maakt met zijn provider, gaat een virtuele tapkast aan het werk om zijn doen en laten vast te leggen. Een greep uit de verzamelde gegevens:

• met wie mailt en chat hij,
• wat staat er in zijn e-mails,
• welke sites, nieuwsgroepen en webfora bezoekt hij,
• welke bestanden haalt hij binnen of verstuurt hij,
• welke nieuwsgroepen en webfora bezoekt hij.

Tot hoever het aftappen zich precies uitstrekt is echter moeilijk te zeggen. Bij het aftappen van bijvoorbeeld mobiele telefonie is zonder meer duidelijk waar het om gaat: al het verkeer van en naar een bepaalde gsm. Maar wat als een verdachte verschillende providers heeft of ook op zijn werk toegang heeft tot het net? Mag Justitie eisen dat het bedrijf meedoet aan het aftappen? Dat is allemaal niet duidelijk.

Wie mogen aftappen?

Volgens de Telecomwet uit 1998 mogen politie en veiligheidsdiensten internetverkeer van burgers aftappen als deze verdacht worden van een strafbaar feit.

Wat is de rol van providers bij het aftappen?

De Telecomwet verplicht aanbieders van een openbare dienst of openbaar netwerk hun dienst of netwerk aftapbaar te maken. Op grond van deze wet worden vaste en mobiele telefonie al afgetapt. De verplichting geldt ook voor aanbieders van internetdiensten. Door een tapbevel kan Justitie een provider opdragen het internetverkeer van een verdachte in de gaten te houden en door te sluizen.

Merkt de verdachte iets van het aftappen?

Niets. Het aftappen heeft zelf geen invloed op het internetverkeer. De woorden 'aftappen' en 'onderscheppen' zijn dus strikt genomen niet juist, maar zijn inmiddels zo ingeburgerd dat ze ook hier worden gebruikt. 'Screenen', 'monitoren' of gewoon 'volgen' zijn wellicht betere omschrijvingen.

Hoe verloopt het tappen nu in de praktijk?

Het Nationaal Forensisch Instituut heeft hiervoor een 'zwarte doos' ontwikkeld. Zodra de politie toestemming krijgt van de rechter-commissaris om het internetverkeer van een verdachte te volgen, dan wordt de zwarte doos bij de betreffende provider geïnstalleerd. Er is maar één zwarte doos in Nederland, dus de mogelijkheden om internetters te tappen zijn erg beperkt.

De meeste providers hebben tot nu toe gehoor gegeven aan tapbevelen. Xs4all en DDS hebben echter geweigerd en werden naderhand door de rechter in het gelijk gesteld.

En hoe gaat het straks in zijn werk?

Internetaanbieders gaan voor een groot deel gemeenschappelijk gebruik maken van aftapapparatuur. Een centrale organisatie van providers gaat deze apparatuur beheren, beoordeelt de tapbevelen van opsporingsinstanties op rechtsgeldigheid en sluist ze door naar de betreffende aanbieder. Aan overheidskant komt eveneens een centrale organisatie, die de tapbevelen coördineert en zonodig beoordeelt welke zaken voorrang moeten krijgen.

De nieuwe aftapvoorziening bestaat uit twee delen, enerzijds een koppeling aan het netwerk van de provider, en anderzijds uit een systeem om de afgetapte informatie te versleutelen en door te sturen naar de tapkamers van de overheid. De netwerkkoppeling, het eerste deel, is relatief eenvoudig en wordt beheerd door de providers zelf. Het tweede deel is technisch complexer en wordt gezamenlijk gebruikt.

Over de precieze technische werking van de aftapapparatuur bestond lange tijd onduidelijkheid. Het Nederlands Forensisch Instituut, de Binnenlandse Veiligheidsdienst en het Korps Landelijke Politiediensten hadden zogenaamde TIIT-specificaties (Transport of Intercepted IP Traffic) opgesteld, maar die waren officieel niet openbaar. Inmiddels zijn ze toch bekend geworden dankzij een anonieme insider die ze begin april in de nieuwsgroep nl.internet.providers publiceerde.

Het is overigens opmerkelijk dat de Nederlandse overheid met de eigen TIIT-standaarden werkt. De European Telecom Standards Institute (ETSI) is bezig met internationale standaarden voor het aftappen van internet, maar kennelijk is de haast zo groot dat Nederland voor een eigen koers heeft gekozen.

Waarom een centrale beheersorganisatie?

In de eerste plaats omdat het goedkoper is. Aftappen is op zich erg duur. Als elke aanbieder voor zijn eigen aftapvoorzieningen zou zorgen, dan had de branche dat in totaal 60 miljoen gulden gekost. Kleine aanbieders zouden dan failliet zijn gegaan. Nu zijn de kosten veel lager, al zijn precieze bedragen nog niet bekend.

Daarnaast vereenvoudigt een centrale organisatie de communicatie. Door het screenen van tapverzoeken krijgt de internetaanbieder alleen rechtsgeldige tapbevelen voorgeschoteld en blijft de aanbieder verschoond van moeizame juridische discussies.

Waarom duurt dit allemaal zo lang?

Het aftappen van internet is technisch veel ingewikkelder dan dat van telefoonverkeer. Er is speciale apparatuur voor nodig, die in Nederland niet of nauwelijks voorhanden is. Om deze reden waren bij de introductie van de nieuwe Telecommunicatiewet in 1998 nog geen technische specificaties opgesteld voor het aftappen van IP-netwerken. Internetaanbieders kregen uitstel van de aftapplicht tot 15 augustus 2000.

Toen de specificaties in het najaar van 2000 nog steeds niet rond waren, werd opnieuw uitstel verleend en wel tot 15 april 2001. Pas in januari 2001 maakte het Ministerie van Verkeer en Waterstaat de specificaties bekend, maar nog steeds bleven onduidelijkheden bestaan, zo blijkt uit de in nl.internet.providers gepubliceerde documenten.

Vanaf september 2000 heeft de Vereniging van Nederlandse Internetproviders (NLIP) diverse leveranciers benaderd. Half december 2000 richtten de providers het Nationaal Aftap Overleg (NAO) op. Dit overleg vertegenwoordigt de aanbieders in de driehoeksverhouding Overheid, Dienstenaanbieders en Leveranciers.

Wanneer gaat de nieuwe constructie daadwerkelijk van start?

Naar verwachting zullen providers pas eind 2001 aan de wettelijke verplichtingen kunnen voldoen. In mei ligt het bedrijfsplan voor de centrale beheersorganisatie op tafel. Daarna duurt het nog minstens vijf maanden voordat de eerste nieuwe tapvoorzieningen kunnen worden getest.

Dus nu wordt er nog niet vaker getapt?

Zolang de nieuwe aftapapparatuur niet werkt, heeft de overheid nog steeds maar één aftapkastje tot zijn beschikking. Internetproviders kunnen hierdoor nauwelijks voldoen aan de wettelijke verplichting. Ambtenaren en het Openbaar Ministerie zouden echter informeel aan het NLIP hebben laten weten dat de overheid deze tijdelijke situatie zal gedogen.

Hoe vaak is er tot nu toe getapt?

Officiële cijfers over het aantal internettaps zijn er niet. Volgens het NLIP gaat het op dit moment om enkele gevallen per jaar.

Naar verwachting zal dit aantal behoorlijk toenemen. Uit de in nl.internet.providers gepubliceerde specificaties blijkt dat er geen limiet is bepaald, zoals dat wel bij telecombedrijven is gedaan. Zo geldt voor mobiele telecombedrijven een grens van 15 gelijktijdige taps per 10.000 actieve mobiele telefoons. Het ontbreken van een bovengrens voor internetverkeer lijkt erop te wijzen dat de overheid van plan is om vaak te tappen.

Justitie heeft hierover nooit uitsluitsel willen geven. Volgens insiders heeft de overheid echter al meer dan 100 aftapbevelen opgespaard. Dat is niet verwonderlijk, want het aftappen van internetverkeer gaat veel gemakkelijker dan dat van telefoonverkeer. Bij telefoontaps moeten alle gesprekken helemaal worden uitgetypt.

Nederland staat bovendien al langer bekend als een land waar veel getapt wordt - veel meer dan in de omringende landen en in de Verenigde Staten. Officieel wil het Ministerie van Justitie er niets over kwijt, maar uit geheime documenten van het Landelijk Overleg Tapfaciliteiten blijkt dat het aantal taps in de periode 1995-1998 verdrievoudigd is. In 1998 werden 10.000 telefoons afgetapt, 3.000 vaste telefoons en 7.000 gsm's.

Wie gaat dat aftappen betalen?

De precieze kosten zijn nog niet bekend, maar zeker is dat de providers ervoor moeten opdraaien. Ter vergelijking: in Frankrijk is het de overheid die het aftappen betaalt en in de Verenigde Staten de FBI.

(27 april 2001)