Uitspraak
vonnis
RECHTBANK BREDA
Sector civiel recht
Team handelsrecht
zaaknummer / rolnummer: 168681 / HA ZA 06-2057
Vonnis van 26 november 2008
in de zaak van
STICHTING ICTU,
statutair gevestigd en kantoorhoudende te ’s-Gravenhage,
eiseres in de hoofdzaak,
verweerder in het incident,
advocaat mr. M.F.IJ.J. Kramer,
tegen
1. [gedaagde 1],
2. [gedaagde 2],
in hun hoedanigheid van wettelijke vertegenwoordiger van hun minderjarige zoon [gedaagde],
beiden wonende te Breda,
gedaagden in de hoofdzaak,
advocaat mr. R.J.M. Sintnicolaas,
3. [gedaagde 3],
wonende te Breda,
gedaagde in de hoofdzaak,
advocaat mr. B.A. Boer,
4. [gedaagde 4],
in haar hoedanigheid van wettelijk vertegenwoordigster van haar minderjarige zoon
[gedaagde],
wonende te Rotterdam,
gedaagde in de hoofdzaak,
eiseres in het incident,
advocaat mr. N.C.M. Koch,
5. [gedaagde 5],
wonende te Breda,
gedaagde in de hoofdzaak,
advocaat mr. E.J. Mouwen.
Partijen zullen hierna ICTU, [gedaagde 1], [gedaagdede 3], [[gedaagde 4]] en [gedaagde 5] genoemd worden.
1. De procedure
1.1. Het verloop van de procedure blijkt uit:
- het vonnis in incident van 16 mei 2007 en de daarin genoemde stukken;
- de conclusie van antwoord van [[gedaagde 4]] met producties 1 tot en met 5;
- de conclusie van repliek met producties 14 tot en met 16;
- de conclusie van dupliek van [gedaagdede 3] met producties 3 en 4;
- de conclusie van dupliek van [[gedaagde 4]];
- de conclusie van dupliek van [gedaagde 5];
- de conclusie van dupliek van [gedaagde 1] met producties 8 tot en met 11;
- de akte houdende overlegging producties 17 tot en met 20 ten behoeve van het pleidooi van 12 februari 2008;
- het extract uit het audiëntieblad van de zitting, gehouden op 12 februari 2008, waarbij de partijen hun standpunt hebben bepleit en pleitnotities hebben overgelegd, die aangehecht zijn aan het audiëntieblad.
1.2. Vervolgens is vonnis bepaald.
2. Het geschil
2.1. ICTU vordert dat de rechtbank bij vonnis, uitvoerbaar bij voorraad, gedaagden hoofdelijk, ieder voor het geheel maar zodanig dat de één zal zijn bevrijd wanneer de ander zal hebben betaald op grond van de in de dagvaarding genoemde gronden, zal veroordelen aan ICTU tegen behoorlijk bewijs van kwijting te betalen:
a. primair EUR 471.553,54 inclusief BTW aan vergoedingen voor door ICTU geleden schade, te vermeerderen met de wettelijke rente vanaf de dag dat de schadetoebrengende feiten zich hebben voorgedaan, althans vanaf de dag van de sommatiebrief als genoemd in de dagvaarding, althans vanaf de datum van dagvaarding tot aan de dag van algehele voldoening;
b. althans subsidiair een door de rechtbank in goede justitie te bepalen bedrag als schadevergoeding;
c. de kosten van deze procedure.
2.2. [gedaagde 1], [gedaagdede 3], [[gedaagde 4]] en [gedaagde 5] weerspreken de vorderingen. Op hun stellingen wordt hieronder – voor zover relevant – ingegaan.
3. De beoordeling
3.1. De volgende feiten staan in rechte vast:
a. ICTU is de Informatie- en Communicatie Technologie Uitvoeringsorganisatie van de rijksoverheid, opgericht door het ministerie van Binnenlandse zaken en Koninkrijksrelaties, de Vereniging voor Nederlandse Gemeenten, het Interprovinciaal Overleg en de Unie van Waterschappen. ICTU heeft ten doel overheden te ondersteunen om innovatieve toepassingen op het gebied van de informatie- en communicatietechnologie te ontwikkelen, alsmede om die overheden daarbij te faciliteren.
b. In opdracht van de ministeries van Binnenlandse zaken en Koninkrijksrelaties en Algemene Zaken voert ICTU – onder meer – het beheer uit van www.overheid.nl en www.regering.nl (www.kabinet.nl). Verder voert ICTU het beheer uit over haar eigen website www.ictu.nl en www.nederland.nl (hierna: de websites).
c. Vanaf 3 oktober 2004 hebben meerdere zogenaamde Distributed Denial of Service (DDoS)-aanvallen plaats gevonden. Bij dergelijke aanvallen wordt een zodanige hoeveelheid aanvragen bij de betreffende websites gedaan dat deze websites niet meer of slechts met aanzienlijke vertraging te bereiken zijn. Als gevolg daarvan zijn overheidssites “plat” gegaan en waren de sites gedurende een aantal dagen onbereikbaar voor het publiek. Deze aanvallen hebben geduurd tot en met 8 oktober 2004.
d. ICTU heeft op 5 en 6 oktober 2004 aangifte gedaan van computervredebreuk en vernieling in vereniging.
e. [gedaagde 1], [gedaagdede 3], [[gedaagde 4]] en [gedaagde 5] en een vijfde mededader, [X], zijn door de rechtbank te ’s Gravenhage op 14 maart 2005 veroordeeld wegens het medeplegen van opzettelijke stoornis in de gang van of in de werking van enig werk voor telecommunicatie veroorzaken, terwijl daardoor stoornis in een openbaar telecommunicatienetwerk of in de uitvoering van een openbare telecommunicatiedienst ontstaat en het medeplegen van een opzettelijke stoornis in de gang of in de werking van enig werk voor telecommunicatie veroorzaken, terwijl daardoor gemeen gevaar voor verlening van diensten is te duchten, meermalen gepleegd (artikel 161 sexies Pro Wetboek van Strafrecht).
f. Het gerechtshof te ’s Gravenhage heeft de vonnissen van de rechtbank bij de arresten van 10 februari 2006 op het punt van de veroordeling – voor zover relevant – bekrachtigd.
g. De Hoge Raad heeft in de arresten van 13 november 2007 de arresten van het gerechtshof bekrachtigd voor zover het de veroordeling op grond van artikel 161 sexies Pro Wetboek van Strafrecht betreft.
3.2. [gedaagdede 3] heeft als meest verstrekkende verweer gevoerd dat ICTU niet ontvankelijk dient te worden verklaard in haar vordering, omdat ICTU dient te worden aangemerkt als een bestuursorgaan in de zin van artikel 1:1, lid 1, sub b, van de Algemene wet bestuursrecht (Awb). De vordering van ICTU ziet op naleving en handhaving van een overheidstaak en ICTU dient haar taak volgens [gedaagdede 3] via de bestuursrechtelijke weg uit te oefenen.
De rechtbank overweegt dat tussen partijen vast staat dat ICTU een stichting is, die in opdracht het beheer uitvoert van een aantal websites. Naar het oordeel van de rechtbank is voorts niet gebleken dat ICTU daartoe publiekrechtelijke bevoegdheden zijn toegekend, op grond waarvan zij gerechtigd is besluiten als bedoeld in artikel 1:3 van Pro de Awb te nemen. Voorts is niet gebleken dat ICTU publiekrechtelijke taken zijn opgedragen, nu immers het enkele uitvoeren van het beheer van de websites niet als een publiekrechtelijke taak is aan te merken. ICTU is dan ook niet aan te merken als een bestuursorgaan in de zin van artikel 1:1, lid 1, sub b, Awb. Dit verweer slaagt derhalve niet.
3.3. [gedaagdede 3] en [[gedaagde 4]] hebben voorts als verweer gevoerd dat niet ICTU, maar alleen de overheid schade kan lijden, omdat de overheid eigenaar van de websites is en ICTU slechts het beheer voert. ICTU dient volgens [gedaagdede 3] en [[gedaagde 4]] om die reden niet-ontvankelijk te worden verklaard in haar vordering. Naar het oordeel van de rechtbank heeft ICTU als beheerster van de websites een belang bij het instellen van een vordering als de onderhavige, omdat ICTU in het kader van het beheer van die sites verplichtingen op zich heeft genomen. Indien zij gehinderd wordt in de uitvoering van haar taak, bijvoorbeeld doordat de sites worden platgelegd als gevolg van DDoS-aanvallen, kan ICTU haar verplichtingen niet nakomen en kan zij worden aangesproken door de Staat. Hieruit vloeit voort dat ICTU als beheerder schade kon lijden als gevolg van de DDoS-aanvallen, omdat hierdoor het netwerk en de websites niet goed meer functioneerden en ICTU maatregelen moest treffen om de sites bereikbaar te houden. ICTU heeft voorts gesteld dat zij als domeinnaamhouder eigenares is van de getroffen websites www.ictu.nl, www.nederland.nl en www.overheid.nl. Naar het oordeel van de rechtbank heeft ICTU ook als domeinnaamhouder belang bij een ongestoord bezit daarvan, dat kan worden verstoord als gevolg van DDoS-aanvallen op de in geding zijnde websites. In zoverre heeft ICTU derhalve een belang bij haar vordering en slaagt ook dit verweer niet.
3.4. [gedaagdede 3] heeft aangevoerd dat, omdat er een schikking is getroffen tussen [X] en ICTU en daartoe een vaststellingsovereenkomst is gesloten met [X], niet vast te stellen is of er schade is, dat nu de hoogte van het overeengekomen bedrag niet bekend is en er bij gebrek aan wetenschap van uit dient te worden gegaan dat er geen schade meer is. De rechtbank overweegt dat de inzet van deze procedure is vast te stellen of gedaagden onrechtmatig hebben gehandeld, of deze handelingen gedaagden kunnen worden toegerekend, en zo ja, of er schade is geleden en op welk bedrag deze schade dient te worden vastgesteld. Vervolgens dient in het kader van de executie van het te wijzen vonnis tussen eiseres enerzijds en tussen gedaagden anderzijds onderling aan de orde te komen in hoeverre een eventueel door de rechtbank vastgesteld schadebedrag reeds voldaan is. Ook dit verweer slaagt niet.
Vordering ICTU
3.5. ICTU heeft aan haar vordering ten grondslag gelegd dat de gedragingen van [gedaagdede 3], [[gedaagde 4]], [gedaagde 5] en [gedaagde 1] dienen te worden aangemerkt als een onrechtmatige daad jegens ICTU op grond van artikel 6:162 BW Pro alsmede op grond van 6:166 BW.
ICTU heeft ter onderbouwing van haar vordering uit onrechtmatige daad op grond van 6:162 BW gesteld dat [gedaagdede 3], [[gedaagde 4]], [gedaagde 5] en [gedaagde 1] hebben gehandeld in strijd met wettelijke strafbepalingen in het bijzonder artikel 161 sexies Pro aanhef en onder 1 en 2 Sr. Voorts heeft ICTU gesteld dat zij inbreuk hebben gemaakt op het eigendomsrecht van ICTU en hebben gehandeld in strijd met hetgeen volgens ongeschreven recht in het maatschappelijk verkeer betamelijk is. ICTU verwijst naar het vonnis van de rechtbank, bekrachtigd door het hof en de Hoge Raad waarin gedaagden strafrechtelijk zijn veroordeeld vanwege hun handelen in strijd met voornoemd artikel 161 sexies Pro Sr.
Ter onderbouwing van haar vordering op grond van artikel 6:166 BW Pro heeft ICTU aangevoerd dat [gedaagdede 3], [[gedaagde 4]], [gedaagde 5] en [gedaagde 1] in groepsverband hebben gehandeld, dat zij overleg hebben gepleegd over de aanvallen, informatie hebben verzameld en de DDoS-aanvallen hebben uitgevoerd. [gedaagdede 3], [[gedaagde 4]], [gedaagde 5] en [gedaagde 1] hebben allen op zich een onrechtmatige daad gepleegd jegens ICTU en wisten althans behoorden te begrijpen dat het groepsoptreden het gevaar schiep voor het ontstaan van schade, aldus ICTU. Ten slotte heeft ICTU aangevoerd dat de kans dat het handelen in groepsverband tot schade zou leiden, [gedaagdede 3], [gedaagde 4], [gedaagde 5] en [gedaagde 1] had moeten weerhouden van het handelen, maar dat op geen enkel manier gebleken is dat gedaagden zich van hun handelen hebben gedistantieerd.
Verweer gedaagden
3.6. [gedaagdede 3] heeft aangevoerd dat ICTU niet aannemelijk heeft gemaakt dat [gedaagdede 3] in strijd met wettelijke bepalingen heeft gehandeld. [gedaagdede 3] stelt dat de vraag of de veroorzaakte hinder onrechtmatig is, dient te worden beoordeeld aan de hand van hetgeen naar ongeschreven recht in het maatschappelijk verkeer betaamt. [gedaagdede 3] heeft ten slotte gesteld dat niet aangetoond is dat ICTU ernstig gehinderd was in haar bedrijfsvoering.
3.7. [[gedaagde 4]] heeft betwist dat sprake is van onrechtmatige daad en heeft gesteld dat het enkele handelen in strijd met een wettelijke strafbepaling geen onrechtmatige daad kan opleveren. Ten aanzien van de stelling van ICTU dat gehandeld is in strijd met de maatschappelijke zorgvuldigheid heeft [[gedaagde 4]] primair aangevoerd dat de aanvallen [gedaagde 4] niet kunnen worden toegerekend en dat de handelingen van [[gedaagde 4]] niet als onrechtmatig beschouwd kunnen worden, en subsidiair aangevoerd dat er geen sprake is van hinder, omdat ICTU onvoldoende aannemelijk heeft gemaakt dat er sprake was van hinder.
3.8. [gedaagde 5] heeft ten verwere aangevoerd dat de aanvallen niet kunnen worden gekwalificeerd als een onrechtmatige daad. Voorts heeft ICTU niet aannemelijk gemaakt wie welke rol heeft gespeeld in de aanvallen.
3.9. [gedaagde 1] heeft gesteld dat hij zich niet schuldig heeft gemaakt aan een actieve onrechtmatige gedraging en dat er geen sprake was van een bewust gezamenlijk optreden. Dat [gedaagde 1] door de strafrechter is veroordeeld voor medeplegen, levert geen dwingend bewijs op dat hij onrechtmatig heeft gehandeld, aldus [gedaagde 1]. [gedaagde 1] verwijst ter onderbouwing naar het vonnis van rechtbank Zwolle-Lelystad van 18 mei 2005, NJF 2006, 303. Voorzover [gedaagde 1] handelen in strijd met de maatschappelijke betamelijkheid wordt verweten, wijst [gedaagde 1] er op dat hij degene was die door naar de politie te gaan, de DDoS-aanvallen heeft doen eindigen. Ten slotte heeft [gedaagde 1] betwist dat hem enig onrechtmatig handelen jegens ICTU toe te rekenen is.
Bespreking vordering
3.10. Artikel 6:166 lid 1 BW Pro bepaalt dat indien één van een tot een groep behorende personen onrechtmatig schade toebrengt en de kans op het aldus toebrengen van schade deze personen had behoren te weerhouden van zijn gedragingen in groepsverband, hoofdelijk aansprakelijk indien deze gedragingen hun kunnen worden toegerekend.
De rechtbank zal in de navolgende rechtsoverwegingen beoordelen of in dit geval aan de in voornoemd artikel gestelde voorwaarden is voldaan.
3.10.1. Gelet op de vonnissen van de rechtbank te ’s-Gravenhage van 14 maart 2005 en de overige stukken uit het dossier blijkt met betrekking tot gedaagden het navolgende:
[gedaagde 1] en anderen hebben zich met het oog op een aanval op websites van de overheid afgezonderd van het IRC-kanaal #0x1FE in een besloten IRC-kanaal. [gedaagde 1] heeft deelgenomen aan het samenwerkingsverband door in dat kanaal mee te chatten, zowel bij de voorbereiding als tijdens de uitvoering van de aanvallen. [gedaagde 1] heeft informatie dienstig voor de aanval met de anderen gedeeld, door de aan te vallen overheidssites uit te zoeken en zijn ontdekking dat de betreffende sites via ASP4ALL op één server draaiden, door te geven aan de anderen (produktie 7, conclusie van repliek). Voorts heeft [gedaagde 1] zich niet gedistantieerd van de DDoS-aanvallen.
[gedaagdede 3] heeft verklaard dat hij op 4 oktober 2004 is benaderd door een persoon met de bijnaam Anarchie om mee te doen met een groep die sites aan het platgooien was in verband met het huidige regeringsbeleid. Hij heeft vervolgens na een verzoek daartoe door voornoemde persoon ongeveer 400 bots het commando heeft gegeven om de site regering.nl aan te vallen. [gedaagdede 3] heeft verklaard dat ongeveer twee uur nadat hij is gaan helpen deze site is platgegaan. [gedaagdede 3] heeft van maandag 4 oktober tot en met vrijdag 8 oktober deels handmatig, deels met behulp van een timer, herhaalde malen aanvalcommando’s gegeven. Uit het strafvonnis blijkt verder dat [gedaagdede 3] heeft verklaard dat de jongens zichzelf als een groep beschouwden.
[[gedaagde 4]] heeft op 3 oktober 2004 aan [gedaagde 5] gevraagd tijdens het chatten in het IRC-kanaal of [gedaagde 5] nog van plan was om de overheidssites aan te vallen. [[gedaagde 4]] heeft zich met anderen met het oog op een aanval op websites van de overheid afgezonderd in een besloten IRC-kanaal en hierin is met een kleine groep, waaronder [[gedaagde 4]], verder gechat over het aanvallen van de overheidssites, waarbij is nagegaan welke sites konden worden aangevallen en wat de IP-adressen van die sites waren. [gedaagdede 3] heeft blijkens het proces-verbaal van de zitting van 24 februari 2005 bij de rechtbank te ’s-Gravenhage (produktie 14, conclusie van repliek) verklaard dat ook [[gedaagde 4]] heeft meegedaan aan de aanvallen op de overheidssites.
Ten slotte blijkt uit het strafvonnis dat ook [gedaagde 5] handelingen heeft verricht ten behoeve van de aanvallen op de overheidssites. [gedaagde 5] heeft zich samen met anderen afgezonderd in een besloten IRC-kanaal en met een kleine groep verder gechat over de aanvallen. [gedaagde 5] heeft hierbij het voortouw genomen. Hij heeft verklaard dat hij heeft gezien dat de site van de overheid eruit ging. [gedaagde 5] heeft in het kanaal opdrachten met betrekking tot de aanval gegeven aan de andere aanwezige personen. Verder heeft [gedaagde 5] nog verklaard dat er afspraken zijn gemaakt over wie op welke tijdstippen wel of niet aanwezig waren, zodat de aanvallen gecontinueerd konden worden. [gedaagde 5] heeft tijdens de zitting bij de rechtbank te ’s-Gravenhage aangegeven dat er sprake was van een groep en dat hij die groep coördineerde, wat volgens hem inhield het runnen van de groep en het aanreiken van de informatie (produktie 3, dagvaarding). [gedaagde 5] heeft vanaf het begin deelgenomen aan het samenwerkingsverband en daarin een leidende rol gespeeld.
3.10.2. De rechtbank is gelet op voornoemde handelingen van oordeel dat [gedaagde 1], [gedaagde 5], [gedaagdede 3] en [[gedaagde 4]] onrechtmatig gehandeld hebben jegens ICTU. De onrechtmatigheid van de handelingen is gegeven gelet op de omstandigheid dat gedaagden – onherroepelijk – zijn veroordeeld voor het medeplegen van opzettelijke stoornis in de gang of in de werking van enig werk voor telecommunicatie veroorzaken, terwijl daardoor gemeen gevaar voor verlening van diensten is te duchten, meermalen gepleegd (artikel 161 sexies Pro WvSr). Gedaagden hebben door hun handelingen ieder voor zich een bijdrage geleverd aan de onrechtmatige gedragingen, zo blijkt uit hetgeen is weergegeven onder overweging 3.10.1. Nu vast staat dat alle gedaagden actieve handelingen hebben verricht, is daarbij niet van belang hoe groot de bijdrage is geweest van ieder van de gedaagden. De rechtbank verwerpt [gedaagde 1]s stelling dat hij zich niet schuldig heeft gemaakt aan een actieve onrechtmatige gedraging. Voor de vaststelling van aansprakelijkheid op grond van art. 6:166 BW Pro is het naar het oordeel van de rechtbank niet noodzakelijk dat alle personen een – even grote – actieve bijdrage hebben geleverd. Uit het vonnis van de rechtbank van 14 maart 2005 blijkt immers het tegendeel, nu [gedaagde 1] in ieder geval een actieve bijdrage heeft geleverd door informatie te vergaren en vervolgens te verstrekken in het besloten chatkanaal.
3.10.3. Naar het oordeel van de rechtbank vertonen deze gedragingen voorts een zodanige samenhang dat de gedragingen als gedragingen in groepsverband gekwalificeerd kunnen worden. Dit blijkt reeds uit de omstandigheid dat gedaagden zich met elkaar en anderen in een besloten IRC-kanaal hebben teruggetrokken en met elkaar over de aanvallen hebben gechat. Zowel [gedaagde 5] als [gedaagdede 3] hebben voorts verklaard dat gedaagden zichzelf als een groep beschouwden. Tenslotte heeft de rechtbank te ’s-Gravenhage in de vonnissen van 14 maart 2005 overwogen dat gedaagden een samenwerkingsverband vormden, welke samenwerking in de betreffende periode was gericht op het plat leggen en houden van de websites van de overheid. Het samenwerkingsverband heeft de benodigde capaciteit gegenereerd om de websites van de overheid gedurende een langere periode ontoegankelijk te houden, aldus de rechtbank te ‘s -Gravenhage.
3.10.4. De rechtbank is van oordeel dat [gedaagde 1], [gedaagde 5], [gedaagdede 3] en [[gedaagde 4]] wisten althans behoorden te begrijpen dat hun gezamenlijk optreden er toe zou kunnen leiden dat schade werd toegebracht aan ICTU of een andere partij. Er was immers sprake van gecoördineerde en gerichte aanvallen op de overheidssites, waarbij gedaagden, gezien hun kennis van computers, hadden moeten, dan wel kunnen weten wat de gevolgen van die aanvallen konden zijn en dat de kans op het ontstaan van schade bij ICTU aanwezig was. De kans op het aldus toebrengen van schade had gedaagden moeten weerhouden van hun gedragingen in groepsverband, maar hiervan is niet gebleken. [gedaagde 1]s stelling dat hij op enig moment naar de politie is gegaan, waarna de aanvallen zijn beëindigd, doet hier niet aan af. Op het moment dat [gedaagde 1] de politie heeft benaderd, waren de aanvallen immers al een aantal dagen aan de gang, zodat de kans op schade reeds reëel was.
3.10.5. Gelet op het vorenstaande is de rechtbank van oordeel dat [gedaagde 1], [gedaagde 5], [gedaagdede 3] en [gedaagde 4] (hoofdelijk) aansprakelijk zijn op grond van artikel 6:166 BW Pro voor door ICTU geleden schade als gevolg van DDoS-aanvallen op de bij ICTU in beheer en in eigendom zijnde websites. Om die reden kan in het midden blijven of sprake is van aansprakelijkheid op grond van 6:162 BW.
Bespreking schade
3.11. ICTU heeft gesteld dat zij door het handelen van gedaagden vermogensschade heeft geleden en vordert van gedaagden het bedrag van EUR 471.553,54. ICTU verwijst naar de vonnissen van 14 maart 2005 van de rechtbank te ’s-Gravenhage, waarin is overwogen dat het handelen van gedaagden grote financiële schade heeft veroorzaakt en dat betrokkenen voor kortere of langere tijd ernstig gehinderd zijn in hun bedrijfsvoering. ICTU wijst erop dat onbereikbaarheid en vertraging van websites een slecht imago meebrengt voor de websites en dat de dienstverlening in gevaar komt. Voorts stelt ICTU dat de bezoekers van de websites informatie wordt onthouden, omdat zij tijdelijk de betreffende websites niet kunnen bezoeken. ICTU stelt zich op het standpunt dat de door haar geleden schade een direct gevolg is van de onrechtmatige handelingen van gedaagden en dat ICTU deze kosten niet had hoeven maken, als gedaagden de DDoS-aanvallen niet had uitgevoerd.
3.12. [gedaagde 1], [gedaagdede 3], [[gedaagde 4]] en [gedaagde 5] hebben met betrekking tot de gevorderde schadevergoeding aangevoerd dat de door ICTU in dat verband gestelde inkoop van de extra bandbreedte en de Firewall Router als noodoplossing, de inkoop van extra bandbreedte voor de toekomst en de structurele oplossing ter beveiliging van de websites investeringen voor de toekomst zijn. Deze maatregelen hielden geen verband met de aanvallen in oktober 2006 en de kosten daarvan zijn niet aan te merken als vermogensschade, aldus gedaagden. De advieskosten van Adviesbureau Verdonck, Klooster en Associates (VKA) hebben betrekking op structurele maatregelen en houden derhalve eveneens geen causaal verband met de aanvallen. Gedaagden stellen voorts dat de juridische kosten niet gespecificeerd zijn en dat niet aannemelijk is gemaakt waarom deze kosten niet aan te merken zijn als proceskosten. Met betrekking tot de extra uren die de ambtenaren van ICTU zouden hebben gemaakt, stellen gedaagden dat onvoldoende is onderbouwd dat deze uren ook daadwerkelijk aan de aanvallen zijn besteed. Gedaagden doen voor wat betreft de bepaling van de hoogte van de schadevergoeding een beroep op eigen schuld aan de zijde van ICTU. ICTU zou hebben geweten dat de infrastructuur en de capaciteit van de websites te kort schoten en heeft dit risico bewust aanvaard. Gedaagden doen een beroep op matiging van de schadevergoeding op grond van art. 6:109 BW Pro.
3.13. Artikel 6:96 lid 2 BW Pro bepaalt dat als vermogensschade mede voor vergoeding in aanmerking komen redelijke kosten ter voorkoming of beperking van schade die als gevolg van de gebeurtenis waarop de aansprakelijkheid berust, mocht worden verwacht (a), redelijke kosten ter vaststelling van schade en aansprakelijkheid (b) en redelijke kosten ter verkrijging van voldoening buiten rechte, wat de kosten onder b en c betreft (c) (…).
De rechtbank bespreekt hierna met inachtneming van het bepaalde in voornoemd artikel de door ICTU gestelde schadeposten.
Het treffen van tijdelijke en structurele maatregelen
3.13.1 ICTU heeft gesteld dat door de DDoS-aavallen het netwerk onevenredig is belast met dataverkeer, waardoor ICTU gedwongen was extra bandbreedte en een Firewall Router in te kopen tijdens de aanvallen om de schade zoveel mogelijk te beperken. Voorts heeft ICTU gesteld dat het om eenmalige kosten gaat. ICTU heeft naar het oordeel van de rechtbank voldoende aannemelijk gemaakt dat deze kosten zien op maatregelen die ICTU ten tijde van de aanvallen heeft moeten treffen om verdere schade te voorkomen. Deze schade kan aan gedaagden worden toegerekend. Het door ICTU gevorderde bedrag van EUR 6.050,-- inclusief BTW komt voor toewijzing in aanmerking.
ICTU heeft voorts vergoeding van een bedrag van in totaal EUR 41.055,-- gevorderd, voor de inkoop van extra bandbreedte voor de toekomst, totdat een structurele oplossing was gevonden, en van een bedrag van EUR 309.604,00 ten behoeve van de structurele oplossing ter beveiliging van de websites. Naar het oordeel van de rechtbank kunnen deze kosten niet worden aangemerkt als vermogensschade, ontstaan als gevolg van de DDoS-aanvallen. ICTU heeft zelf gesteld dat de maatregelen een structureel karakter dragen. Zoals gedaagden terecht hebben gesteld, betreft het kosten die ICTU ook zonder de DDoS-aanvallen op enig moment gemaakt zou hebben, ter verbetering van het netwerk en de websites van ICTU. Slechts de kosten, gemaakt ten behoeve van de oplossing van de crisissituatie, ontstaan als gevolg van de aanvallen, kunnen aan gedaagden worden toegerekend. Kosten als gevolg van structurele (beveiligings)maatregelen dienen voor rekening van ICTU te blijven.
Adviezen VKA in verband met DDoS-aanvallen
3.13.2. ICTU vordert vergoeding van advieskosten, gemaakt in verband met de DDoS-aanvallen. Het betreft door VKA uitgebrachte ad hoc-adviezen, uitgebracht met name ter aansturing van ASP4ALL die maatregelen trof om de websites weer bestuurbaar te maken. Voorts vordert ICTU vergoeding van advieskosten, gemaakt in verband met structurele oplossingen om de continuïteit van de overheidswebsites voor de toekomst te verbeteren.
Naar het oordeel van de rechtbank komen – zoals onder 3.13.1. overwogen – slechts de kosten ten behoeve van het advies voor noodoplossingen voor vergoeding in aanmerking. De rechtbank stelt de hoogte van dit gedeelte van de vergoeding in zoverre vast op EUR 4.819,50, conform de door ICTU als produktie 11 in het geding gebrachte factuur. Met betrekking tot de overige kosten à EUR 22.610,-- en EUR 48.568,-- is de rechtbank van oordeel dat deze kosten vanwege het structurele karakter daarvan niet aan gedaagden kunnen worden toegerekend. Het betreft kosten die ICTU sowieso had moeten maken in verband met verbetering van en investering in het netwerk en de websites. Aldus ontbreekt causaal verband tussen de handelingen van gedaagden en de kosten.
Extra uren ICTU-ambtenaren
3.13.3. ICTU vordert verder vergoeding van de door ambtenaren extra gewerkte uren als gevolg van de DDoS-aanvallen. ICTU onderbouwt deze vordering door te stellen dat extra werkzaamheden zijn verricht als het doen van aangifte en het opstellen van persberichten en verwijst verder naar de als productie 12 bij dagvaarding overgelegde urenoverzichten. De rechtbank overweegt dat uit de overgelegde urenoverzichten niet kan worden afgeleid voor welke werkzaamheden in verband met de aanvallen welke ambtenaren zijn ingezet en of deze werkzaamheden zijn verricht ter bereddering van de ontstane situatie. Voorts kan hieruit ook niet worden afgeleid dat het in dit geval om extra uren gaat, gewerkt naast de reguliere tijdsbesteding. Nu dit deel van de vordering gelet op de gemotiveerde betwisting daarvan onvoldoende onderbouwd is, dient de vordering dan ook te worden afgewezen.
Kosten inschakeling juridisch advies
3.13.4. ICTU vordert vergoeding van de kosten van het inwinnen van juridisch adviezen, die zagen op computercriminaliteit, de gevolgen van een strafprocedure en een civiele procedure. Ter onderbouwing verwijst ICTU naar de als productie 13 bij dagvaarding in het geding gebrachte facturen ten bedrag van EUR 11.675,08.
Naar het oordeel van de rechtbank heeft ICTU onvoldoende onderbouwd dat de bedoelde juridische kosten verband houden met de gebeurtenissen in oktober 2004. Uit de in het geding gebrachte declaraties valt immers niet te herleiden op welke werkzaamheden de declaraties betrekking hebben. Voor zover de kosten van juridisch advies, zoals ICTU heeft gesteld, verband houden met de vaststelling van de schade en de aansprakelijkheid heeft ICTU niet aannemelijk gemaakt dat deze kosten niet aan te merken zijn als proceskosten, maar afzonderlijk voor vergoeding in aanmerking behoren te komen. Voorzover de kosten zien op de beoordeling of ICTU zich als civiele partij zou voegen in de strafprocedure, is de rechtbank van oordeel dat deze kosten onredelijk hoog zijn, nu deze beoordeling van betrekkelijk eenvoudige aard is. Ook dit deel van de vordering wordt afgewezen.
3.13.5. De rechtbank zal van de gevorderde schade toewijzen een bedrag van in totaal EUR 10.869,50. Gelet op de ernst van de gedragingen van gedaagden, de gevolgen ervan en de hoogte van de toe te wijzen schadevergoeding ziet de rechtbank geen grond voor matiging.
3.14. [gedaagde 1], [gedaagdede 3], [[gedaagde 4]] en [gedaagde 5] zullen als de grotendeels in het ongelijk gestelde partij in de proceskosten worden veroordeeld. Nu een lager bedrag wordt toegewezen dan door ICTU wordt gevorderd, zal de rechtbank de proceskosten [vastrecht] dienovereenkomstig naar een lager tarief liquideren. De rechtbank begroot de proceskosten aan de zijde van ICTU op basis van het toegewezen bedrag op EUR 2.337,00 waarvan EUR 2.034,00 aan advocaatsalaris.
3.15. In het vonnis in incident van 16 mei 2007 is de beslissing over de proceskosten voor zover betrekking hebbend op de kosten aangehouden. Ter zake die kosten zal [[gedaagde 4]] als de in de hoofdzaak in het ongelijk gestelde partij in de proceskosten worden veroordeeld. De rechtbank begroot de proceskosten aan de zijde van ICTU gevallen in het incident op basis van het toegewezen bedrag op EUR 452,00 aan advocaatsalaris.
4. De beslissing
De rechtbank
In de hoofdzaak:
veroordeelt [gedaagde 1], [gedaagdede 3], [[gedaagde 4]] en [gedaagde 5] hoofdelijk, ieder voor het geheel des dat de één zal zijn bevrijd wanneer de ander zal hebben betaald tegen behoorlijk bewijs van kwijting, aan ICTU te betalen een bedrag van EUR 10.869,50 (zegge: tienduizendacht-honderdnegenenzestig euro vijftig cent), vermeerderd met de wettelijke rente als bedoeld in art. 6: 119 BW over dit bedrag vanaf de dag der dagvaarding tot de dag van volledige betaling,
veroordeelt [gedaagde 1], [gedaagdede 3], [[gedaagde 4]] en [gedaagde 5] hoofdelijk, ieder voor het geheel des dat de één zal zijn bevrijd wanneer de ander zal hebben betaald, in de kosten van het geding, voor zover aan de zijde van ICTU gevallen, tot op heden begroot op EUR 2.337,00, waaronder begrepen een bedrag van EUR 2.034,00 aan advocaatssalaris;
In het incident:
veroordeelt [[gedaagde 4]] in het incident in de kosten van het incident, voor zover aan de zijde van ICTU gevallen, tot op heden begroot op EUR 452,-- aan advocaatssalaris;
In de hoofdzaak en het incident:
verklaart dit vonnis tot zover uitvoerbaar bij voorraad,
wijst het meer of anders gevorderde af.
Dit vonnis is gewezen door mr. Nollen, mr. Schoonen en mr. De Weert en in het openbaar uitgesproken op 26 november 2008.