Het gaat vandaag waarschijnlijk over de poppetjes. Vorige week bleek dat niet de National Security Agency (NSA), maar de Nederlandse inlichtingendiensten AIVD en MIVD 1,8 miljoen metadata hebben verzameld. Minister Ronald Plasterk (Binnenlandse Zaken, PvdA) heeft daardoor een groot probleem. De vraag die hij vandaag in de Tweede Kamer moet beantwoorden, is waarom hij heeft gezegd dat juist de Amerikanen die data verzamelden, terwijl ambtenaren en andere bewindspersonen wisten dat de Nederlandse diensten dat deden.

Ik voorspel dat één aspect zeker niet aan de orde zal komen in het debat vandaag.

Als je iets geeft aan een bevriende dienst, moet je daar iets voor terugkrijgen. Wat heeft Nederland voor deze data teruggekregen en is dat rechtmatig vergaard?

Hoe ik dat weet? Simpel. Dat probleem wordt namelijk al jaren genegeerd: de sterke greep van de Verenigde Staten op onze digitale infrastructuur. De Amerikaanse autoriteiten kunnen tientallen bedrijven die in Nederland actief zijn, dwingen om onze data te onderscheppen en af te staan. Deze bedrijven komen klem te zitten. Als ze aan die informatieverzoeken voldoen, overtreden ze En als ze er niet aan voldoen, overtreden ze de Amerikaanse.

Dit probleem is al twaalf jaar bekend en wordt steeds prangender. De overname van internetserviceprovider Ziggo door Liberty Global leidt er bijvoorbeeld toe dat de klantgegevens van Ziggo in Amerikaanse handen kunnen vallen. Liberty Global is een Amerikaans  

De vraag is nu: hoe kunnen de Verenigde Staten telecombedrijven tot deze medewerking dwingen? 

De wetten die het mogelijk maken: Patriot ACT en FISA

De Amerikaanse opsporings- en inlichtingendiensten hebben een flink juridisch arsenaal tot hun beschikking om Nederlandse data te vergaren. Een bekend voorbeeld is de  kort na de aanslagen op nine eleven aangenomen. De FBI mag sindsdien bij bedrijven en organisaties informatie opvragen, zoals documenten, metadata van telefoon- en e-mailverkeer en allerlei andere klantgegevens die betrekking hebben op niet-Amerikanen. Officieel om terroristische aanslagen te voorkomen, in de praktijk ook voor diplomatieke en economische spionage.

Daarnaast is er de Foreign Intelligence Surveillance Act (FISA), waarmee bedrijven gedwongen kunnen worden dataverkeer te onderscheppen, bijvoorbeeld door het plaatsen van taps in het 

Elk bedrijf dat data in de cloud zet, kan worden afgetapt zonder dat daar een individueel gerechtelijk bevel voor nodig is

In 2008 is daar nog de FISA Amendment Act bijgekomen. Op basis van deze wet kunnen opsporings- en veiligheidsdiensten in bulk gegevens over niet-Amerikanen opvragen bij Die providers zijn gevrijwaard van aansprakelijkheid en krijgen een vergoeding. Dit betekent dat elk bedrijf dat data in de cloud zet van een Amerikaanse aanbieder, kan worden afgetapt zonder dat daar een individueel gerechtelijk bevel voor nodig is.

De gevraagde data hoeven zich niet fysiek in de Verenigde Staten te bevinden. In een verslag van een bijeenkomst over de PATRIOT Act op het ministerie van Financiën vertelt specialist Lokke Moerel van De Brauw Advocaten dat de reikwijdte in de praktijk nog  Ze legt uit dat de PATRIOT Act van toepassing is als er een band bestaat met de Amerikaanse jurisdictie.

Daar is al sprake van als een bedrijf of organisatie een ‘continue en systematische’ activiteit op Amerikaanse bodem heeft. Het is dus geen vereiste dat het hoofdkantoor in Amerika staat. Als een Amerikaanse vestiging toegang heeft tot gegevens buiten Amerika (bijvoorbeeld van het Europese hoofdkantoor), moeten die ook worden afgegeven. Ook medewerkers met de Amerikaanse nationaliteit die toegang hebben tot bijvoorbeeld een datacentrum in Nederland, kunnen door de FBI of NSA tot afgifte worden verplicht.

Bindende afspraken over aftappen van netwerken 

De telecombedrijven worden steeds verder onder druk gezet om zich aan de Amerikaanse autoriteiten te onderwerpen. In de zomer van vorig jaar schreven en over een in Nederland nog praktisch onbekend middel om buitenlandse ondernemingen aan Amerikaanse justitie te onderwerpen: Network Security Agreements

Als buitenlandse telecombedrijven diensten en infrastructuur in de Verenigde Staten willen kopen of aanbieden, moeten ze daarvoor toestemming krijgen van de Federal Communications Commission (FCC), een toezichthouder. Sinds 2003 is deze goedkeuring grotendeels overgedragen aan Team Telecom, juristen van de Amerikaanse ministeries van Binnenlandse Veiligheid, Justitie en Defensie én de FBI.

Saillant is dat Team Telecom geen juridische basis heeft, maar wel bindend advies geeft aan de FCC. Hierdoor heeft dit team veel macht. Als een bedrijf zich benadeeld voelt, kan het geen verhaal halen bij een rechter of bezwaarcommissie. Afspraken tussen bedrijven en Team Telecom worden gemaakt op basis van ‘vrijwilligheid’ en verschillen 

Team Telecom heeft geen juridische basis, maar geeft wel een bindend advies

Die afspraken worden contractueel vastgelegd in een Network Security Agreement. Zo’n afspraak regelt de veiligheidsmaatregelen die bedrijven treffen om vooral Amerikaanse infrastructuur en data te beschermen. Zo mogen alleen Amerikanen met gevoelige Amerikaanse data werken. In sommige gevallen kan het ministerie van Binnenlandse Veiligheid zodoende benoemingen van personeel tegenhouden. 

Maar er worden ook afspraken gemaakt over surveillance. Bedrijven moeten hun systemen aftapbaar maken en mogen onder geen beding buitenlandse overheden op de hoogte stellen van Amerikaanse informatieverzoeken. Providers moeten bijvoorbeeld een  op Amerikaanse bodem hebben, dat binnen dertig minuten door federale ambtenaren bezocht kan worden. Sinds een paar jaar moeten ook beheerders van onderzeese kabels naar de Verenigde Staten een Network Security Agreement ondertekenen, ook al zijn ze al langer actief in

Netwerkreus Level 3 vind je ook in de Randstad

Het eerste bedrijf dat zo’n Network Security Agreement moest ondertekenen, was  Dit enorme bedrijf bezit en beheert een groot deel van de internet backbone. Dit is het grote wereldomspannende netwerk van glasvezelkabels en routers, zowel in de grond als op de zeebodem, dat alle internetnetwerken met elkaar verbindt. Schattingen lopen uiteen, maar ergens tussen één derde tot de helft van het wereldwijde internetverkeer loopt via de kabels van Level 3.

Afgelopen november speelde het bedrijf de hoofdrol in de onthulling van het zogenoemde van de NSA. Zij verzorgt het verkeer van Google en Yahoo! tussen hun datacentra. Level 3 wordt deze data voor de NSA te hebben onderschept, een beschuldiging die het bedrijf heeft bevestigd noch ontkend. 

  

Illustratie: Momkai
Illustratie: Momkai

Level 3 bezit ook veel infrastructuur in Nederland en Europa. Allerlei verschillende partijen maken gebruik van haar netwerk. Providers bijvoorbeeld. In het verleden is KPN klant geweest. KPN of zij nog steeds klant is. Of grote bedrijven met veel dataverkeer, zoals financiële instellingen. En ook overheden, met name die van Engeland en de Verenigde Staten, maken gebruik van het netwerk en de diensten van Level 3.

Level 3’s netwerk is uitgestrekt. In Nederland verbindt het de grote steden in de Randstad en vanuit Nederland strekt het zich rechtstreeks uit tot Brussel, Parijs, Straatsburg, Keulen, Hamburg en Frankfurt. Stuk voor stuk economisch en politiek belangrijke steden. Een van haar onderzeese kabels loopt van Beverwijk via het Duitse Sylt naar Brookhaven, New York en weer terug via Whitesands Bay in Engeland. Daarnaast heeft ze een datacentrum in Amsterdam Zuid-Oost.

     

Illustratie: Momkai
Illustratie: Momkai

Ruim 100 netwerkbedrijven in Nederland vallen onder Amerikaanse jurisdictie

Level 3 is niet het enige telecombedrijf dat actief is in Nederland en onder Amerikaanse jurisdictie valt. Ik heb een analyse gemaakt van alle in Nederland actieve telecombedrijven. De namen zijn beschikbaar in het register van toezichthouder Consument en Markt en op de site van internetknooppunt AMS-IX. Nederland is een belangrijk internetknooppunt, een van de grootste ter wereld. Het is dan ook niet verwonderlijk dat er ruim 1.600 telecombedrijven actief zijn. 

Ongeveer 250 bedrijven zijn interessant voor Amerikaanse opsporings- en veiligheidsdiensten, omdat ze een aanwezigheid hebben op Amerikaanse bodem. Een kantoor bijvoorbeeld. Of een dochteronderneming. Soms is die lijn erg dun: een aansluiting op een internetknooppunt, een paar servers in een datacentrum. Hoewel die bedrijven formeel onder de PATRIOT Act of de FISA kunnen vallen, heb ik die bedrijven er toch maar uitgefilterd.

De ruim honderd bedrijven die er dan overblijven hebben een veel duidelijker aanwezigheid in Amerika: ze bezitten een dochteronderneming of infrastructuur in de Verenigde Staten. Of zijn zelf een dochter van een Amerikaanse onderneming. Bij deze honderd bedrijven is er geen twijfel dat ze onder de genoemde wetten vallen.

Ze zijn in te delen in drie Ten eerste: de netwerkaanbieders. Het Franse bedrijf Alcatel-Lucent is bijvoorbeeld in Nederland actief, maar heeft ook veel kantoren in Amerika. Hetzelfde geldt voor de Amerikaanse multinational Cisco, dat netwerkapparatuur in Nederland levert, zoals routers die het dataverkeer de juiste kant uitsturen. De NSA heeft enkele aanvallen gedaan om die routers

Ten tweede zijn er de content-aanbieders, zoals Google, Facebook en Yahoo!. Google bezit bijvoorbeeld een datacentrum in Groningen, vlakbij waar een glasvezelkabel aan land komt. Apple wil daar ook een datacentrum bouwen. Tot slot zijn er de cloudaanbieders, die data opslaan - denk aan IBM, Akamai en Amazon.

De overheid wil haar data niet in het buitenland opslaan, maar aangezien Equinix een Amerikaans bedrijf is, kunnen de Amerikaanse diensten er toch bijkomen

Interessant is in ieder geval Equinix, een groot Amerikaans bedrijf dat wereldwijd datacentra bezit. Dit bedrijf host ook data van onze Rijksoverheid. De overheid wil haar data niet in het buitenland opslaan en heeft een cloud bij Equinix in Amsterdam laten inrichten. Maar met een bevel op basis van de PATRIOT Act of de FISA kunnen de Amerikaanse inlichtingendiensten er toch bijkomen.

Of neem Verizon, een enorm Amerikaans telecombedrijf. Verizon heeft een eigen transatlantische kabel en drie datacentra (in Amsterdam, Amsterdam Zuid-Oost en Rotterdam) en een glasvezelnetwerk dat de grote steden in de Randstad verbindt. Verizon is ook een zogenoemde ‘corporate partner’ van zowel de NSA en de Britse GCHQ. Verizon komt in de gelekte documenten van Edward Snowden 

De NSA dwingt nog meer bedrijven data af te staan. We weten niet welke bedrijven dit zijn en het is dus onbekend of ze ook in Nederland kabels, datacentra of andere infrastructuur bezitten. Ze gaan in ieder geval schuil achter exotische namen als MONKEYROCKET, SHIFTINGSHADOW, ORANGECRUSH, YACHTSHOP, ORANGEBLOSSOM, SILVERZEPHYR, BLUEZEPHYR en COBALTFALCON. Van een aantal van deze is wel bekend dat het Europese bedrijven zijn.

In de Snowden-onthullingen wordt ook een aantal Engelse telecomaanbieders genoemd, zoals Vodafone,Viatel en British Telecom. Die overhandigen data aan de Engelse GCHQ. Deze bedrijven zijn ook in Nederland actief.

 

Dat de Amerikanen vaak om data vragen, is zeker

Als de Amerikaanse autoriteiten willen, kunnen ze dus bij heel veel data komen. Benadrukt moet hier dat ik geen aanwijzingen heb dat de genoemde bedrijven ook daadwerkelijk via Nederlandse vestigingen en infrastructuur data onderscheppen en overdragen aan Amerikaanse opsporings- en veiligheidsdiensten. Daar is ook bijna niet achter te komen. Want, zo legt specialist Lokke Moerel uit: ‘Medewerkers van een Amerikaanse vestiging die de onderschepping daadwerkelijk uitvoeren, krijgen gagging orders. Ze mogen met niemand over de verzoeken praten, soms niet eens met hun eigen directie.’

Maar ondanks deze geheimzinnigheid is Moerel stellig over wat de Amerikaanse diensten kunnen. ‘Staat het hoofdkantoor van een bedrijf in de Verenigde Staten en bezit het in Nederland netwerken of andere infrastructuur, dan kunnen de Amerikaanse veiligheidsdiensten bij de data komen. Geen twijfel over mogelijk. Dit wordt doorgaans ook niet ontkend.’

En dat de Amerikaanse diensten inzageverzoeken doen, wordt inmiddels door president Obama erkend. Sinds vorige week weten we ongeveer hoe vaak dat gebeurt. Enkele technologiebedrijven, waaronder Google, Facebook en Twitter, hebben bedongen dat ze een indicatie van het aantal verzoeken op basis van de FISA

In de eerste helft van 2013 kreeg Facebook bijvoorbeeld tussen de nul en tweeduizend aparte verzoeken om informatie die betrekking hadden op vijf- tot zevenduizend accounts of gebruikers. Die verzoeken hebben betrekking op buitenlanders, en mogelijk ook Nederlanders. De data bevinden zich misschien in de Verenigde Staten, maar kunnen ook op een server in Amsterdam staan.

Bij Yahoo! werd informatie over ongeveer 30.000 buitenlandse accounts opgevraagd. Microsoft moest van zeker 15.000 buitenlanders informatie afstaan en Google ruim 10.000 keer. Op welke landen deze verzoeken betrekking hebben, mag niet bekend gemaakt worden. Het is goed mogelijk dat het ook Nederlandse data betreffen, die via onze kabels naar die bedrijven gevloeid zijn.

Sancties uit de VS óf de wet overtreden in Nederland

Het zou niet de eerste keer zijn dat Amerikaanse diensten gebruikmaken van hun bevoegdheden om in Nederland data op te vragen. In 2005 woedde kort de SWIFT-affaire. Dit bedrijf handelt de berichten voor internationaal betalingsverkeer af. Verkeer dat via de Verenigde Staten loopt, maar ook rechtstreeks tussen andere landen. The New York Times bracht naar buiten dat de Amerikaanse autoriteiten zich met behulp van onder meer de PATRIOT Act toegang hadden verschaft tot de data. Dit was in overtreding met Europese wetgeving.

Ook Nederlandse banken krijgen te maken met het Amerikaanse spierballenvertoon. In 2007 NRC Handelsblad-journalist Joep Dohmen en ik dat onder andere de Rabobank klantgegevens aan de Amerikaanse autoriteiten had verstrekt. Bij weigering riskeerde de bank sancties in Amerika, maar door toe te geven overtrad zij de Nederlandse wet. Na onderzoek van het ministerie van Financiën bleken meer banken dit soort verzoeken te krijgen.

En daarmee zijn we aanbeland bij de grote vraag die overblijft: wat doet de Nederlandse staat om de data en netwerken tegen de Amerikaanse surveillancedrang te beschermen? Morgen een uitgebreid vervolgartikel waarin ik daarop een antwoord hoop te geven.

Update 11:58. In een eerste versie van dit artikel meldde ik dat Ziggo wordt overgenomen door UPC. Dat klopt niet. Ziggo wordt formeel overgenomen door Liberty Global.

  ‘Wij zijn allemaal inlichtingendienstjes geworden’ Lees ook het interview van Maurits Martijn met hoogleraar Bob de Graaff over het Nederlandse debat over de inlichtingendiensten