Het is de gemeente Hof van Twente niet gelukt om via de rechter 4 miljoen euro schade te verhalen op de IT-leverancier, nadat door falende beveiliging een aanval met ransomware had plaatsgevonden. De gemeente had volgens het vonnis zelf de ‘deur’ opengezet voor de cybercriminelen.

Op 1 december 2020 constateerde de gemeente dat de systemen van het netwerk en de back-up waren versleuteld en ontoegankelijk waren gemaakt en dat vele virtuele servers waren verwijderd. De gemeente stelde het IT-bedrijf Switch daarvoor verantwoordelijk. Previder, de voorganger van Switch, zou zijn tekortgeschoten in de nakoming van haar zorgplicht als ICT-beheerder. In de beeldspraak van de gemeente diende Switch haar kasteel (netwerk) te voorzien van een slotgracht, muren en bewakers zodat het niet kon worden binnengevallen en heeft het bedrijf verzuimd dat te doen. De rechtbank is echter van oordeel dat Switch, gelet op haar contractuele verplichtingen en zorgplicht, wel heeft gezorgd voor de slotgracht, muren en bewakers, maar dat de gemeente een door haar beheerde achterdeur die toegang gaf tot het kasteel, heeft opengezet door de brug neer te laten (de RDP-poort open te zetten) en een makkelijk te raden wachtwoord (Welkom2020) voor het openen van de deur in te stellen, waardoor de bewakers niet ingrepen.

Beveiligingsvoorstellen afgewezen
Wat de rechtbank de gemeente ook verwijt, is dat niet is ingegaan op voorstellen van het IT-bedrijf voor noodzakelijke beveiligingsmaatregelen, zoals geactualiseerde antivirussoftware met ransomwarebeveiliging en back-up-hardening met een niet via internet te benaderen en dus met ransomware te besmetten back-up. Daarmee werd het Switch onmogelijk gemaakt om aan haar in de overeenkomst opgelegde zorgplicht te voldoen. Ook werd niets gedaan met het advies voor noodzakelijke netwerksegmentering, waardoor de criminelen ook de back-ups konden versleutelen. Zo waren er nog meer voorgestelde maatregelen die waarschijnlijk om bezuinigingsredenen achterwege werden gelaten. Daardoor werd niet opgemerkt dat de criminelen al op 9 november toegang hadden tot het netwerk en ongemerkt hun aanval op 1 december konden voorbereiden. Maar het kwalijkst was wel dat het beheerdomein was ‘beveiligd’ met het wachtwoord Welkom2020.