Technology is cool, but you’ve got to use it as opposed to letting it use you.

    PRINCE

Deze uitgave is mede tot stand gekomen dankzij steun van het

Fonds Bijzondere Journalistieke Projecten.

© 2019 Huib Modderkolk

Omslagontwerp Philip Stroomberg

Verzorging e-book Coco Bookmedia

Foto auteur Ruud Pos

ISBN e-book 978 90 5759 981 1

Deze digitale editie is gemaakt naar de eerste druk, september 2019

www.uitgeverijpodium.nl

Inhoud

Proloog

Deel I Wat is er aan de hand?

1    Een ongenode gast

2    Totale black-out

3    Het Zwitserland onder de geheime diensten

4    Code Rood

Deel II Wat zijn de gevolgen?

5    Bom op een simkaart

6    Een veelkoppige slang

Deel III Waar gaat het naartoe?

7    Te dichtbij

8    Complot in Amsterdam

9    Betrapt op het Rode Plein

10    Porno en Rolls-Royce

11    Vissen met dynamiet

Deel IV Wie gaat ons beschermen?

12    Vechten zonder regels

Epiloog

Verantwoording

Dankwoord

Literatuurlijst

Register

Proloog

Premier Mark Rutte zit tegenover zijn drie veiligheidschefs. Het is een vrijdagochtend in het voorjaar van 2015. Eens per maand delen die chefs hun laatste inzichten met hem. Rutte ontvangt ze samen met zijn belangrijkste ministers in de Blauwe Zaal aan het Binnenhof. Aan de wand hangen de portretten van alle na-oorlogse premiers. De bijeenkomst is staatsgeheim: de notulen zijn niet openbaar, betrokkenen mogen er buiten de zaal niet over spreken.

‘Dit maakt ons nerveus,’ hoort Rutte een van de chefs zeggen. ‘Waar we bang voor waren, wordt nu werkelijkheid.’ De militaire veiligheidsdienst heeft ontdekt dat Russische hackers een computerserver in Meppel gebruiken voor aanvallen. Ze dringen via de computerserver elektriciteitscentrales binnen van landen waarmee de Russen in conflict zijn en laten daar virussen achter. Ze vallen in Oost-Europa de netwerken van tv-redacties aan en verwijderen video’s en documenten. Ze zoeken naar de besturing van West-Europese bruggen en sluizen om te weten hoe ze die bij een conflict kunnen uitschakelen.

De veiligheidschefs schetsen Rutte de noodscenario’s. Veel keuze laten de deskundigen de premier niet. ‘We móéten iets doen,’ zegt een van hen. De sabotagepogingen van Rusland zijn een rode lijn. ‘Onze waarschuwingen zijn niet langer theoretisch. We zien de eerste gevolgen nu in de praktijk.’ De bazen van de veiligheidsdiensten stellen een investering voor van 340 miljoen euro. Het ‘absolute minimum’ om niet verder achterop te raken in de digitale strijd tussen landen.

Die investering is noodzakelijk om kwetsbare systemen zoals elektriciteitscentrales en sluizen goed te kunnen beveiligen, om het Nederlandse internetverkeer te scannen en digitale specialisten op te leiden. ‘Iedereen was het erover eens dat er iets moest gebeuren,’ benadrukt een van de aanwezigen later.

Maar als het over geld gaat twijfelt Rutte. Er zijn praktische bezwaren: Algemene Zaken heeft nauwelijks budget, Defensie moet al veel bezuinigen en Buitenlandse Zaken wil liever investeren in educatie in het buitenland. Rutte laat de waarschuwing passeren.

Waarom doet de premier niets? Gelooft hij de bazen van zijn veiligheidsdiensten niet? Of kan hij niet aan zijn kiezers uitleggen waarom hij extra geld uitgeeft aan digitale veiligheid?

*

Stel, je woont in een prettig huis in een aangename stad. Niet ver van je werk, de kinderen kunnen dichtbij naar een goede school en er woont familie in de buurt. Op een dag komt er een man aan de deur. ‘Ik moet u waarschuwen. We hebben metingen gedaan en de grond in de wijk is ernstig aan het verzakken. We weten niet precies waardoor het komt.’

Je kijkt de man verbaasd aan. Je hebt nog nooit van verzakkingen gehoord. Waar heeft hij het over? Je belt met familieleden die verderop wonen. Zij hebben dezelfde man aan de deur gehad. Ook bij hen is er geen scheur te zien. In de weken daarop denk je er nauwelijks meer aan. Tot de man weer aanbelt, ditmaal met een collega. ‘We hebben nieuwe resultaten en het gaat sneller dan we dachten. Door de verzakkingen ontstaan gevaarlijke situaties voor bewoners. Om de druk op het gebied te verminderen, vragen we mensen ergens anders te gaan wonen.’

Je bent niet iemand die snel in paniek raakt. Maar nu word je toch onrustig. In de wijk verschijnen informatieborden. ERNSTIGE VERZAKKING staat er in grote letters op. Zelf merk je nog steeds weinig, net zomin als je familieleden. Waarom zie je de verzakkingen niet? In de media duiden experts de metingen, veel wijzer word je daar niet van. Allemaal speculatie. Sommigen zeggen dat het meevalt. Volgens anderen zou het maximaal een jaar duren voordat er huizen in gaan storten. ‘Verzakkingen bedreigen hele woonwijken,’ kopt een bekend dagblad. Moet je alles opgeven vanwege een onzichtbaar gevaar? De kinderen van school halen, je prettige huis uit, weg van de familie?

*

Diezelfde twijfel is ook zichtbaar bij waarschuwingen over digitalisering. We bellen, delen en liken de hele dag door. We ervaren de voordelen van de digitale tijd: de smartwatch controleert de hartslag, de slimme meter houdt het energieverbruik bij en de smartphone leidt ons soepel door het verkeer.

De waarschuwingen horen we ook: pas op, diezelfde apparaten leggen onze gedragspatronen minutieus vast. Let op, er ontstaan nieuwe gevaren. Staten gebruiken internet steeds meer om te controleren en te beïnvloeden. Spionage is makkelijker dan ooit. Dat heeft gevolgen: anonimiteit en privacy raken in de verdrukking, nepnieuws voedt het wantrouwen, aanvallen via internet ontwrichten de samenleving.

Maar we blijven bellen en appen, kopen een Apple Watch en delen ondanks de alarmerende signalen babyfoto’s op Facebook. Komt dat omdat we de gevaren niet zien of omdat we ze niet begrijpen?

Zelfs de Nederlandse premier laat een duidelijke waarschuwing van zijn veiligheidsbazen aan zich voorbijgaan. Dat intrigeerde me: hoe kan het dat we onverschillig blijven terwijl de gevolgen zo ernstig en ontwrichtend kunnen zijn? Hoe kan het dat we apathisch doorgaan als vrijheden op het spel staan? Wat moet er gebeuren voor wij, politici en burgers, de dreiging wél zien? En als we die zien, stoppen we dan met Facebook, doen we de smartphone weg en gaan we dan ons gedrag aanpassen?

Er was maar één manier om antwoorden te krijgen: uitzoeken hoe groot de gevaren zijn en wat ons nog te wachten staat. De onzichtbare dreiging zichtbaar maken. Afdalen naar de plekken waar de risico’s van de moderne tijd te zien zijn.

DEEL I

Wat is er aan de hand?

1

Een ongenode gast

Er zit een indringer in mijn huis. Hij zit in de hoek van de kamer naast het witte tv-meubel. Een ongenode gast die mijn etagewoning in Amsterdam-West is binnengekomen. Hij houdt me in de gaten.

Waarschijnlijk was het de bedoeling dat hij niet op zou vallen, maar hij is onvoorzichtig geweest en heeft zichzelf verraden. En hoewel ik hem niet recht in de ogen kan kijken, voelt het intimiderend. Hij kan mij wel zien, ik hem niet. Wat zou hij allemaal weten? Hoelang zit hij er al? En wie kijken er allemaal mee?

Zo loop ik in de ochtend van zaterdag 2 november 2013 ijsberend door mijn huis, een blik richting de hoek van de kamer.

Een half jaar daarvoor heeft mijn leven een nieuwe wending genomen. Ik ben onderzoeksjournalist bij NRC Handelsblad en schrijf over binnenlandse onderwerpen, zoals de hogesnelheidslijn en het beleid van minister Uri Rosenthal. Mijn chef Jan Meeus moedigt me aan na te denken over grotere maatschappelijke thema’s. ‘Privacy en geheime diensten,’ zeg ik tegen hem, ‘daar zou ik onderzoek naar willen doen.’ Het lijkt me dat de privacy op allerlei manieren onder druk staat: de smartphone neemt al steeds meer van het leven over, e-mail heeft bellen vervangen en gratis chatten via WhatsApp is de nieuwe volksverslaving. Met de smartphone is de buitenwereld onze huiskamers binnengedrongen. Wat betekent dat voor onze veiligheid?

Dan verschijnt Edward Snowden. De 29-jarige Amerikaan neemt tienduizenden top secret-documenten van de Amerikaanse geheime dienst NSA mee en geeft die aan journalisten. De geheimen van de machtigste dienst ter wereld liggen op straat. Een enorm schandaal met wereldwijde media-aandacht. Door zijn onthullingen is in één klap zichtbaar dat de digitale tijd nieuwe vormen van spionage met zich meebrengt.

Ineens weet de wereld dat de Amerikaanse afluisterdienst NSA bij Google en Facebook data op kan vragen. Dat het jaarlijks om 230 miljoen internetgegevens gaat: van soms één mail tot chatgeschiedenissen van honderden personen. Dat de NSA elke dag een kopie krijgt van álle telefoongegevens van 120 miljoen Amerikanen. Jan Meeus zegt dat ik voor Europa en Nederland uit moet zoeken hoe het zit. ‘Dit is je kans,’ zegt hij.

Ik wil Snowden ontmoeten maar heb geen idee hoe ik in zijn buurt moet komen. Kan ik direct contact met hem opnemen? Of zou ik de journalisten kunnen bellen die hij de geheime documenten heeft gegeven? Als iemand me toen had gezegd dat Edward Snowden anderhalf jaar later vermomd tegenover mij zou staan, had ik hem voor gek verklaard.

Deze wereld is compleet nieuw voor me. Ik maak zoals iedereen gretig gebruik van de nieuwe technologieën, doe aan sociale media en heb een iPhone. Ik verbaas me over de snelheid waarmee berichten verstuurd worden, maar zou niet kunnen uitleggen hoe het werkt. Het heeft iets ongrijpbaars en angstigs: wie kijkt er mee met mijn vakantiefoto’s en wie luistert er mee als ik mijn vriendin bel?

Als alfa weet ik niet waar te beginnen. Een collega tipt me Erik Bais, die een eigen internetbedrijf heeft. In de zomer van 2013 ga ik daarom naar de Gorslaan in Purmerend en kom terecht in een soort accountantskantoor: systeemplafond, glazen hokken en ruime bureaus met grote computerschermen. Er werken alleen maar mannen. We drinken filterkoffie uit grote mokken. Bais, met gekreukt overhemd, staat voor een whiteboard en tekent er met stift lijntjes en pijlen op. Hij begint meteen over ‘protocollen’, ‘hashes’, ‘switchen’ en ‘redundantie’. Op mijn verzoek doet hij een paar stappen terug.

‘Neem als uitgangspunt het verkeersnetwerk zoals we dat kennen,’ legt Bais uit, ‘de wegen, de afritten, de knooppunten. Dankzij dit netwerk kunnen auto’s van stad naar stad rijden; kunnen mensen zich verplaatsen. Zo is het eigenlijk ook met het internet.’ Achter onze computerschermen en smartphones bevindt zich een verkeersnetwerk. En hoewel we dat nauwelijks waarnemen, bestaat ook dit netwerk uit fysieke elementen. Uit draden, gebouwen, telefoonmasten, kasten.

Via dat verkeersnetwerk begint een e-mail of een appje aan een reis langs zeven plekken: het modem van je internetprovider, de wijkcentrale van de internetprovider, het datacenter van de internetprovider, het internetknooppunt en het datacenter van de ontvangende internetprovider. En vervolgens weer de wijkcentrale en het modem van de ontvanger. Dat is het. Easy as that.

Ik zie de reis voor me: typ je een e-mail en druk je op ‘verzenden’, dan wordt het bericht opgedeeld in datapakketjes, met elk een eigen etiket: wat zit erin, waar komt het vandaan en waar moet het naartoe. Die pakketjes kiezen de kortste weg naar het modem van je internetprovider — bijvoorbeeld Ziggo. Daarna zoeven de pakketjes via kabels naar een wijkcentrale van de internetprovider en vandaar naar het datacenter van diezelfde provider. Het vervoer gaat bijna altijd via glasvezel, wat betekent dat de pakketjes worden omgezet in lichtsignalen. De datacentra zijn gebouwen met gangen vol stellingkasten waarop computers draaien.

De computers sturen de pakketjes weer verder. Ze gaan naar een groot internetknooppunt op zoek naar de ontvangende partij; dat kan heel goed een andere internetprovider zijn. Die internetknooppunten zijn cruciaal: daar maken internetpartijen koppelingen met elkaar.

In Amsterdam ligt een van de grootste internetknooppunten ter wereld — de Amsterdamse Internet Exchange, ofwel AMS-IX. Hoewel het in feite één knooppunt is, bestaat het uit verschillende enorme datacentra. Aan de ringweg A10 Oost zijn bijvoorbeeld twee immense raamloze flats verrezen vol stellingkasten met draaiende computers waar miljoenen datapakketjes per seconde doorheen worden gejaagd.

Een internetknooppunt is niets anders dan een gigantisch Prins Clausplein met twintigbaanswegen. Veel koppelingen en veel capaciteit. Want grote vervoerders, zoals Netflix, Google en YouTube, willen graag brede wegen oftewel snelle verbindingen. Dat zo’n reusachtig knooppunt in Amsterdam ligt is een economische troef van Nederland. Maar het trekt ook pottenkijkers aan: het is een honingpot voor criminelen en opsporingsdiensten. Er gaat een schat aan informatie doorheen.

De datapakketjes gaan na het knooppunt naar het datacenter van de internetprovider van de ontvangende partij. Dat kan elders in Nederland zijn maar net zo makkelijk in Taiwan of in de Verenigde Staten: dan steken de pakketjes even vlug de oceaan over. Dat gaat via grote zwarte kabels die uit vele lagen bestaan en op de zeebodem liggen. In Nederland komen verschillende grote kabels aan land in onder meer Beverwijk, Katwijk en in het noorden bij de Groningse Eemshaven. De ligging van die kabel verklaart bijvoorbeeld waarom het Amerikaanse Google in Groningen is neergestreken: het wil dicht bij de trans-Atlantische snelweg liggen. Bij de punten waar de grote kabels aan wal komen zijn bunkerachtige landingsstations verrezen met hekken en camerabewaking.

In 2010 plaatsten de Verenigde Staten Beverwijk en Katwijk op een lijst van ‘kritieke plekken’ die de veiligheid van de Verenigde Staten in gevaar brengen als er iets misgaat. Bij New York staat het grootste landingsstation ter wereld. Toen orkaan Sandy in 2012 de staat New York bedreigde, kreeg de veiligheid ervan de hoogste prioriteit: het zou als eerste hulp krijgen en mocht in geen geval uitvallen.

Zo reizen al die pakketjes razendsnel door het netwerk van draden en gebouwen. Bais grijnst en zet zijn koffiemok neer. ‘Begrijp je het nu?’ Ik knik voorzichtig en weet nu globaal hoe het internet werkt.

*

De uitleg van Bais werpt meteen nieuwe vragen op: wie zijn er machtig online, wie vallen data aan of beschermen die juist? Wat doen geheime diensten met die nieuwe technieken? Dat is de volgende stap. Maar geheimen openbaren zich niet zomaar. Edward Snowden opbellen gaat niet: hij zit ondergedoken in Moskou. Ik moet op zoek naar de mensen met verstand van deze wereld.

Bellen, bellen, heb ik als journalist geleerd. Als je even vastloopt, probeer je te bedenken wie je verder kan helpen. Ik nodig mezelf uit bij internetproviders en telecomdeskundigen, bij oud-inlichtingenmedewerkers en beveiligingsexperts. Ze zijn zonder uitzondering bijzonder vriendelijk. Het zijn vaak mannen, tussen de dertig en vijftig, die geen pak dragen maar een T-shirt, spijkerbroek en sneakers. Velen werken in gebouwen op bedrijventerreinen. Het is een wereld van bedrijfskantines en recepties met toegangspoortjes.

Personen die bij de overheid of een geheime dienst hebben gewerkt spreken liever af op neutraal terrein. Vaak dragen ze nog een colbert om te benadrukken welke status ze eens hadden.

Weken gaan zo voorbij. De ene na de andere afspraak. Iedereen is bereid me iets te vertellen over het internet. Over de gevaren, valkuilen, zelfs over spionage en de bedreigingen voor de privacy. En telkens hoor ik hetzelfde: er is een gigantische handel in data, de Amerikanen zijn online oppermachtig en kunnen veel afluisteren, Nederlanders zijn specialistisch maar mogen wettelijk gezien niet zomaar glasvezelkabels aftappen. De Britten zijn eveneens zeer kundig en kunnen goed hacken. Daarnaast zijn er talloze vage tussenbedrijven, zoals hostingproviders, simkaartfabrikanten, servicebureaus en transitproviders, die interessant zijn. De ontwikkelingen gaan zo snel dat het nauwelijks bij te benen is.

Na deze algemene introductie houden de gesprekken vaak op. Er is van alles gaande. Het is duidelijk dat we in een opwindende tijd leven, dat iedereen op zoek is naar data en nog meer data, maar hoe dat precies in zijn werk gaat, blijft een raadsel. De gesprekspartners willen praten over de techniek, de infrastructuur en de theorie, maar over de praktijk wordt gezwegen. Erik Bais uit Purmerend krijgt weleens een tapbevel van een inlichtingendienst, vertelt hij na enig aandringen. Dan moet hij op last van de AIVD iemands internetverbinding tappen. Hoe gaat dat eigenlijk? Zuigt hij dan alle datapakketjes op? En hoe ziet zo’n bevel er eigenlijk uit? ‘Kan ik dat zien?’ vraag ik hem. Een antwoord blijft uit.

Zo gaat het overal. Heeft een internetprovider weleens gezien dat er Amerikanen, Russen of andere partijen bij hem binnen zitten? Weten onderzoekers hoe en waar Facebook zijn data bewaart en wie daar allemaal bij kan? Kan een geheime dienst iemands zoekgeschiedenis in Google Maps achterhalen?

Hoe specifieker de vragen, des te stiller en ongemakkelijker mijn gesprekken verlopen. Het zijn de momenten waarop mensen vragen hoe ik ben gekomen, of ik m’n telefoon nog aan heb staan, of ik de volgende keer alsjeblieft niet via de mail een vraag wil stellen. Een specialist van industriële spionage wil geen voorbeeld geven van zijn werk. ‘Dat kan ik echt niet maken. Als dat bekend wordt, ben ik mijn baan kwijt,’ zegt hij nerveus en kijkt me zijn kamer uit. De oud-inlichtingenmedewerker wil het alleen hebben over juridische mogelijkheden. Wat de diensten echt doen, is geheim. Daar kan hij moeilijk iets over zeggen. In meerdere gevallen reageren mensen niet op vervolgvragen of verzoeken om nog een keer af te spreken.

Antwoorden vind ik ook niet in de journalistiek. Er zijn wel verhalen over incidenten maar de context ontbreekt. Nergens lees ik iets over hoe de technologie van invloed is op onze veiligheid.

Niet eerder ben ik als journalist op zulke muren gestuit. Ik vraag een vriend — een goedgetrainde jurist die bekend is in de hackerscene — om raad. Hij oppert naar OHM2013 te gaan. Het zegt me niets. ‘Observe. Hack. Make,’ zegt hij, ‘een festival met duizenden bezoekers, onder wie voormalige spionnen, hackers en klokkenluiders.’ Het blijkt de eerste keer na de onthullingen van Edward Snowden te zijn dat zo’n groep mensen in Europa bij elkaar komt. En het festival is, toevallig, in Noord-Holland. In recreatiegebied Geestmerambacht bij Alkmaar.

Het terrein is chaotisch: her en der mensen, strobalen, spandoeken. En lukraak plukjes tenten. Golfkarretjes rijden op en neer. Op het terrein zijn verschillende eilanden: Rainbow Eiland bijvoorbeeld, of Noisy Square — het domein van echte hackers. Mannen en vrouwen met zwarte T-shirts en een MacBook vol stickers. Ik zie een ‘boodschappendrone’ vliegen — een quadcopter met vier propellers die een pizza af kan leveren.

Ik luister naar toespraken en kijk naar een videogesprek met Julian Assange van WikiLeaks. Hij heeft het over een surveillancesysteem dat sterk aan het oprukken is: grote bedrijven en overheden proberen het internet te controleren. Assange noemt dit systeem ‘de vijand’. En hij spreekt in termen van ‘wij’ en ‘zij’. ‘Alle internetgebruikers zullen uiteindelijk in dit systeem komen,’ voorspelt hij.

Internet, is de gedeelde conclusie op het festival, is geen vrijplaats meer. Ooit was het een uitwisselingsplek waar staten geen autoriteit hadden. Maar het grootkapitaal en de overheden hebben hun plek opgeëist. Het gaat niet langer alleen om verbinden, netwerken en communicatie. Hoe meer het internet het leven van mensen binnendringt via smart-tv, smartphone, slimme energiemeters en DigiD, des te meer gaat het over veiligheid.

Het verkeersnetwerk is snel aan het veranderen. Google en Amazon zijn de bewegwijzering gaan verzorgen, zijn de vervoersmiddelen voor de datapakketjes gaan maken en bij elke afslag kun je wel een winkelcentrum van een van beide vinden. Daarbij slinkt het aantal internetproviders per jaar. In de jaren negentig waren er tientallen, nu alleen nog een paar grote. De macht verschuift van de vragers, de gebruikers, naar de aanbieders, zoals Google. Die voeden zich met de data van miljarden mensen en sturen en bepalen het internetverkeer.

Allerlei diensten zijn digitale camera’s gaan ophangen: in de Verenigde Staten bij de landingsstations, in Nederland bij de internetproviders, bij Apple, Google en Facebook of soms heimelijk ergens tussenin. Geen datapakketje steekt nog ongezien de oceaan over.

Op het festival in Geestmerambacht heerst een vreemde mengeling van optimisme en verslagenheid. Haast kinderlijke blijdschap over oude computerspelletjes in 3D of een jarentachtig-speelautomaat. Tegelijk is er neerslachtigheid over de macht van grote bedrijven en instituten als de NSA. Oud-NSA-directeur Thomas Drake laakt in een presentatie het gedrag van geheime diensten. ‘De surveillancestaat ontneemt burgers hun soevereiniteit.’

Tijdens het festival speelt een tweetal conflicten. Ze zeggen iets over de machtsstrijd die gaande is. Het festival heeft een sponsor, het Nederlandse beveiligingsbedrijf FOX-IT van de excentrieke cryptograaf en ondernemer Ronald Prins. FOX-IT houdt in opdracht van bedrijven wereldwijd systemen en netwerken in de gaten. Het groeit hard. Banken uit verschillende landen zijn klant. Gasten van FOX-IT krijgen op het festivalterrein een vipbehandeling: ze worden in golfkarretjes over het terrein gereden.

Maar FOX-IT heeft een bedenkelijke reputatie onder hackers. Het symboliseert de machtige surveillance-industrie: het maakt internet volgens hackers onvrij. Het internet is een Amerikaanse militaire uitvinding en vanwege de veiligheid delen e-mails en berichten zich op in kleinere pakketjes; als iemand vervolgens internetverkeer onderschept, is het onleesbaar. Maar bedrijven als FOX-IT hebben slimme software gemaakt die herkent welke pakketjes bij elkaar horen. En dat is weer ideaal voor overheden die internet aftappen en die de opgezogen datapakketjes willen bekijken.

FOX-IT verkoopt die software aan westerse landen, maar geeft ook trainingen digitale opsporing in bijvoorbeeld Egypte. En daarom zorgt de sponsoring van FOX-IT al voor het begin van OHM2013 voor hevige discussies. Met name Duitse hackers van de Chaos Computer Club wensen absoluut niet geassocieerd te worden met het bedrijf. Zij willen FOX-IT, dat enkele tienduizenden euro’s bijdraagt aan het festival, uitkopen. Maar de stichting die het festival organiseert, piekert er niet over. Pikant detail: in het bestuur zitten twee leden — onder wie de voorzitter — die bij FOX-IT werken.

Dus gaat de sponsoring gewoon door. Daarop boycotten de Duitse hackers het festival. Maar dat is niet alles: op de tent van FOX-IT wordt tijdens het festival met rode graffiti NSA gespoten. Er wordt schamper gedaan over de golfkarretjes van FOX-IT. Hackers roepen beledigingen en fluiten naar medewerkers van het bedrijf. De spanning op het terrein is voelbaar. En dan gebeurt er nog iets wat ik niet voor mogelijk had gehouden: de geheime dienst blijkt zelf ook aanwezig.

Ik ontmoet Jurre van Bergen. Deze twintiger heeft geholpen bij het opzetten van het festival. Hij slaapt in een tent bij Noisy Square, het rumoerige en activistische kamp aan de buitenrand. Van Bergen is een slimme techneut die software maakt voor idealistische organisaties, zodat mensen in landen als Iran anoniem en veilig online kunnen communiceren. Hij schrijft mee aan Tails, het besturingsprogramma dat anonimiteit en privacy garandeert. Met een veilige internetbrowser zorgt het ervoor dat iemands ip-adres niet herkenbaar is. De datapakketjes gaan zogezegd met onbekende kentekenplaten de digitale weg op.

Op de eerste dag merkt hij iets vreemds: z’n telefoon, een Samsung Nexus, verliest in een paar uur 50 procent van het batterijvermogen. Omdat hij druk is met opbouwen, vergeet hij het. Op de tweede dag raakt hij zijn telefoon kwijt. Pas weken later krijgt hij hem terug via de Lost & Found-service.

De dinsdag na het festival werkt Van Bergen in de bibliotheek in Haarlem als zijn vader belt. ‘Niet schrikken, er is iemand van de AIVD naar je op zoek.’ Zijn vader legt hem uit wat er aan de hand is. Er staat een man van middelbare leeftijd op de stoep die zich heeft voorgesteld als Hans Turksema van het ministerie van Binnenlandse Zaken. De vader heeft bij ‘Binnenlandse Zaken’ argwaan gekregen en gezegd: ‘Je bent zeker van de AIVD?’

De man wil Jurre spreken om ‘het imago van de dienst onder hackers te verbeteren’. Hij laat een telefoonnummer achter. Als Van Bergen thuiskomt en het telefoonnummer — 0681704511 — leest, ziet hij dat hetzelfde nummer hem tijdens OHM heeft gebeld. Hij voelt zich er niet prettig bij. Hij heeft contact met mensen die hij wil beschermen. Dissidenten, activisten.

Het voorval staat niet op zichzelf, vertelt Van Bergen. ‘Op het festival was het een publiek geheim dat meerdere mensen benaderd werden.’ De geheime dienst heeft OHM uitgekozen voor een charmeoffensief. Doel: hackers als informant rekruteren en zo hun kennis binnenhalen. De AIVD moet moderniseren. Niet langer gaat het over richtmicrofoons of kabels openbreken, maar over smartphones en wifirouters. De nieuwe tijd vraagt om nieuwe inzichten. En Van Bergen en zijn vrienden zijn de toegangspoort.

Langzaamaan zie ik de contouren van een strijd: enerzijds willen veiligheidsdiensten gebruikmaken van de kennis van hackers, anderzijds zien die hackers dat hun vrijheid wordt bedreigd door machtige bedrijven en spionerende overheden. Wil ik weten wat deze strijd betekent, dan moet ik nog dichter bij het vuur zien te komen.

*

Op zondag 15 september 2013 rijd ik met NRC-collega Steven Derix naar Duitsland. We hebben contact gelegd met het Duitse weekblad Der Spiegel omdat zij de geheime stukken van Edward Snowden hebben. In mijn eentje lukt het niet om de inlichtingenwereld binnen te komen. Daarom heeft Steven zich aangesloten. Hij is vaak in Afghanistan geweest en heeft jarenlang over het leger geschreven. Hij heeft goede bronnen bij het ministerie van Defensie.

Dat het ingewikkeld is, komt mede door de Nederlandse cultuur. De veiligheidsdiensten zijn een stuk geslotener dan de Amerikaanse diensten CIA en FBI. Die zijn vele malen groter en werken bovendien meer met contractors: mensen die er gedetacheerd zijn. Ze zijn ook onderdeel van een politieke strijd en de cultuur is er opener — wat lekken in de hand werkt. CIA-stukken komen in principe na dertig jaar vrij, in Nederland zijn documenten van net na de oorlog niet op te vragen bij de AIVD en MIVD. Amerikaanse inlichtingenofficieren publiceren met regelmaat hun memoires. Kom er maar eens om in Nederland. En CIA’ers en oud-CIA’ers spreken nog weleens met media. Of lekken documenten. In Nederland lijkt dat ondenkbaar.

Steven en ik hebben allerlei vragen. Hacken de AIVD en MIVD ook telefoons? Wat gebeurt er écht met onze data die soms bij internetproviders zijn opgeslagen? Hoe veilig is een thuisverbinding eigenlijk? Wat doet Facebook met al die persoonsgegevens? Ook samen stuiten we op muren. Alsof er een code is onder betrokkenen: daar spreek je niet over. Het bestaat niet. ‘Sorry, daar kan ik echt niet over praten.’ Terwijl de gelekte geheime documenten van Edward Snowden toch aantonen dat er van alles aan de hand is.

Misschien, zeggen we tegen elkaar, ligt het aan de manier van communiceren. Ik ben niet bekend met extra beveiligde mail of versleutelingstechnieken. Ik bel mensen op. Of stuur een mail met een verzoek om eens koffie te kunnen drinken. Zou dat bronnen afschrikken? Vreemd is dat idee niet. Hoe meer ik lees en hoor over deze nieuwe wereld, hoe meer ik zelf ook de risico’s begin te zien.

Elk contact blijkt een digitaal spoor achter te laten. Bellen: de telecomprovider slaat de metadata van het gesprek op. Dus: welk ander nummer bel je, hoelang, vanaf welke locatie. Politie en ook inlichtingendiensten kunnen die gegevens opvragen. Mailen: de datapakketjes gaan langs datacentra en internetknooppunten, ook Amerikaanse. Daar kunnen allerlei partijen bij. Ook slaan e-maildiensten informatie op. Als die Amerikaans zijn — zoals Google — vallen ze onder Amerikaanse wetgeving.

En dus gaan Steven en ik experimenteren met andere technieken. We kopen prepaidtelefoons met verschillende simkaarten. De gedachte is: als iemand ons op de korrel wil nemen, dan beginnen ze waarschijnlijk bij onze telefoons. Die prepaidtelefoons zorgen voor een nieuw probleem: hoe laten we elkaar weten wanneer we die gebruiken? Want als we eerst met onze eigen telefoon naar een prepaidtelefoon bellen, ziet een overheid of dienst ook dat er een contact is met een onbekend prepaidnummer.

Er zijn meer praktische problemen. Hou je die prepaidtelefoon namelijk de hele tijd in de buurt van de andere telefoon, dan maken ze allebei gebruik van dezelfde telefoonmast. Zo zou iemand die oplet een patroon kunnen zien: de nummers leggen dezelfde route af. Dus om echt veilig te zijn: eigen telefoon eerst uitzetten, dan een paar honderd meter verder lopen en dan pas bellen met de prepaidtelefoon waar onder pseudoniem de naam van Steven in staat.

Ook mailen doen we voortaan anders. Niet langer via gewone mail, dat is blijkbaar te onbetrouwbaar. Zoals we onze computers ook niet langer vertrouwen. We kopen een paar oude en volledig opgeschoonde exemplaren en zorgen dat die alleen in noodsituaties aan het internet zijn gekoppeld. Mailen doen we ofwel versleuteld of niet meer. We ‘chatten’ vooral via beveiligde kanalen: door eerst een usb-stick in een computer te stoppen en een apart besturingsprogramma te openen. Daarin opent weer een browser die het mogelijk maakt om het unieke ip-adres af te schermen. Verder gebruiken we een chatprogramma om berichten volledig te versleutelen.

Dit moet ons helpen dichter bij de juiste personen te komen.

*

We rijden over de Duitse A1 naar Hamburg, waar Der Spiegel is gehuisvest in een reusachtig glimmend pand aan een zijtak van de Norderelbe. Het weekblad werkt samen met de Amerikaanse documentairemaakster Laura Poitras. Edward Snowden heeft de duizenden geheime stukken van de NSA in Hongkong aan haar en de Amerikaanse journalist Glenn Greenwald gegeven. Poitras deelde ze vervolgens met Der Spiegel. Misschien willen die journalisten met ons over Nederland schrijven. Zo hebben we onszelf uitgenodigd.

Maar het contact loopt op niets uit. De verslaggever die we ontmoeten is geërgerd omdat ik hem een paar dagen eerder op Twitter ben gaan volgen. Daarmee is ons contact op voorhand al besmet geraakt, vindt hij: iedereen kan nu weten dat we elkaar misschien zullen ontmoeten. Daar moet ik in het vervolg beter over nadenken, geeft hij nog mee. Het lijkt me een paranoïde gedachte.

Teleurgesteld rijden we weer terug naar Nederland. Maar op de terugweg hebben we geluk. Een bron belt met een tip. Het is iemand die we in de weken daarvoor hebben leren kennen. Hij zegt dat er iets gaat gebeuren bij de Belgische telecomprovider Belgacom. We moeten het zelf maar verder uitzoeken.

Het is de eerste keer dat iemand mij over dit onderwerp benadert. We hebben kennelijk een voet tussen de deur. En we hebben nog een keer geluk. De correspondent van NRC in Brazilië, Floor Boon, heeft een interview gehad met Glenn Greenwald — de journalist die toegang heeft tot alle Snowden-documenten. Na het interview heeft ze gevraagd of hij met NRC wil samenwerken. Dat wil hij.

Het contact met Glenn Greenwald verloopt echter moeizaam. We krijgen hem nauwelijks te pakken. Z’n telefoon is telkens in gesprek, op mails antwoordt hij niet. We raken gefrustreerd. We sturen onophoudelijk versleutelde e-mails, en bellen en sms’en.

Na twee maanden van vergeefse pogingen neem ik de gok en vlieg naar Rio de Janeiro. Van oud-spionnen heb ik geleerd dat fysiek contact het best werkt. Iemand met wie je gaat samenwerken, wil je eerst in de ogen kijken. Die strategie werkt: doordat Floor kan zeggen dat ik speciaal voor Greenwald naar Rio ben gevlogen, wil hij tijd voor me vrijmaken.

We ontmoeten hem in de lobby van een chic hotel in Leblon, het Beverly Hills van Rio. Om ons heen brede types die opzichtig met hun telefoon spelen en onze kant op kijken. Het maakt me nerveus. De beweeglijke Greenwald stoort zich er totaal niet aan. Op luide toon verwelkomt hij Floor en mij. Ik vertel over NRC en wat ik nu weet over de Nederlandse geheime diensten. Greenwald vertelt hoe hij de samenwerking voor zich ziet. Hij wil bijvoorbeeld als auteur bij artikelen worden vermeld, omdat hem dat medeauteur maakt. Journalisten hebben juridische bescherming die nodig is bij het publiceren over staatsgeheimen. En als hij meeschrijft en auteur is, wil hij ook graag een freelancevergoeding. Dat is het. Opgelucht zeggen Floor en ik gedag.

*

Meteen bij terugkomst in Nederland is er iets veranderd. In een café aan het Europaplein in Amsterdam spreken Steven en ik een oud-medewerker van een Nederlandse geheime dienst. Hij is een bron die veel weet maar is net als de meeste van zijn collega’s niet scheutig met informatie. We weten niet of we hem helemaal kunnen vertrouwen: is hij gestuurd door de dienst om te achterhalen hoeveel wíj weten? Voorzichtig hebben we gepolst of hij, als het ons lukt de NSA-documenten te krijgen, mee wil kijken om informatie te verifiëren.

Daarop reageert hij kwaad. Hatelijk bijna. ‘Jullie zijn onbetrouwbaar. Ik verdoe m’n tijd hier.’ Hij had verwacht dat we de documenten aan hem zouden geven. Hij vraagt loyaliteit van ons en wenst niet langer ‘zo behandeld te worden’. De ontmoeting is zo kort dat we haastig onze spa rood en koffie moeten opdrinken. We zijn stomverbaasd.

Bij vertrek houdt hij nog even halt. ‘Waarom vliegen jullie via Portugal naar Brazilië?’ zegt hij terwijl hij ons aankijkt. We schrikken. Na mijn eerste afspraak met Greenwald gaan Steven en ik nu kijken hoe we de documenten kunnen uitwisselen. Niemand, zelfs familie en vrienden niet, weten wanneer en hoe we binnenkort naar Rio zullen vliegen. De tickets zijn niet via de krant geboekt en ook niet naar onze e-mailadressen gestuurd. Hoe kan het dat hij dat wel weet? Hij is al weg voor ik het hem kan vragen.

Het geeft ons een vervelend gevoel. Deze man lijkt vooral informatie van óns te willen. Namens wie vraagt hij dat? Zijn verzoek om loyaliteit is ook vreemd na slechts een paar contacten.

Op zaterdagochtend 2 november 2013 zit ik opnieuw met een vervelend gevoel. Nu in mijn eigen huis. Ik word bespied.

Het internet is de avond ervoor weggevallen. Steven en ik waren via een beveiligde verbinding aan het chatten. Met een speciale laptop, een oud Windows-model dat vrijwel geheel is opgeschoond. Zo’n apparaat waar je eigenlijk niets mee kunt behalve een vrij basaal tekstprogramma openen. Met een usb-stick startte ik het besturingsprogramma Tails en daarna een anonieme internetbrowser om een chatprogramma te openen waarin berichten vercijferd zijn. Onder een alias was ik voor Steven te vinden op een chatkanaal. Hij had op zijn beurt hetzelfde gedaan totdat de verbinding plots wegviel.

Ik zei Steven telefonisch dat ik niet langer kon praten. Maar het internet bleef weg. Ook de volgende dag — terwijl er geen storing bekend is. Het modem van de internetprovider werkt ook naar behoren. Alleen de witte router — die mijn wifisignaal de woonkamer in stuurt — heeft het volledig begeven. Resetten heeft geen zin, lukraak op knoppen drukken ook niet, er zit geen leven meer in. Zo dood als een pier.

Als ik Steven bel en over internet begin, onderbreekt hij mij meteen. ‘Vreemd, bij mij werkt ook niets meer. Mijn modem is stuk.’ Hij heeft geen aparte router, zijn modem — van Siemens — zendt het draadloze wifisignaal uit. Maar ook bij hem hetzelfde euvel: geen storing bekend, wel een apparaat dat zich gedraagt als een steen.

Twee apparaten op hetzelfde moment kapot. Eén in Amsterdam, één in Rotterdam, een week voordat we naar Rio vliegen. Iedereen die ik er later over spreek denkt hetzelfde: dat kan geen toeval zijn. De Belgische cryptograaf Bart Preneel: ‘Het is zeer wel mogelijk dat ze hebben geprobeerd malware op jullie wifirouter te installeren en dat men twee keer dezelfde fout heeft gemaakt waardoor er iets beschadigd is.’ ‘En wie zijn “ze”,’ vraag ik enigszins ongerust. Preneel: ‘Een professionele hacker, bijvoorbeeld van een inlichtingendienst.’

Beveiligingsexperts zeggen dat ik aan de NSA moet denken. Die dienst was immers honderdduizenden staatsgeheime documenten kwijt en wil een inschatting van de schade maken. Toen kon ik me nog niet voorstellen wat de gevolgen voor de NSA zouden zijn en wat het zou betekenen voor hun relatie met Europese geheime diensten. Het was geen vreemde gedachte dat zo’n machtige dienst als de NSA alle lijnen naar de journalist die de stukken mogelijk zou hebben in de gaten wilde houden. En zo ook op een etage in Amsterdam-West was beland.

Langzaam dringt het besef door dat dit een andere wereld is. Voordat ik een tweede keer naar Rio de Janeiro ga, ervaar ik welke ongekende mogelijkheden de diensten hebben om waar ook ter wereld te infiltreren, apparaten te hacken en geautomatiseerd te tappen. Geheime diensten zijn klaarblijkelijk dol op routers. Ze zitten op de perfecte plek in het netwerk: al het internetverkeer gaat erlangs. Maar dat is niet het enige. Hang een apparaat aan het internet en een degelijke geheime dienst kan er uiteindelijk altijd wel bij. Het maakt niet uit waar het ding staat: afstanden doen er niet meer toe.

Door de documenten van de NSA ben ik ineens interessant voor geheime diensten. Het hoofd van de AIVD komt naar NRC Handelsblad om te waarschuwen dat het bezitten van staatsgeheimen gevolgen kan hebben. De militaire inlichtingendienst wil een kort geding starten om een artikel tegen te houden. Niet langer ben ik een onwetende toeschouwer in deze wereld, ik ben een medespeler geworden.

In de Snowden-documenten zou staan wat niemand me wilde vertellen: door technologie is informatie nergens meer veilig. De Amerikaanse NSA dringt honderden buitenlandse computersystemen binnen en zal dit aantal opvoeren tot miljoenen. De Nederlandse AIVD is al rond 2000 begonnen met hacken. Nog voor de invoering van de euro kunnen hackers van de Nederlandse geheime dienst e-mails bekijken, ook in landen ver buiten Nederland. Er bestaan ook al virtuele identiteiten om te spioneren. Later dringt de AIVD ongezien webfora binnen waarop jihadistische teksten worden verspreid. De MIVD heeft toegang tot meer dan duizend buitenlandse computersystemen zonder dat iemand het doorheeft.

De nieuwe wereld, zo blijkt die zaterdag 2 november 2013, is digitaal. Het is een wereld waarin de mogelijkheden onbeperkt zijn en de regels onduidelijk. Wat dat betekent voor de veiligheid, zouden we ervaren na ons tweede bezoek aan Rio de Janeiro.

2

Totale black-out

Als Steven en ik op de kamer van hotel Benidorm Palace in Rio de eerste Snowden-documenten zien, giert de opwinding door onze lichamen. Nu gaan we lezen wat voor altijd verborgen had moeten blijven, denken we. We doen de hoteldeur op slot en zetten onze laptops klaar.

Maar in plaats van te tikken, staren we naar grafieken en beschrijvingen met woorden als ‘PSTN’, ‘MySQL’, ‘CNE’, ‘Sigad’, ‘Thuraya’ en ‘CERF Call’. Het frustrerende van een stap in een nieuwe wereld is dat je erachter komt hoe onwetend je bent. Hetzelfde gevoel als na een eerste werkdag bij een nieuwe werkgever: hoe je je er ook op hebt voorbereid en hoe zeker je je ook waant, na zo’n dag weet je vooral wat je nog niet weet. De routines, de namen van nieuwe collega’s, de verhoudingen, het jargon.

Na een tijdje begrijpen we dat we naar technische termen kijken die soms aan codenamen refereren of verwijzen naar een gebruikte techniek. Wat ze precies betekenen, is afhankelijk van de context.

Hoe lastig het is, blijkt als we een tekst lezen waarin Nederlandse specialisten van de AIVD en MIVD hun Amerikaanse collega’s een presentatie geven. De Amerikanen zijn duidelijk onder de indruk van de Nederlanders, zo valt te lezen. De Nederlandse presentatie is van ‘zeer hoog niveau’, schrijven ze. Maar wat kunnen de Nederlanders precies?

In het document staat dat ze ‘MySQL-databases’ binnenhalen via ‘CNE access’. Weer googelen. MySQL blijkt een toepassing te zijn om databases te bouwen en te beheren. Daarin worden alle berichten van een gebruiker opgeslagen, net als diens logintijden, ip-adres en wachtwoord. Met die gegevens kan de dienst op zoek gaan naar de werkelijke identiteiten van gebruikers. CNE is Computer Network Exploitation, jargon voor hacken. Eigenlijk staat er dus dat de AIVD toegang krijgt tot een webforum en vervolgens de hele database opzuigt en in die database gaat zoeken naar wie er allemaal op het forum actief is. Iets wat wettelijk gezien niet mag, denken we. Het is een van de vele losse draden die we moeten verifiëren.

En dat is nog niet alles. De AIVD gebruikt de database ook voor andere doeleinden. ‘Ze onderzoeken,’ schrijft de NSA, ‘of ze de data uit de webfora kunnen combineren met gegevens van andere sociale media, en proberen goede manieren te vinden om de data die ze al hebben te minen.’ Dataminen. Weer een nieuwe term. Het is het geautomatiseerd analyseren van data. Het herkennen van patronen van gebruikers. Zo wil de geheime dienst achterhalen wie er precies op fora actief zijn. En nog belangrijker: wie er achter de gebruikersnamen schuilgaan.

Een manier om daarachter te komen is door zoveel data samen te brengen dat er kruisverbanden ontstaan: het kan zijn dat iemand telkens op hetzelfde moment inlogt op Facebook als op een bepaald webforum. Op Facebook onder de echte naam, op het forum onder een alias. Hoe meer gegevens, des te duidelijker de correlatie.

Als we terug zijn in Nederland en het document publiceren in NRC, spitst de publieke discussie die ontstaat zich toe op één vraag: mag de AIVD dit doen? Privacy-experts en juristen menen van niet: de dienst haalt namelijk de gegevens van duizenden, ook onschuldige, gebruikers binnen. De AIVD vindt van wel. Een jaar later zal de toezichthouder van de Nederlandse geheime diensten na eigen onderzoek concluderen dat de AIVD in meerdere gevallen ‘onrechtmatig’ heeft gehandeld.

Het stuk op de voorpagina en de daaropvolgende discussie zijn exemplarisch voor de artikelen die ik die maanden schrijf. Ze gaan vooral over rechtmatigheid en de gevolgen voor burgers die niets verkeerds doen. Dus: mag het? En hoe groot is de privacyschending? Het zijn journalistiek relevante vragen. En toch hebben ze iets onbevredigends; omdat ze niet gaan over de dieperliggende oorzaken. Ze gaan over het afwijkende, niet over het gebruikelijke. Ze laten niet zien hoe de organisatie van het internet eruitziet, waarom dat aantrekkelijk is voor spionagediensten en waarom dat internetgebruikers kwetsbaar maakt.

Dat is deels de makke van de journalistiek. Journalisten schrijven graag over wat nieuw en anders is. Het is nieuw dat de AIVD webfora hackt. En als het ook nog eens niet mag, is het een schandaal. Dan vinden allerlei mensen en politici er iets van. Daarna komen er maatregelen — ook weer nieuws — en eventueel politieke gevolgen — wéér nieuws.

Het heeft ook te maken met maatschappelijke acceptatie. Door de documenten en gesprekken begin ik te zien dat het verkeersnetwerk op allerlei plekken kwetsbaar is. En dat alles wat eraan gehangen wordt — telefoons, laptops, beveiligingscamera’s — door anderen te traceren is.

Dat wereldwijde netwerk heeft een magnetische aantrekkingskracht: organisaties, bedrijven en overheden kleven er maar wat graag hun producten en diensten aan vast. En dat betekent weer meer zwakke plekken en extra belangen: die van de veiligheidsdiensten voorop.

Maar kan het iemand iets schelen hoe het werkelijk werkt? En wat de maatschappelijke gevolgen zijn? Denk aan het beroemde filmpje van cineast Frans Bromet uit 1998. Hij vraagt met zijn bekende, nasale stem aan Nederlanders of ze een mobiele telefoon willen, op dat moment een nieuw fenomeen. Niemand wil het. ‘Het lijkt me helemaal niet leuk om altijd bereikbaar te zijn,’ werpt een vrouw tegen. De mobiele telefoon kwam er en niet lang daarna de smartphone. Het werd een belachelijk succes. En zo gaat het met allerlei stappen in de digitale tijd: eerst schoorvoetend en al snel is de aarzeling weg — tot aan de inmiddels brede acceptatie van, bijvoorbeeld, digitale medische dossiers.

Terwijl ik thuis of in een speciale redactieruimte op de krant de documenten van de NSA lees en de technische termen probeer te begrijpen, is het alsof ik een pikdonkere ruimte betreed. En ergens in dat donker moet zich een kluwen aan techniek bevinden waar een onzichtbare strijd woedt.

Er komen gaandeweg steeds meer vragen op. Hoe hack je eigenlijk? Hoe kan de AIVD vanuit een pand in Zoetermeer een webforum dat ergens anders staat binnendringen? En ook: wat betekent dat voor de relatie burger-overheid, voor de democratie? Het onderwerp is onder mijn huid gekropen, merk ik als ik een rondje hardloop of ver na middernacht nog lig te piekeren.

In de gesprekken die ik in de maanden en jaren daarna voer, komt één verhaal telkens terug. Het speelde zich af in 2011 in Nederland.

*

Het verhaal begint bij Aart Jochem. De computerspecialist adviseert de overheid bij nationale crises. De 46-jarige IT’er is niet iemand die zich snel zorgen maakt. Hij leidt een team van IT-deskundigen bij een overheidsdienst met de onmogelijke naam GOVCERT, het Computer Emergency Responce Team.

In de jaren tachtig studeert Aart Jochem computertechniek aan de hts in Den Haag, daarna haalt hij zijn doctoraal elektrotechniek en computerarchitectuur aan de TU Delft. Het is de tijd van de eerste Mac en Ruud Lubbers is premier.

Als hij in 2007 bij GOVCERT komt, heeft de organisatie een gezapige uitstraling: het team stuurt beveiligingsadviezen naar ministeries. Aart Jochem is een degelijke en rustige specialist. Collega’s roemen zijn vriendelijkheid, zijn vernieuwingsdrang en uitmuntende kennis van informatiebeveiliging. Ze bespeuren bij hem het idealisme uit de jaren tachtig en negentig: dat technologie mensen vooral meer vrijheid moet brengen.

In de vier jaar, acht maanden en dertig dagen die hij bij GOVCERT werkt, heeft hij nooit het gevoel gehad dat de zaken hem ontglippen. Tot hij woensdagavond 31 augustus 2011 op de school van een van zijn kinderen in Alphen aan den Rijn is. Hij wilde naar de ouderavond. Maar nu hij hier zit, begrijpt hij niet waarom hij is gegaan. Hij staat stijf van de adrenaline en kan niemand vertellen wat er aan de hand is.

Twee dagen eerder. Aart Jochem zit aan een ovale vergadertafel bij GOVCERT als collega Hans Petri binnenkomt. Aart Jochem ziet meteen dat het mis is. Petri heeft waakdienst en beheert het alarmnummer. Bleek. Een trillende snor. Zo heeft hij zijn collega niet eerder gezien.

Petri vertelt over een melding van een Iraanse man op een Google-forum. De Iraniër schrijft dat hij Gmail wil openen, maar dat Google Chrome hem waarschuwt dat het onveilig is. De man weet niet precies wat er aan de hand is, maar vermoedt dat iemand zich voordoet als Gmail.