‘De oorlog in Oekraïne laat zien dat cyberspace een volwaardig oorlogsdomein is geworden’

Follow the money interviewde Brigadegeneraal Paul Ducheine, hier onder lees je het interview

De oorlog in Oekraïne bewijst dat oorlogsvoering verandert. De digitale ruimte wordt steeds belangrijker: als vehikel voor beïnvloedingsstrategieën en als strijdtoneel van cyberaanvallen. Die ontwikkeling vraagt volgens brigadegeneraal en hoogleraar cyber warfare Paul Ducheine om nieuwe manieren van aanvallen en verdedigen. ‘De oorlog in Oekraïne laat zien dat cyberspace een volwaardig oorlogsdomein is geworden.’

In 1983 stapte Paul Ducheine, toen 18, de Koninklijke Militaire Academie in Breda binnen. Hij wilde bij de genie van de Landmacht werken. Dat lukte, maar kort na de Koude Oorlog zocht hij een nieuwe uitdaging.

Hij vond die in het recht. Als militair jurist onderzocht Ducheine hoe het oorlogs- en internationaal recht zich verhouden tot een wereld waarin oorlog zich niet langer beperkt tot soldaten die bommen en granaten gooien. In 2008 promoveerde hij aan de Universiteit van Amsterdam op het juridisch kader voor militaire operaties tegen terrorisme, een onderzoek dat ingegeven werd door de aanslag op het World Trade Center in New York.

Kort nadat zijn proefschrift was verschenen, raakte Ducheine geïntrigeerd door een nieuwe ontwikkeling in oorlogsvoering. Rond die tijd, zo vertelt hij Follow the Money, kwamen de mogelijkheden en risico’s van digitale oorlogsvoering in beeld. Ook in Nederland, waar Defensie op dat moment werkte aan een cyberstrategie.

Toen de Nederlandse Defensie Academie mensen zocht die zich met dit fenomeen wilden bezighouden, stak hij zijn hand op. Als hoogleraar cyber warfare zag hij in de jaren daarna de digitale ruimte uitgroeien tot een volwaardig strijdtoneel, naast de klassieke oorlogsdomeinen land, zee en lucht.

De oorlog in Oekraïne bevestigt volgens de brigadegeneraal het toenemende belang van het digitale domein in moderne oorlogsvoering. ‘In de oorlog van de toekomst draait het uiteindelijk om de cognitieve dimensie: wat er in de hoofden van mensen omgaat. De digitale ruimte is uitermate geschikt om de gedachtevorming van mensen te beïnvloeden of te manipuleren.’

Toen Rusland Oekraïne binnenviel, hield men rekening met de eerste echte cyberoorlog. Die lijkt vooralsnog uit te blijven. Valt het toch wel mee met cyber warfare?

‘Toen de invasie begon, dacht ik eerst ook: is dit alles, wat betreft cyberaanvallen? Van buitenaf bezien waren er relatief weinig digitale operaties. Maar wie inzoomt, ziet dat er veel gebeurt, met name aan soft cyber operaties in de vorm van beïnvloedingscampagnes, propaganda en misleiding via internet, plus pogingen die te weren. Dat varieert van de inzet van trollenlegers tot zenders afsluiten, zoals Russia Today in Europa overkwam.'

'Daarnaast ontstond een enorme toestroom van hackers uit de hele wereld, die op uitnodiging van minister Fedorov van het IT Army of Ukraine Russische overheidsinstanties en banken aanvielen. Dat was niet eerder vertoond.'

'Bedrijven als Google, Twitter en Microsoft, die de backbone van de digitale diensten vormen, worden gebruikt om Russische censuur te omzeilen en mensen in Rusland te vertellen wat er precies gebeurt in Oekraïne. Nadat Twitter door Rusland werd geblokkeerd, kwam het zelf met een workaround om daar toch bereikbaar te blijven. De rol van IT-bedrijven in dit conflict is groter dan ooit.'

'Er zijn daarnaast echt een aantal hard cyber operaties uitgevoerd. Recent is er een digitale aanval uitgevoerd op een Oekraïense energiecentrale, en eerder zijn er aanvallen met wiper malware uitgevoerd op onder meer het Oekraïense spoornet en honderden computers van overheidsinstellingen. Er is echt iets aan de hand.’

Toch is het effect en de omvang van hard cyber operaties niet zo groot als verwacht werd. Hoe komt dat?

‘We moeten niet vergeten dat er nu nog weinig zicht is op welke cyberoperaties zijn uitgevoerd. Oekraïne en Rusland zullen het niet aan de grote klok hangen als ze succesvol zijn aangevallen. De tijd zal moeten uitwijzen wat er zich precies afspeelt, en wat de gevolgen daarvan zijn geweest voor de oorlog. '

'Tegelijkertijd is de impact die we wel zien, minder groot dan verwacht. Het lijkt erop dat de Oekraïense bescherming beter op orde was dan men dacht. Het land is sinds de annexatie van de Krim in 2014 geregeld vanuit Rusland aangevallen. In de winter van 2015 en in 2016 zijn er elektriciteitsstations platgelegd en in 2017 kampten overheidsinstellingen met de NonPetya-aanval. Daar hebben ze kennelijk van geleerd. En Oekraïne kreeg in de aanloop naar de oorlog hulp van de VS om zijn digitale beveiliging op orde te brengen.’

Moeten we ons voorbereiden op meer digitaal geweld? 

‘Ik sluit dat niet uit. De oorlog is nu ruim 60 dagen bezig. Rusland heeft dus al twee maanden de tijd gehad om nieuwe digitale doelwitten te selecteren, zwakheden in de systemen van Oekraïne bloot te leggen en uitbuiting daarvan voor te bereiden.'

'Daarbij wordt de Russische artillerie-inzet in het fysieke domein steeds minder accuraat. Ze lijken om zich heen te slaan nu de invasie niet volgens plan verloopt. De kans bestaat dat ze straks ook op het digitale vlak minder gericht te werk zullen gaan.’

Kan dat een bedreiging voor Nederland vormen?

‘Ik zou het raar vinden als wij digitaal geen gevolgen zouden ervaren van de oorlog, maar dat zal moeten blijken.'

'Ik voorzie wel dat de particuliere hackers die zich in het conflict mengen, voor problemen kunnen zorgen. Wat betekent het voor die mensen dat ze hebben meegedaan in het conflict? Denken ze: als dit tegen Rusland werkt, kunnen we het ook elders proberen? Het brengt mensen misschien op nieuwe methodes en alternatieve businessmodellen. Ik ben er bang voor dat die proliferatie van vaardigheden en het verlagen van drempels voor burgers om zich te manifesteren in dit domein problemen zal veroorzaken, en dat we daar ook in Nederland last van zullen krijgen.’

Eerder constateerde u bij Follow the Money al dat oorlogsvoering zich, door de invloed van internet en sociale media, uitbreidt naar het publieke domein. U bent daar op tegen. Waarom?

‘Het is tegenwoordig makkelijk voor particulieren om zich in het conflict te mengen. Iedereen met een laptop kan meedoen – en ik denk niet dat dat goed is. Ik snap de call to arms vanuit Oekraïne, maar het land zuigt op die manier wel allerlei mensen het conflict in die daar niet thuishoren, omdat ze er niet voor zijn opgeleid en daar geen controle op is. Dat moeten we niet willen, en het mag ook helemaal niet. Het kan daarnaast afstralen op het land waar die hackers vandaan komen, waardoor dat land misschien een veeg uit de pan krijgt.'

'Geweld is bovendien een overheidsmonopolie en digitaal geweld zou dat eveneens moeten zijn. Je krijgt anders een situatie waarbij mensen veel te makkelijk het recht in eigen hand nemen en daar zijn wij als maatschappij niet bij gebaat. Als conflict ontaardt in een oorlog waarin iedereen kan doen en laten wat hij wil, dan zijn we letterlijk van God los.’

In 2016 besloot besloot de NAVO om cyberspace als oorlogsdomein te erkennen, naast de klassieke domeinen land, zee en lucht. Hoe heeft oorlogsvoering zich sindsdien ontwikkeld?

‘Oorlog speelt zich af in drie dimensies. De fysieke dimensie, het tastbare; de digitale dimensie; en het meest cruciaal: de cognitieve dimensie, wat zich in je hoofd afspeelt. Daar is het uiteindelijk om te doen. Dat klinkt gek, maar oorlog draait erom iemand te dwingen iets te doen dat hij anders niet zou hebben gedaan, zoals zich overgeven of terugtrekken. Dat kun je afdwingen met wapens, maar ook met het gebruik van informatie.'

'De digitale dimensie biedt daarvoor fantastische mogelijkheden, bijvoorbeeld door de verspreiding van propaganda of misleidende informatie. Met de opkomst van internet en digitale media heeft cognitieve oorlogsvoering echt een vlucht genomen.'

'Het digitale domein biedt daarnaast nieuwe mogelijkheden om aanvallen uit te voeren die directe fysieke gevolgen hebben. Tussen 2007 en 2010 slaagden de VS en Israël er bijvoorbeeld in om met behulp van een computervirus een Iraanse uraniumverrijkingsinstallatie zichzelf kapot te laten draaien. Dat zijn zeer tastbare gevolgen. Door de grote strategische mogelijkheden wordt de digitale dimensie dus steeds belangrijker in oorlogsvoering.’

Heeft het cyberdomein zich inmiddels ontwikkeld tot volwaardig militair domein?

‘Absoluut. De oorlog in Oekraïne laat dat zien.’

Hoe staat Nederland ervoor wat betreft onze aanvallende mogelijkheden?

‘Daar moet aan gesleuteld worden. Het digitale offensieve arsenaal van de krijgsmacht, als je dat zo wilt noemen, is ondergebracht bij het Defensie Cyber Commando. Daar zitten de mensen, tools, kennis en vaardigheden die wij nodig hebben voor militaire conflictoperaties.'

'Dat arsenaal lijkt in orde, maar het lijkt te schorten aan een plan. Nederland heeft gezegd dat het bereid is om cybercapaciteit in conflicten in te zetten indien nodig, maar om dat uit te voeren moet je een uitgewerkt en getest plan hebben. In Kamerstukken kun je echter teruglezen dat dit plan niet volledig uitgekristalliseerd is. Dan ben je dus nog niet klaar.’

Eind maart waarschuwde de Amerikaanse president Biden voor digitale aanvallen vanuit Rusland op westerse landen. In 2014 stelde de NAVO al dat een cyberaanval aanleiding kan zijn om artikel 5 van het NAVO-verdrag in te roepen, dat bepaalt dat een gewapende aanval op een lidstaat een aanval op alle NAVO-leden is. Hoe groot is de kans dat NAVO-landen via een cyberaanval de oorlog in worden gezogen?

‘Klein. Artikel 5 geeft NAVO-landen het recht op zelfverdediging na een gewapende aanval. Een cyberaanval kan als zodanig kwalificeren, maar dat is een hoge drempel én een politieke keuze. Er moet sprake zijn van verwoesting, disruptie of ontwrichting á la 9/11. Bovendien moet zelfverdediging noodzakelijk zijn om een aanval te kunnen afslaan of te stoppen, en ze moet proportioneel zijn. Als je de aanval kunt frustreren door terug te hacken, zul je die weg eerst moeten bewandelen. Het gebruik van geweld over landsgrenzen heen is echt een allerlaatste redmiddel.'

'Het inroepen van artikel 5 is dus geen automatisme. Stel dat aan de juridische voorwaarden is voldaan, dan is het aan de aangevallen staat om zich op militaire zelfverdediging te beroepen. De regering van dat land kan er bijvoorbeeld ook voor kiezen eerst diplomatieke of economische sancties in te zetten.’

Een cyberaanval is dus niet zonder meer een ‘gewapende aanval’, maar de gevolgen kunnen hetzelfde zijn. Als een ziekenhuis wordt gehackt, kan dat tot doden leiden. Is het internationale recht wel geschikt voor deze nieuwe manieren van aanvallen?

‘Het inroepen van artikel 5 is niet afhankelijk van techniek, situaties of organisaties. Het is bewust abstract opgeschreven, zodat ook niet voorziene aanvalsmethodes als het erop aankomt als ‘gewapende aanval’ kunnen worden getypeerd. Dat maakt het internationale recht adaptief.'

'Het nadeel is dat het soms zoeken is naar aanknopingspunten bij nieuwe aanvalsmethoden. Het zou voor digitale aanvallen goed zijn als lidstaten hardop uitspreken wat ze in voorkomende gevallen als gewapende aanval beschouwen, waarom, en welke tegenmaatregelen ze dan willen nemen. Dat vinden ze lastig, want als je bijvoorbeeld zegt dat digitale spionage oké is, moet je ook niet raar staan te kijken als het jou overkomt. Wanneer meer landen uitspreken wat ze wel en niet accepteren, werkt dat normstellend en creëer je duidelijkheid in cyberspace.’

In Nederland ligt nu een wetsvoorstel klaar om de veiligheidsdiensten AIVDen MIVD ruimere bevoegdheden te geven. Dan mogen de diensten, zonder onafhankelijke toets vooraf, hacken en internet grootschalig aftappen. Gebruiken de diensten de oorlog in Oekraïne om momentum te creëren?

‘Dat is hier niet aan de orde. De evaluatiecommissie voor de Wet op de Inlichtingen- en Veiligheidsdiensten (Wiv 2017) constateerde in 2021 dat er een aantal knelpunten waren waardoor de bevoegdheden om te hacken en voor kabelinterceptie waarin die wet voorziet, niet uit de verf komen. Toen is een proces in werking gezet om de balans in de wet te verbeteren, al ver voor de oorlog in Oekraïne. Het is nu aan het parlement of het daarin meegaat.’

Maar in maart zei toezichthouder CTIVD nog dat het toezicht op kabelintereceptie door de diensten juist moet worden verscherpt. En uit het jaarverslag van de TIB blijkt dat er veel misgaat bij het inzetten van die bevoegdheid. Is het dan verstandig die problemen te omzeilen door een nieuw kader vast te leggen? 

‘Het CTIVD-rapport liet volgens mij zien dat er bij de diensten het nodige haperde. Daar zijn ze terecht door de toezichthouder op gewezen.'

'Tegelijkertijd is duidelijk dat er iets aan de wet schort. De wetgever heeft een bevoegdheid tot kabelintereceptie in het leven willen roepen, maar als de diensten en de toezichthouder doen wat ze moeten, lukt het niet die te gebruiken. Dan kun je besluiten die bevoegdheid te laten zitten, maar dat is in deze tijd een suïcidale gedachte. Het alternatief is om opnieuw te kijken naar de toetsingscriteria. Dat ligt nu voor bij de wetgever. En als die zegt: we willen dat kabelintereceptie mogelijk is, moet er boter bij de vis.'

'Het is hypocriet te eisen dat de diensten over onze veiligheid waken, maar ze niet de daarvoor benodigde middelen te geven.’

De oorlog in Oekraïne lijkt een goede aanleiding om die nieuwe bevoegdheden erdoor te krijgen. Het wetsvoorstel lag in november 2021 al klaar, maar lekte tijdens de oorlog ineens uit en nog diezelfde avond pleitte MIVD-directeur Jan Swillens bij Op1 voor ruimere bevoegdheden. Never waste a good crisis?

‘Inlichtingendiensten kunnen normaal weinig tot niets zeggen over wat ze doen. De oorlog biedt de mogelijkheid aan de hand van een actuele situatie uit te leggen wat zij kunnen betekenen.'

'Over de aanvalscapaciteiten van Rusland is redelijk wat bekend, maar je wilt weten wat ze ermee van plan zijn, zodat je je ertegen kunt wapenen. Iedereen zag hun troepen aan de grens staan, maar pas toen Oekraïne Russische communicatie oppikte over de inval, wist men wat het plan was. Oekraïne kon daardoor hinderlagen leggen en de aanval weerstaan. Daar ligt de meerwaarde van inlichtingen. De oorlog biedt de diensten de gelegenheid die meerwaarde met concrete voorbeelden te onderstrepen. Dat is ook hoe politiek werkt: dat je met aansprekende argumenten je punten bepleit.’

Hoe ziet de toekomst van oorlogsvoering eruit?

‘Voor mij staat als een paal boven water dat het belang van die cognitieve dimensie is waar oorlogsvoering in ultimo om draait. Daar zal steeds meer op worden ingezet, en de invloed die je via digitale middelen op mensen kunt uitoefenen, zal daarin een sleutelrol spelen. Net als de digitale infrastructuur waar we ons leven omheen gebouwd hebben. Ons leven draait rond internet. Dat zet zich onvermijdelijk door in oorlogsvoering.’

Hoe bereidt Defensie zich daarop voor?

‘Wij zoomen tijdens de opleidingen in op de waarde van informatie in oorlogstijd en digitale infrastructuren. We geven de cadetten en adelborsten daarnaast mee dat ze meer zijn dan een ‘krijger’ die vecht. Ze zijn tevens een uithangbord en medeverantwoordelijk voor het beeld dat zij uitdragen, ook online, via hun sociale-mediaprofielen. We dagen ze daarom uit na te denken hoe ze anderen in de fysieke en de digitale wereld kunnen bereiken. Dat kan in de vorm van informeren, maar ook via manipulatie tijdens missies.’

Het leger leidt dus influencers op. Nog niet zolang geleden werd bekend dat een eenheid van Defensie behoorlijk uit de bocht vloog met beïnvloedingstechnieken. Gaan we daar nu toch mee verder?

‘Bij die eenheid zijn dingen fout gegaan, maar het idee dat je strategische resultaten kunt behalen zonder te schieten, is in de kern niet verkeerd. Ik denk dat we er niet meer aan ontkomen. Dat is logisch, want in feite is alles dat op het slagveld gebeurt psychologische oorlogsvoering. Dat je je tegenstander in een oorlog probeert te misleiden is niet nieuw. Het paard van Troje is 100 procent misleiding’.

Uw collega Han Bouwmeester zei vorig jaar tegen Follow the Money dat misleiding en beïnvloeding lang niet in ons normenkader paste. Is er sprake van een ommekeer? 

‘We moeten ons ervan bewust zijn dat oorlogsvoering veel meer is dan fysiek geweld. Het is ook een mind game, waarbij de tegenstander wordt misleid. Dat is een relatief schone manier van oorlog voeren. Dat betekent niet dat alles is toegestaan, maar ik denk dat psychologische beïnvloeding een reëel wapen is dat kan worden ingezet binnen de grenzen die wij als democratische rechtsstaat hanteren.’

Bron: nos.nl, tib-ivd.nl, rtlnieuws.nl, rijksoverheid.nl, volkskrant.nl, whitehouse.gov, nu.nl, ftm.nl | Sebastiaan Brommersma

Help mee en stop het verspreiden van desinformatie van het Russische regime!

Bekijk alle vormen en begrippen

Actuele aanvallen overzicht per dag

Heeft u tips of verdachte activiteiten gezien online? Neem dan contact op met Cybercrimeinfo.

Meer cyberoorlog nieuws