Aansprakelijkheid schade door hackers?

[plankton]

Vannacht is onze website gehacked waardoor er veel dataverkeer is ontstaan.

De provider heeft het over een schadepost van ca. 1.700 euro.

 

Zijn wij aansprakelijk voor dit bedrag?

[Nils de Witte]

Geen idee, lijkt me wel. Tenzij je provider nalatig is geweest en de hack aan hem/haar te verwijten is.

[BE WANNE]

Dit ligt eraan. Hoe word de website gehost?

Op een eigen server of een gedeelde server.

 

Wie is er verantwoordelijk het managementsysteem?(indien je dit gebruikt)

 

Wie onderhoud de website.

 

Hoe weet de provider dat de site gehacked is en hadden deze niet eerder kunnen ingrijpen?

 

 

Jef

[renep]

Vannacht is onze website gehacked waardoor er veel dataverkeer is ontstaan.

De provider heeft het over een schadepost van ca. 1.700 euro.

 

Dat is onwaarschijnlijk veel voor een halve dag dataverkeer.

 

Verder is het virtuele schade. Dataverkeer is niets anders dan het benutten van apparatuur die er toch staat. De provider (of diens dataverkeerleverancier) heeft niet meer kosten of minder omzet dan wanneer jullie site niet gehackt zou zijn. Hij heeft wel minder omzet dan wanneer iemand dit dataverkeer zou hebben ingekocht, maar dat is niet aan de orde.

 

Zijn wij aansprakelijk voor dit bedrag?

 

Dat zou kunnen, maar dat hangt er natuurlijk van af wat je ooit met de provider bent overeengekomen.

[R.I.P. - Benm]

Dataverkeer is voor de meeste hosting/colo bedrijven wel degelijk een echte schadepost, in die zin dat ze er bij hun leveranciers voor moeten betalen (of dat per GB traffic gaat is een andere kwestie).

 

Waarop is die 1700 euro gebaseerd, een bepaalde hoeveelheid dataverkeer (moet wel idioot veel zijn)? Vraag hier een goede specificatie van!

 

In het algemeen ben je er als afnemer van dedicated en zeker colocated servers wel verantwoordelijk voor, bij managed servers kan de schuld ook bij de leverancier liggen als zij bijv een lek niet tijdig gedicht hebben waardoor de hack mogelijk was. Uiteraard hangt het ook af van wat er precies in je overeenkomst is opgenomen!

 

[plankton]

Bedankt voor de snelle reacties!

 

Antwoorden op hierboven gestelde vragen:

- De website wordt gehost door de provider op een gedeelde server (wij hebben het zogenaamde Resellerpakket met 200MB opslag en 6GB dataverkeer)

 

- Met behulp van het WHM en Cpanel kunnen wij zelf (beperkt) dingen beheren

 

- Het onderhoud van de site doen we met Adobe Golive (sorry we zijn geen diehard programmeurs)

 

- De aanslag heeft twee uur geduurd (naar horen zeggen)

 

- In de Algemene Voorwaarden van de provider is niets opgenomen over (extra) dataverkeer. Wel over extra data-opslag (maar dat is volgens mij niet aan de orde).

 

- De provider spreekt van 16 Mbit 1 = 90 euro

 

Zie de grafieken die de provider ons stuurde:

http://www.digitalcanvas.nl/img/

 

[plankton]

Misschien ter verduidelijking. Dit staat erover in de voorwaarden:

 

1.8. XXXXXX ziet er streng op toe dat de server niet overbelast wordt door haar klanten. XXXXXX behoudt zich het recht om over te gaan tot tijdelijke sluiting van een account indien deze extreem veel CPU/geheugen load verbruikt.

 

1.9. XXXXXX heeft het recht om scripts af te sluiten of zelfs te verwijderen indien deze de CPU/geheugen van de server te veel belasten.

 

1.10. Er mag niet meer data worden opgeslagen op de server dan de beschikbaar gestelde ruimte die is verkregen bij het afgenomen hostingpakket. Indien het datalimiet overschreden wordt, heeft XXXXXX het recht de overschrijdende hoeveelheid te factureren tegen EUR 0,10 per megabyte opslagdata per maand.

 

[R.I.P. - Benm]

Ik zou dan toch maar eens naar een goede verantwoording van dat bedrag vragen...

 

Voor 1700 euro aan dataverkeer verstoken in 2 uur tijd is normaliter echt niet mogelijk. Een 100 MBit uplink kan in 2 uur tijd zo'n 70 GB verkeer afhandelen. Zelfs 1 GBit zou maar aan 700 GB komen, maar het is onwaarschijnlijk dat je server dat op zo'n tempo kan aanleveren.

 

Aangezien de kosten per meerverbruik niet gespecificeerd zijn kun je kijken naar wat gangbaar is als tarief. In nederland zou ik denken aan een bedrag tussen 0,10 en 1 euro per gigabyte.

[Nico Schouten]

Bedankt voor de snelle reacties!

 

Antwoorden op hierboven gestelde vragen:

- De website wordt gehost door de provider op een gedeelde server (wij hebben het zogenaamde Resellerpakket met 200MB opslag en 6GB dataverkeer)

 

 

- De aanslag heeft twee uur geduurd (naar horen zeggen)

 

- In de Algemene Voorwaarden van de provider is niets opgenomen over (extra) dataverkeer. Wel over extra data-opslag (maar dat is volgens mij niet aan de orde).

 

- De provider spreekt van 16 Mbit 1 = 90 euro

 

Zie de grafieken die de provider ons stuurde:

http://www.digitalcanvas.nl/img/

 

 

Leuk plaatje, maar wat zegt dat ?

Gedeelde server ? volgens het plaatje is het inbound traffic ???

Ga mij nou niet vertellen dat mensen hier iets hebben op laten slaan, daar heb je gewoon Gmail en andere opties voor.

Dus die inbound traffic wat is dat ? En op welk deeltje van de server draait dat ? Op jullie deel of op een onbeheerd deel ?

Wie koppelt deze traffic aan jullie deel op de server, lijkt meer op een soort DOS aanval, weet je of jullie site daadwerkelijk uit de lucht geweest is.

Zou handig zijn als iemand voor jullie uitzoekt welke sites er nog meer op deze server draaien, en of deze mensen ook een rekening hebben gekregen.

[plankton]

Wie koppelt deze traffic aan jullie deel op de server, lijkt meer op een soort DOS aanval, weet je of jullie site daadwerkelijk uit de lucht geweest is.

Zou handig zijn als iemand voor jullie uitzoekt welke sites er nog meer op deze server draaien, en of deze mensen ook een rekening hebben gekregen.

 

Dat is opmerkelijk dat je dat zegt, want in het dataverkeer-overzicht in ons WHM controlpanel is namelijk geen piek te zien die aan onze site is gekoppeld.

 

Daar staat namelijk dat het verbruik momenteel is: 0.04 Meg (deze maand)

 

[Nico Schouten]

Wie koppelt deze traffic aan jullie deel op de server, lijkt meer op een soort DOS aanval, weet je of jullie site daadwerkelijk uit de lucht geweest is.

Zou handig zijn als iemand voor jullie uitzoekt welke sites er nog meer op deze server draaien, en of deze mensen ook een rekening hebben gekregen.

 

Dat is opmerkelijk dat je dat zegt, want in het dataverkeer-overzicht in ons WHM controlpanel is namelijk geen piek te zien die aan onze site is gekoppeld.

 

Daar staat namelijk dat het verbruik momenteel is: 0.04 Meg (deze maand)

 

 

Nou klaar, 1700 euro bespaart :P

Los van of het wel of niet klopt, hoe kunnen jullie abuse monitoren als de middelen die de hostingprovider hiervoor ter beschikking stelt niet toereikend zijn.

Ik zou voorzichtig eens op zoek gaan naar een andere hostingprovider.

[willemj]

Ga mij nou niet vertellen dat mensen hier iets hebben op laten slaan, daar heb je gewoon Gmail en andere opties voor.

 

Zal je nog verbazen :) Ooit een eigen server gehad waar bekenden spullen konden uploaden zonder wachtwoord. Stond binnen no time een hele collectie mp3'tjes op van onbekenden die dachten mijn server te kunnen gebruiken om illegaal spul uit te wisselen (wat uiteraard niet kon want downloaden werkte niet ;) )

 

 

 

 

[R.I.P. - Benm]

Vreemd verhaal... als het een shared server betreft moet die traffic toch wel specifiek aan jullie account te koppelen zijn willen ze er een rekening voor kunnen sturen.

 

Shared servers worden normaliter beheerd door het hostingbedrijf zelf, het lijkt me sterk dat ze de kosten van zo'n hack kunnen verhalen op hun klanten, tenzij die klanten een of ander lek hebben laten onstaan dat de hack mogelijk maakte.

 

Wat het grafiekje betreft: in/outbound zijn wel vaker omgewisseld, meestal worden dit soort dingen op een router gemeten en dan is het perspectief op in/out omgekeerd.

[Tonino]

Juist, maar die router is dan dus voor de hele server, alle sites die daarop gehost zijn... Niets te zien wat met jouw site te maken heeft.

Daarbij vind ik dan het inkomende verkeer wel erg mager. Ook voor een DDos aanval zou je volgens mij meer mogen verwachten. Is er niet een back-up script oid van de provider in de soep gelopen?

Verder een bijzonder brakke provider. Aan het dataverkeer en de opslagruimte van je site te zien betaal je iets van 10 euro in de maand ofzo. Dan lijkt me 1800 euro voor 2 uur wel belachelijk veel, zeker als je geen custom scripts draait of een spamrun verstuurd. Zeer onredelijk.

[ShopJeRot]

Waarschijnlijk is dit inbound van de switch waarop deze server is aangesloten. Outbound voor de desbetreffende server dus.

[SG1]

Normaal gesproken dekt een hoster zich dusdanig in dat jij aanpsrakelijk bent voor een hacker. Echter een goede hoster zal nooit €1700,- schade verhalen op jou. Zwart wit gezien is het ook een beetje zijn verantwoording. Nogmaals ze sluiten dat meestal uit door goede algemene voorwaarden. Doe altijd eengifte en vraag je hoster om logs en bewijs. Die moet hij je kunnen bieden.

 

http://weblog.ictrecht.nl/category/cybercrime/ is misscien wel een goede link.

 

Met vriendelijke groet,

Ruud Menting

[Edward]

De verbintenis tot het vergoeden van schade kan in beginsel ontstaan op een tweetal gronden.

 

1 .Een onrechtmatig handelen of nalaten in strijd met uw plichten (de onrechtmatige daad)

2.uit hoofde van een toerekenbare tekortkoming in de nakoming van contractuele verplichtingen (wanprestatie).

 

 

Wil de provider jullie aansprakelijk houden op grond van een onrechtmatige daad dan zal deze eerst aannemelijk moeten maken daartoe niet alleen moeten stellen dat er onrechtmatig is gehandeld, maar dat ook dienen te bewijzen. Daarvoor dient aan de volgende vereisten te zijn voldaan.

 

1. Er moet schade zijn toegebracht;

2. die schade moet het gevolg zijn van een onrechtmatige daad;

3. die daad moet aan jullie zijn toe te rekenen;

4. tussen de schade en de veroorzakende handeling moet een rechtstreeks verband bestaan;

5. de geschonden norm moet strekken tot bescherming tegen schade zoals een benadeelde deze heeft geleden, de zogenaamde relativiteitseis.

 

Deze eisen houden het volgende in.

 

Allereerst dient vast te komen te staan dat de provider schade heeft geleden. Dat is nog niet zo moeilijk.

 

Het tweede onderdeel is lastiger te beantwoorden. Deze eis valt in twee delen uiteen. De kwalificatie van de daad en de vraag of voor die daad rechtvaardigingsgronden aanwezig zijn. Een daad is als onrechtmatig te bestempelen als het betreft een inbreuk op een recht, het doen of nalaten in strijd met een wettelijke plicht of met hetgeen volgens ongeschreven recht in het maatschappelijk verkeer betaamt. Indien voor de daad een rechtvaardigingsgrond aanwezig is, dan is het handelen niet als onrechtmatig aan te merken.

 

Een daad is aan de dader toe te rekenen als het handelen of nalaten te wijten is aan zijn schuld of aan een oorzaak die krachtens de wet of de in het verkeer geldende opvattingen voor zijn rekening komt.

 

De vierde eis betreft het causale verband tussen daad en schade. De schade dient rechtstreeks het gevolg te zijn van de gedraging waaraan de provider de schade wijt. Misschien lijkt dit gemakkelijk om aan te tonen, het tegendeel is eerder waar. Er mogen namelijk geen andere omstandigheden aanwezig zijn, die van invloed kunnen zijn geweest op het ingetreden gevolg. Is daar wel sprake van, dan dient de provider aan te tonen dat die omstandigheden in de causale keten geen invloed hebben gehad op de schade. Hoe meer schakels er tussen oorzaak en gevolg zitten, des te minder aannemelijk het wordt dat de schade rechtstreeks het gevolg is van het handelen van de vermeende dadern.

 

Ten aanzien van het laatste onderdeel moet de vraag worden beantwoord of de geschonden norm ter bescherming van de eiser strekt, dan wel of de soort schade of de wijze waarop die is ontstaan binnen het bereik van de norm valt.

 

Om een lang verhaal kort te maken. Dat er in dit geval sprake is van een onrechtmatig handelen jegens de provider acht ik gelet op de gegeven informatie zeer onwaarschijnlijk.

 

Het ligt in deze kwestie meer voor de hand dat de provider jullie aansprakelijk zou willen houden op grond van een toerekenbare tekortkoming c.q. het schenden van uw contractuele verplichtingen. Om dat te kunnen beoordelen zal gekeken moeten worden naar de inhoud van de overeenkomst met de provider (inclusief de daarbij behorende algemene voorwaarden). Wanneer jullie hebben gehandeld in strijd met die overeenkomst dan wel, kan de provider jullie daarvoor aansprakelijk houden.

 

Alsdan is nog de vraag of de geclaimde schade - geheel dan wel gedeeltelijk – aan jullie is toe te rekenen.Ook dat is twijfelachtig gelet op hetgeen hiervoor al door anderen is opgemerkt over de shared server en de toerekening van het dataverkeer aan jullie.

 

Het staat dus allerminst vast dat jullie op voorhand aansprakelijk zijn voor de schade. Het antwoord op die vraag hangt allereerst af van de overeenkomst en de omstandigheden waaronder de website is gehackt.

[R.I.P. - Benm]

Een daad is als onrechtmatig te bestempelen als het betreft een inbreuk op een recht, het doen of nalaten in strijd met een wettelijke plicht of met hetgeen volgens ongeschreven recht in het maatschappelijk verkeer betaamt.

 

Ik denk dat je niet moet kijken naar een onrechtmatige daad, maar dit moet zien als een nacalculatie voor dataverkeer. Het is in de hostingbranche heel gebruikelijk dat kosten in rekening worden gebracht als een klant meer dataverkeer verbruikt dan is ingekocht bij zijn hostingpakket. Vreemd genoeg heeft deze leverancier alleen niet vooraf het tarief daarvoor vastgesteld in de overeenkomst.

 

De crux in het geheel is of het verbruikte dataverkeer door de klant is veroorzaakt, of redelijkerwijs voorkomen had kunnen worden (slechte beveiliging van gehoste sites oid).

 

Maar zelfs als dat te bewijzen valt lijkt me 1700 euri een onredelijk hoog bedrag voor de data die een normale server in een uur of 2 kan verzenden en/of ontvangen.

[Edward]

Een daad is als onrechtmatig te bestempelen als het betreft een inbreuk op een recht, het doen of nalaten in strijd met een wettelijke plicht of met hetgeen volgens ongeschreven recht in het maatschappelijk verkeer betaamt.

 

Ik denk dat je niet moet kijken naar een onrechtmatige daad, maar dit moet zien als een nacalculatie voor dataverkeer. Het is in de hostingbranche heel gebruikelijk dat kosten in rekening worden gebracht als een klant meer dataverkeer verbruikt dan is ingekocht bij zijn hostingpakket. Vreemd genoeg heeft deze leverancier alleen niet vooraf het tarief daarvoor vastgesteld in de overeenkomst.

 

De crux in het geheel is of het verbruikte dataverkeer door de klant is veroorzaakt, of redelijkerwijs voorkomen had kunnen worden (slechte beveiliging van gehoste sites oid).

 

 

Is mij bekend en ben ik ook met je eens. Daar gaat het echter ook niet om. Ik heb alleen de mogelijke grondslagen voor een aansprakelijkheid weergegeven. Zo als hierboven al gesteld acht ik het uitgesloten dat Plankton op grond van een onrechtmatige daad aansprakelijk zou kunnen worden gehouden voor de schade.

[plankton]

Iedereen bedankt voor de reacties en tips!!!

 

Hier kunnen we goed mee uit de voeten.

[Ties [r.i.p.]]

Hoi Plankton,

 

Vond zojuist onderstaand artikel in een Engelse website voor entrepreneurs:

 

Small firms must ‘protect their sites’ against hackers

 

Small business owners are being warned not to leave their websites open to hackers through using insecure website developers.

 

Je kunt hier verder lezen.

 

Met vriendelijke groet,

 

Ties

 

[Swwin]

> Vannacht is onze website gehacked

 

Plankton, Wat bedoelt die provider daar dan mee?

 

Uit jouw postings kan ik niet opmaken dat er iets gehackt is. Behalve misschien de server zelf.

 

S

(die denkt dat de provider op zwart zaad zit)

[interceptor]

Raar verhaal allemaal.

 

Je provider stelt zijn server beschikbaar voor het leveren van diensten, klanten zetten er hun account, websites en mailaccounts op, Server wordt met anderen gedeeld, de provider is de eerste-lijn en ze zijn dus hoofdverantwoordelijk voor het hele pakket aan dienstverlening zodat hun server goed draait en vrij is van spyware, virussen, hackers, etc. voor hun klanten. Kortom de hele beveiliging. Kennelijk hebben ze dit nagelaten, waardoor jij en andere accounts benadeeld worden en jullie bezoekers jullie website niet meer kunnen lezen, Jullie lopen dus schade op en zou juist HUN aansprakelijk moeten stellen voor gederfde inkomsten!

[bobhamers]

Ze kunnen echt geen kosten op je verhalen, en zeker geen 1700 euro.

tenzij er een processor overhit is geraakt en kapot gesprongen en dat is zeer onwaarschijnlijk en dan is het nog moeilijk aan te tonen dat jou website de boosdoener is.

 

Simpel sommetje!

 

Je hosting geeft aan 10 cent per overschreden mb!

1700 euo is dus 17 GB ~ 17000 mb.

 

Je website klokt op +/- 600 Kb/ps.

Dus zou het voor 1Mb +/- 1.7 Seconden duren om te downloaden.

Dat is dus 28900 sec voor 17000 mb dat is ruim 481 minuten.

Meer dan 8 uur dus!

 

En ze geven aan dat de attack 2 uur duurde??

 

Niet erg logisch!