VVD-leden konden afgelopen week via een website hun nieuwe partijvoorzitter kiezen. BNR vroeg drie cybersecurity-experts te kijken naar de beveiliging daarvan. Zij vonden lekken op zowel de stemsite zelf als die van Inkesta, het bedrijf dat de stemming verzorgt.
Inkesta, een bedrijf uit Breda met een half dozijn werknemers, verzorgt sinds 2012 online verkiezingen voor diverse partijen waaronder golfclubs, ondernemingsraden en pensioenfondsen. Zo’n vijf jaar geleden begon het bedrijf met het organiseren van politieke verkiezingen. Behalve de VVD was de Partij voor de Dieren ook klant.
De VVD-stemsite die Inkesta bouwde, bood door een programmeerfout ook toegang tot de pagina’s van kandidaten in verkiezingen voor de ondernemingsraden van grote Nederlandse bedrijven.
Verder kon BNR op Inkesta.nl - de site van het bedrijf zelf - documenten inzien die niet voor een breed publiek bestemd waren via een zogenaamde 'open directory', waaronder een CAO die een vakbond aan haar leden voorlegde en de statutenwijziging van een brancheorganisatie.
Kandidaten ondernemingsraad op te vragen via VVD-stemsite
'Een ernstig lek', zegt cybersecurityexpert Sijmen Ruwhof. Hij is voorzitter van de Stichting Tegen Hackbare Verkiezingen en test ook de beveiliging van stemsites voor andere politieke partijen. 'Als je hier zo makkelijk bijkomt, roept dat serieuze vragen op over andere delen van de software.'
De overige experts die op verzoek van BNR naar de VVD-verkiezingen keken, onderschrijven de bevindingen van Ruwhof. 'Ik schrik hiervan', zegt onafhankelijk beveiligingsdeskundige Brenno de Winter. 'Vooral in een tijd waar buitenlandse beïnvloeding zo actueel is. Dit is niet Poetinproof.' Ook Ralph Moonen, technisch directeur bij Secura, is zeer kritisch. 'Slordig werk', is zijn eerste indruk. Volgens Moonen wordt er gebrekkig gemonitord op mogelijke dreigingen. 'Als de verkiezing gehackt zou zijn, dan zouden we dat achteraf niet kunnen vaststellen.'
Ook het stemgeheim van VVD-leden is niet waterdicht, zegt beveiligingsdeskundige Ruwhof. 'Er wordt tot op de seconde nauwkeurig vastgelegd dat een specifiek persoon gestemd heeft en tegelijk anoniem wanneer er op een specifieke kandidaat gestemd is', aldus Ruwhof. 'Zo vallen die twee zaken aan elkaar te koppelen.' Ook legt de stempagina contact met Google, waardoor de IP-adressen van VVD-leden daar bekend worden.
'Balen, maar verkiezing niet in gevaar'
Willem Meijer, politiek commissaris digitalisering van de JOVD, de jongerenpartij van de VVD, stelde zijn stembiljet ter beschikking om de digitale omgeving van Inkesta te kunnen testen. Volgens Meijer is het gebruik van software voor delicate zaken overal een issue. 'Je moet altijd kritisch naar dit soort systemen blijven kijken', zegt hij. 'Is het wel echt veilig?'
BNR meldde de beveiligingslekken eind vorige week bij Inkesta. Het bedrijf greep meteen in. De pagina’s van andere kandidaten werden voor VVD-leden ontoegankelijk gemaakt en de documenten offline gehaald. Aan het delen van IP-adressen met Google wordt nog gewerkt.
Inkesta meldde datalek bij Autoriteit Persoonsgegevens
Eigenaar van Inkesta is Jan Versluys, een 53-jarige IT-ondernemer die eerst vooral in webhosting actief was. De stemsoftware werd tien jaar geleden gebouwd door programmeurs in dienst van Versluys en is sindsdien doorontwikkeld.
'Ik vind het heel erg dat wij een datalek hadden. Daar baal ik van', zegt Versluys. Volgens hem is er echter geen reden om te twijfelen aan de integriteit van de verkiezingsuitslag. De IT-ondernemer stelt ook dat de VVD-verkiezingssite een stuk beter beveiligd is dan de site van zijn eigen bedrijf, waarop documenten van klanten werden aangetroffen. 'Het klopt dat ook op de verkiezingssite dingen zijn gevonden, maar niks dat die verkiezingen zou kunnen beïnvloeden. In de kern is het een privacyissue.' Inkesta heeft het datalek dan ook gemeld bij de Autoriteit Persoonsgegevens.
Versluys betwist dat het stemgeheim te grabbel is gegooid. Volgens de Inkesta-eigenaar is het vrijwel onmogelijk een systeem te ontwikkelen dat volledig anoniem is en waarbij ook achteraf een digitale 'hertelling' mogelijk is. De huidige opzet is een weloverwogen compromis. De VVD zelf heeft geen toegang tot naar personen te herleiden stemgegevens, alleen drie Inkesta-systeembeheerders. 'En die kunnen alleen met veel moeite deze relatie leggen.'
VVD: 'Door Inkesta verzekerd van integriteit stemproces'
De VVD werd gisteren door Inkesta op de hoogte gebracht van de problemen. Desgevraagd liet de partij via een woordvoerder weten 'geen reden te hebben om te twijfelen aan het proces van de voorzittersverkiezing'. 'De VVD is in goed overleg met Inkesta door deze punten heengelopen. Wij zijn door Inkesta verzekerd van de integriteit en eerlijkheid van het stemproces', aldus de VVD.
Digitale verkiezingen zijn binnen de Nederlandse politiek in korte tijd gemeengoed geworden. De corona-pandemie versnelde deze overgang omdat fysieke partijcongressen een tijdlang onmogelijk waren.
De overstap naar digitaal stemmen verliep niet overal vlekkeloos. De lijsttrekkersverkiezing van het CDA in 2020 moest na een beveiligingslek worden stilgelegd. Ook bij BIJ1 ontstond gedoe toen de kieslijst in Amsterdam werd vastgesteld.