Hoge Raad 7 maart 2023, ECLI:NL:HR:2023:322

Deze zaak speelt zich af tegen de achtergrond van in 2012 en 2013 verspreide malware (kwaadaardige software zoals virussen, ‘wormen’, ‘Trojaanse paarden’, keyloggers, spyware en adware). Het infecteren van de computers gebeurde door spamruns – rondes waarin grote hoeveelheden spam-berichten werden verstuurd. De malware die hier centraal staat wordt TorRAT genoemd en werd ingezet om frauduleuze overboekingen te bewerkstelligen bij de Rabobank en de ING Bank en om zodoende met behulp van een valse sleutel geldbedragen die voor anderen bestemd waren te ontvreemden. Er werden grote aantallen spammails verzonden over bijvoorbeeld aanmaningen of voorstellen voor een betalingsregeling. Die mails bevatten ogenschijnlijk een link naar een openstaande factuur of een ander bestand. In werkelijkheid betrof het een programma dat de malware installeerde op de computer van een ieder die op de link klikte. De malware werd aangestuurd door een Command and Controlserver (C&C-server). Dit is een centrale computer die deel uitmaakte van een botnet – een netwerk van met malware geïnfecteerde geautomatiseerde werken – en dat botnet kon aansturen. Als op een met de malware besmette computer werd gebruikgemaakt van internetbankieren, konden het bankrekeningnummer, de naam van de begunstigde en de omschrijving van de betaling worden aangepast zonder dat dit (direct) zichtbaar was voor de gebruiker van de computer. Op die manier konden betalingen door de TorRAT-malware worden gewijzigd en omgeleid naar de bankrekeningen van ‘money mules’. Deze geldezels zijn personen die hun bankrekening beschikbaar stelden voor het doorsluizen van geld. De geldbedragen werden vervolgens zo snel mogelijk aan het zicht van de banken en politie en justitie onttrokken, al dan niet met tussenkomst van een (tweede lijn) moneymule naar wie het geld werd doorgeboekt, door contante geldopnames of door overboekingen naar bankrekeningen die (indirect) door de verdachte of door zijn medeverdachten werden gebruikt en de daarop volgende (gedeeltelijke) omzetting in bitcoins.

Het gerechtshof Den Haag heeft de verdachte veroordeeld tot een gevangenisstraf voor de duur van zeventien maanden wegens medeplegen van het een gewoonte maken van witwassen (feit 1) en deelneming aan een organisatie die tot oogmerk heeft het plegen van misdrijven (feit 2) veroordeeld tot een gevangenisstraf voor de duur van zeventien maanden, met aftrek van het voorarrest. Voorts heeft het hof de vorderingen tot schadevergoeding van de benadeelde partijen Coöperatieve Rabobank U.A. en ING Bank Nederland NV gedeeltelijk toegewezen tot een bedrag van €134.626,42 respectievelijk €100.491,94, en bepaald dat de verdachte met de mededaders hoofdelijk voor deze bedragen aansprakelijk is.

Het hof heeft ten aanzien van de bewezenverklaring onder meer het volgende overwogen:

“Volgens het proces-verbaal van de terechtzitting in hoger beroep heeft de raadsman van de verdachte daar het woord gevoerd overeenkomstig de pleitnota die aan het procesverbaal is gehecht. Deze pleitnota houdt voor zover van belang het volgende in:

“Wat betreft de vorderingen van de benadeelde partijen ING Bank en Rabobank hebben zij zich opnieuw gevoegd in hoger beroep. Daarbij heeft ING Bank zich gevoegd voor het oorspronkelijke bedrag van €105.491,42 terwijl de Rabobank een gewijzigde vordering heeft ingediend ten bedrage van €157.873,10. Dienaangaande het volgende. (...)

5.2 Geen rechtstreekse schade (51f Sv)

Voorts meent de verdediging dat geen sprake is van een rechtstreekse schade als bedoeld in artikel 51f, eerste lid Sv. Het Openbaar Ministerie stelt zich op het standpunt dat dit wel het geval is nu ING en Rabobank “al hun klanten schadeloos” hebben gesteld zodat de banken uiteindelijk degenen zijn die daadwerkelijk financiële schade hebben geleden. De redenering van het Openbaar Ministerie is daarbij dat de compensatie de banken daadwerkelijk hebben gegeven nu als schade zou kunnen worden toegewezen. De rechtbank hangt een soortgelijke redenering blijkens de uitspraak, waarbij wel aantekening wordt gemaakt dat de compensatie van klanten daadwerkelijk moet blijken uit de stukken.

De verdediging kan zich vinden in de (minimale) eis dat banken de daadwerkelijke vergoeding moeten aantonen. Voor het overige is de redenering van het Openbaar Ministerie en de rechtbank echter (veel) te kort door de bocht. Naar de smaak van de verdediging zou immers ook moeten blijken uit de stukken of banken als benadeelde partijen daadwerkelijk de verplichting en/of het beleid hadden om vermeende schade als bedoeld in onderhavige situaties aan klanten te compenseren.

Dat laatste is bepaald geen vanzelfsprekendheid. Doorgaans moet worden voldaan aan een flink aantal voorwaarden wil een klant vermeende schade van een bank vergoed krijgen. Zo moet er niet alleen aangifte plaatsvinden maar vindt er bijvoorbeeld ook controle plaats of klanten al dan niet onvoorzichtig zijn geweest dan wel of klanten mogelijk zelf iets te verwijten valt (bijvoorbeeld omdat onvoldoende maatregelen zijn getroffen of omdat klanten zelf op enig moment hadden moeten vermoeden dat iets niet aan de haak was).

Op geen enkele wijze blijkt uit onderhavige vorderingen dat de toets aan het interne beleid van de betreffende bank destijds in deze individuele gevallen heeft plaatsgevonden. Indien die toets niet heeft plaatsgevonden, althans daarvan niets blijkt, maar desalniettemin toch is overgegaan tot compensatie door banken kan dat worden gekwalificeerd als een stukje servicegerichtheid en klantvriendelijkheid vanuit de bank. Deze compensatie dient in dat geval echter gewoon te vallen onder gebruikelijke kosten die zijn verbonden aan en exploitatie van een dienstverlenende bank en kan niet worden opgevoerd als rechtstreekse schade.

De gedachte hierachter is dat banken als benadeelde partij geen schade vorderen die zij niet hebben geleden of hadden hoeven leiden. Verwacht mag worden dat banken niet alleen aantonen dat ze daadwerkelijk gecompenseerd hebben maar óók of dat conform het gehanteerde beleid is gebeurd. Daarmee moet voorkomen worden dat banken al te lichtvaardig klanten compenseren, ook als deze klanten bijvoorbeeld niet meewerken of onvoorzichtig hebben gehandeld.

Zeker in gevallen - zoals onderhavige - waarin de politie al in een vroeg stadium de samenwerking met banken heeft gezocht is het niet ondenkbeeldig dat banken te gemakzuchtig en onverplicht overgaan tot compensatie van klanten. De stelling van de rechtbank, dat hier sprake is van een in het maatschappelijk verkeer voorzienbare reactie, is bepaald niet het geval.

De veronderstelling dat de gevorderde bedragen dus ‘gewoon’ via de vordering benadeelde partij kunnen worden opgevoerd is daarmee te kort door de bocht. Dergelijke kosten zijn in dit geval niet (meer) te typeren als rechtstreekse schade. Van rechtstreekse schade kan daarom, gelet op het ontbreken van een onderbouwing op het punt van de compensatie, niet worden gesproken. De concrete omstandigheden van het geval (waarbij de rechtbank heeft verwezen naar de zaak ECLI:NL:HR:2016:1522) kunnen de conclusie dat sprake is van rechtstreekse schade niet dragen.

Nu beide vorderingen op voornoemd punt op geen enkele wijze zijn onderbouwd zijn de vorderingen naar de smaak van de verdediging ook hierom niet-ontvankelijk.”

Het hof heeft geoordeeld dat de verdachte hoofdelijk aansprakelijk is voor de door de benadeelde partijen Rabobank en ING geleden materiële schade tot respectievelijk €134.626,42 en €100.491,94. De uitspraak van het hof houdt hierover het volgende in:

“Vordering tot schadevergoeding Rabobank

In het onderhavige strafproces heeft Rabobank zich als benadeelde partij gevoegd en een vordering ingediend tot vergoeding van geleden materiële schade als gevolg van het aan de verdachte onder 1 ten laste gelegde, tot een bedrag van €166.227,25, vermeerderd met de wettelijke rente. De bank stelt schade te hebben geleden wegens het vergoeden van de als gevolg van bancaire malware ontstane schades aan zijn benadeelde rekeninghouders.

In eerste aanleg is de benadeelde partij niet-ontvankelijk verklaard in de vordering.

De benadeelde partij heeft zich in hoger beroep opnieuw gesteld voor het bedrag van €166.227,25. In hoger beroep is de vordering derhalve aan de orde tot het bedrag van €166.227,25. (...)

Ten aanzien van de vordering van de benadeelde partij is namens de verdachte verzocht deze vordering af te wijzen, primair nu ten aanzien van feit 1 vrijspraak is bepleit en de opgevoerde schade daarin zijn grondslag zou vinden en subsidiair omdat er aan de zijde van de banken geen sprake is van rechtstreekse schade zoals bedoeld in artikel 51f lid 1 Sv. (...)

Naar het oordeel van het hof heeft de benadeelde partij aangetoond dat tot een bedrag van €134.626,42 materiële schade is geleden. Deze schade is een rechtstreeks gevolg van het onder 1 bewezenverklaarde. De vordering van de benadeelde partij zal derhalve tot dat bedrag worden toegewezen, te vermeerderen met de gevorderde wettelijke rente over dit bedrag vanaf 1 januari 2013 tot aan de dag der algehele voldoening.

Voor het overige levert behandeling van de vordering van de benadeelde partij naar het oordeel van het hof een onevenredige belasting van het strafgeding op. Het hof zal dan ook bepalen dat de benadeelde partij voor het overige niet-ontvankelijk is in de vordering tot vergoeding van de geleden schade. Deze kan in zoverre bij de burgerlijke rechter worden aangebracht. (...)

Vordering tot schadevergoeding ING

In het onderhavige strafproces heeft ING zich als benadeelde partij gevoegd en een vordering ingediend tot vergoeding van geleden materiële schade als gevolg van het aan de verdachte onder 1 ten laste gelegde, tot een bedrag van €105.491,42, vermeerderd met de wettelijke rente. De bank stelt schade te hebben geleden wegens het vergoeden van de als gevolg van bancaire malware ontstane schades aan zijn benadeelde rekeninghouders.

In hoger beroep is deze vordering aan de orde tot dit in eerste aanleg gevorderde en in hoger beroep gehandhaafde bedrag van €105.491,42. (...)

Naar het oordeel van het hof heeft de benadeelde partij aangetoond dat tot een bedrag van €100.491,94 materiële schade is geleden. Deze schade is een rechtstreeks gevolg is van het onder 1 bewezenverklaarde. De vordering van de benadeelde partij zal derhalve tot dat bedrag hoofdelijk worden toegewezen, te vermeerderen met de gevorderde wettelijke rente over dit bedrag vanaf 1 januari 2013 tot aan de dag der algehele voldoening.

Middel

Het cassatiemiddel klaagt over de toewijzing door het hof van de vorderingen van de benadeelde partijen Coöperatieve Rabobank U.A. en ING Bank Nederland N.V. Het voert daartoe aan dat het hof de gevorderde schade ten onrechte heeft aangemerkt als rechtstreekse schade als bedoeld in artikel 361 lid 2, aanhef en onder b, van het Wetboek van Strafvordering.

Beoordeling Hoge Raad

Een benadeelde partij kan in het strafproces vergoeding vorderen van de schade die zij door een strafbaar feit heeft geleden als voldoende verband bestaat tussen het bewezenverklaarde handelen van de verdachte en de schade om te kunnen aannemen dat de benadeelde partij door dit handelen rechtstreeks schade heeft geleden. Voor de beantwoording van de vraag of zo’n verband bestaat, zijn de concrete omstandigheden van het geval bepalend. Voor het aannemen van zodanig verband is niet vereist dat de benadeelde partij is getroffen in een belang dat door de overtreden strafbepaling rechtstreeks wordt beschermd. (Vgl. HR 28 mei 2019, ECLI:NL:HR:2019:793, rechtsoverweging 2.3.1.)

Bovendien geldt dat voor vergoeding aan de benadeelde partij overeenkomstig de regels van het materiële burgerlijk recht slechts in aanmerking komt de schade die de benadeelde partij heeft geleden als gevolg van de onrechtmatige gedragingen van de verdachte, voor zover deze schade op de voet van artikel 6:98 van het Burgerlijk Wetboek aan de verdachte kan worden toegerekend. (Vgl. HR 28 mei 2019, ECLI:NL:HR:2019:793, rechtsoverweging 2.4.1.)

Het hof heeft geoordeeld dat de benadeelde partijen Rabobank en ING hebben aangetoond dat zij tot de toegewezen geldbedragen schade hebben geleden, bestaande uit de vergoeding door die banken van de geldbedragen die zijn ontvreemd van hun rekeninghouders. Dat oordeel is, ook in het licht van wat de raadsman heeft aangevoerd, toereikend gemotiveerd. Het oordeel van het hof dat tussen het onder 1 bewezenverklaarde gewoontewitwassen van de verdachte en de schade van die banken voldoende verband bestaat om te kunnen aannemen dat de benadeelde partijen door dit handelen rechtstreeks schade hebben geleden, getuigt niet van een onjuiste rechtsopvatting en is niet onbegrijpelijk. Daarbij neemt de Hoge Raad in aanmerking dat het hof heeft vastgesteld dat de geldbedragen zijn weggenomen doordat betaalopdrachten van rekeninghouders in de online bankieromgeving van de banken door malware werden gemanipuleerd en het bewezenverklaarde gewoontewitwassen met betrekking tot die geldbedragen is gepleegd (mede) om die geldbedragen buiten het bereik van de benadeelde partijen te brengen.

Het cassatiemiddel faalt.

Lees hier de volledige uitspraak.