In 2011, op het hoogtepunt van de Arabische Lente, werkte Fox-IT bij de voorbereidingen van een Surveillance Lab in Saoedi-Arabië samen met twee overheidsorganen: het NFI (Nederlands Forensisch Instituut) en TNO (Nederlandse Organisatie voor toegepast natuurwetenschappelijk onderzoek). Medewerkers van die organisaties zaten in de stuurgroep van het Saoedische project met als naam ‘Forensic Lab’, een landelijk netwerk van telefoon- en internetsurveillance.
Dit blijkt uit documenten die door het NFI en TNO openbaar zijn gemaakt in antwoord op Wob-verzoeken van Buro Jansen & Janssen en uit een grote hoeveelheid interne bedrijfsdocumenten over de relatie van Fox-IT met haar partner, het Duitse bedrijf AGT.
Tien jaar geleden is 2011 het jaar van de Arabische Lente met grote protesten tegen dictators in landen zoals Egypte, Libië, Syrië, Jemen en Bahrein. Ook in Saoedi-Arabië vinden sinds december 2010 protesten tegen het regime plaats.
Tegen deze achtergrond besluit Fox-IT deel te nemen aan het opzetten van een landelijk netwerk van telefoon- en internetsurveillance in Saoedi-Arabië. Hoewel het project in interne correspondentie wordt aangeduid als Forensic(s) Lab is deze naam misleidend. Uit interne documenten blijkt duidelijk dat het project beoogt een landelijk netwerk van telefoon- en internetsurveillance op te zetten.
Het project valt onder het Saoedische Ministerie van Binnenlandse Zaken. Projectleiders zijn het Duitse bedrijf AGT (Advanced German Technology) en het Saoedische bedrijf TCC (Technology Control Company). Fox-IT neemt deel aan drie meerdaagse voorbereidingsbijeenkomsten over het project: twee in de Saoedische hoofdstad Riyad op 20-22 juni 2011 en 23-29 juli 2011 en een bijeenkomst op 5-7 september 2011 in het Ritz hotel in Berlijn.
Arabische Lente
De timing is opmerkelijk. Begin 2011 worden in de Tweede Kamer vragen gesteld over de export door Nederlandse computer- en beveiligingsbedrijven naar het Midden-Oosten. In antwoord op de Kamervragen laat de minister van Economische Zaken weten in gesprek te gaan met de technologiebedrijven waaronder Fox-IT om hen te wijzen op “mogelijk misbruik van filtertechnologie voor antidemocratische en repressieve doeleinden.”
Naar aanleiding van het gesprek volgt er op 19 april 2011 een nieuwsbericht: “Tijdens het gesprek gaven de bedrijven aan nu al zeer kritisch om te gaan met levering van hun producten aan landen waar de mensenrechtensituatie te wensen overlaat.”
Toenmalig directeur Ronald Prins zegt in augustus 2011 aan Vrij Nederland dat het Delftse bedrijf kritisch is: “Fox-IT is er om de maatschappij veiliger te maken en niet om machthebbers te beschermen tegen hun eigen volk. Het is wel gebeurd dat landen waar een hoop commotie is opeens aan de lijn hangen en onze spullen willen kopen. En dan ben ik heel duidelijk: dat doen we dus niet.”
De uitspraken van Prins vallen echter moeilijk te rijmen met de handel van het bedrijf met het Midden-Oosten. Fox-IT was van 2006 tot 2012 zeer actief op de markt van de surveillance-industrie in het Midden-Oosten. De Golfregio was een belangrijke afzetmarkt voor het Delftse bedrijf. Fox-IT gaf besloten workshops, onder meer in Syrië, Egypte en de Verenigde Arabische Emiraten, waarin het haar producten probeerde te verkopen aan overheidsinstanties, militairen en inlichtingendiensten. Het bedrijf richtte zich in de regio met name op de verkoop van de FoxReplay en Data Diode. De FoxReplay is vanaf 2006 op de markt en behelst interceptie-apparatuur om het internetverkeer al dan niet real time te analyseren.
De uitspraken van Prins staan ook haaks op de betrokkenheid van Fox-IT bij het Surveillance Lab in Saoedi-Arabië in 2011. Sinds december 2010 vinden daar protesten plaats tegen het regime. Het land staat al sinds 2006 op de lijst van ‘Enemies of the Internet’ van Reporters without Borders. In 2011 introduceert de Saoedische regering nieuwe wetgeving voor het gebruik van het internet die ernstige beperkingen van de vrijheid van meningsuiting met zich meebrengt. Zo worden alle online kranten en bloggers verplicht om een speciale licentie bij het Ministerie van Informatie aan te vragen. Bloggers en mensenrechtenactivisten worden gemonitord op sociale media en riskeren vervolging.
Dit vormt voor Fox-IT echter geen bezwaar om deel te nemen aan een project voor het opzetten van een landelijk netwerk van telefoon- en internetsurveillance.
NFI en TNO in stuurgroep
Ook de betrokkenheid van onderdelen van de Nederlandse overheid, TNO en NFI, bij het Saoedische project staat in schril contrast met de inhoud van het nieuwsbericht van het Ministerie van Economische Zaken van 11 april 2011: “Bedrijven die internetbeveiliging exporteren gaan zich samen met de overheid inspannen om misbruik van deze technologieën tegen te gaan. Zowel de bedrijven als de overheid onderschrijven het belang van internetvrijheid en onderkennen de gevaren van mogelijk misbruik van beveiligingstechnologieën.”
TNO en NFI zijn bestuursorganen, maar werken niet exclusief voor de overheid, zij hebben ook private opdrachtgevers. Het NFI is het meest bekend door haar onderzoek naar DNA en sporen op plaatsen delict. TNO doet onderzoek op allerlei terreinen zoals energietransitie, milieu en circulaire economie maar ook defensie en veiligheid.
De keuze van Fox-IT om het NFI en TNO bij het project te betrekken is niet verwonderlijk. Het Delftse bedrijf heeft nauwe banden met beide organisaties. Het gaat deels om personele banden: verschillende werknemers van Fox-IT komen van het NFI en TNO en vice versa.
Ook werken de organisaties geregeld samen. Zo werkte Fox-IT met het NFI samen bij de ontmanteling van het Bredolab botnet in 2010. En werkten Fox-IT en TNO samen bij de ontwikkeling van een systeem om digitale spionage sneller te detecteren en de ontwikkeling van het Internet Recherche Onderzoek Netwerk (iRN) van de politie.
Tijdens de eerste voorbereidingsbijeenkomst van het Surveillance Lab op 16 juni 2011 in Riyad, geeft Fox-IT een power point presentatie met een voorstel voor de opzet en inrichting van het Saoedische Lab. Het bedrijf refereert in haar presentatie aan het NFI met onder meer een foto van het NFI-hoofdkantoor.
In de presentatie stipt Fox-IT tevens de gezamenlijke ‘forensische’ geschiedenis met AGT, het Duitse bedrijf dat een van de projectleiders is, aan. In de presentatie worden de ontwikkeling van een netwerk van tussenhandelaren in 2007 en een gezamenlijke training in Egypte in 2008 genoemd.
Vanaf het begin van de handel in het Midden-Oosten werkt Fox-IT al samen met AGT. Het in 2002 opgerichte bedrijf heeft naast Berlijn vestigingen in Dubai (Verenigde Arabische Emiraten), Syrië, Egypte en Saoedi-Arabië. Als tussenhandelaar houdt het zich met name bezig met de verkoop van Europese technologie in het Midden-Oosten.
Gezien het portfolio van het Duitse bedrijf is de betrokkenheid van TNO en het NFI bij het project opmerkelijk te noemen. AGT heeft klanten in landen met repressieve regimes, waaronder overheidsinstanties. De klantenkring van AGT is bekend bij de Nederlanders. De namen zijn namelijk gewoon terug te vinden op de website van het bedrijf, omdat AGT in de beginjaren redelijk open is over haar contacten en projecten in het Midden-Oosten.
Tijdens de tweede voorbereidingsbijeenkomst in juli 2011 in Riyad wordt het NFI door AGT genoemd als een van de leden van de stuurgroep van het project. AGT vermeldt in haar PowerPoint Presentatie op pagina 24: “Steering committee from TCC, MOI (het Saoedische Ministerie van Binnenlandse Zaken), founder of AD (Het Amerikaanse bedrijf AccessData), CEO Guidance’s (het Amerikaanse bedrijf Guidance Solutions), former Interpol Deputy, founder of the NFI, FBI Lab, former BKA Audio Forensic Lab (Bunder Kriminal Amt)”.
AGT maakt in de presentatie niet duidelijk wie er wordt bedoeld met ‘founder of the NFI’. Uit de via de WOB openbaar gemaakte documenten wordt echter duidelijk dat Zeno Gerardts betrokken is bij het project. Hij wordt door AGT genoemd als lid van de stuurgroep. Geradts is sinds 1992 in diverse functies werkzaam bij het NFI, onder andere als senior forensics scientist.
Ook het TNO wordt door AGT genoemd als lid van de stuurgroep. Het gaat om Arie van Tol, sinds juni 2011 Programme Manager Law Enforcement bij TNO. Hij wordt uitgenodigd voor de tweede voorbereidingsbijeenkomst in Riyad in juli.
Tijdens de voorbereidingen van deze bijeenkomst schrijft AGT in een email aan mede-projectleider TCC: “As I confirmed to you, this the passports from the 09 team member, one expert from TNO did not send his copy, but the number of the passports, (…)” Het bericht volgt op een vraag van TCC naar ondertekende NDA’s geheimhoudingsovereenkomsten) en teaming agreements van de partners.
Op 13 juli 2011 mailt AGT dat alle partners een NDA hebben ontvangen en vraagt een update over de visa van de deelnemers. “This is to inform you that all the partners received the NDA Agreement, you will receive the agreements signed by the end of this week or early next week at the latest.” De visumaanvragen verlopen stroef: “as part of the preparation for the upcoming meeting next week in the kingdom of Saudi Arabia, I would kindly ask you which is the status of the visa of the participants.”
Op 17 juli 2011 verstuurt AGT de uitnodigingsbrieven voor de bijeenkomst. “Please find attached the copy of the invitation letter for you and Mr. Adrianus Cornelis van Tol. I will also attach the Commercial Registration of the Sponsor Company”. Arie van Tol staat op de ledenlijst van de stuurgroep van het project (het ‘KSA TEAM July 23 – 28, 2011’). In het Excel document ‘Checklist2’ van 18 juli 2011 is TNO op plaats 33 toegevoegd: “33, TNO, Adrianus Cornelis Van Tol.”
Offerte van de Nederlandse holmes (NFI)
Het NFI wordt door Fox-IT betrokken bij het project vanwege haar kennis over ‘Digitale Technologie & Biometrie (DTB).’ Fox-IT werkt samen met de afdeling DTB die onder andere werkt aan ‘Beeldbewerking & Biometrie’, ‘Spraak en audio,’ en ‘Vingersporen.’ De website van de afdeling DTB heeft als domeinnaam holmes.nl.
Het NFI neemt een deel van het project voor haar rekening. Op 11 augustus mailt het NFI aan Fox-IT: “Naar aanleiding van de bespreking van gisteren heb ik bijgaande brief verwoord zoals we verder kunnen doen aan consultancy, training education etc in Saudi Arabie.” Het NFI kondigt aan een offerte op te stellen.
Enkele dagen later (14 augustus) laat het NFI weten dat het maken van de offerte meer tijd in beslag zal nemen omdat de juridische afdeling er nog naar moet kijken. NFI tekent al wel een LOI (Letter of Intent). Op 15 augustus 2011 mailt een medewerker van Fox-IT aan de Divisie Digitale en Biometrie Sporen (DBS) van NFI: “Ik heb er nog een keer bij AGT op aangedrongen dat de letter of
intent wordt getekend en dat jullie met die partij contact willen hebben. Ik ga verder wel aan de slag met de informatie die we nu van jullie hebben ontvangen.” Fox-IT stuurt de LOI op 19 augustus door aan AGT: “Ik heb LOI die je me hebt gestuurd aan AGT gestuurd.”
Cognitech
Fox-IT betrekt ook het Amerikaanse Cognitech bij het Saoedische project. Dit bedrijf levert forensische software op het terrein van visuele dataverzameling en analyse van zowel actuele analoge en digitale informatie.
Het bedrijf schrijft op haar website dat het bij de software om “Real-Time forensic video processing, capturing, and forensic encoding software”, “forensic video and image enhancement”, “capturing analog and digital data media and sources” en “bio-metric and scene measurements” gaat. Een van de slogans van het bedrijf is “detect, verify and authenticate.”
Cognitech bevestigt op 17 augustus haar interesse in het project. Het stuurt Fox-IT, het NFI en TNO een bericht met als onderwerp ‘Cognitech in resellers Saudi Arabia region’. Hier schetst het haar visie op het Lab: “The image and video forensics lab will be 10 persons in 5 years from now. I was thinking of 2 licences and a training for 6 persons.” Twee dagen later mailt Fox-IT het NFI: “Inmiddels ben ik zo ver dat ze een offerte gaan maken en Fox mag gaan resellen 😉 (smile).”
Surveillance policing van TNO
Uit de via de WOB openbaar gemaakte documenten wordt niet duidelijk welke rol het TNO heeft in de voorbereidingen van het project. TNO maakt geen documenten openbaar over haar betrokkenheid bij het project. Op 9 juli 2019 laat het weten dat er “geen e-mailverkeer van TNO met het Duitse bedrijf AGT en met het bedrijf TCC uit Saudi-Arabië is aangetroffen.”
De betrokkenheid van Arie van Tol geeft echter een indruk van de expertise die TNO inbrengt. Als Programme Manager Law Enforcement is van Tol verantwoordelijk voor onderzoek op het terrein van de overlap tussen inlichtingenwerk en opsporingsdiensten zoals sensing (informatie gestuurd politiewerk), predictive policing (voorspellend politiewerk) en prescriptive policing (voorspellend effectief politiewerk gericht op interventies).
Deze onderzoeksterreinen passen in het Surveillance Lab. Zeker in een repressief regime zoals Saoedi-Arabië waar opsporing bovenal te maken heeft met het opsporen van oppositionele of afwijkende meningen en gedragingen. Hierbij gaat het niet meer alleen om opsporing, maar om inlichtingenwerk.
NFI trekt zich terug
In september 2011 trekt het NFI zich plots terug uit het project. Het meldt op 13 september aan Fox-IT: “helaas moeten we afhaken”. De reden wordt door het NFI niet openbaar gemaakt. De passages zijn in de via de Wob openbaar gemaakte documenten onleesbaar gemaakt. Een NFI-medewerker lijkt nader onderzoek te hebben gedaan naar de achtergrond en impact van het project, maar de inhoud van zijn bevindingen wordt niet openbaar gemaakt.
Fox-IT heeft zelf geen onderzoek naar het Saudische project gedaan en heeft niet onderzocht of het Lab kan bijdragen aan repressie en mensenrechtenschendingen. Het Delftse bedrijf mailt dezelfde dag: “Bedankt dat jullie dit zo zorgvuldig hebben uitgezocht. Voor fox betekent dat wij ons ondanks onze investeringen en bezoeken en offertes terugtrekken uit het project.”
Op 29 september 2011 mailt Fox-IT het NFI dat AGT op de hoogte is gesteld van het besluit van het NFI: “Ik heb AGT geïnformeerd over jullie besluit en de consequentie daarvan voor Fox.” De consequentie voor Fox-IT is dat het zich ook terugtrekt, maar het Delftse bedrijf doet dat dus niet uit zichzelf.
Fox-IT en het NFI worden door AGT nog wel uitgenodigd voor de inauguratie van de stuurgroep op 15-16 november 2011 in Riyad. Hans Henseler (Fox-IT) en Zeno Geradts van het NFI (Senior Forensic Scientist Digital Technology and Biometrics) worden in de uitnodiging vermeld als leden van de stuurgroep, maar er zijn geen aanwijzingen dat zij de inauguratie hebben bezocht.
Na een oproep van AGT om snel te reageren in verband met het maken van hotelboekingen: “Accommodation is being arranged and therefore I would request that you confirm your attendance at the earliest opportunity”, stuurt een AGT-medewerker een bericht vanaf zijn Iphone: “Fox and NFI are out.”
TNO geeft geen openheid
TNO heeft in antwoord op het Wob-verzoek van Buro Jansen & Janssen geen documenten openbaar gemaakt over haar betrokkenheid bij het Saoedische project. Een jurist van TNO schrijft op 24 juni 2019: “Van … heb ik begrepen dat dit project (forensic lab) nimmer in samenwerking met TNO is uitgevoerd – althans heeft TNO hier niet in geparticipeerd – omdat er bezwaren rondom het project bestonden, o.a. van ethische aard.”
TNO schrijft niet te hebben geparticipeerd in het project, maar de beantwoording van het Wob-verzoek laat veel vragen onbeantwoord. Het maakt niet duidelijk of het zelf onderzoek heeft gedaan naar het project en haar mogelijke bijdrage aan repressie en mensenrechtenschendingen. Evenmin wordt duidelijk hoe het kan dat TNO betrokken raakte bij de voorbereidingen van het project en welke afwegingen hierin zijn gemaakt. TNO-medewerker Arie van Tol was immers betrokken bij de voorbereidingen van het project, nam deel aan de voorbereidingsbijeenkomst in juli in Riyad en werd genoemd als lid van de stuurgroep.
Gaan Fox-IT en de overheid kritisch om met mensenrechten?
Tijdens de Arabische Lente heeft de minister van Economische Zaken een gesprek met Nederlandse bedrijven die actief zijn in het Midden-Oosten. In een verslag van het gesprek stelt het ministerie op 19 april 2011 dat “de bedrijven al zeer kritisch om gaan met levering van hun producten aan landen waar de mensenrechtensituatie te wensen overlaat.”
Het surveillance lab in Saoedi-Arabië laat zien dat dit voor Fox-IT niet het geval is. Het Delftse bedrijf Fox-IT heeft zelf geen onderzoek gedaan naar de mogelijke bijdrage van het project aan repressie en mensenrechtenschendingen. Fox-IT trekt zich pas terug uit het project naar aanleiding van de bij het NFI gerezen bezwaren.
Ook de handelwijze van de overheidsorganen NFI en TNO staat in schril contrast met het nieuwsbericht van het Ministerie van Economische Zaken van 11 april 2011, dat stelt: “Bedrijven die internetbeveiliging exporteren gaan zich samen met de overheid inspannen om misbruik van deze technologieën tegen te gaan.”
Het NFI en TNO nemen echter zonder voorafgaand onderzoek deel aan de voorbereidingen van het Saoedische Surveillance Lab. Dit is opmerkelijk, zeker gezien de politieke discussie die op dat moment gaande is over de export van technologie aan repressieve regimes.
Hierbij is het opvallend dat de betrokkenen van Fox-IT, NFI en TNO tevens actief zijn in het Nederlandse onderwijs. Hans Henseler is in 2011 – naast zijn werk voor Fox-IT – ook aangesteld aan de Hogeschool Leiden als lector Digital Forensics & E-discovery en aan de Hogeschool van Amsterdam als lector E-discovery. Zeno Geradts is in 2011 – naast zijn werk voor het NFI – ook verbonden aan de Universiteit van Amsterdam als Forensic Data Scientist. Arie van Tol is niet actief in het onderwijs, maar zijn TNO-afdeling is verbonden aan ondermeer de Universiteit van Amsterdam en de TU Delft.
De betrokkenheid van Fox-IT, het NFI en TNO aan het Saoedische Surveillance Lab is een schoolvoorbeeld van het uit de weggaan van de discussie over de Nederlandse steun aan repressieve regimes en de mogelijke bijdrage van Nederlandse instellingen aan repressie en mensenrechtenschendingen.
– Fox-IT in Rusland (samenvatting)
– Fox-IT in Rusland (onderzoek)
– Fox-IT en de Nederlandse overheid
– Documenten bij het onderzoek naar Fox-IT
– Observant #77 / juni 2021 Fox-IT in Rusland (pdf)
– Onderzoek: Fox-IT in Rusland (pdf)