3.3.De bewijsmiddelen
De rechtbank gaat bij haar beslissing dat verdachte zich schuldig heeft gemaakt aan het ten laste gelegde feit uit van de volgende bewijsmiddelen en de daarin vervatte redengevende feiten en omstandigheden.
De door de rechtbank in deze rubriek als proces-verbaal aangeduide bewijsmiddelen zijn in de wettelijke vorm opgemaakt door personen die daartoe bevoegd zijn en voldoen ook overigens aan de daaraan bij de wet gestelde eisen.
1. Het proces-verbaal van bevindingen handelingen RTIC bij opstart onderzoek 12Dinara opgemaakt door verbalisant [verbalisant 1] d.d. 1 oktober 2013 (p. 197-200):
Dit proces-verbaal houdt – zakelijk weergegeven – onder meer in:
In de nacht van 25 september 2013 omstreeks 05:30 uur heeft verbalisant [verbalisant 1] van het RTIC (Real Time Intelligence Center) behorende bij de Regiopolitie Noord-Holland, gegevens opgevraagd bij Twitter nadat hij via het programma Hootsuite via bepaalde zoekwoorden, in dit geval het woord ‘dood’, op een vijftal (5) tweets stuitte van het account @CricusBloed. Uit een door [verbalisant 1] gemaakt screenshot blijkt het te gaan om de vijf (5) tweets:
Cricus Bloed
Nog 7:30 uur @schieten @shoot @vdwebcare @laplace @haarlem @dood @bom @rtvnh @nhdagblad @vd prijzencircus
Cricus Bloed
Niemand hoeft iets te doen, het gebeurt gwn! Ontruim onmg @VDWebcare @laplace @haarlem @dood @bom @rtvnh @nhdagblad @vdprijzencircus
Cricus Bloed
Bloedpartij vandaag 11:50 VD/laplace haarlem centrum. Min. 10 dood hah @VD @laplace @haarlem @dood @bom @rtvnh @nhdagblad @vdprijzencircus
Cricus Bloed
Gevolgen niet te overzien pleeg zelfmoord daarna #dood #moord #laplace #prijzencircus #vd #ontslag #HaarlemOpenen
Cricus Bloed
Circus krijgt dodelijk begin Hagha, 11:50 v&d haarlemC, manager shoot! #25-9-13 #dood #moord #laplace #prijzencircus #vd #ontslag #Haarlem
2. Het proces-verbaal van bevindingen OSINT screenshot dreigtweets opgemaakt door verbalisant [verbalisant 2] d.d. 25 oktober 2013 (p. 201-202):
Dit proces-verbaal houdt – zakelijk weergegeven – onder meer in:
Op 26 september 2013 is aan het OSINT (Open Source Intelligence) afdeling van de Landelijke Eenheid de vraag gesteld wat de vijf exacte tijdstippen van de verzending van de tweets zijn vanaf het account @CricusBloed. Als antwoord is op 27 september 2013 door het OSINT een printscreen gestuurd waaruit de volgende tijdstippen blijken:
25/09/2013 04:19 Cricus Bloed
Nog 7:30 uur @schieten @shoot @vdwebcare @laplace @haarlem @dood @bom @rtvnh @nhdagblad @vd prijzencircus
25/09/2013 04:17 Cricus Bloed
Niemand hoeft iets te doen, het gebeurt gwn! Ontruim onmg @VDWebcare @laplace @haarlem @dood @bom @rtvnh @nhdagblad @vdprijzencircus
25/09/2013 04:15 Cricus Bloed
Bloedpartij vandaag 11:50 VD/laplace haarlem centrum. Min. 10 dood hah @VD @laplace @haarlem @dood @bom @rtvnh @nhdagblad @vdprijzencircus
24/09/2013 22:25 Cricus Bloed
Gevolgen niet te overzien pleeg zelfmoord daarna #dood #moord #laplace #prijzencircus #vd #ontslag #HaarlemOpenen
24/09/2013 22:19 Cricus Bloed
Circus krijgt dodelijk begin Hagha, 11:50 v&d haarlemC, manager shoot! #25-9-13 #dood #moord #laplace #prijzencircus #vd #ontslag #Haarlem
Daarbij werd door het OSINT toegelicht dat de tijd van het Twitteraccount van OSINT staat ingesteld op de lokale Nederlandse tijd, dus de tijdstippen van de tweets komen overeen met de Nederlandse tijdstippen.
3. Het proces-verbaal internetonderzoek Twitter opgemaakt door verbalisant [verbalisant 3] d.d. 30 september 2013 (p. 184-196):
Dit proces-verbaal houdt – zakelijk weergegeven – onder meer in:
Op 25 september 2013 omstreeks 08:00 uur was verbalisant [verbalisant 3] aanwezig bij het eerste TGO 12Dinara overleg waarbij werd medegedeeld dat er de afgelopen avond en nacht een vijftal tweets waren verzonden door het account Cricus Bloed vanaf drie verschillende IP-adressen [IP-adres 1], [IP-adres 2] en [IP-adres 3].
Uit een e-mailbericht van Twitter verzonden aan [verbalisant 1] naar aanleiding van een door hem ingediende spoedaanvraag bij Twitter, welke op 25 september 2013 om 08:57 uur is doorgestuurd aan verbalisant [verbalisant 3] (Dienst Regionale Recherche) van de politie Noord-Holland, blijkt dat het account CricusBloed op 24 september 2013 om 20:00:25 uur is aangemaakt met het e-mailadres [fakemail e-mailadres].
Met het account CricusBloed is meerdere malen ingelogd bij Twitter, te weten op:
2013-09-25 02:20:30, last_login_ip: [IP-adres 2]
2013-09-25 02:19:00, last_login_ip: [IP-adres 2]
2013-09-24 20:25:55, last_login_ip: [IP-adres 3]
2013-09-24 20:25:40, last_login_ip: [IP-adres 3]
2013-09-24 20:19:58, last_login_ip: [IP-adres 4]
2013-09-24 20:13:57, last_login_ip: [IP-adres 4]
2013-09-24 20:13:32, last_login_ip: [IP-adres 5]
2013-09-24 20:09:29, last_login_ip: [IP-adres 6]
2013-09-24 20:06:31, last_login_ip: [IP-adres 1]
2013-09-24 20:04:51, last_login_ip: [IP-adres 1]
Uit onderzoek naar de IP-adressen bleek dat deze toebehoren aan:
[IP-adres 2] Vodafone Mobile Office Nederland
[IP-adres 3] SpaceDump IT, Tor exit node, locatie Zweden
[IP-adres 4] Nforce Entertaiment, Tor exit node network, locatie Nederland
[IP-adres 5], Kaia Global Networks, Tor exit router, locatie Duitsland
[IP-adres 6], BROADNET, mogelijk Tor exit node, locatie Noorwegen
[IP-adres 1], Chaos Computer Club, mogelijk Tor exit node, locatie Duitsland
Het e-mailadres [fakemail e-mailadres] is aangemaakt op de website 10minutemail.com. Dit is een website waar men een e-mailadres aan maakt wat maar 10 minuten geldig is. Na deze 10 minuten vervalt automatisch het e-mailadres. Alle berichten die binnenkomen bij het e-mailadres worden getoond op de website zelf. Inloggen op de website is hiervoor niet nodig.
Naar aanleiding van het IP-adres [IP-adres 2], behorend bij Vodafone Mobile office Nederland, is contact opgenomen met Vodafone. Uit dat gesprek bleek dat ongeveer 65.000 telefoons op dat moment het IP-adres [IP-adres 2] gebruikten.
4. Het proces-verbaal van bevindingen rechtshulpverzoek 10minutemail opgemaakt door verbalisant [verbalisant 4] d.d. 8 oktober 2013 (p. 235-245):
Dit proces-verbaal houdt – zakelijk weergegeven – onder meer in:
Met tussenkomst van het Internationaal Rechtshulpcentrum NWMN is middels een rechtshulpverzoek contact opgenomen met [bestuurder], contactpersoon van ISP Digital Sanctuary, die de service “10 Minute Mail” aanbiedt, en verzocht om informatie te verstrekken nadat bekend was geworden dat het Twitteraccount CricusBloed op 24 september 2013 om 20:00:25 uur was aangemaakt met het e-mailadres [fakemail e-mailadres] via de website 10minutemail.com. Uit de door [bestuurder] verstrekte informatie bleek dat [fakemail e-mailadres] bij de website 10minutemail.com met het IP-adres [IP-adres huis verdachte] is aangemaakt. Blijkens een CIOT-bevraging op 8 oktober 2013 van voornoemd IP-adres kwam het adres [adres verdachte] te IJmuiden naar voren. Op dit adres is onder andere woonachtig [verdachte], geboren op [geboortedatum]. Voorts is naar aanleiding van het verhoor van V&D manager [manager] gebleken dat [verdachte] werkzaam is bij de V&D La Place aan de Grote Houtstraat 70 te Haarlem.
5. Het proces-verbaal ondersteuning doorzoeking/uitlezen modem/router opgemaakt door verbalisant [verbalisant 5] d.d. 9 december 2013 (p. 423-426):
Dit proces-verbaal houdt – zakelijk weergegeven – onder meer in:
Op woensdag 9 oktober 2013 ontving de afdeling digitale expertise het verzoek ondersteuning te verlenen bij een doorzoeking in een woning waar mogelijk digitale gegevensdragers veiliggesteld dienden te worden. Op woensdag 9 oktober 2013 omstreeks 18:15 uur werd de woning betreden. In de woonkamer stond een modem/router van het merk Ubee. De modem/router was voorzien van het interne netwerk IP-adres [intern IP-adres router] en de MAC-adressen [MAC-adres router] (CC, CE of CF). De router was volgens de sticker van de fabrikant voorzien van een gebruikersnaam “ziggo” en wachtwoord “draadloos”. Middels een daarvoor bestemde kabel, werd een onderzoeklaptop van de afdeling digitale expertise verbonden met het router. (…) Nadat de onderzoeklaptop werd gekoppeld aan het router werd het IP-adres, welke door de internetprovider “Ziggo.nl” verstrekt werd vastgesteld. Het externe IP-adres van de aansluiting betrof: [IP-adres huis verdachte] ten tijde van het onderzoek. (…) De datum/tijd van dit modem/router ten tijde van dit onderzoek was woensdag 9 oktober 2013, 17:27 en liep ongeveer een uur achter met de werkelijke datum/tijd. Als systeem start tijd van de modem/router stond vermeld: “Donderdag 29 augustus 2013, 14:25.”
6. Het proces-verbaal ontvangen informatie van Ziggo over IP-adres [IP-adres huis verdachte] opgemaakt door verbalisant [verbalisant 4] d.d. 30 oktober 2013 (p. 341):
Dit proces-verbaal houdt – zakelijk weergegeven – onder meer in:
Op 28 oktober 2013 werden de historische verkeersgegevens van e-mail en historische verkeersgegevens internet (IP-logs) van het IP-adres [IP-adres huis verdachte] over de periode 24 september 2013 te 00.00 uur t/m 26 september 2013 te 23.59 uur gevorderd bij Ziggo. Op woensdag 30 oktober 2013 werd het volgende antwoord van Ziggo ontvangen:
“Van het genoemde IP-adres ([IP-adres huis verdachte]) kunnen wij geen historische verkeersgegevens leveren. Het MAC adres op de gevraagde datum in uw vordering is [MAC adres router], de laese is gestart op 24-06-2013 2:25 tot op heden. (…)”
7. Het proces-verbaal van bevindingen opgemaakt door verbalisant [verbalisant 6] d.d. 24 december 2015 (los opgenomen):
Dit proces-verbaal houdt – zakelijk weergegeven – onder meer in:
(…) Op maandag 28 oktober 2013 werden de historische verkeersgegevens bij de afdeling Interceptie en Sensing van Ziggo gevorderd van e-mail en historische verkeersgegevens internet (IP-logs) van het IP-adres [IP-adres huis verdachte] over de periode 24 september 2013 te 00.00 uur t/m 26 september 2013 te 23.59 uur. Hierop heeft het onderzoek het antwoord ontvangen dat dergelijke historische gegevens niet worden gelogd door Ziggo. Wel heeft Ziggo gesteld dat het MAC adres [MAC adres router] is gestart op 24 juni 2013. Dit MAC adres is statisch gekoppeld aan de kabelrouter welke geplaatst was op de huisaansluiting van het adres [adres verdachte] te IJmuiden. Digitaal rechercheur, [verbalisant 5], heeft op woensdag 9 oktober 2013 ten tijde van de doorzoeking onderzoek verricht aan de router welke op dat moment in gebruik en actief was op het adres [adres verdachte] te IJmuiden. Uit dat onderzoek is gebleken dat ten tijde van dat onderzoek de router met MAC adres [MAC adres router] gekoppeld stond aan het externe IP adres [IP-adres huis verdachte]. (…)
Op donderdag 24 december 2015 heb ik, verbalisant, via [verbalisant 7], de coördinator interceptie van de Politie Noord Holland verzocht een verdiepende vraag te stellen aan de afdeling Interceptie en Sensing van Ziggo ten aanzien van het relateren van het adres [adres verdachte] te IJmuiden aan het IP adres [IP-adres huis verdachte]. Ik, verbalisant, ontving de volgende informatie via, via [verbalisant 7], de coördinator Interceptie van de Politie Noord Holland:
“Op mijn verzoek heeft een medewerker van de afdeling Interceptie en Sensing van Ziggo nogmaals de tenaamstelling van het IP-adres [IP-adres huis verdachte] bevraagd. Daar kwam een ander adres uit dan [adres verdachte] te IJmuiden. Desgevraagd vertelde de medewerker dat als het IP-adres op 08-10-2013 is bevraagd en toen als adres [adres verdachte] te IJmuiden heeft gegenereerd, dat het dan ook 100% zeker is dat dat IP-adres toen op dat adres actief is geweest.”
8. Het aanvullend proces-verbaal uitlezen router opgemaakt door verbalisant [verbalisant 5] d.d. 14 januari 2014 (p. 356-357):
Dit proces-verbaal houdt – zakelijk weergegeven – onder meer in:
De modem/router in de woonkamer was voorzien van een gebruikersnaam “ziggo” en het wachtwoord “draadloos”. Met behulp van deze gegevens is de modem/router middels een kabel te benaderen. De modem/router was, ten tijde van het onderzoek in de woning, draadloos beveiligd middels WPA2-PSK, met als sleutel [wachtwoord].
9. Het proces-verbaal van bevindingen nadere verklaring vragen verdediging opgemaakt door verbalisant [verbalisant 8] d.d. 13 april 2015 (los opgenomen):
Dit proces-verbaal houdt – zakelijk weergegeven – onder meer in:
(…) Bij deze vraag verwijs ik naar het opgemaakte proces-verbaal van digitaal rechercheur [verbalisant 5], met dagtekening 14 januari 2014. In dit proces-verbaal staat vermeld dat beide routers bij aantreffen voorzien waren van een beveiliging en dus niet ‘open’ waren. Dit betekend dat niemand openbaar toegang had tot beide routers zonder op de hoogte te zijn van het wachtwoord. (…)
10. Het proces-verbaal onderzoeksgegevens laptop opgemaakt door verbalisant [verbalisant 9] d.d. 16 oktober 2013 (p. 428-438):
Dit proces-verbaal houdt – zakelijk weergegeven – onder meer in:
Uit het onderzoek verricht aan de Asus laptop van verdachte [verdachte] bleek, dat er op 25 september 2013 om 17:25 uur een nieuwe versie van Windows 7 Home Premium service pack 1 is geïnstalleerd op naam van [voornaam verdachte]. Het betreft een zogenaamde herinstallatie van het systeem waardoor veel benaderbare informatie overschreven is. Met een zoekprogramma is er in de computer gezocht met zoekwoorden. Er bleken sporen te zijn aangetroffen van de zoekwoorden ‘10minutemail’ en ‘torbrowser’. Bij ‘10minutemail’ ging het om de unallocated sectors die niet benaderbaar zijn. Voorts werden er delen van bezochte websites middels de browser Google Chrome aangetroffen waaruit blijkt dat er op internet meermalen is gezocht met Google Search door het intypen van de woorden ‘10minutemail’, ‘10 minuten mail’ en ‘60 minuten mail’. Het internetadres 10minutemail.com is in een Windows systeembestand aangetroffen hetgeen een spoor van gebruik van die website betekent. In de unallocated clusters werden nog twee verwijzingen aangetroffen naar de torbrowser. Deze applicatie had op het bureaublad van de gebruiker [voornaam verdachte] gestaan.
11. Het proces-verbaal historische verkeersgegevens opgemaakt door verbalisant [verbalisant 6] d.d. 19 november 2013 (p. 276-281):
Dit proces-verbaal houdt – zakelijk weergegeven – onder meer in:
Op 11 oktober 2013 zijn de historische verkeersgegevens van [mobiele telefoonnummer verdachte], dat volgens een CIOT bevraging op naam is gesteld van [verdachte], door Vodafone verstrekt. Hieruit blijkt dat het telefoonnummer op 25 september 2013 om 04:08:52 uur gedurende 1083 seconden een dataverbinding had waarbij gebruik werd gemaakt van het basisstation Vodafone-47851 gelegen aan de Spaarnestraat te IJmuiden. De woning van verdachte [verdachte] is gelegen op de [adres verdachte] te IJmuiden welke binnen het gebied is gelegen waaraan het basisstation Vodafone-47851 dekking geeft.
12. Het proces-verbaal van bevindingen overzicht registraties van activiteiten uit DCS van het 06 nummer en IMEI-nummer van [verdachte] opgemaakt door verbalisant [verbalisant 4] d.d. 25 november 2013 (p. 343-345):
Dit proces-verbaal houdt – zakelijk weergegeven – onder meer in:
Uit de registraties uit DCS (Digitale Communicatie Sporen) blijkt dat ten aanzien van het telefoonnummer [mobiele telefoonnummer verdachte] en IMEI-nummer [IMEI-nummer] in gebruik bij [verdachte] op 25 september 2013 om 04:08 uur internetactiviteiten zijn geregistreerd.
13. Het proces-verbaal onderzoek data uit Samsung Galaxy Note opgemaakt door verbalisant [verbalisant 10] d.d. 16 oktober 2013 (p. 449-452):
Dit proces-verbaal houdt – zakelijk weergegeven – onder meer in:
In de telefoon van [verdachte], de Samsung Galaxy Note, werd een cookie aangetroffen van 10minutemail.com. Tevens werd in Android Chrome Bookmarks een link naar twitter.com aangetroffen welke was gecreëerd op 25 september 2013 om 04:23:22 uur. Op datzelfde tijdstip werd met die telefoon gebruik van internet in de telefoon aangetroffen waaronder met de link twitter.com. De datum en tijd van toegang tot twitter.com bleek te zijn op 25 september 2013 om 02:21:57 uur, 02:22:48 uur en 02:23:22 uur waarbij echter een herberekening dient plaats te vinden waardoor de werkelijke tijd uitkomt op 04:21:57 uur, 04:22:48 uur en 04:23:22 uur.
14. Het proces-verbaal van bevindingen nadere toelichting onderzoeksresultaten opgemaakt door verbalisant [verbalisant 8] d.d. 21 januari 2016 (los opgenomen):
Dit proces-verbaal houdt – zakelijk weergegeven – onder meer in:
(…) Voor de cruciale tijden, waaronder Twitteraccount en 10minutemail aanmaken is hieronder een uitleg bijgevoegd. In het algemeen zal voor het aanmaken van een nieuw social media account een geldig e-mailadres benodigd zijn. Dit is niet het geval bij Twitter. Tijdens het aanmaken van een nieuw Twitteraccount wordt wel gevraagd naar een e-mailadres, maar deze is alleen benodigd om alle functies van Twitter te kunnen gebruiken. Zonder bevestiging kunnen direct berichten (Tweets) worden geplaatst. Bij de Amerikaanse dienst 10minutemail is een tijdelijk e-mailadres aangemaakt. Met dit e-mailadres is een Twitteraccount aangemaakt en dit Twitteraccount is later gebruikt om de dreigingen te uiten. Het tijdstip van het aanmaken van e-mailadres [fakemail e-mailadres] bij 10minutemail is lokale tijd 21:53:17 uur.
Voor wat betreft het aanmaken van het Twitteraccount ‘CricusBloed’ zijn de bijzonderheden omtrent dit account gevorderd bij Twitter. Hieruit blijkt dat dit account aangemaakt is op 24-09-2013 om 20:00:25 uur UTC tijd. Omgerekend naar Nederlandse tijd (CET) is dit de UTC tijd + 1 uur is 21:00:25 uur. Aangezien Nederland zomer- en wintertijd hanteert en de zomertijd op 24-09-2013 van toepassing was komt er nog een uur bij de CET tijd en dan wordt het 22:00:25 uur lokale (Nederlandse) tijd. (…)
Het aanmaken van het e-mailadres bij l0minutemail gebeurde om 14:53:17 uur CST tijd. Net als CET tijd kent CST ook een zomer- en wintertijd genaamd DST (Daylight Saving Time). Voor CST gold deze voor 2013 van 07 april 02:00 tot 27 oktober 02:00, wat inhoudt dat het verschil met UTC in die periode 5 uren bedroeg. Omgerekend van CST naar UTC was de tijd 14:53:17 + 5 = 19:53:17 UTC. Verder gaand naar CET komt er nog een uur bij wat komt op 20:53:17 CET tijd. De zomertijd in Nederland van toepassing nemend, betekend dit een verschil van +1 uur met de CET tijd en wordt dit 21:53:17 uur. (…)
Het is mogelijk om middels een applicatie op een mobiele telefoon gebruik te maken van een TOR netwerk. De verdachte maakte gebruik van een mobiele telefoon van het merk Samsung, type Galaxy Note, welke draait op het Android besturingssysteem. Middels in de daarvoor bestemde app Google Play (app winkel) zijn diverse applicaties te installeren, waarmee anoniem via het TOR netwerk contact kan worden gelegd met internet. Eén van de bekendste applicaties is ‘Orbit: Proxy with Tor’ (…) Middels de voornoemde Google Play store zijn tientallen soortgelijke applicaties te vinden en te installeren.
15. Het proces-verbaal van aangifte van [aangever] namens La Place Dreefzicht Haarlem, V&D B.V. Grote Houtstraat Haarlem en V&D B.V. Rivieradreef Haarlem d.d. 11 oktober 2013 (p. 203-209):
Dit proces-verbaal houdt – zakelijk weergegeven – onder meer in als verklaring van aangever:
Namens V&D B.V. deed de heer [aangever] aangifte van bedreigingen die tegen V&D B.V. alsmede een niet met naam genoemde manager zijn geuit op 24 en 25 september 2013. Deze bedreigingen werden door een onbekende persoon middels zogenaamde dreigtweets op Twitter geuit. Aangever heeft begrepen dat er vijf (5) tweets op internet zijn geplaatst door afzender Cricus Bloed:
circus krijgt dodelijk begin Hagha, 11:50 v&d haarlemC, manager shoot!
#25-9-13 #dood #moord #laplace #prijzencircus #vd #ontslag #Haarlem
Gevolgen niet te overzien pleeg zelfmoord daarna
#dood #moord #laplace #prijzencircus #vd #ontslag #HaarlemOpenen
Bloedpartij vandaag 11:50 VD/laplace haarlem centrum. Min. 10 dood hah
@vd@laplace@haarlem@dood@bom@rtvnh@nhdagblad@vdprijzencircus
Niemand hoeft iets te doen, het gebeurt gwn! Ontruim onmg
Nog 7:30 uur
@schieten@shoot@vdwebcare @laplace@haarlem@dood@bom@rtvnh@nh dagblad@vd prijzencircus
Nadat er melding is gemaakt bij de politie is er besloten om de filialen van V&D alsmede La Place in de plaats Haarlem te sluiten. Het betrof de filialen gevestigd aan de Grote Houtstraat 70 te Haarlem (filiaal Haarlem Centrum), filiaal Rivieradreef 2 te Haarlem (filiaal V&D Haarlem Schalkwijk) en filiaal Fonteinlaan 1 te Haarlem (filiaal La Place Dreefzicht). Haarlem Centrum was nog niet geopend voor het publiek. De overige twee wel en er waren klanten aanwezig in die twee filialen. Door zowel V&D B.V. als La Place is er zowel financiële schade als immateriële schade geleden. Dat laatste bestaat uit het feit dat een aantal personeelsleden gebruik moeten hebben maken van Slachtofferhulp daar zij door de bedreigingen emotionele problemen ondervonden en zich zelfs ziekgemeld hebben. De financiële schade bestaat uit zowel inkomstenderving, kosten extra beveiliging, kosten personeel, extra kosten opvang personeel en productieschade daar er reeds een aanvang was gemaakt met het produceren van goederen voor de opstart van de eetgelegenheden van V&D B.V. en La Place.