Sammendrag: Mitsem, Bruzelius, Gussgard, Oftedaal Broch og DolvaFlere ganger i løpet en fire-dagers periode trengte ("hacket") domfelte - som var programmerer og sikkerhetsansvarlig i dataselskap - seg inn i webserveren til et konkurrerende firma. Han benyttet programmer og hjelpemidler som er allment tilgjengelig på internett. For dette ble han dømt for overtredelse av straffeloven §§ 145 annet ledd og 393. I tillegg begikk han skadeverk ved å slette data, straffeloven § 291; skaden ble gjenopprettet ved at fornærmede kjørte "back up".I tingretten ble straffen satt til fengsel i 45 dager, i lagmannsretten til 60 timer samfunnsstraff, jf. straffeloven § 28 a. Påtalemyndighetens anke til Høyesterett gjaldt lovanvendelsen - spørsmålet om skadeverket var grovt, straffeloven § 292 - og straffutmålingen. Lovanvendelsesanken førte ikke frem. De økonomiske skadevirkninger var ikke betydelige, noe over kr 25 000. I tillegg til slettingen av data hadde domfelte lagt inn et program - en såkalt "netcat" - som kunne gjøre serveren sårbar for innbrudd fra andre. Dette ble ikke tillagt avgjørende vekt. Det dreide seg om et program som bare ville være til nytte for en potensiell skadevolder som på egen hånd hadde foretatt en kartlegging av svakheter i programvaren, og netcat-programmet kan enkelt hentes fra internett. Forholdene var for alvorlige til at det var aktuelt med en betinget fengselsstraff. Selv om tjenestene som ble rammet ikke berørte viktigere samfunnsfunksjoner, understreket Høyesterett betydningen av å kunne stole på datasystemenes konfidensialitet og pålitelighet. Etter en konkret vurdering, fant Høyesterett likevel at en samfunnsstraff, som idømt av lagmannsretten, var en passende reaksjon, men under henvisning til allmennpreventive hensyn ble han i tillegg idømt en bot på kr 10 000.

NORGES HØYESTERETT
Den 22. januar 2004 avsa Høyesterett dom i
HR-2004-00127-A, (sak nr. 2003/1305), straffesak, anke,
Den offentlige påtalemyndighet (førstestatsadvokat Inger Marie Sunde)
mot
A (advokat Arne Meltvedt)
S T E M M E G I V N I N G :
(1) Dommer Mitsem: Kristiansand tingrett avsa 5. september 2002 dom med slik
domsslutning:
“1. A f.pnr. 0000175…dømmes for:
1 –en – overtredelse av Straffeloven § 145 2. ledd
1 –en – overtredelse av Straffeloven § 291
1 –en – overtredelse av Straffeloven § 393
Gjerningstidspunkt: 30. juli – 2. august 2001
Straffen settes til: fengsel i 45 dager.
2. A f.pnr. 000075…dømmes til å
betale erstatning til dFun Solutions AS med kr 25.379,- med tillegg av lovens
morarente fra forfall til betaling skjer.
3. A f.pnr. 000075…dømmes til å
betale saksomkostninger til staten med kr. 3.000,-”
(2) A anket dommen til Agder lagmannsrett. Anken gjaldt straffutmålingen. Økokrim
motanket over lovanvendelsen under skyldspørsmålet for én av tiltalepostene –
skadeverket, som det ble gjort gjeldende var grovt, jf. straffeloven § 292 – og over
straffutmålingen.
(3) Agder lagmannsrett avsa 30. august 2003 kjennelse og dom med slik slutning:

2
"1. Anken over lovanvendelsen forkastes.
2. I tingrettens domgjøres den endring at straffen settes til 60 - seksti - timer
samfunnsstraff, jf. straffeloven § 28 a. Gjennomføringstiden skal være 120 –
etthundreogtyve – dager og den subsidiære fengselsstraff 45 – førtifem –
dager."
(4) Om saksforholdet og As personlige forhold viser jeg til tingrettens og lagmannsrettens
avgjørelsesgrunner.
(5) Økokrim har påanket lagmannsrettens dom til Høyesterett. Anken retter seg, som for
lagmannsretten, mot lovanvendelsen under skyldspørsmålet for skadeverket og
straffutmålingen. Vedrørende straffutmålingen, påstås idømt en straff av fengsel i fem
måneder, hvorav 120 dager betinget, eventuelt – hvis lovanvendelsesanken ikke fører
frem – 120 dager fengsel, hvorav 90 dager betinget. Forsvareren har nedlagt påstand om
at anken forkastes.
(6) Jeg er kommet til at anken over lovanvendelsen ikke kan føre frem, men at domfelte i
tillegg til samfunnsstraff også bør idømmes en bot.
(7) Domfelte var på gjerningstiden ansatt i Interweb AS i Kristiansand. Hans
arbeidsoppgaver var programmering og ansvar for sikkerhetsrutiner. Ett av selskapets
tilbud var en tjeneste som varslet abonnentene om politikontroller langs veiene. En
tilsvarende tjeneste ble tilbudt av en konkurrent i Tønsberg, Strøm SMS AS. Dette
selskapet leide serverplass og administrasjonstjenester av IT Huset AS i Tønsberg.
(8) Ved flere anledning tidsrommet 30. juli – 2. august 2001 trengte domfelte seg inn i, og
disponerte over, den passordbeskyttede webserveren til IT Huset, og han er for dette dømt
for overtredelse av straffeloven §§ 145 annet ledd og 393. Dette skjedde via internett, og
dels fra hans arbeidssted og dels fra hjemmet. Fremgangsmåten er grundig beskrevet av
tingretten og lagmannsretten. Jeg nøyer meg med å peke på at han benyttet programmer
og hjelpemidler som er allment tilgjengelig på internett, og som i deres anvendelse heller
ikke forutsetter synderlig profesjonalitet.
(9) Domfelte begikk skadeverk ved å slette abonnentdataene til Strøm SMSs varslingstjeneste
for politikontroller. Etter at IT Huset hadde kjørt backup på slettingen og gjenopprettet
tjenesten, slettet han listen over alle abonnentene til de varslingstjenestene som IT Huset
formidlet. Også denne tjenesten ble gjenopprettet av IT Huset. Lovanvendelsesanken
gjelder spørsmålet om skadeverket var grovt, jf. straffeloven § 292. Jeg legger til at
domfelte også kopierte og lagret filer med kundeinformasjon på den eller de maskiner han
disponerte, men slettet dem igjen i løpet av det tidsrommet saken gjelder.
(10) De økonomiske konsekvensene for IT Huset – som har skiftet navn til dFun Solutions AS
– fremgår av det pådømte erstatningskravet, jf. post 2 i tingrettens domsslutning. I tillegg
kommer et mindre, udokumentert tap for Strøm SMS. Jeg tilføyer at abonnentene ble
påført ulemper ved at tjenestene lå nede i anslagsvis tilsammen et par dager. Som
fremhevet av lagmannsretten, dreide det seg ikke om en informasjonsutveksling som
berører viktige private eller offentlige interesser.

3
(11) Aktor har erkjent at de økonomiske skadevirkningene for IT Huset og Strøm SMS ikke er
så betydelige at skadeverket av den grunn bør bedømmes som grovt. Det er imidlertid
fremhevet at skadepotensialet var større, og at dette må vektlegges i en totalvurdering. I
denne forbindelse er det særlig pekt på at domfelte, i tillegg til å slette data, installerte
programmet ”netcat” på serveren til IT Huset. Han etablerte derved en sårbarhet som var
vanskelig å oppdage for IT Huset, og denne sårbarheten kunne utnyttes også av andre enn
domfelte.
(12) Jeg kan ikke se at skadepotensialet kan tillegges en slik avgjørende vekt i dette tilfellet.
Etter at domfelte først hadde avdekket svakheter i programvaren, etablerte han en enklere
kommunikasjonsform med IT Husets webserver ved hjelp av netcat’en. Dette kan også
beskrives som å åpne en ”bakdør” fra nettet. Men etter det aktor har opplyst i skranken,
forstår jeg det slik at dette bare ville være til nytte for en potensiell skadevolder som på
egen hånd hadde foretatt en kartlegging av svakheter i programvaren. Og under enhver
omstendighet ville den som måtte ønske å volde skade, enkelt ha kunnet hente ”netcat”-
programmet fra internett.
(13) Jeg kan etter dette ikke se at skadeverket kan karakteriseres som grovt. Betydningen av
vernet om datasystemenes pålitelighet kommer jeg tilbake til.
(14) Jeg går så over til straffutmålingen. Innledningsvis bemerker jeg at domfelte er straffet i
1992 for forhold av en annen art enn de som nå er aktuelle. Dommen tillegges ingen vekt
ved straffutmålingen.
(15) Vurdert i sammenheng er de straffbare forholdene etter mitt syn for alvorlige til at det kan
være aktuelt med en betinget fengselsstraff. Slik jeg ser det, blir spørsmålet om det bør
idømmes en ubetinget fengselsstraff eller samfunnsstraff etter straffeloven § 28 a.
(16) Reglene om samfunnsstraff erstattet den tidligere hovedstraffen samfunnstjeneste ved lov
18. mai 2001 nr. 21, som trådte i kraft 1. mars 2002. Ved lovendringen ble det gitt uttrykk
for et ønske om økt bruk av samfunnsstraffer. Siden de nye reglene må anses som de
gunstigste for domfelte, får de anvendelse selv om de straffbare handlingene ble forøvet
før ikrafttredelsen, jf. straffeloven § 3 annet ledd første punktum.
(17) Lagmannsretten har understreket det alvorlige ved at domfelte – som var programmerer
og sikkerhetsansvarlig i et dataselskap – gjorde bruk av sin faglige innsikt til å foreta
datainnbrudd og slette viktig informasjon hos en konkurrent. Det er imidlertid samtidig
pekt på at det er adskillig usikkerhet knyttet til graden av planlegging og profesjonaliteten
i fremgangsmåten. Forut for innbruddet kjørte domfelte en såkalt portscanning, som lett
kunne spores tilbake til ham, og som tidligere nevnt ble det i all hovedsak benyttet
verktøy som er allment tilgjengelig på internett. Det er også lagt til grunn at det var noe
tilfeldig at innbruddet kom til å rette seg mot IT Huset AS. Lagmannsretten fant heller
ikke tilstrekkelige holdepunkter for å sette til side domfeltes forklaring om at siktemålet
var å skaffe seg innsikt i hackernes angrepsmidler, fordi dette var nyttig i hans arbeid, og
at beslutningen om å slette kundedataene til Strøm SMS ble truffet spontant da han kom
over en tabell hvor hans eget telefonabonnement var lagret. Domfelte skal ikke ha hatt
noe økonomisk motiv, og det dreide seg etter lagmannsrettens vurdering ikke om
handlinger med preg av industrispionasje.

4
(18) Jeg legger dette til grunn. Men jeg er samtidig enig med lagmannsretten i at domfeltes
handlinger er sterkt klanderverdige. Selv om de tjenestene som ble rammet ikke kan sies å
ha berørt viktigere samfunnsfunksjoner, er det grunn til å understreke den sentrale
betydningen det har at man kan stole på datasystemenes konfidensialitet og pålitelighet.
(19) Jeg er likevel kommet til at en samfunnsstraff, som idømt av lagmannsretten, kan være en
passende reaksjon, men – som jeg kommer tilbake til – med tillegg av en bøtestraff.
Skadeverk er i utgangspunktet innenfor det sentrale anvendelsesområdet for
samfunnsstraff. Karakteren og omfanget av datainnbruddet og skadeverket taler heller
ikke avgjørende mot at samfunnsstraff bør kunne idømmes i dette tilfellet.
(20) Særlig hensett til de allmennpreventive hensyn bør domfelte imidlertid i tillegg idømmes
en bot, som passende kan fastsettes til kr 10 000, subsidiært – hvis den ikke betales –
fengsel i 15 dager. Ved utmålingen av samfunnsstraffen skal det tas hensyn til at også
bøtestraff idømmes, jf. straffeloven § 28 a femte ledd. Men etter mitt syn på
straffverdigheten av de pådømte straffbare handlinger fører dette ikke til noen endring i
samfunnsstraffen.
(21) Jeg stemmer for denne
D O M :
I lagmannsrettens dom gjøres den endring at A i tillegg til samfunnsstraffen idømmes en
bot på 10 000 – titusen – kroner, subsidiært fengsel i 15 – femten – dager. For øvrig
forkastes anken.
(22) Dommer Bruzelius: Jeg er i det vesentlige og i resultatet enig med
førstvoterende.
(23) Dommer Gussgard: Likeså.
(24) Dommer Oftedal Broch: Likeså.
(25) Dommer Dolva: Likeså.
(26) Etter stemmegivningen avsa Høyesterett denne
D O M :
I lagmannsrettens dom gjøres den endring at A i tillegg til samfunnsstraffen idømmes en
bot på 10 000 – titusen – kroner, subsidiært fengsel i 15 – femten – dager. For øvrig
forkastes anken.