NSK-ledelse: - Vi kommer aldrig på forkant med de it-kriminelle

Af Karina Bjørnholdt  

Det vælter ind med anmeldelser til dansk politi om it-relateret kriminalitet. Politi og anklagemyndighed kan ikke følge med. Derfor må der tænkes i andre baner end den klassiske reaktive efterforskningsmetode.

- Det er bydende nødvendigt, lyder det samstemmende fra Lasse Boje, der er politidirektør i National enhed for Særlig Kriminalitet (NSK), og Lars Mortensen, politiinspektør i Nationalt Cyber Crime Center (NC3), som hører under NSK.

- Man taler tit om, at politiet skal være på forkant med kriminalitetsudviklingen, men hvis jeg skal være helt ærlig: Det kommer vi aldrig, når det gælder den it-relaterede kriminalitet. For mig er det heller ikke målet, fordi det er uopnåeligt. Vi skal i stedet tænke anderledes, siger Lasse Boje.

Historien kort:

• Mængden af it-kriminalitet er overvældende, og politi og anklagemyndighed kan ikke følge med.

• Antallet af anmeldelser af it-relateret kriminalitet stiger og stiger, og der er samtidigt et stort mørketal. Samtidigt henlægges hvert år mange sager.

• Politiet skal tænke anderledes, prioritere skarpere og fokusere mere på forebyggelse og disruption.

• Der er blandt andet behov for at styrke kompetencer og it-værktøjer, ændre arbejdsmetoder og samarbejde med den private sektor og internationale partnere for at bekæmpe it-kriminalitet effektivt.

• Det skal ske en tydelig forventningsafstemning mellem politi og borgere. Politiet har ikke ressourcer til at efterforske alle anmeldelser om it-kriminalitet.

Hård kritik af NCIK og NC3

Fagbladet DANSK POLITI har sat politidirektøren og politiinspektøren stævne i kølvandet på en beretning fra Rigsrevisionen, der i juni sendte en hård kritik efter politiets efterforskning af digitale seksualforbrydelser og af it-relateret økonomisk kriminalitet. Rigsrevisionen var dykket ned i, hvorvidt NC3 og Nationalt Center for It-relateret økonomisk Kriminalitet (NCIK) har bistået politikredsene tilfredsstillende i disse typer sager i perioden 2019-2022.

Svaret var et klart nej på flere parametre. Kritikken gik blandt andet på en alt for lang sagsbehandlingstid i NCIK, inden sagerne blev sendt ud i politikredsene til videre sagsbehandling, eller at anmeldelserne kom ud i kredsene uden en indledende efterforskning fra NC3. En alt for stor sagsophobning i NCIK blev også problematiseret.

Både Lasse Boje og Lars Mortensen er grundlæggende enig i konklusionerne. Politikredsene har ikke fået den understøttelse fra NCIK og NC3, som de burde. Man har ikke formået at følge med kriminalitetsudviklingen eller foretage de nødvendige prioriteringer fra centralt hold. 

- Der er jo noget, vi ikke gør godt nok i vores kriminalitetsbekæmpelse på det digitale område. Vi er i politiet og anklagemyndigheden blandt andet blevet overrasket over, hvor hurtigt og voldsomt volumen er steget, forklarer de.

It-kriminalitet er en game changer

Men hvad er det for en kontekst, dansk politi opererer i, der gør det så svært at følge med den it-relaterede kriminalitet? Politiinspektør Lars Mortensen beskriver en udvikling, som han kalder en game changer for politiet:

- Der sker virkeligt meget på flere områder. Det ene er, at de digitale spor fylder mere og mere i vores traditionelle efterforskninger. Vi er alle sammen blevet mere digitale og forbundet online, inklusiv vores børn og unge. De mange digitale spor i efterforskningen giver politiet gode muligheder, men det stiller også nye og meget store krav til politiet, fortæller Lars Mortensen og fortsætter:

- Det andet er, at det er utroligt nemt for en gerningsmand at kopiere og mangedoble sin kriminalitet i takt med, at danskerne og samfundet som helhed er gået online. Det vil sige, at vi ser en meget stor volumen i de her sager, fordi en enkelt gerningsmand kan generere mange tusinde sager – og ofre – på kort tid og med en stor geografisk spredning. Og så er der de sager, der er allermest it-komplekse at efterforske, som vi kalder high tech crime. Her rammes typisk virksomheder og myndigheder af for eksempel ransomware-angreb, hvor der krypteres eller stjæles følsomme data, eller af DDos-angreb, der lægger hjemmesider med videre ned. For ikke at nævne CEO-fraud, hvor de it-kriminelle forsøger at svindle virksomheder med en kombination af tekniske metoder og social engineering, fortæller politiinspektøren.
Et klassisk eksempel på social engineering er, at man modtager en e-mail, der tilsyneladende er fra ens chef, som beder om at få overført et beløb til en konto.

Den enkelte kriminelle behøver ikke at besidde alle de nødvendige, tekniske kompetencer selv. Man kan købe sig til ydelserne på de mørke dele af internettet.

Parader for langt nede

Lars Mortensen fortætter:
- De it-kriminelle bliver dygtigere og dygtigere, også til at udnytte de nye, tekniske muligheder, der opstår i form af kunstig intelligens, øget kryptering og lignende. Den enkelte kriminelle behøver ikke at besidde alle de nødvendige, tekniske kompetencer selv. Man kan købe sig til ydelserne på de mørke dele af internettet. Fænomenet kaldes crime as a service og betyder, at kriminelle med få kompetencer kan udføre relativt komplekse angreb. Og det er bare nogle af de udfordringer, vi står med.

Politidirektør Lasse Boje tilføjer endnu en nuance:
- Vores modstandskraft som samfund og borgere over for den digitale kriminalitet er heller ikke lige så god som i den fysiske verden. Vi har paraderne længere nede, når vi for eksempel handler på nettet. Vi ser ikke faresignalerne på samme måde som i den fysiske verden.

Mørketal og nye toner fra politiet

Antallet af anmeldelser af it-relateret kriminalitet strømmer da også ind. Rigspolitiets tal fra 2020 frem til i dag viser, at NCIK hvert år har modtaget mellem 28.078 og 31.329 anmeldelser om it-relateret økonomisk kriminalitet. NC3 har i samme periode modtaget mellem 2.323 og 3.457 anmeldelser årligt inden for sagskategorierne digitale seksualkrænkelser, grooming og sextortion. Dertil kommer andre kategorier inden for området samt de anmeldelser, der indgives direkte til politikredsene. Ifølge politiinspektør Lars Mortensen er der eksempler på, at visse digitale forbrydelser stiger med 30 procent om året.

Samtidigt ved politiet godt, at der formentlig også er et stort mørketal på it-kriminalitetsområdet. For hvem gider efterhånden anmelde endnu en phishingmail i indbakken, hvis man ikke hoppede på limpinden? Og er det overhovedet interessant for politiet at kende til forsøgene? Både-og, lyder svaret fra Lasse Boje:

- Politiet skal kende til de tendenser og svindelforsøg, der er i omløb, men når først vi kender til for eksempel et kædebrev, der for tiden sendes rundt, hjælper det ikke politiet at få 10.000 anmeldelser om det samme. Derfor er det også interessant, når vi ser, at politikredsene er begyndt at skrive på for eksempel det sociale medie X, at borgerne skal slette et specifikt kædebrev, hvis de modtager det, fordi det er falsk, men at de ikke behøver at anmelde det. Det er ikke så tit, at politiet opfordrer borgerne til ikke at anmelde et forsøg på bedrageri. Men jeg mener, at det kan være rigtigt at gøre, fordi volumen er så voldsom inden for it-kriminalitet, beskriver Lasse Boje.

Vi må alle – politi og samfund – acceptere, at det ikke nødvendigvis hver gang kan handle om at få straffet gerningsmanden, men at det i højere grad handler om at få ham stoppet, så han ikke når at ramme tusindvis af ofre, mens vi er i gang med at efterforske og få vedkommende tiltalt

Udfordret på arbejdsmetoderne

Lars Mortensen fortæller, at man i politiet taler om, at der er kommet en større og større asymmetri mellem, hvor relativt nemt det er for de it-kriminelle at udføre deres kriminalitet, og hvor kompliceret det kan være for politiet at opklare kriminaliteten med den nuværende kapacitet, kompetencer og arbejdsmetoder.

- Noget af det, som udfordrer os som organisation, er, at vi i vores grund-dna er hændelsesstyrede, og vores arbejdsmetoder primært er reaktive. Så når en gerningsmand rammer i tusindvis af forurettede over hele landet, og måske internationalt, på meget kort tid, bliver vi virkelig udfordret på vores arbejdsmetoder. Vi bliver nødt til at tænke langt mere proaktivt, siger han.

Lasse Boje nikker.
- De klassiske værktøjer i politiet og i anklagemyndigheden virker ikke på samme måde på det her område. Vi kan ikke alene efterforske og strafforfølge os ud af det her. Vi bliver nødt til at tænke mere i forebyggelse og disruption – altså at man i højere grad forpurrer gerningsmandens muligheder for at udøve eller forsætte sin kriminalitet. Vi må alle – politi og samfund – acceptere, at det ikke nødvendigvis hver gang kan handle om at få straffet gerningsmanden, men at det i højere grad handler om at få ham stoppet, så han ikke når at ramme tusindvis af ofre, mens vi er i gang med at efterforske og få vedkommende tiltalt. Det tager lang tid, og tempoet er altafgørende i de her sager, lyder det fra Lasse Boje.

Ny prioritering af it-relateret økonomisk kriminalitet

• Pr. 1. marts 2023 har NSK indført en ny prioriterings- og styringsmodel i National Center for IT-relateret økonomisk Kriminalitet (NCIK), som modtager og visiterer alle anmeldelser om it-relateret økonomisk kriminalitet. Formålet med den ny model er at sikre en skarpere, hurtigere og ensartet prioritering af de mange anmeldelser, der kommer ind, samt forhindre en ophobning af sager.

• Modellen består af en række standardiserede kriterier, herunder et beløbskriterie, der vurderer karakteren og alvoren af de anmeldte, strafbare forhold. De samlede vurderinger afgør, om der skal indledes en efterforskning, eller sagen skal henlægges af NCIK.

• Modellen vil betyde, at flere anmeldelser bliver henlagt af NCIK, men NSK forventer ikke, at der samlet set vil blive henlagt flere anmeldelser. Flere vil blot blive henlagt på et tidligere tidspunkt og ikke først ude i politikredsene.

• Rigspolitiet tal fra 2020 frem til i dag viser, at NCIK hvert år har modtaget mellem 28.078 og 31.329 anmeldelser om it-relateret økonomisk kriminalitet. I samme periode er der henlagt 87.289 sager, ifølge Rigsadvokaten.
Kilde: NC3

Modet til at prioritere og henlægge

Men hvad er der konkret behov for, hvis det skal lykkes politiet at få dæmmet bedre op for it-kriminaliteten? Lasse Boje og Lars Mortensen er enige om, at det primært handler om at have de rette kompetencer og it-værktøjer til rådighed, at have modet til at arbejde anderledes og prioritere skarpere samt et større fokus på forebyggelse og en forventningsafstemning med resten af samfundet.

Når det gælder NCIK’s rolle som gatekeeper, hvor man modtager, visiterer og foretager den indledende efterforskning af sager om it-relateret økonomisk kriminalitet, har NSK siden marts arbejdet efter en styrket prioriterings- og styringsmodel (se faktaboks herover). NSK er ved at se på, om modellen, der indeholder nogle skarpere og standardiserede prioriteringskriterier, også kan bruges på andre områder, hvor NSK har en lignende rolle.

- Det vil betyde, at det bliver ret tydeligt, at vi hurtigt og skarpt sorterer noget fra, og det skal vi have modet til at stå på mål for. Jeg forventer ikke, at vi i politiet kommer til at henlægge flere sager samlet set, da vi sorterer de sager fra, som formentligt ville være blevet henlagt ude i kredsene, men vi foretager prioriteringen tidligere i forløbet for at spare ressourcer gennem systemet og målrette politiets efterforskningskræfter. Jo færre hænder, der skal røre en sag, der alligevel skal henlægges, desto flere hænder er der til at efterforske kriminalitet, forklarer Lasse Boje.

Ifølge Rigsadvokaten er der i 2023 indtil videre henlagt 37.641 sager om it-relateret økonomisk kriminalitet. I alt er der i perioden fra 2020 til 2023 henlagt 87.289 af denne type sager.

Det er helt nødvendigt med it-forståelse for at bedrive ledelse i politiet i dag – både i forhold til kriminalitetsudviklingen, effektivisering af arbejdet, de mange it-projekter, der kører, og i forhold til medarbejdernes kompetenceudvikling og mulighed for sparring.

Mere viden og mere forebyggelse

Stærkere kompetencer inden for bekæmpelse af it-kriminalitet og en anden indstilling i forhold til, hvordan man bekæmper den, er højt på listen over nødvendige tiltag hos politidirektøren og politiinspektøren.
- Der er simpelthen behov for et uddannelsesløft på det digitale område, konstaterer Lasse Boje.

Han og Lars Mortensen følger derfor overvejelserne om fremtidens basisuddannelse, der i øjeblikket er på tegnebrættet hos Rigspolitiet, og hvor der blandt andet forventes at komme større fokus på digital forståelse og efterforskning af digital kriminalitet. Inden en ny politiuddannelse bliver en realitet, kan der dog gå en længere årrække. I mellemtiden udvikler og udbyder NSK en del onlinekurser i samarbejde med Politiskolen, der dels skal løfte barren for politifolks grundlæggende viden om it-kriminalitet, dels for de mere specialiserede områder som sextortion, grooming, hvidvask med videre.

- Så vi prøver at løfte vidensniveauet inden for it-kriminalitet – også i forhold til, hvordan man mest bedst arbejder med disse sagsområder, siger Lars Mortensen.

Han pointerer, at det også er hos lederne, at den digitale tankegang skal styrkes.
- Det er helt nødvendigt med it-forståelse for at bedrive ledelse i politiet i dag – både i forhold til kriminalitetsudviklingen, effektivisering af arbejdet, de mange it-projekter, der kører, og i forhold til medarbejdernes kompetenceudvikling og mulighed for sparring.

Behov for andre fagligheder

Der er også brug for flere medarbejdere med andre kompetencer end de politifaglige, når det gælder bekæmpelse af it-kriminalitet, ifølge Lasse Boje.

- Vi er kommet rigtigt langt, hvis vi får styrket kompetencerne i efterforskningen og i anklagemyndigheden, men der er også brug for helt andre kompetencer inden for forebyggelse, disruption og så videre. Det kan være alt fra en it-ingeniør til en dataanalytiker eller en bibliotekar, mener politidirektøren.

Politiets egen interne it-understøttelse skal også følge med udviklingen. Både i NSK og i politikredsene, pointerer Lasse Boje.

- Det er en grundforudsætning, at vi selv har en it-struktur, der understøtter, at vi kan arbejde professionelt med området. Derfor er det virkelig vigtigt, at den it-plan, Rigspolitiet og koncernledelsen nu har lagt, bliver realiseret, siger han med henvisning til, at Koncern IT i foråret og hen over sommeren måtte revidere, hvor mange af de it-tiltag, de havde sat i søen, der var ressourcer og it-kompetencer til at gennemføre.

Fortsætter it-kriminaliteten med at stige med 10-30 procent hvert år, bliver vi bare trykket længere og længere tilbage i sædet, hvis ikke vi som organisation ændrer tangegang og arbejdsmetoder.

Svær øvelse i kredsene

Trods de mange gode tanker og tiltag står dansk politi stadig over for en enorm udfordring på it-kriminalitetsområdet, erkender såvel politidirektør som politiinspektør:

- Lige nu er vi alle trykket tilbage i sædet, fordi der kommer så mange sager, og alle har utroligt travlt – ikke mindst i kredsene. Så at tage nogle ressourcer ud af den daglige drift for at starte proaktiv efterforskning eller forebyggelsesarbejde op i forbindelse med it-kriminalitet, kræver ressourcer og et kæmpe mod. Jeg kan godt forstå, at det er en svær øvelse ude i kredsene, hvor der i forvejen ligger mange sager og venter på sagsbehandling, og hvor alle løber stærkt for at nå målene, siger Lars Mortensen og tilføjer:

- Men fortsætter it-kriminaliteten med at stige med 10-30 procent hvert år, bliver vi bare trykket længere og længere tilbage i sædet, hvis ikke vi som organisation ændrer tangegang og arbejdsmetoder.

Borgerne skal have tillid til, at vi også er der for dem i den digitale verden. Ellers kan vi ende med at betale en meget høj pris i form af manglende tillid og retsfølelse.

Brug for forventningsafstemning

Tilbage står også spørgsmålet, om borgernes tillid til politiet vil fortsætte, hvis man som borger ikke føler, at der er hjælp at hente hos politiet, når man bliver svindlet for 2.000 kroner på DBA, får stjålet sin identitet på nettet eller lignende. Derfor er der i høj grad også behov for en forventningsafstemning mellem politi og borgere, lyder det fra politidirektør Lasse Boje:

- Fuldstændigt som borgerne forventer, at vi er til stede i den fysiske verden, forventer de det også i den digitale. Især de yngre generationer skelner ikke voldsomt mellem de to verdner. Derfor skal borgerne have tillid til, at vi også er der for dem i den digitale verden. Ellers kan vi ende med at betale en meget høj pris i form af manglende tillid og retsfølelse, siger han og tilføjer:

- Men der er også brug for en løbede forventningsafstemning. For vi kan ikke tage os af det hele, og derfor skal der være en gennemsigtighed i, at vi fokuserer på færre sager, men at vi til gengæld prøver at efterforske dem i bund, så vi kan få dømt nogle af de kriminelle, der står bag rigtig mange forhold. Og at der sker en central og ensartet prioritering landet over, så borgerne meget hurtigere end i dag får en afklaring på deres sag.

Politiinspektør Lars Mortensen supplerer:

- Ja, og at vi samtidigt i højere grad går efter at få forebygget eller disruptet it-kriminaliteten tidligere, så der kommer færre ofre. It-kriminalitet kan have meget store konsekvenser for borgerne og for landets virksomheder. Og vi skal i min optik også styrke det internationale politisamarbejde og samarbejdet med den private sektor, hvis vi for alvor skal sætte ind over for den mest komplekse it-kriminalitet. Vi har iværksat en række initiativer på disse områder, men vi er slet ikke i mål endnu.

 

Hvad er it-kriminalitet?

It-kriminalitet kan overordnet inddeles i tre hovedkategorier.
De er:
1. Kriminalitet, hvor digitale spor indgår i efterforskningen.
Hvilket der gør i hovedparten af alle efterforskninger i dag, da det er stort set umuligt ikke at efterlade sig digitale spor.

2. Kriminalitet, hvor it er værktøjet.
Det kan være alt fra phising-mails til deling af materiale vedrørende seksuelt misbrug af børn på internettet.

3. Kriminalitet mod systemer, hvor it både er midlet og målet.
Det kan være såkaldte ransomware-angreb mod virksomheder, hvor de kriminelle krypterer virksomhedens data og kræver løsesum for at frigive filerne. Eller det kan for eksempel være DDos-angreb mod hjemmesider, som lammer dem.
Kilde: NC3