                                                dom
afsagt den 19. maj 2017 af vestre landsrets 11. afdeling (dommerne vogter, hanne aagaard
og mette koue (kst.) med domsmænd) i ankesag
v.l. s–1909–16
anklagemyndigheden
mod
t
født den … 1980
(advokat jørn brandenhoff schmidt, fredericia)
retten i aalborg har den 15. september 2016 afsagt dom i 1. instans (rettens nr. 10-
8708/2015).
påstande
tiltalte, t, har påstået frifindelse i forhold 1-6, 10, 17-20, 22, 24, 30, 39, 43, 45-49, 51-52, 54,
57, 60, 62-63, 67-76, 78 og 80, delvis frifindelse i forhold 26, 40, 50 og 79 og i øvrigt
formildelse, navnlig således at straffen gøres delvist betinget med vilkår om samfundstjeneste.
tiltalte har endvidere påstået frifindelse for påstanden om konfiskation vedrørende de
genstande, som er omfattet af de forhold, der påstås frifindelse for.
anklagemyndigheden har som sin endelige påstand påstået dom i overensstemmelse med
tiltalen i 1. instans i forhold 70-73 og skærpelse.
                                                   - 2 -
anklagemyndigheden har for landsretten berigtiget tiltalen i forhold 70-72, således at der
efter ”§ 263, stk. 3” tilføjes: ”, jf. stk. 2,”. anklageren har endvidere berigtiget tiltalen i
forhold 73, som denne er gengivet i byrettens dom, således, at ”computertilbehør 3 stk.
logitech k280e corded keyboard” ændres til: ”1 stk. hp color laserjet pro mfp m476dw”.
x a/s (herefter x) og y a/s (herefter y) har gentaget deres påstande for byretten om
erstatning.
tiltalte har påstået frifindelse for kravene om erstatning i det ikke erkendte omfang. tiltalte
har bestridt kravene størrelsesmæssigt.
supplerende oplysninger
midt- og vestjyllands politi, nationalt cyber crime center, har i en rapport af 28. marts 2017
oplyst, at det er teknisk muligt at have to adgange til sit trådløse netværk, en åben adgang og
en krypteret adgang, og hvor begge adgange har samme navn. det er endvidere oplyst, at
dette dog er en usædvanlig og sjælden set konfiguration, da man normalt bruger
netværksnavnets entydighed til at skelne mellem de forskellige udbudte netværk.
forklaringer
tiltalte og vidnerne d, a, b, f, g, l, politiassistent trine møller esmark, e og politiassistent
lars kirkegaard har for landsretten i det væsentlige forklaret som i 1. instans. der er
endvidere afgivet forklaring af ....
tiltalte har vedrørende forhold 1-69 supplerende forklaret, at han i starten var fint tilfreds med
at arbejde for x, men efter et halvt års tid gik det op for ham, at firmaet havde fyldt ham med
”varm luft”. han gjorde firmaet opmærksom herpå flere gange. da der ikke skete noget, og da
han fortsat blev lovet ”guld og grønne skove”, begyndte han at indkøbe ting til sig selv. han
ændrede i fakturaerne for at dække over det. politiet tog bl.a. hans stationære computer, men
han vil ikke udlevere koden hertil, da den er dybt personlig.
forhold 1:
                                               - 3 -
han bad ikke om, at alle varer i fremtiden skulle sendes til ham privat, men blot om at
fakturaerne fremover skulle sendes til hans mailadresse. han ved ikke, hvorfor han ikke bad
om, at fakturaerne fremover skulle sendes til bogholderiet i x i overensstemmelse med
firmaets anbefalinger. han ved ikke, om … creed 3 er et spil. det har sikkert ligget i kassen
med bundkortet. det er leveret til firmaet. routeren skulle bruges i firmaet. han ville have
ordren leveret til sin privatadresse, da han havde en hjemmearbejdsdag. den router, der blev
fundet på hans bopæl, havde han købt brugt gennem den blå avis, hvilket han også sagde til
politiet. fakturaen fra føniks a/s udstedt til ... vedrører dette køb. han fik fakturaen og
kassen med, da han købte routeren. det er hans mailadresse, der fremgår af tweak-kontoen.
det er korrekt, at han på et tidspunkt har forsøgt at sælge en asus maximus v formula, men
det var en, han selv havde købt. han husker ikke, hvornår han havde købt den.
forhold 2:
de diske, som politiet fandt hos ham, havde han købt privat. de diske, som er anført på
fakturaen, har han leveret til x. han fik dem leveret derhjemme, da han havde
hjemmearbejdsdag. han åbnede kassen, da han modtog den, fordi vægten ikke passede. han
mener ikke, at han har ændret leveringsadressen på fakturaen. han ved ikke, hvordan adressen
er blevet ændret.
forhold 3:
han mindes ikke at have ændret i fakturaen. han sendte den faktura, som han fik fra dustin,
til x. han ved ikke, hvorfor bogholderiet havde problemer med en betalingsfrist på 8 dage.
det var ikke besværligt for ham at skulle transportere de købte varer fra sin bopæl til firmaet.
noget af emballagen smed han ud. der blev købt en del harddiske til firmaet, herunder de
omhandlede 5 samsung harddiske. fractal design fulltower define er et kabinet til en
computer. der er flere andre, der kan have ændret på fakturaen. bl.a. hans kollega, a, og den
eksterne it leverandør havde adgang til de samme ting som ham. de andre havde ikke lov til
at benytte hans mail, men det er verdens nemmeste ting at få adgang hertil.
forhold 4:
afhøringen af ham i byretten var meget forvirrende og usammenhængende, så der blev måske
sagt nogle ting, som ikke stemmer med virkeligheden. han kan ikke erkende forholdet. han
mindes ikke at have ændret fakturaen. han har haft tid til at gennemgå materialet grundigt. de
                                              - 4 -
forhold, han erkender, kan han faktuelt huske. han husker ikke at have afhentet effekterne i
viborg. der er måske andre, der har brugt hans mailadresse. det pioneer drev, der blev fundet
på hans bopæl, har han købt privat.
forhold 5:
højttalerkablerne skulle bruges i firmaet. han mindes ikke at have ændret i fakturaen. han
havde ikke noget at bruge kablerne til privat, og der blev heller ikke fundet sådanne kabler på
hans bopæl.
forhold 6:
han beholdt ikke de guldbelagte kabler. kablerne skulle bruges i firmaet. han mindes ikke at
have ændret i fakturaen. hvis han har modtaget kablerne på sin hjemmeadresse, har han taget
dem med til firmaet. han mener ikke, at han i byretten sagde, at han skulle bruge kablerne
privat. han mener, at han har sendt den originale faktura til bogholderiet.
forhold 10:
han har haft en ipod, men det var en gammel en. han ved ikke, om den kasse, der blev fundet
på hans bopæl, hørte til den ipod. han ved ikke, hvad firmaet skulle bruge en ipod til.
telefonen var en firmatelefon. han mindes ikke at have ændret i fakturaen. han mener at
have sendt den originale faktura til bogholderiet. han ved ikke, hvordan bogholderiet har fået
den falske faktura.
forhold 17:
skærmene var ikke til ham selv, men til firmaet. de skærme, der blev fundet på hans bopæl,
var købt privat. han husker ikke at have ændret tommerne på fakturaen. han fik tilladelse fra
m til at bruge pengene, som det fremgår af bilaget i ekstrakten side 201. han mindes ikke, at
tilladelsen skulle være fremsendt sammen med en falsk faktura. tilladelsen lå på et
fællesdrev, som andre kunne tilgå. der var ca. 100 ansatte i x.
forhold 18:
han kender ikke noget til, at der er ændret i fakturaen. varerne skulle bruges i firmaet. han
blev ikke spurgt nærmere ind til forholdet i byretten.
                                              - 5 -
forhold 19:
hukommelseskortene blev krediteret. hvis han har købt dem, var det firmaet, der skulle bruge
dem. han mindes ikke at have ændret i fakturaen. han blev ikke spurgt nærmere ind til
forholdet i byretten.
forhold 20:
kameratasken, der blev fundet hos ham, har han købt privat. han har ikke ændret i fakturaen.
den kamerataske, som fremgår af fakturaen, er en anden model, end den, der blev fundet hos
ham. han mindes ikke at have købt en kamerataske til firmaet. han kan ikke huske, at han i et
ringbind har haft en faktura, hvoraf det fremgår, at der er købt en kamerataske til firmaet.
forhold 22:
han skulle ikke beholde kablerne selv. der blev jævnligt brugt kabler i virksomheden. han
mener ikke, at han har ændret i fakturaen, ligesom han mener, at han sendte den originale
faktura til bogholderiet. hans mailboks var næsten tom, da han forlod virksomheden. han går
ud fra, at bogholderiet har den mail, hvor han har sendt den originale faktura. han ved ikke,
hvorfor bogholderiet ikke har fundet denne mail.
forhold 24:
mini docken var ikke til ham selv. han havde ikke noget at bruge den til, og den er leveret til
firmaet. det er ikke ham, der har ændret i fakturaen. han ved ikke, hvordan det er sket. han
sendte den originale faktura til bogholderiet. der skulle bruges dockingstationer til firmaets
bærbare computere.
forhold 26:
han beholdt de to skærme, fordi han havde lyst til det. han mener ikke, at han ændrede i
fakturaen. han kan ikke svare på, hvordan ændringen er sket. han har ikke sendt den falske
faktura til bogholderiet. han kan kun gisne om, hvorfor andre måske har brugt hans mail. han
mener ikke, at han var uvenner med sin kollega a. han ved ikke, om a var bekendt med, at
tiltalte begik bedrageri. han havde gemt dokumenterne i en mappe, der hed ”indkøb”. han
tænkte ikke over opdagelsesrisikoen.
forhold 30:
                                              - 6 -
han mener ikke, at han har ændret i fakturaen. afhøringen i byretten var forvirrende og
ustruktureret. man brugte headset i virksomheden. han mener ikke, at der blev fundet et
trådløst headset på hans bopæl. han havde 2-3 headsets, som han brugte, når han løb. dem
havde han selv købt i 2012. hans kone brugte også headset, når hun løb.
forhold 39:
den printerbakke, der blev fundet hos ham, havde han selv købt. den printerbakke, der
fremgår af fakturaen, blev leveret til virksomheden. han mindes ikke at have ændret i
fakturaen. han sendte den originale faktura til bogholderiet.
forhold 40:
han bestilte to tablets. han mener, at den ene blev krediteret. han ville beholde en tablet. han
husker ikke, om det var den sorte eller hvide. den anden blev i virksomheden. han har ændret
noget i fakturaen, men ikke det hele. han mener, at han blot fjernede en tablet fra fakturaen.
forhold 43:
det kan godt være, at det er ham, der har ændret fakturaen. han ved ikke, hvorfor han skulle
have gjort det. han beholdt ikke selv think pad’en.
forhold 45:
der blev indkøbt ram til opgradering af firmaets bærbare computere. han har ikke ændret i
fakturaen. han sendte den originale faktura til bogholderiet. de ram, der blev fundet på hans
bopæl, havde han købt brugt.
forhold 46:
kablerne var til virksomheden. han husker ikke, hvor de blev leveret. han mindes ikke at
have bedt om, at de skulle leveres hos ham. han mindes heller ikke at have ændret i
fakturaen. han erkendte ikke forholdet i byretten.
forhold 47:
han mener ikke, at han har ændret i fakturaen. den indkøbte kingston ram var til brug i
virksomheden. han mener ikke, at han har fremsendt den falske faktura til bogholderiet.
                                              - 7 -
forhold 48:
grafikkortene skulle bruges i computere på virksomheden. der er tale om helt sædvanlige
grafikkort. de grafikkort, der blev fundet hjemme hos ham, har han selv købt. han har sendt
den originale faktura til bogholderiet, og han ved ikke, hvor den falske faktura stammer fra.
forhold 49:
det er muligt, at han erkendte forholdet i byretten. varerne blev indkøbt til firmaet, ikke til
ham selv. han har fremsendt den originale faktura til bogholderiet, og han kender ikke noget
til den falske faktura.
forhold 50:
det er muligt, at han erkendte forholdet i byretten. de 4 kabinetter, der blev fundet på hans
bopæl, bestilte han for at beholde selv. resten af de bestilte varer skulle bruges i
virksomheden, og han har afleveret varerne i virksomheden. han kender ikke noget til den
falske faktura.
forhold 51:
det er meget muligt, at han har bestilt 8 stk. think pad docks til virksomheden. de brugte
mange af sådanne docks i virksomheden. han har ikke beholdt nogle af de omhandlede docks.
han har sendt den originale faktura til bogholderiet, og han kender ikke noget til den falske
faktura.
forhold 52:
det er muligt, at han erkendte forholdet i byretten. han har ikke købt kaffemaskinen og
trimmeren. mailkorrespondancen med elgiganten siger ham ikke noget. han kan ikke svare
på, hvorfor mailkorrespondancen er fundet i hans mailboks. han havde en udmærket økonomi
på det tidspunkt. han har aldrig set fakturaen, og han har heller ikke sendt den til
bogholderiet.
forhold 54:
han erkendte ikke forholdet i byretten. de 2 stk. surface 3 bestilte han til brug i
virksomheden. på det tidspunkt var der ikke danske virksomheder, som kunne levere surface
3. de to surface 3, der blev fundet på hans bopæl henholdsvis den 31. oktober og 19.
                                              - 8 -
november 2014, havde han selv købt i august eller september 2014. han har ikke ændret i
fakturaen. han mindes ikke at have udfyldt bilaget i ekstrakten side 390. han har ikke
skrevet, at han har købt et certifikat.
forhold 57:
det er meget muligt, at han har hentet harddisken i viborg. han kom næsten dagligt i viborg,
og det gjorde derfor processerne nemmere, hvis han selv hentede varer til virksomheden. han
har ikke ændret i fakturaen, og han har ikke sendt den falske faktura til bogholderiet. der var
løbende medarbejdere på job, da alle ikke holdt ferie samtidigt.
forhold 60:
han har ikke sendt den falske faktura til bogholderiet. han har ikke ændret i fakturaen. de
havde haft nogle udfordringer med varme i serverrummene i virksomheden, hvorfor der blev
indkøbt gulvventilatorer.
forhold 62:
han kan huske, at han bestilte nogle ting til konferencelokalet i virksomheden. tastaturet var
ikke til ham selv. det tastatur, han havde derhjemme, havde han købt privat. han sendte den
originale faktura til bogholderiet. han har ikke sendt den falske faktura.
forhold 63:
han erkendte ikke dokumentfalsk i byretten. gps’en skulle bruges i virksomheden og er
afleveret i virksomheden. gps’en skulle folk med firmabil bruge, når de skulle rundt til
møder. han har ikke ændret i fakturaen. han har sendt den originale faktura til bogholderiet.
det var ikke hemmeligt, hvem der godkendte ting til betaling.
forhold 67:
han havde hjemmearbejdsdage, helt indtil han stoppede i virksomheden. det er meget
sandsynligt, at han har fået varerne leveret på sin bopæl. han stiller sig uforstående over for,
hvorfor virksomheden mener ikke at have modtaget varerne. han havde ikke brug for varerne
privat. varerne kan sagtens være sat i forskellige computere.
forhold 68:
                                                - 9 -
han købte ikke de omhandlede ting på sin sidste arbejdsdag. han har ikke fået tingene leveret
på sin bopæl. de ting, der blev fundet på hans bopæl, er købt brugt. han har ikke sendt mailen
med fakturaen til bogholderiet. han ved ikke, hvor mailen til bogholderiet i hans mailboks
hos y a/s er kommet fra. han afleverede sit eurocard til x den 29. august 2014.
forhold 69:
han havde ikke gemt kortoplysningerne fra det firma eurocard, som han havde afleveret. han
havde købt kaffemaskinen privat i starten af september 2014 i tyskland. han betalte med sit
private kreditkort. han ved ikke, hvorfor der blev hævet på hans tidligere eurocard. kortet
burde have været lukket. han mener ikke, at han i byretten sagde, at han havde købt
kaffemaskinen på sit tidligere eurocard fra x.
tiltalte har vedrørende forhold 70-72 supplerende forklaret, at man hos x havde en it-politik
om, at man skulle ændre sin kode hver tredje måned, og man kunne ikke komme på systemet,
medmindre man ændrede sin kode, når systemet bad om det. ifølge it-politikken skulle koden
ændres efter 180 dage, men i praksis var det hver tredje måned. han vidste, at han havde lavet
nogle ting, og derfor tænkte han ikke så meget over det, da politiet kom for at ransage på hans
bopæl.
c kom hos x mindst en gang om ugen. c havde kontakt til de enkelte brugere hos x.
medarbejderne hos x tog også fat i tiltalte og hans kollega a vedrørende it spørgsmål. tiltalte
stod mest for de overordnede ting. de tog sig begge af indkøb af it. det var primært to
bestemte personer fra c, der kom i virksomheden, nemlig f og .... han havde en god kontakt
til ..., men knap så god kontakt til f. f var bitter og irriteret over, at tiltalte brugte andre
leverandører til at løse nogle opgaver. udover den ene dag om ugen, som c var fysisk hos x,
brugte c formentlig 1-2 dage yderligere om ugen på opgaver for x.
x havde bl.a. nogle netværksprojekter med z it, herunder indkøb og etablering af nyt san.
c havde i starten ikke noget at gøre med det nye san, men blev holdt løbende orienteret, da
c efterfølgende skulle stå for driften. tiltalte kunne få adgang til san, hvis han ville. han
sad nogle gange sammen med konsulenten og kiggede i san. han mener, at ”cp” må være
brugeren d. tiltaltes brugernavn var ”kh”. man gik kun ind i san, hvis man skulle lave
nogle konfigurationsændringer. koden til san lå i et dokument, så hvis man kunne finde
                                                - 10 -
dette dokument, kunne man få koden til san. medarbejderne havde ikke nogen anledning til
at gå ind i san. hvis man skulle ind i san, skulle man indtaste ip-adressen. det var nemt at
finde denne adresse, hvis man lavede en ip-scanning. han kender ikke kommandoerne
”…disk” og ”…host”. han har en idé om, hvad kommandoerne dækker over, men kan ikke
udtale sig nærmere om det. han mener ikke, at det er dokumenteret, at indholdet af san er
slettet. han kan alene konstatere, at der er en bruger, der blev logget på den 8. november
2014, og at der blev skrevet nogle kommandoer.
inden tiltalte tiltrådte hos x, hang virksomhedens it ”i bremsen”, og der var – også efter at det
nye san blev etableret – stadig mange ting, der ikke fungerede optimalt. han ved ikke,
hvorfor x skulle have anmeldt et hackerangreb, hvis det ikke er sket, men det kunne måske
være for at få andre, evt. en forsikring, til at dække omkostningerne.
han ved ikke, hvordan det er sket, at ip-adressen, der var tilknyttet hans mobiltelefon, er
logget på san den 8. november 2014. han havde ikke en samsung telefon på det tidspunkt,
men alene en iphone.
han havde intet at gøre med nas. han kunne formentlig godt have fået adgang til nas, men
han har ikke været på nas. a havde kopieret nogle ting over på nas, som ikke skulle ligge
på san. nas blev brugt som arkiv, f.eks. til nogle gamle mailfiler. a, tiltalte, c og z it
kunne få adgang til nas. det kan godt være, at der også var andre brugere, der havde fået
adgang. han ved ikke, hvilke brugerrettigheder de sidstnævnte brugere i givet fald var blevet
tildelt.
vedrørende logfilen fra nas den 9. november 2014 ved han ikke, hvad det betyder, når der
står kommandoerne ”system starts to remove” og ”apple file service was stopped”. han
mener ikke, at det viser, at der rent faktisk er slettet noget. han ved ikke, hvorfor ip-adressen
er knyttet til hans telefon. som sagt havde han ikke en samsung telefon. han kender ikke
noget til, hvorfor der ved et efterfølgende log on forsøg er anført ”y” som domæne. y a/s’
domæne navn var ”y.eu”. han brugte ikke selv ”y” som domænenavn.
alle medarbejdere hos x havde adgang til intranettet. man skulle bruge brugernavn og
adgangskode. der har været mange forskellige firmaer inde over intranettet, bl.a. en
                                                 - 11 -
leverandør i herning, som han ikke husker navnet på. han har ikke været inde og ”rode” i
intranettet. m4-systems var en engelsk leverandør, som x benyttede. han kendte ikke
brugernavnet ”…admin”. det kan godt være, at det var brugernavnet, men han kendte det
ikke. han ved ikke, hvad logteksten fra den 16. november 2014 ”layouts/recyclebin”
betyder. på skærmbilledet i ekstrakten side 631 kan det godt se ud som om, at der er nogle
filer, der er blevet slettet, men han stiller sig tvivlende overfor, om det er hele indholdet af
intranettet. han ved ikke, hvorfor hans telefon er knyttet op på det foretagne forsøg på log on
til intranettet. han mener, at man slet ikke kan gå på intranettet fra en telefon. han ved ikke,
hvorfor det ser ud som om, at den ip-adresse, der var tilknyttet hans bopæl, er logget på. der
må være en anden, der har benyttet hans netværk. han synes, at der er huller i de logfiler, der
er fremlagt. han synes, at det er mærkeligt, at man kan trække logs ud af systemer, som man
anfører er slettet. der blev kørt back up hver nat. hvis der var blevet slettet noget lørdag den
8. november 2014, burde man alene kunne se, hvad der lå på den seneste back up, som blev
kørt natten mellem den 7. og 8. november 2014. han mener ikke, at logfilerne er korrekte.
det ville være nemt for x at finde ud af, hvilken ip-adresse han havde derhjemme. ..., som er
kommet med oplysningerne fra telenor, var også ansat hos c. han stillede også i byretten
spørgsmålstegn ved, om logfilerne var korrekte, og om der overhovedet var sket de sletninger,
som x hævder.
han havde en samsung galaxy telefon, da han arbejdede hos x. han afleverede den ikke, da
han stoppede i virksomheden, men han har ikke brugt den, efter han stoppede hos x. hos y
fik han en iphone. det kan godt være, at han hos elgiganten har købt en samsung telefon til
en anden medarbejder. han forstår ikke de log oplysninger, der fremgår af ekstrakten side
652.
den 19. november 2014 havde han ikke en surface 3 på sin arbejdsplads hos y. han havde
glemt den ved et møde dagen før. han viste politiet, hvor han sad og arbejdede den
pågældende dag. han sagde, at han ikke havde en fast arbejdsplads hos y. han fik først en
fast plads i midten af 2015. han oplyste, at det primært var hans kone, der brugte den surface
3, som han udleverede til politiet på bopælen den 19. november 2014. han sagde ikke, at han
havde en surface 3, som han brugte på jobbet, men som han havde glemt ved et møde. han
vil tro, at han havde sidstnævnte surface 3 den 16. november 2014. navnet ”nb-…” siger
                                             - 12 -
ham ikke noget. hans surface 3 hed noget andet, og han havde selv sat den op. han ved ikke,
hvorfor den hos y var navngivet med ”…kh” (ekstrakten side 722).
der lå et elektronisk dokument hos x med brugernavne og adgangskoder til bl.a. san, nas
og intranettet. han mener, at a startede på dokumentet i tidernes morgen, og efterfølgende har
bl.a. c og andre leverandører lagt informationer ind i dokumentet. dokumentet lå på
intranettet og hed noget i stil med ”brugernavne” eller ”adgangskoder”. dokumentet kunne
findes på undersiden ”it”.
ved en ip-scanning på et netværk får man en liste over netværksudstyr, navne på servere og
computere mv., der er koblet på ip-adressen. et program til ip-scanning kan hentes ganske
nemt på internettet. mange steder kan man komme på et gæstenetværk, som ikke er beskyttet
af en kode. hos x havde man også et gæstenetværk, der ikke var kodebeskyttet. det er muligt
at misbruge en ip-adresse ved at udgive sig for at have en anden ip-adresse end den korrekte.
dette benyttes ofte ved hacking. man kan også godt på en computer angive, at man tilhører et
bestemt domæne, uden at dette reelt er tilfældet. han havde sit eget domæne kaldet
”workgroup”. en telefon skifter rundt mellem forskellige telemaster, og han har aldrig oplevet
at have haft den samme ip-adresse på sin telefon flere dage i træk.
i september 2014 havde han nogle telefonsamtaler med a fra x om nogle uafsluttede
projekter. han fortalte i den forbindelse a, at han hos y havde fået en iphone og en surface
computer. hans mailboks var tæt på at være tom, da han forlod x, da han løbende havde
ryddet op i sine mails.
den 8. november 2014 om formiddagen var han i viborg for bl.a. at købe en fødselsdagsgave
i en cykelforretning.
f fra c havde ikke sin daglige gang i x, men kom kun i enkelte tilfælde. det var ..., ... og ...,
der kom jævnligt i virksomheden.
det er teknisk muligt at have både et låst og et åbent netværk med samme navn. han ved ikke,
hvorfor lars kirkegaard kun kunne se det låste netværk, da han søgte efter netværk på sin
telefon. det kan skyldes, at hans telefon var for gammel til tiltaltes nye udstyr. hvis lars
                                              - 13 -
kirkegaard havde søgt efter netværk via computeren, var det åbne netværk sikkert kommet
frem. tiltalte ville gerne have haft nogle uvildige it eksperter til at vurdere sagen. han synes,
at efterforskningen i sagen har været ensporet.
tiltalte har vedrørende forhold 73-81 supplerende forklaret, at han blev bortvist fra y i januar
2016. han havde det ganske fint i y og havde spændende opgaver. der var ikke
uoverensstemmelse mellem ham og ledelsen inden bortvisningen. der var efter direktørskiftet
i 2015 en generel bekymring blandt medarbejderne om, hvor virksomheden var på vej hen.
forhold 73:
han købte varerne til virksomheden. printeren var også til virksomheden, og han forstår ikke,
hvorfor dommeren i byretten har skrevet, at han erkendte sig skyldig vedrørende printeren.
han har ikke modtaget fakturaen på varerne. fakturaen blev sendt direkte til bogholderiet, og
han så den først, da bogholderiet sendte den til ham. den falske faktura er godkendt med hans
initialer, men han lavede altid en rigtig underskrift, når han godkendte fakturaer. bogholderiet
har kun sendt den originale faktura til ham.
forhold 74:
hans arbejdscomputer gik ikke i stykker. computeren blev bestilt og leveret til en
medarbejder i virksomheden. han fik den originale faktura, som han godkendte, og han har
ikke godkendt den falske faktura med sine initialer. han ved ikke, hvordan bogholderiet har
fået den falske faktura. hvis man kigger ordentligt i virksomheden, vil man kunne finde
varerne.
forhold 75:
han har ikke købt gavekortene. han har tidligere privat købt nogle få gavekort. han kender
ikke produktet sol-licens. han kender heller ikke noget til mailen til k. han ville aldrig
skrive f.eks. ”søde”. han ved ikke, hvorfor det ser ud som om, at mailen er sendt fra hans
mailkonto. han har købt nogle varer med gavekort, men det er nogle andre gavekort. han
husker ikke, hvor mange gavekort han havde privat. der var sikkert en udløbsdato, så derfor
skulle gavekortene bruges. det var nogle gavekort, som han havde købt over tid.
forhold 76:
                                               - 14 -
den mail, han sendte til k fra sin arbejdsmail, blev sendt i kopi til hans private mail. det var
en fejl fra hans daværende forsvarer, at mailkorrespondancen først blev fremlagt den
andensidste dag af hovedforhandlingen i byretten. han lagde ikke mærke til, at han ikke blev
trukket i løn. tingene var købt til ham privat.
forhold 78:
han har købt varerne til virksomheden. fladskærmene skulle bruges i mødelokaler. alle tre
skærme blev i virksomheden. han fik den originale faktura fra elgiganten og videresendte
den til bogholderiet med godkendelse. han ved ikke, hvordan bogholderiet har fået den falske
faktura. den falske faktura er kun godkendt med initialer, ikke med underskrift. fakturaerne
stod frit fremme i virksomheden. han ved ikke, hvilken interesse andre skulle have i at
forfalske fakturaen. det fjernsyn, han havde på bopælen, har han købt og betalt privat, hvilket
han også har kvittering på.
forhold 79:
de to ipod nano var ikke til brug i virksomheden, men det var de øvrige varer. bortset fra de
to ipods er varerne i virksomheden. han sendte den originale faktura til bogholderiet, og han
kender ikke noget til den falske faktura. han kan ikke forklare, hvorfor det lige er de to ipods,
der er fjernet på den falske faktura.
forhold 80:
han har bestilte og afhentede varerne, hvorefter han afleverede dem i virksomheden. han har
godkendt og underskrevet den originale faktura. han kender ikke noget til den falske faktura,
og han har ikke sat sine initialer på den falske faktura.
det var sjusk fra hans side, at han i to tilfælde købte noget til sig selv på firmaets regning
(forhold 77 og 81).
han blev bortvist fra y pr. brev. y ville gerne holde et møde, men han havde ikke mulighed
for at møde op, da han ikke var hjemme og i øvrigt sygemeldt. han ved ikke, hvorfor y tror,
at han har begået bedrageri og dokumentfalsk.
                                             - 15 -
tiltalte har vedrørende sine personlige forhold supplerende forklaret, at han trives på sin nye
arbejdsplads. hans nye job er af ledelsesmæssig karakter. han og hans kone overvejer måske
at flytte til en anden landsdel.
d har supplerende forklaret, at han har udleveret sin kode til tiltalte og a. vidnet skrev koden
ned, hvis han havde it problemer, og så forlod han kontoret, mens problemet blev løst af
tiltalte eller a. det var mest a, han bad om hjælp, men 3-4 uger før, tiltalte stoppede i
virksomheden, gav han tiltalte sit kodeord, da der opstod et it problem, og forlod herefter
kontoret. han skiftede først sit kodeord, efter der havde været et hackerangreb, og de alle blev
bedt om at skifte kodeord. han har haft forskellige stillinger hos x, men han har ikke på noget
tidspunkt haft med it at gøre. han havde ikke administratorrettigheder. han har ikke
ittekniske færdigheder. han havde et fint forhold til tiltalte. han arbejdede i danmark og
loggede på systemerne fra danmark i de fleste tilfælde. i enkelte tilfælde arbejdede han i
england og loggede på derfra. han husker ikke, om han var i danmark den 8.-9. november
2014. c var it-supporter hos x. det kan godt være, at medarbejdere fra c har hjulpet ham med
it problemer. hans computer er ikke blevet nærmere undersøgt.
a har supplerende forklaret, at han har arbejdet hos x siden 2006. tiltalte havde nok en
holdning om, at c var for dyre i deres tilbud, men der var ikke generel mistillid mellem tiltalte
og c. vidnet havde også et fint samarbejde med c. i den periode, hvor tiltalte var ansat hos x,
blev politikken omkring regelmæssig skift af kodeord suspenderet, da det var det nemmeste,
mens man byggede det nye system op.
lørdag den 8. november 2014 blev han ringet op af … fra z it, som fortalte, at han ikke
kunne logge på systemerne. herefter ringede b også og oplyste, at han var blevet kontaktet af
nogle superbrugere i england, som heller ikke kunne komme på systemet. vidnet tog ind til
virksomheden og kunne se, at de virtuelle servere ikke var tilgængelige. hele systemet var
nede. de forsøgte at kontakte c og z it, og de fandt ud af, at der var sket noget med san. de
forsatte med arbejdet om søndagen, men z it meldte hurtigt pas. det var ikke alt, der var
back up på, og alt kunne ikke genskabes. der var bl.a. problemer med at genskabe
kundeinformationer, men det lykkedes til sidst. det tog hele ugen at få genskabt alle
systemerne.
                                                - 16 -
i løbet af den 9. november 2014 kunne han pludselig ikke længere komme på nas, og de
kunne se, at nas var blevet slettet. når man loggede ind, var det, der havde ligget der, væk.
de fik genskabt det, der havde ligget på nas.
det var tiltalte og z it, der havde adgang til san. vidnet havde ikke noget med san at gøre.
… fra z it havde stået for leveringen af san, men det var tiltalte, der stod for installationen
og opsætningen af san. kodeordet til ”superuser” stod ikke i arket med kodeord. der var to
ark. det første lå på intranettet. det gjorde det andet også, men på et andet site vedrørende det
nye system. c havde ikke adgang til sidstnævnte. kodeordet til ”superuser” til san stod ikke
på arkene. man skulle bruge brugernavn og kodeord for at komme på intranettet. han mener,
at det ”gamle” ark var beskyttet med kode, men ikke det nye ark. han kan godt forestille sig,
at kodeordet til brugeren ”admin” til nas stod på et af arkene.
intranettet var inddelt i forskellige sites, og der var forskellige personer, som havde adgang til
at rette i de forskellige sites.
den 16. november 2014 var der en, som havde logget på og havde slettet hele intranettet.
medarbejdernes kodeord stod ikke i et ark, men både han og tiltalte har fået udleveret kodeord
af medarbejdere, når der skulle løses it problemer.
tiltaltes mailkonto blev efter aftale holdt åben i en periode, efter han var stoppet i
virksomheden. mailkontoen blev lukket den 30. september 2014. de begyndte at opdage, at
der manglede nogle ting. l begyndte derfor at undersøge fakturaer nærmere. både tiltaltes
bruger ”kh” og ”…admin” blev lukket. han mener, at det var den 15. november 2014, at alle
medarbejde blev bedt om at ændre kodeord. koden til ”superuser”, ”admin” og ”...admin” var
ikke blevet ændret umiddelbart efter angrebene den 8. og 9. november 2014. det var først
efter den 16. november, at koden til ”...admin” blev ændret.
da tiltalte afleverede sin computer, tog vidnet en kopi brugerfolderen og lagde på nas. han
ved egentlig ikke hvorfor. han fortalte ikke tiltalte, at han havde taget en kopi. da de
opdagede, at der var sket noget, forsøgte de at gå ind i tiltaltes mailboks via det almindelige
system, men mailboksen var blevet slettet. tiltalte havde tilsyneladende slettet mailboksen,
efter han var stoppet i virksomheden, men fortsat havde adgang til mailen. politiet fik en kopi
                                               - 17 -
af den fil, som vidnet havde kopieret fra tiltaltes computer, da den blev afleveret, og som
indeholdt en del gamle mails.
han mener ikke at have været i kontakt med tiltalte i september 2014 vedrørende, hvilket
udstyr tiltalte havde fået udleveret hos y. han har ikke hæftet sig ved, hvis tiltalte har oplyst
at have fået en iphone og en surface.
han har efter aftale med tiltalte i nogle tilfælde lånt tiltaltes eurocard til køb på internettet af
varer til x.
b har supplerende forklaret, at man for at komme ind i systemet skal kende både brugernavn,
kodeord og adresse på systemet. x arbejdede fortsat sammen med c, da han blev ansat. det
var ... og f, som han havde kontakt med hos c. han ved ikke, hvilket forhold tiltalte havde til
medarbejderne fra c.
den 8. november 2014 kørte x systemer ikke, og man var derfor ikke i stand til at udføre
noget arbejde i virksomheden. alt data var væk. den pulje af data, der var på san var slettet,
hvilket gjorde, at alle andre data, herunder kundeinformationer, mailsystemer mv. var
utilgængelige. de opdagede, at det var san, som var problemet, da de tilgik
administrationskonsollen. han bad … om at logge ind på san. … havde ikke kodeordet, og
de forsøgte derfor få det fra leverandøren, z it, som imidlertid heller ikke havde kodeordet. z
it havde ikke kodeordet, da de blot havde leveret san, men ikke sat det op. det var tiltalte,
som havde sat san op. efter lidt søgning på google fandt de ud af, at brugernavn og kodeord
svarede til det standardmæssige, som san oprindelig var leveret med. det var ikke vidnet,
der fandt ud af det.
hvis man vil logge på san fra et sted uden for virksomheden, skal man for det første kende
adressen på virksomhedens firewall. herefter skal man vælge den rigtige port og kende
brugernavn og kodeord for at komme på netværket. herefter skal man kende adressen på den
relevante server og brugernavn og kodeord hertil. endelig skal man kende brugernavn og
kodeord til san. almindelige medarbejdere i x har ikke kendskab til, hvor san ligger i
systemet.
                                               - 18 -
da de opdagede angrebet, måtte de tilkalde en række eksterne eksperter. der var ikke taget
back up af selve san, men de havde back up af en række af filerne på san fra selve
serverne. hvis de ikke havde haft denne back up, tør han slet ikke tænke på, hvad der var sket.
de måtte manuelt begynde at genskabe selve opbygningen af san. det tog nogle måneder,
inden systemet var helt oppe at køre igen. selve produktionen i virksomheden var i stand til at
køre videre efter weekenden. andre medarbejdere kunne derimod ikke arbejde og blev derfor
sendt hjem i nogle dage.
der var flere forskellige logs fra den 8. november 2014, hvor de kunne se, hvad der var sket,
herunder logs fra firewall og san. logs fra san var automatisk blevet overført til nas, så
det var her, de kunne se dem.
da de arbejdede på at få systemerne op at køre igen, var der adgang til nas til at starte med,
men pludselig blev den slettet, og de kunne ikke længere tilgå den. der var ikke mange, der
havde brug for at tilgå nas i hverdagen. der blev ikke taget back up af nas, hvorfor det var
en lidt større teknisk udfordring at få indholdet genskabt, men det lykkedes. logs fra firewall
kunne stadig tilgås den 9. november 2014. da de fik genskabt nas, blev de logs, der var
overført fra san, også genskabt.
da de kiggede på logfilerne, kunne de se, at mange forskellige ting pegede på, at det var
tiltalte, der stod bag, da en person udefra ikke ville være i stand til at have alle de nødvendige
informationer, og da det anvendte domæne mv. pegede på tiltalte. brugernavn og kodeord til
san stod ikke på arket med brugernavne og kodeord.
den 16. november 2014 var der et angreb på x intranet, hvor alle sider blev slettet. serveren
var tilgængelig, men siderne var væk. siderne var også slettet fra ”skraldespanden”, men de lå
fortsat i en anden ”skraldespand”, hvorfor det var nemmere at genskabe.
den 17. november 2014 blev de opmærksomme på brugernavnet ”...admin”, og det var først
denne dag, at de fik ændret kodeordet til dette brugernavn.
de beløb, der er medtaget i erstatningskravet (ekstrakten side 864), har direkte eller indirekte
relation til hackerangrebene. beløbene angår udelukkende ekstern bistand, som er faktureret,
                                              - 19 -
og man har taget det ud af fakturaerne, som ikke angår hackerangrebene. der er ikke i
opgørelsen medtaget tidsforbrug for x egne medarbejdere, herunder it afdelingen og de
medarbejdere, som blev sendt hjem.
det var samtlige – og ikke kun nogle – diskpuljer på san, der var blevet slettet ved
hackerangrebet den 8. november 2014.
han kender ikke ..., hverken fra telenor eller c.
f har supplerende forklaret, at cs samarbejde med x startede i 2011 eller 2012. vidnet var
hos x hver onsdag i 4 timer og herudover ad hoc. hans kollega ... kom også hos x. tidligere
var der to andre kollegaer, … og …, som kom hos x. der var i 2014 ca. 30 ansatte i c, heraf
15 i danmark. han havde primært kontakt til tiltalte via mail. c havde ikke kodeord til san
eller intranettet hos x. c havde kodeordet til nas. han har fået oplyst, at der var et ark med
brugernavne og kodeord, men c havde ikke dette dokument.
efter angrebet den 8. november 2014 undersøgte vidnet, hvilke brugernavne og ip-adresser,
der havde været logget på. alt, hvad der havde ligget på san, var slettet. loggen på san var
dog ikke slettet, og han undersøgte logfilen. kommandoen ”…disk” indebærer sletning af de
virtuelle diske på san, og kommandoen ”…host” indebærer, at der ikke længere er adgang
fra de tre fysiske servere til san. han fulgte ip-adressen til vpn. firewall-loggen var ikke
slettet. firewall-loggen viste, hvilken ekstern ip-adresse, der var tildelt en intern ip-adresse.
de to sys-logs, der er fremlagt i sagen, er logs fra firewall. han kunne se, at der var logget
på med brugernavnet ”cp”. den, der har logget på, har kendt cps kodeord.
den 9. november 2014 blev nas slettet. nas havde virket først på dagen. han kunne på
logfilerne se, at der var logget på via den engelske firewall. man kan godt logge på via den
engelske firewall, selv om man fysisk befinder sig i danmark. det afhænger blot af, hvilken
adresse man indtaster, når man tilgår systemerne. sys-loggen på ekstrakten side 601 vedrører
nas. der var logget på med brugernavnet ”admin” med en intern ip-adresse fra det engelske
segment. ”system starts to remove [volume 1]” er en kommando om at slette nas. der er
tale om et aktivt valg. han søgte på den engelske firewall-log efter den anvendte ip-adresse.
der var brugt brugernavnet ”cp”. der var brugt samme eksterne ip-adresse som dagen før.
                                             - 20 -
man skal kende adressen på x firewall og have brugernavn og kodeord for at kunne komme
på vpn-systemet. for at tilgå san skal man kende sans ip-adresse, og herefter skal man
kende brugernavn og kodeord hertil. det samme gør sig gældende med hensyn til nas og
intranettet.
logudskriften ekstrakten side 524 er fra domænecontrolleren. loggen var gemt på en virtuel
server i england. udskriften viser, at man har forsøgt at logge på. man kan se, hvilket
domæne man forsøger at tilgå fra. der er ikke en tilsvarende log for den 8. november 2014, da
denne log blev slettet, da san blev slettet den 8. november 2014. man kan ikke selv vælge,
om man vil meldes til et domæne. man kan godt melde sig ud af et domæne. det er normalt at
have et shortname for et domæne. der kan derfor godt alene være anført y, selv om y
domæne måtte være y.eu. workstationname er det navn, som maskinen har. hvis en
computer er en del af et domæne, kan man ikke uden videre ændre navnet på maskinen uden
at have det relevante brugernavn og kodeord. på logudskriften ekstrakten side 545 kan man
se, at domænenavnet aktivt er blevet ændret til ”localhost”.
allerede da han begyndte at se på sagen den 8. november 2014, havde han en mistanke om, at
det kunne være tiltalte, der stod bag, men det påvirkede ikke hans måde at undersøge
logfilerne på. ud fra det, som logfilerne viser, kan hackerangrebene på san og nas ikke
være sket fra andre adresser, end dem der fremgår af sagen.
efter hackerangrebet den 16. november 2014 kiggede vidnet først på logfilen, som fremgår af
ekstrakten side 652. kommandoen ”layouts/recyclebin” betyder, at intranettet er blevet
slettet og lagt i ”skraldespanden”. recyclebin1 var også slettet. indholdet var herefter røget i
recyclebin2, hvor det fortsat lå og derfor kunne genskabes. det var brugeren ”...admin”, der
havde slettet intranettet. en almindelig bruger kan ikke slette alt indhold på intranettet.
udskriften, som fremgår af ekstrakten side 631, viser indholdet af recyclebin2.
efter hans opfattelse kan hackerangrebene ikke være udført af en person uden indgående
kendskab til x. der er f.eks. skabt adgang til san i første forsøg, hvilket en udenforstående
hacker ikke ville kunne. det ville kræve flere forsøg.
                                                - 21 -
når man kobler op med en ip-adresse via en mobiltelefon, er ip-adressen unik på det givne
tidspunkt. det er forskelligt, hvor længe man har den samme ip-adresse. det kommer an på,
hvordan it-udbyderen har sat det op. ip-adressen afhænger ikke af, hvor telefonen befinder
sig.
han er sikker på, at han har set, at tiltalte havde en samsung galaxy alpha. han ved ikke,
hvornår denne model er udkommet i danmark. den er formentlig udkommet på forskellige
tidspunkter verden over. man kan ikke ændre i logfiler. det er normalt at køre back up om
natten, men han ved ikke, om det også var tilfældet hos x. selv om san blev slettet, var
san-loggen der stadig. man kan eksportere en log. man kan ikke lave en ip-scanning uden at
være logget på netværket via vpn. hvis man er på gæstenetværk, kan man ikke logge på det
interne netværk. hvis man laver en ip-scanning på et gæstenetværk, kan man kun se, hvad der
er logget på gæstenetværket. man kan godt misbruge en ip-adresse, så man får det til at se ud
som om, at man er en anden. man kan selv aktivt angive sit domænenavn, f.eks. kan man
angive det som lego, selv om man ikke har noget med lego at gøre.
han mener ikke, at san havde en standardkode, som de fandt frem til via google, efter
angrebet var sket. koden var ændret til en unik kode inden angrebet. han mener, at de fandt
koden i nogle papirer, som z it havde leveret sammen med san. det er ikke den fulde log
fra san, men alene et udsnit, der fremgår af ekstrakten side 605. han sendte den fulde log til
politiet. han har også sendt loggen til politiet vedrørende det log on forsøg, der var den 9.
november 2014 kl. 14:05:50.
g har supplerende forklaret, at tiltalte udelukkende var it-ansvarlig i y. virksomheden
producerer primært bonruller og har afdelinger i flere europæiske lande. projektet vedrørende
implementering af nyt it blev i oktober 2014 flyttet fra tyskland til danmark. da vidnet blev
afhørt af politiet, oplyste han, hvilket it-udstyr tiltalte havde fået udleveret . ... var ekstern it-
konsulent for virksomheden med base i tyskland og var involveret, når medarbejdere skulle
have udleveret it-udstyr. det er korrekt, som det fremgår af politirapporten af 3. december
2014, 1. afsnit (ekstrakten side 714), at ... fremsendte en oversigt til vidnet over det
udleverede it-udstyr. det skal være registreret, hvilket it-udstyr medarbejdere har. der var et
godt samarbejde med ....
                                                - 22 -
tiltalte havde et fast kontor på 1. sal hos y. tiltalte flyttede således ikke rundt mellem
forskellige kontorer. vidnet kiggede ikke efter, om tiltaltes surface 3 stod på tiltaltes kontor,
da politiet første gang var hos y den 19. november 2014. da politiet var hos y den 25.
november 2014, var tiltaltes surface 3 på tiltaltes kontor. det er korrekt, at han til politiet har
oplyst som anført i rapporten ekstrakten side 710, sidste afsnit. computeren lå fortsat på
tiltaltes bord, da politiet var der anden gang. når der skulle udleveres it-udstyr til
medarbejdere, var det enten ..., h eller tiltalte selv, der stod for det. han ved ikke, hvem af
disse personer, der har stået for udleveringen af it-udstyr til tiltalte.
l har supplerende forklaret, at hun var it-manager, inden tiltalte blev ansat, og hun havde
løbende samarbejde med ham. normalt blev fakturaer sendt direkte til bogholderiet, og hun
blev ikke involveret heri, medmindre det vedrørte større beløb. hun havde kontor ved siden af
tiltalte, som sad i et fælleskontor. tiltalte sad på sin plads det meste af tiden, men havde også
enkelte hjemmearbejdsdage.
hendes chef m ringede til hende og oplyste, at han kunne se, at virksomheden i aalborg var
blevet faktureret for nogle servere, som skulle stå i nogle af virksomhedens afdelinger i andre
lande. fakturaen skulle derfor have været viderefaktureret til disse afdelinger. hun begyndte
at undersøge det nærmere, og da hun kontaktede komplett.dk, kunne hun se, at der var rettet i
fakturaen. de begyndte derfor at undersøge flere fakturaer, som var godkendt af tiltalte. de
kunne se et mønster og indhentede de originale fakturaer. der var genstande, som f.eks. grill,
sportheadsets og ladyshaver, som gav sig selv, at virksomheden ikke havde. de kiggede rundt
i virksomheden, herunder i serverrum, efter tingene, og de talte indgående med … om, hvad
der blev brugt i virksomheden. de spurgte også på møder i huset, om tingene fandtes i
virksomheden. de kunne konstatere, at der var tale om ting, som de sædvanligvis ikke købte,
og at fakturaerne var forfalskede.
hun husker ikke den specifikke faktura i forhold 1. det var ikke normalt for virksomheden at
indkøbe en samsung 840 pro harddisk (forhold 57). det samme gør sig gældende med hensyn
til f.eks. kølepasta (forhold 67).
                                               - 23 -
de kiggede al korrespondance igennem, og der lå mails, hvor tiltalte godkendte de falske
fakturaer. der var intet, der tydede på, at de mails, som kom fra tiltaltes mailadresse, ikke var
skrevet af tiltalte selv.
de har i deres erstatningsopgørelse ikke medtaget ting, hvis de var usikre på, om tingene
kunne være blevet leveret til virksomheden. hvis de kun havde en formodning om, at tingen
manglede, har de udeladt den af deres oversigt.
x havde i 2014 afdelinger i danmark, england, frankrig og tyskland. de udenlandske
afdelinger var bekendt med sagen, men er ikke blevet spurgt, om der f.eks. var blevet leveret
en server til dem. de udenlandske afdelinger ville ikke kunne svare på det, da det var tiltalte
og a, der stod for indkøb og levering af it til de udenlandske afdelinger. i undersøgelserne af,
hvilke ting der er leveret til x, har de ikke haft computere mv. skilt ad. a stod for it-
installationerne, og de har spurgt a, om de indkøbte ting er installeret. de har gennemgået
listen, som deres erstatningskrav bygger på, flere gange med a.
politiassistent trine møller esmark har supplerende forklaret, at hun mener, at
hackerangrebet blev anmeldt den 10. november 2014.
tiltalte var ikke særlig påvirket af situationen, da politiet ville ransage bopælen den 31.
oktober 2014. de gik hele huset igennem. der var ting, som ifølge tiltalte var købt privat, bl.a.
nogle højttalere, hvor han fandt en faktura frem. politiet tog ikke højttalerne med. der var
ikke ret mange af de ting, som politiet ville tage med, som tiltalte protesterede over.
den 19. november 2014 opsøgte de tiltalte på y. tiltalte påviste et kontor, hvor der ikke var
nogen surface 3. de tog til bopælen, hvor tiltalte påviste en surface 3. tiltalte sagde, at det
var den surface 3, som han havde fået udleveret af y. tiltalte sagde også noget om, at han
havde en anden surface 3, som han havde glemt hos en kunde, men han kunne ikke rigtig
redegøre nærmere for det. da politiet kom til y igen ugen efter, stod tiltaltes surface 3 på
hans kontor på 1. sal.
telemasterne er fortrykt på kortet, som ses ekstrakten side 696. teleselskabet har oplyst
cellenummer og grader, og systemet har derefter selv indtegnet pilene.
                                               - 24 -
der har været drøftelser mellem tiltalte og politiet om udlevering af kodeord til tiltaltes
stationære computer, men der er ikke opnået enighed herom.
hun mener, at politiet forlod tiltaltes bopæl den 19. november 2014 ved middagstid. tiltalte
var da fortsat på bopælen.
e har supplerende forklaret, at der efter hans opfattelse var et godt og professionelt
samarbejde mellem tiltalte og c. vidnet havde ikke et dagligt samarbejde med tiltalte, men
tiltalte var en del af den danske ledergruppe, og de havde et fint samarbejde. efter kort tid gav
tiltalte udtryk for utilfredshed, da han gerne ville være en del af den overordnede ledelse.
tiltalte begyndte at trække sig lidt ind i sig selv. tiltalte sad normalt på sit kontor og havde
ikke mange hjemmearbejdsdage. det kan godt være, at han havde 1-2 hjemmearbejdsdage om
måneden, men ikke 5. tiltalte deltog i julefrokost og dhl stafet.
vidnet har udleveret sit kodeord til tiltalte i forbindelse med, at vidnet havde et it problem.
det samme gælder i forhold til a, men ikke c. på et tidspunkt holdt de op med at skulle skifte
kodeord med jævne mellemrum.
under en ferie i udlandet blev han kontaktet af l, der havde opdaget noget svindel, og de
besluttede at kontakte politiet. han skiftede ikke sit kodeord herefter.
den 8. november 2014 blev han kontaktet af b, der oplyste, at systemet ikke virkede. alle
data var væk. de brugte mange ressourcer både interne og eksterne på at finde ud af, hvordan
de kunne få genskabt de tabte data hurtigst muligt.
den 16. november 2014 forsøgte han at komme på intranettet, men kunne ikke komme på. b
og hans folk fik relativt hurtigt genskabt det, der var blevet slettet.
politiassistent lars kirkegaard har supplerende forklaret, at han blev anmodet om at tage med
på ransagning den 19. november 2014, da der skulle ransages efter en computer. tiltalte
påviste et bord i stueetagen som sin arbejdsplads hos y. en ”tynd klient” er en slags
minicomputer. han kunne se domænenavnet y.eu. der blev ikke taget noget med fra tiltaltes
                                                - 25 -
arbejdsplads. tiltalte nævnte ikke, at han havde andre arbejdspladser hos y. på tiltaltes bopæl
påviste tiltalte en surface 3 og oplyste, at det var en, han havde fået på sin arbejdsplads.
tiltalte nævnte ikke, at han havde en anden surface 3. vidnet søgte efter netværk, og tiltalte
tastede koden, så vidnet kunne komme på netværket med sin mobiltelefon. tiltalte nævnte
ikke andre gæstenetværk end det, som vidnet har forklaret om i byretten. hvis et
gæstenetværk er almindeligt sat op, vil det normalt komme frem, når man søger efter
tilgængelige netværk. han spurgte tiltalte, om han havde omdøbt den surface 3, der var på
bopælen, og tiltalte svarede, at den aldrig havde heddet andet. vidnet kunne på sin telefon se,
hvilken ip-adresse routeren var tildelt. via en hjemmeside kunne vidnet se, at ip-adressen
tilhørte energimidt. hvis han ikke var logget på tiltaltes netværk, ville han ikke kunne se
routerens ip-adresse. han tjekkede ikke, hvilken router tiltalte havde. det var kun tiltaltes
lukkede netværk, der kom frem, da han søgte efter tilgængelige netværk. han har aldrig været
ude for, at hans telefon ikke har fanget alle de netværk, der er tilgængelige. han husker ikke
præcis, hvornår politiet forlod tiltaltes bopæl den 19. november 2014. han vil tro, at de var på
tiltaltes bopæl i ca. en halv time. det kan godt passe, at de forlod tiltaltes bopæl kl. 13.10.
... har forklaret, at han de seneste 7 år har været ansat i special service hos telenor, som
behandler forespørgsler fra politiet. special service var tidligere outsourcet til c operation,
som er en selvstændig enhed i forhold til c a/s. den 1. oktober 2014 blev special service
flyttet fra c til telenor, og han fulgte med. mens han var ansat i c, havde han også andre
kunder end telenor, herunder x. han er kommet hos x indtil den 1. oktober 2014. de var tre
medarbejdere fra c, der kom hos x. udover ham selv var det ... og .... f løste også it opgaver
for x. vidnet havde kontakt med mange medarbejdere i x, herunder tiltalte. vidnet har ikke
på vegne af c eller x haft noget at gøre med de ting, der skete hos x i november 2014.
oplysningerne, der fremgår af hans mail af 15. december 2014 (ekstrakten side 560), viser
det, som var logget i telenors system. man kan i loggen se, hvilken fysisk telefon, som
telefonnummeret var tilknyttet på det omhandlede tidspunkt. logudskriften, der fremgår af
ekstrakten side 568, viser hvilket telefonnummer, der var tildelt den ip-adresse, som var i
kontakt med x ip-adresse. så længe der er foretaget logs, har der været kommunikation
mellem telefonen og x ip-adresse. det samme gør sig gældende med logudskriften, der
fremgår af ekstrakten side 573. en telefons ip-adresse har ikke noget at gøre med, hvilken
telemast en telefon går på.
                                                - 26 -
af hans mail af 19. marts 2015 (ekstrakten side 663) kan man se, hvilken telefon det
omhandlede sim-kort med det tilknyttede telefonnummer har været sat i. hvis sim-kortet
havde været sat i andre telefoner i den omhandle periode, ville det have været registreret. af
loggen vedrørende ip-adressen 5.33.186.73 (ekstrakten side 665) kan man se, at telefonen har
haft samme ip-adresse i hele perioden, også i tidsrummet fra 17:00:52 til 17:05:04, selv om
der er et ”hul”. der skal ved den type ip-adresse være et ”hul” på minimum et kvarter, inden
ip-adressen bliver ”smidt”. en ip-adresse af denne type tildeles kun en bruger ad gangen. ip-
adressen 94.144.63.20 er af en anden – og mere dynamisk – type, som kan være tildelt mange
brugere på samme tid. da der blev søgt på ip-adressen, var der dog kun et ”hit” i forhold til
kontakt til x ip-adresse. der var således ikke andre ”hits” end det, der var knyttet til tiltaltes
telefonnummer.
landsrettens begrundelse og resultat
skyldspørgsmålet
forhold 1-6, 10, 17-20, 22, 24, 26, 30, 39-40, 43, 45-49, 50-52, 54, 57, 60, 62-63 og 67-69
(x)
efter indholdet af de dokumenterede fakturaer sammenholdt med de mails, som er fundet i
henholdsvis x’ mailboks og tiltaltes mailboks, lægger landsretten til grund, at det er tiltalte,
der har forfalsket fakturaerne og sendt dem til x med anmodning om betaling. det lægges
efter bevisførelsen, herunder navnlig ls forklaring, endvidere til grund, at de genstande, som
er omfattet af tiltalen, undtagen routeren i forhold 1, ikke er leveret til x. når dette
sammenholdes med de genstande, som blev fundet hos tiltalte under ransagningen på hans
bopæl, herunder en faktura vedrørende køb af en kamerataske til x (forhold 20), og med at
forholdene i øvrigt er begået på samme måde, som de forhold tiltalte har erkendt sig skyldig i,
er det bevist, at tiltalte er skyldig i bedrageri og dokumentfalsk i overensstemmelse med
tiltalen i de omhandlede forhold. den router, der er nævnt i forhold 1, er ikke medtaget på den
af x udarbejdede oversigt over genstande, som ikke er modtaget hos virksomheden, og det er
for så vidt angår routeren ikke bevist, at den ikke er modtaget i virksomheden. tiltalte
frifindes derfor for bedrageri med hensyn til routeren i forhold 1.
                                                 - 27 -
for så vidt angår forhold 69 er det efter indholdet af de dokumenterede bilag sammenholdt
med fundet af en tilsvarende kaffemaskine under ransagningen på tiltaltes bopæl bevist, at
tiltalte er skyldig i databedrageri som anført i tiltalen.
forhold 70-72 (hacking og hærværk)
det lægges efter bevisførelsen, navnlig forklaringerne fra a, b og f, til grund, at x den 8., 9.
og 16. november 2014 blev udsat for hackerangreb, og at der i den forbindelse skete hærværk
af betydeligt omfang i form af sletning af data mv. som beskrevet i tiltalen i forhold 70-72.
der er tale om tre alvorlige angreb inden for kort tid, som reelt har medført, at virksomheden
blev ”lagt ned”, idet der skete sletning af vitale erhvervsoplysninger, herunder dele af
virksomhedens erhvervshemmeligheder. sletningerne førte til, at virksomheden måtte
hjemsende personale, og at it systemerne først var fuldt retableret efter nogle uger. angrebene
er foretaget ved, at tiltalte har udnyttet den viden, som han har fået, mens han havde en
betroet stilling i virksomheden. forholdene henføres på denne baggrund under straffelovens §
263, stk. 3, jf. stk. 2, og § 291, stk. 2. herefter og af de grunde, som byretten har anført, og
som yderligere støttes af ...s forklaring for landsretten, tiltrædes det, at tiltalte er fundet
skyldig som sket i disse forhold.
forhold 73-76 og 78-80 (y)
tiltalte har – bortset fra gavekortene (forhold 75) – erkendt at have købt de omhandlede
genstande. han har for landsretten anført, at de indkøbte genstandene – med undtagelse af de
to ipod nano (forhold 79) – er leveret til y. denne forklaring afviger væsentligt fra den
forklaring, som tiltalte afgav for byretten, hvor han erkendte en række af forholdene, og hans
forklaring for landsretten fremstår utroværdig og usammenhængende. på baggrund af de
dokumenterede fakturaer mv. og hs forklaring sammenholdt med de genstande, som blev
fundet under ransagningen på tiltaltes bopæl, er det bevist, at de omhandlede genstande,
herunder gavekortene (forhold 75), er købt af tiltalte til privat brug og således ikke er leveret
til y, ligesom det er bevist, at tiltalte har forfalsket fakturaerne og herefter anmodet y om
betaling heraf. tiltaltes forklaring om, at han har anmodet om løntræk i forhold til de
genstande, der er omfattet af forhold 76, må af de grunde, som byretten har anført,
                                                 - 28 -
tilsidesættes. det tiltrædes herefter, at tiltalte er fundet skyldig i bedrageri, dokumentfalsk og
databedrageri i de omhandlede forhold med de foretagne berigtigelser.
straffastsættelsen
2 voterende udtaler:
vi stemmer af de grunde, som byretten har anført, for at fastsætte straffen til fængsel i 3 år.
4 voterende udtaler:
af de grunde, som byretten har anført, findes straffen for bedragerierne at burde fastsættes til
ikke under fængsel i 2 år. det er tillige anset som skærpende omstændigheder, at der er tale
om et meget stort antal forhold begået også ved anvendelse af falske dokumenter og over en
lang periode begyndende kortere tid efter ansættelsen i den betroede stilling.
forholdene vedrørende hacking og hærværk er henført under straffelovens § 263, stk. 3, jf.
stk. 2, og § 291, stk. 2, idet forholdene er begået under særligt skærpende omstændigheder og
har været af mere systematisk eller organiseret karakter. der er tale om tre separate angreb på
virksomheden med sletning af virksomhedens data under omstændigheder, hvor
virksomheden blev ”lagt ned”. dele af personalet måtte hjemsendes, og det tog flere uger, før
virksomhedens systemer og oplysninger var retableret. virksomheden led et større økonomisk
tab i forbindelse hermed og havde alene til eksterne samarbejdspartnere udgifter på mere end
400.000 kr. til genetablering af systemerne. under disse omstændigheder findes straffen for
hacking og hærværk af grov karakter at burde fastsættes til ikke under 1½ års fængsel. efter
en samlet vurdering af forholdenes grovhed stemmer vi herefter for at fastsætte straffen til
fængsel i 3½ år.
der afsiges dom efter stemmeflertallet.
tiltalte straffes herefter med fængsel i 3 år og 6 måneder.
                                               - 29 -
efter forholdenes grovhed og karakter er der ikke grundlag for at gøre straffen delvist betinget
med vilkår om samfundstjeneste.
x har vedrørende forhold 1-69 nedlagt påstand om erstatning på 547.268,24 kr. og vedrørende
forhold 70-72 nedlagt påstand om erstatning på 432.527 kr. da tiltalte i forhold 1-69 – efter
de skete berigtigelser af tiltalen mv. – er dømt for at have påført x et formuetab på
544.679,20 kr., tager de juridiske dommere x’ erstatningskrav til følge med dette beløb
vedrørende forhold 1-69. efter bs forklaring sammenholdt med den fremlagte dokumentation
for det lidte tab som følge af hackerangrebene og hærværket tager de juridiske dommere
endvidere x’ erstatningskrav vedrørende forhold 70-72 til følge, således at x tilkendes
erstatning på i alt 977.206,20 kr. med procesrente som bestemt af byretten.
y har vedrørende forhold 73-81 nedlagt påstand om erstatning på 197.377 kr. da tiltalte i
disse forhold er dømt for at have påført y et formuetab på 194.009 kr. tager de juridiske
dommere y’ erstatningskrav til følge med dette beløb med procesrente som bestemt af
byretten.
med de anførte ændringer stadfæster landsretten dommen.
                                    t h i k e n d e s f o r r e t:
byrettens dom stadfæstes med følgende ændringer:
straffen forhøjes til fængsel i 3 år og 6 måneder.
konfiskationen af 1 stk. netgear r6300 trådløs router (forhold 1) udgår.
tiltalte skal til x a/s, ...vej, 9400 nørresundby, betale 977.206,20 kr. med procesrente fra
den 15. september 2016.
tiltalte skal til y a/s, ...vej, 7800 skive, betale 194.009 kr. med procesrente fra den 15.
september 2016.
                                            - 30 -
tiltalte skal betale sagens omkostninger for landsretten.
erstatningerne skal betales inden 14 dage.
