dom afsagt den 19. maj 2017 af vestre landsrets 11. afdeling (dommerne vogter, hanne aagaard og mette koue (kst.) med domsmænd) i ankesag v.l. s–1909–16 anklagemyndigheden mod t født den … 1980 (advokat jørn brandenhoff schmidt, fredericia) retten i aalborg har den 15. september 2016 afsagt dom i 1. instans (rettens nr. 10- 8708/2015). påstande tiltalte, t, har påstået frifindelse i forhold 1-6, 10, 17-20, 22, 24, 30, 39, 43, 45-49, 51-52, 54, 57, 60, 62-63, 67-76, 78 og 80, delvis frifindelse i forhold 26, 40, 50 og 79 og i øvrigt formildelse, navnlig således at straffen gøres delvist betinget med vilkår om samfundstjeneste. tiltalte har endvidere påstået frifindelse for påstanden om konfiskation vedrørende de genstande, som er omfattet af de forhold, der påstås frifindelse for. anklagemyndigheden har som sin endelige påstand påstået dom i overensstemmelse med tiltalen i 1. instans i forhold 70-73 og skærpelse. - 2 - anklagemyndigheden har for landsretten berigtiget tiltalen i forhold 70-72, således at der efter ”§ 263, stk. 3” tilføjes: ”, jf. stk. 2,”. anklageren har endvidere berigtiget tiltalen i forhold 73, som denne er gengivet i byrettens dom, således, at ”computertilbehør 3 stk. logitech k280e corded keyboard” ændres til: ”1 stk. hp color laserjet pro mfp m476dw”. x a/s (herefter
- x)og y a/s (herefter
- y)har gentaget deres påstande for byretten om erstatning. tiltalte har påstået frifindelse for kravene om erstatning i det ikke erkendte omfang. tiltalte har bestridt kravene størrelsesmæssigt. supplerende oplysninger midt- og vestjyllands politi, nationalt cyber crime center, har i en rapport af 28. marts 2017 oplyst, at det er teknisk muligt at have to adgange til sit trådløse netværk, en åben adgang og en krypteret adgang, og hvor begge adgange har samme navn. det er endvidere oplyst, at dette dog er en usædvanlig og sjælden set konfiguration, da man normalt bruger netværksnavnets entydighed til at skelne mellem de forskellige udbudte netværk. forklaringer tiltalte og vidnerne d, a, b, f, g, l, politiassistent trine møller esmark, e og politiassistent lars kirkegaard har for landsretten i det væsentlige forklaret som i 1. instans. der er endvidere afgivet forklaring af .... tiltalte har vedrørende forhold 1-69 supplerende forklaret, at han i starten var fint tilfreds med at arbejde for x, men efter et halvt års tid gik det op for ham, at firmaet havde fyldt ham med ”varm luft”. han gjorde firmaet opmærksom herpå flere gange. da der ikke skete noget, og da han fortsat blev lovet ”guld og grønne skove”, begyndte han at indkøbe ting til sig selv. han ændrede i fakturaerne for at dække over det. politiet tog bl.a. hans stationære computer, men han vil ikke udlevere koden hertil, da den er dybt personlig. forhold 1: - 3 - han bad ikke om, at alle varer i fremtiden skulle sendes til ham privat, men blot om at fakturaerne fremover skulle sendes til hans mailadresse. han ved ikke, hvorfor han ikke bad om, at fakturaerne fremover skulle sendes til bogholderiet i x i overensstemmelse med firmaets anbefalinger. han ved ikke, om … creed 3 er et spil. det har sikkert ligget i kassen med bundkortet. det er leveret til firmaet. routeren skulle bruges i firmaet. han ville have ordren leveret til sin privatadresse, da han havde en hjemmearbejdsdag. den router, der blev fundet på hans bopæl, havde han købt brugt gennem den blå avis, hvilket han også sagde til politiet. fakturaen fra føniks a/s udstedt til ... vedrører dette køb. han fik fakturaen og kassen med, da han købte routeren. det er hans mailadresse, der fremgår af tweak-kontoen. det er korrekt, at han på et tidspunkt har forsøgt at sælge en asus maximus v formula, men det var en, han selv havde købt. han husker ikke, hvornår han havde købt den. forhold 2: de diske, som politiet fandt hos ham, havde han købt privat. de diske, som er anført på fakturaen, har han leveret til x. han fik dem leveret derhjemme, da han havde hjemmearbejdsdag. han åbnede kassen, da han modtog den, fordi vægten ikke passede. han mener ikke, at han har ændret leveringsadressen på fakturaen. han ved ikke, hvordan adressen er blevet ændret. forhold 3: han mindes ikke at have ændret i fakturaen. han sendte den faktura, som han fik fra dustin, til x. han ved ikke, hvorfor bogholderiet havde problemer med en betalingsfrist på 8 dage. det var ikke besværligt for ham at skulle transportere de købte varer fra sin bopæl til firmaet. noget af emballagen smed han ud. der blev købt en del harddiske til firmaet, herunder de omhandlede 5 samsung harddiske. fractal design fulltower define er et kabinet til en computer. der er flere andre, der kan have ændret på fakturaen. bl.a. hans kollega, a, og den eksterne it leverandør havde adgang til de samme ting som ham. de andre havde ikke lov til at benytte hans mail, men det er verdens nemmeste ting at få adgang hertil. forhold 4: afhøringen af ham i byretten var meget forvirrende og usammenhængende, så der blev måske sagt nogle ting, som ikke stemmer med virkeligheden. han kan ikke erkende forholdet. han mindes ikke at have ændret fakturaen. han har haft tid til at gennemgå materialet grundigt. de - 4 - forhold, han erkender, kan han faktuelt huske. han husker ikke at have afhentet effekterne i viborg. der er måske andre, der har brugt hans mailadresse. det pioneer drev, der blev fundet på hans bopæl, har han købt privat. forhold 5: højttalerkablerne skulle bruges i firmaet. han mindes ikke at have ændret i fakturaen. han havde ikke noget at bruge kablerne til privat, og der blev heller ikke fundet sådanne kabler på hans bopæl. forhold 6: han beholdt ikke de guldbelagte kabler. kablerne skulle bruges i firmaet. han mindes ikke at have ændret i fakturaen. hvis han har modtaget kablerne på sin hjemmeadresse, har han taget dem med til firmaet. han mener ikke, at han i byretten sagde, at han skulle bruge kablerne privat. han mener, at han har sendt den originale faktura til bogholderiet. forhold 10: han har haft en ipod, men det var en gammel en. han ved ikke, om den kasse, der blev fundet på hans bopæl, hørte til den ipod. han ved ikke, hvad firmaet skulle bruge en ipod til. telefonen var en firmatelefon. han mindes ikke at have ændret i fakturaen. han mener at have sendt den originale faktura til bogholderiet. han ved ikke, hvordan bogholderiet har fået den falske faktura. forhold 17: skærmene var ikke til ham selv, men til firmaet. de skærme, der blev fundet på hans bopæl, var købt privat. han husker ikke at have ændret tommerne på fakturaen. han fik tilladelse fra m til at bruge pengene, som det fremgår af bilaget i ekstrakten side 201. han mindes ikke, at tilladelsen skulle være fremsendt sammen med en falsk faktura. tilladelsen lå på et fællesdrev, som andre kunne tilgå. der var ca. 100 ansatte i x. forhold 18: han kender ikke noget til, at der er ændret i fakturaen. varerne skulle bruges i firmaet. han blev ikke spurgt nærmere ind til forholdet i byretten. - 5 - forhold 19: hukommelseskortene blev krediteret. hvis han har købt dem, var det firmaet, der skulle bruge dem. han mindes ikke at have ændret i fakturaen. han blev ikke spurgt nærmere ind til forholdet i byretten. forhold 20: kameratasken, der blev fundet hos ham, har han købt privat. han har ikke ændret i fakturaen. den kamerataske, som fremgår af fakturaen, er en anden model, end den, der blev fundet hos ham. han mindes ikke at have købt en kamerataske til firmaet. han kan ikke huske, at han i et ringbind har haft en faktura, hvoraf det fremgår, at der er købt en kamerataske til firmaet. forhold 22: han skulle ikke beholde kablerne selv. der blev jævnligt brugt kabler i virksomheden. han mener ikke, at han har ændret i fakturaen, ligesom han mener, at han sendte den originale faktura til bogholderiet. hans mailboks var næsten tom, da han forlod virksomheden. han går ud fra, at bogholderiet har den mail, hvor han har sendt den originale faktura. han ved ikke, hvorfor bogholderiet ikke har fundet denne mail. forhold 24: mini docken var ikke til ham selv. han havde ikke noget at bruge den til, og den er leveret til firmaet. det er ikke ham, der har ændret i fakturaen. han ved ikke, hvordan det er sket. han sendte den originale faktura til bogholderiet. der skulle bruges dockingstationer til firmaets bærbare computere. forhold 26: han beholdt de to skærme, fordi han havde lyst til det. han mener ikke, at han ændrede i fakturaen. han kan ikke svare på, hvordan ændringen er sket. han har ikke sendt den falske faktura til bogholderiet. han kan kun gisne om, hvorfor andre måske har brugt hans mail. han mener ikke, at han var uvenner med sin kollega a. han ved ikke, om a var bekendt med, at tiltalte begik bedrageri. han havde gemt dokumenterne i en mappe, der hed ”indkøb”. han tænkte ikke over opdagelsesrisikoen. forhold 30: - 6 - han mener ikke, at han har ændret i fakturaen. afhøringen i byretten var forvirrende og ustruktureret. man brugte headset i virksomheden. han mener ikke, at der blev fundet et trådløst headset på hans bopæl. han havde 2-3 headsets, som han brugte, når han løb. dem havde han selv købt i 2012. hans kone brugte også headset, når hun løb. forhold 39: den printerbakke, der blev fundet hos ham, havde han selv købt. den printerbakke, der fremgår af fakturaen, blev leveret til virksomheden. han mindes ikke at have ændret i fakturaen. han sendte den originale faktura til bogholderiet. forhold 40: han bestilte to tablets. han mener, at den ene blev krediteret. han ville beholde en tablet. han husker ikke, om det var den sorte eller hvide. den anden blev i virksomheden. han har ændret noget i fakturaen, men ikke det hele. han mener, at han blot fjernede en tablet fra fakturaen. forhold 43: det kan godt være, at det er ham, der har ændret fakturaen. han ved ikke, hvorfor han skulle have gjort det. han beholdt ikke selv think pad’en. forhold 45: der blev indkøbt ram til opgradering af firmaets bærbare computere. han har ikke ændret i fakturaen. han sendte den originale faktura til bogholderiet. de ram, der blev fundet på hans bopæl, havde han købt brugt. forhold 46: kablerne var til virksomheden. han husker ikke, hvor de blev leveret. han mindes ikke at have bedt om, at de skulle leveres hos ham. han mindes heller ikke at have ændret i fakturaen. han erkendte ikke forholdet i byretten. forhold 47: han mener ikke, at han har ændret i fakturaen. den indkøbte kingston ram var til brug i virksomheden. han mener ikke, at han har fremsendt den falske faktura til bogholderiet. - 7 - forhold 48: grafikkortene skulle bruges i computere på virksomheden. der er tale om helt sædvanlige grafikkort. de grafikkort, der blev fundet hjemme hos ham, har han selv købt. han har sendt den originale faktura til bogholderiet, og han ved ikke, hvor den falske faktura stammer fra. forhold 49: det er muligt, at han erkendte forholdet i byretten. varerne blev indkøbt til firmaet, ikke til ham selv. han har fremsendt den originale faktura til bogholderiet, og han kender ikke noget til den falske faktura. forhold 50: det er muligt, at han erkendte forholdet i byretten. de 4 kabinetter, der blev fundet på hans bopæl, bestilte han for at beholde selv. resten af de bestilte varer skulle bruges i virksomheden, og han har afleveret varerne i virksomheden. han kender ikke noget til den falske faktura. forhold 51: det er meget muligt, at han har bestilt 8 stk. think pad docks til virksomheden. de brugte mange af sådanne docks i virksomheden. han har ikke beholdt nogle af de omhandlede docks. han har sendt den originale faktura til bogholderiet, og han kender ikke noget til den falske faktura. forhold 52: det er muligt, at han erkendte forholdet i byretten. han har ikke købt kaffemaskinen og trimmeren. mailkorrespondancen med elgiganten siger ham ikke noget. han kan ikke svare på, hvorfor mailkorrespondancen er fundet i hans mailboks. han havde en udmærket økonomi på det tidspunkt. han har aldrig set fakturaen, og han har heller ikke sendt den til bogholderiet. forhold 54: han erkendte ikke forholdet i byretten. de 2 stk. surface 3 bestilte han til brug i virksomheden. på det tidspunkt var der ikke danske virksomheder, som kunne levere surface 3. de to surface 3, der blev fundet på hans bopæl henholdsvis den 31. oktober og 19. - 8 - november 2014, havde han selv købt i august eller september 2014. han har ikke ændret i fakturaen. han mindes ikke at have udfyldt bilaget i ekstrakten side 390. han har ikke skrevet, at han har købt et certifikat. forhold 57: det er meget muligt, at han har hentet harddisken i viborg. han kom næsten dagligt i viborg, og det gjorde derfor processerne nemmere, hvis han selv hentede varer til virksomheden. han har ikke ændret i fakturaen, og han har ikke sendt den falske faktura til bogholderiet. der var løbende medarbejdere på job, da alle ikke holdt ferie samtidigt. forhold 60: han har ikke sendt den falske faktura til bogholderiet. han har ikke ændret i fakturaen. de havde haft nogle udfordringer med varme i serverrummene i virksomheden, hvorfor der blev indkøbt gulvventilatorer. forhold 62: han kan huske, at han bestilte nogle ting til konferencelokalet i virksomheden. tastaturet var ikke til ham selv. det tastatur, han havde derhjemme, havde han købt privat. han sendte den originale faktura til bogholderiet. han har ikke sendt den falske faktura. forhold 63: han erkendte ikke dokumentfalsk i byretten. gps’en skulle bruges i virksomheden og er afleveret i virksomheden. gps’en skulle folk med firmabil bruge, når de skulle rundt til møder. han har ikke ændret i fakturaen. han har sendt den originale faktura til bogholderiet. det var ikke hemmeligt, hvem der godkendte ting til betaling. forhold 67: han havde hjemmearbejdsdage, helt indtil han stoppede i virksomheden. det er meget sandsynligt, at han har fået varerne leveret på sin bopæl. han stiller sig uforstående over for, hvorfor virksomheden mener ikke at have modtaget varerne. han havde ikke brug for varerne privat. varerne kan sagtens være sat i forskellige computere. forhold 68: - 9 - han købte ikke de omhandlede ting på sin sidste arbejdsdag. han har ikke fået tingene leveret på sin bopæl. de ting, der blev fundet på hans bopæl, er købt brugt. han har ikke sendt mailen med fakturaen til bogholderiet. han ved ikke, hvor mailen til bogholderiet i hans mailboks hos y a/s er kommet fra. han afleverede sit eurocard til x den 29. august 2014. forhold 69: han havde ikke gemt kortoplysningerne fra det firma eurocard, som han havde afleveret. han havde købt kaffemaskinen privat i starten af september 2014 i tyskland. han betalte med sit private kreditkort. han ved ikke, hvorfor der blev hævet på hans tidligere eurocard. kortet burde have været lukket. han mener ikke, at han i byretten sagde, at han havde købt kaffemaskinen på sit tidligere eurocard fra x. tiltalte har vedrørende forhold 70-72 supplerende forklaret, at man hos x havde en it-politik om, at man skulle ændre sin kode hver tredje måned, og man kunne ikke komme på systemet, medmindre man ændrede sin kode, når systemet bad om det. ifølge it-politikken skulle koden ændres efter 180 dage, men i praksis var det hver tredje måned. han vidste, at han havde lavet nogle ting, og derfor tænkte han ikke så meget over det, da politiet kom for at ransage på hans bopæl. c kom hos x mindst en gang om ugen. c havde kontakt til de enkelte brugere hos x. medarbejderne hos x tog også fat i tiltalte og hans kollega a vedrørende it spørgsmål. tiltalte stod mest for de overordnede ting. de tog sig begge af indkøb af it. det var primært to bestemte personer fra c, der kom i virksomheden, nemlig f og .... han havde en god kontakt til ..., men knap så god kontakt til f. f var bitter og irriteret over, at tiltalte brugte andre leverandører til at løse nogle opgaver. udover den ene dag om ugen, som c var fysisk hos x, brugte c formentlig 1-2 dage yderligere om ugen på opgaver for x. x havde bl.a. nogle netværksprojekter med z it, herunder indkøb og etablering af nyt san. c havde i starten ikke noget at gøre med det nye san, men blev holdt løbende orienteret, da c efterfølgende skulle stå for driften. tiltalte kunne få adgang til san, hvis han ville. han sad nogle gange sammen med konsulenten og kiggede i san. han mener, at ”cp” må være brugeren d. tiltaltes brugernavn var ”kh”. man gik kun ind i san, hvis man skulle lave nogle konfigurationsændringer. koden til san lå i et dokument, så hvis man kunne finde - 10 - dette dokument, kunne man få koden til san. medarbejderne havde ikke nogen anledning til at gå ind i san. hvis man skulle ind i san, skulle man indtaste ip-adressen. det var nemt at finde denne adresse, hvis man lavede en ip-scanning. han kender ikke kommandoerne ”…disk” og ”…host”. han har en idé om, hvad kommandoerne dækker over, men kan ikke udtale sig nærmere om det. han mener ikke, at det er dokumenteret, at indholdet af san er slettet. han kan alene konstatere, at der er en bruger, der blev logget på den 8. november 2014, og at der blev skrevet nogle kommandoer. inden tiltalte tiltrådte hos x, hang virksomhedens it ”i bremsen”, og der var – også efter at det nye san blev etableret – stadig mange ting, der ikke fungerede optimalt. han ved ikke, hvorfor x skulle have anmeldt et hackerangreb, hvis det ikke er sket, men det kunne måske være for at få andre, evt. en forsikring, til at dække omkostningerne. han ved ikke, hvordan det er sket, at ip-adressen, der var tilknyttet hans mobiltelefon, er logget på san den 8. november 2014. han havde ikke en samsung telefon på det tidspunkt, men alene en iphone. han havde intet at gøre med nas. han kunne formentlig godt have fået adgang til nas, men han har ikke været på nas. a havde kopieret nogle ting over på nas, som ikke skulle ligge på san. nas blev brugt som arkiv, f.eks. til nogle gamle mailfiler. a, tiltalte, c og z it kunne få adgang til nas. det kan godt være, at der også var andre brugere, der havde fået adgang. han ved ikke, hvilke brugerrettigheder de sidstnævnte brugere i givet fald var blevet tildelt. vedrørende logfilen fra nas den 9. november 2014 ved han ikke, hvad det betyder, når der står kommandoerne ”system starts to remove” og ”apple file service was stopped”. han mener ikke, at det viser, at der rent faktisk er slettet noget. han ved ikke, hvorfor ip-adressen er knyttet til hans telefon. som sagt havde han ikke en samsung telefon. han kender ikke noget til, hvorfor der ved et efterfølgende log on forsøg er anført ”y” som domæne. y a/s’ domæne navn var ”y.eu”. han brugte ikke selv ”y” som domænenavn. alle medarbejdere hos x havde adgang til intranettet. man skulle bruge brugernavn og adgangskode. der har været mange forskellige firmaer inde over intranettet, bl.a. en - 11 - leverandør i herning, som han ikke husker navnet på. han har ikke været inde og ”rode” i intranettet. m4-systems var en engelsk leverandør, som x benyttede. han kendte ikke brugernavnet ”…admin”. det kan godt være, at det var brugernavnet, men han kendte det ikke. han ved ikke, hvad logteksten fra den 16. november 2014 ”layouts/recyclebin” betyder. på skærmbilledet i ekstrakten side 631 kan det godt se ud som om, at der er nogle filer, der er blevet slettet, men han stiller sig tvivlende overfor, om det er hele indholdet af intranettet. han ved ikke, hvorfor hans telefon er knyttet op på det foretagne forsøg på log on til intranettet. han mener, at man slet ikke kan gå på intranettet fra en telefon. han ved ikke, hvorfor det ser ud som om, at den ip-adresse, der var tilknyttet hans bopæl, er logget på. der må være en anden, der har benyttet hans netværk. han synes, at der er huller i de logfiler, der er fremlagt. han synes, at det er mærkeligt, at man kan trække logs ud af systemer, som man anfører er slettet. der blev kørt back up hver nat. hvis der var blevet slettet noget lørdag den 8. november 2014, burde man alene kunne se, hvad der lå på den seneste back up, som blev kørt natten mellem den 7. og 8. november 2014. han mener ikke, at logfilerne er korrekte. det ville være nemt for x at finde ud af, hvilken ip-adresse han havde derhjemme. ..., som er kommet med oplysningerne fra telenor, var også ansat hos c. han stillede også i byretten spørgsmålstegn ved, om logfilerne var korrekte, og om der overhovedet var sket de sletninger, som x hævder. han havde en samsung galaxy telefon, da han arbejdede hos x. han afleverede den ikke, da han stoppede i virksomheden, men han har ikke brugt den, efter han stoppede hos x. hos y fik han en iphone. det kan godt være, at han hos elgiganten har købt en samsung telefon til en anden medarbejder. han forstår ikke de log oplysninger, der fremgår af ekstrakten side 652. den 19. november 2014 havde han ikke en surface 3 på sin arbejdsplads hos y. han havde glemt den ved et møde dagen før. han viste politiet, hvor han sad og arbejdede den pågældende dag. han sagde, at han ikke havde en fast arbejdsplads hos y. han fik først en fast plads i midten af 2015. han oplyste, at det primært var hans kone, der brugte den surface 3, som han udleverede til politiet på bopælen den 19. november 2014. han sagde ikke, at han havde en surface 3, som han brugte på jobbet, men som han havde glemt ved et møde. han vil tro, at han havde sidstnævnte surface 3 den 16. november 2014. navnet ”nb-…” siger - 12 - ham ikke noget. hans surface 3 hed noget andet, og han havde selv sat den op. han ved ikke, hvorfor den hos y var navngivet med ”…kh” (ekstrakten side 722). der lå et elektronisk dokument hos x med brugernavne og adgangskoder til bl.a. san, nas og intranettet. han mener, at a startede på dokumentet i tidernes morgen, og efterfølgende har bl.a. c og andre leverandører lagt informationer ind i dokumentet. dokumentet lå på intranettet og hed noget i stil med ”brugernavne” eller ”adgangskoder”. dokumentet kunne findes på undersiden ”it”. ved en ip-scanning på et netværk får man en liste over netværksudstyr, navne på servere og computere mv., der er koblet på ip-adressen. et program til ip-scanning kan hentes ganske nemt på internettet. mange steder kan man komme på et gæstenetværk, som ikke er beskyttet af en kode. hos x havde man også et gæstenetværk, der ikke var kodebeskyttet. det er muligt at misbruge en ip-adresse ved at udgive sig for at have en anden ip-adresse end den korrekte. dette benyttes ofte ved hacking. man kan også godt på en computer angive, at man tilhører et bestemt domæne, uden at dette reelt er tilfældet. han havde sit eget domæne kaldet ”workgroup”. en telefon skifter rundt mellem forskellige telemaster, og han har aldrig oplevet at have haft den samme ip-adresse på sin telefon flere dage i træk. i september 2014 havde han nogle telefonsamtaler med a fra x om nogle uafsluttede projekter. han fortalte i den forbindelse a, at han hos y havde fået en iphone og en surface computer. hans mailboks var tæt på at være tom, da han forlod x, da han løbende havde ryddet op i sine mails. den 8. november 2014 om formiddagen var han i viborg for bl.a. at købe en fødselsdagsgave i en cykelforretning. f fra c havde ikke sin daglige gang i x, men kom kun i enkelte tilfælde. det var ..., ... og ..., der kom jævnligt i virksomheden. det er teknisk muligt at have både et låst og et åbent netværk med samme navn. han ved ikke, hvorfor lars kirkegaard kun kunne se det låste netværk, da han søgte efter netværk på sin telefon. det kan skyldes, at hans telefon var for gammel til tiltaltes nye udstyr. hvis lars - 13 - kirkegaard havde søgt efter netværk via computeren, var det åbne netværk sikkert kommet frem. tiltalte ville gerne have haft nogle uvildige it eksperter til at vurdere sagen. han synes, at efterforskningen i sagen har været ensporet. tiltalte har vedrørende forhold 73-81 supplerende forklaret, at han blev bortvist fra y i januar 2016. han havde det ganske fint i y og havde spændende opgaver. der var ikke uoverensstemmelse mellem ham og ledelsen inden bortvisningen. der var efter direktørskiftet i 2015 en generel bekymring blandt medarbejderne om, hvor virksomheden var på vej hen. forhold 73: han købte varerne til virksomheden. printeren var også til virksomheden, og han forstår ikke, hvorfor dommeren i byretten har skrevet, at han erkendte sig skyldig vedrørende printeren. han har ikke modtaget fakturaen på varerne. fakturaen blev sendt direkte til bogholderiet, og han så den først, da bogholderiet sendte den til ham. den falske faktura er godkendt med hans initialer, men han lavede altid en rigtig underskrift, når han godkendte fakturaer. bogholderiet har kun sendt den originale faktura til ham. forhold 74: hans arbejdscomputer gik ikke i stykker. computeren blev bestilt og leveret til en medarbejder i virksomheden. han fik den originale faktura, som han godkendte, og han har ikke godkendt den falske faktura med sine initialer. han ved ikke, hvordan bogholderiet har fået den falske faktura. hvis man kigger ordentligt i virksomheden, vil man kunne finde varerne. forhold 75: han har ikke købt gavekortene. han har tidligere privat købt nogle få gavekort. han kender ikke produktet sol-licens. han kender heller ikke noget til mailen til k. han ville aldrig skrive f.eks. ”søde”. han ved ikke, hvorfor det ser ud som om, at mailen er sendt fra hans mailkonto. han har købt nogle varer med gavekort, men det er nogle andre gavekort. han husker ikke, hvor mange gavekort han havde privat. der var sikkert en udløbsdato, så derfor skulle gavekortene bruges. det var nogle gavekort, som han havde købt over tid. forhold 76: - 14 - den mail, han sendte til k fra sin arbejdsmail, blev sendt i kopi til hans private mail. det var en fejl fra hans daværende forsvarer, at mailkorrespondancen først blev fremlagt den andensidste dag af hovedforhandlingen i byretten. han lagde ikke mærke til, at han ikke blev trukket i løn. tingene var købt til ham privat. forhold 78: han har købt varerne til virksomheden. fladskærmene skulle bruges i mødelokaler. alle tre skærme blev i virksomheden. han fik den originale faktura fra elgiganten og videresendte den til bogholderiet med godkendelse. han ved ikke, hvordan bogholderiet har fået den falske faktura. den falske faktura er kun godkendt med initialer, ikke med underskrift. fakturaerne stod frit fremme i virksomheden. han ved ikke, hvilken interesse andre skulle have i at forfalske fakturaen. det fjernsyn, han havde på bopælen, har han købt og betalt privat, hvilket han også har kvittering på. forhold 79: de to ipod nano var ikke til brug i virksomheden, men det var de øvrige varer. bortset fra de to ipods er varerne i virksomheden. han sendte den originale faktura til bogholderiet, og han kender ikke noget til den falske faktura. han kan ikke forklare, hvorfor det lige er de to ipods, der er fjernet på den falske faktura. forhold 80: han har bestilte og afhentede varerne, hvorefter han afleverede dem i virksomheden. han har godkendt og underskrevet den originale faktura. han kender ikke noget til den falske faktura, og han har ikke sat sine initialer på den falske faktura. det var sjusk fra hans side, at han i to tilfælde købte noget til sig selv på firmaets regning (forhold 77 og 81). han blev bortvist fra y pr. brev. y ville gerne holde et møde, men han havde ikke mulighed for at møde op, da han ikke var hjemme og i øvrigt sygemeldt. han ved ikke, hvorfor y tror, at han har begået bedrageri og dokumentfalsk. - 15 - tiltalte har vedrørende sine personlige forhold supplerende forklaret, at han trives på sin nye arbejdsplads. hans nye job er af ledelsesmæssig karakter. han og hans kone overvejer måske at flytte til en anden landsdel. d har supplerende forklaret, at han har udleveret sin kode til tiltalte og a. vidnet skrev koden ned, hvis han havde it problemer, og så forlod han kontoret, mens problemet blev løst af tiltalte eller a. det var mest a, han bad om hjælp, men 3-4 uger før, tiltalte stoppede i virksomheden, gav han tiltalte sit kodeord, da der opstod et it problem, og forlod herefter kontoret. han skiftede først sit kodeord, efter der havde været et hackerangreb, og de alle blev bedt om at skifte kodeord. han har haft forskellige stillinger hos x, men han har ikke på noget tidspunkt haft med it at gøre. han havde ikke administratorrettigheder. han har ikke ittekniske færdigheder. han havde et fint forhold til tiltalte. han arbejdede i danmark og loggede på systemerne fra danmark i de fleste tilfælde. i enkelte tilfælde arbejdede han i england og loggede på derfra. han husker ikke, om han var i danmark den 8.-9. november 2014. c var it-supporter hos x. det kan godt være, at medarbejdere fra c har hjulpet ham med it problemer. hans computer er ikke blevet nærmere undersøgt. a har supplerende forklaret, at han har arbejdet hos x siden 2006. tiltalte havde nok en holdning om, at c var for dyre i deres tilbud, men der var ikke generel mistillid mellem tiltalte og c. vidnet havde også et fint samarbejde med c. i den periode, hvor tiltalte var ansat hos x, blev politikken omkring regelmæssig skift af kodeord suspenderet, da det var det nemmeste, mens man byggede det nye system op. lørdag den 8. november 2014 blev han ringet op af … fra z it, som fortalte, at han ikke kunne logge på systemerne. herefter ringede b også og oplyste, at han var blevet kontaktet af nogle superbrugere i england, som heller ikke kunne komme på systemet. vidnet tog ind til virksomheden og kunne se, at de virtuelle servere ikke var tilgængelige. hele systemet var nede. de forsøgte at kontakte c og z it, og de fandt ud af, at der var sket noget med san. de forsatte med arbejdet om søndagen, men z it meldte hurtigt pas. det var ikke alt, der var back up på, og alt kunne ikke genskabes. der var bl.a. problemer med at genskabe kundeinformationer, men det lykkedes til sidst. det tog hele ugen at få genskabt alle systemerne. - 16 - i løbet af den 9. november 2014 kunne han pludselig ikke længere komme på nas, og de kunne se, at nas var blevet slettet. når man loggede ind, var det, der havde ligget der, væk. de fik genskabt det, der havde ligget på nas. det var tiltalte og z it, der havde adgang til san. vidnet havde ikke noget med san at gøre. … fra z it havde stået for leveringen af san, men det var tiltalte, der stod for installationen og opsætningen af san. kodeordet til ”superuser” stod ikke i arket med kodeord. der var to ark. det første lå på intranettet. det gjorde det andet også, men på et andet site vedrørende det nye system. c havde ikke adgang til sidstnævnte. kodeordet til ”superuser” til san stod ikke på arkene. man skulle bruge brugernavn og kodeord for at komme på intranettet. han mener, at det ”gamle” ark var beskyttet med kode, men ikke det nye ark. han kan godt forestille sig, at kodeordet til brugeren ”admin” til nas stod på et af arkene. intranettet var inddelt i forskellige sites, og der var forskellige personer, som havde adgang til at rette i de forskellige sites. den 16. november 2014 var der en, som havde logget på og havde slettet hele intranettet. medarbejdernes kodeord stod ikke i et ark, men både han og tiltalte har fået udleveret kodeord af medarbejdere, når der skulle løses it problemer. tiltaltes mailkonto blev efter aftale holdt åben i en periode, efter han var stoppet i virksomheden. mailkontoen blev lukket den 30. september 2014. de begyndte at opdage, at der manglede nogle ting. l begyndte derfor at undersøge fakturaer nærmere. både tiltaltes bruger ”kh” og ”…admin” blev lukket. han mener, at det var den 15. november 2014, at alle medarbejde blev bedt om at ændre kodeord. koden til ”superuser”, ”admin” og ”...admin” var ikke blevet ændret umiddelbart efter angrebene den 8. og 9. november 2014. det var først efter den 16. november, at koden til ”...admin” blev ændret. da tiltalte afleverede sin computer, tog vidnet en kopi brugerfolderen og lagde på nas. han ved egentlig ikke hvorfor. han fortalte ikke tiltalte, at han havde taget en kopi. da de opdagede, at der var sket noget, forsøgte de at gå ind i tiltaltes mailboks via det almindelige system, men mailboksen var blevet slettet. tiltalte havde tilsyneladende slettet mailboksen, efter han var stoppet i virksomheden, men fortsat havde adgang til mailen. politiet fik en kopi - 17 - af den fil, som vidnet havde kopieret fra tiltaltes computer, da den blev afleveret, og som indeholdt en del gamle mails. han mener ikke at have været i kontakt med tiltalte i september 2014 vedrørende, hvilket udstyr tiltalte havde fået udleveret hos y. han har ikke hæftet sig ved, hvis tiltalte har oplyst at have fået en iphone og en surface. han har efter aftale med tiltalte i nogle tilfælde lånt tiltaltes eurocard til køb på internettet af varer til x. b har supplerende forklaret, at man for at komme ind i systemet skal kende både brugernavn, kodeord og adresse på systemet. x arbejdede fortsat sammen med c, da han blev ansat. det var ... og f, som han havde kontakt med hos c. han ved ikke, hvilket forhold tiltalte havde til medarbejderne fra c. den 8. november 2014 kørte x systemer ikke, og man var derfor ikke i stand til at udføre noget arbejde i virksomheden. alt data var væk. den pulje af data, der var på san var slettet, hvilket gjorde, at alle andre data, herunder kundeinformationer, mailsystemer mv. var utilgængelige. de opdagede, at det var san, som var problemet, da de tilgik administrationskonsollen. han bad … om at logge ind på san. … havde ikke kodeordet, og de forsøgte derfor få det fra leverandøren, z it, som imidlertid heller ikke havde kodeordet. z it havde ikke kodeordet, da de blot havde leveret san, men ikke sat det op. det var tiltalte, som havde sat san op. efter lidt søgning på google fandt de ud af, at brugernavn og kodeord svarede til det standardmæssige, som san oprindelig var leveret med. det var ikke vidnet, der fandt ud af det. hvis man vil logge på san fra et sted uden for virksomheden, skal man for det første kende adressen på virksomhedens firewall. herefter skal man vælge den rigtige port og kende brugernavn og kodeord for at komme på netværket. herefter skal man kende adressen på den relevante server og brugernavn og kodeord hertil. endelig skal man kende brugernavn og kodeord til san. almindelige medarbejdere i x har ikke kendskab til, hvor san ligger i systemet. - 18 - da de opdagede angrebet, måtte de tilkalde en række eksterne eksperter. der var ikke taget back up af selve san, men de havde back up af en række af filerne på san fra selve serverne. hvis de ikke havde haft denne back up, tør han slet ikke tænke på, hvad der var sket. de måtte manuelt begynde at genskabe selve opbygningen af san. det tog nogle måneder, inden systemet var helt oppe at køre igen. selve produktionen i virksomheden var i stand til at køre videre efter weekenden. andre medarbejdere kunne derimod ikke arbejde og blev derfor sendt hjem i nogle dage. der var flere forskellige logs fra den 8. november 2014, hvor de kunne se, hvad der var sket, herunder logs fra firewall og san. logs fra san var automatisk blevet overført til nas, så det var her, de kunne se dem. da de arbejdede på at få systemerne op at køre igen, var der adgang til nas til at starte med, men pludselig blev den slettet, og de kunne ikke længere tilgå den. der var ikke mange, der havde brug for at tilgå nas i hverdagen. der blev ikke taget back up af nas, hvorfor det var en lidt større teknisk udfordring at få indholdet genskabt, men det lykkedes. logs fra firewall kunne stadig tilgås den 9. november 2014. da de fik genskabt nas, blev de logs, der var overført fra san, også genskabt. da de kiggede på logfilerne, kunne de se, at mange forskellige ting pegede på, at det var tiltalte, der stod bag, da en person udefra ikke ville være i stand til at have alle de nødvendige informationer, og da det anvendte domæne mv. pegede på tiltalte. brugernavn og kodeord til san stod ikke på arket med brugernavne og kodeord. den 16. november 2014 var der et angreb på x intranet, hvor alle sider blev slettet. serveren var tilgængelig, men siderne var væk. siderne var også slettet fra ”skraldespanden”, men de lå fortsat i en anden ”skraldespand”, hvorfor det var nemmere at genskabe. den 17. november 2014 blev de opmærksomme på brugernavnet ”...admin”, og det var først denne dag, at de fik ændret kodeordet til dette brugernavn. de beløb, der er medtaget i erstatningskravet (ekstrakten side 864), har direkte eller indirekte relation til hackerangrebene. beløbene angår udelukkende ekstern bistand, som er faktureret, - 19 - og man har taget det ud af fakturaerne, som ikke angår hackerangrebene. der er ikke i opgørelsen medtaget tidsforbrug for x egne medarbejdere, herunder it afdelingen og de medarbejdere, som blev sendt hjem. det var samtlige – og ikke kun nogle – diskpuljer på san, der var blevet slettet ved hackerangrebet den 8. november 2014. han kender ikke ..., hverken fra telenor eller c. f har supplerende forklaret, at cs samarbejde med x startede i 2011 eller 2012. vidnet var hos x hver onsdag i 4 timer og herudover ad hoc. hans kollega ... kom også hos x. tidligere var der to andre kollegaer, … og …, som kom hos x. der var i 2014 ca. 30 ansatte i c, heraf 15 i danmark. han havde primært kontakt til tiltalte via mail. c havde ikke kodeord til san eller intranettet hos x. c havde kodeordet til nas. han har fået oplyst, at der var et ark med brugernavne og kodeord, men c havde ikke dette dokument. efter angrebet den 8. november 2014 undersøgte vidnet, hvilke brugernavne og ip-adresser, der havde været logget på. alt, hvad der havde ligget på san, var slettet. loggen på san var dog ikke slettet, og han undersøgte logfilen. kommandoen ”…disk” indebærer sletning af de virtuelle diske på san, og kommandoen ”…host” indebærer, at der ikke længere er adgang fra de tre fysiske servere til san. han fulgte ip-adressen til vpn. firewall-loggen var ikke slettet. firewall-loggen viste, hvilken ekstern ip-adresse, der var tildelt en intern ip-adresse. de to sys-logs, der er fremlagt i sagen, er logs fra firewall. han kunne se, at der var logget på med brugernavnet ”cp”. den, der har logget på, har kendt cps kodeord. den 9. november 2014 blev nas slettet. nas havde virket først på dagen. han kunne på logfilerne se, at der var logget på via den engelske firewall. man kan godt logge på via den engelske firewall, selv om man fysisk befinder sig i danmark. det afhænger blot af, hvilken adresse man indtaster, når man tilgår systemerne. sys-loggen på ekstrakten side 601 vedrører nas. der var logget på med brugernavnet ”admin” med en intern ip-adresse fra det engelske segment. ”system starts to remove [volume 1]” er en kommando om at slette nas. der er tale om et aktivt valg. han søgte på den engelske firewall-log efter den anvendte ip-adresse. der var brugt brugernavnet ”cp”. der var brugt samme eksterne ip-adresse som dagen før. - 20 - man skal kende adressen på x firewall og have brugernavn og kodeord for at kunne komme på vpn-systemet. for at tilgå san skal man kende sans ip-adresse, og herefter skal man kende brugernavn og kodeord hertil. det samme gør sig gældende med hensyn til nas og intranettet. logudskriften ekstrakten side 524 er fra domænecontrolleren. loggen var gemt på en virtuel server i england. udskriften viser, at man har forsøgt at logge på. man kan se, hvilket domæne man forsøger at tilgå fra. der er ikke en tilsvarende log for den 8. november 2014, da denne log blev slettet, da san blev slettet den 8. november 2014. man kan ikke selv vælge, om man vil meldes til et domæne. man kan godt melde sig ud af et domæne. det er normalt at have et shortname for et domæne. der kan derfor godt alene være anført y, selv om y domæne måtte være y.eu. workstationname er det navn, som maskinen har. hvis en computer er en del af et domæne, kan man ikke uden videre ændre navnet på maskinen uden at have det relevante brugernavn og kodeord. på logudskriften ekstrakten side 545 kan man se, at domænenavnet aktivt er blevet ændret til ”localhost”. allerede da han begyndte at se på sagen den 8. november 2014, havde han en mistanke om, at det kunne være tiltalte, der stod bag, men det påvirkede ikke hans måde at undersøge logfilerne på. ud fra det, som logfilerne viser, kan hackerangrebene på san og nas ikke være sket fra andre adresser, end dem der fremgår af sagen. efter hackerangrebet den 16. november 2014 kiggede vidnet først på logfilen, som fremgår af ekstrakten side 652. kommandoen ”layouts/recyclebin” betyder, at intranettet er blevet slettet og lagt i ”skraldespanden”. recyclebin1 var også slettet. indholdet var herefter røget i recyclebin2, hvor det fortsat lå og derfor kunne genskabes. det var brugeren ”...admin”, der havde slettet intranettet. en almindelig bruger kan ikke slette alt indhold på intranettet. udskriften, som fremgår af ekstrakten side 631, viser indholdet af recyclebin2. efter hans opfattelse kan hackerangrebene ikke være udført af en person uden indgående kendskab til x. der er f.eks. skabt adgang til san i første forsøg, hvilket en udenforstående hacker ikke ville kunne. det ville kræve flere forsøg. - 21 - når man kobler op med en ip-adresse via en mobiltelefon, er ip-adressen unik på det givne tidspunkt. det er forskelligt, hvor længe man har den samme ip-adresse. det kommer an på, hvordan it-udbyderen har sat det op. ip-adressen afhænger ikke af, hvor telefonen befinder sig. han er sikker på, at han har set, at tiltalte havde en samsung galaxy alpha. han ved ikke, hvornår denne model er udkommet i danmark. den er formentlig udkommet på forskellige tidspunkter verden over. man kan ikke ændre i logfiler. det er normalt at køre back up om natten, men han ved ikke, om det også var tilfældet hos x. selv om san blev slettet, var san-loggen der stadig. man kan eksportere en log. man kan ikke lave en ip-scanning uden at være logget på netværket via vpn. hvis man er på gæstenetværk, kan man ikke logge på det interne netværk. hvis man laver en ip-scanning på et gæstenetværk, kan man kun se, hvad der er logget på gæstenetværket. man kan godt misbruge en ip-adresse, så man får det til at se ud som om, at man er en anden. man kan selv aktivt angive sit domænenavn, f.eks. kan man angive det som lego, selv om man ikke har noget med lego at gøre. han mener ikke, at san havde en standardkode, som de fandt frem til via google, efter angrebet var sket. koden var ændret til en unik kode inden angrebet. han mener, at de fandt koden i nogle papirer, som z it havde leveret sammen med san. det er ikke den fulde log fra san, men alene et udsnit, der fremgår af ekstrakten side 605. han sendte den fulde log til politiet. han har også sendt loggen til politiet vedrørende det log on forsøg, der var den 9. november 2014 kl. 14:05:50. g har supplerende forklaret, at tiltalte udelukkende var it-ansvarlig i y. virksomheden producerer primært bonruller og har afdelinger i flere europæiske lande. projektet vedrørende implementering af nyt it blev i oktober 2014 flyttet fra tyskland til danmark. da vidnet blev afhørt af politiet, oplyste han, hvilket it-udstyr tiltalte havde fået udleveret . ... var ekstern it- konsulent for virksomheden med base i tyskland og var involveret, når medarbejdere skulle have udleveret it-udstyr. det er korrekt, som det fremgår af politirapporten af 3. december 2014, 1. afsnit (ekstrakten side 714), at ... fremsendte en oversigt til vidnet over det udleverede it-udstyr. det skal være registreret, hvilket it-udstyr medarbejdere har. der var et godt samarbejde med .... - 22 - tiltalte havde et fast kontor på 1. sal hos y. tiltalte flyttede således ikke rundt mellem forskellige kontorer. vidnet kiggede ikke efter, om tiltaltes surface 3 stod på tiltaltes kontor, da politiet første gang var hos y den 19. november 2014. da politiet var hos y den 25. november 2014, var tiltaltes surface 3 på tiltaltes kontor. det er korrekt, at han til politiet har oplyst som anført i rapporten ekstrakten side 710, sidste afsnit. computeren lå fortsat på tiltaltes bord, da politiet var der anden gang. når der skulle udleveres it-udstyr til medarbejdere, var det enten ..., h eller tiltalte selv, der stod for det. han ved ikke, hvem af disse personer, der har stået for udleveringen af it-udstyr til tiltalte. l har supplerende forklaret, at hun var it-manager, inden tiltalte blev ansat, og hun havde løbende samarbejde med ham. normalt blev fakturaer sendt direkte til bogholderiet, og hun blev ikke involveret heri, medmindre det vedrørte større beløb. hun havde kontor ved siden af tiltalte, som sad i et fælleskontor. tiltalte sad på sin plads det meste af tiden, men havde også enkelte hjemmearbejdsdage. hendes chef m ringede til hende og oplyste, at han kunne se, at virksomheden i aalborg var blevet faktureret for nogle servere, som skulle stå i nogle af virksomhedens afdelinger i andre lande. fakturaen skulle derfor have været viderefaktureret til disse afdelinger. hun begyndte at undersøge det nærmere, og da hun kontaktede komplett.dk, kunne hun se, at der var rettet i fakturaen. de begyndte derfor at undersøge flere fakturaer, som var godkendt af tiltalte. de kunne se et mønster og indhentede de originale fakturaer. der var genstande, som f.eks. grill, sportheadsets og ladyshaver, som gav sig selv, at virksomheden ikke havde. de kiggede rundt i virksomheden, herunder i serverrum, efter tingene, og de talte indgående med … om, hvad der blev brugt i virksomheden. de spurgte også på møder i huset, om tingene fandtes i virksomheden. de kunne konstatere, at der var tale om ting, som de sædvanligvis ikke købte, og at fakturaerne var forfalskede. hun husker ikke den specifikke faktura i forhold 1. det var ikke normalt for virksomheden at indkøbe en samsung 840 pro harddisk (forhold 57). det samme gør sig gældende med hensyn til f.eks. kølepasta (forhold 67). - 23 - de kiggede al korrespondance igennem, og der lå mails, hvor tiltalte godkendte de falske fakturaer. der var intet, der tydede på, at de mails, som kom fra tiltaltes mailadresse, ikke var skrevet af tiltalte selv. de har i deres erstatningsopgørelse ikke medtaget ting, hvis de var usikre på, om tingene kunne være blevet leveret til virksomheden. hvis de kun havde en formodning om, at tingen manglede, har de udeladt den af deres oversigt. x havde i 2014 afdelinger i danmark, england, frankrig og tyskland. de udenlandske afdelinger var bekendt med sagen, men er ikke blevet spurgt, om der f.eks. var blevet leveret en server til dem. de udenlandske afdelinger ville ikke kunne svare på det, da det var tiltalte og a, der stod for indkøb og levering af it til de udenlandske afdelinger. i undersøgelserne af, hvilke ting der er leveret til x, har de ikke haft computere mv. skilt ad. a stod for it- installationerne, og de har spurgt a, om de indkøbte ting er installeret. de har gennemgået listen, som deres erstatningskrav bygger på, flere gange med a. politiassistent trine møller esmark har supplerende forklaret, at hun mener, at hackerangrebet blev anmeldt den 10. november 2014. tiltalte var ikke særlig påvirket af situationen, da politiet ville ransage bopælen den 31. oktober 2014. de gik hele huset igennem. der var ting, som ifølge tiltalte var købt privat, bl.a. nogle højttalere, hvor han fandt en faktura frem. politiet tog ikke højttalerne med. der var ikke ret mange af de ting, som politiet ville tage med, som tiltalte protesterede over. den 19. november 2014 opsøgte de tiltalte på y. tiltalte påviste et kontor, hvor der ikke var nogen surface 3. de tog til bopælen, hvor tiltalte påviste en surface 3. tiltalte sagde, at det var den surface 3, som han havde fået udleveret af y. tiltalte sagde også noget om, at han havde en anden surface 3, som han havde glemt hos en kunde, men han kunne ikke rigtig redegøre nærmere for det. da politiet kom til y igen ugen efter, stod tiltaltes surface 3 på hans kontor på 1. sal. telemasterne er fortrykt på kortet, som ses ekstrakten side 696. teleselskabet har oplyst cellenummer og grader, og systemet har derefter selv indtegnet pilene. - 24 - der har været drøftelser mellem tiltalte og politiet om udlevering af kodeord til tiltaltes stationære computer, men der er ikke opnået enighed herom. hun mener, at politiet forlod tiltaltes bopæl den 19. november 2014 ved middagstid. tiltalte var da fortsat på bopælen. e har supplerende forklaret, at der efter hans opfattelse var et godt og professionelt samarbejde mellem tiltalte og c. vidnet havde ikke et dagligt samarbejde med tiltalte, men tiltalte var en del af den danske ledergruppe, og de havde et fint samarbejde. efter kort tid gav tiltalte udtryk for utilfredshed, da han gerne ville være en del af den overordnede ledelse. tiltalte begyndte at trække sig lidt ind i sig selv. tiltalte sad normalt på sit kontor og havde ikke mange hjemmearbejdsdage. det kan godt være, at han havde 1-2 hjemmearbejdsdage om måneden, men ikke 5. tiltalte deltog i julefrokost og dhl stafet. vidnet har udleveret sit kodeord til tiltalte i forbindelse med, at vidnet havde et it problem. det samme gælder i forhold til a, men ikke c. på et tidspunkt holdt de op med at skulle skifte kodeord med jævne mellemrum. under en ferie i udlandet blev han kontaktet af l, der havde opdaget noget svindel, og de besluttede at kontakte politiet. han skiftede ikke sit kodeord herefter. den 8. november 2014 blev han kontaktet af b, der oplyste, at systemet ikke virkede. alle data var væk. de brugte mange ressourcer både interne og eksterne på at finde ud af, hvordan de kunne få genskabt de tabte data hurtigst muligt. den 16. november 2014 forsøgte han at komme på intranettet, men kunne ikke komme på. b og hans folk fik relativt hurtigt genskabt det, der var blevet slettet. politiassistent lars kirkegaard har supplerende forklaret, at han blev anmodet om at tage med på ransagning den 19. november 2014, da der skulle ransages efter en computer. tiltalte påviste et bord i stueetagen som sin arbejdsplads hos y. en ”tynd klient” er en slags minicomputer. han kunne se domænenavnet y.eu. der blev ikke taget noget med fra tiltaltes - 25 - arbejdsplads. tiltalte nævnte ikke, at han havde andre arbejdspladser hos y. på tiltaltes bopæl påviste tiltalte en surface 3 og oplyste, at det var en, han havde fået på sin arbejdsplads. tiltalte nævnte ikke, at han havde en anden surface 3. vidnet søgte efter netværk, og tiltalte tastede koden, så vidnet kunne komme på netværket med sin mobiltelefon. tiltalte nævnte ikke andre gæstenetværk end det, som vidnet har forklaret om i byretten. hvis et gæstenetværk er almindeligt sat op, vil det normalt komme frem, når man søger efter tilgængelige netværk. han spurgte tiltalte, om han havde omdøbt den surface 3, der var på bopælen, og tiltalte svarede, at den aldrig havde heddet andet. vidnet kunne på sin telefon se, hvilken ip-adresse routeren var tildelt. via en hjemmeside kunne vidnet se, at ip-adressen tilhørte energimidt. hvis han ikke var logget på tiltaltes netværk, ville han ikke kunne se routerens ip-adresse. han tjekkede ikke, hvilken router tiltalte havde. det var kun tiltaltes lukkede netværk, der kom frem, da han søgte efter tilgængelige netværk. han har aldrig været ude for, at hans telefon ikke har fanget alle de netværk, der er tilgængelige. han husker ikke præcis, hvornår politiet forlod tiltaltes bopæl den 19. november 2014. han vil tro, at de var på tiltaltes bopæl i ca. en halv time. det kan godt passe, at de forlod tiltaltes bopæl kl. 13.10. ... har forklaret, at han de seneste 7 år har været ansat i special service hos telenor, som behandler forespørgsler fra politiet. special service var tidligere outsourcet til c operation, som er en selvstændig enhed i forhold til c a/s. den 1. oktober 2014 blev special service flyttet fra c til telenor, og han fulgte med. mens han var ansat i c, havde han også andre kunder end telenor, herunder x. han er kommet hos x indtil den 1. oktober 2014. de var tre medarbejdere fra c, der kom hos x. udover ham selv var det ... og .... f løste også it opgaver for x. vidnet havde kontakt med mange medarbejdere i x, herunder tiltalte. vidnet har ikke på vegne af c eller x haft noget at gøre med de ting, der skete hos x i november 2014. oplysningerne, der fremgår af hans mail af 15. december 2014 (ekstrakten side 560), viser det, som var logget i telenors system. man kan i loggen se, hvilken fysisk telefon, som telefonnummeret var tilknyttet på det omhandlede tidspunkt. logudskriften, der fremgår af ekstrakten side 568, viser hvilket telefonnummer, der var tildelt den ip-adresse, som var i kontakt med x ip-adresse. så længe der er foretaget logs, har der været kommunikation mellem telefonen og x ip-adresse. det samme gør sig gældende med logudskriften, der fremgår af ekstrakten side 573. en telefons ip-adresse har ikke noget at gøre med, hvilken telemast en telefon går på. - 26 - af hans mail af 19. marts 2015 (ekstrakten side 663) kan man se, hvilken telefon det omhandlede sim-kort med det tilknyttede telefonnummer har været sat i. hvis sim-kortet havde været sat i andre telefoner i den omhandle periode, ville det have været registreret. af loggen vedrørende ip-adressen 5.33.186.73 (ekstrakten side 665) kan man se, at telefonen har haft samme ip-adresse i hele perioden, også i tidsrummet fra 17:00:52 til 17:05:04, selv om der er et ”hul”. der skal ved den type ip-adresse være et ”hul” på minimum et kvarter, inden ip-adressen bliver ”smidt”. en ip-adresse af denne type tildeles kun en bruger ad gangen. ip- adressen 94.144.63.20 er af en anden – og mere dynamisk – type, som kan være tildelt mange brugere på samme tid. da der blev søgt på ip-adressen, var der dog kun et ”hit” i forhold til kontakt til x ip-adresse. der var således ikke andre ”hits” end det, der var knyttet til tiltaltes telefonnummer. landsrettens begrundelse og resultat skyldspørgsmålet forhold 1-6, 10, 17-20, 22, 24, 26, 30, 39-40, 43, 45-49, 50-52, 54, 57, 60, 62-63 og 67-69 (
- x)efter indholdet af de dokumenterede fakturaer sammenholdt med de mails, som er fundet i henholdsvis x’ mailboks og tiltaltes mailboks, lægger landsretten til grund, at det er tiltalte, der har forfalsket fakturaerne og sendt dem til x med anmodning om betaling. det lægges efter bevisførelsen, herunder navnlig ls forklaring, endvidere til grund, at de genstande, som er omfattet af tiltalen, undtagen routeren i forhold 1, ikke er leveret til x. når dette sammenholdes med de genstande, som blev fundet hos tiltalte under ransagningen på hans bopæl, herunder en faktura vedrørende køb af en kamerataske til x (forhold 20), og med at forholdene i øvrigt er begået på samme måde, som de forhold tiltalte har erkendt sig skyldig i, er det bevist, at tiltalte er skyldig i bedrageri og dokumentfalsk i overensstemmelse med tiltalen i de omhandlede forhold. den router, der er nævnt i forhold 1, er ikke medtaget på den af x udarbejdede oversigt over genstande, som ikke er modtaget hos virksomheden, og det er for så vidt angår routeren ikke bevist, at den ikke er modtaget i virksomheden. tiltalte frifindes derfor for bedrageri med hensyn til routeren i forhold 1. - 27 - for så vidt angår forhold 69 er det efter indholdet af de dokumenterede bilag sammenholdt med fundet af en tilsvarende kaffemaskine under ransagningen på tiltaltes bopæl bevist, at tiltalte er skyldig i databedrageri som anført i tiltalen. forhold 70-72 (hacking og hærværk) det lægges efter bevisførelsen, navnlig forklaringerne fra a, b og f, til grund, at x den 8., 9. og 16. november 2014 blev udsat for hackerangreb, og at der i den forbindelse skete hærværk af betydeligt omfang i form af sletning af data mv. som beskrevet i tiltalen i forhold 70-72. der er tale om tre alvorlige angreb inden for kort tid, som reelt har medført, at virksomheden blev ”lagt ned”, idet der skete sletning af vitale erhvervsoplysninger, herunder dele af virksomhedens erhvervshemmeligheder. sletningerne førte til, at virksomheden måtte hjemsende personale, og at it systemerne først var fuldt retableret efter nogle uger. angrebene er foretaget ved, at tiltalte har udnyttet den viden, som han har fået, mens han havde en betroet stilling i virksomheden. forholdene henføres på denne baggrund under straffelovens § 263, stk. 3, jf. stk. 2, og § 291, stk. 2. herefter og af de grunde, som byretten har anført, og som yderligere støttes af ...s forklaring for landsretten, tiltrædes det, at tiltalte er fundet skyldig som sket i disse forhold. forhold 73-76 og 78-80 (
- y)tiltalte har – bortset fra gavekortene (forhold 75) – erkendt at have købt de omhandlede genstande. han har for landsretten anført, at de indkøbte genstandene – med undtagelse af de to ipod nano (forhold 79) – er leveret til y. denne forklaring afviger væsentligt fra den forklaring, som tiltalte afgav for byretten, hvor han erkendte en række af forholdene, og hans forklaring for landsretten fremstår utroværdig og usammenhængende. på baggrund af de dokumenterede fakturaer mv. og hs forklaring sammenholdt med de genstande, som blev fundet under ransagningen på tiltaltes bopæl, er det bevist, at de omhandlede genstande, herunder gavekortene (forhold 75), er købt af tiltalte til privat brug og således ikke er leveret til y, ligesom det er bevist, at tiltalte har forfalsket fakturaerne og herefter anmodet y om betaling heraf. tiltaltes forklaring om, at han har anmodet om løntræk i forhold til de genstande, der er omfattet af forhold 76, må af de grunde, som byretten har anført, - 28 - tilsidesættes. det tiltrædes herefter, at tiltalte er fundet skyldig i bedrageri, dokumentfalsk og databedrageri i de omhandlede forhold med de foretagne berigtigelser. straffastsættelsen 2 voterende udtaler: vi stemmer af de grunde, som byretten har anført, for at fastsætte straffen til fængsel i 3 år. 4 voterende udtaler: af de grunde, som byretten har anført, findes straffen for bedragerierne at burde fastsættes til ikke under fængsel i 2 år. det er tillige anset som skærpende omstændigheder, at der er tale om et meget stort antal forhold begået også ved anvendelse af falske dokumenter og over en lang periode begyndende kortere tid efter ansættelsen i den betroede stilling. forholdene vedrørende hacking og hærværk er henført under straffelovens § 263, stk. 3, jf. stk. 2, og § 291, stk. 2, idet forholdene er begået under særligt skærpende omstændigheder og har været af mere systematisk eller organiseret karakter. der er tale om tre separate angreb på virksomheden med sletning af virksomhedens data under omstændigheder, hvor virksomheden blev ”lagt ned”. dele af personalet måtte hjemsendes, og det tog flere uger, før virksomhedens systemer og oplysninger var retableret. virksomheden led et større økonomisk tab i forbindelse hermed og havde alene til eksterne samarbejdspartnere udgifter på mere end 400.000 kr. til genetablering af systemerne. under disse omstændigheder findes straffen for hacking og hærværk af grov karakter at burde fastsættes til ikke under 1½ års fængsel. efter en samlet vurdering af forholdenes grovhed stemmer vi herefter for at fastsætte straffen til fængsel i 3½ år. der afsiges dom efter stemmeflertallet. tiltalte straffes herefter med fængsel i 3 år og 6 måneder. - 29 - efter forholdenes grovhed og karakter er der ikke grundlag for at gøre straffen delvist betinget med vilkår om samfundstjeneste. x har vedrørende forhold 1-69 nedlagt påstand om erstatning på 547.268,24 kr. og vedrørende forhold 70-72 nedlagt påstand om erstatning på 432.527 kr. da tiltalte i forhold 1-69 – efter de skete berigtigelser af tiltalen mv. – er dømt for at have påført x et formuetab på 544.679,20 kr., tager de juridiske dommere x’ erstatningskrav til følge med dette beløb vedrørende forhold 1-69. efter bs forklaring sammenholdt med den fremlagte dokumentation for det lidte tab som følge af hackerangrebene og hærværket tager de juridiske dommere endvidere x’ erstatningskrav vedrørende forhold 70-72 til følge, således at x tilkendes erstatning på i alt 977.206,20 kr. med procesrente som bestemt af byretten. y har vedrørende forhold 73-81 nedlagt påstand om erstatning på 197.377 kr. da tiltalte i disse forhold er dømt for at have påført y et formuetab på 194.009 kr. tager de juridiske dommere y’ erstatningskrav til følge med dette beløb med procesrente som bestemt af byretten. med de anførte ændringer stadfæster landsretten dommen. t h i k e n d e s f o r r e t: byrettens dom stadfæstes med følgende ændringer: straffen forhøjes til fængsel i 3 år og 6 måneder. konfiskationen af 1 stk. netgear r6300 trådløs router (forhold 1) udgår. tiltalte skal til x a/s, ...vej, 9400 nørresundby, betale 977.206,20 kr. med procesrente fra den 15. september 2016. tiltalte skal til y a/s, ...vej, 7800 skive, betale 194.009 kr. med procesrente fra den 15. september 2016. - 30 - tiltalte skal betale sagens omkostninger for landsretten. erstatningerne skal betales inden 14 dage.