Russische manipulatie en
sabotage in MH17-onderzoek

De top van de Landelijke Recherche neemt op donderdag 17 juli 2014 afscheid van een collega in een stijlvol restaurant aan de rivier de Linge als de telefoons van de aanwezigen beginnen te trillen. Ze hebben net het voorgerecht op als er een persalarm binnenkomt. Een vliegtuig is neergestort. Het aantal doden loopt snel op: 21, 43. De telefoons van de aanwezigen blijven afgaan. ­Nederlandse slachtoffers, een toestel dat uit Amsterdam vertrok, wellicht meervoudige moord: dit is een zaak voor de Nederlandse politie. Ter plekke wordt een verdeling van taken gemaakt. Het dessert sturen ze terug; geen tijd meer voor.

De politie gaat in de offensieve stand. Honderden politiemensen melden zich, ze proberen zo veel mogelijk materiaal te verzamelen. De strijd om de waarheid rond MH17 begint direct. In de vroege ochtend van 18 juli, om 6.15 uur, zet de Oekraïense geheime dienst afgeluisterde gesprekken van Russische separatisten online. ‘Wat voor vliegtuig? ­Wapens?’, valt te horen. ‘Nee, niets van dat. Burgerlijke spullen. Toiletpapier, medische spullen, handdoeken, dat soort rotzooi.’

Vanuit een pand in Sint-Petersburg plaatsen jonge Russen in de eerste drie dagen na de ramp meer dan 100 duizend tweets over MH17 om de schuld bij ­Oekraïne te leggen. Russische militairen die in Oekraïne zijn, beginnen Facebookposts en Twitterberichten te verwijderen. Op 25 juli wordt op de Wikipedia-­pagina van de ramp de hoogte van een Buk-raket aangepast van de correcte ruim 10 kilometer naar 7 kilo­meter. Het ip-adres verwijst naar het Kremlin.

Het antwoord van de ­politie in Nederland volgt ook snel. Op de tweede dag vraagt de politie specialisten van het Team High Tech Crime en de inlichtingendienst AIVD een ‘foto’ van het internet te nemen. Alles opslaan wat Russischtalig is. 350 miljoen webpagina’s van sociale media en fora waarop ook hoge Russische militairen compromitterende gegevens delen die ze later verwijderen. Dit is het krachtenveld waarin de Nederlandse onderzoekers hun werk moeten gaan doen: een ramp in een conflictgebied waarbij twee landen recht ­tegenover elkaar staan en elkaar de schuld geven van het neergestorte vliegtuig.

Voor het lezen en uitwerken van al die Russische berichten heeft de politie dringend Russische vertalers nodig. Op een oproep via het eigen intranet reageren twintig politiemedewerkers – de AIVD zal ze screenen. In de politietop ­bestaan al in de eerste dagen zorgen over dergelijke voortvarendheid. Is de organisatie zich wel bewust van de risico’s op Russische ondermijning? Valt zo’n oproep via intranet niet teveel op? Niet alle politiemedewerkers die meedoen aan het MH17-onderzoek hebben een A-screening. Later zal blijken dat überhaupt onduidelijk is wie allemaal aan het onderzoek hebben meegedaan: als de politie dankpenningen wil uit­delen, bestaat er geen compleet overzicht van de naar schatting 450 politiemensen die hielpen met het MH17-­onderzoek.

De politiemedewerkers die meteen na de ramp naar Kiev gaan, werken samen met de Oekraïense SBU – opsporings- én inlichtingenorganisatie in één. Complicerend is dat de SBU voortkomt uit de oude KGB: iedereen boven de 40 jaar heeft een verleden bij de beruchte geheime dienst van de Sovjet-Unie. Dat de Nederlandse politiemedewerkers in ­Oekraïne een telefoon van de SBU krijgen om op kantoor mee te bellen, versterkt de achterdocht bij sommige politiebetrokkenen. Maar bij de politie is daar nauwelijks aandacht voor, daarvoor is de nood te groot.

Een betrokkene: ‘In de eerste maanden was niemand bij de politie echt bezig met het beschermen van het onderzoek.’ Typerend: hoofd van de Landelijke Recherche ­Wilbert Paulissen is vóór MH17 nog op een conferentie in Moskou geweest en nam zijn eigen telefoon mee. Zorgen over mogelijke hackpogingen wuifde hij weg.

Terwijl een dag na de ramp de bloemenzee bij Vertrekhal 3 op Schiphol aanzwelt, zitten drie leden van de Onderzoeksraad al in het vliegtuig naar de ­Oekraïense hoofdstad Kiev voor het technische onderzoek naar de ramp. Het is, naast het strafrechtelijk onderzoek, het tweede officiële onderzoek naar MH17. De leden van de Onderzoeksraad staan vanaf het eerste moment ook in contact met collega’s van het MAK, het Russisch Interstatelijk Luchtvaart Comité. Deze experts kennen elkaar al jaren en vertrouwen elkaar. Een Nederlandse betrokkene: ‘De integriteit van de leden van het MAK staat niet ter discussie.’ Direct na aankomst vraagt de Onderzoeksraad om de radarbeelden op het moment dat het MH17 neerstortte. Er komt geen reactie.

Al tijdens de eerste dagen merkt de Onderzoeksraad dat MH17 politiek beladen is. De Onderzoeksraad voor Veiligheid (OVV) krijgt te horen dat de medewerkers van het MAK worden vervangen door een vijfkoppige Russische ‘staatscommissie’. De nieuwe teamleider is Oleg Storchevoy, voormalig piloot van de Russische dienst die de president en overheidsmedewerkers beveiligt. Later is hij hoofd van Rosaviation, toezichthouder op de luchtvaart. Wéér vraagt de Onderzoeksraad om de radarbeelden.

De groep onderzoekers ontmoet elkaar op 18 juli op het ministerie van Transport in Kiev. Er zijn luchtvaart­onderzoekers uit Nederland, Australië, Oekraïne, het Verenigd Koninkrijk, er is een Maleisische delegatie en een uit Rusland. Doel van dit eerste gesprek is kennismaken, afstemmen van de taakverdeling en in het rampgebied komen. Na twee weken treffen ze elkaar weer op het Oekraïense ministerie. Ze wisselen in een standaard conferentiekamer – flesje water, kop koffie, aantekeningenblok op donkerhouten tafels –praktische zaken uit. De Nederlanders weten dan nog niet dat ze later wéér met andere Russen te maken krijgen.

Op 11 augustus keren de leden van de Onderzoeksraad terug naar Den Haag. Ze werken hard aan een rapport met eerste bevindingen, dat ze begin september moeten publiceren. Op 22 juli krijgt het onderzoeksteam de beschikking over de flight recorder en de cockpitvoicerecorder van de neergehaalde Boeing. De gegevens op de apparaten worden twee ­dagen later uitgelezen in Groot-Brittannië in het bijzijn van vertegenwoordigers van het internationale onderzoeksteam. Daarna zijn de knaloranje kastjes naar Nederland gekomen en in een speciale kluis in het pand van de Onderzoeksraad aan de Anna van Saksenlaan in Den Haag opgeborgen. Om de recorder voor alle zekerheid nogmaals uit te luisteren, vraagt de Onderzoeksraad ­Maleisische piloten om naar Den Haag te komen. Onderlinge cockpitgesprekken tussen piloten worden in de eigen taal gevoerd. Alleen kenners van het Maleis en van de luchtvaart kunnen de gesprekken en het gebruikte slang uitwerken.

In dezelfde periode komen twee leden van unit 29155, een onderdeel van de ­militaire GROe, ook naar Nederland. 29155 is een beruchte eenheid met oorlogsveteranen die de afgelopen jaren betrokken is geweest bij verschillende ­destabiliserende operaties in Europa – zoals de poging tot vergiftiging van een Bulgaarse wapenhandelaar in 2015, een mislukte coup in Montenegro in 2016 en de vergiftiging van de Russische oud-spion Sergej Skripal in 2018 in Londen met het zenuwgas novitsjok. Eenheid 29155 staat onder leiding van Andrei Averyanov, een onderscheiden Russische militair.

Uit data die onderzoekscollectief Bellingcat met de Volkskrant heeft gedeeld, blijkt dat Averyanov op vrijdag 22 augustus in Nederland landt met vlucht 2550. Hij reist met collega Sergey Pavlov, als lid van 29155 betrokken bij de vergiftiging van de Bulgaarse wapenhandelaar. Drie dagen zijn ze in Nederland, voordat ze weer terugvliegen. Wat ze in Nederland doen, is niet bekend. De Nederlandse geheime diensten missen hun komst. Een inlichtingenbron zegt later: ‘Maar een relatie met MH17 ligt voor de hand.’

Een half jaar later, als het onderzoek in volle gang is, melden zich twee nieuwe leden bij het Russische onderzoeksteam. Het gaat om twee mannen, Zakhar Omarov en Mikhail Krush, die beiden een verleden hebben bij de militaire dienst GROe en daar nog steeds goede contacten hebben. Krush is een generaal in het Russische leger, die kort na de ramp met de MH17 ook in het nieuws was. In interviews liet hij weten dat het onwaarschijnlijk was dat het vliegtuig door een Buk-­raket was neergehaald. ‘Er zijn geen getuigen die de lancering van een Buk die dag hebben gezien.’ Omarov is een onopvallende, kleine man, van wie weinig bekend is over zijn loopbaan. Hij reist vaker door Europa, getuige zijn toeristenvisum dat al is afgegeven vóór de MH17-ramp.

Als de namen van de Russische delegatie bekend zijn, gaan de alarmbellen af bij de militaire inlichtingendienst MIVD. Die dienst houdt militaire spionnen in de gaten en waarschuwt de Onderzoeksraad voor de twee GROe-leden. Ook stuurt de MIVD een observatieteam om de mannen te volgen. Ze peilen ook de telefoongesprekken uit. De onopvallende Omarov blijkt, net als het hoofd van de delegatie, na elke vergadering met een telefoonnummer in het Kremlin te bellen. Uit het observeren van de mannen blijkt verder dat ze intensief contact zoeken met de Maleisische onderzoekers. De MIVD registreert pogingen om ‘het ongevalsonderzoek van binnenuit de frustreren’, zoals een bron het noemt. Later zou de ­Maleisische premier het internationale onderzoek naar MH17 afdoen als ‘politiek gemotiveerd’ en gebaseerd op ‘geruchten’.

Krush komt één keer naar Nederland, Omarov twee keer. Hij is ook aanwezig in de hangar op luchtmachtbasis Gilze-Rijen op 11 augustus 2015 als de internationale onderzoekers het vliegtuigwrak – bestaande uit duizenden grote en kleinere stukken – vanaf een hoogwerker bekijken.

Aan die wrakstukken kleeft een geschiedenis. De Onderzoeksraad wil de technische oorzaak van de ramp achterhalen en heeft daarvoor zo veel mogelijk materiaal nodig. Brokstukken gaan vanuit het conflictgebied per trein naar Charkov en vervolgens in containers op vrachtwagens naar ­Nederland. Tussen de brokstukken zitten ook raketdelen die informatie bevatten over het gebruikte wapensysteem. De Onderzoeksraad wil deze veiligstellen maar is bang dat lokale partijen er lucht van krijgen. ‘De informatie over wapensystemen en in welke container die zat, hebben we bewust in een zo klein mogelijk groep gedeeld’, zegt een betrokkene. Toch wordt bij de grens die ene vrachtwagen aangehouden waarin de raketdelen zitten en door lokale grenswachten onderzocht – er blijkt een lek in het kleine comité dat op de hoogte is van het ­gevoelige transport.

Bij aankomst in Gilze-Rijen worden de onderdelen alsnog veiliggesteld. Dat veroorzaakt ook in Nederland nog discussie: de inlichtingendiensten willen de raketdelen zelf analyseren; de Onderzoeksraad wil ze gebruiken als bewijsmateriaal. De raad trekt aan het langste eind. Uiteindelijk ­komen er bijna 8.000 kleine en grotere brokstukken naar Gilze-Rijen. Daar wordt de cockpit van de Boeing 777-200 minutieus gereconstrueerd. De linkerkant is met honderden ‘hoogenergetische deeltjes’ uit een ­raketkop doorboord.

Dat hun werk speciale aandacht trekt, is zowel de Onderzoeksraad als de politie snel duidelijk. Van 3 tot 8 augustus 2014 zijn zes leden van de raad in Charkov en Soledar, op zo’n twee uur van de rampplek. Ze worden ’s avonds na het werk in het hotel opvallend vaak aangesproken door jonge vrouwen. Sommigen spreken Nederlands. De politiemensen overkomt hetzelfde in Kiev. Achter leden van de ­Onderzoeksraad die foto- en videomateriaal verzamelen en afspraken hebben met ­internationale delegaties lopen standaard ‘types in zwarte leren jas’. Die blijven op zo’n vijftig meter afstand. Een betrokkene: ‘Geen onredelijke ­figuren hoor.’

Verder valt het de Nederlanders op dat de hotelkamers in het oosten van Oekraïne erg vaak worden schoongemaakt – soms wel drie keer per dag. De leden van de Onderzoeksraad wisselen dagelijks van simkaart en spreken telefonisch niet over de inhoud van het onderzoek. Aanwezige marechaussee zijn minder zorgvuldig: ondanks advies van de militaire veiligheidsdienst nemen sommige militairen hun eigen telefoon mee. Als ze ­terugkeren blijken enkele telefoons besmet met malware – de telefoons worden vernietigd.

In de zomer van 2015 is er lichte paniek bij de politie als een medewerker gespreksverslagen over MH17 kwijtraakt. Hij heeft zijn auto op de parkeerplaats bij het Van der Valk Hotel De Bilt neergezet en is vergeten zijn koffer eruit te halen. Als hij terugkomt van de lunch is zijn raam ingeslagen en is de koffer verdwenen. De politie onderzoekt de inbraak, maar komt tot de conclusie dat het om een ‘normale’ inbraak gaat. Er is bij meerdere auto’s ingebroken en er zou geen relatie met MH17 zijn.

Een paar maanden later is het wéér raak. Een radarspecialist van de Onderzoeksraad is al een tijd achterdochtig. Hij ziet meerdere keren verdachte personen bij het kantoor van de Onderzoeksraad in Den Haag en maakt daar intern melding van. We worden in de gaten gehouden, zegt hij tegen collega’s. Op 10 februari 2016 ziet een medewerker van de Onderzoeksraad dat het raam van zijn auto is ingeslagen. De inbrekers hebben zijn auto doorzocht en hebben de boordcomputer met navigatie­gegevens eruit gehaald.

In dezelfde periode wordt óók ingebroken bij een fotograaf van Defensie. De inbrekers nemen bij hem diverse usb-sticks mee.

Ook digitaal moeten de Nederlandse onderzoekers op hun hoede zijn, blijkt in het najaar van 2015. Het rapport van de Onderzoeksraad is bijna klaar als de raad een waarschuwing krijgt van de MIVD over het aflopende contract met Fox-IT. Het Delftse beveiligingsbedrijf doet de monitoring van het netwerk, maar het contract loopt tot 1 september 2015, terwijl de raad een paar weken later het eindrapport wil publiceren. Een risicovolle situatie, vindt de MIVD.

De Onderzoeksraad wil het contract met Fox-IT verlengen maar aanbestedingsregels verhinderen dat. Dus neemt een nieuwe partij (OnSight) de beveiliging vanaf 1 oktober over – Fox-IT blijft nog een maand langer. Op 29 september om 10.31 uur in de ochtend krijgt een medewerker van de Onderzoeksraad een Engelstalige mail van een collega die hem verzoekt opnieuw in te loggen. De mail stuurt hem door naar sftp.onderzoekraad.nl; een geldig lijkend domein. De man logt opnieuw in met zijn wachtwoord en gebruikersnaam. Meteen daarna krijgt hij argwaan en slaat intern alarm. De Onderzoeksraad past alle wachtwoorden aan en informeert de MIVD.

Die actie voorkomt net op tijd dat de Russische hackers van Fancy Bear (ook wel APT28) hun toegang tot de Onderzoeksraad misbruiken. Fancy Bear had het domein onderzoekraad.nl aangemaakt, zonder ‘s’ zoals in de officiële naam. De Onderzoeksraad doet geen aangifte van de inbraakpoging: de organisatie wil de politie niet toelaten op de computersystemen waarop onderzoeksinformatie staat.

Drie jaar later is er opnieuw een hackpoging, maar dit keer gaat het minder subtiel. Het is het voorjaar van 2018 als op Schiphol vier Russen landen: twee hackers van Fancy Bear en twee GROe-leden. Ze gaan naar Den Haag en proberen daar met specialistische apparatuur in de kofferbak van hun auto de OPCW te hacken. De MIVD betrapt ze op heterdaad. Een persconferentie later van minister van Defensie Ank Bijleveld met de directeur van de MIVD gaat de wereld over.

Maar wat Bijleveld tijdens de persconferentie niet vertelt is dat de Russen in de vier dagen dat ze in Nederland zijn ook naar Rotterdam gaan. Daar komen ze in de buurt van het Landelijk Parket waar óók het onderzoek naar MH17 plaatsvindt. In hun auto ligt apparatuur om wifinetwerken te hacken. De MIVD volgt de GROe-leden maar grijpt niet in, volgens bronnen omdat de Russen aan de overkant van de Maas blijven. Te ver om het netwerk van de politie te kunnen hacken.

De interesse in het MH17-onderzoek blijkt ook uit de laptop van Serebriakov – een van de betrapte GROe-hackers. In zijn computer vindt de MIVD wifi-gegevens van een hotel in Kuala Lumpur, Maleisië, waar hij een kleine week verbleef en in december 2017 een operatie opzette tegen de leden van het Maleisische onderzoeksteam.

Voor de buitenwereld houdt Rusland de schijn van een soepele samenwerking op. Neem de radarbeelden waar de Onderzoeksraad direct na de ramp bij de staatscommissie om vraagt. In eerste instantie ontkent Rusland dat er radarbeelden zijn. Die zouden al gewist zijn. Als diverse Russen eind augustus 2014 naar Nederland komen, spreken ze over ‘videobeelden’ van het radarscherm. Die bestaan nog wel. En later krijgt de Onderzoeksraad inderdaad een video van de ­radarbeelden. Het is onmogelijk de echtheid ervan te controleren.

Als de Onderzoeksraad om de ruwe data blijft vragen, overhandigt Rusland daarna alsnog radarbeelden. Maar als specialisten van de raad ernaar kijken, blijkt dat de data niet corresponderen met het te verwachten format. Normaal bestaan radarbeelden uit 64 bits, maar de data die de Russen overhandigen zijn 32 bits. ‘Dan weet je dat er wat mist’, aldus een van de betrokkenen.

Of neem de interpretatie van de feiten. De leden van het internationale onderzoeksteam zitten tijdens besprekingen vaak op één lijn met hun Russische collega’s – zolang het over technische details gaat. Totdat er een conclusie moest komen, zegt een van de betrokkenen. ‘Unaniem werd vastgesteld dat MH17 met een Buk-raket was neergehaald, maar de Russische delegatie bleef strak in de leer: de Buk kwam uit een andere richting.’

Zijn de Russische pogingen succesvol? Vraag het betrokken onderzoekers en ze zeggen: nee, uiteindelijk niet. Het onderzoek werd er ingewikkelder van, er was ruis en wantrouwen maar het heeft de conclusies niet beïnvloed. Op een andere manier zijn de pogingen wel succesvol. Vlak voor het begin van de rechtszaak, ­komende maandag, duiken op diverse websites officiële documenten op uit 2016 die door een hack of lek zijn buitgemaakt. Daaronder ook ambtsberichten van militaire inlichtingendienst MIVD. Hoewel de context ontbreekt en het om enkele stukken gaat uit een gigantisch dossier leiden de documenten tot verwarring – bij justitie dat zich afvraagt waar ze vandaan komen en bij personen die het onderzoek kritisch volgen.

Door Russische media worden de documenten enthousiast geciteerd, om nogmaals te onderbouwen wat de Russische overheid al sinds de ramp stelt: Rusland heeft er niets mee te maken.