WhatsApp-berichten onderbouwen uren IT-consultant na ransomware-aanval

Rb. Amsterdam 18 maart 2026, IT 5191; ECLI:NL:RBAMS:2026:2896 (Responders tegen [gedaagden]). [gedaagde] moet ruim €92.000 betalen aan Responders voor werkzaamheden na een ransomware-aanval. Volgens de rechtbank is geen sprake van ontbinding of tekortkoming en zijn de gefactureerde uren voldoende onderbouwd. Na een aanval door de Lockbit-groep schakelde [gedaagde] Responders in voor onder meer onderhandelingen met de hackers, begeleiding van een eventuele betaling en het veiligstellen van data. Partijen sloten een overeenkomst op basis van een uurtarief. Uiteindelijk werd het losgeld niet via Responders, maar via een derde partij betaald. [gedaagde] stelde dat de overeenkomst enkel zag op het betalen van $200.000 aan losgeld en dat deze was ontbonden toen Responders die betaling niet zelf uitvoerde. Daarnaast betwistte zij de omvang van de gefactureerde uren.

De rechtbank volgt dit niet. Uit de overeenkomst en de WhatsApp-communicatie blijkt dat Responders een bredere opdracht had, waaronder onderhandelingen met de hackers en ondersteuning gedurende het gehele traject. Dat Responders de betaling niet zelf uitvoerde, levert geen tekortkoming op: sprake was van een inspanningsverplichting en Responders schakelde snel een alternatief in. Ook van ontbinding is geen sprake. Het terugbetalen van een eerdere factuur zag slechts op een deel van de werkzaamheden en beëindigde de overeenkomst niet. Ten aanzien van de factuur van €92.300 oordeelt de rechtbank dat de uren voldoende zijn onderbouwd. Hoewel geen gedetailleerde urenregistratie was overeengekomen, kan onderbouwing ook volgen uit intensieve communicatie. De rechtbank toetst dit aan de hand van WhatsApp-berichten tussen partijen en acht de gedeclareerde uren, inclusief wachturen tijdens onderhandelingen met de hackers, aannemelijk. De vordering van Responders wordt toegewezen, inclusief rente en kosten. De tegenvorderingen van [gedaagde] worden afgewezen.

4.9 De rechtbank zal de onderbouwing van de gefactureerde uren controleren door steekproefsgewijs naar zeven verschillende dagen te kijken. Zij zal bekijken hoeveel en welke uren er op die dag berichten zijn gestuurd, wat de omschrijving in de berichten is van de werkzaamheden en of dit globaal overeenkomt met het gefactureerde aantal uren. De rechtbank stelt vast dat partijen het eens zijn dat niet hoeft te worden betaald voor de uren die Responders heeft besteed aan het vinden van Nerium. Volgens Responders heeft zij hier één uur aan besteed op 26 juli 2024. De rechtbank zal om dit te controleren in ieder geval naar die dag kijken.

- Op 20 juli 2024 zijn 22 uren gefactureerd, waarvan zes tussen 0:00 en 6:00 en zestien tussen 8:00 en 0:00 uur. In de appgroep wordt het eerste bericht verstuurd om 1:12 uur en het bericht daarvoor was van 23:26 uur. Er worden de gehele nacht en ochtend ook nog berichten gestuurd. Uit de berichten wordt duidelijk dat Responders op dat moment wacht op een reactie van Lockbit, mede omdat de door Lockbit gestelde deadline die nacht verstreek, hiervoor wakker blijft en dit alsmaar controleert. Ditzelfde geldt voor de periode tussen 8:00 uur en 0:00 uur. In het grootse deel van deze uren worden er iedere tien minuten berichten gestuurd. Ook blijkt dat partijen om 14 uur een meeting hebben en dat Responders ook met Lockbit in gesprek is. Responders heeft de gefactureerde uren voor deze dag met de export van de chat dan ook voldoende onderbouwd.

- Op 23 juli 2024 zijn dertien uren gefactureerd, waarvan elf tussen 6:00 en 17:00 en twee tussen 21:00 en 23:00 uur. In de appgroep wordt het eerste bericht van Responders om 5:23 gestuurd. In een bericht van 10:32 uur laat Responders weten dat zij steeds de chat met Lockbit controleert, maar dit niet steeds in de appgroep zet omdat dit te veel berichten zouden zijn. Zoals eerder overwogen, mocht Responders de wachturen hier nog in rekening brengen. Om 15:02 bericht Responders dat zij weer in gesprek is met Lockbit. Om 19:14 vraagt [gedaagde] aan Responders om alleen nog op gezette tijden de chat met Lockbit te controleren. Tussen 21:02 en 23:27 zijn partijen met elkaar in gesprek op de chat. Ook voor deze dag zijn de uren hiermee voldoende onderbouwd.

- Op 26 juli 2024 zijn twaalf uren gefactureerd, waarvan drie uren tussen 9:00 en 17:00 en negen uren tussen 18:00 en 0:00 uur. In de appgroep worden tussen 9:00 en 17:00 tussen partijen meerdere berichten gestuurd. Vanaf 13:28 tot 17:12 zeer regelmatig zodat de gefactureerde drie uur daarmee voldoende is onderbouwd. Tussen 17:20 en 18:09 gaat het gesprek over het vinden van een nieuwe crypto exchange. Dit uur is niet gefactureerd. Vervolgens gaat het gesprek de hele avond aan bijna een stuk door over het contact met Lockbit. Ook voor deze dag zijn de uren voldoende onderbouwd.

- Op 31 juli 2024 zijn zeven uren gefactureerd, waarvan vier tussen 9:00 en 17:00 en drie tussen 21:00 en 0:00. In de appgroep wordt het eerste bericht door Responders gestuurd om 8:24. Tot 17 uur worden door partijen veelvoudig berichten over en weer gestuurd en uit de inhoud komt naar voren dat Responders op dat moment bezig is met de onderhandeling met Lockbit en dit bespreken met [gedaagde] . Verder blijkt uit de appgroep dat partijen tussen 18:00 en 21:00 ook constant met elkaar in contact zijn. Hoewel in het urenoverzicht staat dat deze uren betrekking hebben op 21:00 tot 0:00, blijkt hieruit dat de gefactureerde drie uren wel zijn gewerkt en dus voldoende zijn onderbouwd.

- Op 17 augustus 2024 zijn vier uren gefactureerd. Op die dag sturen partijen elkaar in de appgroep tussen 10:31 en 12:28 en tussen 19:42 en 23:29 uur veelvoudig berichten waaruit naar voren komt dat Responders steeds met de zaak van [gedaagde] bezig is. Ook voor deze dag zijn de uren dan ook voldoende onderbouwd.

- Op 2 september 2024 is één uur gefactureerd. Uit de appgroep blijkt dat Responders die dag contact heeft met Lockbit over de te downloaden gegevens van [gedaagde] . Ook voor deze dag zijn de uren hiermee voldoende onderbouwd.

- Op 23 september 2024 zijn twee uren gefactureerd. Uit de appgroep blijkt dat Responders op die dag contact heeft met [gedaagde] over de ondertussen gedownloade gegevens en dat zij die op schijven gaat zetten, deze gaat versleutelen en dat ze bezig is het verwijderingsproces in gang te zetten. Ook voor deze dag zijn de uren hiermee voldoende onderbouwd.