,
,
,
Context: Dit artikel is oorspronkelijk geschreven naar aanleiding van gemelde kwetsbaarheden in John Deere’s online systemen, apps en API’s, waarbij persoonlijke gegevens van klanten en apparatuurinformatie zichtbaar hadden kunnen worden. Sindsdien is het onderwerp breder geworden dan alleen beveiliging. Onderzoek naar John Deere-systemen, demonstraties van tractor-jailbreaks, vrijwillige afspraken over toegang tot reparatiemiddelen, en later de FTC-zaak tegen Deere lieten zien dat privacy, softwarebeveiliging, eigendom en Right to Repair nauw met elkaar verbonden zijn. In 2026 sloot de FTC een schikking met Deere die boeren en onafhankelijke reparateurs toegang moet geven tot reparatiebronnen die vergelijkbaar zijn met die van geautoriseerde dealers. De tekst blijft relevant als historische en maatschappelijke context bij fabrikantcontrole, cloudafhankelijkheid, softwarelocks, klantgegevens, onafhankelijke reparatie en werkelijk eigendom van landbouwapparatuur.
Volg onze strijd voor Right to Repair
Gisteren heb ik een video gekeken van Louis Rossmann, waarin hij vertelde over kwetsbaarheden die aanwezig waren in de website, apps en API's die door John Deere zijn ontwikkeld. Meestal moeten boeren en andere partijen die actief zijn in de agrarische sector, hun apparatuur en software bij John Deere registreren om bijvoorbeeld hun tractor te ontgrendelen om er gebruik van te kunnen maken; zoals ik begrijp, weigert een tractor te werken als er geen geldig abonnement voor het apparaat is. De aanwezigheid en geldigheid van het abonnement wordt gecontroleerd via een online systeem ontwikkeld door John Deere.
Dit is een goed voorbeeld van twee problemen. Het eerste probleem is, niet de eigenaar van de software, het apparaat of het voertuig dat u heeft gekocht te zijn. U heeft het gekocht, maar eigenlijk huurt u het. Maandelijks, driemaandelijks of jaarlijks, moet u een abonnement betalen om ervoor te zorgen dat het apparaat blijft werken. Onze klacht is niet dat u betaalt voor iets dat u nodig heeft. Het is hoe dit de fabrikant in de positie van meester brengt en u, de klant, in de positie van slaaf. Voordat de hele “software as a service” en soft- en hardware waarvoor abonnementen nodig zijn om te blijven werken, had u de controle. Als u heeft geïnvesteerd in, laten we als voorbeeld nemen, een boorduurmachine, was u de eigenaar, klinkklaar. U kunt besluiten dat u deze machine een paar jaar intensief gebruikt, of u besluit dat het een leuk extraatje is dat u af en toe de komende decennia gaat gebruiken. Nu heeft u een abonnement nodig om de machine te laten werken. Dit abonnement is afgestemd op het bedrijfsmodel van hun ‘beste’ klanten. Terwijl u voor de komende jaren een eenmalige investering van € 12.500,00 zou kunnen rechtvaardigen, kan dat met de huidige trend van abonnementen niet meer. Het zou nog steeds een initiële investering van € 12.000,00 zijn, maar om de machine af en toe te gebruiken, moet u ook een maandelijks basisabonnement van € 150,00 betalen, dat alleen een enkele spoel en enkele kleur functionaliteit omvat. Voeg daar € 5,00 extra per spoel aan toe, en de machine heeft er acht. Dit komt op € 2.200,00 extra in kosten per jaar. Er zijn drie oplossingen: 1) stop met deze extra service, 2) maak van borduren uw corebusiness, 3) koop een tweedehands 20 jaar oude machine en huur ons in om de machine aan te passen aan een moderne computer. Zelfs als het op abonnementen gebaseerde model kan worden gerechtvaardigd, heeft u nog andere problemen. Na bijvoorbeeld 5 jaar, zal de machine onbruikbaar worden, omdat de machine niet meer compatibel is met de nieuwe website en apps van de fabrikant. De enige opties: hack de machine of koop een nieuwe, terwijl uw huidige machine nog niet in de boekhouding was afgeschreven en geen doorverkoopwaarde meer heeft, omdat niemand er meer gebruik van kan maken. Ook kan de fabrikant ineens de abonnementsprijs aanpassen, of features verplaatsen die u nodig heeft naar een apart abonnement. En tot slot bent u vaak niet eens de eigenaar van de documenten, afbeeldingen of ontwerpen die u zelf heeft gemaakt. Ofwel het goedkopere abonnement leidt ertoe dat de fabrikant niet alleen kopieën heeft, maar zelfs de wettelijke rechten heeft over uw creatieve werken. Zelfs met een erg duur abonnement wordt de fabrikant de eigenaar van het origineel en kunt u een kopie downloaden. Hoewel u de juridische eigenaar bent, kunnen door kwetsbaarheden bij de fabrikant andere partijen toegang krijgen tot uw creatieve werken. De kans dat dit gebeurt is veel groter doordat de fabrikant een veel groter aanvalspunt is. Een enkele succesvolle inbraak zal resulteren in duizenden tot miljoenen creatieve werken en persoonlijke gegevens van klanten.
Elk systeem, of het nu fysiek, digitaal, online of offline is, heeft kwetsbaarheden. Dat is een klaar feit. Het is onmogelijk om elk aspect van een systeem te beheersen en elke mogelijke situatie, heden en toekomst, uit te sluiten. Maar er is vaak een heel belangrijke factor: wie heeft het systeem ontworpen en geïmplementeerd.
Met ongeveer 30 jaar interesse en ervaring in IT beveiliging, startte ik mijn eerste baan op 15-jarige leeftijd, werkend aan baanbrekende heuristische antivirus algoritmen. Daarnaast heb ik gewerkt als beveiligingsexpert op een niet openbaar te maken aantal en soorten plaatsen, één ding valt op. Er zijn grofweg twee groepen mensen die IT oplossingen ontwerpen, implementeren en onderhouden: a) ingenieurs op gebieden als elektronica en mechatronica, en b) wetenschappers van een wiskundediscipline.
De eerste groep bestaat uit zeer gemotiveerde mensen, die hard werken en zeer deskundig zijn. Programmeren is echter meer als een hobby voor hen. Ze zijn heel goed in staat om wiskunde te gebruiken om problemen op te lossen. Ze programmeren al lang, maar vermijden bijvoorbeeld het gebruik van threads, zijn gewend om het hele programma in een enkel bestand te schrijven, gebruiken bibliotheken en modules die van internet zijn gedownload, zonder echt te begrijpen waar deze bibliotheken vandaan komen, hoe oud ze zijn, hoe nieuw ze zijn of wat hun bedoeling was. De bibliotheek biedt enkel functionaliteit die ze nodig hebben om het project snel verder te brengen. Ze hebben nog nooit gehoord van modulaire ontwerptechnieken of unit testing. Ze denken vaak dat Rapid Application Development (RAD) een stukje software is om je applicatie grafisch samen te slepen. Ze weten niets van óf vinden OMT / UML, gegevens- en objectmodellen te ingewikkeld, óf begrijpen de noodzaak ervan niet. Én ze hebben gelijk: hun vaardigheid is met elektronisch-, PCB- of chipontwerp of schrijven van 80C552 machinecode.
De andere groep zijn mensen met een heel andere set vaardigheden. Ze zien de wereld als data en algoritmen. Ze weten dat Rapid Application Development een probleemoplossings- en implementatietechniek is, zoals Extreme Programming of Agile. Dat is iets wat je doet, regels die je toepast op je workflow en hoe je je team organiseert en tools die je inzet. Deze groep mensen ontwerpt een IT-oplossing door een beschrijving te maken van het probleem dat moet worden opgelost en de wereld waarmee dit systeem moet communiceren. Deze mensen programmeren niet, maar definiëren datamodellen en creëren een functionele specificatie voordat ze computercode laten schrijven. Ze begrijpen en kunnen algoritmen maken en kunnen wiskundig bewijs leveren van de juistheid ervan.
Het maakt bijna niet uit of je het over BMW, Lada of Ford hebt, of je het nu over Keysight, Rode en Schwartz of Owon hebt. Al deze bedrijven hebben mensen in dienst uit de eerste groep: ingenieurs. Deze ingenieurs rollen in de ontwikkeling van de software die ze nodig hebben in hun werk, en rollen daarom ook in de taak van het implementeren van de cloudgebaseerde oplossing, apps en extern gebruikte software van hun werkgever.
De laatste groep is grotendeels in dienst van grote techreuzen als Google, IT-beveiligingsbedrijven, financiële instellingen, professional services ICT detacheerders, banken en de overheid. Dit laatste met name bij de veiligheidsdiensten.
Het is bijna ironisch dat de bedrijven die het hardst roepen over het beschermen van de veiligheid van de klanten en claimen daarvoor onafhankelijke reparatie tegen te moeten gaan, dezelfde bedrijven zijn die intern vaak weinig tot niets weten over het ontwikkelen van veilige systemen. Zoals in dit geval van John Deere. Die niet zo lang geleden pleitte voor het beschermen van boeren door geen toegang te verlenen tot de gereedschappen die nodig zijn voor het onderhoud van landbouwmachines. Door de tools vrij te geven waarmee het mogelijk zou zijn motorfoutcodes te wissen en een vervangende druksensor in het systeem aan te melden, kunnen kritieke klantgegevens in verkeerde handen vallen. Hierdoor kunnen de door de boer speciaal geoptimaliseerde gewas benevelingsinstellingen in de handen vallen van hun concurrent. Welnu, het blijkt dat de fabrikant zelf de meest waarschijnlijke plaats is om dergelijke informatie te lekken. Omdat deze tools en systemen zijn ontworpen door de mensen die ze in dienst hebben, vaak al jaren tot decennia lang. Ingenieurs die vaak briljant zijn in hun vakgebied van elektronica, thermodynamica of hydraulica, maar de vaardigheden missen die nodig zijn om veilige en onderhoudbare IT-oplossingen te ontwerpen.
De kwetsbaarheden waar dit artikel in 2021 op reageerde, werden volgens de onderzoeker en berichtgeving destijds door John Deere verholpen. Daarmee was het grotere probleem echter niet verdwenen. Juist doordat moderne landbouwmachines steeds meer afhankelijk zijn van online accounts, diagnoseportalen, softwaretools, telemetrie en fabrikantservers, ontstaat een situatie waarin beveiliging, privacy en eigendom niet los van elkaar kunnen worden gezien.
Wanneer een fabrikant de centrale plek wordt waar apparatuur wordt geregistreerd, diagnose-informatie wordt verwerkt, updates worden beheerd en reparatiefuncties worden vrijgegeven, wordt die fabrikant ook een groot aanvalsoppervlak. Een fout in een website, app of API kan dan niet alleen een technisch lek zijn, maar ook een lek in de machtsverhouding tussen eigenaar en fabrikant. De eigenaar heeft het apparaat fysiek in bezit, maar veel praktische controle loopt via systemen buiten zijn eigen erf, werkplaats of bedrijf.
In 2022 werd de discussie concreter toen beveiligingsonderzoeker Sick Codes tijdens DEF CON een jailbreak voor John Deere-tractors presenteerde. Die demonstratie gaf geen gewone remote aanvaller automatisch toegang tot elke tractor, maar liet wel zien dat de gesloten softwarelaag in landbouwmachines kwetsbaar, complex en bepalend is geworden. Hetzelfde systeem dat reparatie en diagnose afschermt, kan ook beveiligingsrisico’s bevatten.
Dat is precies waarom het veiligheidsargument tegen onafhankelijke reparatie vaak te simpel is. Fabrikanten stellen geregeld dat gesloten toegang nodig is om klanten, machines en gegevens te beschermen. Maar gesloten systemen zijn niet vanzelf veilig. Een systeem wordt veiliger door goed ontwerp, controleerbare interfaces, duidelijke verantwoordelijkheden, beperkte rechten, logging, documentatie en herstelbaarheid. Onafhankelijke reparatie en beveiliging hoeven elkaar niet tegen te spreken; in veel gevallen kunnen zij elkaar juist versterken.
Onder publieke en politieke druk maakte John Deere in 2022 bekend dat Customer Service ADVISOR rechtstreeks beschikbaar zou worden voor klanten en onafhankelijke reparateurs. In 2023 volgde een Memorandum of Understanding met de American Farm Bureau Federation over toegang tot gereedschap, software, documentatie en gegevens voor boeren en onafhankelijke reparatiebedrijven.
Dat leek een stap vooruit, maar vrijwillige afspraken hebben een duidelijke beperking. Ze zijn afhankelijk van de bereidheid van de fabrikant, bevatten vaak uitzonderingen, en vervangen geen afdwingbaar recht op toegang tot volledige reparatiemiddelen. Voor Right to Repair is niet alleen van belang dat er ergens een tool bestaat, maar ook of die tool volledig genoeg is, redelijk beschikbaar is, niet onnodig duur is, en dezelfde functies biedt als de tools van geautoriseerde dealers.
In januari 2025 klaagde de Federal Trade Commission, samen met enkele staten, Deere & Company aan. Volgens de FTC hadden de reparatiebeperkingen van Deere boeren en onafhankelijke reparateurs jarenlang beperkt in hun mogelijkheid om landbouwapparatuur zelf of lokaal te repareren. De klacht draaide vooral om software: de volledig functionele Service ADVISOR-tool was volgens de FTC alleen beschikbaar voor geautoriseerde Deere-dealers, terwijl een beperktere Customer Service ADVISOR-tool niet alle noodzakelijke reparaties mogelijk maakte.
Daarmee werd het punt uit dit artikel juridisch en economisch scherper. Het probleem is niet alleen dat een fabrikant gegevens kan lekken of abonnementen kan afdwingen. Het probleem is dat softwarecontrole kan worden gebruikt om een reparatiemarkt te sluiten. Wanneer alleen de dealer over de volledige diagnose- en herprogrammeerfuncties beschikt, kan de eigenaar niet vrij kiezen tussen zelf repareren, een lokale reparateur of de fabrikantdealer.
In juli 2026 volgde een schikking tussen de FTC, enkele staten en Deere. Deere moet gedurende tien jaar, onder toezicht van de FTC en de betrokken staten, boeren en onafhankelijke reparateurs toegang geven tot reparatiebronnen die vergelijkbaar zijn met wat geautoriseerde dealers krijgen. Daarbij gaat het niet alleen om papieren handleidingen, maar ook om softwaremogelijkheden die nodig zijn voor moderne elektronische reparaties.
De schikking verandert de historische betekenis van de oorspronkelijke kwetsbaarheden. Wat in 2021 nog kon worden gelezen als een beveiligingsincident rond apps en API’s, past achteraf in een veel bredere ontwikkeling. Landbouwmachines zijn computers op wielen geworden. Wie de software, accounts, diagnosefuncties en updatekanalen controleert, controleert in de praktijk ook een deel van het gebruik, de reparatie, de levensduur en de waarde van de machine.
Daarom blijft John Deere een belangrijk voorbeeld in de discussie over Right to Repair en eigendom. Het gaat niet alleen om tractoren, boeren of landbouw. Het gaat om een algemeen patroon: apparaten worden verkocht als bezit, maar functioneren steeds vaker als diensten binnen een door de fabrikant gecontroleerd ecosysteem. Dat maakt reparatie, privacy, beveiliging en eigendom één en hetzelfde maatschappelijke vraagstuk.
| Sick Codes | 21 april 2021 | SICK-2021-031: John Deere Operations Center - Improper Authorization |
| VICE / Motherboard | 22 april 2021 | Bugs allowed hackers to dox John Deere tractor owners |
| Louis Rossmann | 22 april 2021 | John Deere security flaw exposed address of every customer and more |
| WIRED | 13 augustus 2022 | A New Jailbreak for John Deere Tractors Rides the Right-to-Repair Wave |
| John Deere | 21 maart 2022 | John Deere expands access to self-repair resources |
| American Farm Bureau Federation / John Deere | 8 januari 2023 | Memorandum of Understanding over reparatietoegang voor landbouwapparatuur |
| Reuters | 8 januari 2023 | Farm Bureau en Deere tekenen Right-to-Repair-MOU |
| Federal Trade Commission | 15 januari 2025 | FTC en staten klagen Deere & Company aan over reparatiebeperkingen |
| Federal Trade Commission | 8 juli 2026 | FTC en staten sluiten schikking met Deere & Company over Right to Repair voor boeren |
| Associated Press | 9 juli 2026 | John Deere-eigenaren krijgen toegang tot reparatie onder FTC-schikking |
Copyright © 2026, ASK-Solutions
