Black Hat, White Hat, Grey Hat: wer Hacker wirklich sind

Umgangssprachlich ist ein Hacker jemand, der in Computer einbricht. In der Sicherheitswelt ist das Wort älter und breiter: Ein Hacker ist jemand, der ein System so gut versteht, dass er es Dinge tun lassen kann, die seine Entwickler nicht vorhergesehen haben. Ob dieses Können Menschen schützt oder ihnen schadet, ist eine andere Frage. Die Branche kürzt sie mit einem Bild aus alten Western ab, in denen die Guten weiße und die Schurken schwarze Hüte trugen.

Drei Hüte

Das eine Kriterium, das Weiß von Schwarz und Grau trennt, ist die Autorisierung. Ein Penetrationstester und ein Krimineller können dieselben Werkzeuge und Techniken nutzen. Was den einen zum Profi und den anderen zum Täter macht, ist eine vorab schriftlich vereinbarte Erlaubnis, die festlegt, was wie getestet werden darf.

Black Hats: eine Industrie, kein einsames Genie

Der einsame Kapuzenträger aus Stockfotos ist größtenteils ein Mythos. Ernsthaftes kriminelles Hacking ist heute wie ein Unternehmen organisiert. Manche Gruppen schreiben schädliche Programme und vermieten sie; andere haben sich darauf spezialisiert, Erstzugang zu Netzwerken zu erlangen und zu verkaufen; wieder andere übernehmen Verhandlungen und Geldwäsche. Ransomware-Banden, Infostealer-Betreiber und Betrugsnetzwerke handeln in kriminellen Foren Dienstleistungen untereinander. Das zu verstehen erklärt, warum Angriffe so hartnäckig sind: Für die Menschen dahinter ist es Arbeit.

White Hats: wie legitime Sicherheitsforschung funktioniert

• Penetrationstests: Eine Firma beauftragt Fachleute, ihre eigenen Systeme im Rahmen eines unterschriebenen Vertrags anzugreifen, und behebt dann, was sie finden.
• Bug-Bounty-Programme: Firmen veröffentlichen Regeln und einen Rahmen, laden Forschende ein, nach Lücken zu suchen, und zahlen Belohnungen für gültige Meldungen. Viele laufen über Plattformen wie HackerOne und Bugcrowd, und Apple betreibt das eigene Apple Security Bounty.
• Koordinierte Offenlegung von Schwachstellen: Wer eine Lücke findet, meldet sie vertraulich dem Hersteller, gibt ihm Zeit für eine Behebung und veröffentlicht Details erst, wenn Nutzer sich schützen können. Die CISA koordiniert Offenlegungen, wenn ein Hersteller schwer erreichbar ist.
• Verteidigung: Sicherheitsteams, Incident Responder und Leute, die Sicherheitswerkzeuge schreiben.

Grey Hats: gute Absichten, echtes rechtliches Risiko

Grey Hats sehen sich oft als die Guten: Sie haben eine Lücke gefunden, sind eingedrungen, um sie zu beweisen, und haben es dem Eigentümer gesagt. Das Problem ist, dass die meisten Gesetze gegen Computerkriminalität auf den unbefugten Zugang abzielen, nicht auf die Absicht. In den USA macht der Computer Fraud and Abuse Act unbefugten Zugang strafbar; in Großbritannien tut der Computer Misuse Act dasselbe, und ähnliche Gesetze gibt es in ganz Europa (in Deutschland etwa § 202a StGB, das Ausspähen von Daten) und anderswo. Manche Staatsanwaltschaften sind vorsichtiger geworden: 2022 kündigte das US-Justizministerium an, gutgläubige Sicherheitsforschung solle nicht nach dem Computer Fraud and Abuse Act angeklagt werden. Diese Leitlinie bindet aber nur die Bundesstaatsanwälte; sie ändert weder das Gesetz selbst noch bindet sie andere Länder, und sie hindert kein Unternehmen daran zu klagen.

Hacken legal lernen

Die Neugier darauf, wie Systeme kaputtgehen, ist der Anfang der meisten Sicherheitsprofis, und es gibt viele Orte, sie zu stillen, ohne das Gesetz zu brechen. Capture-the-Flag-Wettbewerbe (CTF) bieten absichtlich verwundbare Aufgaben, allein oder im Team. Übungsplattformen und Trainingslabore stellen Maschinen bereit, die zum Angreifen gebaut sind, mit klaren Regeln. Sie können auch zu Hause ein kleines Labor mit alten Computern oder virtuellen Maschinen aufbauen, die Ihnen gehören. Der rote Faden ist einfach: Testen Sie nur Systeme, die Ihnen gehören oder die jemand mit der nötigen Befugnis Ihnen ausdrücklich und schriftlich zum Testen freigegeben hat. Diese Gewohnheit, vom ersten Tag an geübt, ist auch genau das, worauf Arbeitgeber und Bug-Bounty-Programme achten.

Weitere Hüte, von denen Sie hören werden

• Hacktivisten: Angreifer, die eine politische oder gesellschaftliche Sache antreibt.
• Staatlich unterstützte Gruppen: Hacker, die für oder mit einer Regierung arbeiten, oft mit Fokus auf Spionage oder Störung.
• Script-Kiddies: unerfahrene Angreifer mit fertigen Werkzeugen, die sie nicht wirklich verstehen. Weniger geschickt, aber durchaus in der Lage, echten Schaden anzurichten.
• Innentäter: Mitarbeitende oder Dienstleister, die ihren legitimen Zugang missbrauchen.

Warum das für ganz normale Menschen zählt

Wer weiß, wer auf der anderen Seite steht, kann das Risiko besser einschätzen. Die meisten Menschen werden nicht von staatlichen Gruppen ins Visier genommen; sie begegnen organisierter Black-Hat-Kriminalität über Phishing, Infostealer und Ransomware, die opportunistisch ist und jeden trifft, der darauf hereinfällt. Die Arbeit der White Hats wiederum ist der Grund, warum Ihre Apps Sicherheitsupdates bekommen: Viele der in einem Update behobenen Lücken wurden von Forschenden gefunden und verantwortungsvoll gemeldet. Updates zügig zu installieren heißt, von dieser Arbeit zu profitieren. Werkzeuge wie FireAI gehören zur White-Hat-Seite: Sie zeigen Ihnen, was die Software auf Ihrem Computer tut, auf Ihrem eigenen Gerät und mit Ihrer Zustimmung.