NICHT ALLE HACKER SIND GLEICH
Wenn wir das Wort „Hacker“ hören, denken die meisten Menschen zunächst an Cyberkriminelle. In Wirklichkeit helfen jedoch viele Hacker Unternehmen dabei, Schwachstellen zu finden, bevor Angreifer sie ausnutzen können.
Der Unterschied zwischen Black-Hat- und White-Hat-Hackern liegt dabei häufig nicht in ihren technischen Fähigkeiten, sondern in ihrer Absicht, ihrem Umgang mit Regeln und der Verantwortung für ihr Handeln.
- Black Hats – die sogenannten „bösen“ Hacker. Sie verschaffen sich unbefugt Zugang zu Systemen, um sich finanziell zu bereichern, eine Ideologie zu verbreiten, den Betrieb zu stören oder Aufmerksamkeit zu erlangen.
- White Hats – die sogenannten „guten“ oder „ethischen“ Hacker. Sie nutzen vergleichbare Fähigkeiten, jedoch ausschließlich mit entsprechender Genehmigung, um Schwachstellen aufzudecken und deren Behebung zu unterstützen.
- Grey Hats – sie bewegen sich dazwischen. Teilweise untersuchen sie Systeme ohne vorherige Genehmigung. Auch bei positiven Absichten kann dies rechtliche Risiken mit sich bringen.
Die technischen Fähigkeiten können also ähnlich sein. Der entscheidende Unterschied liegt in den Regeln, der Absicht und der Verantwortung für das eigene Handeln.
WARUM WIR HEUTE „GUTE HACKER“ BRAUCHEN
Die Nachfrage nach ethischem Hacking wird vor allem durch zwei Faktoren angetrieben:
Menschen sind weiterhin einer der einfachsten Angriffswege. Laut dem Data Breach Investigations Report spielt der menschliche Faktor bei 68 % der Sicherheitsvorfälle eine Rolle. Dazu gehören Phishing, menschliche Fehler oder schwache Passwörter. Unternehmen benötigen deshalb realistische Sicherheitstests, die solche Schwachstellen aufdecken, bevor Angreifer sie ausnutzen können.
Angriffe werden schneller und haben größere Auswirkungen. Die Agentur der Europäischen Union für Cybersicherheit (ENISA) berichtet, dass im Jahr 2024 Angriffe auf die Verfügbarkeit von Diensten dominierten, gefolgt von Ransomware und datenbezogenen Bedrohungen. Das entspricht der Realität vieler Sicherheitsteams – von Serviceausfällen bis hin zu Erpressung mit gestohlenen Daten.
WIE ETHISCHE HACKER ARBEITEN
Grundprinzip. Ethisches Hacking beginnt mit einer Genehmigung – mit einem klar definierten Umfang, der festlegt, was getestet werden darf und was nicht, mit verbindlichen Testregeln und vereinbarten Fristen für das Reporting.
Eine praktische Orientierung bietet die Methodik NIST SP 800-115 des National Institute of Standards and Technology. Sie beschreibt die Planung von Sicherheitstests, die Sammlung und Analyse von Nachweisen sowie die Überführung von Ergebnissen in konkrete Maßnahmen. Sie kann als eine Art Leitfaden für die strukturierte Durchführung technischer Sicherheitstests verstanden werden.
Die meisten Organisationen arbeiten mit ethischen Hackern im Rahmen formaler Penetrationstests oder über Programme wie eine Vulnerability Disclosure Policy (VDP) oder ein Bug-Bounty-Programm zusammen. Diese bieten einen sicheren und rechtlich definierten Weg, Schwachstellen zu melden.
Beispiel. Ein Tester entdeckt eine Sicherheitslücke in einem Anmeldeformular, beispielsweise eine SQL-Injection-Schwachstelle. Er dokumentiert, wie die Schwachstelle ausgenutzt werden kann, zeigt ihre tatsächlichen Auswirkungen – etwa die Umgehung der Anmeldung oder einen unbefugten Zugriff auf Daten – und schlägt eine sicherere Lösung vor. Anschließend übermittelt er die Ergebnisse über den zuvor vereinbarten Kommunikationskanal.
Auswirkungen. Viele Teams ordnen solche Erkenntnisse dem MITRE ATT&CK-Modell zu und schaffen so eine gemeinsame Wissensbasis darüber, wie Angreifer typischerweise vorgehen. Diese „gemeinsame Sprache“ hilft dabei, besser zu verstehen, an welcher Stelle einer Angriffskette eine konkrete Schwachstelle relevant wird – beispielsweise vom initialen Zugriff über die Ausführung von Schadcode bis hin zur Aufrechterhaltung des Zugriffs – und an welchen Stellen Schutzmaßnahmen verstärkt werden müssen.
SO BLEIBT ETHISCHES HACKING IM RECHTLICHEN RAHMEN
In Europa wird das Konzept des Coordinated Vulnerability Disclosure (CVD) eingesetzt. Es ermöglicht Sicherheitsforschern, Schwachstellen sicher und verantwortungsvoll zu melden, während Hersteller sie innerhalb eines vereinbarten Zeitrahmens beheben können. Empfehlungen der Die Agentur der Europäischen Union für Cybersicherheit zeigen, wie CVD und VDP klare und sichere Meldewege für Sicherheitslücken schaffen.
Kurz gesagt: zuerst eine Genehmigung einholen, die vereinbarten Regeln einhalten und keinen Schaden verursachen.
Der Cyber Resilience Act, der seit Dezember 2024 in Kraft ist, erhöht die Anforderungen an die Sicherheit digitaler Produkte bereits in der Entwicklungsphase (Secure by Design) und verpflichtet Hersteller dazu, Schwachstellen über den gesamten Lebenszyklus eines Produkts hinweg zu behandeln. Nutzer erhalten dadurch mehr Sicherheit, dass entdeckte Probleme systematisch bearbeitet werden.
SCHWACHSTELLEN VERANTWORTUNGSVOLL MELDEN – VDP UND BUG BOUNTIES
Eine VDP (Vulnerability Disclosure Policy) legt fest, wie Schwachstellen sicher gemeldet werden können – welche Systeme und Tests in den definierten Umfang fallen, wohin Sicherheitslücken gemeldet werden sollen und welche Reaktionszeiten zu erwarten sind.
Wenn eine Organisation keinen klar definierten Meldeweg für Schwachstellen bietet:
- wissen ethische Hacker häufig nicht, an wen sie sich wenden sollen,
- können Sicherheitslücken länger unentdeckt oder unbehandelt bleiben,
- gelangen sie möglicherweise zu Angreifern, bevor das betroffene Unternehmen davon erfährt.
Eine VDP schafft einen sicheren und rechtlich klar definierten Prozess, um solche Probleme verantwortungsvoll zu behandeln.
Einige Programme bieten zusätzlich finanzielle Belohnungen, sogenannte Bug Bounties. Die Initiative EU-FOSSA 2 der Europäischen Kommission finanzierte entsprechende Programme für Open-Source-Projekte, die von EU-Institutionen genutzt werden. Sie zeigte, dass gezielte Anreize dazu beitragen können, auch schwerwiegende und teilweise seit Langem bestehende Schwachstellen aufzudecken, bevor Angreifer sie entdecken.
SICHER LERNEN UND TRAINIEREN: CYBERGAME IN DER SLOWAKEI
Möchten Sie Cybersicherheit risikofrei ausprobieren? Dann bieten sich Wettbewerbe im Format Capture The Flag (CTF) an. Sie simulieren reale Szenarien – von Websicherheit über Kryptografie bis hin zur digitalen Forensik.
Ein lokales Beispiel ist CyberGame, ein nationaler Cybersicherheitswettbewerb, der mit fachlicher Unterstützung der slowakischen Nationalen Sicherheitsbehörde und ihres Nationalen Cybersicherheitszentrums SK-CERT organisiert wird. CyberGame bietet eine sichere Lernumgebung, öffentliche Challenges und dient zugleich als Plattform zur Auswahl von Talenten für die Vertretung der Slowakei bei internationalen Wettbewerben.
Für Studierende, IT-Fachkräfte und alle, die sich für Cybersicherheit interessieren, ist dies eine praktische Möglichkeit, zu lernen, zu trainieren und Teil der Community zu werden – ohne dabei reale Systeme zu gefährden.
FAZIT
Hacking-Fähigkeiten sind an sich nicht das Problem.
Entscheidend sind die Regeln, die Verantwortung und das Ziel.
Während Black-Hat-Hacker nach Möglichkeiten suchen, Systeme auszunutzen, helfen White-Hat-Hacker Organisationen dabei, ihre Widerstandsfähigkeit zu stärken, bevor es zu einem Sicherheitsvorfall kommt.
Angesichts zunehmender Cyberbedrohungen wird ethisches Hacking damit zu einem wichtigen Bestandteil eines modernen Sicherheitsmanagements.