Was macht ein Hacker? White Hat, Grey Hat und Black Hat erklärt

Was macht ein Hacker und was ist Hacking eigentlich? Es gibt keine festen Definitionen, aber Wikipedia definiert "Hacking" als Maßnahme Sicherheitsmechanismen eines Systems zu manipulieren oder komplett zu brechen. Mit diesem Ansatz lassen sich unvorhergesehene Wege finden ein System zu manipulieren oder anzugreifen.

Gute und böse Hacker

Der Hacker ist eine Person, die versucht Software oder Hardware zu manipulieren, meist zu seinem Vorteil. Medial wird Hacking oft eher negativ dargestellt. Der Mensch mit dem schwarzen Kapuzenpullover der alleine in einem Keller sitzt und vor sich hin hackt ist ein gerne verwendetes Bild. Diese mediale Darstellung ist jedoch ein Trugschluss, da es an sich wertneutral formuliert ist.

Bilder wie diese werden von Medien für die Darstellung von Hackern gerne aufgegriffen, entsprechen aber natürlich nicht der Realität. Ähnlich wie ein Hammer - der kann verwendet werden um einen Nagel in die Wand zu schlagen oder anderen Menschen Angst machen. So verhält es sich auch mit dem Hacking. Oft suchen Angreifer ganz gezielt Schwachstellen in Systemen, um diese Schwachstellen dann zu schließen und das System insgesamt zu verbessern. Es gibt auch keine schwarz/weiß Definition eines guten/bösen Hacker. In der Regel teilt man Hacker in drei Gruppen auf, und ordnet diese innerhalb eines kulturellen und politischen Kontexts in eine der Kategorien ein:

• White Hat: Ein White Hat Hacker hält sich an geltende Gesetze. Ihr Wissen wird verwendet, um die Sicherheit von Computersystemen zu erhöhen und teilen gefundene Sicherheitslücken an Hersteller, Betreiber oder Inhaber mit. White Hat Hacking ist auch unter Ethical Hacking bekannt.

 

• Grey Hat: Grey Hats halten sich nicht zwingend an Gesetze haben aber oft ein "höheres Ziel" vor Augen, beispielsweise die Verbesserung einer Gesellschaft oder die Sensibilisierung zur verantwortungsvollen Technologieentwicklung. Häufig ist eine Einordnung, ob eine Handlung strafbar war oder nicht abhängig vom eigenen gesellschaftlichen oder politischen Standpunkt.

 

• Black Hat: Sind eindeutig Kriminelle, beispielsweise Entwickler von Schadsoftware die Netzwerke verschlüsseln soll oder Angreifer die Industriespionage betreiben. Im folgenden beschreiben wir unterschiedliche Black Hat Angreifer.

Im betrieblichen Umfeld gibt es das privat gern gelebte Credo "Ich habe nichts zu verbergen" nicht mehr. Es gibt unterschiedliche Arten von Angreifern die es auf die Daten in Ihrem Unternehmen abgesehen haben, meistens sind das die sogenannten Blackhats.

• Beifang eines großen Angriffs: Groß angelegte Hacking Kampagnen wie beispielsweise Emotet sind keine gezielten Angriffe. Die Angreifer greifen blind an und wollen möglichst viel Geld verdienen mit wenig Aufwand. Diese Angriffe können insbesondere kleine Betriebe an den Rand der Existenz treiben, da Sie häufig keine IT-Sicherheitsstrategie oder Backups haben. Diese Angriffe sind keine persönlichen oder gezielten Angriffe.

 

• Wirtschaftsspionage: Die Wahrscheinlichkeit, dass Angreifer es auf Ihre Firmengeheimnisse abgesehen haben ist deutlich gestiegen in den letzten Jahren. Häufig stehen dahinter straff organisierte, professionelle Gruppen. Manche Länder haben gezielt in Ihren Wahlprogrammen stehen, dass Wirtschaftsspionage ein fester Bestandteil der Strategie ist, daher wird dieser Aspekt immer relevanter auch für deutsche Unternehmen.

---

Hacking will gelernt sein

Früher war Hacking verpönt und auch heute ist es medial noch häufig negativ behaftet. Wie lerne ich also Hacking heutzutage? IT-Security Blogs und Bücher zu lesen wird leider nicht ausreichen um professionelles Hacking zu lernen. Es gibt heutzutage zum Glück genügend interaktive Formate mit denen Hacker jeder Altersklasse lernen könne. Besonders bei jungen Hackern sind "Capture the flag" Wettbewerbe beliebt. Es müssen dabei möglichst schnell bestimmte "Punkte" innerhalb eines Systems gefunden werden und diese geben Punkte. Die Cyber Security Challenge ist ein bekannter Wettbewerb und Wargames sind ein häufiger Einstiegspunkt.

Penetrationstests und Hacker

Ein Penetrationstests ist ein umfassender Sicherheitstest der im geordneten Rahmen durchgeführt wird. Die Pentester(meist arbeiten wir im Team) greifen ein System an und veruschen dabei möglichst viele Sicherheitslücken aufzudecken. Es kommen dieselben Arbeitstechniken und Programme zur Anwendung die auch ein professioneller Angreifer nutzen würde. Der deutlichste unterschied besteht darin, dass Pentester einen definierten Auftrag und festgelegte Ressourcen haben. Ein Angreifer hat theoretisch unendlich lange Zeit zu versuchen ein System anzugreifen, während ein Pentest häufig nur Tage oder Wochen dauert. Er darf zudem nicht destruktiv oder manipulativ vorgehen und häufig darf auch das Haupteinfallstor "Mensch" nicht genutzt werden, um ein Unternehmen anzugreifen. Einen Vorteil den wir als Pentester haben ist die Tatsache, dass wir nicht zwingend im verborgenen agieren müssen. Ein Hacker wird in der Regel nicht mit einem ausgiebigen Netzwerkscan starten, da die Wahrscheinlichkeit, dass er entdeckt wird dann hoch ist. Diese Werkzeuge können wir beim Pentest unbeschränkt einsetzen, da der Auftraggeber das Einverständnis gibt.

Arten von Angriffen, Untersuchungen und Analysen

Es gibt unterschiedliche Ausprägungen des Hackings und immer mehrere Wege nach Rom, wenn es um die Manipulation von Daten und Systemen gibt. Ein paar ausgewählte Arten wollen wir im Folgenden vorstellen:

• Mobile Hacking: Bedingt durch die Tatsache, dass wir immer mehr mobile Endgeräte mit uns herumtragen, werden diese Systeme vermehrt angegriffen. Es gibt unterschiedliche Möglichkeiten ein mobiles Gerät anzugreifen, ein Angreifer kann beispielsweise versuchen eine gefälschte Applikation auf das Smartphone zu bekommen oder das Betriebssystem zu manipulieren.

 

• Network Hacking: Das Hacken von Netzwerken ist genauso alt wie die Netzwerke selbst. Hier wird häufig ein Netzwerk zuerst abgescannt, um zu erfahren welche Endpunkte erreichbar sind, wo unzureichende Konfigurationen vorliegen und wo eine Firewall nicht so arbeitet wie sie soll. Ziel ist es entweder die Sicherheit des Netzwerks abzuschätzen oder konkret auf ein Gerät zuzugreifen, beispielsweise durch das Abfangen oder das Erraten von Passwörtern. Sollten Dienste auf Endgeräten laufen für die es aktive Exploits - also Schwachstellen, gibt können diese auch ausgenutzt werden.

 

• IoT Hacking: IoT Hacking ist eine neue Disziplin, bei der es darum geht Geräte aus dem Internet der Dinge zu kompromittieren und so Zugang zu kritischen Daten oder Systemen zu erhalten. Häufig sind IoT Geräte ungemanagt in Netzwerken zu finden und mit Standardpasswörtern versehen, sodass Sie ein gutes Ziel für Angreifer sind.

---

Ziele eines Hackers

Als Hacker gibt es viele lukrative Ziele im Internet, da die Vernetzung immer weiter zunimmt. Von klassischen Computern über vernetzte Kühlschränke bis hin zum intelligenten Sexspielzeug hängt heute alles am Internet. Auch die Cloud ist ein Angriffsziel: Über falsch konfigurierte Amazon-Systeme haben bereits viele Dokumente ihren Weg an die Öffentlichkeit gefunden, die eigentlich unter Verschluss sein sollten.

Software: vom Browser-Add-on bis zum Staatstrojaner

Um seine Ziele zu erreichen, verlässt sich ein Hacker auf Tools, die er selbst entwickelt hat oder die es fertig gibt. Für erste Untersuchungen genügt oft schon ein Browser, zahlreiche Hacking-Tools für Firefox sind kostenfrei verfügbar und leisten gute Arbeit.

Vom einfachen Netzwerkscan bis zu komplexen Angriffen auf CPU-Ebene ist fast alles als Open Source verfügbar. Diese Tools werden veröffentlicht, damit sich die breite Masse schützen kann und der Angriff auf Systeme nicht das Privileg einiger weniger bleibt, die das nötige Know-how und die Ressourcen haben.

Daneben gibt es eine Vielzahl an Programmen, die elitären, staatlichen Zielgruppen vorbehalten bleiben.

Hardware: harmlos aussehende Geräte mit Schadcode

Neben Software gibt es spezielle Hardware, die nur für das Hacking gebaut wird:

• Frei verkäufliche „USB-Sticks", die in Wahrheit eine Tastatur sind oder schlicht hohen materiellen Schaden anrichten.
• Manipulierte Ladekabel für Smartphones, die den Weg in den freien Handel gefunden haben.

Die manipulierten Geräte enthalten Schadcode, der im schlimmsten Fall vollautomatisiert ausgeführt wird.

Wie Untersuchungen zur IT-Sicherheit beitragen

Bis jetzt liest sich der Artikel wie eine Lobhymne auf den Angriff und darauf, dass alle unsere Systeme dem Untergang geweiht sind und weniger zur Absicherung beitragen. Für Sie ist es wichtig zu wissen, wie moderne Systeme angegriffen werden können und welche Mittel Angreifer zur Verfügung haben, um sich entsprechend zu verteidigen. "Wer bringt schon Messer zu einer Schießerei mit" ist hier salopp gesprochen das Motto. Sie müssen wissen wo Ihre Schwachstellen sind, um sich entsprechend vorzubereiten und zu verteidigen. Wenn Sie selbst dies nicht durchführen können, müssen Sie Pentester anheuern die genau das machen können und Ihnen am Ende einen aussagekräftigen Bericht vorlegen. Es gibt jedoch keine einhundertprozentige Sicherheit. Die kann es nicht geben, da sich die IT rasant weiterentwickelt und heute noch allgemeingültige Wahrheiten wie beispielsweise

"Niemals direkt patchen, dann stürzt das System ab"

wandeln sich in das genaue Gegenteil, nämlich „Patchen Sie sofort, warten Sie nicht". Cyberkriminelle suchen sich gezielt die schwächsten Ziele, damit sie sich mit wenig Arbeit bereichern können. Ihr Ziel sollte also nicht sein, schneller zu schwimmen als der Hai, sondern nur schneller als die anderen Fische. Cybercrime ist ein lukrativer Markt, der mehr Umsatz macht als der internationale Drogenhandel. Es geht also um jeden Euro.

Sicherheit lässt sich nicht hundertprozentig garantieren, und das ist für alle Seiten frustrierend: für Anbieter, Kunden und Hacker. Dafür gibt es drei Gründe.

Software ist zu komplex für Fehlerfreiheit. Moderne Software besteht aus unzähligen Zeilen Code, die aus unterschiedlichsten Teams stammen. Fehler sind vorprogrammiert, und auch ein vermeintlich harmloser Fehler kann in einer komplexen Software schwerwiegende Folgen haben.

Man sieht Software ihre Sicherheit nicht an. Für Endnutzer gibt es keine Siegel, die Sicherheit und Vertrauen stiften würden. Das liegt vor allem an der Flüchtigkeit moderner Software: Sie ist nie fertig, sondern stetig in Entwicklung. Ein heute getestetes und sicheres Produkt kann morgen eine völlig andere Codebasis haben.

Selbst Spitzentechnologie ist nicht fehlerfrei. Auch die Entwicklung neuartiger Kryptographie bietet trotz jahrelanger Arbeit international anerkannter Experten immer wieder Angriffsfläche.

---

Hacking ist nicht gleich Hacking

Es gibt mannigfaltige Angriffsvektoren für einen Angreifer, wenn er in Infrastruktur eindringen möchte. Drei Beispiele für Angriffsvektoren haben wir bereits im Kapitel Arten von Hackings beschrieben. Darüber hinaus gibt es natürlich noch weitere Angriffsvektoren die wir nun beschreiben wollen.

• Malware: Geräte können mit Malware(Schadsoftware) infiziert werden. Schadsoftware findet auf wieder unterschiedlichsten Wegen Ihren Weg auf Geräte, beispielsweise als Anhang einer E-Mail, über eine Webseite oder per USB Stick. Häufig führt Schadsoftware ungewollten Code auf dem Gerät aus der beispielsweise dazu führt, dass Tastaturanschläge mitgeschrieben und an Dritte gesendet werden oder der Rechner verschlüsselt wird. Dann wird von "Ransomware" gesprochen.

 

• Phishing:  Der Angreifer versucht sein Opfer dazu zu bringen auf einer falschen Anmeldeseite seine Login Daten einzugeben. Häufig wird Phishing per E-Mail betrieben kann allerdings auch über soziale Netzwerke oder Webseiten erfolgen.

 

• Physikalischer Angriff: Der Angriff auf Hardware ist ein simpler aber effektiver Angriff. Insbesondere in kleinen und mittelständischen Unternehmen wird die Gefahr die durch ein gestohlenes Gerät ausgeht häufig unterschätzt. Es gibt oft keine Meldeprozesse und Folgehandlungen für abhanden gekommene Geräte, dabei enthalten diese sehr häufig noch kritische Daten oder Anwendungen. Auch Büroräume können ein Einfallstor sein, wenn es keine ausreichenden Zugangsbeschränkungen gibt oder Besucher nicht begleitet und protokolliert werden.

 

• Social Engineering: Beim Social Engineering werden menschliche Schwächen ausgenutzt. Gerade in Kombination mit Phishing und dem physikalischen Angriff ergibt sich hier ein oft vernichtendes Angriffspotenzial. Kennt der Hacker die Vorlieben seiner Opfer kann er gezielt Phishing Mails um diese Interessen herum schreiben und darf mit Klicks auf seine Phishing Webseiten rechnen.

https://youtu.be/lc7scxvKQOo

Nichts tun schützt vor Strafe nicht

Rechtlicher Hinweis: Unerlaubtes Hacking ist in Deutschland strafbar nach § 202c StGB. Dieser definiert den Straftatbestand „Vorbereiten des Ausspähens und Abfangens von Daten".

Der gutwillige Umgang mit Hacking-Tools wird in der Regel toleriert, gibt aber noch lange keine Narrenfreiheit. Außerhalb von Testsystemen oder speziell freigegebenen Systemen bedarf es einer schriftlichen Genehmigung und Freistellung von diesem Paragraphen.

Als Betreiber von Systemen ist umgekehrt auch der fahrlässige Umgang mit IT-Sicherheit strafbar. Die Datenschutzgrundverordnung formuliert Schutzanforderungen „nach dem Stand der Technik". Was genau darunter fällt, ist streitbar, in der Regel gehören aber dazu:

• die verschlüsselte Verbindung mit einer Webseite,
• die verschlüsselte Ablage personenbezogener Daten.

An Banken und KRITIS-Betreiber werden darüber hinaus eigene Anforderungen und Standards gestellt.