Ein Blick in die Welt des Hacking: Warum nicht jede*r Hacker*in kriminell ist.

In der öffentlichen Wahrnehmung sind «Hacking» und verwandte Begriffe negativ behaftet. Im Zusammenhang mit Computern assoziiert die Öffentlichkeit Hacking häufig mit dem unbefugten Eindringen in Computernetzwerke, persönliche Konten oder dem Missbrauch digitaler Geräte mit dem Ziel, einen finanziellen Gewinn erzielen oder Schaden verursachen. Dabei existiert keine Rechtsvorschrift, in der der Begriff "Hacking" erwähnt wird und Hacker*innen handeln nicht unbedingt in böser Absicht - das Gegenteil ist oft eher der Fall.

Was macht also eine*n Hacker*in aus? Er oder sie ist ein*e Tüftler*in, die oder der technische Fähigkeiten und Kenntnisse einsetzt, um ein bestimmtes Problem oder eine Herausforderung zu lösen. Sie sind geschickt darin, Hardware oder Software so zu verändern, dass sie auf eine Weise zum Einsatz kommen, die nicht der ursprünglichen Absicht der Entwickler*innen entspricht.

Vielfältige Hacker-Welt

Beim Hacking geht es in erster Linie um grenzenlose Kreativität, furchtlose Innovation und den Mut, von den üblichen Denkweisen abzuweichen. Der Chaos Computer Club, die grösste Hackervereinigung in Europa, definiert Hacking als "kreative, praktische und respektlose Nutzung von Technologie". Leider geben sich nicht alle Hacker*innen mit dem Hacking um des Hackens willen zufrieden. Je nach der Legalität ihrer Aktivitäten lassen sie sich in drei grosse Gruppen einteilen.

Black Hat Hacker

Der «Black Hat Hacker» ist aus den Medien bekannt: Der Cyberkriminelle, der geschickt in ein Computersystem einbricht, um Daten auszuleiten oder zu verschlüsseln und weitere illegale Handlungen auszuführen. Entdeckt ein Black Hat Hacker eine Schwachstelle, missbraucht er diese für seine kriminellen Zwecke. Die Person entwickelt für ihre Arbeit Schadsoftware wie etwa Exploits. Dabei handelt es sich um Software, die eine Schwachstelle ausnutzt, um in ein Computersystem einzudringen und Malware zu verbreiten. Diese Entdeckungen verkaufen kriminelle Hacker auch im Dark Web.

White Hat Hacker und ethische Hacker

Im Gegensatz zu Black Hat Hackern führen «White Hat Hacker» ihre Aktivitäten öffentlich durch. Unternehmen beauftragen White Hat Hacker oft damit, ihre Systeme und Software gezielt anzugreifen, um Schwachstellen oder Sicherheitsprobleme zu entdecken. Der Fachbegriff dafür lautet Penetrationstest, mit dem Unternehmen ihre Sicherheit verbessern können. Daher spricht man im Zusammenhang von White Hat Hacker von ethischem Hacking. Diese Hacker melden auch Schwachstellen in Anwendungen an den Hersteller, sodass sie diese kritische Sicherheitslücken umgehend schliessen können.

Grey Hat Hacker

«Grey Hat Hacker» bewegen sich in einer Grauzone. Im Gegensatz zu White Hat Hackern sind sie keine Altruisten, aber sie sind auch nicht ausschliesslich mit kriminellen Aktivitäten beschäftigt. Grey Hat Hacker hacken in der Regel zuerst und bitten erst dann um Genehmigung. Ethische Hacker hingegen fragen vorher um Erlaubnis oder erhalten einen Auftrag. Viele Grey Hat Hacker scannen zunächst die Systeme oder die Software eines Unternehmens, um Sicherheitsproblemen zu finden. Erst wenn sie eines entdeckt haben, bieten sie eine Lösung gegen eine Gebühr an. Andere Grey Hat Hacker machen Sicherheitslücken öffentlich, sodass das betreffende Unternehmen durch öffentlichen Druck gezwungen wird, das Problem zu beheben.

Obwohl die Aktivitäten von Grey Hat Hackern zu positiven Ergebnissen führen können, ist das Hacken ohne Erlaubnis immer noch illegal. In einigen Fällen haben Hacker*in eine Schwachstelle öffentlich gemacht, die anschliessend behoben wurde, nur um dann von der betreffenden Organisation verklagt zu werden. Dieses Vorgehen ist aber unklug, denn wenn ein Unternehmen erst einmal dafür bekannt ist, dass es rechtliche Schritte gegen Forscher einleitet, die eine Schwachstelle aufgedeckt haben, wird es in Zukunft keine derartigen Meldungen mehr erhalten. Stattdessen wenden sich die Forscher*innen direkt an die Behörden und stellen ein Unternehmen bloss, um grobe Fahrlässigkeit und Verletzungen der Privatsphäre aufzudecken.

Cyberkriminalität: das organisierte Verbrechen

Hacking hat sich von einem jugendlichen Unfug zu einem milliardenschweren Wachstumsmarkt entwickelt – mit kriminellen Strukturen und professionellen Hacking-Tools, die im Darknet zum Verkauf als Malware-as-a-Service stehen. Nach Schätzungen des Bundesamtes für Sicherheit in der Informationstechnik haben 2021 Cyberkriminelle weltweit 509 Milliarden Euro Profit erwirtschaftet. Zum Vergleich: Das Bruttoinlandsprodukt Belgiens lag im gleichen Jahr bei 506 Mrd. Euro. Neben dem rein finanziellen Interesse gibt es noch weitere Gründe, warum kriminelle Hacker*innen Computer und Netzwerke ins Visier nehmen:

• Manche Hacker*innen schädigen den Ruf von Personen oder Unternehmen, indem sie ihre Spuren auf Websites hinterlassen. Diese Methode ist auch als "Defacement" bekannt.
• Wirtschaftsspionage: Hacker*innen versuchen im Auftrag eines Unternehmens, Informationen über die Produkte und Dienstleistungen eines Konkurrenten zu stehlen, um sich einen geschäftlichen Vorteil zu verschaffen.
• Auch Nationen betreiben staatlich gefördertes Hacking, um geschäftliche und/oder öffentliche Informationen auszuleiten. Mit dem Ziel, die Infrastruktur zu zerstören oder die Gesellschaft zu destabilisieren.
• Und dann gibt es noch die Hacker*innen, die politisch oder sozial motiviert sind. Sie versuchen in der Regel, eine Sache voranzubringen, sind aber nicht auf einen finanziellen Vorteil aus. Diese "Hacktivisten" sind bestrebt, die öffentliche Aufmerksamkeit auf ein Problem zu lenken, indem sie ein sehr ungünstiges Licht auf das Ziel werfen - in der Regel, indem sie sensible Informationen öffentlich machen. Die bekanntesten Hacktivisten-Gruppen sind Anonymous oder WikiLeaks.

Hacking: Legal oder illegal?

Grundsätzlich ist also gegen Hacking nichts einzuwenden. Solange Hacker*innen um Erlaubnis bitten. Sonst ist schnell die schmale Grenze zwischen gesetzmässigem Hobby und illegaler Cyberkriminalität überschritten. Was White Hat Hacker tun, ist legal. Schliesslich agieren sie im Auftrag der Geschäftsführung oder des IT-Verantwortlichen, um das Level der IT-Sicherheit zu prüfen und zu verbessern. Wenn jedoch Grey Hat Hacker mit ihren Erkenntnissen an die Öffentlichkeit gehen, kann das rechtliche Konsequenzen nach sich ziehen, auch wenn sie vielleicht gute Absichten hatten.

Natürlich sind alle Aktivitäten von Black Hat Hackern illegal. Wer Opfer eines Black Hat Hackers geworden ist, muss diese Attacke den zuständigen Behörden melden. Dies ist ein wichtiger Beitrag, um den entstandenen Schaden zu begrenzen, den oder die Hacker*in anzuzeigen und auch weitere Opfer in Zukunft zu verhindern.