So bietet die ICS ab sofort jedem Interessenten die Möglichkeit, einen speziellen Kurs in sogenanntem «ethischen Hacking» zu besuchen. Ohne jemals das eigene Haus verlassen zu müssen, werden die Teilnehmer dabei grossteils über das Internet aber auch über die Post mit den Kenntnissen und Fähigkeiten vertraut gemacht, die aus ihnen professionelle Hacker werden lassen.

Um zu verhindern, dass das auf diese Weise erworbene Wissen für schädliche Zwecke eingesetzt wird, wollen die Anbieter des 1800 Pfund (rund 3000 Franken) teuren und 300 Lehrstunden umfassenden Kurses deren Teilnehmer vor Beginn besonders gründlich überprüfen. Anwärter müssen zudem ein im Handelsregister eingetragenes Unternehmen vorweisen, das als ihr Unterstützer fungiert und für sie bürgt.

«White Hats»

«Mit dem Begriff 'ethisches Hacken' wird in der Regel eine Hacker-Tätigkeit verstanden, die innerhalb der geltenden Gesetze stattfindet», erklärt Antivirenspezialist Martin Penzes vom Security-Unternehmen ESET Gespräch. Hacker, die ihr Wissen und ihre Fertigkeiten ausschliesslich innerhalb dieser Grenzen einsetzen würden, werden als sogenannte «White-Hats» bezeichnet.

«Im Unterschied zum bösen Black-Hat-Hacker helfen White-Hats beispielsweise Unternehmen dabei, Sicherheitslücken innerhalb der eigenen IT-Infrastruktur ausfindig zu machen», betont Penzes. Dies sei eine äusserst wichtige Aufgabe, die vor allem für solche Betriebe, die häufig mit heiklen Daten zu tun haben, sehr empfehlenswert sei. «Es liegen hierfür zwar noch keine konkreten Zahlen vor, ich bin mir aber sicher, dass die Nachfrage nach White-Hats auf Unternehmensseite gegenwärtig sehr hoch ist», merkt Penzes an.

Vorteil für Unternehmen

Prinzipiell sei es für Unternehmen sicherlich ein Vorteil, wenn ein «Dritter von aussen» die eigene IT-Infrastruktur auf Herz und Nieren überprüfe. «Bevor ein professioneller Hacker sich aber an die Überprüfung der IT-Systeme machen kann, muss er zunächst mit seinen Auftraggebern klare Bedingungen für seine Tätigkeit aushandeln.

Ein White-Hat, der im Auftrag eines bestimmten Unternehmens nach Sicherheitslücken im System sucht, braucht klare Vorgaben, wie weit er dabei gehen darf», schildert Penzes. Dies müsse bereits vor Beginn seiner Arbeit schwarz auf weiss vertraglich festgelegt werden. «Der Auftraggeber muss zudem genau spezifizieren, welche Bereiche überprüft werden sollen», ergänzt der Security-Experte.

Trick mit USB-Stick

Die Tätigkeiten eines White-Hats seien dabei nicht ausschliesslich technischer Natur, sondern würden auch verschiedene Tricks aus dem Bereich des Social Engineering umfassen. «Ein Hacker, der beispielsweise im Auftrag einer Bank arbeitet, könnte unter Umständen versuchen, einen Angestellten zu überreden, ihn in den Serverraum zu lassen, um auf diese Weise dem System des Unternehmens Schaden zuzufügen», erläutert Penzer.

Ein beliebter Trick sei zudem das unbemerkte Fallenlassen eines mit Schadsoftware verseuchten USB-Sticks in den Büroräumen des zu überprüfenden Unternehmens. «Im Normalfall wird dieser Stick dann von Angestellten aufgehoben und angesteckt, wodurch die Schadsoftware Zugriff auf das System erhält. Um dies zu verhindern, sind entsprechende Mitarbeiterschulungen notwendig», so Penzes abschliessend.

(ht/pte)