Die „guten Jungs“ greifen an Was sind White Hat Haker und was tun sie?

Anbieter zum Thema

d.velop AG

Kendox AG

xSuite Group GmbH

Viele Firmen sind sich nicht im Klaren, wo die eigenen Schwächen bei der Sicherheit liegen. Systeme und IT-Umgebungen einer umfassenden Untersuchung zu unterziehen ist sinnvoll. Im Interview erklärt Tobias Wicke, IT-Security Analyst bei der Firma NSide, wie „White Hat Hacker“ Sicherheitslücken aufdecken.

White Hat Hacker warnt: Die Bedrohungslage ist ernst 

Viele Firmen werden Opfer von Datenklau oder Ransomware. Cyberkriminelle sind nicht wählerisch. Die Vorstellung, dass sie sich nur auf bestimmte Bereiche oder Art von Organisationen beschränken, ist veraltet und falsch. Unternehmen aller Branchen werden von Angriffen betroffen. „White Hat Hacker“ sind ein wichtiges Instrument zur Prävention geworden. Denn sie verraten, wie echte Angreifer sich in Unternehmensnetzwerken ausbreiten und maximalen Schaden anrichten können.

Sogenannte ethische Hacker, also die „guten Jungs“, nutzen im Gegensatz zu böswilligen Akteuren das eigene Wissen nicht, um Profit daraus zu schlagen. Sondern sie entdecken Sicherheitslücken, damit der Besitzer des Systems die Chance hat, das Problem rechtzeitig zu beheben.

White Hat Hacker: wer ist das und was tun sie?

Digital Business Cloud: Sie sind „White Hat Hacker“, wer beauftragt Sie üblicherweise und warum?

Tobias Wicke: Das ist vollkommen unterschiedlich. Da ist vom klassischen Mittelständler bis hin zum DAX-Konzern oder Großkunde aus der Finanzbranche alles dabei. Und genau das ist das, was den Job als „White Hat Hacker“ – auch wenn ich den Begriff nicht wirklich mag – so spannend macht. Unsere Kunden kommen zu uns, um sich – salopp gesagt – hacken zu lassen. Zum Abschluss schreiben wir dann einen sehr ausführlichen Bericht mit allen Einzelheiten, wie wir vorgegangen sind. Dieser Bericht kann benutzt werden, um die von uns identifizierten Sicherheitsprobleme zu beheben.

DBC: Plaudern wir aus dem Nähkästchen. Wie breiten sich echte Angreifer in Unternehmensnetzwerken aus? Und warum gelingt es ihnen maximalen Schaden anzurichten?

TW: Das ist ein Thema, zu dem ich ganze Bücher füllen könnte. Um es kurz zu fassen: in den meisten Unternehmen ist die IT über die letzten ­10-20 Jahre stetig gewachsen. Dass sich in diesem Zeitrahmen Fehler und Fehlkonfigurationen einschleichen. Diese können meistens mehrfach ausgenutzt werden, bis man sein Ziel erreicht hat.

E-Mail-Sicherheit als wichtiger Faktor

DBC: Wir alle wollen und sollen digitaler werden. Aber was sollte beim Schutz von Daten in der Cloud generell beachtet werden?

TW: Cloud-Systeme sind prinzipiell aus dem Internet erreichbar, das liegt einfach in der Natur der Sache. Somit passiert es schneller, dass zum Beispiel etwas für alle lesbar gemacht wird, obwohl es nicht für alle lesbar sein sollte. Das ist auf einem Intranet Server sehr ärgerlich, in der Cloud aber unter anderem verheerend.

DBC: E-Mails sind oftmals das Mittel der Wahl für Cyberkriminelle, um Malware zu verbreiten. Wie sieht es mit der Sicherheit von E-Mails aus? Und wie kann diese verbessert werden?

TW: Hier ist es der Job der IT, potenziell schädliche Mails gar nicht erst zum Endnutzer durchdringen zu lassen. So sollten strikte Filter eingeführt werden, welche Dateiendungen zugestellt werden dürfen, Allow- statt Blocklists wirken hier deutlich besser.

DBC: Apropos E-Mail, Phishing-Nachrichten werden meist per E-Mail versandt und fordern den Empfänger auf, auf eine Fake-Webseite zu gehen und Zugangsdaten preiszugeben. Wie können Firmen sich (bzw. Ihre Mitarbeiter) davor schützen? Stichwort Social Engineering.

TW: Meine persönliche Meinung ist, dass die meisten Nutzer erst bemerken, wie schnell so etwas passiert, wenn sie selbst betroffen sind. Im Rahmen meines Berufs habe ich schon die ein oder andere Phishing-Kampagne mit anschließendem Awareness-Workshop durchgeführt. Bei jedem dieser Workshops konnte man anhand der Gesichter erkennen, wer auf unser Phishing hereingefallen ist und sein Passwort eingegeben hat. Wenn das nächste Mal eine echte Phishing-Mail zugestellt wird, denken diese Personen hoffentlich kurz an mich und überlegen, ob es richtig ist, die Zugangsdaten an dieser Stelle einzugeben.

Diese Gefahren drohen und so sollte man dagegen vorgehen

DBC: Ransomware ist auf dem Vormarsch. Welche Gefahren drohen durch Ransomware und wie kann man sich davor schützen?

TW: Der absolute Worst-Case ist natürlich ein kompletter Betriebsausfall von mehreren Tagen bis teilweise Wochen. Dies hat starke finanzielle Auswirkungen auf das betroffene Unternehmen und kann im schlimmsten Fall zur Insolvenz führen. Wichtig ist hierbei, dass man es den Angreifern von Anfang an so schwer wie möglich macht. Wenn dann ein Security-Konzept vorliegt, sollte man dieses natürlich auf Herz und Nieren prüfen lassen. Einer unserer Kunden hat das sehr schön formuliert: „Vertrauen ist gut, Kontrolle ist besser. Eine interne Razzia am besten“.

DBC: Sollten Unternehmen in Sachen Sicherheit in Eigenregie handeln oder lieber auf die Dienste von Managed Service Providern (MSPs) vertrauen?

TW: Das kann man so pauschal nicht beantworten. Beide Ansätze haben Vor- und Nachteile, die jedes Unternehmen für sich selbst abwiegen muss. Vor allem im Mittelstand kann es jedoch von Vorteil sein, MSPs zu nutzen, anstatt selber in langen Prozessen das Knowhow aufzubauen.

White Hat Hacker verrät Best Practice Beispiele

DBC: Sie beraten bei der Konzeption von Sicherheitslösungen bzw. -Strategien. Können Sie uns ein paar Best Practices geben, wie Unternehmen sich effektiv schützen können?

TW: Auch zu dieser Frage könnte ich wieder Bücher füllen. Die zwei wichtigsten Sachen, die uns regelmäßig begegnen sind allerdings:

• 1. Defence in Depth: Jede Schutzmaßnahme ist überwindbar. Ich kann allerdings so viele hintereinander einsetzen, dass der Aufwand des Angreifers den Wert der erbeuteten Daten übersteigen würde.

• 2. Privilege of least Principle: Wichtig ist, dass jeder Nutzer, jeder Dienst oder jede Anwendung nur die minimalen Berechtigungen bekommt, die für die Durchführung der Aufgabe benötigt werden. Somit hat eine mögliche Kompromittierung dieser Ressource minimale Auswirkungen im gesamten Unternehmenskontext.