Das WorldWideWeb für Unternehmen und Behörden zu einem Safer-Place zu machen, ist Aufgabe von Berufshackern. Sie überprüfen Websites und Hardwares und weisen die Organisationen auf mögliche Schwachstellen hin.
Das widerspricht grundlegend dem negativen Bild, das gemeinhin von Hackern besteht: "Die Gesellschaft stellt sich jemanden vor, der in ein System eindringt, um etwas Böses anzurichten", sagt Heidelinde Rameder, Berufshackerin bei der IT-Security-Beratung SEC Consult (sie will ihr Foto nicht in Medien sehen, Anm. d. Red.). "Die Community differenziert zwischen Whitehat-Hackern und Blackhat-Hackern." Die angewandten technischen Methoden seien im Wesentlichen dieselben, der große Unterschied aber: Blackhat-Hacker gehen illegal vor. Whitehat-Hacker müssen exakt alle Spielregeln befolgen, sollen Systeme vor Blackhat-Angriffen schützen.
Die Begriffe "Whitehat" und "Blackhat" seien den Westernfilmen entlehnt, in denen die "Bösen" schwarze Hüte tragen und die "Guten" helle.
Auseinandernehmen, Verstehen
Ein anderes Kriterium, das gute von schlechten Hackern unterscheide, seien ihre Vorgehensweisen. Für Professionelle beinhalte Hacken nicht nur das Eindringen in das System, sondern auch sein Auseinandernehmen, sein Verstehen, sagt Rameder. "Das kann Softwaresysteme betreffen, aber auch Hardwares wie beispielsweise Home-Router."
Teil ihres Jobs sei auch das Adaptieren und Umfunktionieren. "Als 'Kinect' von Microsoft herausgekommen ist, hat sich eine Horde von Hackern darauf gestürzt und es zweckentfremdet. Es ist ein völlig neues System entstanden, dessen Genialität sich Microsoft selbst gar nie hätte träumen lassen."
Rameder ist schließlich auch dafür zuständig, Tools zu entwickeln, die Gefahren automatisch erkennen und beseitigen.
Allen, die sich für Hacking interessieren, rät sie, ihr Hobby schnell zu professionalisieren, "nicht einfach zu Hause zu sitzen und herum zu probieren".
Ausbildung zum Hacker
An der Technischen Uni in Wien gibt es einzelne Seminare zum Thema Internet-Security und Hardware-Hacking, die stark auf "learning by doing" setzen. Die TU Graz, die Fachhochschulen Hagenberg, St. Pölten und die FH Wien bieten Speziallehrgänge für IT-Security an. Die Fachhochschule Technikum Wien bietet einen Master für Informationsmanagement und Computersicherheit an. Am Studienplan zu finden: Lehrveranstaltungen zu Whitehat-Hacking, der Erkennung und Prävention von Cyberangriffen, Web Application Security und Offensive Security.
Dort lernen Nachwuchshacker ihre Methoden, beispielsweise das "Blackbox-Hacken". Dabei muss der Hacker, ohne vorher über die Funktionsweise des Systems Bescheid zu wissen, versuchen, ausreichend Daten und Infos zu sammeln, um darin einzudringen. Beim "Whitebox-Hacken" erhält er nützliche Informationen über das System, wie beispielsweise den Programmiercode, vom Auftraggeber vorab. "Das erleichtert natürlich die Sache. Ist aber auch weniger realistisch."
Ihr Handwerk können die Whitehat-Hacker auch in speziellen Schulungen erlernen. SEC Consult bietet etwa eine eigene Academy an, wo in Form eines interaktiven Crashkurses praktische Skills vermittelt werden.
Aber nicht nur eine entsprechende Ausbildung, vor allem Eigeninitiative sei wichtig, sagt Rameder. "In Whitepapers zu neuen Security-Schwachstellen nachlesen, sich mit anderen Hackern treffen." Letzteres ist beispielsweise auf der Defcon in Las Vegas, der größten Hacker Convention weltweit, möglich. Oder bei den Kongressen der Hackervereinigung CCC (Chaos Computer Club) in Hamburg.
Programmiersprachen und Englisch
Wichtige Kompetenzen, die Berufshacker mitbringen müssen, sind: Gute Englischkenntnisse und ein Verständnis für Webtechnologien. Hacker sollten technische Informationen Nicht-Technikern vermitteln können, denn mitunter sind sie auch beim Kunden vor Ort. Ebenfalls wichtig für die Arbeit sind Kenntnisse einiger Programmiersprachen (Java, PHP oder Python).
Wer sich nun eigenständig aus- und weitergebildet hat, für den sind die Jobmöglichkeiten als Hacker, sowohl im privaten als auch im öffentlichen Sektor, zahlreich: "Das Berufsbild ist ein sehr breites", sagt Markus Robin, General Manager bei SEC Consult. "Sicherheit liegt wie ein unsichtbarer Film über der gesamten IT, geht über alle Organisationseinheiten und Prozesse."
Whitehat-Hacker können gesamt- oder teilverantwortlich für die IT-Sicherheit in Unternehmen sein und dort alle IT-Sicherheitsmaßnahmen koordinieren. Es gibt auch den Beruf des IT-Sicherheitsadministrators. Im Service tragen Whitehat-Hacker dazu bei, die Sicherheit neuer Produkte zu überprüfen. Robin: "Es gibt immer noch viel zu wenige Softwareentwickler, die auf sichere Softwareentwicklung fokussieren." Und schließlich gäbe es auch den Beruf des Informationssicherheitsmanagers, der mit der Geschäftsführung zusammenarbeitet.
Konkrete Gehaltsangaben will Robin nicht machen, sagt aber: "Hacker werden gut bezahlt. Ihr Gehalt liegt sicher im oberen Drittel der IT-Gehälter."
Hackerberuf - Männerberuf
An Frauen fehlt es in der heimischen Hackerbranche. "Die Damen in der österreichischen Community kann man an einer Hand abzählen", sagt Rameder, die findet, dass Mädchen stärker an den Beruf herangeführt werden müssen: "Ich bin davon überzeugt, dass technisches Talent und technisches Interesse nicht in den Geschlechtschromosomen verankert sind." Für wichtig hält sie die Förderung bereits in der Schule – und später an der Uni. "Mentorenprogramme wären gut." Weiblichen Nachwuchs sollen bereits entsprechende Challenges, wie die "Cyber Security Challenge", bringen. Dort werden junge Talente rekrutiert - und Schülerinnen und Studentinnen durch gesonderte Auswertungen zu fördern versucht.
Unternehmen müssten schließlich, um Frauen anzulocken, familienfreundliche Arbeitsmodelle anbieten. Vorbilder würden Frauen die Unsicherheit und die Vorstellung nehmen, dass alle warten, bis "sie auf die Nase fallen", sagt Rameder, die selbst bei SEC Consult nie das Gefühl hatte, dass ihr aufgrund ihrer Geschlechtszugehörigkeit weniger zugetraut wurde. Der mögliche Grund, laut Rameder: Die Whitehacker-Community würde, im Gegensatz beispielsweise zur Gaming-Community (die als sexistisch gelte), mit einem ausgeprägten ethischen Anspruch an ihre Sache herangehen. "Wir setzen auf Inklusion, Teilhabe und Privatsphäre." (Lisa Breit, 4.6.2015)