· 

So so, du willst also HACKER werden?

Einführung

Wie wird man eigentlich Hacker ... also einer von der guten Sorte, sprich denjenigen, die ihre Fähigkeiten für "das Gute" (was auch immer das sein mag) einsetzen? Kurz gesagt: nicht über Nacht und nur mit viel Übung, Kreativität sowie Austausch mit anderen aus der Szene. Man wird außerdem niemals wirklich ausgelernt haben und sein Wissen ständig erneuern müssen, da immer wieder neue Schwachstellen bekannt werden. Besonders dann, wenn man eine neue Anwendung programmiert oder eine Webseite aufsetzt, sind noch viele Fehler vorhanden, die man auch als erfahrener nicht immer auf dem Schirm hat. Zwar kann man sich hunderte Guidelines zum "Secure-Coding" durchlesen, doch am Ende reicht oft z. B. nur eine fehlende Input-Prüfung aus, um potentiell ein ganzes System zu gefährden. 

Viele stellen sich Hacking fälschlicherweise wie in zahlreichen Filmen vor, in denen der Protagonist nur wenige Sekunden Zeit hat, um sich in ein System reinzuhacken, was ihm dann auch auf mysteriöse Art und Weise gelingt. Diese Darstellung ist oftmals aber völlig überzogen, da man (verständlicherweise) versucht, den Zuschauer zu unterhalten.

Ich möchte nun mit den Klischees ein wenig aufräumen und zeigen, auf was man sich einlässt, wenn man sich dazu entscheidet, ein "Hacker" zu werden. Ich möchte an dieser Stelle noch einmal betonen, dass mit "Hacker" hier ein ethischer Hacker gemeint ist. Ich möchte dich hier also nicht dazu motivieren, illegal in Systeme einzudringen, sondern dazu, die Cybersicherheit zu stärken, d. h. konkret Unternehmen und Behörden vor Angriffen aus dem Neuland zu schützen! 


Was ist überhaupt ein Hacker?

Zunächst einmal ist aber die Frage zu klären, was man überhaupt unter einem Hacker versteht. Hierbei gibt es nämlich völlig unterschiedliche Definitionen, die ebenfalls nur selten mit dem, was einem in den Medien entgegenschlägt, d'accord geht. Der Security-Insider definiert Hacker wie folgt: 

"Hacker sind technisch versierte Personen im Hard- und Softwareumfeld. Sie finden Schwachstellen von Systemen, um auf sie aufmerksam zu machen oder sie für bestimmte Zwecke wie unbefugtes Eindringen oder zur Veränderung von Funktionen zu nutzen." Quelle: Security-Insider

Das ist bereits eine durchaus passende Definition. Für mich persönlich ist ein Hacker jedoch jemand, der kreativ mit Hard- und Software umgeht und sie für vom Hersteller nicht vorgesehene Dinge zweckentfremdet. Auch Personen, die eigenständig Life-Hacks entwickeln (wenn sie, was in seltenen Fällen zutrifft, gut gemacht sind), können nach dieser Definition als Hacker bezeichnet werden.

Du wirst diesen Artikel aber vermutlich nicht angeklickt haben, um zu erfahren, wie man ein Life-Hacker wird, sondern wie man in IT-Systeme eindringt bzw. andere am Eindringen hindert. Nun, auch auf diese Frage wirst du hier keine Schritt-für-Schritt-Anleitung präsentiert bekommen. Warum? Weil es keinen klaren Weg und keine explizite Ausbildung gibt, die dich zum Hacker machen. Hacker sind oft Quereinsteiger, die aus unterschiedlichen Bereichen kommen und sich mit dem Thema zunächst privat (bspw. in Hack the Box Challenges) beschäftigt haben. Du erhältst aber zahlreiche Tipps, wie du das nötige Wissen aufbauen kannst und welches Wissen du überhaupt benötigst. Aufgrund meiner langjährigen Erfahrung in dem Bereich werde ich dir einen 5-Punkte-Plan vorstellen, der dich zum Ziel führt. 


Arten von Hackern

Bevor ich dir den langen und steinigen Weg zum Hacker beschreibe, musst du zuerst wissen, welche Arten von Hackern es gibt. Abhängig von der Motivation des Hackers kann man nämlich unterschiedliche Hacker-Typen definieren.

1. White-Hat Hacker

White-Hat Hacker firmieren auch unter der Bezeichnung Ethical Hacker. Hierbei handelt es sich um "die Guten", die innerhalb des gesetzlichen Rahmens versuchen, Schwachstellen in Computernetzwerken oder Rechnern von Unternehmen zu finden. Dies macht die Berufsgruppe der sogenannten Penetrationstester (kurz Pentester). 

2. Grey-Hat Hacker

Grey-Hat Hacker bewegen innerhalb eines gesetzlichen Graubereichs. Ethische Fragen, die das Hacking betreffen, legen sie zu ihren Gunsten aus und rechtfertigen damit ihr Handeln. Bspw. veröffentlichen sie IT-Schwachstellen in Unternehmen, um sie damit zum Handeln zu bewegen. Betroffene werden dabei also nicht um Erlaubnis gefragt. Auch die Motivation kann eher materiell statt ethisch/ideell begründet sein. Allerdings verbirgt sich im Handeln von Grey-Hat Hackern oft eine in Teilen vertretbare positive Motivationsgrundlage wie z. B. "dass Unternehmen XY so nachlässig mit seinen Daten umgeht, kann einfach nicht geduldet werden". Dennoch sollte man in solchen Fällen lieber den offiziellen Weg des Rechtsstaats einschlagen, statt sich mit unüberlegten Aktionen selbst angreifbar zu machen.

3. Black-Hat Hacker

Black-Hat Hacker sind diejenigen, die in den Nachrichten genannt werden, wenn es um kriminelle Aktivitäten im Internet geht. Sie missbrauchen ihre Kenntnisse, um Systeme mit Malware zu infizieren, um dadurch z. B. illegal an Geld zu kommen. Auch Benutzernamen, Passwörter, intime Fotos (zwecks Erpressung), Geschäftsgeheimnisse und Kreditkarteninformationen zählen zu ihrem Diebesgut. Sie nutzen nicht nur technische, sondern vor allem auch menschliche Schwachstellen in IT-Systemen aus. Social Engineering nennt man das.

4. Script-Kiddies

Script-Kiddies (oder auch "Skids") sind "Hacker", die vorrangig auf vorgefertigte Skripts und Tools zurückgreifen, um Ziele zu attackieren. Sie besitzen oft kaum bis keine Fachkenntnisse und nutzen Hacking zur Selbstdarstellung oder um mutwillig Schaden anzurichten. Dabei vergessen sie häufig, dass auch unprofessionelle Hacking-Angriffe (zurecht) strafrechtlich geahndet werden.

5. Hacktivisten

Hacktivisten sind politisch motivierte Hacker. Oft wollen sie mit ihrem Handeln dem öffentlichen Wohl dienen bzw. Meinungsfreiheit fördern und fordern. Allerdings verwenden sie dazu oft illegale Methoden. Nicht selten werden dabei auch Unbeteiligte in Mitleidenschaft gezogen. Die wohl bekannteste Hacktivisten-Gruppe ist Anonymous.

6. Suicide Hacker

Unter den Hacktivisten gibt es einen kleinen Anteil an sogenannten "Suicide Hackern". Das sind Hacker, denen die rechtlichen Konsequenzen, die auf sie persönlich zukommen können, völlig egal sind. Dieser Begriff stammt aus dem militärischen Umfeld und ist quasi das digitale Analogen zu einem Selbstmord-Attentäter.


Studium oder Ausbildung?

Jetzt da du weißt, welche Arten von Hackern es gibt und dass du dich zur Gruppe der White-Hat-Hacker zählst, musst du Wissen im Bereich der modernen Informationstechnik aufbauen. Wie machst du das? Nun, ein Studium oder eine Ausbildung im Informatik-Umfeld ist ein guter Startpunkt. Ich sage hier bewusst Studium oder Ausbildung, da in beiden Fällen viel Wissen aufgebaut wird. Vor allem solltest du ein breites Wissen aufbauen, d. h. sich nur auf einen speziellen Teil zu fokussieren, wird langfristig mit ziemlicher Sicherheit fehlschlagen, da IT-Systeme für gewöhnlich sehr heterogen sind, d. h. aus sehr vielen unterschiedlichen Hard- und Softwarekomponenten zusammengesetzt sind.

Zudem ist es wichtig, dass du ein Leben lang lernst. Gerade in Zeiten des schnellen Technologienwandels ist es wichtig, dass du immer auf dem neuesten Stand bleibst. Schwachstellen, die es noch vor einem Jahr gab, sind mittlerweile möglicherweise bereits geschlossen, bieten aber durch die bereits angesprochene Komplexität neue Einfallstore. 

Außerdem solltest du der englischen Sprache mächtig sein. Programmiersprachen selbst und die Kommunikation im IT-Umfeld erfolgt auf Englisch! Deswegen solltest du in der Lage sein, Meldungen über IT-Vorfälle und Angriffstechniken auch aus ausländischen Medien zu verstehen.

Meiner Ansicht nach solltest du vor allem in vier großen Bereichen so viel Wissen wie möglich aufbauen, nämlich

  • Betriebssysteme,
  • Netzwerktechnik, 
  • Technischer Aufbau von Rechnern und 
  • Programmierung.

Im Bereich Betriebssysteme solltest du dich nicht nur auf Windows, Mac OS oder Linux beschränken, sondern auch über theoretische Konzepte und Implementierungen von Betriebssystemen Bescheid wissen. Eine gute Lernmethode ist es, sich den Source-Code von Linux zu besorgen (der ist quelloffen) und daran die Konzepte nachzuvollziehen.

Netzwerktechnik ist vor allem deshalb wichtig, weil viele Angriffe remote stattfinden und das Internet nichts anderes als ein gigantisches Netzwerk ist. Wenn du weißt, wie die einzelnen Systeme miteinander kommunizieren, kannst du ggf. diese Kommunikation abhören, stören, faken.

Für Seitenkanalangriffe werden außerdem physikalische Kenntnisse und Wissen über den Aufbau von Rechnern benötigt. Ein solcher Seitenkanalangriff ist z. B. die Erfassung und Analyse von Schall-, Wärme- oder elektromagnetischer Abstrahlung. Doch auch zum Festigen des Verständnisses von hardwarenaher Programmierung kann das Wissen zur technischen Zusammensetzung von IT-Systemen hilfreich sein.

Außerdem solltest du mindestens eine objektorientierte und eine Skript-Programmiersprache beherrschen. Vor allem die Programmier- und Darstellungssprachen des Webs (HTML, CSS, JavaScript, PHP, SQL, ...) sollten dir nicht fremd sein. Ein ethischer Hacker muss hier ein sehr breit aufgestelltes Wissen besitzen. Wichtig sind vor allem grundlegende Programmierkonzepte und die Fähigkeit, Aufgaben schnell mit einem Skript zu automatisieren. Für mich persönlich haben sich Python und Bash hier als besonders nützlich herausgestellt. Wenn dich der Bereich der Malwareanalyse interessiert, dann sind natürlich sehr gute Programmierkenntnisse in Hochsprachen, aber vor allem auch Assembler vonnöten, weil du in der Regel nicht einfach so an den Source Code einer Malware herankommst und dementsprechend Executables Reverse engineeren musst. Dafür eignet sich vor allem das von der NSA bereitgestellte Tool Ghidra.


Capture The Flag (CTF)

Am besten lernt man das alles an realen Beispielen. Oder Beispielen, die der Realität zumindest sehr nahe kommen. Im Internet gibt es einige Seiten, auf denen man Capture The Flag (kurz CTF) "spielen" kann. Dabei handelt es sich, wie beim klassischen CTF aus dem Sportunterricht, um ein Spiel, bei dem du bestimmte Sicherheitslücken (z. B. auf einem Server) ausnutzen und eine "Flagge" fangen bzw. zur Anzeige bringen musst. Diese steht am Ende eines nicht selten langen Prozesses aus Ausprobieren, Verzweiflung, erneutes Ausprobieren, erneutes Verzweifeln und einem abschließend zielführenden Einfall. Gute CTF-Plattformen, die ich empfehlen kann, sind Hack the Box und Vulnhub.

Im Team lernt man oft besser als alleine und profitiert so von den Erfahrungen anderer. Auf der Cyber Security Challenge Germany kannst du im Team gegen andere antreten und dich verschiedenen Aufgaben aus dem IT-Security-Umfeld stellen.


Zertifikate

Nachdem du nun durch deine Ausbildung oder dein Studium Wissen im Bereich der Informatik sammeln und dich in vielen CTF-Challenges beweisen konntest, geht es jetzt in die nächste Phase: Zertifikate. Natürlich kannst dich jetzt bspw. noch im Rahmen eines Master-Studiums auf den Bereich "Cyber Security" spezialisieren, doch das ist in meinen Augen nicht Immer nötig. Warum? Weil praktische Erfahrung immer mehr an Bedeutung gewinnt (auch bei Personalern). 

Deshalb empfehle ich dir, sobald du dich bereit dazu fühlst und das theoretische Fundament geschaffen wurde, dein Wissen im Rahmen von Zertifikaten unter Beweis zu stellen. Hierfür bietet sich für angehende Penetrationstester vor allem der Offensive Security Certified Professional (kurz OSCP)  an. Dieser entwickelt sich immer mehr zum Industriestandard in diesem Bereich. Diese Zertifizierung wurde von den Kali-Linux-Entwicklern konzipiert und besteht aus einer 48 Stunden langen Abschlussprüfung, bei der man 5 Maschinen penetrieren und über sein Vorgehen einen Abschlussbericht (auf Englisch) schreiben muss. Der Kurs und vor allem die Prüfung bereiten einen sehr gut auf den Beruf des Pentesters vor. Viele Unternehmen fordern, wenn sie eine Firma oder einen Freiberufler für einen Penetration Test engagieren wollen, mittlerweile dieses oder andere Zertifikate ein.

Es gibt neben dem OSCP aber noch weitere Zertifikate, die aber oft keine praktische, sondern nur eine theoretische Prüfung haben. Hierzu zählt bspw. der Certified Ethical Hacker (kurz CEH). Die Abschlussprüfung besteht hier aus 125 Mulitple-Choice Fragen, die innerhalb von 4 Stunden beantwortet werden müssen ... mit Praxis hat das nichts zu tun. Es gibt hier mittlerweile aber auch noch den CEH Practical, bei dem man auch eine praktische Abschlussprüfung absolvieren kann. Diese besteht aus 20 Challenges, die in  6 Stunden gelöst werden müssen. Zum Bestehen muss man insgesamt 12 Challenges erfolgreich lösen. Vom Schwierigkeitsgrad befinden sie sich meinem Empfinden nach auf dem Niveau "easy" bis "medium" auf Hack The Box. Hat man sowohl die praktische, als auch die theoretische Prüfung erfolgreich absolviert, kann man sich CEH Master nennen.


Keine Scheu vor Frameworks!

Du solltest dich übrigens nicht dafür schämen, wenn du vorgefertigte Tools und Frameworks verwendest. Es muss nicht immer alles vom der Pieke auf neu programmiert werden. Beim Bau eines Autos wird auch nicht jedes mal das Rad neu erfunden. Damit du kein Script-Kiddie wirst, solltest du dich allerdings stets damit auseinandersetzen, was du da gerade machst, warum das Tool funktioniert und wie du es für eine bestimmte Situation anpassen kannst. Ich kenne bspw. niemanden, der sich einen eigenen Portscanner schreibt und den dann auch aktiv einsetzt (höchstens, um es einmal selbst gemacht zu haben und dann den Szenenstandard nmap zu verwenden).


Keine Angst vor Mathe!

Vor allem dann, wenn du im Bereich der Kryptologie unterwegs bist, kommst du um Mathematik nicht herum. Um Verschlüsselungen zu knacken oder selbst sichere Verschlüsselungsmethoden zu entwerfen, sind sehr tiefgehende Mathematik-Kenntnisse notwendig (insbesondere im Bereich der Algebra und Zahlentheorie).

Aber auch fernab der Kryptologie schadet es nicht, wenn du Kenntnisse im Bereich der Mathematik hast oder zumindest mathematisch Denken kannst. Dazu zählt vor allem auch die Fähigkeit, sich lange auf ein bestimmtes Problem konzentrieren und auch nach vielen Rückschlägen immer noch durchhalten zu können. Kein Hack wird beim ersten Versuch reibungsfrei gelingen.


Soziale Kompetenz

Der Mensch ist bekanntlich die größte Schwachstelle in einem IT-System. Das ist kein leichtfertig daher gesagter Kalenderspruch, sondern gelebte Realität. Deshalb solltest du gute soziale Fähigkeiten und tiefe Kenntnisse der menschlichen Psychologie besitzen, um im Rahmen offizieller Penetrationstests an dem Informationssystem vorbei an Benutzerdaten, Passwörter und ähnliches zu kommen. Dazu verschicken Hacker z. B. sog. Phishing-Mails mit Links, die ggf. einen externen Zugang ins interne Netzwerk ermöglichen. Daneben gibt es noch weitere Angriffsformen wie Dumpster Diving, Piggybacking oder Shoulder Surfing. Was man unter diesen und weiteren Social Engineering Angriffen versteht, erfährst du in diesem Video:

 


Der 5-Punkte-Plan zum ethischen Hacker

Alles, was wir in diesem Video bisher besprochen haben, können wir in einem 5-Punkte-Plan zusammenfassen:

  1. Interesse entwickeln
    Im ersten Schritt musst du natürlich Interesse für die Thematik entwickeln. Informiere dich über YouTube oder andere Plattformen darüber, was es bedeutet und braucht, um ein Hacker zu werden. Herzlichen Glückwunsch: Diesen Schritt hast du mit dem Schauen dieses Videos bereits getan.
  2. Erste Erfahrungen sammeln
    Sammle nun ein bisschen praktische Erfahrung und werde mit der Realität konfrontiert: Im Hacking-Bereich wirst du vor allem mit der Konsole arbeiten ... viel Klickibunti gibt es da nicht. Schau dir an, ob du damit zurechtkommst und dir die Thematik grundsätzlich Spaß macht. In diesem Schritt kannst du auch schonmal ein bisschen auf "Hack The Box" und anderen Plattformen herumspielen.  
  3. Ausbildung oder Studium
    Jetzt, nachdem du bereits erste Erfahrungen im "Hacking" gesammelt hast, gilt es, in einer Ausbildung oder einem Studium so viel wie möglich über Betriebssysteme, Netzwerktechnik, Rechnerarchitekturen und Programmierung zu lernen. Als Ausbildungen bietet sich bspw. der Fachinformatiker für Anwendungsentwicklung oder Systemintegration an. Beim Studium würde ich ganz klassisch ein Studium der Informatik, Cyber Security oder der Wirtschaftsinformatik empfehlen. Ein Quereinstieg ist aber auch über Mathematik, Physik usw. möglich.  
  4. Zertifikate
    Nachdem du dein Studium oder deine Ausbildung abgeschlossen hast, solltest du dich an die Zertifikate ranmachen, um deine theoretisch erworbenen Kenntnisse/Fähigkeiten auch praktisch nachzuweisen. Meine Empfehlung ist hier ganz klar der OSCP.
  5. Weiterlernen
    Abschließend lässt sich nur noch der alt bekannte Spruch "Man lernt nie aus" zitieren. Das gilt vor allem im Hacking-Bereich. Bleib immer am Ball und bilde dich ständig weiter. So schnell, wie sich die Technik weiterentwickelt, müssen auch die guten Hacker hinterher sein, um die neuen technologischen Errungenschaften vor den Bösen zu verteidigen.

Fazit

Kommen wir abschließend zu einem Fazit: Der Weg zum Hacker ist alles andere als leicht. Im Gegenteil:  Du wirst viele Rückschläge erleben und immer wieder an den Rand deiner Kenntnisse stoßen. Aber gerade das macht den Reiz an diesem Gebiet aus, da du ständig etwas Neues lernst und permanent intellektuell gefordert bist.