Eine Gruppe von Westschweizer Risikomanagern der Vereinigung Oprisko.ch wollte wissen, warum Hacker in Informatiksysteme einbrechen. Wenn man ihre Motive kenne, könne man sich besser vorbereiten, so die Überlegungen, die in der jüngst publizierten Studie «Cybercriminalité» zusammengefasst sind.

Gemeinhin wird bei Hackern zwischen «White Hats» (Weisse Hüte) und «Black Hats» (Schwarze Hüte) unterschieden. Erstere dringen aus Neugier in Computer ein. Sie wollen vor Schwächen der IT-Systeme warnen, ohne daraus Profit zu schlagen. Bei den Black Hats ist das anders. Ihnen geht es um den eigenen Vorteil.

Die Studienverfasser haben nach monatelanger Recherche zwei Hacker gefunden, die sich für ein Interview bereit erklärten. Redaktion Tamedia erhielt die Abschrift der Gespräche. Auf die Frage, wie er sich definiere, sagte einer von ihnen: «Ich bin ein Black Hat. Hacken ist mein Broterwerb. Ich hacke für die, die mich anheuern, und bin ziemlich teuer.» Gelernt habe er das Handwerk vor allem in der Schule. «In der Uni arbeiteten wir in Cybercafés.» Begonnen habe es um das Jahr 2000.

Viele haben einen Uniabschluss

Die Studienautoren haben auch mit Experten gesprochen und wissenschaftliche Quellen ausgewertet. Demnach sind 96 Prozent der Hacker Männer, vier von fünf sind jünger als Dreissig. 40 Prozent haben einen Uniabschluss, 29 Prozent nur eine Maturität. Sie bezeichnen sich unter anderem als «neugierig, glücklich, faul und leidenschaftlich».

Der interviewte Black Hat sagt, dass sich seine Motive über die Zeit hinweg verändert hätten. «Zuerst waren es nur Neugier und Wissensdurst. Später machten wir einen Schritt vorwärts in die reale Welt, wo Leute dir Geld zahlen, weil sie dich als Spezialisten suchen.» Am Anfang habe er mit anderen gearbeitet. Dann hätten einige den Job verlassen, andere sich nicht so schnell wie er entwickelt. Deshalb arbeite er heute «vorzugsweise» allein.

Die Studie listet drei Haupttypen von Black Hats auf. Einige hacken wegen des Geldes. Sie dringen in Systeme ein, stehlen und verkaufen Daten, manipulieren oder erpressen ihre Opfer mit der Drohung, Daten zu publizieren. Andere tun es aus politischen oder ideologischen Gründen, beispielsweise Anarchisten, Patrioten oder Aktivisten. Sie publizieren etwa eine Flagge auf einer bekannten, stark frequentierten Webseite. Die dritten wollen einen raffinierten Wurm oder Virus verbreiten, um berühmt zu werden.

Sicherheitssysteme sind «nur eine Herausforderung»

Die Taten, die der Interviewte verübt hat, könnten ihn für Jahre ins Gefängnis bringen: «Unerlaubtes Eindringen in IT-Systeme, Diebstahl von Konto- und Personaldaten und Verkauf an Dritte», zählt er selber auf. Auch habe er «Industriespionage und Geldwäscherei» betrieben. Die Strafandrohung habe ihn nicht abgeschreckt, und er sei auch noch nicht verhaftet worden.

Für ihn sind Sicherheitssysteme «nur eine Herausforderung». Wenn er sie nicht überwinden könne, gebe es «ja viele andere, vielversprechende Ziele». Ob er negative Folgen seiner Taten bedacht habe? Ja, aber er trage nicht die Verantwortung dafür, denn seine Opfer seien «Dummköpfe». Er werde noch «zwei bis drei Jahre lang weitermachen». Danach wolle er sich «zur Ruhe setzen, eine Familie gründen und ein eigenes Haus kaufen».

Es gibt auch Seitenwechsler

Der Umsatz kommerzieller Hacker wurde von Forscher Caleb Barlow 2016 auf jährlich 445 Milliarden Dollar geschätzt. Das entspricht ungefähr der Wirtschaftsleistung Finnlands. Wie weit Schweizer Firmen betroffen sind, wissen weder die Meldestelle des Bundes für Cyberattacken, Melani, noch die Studienverfasser.

Zitiert werden Experten, die sagen, dass Schweizer KMU schlecht auf IT-Angriffe vorbereitet seien. Die Mehrheit der Angriffe werde «nach dem Giesskannenprinzip ausgeführt», sagen Melani und die interviewten Hacker der Studie. Beispielsweise werden Mails mit schadhaften Anhängen oder Links auf infizierte Websites an Hunderttausende Mailempfänger geschickt.

Dass ein KMU direkt angegriffen werde, sei hingegen selten. Melani ergänzt, dass gezielte Angriffe auf Unternehmen «sehr schwierig durchzuführen und deshalb entsprechend kostenintensiv» seien. Solche würden «in der Regel von gut organisierten Gruppierungen und nicht von Einzeltätern durchgeführt».

Melani bringt auf Anfrage von Redaktion Tamedia noch einen dritten Hackertyp ins Spiel: den «Grey Hat». Dabei handle es sich um Hacker, «die mal auf der legalen Seite, mal auf der illegalen Seite tätig» seien, sagt der stellvertretende Leiter Max Klaus. Ob Melani selber Hacker beschäftigte, will er nicht verraten. Grossfirmen haben in der Vergangenheit wiederholt Hacker als IT-Abwehrspezialisten angeheuert.