Hacker im Firmeneinsatz

IT-DIRECTOR: Herr Kögel, insbesondere Großunternehmen und Konzerne engagieren professionelle Hacker, um mittels Sicherheits- und Penetrationstests potentielle Schwachstellen in der Unternehmens-IT aufzuspüren. Wie praktikabel ist diese Vorgehensweise in Ihren Augen?
M. Kögel: Das ist die Kür. Wirklich professionelle Penetration-Tester decken Schwachstellen auf, die automatisiert nicht gefunden werden können. Allerdings ist diese Vorgehensweise auch nicht gerade günstig. Daher raten wir zunächst auf automatisierte, tool-gestützte Verfahren zurückzugreifen. Damit können die offensichtlichen Schwachstellen aufgespürt werden.

IT-DIRECTOR: Welche Schwachstellen können hiermit in der Regel aufgespürt werden?
M. Kögel: Damit spürt man auch die wirklich versteckten Schwachstellen auf, die nur durch Kreativität erkennbar sind. Maschinen haben da immer noch Beschränkungen. Aber der aggressive, feindliche Hacker ist durchaus auch kreativ, deshalb ist man besser vorbereitet.

IT-DIRECTOR: Welche Vorteile kann man sich vom sogenannten „ethischen Hacking“ versprechen? Welche Gefahren bzw. Risiken sind mit solchen Verfahren verbunden?
M. Kögel: Wenn man mit einem professionellen Pentester zusammenarbeitet, sollte dieser mit den Unternehmensverantwortlichen ausgiebig die Gefahren für die Applikation und das Netzwerk besprechen. Das gleiche gilt auch für den Einsatz von Tools für den Pentest. Es ist durchaus möglich, dass es bei einer aggressiven Vorgehensweise zu Beeinträchtigung der Systeme kommt.

Die zweite Gefahr ist eher eine monetäre. Wenn man den Pentester auf eine noch ungetestete Umgebung loslässt, kann er in kurzer Zeit ohne viel Aufwand einige Schwachstellen erkennen. Das könnte aber auch eine wesentlich günstigere technische Lösung sein. Deshalb gilt für den effizienten Einsatz eines Pentesters: Zunächst sollte man die Beseitigung der offensichtlichen Probleme angehen und erst dann einen hoch spezialisierten Berater engagieren.

IT-DIRECTOR: Wo finden Sicherheitsverantwortliche die für ihre Zwecke geeigneten Hacker? Und wie können sie sicherstellen, dass sie nicht an den Falschen geraten?
M. Kögel: Man sollte sich an das Angebot von anerkannten Beratungsfirmen wenden und im Anschluss daran durchaus das Gespräch mit einer Referenz suchen. Über uns kann man z.B. Pentests beziehen.

IT-DIRECTOR: Auf welche „Qualitäten“ sollte man bei der Auswahl der Hacker besonders achten? Inwiefern gibt es in diesem Zusammenhang bereits Zertifizierungen, auf die man achten sollte? Wie sehen „Hacker-Referenzen“ für gewöhnlich aus?
M. Kögel: Die beste Referenz ist ein persönlicher Kontakt. Es gibt zwar Zertifizierungen, aber die wären mir nicht aussagekräftig genug.

IT-DIRECTOR: Mit welchen Kosten sind solche Hacking-Aktionen in der Regel verbunden?
M. Kögel: Zumeist wird mit dem Kunden ein Budget von mehreren Dienstleistungstagen vereinbart. So lange darf dann die Suche dauern. Danach wird das gefundene dokumentiert und aufbereitet. Was alles in der Zeit gefunden werden wird, kann ex ante nicht fix vereinbart werden.

IT-DIRECTOR: Welche gesetzlichen bzw. firmeninternen (Compliance-)Vorgaben müssen bei der Zusammenarbeit mit Hackern beachtet werden?
M. Kögel: Besonders wichtig ist dabei der Datenschutz von personenbezogenen Daten. Ist ein zu testendes System kompromittierbar, kann der Tester unter Umständen auf derartige Daten zugreifen. Welche Bestimmungen er dann im Umgang mit diesen Daten einzuhalten hat, ist das wesentliche solcher Vereinbarungen.