Was ethisches Hacken wirklich bedeutet

Ein Administrator entdeckt nach einem Sicherheitsvorfall ein auffälliges Benutzerkonto mit weitreichenden Berechtigungen. Die Ursache ist zunächst unklar: War es ein Fehler in der Provisionierung, ein gestohlenes Passwort oder eine Schwachstelle in einer Anwendung? Genau an diesem Punkt zeigt sich der Wert ethischen Hackens. Ein autorisierter Test kann Schwächen sichtbar machen, bevor Kriminelle sie ausnutzen.

Ethisches Hacken ist ein autorisierter Sicherheitstest

Ethisches Hacken bedeutet, Systeme, Anwendungen, Prozesse und manchmal auch das Sicherheitsverhalten von Mitarbeitenden gezielt auf Schwachstellen zu prüfen. Das Ziel ist nicht, Schaden anzurichten oder Daten zu entwenden. Ziel ist es, Risiken nachvollziehbar zu belegen und konkrete Verbesserungen anzustoßen.

Ethische Hackerinnen und Hacker arbeiten im Auftrag eines Unternehmens oder einer Organisation. Sie denken aus der Perspektive möglicher Angreifer, halten sich dabei aber strikt an die vereinbarten Regeln. Dazu gehört insbesondere, welche Systeme geprüft werden dürfen, welche Methoden zulässig sind und wie mit gefundenen Daten umzugehen ist.

Ein solcher Test kann technische Lücken aufdecken, etwa:

• fehlende Sicherheitsupdates auf Servern und Netzwerkkomponenten
• unsichere Konfigurationen von Cloud-Diensten oder Zugriffsrechten
• Schwächen in Webanwendungen, beispielsweise aus dem Umfeld der OWASP Top 10
• mangelhafte Passwortregeln oder fehlende Multi-Faktor-Authentifizierung, kurz MFA
• übermäßige Berechtigungen, die gegen das Prinzip Least Privilege verstoßen
• unklare Prozesse für Incident Response, Logging und Alarmierung

Wichtig ist: Ethisches Hacken ist kein Selbstzweck. Ein guter Test beantwortet die Frage, ob ein realistischer Angriffsweg zu einem geschäftlichen Schaden führen könnte und welche Schutzmaßnahmen diesen Weg wirksam schließen.

Die entscheidende Grenze: Auftrag, Erlaubnis und Scope

Technisch kann dieselbe Handlung legal oder strafbar sein. Der Unterschied liegt nicht in der eingesetzten Methode, sondern in der ausdrücklichen Berechtigung. Wer ohne Erlaubnis Systeme untersucht, Konten prüft, Sicherheitslücken ausnutzt oder Datenzugriffe versucht, handelt nicht ethisch. Das kann strafrechtliche, zivilrechtliche und arbeitsrechtliche Folgen haben.

Vor einem Penetrationstest brauchen wir deshalb eine schriftliche Beauftragung. Sie ist die zentrale Grundlage für einen rechtssicheren und kontrollierten Ablauf. Darin wird festgelegt, was geprüft werden darf und was ausdrücklich ausgeschlossen ist.

Ein belastbarer Auftrag sollte mindestens diese Punkte enthalten:

Bereich	Was vorab geklärt werden muss
Zielsetzung	Welche Risiken sollen bewertet werden, etwa externe Angriffsflächen, Anwendungen oder Identitäten?
Scope	Welche Domains, IP-Bereiche, Anwendungen, Standorte, Mandanten und Systeme gehören zum Test?
Ausschlüsse	Welche produktiven Systeme, kritischen Dienste oder Datenbereiche dürfen nicht berührt werden?
Testzeitraum	Wann darf getestet werden, und gibt es Wartungsfenster oder Sperrzeiten?
Kontaktwege	Wer ist bei Auffälligkeiten, Störungen oder kritischen Funden erreichbar?
Datenumgang	Wie werden Nachweise gespeichert, geschützt, übergeben und gelöscht?
Abbruchregeln	Wann wird ein Test sofort pausiert oder beendet?

Der Scope schützt beide Seiten. Er verhindert, dass Tests versehentlich unbeteiligte Systeme betreffen, und schafft für das technische Team klare Leitplanken. Besonders bei Cloud-Umgebungen, Dienstleistern und gemeinsam genutzten Plattformen ist diese Klärung unverzichtbar. Nicht jedes System, das technisch erreichbar ist, darf auch getestet werden.

Allgemeine rechtliche Hinweise ersetzen keine individuelle Rechtsberatung. Bei komplexen Konzernstrukturen, internationalen Standorten oder besonders schützenswerten Daten sollte die Rechtsabteilung früh eingebunden werden.

Was ethische Hackerinnen und Hacker tatsächlich tun

Das Berufsbild ist deutlich breiter als das Bild einer Person, die nur Schwachstellen in Software sucht. Gute ethische Hackerinnen und Hacker verbinden technische Tiefe, strukturiertes Vorgehen, saubere Dokumentation und ein Verständnis für Geschäftsprozesse.

Zu den typischen Aufgaben gehören die Analyse öffentlich sichtbarer Angriffsflächen, die Prüfung von Authentifizierung und Berechtigungen, die Bewertung von Netzwerksegmentierung, die Untersuchung von Anwendungen sowie die Beurteilung von Erkennungs- und Reaktionsfähigkeit. Je nach Auftrag kann auch Security Awareness eine Rolle spielen. Dabei wird beispielsweise geprüft, ob Mitarbeitende verdächtige Kontaktversuche erkennen und korrekt melden. Solche Maßnahmen brauchen besonders klare Regeln, eine angemessene Kommunikation und Rücksicht auf die Belegschaft.

Entscheidend ist nicht, möglichst viele Schwachstellen aufzulisten. Entscheidend ist die Einordnung. Ein offener Dienst ohne kritische Funktion ist anders zu bewerten als eine Lücke, über die ein Angreifer Zugriff auf personenbezogene Daten oder zentrale Administrationskonten erhalten könnte.

Daher umfasst die Arbeit immer auch Risikobewertung. Häufig hilft dabei CVSS als standardisiertes Bewertungssystem für technische Schwachstellen. Für die tatsächliche Priorisierung reicht ein CVSS-Wert allein aber nicht aus. Du musst zusätzlich betrachten:

• Welche Daten, Prozesse oder Systeme wären betroffen?
• Ist die Schwachstelle aus dem Internet erreichbar oder nur intern?
• Gibt es wirksame Schutzschichten, etwa Netzwerksegmentierung, MFA oder Monitoring?
• Wie wahrscheinlich ist eine Ausnutzung im konkreten Umfeld?
• Welche geschäftlichen Folgen hätte ein erfolgreicher Angriff?

Red Team und Blue Team: Angriffssimulation trifft Verteidigung

In der Praxis begegnen dir häufig die Begriffe Red Team und Blue Team. Beide Rollen verfolgen dasselbe Ziel: die Sicherheitslage zu verbessern. Sie setzen jedoch unterschiedliche Schwerpunkte.

Das Red Team simuliert im vereinbarten Rahmen realistische Angreifer. Es prüft nicht nur einzelne technische Schwachstellen, sondern versucht, mögliche Angriffspfade über Systeme, Identitäten und Prozesse zu verstehen. Die Arbeit ist zielorientiert, etwa mit der Frage, ob besonders schützenswerte Informationen erreichbar wären oder ob sich Berechtigungen ausweiten ließen.

Das Blue Team steht für die Verteidigung. Dazu gehören IT-Betrieb, Security Operations, Incident Response und weitere Verantwortliche, die Angriffe erkennen, eindämmen und aufarbeiten. Das Blue Team prüft beispielsweise, ob relevante Ereignisse im SIEM sichtbar werden, ob Alarmregeln zuverlässig greifen und ob Zuständigkeiten im Ernstfall klar sind.

Eine gemeinsame Auswertung wird oft als Purple Teaming bezeichnet. Dabei stehen nicht Überraschung oder Schuldzuweisung im Mittelpunkt, sondern der Lerneffekt. Das Red Team zeigt nachvollziehbar, welche Sicherheitskontrollen umgangen wurden. Das Blue Team verbessert daraufhin Erkennung, Reaktion und Prävention.

Für viele Unternehmen ist ein klassischer Penetrationstest der passende Einstieg. Ein Red Team Assessment ist in der Regel umfassender und setzt voraus, dass Zielbild, Schutzbedarf, Betriebsreife und Meldewege klar definiert sind.

Warum Unternehmen sich testen lassen sollten

Sicherheitsmaßnahmen auf dem Papier sind noch kein Nachweis ihrer Wirksamkeit. Ein Unternehmen kann aktuelle Richtlinien, Firewall-Regeln, EDR-Lösungen und MFA einsetzen und dennoch verwundbar sein. Häufig entstehen Risiken an den Übergängen: zwischen Cloud und internem Netzwerk, zwischen Entwicklung und Betrieb oder zwischen einer technischen Kontrolle und einem unklaren Prozess.

Ein Penetrationstest liefert eine Momentaufnahme unter realistischen Bedingungen. Er kann zeigen, ob Sicherheitsmaßnahmen tatsächlich zusammenwirken. Besonders wertvoll ist dabei der Blick auf Angriffsketten: Mehrere einzeln moderate Schwächen können gemeinsam ein erhebliches Risiko ergeben.

Typische Anlässe für einen Test sind:

• die Einführung einer neuen Webanwendung oder Schnittstelle
• wesentliche Änderungen an Infrastruktur, Identitätsmanagement oder Cloud-Architektur
• Übernahmen, Ausgliederungen oder die Einbindung neuer Dienstleister
• auffällige Security Incidents oder wiederkehrende Fehlkonfigurationen
• Anforderungen aus Kundenverträgen, Audits oder internen Governance-Vorgaben
• die Vorbereitung auf höhere Schutzanforderungen bei kritischen Geschäftsprozessen

Ein Test ersetzt allerdings kein kontinuierliches Sicherheitsmanagement. Patch-Management, sichere Softwareentwicklung, Asset-Inventarisierung, Berechtigungskonzepte, Backups und Security Awareness bleiben grundlegende Aufgaben. Ethisches Hacken ergänzt diese Maßnahmen, weil es ihre Wirksamkeit überprüft.

Ein Bericht ist erst der Anfang

Der größte Nutzen eines Tests entsteht nach dem Test. Ein guter Bericht ist verständlich, priorisiert und für unterschiedliche Zielgruppen nutzbar. Die technische Dokumentation muss dem IT-Team genug Informationen geben, um Ursachen zu beheben. Gleichzeitig benötigen Führungskräfte eine klare Risikoeinordnung, damit sie Entscheidungen über Prioritäten und Ressourcen treffen können.

Für jede Feststellung sollten mindestens Ursache, Auswirkung, betroffene Systeme, Risikostufe und konkrete Abhilfemaßnahmen dokumentiert sein. Gute Empfehlungen gehen über den Hinweis hinaus, ein einzelnes Update einzuspielen. Sie betrachten auch strukturelle Verbesserungen, etwa zentrale Patch-Prozesse, härtere Berechtigungskonzepte oder bessere Protokollierung.

Nach der Behebung ist ein Retest sinnvoll. So lässt sich prüfen, ob die Maßnahme tatsächlich wirkt und keine neuen Nebenwirkungen erzeugt hat. Dokumentiere außerdem, welche Erkenntnisse in Standards, Architekturvorgaben und Notfallprozesse übernommen werden.

Kompetenz aufbauen und Tests richtig einordnen

Ethisches Hacken verlangt technisches Wissen, Verantwortungsbewusstsein und eine methodische Arbeitsweise. Wer in diesem Bereich arbeitet, muss Betriebssicherheit respektieren, sensible Informationen schützen und Ergebnisse nachvollziehbar kommunizieren können. Für interne Teams ist es ebenso wichtig zu verstehen, wie autorisierte Tests ablaufen, damit sie geeignete Aufträge formulieren und Ergebnisse wirksam umsetzen können.

Passende IT-Security-Seminare und Termine findest du bei uns auf cmt.de.

Ethisches Hacken ist damit keine Grauzone und kein Freibrief für technische Neugier. Es ist ein professionelles Instrument der IT-Sicherheit: klar beauftragt, sauber begrenzt, verantwortungsvoll durchgeführt und konsequent in bessere Schutzmaßnahmen übersetzt.