Black-Hat-Konferenz

Die Black-Hat-Konferenz ist ein großes Fachtreffen für alle, die sich beruflich mit der Sicherheit von Computern und Netzwerken beschäftigen. Sie findet jedes Jahr statt, die bekannteste Ausgabe im Sommer in Las Vegas. Auf der Bühne stehen Menschen, die beruflich nach Schwachstellen in Programmen und Geräten suchen. Eine Schwachstelle ist ein Fehler, über den ein Angreifer ein System zu Dingen bringen kann, die der Hersteller nie vorgesehen hat. Genau solche Fehler werden dort vorgeführt, mit technischen Details und oft mit einer Live-Demonstration. Der Name spielt auf die alte Western-Regel an, dass die Bösen schwarze Hüte tragen — obwohl die Vortragenden meist auf der Seite der Verteidiger arbeiten.

Der Ort, an dem Sicherheitslücken öffentlich werden

Sicherheitsforschung passiert normalerweise im Verborgenen. Wer eine Lücke findet, meldet sie zuerst dem Hersteller und wartet, bis ein Update fertig ist. Die Black-Hat-Konferenz ist der Moment, in dem viele dieser Funde endlich öffentlich erklärt werden. Deshalb hängen Firmen wie Microsoft, Apple oder Google die Veröffentlichung ihrer Updates oft an den Konferenztermin.

Für Unternehmen ist die Konferenz auch eine unangenehme Deadline. Wer eine gemeldete Lücke monatelang ignoriert, riskiert, dass sie auf einer großen Bühne besprochen wird. Dieser Druck ist ein wesentlicher Grund, warum Hersteller Sicherheitsmeldungen überhaupt ernst nehmen.

In den letzten Jahren rückt KI ins Zentrum der Vorträge. Themen sind etwa Prompt Injection, also versteckte Anweisungen in einer Webseite oder E-Mail, die ein KI-Assistent für einen Nutzerauftrag hält. Auch Angriffe auf KI-Agenten mit Zugriff auf Kalender, Dateien und Bankdaten werden dort vorgeführt. Wer wissen will, welche KI-Risiken in einem Jahr in den Nachrichten stehen, findet sie hier oft ein Jahr früher.

Vorträge, Trainings und die Regeln für Demos

Der Kern sind die sogenannten Briefings: rund 40-minütige Fachvorträge, für die man vorher eine Bewerbung einreicht. Ein Auswahlkomitee prüft, ob der Fund neu und technisch belastbar ist. Reine Werbevorträge von Firmen werden aussortiert, was den Ruf der Konferenz begründet. Daneben gibt es mehrtägige, teure Trainings, in denen Teilnehmer Angriffs- und Verteidigungstechniken selbst üben.

Eine wichtige Regel ist der Umgang mit noch offenen Lücken. Üblich ist die verantwortungsvolle Offenlegung: Der Hersteller wird vorab informiert und bekommt Zeit für ein Update, meist 90 Tage. Erst danach folgt der Vortrag. Manchmal klagen Firmen dagegen, oder Anwälte verhindern kurzfristig einen Auftritt. Solche Konflikte gehören zur Geschichte der Konferenz.

Zur Konferenz gehört außerdem eine Messehalle mit Sicherheitsfirmen und ein Bereich mit Wettbewerben. Wichtig ist die Abgrenzung zur DEF CON, die direkt danach in derselben Stadt läuft. Black Hat ist teuer, geschäftlich und richtet sich an Firmen und Behörden. DEF CON ist billiger, chaotischer und stärker von der Hackerszene selbst geprägt. Viele Fachleute besuchen beides in derselben Woche.

Warum der Name in Wirtschaftsnachrichten auftaucht

In den Nachrichten begegnet dir der Begriff meist als Quellenangabe. Sätze wie „auf der Black-Hat-Konferenz demonstrierten Forscher, dass sich ein Auto per Funk fernsteuern lässt“ stammen aus solchen Vorträgen. Bekannte Beispiele betrafen Herzschrittmacher, Geldautomaten, Hotelzimmerschlösser und Fahrzeugelektronik. Solche Meldungen bewegen manchmal auch Aktienkurse, weil sie einen Hersteller unter Druck setzen.

Für Firmen ist die Konferenz zugleich ein Personal- und Verkaufsmarkt. Sicherheitsanbieter stellen dort neue Produkte vor, und Konzerne suchen Fachkräfte. Wenn ein Unternehmen ein Bug-Bounty-Programm ankündigt, also Geldprämien für gemeldete Fehler, passiert das gern zu diesem Termin.

Ein häufiger Irrtum ist, die Konferenz sei ein Treffen von Kriminellen. Das Gegenteil trifft zu: Anwesend sind vor allem Angestellte von Sicherheitsfirmen, IT-Abteilungen, Behörden und Universitäten. Der Grundgedanke lautet, dass man ein System nur schützen kann, wenn man die Angriffe darauf genau versteht. Deshalb wird Angriffstechnik dort offen unterrichtet.