White-Hat-Hacker

Ein White-Hat-Hacker ist jemand, der absichtlich nach Schwachstellen in Computersystemen sucht. Er tut das aber im Auftrag oder mit ausdrücklicher Erlaubnis des Betreibers. Findet er eine Lücke, nutzt er sie nicht aus, sondern meldet sie. Der Betreiber kann den Fehler dann beheben, bevor jemand anderes ihn ausnutzt. Der Name kommt aus alten Westernfilmen, in denen die Guten weiße Hüte trugen. Das Gegenstück ist der Black-Hat-Hacker, der in Systeme eindringt, um sich zu bereichern oder Schaden anzurichten.

Der weiße Hut ist eine Frage der Erlaubnis

Technisch machen White Hats und Kriminelle oft dasselbe. Sie probieren Passwörter durch, suchen Programmierfehler und testen, ob eine Webseite unerwartete Eingaben verkraftet. Der Unterschied liegt in zwei Punkten: der Erlaubnis vorher und dem Umgang mit dem Fund danach. Ohne diese Erlaubnis ist das Eindringen in fremde Systeme in Deutschland strafbar, geregelt in Paragraf 202a des Strafgesetzbuchs.

Für Unternehmen sind solche Tests wichtig, weil Software nie fehlerfrei ist. Ein großes Programm besteht aus Millionen Zeilen Anweisungen, und in dieser Menge stecken zwangsläufig Fehler. Manche davon lassen sich missbrauchen. Es ist deutlich billiger, eine Lücke von einem bezahlten Tester zu erfahren als von der Presse nach einem Datendiebstahl.

Ein dritter Typ wird in Nachrichten oft erwähnt: der Grey-Hat-Hacker. Er sucht ohne Erlaubnis, meldet den Fund aber trotzdem statt ihn zu verkaufen. Rechtlich bewegt er sich damit im gleichen Risiko wie ein Krimineller, auch wenn seine Absicht gut ist.

Vom Auftrag bis zum Patch

Am Anfang steht ein schriftlicher Vertrag. Darin steht genau, welche Systeme getestet werden dürfen und welche nicht. Solche beauftragten Angriffe heißen Penetrationstests, kurz Pentests. Der Tester sammelt zuerst Informationen: Welche Server sind erreichbar, welche Software läuft dort, wie alt ist sie?

Danach probiert er gezielt Angriffe aus. Ein klassisches Beispiel ist die SQL-Injection: Statt eines Namens gibt der Tester in ein Suchfeld einen Befehl für die Datenbank ein. Reagiert die Seite darauf, kann ein Angreifer womöglich alle gespeicherten Kundendaten auslesen. Andere Tests zielen auf Menschen statt auf Technik, etwa mit gefälschten E-Mails an Mitarbeiter.

Am Ende steht ein Bericht mit allen Funden, geordnet nach Gefährlichkeit. Üblich ist eine Frist von 90 Tagen: So lange bekommt der Hersteller Zeit, den Fehler zu reparieren, bevor die Lücke öffentlich gemacht wird. Dieses Vorgehen nennt man Responsible Disclosure, also verantwortungsvolle Offenlegung. Die Reparatur selbst heißt Patch und kommt bei dir als Sicherheitsupdate an.

Bug Bounties, Behörden und KI-Modelle

Viele große Firmen zahlen Prämien für gemeldete Lücken. Solche Programme heißen Bug Bounty. Google, Apple und Microsoft schütten damit jedes Jahr zweistellige Millionenbeträge aus. Für besonders schwere Lücken in iPhones sind Summen im Millionenbereich möglich. Plattformen wie HackerOne vermitteln zwischen Firmen und Testern weltweit.

Auch bei KI-Systemen gibt es diese Rolle inzwischen. Dort heißt sie Red Teaming: Fachleute versuchen, einen Chatbot zu gefährlichen oder falschen Antworten zu bringen. OpenAI, Google und Anthropic beschäftigen dafür eigene Teams und laden externe Tester ein. Der EU-Gesetzgeber verlangt solche Tests für besonders mächtige KI-Modelle sogar ausdrücklich.

Ein häufiger Irrtum ist, dass White Hats einsame Genies mit Kapuzenpulli sind. In der Praxis ist es ein normaler Beruf mit Ausbildung, Zertifikaten und Berichtspflichten. Behörden wie das deutsche Bundesamt für Sicherheit in der Informationstechnik stellen selbst solche Fachleute ein. Wenn in Nachrichten steht, dass eine Sicherheitslücke rechtzeitig entdeckt wurde, steckt fast immer jemand aus dieser Gruppe dahinter.