Unsere Welt ist in nahezu allen Bereichen digital geworden und damit auch zugänglich für Cyberkriminalität verstehen. Genau wie in der realen Welt gibt es auch im virtuellen Raum Kriminelle, die hier mitunter aber wesentlich geplanter und auch organisierter vorgehen. Cyberangriffe auf Unternehmen oder Einzelpersonen gehören damit nicht mehr zur Ausnahme, sondern sind die Regel. Tagtäglich haben auch wir als Sicherheitsunternehmen mit derartigen Angriffen zu tun. Meist sind diese viel geplanter, als es zunächst erscheint.
Doch eben weil die Cyberangriffe nicht mit Angriffen im echten Leben gleichzusetzen sind, lässt sich auch das Motiv der Täter nicht ohne Weiteres ermitteln. Die Psychologie der Cyberkriminalität verstehen ist somit eine vollkommen andere als die Psychologie alltäglicher Kriminalität. Diesen Unterschied gilt es zu begreifen, um die Angreifer selbst zu verstehen und deren Methoden entsprechend genau deuten zu können.
Wir beleuchten in diesem Beitrag die Denkweise und Psychologie der Cyberkriminalität verstehen. Dabei spielt auch die Ethik von Hackern eine Rolle, genau wie auch das ethische Hacking selbst. Für den Artikel haben wir uns durch Beiträge und Forschungen gewühlt, Aussagen eines Cyberpsychologen analysiert und eigene Erfahrungen mit den theoretischen Fakten verglichen. Das Ergebnis lesen Sie hier.
Psychologie des Hackens
Hacker betrachten sich im Grunde nicht als Kriminelle oder gar bösartige Akteure. Es ist selten, dass das einfache Hacking von Anfang an mit kriminellen Machenschaften gleichgesetzt wird. Das wäre auch gegen dessen Ursprung. Beim Hacking ging es immer darum zu forschen und etwas zu ermöglichen, was eigentlich unmöglich ist. Ziel war es jedoch nicht, jemandem aktiv zu schaden.
In ein System einzudringen, das erfordert Raffinesse, Geschicklichkeit sowie ein logisches Denkvermögen. Hacking als solches ist eher wie eine Art Schachspiel oder Logikrätsel zu verstehen. Etwas, was ein Hacker um jeden Preis meistern möchte, ohne dafür auf die Lösung zu schauen. Letztere steht ihm in den meisten Fällen ohnehin nicht zur Verfügung.
Zudem verfolgen viele Hacker einen ethischen Ansatz. Das sogenannte ethische Hacking ist das gutartige Hacken von Systemen, um die Verantwortlichen über Sicherheitsprobleme oder Schwachstellen zu informieren. In solch einem Fall besteht gar kein kriminelles Motiv. Viele große Unternehmen zahlen sogar bereitwillig Belohnungen aus, wenn schwerwiegende Sicherheitslücken gemeldet werden.
Auf der anderen Seite gibt es aber auch noch eine Kehrseite. Nämlich Cyberkriminelle, die solche Schwachstellen und Sicherheitslücken für sich selbst nutzen, Daten abzweigen, Schaden anrichten oder geheime Daten stehlen. Entweder, um sie selbst zu verwenden und das Unternehmen mittels Ransomware zu erpressen, oder um die Daten gewinnbringend in Untergrundforen zu verkaufen.
Motive der Cyberkriminalität verstehen
Hier wären wir dann auch gleich bei den Motiven der Cyberkriminellen. In der Regel dreht es sich immer um rein finanzielle Interessen. Da Unternehmensdaten mitunter sehr wertvoll sind und oft personenbezogene Informationen enthalten, die unter keinen Umständen an die Öffentlichkeit gelangen sollen, sind die ergaunerten Datensätze nach einem Hack entsprechend wertvoll.
In den einschlägigen Hackforen gibt es dafür sogar einen florierenden Schwarzmarkt. Datensätze werden hier relativ häufig und normalisiert gehandelt. Die Summen, die in solchen Foren erwirtschaftet werden können, sind dabei jedoch deutlich geringer als der Wert der Daten selbst. Deshalb versuchen viele Hacker einen anderen Weg zu gehen. Nämlich den Weg über Ransomware. Die Hacker verschaffen sich dann Zugang zu einem System und verschlüsseln es mithilfe der Ransomware. Die gibt die Daten nur dann wieder frei, wenn Betroffene ein Lösegeld bezahlen.
In solch einem Fall sind meist höhere Summen zu hohlen, da Unternehmen unter Umständen eine Veröffentlichung der Daten verhindern können, wenn sie dafür das entsprechende Lösegeld zahlen. Eine Garantie gibt es dafür aber nicht, weshalb die meisten Unternehmen nicht mit Hackern verhandeln und derartige Vorfälle direkt melden und im weiteren Verlauf an ein spezialisiertes Sicherheitsunternehmen übergeben.
Ethische Hacker als Gegenpol
Der Gegenpol zu den Cyberkriminellen sind die bereits erwähnten ethischen Hacker. Diese verfolgen gar keine bösartigen Absichten, sondern setzen sich aktiv für das Gute ein. Auch hier muss aber wieder zwischen zwei verschiedenen Arten von ethischen Hackern unterschieden werden. Denn auch ethisches Hacking ist nicht immer gewollt oder gar straffrei.
So gibt es auf der einen Seite die gutartigen Hacker, die Hacking nicht aus Hass oder mit einem finanziellen Hintergrund, sondern durch den Spaß an der Sache betreiben. Sie suchen die Herausforderung oder besitzen ein großes Interesse daran, bestimmten Organisationen zu helfen. Also hacken sie deren System, was illegal bleibt, aber am Ende nicht schadhaft ist, da sie alle Mängel und Schwachstellen gegenüber dem Unternehmen offenlegen und dies auch nicht öffentlich zur Schau oder an den Pranger stellen. Im besten Fall profitieren daher alle davon, auch wenn es illegal ist und natürlich unerwünscht bleibt. Zumal es problematische Vorgänge in geschützten Systemen und mit privaten Daten beinhaltet.
Ethisches Hacking gibt es aber auch noch ganz offiziell. Zum Beispiel bei uns. Wir haben ebenfalls ethische Hacker im Unternehmen, die bei unseren Pentests eine wichtige Rolle spielen. Denn nur wer wirklich hackt, stößt auch auf die tatsächlichen Schwachstellen, die sich in der grauen Theorie oft gar nicht zeigen. Es braucht also Hacker, die sich für das Gute einsetzen.
Psychologie hinter Hacker-Angriffen
Schlussendlich hängt die Psychologie der Cyberkriminalität oft mit finanziellen Interessen zusammen. Während die ethischen Hacker das Prinzip umdrehen und ihren Grundsätzen folgen. Oder aber auch alternativ in Sicherheitsunternehmen arbeiten, um im Bereich der Penetrationstests das Hacking zum Beruf zu machen.
Das Handeln hinter dem Hack ist also nur dann ideologisch, wenn es sich um gutartige, ethische Hacker handelt. Diese verfolgen meist auch gewisse Grundsätze einer sogenannten Hackerethik. Wie diese genau aussieht, ist jedoch, wie immer bei ethischen Fragen, schwer festzustellen. Am Ende steht schließlich jeder Hacker auch für sich selbst und verfolgt somit seine eigenen Ziele. In unserem Artikel zu den ungeschriebenen Gesetzen der Hacker sind wir auf diese schon einmal näher eingegangen.
Bei unserer eigenen Arbeit verfolgen wir die ethischen Grundsätze eines legalen Hackings. Dieses darf immer nur auf Wunsch stattfinden, wie es bei Pentests und Sicherheitsprüfungen der Fall ist. Außerdem sollte es stets kontrolliert vollzogen werden, um die Integrität der Daten jederzeit gewährleisten zu können. Einfach mal so in ein System einzudringen, das ist immer höchst fragwürdig und vor allem auch stets illegaler Natur.
