„Inside the Mind of a Hacker“ Report Die Renaissance des Hardware-Hackings

Anbieter zum Thema

Bugcrowd

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

Das Aufspüren digitaler Schwachstellen fasziniert seit langem. Allerdings hat sich das Ökosystem der Hacker stark verändert: Bug-Bounty-Programme und Crowdsourced-Security nutzen heute die Motivation technisch Begabter, um Hersteller und Betreiber bei der Sicherheitsarbeit zu unterstützen.

„Inside the Mind of a Hacker“ ist ein Report, der alljährlich vom Crowdsourced-Security-Anbieter Bugcrowd veröffentlicht wird. Nach dessen Angaben tragen rund 100.000 „Sicherheitsexperten“ mehr oder weniger kontinuierlich dazu bei, Security-Leaks im Auftrag der Kunden zu finden und damit die eigene Qualitätssicherung zu unterstützen. Im 2024er Report haben 1.300 „ethische Hacker“ Auskunft über ihre Arbeit gegeben.

Ein Teil der Ergebnisse überrascht nicht wirklich. Etwa, dass 90 Prozent der Teilnehmer jünger als 34 Jahre sind, dass der Großteil über eine höhere Ausbildung verfügt, oder dass 87 Prozent glauben, dass die Entdeckung einer kritischen Schwachstelle bedeutsamer ist, als Geld daraus zu machen. Hacker haben eine auffallende Vorliebe für selbstgesteuertes Lernen, wobei 87 Prozent Online-Ressourcen für die Entwicklung ihrer Fähigkeiten angeben. Das spiegelt die sich schnell entwickelnde Natur der Cybersicherheit wider, bei der die neuesten Techniken in der Regel online verbreitet werden, lange bevor sie „offiziell“ auftauchen. Diese Selbststarter-Mentalität wird durch das Lernen unter Gleichgesinnten ergänzt, wobei 35 Prozent der Hacker Freunde oder Mentoren als Schlüssel auf ihrem Bildungsweg nennen.

DLL Hijacking

Zero-Day-Sicherheitslücke in den Microsoft Sysinternals-Tools

Finanzielle Kompensation

Offenbar wird, dass die ethische Komponente zunehmend mit der Idee der finanziellen Kompensation der eingesetzten Zeit einhergeht. Hacking entwickelt sich mehr und mehr zu einem Betätigungsfeld, dass ein durchaus attraktives Einkommen verspricht, die Möglichkeit, die eigene Kompetenz gezielt weiterzuentwickeln und die Chance, entscheidende Kontakte zu knüpfen. Ein gutes Drittel der Teilnehmer bezeichnet sich als Full-Time-Hacker und knapp ein weiteres Drittel versucht, diesen Status zu erreichen. Entwickelt sich Hacking also zum ganz normalen Job für Freiberufler und Selbständige?

Nicht wenige Consulting-Unternehmen, die heute eine mehrstellige Zahl von Mitarbeitern beschäftigen, haben sich aus der ursprünglichen Motivation der Gründer entwickelt, besser zu sein als die Hersteller und Anbieter. Obwohl dies für die Mehrzahl der Sicherheitsexperten keine wirklich reale Perspektive darstellt, ist die finanzielle Absicherung eine wichtige Grundlage für die Arbeit. Alexander Pick, der seit vielen Jahren in Vollzeit als Security-Researcher arbeitet, sieht die praktische Seite seiner Arbeit im Vordergrund: „Natürlich habe ich auch als Enthusiast begonnen, der von der Neugier getrieben war, den ersten Geräten, mit denen ich gearbeitet habe, auf den Grund zu gehen. Aber um daraus einen Job zu machen, bedarf es harter Arbeit und tiefer Recherche, wenn es am Ende auch darum geht, eine Familie zu ernähren.“ Hacker werden nach den Erkenntnissen des Reports von einer Mischung aus persönlichen und altruistischen Motiven angetrieben, die weit über das Klischee des einsamen Programmierers hinausgehen.

Einen gangbaren Weg dahin bieten letztlich Bug-Bounty- und Crowdsourced-Security-Programme, die eben auch nur dann Geld bezahlen, wenn entsprechend bedeutsame Lücken in den eigenen Produkten und Services gefunden werden. Die Einkünfte für derartige Meldungen hängen stark von der Bedeutung ab und reichen von 150 Euro bei niedrigen Schwachstellen bis hin zu einigen Tausend bei kritischen Leaks. Die durchschnittliche Belohnung liegt wohl zwischen 600 und 800 Euro.

„Die wirklich großen Bugs, bei denen dann auch fünfstelligen Summen fällig werden, sind eher die Ausnahme“, erläutert Pick. „Aber die erfordern auch eine längere Zeit und oftmals die Zusammenarbeit in einem Team.“ Tatsächlich ist es gar nicht so selten, dass sich Kollegen mit ähnlichen Kompetenzen zusammenfinden, um gemeinsam an einem Projekt zu arbeiten. Im Gegenteil: Im Gegensatz zur traditionellen Vorstellung des Einzelkämpfers sind Hacker meist Mitglied einer aktiven Community, die an einem gemeinsamen Ziel arbeitet. Signifikante 82 Prozent der Befragten sind für langfristige Beziehungen zu haben, und gar 85 Prozent sind bereit, ihr Wissen mit anderen zu teilen. Keine Rede also davon, sich abzuschirmen, sondern ein aktives Interesse, eine „dynamische und kollaborative Community zu kreieren, die Cybersecurity neu definiert“.

Pwn2Own Automotive 2025

49 Zero-Day-Schwachstellen bei Hacking-Contest entdeckt

Targets im Wandel

Tatsächlich hat sich das „Hacking“ analog zur technischen Entwicklung der digitalen Systeme zunächst auf die Ausnutzung von Hardware-Schwachstellen konzentriert. Mit der fortschreitenden Ablösung von Hardware-Funktionen durch Software und insbesondere nach der Einführung der „Cloud“ wurden die Unzulänglichkeiten von Anwendungen zunehmend zum Ziel von Angriffen, die es bis heute geblieben sind.

Betriebssysteme oder darauf aufbauende „Apps“ leiden unter unzureichender Prüfung der Sicherheit, zum einen, weil ihre Entwickler sie nicht ausreichend dahingehend getestet haben, zum anderen, weil ihre Anwender nicht den gestellten Erfordernissen wie einfachen Updates nachkommen. Infolgedessen hat sich die Arbeit der Hacker lange Zeit vor allem mit der Entdeckung von Software-Schwachstellen beschäftigt.

Inzwischen nimmt das Hardware-Hacking wieder einen breiten Raum in den Aktivitäten der selbständigen Sicherheitsexperten ein. Wohl auch, weil die Chancen groß sind und die Anwendungsbereiche wieder zunehmend interessanter. Die weite Verbreitung von IoT-Devices nicht nur in der Industrie, sondern auch im privaten Umfeld schafft ein breites Betätigungsfeld, das von Schwachstellen in der Hard- und Firmware von Industrierobotern bis hin Überwachungskameras oder Smart-Home-Geräten reicht. Hinzu kommen Smartphones oder auch medizinische Geräte. Ein neuer und extrem sicherheitsrelevanter Bereich tut sich mit den autonomen Fahrzeugen auf, die über kurz oder lang die Straßen beherrschen sollen, aber den Nachweis der Sicherheit wohl noch schuldig geblieben sind.

Diese neuen Bereiche versprechen eine langfristige Beschäftigungsgarantie für Hacker, die sich hier aufgerufen fühlen, und die ganz offensichtlich gut beschäftigt. So ergab die Studie, dass 81 Prozent der Hardware-Hacker innerhalb der vergangenen 12 Monate eine zuvor gänzlich unbekannte Schwachstelle entdeckt haben. Und die Tendenz ist weiter zunehmend. 64 Prozent der Hardware-Hacker glauben, dass es gegenwärtig mehr Vulnerabilitäten aufzudecken gibt als noch ein Jahr zuvor.

Gute Zukunftsaussichten also? „Gerade als freiberuflich Arbeitender ist es notwendig, sich auf Feldern auszukennen, die langfristige Perspektiven versprechen. Vor allem, wenn auch die Verantwortung für eine Familie dazu gehört“, sieht Alexander Pick die Situation realistisch. „Und da bietet die Hardware eine gute Grundlage.“ Wenn man über die entsprechenden Kenntnisse verfügt. Die hat er sich über die Jahre angeeignet und teilt sie inzwischen mit anderen, etwa in Beiträgen zum Universal Asynchronous Receiver/Transmitter (UART).

Responsible Disclosure

Ethical Hacking und seine Grenzen

KI-Innovation

Sein Kollege Brandon Reynolds, ebenso Spezialist für Hardware und IoT bringt es knapp auf den Punkt: Das Auffinden von Sicherheitsfehlern war immer eine große Herausforderung für mich. Wenn etwas von Menschen gebaut wurde, dann gibt es immer Fehler.“

Aber gerade hier ändert sich die Situation seit einiger Zeit grundlegend, wenn eben etwas nicht mehr von Menschen gebaut wird, sondern bereits von künstlicher Intelligenz. Werden die Produkte dadurch automatisch sicherer und die Hacker-Gemeinde obsolet? Die Experten glauben eher, dass Unternehmen, die KI verwenden, nun eine neue Klasse von Schwachstellen einführen, über die sie sich Gedanken machen müssen. „Beide Seiten des Cybersicherheits-Games werden KI einsetzen, um die Reichweite und die Reife ihrer Taktik zu erhöhen“, resümiert der Report und führt drei „T“ ein, um die Bedeutung der KI zu beschreiben: KI als Tool, als Target und als Threat.

Bugcrowd stellte bereits vor einem Jahr eine Reihe von Fragen zur Bedeutung der KI. Etwa danach, ob KI den Wert des Hackings erhöht. Während hier im vergangenen Jahr lediglich 21 Prozent zustimmten, sind es im 24er Report bereits 71 Prozent, die davon ausgehen. Ebenso nimmt die Zahl derer zu, die generative KI für ihre eigene Arbeit nutzen. Waren es im letzten Jahr noch 64 Prozent, so greifen inzwischen 77 Prozent zu geeigneten Werkzeugen.

Verschoben hat sich auch der Nutzungsbereich für die Tools. Ging es vor Jahresfrist vor allem um die Automatisierung von Aufgaben, so rückt vermehrt die Analyse von Daten in den Vordergrund. Wenig geändert hat sich die Sicht der Dinge in Bezug auf die Frage, ob KI die Fähigkeiten der Sicherheitsspezialisten übertrifft. Das glauben lediglich 22 Prozent, lediglich ein Prozent mehr als zuvor.

Über den Autor: Uwe Scholz ist freier Journalist in Berlin.

(ID:50372023)