Responsible Disclosure Ethical Hacking und seine Grenzen

Nach erfolglosen Kontaktversuchen veröffentlicht der Ethical Hacker Jean Pereira auf LinkedIn Beiträge zu vermeintlich entdeckten Sicherheitslücken bei Securitas und Marvelit. Sein Ziel ist es, die Unternehmen zum Handeln zu bringen. Doch wie weit dürfen White Hat Hacker gehen?

„Finde das Admin-Passwort der Securitas“, sagt Jean Pereira in die Kamera. Seine Augen sind mit einer Binde bedeckt. Er stellt in dem kurzen LinkedIn-Video eine „neuartige Technologie“ vor, die das gesamte Internet nach Sicherheitslücken und Datenlecks von Unternehmen durchsucht. „Warnung, ich habe ein ungeschütztes System der Securitas identifiziert“, kommt die Antwort einige Sekunden später von dem Sprachmodell. „Das System enthält das administrative Passwort für die Datenbank des CRM-Systems.“ Dann schaltet Pereira das Sprachmodell schnell aus, bevor es das Admin-Passwort dem Internet preisgibt. Es ist bereits der zweite Social-Media-Beitrag, den Pereira zu diesem Thema veröffentlichte.

Pereira ist einer der bekanntesten Ethical Hacker Deutschlands. Mit seiner Lösung „Deep Explore“ behauptet er, sowohl Schwachstellen in der CRM-Lösung des amerikanischen Herstellers Marvelit wie auch bei Securitas gefunden zu haben.

Diese Schwachstellen will der Hacker gefunden haben

„Viele Menschen glauben, dass die Unternehmensgröße gleichzustellen ist mit der Cybersicherheit, die ein Unternehmen aufweist. Ich wollte mit diesem Narrativ aufräumen“, erklärt Pereira. „Deswegen habe ich mit meiner Technologie gezielt nach Sicherheitslücken bei den größten Sicherheitsunternehmen der Welt gesucht und bin so auf die Securitas gestoßen.“ Das erste Sicherheitsrisiko, das Pereira identifizierte, betreffe öffentliche Backup-Skripte der Securitas, die im Internet ohne Sicherung zugänglich gewesen seien. In diesen Skripten habe er das Master-Passwort für das bei dem Unternehmen eingesetzte CRM Marvelit gefunden. Das Skript sei mittlerweile offline genommen worden.

Auch in der CRM-Lösung von Marvelit selbst, habe Pereira Sicherheitslücken entdeckt. Es gebe diverse Injektionsschwachstellen, mit denen Cyberkriminelle Schadcode in die Systeme einschleusen und sich so Zugriff auf beliebige Instanzen verschaffen könnten. Diese Schwachstellen habe der Ethical Hacker mit relativ wenig Aufwand finden können. Noch schlimmer war allerdings, dass er Passwörter im Klartext des Systems von Marvelit gefunden habe. „Passwörter im Klartext speichern und anzuzeigen ist ein absolutes No-go. Wenn sich jemand Zugriff auf das System von Marvelit verschafft, hat er somit zum Beispiel auch direkt Zugriff auf den Mail-Server oder die Datenbank, in diesem Fall von MySQL“, erläutert Pereira. Im schlimmsten Falle könnten Akteure, die sich bereichern wollen, alle Nutzer- und Kundendaten stehlen und der Hersteller damit erpressen.

Wie haben die betroffenen Unternehmen reagiert?

Am 27. November habe Pereira die Schwachstelle an Securitas gemeldet und versucht in Kontakt mit einem technischen Ansprechpartner zu treten. Auch Marvelit habe eine Nachricht von ihm erhalten. Doch statt einer Antwort des Herstellers wurde die Website offline genommen.

Auch im Januar 2025 enthält die Website eine Warnung bezüglich eines fehlerhaften Sicherheitszertifikats.

Der Securitas habe der Ethical Hacker angeboten, ehrenamtlich einen technischen Bericht zu den entdeckten Sicherheitsrisiken bereitzustellen. Daraufhin habe ihm – einige Tage nach seinem Beitrag – endlich jemand geantwortet. Obwohl Securitas ein schwedisches Unternehmen ist, sei er an die amerikanische Niederlassung weitergeleitet worden, denn dort gebe es ein Responsible-Disclosure-Programm. „Ich habe versucht, dem deutschen Ansprechpartner klarzumachen, dass es sich um ein großes Problem handelt, worum man sich umgehend drum kümmern sollte. Dann hat mir die deutsche Securitas angeboten, noch am selben Tag zu telefonieren.“ Zu diesem Telefonat sei es jedoch nie gekommen. Auch andere Unternehmen, die das CRM von Marvelit einsetzen würden, habe Pereira über die Sicherheitslücke informiert – doch leider kaum zielführende Antworten erhalten. Daraufhin habe er seinen ersten Beitrag auf LinkedIn zu dem Thema veröffentlicht.

Pereira sagt, er wolle niemandem eine böse Absicht unterstellen oder Einzelpersonen an den Pranger stellen. Doch er habe in seinem Tagesgeschäft schon viele verrückte Fälle erlebt. Er hätte bereits mit Unternehmen zusammengearbeitet, die überhaupt nicht wussten, wie sie mit einer gemeldeten Sicherheitslücke umgehen sollten. Auch Unternehmen, die versuchten, das Problem „unter den Teppich zu kehren“ und vor der Öffentlichkeit geheim zu halten, habe er bereits Sicherheitslücken gemeldet. „Solche Situationen entstehen meiner Meinung nach, wenn die Awareness fehlt. Wenn Personen nicht wissen, wie sie damit umgehen sollen, wenn jemand ihnen ein Risiko für die Cybersicherheit meldet. In vielen Unternehmen herrscht auch eine Politik, die viel Druck auf Mitarbeitende ausübt und in der keine Fehler gemacht werden dürfen. Das ist Teil des Problems.“

Sorge vor Konsequenzen

Mitarbeitende haben Angst, Vorfälle zu melden

Doch das Vertuschen oder Geheimhalten eines Problems funktioniert Pereira zufolge nur für eine kurze Zeit. Irgendwann käme ein Sicherheitsvorfall ohnehin an die Öffentlichkeit. Und dann ist es für Unternehmen immer besser, proaktiv reagiert sowie Kunden und Partner transparent informiert zu haben.

Auch die Redaktion von Security-Insider hat sich bei der Securitas gemeldet und um eine Stellungnahme gebeten. Der Pressesprecher des Unternehmens antwortete, dass es grundsätzlich keine Mutmaßungen kommentieren und wies zudem darauf hin, „dass es allen Konventionen zur verantwortungsvollen Offenlegung vermeintlicher Sicherheitslücken widerspricht, derlei Vorgänge in den sozialen Medien zu thematisieren“. Dies wirft natürlich die Frage auf, ob Pereira mit seinen Beträgen auf LinkedIn unethisch gehandelt hat.

Kritik an Ethical Hackern

„Ich habe nicht öffentlich gezeigt, wie andere die Schwachstellen finden oder ausnutzen können“, sagt Pereira. „Ich habe keine Passwörter veröffentlicht und ich habe niemandem die Chance gegeben, eine der Sicherheitslücken auszunutzen. Das ist für mich der essenzielle Kern, ich habe die Securitas damit nicht gefährdet, sondern nur ein Problem angesprochen, damit sich jemand darum kümmert.“ Damit die Menschen ihm Glauben schenken und um die Kontaktaufnahme durch die Securitas zu beschleunigen, hat er in einem der Beiträge die Zeichenlänge des Master-Passworts für das CRM der Securitas genannt. Sich allein mit dieser Information Zugriff zu verschaffen, sei jedoch unmöglich.

White Hat Hacker, die nicht im direkten Auftrag eines Unternehmens handeln, sollten bei ihrer Arbeit unbedingt darauf achten, sich im gesetzlichen Rahmen zu bewegen, um rechtliche Konsequenzen zu vermeiden. Als Leitfaden dient das Prinzip „Responsible Disclosure“.

Nach diesem Prinzip arbeiten auch die Analysten der Zero Day Initiative (ZDI). Das Hauptziel der Initiative, die zu Trend Micro gehört, ist es, Zero-Day-Schwachstellen zu schließen, bevor sie von Cyberkriminellen ausgenutzt werden können. „Sobald eine ungepatchte Schwachstelle im Bug-Bounty-Programm der ZDI eingereicht wird, validiert diese die Sicherheitslücke und meldet sie sofort vertraulich an den Hersteller. Dieser veröffentlicht entweder einen Patch oder teilt der Zero Day Initiative mit, dass die Schwachstelle ungepatcht bleibt, woraufhin die ZDI die Details der Schwachstelle online stellt“, erläutert Robert Wortmann, Principal Security Strategist bei Trend Micro, die Vorgehensweise der Analysten. Um die Schwachstelle zu beheben räumt die Zero Day Initiative dem Hersteller 120 Tage Zeit ein. Erst danach veröffentlicht sie die Details zur Schwachstelle.

Eine Herausforderung dabei sei, dass einige Hersteller oft selbst keine koordinierte Offenlegung bei der Veröffentlichung von Patches praktizieren, was zu Transparenzproblemen führen könne. „Ein zentrales Problem besteht darin, dass Hersteller in einigen Fällen nach der Behebung von Schwachstellen oft weder die Forscher informieren noch klar dokumentieren, welche Probleme behoben wurden und wie schwerwiegend diese sind. Das ZDI erlebt immer wieder, dass Hersteller Patches veröffentlichen, ohne die Forscher über den Status zu informieren. Dies führt dazu, dass Angreifer durch Reverse Engineering von Patches Schwachstellen schneller identifizieren und ausnutzen können, bevor Unternehmen diese vollständig implementiert haben. Selbstverständlich arbeitet die ZDI mit vielen Herstellern auch gut zusammen“, erläutert Wortmann. „Die mangelnde Abstimmung behindert jedoch nicht nur die Arbeit der ZDI, die den Patch prüfen muss, sondern auch die Unternehmen, die ohne genaue Informationen die Risiken nur schwer einschätzen können. Ein Beispiel sind Diskrepanzen bei CVSS-Werten, die darüber entscheiden, wie schnell ein Patch eingespielt wird. Mangelnde Kommunikation erhöht somit das Risiko für Millionen von Nutzern und schwächt das Vertrauen in Sicherheitsmaßnahmen.“

Wie finden Unternehmen Ethical Hacker?

Die Arbeit von Penetrationstestern ist in der IT-Branche sehr geschätzt und auch White Hat sowie Ethical Hacker werden von Unternehmen immer häufiger beauftragt, nach Schwachstellen zu suchen. Dennoch müssen die ethischen Hacker erst einmal ihre Vertrauenswürdigkeit beweisen. Zum einen sollten Unternehmen nicht blind auf die Tester vertrauen, sondern Verträge mit ihnen abschließen, darüber, wie und wie weit sie in die internen Systeme vordringen dürfen sowie Vereinbarungen zur Geheimhaltung und Datenverarbeitung. Auch ein Hintergrund-Check lohnt, bevor Unternehmen einen Penetrationstester beauftragen. Viele Unternehmen haben auch eigene Bug-Bounty-Programme, über die sie White Hats für gefundene Sicherheitslücken entlohnen, oder setzen auf externe Anbieter wie Intigriti, Bugcrowd oder Hackerone.

Pereiras Appell

„Geht offen mit eurem Fehler um, kommuniziert transparent“, appelliert Pereira. „In jedem Unternehmen werden früher oder später Schwachstelle bekannt werden. Wenn eure Kunden sehen, dass ihr verantwortungsvoll damit umgeht, werdet ihr viel davon haben.“ Letzten Endes will der Pen-Tester weder Geld noch Anerkennung für seine ehrenamtliche Arbeit. Er möchte dazu beitragen, Unternehmen und somit auch die Öffentlichkeit sicherer zu machen.

Security-Insider Podcast – Folge 84

Gehackt! Was jetzt?

(ID:50283997)