Hacker in zwei Stunden

Sie stehlen Passwörter und knacken Internet- Seiten: Doch wie machen Hacker das? Ein AZ-Reporter hat es in einer Simulation ausprobiert

Ja, ich habe es schon einmal getan. Das W-Lan-Netzwerk des Modegeschäfts, über dem ich wohnte, war aber auch ziemlich unvorsichtig. Keine Verschlüsselung, und als Passwort hatten sie einfach den Namen ihres Ladens gewählt. Ein paar Minuten, und ich war drin. Klar, das ist verboten.

Für Berufs-Hacker, die von ihrem Computer aus fremde Daten ausspähen, Informationen von Kreditkarten auslesen oder in Firmennetze eindringen, eine Nichtigkeit. Wie die Hacker, die das Bundeskriminalamt vor einigen Tagen festnahm. Weil sie zehntausende von Computern infiziert und sensible Daten gestohlen haben sollen.

Doch genau das werde ich jetzt machen. Für einen mir unbekannten Auftraggeber soll ich die Seite einer Fast-Food-Kette hacken und geheime Dokumente besorgen. Falls mir beim Vorbeisurfen ein paar Kreditkarten-Daten unterkommen: Kann nicht schaden, lässt sich zu Geld machen. Sowieso soll Hacker ja ein recht gut bezahlter Beruf sein. Bis zu 10000 Euro im Monat. Steuerfrei.

Bevor Sie Ihr Kündigungsschreiben aufsetzen, sich Visitenkarten mit der Berufsbezeichnung „Hacker“ bestellen und überlegen, was Sie mit dem Geld anstellen könnten: Lassen Sie das lieber sein. Ich würde es nie tun. Zumindest nicht in Wirklichkeit.

Meine Hacker-Attacke geschieht unter Aufsicht und in einem abgesperrten System, in dem das World Wide Web bloß simuliert wird. Ein rein fiktives Szenario. Und weil ich vom Computer-Knacken überhaupt keine Ahnung habe, helfen mir die Experten von Stonesoft, einer weltweit operierenden Firma, die unter anderem die Netzwerke der Öl-Organisation OPEC, der Bank of America oder der ARD Fernsehwerbung schützt.

Netterweise haben die Sicherheitsexperten auch ein paar Programme auf den Computer gespielt, mit Namen wie „Zenmap“ oder „Wireshark“. Sie lassen sich leicht über Suchmaschinen im Netz finden und herunterladen. Aber Vorsicht: Manchmal ist schon der Besitz strafbar. Kriminell wird es spätestens dann, wenn jemand diese Programme benutzt, um andere auszuspionieren.

Bevor es losgeht, werde ich eindringlich gewarnt: Das Netzwerk, in das ich eindringen soll, sei zwar abgegrenzt, sollte ich allerdings irgendwie in das echte World Wide Web gelangen, müssten wir sofort abbrechen. Und das Wissen, das ich in den nächsten Stunden erwerben werde, solle ich besser nicht im realen Netz ausprobieren, das dürfte einige Probleme geben.

Alles, was ich habe, ist eine Internetadresse. Mehr nicht. Ich tippe sie in den Webbrowser ein, lande auf der Zielseite des Burger-Restaurants. Eine Speisekarte, ein Kunden-Login mit Kenn- und Passwort. Olli-Pekka Niemi muss helfen. Der Finne ist Verwundbarkeitsexperte bei Stonesoft und kennt alle Tricks der Hacker. Ich soll die Webadresse in eines der Programme eingeben. Es zeigt mir sämtliche Seiten der Burger-Kette an, darunter auch eine veraltete, die die Programmierer nicht abgeschaltet haben. Die Chance.

Mit „Metasploit“, einem anderen Programm, finde ich heraus, dass die Seite über das Betriebssystem „Windows 2000“ läuft, das einige Schwachstellen aufweist. Zahlenkombinationen und mir unbekannte Begriffe rattern über den Schirm. Noch ein paar Klicks und Anweisungen von Olli-Pekka Niemi, und ich bin am Ziel. Vorerst. Zehn Minuten hat es gedauert, um auf den fremden Rechner zuzugreifen. Ihn kann ich über ein geöffnetes Fenster auf meinen Laptop fernsteuern. Glücklicherweise hat der Benutzer sein E-Mail-System offen gelassen. Darin finde ich ein Passwort, der erste Punkt auf meiner digitalen Schnitzeljagd.

Knapp zwei Stunden, viele Klicks und Tastenkombinationen später bin ich am Ziel. Ich habe nicht nur die Dokumente auf meinen Computer transportiert, sondern besitze die Kontrolle über die Seite der Burger-Kette mit all ihren Kundeninformationen. Und den Nummern der Kreditkarten. Ein Gefühl der Macht. Hackern bringen solche Aufträge oder der Verkauf der Daten hohe Summen – für betroffene Firmen können die Schäden in die Millionen gehen.

Es ist zwar nur ein Spiel, doch genau so funktioniert es in Wirklichkeit, wenn die Programmierer der Seiten schlampig gearbeitet haben. Und selbst, wenn alles sicher scheint: Kleine Lücken, sagt Olli-Pekka Niemi, gibt es immer. Sicher ist niemand.

Christoph Landsgesell