Was ist ein grauer Hut?

Wenn es um die Rechtmäßigkeit von Dingen wie Hacking geht, ist das Gesetz in der Regel sehr uneinheitlich. Entweder ist etwas ein Verbrechen – oder nicht. Ethik kann jedoch viel differenzierter sein. Während die Ethik einer Sache in einem kriminellen Umfeld berücksichtigt werden kann, sei es durch mangelnde Durchsetzung oder mildere Strafen, ist dies in keiner Weise garantiert.

Der Begriff Grey-Hat-Hacker bezieht sich auf Hacker, die diesen Drahtseilakt vollziehen. Oft sind ihre Handlungen illegal, aber sie haben eine ethische Rechtfertigung oder einen ethischen Rahmen. Technisch gesehen umfasst es auch diejenigen, die legal, aber unethisch handeln. Diese Gruppe ist jedoch viel kleiner als die erste.

Das Problem mit Black-Hat-Hackern besteht darin, dass sie unschuldige Menschen zum Opfer fallen und einfach ihrem Leben nachgehen. Es spielt keine Rolle, ob Sie ein Krankenhaus mit Patienten sind, deren Leben auf dem Spiel steht, ob Sie eine wichtige nationale Infrastruktur betreiben, eine Nuklearanlage betreiben oder für die Renten von Millionen von Menschen verantwortlich sind. Jeder ist für sie als Opfer akzeptabel, da ihr Ziel in der Regel darin besteht, sich selbst zu nützen.

Die Vorgehensweise von Gray-Hat-Hackern ist unterschiedlich, doch oft greifen sie auf illegale Handlungen zurück und versuchen gleichzeitig, den durch ihre Handlungen verursachten Schaden zu minimieren. Dies geschieht in der Regel dadurch, dass man sich wie ein White-Hat verhält , Schwachstellen identifiziert und sie verantwortungsvoll offenlegt, dies jedoch in kritischen Fällen ohne Erlaubnis tut.

Motivationen

Ein Grey-Hat-Hacker ist typischerweise ähnlich motiviert wie ein White-Hat-Hacker. Sie möchten Probleme offenlegen, um die Sicherheit für den Benutzer verantwortungsvoll zu verbessern. Im Allgemeinen empfinden sie das Rechtssystem jedoch als zu restriktiv und handeln ohne Erlaubnis. In einigen Fällen geschieht dies, weil trotz der ordnungsgemäßen Vorgehensweise keine Maßnahmen ergriffen wurden oder weil zum Spaß gehackt wurde.

Viele frühe Computerhacker waren motiviert, herauszufinden, was getan werden könnte. In vielen Fällen haben diese Hacker nichts Bösartiges getan. Technisch gesehen würden sie sich die Daten ansehen, aber es gab keine Schwarzmärkte, auf denen man sie verkaufen könnte. Für diese Hacker war es gängige Praxis, „eine Flagge zu hissen“, um zu signalisieren, dass sie dort gewesen waren, dann anzuhalten und weiterzumachen. Oftmals handelte es sich bei der Flagge um etwas Einfaches wie eine Textdatei mit der Aufschrift „X war hier.“ Dies wäre in der heutigen Zeit sicherlich illegal, aber die geltenden Gesetze gab es damals noch nicht. Diese Hacker taten dies normalerweise zum Spaß und richteten im Allgemeinen keinen großen Schaden an. Als solche könnte man sie „Graue Hüte“ nennen, obwohl man sie genauso gut „Schwarze Hüte“ nennen könnte.

Wenn ein ethischer Hacker versucht, eine Sicherheitslücke zu melden, auf die er gestoßen ist, stößt er manchmal auf Schweigen, Ablehnung oder Unglauben. Dies bringt den ethischen Hacker dann in ein Dilemma. Halten Sie alles geheim und hoffen, dass kein Black-Hat-Hacker den Fehler bemerkt, oder veröffentlichen Sie die Details, um potenziellen Opfern die Möglichkeit zu geben, das unsichere System nicht zu nutzen, und informieren gleichzeitig die Black-Hat-Hacker über das Problem? Es ist eine schwierige Entscheidung und eine ethische Herausforderung.

Beispiele aus der Praxis

Im Jahr 2013 entdeckte Khalil Shreateh, ein Sicherheitsforscher, eine Sicherheitslücke, die es einem Facebook-Benutzer ermöglichte, als anderer Benutzer zu posten. Er hatte versucht, das Problem durch das Bug-Bounty-Programm von Facebook angemessen offenzulegen. Das Problem wurde jedoch als „kein Fehler“ zurückgewiesen. Frustriert und sich der potenziellen Bedeutung eines solchen Problems für Black Hats bewusst, entschied er sich, dieses Problem auf sehr auffällige Weise auszunutzen.

Durch die Beeinträchtigung der Facebook-Seite von Mark Zuckerberg begrenzte er die Auswirkungen seiner Aktionen und machte gleichzeitig klar, wie problematisch die Sicherheitslücke war. Facebook hat das Problem dann schnell behoben. Es wurde kein Bug-Bounty ausgezahlt, da Khalil die Beschränkungen des Programms überschritten hatte. Es wurde auch nicht versucht, Anklage zu erheben. Dies ist ein hervorragendes Beispiel für die Entscheidung eines Hackers, dass der Zweck die Mittel heiligte, obwohl die Mittel illegal waren.

Im Jahr 2000 hackten sich zwei Hacker, „{}“ und „Hardbeat“, in die Website des Apache-Webservers ein. Wenn es sich um Black Hats handelte, hätten sie stillschweigend bösartige Downloads anstelle legitimer Downloads installieren können. Jeder Benutzer, der das Pech hatte, den Webserver zu installieren, bevor der Hack entdeckt wurde, wäre betroffen gewesen. Stattdessen haben sie „nur“ die Website verunstaltet und einige Bilder ausgetauscht. Die Aktionen schadeten keinem Benutzer und führten zu einem direkten Dialog, der zur Behebung des Problems führte. Auch hier waren die Aktionen illegal, aber in den Händen anderer hätte die Situation noch viel schlimmer sein können.

Ein „würdiges“ Opfer auswählen

In einigen Fällen zielen Grey-Hat-Hacker aktiv auf Gruppen ab, gegen die sie Einwände erheben. Oft sind diese Einwände mächtig und werden von der Gesellschaft insgesamt respektiert. Es sind nicht nur politische Gruppen, mit denen Sie nicht einverstanden sind. Dabei handelt es sich in der Regel um Gruppen, die den Terrorismus, repressive Regime, kriminelle Organisationen oder Pädophilenringe unterstützen. Auch hier sind alle diese Aktionen illegal, aber der graue Hut wählt seine Ziele auf der Grundlage eines moralischen Rahmens aus, der normalerweise sozial akzeptabel ist. Sie hoffen, dass ihre Bemühungen zum Schutz der Menschen beitragen.

Ein Grauer Hut, der nach diesem Prinzip arbeitet, könnte sich auch als eine Art Robin Hood-ähnliche Figur betrachten. Sie nehmen diesen Vergleich vielleicht sogar sehr wörtlich, stehlen Geld von ihren ausgewählten „verdienten“ Opfern und spenden es dann für einen selbst definierten guten Zweck. Dieses gesamte Konzept ist höchst subjektiv. Manche Menschen stimmen möglicherweise darin überein, dass die Handlungen zwar illegal, aber ethisch vertretbar sind, andere hingegen nicht.

Abschluss

Ein Grey Hat ist ein Hacker, dessen Handlungen und Motivationen irgendwo zwischen einem Black Hat und einem White Hat Hacker liegen. Typischerweise arbeiten sie nach dem Grundsatz, dass der Zweck die Mittel heiligt. Sie lösen zwar Sicherheitslücken, verstoßen dabei aber in der Regel gegen das Gesetz. Diese Aktion unterscheidet sie von White Hats.

Die Sorge, die Folgen für die Opfer zu minimieren oder in manchen Fällen „würdige“ Opfer auszuwählen, unterscheidet sie von Black Hats. Es ist wichtig zu verstehen, dass die Handlungen eines Grauen zwar zumindest bis zu einem gewissen Grad ethisch vertretbar sind, viele Gerichtsbarkeiten dies jedoch nicht berücksichtigen, wenn die Handlungen vor Gericht kommen.