Nachtaktive Berater

Die Hackerbewegung befasst sich längst nicht mehr nur mit illegalen Attacken. Viele Mitglieder der Szene nutzen ihre Expertise, um Unternehmen Sicherheitstipps zu geben – und gutes Geld zu verdienen.

Es ist schon nach 23 Uhr, als der Junge mit der Arbeit anfängt. Ein Systemadministrator der Piratenpartei hat ihn um Hilfe gebeten. Für den Berliner Wahlkampf hat die betont netzkompetente Kleinpartei eine Webseite für Hauptstadtgäste aufgesetzt. Um Mitternacht sollen zehntausend E-Mails an Mitstreiter rausgehen, doch der Pirat hat Probleme mit seinem Server. Deshalb betritt er spät und angespannt die C-Base, einen von einer Handvoll "Hackerspaces" in Berlin, und geht über eine Wendeltreppe nach unten in den "Members only"-Bereich: ein paar fensterlose Kellerräume mit ausnehmend gutem Mobilfunkempfang, die wie eine Mischung aus Jugendherberge und Raumschiff wirken. An der Wand ist eine Reihe Pissoirs montiert, in einem steckt ein silbriger Roboterkopf, in den Regalen verstauben obskure Software-Lehrbücher und Science-Fiction-Schundromane. Der Pirat redet kurz auf den Jungen ein und gibt ihm dann die Zugangsdaten für den Server.

Der Junge, Twitter-Name @manonuem, ist 16 Jahre alt, aufgedreht, chaotisch, ein Teenager eben. An diesem Abend hat er sich in den Keller verzogen, wo schweigsame junge Männer mit Macbook und Kapuzenpulli in düsteren Sofa-Ecken sitzen, Go spielen oder in ihre Laptops tippen. Sind das nun alles Hacker, Leute, die illegal in IT-Systeme eindringen, um dort Sicherheitslücken aufzuspüren und auszunutzen? @manonuem will darauf keine klare Antwort geben. Er würde sich selbst nie so bezeichnen. Auch der Pirat nennt sich Systemadministrator, es sind Parteikollegen, die sagen, er sei Hacker. Der interne Ehrenkodex sieht vor, sich an seinen Fähigkeiten messen zu lassen – Wertungen, Empfehlungen und Etiketten vergeben andere. Darin immerhin sind sich die Mitglieder der Hackerzunft einig.

Ansonsten ist die Bewegung extrem uneinheitlich. Seit jeher spaltet sie sich in die weißen Hüte (white hats), also die guten Hacker, und die schwarzen Hüte (black hats), die bösen Cracker. Auch Generationenkonflikte stören die Eintracht der Szene. Den jüngeren "Script Kiddies" fehle es an Geschicklichkeit und am moralischen Überbau, klagen Veteranen, allen voran der Chaos Computer Club, der unlängst seinen 30. Geburtstag feierte.

Die "Script Kiddies" gehören zu den prominentesten unter den diversen Untergruppen von Anonymous, einem Hacker-Kollektiv, das sich 2007 formiert – und die Lage vollends kompliziert gemacht hat: Nach einvernehmlichen Protestaktionen gegen Scientology und Internetzensur in der Anfangszeit begann eine Phase der Zersplitterung. Inzwischen gibt es mit LulzSec, AnonOps und Co. so viele Subgruppen von Anonymous, dass selbst Insider Schwierigkeiten haben, den Überblick zu behalten. Anarchisten-Spielplatz, Schlägertrupp, Netzkulturpraxis, ziviler Ungehorsam, Hackerclub – Anonymous sei ein bisschen von alledem, sagt die US-Anthropologin Gabriella Coleman von der New York University, die das dezentrale Hacker-Kollektiv wissenschaftlich erforscht. Diese gewisse Schlüpfrigkeit mache die Bewegung so undurchschaubar – und gleichzeitig so interessant. "Ich halte Anonymous durchaus für politisch effektiv, gerade weil die Gruppe so mysteriös ist", sagt die Forscherin.

@manonuem will sich eigentlich keiner Hackergruppe zuordnen, versteht Anonymous aber als Deckmantel für seine Aktionen im Web: "So kann man selber coole Sachen machen und dann das Label Anonymous draufkleben." Zuzutrauen ist ihm einiges. Er kommt aus gutem Hause, ein IT-Überflieger, der mit sechs Jahren in einen Computerkurs für hochbegabte Kinder gesteckt wurde. Seine erste Programmiersprache war Visual Basic, da war er sieben. "Damit habe ich heute nichts mehr zu tun!" Inzwischen ist sein Metier PHP, die Sprache der Webserver. An drei Software-GmbHs ist er beteiligt, eine davon hat er selbst gegründet, verdient gutes Geld mit IT-Beratung. Lästig ist nur die Schulpflicht, ein Informatikstudium wird ihn kaum noch reizen.

In der Hackerszene tummeln sich allerdings nicht nur IT-Ausnahmetalente wie er. Vereinfachte Hacker-Software macht die Teilnahme am digitalen Dissidententum zunehmend leicht. Ob jedoch jeder als Hacker gilt, der bunte Comickatzen-Grafiken auf fremde Websites stellen oder die Ionenkanone "LOIC" bedienen kann, eine frei verfügbare Software für massenhafte Serverattacken – darüber wird in der Szene derzeit hitzig diskutiert.

Wie auch über viele andere Grundsatzthemen. Etwa über die kriegerischen Aspekte der Hacker-Tätigkeit. Für viele Beobachter kommt die Folge von Attacken auf namhafte Firmen und Einrichtungen allmählich einem Cyberkrieg gleich. Zu den prominentesten Angriffen der letzten Zeit zählen LulzSecs Datendiebstähle bei Sony und die Geschmacklosigkeiten der erst kürzlich aufgetauchten Vereinigung "Script Kiddies": Diese Gruppe verbreitete ohne erkennbares Motiv zum zehnten Jahrestag von 9/11 im gehackten Twitter-Konto des US-Nachrichtensenders NBC die Falschmeldung, ein Flugzeug sei in Ground Zero gestürzt. Welche Auswirkungen solche Übergriffe im Web haben können, bekam zuletzt auch Julian Assange, Gründer von WikiLeaks, zu spüren. Eine Reihe von menschlichen Fehleinschätzungen, Intrigen und Leckagen führte dazu, dass nun mehr als eine Viertelmillion US-Botschaftsdepeschen unredigiert und mit ungeschwärzten Namen aller Informanten im Netz kursieren – eine Katastrophe für die Betroffenen und ein enormer Imageschaden für WikiLeaks. Die Utopie der Enthüllungsplattform scheint vorerst gescheitert.

Den Jungen regt die Causa WikiLeaks nicht besonders auf. Er plädiert ohnehin für den freien Fluss von Information und sagt lakonisch, man müsse sich eben bewusst machen, dass alles, was eine Netzwerkkarte passiert, praktisch öffentlich ist. Ähnlich pragmatisch sieht das ein anderer junger Mann. Christian Holler hat sich am anderen Ende der Hacker-Grauzone angesiedelt und entwirft Programme, die Sicherheitsmängel im System aufspüren und beheben. In seiner Masterarbeit am Informatik-Fachbereich der Universität des Saarlandes hat der Student gezeigt, wie sich Sicherheitslücken in Browser-Software systematisch auffinden lassen.

Innerhalb eines guten Jahres hat er damit in den Online-"Bug"-Registern von zwei weltweit verbreiteten Internet-Browsern, Chrome und Firefox, einen fünfstelligen Betrag verdient, akkumuliert aus vielen Einzelhonoraren für das unermüdliche Eintragen von Macken und Fehlverhalten der Internet-Programme. Und dank seiner Aufspürleistungen hat der 25-Jährige auch schon eine Stelle als "Security Engineer" sicher – beim kalifornischen Software-Unternehmen Mozilla, Hersteller von Firefox und dem Mailbrowser Thunderbird.

Die Wirtschaft hat es längst verstanden, das Wissen der Hackerszene für sich zu nutzen. Interne IT-Sicherheitsaudits mit eingekauften Experten aus der Bewegung gehören fast schon zum Pflichtprogramm für größere Firmen mit Webpräsenz. Ende August kündigte die Web-Plattform Facebook an, bis zu 40000 Dollar für das Auffinden von Sicherheitslücken und Programmierfehlern auf der monatlich milliardenfach besuchten Webseite auszuloben. Ähnlich wie Google und Mozilla es praktizieren, soll jeder, der einen Fehler im System entdeckt, diesen online eintragen können – dann wird das Problem behoben und ein der Relevanz entsprechender Finderlohn (Bounty) dafür ausgezahlt.

Seit Kurzem fördert Google auch zwei Doktoranden und Teile der Softwaresicherheits-Forschung am Informatik-Institut in Saarbrücken. "So gesehen hat uns die Arbeit von Herrn Holler mehrere Millionen Euro Forschungsgelder beschert", freut sich Andreas Zeller, Leiter des Lehrstuhls für Softwaretechnik und Christian Hollers wissenschaftlicher Betreuer.

Unten im Keller der C-Base in Berlin herrscht derweil konzentrierte Stille, nur das Klacken der Go-Steine und Computertastaturen ist zu hören. Angelehnt an den Go-Tisch tippt der Junge PHP-Befehle in ein Fenster auf seinem Rechner. Viertel vor zwölf, kurz vor Ultimo, findet er eine provisorische Lösung für das Serverproblem der Piratenpartei. "Das ist jetzt noch etwas ... beta", räumt er ein. So heißen die vorläufigen Versionen von Software oder Webseiten. Doch der Pirat in seinem Nacken entdeckt die gewünschte Testmail auf seinem Server und nickt entspannt. (bsc)