Hacker: Gefährliches Spiel am Rande der Legalität

Die Bezeichnung „Gray Hat“ stammt ursprünglich von L0pht („loft“ ausgesprochen), einer der bekanntesten Hacker-Vereinigungen der alten Schule, und bezeichnet all jene, die sich sowohl von den Security-Testern der Unternehmen als auch von den berüchtigten Black Hats distanzieren wollen. In diese Kategorie fallen inzwischen die meisten unabhängigen Security-Experten und -Berater sowie viele Forscher im Bereich Unternehmenssicherheit.

„Wir haben die Bezeichnung ,Gray Hat‘ für die unabhängigen Forscher gewählt, die kein eigenes Interesse an bestimmten Unternehmen oder Produkten haben“, sagt Chris Wysopal, Leiter der F&E-Abteilung bei der Sicherheitsfirma @Stake, die aus dem harten Kern der ehemaligen L0pht-Hacker entstanden ist. Wysopal nannte sich „Weld Pond“, als er noch zu L0pht gehörte.

Andere halten eine solche Grauzone jedoch für nicht zulässig, auch dann nicht, wenn Hacker auf Firmenserver zugreifen, um den Administrator über Schwachstellen zu informieren. Mit dieser Vorgehensweise wurde der Hacker Adrian Lamo bekannt. Er ist in die Netzwerke von WorldCom, The New York Times, America Online und Excite@Home eingebrochen und hat dann die Unternehmen oder meist zunächst die Presse darüber informiert.

Für Leute wie Peter Lindstrom, Leiter für Sicherheitsstrategien bei der Beraterfirma Hurwitz Group, sind Lamos und seinesgleichen kriminelle Hacker.

„Wer zu den Gray Hats gehört, ist auch ein Black Hat“, meint Lindstrom. „Ich kann zwar verstehen, was diese Leute bezwecken wollen, doch letztendlich kommt es darauf an, was sie tatsächlich tun.“ Wenn ein Netzwerk von Hackern angegriffen wird, hat ein Administrator kaum Möglichkeiten, deren Absichten zu beurteilen. Jedes Eindringen muss wie ein Notfall behandelt werden, weshalb jeder Eindringling wie ein Krimineller behandelt werden sollte, so Lindstrom.

Diese Auffassung wird zum jetzigen Zeitpunkt zwar eher von einer Minderheit vertreten, sie gewinnt jedoch rasch mehr Anhänger. Diese Entwicklung verleiht Gesetzen wie dem Digital Millennium Copyright Act mehr Gewicht.