In der öffentlichen Wahrnehmung sind Hacker vermummte Einzeltäter vor dunklen Bildschirmen. Das Bild ist eingängig, hilft bei der Absicherung der eigenen IT aber nicht weiter. Wer Angriffe realistisch einordnen und Schutzmaßnahmen richtig priorisieren möchte, braucht eine Vorstellung davon, wer hinter einem Angriff steht und was diese Person oder Gruppe erreichen will.
In diesem Beitrag ordne ich den Begriff ein und beschreibe die gängigen Hacker-Typen, ihre Motive und die Methoden, die sie einsetzen. Einzelne Angriffsarten und konkrete Vorfälle behandeln wir in eigenen Beiträgen.
Der Begriff Hacker ist zunächst wertfrei
Ursprünglich bezeichnet der Begriff technisch versierte Menschen, die Hardware und Software über den vorgesehenen Zweck hinaus nutzen. Im Kern geht es darum, ein System zu verstehen und es zu etwas zu bewegen, wofür es nicht gedacht war. Diese Beschreibung ist zunächst wertfrei.
Ob das Handeln legal ist, entscheidet sich an zwei Punkten: an der Erlaubnis des Systembetreibers und an der Absicht. Sicherheitsforscher und Penetrationstester arbeiten im Auftrag und mit klar abgegrenztem Prüfrahmen. Kriminelle Angreifer verschaffen sich Zugang ohne Einwilligung und verfolgen eigene Ziele. In der Fachsprache spricht man deshalb häufig neutraler von Angreifern oder Bedrohungsakteuren.
Hacker unterscheiden sich nach Auftrag, Absicht und Ziel
Die verbreitete Einteilung nach Hutfarben geht auf alte Westernfilme zurück, in denen die Guten helle und die Bösewichte dunkle Hüte trugen. Sie unterscheidet nach Auftrag, Legalität und Absicht. In der Praxis kommen weitere Gruppen hinzu, die sich vor allem über ihr Ziel definieren.
White Hats, auch ethische Hacker genannt, arbeiten im Auftrag von Unternehmen. Sie suchen Schwachstellen mit denselben Werkzeugen wie Angreifer, dokumentieren ihre Funde und geben Empfehlungen zur Behebung. Penetrationstester sind eine Untergruppe davon.
Black Hats dringen ohne Erlaubnis in Systeme ein. Sie wollen Geld erpressen, Daten verkaufen oder bewusst Schaden anrichten. Ein großer Teil der professionell organisierten Angriffe auf Unternehmen fällt in diese Gruppe.
Grey Hats suchen unaufgefordert nach Lücken und melden sie den Betreibern, teils verbunden mit öffentlichem Druck. Die Absicht kann konstruktiv sein, der Zugriff ohne Einwilligung bleibt rechtlich unzulässig.
Green Hats und Script Kiddies verfügen über wenig eigenes Fachwissen und nutzen fertige Werkzeuge und Anleitungen. Ihr Vorgehen ist oft ungezielt, der entstehende Schaden trotzdem real.
Böswillige Insider sind aktuelle oder ehemalige Mitarbeiter, Dienstleister oder Partner. Sie missbrauchen bestehende Zugänge, etwa aus Frust, aus finanziellem Interesse oder um Interna offenzulegen.
Hacktivisten verfolgen politische, soziale oder weltanschauliche Ziele. Typisch sind Überlastungsangriffe auf Webseiten, veränderte Inhalte oder die Veröffentlichung interner Dokumente.
Wirtschaftsspione arbeiten im Interesse von Wettbewerbern. Sie haben es auf Konstruktionsdaten, Kalkulationen, Rezepturen oder Kundenlisten abgesehen. Solche Angriffe bleiben oft lange unbemerkt, weil kein sichtbarer Schaden entsteht.
Staatlich gesteuerte Gruppen verfolgen nachrichtendienstliche oder strategische Ziele und nehmen auch kritische Infrastrukturen ins Visier. Für mittelständische Unternehmen sind sie vor allem dann relevant, wenn sie als Zulieferer in solche Ketten eingebunden sind.
Das Motiv bestimmt das Vorgehen
Wie ein Angreifer vorgeht, wie lange er bleibt und worauf er zugreift, hängt vom Motiv ab. Für die Einordnung taugt es deshalb mehr als die reine Technik. Fünf Beweggründe treten regelmäßig auf.
Geld: Erpressung durch verschlüsselte Systeme, Betrug über gefälschte Rechnungen oder Zahlungsanweisungen, Weiterverkauf gestohlener Daten und Zugänge.
Informationen: Zugriff auf Entwicklungsdaten, Angebote, Verträge oder personenbezogene Daten. Ziel ist ein Wissensvorsprung, eine Störung des Betriebs gehört nicht dazu.
Überzeugung: politische, gesellschaftliche oder weltanschauliche Ziele. Hier zählt Aufmerksamkeit, oft verbunden mit öffentlicher Wirkung.
Rache und Frust: meist Insider nach einer Kündigung, einem Konflikt oder einer beendeten Zusammenarbeit.
Geltung und Neugier: Anerkennung in der Szene oder schlicht der Reiz, ob ein Zugang funktioniert. Dieses Motiv erklärt viele ungezielte Angriffe.
Die Einstiegswege der Angreifer ähneln sich
So unterschiedlich die Gruppen sind, ihre Methoden gleichen sich. Die folgenden decken einen Großteil der Fälle ab, die in der Praxis auftreten.
Social Engineering und Phishing: Der Einstieg führt häufig über Menschen. Gefälschte E-Mails, Anrufe oder Chatnachrichten sollen zur Preisgabe von Zugangsdaten oder zur Freigabe einer Zahlung bewegen.
Gestohlene Zugangsdaten: Kennwörter aus früheren Datenabflüssen werden automatisiert ausprobiert. Konten ohne Mehrfaktor-Authentifizierung sind dabei besonders exponiert.
Bekannte Schwachstellen: Angreifer nutzen veröffentlichte Sicherheitslücken in Betriebssystemen, Anwendungen, VPN-Zugängen oder Firewalls aus. Zwischen der Veröffentlichung eines Updates und den ersten Angriffsversuchen liegen häufig nur wenige Tage.
Fehlkonfigurationen: Offen erreichbare Dienste, zu weit gefasste Berechtigungen oder vergessene Testsysteme öffnen Wege ins Netz, ohne dass eine Software fehlerhaft sein muss.
Schadsoftware: Ist ein Zugang vorhanden, folgt in der Regel Schadsoftware. Sie dient dazu, Rechte auszuweiten, Daten abzuziehen oder Systeme zu verschlüsseln.
Der Weg über Dritte: Dienstleister, Softwarelieferanten und Fernwartungszugänge sind ein häufiger Umweg. Ein gut abgesichertes Unternehmen lässt sich über eine schwächer geschützte Verbindung dennoch erreichen.
Auch mittelständische Unternehmen sind betroffen
Ein verbreiteter Irrtum lautet, das eigene Unternehmen sei für Angreifer zu klein oder zu unbekannt. Das trifft nur zu, wenn ein Angriff gezielt geplant wird. Ein Großteil der Versuche läuft jedoch automatisiert: Suchprogramme prüfen fortlaufend erreichbare Systeme im Internet auf bekannte Schwachstellen und melden jeden Treffer, unabhängig von Branche und Größe.
Hinzu kommt die Lieferkette. Mittelständische Betriebe sind über Portale, Datenaustausch und Fernwartung mit Kunden und Partnern verbunden. Diese Verbindungen machen sie als Zwischenstation interessant. Mit einem Angriffsversuch müssen Sie deshalb rechnen. Offen ist vor allem, ob er auf vorbereitete Systeme trifft.
Aus der Typologie folgen klare Prioritäten
Die Einteilung nach Typen und Motiven hilft dabei, Maßnahmen zu priorisieren, statt alles gleichzeitig absichern zu wollen. Gegen die häufigsten Vorgehensweisen wirken einige wenige Bausteine besonders zuverlässig.
Identitäten absichern: Mehrfaktor-Authentifizierung für alle Konten, getrennte Administratorkonten und bedingter Zugriff, etwa über Microsoft Entra ID.
Updates verlässlich einspielen: ein definierter Prozess mit festen Fristen, der auch Firewalls, VPN-Gateways und Netzwerkgeräte einschließt.
Endgeräte überwachen: eine Lösung zur Erkennung und Reaktion wie Microsoft Defender für Endpunkt. Die Warnmeldungen müssen dabei jemanden erreichen, der sie bewertet.
Berechtigungen begrenzen: Zugriff nur auf das, was für die Aufgabe nötig ist. Beim Austritt von Mitarbeitern und beim Ende von Dienstleisterverträgen gehören alle Zugänge entzogen.
Datensicherung prüfen: Backups getrennt vom produktiven Netz aufbewahren und neben der Sicherung auch die Wiederherstellung regelmäßig testen.
Mitarbeiter einbeziehen: kurze, wiederkehrende Schulungen und ein bekannter Meldeweg für verdächtige Nachrichten. Eine frühe Meldung verkürzt die Reaktionszeit erheblich.
Notfallplan festhalten: wer entscheidet, wer informiert, welche Kontakte auch ohne funktionierende IT erreichbar sind.
Regelmäßig prüfen lassen: Schwachstellenscans und Penetrationstests zeigen, wie das eigene Netz von außen aussieht.
Nicht jede Organisation ist für jede Angreifergruppe ein realistisches Ziel. Ein Maschinenbauer mit eigener Entwicklung hat ein anderes Risikoprofil als eine Behörde oder ein IT-Dienstleister mit Zugriff auf Kundensysteme. Ich würde deshalb mit einer kurzen Bestandsaufnahme beginnen, welche Daten und Zugänge im eigenen Haus überhaupt attraktiv sind.
Wenn Sie einordnen möchten, welche Angreifergruppen für Ihr Unternehmen infrage kommen und wo Ihre Schutzmaßnahmen Lücken haben, sprechen Sie uns an. Wir bei aconitas begleiten mittelständische Unternehmen, Behörden und IT-Dienstleister von der Bestandsaufnahme über die Umsetzung bis zum laufenden Betrieb.
Die eigene Angriffsfläche kennen
Wer wissen will, wie angreifbar das eigene Unternehmen ist, lässt es prüfen. Ein Pentest nach BSI-Standard zeigt die Lücken, die sich in Ihrer Umgebung ausnutzen lassen, und bleibt nicht bei allgemeinen Risiken stehen.
Häufige Fragen
White Hats prüfen IT-Systeme im Auftrag des Betreibers und melden ihre Funde, damit Lücken geschlossen werden. Black Hats verschaffen sich Zugang ohne Erlaubnis und wollen Geld erpressen, Daten stehlen oder Schaden anrichten. Die eingesetzte Technik ähnelt sich, der rechtliche Rahmen und die Absicht unterscheiden sich grundlegend.
Nein. Der Begriff beschreibt zunächst nur Menschen, die Technik über ihren vorgesehenen Zweck hinaus nutzen. Ein Teil davon arbeitet legal, etwa als Penetrationstester oder in der Sicherheitsforschung. Kriminell wird das Handeln erst durch den unbefugten Zugriff auf fremde Systeme und die Absicht dahinter.
Viele Angriffe sind nicht gezielt. Automatisierte Suchprogramme prüfen erreichbare Systeme im Internet auf bekannte Schwachstellen und melden jeden Treffer, unabhängig von der Unternehmensgröße. Hinzu kommt der Weg über die Lieferkette: Kleinere Betriebe sind mit größeren Kunden verbunden und werden als Zwischenstation genutzt.
