FFHS-Absolvent Simon Reinhart ist ein Friendly Hacker. Er sucht und findet Schwachstellen in IT-Systemen. Was es braucht um ein solcher Hacker zu werden und wie er seine erste Bug Bounty Live Challenge am ersten GOHack23, erlebt und sogar gewonnen hat, erzählt er im Interview. 

Wie haben Sie die Bug Bounty Live Challenge am GOHack erlebt?

Es war das erste Mal, dass ich an einer Live Challenge teilgenommen habe und deshalb hatte ich eigentlich keine grossen Erwartungen. Ich war dann vom Event sehr positiv überrascht. Es war super organisiert und ich konnte auch einige bekannte Gesichter der Bug Bounty Szene sehen. Ein grosses Kompliment an alle, die bei dem Event mitgewirkt haben. Ich freue mich schon auf das Revival im Jahr 2024.

Bezeichnen Sie sich als Hacker? 

Neben Penetration Tester, IT Security Analyst oder Security Researcher ist auch Ethical Hacker, beziehungsweise Friendly Hacker, eine offizielle Bezeichnung meines Berufes.

Vom Informatiker zum Friendly Hacker: Simon Reinhart studierte Informatik an der FFHS. 

Jetzt sucht er Schwachstellen in IT-Systemen. (Bildquelle: ZVG)

Was macht einen Friendly Hacker aus?

Die Bezeichnung Hacker suggeriert vermutlich bei vielen das Bild einer Person, welche kriminelle Aktivitäten begeht. Viele der Aktivitäten eines Friendly Hackers sind deckungsgleich mit denjenigen eines kriminellen Hackers. Jedoch aber mit dem Unterschied, dass gute Absichten dahinterstecken. Das Ziel eines Friendly Hackers ist es, Schwachstellen aufzudecken und zu melden, sodass diese geschlossen werden können, bevor sie von einem kriminellen Hacker ausgenutzt werden.

Wie wird man ein Friendly Hacker?

Gute Basiskenntnisse in Informatik und Softwareentwicklung sind Voraussetzung. Neben dem braucht es vermutlich das richtige Gespür und vor allem eine gute Portion Motivation. Im Internet gibt es genügend Ressourcen, um sich die Konzepte dahinter selbst anzueignen. Ich hatte zudem das Glück, dass ich vor rund sechs Jahren einen Job als Penetration Tester bei der Protect7 GmbH bekommen habe. Bedeutet, ich konnte mir die nötigen Fähigkeiten durch die tägliche Arbeit aneignen und praktizieren.  

Sie gingen an Ihrer ersten Live Challenge am GoHack23 als Sieger hervor. Hand aufs Herz: wie leicht waren die Unternehmen an der Challenge zu hacken?

Die Maturität der Applikationen bei einem Programm war nach meiner Einschätzung eher gering. Bedeutet, da war es eher einfach Sicherheitslücken zu finden. Neben Erfahrung spielt aber manchmal auch das Glück eine Rolle. Wenn man gleich zu Beginn am richtigen Ort schaut, dann hat man auch schneller Erfolge.

Gemäss Ihrer Einschätzung, wo liegen die grössten Schwachstellen von Schweizer Unternehmen in Sachen Cyber Security? 

Schätzungsweise ist das nach wie vor der Faktor Mensch. Gerade bei herkömmlichen KMU ist vermutlich eine überschaubare Anzahl Services direkt exponiert und meist handelt es sich dabei um renommierte Standardprodukte. Da wählen viele Hacker eher den Weg über Social Engineering Angriffe. Um dem entgegenzuwirken ist es wichtig, mittels Schulungen eine genügende Awareness bei den Mitarbeitern zu erreichen. Genauso wichtig, ist es natürlich, die exponierten Standardprodukte auf dem neusten Stand zu halten, um zu verhindern, dass öffentlich bekannte Schwachstellen ausgenutzt werden. Bei Unternehmen mit vielen exponierten und eigens entwickelten Services ist natürlich die Gefahr von bestehenden Zero Day Schwachstellen gegeben. Diese führen meist zu sogenannten Data Leaks oder Übernahme der Server / Infrastruktur mit Missbrauchs- oder Erpressungsabsichten, Letzen Endes fast immer einhergehend mit einem Reputationsschaden.

Auch bei den von der FFHS bereitgestellten Programmen gab es Schwachstellen und in Zukunft werden Sie uns unterstützen, diese zu schliessen?

Typischerweise besteht meine Aufgabe darin Schwachstellen zu entdecken und generische Empfehlungen abzugeben, wie diese geschlossen werden können. Die Behebung selbst erfolgt dann durch den Lieferanten der Software. Meist ist den Entwicklern auch klar, wie die Behebung erfolgen muss. Falls dem nicht so ist, wäre es natürlich zu empfehlen, die Entwickler dahingehend zu schulen. Nicht zuletzt auch um vorzubeugen, dass künftig wieder gleiche Schwachstellen implementiert werden. 

Rückblickend – wie wertvoll war ihr BSc Informatik an der FFHS für ihre aktuelle Karriere in der IT-Security?

Das Studium bei der FFHS hat mir geholfen, den Einstieg in die Informatik und Softwareentwicklung zu finden. Ohne die Basiskenntnisse des Studiums, hätte ich wohl auch nicht einen Job als Penetration Tester starten können. Sehr hilfreich war dabei auch, dass das Studium ziemlich praxisorientiert war und man auch eine gewisse Flexibilität hat. 

Die Fernfachhochschule ist Hochschulpartnerin von ICT-Berufsbildung Schweiz.