Hacker und TUW-Universitätsassistent Marco Squarcina im Interview. 

Wie wird man zum Hacker – hat es mit der Ausbildung an der Universität zu tun?

Marco Squarcina: Hacken ist eher eine persönliche Angelegenheit. Man wird nicht zum Hacker, weil es im Studienplan vorgeschrieben ist. Das klingt vielleicht etwas nerdig, aber Hacken ist weniger schrill, als es von außen aussieht: Es erfordert viel Engagement, vor allem am Anfang, und man muss Spaß daran haben, sich in die kleinen Details von IT-Systemen zu vertiefen. Das erfordert eine besondere Art von Hingabe, aber es macht schnell süchtig!

Jedenfalls ist es heute viel einfacher als noch vor einigen Jahren, sich dem Thema zu nähern, auch wenn das Niveau stark gestiegen ist. Als ich 2009 anfing, war es schwierig, die fortgeschrittensten Techniken zu verstehen. In der Regel bestand die Anleitung aus einer einzigen Textdatei mit Beispielen, die nicht einmal reproduzierbar waren. Herauszufinden, wie sie funktionieren, musste man selbst. Und ohne Freund_innen oder eine Gemeinschaft, die einem helfen konnte, war das ein ziemlicher Alptraum. Heutzutage gibt es eine Fülle von Dokumentationen zu Exploitation-Techniken, darunter auch hochwertige Videos auf YouTube!

Ist Hacking politisch und gibt es eine Hacker-Ethik? Können Sie einen Einblick in die Geschichte des Hacking geben?

Marco Squarcina: Kurz gesagt ist für mich Hacking einfach nur Hacking: Dinge verstehen, auseinandernehmen und reparieren. Hauptsächlich ist es die Neugier, die mich antreibt. Natürlich funktioniert das in unserer Gesellschaft, in der Fertigkeiten die offensive Sicherheit betreffend, als mächtiges Werkzeug angesehen werden, nicht immer so. Daher gibt es mehrere Gründe, warum sich jemand dem Bereich der offensiven IT-Sicherheit zuwendet: Karrieremöglichkeiten bei einer nationalen Sicherheitsbehörde, leicht verdientes Geld durch den Verkauf von Sicherheitslücken, Aktivismus (oder Hacktivismus), Sichtbarkeit und so weiter.

Was die Wurzeln des Hacking betrifft: Sie reichen zurück bis, ich glaube, 1981. Der Chaos Computer Club war eine der allerersten Hacking-Organisationen der Welt. Sie organisierten 1984 die erste Hacking-Convention in Hamburg, den Chaos Communication Congress (und tun es immer noch). Es ist eine erstaunlich große Hacking-Convention, bei der man wirklich Spaß haben kann, wenn man Leute mit einer ähnlichen Denkweise trifft, die alle Aspekte des Hacking erforschen, nicht nur IT-Sicherheit! Die derzeit wohl größte Veranstaltung der Welt ist die DEF CON, die seit '93 in Las Vegas, Nevada, stattfindet. Dort wird auch ein Hacking-Wettbewerb (CTF, Capture the Flag) veranstaltet, der als “Olympiade der Cybersicherheit" gilt.

Um auf die Verbindungen zwischen Hacking und Politik zurückzukommen: Es gab eine Hackergruppe, die 1984 in Texas gegründet wurde und sich "The Cult of the Dead Cow" (cDc) nannte. Es handelt sich wahrscheinlich um eine der ersten Underground-Gruppen, die in der Presse auftauchte und aktivistische Kampagnen koordinierte. Interessant daran ist, dass die Mitglieder dieser Gruppe begannen, Verbindungen zur US-Regierung zu knüpfen: Im Jahr 1998 sagte Peiter Zatko, der auch unter dem Spitznamen Mudge bekannt ist, zusammen mit anderen CDC-Mitgliedern vor einem US-Senatsausschuss über schwerwiegende Sicherheitslücken im Internet aus, die die USA damals nicht berücksichtigten.

Im Jahr 2010 wurde Zatko dann von der DARPA eingestellt, der Forschungs- und Entwicklungsagentur des US-Verteidigungsministeriums, die für die Entwicklung neuer Technologien zuständig ist. Danach wurde er von Google angeworben, und nach Google wurde er Sicherheitschef von Twitter. Ich denke, diese Geschichte bietet einen interessanten Einblick in die Entwicklung dessen, was wir heute als Hacking bezeichnen, also im Grunde nicht nur eine Untergrundtätigkeit für Nerds, sondern eine Tätigkeit mit großer Wirkung in unserer modernen Gesellschaft.

Im Krieg Russlands gegen die Ukraine ist immer wieder von Cyberangriffen die Rede. Was ist überhaupt ein Cyberwar und wie organisieren sich Hacker in diesem Krieg?

Marco Squarcina: Ich bin kein Experte auf diesem Gebiet, da ich mich hauptsächlich auf die technischen Aspekte der IT-Sicherheit konzentriere. Aber ich glaube nicht, dass wir bereits das gesamte Ausmaß des Cyberwar gesehen haben – wenn man weiß, wie viel fehlerhafte Software derzeit im Einsatz ist. Ich vermute, dass die Angreifer ihre Fähigkeiten im Bereich der Cyber-Offensive noch nicht voll entfalten haben. Ich kann zwar keine Zahlen nennen, aber für mich beschränkt sich das Ausmaß der Cyber-Kriegsführung, das wir bisher gesehen haben, hauptsächlich auf Cyber-Spionage und Desinformationskampagnen, zur Beeinflussung der öffentlichen Meinung. Bei diesen Themen besteht ohnehin viel Raum für Spekulationen. Anders als in der klassischen Kriegsführung lassen sich Cyberangriffe nur schwer bestimmten Gruppen oder Staaten zuordnen. Daher ist es äußerst problematisch, genau zu charakterisieren, was wirklich vor sich geht.

Sie fragten auch nach dem aktuellen Krieg gegen die Ukraine und danach, wie sich Hacker organisieren: Abgesehen von staatlich geförderten Aktivitäten haben wir in den letzten zwei Monaten eine Reihe von Telegram-Gruppen gesehen, die zur Koordinierung von Cyberangriffen gegen Russland gegründet wurden. Ich habe Nicht-IT-Fachleute getroffen, die diesen Gruppen beigetreten sind und wahllos Software heruntergeladen haben, die angeblich erforderlich ist, um Cyberangriffe gegen russische Infrastrukturen zu starten. Es ist wichtig, dass die Menschen verstehen, dass diese Aktivitäten illegal und extrem riskant sind: Es besteht eine hohe Wahrscheinlichkeit, dass das einzige Ergebnis darin liegt, Malware auf den eigenen Geräten zu installieren und lokale Internet-Provider zu beeinträchtigen – mehr noch als alles andere.

Haben Sie eine Vorstellung davon, in welche Richtung sich Cyberwars entwickeln könnten?

Marco Squarcina: Ich habe keine, aber ich kann Ihnen sagen, dass buchstäblich alles angreifbar ist. Man braucht nur genügend Motivation und Ressourcen. Um ein Beispiel zu nennen: Ein Programm, das wir jeden Tag benutzen, um all unsere wichtigen Arbeiten online zu erledigen ist der Browser. Wir benutzen den Browser, wie Chrome oder Firefox, für buchstäblich alles. Browser stehen ständig auf dem Prüfstand, da sie in unserem digitalen Leben eine so zentrale Rolle spielen. Dennoch werden immer wieder Schwachstellen in dieser Software entdeckt. Das Problem wird natürlich verschärft, wenn die Anwendungen nicht im Rampenlicht stehen. Wenn staatlich geförderte Akteure einen richtigen Cyberwar-Konflikt beginnen, dann werden wir in Schwierigkeiten geraten. Ich glaube nicht, dass wir darauf vorbereitet sind – aber um ehrlich zu sein, weiß ich auch nicht, wie man sich im Moment auf diese Art von Konflikt vorbereiten kann.

Glauben Sie, dass die Staaten Hacking-Aktivitäten fördern – einige mehr als andere?

Marco Squarcina: Auf jeden Fall, aber es kommt darauf an, wie sie es tun. Wenn man jungen Studierenden IT-Sicherheit beibringt, dann tut man das nicht, um die nächste Generation von Cyberkriminellen heranzuziehen. Wie ich bereits erklärt habe, ist ein „Hacking"-Hintergrund auch nützlich, um bessere Verteidigungsmaßnahmen zu entwickeln und kritische Infrastrukturen zu schützen. Ich sehe diese Initiativen absolut positiv und es ist notwendig, dass die Staaten in solche Bildungsaktivitäten investieren.

Welchen Kurs fährt Österreich in Sachen Cybersicherheit?

Marco Squarcina: Österreich hat im Vergleich zu anderen europäischen Ländern schon früh die zentrale Rolle der IT-Sicherheitsausbildung erkannt. Ein Beispiel dafür ist die Austrian Cyber Security Challenge (ACSC) (https://verbotengut.at, öffnet eine externe URL in einem neuen Fenster/), ein Projekt zur Förderung der Cybersicherheitsausbildung junger Talente, die dann an der European Cyber Security Challenge (https://ecsc.eu/, öffnet eine externe URL in einem neuen Fenster), einer Initiative der ENISA, der Europäischen Agentur für Cybersicherheit (https://www.enisa.europa.eu/, öffnet eine externe URL in einem neuen Fenster), teilnehmen. Österreich war eines der ersten Länder, das sich für die Teilnahme an diesem Wettbewerb entschieden hat. Heuer wird die Europameisterschaft der Cybersicherheit in Wien ausgetragen. Die TU Wien ist Mitorganisatorin der Veranstaltung und wir sind stolz darauf, unseren Teil dazu beizutragen, das Bewusstsein für IT-Sicherheit in Europa zu erhöhen!

Marco Squarcina ist Universitätsassistent (Postdoc) an der TU Wien, wo er Ende 2018 nach seiner Promotion in Informatik an der Universität Ca' Foscari, öffnet eine externe URL in einem neuen Fenster in Venedig tätig wurde. Seine Forschungsinteressen fokussieren vor allem auf den Bereich Netzsicherheit; die Ergebnisse seiner Forschung werden regelmäßig in hochrangigen Fachzeitschriften veröffentlicht. Als langjähriger Teilnehmer an internationalen Hacking-Wettbewerben arbeitet er mit der Agentur der Europäischen Union für Cybersicherheit (ENISA), öffnet eine externe URL in einem neuen Fenster zusammen, um jungen Talenten Fortbildungen zu ermöglichen. Marco unterrichtet derzeit eine Reihe von Lehrveranstaltungen zum Thema Internetsicherheit. Marco Squarcina ist einer der Koordinatoren des lokalen akademischen Hacking-Teams (https://w0y.at/, öffnet eine externe URL in einem neuen Fenster).

Auf seiner Webseite, öffnet eine externe URL in einem neuen Fenster und seinem Twitter-Account teilt Marco Squarcina (@blueminimal, öffnet eine externe URL in einem neuen Fenster) unter anderem Neuigkeiten zum Thema Cybersicherheit .

Interview: Edith Wildmann

Bereits erschienene Themen der Reihe „Die Hacker und ich“:

Messengerdienste. Interview mit Martina Lindorfer
https://www.tuwien.at/tu-wien/aktuelles/news/news/die-hacker-und-ich-messenger-dienste, öffnet eine externe URL in einem neuen Fenster

Das Passwort
Interview mit Marco Squarcina
https://www.tuwien.at/tu-wien/aktuelles/news/news/die-hacker-und-ich-das-passwort, öffnet eine externe URL in einem neuen Fenster

Scamming. Interview mit Matteo Maffei
https://www.tuwien.at/tu-wien/aktuelles/news/news/die-hacker-und-ich-scamming, öffnet eine externe URL in einem neuen Fenster

Phishing. Interview mit Matteo Maffei
https://www.tuwien.at/tu-wien/aktuelles/news/news/die-hacker-und-ich-phishing, öffnet eine externe URL in einem neuen Fenster