Luca Cappiello ist Penetration-Tester. Er hat «Fokus» verraten, was ihn und sein Team immer wieder überrascht und wie sich sein privater Computergebrauch durch die Tätigkeit verändert hat.
Die Rechnung ist einfach: In einer zunehmend digitalisierten Welt wird die Cybersicherheit immer wichtiger. Um deshalb Systeme vor Angriffen zu schützen, hacken sich «White-Hat-Hacker:innen» legal und absichtlich in Systeme, um Lücken und Schwachstellen im Cyberspace aufzudecken. Im Gegensatz zu «Black-Hat-Hacker:innen», die illegal in Systeme eindringen, um Daten zu entwenden, werden White-Hat-Hacker:innen von Unternehmen oder Institutionen angestellt. Luca Cappiello ist Head of Penetration Testing and Research bei der InfoGuard AG und sucht nach Schwachstellen in Systemen von Unternehmen.
Fortschreitende Technologien bringen Risiken und Chancen
Die Cyberkriminalität nimmt zu. Das bestätigt auch Cappiello: «Seit geraumer Zeit gibt es eine massive Zunahme an Angriffen auf Schweizer Unternehmen. Auch kleinere und nicht exponierte Unternehmen werden Opfer von Ransomware-Angriffen, wobei eine Lösegeldsumme für die Freigabe von verschlüsselten Daten gefordert wird.»
Diese Zunahme der Cyberkriminalität begründet die Wichtigkeit von White-Hat-Hacker:innen, denn laut Cappiello wird die Vernetzung von Systemen mit rasantem Tempo weiter voranschreiten und neue Technologien werden entwickelt. Das würde zwar spannende Chancen bieten, sei aber auch mit Risiken verknüpft. «Ohne White-Hat-Hacker:innen, welche sich an ethischen Prinzipien orientieren, sind Unternehmen sowie die Gesellschaft diesen Risiken ausgesetzt. Wir brauchen kritische Stimmen, die uns einerseits helfen, das Potenzial zu nutzen, andererseits aber auch die Gefahren, Schwachstellen und Risiken einzudämmen.»
«Ich habe erkannt, dass damit noch viel spannendere Dinge möglich sind als nur Gamen.»
Die Vorgehensweise auf der Suche nach Schwachstellen variiere je nach Auftrag. Zuerst werde aber jeweils der Prüfungsbereich bestimmt, bevor eruiert werde, wie Angreifende Schaden anrichten könnten. «Gibt es Maschinen, welche in einem Industrieunternehmen nicht ausgeschaltet werden dürfen? Gibt es besonders sensible Unternehmens- oder Forschungsdaten?», beschreibt Cappiello. Anschliessend würden komplexe Angriffe mit Social-Engineering-Techniken wie E-Mail-Phishing, Telefonaten und auch dem physischen Eindringen in ein Unternehmen geplant.
Die Cybersicherheit von Schweizer Unternehmen könnte besser sein
Was immer wieder aufs Neue überrasche, sei die Gleichgültigkeit vieler Softwarehersteller, wenn Cappiello und sein Team Schwachstellen melden würden. «Auch Schweizer Hersteller reagieren oftmals gar nicht oder extrem spät auf hochkritische Schwachstellen und setzen so wissentlich Hunderte von Kunden einem akuten Risiko aus.»
Ob Schweizer Unternehmen grundsätzlich gut gegen Cyberangriffe geschützt sind, lässt sich laut Cappiello nicht pauschal beantworten. «Bei unserer Arbeit müssen wir oftmals die Botschaft übermitteln, dass ein Unternehmen durchschnittlich aufgestellt ist. Leider ist der aktuelle Durchschnitt nicht gut genug, insbesondere gegen gezieltere Angriffe.»
Luca Cappiello bezeichnet die Arbeit als Penetration-Tester als «wahnsinnig abwechslungsreich und anspruchsvoll». Schon als Kind habe er grosses Interesse an Technik und insbesondere an Computern gehabt. «Ich habe erkannt, dass damit noch viel spannendere Dinge möglich sind als nur Gamen.»
Zu sehen, was im Cyberspace möglich ist, habe seinen Computergebrauch zweifellos verändert. So verwende er beispielsweise nur lange Passwörter und limitiere seine Präsenz in den sozialen Medien. Trotz der Faszination an der digitalen Welt sei der Abstand zu ihr wichtig. «Jede Person hat hierfür seine eigenen Bewältigungsstrategien. Mir helfen Familie, Freunde und komplett fachfremde Offline-Tätigkeiten», so Cappiello.
Text Andrina Brodbeck
Schreibe einen Kommentar