Hacker sind ein fester Bestandteil der boomenden Internetindustrie Chinas und suchen als Sicherheitsexperten nach Schwachstellen in Systemen. Sie operieren oft an der Grenze der Legalität und manchmal jenseits von ihr.

Im Gegensatz zu kriminellen Hackern (auch Black-Hat-Hacker genannt) sind White-Hat-Hacker Spezialisten für Computersicherheit, die in geschützte Systeme und Netzwerke vordringen, um diese auf Sicherheitslücken zu testen, zu bewerten und systemische Probleme zu melden. Ihr Ziel ist es für gewöhnlich nicht, für Chaos zu sorgen oder private Daten zu stehlen.

White-Hat-Hacker hinter Gittern

Die Sicherheitstechniker hinter den Kulissen der boomenden Internetindustrie haben kürzlich eine gewisse Bekanntheit erlangt, nachdem einer der ihren im April wegen Hackens der Online-Partnerbörse Jiayuan verhaftet worden war. Der Beschuldigte namens Yuan Wei hatte dem Unternehmen im Dezember 2015 geholfen, Sicherheitslücken seiner Internetseite aufzuspüren. Jiayuan meldete später jedoch, dass Daten gestohlen wurden und wandte sich an die Polizei.

Es gibt keine genauen Daten über die Anzahl der White-Hat-Hacker in China. Nach einem Bericht des Internetriesen Tencent und der Onlinegemeinschaft für Internetsicherheit GeekPwn wurden 60 Prozent aller White-Hat-Hacker nach 1990 geboren. China Daily zufolge besitzt die große chinesische White-Hat-Hacker-Gemeinschaft Wooyun 7.200 registrierte Mitglieder.

Mit Leidenschaft dabei

Trotz mancher Verdächtigungen ist das White-Hat-Hacking, dank eines steigenden Sicherheitsbewusstseins nicht zu stoppen. Viele chinesische Internetriesen wie Tencent, Alibaba und Qihoo 360 lassen sich die Dienste der Sicherheitsspezialisten einiges kosten. Die Sicherheitsplattform butian.360.cn von Qihoo 360 bot White-Hat-Hackern bisher bereits insgesamt 7,6 Millionen Yuan (rund eine Million Euro) an Anreizen und versammelt 24.000 Hacker auf ihrer Seite. Diese Hacker haben dabei geholfen, für insgesamt 3.412 Firmen mehr als 96.000 Sicherheitslücken auszumachen.

Lin Yin ist der White-Hat-Hacker mit dem höchsten verzeichneten Einkommen auf butian.360.cn. Berichten der The Beijing Times zufolge kann er bis zu 60.000 Yuan (7.970 Euro) im Monat auf der Plattform verdienen. Sein durchschnittlichen Einkommen liegt bei rund 20.000 Yuan (2.650 Euro). White-Hat-Hacker könnten sogar Hunderttausende von Yuan monatlich verdienen, falls sie bei Internetunternehmen Anstellung finden sollten, wie die Zeitung berichtete.

Das hohe Gehaltsniveau zieht weiter junges Blut ins Geschäft und einige Ausbildungslager versuchen, von dem Trend zu profitieren. So bietet auch beispielsweise die Chinesische Internetsicherheitskonferenz seit 2014 jährlich ein solches Trainingscamp an. Trotz rasant gestiegenen Gebühren von 20.000 Yuan (2.650 Euro) zieht die Veranstaltung jedes Jahr viele Interessierte an, die von eingeladenen White-Hat-Hackern unterrichtet werden.

Dasein in der rechtlichen Grauzone

Internetsicherheitsexperten erörterten am Dienstag auf einem Forum die Gefahren von Sicherheitslücken großen Ausmaßes, welche verbesserter Methoden zur Auffindung und Verteidigung bedürfen. Einer dieser Methoden ist die Einstellung von White-Hat-Hackern. Das Forum wurde am Rande der Chinesischen Internetsicherheitskonferenz 2016 abgehalten. Die Konferenz wurde von Qihoo 360, der Chinesischen Internetgesellschaft und dem Chinesischen Verband für Internetsicherheit veranstaltet.

„Sicherheitslücken im Internet sind ein zweischneidiges Schwert. Man kann sie als schädlich für die Nutzer ansehen, aber sie können für manche auch zu digitalen Waffen und strategischen Ressourcen werden“, erklärte Xie Yongjiang, ein außerordentlicher Professor an der Universität für Post- und Fernmeldewesen Beijing. Während Huang Dali, eine assoziierte Mitarbeiterin am Zentrum für Rechtsstudien der Internetsicherheit des Ministeriums für Öffentliche Sicherheit, einerseits das Potenzial der Erschließung dieser Ressourcen anerkannte, warnte sie zugleich auch davor, dass sich White-Hat-Hacker sehr leicht in einer juristischen Grauzone wiederfinden könnten, da der rechtliche Rahmen ihrer Arbeit nicht geregelt sei.

„Es gibt rechtliche Risiken für White-Hat-Hacker bei der Ausnutzung solcher Schwachstellen. Vielen IT-Arbeiter fehlt es – ganz ehrlich gesagt – am rechtlichen Bewusstsein“, meinte Huang. Es gebe keine genauen Vorschriften oder Richtlinien zur Aufspürung und Meldung von Sicherheitslücken im Internet oder dem Handel mit diesbezüglichen Informationen. Zudem gebe es keine gesetzliche Definition, wer als White-Hat-Hacker gelte.

Das chinesische Strafrecht sieht für jene, die die Verteidigungen von Internetseiten von nationalem Interesse überwinden, wie solchen mit Bezug zur Landesverteidigung oder Spitzentechnologien, Freiheitsstrafen von bis zu drei Jahren vor. Während solche, die in Systeme eindringen und Daten ändern, sich für mehr als fünf Jahre hinter Gittern finden können.

„White-Hat-Hacker sind heutzutage tatsächlich mit versteckten Risiken konfrontiert, da sie sich in Systeme einhacken, um Schwachstellen aufzudecken, dabei aber gute Absichten verfolgen. Ich hoffe, dass unser Land ihnen in Zukunft mehr Anerkennung und Unterstützung zuteil werden lässt“, sagte Zhou Hongwei, Geschäftsführer von Qihoo 360, auf der Konferenz. „Das Aufspüren von Schwachstellen ist von strategischer Bedeutung für alle Länder. Bei Internetsicherheit gibt es keine Unbeteiligten oder Unbeschadeten“, betonte er und fügte hinzu, dass White-Hat-Hacker in China bereits eine beträchtliche Bevölkerungsgruppe stellen.

Laut Huang ist es weltweit ein bewährtes Verfahren, dass Sicherheitslücken im Internet durch das Angebot privatwirtschaftlicher oder staatlicher Anreize aufgedeckt werden. Er rief White-Hat-Hacker dazu auf, sich an das Gesetz zu halten und riet Behörden dazu, ein Registrierungssystem zu etablieren. Auch Xie merkte an, dass es konkrete Bestimmungen zu Sicherheitslücken im Internet geben sollte und diese so schnell wie möglich umgesetzt werden sollten, um den Markt besser zu regulieren und die Entwicklung der Industrie anzukurbeln.