Darknet Diaries Deutsch: Maxie – zwischen Netz und Meeresgrund – Teil 1

Dies ist der erste Teil von „Maxie – zwischen Netz und Meeresgrund“. Der zweite Teil wird in einer Woche veröffentlicht. Im englischen Original von Jack Rhysider trägt diese Episode den Namen „Maxie“.

Die deutsche Produktion verantworten Isabel Grünewald und Marko Pauli von heise online. Der Podcast erscheint wöchentlich auf allen gängigen Podcast-Plattformen und kann hier abonniert werden.

JACK: Der „Gigant von Cardiff“, das ist ne interessante Geschichte. In der Bibel, im 1. Buch Mose 6,4, heißt es, dass es damals Riesen auf der Erde gab, die sich mit Menschen paarten und mächtige Männer zeugten. Ein Typ namens George Hull dachte sich: Wow, es gab also Riesen auf der Erde! Doch der Pfarrer widersprach ihm und sagte, nein, nein, nein, es gab hier nie Riesen. George aber war weiterhin überzeugt: Doch, doch, die Bibel sagt es doch! Er wollte dann einen Weg finden, das zu beweisen. Aber er fand leider keinen. Also beschloss er, tja, einen Beweis zu fälschen. Er ging zu einem Steinbruch und grub einen riesigen Block Gips aus, dann beauftragte er Steinmetze, den Block in die Form eines riesigen Mannes zu bringen. Sie schufen eine grobe Statue eines Mannes, die drei Meter fünfzehn groß war. Dann färbte George sie mit Säure, damit sie alt aussah, lud sie auf einen Zug, brachte sie zur Farm seines Cousins in Cardiff, New York, und vergrub sie dort spät in der Nacht.

Ein Jahr später wollte sein Cousin angeblich „einen Brunnen graben“ und heuerte eine Crew an, die das Loch ausheben sollte. Sie stießen bei ihrer Grabung auf einen Riesen, und einer der Arbeiter rief dann auch sofort: Das muss eine alte Grabstätte sein! Sie gruben ihn dann aus, und die Nachricht verbreitete sich, dass da ein vergrabener Riese gefunden wurde. Von überall her strömten die Leute zur Farm, um ihn sich anzusehen. Viele Leute meinten, es handele sich um einen versteinerten Riesenmenschen. Und so steht es doch auch in der Bibel, oder? Es gab aber welche, die meinten, es wär nur ne Statue. Georges Cousin erkannte aber schnell, wie wertvoll das Ding für ihn war, er spannte ein Zelt darüber und verlangte von den Leuten fünfzig Cent Eintritt, um es sich anzusehen. Täglich kamen fünfhundert Menschen, um diesen wunderlichen Riesen zu bestaunen. Die ganze Stadt profitierte davon – die Restaurants füllten sich, Hotels waren ausgebucht.

Irgendwann kam der Schausteller P.T. Barnum hinzu und meinte: Sir, ich biete euch 50.000 Dollar für diesen Riesen. Was sagt ihr dazu? Der Farmer meinte: Auf keinen Fall. Dann beauftragte P.T. Barnum jemanden, eine Wachskopie davon anzufertigen, und Barnum stellte diese nicht autorisierte Kopie in seinem Zirkus fortan aus, behauptete, es sei der echte Riese, und kassierte Eintritt für seine gefälschte Replik. Ein Jahr später trat George Hull an die Öffentlichkeit und gab zu, dass die ganze Sache doch ein Schwindel war und dass er es war, der die Statue da vergraben hatte. Auch wenn also der Beweis ausgeblieben ist, dass einst Riesen auf der Erde umherstreiften, machte es den Cousin doch ziemlich reich. So gingen Betrüger in den 1860er-Jahren vor.

INTRO: Dies sind wahre Geschichten von der dunklen Seite des Internets. Recherchiert und geschrieben von Jack Rhysider. Wir sind Isabel Grünewald, Judy Hohmann und Marko Pauli von heise online – und wir bringen euch: Die Darknet Diaries auf Deutsch

JACK: Ich möchte euch Maxie vorstellen.

MAXIE: Mein Name ist Maxie Reynolds.

JACK: Sie ist in Schottland aufgewachsen und war schon früh von einem Abenteuerdrang getrieben. Sie wusste, dass sie nicht für nen Bürojob gemacht war, so mit viel Sitzen und Papierkram und sowas. Nein, in Gedanken war sie meist ganz woanders. Sie blickte aus dem Fenster und träumte von fernen Ländern, die sie eines Tages bereisen würde.

MAXIE: Ich bin sehr früh von zu Hause weggegangen, mit etwa fünfzehn, und hatte keine Ahnung, was ich machen sollte oder was ich wollte. Also habe ich alles Mögliche ausprobiert und hab in Bars und als Putzfrau gearbeitet, solche Sachen. Mir war klar: Nein, das ist nichts für mich, ich will einen Job, bei dem ich reisen und mehr als nur Schottland sehen kann. Also bin ich an eine Uni in England gegangen, was als Schottin etwas gewagt war, und habe einen Abschluss in Unterwasser-Robotik gemacht.

JACK: Maxie hoffte, dass dieser Abschluss ihre Eintrittskarte in die weite Welt sein würde. Vielleicht kommt man ja an ziemlich weit entfernte Orte, wenn man Unterwasserfahrzeuge bedient. Also bewarb sie sich bei jeder Firma, von der sie wusste, dass sie diese ferngesteuerten Fahrzeuge einsetzt.

MAXIE: Ich bekam keinen Job, einfach weil ich eine Frau war.

JACK: Das hing damit zusammen, dass sie mit Booten aufs Meer hätte rausfahren und auf Plattformen auf See hätte leben müssen. Da aber gab's nur kleine Wohnräume und da die Firmen verlangten, dass Männer und Frauen getrennte Kabinen haben, konnten sie sie einfach nicht unterbringen. Die Kabinen hatten vier Betten und es gab einfach nicht genug Frauen, um da eine eigene Frauen-Schlafkabine zu füllen. Deshalb bekam sie den Job nicht, und diese Begründung hörte sie immer wieder. Aber das hielt sie nicht auf. Sie bewarb sich immer weiter, und dann sagte ihr eine Firma zu.

MAXIE: Schließlich war eine norwegische Firma bereit, mich zu nehmen, und sie sagten: Wenn du deinen Privatpilotenschein machst, nehmen wir dich. Also ging ich zu einer Bank in Schottland und fragte nach einem Weiterbildungskredit, und ich machte meinen Privatpilotenschein.

JACK: Das ist aber ein anderer Pilotenschein als der Unterwasser-Pilotenschein, oder?

MAXIE: Ja, ich kann eine Cessna fliegen, allerdings nicht in Amerika. Aber prinzipiell darf ich das damit. Ist ja praktisch dasselbe. Aber all das dauert Monate, und ich verschuldete mich immer mehr. Aber dann rief ich sie zurück und sagte: So, ich hab den jetzt. Es hatte einen Managementwechsel gegeben, und sie meinten: Eigentlich ist es nicht nötig – wir wissen nicht, warum sie das gesagt haben. Du brauchst nicht den Privatpilotenschein für ein Flugzeug. Als ROV-Pilotin brauchst du eher den für einen Hubschrauber. Also ging ich noch mal zurück zur Bank in Schottland, holte mir einen weiteren Karriereentwicklungskredit und machte meinen Privatpilotenschein für Hubschrauber. Dann ging ich zurück zu denen und sagte: Okay, jetzt hab ich auch den, aber mal ehrlich, keine Überraschungen mehr. Krieg ich jetzt den Job? Sie nahmen mich, und das hat mein Leben verändert.

JACK: In dem Job konnte sie dann viel reisen: nach Nordamerika, Südamerika, Europa und Asien. Als Unterwasser-ROV-Pilotin und gelegentlich auch als Hubschrauberpilotin kam sie tatsächlich in den Genuss, die ganze Welt zu bereisen.

MAXIE: Also lebte ich eine Weile in Venezuela, ich lebte in Trinidad. Ich war quasi überall, von Nigeria bis Australien, jede Menge Küsten. Ich habe viel Wasser gesehen.

Vom Meeresgrund in die Cybersicherheit

JACK: Während sie diese Arbeit machte, fing sie an, sich immer mehr für IT zu interessieren. Computer wurden zu ihrer Leidenschaft. Sie belegte Fernstudienkurse und schloss ein Informatik-Studium ab. Dann nahm sie sich einen Monat frei und reiste nach Los Angeles, um einfach mal eine Auszeit zu nehmen. Doch sie verliebte sich in LA, und während ihres Aufenthalts dort ging sie auch in ein Fitnessstudio.

MAXIE: Einer der Leute, mit denen ich im Fitnessstudio trainierte, war ein Stuntman. Ich hab ihn quasi angefleht: Bitte – lass mich mit dir abhängen. Ich will so cool sein wie du. Also hat er mir irgendwann ein Stunt-Training ermöglicht, und er verschaffte mir sogar einen meiner ersten Jobs.

JACK: Sie wirkte in ein paar Independent-Filmen mit und machte ein paar Stunts. Sie bekam dann die Gelegenheit, in House of Cards mitzuwirken, machte da auch einen Stunt, aber aus irgendeinem Grund haben sie ihn nicht verwendet. Das war zwar alles cool, aber auch nur von kurzer Dauer, denn auch wenn es aufregend war, sah sie da keine langfristige Karriere.

MAXIE: Ich studierte Quantencomputing, und das war wirklich schwierig. Es war extrem schwierig für mein Spatzenhirn, aber es hat wirklich Spaß gemacht, und ich hab’s geliebt.

JACK: Das lenkte ihre Aufmerksamkeit auf neue Technologien und Unternehmen. Irgendwann bekam sie einen Job bei einer Firma in Australien und zog dann dorthin.

MAXIE: Mein erster richtiger Einstieg als Social Engineerin und Pen-Testerin war in Australien, und ich arbeitete für eine große Firma dort. Sie haben mich in ihr Trainee-Programm für Cybersicherheit aufgenommen.

JACK: Diese Firma hatte Pentester, also Leute, die versuchen, in ein Gebäude oder ein Netzwerk einzubrechen, um die Sicherheit zu testen. Sie durfte einem dieser Pentester bei der Arbeit zusehen, indem sie dessen Aktivitäten über Kameras überwachte.

MAXIE: Ich konnte mir einen Pen-Test mit einer Social-Engineering-Komponente ansehen. Da war ein Typ, der war ein richtig guter Hacker, und er hatte sich ins Netzwerk eines unserer Kunden gehackt und öffnete alle Sicherheitstüren und automatischen Türen für einen aus dem Team, also dem Cybersicherheitsteam. Sie liefen einfach durch und filmten das Ganze. Es wurde live zu uns übertragen. Das war unglaublich. Ich dachte mir: Okay, das ist ein guter Job. Genau so einen Job will ich auch machen.

JACK: Als physische Pentesterin zu arbeiten, schien genau das Richtige für Maxie zu sein. In ein Gebäude einzubrechen, sich wie eine Spionin zu verhalten – sie glaubte, dass ihr das richtig Spaß machen könnte. Also fragte sie einfach mal nach, ob sie das nicht auch tun könne.

MAXIE: Sie meinten: Nun, du hast Glück, denn wir müssen einen Test ohne all die Technik durchführen. Wir machen da also nur einen physischen Pen-Test. Möchtest du dabei sein? Da hab ich natürlich zugeschlagen.

JACK: Sie gaben ihr also einen Auftrag, nämlich zu versuchen, in eine Firma reinzukommen und zu filmen, woran sie dort drinnen arbeiteten. Um herauszufinden, wie man reinkommt, nutzen Pentester oft OSINT, was für Open Source Intelligence steht, es werden da einfach Daten über ein Ziel durch Suchen im Internet gesammelt. Also machte sie ein bisschen OSINT und lernte mehr über die Firma.

MAXIE: Sie hatten sehr interessante Eigenentwicklungen. Das war ein Transportunternehmen und die bauten ganz spezielle Busse und große Transportfahrzeuge auf diesem ganzen Gelände. Meine Aufgabe war es also, da reinzukommen, an der Rezeption vorbei, an aller Sicherheit vorbei, und mir all die Anlagen anzusehen, diese geheimen Produkte, und ich musste keine Computer hacken oder mich überhaupt in Computer einklinken. Es ging einfach nur darum, reinzukommen und sich im Prinzip umzusehen.

JACK: Schon cool, oder? Kannst du irgendwie in diese Fabrik rein, ein paar Fotos von dem machen, was sie bauen, und wieder rauskommen, ohne dass sie merken, dass du eine Spionin bist? Bei ihrer Recherche über die Firma entdeckte sie, dass es starke Verbindungen nach Schweden gab. Dass es auch ein paar Büros dieser Firma in Schweden gab.

MAXIE: Mit viel gutem Willen und aus großer Entfernung könnte ich wahrscheinlich als Schwedin durchgehen. Also hatte ich beschlossen – und niemand hat mir das ausgeredet, das möchte ich betonen – ich hatte beschlossen mich als schwedische Botschafterin für diese Firma auszugeben. Ich hatte den Namen des CEOs und ein paar andere Namen aus der Chefetage und solche Sachen.

JACK: Sie hat blonde Haare, aber auch wenn sie vielleicht wie eine Schwedin aussehen könnte, wird sie doch niemals schwedisch klingen, nicht mit diesem schottischen Akzent. Ihr Plan war also einfach, an alles ein „ja“ dranzuhängen und zu hoffen, dass sie es nicht merken.

MAXIE: Nein – und es wird noch schlimmer – ich selbst hatte Zweifel – ich arbeite mit Australiern, die sind nicht blöd. Also dachte ich, das winken die niemals durch.

JACK: Aber das war ihr Plan, und sie beschloss, ihn in die Tat umzusetzen. Ihr gefiel die Vorstellung, sich als jemand anderes auszugeben. Also wollte sie jetzt die schwedische Botschafterin für dieses Unternehmen sein: hineingehen, ihnen sagen, dass sie aus der schwedischen Niederlassung kommt und gerade eingeflogen ist, um das Gebäude zu begutachten. Doch um das zu schaffen, musste sie auch entsprechend aussehen. Also machte sie sich auf den Weg zu einem Klamottenladen und kaufte sich ein neues Outfit – etwas, das sie wie eine Führungskraft aussehen lassen würde.

MAXIE: Ich kaufte ein Klemmbrett, und ich sah geschäftstüchtig aus. Ich hatte einen kleinen Aktenkoffer, und ich versuchte vor allem, professionell auszusehen.

Als Schwedin durch die Sicherheitsschleuse

JACK: Sie war bereit loszulegen – Outfit an, Kamera läuft. Tief durchatmen. Los geht's.

MAXIE: Also gehe ich zur Rezeption und nähere mich der Empfangsdame mit einem warmen Lächeln, halt so nett wie möglich. Ich sagte: Ich hab hier einen Termin, und darum geht es, und hier komme ich her. Sie sagte: Okay. Ich dachte: Was? So einfach war das? Das ergibt keinen Sinn. Aber, ich werde mir ja nicht selbst im Weg stehen. Also folgte ich ihr, und sie brachte mich in diesen kleinen Raum direkt hinter der Rezeption, und ich wurde von dieser entzückenden, kleinen, alten Dame begrüßt.

Es war noch eine andere Person im Raum, zunächst haben wir nicht viel geredet. Aber ich musste einen Ausweis vorlegen, was eine weitere Hürde war, und dabei kam ich mit ihnen ins Gespräch. Sie fragten mich also noch mal, warum ich da war und all diese Dinge. Sie sagten, sie hätten mich nicht erwartet, aber das sei kein Problem. Ich dachte: Nun, das ist wirklich einfach. Das ist großartig. Ich gab ihnen meinen Ausweis, und ich hatte zu der Zeit einen australischen Ausweis. Sie sagten: Du kommst doch aus Schweden, aber hast einen australischen Ausweis. Ich sagte: Ja, und ich habe einen komischen Akzent. Ich bin in Großbritannien zur Schule gegangen. Also versuchte ich, das so zu umgehen, und es funktionierte wunderbar, und ich weiß nicht wie. Also kam ich rein.

JACK: Okay, bis hierhin macht sie ihre Sache ziemlich gut, sie gibt sich als Schwedin aus, die halt aus einem anderen Büro kommt. Sie hat das Gebäude betreten; check, ist an der Rezeption vorbeigekommen; check, und an den beiden Leuten vorbeigekommen, an die sie weitergeleitet wurde. Check, check, check. Jetzt ist sie drinnen und versucht, das Geschehen zu filmen und Fotos zu machen. Da ist ein Maschinenraum; der sieht interessant aus. Das muss sie filmen. Also geht sie näher heran, um einen Blick darauf zu werfen.

MAXIE: Ich ging auf einen dieser großen Motoren zu, und dieser Mann kam mit – ich glaube, es waren zwei weitere Männer – auf mich zu, und er fiel auf. Er hatte dieses wunderschöne blonde Haar und diese großen, blauen Augen, komplett stereotyp nordisch eben. Er kam auf mich zu und sagte etwas in einer Sprache, die ich nicht verstehe, aber ich habe mir natürlich sofort gedacht: Das ist Schwedisch. Ich soll Schwedin sein. Ich kann kein Schwedisch. Also kratze ich mein begrenztes Norwegisch zusammen, und er – was auch immer er sagte, er schaute mich irgendwie an – und ich merkte, wie sich mein ganzer Körper anspannte und ich einfach nur noch im Boden versinken wollte. Das war Folter.

Verzweifelt sagte ich: Ja? Und er blinzelt nur verdutzt, so nach dem Motto: Okay, das ergibt keinen Sinn, aber okay. Dann wiederholte er seinen Satz, und ich versuchte es dann halt mit dem einen Wort, an das ich mich auf Norwegisch erinnern konnte, nämlich „nei“ für „nein“, denn wenn „ja“ nicht funktioniert hat, dann vielleicht „nein“, was wahrscheinlich einer meiner dümmsten Einfälle war. Da verstand er schnell, dass hier was nicht stimmt, und dann wurde der Sicherheitsdienst gerufen. Die hatten ein sehr schnelles Sicherheitsteam. Sie kamen und ich wurde festgehalten.

JACK: Oh nein, sie wurde erwischt. Das ist die größte Angst jedes Pentesters. Aber nur weil sie erwischt wurde, heißt das nicht, dass es vorbei ist. Vielleicht kann sie sich irgendwie aus der Sache rausreden, die Security überzeugen, dass alles in Ordnung ist, oder zumindest einfach versuchen, das Gebäude zu verlassen, ohne richtig Ärger zu kriegen? Sie versuchte dann spontan, ihre Geschichte zu ändern – nein, nein, ich bin nicht aus Schweden. Ich arbeite nur mit dem schwedischen Team. Ich bin eigentlich in England ansässig. Sie baten dann darum, ihren Ausweis nochmal zu sehen, und das passte alles einfach nicht zusammen. Sie waren sehr verwirrt von der ganzen Sache. Da sah sie einfach keinen Ausweg mehr, also zog sie ihren Freibrief heraus. Ein Schreiben, das alle Pentester immer dabeihaben, eines, das ihnen die Berechtigung erteilt, das zu tun, was sie tun. Darauf steht eine Telefonnummer – in der Regel die des Sicherheitsleiters – und es ist vermerkt, wer sie tatsächlich autorisiert hat, sich hereinzuschleichen. Sie riefen dann die angegebene Nummer an, und der Sicherheitsleiter bestätigte: Ja, das ist alles ein geplanter Test. Gut aufgepasst!

MAXIE: Wir haben danach darüber gelacht. Selbst der Sicherheitsmann meinte: Warum wolltest du dich als Schwedin ausgeben? Ich sagte: Ich weiß es nicht. Ich bin Schottin. Er meinte: Das merkt man, du siehst nicht mal schwedisch aus. Und ich nur so: Ich weiß.

JACK: Dieser Versuch, in ein Gebäude einzubrechen, war Maxies erster Pen-Test. Auch wenn's nicht geklappt hat, fand sie's richtig super. Es war abenteuerlich und adrenalingeladen. Man muss einen klaren Kopf behalten, schnell reagieren und sich gleichzeitig bestens mit Computern auskennen. Sie hatte das Gefühl, dass sie genau am richtigen Ort war, dass es cool war, und beschloss, einen Karriereweg im Bereich Pen-Tests einzuschlagen. Während ihres Aufenthalts in Australien führte sie eine Reihe von Pen-Tests durch, lernte dabei neue Techniken kennen, absolvierte offizielle Schulungen, um sich weiterzuentwickeln, und las zahlreiche Bücher darüber, wie sie sich verbessern konnte. Besonders faszinierte sie die Perspektive eines Angreifers. Sie setzte sich intensiv damit auseinander. Wie verhalten sich Menschen mit bösen Absichten? Bald war es Zeit für einen weiteren Pentest.

MAXIE: Die Firma, für die ich arbeitete, kooperierte mit der Kommunalverwaltung in der Stadt, in der wir unseren Firmensitz hatten. Ich sag lieber nicht wo, um uns weitere Peinlichkeiten zu ersparen.

Ein Pentest von innen

JACK: Nun sind Pen-Tests nicht immer physischer Natur. Tatsächlich würde ich sogar sagen, dass die meisten via Computer durchgeführt werden. Die Pentesterin befindet sich da also außerhalb des Unternehmens und versucht, sich über das Internet Zugang zum Unternehmen zu verschaffen. Manchmal laden Unternehmen die Pentesterinnen aber auch direkt ins Gebäude ein, stellen einen Schreibtisch und einen Netzwerkanschluss zur Verfügung und sagen: „Leg los, versuch es von innen.“ Denn selbst wenn man in das Netzwerk eindringt, sollte es mehrere Sicherheitsebenen geben, die einen daran hindern, an wichtige Daten zu gelangen. Das nennt man „Defense in Depth“, mehrschichtige Verteidigung. Es handelte sich in diesem Fall dann also um einen Pen-Test bei einer Kommunalbehörde, von der sie eingeladen wurde, ins Gebäude zu kommen, sich an einen Anschluss anzuschließen und dann zu prüfen, welche Schwachstellen sie von innerhalb des Unternehmens aus finden konnte. Sie war dabei allerdings nicht allein. Es waren noch zwei weitere Personen dabei, und diese beiden waren sehr erfahrene Netzwerk-Pentester. Sie war noch dabei, das Handwerk zu erlernen, also begleitete sie die beiden und beobachtete, was sie taten.

MAXIE: Ich war zwar kein blutiger Anfänger, aber das war gerade mein erster Job in der Cybersicherheit. Ich habe einen sehr technischen Hintergrund – ROVs bauen, sie fliegen oder steuern, weißt du. Das ist alles technisch. Selbst Stunts sind bis zu einem gewissen Grad technisch. Das hier war einen Schritt weiter, weil es keine physischen Komponenten gibt. Deshalb war es so schwierig für mich. Es ist alles auf dem Bildschirm, und für mich ist Linux eine Welt für sich – wunderschön, aber furchteinflößend. Also war ich noch dabei, mich in diese ganze Welt einzufinden und all die Befehle zu verstehen und was all das bedeutete und wie man Dinge rückgängig macht.

JACK: Sie setzten sich alle hin, holten ihre Laptops hervor und stellten eine Verbindung zum Netzwerk her. Zunächst startet sie einen Netzwerk-Schwachstellenscanner.

MAXIE: Ich durfte den Nessus-Scan durchführen, was technisch jetzt nicht sonderlich anspruchsvoll ist, aber es fühlte sich zu der Zeit gut an, und ich konnte mir ansehen, welche Schwachstellen da waren, und ich konnte Exploits dafür finden, und ich durfte Nmap laufen lassen.

JACK: Nessus ist der weltweit bekannteste und am häufigsten genutzte automatisierte Schwachstellenscanner. Man tippt im Grunde nur die IP-Adressen der Server ein, drückt auf „Start“ und das Tool arbeitet vollautomatisch. Es prüft das gesamte Netzwerk auf bekannte Sicherheitslücken, veraltete Software oder Fehlkonfigurationen. Mit dem Network Mapper – kurz Nmap – scannt man IP-Adressen, um herauszufinden, welche Computer oder Server im Netzwerk erreichbar sind, welche Ports offen sind und welche Betriebssysteme oder Dienste darauf laufen. Das sind jedenfalls gute Basis-Tools für den Einstieg. Sie scannen das Netzwerk nach bekannten Schwachstellen. Sie sind einfach zu bedienen und in der Regel harmlos, das heißt, sie verursachen allein durch ihre Ausführung keine Probleme im Netzwerk. Wenn man diese Tools ausführt, ist das kein Hacking. Es geht lediglich darum, herauszufinden, was sich hacken lässt. Sie war sich nicht ganz sicher, wie sie sich in das Unternehmen hacken sollte.

MAXIE: Wenn man mit erfahrenen Pen-Testern zusammen ist, die ihren Job lieben – und meine beiden Kollegen liebten alles daran – jede Zeile, die sie schrieben, war eine Art Kunstwerk für sie. Sie brannten für diesen Job und bekamen einen richtigen Kick dabei, und sowas ist ansteckend. Ich dachte nur noch: Das ist unfassbar cool. Schaut mal, wie weit wir da eingedrungen sind. Einer der Typen, mit denen ich dort war, bekam einen Anruf von einem unserer Ansprechpartner, und der sagte: Ich kann euch im Netzwerk sehen. Es war wie ein großes Spiel, und es war lustig und interessant, und ich wurde einfach mitgerissen.

JACK: Nachdem Maxie all die coolen Sachen gesehen hatte, die die anderen Pentester da machten, wollte sie auch ein bisschen Spaß haben. Wie weit würde sie in dieses Netzwerk vordringen können? Bei ihrem Scan stellte sie fest, dass bestimmte Systeme Schwachstellen aufwiesen, und sie versuchte, sie auszunutzen und in diese Systeme einzudringen, denn es ist ein ganz besonderer Kick, in einen Computer einzudringen, in den man eigentlich gar nicht hineinkommen dürfte. Sie kam auch gut voran, verschaffte sich Zugang zu einigen Systemen, sah sich dort um und machte sich Notizen darüber, wie sie hineingekommen war. Immer wieder schaute sie über die Schulter zu den anderen Pentestern und sah, dass sie ihr um Längen voraus waren. Sie suchte dann nach Möglichkeiten, in weitere Systeme einzudringen.

Ein Befehl mit Folgen für eine ganze Stadt

MAXIE: Ich fand einen Weg in irgendeine interne Umgebung und drückte den Notausschalter für die Wasserversorgung einer Stadt.

JACK: Sie gab versehentlich am falschen Computer den falschen Befehl ein. Dieser Computer steuerte die Wasserversorgung der ganzen Stadt.

MAXIE: Die Person, mit der ich zusammen war, sah sofort innerhalb des Netzwerks, dass da was nicht stimmte. Ich nehme an, dass er quasi bei mir war, mir im Netzwerk folgte und viel von dem sehen konnte, was ich tat. Dann dachte ich mir: Ja, also – ich glaube nicht, dass das jetzt so gut war, oder? Also schaute ich ihn an, und ich konnte es schon an seinem Gesicht sehen – er kommt zu mir und sagt: Was hast du getan? Weißt du, man kann sich den Befehlsverlauf ja ziemlich schnell ansehen, und ich hatte noch viel davon auf dem Bildschirm. Ich zeigte es ihm, und er schlug die Hände über dem Kopf zusammen. Ich fragte nur: Was? Ist das wirklich schlimm?

JACK: Es war wirklich schlimm. Die Wasserversorgung der ganzen Stadt war unterbrochen – Duschen, Wasserhähne, Waschbecken, sogar Toiletten funktionierten stadtweit nicht mehr. Die beiden anderen Pentester suchten sofort nach Wegen, um das Problem zu beheben. Einer schaute, wie das System funktionierte und ob es möglich war, es einfach wieder einzuschalten, aber das will man ja andererseits auch nicht einfach so tun, wenn dadurch womöglich ein weiteres Problem verursacht wird. Der andere rief sofort den Ansprechpartner an und teilte ihm mit, dass ein schwerwiegendes Problem entstanden ist. Maxie stand gewissermaßen unter Schock und es war ihr unglaublich unangenehm. Sie nahm die Hände von der Tastatur und wartete einfach ab.

MAXIE: Ich wurde von Sicherheitsleuten festgehalten, und sie waren nicht sehr erfreut.

JACK: Eine völlig andere Situation als beim letzten Mal, als sie vom Sicherheitsdienst festgehalten wurde. Damals hatte sie eine „Du kommst aus dem Gefängnis frei“-Karte. Diesmal wussten sie, dass sie eigentlich dort sein sollte. Tatsächlich war es ihr Ansprechpartner, der den Sicherheitsdienst auf sie aufmerksam gemacht hatte. Sie war zwar berechtigt, dort zu sein und dies zu tun, aber den Betrieb hätte sie dabei nicht stören dürfen. Es störte aber nicht nur den Betrieb, sondern die ganze Stadt. Sie wollten dann ihre Schilderung des Vorfalls zu Protokoll nehmen.

MAXIE: Ich gehe runter in einen fensterlosen Raum und werde befragt. Plötzlich beschuldigten sie mich, dass ich eine russische Spionin war. Ich dachte: Wie sind wir denn so schnell da gelandet? Was passiert hier?

JACK: Sie hatte während des Aufenthalts mal ihre IP-Adresse gefälscht, um den Anschein zu erwecken, sie käme aus Russland, um zu testen, ob sie das erkennen könnten, aber das war nur ganz kurz, und sie war definitiv keine russische Spionin. Doch nun wurde die Sache für sie beängstigend, denn es handelte sich nicht mehr nur um das Eingeständnis eines Fehlers, den sie begangen hatte. Es sah mittlerweile so aus, als würden sie das Ganze jetzt wie eine Ermittlung behandeln.

MAXIE: Ich wurde dort ein paar Stunden festgehalten, und natürlich wurde die Polizei gerufen. Die Polizei musste eingeschaltet werden. Ich hatte keinen Ausweis bei mir. Ich hatte meinen Arbeitsausweis, aber das spielte keine Rolle, weil es nur ein – na ja, den hätte ich selbst drucken können. Ich sagte ihnen immer wieder: Wenn ihr mich zu meiner Wohnung gehen lasst, kann ich euch meinen Pass holen. Ich bin Britin und keine Spionin. Ihr könnt meinen Arbeitgeber kontaktieren. Ich bin hier mit zwei Leuten. Ich redete immer weiter, und sie wollten es nicht hören, was auch verständlich ist. Das ist ja irgendwie ihr Job, mir nicht zu glauben und nur das Schlimmste anzunehmen, weil sie sich vor genau so einem schlimmsten aller Vorfälle schützen müssen.

Irgendwann sagte ich zu ihnen: Ich brauche wirklich ein Glas Wasser. Der Blick – Mann, der hätte ausgereicht, um die meisten Menschen in Stein zu verwandeln. Es war klar: Das war keine gute Frage. Dann rief schließlich mein damaliger Arbeitgeber an, und die Sache wurde geklärt. Ich bin nur knapp an einer Anzeige vorbeigeschrammt. Es wurde deswegen auf jeden Fall kein Verfahren gegen mich eingeleitet, und ich war im Ausbildungsteam, also verlieh mir das eine gewisse Glaubwürdigkeit, so nach dem Motto: Okay, sie weiß nicht, was sie tut, kann passieren. Mein Arbeitgeber hat mich auch nicht gefeuert, und dafür werde ich ewig dankbar sein.

JACK: Sie weiß nicht, wie lange das Wasser an diesem Tag ausgefallen war. Es können Stunden gewesen sein, Minuten, Sekunden. Es spielt eigentlich keine Rolle. Allein, dass man es abschalten konnte und das auch passiert ist, ist der Grund, warum die Polizei ausrücken musste. Sie ist damals nur knapp ernsthaften Ärger entgangen. Doch durch solche Feuertaufen lernen wir ja auch die wichtigsten Lektionen im Leben. Am eigenen Leib zu erleben, wie viel Macht man als Pentester hat, das prägt. Dieses Gefühl schwankt manchmal auch hin und her. Manchmal fühlt man sich völlig blockiert, hat zu nichts Zugang und kommt sich dumm vor, und an anderen Tagen hat man das Gefühl, mit einem einzigen Tastendruck das gesamte Unternehmen lahmlegen zu können.

Für die Unternehmen ist es ein bisschen so, als würde man beim Barbier sitzen, und der hat dieses Messer in der Hand, mit dem er gerade deinen Hals rasiert. Eine Situation, in der man sich sehr verletzlich fühlt. Ich glaube, viele Unternehmen fühlen sich verletzlich, wenn sie einem Pentester erlauben reinzukommen. Wer weiß, was er gesehen oder mitgenommen hat? In meinem letzten Job hatten wir einen Pentester eingeladen, der prüfen sollte, was er so anstellen könnte, und er war in der Lage, 25 Prozent aller Passwörter unternehmensweit zu knacken. Das sind buchstäblich Tausende von Passwörtern. Natürlich habe ich den Bericht gelesen, um zu sehen, wessen Passwörter geknackt wurden, aber er enthielt nur Statistiken, keine Passwörter oder Benutzernamen. Da wurde mir klar: Dieser Pentester verlässt gerade unser Gebäude mit einer ganzen Reihe unserer Passwörter. Ich glaube, ich habe mich bei der Arbeit noch nie so verwundbar gefühlt. Maxie jedenfalls war fasziniert von der Macht der Pentesterin, aber noch mehr reizte sie die Denkweise einer Angreiferin. Doch sie musste Australien verlassen.

MAXIE: Ja, ich kam aus Australien zurück – mein Visum war abgelaufen – und zog zurück in die Staaten. Mein Lebensmotto ist: Wenn ich etwas machen kann und will, dann mach ich's auch. Ich will immer von dem, was ich tue, begeistert sein und mich voll darauf einlassen, und es ist okay für mich, wenn sich die Sache, die ich tun will, verändert, und das hat sie offensichtlich. Aber ich will meine Arbeit lieben. Denn voll einsatzfähig werde ich etwa siebzig Jahre leben. Vielleicht werde ich neunzig, aber um im Job zu funktionieren, habe ich maximal siebzig gute Jahre. Und nehmen wir an, wir machen vielleicht zwei interessante Dinge pro Jahr. Also habe ich 140 interessante Dinge, die ich in meinem Leben tun werde. Das klingt nicht nach viel. Also wollte ich immer die Dinge tun, die am interessantesten waren, die mir die spannendsten, aufregendsten Erfahrungen bringen würden.

JACK: Zurück in den USA sollte Maxie eine Pentest-Geschichte erleben, die ihr Leben verändern würde. Obwohl sie bei früheren Pentests einige große Fehler gemacht hatte, führte sie sie weiterhin durch. Sie legte noch eine Schippe drauf. Mehr dazu in Folge 2 von „Maxie – zwischen Netz und Meeresgrund“.

Diese Episode wurde im englischen Original von Jack Rhysider erstellt. Den Text haben Isabel Grünewald und Marko Pauli übersetzt und gesprochen.