Simon hackt Firmen – und wird dafür bezahlt

In einem dunklen Raum, mit Kapuze tief über dem Kopf gezogen, fliegen die Finger über die Tastatur, um Daten zu stehlen, Systeme zu sabotieren oder persönliche Informationen zu erbeuten – so stellen sich viele einen Hacker vor. Doch Simon ist anders. Der 36-jährige Familienvater aus Zürich sitzt zwar oft vor dem Bildschirm – aber nicht, um Schaden anzurichten.

Simon ist ein sogenannter Ethical Hacker – er sucht gezielt nach Sicherheitslücken in IT-Systemen, um sie den zuständigen Stellen zu melden und so die Systeme sicherer zu machen. «Die Bezeichnung passt schon, aber weil das Wort ‹Hacker› oft mit illegalen Aktivitäten assoziiert wird, sage ich lieber Security-Researcher», erklärt er.

Bug-Bounty-Programm: «Da will ich mitmachen!»

Seinen Einstieg in die Cyber-Security-Szene fand er über Umwege: Nach einem Informatikstudium arbeitete er als Penetration-Tester. Das ist jemand, der IT-Systeme gezielt angreift, um ihre Schwachstellen aufzudecken. «Als ich dann 2022 las, dass der Bund ein Bug-Bounty-Programm starten will, war klar: Da will ich mitmachen!» Kurz darauf meldete er sich an – und landete direkt seinen ersten Fund.

Bug-Bounty-Hunting habe bei ihm als Hobby angefangen, aber mittlerweile sei es sein Hauptberuf, von dem er gut leben könne: «Je nach Programm und Kritikalität kann die Belohnung durchaus einem guten Monatslohn entsprechen.» 2023 gründete er seine eigene Firma «Cyber Security Reinhart» und erzielt seither den Grossteil seines Umsatzes durch die Teilnahme an Bug-Bounty-Programmen.

Hacken aus Spass – für eine bessere Welt

Simons Alltag gestaltet sich dabei ganz normal: «Ich arbeite unter der Woche von acht bis fünf. Aber wenn ein spannendes Programm lockt, sitze ich auch mal abends oder am Wochenende dran.» Denn die grösste Herausforderung beim Bug-Hunting sei es, dranzubleiben. «Man braucht Ausdauer. Viele Programme wurden schon zigfach getestet.» Für den Zürcher sei das Tüfteln Teil seiner Natur: «Es macht mir Spass, etwas auszuhebeln, an das niemand gedacht hat. Wenn ich beispielsweise einen Server übernehmen kann oder ein grosses Datenleck aufdecke, ist das ein schönes Erfolgserlebnis.»

Doch wie genau geht er dabei vor? «Zuerst lerne ich die Angriffsfläche, also die App oder das System, gut kennen und teste diese dann gezielt. Fast immer erkenne ich Schwachstellen, indem ich spezifische Payloads übermittle – also manipulierte Datenpakete, die bestimmte Reaktionen im System hervorrufen sollen.» Als Letztes erstelle er, im Gegensatz zu echten Hackern, für die Auftraggeber der Tests ein sogenanntes Proof of Concept – den Beweis, dass die Schwachstelle existiert.

Was Simon in all den Jahren gelernt hat: «Nicht nur Unternehmen, sondern auch Privatpersonen können Ziel eines Hackerangriffs sein. Solche Angriffe würden sich oft vermeiden lassen – mit gesundem Menschenverstand und ein paar Regeln.»

Alltag zwischen Bugs, Community und Familie

Besonders schätzt Simon auch die Community rund ums Ethical Hacking, da das Gemeinschaftsgefühl motiviere. «Einmal im Jahr veranstaltet die Plattform GObugfree den GOhack. Das ist ein toller Event, um Gleichgesinnte zu treffen und in einer Live-Hacking-Challenge die Kräfte zu messen. «GOhack ist eine Chance, Ethical Hacker persönlich kennenzulernen – und praxisnah ihre Denkweise und Herangehensweise zu erleben», sagt Nadine Anderson von GObugfree.

Ein weiteres Bild, das so gar nicht zum klassischen Klischee eines Hackers passen will: Simon verbringt seine Freizeit nicht vor dem PC. Am liebsten ist er mit seiner Familie oder dem Hund unterwegs. «Und für den sportlichen Ausgleich gehe ich ins Fitnessstudio.»

Dieser Artikel wurde zuerst auf 20min.ch veröffentlicht – Autorin: Verena Edinger.