Grey-Hat-Hacker bewegen sich zwischen den Welten: Sie dringen wie Black-Hat-Hacker ohne Erlaubnis in Systeme ein, verfolgen dabei aber keine kriminellen Absichten. Statt Daten zu stehlen oder Schaden anzurichten, wollen sie Sicherheitslücken aufdecken – und informieren den Betroffenen oft erst im Nachhinein. Genau darin liegt das Problem: Das unbefugte Eindringen ist rechtlich eine Straftat, auch wenn die Absicht gut war.
Typisches Vorgehen
Ein Grey-Hat entdeckt beispielsweise eine Schwachstelle in einem Webshop, testet sie ohne Auftrag und meldet sie anschließend dem Betreiber – manchmal mit der Bitte um eine kleine Belohnung oder öffentliche Anerkennung. Manche veröffentlichen den Fund sogar, wenn der Betreiber nicht reagiert. Andere nutzen ihr Wissen, um selbst als Berater tätig zu werden. Der Übergang zum White Hat ist fließend, sobald eine offizielle Beauftragung vorliegt.
Rechtliche Risiken
In Deutschland machen sich Grey-Hats nach §§ 202a bis 202c StGB strafbar, sobald sie ohne Einwilligung auf fremde Systeme zugreifen – unabhängig von ihren Motiven. Auch wer nur eine Lücke nachweist, kann wegen des Vorbereitens des Ausspähens von Daten belangt werden. Wer Schwachstellen legal melden möchte, nutzt daher Bug-Bounty-Programme oder wendet sich im Rahmen der Responsible Disclosure direkt an den Anbieter.
Abgrenzung
- White-Hat-Hacker handeln mit Erlaubnis und legal.
- Black-Hat-Hacker handeln ohne Erlaubnis und mit krimineller Absicht.
- Grey-Hat-Hacker handeln ohne Erlaubnis, aber mit guter Absicht – die Grauzone dazwischen.
Fachleute sehen Grey-Hats oft kritisch, weil sie die Grenzen des Erlaubten eigenmächtig verschieben. Wer in der Sicherheitsbranche arbeiten will, sollte sich dem Berufsbild des Security Researchers oder Penetrationstesters zuwenden statt auf eigene Faust zu testen.
Verwandte Grundlagen: Threat Actor, Hacktivist, Sicherheitslücke, CVE.