White-Hat-Hacker – auch ethische Hacker genannt – sind Sicherheitsexperten, die Computersysteme mit ausdrücklicher Erlaubnis des Betreibers auf Schwachstellen untersuchen. Der Begriff stammt aus den Western-Filmen, in denen die Helden weiße Hüte trugen und die Bösewichte schwarze. Im Unterschied zu Black-Hat-Hackern handeln sie legal, transparent und im Interesse des Auftraggebers.
Aufgaben
White-Hats arbeiten typischerweise als Penetrationstester, Sicherheitsauditoren oder Sicherheitsforscher. Sie führen Penetrationstests durch, analysieren Code und Konfigurationen und dokumentieren gefundene Sicherheitslücken verantwortungsvoll. Viele beteiligen sich an Bug-Bounty-Programmen, bei denen Unternehmen Belohnungen für gemeldete Schwachstellen zahlen – oder melden Funde im Rahmen der koordinierten Offenlegung (Responsible Disclosure).
Legale Grundlage
Entscheidend ist die Autorisierung: Nur wer einen schriftlichen Auftrag oder eine klare Einwilligung besitzt, bewegt sich auf der sicheren Seite. In Deutschland stellen die §§ 202a bis 202c StGB das unbefugte Ausspähen von Daten und dessen Vorbereitung unter Strafe (der sogenannte Hackerparagraph). Ein autorisierter Pentest im Rahmen eines Vertrags ist davon nicht erfasst – ebenso wenig wie das Testen der eigenen Systeme. Beliebte Zertifizierungen für den Beruf sind der Certified Ethical Hacker (CEH) und der OSCP der Firma OffSec.
Abgrenzung
Während Grey-Hat-Hacker in einer Grauzone handeln und Black-Hat-Hacker kriminell agieren, halten sich White-Hats konsequent an Gesetze und Auftragsgrenzen. Sie gehören zur Gruppe der Security Researcher und stehen damit auf der defensiven Seite der Sicherheitsgemeinschaft – vergleichbar mit einem Red Team, das Angriffe im Auftrag simuliert.
Verwandte Grundlagen: Threat Actor, Hacktivist, Script Kiddie, Vulnerability Management.