Wie Cyber-Spione zu Werke gehen

Alle setzen auf die gleiche Taktik

Das Problem: Nahezu jedes Programm hat quasi ab Werk Bugs eingebaut. Moderne Software ist so komplex, dass Programmierer fast zwangsläufig Fehler machen. Und je umfangreicher ein Programm ist, desto mehr Bugs verstecken sich im Code.

Microsofts Betriebssystem Windows 7 soll mehr als 50 Millionen Zeilen Programmcode umfassen. Die NetWeaver-Plattform der Businesssoftware des deutschen Softwarehauses SAP bestand schon vor fünf Jahren aus mehr als 230 Millionen solcher Zeilen. Im Zahlen- und Zeilenwust Fehler zu finden erinnert an die Suche nach der Nadel im Heuhaufen.

Es ist eine Arbeit für Spezialisten. Dabei setzen Spitzel, Schurken und Softwareproduzenten auf die gleichen Taktiken. Sie rücken Anwendungen und Betriebssystemen mit speziellen Softwarewerkzeugen zu Leibe. Ziel der Stresstests für die Software ist jeweils, die Systeme zu unvorhergesehenem Verhalten oder gar zum Absturz zu bringen. Denn solche Crashs deuten auf Fehler hin, die die Experten dann auf Missbrauchspotenzial untersuchen.

Bug-Jäger aus aller Welt

Viele Softwarekonzerne gehören daher selbst zu den Kunden der Bug-Händler: Im Rahmen von Belohnungsprogrammen wie die Zero Day Initiative (ZDI) oder iDefense kauft die IndustrieIndustrie Hinweise auf Softwarelücken auf - und zahlt laut Brancheninformationen bis zu 10 000 Dollar pro gefundenen Fehler. Top-Firmen der Branche Industrie

Verkäufer sind Hacker auf der ganzen Welt. Wie der junge Russe Alexander Gavrun - Hackername 0x1byte -, der nach eigenen Angaben vom Verkauf der Bugs an ZDI oder Google lebt: „Als Bug-Jäger verdiene ich in Russland mehr als ein Programmierer oder System-Administrator.“ Im Schnitt benötige er einen Monat, um schwere Bugs in weit verbreiteter Software wie etwa Adobes Flash zu entdecken. Sein Hauptabnehmer, versichert Gavrun, sei ZDI. Dass die deutlich weniger zahlten als Regierungseinkäufer oder Kriminelle, sei - "ganz ehrlich" - kein Problem. "Ich hatte Kontakt in diesen Szenen. Ich will damit nichts zu tun haben."