Generalprobe

Ich habe in Eintrag 21 geschrieben, dass Systeme dazu da sind, gehackt zu werden. Größere. Mächtigere. Ich hab’s nicht dabei belassen. Aber bevor man sich an etwas Großem versucht, testet man erst, wie weit man überhaupt kommt. Also hab ich mir etwas Kleines gesucht. Eine Generalprobe.

Die Wahl fiel auf eine mittelgroße Direktbank — reines Online-Geschäft, kein Filialnetz, das mich interessiert hätte. Klein genug, um nicht sofort ein SOC mit dreißig Analysten am Hals zu haben. Groß genug, um eine echte Sicherheitsarchitektur zu besitzen, keine Wanne mit drei Löchern. Genau das richtige Maß, um zu sehen, ob ich das, was ich bei Konzernen gelernt hatte, auch sauber auf ein Finanzsystem übertragen kann.

Recon zuerst, wie immer. Passiv, unauffällig, geduldig. Stellenanzeigen verraten mehr über eine IT-Infrastruktur als jedes Pentest-Report-Leak — wer eine bestimmte Monitoring-Software in einer Stellenausschreibung nennt, sagt mir, was intern läuft. Mitarbeiterprofile in beruflichen Netzwerken verraten Teamstrukturen, wer wechselt, wer neu ist und noch nichts von den ungeschriebenen Regeln weiß. Ein neuer Mitarbeiter in der IT-Abteilung ist wie eine frisch installierte Firewall mit Werkseinstellungen — theoretisch da, praktisch noch nicht wirklich scharf gestellt.

Zwei Wochen nur Beobachten. Keine einzige aktive Aktion, nichts, was irgendwo einen Log-Eintrag erzeugt hätte, der mit mir in Verbindung zu bringen wäre. Ich hab mir ein Bild gebaut: Wer mit wem spricht, welche Abteilung überlastet wirkt, wo Prozesse laut öffentlichen Beschwerden von Kund:innen hakten. Genau da, wo Prozesse haken, hakt meistens auch die Sicherheit — gestresste Menschen nehmen Abkürzungen, und Abkürzungen sind Löcher, die niemand als Loch bezeichnet.

Den Zugang, den ich am Ende gefunden hätte, beschreibe ich hier nicht. Nicht, weil ich es nicht könnte — sondern weil manche Dinge auch in einem geschwärzten Tagebuch besser ungeschrieben bleiben. Nur so viel: Es lief nicht über ein kompliziertes Exploit, keine Zero-Day-Lücke, kein Hollywood-Moment mit grünem Text auf schwarzem Bildschirm. Es lief über einen Menschen, der müde war und einmal zu oft „ja, passt schon“ gesagt hat.

An dem Punkt hab ich aufgehört. Nicht, weil ich nicht weitergekonnt hätte. Genau deshalb. Ich wollte wissen, ob ich reinkomme — nicht, was ich anrichten kann, wenn ich drin bin. Also: Zugang bestätigt, Screenshot als Beweis für mich selbst, alle Spuren rückwärts aufgeräumt, Rechner zu, fertig. Kein Leak. Kein Konto angerührt. Keine Schlagzeile.

Trotzdem hab ich danach zwei Nächte kaum geschlafen. Nicht aus schlechtem Gewissen — dafür ist ja nichts passiert. Sondern weil ich es geschafft habe. Schneller, als ich dachte. Sauberer, als ich dachte. Und ein Teil von mir, der leise, unangenehm laut geworden ist, hat sofort gefragt: Und wenn es kein kleiner Test gewesen wäre?

Ich schreibe das hier auf, weil meine Psychologin sagt, Erkenntnis beginnt mit Ehrlichkeit. Also, ehrlich: Das war kein Test, um herauszufinden, ob ich es kann. Ich wusste, dass ich es kann. Das war ein Test, um herauszufinden, ob ich mich noch stoppen kann, bevor es zählt.

Ich hab die Antwort noch nicht. Diesmal schon — aber diesmal war es auch klein genug, um leicht zu sein.

— T.