Ein White Hat ist jemand, der Sicherheitslücken mit Auftrag oder im Rahmen eines Prämienprogramms sucht und meldet. Der Name stammt aus dem Western, in dem der Gute den hellen Hut trägt; gemeint ist die Seite, die ihre Funde dem Hersteller gibt und nicht dem Markt.
- White Hat
Jemand, der Sicherheitslücken mit Auftrag oder im Rahmen eines Prämienprogramms sucht und meldet.
Beispiel: „Der White Hat meldete die Lücke am Montag und wartete mit der Veröffentlichung drei Monate.“Auch: ethischer Hacker. Im Beruf tragen diese Leute Titel wie Security Engineer, Pentester oder Security Researcher.
Abgrenzung zum Grey Hat: Der sucht ohne Auftrag und meldet trotzdem. Der Unterschied ist kein moralischer, sondern ein rechtlicher.
Wie ein White Hat arbeitet
Innerhalb von Grenzen, die vorher schriftlich feststehen. Dazu gehören der Umfang, das Zeitfenster, die Frage nach Produktionsumgebung oder Kopie und der Umgang mit gefundenen Kundendaten. Innerhalb dieser Grenzen läuft die Arbeit wie ein Angriff, siehe Penetrationstest; am Ende steht ein Bericht statt eines Schadens.
Was ein White Hat für einen Betrieb bedeutet
Eine Lücke, die intern bekannt wird, bevor sie draußen bekannt wird. Dafür braucht es zwei Dinge: einen Weg, auf dem Meldungen ankommen, und eine Reaktion, die freundlich bleibt. Wer auf eine Meldung mit einem Anwaltsschreiben antwortet, bekommt die nächste nicht mehr, und die Lücke bleibt trotzdem.
Warum der Auftrag beim White Hat alles entscheidet
Weil die Tätigkeit sonst strafbar ist. Die Paragraphen 202a bis 202c des Strafgesetzbuchs stellen das Verschaffen von Zugang und das Vorbereiten dazu unter Strafe, unabhängig von der Absicht, siehe Hacker. Ein Entwurf des Bundesjustizministeriums von 2024 will gutgläubige Forschung straffrei stellen. Bis dahin gilt: kein Auftrag, kein Test.