„Die aufgedeckten Schwachstellen sorgen bei Entwicklern oft für einen Aha-Effekt“

Pfefferminzia: Warum hat es Sie in die IT-Branche gezogen?

Carsten Cordes: Schon als Kind habe ich mich dafür interessiert. Mit 13 Jahren schrieb ich die ersten Programme. Doch dann ging ich mit einer Ausbildung zum Bankkaufmann zunächst in eine andere berufliche Richtung. Dabei stellte ich fest, dass das nicht das Richtige für mich ist. So absolvierte ich in Oldenburg den Bachelor-Abschluss in Informatik und schloss daran den Master an. Jetzt reizen mich vor allem die unterschiedlichen Probleme, die ich als IT-Sicherheitsberater und Penetrationstester lösen kann. Dazu gehört es, neben den eigentlichen Sicherheitslücken der Systeme, zunächst die Welt der Kunden kennenzulernen.

Warum haben Sie sich auf das Thema Sicherheit und Qualität konzentriert?

Besonders spannend ist für mich, ein System dazu zu bewegen, etwas zu tun, wofür es nicht gedacht war. Irgendeinen Fehler, den der Entwickler gemacht hat, aufzuspüren und zu nutzen. Denn ein Fehler muss vorher im IT-System oder von dessen Nutzer gemacht worden sein, damit ich dort ansetzen kann. Mir fällt es umso leichter diesen zu finden, je mehr Informationen ich habe. Das ist kreativ, aufregend und lehrreich.

Was ist das Spannende daran, wenn Sie auf die Suche nach Sicherheitslücken gehen?

Man weiß nie, was einen erwartet. Sind es die Standardfehler oder ist es etwas Besonderes? Standardfehler sind beispielsweise falsches Konfigurieren bei der Homepage. Etwas spannender ist es bei Datei-Uploads. Ein weiteres Einfallstor ist oft auch das Kontaktformular. Wenn man Kunden hier auf die Lücken aufmerksam macht, fallen sie oft aus allen Wolken.

Sind Internet-Seiten mit einem Contentmanagementsystem (CMS) anfälliger für Hackerangriffe als Seiten, die eigens programmiert wurden?

Das ist so nicht eindeutig zu beantworten. Bei einem CMS wie WordPress oder Typo3, gehen Hacker gezielt auf die Suche nach Lücken. Dann suchen sie Internet-Seiten, die damit erstellt wurden und greifen sie an. Darum sollten unbedingt immer alle Updates eingepflegt werden. Bei programmierten Seiten kann der Entwickler eher einen Fehler machen und eine Einstellung vergessen. Dort könnte ein Hacker ins System eindringen. Um dem vorzubeugen, kann jeder seine Webseite selbst testen. So ist für die Überprüfung des SSL-Zertifikates die Seite www.ssllabs.com sinnvoll. Wer testen möchte, ob die Security-Header richtig gesetzt sind, kann auf www.securityheaders.io gehen. Und wer „sich selbst hacken“ möchte, findet unter www.owasp.org jede Menge Informationen und Empfehlungen zur Verbesserung der eigenen Webseite.

• <
• 1
• 2
• zur Startseite
• >