Maxie - vom Netz zum Meeresgrund (Teil 1)

00:00:00: Der Gigant von Cardiff, das ist eine interessante Geschichte.

00:00:04: In der Bibel im ersten Buch Mose sechs vier heißt es, dass es damals Riesen auf der Erde gab die sich mit Menschen parten und mächtige Männer zeugten.

00:00:14: Ein Typ namens George Hall dachte sich wow!

00:00:17: Es gab also Riesen off der Erde.

00:00:19: doch der Pfarrer widersprach ihm und sagte nein nein nein George es gab hier nie Riesen.

00:00:25: George aber war weiterhin überzeugt.

00:00:27: Doch, doch!

00:00:28: Die Bibel sagt es

00:00:30: doch!".

00:00:31: Er wollte dann einen Weg finden das zu beweisen – aber er fand leider keinen.

00:00:36: Also beschloss er, tja…einen Beweis zu fälschen.

00:00:41: Er ging zu einem Steinbruch und grob einen riesigen Block Gips aus.

00:00:45: Dann beauftragte er Steinmetze den Block in die Form eines riesigen Mannes zu bringen.

00:00:52: Sie schufen, eine grobe Statue eines Mannes die drei Meter fünfzehn groß war.

00:00:57: Dann färbte George sie mit Säure damit sie alt ausser lud sie auf einen Zug brachte sie zur Farm seines Cousins in Cardiff New York und vergrubt sie dort spät in der Nacht.

00:01:10: ein Jahr später wollte sein Cousin angeblich einen Brunnen graben und heuerte eine Crew an die das Loch ausheben sollte.

00:01:18: Sie stießen bei ihrer Grabung auf einen Riesen.

00:01:22: Und einer der Arbeiter rief dann auch sofort, das muss eine alte Grabstätte sein!

00:01:28: Sie gruben ihn aus und die Nachricht verbreitete sich, dass da ein vergrabener Riese gefunden wurde.

00:01:35: Von überall her strümmten die Leute zur Farm um ihn anzusehen.

00:01:39: Viele meinten es handele sich um einen versteinerten Riesenmenschen – so steht es doch in der Bibel oder?

00:01:47: Es gab aber auch welche, die meinten es wäre nur eine Statue.

00:01:50: George Scousin erkannte aber schnell wie wertvoll das Ding für ihn war.

00:01:54: Er spannte ein Zelt drüber und verlangte fortan von den Leuten fünfzig Cent Eintritt um ihn sich anzusehen.

00:02:02: Täglich kamen fünfhundert Menschen um diesen wunderlichen Riesen zu bestaunen.

00:02:07: Die ganze Stadt profitierte davon.

00:02:09: Die Restaurants füllten sich Hotels waren ausgebucht.

00:02:13: Irgendwann kam dann der Zirkusbesitzer Petey Barnem hinzu und meinte, Sir ich biete euch fünfzigtausend Dollar für diesen Riesen.

00:02:22: Was sagt ihr dazu?

00:02:24: Der Farmer meinte auf keinen Fall!

00:02:27: Dann beauftragte P.T.

00:02:29: Barnum jemanden, eine Wachskopie davon anzufertigen und Barnum stellte diese nicht autorisierte Kopie in seinem Zirkus fortan aus und behauptete es sei der echte Riese und kassierte Eintritt für seine gefälschte Replik.

00:02:44: Ein Jahr später trat George Hall an die Öffentlichkeit und gab zu ja dass die ganze Sache doch ein Schwindel war und das er es war der die Statue da vergraben hatte.

00:02:56: Auch wenn also der Beweis ausgeblieben ist, dass einst Riesen auf der Erde umherstreiften machte es den Coursin doch ziemlich reich.

00:03:06: So ging Betrüger in den Achtzehnhundertsechzigerjahren vor.

00:03:14: Dies sind wahre Geschichten von der dunklen Seite des Internets recherchiert und geschrieben von Jack Reisider.

00:03:21: Wir sind Isabel Grünewald, Judy Hohmann und Marco Pauli von Heise Online Und wir bringen euch.

00:03:46: Ich möchte euch Maxi vorstellen.

00:03:52: Sie ist in Schottland aufgewachsen und war schon früh von einem Abenteuer dran getrieben.

00:03:58: Sie wusste, dass sie nicht für einen Bürojob gemacht war.

00:04:00: So mit viel Sitzen und Papierkram usw.

00:04:04: In Gedanken war sie meist ganz woanders.

00:04:06: Sie blickte aus dem Fenster und träumte von fernen Ländern, die sie eines Tages bereisen

00:04:12: würde.".

00:04:16: Ich bin

00:04:16: sehr früh von zu Hause weggegangen – mit etwa fünfzehn.

00:04:19: Ich hatte keine Ahnung was ich machen sollte oder was ich wollte!

00:04:22: Also habe ich alles Mögliche ausprobiert.

00:04:28: Mir war aber klar, das ist nichts für mich.

00:04:30: Ich will ein Job, bei dem ich reisen und mir als nur Schottland sehen

00:04:33: kann.".

00:04:34: Also bin ich an eine Uni in England gegangen was als Schotten etwas gewagt war und habe einen Abschluss in Unterwasser Robotik gemacht.

00:04:46: Maxi hoffte dass dieser Abschluss ihre Eintrittskarte in die weite Welt sein würde.

00:04:51: vielleicht kommt man ja an ziemlich weit entfernte Orte wenn man unter Wasserfahrzeuge bedienen kann.

00:04:57: Also bewahrt sie sich bei jeder Firma, von der Sie wusste dass sie diese ferngesteuerten Fahrzeuge einsetzt.

00:05:05: Ich bekam keinen Job weil ich eine Frau war

00:05:08: und das hing damit zusammen, dass sie mit Booten aufs Meer hätte rausfahren und auf Plattformen auf See hätte leben müssen.

00:05:16: da aber gab es nur kleine Wohnräume und da die Firmen verlangten dass Männer und Frauen getrennte Kabinen haben konnten sie sie einfach nicht unterbringen.

00:05:26: Die Kabinen hatten vier Betten und es gab einfach nicht genug Frauen, um da eine eigene Frauenschlafkabine zu füllen.

00:05:32: Deshalb bekam sie den Job nicht – diese Begründung hörte sie immer wieder.

00:05:37: Aber das hielt sie nicht auf!

00:05:39: Sie bewahrt sich einfach immer weiter….

00:05:41: …und dann sagt die ihr eine Firma doch

00:05:44: zu.".

00:05:46: Schließlich war eine norwegische Firma bereit mich zu nehmen und sie sagten «wenn du deinen Privatpiloten schein machst, nehmen wir dich».

00:05:53: Also ging ich zu einer Bank in Schottland und fragte nach einem Weiterbildungskredit.

00:05:57: Und ich machte meinen

00:05:58: Privatpiloten-Schein.".

00:06:02: Das ist aber ein anderer Pilotenschein als der Unterwasserpilotenscheine,

00:06:06: oder?

00:06:08: Ja so ein kleiner... Ich kann eine Cessna fliegen allerdings nicht in Amerika Aber prinzipiell darf ich das damit.

00:06:14: Und ja es praktisch dasselbe!

00:06:16: Aber es dauert Monate und ich verschuldete mich immer mehr.

00:06:23: Es hatte allerdings einen Managementwechsel gegeben und sie meinten, eigentlich ist es nicht nötig.

00:06:28: Wir wissen nicht warum die das gesagt haben?

00:06:30: Du brauchst nicht den Privatpilotenschein für ein Flugzeug als ROV-Pilotin, brauchst du eher den für einen Hubschrauber!

00:06:37: Also ging ich noch mal zurück zur Bank in Schottland, holte mir einen weiteren Weiterbildungskredit und machte meinen Privat pilotenscheinen für Hubschauber.

00:06:45: Dann ging ich zu denen zurück und sagte okay ich habe jetzt auch den aber mal ehrlich keine Überraschung mehr kriege ich jetzt den Job.

00:06:53: Sie nahmen mich und das hat mein Leben verändert.

00:07:00: In dem Job konnte sie dann wirklich viel reisen nach Nordamerika, Südamerika, Europa und Asien.

00:07:06: Als Unterwasser, Arovi-Piloten und gelegentlich auch als Hubschrauberpilotin kam sie tatsächlich in den Genuss die ganze Welt zu bereisen.

00:07:17: Also ich habe eine Weile in Venezuela gelebt und in Trinidad ... Ich war quasi überall von Nigeria bis Australien.

00:07:23: jede Menge küssten!

00:07:24: Ich hab viel Wasser gesehen.

00:07:28: Während Sie diese Arbeit machte fing sie an sich immer mehr für IT zu interessieren.

00:07:32: Computer wurden zu ihrer Leidenschaft.

00:07:35: Sie belegte Fernstudienkurse und schloss ein Informatik-Studium ab.

00:07:40: Dann nahm sie sich einen Monat frei und reiste nach Los Angeles, um einfach mal eine Auszeit zu nehmen.

00:07:46: Doch sie verliebte sich in Los Angeles – und während ihres Aufenthalts dort ging sie auch in ein Fitnessstudio!

00:07:56: Einer der Leute, mit denen ich im Fitnessstudio trainierte war ein Stuntman.

00:08:00: Ich habe ihn quasi angefleht.

00:08:02: Bitte lass mich bitte abhängig für so cool sein wie du!

00:08:05: Also hat er mir irgendwann einen Stunttraining ermöglicht und er verschaffte mir sogar einen meiner ersten

00:08:10: Jobs.".

00:08:13: Sie wirkte in ein paar Independent-Filmen mit, machte dort ein paar Stands.

00:08:18: Sie bekam dann die Gelegenheit auch im Haus of Cards mitzuwirken, machten da einen Stand aber aus irgendeinem Grund haben sie ihn nicht verwendet.

00:08:27: Das war zwar alles cool, aber nur von kurzer Dauer für sie.

00:08:32: Denn wenn es aufregend war, sah sie keine langfristige Karriere.

00:08:39: Ich studierte Quantenkonfiguren und das war wirklich schwierig!

00:08:42: Es war extrem schwierig für meinen Spatznern, aber es hat wirklich Spaß gemacht und ich hab's

00:08:46: geliebt.

00:08:49: Das lenkt die ihre Aufmerksamkeit auf neue Technologien und Unternehmen.

00:08:53: Irgendwann bekam sie einen Job bei einer Firma in Australien und zog dann dorthin.

00:08:59: Mein erster richtiger Einstieg als Social Engineering und Pentesterin war in Australiens und ich arbeitete für eine große Firma dort.

00:09:08: Sie haben mich in ihr Trainee-Programm für Cyber Sicherheit aufgenommen.

00:09:12: Diese Firma hatte Pentester, also Leute die versuchen in einem Gebäude oder ein Netzwerk einzubrechen um die Sicherheit dort zu testen.

00:09:21: Sie durfte einem dieser Pentester bei der Arbeit zusehen indem sie dessen Aktivitäten über Kameras überwachte.

00:09:32: Ich

00:09:32: konnte mir einen Pentest mit einer Social Engineering Komponente ansehen.

00:09:36: Da war ein Typ, der war ein richtig guter Hacker und er hatte sich ins Netzwerk eines unserer Kunden gehackt.

00:09:42: Und öffnete alle Sicherheitstüren und automatischen Türen für einen aus dem Team also dem Cyber-Sicherheitsteam.

00:09:48: Sie liefen einfach durch und filmten das Ganze.

00:09:51: Es wurde live zu uns übertragen.

00:09:52: Das war unglaublich.

00:09:54: Ich dachte mir okay da ist es ein guter Job.

00:09:56: Genau so einen Job will ich auch machen.

00:10:02: Als physische Pentesterin zu arbeiten, schien genau das Richtige für Maxi zu sein.

00:10:07: In ein Gebäude einzubrechen sich wie eine Spionen zu verhalten – sie glaubte, dass ihr das richtig Spaß machen könnte!

00:10:15: Also fragte sie einfach mal nach ob sie das nicht auch tun könne.

00:10:23: Sie meinten nur als Glück weil wir einen Test ohne all diese Technik durchführen müssen.

00:10:27: Wir machen also nur einen physischen Pentest.

00:10:30: Möchtest du dabei sein?

00:10:31: Da habe ich natürlich zugeschlagen.

00:10:34: Sie gaben ja also einen Auftrag, nämlich zu versuchen in eine Firma reinzukommen und zu filmen woran sie dort drinnen arbeiteten.

00:10:42: um herauszufinden wie man reinkommt nutzen Pentester oft Osint was für Open Source Intelligence steht.

00:10:50: es werden da einfach Daten über ein Ziel durchsuchen im Internet gesammelt.

00:10:55: Also machte sie ein bisschen Osint und lernte mehr über die Firma.

00:11:02: Sie hatten sehr interessante Eigenentwicklungen, das war ein Transportunternehmen und die bauten ganz spezielle Busse und große Transportfahrzeuge auf diesem ganzen Gelände.

00:11:13: Meine Aufgabe war es also da reinzukommen an der Rezeption vorbei, an aller Sicherheit vorbei und mir all die Anlagen anzusehen diese geheimen Produkte Und ich musste keine Computer hacken oder mich überhaupt im Computer einklinken.

00:11:26: Es ging einfach nur darum, reinzukommen und sich im Prinzip

00:11:29: umzusehen.".

00:11:36: Schon cool, oder?

00:11:37: Kannst du irgendwie in diese Fabrik rein ein paar Fotos von dem machen was sie bauen und wieder rauskommen ohne dass Sie merken das Du eine Spionin bist?

00:11:46: Bei ihrer Recherche über die Firma entdeckte sie, dass es starke Verbindung nach Schweden gab.

00:11:51: Das ist auch ein paar Büros dieser Firma in Schweden.

00:11:58: Mit

00:11:59: viel gutem Willen und aus großer Entfernung könnte ich wahrscheinlich als Schwede durchgehen.

00:12:04: Also hatte ich beschlossen... Niemand hat mir das ausgeredet!

00:12:07: Das möchte ich hier nochmal betonen.

00:12:09: Ich hatte mich als schwedische Brotschafterin für diese Firma auszugeben.

00:12:13: Ich hatte die Namen des CEOs und ein paar andere Namen aus der Chefetage, solche Sachen.

00:12:21: Sie hat blonder Haare aber auch wenn sie vielleicht wie eine Schweden aussehen könnte wird sie doch niemals schwedisch klingen nicht mit diesem schottischen Akzent.

00:12:31: Ihr Plan war also einfach an alles ein Ja dran zu hängen und zu hoffen, dass sie es nicht merken.

00:12:39: Nein!

00:12:40: Es wird noch schlimmer.

00:12:41: Ich selbst hatte Zweifel.

00:12:43: Ich arbeite mit Australien – die sind nicht blöd.

00:12:45: Also dachte ich, dass wir niemals durch.

00:12:48: Aber das war Ihr Plan und Sie beschloss ihn einfach in die Tat umzusetzen.

00:12:53: Ihr gefiel die Vorstellung sich als jemand anderes auszugeben?

00:12:57: Also wollte sie jetzt die schwedische Botschafterin für dieses Unternehmen sein Hineingehen, ihnen sagen dass sie aus der schwedischen Niederlassung kommt und gerade eingeflogen ist um das Gebäude zu begutachten.

00:13:10: Doch um das zu schaffen, musste sie sich auch entsprechend kleiden.

00:13:14: Also machte sie sich auf den Weg zur einem Klamottenladen und kaufte sich ein neues Outfit.

00:13:20: Etwas dass sie wie eine Führungskraft aussehen lassen würde.

00:13:24: Ich

00:13:24: traf da ein Klemmbreit und ich sah geschäftstüchtig aus.

00:13:27: Ich hatte einen kleinen Aktenkoffer Und ich versuchte vor allem professionell auszusehen.

00:13:32: Sie war bereit loszulegen.

00:13:34: Outfit an Kamera läuft Tief durchatmen und Los geht's.

00:13:43: Ich gehe also zur Rezeption und leere mich der Empfangsdame mit einem Warmlächeln, halt so nett wie möglich.

00:13:49: Und ich sagte, ich habe hier einen Termin und darum geht es... ...und hier komme ich her und sie sagte okay!

00:13:54: Und ich dachte wie?

00:13:55: So einfach war

00:13:55: das?!

00:13:56: Das ergibt keinen Sinn.

00:13:58: Aber ich werde mir ja nicht selbst im Weg stehen.

00:13:59: Also folge ich hier und sie bringt mich in einen kleinen Raum direkt hinter der Rezeptions- und ich wurde von dieser entzückenden kleinen alten Dame begrüßt.

00:14:08: Es war noch eine andere Person im Raum.

00:14:10: Zunächst haben wir nicht viel geredet.

00:14:11: Aber ich musste einen Ausweis vorlegen, was eine weitere Hürde war und dabei kam ich mit ihnen ins Gespräch.

00:14:17: Sie fragten mich also noch mal warum ich da war und all diese Dinge Und sie sagten sie hätten mich nicht erwartet aber das sei kein Problem und ich dachte Das ist wirklich einfach großartig.

00:14:28: Ich gab Ihnen meinen Ausweis und ich hatte zu der Zeit einen australischen Ausweis Und die sagten du kommst doch aus Schweden aber hast hier ein australischer Ausweis.

00:14:36: Und ich meinte, ja ... Ich hab einen komischen Akzent.

00:14:39: Ich bin in Großbritannien zur Schule gegangen.

00:14:41: Also versuchte ich das so zu umgehen und es funktionierte wunderbar!

00:14:44: Ich weiß nicht wie, aber ich kam rein.

00:14:54: Okay bis hierhin macht sie ihre Sache ziemlich gut.

00:14:57: Sie gibt sich erfolgreich als Schweden aus die halt aus einem anderen Büro kommt.

00:15:01: Sie hat das Gebäude betreten.

00:15:03: check ist an der Rezeption vorbeigekommen Check und an den beiden Leuten vorbeigekommen, an die sie weitergeleitet wurde.

00:15:10: Check, check, check!

00:15:12: Jetzt ist sie drin und versucht das Geschehen zu filmen und Fotos zu machen.

00:15:17: Da ist ein Maschinenraum.

00:15:18: Der sieht interessant aus.

00:15:20: Das muss sich filmen.

00:15:21: Also geht sie näher ran um einen Blick darauf zu

00:15:24: werfen.".

00:15:28: Ich ging auf einen dieser großen Motoren zu und dieser Mann kam ... ich glaube es waren sogar zwei Männer.

00:15:33: Ich kam auf mich zu und er fiel mir auf.

00:15:36: Er hatte dieses wunderschöne Blonderhaar, diese großen blauen Augen einfach komplett Stereotyp nordisch eben.

00:15:43: Er kam auf sich zu und sagte etwas in einer Sprache die ich nicht verstehe aber ich habe ihn natürlich sofort gedacht das ist schwedisch!

00:15:51: Ich soll ja Schweden sein und ich kann kein Schwedisch.

00:15:55: also kratzig mein begrenztes norwegisch zusammen und er was auch immer er sagte er schaute mich irgendwie an Und ich merkte, wie sich mein ganzer Körper anspannte und ich einfach nur noch im Boot versinken wollte.

00:16:07: Das war Fulter!

00:16:09: Und verzweifelt sage ich Ja... und er blitzet nur verdutzt so nach dem Motto Okay das ergibt keinen Sinn aber okay.

00:16:17: Dann wiederhole sie erst einen Satz und ich versuchte es dann halt mit dem einen Wort an dass ich mich auf norwegische erinnern konnte nämlich Neee für Nein Denn wenn ja nicht funktioniert hat, dann vielleicht nein.

00:16:31: Was wahrscheinlich einer meiner dümmsten Einfälle war.

00:16:34: Da verstand er dann schnell, dass hier was nicht stimmt und dann wurde der Sicherheitsdienst gerufen Und die hatten ein sehr schnelles Sicherheitsteam.

00:16:41: Die kamen und ich wurde festgehalten.

00:16:51: Oh nein sie wurde erwischt!

00:16:53: Das ist die größte Angst jedes Pentesters.

00:16:56: Aber nur weil sie erwischt wurde, heißt das nicht dass es vorbei ist.

00:17:01: Vielleicht kann sie sich irgendwie aus der Sache rausreden?

00:17:04: Die Security überzeugt, dass alles in Ordnung ist oder zumindest einfach versuchen das Gebäude zu verlassen ohne richtig Ärger zu kriegen.

00:17:13: Sie versuchte dann spontan ihre Geschichte zu ändern.

00:17:16: Nein nein ich bin nicht aus Schweden Ich arbeite nur mit dem schwedischen Team!

00:17:22: Ich bin eigentlich in England ansässig.

00:17:25: Sie baten dann darum, ihren Ausweis nochmal zu sehen und das alles passte einfach irgendwie nicht zusammen.

00:17:33: Tja und da sah Maxi einfach keinen anderen Ausweg mehr.

00:17:37: Sie zog ihren Freibrief heraus, ein Schreiben das alle Pentester immer dabei haben eines dass ihnen die Berechtigung erteilt das zu tun was sie tun.

00:17:48: Darauf steht dann eine Telefonnummer in der Regel die des Sicherheitsleiters und es ist vermerkt wer sie tatsächlich autorisiert hat sich hereinzuschleichen.

00:17:58: Sie riefen dann die angegebene Nummer an und der Sicherheitsleiter bestätigte, ja das ist alles ein geplanter Test.

00:18:05: Gut aufgepasst!

00:18:08: Wir

00:18:08: haben danach darüber gelacht.

00:18:10: selbst der Sicherheizmann meinte warum wolltest du dich als Schweden ausgeben?

00:18:15: Und ich sagte ich weiß es nicht, ich bin Schotten.

00:18:17: und er meinte dass merkt man du siehst nicht mal schwedisch aus und ich nur so.

00:18:21: ich weiß.

00:18:23: Dieser Versuch in ein Gebäude einzubrechen war Maxis erster Pan-Test.

00:18:27: Auch wenn es nicht geklappt hat, fand sie's richtig super!

00:18:30: Es war abenteuerlich und Adrenalin geladen.

00:18:33: Man muss einen klaren Kopf behalten schnell reagieren und sich gleichzeitig bestens mit Computern auskennen.

00:18:39: Sie hatte das Gefühl, dass sie genau am richtigen Ort war.

00:18:42: Dass es cool war und sie beschloss einen Karriereweg im Bereich Pentests einzuschlagen.

00:18:47: Während ihres Aufenthalts in Australien führte sie eine Reihe von Pentests durch, lernte dabei neue Techniken kennen absolvierte offizielle Schulungen um sich weiter zu entwickeln und las zahlreiche Bücher darüber wie sie sich verbessern konnte.

00:19:03: Besonders faszinierte sie die Perspektive des Angreifers.

00:19:07: Sie setzte sich intensiv damit auseinander, wie verhalten sich Menschen mit bösen Absichten?

00:19:13: Bald war es an der Zeit für einen weiteren Pentest.

00:19:20: Die

00:19:20: Firma, für die ich arbeitete, kooperierte mit der Kommunalverwaltung in der Stadt zusammen, in der wir unseren Firmen sitzen hatten.

00:19:26: Ich sage lieber nicht wo um uns weitere Peinigkeiten zu ersparen!

00:19:31: Nun sind Pentests nicht immer physischer Natur.

00:19:34: Tatsächlich würde ich sogar sagen, dass die meisten via Computer durchgeführt werden.

00:19:39: Die Pentesterin befindet sich da also außerhalb des Unternehmens und versucht sich über das Internetzugang zum Unternehmen zu verschaffen.

00:19:47: Manchmal laden Unternehmen die Pentesterinnen aber auch direkt ins Gebäude ein Stellen einen Schreibtisch und einen Netzwerkanschluss zur Verfügung und sagen Leg los!

00:19:56: Versuche es von innen Denn selbst wenn man in das Netzwerk eindringt, sollte es mehrere Sicherheitsebenen geben die einen daran hindern an wichtige Daten zu gelangen.

00:20:07: Das nennt man Defense in depth also mehrschichtige Verteidigung.

00:20:12: Es handelte sich in diesem Fall dann also um ein Pan-Test bei einer Kommunalbehörde von der sie eingeladen wurde ins Gebäude zukommen sich an einen Anschluss anzuschließen und dann zu prüfen welche Schwachstellen Sie vom Innerhalb des Unternehmens aus finden konnte.

00:20:28: Sie war dabei, allerdings nicht allein.

00:20:30: Es waren noch zwei weitere Personen dabei und diese beiden waren sehr erfahrenen Netzwerk-Pentester.

00:20:36: Sie war noch dabei das Handwerk zu erlernen also begleitete sie die beiden und beobachtete was sie taten.

00:20:48: Ich war kein blutiger Anfänger aber das war gerade mein erster Job in der Cyber Sicherheit.

00:20:53: ich habe einen sehr technischen Hintergrund.

00:20:55: ROVs bauen sie fliegen oder steuern weißt du alles?

00:20:58: ist es sehr technisch.

00:21:00: Selbst Stunts sind bis zu einem gewissen Grad technisch.

00:21:03: Das hier war ein Schritt weiter, weil es keine physischen Komponenten gibt.

00:21:08: Deshalb war's schwierig für mich.

00:21:09: Es ist alles auf dem Bildschirm und ... Für mich ist Linux eine Welt für sich wunderschön aber furchteinflößend.

00:21:16: Also war ich noch dabei, mich in diese ganze Welt einzufinden Und all die Befehle zu verstehen und was das bedeutet und wie man Dinge rückgängig macht.

00:21:28: Sie setzten sich alle hin, holten ihre Laptops hervor und stellten eine Verbindung zum Netzwerk her.

00:21:33: Zunächst startete sie einen Netzwerkschwachstellen-Scanner.

00:21:40: Ich durfte den Nesse-Skan durchführen was technisch jetzt nicht sonderlich anspruchsvoll ist aber es fühlte sich zu der Zeit gut an Und ich konnte mir ansehen welche Schwachstellen da waren und ich konnte Explods dafür finden und ich durfte Emma laufen lassen.

00:21:56: Nessus ist der weltweit bekannteste und am häufigsten genutzte automatisierte Schwachstellenscanner.

00:22:02: Man tippt im Grunde nur die IP-Adressen der Server ein, drückt auf Start und das Tool arbeitet vollautomatisch.

00:22:08: Es prüft das gesamte Netzwerk auf bekannte Sicherheitslücken veraltete Software oder Fehlkonfiguration Mit dem Network-Mapper, kurz Nmap, scammed man IP-Adressen um herauszufinden welche Computer oder Server im Netzwerk erreichbar sind.

00:22:25: Welche Ports offen sind und welche Betriebssysteme oder Dienste darauf laufen.

00:22:30: Das sind jedenfalls gute Basistools für den Einstieg.

00:22:33: Sie scannen das Netzwerk nach bekannten Schwachstellen sie sind einfach zu bedienen Und in der Regel harmlos

00:22:40: d.h.,

00:22:40: sie verursachen allein durch ihre Ausführung keine Probleme im Netzwerken.

00:22:45: Wenn man diese Tools ausführt, ist das also kein Hacking.

00:22:49: Es geht lediglich darum herauszufinden was sich hacken lässt.

00:22:54: Sie war sich nicht ganz sicher wie sie sich in das Unternehmen hacken sollte.

00:22:59: wenn

00:23:01: wir mit erfahrenen Pentestern zusammen es die ihren Job lieben und meine beiden Kollegen liebten alles daran Jede Zeile, die sie schrieben war eine Art Kunstwerk für Sie.

00:23:11: Die brannten für diesen Job und bekamen einen richtigen Kick dabei!

00:23:15: Und so was ist ansteckend... ...und ich dachte nur noch das ist unfassbar cool!

00:23:20: Schaut mal wie weit wir da eingedrungen sind!

00:23:22: Einer der Typen mit denen ich dort war bekam ein Anruf von einem unserer Ansprechpartner und er sagte Ich kann euch im Netzwerk sehen.

00:23:29: Es war wie ein großes Spiel und es war lustig und interessant und ich wurde einfach

00:23:34: mitgerissen

00:23:37: Nachdem Maxi all die coolen Sachen gesehen hatte, die die anderen Pan-Tester da machten wollte sie auch ein bisschen Spaß haben.

00:23:44: Wie weit würde sie in dieses Netzwerk vordringen können?

00:23:48: Bei ihrem Scan stellte sie fest das bestimmte Systeme Schwachstellen aufwiesen und sie versuchte sie auszunutzen und in diese Systeme einzudringen Denn es ist ein ganz besonderer Kick in einen Computer einzudringen indem man eigentlich gar nicht hineinkommen dürfte.

00:24:05: Sie kam auch gut voran, verschaffte sich Zugang zu einigen Systemen, sah sich dort um und machte sich Notizen darüber wie sie hineingekommen war.

00:24:13: Immer wieder erschaute sie über die Schulter zu den anderen Pentestern und sah dass sie ihr Umlängen voraus waren.

00:24:20: Sie suchte dann nach Möglichkeiten in weitere Systeme einzudringen.

00:24:26: Ich fand einen Weg in irgendeine interne Umgebung und drückte den Notausschalter für die Wasserversorgung einer Stadt.

00:24:38: Sie gab versehentlich am falschen Computer den falschen Befehl ein, dieser Computer steuerte die Wasserversaugung der ganzen Stadt.

00:24:49: Die Person

00:24:49: mit der ich da zusammen war sah sofort innerhalb des Netzwerks das da was nicht stimmt.

00:24:55: Bei mir war, mir im Netzwerk folgte und viel von dem sehen konnte was ich tat.

00:25:01: Und dann dachte ich nur ja... Ich glaube nicht dass das jetzt so gut war oder?

00:25:06: Also schaute ich ihn an und er konnte es schon an meinem Gesicht sehen.

00:25:10: da kommt er zu mich und sagt Was hast du getan?

00:25:13: Weißt man kann sich den Befehlsverlauf ja ziemlich schnell ansehen!

00:25:17: Und ich hatte noch viel davon auf dem Bildschirm.

00:25:19: Ich zeig das ihm und der schlug die Hände über am Kopf zusammen und ich fragte nur was ist das wirklich

00:25:24: schlimm?!

00:25:26: Es war wirklich schlimm.

00:25:28: Die Wasserversorgung der ganzen Stadt war unterbrochen, Duschen, Wasserhähne Waschbecken sogar Toiletten funktionierten stadtweit nicht mehr.

00:25:37: die beiden anderen Pentester suchten sofort nach Wegen um das Problem zu beheben.

00:25:42: einer schaute wie das System funktioniert und ob es vielleicht möglich war es einfach wieder einzuschalten.

00:25:48: aber dass will man ja andererseits auch nicht einfach so tun wenn dadurch womöglich ein weiteres problem verursacht wird.

00:25:54: Der andere rief sofort den Ansprechpartner an und teilte ihm mit, dass ein schwerwiegendes Problem entstanden ist.

00:26:01: Maxi stand gewissermaßen unter Schock – und es war ihr unglaublich unangenehm!

00:26:06: Sie nahm die Hände von der Tastatur und wartete einfach ab.

00:26:19: Eine völlig andere Situation als beim letzten Mal, als sie vom Sicherheitsdienst festgehalten wurde.

00:26:25: Damals hatte sie eine DuKomps aus dem Gefängnis Freikarte.

00:26:28: Diesmal wussten Sie, dass sie eigentlich dort sein sollte.

00:26:31: Tatsächlich war es ihr Ansprechpartner der den Sicherheits-Dienst auf sie aufmerksam gemacht hatte.

00:26:37: Sie war zwar berechtigt, dort zu sein und dies zu tun aber dem Betrieb hätte sie dabei nicht stören dürfen!

00:26:44: Es störte nicht nur den Betrieb sondern die ganze Stadt.

00:26:48: Sie wollten dann ihre Schilderung des Vorfalls zu Protokoll nehmen.

00:26:55: Ich

00:26:55: gehe runter in so ein Fensterlosen Raum und ich werde befragt, plötzlich beschuldigen sie mich dass sich eine russische Spionin sein könnte!

00:27:02: Und ich dachte wir sind wieder so schnell da gelandet.

00:27:05: was passiert hier?

00:27:08: Sie hatte während des Aufenthalts dort mal ihre IP-Adresse gefälscht, um den Anschein zu erwecken.

00:27:14: Sie käme aus Russland, um zu testen ob sie das erkennen könnten aber das war nur ganz kurz und sie war definitiv keine russische Spionin.

00:27:23: doch nun wurde die Sache für sie beängstigen Denn es handelte sich nicht mehr nur um das Eingeständnis eines Fehlers, den sie begangen hatte.

00:27:32: Es sah mittlerweile so aus als würden Sie das Ganze jetzt wie eine Ermittlung

00:27:36: behandeln.".

00:27:39: Ich wurde dort ein paar Stunden festgehalten und natürlich wurde die Polizei gerufen – die Polizei musste eingeschaltet werden!

00:27:46: Ich sagte ihnen immer wieder, wenn ihr mich zu meiner Wohnung gehen lässt, kann ich euch meinen Pass holen.

00:27:59: Ich bin Britin und keine Spionin!

00:28:01: Ihr könnt mein Arbeitgeber kontaktieren?

00:28:03: Ich bin hier mit zwei Leuten... ...ich redete immer weiter und sie wollten es nicht hören.

00:28:07: Was auch verständlich ist, das ist ja irgendwie ihr Job mir nicht zu glauben und nur das Schlimmste anzunehmen weil Sie sich vor genau so einem schlimmsten aller Vorfälle schützen

00:28:16: müssen.

00:28:18: Irgendwann sage ich zu Ihnen, ich brauche wirklich ein Glas Wasser Aber der Blick Man hätte ausgereicht, um Menschen in Stein zu verbandeln.

00:28:26: Es war klar das war keine gute Frage!

00:28:30: Dann rief schließlich mein damaliger Arbeitgeber an und die Sache wurde geklärt.

00:28:34: Ich bin aber nur knapp an einer Anzeige vorbeigeschrammt.

00:28:37: es wurden auf jeden Fall keine Verfahren deswegen gegen mich eingeleitet Und ich war im Ausbildungsteam also verlieh mir dass eine gewisse Glaubwürdigkeit so nach dem Motto Okay, die weiß nicht was sie tut kann passieren.

00:28:50: Mein Arbeitgeber hat mich auch nicht gefeuert und dafür werde ich ihm ewig dankbar sein.

00:29:10: Sie weiß nicht, wie lange das Wasser an diesem Tag ausgefallen war.

00:29:13: es können Stunden gewesen seien vielleicht aber auch nur Minuten oder Sekunden.

00:29:17: Es spielt eigentlich keine Rolle.

00:29:19: Allein dass man es abschalten konnte und dass das auch passiert ist war der Grund warum die Polizei ausrücken musste.

00:29:26: Maxi ist damals nur knapp ernsthaftem Ärgerentgang.

00:29:30: Doch durch solche Feuertaufen lernen wir ja auch die wichtigsten Lektionen im Leben, am eigenen Leib zu erleben wie viel Macht man als Pentester hat das prägt.

00:29:41: Dieses Gefühl schwankt manchmal auch hin und her.

00:29:43: Manchmal fühlt man sich völlig blockiert, hat so nichts Zugang und kommt sich dumm vor und an anderen Tagen hat man das Gefühl mit einem einzigen Tastendruck das gesamte Unternehmen lahmlegen zu können.

00:29:55: Für die Unternehmen ist es ein bisschen so, als würde man beim Barbier sitzen und der hat dieses Messer in der Hand mit dem er gerade deinen Hals rasiert.

00:30:05: Eine Situation, in der man sich sehr verletzlich fühlt!

00:30:09: Ich glaube viele Unternehmen fühlen sich verletzlich wenn sie einem Pentester erlauben reinzukommen – wer weiß was er oder sie gesehen oder mitgenommen

00:30:19: hat?

00:30:20: In meinem letzten Job hatten wir ein Pen-Tester eingeladen, der prüfen sollte was er so anstellen könnte und er war in der Lage da ca.

00:30:30: zu knacken.

00:30:32: Das sind buchstäblich Tausende von Passwörtern gewesen.

00:30:35: Natürlich habe ich den Bericht gelesen um zu sehen wessen Passwärter geknackt wurden aber enthielt nur Statistiken keine Passwürter oder Benutzern haben.

00:30:45: Da wurde mir klar.

00:30:46: Dieser Pentester verlässt gerade unser Gebäude mit einer ganzen Reihe unserer Passwörter.

00:30:53: Ich glaube, ich habe mich bei der Arbeit noch nie so verwundbar

00:30:56: gefühlt.".

00:30:58: Maxi jedenfalls war fasziniert von der Macht der Pentesterin – noch mehr reizte sie aber die Denkweise einer Angreiferin!

00:31:07: Doch dann musste sie Australien verlassen….

00:31:14: Ich kam aus Australien zurück, mein Visum war abgelaufen und ich zog zurück in die Staaten.

00:31:20: Mein Lebensmotto ist wenn ich etwas machen kann und will dann mache es auch!

00:31:24: Ich will immer von dem was ich tue begeistert sein und mich voll darauf einlassen und das ist okay für mich wenn sich die Sache die ich tun will verändert und dass hat sie offensichtlich.

00:31:35: aber ich will meine Arbeit lieben Denn voll einsatzfähig werde ich etwa siebzig Jahre leben.

00:31:40: Vielleicht werde ich neunzig, aber um im Job zu funktionieren habe ich maximal siebzig gute Jahre.

00:31:46: und nehmen wir an, wir machen vielleicht zwei interessante Dinge pro Jahr.

00:31:51: also habe ich hundertvierzig interessante Dinge die ich in meinem Leben tun werde.

00:31:56: Das klingt nicht nach viel.

00:31:57: Also wollte ich immer die Dinge tun, die am interessantesten waren... ...die mir die spannendsten aufregendsten Erfahrungen bringen

00:32:03: würden.".

00:32:10: Zurück in den USA sollte Maxi eine Pentest-Geschichte erleben, die ihr Leben verändern würde.

00:32:17: Obwohl sie bei früheren Pentests einige große Fehler gemacht hatte, führte sie sie weiterhin durch.

00:32:23: Sie legte noch eine Schippe drauf.

00:32:26: Mehr dazu in Folge zwei von Maxi vom Netz zum Meeresgrund.

00:32:41: Diese Episode wurde im englischen Original von Jack Reisider erstellt, den Text haben Isabel Grünewald und Marco Paulie übersetzt und gesprochen.

00:32:50: Produktion Marko Paulie Titelmusik Breakmaster Cylinder.

00:32:54: Dies sind die Darknet Diaries auf Deutsch von Heise Online.