Darknet Diaries Deutsch: Maxie – zwischen Netz und Meeresgrund – Teil 2

1. Darknet Diaries Deutsch: Maxie – zwischen Netz und Meeresgrund – Teil 2
   • Durchs Fenster ins Hochsicherheitslager
   • Die Schlüssel liegen bereit
   • Eine Festung – doch Maxie findet einen Weg
   • Ein Rechenzentrum auf dem Meeresgrund?

Dies ist der zweite Teil von „Maxie – zwischen Netz und Meeresgrund“. (Wenn Ihr Teil eins noch nicht gehört habt, fangt am besten da an.) Im englischen Original von Jack Rhysider trägt diese Episode den Namen „Maxie“.

Die deutsche Produktion verantworten Isabel Grünewald und Marko Pauli von heise online. Der Podcast erscheint wöchentlich auf allen gängigen Podcast-Plattformen und kann hier abonniert werden.

JACK: Dies ist Teil 2 von „Maxie – zwischen Netz und Meeresgrund“. Maxie Reynolds hat früh ihre Heimat Schottland verlassen und nach einem Beruf gesucht, der ihr Abenteuer und Reisen ermöglicht. Nach einem Studium der Unterwasser-Robotik arbeitet sie zunächst als Pilotin ferngesteuerter Unterwasserfahrzeuge, bevor sie ihre Leidenschaft für IT und Cybersicherheit entdeckt. Bei ihrem ersten physischen Pentest gibt sie sich als Mitarbeiterin aus Schweden aus, wird aufgrund mangelnder Sprachkenntnisse jedoch enttarnt. Ein späterer Test bei einer Kommunalbehörde hat ernstere Folgen: Sie unterbricht versehentlich die Wasserversorgung einer Stadt. Maxie hält aber an ihrer neuen Laufbahn fest, das alles machte ihr einfach zu viel Spaß.

JACK: Maxie war begeistert von Pentests, von Red-Teaming, also von der realitätsnahen Simulation von Angriffen auf Unternehmen, und von Social Engineering. Physisch in Gebäude einzubrechen war einfach ein Nervenkitzel für sie. Also suchte sie nach mehr Jobs, wo sie damit zu tun hatte.

MAXIE: Ich bekam einen autorisierten Red-Team-Vertrag, um so eine Hochsicherheits-Logistikfirma zu testen, und dafür wurden zwei Tester gebucht.

JACK: Es war ein großes Unternehmen, und sie wollten, dass die beiden versuchten, in eines ihrer Außenlager einzudringen. Sie meinten zu ihr: „Pass auf, das gesamte Gelände ist von einem Zaun umgeben, an den Türen sind Alarmanlagen installiert, das gesamte Gelände wird von Überwachungskameras überwacht, und nachts patrouillieren Sicherheitskräfte.“ Sie wollten lediglich den Beweis, dass sie es bis dorthin geschafft hatte, also nicht, dass sie irgendetwas an den Maschinen anstellte oder so. Sie gaben ihr lediglich ein kleines USB-Gerät und sagten: „Hey, wenn du es tatsächlich schaffst, dorthin zu gelangen, steck das Gerät ein und mach ein Foto, das zeigt, dass du dort bist – das ist dann der Beweis, dass du's geschafft hast.“

Sie und ihr Kollege fuhren tagsüber zu der Anlage, einfach nur dran vorbei, um sich den Ort anzusehen. Vorbeifahren geht allerdings schnell. Man kann da nichts erkennen. Also entschieden sie sich, auszusteigen und einfach den Gehweg entlangzulaufen und das gesamte Gelände zu umrunden, nur um zu sehen, was ihnen auffallen würde. Gibt es vielleicht doch irgendwo Punkte, wo man eindringen kann? Gibt es Bereiche, auf die die Kameras nicht gerichtet sind?

MAXIE: Als wir einmal drumherum liefen, sahen wir, dass entlang der Grundstückslinie ein Metallzaun verlief, so ein Maschendrahtzaun. Also war der Maschendrahtzaun einfach – er war uralt, wahrscheinlich Jahrzehnte alt. Also war er ein bisschen wackelig. Und da konnte man einfach den Rand hochbiegen. Also wussten wir das schon mal.

JACK: Sie machten sich noch ein paar weitere Notizen und verschafften sich einen Eindruck davon, wie der Ort aussah. Es gibt da ein zweistöckiges Lagerhaus mit Laderampen und zwei Parkplätzen davor: einen normalen mit Transportern und Lkw und einen zweiten, der von einem Maschendrahtzaun umgeben war und auf dem noch viel mehr dieser großen Lkw standen. Wir reden hier von Schwerlasttransportern, also richtig großen Lastern. In dem Lagerhaus wurden die Fahrzeuge beladen, und dann lieferten sie die Fracht aus. Maxie und ihr Kollege fuhren dann weg, mit dem Plan, um 21:00 Uhr wiederzukommen, doch dann ein Anruf.

MAXIE: Er meinte: Hust, hust, ich bin krank. Ich dachte: Ich hasse dich. Du bist doch nicht krank. Du hast einen Kater. Aber wie auch immer, in letzter Minute fällt er aus. Aber den Auftrag kann ich auch allein erledigen. Also dachte ich mir: Ich mach das jetzt.

JACK: Sie wartete bis zur Nacht und fuhr dann um 21 Uhr allein zurück zur Anlage. Zu dieser Zeit war der Ort komplett geschlossen, und es sollten keine Arbeiter da sein, nur die Sicherheitspatrouillen, von denen ihr erzählt wurde.

MAXIE: Ich hab hinter einer Baumreihe außerhalb des Logistikparks geparkt. Ich hielt mich von den Lichtern fern. Ich blieb im Schatten.

JACK: Okay, es geht los. Ich mag’s Ja ebenfalls, zu Fuß unterwegs zu sein. Man kann sich leichter verstecken, schneller die Richtung wechseln und sich insgesamt unauffälliger bewegen.

MAXIE: Also ich nähere mich durch diese Baumreihe, die sich seitlich am ganzen Komplexes entlang zieht. Ich bewege mich ziemlich langsam. Ich bin weit genug entfernt, um die ganze Fassade zu sehen, aber nah genug dran, um mögliche Angriffsflächen zu erkennen, und ich absolviere den üblichen ersten Durchgang. Ich breche nichts auf. Ich berühre nichts.

JACK: Sie geht am Gebäude vorbei. Bei einem klassischen ersten Rundgang hat man immer ne plausible Ausrede. Wenn man nichts anfasst oder das Gelände nicht betritt, kann man einfach sagen, man sei nur vorbeigekommen, falls jemand fragt. Aber es ist still. Im Inneren sind keine Anzeichen von Anwesenheit zu erkennen; keine Geräusche, keine offenen Türen, kein Licht. Auf dem Parkplatz standen viele Lastwagen, aber alle waren dunkel und still. Normale Autos gab's keine. Aber überraschenderweise sah sie auch keine Security-Leute. Da sie sich nun auf der Rückseite des Gebäudes befand, testete sie die Türklinken und Fenster, um zu sehen, ob sich da etwas öffnen ließ.

Durchs Fenster ins Hochsicherheitslager

MAXIE: Alles Offensichtliche, was man sich ansehen würde, um Zugang zu bekommen, ging nicht. Türen – zu. Luken – konnte ich nicht sehen. Fenster im Erdgeschoss – ließen sich nicht öffnen. Überall doppelt verglaste Fenster. Also ja. Gute Sicherheitsstandards sind immer ein bisschen frustrierend. Aber es war dieses Wellblech – alle Lagerhäuser in der Gegend waren aus einer Art Wellblech, aus Stahl oder irgendeinem Metall. Bei der Lagerhalle, die ich mir vorgenommen hatte, da war so eine schmale Grasfläche dahinter, auf der Rückseite, und bei einem benachbarten Lager stand ein Stapel von Paletten. Also eigentlich standen den ganzen Weg entlang durch diese „quasi Gasse“ einfach Paletten. Einer dieser hohen Stapel stand nur so etwa einen Meter von einem Fenster im zweiten Stock entfernt.

Das war nur so ein kleines, rechteckiges Fenster, aber es war offen. Ich dachte mir: Oh, das könnte ein prima Weg sein, um da reinzukommen. Also schob ich ein paar Paletten herum und fing an, diesen anderen hohen Stapel Paletten hochzuklettern. Die meisten von denen waren irgendwie aneinander befestigt worden, also war das zwar immer noch ein bisschen wackelig, aber nicht schlimm. Ich konnte nur hoffen, dass die nicht einfach unter mir zusammenkrachen würden, aber das taten sie nicht. Ich bin ziemlich leichtfüßig. Ich bin eher flink als kräftig. Also komme ich oben an das Fenster und stecke meinen Kopf durch.

JACK: Während das Gebäude zweistöckig aussieht, ist es tatsächlich nur einstöckig, aber eben mit sehr hohen Wänden. Als sie also durchs Fenster reinschaut, sieht sie, dass es direkt bis nach ganz unten zum Lagerboden geht, und das ist nicht gut. Das ist viel zu hoch zum Runterspringen. Sie schaut sich um und entdeckt, dass die Wände verkleidet sind mit .

MAXIE: Es ist im Wesentlichen ein Lochblech. Also ein Lochblech ist im Grunde – falls du das nicht kennst – das ist Stahl- oder Aluminiumblech, und es hat diese regelmäßig angeordneten quadratischen oder runden Löcher. Im Grunde hängt man es normalerweise an Wände in Lagerhäusern, und dann kann man schweres Werkzeug daranhängen. Also schaue ich mir dieses Lochblech an, und denke: Okay, da runterklettern geht – die Schwerkraft ist dein Freund. Ich steck einfach meine Finger in die Löcher, und ich hab meine kleinen Turnschuhe an, und ich komme tatsächlich runter. Das war nicht so schwierig, wie man denkt.

JACK: Okay, sie hat es tatsächlich ins Gebäude geschafft. Schön. Jetzt ist ihr Ziel zu schauen, ob sie irgendwie an diese Computer rankommen kann. Sie sieht sich nach ihnen um und entdeckt dann schnell, dass da Monitore an sind und im Dunkeln leuchten.

MAXIE: Ich komme zu den Terminals, und die sind alle offen. Das war wunderschön. Kennst Du diesen Moment in Filmen: Aah? Wie ein Himmelslicht? Das war großartig. Also – ja, die waren alle freigeschaltet. Ich musste nur dieses kleine Gerät, das sie mir mitgegeben hatten, anschließen, und die erforderlichen Fotos machen als Beweis, dass ich das Terminal berühren konnte – eins für den Angriff und eins für den Kontakt. Dann suchte ich nach einem Ausgang. Denn beim Blick auf das Lochblech war mir klar: Nun – Hochklettern ist ein bisschen was anderes als Runterklettern.

JACK: Okay, also, sie erkannte, dass sie nicht auf demselben Weg rausklettern konnte, wie sie reingekommen war, und schaute sich um, ob's nen anderen Ausgang da drinnen gibt. Sie sieht viele Türen. Sie könnte einfach eine öffnen und hinausgehen. Nein, Moment, warte mal, das wäre vielleicht nicht so gut, denn es gibt ja Alarmanlagen. Sie sah sich die Türen genauer an, und ja, die Alarmanlagen waren scharfgeschaltet. Okay, das fällt also weg, es würde Alarm auslösen. Da sie bisher noch nicht von Sicherheitskräften entdeckt wurde, will sie jetzt nicht deren Aufmerksamkeit auf sich ziehen. Also sucht sie nach anderen Fluchtwegen.

MAXIE: Es war ein Ladetor, das nicht im besten Zustand war. Also so eine Art Rampe, an die der Lkw rückwärts ranfährt, um beladen zu werden. Er ist dann auf einer Ebene mit dem Lager, und man braucht nicht immer einen Gabelstapler. Also ja, sowas war das. Das Tor lief über ein Flaschenzugsystem und war nicht an einen Alarm angeschlossen, was verrückt war, wenn man bedenkt, wie sicher sie sein wollten. Auf jeden Fall war dieses Tor ein bisschen an der Seite verbogen, und vielleicht war es deshalb nicht alarmgesichert. Ich hab keine Ahnung.

Aber das ist nur ein kleines Flaschenzugsystem – ich ziehe die Kette also gerade genug hoch, um rauszuschlüpfen, und dann gehe ich durch einen Wald zurück zu meinem Auto, was für mich übrigens bei Weitem der schlimmste Teil der Geschichte war, weil ich Insekten nicht ausstehen kann. Aber auf jeden Fall bin ich dann schon fast an meinem Auto und rufe meinen Ansprechpartner an und melde, was für mich ein Erfolg ist. Ich bin reingekommen. Ich habe die Fotos. Ich bin also fertig und schreibe euch einen Bericht. Er hört zu und sagt: Wir erweitern jetzt den Auftrag.

Die Schlüssel liegen bereit

JACK: Eine Erweiterung des Auftrags? Das heißt, der Kunde möchte ändern, was sie für ihn tun soll? Ich schätze einfach mal, er war einigermaßen beeindruckt von dem, was sie da alles geschafft hat und möchte, dass sie sich an noch mehr versucht. Er sagt dann zu ihr: „Diese Lkw da auf unseren Parkplätzen, versuch mal, sie zu klauen.“ Sie erwidert dann: „Ich weiß nicht, wie man einen Lkw kurzschließt.“ Daraufhin er: „Nein, nein, nein, schau doch einfach mal, ob du die Schlüssel zu Lkw findest und wenn ja, fahr welche weg.“

MAXIE: Ich dachte: Okay, das lässt sich machen. 140 interessante Jobs in meinem Leben – das hier könnte einer davon sein.

JACK: Sie geht also tatsächlich zurück durch den Wald, flucht über all die Spinnennetze, an denen sie hängen bleibt, und schaut sich dann die Anlage an.

MAXIE: Es stehen da diese großen, langen Lkw. Sie haben sechs bis zwölf Meter lange Container hinten drauf, und ich bin noch nie einen von denen gefahren.

JACK: Einige befinden sich innerhalb des umzäunten Bereichs, andere nicht. Na klar fängt sie dann bei denen an, die sich nicht im umzäunten Bereich befinden. Schritt eins: prüfen, ob die Tür unverschlossen ist. Bei dem ersten, den sie ausprobiert, lässt sich die Tür öffnen. Wow. Sie öffnet sie und setzt sich auf den Fahrersitz. Sie schaut zur Zündung, kein Schlüssel – aber zu ihrer Überraschung liegt er im Getränkehalter in der Mittelkonsole.

MAXIE: Das war schon irgendwie witzig. Acht Milliarden Menschen auf der Erde und ich bin die beste Fahrerin. Also denke ich mir, ich werde all diese Lkw bewegen. Ich werde aber gar nicht erst versuchen, den Lkw rückwärtszufahren. Das schaffe ich eh nicht, also war mein Plan, sie im Prinzip einfach nur rüber zum anderen Ende der Sackgasse zu fahren. Da war so ein kleiner ruhiger Platz, eine Art Logistik-Parkplatz, nehme ich an. Also parkte ich sie alle dort oben.

JACK: Sie parkte ihn etwa eine Viertelmeile entfernt und rannte dann zurück, um einen weiteren Laster zu holen.

MAXIE: Die Schlüssel wurden nicht konsequent kontrolliert, und die Flotte wurde nicht konsequent innerhalb eines abgesicherten Bereichs geparkt. Also wurde daraus eine Live-Demonstration der Risiken.

JACK: Sie fand dann für einen nach dem anderen Laster die dazugehörigen Schlüssel.

MAXIE: Also wenn die Fahrer irgendwie außerhalb der Arbeitszeiten ankommen, dann lassen sie offenbar die Schlüssel einfach da. Sie legen sie unter Schmutzfänger oder lassen sie einfach direkt im Lkw.

JACK: Kaum zu glauben, wie viele Schlüssel sie in und um diese Laster fand.

MAXIE: Manchmal steckten sie noch in der Zündung oder sie lagen auf dem Sitz. Ein paar steckten in der Sonnenblende. Andere lagen auf oder unter den Schmutzfängern. Manchmal waren sie aber auch überhaupt nicht da.

JACK: Einige Lkw aber waren verschlossen, und sie konnte weder hineinkommen noch sie irgendwie bewegen. Sie überlegte dann, ob sie wieder durch das Fenster des Gebäudes hineinklettern und drinnen nach den Schlüsseln suchen sollte. Aber sie hatte ja bereits bewiesen, dass sie da hineinkam. Sie versuchte es dann einfach weiter bei anderen Lkw.

Nachdem sie dann so einige davon vom ungesicherten Parkplatz mitgenommen hatte, wollte sie auch in den umzäunten Bereich, um von da vielleicht welche mitzunehmen. Sie erinnerte sich daran, wo man den Zaun anheben und hindurchklettern konnte. Also huschte sie darunter hindurch und sah sich dort die Lkw an. Und tatsächlich: Auch hier lagen die Schlüssel meist in oder um die Lastwagen herum. Sie sprang in einen hinein, fand die Schlüssel, startete den Motor und wollte gerade rausfahren, als ihr klar wurde: Ach ja, das Tor ist ja abgeschlossen. Sie stieg aus, schaute sich das Vorhängeschloss an und überlegte, wie sie’s knacken könnte.

MAXIE: Das funktionierte nicht, und ich dachte: Ich wette, es gibt irgendwo einen Schlüssel dafür. Also überlege ich: Gehe ich zurück rein? Klettere ich noch mal die Paletten hoch, und das Gitter runter und suche nach den Schlüsseln? Aber dann dachte ich mir: Wisst ihr was? Das hier ist wahrscheinlich Beweis genug. Das ist schlimm genug, weil im Bericht stehen wird: Ich konnte nicht in euren Hochsicherheitsbereich einbrechen. Warum parkt ihr eure Lkw nicht da drin?

JACK: Um zwei Uhr morgens hatte sie ne Menge Lkw fortgeschafft und war eigentlich der Meinung, den Auftrag abgeschlossen zu haben. Keine Security stoppte sie dabei, die ganze Nacht war niemand da. Sie ist dann also zurück zum Auto, ruft ihren Ansprechpartner an und erzählt ihm, dass sie die Lkw gestohlen hat. Er sagt so was wie: „Wow. Okay, super.“ „Hey, könntest du morgen früh mal ins Büro kommen und uns erzählen, wie das alles so gelaufen ist?“ Klar, aber lass mich erst schlafen, meinte sie, ich bin echt erledigt. Danach ist sie dann nach Hause gefahren. Am nächsten Tag kamen die Mitarbeiter dann also morgens zum Lager.

MAXIE: Die Tagschicht kam an, und sie bemerkten eine ganze Weile lang nicht, dass etwas nicht stimmte. Es hat lange gedauert, bis bei ihnen der Groschen fiel. Ja, die Zentrale rief schließlich an, und ich nehme an, mein Kontakt hatte ihnen erzählt, was bei der Sicherheitsüberprüfung rausgekommen war. Schließlich gaben wir unseren Bericht ab. Wo war die Sicherheit? Sie sollten rund um die Uhr Wachleute im Schichtbetrieb haben. Wo waren die? Denn ich habe sie nicht gesehen. Warum gab es Paletten? Warum gab es unverschlossene Fenster? Warum waren die Ladebuchten nicht an das Alarmsystem angeschlossen? Solche Dinge. Behandelt Schlüssel wie Zugangsausweise, nicht wie Souvenirs.

JACK: Gab's ne Nachbesprechung, wo du dann berichten konntest, was passiert ist?

MAXIE: Nicht bei der Anlage selbst. Also ich bin danach dort nicht mehr hingegangen. Ich gab den Bericht ihrer Zentrale. Wir gingen hin und hielten eine Präsentation und übergaben den Bericht. Und wie eigentlich immer fällt den Leuten die Kinnlade runter, und ich denke, das Herz rutschte denen auch in die Hose, oder? Die denken: Wie konnte das passieren, so was in der Art…

JACK: Ja. Und dann kommt ja noch der Moment, wo sie sich fragen: Warte mal, wer war das eigentlich? Wir haben diese Person, Max, dafür engagiert, das zu tun. Dieser Typ Max, was muss das für ein Idiot sein, einzubrechen und all das. Dann…

MAXIE: ja: Hallo.

JACK: …tauchst du da auf und sagst: Hi, ich bin Maxie, und ich bin diejenige, die all eure Lkw gestohlen hat…

MAXIE: Es tut mir so leid. Man muss sanft mit ihnen umgehen. Nun, vielleicht ist das nur mein persönlicher Ansatz. Aber ich finde, man sollte behutsam sein. Diese Leute wissen zum größten Teil nicht, dass unsere Branche überhaupt existiert. Ja, sie wissen, dass es da draußen böse Leute gibt, aber sie haben keine Ahnung, dass ein paar von uns sowas beruflich machen. Man muss reingehen und man muss behutsam sein. Es ist nicht ihre Schuld. Das gehört dazu, wenn man eine Firma führt. Nicht alles ist sicher. Man kann es den Angreifern ein bisschen schwerer machen, aber das ist unser Job, ihnen das zu sagen, und ich denke einfach, sag es ihnen zwar klar und deutlich, aber so behutsam wie möglich. Wir wollen ja niemandem die Schuld in die Schuhe schieben. Also ja, ich ging zur Zentrale und fing an: Ich denke, ihr habt vielleicht gehört, was passiert ist. Also ja, ich habe jetzt in meinem Lebenslauf Profi-Kletterin und Lkw-Fahrerin stehen.

JACK: Sie führte noch viele weitere Pentests durch und steckte so tief im Thema drin, dass sie ein Buch geschrieben hat mit dem Titel „The Art of Attack: Attacker Mindset for Security Professionals“, zu Deutsch in etwa: „Die Kunst des Angriffs: Die Denkweise eines Angreifers für Security-Experten“.

MAXIE: Ja. Zu meinem Buch kann ich nur sagen: Ich erkläre das kurz. Und wenn das für Euch nicht interessant klingt, dann kauft es einfach für jemanden, den ihr nicht mögt. Wenn es Euch aber gefällt, das ist dann alles mein Verdienst. Ihr solltet es kaufen. Es ist großartig. Nein, im Ernst, es heißt The Art of Attack, und die Kernthese ist, dass Sicherheitsprofis diese sogenannte „Angreifer-Denkweise“ annehmen müssen, um Verteidigungsstrategien aufzubauen, die wirklich funktionieren. Die grundlegende Aussage ist, dass es einfach nicht ausreicht, sich nur auf Tools, Netzwerke oder Richtlinien zu konzentrieren. Das ist alles notwendig, aber es reicht nicht. Also zu verstehen, wie ein Angreifer denkt, wie er plant, manipuliert, hartnäckig dranbleibt, ist grundlegend für den Aufbau widerstandsfähiger Systeme. Ich würde abschließend sagen, dass die Fähigkeiten eines guten Angreifers dieselben Fähigkeiten sind, die ich auch im Alltag will, als Person, die durchs Leben geht. Das sind die Dinge, die ich auch meinen Kindern beibringen würde, Durchhaltevermögen, Entschlossenheit. Wir sind zielorientiert, wir sind widerstandsfähig, und so weiter, und so fort. Es sind kognitive Fähigkeiten, die wir brauchen, und es zählt, wie wir sie anwenden. Das ist im Grunde die Kernaussage des Buches.

Eine Festung – doch Maxie findet einen Weg

JACK: Dann machte sie einen Pentest, der ihr Leben verändern sollte.

MAXIE: Es war wahrscheinlich der stressigste und nervenaufreibendste Job meiner Karriere, zu dem Zeitpunkt – eine Firma, von der wir alle gehört haben und die wir alle nutzen. Wir wurden von ihrem internen Red Team begleitet.

JACK: Das Unternehmen verfügte über ein großes Rechenzentrum und man wollte wissen, ob es möglich war, sich da unbefugten Zugang zu verschaffen. Nun weiß ich nicht, ob ihr schon einmal in einem solchen Rechenzentrum wart, aber solche Anlagen sind manchmal extrem gut gesichert. Ich habe z. B. welche gesehen, bei denen ein großer Zaun um das Firmengelände herum verläuft, und um überhaupt auf den Parkplatz zu gelangen, muss man an einem Wachposten vorbeikommen. Dort wird der Ausweis kontrolliert und sichergestellt, dass man berechtigt ist, sich dort überhaupt aufzuhalten. Wenn man es dann endlich geschafft hat, sein Auto zu parken und zur Eingangstür des Gebäudes zu gelangen, ist diese verschlossen, sodass man einen Ausweis benötigt, um hineinzukommen. An offene Fenster ist nicht zu denken – die lassen sich überhaupt nicht öffnen.

Wenn man dann hineingeht, beobachtet ein Security-Mitarbeiter, was man tut – aber man befindet sich erst einmal nur in der Lobby. Man ist also noch nicht einmal im Rechenzentrumsbereich des Gebäudes angekommen.

Um dahin zu gelangen, benötigt man einen zweiten Schlüssel, und manchmal wird ein Irisscan durchgeführt, um die Identität zu überprüfen; außerdem gibt es Personenschleusen, das heißt, es darf jeweils nur eine Person durch, damit man kontrolliert werden kann.

Im Rechenzentrum selbst sind die ganzen Server-Racks manchmal mit einer Art Käfig umgeben, und um dorthin zu gelangen, benötigt man oft einen dritten Schlüssel, sowie eine zusätzliche Form der Identifizierung wie einen Fingerabdruckscan oder Ähnliches. Also, ums kurz zu machen: Es ist verdammt schwer, sich ins Herz eines Rechenzentrums einzuschleichen.

MAXIE: Es gibt dort tatsächlich bewaffnete Wachleute, die auf dem Gelände Streife gehen, und es gibt Fahrzeuge, die auf Auffälligkeiten durchleuchtet werden. Es ist eine sehr – in Bezug auf Sicherheit, eine sehr robuste, umfassend gesicherte Anlage. Das ist ein Rechenzentrum. Drinnen wird alles kontrolliert. Temperatur und Luftfeuchtigkeit werden auf die Nachkommastelle genau überwacht. Strom- und Glasfaserleitungen, die durchlaufen, sind redundant. Es gibt explosionssichere Leitungen. Jeder Korridor, jede Tür, jedes Byte ist quasi verschlossen. Aber wenn man erst mal drin ist, ist man drin, und staatliche Akteure werden da irgendwie reinkommen, weil sie vor nichts zurückschrecken. Also war das unser Job.

JACK: Nun, ihr Plan war es, zu versuchen, direkt durch das Vordertor reinzugehen. Also fuhr sie einfach mit ihrem Auto direkt zum Sicherheitskontrollpunkt und tat so, als gehörte sie da hin, und redete mit dem Wachmann.

MAXIE: Hallo. Ja, wir sind Besucher. Oder: Hi, wir sind hier, um das und das zu machen. Denn über OSINT kann man einige Anknüpfungspunkte finden. Also wenn irgendwo öffentlich steht, dass sie Immersionskühlung nutzen, wissen wir, dass die Flüssigkeit gewartet werden muss, zum Beispiel. Also geht man hin und sagt: Ja, wir sind hier, um das zu warten. Manchmal kann das funktionieren, und sie sagen: Oh, okay. Lasst mich einfach der zuständigen Person Bescheid geben, oder wartet hier kurz oder so. Die meinten aber: Ihr seid nicht auf der Liste. Ihr kommt nicht rein.

JACK: Okay, es gibt da also eine Liste. Das ist ein guter Hinweis. Vielleicht kann man ja irgendwie auf diese Liste kommen. Wer pflegt die Liste? Vielleicht kommt man ja drauf, indem man tatsächlich einfach anruft und so tut, als wäre man vom Wartungsteam, das einen Flüssigkeitswechsel oder so was vornehmen muss.

MAXIE: Also versuchten wir, auf diese Liste zu kommen. Wir versuchten, vorher anzurufen. Wir versuchten, Telefonnummern zu fälschen, sodass es aussah, als würden wir hoffentlich vom Apparat des richtigen Ansprechpartners aus anrufen. Es funktionierte nicht. Es gab zu viele Kontrollen. Sie waren penibel. Sie waren robust. Sie waren clever. Also dachten wir: Wir kommen hier nicht rein. Die hatten sich quasi eingemauert. Graben wir uns drunter durch? Gehen wir oben drüber? Es hätte keine Rolle gespielt. Es war – die Sensoren, die Sicherheit, die waren auf Zack. Also dachten wir: Okay, was machen wir jetzt?

JACK: Hm, Zeit, einen Schritt zurückzutreten, um die Dinge mit Abstand zu betrachten und vielleicht einen unkonventionellen Weg zu finden, wie man in dieses Rechenzentrum reinkommt. Eine Möglichkeit ist es, einfach noch mehr über dieses Unternehmen zu erfahren. Maxie wollte dann wissen, wie das Gebäude überhaupt errichtet wurde.

MAXIE: Also gingen wir zum Bauamt der Gemeindeverwaltung. Wir konnten dort einige – ja fast sowas wie Baupläne bekommen, und wir fanden heraus, dass es in der Tat eine Abwasserleitung gab.

JACK: Okay, aber Abwasserleitungen sind natürlich zu klein, damit man als Mensch da durchgelangen kann, außerdem wär das ganz schön unappetitlich. Diese Leitungen verlaufen allerdings manchmal durch unterirdische Tunnel, die wiederum für Servicepersonal zugänglich sind. Sie verfolgte den Verlauf der Leitungen bis zu der Stelle, an der sie das Grundstück verlassen.

MAXIE: Es lag an einer Stelle, an die wir über einen anderen Zugangspunkt durch eine Art Kreuzung gelangen konnten.

JACK: Nun, einen Versuch ist es vielleicht wert. Sie fahren zu der Stelle außerhalb des Grundstücks, an der sie einen Schacht vermuten. Wenn ihre Berechnungen stimmen, würden die Rohre hier direkt ins Rechenzentrum führen. Gibt es da vielleicht auch einen Wartungstunnel, der dorthin führt? Sie hoben also den Schachtdeckel hoch und schauten hinein. Er war tatsächlich groß genug, um hineinzukriechen. Ohne lange zu überlegen, taten sie das. Dann sahen sie einen Tunnel, der in Richtung Rechenzentrum führte. Sie krochen ihn entlang.

MAXIE: Es ist ein weiter Weg von einem Zugangspunkt, einem Kanaldeckel zum anderen, aber was bleibt uns anderes übrig. Es ist nicht glamourös. Es war nicht angenehm, aber wir haben es überlebt.

JACK: Und tatsächlich führte er sie direkt zum Rechenzentrum.

MAXIE: Dann machen wir uns auf den Weg in die Anlage und dann ins Rechenzentrum.

JACK: Sie kamen also rein, machten ein paar Fotos, um zu beweisen, dass sie unbefugt dort drin waren, und dann riefen sie das Security-Team an, um ihnen zu sagen, tja, dass sie drin sind. Die Security meinte: Was? Wie zur Hölle habt ihr das geschafft?

MAXIE: Also war unser Bericht: Euer Sicherheitskonzept ist perfekt. Das hat uns echt gewurmt. Es war unglaublich. Ihr habt uns hier nicht reingelassen. Wir konnten nicht vorher anrufen. Wir konnten keine Dokumente fälschen. Nichts von dem, was wir normalerweise versuchen würden, hat bei Euch funktioniert. Wir hätten für keine Ablenkung sorgen können, durch die eure Sicherheitsleute kurz die Tore aus dem Blick gelassen hätten, damit wir durchkommen, während sie nicht hinschauen. Das passiert nicht, keine Chance. Wir kamen am Ende nur durch einen Kanaldeckel für eine Abwasserleitung in euer Rechenzentrum. Und das war der Großteil unseres Berichts, der Rest war vorbildlich. Aber es war ihnen egal. Sie meinten: Ja, aber ihr seid trotzdem reingekommen.

JACK: Die Sache brachte Maxie jedoch ganz schön ins Grübeln. Wie kann man es schaffen, einem Rechenzentrum die höchste Sicherheit zu geben, so dass niemand jemals dort eindringen kann? Da kam ihr plötzlich eine Idee.

Ein Rechenzentrum auf dem Meeresgrund?

MAXIE: Ich hab mir überlegt, wenn man sie so absichern will, stellt man sie unter Wasser.

JACK: Ein Unterwasser-Rechenzentrum. Könnte das überhaupt funktionieren?

MAXIE: Dann fing ich an zu überlegen: Oh, hatte ich gerade eine gute Idee? Unglaublich. Also rief ich meinen alten Chef an, für den ich eine Weile offshore gearbeitet hatte. Ich meinte: Hey, was hältst Du davon? Er meinte: Ich habe tatsächlich an etwas ziemlich Ähnliches gedacht. Und ich hatte zu diesem Zeitpunkt diese Zeichnung, er optimierte das Design etwas und meinte: Hast Du Lust, bei mir einzusteigen? Das ist das, was ich tun will: Ich will Rechenzentren unter Wasser bauen. Ich will das modular bauen, und ich will das machen, weil es sie absichert.

JACK: Also machten sich die beiden daran, modulare Unterwasser-Rechenzentren zu entwerfen und auch zu bauen, bei denen man die Server in eine Art kleinen, wasserdichten Schiffscontainer lädt, den Maxie dann an einen sicheren Ort auf dem Meeresgrund hinunterfährt.

MAXIE: Es ist auch viel billiger. Also man spart im Vergleich etwa achtzig Prozent der Investitionskosten, um die gleiche Rechenleistung unter Wasser zu bekommen, so wie wir es machen.

JACK: Also ich hab keine Ahnung von Unterwasser-Rechenzentren. Das ist komplett neu für mich. Also, ich wusste gar nicht, dass so etwas möglich ist oder dass so etwas überhaupt passiert. Aber du sagst mir, dass du das selbst gemacht hast.

MAXIE: Das ist etwas, das wir gemacht haben. Wir haben es entwickelt und umgesetzt, und inzwischen bieten tatsächlich viele Firmen sowas an.

JACK: Gibt es da ein sehr langes Kabel, das man an diese Geräte anschließen kann …?

MAXIE: Ja, da gibt es einen wesentlichen Aspekt. Also das wirklich Interessante an der Unterwasser-Umgebung ist – und wir haben das vorhin schon kurz angerissen –, dass alles, was wir so im Alltag nutzen, sowieso irgendwie auch über Stromkabel unter Wasser gespeist wird. So beleuchten wir Öl- und Gasplattformen. So schaffen wir es, auf ihnen zu essen und solche Sachen. Es gibt auch Länder, die Strom exportieren – Frankreich exportiert Strom nach Dänemark. Wir haben vor nicht allzu langer Zeit ein Kabel dafür für sie verlegt. Also gibt es jede Menge Seekabel. Es gibt auch viele Seekabel – irgendwie 700 oder so, vielleicht inzwischen auch mehr – die Internetsignale leiten. Also senden sie Licht…

JACK: Also müsst ihr keine eigenen Kabel verlegen. Ihr könnt die vorhandenen einfach anzapfen?

MAXIE: Anzapfen – genau. Das hängt davon ab, wo – also wenn wir in einem Hafen sind, dann könnten wir von einem Umspannwerk von Land aus die Leitung verlängern. Wenn wir weiter draußen sind, dann würden wir das Stromkabel spleißen und es nass einsetzen. Offshore gibt es sogenannte Wet-Mate-Kabel oder Nasssteck-Kabel. Die sehen aus wie Kopfhörer mit Mikrofon-Klinkensteckern dran. Ja, genau so, halt nur richtig groß! Und im Prinzip stecken wir die einfach in unsere Module. Diese Module sehen aus wie 20-Fuß-Schiffscontainer, und wir setzen sie auf den Meeresboden, sichern sie dort durch Führungspfosten, verriegeln sie, stecken den Strom nass ein, also über so ein Wet-Mate, und machen dasselbe mit der Glasfaser, und dann läuft es. Wir können jedes Modul mit etwa drei Megawatt betreiben, was den meisten Leuten wahrscheinlich wenig sagt, aber das ist quasi die notwendige Basis, um eine kleine Menge Rechenleistung zu erzeugen, da unten auf dem Meeresboden.

JACK: Aber was ist mit der Wartung und all dem? Oder ihr müsst ne Festplatte austauschen?

MAXIE: Ja, also gibt es ein paar Methoden, wie wir Wartung durchführen. Im Prinzip ist es tatsächlich nicht so viel anders als an Land. Aber was man zunächst bedenken muss, ist, dass die Wartungszyklen reduziert sind, weil es keinen Staub gibt. Die Server sind umgeben von einer dielektrischen Flüssigkeit, um Kurzschlüsse zu verhindern. Also gibt es da keinen Staub. Es gibt keinen Schutt. Es gibt keine Leute, die an Kabeln rütteln, und das sind die größten Fehlerquellen bei Wartungsarbeiten. Deshalb fällt die Rechenleistung in der Zeit um achtzig Prozent. Das haben wir nicht. Aber klar, auch wir müssen die Anlage warten – es treten mal Fehler auf. Also machen wir das auf ein paar verschiedene Arten. Wenn ein Server ausfällt, ist es eigentlich egal. Wir gleichen die Last aus oder leiten sie zu irgendeinem anderen Server oder irgendeiner anderen unserer Anlagen um. Wenn ein ganzes Rack ausfällt – das kann auch mal passieren – dann greift auch zunächst so ein Lastausgleich. Aber wenn ein Rack ausfällt und es wichtig ist – je nachdem, wer der Kunde ist und was der Kunde macht – müssen wir vielleicht die Einheit hochholen. Wir garantieren, dass wir das innerhalb von etwa zwölf Stunden hinbekommen. Also haben wir ein Schiff vor Ort. Das Schiff fährt hin und holt das Modul mit einem ROV hoch, denn das ist mein Fachgebiet und da weiß ich, wie man es macht. Also wir holen das Modul hoch, setzen es auf Deck, lassen die Flüssigkeit ab und reparieren das Gerät. Man kann sowas auch oft aus der Ferne machen. Es kommt also immer auf den Fall an. Aber es kostet im Prinzip nicht mehr Zeit und es kostet auch nicht mehr Geld.

Und bevor die Leute jetzt auf mich losgehen – muss ich mal was klarstellen: Es heizt das Wasser nicht auf. Wir heizen die Ozeane nicht auf. Das will ich noch mal betonen. Wasser erwärmt sich langsamer als Luft, und es kann tatsächlich mehr Wärme speichern. Also ist die spezifische Wärmekapazität von Wasser höher als die der meisten anderen Substanzen. Das bedeutet auch, dass Wasser mehr Wärme absorbiert, bevor seine eigene Temperatur um ein Grad steigt. Anders gesagt braucht Wasser etwa viermal so viel Energie, um seine Temperatur um ein Grad Celsius zu erhöhen wie dieselbe Menge Luft. Wir haben in unseren Tests gemessen, dass sich das Wasser um etwa ein Tausendstel Grad erwärmt, was statistisch unbedeutend ist, und das innerhalb eines Meters von der Anlage. Stellt man ein Rechenzentrum an Land auf, muss man erstens Klimaanlagen nutzen, um es zu kühlen. Zum größten Teil wird das so gemacht. Also werden etwa vierzig bis fünfzig Prozent des gesamten Stroms, den dieses Rechenzentrum verbraucht, für die Klimatisierung verwendet, und dann wird die Abwärme in die Umgebungsluft gepumpt. Der Ozean muss das dann aufnehmen, denn der ist unser Wärmeregulierer. Der Ozean nimmt die erwärmte Luft auf, und so erwärmt man die Ozeane. Also entspricht das vielleicht nicht dem Bauchgefühl, aber es ist eine wissenschaftlich bewiesene Methode um Wärme loszuwerden – steck sie ins Wasser.

JACK: Und wenn jemand versucht, hier einen Pentest durchzuführen oder einzubrechen – ich stelle es mir grad vor –, dann wird der Raum, sobald die Tür geöffnet wird, einfach überflutet und alle Computer sind dann hin.

MAXIE: Man kann die Tür nicht öffnen. Im Grunde wäre unsere größte Bedrohung ein U-Boot – zum Beispiel so ein russisches U-Boot. Also man bräuchte ein U-Boot oder man bräuchte ein Schiff mit einem angehängten ROV. Oder vielleicht, wenn wir in flacherem Wasser sind, könnte man einen Taucher hinschicken, aber auch ein Taucher wird nichts tun können. Man kann die Tür nicht aufziehen wegen des Wasserdrucks. Also im Grunde könnte man es nicht wirklich pentesten ohne ein Schiff zu bekommen, ein ROV oder einen Haufen Taucher oder ein U-Boot, viel Spaß dabei. Ich weiß nicht mal, wie ich das machen würde. Wenn irgendjemand diese Anlagen pentesten wird, werde ich das sein, denn das wäre ein witziger Job. Aber sagen wir mal, ein staatliches U-Boot eines Gegners käme vorbei. Großartig. Es müsste sich irgendwie verbinden und es müsste die Anlage von den Sicherheitsmechanismen lösen, mit denen wir sie am Meeresboden befestigt haben. Wenn man das tut, würde man aber die Daten, die auf den Servern sind, zerstören, denn dabei wird ja das Gehäuse beschädigt, das die Server vor dem Wasser und dem Druck des Wassers schützt. Also physisch sind die sehr, sehr sicher. Digital ist das dieselbe Leier wie überall. Man pentestet sie genauso wie jeden anderen Server oder Rechenzentrum oder Firma.

JACK: Unglaublich. Das Ganze verblüfft mich einfach, und mir schießen alle möglichen Gedanken durch den Kopf. Kann man dann z. B. von unter Wasser bestimmte Dinge hosten, die nur in dieser Region legal sind? Oder echte Piraterie, ich meine jetzt Piraten auf See, die gibt’s ja auch!

MAXIE: Oh, ja. Das ist weit verbreitet.

JACK: Mir schwirrt gerade der Kopf.

MAXIE: Ja, Piraterie ist weit verbreitet. Und ja, es gilt das Seerecht. Aber das ist sehr schwer durchzusetzen. Man verlässt sich da weitestgehend auf Satelliten-Überwachung und auf Boote zum Patrouillieren. Aber der Ozean ist riesig. Also ist es sehr schwierig das Seerecht durchzusetzen. Wir verlassen uns im Grunde darauf, dass sich die Leute auch an die Regeln halten, und das funktioniert nicht immer. Darum achten wir darauf, dass wir im grünen Bereich sind. Wir bauen in der Nähe bereits existierender Offshore-Anlagen, sowohl in nationalen als auch in internationalen Gewässern. Jedes Land hat eine Art Hoheitsgewässer. Die reicht so in etwa von der Küstenlinie bis zwölf Meilen raus aufs Meer. Dann, nur ein bisschen weiter draußen, kommt man in internationale Gewässer. Und da kann man machen, was man will. Wer will Dich hier aufhalten? Aber wir entscheiden uns bewusst dagegen, als amerikanische Firma. Also nutzen wir Standorte in der Nähe anderer Anlagen, normalerweise Offshore-Windplattformen oder Förderplattformen oder verankerte Boote. Also ja, ich denke, unter Wasser liegt definitiv ein Teil der Zukunft für Rechenzentren.

JACK (OUTRO): Ein großes Dankeschön an Maxie Reynolds, dass sie bei uns zu Gast war und ihre Geschichten erzählt hat. Ihr könnt mehr über ihr Unterwasser-Rechenzentrum auf subseacloud.com erfahren. Wenn ihr ihr Buch haben wollt, es heißt The Art of Attack: Attacker Mindset. Es ist das mit den Schachfiguren auf dem Cover.

Diese Episode wurde im englischen Original von Jack Rhysider erstellt. Den Text haben Isabel Grünewald und Marko Pauli übersetzt und gesprochen.

Produktion: Marko Pauli

Titelmusik: Breakmaster Cylinder

Dies sind die Darknet Diaries auf Deutsch von heise online.

(mali)