Um Cyberkriminalität zu stoppen, sollte man nicht wie ein Krimineller denken.

In einer Szene, die scheinbar direkt aus seinen filmischen Vorbildern stammt, war van der Gaast etwa 16 Jahre alt, als er sich in eine indische Atomwaffenanlage hackte und Daten von unterirdischen Atomtests stahl. „Sie verwendeten eine alte Version eines Mailservers, den ich mit einem Trick dazu brachte, mir ein Administratorkonto zu geben“, sagt er. Dies brachte ihn ins Visier mehrerer Geheimdienste, und schließlich wurde er zu einem der fünf berüchtigtsten Hacker der Welt ernannt.

Van der Gaast war erst im Herbst 1998 von Europa in die USA gezogen, als eine Gruppe von Männern in Anzügen von einer dem US-Verteidigungsministerium unterstellten Behörde an seine Tür klopfte. „Ich dachte, sie wären von der Einwanderungsbehörde“, sagt er, „weil ich mein 90-Tage-Visum überschritten hatte.“

Zum Glück für den jugendlichen Hacker war die Behörde eher auf der Suche nach aufstrebenden Talenten aus dem virtuellen Untergrund, als nach solchen, die sie strafrechtlich verfolgen wollten. In diesem Moment wechselte er schnell die Seiten und begann in den nächsten drei Jahren mit dem Verteidigungsministerium in einer gemeinsamen Operation mit dem FBI zusammenzuarbeiten. Die Arbeit umfasste das Sammeln von Informationen über Hacker und damit verbundene kriminelle Aktivitäten sowie die Untersuchung von Datenschutzverletzungen von nationalem Interesse.

Diese unkonventionelle Ausbildung diente als Sprungbrett für eine 25-jährige Karriere als Cybersicherheitsexperte, Hauptredner und Unternehmensberater, die zu seiner heutigen Rolle als Gründer und Geschäftsführer von Sequoia Consulting führte, wo er Führungskräften und globalen Organisationen hilft, „weniger Cybersicherheit zu betreiben und mehr Geschäfte sicher abzuwickeln“.

„Ich habe zunächst gelernt, welche Methoden, Taktiken und Fähigkeiten Hacker einsetzen“, sagt er. „Aber im Nachhinein betrachtet?“ Ich glaube, was ich gelernt habe, war vor allem, dass praktisch alle diese Sicherheitslücken hätten verhindert werden können, wenn die Unternehmen einfach die IT-Grundlagen beherrschten und aktiv an der Weiterentwicklung ihrer Prozesse gearbeitet hätten.“

Genau diesen Ansatz vertritt sein Unternehmen. Das Unternehmen wendet im Wesentlichen Methoden aus der Unternehmensberatung, dem Lean-Management und anderen Disziplinen im Kontext der Technologie an, um die IT-Prozesse zu verbessern und so die Anzahl der Schwachstellen zu verringern, die Angreifer ausnutzen können.

Eine einfache Analogie ist eine Autofabrik, in der jedes produzierte Auto Mängel aufweist – das Lenkrad ist nicht mittig, an den Querlenkern fehlen Schrauben, die Bremsleitungen sind voller Luft und es gibt weitere Mängel. Es wäre absurd, sagt er, mehr Leute einzustellen, um all diese Mängel an den fertigen Autos zu beheben. Stattdessen würden Sie das Problem, wahrscheinlich während des laufenden Prozesses, an der Montagelinie beheben, wo diese Fehler auftreten – wodurch die Anzahl der Fehler und damit auch die Kosten reduziert werden.

Und dennoch, so van der Gaast, ist der Ansatz in der Cybersicherheit größtenteils erstgenannter, und so ist die Branche weitgehend reaktiv geblieben, anstatt proaktiv zu agieren, wobei die zugrunde liegenden Ursachen größtenteils ungelöst blieben.

„Im Grunde befinden wir uns in einem regelrechten Wettrüsten [um Hacker von unseren Sicherheitslücken fernzuhalten], aber wir müssen uns fragen, warum wir mit so vielen Herausforderungen konfrontiert sind“, sagt er. „Das heißt, warum haben wir diese Schwachstellen überhaupt?“

Der ehemalige Hacker stellt seit drei Jahrzehnten solche grundlegenden Fragen, und diese Fragen sind für Unternehmen und die Gesellschaft insgesamt aktueller denn je.

Die einfachste Art, Sicherheit zu betrachten, ist, dass es um die Ausnutzung von Schwachstellen geht, und diese Schwachstellen sind im Grunde Qualitätsprobleme, sagt er – Fehler im Code, in der Konfiguration, Lücken in der Kontrolle, im Design, in der Planung, sogar in der Kultur.

Durch die Behebung dieser Probleme verringert sich die Anzahl der Schwachstellen, sodass es weniger gibt, die ausgenutzt werden können, sagt er, anstatt dass man immer neue Abwehrmaßnahmen gegen diese Schwachstellen ergreifen muss. Dies führt nicht nur zu geringeren Sicherheitsausgaben, fügt er hinzu – es macht tendenziell auch Geschäfts- und IT-Prozesse effizienter, was wiederum deren Kosten senkt.

„Sobald man anfängt, Sicherheit stärker als Funktion von Prozessen und Qualität zu betrachten und die Dinge richtig anzugehen, behebt man nicht nur die zugrunde liegenden Probleme, sondern kann einem Unternehmen auch helfen, positive Veränderungen herbeizuführen und Geld zu sparen.“

Van der Gaast geht bei der Sicherung von Organisationen stets von Anfang an den Ursachen ihrer Probleme auf den Grund und dringt dabei weit tiefer ein als technologieorientierte Sicherheitsberater. „Die meisten Unternehmen verfolgen beim Thema Cybersicherheit einen Ansatz, bei dem sie ständig damit beschäftigt sind, Brände zu löschen“, sagt er. Stattdessen versuche ich herauszufinden, was die IT-Probleme verursacht.

„Sind die Herausforderungen im Design der Anwendungen begründet?“ „Nutzen die verschiedenen Geschäftsbereiche unterschiedliche IT-Prozesse und -Anbieter?“, fügt er hinzu. „Sobald man die Ursache von Problemen verstanden hat, kann man systematisch damit beginnen, diese zu optimieren und zu beseitigen.“

Van der Gaast ist der Ansicht, dass wir unseren Fokus bei der Bekämpfung des Problems der Cyberkriminalität ändern müssen. Anstatt uns mit den Kriminellen zu befassen, müssen wir uns darauf konzentrieren, warum das Verbrechen so einfach ist.

Er erwähnt, dass praktisch alle Sicherheitslücken bekannte Schwachstellen mit verfügbaren Lösungen betreffen und dass diese Lösungen in den meisten Fällen schon seit weit über einem Jahr verfügbar sind.

„Wenn ich einen Sack Getreide in Ihren Garten stellen würde, wären Sie nicht überrascht, wenn Sie eine Woche später Tausende von Mäusen vorfinden würden.“ Die ideale Lösung besteht nicht darin, Tausende von Mausefallen aufzustellen und zu verwalten, sondern darin, das Getreide besser zu lagern oder den Prozess, für den man es benötigt, zu ändern.“

Fazit: Man kann das beste Cybersicherheitssystem der Welt installieren, aber wenn man keine geeigneten Tools für das Identitätsmanagement hat, die Mitarbeiter nicht ausreichend geschult sind und Systeme, Geräte oder Anwendungen nicht aktualisiert und auf dem neuesten Stand gehalten wurden, können Hacker die Abwehrmaßnahmen, ob digital oder anderweitig, einfach umgehen, sagt er. 

Letztlich, in einem Zeitalter zunehmender KI-gestützter Bedrohungen wie automatisierter Angriffe und Deepfake-Videos, Laut van der Gaast erfordert die erfolgreiche Verteidigung einer modernen Organisation gegen Cyberkriminelle Schulungen, Weiterbildung und einen proaktiven – nicht reaktiven – Ansatz.

Diese Bedrohungen lassen sich, sobald man sie verstanden hat, oft durch die Implementierung solider Grundlagen neutralisieren – es spielt keine Rolle, wie schnell ein Angriff ist, wenn man nicht anfällig dafür ist – und Prozesse, wie zum Beispiel Geldtransfers, die immer über einen definierten Prozess erfolgen, der nicht anfällig für Deepfakes ist.

Seiner Ansicht nach ist das Beste, was man für sein Unternehmen tun kann, die Ursachen seiner Schwachstellen zu ermitteln und diese so früh wie möglich anzugehen, notfalls auch durch die Berücksichtigung organisatorischer und kultureller Aspekte. Dann sollten die Sicherheitsteams mit allen Bereichen der Organisation zusammenarbeiten, um alle Geschäfts- und IT-Prozesse zu verstehen und diese gegebenenfalls neu zu definieren, um etwaige Risiken zu reduzieren und die verbleibenden Risiken zu erkennen.

Erst wenn Organisationen dies getan haben und ihre zugrunde liegenden Probleme verstanden haben, können sie eine Strategie und einen Fahrplan für eine bessere Zukunft entwickeln.

So wie er vor Jahrzehnten Computerbücher verschlang, so besteht van der Gaasts Interesse auch heute noch darin, Unmengen an Informationen aufzunehmen. Der ehemalige Cyberkriminelle, dessen Hobbys heute das Reparieren von Autos und das Lesen von allem, was er über bewährte Geschäftspraktiken in die Finger bekommt, umfassen, sagt, dass Erfolg in der Cybersicherheit viel mehr als nur Software ist: „Viele Herausforderungen hängen meiner Meinung nach eher mit der Kultur als mit Hightech-Lösungen zusammen.“