BerufsmeisterschaftLehrlinge zeigten Fehler auf - ausgeladen
Zwei Informatik-Lehrlinge wurden von der Schweizer Berufsmeisterschaft Swiss Skills ausgeschlossen, weil sie auf deren Website einen Fehler entdeckt hatten.
Brian Ceccato wurde von der Berufsmeisterschaft Swiss Skills ausgeladen, weil er auf einen Fehler auf deren Website aufmerksam gemacht hatte.
Als der junge Informatiker Brian Ceccato (17) sich für die Schweizerische Berufsmeisterschaft Swiss Skills qualifizierte, entschloss er sich, deren Website genauer anzusehen und entdeckte prompt eine Sicherheitslücke. Eine Wettbewerbsfunktion der Website, bei der die Teilnehmer gratis Fantickets unter ihren Freunden verteilen können, um damit Likes zu sammeln, war nur unzureichend geschützt und ermöglichte «jedem mit ein wenig Technikverständnis» tiefe Eingriffe in die Website der Berufsmeisterschaft.
Für Ceccato, der sich selber als «Informatiker aus Leidenschaft mit Interesse am Hacken» bezeichnet, eine interessante Einladung, ein wenig herumzualbern. «Gemeinsam mit einem befreundeten Lehrling habe ich schnell ein Programm entwickelt, das für mein Profil auf der Website automatisch Likes generiert», sagt er.
Ein gravierender Fehler
In knappen zehn Minuten habe er sich so rund 100'000 Likes verteilt - und sei mit riesigem Abstand auf den ersten Rang der angemeldeten Wettkämpfer gerutscht. «Damit wollten wir provokativ auf die Sicherheitslücke der Website aufmerksam machen», sagt Ceccato. Den Wettbewerb um die Likes - immerhin mit einer Reise nach New York prämiert - zu gewinnen, sei nicht das Ziel und auch nicht möglich gewesen. Um zu gewinnen, reichen die Likes nämlich nicht. Die Teilnehmer müssen vor allem möglichst viele Besucher mitbringen.
Dennoch unterlief den beiden aber ein gravierender Fehler: Weil es schon Abend war, hätten sie darauf verzichtet, Swiss Skills sofort auf den Fehler aufmerksam zu machen.
Swiss Skills disqualifiziert Ceccato
Am nächsten Tag sei dann ein E-Mail von einem Techniker der Website von Swiss Skills gekommen. Dieser hatte die Unregelmässigkeit bei Ceccatos Likes entdeckt und sprach ihn darauf an. Gleichzeitig habe er sich auch nach dem Code für das Programm, das er benutzt hatte, um die Likes zu manipulieren, erkundigt und sich für den Hinweis bedankt, sagt Ceccato. «Unter Technikern» sei er sogar nach dem Quellcode für sein Manipulationsprogramm gefragt worden.
Die Nachricht, dass jemand die Site «gehackt» habe, blieb aber nicht bei der Informatik, sondern fand den Weg bis in die Chefetage der Lehrlingsverbände. Eine Woche später habe er einen wütenden Anruf von der Direktion des Informatikerverbands ICT bekommen: Ceccato wurde vom Berufswettbewerb ausgeladen.
«Was mich daran ärgert, ist nicht, dass ich nicht am Wettbewerb teilnehmen kann, sondern wie mit uns umgegangen wird», sagt Ceccato. Was er getan habe, sei als Hilfeleistung für Swiss Skills geplant gewesen, nicht als Angriff auf deren Website.
Die Geschichte mit den faulen Äpfeln
Eine andere Ansicht über den Hack hat Jörg Aebischer, Geschäftsführer des nationalen Verbands ICT-Berufsbildung Schweiz. «Man kann Herrn Ceccatos Eingriff mit jemandem vergleichen, der bemerkt, dass bei einem Haus ein Fenster offensteht und vor Dieben warnen will», sagt er. «Statt anzuklopfen, hat er sich aber faule Äpfel genommen und diese ins Wohnzimmer geworfen, um zu sehen, was passiert.»
Dass die beiden Lehrlinge durch ihre Aktion «hohe Informatikkompetenz» bewiesen hätten, stehe fest. «Absolut untolerierbar» sei aber die Art ihres Vorgehens. «Wir legen Wert darauf, dass Informatiker ihre Kompetenz nicht für eigennützige Zwecke einsetzen, sondern transparent handeln. Die beiden haben diesen Grundsatz nicht eingehalten und müssen nun mit den Konsequenzen leben.»
Die Sicherheitslücke der Swiss-Skills-Website wurde inzwischen geschlossen.
