Welche Fragen sollten Sie einem professionellen Hacker stellen?
Zweck und klarer Leistungsumfang
Definieren Sie vorab, was genau erreicht werden soll: Wiederherstellung, Sicherheitsüberprüfung, forensische Untersuchung oder präventive Tests. Ein klarer Scope schützt beide Seiten vor Missverständnissen und rechtlichen Problemen.
Bitten Sie um eine präzise Leistungsbeschreibung (Scope of Work) mit erlaubten und ausgeschlossenen Handlungen. Jede Aktivität, die Konten, Geräte, Systeme oder Daten betrifft, darf nur mit schriftlicher Zustimmung des jeweiligen Eigentümers ausgeführt werden.
- Welche konkreten Aufgaben gehören zum Auftrag — und welche nicht?
- Gibt es zeitliche oder technische Einschränkungen?
- Wer ist Auftraggeber und wer hat die schriftliche Autorisierung erteilt?
Autorisierung und rechtliche Absicherung
Bestehen Sie auf schriftlicher Autorisierung und einer klaren vertraglichen Grundlage. Ohne eindeutige Zustimmung des Betroffenen darf kein zugriffreicher Eingriff erfolgen — andernfalls können straf‑ und zivilrechtliche Folgen drohen.
Erkundigen Sie sich, wie der Anbieter rechtliche Risiken handhabt: Auftragsschreiben, Haftungsfragen, Versicherungen und Dokumentation aller Schritte sind wichtige Punkte. In einigen Fällen sollten Sie zusätzlich offiziellen Support oder die zuständigen Behörden einbeziehen.
- Vorlage einer schriftlichen Autorisierung durch den Eigentümer
- Vertragliche Regelungen zu Haftung und Geheimhaltung
- Hinweis, ob Behörden oder offizieller Support notwendig sein könnten
Datenschutz und Vertraulichkeit
Fragen Sie konkret, wie mit sensiblen Daten umgegangen wird: Speicherorte, Zugriffsbeschränkungen, Verschlüsselung und Löschfristen. Für Auftraggeber in Deutschland, Österreich und der Schweiz sind Datenschutzbestimmungen ein zentrales Thema.
Verlangen Sie Protokollierung aller Maßnahmen und klare Regeln zur Weitergabe von Informationen. Ein professioneller Anbieter sollte bereit sein, Maßnahmen zur Einhaltung von Datenschutzvorgaben (z. B. DSGVO‑relevante Prozesse) zu erläutern.
- Wer hat Zugriff auf die gewonnenen Daten?
- Wie und wie lange werden Daten gespeichert oder gelöscht?
- Gibt es eine Vertraulichkeitsvereinbarung (NDA)?
Erfahrung, Referenzen und Methodik
Lassen Sie sich die Erfahrung des Experten erläutern — ohne nach technischen Angriffsdetails zu fragen. Relevant sind Branchenkenntnis, frühere autorisierte Einsätze und die Art der angebotenen Dienstleistungen (z. B. Penetrationstest, Forensik, Incident Response).
Bitten Sie um redigierte bzw. anonymisierte Fallbeispiele oder standardisierte Proben von Abschlussberichten, damit Sie die Qualität der Dokumentation, Nachvollziehbarkeit und Handlungsempfehlungen bewerten können.
- Wie lange ist der Anbieter im Bereich IT‑Sicherheit tätig?
- Welche Arten autorisierter Einsätze wurden bereits durchgeführt?
- Können Beispielberichte oder Referenzen (anonymisiert) vorgelegt werden?
Budget, Zeitplan und Deliverables
Klären Sie Preisstruktur (Pauschalpreis, Stundenbasis oder Phasenabrechnung) sowie alle zu erwartenden Nebenkosten. Verlangen Sie einen Zeitplan mit Meilensteinen und akzeptablen Reaktionszeiten bei Problemen.
Definieren Sie die erwarteten Liefergegenstände: Abschlussbericht, technische Dokumentation, Beweissicherung, Empfehlungen zur Behebung. Achten Sie darauf, dass die Zusagen realistisch formuliert sind — niemand kann Erfolge garantieren.
- Welche konkreten Deliverables erhalten Sie und in welchem Format?
- Wie ist die Zahlungsabwicklung geregelt (Meilensteine, Schlussrechnung)?
- Gibt es Support oder Nachbetreuung nach Abschluss des Einsatzes?
Warnsignale und Risikobeurteilung
Misstrauen Sie Anbietern, die nach Zugangsdaten oder dauerhaften Hintertüren fragen, rechtliche Grauzonen befürworten oder keine schriftliche Vereinbarung machen wollen. Solche Forderungen können auf illegale oder unseriöse Praktiken hinweisen.
Weitere rote Flaggen sind intransparente Preisgestaltung, fehlende Dokumentation oder Druck, schnell außerhalb offizieller Kanäle zu handeln. In Zweifelsfällen ziehen Sie Ihren internen Rechtsbeistand, offiziellen Support oder die Behörden hinzu.
- Verlangt der Anbieter Zugangsdaten ohne schriftliche und nachvollziehbare Begründung?
- Weigert sich der Anbieter, Leistungen schriftlich zu fixieren?
- Besteht Druck zu anonymen Zahlungen oder kurzfristigen Alleingängen?
Perguntas frequentes
Ist es legal, einen Hacker zu beauftragen?
Das ist nur legal, wenn alle Aktivitäten autorisiert und vertraglich geregelt sind. Jede Maßnahme an fremden Konten, Geräten oder Systemen benötigt die Zustimmung des Eigentümers; ohne diese kann es strafbar sein.
Welche Dokumente sollte ich vorlegen oder verlangen?
Fordern Sie eine schriftliche Autorisierung durch den Eigentümer, einen klaren Leistungsumfang (Scope), eine Vertraulichkeitsvereinbarung und Vertragsbedingungen zu Haftung und Datenverarbeitung.
Kann ein Sicherheitsprofi Garantien geben?
Seriöse Anbieter vermeiden absolute Erfolgsgarantien. Verlässlicher ist eine Beschreibung der Maßnahmen, möglicher Ergebnisse und der Risiken sowie klar definierte Abnahmekriterien.
Wann sollte ich Behörden oder offiziellen Support einschalten?
Bei Verdacht auf Straftaten, Erpressung, großem Datenverlust oder wenn Sie rechtliche Unsicherheiten sehen, sollten Sie Behörden oder den offiziellen Produkt‑/Plattformsupport hinzuziehen.
Wie überprüfe ich die Vertrauenswürdigkeit eines Anbieters?
Prüfen Sie Referenzen (anonymisiert), verlangen Sie Beispielberichte, klären Sie vertragliche Details und achten Sie auf transparente Kommunikation. Fehlende Nachweise oder Druck zu schnellen, inoffiziellen Maßnahmen sind Warnsignale.
Lesen Sie auch
Fassen Sie Fragen, Autorisierungen und Erwartungen schriftlich zusammen, bevor Sie einen autorisierten Sicherheitsprofi beauftragen
Fassen Sie Fragen, Autorisierungen und Erwartungen schriftlich zusammen, bevor Sie einen autorisierten Sicherheitsprofi beauftragen. Wenn Sie Unterstützung bei der Auswahl benötigen, vereinbaren Sie ein unverbindliches Erstgespräch mit einem qualifizierten Dienstleister oder wenden Sie sich an Ihre internen IT‑Verantwortlichen.
Fale com a equipa