Cybersec-Berater gesteht Hacking für Auftragsakquise

Ungewöhnliche Geschäftsstrategie eines IT-Sicherheitsexperten aus Kansas City: Nicholas Michael Kloster (32) hat sich vor Gericht schuldig bekannt, Unternehmenssysteme gehackt zu haben – um anschließend seine Cybersecurity-Dienste anzubieten.

Die Staatsanwaltschaft warf Kloster vor, unbefugt auf geschützte Computersysteme zugegriffen und dabei fahrlässig Schäden verursacht zu haben. Die dokumentierten Fälle zeigen dabei weniger technische Raffinesse als vielmehr dreiste Vorgehensweise. Bereits im November letzten Jahres wurde die Story bekannt, jetzt kam das Geständnis.

Fitnessstudio-Hack mit Rabatt-Bonus

Bei seinem ersten dokumentierten Angriff verschaffte sich Kloster physischen Zugang zu einem Fitnessstudio und manipulierte dort Computersysteme. Neben dem Remote-Zugriff auf Überwachungskameras “optimierte” er auch gleich seine Mitgliedschaftsgebühren auf einen Dollar monatlich und entfernte sein Foto aus der Kundendatenbank.

Die Geschäftsleitung erhielt am Folgetag eine E-Mail mit detaillierter Beschreibung der Sicherheitslücken sowie ein Angebot für professionelle Cybersecurity-Services. Kloster gab an, bereits “Dutzende Unternehmen in der Region” betreut zu haben.

Nonprofit-Organisation als weiteres Ziel

Circa vier Wochen später wiederholte der selbsternannte Sicherheitsexperte sein Vorgehen bei einer gemeinnützigen Organisation. Mit einer Boot-Diskette verschaffte er sich Administratorrechte, änderte Passwörter und installierte VPN-Software für dauerhaften Remotezugriff.

Vorgeschichte: Diebstahl beim Arbeitgeber

Bereits vor diesen Aktionen hatte Kloster die Firmenkreditkarte seines damaligen Arbeitgebers für private Zwecke missbraucht – unter anderem für den Kauf spezieller Hacking-Hardware. Die Aufdeckung führte zur fristlosen Kündigung.

Strafmaß: Bis zu fünf Jahre Haft

Das Gericht kann Kloster zu maximal fünf Jahren Gefängnis, 250.000 Dollar Geldstrafe und drei Jahren Bewährung verurteilen. Zusätzlich muss er den entstandenen Schaden ersetzen. Der Fall illustriert eine problematische Grauzone im Cybersecurity-Bereich. Während Penetrationstests und Schwachstellenanalysen legitime Dienstleistungen sind, überschritt Kloster durch seine unautorisierten Zugriffe klar die Grenze zur Straftat.