Marcus Hutchins und der Weg aus der Hacker-Grauzone

Der Begriff Hacker wirkt bei Marcus Hutchins wie ein Etikett, das nur teilweise passt. Er ordnet sich selbst nicht gern ein, nimmt den Namen jedoch an, weil er beschreibt, was er in früheren Jahren tat. Seine Geschichte ist besonders, weil sie nicht nur Technik berührt, sondern auch die Frage, wie aus Neugier Verantwortung werden kann.

Geboren in Ascot, England, arbeitete Hutchins 2017 als Cyber Threat Analyst in Kalifornien. Im Alter von 22 wurde er weltweit als „Held“ bekannt, nachdem er einen Mechanismus gefunden hatte, der die Ausbreitung des Ransomware-Wurms WannaCry stoppen sollte. Doch wenige Monate später kam die Kehrseite: Die US-Behörden nahmen ihn fest – für Aktivitäten, die lange zuvor begonnen hatten.

Warum Hutchins sich nicht als „Hacker“ fühlt

Viele Menschen verbinden mit dem Wort „Hacker“ den Wunsch, etwas zu verändern oder gezielt anzugreifen. Hutchins beschreibt sich dagegen als jemanden, der verstehen will. Für ihn ist es eine echte Unruhe, wenn er nicht genau weiß, wie ein System funktioniert. Aus diesem Drang entstehen tiefe technische Einblicke – manchmal in Bereichen, die anderen schaden.

Er schildert einen Lernmodus, der sich wie eine Spirale nach oben dreht: erst Elektronik, dann die physische Umsetzung und schließlich bis zu Fragestellungen auf Quantenniveau. Sein Fokus war dabei nicht gleichmäßig verteilt. Wenn ihn ein Thema fesselte, konnte er extrem lange dranbleiben; wenn nicht, fühlte er sich im Alltag schnell „unbrauchbar“.

Diese Polarisierung passt in sein Bild von Neurodiversität: Wenigstens erklärt sie, warum manche Themen sehr detailliert werden, andere aber kaum Platz bekommen. Gleichzeitig erzählt er, dass er bereits früh mit Computern begann: Mit etwa 13 bekam er seinen ersten Computer und eignete sich in den Folgejahren unter anderem VB, PHP, C, C++ und Assembly an.

Vom Schulhof zur Malware-Szene

Seine Geschichte beginnt nicht in einem „großen Plan“, sondern eher in einer Mischung aus Talent, Zeit und fehlendem Nutzen für das eigene Können. Er war noch Schüler, als er gelegentlich Schulcomputer kurzzeitig abschaltete – nicht aus strategischer Kriminalität, sondern „aus Spaß“. Der Schritt in die Szene wirkte dann wie eine logische Folge: Wer ähnliche Fähigkeiten hat, trifft Menschen, die sie ebenfalls nutzen.

Hutchins begann schon früh, sich in Cybercrime-Foren zu bewegen. In dieser Zeit lag sein Schwerpunkt stärker auf Programmierung als auf dem klassischen „Hacking“ im Sinne einer unmittelbaren Einbruchstätigkeit. Er formuliert es so, dass er eher „Code schrieb“ als Angriffe „selbst ausführte“.

Er verkaufte Software für andere, damit diese damit Hacks durchführen oder unterstützen konnten. Damit wurde er Teil einer Gruppe, in der er als professioneller Malware-Entwickler arbeitete: Er pflegte Backdoors, baute Mechanismen, die Antivirenumgehung begünstigen, und half beim Unterlaufen von Sicherheitsmaßnahmen.

MalwareTech als Einstieg

2013 startete er anonym einen Blog namens MalwareTech. Dort ging es um die Funktionsweise von Malware – inklusive Proof-of-Concepts. Der Blog wurde sowohl von Sicherheitsprofis als auch von Cyberkriminellen gelesen. Für Hutchins war entscheidend, dass die kriminelle Seite bereit war zu zahlen. Er hörte dadurch jedoch nicht auf, sondern passte sein Vorgehen nicht von Grund auf an.

Er beschreibt rückblickend, dass es keinen klaren Moment gab, in dem er sagte: „Ab jetzt ist das falsch.“ Für ihn existiert keine saubere Trennung zwischen richtig und falsch, sondern vielmehr eine breite „Grauzone“. Psychologisch wurde es leichter, Abstand zu halten: Er schrieb Code, verkaufte ihn, und sah danach nicht direkt, was damit geschah.

Vergleicht man das mit einer eigenen Tat, etwa einem Raub oder einer körperlichen Attacke, fehlt bei dieser Distanz ein unmittelbarer emotionaler Schock. Er nutzt ein Bild mit einem Küchenmesser: Was passiert damit – Essen schneiden oder jemanden verletzen – bleibt lange unscharf, solange man nicht selbst am „Ergebnis“ beteiligt ist.

Vom Abstand zur Verantwortung

Dieser Abstand hielt nicht dauerhaft. Mit der Zeit geriet Hutchins näher an Organisationen, die seine Arbeit nutzten. Dann veränderte sich die Wahrnehmung: Ihm wurde klarer, dass sein Code reale Schäden anrichtete.

So traf er die Entscheidung, den Kontakt zu kappen und nach einer legitimen Tätigkeit zu suchen. Das ist ein Kernpunkt in seiner Entwicklung: Er will nicht unbedingt „alles wieder gutmachen“, aber er will die Richtung ändern – weg von schädlichen Anwendungen, hin zur Untersuchung und zum Schutz.

WannaCry und das Prinzip des Kill Switch

2016 fand Hutchins eine Position als Leitender für Forschung und Entwicklung in Los Angeles. Damit wechselte er formell in den Bereich der Cybersicherheit. Das war noch ein Jahr bevor WannaCry groß bekannt wurde.

WannaCry faszinierte ihn technisch. Er schildert, dass zu dieser Zeit unabhängige Organisationen „überall“ ausfielen und viele Menschen nicht wussten, warum. Für ihn war das neu – und genau das weckte seinen Forscherdrang.

WannaCry wurde unter anderem durch eine geleakte NSA-Strategie bekannt, basierend auf EternalBlue. Diese Technik scannte das Internet nach Systemen mit einem frei zugänglichen SMB-Port und eröffnete eine Hintertür, die als DoublePulsar beschrieben wird. Hacker konnten so erreichbare Ziele finden und darauf die eigene Ransomware ausliefern.

Entscheidend: Die Schadsoftware arbeitete nicht wie erwartet. Zwar funktionierte die Verschlüsselung, aber die Entschlüsselung gelang nicht. Dadurch verhielt sich der Angriff eher wie ein Wiper – die Daten konnten nicht sinnvoll zurückgewonnen werden. Gleichzeitig verbreitete sich das Ganze in einer Kettenreaktion über das Internet.

Als Hutchins die Malware analysierte, fiel ihm eine auffällige Komponente auf: eine Domain, die im Code nicht „registriert“ war. Solche Domains sind für Forschende nicht automatisch verdächtig, weil sie teils genutzt werden, um Aktivitäten zu beobachten. Dennoch tat er etwas, das letztlich den entscheidenden Effekt hatte: Er registrierte die Domain für vergleichsweise wenig Geld.

Danach bemerkte er, dass der Server massiv angefragt wurde – zehntausende Anfragen in sehr kurzen Intervallen. Und dann stellte sich heraus, was die Domain tat: Der Kill Switch beruhte darauf, dass das Programm bei Erreichbarkeit auf die Domain reagiert. Sobald eine Web-Server-Antwort mit einem Statuscode zurückkommt, wird das weitere Ausbreiten effektiv gestoppt.

Viele Details, warum genau die Implementierung so gewählt wurde, bleiben unklar. Für Hutchins zählt aber das Resultat aus der Beobachtung: Wenn ein Server unter dieser Adresse erreichbar bleibt, kann die Malware sich nicht weiter ausbreiten. Technisch gesehen deaktiviert sie sich damit selbst.

Vom Ruhm zur Strafverfolgung

Die zweite Seite seiner Geschichte folgte fast auf dem Fuß. Drei Monate nach dem WannaCry-Signal wurde Hutchins in Los Angeles vom FBI festgenommen. Er erklärt, dass man erst später auf den Zusammenhang kam. Die Strafverfolgung bezog sich auf Aktivitäten aus der Vergangenheit – also auf Dinge, die er zwischenzeitlich eingestellt hatte.

Er durchlief daraufhin das US-Gerichtssystem. Insgesamt verbrachte er drei Jahre mit rechtlichen Auseinandersetzungen, die an sein früheres Verhalten anschlossen. Vor der endgültigen Entscheidung wurde er zunächst im Nevada Southern Detention Center festgehalten, bis ein Bail zustande kam. Eine Person veröffentlichte ein Bargeldbürgschaft in Höhe von 30.000 US-Dollar, damit er vorläufig freikommen konnte.

Der Prozess erstreckte sich über zwei Jahre und endete damit, dass er sich schuldig bekannte – unter anderem wegen Computerhacking und wegen bestimmter technischer Handlungen im Kontext eines Abhörgeräts. Trotzdem traf der Richter eine milde Entscheidung: Hutchins erhielt Bewährungszeit und anschließend entschied er sich, in den USA zu bleiben.

Rehabilitation und der Neustart bei Expel

Wie ungewöhnlich sein Verlauf ist, zeigt sich auch daran, dass sein Weg nicht „automatisch“ zur Karriere als Sicherheitsprofi führte, sondern erst nach einem Konflikt mit dem Recht. Hutchins’ frühe Arbeit an MalwareTech trug dazu bei, dass sein Name im Nachhinein besser einzuordnen war. Gleichzeitig machte genau dieses Profil ihn für den Sicherheitsbereich attraktiv: Wer Malware versteht, kann sie auch analysieren und schützen.

Er veröffentlicht MalwareTech weiterhin – allerdings überarbeitet. Der Blog trägt heute stärker den Charakter einer Cybersecurity-Plattform statt einer Sammlung für kriminelle Zwecke. Das Pseudonym bleibt erhalten, aber der Fokus ist klar verschoben.

Mit etwa 32 Jahren arbeitet Hutchins als Principal Threat Researcher bei Expel. In dieser Rolle kombiniert er Cyber Threat Intelligence mit Beiträgen über Malware. Inhaltlich ist es „dieselbe Art Arbeit“ wie früher – technisch gesehen. Der entscheidende Unterschied liegt darin, dass er heute legitim untersucht, berichtet und im Schutzkontext arbeitet.

Was die Geschichte über die Hacker-Grauzone sagt

Hutchins’ Fall zeigt, wie schnell „Grauzonen“ kippen können. Anfangs geht es bei vielen nicht um Schaden, sondern um Zugang, Interesse und das Gefühl, nur zu liefern, ohne die Folgen selbst zu tragen. Doch sobald man näher hinsieht, steigt das Bewusstsein für das, was die eigene Arbeit anrichtet.

Gleichzeitig macht seine Entwicklung klar: Der technische Weg muss nicht zwangsläufig in der Kriminalität enden. Die gleiche Neugier, die früher in Malware-Entwicklung mündete, kann später in Analyse, Verteidigung und Aufklärung umgeleitet werden. In der Realität ist das aber selten geradlinig – sein Weg beinhaltete Festnahme, Gerichtsverfahren und Rehabilitation.

Damit bleibt seine Geschichte ein ungewöhnliches Beispiel dafür, dass „keine gute Tat unbestraft bleibt“ nicht nur als Sprichwort funktioniert. In diesem Fall führte der Beitrag zu einem weltweiten Schutzereignis gleichzeitig zu einer juristischen Konfrontation mit der Vergangenheit. Gerade deshalb wirkt sie bis heute nach.

Fazit: Marcus Hutchins durchlief eine echte Transformation innerhalb der Hacker-Grauzone: von der Entwicklung und dem Verkauf schädlicher Software hin zu einer legitimen Rolle in der Cybersicherheit. Technisches Talent, persönliche Einsicht und ein klarer Wechsel der Richtung machten aus einem früheren „Insider“ schließlich einen Threat Researcher.

Quelle: https://www.securityweek.com/hacker-conversations-marcus-hutchins/