"Watch Dogs 2"

Wenn der CTO zum Endboss wird

10.01.2017 von Florian Maier
Wer Hacker wirksam bekämpfen will, muss lernen, wie sie zu denken. Das geht auch ganz ohne Cyberuntergrund-Kontakte und gemütlich von der heimischen Couch aus. Mit "Watch Dogs 2".

Wir leben in Zeiten, in denen Jedermann mit Hilfe aus dem Netz zum Pseudo-Hacker werden kann. Die weltpolitische Lage macht auch nichts besser: Staatliche - und auch nicht-staatliche - Überwachung gehört inzwischen vielerorts zum Alltag - mit Aussicht auf mehr.

Ein Szenario, in dem Verkehrsknotenpunkte im Lichtsignal-Chaos versinken, Autos ins fremdgesteuerte Verderben rasen, Drohnen auf dem Boden und in der Luft spionieren was das Zeug hält und Überwachungskameras keine Ecke unbeobachtet lassen, wäre also durchaus realistisch. Wie sich das so anfühlen würde - und was man dagegen tun kann - können Sie in einem Game aus dem Hause Ubisoft erleben: "Watch Dogs 2".

In dem Open-World-Actionspiel (erhältlich für Xbox One, PlayStation 4 und PC) geht es - grob zusammengefasst - um den Kampf einer Hacktivisten-Truppe gegen den multinationalen Konzern Blume, der ein weltumspannendes Überwachungsnetzwerk namens ctOS 2.0 betreibt und damit allerhand unternehmerischen Schabernack treibt:

Big Data als Kernthema

Dabei spielen insbesondere Daten, Analysen und Algorithmen eine Rolle, wie Dominic Guay, Senior Producer beim Entwicklerstudio Ubisoft Montreal, weiß: "Eines der Kernthemen des Spiels ist Big Data. Also alle Informationen, die ctos 2.0 über die Bewohner von San Francisco sammelt: Was sie im Internet tun, was sie in der realen Welt tun, mit wem sie Kontakt haben. Dabei spielt insbesondere auch Videoüberwachung eine große Rolle. Ein Algorithmus analysiert anschließend all diese persönlichen Daten und trifft basierend darauf Vorhersagen. Wenn Sie beispielsweise eine Versicherung abschließen wollen, weiß der Versicherer über jedes Detail Ihres Lebens Bescheid: alles was sie getan und gesagt haben, wie Sie leben und welcher Typ Mensch Sie sind."

Als Hacktivist Marcus Holloway kämpfen Sie in "Watch Dogs 2" gegen übermächtige Tech-Konzerne.
Foto: Ubisoft

Dass ein solches System weitreichende Folgen und verheerende Schwachstellen haben kann, muss Hauptprotagonist Marcus Holloway am eigenen Leib erfahren. Denn die Vernetzung aller persönlicher Daten, die in der Smart City der Spielwelt auflaufen, wird auch dafür genutzt, vorherzusagen, wie wahrscheinlich einzelnen Personen ein Verbrechen zuzutrauen ist. Als er fälschlicherweise als Krimineller eingestuft wird, will der Hacktivist die Schwächen des Systems aufzeigen und die Machenschaften von Blume an die breite Öffentlichkeit zerren.

Dabei nimmt man sich - branchenüblich - selbst nicht allzu ernst und spielt mit Hacker-Nerd-Klischees: neonfarbene Hightech-Hinterzimmer dienen als Geheimzentrale, die Hackerbande flucht bei jeder Gelegenheit möglichst vulgär und produziert "edgy" Webvideos in bestem Anonymous-Style. Der Haupt-Gegenspieler der Hacker ist übrigens der CTO von Blume, Dusan Nemec. Ein bärtiger, langhaariger Yoga-Freak in Jogginghosen, der rein äußerlich sämtliche Silicon-Valley-Hipster-Klischees erfüllt.

Die Hacktivisten-Truppe "Dedsec" nimmt in "Watch Dogs 2" den Kampf gegen eine multinationale Datenkrake auf.
Foto: Ubisoft

Reale IT-Sicherheits-Fails als Vorbild

Was die IT-Sicherheit angeht, übertreibt "Watch Dogs 2" allerdings kein bisschen. Egal ob es um kritische Infrastrukturen, Mobile Hacking oder den Einsatz von Drohnen zu Spionagezwecken geht: Die Game-Mechaniken ermöglichen Dinge, die für Profi-Hacker heute (und teilweise auch schon gestern) überhaupt kein Problem darstellen.

"Natürlich würden einige der im Spiel gezeigten Hacks in der Realität ein bisschen mehr Aufwand erfordern, als den X-Button auf dem Controller zu drücken. Aber alle Hacks im Spiel sind auch in der realen Welt möglich", meint Thomas Geffroyd dazu, Brand Content Director und Hacking-Consultant für das Entwicklerteam von "Watch Dogs 2".

Ein Auto mit dem Smartphone fernsteuern? Das funktioniert erwiesenermaßen auch in der echten Welt.
Foto: Ubisoft

Tatsächlich macht "Watch Dogs 2" die unzähligen (auch physischen) Möglichkeiten, wie Hacker jeglicher Couleur in Privat- und Unternehmensnetzwerke vordringen können, erleb- und nachvollziehbar. Heute bereiten den IT-Sicherheitsspezialisten in der echten Welt beispielsweise insbesondere IoT-Devices wie vernetzte Security-Kameras Sorgen. Und auch im Game von Ubisoft sind solche CCTV-Geräte Einfallstor Nummer Eins und dienen im Wesentlichen dem Ausspähen von Gegnern und Räumlichkeiten.

Und während sich viele Menschen heutzutage Sorgen um die Allmacht von Tech-Konzernen wie Google und Facebook machen, zeigt "Watch Dogs 2", wohin die krakenhafte Daten-Sammelwut und die Gier nach Kapital führen können. Natürlich sind neben Blume auch zahlreiche andere Silicon-Valley-Businesses ins Geschäft mit den Daten verstrickt. Der "Nudle"-Konzern beispielsweise. Die witzigen Anspielungen auf reale Tech-Giganten verlieren nach eingehender Reflexion eventuell auch etwas an Belustigungspotenzial.

Der "Nudle"-Campus weckt Assoziationen. Daneben gibt es in "Watch Dogs 2" viele weitere Referenzen zu Tech-Giganten aus dem Silicon Valley zu entdecken.
Foto: Ubisoft

Die Spielmechanik selbst hat mit echtem Hacking allerdings wenig zu tun: Auf Knopfdruck kann der Spieler verschiedenste Fahrzeuge und Geräte steuern - etwa Autos, Gabelstapler, Ampelanlagen, andere Smartphones oder schweres Baugerät - um Gegner abzulenken, das Konto aufzustocken, Gespräche mitzuhören und Vieles mehr. Um Zugriff auf besonders geschützte Netzwerke zu erhalten, sind kleine Puzzles zu lösen, in denen die Knotenpunkte eines Netzwerks - auf einmal mehr, einmal weniger komplizierte Art und Weise - miteinander verbunden werden müssen.

Die Hacking-Puzzles im Game sorgen für Kurzweil. Dabei kommen auch Flug- und Boden-Drohnen zum Einsatz.
Foto: Ubisoft

Die eigentliche "Arbeit" im Spiel besteht allerdings meist in der Ausspähung besonders gesicherter Anlagen - meist mit dem Ziel, sich Zugang zu einem Serverraum zu verschaffen. Dauerballerei und Gewaltorgien sind zwar möglich, führen aber in vielen Fällen eher in den virtuellen Tod als zum Ziel. Taktisches Vorgehen steht bei "Watch Dogs 2" im Vordergrund. Die einzelnen Missionen erlauben viele verschiedene Wege zum Ziel - der spaßigste und sinnvollste ist dabei meist der, der ein völlig unbemerktes Eindringen erlaubt.

Ballern ist in "Watch Dogs 2" eher nicht angesagt: Der taktisch kluge Einsatz von Hacking ermöglicht oft eine "Remote"-Erfüllung von Missionszielen.
Foto: Ubisoft

Dass die eigentlichen Hacks durch einen simplen Tastendruck ausgeführt werden, hat allerdings bereits nach dem ersten Teil von "Watch Dogs" zu negativem Feedback aus der Hacker-Community geführt, wie Thomas Geffroyd erzählt: "Sie hassen das ‚Press-X-to-hack‘-Schema, denn diese Community definiert sich über ihre Arbeit. Das ist Teil des Hacker-Ethos. Aber wir machen nun mal Games und haben uns deshalb eher auf die Folgen eines Hacks konzentriert. Wir glauben, dass wir eine Message so besser transportieren können, als mit wirklich tiefgehenden, technischen Details zu den Hacks selbst", erzählt.

Mit Watch Dogs 2 zu mehr Security Awareness

Diese Message kommt an und regt trotz - oder gerade wegen - aller Klischees, Spielereien und Übertreibungen zum Nachdenken an. Genau das wollten die Entwickler bei Ubisoft Montreal von Anfang an mit der Watch Dogs-Reihe erreichen: die Erzeugung von Awareness. Die Leute sollten anfangen, sich der Gefahren und Schwachstellen unserer heutigen Technologien bewusst zu werden. Um diese Wirkung zu gewährleisten, waren in Sachen Storytelling allerdings Anpassungen nötig, wie Thomas Geffroyd erzählt: "Wir haben unser Spiel in der Realität verwurzelt, weil wir eine Message transportieren und die Welt der Technologie porträtieren wollen. Aber um das in einem Game umzusetzen, haben wir das Ganze natürlich etwas ausgedehnt und vielleicht zwei oder drei Jahre in die Zukunft geblickt. Das war nötig um zu zeigen, welche Entwicklungen sich aus den heutigen Technologien ergeben können."

Machen Sie Ihr Security Awareness Training besser
Bestimmen Sie Metriken
Seien Sie in der Lage, den Erfolg Ihrer Bemühungen zu belegen. Das können Sie nur, wenn Sie Kennzahlen definieren, bevor Sie Ihr Awareness-Programm beginnen. Möglich sind Fragebögen zum Verhalten in bestimmten Situationen oder Phishing-Simulationswerkzeuge, die einen Angriff vor und einen nach den Trainigsmaßnahmen nachstellen. Ebenfalls lassen sich durch Mitarbeiter ausgelöste Incidents zählen - wie versuchte Besuche gesperrter Websites.
Bleiben Sie flexibel
Konzentrieren Sie sich nicht nur auf die Präventionsarbeit. Die Idee der "menschlichen Firewall" ist weit verbreitet, sie kommt aber erst dann zum Einsatz, wenn ein Angriff erfolgt. Warum nicht auch auf "menschliche Sensoren" setzen und bevorstehende Attacken versuchen zu erkennen? Lassen Sie Ihre Angestellten nach Indikatoren Ausschau halten, die einen möglichen Angriff ankündigen. Wenn Phishing-Simulationen stattfinden, sollte man auch darauf achten, wie viele Testteilnehmer den Angriff erkennen und melden.
Lassen Sie Regeln brechen
Wer sich nicht an Security-Regeln hält, kann seine eigene Security-Awareness steigern. Das Unternehmen sollte seinen Mitarbeitern ab und zu - nicht regelmäßig, damit es nicht zur Gewohnheit wird - die Freiheit geben, bestimmte Sicherheitsregeln zu brechen - aber nur solche, die keinen unmittelbaren Schaden anrichten. Nur wenn sie die Regel brechen, können die Mitarbeiter erkennen, was passiert, wenn die Regel gebrochen wird und warum es sie letztlich gibt. In einem Gespräch zwischen IT-Sicherheitsteam und Mitarbeitern lässt sich dann gemeinschaftlich nachvollziehen, welchen Zweck eine bestimmte Richtlinie verfolgt.
Wählen Sie einen neuen Ansatz
Die meisten Awareness-Programme haben nicht dazu geführt, dass die Mitarbeiter ihr Verhalten geändert haben. Das liegt nach Meinung vieler Experten aber daran, dass sie gar nicht darauf ausgelegt waren, das Verhalten zu ändern - sie sollten einfach nur geltende Compliance-Vorgaben erfüllen. Also wurde wenig in diese Trainings investiert - sowohl finanziell als auch inhaltlich. Nur, wer Gehirnschmalz in die inhaltliche Ausgestaltung seiner Securiy-Trainings steckt, kann das Mitareiterverhalten ändern.
Holen Sie sich Unterstützung vom C-Level
Wer die Unterstützung der Entscheiderebene hat, macht seine Security-Trainigs erfolgreicher. Wer ein Awareness-Programm plant, sollte sich zunächst starke Unterstützung von oben holen - und sei es nur mit Worten. Das führt zwangsläufig zu einer größeren Aufmerksamkeit in der Belegschaft, mehr Freiraum in der Ausgestaltung und Unterstützung anderer Abteilungen.
Machen Sie gemeinsame Sache mit anderen Abteilungen
Wenn ein IT-Security-Mitarbeiter ein Awareness-Trainingsprogramm aufsetzt, sollte er neben dem Vorstand auch andere Fachbereiche mit ins Boot holen - Personal, Marketing, Legal, Compliance, Datenschutzbeauftragter und Hausverwaltung. All diese Abteilungen haben ein direktes oder indirektes Interesse an dem Thema Security und können bei der Werbung und der Finanzierung helfen. Außerdem haben sie die Möglichkeit, die Trainings für die Mitarbeiter verpflichtend zu machen.
Seien Sie kreativ
Wer nicht kreativ ist, kann kein gutes Security-Training anbieten. Dazu könnte beispielsweise gehören, im Rahmen einer Firmenfeier im Eingangsbereich des Gebäudes eine Security-Wand aufzubauen, auf der - neben anderen Dingen - zehn gängige Sicherheitsfehler aufgeführt sind. Die Mitarbeiter, die alle zehn Fehler benennen können, nehmen an einer Verlosung teil.
Setzen Sie sinnvolle Zeitfenster
Die meisten Trainingsprogramme laufen über ein Jahr - jeder Monat steht unter einem bestimmten Thema. Besser ist ein 90-Tage-Plan - dadurch werden Inhalte und Ziele jedes Quartal neu auf den Prüfstand gestellt. So sind viele Programme deshalb erfolgreich, weil sie über ein Vierteljahr hinweg jeweils drei Themen parallel behandeln und die Themen dann wieder neu ausgesucht werden. So bleiben Sie auf dem Laufenden.
Wählen Sie einen multimedialen Ansatz
Jeder Mitarbeiter bringt andere Voraussetzungen mit, was IT-Sicherheit angeht. Jede/r möchte anders abgeholt werden. Setzen Sie daher auf verschiedenste Kommunikationskanäle, um für das Thema IT-Sicherheit zu sensibilisieren - beispielsweise über Newsletter, Poster, Spiele, Newsfeeds, Blogs, Phishing-Simulationen etc.

Auch Senior Producer Guay sieht in "Watch Dogs 2" mehr als nur ein Game zum Zeitvertreib: "Für uns besitzt unser Spiel schon immer auch einen erzieherischen Ansatz: Wir bringen den Leuten nicht bei, wie man hackt. Aber wir bringen ihnen die Denke eines Hackers näher: innovativ zu sein, kreativ zu sein, um die Ecke zu denken".

Wenn Sie also ein paar Stunden Zeit haben, probieren Sie es doch einfach mal aus: Denken Sie wie ein Cyber-Paradiesvogel, hacken Sie was das Zeug hält, fluchen Sie dabei ruhig auch mal und drucken Sie sich eine virtuelle Schrotflinte aus. Eventuell lohnt es sich sogar, "Watch Dogs 2" ihren Mitarbeitern zugänglich zu machen: Ein immersiveres Security-Awareness-Training bekommen Sie für maximal 60 Euro nicht.

Einen ausführlichen Test von Watch Dogs 2 lesen Sie bei den Kollegen von der PC World.