Dies ist das Transkript der sechsen Folge des Podcasts "Darknet Diaries auf Deutsch". Im Englischen Original von Jack Rhysider trägt diese Episode den Namen "Manfred (Part 1)". Es ist Teil 1 einer zweiteiligen Serie.
Die deutsche Produktion verantworten Isabel Grünewald und Marko Pauli von heise online. Der Podcast erscheint alle zwei Wochen auf allen gängigen Podcast-Plattformen und kann hier abonniert werden.
JACK (Intro): 2002 wurde ich aus EverQuest verbannt. Das war ein Massively Multiplayer Online Role-Playing Game, kurz MMORPG. Ich habe Jahre damit verbracht, als Halbelfen-Barde durch die Welt von Norrath zu reisen. Es hat mein Leben bestimmt, aber ich habe Abenteuer erlebt, die ich nie vergessen werde – wie damals, als ich mich mit 80 anderen Spielern zusammengetan habe, um Drachen wie Lady Vox und Nagafen zu erlegen. Aber nachdem ich jahrelang immer wieder das Gleiche getan hatte und an der Spitze angekommen war, wurde mir langweilig und ich hörte auf. Das hielt aber nicht lange an, denn nur wenige Wochen zog es mich doch wieder ins Spiel. Ich hatte schließlich Jahre in meinen Charakter investiert und es war einfach zu schwer, ihn loszulassen. Ich kam an einen Punkt, an dem ich einfach nicht mehr mit dem Spiel aufhören konnte. Die einzige Lösung, die mir einfiel, um mich selbst zum Aufhören zu zwingen, war, einen Weg zu finden, gesperrt zu werden. Also fing ich an, einen Bot zu benutzen.
Der Bot übernahm die Kontrolle über meinen Charakter und automatisierte ihn für mich. Das war streng genommen gegen die Spielregeln. Ich ließ den Bot die ganze Nacht laufen, Monster bekämpfen und Erfahrung sammeln, während ich schlief. Als ich aufwachte, war ich überrascht, dass ich immer noch Monster bekämpfte und immer noch nicht gesperrt war. Ich ließ den Bot Nacht für Nacht weiterlaufen. Irgendwann beschwerten sich Spieler bei einem GM, einem Game Master – das ist so etwas wie der Administrator des Spiels – und ich bekam genau das, was ich wollte: eine Sperre. Obwohl diese Geschichte in meiner Erinnerung episch ist, ist sie nichts im Vergleich zu der Geschichte, die ihr gleich hören werdet. Ihr werdet die vielleicht epischste Online-Videospiel-Geschichte aller Zeiten hören. Diese Geschichte ist so verrückt, dass sie sogar im Wired Magazine vorgestellt wurde. Die Welt wird sich auf eine Weise verändern, die ihr nie erwartet hättet. Es wird riesige Mengen an Gold und Reichtum geben. Also versammelt euch und lauscht einer Geschichte von epischem Ausmaß.
JACK: Ich freue mich sehr auf die Geschichte, die wir heute erzählen. Es ist eine von denen, die fast sang und klanglos für immer in der Versenkung verschwunden wäre. Man bekommt sie nur selten zu hören. Es ist die Geschichte eines Mannes namens Manfred.
MANFRED: Hallo. Hey, wie geht’s?
JACK: Manfred hat seine Geschichte zwanzig Jahre lang für sich behalten. Er hat sie bis vor kurzem nie öffentlich erzählt. Er sprach zum ersten Mal auf der Defcon darüber, der größten Hacker-Konferenz der Welt, aber er konnte dort nicht alles sagen, was er sagen wollte.
MANFRED: Ich wollte zwei Zero-Day-Exploits in ein paar Spielen zeigen, also Angriffe auf unbekannte Sicherheitslücken. Ich war im Green Room auf der Defcon, etwa fünfzehn Minuten vor meinem Vortrag. Einer aus dem Defcon-Team, einer der „Goons“, fragte mich, worum es in meinem Vortrag geht, und ich meinte, dass ich diesen Exploit demonstrieren wollte. Da ging er zu einem anderen Goon, und dann kamen sie beide und meinten: „Ähhh, du solltest lieber nicht tun. Du kannst über den Exploit reden, aber zeig nicht, wie man ihn reproduziert.“ Ihr habt wahrscheinlich recht, dachte ich mir.
JACK: Er sprach, während seines Defcon-Vortrags, der aufgezeichnet und auf YouTube gestellt wurde, über die zahlreichen Spiele, die er gehackt hatte. Aber das hielt nicht lange.
MANFRED: Ja, mein Defcon-Vortrag wurde von Youtube entfernt aufgrund einer Urheberrechtsbeschwerde von ArenaNet, den Machern von Guild Wars 2.
JACK: Wie ihr seht, ist die Geschichte nicht nur selten, sondern in gewisser Weise auch verboten. Also, fangen wir an, oder? Zuerst einmal, woher kommt eigentlich der Name Manfred?
MANFRED: In den Anfängen von Ultima Online habe ich viel „PKing“ und „Griefing“ betrieben, also in Multiplayer-Games andere Spieler gekillt oder ihnen den Spaß verdorben. Ursprünglich hieß ich nicht Manfred. Ich hieß Phuckchop. P-H-U-C-K-C-H-O-P. Das war für die Spieler, die ich getötet habe, wohl ne zusätzliche Beleidigung. Die haben ihre hart verdienten Ressourcen verloren. Aber ist nur Spaß bei mir. Im echten Leben bin ich nicht so. Ear nur'n Spiel. Ich habe das alles nur aus Spaß gemacht.
Aber unter dem Namen Phuckchop habe ich wochen- und vielleicht monatelang andere Spieler getötet, „PKD“, wie man das nennt, also player killed. Dann saß ich da im Spiel eines Tages einfach in der Stadt unter dem Schutz der Wachen neben einer Bank, nur AFK, also away from keyboard. Ich bin weg vom Computer, um mir ein paar Krispy Kreme Doughnuts zum Mittagessen zu holen. Das war mein normales Mittagessen. Immer ein Dutzend. Die sind einfach gut. Ich kam zurück, schaute auf meinen Charakter und mein Name war Manfred. Ich dachte mir: „uäah, was dassen.“ Im Chat-Protokoll sah ich, dass ein Gamemaster mir geschrieben hatte - er könne nicht zulassen, dass ich als Phuckchop rumlaufe und Spieler töte. Er meinte: „Spieler kannst du töten, wie du willst, das ist Teil des Spiels, aber den Namen können wir nicht dulden.“ Also änderte er meinen Namen einfach in einen zufälligen, und das war eben Manfred. Der Name ist seitdem geblieben.
JACK: Diese Geschichte hat sich vor zwanzig Jahren zugetragen. Manfred spielt seitdem MMORPGs. Es läuft immer gleich: Er spielt, hat Spaß, lernt das Spiel in- und auswendig und fängt dann irgendwann an, sich zu langweilen und daran rumzubasteln.
MANFRED: Ich hab Spaß daran, die Spiele zu reverse-engineeren bei Spielen, ich schaue gern, wie die genau funktionieren. Ich analysiere sie - wie das Protokoll mit dem Server spricht und umgekehrt, wie der Server dem Client antwortet.
JACK: Er hackt Online-Videospiele. Darin ist er gut. Nach zwanzig Jahren ist er ein Experte darin, Fehler in MMOs zu finden. Er fängt die Datenpakete ab und analysiert ihren Inhalt. Er schleust seine eigenen Daten in die Pakete ein und schaut, wie das Spiel reagiert. Er findet Wege in den Spiel-Client und manipuliert, welche Daten an den Server gesendet werden. Der Exploit, den er in fast jedem Spiel findet, ist ein Integer-Überlauf.
Um das zu verstehen, stellt euch eine Uhr vor, auf der es 1:00 Uhr ist. Wenn ihr nun eine Minute abzieht, wäre die Zeit 12:59 Uhr. Durch das Subtrahieren ist also eine größere Zahl entstanden. Computer haben eine Grenze, wie hoch sie zählen können, und sobald sie diese Grenze erreichen, springt die Zahl ganz an den Anfang zum niedrigsten Wert zurück. Videospiele prüfen nicht immer, ob man von den niedrigsten Werten noch etwas abziehen kann. Also versucht Manfred, von null zu subtrahieren, und erzielt dabei manchmal überraschende Ergebnisse. Er macht das auf Paketebene, so eine Art Man-in-the-Middle. Wenn ein Paket von seinem Computer an den Server gesendet wird, fängt er es ab, ändert einige Werte und schickt es dann weiter. Das macht er schon sehr lange, deshalb kann er in so gut wie jedem Spiel Fehler finden. Bisher hat er in allen Spielen Fehler gefunden.
MANFRED: Ultima Online, Dark Age of Camelot, Anarchy Online, Lineage II, Final Fantasy Online, das erste, World of Warcraft, RIFT Online, Elder Scrolls Online, Lord of the Rings Online, RIFT Online II, Final Fantasy XIV, Guild Wars II und WildStar Online. Ich hab bestimmt noch fünf oder sechs vergessen.
JACK: Da ich persönlich viel World of Warcraft gespielt habe, fangen wir doch dort an. World of Warcraft war 2007 das führende und beliebteste MMORPG.
MANFRED: Als ich's damals gespielt hab, gab's da, glaube ich, so fast zehn Millionen Spieler.
JACK: Manfred hatte schon eine Weile gespielt und hatte Spaß daran, seine Charaktere zu leveln, Kreaturen zu bekämpfen und die Welt zu erkunden. In diesem Spiel gab es ein sogenanntes Talentsystem, und für jedes erreichte Level bekam man einen Talentpunkt, den man zur Verbesserung seines Charakters einsetzen konnte. Manfred wurde neugierig, welche Pakete der Computer an den Server schickte, wenn er einen Talentpunkt verwendete, aber es gab ein Problem. Die Pakete zwischen seinem Computer und dem Server waren verschlüsselt, sodass er nicht sehen konnte, was darin war, oder seine eigenen Daten einschleusen konnte. Aber er ist ein Reverse-Engineer, also fängt er an, daran herumzubasteln.
MANFRED: Ich habe den Spiel-Client leicht modifiziert, damit ich die Kommunikation vor der Verschlüsselung übernehmen kann, wenn die Pakete ausgehend sind. Dann hab ich die Kommunikation auch nach der Verschlüsselung übernommen, wenn sie vom Server kommen.
JACK: Sobald er seine Haken in die Spielkommunikation geschlagen hatte, spielte er das Spiel und gab einen Talentpunkt aus, um seinen Charakter zu verbessern. Er sah, wie die Daten dabei aussahen. Er versuchte, dasselbe Paket noch einmal an den Spiel-Client zu senden. Er erwartete, dass er einen Talentpunkt ausgegeben hatte und sein Talent um eins steigen würde.
MANFRED: Da fiel mir auf, dass meine Fertigkeitspunkte nicht mit den Talentpunkten übereinstimmten, die ich ausgegeben hatte. Da gab's ne Diskrepanz. Angeblich hatte ich zum Beispiel fünfzehn Fertigkeitspunkte in diesem einen Fertigkeitsbaum, aber ich habe keinen meiner Talentpunkte verwendet, was seltsam war. Irgendwie dachte ich zumindest anfangs, dass es sich nur um einen Fehler auf der Client-Seite handelte, bei dem ich meine Talente ohne Verwendung von Fertigkeitspunkten erhöhte.
Ich loggte mich aus dem Spiel aus, schloss den Client und lud eine frische Kopie meines Charakters vom Server, wodurch ich erfahren würde wie's wirklich ist. Ich loggte mich ins Spiel ein und hatte immer noch meine, sagen wir, fünfzehn Punkte in meinem Talentbaum und auch immer noch meine fünfzehn Fähigkeitspunkte. Ich dachte mir: Okay, das ist interessant. Mal sehen, was hier vor sich geht.
JACK: Talentpunkte sind selten und man kann nur eine bestimmte Anzahl bekommen. Man kann maximal fünf Punkte für eine bestimmte Fähigkeit ausgeben, aber Manfred fand einen Weg, Talentpunkte auszugeben, ohne Talentpunkte zu verbrauchen, und mehr als fünf auszugeben.
MANFRED: Ich konnte sie auf fünfzehn Punkte erhöhen, obwohl ich nur fünf Punkte eingesetzt hatte. Jeder Exploit, der die Stärke deines Charakters verbessert oder dir einen Vorteil gegenüber einem anderen Spieler verschafft, war ziemlich bedeutsam, denn du hast dir einen Vorteil, einen unfairen Vorteil, gegenüber im Grunde zehn Millionen Spielern verschafft.
JACK: Nachdem Manfred seine Talente mit diesem Exploit überladen hatte, wurde er im Spiel gottgleich. Seine Kräfte waren denen jedes anderen Spielers weit überlegen. Er fing an, seinen Charakter mit der besten Ausrüstung vollzustopfen und machte sich noch mächtiger.
MANFRED: Dann wollte ich sehen, ob ich einen Dungeon alleine schaffen kann.
JACK: Er konnte mit Leichtigkeit Dungeons schaffen, für die man normalerweise fünf Leute braucht. Dadurch konnte er noch bessere Ausrüstung sammeln und sich weiter verbessern. Er testete seine Fähigkeiten immer weiter aus, um zu sehen, was mit diesem Super-Charakter alles möglich war. Irgendwann wurde der Geschmolzene Kern sein Ziel. Das war ein Raid-Dungeon, für den man vierzig Leute brauchte. Er versuchte, ihn allein zu bewältigen.
MANFRED: Mein Charakter war nicht stark genug, um den Geschmolzenen Kern abzuschließen, also haben wir angefangen, ein paar Freunde zusammenzutrommeln. Ich habe meine Charaktere und die meiner Freunde hochgepusht, und dann sind wir los und haben den Geschmolzenen Kern geschafft, der, glaube ich, ein Vierzig-Personen-Dungeon war. Wir haben es mit ungefähr acht Leuten gemacht. Das hat viel Spaß gemacht. Es war ne Herausforderung. Wir haben diesen Talent-Exploit wahrscheinlich acht bis neun Monate lang genutzt, um Dungeons mit sehr wenigen Leuten abzuschließen.
JACK: Die Spieleentwickler haben Manfred bei diesen Exploits nie entdeckt oder erwischt.
MANFRED: Man hätte denken können, dass sie Metriken für all diese Dungeons haben und dann sehen, wie schnell eine Gruppe von Spielern einen Dungeon beendet oder so, aber das hatten sie offenbar nicht.
JACK: Er kehrte zum Reverse-Engineering des Clients zurück. Er fand heraus, dass auf den Produktionsservern Debug-Pakete aktiviert waren. Nachdem er einige Zeit damit verbracht hatte, die Debug-Pakete zu analysieren, fand er Wege, einige erstaunliche Dinge zu tun.
MANFRED: Sachen wie Nachrichten an den gesamten Server zu senden oder sich direkt zu einem Spieler zu teleportieren.
JACK: Selbst nachdem er diese Exploits einige Monate lang genutzt hatte, wurde er immer noch nicht erwischt oder entdeckt. Also wurde ihm das Spiel irgendwann langweilig und er beschloss zu sehen, wie weit er das treiben konnte, bevor er gesperrt wurde.
MANFRED: Normalerweise endet das Ganze im PvP, also Spieler gegen Spieler. Die Leute beschweren sich, wenn sie da sofort getötet werden. Wir sind also in die PvP-Gebiete gegangen und haben die Leute im Grunde mit einem einzigen Schlag erledigt. Egal ob es sich um einen supergestärkten Level 80 oder Level 50 handelte, was auch immer damals die Level-Obergrenze war. Da fingen die Spieler an, sich zu beschweren. Sie machten Screenshots, riefen GMs, Gamemaster, und dann, relativ schnell, ein oder zwei, vielleicht drei Wochen später, wurden wir alle gesperrt.
JACK: Was mich an dieser Geschichte am meisten überrascht, ist, wie ein Spiel von der Größe von World of Warcraft solche Exploits haben kann. Das Spiel hatte zehn Millionen Spieler, die alle 15 Dollar pro Monat zahlten. Die Spieleentwickler nahmen über 100 Millionen Dollar pro Monat oder 3 Millionen Dollar pro Tag ein. Bei so einem Budget sollte man meinen, sie hätten jeden Exploit ausgemerzt.
MANFRED: Das war echt ein großes Versäumnis seitens der Entwickler. Sie hätten keine Entwickler-Pakete in ihr Produktions-MMORPG auf dem Niveau von World of Warcraft einbauen dürfen.
Shadowbane – der größte MMO-Hack aller Zeiten
JACK: Obwohl Manfred von World of Warcraft gesperrt wurde, war das für ihn kein Problem, denn er konnte einfach zu einem anderen Spiel weiterziehen. Ein paar Jahre zuvor hatte er ein Spiel namens Shadowbane gespielt. Es war ein MMORPG. Man levelt seinen Charakter auf, indem man Monster tötet, neue Gegenstände ausrüstet und auch gegen andere Spieler kämpft, aber nur in bestimmten Gebieten. Manfred war erstaunt, wie fehlerhaft dieses Spiel war. Er kam zu dem Schluss, dass das Spiel wohl jegliche Alpha- und Beta-Tests übersprungen hatte und direkt in die finale Version gegangen war. In all seinen zwanzig Jahren des Hackens von Videospielen kam keines auch nur annähernd an die Fehlerhaftigkeit von Shadowbane heran.
MANFRED: Shadowbane verdient eine eigene Kategorie, man sollte nen Film darüber drehen. Shadowbane war so hoffnungslos unsicher, dass – nein, wenn ich ein Spiel schreiben würde, um den Spieleentwicklern zu zeigen, wie man es nicht machen sollte, dann würde ich ihnen Shadowbane als Beispiel geben.
JACK: Die Geschichte beginnt wie die anderen. Manfred spielte das Spiel, wurde gut darin, langweilte sich dann und begann mit dem Reverse-Engineering des Clients. Er sah, dass, wenn man Erfahrungspunkte erhält, ein Paket an das Spiel gesendet wird, das angibt, wie viele Erfahrungspunkte man gerade verdient hat. Er fing dieses Paket ab, sendete es ein zweites Mal und tatsächlich bekam er Erfahrungspunkte im Spiel, nur weil er dieses Paket erneut gesendet hatte. Er konnte unbegrenzt Erfahrungspunkte erhalten, indem er einfach speziell präparierte Pakete an den Server schickte. Innerhalb weniger Minuten stieg er über 100 Level auf. Er stellte fest, dass es keine serverseitige Überprüfung für irgendein Paket gab, das er sandte, also konnte er so gut wie alles tun, was er wollte. Er konnte die Banktresore anderer Spieler öffnen, ihnen Gegenstände wegnehmen, er konnte jeden beliebigen Ausrüstungsgegenstand in sein Inventar laden; er konnte sogar massive Mengen an Stärke und Lebenspunkten gewinnen.
MANFRED: So ziemlich alles, was ich ausprobiert habe, jeder Exploit, den ich versucht habe, hat funktioniert. Ich konnte es gar nicht glauben.
JACK: Er wollte sehen, ob jemand bereit wäre, Ausrüstung, Gold oder Charaktere von ihm für echtes Geld zu kaufen. Aber es gab einfach nicht genug Nachfrage, weil nicht genug Spieler Shadowbane spielten. Er entschied sich also, dass das Spiel so fehlerhaft war, dass er es nicht mehr spielen wollte.
MANFRED: Wir beschlossen, einen letzten großen Hack durchzuziehen, das Spiel zu deinstallieren und weiterzuziehen. Ich wusste, wenn wir das zu offensichtlich machen würden, würden die Server zurückgesetzt werden, also mussten wir etwas übertreiben. Denn wenn wir hier und da ein paar Spieler getötet hätten und bla, bla, bla, hätten sie sich in den Foren bei den Entwicklern beschwert, und diese hätten es ignoriert. Aber wenn wir einen groß angelegten Angriff durchführen, der die Spielmechanik verändert, bei dem Hunderte von Spielern getötet werden und die Spielregeln völlig verändert werden, dann würde das Spiel zurückgesetzt werden. Eine unserer großen Finalaktionen bestand darin, hochstufige Monster in sichere Zufluchtsstädte zu teleportieren, die in denen neue Spieler beginnen. Nehmen wir an, man erstellt einen neuen Charakter in Shadowbane und wird auf diese kleine Insel geschickt, auf der das Spiel einem beibringt, wie man spielt. Das soll völlig sicher sein.
Aber wir teleportierten Level-200-Monster dahin, um jeden zu töten, der dem Spiel beitrat. Du trittst dem Spiel als neuer Spieler bei, und plötzlich macht dich dieser Level-200-Drache total platt. Auf dieser kleinen Insel für neue Spieler haben wir wahrscheinlich Dutzende und Aberdutzende von ihnen getötet. Neue Spieler kamen hinzu und wurden im Laufe von dreißig Minuten bis zu einer Stunde wiederbelebt. Wir teleportierten eine ganze Stadt voller Leute unter den Ozean. Sie ertranken langsam. Das ging uns nicht schnell genug, also teleportierten wir Monster zu ihnen, damit die Monster die ertrinkenden Spieler töten. Wir töten Neulinge, die ins Spiel kommen, wir töten aktive Spieler, wir teleportieren Spieler ins Meer; es ist das pure Chaos.
Es war ja, es war ziemlich lustig. War alles nur Spaß. Ich war fasziniert. Es war lustig, was da passierte; Spieler, die ins Meer teleportiert wurden, Monster, die in Anfängergebiete teleportiert wurden, wo Spieler eigentlich sicher sein sollten. Echt shocking, dass wir das in einem angeblich fertigen Spiel durchziehen konnten.
JACK: Aber selbst das war nicht genug. Er beschloss, jede sichere Zone im Spiel in eine PvP-Zone zu verwandeln. Das bedeutet, die Spieler konnten andere Spieler überall auf der Welt angreifen. Es gab keinen Ort, an dem man sich verstecken konnte. Manfred hatte seine Exploits genutzt, um seinen Charakter hochzuleveln und ihm die beste Ausrüstung im Spiel zu geben. Nachdem nun die ganze Welt ein PvP-Gebiet war, könnt ihr euch denken, was er als Nächstes tat.
MANFRED: Meine Freunde und ich sind einfach reingegangen und haben mit extrem übermächtigen Charakteren alle niedergemacht. Ah, es war das pure Chaos und Durcheinander. Alles nur zum Spaß.
JACK: Manfreds Chaos betraf jeden auf dem gesamten Server. Überall, wo man hinsah, waren Hunderte von Grabsteinen, und jeder fragte sich: Was um alles in der Welt passiert hier? Einige Leute sagten, die Götter seien verrückt geworden, andere sagten, es gäbe Fehler im Spiel. Nach etwa einer Stunde totalen Chaos gingen die Server offline. Er und seine Freunde wurden aus dem Spiel verbannt und der Server wurde auf einen Speicherpunkt vor Beginn des Chaos zurückgesetzt, und alle Spieler wurden wiederhergestellt.
MANFRED: Anfangs dachten die Leute von Shadowbane, jemand hätte ihre Server gehackt und sich illegalen Zugang verschafft, und sie dachten, ihre Server wären kompromittiert, obwohl wir eigentlich nur die Spielmechanik genutzt haben. Ich habe mich anschließend in den Shadowbane-Foren umgesehen. Einige Spieler meinten, das sollte öfter passieren. Das sei der größte Spaß gewesen, den sie seit dem Kauf des Spiels je hatten. Es gab auch'n paar, die etwas genervt waren, aber einige meinten: „Hey, das ist ziemlich cool. Machen wir das nochmal.“
JACK: Dieser Shadowbane-Hack war so aberwitzig, dass Wired 2003, als es passierte, einen Artikel darüber schrieb. Niemand wusste bis jetzt, wer dahintersteckte. Wired veröffentlichte einen Kommentar der Spieleentwickler, der lautete, Zitat: „Wir arbeiten mit den Strafverfolgungsbehörden zusammen und wir versprechen euch allen, dass diese Personen mit der vollen Härte des Gesetzes verfolgt werden.“ Zitat Ende.
MANFRED: Das war nur heiße Luft. Ich glaub, sie haben gemerkt, dass ihre Server nicht kompromittiert waren und wir nur das Spielprotokoll und die Spiellogik gegen sich selbst verwendet haben, indem wir unbeabsichtigte Funktionen im Protokoll gefunden haben.
JACK: Manfred wurde wegen dieses Vorfalls nie von Spieleentwicklern oder den Strafverfolgungsbehörden kontaktiert. Manfred hat sogar versucht, mit Spieleentwicklern zusammenzuarbeiten, um die von ihm gefundenen Fehler verantwortungsvoll zu melden.
MANFRED: Anfangs hab ich noch versucht, mit den Spieleentwicklern zusammenzuarbeiten. Das ist immer aber nach hinten losgegangen. Zum Beispiel bei Anarchy Online. Ich glaube, das kam 2000 oder 2001 heraus. Ich habe im Spiel einen GM angepingt und gesagt: „Hey, ich möchte mit einem eurer Entwickler über einige Exploits sprechen, die ich gefunden habe.“ Wir waren dann im IRC, außerhalb des Spiels, haben ganz offen gesprochen und gesagt: „Hier, das sind die Exploits, so reproduziert man sie, und so führt man sie durch.“ Sie meinten: „Okay cool, danke.“ Am nächsten Tag wachen wir auf und unsere Konten sind gesperrt. Das ist mir am Anfang zweimal passiert, und wenn es in einem Spiel passiert und dann in einem anderen Spiel, das typischerweise von einem anderen Entwicklerstudio stammt, muss man davon ausgehen, dass die Spielebranche vielleicht nicht mit Leuten zusammenarbeiten will, die Hacks verantwortungsvoll melden.
Ich glaub, ihr Hauptargument ist, dass sie von vornherein nicht wollen, dass Leute ihren Client per Reverse-Engineering analysieren. Vielleicht, so denke ich, ist das ihr Motiv, Leute zu sperren, die sowas finden. Es war irgendwie kontra-intuitiv, denn man will ja eigentlich nicht die Leute sperren, die versuchen, einem zu helfen. Man sollte meinen, sie würden uns Ressourcen oder zusätzliche Mittel geben wollen oder sagen: „Hey, hier sind ein paar kostenlose Accounts und hier sind unsere privaten Testserver, tob dich aus.“ Das Gegenteil war der Fall. Sie meinten nur: „Wir sperren dich, komm nicht wieder.“
JACK: Bereits 2017 hielt Manfred einen Vortrag auf der Defcon. Er wollte zwei ungepatchte Fehler in Elder Scrolls Online und WildStar Online aufdecken. Er entschied sich, den Hack nicht zu demonstrieren.
MANFRED: Nach dem Vortrag kam eine der Firmen, die hinter Elder Scrolls Online stand, auf mich zu. Sie meinten: „Hier ist meine Visitenkarte, lassen Sie uns reden.“ Ich hab mit ihnen gesprochen, ich hab ihnen den Exploit kurz nach der Defcon gezeigt. Während wir noch in Vegas waren, habe ich ihn ihnen persönlich gezeigt. Sie meinten: „Cool, danke.“ Dem anderen, für WildStar Online, habe ich eine E-Mail geschickt, in der ich das Problem und seine Auswirkungen beschrieben habe. Sie meldeten sich zurück und sagten: „Cool, danke.“ Das war's dann auch schon. Bei Elder Scrolls Online habe ich das letzte Mal vor ein paar Monaten nachgesehen, ungefähr sechs Wochen nach der Defcon und der Offenlegung. Es war immer noch nicht behoben. Bei WildStar Online habe ich seitdem nicht mehr nachgesehen.
JACK: Aber das ist nur Kapitel Eins von Manfreds epischer Reise. All diese Exploits, von denen ihr gehört habt, waren nur zum Spaß, aber er fand in anderen Spielen Exploits, die sein Leben für Jahrzehnte verändern sollten. Er fand Wege, seine virtuellen Gegenstände in echtes Geld zu verwandeln. Es ging nicht mehr um Spaß und Spiele. Es wurde zu einem ernsthaften Vollzeitgeschäft.
MANFRED: Sagen wir's mal so: Wenn man die Wahl hat zwischen einem normalen Job als Software-Ingenieur – und ihr könnt euch vorstellen, wie viel ein Software-Ingenieur heutzutage verdient – und dem Hacken von Online-Videospielen, dann habe ich mich für das Hacken von Online-Videospielen entschieden, weil die Bezahlung gut war, aber auch, weil ich mein eigenes Geschäft führte und meine eigenen Arbeitszeiten hatte.
JACK: Seid auch in Teil 2 dieser Geschichte dabei, wenn wir den Spieß umdrehen: Statt Geld ins Spiel zu stecken, holen wir es heraus.
(
Sie haben heise+ bereits abonniert? Hier anmelden.
Oder benötigen Sie mehr Informationen zum heise+ Abo