EMZETT.
Login

Emzett Wiki

CTF und legale Übungsplattformen: Hacken lernen ohne Straftat

Properties1
tagsglossar, it-sicherheit, lernen

2 Min. Lesezeit

CTF und legale Übungsplattformen: Hacken lernen ohne Straftat

Kurz: Capture-the-Flag-Wettbewerbe und Übungsplattformen wie TryHackMe, Hack The Box oder PortSwigger Academy erlauben legales Üben von IT-Sicherheit in eigens dafür gebauten Umgebungen.

Genauer: Wer Sicherheit versteht, schützt besser. Üben darf man aber nur an eigenen oder ausdrücklich freigegebenen Systemen. In Deutschland sind Ausspähen und Abfangen von Daten (§ 202a, 202b StGB) und das Vorbereiten solcher Taten (§ 202c, „Hackerparagraf“) strafbar; die Grenzen sind für Lernende wichtig.

Im Detail

Was ist CTF?

Capture the Flag: Aufgaben (Challenges), bei denen man Flags (Textstrings wie flag{...}) findet. Kategorien: Web (SQLi, XSS, Logikfehler), Crypto (schwache Verschlüsselung), Pwn/Binary Exploitation (Speicherfehler), Reverse Engineering, Forensik (Mitschnitte, Dateien), Misc/OSINT/Steganografie. Formate: Jeopardy (Aufgabenliste mit Punkten) und Attack-Defense (Teams verteidigen und greifen an). Veranstalter: Unis, Firmen, CTFtime.org listet Termine; für Jugendliche z. B. Cyber Security Challenge Germany, Bundeswettbewerb-ähnliche Angebote, picoCTF (Einsteiger).

Plattformen und Labs

  • TryHackMe: geführte „Räume“, ideal für Einsteiger (Browser-Terminal/VPN).
  • Hack The Box (HTB) & HTB Academy: Maschinen, Challenges, Ausbildung.
  • PortSwigger Web Security Academy: kostenlos, hervorragend für Websicherheit (Burp Suite).
  • OverTheWire (Bandit): Linux/Shell-Grundlagen als Spiel.
  • OWASP Juice Shop, DVWA, WebGoat: verwundbare Web-Apps lokal (Docker) betreiben.
  • VulnHub, Metasploitable, Damn Vulnerable-Projekte; eigene VM-Labore (VirtualBox, isoliertes Netz).
  • picoCTF, CyberDefenders (Blue Team), Blue Team Labs. Spickzettel, Write-ups lesen (nach eigenem Versuch!), Notizen führen.

Rechtliche Leitplanken

  • Nur eigene Systeme/Labore oder schriftliche Erlaubnis (Scope!) testen.
  • Bug-Bounty-Programme (HackerOne, Bugcrowd, YesWeHack, Intigriti) und Responsible Disclosure legalisieren Tests innerhalb klarer Regeln (Scope, keine Datenzerstörung/DoS, keine Social Engineering ohne Erlaubnis).
  • Fremde Netze/WLAN scannen oder angreifen, auch „nur zum Spaß“, ist strafbar; Port-Scans können als Vorbereitung gewertet werden.
  • § 202c zielt auf Programme/Passwörter zur Begehung von Straftaten; Dual-Use-Tools (nmap, Metasploit) sind zum Lernen/Testen eigener Systeme üblich; Absicht und Kontext zählen.
  • Datenschutz: keine echten Daten Dritter verwenden.
  • Minderjährige: Eltern informieren, Plattform-Regeln.
  • Keine Rechtsberatung: bei Unsicherheit Fachanwalt/CERT.

Lernweg und Karriere

  1. Grundlagen: Netzwerk (TCP/IP, DNS, HTTP), Linux/Shell, Windows, Programmieren (Python/Bash).
  2. Kryptografie-Basics, OWASP Top 10.
  3. Übungsplattformen (TryHackMe → PortSwigger → HTB).
  4. Tools: Wireshark, nmap, Burp Suite, Ghidra, CyberChef.
  5. Blue Team: Logs, SIEM, Incident Response, Härtung.
  6. Zertifikate (nach Bedarf): Security+, eJPT, OSCP, GIAC; IHK: Fachinformatiker für Systemintegration/Anwendungsentwicklung mit Schwerpunkt IT-Sicherheit, IT-Sicherheitsbeauftragter.
  7. Community: Hackerspaces, CCC-Erfa-Kreise, Meetups.
  8. Ethik: Hackerethik – Wissen teilen, Systeme schützen, Verantwortung.

Siehe auch: Pentesting, Responsible Disclosure, OWASP Top 10, Blackhat-Hacker

Backlinks