Offensive Security lernt man nicht durch Lesen allein, sondern durch kontrolliertes Üben in einer eigenen oder bereitgestellten Umgebung. Dieser Leitfaden ist als Kompetenz-Roadmap aufgebaut: nicht "welche Tools und Zertifikate", sondern welche Fähigkeiten in welcher Reihenfolge. Der Weg führt von IT- und Netzwerkgrundlagen über Web, Privilege Escalation, interne Pentests und Active Directory bis zu Reporting, Adversary Emulation und Red Teaming. Ein eigenes, sauber isoliertes Home-Lab ist dabei der wichtigste Übungsraum. Angaben zu Plattformen und Zertifizierungen sind zeitabhängig und sollten vor einer Entscheidung an der offiziellen Quelle geprüft werden.
Wie man offensive Security wirklich lernt
Offensive Security ist ein praktisches Handwerk. Man versteht einen Angriff erst, wenn man ihn selbst nachvollzogen hat - in einer Umgebung, in der das erlaubt und gefahrlos ist. Theorie gibt die Landkarte, aber die Fertigkeit entsteht an der Tastatur.
Der zweite Grundsatz: Kompetenzen schlagen Werkzeuge. Wer Tools auswendig lernt, ohne die darunterliegenden Prinzipien zu verstehen, sammelt Rezepte. Wer die Kompetenz versteht, kann jedes Werkzeug einordnen. Diese Roadmap ist deshalb nach Fähigkeiten gegliedert, nicht nach Produkten.
Die Grundlagen zuerst
Bevor Angriffstechniken Sinn ergeben, braucht es ein Fundament. Diese Bereiche tragen praktisch jede weitere Spezialisierung:
| Bereich | Worauf es ankommt |
|---|---|
| Netzwerke | TCP/IP, DNS, HTTP und HTTPS, grundlegende Netzwerkarchitektur mit Routing, Segmentierung und Firewalls |
| Linux | Kommandozeile, Rechte, Prozesse, Dateisystem, Dienste |
| Windows | Prozesse, Rechte, Dienste, Ereignisprotokolle |
| Active Directory | Struktur, Kerberos, Gruppen und Berechtigungen, Vertrauensstellungen |
| Identity und Authentication | Authentifizierung gegen Autorisierung, Tokens, Tickets, SSO, MFA |
| Web-Technologien | HTTP, Sessions, Cookies, APIs, Browser-Sicherheitsmodell (Same-Origin, CORS) |
| Scripting | Python plus PowerShell oder Bash, um Werkzeuge zu verstehen und zu verketten |
| Git und Quellcode | Versionskontrolle und der grundlegende Umgang mit fremdem Code |
| Kryptografie (praxisnah) | Hashing, symmetrische und asymmetrische Verfahren, TLS, typische Fehler |
| Cloud-Grundlagen | Identitäten, Rollen und typische Fehlkonfigurationen |
| Reporting und Evidenz | Sauber dokumentieren und Nachweise reproduzierbar sichern |
Diese Liste wirkt lang, aber vieles davon lernt man parallel und im Kontext. Entscheidend ist, die Prinzipien zu verstehen, nicht jedes Detail auswendig zu können.
Eine Kompetenz-Roadmap
Die folgende Reihenfolge baut aufeinander auf. Sie ist kein Dogma, aber ein roter Faden vom Fundament bis zur Spezialisierung.
Zu den Stufen passen die Fachbereiche dieses Portals: Penetration Testing für Methodik und Reporting, Adversary Emulation für das threat-informed Testen und Red Teaming für das zielgerichtete Vorgehen. Die konkreten Techniken liegen in der Payload-Sammlung.
Das eigene Home-Lab
Ein Home-Lab ist der sicherste Ort zum Üben, weil alles dir gehört und nichts fremde Systeme berührt. Worauf es beim Aufbau ankommt:
- Virtualisierung: eine Basis wie VirtualBox, VMware oder Proxmox, um mehrere Systeme parallel zu betreiben.
- Isolierte Netzwerke: das Lab in ein eigenes, abgeschottetes Netz legen (Host-only oder internes Netz), getrennt vom Heim- und Produktivnetz.
- Snapshots: Zustände sichern und nach einem Test schnell zurücksetzen.
- Absichtlich verwundbare Systeme: gezielt unsicher konfigurierte VMs zum Üben.
- Kleines AD-Lab: eine einfache Windows-Domäne für fortgeschrittene Übungen.
Für ein realistisches AD-Lab hat sich das Projekt GOAD (Game of Active Directory) etabliert: eine absichtlich verwundbare Domänenumgebung, in der sich typische AD-Angriffspfade gefahrlos nachstellen lassen. Die passenden Techniken stehen in den Taktik-Hubs der Payload-Sammlung.
Absichtlich verwundbare Systeme dürfen nie mit produktiven oder fremden Netzen verbunden werden. Ein unsicher konfiguriertes Lab am Internet oder im Firmennetz ist ein echtes Einfallstor. Isoliertes Netz, kein Bridging, kein direkter Internetzugang für die verwundbaren Systeme.
Verwundbare Übungsumgebungen
Neben dem eigenen Lab gibt es fertige Plattformen, die Lernende in jeder Stufe abholen. Angebot und Inhalte ändern sich laufend, die folgende Auswahl beschreibt den Stand 2026.
| Plattform | Eignung |
|---|---|
| PortSwigger Web Security Academy | Kostenlos, exzellent für Web-Schwachstellen, mit Theorie und Labs. |
| DVWA / OWASP Juice Shop | Lokale, bewusst verwundbare Webanwendungen zum Üben der Grundlagen. |
| TryHackMe | Geführte Lernpfade, einsteigerfreundlich, viel Kontext. |
| Hack The Box | Von leicht bis sehr schwer, realistische Maschinen und ein Academy-Bereich. |
| VulnHub | Herunterladbare verwundbare VMs für das eigene Lab. |
Ein bewährter Weg: mit geführten Inhalten starten und mit zunehmender Sicherheit zu offeneren Herausforderungen wechseln.
Zertifizierungen einordnen
Zertifikate ersetzen keine Praxis, aber sie strukturieren das Lernen und sind am Arbeitsmarkt ein Signal. Welche passt, hängt vom Ziel ab, nicht von einem vermeintlichen "Standard". Die folgende Einordnung ist zeitabhängig (Stand 2026); Inhalte, Preise und Prüfungsformate ändern sich, daher vor einer Entscheidung die offizielle Quelle prüfen.
| Zertifizierung | Schwerpunkt | Praktisch | AD | Reporting | Niveau | Zielgruppe |
|---|---|---|---|---|---|---|
| eJPT | Pentest-Grundlagen | ja | gering | gering | Einstieg | Einsteiger |
| PNPT | Pentest inkl. AD, mit Bericht | ja | mittel | hoch | Einstieg bis Mittel | angehende Pentester |
| OSCP | Breiter praktischer Pentest | ja | enthalten | ja (Bericht) | Mittel | Pentester |
| CPTS | Umfassender Pentest-Pfad | ja | hoch | ja (Bericht) | Mittel | Pentester |
| CRTO | Red Team Operations | ja | hoch | gering | Mittel bis Fortgeschritten | Red Teamer |
| OSEP | Fortgeschrittene Angriffe | ja | hoch | ja (Bericht) | Fortgeschritten | erfahrene Pentester |
Statt einem einzelnen Kürzel nachzujagen, lohnt der Blick auf die Kriterien: praktische Prüfung statt Multiple Choice, passender AD-Anteil und die Frage, ob ein echter Bericht verlangt wird. Gerade der Reporting-Anteil wird oft unterschätzt, ist aber im Berufsalltag zentral.
Wann bin ich bereit für Red Teaming?
Red Teaming ist kein Einstiegsthema. Es setzt voraus, dass die Grundlagen sitzen und man kontrolliert statt nur technisch kreativ arbeiten kann. Eine ehrliche Checkliste:
- Sichere Grundlagen in Netzwerk, Linux, Windows und Identity.
- Pentest-Methodik beherrschen, nicht nur einzelne Tricks.
- Windows- und AD-Verständnis auf Angriffspfad-Ebene.
- Reporting sauber beherrschen, inklusive Evidenz.
- OPSEC-Verständnis: die eigenen Spuren einschätzen können.
- Rules of Engagement verstehen und einhalten.
- Kenntnis von Detection und Telemetry: wissen, was die Verteidigung sieht (siehe blue-team.net).
- Kontrolliertes Arbeiten: im Scope bleiben, dokumentieren, nicht einfach "weiterhacken".
Wer hier überall ehrlich nicken kann, ist bereit. Vorher bringen Pentests, Lab-Übungen und Reporting-Praxis mehr.
CTFs als Trainingsform
Capture-the-Flag-Wettbewerbe (CTFs) sind eine der besten Trainingsformen für Technik: Man löst abgegrenzte Aufgaben, lernt unter Zeitdruck und sieht im Nachgang bessere Lösungswege. Sie finden in einem klar abgesteckten, legalen Rahmen statt.
Was CTFs nicht lehren
So wertvoll CTFs für die Technik sind, einige der wichtigsten Aspekte echter Arbeit bilden sie bauartbedingt nicht ab:
- Scope und Rules of Engagement: In CTFs ist der erlaubte Handlungsrahmen typischerweise klar definiert und oft wesentlich weiter als in realen Kunden- oder Produktionsumgebungen. Auch CTFs haben jedoch Regeln und einen definierten Scope.
- Produktionsrisiko: keine Rücksicht auf laufende Systeme nötig.
- Stakeholder-Kommunikation: kein Kunde, kein Management, keine Abstimmung.
- Reporting: die Flag zählt, nicht der verständliche Bericht.
- OPSEC: Verdecktheit spielt meist keine Rolle.
- Saubere Beweissicherung: reproduzierbare Evidenz wird nicht verlangt.
- Reale Business-Ziele: die Aufgabe ist das Ziel, nicht ein Geschäftsrisiko.
- Langfristige Angriffsketten: Klassische CTFs bilden langfristige, verdeckte Operationen über Tage oder Wochen in der Regel nicht realistisch ab.
CTFs sind also ein hervorragendes Techniktraining, aber kein Ersatz für das Verständnis realistischer Abläufe, wie sie Pentest und Red Teaming erfordern.
Nur im freigegebenen Rahmen üben
Geübt wird ausschließlich im eigenen Home-Lab, auf dafür vorgesehenen Plattformen oder in ausdrücklich autorisierten Umgebungen. Angriffe auf fremde Systeme ohne Erlaubnis können abhängig vom Einzelfall strafrechtlich relevant sein. Dieser Beitrag dient dem Lernen in legalen Umgebungen und ist keine Rechtsberatung.
Häufige Fragen
Welche Vorkenntnisse brauche ich?
Ein solides Verständnis von Netzwerken und Betriebssystemen ist die wichtigste Basis. Programmier-Grundlagen helfen sehr, sind aber kein zwingender Startpunkt.
Brauche ich teure Hardware für ein Home-Lab?
Nein. Ein durchschnittlicher Rechner mit ausreichend RAM genügt für einige virtuelle Maschinen. Viele Übungsplattformen laufen ohnehin in der Cloud.
Welches Zertifikat lohnt sich zuerst?
Das hängt vom Ziel ab. Für den Einstieg sind praktische, einsteigerfreundliche Prüfungen sinnvoll; danach entscheidet der gewünschte Schwerpunkt (klassischer Pentest, AD, Red Teaming). Wichtiger als der Name ist der praktische, prüfungsbasierte Charakter. Da sich Angebote ändern, lohnt der Blick auf die aktuelle, offizielle Beschreibung.
Wie wichtig sind CTFs?
Sehr nützlich für Technik und Motivation, aber kein Ersatz für Scope-Denken, Reporting und die realistischen Abläufe, die Pentest und Red Teaming erfordern.