Für wen
- Pentester am Anfang und in der Mitte ihrer Laufbahn, die eine Methode auf Auftragsniveau suchen statt einer Liste von Payloads.
- Bug-Bounty-Jäger, die verstehen wollen, warum eine Schwachstelle existiert, und sie mit ihrer Auswirkung melden wollen.
- Entwickler und Application Security Engineers, die die Anwendungen ihres eigenen Unternehmens testen.
Was Sie danach können
- Den Umfang eines Web- oder API-Tests mit schriftlicher Erlaubnis, Einsatzregeln und Testplan festlegen.
- Die Angriffsfläche sowohl aus der laufenden Anwendung als auch aus ihrem Quellcode kartieren.
- Fehler in Authentifizierung, Zugriffskontrolle und Mandantentrennung mit einer wiederholbaren Methode finden und bestätigen.
- Server- und browserseitige Schwachstellen im Labor ausnutzen und für Live-Systeme sichere Nachweise wählen.
- Geschäftslogik und Race Conditions testen, die automatische Scanner nicht modellieren können.
- Einen Bericht mit Auswirkung, Nachweis und Empfehlungen schreiben und die Korrektur an einem gepatchten Build prüfen.
Voraussetzungen
- Sie verstehen HTTP, Cookies, Header und die Funktionsweise von Webanwendungen und APIs.
- Sie haben Burp Suite oder Caido genutzt und einige Web-Security-Labore gelöst, etwa in der PortSwigger Web Security Academy.
- Sie lesen etwas Code, arbeiten mit Linux und Docker und können auf Englisch lernen. Wir beginnen mit einer kurzen Einstufung.
Lehrplan
Acht Module in der Reihenfolge eines echten Auftrags, an Ihren Stand angepasst.
Grundlagen des AuftragsKlären Sie, was und wie Sie testen dürfen, bevor Sie eine Anfrage senden.
- Schriftliche Erlaubnis und Einsatzregeln
- Umfang: Anwendungen, APIs, Umgebungen, Konten und Rollen
- Ein Testplan nach OWASP WSTG und ASVS
- Sicherer Umgang mit Nachweisen und personenbezogenen Daten
Aufklärung und AngriffsflächeFinden Sie jeden Zugang, von außen und im Code.
- Crawling im Vergleich zu den Routen im Quellcode
- OpenAPI-Spezifikationen, GraphQL-Schemata und JavaScript-Bundles
- Eine Matrix aus Rollen und Endpunkten
- Entscheiden, was zuerst getestet wird
Authentifizierung und Sitzungen testenTesten Sie, wie die Anwendung entscheidet, wer Sie sind.
- Anmeldung, MFA, Passwort-Reset und Sitzungsverwaltung
- Schwachstellen in JWT, OAuth und OpenID Connect
- Ketten zur Kontoübernahme
- Die Ursache im Code bestätigen
Zugriffskontrolle und MandantentrennungBelegen Sie, ob ein Nutzer Daten oder Funktionen eines anderen erreichen kann.
- Die Zwei-Konten-Methode für BOLA, IDOR und BFLA
- Rechteausweitung und Ausbruch aus dem Mandanten
- Halbautomatische Autorisierungsprüfungen
- Die fehlende Prüfung im Quellcode finden
Serverseitige Injection und Request ForgeryNutzen Sie den Server aus und wissen Sie, wie weit Sie auf einem Live-System gehen dürfen.
- SQL-, Befehls- und Template-Injection
- SSRF, Path Traversal, XXE und unsichere Deserialisierung
- Datei-Uploads und Missbrauch von Parsern
- Sichere Nachweise in Produktion im Vergleich zur vollen Ausnutzung im Labor
Browserseitige SchwachstellenTesten Sie, was die Anwendung einem Angreifer im Browser des Opfers erlaubt.
- XSS je nach Kontext und was CSP verhindert und was nicht
- CSRF, CORS und Clickjacking
- postMessage und clientseitiges Routing
- Auswirkungen verantwortungsvoll zeigen
Geschäftslogik, Race Conditions und API-MissbrauchBrechen Sie die Regeln des Produkts, nicht nur seinen Parser.
- Missbrauch von Abläufen und Zuständen
- Race Conditions bei Limits, Guthaben und Gutscheinen
- Mass Assignment, Rate Limits und Webhooks
- Die OWASP API Security Top 10 in der Praxis
Auswirkung, Bericht und NachtestMachen Sie aus Befunden Entscheidungen und bestätigen Sie die Korrekturen.
- Befunde verketten und die tatsächliche Auswirkung benennen
- Schwere nach CVSS v4.0 mit geschäftlichem Kontext
- Reproduzierbare Nachweise und eine Zusammenfassung für das Management
- Nachtest der Korrekturen an einem gepatchten Build
Praxis
Labore je Modul
Labore mit Anwendungen, die ich für den Kurs vorbereitet habe, mit verfügbarem Quellcode, damit Sie jeden Befund an seiner Ursache bestätigen können.
Zwei-Konten-Übungen
Wiederholbare Übungen zu Zugriffskontrolle und Mandantentrennung, dem Bereich, in dem echte Anwendungen am häufigsten versagen.
Berichtspraxis
Kurze Schreibübungen, die rohe Befunde in Berichtseinträge verwandeln, mit denen Entwickler und Management gleichermaßen arbeiten können.
Abschlussprüfung
Ein vollständiger Auftrag, vom Umfang bis zum Nachtest
Ein zeitlich begrenzter Test einer für den Kurs gebauten SaaS-Anwendung mit mehreren Rollen und Zugriff auf den Code. Sie schreiben Umfang und Testplan, testen, berichten und prüfen danach einen gepatchten Build. Den Bericht besprechen wir gemeinsam.
Bewertungskriterien
- Umfang und Testplan passen zu den Einsatzregeln
- Abdeckung von Authentifizierung, Zugriffskontrolle und Geschäftslogik
- Bestätigte, reproduzierbare Befunde mit begründeter Schwere
- Sichere, verhältnismäßige Nachweise
- Ein Bericht, mit dem Entwickler und Management arbeiten können
- Ein genauer Nachtest der Korrekturen
Was diesen Kurs unterscheidet
Eine Person, ein Trainer
Sie testen gemeinsam mit mir, und jede Sitzung beginnt mit dem, was Sie seit der letzten gefunden haben.
Black-Box und White-Box zusammen
Sie testen die laufende Anwendung und bestätigen jeden Befund im Quellcode. So unterscheiden Sie eine echte Schwachstelle von einem Zufall.
Ein ganzer Auftrag
Umfang, Bericht und Nachtest werden neben der Ausnutzung gelehrt und bewertet, mit aktuellen CVEs, die ich analysiert habe, als Fallbeispielen.
Werkzeuge
Standards und Quellen
- OWASP Web Security Testing Guide (WSTG)
- OWASP API Security Top 10
- OWASP Application Security Verification Standard (ASVS)
- NIST SP 800-115, Technical Guide to Information Security Testing
- FIRST CVSS v4.0
Fallstudien zum Lesen
- CVE-2026-104935: Ivanti vertraut dem Header, nicht der URL
- CVE-2026-85097: Bricksforge vertraut Ihrem Dateinamen
- Security Code-Review oder Pentest: Was braucht Ihr Produkt?
Fragen zu diesem Kurs
Ist das ein Ethical-Hacking-Kurs für Einsteiger?
Nein. Der Kurs setzt Grundlagen der Web-Sicherheit voraus. Wenn Sie bei null anfangen, sind kostenlose Angebote wie die PortSwigger Web Security Academy der richtige erste Schritt, und die erste Einstufung zeigt, ob Sie für diesen Kurs bereit sind.
Wie lange dauert es?
Das hängt von Ihrem Ausgangsniveau und Ihrer Zeit zwischen den Sitzungen ab. Den Plan vereinbaren wir nach der ersten Einstufung und passen ihn mit Ihrem Fortschritt an.
Brauche ich Burp Suite Professional?
Nein. Die Labore funktionieren mit Burp Suite Community oder Caido. Wo eine Professional-Funktion Zeit spart, zeige ich eine kostenlose Alternative.
Geht es auch um Netzwerke oder Active Directory?
Nein. Der Kurs konzentriert sich auf Webanwendungen und APIs, den Bereich, in dem ich selbst teste.
Wann kann ich anfangen?
Schreiben Sie kurz zu Ihrem Stand und Ihren Zielen. Ich antworte innerhalb von drei Tagen, um ein kostenloses 20-minütiges Einstufungsgespräch zu vereinbaren; danach legen wir Ihren Plan und den Starttermin fest.
Was kostet es?
Ein Kurs kostet $1,490 für rund 10 Einzelsitzungen à 90 Minuten, mit Laboren, Prüfung der Übungen, Abschlussprüfung und Teilnahmebescheinigung. Beide Kurse zusammen kosten $2,690, eine einzelne 90-minütige Sitzung $150.
Wie läuft das Einzeltraining ab?
Wir treffen uns online zu Live-Sitzungen. Zwischen den Sitzungen bearbeiten Sie Labore und Übungen, die ich für Ihren Stand auswähle, und in der nächsten Sitzung besprechen wir Ihre Ergebnisse. Das Tempo richtet sich nach Ihrem Fortschritt, nicht nach einem festen Zeitplan.
In welcher Sprache finden die Sitzungen statt?
Auf Englisch für internationale Teilnehmende. Arabische Muttersprachler können Arabisch oder Englisch wählen. Englische Fachbegriffe aus Werkzeugen, Berichten und Stellenanzeigen bleiben erhalten.
Gibt es Präsenztermine?
Nein. Alle Sitzungen, Labore, Übungen und Rückmeldungen finden online statt.
Erhalte ich ein Zertifikat?
Nach bestandener Abschlussprüfung erhalten Sie eine Teilnahmebescheinigung. Sie wird von mir ausgestellt und ist keine Branchenzertifizierung wie OSWE. Was ein Arbeitgeber prüfen kann, ist die Arbeit selbst: Ihr Abschlussbericht.
Sind die praktischen Übungen legal?
Ja. Alle Übungen nutzen Anwendungen, die ich für den Kurs vorbereitet habe, und Open-Source-Projekte in Versionen mit veröffentlichten Sicherheitshinweisen, alles auf Ihrem eigenen Rechner. Sie testen nie ein System, das Ihnen nicht gehört oder für das Sie keine schriftliche Erlaubnis haben.
Was, wenn ich mehr Zeit brauche?
Brauchen Sie mehr Sitzungen als geplant, kostet jede zusätzliche Sitzung $150; wir vereinbaren sie vorher.
Wie es weitergeht
Vertiefen Sie die Code-Seite im Secure-Code-Review-Kurs.