Lerne Hacken – aber für die gute Seite: Unterwegs auf den Demokratietagen in Wismar und Halle

 

Ende August waren wir mit Mint Secure an zwei Tagen und in zwei Bundesländern unterwegs: am 26. August im Theater der Hansestadt Wismar und am 27. August im Salinenmuseum in Halle (Saale). Anlass waren die Demokratietage unter dem Motto „Meine Stimme zählt! Demokratie erleben, gestalten und feiern!“ – ein Format, das von Schüler:innen für Schüler:innen gedacht ist und gemeinsam vom Lehrstuhl für Sozialethik der Universität Bonn, der Bundesschüler*innenkonferenz und der Bildungsinitiative GermanDream organisiert wurde.

Der Zeitpunkt war kein Zufall. In Mecklenburg-Vorpommern wird am 20. September 2026 ein neuer Landtag gewählt, in Sachsen-Anhalt war es am 6. September bereits so weit. Viele der Jugendlichen, die an diesen beiden Tagen im Publikum saßen, dürfen zum ersten Mal wählen – oder stehen kurz davor. Genau in dieses Zeitfenster hinein ein Format zu setzen, das Demokratie nicht erklärt, sondern erfahrbar macht, fanden wir schon vor der Zusage überzeugend. Nach den beiden Tagen erst recht.

Unser Workshop: Was Hacken eigentlich heißt

Felix und Tim aus unserem Team haben an beiden Standorten den Workshop „Lerne Hacken! Aber für die gute Seite“ gehalten – jeweils für eine Gruppe aus den Jahrgangsstufen 10 und 11, rund 90 Minuten lang, mit deutlich mehr Live-Demo als Folienvortrag.

Angefangen haben wir mit einer Frage, auf die es überraschend viele Antworten gibt: Was ist Hacking eigentlich? Das Bild, das die meisten mitbringen, kommt aus Filmen und Nachrichten – Kapuzenpulli, dunkler Raum, Kriminalität. Dabei ist der Kern des Begriffs ein ganz anderer. Ein „Hack“ ist zunächst ein technischer Kniff. Hacking ist der kreative, schöpferische Umgang mit Technik: eine Funktionserweiterung, eine Problemlösung, oder schlicht ein Ziel, das auf ungewöhnlichem Weg erreicht wird. Dass es neben schadhaften Motiven eben auch ethisches Hacking gibt – und dass das ein eigener Beruf ist – war für einen Teil der Gruppen neu.

Bevor es technisch wurde, haben wir über die Hackerethik gesprochen, wie sie beispielsweise der Chaos Computer Club formuliert hat. Ein paar der Punkte haben dabei die Schüler:innen besonders interessiert:

• Der Zugang zu Computern und allem, was einem zeigen kann, wie diese Welt funktioniert, sollte unbegrenzt und vollständig sein.
• Öffentliche Daten nützen, private Daten schützen.
• Misstraue Autoritäten – fördere Dezentralisierung.
• Beurteile einen Hacker nach dem, was er tut, und nicht nach Aussehen, Alter, Herkunft, Geschlecht oder gesellschaftlicher Stellung.
• Mülle nicht in den Daten anderer Leute.

Und wir haben deutlich gemacht, was rechtlich gilt: Alles, was wir zeigen, ist für Lern- und Lehrzwecke gegen eigene Systeme gedacht. Unbefugte Nutzung kann eine Straftat sein (wie wir selbst schon öfter gemerkt haben). Aus großer Macht folgt große Verantwortung – abgedroschen, aber in diesem Kontext einfach richtig.

Von der Theorie ins Hack-Lab

Danach ging es an die Technik. Zuerst der Aufbau einer Webanwendung – Client, Frontend, Backend, Datenbank – als gemeinsames Modell, auf das wir später immer wieder zurückkommen konnten. Dann die Frage: Wie greift man eine Website eigentlich an? Informationen sammeln, Angriff starten. Als Spielwiese diente unser eigener, absichtlich verwundbarer Webshop im Hack-Lab, den die Gruppen zunächst selbst erkunden durften. Die Ideen, die dabei aus dem Publikum kamen, waren an beiden Tagen erstaunlich gut.

Inhaltlich haben wir uns dann durch die Klassiker gearbeitet:

• Account Hacking
  Username Enumeration – also das Herausfinden gültiger Benutzernamen, weil eine Anwendung zu gesprächig antwortet. Und Bruteforcing beziehungsweise Wörterbuchangriffe auf Passwörter, live vorgeführt mit Hydra. Die anschließende Übersicht dazu, wie lange das Durchprobieren eines Passworts je nach Länge und Zeichenvorrat dauert, vermittelt in einer Minute mehr über gute Passwörter als jedes Merkblatt – und macht die Diskussion über Passwortmanager zu etwas anderem als einer Belehrung.
• IDOR (Insecure Direct Object Reference)
  Der „Angriff“ besteht darin, eine Zahl in der URL hochzuzählen – und dass man dann plötzlich die Bestellung einer fremden Person sieht. Kein Spezialwissen, kein Werkzeug, nur genaues Hinschauen. Hier kam „Mülle nicht in den Daten anderer Leute“ dann zum Einsatz.
• Cross-Site-Scripting (XSS) Erst harmlos: eigenes HTML in eine Seite einbetten, dann ein Bild. Danach der Schritt weiter – was Cookies sind, wozu Sessions dienen, und was passiert, wenn jemand einen Session-Cookie stiehlt. Die Live-Demo, in der wir eine Payload in einen Artikel injizieren und anschließend einen fremden Account übernehmen, ist erfahrungsgemäß der Moment, an dem aus einem abstrakten Sicherheitsthema etwas sehr Greifbares wird.

Zum Schluss ein Ausblick auf das, was wir in 90 Minuten nicht mehr schaffen konnten: SQL-Injection, SSRF, Broken Access Control, CSRF, Clickjacking, Path Traversal – plus Hinweise, wo man selbst legal weiterüben kann. Ein paar Jugendliche sind danach noch geblieben und wollten wissen, wie man in diesem Feld eigentlich beruflich landet. Solche Gespräche sind für uns der eigentliche Ertrag eines Workshops und wir sind dankbar unser Wissen in diesem Rahmen weiterzugeben.

Warum Demokratie und IT-Sicherheit zusammengehören

 

 

 

 

 

Ein Tag mit vielen Stimmen

So sehr wir an unserem eigenen Format hängen: Das Beste an beiden Tagen war auch das Drumherum. Der Auftakt bestand jeweils aus einem Plenum mit drei Kurzvorträgen. Bemerkenswert daran war das Format: keine Referate über Demokratie, sondern persönliche Geschichten. Wie kommt man überhaupt dazu, sich zu engagieren? Wann hat man zum ersten Mal gemerkt, dass die eigene Stimme etwas bewegt – und was macht man mit dem Gefühl, dass sie es gerade nicht tut? Erzählt wurde aus Schülervertretungsarbeit, aus Bildungsinitiativen und aus dem Klimaaktivismus, ehrlich und für ein Publikum aus 15- und 16-Jährigen genau richtig getaktet. Der Effekt war spürbar: Demokratie wurde nicht als Institution vorgestellt, sondern als etwas, das Menschen tun.

Auch das Workshop-Programm war bemerkenswert breit, und es fiel auf, wie unterschiedlich die Zugänge zum selben Thema sein können. Ein Teil der Formate arbeitete künstlerisch: Rap und Graffiti als Möglichkeit, eine Haltung in eine eigene Form zu bringen, oder Bewegung und Körperarbeit als Einstieg in die Frage, wann man sich traut, sichtbar zu werden. Ein anderer Teil arbeitete diskursiv: ein Wertedialog, in dem Jugendliche ihre eigenen Grundüberzeugungen sortieren und gegeneinander abwägen; ein Workshop zur Frage, was die eigene Identität eigentlich prägt; ein Format zum Umgang mit Fake News, das Prüfen und Einordnen von Quellen praktisch übt. Wieder andere setzten auf Spiel und Perspektivwechsel – Brettspiele als Modell für Aushandlungsprozesse, oder ein Format, das Jugendliche „Screenshots aus der Zukunft“ entwerfen ließ und damit die Frage stellte, in welcher Gesellschaft sie eigentlich leben wollen. Dazu kam ein Workshop zum Handeln selbst: Wie werde ich aus einer Meinung heraus konkret aktiv? Und für die begleitenden Lehrkräfte gab es ein eigenes Format zur Demokratiebildung im Unterricht.

Die inhaltliche Gemeinsamkeit aller Workshops fanden wir überzeugend: Es ging nirgends darum, den Jugendlichen die richtige Meinung beizubringen, sondern darum, ihnen Werkzeuge in die Hand zu geben – künstlerische, rhetorische, technische -, mit denen sie ihre eigene Position finden und äußern können. Unser Hacking-Workshop passte da besser hinein, als wir vorher gedacht hätten.

Nachmittags folgte die Debattenbox: Schüler:innen diskutierten paarweise bewusst polarisierende Fragen, jeweils mit knapper Zeit und wechselnden Gegenübern. Das Format zielt nicht auf Rechthaben, sondern darauf, eine Position begründen zu können und trotz Widerspruch im Gespräch zu bleiben – eine Fähigkeit, die man schlecht theoretisch vermittelt und die hier einfach geübt wurde. Zum Abschluss ein gemeinsames Konzert. Der dramaturgische Bogen der Veranstalter – hören, reflektieren, erleben, feiern – ist an beiden Tagen tatsächlich aufgegangen.

Ein Tag mit vielen Stimmen

Was uns am meisten geblieben ist, ist die Atmosphäre. Offen, respektvoll, neugierig, ohne die Schwere, die solche Themen oft mitbringen. Die Jugendlichen sind mit echten Fragen gekommen, das Orga-Team hat beide Tage sehr gut vorbereitet und trotzdem locker über die Bühne gebracht, und unter den Referent:innen war der Ton kollegial und zugewandt. In den Pausen und beim Mittagessen sind Gespräche entstanden, die wir gerne fortsetzen – mit Menschen aus der politischen Bildung, aus der Wissenschaft und aus der Kulturarbeit, die zu ganz anderen Themen arbeiten als wir, aber dieselbe Frage im Kopf haben: Wie erreicht man junge Menschen wirklich?

Wir vernetzen uns gern. Wenn ihr an einer Schule, in einer Initiative oder in einem Bildungsformat arbeitet und einen Hacking-Workshop, einen Vortrag oder eine Live-Hacking-Session anbieten möchten – sprechen Sie uns an. Und wenn Sie über eines der anderen Formate der Demokratietage gestolpert sind: Die Kolleg:innen dort machen hervorragende Arbeit, die viel mehr Bühne verdient.

Ein großer Dank geht an das Team des Demokratietags, an die Universität Bonn, die Bundesschüler*innenkonferenz und GermanDream für die Einladung und die Organisation – und an die Schüler:innen in Wismar und Halle, die uns mit ihren Fragen ordentlich gefordert haben. Wir kommen gerne wieder.

Wie Mint Secure einen Beitrag leistet

Nicht glauben, was das System behauptet, sondern selbst nachprüfen. Diese Haltung schützt Computer und Demokratie gleichermaßen.

Mint Secure GmbH