Lerne Hacken – aber für die gute Seite: Unterwegs auf den Demokratietagen in Wismar und Halle

Lerne Hacken – aber für die gute Seite: Unterwegs auf den Demokratietagen in Wismar und Halle

 

Kategorie

Security Kultur

Thema

Hacking & Demokratie

Zielgruppe

Öffentlichkeit & Schulen

Lesezeit

ca. 7 Minuten

Ende August waren wir mit Mint Secure an zwei Tagen und in zwei Bundesländern unterwegs: am 26. August im Theater der Hansestadt Wismar und am 27. August im Salinenmuseum in Halle (Saale). Anlass waren die Demokratietage unter dem Motto „Meine Stimme zählt! Demokratie erleben, gestalten und feiern!“ – ein Format, das von Schüler:innen für Schüler:innen gedacht ist und gemeinsam vom Lehrstuhl für Sozialethik der Universität Bonn, der Bundesschüler*innenkonferenz und der Bildungsinitiative GermanDream organisiert wurde.

Der Zeitpunkt war kein Zufall. In Mecklenburg-Vorpommern wird am 20. September 2026 ein neuer Landtag gewählt, in Sachsen-Anhalt war es am 6. September bereits so weit. Viele der Jugendlichen, die an diesen beiden Tagen im Publikum saßen, dürfen zum ersten Mal wählen – oder stehen kurz davor. Genau in dieses Zeitfenster hinein ein Format zu setzen, das Demokratie nicht erklärt, sondern erfahrbar macht, fanden wir schon vor der Zusage überzeugend. Nach den beiden Tagen erst recht.

Unser Workshop: Was Hacken eigentlich heißt

Felix und Tim aus unserem Team haben an beiden Standorten den Workshop „Lerne Hacken! Aber für die gute Seite“ gehalten – jeweils für eine Gruppe aus den Jahrgangsstufen 10 und 11, rund 90 Minuten lang, mit deutlich mehr Live-Demo als Folienvortrag.

Angefangen haben wir mit einer Frage, auf die es überraschend viele Antworten gibt: Was ist Hacking eigentlich? Das Bild, das die meisten mitbringen, kommt aus Filmen und Nachrichten – Kapuzenpulli, dunkler Raum, Kriminalität. Dabei ist der Kern des Begriffs ein ganz anderer. Ein „Hack“ ist zunächst ein technischer Kniff. Hacking ist der kreative, schöpferische Umgang mit Technik: eine Funktionserweiterung, eine Problemlösung, oder schlicht ein Ziel, das auf ungewöhnlichem Weg erreicht wird. Dass es neben schadhaften Motiven eben auch ethisches Hacking gibt – und dass das ein eigener Beruf ist – war für einen Teil der Gruppen neu.

Hacking ist der kreative, schöpferische Umgang mit Technik: eine Funktionserweiterung, eine Problemlösung, oder schlicht ein Ziel, das auf ungewöhnlichem Weg erreicht wird.

Bevor es technisch wurde, haben wir über die Hackerethik gesprochen, wie sie beispielsweise der Chaos Computer Club formuliert hat. Ein paar der Punkte haben in den Diskussionen besonders gezündet:

  • Der Zugang zu Computern und allem, was einem zeigen kann, wie diese Welt funktioniert, sollte unbegrenzt und vollständig sein.
  • Öffentliche Daten nützen, private Daten schützen.
  • Misstraue Autoritäten – fördere Dezentralisierung.
  • Beurteile einen Hacker nach dem, was er tut, und nicht nach Aussehen, Alter, Herkunft, Geschlecht oder gesellschaftlicher Stellung.
  • Mülle nicht in den Daten anderer Leute.

Und wir haben deutlich gemacht, was rechtlich gilt: Alles, was wir zeigen, ist für Lern- und Lehrzwecke gegen eigene Systeme gedacht. Unbefugte Nutzung kann eine Straftat sein (wie wir selbst schon öfter gemerkt haben). Aus großer Macht folgt große Verantwortung – abgedroschen, aber in diesem Kontext einfach richtig.

Von der Theorie ins Hack-Lab

Danach ging es an die Technik. Zuerst der Aufbau einer Webanwendung – Client, Frontend, Backend, Datenbank – als gemeinsames Modell, auf das wir später immer wieder zurückkommen konnten. Dann die Frage: Wie greift man eine Website eigentlich an? Informationen sammeln, Angriff starten. Als Spielwiese diente unser eigener, absichtlich verwundbarer Webshop im Hack-Lab, den die Gruppen zunächst selbst erkunden durften. Die Ideen, die dabei aus dem Publikum kamen, waren an beiden Tagen erstaunlich gut.

Inhaltlich haben wir uns dann durch die Klassiker gearbeitet:

  • Account Hacking
    Username Enumeration – also das Herausfinden gültiger Benutzernamen, weil eine Anwendung zu gesprächig antwortet. Und Bruteforcing beziehungsweise Wörterbuchangriffe auf Passwörter, live vorgeführt mit Hydra. Die anschließende Übersicht dazu, wie lange das Durchprobieren eines Passworts je nach Länge und Zeichenvorrat dauert, vermittelt in einer Minute mehr über gute Passwörter als jedes Merkblatt – und macht die Diskussion über Passwortmanager zu etwas anderem als einer Belehrung.
  • IDOR (Insecure Direct Object Reference)
    Der „Angriff“ besteht darin, eine Zahl in der URL hochzuzählen – und dass man dann plötzlich die Bestellung einer fremden Person sieht. Kein Spezialwissen, kein Werkzeug, nur genaues Hinschauen. Hier kam „Mülle nicht in den Daten anderer Leute“ dann zum Einsatz.
  • Cross-Site-Scripting (XSS) Erst harmlos: eigenes HTML in eine Seite einbetten, dann ein Bild. Danach der Schritt weiter – was Cookies sind, wozu Sessions dienen, und was passiert, wenn jemand einen Session-Cookie stiehlt. Die Live-Demo, in der wir eine Payload in einen Artikel injizieren und anschließend einen fremden Account übernehmen, ist erfahrungsgemäß der Moment, an dem aus einem abstrakten Sicherheitsthema etwas sehr Greifbares wird.

Zum Schluss ein Ausblick auf das, was wir in 90 Minuten nicht mehr schaffen konnten: SQL-Injection, SSRF, Broken Access Control, CSRF, Clickjacking, Path Traversal – plus Hinweise, wo man selbst legal weiterüben kann. Ein paar Jugendliche sind danach noch geblieben und wollten wissen, wie man in diesem Feld eigentlich beruflich landet. Solche Gespräche sind für uns der eigentliche Ertrag eines Workshops und wir sind dankbar unser Wissen in diesem Rahmen weiterzugeben.

Warum Demokratie und IT-Sicherheit zusammengehören

 

 

Wie Mint Secure einen Beitrag leistet

🔬

Sicherheitsforschung

Wir finden unbekannte Schwachstellen und melden sie verantwortungsvoll, bevor sie Schaden anrichten.

🎤

Vorträge & Live Hacking

Wir machen Angriffe sichtbar und erklären sie verständlich, von der Schulklasse bis zur Fachkonferenz.

🛡️

Penetration Testing

Wir prüfen Systeme aus der Angreiferperspektive, damit Lücken geschlossen werden, solange noch Zeit ist.

🤝

Awareness & Beratung

Wir stärken Organisationen und Menschen dabei, digitale Risiken selbst zu erkennen.

Ihr plant eine Veranstaltung? Wir gestalten Live Hackings, Vorträge und Workshops für Schulen, Unternehmen und Konferenzen. Jetzt Kontakt aufnehmen.

Nicht glauben, was das System behauptet, sondern selbst nachprüfen. Diese Haltung schützt Computer und Demokratie gleichermaßen.

Mint Secure GmbH