Ein strukturiertes, narratives Cybersecurity-Programm mit realistischen Angriffstechniken und praxisnahen Breach-Szenarien.
Tracks
Challenges
Stunden
Der Einstieg folgt einer klar geführten Spur durch zentrale Grundlagen: SQL Injection, DoS und Kryptografie. Statt Frontalunterricht erhalten Teilnehmende kurze hands-on Demos und geführte Micro-Challenges. Jede Challenge basiert auf einem realen Angriff und wird in einer kontrollierten Lab-Umgebung nachgestellt.
Kernschwachstellen erkennen, erklären und anhand funktionsfähiger Demos nachvollziehen können.
Tracks
Challenges
Stunden
Die erste Mission für Sine Nomine beginnt: Eindringen in Solstice Bank, um Geldwäschepraktiken der wohlhabenden Kundschaft offenzulegen. Im Verlauf wird klar, dass Solstice nur die Oberfläche ist und alle Spuren zu Vaulture Capital führen.
Das ist nicht nur ein einzelner Angriff, sondern der Auftakt zu etwas Größerem. Über The Rabbit Hole sammeln Teilnehmende Erkenntnisse über Vaulture Capital, kartieren Systeme und bauen ihre Fähigkeiten aus. Bis Ende Monat 2 sind die OWASP Top 10 abgedeckt, Zielsysteme profiliert und die Grundlage für die finale Simulation gelegt.
Anwendungen kartieren, Risiken priorisieren und ein Team sauber briefen.
Tracks
Challenges
Stunden
Jetzt wird das bis dahin Gelernte gegen Vaulture Capital eingesetzt - in einer Live Session vor Ort. Teams scannen, exploitieren und exfiltrieren in Echtzeit in einer düsteren Private-Banking-Storyline.
Danach geht es in die Bits n Bites App: eine mobile Delivery-Plattform mit unsicheren APIs, Broken Authentication, ausnutzbaren XSS-Pfaden, schwacher Kryptografie und Blind-SQL-Injection-Risiken. Der Fokus liegt darauf, unsichere Muster moderner Mobile- und Web-Systeme zu erkennen und Ergebnisse in konkrete Defensivmaßnahmen zu übersetzen.
Empfohlener Track
Bits n Bites führt Teilnehmende in die Bits-n-Bites-Plattform: eine elegante Liefer-App, die Sine Nomine für eine Geldwäschefront hält. Die Tarnung ist ein normales Kundenkonto. Die Mission: das Finanznetzwerk von innen kartieren. Dafür werden Broken-Access-Control-Schwachstellen durchbrochen, injizierbare Endpunkte ausgenutzt, Authentifizierungsabläufe umgangen und Transaktionsmuster nachverfolgt, die keine legitime Liefer-App jemals erzeugen sollte.
Abdeckung der OWASP Top 10 (2025)
Einen ethischen Exploit-Workflow entwerfen und operativ durchführen können.
Tracks
Challenges
Stunden
Kein System ist unangreifbar, weil Menschen immer Teil der Angriffsfläche sind. Nach dem Fokus auf Code steht jetzt Social Engineering im Mittelpunkt - also Angriffe, die Verhalten statt Softwarefehler ausnutzen.
Mit Phishing, Pretexting, Whaling und verwandten Techniken bauen Teilnehmende eine vollständige Angriffskette auf: von der ersten Ansprache bis zur Exfiltration.
Empfohlener Track
Jedes Schloss hat einen Schlüssel. Jeder Schlüssel hat eine Person. In The Human Factor folgen Teilnehmende der Geldspur von Bits n Bites zu Banco Maximus, einer Bank, die sich als sicherheitsparanoides Fintech vermarktet, ihr Vertrauen aber in ihre Mitarbeitenden setzt. Die Angriffsfläche ist kein Code, sondern Gewohnheit, Ehrgeiz und das grundlegende menschliche Bedürfnis, hilfreich zu sein. Teilnehmende führen Open-Source-Reconnaissance durch, erstellen Zieldossiers, entwerfen maßgeschneiderte Köder und setzen eine vollständige Social-Engineering-Kampagne um, die klassisches Pretexting mit modernen Techniken wie Supply-Chain-Analyse und KI-Prompt-Injection verbindet.
Abdeckung der OWASP Top 10 (2025)
Social-Engineering-Angriffe erkennen, praktisch nachvollziehen und angemessen abwehren.
Tracks
Challenges
Stunden
Monat 5 beginnt bei ILIAS, einem schnell wachsenden AI-Scale-up mit gefährlich fehlkonfigurierter Cloud. Was mit einem offengelegten Credential in einem ausführlichen Produktionslog beginnt, entwickelt sich zur vollständigen Kompromittierung der Organisation. Teilnehmende nutzen VM-Metadatenservices aus, missbrauchen IAM-Rollen, extrahieren Secrets aus Key Vaults und eskalieren bis zum Subscription Owner.
Anschließend folgt Apex Meridian: Der kryptografische Service Whisper CORE bietet keine offensichtliche Angriffsfläche. Keine Injection Points. Keine geleakten Tokens. Nur Verhalten. Teilnehmende analysieren timingbasierte Side Channels, Error Oracles und Padding Oracles, entschlüsseln Bearer Tokens statistisch und rekonstruieren aus Service Responses einen internen API-Katalog.
Monat 5 schult den Blick für komplexe Systeme, in denen die kritische Schwachstelle selten offensichtlich ist.
Empfohlener Track
ILIAS ist ein rasant wachsendes KI-Scale-up, das Entscheidungen getroffen hat, die viele Engineering-Teams unter Druck treffen: schnell vorankommen, häufig ausliefern, später aufräumen. In Skyfall werden die Folgen ausgenutzt. Ausgehend von nichts weiter als einer öffentlichen Registrierungsseite wird sichtbar, dass ein einfaches Konto Zugriff auf den internen Arceus-Cloud-Tenant von ILIAS ermöglicht. Von dort führen SSH-Zugangsdaten in den Debug-Logs von Arceus Lens auf eine Deployment-VM. Über den Metadatendienst, die Arceus CLI, einen Secret Vault und einen Service Principal eskaliert die Angriffskette bis zum vollständigen Directory Owner.
Abdeckung der OWASP Top 10 (2025)
Cloud-Fehlkonfigurationen zu einer vollständigen Organisationskompromittierung verketten und Secrets aus Systemen extrahieren können, die keine offensichtliche Angriffsfläche bieten.
Tracks
Challenges
Stunden
Die Abschlussmission führt alle Inhalte von The Grid zusammen. Sine Nomine steht unter Angriff, und eine rivalisierende Gruppe koordiniert ihre Operationen über ein Forum im Dark Web. Um erfolgreich zu sein, müssen Teilnehmende zugleich wie Angreifer und Verteidiger denken: Systeme analysieren, Schwachstellen ausnutzen, Fehler beheben und die gewonnenen Erkenntnisse auf reale Engineering-Kontexte übertragen.
Das ist die finale Prüfung: kontrolliert angreifen, wirksam absichern und The Grid erfolgreich abschließen.
Reale Systeme mit offensiver Erfahrung und Engineering-Kompetenz verteidigen.
The Grid verbindet technische Tiefe mit realistischen Angriffsszenarien und macht aus theoretischem Security-Wissen anwendbare Engineering-Kompetenz. Entwicklerteams lernen, Schwachstellen aus Angreiferperspektive zu verstehen und anschließend wirksam zu verhindern.
Das Programm unterstützt Teams dabei, Risiken früher zu erkennen, technische Entscheidungen sicherer zu treffen und Security Awareness nachhaltig in Entwicklungsprozesse zu integrieren.