Web Application Hacking & Security inkl. Examen

Der Kurs Web Application Hacking & Security bietet eine umfassende Ausbildung in der Sicherheit von Webanwendungen. Teilnehmerinnen und Teilnehmer lernen, wie Angreifer Webanwendungen kompromittieren, welche Schwachstellen am häufigsten ausgenutzt werden und wie effektive Schutzmaßnahmen implementiert werden. Der Kurs kombiniert offensives und defensives Sicherheitswissen und vermittelt dadurch ein ganzheitliches Verständnis der Web-Anwendungssicherheit. Angesichts der wachsenden Zahl von Cyberangriffen auf Webanwendungen ist dieses Wissen für Sicherheitsfachkräfte, Entwicklerinnen und Entwickler sowie Penetrationstester von unmittelbarer Relevanz. Der Abschluss mit einem anerkannten Examen bestätigt die erworbene Kompetenz.

Grundlagen der Webanwendungssicherheit und Angreifermentalität bilden den Einstieg in den Kurs. Teilnehmerinnen und Teilnehmer verstehen, wie Webanwendungen technisch funktionieren, welche Komponenten angreifbar sind und wie professionelle Angreifer systematisch vorgehen, um Schwachstellen zu identifizieren und auszunutzen.

• HTTP-Protokoll und Web-Architektur aus Sicherheitsperspektive
• Angreifertypen, Motivationen und Angriffsmethodologien
• Web-Sicherheits-Frameworks: OWASP, PTES, NIST
• Rechtliche Grundlagen und Rahmenbedingungen für Penetrationstests
• Einrichtung einer sicheren Testumgebung für Web-Sicherheitstests
• Überblick über gängige Web-Sicherheits-Tools und deren Einsatzbereiche

Injection-Angriffe und clientseitige Schwachstellen sind der zweite Schwerpunkt des Kurses. SQL-Injection, Cross-Site Scripting und Cross-Site Request Forgery gehören zu den am häufigsten ausgenutzten Schwachstellen in Webanwendungen. Dieses Modul behandelt Angriffstechniken und Schutzmaßnahmen im Detail.

• SQL-Injection: Grundformen, Blind SQLi, Time-based SQLi und automatisierte Ausnutzung mit SQLMap
• Stored, Reflected und DOM-based XSS: Angriffsvarianten und Schutzmaßnahmen
• CSRF-Angriffe: Mechanismen, Erkennung und Token-basierte Abwehrmaßnahmen
• Command Injection und Directory Traversal als weitere Injection-Varianten
• Content Security Policy (CSP) und CORS als Schutzmaßnahmen
• Praktische Übungen in kontrollierten Testumgebungen

Authentifizierung, Autorisierung und Session-Management bilden den dritten Kursabschnitt. Schwachstellen in diesen Bereichen führen häufig zu vollständiger Kompromittierung von Webanwendungen und sind daher ein bevorzugtes Angriffsziel.

• Broken Authentication: Schwachstellen und Absicherung von Authentifizierungsmechanismen
• Privilege Escalation und Broken Access Control
• Session-Hijacking, Session-Fixation und Schutzmaßnahmen
• JSON Web Token (JWT) Schwachstellen und sichere Implementierung
• Multi-Faktor-Authentifizierung und ihre Bedeutung für die Sicherheit
• API-Authentifizierung: OAuth 2.0, API-Keys und deren Sicherheitsrisiken

Sicherheitstests, Tools und professionelle Dokumentation schließen den Kurs ab. Teilnehmerinnen und Teilnehmer erlernen den professionellen Einsatz von Penetrationstest-Tools und die Erstellung von Berichten, die für Auftraggeber und Entwicklungsteams verständlich und handlungsleitend sind.

• Burp Suite: Intercept, Repeater, Scanner und Intruder im Praxiseinsatz
• OWASP ZAP als Open-Source-Alternative für automatisierte und manuelle Tests
• Nikto, Dirb und weitere Reconnaissance-Tools
• Strukturierte Vorgehensweise nach OWASP Testing Guide
• Risikobewertung und CVSS-Scoring für gefundene Schwachstellen
• Aufbau und Inhalte eines professionellen Penetrationstest-Berichts

Praxislabore und Angriffsszenarien Alle Angriffs- und Verteidigungsübungen werden in kontrollierten, eigens eingerichteten Laborumgebungen durchgeführt. Die Szenarien orientieren sich an realen Angriffsmustern aus der Praxis.

• Ausnutzung einer SQL-Injection-Schwachstelle in einer DVWA-Umgebung
• Durchführung eines XSS-Angriffs und Implementierung von CSP als Gegenmaßnahme
• CSRF-Angriff auf ein simuliertes Online-Banking-Szenario
• Brute-Force-Angriff auf eine Login-Seite und Implementierung von Rate Limiting
• Session-Hijacking-Szenario und Analyse der Auswirkungen
• API-Penetrationstest auf eine RESTful-API mit authentifizierten Endpunkten
• Directoryfuzzing und Entdeckung versteckter Anwendungsressourcen
• Analyse und Behebung von Schwachstellen in einer realen Open-Source-Webanwendung
• Erstellung eines vollständigen Penetrationstest-Berichts für ein fiktives Testszenario
• OWASP Top 10 Walkthrough mit praktischen Demonstrationen aller zehn Kategorien
• JWT-Schwachstellenanalyse und sichere Token-Implementierung
• Vorbereitung auf das Examen mit Musteraufgaben und Prüfungsstrategien

Die Praxislabore finden in kontrollierten, legalen Testumgebungen statt, in denen Teilnehmerinnen und Teilnehmer Angriffstechniken sicher und ohne rechtliche Risiken ausprobieren können. Diese Hands-on-Erfahrung ist entscheidend für das Entwickeln des nötigen Sicherheitsdenkens, das Penetrationstester und AppSec-Fachkräfte brauchen.

Der Kurs richtet sich an Sicherheitsfachkräfte, Softwareentwicklerinnen und -entwickler sowie IT-Administratoren, die ein tiefes Verständnis der Webanwendungssicherheit entwickeln möchten. Er ist sowohl für Personen mit Sicherheitshintergrund als auch für Entwicklerinnen und Entwickler geeignet, die Secure Coding Practices erlernen wollen.

• Security Engineers und Penetrationstester, die ihren Fokus auf Web Application Security legen
• Softwareentwicklerinnen und -entwickler, die sichere Webanwendungen entwickeln möchten
• Bug Bounty Hunter, die systematisch Schwachstellen in Webanwendungen aufdecken
• AppSec Engineers, die Sicherheit in Entwicklungsprozesse integrieren
• IT-Sicherheitsverantwortliche, die das Risikoprofil ihrer Webanwendungen besser verstehen wollen

Der Kurs wird als Combined Learning angeboten und kombiniert theoretische Lehreinheiten mit intensiven Praxislaboren in sicheren Testumgebungen. Der stark praxisorientierte Ansatz stellt sicher, dass Teilnehmerinnen und Teilnehmer das Gelernte direkt anwenden und verinnerlichen. Online-Seminar-Formate sind als Alternative verfügbar und ermöglichen eine flexible, ortsunabhängige Teilnahme.

Die Schulung dauert in der Vollzeitvariante in der Regel mehr als eine Woche. Teilzeitvarianten mit einer Laufzeit von mehreren Wochen bis Monaten sind nach Absprache verfügbar. Der Kursumfang deckt alle prüfungsrelevanten Themen vollständig ab und schließt die Vorbereitung auf das Examen ein.

Nach erfolgreichem Abschluss erhalten Teilnehmerinnen und Teilnehmer ein international anerkanntes Herstellerzertifikat sowie ein Lehrgangszertifikat des Kursanbieters. Das Examen bestätigt die erworbene Kompetenz in der Analyse und Absicherung von Webanwendungen und ist ein anerkannter Nachweis auf dem Arbeitsmarkt im Bereich Cybersecurity.

Web Application Security ist eines der dynamischsten und gefragtesten Felder in der IT-Sicherheit. Angesichts der Tatsache, dass Webanwendungen heute für Unternehmen aller Branchen geschäftskritisch sind und gleichzeitig einer der häufigsten Angriffsvektoren darstellen, ist das Wissen um ihre Absicherung von unmittelbarem wirtschaftlichem Wert. Fachkräfte, die Webanwendungen sicher gestalten und testen können, sind auf dem Arbeitsmarkt stark nachgefragt und können sowohl in der Entwicklung als auch in der Sicherheitsprüfung tätig werden. Durch das Erlernen des Angreiferblickwinkels entwickeln Teilnehmerinnen und Teilnehmer ein tiefes, intuitives Verständnis für Sicherheitsrisiken, das sich in jeder Rolle — ob Penetrationstester, AppSec Engineer oder Entwicklerin — direkt auszahlt. Wer versteht, wie Angriffe funktionieren, kann Schutzmaßnahmen nicht nur implementieren, sondern auch beurteilen, wie wirksam sie wirklich sind. Dieses kritische Denken ist der Kern professioneller Webanwendungssicherheit. Bei AZAV-zertifizierten Trägern kann dieser Kurs über den Bildungsgutschein der Agentur für Arbeit oder des Jobcenters gefördert werden. Abhängig von der persönlichen Situation kommen auch das Qualifizierungschancengesetz, die Berufsförderung der Bundeswehr, Leistungen zur Rehabilitation oder Förderungen der Deutschen Rentenversicherung in Betracht. Eine frühzeitige Beratung bei der zuständigen Behörde ist empfehlenswert.