Was dieser Artikel behandelt
- Was HackTheBox ist und wie die Plattform aufgeteilt ist.
- Konkrete Beispiele bekannter Boxen und Übungswege.
- Stärken und Schwächen, inklusive Preise.
- Was die CPTS-Zertifizierung wert ist.
- Die besten Alternativen, von TryHackMe bis PortSwigger Academy.
Was ist HackTheBox?
HackTheBox, kurz HTB, ist die Referenzplattform für praktisches Penetration Testing, 2017 gegründet und inzwischen ein eigenes Ökosystem. Der Kern sind Maschinen: realistische virtuelle Systeme, die man per VPN oder über die browserbasierte Pwnbox angreift. Jede Maschine ist bewertet von Easy über Medium und Hard bis Insane.
Wichtig zu wissen: HackTheBox ist heute mehr als die Box-Liste. Die Plattform besteht aus mehreren Teilen:
- HTB Labs: die klassischen Maschinen, Sherlocks für Forensik und Challenges nach Kategorie.
- HTB Academy: der geführte Teil, strukturierte Module mit Theorie und Übungen, bezahlt über Credits, sogenannte Cubes, oder Abo.
- Starting Point: eine Reihe einfacher, geführter Maschinen als offizieller Einstieg, kostenlos.
- Pro Labs: große simulierte Firmennetzwerke wie Dante oder Offshore, separat bezahlt.
- Universities und Business: Plattformen für Hochschulen und Firmen-Teams.
Im Vergleich zu TryHackMe ist die Philosophie umgekehrt: HackTheBox erklärt in den Labs nichts. Die Maschine steht da, die IP wartet, und der Rest ist Dein Problem.
Bekannte Boxen als Beispiele
Die Community kennt die Klassiker beim Namen. Wer HTB sagt, meint Maschinen wie:
| Box | Schwierigkeit | Was sie lehrt |
|---|---|---|
| Lame | Easy | Der Einstiegs-Klassiker, ein simpler Samba-Exploit |
| Blue | Easy | EternalBlue, die berühmteste Windows-Lücke |
| Legacy | Easy | Ähnlich einfach, Windows-Patch-Szenario |
| Shocker | Easy | Shellshock über CGI, klassischer Web-Vektor |
| Nibbles | Easy | CMS-Enumeration und schlichte Privesc |
| Jerry | Easy | Tomcat-Manager als Eintrittspunkt |
| Forest | Medium | Active Directory, AS-REP-Roasting |
| Resolute | Medium | AD-Enumeration und Gruppenmissbrauch |
Die Easy-Klassiker sind alle retired, also aus der aktiven Rotation, und genau dafür braucht man VIP, weil für retired Maschinen offizielle Writeups und Lösungsvideos existieren. Für absolute Einsteiger sind die Starting-Point-Maschinen gedacht: Meow, Fawn, Dancing, Redeemer, Appointment und Co. führen Schritt für Schritt durch die erste Enumeration, den ersten Login, die erste Flag.
Was HackTheBox stark macht
Realismus, den sonst niemand bietet. Die Maschinen verhalten sich wie echte Systeme: unvollständige Hinweise, Sackgassen, mehrere mögliche Wege. Wer eine Medium-Box allein knackt, hat ein Stück echter Pentesting-Praxis.
Reputation in der Branche. HTB-Ranking und -Profile sind bei Security-Arbeitgebern ein anerkannter Nachweis. „HackTheBox Guru” auf dem Profil sagt einem SOC-Leiter mehr als jedes Udemy-Zertifikat.
Die CPTS ist ernst zu nehmen. Der Certified Penetration Testing Specialist der HTB Academy kostet einen Bruchteil des OSCP und gilt in der Szene als eines der praxisnähesten Zertifikate überhaupt: mehrtägige Praxisprüfung an einem simulierten Firmennetzwerk, inklusive ausformuliertem Pentest-Report. Wer den besteht, kann was.
Sherlocks und Academy decken die Lücke. Wer mehr Anleitung will, bekommt sie in den Academy-Modulen, und die Sherlocks liefern forensische Szenarien für die Blue-Team-Seite.
Wo HackTheBox schwächelt
Die Einstiegshürde ist brutal. Wer ohne Grundlagen an eine aktive Box geht, starrt stundenlang auf einen Portscan. Die Plattform verzeiht nichts, und genau das frustriert Anfänger, die besser bei TryHackMe starten.
Retired-Maschinen hinter VIP. Die lehrreichsten Boxen mit offiziellen Writeups und Videos sitzen hinter dem Abo. Verständlich als Geschäftsmodell, ärgerlich für Gratis-Nutzer.
Writeup-Versuchung. Zu fast jeder alten Box existieren Writeups und YouTube-Walkthroughs. Wer sie vorher liest, hat zwar die Flag, aber nichts gelernt. Die Plattform kann das nicht verhindern, die Disziplin liegt bei Dir.
Academy kostet zusätzlich. Wer Labs plus Academy will, zahlt zweistellig monatlich, und manche Module verlangen zusätzlich Cubes. Die Kosten sind fair, aber nicht trivial.
Was HackTheBox kostet
- Labs-VIP: grob 12 bis 15 US-Dollar monatlich, öffnet alle retired Maschinen und offiziellen Writeups.
- Academy: mehrere Abo-Stufen ab etwa zwei Stellen im Monatsbereich, Studenten bekommen Rabatte, einzelne Module auch per Cubes kaufbar.
- Pro Labs und CPTS: separat, die Prüfung liegt im mittleren dreistelligen Bereich, immer noch weit unter dem OSCP-Preis.
- Kostenlos: Registrierung, aktive Maschinen, Starting Point und ein Teil der Academy-Basismodule.
Wie man HackTheBox richtig nutzt
Die Plattform belohnt eine Arbeitsweise, die man aktiv pflegen muss:
Der 90-Minuten-Rhythmus. Feststecken gehört dazu, aber zielloses Starren nicht. Die bewährte Regel: Nach 90 Minuten ohne Fortschritt den eigenen Aufschrieb prüfen, den Scan nochmal lesen, dann der KI die Denkrichtung geben lassen, nie die Lösung. Der Mentor-Prompt dafür steht in Security Labs üben mit KI.
Writeups als Prüfung, nicht als Hilfe. Der offizielle Lösungsweg hat nach dem eigenen Sieg noch einen Job: vergleichen. Hätte ein Profi die Schwachstelle früher gesehen, einen eleganteren Weg genommen, einen Schritt übersprungen? Dieser Vergleich ist das eigentliche Training.
Jede Box dokumentiert. IP, offene Ports, getestete Hypothesen, der funktionierende Weg, die Lessons Learned. Nach zwanzig Boxen entsteht daraus ein Portfolio, das mehr zählt als das Ranking, und nach dem gleichen Schema schreibt man später echte Pentest-Reports.
Alternativen zu HackTheBox
| Plattform | Schwerpunkt | Preis | Unterschied zu HTB |
|---|---|---|---|
| TryHackMe | Geführtes Lernen | Freemium, ~10-14 USD | Erklärt statt fordert, besserer Einstieg |
| PortSwigger Academy | Web-Security | Kostenlos | Spezialisiert auf Web, vom Burp-Team |
| VulnHub | VMs zum Download | Kostenlos | Vollständig selbständig, kein Rahmen |
| picoCTF | CTF-Einstieg | Kostenlos | Challenges statt Maschinen, für Anfänger |
| LetsDefend | Blue Team, SOC | Freemium | Die Defensiv-Seite, die HTB nur streift |
| Proving Grounds | OffSec-Übungslabore | Abo | Nächster Schritt Richtung OSCP |
| RootMe | Challenges aller Art | Kostenlos/Freemium | Älter, französisch geprägt, solide Vielfalt |
| PentesterLab | Web plus Badge-System | Freemium | Fokussiert auf Web-Angriffe |
Wer webseitig arbeitet, kommt an PortSwigger nicht vorbei, wer Blue Team will, bei LetsDefend oder CyberDefenders, und wer Richtung OSCP steuert, landet irgendwann bei den Proving Grounds. HackTheBox bleibt die Mitte, von der aus alle diese Wege abzweigen.
Die Bewertung
Stärken: Realistischste Übungsumgebung am Markt, starke Community, anerkanntes Profil, mit der CPTS ein ernstes Zertifikat zu fairem Preis.
Schwächen: Hohe Einstiegshürde, Kerninhalte hinter VIP, die Writeup-Versuchung ruiniert leicht den Lerneffekt, Academy kostet extra.
Für wen: Alle mit Grundlagen, die echte Praxis wollen. Wer TryHackMe durch hat, ist hier richtig. Wer Zertifikate Richtung Pentest-Job anstrebt, findet mit Academy und CPTS den besten Preis-Leistungs-Weg.
Für wen nicht: Absolute Anfänger ohne Geduld, und alle, die Anleitung brauchen statt sie zu ertragen, wenn sie fehlt.
Gesamturteil: 9 von 10 als Übungsplattform. Abgezogen wird nur für die harte Einstiegskante und das Zwei-Abo-Modell. Als der Ort, an dem aus Wissen Können wird, ist HackTheBox das Maß der Dinge.
Häufige Fragen zu HackTheBox
Ist HackTheBox kostenlos?
Registrierung, aktive Maschinen und Starting Point sind kostenlos. Retired Maschinen mit offiziellen Writeups brauchen VIP, die Academy hat eigene Abo-Stufen.
Kann ich als Anfänger bei HackTheBox starten?
Theoretisch ja über Starting Point, praktisch ist TryHackMe der bessere Einstieg. HTB belohnt, wer schon scannen, enumerieren und Linux-Grundlagen kann.
Was ist der Unterschied zwischen HTB Labs und Academy?
Labs sind die freien Maschinen zum Selbstknacken, Academy ist der geführte Kursteil mit Modulen und Erklärungen. Wer Struktur will, nimmt Academy, wer Praxis will, die Labs.
Was ist die CPTS und was ist sie wert?
Der Certified Penetration Testing Specialist der HTB Academy: mehrtägige Praxisprüfung mit Report, in der Szene hoch angesehen, deutlich günstiger als der OSCP.
HackTheBox oder OSCP-Vorbereitung?
HTB, besonders die Academy und Pro Labs, ist die inoffizielle OSCP-Vorbereitung schlechthin. Viele OSCP-Kandidaten üben monatelang auf HTB, bevor sie die Prüfung buchen.
Wie schwer sind Easy-Boxen wirklich?
„Easy” bei HTB heißt nicht einfach, sondern „einfach für Pentester”. Wer neu ist, braucht für die erste Easy-Box gern einen ganzen Tag, und das ist normal.
Brauche ich ein VPN für HackTheBox?
Für die Labs ja, entweder OpenVPN vom eigenen Rechner oder die browserbasierte Pwnbox. Starting Point und Academy laufen weitgehend im Browser.
Darf ich Writeups lesen, wenn ich feststecke?
Für retired Maschinen gibt es offizielle Writeups, aber erst nach eigenem Lösen oder echtem Feststecken. Das Writeup ist die Nachbesprechung, nicht die Abkürzung.
Was sind Sherlocks bei HackTheBox?
Forensik- und Incident-Response-Szenarien für die Defensivseite: Du analysierst Logs, Images und Artefakte eines fiktiven Vorfalls und beantwortest Untersuchungsfragen.
Lohnt sich HTB für Blue Team?
Teilweise: Sherlocks und einige Academy-Module decken Defensive ab, aber der Fokus ist offensiv. Für reines Blue Team sind LetsDefend und der THM-SOC-Pfad gezielter.
Wie lange bis zur ersten gelösten Box?
Mit TryHackMe-Grundlagen und Mentor-Prompts typischerweise ein bis drei Abende für die erste Starting-Point- oder Easy-Maschine. Der Workflow dazu steht in Security Labs üben mit KI.
Zählt HackTheBox im Lebenslauf?
Ja, stärker als fast jede andere Plattform. Ein gutes Ranking, gelöste Maschinen und dokumentierte Writeups sind ein Portfolio, das Security-Arbeitgeber kennen und respektieren.
Welche Alternativen gibt es zu HackTheBox?
TryHackMe für den Einstieg, PortSwigger Academy für Web kostenlos, VulnHub für Offline-VMs, Proving Grounds als OSCP-Nähe, LetsDefend für Blue Team.
Kann KI mir beim Lösen von HTB-Boxen helfen?
Als Mentor ja: Scan interpretieren, Denkrichtungen geben, Privesc-Checklisten liefern, ohne die Lösung zu verraten. Als Lösungsmaschine sollte man sie nicht nutzen, das Finden ist das Lernen.
Gibt es HackTheBox auf Deutsch?
Nein, alles läuft auf Englisch. In der Security-Welt ist das ohnehin die Arbeitssprache, also ein sinnvoller Nebeneffekt des Trainings.
HackTheBox ist das Ende des geführten Lernens
TryHackMe bringt Dich bis an die Tür, HackTheBox ist das, was dahinter liegt: Systeme, die sich nicht erklären, und Erfolg nur durch eigene Methodik. Die Plattform ist hart, teilweise frustrierend und genau deshalb der Maßstab. Wer hier regelmäßig Boxen löst, hat das Zeug zum Pentester-Nachweis, und die CPTS macht daraus ein anerkanntes Zertifikat. Grundlagen zuerst in Cybersecurity lernen mit KI, den Mentor-Workflow pro Box in Security Labs üben mit KI, und als leichterer Einstieg zuvor die TryHackMe-Bewertung.