Was dieser Artikel behandelt
- Was PentesterLab ist und wie es aufgebaut ist.
- Beispiele für Übungen und das Badge-System.
- Stärken, Schwächen und das Gesamturteil.
- Ein KI-Wochenplan für die Web-Security-Basics.
Was ist PentesterLab?
PentesterLab ist eine kleine, lange bestehende Lernplattform für Web-Pentesting, geführt von einem einzelnen erfahrenen Pentester. Der Ansatz ist puristisch: kurze, saubere Übungen zu echten Web-Schwachstellen, jede mit Erklärung und einem Badge-System, das Fortschritt sichtbar macht. Es ist keine Maschinen-Plattform wie HackTheBox, sondern eine konzentrierte Schulung im Format „eine Schwachstelle, eine Übung, ein Badge”.
Die Übungen laufen als kleine verwundbare Web-Apps, früher per Download-ISO, heute überwiegend online gehostet. Die Themen decken die klassische Web-Pentest-Grundausbildung ab: SQL-Injection, XSS, CSRF, Insecure Direct Object References, XML-External-Entities, Session-Handling, Command Injection und die HTTP-Grundlagen dahinter. Es ist das ruhigere, zielgenauere Gegenstück zu den großen Portalen.
Beispiele aus den Übungen
So arbeitet eine typische PentesterLab-Übung:
- SQL Injection Serie: vom simplen Login-Bypass über UNION-basierte Abfragen bis zu komplexeren Varianten, jede Stufe ein eigenes Lab.
- XSS-Kette: erst reflektiert, dann persistent, dann das Ausnutzen über einen Cookie-Diebstahl.
- HTTP-Basics-Modul: Header lesen, Requests per Hand manipulieren, Burp-Repeater nutzen, die Fundamente vor den Exploits.
- Auth- und Session-Themen: Cookie-Manipulation, schwache Session-IDs, Passwort-Reset-Fehler, die kleinen Lücken, die echte Apps plagen.
Das Besondere: Jede Übung erklärt zuerst die Schwachstelle sauber, dann lässt sie Dich ran. Es ist Lehrbuch und Labor in einem.
Stärken und Schwächen
Stärken: Didaktisch sauber, weil ein Pentester sie selbst baut und erklärt. Die Übungen sind kurz und fokussiert, man lernt eine Sache pro Lab statt zehn lose. Badge-System motiviert. Für die reine Web-Security-Ausbildung, vor allem vor dem Einstieg in Jobs oder Zertifikate, ist es ein kompaktes, solides Angebot.
Schwächen: Kleiner Umfang, begrenzte Themen, es gibt nur Web, kein System, kein Netzwerk, kein Blue Team. Der Content wächst langsam, weil es ein Ein-Mann-Projekt ist. Das Abo ist für den Umfang nicht billig, und die Optik ist schlicht.
Preis: Es gibt kostenlose Inhalte zum Reinschnuppern, der Kern ist das Pro-Abo, grob um die zwanzig Dollar monatlich, mit Rabatten für längere Laufzeiten.
Der KI-Wochenplan für PentesterLab
PentesterLab ist schon strukturiert, aber der KI-Mehrwert liegt im Verständnis-Check. Dieser Prompt baut ein sechswöchiges Web-Programm:
Ich arbeite die PentesterLab-Übungen durch und will
Web-Pentesting wirklich verstehen, nicht nur Labs
abhaken.
Baue mir einen 6-Wochen-Plan:
- Woche 1: HTTP-Grundlagen und Burp-Repeater,
Requests lesen und manipulieren.
- Woche 2 und 3: SQL Injection, von der einfachen
bis zur blinden Variante.
- Woche 4: XSS, CSRF und Session-Themen.
- Woche 5: Access Control, IDOR und
Business-Logic-Fehler.
- Woche 6: Wiederholung und eine selbstgebaute
verwundbare Test-App als Prüfung.
Regeln für unsere Zusammenarbeit:
- Ich bearbeite jede Übung erst selbst. Danach
erkläre ich Dir in eigenen Worten, was die
Schwachstelle war und warum mein Angriff
funktioniert hat, und Du bewertest meine
Erklärung auf Lücken.
- Zeig mir pro Thema, wie die Schwachstelle im
Code aussieht und wie die Gegenmaßnahme sie
verhindert, beide Seiten zählen.
- Sag mir nie die Lösung, sondern stell mir die
Fragen, die mich auf sie bringen.Der Kern dieser Übung: Wer eine Schwachstelle nicht in eigenen Worten erklären kann, hat sie nicht verstanden. Die KI ist der Prüfer, der genau das kontrolliert.
Die Bewertung
7,5 von 10 als fokussiertes Web-Training. Die Inhalte sind sauberer und lehrreicher als der Durchschnitt, aber die Plattform ist klein und teuer für das, was sie bietet. Wer Web-Security will, ohne zu zahlen, ist bei der PortSwigger Academy heute besser bedient. PentesterLab ist der ruhige, solide Weg für alle, die Wert auf kuratierte Erklärung legen und bereit sind, für diese Qualität zu zahlen.
Häufige Fragen zu PentesterLab
Ist PentesterLab kostenlos?
Teilweise. Es gibt freie Übungen zum Einstieg, aber der Kern sitzt hinter dem Pro-Abo, grob um die zwanzig US-Dollar monatlich.
Für wen ist PentesterLab gedacht?
Für alle, die Web-Pentesting von Grund auf sauber lernen wollen: Entwickler, angehende Pentester, Leute vor der ersten Security-Rolle.
Wie unterscheidet sich PentesterLab von der PortSwigger Academy?
Beide lehren Web-Security. PortSwigger ist größer, neuer und kostenlos, PentesterLab ist kuratierter und persönlicher erklärt, aber bezahlt und kleiner.
Brauche ich Burp Suite für PentesterLab?
Es hilft, und einige Übungen setzen es voraus. Die kostenlose Community Edition reicht für fast alles.
Was ist das Badge-System?
Ein Fortschritts-System: Jede abgeschlossene Übung gibt ein Badge. Es ist die einzige Gamification der Plattform, sonst bleibt es nüchtern.
Kann ich damit auf die OSCP vorbereiten?
Nur teilweise. PentesterLab lehrt die Web-Seite, die bei OSCP nur ein Teil ist. Für den vollen Prozess ist der Weg über Proving Grounds der direktere.
Gibt es PentesterLab auf Deutsch?
Nein, komplett auf Englisch. Im Web-Pentesting ist das ohnehin die Arbeitssprache.
Wie lange brauche ich für die Basis-Übungen?
Bei ein paar Stunden pro Woche grob vier bis sechs Wochen für die Kern-Themen, je nach Vorkenntnissen und Gründlichkeit.
Sind die Übungen realistisch?
Sie sind bewusst sauber und isoliert, nicht so chaotisch wie echte Apps. Das macht sie lehrreich, aber weniger realistisch als die Maschinen von HackTheBox.
Wie hilft mir KI bei PentesterLab?
Als Verständnis-Prüfer: Du erklärst die Schwachstelle nach dem Lab in eigenen Worten, die KI findet die Lücken. Der Wochenplan oben setzt genau das.
Lohnt sich das Pro-Abo?
Wenn Du die Struktur und die kuratierten Erklärungen schätzt, ja. Wer den Umfang pro Euro vergleicht, ist bei der kostenlosen PortSwigger Academy besser dran.
Lerne ich damit, sicheren Code zu schreiben?
Indirekt ja, indem Du siehst, wie die Fehler ausgenutzt werden. Wer aktiv entwickelt, versteht danach, warum Prepared Statements Pflicht sind.
Was ist der beste Weg durch PentesterLab?
Die Reihenfolge im Wochenplan oben: erst HTTP und Burp, dann Injection, dann die Client-Themen. Wer sofort mit Exploits startet, versteht sie nicht.
Gibt es Zertifikate von PentesterLab?
Nein, das Angebot ist reine Schulung. Der Nachweis bleibt das Können, dokumentiert über Writeups oder spätere Zertifikate.
Was mache ich nach PentesterLab?
Die Academy-Labs von PortSwigger, dann echte Maschinen. Der komplette Lernweg steht in Security Labs üben mit KI.
PentesterLab ist das Lehrbuch mit Lab dabei
Klein, ruhig und sauber, PentesterLab lehrt Web-Pentesting ohne Getöse. Wer die freie und tiefere PortSwigger Academy zuerst durchgeht, wird PentesterLab eher als Ergänzung schätzen denn als Pflicht. Für den Einstieg in die Labs insgesamt hilft Security Labs üben mit KI, und wer breiter anfangen will, liest die TryHackMe-Bewertung.