Was dieser Artikel behandelt
- Was die PortSwigger Web Security Academy ist und warum sie kostenlos ist.
- Beispiele für Lab-Themen und den Aufbau der Übungen.
- Stärken, Schwächen und das Gesamturteil.
- Ein KI-Wochenplan, der Dich systematisch durch die Schwachstellen-Klassen führt.
Was ist die PortSwigger Academy?
Die Web Security Academy ist das Lernangebot von PortSwigger, der Firma hinter Burp Suite, dem Standard-Werkzeug jedes Web-Pentesters. Das erklärt sofort zwei Dinge: Die Inhalte kommen von den Leuten, die das Werkzeug bauen, mit dem die Labs gelöst werden, und das Ganze ist komplett kostenlos, weil die Academy gleichzeitig die beste Werbung für Burp Suite ist.
Die Struktur: Themengebiete wie SQL Injection, XSS, CSRF, Access Control oder SSRF, jedes mit Erklär-Texten, die tiefer gehen als jeder Blogartikel, und einer Kette an Labs pro Thema. Die Labs sind echte, verwundbare Web-Anwendungen im Browser, gestuft von „Apprentice” über „Practitioner” bis „Expert”. Es gibt keinen Timer, keine Punktjagd, keine Abzeichen. Nur Substanz.
Beispiele aus der Praxis
Typischer Ablauf eines Themenblocks am Beispiel SQL Injection: Erst kommt die Theorie-Seite, die erklärt, wie eine Eingabe in einer Datenbankabfrage landet und was ein Angreifer damit anstellt. Dann folgen Labs in steigender Stufe, vom simplen ' OR 1=1-- über das Auslesen versteckter Tabellen bis zur blinden Injection über Zeitverzögerungen. Jedes Lab läuft in einer echten Anwendung im Browser, und Burp Suite (die kostenlose Community Edition reicht) fängt die Requests ab, damit Du siehst, was die KI erklärt, passiert wirklich im HTTP-Verkehr.
Stärken und Schwächen
Stärken: Inhaltlich die tiefste frei verfügbare Web-Security-Quelle überhaupt, weil sie von den Autoren des Werkzeugs kommt. Keine Gamification-Ablenkung, keine Paywall, laufend aktualisiert, und die Lab-Qualität ist durchgehend hoch.
Schwächen: Erklärt fast nichts um das Thema herum. Wer nicht weiß, was HTTP, Sessions oder ein Cookie tut, ist überfordert. Kein Lernpfad-System, kein Fortschritts-Feeling, kein Deutsch, und es behandelt ausschließlich Web-Security, nicht Netzwerk, Systeme oder Blue Team.
Preis: Vollständig kostenlos. Burp Suite Community Edition ebenfalls, Professional ist optional.
Der KI-Wochenplan für die Academy
Die Academy liefert die Labs, die KI liefert den Lehrer. Dieser Prompt baut daraus ein zwölfwöchiges Programm:
Ich arbeite die PortSwigger Web Security Academy durch
und will Web-Security wirklich beherrschen, nicht nur
Labs abhaken.
Erstelle mir einen 12-Wochen-Plan über die wichtigsten
Themenblöcke: SQL Injection, XSS, CSRF, Access Control,
Authentication, SSRF, XXE, Path Traversal, OS Command
Injection, Business Logic, HTTP Request Smuggling,
Information Disclosure.
Pro Woche ein Themenblock:
- Montag: Erkläre mir die Schwachstelle auf zwei Ebenen,
wie entsteht sie im Code, wie erkennt sie ein Tester?
- Mittwoch: Ich löse zwei bis drei Academy-Labs und
berichte Dir meine Beobachtungen. Du hinterfragst
meine Deutung wie ein Senior-Pentester im Review.
- Freitag: Mini-Prüfung. Du beschreibst mir ein
Szenario, ich sage, ob die Schwachstelle vorliegt
und wie ich sie verifizieren würde.
- Wichtig: Sag mir nie die Lab-Lösung. Wenn ich
feststecke, stell Gegenfragen statt zu antworten.Das Besondere daran: Die Academy erklärt die Mechanik, aber niemand kontrolliert Dein Verständnis. Die KI übernimmt genau diese Rolle, sie simuliert den erfahrenen Kollegen, der Deine Befund-Deutung im Review zerlegt. Auf fremden Systemen darf nichts davon ausprobiert werden, die Labs sind die legale Umgebung.
Die Bewertung
9,5 von 10 für Web-Security. Als spezialisierte Quelle ist die Academy faktisch unschlagbar und kostenlos dazu. Der halbe Punkt Abzug für die fehlende Führung: Wer Struktur braucht, muss sie sich mit dem Wochenplan oben selbst bauen. Breiter gefächerte Einstiege liefern TryHackMe und HackTheBox.
Häufige Fragen zur PortSwigger Academy
Ist die PortSwigger Academy komplett kostenlos?
Ja, alle Theorie-Seiten und sämtliche Labs sind kostenlos. Es gibt keine Bezahlstufe, die Academy finanziert sich als Vehikel für Burp Suite.
Brauche ich Burp Suite Professional?
Nein, die kostenlose Community Edition reicht für fast alle Labs. Professional beschleunigt das Scannen, ist aber keine Voraussetzung.
Für wen ist die Academy geeignet?
Für alle mit Basiswissen über HTTP und Web-Anwendungen: Entwickler, Admins, angehende Pentester. Absolute IT-Neulinge sollten vorher Grundlagen lernen.
Wie lange dauert es, die Academy durchzuarbeiten?
Bei realistischem Tempo von ein bis zwei Themenblöcken pro Woche mehrere Monate. Es gibt über 200 Labs, Tempo ist hier nicht das Ziel.
Gibt es die Academy auf Deutsch?
Nein, komplett auf Englisch. Für Web-Security ohnehin die Arbeitssprache, die Docs, Payloads und Fehlermeldungen sind englisch.
Ist die Academy besser als TryHackMe für Web-Security?
Im Thema Web-Security ja, deutlich tiefer und kostenlos. Als Gesamt-Einstieg in Security ist TryHackMe breiter und geführter.
Was bedeuten die Schwierigkeitsstufen?
Apprentice ist der geführte Einstieg ins Thema, Practitioner verlangt eigenständige Anwendung, Expert kombiniert Techniken und verlangt Kreativität.
Lohnt sich die Academy für Entwickler?
Ja, sogar besonders. Wer selbst Web-Apps schreibt, lernt hier exakt, wie die eigenen Fehler ausgenutzt werden, das verändert das Programmieren dauerhaft.
Woher weiß ich, ob ein Lab gelöst ist?
Jedes Lab hat ein klares Ziel, etwa einen Admin-Account löschen oder Daten auslesen, und quittiert den Erfolg automatisch mit einem Banner.
Kann ich damit Burp Suite lernen?
Ja, die Labs sind die offizielle Übungsumgebung für Burp. Interceptor, Repeater und Scanner lernst Du praktisch mit, nicht trocken aus der Doku.
Wie hilft mir KI bei den Labs?
Als Reviewer und Erklärer: Du beschreibst Deine Beobachtungen, die KI hinterfragt Deine Deutung und erklärt Konzepte. Die Lab-Lösung selbst bleibt Deine Arbeit.
Zählt die Academy im Lebenslauf?
Als Zeile im Profil eher schwach, aber das dahinterstehende Können ist in Interviews sofort prüfbar. Wer die Academy kann, überzeugt im Fachgespräch.
Was ist der Unterschied zu OWASP Juice Shop?
Juice Shop ist eine einzelne verwundbare App zum Selbsthosten. Die Academy ist ein ganzes Curriculum mit Erklärungen und hunderten gezielten Labs.
Gibt es Zertifikate?
Nein, es gibt keinen Abschlussnachweis. Die Academy ist reine Übungsumgebung, Zertifikate kommen über Wege wie den BSCP oder den CPTS von HackTheBox.
Was mache ich nach der Academy?
Web-Fokus auf HackTheBox-Maschinen anwenden, Bug-Bounty-Programme lesen oder den BSCP anstreben. Wer breiter werden will, geht zu den Labs der anderen Plattformen.
Die leise beste Quelle für Web-Security
Die PortSwigger Academy hat keine Gamification, keine Werbung und kein Marketing-Getöse, sie hat nur die tiefsten Web-Security-Labs, die es kostenlos gibt. In Kombination mit dem KI-Wochenplan wird daraus ein vollwertiges Semester Web-Security. Den Gesamt-Lernweg mit allen Plattformen zeigt Security Labs üben mit KI.