Schneiers "Security Mindset": Wie praktische Erfahrung die IT-Sicherheitsausbildung prägt

CTFs und Hacking Labs als Lernorte

Der Kommentar verweist darauf, dass sich technische Sicherheitsdetails zwar aus Lehrbüchern, Blogposts oder Tutorialvideos erlernen ließen, für das Security Mindset aber vor allem praktische Berührung mit dem Thema nötig sei. In den frühen Tagen der IT seien die meisten Expertinnen und Experten als Quereinsteiger über praktische Erfahrungen in das Feld geraten, erläutert Schneider.

Um solche Erfahrungen legal und im geschützten Rahmen zu ermöglichen, hätten sich Hacking-Challenges und CTF-Wettbewerbe etabliert. Bei einem CTF bekämen die Teams absichtlich fehlerhafte Software. Sie starten und vernetzen sie, dann versuchen sie gleichzeitig die Fehler bei sich zu beheben und bei den anderen Teams auszunutzen, beschreibt der Autor den Ablauf.

Inzwischen seien CTFs auch in der akademischen Lehre angekommen. "Jede Hochschule, die IT-Security lehrt, hat ein Hacking Lab oder zumindest CTF-artige Aufgaben in den Übungen ihrer Sicherheitsmodule", schreibt Schneider. Damit habe die universitäre Ausbildung ein praxisnahes Format gefunden, das über reine Theorie hinausgeht.

Vom Hobbylabor zur Industrie

Parallel zur Wissenschaft hätten auch Plattformen wie "Hack the Box" und "Try Hack Me" vielen Menschen den praktischen Einstieg in die Security-Welt ermöglicht. Diese Angebote richteten sich ausdrücklich auch an Quereinsteigerinnen und Quereinsteiger ohne formale Securityausbildung, hebt der Kommentar hervor.

Auch in der Industrie sei das Konzept angekommen, und zwar in Form der Cyber Ranges als Fortbildungsinstrument. Schneider sieht darin einen Beleg dafür, dass der Bedarf an realistischen Übungsumgebungen über Hochschulen und Hobbyplattformen hinaus in Unternehmen und Behörden gewachsen ist.

Der Kommentar schließt mit der Frage, welche Lernformate künftig notwendig sind, um die nächste Generation von Sicherheitsexpertinnen und -experten auszubilden. Schneider liefert keine abschließende Antwort, regt aber dazu an, die Balance zwischen theoretischer Fundierung und praktischer Erfahrung weiter zu justieren.

Der vollständige Beitrag steht heise-Plus-Abonnentinnen und -Abonnenten zur Verfügung. Er ist Teil einer Reihe von Veröffentlichungen, in denen heise Plus grundlegende Fragen der IT-Sicherheitsausbildung diskutiert.

Der heise-Plus-Kommentar ist eingebettet in eine breitere Debatte über den Wandel der IT-Sicherheitsbranche. Angesichts neuer Bedrohungen und wachsender Anforderungen an Fachkräfte werde diskutiert, wie Ausbildungskonzepte anzupassen seien, schreibt der Autor.