Das Heimlabor als Nachweis: was es belegt und wie Sie es zeigen

Die Informationssicherheit hat eine Eigenschaft, die es in wenigen Berufen gibt: Man kann den Beruf zu Hause üben, und zwar an echten Systemen. Wer kein einschlägiges Berufsjahr hat, kann sich damit einen Nachweis verschaffen, der in Gesprächen mehr trägt als ein Onlinekurs. Voraussetzung ist, dass das Labor dokumentiert ist und dass Sie erklären können, was Sie darin gelernt haben.

Was ein Labor beweisen soll

Ein Labor ist kein Selbstzweck und keine Hardwaresammlung. Es soll drei Aussagen belegen, und zwar genau die drei, an denen Bewerbungen ohne Berufserfahrung scheitern:

Erstens, dass Sie ein System vollständig aufsetzen, konfigurieren und wieder abbauen können – also dass Sie Betrieb verstehen. Zweitens, dass Sie eine Wirkung nachweisen können: vorher unsicher, Maßnahme, nachher geprüft. Drittens, dass Sie das aufschreiben können, denn der Berufsalltag besteht aus Berichten.

Wer diese drei Punkte im Kopf behält, baut ein deutlich kleineres Labor als der, der zuerst Hardware kauft.

Was Sie wirklich brauchen

Ein gebrauchter Rechner mit reichlich Arbeitsspeicher und Virtualisierung genügt für fast alles. Alternativ ein kleiner Server, alternativ ein Mietserver bei einem Anbieter – für Übungen, die Rechenleistung brauchen, ist die stundenweise Miete billiger als eigene Hardware.

Ein brauchbarer Grundaufbau besteht aus vier Teilen: ein Verzeichnisdienst mit zwei oder drei Clients, ein Linux-Server mit einem Dienst darauf, eine Trennung in mindestens zwei Netzsegmente mit einer Firewall dazwischen, und eine Stelle, an der Protokolle zusammenlaufen. Damit lässt sich der größte Teil dessen üben, was in Stellenanzeigen steht.

Entscheidend ist nicht der Umfang, sondern der Wiederaufbau: Wenn Sie das Labor mit einem Skript oder einer dokumentierten Anleitung in einer Stunde neu aufsetzen können, haben Sie ein Werkzeug. Wenn es von Hand gewachsen ist und niemand mehr weiß, was darin läuft, haben Sie ein Museum.

Sechs Übungen mit Aussagekraft

Die folgenden Vorhaben lassen sich in einem eigenen Labor durchführen und im Gespräch erklären. Sie sind bewusst so gewählt, dass jede einzelne eine Aufgabe aus einer Stellenanzeige abbildet.

1. Härtung mit Abweichungsliste. Nehmen Sie einen anerkannten Maßstab – etwa die Empfehlungen des BSI aus dem IT-Grundschutz-Kompendium oder einen veröffentlichten Härtungsleitfaden – und setzen Sie ihn auf einem System um. Schreiben Sie auf, welche Punkte Sie nicht umgesetzt haben und warum. Diese Abweichungsliste ist das eigentliche Arbeitsergebnis; in jedem Audit ist sie das Dokument, nach dem gefragt wird.
2. Protokolle sammeln und eine Erkennung bauen. Führen Sie die Protokolle mehrerer Systeme zusammen und schreiben Sie zwei oder drei Regeln, die etwas Sinnvolles erkennen: wiederholte Fehlanmeldungen, eine neue Anmeldung eines privilegierten Kontos, die Ausführung eines Werkzeugs, das dort nichts zu suchen hat. Halten Sie fest, wie viele Fehlalarme die Regel erzeugt.
3. Einen Vorfall nachstellen und auswerten. Führen Sie in Ihrem eigenen Labor eine bekannte Angriffstechnik durch und beschreiben Sie danach, welche Spuren sie hinterlassen hat und welche nicht. Die zweite Hälfte ist der Teil, der zählt.
4. Berechtigungen aufräumen. Bauen Sie einen Verzeichnisdienst mit typischen Altlasten – verschachtelte Gruppen, Dienstkonten mit zu vielen Rechten – und stellen Sie ihn um. Dokumentieren Sie, wie Sie vorher festgestellt haben, was wirklich benutzt wird.
5. Wiederherstellung üben. Sichern Sie ein System, zerstören Sie es, spielen Sie es zurück, und messen Sie die Zeit. Wer diesen Punkt in einem Gespräch nennt, unterscheidet sich sofort von Bewerbern, die nur Konzepte kennen.
6. Eine Anwendung prüfen, die dafür gemacht ist. Es gibt bewusst unsichere Übungsanwendungen und Übungsumgebungen, die genau für diesen Zweck bereitgestellt werden. Arbeiten Sie einen Prüfkatalog durch – etwa nach dem Prüfleitfaden der OWASP – und schreiben Sie einen kurzen Bericht mit Befund, Nachweis und Empfehlung.

Die Grenze, die nicht verhandelbar ist

Ein Labor ist Ihr Netz und Ihre Systeme. Sobald ein fremdes System betroffen ist, endet die Übung und beginnt die Strafbarkeit. Das Ausspähen von Daten, das Abfangen von Daten und die Vorbereitung solcher Taten sind in den §§ 202a bis 202c StGB geregelt, die Datenveränderung und die Computersabotage in den §§ 303a und 303b StGB. Eine Prüfung fremder Systeme ist nur mit einem Auftrag des Berechtigten zulässig – schriftlich, mit Umfang, Zeitfenster und Ansprechpartner. Die Einzelheiten stehen unter Pentest und Strafrecht.

Vier praktische Folgerungen daraus:

• Nutzen Sie für Tests gegen fremde Ziele ausschließlich Angebote, die es ausdrücklich erlauben: Übungsplattformen, Wettbewerbe und Programme mit veröffentlichten Regeln. Siehe CTF und Bug Bounty.
• Prüfen Sie bei einem gemieteten Server die Bedingungen des Anbieters. Manche Tätigkeiten sind dort untersagt, auch wenn sie sich im eigenen Netz abspielen.
• Trennen Sie Ihr Labor vom Heimnetz und von Ihrem Arbeitsrechner. Ein Labor, das mit den Familiengeräten in einem Netz hängt, ist ein Risiko und in einem Gespräch ein schlechtes Zeichen.
• Üben Sie nie an Systemen Ihres Arbeitgebers, auch nicht an Testsystemen, ohne eine schriftliche Erlaubnis. Das ist der häufigste Weg, wie aus Neugier eine Kündigung wird.

Wie Sie es in der Bewerbung zeigen

Ein Labor, das niemand sieht, nützt in der Bewerbung nichts. Zeigen Sie es in drei Schritten:

Im Lebenslauf eine eigene Zeile mit dem Wort, das die Sache benennt – etwa „Übungsumgebung, Eigenbetrieb seit 2025" –, dahinter in Klammern die Bestandteile in einer Zeile. Kein Absatz, kein Bild. Der Aufbau steht unter Lebenslauf.

Als kurze Dokumentation, auf die Sie verweisen: zwei bis vier Seiten oder ein öffentliches Repository mit einer Beschreibung, dem Aufbau und zwei Berichten über durchgeführte Übungen. Wer ein Repository nennt, sollte damit rechnen, dass hineingesehen wird – also keine Zugangsdaten, keine Schlüssel, keine Kopien fremder Werkzeuge ohne Lizenz.

Im Gespräch mit einer Geschichte, die einen Fehlschlag enthält. Die glaubwürdigste Antwort auf „Was haben Sie in Ihrem Labor gelernt" ist nicht eine Erfolgsmeldung, sondern eine Stelle, an der Sie sich geirrt haben: die Regel, die dreihundert Fehlalarme erzeugte, die Härtung, die einen Dienst zerlegte, die Sicherung, die sich nicht zurückspielen ließ. Genau daran erkennt ein Fachvorgesetzter, dass Sie es wirklich gemacht haben.

Was es kostet, und wie es billiger geht

Ein Labor muss keine Investition sein. Vier Wege, die sich in der Praxis bewährt haben, geordnet nach Kosten:

Gebrauchte Hardware. Ausgemusterte Rechner mit reichlich Arbeitsspeicher sind günstig zu bekommen; für Virtualisierung zählt Speicher mehr als Rechenleistung. Wer im Betrieb arbeitet, sollte fragen, was bei der nächsten Aussonderung anfällt – oft wird es verschenkt.

Stundenweise gemietete Server. Für Übungen, die kurz Leistung brauchen, ist Miete billiger als eigene Geräte. Prüfen Sie die Bedingungen des Anbieters, bevor Sie darauf testen.

Übungsplattformen mit Abrechnung im Monat. Sie ersparen den Aufbau und eignen sich für die Vorbereitung auf praktische Prüfungen, siehe OSCP. Als einziger Nachweis sind sie schwächer als ein eigenes Labor, weil sie nichts über Ihre Fähigkeit sagen, Systeme selbst aufzusetzen.

Gemeinschaftsangebote. Hochschulen, Vereine und offene Werkstätten stellen Technik und – wichtiger – Leute, mit denen man üben kann. In Mannschaftsformaten lernt man in einem Wochenende mehr als allein in einem Monat.

Und der günstigste Posten überhaupt: Die Dokumentation kostet nichts außer Zeit und ist der Teil, der in der Bewerbung wirkt.

Der Aufwand, realistisch

Rechnen Sie mit einigen Wochenenden für den Aufbau und danach mit ein paar Stunden in der Woche. Das ist viel neben einem Vollzeitberuf, und deshalb ein Hinweis, der Zeit spart: Ein kleines, gut dokumentiertes Labor mit drei durchgeführten Übungen schlägt ein großes ohne Dokumentation. Wer sechs Monate an der Infrastruktur bastelt und keinen einzigen Bericht geschrieben hat, hat ein Hobby und keinen Nachweis.

Wenn Sie berufsbegleitend dazu noch ein Zertifikat anstreben, legen Sie beides aufeinander: Die praktische Prüfung in OSCP verlangt ohnehin eine Übungsumgebung, und ein Labor ist die günstigste Vorbereitung darauf. Welche Reihenfolge sich sonst lohnt, steht unter Zertifikate im Vergleich. Welche Stellen mit solchen Nachweisen erreichbar sind, zeigen die offenen Stellenangebote.