Capture the Flag

Capture the Flag ist ein sportlicher Wettbewerb rund um Computersicherheit. Die Veranstalter bauen absichtlich fehlerhafte Programme, Webseiten oder Server. Wer einen dieser Fehler ausnutzt und tief genug in das System vordringt, findet dort eine versteckte Zeichenkette. Diese Zeichenkette heißt "Flagge" und sieht etwa so aus: flag. Man trägt sie auf der Wettbewerbsseite ein und bekommt Punkte. Der Name stammt vom Geländespiel, bei dem zwei Mannschaften die Fahne der Gegenseite erobern.

Warum Firmen ihre besten Leute auf CTFs schicken

Computersicherheit lässt sich schlecht aus Büchern lernen. Man muss selbst erlebt haben, wie ein Angriff abläuft, um ihn später abwehren zu können. Genau dafür sind diese Wettbewerbe da: Sie liefern eine Umgebung, in der man angreifen darf, ohne jemandem zu schaden. Alles läuft auf abgeschotteten Servern der Veranstalter.

Für Unternehmen sind CTFs deshalb eine Art Personalmarkt. Wer bei einem großen internationalen Wettbewerb vorne landet, hat seine Fähigkeiten praktisch bewiesen. Ein Zeugnis kann das kaum leisten. Manche Sicherheitsfirmen bestehen fast vollständig aus Leuten, die sich in dieser Szene kennengelernt haben.

Seit einigen Jahren kommt ein zweiter Grund dazu. CTF-Aufgaben sind zu einem beliebten Prüfstein für KI-Systeme geworden. Sie haben eine eindeutig richtige Lösung, nämlich die Flagge, und lassen sich deshalb automatisch bewerten. Gleichzeitig verlangen sie mehrere Denkschritte hintereinander. Ein Modell muss ein Programm verstehen, eine Schwachstelle vermuten, einen Angriff bauen und ihn ausprobieren.

Von der Aufgabenstellung zur Flagge

Die meisten Wettbewerbe teilen ihre Aufgaben in Kategorien ein. Bei "Web" geht es um Fehler in Internetseiten, etwa um ein Login, das man mit einer trickreichen Eingabe umgehen kann. Bei "Reverse Engineering" bekommt man ein fertiges Programm ohne den zugehörigen Quelltext und muss herausfinden, welches Passwort es akzeptiert. Bei "Krypto" sind Verschlüsselungen falsch eingesetzt und dadurch knackbar. Dazu kommt "Forensik": Man durchsucht Dateien oder mitgeschnittenen Netzwerkverkehr nach Spuren.

Es gibt zwei Grundformen. Beim Jeopardy-Format arbeiten alle Teams unabhängig an derselben Aufgabenliste, jede Aufgabe ist unterschiedlich viele Punkte wert. Beim Attack-Defense-Format bekommt jedes Team einen eigenen Server mit denselben Schwachstellen. Man muss die eigenen Lücken stopfen und gleichzeitig die der anderen ausnutzen. Das ist deutlich hektischer und läuft oft über 24 oder 48 Stunden am Stück.

Wichtig ist die klare Abgrenzung zu echtem Hacking. Eine CTF-Flagge hat keinen Wert außerhalb des Wettbewerbs, und die Systeme gehören dem Veranstalter. Wer dieselben Techniken auf fremde Server anwendet, macht sich strafbar. Diese Trennung ist kein Detail, sondern die Grundregel der gesamten Szene.

CTFs als Messlatte für KI-Agenten

In Meldungen über KI-Sicherheit tauchen CTF-Aufgaben inzwischen regelmäßig auf. Labore wie OpenAI, Anthropic und Google DeepMind lassen ihre Modelle vor der Veröffentlichung solche Aufgaben lösen. Das Ergebnis steht dann in den Sicherheitsberichten zum Modell. Die Logik dahinter: Wenn ein System schwierige CTF-Aufgaben allein knackt, könnte es auch echte Angriffe automatisieren.

Die Zahlen bewegen sich schnell. Vor wenigen Jahren scheiterten Modelle noch an Einsteigeraufgaben. Heute lösen die stärkeren Systeme einen erheblichen Teil der mittleren Schwierigkeitsstufe selbstständig, wenn sie Werkzeuge wie eine Kommandozeile benutzen dürfen. An den schwersten Aufgaben, die auch geübte Menschen stundenlang beschäftigen, scheitern sie weiterhin oft.

Für Schüler und Studierende sind CTFs außerdem ein sehr niedrigschwelliger Einstieg. Plattformen wie picoCTF richten sich ausdrücklich an Anfänger und laufen komplett im Browser. Man braucht keinen eigenen Server und keine teure Software. In Deutschland gibt es zudem Wettbewerbe an Universitäten und die "Cyber Security Challenge" für Jugendliche.