01 Training startenToken-Flow: Wo greift der Schutz?
Code abfangen, PKCE prüfen und den Unterschied zu einem gestohlenen Token nachvollziehen.
Übung startenStart / Training
Security trainieren.
Interaktive Übungen: selbst entscheiden, Schutzmaßnahmen testen und die Wirkung verstehen.
Sechs Themen · Dein TrainingSelbst ausprobieren.
Selbst ausprobieren.
Wirklich verstehen.
Hier trainierst du Security an konkreten Fällen. Prüfe Hinweise, ändere Einstellungen und entscheide selbst. Du siehst direkt, was deine Entscheidung bewirkt, und bekommst eine Erklärung dazu. So wird aus gelesenem Wissen praktische Erfahrung.
01 Training starten
02 Training startenWie fällt ein Passwort?
Wörterbuch und systematisches Raten vergleichen. Sperre und Drosselung dazuschalten und den Effekt sehen.
Übung starten
03 Training startenEcht genug, um falsch zu sein.
Vier Nachrichten. Absender, Ziel und verlangte Aktion untersuchen — und eine begründete Entscheidung treffen.
Übung starten
04 Training startenAngemeldet heißt nicht berechtigt.
Eine Rechnungsnummer ändern: Was passiert mit und ohne Prüfung auf das eigene Benutzerkonto?
Übung starten
05 Training startenFinde die Spur im Rauschen.
Ein kleines Anmeldeprotokoll untersuchen. Verdächtige Ereignisse markieren und deine Belege bewerten.
Übung starten
06 Training startenWenn die Quelle Befehle gibt.
Eine manipulierte Notiz trifft auf einen Assistenten. Ändere die Vertrauensgrenze und vergleiche die Reaktion.
Übung startenAusprobieren → Entscheiden → Verstehen
Wiederhole eine Übung und vergleiche andere Entscheidungen. Alles läuft mit vorbereiteten Beispieldaten im Browser; du brauchst keine eigene Testumgebung oder Zugangsdaten.
Abfragen und Checklisten zum Mitnehmen
INTERAKTIV · KONZEPTLAB◷ 10 Min. zum Ausprobieren
Token-Flow: Wo greift der Schutz?
Wir verfolgen einen vereinfachten Authorization-Code-Flow mit PKCE. Jeder Schritt zeigt, was übertragen und geprüft wird.
So wird aus einer Anmeldung ein API-Zugriff.
1 · Der Browser startet den Flow
Der Client erzeugt einen zufälligen code_verifier und berechnet daraus den code_challenge. Nur der Challenge geht mit der Autorisierungsanfrage an Entra ID. Der Verifier bleibt beim Client.
Beobachten: client_id, redirect_uri, scope, state und code_challenge.
Schritt 1 / 5
Simulierte Übung zur Veranschaulichung. Keine Verbindung zu einem realen System. PKCE schützt vor Code-Interception; es verhindert allein keinen Diebstahl bereits ausgestellter Bearer Token.
AUS MEINEM WERKZEUGKASTEN
Handwerkszeug zum Mitnehmen.
KQL: Auffällige Anmeldungen
Fehlgeschlagene Anmeldungen der letzten 24 Stunden nach Benutzer zählen. Ein Einstieg in die Untersuchung, keine fertige Angriffserkennung.
Incident-Triage
Fragen für die erste Eingrenzung: Fakten, Identitäten, Sitzungen, Berechtigungen und die Wirkung der Maßnahmen.
OAuth nachvollziehen
Code, Token und Ressource auseinanderhalten. Den Normalfall mit einem abgefangenen Code vergleichen und Grenzen des Schutzes erkennen.