Heimlabor für Cybersecurity aufbauen 2026: Hardware, VMs und Tools
7. September 2026 · von Pentevo
Ein eigenes Cybersecurity-Labor zu betreiben ist der effektivste Weg, Pentesting-Fähigkeiten zu entwickeln und zu festigen — ohne echte Systeme zu gefährden oder rechtliche Risiken einzugehen. In einem kontrollierten, isolierten Netzwerk können Sie jede Technik ohne Einschränkung üben.
Dieser Leitfaden zeigt, wie Sie mit minimalen Kosten ein professionell nutzbares Labor aufbauen.
Hardware-Anforderungen
Minimalkonfiguration (für den Start)
- RAM: 16 GB (8 GB sind zu wenig für mehrere gleichzeitige VMs)
- CPU: 4 physische Kerne, Virtualisierung aktiviert (VT-x in BIOS)
- Speicher: 500 GB SSD (VM-Snapshots und Images benötigen Platz)
- Betriebssystem: Windows 10/11, macOS oder Linux
Empfohlene Konfiguration
- RAM: 32 GB
- CPU: 6–8 Kerne (Intel i5/i7 oder AMD Ryzen 5/7)
- Speicher: 1 TB SSD
Gebrauchte Hardware als Alternative
Für ein dediziertes Labor-Gerät: Gebrauchte Lenovo ThinkPad T-Serie oder Dell Latitude (3 Generationen alt) auf eBay für 150–300 € ausreichend. Diese Geräte unterstützen meist 32 GB RAM-Upgrades.
Software: Hypervisor auswählen
VirtualBox (Empfehlung für Einsteiger)
Kostenlos, Open Source, für Windows/macOS/Linux verfügbar. Ausreichend für 3–4 gleichzeitige VMs. Nachteile: Langsamere USB-Performance, weniger stabile Netzwerk-Modi.
Installation: virtualbox.org → Download → Plattform auswählen → Installer ausführen
VMware Workstation Pro
Seit 2024 kostenlos für nicht-kommerzielle Nutzung. Bessere Performance, robustere Netzwerk-Konfiguration, native Snapshot-Verwaltung. Empfehlenswert, sobald Sie aktiv mit Active Directory üben.
Installation: vmware.com/products/workstation-pro → Download → Lizenz: Persönlich (kostenlos)
Virtuelle Maschinen für das Labor
Kali Linux (Angreifer-Maschine)
Kali Linux ist die Standard-Angreifer-Maschine mit über 600 vorinstallierten Security-Tools. Laden Sie das vorgefertigte VirtualBox/VMware-Image von kali.org herunter — kein manuelles Installieren notwendig.
Empfohlene Konfiguration: 4 GB RAM, 2 CPUs, 50 GB Speicher
Metasploitable 2 (Verwundbare Linux-Maschine)
Der klassische Einstieg: Eine absichtlich verwundbare Ubuntu-VM mit Dutzenden bekannter Schwachstellen. Perfekt für erste Metasploit-Übungen.
Download: sourceforge.net/projects/metasploitable/
Konfiguration: Host-only Netzwerk — niemals direkt mit dem Internet verbinden!
DVWA (Damn Vulnerable Web Application)
Webanwendung mit einstellbarem Schwierigkeitsgrad für alle OWASP Top 10 Schwachstellen. Als Docker-Container oder direkt auf Metasploitable 2 vorinstalliert.
Windows Server VM
Für Active Directory Übungen benötigen Sie Windows Server:
- Windows Server 2019/2022: 180-Tage-Evaluierungslizenz kostenlos auf microsoft.com
- Konfigurieren Sie Active Directory, erstellen Sie mehrere User und Gruppen
- Verbinden Sie einen Windows 10/11 Client (ebenfalls Evaluierungslizenz verfügbar)
VulnHub-Maschinen
Hunderte community-erstellter VMs verschiedener Schwierigkeitsstufen. vulnhub.com → nach Schwierigkeit filtern → herunterladen → in Hypervisor importieren.
Einstiegsempfehlungen: Mr. Robot (Medium), Basic Pentesting (Easy), Kioptrix Level 1 (Easy)
Netzwerk-Konfiguration
Isoliertes Host-only Netzwerk
Alle verwundbaren VMs müssen in einem Host-only-Netzwerk laufen — kein Internetzugang, Kommunikation nur zwischen Host und VMs. In VirtualBox: Datei → Netzwerk-Manager → Host-only-Netzwerk erstellen.
NAT-Netzwerk für Kali
Kali kann ein NAT-Netzwerk für Internet-Updates nutzen — verwundbare Zielsysteme jedoch niemals mit dem Internet verbinden.
Netzwerk-Topologie-Beispiel
Internet → [Host-Rechner] → Kali Linux (Host-only + NAT)
→ Metasploitable (Host-only only)
→ Windows Server (Host-only only)
→ DVWA (Host-only only)
Erste Übungen im Labor
Sobald das Labor steht, beginnen Sie mit:
- Nmap-Scan von Kali auf Metasploitable:
nmap -sV -sC 192.168.56.x - Metasploit-Exploitation: vsftpd 2.3.4 Backdoor auf Metasploitable
- DVWA SQL Injection: Low-Schwierigkeit, dann Medium
- Burp Suite Proxy: DVWA-Traffic abfangen und modifizieren
Verbinden Sie die praktischen Übungen mit dem theoretischen Wissen aus den kostenlosen Pentevo-Kursen — Theorie und Praxis im eigenen Labor ist die stärkste Lernkombination.
Häufig gestellte Fragen
Wie viel kostet ein Cybersecurity-Heimlabor?
Ein funktionales Labor ist mit einem vorhandenen Rechner (min. 16 GB RAM, 4 Kerne) und kostenloser Software (VirtualBox, Kali Linux, Metasploitable) für 0 € realisierbar. Für professionelle Übungen mit Windows-Server und mehreren gleichzeitigen VMs empfehlen sich 16–32 GB RAM, was je nach Hardware 50–150 € Upgrade-Kosten bedeutet.
VirtualBox oder VMware — was ist besser?
VirtualBox ist kostenlos und für Einsteiger vollständig ausreichend. VMware Workstation Pro (ca. 200 €/Lizenz oder kostenlos für nicht-kommerzielle Nutzung seit 2024) bietet bessere Performance und USB-Durchreichung. Für den Einstieg: VirtualBox.
Ist ein separater Rechner für das Labor notwendig?
Nein. Mit 16 GB RAM können Sie auf dem Hauptrechner sinnvoll arbeiten. Ein dedizierter Lab-Rechner (gebrauchter ThinkPad X1 Carbon oder Dell Latitude, ca. 200–400 €) ist komfortabler, aber kein Muss für den Anfang.
Welche verwundbaren VMs eignen sich für Anfänger?
Metasploitable 2 ist der klassische Einstieg — absichtlich verwundbar, kostenfrei, gut dokumentiert. DVWA (Damn Vulnerable Web Application) für Web-Schwachstellen. VulnHub bietet Hunderte community-erstellter Maschinen aller Schwierigkeitsstufen.
Weiterführende Artikel
Active Directory Angriffe erklärt: Kerberoasting, BloodHound und DCSync
Wie Angreifer Active Directory kompromittieren: Kerberoasting, Pass-the-Hash, BloodHound, DCSync und Golden Ticket — erklärt für Pentester und Defender.
ToolsPassword Cracking Guide 2026: Hashcat, John the Ripper und Wordlists
Passwörter knacken als Pentester: Hashcat und John the Ripper erklärt, Hash-Typen identifizieren, Wordlists und Rules — für autorisierten Einsatz in Penetrationstests.
ToolsPrivilege Escalation erklärt: Linux und Windows Rechteausweitung 2026
Vollständiger Leitfaden zur Privilege Escalation: Linux- und Windows-Techniken, Tools wie LinPEAS/WinPEAS, GTFOBins und Vorbereitung für OSCP und Pentesting.
ToolsNmap-Befehle: Der praktische Spickzettel (2026)
Die Nmap-Befehle, die Sie tatsächlich brauchen — Host-Discovery, Portscans, Dienst- und OS-Erkennung, Timing und die NSE-Skript-Engine — mit Beispielen.
Praktisch anwenden
Die Pentevo Academy macht aus diesen Konzepten geführte Lektionen, Videos und Quizze — kostenlos.
Kostenlos lernen