PenQuest
Ein Netzwerk, zwei Spieler:innen, echte Techniken
Eine Seite greift ein simuliertes IT-Netzwerk an, die andere verteidigt es. Angriffe verlaufen wie echte Einbrüche: Aufklärung, Erstzugriff, laterale Bewegung und schließlich Datendiebstahl, Manipulation oder Ausfall. Systeme hängen voneinander ab – ein ungepatchter Arbeitsplatz kann den Weg zur Datenbank öffnen.
Szenarien sind frei konfigurierbar, von Ransomware auf einem einzelnen Arbeitsplatz bis zu großangelegtem Datendiebstahl über DMZ, LAN und Cloud.
Ablauf einer Runde
Ziehen, spielen, auflösen
Ziehen
Neue Aktionen aus einer Auswahl auf die Hand nehmen und mit Credits Ausrüstung kaufen.
Spielen
Aktionspunkte für Karten ausgeben und Zielsysteme wählen. Abhängigkeiten bestimmen, was erreichbar ist.
Auflösen
Erfolg, Entdeckung und Einblick werden ausgewürfelt. Ein Protokoll zeigt, was die Gegenseite bemerkt hat.
Karten
Fünf Kartentypen
Jede Karte zeigt ihre Kosten, ihre Wirkung auf Vertraulichkeit, Integrität und Verfügbarkeit sowie ihre Seltenheit.
Asset
Die Systeme im Spiel: Server, Arbeitsplätze, Cloud-Dienste, OT.
Angriff
Techniken aus MITRE ATT&CK, nach Angriffsphase gruppiert.
Abwehr
Gegenmaßnahmen aus D3FEND und NIST SP 800-53.
Ausrüstung
Passive Effekte, mit Credits gekauft.
Unterstützung
Erweiterungen, die eine Aktion verstärken, tarnen oder verbilligen.
Im Einsatz
Wo PenQuest gespielt wird
In Lehrveranstaltungen, Awareness-Trainings und Workshops, in denen Organisationen ihre Risiken durchspielen. Weil jede Karte einer echten Technik oder Maßnahme entspricht, wird eine Partie zum strukturierten Gespräch über ein konkretes Netzwerk.
Gegen einen Bot spielen, den Quizmodus einschalten, damit Sicherheitswissen die Erfolgschancen beeinflusst, oder ein eigenes Netzwerk mit DMZ, LAN, Cloud und OT bauen.
Version 1.2.4 ist online. Version 2.0 mit neuer Oberfläche und Scenario Creator ist in Entwicklung, und das Team sucht Alpha-Tester:innen: robert.luh@ustp.at
Vom Modell zum Spiel
Wie PenQuest entstand
- 2018APT RPGEin Metamodell von Angreifer- und Verteidigerverhalten aus STIX, CAPEC, CVE/CWE und NIST SP 800-53, gedacht als Grundlage für ein Rollenspiel
- 2019PenQuestAus dem Modell wird ein Brettspiel für Sicherheitsbewertung und Ausbildung
- 2022PenQuest ReloadedDie digitale Version für die technische Ausbildung, vorgestellt auf der IEEE EDUCON
- 2025Risikoanalyse für IT/OTPenQuest als Werkzeug, um Angriffspfade und Abwehrmaßnahmen in IT- und OT-Infrastrukturen durchzuspielen, erschienen in Computers & Security
- 2026PenQuest 2.0Neue Oberfläche und Scenario Creator, in Entwicklung
Team
Wer PenQuest macht
- Robert LuhSpieldesign und Modell
- Sebastian EresheimBackend und KI
- Thomas PetelinBackend und Frontend
- Nico GentiliniScenario Creator
- Maximilian RiegerUI und visuelles Design
Mit der USTP St. Pölten, der Universität Wien, dem FWF (Projekt INODES), DIH Ost und KIRAS.
Die Forschung hinter dem Spiel
- Gamifying information security: Adversarial risk exploration for IT/OT infrastructures · Computers & Security, 2025
- PenQuest Reloaded: A Digital Cyber Defense Game for Technical Education · IEEE EDUCON, 2022
- PenQuest: a gamified attacker/defender meta model for cyber security assessment and education · Journal of Computer Virology and Hacking Techniques, 2020
- APT RPG: Design of a Gamified Attacker/Defender Meta Model · ICISSP, 2018
Einführungsvideo · Hintergrundvideo · Spielanleitung (PDF, Englisch)