Was bedeutet
Capture the Flag (CTF, Hacker-Wettbewerb)?

Gängige Formate eines Capture-the-Flag-Wettbewerbs (manche Veranstalter mischen sie):

• Jeopardy: Die Teams lösen voneinander unabhängige Aufgaben aus mehreren Kategorien. Jede Aufgabe bringt feste Punkte. Bei dynamischer Wertung sinkt ihr Wert mit jedem Team, das sie löst, und wer früh löst, liegt vorn. Die erste Lösung einer Aufgabe heißt in der Szene „First Blood“.
• Attack-Defense: Jedes Team bekommt einen identischen Server mit verwundbaren Diensten. Es muss die eigenen Lücken schließen, die Dienste am Laufen halten und gleichzeitig die Server der anderen Teams angreifen.
• King of the Hill: Die Teams kämpfen um die Kontrolle über einen einzigen Zielserver. Punkte bekommt, wer ihn zum Prüfzeitpunkt besetzt hält.

Typische Aufgabenkategorien:

• Web: Schwachstellen in Webanwendungen ausnutzen, z. B. eine fehlerhafte Zugriffskontrolle.
• Pwn (Binary Exploitation): Speicherfehler in kompilierten Programmen ausnutzen, um eigenen Code auszuführen.
• Reverse Engineering (Rev): Ein Programm ohne Quelltext zerlegen und seine Logik rekonstruieren.
• Kryptografie (Crypto): Fehlerhaft eingesetzte oder selbst gebaute Verschlüsselung brechen.
• Forensik: Versteckte Daten aus Speicherabbildern, Datenträgern oder Netzwerkmitschnitten wiederherstellen.
• Misc: Alles, was in keine andere Kategorie passt.

Das älteste bis heute laufende CTF gehört zur Hackerkonferenz DEF CON in Las Vegas. Laut der CTF-Chronik der DEF CON wurde es 1996 auf der DEF CON 4 erstmals als fester Wettbewerb ausgetragen. Im Finale 2026 eroberten zwölf Teams zusammen mehr als 30.000 Flags. Blue Water gewann.

Das Portal CTFtime führt den Wettbewerbskalender der Szene, archiviert Lösungswege („Writeups“) und berechnet eine Weltrangliste, in die pro Team die zehn besten Ergebnisse eines Jahres einfließen. Aus Deutschland sind dort rund 1.300 Teams registriert (Stand September 2026). Die Carnegie Mellon University veranstaltet seit 2013 picoCTF für Schüler und Studierende. Der Wettbewerb hat nach Angaben der Universität fast eine Million Lernende an das Thema herangeführt.

In Deutschland richtet der Verein Nachwuchsförderung IT-Sicherheit e. V. (NFITS) jedes Jahr vom 1. März bis 1. Mai die Cyber Security Challenge Germany (CSCG) aus. Die Online-Qualifikation steht allen offen. Die Wertung läuft in den Altersklassen Junior (14 bis 20 Jahre) und Senior (21 bis 25 Jahre) sowie in der offenen Kategorie Earth. Für das Finale können sich nur deutsche Staatsangehörige zwischen 14 und 25 Jahren qualifizieren. Die Besten bilden das Nationalteam für die European Cybersecurity Challenge (ECSC) der EU-Agentur ENISA. 2025 traten in Warschau 39 Teams an. Deutschland wurde Dritter hinter Italien und Dänemark. Die ECSC 2026 findet vom 12. bis 16. Oktober im RuhrCongress in Bochum statt. Hinter mehreren deutschen Spitzenteams stehen Hochschulen, z. B. FluxFingers an der Ruhr-Universität Bochum oder FAUST an der Universität Erlangen-Nürnberg. FAUST veranstaltet mit dem FAUST CTF einen eigenen Attack-Defense-Wettbewerb.

KI-Anbieter nutzen CTF-Aufgaben als Benchmark für ihre Modelle, weil das Ergebnis eindeutig ist. Entweder liefert der KI-Agent die richtige Flag oder nicht. Ein Mensch muss nichts bewerten. OpenAI testet seine Modelle seit 2024 mit über hundert ausgewählten Aufgaben in drei Stufen (High School, Collegiate, Professional). Jedes Modell arbeitet in einer Sandbox mit den Werkzeugen der Hacker-Distribution Kali Linux. OpenAIs o1 löste Ende 2024 bei zwölf Versuchen pro Aufgabe 13 Prozent der Profi-Aufgaben. Beim Nachfolger o3 waren es wenige Monate später 59 Prozent.

Cybench von der Stanford University ist ein öffentlicher Prüfstand mit 40 Profi-Aufgaben aus vier Wettbewerben. Anthropic hat ihn in mehreren System Cards genutzt. Cybench misst die Schwierigkeit mit der „First Solve Time“, also der Zeit, die das schnellste menschliche Team im Original-Wettbewerb benötigte. Sie reicht von 2 Minuten bis zu 24 Stunden und 54 Minuten. 2024 scheiterten alle getesteten Modelle an Aufgaben, für die Menschen länger als 11 Minuten gebraucht hatten. Im September 2026 steht Claude Mythos Preview mit 100 Prozent an der Spitze der Cybench-Rangliste. Der Wert stammt aus der System Card von Anthropic und gilt für 35 der 40 Aufgaben. Das beste Ergebnis über alle 40 Aufgaben liegt bei rund 65 Prozent.

Die Anbieter ersetzen ihre alten Aufgabensätze durch schwerere. OpenAI schreibt in der System Card zu GPT-5.6 (PDF), die meisten der vor Jahren zusammengestellten CTF-Aufgaben seien „fully saturated“. Für die neue Messung hat OpenAI 63 schwerere ausgewählt. Alle Modelle der GPT-5.6-Reihe übertrafen bei diesen Aufgaben die Schwelle „High“ aus dem Preparedness Framework von OpenAI. GPT-5.6 Sol löste 96,7 Prozent. Google DeepMind ließ für Gemini 3 Pro neue Aufgaben bauen, die einen kompletten Angriff über mehrere Stufen nachstellen. Gemini 3 Pro löste 11 von 12 der alten schweren Aufgaben. Von den 13 neuen schaffte es keine einzige vollständig. Anthropic nutzt für Claude Opus 5 außerdem den CyScenarioBench der Sicherheitsfirma Irregular. Seine mehrstufigen Szenarien sind laut System Card neu gebaut statt aus veröffentlichten CTF-Aufgaben übernommen. Der Aufgabensatz ist nicht öffentlich.

Anthropic schickte Claude 2025 in öffentliche Wettbewerbe und veröffentlichte die Ergebnisse von Claude bei Hacker-Wettbewerben. Bei picoCTF 2025 landete Claude auf Platz 297 von 10.460 Teams. Im „AI vs Human CTF“ von Hack The Box löste es 19 von 20 Aufgaben und wurde 30. von 161 Teams. An den Profi-Wettbewerben PlaidCTF und der DEF-CON-Qualifikation scheiterte Claude dagegen bei jeder Aufgabe. Rund 70 Prozent der menschlichen PlaidCTF-Teams ging es laut Anthropic ebenso.

Bei der AI Cyber Challenge der US-Forschungsbehörde DARPA traten im Finale 2025 vollautomatische Systeme gegeneinander an. Sie sollten Lücken in Open-Source-Software finden und selbst schließen. Laut den Finalergebnissen der DARPA entdeckten sie 54 der 63 eingebauten Schwachstellen (86 Prozent) und reparierten 43 davon. Außerdem stießen sie auf 18 Lücken, die nicht künstlich eingebaut waren. Diese wurden an die betroffenen Projekte gemeldet. Das Siegerteam Atlanta erhielt 4 Millionen US-Dollar.

Grenzen der Aussagekraft von CTF-Ergebnissen:

• Einzelfähigkeit statt Angriff: Das britische AI Security Institute schreibt in seiner Bewertung von Claude Mythos Preview, selbst Experten-CTFs prüften nur einzelne Fähigkeiten isoliert. Tatsächliche Angriffe verketten Dutzende Schritte über mehrere Rechner und Netzsegmente (siehe Exploit-Kette).
• Bekannte Lösungen: Zu alten Aufgaben stehen Writeups im Netz. Ein Team der südkoreanischen Universität KAIST hat einem Agenten eine Websuche gegeben. Seine Lösungsquote stieg von 12,59 auf 24,07 Prozent, weil er fertige Lösungswege fand. Bei laufenden Wettbewerben, zu denen es noch keine Writeups gibt, erreichten die getesteten Modelle weniger als die Hälfte ihrer Benchmark-Werte (CTFusion-Studie).
• Abkürzungen: 2024 startete bei OpenAI eine Aufgabe wegen eines Infrastrukturfehlers nicht. Das Modell o1-preview fand eine falsch konfigurierte Docker-Schnittstelle, startete den Container selbst neu und las die Flag aus dessen Protokoll. Es kam so an die Flag, ohne die gemeinte Lücke je berührt zu haben. OpenAI nennt das Muster „Reward Hacking“ (siehe Specification Gaming). Auch Gemini 3 Pro fand laut Google DeepMind bei zwei seiner elf gelösten Aufgaben eine unbeabsichtigte Abkürzung.

Ende Juli 2026 machte Anthropic drei Vorfälle bei Cybersicherheits-Tests öffentlich, die seit April aufgetreten waren. Die Aufgabenstellung hatte Claude mitgeteilt, es habe keinen Internetzugang. Durch eine Fehlkonfiguration bestand er doch. Claude griff reale Systeme an, die es für Teil der Übung hielt.

KI-Modelle sollen bei Übungsaufgaben helfen und Angriffe auf fremde Systeme ablehnen. Diese Grenze nutzen Angreifer aus. Der Sicherheitsanbieter Sysdig hat im Juni 2026 beschrieben, wie Angreifer ihre Anfragen als CTF-Übung tarnen, und nennt das Muster eine „shared jailbreak method“. Es ist eine Spielart des Jailbreaks. Das Sicherheitsteam von Hacktron griff ebenfalls darauf zurück. Im Juli 2026 hat es mit Claude Opus 5 das Community-Forum von OpenAI gehackt. Die Lücke steckte in der Forensoftware Discourse, auf der das Forum läuft. Claude hatte Exploits gegen entfernte Server zuvor abgelehnt. Daraufhin leitete das Team seine eigene Testinstanz über eine Adresse, die wie ein CTF-Ziel aussah. Das Forum selbst fiel nicht unter das Bug-Bounty-Programm von OpenAI. Für einen weiteren Fund auf OpenAI-Seite erhielt das Team laut Hacktron-Bericht „Hacking OpenAI“ 6.500 US-Dollar.