Hacking-Tools 2026: Die beste Übersicht für Pentester

Wer sich mit Penetrationstests, Bug Bounty oder Ethical Hacking beschäftigt, stößt schnell auf immer dieselben Namen: Nmap, Metasploit, Burp Suite, Wireshark. Doch eine reine Namensliste hilft 2026 kaum noch weiter. Entscheidend ist, welche Werkzeuge tatsächlich noch gepflegt werden, welche längst durch modernere Nachfolger abgelöst sind und wofür genau man sie einsetzt. Genau da setzt dieser Überblick an.

Anders als die meisten Listen im Netz nennen wir zu jedem Tool einen recherchierten Wartungsstatus für 2026, belegt über die offiziellen Repositories und Herstellerseiten, nicht geschätzt. Sie sehen also auf einen Blick, ob ein Werkzeug aktiv weiterentwickelt wird, eingefroren ist oder umbenannt wurde. Dazu ordnen wir jedes Tool einer sinnvollen Kategorie zu (Recon, Scanning, Web, Passwörter, Exploitation, Wireless, Forensik) und liefern ein korrektes Beispielkommando.

Ein Hinweis vorweg, der über den ganzen Artikel gilt: Diese Werkzeuge sind mächtig, und ihr Einsatz ist in Deutschland nur mit ausdrücklicher Erlaubnis des Systembetreibers erlaubt. Warum das so ist und was der sogenannte Hackerparagraf § 202c StGB damit zu tun hat, klären wir weiter unten in einem eigenen Abschnitt. Lesen Sie ihn, bevor Sie das erste Tool ausprobieren.

Was Hacking-Tools sind und worauf es 2026 ankommt

Hacking-Tools, oft auch Pentest-Tools oder Hacker-Werkzeuge genannt, sind Programme, mit denen Sicherheitsfachleute Systeme, Netzwerke und Anwendungen gezielt auf Schwachstellen prüfen, und zwar mit Erlaubnis des Eigentümers. Der Unterschied zwischen einem Angriff und einem Sicherheitstest liegt nicht im Werkzeug, sondern in der Absicht und der Autorisierung. Ein Portscanner ist derselbe, egal wer ihn bedient.

Kali Linux als Standard-Werkzeugkasten

Die Werkzeuge werden gebündelt in spezialisierten Distributionen wie Kali Linux ausgeliefert, das mehrere hundert vorinstallierte Penetration Testing Tools in einer konsistenten Umgebung zusammenfasst. Kali sortiert seine Werkzeuge inzwischen nach Angriffsphasen im Sinne des MITRE-ATT&CK-Modells (Reconnaissance, Credential Access, Lateral Movement und so weiter), nicht mehr nur nach grobem Werkzeugtyp. Diese phasenorientierte Gliederung übernehmen wir hier, weil sie zeigt, wie die Tools in einem echten Test zusammenspielen.

Warum der Wartungsstatus entscheidend ist

Viele Tool-Listen schleppen jahrelang veraltete Empfehlungen mit. Ein bekanntes Beispiel ist Dirbuster: Das Werkzeug wird bis heute in zahlreichen Artikeln unkommentiert als aktueller Verzeichnis-Scanner genannt, obwohl seine letzte Version aus der Zeit um 2013 stammt und es längst durch schnellere Nachfolger wie ffuf, Gobuster und Feroxbuster ersetzt wurde. Wer es blind übernimmt, arbeitet mit einem eingefrorenen Werkzeug und verpasst deutlich bessere Alternativen. Deshalb steht in diesem Artikel bei jedem Tool ein Status, und die folgende Tabelle fasst alle auf einen Blick zusammen.

Status-Übersicht aller Werkzeuge (Stand Juli 2026)

Die Statusangaben stammen aus einer Prüfung der offiziellen GitHub-Repositories und Herstellerseiten vom 13. Juli 2026. Bei Open-Source-Projekten ist die Commit-Aktivität ein Momentwert, der sich ändern kann. Proprietäre Produkte (Burp Suite, Nessus) werden über den aktiven Vertrieb des Herstellers als aktiv eingeordnet.

Reconnaissance und OSINT: die erste Phase

Am Anfang jedes Tests steht das Sammeln von Informationen. Je mehr Sie über ein Ziel wissen (Domains, Subdomains, offene Dienste, E-Mail-Adressen), desto gezielter arbeiten Sie später.

theHarvester

Kernfunktion: Sammelt E-Mail-Adressen, Subdomains, Hostnamen und Namen aus öffentlichen Quellen wie Suchmaschinen und Zertifikatsdatenbanken. Kategorie: Recon/OSINT. Status 2026: Aktiv, offizielles Repo laramies/theHarvester. theHarvester ist eines der schnellsten Werkzeuge, um die öffentliche Angriffsfläche einer Organisation abzustecken, ohne ein einziges Paket ans Ziel selbst zu senden (passive Recon).

theHarvester -d example.com -b bing,duckduckgo,crtsh

Nmap (in der Recon-Phase)

Kernfunktion: Portscanning, Host- und Dienst-Erkennung, Betriebssystem-Fingerprinting. Kategorie: Recon/Scanning. Status 2026: Aktiv, offizielles Repo nmap/nmap. Nmap ist das meistgenutzte Netzwerk-Erkundungswerkzeug überhaupt und der Standard-Einstieg in fast jeden Test. Das Projekt liefert mit Zenmap eine plattformübergreifende grafische Oberfläche mit (im Windows-Installer enthalten). Ein sinnvoller Erst-Scan kombiniert Versions- und Betriebssystemerkennung:

nmap -sV -sC -O -p- 10.10.10.10 -oA scan-ergebnis

Der Schalter -sC führt die Standard-Skripte aus, -sV erkennt Dienstversionen, -O versucht die OS-Erkennung und -p- prüft alle 65.535 Ports. In der Praxis reicht oft schon nmap -sC -sV, um die meisten Findings zu erhalten, bevor man auf aggressivere Scans umsteigt.

Scanning und Schwachstellenanalyse

Sind die erreichbaren Dienste bekannt, folgt die systematische Suche nach bekannten Schwachstellen.

Nessus

Kernfunktion: Kommerzieller Schwachstellen-Scanner mit sehr großer, wöchentlich aktualisierter Plugin-Datenbank. Kategorie: Scanning. Status 2026: Aktiv, proprietär (Tenable). Nessus zählt zu den etabliertesten Scannern im Unternehmensumfeld. Die Editionen Nessus Professional (rund 4.790 US-Dollar pro Jahr) und Nessus Expert (rund 6.790 US-Dollar pro Jahr) richten sich an Profis, laut Hersteller kommen wöchentlich über 100 neue Plugins hinzu. Eine kostenlose Open-Source-Alternative ist OpenVAS.

Nuclei

Kernfunktion: Schneller, templatebasierter Schwachstellen-Scanner. Die Prüflogik steckt in tausenden von der Community gepflegten YAML-Templates. Kategorie: Scanning. Status 2026: Aktiv, offizielles Repo projectdiscovery/nuclei. Nuclei ist einer der stärksten Neuzugänge der letzten Jahre und in modernen Bug-Bounty-Workflows kaum noch wegzudenken.

nuclei -u https://example.com -severity critical,high -o ergebnisse.txt

Nikto

Kernfunktion: Web-Server-Scanner, der auf tausende potenziell gefährliche Dateien, veraltete Serverversionen und Fehlkonfigurationen prüft. Kategorie: Web-Scanning. Status 2026: Aktiv, offizielles Repo sullo/nikto. Nikto ist laut, schnell und ein guter Erst-Check für einen Webserver, aber nicht auf Tarnung ausgelegt.

nikto -h https://example.com

WPScan

Kernfunktion: Spezialisierter Schwachstellen-Scanner für WordPress (Plugins, Themes, Benutzer). Kategorie: Web (CMS). Status 2026: Aktiv, offizielles Repo wpscanteam/wpscan. Wichtig zu wissen: Die WPScan-Schwachstellendatenbank per API ist inzwischen kommerziell lizenziert, der CLI-Scanner selbst bleibt quelloffen und kostenlos nutzbar.

wpscan --url https://example.com --enumerate vp,u

Web Application Security

Webanwendungen sind eines der häufigsten Angriffsziele, viele der gängigsten Schwachstellen stehen in den OWASP Top 10. Hier tummeln sich die meisten Werkzeuge, und hier ist auch die veraltete Dirbuster-Empfehlung besonders hartnäckig.

Burp Suite

Kernfunktion: Integrierte Plattform für Webanwendungstests, ein abfangender Proxy als Herzstück, dazu Scanner, Repeater und Intruder. Kategorie: Web. Status 2026: Aktiv, proprietär (PortSwigger), mit kostenloser Community Edition. Burp Suite ist das De-facto-Standardwerkzeug für Web-Pentests. Die Professional Edition kostet rund 475 US-Dollar pro Jahr, Stand 2026, die Community Edition reicht zum Lernen und für viele manuelle Tests aus.

OWASP ZAP

Kernfunktion: Vollständig quelloffener Web-App-Scanner und abfangender Proxy, das Flaggschiff-Projekt der OWASP. Kategorie: Web. Status 2026: Aktiv, offizielles Repo zaproxy/zaproxy. ZAP ist die stärkste kostenlose Alternative zu Burp Suite und besonders einsteigerfreundlich, weil es einen geführten automatisierten Scan mitbringt.

sqlmap

Kernfunktion: Automatisiertes Aufspüren und Ausnutzen von SQL-Injection-Schwachstellen. Kategorie: Web/Exploitation. Status 2026: Aktiv, offizielles Repo sqlmapproject/sqlmap. sqlmap übernimmt die mühsame Handarbeit beim Testen von Datenbank-Schnittstellen auf SQL-Injection-Schwachstellen und kann bei Erfolg ganze Datenbanken auslesen.

sqlmap -u "https://example.com/artikel?id=1" --batch --dbs

ffuf und Gobuster statt Dirbuster

An dieser Stelle die wichtigste Korrektur gegenüber älteren Listen: Dirbuster ist veraltet. Das Werkzeug wird seit rund 2013 nicht mehr weiterentwickelt (Status: inaktiv/eingefroren) und sollte nicht mehr als aktuelle Empfehlung auftauchen. Moderne, aktiv gepflegte Nachfolger für das Auffinden versteckter Verzeichnisse und Dateien sind ffuf (ffuf/ffuf), Gobuster (OJ/gobuster) und Feroxbuster. Alle drei sind schneller, flexibler und werden 2026 aktiv weiterentwickelt.

ffuf -u https://example.com/FUZZ -w /usr/share/wordlists/dirb/common.txt

gobuster dir -u https://example.com -w /usr/share/wordlists/dirb/common.txt

Wfuzz

Kernfunktion: Flexibler Web-Fuzzer für Parameter, Verzeichnisse und Formulare. Kategorie: Web/Fuzzing. Status 2026: Aktiv, aber mit deutlich verlangsamtem Release-Tempo (xmendez/wfuzz). Wfuzz funktioniert weiterhin, in vielen Workflows hat ffuf es jedoch wegen höherer Geschwindigkeit abgelöst.

XSSer

Kernfunktion: Automatisiertes Aufspüren, Ausnutzen und Melden von Cross-Site-Scripting-Schwachstellen. Kategorie: Web (XSS). Status 2026: Aktiv, offizielles Repo epsylon/xsser. Wichtiger Hinweis zur Schreibweise: Das Tool heißt korrekt XSSer, nicht "Xxser", wie es in älteren Fassungen dieses Artikels fälschlich stand.

XSS ist ein weites Feld, und für den Einstieg lohnt es sich, zunächst die Funktionsweise selbst zu verstehen, bevor man automatisierte Werkzeuge einsetzt. Wer tiefer einsteigen möchte, findet in unseren Grundlagen zu Cross-Site-Scripting die wichtigsten Angriffstypen erklärt.

Eine praktische Anleitung für einen verwandten XSS-Scanner liefert unser Schritt-für-Schritt-Tutorial zu XSStrike. XSStrike selbst ist übrigens ein gutes Beispiel dafür, warum der Wartungsstatus zählt: Das Projekt gilt 2026 als verlangsamt bis inaktiv (letzter Commit im Frühjahr 2025), bleibt zum Lernen aber weiterhin lehrreich.

Passwörter und Credentials

Ob geleakte Hashes oder Login-Formulare: Werkzeuge zum Wiederherstellen und Prüfen von Zugangsdaten gehören zum Kern jedes Tests.

Hashcat

Kernfunktion: GPU-beschleunigtes Knacken von Passwort-Hashes, unterstützt hunderte Hash-Typen. Kategorie: Passwörter. Status 2026: Aktiv, offizielles Repo hashcat/hashcat. Hashcat ist der schnellste Weg, um aus einem erbeuteten Hash das Klartext-Passwort zu rekonstruieren, sofern es schwach genug ist.

hashcat -m 1000 -a 0 hashes.txt /usr/share/wordlists/rockyou.txt

Der Modus -m 1000 steht für NTLM-Hashes, -a 0 für einen Wörterbuchangriff. Wie stark der Faktor Passwortlänge wirkt, zeigt eine Beispielrechnung auf aktueller GPU-Hardware (RTX 4090): Ein achtstelliges Passwort nur aus Kleinbuchstaben fällt in unter einer Minute, ein zwölfstelliges Passwort mit gemischter Groß- und Kleinschreibung plus Sonderzeichen würde dagegen Jahrtausende brauchen.

John the Ripper

Kernfunktion: Vielseitiger Passwort-Cracker mit automatischer Hash-Erkennung, auch für verschlüsselte Dateien (etwa Office-Dokumente). Kategorie: Passwörter. Status 2026: Aktiv, offizielles Repo openwall/john. "John" ist flexibler und CPU-orientierter als Hashcat und ein Klassiker, der seit Jahrzehnten gepflegt wird.

john --wordlist=/usr/share/wordlists/rockyou.txt hashes.txt

Hydra

Kernfunktion: Schnelles Brute-Forcing von Login-Diensten über mehr als 50 Protokolle (SSH, FTP, HTTP, RDP und weitere). Kategorie: Passwörter. Status 2026: Aktiv, offizielles Repo vanhauser-thc/thc-hydra. Hydra arbeitet gegen Online-Dienste, im Unterschied zu Hashcat und John, die offline gegen bereits erbeutete Hashes rechnen.

hydra -l admin -P /usr/share/wordlists/rockyou.txt ssh://10.10.10.10 -t 4

Exploitation und Active Directory

Der am schnellsten wachsende Bereich der letzten Jahre sind Angriffe auf Windows-Netzwerke und Active Directory. Diese Kategorie fehlte in vielen älteren Listen komplett.

Metasploit Framework

Kernfunktion: Das bekannteste Exploitation-Framework, bündelt Exploits, Payloads und Post-Exploitation-Module unter einer Konsole. Kategorie: Exploitation. Status 2026: Aktiv, offizielles Repo rapid7/metasploit-framework. Metasploit ist der Werkzeugkasten, mit dem sich gefundene Schwachstellen kontrolliert ausnutzen lassen. Gestartet wird es über die interaktive Konsole:

msfconsole

Impacket

Kernfunktion: Sammlung von Python-Skripten für Windows-Netzwerkprotokolle (SMB, MSSQL, Kerberos), das Rückgrat vieler AD-Angriffe. Kategorie: Exploitation/AD. Status 2026: Aktiv, das Repo ist von SecureAuthCorp/impacket zu fortra/impacket umgezogen. Impacket ist nicht immer standardmäßig installiert und wird bei Bedarf per pip3 install impacket nachgerüstet. Enthaltene Skripte wie mssqlclient.py oder psexec.py sind aus modernen Windows-Tests nicht mehr wegzudenken.

Mimikatz

Kernfunktion: Extrahiert Klartext-Passwörter, Hashes und Kerberos-Tickets aus dem Speicher laufender Windows-Systeme. Kategorie: Passwörter/AD. Status 2026: Aktiv, offizielles Repo gentilkiwi/mimikatz. Mimikatz ist das Referenzwerkzeug für Credential-Dumping unter Windows und Teil praktisch jedes AD-Assessments.

BloodHound Community Edition

Kernfunktion: Visualisiert Angriffspfade in Active Directory als Graph und findet so den kürzesten Weg zum Domain-Administrator. Kategorie: Exploitation/AD. Status 2026: Aktiv, offizielles Repo SpecterOps/BloodHound. Achtung bei der Quelle: Das alte Single-Binary-BloodHound firmiert heute als "BloodHound-Legacy", die aktiv entwickelte Community Edition liegt unter SpecterOps/BloodHound.

NetExec (der CrackMapExec-Nachfolger)

Kernfunktion: All-in-one-Werkzeug zum Testen von Windows- und Active-Directory-Umgebungen (Authentifizierung, laterale Bewegung, Enumeration). Kategorie: Exploitation/AD. Status 2026: Aktiv, offizielles Repo Pennyw0rth/NetExec. Ein weiterer Fall, der den Wert des Wartungsstatus zeigt: Der Vorgänger CrackMapExec (byt3bl33d3r/CrackMapExec) ist seit Ende 2023 archiviert und schreibgeschützt. Die Community ist geschlossen zu NetExec gewechselt. Wer heute noch CrackMapExec empfiehlt, verweist auf ein totes Projekt.

Responder

Kernfunktion: Fängt Zugangsdaten in Windows-Netzwerken ab, indem es Namensauflösungsdienste wie LLMNR und NBT-NS vergiftet. Kategorie: Netzwerk/AD. Status 2026: Aktiv, offizielles Repo lgandx/Responder. Responder ist oft der erste Schritt, um in einem internen Netz überhaupt an verwertbare Hashes zu kommen.

Netzwerkanalyse und Tunneling

Wireshark

Kernfunktion: Der Standard-Netzwerkanalysator, zerlegt aufgezeichneten Datenverkehr paketweise bis auf Protokollebene. Kategorie: Netzwerkanalyse. Status 2026: Aktiv, offizielles Repo wireshark/wireshark. Wireshark ist unverzichtbar, um zu verstehen, was tatsächlich über die Leitung geht, sei es zur Fehlersuche oder zur Analyse verdächtigen Traffics.

Netcat und Ncat

Kernfunktion: Das "Schweizer Taschenmesser" für TCP/UDP-Verbindungen, Banner-Grabbing, einfache Port-Kommunikation und Reverse Shells. Kategorie: Netzwerk. Status 2026: Aktiv, aber wichtig richtigzustellen: Es gibt kein einzelnes, gepflegtes "offizielles" Netcat-GitHub-Projekt. Das klassische Netcat von Hobbit aus den 1990ern hat kein aktives Repo, und der in älteren Listen oft verlinkte Fork diegocr/netcat wurde zuletzt 2014 angefasst, also seit über zwölf Jahren nicht mehr. Beziehen Sie Netcat deshalb über die Paketquellen Ihrer Distribution (netcat-openbsd, netcat-traditional) oder nutzen Sie Ncat, den aktiv gepflegten, moderneren Ersatz aus dem Nmap-Projekt.

ncat -lvnp 4444

Wireless

Aircrack-ng

Kernfunktion: Werkzeugsammlung zum Prüfen der WLAN-Sicherheit, vom Mitschneiden des Handshakes bis zum Knacken von WEP- und WPA/WPA2-Schlüsseln. Kategorie: Wireless. Status 2026: Aktiv, offizielles Repo aircrack-ng/aircrack-ng. Voraussetzung ist ein WLAN-Adapter mit Monitor-Mode-Unterstützung. Eine typische Angriffskette gegen ein WPA2-Netz sieht so aus:

airmon-ng start wlan0
airodump-ng -c 6 --bssid AA:BB:CC:DD:EE:FF -w capture wlan0mon
aireplay-ng -0 5 -a AA:BB:CC:DD:EE:FF wlan0mon
aircrack-ng capture-01.cap -w /usr/share/wordlists/rockyou.txt

Zuerst wird der Monitor-Mode aktiviert, dann der Handshake auf Kanal 6 mitgeschnitten, ein kurzer Deauth-Angriff erzwingt einen neuen Handshake, und schließlich läuft ein Wörterbuchangriff gegen die aufgezeichnete Datei.

Forensik und Reverse Engineering

Ghidra

Kernfunktion: Vollständige Reverse-Engineering-Suite mit Disassembler und Decompiler, entwickelt von der US-amerikanischen NSA und quelloffen veröffentlicht. Kategorie: Forensik/Reverse Engineering. Status 2026: Aktiv, offizielles Repo NationalSecurityAgency/ghidra, mit Abstand das Projekt mit den meisten Sternen unter allen hier geprüften Werkzeugen. Ghidra ist die kostenlose Alternative zum kommerziellen IDA Pro und der Standard, um unbekannte Binärdateien oder Malware zu zerlegen. Für die Speicher- und Datenträgerforensik ergänzen Volatility und Autopsy das Bild.

Hardware-Gadgets für physische Tests

Nicht jedes Werkzeug ist Software. Für Red-Teaming und physische Sicherheitstests haben sich handliche Hardware-Gadgets etabliert.

• USB Rubber Ducky / Bad USB: Sieht aus wie ein USB-Stick, meldet sich am Rechner aber als Tastatur an und tippt in Sekunden ein vorbereitetes Skript. Aktives Hersteller-Produkt.
• Flipper Zero: Multifunktions-Gerät für Funk, RFID, NFC, Infrarot und GPIO, beliebt für Hardware- und Funk-Experimente. Aktives Hersteller-Produkt mit lebendiger Firmware-Community.
• HackRF One: Software Defined Radio, sendet und empfängt Funksignale von 1 MHz bis 6 GHz, geeignet für Replay-Angriffe auf Funkfernbedienungen und die Analyse von RFID-Kommunikation.
• WiFi Pineapple: Router-ähnliches Gerät, das gefälschte Zugangspunkte (Rogue APs) für Evil-Twin- und Deauth-Tests aufsetzt.

KI-gestütztes Pentesting: der Trend 2026

Der wichtigste neue Trend ist der Einsatz von Large Language Models als autonome Pentesting-Agenten. Führende Tool-Übersichten führen "KI-gestütztes Pentesting" inzwischen als eigene Kategorie.

PentestGPT

Kernfunktion: KI-gestütztes Framework, das Penetrationstests und CTF-Challenges mithilfe von Large Language Models teilautomatisiert (Recon, Exploitation, Report). Kategorie: KI-Pentesting. Status 2026: Aktiv, offizielles Repo greydgl/pentestgpt, jüngstes Release v1.0.0 vom 24. Dezember 2025, MIT-Lizenz. PentestGPT wurde 2024 auf der wissenschaftlichen Konferenz USENIX Security publiziert, ein seltenes Glaubwürdigkeitssignal für ein KI-Tool.

Die Zahlen zeigen, wie weit KI-Agenten schon sind: Gegen die XBOW-Validierungssuite löste PentestGPT (Single-Model, Stand Dezember 2025) 86,5 Prozent der Challenges (90 von 104), im Schnitt für 1,11 US-Dollar und in 6,1 Minuten pro gelöster Aufgabe. Mit steigender Schwierigkeit sinkt die Quote allerdings deutlich, von 91 Prozent auf Level 1 auf rund 63 Prozent auf Level 3. KI ersetzt den Menschen also noch nicht, beschleunigt aber die Routinearbeit erheblich.

Rechtliche Einordnung: nur mit ausdrücklicher Erlaubnis

Jetzt der wichtigste Abschnitt, den kaum eine Tool-Liste sauber behandelt. In Deutschland ist der Einsatz dieser Werkzeuge rechtlich heikel, und Unwissenheit schützt nicht.

Zwei Normen sind zentral. § 202a StGB (Ausspähen von Daten) stellt das unbefugte Verschaffen von Zugang zu besonders gesicherten Daten unter Strafe. § 202c StGB, umgangssprachlich "Hackerparagraf", geht noch weiter: Er stellt bereits die Vorbereitung einer solchen Tat unter Strafe, etwa das Herstellen, Verschaffen oder Verbreiten von Programmen, deren Zweck die Begehung einer Computerstraftat ist. Der Strafrahmen liegt bei bis zu zwei Jahren Freiheitsstrafe oder Geldstrafe. Die Norm trat 2007 in Kraft und setzt die Cybercrime-Konvention des Europarats um.

Das klingt zunächst so, als wäre schon der Besitz eines Portscanners strafbar. Hier ist eine differenzierte Einordnung wichtig. Das Bundesverfassungsgericht hat 2009 drei Verfassungsbeschwerden gegen § 202c StGB nicht zur Entscheidung angenommen und dabei klargestellt: Bei verfassungskonformer Auslegung besteht für sogenannte Dual-Use-Werkzeuge, also Programme mit sowohl legalem als auch illegalem Nutzungspotenzial, kein reales Strafverfolgungsrisiko. Entscheidend ist das subjektive Merkmal, die konkrete Absicht, eine Computerstraftat vorzubereiten, nicht die bloße Existenz oder der Besitz des Werkzeugs. In den bekannten Selbstanzeige-Fällen von Sicherheitsforschern kam es dementsprechend zu keiner einzigen Verurteilung.

Kritik gibt es dennoch: Der Paragraf enthält keine ausdrückliche Ausnahme für legitime Sicherheitsforschung und Penetrationstests, und die Definition eines "Hackertools" gilt als vage. Der Chaos Computer Club und Fachjuristen mahnen seit Jahren eine Reform an, weil die Rechtsunsicherheit für Sicherheitsforscher bestehen bleibt.

Praktisch bedeutet das für Sie: Der Besitz und das Erlernen dieser Werkzeuge zu Ausbildungs- und Absicherungszwecken ist im Rahmen der verfassungskonformen Auslegung nicht das Problem. Zum Problem wird der Einsatz gegen fremde Systeme ohne Erlaubnis. Halten Sie sich deshalb an drei einfache Grundregeln:

1. Testen Sie ausschließlich Systeme, die Ihnen gehören oder für die Sie eine ausdrückliche, schriftliche Genehmigung des Betreibers haben (Scope-Dokument, Vertrag).
2. Nutzen Sie zum Üben legale Umgebungen wie bewusst verwundbare Trainingsmaschinen (etwa HackTheBox, TryHackMe) oder eigene Labore in virtuellen Maschinen.
3. Dokumentieren Sie Ihre Autorisierung und Ihr Vorgehen lückenlos.

Dieser Abschnitt bildet die deutsche Rechtslage ab und ersetzt keine Rechtsberatung im Einzelfall.

Praxis: Wie die Werkzeuge in einer Angriffskette zusammenspielen

Eine reine Liste sagt wenig darüber, wie man Tools kombiniert. Am Beispiel der bewusst verwundbaren HackTheBox-Trainingsmaschine "Archetype" lässt sich eine typische Kette nachvollziehen (die verwendeten Zugangsdaten sind öffentlich bekannte Übungsdaten, keine echten Geheimnisse).

Zuerst listet ein anonymer SMB-Zugriff die Netzwerkfreigaben auf. In einer Freigabe liegt eine Konfigurationsdatei mit Klartext-Zugangsdaten für ein MSSQL-Dienstkonto:

smbclient -N -L \\\\10.129.0.10
smbclient -N \\\\10.129.0.10\\backups
get prod.dtsConfig

Mit diesen Zugangsdaten baut das Impacket-Skript mssqlclient.py eine authentifizierte Verbindung zur Datenbank auf:

python3 mssqlclient.py ARCHETYPE/sql_svc:[email protected] -windows-auth

Über die Datenbank wird die standardmäßig deaktivierte Funktion xp_cmdshell aktiviert, die beliebige Systembefehle ausführt, und darüber eine PowerShell-Reverse-Shell nachgeladen. Mit erbeuteten Administrator-Zugangsdaten erfolgt zuletzt die Rechteausweitung zum vollständigen Systemzugriff über psexec.py:

python3 psexec.py administrator:[email protected]

Die Kette lautet also: SMB-Enumeration liefert Zugangsdaten, MSSQL-Zugriff führt zur Codeausführung, und wiederverwendete Administrator-Zugangsdaten bringen den kompletten Systemzugriff. Genau dieses Zusammenspiel, nicht das einzelne Werkzeug, macht einen erfahrenen Tester aus.

Häufige Fragen zu Hacking-Tools

Sind Hacking-Tools in Deutschland legal?

Der Besitz und das Erlernen der Werkzeuge zu Ausbildungs- und Absicherungszwecken ist im Rahmen der verfassungskonformen Auslegung von § 202c StGB grundsätzlich möglich, das Bundesverfassungsgericht stellte 2009 auf die konkrete Tatabsicht ab, nicht auf den bloßen Besitz. Strafbar wird der Einsatz gegen fremde Systeme ohne ausdrückliche Erlaubnis. Testen Sie also nur, was Ihnen gehört oder wofür Sie eine schriftliche Genehmigung haben.

Welche Hacking-Tools sind in Kali Linux enthalten?

Kali Linux bündelt mehrere hundert Werkzeuge. Die meisten hier genannten Tools sind vorinstalliert, darunter Nmap, Metasploit, Burp Suite, Wireshark, sqlmap, Hydra, Aircrack-ng und Nikto. Einige wie Impacket und NetExec sind nicht standardmäßig enthalten und werden bei Bedarf per pip oder apt nachinstalliert.

Welches Hacking-Tool sollte ich als Anfänger zuerst lernen?

Beginnen Sie mit Nmap, um Netzwerke und Dienste zu verstehen, danach mit Wireshark für die Analyse des Datenverkehrs und Burp Suite Community für Webanwendungen. Diese drei decken die häufigsten Einstiegsszenarien ab und sind alle aktiv gepflegt. Üben Sie ausschließlich in legalen Trainingsumgebungen wie HackTheBox oder eigenen virtuellen Laboren. Wie ein strukturierter Einstieg ins Hacking aussieht, zeigen wir in einem eigenen Leitfaden.

Warum sollte ich Dirbuster nicht mehr verwenden?

Dirbuster wird seit rund 2013 nicht mehr weiterentwickelt und gilt als eingefroren. Moderne, aktiv gepflegte Nachfolger für das Auffinden versteckter Verzeichnisse sind ffuf, Gobuster und Feroxbuster. Sie sind schneller, flexibler und werden 2026 laufend aktualisiert. Ältere Tool-Listen, die Dirbuster noch als aktuell nennen, prüfen den Wartungsstatus ihrer Empfehlungen schlicht nicht.

Ersetzt KI wie PentestGPT den menschlichen Pentester?

Noch nicht. KI-Agenten wie PentestGPT lösen einfache Aufgaben beeindruckend zuverlässig (über 90 Prozent auf der leichtesten Stufe der XBOW-Suite), fallen mit steigender Komplexität aber deutlich ab (rund 63 Prozent auf der schwersten Stufe). Sie beschleunigen Routinearbeit und Recherche erheblich, ersetzen aber weder das Urteilsvermögen noch die Verantwortung eines erfahrenen Testers.

Fazit

Die besten Hacking-Tools 2026 sind zum großen Teil dieselben Klassiker wie vor Jahren: Nmap, Metasploit, Burp Suite, Wireshark, Hashcat und Aircrack-ng bilden weiterhin den Kern. Entscheidend ist aber, was sich drumherum verändert hat. Veraltete Werkzeuge wie Dirbuster oder das archivierte CrackMapExec gehören durch aktive Nachfolger wie ffuf, Gobuster und NetExec ersetzt, Active-Directory-Angriffe mit Impacket, Mimikatz und BloodHound sind zur eigenen Disziplin geworden, und KI-gestützte Agenten wie PentestGPT verschieben die Grenze des Automatisierbaren.

Der wichtigste Rat bleibt derselbe: Ein Werkzeug ist nur so gut wie das Wissen und die Autorisierung dahinter. Prüfen Sie den Wartungsstatus Ihrer Tools, verstehen Sie, wie sie in einer Kette zusammenspielen, und setzen Sie sie ausschließlich dort ein, wo Sie ausdrücklich dürfen.