Datensicherheit und SQL-Injections

Aktives Lernen funktioniert hier besonders gut, weil die Schülerinnen und Schüler die Auswirkungen von SQL-Injections direkt erleben müssen. Durch praktische Simulationen wird aus abstrakten Warnungen greifbare Gefahr. Gleichzeitig verstehen sie sofort, warum Sicherheitsmaßnahmen wie Prepared Statements nicht nur Theorie sind, sondern konkrete Probleme lösen.

• Klasse 12
• Informatik Oberstufe: Von Algorithmen zur vernetzten Gesellschaft
• 4 Aktivitäten
• 30 Min.–50 Min.

Lernziele

1. Analysieren Sie den Ablauf einer SQL-Injection, indem Sie verschiedene Angriffsmuster identifizieren.
2. Bewerten Sie die potenziellen Schäden einer erfolgreichen SQL-Injection für Datenbankintegrität und Datenschutz.
3. Entwickeln Sie Code-Beispiele, die Prepared Statements oder parametrisierte Abfragen zur Verhinderung von SQL-Injections nutzen.
4. Erklären Sie die Funktionsweise von Anonymisierungstechniken zur Unterstützung des Datenschutzes gemäß DSGVO.
5. Demonstrieren Sie die Notwendigkeit von Input-Validierung durch die Implementierung eines einfachen Prüfmechanismus.

Planspiel

⏱ 45 Min.·Kleingruppen

Planspiel: SQL-Injection-Angriff

Schüler erhalten vulnerablen PHP-Code mit einer einfachen Login-Form. In Gruppen injizieren sie bösartige SQL-Befehle wie ' OR 1=1 --, um unbefugten Zugriff zu demonstrieren. Anschließend diskutieren sie die Konsequenzen und notieren Beobachtungen.

Vorbereitung & Details

Wie können technische Konzepte wie Anonymisierung den Datenschutz unterstützen?

Moderationstipp: Legen Sie für die Simulation klare Rollen fest: eine Gruppe übernimmt die Rolle der Angreifer mit vorbereiteten Eingaben, die andere verteidigt mit vorbereiteten Abfragen, um die Dynamik zu verstärken.

Setup: Flexibler Raum für verschiedene Gruppenstationen

Materials: Rollenkarten mit Zielen und Ressourcen, Spielwährung oder Token, Rundenprotokoll

• Anwenden
• Analysieren
• Bewerten
• Erschaffen
• Sozialbewusstsein
• Entscheidungsfähigkeit

Escape Room

⏱ 30 Min.·Partnerarbeit

Coding-Challenge: Prepared Statements

Paare implementieren eine sichere Suchfunktion in Python mit sqlite3 und Prepared Statements. Sie testen mit manipulierten Inputs und vergleichen Erfolgsraten mit unsicherem Code. Abschließend präsentieren sie ihren Code.

Vorbereitung & Details

Analysieren Sie den Mechanismus einer SQL-Injection und ihre potenziellen Auswirkungen.

Moderationstipp: Fordern Sie die Schüler während der Coding-Challenge auf, ihre Lösung schrittweise zu kommentieren, um das Verständnis für den Unterschied zwischen direkter und parametrisierter Abfrage zu vertiefen.

Setup: Gruppentische mit Rätselumschlägen, optional verschließbare Boxen

Materials: Rätsel-Sets (4-6 pro Gruppe), Zahlenschlösser oder Code-Blätter, Timer (Projektion), Hinweiskarten (Joker)

• Erinnern
• Anwenden
• Analysieren
• Beziehungsfähigkeit
• Selbststeuerung

Fallstudienanalyse

⏱ 50 Min.·Kleingruppen

Fallstudienanalyse: Reales Datenleck

Die Klasse analysiert ein echtes SQL-Injection-Beispiel wie den Equifax-Hack. In Kleingruppen identifizieren sie Schwachstellen, schlagen Präventionsmaßnahmen vor und erstellen eine Risiko-Matrix.

Vorbereitung & Details

Entwickeln Sie Strategien zur Prävention von SQL-Injections durch saubere Programmierung.

Moderationstipp: Nutzen Sie im Workshop zur Input-Validierung echte Formulare aus dem Schulnetzwerk als Beispiel, um die Relevanz für den Alltag zu verdeutlichen und die Motivation zu steigern.

Setup: Gruppentische mit Platz für die Fallunterlagen

Materials: Fallstudien-Paket (3-5 Seiten), Arbeitsblatt mit Analyseraster, Präsentationsvorlage

• Analysieren
• Bewerten
• Erschaffen
• Entscheidungsfähigkeit
• Selbststeuerung

Escape Room

⏱ 35 Min.·Einzelarbeit

Input-Validierung: Entwickler-Workshop

Individuell validieren Schüler Benutzereingaben mit Regex und Escaping-Funktionen. Gemeinsam testen sie gegenseitig und bewerten die Robustheit in einer Peer-Review-Runde.

Vorbereitung & Details

Wie können technische Konzepte wie Anonymisierung den Datenschutz unterstützen?

Setup: Gruppentische mit Rätselumschlägen, optional verschließbare Boxen

Materials: Rätsel-Sets (4-6 pro Gruppe), Zahlenschlösser oder Code-Blätter, Timer (Projektion), Hinweiskarten (Joker)

• Erinnern
• Anwenden
• Analysieren
• Beziehungsfähigkeit
• Selbststeuerung

Dieses Thema unterrichten

Erfahrene Lehrkräfte beginnen mit einer kurzen Demonstration eines einfachen Angriffs, um die Neugier zu wecken, bevor sie in die technischen Details gehen. Wichtig ist, die Balance zwischen Theorie und Praxis zu halten: Zu viel Frontalunterricht erstickt die aktive Auseinandersetzung, zu wenig Struktur führt zu Frustration. Forschung zeigt, dass Schüler besonders nachhaltig lernen, wenn sie selbst scheitern und die Fehlerquellen analysieren – daher sollten die Aktivitäten Raum für Reflexion und Iteration bieten.

Was Sie erwartet

Am Ende sollen die Lernenden nicht nur definieren können, was eine SQL-Injection ist, sondern auch erklären, wie sie technisch funktioniert und mit welchen Mitteln sie verhindert werden kann. Erfolg zeigt sich in der Fähigkeit, Code-Snippets sicher zu schreiben und reale Sicherheitsrisiken zu erkennen und zu kommunizieren.

Vorsicht vor diesen Fehlvorstellungen

Häufige Fehlvorstellung

Während der Simulation eines SQL-Injection-Angriffs könnte der Eindruck entstehen, dass nur komplexe Angriffe gefährlich sind.

Was Sie stattdessen lehren sollten

Nutzen Sie die Simulation, um gezielt einfache Eingaben wie ' OR '1'='1 zu testen und zeigen Sie auf, wie bereits ein solch trivialer Angriff alle Datensätze zurückgibt. Die Schüler sollen erkennen, dass Schwachstellen oft in unscheinbaren Formularfeldern liegen.

Häufige Fehlvorstellung

Während der Case Study zum realen Datenleck könnte die Annahme entstehen, Anonymisierung mache Daten vollständig unangreifbar.

Was Sie stattdessen lehren sollten

Verwenden Sie die Fallstudie, um auf die Grenzen der Anonymisierung hinzuweisen: Zeigen Sie, wie die Kombination weniger öffentlicher Daten (z.B. Geburtsdatum, Postleitzahl) mit anonymisierten Datensätzen eine Re-Identifikation ermöglicht. Die Schüler sollen hybride Schutzstrategien entwickeln.

Häufige Fehlvorstellung

Während der Coding-Challenge zu Prepared Statements könnte der Glaube entstehen, lange Passwörter allein reichen aus, um SQL-Injections zu verhindern.

Was Sie stattdessen lehren sollten

Lassen Sie die Schüler während der Challenge bewusst ein Passwort aus einer SQL-Injection extrahieren, um zu demonstrieren, dass Authentifizierung und Abfragensicherheit getrennt betrachtet werden müssen. Die parametrisierte Abfrage ist der Schlüssel, nicht die Passwortlänge.

Ideen zur Lernstandserhebung

Lernstandskontrolle

Nach der Simulation eines SQL-Injection-Angriffs erhalten die Schüler ein Code-Snippet mit einer Login-Abfrage. Sie sollen in einem Satz erklären, wie ein Angreifer die Schwachstelle ausnutzt, und in einem weiteren Satz eine konkrete Maßnahme aus den besprochenen Sicherheitskonzepten vorschlagen.

Kurze Überprüfung

Während der Coding-Challenge zu Prepared Statements stellen Sie den Schülern zwei Fragen: 'Was ist der Hauptunterschied zwischen einer direkten SQL-Abfrage und einer parametrisierten Abfrage in Bezug auf Sicherheit?' und 'Nennen Sie zwei Gründe, warum Input-Validierung wichtig ist.' Die Antworten sammeln Sie als mündliche oder schriftliche Kurzreflexion.

Diskussionsfrage

Nach der Case Study zum realen Datenleck leiten Sie eine Diskussion mit der Frage: 'Welche ethischen Verantwortung tragen Entwickler, wenn sie wissen, dass ihre Software anfällig für Angriffe wie SQL-Injection sein könnte?' Nutzen Sie die Ergebnisse, um die Konsequenzen für Unternehmen und Nutzer herauszuarbeiten.

Erweiterungen & Unterstützung

• Fordern Sie schnelle Schüler auf, ein alternatives Szenario zu entwickeln, bei dem Angreifer versuchen, über eine Login-Maske Daten zu extrahieren. Sie sollen die Abwehrmaßnahmen im Code ergänzen.
• Bei Unsicherheit erlauben Sie den Lernenden, zunächst eine vereinfachte Version der parametrisierten Abfrage zu schreiben und schrittweise zu erweitern.
• Vertiefen Sie die Diskussion zur Anonymisierung, indem Sie reale Datensätze (anonymisiert) bereitstellen und die Schüler analysieren lassen, welche Kombinationen von Daten eine Re-Identifikation ermöglichen könnten.

Schlüsselvokabular

SQL-Injection	Eine Angriffstechnik, bei der bösartiger SQL-Code in Eingabefelder einer Webanwendung eingeschleust wird, um Datenbankbefehle auszuführen.
Prepared Statement	Eine vorbereitete SQL-Anweisung, bei der SQL-Code und Benutzereingaben getrennt behandelt werden, um die Ausführung von bösartigem Code zu verhindern.
Parametrisierte Abfrage	Eine SQL-Abfrage, bei der Platzhalter für Werte verwendet werden, die erst zur Laufzeit eingefügt werden, wodurch die Trennung von Code und Daten sichergestellt wird.
Input-Validierung	Der Prozess der Überprüfung und Bereinigung von Benutzereingaben, um sicherzustellen, dass sie den erwarteten Formaten und Regeln entsprechen, bevor sie verarbeitet werden.
Anonymisierung	Die Verarbeitung personenbezogener Daten in einer Weise, dass die betroffene Person nicht mehr identifiziert werden kann, weder direkt noch indirekt.