Wir haben unser eigenes Zertifikat gefälscht
Das ganze Versprechen von KALYX steckt in einem Satz: Der Nachweis am Ende hält einer Prüfung stand. Im Juli 2026 haben wir genau dieses Versprechen angegriffen. Die Plattform lief bereits, Kundendaten lagen noch keine darin. Es hat nicht gehalten. Dieser Beitrag beschreibt, was wir gefunden haben und was daraus geworden ist.
- Wir haben unser eigenes Zertifikat gefälscht, in einer selbst beauftragten Prüfung im Juli 2026, bevor Kundendaten im System lagen.
- Drei Fehler griffen ineinander: der Übungsmodus stellte gültige Nachweise aus, der Punktestand rechnete gegen die falsche Menge, und die Rückmeldung verriet die richtige Antwort.
- Die Kryptografie war nie kaputt. Eine Signatur macht eine Aussage fälschungssicher, sie macht sie nicht wahr. Wer den Ausstellungsweg kontrolliert, muss sie gar nicht brechen.
- Behoben und gegengeprüft in einer zweiten Runde Ende Juli 2026. Was zu ändern war, steht unten im Beitrag.
Warum veröffentlichen wir einen eigenen Fehler?
Ein Anbieter, der Nachweise ausstellt, verkauft im Kern Vertrauen. Vertrauen entsteht nicht dadurch, dass nichts passiert, sondern dadurch, dass nachvollziehbar ist, wie mit Fehlern umgegangen wird. Wir schreiben diesen Befund lieber selbst auf, als ihn später erklären zu müssen.
Der Befund stammt aus unserer eigenen Prüfung. Es war keine externe, zertifizierte Prüfung, sondern eine strukturierte Selbstprüfung mit dem ausdrücklichen Auftrag, das eigene System zu brechen. Externe Sicherheitsaudits sind ab 2027 geplant, das ist heute Absicht und kein Nachweis.
Ich kann das so offen aufschreiben, weil zu diesem Zeitpunkt keine Kundendaten im System lagen. Die Plattform war fertig und lief, der Vertrieb hatte noch nicht begonnen. Genau dieses Fenster haben wir genutzt, um so zu prüfen, wie man es später nicht mehr kann.
Wie wir versucht haben, ein Zertifikat zu fälschen
Geprüft wurde nicht nur die Änderung des Tages, sondern die gesamte Anwendung, in mehreren parallelen Prüfsträngen: öffentliche Angriffsfläche, Anmeldung und Mandantentrennung, Zahlungen und Gutscheine, die KI-Routen, Nachweis und Kryptografie sowie Geheimnisse, Header und Middleware. Jeder Strang arbeitete unabhängig, danach haben wir die Kernbefunde direkt am Quelltext gegengeprüft.
Drei Stränge fanden unabhängig voneinander denselben Weg. Das ist in der Regel ein gutes Zeichen für die Methode und ein schlechtes für den Befund.
Der Befund, in drei Schritten
1. Der Übungsmodus stellte gültige Zertifikate aus
Historisch nutzten Übung und Prüfung denselben Abschlusspfad. Der Übungsmodus war für Lernende ausdrücklich als "ohne Wertung" gekennzeichnet, im Hintergrund konnte er aber einen gültigen, öffentlich prüfbaren Nachweis erzeugen.
2. Der Punktestand rechnete gegen die falsche Menge
Die Bewertung nahm als Nenner die eingereichten Fragen, nicht alle Fragen des Moduls oder des Kurses. Wer genau eine Frage richtig beantwortete und nur diese abgab, erhielt rechnerisch 100 Prozent. Die Bestehensschwelle war damit wirkungslos.
3. Die Rückmeldung verriet die richtige Antwort
Die Antwort des Servers enthielt je Frage, ob die gewählte Option richtig war. Bei vier Optionen liess sich die richtige damit in höchstens vier Versuchen bestimmen, ohne den Inhalt zu kennen.
In der Summe entstand ein gültiger Nachweis in etwa fünf Anfragen. Deterministisch, ohne Spezialwissen, ohne dass der Inhalt je gelernt werden musste.
Die Kryptografie war nie kaputt. Prüfsumme, Signatur und Verify-Seite haben exakt das getan, wofür sie gebaut sind. Sie haben etwas bestätigt, das nie hätte entstehen dürfen.
- Nachweis holen: Ein gültiges Zertifikat mit Nummer, Prüfsumme und Signatur.
- Adresse verändern: Nur die Nummer in der Prüfadresse austauschen, sonst nichts.
- Antwort lesen: Das System bestätigte, was in der Anfrage stand, statt zu prüfen, wem der Nachweis gehört.
Eigene Sicherheitsprüfung, Juli 2026. Der Ablauf ist bewusst grob beschrieben.
5 Anfragen. So viele brauchte es, bis ein gültiger, öffentlich prüfbarer Nachweis vorlag. Ohne Spezialwissen, ohne den Kursinhalt je gelernt zu haben, und wiederholbar. Nicht die Verschlüsselung war das Problem, sondern der Weg, auf dem der Nachweis entstand.
Eigene Sicherheitsprüfung, Juli 2026. Alle drei Fehler sind behoben und in einer zweiten Runde gegengeprüft.
Warum hat die Kryptografie nicht geholfen?
Wir sichern Nachweise mit einer Inhaltsprüfsumme über den genauen Kursstand zum Prüfzeitpunkt und geben sie als Open Badge aus, öffentlich prüfbar. Diese Kette hat gehalten. Sie beantwortet aber nur eine Frage: Wurde dieser Nachweis nachträglich verändert?
Sie beantwortet nicht die Frage davor: Hätte dieser Nachweis überhaupt entstehen dürfen? Eine Signatur macht eine Aussage fälschungssicher, sie macht sie nicht wahr. Wer den Ausstellungsweg kontrolliert, braucht die Signatur gar nicht zu brechen.
Das ist die eigentliche Lehre aus dem Befund, und sie gilt weit über uns hinaus.
- Ein einziger Ausstellungsweg. Ohne gültige, serverseitig geführte Prüfungssession entsteht kein Zertifikat mehr. Die übrigen Pfade können keinen Nachweis mehr erzeugen.
- Üben bleibt Üben. Ungewertet, ohne Zertifikatsnummer, ohne Anrechnung auf den Abschluss. Der Modus ist jetzt das, was er im Text immer versprochen hat.
- Punktestand gegen die volle Menge. Bewertet wird gegen alle Fragen des Moduls oder Kurses, nicht gegen die abgegebenen.
- Prüfung mit Rahmen. Fragenauswahl, Zeitlimit, Versuchslimit und Sperrfrist nach einem Fehlversuch. Die Rückmeldung während der Prüfung gibt die Korrektheit einzelner Antworten nicht mehr preis.
Ende Juli haben wir dieselbe Stelle in einer zweiten, bewusst gegen die Korrekturen gerichteten Runde erneut angegriffen. Diesmal hielt sie.
Woran erkennen Sie, ob ein Lernsystem sichere Nachweise ausstellt?
Wenn Sie ein Lernsystem einsetzen oder gerade eines auswählen, sind das die Fragen, die wir heute selbst stellen würden. Sie brauchen dafür keinen technischen Hintergrund, nur eine klare Antwort vom Anbieter.
- Wie viele Wege führen zu einem gültigen Nachweis? Gibt es mehr als einen, welchen, und wie ist er abgesichert?
- Wogegen rechnet der Punktestand? Gegen alle Fragen der Prüfung oder nur gegen die abgegebenen?
- Verrät die Rückmeldung die Lösung? Sagt das System während der Prüfung, ob die gewählte Antwort richtig war?
- Und wer prüft das nach? Eine Antwort, die niemand nachvollziehen kann, ist eine Zusage und kein Nachweis.
Diese Fragen stellen wir heute selbst. Sie brauchen dafür keinen technischen Hintergrund, nur eine klare Antwort.
Bleibt eine Antwort unklar, ist das kein Detail am Rand. Das ist der Nachweis.
Wie wir Sicherheit, Datenhaltung und den Umgang mit KI insgesamt handhaben, steht auf unserer Seite zur Sicherheit. Fragen dazu beantworte ich gerne direkt.
Zur Einordnung, weil es oft verwechselt wird. KALYX-Zertifikate sind selbst ausgestellte Schulungsnachweise, kein amtlicher Branchenabschluss und keine staatlich anerkannte Qualifikation. Genau deshalb muss der Weg zum Nachweis sauber sein: Was ein Nachweis wert ist, entscheidet sich daran, wie er entsteht.
Der beschriebene Befund stammt aus unseren eigenen Prüfungen vom 22. und 31. Juli 2026 und ist behoben. Wir nennen bewusst keine Dateinamen, Endpunkte oder Parameter: Der Weg ist beschrieben, damit man daraus lernen kann, nicht damit man ihn nachbaut.
KI-Entwurf, fachlich geprüft und freigegeben von Fabian Kreher am 21. August 2026.
