{
  "id": "websecurity",
  "title": "Web-Security 101",
  "icon": "🛡️",
  "subtitle": "Phishing erkennen, Passwörter richtig machen, Konten absichern — 24 Module mit Lektionen, Quiz, Übungsszenarien und Challenges. Ohne Fachchinesisch, für die ganze Familie.",
  "modules": [
    {
      "id": "m1",
      "icon": "🌐",
      "color": "#FF8A5C",
      "title": "Was ist Web-Security heute?",
      "subtitle": "Die Bedrohungslage — ohne Panik",
      "lessons": [
        {
          "id": "m1l1",
          "title": "Angreifer suchen keine Ziele, sie suchen Gelegenheiten",
          "content": [
            "Der häufigste Irrtum lautet: „Bei mir gibt es nichts zu holen, ich bin nicht interessant.\" Das setzt voraus, dass sich jemand für dich persönlich entschieden hat. Genau das passiert fast nie. Die große Mehrheit der Angriffe läuft automatisiert: Mails an Millionen Adressen, Login-Versuche mit Passwörtern aus alten Datenlecks, Scans nach veralteter Software.",
            "Du bist in diesem Modell kein Ziel, sondern eine Zeile in einer Liste. Deshalb ist Sicherheit auch keine Frage von Wichtigkeit, sondern von Aufwand: Wer eine Handvoll einfacher Dinge richtig macht, fällt aus der automatisierten Auswahl heraus – und übrig bleiben Angriffe, die sich für den Aufwand nicht lohnen.",
            "Und dein Konto ist wertvoller, als es sich anfühlt. Ein gekapertes E-Mail-Konto ist nicht nur deine Mail: Es ist die Passwort-zurücksetzen-Adresse für alles andere – Bank, Shops, Behörden, Social Media. Deshalb ist die E-Mail-Adresse das wichtigste Konto, das du besitzt, wichtiger als das Bankkonto selbst.",
            "Dieser Kurs behandelt keine Angriffstechniken. Es geht um das Gegenteil: erkennen, was auf dich zukommt, und wissen, welche wenigen Maßnahmen tatsächlich etwas bringen. Am Ende hast du eine Handvoll Gewohnheiten, keine Angst."
          ],
          "tip": "Dein E-Mail-Konto ist der Generalschlüssel zu allen anderen Konten. Sichere es zuerst.",
          "summary": [
            "Dein E-Mail-Konto ist der Generalschlüssel zu allen anderen Konten. Sichere es zuerst."
          ]
        },
        {
          "id": "m1l2",
          "title": "Die drei Wege, wie es dich trifft",
          "content": [
            "Weg eins: Jemand bringt dich dazu, etwas zu tun. Du klickst, du gibst dein Passwort ein, du überweist Geld, du installierst etwas. Das ist Social Engineering, und es ist mit großem Abstand der häufigste Weg – weil er keine technische Lücke braucht, sondern nur einen Moment Unaufmerksamkeit.",
            "Weg zwei: Dein Passwort wird anderswo geklaut. Ein Onlineshop, bei dem du 2019 bestellt hast, wird gehackt. Deine Mailadresse und dein Passwort landen in einer Liste. Jemand probiert diese Kombination automatisiert bei hundert anderen Diensten. Wenn du dasselbe Passwort mehrfach benutzt, ist das Spiel hier vorbei.",
            "Weg drei: Deine Software hat eine Lücke, für die es längst ein Update gibt. Angreifer scannen das Internet nach genau diesen bekannten Lücken. Das ist der Grund, warum „später erinnern\" bei Updates die teuerste Schaltfläche deines Lebens sein kann.",
            "Diese drei Wege decken den Großteil dessen ab, was Privatleuten tatsächlich passiert. Der ganze Rest des Kurses arbeitet daran: Weg eins erkennen (Module 2 bis 8 und 18), Weg zwei schließen (Module 12 bis 17), Weg drei zumachen (Modul 21)."
          ],
          "tip": "Drei Wege: Du wirst überredet, dein Passwort war anderswo im Leck, deine Software ist veraltet.",
          "summary": [
            "Drei Wege: Du wirst überredet, dein Passwort war anderswo im Leck, deine Software ist veraltet."
          ]
        },
        {
          "id": "m1l3",
          "title": "Was du tatsächlich schützt",
          "content": [
            "Bevor du Maßnahmen ergreifst, lohnt eine Minute Nachdenken: Was wäre für dich wirklich schlimm? Für die meisten Menschen sind es drei Dinge – der Zugang zum eigenen Leben (E-Mail, Handy, Bank), unwiederbringliche Daten (Fotos, Dokumente) und der gute Ruf (Konten, in deinem Namen missbraucht).",
            "Diese Liste ist kurz, und das ist die gute Nachricht. Du musst nicht alles absichern. Du musst wissen, welche zwei, drei Konten und welche Daten den Unterschied machen – und dort konsequent sein, statt überall halbherzig.",
            "Ein nützliches Bild ist das Schloss an der Wohnungstür. Kein Schloss ist unknackbar. Aber ein gutes Schloss sorgt dafür, dass jemand mit begrenzter Zeit und begrenztem Interesse weiterzieht. Genau das ist auch das realistische Ziel digitaler Sicherheit: nicht unangreifbar sein, sondern der unattraktivere Aufwand.",
            "Und plane den Ernstfall mit ein. Sicherheit heißt nicht nur verhindern, sondern auch: Wenn doch etwas passiert, weiß ich, was zu tun ist, und ich habe eine Kopie meiner Daten. Darum geht es in den Modulen 22 und 23."
          ],
          "tip": "Sichere die zwei, drei Konten, die alles andere aufsperren — konsequent statt überall halbherzig.",
          "summary": [
            "Sichere die zwei, drei Konten, die alles andere aufsperren — konsequent statt überall halbherzig."
          ]
        }
      ],
      "quiz": [
        {
          "q": "Warum ist „Bei mir gibt es nichts zu holen\" ein Denkfehler?",
          "options": [
            "Weil jeder Mensch wertvolle Daten besitzt",
            "Weil die meisten Angriffe automatisiert und ungezielt laufen — du bist eine Zeile in einer Liste, kein ausgewähltes Ziel",
            "Weil Angreifer besonders gern Privatpersonen angreifen",
            "Weil es immer um Geld geht"
          ],
          "correct": 1,
          "explain": "Der Satz setzt voraus, dass sich jemand für dich entschieden hat. Massenmails und automatisierte Login-Versuche mit Leck-Passwörtern treffen aber alle gleichzeitig — Sicherheit ist deshalb eine Frage des Aufwands, nicht der Wichtigkeit."
        },
        {
          "q": "Welches Konto ist am wichtigsten abzusichern?",
          "options": [
            "Das Online-Banking",
            "Das Social-Media-Konto",
            "Das E-Mail-Konto",
            "Der Online-Shop mit hinterlegter Kreditkarte"
          ],
          "correct": 2,
          "explain": "Die E-Mail-Adresse ist die Passwort-zurücksetzen-Adresse für alles andere. Wer sie kontrolliert, kann sich Zugang zu Bank, Shops und Behördenkonten schicken lassen."
        },
        {
          "q": "Was ist der häufigste Weg, auf dem Privatpersonen getroffen werden?",
          "options": [
            "Social Engineering — jemand bringt dich dazu, etwas zu tun",
            "Direkte Angriffe auf den heimischen Router",
            "Abhören des WLANs im Café",
            "Physischer Diebstahl von Geräten"
          ],
          "correct": 0,
          "explain": "Er braucht keine technische Lücke, sondern nur einen unaufmerksamen Moment — und ist deshalb billiger und zuverlässiger als jeder technische Angriff."
        },
        {
          "q": "Du benutzt dasselbe Passwort bei mehreren Diensten. Was ist die konkrete Gefahr?",
          "options": [
            "Man kann es leichter erraten",
            "Nach einem Leck bei einem Dienst wird die Kombination automatisiert bei vielen anderen probiert",
            "Der Anbieter kann es weitergeben",
            "Es lässt sich schlechter merken"
          ],
          "correct": 1,
          "explain": "Das nennt man Credential Stuffing. Das Passwort muss nicht schlecht sein — es reicht, dass es irgendwo anders schon geleakt ist."
        },
        {
          "q": "Was ist das realistische Ziel privater IT-Sicherheit?",
          "options": [
            "Unangreifbar sein",
            "Alle Angriffe erkennen",
            "Der unattraktivere Aufwand sein, plus einen Plan für den Ernstfall haben",
            "Möglichst viel Software installieren"
          ],
          "correct": 2,
          "explain": "Wie bei einem Türschloss: Es geht darum, dass jemand mit begrenzter Zeit weiterzieht — und dass du eine Datensicherung und einen Ablauf hast, falls doch etwas passiert."
        }
      ],
      "version": "202608041120"
    },
    {
      "id": "m2",
      "icon": "🎣",
      "color": "#4ECDC4",
      "title": "Phishing",
      "subtitle": "Die häufigste Attacke überhaupt",
      "lessons": [
        {
          "id": "m2l1",
          "title": "Was Phishing eigentlich will",
          "content": [
            "Phishing ist der Versuch, dich zu einer Handlung zu bringen, die du bei klarem Kopf nicht tun würdest. Meist geht es um eines von drei Zielen: dein Passwort (du tippst es auf einer gefälschten Anmeldeseite ein), dein Geld (du überweist oder zahlst) oder deinen Rechner (du öffnest einen Anhang oder installierst etwas).",
            "Der Name kommt vom Angeln: Der Köder wird ausgeworfen, und es reicht, wenn ein kleiner Teil anbeißt. Bei Massenmails an Hunderttausende genügt eine Trefferquote von unter einem Prozent, damit sich die Sache lohnt.",
            "Wichtig zu verstehen: Der Angriff findet nicht in der Technik statt, sondern in deinem Kopf. Deshalb hilft ein Virenscanner hier nur begrenzt. Die eigentliche Verteidigung ist eine Gewohnheit – die Fähigkeit, in genau dem Moment innezuhalten, in dem jemand Eile erzeugt.",
            "Phishing kommt längst nicht mehr nur per E-Mail. Es gibt es per SMS (Smishing), per Telefon (Vishing), per Messenger, per QR-Code und über gefälschte Werbeanzeigen in Suchmaschinen. Der Kanal wechselt, das Muster bleibt gleich."
          ],
          "tip": "Phishing greift nicht deinen Rechner an, sondern deine Aufmerksamkeit. Der Gegenzug ist Innehalten.",
          "summary": [
            "Phishing greift nicht deinen Rechner an, sondern deine Aufmerksamkeit. Der Gegenzug ist Innehalten."
          ]
        },
        {
          "id": "m2l2",
          "title": "Die drei Hebel: Dringlichkeit, Autorität, Angst",
          "content": [
            "Fast jede Phishing-Nachricht zieht an mindestens einem von drei Hebeln. Dringlichkeit: „Ihr Konto wird in 24 Stunden gesperrt.\" Autorität: Absender ist die Bank, die Polizei, der Chef, das Finanzamt. Angst oder Gier: eine angebliche Abbuchung, eine Rückerstattung, ein Paket, ein Gewinn.",
            "Diese Hebel wirken, weil sie das langsame Nachdenken abschalten. Unter Zeitdruck prüft niemand Absenderadressen. Genau darauf ist die Nachricht gebaut – die Frist ist kein Detail, sondern der eigentliche Angriff.",
            "Daraus folgt die einzige Regel, die du dir merken musst, wenn du dir sonst nichts merkst: **Je dringender eine Nachricht klingt, desto langsamer solltest du werden.** Echte Banken, Behörden und Arbeitgeber setzen keine 24-Stunden-Fristen per Mail. Und wenn doch: Ein Rückruf über die dir bekannte Nummer kostet zwei Minuten.",
            "Eine bewährte Gegenprobe: Reagiere nie im Kanal der Nachricht. Nicht auf den Link klicken, nicht die angegebene Nummer anrufen, nicht auf die Mail antworten. Stattdessen selbst zur Seite gehen – App öffnen, Adresse von Hand tippen, Nummer von der Rückseite der Karte nehmen."
          ],
          "tip": "Nie im Kanal der Nachricht reagieren. App selbst öffnen, Adresse selbst tippen, Nummer von der Karte.",
          "summary": [
            "Nie im Kanal der Nachricht reagieren. App selbst öffnen, Adresse selbst tippen, Nummer von der Karte."
          ]
        },
        {
          "id": "m2l3",
          "title": "Gezieltes Phishing: wenn es persönlich wird",
          "content": [
            "Neben der Massenware gibt es zielgerichtete Varianten. Beim Spear-Phishing weiß der Absender etwas über dich: deinen Arbeitgeber, ein laufendes Projekt, den Namen deiner Chefin. Diese Informationen stammen aus sozialen Netzwerken, aus Impressen oder aus früheren Datenlecks – niemand muss dich dafür ausspionieren.",
            "Eine besonders teure Variante trifft Firmen: Eine Mail scheinbar von der Geschäftsführung bittet um eine dringende, vertrauliche Überweisung. Es gibt keine Schadsoftware, keinen Link, nichts, was ein Filter erkennen könnte – nur eine glaubwürdige Bitte unter Zeitdruck. Der Schutz ist rein organisatorisch: Zahlungen ab einer bestimmten Höhe werden immer über einen zweiten Kanal bestätigt.",
            "Neu ist die Qualität. Sprachfehler als Erkennungsmerkmal sind weitgehend verschwunden, seit Texte maschinell erzeugt werden; Stimmen am Telefon lassen sich nachbilden. Verlass dich deshalb nicht mehr auf holprige Formulierungen als Warnsignal – prüfe Absender und Vorgang, nicht die Sprachqualität.",
            "Die Verteidigung bleibt trotzdem dieselbe und wird sogar wichtiger: nicht dem Kanal vertrauen, sondern über einen zweiten, selbst gewählten Weg zurückfragen. Eine perfekt formulierte Mail und eine perfekt klingende Stimme können beide gefälscht sein – ein Rückruf auf die dir bekannte Nummer nicht."
          ],
          "tip": "Fehlerfreies Deutsch ist kein Echtheitsbeweis mehr. Prüfe den Vorgang, nicht die Sprache.",
          "summary": [
            "Fehlerfreies Deutsch ist kein Echtheitsbeweis mehr. Prüfe den Vorgang, nicht die Sprache."
          ]
        }
      ],
      "quiz": [
        {
          "q": "Was ist das Ziel einer Phishing-Nachricht?",
          "options": [
            "Dich zu einer Handlung zu bringen: Zugangsdaten eingeben, zahlen oder etwas installieren",
            "Deinen Rechner direkt zu infizieren, ohne dein Zutun",
            "Deine IP-Adresse auszulesen",
            "Dein WLAN zu knacken"
          ],
          "correct": 0,
          "explain": "Der Angriff braucht dich als ausführenden Teil. Deshalb hilft Technik allein nur begrenzt — die Verteidigung ist die Gewohnheit, im Druckmoment innezuhalten."
        },
        {
          "q": "Eine Mail droht mit Kontosperrung in 24 Stunden. Was sagt dir das?",
          "options": [
            "Dass du sofort handeln solltest",
            "Dass es sich um eine wichtige Behördenmitteilung handelt",
            "Dass die Frist selbst der Angriff ist — je dringender, desto langsamer werden",
            "Dass du die Mail an Freunde weiterleiten solltest"
          ],
          "correct": 2,
          "explain": "Zeitdruck schaltet das langsame Nachdenken ab, und genau darauf ist die Nachricht gebaut. Echte Banken und Behörden arbeiten nicht mit 24-Stunden-Fristen per Mail."
        },
        {
          "q": "Was heißt „nie im Kanal der Nachricht reagieren\"?",
          "options": [
            "Nicht per Mail antworten, sondern anrufen",
            "Weder Link, noch angegebene Nummer, noch Antwortfunktion nutzen — stattdessen selbst App öffnen oder Adresse tippen",
            "Die Nachricht löschen und ignorieren",
            "Immer über einen anderen Browser gehen"
          ],
          "correct": 1,
          "explain": "Auch die Rückrufnummer in der Nachricht gehört zum Angriff. Nur ein selbst gewählter Weg — App, getippte Adresse, Nummer von der Kartenrückseite — ist unabhängig."
        },
        {
          "q": "Warum ist fehlerfreies Deutsch kein Echtheitsbeweis mehr?",
          "options": [
            "Weil Angreifer heute besser ausgebildet sind",
            "Weil Übersetzungsdienste schon immer gut waren",
            "Weil Texte maschinell erzeugt werden und sprachlich sauber sind",
            "Weil deutsche Mails generell selten gefälscht werden"
          ],
          "correct": 2,
          "explain": "Das klassische Merkmal „holprige Sprache\" ist weitgehend weggefallen — auch Stimmen lassen sich nachbilden. Prüfe deshalb Absender und Vorgang, nicht die Formulierung."
        },
        {
          "q": "Wie schützt sich eine Firma gegen die gefälschte Chef-Mail mit Überweisungsbitte?",
          "options": [
            "Mit einem besseren Spamfilter",
            "Mit einer Regel: Zahlungen ab einer Grenze werden immer über einen zweiten Kanal bestätigt",
            "Mit Virenschutz auf allen Rechnern",
            "Indem man Mails der Geschäftsführung markiert"
          ],
          "correct": 1,
          "explain": "Diese Mails enthalten weder Link noch Schadcode — es gibt technisch nichts zu erkennen. Nur ein organisatorischer Zweitkanal fängt sie ab."
        }
      ],
      "version": "202608041120"
    },
    {
      "id": "m3",
      "icon": "🔬",
      "color": "#845EC2",
      "title": "Anatomie einer Phishing-Mail",
      "subtitle": "Sechs Stellen, die du prüfst",
      "lessons": [
        {
          "id": "m3l1",
          "title": "Der Aufbau ist fast immer gleich",
          "content": [
            "Eine Phishing-Mail besteht aus sechs Bauteilen, und jedes davon ist eine Prüfstelle. Erstens der Absender: ein vertrauter Name im Anzeigefeld, oft eine ganz andere Adresse dahinter. Zweitens die Anrede: „Sehr geehrter Kunde\" statt deines Namens – oder umgekehrt dein Name, weil er aus einem Leck stammt.",
            "Drittens der Anlass: eine Abbuchung, ein Paket, eine Sperrung, eine Rückerstattung. Viertens die Frist – der Zeitdruck aus Modul 2. Fünftens der Handlungsaufruf: ein Knopf oder Link, der zur Anmeldeseite führen soll. Sechstens die Aufmachung: Logo, Farben, Fußzeile, oft ein exaktes Abbild des Originals.",
            "Bauteil sechs ist der Grund, warum „sieht echt aus\" kein Kriterium ist. Logos und Layouts sind öffentlich; eine gefälschte Mail sieht heute oft besser aus als die echte, weil sie aus einem sauberen Baukasten stammt.",
            "Prüfe deshalb die Bauteile eins und fünf – Absender und Ziel des Links. Die beiden lassen sich nicht so leicht fälschen wie das Aussehen, und ihnen sind die nächsten Module gewidmet."
          ],
          "tip": "„Sieht echt aus\" ist kein Kriterium. Logos sind öffentlich — prüfe Absender und Linkziel.",
          "summary": [
            "„Sieht echt aus\" ist kein Kriterium. Logos sind öffentlich — prüfe Absender und Linkziel."
          ]
        },
        {
          "id": "m3l2",
          "title": "Die roten Flaggen",
          "content": [
            "Manche Signale sind so verlässlich, dass sie allein zum Abbruch reichen. Erstens: Es wird nach Zugangsdaten, PIN, TAN oder Kreditkartennummer gefragt – kein seriöser Anbieter tut das per Mail oder Telefon. Zweitens: Es wird zu einer Zahlung in ungewöhnlicher Form gedrängt, etwa Gutscheinkarten, Krypto oder Bargeldtransfer.",
            "Drittens: Die Nachricht bezieht sich auf etwas, das du nicht getan hast – eine Bestellung, die du nicht aufgegeben hast, ein Abo, das du nicht abgeschlossen hast. Das ist Absicht: Der Schreck über die angebliche Abbuchung soll dich zum Klicken bringen. Genau dann nicht klicken, sondern selbst im Konto nachsehen.",
            "Viertens: Anhänge, die du nicht erwartest, besonders Office-Dateien mit Makro-Nachfrage, ZIP-Archive, oder Dateien mit doppelter Endung wie `rechnung.pdf.exe`. Fünftens: Antwortadressen, die von der Absenderadresse abweichen.",
            "Und ein Sonderfall, der viele erwischt: Die Mail sieht wie eine Antwort in einem echten Verlauf aus, inklusive zitiertem Text. Das kann bedeuten, dass ein anderer Beteiligter kompromittiert wurde. Auch dann gilt: Vorgang über einen zweiten Kanal bestätigen, bevor du reagierst."
          ],
          "tip": "Bezieht sich die Mail auf etwas, das du nie getan hast? Nicht klicken — selbst im Konto nachsehen.",
          "summary": [
            "Bezieht sich die Mail auf etwas, das du nie getan hast? Nicht klicken — selbst im Konto nachsehen."
          ]
        },
        {
          "id": "m3l3",
          "title": "Vier Beispiele im Vergleich",
          "content": [
            "Beispiel eins: Absender „DHL Zustellung\" <dhl-info@paket-status-check.net>, Text: „Ihr Paket konnte nicht zugestellt werden, Zollgebühr 2,90 € nachzahlen.\" Kleiner Betrag, plausibler Anlass, echtes Logo. Der Verrat steckt in der Domain – `paket-status-check.net` gehört nicht zu DHL.",
            "Beispiel zwei: „Ihre Apple-ID wurde auf einem neuen Gerät verwendet. Waren Sie das nicht? Hier klicken.\" Das nutzt die richtige Reaktion (Sorge) für den falschen Weg. Richtig wäre: Gerät selbst in den Kontoeinstellungen prüfen, nicht über den Link.",
            "Beispiel drei: eine Mail vom eigenen Arbeitgeber, „Neue Personalrichtlinie – bitte mit Firmenkonto anmelden\", Link zu einer Anmeldeseite, die aussieht wie das Firmen-Login. Hier hilft nur: Die Adresse im Browser prüfen, bevor du Zugangsdaten eintippst.",
            "Und zum Vergleich eine echte Mail: Sie spricht dich mit vollem Namen und meist mit einer Kunden- oder Vorgangsnummer an, sie fordert keine Zugangsdaten, sie setzt keine Stundenfrist, und sie funktioniert auch, wenn du sie ignorierst und dich stattdessen selbst einloggst. Dieser letzte Punkt ist der beste Test überhaupt."
          ],
          "tip": "Der beste Test: Funktioniert die Sache auch, wenn du die Mail ignorierst und dich selbst einloggst?",
          "summary": [
            "Der beste Test: Funktioniert die Sache auch, wenn du die Mail ignorierst und dich selbst einloggst?"
          ]
        }
      ],
      "quiz": [
        {
          "q": "Warum ist „die Mail sieht echt aus\" kein brauchbares Kriterium?",
          "options": [
            "Weil echte Mails oft schlecht aussehen",
            "Weil Logos und Layouts öffentlich sind und exakt kopiert werden",
            "Weil das Aussehen vom Mailprogramm abhängt",
            "Weil Bilder oft nicht geladen werden"
          ],
          "correct": 1,
          "explain": "Gefälschte Mails sehen oft sogar besser aus als echte, weil sie aus einem sauberen Baukasten stammen. Prüfbar sind Absenderdomain und Linkziel, nicht das Layout."
        },
        {
          "q": "Welche Aufforderung ist immer ein Abbruchgrund?",
          "options": [
            "Die Bitte, eine Rechnung anzusehen",
            "Ein Hinweis auf eine neue Datenschutzerklärung",
            "Die Aufforderung, PIN, TAN oder Passwort einzugeben oder zu nennen",
            "Die Bitte, den Newsletter zu bestätigen"
          ],
          "correct": 2,
          "explain": "Kein seriöser Anbieter fragt Zugangsdaten per Mail oder Telefon ab. Ebenfalls hart: Zahlungsaufforderungen per Gutscheinkarte, Krypto oder Bargeldtransfer."
        },
        {
          "q": "Du bekommst eine Abbuchungsbestätigung für etwas, das du nie bestellt hast. Was tust du?",
          "options": [
            "Den Stornierungslink in der Mail anklicken",
            "Sofort antworten und widersprechen",
            "Die angegebene Hotline anrufen",
            "Die Mail ignorieren und selbst im Konto bzw. auf dem Kontoauszug nachsehen"
          ],
          "correct": 3,
          "explain": "Der Schreck ist genau der Zweck der Mail. Alles, was in der Nachricht angeboten wird — Link, Nummer, Antwortadresse — gehört zum Angriff."
        },
        {
          "q": "Was ist an einer Datei namens `rechnung.pdf.exe` das Problem?",
          "options": [
            "Sie ist zu groß",
            "Die doppelte Endung tarnt ein ausführbares Programm als Dokument",
            "PDF-Dateien sind generell unsicher",
            "Sie lässt sich nicht öffnen"
          ],
          "correct": 1,
          "explain": "Entscheidend ist immer die letzte Endung — hier `.exe`, also ein Programm. Der `.pdf`-Teil ist nur Teil des Namens und soll das Auge beruhigen."
        },
        {
          "q": "Was ist der beste Einzeltest für eine verdächtige Nachricht?",
          "options": [
            "Prüfen, ob die Rechtschreibung stimmt",
            "Prüfen, ob das Logo korrekt ist",
            "Prüfen, ob sich die Sache auch erledigen lässt, wenn man die Mail ignoriert und sich selbst einloggt",
            "Prüfen, ob andere dieselbe Mail bekommen haben"
          ],
          "correct": 2,
          "explain": "Echte Anliegen existieren auch in deinem Konto. Wenn eine Sache nur über den Link in der Nachricht funktioniert, ist genau das das Warnsignal."
        }
      ],
      "version": "202608041120"
    },
    {
      "id": "m4",
      "icon": "📧",
      "color": "#00B8A9",
      "title": "Absender prüfen",
      "subtitle": "Anzeigename, echte Adresse, SPF/DKIM/DMARC",
      "lessons": [
        {
          "id": "m4l1",
          "title": "Anzeigename ist kein Absender",
          "content": [
            "In deinem Posteingang siehst du meist nur einen Anzeigenamen: „Postbank Service\", „Amazon\", „Anna Meier\". Dieser Name ist frei wählbar – er ist ungefähr so verbindlich wie der Absender, den jemand von Hand auf einen Briefumschlag schreibt. Die eigentliche Adresse steht dahinter und wird oft ausgeblendet, besonders auf dem Handy.",
            "Erste Handlung bei jeder verdächtigen Mail: die echte Adresse sichtbar machen. Am Handy auf den Namen tippen, am Rechner mit der Maus darüberfahren oder die Detailansicht öffnen. Was du suchst, ist der Teil hinter dem @ – die Domain.",
            "Und dort zählt nur das Ende. Bei `service@amazon.sicherheit-check.info` ist die Domain `sicherheit-check.info`, nicht Amazon. Wie man das zuverlässig liest, ist Thema von Modul 5 – es ist die wichtigste Lesefähigkeit dieses ganzen Kurses.",
            "Zweite Prüfstelle: die Antwortadresse. Manche Fälschungen tragen einen echt aussehenden Absender, leiten Antworten aber woanders hin. In der Detailansicht steht das als „Antwort an\" bzw. `Reply-To`."
          ],
          "tip": "Am Handy immer auf den Absendernamen tippen. Was zählt, ist die Domain hinter dem @.",
          "summary": [
            "Am Handy immer auf den Absendernamen tippen. Was zählt, ist die Domain hinter dem @."
          ]
        },
        {
          "id": "m4l2",
          "title": "SPF, DKIM und DMARC — was die drei tun",
          "content": [
            "E-Mail wurde ohne Absenderprüfung erfunden. Drei nachträgliche Verfahren schließen diese Lücke, und du musst sie nicht einrichten – aber es hilft zu wissen, was sie aussagen, wenn dein Mailprogramm sie anzeigt.",
            "SPF beantwortet: Darf dieser Server überhaupt Mail für diese Domain verschicken? Die Domain hinterlegt dafür eine Liste erlaubter Server. DKIM beantwortet: Wurde die Mail unterwegs verändert? Der Versandserver signiert sie kryptografisch, der Empfänger prüft die Signatur.",
            "DMARC verbindet beides und ergänzt die entscheidende Frage: Passt die geprüfte Domain zu der, die du im Absenderfeld siehst? Und es legt fest, was bei Nichtbestehen passieren soll – nichts, Spamordner oder Ablehnung. Erst DMARC macht die anderen beiden für dich als Empfänger nützlich.",
            "Für dich praktisch heißt das: Eine bestandene Prüfung bedeutet nur, dass die Mail wirklich von dieser Domain kommt – nicht, dass die Domain vertrauenswürdig ist. Eine Phishing-Mail von `sicherheit-check.info` kann alle drei Prüfungen bestehen, weil die Angreifer ihre eigene Domain korrekt konfiguriert haben. Umgekehrt ist eine fehlgeschlagene Prüfung ein starkes Warnsignal."
          ],
          "tip": "Bestandene SPF/DKIM/DMARC-Prüfung heißt: kommt wirklich von dieser Domain. Nicht: Domain ist seriös.",
          "summary": [
            "Bestandene SPF/DKIM/DMARC-Prüfung heißt: kommt wirklich von dieser Domain. Nicht: Domain ist seriös."
          ]
        },
        {
          "id": "m4l3",
          "title": "In die Kopfzeilen schauen",
          "content": [
            "Jede Mail trägt technische Kopfzeilen mit sich, die dein Programm normalerweise versteckt. In Gmail heißt der Menüpunkt „Original anzeigen\", in Outlook „Nachrichtenoptionen\" bzw. „Internetkopfzeilen\", in Apple Mail „Alle Kopfzeilen einblenden\". Du musst dort nichts verstehen – drei Zeilen reichen.",
            "`From:` ist der angezeigte Absender. `Reply-To:` ist die Adresse, an die deine Antwort ginge – weicht sie ab, ist das verdächtig. `Return-Path:` bzw. `Envelope-From` ist die technische Rücksendeadresse und passt bei Fälschungen häufig nicht zum sichtbaren Absender.",
            "Dazu kommt eine Zeile wie `Authentication-Results:`, in der das Ergebnis der drei Prüfungen aus der letzten Lektion steht – etwa `spf=pass`, `dkim=pass`, `dmarc=fail`. Ein `fail` bei DMARC ist ein deutliches Signal, dass die Mail nicht von der Domain stammt, die sie behauptet.",
            "Das alles ist Kür, nicht Pflicht. Für den Alltag reichen Absenderdomain und Linkziel. Aber wenn du bei einer wichtigen Mail wirklich sicher sein willst – etwa bei einer Zahlungsaufforderung –, sind diese drei Zeilen in zwei Minuten geprüft."
          ],
          "tip": "Drei Kopfzeilen genügen: From, Reply-To, Authentication-Results. Ein dmarc=fail ist ein klares Stopp.",
          "summary": [
            "Drei Kopfzeilen genügen: From, Reply-To, Authentication-Results. Ein dmarc=fail ist ein klares Stopp."
          ]
        }
      ],
      "quiz": [
        {
          "q": "Was ist der Anzeigename einer E-Mail?",
          "options": [
            "Die technisch geprüfte Absenderadresse",
            "Ein frei wählbarer Text, vergleichbar mit einem handgeschriebenen Absender auf einem Umschlag",
            "Der Name des Mailservers",
            "Der Name aus dem Adressbuch des Absenders"
          ],
          "correct": 1,
          "explain": "Er ist beliebig setzbar und wird gerade auf dem Handy oft allein angezeigt. Aussagekräftig ist nur die Adresse dahinter — genauer: die Domain hinter dem @."
        },
        {
          "q": "Die Absenderadresse lautet `service@amazon.sicherheit-check.info`. Welche Domain ist das?",
          "options": [
            "amazon.de",
            "amazon.sicherheit-check.info gehört zu Amazon",
            "sicherheit-check.info",
            "service.amazon"
          ],
          "correct": 2,
          "explain": "Gelesen wird von rechts: die eigentliche Domain ist `sicherheit-check.info`, „amazon\" ist nur eine Subdomain, die der Angreifer frei wählen konnte."
        },
        {
          "q": "Was sagt eine bestandene DMARC-Prüfung aus?",
          "options": [
            "Dass die Mail vertrauenswürdig ist",
            "Dass der Inhalt geprüft wurde",
            "Dass die Mail tatsächlich von der angegebenen Domain stammt — über deren Seriosität sagt sie nichts",
            "Dass kein Virus enthalten ist"
          ],
          "correct": 2,
          "explain": "Angreifer konfigurieren ihre eigene Domain korrekt und bestehen die Prüfung problemlos. Aussagekräftig ist vor allem der umgekehrte Fall: ein Fehlschlag."
        },
        {
          "q": "Wofür ist SPF zuständig?",
          "options": [
            "Ob der versendende Server für diese Domain überhaupt Mail verschicken darf",
            "Ob die Mail unterwegs verändert wurde",
            "Ob der Empfänger existiert",
            "Ob die Mail verschlüsselt übertragen wurde"
          ],
          "correct": 0,
          "explain": "SPF ist die Liste erlaubter Versandserver einer Domain. Die Unverändertheit prüft DKIM per Signatur, und DMARC verknüpft beides mit dem sichtbaren Absender."
        },
        {
          "q": "Was ist verdächtig, wenn `Reply-To` von `From` abweicht?",
          "options": [
            "Nichts, das ist bei Newslettern normal",
            "Deine Antwort ginge an eine andere Adresse als den angezeigten Absender",
            "Die Mail wurde weitergeleitet",
            "Der Server war überlastet"
          ],
          "correct": 1,
          "explain": "Ein echt aussehender Absender plus abweichende Antwortadresse ist ein klassisches Fälschungsmuster. Bei Newslettern kommt es vor — bei einer angeblichen Bankmail nicht."
        }
      ],
      "version": "202608041120"
    },
    {
      "id": "m5",
      "icon": "🔤",
      "color": "#F9A826",
      "title": "Domains lesen",
      "subtitle": "Die wichtigste Lesefähigkeit im Netz",
      "lessons": [
        {
          "id": "m5l1",
          "title": "Von rechts nach links lesen",
          "content": [
            "Eine Webadresse liest man nicht wie einen deutschen Satz von links nach rechts, sondern von rechts nach links – zumindest den Teil, auf den es ankommt. Ganz rechts steht die Endung, die Top-Level-Domain: `.de`, `.com`, `.ch`, `.info`. Direkt links davon steht der Name, den jemand gekauft hat.",
            "Diese beiden zusammen sind die eigentliche Domain, und nur sie sagt, wem die Seite gehört. Bei `login.paypal.com` ist die Domain `paypal.com`, und `login` ist eine Subdomain, die PayPal selbst vergeben hat. Bei `login.paypal.attacker.com` ist die Domain `attacker.com` – und „paypal\" ist nur ein Wort, das der Angreifer davorsetzen durfte.",
            "Genau hier fallen die meisten Menschen herein: Sie sehen „paypal\" und hören auf zu lesen. Die Regel dagegen ist mechanisch: Suche das letzte Wort vor der Endung. Das ist der Eigentümer. Alles, was davor mit Punkten abgetrennt steht, konnte dieser Eigentümer frei erfinden.",
            "Merksatz: Subdomains kann sich jeder ausdenken, die Domain muss man kaufen. Wer `attacker.com` besitzt, kann in einer Minute `sparkasse.login.sicher.attacker.com` einrichten – ohne jemals mit der Sparkasse zu tun gehabt zu haben."
          ],
          "tip": "Suche das letzte Wort vor der Endung. Das ist der Eigentümer — alles davor ist frei erfunden.",
          "summary": [
            "Suche das letzte Wort vor der Endung. Das ist der Eigentümer — alles davor ist frei erfunden."
          ]
        },
        {
          "id": "m5l2",
          "title": "Der Schrägstrich beendet die Domain",
          "content": [
            "Die zweite große Falle ist der Pfad. Nach der Domain folgt oft ein Schrägstrich und danach der Pfad innerhalb der Seite. Alles nach dem ersten einzelnen Schrägstrich gehört nicht mehr zur Domain und sagt nichts darüber aus, wem die Seite gehört.",
            "Vergleiche: `paypal.com/login` liegt bei PayPal. `attacker.com/paypal.com/login` liegt bei `attacker.com` – dort ist „paypal.com\" bloß ein Ordnername. Die Adresse sieht auf den ersten Blick vertraut aus und ist doch etwas völlig anderes.",
            "Dieselbe Logik gilt für das Fragezeichen und alles danach – die Parameter. `attacker.com/?redirect=paypal.com` ist eine Seite von `attacker.com`. Solche Adressen kommen in Phishing-Mails häufig vor, weil das Auge nach dem bekannten Wort sucht und dabei den Anfang überliest.",
            "Zusammengefasst: Lies vom Anfang bis zum ersten einzelnen Schrägstrich, und darin die letzten zwei Bestandteile. Das ist die Domain. Alles andere – Subdomains davor, Pfad und Parameter danach – ist frei gestaltbar."
          ],
          "tip": "Nach dem ersten Schrägstrich hörst du auf zu lesen. Was danach kommt, sagt nichts über den Eigentümer.",
          "summary": [
            "Nach dem ersten Schrägstrich hörst du auf zu lesen. Was danach kommt, sagt nichts über den Eigentümer."
          ]
        },
        {
          "id": "m5l3",
          "title": "Übung an echten Beispielen",
          "content": [
            "`https://www.postbank.de/kunden/login` — Domain `postbank.de`. `www` und `kunden` sind Subdomain und Pfad, beide von der Postbank selbst gesetzt. Sieht gut aus.",
            "`https://postbank.de.sicherheit-portal.com/login` — Domain `sicherheit-portal.com`. Der Trick: `postbank.de` steht als Subdomain davor und wirkt wie eine echte Adresse, ist aber nur ein Präfix. Das ist eine der häufigsten Varianten überhaupt.",
            "`https://sicher-postbank.de/login` — Domain `sicher-postbank.de`. Hier gibt es keinen Punkt vor „postbank\", sondern einen Bindestrich: Das ist eine komplett andere, eigens registrierte Domain. Bindestrich-Varianten des echten Namens sind fast immer ein Warnsignal.",
            "`https://postbank.de@sicherheit-portal.com/` — hier liegt die Falle im @-Zeichen: Alles davor wird vom Browser als Benutzername interpretiert, die tatsächliche Adresse ist `sicherheit-portal.com`. Moderne Browser warnen davor oder blenden den Teil aus, aber in einer Mail sieht der Link erst einmal überzeugend aus."
          ],
          "tip": "Bindestrich statt Punkt („sicher-postbank.de“) ist fast immer eine eigens registrierte Fälschung.",
          "summary": [
            "Bindestrich statt Punkt („sicher-postbank.de“) ist fast immer eine eigens registrierte Fälschung."
          ]
        }
      ],
      "quiz": [
        {
          "q": "Wem gehört `login.paypal.attacker.com`?",
          "options": [
            "PayPal",
            "Dem Besitzer von attacker.com",
            "Das ist eine geteilte Domain",
            "Dem Besitzer von login.paypal.com"
          ],
          "correct": 1,
          "explain": "Die Domain sind die letzten zwei Bestandteile vor dem ersten Schrägstrich: `attacker.com`. „login\" und „paypal\" sind frei wählbare Subdomains."
        },
        {
          "q": "Wem gehört `attacker.com/paypal.com/login`?",
          "options": [
            "PayPal, wegen paypal.com in der Adresse",
            "Beiden gemeinsam",
            "Dem Besitzer von attacker.com — nach dem Schrägstrich steht nur ein Ordnername",
            "Das lässt sich nicht sagen"
          ],
          "correct": 2,
          "explain": "Der erste einzelne Schrägstrich beendet die Domain. Alles danach ist Pfad und frei benennbar — „paypal.com\" ist hier schlicht ein Ordner."
        },
        {
          "q": "Welche dieser Adressen gehört wirklich zur Postbank?",
          "options": [
            "https://www.postbank.de/kunden/login",
            "https://postbank.de.sicherheit-portal.com/login",
            "https://sicher-postbank.de/login",
            "https://postbank.de@sicherheit-portal.com/"
          ],
          "correct": 0,
          "explain": "Nur dort ist `postbank.de` die eigentliche Domain. Bei 2 ist es eine Subdomain von `sicherheit-portal.com`, bei 3 eine eigene Bindestrich-Domain, bei 4 steht alles vor dem @ nur als Benutzername."
        },
        {
          "q": "Warum ist der Bindestrich in `sicher-postbank.de` ein Warnsignal?",
          "options": [
            "Bindestriche sind in Domains nicht erlaubt",
            "Er trennt keine Ebenen — es ist eine komplett eigene, separat registrierte Domain",
            "Er zeigt eine Subdomain an",
            "Er bedeutet, dass die Seite unverschlüsselt ist"
          ],
          "correct": 1,
          "explain": "Ebenen werden nur durch Punkte getrennt. Ein Bindestrich macht daraus einen neuen Namen, den jemand kaufen musste — meist genau zu diesem Zweck."
        },
        {
          "q": "Was bewirkt das @-Zeichen in `postbank.de@sicherheit-portal.com`?",
          "options": [
            "Es verbindet zwei Domains",
            "Es zeigt eine E-Mail-Adresse an",
            "Alles davor gilt als Benutzername, angesteuert wird sicherheit-portal.com",
            "Es leitet automatisch weiter"
          ],
          "correct": 2,
          "explain": "Ein alter URL-Bestandteil für Zugangsdaten. Browser warnen inzwischen meist davor, aber in einer Mail wirkt der Link auf den ersten Blick echt."
        }
      ],
      "version": "202608041120"
    },
    {
      "id": "m6",
      "icon": "🪞",
      "color": "#FF6B9D",
      "title": "Lookalike-Domains",
      "subtitle": "Punycode, kyrillische Zwillinge, Tippfehler",
      "lessons": [
        {
          "id": "m6l1",
          "title": "Buchstaben, die keine sind",
          "content": [
            "Seit Domains auch Umlaute und andere Schriftzeichen enthalten dürfen, gibt es ein Problem: Manche Zeichen aus anderen Alphabeten sehen lateinischen Buchstaben zum Verwechseln ähnlich. Das kyrillische „а\" ist für dein Auge identisch mit dem lateinischen „a\" – für den Computer sind es zwei völlig verschiedene Zeichen.",
            "Damit lässt sich eine Domain bauen, die auf dem Bildschirm exakt aussieht wie `apple.com`, technisch aber eine ganz andere Adresse ist. Der Fachbegriff dafür ist Homograph-Angriff. Ähnliche Paare gibt es viele: kyrillisch „о\", „е\", „р\", „с\" und griechische Zeichen.",
            "Technisch werden solche Domains als Punycode gespeichert – eine reine ASCII-Schreibweise, die immer mit `xn--` beginnt. Aus einer optisch perfekten Fälschung wird dann etwas wie `xn--pple-43d.com`. Genau daran erkennst du sie.",
            "Moderne Browser helfen: Sie zeigen verdächtige Mischungen aus mehreren Schriftsystemen direkt in der Punycode-Form an. Wenn du in der Adresszeile jemals `xn--` siehst, ist das ein sofortiges Stopp-Signal – bei einer bekannten Marke gibt es dafür keinen legitimen Grund."
          ],
          "tip": "Steht `xn--` in der Adresszeile, ist die Domain in einer Fremdschrift geschrieben. Bei bekannten Marken: sofort weg.",
          "summary": [
            "Steht `xn--` in der Adresszeile, ist die Domain in einer Fremdschrift geschrieben. Bei bekannten Marken: sofort weg."
          ]
        },
        {
          "id": "m6l2",
          "title": "Typosquatting: der Tippfehler als Geschäftsmodell",
          "content": [
            "Die einfachere Variante braucht gar keine Sonderzeichen. Angreifer registrieren Domains, die sich nur um einen Buchstaben von der echten unterscheiden, und warten auf Vertipper: `gogle.com`, `amazn.de`, `paypaI.com` – bei letzterem ist das kleine L durch ein großes i ersetzt, in vielen Schriftarten nicht unterscheidbar.",
            "Weitere Muster: vertauschte Nachbarbuchstaben (`gogole`), verdoppelte Buchstaben (`googgle`), die falsche Endung (`.co` statt `.com`, `.cm` statt `.com`) oder ein angehängtes Wort (`amazon-service.de`).",
            "Der Schutz ist unspektakulär und wirksam: Tippe wichtige Adressen nicht jedes Mal neu, sondern arbeite mit Lesezeichen. Ein Lesezeichen kann sich nicht vertippen. Für Bank, Mail und alles mit Zahlungsdaten sollte der Weg immer über ein Lesezeichen oder die offizielle App führen.",
            "Zweiter Schutz, fast noch besser: ein Passwort-Manager. Der füllt Zugangsdaten nur auf der exakt hinterlegten Domain aus. Wenn er auf einer Seite, die aussieht wie deine Bank, plötzlich nichts anbietet, ist das kein Fehler des Programms – das ist die Warnung."
          ],
          "tip": "Füllt der Passwort-Manager auf einer vertrauten Seite plötzlich nichts aus, ist das keine Panne, sondern die Warnung.",
          "summary": [
            "Füllt der Passwort-Manager auf einer vertrauten Seite plötzlich nichts aus, ist das keine Panne, sondern die Warnung."
          ]
        },
        {
          "id": "m6l3",
          "title": "Was du im Zweifel prüfst",
          "content": [
            "Erstens: die Adresse groß und in Ruhe ansehen. Auf dem Handy ist die Adresszeile oft gekürzt – einmal antippen zeigt die vollständige Adresse. Genau in dieser Kürzung verschwindet der entscheidende Teil.",
            "Zweitens: Ist die Domain die, die du erwartest, oder eine mit Zusatz? Firmen benutzen für Kampagnen manchmal eigene Domains – das ist legitim, aber es ist auch die Lücke, durch die Fälschungen unauffällig bleiben. Im Zweifel über die Hauptseite navigieren statt über den Link.",
            "Drittens: Wenn eine Seite Zugangsdaten will, immer prüfen. Bei reinem Lesen ist eine falsche Domain unangenehm, bei einer Anmeldemaske ist sie das eigentliche Ziel des Angriffs.",
            "Und viertens, für Firmen relevant: Es gibt Dienste, die eigene Lookalike-Domains überwachen und melden, wenn jemand eine registriert. Für Privatpersonen ist das überzogen – dort reichen Lesezeichen, Passwort-Manager und ein zweiter Blick vor dem Anmelden."
          ],
          "tip": "Auf dem Handy die gekürzte Adresszeile einmal antippen — in der Kürzung verschwindet genau der wichtige Teil.",
          "summary": [
            "Auf dem Handy die gekürzte Adresszeile einmal antippen — in der Kürzung verschwindet genau der wichtige Teil."
          ]
        }
      ],
      "quiz": [
        {
          "q": "Was ist ein Homograph-Angriff?",
          "options": [
            "Eine Domain mit sehr vielen Subdomains",
            "Eine Domain, die Zeichen aus anderen Alphabeten nutzt, die lateinischen Buchstaben gleichen",
            "Eine Domain mit falscher Endung",
            "Eine automatisch weiterleitende Domain"
          ],
          "correct": 1,
          "explain": "Das kyrillische „а\" sieht aus wie das lateinische „a\", ist für den Computer aber ein anderes Zeichen. Optisch ist die Fälschung perfekt."
        },
        {
          "q": "Du siehst `xn--` in der Adresszeile. Was bedeutet das?",
          "options": [
            "Die Verbindung ist unverschlüsselt",
            "Die Seite nutzt eine veraltete Technik",
            "Die Domain enthält Zeichen außerhalb des lateinischen Alphabets (Punycode)",
            "Die Seite wurde weitergeleitet"
          ],
          "correct": 2,
          "explain": "Der Browser zeigt verdächtige Schriftmischungen bewusst in dieser Form an. Bei einer bekannten Marke gibt es dafür keinen legitimen Grund — sofort abbrechen."
        },
        {
          "q": "Was ist Typosquatting?",
          "options": [
            "Das Registrieren von Domains, die sich nur minimal vom Original unterscheiden",
            "Das Fälschen von E-Mail-Absendern",
            "Das Abfangen von Tastatureingaben",
            "Das Umleiten von DNS-Anfragen"
          ],
          "correct": 0,
          "explain": "`amazn.de`, `gogle.com`, `paypaI.com` mit großem i statt kleinem L — es wird schlicht auf Vertipper gewartet. Lesezeichen sind der wirksamste Schutz."
        },
        {
          "q": "Der Passwort-Manager bietet auf der Anmeldeseite deiner Bank nichts zum Ausfüllen an. Was bedeutet das am wahrscheinlichsten?",
          "options": [
            "Die Erweiterung ist abgestürzt",
            "Die Domain stimmt nicht mit der hinterlegten überein — vermutlich eine Fälschung",
            "Die Bank hat ihr Login umgebaut",
            "Das Passwort ist abgelaufen"
          ],
          "correct": 1,
          "explain": "Ein Passwort-Manager vergleicht die Domain exakt und lässt sich optisch nicht täuschen. Genau deshalb ist sein Schweigen ein wertvolles Warnsignal."
        },
        {
          "q": "Warum ist die gekürzte Adresszeile auf dem Handy gefährlich?",
          "options": [
            "Weil sie die Verschlüsselung verbirgt",
            "Weil sie Links langsamer lädt",
            "Weil in der Kürzung genau der Teil verschwindet, der den Eigentümer verrät",
            "Weil man sie nicht kopieren kann"
          ],
          "correct": 2,
          "explain": "Häufig ist nur der Anfang oder ein Ausschnitt sichtbar. Einmal antippen zeigt die vollständige Adresse — und erst die lässt sich beurteilen."
        }
      ],
      "version": "202608041120"
    },
    {
      "id": "m7",
      "icon": "🔗",
      "color": "#6C5CE7",
      "title": "Links prüfen vor dem Klick",
      "subtitle": "Vorschau, Kurzlinks, Encoding",
      "lessons": [
        {
          "id": "m7l1",
          "title": "Das Ziel sehen, ohne zu klicken",
          "content": [
            "Der Text eines Links und sein Ziel haben nichts miteinander zu tun. Ein Link kann `www.sparkasse.de` heißen und irgendwohin führen – Anzeigetext und Adresse sind zwei getrennte Angaben, wie Anzeigename und Adresse bei einer Mail.",
            "Am Rechner: mit dem Mauszeiger über den Link fahren, ohne zu klicken. Unten links im Fenster erscheint das tatsächliche Ziel. Diese eine Bewegung ist die günstigste Sicherheitsmaßnahme, die es gibt.",
            "Am Handy: lange auf den Link tippen und halten, bis ein Menü mit Vorschau erscheint. Dort steht die vollständige Adresse. Nicht kurz tippen – das öffnet sie.",
            "Und beurteile das Ziel nach der Regel aus Modul 5: das letzte Wort vor der Endung, alles bis zum ersten Schrägstrich. Ein langer, unübersichtlicher Link ist nicht automatisch gefährlich – entscheidend ist immer nur dieser Teil am Anfang."
          ],
          "tip": "Am Rechner drüberfahren, am Handy lange drücken. Beides zeigt das echte Ziel, ohne es zu öffnen.",
          "summary": [
            "Am Rechner drüberfahren, am Handy lange drücken. Beides zeigt das echte Ziel, ohne es zu öffnen."
          ]
        },
        {
          "id": "m7l2",
          "title": "Kurzlinks und Weiterleitungen",
          "content": [
            "Kurzlinks verbergen ihr Ziel von Natur aus. Sie sind praktisch und weit verbreitet, aber du siehst vor dem Klick nicht, wohin sie führen. In einer unerwarteten Nachricht ist ein Kurzlink deshalb ein Warnsignal – nicht weil er böse ist, sondern weil er die Prüfung verhindert.",
            "Es gibt Dienste, die einen Kurzlink auflösen und das Ziel anzeigen, ohne ihn zu öffnen. Viele Verkürzer selbst bieten das an, indem man ein Pluszeichen an den Link hängt. Für den Alltag gilt aber die einfachere Regel: Kurzlink in einer unerwarteten Nachricht – nicht klicken, sondern die Seite selbst aufrufen.",
            "Verwandt ist die offene Weiterleitung: Ein Link zeigt auf eine echte, vertrauenswürdige Domain, enthält aber einen Parameter, der von dort weiterschickt – etwa `echte-seite.de/go?url=attacker.com`. Der Anfang stimmt, das Ziel nicht. Deshalb lohnt bei langen Adressen ein Blick darauf, ob eine zweite Adresse in den Parametern steckt.",
            "Und Vorsicht bei bezahlten Suchergebnissen: Angreifer schalten Anzeigen auf Markennamen, die über eine harmlose Zwischenstation auf eine gefälschte Seite führen. Wer über eine Suchmaschine zu seiner Bank will, sollte das erste Ergebnis nicht ungeprüft nehmen – besser Lesezeichen."
          ],
          "tip": "Kurzlink in einer unerwarteten Nachricht: nicht klicken. Er verhindert genau die Prüfung, die du bräuchtest.",
          "summary": [
            "Kurzlink in einer unerwarteten Nachricht: nicht klicken. Er verhindert genau die Prüfung, die du bräuchtest."
          ]
        },
        {
          "id": "m7l3",
          "title": "Verschleierung durch Encoding",
          "content": [
            "In Webadressen dürfen bestimmte Zeichen nicht direkt stehen. Sie werden dann als Prozentzeichen plus zwei Ziffern geschrieben – `%2F` steht für den Schrägstrich, `%40` für das @-Zeichen, `%20` für ein Leerzeichen. Das ist ein normaler technischer Vorgang.",
            "Missbraucht wird er, um Adressen unleserlich zu machen. Wenn in einem Link auffällig viele Prozentzeichen stehen, obwohl es um eine simple Anmeldeseite geht, ist das kein gutes Zeichen. Seriöse Anbieter haben keinen Grund, ihre Adressen zu verschleiern.",
            "Zwei weitere Verschleierungen: sehr lange Subdomain-Ketten, die den echten Domainnamen aus dem sichtbaren Bereich schieben, und Adressen mit vielen Punkten und Bindestrichen, bei denen das Auge kapituliert. Beides zielt darauf, dass du aufgibst und einfach klickst.",
            "Die richtige Reaktion auf eine unleserliche Adresse ist immer dieselbe: nicht entschlüsseln, sondern nicht benutzen. Du musst keine Adresse verstehen – du musst nur erkennen, dass sie dir nicht erlaubt, den Eigentümer zu bestimmen. Das allein ist Grund genug, den offiziellen Weg zu gehen."
          ],
          "tip": "Eine Adresse, die du nicht lesen kannst, musst du nicht entschlüsseln — du benutzt sie einfach nicht.",
          "summary": [
            "Eine Adresse, die du nicht lesen kannst, musst du nicht entschlüsseln — du benutzt sie einfach nicht."
          ]
        }
      ],
      "quiz": [
        {
          "q": "Ein Link zeigt den Text `www.sparkasse.de`. Was weißt du über sein Ziel?",
          "options": [
            "Er führt zur Sparkasse",
            "Nichts — Linktext und Ziel sind zwei unabhängige Angaben",
            "Er führt zu einer verschlüsselten Seite",
            "Er wurde von der Sparkasse erstellt"
          ],
          "correct": 1,
          "explain": "Wie Anzeigename und Adresse bei einer E-Mail. Deshalb: drüberfahren (Rechner) oder lange drücken (Handy), um das tatsächliche Ziel zu sehen."
        },
        {
          "q": "Wie prüfst du am Handy ein Linkziel, ohne es zu öffnen?",
          "options": [
            "Kurz antippen und sofort zurück",
            "Lange auf den Link drücken, bis die Vorschau erscheint",
            "Doppelt antippen",
            "Den Link kopieren und in die Suche einfügen"
          ],
          "correct": 1,
          "explain": "Langes Drücken öffnet ein Menü mit der vollständigen Adresse. Kurzes Antippen öffnet die Seite — genau das willst du vermeiden."
        },
        {
          "q": "Warum ist ein Kurzlink in einer unerwarteten Nachricht ein Warnsignal?",
          "options": [
            "Kurzlinks enthalten oft Schadsoftware",
            "Kurzlinks funktionieren nur kurze Zeit",
            "Sie verbergen das Ziel und verhindern damit die Prüfung",
            "Sie sind technisch veraltet"
          ],
          "correct": 2,
          "explain": "Der Kurzlink selbst ist neutral — problematisch ist, dass er dir die einzige verlässliche Prüfung nimmt. Dann lieber die Seite selbst aufrufen."
        },
        {
          "q": "Was ist eine offene Weiterleitung?",
          "options": [
            "Eine Seite ohne Passwortschutz",
            "Ein Link auf eine echte Domain, der über einen Parameter woandershin weiterschickt",
            "Ein Link ohne HTTPS",
            "Eine Seite, die in einem neuen Tab öffnet"
          ],
          "correct": 1,
          "explain": "`echte-seite.de/go?url=attacker.com` — der Anfang der Adresse stimmt und beruhigt, das Ziel steht im Parameter. Deshalb bei langen Adressen auf eine zweite Adresse in den Parametern achten."
        },
        {
          "q": "Ein Link steckt voller `%2F` und `%40`. Was tust du?",
          "options": [
            "Ihn mit einem Online-Decoder entschlüsseln und dann entscheiden",
            "Ihn öffnen, Encoding ist normal",
            "Ihn nicht benutzen und die Seite selbst aufrufen",
            "Die Prozentzeichen entfernen und es erneut versuchen"
          ],
          "correct": 2,
          "explain": "Encoding ist technisch normal, massenhaft in einem simplen Anmeldelink aber Verschleierung. Eine Adresse, deren Eigentümer du nicht bestimmen kannst, benutzt du einfach nicht."
        }
      ],
      "version": "202608041120"
    },
    {
      "id": "m8",
      "icon": "📱",
      "color": "#0984E3",
      "title": "QR-Codes",
      "subtitle": "Quishing — Phishing ohne sichtbaren Link",
      "lessons": [
        {
          "id": "m8l1",
          "title": "Warum QR-Codes ein Problem sind",
          "content": [
            "Ein QR-Code ist nichts weiter als eine Adresse in Bildform. Das Problem ist offensichtlich, sobald man es ausspricht: Du kannst ihn nicht lesen. Alle Prüftechniken aus den letzten Modulen – Domain lesen, Ziel anzeigen, Encoding erkennen – setzen voraus, dass du die Adresse siehst. Beim QR-Code siehst du ein Muster.",
            "Dazu kommt ein zweites Problem: QR-Codes werden fast immer mit dem Handy gescannt, und auf dem Handy ist die Adresszeile gekürzt, der Bildschirm klein und die Aufmerksamkeit meist woanders – man steht am Parkautomaten, im Restaurant, an der Haltestelle.",
            "Und drittens rutschen QR-Codes durch Spamfilter. Ein Bild enthält keinen anklickbaren Link, den ein Filter prüfen könnte. Genau deshalb tauchen QR-Codes zunehmend in Phishing-Mails auf, gern mit der Begründung, man solle „zur Sicherheit\" mit dem Handy scannen.",
            "Der Fachbegriff dafür ist Quishing – QR plus Phishing. Das Muster ist identisch mit allem aus Modul 2, nur der Transportweg ist neu."
          ],
          "tip": "Ein QR-Code in einer E-Mail ist ein Umweg um den Spamfilter — und um deine Prüfung.",
          "summary": [
            "Ein QR-Code in einer E-Mail ist ein Umweg um den Spamfilter — und um deine Prüfung."
          ]
        },
        {
          "id": "m8l2",
          "title": "Der aufgeklebte Code",
          "content": [
            "Die physische Variante ist noch simpler: Jemand klebt einen eigenen QR-Code über den echten. Beliebte Orte sind Parkautomaten, Ladesäulen, Speisekarten, Plakate und Aushänge in Hausfluren. Der Aufwand besteht aus einem Aufkleber.",
            "Deshalb lohnt bei QR-Codes im öffentlichen Raum ein kurzer Blick mit dem Finger: Fühlt sich der Code wie aufgeklebt an? Sitzt er schief, überdeckt er Text, hat er einen anderen Druck oder Glanz als der Rest? Ein aufgeklebter Code auf einem Automaten ist ein sehr starkes Warnsignal.",
            "Besonders teuer wird es bei Bezahlvorgängen. Wenn ein Parkautomat oder eine Ladesäule dich per QR-Code zu einer Zahlung führt, prüfe die Adresse nach dem Scannen ganz genau – oder nutze die offizielle App des Betreibers, die du selbst installiert hast.",
            "Gleiches gilt für QR-Codes auf Briefen und Rechnungen, die angeblich von einer Behörde oder einem Versorger kommen. Papierpost wirkt seriöser als E-Mail, ist aber genauso fälschbar – und der Code darauf ebenso."
          ],
          "tip": "Fühl mit dem Finger, ob der QR-Code aufgeklebt ist. Bei Automaten ist das der häufigste Trick.",
          "summary": [
            "Fühl mit dem Finger, ob der QR-Code aufgeklebt ist. Bei Automaten ist das der häufigste Trick."
          ]
        },
        {
          "id": "m8l3",
          "title": "Richtig scannen",
          "content": [
            "Die wichtigste Gewohnheit: Nach dem Scannen erscheint die Adresse als Vorschau, bevor die Seite öffnet – lies sie. Genau dafür ist diese Anzeige da, und genau sie überspringen die meisten Menschen mit einem reflexhaften Tipp auf „Öffnen\".",
            "Zweitens: Keine Zugangsdaten auf einer Seite eingeben, zu der dich ein QR-Code geführt hat. Wenn nach dem Scannen ein Login verlangt wird, brich ab und melde dich über die App oder eine selbst getippte Adresse an. Diese eine Regel deckt fast alle Quishing-Fälle ab.",
            "Drittens: Skepsis bei Codes, die eine Zahlung, eine Anmeldung oder eine Installation auslösen sollen. Unbedenklich sind Codes, die dich zu einer Speisekarte, einem Fahrplan oder einer Produktseite führen – dort gibst du nichts preis.",
            "Und viertens: Die Kamera-App zeigt die Adresse meist verkürzt. Halte kurz inne und lies mindestens bis zum ersten Schrägstrich. Wenn du das nicht kannst, weil die Anzeige zu kurz ist, ist Nicht-Öffnen die richtige Entscheidung."
          ],
          "tip": "Nie Zugangsdaten auf einer Seite eingeben, zu der dich ein QR-Code geführt hat. Diese Regel allein reicht weit.",
          "summary": [
            "Nie Zugangsdaten auf einer Seite eingeben, zu der dich ein QR-Code geführt hat. Diese Regel allein reicht weit."
          ]
        }
      ],
      "quiz": [
        {
          "q": "Was ist das grundsätzliche Problem an QR-Codes?",
          "options": [
            "Sie können Schadsoftware enthalten",
            "Sie funktionieren nur mit Internetverbindung",
            "Man kann die enthaltene Adresse vor dem Öffnen nicht lesen",
            "Sie sind technisch veraltet"
          ],
          "correct": 2,
          "explain": "Ein QR-Code ist eine Adresse in Bildform. Alle Prüftechniken setzen voraus, dass du die Adresse siehst — hier siehst du ein Muster."
        },
        {
          "q": "Warum tauchen QR-Codes zunehmend in Phishing-Mails auf?",
          "options": [
            "Weil sie moderner wirken",
            "Weil ein Bild keinen prüfbaren Link enthält und Filter daran vorbeikommen",
            "Weil sie sich schneller laden",
            "Weil Handys sicherer sind als Rechner"
          ],
          "correct": 1,
          "explain": "Der Code umgeht den Spamfilter — und verlagert den Vorgang auf das Handy, wo die Adresszeile gekürzt und die Aufmerksamkeit geringer ist."
        },
        {
          "q": "Woran erkennst du einen manipulierten QR-Code am Parkautomaten?",
          "options": [
            "An der Farbe des Codes",
            "Daran, dass er aufgeklebt wirkt: schief, anderer Druck, überdeckt Text",
            "An der Größe des Codes",
            "Gar nicht"
          ],
          "correct": 1,
          "explain": "Die häufigste physische Variante ist ein Aufkleber über dem echten Code. Ein kurzer Blick und ein Fingerstrich reichen meist."
        },
        {
          "q": "Welche eine Regel deckt fast alle Quishing-Fälle ab?",
          "options": [
            "QR-Codes nur mit der Kamera-App scannen, nicht mit Fremd-Apps",
            "QR-Codes nur bei Tageslicht scannen",
            "Keine Zugangsdaten auf einer Seite eingeben, zu der ein QR-Code geführt hat",
            "QR-Codes nur im WLAN scannen"
          ],
          "correct": 2,
          "explain": "Verlangt eine gescannte Seite ein Login, meldest du dich stattdessen über die App oder eine selbst getippte Adresse an. Damit läuft der Angriff ins Leere."
        },
        {
          "q": "Nach dem Scannen zeigt das Handy eine Adressvorschau. Was tust du?",
          "options": [
            "Sie lesen, mindestens bis zum ersten Schrägstrich",
            "Sofort auf „Öffnen\" tippen, sie ist ohnehin nur informativ",
            "Einen Screenshot machen",
            "Die Vorschau in den Einstellungen abschalten"
          ],
          "correct": 0,
          "explain": "Diese Vorschau ist die einzige Stelle, an der du das Ziel prüfen kannst. Ist die Anzeige zu kurz, um den Eigentümer zu bestimmen, ist Nicht-Öffnen die richtige Wahl."
        }
      ],
      "version": "202608041120"
    },
    {
      "id": "m9",
      "icon": "🔒",
      "color": "#00B894",
      "title": "HTTPS und Zertifikate",
      "subtitle": "Was das Schloss wirklich aussagt",
      "lessons": [
        {
          "id": "m9l1",
          "title": "Das Schloss sagt weniger, als du denkst",
          "content": [
            "Das Schloss-Symbol in der Adresszeile bedeutet genau eines: Die Verbindung zwischen deinem Gerät und diesem Server ist verschlüsselt, und niemand dazwischen kann mitlesen oder verändern. Das ist wertvoll – im offenen WLAN, beim Mobilfunk, bei jedem Netzwerk, dem du nicht traust.",
            "Was das Schloss ausdrücklich nicht bedeutet: dass die Seite ehrlich ist. Eine Phishing-Seite hat heute praktisch immer ein gültiges Zertifikat, weil Zertifikate kostenlos und automatisiert zu bekommen sind. Verschlüsselt zu einem Betrüger ist immer noch ein Betrüger.",
            "Früher galt „achte auf das Schloss\" als guter Rat, weil HTTPS selten war. Heute ist die Lage umgekehrt: Verschlüsselung ist der Normalfall, Browser markieren eher deren Fehlen. Das Schloss ist damit vom Gütesiegel zur Selbstverständlichkeit geworden.",
            "Die praktische Konsequenz: Prüfe nicht das Schloss, prüfe den Namen daneben. Die Domain sagt dir, mit wem du sprichst; das Schloss sagt nur, dass niemand mithört. Beides zusammen ergibt Sicherheit, das Schloss allein nicht."
          ],
          "tip": "Das Schloss sagt „niemand hört mit\", nicht „der Gesprächspartner ist ehrlich\". Prüfe die Domain daneben.",
          "summary": [
            "Das Schloss sagt „niemand hört mit\", nicht „der Gesprächspartner ist ehrlich\". Prüfe die Domain daneben."
          ]
        },
        {
          "id": "m9l2",
          "title": "Was ein Zertifikat beweist",
          "content": [
            "Ein Zertifikat ist eine Bestätigung einer dritten Stelle, dass der Server tatsächlich zu der Domain gehört, die er behauptet. Die häufigste Variante wird rein automatisch ausgestellt: Wer nachweisen kann, dass er eine Domain kontrolliert, bekommt binnen Sekunden ein Zertifikat – kostenlos.",
            "Genau deshalb beweist ein Zertifikat nur Domain-Kontrolle, nicht Seriosität. Es gibt aufwendigere Varianten, bei denen die Existenz der Organisation geprüft wird, aber Browser stellen diese Unterschiede kaum noch sichtbar dar. Verlass dich also nicht darauf.",
            "Du kannst ein Zertifikat trotzdem ansehen: Klick auf das Schloss, dann auf „Verbindung ist sicher\" bzw. „Zertifikat\". Dort steht, für welche Domain es ausgestellt wurde, von wem und wie lange es gilt. Interessant ist vor allem die erste Angabe: Sie muss zur Domain in der Adresszeile passen.",
            "Aktueller Stand der Technik ist TLS 1.3 – die Nachfolge von SSL, das seit langem als unsicher gilt. Du musst dich darum nicht kümmern, dein Browser verhandelt das automatisch und lehnt veraltete Verfahren ab. Wenn eine Seite deshalb nicht lädt, ist die Seite das Problem, nicht dein Browser."
          ],
          "tip": "Ein Zertifikat beweist Domain-Kontrolle, nicht Ehrlichkeit. Es ist kostenlos und in Sekunden zu haben.",
          "summary": [
            "Ein Zertifikat beweist Domain-Kontrolle, nicht Ehrlichkeit. Es ist kostenlos und in Sekunden zu haben."
          ]
        },
        {
          "id": "m9l3",
          "title": "Wenn der Browser warnt",
          "content": [
            "Eine Zertifikatswarnung sieht dramatisch aus und hat meist eine banale Ursache: abgelaufenes Zertifikat, falsch geschriebener Domainname, falsch gestellte Uhr auf deinem Gerät. Trotzdem gilt eine einfache Regel – bei Seiten mit Anmeldung oder Zahlung wird eine solche Warnung nie weggeklickt.",
            "Der gefährliche Fall dahinter heißt Man-in-the-Middle: Jemand im selben Netz hängt sich zwischen dich und die Seite und legt sein eigenes Zertifikat vor. Genau davor warnt der Browser. Im heimischen Netz ist das unwahrscheinlich, im öffentlichen WLAN deutlich weniger.",
            "Prüfe bei einer Warnung zuerst Datum und Uhrzeit deines Geräts – eine falsche Uhr ist die häufigste harmlose Ursache. Danach: Bist du auf der richtigen Domain, oder hast du dich vertippt?",
            "Und wenn du eine Warnung wirklich einmal übergehen musst – etwa bei einem Gerät im eigenen Heimnetz, das kein offizielles Zertifikat hat –, dann tu es bewusst und nur dort. Ein Muster daraus zu machen ist der eigentliche Fehler: Wer Warnungen gewohnheitsmäßig wegklickt, hat den Schutz abgeschaltet."
          ],
          "tip": "Bei Zertifikatswarnung zuerst die Uhr deines Geräts prüfen — falsche Zeit ist die häufigste harmlose Ursache.",
          "summary": [
            "Bei Zertifikatswarnung zuerst die Uhr deines Geräts prüfen — falsche Zeit ist die häufigste harmlose Ursache."
          ]
        }
      ],
      "quiz": [
        {
          "q": "Was bedeutet das Schloss-Symbol in der Adresszeile?",
          "options": [
            "Die Seite ist vertrauenswürdig",
            "Die Verbindung ist verschlüsselt — niemand dazwischen kann mitlesen",
            "Die Seite wurde geprüft und freigegeben",
            "Die Seite speichert keine Daten"
          ],
          "correct": 1,
          "explain": "Es sagt etwas über den Transportweg, nichts über den Gesprächspartner. Verschlüsselt zu einem Betrüger ist immer noch ein Betrüger."
        },
        {
          "q": "Haben Phishing-Seiten HTTPS?",
          "options": [
            "Nein, dafür fehlt ihnen die Infrastruktur",
            "Nur selten, weil Zertifikate teuer sind",
            "Ja, praktisch immer — Zertifikate sind kostenlos und automatisiert zu bekommen",
            "Nur bei sehr aufwendigen Angriffen"
          ],
          "correct": 2,
          "explain": "Deshalb ist der alte Rat „achte auf das Schloss\" überholt. Heute ist Verschlüsselung der Normalfall — geprüft wird der Name daneben."
        },
        {
          "q": "Was genau bestätigt ein gewöhnliches Zertifikat?",
          "options": [
            "Dass der Betreiber ein geprüftes Unternehmen ist",
            "Dass der Server die angegebene Domain kontrolliert",
            "Dass die Inhalte der Seite korrekt sind",
            "Dass keine Daten weitergegeben werden"
          ],
          "correct": 1,
          "explain": "Der Nachweis der Domain-Kontrolle genügt zur Ausstellung. Aufwendigere Varianten mit Organisationsprüfung zeigen Browser kaum noch unterscheidbar an."
        },
        {
          "q": "Der Browser zeigt eine Zertifikatswarnung. Was prüfst du zuerst?",
          "options": [
            "Ob andere Seiten funktionieren",
            "Datum und Uhrzeit deines Geräts",
            "Ob genug Speicher frei ist",
            "Ob der Virenscanner aktiv ist"
          ],
          "correct": 1,
          "explain": "Eine falsch gestellte Uhr lässt gültige Zertifikate als abgelaufen erscheinen — die häufigste harmlose Ursache. Danach: Stimmt die Domain, oder hast du dich vertippt?"
        },
        {
          "q": "Wann darfst du eine Zertifikatswarnung wegklicken?",
          "options": [
            "Wenn du es eilig hast",
            "Bei bekannten Seiten immer",
            "Nie bei Seiten mit Anmeldung oder Zahlung — und sonst nur bewusst im Einzelfall",
            "Immer, die Warnungen sind meistens falsch"
          ],
          "correct": 2,
          "explain": "Dahinter kann ein Man-in-the-Middle stecken, besonders im öffentlichen WLAN. Der eigentliche Fehler ist die Gewohnheit: Wer routinemäßig wegklickt, hat den Schutz abgeschaltet."
        }
      ],
      "version": "202608041120"
    },
    {
      "id": "m10",
      "icon": "🔢",
      "color": "#E17055",
      "title": "HTTP-Statuscodes",
      "subtitle": "Was der Browser dir mitteilt",
      "lessons": [
        {
          "id": "m10l1",
          "title": "Die fünf Familien",
          "content": [
            "Jedes Mal, wenn dein Browser eine Seite anfragt, antwortet der Server mit einer dreistelligen Zahl. Die erste Ziffer verrät die Art der Antwort, und mehr musst du eigentlich nicht wissen: 1xx heißt „läuft noch\", 2xx heißt „hat geklappt\", 3xx heißt „woanders\", 4xx heißt „dein Fehler\", 5xx heißt „mein Fehler\".",
            "Der bekannteste ist 404 – „nicht gefunden\". Er gehört zur 4er-Familie und heißt: Die Anfrage war in Ordnung, aber diese Seite gibt es hier nicht. 403 bedeutet „verboten\", 401 „nicht angemeldet\", 429 „zu viele Anfragen\".",
            "Die 5er-Familie ist die interessantere: 500 heißt, dass auf dem Server etwas kaputtgegangen ist, 502 und 504 zeigen Probleme zwischen mehreren Servern, 503 heißt „vorübergehend nicht verfügbar\" – oft bei Überlastung oder Wartung. Bei 5xx hilft Warten, bei 4xx nicht.",
            "Warum das für Sicherheit relevant ist: Statuscodes sind die einzige verlässliche Rückmeldung darüber, was mit deiner Anfrage tatsächlich passiert ist. Wer sie grob einordnen kann, lässt sich schwerer erzählen, „die Seite hat nicht funktioniert, geben Sie Ihre Daten nochmal ein\"."
          ],
          "tip": "Erste Ziffer genügt: 2 = geklappt, 3 = woanders, 4 = dein Fehler, 5 = Serverfehler. Bei 5xx hilft Warten.",
          "summary": [
            "Erste Ziffer genügt: 2 = geklappt, 3 = woanders, 4 = dein Fehler, 5 = Serverfehler. Bei 5xx hilft Warten."
          ]
        },
        {
          "id": "m10l2",
          "title": "Weiterleitungen: die 3er-Familie",
          "content": [
            "Ein 301 bedeutet „dauerhaft umgezogen\", ein 302 oder 307 „vorübergehend woanders\". Dein Browser folgt solchen Antworten automatisch, meist ohne dass du etwas merkst. Genau das macht sie sicherheitsrelevant.",
            "Weiterleitungen sind alltäglich und harmlos: von `http` auf `https`, von `www.seite.de` auf `seite.de`, von einer alten auf eine neue Adresse. Fast jede Seite, die du besuchst, leitet mindestens einmal um.",
            "Missbraucht werden sie in Ketten: Du klickst auf einen Link zu einer harmlosen Domain, wirst über zwei, drei Stationen geschickt und landest woanders. Das ist der Grund, warum Anzeigen in Suchmaschinen und Kurzlinks als Einstieg beliebt sind – der erste Schritt sieht sauber aus.",
            "Praktische Konsequenz: Beurteile nicht die Adresse, auf die du geklickt hast, sondern die, auf der du gelandet bist. Nach jedem Klick, bei dem du dich anmelden oder etwas eingeben sollst, gehört ein Blick in die Adresszeile – erst dort steht, wo du wirklich bist."
          ],
          "tip": "Beurteile nicht, wo du hingeklickt hast, sondern wo du gelandet bist. Nach dem Klick in die Adresszeile schauen.",
          "summary": [
            "Beurteile nicht, wo du hingeklickt hast, sondern wo du gelandet bist. Nach dem Klick in die Adresszeile schauen."
          ]
        },
        {
          "id": "m10l3",
          "title": "Fehlerseiten richtig lesen",
          "content": [
            "Eine echte Fehlerseite ist unspektakulär: eine kurze Meldung, oft im Design der Seite, manchmal nur weißer Hintergrund mit einer Zeile Text. Sie will nichts von dir – keine Zugangsdaten, keine Telefonnummer, keine Installation.",
            "Genau das unterscheidet sie von der gefälschten Variante. Ein klassisches Muster ist die angebliche Fehlermeldung, die dazu auffordert, eine Nummer anzurufen („Ihr Rechner ist infiziert, wenden Sie sich sofort an den Support\"). Am anderen Ende sitzt kein Support, sondern der Angriff.",
            "Ebenso häufig: eine Seite, die einen abgelaufenen Anmeldevorgang vortäuscht und zur erneuten Eingabe auffordert. Wenn dir nach einer Fehlermeldung eine Anmeldemaske begegnet, geh zurück auf Anfang – Seite selbst aufrufen, dort anmelden.",
            "Merksatz: Eine echte Fehlerseite informiert, eine gefälschte fordert auf. Sobald eine Fehlermeldung eine Handlung von dir verlangt – anrufen, herunterladen, Daten eingeben –, ist es keine Fehlermeldung mehr, sondern ein Angriff im Kostüm."
          ],
          "tip": "Echte Fehlerseiten informieren. Sobald eine Fehlermeldung dich zu etwas auffordert, ist es keine.",
          "summary": [
            "Echte Fehlerseiten informieren. Sobald eine Fehlermeldung dich zu etwas auffordert, ist es keine."
          ]
        }
      ],
      "quiz": [
        {
          "q": "Was bedeutet ein Statuscode, der mit 5 beginnt?",
          "options": [
            "Deine Anfrage war fehlerhaft",
            "Auf dem Server ist etwas schiefgegangen",
            "Die Seite wurde verschoben",
            "Die Anfrage läuft noch"
          ],
          "correct": 1,
          "explain": "5xx ist Serverseite — hier hilft Warten oder ein späterer Versuch. Bei 4xx (deine Seite) bringt Warten nichts."
        },
        {
          "q": "Was heißt 404?",
          "options": [
            "Zugriff verweigert",
            "Server überlastet",
            "Die Anfrage war in Ordnung, aber diese Seite existiert dort nicht",
            "Du musst dich anmelden"
          ],
          "correct": 2,
          "explain": "„Nicht gefunden\". Verwandt: 403 verboten, 401 nicht angemeldet, 429 zu viele Anfragen — alle aus der 4er-Familie."
        },
        {
          "q": "Warum sind Weiterleitungen (3xx) sicherheitsrelevant?",
          "options": [
            "Weil sie die Seite verlangsamen",
            "Weil sie Cookies löschen",
            "Weil der Browser ihnen automatisch folgt und du woanders landen kannst, als du geklickt hast",
            "Weil sie die Verschlüsselung aufheben"
          ],
          "correct": 2,
          "explain": "Weiterleitungen sind alltäglich und meist harmlos, aber in Ketten verschleiern sie das Ziel. Deshalb: nach dem Klick in die Adresszeile sehen."
        },
        {
          "q": "Eine Fehlerseite fordert dich auf, eine Support-Nummer anzurufen. Was ist das?",
          "options": [
            "Ein üblicher Service großer Anbieter",
            "Ein Angriff — echte Fehlerseiten informieren, sie fordern nichts",
            "Ein Hinweis auf einen Serverausfall",
            "Eine Funktion des Browsers"
          ],
          "correct": 1,
          "explain": "Am anderen Ende sitzt kein Support. Sobald eine Fehlermeldung eine Handlung verlangt — anrufen, herunterladen, Daten eingeben —, ist es keine Fehlermeldung mehr."
        },
        {
          "q": "Nach einer Fehlermeldung erscheint eine Anmeldemaske. Was tust du?",
          "options": [
            "Die Zugangsdaten erneut eingeben",
            "Die Seite neu laden und es nochmal versuchen",
            "Zurück auf Anfang: Seite selbst aufrufen und dort anmelden",
            "Das Passwort zurücksetzen lassen"
          ],
          "correct": 2,
          "explain": "Der vorgetäuschte abgelaufene Anmeldevorgang ist ein Standardmuster. Ein selbst aufgerufener Weg ist unabhängig von dem, was die Fehlerseite behauptet."
        }
      ],
      "version": "202608041120"
    },
    {
      "id": "m11",
      "icon": "⚠️",
      "color": "#845EC2",
      "title": "Browser-Warnungen",
      "subtitle": "Mixed Content und andere Hinweise",
      "lessons": [
        {
          "id": "m11l1",
          "title": "Mixed Content: halb verschlüsselt ist nicht verschlüsselt",
          "content": [
            "Von Mixed Content spricht man, wenn eine verschlüsselte Seite Bestandteile unverschlüsselt nachlädt – ein Bild, ein Skript, ein Stylesheet über `http` statt `https`. Die Seite wirkt sicher, ein Teil ihres Inhalts ist es aber nicht.",
            "Bei Bildern ist das unschön, bei Skripten ernst: Ein unverschlüsselt geladenes Skript kann unterwegs verändert werden und läuft dann mit allen Rechten innerhalb der eigentlich sicheren Seite. Deshalb blockieren Browser aktive Mixed-Content-Inhalte heute standardmäßig.",
            "Für dich sichtbar wird das als durchgestrichenes Schloss, als Hinweis „nicht vollständig sicher\" oder daran, dass Teile der Seite fehlen. Auf einer Seite, auf der du dich anmelden oder bezahlen willst, ist das ein Grund abzubrechen.",
            "Meist steckt keine Absicht dahinter, sondern eine schlecht gepflegte Seite. Das Urteil bleibt trotzdem dasselbe: Wer seine eigene Seite nicht sauber auf HTTPS bekommt, ist kein guter Verwalter deiner Zugangsdaten."
          ],
          "tip": "„Nicht vollständig sicher\" auf einer Anmeldeseite: abbrechen. Meist Nachlässigkeit — und die reicht als Grund.",
          "summary": [
            "„Nicht vollständig sicher\" auf einer Anmeldeseite: abbrechen. Meist Nachlässigkeit — und die reicht als Grund."
          ]
        },
        {
          "id": "m11l2",
          "title": "Die Warnungen, die wirklich zählen",
          "content": [
            "Browser zeigen viele Hinweise, aber vier davon solltest du nie wegklicken. Erstens die Zertifikatswarnung aus Modul 9 („Verbindung ist nicht privat\"). Zweitens die Warnung vor bekannten Betrugs- oder Schadseiten – meist ganzseitig und rot; sie stammt aus laufend aktualisierten Listen und hat eine hohe Trefferquote.",
            "Drittens die Downloadwarnung: „Diese Datei wird selten heruntergeladen und könnte gefährlich sein.\" Das ist kein Fehlalarm-Rauschen, sondern eine Aussage über die Verbreitung genau dieser Datei – bei einer Datei aus einer unerwarteten Mail ist das ein klares Stopp.",
            "Viertens die Warnung vor unsicheren Formularen: Wenn der Browser meldet, dass Daten unverschlüsselt gesendet werden, dann ist das keine Vermutung, sondern eine Tatsache – dein Passwort ginge im Klartext durchs Netz.",
            "Was du hingegen getrost ignorieren darfst: Meldungen auf Webseiten, die wie Systemmeldungen aussehen („Ihr Windows ist beschädigt\", „12 Viren gefunden\", blinkende Warnungen). Ein Browser weiß nicht, wie es deinem Rechner geht. Alles, was innerhalb der Seite darüber behauptet wird, ist Werbung oder Betrug."
          ],
          "tip": "Warnungen des Browsers ernst nehmen, Warnungen *in* der Seite ignorieren. Eine Webseite kennt deinen Rechner nicht.",
          "summary": [
            "Warnungen des Browsers ernst nehmen, Warnungen *in* der Seite ignorieren. Eine Webseite kennt deinen Rechner nicht."
          ]
        },
        {
          "id": "m11l3",
          "title": "Berechtigungen und Pop-ups",
          "content": [
            "Seiten dürfen fragen, ob sie Benachrichtigungen senden, den Standort, die Kamera oder das Mikrofon nutzen dürfen. Diese Abfragen kommen vom Browser, nicht von der Seite – und du darfst sie ohne schlechtes Gewissen ablehnen. Standard sollte „Ablehnen\" sein, „Erlauben\" die Ausnahme mit gutem Grund.",
            "Besonders unterschätzt sind Benachrichtigungen. Wer sie einmal erlaubt, bekommt vom Betreiber Meldungen direkt auf den Desktop – optisch kaum von Systemmeldungen zu unterscheiden. Genau darüber werden gefälschte Virus- und Update-Warnungen ausgeliefert.",
            "Falls du dir das eingefangen hast: In den Browsereinstellungen unter „Website-Einstellungen\" bzw. „Benachrichtigungen\" lässt sich die Erlaubnis wieder entziehen. Ein Blick dort lohnt sich einmal jährlich – oft stehen dort Seiten, an die man sich nicht erinnert.",
            "Und der Klassiker: Fenster, die sich nicht schließen lassen, oder ein Vollbild, das eine Systemmeldung nachahmt. Der richtige Ausweg ist nie der angebotene Knopf, sondern der Tab bzw. der Browser selbst – notfalls über den Task-Manager. Nichts anrufen, nichts installieren."
          ],
          "tip": "Benachrichtigungen im Browser grundsätzlich ablehnen — darüber kommen die gefälschten Systemwarnungen.",
          "summary": [
            "Benachrichtigungen im Browser grundsätzlich ablehnen — darüber kommen die gefälschten Systemwarnungen."
          ]
        }
      ],
      "quiz": [
        {
          "q": "Was ist Mixed Content?",
          "options": [
            "Eine Seite mit Text und Video",
            "Eine verschlüsselte Seite, die Teile unverschlüsselt nachlädt",
            "Eine Seite mit Inhalten mehrerer Autoren",
            "Eine Seite in mehreren Sprachen"
          ],
          "correct": 1,
          "explain": "Bei Bildern unschön, bei Skripten ernst: Ein unverschlüsselt geladenes Skript kann unterwegs verändert werden und läuft dann innerhalb der sicheren Seite."
        },
        {
          "q": "Der Browser meldet „nicht vollständig sicher\" auf einer Anmeldeseite. Was tust du?",
          "options": [
            "Abbrechen und nicht anmelden",
            "Weitermachen, das betrifft nur Bilder",
            "Die Seite neu laden",
            "In den privaten Modus wechseln"
          ],
          "correct": 0,
          "explain": "Meist steckt Nachlässigkeit dahinter, keine Absicht — aber wer die eigene Seite nicht sauber verschlüsselt bekommt, ist kein guter Verwalter deiner Zugangsdaten."
        },
        {
          "q": "Eine Webseite meldet: „12 Viren auf Ihrem Gerät gefunden!\" Was ist das?",
          "options": [
            "Eine echte Systemwarnung",
            "Ein Hinweis des Browsers",
            "Betrug — eine Webseite kann den Zustand deines Geräts nicht kennen",
            "Ein Ergebnis deines Virenscanners"
          ],
          "correct": 2,
          "explain": "Warnungen *des Browsers* (Zertifikat, bekannte Betrugsseite, Download, unsicheres Formular) sind ernst zu nehmen. Warnungen *in* der Seite sind Werbung oder Betrug."
        },
        {
          "q": "Warum sind erlaubte Browser-Benachrichtigungen ein Risiko?",
          "options": [
            "Sie verbrauchen viel Speicher",
            "Sie erscheinen wie Systemmeldungen und transportieren gefälschte Virus- und Update-Warnungen",
            "Sie deaktivieren den Virenscanner",
            "Sie senden deine Daten an die Seite"
          ],
          "correct": 1,
          "explain": "Auf dem Desktop sind sie kaum von echten Systemmeldungen zu unterscheiden. Erlaubnisse lassen sich in den Website-Einstellungen wieder entziehen — einmal jährlich durchsehen."
        },
        {
          "q": "Ein Fenster lässt sich nicht schließen und behauptet, dein Rechner sei gesperrt. Was tust du?",
          "options": [
            "Die angezeigte Nummer anrufen",
            "Auf „Schließen\" im Fenster klicken",
            "Das angebotene Reparaturprogramm laden",
            "Den Tab bzw. den Browser beenden, notfalls über den Task-Manager"
          ],
          "correct": 3,
          "explain": "Der angebotene Knopf gehört zum Angriff. Der Ausweg führt immer über den Browser selbst — und niemals über Anrufen oder Installieren."
        }
      ],
      "version": "202608041120"
    },
    {
      "id": "m12",
      "icon": "🔑",
      "color": "#4ECDC4",
      "title": "Passwörter",
      "subtitle": "Warum Länge wichtiger ist als Sonderzeichen",
      "lessons": [
        {
          "id": "m12l1",
          "title": "Die Regeln haben sich umgedreht",
          "content": [
            "Jahrelang galt: mindestens acht Zeichen, ein Großbuchstabe, eine Zahl, ein Sonderzeichen, und alle drei Monate wechseln. Diese Regeln stammen aus einer Empfehlung von 2003 – und ihr eigener Autor hat sie später öffentlich bedauert.",
            "Die aktuelle Empfehlung des US-Standards NIST SP 800-63B, seit 2017 und seither bestätigt, sagt fast das Gegenteil: Länge ist das Entscheidende, mindestens acht Zeichen als Untergrenze, praktisch besser 12 bis 15 oder mehr. Erzwungene Zeichenklassen-Regeln sollen entfallen. Und periodische Zwangswechsel ohne Anlass ebenfalls.",
            "Der Grund ist einfach: Jedes zusätzliche Zeichen vervielfacht den Aufwand beim Durchprobieren, während ein Ausrufezeichen am Ende kaum etwas ändert – weil alle Menschen dieselben Tricks anwenden. Aus `Passwort` wird `Passwort1!`, und genau das steht in jeder Angriffsliste.",
            "Zwangswechsel schaden sogar: Wer alle 90 Tage ein neues Passwort erfinden muss, zählt hoch – `Sommer2025!`, `Sommer2026!` – oder schreibt es auf. Gewechselt wird nur noch aus konkretem Anlass: bei Verdacht oder nach einem bekannten Datenleck."
          ],
          "tip": "Länge schlägt Sonderzeichen. Und Passwörter wechselt man aus Anlass, nicht nach Kalender (NIST SP 800-63B).",
          "summary": [
            "Länge schlägt Sonderzeichen. Und Passwörter wechselt man aus Anlass, nicht nach Kalender (NIST SP 800-63B)."
          ]
        },
        {
          "id": "m12l2",
          "title": "Wie Passwörter tatsächlich geknackt werden",
          "content": [
            "Kaum jemand rät ein Passwort an der Anmeldemaske – dort greift nach wenigen Versuchen eine Sperre. Der reale Weg führt über Datenlecks: Angreifer erbeuten die Passwortdatenbank eines Dienstes und probieren die Passwörter offline durch, mit spezialisierter Hardware und sehr hoher Geschwindigkeit.",
            "Dabei wird nicht stumpf jede Kombination getestet, sondern zuerst das Wahrscheinliche: Wörterbücher, Namen, Jahreszahlen, Tastaturmuster und alle bekannten Ersetzungen – a wird zu @, e wird zu 3, o wird zu 0. Ein „kreatives\" `P@ssw0rt!` ist deshalb ungefähr so stark wie `Passwort`.",
            "Der zweite Weg braucht überhaupt kein Knacken: Credential Stuffing. Die geleakte Kombination aus Mailadresse und Passwort wird einfach bei hunderten anderen Diensten ausprobiert. Wenn du Passwörter mehrfach verwendest, ist ein einziges Leck genug.",
            "Daraus folgen die zwei Regeln, die zusammen fast alles abdecken: Jedes Konto bekommt ein eigenes Passwort, und die wichtigen sind lang. Einzigartigkeit schlägt dabei Komplexität – ein langes, einmalig verwendetes Passwort ist besser als ein hochkomplexes, das an fünf Stellen liegt."
          ],
          "tip": "P@ssw0rt! ist so stark wie Passwort — die Ersetzungen stehen in jeder Angriffsliste. Einzigartigkeit schlägt Komplexität.",
          "summary": [
            "P@ssw0rt! ist so stark wie Passwort — die Ersetzungen stehen in jeder Angriffsliste. Einzigartigkeit schlägt Komplexität."
          ]
        },
        {
          "id": "m12l3",
          "title": "Was ein gutes Passwort ausmacht",
          "content": [
            "Ein gutes Passwort ist lang, einmalig und nicht ableitbar. Lang heißt: mindestens 12 bis 15 Zeichen, für E-Mail und Bank gern mehr. Einmalig heißt: nur für dieses eine Konto. Nicht ableitbar heißt: nicht aus Geburtstag, Haustier, Verein oder Straße gebaut – Dinge, die auf deinem Profil stehen.",
            "Nicht mehr nötig sind erzwungene Zeichenklassen. Wenn ein Dienst sie trotzdem verlangt, erfülle die Regel, aber setze nicht darauf – deine Sicherheit kommt aus der Länge.",
            "Verboten ist alles, was in Listen steht: `123456`, `passwort`, `qwertz`, der Name des Dienstes selbst. Gute Anbieter prüfen neue Passwörter inzwischen gegen Leck-Listen und lehnen bekannte ab – auch das ist eine NIST-Empfehlung.",
            "Und die praktische Wahrheit: Diese Anforderungen kann sich kein Mensch für dreißig Konten merken. Genau deshalb ist die Antwort auf gute Passwörter nicht ein besseres Gedächtnis, sondern ein Passwort-Manager – Modul 14. Merken musst du dir dann genau zwei: das für den Manager und das für deine Mail."
          ],
          "tip": "Merken musst du dir am Ende zwei Passwörter: das für den Passwort-Manager und das für dein E-Mail-Konto.",
          "summary": [
            "Merken musst du dir am Ende zwei Passwörter: das für den Passwort-Manager und das für dein E-Mail-Konto."
          ]
        }
      ],
      "quiz": [
        {
          "q": "Was empfiehlt NIST SP 800-63B seit 2017 zu periodischen Passwortwechseln?",
          "options": [
            "Alle 30 Tage wechseln",
            "Alle 90 Tage wechseln",
            "Keine Zwangswechsel ohne Anlass — nur bei Verdacht oder bekanntem Leck",
            "Einmal jährlich wechseln"
          ],
          "correct": 2,
          "explain": "Zwangswechsel führen zu Hochzählen (`Sommer2025!`, `Sommer2026!`) oder zu Zetteln. Gewechselt wird aus konkretem Anlass."
        },
        {
          "q": "Was ist wichtiger: Länge oder Sonderzeichen?",
          "options": [
            "Länge — jedes Zeichen mehr vervielfacht den Aufwand",
            "Sonderzeichen — sie sind schwerer zu erraten",
            "Beides gleich",
            "Weder noch, entscheidend ist der Wechselrhythmus"
          ],
          "correct": 0,
          "explain": "Sonderzeichen bringen wenig, weil alle dieselben Tricks nutzen: aus `Passwort` wird `Passwort1!` — und genau das steht in den Angriffslisten."
        },
        {
          "q": "Wie werden Passwörter in der Praxis geknackt?",
          "options": [
            "Durch Ausprobieren an der Anmeldemaske",
            "Offline aus erbeuteten Datenbanken, beginnend mit Wörterbüchern und bekannten Ersetzungen",
            "Durch Mitlesen der Tastatur",
            "Durch Anrufe beim Support"
          ],
          "correct": 1,
          "explain": "An der Maske greift nach wenigen Versuchen eine Sperre. Offline läuft es mit spezialisierter Hardware sehr schnell — und zuerst wird das Wahrscheinliche getestet."
        },
        {
          "q": "Wie stark ist `P@ssw0rt!`?",
          "options": [
            "Sehr stark, es enthält alle Zeichenklassen",
            "Ausreichend für unwichtige Konten",
            "Ungefähr so stark wie `Passwort` — die Ersetzungen sind Standard in jeder Angriffsliste",
            "Stark genug, wenn man es regelmäßig wechselt"
          ],
          "correct": 2,
          "explain": "a→@, e→3, o→0 sind in jedem Knackprogramm eingebaut. Das Passwort sieht komplex aus und ist es nicht."
        },
        {
          "q": "Was ist Credential Stuffing?",
          "options": [
            "Das Überladen eines Servers mit Anfragen",
            "Das Erraten von Passwörtern an der Anmeldemaske",
            "Das automatisierte Ausprobieren geleakter Mail-Passwort-Kombinationen bei vielen anderen Diensten",
            "Das Fälschen von Zugangsdaten"
          ],
          "correct": 2,
          "explain": "Dabei muss nichts geknackt werden — es reicht, dass du dasselbe Passwort mehrfach benutzt. Deshalb: pro Konto ein eigenes."
        }
      ],
      "version": "202608041120"
    },
    {
      "id": "m13",
      "icon": "🎲",
      "color": "#F9A826",
      "title": "Passwörter, die man sich merkt",
      "subtitle": "Satzformel und Diceware",
      "lessons": [
        {
          "id": "m13l1",
          "title": "Die Satz-Methode",
          "content": [
            "Du brauchst nur wenige Passwörter im Kopf – das für den Passwort-Manager und das für dein E-Mail-Konto. Genau diese beiden sollten lang und trotzdem merkbar sein. Der einfachste Weg dorthin ist ein Satz.",
            "Nimm einen Satz, der für dich Bedeutung hat und den niemand mit dir verbindet – nicht der Lieblingsspruch aus deinem Profil. Zum Beispiel: „Im August haben wir das Zelt dreimal falsch aufgebaut.\" Das sind schon über 40 Zeichen und deutlich stärker als jedes `Xk7$mQ`.",
            "Statt Leerzeichen setzt du ein Trennzeichen, weil manche Dienste Leerzeichen nicht mögen: `Im-August-haben-wir-das-Zelt-dreimal-falsch-aufgebaut`. Damit ist die Länge da, und du kannst es tippen, ohne nachzudenken.",
            "Wenn eine Zeichenklassen-Regel Ziffern und Sonderzeichen erzwingt, häng sie nicht stumpf hinten an, sondern bau eine Zahl in den Satz ein, die zur Geschichte gehört – das Jahr, die Anzahl. Wichtig bleibt: Der Satz darf nirgends öffentlich stehen und kein bekanntes Zitat sein. Berühmte Sätze und Liedzeilen stehen ebenfalls in Wörterbüchern."
          ],
          "tip": "Ein eigener Satz mit Bindestrichen statt Leerzeichen: über 40 Zeichen, tippbar, merkbar. Kein Zitat verwenden.",
          "summary": [
            "Ein eigener Satz mit Bindestrichen statt Leerzeichen: über 40 Zeichen, tippbar, merkbar. Kein Zitat verwenden."
          ]
        },
        {
          "id": "m13l2",
          "title": "Diceware: Zufall statt Kreativität",
          "content": [
            "Menschen sind schlechte Zufallsgeneratoren. Wir wählen Wörter, die zusammenpassen, und genau das macht ein Passwort ratbar. Diceware löst das: Du würfelst Wörter aus einer festen Liste aus – echter, physischer Zufall.",
            "Das Verfahren: Für jedes Wort würfelst du fünfmal mit einem normalen Würfel und liest die fünfstellige Zahl in einer Wortliste nach. Vier Wörter sind ordentlich, fünf bis sechs sind stark. Ergebnis ist etwas wie `hafen-tulpe-kessel-nordwind-schwarm`.",
            "Der Vorteil gegenüber der Satzmethode: Die Stärke ist berechenbar und hängt nicht davon ab, wie originell du bist. Der Nachteil: Es dauert ein paar Minuten und braucht eine Liste – es gibt deutschsprachige Wortlisten frei im Netz.",
            "Für die beiden Passwörter, die dein digitales Leben tragen, lohnt sich dieser Aufwand einmalig. Alle anderen Passwörter erzeugt ohnehin der Passwort-Manager – und der würfelt besser als jeder Mensch."
          ],
          "tip": "Fünf gewürfelte Wörter aus einer Liste schlagen jedes selbst ausgedachte „kreative\" Passwort.",
          "summary": [
            "Fünf gewürfelte Wörter aus einer Liste schlagen jedes selbst ausgedachte „kreative\" Passwort."
          ]
        },
        {
          "id": "m13l3",
          "title": "Was du nicht tun solltest",
          "content": [
            "Keine Muster, die sich fortsetzen lassen. Wer `Amazon-Sommer-2026` benutzt, hat für jeden Dienst dieselbe Formel – wer eines davon sieht, kennt alle. Genau diese Schemata werden bei Leck-Analysen automatisch erkannt.",
            "Keine persönlichen Daten: Geburtsdaten, Namen von Kindern und Haustieren, Verein, Straße, Autokennzeichen. All das steht oft in sozialen Netzwerken und ist die erste Ratestufe.",
            "Keine Passwörter über unsichere Wege weitergeben – nicht per Mail, nicht per Chat, nicht auf einem Zettel im Büro. Wenn du ein Passwort teilen musst (Familienkonto, Streaming), nutze die Teilen-Funktion des Passwort-Managers.",
            "Und ein Punkt, der oft überrascht: Ein Zettel im Portemonnaie ist nicht per se falsch. Für die meisten Privatpersonen ist das Risiko „jemand klaut meine Geldbörse und probiert die Notiz durch\" kleiner als „ich benutze überall dasselbe schwache Passwort\". Nur an den Bildschirm gehört er nicht – und die Notiz sollte nicht dabeischreiben, wozu sie gehört."
          ],
          "tip": "Kein Schema wie „Dienst-Jahreszeit-Jahr\": Wer ein Passwort sieht, kennt damit alle deine anderen.",
          "summary": [
            "Kein Schema wie „Dienst-Jahreszeit-Jahr\": Wer ein Passwort sieht, kennt damit alle deine anderen."
          ]
        }
      ],
      "quiz": [
        {
          "q": "Warum ist ein selbst gewählter Satz ein gutes Passwort?",
          "options": [
            "Weil Sätze Sonderzeichen enthalten",
            "Weil er sehr lang und trotzdem merkbar ist",
            "Weil Angreifer keine Sätze testen",
            "Weil Leerzeichen nicht knackbar sind"
          ],
          "correct": 1,
          "explain": "Länge ist der entscheidende Faktor, und ein Satz liefert sie mühelos. Wichtig: ein eigener Satz — bekannte Zitate und Liedzeilen stehen in Wörterbüchern."
        },
        {
          "q": "Was ist Diceware?",
          "options": [
            "Ein Passwort-Manager",
            "Ein Verschlüsselungsverfahren",
            "Ein Verfahren, bei dem Wörter per Würfel aus einer Liste ausgewählt werden",
            "Eine Methode, Passwörter zu verschlüsseln"
          ],
          "correct": 2,
          "explain": "Echter Zufall statt menschlicher „Kreativität\". Vier Wörter sind ordentlich, fünf bis sechs stark — und die Stärke ist berechenbar."
        },
        {
          "q": "Was ist das Problem an `Amazon-Sommer-2026`?",
          "options": [
            "Es ist zu kurz",
            "Es enthält keine Sonderzeichen",
            "Es ist eine Formel — wer ein Passwort von dir sieht, kann die anderen ableiten",
            "Es enthält eine Jahreszahl"
          ],
          "correct": 2,
          "explain": "Solche Schemata werden bei Leck-Analysen automatisch erkannt. Ein Passwort darf kein Bauplan für die übrigen sein."
        },
        {
          "q": "Wie gibst du ein Passwort weiter, wenn es sein muss?",
          "options": [
            "Per E-Mail, aber in zwei Teilen",
            "Über die Teilen-Funktion eines Passwort-Managers",
            "Per Messenger mit anschließendem Löschen",
            "Telefonisch buchstabiert"
          ],
          "correct": 1,
          "explain": "Mail und Chat speichern dauerhaft und an mehreren Stellen. Passwort-Manager haben für geteilte Zugänge (Familie, Streaming) eine dafür gebaute Funktion."
        },
        {
          "q": "Wie viele Passwörter musst du dir am Ende merken?",
          "options": [
            "Eines für jeden Dienst",
            "Etwa fünf bis zehn",
            "Zwei: für den Passwort-Manager und für das E-Mail-Konto",
            "Gar keines"
          ],
          "correct": 2,
          "explain": "Alles andere erzeugt und speichert der Manager. Genau diese zwei sollten deshalb lang und nach der Satz- oder Diceware-Methode gebaut sein."
        }
      ],
      "version": "202608041120"
    },
    {
      "id": "m14",
      "icon": "🗄️",
      "color": "#FF6B9D",
      "title": "Passwort-Manager",
      "subtitle": "Das eine Werkzeug, das am meisten bringt",
      "lessons": [
        {
          "id": "m14l1",
          "title": "Warum ohne es nicht geht",
          "content": [
            "Die Regeln aus Modul 12 sind eindeutig: pro Konto ein eigenes, langes Passwort. Für dreißig oder fünfzig Konten ist das mit Gedächtnis nicht machbar. Ein Passwort-Manager ist deshalb kein Komfort-Werkzeug für Technikbegeisterte, sondern die einzige praktikable Umsetzung.",
            "Er macht drei Dinge: Er erzeugt Zufallspasswörter, er speichert sie verschlüsselt, und er füllt sie auf der richtigen Seite ein. Der dritte Punkt ist der unterschätzte – er ist gleichzeitig ein Phishing-Schutz, weil der Manager die Domain exakt vergleicht und sich optisch nicht täuschen lässt.",
            "Der häufigste Einwand lautet: „Dann liegen alle Passwörter an einer Stelle.\" Das stimmt – und ist trotzdem das kleinere Risiko. Der Tresor ist mit deinem Hauptpasswort verschlüsselt, der Anbieter kann ihn nicht lesen. Die Alternative ist nicht ein besseres Gedächtnis, sondern dasselbe Passwort an dreißig Stellen.",
            "Wichtig ist die Konsequenz: Ein Manager, in dem drei Konten liegen und der Rest weiter im Kopf, bringt wenig. Der Nutzen entsteht, wenn nach und nach alle Konten drin sind – am besten beginnend bei Mail, Bank und den Diensten mit hinterlegten Zahlungsdaten."
          ],
          "tip": "Der Manager füllt nur auf der exakt richtigen Domain aus. Damit ist er nebenbei dein bester Phishing-Schutz.",
          "summary": [
            "Der Manager füllt nur auf der exakt richtigen Domain aus. Damit ist er nebenbei dein bester Phishing-Schutz."
          ]
        },
        {
          "id": "m14l2",
          "title": "Welcher — und was der Unterschied ist",
          "content": [
            "Es gibt drei sinnvolle Gruppen. Erstens dedizierte Cloud-Dienste wie 1Password oder Bitwarden: geräteübergreifend, komfortabel, mit Familien-Freigabe; Bitwarden hat eine brauchbare kostenlose Stufe, 1Password ist kostenpflichtig. Zweitens lokale Lösungen wie KeePass und seine Varianten: Der Tresor ist eine Datei, die du selbst verwahrst und selbst synchronisierst – maximale Kontrolle, mehr Handarbeit.",
            "Drittens die eingebauten Manager von Browser und Betriebssystem – Apples Passwörter-App, der Google-Passwortmanager, der von Firefox. Sie sind deutlich besser als ihr Ruf und um Welten besser als kein Manager. Ihre Schwäche ist die Bindung ans Ökosystem: Wer Windows, iPhone und Firefox mischt, stößt an Grenzen.",
            "Die ehrliche Empfehlung: Der beste Manager ist der, den du wirklich benutzt. Wer nur Apple-Geräte hat, kann bei der Systemlösung bleiben. Wer gemischt unterwegs ist oder mit der Familie teilen will, fährt mit Bitwarden oder 1Password besser.",
            "Worauf du achten solltest: Ende-zu-Ende-Verschlüsselung (der Anbieter kann den Tresor nicht lesen), Verfügbarkeit auf all deinen Geräten, ein sauberer Export – damit du jederzeit wechseln kannst – und Zwei-Faktor-Schutz für den Tresor selbst."
          ],
          "tip": "Der beste Passwort-Manager ist der, den du wirklich benutzt. Auch der eingebaute schlägt „kein Manager\" deutlich.",
          "summary": [
            "Der beste Passwort-Manager ist der, den du wirklich benutzt. Auch der eingebaute schlägt „kein Manager\" deutlich."
          ]
        },
        {
          "id": "m14l3",
          "title": "Richtig einrichten",
          "content": [
            "Erstens das Hauptpasswort: lang, einmalig, nach der Satz- oder Diceware-Methode aus Modul 13. Es ist das einzige, das der Tresor nicht für dich speichern kann. Schreib es einmal auf und verwahre den Zettel an einem sicheren Ort außerhalb der Wohnungsschublade neben dem Rechner.",
            "Zweitens den Notfallzugang. Was passiert, wenn dir etwas zustimmt und deine Familie an Konten muss? Gute Anbieter haben dafür eine Notfallkontakt-Funktion. Bei lokalen Lösungen gehört eine verschlüsselte Kopie an einen Ort, den eine Vertrauensperson im Ernstfall erreicht.",
            "Drittens Zwei-Faktor für den Tresor selbst – siehe Modul 15. Und viertens den Wiederherstellungsschlüssel, den manche Anbieter ausgeben: ausdrucken, sicher verwahren, nicht als Screenshot auf dem Handy.",
            "Danach der Umstieg, ganz ohne Hauruck: Bei jeder Anmeldung, die du in den nächsten Wochen ohnehin machst, das Passwort einmal durch ein neu erzeugtes ersetzen und speichern lassen. Nach zwei Monaten ist der Großteil erledigt – ohne einen einzigen Nachmittag Umstellungsarbeit."
          ],
          "tip": "Nicht alles auf einmal umstellen. Bei jeder Anmeldung, die ohnehin ansteht, das Passwort einmal ersetzen.",
          "summary": [
            "Nicht alles auf einmal umstellen. Bei jeder Anmeldung, die ohnehin ansteht, das Passwort einmal ersetzen."
          ]
        },
        {
          "id": "m14l4",
          "title": "Häufige Sorgen",
          "content": [
            "„Was, wenn der Anbieter gehackt wird?\" Dann erbeuten Angreifer verschlüsselte Tresore. Ohne dein Hauptpasswort sind die praktisch wertlos – vorausgesetzt, es ist lang. Genau deshalb ist die Länge dieses einen Passworts so wichtig; alles hängt daran.",
            "„Was, wenn ich das Hauptpasswort vergesse?\" Dann ist der Tresor verloren – das ist die Kehrseite echter Ende-zu-Ende-Verschlüsselung, denn der Anbieter kann nicht helfen. Darum der Zettel an sicherem Ort und der Wiederherstellungsschlüssel.",
            "„Was, wenn ich offline bin?\" Alle gängigen Manager halten eine lokale Kopie vor. Du kommst auch ohne Internet an deine Passwörter.",
            "„Und wenn ich mein Handy verliere?\" Dann ist der Tresor dort mit Hauptpasswort und Gerätesperre geschützt. Wichtig ist, dass du von einem zweiten Gerät aus Zugriff hast – deshalb: nie nur auf einem einzigen Gerät einrichten."
          ],
          "tip": "Richte den Manager auf mindestens zwei Geräten ein. Ein Tresor, zu dem nur ein Gerät führt, ist ein Risiko.",
          "summary": [
            "Richte den Manager auf mindestens zwei Geräten ein. Ein Tresor, zu dem nur ein Gerät führt, ist ein Risiko."
          ]
        }
      ],
      "quiz": [
        {
          "q": "Warum ist ein Passwort-Manager nebenbei ein Phishing-Schutz?",
          "options": [
            "Er scannt Seiten auf Schadsoftware",
            "Er warnt vor unbekannten Domains",
            "Er füllt nur auf der exakt hinterlegten Domain aus und lässt sich optisch nicht täuschen",
            "Er blockiert verdächtige Links"
          ],
          "correct": 2,
          "explain": "Dein Auge verwechselt `paypaI.com` mit `paypal.com`, der Manager nicht. Bietet er nichts an, ist das eine Warnung."
        },
        {
          "q": "„Dann liegen alle Passwörter an einer Stelle\" — was ist die richtige Antwort darauf?",
          "options": [
            "Stimmt, deshalb sollte man lieber alles im Kopf behalten",
            "Stimmt, aber der Tresor ist verschlüsselt — die Alternative ist dasselbe Passwort an dreißig Stellen",
            "Das stimmt nicht, die Passwörter liegen verteilt",
            "Deshalb sollte man mehrere Manager parallel nutzen"
          ],
          "correct": 1,
          "explain": "Ohne dein Hauptpasswort ist ein erbeuteter Tresor praktisch wertlos. Das reale Risiko ist die Mehrfachverwendung, nicht die Zentralisierung."
        },
        {
          "q": "Welcher Passwort-Manager ist der richtige?",
          "options": [
            "Immer eine lokale Lösung wie KeePass",
            "Immer ein kostenpflichtiger Cloud-Dienst",
            "Der, den du tatsächlich benutzt — auch der eingebaute schlägt „kein Manager\" deutlich",
            "Der mit den meisten Funktionen"
          ],
          "correct": 2,
          "explain": "Bei gemischten Geräten oder Familienfreigabe sind Bitwarden oder 1Password im Vorteil; in einem einzigen Ökosystem reicht die Systemlösung."
        },
        {
          "q": "Was passiert, wenn du dein Hauptpasswort vergisst?",
          "options": [
            "Der Anbieter kann es zurücksetzen",
            "Der Tresor ist verloren — deshalb Notfallzettel und Wiederherstellungsschlüssel",
            "Es lässt sich über die E-Mail-Adresse wiederherstellen",
            "Man kann sich mit dem Handy neu anmelden"
          ],
          "correct": 1,
          "explain": "Das ist die Kehrseite echter Ende-zu-Ende-Verschlüsselung: Wenn der Anbieter helfen könnte, könnte er auch mitlesen."
        },
        {
          "q": "Wie steigst du am sinnvollsten um?",
          "options": [
            "An einem Nachmittag alle Passwörter ändern",
            "Nach und nach: bei jeder ohnehin anstehenden Anmeldung das Passwort einmal ersetzen",
            "Nur die unwichtigen Konten übernehmen",
            "Erst alle Passwörter aufschreiben, dann importieren"
          ],
          "correct": 1,
          "explain": "Nach etwa zwei Monaten ist der Großteil erledigt, ohne einen Umstellungsmarathon. Beginne bei Mail, Bank und Konten mit hinterlegten Zahlungsdaten."
        }
      ],
      "version": "202608041120"
    },
    {
      "id": "m15",
      "icon": "🔐",
      "color": "#6C5CE7",
      "title": "Zwei-Faktor-Authentifizierung",
      "subtitle": "Der zweite Schlüssel — und welcher taugt",
      "lessons": [
        {
          "id": "m15l1",
          "title": "Warum ein zweiter Faktor so viel bringt",
          "content": [
            "Ein Passwort ist ein Wissensfaktor: Wer es kennt, kommt rein – egal ob rechtmäßig oder nicht. Ein zweiter Faktor ergänzt etwas, das man besitzt (Handy, Sicherheitsschlüssel) oder ist (Fingerabdruck, Gesicht). Ein gestohlenes Passwort allein reicht dann nicht mehr.",
            "Das ist der entscheidende Punkt bei Datenlecks: Selbst wenn dein Passwort in einer Liste landet, scheitert der Login am zweiten Faktor. Für die drei, vier wichtigsten Konten ist Zwei-Faktor deshalb die wirksamste einzelne Maßnahme nach dem Passwort-Manager.",
            "Reihenfolge der Einrichtung: zuerst E-Mail – weil darüber alle anderen Konten zurücksetzbar sind –, dann Passwort-Manager, dann Bank und Zahlungsdienste, dann Konten mit hinterlegter Karte, dann soziale Netzwerke.",
            "Und ein realistischer Hinweis: Es kostet ein paar Sekunden pro Anmeldung. Bei den meisten Diensten kannst du bekannte Geräte als vertrauenswürdig markieren, sodass die Abfrage nur bei neuen Geräten kommt. Das ist ein guter Kompromiss."
          ],
          "tip": "Zuerst die E-Mail absichern. Über sie lassen sich alle anderen Konten zurücksetzen.",
          "summary": [
            "Zuerst die E-Mail absichern. Über sie lassen sich alle anderen Konten zurücksetzen."
          ]
        },
        {
          "id": "m15l2",
          "title": "SMS, App oder Schlüssel",
          "content": [
            "Die schwächste Variante ist die SMS. Sie ist besser als nichts, hat aber eine bekannte Schwachstelle: SIM-Swapping. Dabei überzeugt jemand deinen Mobilfunkanbieter, deine Nummer auf eine neue SIM zu übertragen – und bekommt danach deine Codes. Für ein Konto mit Geld sollte SMS nicht die einzige Absicherung sein.",
            "Deutlich besser ist eine Authenticator-App, die zeitbasierte Codes erzeugt (TOTP). Der Code entsteht auf deinem Gerät aus einem geheimen Startwert und der Uhrzeit, wechselt alle 30 Sekunden und wird nicht übertragen – es gibt also nichts abzufangen. Gängige Apps sind Aegis oder 2FAS (quelloffen), Microsoft Authenticator oder die Funktion im Passwort-Manager.",
            "Am stärksten sind Hardware-Sicherheitsschlüssel nach FIDO2, etwa als USB- oder NFC-Stick. Sie prüfen zusätzlich die Domain und verweigern die Freigabe auf einer gefälschten Seite – damit sind sie die einzige Variante, die auch echtes Phishing zuverlässig abwehrt.",
            "Und noch eine Bequemlichkeitsvariante: Push-Bestätigungen („Warst du das? Ja/Nein\"). Praktisch, aber anfällig für Ermüdung – wer im Halbschlaf auf „Ja\" tippt, hat den Schutz aufgehoben. Bestätige nur, wenn du selbst gerade einen Login gestartet hast."
          ],
          "tip": "SMS ist besser als nichts, App ist deutlich besser, Sicherheitsschlüssel ist am besten — und der einzige echte Phishing-Schutz.",
          "summary": [
            "SMS ist besser als nichts, App ist deutlich besser, Sicherheitsschlüssel ist am besten — und der einzige echte Phishing-Schutz."
          ]
        },
        {
          "id": "m15l3",
          "title": "Wiederherstellungscodes — der Teil, den alle vergessen",
          "content": [
            "Bei der Einrichtung zeigt dir fast jeder Dienst eine Liste von Ersatzcodes. Genau diese Liste entscheidet später darüber, ob ein verlorenes Handy ein Ärgernis oder eine Katastrophe ist. Sie wegzuklicken ist der häufigste Fehler in diesem ganzen Kapitel.",
            "Speichere die Codes an einem Ort, der unabhängig vom zweiten Faktor ist – ausgedruckt in einem Ordner, im Passwort-Manager (wenn der selbst anders geschützt ist) oder in einem Bankschließfach für die wichtigsten Konten. Nicht als Screenshot auf demselben Handy, das den zweiten Faktor erzeugt.",
            "Zweite Absicherung: Richte den zweiten Faktor auf zwei Geräten ein, oder nutze eine Authenticator-App mit verschlüsseltem Backup. Viele Apps können ihre Einträge exportieren – das ist keine Sicherheitslücke, sondern Vorsorge, solange der Export selbst geschützt ist.",
            "Und wenn du einen Hardware-Schlüssel nutzt: Kauf zwei. Einer am Schlüsselbund, einer in der Schublade, beide registriert. Genau so machen es Leute, die auf Sicherheitsschlüssel angewiesen sind – ein einzelner Schlüssel ist ein Klumpenrisiko."
          ],
          "tip": "Wiederherstellungscodes bei der Einrichtung sofort sichern — getrennt vom Gerät, das den zweiten Faktor erzeugt.",
          "summary": [
            "Wiederherstellungscodes bei der Einrichtung sofort sichern — getrennt vom Gerät, das den zweiten Faktor erzeugt."
          ]
        }
      ],
      "quiz": [
        {
          "q": "Was ist der Kern der Zwei-Faktor-Authentifizierung?",
          "options": [
            "Zwei Passwörter statt einem",
            "Wissen plus Besitz oder Eigenschaft — ein gestohlenes Passwort allein reicht nicht mehr",
            "Ein besonders langes Passwort",
            "Eine Anmeldung über zwei Geräte gleichzeitig"
          ],
          "correct": 1,
          "explain": "Deshalb wirkt der zweite Faktor genau dort, wo Passwörter versagen: bei Datenlecks und Credential Stuffing."
        },
        {
          "q": "Welches Konto sicherst du zuerst mit 2FA ab?",
          "options": [
            "Das Social-Media-Konto",
            "Den Online-Shop",
            "Das E-Mail-Konto",
            "Das Streaming-Abo"
          ],
          "correct": 2,
          "explain": "Über die E-Mail lassen sich alle anderen Konten zurücksetzen. Danach: Passwort-Manager, Bank, Konten mit hinterlegter Karte."
        },
        {
          "q": "Was ist die bekannte Schwäche von SMS-Codes?",
          "options": [
            "Sie kommen manchmal zu spät",
            "SIM-Swapping — jemand lässt deine Nummer auf eine neue SIM übertragen",
            "Sie funktionieren nicht im Ausland",
            "Sie sind unverschlüsselt gespeichert"
          ],
          "correct": 1,
          "explain": "Deshalb sollte SMS bei Konten mit Geld nicht die einzige Absicherung sein. Eine TOTP-App erzeugt Codes lokal — da gibt es nichts umzuleiten."
        },
        {
          "q": "Warum sind Hardware-Sicherheitsschlüssel (FIDO2) die stärkste Variante?",
          "options": [
            "Weil sie längere Codes erzeugen",
            "Weil sie ohne Strom funktionieren",
            "Weil sie die Domain mitprüfen und auf gefälschten Seiten die Freigabe verweigern",
            "Weil sie nicht verloren gehen können"
          ],
          "correct": 2,
          "explain": "Ein TOTP-Code lässt sich auf einer Phishing-Seite abtippen und weiterreichen. Ein FIDO2-Schlüssel gibt auf der falschen Domain schlicht nichts frei."
        },
        {
          "q": "Was tust du mit den Wiederherstellungscodes bei der Einrichtung?",
          "options": [
            "Wegklicken, sie sind selten nötig",
            "Als Screenshot auf demselben Handy speichern",
            "Sofort sichern, getrennt vom Gerät, das den zweiten Faktor erzeugt",
            "Per Mail an sich selbst schicken"
          ],
          "correct": 2,
          "explain": "Sie entscheiden, ob ein verlorenes Handy ein Ärgernis oder eine Katastrophe ist. Screenshot auf demselben Gerät hebt genau diese Trennung auf."
        }
      ],
      "version": "202608041120"
    },
    {
      "id": "m16",
      "icon": "🗝️",
      "color": "#0984E3",
      "title": "Passkeys",
      "subtitle": "Anmelden ohne Passwort",
      "lessons": [
        {
          "id": "m16l1",
          "title": "Was ein Passkey ist",
          "content": [
            "Ein Passkey ersetzt das Passwort durch ein Schlüsselpaar. Bei der Einrichtung erzeugt dein Gerät zwei zusammengehörige Schlüssel: Der öffentliche geht an den Dienst, der private bleibt auf deinem Gerät und verlässt es nie. Beim Anmelden beweist dein Gerät den Besitz des privaten Schlüssels, ohne ihn preiszugeben.",
            "Daraus folgen zwei große Vorteile. Erstens: Es gibt kein Geheimnis mehr, das der Dienst speichern könnte – ein Datenleck bei ihm gibt nichts her, was woanders nützt. Zweitens: Du kannst nichts verraten, was du nicht hast. Auf einer Phishing-Seite gibt es schlicht nichts einzutippen.",
            "Das ist der entscheidende Unterschied zu allem Bisherigen. Passwörter und auch TOTP-Codes kann man abtippen und weiterreichen – ein Passkey ist an die Domain gebunden und funktioniert auf `paypal-sicherheit.com` einfach nicht. Damit fällt der häufigste Angriffsweg dieses ganzen Kurses weg.",
            "Technisch steckt dahinter FIDO2 mit dem Browser-Standard WebAuthn, entwickelt von der FIDO Alliance zusammen mit den großen Plattform- und Browser-Herstellern. Du merkst davon nichts – für dich sieht es aus wie „Anmelden mit Fingerabdruck\"."
          ],
          "tip": "Ein Passkey lässt sich nicht abtippen und nicht weitergeben. Auf einer gefälschten Domain funktioniert er nicht.",
          "summary": [
            "Ein Passkey lässt sich nicht abtippen und nicht weitergeben. Auf einer gefälschten Domain funktioniert er nicht."
          ]
        },
        {
          "id": "m16l2",
          "title": "Wie sich das im Alltag anfühlt",
          "content": [
            "Beim Anlegen fragt der Dienst, ob du einen Passkey einrichten willst. Du bestätigst mit Fingerabdruck, Gesicht oder Geräte-PIN – das ist die Freigabe für den privaten Schlüssel, keine Übertragung deiner Biometrie. Fingerabdruck und Gesichtsdaten verlassen dein Gerät nicht.",
            "Beim Anmelden tippst du keinen Benutzernamen und kein Passwort mehr, sondern bestätigst einmal. Auf demselben Gerät dauert das eine Sekunde. Auf einem fremden Gerät gibt es meist einen QR-Code, den du mit deinem Handy scannst – die Freigabe passiert dann dort.",
            "Passkeys werden über dein Ökosystem oder deinen Passwort-Manager synchronisiert: Apple über iCloud-Schlüsselbund, Google über den Passwortmanager, dazu Bitwarden und 1Password. Damit sind sie auf allen deinen Geräten verfügbar und überleben auch ein verlorenes Handy.",
            "Der Stand 2026 ist gemischt: Große Anbieter – Google, Apple, Microsoft, Amazon, PayPal und viele mehr – unterstützen Passkeys, kleinere oft noch nicht. Deshalb ersetzen Passkeys Passwörter derzeit nicht, sondern ergänzen sie. Der Passwort-Manager bleibt."
          ],
          "tip": "Dein Fingerabdruck verlässt das Gerät nie — er gibt nur den lokal gespeicherten Schlüssel frei.",
          "summary": [
            "Dein Fingerabdruck verlässt das Gerät nie — er gibt nur den lokal gespeicherten Schlüssel frei."
          ]
        },
        {
          "id": "m16l3",
          "title": "Wann du sie nutzen solltest",
          "content": [
            "Kurz: überall, wo sie angeboten werden. Es gibt kaum einen Grund, es nicht zu tun – Passkeys sind gleichzeitig bequemer und sicherer, was selten zusammenfällt. Beginne mit den Konten, die am meisten schützen: Mail, Cloud-Speicher, Zahlungsdienste.",
            "Lass das Passwort dabei zunächst bestehen, solange der Dienst es als Alternative behält. Das ist bewusst so – wenn der Passkey einmal nicht verfügbar ist, brauchst du einen Weg zurück. Manche Dienste erlauben, das Passwort später ganz zu entfernen; das ist ein sinnvoller zweiter Schritt, sobald du zwei Geräte mit Passkey hast.",
            "Achte auf die Wiederherstellung, wie bei 2FA: Ein Passkey, der nur auf einem Gerät liegt und nirgends synchronisiert wird, ist ein Klumpenrisiko. Entweder Synchronisierung aktivieren oder einen zweiten Passkey auf einem zweiten Gerät bzw. Sicherheitsschlüssel registrieren.",
            "Und für die Zukunft: Die Richtung ist eindeutig. Passwörter werden noch Jahre bleiben, aber jedes Konto, das du heute auf Passkey umstellst, ist eines weniger, das über eine gefälschte Anmeldeseite angreifbar ist. Das ist ein besseres Sicherheitsgeschäft als jede zusätzliche Software."
          ],
          "tip": "Passkey einrichten, wo angeboten — aber immer einen zweiten Weg (Gerät oder Sicherheitsschlüssel) registrieren.",
          "summary": [
            "Passkey einrichten, wo angeboten — aber immer einen zweiten Weg (Gerät oder Sicherheitsschlüssel) registrieren."
          ]
        }
      ],
      "quiz": [
        {
          "q": "Was passiert bei einem Passkey mit dem privaten Schlüssel?",
          "options": [
            "Er wird an den Dienst übertragen",
            "Er bleibt auf deinem Gerät und verlässt es nie",
            "Er wird in der Cloud des Dienstes gespeichert",
            "Er wird bei jeder Anmeldung neu erzeugt"
          ],
          "correct": 1,
          "explain": "Der Dienst bekommt nur den öffentlichen Schlüssel. Ein Leck bei ihm gibt deshalb nichts her, was anderswo nützt."
        },
        {
          "q": "Warum funktioniert Phishing bei Passkeys nicht?",
          "options": [
            "Weil Browser Phishing-Seiten blockieren",
            "Weil Passkeys nur im WLAN funktionieren",
            "Weil der Passkey an die Domain gebunden ist und es nichts zum Abtippen gibt",
            "Weil sie nur einmal gültig sind"
          ],
          "correct": 2,
          "explain": "Passwörter und auch TOTP-Codes lassen sich auf einer gefälschten Seite eingeben und weiterreichen. Ein Passkey gibt auf der falschen Domain schlicht nichts frei."
        },
        {
          "q": "Was passiert mit deinem Fingerabdruck bei der Passkey-Anmeldung?",
          "options": [
            "Er wird an den Dienst übertragen",
            "Er wird verschlüsselt in der Cloud gespeichert",
            "Er bleibt auf dem Gerät und gibt nur den lokalen Schlüssel frei",
            "Er ersetzt den privaten Schlüssel"
          ],
          "correct": 2,
          "explain": "Biometrie ist hier nur die lokale Freigabe — vergleichbar mit dem Entsperren des Geräts. Übertragen wird sie nie."
        },
        {
          "q": "Ersetzen Passkeys 2026 den Passwort-Manager?",
          "options": [
            "Ja, Passwörter sind abgeschafft",
            "Nein — viele kleinere Dienste unterstützen sie noch nicht, Passkeys ergänzen vorerst",
            "Ja, sobald man zwei Geräte hat",
            "Nein, sie sind nur für Firmen gedacht"
          ],
          "correct": 1,
          "explain": "Große Anbieter unterstützen Passkeys, viele kleinere nicht. Der Manager bleibt — und verwaltet inzwischen oft auch die Passkeys."
        },
        {
          "q": "Worauf musst du bei Passkeys achten?",
          "options": [
            "Sie regelmäßig zu erneuern",
            "Sie nur auf einem Gerät zu speichern",
            "Auf Wiederherstellung: Synchronisierung aktivieren oder einen zweiten Passkey registrieren",
            "Sie zusätzlich zu notieren"
          ],
          "correct": 2,
          "explain": "Ein Passkey, der nur auf einem nicht synchronisierten Gerät liegt, ist ein Klumpenrisiko — dasselbe Muster wie bei den Wiederherstellungscodes für 2FA."
        }
      ],
      "version": "202608041120"
    },
    {
      "id": "m17",
      "icon": "💧",
      "color": "#00B894",
      "title": "Datenlecks",
      "subtitle": "Wenn deine Daten anderswo verloren gehen",
      "lessons": [
        {
          "id": "m17l1",
          "title": "Was bei einem Leck passiert",
          "content": [
            "Ein Datenleck ist selten dein Fehler. Ein Dienst, bei dem du irgendwann ein Konto angelegt hast, verliert seine Nutzerdatenbank – durch einen Angriff, eine falsch konfigurierte Datenbank oder einen Fehler eines Dienstleisters. Die Daten tauchen danach in Sammlungen auf, die weitergereicht und gehandelt werden.",
            "Was genau abfließt, ist unterschiedlich. Im günstigen Fall nur Mailadressen. Im ungünstigen Fall Passwörter, Adressen, Geburtsdaten, Telefonnummern, Bestellhistorien. Passwörter sind bei sorgfältigen Anbietern nicht im Klartext gespeichert, sondern als Hash – aber schwache Verfahren und schwache Passwörter lassen sich offline zurückrechnen.",
            "Die Folgen für dich sind zweierlei. Erstens Credential Stuffing aus Modul 12: Die Kombination aus Mailadresse und Passwort wird bei anderen Diensten durchprobiert. Zweitens besseres Phishing: Wer deine Adresse, deine letzte Bestellung und deinen Namen kennt, schreibt eine erheblich überzeugendere Mail.",
            "Deshalb ist die Reaktion auf ein Leck keine Panik, sondern eine kurze Liste: Passwort dieses Dienstes ändern, überall dort ändern, wo du es ebenfalls benutzt hast, und für das Konto Zwei-Faktor einschalten, falls noch nicht geschehen."
          ],
          "tip": "Nach einem Leck: Passwort dort ändern — und überall sonst, wo du dasselbe benutzt hast.",
          "summary": [
            "Nach einem Leck: Passwort dort ändern — und überall sonst, wo du dasselbe benutzt hast."
          ]
        },
        {
          "id": "m17l2",
          "title": "Nachsehen, ob es dich getroffen hat",
          "content": [
            "Es gibt Dienste, die bekannte Lecks sammeln und durchsuchbar machen. Der bekannteste ist „Have I Been Pwned\" – dort gibst du deine Mailadresse ein und siehst, in welchen bekannten Lecks sie auftaucht. Betrieben wird er seit Jahren von einem Sicherheitsforscher und ist in der Branche etabliert.",
            "Naheliegende Frage: Ist es klug, seine Mailadresse irgendwo einzugeben? Für die Adressabfrage gilt – die Adresse ist ohnehin bekannt, sonst wäre sie nicht in einem Leck. Der Dienst speichert keine Suchanfragen zu Werbezwecken und verkauft keine Adressen.",
            "Für Passwörter gibt es ein besseres Verfahren, und das ist technisch elegant: Beim Passwort-Check verlässt nie das Passwort dein Gerät, sondern nur die ersten fünf Zeichen seines Hashwerts. Der Dienst schickt alle Treffer zu diesem Präfix zurück – meist einige hundert – und dein Gerät vergleicht lokal. Der Betreiber erfährt dabei nicht, welches Passwort du geprüft hast. Das Prinzip heißt k-Anonymität.",
            "Praktisch musst du das gar nicht selbst tun: Passwort-Manager und Browser prüfen deine gespeicherten Passwörter im Hintergrund nach genau diesem Verfahren und melden Treffer. Das ist der bequemste Weg – und der Grund, warum ein Manager auch hier gewinnt."
          ],
          "tip": "Beim Passwort-Check verlässt nur ein Hash-Präfix dein Gerät, nie das Passwort selbst (k-Anonymität).",
          "summary": [
            "Beim Passwort-Check verlässt nur ein Hash-Präfix dein Gerät, nie das Passwort selbst (k-Anonymität)."
          ]
        },
        {
          "id": "m17l3",
          "title": "Die Mails, die auf Lecks folgen",
          "content": [
            "Nach einem Leck kommen zwei Sorten Mail. Erstens die echte Benachrichtigung des betroffenen Dienstes – meist nüchtern, mit Beschreibung, was abgeflossen ist, und der Aufforderung, das Passwort zu ändern. Ändere es, aber über die selbst aufgerufene Seite, nicht über den Link.",
            "Zweitens die Erpressungsmail. Sie behauptet, dein Gerät sei gehackt, es gebe Aufnahmen über deine Kamera, und fordert Zahlung in Kryptowährung. Als „Beweis\" nennt sie ein Passwort von dir – das stammt schlicht aus einem alten Leck. Diese Mails gehen millionenfach raus, es gibt keine Aufnahmen und keinen Zugriff.",
            "Richtige Reaktion darauf: nicht zahlen, nicht antworten, löschen. Und wenn das genannte Passwort noch irgendwo in Benutzung ist: sofort ändern. Das ist die einzige echte Information, die in so einer Mail steckt.",
            "Drittens, seltener und gefährlicher: eine Mail, die exakt auf eine echte Bestellung Bezug nimmt, weil die Bestelldaten mit im Leck waren. Hier hilft nur die Regel aus Modul 2 – jeden Vorgang über den selbst gewählten Weg prüfen, nie über den Kanal der Nachricht."
          ],
          "tip": "Erpressungsmail mit „deinem\" Passwort? Das kommt aus einem alten Leck. Nicht zahlen — Passwort ändern.",
          "summary": [
            "Erpressungsmail mit „deinem\" Passwort? Das kommt aus einem alten Leck. Nicht zahlen — Passwort ändern."
          ]
        }
      ],
      "quiz": [
        {
          "q": "Was ist die typische Folge eines Datenlecks für dich?",
          "options": [
            "Dein Gerät wird infiziert",
            "Deine Zugangskombination wird bei anderen Diensten durchprobiert und Phishing gegen dich wird überzeugender",
            "Dein Konto wird automatisch gesperrt",
            "Dein Passwort wird öffentlich angezeigt"
          ],
          "correct": 1,
          "explain": "Credential Stuffing plus besseres Phishing: Wer Name, Adresse und letzte Bestellung kennt, schreibt eine erheblich glaubwürdigere Mail."
        },
        {
          "q": "Wie funktioniert der Passwort-Check bei Have I Been Pwned?",
          "options": [
            "Das Passwort wird verschlüsselt übertragen und dort geprüft",
            "Nur die ersten Zeichen des Hashwerts verlassen dein Gerät, verglichen wird lokal",
            "Das Passwort wird gehasht und dauerhaft gespeichert",
            "Man gibt das Passwort im Klartext ein"
          ],
          "correct": 1,
          "explain": "Das Prinzip heißt k-Anonymität: Der Dienst liefert alle Treffer zu einem Hash-Präfix zurück und erfährt nie, welches Passwort du geprüft hast."
        },
        {
          "q": "Eine Mail behauptet, dich über die Webcam gefilmt zu haben, und nennt als Beweis ein echtes Passwort von dir. Was ist los?",
          "options": [
            "Dein Gerät ist infiziert, sofort trennen",
            "Das Passwort stammt aus einem alten Datenleck — die Mail geht millionenfach raus",
            "Jemand hat sich in dein WLAN eingewählt",
            "Die Kamera wurde von einer Webseite aktiviert"
          ],
          "correct": 1,
          "explain": "Nicht zahlen, nicht antworten, löschen. Die einzige echte Information ist das Passwort — wenn es noch in Benutzung ist, sofort ändern."
        },
        {
          "q": "Du bekommst eine echte Leck-Benachrichtigung eines Dienstes. Wie änderst du das Passwort?",
          "options": [
            "Über den Link in der Mail",
            "Durch Antworten auf die Mail",
            "Über die selbst aufgerufene Seite oder die App",
            "Gar nicht, der Dienst setzt es zurück"
          ],
          "correct": 2,
          "explain": "Auch bei einer echten Benachrichtigung bleibt der Grundsatz: nicht im Kanal der Nachricht reagieren. Genau diese Situation nutzen Fälschungen aus."
        },
        {
          "q": "Wer prüft deine Passwörter am bequemsten gegen bekannte Lecks?",
          "options": [
            "Der Virenscanner",
            "Der Passwort-Manager bzw. der Browser, automatisch im Hintergrund",
            "Der Mailanbieter",
            "Das musst du manuell für jedes Konto tun"
          ],
          "correct": 1,
          "explain": "Sie nutzen genau das k-Anonymitäts-Verfahren und melden Treffer von selbst — ein weiterer Grund für den Passwort-Manager."
        }
      ],
      "version": "202608041120"
    },
    {
      "id": "m18",
      "icon": "🎭",
      "color": "#E17055",
      "title": "Social Engineering",
      "subtitle": "Die Muster hinter der Masche",
      "lessons": [
        {
          "id": "m18l1",
          "title": "Sechs Hebel, die immer funktionieren",
          "content": [
            "Social Engineering nutzt keine technische Lücke, sondern menschliche Grundmuster. Sechs davon tauchen immer wieder auf. Autorität: Wer wie Polizei, Bank, Chef oder Behörde auftritt, wird seltener hinterfragt. Dringlichkeit: Zeitdruck verhindert Nachdenken.",
            "Knappheit: „Nur noch heute\", „nur drei Plätze\" – dasselbe Prinzip in freundlicher Verpackung. Sympathie: Wer nett ist, gemeinsame Bekannte erwähnt oder Interesse zeigt, bekommt eher ein Ja. Gegenseitigkeit: Wer erst etwas gibt – einen Gefallen, eine Information –, erzeugt das Gefühl einer Schuld.",
            "Und der sechste, der in der Praxis am meisten anrichtet: Hilfsbereitschaft. Die meisten Menschen wollen helfen, besonders im Beruf. Genau darauf zielt der Anruf der „neuen Kollegin aus der IT\", die dringend Zugang braucht, weil sonst etwas Wichtiges scheitert.",
            "Wichtig zu verstehen: Diese Hebel sind nicht Schwäche, sondern normale soziale Kompetenz. Man kann sie nicht abschalten und sollte es auch nicht. Was hilft, ist sie zu kennen – dann fällt auf, wenn jemand gleich an drei davon gleichzeitig zieht."
          ],
          "tip": "Ziehen in einer Nachricht mehrere Hebel gleichzeitig — Autorität plus Dringlichkeit plus Geheimhaltung —, ist das das Muster.",
          "summary": [
            "Ziehen in einer Nachricht mehrere Hebel gleichzeitig — Autorität plus Dringlichkeit plus Geheimhaltung —, ist das das Muster."
          ]
        },
        {
          "id": "m18l2",
          "title": "Die Maschen im Alltag",
          "content": [
            "Der Support-Anruf: Jemand meldet sich als Mitarbeiter eines großen Software-Herstellers, dein Rechner sende Fehlermeldungen, man müsse aus der Ferne draufschauen. Echte Hersteller rufen nicht unaufgefordert an. Fernwartungssoftware auf Zuruf zu installieren ist der Punkt, an dem der Schaden beginnt.",
            "Der Schockanruf: Ein angeblicher Angehöriger in Not, ein Unfall, dringend Geld. Neu daran ist, dass Stimmen sich nachbilden lassen – die vertraute Stimme am Telefon ist kein Beweis mehr. Der Gegenzug ist banal und wirksam: auflegen und die Person selbst unter der bekannten Nummer zurückrufen.",
            "Der falsche Chef im Messenger: „Bin in einem Termin, brauche kurz einen Gefallen\", danach Gutscheinkarten oder eine Überweisung. Erkennungszeichen sind der Kanalwechsel (privat statt dienstlich), die Bitte um Geheimhaltung und die ungewöhnliche Zahlungsform.",
            "Und die Variante, die auch Vorsichtige erwischt: der Rückruf, den du selbst startest – aber unter einer Nummer, die aus der verdächtigen Nachricht stammt. Die Nummer gehört zum Angriff. Nur eine Nummer, die du selbst gefunden hast, ist unabhängig."
          ],
          "tip": "Eine vertraute Stimme ist kein Beweis mehr. Auflegen und selbst unter der bekannten Nummer zurückrufen.",
          "summary": [
            "Eine vertraute Stimme ist kein Beweis mehr. Auflegen und selbst unter der bekannten Nummer zurückrufen."
          ]
        },
        {
          "id": "m18l3",
          "title": "Das Codewort und andere Familienregeln",
          "content": [
            "Gegen Schockanrufe hilft eine Vereinbarung, die nichts kostet: ein Codewort in der Familie. Wer in Not ist und Geld braucht, nennt es. Wer es nicht kennt, ist nicht die Person, für die er sich ausgibt. Kinder, Eltern und Großeltern einmal darauf einschwören – zehn Minuten am Küchentisch.",
            "Zweite Regel: Über Geld wird nie im selben Gespräch entschieden. Egal wer anruft und wie dringend es klingt – zurückrufen, mit jemandem sprechen, eine Nacht darüber schlafen. Kein legitimes Anliegen zerbricht daran.",
            "Dritte Regel: Niemand aus einer echten Organisation fragt nach Passwörtern, PINs oder TANs, und niemand bittet um Gutscheinkarten. Diese beiden Sätze reichen aus, um einen großen Teil aller Fälle zu erkennen – auch für Menschen, die sich mit Technik nicht beschäftigen wollen.",
            "Vierte Regel, für den Beruf: Es ist erlaubt, Nein zu sagen und nachzufragen. Wer beim „Chef\" per Messenger zurückfragt oder eine Bitte über den Dienstweg bestätigen lässt, tut genau das Richtige. Eine Firma, in der das schlecht ankommt, hat ein Kulturproblem – und ein Sicherheitsproblem gleich mit."
          ],
          "tip": "Ein Familien-Codewort für Notfälle kostet zehn Minuten und entwertet den ganzen Schockanruf-Trick.",
          "summary": [
            "Ein Familien-Codewort für Notfälle kostet zehn Minuten und entwertet den ganzen Schockanruf-Trick."
          ]
        },
        {
          "id": "m18l4",
          "title": "Was du über dich preisgibst",
          "content": [
            "Gezielte Angriffe brauchen Material, und das liefern wir meist selbst. Öffentliche Profile verraten Arbeitgeber, Position, Kollegen, Urlaubszeiten und Interessen. Ein Foto vom neuen Arbeitsplatz zeigt manchmal Bildschirminhalte, Namensschilder oder Zugangskarten mit.",
            "Das heißt nicht, dass du dich zurückziehen musst. Es heißt, dass ein paar Kategorien besser nicht öffentlich stehen: Geburtsdatum in voller Form, Wohnadresse, Telefonnummer, Antworten auf typische Sicherheitsfragen – Mädchenname der Mutter, erstes Haustier, Grundschule.",
            "Sicherheitsfragen sind ohnehin ein schwaches Verfahren, weil ihre Antworten oft öffentlich sind oder erraten werden können. Wenn ein Dienst sie erzwingt: Antworte mit einer erfundenen Zeichenfolge und speichere sie im Passwort-Manager. Es gibt keine Pflicht, dort die Wahrheit zu sagen.",
            "Und beruflich: Abwesenheitsnotizen verraten oft mehr als nötig – wer vertritt, wie lange man weg ist, manchmal Durchwahlen. Für Angreifer ist das eine Landkarte. Ein Satz mit Rückkehrdatum und einer allgemeinen Kontaktadresse reicht völlig."
          ],
          "tip": "Sicherheitsfragen mit erfundenen Antworten beantworten und im Passwort-Manager speichern. Die Wahrheit steht oft im Netz.",
          "summary": [
            "Sicherheitsfragen mit erfundenen Antworten beantworten und im Passwort-Manager speichern. Die Wahrheit steht oft im Netz."
          ]
        }
      ],
      "quiz": [
        {
          "q": "Welcher Hebel richtet im Beruf am meisten Schaden an?",
          "options": [
            "Gier",
            "Hilfsbereitschaft — der Anruf der „neuen Kollegin aus der IT\", die dringend Zugang braucht",
            "Langeweile",
            "Neugier"
          ],
          "correct": 1,
          "explain": "Die meisten Menschen wollen helfen, besonders im Job. Das ist keine Schwäche, sondern soziale Kompetenz — man muss die Masche nur kennen."
        },
        {
          "q": "Jemand ruft an und gibt sich als Angehöriger in Not aus. Die Stimme klingt vertraut. Was tust du?",
          "options": [
            "Der Stimme vertrauen, sie ist eindeutig",
            "Nach Details fragen, die nur die Person wissen kann",
            "Auflegen und die Person selbst unter der bekannten Nummer zurückrufen",
            "Um eine schriftliche Bestätigung bitten"
          ],
          "correct": 2,
          "explain": "Stimmen lassen sich nachbilden — die vertraute Stimme ist kein Beweis mehr. Nur ein selbst gestarteter Rückruf auf die bekannte Nummer ist unabhängig."
        },
        {
          "q": "Woran erkennst du die „falscher Chef\"-Masche im Messenger?",
          "options": [
            "An Rechtschreibfehlern",
            "An Kanalwechsel, Geheimhaltungsbitte und ungewöhnlicher Zahlungsform",
            "An der Uhrzeit der Nachricht",
            "Am fehlenden Profilbild"
          ],
          "correct": 1,
          "explain": "Privat statt dienstlich, „bitte niemandem sagen\", dazu Gutscheinkarten oder eine Eilüberweisung — dieses Dreieck ist das Muster."
        },
        {
          "q": "Wozu dient ein Familien-Codewort?",
          "options": [
            "Zum Entsperren gemeinsamer Geräte",
            "Als Passwort für den Familien-Router",
            "Zur Identitätsprüfung bei Notfallanrufen mit Geldforderung",
            "Als Ersatz für die Zwei-Faktor-Authentifizierung"
          ],
          "correct": 2,
          "explain": "Wer in Not ist, nennt das Wort. Wer es nicht kennt, ist nicht die Person, für die er sich ausgibt — der ganze Schockanruf-Trick verliert damit seine Grundlage."
        },
        {
          "q": "Wie beantwortest du Sicherheitsfragen wie „Name des ersten Haustiers\"?",
          "options": [
            "Wahrheitsgemäß, sonst vergisst man die Antwort",
            "Mit einer erfundenen Zeichenfolge, gespeichert im Passwort-Manager",
            "Mit einer leichten Abwandlung der Wahrheit",
            "Mit dem gleichen Wort bei allen Diensten"
          ],
          "correct": 1,
          "explain": "Die echten Antworten stehen oft öffentlich in sozialen Netzen oder sind erratbar. Es gibt keine Pflicht, dort die Wahrheit zu sagen."
        }
      ],
      "version": "202608041120"
    },
    {
      "id": "m19",
      "icon": "🧹",
      "color": "#845EC2",
      "title": "Browser-Hygiene",
      "subtitle": "Erweiterungen, Cookies, Einstellungen",
      "lessons": [
        {
          "id": "m19l1",
          "title": "Erweiterungen sind das größte Risiko",
          "content": [
            "Eine Browser-Erweiterung läuft mit weitreichenden Rechten: Viele dürfen alle Seiten lesen und verändern, die du besuchst – auch die deiner Bank. Das ist kein Missbrauch, sondern die Berechtigung, der du bei der Installation zugestimmt hast.",
            "Daraus ergibt sich ein Risiko, das viele übersehen: Erweiterungen werden verkauft. Ein nützliches, jahrelang harmloses Werkzeug wechselt den Besitzer, und mit dem nächsten automatischen Update kommt eine andere Funktion – Datensammlung, eingeschmuggelte Werbung, im schlimmsten Fall das Mitlesen von Eingaben.",
            "Die Konsequenz ist unbequem, aber wirksam: so wenige Erweiterungen wie möglich. Für jede einzelne die Frage stellen, ob sie den Zugriff auf alle Seiten wirklich wert ist. Ein Passwort-Manager: ja. Ein Werbeblocker mit gutem Ruf: meist ja. Zehn kleine Helfer, die man einmal ausprobiert hat: nein.",
            "Räum einmal auf: In den Browser-Einstellungen unter „Erweiterungen\" alles deinstallieren, was du nicht bewusst benutzt. Bei den verbleibenden prüfen, ob sich die Berechtigung auf bestimmte Seiten einschränken lässt – viele Browser bieten „nur bei Klick\" statt „auf allen Seiten\"."
          ],
          "tip": "Erweiterungen werden verkauft — mit dem Käufer kommt oft eine neue Funktion. Weniger installieren, regelmäßig ausmisten.",
          "summary": [
            "Erweiterungen werden verkauft — mit dem Käufer kommt oft eine neue Funktion. Weniger installieren, regelmäßig ausmisten."
          ]
        },
        {
          "id": "m19l2",
          "title": "Cookies und Tracking realistisch betrachtet",
          "content": [
            "Cookies sind kleine Textmarken, die eine Seite in deinem Browser hinterlegt. Die meisten sind harmlos und nötig – sie halten dich eingeloggt und merken sich den Warenkorb. Sicherheitsrelevant sind sie vor allem als Sitzungsmarke: Wer ein solches Cookie stiehlt, ist eingeloggt, ohne dein Passwort zu kennen.",
            "Das ist übrigens der Grund, warum „Abmelden\" auf fremden Geräten wichtiger ist als das Schließen des Fensters. Abmelden macht die Sitzungsmarke serverseitig ungültig; das Fenster zu schließen nicht unbedingt.",
            "Beim Tracking geht es weniger um Sicherheit als um Profile: Drittanbieter-Cookies und andere Verfahren verfolgen dich über Seiten hinweg. Alle großen Browser blockieren Drittanbieter-Cookies inzwischen weitgehend; ein Werbeblocker mit gutem Ruf reduziert zusätzlich die Angriffsfläche, weil ein erheblicher Teil von Schadwerbung über Anzeigennetzwerke ausgeliefert wird.",
            "Die Einstellung „Do Not Track\" kannst du dir sparen – sie war eine Bitte ohne Verpflichtung und wird von den meisten Seiten ignoriert; einige Browser haben sie entfernt. Wirksam sind Blockieren und Löschen, nicht Bitten."
          ],
          "tip": "Auf fremden Geräten abmelden, nicht nur das Fenster schließen. Nur Abmelden macht die Sitzung wirklich ungültig.",
          "summary": [
            "Auf fremden Geräten abmelden, nicht nur das Fenster schließen. Nur Abmelden macht die Sitzung wirklich ungültig."
          ]
        },
        {
          "id": "m19l3",
          "title": "Der Browser als Sicherheitswerkzeug",
          "content": [
            "Der wichtigste Punkt zuerst: Halte den Browser aktuell. Er ist das Programm, das täglich fremden Code aus dem Internet ausführt – kein anderes Update ist so wirksam. Alle gängigen Browser aktualisieren sich selbst; du musst sie nur gelegentlich schließen, damit das Update greift.",
            "Zweitens: Nutze den eingebauten Schutz vor betrügerischen Seiten. Chrome, Firefox, Edge und Safari haben so etwas, es ist standardmäßig an, und es basiert auf laufend aktualisierten Listen. Wer es abschaltet, verliert eine der wenigen Automatiken, die zuverlässig funktionieren.",
            "Drittens: Trenne Kontexte, wenn es einfach geht. Ein zweites Profil oder ein separater Browser nur für Bank und Behördenkram – ohne Erweiterungen, ohne offene Sitzungen – kostet wenig und begrenzt viel. Für Kinder am selben Gerät ist ein eigenes Profil ohnehin sinnvoll.",
            "Und viertens: Speichere Zahlungsdaten nicht überall. Jeder Shop, der deine Kartendaten hält, ist ein weiterer möglicher Leck-Kandidat. Wo es geht, lieber bei jedem Kauf eingeben oder einen Bezahldienst nutzen, der die Kartennummer gar nicht erst weitergibt."
          ],
          "tip": "Ein zweites Browser-Profil nur für Bank und Behörden — ohne Erweiterungen, ohne andere Sitzungen.",
          "summary": [
            "Ein zweites Browser-Profil nur für Bank und Behörden — ohne Erweiterungen, ohne andere Sitzungen."
          ]
        }
      ],
      "quiz": [
        {
          "q": "Warum sind Browser-Erweiterungen ein Risiko?",
          "options": [
            "Sie verbrauchen viel Arbeitsspeicher",
            "Viele dürfen alle Seiten lesen und verändern — auch die deiner Bank",
            "Sie funktionieren nur online",
            "Sie lassen sich nicht deinstallieren"
          ],
          "correct": 1,
          "explain": "Das ist keine Lücke, sondern die Berechtigung, der man bei der Installation zustimmt. Deshalb: so wenige wie möglich, und regelmäßig ausmisten."
        },
        {
          "q": "Was ist besonders tückisch an langjährig harmlosen Erweiterungen?",
          "options": [
            "Sie werden mit der Zeit langsamer",
            "Sie verlieren die Kompatibilität",
            "Sie werden verkauft, und mit dem nächsten Update kommt eine neue Funktion",
            "Sie sammeln automatisch Cookies"
          ],
          "correct": 2,
          "explain": "Der Besitzerwechsel passiert unsichtbar, das Update kommt automatisch. Genau deshalb ist die Zahl der installierten Erweiterungen die wichtigste Stellschraube."
        },
        {
          "q": "Warum ist Abmelden auf fremden Geräten wichtiger als das Fenster zu schließen?",
          "options": [
            "Weil sonst der Verlauf sichtbar bleibt",
            "Weil nur das Abmelden die Sitzungsmarke serverseitig ungültig macht",
            "Weil das Fenster sich wieder öffnen kann",
            "Weil sonst Cookies gespeichert bleiben"
          ],
          "correct": 1,
          "explain": "Wer eine gültige Sitzungsmarke besitzt, ist eingeloggt, ohne dein Passwort zu kennen. Erst das Abmelden entwertet sie."
        },
        {
          "q": "Was bringt die Einstellung „Do Not Track\"?",
          "options": [
            "Sie blockiert alle Tracker",
            "Sie löscht Cookies automatisch",
            "Praktisch nichts — sie ist eine Bitte ohne Verpflichtung und wird meist ignoriert",
            "Sie verschlüsselt die Verbindung"
          ],
          "correct": 2,
          "explain": "Wirksam sind Blockieren und Löschen, nicht Bitten. Drittanbieter-Cookies blockieren die großen Browser inzwischen ohnehin weitgehend."
        },
        {
          "q": "Welches Update ist für die Sicherheit am wichtigsten?",
          "options": [
            "Das des Browsers",
            "Das des Virenscanners",
            "Das des Mailprogramms",
            "Das des Druckertreibers"
          ],
          "correct": 0,
          "explain": "Der Browser führt täglich fremden Code aus dem Internet aus. Er aktualisiert sich selbst — man muss ihn nur gelegentlich schließen, damit es greift."
        }
      ],
      "version": "202608041120"
    },
    {
      "id": "m20",
      "icon": "📶",
      "color": "#4ECDC4",
      "title": "Öffentliches WLAN und VPN",
      "subtitle": "Wann es wirklich nötig ist",
      "lessons": [
        {
          "id": "m20l1",
          "title": "Warum offenes WLAN weniger gefährlich ist als früher",
          "content": [
            "Vor zehn Jahren war offenes WLAN ein echtes Problem: Vieles lief unverschlüsselt, und wer im selben Netz saß, konnte mitlesen. Heute ist praktisch der gesamte Web-Verkehr verschlüsselt – der Inhalt deiner Verbindung ist für Mitlauscher nicht sichtbar.",
            "Was ein Beobachter im selben Netz noch sehen kann, sind Metadaten: mit welchen Servern du sprichst, ungefähr wann und wie viel. Also „diese Person nutzt gerade die Postbank-App\", nicht „hier ist ihr Passwort\". Unangenehm, aber kein Bankkonto-Risiko.",
            "Das echte Restrisiko in offenen Netzen ist ein anderes: gefälschte Zugangspunkte mit vertraut klingenden Namen und die daran gekoppelten Anmeldeseiten. Wer sich mit einem Netz verbindet, das jemand anderes betreibt, dessen Netzverkehr wird von diesem jemand geleitet – und der kann auf gefälschte Seiten umlenken.",
            "Deshalb bleibt die wichtigste Regel unverändert und ist eine alte Bekannte: Auf Warnungen achten. Eine Zertifikatswarnung im Café ist ein anderes Kaliber als zu Hause – dort ist sie ein Grund, das Netz zu verlassen, nicht eine Unannehmlichkeit zum Wegklicken."
          ],
          "tip": "Zertifikatswarnung im offenen WLAN: Netz verlassen. Zu Hause ist sie meist harmlos, hier nicht.",
          "summary": [
            "Zertifikatswarnung im offenen WLAN: Netz verlassen. Zu Hause ist sie meist harmlos, hier nicht."
          ]
        },
        {
          "id": "m20l2",
          "title": "Was ein VPN leistet — und was nicht",
          "content": [
            "Ein VPN verlagert den Ausgangspunkt deines Verkehrs: Statt über das WLAN des Cafés läuft alles verschlüsselt zum VPN-Anbieter und von dort ins Internet. Für den Café-Betreiber wird damit unsichtbar, welche Seiten du besuchst – für den VPN-Anbieter dafür sichtbar.",
            "Genau das ist der Punkt, den die Werbung verschweigt: Ein VPN beseitigt kein Vertrauen, es verschiebt es. Die Frage lautet nicht „VPN ja oder nein\", sondern „wem vertraue ich mehr – dem Netzbetreiber vor Ort oder diesem Anbieter\". Bei kostenlosen VPN-Diensten ist die Antwort selten günstig, denn irgendwer bezahlt sie.",
            "Was ein VPN nicht tut: Es schützt nicht vor Phishing, nicht vor Schadsoftware, nicht vor schwachen Passwörtern, und es macht dich nicht anonym. Die Werbeversprechen der Branche gehen an dem vorbei, was Privatleuten tatsächlich passiert.",
            "Sinnvoll ist ein VPN in drei Fällen: in Netzen, denen du wirklich nicht traust; wenn du nicht möchtest, dass der Netzbetreiber deine Ziele sieht; und für den Zugriff auf ein Firmennetz – dort ist es ohnehin vorgegeben. Für den Alltag zu Hause bringt es sicherheitstechnisch nichts."
          ],
          "tip": "Ein VPN beseitigt kein Vertrauen, es verschiebt es — vom Netzbetreiber zum VPN-Anbieter.",
          "summary": [
            "Ein VPN beseitigt kein Vertrauen, es verschiebt es — vom Netzbetreiber zum VPN-Anbieter."
          ]
        },
        {
          "id": "m20l3",
          "title": "Praktische Regeln unterwegs",
          "content": [
            "Erstens: Schalte die automatische Verbindung zu offenen Netzen ab. Sonst hängt dein Handy an jedem Netz mit vertrautem Namen – und ein Name lässt sich beliebig setzen. Diese Einstellung findest du unter WLAN-Optionen als „automatisch verbinden\" oder „bekannte Netze\".",
            "Zweitens: Für kurze, sensible Dinge unterwegs ist die Mobilfunkverbindung meist die einfachere Antwort. Sie ist verschlüsselt, sie gehört einem Anbieter mit Vertragspflichten, und sie kostet dich nur etwas Datenvolumen. Banking im Zug: lieber über Mobilfunk als über das Zug-WLAN.",
            "Drittens: Portale, die beim Verbinden nach persönlichen Daten fragen – Mailadresse, Zimmernummer, Geburtsdatum –, verdienen Zurückhaltung. Mail geht, Zugangsdaten zu anderen Diensten niemals.",
            "Und viertens für zu Hause: Das eigene WLAN gehört mit WPA2 oder besser WPA3 verschlüsselt, das Router-Passwort gehört geändert, und die Fernwartung von außen gehört aus, wenn du sie nicht brauchst. Das ist eine Einmal-Aufgabe von zwanzig Minuten und wirkt jahrelang."
          ],
          "tip": "Sensibles unterwegs lieber über Mobilfunk als über fremdes WLAN — verschlüsselt und ohne fremden Netzbetreiber.",
          "summary": [
            "Sensibles unterwegs lieber über Mobilfunk als über fremdes WLAN — verschlüsselt und ohne fremden Netzbetreiber."
          ]
        }
      ],
      "quiz": [
        {
          "q": "Was kann ein Mitlauscher in einem offenen WLAN heute noch sehen?",
          "options": [
            "Deine Passwörter im Klartext",
            "Den Inhalt deiner Nachrichten",
            "Metadaten: mit welchen Servern du sprichst, wann und wie viel",
            "Nichts, moderne Netze sind vollständig abgeschirmt"
          ],
          "correct": 2,
          "explain": "Der Inhalt ist durch HTTPS geschützt. Sichtbar bleibt „diese Person nutzt gerade die Bank-App\" — unangenehm, aber kein Kontorisiko."
        },
        {
          "q": "Was ist das echte Restrisiko in offenen Netzen?",
          "options": [
            "Gefälschte Zugangspunkte, die auf manipulierte Seiten umlenken",
            "Zu langsame Verbindungen",
            "Automatische Software-Updates",
            "Zu viele Nutzer im selben Netz"
          ],
          "correct": 0,
          "explain": "Wer das Netz betreibt, leitet deinen Verkehr. Deshalb ist eine Zertifikatswarnung dort ein Grund, das Netz zu verlassen — nicht sie wegzuklicken."
        },
        {
          "q": "Was leistet ein VPN?",
          "options": [
            "Es schützt vor Phishing und Schadsoftware",
            "Es macht dich anonym",
            "Es verschiebt das Vertrauen vom lokalen Netzbetreiber zum VPN-Anbieter",
            "Es ersetzt die Zwei-Faktor-Authentifizierung"
          ],
          "correct": 2,
          "explain": "Es beseitigt kein Vertrauen, es verlagert es. Bei kostenlosen Anbietern lohnt die Frage, wer den Dienst eigentlich bezahlt."
        },
        {
          "q": "Du willst im Zug etwas Sensibles erledigen. Was ist die einfachere Wahl?",
          "options": [
            "Das Zug-WLAN, es ist schneller",
            "Die Mobilfunkverbindung",
            "Das Zug-WLAN mit kostenlosem VPN",
            "Ein offenes Netz mit ähnlichem Namen"
          ],
          "correct": 1,
          "explain": "Mobilfunk ist verschlüsselt und gehört einem Anbieter mit Vertragspflichten. Es kostet nur Datenvolumen — und spart die ganze Vertrauensfrage."
        },
        {
          "q": "Welche WLAN-Einstellung solltest du auf dem Handy abschalten?",
          "options": [
            "Die WLAN-Funktion generell",
            "Das automatische Verbinden mit offenen bzw. bekannten Netzen",
            "Die 5-GHz-Unterstützung",
            "Die Netzwerksuche"
          ],
          "correct": 1,
          "explain": "Netznamen lassen sich beliebig setzen. Ohne diese Einstellung hängt sich dein Handy von selbst an jedes Netz mit vertrautem Namen."
        }
      ],
      "version": "202608041120"
    },
    {
      "id": "m21",
      "icon": "🔄",
      "color": "#F9A826",
      "title": "Updates",
      "subtitle": "Die langweiligste wirksame Maßnahme",
      "lessons": [
        {
          "id": "m21l1",
          "title": "Warum „später erinnern\" teuer ist",
          "content": [
            "Ein Sicherheitsupdate schließt eine bekannte Lücke. Bekannt heißt: Sie ist veröffentlicht, sie ist beschrieben, und automatisierte Werkzeuge suchen das Internet nach Geräten ab, die sie noch haben. Das Zeitfenster zwischen Veröffentlichung und Massenausnutzung ist oft kurz.",
            "Das dreht die übliche Wahrnehmung um. Ein Update fühlt sich an wie eine Störung – etwas funktioniert vielleicht anders, es dauert, es kommt ungelegen. Tatsächlich ist der Moment nach der Veröffentlichung der gefährlichste: Ab da wissen alle Bescheid, außer deinem Gerät.",
            "Deshalb ist die Reihenfolge klar. Zuerst das, was mit dem Internet spricht: Browser, Betriebssystem, Mailprogramm, Router. Danach alles andere. Ein veralteter Bildbetrachter ist ein kleineres Problem als ein veralteter Browser.",
            "Und der Router wird fast immer vergessen. Er läuft jahrelang unbeachtet in der Ecke, ist ständig erreichbar und bekommt oft nur manuell Updates. Einmal im Quartal in die Router-Oberfläche schauen ist eine der wirksamsten Fünf-Minuten-Aufgaben überhaupt."
          ],
          "tip": "Vergiss den Router nicht. Er ist ständig online, jahrelang unbeachtet, und aktualisiert sich oft nicht selbst.",
          "summary": [
            "Vergiss den Router nicht. Er ist ständig online, jahrelang unbeachtet, und aktualisiert sich oft nicht selbst."
          ]
        },
        {
          "id": "m21l2",
          "title": "Automatisch aktualisieren lassen",
          "content": [
            "Die beste Update-Strategie ist die, die ohne dich funktioniert. Schalte automatische Updates überall ein, wo es geht: Betriebssystem, Browser, Handy-Apps. Die Sorge, ein Update könnte etwas kaputtmachen, ist bei privaten Geräten deutlich kleiner als das Risiko, veraltet zu bleiben.",
            "Bei Handys hilft es, den nächtlichen Zeitraum zu erlauben – dann passiert es beim Laden und stört nicht. Bei Rechnern reicht es meist, das Gerät gelegentlich neu zu starten; viele Updates werden erst dann wirksam. Wer seinen Laptop wochenlang nur zuklappt, sammelt unwirksame Updates an.",
            "Achte auf das Ende des Supports. Ein Betriebssystem oder Handy, das keine Sicherheitsupdates mehr bekommt, wird mit jeder neuen Lücke unsicherer – und niemand schließt sie noch. Bei Handys ist die Update-Zusage inzwischen ein sinnvolles Kaufkriterium.",
            "Ein Sonderfall sind smarte Geräte: Kameras, Steckdosen, Fernseher, Saugroboter. Viele bekommen nie ein Update. Solche Geräte gehören, wenn möglich, in ein getrenntes Gäste-WLAN – dann kommen sie im Fall der Fälle nicht an deine Rechner."
          ],
          "tip": "Automatische Updates überall an — und den Rechner gelegentlich neu starten, sonst bleiben sie unwirksam.",
          "summary": [
            "Automatische Updates überall an — und den Rechner gelegentlich neu starten, sonst bleiben sie unwirksam."
          ]
        },
        {
          "id": "m21l3",
          "title": "Woher Updates kommen dürfen",
          "content": [
            "Updates kommen aus genau zwei Quellen: aus der Update-Funktion des Programms selbst oder aus dem offiziellen Store deines Systems. Sonst nirgendwoher. Kein Update kommt über eine Webseite, die dir mitteilt, dein Player sei veraltet.",
            "Genau diese gefälschte Update-Aufforderung ist eine der ältesten und erfolgreichsten Maschen überhaupt – oft als Browser- oder Flash-Update getarnt, heute gern als „Sicherheitsupdate erforderlich\". Wer darauf klickt, installiert die Schadsoftware eigenhändig.",
            "Dieselbe Vorsicht gilt für Software aus Suchergebnissen. Wer einen Programmnamen sucht, landet leicht bei einer bezahlten Anzeige mit einer nachgebauten Downloadseite. Bei Programmen immer die Herstellerseite ansteuern – oder gleich den Store nutzen.",
            "Und ein Punkt für Firmen und Familien: Wenn dich jemand telefonisch zu einem Update drängt, ist das nie echt. Kein Hersteller ruft an, weil dein Rechner ein Update braucht – siehe Modul 18."
          ],
          "tip": "Updates kommen nur aus dem Programm selbst oder dem offiziellen Store. Nie über eine Webseite, nie nach einem Anruf.",
          "summary": [
            "Updates kommen nur aus dem Programm selbst oder dem offiziellen Store. Nie über eine Webseite, nie nach einem Anruf."
          ]
        }
      ],
      "quiz": [
        {
          "q": "Warum ist der Moment direkt nach Veröffentlichung eines Updates besonders kritisch?",
          "options": [
            "Weil Updates anfangs oft fehlerhaft sind",
            "Weil die Lücke damit öffentlich beschrieben ist und automatisiert gesucht wird",
            "Weil Server dann überlastet sind",
            "Weil Angreifer dann besonders aktiv sind"
          ],
          "correct": 1,
          "explain": "Ab der Veröffentlichung wissen alle Bescheid — außer deinem Gerät. Das Zeitfenster bis zur Massenausnutzung ist oft kurz."
        },
        {
          "q": "Was solltest du zuerst aktuell halten?",
          "options": [
            "Bildbearbeitung und Office",
            "Alles, was mit dem Internet spricht: Browser, Betriebssystem, Mailprogramm, Router",
            "Die Treiber",
            "Die Spiele"
          ],
          "correct": 1,
          "explain": "Angriffe kommen über die Programme, die fremde Inhalte verarbeiten. Ein veralteter Bildbetrachter ist ein kleineres Problem als ein veralteter Browser."
        },
        {
          "q": "Welches Gerät wird beim Aktualisieren am häufigsten vergessen?",
          "options": [
            "Der Router",
            "Das Handy",
            "Der Laptop",
            "Der Fernseher"
          ],
          "correct": 0,
          "explain": "Er läuft jahrelang unbeachtet, ist ständig erreichbar und aktualisiert sich oft nur manuell. Einmal im Quartal reinschauen genügt."
        },
        {
          "q": "Eine Webseite meldet, dein Player sei veraltet, und bietet ein Update an. Was tust du?",
          "options": [
            "Das Update installieren, es ist wichtig",
            "Erst den Virenscanner laufen lassen, dann installieren",
            "Nichts installieren — Updates kommen nur aus dem Programm selbst oder dem offiziellen Store",
            "Die Seite neu laden"
          ],
          "correct": 2,
          "explain": "Die gefälschte Update-Aufforderung ist eine der ältesten und erfolgreichsten Maschen. Wer klickt, installiert die Schadsoftware eigenhändig."
        },
        {
          "q": "Was tust du mit smarten Geräten, die keine Updates bekommen?",
          "options": [
            "Sofort entsorgen",
            "Wenn möglich in ein getrenntes Gäste-WLAN hängen",
            "Nur nachts betreiben",
            "Mit einem Virenscanner ausstatten"
          ],
          "correct": 1,
          "explain": "Kameras, Steckdosen und Saugroboter bekommen oft nie ein Update. Im getrennten Netz kommen sie im Fall der Fälle nicht an deine Rechner."
        }
      ],
      "version": "202608041120"
    },
    {
      "id": "m22",
      "icon": "💾",
      "color": "#FF6B9D",
      "title": "Backups",
      "subtitle": "Die 3-2-1-Regel",
      "lessons": [
        {
          "id": "m22l1",
          "title": "Warum Backup zur Sicherheit gehört",
          "content": [
            "Backups gelten als Datensicherung, nicht als Sicherheitsthema. Das ist ein Irrtum. Gegen die unangenehmste Angriffsart überhaupt – Verschlüsselungstrojaner, die deine Dateien unlesbar machen und Lösegeld fordern – ist ein Backup die einzige zuverlässige Antwort.",
            "Mit einer aktuellen Sicherung ist so ein Angriff ein ärgerlicher Nachmittag. Ohne sind Fotos, Dokumente und Steuerunterlagen weg. Der Unterschied zwischen diesen beiden Ausgängen ist eine externe Festplatte für unter hundert Franken.",
            "Und Backups helfen gegen viel häufigere Ereignisse: Festplatte defekt, Handy im Wasser, Laptop gestohlen, Datei versehentlich gelöscht. Die Wahrscheinlichkeit, dass dir eines davon passiert, ist über zehn Jahre gesehen ziemlich hoch.",
            "Die ehrliche Frage lautet deshalb nicht „brauche ich ein Backup\", sondern „welche Dateien würde ich vermissen, wenn dieses Gerät morgen weg wäre\". Genau die gehören gesichert – meist sind es Fotos, Dokumente und ein paar Sachen, an die man erst beim Nachdenken denkt."
          ],
          "tip": "Frag dich: Was würde ich vermissen, wenn dieses Gerät morgen weg wäre? Genau das gehört gesichert.",
          "summary": [
            "Frag dich: Was würde ich vermissen, wenn dieses Gerät morgen weg wäre? Genau das gehört gesichert."
          ]
        },
        {
          "id": "m22l2",
          "title": "Die 3-2-1-Regel",
          "content": [
            "Die etablierte Faustregel lautet 3-2-1: **drei** Kopien deiner Daten, auf **zwei** verschiedenen Medien, davon **eine** außer Haus. Sie klingt aufwendig und ist im Alltag erstaunlich einfach zu erfüllen.",
            "Drei Kopien: das Original auf dem Gerät plus zwei Sicherungen. Zwei Medien: zum Beispiel eine externe Festplatte und ein Cloud-Speicher – nicht zwei Ordner auf derselben Platte. Eine außer Haus: der Cloud-Speicher erfüllt das automatisch, sonst eine zweite Platte bei Eltern, Freunden oder im Büro.",
            "Warum außer Haus? Wegen der Ereignisse, die alles am selben Ort gleichzeitig treffen: Wohnungsbrand, Wasserschaden, Einbruch. Eine Sicherung im Schrank neben dem Rechner schützt gegen Festplattendefekt, aber nicht gegen den Schlüsselszenario-Fall.",
            "Für die meisten Privatpersonen sieht die praktische Umsetzung so aus: Automatische Sicherung in einen Cloud-Speicher für Fotos und Dokumente, dazu einmal im Monat eine vollständige Sicherung auf eine externe Platte, die sonst nicht angeschlossen ist. Das erfüllt 3-2-1 mit etwa zehn Minuten Aufwand pro Monat."
          ],
          "tip": "Drei Kopien, zwei Medien, eine außer Haus. Zwei Ordner auf derselben Platte sind eine Kopie, nicht zwei.",
          "summary": [
            "Drei Kopien, zwei Medien, eine außer Haus. Zwei Ordner auf derselben Platte sind eine Kopie, nicht zwei."
          ]
        },
        {
          "id": "m22l3",
          "title": "Der Trojaner-Fall: offline und versioniert",
          "content": [
            "Ein Verschlüsselungstrojaner verschlüsselt alles, woran er herankommt – und dazu gehört die dauerhaft angeschlossene Sicherungsplatte und der synchronisierte Cloud-Ordner. Eine Sicherung, die immer verbunden ist, ist deshalb nur eine halbe Sicherung.",
            "Daraus folgen zwei Anforderungen. Erstens: mindestens eine Kopie, die im Normalbetrieb nicht angeschlossen ist – die Platte kommt nach dem Sichern wieder in die Schublade. Zweitens: Versionierung. Gute Cloud-Dienste behalten frühere Fassungen und gelöschte Dateien für einige Wochen; damit lässt sich auch dann zurückgehen, wenn die Verschlüsselung bereits synchronisiert wurde.",
            "Prüfe bei deinem Cloud-Anbieter einmal nach, wie lange er alte Versionen aufbewahrt und wie man sie wiederherstellt. Diese eine Information ist im Ernstfall Gold wert – und man findet sie ungern erst dann.",
            "Und das Wichtigste, was fast niemand tut: Teste die Wiederherstellung. Hol einmal eine Datei aus dem Backup zurück und schau, ob sie sich öffnen lässt. Eine Sicherung, die nie zurückgespielt wurde, ist eine Vermutung, kein Backup."
          ],
          "tip": "Teste einmal die Wiederherstellung. Eine nie zurückgespielte Sicherung ist eine Vermutung, kein Backup.",
          "summary": [
            "Teste einmal die Wiederherstellung. Eine nie zurückgespielte Sicherung ist eine Vermutung, kein Backup."
          ]
        },
        {
          "id": "m22l4",
          "title": "Was oft vergessen wird",
          "content": [
            "Das Handy. Für viele Menschen liegen dort die wichtigsten Daten – Fotos, Nachrichten, Notizen – und die Sicherung ist entweder nie eingerichtet oder seit dem Speicherplatz-Hinweis vor zwei Jahren stumm. Ein Blick in die Backup-Einstellungen und gegebenenfalls ein paar Franken für mehr Speicher lösen das dauerhaft.",
            "Chat-Verläufe brauchen oft eine eigene Sicherung: Messenger speichern ihre Daten teils außerhalb des normalen Geräte-Backups und haben eine separate Einstellung. Wer Familienfotos vor allem im Chat hat, sollte dort nachsehen.",
            "Zugangsdaten und Zwei-Faktor: Der Passwort-Tresor gehört ins Backup, ebenso die Wiederherstellungscodes aus Modul 15 – und zwar so, dass sie nicht am selben Ort liegen wie das Gerät, das den zweiten Faktor erzeugt.",
            "Und Papier: Ausweis-Kopien, Versicherungspolicen, Verträge. Ein Ordner mit Scans in der Cloud kostet einen Nachmittag und hilft in genau den Momenten, in denen es sonst besonders unangenehm wird."
          ],
          "tip": "Chat-Verläufe haben oft eine eigene Backup-Einstellung — das normale Handy-Backup erfasst sie nicht immer.",
          "summary": [
            "Chat-Verläufe haben oft eine eigene Backup-Einstellung — das normale Handy-Backup erfasst sie nicht immer."
          ]
        }
      ],
      "quiz": [
        {
          "q": "Warum sind Backups ein Sicherheitsthema?",
          "options": [
            "Weil sie Passwörter schützen",
            "Weil sie die einzige zuverlässige Antwort auf Verschlüsselungstrojaner sind",
            "Weil sie Viren erkennen",
            "Weil sie Datenlecks verhindern"
          ],
          "correct": 1,
          "explain": "Mit aktueller Sicherung ist so ein Angriff ein ärgerlicher Nachmittag, ohne sind Fotos und Dokumente weg. Dazu helfen sie gegen Defekt, Diebstahl und Wasserschaden."
        },
        {
          "q": "Was besagt die 3-2-1-Regel?",
          "options": [
            "Drei Kopien, zwei verschiedene Medien, eine außer Haus",
            "Drei Sicherungen pro Monat auf zwei Platten, eine Prüfung",
            "Drei Passwörter, zwei Faktoren, ein Manager",
            "Drei Tage Aufbewahrung, zwei Kopien, ein Server"
          ],
          "correct": 0,
          "explain": "Zwei Ordner auf derselben Platte sind eine Kopie, nicht zwei. Die Kopie außer Haus deckt Brand, Wasserschaden und Einbruch ab."
        },
        {
          "q": "Warum ist eine dauerhaft angeschlossene Sicherungsplatte nur eine halbe Sicherung?",
          "options": [
            "Weil sie schneller verschleißt",
            "Weil ein Verschlüsselungstrojaner alles verschlüsselt, woran er herankommt",
            "Weil sie mehr Strom verbraucht",
            "Weil sie nicht versioniert"
          ],
          "correct": 1,
          "explain": "Der Trojaner erwischt auch das Backup und den synchronisierten Cloud-Ordner. Mindestens eine Kopie gehört deshalb im Normalbetrieb in die Schublade."
        },
        {
          "q": "Was rettet dich, wenn die Verschlüsselung bereits in die Cloud synchronisiert wurde?",
          "options": [
            "Der Papierkorb",
            "Ein zweiter Cloud-Anbieter",
            "Versionierung — frühere Dateifassungen, die der Anbieter einige Wochen aufbewahrt",
            "Der Virenscanner des Anbieters"
          ],
          "correct": 2,
          "explain": "Prüf einmal nach, wie lange dein Anbieter alte Versionen hält und wie die Wiederherstellung geht. Diese Information sucht man ungern erst im Ernstfall."
        },
        {
          "q": "Was macht fast niemand, obwohl es entscheidend ist?",
          "options": [
            "Das Backup verschlüsseln",
            "Die Wiederherstellung einmal testen",
            "Die Sicherung beschriften",
            "Mehrere Kopien anlegen"
          ],
          "correct": 1,
          "explain": "Hol einmal eine Datei zurück und öffne sie. Eine nie zurückgespielte Sicherung ist eine Vermutung, kein Backup."
        }
      ],
      "version": "202608041120"
    },
    {
      "id": "m23",
      "icon": "🚑",
      "color": "#6C5CE7",
      "title": "Wenn es passiert ist",
      "subtitle": "Die ersten Stunden richtig nutzen",
      "lessons": [
        {
          "id": "m23l1",
          "title": "Reihenfolge: isolieren, ändern, melden",
          "content": [
            "Wenn du merkst, dass etwas passiert ist – du hast Zugangsdaten eingegeben, einen Anhang geöffnet, eine Zahlung ausgelöst –, entscheidet die Reihenfolge über den Schaden. Sie lautet: isolieren, ändern, melden. In dieser Folge, nicht anders.",
            "Isolieren heißt: Gerät vom Netz trennen, wenn der Verdacht auf Schadsoftware besteht – WLAN aus, Kabel raus. Nicht ausschalten, wenn du später Hilfe holen willst, denn dabei gehen Spuren verloren; vom Netz nehmen reicht, um die Ausbreitung zu stoppen.",
            "Ändern heißt: Passwörter zurücksetzen, und zwar von einem anderen, sauberen Gerät aus. Zuerst das E-Mail-Konto, dann alles, wo dasselbe Passwort lag, dann Bank und Zahlungsdienste. Wenn möglich zusätzlich alle aktiven Sitzungen beenden – die Funktion heißt meist „von allen Geräten abmelden\".",
            "Melden heißt: Bank oder Zahlungsdienst anrufen, wenn Geld im Spiel ist; Arbeitgeber informieren, wenn es ein Firmengerät oder ein Firmenkonto betrifft. Beides sofort, nicht am nächsten Tag – bei Zahlungen zählen Stunden."
          ],
          "tip": "Isolieren, ändern, melden — in dieser Reihenfolge. Und Passwörter immer von einem sauberen Gerät aus ändern.",
          "summary": [
            "Isolieren, ändern, melden — in dieser Reihenfolge. Und Passwörter immer von einem sauberen Gerät aus ändern."
          ]
        },
        {
          "id": "m23l2",
          "title": "Die häufigsten Fälle konkret",
          "content": [
            "Du hast Zugangsdaten auf einer gefälschten Seite eingegeben: Sofort das Passwort dieses Dienstes ändern, überall dort, wo es ebenfalls im Einsatz war, ebenfalls. Zwei-Faktor aktivieren, falls noch nicht geschehen. Aktive Sitzungen beenden. Danach im Konto nachsehen, ob sich Adressen, Telefonnummern oder Wiederherstellungsadressen geändert haben – das ist der erste Schritt eines Angreifers.",
            "Du hast eine Zahlung ausgelöst: Bank anrufen und Rückholung erfragen. Bei Überweisungen ist das ein Wettlauf mit der Zeit, aber es gelingt öfter als gedacht. Bei Kartenzahlungen die Karte sperren lassen. Anzeige erstatten – für die Versicherung und weil viele Fälle nur so überhaupt sichtbar werden.",
            "Du hast einen Anhang geöffnet: Gerät vom Netz nehmen, von einem anderen Gerät aus die wichtigsten Passwörter ändern, dann einen vollständigen Virenscan laufen lassen. Bei begründetem Verdacht auf echten Befall ist die saubere Lösung die Neuinstallation aus einem Backup – halbe Reinigungen hinterlassen oft Reste.",
            "Dein Konto wird bereits missbraucht – Mails, die du nicht geschrieben hast, Bestellungen, die du nicht gemacht hast: Passwort ändern, alle Sitzungen beenden, Wiederherstellungsadressen prüfen, Weiterleitungsregeln im Postfach kontrollieren. Angelegte Weiterleitungen sind ein häufiger und leicht zu übersehender Nachschlüssel."
          ],
          "tip": "Nach einem Konto-Vorfall die Postfach-Weiterleitungen prüfen — eine angelegte Regel ist ein bleibender Nachschlüssel.",
          "summary": [
            "Nach einem Konto-Vorfall die Postfach-Weiterleitungen prüfen — eine angelegte Regel ist ein bleibender Nachschlüssel."
          ]
        },
        {
          "id": "m23l3",
          "title": "Wo du Hilfe bekommst — und was du dokumentierst",
          "content": [
            "Bei Betrug mit finanziellem Schaden: Anzeige bei der Polizei, in der Schweiz und in Deutschland auch online möglich. Die Bank ist der schnellste Hebel bei Zahlungen, die Polizei der richtige Weg für alles Weitere.",
            "Bei Firmengeräten oder Firmenkonten: sofort die IT oder die vorgesetzte Person informieren – auch und gerade, wenn es peinlich ist. Ein früh gemeldeter Fehler ist ein Vorfall, ein spät gemeldeter ist ein Schaden. Firmen, die das anders handhaben, produzieren Vertuschung statt Sicherheit.",
            "Dokumentiere, solange es frisch ist: Screenshots der Nachricht, Uhrzeit, was genau du angeklickt und eingegeben hast, welche Beträge betroffen sind. Das brauchst du für Bank, Versicherung und Anzeige – und du erinnerst dich in zwei Tagen schlechter, als du denkst.",
            "Und danach: Erzähl es weiter. Der einzige echte Vorteil, den Angreifer haben, ist die Scham der Betroffenen. Wer im Freundeskreis oder in der Familie sagt „mir ist das passiert, so lief es\", schützt damit mehrere Leute auf einmal. Es trifft kluge Menschen an schlechten Tagen – das ist keine Charakterfrage."
          ],
          "tip": "Erzähl es weiter. Der größte Vorteil der Angreifer ist die Scham der Betroffenen — es trifft kluge Leute an schlechten Tagen.",
          "summary": [
            "Erzähl es weiter. Der größte Vorteil der Angreifer ist die Scham der Betroffenen — es trifft kluge Leute an schlechten Tagen."
          ]
        }
      ],
      "quiz": [
        {
          "q": "In welcher Reihenfolge reagierst du auf einen Vorfall?",
          "options": [
            "Melden, isolieren, ändern",
            "Isolieren, ändern, melden",
            "Ändern, melden, isolieren",
            "Erst abwarten, ob wirklich etwas passiert"
          ],
          "correct": 1,
          "explain": "Erst die Ausbreitung stoppen, dann die Zugänge entziehen, dann informieren. Bei Zahlungen zählen dabei Stunden, nicht Tage."
        },
        {
          "q": "Verdacht auf Schadsoftware. Was tust du mit dem Gerät?",
          "options": [
            "Sofort ausschalten",
            "Neu starten",
            "Vom Netz nehmen — WLAN aus, Kabel raus — aber nicht ausschalten",
            "Normal weiterbenutzen und beobachten"
          ],
          "correct": 2,
          "explain": "Vom Netz nehmen stoppt die Ausbreitung. Ausschalten vernichtet Spuren, die für eine spätere Analyse nützlich wären."
        },
        {
          "q": "Von welchem Gerät aus änderst du nach einem Vorfall die Passwörter?",
          "options": [
            "Vom betroffenen Gerät, dort sind sie gespeichert",
            "Von einem anderen, sauberen Gerät",
            "Vom Handy, egal welchem",
            "Das spielt keine Rolle"
          ],
          "correct": 1,
          "explain": "Auf einem möglicherweise befallenen Gerät würde das neue Passwort gleich mitgelesen. Erst das saubere Gerät, dann die Änderung."
        },
        {
          "q": "Was prüfst du nach einer Konto-Übernahme unbedingt zusätzlich?",
          "options": [
            "Die Farbeinstellungen",
            "Den Speicherplatz",
            "Weiterleitungsregeln und hinterlegte Wiederherstellungsadressen",
            "Die Anzahl der Kontakte"
          ],
          "correct": 2,
          "explain": "Eine angelegte Weiterleitung ist ein bleibender Nachschlüssel und überlebt jede Passwortänderung — sie wird regelmäßig übersehen."
        },
        {
          "q": "Warum solltest du einen Vorfall im Umfeld erzählen?",
          "options": [
            "Weil es Pflicht ist",
            "Weil andere dann das Passwort ändern müssen",
            "Weil Scham der größte Vorteil der Angreifer ist — Erzählen schützt mehrere auf einmal",
            "Weil man so Geld zurückbekommt"
          ],
          "correct": 2,
          "explain": "Es trifft kluge Menschen an schlechten Tagen; das ist keine Charakterfrage. Im Beruf gilt zusätzlich: früh gemeldet ist ein Vorfall, spät gemeldet ein Schaden."
        }
      ],
      "version": "202608041120"
    },
    {
      "id": "m24",
      "icon": "👨‍👩‍👧",
      "color": "#00B894",
      "title": "Schutz für die Familie",
      "subtitle": "Kinder und Ältere mitdenken",
      "lessons": [
        {
          "id": "m24l1",
          "title": "Kinder: Regeln statt Verbote",
          "content": [
            "Verbote funktionieren im Netz schlecht, weil Kinder Wege finden und dann nicht mehr fragen. Besser ist ein kleiner Satz von Regeln, den Kinder verstehen und begründen können – und die Zusage, dass sie sich melden dürfen, ohne Ärger zu bekommen.",
            "Vier Regeln reichen für den Anfang. Erstens: Keine echten Daten weitergeben – Name, Adresse, Schule, Telefonnummer –, egal wer fragt. Zweitens: Nichts installieren ohne Rückfrage. Drittens: Keine Treffen mit Leuten aus dem Netz ohne Erwachsene. Viertens, die wichtigste: Wenn etwas komisch ist, sag Bescheid – auch wenn du selbst etwas falsch gemacht hast.",
            "Diese vierte Regel entscheidet alles. Kinder, die Ärger befürchten, verschweigen genau die Vorfälle, bei denen Hilfe nötig wäre – von Erpressung mit Bildern bis zu Kontaktversuchen. Wer einmal ruhig reagiert hat, erfährt beim nächsten Mal wieder davon.",
            "Technisch: eigenes Benutzerkonto oder Browser-Profil, altersgerechte Einstellungen im App-Store, keine hinterlegten Zahlungsdaten auf Kindergeräten. Das verhindert die häufigsten unangenehmen Überraschungen, ganz ohne Überwachung."
          ],
          "tip": "Die wichtigste Kinderregel: „Sag Bescheid, auch wenn du etwas falsch gemacht hast — es gibt keinen Ärger.\"",
          "summary": [
            "Die wichtigste Kinderregel: „Sag Bescheid, auch wenn du etwas falsch gemacht hast — es gibt keinen Ärger.\""
          ]
        },
        {
          "id": "m24l2",
          "title": "Ältere Angehörige: die eigentliche Zielgruppe",
          "content": [
            "Bei Senioren geht es selten um Technikkompetenz und fast immer um Vertrauen und Höflichkeit. Wer gelernt hat, dass man Anrufe freundlich zu Ende führt und Amtspersonen nicht widerspricht, ist genau deshalb anfällig – nicht wegen mangelnder Intelligenz.",
            "Entlastende Sätze helfen mehr als Erklärungen. Zum Beispiel: „Du darfst jederzeit auflegen, das ist nicht unhöflich.\" Oder: „Wenn jemand Geld will, ruf immer erst mich an – egal wie dringend es klingt.\" Diese Erlaubnis, unhöflich sein zu dürfen, ist oft der wirksamste Schutz überhaupt.",
            "Dazu drei konkrete Vereinbarungen: das Familien-Codewort aus Modul 18, eine feste Ansprechperson für alles Digitale, und die Regel, dass nie jemand am Telefon zu Fernwartung, Überweisung oder Gutscheinkarten überredet werden darf.",
            "Und hilf beim Einrichten statt beim Erklären. Passwort-Manager gemeinsam aufsetzen, Zwei-Faktor gemeinsam aktivieren, automatische Updates einschalten, Notfallzugang hinterlegen. Einmal zusammen gemacht ist mehr wert als drei Erklärungen am Telefon."
          ],
          "tip": "„Du darfst jederzeit auflegen, das ist nicht unhöflich.\" Dieser eine Satz schützt Ältere mehr als jede Erklärung.",
          "summary": [
            "„Du darfst jederzeit auflegen, das ist nicht unhöflich.\" Dieser eine Satz schützt Ältere mehr als jede Erklärung."
          ]
        },
        {
          "id": "m24l3",
          "title": "Der Familien-Sicherheitscheck",
          "content": [
            "Setz dich einmal im Jahr eine Stunde mit der Familie zusammen und geht eine kurze Liste durch. Erstens: Hat jeder einen Passwort-Manager, und liegen die wichtigen Konten drin? Zweitens: Ist bei Mail und Bank Zwei-Faktor aktiv? Drittens: Laufen automatische Updates auf allen Geräten?",
            "Viertens: Existiert ein Backup für Handys und Rechner, und wurde es einmal getestet? Fünftens: Kennt jeder das Codewort? Sechstens: Weiß jeder, wen er anruft, wenn etwas passiert ist – und dass es dafür keinen Ärger gibt?",
            "Ergänze zwei Dinge, an die niemand gern denkt: einen Notfallzugang, damit im Ernstfall jemand an die wichtigsten Konten kommt, und eine Liste der laufenden Abos und Konten. Beides erspart Angehörigen in einer ohnehin schweren Situation viel Mühe.",
            "Und zum Schluss der ehrlichste Rat dieses Kurses: Perfektion ist nicht das Ziel. Wer Passwort-Manager, Zwei-Faktor bei Mail und Bank, automatische Updates und ein getestetes Backup hat, liegt weit über dem Durchschnitt – und genau darum geht es. Sicherheit ist kein Zustand, sondern eine Handvoll Gewohnheiten, die man einmal einrichtet."
          ],
          "tip": "Einmal im Jahr eine Stunde Familien-Check: Manager, 2FA, Updates, Backup, Codewort, Ansprechperson.",
          "summary": [
            "Einmal im Jahr eine Stunde Familien-Check: Manager, 2FA, Updates, Backup, Codewort, Ansprechperson."
          ]
        },
        {
          "id": "m24l4",
          "title": "Deine nächsten drei Schritte",
          "content": [
            "Dieser Kurs hatte 24 Module, aber die Umsetzung braucht keine 24 Vorsätze. Fang mit drei Dingen an, in dieser Reihenfolge – sie decken den größten Teil des realen Risikos ab.",
            "Erstens: Passwort-Manager einrichten und dort mit dem E-Mail-Konto beginnen. Ein langes, einmaliges Passwort nach der Satzmethode. Das ist der Schritt mit der größten Wirkung, weil die Mail alle anderen Konten aufsperrt.",
            "Zweitens: Zwei-Faktor für Mail, Passwort-Manager und Bank – mit einer Authenticator-App statt SMS. Wiederherstellungscodes dabei sofort sichern, getrennt vom Handy.",
            "Drittens: Backup einrichten und einmal testen. Danach kannst du die restlichen Module in Ruhe umsetzen: Passkeys, wo angeboten, Erweiterungen ausmisten, Familiengespräch führen. Aber die ersten drei Schritte sind die, die im Ernstfall zählen."
          ],
          "tip": "Drei Schritte, in dieser Reihenfolge: Passwort-Manager mit E-Mail, dann 2FA per App, dann getestetes Backup.",
          "summary": [
            "Drei Schritte, in dieser Reihenfolge: Passwort-Manager mit E-Mail, dann 2FA per App, dann getestetes Backup."
          ]
        }
      ],
      "quiz": [
        {
          "q": "Welche Regel für Kinder ist die wichtigste?",
          "options": [
            "Keine Daten weitergeben",
            "Nichts ohne Rückfrage installieren",
            "„Sag Bescheid, wenn etwas komisch ist — auch wenn du etwas falsch gemacht hast, es gibt keinen Ärger\"",
            "Keine Treffen mit Leuten aus dem Netz"
          ],
          "correct": 2,
          "explain": "Die anderen drei sind wichtig, aber diese entscheidet, ob du überhaupt davon erfährst. Kinder, die Ärger befürchten, verschweigen genau die Vorfälle, bei denen Hilfe nötig wäre."
        },
        {
          "q": "Warum sind ältere Menschen häufiger betroffen?",
          "options": [
            "Weil sie weniger intelligent mit Technik umgehen",
            "Weil sie Vertrauen und Höflichkeit gelernt haben — genau daran setzen die Maschen an",
            "Weil sie ältere Geräte nutzen",
            "Weil sie mehr Geld haben"
          ],
          "correct": 1,
          "explain": "Es ist keine Kompetenzfrage. Wer gelernt hat, Gespräche höflich zu Ende zu führen und Amtspersonen nicht zu widersprechen, ist deshalb angreifbar."
        },
        {
          "q": "Welcher Satz hilft Älteren am meisten?",
          "options": [
            "„Klick nirgendwo drauf.\"",
            "„Du darfst jederzeit auflegen, das ist nicht unhöflich.\"",
            "„Lies immer die Absenderadresse.\"",
            "„Nutze ein VPN.\""
          ],
          "correct": 1,
          "explain": "Die Erlaubnis, unhöflich sein zu dürfen, ist wirksamer als jede technische Erklärung — sie entwertet den Druck, mit dem die Masche arbeitet."
        },
        {
          "q": "Was gehört zusätzlich in den jährlichen Familien-Check?",
          "options": [
            "Eine Liste aller Geräte",
            "Ein Notfallzugang zu den wichtigsten Konten und eine Übersicht laufender Abos",
            "Ein Virenscanner auf jedem Gerät",
            "Ein Wechsel aller Passwörter"
          ],
          "correct": 1,
          "explain": "Beides erspart Angehörigen in einer ohnehin schweren Situation viel Mühe — und es denkt niemand gern daran, deshalb gehört es auf die Liste."
        },
        {
          "q": "Was sind die ersten drei Schritte nach diesem Kurs?",
          "options": [
            "VPN, Virenscanner, Firewall",
            "Alle Passwörter wechseln, alle Erweiterungen löschen, neues Handy",
            "Passwort-Manager mit E-Mail-Konto, dann 2FA per App, dann getestetes Backup",
            "Passkeys überall aktivieren"
          ],
          "correct": 2,
          "explain": "In dieser Reihenfolge, weil sie den größten Teil des realen Risikos abdecken. Alles Weitere kann danach in Ruhe folgen."
        }
      ],
      "version": "202608041120"
    }
  ],
  "scenarios": [
    {
      "id": "s1",
      "icon": "📦",
      "title": "Die Paket-SMS",
      "setting": "Samstagmorgen. Du wartest tatsächlich auf eine Lieferung. Auf dem Handy erscheint eine SMS.",
      "npc": "„Ihr Paket konnte nicht zugestellt werden. Zollgebühr 2,99 € offen: dhl-paket-status.info/z9\"",
      "options": [
        {
          "text": "Die SMS ignorieren und den Sendungsstatus in der App des Versenders oder über die selbst getippte Adresse prüfen.",
          "quality": "best",
          "feedback": "Genau richtig. Der kleine Betrag und die passende Erwartungshaltung sind der Köder. Die Domain `dhl-paket-status.info` gehört nicht zu DHL — aber du musst das gar nicht erst prüfen, wenn du grundsätzlich selbst in der App nachsiehst."
        },
        {
          "text": "Den Link öffnen, aber nur schauen und nichts eingeben.",
          "quality": "ok",
          "feedback": "Besser als zahlen, aber unnötig riskant. Schon der Aufruf bestätigt, dass deine Nummer aktiv ist — und wenn dann eine überzeugende Zahlungsmaske kommt, entscheidest du unter Druck statt in Ruhe."
        },
        {
          "text": "2,99 € zahlen — der Betrag ist zu klein, um sich Gedanken zu machen.",
          "quality": "bad",
          "feedback": "Der Betrag ist genau deshalb so klein gewählt. Es geht nicht um die 2,99 €, sondern um deine Kartendaten. Die tauchen später mit ganz anderen Beträgen wieder auf."
        }
      ]
    },
    {
      "id": "s2",
      "icon": "🏦",
      "title": "Der Anruf von der Bank",
      "setting": "Dienstagabend, das Telefon klingelt. Im Display steht die Nummer deiner Bank — sie stimmt, du hast sie eingespeichert.",
      "npc": "„Guten Abend, Sicherheitsabteilung. Wir sehen verdächtige Abbuchungen auf Ihrem Konto. Zur Absicherung nenne ich Ihnen gleich eine TAN, die Sie bitte bestätigen.\"",
      "options": [
        {
          "text": "Auflegen und selbst die Nummer auf der Rückseite deiner Bankkarte anrufen.",
          "quality": "best",
          "feedback": "Richtig — und wichtig: Rufnummern lassen sich fälschen, die angezeigte Nummer beweist nichts. Nur ein selbst gestarteter Anruf auf die Nummer von der Karte ist unabhängig vom Angriff."
        },
        {
          "text": "Nachfragen, aus welcher Filiale der Anrufer kommt, und dann entscheiden.",
          "quality": "ok",
          "feedback": "Du bleibst im Gespräch — und genau dort ist der Anrufer im Vorteil, weil er auf jede Frage eine vorbereitete Antwort hat. Das Gespräch zu beenden ist der einzige Zug, der zuverlässig funktioniert."
        },
        {
          "text": "Die TAN bestätigen, damit die verdächtigen Abbuchungen gestoppt werden.",
          "quality": "bad",
          "feedback": "Eine TAN stoppt nie etwas — sie gibt etwas frei. Keine Bank fragt am Telefon nach TAN, PIN oder Passwort. Diese eine Regel hätte hier gereicht."
        }
      ]
    },
    {
      "id": "s3",
      "icon": "🅿️",
      "title": "Der QR-Code am Parkautomaten",
      "setting": "Du parkst in der Innenstadt. Am Automaten klebt ein QR-Code mit dem Hinweis „Bequem per Handy bezahlen\".",
      "npc": "Der Aufkleber sitzt leicht schief und überdeckt einen Teil der aufgedruckten Beschriftung.",
      "options": [
        {
          "text": "Am Automaten normal bezahlen oder die offizielle Park-App nutzen, die du selbst installiert hast.",
          "quality": "best",
          "feedback": "Der schiefe Aufkleber über der Beschriftung ist das klassische Zeichen. Der Aufwand für diesen Angriff besteht aus einem Aufkleber — und die offizielle App umgeht ihn komplett."
        },
        {
          "text": "Den Code scannen, die angezeigte Adresse genau lesen und nur bei einer plausiblen Domain fortfahren.",
          "quality": "ok",
          "feedback": "Grundsätzlich richtig gedacht, und die Adressprüfung ist die zentrale Fähigkeit. Bei einem sichtbar aufgeklebten Code lohnt der Versuch trotzdem nicht — hier ist die Vorentscheidung schon gefallen."
        },
        {
          "text": "Scannen und zahlen — Parkautomaten sind ein offizieller Ort, da klebt niemand etwas hin.",
          "quality": "bad",
          "feedback": "Genau dieses Vertrauen ist der Angriff. Automaten, Ladesäulen und Aushänge stehen ungeschützt im öffentlichen Raum, und ein Aufkleber ist in drei Sekunden angebracht."
        }
      ]
    },
    {
      "id": "s4",
      "icon": "💼",
      "title": "Die dringende Bitte der Chefin",
      "setting": "Freitag, 16:40 Uhr. Auf deinem privaten Messenger schreibt dir jemand mit dem Profilbild deiner Geschäftsführerin.",
      "npc": "„Bin in einem Termin und komme nicht ans Firmenhandy. Brauche dringend 4 Amazon-Gutscheinkarten à 100 € für ein Kundengeschenk. Bitte niemandem sagen, ich erkläre es Montag.\"",
      "options": [
        {
          "text": "Nicht antworten und die Chefin über die bekannte dienstliche Nummer anrufen.",
          "quality": "best",
          "feedback": "Alle drei Merkmale waren da: Kanalwechsel ins Private, Bitte um Geheimhaltung, ungewöhnliche Zahlungsform. Ein Rückruf über den bekannten Weg beendet die Sache in einer Minute."
        },
        {
          "text": "Im Chat zurückfragen, ob sie das wirklich ist.",
          "quality": "bad",
          "feedback": "Die Rückfrage landet beim Angreifer, der sie bestätigt — überzeugend, mit Details. Prüfungen im selben Kanal prüfen gar nichts."
        },
        {
          "text": "Die Karten kaufen, aber die Codes erst nach einer Bestätigung am Montag schicken.",
          "quality": "ok",
          "feedback": "Immerhin kein Sofortschaden, und der Aufschub ist ein guter Instinkt. Aber du hast Geld ausgelegt und Druck aufgebaut — sauberer ist es, gar nichts zu tun und erst zu prüfen."
        }
      ]
    },
    {
      "id": "s5",
      "icon": "💌",
      "title": "Die Erpressungsmail",
      "setting": "Im Postfach liegt eine Mail in holprigem Deutsch. Im Betreff steht ein Passwort, das du tatsächlich einmal benutzt hast.",
      "npc": "„Ich habe Ihr Gerät gehackt und Aufnahmen über Ihre Kamera. Zahlen Sie 900 € in Bitcoin innerhalb von 48 Stunden, sonst geht alles an Ihre Kontakte.\"",
      "options": [
        {
          "text": "Nicht zahlen, nicht antworten, löschen — und das genannte Passwort überall ändern, wo es noch im Einsatz ist.",
          "quality": "best",
          "feedback": "Genau so. Das Passwort stammt aus einem alten Datenleck, es gibt keine Aufnahmen und keinen Zugriff. Die einzige echte Information in dieser Mail ist das Passwort selbst — und das gehört ersetzt."
        },
        {
          "text": "Die Kamera abkleben und abwarten, ob noch etwas kommt.",
          "quality": "ok",
          "feedback": "Abgeklebte Kamera schadet nie, aber sie löst das eigentliche Problem nicht: Dein Passwort ist geleakt und vermutlich noch anderswo im Einsatz. Genau dort liegt das reale Risiko."
        },
        {
          "text": "Antworten und um Aufschub oder einen niedrigeren Betrag bitten.",
          "quality": "bad",
          "feedback": "Jede Antwort bestätigt, dass die Adresse aktiv ist und der Empfänger reagiert. Danach steigt der Druck, statt zu sinken — solche Mails gehen millionenfach raus, du wirst durch die Antwort erst interessant."
        }
      ]
    },
    {
      "id": "s6",
      "icon": "☎️",
      "title": "Der Support-Anruf",
      "setting": "Nachmittags ruft eine freundliche Person an, spricht Englisch mit Akzent und nennt den Namen eines großen Software-Herstellers.",
      "npc": "„Ihr Computer sendet uns seit Tagen Fehlermeldungen. Ich kann das beheben — installieren Sie bitte kurz ein Programm, damit ich auf den Bildschirm schauen kann.\"",
      "options": [
        {
          "text": "Auflegen. Kein Hersteller ruft unaufgefordert wegen Fehlermeldungen an.",
          "quality": "best",
          "feedback": "Richtig, und ohne schlechtes Gewissen. Der Punkt ohne Rückweg ist die Fernwartungssoftware — ab da sieht und steuert jemand deinen Rechner, inklusive Online-Banking."
        },
        {
          "text": "Das Programm installieren, aber genau zusehen, was gemacht wird.",
          "quality": "bad",
          "feedback": "Zusehen hilft nicht: Der Anrufer lenkt das Gespräch, während im Hintergrund gearbeitet wird, und blendet den Bildschirm notfalls aus. Nach der Installation ist die Kontrolle abgegeben."
        },
        {
          "text": "Nach einer Rückrufnummer fragen und später zurückrufen.",
          "quality": "ok",
          "feedback": "Der Instinkt stimmt, die Ausführung nicht: Die genannte Nummer gehört zum Angriff. Wenn du zurückrufen willst, dann nur unter einer Nummer, die du selbst auf der Herstellerseite gefunden hast."
        }
      ]
    },
    {
      "id": "s7",
      "icon": "🔓",
      "title": "Die Leck-Benachrichtigung",
      "setting": "Ein Onlineshop, bei dem du vor Jahren bestellt hast, schreibt dir: Es gab einen Sicherheitsvorfall, Kundendaten inklusive Passwörter sind abgeflossen.",
      "npc": "Am Ende der Mail steht ein Knopf: „Jetzt Passwort ändern\".",
      "options": [
        {
          "text": "Die Seite selbst aufrufen, dort das Passwort ändern — und es überall sonst ändern, wo du dasselbe benutzt hast.",
          "quality": "best",
          "feedback": "Beide Hälften sind wichtig. Das Passwort im betroffenen Shop ist nur der Anfang; gefährlich wird es dort, wo dieselbe Kombination noch liegt — das ist Credential Stuffing."
        },
        {
          "text": "Über den Knopf in der Mail das Passwort ändern, die Mail ist ja echt.",
          "quality": "ok",
          "feedback": "Die Mail mag echt sein — aber genau diese Situation ahmen Fälschungen nach, weil jetzt alle mit so einer Nachricht rechnen. Der selbst gewählte Weg kostet zehn Sekunden mehr und ist immer richtig."
        },
        {
          "text": "Nichts tun, der Shop wird schon selbst alle Passwörter zurücksetzen.",
          "quality": "bad",
          "feedback": "Selbst wenn er das tut, hilft es nur dort. Das Passwort liegt jetzt in einer Liste, und die wird bei anderen Diensten durchprobiert — an genau die denkt der Shop nicht."
        }
      ]
    },
    {
      "id": "s8",
      "icon": "👵",
      "title": "Der Anruf bei deiner Mutter",
      "setting": "Deine Mutter ruft dich aufgelöst an. Vor zehn Minuten habe sich deine Stimme gemeldet — Unfall, Anwalt, dringend 9.000 € Kaution.",
      "npc": "„Es klang wirklich genau wie du. Er sagte, ich darf mit niemandem sprechen, sonst wird es schlimmer.\"",
      "options": [
        {
          "text": "Bestätigen, dass du es nicht warst, und mit ihr das Familien-Codewort für künftige Fälle vereinbaren.",
          "quality": "best",
          "feedback": "Genau die zwei Dinge: sofort entlasten und dann strukturell absichern. Stimmen lassen sich nachbilden — das Codewort ist der einzige Test, der davon unabhängig ist. Die Geheimhaltungsbitte war das eigentliche Erkennungszeichen."
        },
        {
          "text": "Ihr erklären, sie solle künftig auf die angezeigte Rufnummer achten.",
          "quality": "bad",
          "feedback": "Rufnummern lassen sich fälschen; dieser Rat erzeugt falsche Sicherheit. Und er hilft nicht in dem Moment, in dem sie unter Schock steht — dafür braucht es eine Regel, keine Prüfaufgabe."
        },
        {
          "text": "Ihr sagen, sie soll bei solchen Anrufen künftig immer sofort auflegen und dich anrufen.",
          "quality": "ok",
          "feedback": "Gute Regel, und sie deckt viel ab. Noch besser wird sie mit dem Codewort — denn was passiert, wenn du einmal wirklich in Not bist und sie dich nicht erreicht?"
        }
      ]
    },
    {
      "id": "s9",
      "icon": "🖥️",
      "title": "Der Anhang war ein Fehler",
      "setting": "Du hast eine Rechnung im Anhang geöffnet. Es erschien kurz ein Fenster, dann nichts. Jetzt ist dir mulmig.",
      "npc": "Der Rechner läuft normal weiter. Nichts sieht ungewöhnlich aus.",
      "options": [
        {
          "text": "Gerät vom Netz nehmen, von einem anderen Gerät aus die wichtigsten Passwörter ändern, dann einen vollständigen Virenscan laufen lassen.",
          "quality": "best",
          "feedback": "Isolieren, ändern, prüfen — in dieser Reihenfolge. Wichtig ist das „andere Gerät\": Auf einem womöglich befallenen Rechner würde das neue Passwort gleich mitgelesen."
        },
        {
          "text": "Sofort ausschalten und morgen jemanden fragen.",
          "quality": "ok",
          "feedback": "Die Ausbreitung ist gestoppt, das ist das Wichtigste. Zwei Nachteile: Ausschalten vernichtet Spuren für eine spätere Analyse, und die Passwörter bleiben über Nacht unverändert."
        },
        {
          "text": "Weiterarbeiten und beobachten, ob etwas Ungewöhnliches passiert.",
          "quality": "bad",
          "feedback": "Genau darauf ist Schadsoftware gebaut: unauffällig bleiben. Was du siehst, ist kein Maßstab — und jede Stunde am Netz ist eine Stunde für Datenabfluss oder Verschlüsselung."
        }
      ]
    },
    {
      "id": "s10",
      "icon": "🏨",
      "title": "Das Hotel-WLAN",
      "setting": "Im Hotel siehst du zwei Netze: „Hotel-Gast\" und „Hotel Gast Free\". Du willst kurz eine Rechnung überweisen.",
      "npc": "Beide Netze sind offen und ohne Passwort verfügbar.",
      "options": [
        {
          "text": "Die Überweisung über die Mobilfunkverbindung machen, nicht über eines der beiden Netze.",
          "quality": "best",
          "feedback": "Zwei ähnlich benannte offene Netze sind ein deutliches Warnzeichen — eines davon betreibt vermutlich jemand anderes. Mobilfunk ist verschlüsselt und spart die ganze Vertrauensfrage."
        },
        {
          "text": "An der Rezeption nach dem richtigen Netznamen fragen und dieses nutzen.",
          "quality": "ok",
          "feedback": "Umsichtig, und für normales Surfen völlig in Ordnung. Für Bankgeschäfte bleibt trotzdem: Der Betreiber leitet deinen Verkehr — bei fremden Netzen lieber Mobilfunk."
        },
        {
          "text": "„Hotel Gast Free\" nehmen, das klingt nach dem offiziellen Gastnetz.",
          "quality": "bad",
          "feedback": "Netznamen kann jeder frei setzen — „Free\" klingt einladend und ist genau deshalb beliebt bei gefälschten Zugangspunkten. Der Name ist kein Beleg für gar nichts."
        }
      ]
    },
    {
      "id": "s11",
      "icon": "🧩",
      "title": "Die praktische Erweiterung",
      "setting": "Du suchst ein Werkzeug, das PDFs im Browser zusammenfügt. Der erste Treffer im Erweiterungs-Store hat viele Nutzer und gute Bewertungen.",
      "npc": "Bei der Installation steht: „Kann alle Ihre Daten auf allen Websites lesen und ändern.\"",
      "options": [
        {
          "text": "Nicht installieren und stattdessen ein Programm oder eine Webseite nutzen, die du gezielt aufrufst.",
          "quality": "best",
          "feedback": "Diese Berechtigung schließt deine Bank ein. Für eine gelegentliche PDF-Aufgabe ist das ein sehr hoher Preis — und Erweiterungen werden verkauft, mit dem Käufer kommt oft eine neue Funktion."
        },
        {
          "text": "Installieren, und wenn möglich die Berechtigung auf „nur bei Klick\" einschränken.",
          "quality": "ok",
          "feedback": "Deutlich besser als die Vollberechtigung und ein guter Reflex. Trotzdem gilt: Jede Erweiterung ist dauerhafte Angriffsfläche — bei seltenem Bedarf lohnt sie sich selten."
        },
        {
          "text": "Installieren — viele Nutzer und gute Bewertungen sprechen für sich.",
          "quality": "bad",
          "feedback": "Bewertungen beschreiben die Vergangenheit. Genau die beliebten, jahrelang harmlosen Erweiterungen sind attraktive Kaufobjekte — und das Update kommt automatisch."
        }
      ]
    },
    {
      "id": "s12",
      "icon": "🎒",
      "title": "Das Kind kommt mit einem Problem",
      "setting": "Dein zwölfjähriges Kind kommt zögernd zu dir. In einem Spiele-Chat hat jemand nach einem Foto gefragt und danach mit Weitergabe gedroht, falls es nicht mehr schickt.",
      "npc": "„Ich wollte es dir nicht sagen, ich dachte, ich krieg Ärger.\"",
      "options": [
        {
          "text": "Ruhig bleiben, dich bedanken, dass es dir Bescheid sagt, nichts weiter schicken, Kontakt blockieren, Nachweise sichern und gemeinsam melden.",
          "quality": "best",
          "feedback": "Die Reaktion in den ersten dreißig Sekunden entscheidet, ob dein Kind beim nächsten Mal wieder kommt. Inhaltlich richtig: nichts nachliefern, Beweise sichern, blockieren, melden — Forderungen hören nach dem Nachgeben nie auf."
        },
        {
          "text": "Erst klären, wie es dazu kommen konnte, und die Spielzeit einschränken.",
          "quality": "bad",
          "feedback": "Verständliche Sorge, aber die Botschaft, die ankommt, ist: Ehrlichkeit hat Konsequenzen. Danach erfährst du von der nächsten Sache nichts mehr — und genau dann wäre Hilfe am nötigsten."
        },
        {
          "text": "Den Kontakt sofort selbst anschreiben und mit Anzeige drohen.",
          "quality": "ok",
          "feedback": "Der Impuls ist nachvollziehbar, das Ergebnis meist nicht gut: Du warnst die Gegenseite, sie kann Spuren löschen und wechselt das Konto. Erst sichern und blockieren, dann melden."
        }
      ]
    }
  ],
  "challenges": [
    {
      "icon": "👆",
      "text": "Tippe heute bei einer Mail auf den Absendernamen und sieh dir die echte Adresse dahinter an.",
      "level": "Leicht"
    },
    {
      "icon": "🔍",
      "text": "Fahre bei drei Links mit der Maus darüber (oder drücke lange), ohne zu klicken, und lies das Ziel.",
      "level": "Leicht"
    },
    {
      "icon": "🔖",
      "text": "Lege ein Lesezeichen für deine Bank an und nutze ab jetzt nur noch dieses statt der Suche.",
      "level": "Leicht"
    },
    {
      "icon": "🔤",
      "text": "Lies bei fünf Adressen die eigentliche Domain heraus: letztes Wort vor der Endung, alles bis zum ersten Schrägstrich.",
      "level": "Leicht"
    },
    {
      "icon": "🔄",
      "text": "Prüfe auf deinem Handy, ob automatische Updates aktiv sind — und starte den Rechner einmal neu.",
      "level": "Leicht"
    },
    {
      "icon": "🧹",
      "text": "Öffne die Erweiterungen deines Browsers und deinstalliere alles, was du nicht bewusst benutzt.",
      "level": "Leicht"
    },
    {
      "icon": "🔔",
      "text": "Sieh in den Browser-Einstellungen nach, welchen Seiten du Benachrichtigungen erlaubt hast, und räume auf.",
      "level": "Leicht"
    },
    {
      "icon": "📶",
      "text": "Schalte auf dem Handy das automatische Verbinden mit offenen WLANs ab.",
      "level": "Leicht"
    },
    {
      "icon": "🚪",
      "text": "Melde dich auf einem fremden oder gemeinsam genutzten Gerät bewusst ab, statt nur das Fenster zu schließen.",
      "level": "Leicht"
    },
    {
      "icon": "🖐️",
      "text": "Fühle beim nächsten QR-Code im öffentlichen Raum kurz nach, ob er aufgeklebt ist.",
      "level": "Leicht"
    },
    {
      "icon": "🗄️",
      "text": "Richte einen Passwort-Manager ein und lege als erstes dein E-Mail-Konto hinein.",
      "level": "Mittel"
    },
    {
      "icon": "📝",
      "text": "Bau dir ein Hauptpasswort nach der Satzmethode: ein eigener Satz, Bindestriche statt Leerzeichen, über 30 Zeichen.",
      "level": "Mittel"
    },
    {
      "icon": "🔐",
      "text": "Aktiviere Zwei-Faktor für dein E-Mail-Konto — mit einer Authenticator-App, nicht per SMS.",
      "level": "Mittel"
    },
    {
      "icon": "🎫",
      "text": "Sichere die Wiederherstellungscodes eines Kontos an einem Ort getrennt von deinem Handy.",
      "level": "Mittel"
    },
    {
      "icon": "💧",
      "text": "Lass deinen Passwort-Manager oder Browser prüfen, welche deiner Passwörter in bekannten Lecks auftauchen.",
      "level": "Mittel"
    },
    {
      "icon": "♻️",
      "text": "Ersetze die fünf Passwörter, die du mehrfach verwendest, durch je ein eigenes aus dem Manager.",
      "level": "Mittel"
    },
    {
      "icon": "❓",
      "text": "Beantworte bei einem Dienst die Sicherheitsfragen neu — mit erfundenen Antworten im Passwort-Manager.",
      "level": "Mittel"
    },
    {
      "icon": "📡",
      "text": "Melde dich einmal an der Oberfläche deines Routers an und sieh nach, ob ein Update bereitsteht.",
      "level": "Mittel"
    },
    {
      "icon": "🗝️",
      "text": "Richte bei einem Dienst, der es anbietet, einen Passkey ein.",
      "level": "Mittel"
    },
    {
      "icon": "👤",
      "text": "Lege ein zweites Browser-Profil nur für Bank und Behörden an — ohne Erweiterungen.",
      "level": "Mittel"
    },
    {
      "icon": "💾",
      "text": "Richte ein Backup für deinen Rechner ein und hol testweise eine Datei daraus zurück.",
      "level": "Schwer"
    },
    {
      "icon": "📱",
      "text": "Prüfe die Backup-Einstellung deines Handys inklusive der Chat-Verläufe und bring sie zum Laufen.",
      "level": "Schwer"
    },
    {
      "icon": "🎲",
      "text": "Erzeuge ein Diceware-Passwort aus fünf gewürfelten Wörtern und nutze es für deinen Passwort-Tresor.",
      "level": "Schwer"
    },
    {
      "icon": "🗣️",
      "text": "Vereinbare mit deiner Familie ein Codewort für Notfallanrufe mit Geldforderung.",
      "level": "Schwer"
    },
    {
      "icon": "👵",
      "text": "Richte mit einem älteren Angehörigen gemeinsam Passwort-Manager und 2FA ein — nicht erklären, machen.",
      "level": "Schwer"
    },
    {
      "icon": "🎒",
      "text": "Sprich mit deinem Kind die vier Regeln durch — besonders die vierte: Bescheid sagen ohne Ärger.",
      "level": "Schwer"
    },
    {
      "icon": "📋",
      "text": "Führe einen Familien-Sicherheitscheck durch: Manager, 2FA, Updates, Backup, Codewort, Ansprechperson.",
      "level": "Schwer"
    },
    {
      "icon": "🆘",
      "text": "Hinterlege einen Notfallzugang, damit im Ernstfall jemand an deine wichtigsten Konten kommt.",
      "level": "Schwer"
    },
    {
      "icon": "🏠",
      "text": "Hänge deine smarten Geräte ins Gäste-WLAN, getrennt von Rechnern und Handys.",
      "level": "Schwer"
    },
    {
      "icon": "📣",
      "text": "Erzähl im Freundeskreis von einem Betrugsversuch, den du erlebt hast — Scham ist der größte Vorteil der Angreifer.",
      "level": "Schwer"
    }
  ],
  "version": "202608041120"
}