{"id":1424,"date":"2025-08-04T03:28:29","date_gmt":"2025-08-04T01:28:29","guid":{"rendered":"https:\/\/maskenlos.ch\/?p=1424"},"modified":"2025-08-07T15:15:36","modified_gmt":"2025-08-07T13:15:36","slug":"safe-exam-browser-loechrig-wie-ein-emmentaler","status":"publish","type":"post","link":"https:\/\/maskenlos.ch\/index.php\/2025\/08\/04\/safe-exam-browser-loechrig-wie-ein-emmentaler\/","title":{"rendered":"Safe Exam Browser: L\u00f6chrig wie ein Emmentaler?"},"content":{"rendered":"

Schummeln \u00fcber Jahre und nichts passiert<\/h1>\n

Egg, 4. August 2025: Die letzten Tage hatte ich das Vergn\u00fcgen, mich mit dem Safe Exam Browser auseinanderzusetzen, weil meine Tochter in naher Zukunft solche Tests wird ablegen m\u00fcssen. Der Safe Exam Browser wird als sichere Pr\u00fcfungsumgebung von der ETH Z\u00fcrich entwickelt und gilt verpflichtend f\u00fcr die Studierenden der Z\u00fcrcher (und anderer) Hochschulen und ist auf dem eigenen Computer (Windows\/Apple only) zu absolvieren. Nun hatte ich keine Ahnung, was der Safe Exam Browser ist und darum suchte ich im Web nach ‘Safe Exam Browser gehackt’. Das letzte Wort geh\u00f6rt zu meinem st\u00e4ndigen Reflex als Informatiker, der Dutzende bis Hunderte von Security-Meldungen liest, also bitte nicht b\u00f6se sein.<\/em><\/strong><\/p>\n

\"\"<\/p>\n

2022: Gymi-Sch\u00fcler hackt “sichere” ETH-Software<\/h2>\n

Aha, am 19. Juni 2022 (die Corona-Zeit ist gerade um) wurde Safe Exam Browser von einem 15-j\u00e4hrigen Kanti-Sch\u00fcler gehackt. Nun gibt es zwei Optionen, entweder ist der junge Mann ein Genie oder die ETH-Software l\u00f6chrig wie ein Emmentaler.<\/p>\n

\"\"<\/p>\n

Die Meinungen bei 20min.ch<\/a><\/strong> sind schnell gemacht, die Schweiz hat ein zuk\u00fcnftiges Super-Genie. Wer den Artikel liest, hat erste Zweifel. Beschrieben wird, er habe aus Neugierde etwas probiert und es habe dann relativ schnell geklappt.<\/p>\n

Was den 15-j\u00e4hrigen-Kanit-Sch\u00fcler wohl zum “Helden” macht, ist nicht, dass er den Safe Exam Browser “hackt”, sondern dass er es dem Rektorat meldet. Nun sind alle erfreut, selbst die ETH zeigt sich begeistert und zollt ihrem “j\u00fcngsten Hacker” Respekt. In den Kommentaren von 20min.ch<\/a><\/strong> wird ihm eine fulminante Karriere vorausgesagt.<\/p>\n

\"\"<\/p>\n

Einzig ein migubabe<\/strong> meldet am 19.6.2022 um 15:44 gewisse Zweifel: “Dieser Fehler besteht bereits seit einigen Jahren und wurde auch schon mehrfach gemeldet. Meine Schule hat darauf gewartet bis es verbessert wird und sie den Browser wieder einsetzen konnten. Ist bis heute nicht geschehen. Aber vielleicht jetzt nach der Ver\u00f6ffentlichung.” <\/em>Das finden nun 13 von 21 Quatsch, und damit ist es “gegessen”. Oder doch nicht ganz?
\n<\/em><\/p>\n

2025: Safe Exam Browser noch immer “gehackt”<\/h2>\n

\"\"<\/p>\n

Die obige Meldung datiert vom 19. Juni 2025 (quasi zum 3-j\u00e4hrigen-Jubil\u00e4um), sie entspricht den aktuellen Stand. Die Antwort des Entwicklers zeigt exemplarisch, wie ernst der Bug-Report genommen wird: “You can reliable detect manipulated SEB installations…”<\/em><\/p>\n

Auf Deutsch: “Manipulierte SEB-Installationen k\u00f6nnen Sie zuverl\u00e4ssig erkennen…” t\u00f6nt jetzt nicht unbedingt danach, als dass sich jemand darum k\u00fcmmern w\u00fcrde. Oder mit anderen Worten gesagt. Der Entwickler best\u00e4tigt, dass Safe Exam Browser manipuliert werden kann. Nur behauptet er (etwas) keck, dies k\u00f6nne erkannt werden.<\/p>\n

Wenn “Hacking” zum Klicken verkommt<\/h1>\n

Die obige Meldung weckte nat\u00fcrlich mein Interesse. Also versuchte ich den “Hack” von 2022 des Kanti-Sch\u00fclers zu wiederholen und dabei auch zu testen, ob ich mit dem Verifizierungstool SEB-Verficator “auffliegen” w\u00fcrde.\u00a0 Da Safe Exam Browser nicht unter Linux l\u00e4uft, hatte ich auch gleich die perfekte “Hacker-Umgebung”. Meine einzige Windows-Instanz l\u00e4uft virtualisiert auf meinem Linux-Rechner. Sie wird selten angeworfen, aber hey, jetzt starte ich endlich einmal Windows11 mit Wonne… und installiere Safe Exam Browser sowie auch gleich den SEB-Verifikator. Der Start von Safe Exam Browser zeigt, die virtuelle Instanz mag er nicht:<\/p>\n

\"\"<\/p>\n

Nun denn, kann ich mit meinen bald 60-Jahren mit einem 15-j\u00e4hrigen mithalten? Ich suche nach ‘Safe Exam Browser hack’ und bin erstaunt \u00fcber die F\u00fclle von L\u00f6sungen, die verf\u00fcgbar sind. Ich gehe die Links durch. Bei der ersten L\u00f6sung “passt” die Version nicht.<\/p>\n

\"\"<\/p>\n

Folglich gehe ich zum zweiten Link und f\u00fchle mich fast schon als Multi-Hacking-Hero, denn die Version scheint zu passen:<\/p>\n

\"\"<\/p>\n

Ich klicke auf einen Download-Link (Exe-Datei von ca. 7 MByte) und starte das Programm.<\/p>\n

\"\"<\/p>\n

Nun bin ich doch etwas entt\u00e4uscht. Mein Hacker-Alter (oder Hacker-Ego?) h\u00e4tte jetzt schon erwartet, dass ich tief in der Windows-Registry h\u00e4tte w\u00fchlen, oder zumindest auf der abgesicherten Windows-Command kryptische Befehle eingeben h\u00e4tte m\u00fcssen. Aber nein, ich klicke einmal auf ‘Patch’ und frage mich ungl\u00e4ubig, war es das jetzt, echt? Ich starte Safe Exam Browser erneut und voil\u00e0:<\/p>\n

\"\"<\/p>\n

Hinweis bzw. Warnung:<\/strong> Auf einer nicht virtuellen Instanz (bei der \u00c4nderungen nicht r\u00fcckg\u00e4ngig gemacht werden k\u00f6nnen) w\u00fcrde ich solche Programme nicht starten wollen.<\/em><\/p>\n

Schwieriger war es letztlich, einen Test aufrufen zu k\u00f6nnen, da viele Links auf der Homepage von Safe Exam Browser nicht funktionieren. Aber letztlich wurde ich hier f\u00fcndig:<\/p>\n

\"\"<\/p>\n

Mit ‘sep1’ und ‘demo’ starte ich mein “Examen”:<\/p>\n

\"\"<\/p>\n

Einige Fragen habe ich beantwortet, andere auch nicht. Nach knapp 10 Minuten hatte ich eine erfolgreiche Eingabe. 18 Prozent der Fragen h\u00e4tte ich beantwortet, lautete das Fazit. Und ja, ich hab es auf einem Linux-Rechner (mit virtualisierter Windows-Instanz) doch sehr entspannt hingekriegt, obwohl genau dies gem\u00e4ss der Safe Exam Projektseite nicht m\u00f6glich ist.<\/p>\n

Umgehen von SEB-Verficator<\/h2>\n

Zugegeben, das Test-Examen war ja nicht das, was mich interessierte, sondern die Frage, ob der SEB-Verficator mein “Schummeln” bemerken w\u00fcrde.<\/p>\n

Dazu folgendes: Der SEB-Verificator wurde erstellt, um allf\u00e4llige Manipulationen von Safe Exam Browser erkennen zu k\u00f6nnen. Einmal davon abgesehen, dass eine Software selber merken sollte, ob sie “propper” l\u00e4uft oder nicht, k\u00f6nnte ja auch SEB-Verficator selber wieder manipuliert werden. Vorliegend wurde (musste) dieser Weg nicht gew\u00e4hlt werden, es ging viel einfacher.<\/p>\n

\"\"<\/p>\n

Und damit wir uns richtig verstehen, ich habe dabei jetzt nicht geschummelt, sondern es war “nur” etwas “Handarbeit” notwendig, bis ich die Skripte startit<\/strong> und stopit<\/strong> hatte, die zum Erfolg f\u00fchrten. Alles in allem war der Aufwand minim, ein heute 15-j\u00e4hriger Kanti-Sch\u00fcler w\u00fcrde das sicher auch 2025 in ein paar Stunden hinkriegen. Auf alle F\u00e4lle brauchte ich selber nicht mehr Zeit daf\u00fcr. Und auch damit dies hier angef\u00fcgt ist, von Hacking kann nicht wirklich gesprochen werden.<\/p>\n

Mit den Skripten startit<\/strong> bzw. stopit<\/strong> schalte ich zwischen gutem Test und gutem Arbeiten (Schummeln) um. F\u00fcr wenig technisch Versierte, es ist einfach eine Art Diesel-Abgastest. Kommt der Pr\u00fcfende, kann ich binnen Sekunden (unbemerkt) in den Test-Modus schalten und bin propper. Die Skripte publiziere ich hier nicht, es sei aber angef\u00fcgt, dass es je drei Zeilen Code sind. Hier von Programmierung zu sprechen, es w\u00e4re eine Beleidigung f\u00fcr jene, die Apps (Programme) entwickeln.<\/p>\n

SimonExam und andere<\/h2>\n

Wer es noch einfacher haben m\u00f6chte, der sucht im Netz nach ‘safe exam hack help’ und findet dann L\u00f6sungen, die erahnen lassen, wie tief die Probleme beim Safe Exam Browser liegen:<\/p>\n

\"\"<\/p>\n

Immerhin “br\u00fcstet” sich SimonExam, \u00fcber 1000 Pr\u00fcflingen sicher geholfen zu\u00a0 haben. Ich kann diese Aussage nicht beurteilen, aber rein von der Einfachheit her, wie auch 2025 Safe Exam Browser bzw. SEB Verficator “ausgetrickst” werden k\u00f6nnen, und ich ja hier nur ein Angebot stellvertretend anbringe, k\u00f6nnte die Zahl auch noch deutlich h\u00f6her liegen:<\/p>\n

\"\"<\/p>\n

Oder mit andern Worten gesagt, Safe Exam Browser erscheint mir auch 2025 l\u00f6chrig wie ein Emmentaler.<\/p>\n

Fazit 1: BYOD-Ger\u00e4te und Internet sind nie sicher<\/h2>\n

Safe Exam Browser wird gem\u00e4ss Homepage https:\/\/safeexambrowser.org<\/a><\/strong> von der ETH Z\u00fcrich, Informatikdienste entwickelt. Die Finanzierung erfolgt \u00fcber Contributors, die der ETH Z\u00fcrich j\u00e4hrlich zwischen 2500 und 50000 Euro \u00fcberweisen, wobei die ETH Z\u00fcrich sich selber als Platin Contributor 50000 Euro “spendet”. Werden alle Contributors zusammengez\u00e4hlt, so d\u00fcrfte das j\u00e4hrliche Budget etwa 300’000 Euro betragen. Das ist f\u00fcr eine sichere Internet-L\u00f6sung sehr wenig. Weiter sind einige Firmen an Board, welche die L\u00f6sung (auch) kommerziell am Markt vertreiben (z.B. https:\/\/exam.net oder https:\/\/examzone.ch, um nur einige zu nennen).<\/p>\n

Spannender neben diesen “Fakten” ist die Tatsache, dass a) Safe Exam Browser meist auf dem Computer der Pr\u00fcfenden installiert werden muss und dass b) “nur” Windows\/Apple-Computer unterst\u00fctzt werden und dass c) die L\u00f6sung als Open Source Software angepriesen wird.<\/p>\n

Wie bitte? Eine Open Source Software erfordert zwingend den Einsatz eines propriet\u00e4ren Betriebssystems? Kann das gut gehen? Mit einem Wort gesagt: Nein! Dies deshalb, weil propriet\u00e4re Betriebssysteme gerade nicht so angepasst werden k\u00f6nnen, wie es notwendig w\u00e4re, damit Manipulation wirksam ausgeschlossen werden k\u00f6nnen.<\/p>\n

Dazu kommt, dass die Installationen auf den Bring-In-Ger\u00e4ten (BYOD) der Probanden laufen. Es ist gelinde gesagt naiv zu glauben, dass dies funktioniert. Ein Blick auf die aktuelle Bug-Liste zeigt, selbst ohne Anpassungen an der Software, sicher s\u00e4he anders aus.<\/p>\n

\"\"<\/p>\n

Dies h\u00e4ngt prim\u00e4r mit dem Safe Exam Browser-Konzept zusammen. Die Pr\u00fcfungen werden im Internet abgelegt, ohne Verbindung nach aussen geht gar nichts. Wer sicherstellen will, dass niemand Hilfe von aussen holt, schaltet das Internet w\u00e4hrend der Tests ganz ab. Punkt! Abschalten hiesse, dass die entsprechenden Treiber auf dem Betriebssystem gel\u00f6scht werden bzw. gar nicht vorhanden sind.<\/p>\n

Safe Exam Browser dagegen versucht, die Internet-Verbindung mit einer Software zu unterbinden. St\u00fcrzt Safe Exam Browser ab oder wird die Anwendung geschlossen, entf\u00e4llt das gesamte Security-Konzept. Dass dem so ist, hat mit dem Ansatz zu tun, dass die Ger\u00e4te der Pr\u00fcfenden verwendet werden und dass auf diesen Ger\u00e4ten nat\u00fcrlich nicht einfach die entsprechenden Treiber entfernt werden k\u00f6nnen. Kurz und knapp: Konzept funktioniert nicht, fehlerhaftes Design.<\/p>\n

Fazit 2: Rechtliche Grundlagen fehlen<\/h2>\n

Nun handelt es sich bei den Pr\u00fcfungen mit Safe Exam aber nicht um einen lokalen Schwing-Event aus Vordertupfingen oder einen Lotto-Abend aus dem Altersheim in Hinterpaffendorf, die abgelegten Pr\u00fcfungen bilden die Grundlage f\u00fcr die universit\u00e4ren Abschl\u00fcsse (Bachelor wie Master).<\/strong> J\u00e4hrlich d\u00fcrften Zehntausende solcher Tests alleine bei den beiden Hochschulen in Z\u00fcrich abgelegt werden.<\/p>\n

Dass zu Corona-Zeiten tempor\u00e4r zu Online-Pr\u00fcfungen (wie hier vorliegend) gegriffen wurde, dies mag ich hier gar nicht (mehr) kommentieren. Dass das damalige Konzept aber auch 2025 noch z.B. bei der Universit\u00e4t Z\u00fcrich auf Notrecht (ZH-Lex 818.15, Fassung vom 7.12.2020)<\/a><\/strong> beruht, ist und bleibt unhaltbar:<\/p>\n

\"\"<\/p>\n

Sollte ich ‘In Kraft seit 1. Februar 2022’ falsch verstanden haben, so werde ich mich hier gerne entsprechend entschuldigen. Im anderen Falle sei aber auch gesagt, wer Notrecht auf den 8. November 2021 aufhebt und am 1. Februar 2022 wieder einf\u00fchrt, der schummelt irgendwie ziemlich gewaltig, denn im November, Dezember und Januar finden ja gerade keine Pr\u00fcfungen statt.<\/p>\n

Es f\u00e4llt auf, dass alle Akteure (Safe Exam Browser wie ETH bzw. Universit\u00e4t Z\u00fcrich) es mit Hingabe vermeiden, den Studierenden die entsprechenden rechtlichen Grundlagen auch nur in Ans\u00e4tzen zu nennen. In der Vernehmlassung zum damaligen Notrecht wurde angef\u00fchrt, dass Pr\u00fcfende, die nicht \u00fcber die notwendige Hard- wie Software verf\u00fcgen, ein Leihgerat beantragen k\u00f6nnten.<\/a><\/strong><\/p>\n

\"\"<\/p>\n

Daraus ist heute (mit gleichem Notrecht, aber ohne jegliche notrechtlichen Gr\u00fcnde) ein Zwang zu Windows-\/Apple-Ger\u00e4ten geworden, wobei nirgends auch nur halbwegs erkl\u00e4rt w\u00fcrde, warum dies so ist bzw. auf welcher Rechtsgrundlage dies beruht. Entsprechende juristische Fragen wurden (meines Wissens) bislang gar nicht erst behandelt, auf der Homepage der rechtswissenschaftlichen Fakult\u00e4t steht einfach lapidar (kein Linux).<\/a><\/strong><\/p>\n

Fazit 3: Safe Exam l\u00f6chrig wie Emmentaler<\/h2>\n

Angesichts der krassen M\u00f6glichkeiten zum Schummeln mit den “autorisierten” Ger\u00e4ten ist die Frage, ob LInux verwendet werden kann, insofern sekund\u00e4r, da Safe Exam Browser ganz grunds\u00e4tzlich nicht zum Einsatz kommen d\u00fcrfte. Dabei geht es nicht nur um jene, die schummeln, sondern auch darum, was z.B. passiert, wenn Ger\u00e4te kompromittiert werden (mal schnell dem\/der zuk\u00fcnftigen Ex noch so richtig eins auswischen…).<\/p>\n

Und wie sieht es mit der Haftung aus? ETH Z\u00fcrich wie Universit\u00e4t Z\u00fcrich entwickeln Safe Exam Browser, wie sollen sie neutral \u00fcberpr\u00fcfen, wo (ihre) Fehler liegen? Welche Eingriffe m\u00fcssen Studierende \u00fcber sich ergehen lassen? Was sehen Aufseher\/innen bei den Pr\u00fcflingen, gewollt wie ungewollt? Was sehen die amerikanischen Tech-Firmen?<\/p>\n

In der Schweiz reden alle von digitaler Souver\u00e4nit\u00e4t, Safe Exam w\u00fcrde ich jetzt nicht dazu z\u00e4hlen. Gut, mit dieser Einsch\u00e4tzung werde ich keine Blument\u00f6pfe gewinnen, wahrscheinlich mache ich mich mit einer solchen Einsch\u00e4tzung in bestimmten Kreisen ziemlich unbeliebt. L\u00e4sst sich wohl irgendwie nicht vermeiden, damit lebe ich. Nur mit dem Emmentaler (K\u00e4se), mit diesem m\u00f6chte ich es nicht verscherzen. Daher sage ich zum Abschluss, ich mag den echten Schweizer Emmentaler gern, ganz voll mit L\u00f6chern, einfach nicht digital mit Safe Exam.<\/p>\n

P.S: Ich bin gerne bereit, meine Arbeit zu erl\u00e4utern. Wenig Lust versp\u00fcre ich hingegen, eine Diskussion zu f\u00fchren, ob solche Manipulationen vorkommen oder wie viel kriminelle Energie dazu ben\u00f6tigt wird bzw. ob es Sinn ergibt dar\u00fcber zu berichten, weil damit ja erst “geschummelt” werden k\u00f6nne. Safe Exam Browser beruht f\u00fcr mich auf einem vollkommen fehlerhaften Design-Konzept (fault-by-design) und daher geh\u00f6rt die L\u00f6sung offline.<\/em><\/p>\n

Update vom 7. August. 2025:<\/strong> Mittlerweile ist dieser Beitrag auf inside-paradeplatz.ch<\/a> erschienen. Ebenfalls heute ist (quasi als Replik) ein Artikel erschienen, bei dem der Frage nachgegangen wird, ob die Mythen stimmen w\u00fcrden, dass Safe Exam Browser gehackt werden k\u00f6nne. Dies sei aber nicht so bzw. es lohne sich quasi nicht, dieser Beitrag findet sich hier:<\/em><\/p>\n

https:\/\/blog.silverpc.hu\/2025\/08\/07\/der-mythos-vom-safe-exam-browser-bypass-was-steckt-wirklich-dahinter-und-welche-risiken-gibt-es\/<\/strong><\/a><\/p>\n

Zwischen dem 1. Janaur 2021 und dem 31. M\u00e4rz 2022 machte die Schweiz (alleine auf Bundesebende) zur Bew\u00e4ltigung von Covid Schulden \u00fcber 65370 Millionen bzw. 65.37 Milliarden. Dies entspricht dem Erwerb von neuen Kampfflugzeugen gem\u00e4ss Abstimmung Sommer 2020. Quelle: Covid-Schulden Bund<\/a><\/i><\/b><\/p>

\n\n\n\t
\n\n\t\t<\/i><\/span> PDF<\/a>\n\n\t<\/div>\n\n\n\n\n\n","protected":false},"excerpt":{"rendered":"

Schummeln \u00fcber Jahre und nichts passiert Egg, 4. August 2025: Die letzten Tage hatte ich das Vergn\u00fcgen, mich mit dem Safe Exam Browser auseinanderzusetzen, weil meine Tochter in naher Zukunft solche Tests wird ablegen m\u00fcssen. Der Safe Exam Browser wird als sichere Pr\u00fcfungsumgebung von der ETH Z\u00fcrich entwickelt und gilt verpflichtend f\u00fcr die Studierenden der … Mehr lesen…<\/a><\/span><\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":[],"categories":[1,91,79,85,81,89,93],"tags":[],"_links":{"self":[{"href":"https:\/\/maskenlos.ch\/index.php\/wp-json\/wp\/v2\/posts\/1424"}],"collection":[{"href":"https:\/\/maskenlos.ch\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/maskenlos.ch\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/maskenlos.ch\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/maskenlos.ch\/index.php\/wp-json\/wp\/v2\/comments?post=1424"}],"version-history":[{"count":34,"href":"https:\/\/maskenlos.ch\/index.php\/wp-json\/wp\/v2\/posts\/1424\/revisions"}],"predecessor-version":[{"id":1460,"href":"https:\/\/maskenlos.ch\/index.php\/wp-json\/wp\/v2\/posts\/1424\/revisions\/1460"}],"wp:attachment":[{"href":"https:\/\/maskenlos.ch\/index.php\/wp-json\/wp\/v2\/media?parent=1424"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/maskenlos.ch\/index.php\/wp-json\/wp\/v2\/categories?post=1424"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/maskenlos.ch\/index.php\/wp-json\/wp\/v2\/tags?post=1424"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}