CIA
Workstation
Client computer that employees use for their daily work.Arbeitsrechner, an dem Mitarbeitende ihre tägliche Arbeit erledigen.
+1
A cyber defense gameEin Cyber-Defense-Spiel
PENQUEST
Attack. Defend. Understand.Angreifen. Verteidigen. Verstehen.
A two-player digital board game. One side attacks a simulated IT network, the other defends it, with real techniques from MITRE ATT&CK, D3FEND and NIST SP 800-53 on every card. Ein digitales Brettspiel für zwei. Eine Seite greift ein simuliertes IT-Netzwerk an, die andere verteidigt es – mit echten Techniken aus MITRE ATT&CK, D3FEND und NIST SP 800-53 auf jeder Karte.
Game board · Turn 6Spielbrett · Runde 6
Defender
v1.2.4
Current releaseAktuelle Version
v1.3.0
In developmentIn Entwicklung
ATT&CK · D3FEND
Attack and defense modelAngriffs- und Abwehrmodell
1 vs 1
Attacker against defenderAngreifer gegen Verteidiger
The GameDas Spiel
Security is not a game. But it can be.Security ist kein Spiel. Kann es aber sein.
PenQuest models how real attacks unfold: reconnaissance, initial access, lateral movement, and finally data theft, manipulation or outage. Every system in the network depends on others, so a single unpatched workstation can open the path to the database. PenQuest bildet ab, wie echte Angriffe ablaufen: Aufklärung, Erstzugriff, laterale Bewegung und am Ende Datendiebstahl, Manipulation oder Ausfall. Jedes System im Netzwerk hängt von anderen ab – eine einzige ungepatchte Workstation kann den Weg zur Datenbank öffnen.
Actors and systems are freely configurable. A scenario can be a ransomware attack on one workstation or a large-scale data theft across DMZ, LAN and cloud. Akteure und Systeme sind frei konfigurierbar. Ein Szenario kann ein Ransomware-Angriff auf eine Workstation sein oder ein groß angelegter Datendiebstahl über DMZ, LAN und Cloud.
MITRE ATT&CK
MITRE D3FEND
NIST SP 800-53
C · I · A
Awareness trainingAwareness-Training
Show staff and management how an attack actually progresses, turn by turn.Mitarbeitenden und Management zeigen, wie ein Angriff tatsächlich abläuft – Runde für Runde.
TeachingLehre
Used in university courses to teach attack and defense fundamentals hands-on.Im Einsatz in Hochschul-Lehrveranstaltungen, um Angriffs- und Abwehrgrundlagen praktisch zu vermitteln.
Risk analysisRisikoanalyse
Model your own infrastructure and play through the threats that matter to it.Die eigene Infrastruktur modellieren und die relevanten Bedrohungen durchspielen.
AI researchKI-Forschung
In ongoing research, PenQuestEnv is turning the game into a reinforcement learning environment for training cyber security agents.In laufender Forschung wird das Spiel mit PenQuestEnv zur Reinforcement-Learning-Umgebung, in der künftig Cyber-Security-Agenten trainiert werden.
Your handDeine Hand
Five card types, one networkFünf Kartentypen, ein Netzwerk
Each card shows what it costs, what it does to confidentiality, integrity and availability, which special effects it provides, and how likely it is to succeed. Hover a card to pick it up.Jede Karte zeigt, was sie kostet, wie sie auf Vertraulichkeit, Integrität und Verfügbarkeit wirkt, welche Spezialeffekte sie bringt und wie wahrscheinlich sie gelingt. Mit der Maus darüberfahren, um sie aufzunehmen.
Hooking
Intercepts calls to legitimate functions to spy on them or run its own code.Fängt Aufrufe legitimer Funktionen ab, um sie auszuspähen oder eigenen Code auszuführen.
CIA
T1056.004
Success chanceErfolgschance 50Detection chanceEntdeckungschance 30
3
Access Control
Restricts who can access a single system.Legt fest, wer auf ein einzelnes System zugreifen darf.
CIA
+2
Success chanceErfolgschance 60
Intrusion Prevention System
Blocks suspicious function calls and file system operations before they run.Blockiert verdächtige Funktionsaufrufe und Dateisystemzugriffe, bevor sie ausgeführt werden.
-5
Success chanceErfolgschance +10
Malicious Attachment
Adds a malicious attachment that runs additional code when opened.Fügt einen schädlichen Anhang hinzu, der beim Öffnen zusätzlichen Code ausführt.
CIA
Detection chanceEntdeckungschance +5
AssetSystems in the network: servers, workstations, cloud.Systeme im Netzwerk: Server, Workstations, Cloud.
AttackAngriffTechniques from MITRE ATT&CK, sorted by attack phase.Techniken aus MITRE ATT&CK, nach Angriffsphase geordnet.
DefenseAbwehrCountermeasures from D3FEND and NIST SP 800-53.Gegenmaßnahmen aus D3FEND und NIST SP 800-53.
EquipmentBought with credits. Passive effects, every turn.Mit Credits gekauft. Passive Effekte in jeder Runde.
SupportAdd-ons that make an action stronger, stealthier or cheaper.Zusätze, die eine Aktion stärker, unauffälliger oder günstiger machen.
How a turn worksSo läuft eine Runde
Draw, play, get detectedZiehen, spielen, entdeckt werden
Phase 1Phase 1
DrawZiehen
Pick new actions from a selection to refill your hand. Buy equipment with your credits.Neue Aktionen aus einer Auswahl ziehen und die Hand auffüllen. Mit Credits Equipment kaufen.
Phase 2Phase 2
PlaySpielen
Spend action points on cards and target systems in the network. Dependencies decide what is reachable.Action Points für Karten ausgeben und Systeme im Netzwerk anvisieren. Abhängigkeiten bestimmen, was erreichbar ist.
Phase 3Phase 3
ResolveAuflösen
Success chances, detection and insight are rolled. The history log shows what the other side noticed.Erfolgschancen, Entdeckung und Insight werden ausgewürfelt. Das History-Log zeigt, was die Gegenseite bemerkt hat.
Bot opponentBot als Gegner
Practise alone against an AI attacker or defender.Allein gegen einen KI-Angreifer oder -Verteidiger üben.
Quiz modeQuiz-Modus
Your security knowledge changes how likely your actions succeed.Dein Security-Wissen beeinflusst, wie gut deine Aktionen gelingen.
Custom networksEigene Netzwerke
DMZ, LAN, cloud, OT: lay out the infrastructure you want to test.DMZ, LAN, Cloud, OT: die Infrastruktur aufbauen, die getestet werden soll.
Scenario CreatorScenario Creator2026
A web tool for building and sharing your own community games.Ein Web-Tool, um eigene Community-Spiele zu bauen und zu teilen.
News
History logHistory-Log
History
GlobalScenario Creator workshop
Security professionals from partner companies tried the first version of the PenQuest Scenario Creator, a web tool for building your own community games. Public release is planned for 2026.
UI rework 2026
Funded by a KIRAS Innovation AKUT grant, we are reworking the interface and usability. The changes run on the alpha server for now, and we are looking for testers.
Version 1.2.0 with quiz mode
In quiz mode, your security knowledge decides how likely your actions are to succeed.
PenQuest goes MIT
Sebastian spent a month at MIT's ALFA Lab refining the bot and the AI environment.
ResourcesRessourcen
Manual, videos, researchHandbuch, Videos, Forschung
PDF · 2.1 MB
Game manual v1.2.2Spielhandbuch v1.2.2
Rules, card anatomy and the full turn sequence.Regeln, Kartenaufbau und der komplette Rundenablauf (Englisch).
VideoShort introduction (2025)Kurze Einführung (2025)
What PenQuest is and how a match plays out.Was PenQuest ist und wie ein Match abläuft.
VideoBackground & mechanics (2025)Hintergrund & Mechanik (2025)
The security model behind the cards.Das Sicherheitsmodell hinter den Karten.
2025Gamifying information security: Adversarial risk exploration for IT/OT infrastructuresLuh et al. · Computers & Security · open accessDOI ↗
2022PenQuest Reloaded: A Digital Cyber Defense Game for Technical EducationLuh et al. · IEEE EDUCONPDF ↗
2019PenQuest: a gamified attacker/defender meta model for cyber security assessment and educationLuh et al. · Journal of Computer Virology and Hacking TechniquesPDF ↗
Team
Players on our sideUnsere Spieler:innen
RL
Robert Luh
Game design · Model
Original idea, security model, rules and didactics. Academic director at USTP.Ursprüngliche Idee, Sicherheitsmodell, Regeln und Didaktik. Studiengangsleiter an der USTP.
SE
Sebastian Eresheim
Backend · AI
Security researcher at USTP. Bot, AI environment and backend.Security-Forscher an der USTP. Bot, KI-Umgebung und Backend.
TP
Thomas Petelin
Backend · Frontend
Senior software developer across the whole stack.Senior-Softwareentwickler über den gesamten Stack.
NG
Nico Gentilini
Scenario Creator
Research assistant at USTP. Builds the Scenario Creator.Wissenschaftlicher Mitarbeiter an der USTP. Entwickelt den Scenario Creator.
MR
Maximilian Riegler
UI · Visual design
Leads the 2026 UI overhaul.Leitet die UI-Überarbeitung 2026.
Earlier contributorsFrühere Mitwirkende: Thomas Bechtel, Manuel Leithner, Stefan Pfeiffer, Simon Gmeiner, Alexander Piglmann, Stefanie Größbacher, Vanessa Kraut, Miriam Widhalm, Florian Mayr, Gernot Rottermanner, Kathrin Neuherz, Peter Judmaier, Michael Sailer, Michael Tuchny, Pascal Pizzini, Kathrin Schneller, Marc Gehart, Christoph Wiedner, Lukas Schmalzbauer. Thanks also to our testers and toDanke auch an unsere Tester:innen sowie an Wolfgang Aigner, Peter Kieseberg, Hannes Raffaseder, Sebastian Schrittwieser andund Simon Tjoa.
Questions? Demo? Contribute?Fragen? Demo? Mitmachen?
Write to us. We answer in English and German.Schreib uns. Wir antworten auf Deutsch und Englisch.
robert.luh@ustp.at
sebastian.eresheim@ustp.at