# 17. Praxis – Netzwerkadministration und Systemzugriff # Windows --> Linux SSH-KEY-LOGIN (Windows → Ubuntu) ================================ 1) Key auf Windows erstellen --------------------------- ssh-keygen -t ed25519 → Dateien: C:\Users\\.ssh\id_ed25519 (PRIVATE) C:\Users\\.ssh\id_ed25519.pub (PUBLIC) - 2) Public Key per SCP auf den Server kopieren (in Windows) --------------------------------------------- scp $env:USERPROFILE\.ssh\id_ed25519.pub admini@192.168.33.XXX:~/id_ed25519.pub - 3) Auf dem Server: Key in authorized_keys eintragen (in Linux) --------------------------------------------------- ssh admini@ 192.168.33.XXX mkdir -p ~/.ssh cat ~/id_ed25519.pub >> ~/.ssh/authorized_keys rm ~/id_ed25519.pub - 4) Auf dem Server: Rechte setzen (sonst kann SSH ablehnen) ---------------------------------------------------------- chmod 700 ~/.ssh chmod 600 ~/.ssh/authorized_keys - 5) Test von Windows ------------------- ssh admini@ 192.168.33.XXX # 17.1 Praxis – Netzwerkadministration und Systemzugriff In der Netzwerkadministration geht es darum, IT-Systeme, Netzwerke, Benutzer, Dienste und Zugriffe sicher zu verwalten. Dabei werden technische Werkzeuge, Berechtigungen, Protokolle und Sicherheitsregeln kombiniert. Typische Aufgaben sind: - Systeme administrieren - Netzwerkfehler suchen - Benutzerrechte verwalten - Remotezugriffe einrichten - Dienste prüfen - Logs auswerten - Konfigurationen dokumentieren - Sicherheitsregeln kontrollieren - Backups prüfen - Updates einspielen Merksatz: Netzwerkadministration ist die praktische Verwaltung von Systemen, Diensten, Zugriffen und Verbindungen. --- **Warum Systemzugriff wichtig ist** Administratoren brauchen Zugriff auf Systeme, um sie zu verwalten. Gleichzeitig sind Adminzugänge besonders kritisch. Ein kompromittierter Adminzugang kann ermöglichen: Serverübernahme Datenzugriff Rechteänderungen Firewalländerungen Löschen von Backups Manipulation von Logs Installation von Malware Zugriff auf weitere Systeme Merksatz: Adminzugänge sind mächtig und müssen besonders geschützt werden. --- **Typische Verwaltungszugriffe** Typische Arten des Systemzugriffs: SSH RDP Weboberfläche Konsole VPN Remote-Support-Tool Managementnetz API Cloud-Portal Verzeichnisdienst Merksatz: Je mächtiger der Zugriff, desto stärker muss er abgesichert werden. --- **Lokaler Zugriff** Lokaler Zugriff bedeutet: Administrator arbeitet direkt am Gerät oder an einer lokalen Konsole. Beispiele: Serverkonsole Monitor und Tastatur am Gerät lokale Anmeldung am Notebook lokale Shell physische Konsole im Serverraum Vorteil: funktioniert oft auch, wenn Netzwerkdienste gestört sind Nachteil: physischer Zugang nötig Merksatz: Lokaler Zugriff ist direkter Zugriff am System. --- **Remotezugriff** Remotezugriff bedeutet: Ein System wird aus der Ferne administriert. Beispiele: SSH auf Linux-Server RDP auf Windows-Server Weboberfläche eines Routers VPN ins Firmennetz Cloud-Konsole Remote-Support-Sitzung Merksatz: Remotezugriff ermöglicht Verwaltung ohne direkten physischen Zugang. --- **Remotezugriff als Risiko** Remotezugänge sind attraktive Ziele für Angreifer. Risiken: Brute Force Passwortdiebstahl Phishing unsichere Ports ungepatchte Dienste fehlende MFA zu breite Firewall-Regeln veraltete Remote-Software öffentlich erreichbare Adminoberflächen Merksatz: Remotezugänge niemals unnötig offen ins Internet stellen. --- **Sichere Grundregeln für Remotezugriff** Wichtige Regeln: nur notwendige Remotezugänge erlauben MFA nutzen starke Authentifizierung verwenden Zugriff über VPN oder Bastion Host Adminports nicht breit öffentlich öffnen Quell-IP einschränken Logging aktivieren Benutzer eindeutig zuordnen keine Sammelkonten nutzen Rechte minimal vergeben Zugriffe regelmäßig prüfen Merksatz: Remotezugriff braucht Authentifizierung, Zugriffsbeschränkung Logging und Rechtebegrenzung. --- **SSH** SSH steht für: Secure Shell SSH wird vor allem genutzt, um Linux-, Unix- oder Netzwerkgeräte sicher aus der Ferne zu verwalten. SSH ermöglicht: verschlüsselte Kommandozeile sichere Anmeldung Dateiübertragung je nach Werkzeug Tunnelung Verwaltung von Servern Verwaltung von Netzwerkgeräten Merksatz: SSH ist ein verschlüsselter Fernzugriff auf die Kommandozeile. --- **SSH-Port** Der Standardport für SSH ist: TCP 22 Wichtig: Ein offener SSH-Port im Internet ist ein häufiges Angriffsziel. Schutzmaßnahmen: Zugriff per VPN Zugriff über Bastion Host Quell-IP begrenzen Schlüssel statt Passwort nutzen MFA je nach Umgebung Loginversuche begrenzen Logs überwachen Merksatz: SSH ist sicher verschlüsselt, aber der Zugang muss trotzdem geschützt werden. --- **SSH mit Passwort** SSH kann mit Benutzername und Passwort genutzt werden. Risiko: Passwörter können erraten, gestohlen oder wiederverwendet werden. Schutz: starke Passwörter MFA Rate Limiting Fail2ban oder vergleichbare Schutzmechanismen keine Standardkonten keine Root-Anmeldung direkt Merksatz: SSH-Passwortlogin ist möglich, aber stärker angreifbar als Schlüsselanmeldung. --- **SSH mit Schlüssel** Bei SSH-Schlüsseln wird ein Schlüsselpaar verwendet. Es besteht aus: privatem Schlüssel und öffentlichem Schlüssel Der öffentliche Schlüssel liegt auf dem Server. Der private Schlüssel bleibt beim Benutzer. Merksatz: SSH-Schlüssel bestehen aus privatem und öffentlichem Schlüssel. --- **Privater SSH-Schlüssel** Der private Schlüssel ist geheim. Er darf nicht: weitergegeben werden öffentlich gespeichert werden in Repositories liegen in Tickets kopiert werden in Chatnachrichten stehen unverschlüsselt auf fremden Geräten liegen Merksatz: Der private SSH-Schlüssel ist wie ein sehr starkes Passwort zu behandeln. --- **Öffentlicher SSH-Schlüssel** Der öffentliche Schlüssel darf auf Servern hinterlegt werden. Er ermöglicht, dass sich der passende private Schlüssel authentifizieren kann. Wichtig: öffentlicher Schlüssel ist nicht geheim, aber seine Zuordnung muss korrekt verwaltet werden. Merksatz: Öffentlicher Schlüssel auf Server, privater Schlüssel beim Benutzer. --- **SSH-Schlüssel und Passphrase** Ein privater SSH-Schlüssel sollte mit einer Passphrase geschützt werden. Vorteil: Wenn der Schlüssel gestohlen wird, kann er nicht sofort ohne Passphrase genutzt werden. Merksatz: SSH-Schlüssel zusätzlich mit Passphrase schützen. --- **Root-Login über SSH** Direkter Root-Login über SSH ist riskant. Besser: normaler Benutzer meldet sich an danach Rechteerhöhung mit sudo Vorteile: bessere Nachvollziehbarkeit weniger direkte Angriffsfläche Benutzeraktionen besser zuordenbar Merksatz: Direkten Root-Login vermeiden. --- **sudo** sudo erlaubt, einzelne Befehle mit erhöhten Rechten auszuführen. Vorteile: normale Anmeldung ohne dauerhafte Adminrechte gezielte Rechtevergabe bessere Protokollierung weniger Risiko als dauerhafte Root-Sitzung Merksatz: sudo ermöglicht kontrollierte Rechteerhöhung. --- **RDP** RDP steht für: Remote Desktop Protocol RDP wird häufig genutzt, um Windows-Systeme grafisch aus der Ferne zu verwalten. Der Standardport ist: TCP 3389 Merksatz: RDP ist grafischer Remotezugriff auf Windows-Systeme. --- **RDP als Risiko** RDP ist ein häufiges Angriffsziel, wenn es direkt aus dem Internet erreichbar ist. Risiken: Brute Force Credential Stuffing Exploits gegen ungepatchte Dienste Ransomware-Einstieg gestohlene Zugangsdaten fehlende MFA Merksatz: RDP sollte nicht direkt und breit aus dem Internet erreichbar sein. --- **RDP sicher nutzen** Schutzmaßnahmen: RDP nur über VPN RDP Gateway verwenden MFA nutzen Quell-IP einschränken starke Passwörter Account Lockout Network Level Authentication Updates einspielen Logs überwachen Adminrechte begrenzen Merksatz: RDP über VPN oder Gateway absichern. --- **Weboberflächen** Viele Systeme werden über Weboberflächen verwaltet. Beispiele: Router Firewalls Switches NAS Drucker Hypervisor Cloud-Portale Monitoring-Systeme Backup-Systeme Risiken: Standardpasswörter fehlende Updates unsichere TLS-Konfiguration öffentliche Erreichbarkeit schwache Rechteverwaltung fehlende MFA Merksatz: Admin-Weboberflächen gehören nicht ungeschützt ins Internet. --- **Weboberflächen sicher betreiben** Maßnahmen: nur intern oder über VPN erreichbar machen starke Passwörter MFA wenn möglich HTTPS nutzen Zertifikate prüfen Standardkonten deaktivieren Updates einspielen Zugriff protokollieren Rollen und Rechte begrenzen Merksatz: Webadministration braucht Zugriffsschutz, Verschlüsselung und Updates. --- **VPN für Administration** VPN ermöglicht, dass Administratoren sicher in ein internes Netz gelangen. Vorteile: Adminports müssen nicht direkt öffentlich sein Zugriff kann zentral gesteuert werden MFA kann vorgeschaltet werden interne Dienste bleiben privat Logs können zentral ausgewertet werden Merksatz: VPN schützt Adminzugänge, ersetzt aber keine Rechteverwaltung. --- **Bastion Host** Ein Bastion Host ist ein besonders geschützter Sprungserver. Ablauf: Administrator verbindet sich zum Bastion Host und von dort zum Zielsystem Vorteile: weniger direkte Adminzugänge zentrale Protokollierung Zugriff kontrollierbarer Zielsysteme bleiben privat Merksatz: Bastion Host bündelt und schützt Adminzugriffe. --- **Jump Server** Jump Server ist ein ähnlicher Begriff wie Bastion Host. Er dient als Zwischensystem, um interne Systeme zu administrieren. Wichtig: stark härten MFA nutzen Zugriff protokollieren Benutzer eindeutig zuordnen keine unnötigen Tools installieren regelmäßig patchen Merksatz: Jump Server ist ein kontrollierter Sprungpunkt für Administration. --- **Managementnetz** Ein Managementnetz ist ein eigenes Netz für administrative Zugriffe. Darin liegen zum Beispiel: Verwaltungsinterfaces Hypervisor-Management Switch-Management Firewall-Management Server-Management Backup-Management Storage-Management Ziel: Managementzugriffe vom normalen Benutzernetz trennen. Merksatz: Managementzugänge gehören in ein getrenntes Managementnetz. --- **Warum Managementnetz wichtig ist** Wenn Managementschnittstellen im normalen Clientnetz erreichbar sind, können kompromittierte Clients leichter Adminsysteme angreifen. Ein getrenntes Managementnetz reduziert: Angriffsfläche laterale Bewegung unkontrollierte Zugriffe Risiko durch Malware versehentliche Änderungen Merksatz: Managementnetz schützt besonders kritische Verwaltungszugänge. --- **Out-of-Band-Management** Out-of-Band-Management bedeutet: Verwaltung erfolgt über einen getrennten Verwaltungsweg, unabhängig vom normalen Produktionsnetz. Beispiele: iLO iDRAC IPMI serielle Konsole separates Managementinterface Vorteil: Zugriff auch bei Störung des normalen Systems möglich Risiko: sehr mächtiger Zugriff, deshalb besonders schützen Merksatz: Out-of-Band-Management ist mächtig und muss streng abgesichert werden. --- **Benutzerkonten** Benutzerkonten sind Grundlage für Zugriff. Wichtige Regeln: persönliches Konto pro Benutzer keine Sammelkonten starke Passwörter MFA bei kritischen Zugängen Rollen und Gruppen nutzen Rechte regelmäßig prüfen Konten bei Austritt deaktivieren Admin- und Benutzerkonto trennen Merksatz: Zugriffe müssen eindeutig Personen zugeordnet werden können. --- **Sammelkonten** Sammelkonten sind Konten, die mehrere Personen gemeinsam nutzen. Problem: keine eindeutige Nachvollziehbarkeit Passwortweitergabe schwieriges Offboarding schlechte Protokollierung höheres Missbrauchsrisiko Merksatz: Sammelkonten vermeiden, besonders bei Administrationszugängen. --- **Admin- und Benutzerkonto trennen** Administratoren sollten nicht ständig mit Adminrechten arbeiten. Besser: normales Benutzerkonto für Alltag separates Adminkonto für Administration Vorteile: weniger Schaden durch Phishing weniger Malware-Risiko bessere Kontrolle klarere Protokollierung Merksatz: Adminrechte nur verwenden, wenn sie wirklich benötigt werden. --- **Least Privilege in der Administration** Least Privilege bedeutet: nur notwendige Rechte vergeben. Beispiele: Helpdesk darf Passwörter zurücksetzen, aber keine Server löschen. Datenbankadmin darf Datenbank verwalten, aber keine Firewall ändern. Netzwerkadmin darf Switches verwalten, aber keine Personalakten lesen. Merksatz: Adminrechte nach Aufgabe trennen. --- **Rollenbasierte Rechtevergabe** Rollenbasierte Rechtevergabe bedeutet: Rechte werden über Rollen oder Gruppen vergeben. Beispiele: Helpdesk Serveradministration Netzwerkadministration Datenbankadministration Backup-Operator Sicherheitsadministrator Leser Vorteile: übersichtlicher leichter zu prüfen einfacher beim Onboarding und Offboarding Merksatz: Rollen vereinfachen Berechtigungsverwaltung. --- **Privileged Access Management** Privileged Access Management wird oft abgekürzt: PAM PAM kontrolliert besonders mächtige Zugriffe. Funktionen können sein: zeitlich begrenzte Adminrechte Genehmigungspflicht MFA Sitzungsaufzeichnung Passworttresor Protokollierung Notfallzugriff Merksatz: PAM schützt besonders kritische Adminrechte. --- **Just-in-Time-Administration** Just-in-Time-Administration bedeutet: Adminrechte werden nur für einen begrenzten Zeitraum aktiviert. Beispiel: Admin erhält für 1 Stunde Rechte zur Wartung. Danach werden Rechte automatisch entzogen. Merksatz: Just-in-Time reduziert dauerhafte Adminrechte. --- **Protokollierung von Adminzugriffen** Adminaktionen sollten protokolliert werden. Wichtige Informationen: Benutzer Zeitpunkt Quellsystem Zielsystem ausgeführte Aktion Erfolg oder Fehler geänderte Konfiguration verwendetes Konto Merksatz: Adminzugriffe müssen nachvollziehbar sein. --- **Audit-Logs** Audit-Logs dokumentieren sicherheitsrelevante Aktionen. Beispiele: Benutzer angelegt Rolle geändert Firewall-Regel geändert Dienst gestoppt Backup gelöscht Schlüssel erstellt Adminrechte vergeben Systemkonfiguration verändert Merksatz: Audit-Logs zeigen, wer was wann geändert hat. --- **Logschutz** Logs müssen geschützt werden, weil Angreifer sie manipulieren oder löschen könnten. Maßnahmen: zentrale Logsammlung eingeschränkte Schreibrechte getrennte Speicherung unveränderliche Logs je nach Bedarf Zeitstempel Zugriffskontrolle regelmäßige Prüfung Merksatz: Logs sind nur wertvoll, wenn sie vollständig und vertrauenswürdig sind. --- **Zeitserver und Logs** Für Logauswertung müssen Systeme die gleiche Zeitbasis haben. Dafür wird NTP genutzt. Wenn Zeiten stark abweichen, wird die Analyse schwieriger. Beispiel: Firewall-Log, Server-Log und Authentifizierungslog passen zeitlich nicht zusammen. Merksatz: Saubere Zeit synchronisation ist wichtig für Loganalyse. --- **Dokumentation in der Administration** Dokumentiert werden sollten: Systeme IP-Adressen Hostnamen Zuständigkeiten Zugangskonzepte Rollen Firewall-Regeln Dienste Abhängigkeiten Backup-Regeln Wartungsfenster Änderungen Notfallzugriffe Merksatz: Gute Dokumentation macht Administration nachvollziehbar und wartbar. --- **Change Management** Change Management bedeutet: Änderungen werden geplant, geprüft, freigegeben, umgesetzt und dokumentiert. Beispiele: Firewall-Regel ändern Benutzerrechte erweitern Serverdienst aktualisieren VPN-Gruppe anlegen Zertifikat erneuern Backup-Plan ändern Switch-Konfiguration anpassen Merksatz: Änderungen brauchen Kontrolle und Dokumentation. --- **Vier-Augen-Prinzip** Vier-Augen-Prinzip bedeutet: kritische Aktionen werden von mindestens zwei Personen geprüft oder freigegeben. Beispiele: Adminrechte vergeben Backup löschen Firewall ins Internet öffnen Produktivsystem ändern Daten exportieren Notfallzugang aktivieren Merksatz: Vier-Augen-Prinzip reduziert Fehler und Missbrauch. --- **Offboarding** Offboarding bedeutet: Zugriffe werden entfernt, wenn eine Person das Unternehmen verlässt oder eine Rolle wechselt. Zu prüfen: Benutzerkonto Gruppenmitgliedschaften VPN-Zugang SSH-Schlüssel Cloud-Zugänge lokale Adminrechte API-Schlüssel geteilte Freigaben Geräte E-Mail-Weiterleitungen Merksatz: Nicht entfernte Zugänge sind ein Sicherheitsrisiko. --- **Onboarding** Onboarding bedeutet: neue Benutzer erhalten benötigte Zugänge. Wichtig: nach Rolle vergeben nur notwendige Rechte dokumentieren MFA einrichten Schulung durchführen Verantwortlichkeiten klären Merksatz: Onboarding sollte geordnet über Rollen und Prozesse laufen. --- **Break-Glass-Konto** Ein Break-Glass-Konto ist ein Notfallkonto. Es wird genutzt, wenn normale Adminwege nicht funktionieren. Beispiele: Identitätsdienst gestört MFA-System ausgefallen zentrale Anmeldung nicht möglich Administratoren ausgesperrt Wichtig: stark schützen selten nutzen Nutzung protokollieren regelmäßig prüfen Zugriff begrenzen Notfallprozess dokumentieren Merksatz: Break-Glass-Konto ist Notfallzugang, kein Alltagskonto. --- **Sichere Administrationsregeln** Wichtige Regeln: keine Adminarbeit mit Alltagskonto keine Sammelkonten MFA für Adminzugänge Remotezugriff nur kontrolliert Adminports nicht offen ins Internet Zugriffe protokollieren Rechte regelmäßig prüfen Änderungen dokumentieren Notfallzugänge absichern Offboarding ernst nehmen Merksatz: Administration braucht technische und organisatorische Kontrolle. --- **Typische Praxisfehler** Häufige Fehler: RDP offen im Internet SSH mit Passwort und schwachem Passwort Standardpasswort auf Weboberfläche gleiche Adminzugänge für mehrere Personen keine MFA alte Benutzerkonten aktiv Adminrechte dauerhaft vergeben keine Logs keine Dokumentation Managementinterfaces im Clientnetz Backups ohne Zugriffsschutz Notfallkonto ungeprüft Merksatz: Viele Sicherheitsprobleme entstehen durch bequeme, aber unsichere Administration. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist Remotezugriff? - Was ist SSH? - Wofür wird SSH genutzt? - Was ist der Standardport von SSH? - Warum ist SSH mit Schlüsseln sicherer als nur Passwort? - Was ist RDP? - Was ist der Standardport von RDP? - Warum sollte RDP nicht offen im Internet stehen? - Was ist ein Bastion Host? - Was ist ein Jump Server? - Was ist ein Managementnetz? - Was bedeutet Out-of-Band-Management? - Warum sollten Admin- und Benutzerkonto getrennt werden? - Warum sind Sammelkonten problematisch? - Was bedeutet Least Privilege? - Was ist PAM? - Was bedeutet Just-in-Time-Administration? - Warum sind Audit-Logs wichtig? - Warum ist NTP für Logs wichtig? - Was ist ein Break-Glass-Konto? - Was ist Offboarding? --- **Typische Prüfungsfallen** Remotezugriff ist praktisch, aber sicherheitskritisch. SSH ist verschlüsselt, aber trotzdem angreifbar, wenn Zugang schlecht geschützt ist. SSH-Standardport ist TCP 22. RDP-Standardport ist TCP 3389. RDP nicht breit öffentlich freigeben. Admin-Weboberflächen nicht öffentlich bereitstellen. VPN schützt Transport, ersetzt aber keine Rechteverwaltung. Bastion Host ist ein Sprungserver. Managementnetz vom Clientnetz trennen. Out-of-Band-Management besonders schützen. Sammelkonten vermeiden. Admin- und Alltagskonto trennen. Least Privilege gilt auch für Administratoren. PAM schützt privilegierte Zugriffe. Just-in-Time reduziert dauerhafte Adminrechte. Audit-Logs müssen vor dem Vorfall aktiv sein. Logs brauchen korrekte Zeitbasis. NTP hilft bei zeitlich korrekter Loganalyse. Offboarding muss alle Zugänge entfernen. Break-Glass-Konto ist Notfallzugang, kein normales Admin-Konto. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | Netzwerkadministration | Verwaltung von Netzwerken und Systemen | | Systemzugriff | Zugriff auf IT-Systeme zur Nutzung oder Verwaltung | | lokaler Zugriff | direkter Zugriff am Gerät | | Remotezugriff | Zugriff aus der Ferne | | SSH | verschlüsselter Kommandozeilenzugriff | | privater Schlüssel | geheimer Teil eines SSH-Schlüsselpaares | | öffentlicher Schlüssel | Teil des Schlüsselpaares auf dem Server | | sudo | kontrollierte Rechteerhöhung | | RDP | grafischer Remotezugriff auf Windows-Systeme | | Weboberfläche | Verwaltung über Browser | | VPN | verschlüsselter Zugang zu internem Netz | | Bastion Host | besonders geschützter Sprungserver | | Jump Server | Zwischensystem für Administration | | Managementnetz | getrenntes Netz für Verwaltung | | Out-of-Band-Management | Verwaltung über getrennten Verwaltungsweg | | Benutzerkonto | persönliche Identität im System | | Sammelkonto | gemeinsam genutztes Konto | | Adminkonto | Konto mit erhöhten Rechten | | Least Privilege | minimale notwendige Rechte | | Rollenmodell | Rechtevergabe über Rollen | | PAM | Privileged Access Management | | Just-in-Time | zeitlich begrenzte Rechte | | Audit-Log | Protokoll sicherheitsrelevanter Aktionen | | Logschutz | Schutz vor Manipulation oder Verlust von Logs | | NTP | Zeitsynchronisation | | Dokumentation | nachvollziehbare Beschreibung von Systemen und Änderungen | | Change Management | kontrollierter Änderungsprozess | | Vier-Augen-Prinzip | Prüfung durch mindestens zwei Personen | | Offboarding | Entfernen nicht mehr benötigter Zugänge | | Onboarding | geordnete Vergabe neuer Zugänge | | Break-Glass-Konto | Notfallkonto | --- **IHK-sichere Kurzformulierung** Netzwerkadministration umfasst die praktische Verwaltung von Systemen, Diensten, Netzwerken und Zugängen. Remotezugriffe wie SSH, RDP, Weboberflächen, VPN, Bastion Hosts oder Managementnetze ermöglichen Administration aus der Ferne, sind aber sicherheitskritisch. SSH dient dem verschlüsselten Kommandozeilenzugriff, RDP dem grafischen Fernzugriff auf Windows-Systeme. Adminzugänge sollten nicht direkt und breit aus dem Internet erreichbar sein, sondern durch VPN, Bastion Host, MFA, Quell-IP-Beschränkung, Logging und Least Privilege abgesichert werden. Persönliche Benutzerkonten, getrennte Admin- und Alltagskonten, Audit-Logs, Change Management, Offboarding und geschützte Notfallkonten sind wichtige Grundlagen sicherer Administration. --- **Merksätze** Netzwerkadministration verwaltet Systeme, Dienste, Zugriffe und Verbindungen. Adminzugänge sind besonders kritisch. Remotezugriff braucht starke Absicherung. SSH = verschlüsselter Kommandozeilenzugriff. SSH nutzt standardmäßig TCP 22. Privater SSH-Schlüssel bleibt geheim. Öffentlicher SSH-Schlüssel liegt auf dem Server. SSH-Schlüssel mit Passphrase schützen. Direkten Root-Login vermeiden. sudo kontrolliert Rechteerhöhung. RDP = grafischer Windows-Remotezugriff. RDP nutzt standardmäßig TCP 3389. RDP nicht breit ins Internet öffnen. Admin-Weboberflächen intern oder über VPN bereitstellen. VPN schützt Zugang, ersetzt aber keine Rechteverwaltung. Bastion Host ist ein geschützter Sprungserver. Jump Server ist ein Zwischensystem für Administration. Managementnetz vom normalen Clientnetz trennen. Out-of-Band-Management besonders schützen. Persönliche Konten statt Sammelkonten. Admin- und Alltagskonto trennen. Least Privilege gilt auch für Admins. Rollen vereinfachen Rechtevergabe. PAM schützt privilegierte Zugriffe. Just-in-Time reduziert dauerhafte Adminrechte. Adminaktionen protokollieren. Audit-Logs zeigen sicherheitsrelevante Änderungen. Logs vor Manipulation schützen. NTP ist wichtig für Loganalyse. Dokumentation ist Teil sicherer Administration. Änderungen kontrolliert durchführen. Vier-Augen-Prinzip bei kritischen Aktionen nutzen. Offboarding entfernt alte Zugänge. Break-Glass-Konto ist nur für Notfälle. Sichere Administration braucht Technik, Prozesse und Nachvollziehbarkeit. # 17.2 SSH, RDP und sichere Fernadministration im Detail Fernadministration bedeutet, dass Systeme aus der Ferne verwaltet werden. Dafür werden Protokolle, Zugriffswege, Benutzerkonten, Berechtigungen und Sicherheitsmaßnahmen kombiniert. Typische Fernadministration: - Linux-Server per SSH verwalten - Windows-Server per RDP verwalten - Firewall über Weboberfläche konfigurieren - Switch per SSH administrieren - NAS oder Router über Managementoberfläche verwalten - Cloud-Systeme über Portal oder API steuern - Zugriff über VPN oder Bastion Host absichern Merksatz: Fernadministration ist praktisch, aber sicherheitskritisch. --- **Warum Fernadministration abgesichert werden muss** Remotezugänge sind besonders interessant für Angreifer, weil sie direkten Zugriff auf Systeme ermöglichen können. Risiken: Passwortangriffe Brute Force Credential Stuffing Phishing gestohlene SSH-Schlüssel offene RDP-Ports veraltete Remote-Dienste fehlende MFA schwache Firewall-Regeln kompromittierte Admin-Konten Merksatz: Ein unsicherer Fernzugriff kann zum Einstiegspunkt für einen kompletten Angriff werden. --- **Grundregel für Fernadministration** Adminzugänge sollten nicht unnötig direkt aus dem Internet erreichbar sein. Besser: Zugriff über VPN oder Zugriff über Bastion Host oder Zugriff nur von festen Quell-IP-Adressen oder Zugriff über ein getrenntes Managementnetz Merksatz: Adminzugänge nicht breit öffentlich bereitstellen. --- **SSH** SSH steht für: Secure Shell SSH ist ein verschlüsseltes Protokoll für entfernten Zugriff auf eine Kommandozeile. SSH wird häufig genutzt für: Linux-Server Unix-Systeme Netzwerkgeräte Firewalls Switches Router NAS-Systeme Git-Zugriffe Dateiübertragung mit SFTP oder SCP Standardport: TCP 22 Merksatz: SSH ist sicherer Fernzugriff auf die Kommandozeile. --- **Was SSH schützt** SSH schützt die Verbindung durch Verschlüsselung. Dadurch werden geschützt: Zugangsdaten bei der Übertragung Befehle Ausgaben Dateiübertragungen Sitzungsdaten Wichtig: SSH verschlüsselt die Verbindung, aber schützt nicht automatisch vor schwachen Passwörtern, gestohlenen Schlüsseln oder falsch vergebenen Rechten. Merksatz: SSH schützt den Transport, aber nicht jede Fehlkonfiguration. --- **SSH-Authentifizierung** SSH kann verschiedene Anmeldearten nutzen. Typisch sind: Passwortauthentifizierung oder Schlüsselbasierte Authentifizierung Zusätzlich möglich: MFA Zertifikatsbasierte SSH-Anmeldung zentrale Benutzerverwaltung Zugriff über Bastion Host Merksatz: SSH braucht starke Authentifizierung, nicht nur Verschlüsselung. --- **SSH mit Passwort** Bei SSH mit Passwort meldet sich ein Benutzer mit Benutzername und Passwort an. Vorteil: einfach einzurichten Nachteile: anfällig gegen Brute Force anfällig gegen gestohlene Passwörter Risiko durch Passwortwiederverwendung schwierig bei vielen Servern sicher zu verwalten Merksatz: SSH-Passwortlogin ist einfach, aber sicherheitlich schwächer als Schlüsselanmeldung. --- **SSH mit Schlüsselpaar** Bei SSH mit Schlüsselpaar gibt es zwei Schlüssel: privater Schlüssel und öffentlicher Schlüssel Der öffentliche Schlüssel liegt auf dem Server. Der private Schlüssel bleibt beim Administrator. Nur wer den passenden privaten Schlüssel besitzt, kann sich authentifizieren. Merksatz: Öffentlicher Schlüssel auf den Server, privater Schlüssel bleibt geheim beim Benutzer. --- **Privater Schlüssel** Der private SSH-Schlüssel ist geheim. Er darf nicht: weitergegeben werden in Git-Repositories liegen in Tickets kopiert werden in Chatnachrichten stehen unverschlüsselt auf fremden Systemen liegen auf gemeinsam genutzten Netzlaufwerken liegen Merksatz: Der private SSH-Schlüssel ist wie ein besonders kritisches Passwort. --- **Öffentlicher Schlüssel** Der öffentliche SSH-Schlüssel ist nicht geheim. Er wird auf Systemen hinterlegt, auf die der Benutzer zugreifen darf. Trotzdem muss er verwaltet werden. Wichtig: alte Schlüssel entfernen Schlüssel Personen zuordnen Schlüssel bei Austritt löschen keine unbekannten Schlüssel erlauben Berechtigungen regelmäßig prüfen Merksatz: Öffentliche Schlüssel sind nicht geheim, aber ihre Zuordnung ist sicherheitsrelevant. --- **Passphrase für SSH-Schlüssel** Ein privater SSH-Schlüssel sollte mit einer Passphrase geschützt werden. Vorteil: Wenn der Schlüssel gestohlen wird, kann er nicht sofort genutzt werden. Nachteil: Benutzer muss Passphrase eingeben oder sicher mit einem Agent arbeiten. Merksatz: Passphrase schützt den privaten Schlüssel zusätzlich. --- **SSH-Agent** Ein SSH-Agent kann private Schlüssel nach Eingabe der Passphrase temporär bereithalten. Vorteil: Benutzer muss Passphrase nicht bei jeder Verbindung neu eingeben. Risiko: ein kompromittiertes System kann unter Umständen den Agent missbrauchen. Merksatz: SSH-Agent ist praktisch, muss aber bewusst genutzt werden. --- **SSH-Agent-Forwarding** SSH-Agent-Forwarding leitet die Authentifizierung über ein Zwischensystem weiter. Beispiel: Administrator → Bastion Host → Zielserver Risiko: Wenn der Bastion Host kompromittiert ist, kann Agent-Forwarding missbraucht werden. Besser je nach Umgebung: ProxyJump kurzlebige Zertifikate Bastion-Lösung mit Protokollierung gezielte Schlüsselverwaltung Merksatz: Agent-Forwarding nur nutzen, wenn Risiko und Bedarf klar sind. --- **SSH über Bastion Host** Ein Bastion Host ist ein geschützter Sprungserver. Vorteile: Zielserver müssen nicht öffentlich erreichbar sein. Zugriff kann zentral protokolliert werden. Firewall-Regeln werden einfacher. Adminzugriffe laufen kontrollierter. Beispielprinzip: Administrator verbindet sich zuerst zum Bastion Host. Danach erfolgt der Zugriff auf interne Server. Merksatz: Bastion Host schützt interne Systeme vor direktem Adminzugriff aus dem Internet. --- **SSH ProxyJump** ProxyJump ist eine SSH-Funktion, um über einen Zwischensystem zu einem Zielserver zu gelangen. Prinzip: lokaler Rechner → Bastion Host → Zielserver Vorteil: Zielserver muss nur vom Bastion Host erreichbar sein. Merksatz: ProxyJump ermöglicht SSH-Zugriff über einen Sprungserver. --- **Root-Login per SSH** Direkter Root-Login über SSH ist riskant. Nachteile: Angreifer kennt den Benutzernamen root. Aktionen sind schwerer einzelnen Personen zuzuordnen. Root hat sofort volle Rechte. Brute-Force-Ziel ist eindeutig. Besser: Anmeldung mit persönlichem Benutzerkonto danach Rechteerhöhung mit sudo Merksatz: Direkten Root-Login vermeiden, persönliche Konten und sudo nutzen. --- **sudo bei Fernadministration** sudo erlaubt, einzelne Befehle mit erhöhten Rechten auszuführen. Vorteile: Adminrechte nur bei Bedarf bessere Nachvollziehbarkeit weniger Risiko durch Alltagssitzungen gezieltere Rechtevergabe Protokollierung möglich Merksatz: sudo trennt normale Anmeldung und administrative Rechte. --- **SSH sicher konfigurieren** Wichtige Maßnahmen: Passwortlogin deaktivieren, wenn Schlüsselbetrieb sauber eingerichtet ist direkte Root-Anmeldung deaktivieren nur benötigte Benutzer erlauben SSH-Zugriff per Firewall begrenzen MFA prüfen starke Schlüssel verwenden alte Schlüssel entfernen Loginversuche überwachen Systeme aktuell halten Logs auswerten Merksatz: SSH-Sicherheit entsteht durch Schlüssel, Rechte, Regeln und Überwachung. --- **SSH-Logs** SSH-Logs zeigen Anmeldeversuche und Fehler. Typische Hinweise: erfolgreiche Anmeldung fehlgeschlagene Anmeldung ungültiger Benutzer falscher Schlüssel falsches Passwort viele Versuche von einer IP Verbindungsabbrüche Merksatz: SSH-Logs helfen, Angriffe und Fehlkonfigurationen zu erkennen. --- **Typische SSH-Fehlerbilder** Häufige Ursachen: falscher Benutzername falscher Hostname falsche IP-Adresse Firewall blockiert TCP 22 SSH-Dienst läuft nicht Schlüssel nicht hinterlegt falsche Dateirechte beim Schlüssel privater Schlüssel passt nicht Root-Login deaktiviert Passwortlogin deaktiviert Server-Key hat sich geändert Merksatz: SSH-Fehler können an Netzwerk, Dienst, Benutzer, Schlüssel oder Berechtigung liegen. --- **Host Key bei SSH** Ein SSH-Server besitzt einen Host Key. Dieser dient dazu, den Server wiederzuerkennen. Beim ersten Verbinden wird der Host Key gespeichert. Wenn sich der Host Key später unerwartet ändert, erscheint eine Warnung. Mögliche Ursachen: Server wurde neu installiert Host Key wurde erneuert falscher Server wird erreicht Man-in-the-Middle-Angriff möglich Merksatz: SSH-Host-Key-Warnungen nicht blind ignorieren. --- **RDP** RDP steht für: Remote Desktop Protocol RDP ermöglicht grafischen Fernzugriff auf Windows-Systeme. Standardport: TCP 3389 Typische Nutzung: Windows-Server administrieren Remote-Desktop-Sitzung Zugriff auf grafische Anwendungen Fernwartung interner Systeme Merksatz: RDP ist grafischer Fernzugriff auf Windows-Systeme. --- **RDP-Risiken** RDP ist ein häufiges Angriffsziel. Risiken: Brute Force Credential Stuffing Exploits gegen ungepatchte Systeme Ransomware-Einstieg Passwortdiebstahl fehlende MFA unsichere Freigabe ins Internet schwache Kontosperrregeln Merksatz: RDP offen im Internet ist ein hohes Risiko. --- **RDP sicher betreiben** Schutzmaßnahmen: RDP nur über VPN RDP Gateway nutzen MFA nutzen Network Level Authentication aktivieren Quell-IP einschränken starke Passwörter Account Lockout Updates einspielen Adminrechte begrenzen Logs überwachen Merksatz: RDP gehört hinter VPN, Gateway oder andere Zugriffsschutzmaßnahmen. --- **Network Level Authentication** Network Level Authentication wird abgekürzt: NLA NLA verlangt Authentifizierung, bevor eine vollständige RDP-Sitzung aufgebaut wird. Vorteile: reduziert Angriffsfläche spart Serverressourcen erschwert bestimmte Angriffe Anmeldung erfolgt früher im Verbindungsaufbau Merksatz: NLA schützt RDP, bevor die vollständige Sitzung entsteht. --- **RDP Gateway** Ein RDP Gateway bündelt RDP-Zugriffe. Statt viele Systeme direkt per RDP erreichbar zu machen, verbinden sich Benutzer zum Gateway. Vorteile: zentraler Zugriffspunkt bessere Protokollierung MFA möglich interne Systeme bleiben privater Regeln zentral steuerbar Merksatz: RDP Gateway reduziert direkte RDP-Erreichbarkeit interner Systeme. --- **RDP und VPN** RDP sollte häufig nur nach VPN-Verbindung erreichbar sein. Vorteile: RDP-Port nicht öffentlich Benutzer vorher authentifiziert Zugriff kann auf interne Netze begrenzt werden MFA kann am VPN greifen Firewall-Regeln einfacher Wichtig: VPN ersetzt keine RDP-Sicherheit. Benutzerrechte und Logs bleiben wichtig. Merksatz: VPN schützt den Zugang, aber nicht automatisch das Zielsystem. --- **RDP-Logs** RDP-Zugriffe sollten protokolliert werden. Zu prüfen: erfolgreiche Anmeldungen fehlgeschlagene Anmeldungen ungewöhnliche Uhrzeiten unbekannte Quelladressen viele Fehlversuche neue Benutzer Admin-Anmeldungen Sitzungsabbrüche Merksatz: RDP-Logs sind wichtig für Angriffserkennung und Nachvollziehbarkeit. --- **Webbasierte Administrationsoberflächen** Viele Systeme haben Weboberflächen. Beispiele: Firewall Router Switch NAS Drucker Hypervisor Backup-System Monitoring-System Cloud-Dienst Container-Plattform Merksatz: Weboberflächen sind bequem, aber oft sehr mächtig. --- **Risiken von Admin-Weboberflächen** Typische Risiken: öffentlich erreichbar Standardpasswort aktiv fehlende MFA veraltete Firmware unsicheres TLS schwache Rollenverwaltung XSS oder CSRF unsichere Sessionverwaltung fehlende Logs Merksatz: Admin-Weboberflächen nicht ungeschützt bereitstellen. --- **Admin-Weboberflächen absichern** Maßnahmen: nur intern erreichbar machen Zugriff über VPN Quell-IP beschränken MFA aktivieren HTTPS nutzen gültige Zertifikate einsetzen Standardkonten deaktivieren starke Passwörter Updates einspielen Rollen begrenzen Logs aktivieren Merksatz: Admin-Weboberflächen brauchen Zugriffsschutz, Verschlüsselung, Updates und Logging. --- **VPN als Zugriffsschutz** VPN kann Fernzugriff absichern, indem interne Dienste nicht direkt öffentlich erreichbar sind. Vorteile: zentrale Authentifizierung MFA möglich verschlüsselter Tunnel interne Adressen bleiben privat Zugriff über Gruppen steuerbar Logs zentral auswertbar Merksatz: VPN ist ein sicherer Zugangspfad, aber kein Ersatz für Berechtigungen. --- **Bastion Host und Jump Server** Bastion Host oder Jump Server dienen als kontrollierter Sprungpunkt. Typische Eigenschaften: besonders gehärtet stark überwacht nur für Administration gedacht MFA geschützt protokolliert Zugriffe hat eingeschränkten Zugriff auf Zielsysteme Merksatz: Bastion Host und Jump Server bündeln administrative Zugriffe. --- **Managementnetz** Ein Managementnetz trennt administrative Zugriffe vom normalen Benutzernetz. Darin liegen: Switch-Management Firewall-Management Server-Management Hypervisor-Management Storage-Management Backup-Management Out-of-Band-Management Merksatz: Managementschnittstellen gehören nicht ins normale Clientnetz. --- **Out-of-Band-Management** Out-of-Band-Management nutzt einen getrennten Verwaltungsweg. Beispiele: iLO iDRAC IPMI serielle Konsole separates Managementinterface Vorteil: Zugriff auch bei Störungen des normalen Systems möglich Risiko: extrem mächtiger Zugriff Merksatz: Out-of-Band-Management besonders stark schützen. --- **API-Zugriff für Administration** Viele moderne Systeme werden über APIs verwaltet. Beispiele: Cloud-APIs Firewall-APIs Monitoring-APIs Backup-APIs Container-APIs Automatisierungsschnittstellen Risiken: API-Schlüssel gestohlen Token zu viele Rechte fehlendes Rate Limiting unsichere Speicherung keine Protokollierung Schlüssel nicht rotiert Merksatz: API-Zugänge sind Adminzugänge und müssen genauso geschützt werden. --- **API-Schlüssel und Tokens** API-Schlüssel und Tokens erlauben Zugriff auf Systeme. Sie dürfen nicht: im Quellcode stehen in öffentlichen Repositories liegen in Tickets kopiert werden in Chatverläufen stehen unverschlüsselt gespeichert werden dauerhaft ohne Prüfung aktiv bleiben Merksatz: API-Schlüssel wie Passwörter behandeln. --- **Sichere Speicherung von Zugangsdaten** Zugangsdaten sollten sicher verwaltet werden. Geeignete Mittel: Passwortmanager Secret Manager PAM-System verschlüsselte Tresore zentrale Identitätsverwaltung Zugriff nach Rollen regelmäßige Prüfung Ungeeignet: Textdateien Excel-Listen ohne Schutz Screenshots Chatnachrichten Notizzettel Quellcode gemeinsam genutzte Klartextdokumente Merksatz: Zugangsdaten gehören in sichere Verwaltung, nicht in Klartextablagen. --- **Least Privilege bei Fernadministration** Fernzugriffe sollten nur die Rechte erhalten, die für die Aufgabe nötig sind. Beispiele: Support darf Dienste neu starten, aber keine Firewall löschen. Backup-Operator darf Sicherungen prüfen, aber keine Benutzer anlegen. Netzwerkadmin darf Switches verwalten, aber keine Personaldaten lesen. Merksatz: Remotezugriff immer nach Aufgabe und Rolle begrenzen. --- **Zeitlich begrenzte Zugriffe** Administrative Zugriffe sollten möglichst nicht dauerhaft bestehen. Möglichkeiten: Just-in-Time-Rechte temporäre VPN-Gruppen befristete Dienstleisterzugänge zeitlich begrenzte Adminrollen Ablaufdatum für Konten automatische Deaktivierung Merksatz: Dauerhafte Adminrechte erhöhen das Risiko. --- **Dienstleisterzugänge** Externe Dienstleisterzugänge sind besonders kritisch. Zu beachten: klare Freigabe begrenzte Rechte zeitliche Befristung MFA Protokollierung keine Sammelkonten Zugriff nur auf benötigte Systeme Abschaltung nach Auftrag vertragliche Regelungen Merksatz: Dienstleisterzugänge müssen begrenzt, überwacht und wieder entfernt werden. --- **MFA für Fernadministration** MFA sollte besonders für Remotezugriffe genutzt werden. Wichtig für: VPN Cloud-Portal RDP Gateway Admin-Weboberflächen PAM Bastion Host Identitätsdienst kritische APIs Merksatz: Fernadministration ohne MFA ist ein erhöhtes Risiko. --- **Logging bei Fernadministration** Protokolliert werden sollten: wer sich angemeldet hat wann Zugriff erfolgte von welcher Quelle auf welches Ziel welche Aktion ausgeführt wurde ob Zugriff erfolgreich war ob Fehler auftraten welche Rechte genutzt wurden Merksatz: Fernadministration muss nachvollziehbar sein. --- **Session Recording** Session Recording bedeutet: administrative Sitzungen werden aufgezeichnet. Möglich bei: Bastion Hosts PAM-Systemen RDP Gateways SSH-Proxies Remote-Support-Systemen Nutzen: Nachvollziehbarkeit forensische Analyse Schulung Missbrauchserkennung Merksatz: Session Recording erhöht Nachvollziehbarkeit bei kritischen Zugriffen. --- **Timeouts und automatische Trennung** Remote-Sitzungen sollten bei Inaktivität getrennt werden. Vorteile: weniger Risiko bei vergessenen Sitzungen geringere Angriffsfläche weniger Missbrauch offener Sessions Beispiele: SSH-Timeout RDP-Session-Timeout VPN-Timeout Websession-Timeout Adminportal-Timeout Merksatz: Offene Admin-Sitzungen nicht unbegrenzt laufen lassen. --- **Sperren nach Fehlversuchen** Viele fehlgeschlagene Loginversuche können auf Angriffe hinweisen. Schutz: Account Lockout Rate Limiting IP-Blockierung Fail2ban oder vergleichbare Mechanismen MFA Alarmierung Wichtig: Sperrregeln sinnvoll einstellen, damit kein einfacher Denial-of-Service gegen Benutzerkonten entsteht. Merksatz: Fehlversuche begrenzen, aber Sperrlogik kontrolliert planen. --- **Fail2ban als Prinzip** Fail2ban ist ein Beispiel für einen Schutzmechanismus, der Logs auswertet und bei vielen Fehlversuchen Quellen blockieren kann. Prinzip: Log prüfen Muster erkennen IP-Adresse temporär sperren Merksatz: Logbasierte Sperren können Brute-Force-Angriffe bremsen. --- **Fernadministration und Change Management** Fernadministration sollte nicht bedeuten, dass Änderungen unkontrolliert erfolgen. Auch remote gilt: Änderung planen Risiko bewerten Wartungsfenster prüfen Backup oder Snapshot prüfen Rollback vorbereiten Änderung dokumentieren Funktion testen Logs kontrollieren Merksatz: Remoteänderungen brauchen denselben Prozess wie lokale Änderungen. --- **Fernadministration und Notfallzugriff** Für Notfälle braucht es definierte Zugriffswege. Beispiele: Break-Glass-Konto Out-of-Band-Zugang Ersatz-VPN lokale Konsole Notfallpasswort im Tresor dokumentierte Wiederherstellung Wichtig: Notfallzugang stark schützen Nutzung protokollieren regelmäßig testen nicht im Alltag verwenden Merksatz: Notfallzugriff vorbereiten, aber streng kontrollieren. --- **Typische Fehler bei Fernadministration** Häufige Fehler: RDP direkt im Internet offen SSH mit schwachem Passwort Root-Login erlaubt private Schlüssel ungeschützt alte SSH-Schlüssel nicht entfernt Admin-Weboberfläche öffentlich keine MFA keine Logs Sammelkonten Adminrechte dauerhaft vergeben Dienstleisterzugang nicht deaktiviert Managementnetz fehlt API-Schlüssel im Code Merksatz: Viele Remoteprobleme entstehen durch Bequemlichkeit und fehlende Kontrolle. --- **Checkliste: sichere Fernadministration** Remotezugänge erfassen. Öffentliche Erreichbarkeit prüfen. Nur notwendige Ports freigeben. VPN oder Bastion Host nutzen. MFA aktivieren. Persönliche Konten verwenden. Sammelkonten vermeiden. Admin- und Benutzerkonto trennen. Least Privilege umsetzen. SSH-Schlüssel verwalten. Root-Login vermeiden. RDP nicht direkt öffentlich machen. Weboberflächen absichern. Logs aktivieren. Fehlversuche überwachen. Notfallzugänge schützen. Dienstleisterzugänge befristen. Änderungen dokumentieren. Zugriffe regelmäßig prüfen. Merksatz: Sichere Fernadministration braucht Technik, Rechtekonzept, Protokollierung und klare Prozesse. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist SSH? - Wofür wird SSH verwendet? - Welchen Standardport nutzt SSH? - Warum sind SSH-Schlüssel sicherer als reine Passwortanmeldung? - Was ist der Unterschied zwischen privatem und öffentlichem SSH-Schlüssel? - Warum sollte der private SSH-Schlüssel geschützt werden? - Was ist ein SSH Host Key? - Warum sollte Root-Login per SSH vermieden werden? - Was ist sudo? - Was ist RDP? - Welchen Standardport nutzt RDP? - Warum sollte RDP nicht direkt aus dem Internet erreichbar sein? - Was ist Network Level Authentication? - Was ist ein RDP Gateway? - Was ist ein Bastion Host? - Was ist ein Jump Server? - Was ist ein Managementnetz? - Was ist Out-of-Band-Management? - Warum sind API-Schlüssel wie Passwörter zu behandeln? - Warum ist MFA bei Fernadministration wichtig? - Warum ist Logging bei Remotezugriffen wichtig? --- **Typische Prüfungsfallen** SSH ist verschlüsselt, aber nicht automatisch sicher konfiguriert. SSH nutzt standardmäßig TCP 22. RDP nutzt standardmäßig TCP 3389. RDP offen im Internet ist riskant. VPN ersetzt keine Benutzerrechte. MFA ersetzt kein Rechtekonzept. SSH-Schlüssel brauchen Schutz. Privater Schlüssel bleibt geheim. Öffentlicher Schlüssel gehört auf Zielsysteme. Host-Key-Warnungen nicht blind ignorieren. Root-Login vermeiden. sudo kontrolliert Rechteerhöhung. Bastion Host ist ein geschützter Sprungserver. Managementnetz vom Clientnetz trennen. Out-of-Band-Zugriff ist besonders kritisch. Admin-Weboberflächen nicht öffentlich bereitstellen. API-Tokens wie Zugangsdaten behandeln. Dienstleisterzugänge befristen. Logs müssen aktiv sein, bevor ein Vorfall passiert. Session Recording kann Nachvollziehbarkeit erhöhen. Notfallzugang ist kein Alltagszugang. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | Fernadministration | Verwaltung von Systemen aus der Ferne | | SSH | verschlüsselter Kommandozeilenzugriff | | SSH-Port | TCP 22 | | Passwortauthentifizierung | Anmeldung mit Passwort | | Schlüsselbasierte Authentifizierung | Anmeldung mit Schlüsselpaar | | privater Schlüssel | geheimer Schlüsselteil beim Benutzer | | öffentlicher Schlüssel | Schlüsselteil auf dem Server | | Passphrase | Schutzwort für privaten Schlüssel | | SSH-Agent | hält Schlüssel temporär bereit | | Agent-Forwarding | Weiterleitung der SSH-Authentifizierung | | Bastion Host | geschützter Sprungserver | | ProxyJump | SSH-Verbindung über Zwischensystem | | Root-Login | direkte Anmeldung als Root | | sudo | kontrollierte Rechteerhöhung | | Host Key | Identität des SSH-Servers | | RDP | grafischer Windows-Fernzugriff | | RDP-Port | TCP 3389 | | NLA | Network Level Authentication | | RDP Gateway | zentraler RDP-Zugriffspunkt | | Admin-Weboberfläche | Verwaltungssystem im Browser | | VPN | verschlüsselter Zugang ins interne Netz | | Jump Server | Zwischensystem für Administration | | Managementnetz | getrenntes Verwaltungsnetz | | Out-of-Band-Management | Verwaltung über separaten Weg | | API-Zugriff | Administration über Programmierschnittstelle | | API-Schlüssel | Zugangsschlüssel für API | | Token | Zugriffsnachweis für Dienste | | Secret Manager | sichere Verwaltung geheimer Werte | | PAM | Verwaltung privilegierter Zugriffe | | Just-in-Time | zeitlich begrenzte Rechte | | Dienstleisterzugang | externer Administrationszugang | | Session Recording | Aufzeichnung administrativer Sitzungen | | Timeout | automatische Trennung bei Inaktivität | | Account Lockout | Kontosperre nach Fehlversuchen | | Rate Limiting | Begrenzung von Anfragen | | Fail2ban | logbasierte Sperre bei Fehlversuchen | | Break-Glass-Konto | Notfallzugang | --- **IHK-sichere Kurzformulierung** Fernadministration ermöglicht die Verwaltung von Systemen aus der Ferne, ist aber sicherheitskritisch. SSH dient dem verschlüsselten Kommandozeilenzugriff und nutzt standardmäßig TCP-Port 22. Eine schlüsselbasierte SSH-Anmeldung ist sicherer als reine Passwortanmeldung, wenn der private Schlüssel geschützt und alte Schlüssel entfernt werden. RDP dient dem grafischen Fernzugriff auf Windows-Systeme und nutzt standardmäßig TCP-Port 3389. RDP sollte nicht direkt aus dem Internet erreichbar sein, sondern über VPN, RDP Gateway oder andere Zugriffsschutzmaßnahmen abgesichert werden. Für sichere Fernadministration sind MFA, Least Privilege, persönliche Konten, Logging, Bastion Hosts, Managementnetze, abgesicherte Weboberflächen, geschützte API-Schlüssel und dokumentierte Notfallzugänge wichtig. --- **Merksätze** Fernadministration ist praktisch, aber sicherheitskritisch. Adminzugänge nicht breit öffentlich bereitstellen. SSH = Secure Shell. SSH nutzt TCP 22. SSH verschlüsselt den Transport. SSH braucht trotzdem sichere Authentifizierung. Passwortlogin ist einfacher, aber schwächer. SSH-Schlüssel bestehen aus privatem und öffentlichem Schlüssel. Privater Schlüssel bleibt geheim. Öffentlicher Schlüssel liegt auf dem Server. Passphrase schützt privaten Schlüssel. Agent-Forwarding bewusst nutzen. Bastion Host schützt interne Systeme. ProxyJump verbindet über Sprungserver. Root-Login vermeiden. sudo für kontrollierte Rechteerhöhung nutzen. SSH-Logs prüfen. Host-Key-Warnungen ernst nehmen. RDP = Remote Desktop Protocol. RDP nutzt TCP 3389. RDP nicht direkt ins Internet öffnen. RDP über VPN oder Gateway absichern. NLA schützt RDP vor vollständigem Sitzungsaufbau. Admin-Weboberflächen nicht öffentlich bereitstellen. VPN schützt Zugang, aber ersetzt keine Rechte. Managementnetz trennt Verwaltungszugriffe. Out-of-Band-Management besonders schützen. API-Schlüssel wie Passwörter behandeln. Secrets sicher speichern. Least Privilege auch remote anwenden. Dienstleisterzugänge befristen. MFA für Fernadministration nutzen. Remotezugriffe protokollieren. Session Recording kann Nachvollziehbarkeit erhöhen. Timeouts für Admin-Sitzungen setzen. Fehlversuche begrenzen. Notfallzugänge streng kontrollieren. Sichere Fernadministration braucht Technik, Prozesse und Kontrolle. # 17.3 Benutzer, Gruppen, Rechte und Zugriffskontrolle in der Praxis In der Systemadministration müssen Benutzer, Gruppen, Rollen und Berechtigungen sauber verwaltet werden. Ziel ist: Benutzer sollen genau die Zugriffe bekommen, die sie für ihre Arbeit benötigen. Nicht mehr. Nicht weniger. Merksatz: Rechteverwaltung sorgt dafür, dass Benutzer nur auf erlaubte Systeme, Dienste und Daten zugreifen können. --- **Warum Rechteverwaltung wichtig ist** Fehlerhafte Rechte können zu schweren Sicherheitsproblemen führen. Mögliche Folgen: unberechtigter Datenzugriff versehentliches Löschen Manipulation von Daten Missbrauch von Adminrechten Datenabfluss Datenschutzverletzung Ransomware-Ausbreitung fehlende Nachvollziehbarkeit Merksatz: Falsche Rechte sind ein Sicherheitsrisiko. --- **Benutzerkonto** Ein Benutzerkonto ist eine digitale Identität in einem System. Es enthält typischerweise: Benutzername Kennwort oder andere Anmeldemethode Gruppenmitgliedschaften Rollen Berechtigungen Profilinformationen Anmeldeinformationen Status aktiv oder deaktiviert Merksatz: Benutzerkonto = digitale Identität eines Benutzers. --- **Persönliche Benutzerkonten** Jeder Benutzer sollte ein eigenes Konto haben. Vorteile: Aktionen sind nachvollziehbar. Rechte können gezielt vergeben werden. Offboarding ist einfacher. Passwörter müssen nicht geteilt werden. Sicherheitsvorfälle lassen sich besser untersuchen. Merksatz: Ein Benutzer, ein persönliches Konto. --- **Sammelkonten** Sammelkonten sind Konten, die von mehreren Personen gemeinsam genutzt werden. Beispiele: admin support praktikant lager service teamkonto Probleme: keine eindeutige Zuordnung Passwortweitergabe schwieriges Offboarding schlechte Protokollierung höheres Missbrauchsrisiko Merksatz: Sammelkonten vermeiden, besonders bei administrativen Zugängen. --- **Gruppen** Gruppen fassen Benutzer zusammen. Beispiel: Alle Benutzer der Buchhaltung kommen in Gruppe Buchhaltung. Dann können Rechte der Gruppe gegeben werden, statt jedem Benutzer einzeln. Vorteile: übersichtlich leichter zu verwalten einfacher bei neuen Benutzern einfacher bei Rollenwechsel weniger Einzelberechtigungen Merksatz: Rechte möglichst über Gruppen vergeben. --- **Rollen** Eine Rolle beschreibt eine Aufgabe oder Funktion. Beispiele: Helpdesk Netzwerkadministrator Serveradministrator Datenbankadministrator Backup-Operator Standardbenutzer Abteilungsleitung Leser Bearbeiter Prüfer Merksatz: Rolle beschreibt Aufgabe, Gruppe kann Rechte technisch bündeln. --- **Rollenbasierte Zugriffskontrolle** Rollenbasierte Zugriffskontrolle wird abgekürzt: RBAC RBAC steht für: Role-Based Access Control Dabei werden Rechte über Rollen vergeben. Beispiel: Rolle Helpdesk darf Passwörter zurücksetzen. Rolle Backup-Operator darf Backups prüfen. Rolle Netzwerkadministrator darf Switches verwalten. Merksatz: RBAC vergibt Rechte nach Rollen. --- **Attributbasierte Zugriffskontrolle** Attributbasierte Zugriffskontrolle wird abgekürzt: ABAC ABAC steht für: Attribute-Based Access Control Dabei werden Zugriffe anhand von Eigenschaften entschieden. Beispiele für Attribute: Abteilung Standort Gerätetyp Uhrzeit Sicherheitsstatus des Geräts Datenklassifizierung Benutzerrolle Merksatz: ABAC entscheidet nach Eigenschaften und Bedingungen. --- **RBAC und ABAC vergleichen** | Modell | Grundlage | Beispiel | |---|---|---| | RBAC | Rolle | Helpdesk darf Passwörter zurücksetzen | | ABAC | Attribute | Zugriff nur aus Firmennetz und mit verwaltetem Gerät | Merksatz: RBAC arbeitet mit Rollen. ABAC arbeitet mit Eigenschaften. --- **Berechtigung** Eine Berechtigung beschreibt, was ein Benutzer oder Dienst tun darf. Beispiele: Datei lesen Datei schreiben Datei löschen Benutzer anlegen Passwort zurücksetzen Server neu starten Firewall-Regel ändern Datenbank abfragen Backup wiederherstellen Merksatz: Berechtigung = erlaubte Aktion auf ein Ziel. --- **Recht und Rolle unterscheiden** Recht: einzelne Erlaubnis Rolle: Bündel aus mehreren Rechten für eine Aufgabe Beispiel: Recht: Benutzer darf Ticket lesen. Rolle: Supportmitarbeiter darf Tickets lesen, bearbeiten und schließen. Merksatz: Rechte sind einzelne Erlaubnisse. Rollen bündeln Rechte. --- **Least Privilege** Least Privilege bedeutet: Jeder Benutzer, Dienst und Prozess erhält nur die Rechte, die wirklich benötigt werden. Beispiele: Standardbenutzer ohne lokale Adminrechte Dienstkonto nur mit Zugriff auf benötigte Datenbank Praktikant nur mit Zugriff auf Schulungsunterlagen Backup-Operator darf Backups prüfen, aber keine Benutzer verwalten Merksatz: So wenig Rechte wie möglich, so viele wie nötig. --- **Need to Know** Need to Know bedeutet: Zugriff nur auf Informationen, die für die Aufgabe erforderlich sind. Beispiel: Personalabteilung darf Personalakten sehen. IT-Support muss nicht automatisch Gehaltsdaten sehen. Projektteam sieht nur Projektdaten. Merksatz: Nicht jeder muss alles sehen können. --- **Trennung von Aufgaben** Aufgabentrennung bedeutet: kritische Aufgaben werden auf mehrere Personen oder Rollen verteilt. Beispiele: Eine Person beantragt Änderung. Andere Person gibt Änderung frei. Eine Person erstellt Zahlung. Andere Person bestätigt Zahlung. Eine Person richtet Backup ein. Andere Person prüft Restore-Test. Merksatz: Aufgabentrennung reduziert Fehler und Missbrauch. --- **Vier-Augen-Prinzip** Beim Vier-Augen-Prinzip prüft oder genehmigt mindestens eine zweite Person eine kritische Aktion. Typische Aktionen: Adminrechte vergeben Firewall nach außen öffnen Backup löschen Produktivsystem ändern Benutzer mit hohen Rechten anlegen kritische Daten exportieren Merksatz: Kritische Änderungen nicht allein freigeben. --- **Administrative Konten** Administrative Konten haben erhöhte Rechte. Beispiele: lokaler Administrator Domänenadministrator Cloud-Administrator Firewall-Administrator Datenbankadministrator Backup-Administrator Root-Konto Merksatz: Administrative Konten sind besonders schützenswert. --- **Admin- und Alltagskonto trennen** Administratoren sollten zwei Konten haben: normales Benutzerkonto für Alltag separates Adminkonto für Administration Vorteile: weniger Risiko bei Phishing weniger Malware-Schaden bessere Nachvollziehbarkeit weniger dauerhafte Rechte klarere Trennung von Aufgaben Merksatz: Nicht dauerhaft mit Adminrechten arbeiten. --- **Lokale Adminrechte** Lokale Adminrechte auf Clients sind riskant. Risiken: Malware kann mehr Schaden anrichten. Benutzer kann Sicherheitssoftware deaktivieren. Programme können ungeprüft installiert werden. Einstellungen können verändert werden. Angreifer kann Rechte ausnutzen. Merksatz: Lokale Adminrechte nur vergeben, wenn sie wirklich nötig sind. --- **Domänenadministrator** Ein Domänenadministrator hat sehr weitreichende Rechte in einer Windows-Domäne. Risiko: Kompromittierung kann das gesamte Netzwerk betreffen. Schutz: nur wenige Personen MFA getrennte Admin-Konten keine Nutzung für Alltag Protokollierung regelmäßige Rechteprüfung sichere Admin-Arbeitsstationen Merksatz: Domänenadminrechte gehören zu den kritischsten Rechten. --- **Root** Root ist das höchste Benutzerkonto auf vielen Unix- und Linux-Systemen. Root kann: Dateien ändern Benutzer verwalten Dienste steuern Rechte setzen Systemkonfiguration ändern Sicherheitsmechanismen beeinflussen Merksatz: Root hat volle Kontrolle über das System. --- **sudo** sudo erlaubt, einzelne Befehle mit erhöhten Rechten auszuführen. Vorteile: keine dauerhafte Root-Sitzung nötig Aktionen besser nachvollziehbar Rechte können gezielter vergeben werden direkte Root-Anmeldung kann vermieden werden Merksatz: sudo ermöglicht kontrollierte Rechteerhöhung. --- **Dienstkonto** Ein Dienstkonto ist ein Konto, das von einem Dienst, einer Anwendung oder einem automatisierten Prozess genutzt wird. Beispiele: Datenbankzugriff einer Webanwendung Backupdienst Monitoring-Agent Synchronisationsdienst API-Integration geplante Aufgabe Merksatz: Dienstkonten sind technische Identitäten für Dienste. --- **Risiken bei Dienstkonten** Dienstkonten sind oft kritisch, weil sie dauerhaft laufen. Risiken: zu viele Rechte Passwort läuft nie ab Passwort wird im Klartext gespeichert Konto wird nicht überwacht Konto bleibt nach Projektende aktiv Nutzung ist schwer nachvollziehbar Schlüssel oder Tokens werden nicht rotiert Merksatz: Dienstkonten müssen genauso verwaltet werden wie Benutzerkonten. --- **Dienstkonten sicher betreiben** Maßnahmen: nur notwendige Rechte eindeutiger Zweck Dokumentation keine interaktive Anmeldung, wenn nicht nötig starke Geheimnisse Secret Manager nutzen regelmäßige Rotation Monitoring Deaktivierung nach Nutzungsende keine gemeinsamen Allzweckkonten Merksatz: Dienstkonto immer zweckgebunden und rechtearm einrichten. --- **Gruppenrichtlinien** Gruppenrichtlinien werden in Windows-Umgebungen genutzt, um Einstellungen zentral zu verwalten. Beispiele: Passwortregeln Bildschirmsperre Firewall-Einstellungen Laufwerkszuordnung Softwareverteilung Sicherheitsoptionen Einschränkung von Makros lokale Administratoren Update-Einstellungen Merksatz: Gruppenrichtlinien setzen zentrale Regeln für Benutzer und Computer. --- **Verzeichnisdienst** Ein Verzeichnisdienst verwaltet Identitäten und Ressourcen zentral. Typische Inhalte: Benutzer Gruppen Computer Rollen Organisationseinheiten Richtlinien Zugriffsrechte Beispiele: Active Directory LDAP-basierte Verzeichnisse Cloud-Verzeichnisdienste Merksatz: Verzeichnisdienst = zentrale Verwaltung von Identitäten und Objekten. --- **Active Directory** Active Directory ist ein Verzeichnisdienst von Microsoft. Es wird häufig genutzt für: Benutzerverwaltung Gruppenverwaltung Computerverwaltung zentrale Anmeldung Gruppenrichtlinien Rechteverwaltung Domänenstruktur Merksatz: Active Directory verwaltet Benutzer, Gruppen, Computer und Richtlinien zentral. --- **LDAP** LDAP steht für: Lightweight Directory Access Protocol LDAP ist ein Protokoll, mit dem Verzeichnisdienste abgefragt und genutzt werden können. Beispiele: Benutzer suchen Gruppen prüfen Anmeldung gegen Verzeichnisdienst Informationen aus Verzeichnis abrufen Merksatz: LDAP ist ein Protokoll für den Zugriff auf Verzeichnisdienste. --- **Authentifizierung** Authentifizierung bedeutet: Nachweis der Identität. Frage: Wer bist du? Beispiele: Anmeldung mit Passwort Anmeldung mit Zertifikat Anmeldung mit MFA Anmeldung per Smartcard Anmeldung mit SSH-Schlüssel Merksatz: Authentifizierung prüft die Identität. --- **Autorisierung** Autorisierung bedeutet: Prüfung der Berechtigung. Frage: Was darfst du? Beispiele: Darf Benutzer Datei öffnen? Darf Benutzer Drucker verwalten? Darf Benutzer Server neu starten? Darf Benutzer Adminbereich nutzen? Darf Benutzer Datenbank ändern? Merksatz: Autorisierung prüft die erlaubten Aktionen. --- **Authentifizierung und Autorisierung unterscheiden** | Begriff | Frage | Beispiel | |---|---|---| | Authentifizierung | Wer bist du? | Benutzer meldet sich an | | Autorisierung | Was darfst du? | Benutzer darf Datei lesen | Merksatz: Erst Identität prüfen, dann Rechte prüfen. --- **ACL** ACL steht für: Access Control List Eine ACL ist eine Zugriffskontrollliste. Sie legt fest, wer auf ein Objekt zugreifen darf und welche Aktionen erlaubt sind. Beispiele: Datei lesen Ordner schreiben Freigabe nutzen Netzwerkverkehr erlauben Drucker verwalten Merksatz: ACL legt Zugriffsrechte auf Objekte fest. --- **Dateirechte** Dateirechte bestimmen, wer Dateien oder Ordner nutzen darf. Typische Rechte: lesen schreiben ausführen ändern löschen Besitz übernehmen Rechte ändern Merksatz: Dateirechte schützen Daten vor unberechtigtem Zugriff. --- **Lesen, Schreiben und Ausführen** Lesen: Dateiinhalt anzeigen Schreiben: Datei verändern oder erstellen Ausführen: Programm oder Skript starten Merksatz: Lesen sieht Daten. Schreiben verändert Daten. Ausführen startet Code. --- **Vererbung von Rechten** Rechte können von übergeordneten Ordnern an Unterordner und Dateien vererbt werden. Vorteil: weniger Einzelkonfiguration Risiko: falsche Rechte können sich auf viele Dateien auswirken. Merksatz: Vererbte Rechte erleichtern Verwaltung, können aber große Wirkung haben. --- **Freigaberechte und NTFS-Rechte** In Windows-Umgebungen gibt es oft: Freigaberechte und NTFS-Rechte Freigaberechte: gelten beim Zugriff über Netzwerkfreigabe NTFS-Rechte: gelten auf Dateisystemebene Wichtig: Beim Netzwerkzugriff wirkt die restriktivere Kombination. Merksatz: Freigaberechte und NTFS-Rechte zusammen betrachten. --- **Besitz von Dateien** Der Besitzer einer Datei oder eines Ordners hat besondere Bedeutung. Er kann je nach System Rechte beeinflussen oder ändern. Wichtig: Besitzrechte nicht unkontrolliert vergeben. Merksatz: Besitz kann Rechteverwaltung beeinflussen. --- **Umask** Umask ist ein Konzept in Unix- und Linux-Systemen. Sie legt fest, welche Standardrechte bei neuen Dateien oder Ordnern entfernt werden. Beispielprinzip: Neue Datei erhält nicht automatisch alle möglichen Rechte, weil umask bestimmte Rechte wegnimmt. Merksatz: umask beeinflusst Standardrechte neuer Dateien und Ordner. --- **chmod** chmod ist ein Befehl unter Unix- und Linux-Systemen, um Dateirechte zu ändern. Rechtearten: lesen schreiben ausführen für: Besitzer Gruppe andere Merksatz: chmod ändert Dateirechte. --- **chown** chown ist ein Befehl unter Unix- und Linux-Systemen, um Besitzer und Gruppe einer Datei oder eines Ordners zu ändern. Merksatz: chown ändert Besitzer oder Gruppe. --- **Dateirechte unter Linux: Grundidee** Linux unterscheidet bei Dateirechten typischerweise: Besitzer Gruppe Andere Rechte: r = read = lesen w = write = schreiben x = execute = ausführen Merksatz: Linux-Dateirechte bestehen aus Besitzer, Gruppe, Andere und den Rechten r, w, x. --- **Beispiel für Linux-Rechte** Beispiel: rwxr-x--- Bedeutung: Besitzer: lesen, schreiben, ausführen Gruppe: lesen, ausführen Andere: keine Rechte Merksatz: Linux-Rechte werden für Besitzer, Gruppe und Andere getrennt betrachtet. --- **Besondere Linux-Rechte** Neben normalen Rechten gibt es besondere Rechte. Beispiele: SetUID SetGID Sticky Bit Diese Rechte können sicherheitskritisch sein, weil sie Ausführung, Gruppenzuordnung oder Löschverhalten beeinflussen. Merksatz: Sonderrechte unter Linux bewusst prüfen. --- **SetUID** SetUID bewirkt, dass ein Programm mit den Rechten des Dateibesitzers ausgeführt wird. Risiko: Wenn ein SetUID-Programm unsicher ist, kann es Rechteausweitung ermöglichen. Merksatz: SetUID kann Rechte erhöhen und ist sicherheitskritisch. --- **SetGID** SetGID kann bewirken, dass ein Programm mit Gruppenrechten ausgeführt wird oder dass neue Dateien in einem Ordner eine bestimmte Gruppe erhalten. Merksatz: SetGID beeinflusst Gruppenrechte. --- **Sticky Bit** Sticky Bit wird häufig bei gemeinsam genutzten Verzeichnissen verwendet. Es sorgt dafür, dass Benutzer dort nicht beliebig Dateien anderer Benutzer löschen können. Beispiel: /tmp Merksatz: Sticky Bit schützt Dateien in gemeinsamen Verzeichnissen vor fremdem Löschen. --- **Rechteprüfung in der Praxis** Bei Zugriffsproblemen prüfen: Welcher Benutzer ist angemeldet? In welchen Gruppen ist der Benutzer? Welche Rechte hat die Datei? Welche Rechte hat der Ordner? Gibt es vererbte Rechte? Gibt es Freigaberechte? Gibt es NTFS-Rechte? Gibt es ACLs? Gibt es lokale oder zentrale Gruppen? Gibt es Deny-Regeln? Gibt es Sonderrechte? Merksatz: Zugriffsprobleme immer systematisch von Benutzer, Gruppe, Objekt und Regel prüfen. --- **Deny-Regeln** Deny bedeutet: Zugriff ausdrücklich verweigern. Deny-Regeln können erlaubende Rechte übersteuern. Risiko: falsch gesetzte Deny-Regeln verursachen schwer erkennbare Zugriffsprobleme. Merksatz: Deny-Regeln sparsam und bewusst verwenden. --- **Zugriff verweigert** Wenn ein Benutzer „Zugriff verweigert“ erhält, kann das viele Ursachen haben. Mögliche Ursachen: Benutzer nicht in richtiger Gruppe fehlende Dateirechte fehlende Freigaberechte Deny-Regel falscher Besitzer Vererbung unterbrochen falsche Anmeldung abgelaufenes Konto gesperrtes Konto fehlende Lizenz Anwendung prüft eigene Rechte Merksatz: Zugriff verweigert ist nicht automatisch ein Passwortproblem. --- **Onboarding** Onboarding bedeutet: neue Benutzer erhalten benötigte Zugänge, Geräte und Rechte. Gutes Onboarding enthält: persönliches Benutzerkonto passende Gruppen passende Rollen MFA-Einrichtung Geräteausgabe Schulung Passwortmanager Sicherheitsrichtlinien Dokumentation Merksatz: Onboarding vergibt Zugänge kontrolliert nach Aufgabe. --- **Rollenwechsel** Bei einem Rollenwechsel müssen Rechte angepasst werden. Beispiel: Benutzer wechselt von Support zu Einkauf. Dann müssen alte Rechte entfernt und neue Rechte vergeben werden. Wichtig: Rechte nicht nur hinzufügen, sondern auch nicht mehr benötigte entfernen. Merksatz: Rollenwechsel braucht Rechteentzug und Rechtevergabe. --- **Offboarding** Offboarding bedeutet: Zugänge werden entfernt, wenn Benutzer ausscheiden oder keinen Zugriff mehr benötigen. Zu prüfen: Benutzerkonto deaktivieren Gruppen entfernen VPN-Zugang entfernen E-Mail-Zugriff regeln Cloud-Zugänge entfernen SSH-Schlüssel löschen API-Tokens widerrufen Geräte zurückgeben lokale Adminrechte entfernen Weiterleitungen prüfen Merksatz: Offboarding verhindert alte, vergessene Zugänge. --- **Regelmäßige Rechteprüfung** Rechte sollten regelmäßig überprüft werden. Zu prüfen: aktive Benutzer deaktivierte Benutzer Adminrechte Gruppenmitgliedschaften Dienstkonten externe Dienstleister lokale Administratoren Cloud-Rollen Freigaben SSH-Schlüssel Merksatz: Rechte altern und müssen regelmäßig geprüft werden. --- **Rezertifizierung von Rechten** Rezertifizierung bedeutet: Verantwortliche bestätigen regelmäßig, ob Rechte noch benötigt werden. Beispiel: Abteilungsleiter prüft, ob seine Mitarbeitenden noch Zugriff auf bestimmte Daten brauchen. Merksatz: Rezertifizierung verhindert angesammelte Altberechtigungen. --- **Rechteausweitung** Rechteausweitung bedeutet: Ein Benutzer oder Angreifer erhält höhere Rechte als vorgesehen. Arten: vertikale Rechteausweitung: normaler Benutzer wird Administrator horizontale Rechteausweitung: Benutzer greift auf Daten anderer Benutzer gleicher Ebene zu Merksatz: Rechteausweitung ist Zugriff über das erlaubte Maß hinaus. --- **Privilegieneskalation** Privilegieneskalation bedeutet: Rechte werden erhöht, zum Beispiel von normalem Benutzer zu Administrator. Ursachen: Schwachstelle Fehlkonfiguration unsichere Dienste falsche Dateirechte zu breite sudo-Regeln unsichere Dienstkonten Merksatz: Privilegieneskalation ist Erhöhung von Rechten. --- **Horizontale Rechteausweitung** Horizontale Rechteausweitung bedeutet: Ein Benutzer greift auf Daten eines anderen Benutzers mit ähnlicher Rolle zu. Beispiel: Benutzer 1001 sieht Rechnung von Benutzer 1002, obwohl er nur eigene Rechnungen sehen darf. Merksatz: Horizontal bedeutet: Zugriff auf fremde Daten gleicher Ebene. --- **Vertikale Rechteausweitung** Vertikale Rechteausweitung bedeutet: Ein Benutzer erhält höhere Rechte. Beispiel: normaler Benutzer kann Adminfunktion ausführen. Merksatz: Vertikal bedeutet: Zugriff auf höhere Berechtigungsstufe. --- **Auditierung von Rechten** Auditierung bedeutet: Rechte und Zugriffe werden geprüft und dokumentiert. Ziele: Missbrauch erkennen alte Rechte entfernen Compliance erfüllen Datenschutz verbessern Nachvollziehbarkeit schaffen Merksatz: Rechte müssen nicht nur vergeben, sondern auch geprüft werden. --- **Typische Praxisfehler bei Benutzerrechten** Häufige Fehler: Rechte direkt auf einzelne Benutzer vergeben zu viele lokale Adminrechte Sammelkonten alte Benutzer aktiv Dienstkonten mit zu vielen Rechten keine Dokumentation keine regelmäßige Prüfung Admin- und Alltagskonto nicht getrennt Gruppen unübersichtlich Deny-Regeln falsch gesetzt Rechte bei Rollenwechsel nur hinzugefügt Merksatz: Rechteverwaltung wird unsicher, wenn sie nicht gepflegt wird. --- **Checkliste: Rechte sauber verwalten** Persönliche Konten verwenden. Sammelkonten vermeiden. Gruppen statt Einzelrechte nutzen. Rollen definieren. Least Privilege anwenden. Need to Know beachten. Admin- und Alltagskonto trennen. Dienstkonten dokumentieren. Dienstkonten rechtearm einrichten. Onboarding standardisieren. Rollenwechsel prüfen. Offboarding konsequent durchführen. Rechte regelmäßig prüfen. Adminrechte besonders kontrollieren. Audit-Logs aktivieren. Notfallkonten absichern. Merksatz: Gute Rechteverwaltung ist dauerhaft gepflegt, dokumentiert und nachvollziehbar. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist ein Benutzerkonto? - Warum sind persönliche Benutzerkonten wichtig? - Warum sind Sammelkonten problematisch? - Warum sollte man Rechte über Gruppen vergeben? - Was ist eine Rolle? - Was bedeutet RBAC? - Was bedeutet ABAC? - Was ist der Unterschied zwischen Authentifizierung und Autorisierung? - Was bedeutet Least Privilege? - Was bedeutet Need to Know? - Warum sollten Admin- und Alltagskonto getrennt werden? - Was ist ein Dienstkonto? - Warum sind Dienstkonten kritisch? - Was ist ein Verzeichnisdienst? - Was ist Active Directory? - Was ist LDAP? - Was ist eine ACL? - Was ist der Unterschied zwischen Freigaberechten und NTFS-Rechten? - Was bedeutet chmod? - Was bedeutet chown? - Was ist SetUID? - Was ist Offboarding? - Warum ist regelmäßige Rechteprüfung wichtig? --- **Typische Prüfungsfallen** Authentifizierung und Autorisierung nicht verwechseln. Benutzerkonto ist Identität, Berechtigung ist erlaubte Aktion. Rechte möglichst über Gruppen vergeben. Rollen bündeln Rechte. Sammelkonten vermeiden. Least Privilege bedeutet minimale notwendige Rechte. Need to Know bezieht sich auf Informationsbedarf. Admin- und Alltagskonto trennen. Lokale Adminrechte erhöhen Risiko. Dienstkonten sind technische Identitäten. Dienstkonten brauchen klare Rechtebegrenzung. Active Directory ist ein Verzeichnisdienst. LDAP ist ein Protokoll für Verzeichniszugriff. ACL ist Zugriffskontrollliste. Freigaberechte und NTFS-Rechte zusammen betrachten. Deny-Regeln können erlaubende Regeln übersteuern. Zugriff verweigert kann viele Ursachen haben. Rollenwechsel bedeutet alte Rechte entfernen. Offboarding muss alle Zugänge entfernen. Rechte regelmäßig prüfen. SetUID ist sicherheitskritisch. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | Benutzerkonto | digitale Identität eines Benutzers | | persönliches Konto | Konto für genau eine Person | | Sammelkonto | gemeinsam genutztes Konto | | Gruppe | Zusammenfassung von Benutzern | | Rolle | Aufgabe mit passenden Rechten | | RBAC | rollenbasierte Zugriffskontrolle | | ABAC | attributbasierte Zugriffskontrolle | | Berechtigung | erlaubte Aktion | | Recht | einzelne Erlaubnis | | Least Privilege | minimale notwendige Rechte | | Need to Know | Zugriff nur bei Informationsbedarf | | Aufgabentrennung | kritische Aufgaben trennen | | Vier-Augen-Prinzip | Prüfung durch zweite Person | | Adminkonto | Konto mit erhöhten Rechten | | lokaler Administrator | Admin auf einem einzelnen System | | Domänenadministrator | Admin mit weitreichenden Domänenrechten | | Root | höchstes Konto auf Unix/Linux | | sudo | kontrollierte Rechteerhöhung | | Dienstkonto | technische Identität für Dienste | | Gruppenrichtlinie | zentrale Windows-Einstellung | | Verzeichnisdienst | zentrale Verwaltung von Identitäten | | Active Directory | Microsoft-Verzeichnisdienst | | LDAP | Protokoll für Verzeichnisdienste | | Authentifizierung | Identität prüfen | | Autorisierung | Berechtigung prüfen | | ACL | Zugriffskontrollliste | | Dateirechte | Rechte auf Dateien und Ordner | | Vererbung | Weitergabe von Rechten | | Freigaberechte | Rechte auf Netzwerkfreigabe | | NTFS-Rechte | Rechte auf Windows-Dateisystemebene | | umask | Standardrechte unter Unix/Linux beeinflussen | | chmod | Dateirechte ändern | | chown | Besitzer oder Gruppe ändern | | SetUID | Ausführung mit Besitzerrechten | | SetGID | Ausführung oder Dateien mit Gruppenbezug | | Sticky Bit | Schutz in gemeinsamen Verzeichnissen | | Deny | ausdrückliche Verweigerung | | Onboarding | geregelte Zugangsvergabe | | Offboarding | geregelter Rechteentzug | | Rezertifizierung | regelmäßige Bestätigung von Rechten | | Rechteausweitung | Zugriff über erlaubtes Maß hinaus | | Privilegieneskalation | Erhöhung von Rechten | | Auditierung | Prüfung und Dokumentation | --- **IHK-sichere Kurzformulierung** Benutzer-, Gruppen- und Rechteverwaltung sorgt dafür, dass Personen und Dienste nur die Zugriffe erhalten, die sie für ihre Aufgaben benötigen. Benutzer sollten persönliche Konten verwenden, Sammelkonten sollten vermieden werden. Rechte werden möglichst über Gruppen und Rollen vergeben, zum Beispiel nach dem RBAC-Prinzip. Authentifizierung prüft die Identität eines Benutzers, Autorisierung prüft seine Berechtigungen. Wichtige Grundsätze sind Least Privilege, Need to Know, Trennung von Admin- und Alltagskonto, kontrollierte Dienstkonten, regelmäßige Rechteprüfung und konsequentes Offboarding. Dateirechte, ACLs, Freigaberechte, NTFS-Rechte und Linux-Rechte müssen systematisch geprüft werden, wenn Zugriffsprobleme auftreten. --- **Merksätze** Rechteverwaltung schützt Daten und Systeme. Benutzerkonto = digitale Identität. Ein Benutzer, ein persönliches Konto. Sammelkonten vermeiden. Rechte möglichst über Gruppen vergeben. Rolle beschreibt Aufgabe. RBAC vergibt Rechte nach Rollen. ABAC entscheidet nach Eigenschaften. Berechtigung = erlaubte Aktion. Rechte sind einzelne Erlaubnisse. Rollen bündeln Rechte. Least Privilege = minimale notwendige Rechte. Need to Know = Zugriff nur bei Bedarf. Adminrechte besonders schützen. Admin- und Alltagskonto trennen. Lokale Adminrechte vermeiden. Root hat volle Kontrolle. sudo ermöglicht kontrollierte Rechteerhöhung. Dienstkonten sind technische Identitäten. Dienstkonten rechtearm betreiben. Gruppenrichtlinien setzen zentrale Regeln. Verzeichnisdienste verwalten Identitäten zentral. Active Directory ist ein Verzeichnisdienst. LDAP ist ein Protokoll für Verzeichniszugriff. Authentifizierung fragt: Wer bist du? Autorisierung fragt: Was darfst du? ACL legt Zugriffe fest. Lesen sieht Daten. Schreiben verändert Daten. Ausführen startet Code. Freigaberechte und NTFS-Rechte zusammen prüfen. Linux-Rechte bestehen aus Besitzer, Gruppe, Andere und r, w, x. chmod ändert Rechte. chown ändert Besitzer oder Gruppe. SetUID ist sicherheitskritisch. Deny-Regeln bewusst einsetzen. Zugriff verweigert hat viele mögliche Ursachen. Onboarding vergibt Rechte kontrolliert. Rollenwechsel braucht Rechteentzug. Offboarding entfernt alte Zugänge. Rechte regelmäßig prüfen. Rezertifizierung verhindert Altberechtigungen. Privilegieneskalation erhöht Rechte. Gute Rechteverwaltung ist nachvollziehbar, dokumentiert und regelmäßig geprüft. # 17.4 Logs, Monitoring und Dienstprüfung in der Praxis Logs, Monitoring und Dienstprüfung gehören zu den wichtigsten Werkzeugen in der Systemadministration. Sie helfen dabei, - Fehler zu erkennen - Angriffe zu erkennen - Ursachen einzugrenzen - Änderungen nachzuvollziehen - Dienste zu überwachen - Ausfälle schneller zu beheben - Sicherheitsvorfälle zu untersuchen - Betrieb zu dokumentieren Merksatz: Logs zeigen, was passiert ist. Monitoring zeigt, was gerade passiert oder sich anbahnt. --- **Warum Logs wichtig sind** Logs protokollieren Ereignisse auf Systemen, Diensten, Anwendungen und Netzwerkkomponenten. Beispiele: Benutzer meldet sich an. Dienst startet. Dienst stoppt. Fehler tritt auf. Firewall blockiert Verbindung. Backup schlägt fehl. Admin ändert Konfiguration. SSH-Login wird abgelehnt. Webserver liefert Fehlercode. Datenbank meldet Verbindungsfehler. Merksatz: Ohne Logs ist Fehlersuche oft nur Raten. --- **Warum Monitoring wichtig ist** Monitoring überwacht den Zustand von Systemen und Diensten. Typische Fragen: Ist der Server erreichbar? Läuft der Dienst? Ist die Festplatte voll? Ist die CPU überlastet? Ist genug Arbeitsspeicher frei? Ist das Backup erfolgreich? Antwortet die Webseite? Läuft das Zertifikat bald ab? Gibt es ungewöhnlich viele Loginfehler? Merksatz: Monitoring erkennt Probleme früh, bevor Benutzer sie melden. --- **Logs und Monitoring unterscheiden** | Bereich | Zweck | Beispiel | |---|---|---| | Logs | Ereignisse nachvollziehen | Benutzerlogin fehlgeschlagen | | Monitoring | Zustand überwachen | CPU dauerhaft bei 95 Prozent | | Alerting | Verantwortliche alarmieren | Backup fehlgeschlagen | | Reporting | Verlauf dokumentieren | Verfügbarkeit im Monat | Merksatz: Logs erklären Ereignisse. Monitoring beobachtet Zustände. Alerting meldet kritische Abweichungen. --- **Typische Logquellen** Wichtige Logquellen in der Praxis: Betriebssystemlogs Anwendungslogs Webserverlogs Datenbanklogs Authentifizierungslogs SSH-Logs RDP-Logs Firewall-Logs VPN-Logs DNS-Logs DHCP-Logs E-Mail-Logs Backup-Logs Cloud-Audit-Logs EDR-Logs SIEM-Ereignisse Merksatz: Jede wichtige Komponente sollte nachvollziehbare Logs erzeugen. --- **Betriebssystemlogs** Betriebssystemlogs zeigen Ereignisse des Systems. Beispiele: Start und Stopp des Systems Kernelmeldungen Treiberprobleme Benutzeranmeldungen Dienststarts Dienstfehler Speicherprobleme Hardwarefehler Merksatz: Betriebssystemlogs sind die Grundlage vieler Fehleranalysen. --- **Anwendungslogs** Anwendungslogs stammen von Programmen oder Diensten. Beispiele: Webanwendung meldet Fehler. Datenbankverbindung schlägt fehl. API gibt Fehler zurück. Anwendung kann Datei nicht schreiben. Lizenzprüfung schlägt fehl. Benutzeraktion wird protokolliert. Merksatz: Anwendungslogs zeigen, was innerhalb der Anwendung passiert. --- **Authentifizierungslogs** Authentifizierungslogs zeigen Anmeldeereignisse. Beispiele: erfolgreiche Anmeldung fehlgeschlagene Anmeldung gesperrtes Konto falsches Passwort unbekannter Benutzer MFA-Fehler Anmeldung von ungewöhnlichem Ort Rechteerhöhung mit sudo Adminlogin Merksatz: Authentifizierungslogs sind wichtig für Sicherheit und Zugriffskontrolle. --- **Firewall-Logs** Firewall-Logs zeigen, welcher Verkehr erlaubt oder blockiert wurde. Typische Informationen: Zeit Quell-IP Ziel-IP Quellport Zielport Protokoll Aktion Regelname Interface Benutzer je nach System Merksatz: Firewall-Logs helfen bei Verbindungsproblemen und Angriffserkennung. --- **VPN-Logs** VPN-Logs zeigen Zugriffe über VPN. Typische Informationen: Benutzer Anmeldezeit Abmeldezeit Quell-IP zugewiesene VPN-IP Authentifizierungsergebnis MFA-Status Verbindungsabbrüche Fehlercodes Merksatz: VPN-Logs zeigen, wer wann aus der Ferne verbunden war. --- **DNS-Logs** DNS-Logs zeigen Namensauflösungen. Beispiele: welcher Client fragt welchen Namen an? welcher Name wird häufig abgefragt? gibt es verdächtige Domains? gibt es Namensauflösungsfehler? nutzt ein Client ungewöhnliche DNS-Ziele? Merksatz: DNS-Logs helfen bei Fehlersuche und Malware-Erkennung. --- **DHCP-Logs** DHCP-Logs zeigen automatische IP-Vergaben. Typische Informationen: MAC-Adresse vergebene IP-Adresse Hostname Lease-Zeit Zeitpunkt DHCP-Server Fehler bei Vergabe Merksatz: DHCP-Logs helfen, IP-Konflikte und Clientzuordnungen nachzuvollziehen. --- **Webserverlogs** Webserverlogs zeigen Zugriffe auf Webseiten und APIs. Typische Informationen: Client-IP Zeitpunkt HTTP-Methode URL Statuscode Antwortgröße User-Agent Referrer Antwortzeit Merksatz: Webserverlogs zeigen, welche Anfragen ein Webdienst erhalten hat. --- **HTTP-Statuscodes in Logs** Wichtige HTTP-Statuscode-Gruppen: | Bereich | Bedeutung | |---|---| | 2xx | erfolgreich | | 3xx | Weiterleitung | | 4xx | Clientfehler | | 5xx | Serverfehler | Beispiele: 200: Anfrage erfolgreich 301 oder 302: Weiterleitung 401: nicht authentifiziert 403: verboten 404: nicht gefunden 500: interner Serverfehler 502: fehlerhafte Antwort vom Backend 503: Dienst nicht verfügbar Merksatz: 4xx deutet oft auf Client- oder Berechtigungsproblem. 5xx deutet oft auf Server- oder Backendproblem. --- **Backup-Logs** Backup-Logs zeigen, ob Sicherungen erfolgreich waren. Zu prüfen: Backup gestartet? Backup abgeschlossen? Datenmenge plausibel? Fehler aufgetreten? Ziel erreichbar? Speicherplatz ausreichend? Verschlüsselung aktiv? Aufbewahrung korrekt? Restore-Test durchgeführt? Merksatz: Backup gilt erst als zuverlässig, wenn Erfolg und Wiederherstellung geprüft wurden. --- **Cloud-Audit-Logs** Cloud-Audit-Logs zeigen sicherheitsrelevante Aktionen in Cloud-Umgebungen. Beispiele: Benutzer angemeldet Rolle geändert Firewall-Regel geöffnet Speicher öffentlich gemacht API-Schlüssel erzeugt VM gestartet Datenbank gelöscht Backup geändert MFA deaktiviert Merksatz: Cloud-Audit-Logs zeigen, wer was in der Cloud geändert hat. --- **Loglevel** Logs haben oft verschiedene Schweregrade. Typische Loglevel: | Loglevel | Bedeutung | |---|---| | Debug | sehr detaillierte Informationen für Fehlersuche | | Info | normale Betriebsinformation | | Warning | Warnung, noch kein vollständiger Fehler | | Error | Fehler ist aufgetreten | | Critical | schwerer Fehler mit hoher Auswirkung | | Fatal | Dienst oder Anwendung kann nicht weiterarbeiten | Merksatz: Nicht jede Warnung ist ein Ausfall, aber Warnungen können frühe Hinweise sein. --- **Debug-Logs** Debug-Logs sind sehr detailliert. Vorteil: helfen bei genauer Fehlersuche Nachteil: erzeugen viele Daten können sensible Informationen enthalten können Performance belasten Merksatz: Debug-Logging gezielt aktivieren und danach wieder reduzieren. --- **Logrotation** Logrotation bedeutet: Logdateien werden regelmäßig umbenannt, archiviert komprimiert oder gelöscht. Ziel: Festplatte läuft nicht voll. Logs bleiben übersichtlich. Aufbewahrung wird kontrolliert. Merksatz: Ohne Logrotation können Logs Speicherplatzprobleme verursachen. --- **Logaufbewahrung** Logaufbewahrung legt fest, wie lange Logs gespeichert werden. Zu beachten: gesetzliche Vorgaben Datenschutz Sicherheitsanforderungen Speicherplatz Nachvollziehbarkeit forensische Analyse interne Richtlinien Merksatz: Logs so lange wie nötig, aber nicht unbegrenzt ohne Grund speichern. --- **Datenschutz bei Logs** Logs können personenbezogene Daten enthalten. Beispiele: Benutzername IP-Adresse E-Mail-Adresse Zeitpunkte Geräteinformationen aufgerufene URLs Standortinformationen Deshalb wichtig: Zugriff begrenzen Aufbewahrung regeln Zweck festlegen sensible Inhalte vermeiden Protokollierung dokumentieren Merksatz: Logs sind sicherheitsrelevant, aber auch datenschutzrelevant. --- **Zentrale Logsammlung** Zentrale Logsammlung bedeutet: Logs mehrerer Systeme werden an einem zentralen Ort gesammelt. Vorteile: bessere Suche bessere Korrelation Schutz vor lokaler Manipulation einfachere Auswertung bessere Nachvollziehbarkeit Grundlage für SIEM Merksatz: Zentrale Logs helfen, Ereignisse systemübergreifend zu verstehen. --- **Syslog** Syslog ist ein verbreiteter Standard zur Übertragung von Logmeldungen. Häufig genutzt bei: Linux-Systemen Netzwerkgeräten Firewalls Switches Routern Appliances Merksatz: Syslog transportiert Logmeldungen zu einem Logserver. --- **Windows-Ereignisanzeige** Windows-Systeme verwenden Ereignisprotokolle. Typische Bereiche: Anwendung Sicherheit System Setup weitergeleitete Ereignisse Wichtige Ereignisse: Anmeldung Fehlanmeldung Dienstfehler Richtlinienänderung Kontoänderung Systemfehler Merksatz: Die Windows-Ereignisanzeige ist zentrale Logquelle auf Windows-Systemen. --- **journalctl** Auf vielen Linux-Systemen werden Systemlogs über systemd-journald verwaltet. Das Werkzeug zur Anzeige heißt: journalctl Typische Nutzung: Systemmeldungen anzeigen Logs eines Dienstes prüfen Logs seit bestimmtem Zeitpunkt prüfen Bootvorgänge untersuchen Merksatz: journalctl zeigt systemd-Journal-Logs auf Linux-Systemen. --- **Dienstprüfung** Dienstprüfung bedeutet: Es wird geprüft, ob ein Dienst läuft, erreichbar ist und korrekt arbeitet. Zu prüfen: läuft der Dienst? lauscht der Port? ist die Konfiguration korrekt? gibt es Fehlerlogs? antwortet der Dienst? erreicht er Backend-Systeme? gibt es Berechtigungsprobleme? wurde etwas geändert? Merksatz: Dienst läuft nicht automatisch gleich Dienst funktioniert vollständig. --- **Dienststatus** Der Dienststatus zeigt, ob ein Dienst gestartet, gestoppt oder fehlerhaft ist. Beispiele: running stopped failed active inactive disabled Merksatz: Dienststatus ist der erste Blick, aber nicht die vollständige Prüfung. --- **Portprüfung** Ein Dienst kann nur erreicht werden, wenn er auf einem Port lauscht und der Netzwerkweg erlaubt ist. Zu prüfen: lauscht der Dienst auf richtiger IP? lauscht der Dienst auf richtigem Port? blockiert lokale Firewall? blockiert Netzwerkfirewall? stimmt DNS? stimmt Routing? ist der Dienst nur lokal gebunden? Merksatz: Dienst erreichbar bedeutet: Prozess, Port, Firewall, DNS und Routing müssen passen. --- **Dienst lauscht nur lokal** Ein Dienst kann nur auf localhost lauschen. Beispiel: 127.0.0.1 Dann ist er nur vom eigenen System erreichbar. Wenn andere Systeme zugreifen sollen, muss geprüft werden, ob der Dienst auf der passenden Netzwerkschnittstelle lauscht. Merksatz: 127.0.0.1 bedeutet nur lokal auf demselben System. --- **Typische Dienstfehler** Häufige Ursachen: Dienst nicht gestartet falsche Konfiguration Port bereits belegt fehlende Berechtigung Zertifikat abgelaufen Datenbank nicht erreichbar DNS-Fehler Firewall blockiert Speicher voll falsche Zugangsdaten Update hat Abhängigkeit geändert Merksatz: Dienstfehler entstehen oft durch Konfiguration, Abhängigkeiten Berechtigungen oder Ressourcen. --- **Abhängigkeiten von Diensten** Viele Dienste hängen von anderen Diensten ab. Beispiele: Webanwendung braucht Datenbank. Anwendung braucht Redis oder Cache. Login braucht Verzeichnisdienst. Backup braucht Speicherziel. Monitoring braucht Netzwerkzugriff. E-Mail-Dienst braucht DNS. Merksatz: Bei Fehlern immer auch abhängige Dienste prüfen. --- **Metriken im Monitoring** Metriken sind messbare Werte. Typische Metriken: CPU-Auslastung RAM-Nutzung Festplattenbelegung I/O-Last Netzwerklast Paketverlust Latenz Antwortzeit Fehlerquote Anzahl Loginfehler Queue-Länge Verfügbarkeit Merksatz: Metriken zeigen messbare Zustände von Systemen und Diensten. --- **CPU-Auslastung** Hohe CPU-Auslastung kann bedeuten: Dienst ist überlastet Prozess hängt Malware oder Cryptominer aktiv zu viele Anfragen schlecht optimierte Anwendung Backup oder Scan läuft Hardware zu schwach Merksatz: Hohe CPU ist ein Symptom, nicht automatisch die Ursache. --- **RAM-Nutzung** Hohe RAM-Nutzung kann bedeuten: Anwendung braucht viel Speicher Speicherleck zu viele Prozesse Caching falsche Dimensionierung Containerlimit zu klein Datenbank nutzt Speicher intensiv Merksatz: RAM-Auslastung immer im Zusammenhang mit Anwendung und System bewerten. --- **Festplattenbelegung** Volle Festplatten verursachen viele Probleme. Mögliche Folgen: Dienst stoppt Datenbank kann nicht schreiben Logs können nicht gespeichert werden Updates schlagen fehl Backup schlägt fehl System wird instabil Merksatz: Volle Festplatte ist eine häufige Ursache für Dienstfehler. --- **I/O-Last** I/O beschreibt Ein- und Ausgabe auf Speichergeräten. Hohe I/O-Last kann auftreten durch: Datenbank Backup Virenscan Logflut große Dateioperationen langsamen Speicher zu viele gleichzeitige Zugriffe Merksatz: Hohe I/O-Last kann Systeme langsam machen, auch wenn CPU frei ist. --- **Netzwerklast** Netzwerklast zeigt, wie stark eine Verbindung genutzt wird. Hohe Netzwerklast kann entstehen durch: Backup Dateiübertragung Streaming DDoS Malware Synchronisation falsche Schleife große Updates Merksatz: Netzwerklast immer mit Quelle, Ziel und Anwendung betrachten. --- **Latenz und Paketverlust** Latenz: Verzögerung bei der Übertragung Paketverlust: Pakete gehen verloren Folgen: langsame Verbindungen Verbindungsabbrüche schlechte Sprachqualität langsame Remote-Sitzungen Timeouts schlechte Anwendungserfahrung Merksatz: Latenz und Paketverlust beeinflussen spürbar die Qualität von Netzwerkdiensten. --- **Antwortzeit** Antwortzeit beschreibt, wie lange ein Dienst für eine Antwort braucht. Beispiele: Webseite lädt langsam. API antwortet verzögert. Datenbankabfrage dauert lange. Login dauert ungewöhnlich lange. Merksatz: Dienst ist erreichbar, kann aber trotzdem zu langsam sein. --- **Verfügbarkeit** Verfügbarkeit beschreibt, ob ein Dienst nutzbar ist. Monitoring kann prüfen: Ping TCP-Port HTTP-Antwort API-Antwort Login-Test Datenbankverbindung Zertifikat Backup-Erfolg Merksatz: Verfügbarkeit sollte aus Sicht der Nutzung geprüft werden. --- **Health Check** Ein Health Check prüft, ob ein Dienst gesund ist. Beispiele: Prozess läuft Port offen HTTP-Status 200 Datenbank erreichbar Abhängigkeiten funktionieren Antwortzeit im Grenzwert Merksatz: Ein guter Health Check prüft mehr als nur, ob ein Prozess läuft. --- **Alerting** Alerting bedeutet: Bei kritischen Zuständen wird automatisch alarmiert. Beispiele: Festplatte über 90 Prozent Dienst nicht erreichbar Backup fehlgeschlagen Zertifikat läuft bald ab viele Loginfehler CPU dauerhaft sehr hoch ungewöhnlicher Datenexport Firewall blockiert ungewöhnlich viel Merksatz: Monitoring ohne sinnvolles Alerting wird leicht übersehen. --- **Alarmmüdigkeit** Alarmmüdigkeit entsteht, wenn zu viele unwichtige Alarme erzeugt werden. Folge: wichtige Alarme werden ignoriert. Gegenmaßnahmen: sinnvolle Schwellwerte Prioritäten Eskalationsregeln Alarmzusammenfassung regelmäßige Anpassung klare Zuständigkeit Merksatz: Zu viele schlechte Alarme sind fast so problematisch wie keine Alarme. --- **Schwellwerte** Schwellwerte legen fest, wann ein Alarm ausgelöst wird. Beispiele: Festplatte über 90 Prozent CPU länger als 10 Minuten über 95 Prozent Zertifikat läuft in 14 Tagen ab Backup zweimal hintereinander fehlgeschlagen Merksatz: Schwellwerte sollten zur Kritikalität des Dienstes passen. --- **SLA, SLO und SLI in der Praxis** SLI: Messwert SLO: Zielwert SLA: vertragliche Zusage Beispiel: SLI: gemessene Verfügbarkeit SLO: 99,9 Prozent Verfügbarkeit als internes Ziel SLA: 99,5 Prozent vertraglich zugesichert Merksatz: SLI misst. SLO setzt Ziel. SLA ist Zusage. --- **Uptime und Verfügbarkeit** Uptime beschreibt, wie lange ein System ohne Unterbrechung läuft. Verfügbarkeit beschreibt, ob ein Dienst für Benutzer nutzbar ist. Wichtig: Ein Server kann laufen, aber die Anwendung kann trotzdem nicht funktionieren. Merksatz: Uptime ist nicht automatisch Dienstverfügbarkeit. --- **Zertifikatsüberwachung** TLS-Zertifikate laufen ab. Wenn ein Zertifikat abläuft, können Benutzer Warnungen erhalten oder Dienste funktionieren nicht mehr. Monitoring sollte prüfen: Ablaufdatum Hostname passt Zertifikatskette gültig richtige Zertifizierungsstelle automatische Erneuerung funktioniert Merksatz: Abgelaufene Zertifikate sind vermeidbare Ausfälle. --- **Backup-Monitoring** Backup-Monitoring prüft, ob Sicherungen erfolgreich laufen. Zu überwachen: letzter erfolgreicher Lauf Fehlermeldungen Datenmenge Laufzeit Speicherziel verfügbare Kapazität Verschlüsselung Aufbewahrung Restore-Test Merksatz: Backup-Erfolg muss aktiv überwacht werden. --- **Logauswertung bei Sicherheitsvorfällen** Bei Verdacht auf Sicherheitsvorfall helfen Logs. Zu prüfen: ungewöhnliche Loginzeiten viele Fehlversuche neue Adminrechte neue Benutzer neue Weiterleitungsregeln Datenexporte verdächtige DNS-Anfragen ungewöhnliche Prozesse Firewall-Drops VPN-Zugriffe EDR-Meldungen Merksatz: Sicherheitsvorfälle lassen sich nur gut untersuchen, wenn Logs vorhanden und geschützt sind. --- **Zeitliche Korrelation** Zeitliche Korrelation bedeutet: Ereignisse aus verschiedenen Logs werden zeitlich zusammengeführt. Beispiel: 10:01 VPN-Login 10:03 Adminrechte vergeben 10:05 Zugriff auf Dateiserver 10:10 Datenexport Merksatz: Korrelation zeigt Zusammenhänge, die einzelne Logs allein nicht zeigen. --- **NTP und Zeitbasis** NTP steht für: Network Time Protocol NTP synchronisiert Systemzeiten. Warum wichtig? Logs verschiedener Systeme müssen zeitlich vergleichbar sein. Ohne korrekte Zeit: Ereignisse sind schwer zuzuordnen. Sicherheitsanalyse wird ungenau. Nachweise werden schwieriger. Merksatz: Gemeinsame Zeitbasis ist wichtig für Logs und Forensik. --- **Manipulationsschutz für Logs** Logs können für Angreifer gefährlich sein, weil sie Spuren enthalten. Deshalb versuchen Angreifer oft, Logs zu löschen oder zu verändern. Schutz: zentrale Logsammlung eingeschränkte Rechte unveränderliche Speicherung regelmäßige Sicherung getrennte Systeme Alarm bei Logausfall Auditierung Merksatz: Logs müssen vor Manipulation geschützt werden. --- **Dashboard** Ein Dashboard zeigt wichtige Zustände übersichtlich an. Beispiele: Systemstatus Dienstverfügbarkeit CPU und RAM Netzwerkstatus Backupstatus Sicherheitsalarme Zertifikatsstatus offene Incidents Merksatz: Dashboard zeigt schnell, wo Aufmerksamkeit nötig ist. --- **Runbook** Ein Runbook ist eine Schritt-für-Schritt-Anleitung für wiederkehrende Situationen. Beispiele: Dienst ausgefallen Backup fehlgeschlagen Zertifikat abgelaufen Speicherplatz voll Benutzerkonto gesperrt VPN funktioniert nicht Malware-Verdacht Merksatz: Runbooks helfen, Fehler schneller und einheitlicher zu beheben. --- **Dokumentation bei Störungen** Bei Störungen sollte dokumentiert werden: Zeitpunkt betroffene Systeme Symptome Fehlermeldungen Logs getroffene Maßnahmen Verantwortliche Ursache Lösung Restprobleme Lessons Learned Merksatz: Gute Dokumentation verhindert, dass derselbe Fehler immer wieder neu gesucht wird. --- **Typische Praxisreihenfolge bei Dienstproblemen** Sinnvolle Reihenfolge: 1. Ist das Problem reproduzierbar? 2. Wer ist betroffen? 3. Seit wann besteht das Problem? 4. Gab es Änderungen? 5. Läuft der Dienst? 6. Lauscht der Port? 7. Ist DNS korrekt? 8. Ist Netzwerkverbindung möglich? 9. Blockiert eine Firewall? 10. Gibt es Fehlerlogs? 11. Sind Abhängigkeiten erreichbar? 12. Sind Ressourcen ausreichend? 13. Funktioniert Authentifizierung? 14. Ist ein Zertifikat abgelaufen? 15. Wurde die Lösung dokumentiert? Merksatz: Fehlersuche wird schneller, wenn sie systematisch erfolgt. --- **Typische Fehler bei Logs und Monitoring** Häufige Fehler: Logs nicht aktiviert Logs nur lokal gespeichert Logs werden zu früh gelöscht Logs enthalten zu viele sensible Daten keine zentrale Auswertung keine Zeitsynchronisation keine Alarmierung zu viele unwichtige Alarme Backupfehler werden nicht bemerkt Zertifikatsablauf wird nicht überwacht Dienst läuft, aber Anwendung wird nicht geprüft niemand ist für Alarme zuständig Merksatz: Monitoring muss betrieben und gepflegt werden, sonst verliert es seinen Nutzen. --- **Checkliste: Logs und Monitoring sinnvoll einrichten** Wichtige Systeme erfassen. Wichtige Dienste erfassen. Relevante Logs aktivieren. Logaufbewahrung festlegen. Datenschutz beachten. Zentrale Logsammlung nutzen. Zeitsynchronisation per NTP sicherstellen. Kritische Metriken überwachen. Schwellwerte definieren. Alarmwege festlegen. Zuständigkeiten klären. Backup-Erfolg überwachen. Zertifikate überwachen. Health Checks einrichten. Runbooks erstellen. Alarme regelmäßig prüfen. Dokumentation aktuell halten. Merksatz: Logs und Monitoring brauchen Planung, Zuständigkeit und regelmäßige Pflege. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Warum sind Logs wichtig? - Was ist der Unterschied zwischen Logging und Monitoring? - Welche Logquellen gibt es? - Was sind Authentifizierungslogs? - Wofür nutzt man Firewall-Logs? - Wofür nutzt man VPN-Logs? - Was zeigen Webserverlogs? - Was bedeuten HTTP-Statuscodes 4xx und 5xx? - Was ist Logrotation? - Warum ist Logaufbewahrung wichtig? - Warum sind Logs datenschutzrelevant? - Was ist zentrale Logsammlung? - Was ist Syslog? - Was ist journalctl? - Was ist ein Health Check? - Was ist Alerting? - Was ist Alarmmüdigkeit? - Warum ist NTP für Logs wichtig? - Was ist ein Dashboard? - Was ist ein Runbook? - Warum sollte Backup-Monitoring eingerichtet werden? --- **Typische Prüfungsfallen** Logs und Monitoring nicht verwechseln. Logs zeigen Ereignisse. Monitoring zeigt Zustände. Alerting meldet kritische Zustände. Ohne Logs ist Sicherheitsanalyse schwierig. Lokale Logs können manipuliert werden. Zentrale Logsammlung verbessert Nachvollziehbarkeit. Logs können personenbezogene Daten enthalten. Logrotation verhindert volle Festplatten. Debug-Logs nicht dauerhaft unnötig aktiv lassen. Dienst läuft nicht automatisch gleich Anwendung funktioniert. 4xx bedeutet meist Client- oder Berechtigungsproblem. 5xx bedeutet meist Server- oder Backendproblem. Uptime ist nicht automatisch Verfügbarkeit. Health Check sollte mehr prüfen als Prozessstatus. Backup-Erfolg aktiv überwachen. Zertifikatsablauf überwachen. NTP ist wichtig für zeitliche Korrelation. Zu viele Alarme führen zu Alarmmüdigkeit. Runbooks helfen bei wiederkehrenden Störungen. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | Log | protokolliertes Ereignis | | Logging | Aufzeichnung von Ereignissen | | Monitoring | Überwachung von Zuständen | | Alerting | automatische Alarmierung | | Reporting | Auswertung über Zeitraum | | Betriebssystemlog | Log des Betriebssystems | | Anwendungslog | Log einer Anwendung | | Authentifizierungslog | Log zu Anmeldungen | | Firewall-Log | Log zu erlaubtem und blockiertem Verkehr | | VPN-Log | Log zu VPN-Verbindungen | | DNS-Log | Log zu Namensauflösungen | | DHCP-Log | Log zu IP-Vergaben | | Webserverlog | Log zu HTTP-Anfragen | | HTTP-Statuscode | Ergebnis einer Webanfrage | | Backup-Log | Log zu Sicherungen | | Audit-Log | Log sicherheitsrelevanter Aktionen | | Loglevel | Schweregrad einer Logmeldung | | Debug | detaillierte Fehlersuche | | Info | normale Information | | Warning | Warnung | | Error | Fehler | | Critical | schwerer Fehler | | Logrotation | Verwaltung alter Logdateien | | Logaufbewahrung | Dauer der Speicherung | | zentrale Logsammlung | Sammlung von Logs an zentralem Ort | | Syslog | Standard für Logmeldungen | | Ereignisanzeige | Windows-Loganzeige | | journalctl | Werkzeug für systemd-Journal | | Dienstprüfung | Prüfung eines Dienstes | | Portprüfung | Prüfung erreichbarer Ports | | Metrik | messbarer Wert | | CPU-Auslastung | Prozessorlast | | RAM-Nutzung | Arbeitsspeichernutzung | | I/O-Last | Last durch Ein- und Ausgabe | | Latenz | Verzögerung | | Paketverlust | verlorene Netzwerkpakete | | Antwortzeit | Dauer bis zur Antwort | | Verfügbarkeit | Nutzbarkeit eines Dienstes | | Health Check | Gesundheitsprüfung eines Dienstes | | Schwellwert | Grenze für Alarm | | SLI | Service-Messwert | | SLO | Service-Zielwert | | SLA | vertragliche Servicezusage | | NTP | Zeitsynchronisation | | Dashboard | Übersicht wichtiger Zustände | | Runbook | Schritt-für-Schritt-Anleitung | --- **IHK-sichere Kurzformulierung** Logs protokollieren Ereignisse auf Systemen, Anwendungen, Netzwerkkomponenten und Sicherheitsdiensten. Monitoring überwacht aktuelle Zustände und Metriken wie Verfügbarkeit, CPU-Auslastung, Speicherplatz, Antwortzeiten, Backup-Erfolg und Zertifikatslaufzeiten. Alerting informiert Verantwortliche automatisch bei kritischen Abweichungen. Für eine sinnvolle Analyse sollten wichtige Logs zentral gesammelt, geschützt, mit korrekter Zeitbasis versehen und datenschutzgerecht aufbewahrt werden. Dienstprüfung umfasst die Kontrolle von Dienststatus, Port, Firewall, DNS, Routing, Logs, Ressourcen und Abhängigkeiten. Logs, Monitoring, Health Checks, Dashboards und Runbooks helfen, Fehler schneller zu erkennen, Sicherheitsvorfälle zu untersuchen und den Betrieb nachvollziehbar zu dokumentieren. --- **Merksätze** Logs zeigen Ereignisse. Monitoring zeigt Zustände. Alerting meldet kritische Abweichungen. Ohne Logs ist Fehlersuche schwierig. Ohne Monitoring werden Probleme oft zu spät erkannt. Authentifizierungslogs zeigen Anmeldungen. Firewall-Logs zeigen erlaubten und blockierten Verkehr. VPN-Logs zeigen Fernzugriffe. DNS-Logs helfen bei Namensauflösung und Sicherheit. DHCP-Logs helfen bei IP-Zuordnung. Webserverlogs zeigen HTTP-Anfragen. 2xx bedeutet erfolgreich. 3xx bedeutet Weiterleitung. 4xx bedeutet Client- oder Berechtigungsproblem. 5xx bedeutet Server- oder Backendproblem. Backup-Logs regelmäßig prüfen. Cloud-Audit-Logs zeigen Änderungen in der Cloud. Debug-Logs nicht dauerhaft unnötig aktiv lassen. Logrotation schützt vor voller Festplatte. Logs können personenbezogene Daten enthalten. Zentrale Logsammlung verbessert Nachvollziehbarkeit. Syslog transportiert Logmeldungen. Windows nutzt Ereignisprotokolle. journalctl zeigt systemd-Journal-Logs. Dienststatus ist nur der erste Schritt. Port, Firewall, DNS und Routing mitprüfen. 127.0.0.1 bedeutet nur lokal erreichbar. Abhängige Dienste prüfen. Metriken zeigen messbare Zustände. Hohe CPU ist Symptom, nicht automatisch Ursache. Volle Festplatte verursacht viele Dienstfehler. Uptime ist nicht automatisch Verfügbarkeit. Health Check soll echte Nutzbarkeit prüfen. Zu viele Alarme führen zu Alarmmüdigkeit. NTP ist wichtig für Logauswertung. Logs vor Manipulation schützen. Dashboard schafft Überblick. Runbooks beschleunigen wiederkehrende Fehlerbehebung. Störungen dokumentieren. Logs und Monitoring brauchen Pflege. # 17.5 Netzwerk- und Systembefehle in der Praxis Administratoren nutzen Befehle, um Systeme, Netzwerke, Dienste, Verbindungen, IP-Konfigurationen und Fehlerzustände zu prüfen. Typische Ziele sind: - IP-Adresse prüfen - Gateway prüfen - DNS prüfen - Erreichbarkeit testen - Routing prüfen - offene Ports prüfen - aktive Verbindungen anzeigen - Dienste prüfen - Logs anzeigen - Benutzerrechte prüfen - Systemressourcen prüfen Merksatz: Befehle helfen, Vermutungen durch konkrete Informationen zu ersetzen. --- **Warum Befehle wichtig sind** Grafische Oberflächen zeigen oft nur einen Teil der Informationen. Befehle sind wichtig, weil sie: schnell sind genaue Ausgaben liefern automatisierbar sind auch per SSH funktionieren bei Servern ohne GUI nutzbar sind Fehlersuche systematisch machen gut dokumentierbare Ergebnisse liefern Merksatz: Kommandozeilenwerkzeuge sind praktische Diagnosewerkzeuge. --- **Befehle richtig einordnen** Ein einzelner Befehl löst selten das ganze Problem. Wichtig ist die Reihenfolge: 1. IP-Konfiguration prüfen. 2. Gateway prüfen. 3. DNS prüfen. 4. Ziel erreichen. 5. Port prüfen. 6. Dienst prüfen. 7. Logs prüfen. 8. Änderungen prüfen. 9. Ursache dokumentieren. Merksatz: Nicht blind Befehle ausführen, sondern systematisch prüfen. --- **Windows und Linux unterscheiden** Viele Befehle unterscheiden sich je nach Betriebssystem. Beispiele: | Aufgabe | Windows | Linux/macOS | |---|---|---| | IP-Konfiguration anzeigen | ipconfig | ip addr oder ifconfig | | Routing anzeigen | route print | ip route oder netstat -rn | | DNS testen | nslookup | dig oder nslookup | | Erreichbarkeit testen | ping | ping | | Route verfolgen | tracert | traceroute | | Verbindungen anzeigen | netstat | ss oder netstat | | Dienste prüfen | services.msc, sc | systemctl | | Logs anzeigen | Ereignisanzeige | journalctl, Logdateien | Merksatz: Gleiche Aufgabe, anderes Werkzeug je nach System. --- **IP-Konfiguration prüfen** Die IP-Konfiguration zeigt, wie ein System im Netzwerk eingebunden ist. Zu prüfen: IP-Adresse Subnetzmaske oder Präfix Standardgateway DNS-Server DHCP oder statische Adresse Netzwerkschnittstelle IPv4 und IPv6 Verbindung aktiv oder getrennt Merksatz: Ohne korrekte IP-Konfiguration funktioniert keine saubere Netzwerkkommunikation. --- **ipconfig unter Windows** Unter Windows zeigt ipconfig die IP-Konfiguration an. Typische Informationen: IPv4-Adresse IPv6-Adresse Subnetzmaske Standardgateway DNS-Suffix Adaptername Typische Nutzung: IP-Adresse prüfen Gateway prüfen DHCP-Zuweisung prüfen DNS-Server prüfen Merksatz: ipconfig zeigt die Netzwerkkonfiguration unter Windows. --- **ipconfig /all** ipconfig /all zeigt detailliertere Informationen. Zusätzlich sichtbar: MAC-Adresse DHCP aktiviert oder nicht DHCP-Server DNS-Server Lease-Zeit Hostname DNS-Suffix Adapterbeschreibung Merksatz: ipconfig /all ist genauer als einfaches ipconfig. --- **ip addr unter Linux** Unter Linux zeigt ip addr IP-Adressen und Schnittstellen an. Typische Informationen: Interface-Name IPv4-Adresse IPv6-Adresse MAC-Adresse Status der Schnittstelle Präfixlänge Beispiele für Interface-Namen: eth0 ens18 enp0s3 wlan0 lo Merksatz: ip addr zeigt IP-Adressen und Netzwerkinterfaces unter Linux. --- **ifconfig** ifconfig ist ein älteres Werkzeug, das auf vielen Systemen noch bekannt ist. Es zeigt ebenfalls Netzwerkschnittstellen und IP-Adressen. Wichtig: Auf modernen Linux-Systemen wird häufig ip aus dem iproute2-Paket bevorzugt. Merksatz: ifconfig ist bekannt, ip ist auf modernen Linux-Systemen oft aktueller. --- **MAC-Adresse prüfen** Die MAC-Adresse ist die Hardwareadresse einer Netzwerkschnittstelle. Sie ist wichtig für: DHCP-Zuordnung Switch-MAC-Tabellen Wake-on-LAN Netzwerkzugangskontrolle Fehlersuche auf Schicht 2 Merksatz: MAC-Adresse hilft bei Layer-2-Analyse. --- **Gateway prüfen** Das Standardgateway wird benötigt, wenn ein Ziel außerhalb des eigenen Netzes liegt. Fehlt das Gateway, funktioniert meist nur Kommunikation im lokalen Netz. Typische Symptome: lokale Geräte erreichbar Internet nicht erreichbar andere Netze nicht erreichbar DNS-Server außerhalb des Netzes nicht erreichbar Merksatz: Ohne Gateway kein Weg in andere Netze. --- **Routing anzeigen unter Windows** Unter Windows zeigt route print die Routing-Tabelle. Zu prüfen: Standardroute Zielnetze Gateway Interface Metrik IPv4-Routen IPv6-Routen Merksatz: route print zeigt, wohin Windows Pakete senden will. --- **Routing anzeigen unter Linux** Unter Linux zeigt ip route die Routing-Tabelle. Wichtig sind: default route lokale Netzroute Gateway Interface spezielle Routen Metrik Merksatz: ip route zeigt Routingentscheidungen unter Linux. --- **Standardroute** Die Standardroute wird genutzt, wenn keine spezifischere Route passt. Sie wird oft angezeigt als: 0.0.0.0/0 oder: default Merksatz: Standardroute ist der allgemeine Weg zu unbekannten Netzen. --- **Spezifischste Route gewinnt** Wenn mehrere Routen passen, wird die spezifischste Route verwendet. Beispiel: Route zu 192.168.1.0/24 ist spezifischer als 0.0.0.0/0. Merksatz: Die genaueste passende Route gewinnt. --- **ping** ping testet, ob ein Ziel per ICMP erreichbar ist. Es prüft: Ziel antwortet? Paketlaufzeit? Paketverlust? Namensauflösung indirekt, wenn ein Name genutzt wird Merksatz: ping prüft grundlegende Erreichbarkeit per ICMP. --- **ping richtig interpretieren** ping erfolgreich: Ziel antwortet per ICMP. ping fehlgeschlagen bedeutet nicht automatisch: Ziel ist aus. Mögliche Ursachen: Firewall blockiert ICMP Ziel blockiert ICMP Routingproblem DNS-Problem Ziel offline Gatewayproblem Paketverlust Merksatz: Kein ping ist ein Hinweis, aber kein endgültiger Beweis. --- **ping mit IP-Adresse** Ping auf IP-Adresse prüft vor allem: Netzwerkweg Routing ICMP-Erreichbarkeit Beispielprinzip: ping 192.168.1.1 Wenn IP-Ping funktioniert, aber Name nicht, liegt der Fehler häufig bei DNS. Merksatz: IP-Ping trennt Netzwerkprüfung von Namensauflösung. --- **ping mit Hostname** Ping auf Hostname prüft zusätzlich DNS. Beispielprinzip: ping server.example.local Wenn Hostname nicht aufgelöst wird, kann ping gar nicht zum eigentlichen Ziel starten. Merksatz: Hostname-Ping prüft DNS und Erreichbarkeit zusammen. --- **DNS prüfen** DNS-Probleme sind häufige Ursachen für Netzwerkfehler. Zu prüfen: richtiger DNS-Server eingetragen? DNS-Server erreichbar? Name existiert? richtige IP wird geliefert? interner oder externer DNS? Split-DNS bei VPN? DNS-Cache veraltet? Merksatz: Wenn IP funktioniert, aber Name nicht, ist DNS verdächtig. --- **nslookup** nslookup fragt DNS-Einträge ab. Es kann genutzt werden für: Name zu IP-Adresse IP-Adresse zu Name bestimmten DNS-Server testen DNS-Fehler eingrenzen Merksatz: nslookup prüft Namensauflösung. --- **dig** dig ist ein häufiges DNS-Werkzeug unter Linux und macOS. Es zeigt detaillierte DNS-Antworten. Nützlich für: A-Record AAAA-Record MX-Record TXT-Record CNAME DNS-Serververgleich Antwortzeiten TTL Merksatz: dig zeigt DNS-Antworten sehr detailliert. --- **DNS-Recordtypen** Wichtige DNS-Recordtypen: | Record | Bedeutung | |---|---| | A | Name zu IPv4-Adresse | | AAAA | Name zu IPv6-Adresse | | CNAME | Alias auf anderen Namen | | MX | Mailserver einer Domain | | TXT | Textinformationen, oft SPF oder Verifikation | | NS | zuständige Nameserver | | PTR | Reverse DNS, IP zu Name | Merksatz: DNS besteht aus unterschiedlichen Recordtypen für unterschiedliche Aufgaben. --- **DNS-Cache** Betriebssysteme und Anwendungen können DNS-Antworten zwischenspeichern. Vorteil: schnellere Namensauflösung Nachteil: alte Einträge können Fehler verursachen. Merksatz: DNS-Cache kann veraltete Antworten liefern. --- **tracert unter Windows** tracert zeigt den Weg zu einem Ziel über mehrere Router. Es hilft bei: Routingproblemen Paketverlust unterwegs falschem Weg Abbruch an bestimmtem Hop Erkennung von Übergabepunkten Merksatz: tracert zeigt Zwischenstationen auf dem Weg zum Ziel. --- **traceroute unter Linux und macOS** traceroute erfüllt ähnlich wie tracert die Aufgabe, den Weg zum Ziel sichtbar zu machen. Je nach System können unterschiedliche Protokolle genutzt werden. Merksatz: traceroute hilft, den Netzwerkpfad einzugrenzen. --- **Traceroute richtig interpretieren** Ein Sternchen oder fehlende Antwort bedeutet nicht automatisch, dass dort ein Fehler ist. Mögliche Ursachen: Router antwortet nicht auf Traceroute ICMP wird blockiert Rate Limiting Firewall-Regel Paket geht trotzdem weiter Wichtig ist: Kommt das Ziel am Ende an? Wo beginnt der Ausfall? Sind mehrere Ziele betroffen? Merksatz: Traceroute-Ausgaben brauchen Interpretation. --- **netstat** netstat zeigt Netzwerkverbindungen, lauschende Ports und Routinginformationen. Typische Nutzung: aktive Verbindungen prüfen offene Ports prüfen lokale Dienste finden Verbindungszustände anzeigen Merksatz: netstat zeigt Netzwerkstatus und Verbindungen. --- **ss unter Linux** ss ist ein modernes Werkzeug unter Linux, um Sockets und Netzwerkverbindungen anzuzeigen. Es ersetzt häufig netstat. Typische Informationen: lauschende Ports aktive TCP-Verbindungen UDP-Sockets Prozesszuordnung je nach Option Merksatz: ss zeigt schnell offene Ports und Verbindungen unter Linux. --- **Offene Ports prüfen** Offene Ports zeigen, welche Dienste erreichbar sein könnten. Zu prüfen: lauscht ein Dienst? auf welcher IP lauscht er? TCP oder UDP? nur localhost oder extern? welcher Prozess nutzt den Port? sollte der Port offen sein? Merksatz: Ein offener Port ist ein möglicher Zugangspunkt. --- **localhost und 0.0.0.0 unterscheiden** 127.0.0.1: Dienst ist nur lokal erreichbar. 0.0.0.0: Dienst lauscht auf allen IPv4-Schnittstellen. Konkrete IP-Adresse: Dienst lauscht nur auf dieser Schnittstelle. Merksatz: 127.0.0.1 ist lokal. 0.0.0.0 ist auf allen Schnittstellen. --- **TCP-Verbindungszustände** Typische TCP-Zustände: | Zustand | Bedeutung | |---|---| | LISTEN | Dienst wartet auf Verbindungen | | ESTABLISHED | Verbindung besteht | | TIME_WAIT | Verbindung wurde beendet, Zustand läuft aus | | SYN_SENT | Verbindungsaufbau gestartet | | SYN_RECEIVED | Verbindungsaufbau teilweise angekommen | | CLOSE_WAIT | Gegenseite hat geschlossen, lokale Seite noch nicht | Merksatz: TCP-Zustände helfen, Verbindungsprobleme einzugrenzen. --- **Port erreichbar testen** Um zu prüfen, ob ein Port erreichbar ist, kann je nach System ein Werkzeug genutzt werden. Beispiele für Prinzipien: TCP-Verbindung zu Zielport testen HTTP-Antwort testen Dienstprotokoll prüfen Zu beachten: Port offen bedeutet nicht automatisch, dass die Anwendung korrekt funktioniert. Merksatz: Porttest prüft Erreichbarkeit, nicht vollständige Anwendungsfunktion. --- **telnet als Porttest** telnet kann technisch genutzt werden, um einfache TCP-Verbindungen zu testen. Wichtig: Telnet als Verwaltungsprotokoll ist unsicher, weil es unverschlüsselt ist. Einordnung: Telnet zur Administration vermeiden. Als einfacher Porttest historisch bekannt, aber moderne Alternativen bevorzugen. Merksatz: Telnet nicht für sichere Administration verwenden. --- **curl** curl ruft URLs und APIs über die Kommandozeile ab. Nützlich für: HTTP-Status prüfen Header prüfen API testen Zertifikatsprobleme erkennen Weiterleitungen prüfen Antwortzeiten grob prüfen Webserver-Erreichbarkeit testen Merksatz: curl ist ein wichtiges Werkzeug für Web- und API-Tests. --- **HTTP mit curl prüfen** Mit curl kann geprüft werden: Antwortet der Webserver? Welcher Statuscode kommt zurück? Gibt es Weiterleitungen? Wird HTTPS genutzt? Stimmen Header? Kommt eine Fehlermeldung? Merksatz: curl prüft Webdienste direkter als ein Browser. --- **wget** wget kann Dateien oder Webseiten über HTTP, HTTPS oder FTP herunterladen. Nützlich für: Download testen Erreichbarkeit prüfen automatisierte Abrufe Spiegeln einfacher Inhalte Merksatz: wget dient vor allem zum Abrufen und Herunterladen. --- **Dienststatus unter Linux prüfen** Auf vielen Linux-Systemen wird systemctl genutzt. Typische Prüfungen: läuft der Dienst? ist der Dienst aktiviert? ist der Dienst fehlgeschlagen? wann wurde er gestartet? welche Fehlermeldung gibt es? Merksatz: systemctl prüft und verwaltet systemd-Dienste. --- **journalctl für Dienstlogs** journalctl zeigt Logs des systemd-Journals. Nützlich für: Fehler eines Dienstes prüfen Logs seit Start ansehen aktuelle Meldungen verfolgen Bootprobleme analysieren Merksatz: journalctl und systemctl gehören bei Linux-Dienstfehlern zusammen. --- **Dienste unter Windows prüfen** Unter Windows können Dienste geprüft werden über: Dienste-Verwaltung Ereignisanzeige Task-Manager PowerShell sc Zu prüfen: Dienst gestartet? Starttyp korrekt? Abhängigkeiten erfüllt? Fehler im Ereignisprotokoll? Dienstkonto korrekt? Berechtigungen vorhanden? Merksatz: Windows-Dienstfehler stehen oft zusätzlich in der Ereignisanzeige. --- **Prozessprüfung** Prozesse zeigen, welche Programme gerade laufen. Zu prüfen: läuft der Prozess? verbraucht er viel CPU? verbraucht er viel RAM? startet er immer wieder neu? gehört er zum erwarteten Dienst? läuft er mit welchem Benutzer? Merksatz: Dienstprobleme zeigen sich oft auch in Prozessen. --- **Ressourcen prüfen** Systemressourcen beeinflussen Dienste. Wichtige Ressourcen: CPU RAM Festplatte I/O Netzwerk offene Dateien Prozesslimits Merksatz: Ein Dienst kann fehlschlagen, obwohl Netzwerk und Konfiguration richtig sind, wenn Ressourcen fehlen. --- **Speicherplatz prüfen** Volle Datenträger sind häufige Fehlerursachen. Folgen: Logs können nicht geschrieben werden. Datenbank stoppt. Updates schlagen fehl. Anwendung kann keine Dateien speichern. Backup bricht ab. System wird instabil. Merksatz: Bei Dienstproblemen immer Speicherplatz prüfen. --- **df unter Linux** df zeigt die Belegung von Dateisystemen. Nützlich für: freie Kapazität prüfen volle Partitionen erkennen Mountpunkte prüfen Merksatz: df zeigt, wie voll Dateisysteme sind. --- **du unter Linux** du zeigt, wie viel Speicher bestimmte Ordner oder Dateien belegen. Nützlich für: große Ordner finden Logwachstum prüfen Speicherfresser eingrenzen Merksatz: df zeigt Dateisysteme. du zeigt Ordner- und Dateigrößen. --- **top und htop** top zeigt laufende Prozesse und Ressourcennutzung. htop ist eine komfortablere Variante, wenn installiert. Nützlich für: CPU-lastige Prozesse finden RAM-Verbrauch prüfen Prozesszustände ansehen Systemlast beurteilen Merksatz: top und htop zeigen laufende Prozesse und Last. --- **Task-Manager unter Windows** Der Task-Manager zeigt: laufende Prozesse CPU-Auslastung Arbeitsspeicher Datenträgerlast Netzwerk Autostart Benutzer Dienste Merksatz: Task-Manager ist ein schneller Überblick über Windows-Systemlast. --- **PowerShell in der Administration** PowerShell ist eine Verwaltungs- und Automatisierungsumgebung unter Windows. Sie wird genutzt für: Benutzerverwaltung Dienste prüfen Prozesse prüfen Dateien verwalten Netzwerk prüfen Ereignislogs auswerten Microsoft-365-Administration Automatisierung Merksatz: PowerShell ist ein zentrales Administrationswerkzeug unter Windows. --- **Ereignisanzeige unter Windows** Die Ereignisanzeige zeigt Windows-Logs. Wichtige Bereiche: Anwendung Sicherheit System Typische Nutzung: Dienstfehler prüfen Anmeldeereignisse prüfen Treiberfehler prüfen Systemfehler analysieren Sicherheitsereignisse ansehen Merksatz: Windows-Fehleranalyse führt häufig zur Ereignisanzeige. --- **whoami** whoami zeigt, unter welchem Benutzer man angemeldet ist. Nützlich bei: Rechteproblemen falscher Anmeldung Skriptausführung Dienstkontenprüfung Remote-Sitzungen Merksatz: Erst prüfen, wer man auf dem System wirklich ist. --- **Gruppenmitgliedschaften prüfen** Gruppenmitgliedschaften bestimmen oft Rechte. Zu prüfen: ist Benutzer in richtiger Gruppe? fehlt eine Gruppe? ist eine alte Gruppe noch aktiv? greifen Gruppenrichtlinien? wurde Anmeldung neu gestartet? Merksatz: Viele Rechteprobleme sind Gruppenprobleme. --- **Hostname prüfen** Der Hostname identifiziert ein System im Netzwerk. Wichtig für: DNS Dokumentation Zertifikate Monitoring Logs Inventarisierung Merksatz: Hostname, DNS-Name Zertifikat und Dokumentation sollten zusammenpassen. --- **Datum und Uhrzeit prüfen** Falsche Uhrzeit kann Probleme verursachen. Beispiele: Zertifikatsfehler Kerberos-Probleme Logauswertung falsch MFA-Probleme geplante Aufgaben laufen falsch Token ungültig Merksatz: Zeitabweichungen verursachen viele schwer erkennbare Fehler. --- **Umgebungsvariablen** Umgebungsvariablen beeinflussen Programme und Skripte. Beispiele: PATH HOME USER TEMP Proxy-Einstellungen Anwendungskonfiguration Zugangspfade Merksatz: Falsche Umgebungsvariablen können Programme anders verhalten lassen. --- **Konfigurationsdateien prüfen** Viele Dienste werden über Konfigurationsdateien gesteuert. Zu prüfen: Syntax korrekt? Pfade richtig? Ports richtig? Zugangsdaten korrekt? Zertifikate richtig eingetragen? Änderungen dokumentiert? Dienst nach Änderung neu geladen? Merksatz: Kleine Fehler in Konfigurationen können ganze Dienste stoppen. --- **Änderungen prüfen** Bei neuen Fehlern ist die wichtigste Frage oft: Was wurde zuletzt geändert? Mögliche Änderungen: Update Firewall-Regel Zertifikat Passwort DNS-Eintrag DHCP-Änderung Routing Dienstkonfiguration Berechtigung Netzwerkverkabelung Cloud-Regel Merksatz: Neue Fehler hängen oft mit letzten Änderungen zusammen. --- **Systematische Fehlersuche mit Befehlen** Sinnvolle Reihenfolge: 1. Eigenes System prüfen. 2. IP-Konfiguration prüfen. 3. Gateway prüfen. 4. DNS prüfen. 5. Ziel per IP testen. 6. Ziel per Name testen. 7. Route verfolgen. 8. Port prüfen. 9. Dienststatus prüfen. 10. Logs prüfen. 11. Ressourcen prüfen. 12. Berechtigungen prüfen. 13. Änderungen prüfen. 14. Ergebnis dokumentieren. Merksatz: Systematische Befehlsnutzung spart Zeit. --- **Typische Fehlerbilder und passende Prüfung** | Fehlerbild | Erste Prüfungen | |---|---| | Kein Internet | IP, Gateway, DNS, Router | | Name geht nicht | DNS, DNS-Server, Cache | | IP geht, Name nicht | DNS prüfen | | Dienst nicht erreichbar | Port, Firewall, Dienststatus | | Webseite 404 | URL, Webserver, Pfad | | Webseite 500 | Anwendung, Backend, Logs | | Login schlägt fehl | Benutzer, Passwort, MFA, Logs | | Zugriff verweigert | Gruppen, Rechte, ACL | | Langsame Verbindung | Latenz, Paketverlust, Last | | Zertifikatsfehler | Uhrzeit, Zertifikat, Hostname | Merksatz: Fehlerbild bestimmt die nächste sinnvolle Prüfung. --- **Typische Praxisfehler** Häufige Fehler: DNS wird zu spät geprüft nur ping genutzt Firewall vergessen Gateway nicht geprüft IPv4 und IPv6 verwechselt falsches Interface betrachtet Dienststatus geprüft, aber Port nicht Port offen, aber Anwendung nicht getestet Logs nicht gelesen letzte Änderungen ignoriert Rechteproblem als Netzwerkproblem behandelt Merksatz: Fehlersuche braucht mehrere Blickwinkel. --- **Checkliste: Netzwerk- und Systemprüfung** IP-Adresse prüfen. Subnetz prüfen. Gateway prüfen. DNS-Server prüfen. Ping zur Gateway-IP testen. Ping zur Ziel-IP testen. Namensauflösung testen. Route prüfen. Port prüfen. Dienststatus prüfen. Prozess prüfen. Logs prüfen. Firewall prüfen. Ressourcen prüfen. Benutzer und Rechte prüfen. Zertifikate und Uhrzeit prüfen. letzte Änderungen prüfen. Ergebnis dokumentieren. Merksatz: Erst Grundlagen prüfen, dann Spezialfälle. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Wofür nutzt man ipconfig? - Wofür nutzt man ipconfig /all? - Wofür nutzt man ip addr? - Was zeigt eine Routing-Tabelle? - Was ist eine Standardroute? - Wofür nutzt man ping? - Warum beweist ein fehlgeschlagener ping nicht immer, dass ein Ziel offline ist? - Wie prüft man DNS? - Was macht nslookup? - Was macht dig? - Wofür nutzt man tracert oder traceroute? - Was zeigt netstat? - Was zeigt ss? - Was bedeutet LISTEN? - Was bedeutet ESTABLISHED? - Warum ist 127.0.0.1 besonders? - Wofür nutzt man curl? - Was prüft systemctl? - Was zeigt journalctl? - Warum sollte man Logs prüfen? - Warum ist Speicherplatzprüfung wichtig? - Warum ist die Frage nach letzten Änderungen wichtig? --- **Typische Prüfungsfallen** ping prüft ICMP, nicht automatisch jeden Dienst. Kein ping kann durch Firewall entstehen. IP funktioniert, Name nicht: DNS prüfen. Hostname funktioniert nicht automatisch, wenn IP funktioniert. Standardroute ist wichtig für fremde Netze. Spezifischste Route gewinnt. tracert und traceroute zeigen Zwischenstationen, aber nicht jeder Hop antwortet. Offener Port bedeutet nicht, dass Anwendung vollständig funktioniert. 127.0.0.1 ist nur lokal. 0.0.0.0 bedeutet alle IPv4-Schnittstellen. LISTEN bedeutet Dienst wartet auf Verbindung. ESTABLISHED bedeutet Verbindung besteht. Telnet ist als Administrationsprotokoll unsicher. curl ist nützlich für Webtests. Dienst läuft nicht automatisch gleich Dienst funktioniert. Logs liefern oft den entscheidenden Hinweis. Volle Festplatte ist eine häufige Fehlerursache. Uhrzeitfehler können Zertifikate und Anmeldung stören. Letzte Änderungen immer prüfen. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | ipconfig | Windows-IP-Konfiguration anzeigen | | ipconfig /all | detaillierte Windows-Netzwerkinformationen | | ip addr | Linux-IP-Adressen anzeigen | | ifconfig | älteres Werkzeug für Netzwerkschnittstellen | | MAC-Adresse | Hardwareadresse einer Netzwerkschnittstelle | | Gateway | Übergang in andere Netze | | Routing-Tabelle | Liste möglicher Netzwerkwege | | Standardroute | allgemeiner Weg zu unbekannten Netzen | | ping | ICMP-Erreichbarkeit testen | | ICMP | Kontrollprotokoll für Netzwerkmeldungen | | nslookup | DNS-Abfragewerkzeug | | dig | detailliertes DNS-Abfragewerkzeug | | DNS-Cache | zwischengespeicherte DNS-Antworten | | tracert | Windows-Wegverfolgung zum Ziel | | traceroute | Linux/macOS-Wegverfolgung zum Ziel | | netstat | Netzwerkverbindungen anzeigen | | ss | moderne Socketanzeige unter Linux | | Port | logischer Dienstzugang | | LISTEN | Dienst wartet auf Verbindungen | | ESTABLISHED | Verbindung besteht | | localhost | lokaler Rechner | | 127.0.0.1 | lokale Loopback-Adresse | | 0.0.0.0 | alle IPv4-Schnittstellen | | curl | Web- und API-Anfragen testen | | wget | Dateien oder Webseiten abrufen | | systemctl | systemd-Dienste verwalten | | journalctl | systemd-Logs anzeigen | | Dienststatus | Zustand eines Dienstes | | Prozess | laufendes Programm | | df | Dateisystembelegung anzeigen | | du | Ordner- und Dateigrößen anzeigen | | top | Prozess- und Lastanzeige | | htop | komfortablere Prozessanzeige | | Task-Manager | Windows-Prozess- und Leistungsanzeige | | PowerShell | Windows-Verwaltung und Automatisierung | | Ereignisanzeige | Windows-Loganzeige | | whoami | aktueller Benutzer | | Hostname | Name eines Systems | | Umgebungsvariable | System- oder Programmeinstellung | --- **IHK-sichere Kurzformulierung** Netzwerk- und Systembefehle dienen dazu, Fehler systematisch einzugrenzen und Zustände zu prüfen. Mit ipconfig oder ip addr wird die IP-Konfiguration geprüft, mit route print oder ip route die Routing-Tabelle. ping testet grundlegende Erreichbarkeit per ICMP, nslookup oder dig prüfen DNS, tracert oder traceroute zeigen den Weg zum Ziel. netstat oder ss zeigen offene Ports und Verbindungen. curl prüft Webdienste und APIs. systemctl und journalctl helfen bei der Prüfung von Diensten und Logs unter Linux, während unter Windows Task-Manager, Ereignisanzeige und PowerShell wichtige Werkzeuge sind. Bei der Fehlersuche sollten IP-Konfiguration, Gateway, DNS, Route, Port, Dienststatus, Logs, Ressourcen, Rechte und letzte Änderungen systematisch geprüft werden. --- **Merksätze** Befehle ersetzen Vermutungen durch Fakten. Erst Grundlagen prüfen, dann Spezialfälle. IP-Konfiguration ist die Basis. Gateway führt in andere Netze. Ohne Gateway meist kein Zugriff auf fremde Netze. Routing-Tabelle zeigt Netzwerkwege. Standardroute ist Weg für unbekannte Ziele. Spezifischste Route gewinnt. ping prüft ICMP. Kein ping ist kein endgültiger Beweis. IP-Ping trennt DNS von Netzwerkprüfung. Hostname-Ping prüft DNS mit. Wenn IP geht, aber Name nicht: DNS prüfen. nslookup prüft DNS. dig zeigt DNS detailliert. DNS-Cache kann veraltet sein. tracert und traceroute zeigen den Weg. Nicht jeder Hop muss antworten. netstat zeigt Verbindungen. ss zeigt Sockets unter Linux. Offene Ports prüfen. 127.0.0.1 ist lokal. 0.0.0.0 bedeutet alle Schnittstellen. LISTEN wartet auf Verbindungen. ESTABLISHED ist aktive Verbindung. Port offen heißt nicht Anwendung gesund. Telnet nicht zur sicheren Administration nutzen. curl prüft Webdienste. wget lädt Inhalte ab. systemctl prüft Dienste. journalctl zeigt Dienstlogs. Windows nutzt Ereignisanzeige. Prozesse und Ressourcen mitprüfen. Volle Festplatte verursacht viele Fehler. df zeigt Dateisystembelegung. du findet große Ordner. top zeigt Prozesslast. Task-Manager zeigt Windows-Systemlast. whoami prüft aktuellen Benutzer. Gruppenmitgliedschaften beeinflussen Rechte. Hostname muss zur Dokumentation passen. Falsche Uhrzeit verursacht Zertifikats- und Loginprobleme. Konfigurationen sorgfältig prüfen. Letzte Änderungen sind oft der Schlüssel. Fehlersuche systematisch dokumentieren. # 17.6 Dateiübertragung, Freigaben und sichere Datenzugriffe in der Praxis In der Administration müssen Dateien häufig zwischen Systemen, Benutzern, Servern und Diensten übertragen oder gemeinsam bereitgestellt werden. Typische Beispiele: - Konfigurationsdateien übertragen - Logdateien herunterladen - Backups ablegen - Installationsdateien bereitstellen - Benutzerfreigaben einrichten - Projektordner bereitstellen - Dateien zwischen Servern synchronisieren - Daten sicher mit externen Personen austauschen Merksatz: Dateiübertragung und Freigaben brauchen immer Technik, Rechtekonzept und Sicherheitsregeln. --- **Warum Dateiübertragung sicherheitskritisch ist** Dateien können sensible Informationen enthalten. Beispiele: Kundendaten Zugangsdaten Konfigurationsdateien Zertifikate private Schlüssel Backups Logdateien Personalunterlagen interne Dokumente Quellcode Risiken: Datenabfluss unberechtigter Zugriff Manipulation Malware-Verteilung Verlust von Vertraulichkeit falsche Berechtigungen versehentlich öffentliche Freigaben Merksatz: Dateien sind oft genauso kritisch wie Datenbanken. --- **Grundfragen vor jeder Freigabe** Vor einer Freigabe sollte geklärt werden: Wer braucht Zugriff? Auf welche Daten? Mit welchen Rechten? Von welchem Ort? Für welchen Zeitraum? Muss Zugriff protokolliert werden? Müssen Daten verschlüsselt übertragen werden? Müssen Daten verschlüsselt gespeichert werden? Merksatz: Keine Freigabe ohne Zweck, Berechtigung und Begrenzung. --- **Lesen, Schreiben und Löschen** Die wichtigsten Dateiaktionen sind: lesen schreiben löschen Lesen: Datei anzeigen oder herunterladen Schreiben: Datei verändern oder neue Datei erstellen Löschen: Datei entfernen Merksatz: Schreibrechte sind gefährlicher als Leserechte. Löschrechte sind besonders kritisch. --- **Minimal notwendige Rechte** Nicht jeder Benutzer braucht Vollzugriff. Beispiele: Leser: darf Dateien öffnen, aber nicht verändern Bearbeiter: darf Dateien ändern Besitzer: darf Rechte ändern Administrator: darf technische Verwaltung durchführen Merksatz: So wenig Rechte wie möglich, so viele wie nötig. --- **Freigabe und Dateisystem unterscheiden** Bei Dateizugriff gibt es oft mehrere Ebenen. Beispiel Windows: Freigaberechte und NTFS-Rechte Beispiel Linux: Samba-Freigaberechte und Linux-Dateirechte Wichtig: Beide Ebenen müssen zusammenpassen. Merksatz: Freigabe erlaubt Zugang. Dateisystemrechte entscheiden zusätzlich, was wirklich möglich ist. --- **SMB** SMB steht für: Server Message Block SMB wird häufig für Datei- und Druckerfreigaben in Windows-Netzwerken genutzt. Typische Nutzung: Netzlaufwerke gemeinsame Ordner Druckerfreigaben Benutzerprofile Abteilungsfreigaben Dateiserver Standardport: TCP 445 Merksatz: SMB ist das typische Protokoll für Windows-Dateifreigaben. --- **SMB in der Praxis** Beispiele: \\server\freigabe Netzlaufwerk verbinden Abteilungsordner bereitstellen Scanner speichert in Netzwerkordner Anwendung greift auf zentrale Dateien zu Merksatz: SMB-Freigaben sind praktisch, aber müssen sauber berechtigt werden. --- **SMB-Sicherheit** Wichtige Maßnahmen: alte SMB-Versionen deaktivieren keine Gastzugriffe starke Authentifizierung Rechte über Gruppen vergeben Freigaben nicht unnötig breit setzen Zugriff protokollieren Adminfreigaben schützen Netzwerkzugriff begrenzen Verschlüsselung prüfen Backups schützen Merksatz: SMB-Freigaben niemals pauschal für alle öffnen. --- **SMB-Versionen** Ältere SMB-Versionen sind unsicherer. Besonders alte Versionen sollten vermieden werden, wenn sie nicht zwingend benötigt werden. Wichtig: moderne SMB-Versionen nutzen alte Kompatibilität nur bewusst aktivieren Altgeräte prüfen Risiken dokumentieren Merksatz: Alte SMB-Versionen erhöhen das Sicherheitsrisiko. --- **NFS** NFS steht für: Network File System NFS wird häufig in Unix-, Linux- und Serverumgebungen genutzt. Typische Nutzung: gemeinsame Verzeichnisse Serverfreigaben Linux-Dateiserver Virtualisierungsspeicher Container- oder Anwendungsdaten Backup-Ziele Merksatz: NFS ist ein typisches Dateifreigabeprotokoll in Unix- und Linux-Umgebungen. --- **NFS-Sicherheit** Bei NFS wichtig: erlaubte Clients begrenzen Exporte sauber konfigurieren Schreibrechte nur wenn nötig Root-Zugriff einschränken Netzwerksegmentierung nutzen Firewall-Regeln setzen NFS-Version beachten Berechtigungen auf Dateisystemebene prüfen Merksatz: NFS-Zugriff immer auf notwendige Clients begrenzen. --- **FTP** FTP steht für: File Transfer Protocol FTP dient zur Dateiübertragung. Problem: klassisches FTP überträgt Daten und Zugangsdaten unverschlüsselt. Standardports: TCP 21 für Steuerverbindung Datenverbindungen je nach aktivem oder passivem Modus Merksatz: Klassisches FTP ist unsicher, weil es unverschlüsselt ist. --- **Warum FTP problematisch ist** Bei klassischem FTP können mitgelesen werden: Benutzername Passwort Dateinamen Dateiinhalt Befehle Risiko: Sniffing Passwortdiebstahl Datenabfluss Manipulation bei unsicherem Netzwerk Merksatz: FTP nicht für vertrauliche Daten oder unsichere Netze verwenden. --- **SFTP** SFTP steht für: SSH File Transfer Protocol SFTP nutzt SSH als sichere Grundlage. Standardport: TCP 22 Vorteile: verschlüsselte Übertragung SSH-Authentifizierung Schlüsselanmeldung möglich häufig auf Servern verfügbar besser geeignet als klassisches FTP Merksatz: SFTP ist sichere Dateiübertragung über SSH. --- **SCP** SCP steht für: Secure Copy SCP wird für Dateiübertragung über SSH genutzt. Typische Nutzung: Datei auf Server kopieren Datei vom Server herunterladen Dateien zwischen Systemen übertragen Einordnung: ebenfalls verschlüsselt über SSH Merksatz: SCP kopiert Dateien verschlüsselt über SSH. --- **SFTP und SCP vergleichen** | Merkmal | SFTP | SCP | |---|---|---| | Grundlage | SSH | SSH | | Zweck | Dateiübertragung mit Dateiverwaltung | einfaches Kopieren | | Bedienung | eher wie Dateisitzung | eher Kopierbefehl | | Verschlüsselung | ja | ja | | Standardport | TCP 22 | TCP 22 | Merksatz: SFTP und SCP nutzen SSH, sind aber nicht dasselbe wie FTP. --- **FTPS** FTPS bedeutet: FTP mit TLS-Verschlüsselung FTPS ist nicht dasselbe wie SFTP. FTPS nutzt FTP-Technik mit TLS. SFTP nutzt SSH. Merksatz: FTPS = FTP über TLS. SFTP = Dateiübertragung über SSH. --- **FTP, FTPS und SFTP vergleichen** | Protokoll | Verschlüsselung | Grundlage | Einordnung | |---|---|---|---| | FTP | nein | FTP | unsicher in Klartext | | FTPS | ja | FTP plus TLS | verschlüsseltes FTP | | SFTP | ja | SSH | sichere Dateiübertragung über SSH | Merksatz: SFTP und FTPS nicht verwechseln. --- **HTTPS-Dateidownload** Dateien können auch über HTTPS bereitgestellt werden. Beispiele: Downloadportal Cloudspeicher-Link Softwaredownload internes Webportal API-Dateiabruf Vorteile: verschlüsselte Übertragung browserfähig gut für Downloads Zugriff über Webauthentifizierung möglich Risiken: öffentliche Links falsche Rechte abgelaufene Links fehlen keine Zugriffskontrolle versehentliche Veröffentlichung Merksatz: HTTPS schützt die Übertragung, aber nicht automatisch die Freigaberechte. --- **WebDAV** WebDAV erweitert HTTP, damit Dateien über Webprotokolle verwaltet werden können. Typische Nutzung: Netzlaufwerk über Webzugriff Dokumentenablage Dateiablage über HTTPS Zusammenarbeit über Webserver Merksatz: WebDAV ermöglicht Dateiverwaltung über HTTP oder HTTPS. --- **Cloud-Speicherfreigaben** Cloud-Speicherfreigaben sind verbreitet. Beispiele: Linkfreigabe Freigabe an Benutzer Freigabe an Gruppe externe Freigabe geteilte Ordner Ablaufdatum für Links Risiken: Link öffentlich weitergegeben falsche Person berechtigt Schreibrechte statt Leserechte kein Ablaufdatum keine MFA keine Protokollierung Merksatz: Cloud-Freigaben regelmäßig prüfen. --- **Linkfreigabe** Eine Linkfreigabe erlaubt Zugriff über einen Link. Mögliche Varianten: jeder mit Link kann lesen jeder mit Link kann bearbeiten nur bestimmte Personen können zugreifen Link mit Passwort Link mit Ablaufdatum Merksatz: Jeder-mit-Link-Freigaben sind besonders kritisch. --- **Ablaufdatum für Freigaben** Freigaben sollten zeitlich begrenzt werden, wenn sie nur vorübergehend benötigt werden. Beispiele: externer Projektpartner Bewerbungsunterlagen temporärer Austausch Dienstleisterzugang Merksatz: Temporäre Freigaben brauchen ein Ablaufdatum. --- **Externe Freigaben** Externe Freigaben erlauben Zugriff außerhalb der Organisation. Risiken: falsche Empfänger Datenabfluss unkontrolliertes Weiterleiten fehlende MFA unklare Verantwortlichkeit Datenschutzproblem Schutz: nur bei Bedarf Genehmigung Ablaufdatum Passwort oder MFA Protokollierung Datenklassifizierung beachten Merksatz: Externe Freigaben nur bewusst und kontrolliert einsetzen. --- **Datenklassifizierung bei Freigaben** Nicht jede Datei darf gleich behandelt werden. Beispiele: öffentlich intern vertraulich streng vertraulich personenbezogen Je höher der Schutzbedarf, desto strenger müssen Freigabe, Verschlüsselung und Protokollierung sein. Merksatz: Schutzbedarf bestimmt Freigaberegeln. --- **Verschlüsselung bei Übertragung** Daten sollten bei Übertragung verschlüsselt werden. Geeignete Protokolle: SFTP SCP FTPS HTTPS VPN SMB-Verschlüsselung je nach Umgebung Unsicher oder kritisch: FTP Telnet HTTP bei vertraulichen Daten unverschlüsselte Protokolle Merksatz: Vertrauliche Daten nicht unverschlüsselt übertragen. --- **Verschlüsselung bei Speicherung** Daten können auch im Ruhezustand verschlüsselt werden. Beispiele: Festplattenverschlüsselung Serververschlüsselung Datenbankverschlüsselung Backup-Verschlüsselung Cloud-Speicherverschlüsselung verschlüsselte Archive Merksatz: Verschlüsselung bei Speicherung schützt bei Diebstahl oder unberechtigtem Zugriff auf Speicher. --- **Passwortgeschützte Archive** Archive können mit Passwort geschützt werden. Beispiele: ZIP mit Passwort 7z mit Passwort Wichtig: Passwort getrennt vom Archiv übermitteln starke Verschlüsselung nutzen Passwort nicht in derselben E-Mail senden sichere Alternative prüfen Merksatz: Passwort und Datei nicht über denselben unsicheren Kanal senden. --- **Prüfsummen** Prüfsummen helfen, Dateien auf Integrität zu prüfen. Beispiele: SHA-256 SHA-512 Zweck: feststellen, ob Datei verändert wurde Download prüfen Übertragungsfehler erkennen Manipulation erkennen Merksatz: Prüfsumme prüft Integrität, aber nicht automatisch Vertrauenswürdigkeit. --- **Digitale Signatur bei Dateien** Eine digitale Signatur kann prüfen, ob eine Datei vom erwarteten Herausgeber stammt und nicht verändert wurde. Beispiele: signierte Softwarepakete signierte Skripte signierte Installationsdateien Merksatz: Signatur prüft Herkunft und Integrität. --- **Malware-Risiko bei Dateiübertragung** Dateien können Malware enthalten. Risiken: Makros in Dokumenten Skripte ausführbare Dateien manipulierte PDFs Archive mit Schadsoftware ISO-Dateien LNK-Dateien Webshells bei Uploads Schutz: Malware-Scan Dateitypen begrenzen Makros blockieren Uploads prüfen Benutzer schulen nur vertrauenswürdige Quellen Merksatz: Dateiübertragung kann auch Malware übertragen. --- **Upload-Verzeichnisse** Upload-Verzeichnisse sind besonders kritisch. Schutzmaßnahmen: keine Ausführung erlauben Dateitypen begrenzen Dateigröße begrenzen zufällige Dateinamen Malware-Scan Speicherung außerhalb des Webroots Rechte begrenzen Protokollierung Merksatz: Hochgeladene Dateien dürfen nicht ungeprüft ausführbar sein. --- **Synchronisation** Synchronisation hält Dateien an mehreren Orten gleich. Beispiele: Cloud-Sync Ordnersynchronisation Server-zu-Server-Sync Notebook und Cloudspeicher mobile Geräte Risiko: Löschungen werden synchronisiert Ransomware verschlüsselt synchronisierte Dateien falsche Version überschreibt richtige Datei Datenabfluss durch falsche Freigabe Merksatz: Synchronisation ist kein Backup. --- **Backup und Dateiübertragung unterscheiden** Dateiübertragung: bewegt oder kopiert Dateien Synchronisation: hält Orte gleich Backup: erstellt wiederherstellbare Sicherungen mit Aufbewahrung Merksatz: Kopie, Sync und Backup sind nicht dasselbe. --- **Versionierung** Versionierung speichert ältere Dateiversionen. Vorteile: versehentliche Änderungen rückgängig machen ältere Stände wiederherstellen Ransomware-Schäden begrenzen Bearbeitungsverlauf nachvollziehen Grenze: Versionierung ersetzt kein vollständiges Backup. Merksatz: Versionierung hilft, aber ersetzt kein Backup-Konzept. --- **DLP** DLP steht für: Data Loss Prevention DLP soll verhindern, dass sensible Daten unkontrolliert abfließen. Beispiele: blockiert Upload vertraulicher Dateien warnt bei Versand personenbezogener Daten verhindert Kopieren auf USB kontrolliert Cloud-Freigaben erkennt Kreditkartendaten oder Personaldaten Merksatz: DLP schützt vor unerwünschtem Datenabfluss. --- **Freigabeprotokollierung** Freigaben sollten protokolliert werden. Wichtige Fragen: Wer hat Datei geöffnet? Wer hat Datei geändert? Wer hat Datei gelöscht? Wer hat Freigabe erstellt? Wer hat extern geteilt? Wann wurde Zugriff genutzt? Von welchem Gerät oder welcher IP? Merksatz: Kritische Datenzugriffe müssen nachvollziehbar sein. --- **Besitzer von Freigaben** Jede Freigabe sollte einen Verantwortlichen haben. Aufgaben: Zweck prüfen Berechtigungen prüfen alte Freigaben entfernen externe Zugriffe kontrollieren Datenklassifizierung beachten Löschung oder Archivierung entscheiden Merksatz: Freigaben ohne Verantwortlichen werden schnell unübersichtlich. --- **Freigaben regelmäßig prüfen** Zu prüfen: Gibt es unnötige Freigaben? Gibt es Jeder- oder Everyone-Rechte? Gibt es externe Benutzer? Gibt es Schreibrechte, obwohl Leserechte reichen? Gibt es alte Projektordner? Gibt es Freigaben ohne Besitzer? Gibt es sensible Daten in falschen Ordnern? Merksatz: Freigaben altern und müssen regelmäßig bereinigt werden. --- **Typische Fehler bei Freigaben** Häufige Fehler: Jeder hat Vollzugriff externe Links ohne Ablaufdatum Schreibrechte statt Leserechte alte Benutzer noch berechtigt Gastzugriff aktiv sensible Daten in öffentlichen Ordnern Freigabe ohne Besitzer keine Protokollierung keine Klassifizierung Synchronisation wird als Backup verstanden Merksatz: Die häufigste Freigabenpanne ist zu breiter Zugriff. --- **Fehlersuche bei Dateiübertragung** Bei Problemen prüfen: Ist Ziel erreichbar? Stimmt DNS? Stimmt Port? Blockiert Firewall? Ist Protokoll korrekt? Stimmen Benutzername und Passwort? Hat Benutzer Rechte? Ist Speicherplatz frei? Ist Datei gesperrt? Ist Pfad korrekt? Ist Zertifikat gültig? Gibt es Logs? Ist Dateiname erlaubt? Ist Datei zu groß? Merksatz: Dateiübertragungsfehler können Netzwerk-, Rechte-, Speicher- oder Protokollprobleme sein. --- **Fehlerbild: Zugriff verweigert** Mögliche Ursachen: Benutzer nicht berechtigt Gruppe fehlt falsche Anmeldung Freigaberecht fehlt Dateisystemrecht fehlt Deny-Regel aktiv Datei gesperrt Konto deaktiviert externe Freigabe abgelaufen MFA oder Conditional Access blockiert Merksatz: Zugriff verweigert ist meistens ein Rechte- oder Identitätsproblem. --- **Fehlerbild: Verbindung nicht möglich** Mögliche Ursachen: Server offline DNS falsch Port blockiert Dienst läuft nicht Firewall blockiert VPN fehlt falsches Protokoll Routingproblem falsche Adresse Zugriff nur intern erlaubt Merksatz: Keine Verbindung zuerst mit Netzwerk, Port und Dienst prüfen. --- **Fehlerbild: Dateiübertragung langsam** Mögliche Ursachen: geringe Bandbreite hohe Latenz Paketverlust viele kleine Dateien Virenscan langsamer Datenträger WLAN-Probleme VPN-Overhead Serverlast Cloud-Limitierung Merksatz: Langsame Dateiübertragung kann an Netzwerk, Speicher oder Anwendung liegen. --- **Checkliste: sichere Dateiübertragung und Freigaben** Zweck der Freigabe klären. Datenklassifizierung prüfen. Benutzer oder Gruppen festlegen. Nur notwendige Rechte vergeben. Schreibrechte begrenzen. Externe Freigaben begründen. Ablaufdatum setzen. Verschlüsselte Übertragung nutzen. Unsichere Protokolle vermeiden. Zugriff protokollieren. Freigaben regelmäßig prüfen. Alte Zugriffe entfernen. Malware-Scan für Uploads nutzen. Backups getrennt planen. Synchronisation nicht als Backup ansehen. Verantwortlichen für Freigabe benennen. Merksatz: Sichere Freigaben sind begrenzt, verschlüsselt, dokumentiert und regelmäßig geprüft. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist SMB? - Wofür wird SMB genutzt? - Welchen Standardport nutzt SMB? - Was ist NFS? - Wofür wird NFS genutzt? - Warum ist klassisches FTP unsicher? - Was ist SFTP? - Was ist SCP? - Was ist FTPS? - Was ist der Unterschied zwischen SFTP und FTPS? - Warum sollte man vertrauliche Daten verschlüsselt übertragen? - Was ist eine Linkfreigabe? - Warum sind Jeder-mit-Link-Freigaben kritisch? - Warum ist ein Ablaufdatum bei Freigaben sinnvoll? - Was ist DLP? - Warum ist Synchronisation kein Backup? - Was ist Versionierung? - Was prüft eine Prüfsumme? - Was prüft eine digitale Signatur? - Warum sind Upload-Verzeichnisse gefährlich? --- **Typische Prüfungsfallen** FTP ist unverschlüsselt. SFTP ist nicht FTP mit TLS. FTPS ist nicht SFTP. SFTP nutzt SSH. SCP nutzt SSH. SMB nutzt typischerweise TCP 445. Freigaberechte und Dateisystemrechte zusammen prüfen. Schreibrechte nicht vergeben, wenn Leserechte reichen. Jeder-mit-Link ist besonders kritisch. Externe Freigaben brauchen Kontrolle. Ablaufdatum reduziert Risiko. HTTPS schützt Übertragung, aber nicht automatisch Berechtigung. Prüfsumme prüft Integrität, nicht automatisch Vertrauenswürdigkeit. Digitale Signatur prüft Herkunft und Integrität. Uploads können Malware enthalten. Synchronisation ist kein Backup. Versionierung ersetzt kein vollständiges Backup. DLP schützt vor Datenabfluss. Zugriff verweigert ist nicht automatisch ein Netzwerkproblem. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | Dateiübertragung | Kopieren oder Bewegen von Dateien | | Freigabe | bereitgestellter Zugriff auf Dateien oder Ordner | | Leserecht | Datei anzeigen oder herunterladen | | Schreibrecht | Datei ändern oder erstellen | | Löschrecht | Datei entfernen | | SMB | Windows-Dateifreigabeprotokoll | | TCP 445 | Standardport für SMB | | NFS | Network File System | | FTP | unverschlüsseltes Dateiübertragungsprotokoll | | SFTP | Dateiübertragung über SSH | | SCP | sicheres Kopieren über SSH | | FTPS | FTP mit TLS | | HTTPS-Download | Dateiabruf über verschlüsseltes Webprotokoll | | WebDAV | Dateiverwaltung über HTTP oder HTTPS | | Linkfreigabe | Zugriff über Link | | externe Freigabe | Freigabe außerhalb der Organisation | | Ablaufdatum | zeitliche Begrenzung einer Freigabe | | Datenklassifizierung | Einteilung nach Schutzbedarf | | Verschlüsselung bei Übertragung | Schutz während Transport | | Verschlüsselung bei Speicherung | Schutz ruhender Daten | | Prüfsumme | Integritätsprüfung einer Datei | | digitale Signatur | Herkunfts- und Integritätsprüfung | | Upload-Verzeichnis | Speicherort für hochgeladene Dateien | | Synchronisation | Abgleich von Dateien zwischen Orten | | Backup | wiederherstellbare Sicherung | | Versionierung | Speicherung älterer Dateiversionen | | DLP | Data Loss Prevention | | Freigabeprotokollierung | Nachvollziehen von Zugriffen | --- **IHK-sichere Kurzformulierung** Dateiübertragung und Freigaben dienen dazu, Dateien zwischen Benutzern, Systemen und Diensten bereitzustellen oder zu übertragen. Dabei müssen Vertraulichkeit, Integrität und Verfügbarkeit beachtet werden. SMB wird häufig für Windows-Dateifreigaben genutzt und verwendet typischerweise TCP-Port 445. NFS wird häufig in Unix- und Linux-Umgebungen eingesetzt. Klassisches FTP ist unsicher, weil es unverschlüsselt überträgt. SFTP und SCP nutzen SSH, FTPS nutzt FTP mit TLS. Freigaben sollten nach Least Privilege eingerichtet, regelmäßig geprüft, protokolliert und bei externem Zugriff zeitlich begrenzt werden. Synchronisation ist kein Backup, da Änderungen oder Löschungen mit übertragen werden können. --- **Merksätze** Dateien können sehr sensible Informationen enthalten. Keine Freigabe ohne Zweck. Rechte so eng wie möglich vergeben. Schreibrechte nur bei Bedarf. Löschrechte besonders vorsichtig vergeben. Freigabe und Dateisystemrechte zusammen prüfen. SMB ist typisch für Windows-Freigaben. SMB nutzt typischerweise TCP 445. Alte SMB-Versionen vermeiden. NFS ist typisch für Unix- und Linux-Freigaben. NFS-Zugriff auf notwendige Clients begrenzen. FTP ist unverschlüsselt. FTP nicht für vertrauliche Daten nutzen. SFTP nutzt SSH. SCP kopiert über SSH. FTPS ist FTP mit TLS. SFTP und FTPS nicht verwechseln. HTTPS schützt Übertragung, aber nicht automatisch Rechte. Jeder-mit-Link ist kritisch. Externe Freigaben kontrollieren. Temporäre Freigaben mit Ablaufdatum versehen. Schutzbedarf bestimmt Freigaberegeln. Vertrauliche Daten verschlüsselt übertragen. Passwort und Datei getrennt übermitteln. Prüfsumme prüft Integrität. Signatur prüft Herkunft und Integrität. Dateiübertragung kann Malware übertragen. Upload-Verzeichnisse besonders absichern. Synchronisation ist kein Backup. Versionierung hilft, ersetzt aber kein Backup. DLP schützt vor Datenabfluss. Freigaben brauchen Verantwortliche. Freigaben regelmäßig prüfen. Zugriff verweigert ist oft ein Rechteproblem. Keine Verbindung ist oft Netzwerk, Port oder Dienst. Sichere Freigaben sind begrenzt, dokumentiert und regelmäßig geprüft. # 17.7 Backup, Restore und Notfallmaßnahmen in der Praxis Backups, Wiederherstellung und Notfallmaßnahmen gehören zu den wichtigsten Aufgaben in der Systemadministration. Sie sorgen dafür, dass Systeme und Daten nach Fehlern, Ausfällen oder Angriffen wiederhergestellt werden können. Typische Situationen: - Datei versehentlich gelöscht - Datenbank beschädigt - Server ausgefallen - Ransomware-Angriff - Hardware defekt - falsche Konfiguration eingespielt - Update fehlgeschlagen - Benutzerkonto kompromittiert - Cloud-Ressource gelöscht - Standort nicht erreichbar Merksatz: Backup ist nicht nur Datensicherung, sondern Teil der Wiederherstellungsstrategie. --- **Warum Backup wichtig ist** Daten können auf viele Arten verloren gehen. Ursachen: Bedienfehler Hardwaredefekt Softwarefehler Malware Ransomware Sabotage Diebstahl Feuer Wasserschaden Stromausfall fehlerhafte Updates falsche Synchronisation Cloud-Fehlkonfiguration Merksatz: Backup schützt nicht vor jedem Vorfall, aber es ermöglicht Wiederherstellung. --- **Backup und Restore unterscheiden** Backup: Sicherung von Daten, Systemen oder Konfigurationen Restore: Wiederherstellung aus einer Sicherung Wichtig: Ein Backup ist nur dann wertvoll, wenn der Restore funktioniert. Merksatz: Backup ist die Sicherung. Restore ist die Wiederherstellung. --- **Backup allein reicht nicht** Ein Backup-Konzept ist unvollständig, wenn nicht geklärt ist: was gesichert wird wie oft gesichert wird wohin gesichert wird wie lange gesichert wird wer Zugriff hat wie wiederhergestellt wird wie Restore getestet wird wie Backups geschützt werden wie schnell Systeme wieder laufen müssen Merksatz: Backup ohne Restore-Plan ist nur halbe Sicherheit. --- **Restore-Test** Ein Restore-Test prüft, ob eine Wiederherstellung wirklich funktioniert. Zu prüfen: Daten vollständig? Datei lesbar? Datenbank konsistent? Anwendung startet? Rechte korrekt? Konfiguration passend? Schlüssel vorhanden? Wiederherstellungszeit akzeptabel? Dokumentation korrekt? Merksatz: Nur getestete Backups sind verlässliche Backups. --- **Typische Backup-Ziele** Backups können gespeichert werden auf: lokaler Festplatte NAS Backup-Server Bandlaufwerk externer Festplatte Cloud-Speicher Objektspeicher zweitem Standort Offline-Medium Immutable Storage Merksatz: Backup-Ziel muss zum Schutzbedarf passen. --- **Lokales Backup** Ein lokales Backup liegt in derselben Umgebung wie das Hauptsystem. Vorteile: schnelle Wiederherstellung einfache Verwaltung gute Kontrolle geringe Latenz Nachteile: anfällig bei Feuer, Diebstahl, Ransomware oder Standortausfall Merksatz: Lokales Backup ist schnell, aber nicht ausreichend gegen Standortausfall. --- **Externes Backup** Ein externes Backup liegt getrennt vom Hauptsystem. Beispiele: zweiter Standort Cloud-Speicher ausgelagerte Festplatte Bandsicherung außerhalb des Gebäudes Vorteil: Schutz bei Standortschaden Merksatz: Externes Backup schützt besser gegen lokale Katastrophen. --- **Offline-Backup** Ein Offline-Backup ist nicht dauerhaft mit dem produktiven System verbunden. Vorteile: besserer Schutz gegen Ransomware besserer Schutz gegen versehentliches Löschen besserer Schutz gegen kompromittierte Adminzugänge Beispiele: getrennte Festplatte Band abgeschottetes Backup-System zeitweise getrenntes Speichermedium Merksatz: Offline-Backup ist nicht dauerhaft erreichbar und dadurch besser geschützt. --- **Immutable Backup** Immutable bedeutet: unveränderlich Ein Immutable Backup kann für eine festgelegte Zeit nicht verändert oder gelöscht werden. Schützt gegen: Ransomware versehentliche Löschung kompromittierte Adminzugänge Manipulation von Sicherungen Merksatz: Immutable Backup schützt die Wiederherstellungsmöglichkeit. --- **3-2-1-Regel** Die 3-2-1-Regel lautet: 3 Kopien der Daten 2 unterschiedliche Speicherarten 1 Kopie extern oder getrennt Beispiel: Produktivdaten Backup auf NAS zusätzliches Backup in Cloud oder auf Offline-Medium Merksatz: 3-2-1 reduziert das Risiko, dass alle Kopien gleichzeitig verloren gehen. --- **3-2-1-1-0-Regel** Eine erweiterte Variante ist: 3 Kopien 2 unterschiedliche Medien 1 Kopie extern 1 Kopie offline oder immutable 0 Fehler bei Restore-Tests Merksatz: Die 0 steht für fehlerfrei getestete Wiederherstellung. --- **Vollbackup** Ein Vollbackup sichert alle ausgewählten Daten vollständig. Vorteile: einfache Wiederherstellung vollständige Sicherung weniger Abhängigkeit von anderen Sicherungen Nachteile: benötigt viel Speicherplatz dauert länger erzeugt mehr Last Merksatz: Vollbackup sichert alles, braucht aber mehr Zeit und Speicher. --- **Inkrementelles Backup** Ein inkrementelles Backup sichert nur Änderungen seit dem letzten Backup. Das letzte Backup kann sein: Vollbackup oder anderes inkrementelles Backup Vorteile: schnell spart Speicherplatz Nachteile: Wiederherstellung benötigt mehrere Sicherungen Kette darf nicht beschädigt sein Merksatz: Inkrementell sichert Änderungen seit dem letzten Backup. --- **Differenzielles Backup** Ein differenzielles Backup sichert Änderungen seit dem letzten Vollbackup. Vorteile: Wiederherstellung einfacher als bei langer inkrementeller Kette weniger Speicher als tägliches Vollbackup Nachteile: wächst bis zum nächsten Vollbackup Merksatz: Differenziell sichert Änderungen seit dem letzten Vollbackup. --- **Vollbackup, inkrementell und differenziell vergleichen** | Backup-Art | Sichert | Vorteil | Nachteil | |---|---|---|---| | Vollbackup | alles | einfache Wiederherstellung | viel Speicher und Zeit | | inkrementell | Änderungen seit letztem Backup | schnell und platzsparend | Restore braucht Backup-Kette | | differenziell | Änderungen seit letztem Vollbackup | Restore einfacher als inkrementell | wächst mit der Zeit | Merksatz: Vollbackup ist vollständig. Inkrementell bezieht sich auf letztes Backup. Differenziell bezieht sich auf letztes Vollbackup. --- **Snapshot** Ein Snapshot ist eine Momentaufnahme eines Systems, Datenträgers, Dateisystems oder einer VM. Snapshots sind nützlich vor: Updates Konfigurationsänderungen Tests Softwareinstallationen Migrationen Wichtig: Snapshot ist nicht automatisch ein vollständiges Backup. Merksatz: Snapshot hilft bei schneller Rückkehr, ersetzt aber kein Backup-Konzept. --- **Warum Snapshot kein vollständiges Backup ist** Snapshots liegen oft auf demselben System oder Speicher. Risiken: Speicher defekt Ransomware erreicht Snapshot Snapshot-Kette beschädigt Speicherplatz läuft voll Snapshot wird versehentlich gelöscht Standortausfall betrifft Snapshot ebenfalls Merksatz: Snapshot ist praktisch, aber kein Ersatz für getrennte Sicherung. --- **Image-Backup** Ein Image-Backup sichert ein komplettes Systemabbild. Typische Inhalte: Betriebssystem Anwendungen Konfiguration Dateien Bootinformationen Vorteil: gesamtes System kann wiederhergestellt werden Merksatz: Image-Backup sichert ein komplettes Systemabbild. --- **Dateibasiertes Backup** Ein dateibasiertes Backup sichert ausgewählte Dateien und Ordner. Geeignet für: Benutzerdateien Projektdaten Dokumente Konfigurationsdateien Exportdateien Merksatz: Dateibasiertes Backup sichert ausgewählte Dateien und Ordner. --- **Datenbank-Backup** Datenbanken brauchen besondere Sicherungsverfahren. Wichtig: Konsistenz Transaktionen Schreibzugriffe Zeitpunkt der Sicherung Wiederherstellungstest Point-in-Time-Recovery je nach System Merksatz: Datenbankdateien nicht blind kopieren, sondern datenbankgerechte Backups nutzen. --- **Konsistentes Backup** Ein konsistentes Backup stellt sicher, dass Daten in einem gültigen Zustand gesichert werden. Beispiel: Eine Datenbank darf nicht mitten in einer Transaktion unsauber kopiert werden. Mittel: Datenbankdump Anwendungsstopp Snapshot mit Anwendungskonsistenz Backup-Agent Transaktionslogs Merksatz: Konsistenz ist bei Datenbanken und Anwendungen besonders wichtig. --- **Point-in-Time-Recovery** Point-in-Time-Recovery bedeutet: Wiederherstellung auf einen bestimmten Zeitpunkt. Beispiel: Datenbank wird auf den Zustand von 10:15 Uhr zurückgesetzt. Nützlich bei: versehentlichem Löschen Datenbankfehler fehlerhafter Import beschädigten Daten Merksatz: Point-in-Time-Recovery stellt gezielt einen früheren Zeitpunkt wieder her. --- **RPO** RPO steht für: Recovery Point Objective Frage: Wie viel Datenverlust ist maximal akzeptabel? Beispiel: RPO 1 Stunde bedeutet: Es dürfen höchstens Daten von einer Stunde verloren gehen. Merksatz: RPO beschreibt maximal akzeptablen Datenverlust. --- **RTO** RTO steht für: Recovery Time Objective Frage: Wie lange darf die Wiederherstellung dauern? Beispiel: RTO 4 Stunden bedeutet: Der Dienst soll spätestens nach 4 Stunden wieder laufen. Merksatz: RTO beschreibt maximal akzeptable Wiederherstellungszeit. --- **RPO und RTO unterscheiden** | Begriff | Frage | Beispiel | |---|---|---| | RPO | Wie viel Datenverlust ist erlaubt? | maximal 1 Stunde | | RTO | Wie lange darf Wiederherstellung dauern? | maximal 4 Stunden | Merksatz: RPO = Datenverlust. RTO = Zeit bis Wiederherstellung. --- **Backup-Frequenz** Die Backup-Frequenz beschreibt, wie oft gesichert wird. Sie hängt ab von: Änderungsrate der Daten Schutzbedarf RPO Speicherplatz Systemlast Wiederherstellungsanforderung Kosten Merksatz: Je kleiner das erlaubte RPO, desto häufiger muss gesichert werden. --- **Aufbewahrungszeit** Die Aufbewahrungszeit beschreibt, wie lange Backups behalten werden. Zu beachten: gesetzliche Vorgaben interne Regeln Speicherplatz Datenschutz Wiederherstellungsbedarf Schutz vor später entdeckten Fehlern Merksatz: Backups müssen lange genug, aber nicht unbegrenzt ohne Grund aufbewahrt werden. --- **Retention** Retention bedeutet: Aufbewahrungsregel für Backups. Beispiele: tägliche Backups 14 Tage behalten wöchentliche Backups 8 Wochen behalten monatliche Backups 12 Monate behalten Merksatz: Retention regelt, wann alte Backups gelöscht werden. --- **Großvater-Vater-Sohn-Prinzip** Das Großvater-Vater-Sohn-Prinzip ist ein Rotationsschema. Typisch: Sohn: tägliche Sicherung Vater: wöchentliche Sicherung Großvater: monatliche Sicherung Merksatz: Großvater-Vater-Sohn kombiniert tägliche, wöchentliche und monatliche Backups. --- **Backup-Verschlüsselung** Backups sollten verschlüsselt werden, besonders wenn sie sensible Daten enthalten oder extern gespeichert werden. Wichtig: Schlüssel sicher aufbewahren Zugriff begrenzen Wiederherstellung mit Schlüssel testen Schlüsselverlust vermeiden Merksatz: Verschlüsseltes Backup ist nur nutzbar, wenn der Schlüssel verfügbar ist. --- **Backup-Zugriffsrechte** Backups enthalten oft besonders viele Daten. Deshalb müssen Zugriffe streng begrenzt werden. Zu vermeiden: Jeder kann Backups lesen. normales Benutzerkonto kann Backups löschen. Backup-Admin nutzt Alltagskonto. Ransomware kann Backup-Speicher erreichen. Dienstkonto hat zu viele Rechte. Merksatz: Backups brauchen stärkeren Schutz als viele Produktivdaten. --- **Backup und Ransomware** Ransomware versucht häufig, Backups zu löschen oder zu verschlüsseln. Schutzmaßnahmen: Immutable Backup Offline-Backup getrennte Zugangsdaten getrenntes Backupnetz keine normalen Schreibrechte MFA für Backup-Konsole Backup-Logs überwachen Restore regelmäßig testen Merksatz: Backups müssen vor dem Angreifer geschützt werden, nicht nur vor Datenverlust. --- **Backup-Netz** Ein Backup-Netz ist ein getrenntes Netzwerk für Backup-Verkehr oder Backup-Systeme. Vorteile: weniger Angriffsfläche weniger Störung des Produktivnetzes bessere Kontrolle Schutz vor lateraler Bewegung gezieltere Firewall-Regeln Merksatz: Backup-Systeme sollten nicht frei aus jedem Netz erreichbar sein. --- **Backup-Monitoring** Backup-Monitoring prüft, ob Sicherungen erfolgreich laufen. Zu überwachen: letzter erfolgreicher Lauf Fehlermeldungen Datenmenge Laufzeit Speicherziel Kapazität Verschlüsselung Aufbewahrung Restore-Tests Merksatz: Ein fehlgeschlagenes Backup muss auffallen, bevor ein Restore gebraucht wird. --- **Backup-Logs** Backup-Logs zeigen, was bei einer Sicherung passiert ist. Zu prüfen: Startzeit Endzeit Erfolg oder Fehler gesicherte Datenmenge übersprungene Dateien Warnungen Zielsystem Speicherplatz Berechtigungsfehler Merksatz: Backup-Logs regelmäßig auswerten. --- **Restore-Reihenfolge** Bei Wiederherstellung ist die Reihenfolge wichtig. Beispiele: Netzwerk zuerst dann Verzeichnisdienst dann Speicher dann Datenbank dann Anwendung dann Benutzerzugriff Merksatz: Systeme hängen voneinander ab; Restore braucht Reihenfolge. --- **Abhängigkeiten beim Restore** Vor einem Restore prüfen: Welche Systeme hängen voneinander ab? Welche Datenbanken werden benötigt? Welche Zugangsdaten werden gebraucht? Welche Zertifikate werden gebraucht? Welche DNS-Namen müssen stimmen? Welche Firewall-Regeln sind nötig? Welche Speicherziele sind erreichbar? Welche Versionen passen zusammen? Merksatz: Restore scheitert oft an vergessenen Abhängigkeiten. --- **Notfallhandbuch** Ein Notfallhandbuch beschreibt, was bei schweren Störungen oder Sicherheitsvorfällen zu tun ist. Inhalte: Ansprechpartner Prioritäten Systeme Wiederherstellungsreihenfolge Zugangsdatenablage Kommunikationswege Eskalationswege Backup-Orte Restore-Anleitungen externe Dienstleister Entscheidungsbefugnisse Merksatz: Im Notfall darf nicht erst gesucht werden, wer was weiß. --- **Notfallkontaktliste** Eine Notfallkontaktliste enthält wichtige Kontakte. Beispiele: interne IT Geschäftsleitung Datenschutzbeauftragte Sicherheitsverantwortliche Internetprovider Cloud-Anbieter Hardware-Support Softwaredienstleister Versicherer Behörden je nach Vorfall Merksatz: Notfallkontakte müssen aktuell und erreichbar sein. --- **Priorisierung im Notfall** Nicht jedes System ist gleich wichtig. Zu priorisieren nach: Geschäftsprozesse kritische Dienste Benutzeranzahl Datenklassifizierung Abhängigkeiten RTO RPO Sicherheitslage rechtliche Anforderungen Merksatz: Im Notfall zuerst die wichtigsten Dienste wiederherstellen. --- **Business Continuity** Business Continuity bedeutet: Geschäftsprozesse sollen trotz Störung weiterlaufen oder schnell wieder anlaufen. Dazu gehören: Notfallplanung Ersatzprozesse Backup Wiederanlauf Kommunikation Verantwortlichkeiten Tests Merksatz: Business Continuity betrachtet nicht nur IT, sondern den Betrieb insgesamt. --- **Disaster Recovery** Disaster Recovery beschreibt die Wiederherstellung von IT nach schweren Störungen. Beispiele: Rechenzentrumsausfall Brand Ransomware massiver Hardwaredefekt Cloud-Ausfall Datenverlust Merksatz: Disaster Recovery ist IT-Wiederherstellung nach schwerem Vorfall. --- **Failover** Failover bedeutet: Ein Dienst wird bei Ausfall automatisch oder manuell auf ein Ersatzsystem umgeschaltet. Beispiele: zweiter Server übernimmt zweite Firewall übernimmt anderer Standort übernimmt Datenbank-Replikat wird aktiv Merksatz: Failover reduziert Ausfallzeit, ersetzt aber kein Backup. --- **Redundanz** Redundanz bedeutet: wichtige Komponenten sind mehrfach vorhanden. Beispiele: zwei Netzteile zwei Firewalls mehrere Server mehrere Internetleitungen RAID Cluster mehrere Standorte Merksatz: Redundanz erhöht Verfügbarkeit, ersetzt aber kein Backup. --- **Replikation** Replikation bedeutet: Daten werden auf ein anderes System kopiert, oft nahezu in Echtzeit. Vorteile: schnelle Umschaltung höhere Verfügbarkeit Risiko: Fehler, Löschung oder Verschlüsselung können mitrepliziert werden. Merksatz: Replikation ist kein Backup. --- **Backup, Redundanz und Replikation unterscheiden** | Begriff | Ziel | Grenze | |---|---|---| | Backup | Wiederherstellung alter Zustände | Restore dauert | | Redundanz | Ausfall vermeiden oder abfedern | schützt nicht vor Datenfehlern | | Replikation | Daten auf zweitem System aktuell halten | Fehler werden oft mitkopiert | Merksatz: Backup schützt Wiederherstellung. Redundanz schützt Verfügbarkeit. Replikation hält Daten aktuell. --- **Notfallübung** Eine Notfallübung testet, ob Notfallpläne funktionieren. Zu prüfen: Erreichen wir Kontakte? Finden wir Dokumentation? Funktionieren Zugänge? Können wir Backups wiederherstellen? Stimmen RTO und RPO? Funktioniert Kommunikation? Wer entscheidet was? Wo fehlen Informationen? Merksatz: Notfallpläne müssen geübt werden. --- **Kommunikation im Notfall** Im Notfall muss klar sein: Wer informiert wen? Wer entscheidet? Welche Kanäle werden genutzt? Was wird Benutzern gesagt? Was wird Kunden gesagt? Was wird dokumentiert? Wer spricht mit Dienstleistern? Wer spricht mit Behörden, falls nötig? Merksatz: Schlechte Kommunikation verschlimmert technische Notfälle. --- **Dokumentation beim Restore** Beim Restore dokumentieren: Grund der Wiederherstellung Zeitpunkt betroffene Systeme verwendetes Backup Restore-Schritte Probleme Dauer Ergebnis Datenverlust beteiligte Personen Nacharbeiten Merksatz: Restore-Dokumentation hilft bei Nachvollziehbarkeit und Verbesserung. --- **Nacharbeiten nach Restore** Nach einem Restore prüfen: Funktioniert der Dienst? Sind Daten vollständig? Stimmen Benutzerrechte? Sind Logs aktiv? Funktionieren Backups wieder? Ist Monitoring aktiv? Sind Zertifikate gültig? Sind Schnittstellen erreichbar? Gibt es Sicherheitslücken? Muss Ursache behoben werden? Merksatz: Nach Restore ist die Arbeit nicht automatisch beendet. --- **Typische Fehler bei Backup und Restore** Häufige Fehler: Backups nie getestet Backupziel voll Backup läuft mit Fehlern Backups nicht verschlüsselt Schlüssel nicht auffindbar Backups im selben Netz wie Ransomware keine Offline- oder Immutable-Kopie nur Synchronisation statt Backup Datenbank unsauber gesichert Restore-Reihenfolge unbekannt Dokumentation veraltet alte Systeme nicht mehr kompatibel Merksatz: Der häufigste Backup-Fehler ist: Man merkt das Problem erst beim Restore. --- **Checkliste: Backup-Konzept prüfen** Welche Daten sind kritisch? Welche Systeme sind kritisch? RPO festlegen. RTO festlegen. Backup-Art wählen. Backup-Frequenz festlegen. Aufbewahrung festlegen. Backup-Ziel festlegen. Verschlüsselung prüfen. Zugriffsschutz prüfen. Offline- oder Immutable-Kopie planen. Backup-Logs überwachen. Restore regelmäßig testen. Notfallhandbuch erstellen. Verantwortlichkeiten festlegen. Dokumentation aktuell halten. Merksatz: Backup-Konzept muss geplant, geschützt, überwacht und getestet werden. --- **Checkliste: Restore durchführen** Vorfall bewerten. Ursache eingrenzen. Passendes Backup auswählen. Integrität des Backups prüfen. Abhängigkeiten prüfen. Zielsystem vorbereiten. Restore durchführen. Funktion testen. Rechte prüfen. Logs prüfen. Monitoring prüfen. Backupbetrieb wieder aktivieren. Benutzer informieren. Ergebnis dokumentieren. Ursache dauerhaft beheben. Merksatz: Restore ist ein kontrollierter Prozess, nicht nur Zurückkopieren von Dateien. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist ein Backup? - Was ist ein Restore? - Warum ist ein Restore-Test wichtig? - Was bedeutet die 3-2-1-Regel? - Was ist ein Vollbackup? - Was ist ein inkrementelles Backup? - Was ist ein differenzielles Backup? - Was ist ein Snapshot? - Warum ersetzt ein Snapshot kein Backup? - Was ist ein Image-Backup? - Warum brauchen Datenbanken besondere Backups? - Was bedeutet RPO? - Was bedeutet RTO? - Was ist Retention? - Was ist das Großvater-Vater-Sohn-Prinzip? - Warum sollten Backups verschlüsselt werden? - Was ist ein Immutable Backup? - Warum ist Replikation kein Backup? - Was ist Disaster Recovery? - Was ist Business Continuity? - Was ist ein Notfallhandbuch? --- **Typische Prüfungsfallen** Backup und Restore unterscheiden. Backup verhindert keinen Angriff. Backup ermöglicht Wiederherstellung. Backup ohne Restore-Test ist unsicher. Synchronisation ist kein Backup. Replikation ist kein Backup. Redundanz ist kein Backup. Snapshot ist nicht automatisch Backup. Vollbackup sichert alles. Inkrementell sichert seit letztem Backup. Differenziell sichert seit letztem Vollbackup. RPO ist Datenverlust. RTO ist Wiederherstellungszeit. Backups müssen geschützt werden. Backups können Ziel von Ransomware sein. Verschlüsselung braucht Schlüsselverwaltung. Datenbank-Backups müssen konsistent sein. Restore braucht Reihenfolge. Notfallhandbuch aktuell halten. Notfallpläne müssen getestet werden. Nach Restore Funktion und Sicherheit prüfen. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | Backup | Sicherung von Daten oder Systemen | | Restore | Wiederherstellung aus Sicherung | | Restore-Test | Prüfung der Wiederherstellung | | lokales Backup | Sicherung in gleicher Umgebung | | externes Backup | Sicherung an getrenntem Ort | | Offline-Backup | nicht dauerhaft verbundenes Backup | | Immutable Backup | unveränderliches Backup | | 3-2-1-Regel | drei Kopien, zwei Medien, eine externe Kopie | | Vollbackup | vollständige Sicherung | | inkrementelles Backup | Änderungen seit letztem Backup | | differenzielles Backup | Änderungen seit letztem Vollbackup | | Snapshot | Momentaufnahme | | Image-Backup | vollständiges Systemabbild | | dateibasiertes Backup | Sicherung ausgewählter Dateien | | Datenbank-Backup | konsistente Sicherung einer Datenbank | | Point-in-Time-Recovery | Wiederherstellung zu bestimmtem Zeitpunkt | | RPO | maximal akzeptabler Datenverlust | | RTO | maximal akzeptable Wiederherstellungszeit | | Backup-Frequenz | Häufigkeit der Sicherung | | Retention | Aufbewahrungsregel | | Großvater-Vater-Sohn | Backup-Rotationsschema | | Backup-Verschlüsselung | Schutz gesicherter Daten | | Backup-Netz | getrenntes Netz für Backup | | Backup-Monitoring | Überwachung von Sicherungen | | Notfallhandbuch | Anleitung für schwere Störungen | | Business Continuity | Aufrechterhaltung von Geschäftsprozessen | | Disaster Recovery | IT-Wiederherstellung nach schwerem Vorfall | | Failover | Umschaltung auf Ersatzsystem | | Redundanz | mehrfach vorhandene Komponenten | | Replikation | Kopie aktueller Daten auf anderes System | | Notfallübung | Test des Notfallplans | --- **IHK-sichere Kurzformulierung** Ein Backup ist eine Sicherung von Daten, Systemen oder Konfigurationen, während Restore die Wiederherstellung aus dieser Sicherung bezeichnet. Backups schützen nicht direkt vor Angriffen oder Ausfällen, ermöglichen aber die Wiederherstellung nach Datenverlust, Ransomware, Fehlkonfiguration oder Hardwaredefekt. Wichtige Konzepte sind Vollbackup, inkrementelles Backup, differenzielles Backup, Snapshot, Image-Backup, RPO, RTO, Retention, 3-2-1-Regel, Offline-Backup und Immutable Backup. Backups müssen geschützt, verschlüsselt, überwacht und regelmäßig durch Restore-Tests geprüft werden. Replikation, Redundanz und Synchronisation ersetzen kein Backup. Ein gutes Notfallkonzept umfasst Wiederherstellungsreihenfolge, Verantwortlichkeiten, Notfallhandbuch, Kommunikation und regelmäßige Übungen. --- **Merksätze** Backup = Sicherung. Restore = Wiederherstellung. Backup ohne Restore-Test ist unsicher. Backup schützt nicht vor jedem Vorfall, aber ermöglicht Wiederherstellung. Synchronisation ist kein Backup. Replikation ist kein Backup. Redundanz ist kein Backup. Snapshot ist nicht automatisch Backup. Lokales Backup ist schnell, aber nicht genug gegen Standortausfall. Externes Backup schützt gegen Standortschaden. Offline-Backup schützt gegen dauerhaften Zugriff durch Angreifer. Immutable Backup schützt vor Veränderung und Löschung. 3-2-1 reduziert Gesamtrisiko. Vollbackup sichert alles. Inkrementell sichert Änderungen seit letztem Backup. Differenziell sichert Änderungen seit letztem Vollbackup. Datenbank-Backups müssen konsistent sein. Point-in-Time-Recovery stellt einen Zeitpunkt wieder her. RPO = erlaubter Datenverlust. RTO = erlaubte Wiederherstellungszeit. Backup-Frequenz hängt vom RPO ab. Retention regelt Aufbewahrung. Verschlüsseltes Backup braucht verfügbaren Schlüssel. Backups brauchen strenge Zugriffsrechte. Ransomware greift oft Backups an. Backup-Monitoring ist Pflicht. Backup-Logs regelmäßig prüfen. Restore braucht Reihenfolge. Abhängigkeiten vor Restore prüfen. Notfallhandbuch aktuell halten. Business Continuity betrachtet Geschäftsprozesse. Disaster Recovery betrachtet IT-Wiederherstellung. Failover reduziert Ausfallzeit. Notfallpläne üben. Kommunikation im Notfall vorbereiten. Restore dokumentieren. Nach Restore Funktion, Sicherheit und Backupbetrieb prüfen. # 17.8 Dokumentation, Change Management und sichere Administration in der Praxis Dokumentation und Change Management sorgen dafür, dass IT-Systeme nachvollziehbar, wartbar und sicher betrieben werden können. In der Praxis reicht es nicht, dass ein System irgendwie funktioniert. Wichtig ist auch: - Was wurde eingerichtet? - Warum wurde es eingerichtet? - Wer ist verantwortlich? - Welche Abhängigkeiten gibt es? - Welche Zugangsdaten oder Rollen werden benötigt? - Welche Änderungen wurden durchgeführt? - Wie kann ein Fehler behoben werden? - Wie kann das System wiederhergestellt werden? Merksatz: Gute Administration ist nicht nur Technik, sondern auch Nachvollziehbarkeit. --- **Warum Dokumentation wichtig ist** Ohne Dokumentation entstehen viele Probleme. Beispiele: niemand kennt die IP-Adresse eines Servers Firewall-Regeln sind unverständlich Passwörter oder Schlüssel sind unklar verwaltet Abhängigkeiten sind unbekannt alte Systeme werden vergessen Fehler werden mehrfach gesucht Vertretung ist schwierig Notfälle dauern länger Änderungen können nicht nachvollzogen werden Merksatz: Was nicht dokumentiert ist, ist im Betrieb schwer kontrollierbar. --- **Dokumentation als Sicherheitsmaßnahme** Dokumentation ist auch eine Sicherheitsmaßnahme. Sie hilft bei: Rechteprüfung Notfallmaßnahmen Backup und Restore Schwachstellenmanagement Patchmanagement Incident Response Auditierung Zugriffskontrolle Change Management Betriebssicherheit Merksatz: Gute Dokumentation reduziert Fehler, Ausfallzeiten und Sicherheitsrisiken. --- **Was dokumentiert werden sollte** Typische Inhalte: Systeme Server Netzwerkgeräte IP-Adressen Hostnamen Dienste Ports Firewall-Regeln VLANs Subnetze DNS-Einträge DHCP-Bereiche Benutzerrollen Gruppen Backup-Ziele Restore-Abläufe Zertifikate Lizenzen Wartungsverträge Verantwortliche Notfallkontakte Merksatz: Dokumentiert werden sollte alles, was für Betrieb, Sicherheit und Wiederherstellung wichtig ist. --- **Systemdokumentation** Eine Systemdokumentation beschreibt ein einzelnes System oder einen Dienst. Typische Inhalte: Systemname Zweck Standort IP-Adresse Betriebssystem installierte Dienste offene Ports Abhängigkeiten verantwortliche Person Backup-Regel Monitoring-Regel Wartungsfenster Besonderheiten Wiederherstellungsschritte Merksatz: Systemdokumentation erklärt, wofür ein System da ist und wie es betrieben wird. --- **Netzwerkdokumentation** Eine Netzwerkdokumentation beschreibt Aufbau und Kommunikation im Netzwerk. Typische Inhalte: Netzplan Subnetze VLANs Router Switches Firewalls WLANs VPNs IP-Adressbereiche DHCP-Bereiche DNS-Struktur Trunk-Ports Access-Ports Uplinks WAN-Anbindungen Merksatz: Netzwerkdokumentation macht Verbindungen und Abhängigkeiten sichtbar. --- **IP-Adressdokumentation** IP-Adressen sollten nachvollziehbar verwaltet werden. Zu dokumentieren: IP-Adresse Hostname Gerät Standort Zweck MAC-Adresse bei Bedarf DHCP oder statisch VLAN Verantwortlicher Reservierung Datum der Änderung Merksatz: IP-Adressen nicht nur merken, sondern sauber verwalten. --- **IPAM** IPAM steht für: IP Address Management IPAM beschreibt die strukturierte Verwaltung von IP-Adressen, Subnetzen und Zuordnungen. Vorteile: weniger IP-Konflikte bessere Übersicht klare Reservierungen einfachere Fehlersuche bessere Planung saubere Dokumentation Merksatz: IPAM ist geordnete IP-Adressverwaltung. --- **Netzplan** Ein Netzplan stellt die Netzwerkstruktur grafisch dar. Er kann zeigen: Standorte Router Firewalls Switches Server Clients VLANs Subnetze DMZ VPN-Verbindungen Internetzugänge wichtige Dienste Merksatz: Netzplan zeigt, wie Systeme miteinander verbunden sind. --- **Physischer und logischer Netzplan** Physischer Netzplan: zeigt Geräte, Kabel, Ports, Racks und Standorte Logischer Netzplan: zeigt VLANs, Subnetze, Routing, Firewall-Zonen und Dienste Merksatz: Physisch zeigt Verkabelung. Logisch zeigt Kommunikationsstruktur. --- **Portdokumentation** Bei Switches und Netzwerkgeräten sollten Ports dokumentiert werden. Zu dokumentieren: Portnummer angeschlossenes Gerät VLAN Access oder Trunk Geschwindigkeit PoE Beschreibung Patchpanel-Port Raum oder Dose Merksatz: Portdokumentation spart Zeit bei Fehlersuche und Umzügen. --- **Firewall-Dokumentation** Firewall-Regeln sollten verständlich dokumentiert sein. Wichtige Angaben: Regelname Zweck Quelle Ziel Port Protokoll Richtung Aktion Verantwortlicher Datum Ablaufdatum bei temporären Regeln Ticket oder Änderungsnummer Merksatz: Jede Firewall-Regel braucht einen Zweck. --- **Temporäre Firewall-Regeln** Temporäre Regeln sollten ein Ablaufdatum haben. Problem ohne Ablaufdatum: Testregel bleibt dauerhaft aktiv. Angriffsfläche wächst. Niemand kennt den Zweck. Regel wird vergessen. Merksatz: Temporäre Regeln ohne Ablaufdatum werden oft zu dauerhaften Risiken. --- **DNS-Dokumentation** DNS-Einträge sollten sauber gepflegt werden. Zu dokumentieren: Name IP-Adresse Recordtyp Zweck Verantwortlicher TTL internes oder externes DNS betroffener Dienst Änderungsdatum Merksatz: DNS ist kritisch, weil viele Dienste von Namen abhängig sind. --- **Zertifikatsdokumentation** Zertifikate müssen überwacht und dokumentiert werden. Wichtige Angaben: Domainname Aussteller Ablaufdatum verwendeter Dienst Speicherort Erneuerungsverfahren Verantwortlicher automatische Erneuerung ja oder nein Merksatz: Abgelaufene Zertifikate verursachen vermeidbare Ausfälle. --- **Backup-Dokumentation** Backup-Dokumentation beschreibt, was wie gesichert wird. Wichtige Angaben: System Datenumfang Backup-Art Backup-Ziel Frequenz Aufbewahrung Verschlüsselung Verantwortlicher letzter Restore-Test Wiederherstellungsanleitung Merksatz: Backup-Dokumentation muss auch den Restore beschreiben. --- **Berechtigungsdokumentation** Berechtigungen sollten nachvollziehbar dokumentiert werden. Zu dokumentieren: Rolle Gruppe Zweck zugeordnete Rechte Verantwortlicher Genehmigungsprozess Rezertifizierung Kritikalität externe Zugriffe Merksatz: Rechte müssen erklärbar und überprüfbar sein. --- **Betriebsdokumentation** Betriebsdokumentation beschreibt, wie ein System im Alltag betrieben wird. Inhalte: Start und Stopp Wartung Updates Monitoring Logs Backup typische Fehler Eskalationswege Ansprechpartner Notfallmaßnahmen Merksatz: Betriebsdokumentation hilft beim täglichen Betrieb. --- **Runbook** Ein Runbook ist eine Schritt-für-Schritt-Anleitung für wiederkehrende Aufgaben oder Störungen. Beispiele: Dienst neu starten Zertifikat erneuern Backup prüfen Speicherplatz freigeben Benutzer entsperren VPN-Störung prüfen Datenbank wiederherstellen Notfallzugang aktivieren Merksatz: Runbook macht Abläufe wiederholbar und nachvollziehbar. --- **Standard Operating Procedure** Standard Operating Procedure wird oft abgekürzt: SOP Eine SOP beschreibt einen standardisierten Ablauf. Beispiele: Benutzer anlegen Notebook ausgeben Server patchen Firewall-Regel beantragen Backup-Restore testen Sicherheitsvorfall melden Merksatz: SOP = standardisierte Vorgehensweise. --- **Wissensdatenbank** Eine Wissensdatenbank sammelt wiederverwendbares Wissen. Beispiele: Fehlerlösungen Anleitungen Standardprozesse häufige Fragen Konfigurationshinweise Netzpläne Checklisten Lessons Learned Merksatz: Wissensdatenbank verhindert, dass Wissen nur in einzelnen Köpfen bleibt. --- **Dokumentation aktuell halten** Dokumentation ist nur hilfreich, wenn sie aktuell bleibt. Typische Probleme: Server wurde geändert, Dokumentation nicht IP-Adresse wurde geändert, Liste nicht Firewall-Regel wurde gelöscht, Dokumentation nicht Dienst wurde umgezogen, Runbook nicht angepasst Merksatz: Veraltete Dokumentation kann gefährlicher sein als keine Dokumentation, weil sie falsche Sicherheit gibt. --- **Dokumentationsqualität** Gute Dokumentation ist: verständlich aktuell auffindbar vollständig genug nicht unnötig kompliziert einheitlich strukturiert versioniert überprüfbar für Vertretung nutzbar Merksatz: Dokumentation muss im Alltag nutzbar sein. --- **Change Management** Change Management bedeutet: Änderungen werden kontrolliert geplant, bewertet, freigegeben, umgesetzt, getestet und dokumentiert. Typische Änderungen: Firewall-Regel ändern Server aktualisieren DNS-Eintrag ändern Zertifikat erneuern Benutzerrechte ändern neue Software installieren Netzwerk umkonfigurieren Backup-Plan ändern Cloud-Rolle vergeben Datenbank migrieren Merksatz: Change Management kontrolliert Änderungen im IT-Betrieb. --- **Warum Change Management wichtig ist** Unkontrollierte Änderungen führen oft zu Fehlern. Beispiele: Dienst fällt aus Firewall blockiert Anwendung falscher DNS-Eintrag Benutzer verlieren Zugriff Backup läuft nicht mehr Sicherheitslücke entsteht Dokumentation stimmt nicht mehr niemand weiß, was geändert wurde Merksatz: Viele Störungen entstehen durch nicht dokumentierte Änderungen. --- **Change** Ein Change ist eine geplante Änderung an einem IT-System, einem Dienst, einer Konfiguration oder einem Prozess. Beispiele: Update installieren VLAN ändern Server verschieben Rechte anpassen Zertifikat ersetzen neue Anwendung bereitstellen Merksatz: Change = geplante Änderung im IT-Betrieb. --- **Standard Change** Ein Standard Change ist eine wiederkehrende, bekannte und risikoarme Änderung. Beispiele: Standardbenutzer anlegen Drucker zuweisen Routineupdate nach Prozess Passwort zurücksetzen freigegebene Standardsoftware installieren Merkmale: häufig durchgeführt dokumentierter Ablauf geringes Risiko meist vorab genehmigt Merksatz: Standard Change ist bekannte Routineänderung. --- **Normal Change** Ein Normal Change ist eine geplante Änderung, die bewertet und freigegeben werden muss. Beispiele: neue Firewall-Regel größeres Update neue Serverrolle Änderung an Produktivdatenbank Netzwerkänderung Umzug eines Dienstes Merksatz: Normal Change braucht Prüfung und Freigabe. --- **Emergency Change** Ein Emergency Change ist eine dringende Änderung, die schnell durchgeführt werden muss. Beispiele: kritische Sicherheitslücke schließen Produktionsausfall beheben kompromittierten Zugang sperren Firewall-Regel im Angriff anpassen defekten Dienst kurzfristig umstellen Wichtig: auch Emergency Changes müssen nachträglich dokumentiert werden. Merksatz: Emergency Change ist dringend, aber nicht dokumentationsfrei. --- **Change Request** Ein Change Request ist ein Änderungsantrag. Typische Inhalte: Beschreibung der Änderung Grund betroffene Systeme Risiko geplanter Zeitpunkt Verantwortlicher Testplan Rollback-Plan Freigabe Kommunikationsbedarf Merksatz: Change Request beschreibt, was geändert werden soll und warum. --- **Risikobewertung bei Changes** Vor Änderungen sollte das Risiko bewertet werden. Fragen: Welche Systeme sind betroffen? Welche Benutzer sind betroffen? Kann es Ausfall geben? Gibt es Sicherheitsrisiken? Gibt es Abhängigkeiten? Gibt es ein Backup? Gibt es einen Rollback-Plan? Wurde getestet? Wann ist ein geeignetes Wartungsfenster? Merksatz: Änderung ohne Risikobewertung ist Blindflug. --- **Wartungsfenster** Ein Wartungsfenster ist ein geplanter Zeitraum für Änderungen. Ziel: Auswirkungen auf Benutzer reduzieren Beteiligte informieren Ressourcen einplanen Rollback ermöglichen Monitoring beobachten Merksatz: Wartungsfenster reduziert Betriebsrisiken bei Änderungen. --- **Rollback-Plan** Ein Rollback-Plan beschreibt, wie eine Änderung rückgängig gemacht werden kann. Beispiele: Backup zurückspielen Snapshot zurücksetzen alte Konfigurationsdatei wiederherstellen alte Softwareversion installieren DNS-Eintrag zurücksetzen Firewall-Regel entfernen Merksatz: Vor Änderung wissen, wie man zurückkommt. --- **Testplan** Ein Testplan beschreibt, wie geprüft wird, ob eine Änderung erfolgreich war. Beispiele: Dienst startet Webseite erreichbar Login funktioniert Datenbank erreichbar Backup läuft Monitoring grün Benutzer kann arbeiten Logs zeigen keine Fehler Merksatz: Change ist erst abgeschlossen, wenn Funktion geprüft wurde. --- **Kommunikation bei Changes** Bei Änderungen müssen betroffene Personen informiert werden. Zu klären: Wer ist betroffen? Wann findet Änderung statt? Welche Einschränkungen gibt es? Wie lange dauert es? Was ist nach der Änderung zu prüfen? Wer ist Ansprechpartner? Was passiert bei Problemen? Merksatz: Gute Kommunikation verhindert unnötige Störungen und Rückfragen. --- **Change-Freigabe** Kritische Änderungen sollten freigegeben werden. Mögliche Freigaben durch: Systemverantwortliche IT-Leitung Fachbereich Sicherheitsverantwortliche Datenschutz Change Advisory Board je nach Organisation Merksatz: Kritische Änderungen nicht ungeprüft durchführen. --- **Change Advisory Board** Change Advisory Board wird oft abgekürzt: CAB Ein CAB bewertet und genehmigt wichtige Änderungen. Es prüft zum Beispiel: Risiko Auswirkung Zeitpunkt Abhängigkeiten Rollback Kommunikation Priorität Merksatz: CAB koordiniert wichtige Changes. --- **Configuration Management** Configuration Management bedeutet: Konfigurationen von Systemen werden strukturiert verwaltet. Dazu gehören: Soll-Zustand Ist-Zustand Änderungen Versionen Abhängigkeiten Dokumentation Standardisierung Merksatz: Configuration Management hält technische Zustände kontrollierbar. --- **Configuration Item** Configuration Item wird oft abgekürzt: CI Ein CI ist ein verwaltetes Element der IT-Umgebung. Beispiele: Server Anwendung Datenbank Switch Firewall Laptop Dienst Lizenz Zertifikat virtuelle Maschine Merksatz: CI = verwaltetes IT-Element. --- **CMDB** CMDB steht für: Configuration Management Database Eine CMDB enthält Informationen über Configuration Items und deren Beziehungen. Beispiele: Server gehört zu Anwendung Anwendung nutzt Datenbank Datenbank läuft auf VM VM liegt auf Host Dienst nutzt Zertifikat Firewall-Regel erlaubt Zugriff Merksatz: CMDB zeigt Systeme und Abhängigkeiten strukturiert. --- **Asset Management** Asset Management verwaltet IT-Vermögenswerte. Beispiele: Geräte Server Laptops Monitore Smartphones Lizenzen Verträge Zubehör Ziel: wissen, was vorhanden ist, wem es gehört, wo es ist und welchen Status es hat Merksatz: Asset Management verwaltet IT-Bestand. --- **Inventarisierung** Inventarisierung ist die Erfassung von IT-Objekten. Zu erfassen: Gerätename Seriennummer Standort Benutzer IP-Adresse Betriebssystem Softwarestand Garantie Kaufdatum Zustand Verantwortlicher Merksatz: Ohne Inventar ist Verwaltung und Sicherheit unvollständig. --- **Lizenzmanagement** Lizenzmanagement stellt sicher, dass Software korrekt lizenziert ist. Zu prüfen: Anzahl installierter Lizenzen Anzahl gekaufter Lizenzen Lizenzbedingungen Laufzeiten Abonnements Wartungsverträge Nutzerzuordnung Auditfähigkeit Merksatz: Lizenzmanagement verhindert Unterlizenzierung, unnötige Kosten und Auditprobleme. --- **Versionierung von Konfigurationen** Konfigurationen sollten versioniert werden. Vorteile: Änderungen nachvollziehen alte Zustände wiederherstellen Fehler vergleichen Zusammenarbeit ermöglichen Rollback erleichtern Beispiele: Firewall-Konfiguration Switch-Konfiguration Skripte Webserver-Konfiguration Infrastrukturdefinitionen Merksatz: Versionierung macht Änderungen nachvollziehbar. --- **Konfigurationsbackup** Viele Geräte brauchen eigene Konfigurationsbackups. Beispiele: Switches Router Firewalls WLAN-Controller NAS Hypervisor Backup-Systeme Merksatz: Nicht nur Daten, auch Konfigurationen sichern. --- **Passwort- und Secret-Dokumentation** Passwörter, Tokens und Schlüssel gehören nicht in normale Dokumentation. Sie gehören in sichere Systeme wie: Passwortmanager Secret Manager PAM-System verschlüsselter Tresor Dokumentation sollte nur beschreiben: wo Secret verwaltet wird wer Zugriff beantragen darf wofür es genutzt wird Merksatz: Dokumentation beschreibt Secrets, speichert sie aber nicht im Klartext. --- **Sichere Ablage von Dokumentation** Dokumentation kann selbst sensible Informationen enthalten. Beispiele: Netzpläne IP-Adressen Firewall-Regeln Adminwege Backup-Orte Systemdetails Notfallprozesse Schutzmaßnahmen: Zugriff begrenzen Rollen nutzen Versionierung Backup Verschlüsselung je nach Schutzbedarf Änderungsverlauf regelmäßige Prüfung Merksatz: IT-Dokumentation ist selbst schützenswert. --- **Lessons Learned** Lessons Learned bedeutet: Aus Fehlern, Störungen und Projekten werden Verbesserungen abgeleitet. Fragen: Was ist passiert? Warum ist es passiert? Was hat gut funktioniert? Was hat nicht funktioniert? Welche Dokumentation fehlte? Welche Prozesse müssen angepasst werden? Welche technische Maßnahme fehlt? Wie verhindern wir Wiederholung? Merksatz: Lessons Learned macht Erfahrungen nutzbar. --- **Post-Incident-Review** Ein Post-Incident-Review ist die Auswertung nach einem Vorfall. Ziel: Ursache verstehen Reaktion bewerten Dokumentation verbessern Sicherheitslücken schließen Prozesse anpassen Wiederholung verhindern Merksatz: Nach einem Vorfall sollte nicht nur repariert, sondern gelernt werden. --- **Typische Praxisfehler** Häufige Fehler: keine Dokumentation veraltete Dokumentation IP-Adressen nur im Kopf Firewall-Regeln ohne Zweck temporäre Regeln ohne Ablaufdatum keine Netzpläne keine Restore-Anleitung keine Verantwortlichen Änderungen ohne Ticket kein Rollback-Plan keine Kommunikation Secrets in Klartextdokumenten Konfigurationen nicht gesichert Lizenzen nicht geprüft Merksatz: Fehlende Dokumentation wird spätestens im Notfall teuer. --- **Checkliste: gute IT-Dokumentation** Systeme erfassen. Dienste erfassen. IP-Adressen dokumentieren. Netzpläne pflegen. Firewall-Regeln beschreiben. DNS-Einträge dokumentieren. Zertifikate überwachen. Backup und Restore beschreiben. Rechte und Rollen dokumentieren. Verantwortliche benennen. Runbooks erstellen. Notfallkontakte pflegen. Änderungen versionieren. Dokumentation regelmäßig prüfen. Zugriff auf Dokumentation absichern. Merksatz: Dokumentation muss aktuell, auffindbar und verständlich sein. --- **Checkliste: Change Management** Änderung beschreiben. Grund nennen. Betroffene Systeme bestimmen. Risiko bewerten. Abhängigkeiten prüfen. Backup oder Snapshot prüfen. Wartungsfenster festlegen. Testplan erstellen. Rollback-Plan erstellen. Freigabe einholen. Betroffene informieren. Änderung durchführen. Funktion testen. Monitoring prüfen. Dokumentation aktualisieren. Ergebnis abschließen. Merksatz: Change Management begleitet die Änderung von Planung bis Abschluss. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Warum ist IT-Dokumentation wichtig? - Was gehört in eine Systemdokumentation? - Was gehört in eine Netzwerkdokumentation? - Was ist ein Netzplan? - Was ist der Unterschied zwischen physischem und logischem Netzplan? - Was ist IPAM? - Warum sollten Firewall-Regeln dokumentiert werden? - Warum brauchen temporäre Regeln ein Ablaufdatum? - Warum müssen Zertifikate dokumentiert werden? - Was ist ein Runbook? - Was ist eine SOP? - Was ist Change Management? - Was ist ein Change Request? - Was ist ein Standard Change? - Was ist ein Normal Change? - Was ist ein Emergency Change? - Was ist ein Rollback-Plan? - Was ist ein Wartungsfenster? - Was ist ein CAB? - Was ist eine CMDB? - Was ist Asset Management? - Warum sollten Konfigurationen versioniert werden? --- **Typische Prüfungsfallen** Dokumentation ist keine Nebensache. Veraltete Dokumentation kann falsche Entscheidungen verursachen. Netzplan und IP-Liste sind nicht dasselbe. Physischer Netzplan zeigt Verkabelung. Logischer Netzplan zeigt Netzwerkstruktur. Firewall-Regeln brauchen Zweck und Verantwortlichen. Temporäre Regeln brauchen Ablaufdatum. Zertifikate müssen vor Ablauf überwacht werden. Runbook ist konkrete Anleitung. SOP ist standardisierter Ablauf. Change Management verhindert unkontrollierte Änderungen. Emergency Change muss nachträglich dokumentiert werden. Rollback-Plan vor Änderung erstellen. Testplan nach Änderung durchführen. Wartungsfenster reduziert Auswirkungen. CMDB zeigt IT-Elemente und Beziehungen. Asset Management verwaltet Bestand. Secrets gehören nicht in Klartextdokumentation. Konfigurationen sollten gesichert und versioniert werden. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | Dokumentation | nachvollziehbare Beschreibung von IT-Systemen | | Systemdokumentation | Beschreibung eines Systems oder Dienstes | | Netzwerkdokumentation | Beschreibung der Netzwerkstruktur | | IPAM | IP Address Management | | Netzplan | grafische Darstellung eines Netzwerks | | physischer Netzplan | Darstellung von Geräten, Kabeln und Ports | | logischer Netzplan | Darstellung von VLANs, Subnetzen und Routing | | Portdokumentation | Zuordnung von Switchports und Anschlüssen | | Firewall-Dokumentation | Beschreibung von Firewall-Regeln | | DNS-Dokumentation | Verwaltung von DNS-Einträgen | | Zertifikatsdokumentation | Übersicht über Zertifikate und Ablaufdaten | | Backup-Dokumentation | Beschreibung von Sicherung und Wiederherstellung | | Betriebsdokumentation | Anleitung für laufenden Betrieb | | Runbook | Schritt-für-Schritt-Anleitung | | SOP | Standard Operating Procedure | | Wissensdatenbank | Sammlung wiederverwendbaren Wissens | | Change Management | kontrollierter Änderungsprozess | | Change | geplante Änderung | | Standard Change | bekannte risikoarme Routineänderung | | Normal Change | geplante Änderung mit Prüfung | | Emergency Change | dringende Änderung | | Change Request | Änderungsantrag | | Wartungsfenster | geplanter Zeitraum für Änderungen | | Rollback-Plan | Plan zur Rücknahme einer Änderung | | Testplan | Prüfung nach einer Änderung | | CAB | Change Advisory Board | | Configuration Management | strukturierte Verwaltung von Konfigurationen | | CI | Configuration Item | | CMDB | Configuration Management Database | | Asset Management | Verwaltung von IT-Bestand | | Inventarisierung | Erfassung von IT-Objekten | | Lizenzmanagement | Verwaltung von Softwarelizenzen | | Konfigurationsbackup | Sicherung technischer Konfigurationen | | Lessons Learned | Erkenntnisse aus Fehlern oder Projekten | | Post-Incident-Review | Auswertung nach einem Vorfall | --- **IHK-sichere Kurzformulierung** Dokumentation und Change Management sind wichtige Bestandteile sicherer und zuverlässiger IT-Administration. Dokumentation beschreibt Systeme, Netzwerke, IP-Adressen, Dienste, Firewall-Regeln, Berechtigungen, Backups, Zertifikate, Verantwortlichkeiten und Notfallmaßnahmen. Change Management sorgt dafür, dass Änderungen geplant, bewertet, freigegeben, durchgeführt, getestet und dokumentiert werden. Wichtige Elemente sind Change Request, Risikobewertung, Wartungsfenster, Testplan, Rollback-Plan, Kommunikation und Aktualisierung der Dokumentation. Eine CMDB kann Configuration Items und deren Beziehungen verwalten, während Asset Management den IT-Bestand erfasst. Gute Dokumentation muss aktuell, verständlich, geschützt und für Betrieb sowie Notfälle nutzbar sein. --- **Merksätze** Gute Administration ist nachvollziehbar. Dokumentation reduziert Fehler. Dokumentation ist Sicherheitsmaßnahme. Systeme, Dienste, Netze und Rechte dokumentieren. IP-Adressen sauber verwalten. IPAM hilft bei IP-Adressverwaltung. Netzplan zeigt Verbindungen. Physischer Netzplan zeigt Verkabelung. Logischer Netzplan zeigt Kommunikation. Firewall-Regeln brauchen Zweck. Temporäre Regeln brauchen Ablaufdatum. DNS-Dokumentation verhindert Namenschaos. Zertifikate vor Ablauf überwachen. Backup-Dokumentation muss Restore enthalten. Rechte müssen nachvollziehbar sein. Runbook ist Schritt-für-Schritt-Anleitung. SOP ist standardisierter Ablauf. Wissensdatenbank hält Wissen verfügbar. Dokumentation aktuell halten. Veraltete Dokumentation kann gefährlich sein. Change Management kontrolliert Änderungen. Change Request beschreibt Änderung. Standard Change ist Routine. Normal Change braucht Prüfung. Emergency Change ist dringend, aber nicht dokumentationsfrei. Risiko vor Änderung bewerten. Wartungsfenster planen. Rollback vor Änderung planen. Testplan nach Änderung durchführen. Betroffene informieren. CAB bewertet wichtige Changes. Configuration Management verwaltet technische Zustände. CI ist verwaltetes IT-Element. CMDB zeigt Beziehungen. Asset Management verwaltet Bestand. Inventarisierung ist Grundlage für Betrieb und Sicherheit. Lizenzmanagement verhindert Kosten- und Auditprobleme. Konfigurationen versionieren. Konfigurationen sichern. Secrets nicht in Klartext dokumentieren. Dokumentation selbst schützen. Lessons Learned verbessern Prozesse. Nach Vorfällen auswerten und verbessern. # 17.9 Merksätze und Prüfungswissen zu Netzwerkadministration und Systemzugriff Diese Seite fasst die wichtigsten Inhalte aus dem Kapitel Praxis, Netzwerkadministration und Systemzugriff zusammen. In diesem Kapitel ging es um praktische Aufgaben der Systemintegration: - sichere Fernadministration - SSH und RDP - Benutzer und Rechte - Gruppen und Rollen - Logging und Monitoring - Dienstprüfung - Netzwerkbefehle - Dateiübertragung und Freigaben - Backup und Restore - Dokumentation - Change Management Merksatz: Netzwerkadministration verbindet Technik, Sicherheit, Betrieb und Dokumentation. --- **Grundidee der Netzwerkadministration** Netzwerkadministration bedeutet: Systeme, Netzwerke, Dienste, Benutzer, Zugriffe und Konfigurationen verwalten. Typische Aufgaben: Server prüfen Benutzer anlegen Rechte vergeben Netzwerkfehler suchen Remotezugriff absichern Logs auswerten Backups kontrollieren Dienste überwachen Änderungen dokumentieren Merksatz: Administration ist nicht nur Einrichten, sondern laufender sicherer Betrieb. --- **Systemzugriff** Systemzugriff bedeutet: Zugriff auf ein IT-System zur Nutzung, Verwaltung oder Fehlerbehebung. Arten: lokaler Zugriff Remotezugriff Weboberfläche SSH RDP VPN Bastion Host Managementnetz Cloud-Portal API Merksatz: Je mächtiger der Zugriff, desto stärker muss er abgesichert werden. --- **Lokaler Zugriff** Lokaler Zugriff erfolgt direkt am Gerät. Beispiele: Serverkonsole lokale Anmeldung Tastatur und Monitor physische Konsole im Serverraum Vorteil: funktioniert oft auch bei Netzwerkproblemen Nachteil: physischer Zugang nötig Merksatz: Lokaler Zugriff ist direkter Zugriff am System. --- **Remotezugriff** Remotezugriff bedeutet: Zugriff aus der Ferne. Beispiele: SSH RDP VPN Weboberfläche Remote-Support-Tool Cloud-Konsole Risiko: Remotezugänge sind häufige Angriffsziele. Merksatz: Remotezugriff ist praktisch, aber sicherheitskritisch. --- **SSH** SSH steht für: Secure Shell SSH dient dem verschlüsselten Fernzugriff auf eine Kommandozeile. Typische Nutzung: Linux-Server Unix-Systeme Netzwerkgeräte Firewalls Switches Router NAS-Systeme Dateiübertragung mit SFTP oder SCP Standardport: TCP 22 Merksatz: SSH = verschlüsselter Kommandozeilenzugriff. --- **SSH-Sicherheit** SSH sollte sicher betrieben werden. Wichtige Maßnahmen: Schlüssel statt Passwort nutzen privaten Schlüssel schützen Passphrase verwenden Root-Login vermeiden sudo nutzen Zugriff per Firewall begrenzen MFA prüfen alte Schlüssel entfernen Logs überwachen Host-Key-Warnungen ernst nehmen Merksatz: SSH ist verschlüsselt, aber nur mit sicherer Konfiguration wirklich sicher. --- **Privater und öffentlicher SSH-Schlüssel** SSH-Schlüsselpaar: privater Schlüssel und öffentlicher Schlüssel Privater Schlüssel: bleibt geheim beim Benutzer Öffentlicher Schlüssel: wird auf Zielsystemen hinterlegt Merksatz: Öffentlicher Schlüssel auf Server, privater Schlüssel bleibt geheim. --- **SSH Host Key** Der SSH Host Key identifiziert den Server. Wenn sich der Host Key unerwartet ändert, kann das bedeuten: Server wurde neu installiert falscher Server wird erreicht Man-in-the-Middle-Angriff möglich Merksatz: SSH-Host-Key-Warnungen nicht blind ignorieren. --- **RDP** RDP steht für: Remote Desktop Protocol RDP ermöglicht grafischen Fernzugriff auf Windows-Systeme. Standardport: TCP 3389 Merksatz: RDP = grafischer Windows-Fernzugriff. --- **RDP-Sicherheit** RDP sollte nicht breit direkt im Internet erreichbar sein. Schutzmaßnahmen: VPN nutzen RDP Gateway nutzen MFA aktivieren Network Level Authentication nutzen Quell-IP einschränken starke Passwörter Account Lockout Updates einspielen Logs überwachen Merksatz: RDP offen im Internet ist ein hohes Risiko. --- **VPN** VPN ermöglicht verschlüsselten Zugriff auf ein internes Netzwerk. Vorteile: Adminports müssen nicht öffentlich sein Zugriff zentral steuerbar MFA möglich interne Dienste bleiben privat bessere Protokollierung möglich Wichtig: VPN ersetzt keine Rechteverwaltung. Merksatz: VPN schützt den Zugang, aber nicht automatisch das Zielsystem. --- **Bastion Host und Jump Server** Ein Bastion Host oder Jump Server ist ein geschützter Sprungserver. Prinzip: Administrator verbindet sich zum Sprungserver und von dort zum Zielsystem Vorteile: weniger direkte Adminzugänge zentrale Protokollierung kontrollierter Zugriff interne Systeme bleiben besser geschützt Merksatz: Bastion Host bündelt und schützt Adminzugriffe. --- **Managementnetz** Ein Managementnetz trennt administrative Zugriffe vom normalen Benutzernetz. Darin liegen zum Beispiel: Switch-Management Firewall-Management Server-Management Storage-Management Backup-Management Hypervisor-Management Merksatz: Managementschnittstellen gehören nicht ins normale Clientnetz. --- **Out-of-Band-Management** Out-of-Band-Management nutzt einen getrennten Verwaltungsweg. Beispiele: iLO iDRAC IPMI serielle Konsole Vorteil: Zugriff auch bei Störungen möglich Risiko: sehr mächtiger Zugriff Merksatz: Out-of-Band-Management besonders stark schützen. --- **Benutzerkonto** Ein Benutzerkonto ist eine digitale Identität. Es enthält typischerweise: Benutzername Anmeldedaten Gruppenmitgliedschaften Rollen Berechtigungen Status Merksatz: Benutzerkonto = digitale Identität. --- **Persönliche Konten** Jeder Benutzer sollte ein eigenes persönliches Konto haben. Vorteile: Aktionen nachvollziehbar Rechte gezielt verwaltbar Offboarding einfacher keine Passwortweitergabe bessere Sicherheitsanalyse Merksatz: Ein Benutzer, ein Konto. --- **Sammelkonten** Sammelkonten werden von mehreren Personen genutzt. Probleme: keine eindeutige Nachvollziehbarkeit Passwortweitergabe schwieriges Offboarding höheres Missbrauchsrisiko schlechte Protokollierung Merksatz: Sammelkonten vermeiden, besonders bei Adminzugängen. --- **Gruppen und Rollen** Gruppen fassen Benutzer technisch zusammen. Rollen beschreiben Aufgaben oder Funktionen. Beispiele: Helpdesk Netzwerkadministrator Serveradministrator Backup-Operator Standardbenutzer Leser Bearbeiter Merksatz: Gruppen vereinfachen Rechtevergabe. Rollen beschreiben Aufgaben. --- **RBAC** RBAC steht für: Role-Based Access Control Dabei werden Rechte anhand von Rollen vergeben. Beispiel: Rolle Helpdesk darf Passwörter zurücksetzen. Merksatz: RBAC vergibt Rechte nach Rollen. --- **ABAC** ABAC steht für: Attribute-Based Access Control Dabei werden Zugriffe anhand von Eigenschaften entschieden. Beispiele: Standort Gerätetyp Uhrzeit Sicherheitsstatus des Geräts Abteilung Datenklassifizierung Merksatz: ABAC entscheidet nach Eigenschaften und Bedingungen. --- **Authentifizierung und Autorisierung** Authentifizierung: Wer bist du? Autorisierung: Was darfst du? Beispiel: Benutzer meldet sich an. Danach wird geprüft, ob er Datei lesen darf. Merksatz: Erst Identität prüfen, dann Berechtigung prüfen. --- **Least Privilege** Least Privilege bedeutet: nur notwendige Rechte vergeben. Beispiele: Benutzer ohne lokale Adminrechte Dienstkonto nur mit benötigten Datenbankrechten Support nur mit passenden Supportrechten Adminrechte nur bei Bedarf Merksatz: So wenig Rechte wie möglich, so viele wie nötig. --- **Need to Know** Need to Know bedeutet: Zugriff nur auf Informationen, die für die Aufgabe benötigt werden. Merksatz: Nicht jeder muss alles sehen können. --- **Admin- und Alltagskonto trennen** Administratoren sollten zwei Konten nutzen: normales Benutzerkonto und separates Adminkonto Vorteile: weniger Risiko durch Phishing weniger Malware-Schaden bessere Nachvollziehbarkeit weniger dauerhafte Rechte Merksatz: Nicht dauerhaft mit Adminrechten arbeiten. --- **Dienstkonto** Ein Dienstkonto ist eine technische Identität für Dienste, Anwendungen oder automatisierte Prozesse. Beispiele: Backupdienst Monitoring-Agent Webanwendung mit Datenbankzugriff API-Integration geplante Aufgabe Merksatz: Dienstkonten sind technische Identitäten und müssen rechtearm sein. --- **Offboarding** Offboarding bedeutet: Zugänge werden entfernt, wenn Benutzer ausscheiden oder keinen Zugriff mehr benötigen. Zu prüfen: Benutzerkonto Gruppen VPN SSH-Schlüssel Cloud-Zugänge API-Tokens lokale Adminrechte Geräte E-Mail-Weiterleitungen Merksatz: Alte Zugänge sind ein Sicherheitsrisiko. --- **Regelmäßige Rechteprüfung** Rechte sollten regelmäßig geprüft werden. Besonders wichtig: Adminrechte lokale Administratoren Dienstkonten externe Dienstleister Gruppenmitgliedschaften Cloud-Rollen Freigaben SSH-Schlüssel Merksatz: Rechte altern und müssen gepflegt werden. --- **Logs** Logs sind protokollierte Ereignisse. Beispiele: Anmeldung Fehlanmeldung Dienststart Dienstfehler Firewall-Block VPN-Verbindung Backup-Fehler Adminänderung Merksatz: Logs zeigen, was passiert ist. --- **Monitoring** Monitoring überwacht Zustände und Metriken. Beispiele: Verfügbarkeit CPU-Auslastung RAM-Nutzung Speicherplatz Antwortzeit Backup-Erfolg Zertifikatslaufzeit Dienststatus Merksatz: Monitoring zeigt, was gerade passiert oder sich anbahnt. --- **Logging, Monitoring und Alerting unterscheiden** | Begriff | Zweck | |---|---| | Logging | Ereignisse aufzeichnen | | Monitoring | Zustände überwachen | | Alerting | bei kritischen Zuständen alarmieren | | Reporting | Verlauf auswerten | Merksatz: Logs erklären Ereignisse. Monitoring beobachtet Zustände. Alerting meldet Probleme. --- **Wichtige Logquellen** Typische Logquellen: Betriebssystemlogs Anwendungslogs Authentifizierungslogs Firewall-Logs VPN-Logs DNS-Logs DHCP-Logs Webserverlogs Backup-Logs Cloud-Audit-Logs EDR-Logs Merksatz: Wichtige Systeme brauchen nachvollziehbare Logs. --- **Zentrale Logsammlung** Zentrale Logsammlung bedeutet: Logs mehrerer Systeme werden zentral gesammelt. Vorteile: bessere Suche bessere Korrelation Schutz vor lokaler Manipulation bessere Sicherheitsanalyse Grundlage für SIEM Merksatz: Zentrale Logs helfen, Zusammenhänge systemübergreifend zu erkennen. --- **NTP und Logs** NTP synchronisiert Systemzeiten. Warum wichtig? Logs verschiedener Systeme müssen zeitlich vergleichbar sein. Merksatz: Gemeinsame Zeitbasis ist wichtig für Loganalyse und Forensik. --- **Dienstprüfung** Dienstprüfung bedeutet: prüfen, ob ein Dienst läuft, erreichbar ist und korrekt arbeitet. Zu prüfen: Dienststatus Port Firewall DNS Routing Logs Ressourcen Abhängigkeiten Berechtigungen Merksatz: Dienst läuft nicht automatisch gleich Dienst funktioniert. --- **Netzwerkbefehle** Wichtige Befehle und Werkzeuge: | Aufgabe | Windows | Linux/macOS | |---|---|---| | IP anzeigen | ipconfig | ip addr | | Routing anzeigen | route print | ip route | | DNS prüfen | nslookup | dig, nslookup | | Erreichbarkeit prüfen | ping | ping | | Route verfolgen | tracert | traceroute | | Verbindungen anzeigen | netstat | ss, netstat | | Dienst prüfen | services.msc, sc, PowerShell | systemctl | | Logs prüfen | Ereignisanzeige | journalctl | Merksatz: Gleiche Aufgabe, anderes Werkzeug je nach Betriebssystem. --- **ping** ping testet Erreichbarkeit per ICMP. Wichtig: fehlgeschlagener ping beweist nicht automatisch, dass ein Ziel offline ist. Mögliche Ursachen: ICMP blockiert Firewall Routingproblem DNS-Problem Ziel offline Paketverlust Merksatz: ping ist ein Hinweis, aber kein vollständiger Diensttest. --- **DNS-Prüfung** DNS wird geprüft mit: nslookup oder dig Typische Regel: IP funktioniert, Name nicht: DNS prüfen. Merksatz: DNS-Probleme sind häufige Ursachen für Verbindungsfehler. --- **tracert und traceroute** tracert oder traceroute zeigen den Weg zum Ziel über Zwischenstationen. Wichtig: Nicht jeder Hop muss antworten. Sternchen bedeuten nicht automatisch Ausfall. Merksatz: Traceroute-Ausgaben müssen interpretiert werden. --- **netstat und ss** netstat und ss zeigen Netzwerkverbindungen und lauschende Ports. Wichtige Zustände: LISTEN: Dienst wartet auf Verbindungen. ESTABLISHED: Verbindung besteht. Merksatz: Offene Ports zeigen mögliche Dienstzugänge. --- **localhost und 0.0.0.0** 127.0.0.1: nur lokal auf demselben System erreichbar 0.0.0.0: Dienst lauscht auf allen IPv4-Schnittstellen Merksatz: 127.0.0.1 ist lokal. 0.0.0.0 ist überall auf dem Host. --- **curl** curl testet Webdienste und APIs. Nützlich für: HTTP-Statuscode Header Weiterleitungen HTTPS API-Antwort Erreichbarkeit Merksatz: curl prüft Webdienste direkter als ein Browser. --- **systemctl und journalctl** systemctl: Dienste prüfen und verwalten journalctl: systemd-Logs anzeigen Merksatz: systemctl zeigt Dienststatus. journalctl zeigt passende Logs. --- **Dateiübertragung und Freigaben** Dateiübertragung und Freigaben müssen sicher geplant werden. Zu klären: Wer braucht Zugriff? Welche Daten? Welche Rechte? Wie lange? Intern oder extern? Wird protokolliert? Wird verschlüsselt übertragen? Merksatz: Keine Freigabe ohne Zweck und Berechtigung. --- **SMB** SMB steht für: Server Message Block Typische Nutzung: Windows-Dateifreigaben Netzlaufwerke Druckerfreigaben Standardport: TCP 445 Merksatz: SMB ist typisch für Windows-Dateifreigaben. --- **NFS** NFS steht für: Network File System Typische Nutzung: Unix- und Linux-Freigaben Serverfreigaben Virtualisierungsspeicher Backup-Ziele Merksatz: NFS ist typisch für Unix- und Linux-Umgebungen. --- **FTP, FTPS, SFTP und SCP** | Protokoll | Grundlage | Verschlüsselung | |---|---|---| | FTP | FTP | nein | | FTPS | FTP plus TLS | ja | | SFTP | SSH | ja | | SCP | SSH | ja | Merksatz: FTP ist unverschlüsselt. FTPS ist FTP mit TLS. SFTP ist Dateiübertragung über SSH. SCP kopiert über SSH. --- **Synchronisation ist kein Backup** Synchronisation hält Daten an mehreren Orten gleich. Problem: Löschung, Fehler oder Ransomware-Verschlüsselung können mitsynchronisiert werden. Merksatz: Synchronisation ist kein Backup. --- **Backup** Backup bedeutet: Sicherung von Daten, Systemen oder Konfigurationen. Restore bedeutet: Wiederherstellung aus einer Sicherung. Merksatz: Backup ist die Sicherung. Restore ist die Wiederherstellung. --- **Restore-Test** Ein Restore-Test prüft, ob Wiederherstellung wirklich funktioniert. Zu prüfen: Daten vollständig? Anwendung startet? Rechte korrekt? Datenbank konsistent? Schlüssel vorhanden? Zeit akzeptabel? Merksatz: Nur getestete Backups sind verlässlich. --- **Backup-Arten** | Backup-Art | Bedeutung | |---|---| | Vollbackup | sichert alles | | inkrementell | Änderungen seit letztem Backup | | differenziell | Änderungen seit letztem Vollbackup | | Snapshot | Momentaufnahme | | Image-Backup | vollständiges Systemabbild | | dateibasiert | ausgewählte Dateien und Ordner | Merksatz: Backup-Art nach Wiederherstellungsziel wählen. --- **RPO und RTO** RPO: Recovery Point Objective maximal akzeptabler Datenverlust RTO: Recovery Time Objective maximal akzeptable Wiederherstellungszeit Merksatz: RPO = Datenverlust. RTO = Wiederherstellungszeit. --- **3-2-1-Regel** Die 3-2-1-Regel lautet: 3 Kopien 2 unterschiedliche Speicherarten 1 Kopie extern oder getrennt Merksatz: 3-2-1 reduziert das Risiko, dass alle Kopien gleichzeitig verloren gehen. --- **Immutable und Offline Backup** Immutable Backup: kann für eine festgelegte Zeit nicht verändert oder gelöscht werden Offline Backup: ist nicht dauerhaft verbunden Vorteil: besserer Schutz gegen Ransomware und Manipulation Merksatz: Backups müssen vor Angreifern geschützt werden. --- **Redundanz, Replikation und Backup unterscheiden** | Begriff | Ziel | |---|---| | Backup | Wiederherstellung alter Zustände | | Redundanz | Ausfall abfedern | | Replikation | Daten aktuell auf zweites System kopieren | Merksatz: Redundanz und Replikation ersetzen kein Backup. --- **Dokumentation** Dokumentation beschreibt Systeme, Netzwerke, Dienste, Rechte, Änderungen und Notfallmaßnahmen. Typische Inhalte: Systeme IP-Adressen Hostnamen Dienste Ports Firewall-Regeln VLANs DNS-Einträge Zertifikate Backups Verantwortliche Runbooks Merksatz: Gute Dokumentation macht Betrieb nachvollziehbar. --- **Netzplan** Ein Netzplan zeigt die Netzwerkstruktur. Physischer Netzplan: Geräte, Kabel, Ports, Racks, Standorte Logischer Netzplan: VLANs, Subnetze, Routing, Firewall-Zonen, Dienste Merksatz: Physisch zeigt Verkabelung. Logisch zeigt Kommunikationsstruktur. --- **IPAM** IPAM steht für: IP Address Management IPAM verwaltet IP-Adressen, Subnetze und Zuordnungen. Merksatz: IPAM verhindert IP-Chaos und IP-Konflikte. --- **Runbook und SOP** Runbook: Schritt-für-Schritt-Anleitung für konkrete Aufgaben oder Störungen SOP: Standard Operating Procedure, standardisierter Ablauf Merksatz: Runbook hilft bei konkreter Ausführung. SOP beschreibt standardisierte Vorgehensweise. --- **Change Management** Change Management bedeutet: Änderungen werden geplant, bewertet, freigegeben, umgesetzt, getestet und dokumentiert. Merksatz: Change Management verhindert unkontrollierte Änderungen. --- **Change-Arten** | Change-Art | Bedeutung | |---|---| | Standard Change | bekannte risikoarme Routineänderung | | Normal Change | geplante Änderung mit Prüfung | | Emergency Change | dringende Änderung | Merksatz: Emergency Change ist dringend, aber nicht dokumentationsfrei. --- **Change Request** Ein Change Request ist ein Änderungsantrag. Typische Inhalte: Beschreibung Grund betroffene Systeme Risiko Zeitpunkt Testplan Rollback-Plan Freigabe Kommunikation Merksatz: Change Request beschreibt, was geändert werden soll und warum. --- **Rollback-Plan** Ein Rollback-Plan beschreibt, wie eine Änderung zurückgenommen wird. Beispiele: Backup zurückspielen Snapshot zurücksetzen alte Konfiguration wiederherstellen alte Version installieren DNS zurücksetzen Firewall-Regel entfernen Merksatz: Vor Änderung wissen, wie man zurückkommt. --- **CMDB** CMDB steht für: Configuration Management Database Sie enthält Informationen über verwaltete IT-Elemente und deren Beziehungen. Beispiele: Server Anwendung Datenbank Firewall Zertifikat Lizenz Dienst Merksatz: CMDB zeigt, welche IT-Elemente zusammenhängen. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist Netzwerkadministration? - Was ist Remotezugriff? - Was ist SSH? - Welchen Port nutzt SSH? - Was ist RDP? - Welchen Port nutzt RDP? - Warum sollte RDP nicht offen im Internet stehen? - Was ist ein Bastion Host? - Was ist ein Managementnetz? - Was ist Out-of-Band-Management? - Warum sind persönliche Konten wichtig? - Warum sind Sammelkonten problematisch? - Was ist RBAC? - Was ist ABAC? - Was ist der Unterschied zwischen Authentifizierung und Autorisierung? - Was bedeutet Least Privilege? - Was ist ein Dienstkonto? - Was ist Offboarding? - Warum sind Logs wichtig? - Was ist der Unterschied zwischen Logging und Monitoring? - Warum ist NTP für Logs wichtig? - Was macht ping? - Was prüft nslookup? - Was prüft traceroute? - Was zeigen netstat oder ss? - Was ist SMB? - Was ist SFTP? - Warum ist FTP unsicher? - Warum ist Synchronisation kein Backup? - Was ist Backup? - Was ist Restore? - Was bedeutet RPO? - Was bedeutet RTO? - Was ist die 3-2-1-Regel? - Was ist ein Netzplan? - Was ist IPAM? - Was ist Change Management? - Was ist ein Rollback-Plan? - Was ist eine CMDB? --- **Typische Prüfungsfallen** SSH ist verschlüsselt, aber nicht automatisch sicher konfiguriert. SSH nutzt TCP 22. RDP nutzt TCP 3389. RDP nicht direkt öffentlich bereitstellen. VPN ersetzt keine Rechteverwaltung. Bastion Host ist ein Sprungserver. Managementnetz vom Clientnetz trennen. Out-of-Band-Zugriff ist besonders kritisch. Sammelkonten vermeiden. Admin- und Alltagskonto trennen. Authentifizierung und Autorisierung unterscheiden. Least Privilege gilt auch für Administratoren. Dienstkonten brauchen minimale Rechte. Offboarding muss alle Zugänge entfernen. Logs zeigen Ereignisse. Monitoring zeigt Zustände. Alerting meldet kritische Abweichungen. Ohne NTP sind Logzeiten schwer vergleichbar. Dienst läuft nicht automatisch gleich Anwendung funktioniert. ping prüft ICMP, nicht jeden Dienst. Kein ping kann Firewall sein. IP funktioniert, Name nicht: DNS prüfen. Offener Port bedeutet nicht Anwendung gesund. 127.0.0.1 ist nur lokal. FTP ist unverschlüsselt. SFTP ist nicht FTPS. SMB nutzt TCP 445. Synchronisation ist kein Backup. Replikation ist kein Backup. Redundanz ist kein Backup. Backup ohne Restore-Test ist unsicher. RPO ist Datenverlust. RTO ist Wiederherstellungszeit. Snapshot ist nicht automatisch Backup. Dokumentation muss aktuell sein. Secrets gehören nicht in Klartextdokumentation. Emergency Change muss nachträglich dokumentiert werden. Rollback vor Änderung planen. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | Netzwerkadministration | Verwaltung von Netzwerken und Systemen | | Systemzugriff | Zugriff auf ein IT-System | | Remotezugriff | Zugriff aus der Ferne | | SSH | verschlüsselter Kommandozeilenzugriff | | RDP | grafischer Windows-Fernzugriff | | VPN | verschlüsselter Zugang ins interne Netz | | Bastion Host | geschützter Sprungserver | | Jump Server | Zwischensystem für Administration | | Managementnetz | getrenntes Verwaltungsnetz | | Out-of-Band | separater Verwaltungsweg | | Benutzerkonto | digitale Identität | | Gruppe | Zusammenfassung von Benutzern | | Rolle | Aufgabe mit Rechten | | RBAC | rollenbasierte Zugriffskontrolle | | ABAC | attributbasierte Zugriffskontrolle | | Authentifizierung | Identität prüfen | | Autorisierung | Rechte prüfen | | Least Privilege | minimale notwendige Rechte | | Dienstkonto | technische Identität | | Offboarding | Entfernen alter Zugänge | | Log | protokolliertes Ereignis | | Monitoring | Überwachung von Zuständen | | Alerting | automatische Alarmierung | | NTP | Zeitsynchronisation | | Health Check | Dienstgesundheitsprüfung | | ping | ICMP-Erreichbarkeitstest | | nslookup | DNS-Prüfung | | dig | detaillierte DNS-Prüfung | | tracert | Windows-Wegverfolgung | | traceroute | Wegverfolgung unter Linux/macOS | | netstat | Netzwerkverbindungen anzeigen | | ss | Socketanzeige unter Linux | | curl | Web- und API-Test | | SMB | Windows-Dateifreigabeprotokoll | | NFS | Network File System | | FTP | unverschlüsselte Dateiübertragung | | FTPS | FTP mit TLS | | SFTP | Dateiübertragung über SSH | | SCP | Kopieren über SSH | | Backup | Sicherung | | Restore | Wiederherstellung | | RPO | maximaler Datenverlust | | RTO | maximale Wiederherstellungszeit | | Immutable Backup | unveränderliches Backup | | Snapshot | Momentaufnahme | | Redundanz | mehrfach vorhandene Komponenten | | Replikation | Kopie aktueller Daten | | Dokumentation | nachvollziehbare Beschreibung | | Netzplan | grafische Netzwerkdarstellung | | IPAM | IP-Adressverwaltung | | Runbook | Schritt-für-Schritt-Anleitung | | SOP | Standardprozess | | Change Management | kontrollierter Änderungsprozess | | Rollback | Rücknahme einer Änderung | | CMDB | Datenbank verwalteter IT-Elemente | --- **IHK-sichere Gesamtformulierung** Netzwerkadministration umfasst den sicheren Betrieb und die Verwaltung von Systemen, Netzwerken, Diensten, Benutzern, Zugängen und Konfigurationen. Remotezugriffe wie SSH und RDP müssen durch VPN, Bastion Hosts, Managementnetze, MFA, Logging und Least Privilege abgesichert werden. Benutzer sollten persönliche Konten nutzen, Rechte sollten über Gruppen und Rollen vergeben und regelmäßig geprüft werden. Logs, Monitoring, Alerting und NTP sind wichtig für Fehlersuche, Sicherheit und Nachvollziehbarkeit. Netzwerkbefehle wie ping, nslookup, traceroute, netstat, ss, curl, ipconfig, ip addr, route print und ip route helfen bei systematischer Analyse. Dateiübertragung und Freigaben müssen verschlüsselt, berechtigt und dokumentiert erfolgen. Backups müssen geschützt, überwacht und durch Restore-Tests geprüft werden. Dokumentation und Change Management stellen sicher, dass Systeme nachvollziehbar betrieben und Änderungen kontrolliert durchgeführt werden. --- **Wichtigste Merksätze** Netzwerkadministration ist laufender Betrieb. Adminzugänge besonders schützen. Remotezugriff ist sicherheitskritisch. SSH nutzt TCP 22. RDP nutzt TCP 3389. RDP nicht offen ins Internet stellen. VPN schützt Zugang, ersetzt aber keine Rechte. Bastion Host schützt interne Systeme. Managementnetz trennt Verwaltung. Persönliche Konten statt Sammelkonten. Admin- und Alltagskonto trennen. RBAC arbeitet mit Rollen. ABAC arbeitet mit Eigenschaften. Authentifizierung fragt: Wer bist du? Autorisierung fragt: Was darfst du? Least Privilege gilt immer. Dienstkonten rechtearm betreiben. Offboarding entfernt alte Zugänge. Logs zeigen Ereignisse. Monitoring zeigt Zustände. Alerting meldet Probleme. NTP macht Logs vergleichbar. Dienst läuft nicht automatisch gleich Dienst funktioniert. ping prüft ICMP. DNS mit nslookup oder dig prüfen. traceroute zeigt den Weg. netstat und ss zeigen Verbindungen. curl prüft Webdienste. SMB nutzt TCP 445. FTP ist unsicher, weil unverschlüsselt. SFTP nutzt SSH. FTPS nutzt FTP mit TLS. Synchronisation ist kein Backup. Backup ohne Restore-Test ist unsicher. RPO ist Datenverlust. RTO ist Wiederherstellungszeit. Replikation ersetzt kein Backup. Redundanz ersetzt kein Backup. Dokumentation muss aktuell sein. Change Management kontrolliert Änderungen. Rollback vor Änderung planen. Notfallzugänge streng schützen. Sichere Administration braucht Technik, Prozesse, Rechte, Logs und Dokumentation. # 17.10 Prüfungsvorbereitung und Wiederholung **Prüfungsvorbereitung und Wiederholung** Dieses Kapitel dient zur gezielten Wiederholung vor der Prüfung. Es verbindet die wichtigsten Themen aus: - Netzwerktechnik - OSI-Modell - TCP/IP - IP-Adressierung - Subnetting - Routing - Switching - VLAN - DNS - DHCP - Firewalls - NAT - VPN - Cloud - Sicherheit - Administration - Fehlersuche Merksatz: Prüfungsvorbereitung bedeutet nicht nur Auswendiglernen, sondern Zusammenhänge erkennen. --- **Warum Wiederholung wichtig ist** Viele Prüfungsthemen hängen zusammen. Beispiel: Ein Client kommt nicht ins Internet. Dafür können mehrere Themen relevant sein: IP-Adresse Subnetzmaske Gateway DNS DHCP Routing Firewall NAT VLAN WLAN Proxy VPN Dienstverfügbarkeit Merksatz: In der Prüfung wird selten nur ein einzelnes Thema isoliert geprüft. --- **Typische Prüfungslogik** Prüfungsaufgaben fragen oft nicht direkt: Was ist DNS? Sondern eher: Ein Client kann eine Webseite nicht über den Namen erreichen, aber die IP-Adresse funktioniert. Welche Ursache ist wahrscheinlich? Gesuchte Antwort: DNS-Problem Merksatz: Prüfungen testen Anwendung von Wissen, nicht nur Definitionen. --- **Wichtigste Grundregel bei Netzwerkfehlern** Immer systematisch prüfen: 1. Physische Verbindung 2. IP-Konfiguration 3. Gateway 4. DNS 5. Routing 6. Firewall 7. Dienst 8. Anwendung 9. Logs 10. Änderungen Merksatz: Erst Grundlagen, dann Spezialfälle. --- **OSI-Modell als Prüfungswerkzeug** Das OSI-Modell hilft, Fehler schichtweise einzugrenzen. | OSI-Schicht | Name | Typische Prüfung | |---|---|---| | 1 | Bitübertragung | Kabel, Signal, Link | | 2 | Sicherung | MAC, Switch, VLAN, ARP | | 3 | Vermittlung | IP, Routing, ICMP | | 4 | Transport | TCP, UDP, Ports | | 5 | Sitzung | Session, Verbindungssitzung | | 6 | Darstellung | TLS, Codierung, Verschlüsselung | | 7 | Anwendung | DNS, DHCP, HTTP, SMTP, SMB | Merksatz: OSI hilft, Fehler strukturiert zu suchen. --- **TCP/IP-Modell wiederholen** Das TCP/IP-Modell ist praxisnaher als das OSI-Modell. | TCP/IP-Schicht | Entspricht grob OSI | Beispiele | |---|---|---| | Anwendung | OSI 5 bis 7 | HTTP, DNS, SMTP, DHCP | | Transport | OSI 4 | TCP, UDP | | Internet | OSI 3 | IP, ICMP, Routing | | Netzzugang | OSI 1 bis 2 | Ethernet, WLAN, MAC | Merksatz: TCP/IP ist das praktische Internetmodell. --- **Kapselung wiederholen** Beim Senden werden Daten schrittweise verpackt. Beispiel: Anwendung erzeugt Daten. TCP ergänzt Portinformationen. IP ergänzt IP-Adressen. Ethernet ergänzt MAC-Adressen. Bits werden übertragen. Beim Empfangen wird alles wieder entpackt. Merksatz: Kapselung bedeutet: Jede Schicht ergänzt eigene Steuerinformationen. --- **PDU-Begriffe wiederholen** | Schicht | Einheit | |---|---| | Anwendung | Daten | | Transport | Segment oder Datagramm | | Internet / Netzwerk | Paket | | Sicherung | Frame | | Bitübertragung | Bits | Merksatz: Daten werden zu Segmenten, Paketen, Frames und Bits. --- **MAC-Adresse wiederholen** Eine MAC-Adresse arbeitet auf Schicht 2. Sie dient der lokalen Zustellung im selben Netzwerksegment. Wichtig: MAC-Adressen werden von Switches genutzt. MAC-Adressen ändern sich an jedem Router-Hop. MAC-Adressen sind nicht für Routing über Netze hinweg zuständig. Merksatz: MAC-Adresse = lokale Zustellung im LAN. --- **IP-Adresse wiederholen** Eine IP-Adresse arbeitet auf Schicht 3. Sie dient der logischen Adressierung über Netzgrenzen hinweg. Wichtig: IP-Adressen werden für Routing genutzt. IP-Adressen bestehen aus Netzanteil und Hostanteil. Subnetzmaske oder Präfix bestimmt die Aufteilung. Merksatz: IP-Adresse = logische Adresse für Routing. --- **Port wiederholen** Ports arbeiten auf Schicht 4. Sie ordnen Netzwerkverkehr einem Dienst oder Prozess zu. Beispiele: TCP 80 HTTP TCP 443 HTTPS TCP 22 SSH TCP 3389 RDP TCP 25 SMTP UDP 53 DNS UDP 67 und 68 DHCP Merksatz: Port = Dienstadresse auf einem Host. --- **MAC, IP und Port unterscheiden** | Begriff | Schicht | Aufgabe | |---|---|---| | MAC-Adresse | 2 | lokale Zustellung im LAN | | IP-Adresse | 3 | logische Adressierung und Routing | | Port | 4 | Zuordnung zu Dienst oder Anwendung | Merksatz: MAC findet Gerät im lokalen Netz. IP findet Netz und Host. Port findet Dienst. --- **IPv4-Grundlagen wiederholen** IPv4-Adressen bestehen aus 32 Bit. Sie werden meist dezimal in vier Oktetten dargestellt. Beispiel: 192.168.1.10 Dazu gehört eine Subnetzmaske oder Präfixlänge. Beispiel: 192.168.1.10/24 Merksatz: IPv4-Adresse plus Präfix bestimmt Netz und Host. --- **Private IPv4-Adressbereiche** Wichtige private IPv4-Bereiche: | Bereich | CIDR | |---|---| | 10.0.0.0 bis 10.255.255.255 | 10.0.0.0/8 | | 172.16.0.0 bis 172.31.255.255 | 172.16.0.0/12 | | 192.168.0.0 bis 192.168.255.255 | 192.168.0.0/16 | Merksatz: Private IP-Adressen werden im Internet nicht direkt geroutet. --- **Subnetzmaske wiederholen** Die Subnetzmaske trennt Netzanteil und Hostanteil. Beispiel: /24 bedeutet: 24 Bit Netzanteil, 8 Bit Hostanteil Bei IPv4 gilt: Hostanzahl = 2 hoch Hostbits minus 2 Das minus 2 steht meist für: Netzadresse und Broadcastadresse Merksatz: Mehr Hostbits bedeuten mehr mögliche Hosts. --- **Häufige Präfixe** | Präfix | Maske | Adressen | nutzbare Hosts | |---|---|---:|---:| | /24 | 255.255.255.0 | 256 | 254 | | /25 | 255.255.255.128 | 128 | 126 | | /26 | 255.255.255.192 | 64 | 62 | | /27 | 255.255.255.224 | 32 | 30 | | /28 | 255.255.255.240 | 16 | 14 | | /29 | 255.255.255.248 | 8 | 6 | | /30 | 255.255.255.252 | 4 | 2 | Merksatz: Pro zusätzlichem Netzbit halbiert sich die Hostanzahl. --- **Subnetting-Grundregel** Wenn der Präfix größer wird: mehr Netzbits weniger Hostbits kleinere Subnetze Wenn der Präfix kleiner wird: weniger Netzbits mehr Hostbits größere Subnetze Merksatz: /25 ist kleiner als /24. /23 ist größer als /24. --- **Broadcast wiederholen** Die Broadcastadresse ist die letzte Adresse eines IPv4-Subnetzes. Sie dient dazu, alle Hosts im Subnetz zu erreichen. Beispiel bei: 192.168.1.0/24 Broadcast: 192.168.1.255 Merksatz: Broadcast = letzte Adresse im IPv4-Subnetz. --- **Netzadresse wiederholen** Die Netzadresse ist die erste Adresse eines Subnetzes. Sie beschreibt das Netzwerk selbst. Beispiel bei: 192.168.1.0/24 Netzadresse: 192.168.1.0 Merksatz: Netzadresse = erste Adresse im Subnetz. --- **Erste und letzte nutzbare Adresse** Bei einem normalen IPv4-Subnetz gilt: erste nutzbare Adresse: Netzadresse plus 1 letzte nutzbare Adresse: Broadcastadresse minus 1 Beispiel: Netz: 192.168.1.0/24 erste nutzbare: 192.168.1.1 letzte nutzbare: 192.168.1.254 Merksatz: Erste nutzbare = Netzadresse + 1. Letzte nutzbare = Broadcast - 1. --- **Gateway wiederholen** Das Standardgateway ist der Router, über den ein Host andere Netze erreicht. Ohne Gateway funktioniert meist nur Kommunikation im eigenen Subnetz. Merksatz: Gateway = Ausgang in andere Netze. --- **DNS wiederholen** DNS übersetzt Namen in IP-Adressen. Beispiel: www.example.com wird zu: IP-Adresse Typische Fehler: falscher DNS-Server DNS-Server nicht erreichbar falscher DNS-Eintrag DNS-Cache veraltet Split-DNS bei VPN falsch Merksatz: Wenn IP funktioniert, aber Name nicht: DNS prüfen. --- **DHCP wiederholen** DHCP verteilt automatisch Netzwerkkonfiguration. Typische Informationen: IP-Adresse Subnetzmaske Gateway DNS-Server Lease-Zeit Merksatz: DHCP nimmt Clients die manuelle IP-Konfiguration ab. --- **DHCP-Ablauf DORA** DORA steht für: Discover Offer Request Acknowledge Ablauf: Client sucht DHCP-Server. Server bietet Adresse an. Client fordert Adresse an. Server bestätigt die Vergabe. Merksatz: DHCP-DORA = Discover, Offer, Request, Acknowledge. --- **ARP wiederholen** ARP löst IPv4-Adresse in MAC-Adresse auf. Es funktioniert im lokalen Netz. Beispiel: Wer hat 192.168.1.1? Antwort: MAC-Adresse des Gateways Merksatz: ARP verbindet IPv4 und MAC im lokalen Netz. --- **Switching wiederholen** Ein Switch arbeitet hauptsächlich auf Schicht 2. Er lernt MAC-Adressen an Ports und leitet Frames passend weiter. Wenn die Ziel-MAC unbekannt ist, wird geflutet. Merksatz: Switch lernt MAC-Adressen und baut eine MAC-Adresstabelle. --- **VLAN wiederholen** VLANs trennen ein physisches Netzwerk logisch in mehrere getrennte Netze. Vorteile: bessere Struktur weniger Broadcastverkehr pro Segment Sicherheitszonen Trennung von Abteilungen Trennung von Gastnetz und internem Netz Merksatz: VLAN trennt logisch auf Schicht 2. --- **Access-Port und Trunk-Port** Access-Port: gehört zu einem VLAN meist für Endgeräte Trunk-Port: transportiert mehrere VLANs meist zwischen Switches, Router oder Firewall Merksatz: Access = ein VLAN. Trunk = mehrere VLANs. --- **Routing wiederholen** Routing verbindet verschiedene IP-Netze. Router entscheiden anhand der Routing-Tabelle, wohin Pakete weitergeleitet werden. Merksatz: Routing verbindet Netze. --- **Routing-Tabelle wiederholen** Eine Routing-Tabelle enthält: Zielnetz Gateway oder Next Hop Interface Metrik Wichtig: Die spezifischste passende Route gewinnt. Merksatz: Routing-Tabelle bestimmt den nächsten Weg. --- **ICMP wiederholen** ICMP wird für Kontroll- und Fehlermeldungen genutzt. Typische Werkzeuge: ping traceroute Merksatz: ICMP hilft bei Diagnose, ist aber kein Transportprotokoll für Anwendungen. --- **TCP wiederholen** TCP ist verbindungsorientiert und zuverlässig. Eigenschaften: Verbindungsaufbau Reihenfolge Bestätigung Wiederholung verlorener Daten Flusskontrolle Fehlererkennung Merksatz: TCP = zuverlässig und verbindungsorientiert. --- **UDP wiederholen** UDP ist verbindungslos und schlanker. Eigenschaften: kein Verbindungsaufbau keine eingebaute Zustellgarantie wenig Overhead schnell Typische Anwendungen: DNS DHCP VoIP Streaming Gaming Merksatz: UDP = schnell und verbindungslos. --- **TCP und UDP vergleichen** | Merkmal | TCP | UDP | |---|---|---| | Verbindung | verbindungsorientiert | verbindungslos | | Zuverlässigkeit | hoch | keine eingebaute Garantie | | Reihenfolge | wird gesichert | nicht garantiert | | Overhead | höher | geringer | | Beispiele | HTTP, HTTPS, SSH, SMTP | DNS, DHCP, VoIP | Merksatz: TCP sicherer in der Zustellung. UDP schneller und einfacher. --- **NAT wiederholen** NAT steht für: Network Address Translation NAT übersetzt IP-Adressen. Häufigster Fall: private interne IP-Adressen werden beim Internetzugriff in eine öffentliche IP-Adresse übersetzt. Merksatz: NAT übersetzt Adressen. --- **PAT wiederholen** PAT steht für: Port Address Translation Dabei nutzen viele interne Geräte eine öffentliche IP-Adresse und werden über Ports unterschieden. Merksatz: PAT ermöglicht vielen Clients Internetzugriff über eine öffentliche IP. --- **Portweiterleitung wiederholen** Portweiterleitung leitet eingehenden Verkehr von außen an einen internen Dienst weiter. Beispiel: Extern TCP 443 wird weitergeleitet zu internem Webserver TCP 443 Merksatz: Portweiterleitung macht interne Dienste von außen erreichbar. --- **Firewall wiederholen** Eine Firewall filtert Netzwerkverkehr anhand von Regeln. Typische Kriterien: Quelle Ziel Port Protokoll Richtung Zustand Benutzer je nach System Anwendung je nach System Merksatz: Firewall entscheidet, welcher Verkehr erlaubt oder blockiert wird. --- **DMZ wiederholen** Eine DMZ ist ein getrenntes Netzwerksegment für öffentlich erreichbare Dienste. Beispiele: Webserver Reverse Proxy Mail-Gateway VPN-Gateway Ziel: interne Netze schützen Merksatz: DMZ trennt öffentliche Dienste vom internen Netz. --- **VPN wiederholen** VPN stellt einen verschlüsselten Tunnel her. Typische Arten: Remote-Access-VPN Site-to-Site-VPN Merksatz: VPN verbindet Netze oder Benutzer sicher über unsichere Netze. --- **Cloud-Modelle wiederholen** | Modell | Bedeutung | |---|---| | IaaS | virtuelle Infrastruktur | | PaaS | Plattform für Anwendungen | | SaaS | fertige Anwendung | Merksatz: IaaS bietet Infrastruktur. PaaS bietet Plattform. SaaS bietet fertige Software. --- **Cloud-Bereitstellungsmodelle wiederholen** | Modell | Bedeutung | |---|---| | Public Cloud | öffentlich angebotene Cloud | | Private Cloud | Cloud für eine Organisation | | Hybrid Cloud | Kombination aus lokal und Cloud | | Multi Cloud | mehrere Cloud-Anbieter | Merksatz: Hybrid beschreibt Mischung der Betriebsorte. Multi Cloud beschreibt mehrere Anbieter. --- **Shared Responsibility wiederholen** In der Cloud teilen sich Anbieter und Kunde Verantwortung. Grundidee: Anbieter schützt die Cloud-Infrastruktur. Kunde schützt seine Daten, Identitäten, Konfigurationen und Zugriffe. Merksatz: Cloud-Anbieter übernimmt nicht automatisch alle Sicherheitsaufgaben. --- **Informationssicherheit wiederholen** Wichtige Schutzziele: Vertraulichkeit Integrität Verfügbarkeit Zusätzlich wichtig: Authentizität Nichtabstreitbarkeit Merksatz: CIA-Triade = Vertraulichkeit, Integrität, Verfügbarkeit. --- **Typische Angriffe wiederholen** Wichtige Angriffe: Malware Ransomware Phishing Social Engineering DoS DDoS Man-in-the-Middle Spoofing SQL Injection XSS CSRF Brute Force Credential Stuffing Merksatz: Angriff immer dem betroffenen Schutzziel zuordnen. --- **Typische Schutzmaßnahmen wiederholen** Wichtige Schutzmaßnahmen: Patchmanagement Hardening Firewall IDS IPS EDR SIEM MFA Backup Netzwerksegmentierung Least Privilege Monitoring Logging Schulung Incident Response Merksatz: Sicherheit entsteht durch mehrere Schutzschichten. --- **Backup wiederholen** Backup bedeutet: Sicherung von Daten, Systemen oder Konfigurationen. Restore bedeutet: Wiederherstellung aus Backup. Wichtig: Backup ohne Restore-Test ist unsicher. Merksatz: Backup ist erst sicher, wenn Restore getestet wurde. --- **RPO und RTO wiederholen** RPO: maximal akzeptabler Datenverlust RTO: maximal akzeptable Wiederherstellungszeit Merksatz: RPO = Datenverlust. RTO = Wiederherstellungszeit. --- **Prüfungsvorgehen bei Rechenaufgaben** Bei Rechenaufgaben wichtig: Einheiten beachten. Bits und Bytes unterscheiden. Mbit/s und MB/s nicht verwechseln. Netzadresse und Broadcast prüfen. Hostanzahl mit Hostbits berechnen. Zwischenschritte sauber notieren. Ergebnis auf Plausibilität prüfen. Merksatz: Viele Fehler entstehen durch Einheiten und Präfixe. --- **Bit und Byte wiederholen** 1 Byte besteht aus: 8 Bit Beispiele: 100 Mbit/s ist nicht dasselbe wie: 100 MB/s Umrechnung: Bit durch 8 = Byte Byte mal 8 = Bit Merksatz: Bit ist klein b. Byte ist großes B. --- **Typische Einheitenfallen** | Schreibweise | Bedeutung | |---|---| | b | Bit | | B | Byte | | kbit | Kilobit | | kB | Kilobyte | | Mbit | Megabit | | MB | Megabyte | | Gbit | Gigabit | | GB | Gigabyte | Merksatz: Großes B ist Byte. Kleines b ist Bit. --- **Prüfungsstrategie bei Fehlersuche** Bei Fehlersuche: Problem genau lesen. Symptome markieren. Betroffene Systeme erkennen. Funktioniert IP? Funktioniert DNS? Ist Gateway korrekt? Ist Dienst erreichbar? Ist Port offen? Gibt es Firewall-Regeln? Gab es Änderungen? Was ist die wahrscheinlichste Ursache? Merksatz: Symptome zuerst, Lösung danach. --- **Signalwörter in Prüfungsaufgaben** Typische Signalwörter: | Signalwort | Hinweis | |---|---| | IP geht, Name nicht | DNS | | lokal geht, Internet nicht | Gateway oder NAT | | nur ein VLAN betroffen | VLAN oder Routing | | nur ein Dienst betroffen | Port, Dienst, Firewall | | alle Dienste langsam | Netzwerk, Last, DNS oder Speicher | | Anmeldung schlägt fehl | Authentifizierung oder Konto | | Zugriff verweigert | Autorisierung oder Rechte | | Zertifikatswarnung | Zertifikat, Hostname oder Zeit | | nach Update defekt | Änderung, Version, Kompatibilität | | nur extern nicht erreichbar | Firewall, NAT, DNS, Provider | Merksatz: Signalwörter zeigen die Richtung der Fehlersuche. --- **Typische IHK-Prüfungsfallen** OSI-Schichten verwechseln. TCP und UDP verwechseln. MAC, IP und Port verwechseln. DNS und DHCP verwechseln. NAT und Portweiterleitung verwechseln. Firewall und Router verwechseln. VLAN trennt Schicht 2, Routing verbindet Netze. ping prüft ICMP, nicht jeden Dienst. Kein ping bedeutet nicht automatisch Ziel offline. IP funktioniert, Name nicht: DNS prüfen. RDP nutzt TCP 3389. SSH nutzt TCP 22. SMB nutzt TCP 445. HTTPS nutzt TCP 443. DHCP nutzt UDP 67 und 68. DNS nutzt häufig UDP 53, je nach Fall auch TCP 53. FTP ist unverschlüsselt. SFTP ist nicht FTPS. Backup, Replikation und Synchronisation unterscheiden. RPO und RTO unterscheiden. Authentifizierung und Autorisierung unterscheiden. Least Privilege nicht mit Need to Know verwechseln. --- **Prüfungsantworten kurz und fachlich formulieren** Eine gute Prüfungsantwort ist: fachlich korrekt kurz begründet auf die Aufgabe bezogen ohne unnötiges Ausschweifen Schlechtes Beispiel: Vielleicht liegt es am Internet. Besser: Da die Verbindung zur IP-Adresse funktioniert, aber die Namensauflösung fehlschlägt, liegt wahrscheinlich ein DNS-Problem vor. Merksatz: Antwort immer aus dem Fehlerbild begründen. --- **Beispiel: DNS-Fehler erkennen** Fehlerbild: Webseite ist per IP erreichbar, aber nicht per Namen. Wahrscheinliche Ursache: DNS-Problem Prüfung: DNS-Server prüfen nslookup oder dig nutzen DNS-Cache prüfen richtigen DNS-Server konfigurieren Merksatz: IP ja, Name nein: DNS. --- **Beispiel: Gateway-Fehler erkennen** Fehlerbild: Client erreicht lokale Systeme, aber keine externen Netze. Wahrscheinliche Ursache: Standardgateway fehlt oder ist falsch. Prüfung: IP-Konfiguration prüfen Gateway prüfen Routing-Tabelle prüfen Gateway anpingen Merksatz: Lokal ja, extern nein: Gateway prüfen. --- **Beispiel: Firewall-Fehler erkennen** Fehlerbild: Server ist erreichbar, aber bestimmter Dienst nicht. Mögliche Ursache: Port wird blockiert Dienst läuft nicht Firewall-Regel fehlt Prüfung: Dienststatus prüfen Port prüfen Firewall-Regeln prüfen Logs prüfen Merksatz: Host erreichbar, Dienst nicht: Port, Dienst und Firewall prüfen. --- **Beispiel: Rechteproblem erkennen** Fehlerbild: Benutzer kann sich anmelden, aber Datei nicht öffnen. Wahrscheinliche Ursache: Autorisierungs- oder Berechtigungsproblem Prüfung: Gruppenmitgliedschaft Freigaberechte Dateisystemrechte ACL Deny-Regeln Merksatz: Anmeldung erfolgreich, Zugriff verweigert: Rechte prüfen. --- **Beispiel: Zertifikatsproblem erkennen** Fehlerbild: Browser meldet Zertifikatswarnung. Mögliche Ursachen: Zertifikat abgelaufen Hostname passt nicht Zertifikatskette unvollständig Systemzeit falsch falsches Zertifikat installiert Merksatz: Zertifikatsfehler: Ablauf, Name, Kette und Zeit prüfen. --- **Checkliste: letzte Wiederholung vor der Prüfung** OSI-Schichten sicher können. TCP/IP-Modell sicher können. MAC, IP und Port unterscheiden. Private IP-Bereiche kennen. Subnetting üben. Netzadresse und Broadcast berechnen. Gateway, DNS und DHCP unterscheiden. TCP und UDP vergleichen. Standardports wiederholen. NAT, PAT und Portweiterleitung unterscheiden. Firewall-Regeln verstehen. VLAN und Routing unterscheiden. VPN-Arten wiederholen. Cloud-Modelle unterscheiden. Sicherheitsangriffe zuordnen. Schutzmaßnahmen nennen können. Backup, Restore, RPO und RTO unterscheiden. Rechte, Rollen und Gruppen verstehen. Logging, Monitoring und Alerting unterscheiden. Fehlersuche systematisch erklären. Merksatz: Wer sauber zuordnet, löst viele Prüfungsaufgaben sicherer. --- **IHK-sichere Kurzformulierung** In der Prüfungsvorbereitung sollten Netzwerkthemen nicht isoliert, sondern im Zusammenhang wiederholt werden. Das OSI-Modell hilft bei der strukturierten Fehlersuche, während das TCP/IP-Modell die praktische Kommunikation beschreibt. MAC-Adressen arbeiten auf Schicht 2, IP-Adressen auf Schicht 3 und Ports auf Schicht 4. DNS löst Namen auf, DHCP verteilt Netzwerkkonfiguration und das Gateway verbindet einen Host mit anderen Netzen. TCP ist verbindungsorientiert und zuverlässig, UDP ist verbindungslos und schlank. Firewalls filtern Verkehr, NAT übersetzt Adressen, VPNs verschlüsseln Verbindungen und Backups ermöglichen Wiederherstellung. Bei Prüfungsaufgaben sollten Symptome genau gelesen, Signalwörter erkannt und Lösungen fachlich kurz begründet werden. --- **Wichtigste Merksätze** Prüfungsvorbereitung heißt Zusammenhänge verstehen. Erst Aufgabe lesen, dann Lösung ableiten. OSI hilft bei Fehlersuche. TCP/IP beschreibt praktische Kommunikation. Kapselung verpackt Daten schichtweise. MAC ist Schicht 2. IP ist Schicht 3. Port ist Schicht 4. MAC lokal, IP logisch, Port Dienst. IPv4 hat 32 Bit. Präfix bestimmt Netz- und Hostanteil. Pro Netzbit weniger halbiert sich die Hostanzahl. Pro Hostbit mehr verdoppelt sich die Hostanzahl. Netzadresse ist erste Adresse. Broadcast ist letzte Adresse. Gateway führt in andere Netze. DNS löst Namen auf. DHCP verteilt IP-Konfiguration. ARP löst IPv4 zu MAC auf. Switch lernt MAC-Adressen. VLAN trennt logisch. Routing verbindet Netze. ICMP hilft bei Diagnose. TCP ist zuverlässig. UDP ist schnell und verbindungslos. NAT übersetzt Adressen. PAT nutzt Ports zur Zuordnung. Firewall filtert Verkehr. DMZ trennt öffentliche Dienste. VPN verschlüsselt Verbindungen. IaaS, PaaS und SaaS unterscheiden. Public, Private, Hybrid und Multi Cloud unterscheiden. Vertraulichkeit, Integrität und Verfügbarkeit unterscheiden. Angriff dem Schutzziel zuordnen. Schutzmaßnahmen kombinieren. Backup ohne Restore-Test ist unsicher. RPO ist Datenverlust. RTO ist Wiederherstellungszeit. Bit und Byte unterscheiden. IP funktioniert, Name nicht: DNS prüfen. Lokal geht, extern nicht: Gateway prüfen. Host geht, Dienst nicht: Port, Dienst und Firewall prüfen. Anmeldung geht, Zugriff nicht: Rechte prüfen. Zertifikatsfehler: Ablauf, Name, Kette und Zeit prüfen. Signalwörter erkennen. Prüfungsantwort kurz, fachlich und begründet formulieren.