19. Notizen, Cheatsheets und Spickzettel

19.1 Notizen, Cheatsheets und Spickzettel

Dieses Kapitel enthält kompakte Spickzettel für die schnelle Wiederholung.

Es ist kein neues großes Theoriekapitel, sondern eine Sammlung wichtiger Übersichten.

Ziel ist:

- kurz vor der Prüfung schnell wiederholen
- Begriffe sicher unterscheiden
- Standardwerte griffbereit haben
- typische Fehlerbilder schneller erkennen
- Rechenwege kompakt nachschlagen
- prüfungssichere Kurzantworten vorbereiten

Merksatz:

Spickzettel ersetzen kein Verständnis,
helfen aber beim schnellen Wiederholen.

Wofür dieses Kapitel gedacht ist

Dieses Kapitel eignet sich besonders für:

letzte Wiederholung vor Klassenarbeit oder Prüfung
schnelles Nachschlagen
Vergleich ähnlicher Begriffe
Wiederholung von Ports
Subnetting-Übersicht
OSI-Zuordnung
Fehlerdiagnose
Sicherheitsbegriffe
Backup-Begriffe
Cloud-Modelle
Admin-Befehle

Merksatz:

Dieses Kapitel ist für kompakte Wiederholung,
nicht für lange Erklärungen.

Aufbau der Spickzettel

Die Spickzettel sollten möglichst kurz und übersichtlich bleiben.

Sinnvolle Seiten in diesem Kapitel:

19.1 Notizen, Cheatsheets und Spickzettel

19.2 OSI- und TCP/IP-Spickzettel

19.3 Standardports-Spickzettel

19.4 Subnetting-Spickzettel

19.5 DNS, DHCP, Gateway und NAT Spickzettel

19.6 TCP, UDP, ICMP und ARP Spickzettel

19.7 VLAN, Switching, Routing und Firewall Spickzettel

19.8 Sicherheitsbegriffe und Angriffe Spickzettel

19.9 Backup, Restore, RPO und RTO Spickzettel

19.10 Admin-Befehle und Fehlersuche Spickzettel

19.11 Prüfungs-Signalwörter und Musterformulierungen

Merksatz:

Kapitel 19 ist die Kurzfassung der wichtigsten Prüfungsthemen.

Was ein guter Spickzettel leisten soll

Ein guter Spickzettel ist:

kurz
eindeutig
fachlich korrekt
schnell überfliegbar
tabellarisch
prüfungsnah
ohne unnötige Theorie
mit klaren Merksätzen

Er sollte nicht:

lange Texte wiederholen
ganze Kapitel ersetzen
unklare Abkürzungen enthalten
Begriffe vermischen
zu viele Randthemen enthalten

Merksatz:

Spickzettel müssen schnell lesbar sein.

Die wichtigsten Grundregeln für die Prüfung

Aufgabe genau lesen.

Operator beachten.

Signalwörter erkennen.

Gefragte Anzahl beachten.

Fachbegriffe sauber verwenden.

Ergebnis mit Einheit angeben.

Bei Fehlern systematisch prüfen.

Bei Sicherheit Risiko und Maßnahme verbinden.

Bei Vergleichen Unterschiede klar darstellen.

Bei Berechnungen Plausibilität prüfen.

Merksatz:

Viele Punkte gehen nicht durch fehlendes Wissen verloren,
sondern durch ungenaue Antworten.

Mini-Spickzettel: OSI-Schichten

Schicht Name Typische Begriffe
7 Anwendung HTTP, DNS, DHCP, SMTP, SMB
6 Darstellung TLS, Verschlüsselung, Codierung
5 Sitzung Session, Sitzung, Wiederaufnahme
4 Transport TCP, UDP, Ports
3 Vermittlung IP, Routing, ICMP
2 Sicherung MAC, Ethernet, Switch, VLAN, ARP
1 Bitübertragung Kabel, Signal, Stecker, Funk

Merksatz:

OSI hilft bei der Fehlersuche von unten nach oben.

Mini-Spickzettel: TCP/IP-Modell

TCP/IP-Schicht OSI-Zuordnung Beispiele
Anwendung OSI 5 bis 7 HTTP, DNS, DHCP, SMTP
Transport OSI 4 TCP, UDP
Internet OSI 3 IP, ICMP, Routing
Netzzugang OSI 1 bis 2 Ethernet, WLAN, MAC

Merksatz:

TCP/IP ist praxisnah,
OSI ist genauer aufgeteilt.

Mini-Spickzettel: MAC, IP und Port

Begriff Schicht Aufgabe
MAC-Adresse 2 lokale Zustellung im LAN
IP-Adresse 3 logische Adressierung über Netze
Port 4 Zuordnung zu Dienst oder Anwendung

Merksatz:

MAC findet lokal.
IP findet das Zielnetz.
Port findet den Dienst.

Mini-Spickzettel: wichtige Ports

Dienst Port
FTP TCP 21
SSH TCP 22
Telnet TCP 23
SMTP TCP 25
DNS UDP/TCP 53
DHCP Server UDP 67
DHCP Client UDP 68
HTTP TCP 80
POP3 TCP 110
IMAP TCP 143
HTTPS TCP 443
SMB TCP 445
SMTPS TCP 465
IMAPS TCP 993
POP3S TCP 995
RDP TCP 3389

Merksatz:

Ports immer mit Dienst,
Protokoll
und Zweck lernen.

Mini-Spickzettel: Subnetting

Wichtige Regeln:

IPv4 hat 32 Bit.

Hostbits = 32 minus Präfix.

nutzbare Hosts = 2 hoch Hostbits minus 2.

Netzadresse = erste Adresse im Subnetz.

Broadcastadresse = letzte Adresse im Subnetz.

erste nutzbare Adresse = Netzadresse + 1.

letzte nutzbare Adresse = Broadcastadresse - 1.

Merksatz:

Präfix größer bedeutet:
kleineres Netz.

Präfix kleiner bedeutet:
größeres Netz.

Mini-Spickzettel: häufige Präfixe

Präfix Maske Adressen nutzbare Hosts
/24 255.255.255.0 256 254
/25 255.255.255.128 128 126
/26 255.255.255.192 64 62
/27 255.255.255.224 32 30
/28 255.255.255.240 16 14
/29 255.255.255.248 8 6
/30 255.255.255.252 4 2

Merksatz:

Jeder Präfixschritt nach rechts halbiert die Adressanzahl.

Mini-Spickzettel: private IPv4-Bereiche

Bereich CIDR
10.0.0.0 bis 10.255.255.255 10.0.0.0/8
172.16.0.0 bis 172.31.255.255 172.16.0.0/12
192.168.0.0 bis 192.168.255.255 192.168.0.0/16

Merksatz:

Private IPv4-Adressen werden im Internet nicht direkt geroutet.

Mini-Spickzettel: DNS und DHCP

Begriff Aufgabe Typisches Fehlerbild
DNS Namen in IP-Adressen auflösen IP geht, Name nicht
DHCP IP-Konfiguration automatisch verteilen 169.254.x.x oder falsche IP
Gateway Weg in andere Netze lokal geht, Internet nicht

Merksatz:

DNS gibt Namen eine Adresse.
DHCP gibt Clients eine Konfiguration.
Gateway führt in andere Netze.

Mini-Spickzettel: TCP und UDP

Merkmal TCP UDP
Verbindung verbindungsorientiert verbindungslos
Zuverlässigkeit hoch keine eingebaute Garantie
Reihenfolge wird gesichert nicht garantiert
Overhead höher geringer
Beispiele HTTPS, SSH, SMTP DNS, DHCP, VoIP

Merksatz:

TCP = zuverlässig.
UDP = schnell und schlank.

Mini-Spickzettel: NAT, PAT und Portweiterleitung

Begriff Bedeutung
NAT übersetzt IP-Adressen
PAT übersetzt zusätzlich Ports
Portweiterleitung leitet externen Port an internen Dienst weiter

Merksatz:

NAT übersetzt Adressen.
PAT unterscheidet über Ports.
Portweiterleitung veröffentlicht Dienste.

Mini-Spickzettel: Firewall und DMZ

Begriff Bedeutung
Firewall filtert Netzwerkverkehr
Default Deny standardmäßig blockieren, nur Erlaubtes freigeben
Any to Any sehr breite und kritische Regel
DMZ getrenntes Netz für öffentlich erreichbare Dienste

Merksatz:

Firewall-Regeln so eng wie möglich formulieren.

Mini-Spickzettel: VPN

VPN-Art Bedeutung
Remote-Access-VPN einzelner Benutzer verbindet sich mit Netzwerk
Site-to-Site-VPN zwei Netzwerke oder Standorte werden verbunden

Wichtig:

VPN verschlüsselt den Transportweg,
ersetzt aber keine Berechtigungen.

Merksatz:

VPN schützt Verbindung,
nicht automatisch Rechte.

Mini-Spickzettel: Cloud

Modell Bedeutung
IaaS virtuelle Infrastruktur
PaaS Plattform für Anwendungen
SaaS fertige Anwendung
Bereitstellung Bedeutung
Public Cloud öffentlich angebotene Cloud
Private Cloud Cloud für eine Organisation
Hybrid Cloud Kombination aus lokal und Cloud
Multi Cloud mehrere Cloud-Anbieter

Merksatz:

IaaS,
PaaS
und SaaS sind Servicemodelle.

Public,
Private,
Hybrid
und Multi Cloud sind Bereitstellungsmodelle.

Mini-Spickzettel: Sicherheitsziele

Schutzziel Bedeutung
Vertraulichkeit Schutz vor unberechtigtem Lesen
Integrität Schutz vor unbemerkter Veränderung
Verfügbarkeit Nutzbarkeit von Systemen und Daten
Authentizität Echtheit einer Identität oder Nachricht
Nichtabstreitbarkeit Nachweisbarkeit einer Handlung

Merksatz:

CIA = Vertraulichkeit,
Integrität,
Verfügbarkeit.

Mini-Spickzettel: Angriffe

Angriff Kurzbeschreibung
Phishing Täuschung zur Datenpreisgabe
Ransomware verschlüsselt oder sperrt Daten
DDoS verteilter Angriff auf Verfügbarkeit
Man-in-the-Middle Angreifer sitzt zwischen Kommunikationspartnern
Spoofing Identität oder Herkunft wird vorgetäuscht
SQL Injection SQL-Code wird eingeschleust
XSS Skript wird im Browser ausgeführt
CSRF gültige Sitzung wird missbraucht
Brute Force systematisches Ausprobieren
Credential Stuffing geleakte Zugangsdaten werden erneut genutzt

Merksatz:

Angriff erkennen,
Schutzziel zuordnen,
Maßnahme nennen.

Mini-Spickzettel: Schutzmaßnahmen

Risiko Maßnahme
gestohlenes Passwort MFA
zu viele Rechte Least Privilege
Malware EDR, Patchmanagement
Ransomware Backup, Segmentierung, Immutable Backup
DDoS DDoS-Schutz, CDN, Rate Limiting
Datenabfluss DLP, Verschlüsselung, Rechtekonzept
Fehlkonfiguration Change Management, Vier-Augen-Prinzip
unklare Vorfälle Logging, SIEM, Monitoring
Phishing Schulung, MFA, Mailfilter

Merksatz:

Maßnahme muss zum Risiko passen.

Mini-Spickzettel: Authentifizierung und Autorisierung

Begriff Frage Beispiel
Authentifizierung Wer bist du? Anmeldung mit Passwort und MFA
Autorisierung Was darfst du? Zugriff auf Datei erlaubt oder verboten

Merksatz:

Erst Identität prüfen,
dann Rechte prüfen.

Mini-Spickzettel: Backup

Begriff Bedeutung
Backup Sicherung
Restore Wiederherstellung
Vollbackup sichert alles
inkrementell Änderungen seit letztem Backup
differenziell Änderungen seit letztem Vollbackup
Snapshot Momentaufnahme
RPO maximaler Datenverlust
RTO maximale Wiederherstellungszeit
Immutable Backup unveränderliches Backup

Merksatz:

Backup ohne Restore-Test ist unsicher.

Mini-Spickzettel: Backup, Sync und Replikation

Begriff Ziel Wichtig
Backup alte Zustände wiederherstellen schützt Wiederherstellung
Synchronisation Orte gleich halten Fehler werden oft übernommen
Replikation aktuelle Kopie bereitstellen ersetzt kein Backup
Redundanz Ausfall abfedern ersetzt kein Backup

Merksatz:

Sync,
Replikation
und Redundanz sind kein Backup.

Mini-Spickzettel: Logging und Monitoring

Begriff Bedeutung
Logging Ereignisse aufzeichnen
Monitoring Zustände überwachen
Alerting bei kritischen Zuständen alarmieren
Reporting Verlauf auswerten
SIEM Sicherheitslogs sammeln und korrelieren
NTP Zeit synchronisieren

Merksatz:

Logs zeigen Ereignisse.
Monitoring zeigt Zustände.

Mini-Spickzettel: Admin-Befehle

Aufgabe Windows Linux/macOS
IP prüfen ipconfig ip addr
Routing prüfen route print ip route
DNS prüfen nslookup dig
Erreichbarkeit prüfen ping ping
Weg verfolgen tracert traceroute
Verbindungen prüfen netstat ss
Webdienst prüfen PowerShell oder Browser curl
Dienst prüfen services.msc, PowerShell systemctl
Logs prüfen Ereignisanzeige journalctl

Merksatz:

Befehle liefern Fakten für die Fehlersuche.

Mini-Spickzettel: typische Fehlerbilder

Fehlerbild Wahrscheinliche Richtung
IP geht, Name nicht DNS
lokal geht, Internet nicht Gateway, NAT, Firewall
169.254.x.x DHCP
Host erreichbar, Dienst nicht Port, Dienst, Firewall
Anmeldung scheitert Authentifizierung
Anmeldung geht, Zugriff nicht Autorisierung, Rechte
Zertifikatswarnung Zertifikat, Hostname, Zeit
nur ein VLAN betroffen VLAN, Routing, Firewall
nach Update defekt Change, Version, Kompatibilität
Backup nicht nutzbar Restore-Test, Konsistenz, Schlüssel

Merksatz:

Fehlerbild bestimmt die erste sinnvolle Prüfung.

Mini-Spickzettel: Antwortstruktur

Bei Fehlersuche:

Ursache
Begründung
Prüfung

Beispiel:

Wahrscheinlich liegt ein DNS-Problem vor,
da die IP-Adresse erreichbar ist,
der Name aber nicht aufgelöst wird.
Der DNS-Server sollte mit nslookup oder dig geprüft werden.

Bei Sicherheitsfragen:

Risiko
Maßnahme
Wirkung

Beispiel:

Das Risiko besteht im Missbrauch gestohlener Zugangsdaten.
MFA reduziert dieses Risiko,
weil ein Passwort allein nicht mehr ausreicht.

Merksatz:

Antwort kurz,
fachlich
und begründet formulieren.

Welche Spickzettel danach sinnvoll sind

Die nächsten Seiten können einzelne Spickzettel ausführlicher und sauber getrennt darstellen:

OSI- und TCP/IP-Spickzettel

Standardports-Spickzettel

Subnetting-Spickzettel

DNS-DHCP-Gateway-Spickzettel

Sicherheitsbegriffe-Spickzettel

Backup-Spickzettel

Admin-Befehle-Spickzettel

Prüfungs-Signalwörter-Spickzettel

Merksatz:

Erst Gesamtübersicht,
dann einzelne Spickzettel.

IHK-sichere Kurzformulierung

Notizen, Cheatsheets und Spickzettel dienen der schnellen Wiederholung wichtiger Prüfungsinhalte. Sie fassen zentrale Begriffe, Standardports, OSI-Schichten, Subnetting-Regeln, Fehlerbilder, Sicherheitsmaßnahmen, Backup-Begriffe und Administrationsbefehle kompakt zusammen. Ein guter Spickzettel ist kurz, eindeutig, fachlich korrekt und schnell lesbar. Er ersetzt nicht das Verständnis der Themen, hilft aber dabei, kurz vor der Prüfung Begriffe sicher zu unterscheiden und typische Aufgaben schneller einzuordnen.

Merksätze

Spickzettel sind Kurzfassungen.

Spickzettel ersetzen kein Verständnis.

OSI hilft bei Fehlersuche.

TCP/IP ist praxisnah.

MAC ist lokal.

IP ist logisch.

Port ist Dienst.

DNS löst Namen auf.

DHCP verteilt Konfiguration.

Gateway führt in andere Netze.

TCP ist zuverlässig.

UDP ist schlank.

NAT übersetzt Adressen.

PAT nutzt Ports.

Firewall filtert Verkehr.

DMZ trennt öffentliche Dienste.

VPN verschlüsselt Verbindung.

Cloud bedeutet geteilte Verantwortung.

CIA bedeutet Vertraulichkeit,
Integrität
und Verfügbarkeit.

MFA schützt gegen Passwortmissbrauch.

Least Privilege begrenzt Rechte.

Backup braucht Restore-Test.

Sync ist kein Backup.

Replikation ist kein Backup.

Logs zeigen Ereignisse.

Monitoring zeigt Zustände.

Befehle liefern Fakten.

Fehlerbilder geben Hinweise.

Antwortstruktur bringt Punkte.

Kurz,
fachlich,
begründet.

19.2 OSI- und TCP/IP-Spickzettel

Dieser Spickzettel fasst die wichtigsten Punkte zum OSI-Modell und TCP/IP-Modell kompakt zusammen.

Er dient zur schnellen Wiederholung vor Prüfung, Klassenarbeit oder praktischer Fehlersuche.

Merksatz:

OSI ist das Denkmodell.
TCP/IP ist das Praxismodell.

OSI-Modell Überblick

Schicht Name Hauptaufgabe Typische Begriffe
7 Anwendungsschicht Netzwerkdienste für Anwendungen HTTP, DNS, DHCP, SMTP, SMB
6 Darstellungsschicht Datenformat, Codierung, Verschlüsselung TLS, SSL, Zeichensatz, Kompression
5 Sitzungsschicht Sitzungen aufbauen, halten, beenden Session, Token, Cookie, Timeout
4 Transportschicht Ende-zu-Ende-Kommunikation TCP, UDP, Ports
3 Vermittlungsschicht logische Adressierung und Routing IP, ICMP, Router, Gateway
2 Sicherungsschicht lokale Übertragung im Netzwerksegment MAC, Ethernet, Switch, VLAN, ARP
1 Bitübertragungsschicht Übertragung von Bits als Signale Kabel, Funk, Stecker, Signal

Merksatz:

OSI-Schichten von oben:
Anwendung,
Darstellung,
Sitzung,
Transport,
Vermittlung,
Sicherung,
Bitübertragung.

OSI-Schichten kurz erklärt

Schicht Kurzbeschreibung
7 Anwendung Protokolle und Dienste, mit denen Anwendungen kommunizieren
6 Darstellung Daten werden passend dargestellt, codiert, komprimiert oder verschlüsselt
5 Sitzung Kommunikationssitzungen werden verwaltet
4 Transport Daten werden Prozessen über Ports zugeordnet
3 Vermittlung Pakete werden über Netze hinweg geroutet
2 Sicherung Frames werden im lokalen Netz über MAC-Adressen übertragen
1 Bitübertragung Bits werden elektrisch, optisch oder per Funk übertragen

Merksatz:

Je höher die Schicht,
desto näher an der Anwendung.
Je niedriger die Schicht,
desto näher am Medium.

TCP/IP-Modell Überblick

TCP/IP-Schicht Entspricht grob OSI Hauptaufgabe Beispiele
Anwendung OSI 5 bis 7 Anwendungsprotokolle HTTP, DNS, DHCP, SMTP
Transport OSI 4 Ende-zu-Ende-Kommunikation TCP, UDP
Internet OSI 3 Adressierung und Routing IP, ICMP
Netzzugang OSI 1 bis 2 lokale Übertragung Ethernet, WLAN, MAC

Merksatz:

TCP/IP fasst mehrere OSI-Schichten zusammen.

OSI-Modell und TCP/IP-Modell vergleichen

OSI-Modell TCP/IP-Modell
theoretisches Referenzmodell praxisnahes Internetmodell
7 Schichten meistens 4 Schichten
feiner aufgeteilt gröber zusammengefasst
gut für Fehlersuche und Erklärung gut für reale Protokolle
Darstellung und Sitzung getrennt in Anwendung zusammengefasst

Merksatz:

OSI erklärt genauer.
TCP/IP beschreibt die praktische Internetkommunikation.

Zuordnung OSI zu TCP/IP

OSI-Schicht OSI-Name TCP/IP-Schicht
7 Anwendung Anwendung
6 Darstellung Anwendung
5 Sitzung Anwendung
4 Transport Transport
3 Vermittlung Internet
2 Sicherung Netzzugang
1 Bitübertragung Netzzugang

Merksatz:

TCP/IP-Anwendungsschicht umfasst OSI 5,
6
und 7.

Kapselung beim Senden

Beim Senden werden Daten schrittweise verpackt.

Reihenfolge:

Anwendung erzeugt Daten.

Transportschicht ergänzt TCP- oder UDP-Informationen.

Internetschicht ergänzt IP-Adressen.

Sicherungsschicht ergänzt MAC-Adressen.

Bitübertragungsschicht überträgt Bits als Signal.

Merksatz:

Jede Schicht ergänzt eigene Steuerinformationen.

Entkapselung beim Empfangen

Beim Empfangen werden die Verpackungen wieder entfernt.

Reihenfolge:

Bits werden empfangen.

Frame wird geprüft.

IP-Paket wird ausgewertet.

TCP- oder UDP-Information wird ausgewertet.

Daten werden an die Anwendung übergeben.

Merksatz:

Empfangen ist Kapselung rückwärts.

PDU-Begriffe

PDU bedeutet:

Protocol Data Unit

Damit ist die Dateneinheit einer Schicht gemeint.

Schicht PDU
Anwendung Daten
Transport Segment bei TCP, Datagramm bei UDP
Vermittlung / Internet Paket
Sicherung Frame
Bitübertragung Bits

Merksatz:

Daten werden zu Segmenten,
Paketen,
Frames
und Bits.

Adressarten nach Schicht

Adressart Schicht Zweck
MAC-Adresse Schicht 2 lokale Zustellung im LAN
IP-Adresse Schicht 3 logische Zustellung über Netze
Portnummer Schicht 4 Zuordnung zu Dienst oder Prozess
Name / URL Schicht 7 menschenlesbarer Zugriff auf Dienste

Merksatz:

MAC lokal.
IP logisch.
Port Dienst.
Name Anwendung.

Schicht 1: Bitübertragung

Aufgabe:

Bits als elektrische,
optische
oder Funk-Signale übertragen.

Typische Themen:

Kabel
Stecker
Glasfaser
Funk
Signalqualität
Dämpfung
Link
Geschwindigkeit
Duplex
Auto-Negotiation

Typische Fehler:

Kabel defekt
Stecker falsch
kein Link
falsche Geschwindigkeit
Störung
Dämpfung zu hoch

Merksatz:

Schicht 1 fragt:
Kommt überhaupt ein Signal an?

Schicht 2: Sicherung

Aufgabe:

lokale Kommunikation im gleichen Netzwerksegment.

Typische Themen:

Ethernet
MAC-Adresse
Switch
VLAN
ARP
Frame
MAC-Adresstabelle
STP
Broadcast

Typische Fehler:

falsches VLAN
Switchport falsch
ARP-Problem
MAC-Flooding
Loop
Broadcast-Sturm
Duplexproblem

Merksatz:

Schicht 2 fragt:
Funktioniert die lokale Zustellung?

Schicht 3: Vermittlung

Aufgabe:

Kommunikation zwischen verschiedenen Netzen.

Typische Themen:

IP-Adresse
Subnetzmaske
Gateway
Routing
ICMP
Router
NAT
IPv4
IPv6

Typische Fehler:

falsche IP-Adresse
falsche Subnetzmaske
falsches Gateway
fehlende Route
Routingfehler
NAT-Problem
ICMP blockiert

Merksatz:

Schicht 3 fragt:
Findet das Paket den Weg ins Zielnetz?

Schicht 4: Transport

Aufgabe:

Daten dem richtigen Dienst oder Prozess zuordnen.

Typische Themen:

TCP
UDP
Ports
Verbindungsaufbau
Zustellung
Flusskontrolle
Segment
Datagramm

Typische Fehler:

Port blockiert
Dienst lauscht nicht
falsches Protokoll
TCP-Verbindung scheitert
UDP-Antwort fehlt
Firewall blockiert Port

Merksatz:

Schicht 4 fragt:
Ist der richtige Dienst über den richtigen Port erreichbar?

Schicht 5: Sitzung

Aufgabe:

Kommunikationssitzungen verwalten.

Typische Themen:

Session
Sitzung
Token
Cookie
Timeout
Wiederaufnahme
Sitzungs-ID

Typische Fehler:

Session abgelaufen
Cookie fehlt
Token ungültig
Sitzung wird getrennt
Load Balancer ohne Session Persistence

Merksatz:

Schicht 5 fragt:
Bleibt die Kommunikationssitzung bestehen?

Schicht 6: Darstellung

Aufgabe:

Daten passend darstellen,
codieren,
komprimieren
oder verschlüsseln.

Typische Themen:

TLS
SSL
Zertifikat
Zeichensatz
Codierung
Kompression
Dateiformat

Typische Fehler:

Zertifikat abgelaufen
Hostname passt nicht
falscher Zeichensatz
TLS-Version inkompatibel
Zertifikatskette fehlerhaft

Merksatz:

Schicht 6 fragt:
Können die Daten richtig dargestellt und geschützt werden?

Schicht 7: Anwendung

Aufgabe:

Dienste und Protokolle für Anwendungen bereitstellen.

Typische Themen:

HTTP
HTTPS
DNS
DHCP
SMTP
IMAP
POP3
SMB
LDAP
SNMP
NTP

Typische Fehler:

DNS löst nicht auf
DHCP vergibt keine IP
Webseite liefert Fehler
Mailversand funktioniert nicht
Freigabe nicht erreichbar
Anwendung falsch konfiguriert

Merksatz:

Schicht 7 fragt:
Funktioniert der konkrete Anwendungsdienst?

Fehlersuche nach OSI-Modell

Sinnvolle Reihenfolge:

1. Schicht 1:
   Kabel,
   Link,
   WLAN,
   Signal

2. Schicht 2:
   VLAN,
   MAC,
   Switch,
   ARP

3. Schicht 3:
   IP,
   Maske,
   Gateway,
   Routing

4. Schicht 4:
   TCP,
   UDP,
   Port,
   Firewall

5. Schicht 5 bis 7:
   Session,
   TLS,
   DNS,
   DHCP,
   HTTP,
   Anwendung

Merksatz:

Erst Verbindung,
dann Adresse,
dann Dienst,
dann Anwendung.

Typische Fehlerbilder nach Schichten

Fehlerbild Wahrscheinliche Schicht
kein Link am Switchport Schicht 1
falsches VLAN Schicht 2
ARP findet keine MAC-Adresse Schicht 2
falsche IP-Adresse Schicht 3
Gateway falsch Schicht 3
Route fehlt Schicht 3
Port nicht erreichbar Schicht 4
TCP-Verbindung scheitert Schicht 4
Session läuft ab Schicht 5
Zertifikatswarnung Schicht 6
DNS-Name wird nicht aufgelöst Schicht 7
HTTP 500 Schicht 7

Merksatz:

Fehlerbild einer Schicht zuordnen,
dann gezielt prüfen.

Typische Protokolle nach Schicht

Protokoll Schicht Zweck
Ethernet 2 lokale Frame-Übertragung
ARP 2 / zwischen 2 und 3 IPv4 zu MAC auflösen
IP 3 logische Adressierung
ICMP 3 Diagnose und Fehlermeldungen
TCP 4 zuverlässiger Transport
UDP 4 verbindungsloser Transport
TLS 6 Verschlüsselung und Zertifikate
DNS 7 Namensauflösung
DHCP 7 automatische IP-Konfiguration
HTTP 7 Webkommunikation
SMTP 7 E-Mail-Versand
SMB 7 Datei- und Druckfreigaben

Merksatz:

Protokolle immer ihrer Aufgabe zuordnen,
nicht nur auswendig lernen.

Typische Geräte nach Schicht

Gerät Typische Schicht Aufgabe
Kabel 1 Signal übertragen
Repeater 1 Signal weitergeben
Hub 1 Bits an alle Ports weitergeben
Switch 2 Frames anhand MAC weiterleiten
Access Point 2 WLAN-Zugang ins LAN
Router 3 Netze verbinden
Layer-3-Switch 3 Routing zwischen VLANs
Firewall 3 bis 7 Verkehr filtern
Load Balancer 4 bis 7 Verkehr verteilen
Proxy 7 Anwendungsverkehr vermitteln

Merksatz:

Geräte können je nach Funktion auf mehreren Schichten arbeiten.

Wichtige Prüfungsfalle: Gerät nicht starr einordnen

Ein Gerät kann mehrere Funktionen haben.

Beispiele:

Eine Firewall kann auf Schicht 3 IPs filtern,
auf Schicht 4 Ports filtern
und auf Schicht 7 Anwendungen prüfen.

Ein Layer-3-Switch kann switchen
und routen.

Ein Access Point arbeitet für WLAN-Zugang hauptsächlich auf Schicht 2,
kann aber zusätzliche Sicherheitsfunktionen bieten.

Merksatz:

Entscheidend ist die Funktion,
nicht nur der Gerätename.

Typische Werkzeuge nach Schicht

Werkzeug Hilft bei
Kabeltester Schicht 1
Switchport-Status Schicht 1 / 2
ARP-Tabelle Schicht 2
ping Schicht 3
traceroute / tracert Schicht 3
ipconfig / ip addr Schicht 3
route print / ip route Schicht 3
netstat / ss Schicht 4
nslookup / dig Schicht 7
curl Schicht 7
Wireshark mehrere Schichten

Merksatz:

Das richtige Werkzeug hängt von der vermuteten Schicht ab.

Mini-Diagnose: IP geht, Name nicht

Fehlerbild:

Zugriff per IP-Adresse funktioniert.
Zugriff per Name funktioniert nicht.

Wahrscheinliche Schicht:

Schicht 7

Wahrscheinliches Thema:

DNS

Prüfen:

DNS-Server
DNS-Eintrag
DNS-Suffix
DNS-Cache
Split-DNS bei VPN

Merksatz:

IP ja,
Name nein:
DNS.

Mini-Diagnose: lokal geht, extern nicht

Fehlerbild:

Geräte im gleichen Netz sind erreichbar.
Internet oder andere Netze nicht.

Wahrscheinliche Schicht:

Schicht 3

Wahrscheinliches Thema:

Gateway,
Routing,
NAT
oder Firewall

Prüfen:

Gateway
Routing-Tabelle
NAT
Firewall-Regeln
Providerverbindung

Merksatz:

Lokal ja,
extern nein:
Gateway und Routing prüfen.

Mini-Diagnose: Host geht, Dienst nicht

Fehlerbild:

Server ist per ping erreichbar.
Anwendung oder Dienst aber nicht.

Wahrscheinliche Schicht:

Schicht 4 bis 7

Wahrscheinliches Thema:

Port,
Dienststatus,
Firewall
oder Anwendung

Prüfen:

Port offen?
Dienst läuft?
Firewall erlaubt?
Dienst lauscht auf richtiger Schnittstelle?
Logs prüfen.

Merksatz:

Host erreichbar heißt nicht,
dass der Dienst funktioniert.

Mini-Diagnose: Zertifikatswarnung

Fehlerbild:

Browser oder Anwendung meldet Zertifikatsfehler.

Wahrscheinliche Schicht:

Schicht 6

Prüfen:

Ablaufdatum
Hostname
Zertifikatskette
Uhrzeit
falsches Zertifikat
TLS-Konfiguration

Merksatz:

Zertifikatsfehler:
Name,
Ablauf,
Kette
und Zeit prüfen.

Mini-Diagnose: falsche automatische IP

Fehlerbild:

Client hat 169.254.x.x.

Wahrscheinliche Schicht:

Schicht 7 mit DHCP,
aber Ursache kann auch Schicht 1,
2
oder 3 sein.

Prüfen:

Netzwerkverbindung
VLAN
DHCP-Server
DHCP-Scope
DHCP-Relay
Firewall
Lease-Bereich

Merksatz:

169.254.x.x bedeutet:
DHCP wurde nicht erfolgreich erreicht.

Typische IHK-Fragen

In AP1 und AP2 kann zum Beispiel gefragt werden:

- Nennen Sie die sieben OSI-Schichten.
- Ordnen Sie TCP/IP-Schichten den OSI-Schichten zu.
- Erklären Sie Kapselung.
- Was ist eine PDU?
- Ordnen Sie MAC-Adresse,
  IP-Adresse
  und Port den passenden Schichten zu.
- Auf welcher Schicht arbeitet ein Switch?
- Auf welcher Schicht arbeitet ein Router?
- Welche Schicht ist bei DNS betroffen?
- Welche Schicht ist bei Routing betroffen?
- Welche Schicht ist bei TCP und UDP betroffen?
- Warum hilft das OSI-Modell bei der Fehlersuche?
- Warum ist TCP/IP praxisnäher als OSI?
- Warum kann eine Firewall mehreren Schichten zugeordnet werden?

Typische Prüfungsfallen

OSI und TCP/IP verwechseln.

TCP/IP-Anwendungsschicht nur mit OSI 7 gleichsetzen.

MAC-Adresse der falschen Schicht zuordnen.

IP-Adresse mit MAC-Adresse verwechseln.

Port als Schicht-3-Thema einordnen.

Switch und Router verwechseln.

DNS und DHCP beide einfach nur als „Netzwerk“ bezeichnen.

TLS nur als Anwendung sehen,
obwohl es zur Darstellung/Verschlüsselung passt.

ping als vollständigen Anwendungstest verstehen.

Gerät starr einer Schicht zuordnen,
obwohl die Funktion entscheidend ist.

Merksatz:

Nicht der Name entscheidet,
sondern die Aufgabe im Kommunikationsprozess.

IHK-sichere Kurzformulierung

Das OSI-Modell ist ein siebenschichtiges Referenzmodell zur Beschreibung von Netzwerkkommunikation und Fehlersuche. Die Schichten reichen von der Bitübertragungsschicht bis zur Anwendungsschicht. Das TCP/IP-Modell ist praxisnäher und besteht meist aus Anwendung, Transport, Internet und Netzzugang. Dabei entspricht die TCP/IP-Anwendungsschicht grob den OSI-Schichten 5 bis 7, die Transportschicht OSI 4, die Internetschicht OSI 3 und die Netzzugangsschicht OSI 1 bis 2. Bei der Kapselung ergänzt jede Schicht eigene Steuerinformationen. MAC-Adressen gehören zu Schicht 2, IP-Adressen zu Schicht 3 und Ports zu Schicht 4. Für die Fehlersuche hilft das OSI-Modell, Probleme systematisch von unten nach oben einzugrenzen.

Merksätze

OSI ist das Denkmodell.

TCP/IP ist das Praxismodell.

OSI hat 7 Schichten.

TCP/IP hat meistens 4 Schichten.

TCP/IP-Anwendung umfasst OSI 5 bis 7.

TCP/IP-Transport entspricht OSI 4.

TCP/IP-Internet entspricht OSI 3.

TCP/IP-Netzzugang umfasst OSI 1 bis 2.

Kapselung verpackt Daten schrittweise.

Entkapselung entpackt Daten schrittweise.

PDU bedeutet Protocol Data Unit.

Daten werden zu Segmenten,
Paketen,
Frames
und Bits.

MAC-Adresse ist Schicht 2.

IP-Adresse ist Schicht 3.

Port ist Schicht 4.

Name oder URL ist Schicht 7.

Schicht 1 prüft Signal.

Schicht 2 prüft lokale Zustellung.

Schicht 3 prüft Routing.

Schicht 4 prüft Ports.

Schicht 5 prüft Sitzungen.

Schicht 6 prüft Darstellung und Verschlüsselung.

Schicht 7 prüft den Anwendungsdienst.

Switch arbeitet hauptsächlich auf Schicht 2.

Router arbeitet auf Schicht 3.

Firewall kann mehrere Schichten betreffen.

DNS ist Anwendungsschicht.

DHCP ist Anwendungsschicht.

TCP und UDP sind Transportschicht.

IP und ICMP gehören zur Vermittlungsschicht.

ARP verbindet IPv4 und MAC im lokalen Netz.

Fehler immer schichtweise eingrenzen.

Erst Verbindung,
dann Adresse,
dann Dienst,
dann Anwendung.

19.3 Standardports-Spickzettel

Dieser Spickzettel fasst wichtige Standardports kompakt zusammen.

Er ist besonders wichtig für:

- Firewall-Regeln
- Fehlersuche
- Protokollzuordnung
- Sicherheitsfragen
- Prüfungsaufgaben
- Netzwerkdokumentation

Merksatz:

Ports zeigen,
welcher Dienst auf einem Host angesprochen wird.

Grundidee: Was ist ein Port?

Ein Port ist eine logische Nummer, mit der ein Dienst oder Prozess auf einem System angesprochen wird.

Beispiel:

IP-Adresse:
Welcher Host?

Port:
Welcher Dienst auf diesem Host?

Beispiel:

192.168.1.10:443

Bedeutung:

Host 192.168.1.10

Dienst auf Port 443

Merksatz:

IP findet den Host.
Port findet den Dienst.

Port und OSI-Schicht

Ports gehören zur Transportschicht.

OSI-Schicht:

Schicht 4

Protokolle:

TCP

UDP

Merksatz:

Ports sind Schicht 4.

TCP und UDP bei Ports

Ein Port allein reicht nicht immer aus.

Wichtig ist auch, ob TCP oder UDP verwendet wird.

Beispiel:

TCP 53

und

UDP 53

sind nicht dasselbe, auch wenn die Portnummer gleich ist.

Merksatz:

Portnummer immer zusammen mit TCP oder UDP betrachten.

Well-Known Ports

Well-Known Ports sind bekannte Standardports.

Bereich:

0 bis 1023

Beispiele:

TCP 22 SSH

TCP 80 HTTP

TCP 443 HTTPS

UDP 53 DNS

Merksatz:

Well-Known Ports sind bekannte Dienstports.

Registered Ports

Registered Ports liegen im Bereich:

1024 bis 49151

Sie werden häufig von Anwendungen, Diensten oder Herstellern genutzt.

Beispiele:

TCP 3306 MySQL

TCP 5432 PostgreSQL

TCP 8080 alternativer HTTP-Port

Merksatz:

Registered Ports werden oft von Anwendungen genutzt.

Dynamic oder Ephemeral Ports

Dynamische Ports werden häufig für Clientverbindungen genutzt.

Bereich:

49152 bis 65535

Beispiel:

Client verbindet sich von zufälligem hohen Quellport
zu Server TCP 443.

Merksatz:

Server lauscht meist auf bekanntem Port.
Client nutzt oft dynamischen Quellport.

Quellport und Zielport

Bei einer Verbindung gibt es:

Quell-IP

Quellport

Ziel-IP

Zielport

Beispiel:

Client:
192.168.1.50:52344

Server:
93.184.216.34:443

Bedeutung:

Client nutzt dynamischen Quellport.
Server nutzt Zielport HTTPS.

Merksatz:

Zielport zeigt meist den angesprochenen Dienst.

Wichtige Standardports Gesamtübersicht

Dienst Protokoll Port Zweck
FTP Control TCP 21 klassische FTP-Steuerverbindung
FTP Data TCP 20 klassische FTP-Datenverbindung im aktiven Modus
SSH TCP 22 verschlüsselter Kommandozeilenzugriff
Telnet TCP 23 unverschlüsselter Fernzugriff
SMTP TCP 25 E-Mail-Versand zwischen Mailservern
DNS UDP/TCP 53 Namensauflösung
DHCP Server UDP 67 DHCP-Server
DHCP Client UDP 68 DHCP-Client
HTTP TCP 80 unverschlüsselte Webkommunikation
POP3 TCP 110 E-Mail-Abruf
NTP UDP 123 Zeitsynchronisation
IMAP TCP 143 E-Mail-Abruf und Synchronisation
SNMP UDP 161 Netzwerkmanagement
SNMP Trap UDP 162 SNMP-Ereignismeldungen
LDAP TCP/UDP 389 Verzeichnisdienst
HTTPS TCP 443 verschlüsselte Webkommunikation
SMB TCP 445 Datei- und Druckfreigaben
SMTPS TCP 465 SMTP über TLS
Syslog UDP 514 Logübertragung
LDAPS TCP 636 LDAP über TLS
IMAPS TCP 993 IMAP über TLS
POP3S TCP 995 POP3 über TLS
RDP TCP 3389 Remote Desktop
PostgreSQL TCP 5432 Datenbankdienst
HTTP Alternate TCP 8080 alternativer Webport

Merksatz:

Port,
Protokoll
und Dienst zusammen lernen.

Webports

Dienst Protokoll Port Bedeutung
HTTP TCP 80 unverschlüsselte Webseite
HTTPS TCP 443 verschlüsselte Webseite
HTTP Alternate TCP 8080 alternativer Webdienst
HTTPS Alternate TCP 8443 alternativer verschlüsselter Webdienst

Merksatz:

HTTP ist unverschlüsselt.
HTTPS ist verschlüsselt.

HTTP und HTTPS unterscheiden

HTTP:

Hypertext Transfer Protocol

nutzt meist TCP 80

keine Transportverschlüsselung

HTTPS:

HTTP über TLS

nutzt meist TCP 443

verschlüsselte Verbindung

Merksatz:

HTTPS = HTTP plus TLS.

E-Mail-Ports

Dienst Protokoll Port Zweck
SMTP TCP 25 Mailserver zu Mailserver
Submission TCP 587 E-Mail-Versand durch Clients mit Authentifizierung
SMTPS TCP 465 SMTP über TLS
POP3 TCP 110 E-Mail abrufen
POP3S TCP 995 POP3 verschlüsselt
IMAP TCP 143 E-Mail synchronisieren
IMAPS TCP 993 IMAP verschlüsselt

Merksatz:

SMTP sendet.
POP3 und IMAP empfangen.

SMTP, POP3 und IMAP unterscheiden

SMTP:

E-Mails senden

POP3:

E-Mails abrufen,
eher einfaches Herunterladen

IMAP:

E-Mails auf Server synchron verwalten

Merksatz:

SMTP raus.
POP3 und IMAP rein.

DNS-Ports

Dienst Protokoll Port Zweck
DNS UDP 53 normale DNS-Abfragen
DNS TCP 53 große Antworten, Zonentransfers, bestimmte Spezialfälle

Merksatz:

DNS nutzt häufig UDP 53,
kann aber auch TCP 53 nutzen.

DHCP-Ports

Dienst Protokoll Port Bedeutung
DHCP Server UDP 67 Server empfängt Anfragen
DHCP Client UDP 68 Client empfängt Antworten

Merksatz:

DHCP nutzt UDP 67 und 68.

DHCP und Broadcast

DHCP nutzt am Anfang Broadcast, weil der Client noch keine vollständige IP-Konfiguration hat.

Ablauf:

Discover

Offer

Request

Acknowledge

Merksatz:

DHCP-DORA gehört zu UDP 67 und 68.

Fernadministration-Ports

Dienst Protokoll Port Sicherheit
SSH TCP 22 verschlüsselt
Telnet TCP 23 unverschlüsselt, unsicher
RDP TCP 3389 verschlüsselt möglich, stark absichern

Merksatz:

SSH statt Telnet.
RDP nicht offen ins Internet stellen.

SSH

SSH steht für:

Secure Shell

Standardport:

TCP 22

Nutzung:

sichere Kommandozeile
SFTP
SCP
Administration von Servern und Netzwerkgeräten

Merksatz:

SSH = sicherer Fernzugriff über TCP 22.

Telnet

Telnet nutzt:

TCP 23

Problem:

unverschlüsselte Übertragung

Risiko:

Zugangsdaten können mitgelesen werden.

Merksatz:

Telnet ist unsicher und sollte vermieden werden.

RDP

RDP steht für:

Remote Desktop Protocol

Standardport:

TCP 3389

Nutzung:

grafischer Fernzugriff auf Windows-Systeme

Sicherheit:

möglichst über VPN,
RDP-Gateway,
MFA
und Firewall-Beschränkung

Merksatz:

RDP = TCP 3389,
aber nicht offen ins Internet.

Dateiübertragungs- und Freigabeports

Dienst Protokoll Port Zweck
FTP Data TCP 20 FTP-Datenkanal aktiv
FTP Control TCP 21 FTP-Steuerkanal
SFTP TCP 22 Dateiübertragung über SSH
FTPS TCP 21 oder 990 FTP mit TLS
SMB TCP 445 Datei- und Druckfreigaben
NFS TCP/UDP 2049 Unix-/Linux-Dateifreigaben

Merksatz:

SFTP nutzt SSH.
SMB nutzt TCP 445.

FTP, FTPS und SFTP

FTP:

klassisches File Transfer Protocol

meist TCP 21

unverschlüsselt

FTPS:

FTP mit TLS-Verschlüsselung

nutzt FTP-Grundlage

SFTP:

Dateiübertragung über SSH

nutzt TCP 22

Merksatz:

FTPS ist FTP mit TLS.
SFTP ist Dateiübertragung über SSH.

SMB

SMB steht für:

Server Message Block

Standardport:

TCP 445

Nutzung:

Windows-Dateifreigaben
Druckerfreigaben
Netzlaufwerke

Merksatz:

SMB = Dateifreigaben über TCP 445.

NFS

NFS steht für:

Network File System

Standardport:

TCP/UDP 2049

Nutzung:

Unix- und Linux-Dateifreigaben
Serverfreigaben
Virtualisierungsspeicher
Backupziele

Merksatz:

NFS ist typisch für Unix- und Linux-Umgebungen.

Verzeichnisdienst-Ports

Dienst Protokoll Port Zweck
LDAP TCP/UDP 389 Verzeichnisdienst
LDAPS TCP 636 LDAP über TLS
Kerberos TCP/UDP 88 Authentifizierungsprotokoll

Merksatz:

LDAP fragt Verzeichnisinformationen ab.
Kerberos dient der Authentifizierung.

LDAP und LDAPS

LDAP:

Lightweight Directory Access Protocol

nutzt meist TCP/UDP 389

LDAPS:

LDAP über TLS

nutzt meist TCP 636

Merksatz:

LDAPS = LDAP verschlüsselt.

Kerberos

Kerberos ist ein Authentifizierungsprotokoll.

Standardport:

TCP/UDP 88

Wichtig:

Zeitabweichungen können Kerberos-Probleme verursachen.

Merksatz:

Kerberos braucht korrekte Zeit.

Zeit und Management

Dienst Protokoll Port Zweck
NTP UDP 123 Zeitsynchronisation
SNMP UDP 161 Netzwerkmanagement
SNMP Trap UDP 162 Ereignismeldung vom Gerät
Syslog UDP 514 Logübertragung

Merksatz:

NTP sorgt für gleiche Zeit.
SNMP überwacht Geräte.
Syslog sammelt Logs.

NTP

NTP steht für:

Network Time Protocol

Standardport:

UDP 123

Wichtig für:

Logs
Zertifikate
Kerberos
Tickets
Zeitstempel
geplante Aufgaben

Merksatz:

Ohne korrekte Zeit wird Fehlersuche schwerer.

SNMP

SNMP steht für:

Simple Network Management Protocol

Standardports:

UDP 161 für Abfragen

UDP 162 für Traps

Nutzung:

Netzwerkgeräte überwachen
Status abfragen
Messwerte erfassen
Ereignisse melden

Merksatz:

SNMP fragt ab,
SNMP Trap meldet Ereignisse.

Syslog

Syslog dient zur Übertragung von Logmeldungen.

Standardport:

UDP 514

Nutzung:

zentrale Logsammlung
Firewall-Logs
Switch-Logs
Router-Logs
Server-Logs

Merksatz:

Syslog transportiert Logmeldungen.

Datenbankports

Dienst Protokoll Port Zweck
MySQL / MariaDB TCP 3306 Datenbankdienst
PostgreSQL TCP 5432 Datenbankdienst
Microsoft SQL Server TCP 1433 Datenbankdienst
MongoDB TCP 27017 Datenbankdienst

Merksatz:

Datenbankports sollten nicht unnötig öffentlich erreichbar sein.

Sicherheitsregel für Datenbankports

Datenbanken sollten normalerweise nur erreichbar sein für:

Anwendungserver

Adminnetz

Backupsysteme

Monitoring

Nicht sinnvoll:

Datenbank direkt öffentlich ins Internet stellen.

Merksatz:

Datenbankports gehören nicht offen ins Internet.

Typische Proxy- und Alternativports

Dienst Protokoll Port Zweck
HTTP Alternate TCP 8080 alternativer Webdienst
HTTPS Alternate TCP 8443 alternativer HTTPS-Dienst
Proxy TCP 3128 häufig genutzter Proxy-Port
SOCKS Proxy TCP 1080 SOCKS-Proxy

Merksatz:

8080 und 8443 werden oft für Weboberflächen oder Testdienste genutzt.

Portbereiche kompakt

Bereich Name Bedeutung
0 bis 1023 Well-Known Ports bekannte Systemdienste
1024 bis 49151 Registered Ports registrierte Anwendungsports
49152 bis 65535 Dynamic / Ephemeral Ports dynamische Clientports

Merksatz:

Niedrige Ports sind oft Serverdienste.
Hohe Ports sind oft Client-Quellports.

Ports in Firewall-Regeln

Firewall-Regeln sollten enthalten:

Quelle

Ziel

Protokoll

Zielport

Aktion

Richtung

Zweck

Beispiel:

Quelle Ziel Protokoll Port Aktion Zweck
Client-Netz Webserver TCP 443 erlauben HTTPS-Zugriff
Adminnetz Server TCP 22 erlauben SSH-Administration
Internet Datenbank TCP 5432 blockieren Datenbank schützen

Merksatz:

Firewall-Regeln immer so genau wie möglich formulieren.

Any-to-Any-Regeln

Any-to-Any bedeutet:

jede Quelle

zu

jedem Ziel

Problem:

sehr große Angriffsfläche
schlechte Nachvollziehbarkeit
unnötige Freigaben
hohes Sicherheitsrisiko

Merksatz:

Any-to-Any ist fast immer kritisch.

Ports bei Fehlersuche

Wenn ein Dienst nicht erreichbar ist, prüfen:

Läuft der Dienst?

Lauscht der Dienst auf dem richtigen Port?

Lauscht der Dienst auf der richtigen Schnittstelle?

Blockiert die lokale Firewall?

Blockiert eine Netzwerkfirewall?

Ist NAT oder Portweiterleitung korrekt?

Stimmt TCP oder UDP?

Zeigen Logs Fehler?

Merksatz:

Host erreichbar heißt nicht,
dass der Port erreichbar ist.

Typische Fehlerbilder mit Ports

Fehlerbild Mögliche Ursache
Ping funktioniert, Webseite nicht TCP 80 oder 443, Webdienst oder Firewall
SSH nicht erreichbar TCP 22 blockiert, Dienst aus, falscher Port
RDP nicht erreichbar TCP 3389 blockiert, RDP deaktiviert, VPN fehlt
DNS funktioniert nicht UDP/TCP 53 blockiert oder DNS-Server falsch
DHCP funktioniert nicht UDP 67/68, VLAN oder DHCP-Relay
SMB-Freigabe nicht erreichbar TCP 445 blockiert oder Rechteproblem
Mailversand schlägt fehl SMTP-Port, Authentifizierung oder Mailserver
Datenbank nicht erreichbar Datenbankport, Firewall oder Dienststatus

Merksatz:

Bei Dienstproblemen immer Port,
Protokoll
und Dienststatus prüfen.

TCP-Status kurz einordnen

Status Bedeutung
LISTEN Dienst wartet auf eingehende Verbindung
ESTABLISHED Verbindung besteht
SYN_SENT Verbindungsaufbau gestartet
TIME_WAIT Verbindung wurde beendet, Wartephase
CLOSE_WAIT Gegenseite hat beendet, lokale Anwendung noch nicht

Merksatz:

LISTEN zeigt:
Ein Dienst wartet auf Verbindungen.

Portscanner fachlich einordnen

Ein Portscanner prüft, welche Ports auf einem Ziel erreichbar sind.

Nutzung:

Sicherheitsprüfung
Fehlersuche
Inventarisierung
Prüfung von Firewall-Regeln

Wichtig:

Nur mit Erlaubnis einsetzen.

Merksatz:

Portscan zeigt erreichbare Dienste,
aber nicht automatisch deren Sicherheit.

Ports und Sicherheit

Offene Ports bedeuten:

ein Dienst ist erreichbar

Risiko:

Angriffsfläche steigt

Sicherheitsmaßnahmen:

nur notwendige Ports öffnen
Dienste patchen
starke Authentifizierung
Firewall einschränken
Logging aktivieren
nicht benötigte Dienste deaktivieren
keine Adminports öffentlich bereitstellen

Merksatz:

Jeder offene Port ist eine mögliche Angriffsfläche.

Besonders kritische Ports

Kritisch bei direkter Internet-Erreichbarkeit:

TCP 22 SSH

TCP 3389 RDP

TCP 445 SMB

TCP 3306 MySQL

TCP 5432 PostgreSQL

TCP 1433 Microsoft SQL Server

TCP 23 Telnet

Warum kritisch?

Adminzugänge
Dateifreigaben
Datenbanken
unverschlüsselte Protokolle
häufige Angriffsziele

Merksatz:

Admin-,
Datei-
und Datenbankports nicht frei ins Internet stellen.

Prüfungsfalle: Port offen bedeutet nicht Zugriff erlaubt

Ein offener Port bedeutet:

Dienst ist grundsätzlich erreichbar.

Aber Zugriff kann trotzdem scheitern durch:

falsche Zugangsdaten
fehlende Rechte
Anwendungskonfiguration
Zertifikatsproblem
IP-Beschränkung
MFA
Lizenz
interne Fehlermeldung

Merksatz:

Port offen heißt nicht automatisch:
Anwendung funktioniert vollständig.

Prüfungsfalle: Ping ersetzt keinen Porttest

Ping prüft ICMP.

Ping prüft nicht automatisch, ob ein TCP- oder UDP-Dienst erreichbar ist.

Beispiel:

ping auf Webserver funktioniert

aber

TCP 443 ist blockiert

Ergebnis:

Webseite trotzdem nicht erreichbar.

Merksatz:

Ping prüft Host-Erreichbarkeit,
nicht den Dienst.

Prüfungsfalle: gleicher Port, anderes Protokoll

Beispiel:

DNS nutzt UDP 53

und

DNS kann TCP 53 nutzen.

Eine Firewall-Regel nur für TCP 53 reicht nicht immer aus.

Merksatz:

TCP und UDP getrennt beachten.

Typische IHK-Fragen

In AP1 und AP2 kann zum Beispiel gefragt werden:

- Welchen Port nutzt SSH?
- Welchen Port nutzt HTTPS?
- Welchen Port nutzt RDP?
- Welchen Port nutzt SMB?
- Welche Ports nutzt DHCP?
- Warum nutzt DNS UDP und TCP 53?
- Warum ist Telnet unsicher?
- Warum sollte RDP nicht direkt im Internet erreichbar sein?
- Was ist der Unterschied zwischen Quellport und Zielport?
- Was ist ein Well-Known Port?
- Warum ist ein offener Datenbankport kritisch?
- Warum ersetzt ping keinen Porttest?
- Welche Angaben gehören in eine Firewall-Regel?

Typische Prüfungsfallen

TCP und UDP nicht angegeben.

Portnummer richtig,
aber falsches Protokoll.

DNS nur als UDP betrachten,
TCP 53 vergessen.

DHCP-Ports 67 und 68 verwechseln.

SSH und Telnet verwechseln.

SFTP und FTPS verwechseln.

SMTP,
POP3
und IMAP verwechseln.

RDP öffentlich erlauben.

SMB öffentlich erlauben.

Datenbankport öffentlich erlauben.

Ping als Diensttest verstehen.

Offenen Port mit erfolgreicher Anmeldung verwechseln.

Merksatz:

Portwissen muss immer mit Dienst,
Protokoll
und Sicherheitswirkung verbunden werden.

IHK-sichere Kurzformulierung

Ports dienen auf der Transportschicht zur Zuordnung von Netzwerkverkehr zu Diensten oder Prozessen. Ein Zielport zeigt meist den angesprochenen Dienst, zum Beispiel TCP 22 für SSH, TCP 443 für HTTPS, TCP 445 für SMB oder TCP 3389 für RDP. Dabei muss immer zwischen TCP und UDP unterschieden werden. DNS nutzt häufig UDP 53, kann aber auch TCP 53 verwenden. DHCP nutzt UDP 67 für den Server und UDP 68 für den Client. Offene Ports vergrößern die Angriffsfläche und sollten über Firewall-Regeln nur gezielt freigegeben werden. Besonders Admin-, Datei- und Datenbankports sollten nicht unnötig öffentlich erreichbar sein.

Merksätze

Port = Dienstadresse auf einem Host.

Ports gehören zu OSI-Schicht 4.

Port immer mit TCP oder UDP nennen.

Zielport zeigt meist den Dienst.

Quellport ist beim Client oft dynamisch.

Well-Known Ports liegen bei 0 bis 1023.

SSH nutzt TCP 22.

Telnet nutzt TCP 23 und ist unsicher.

HTTP nutzt TCP 80.

HTTPS nutzt TCP 443.

DNS nutzt UDP und TCP 53.

DHCP nutzt UDP 67 und 68.

SMTP nutzt TCP 25.

Submission nutzt TCP 587.

POP3 nutzt TCP 110.

IMAP nutzt TCP 143.

SMB nutzt TCP 445.

RDP nutzt TCP 3389.

NTP nutzt UDP 123.

SNMP nutzt UDP 161 und 162.

LDAP nutzt 389.

LDAPS nutzt 636.

Kerberos nutzt 88.

MySQL nutzt TCP 3306.

PostgreSQL nutzt TCP 5432.

SFTP nutzt SSH und damit TCP 22.

FTPS ist FTP mit TLS.

FTP ist unverschlüsselt.

Jeder offene Port ist Angriffsfläche.

Ping ersetzt keinen Porttest.

Port offen heißt nicht automatisch Anwendung funktioniert.

Datenbankports nicht öffentlich freigeben.

Adminports stark absichern.

Firewall-Regeln genau formulieren.

Any-to-Any ist kritisch.

19.4 Subnetting-Spickzettel

Dieser Spickzettel fasst die wichtigsten Regeln für IPv4-Subnetting kompakt zusammen.

Er ist besonders wichtig für:

- Netzadresse berechnen
- Broadcastadresse berechnen
- nutzbare Hostadressen bestimmen
- Hostanzahl berechnen
- Subnetze vergleichen
- Subnetzmasken verstehen
- Prüfungsaufgaben schneller lösen

Merksatz:

Subnetting ist das Aufteilen eines IP-Netzes in kleinere Teilnetze.

Grundidee von Subnetting

Eine IPv4-Adresse besteht aus:

Netzanteil

und

Hostanteil

Der Netzanteil sagt:

Zu welchem Netzwerk gehört die Adresse?

Der Hostanteil sagt:

Welches Gerät innerhalb dieses Netzwerks ist gemeint?

Merksatz:

Netzanteil findet das Netz.
Hostanteil findet den Host im Netz.

IPv4-Grundregel

IPv4-Adressen haben immer:

32 Bit

Beispiel:

192.168.1.10

Diese Adresse besteht aus vier Oktetten.

Ein Oktett hat:

8 Bit

Vier Oktette:

4 × 8 Bit = 32 Bit

Merksatz:

IPv4 = 32 Bit.

Präfixschreibweise

Beispiel:

192.168.1.10/24

Das /24 bedeutet:

24 Bit Netzanteil

Da IPv4 insgesamt 32 Bit hat:

32 - 24 = 8 Hostbits

Merksatz:

Präfix = Anzahl der Netzbits.

Subnetzmaske

Die Subnetzmaske zeigt, welcher Teil der IP-Adresse zum Netz gehört.

Beispiel:

Präfix Subnetzmaske
/24 255.255.255.0
/25 255.255.255.128
/26 255.255.255.192
/27 255.255.255.224
/28 255.255.255.240
/29 255.255.255.248
/30 255.255.255.252

Merksatz:

Subnetzmaske und Präfix beschreiben dieselbe Aufteilung.

Netzbits und Hostbits

Formel:

Hostbits = 32 - Präfix

Beispiele:

Präfix Netzbits Hostbits
/24 24 8
/25 25 7
/26 26 6
/27 27 5
/28 28 4
/29 29 3
/30 30 2

Merksatz:

Je mehr Netzbits,
desto weniger Hostbits.

Hostanzahl berechnen

Formel:

nutzbare Hosts = 2 hoch Hostbits minus 2

Warum minus 2?

eine Adresse ist die Netzadresse

eine Adresse ist die Broadcastadresse

Beispiel:

/26

Hostbits:

32 - 26 = 6

Gesamtadressen:

2 hoch 6 = 64

Nutzbare Hosts:

64 - 2 = 62

Merksatz:

Nutzbare Hosts = 2 hoch Hostbits minus 2.

Wichtige Präfixe auswendig können

Präfix Maske Gesamtadressen nutzbare Hosts
/24 255.255.255.0 256 254
/25 255.255.255.128 128 126
/26 255.255.255.192 64 62
/27 255.255.255.224 32 30
/28 255.255.255.240 16 14
/29 255.255.255.248 8 6
/30 255.255.255.252 4 2

Merksatz:

Von /24 zu /25 halbiert sich die Adressanzahl.
Von /25 zu /24 verdoppelt sich die Adressanzahl.

Präfix größer oder kleiner

Wenn der Präfix größer wird:

mehr Netzbits

weniger Hostbits

kleinere Subnetze

weniger Hosts pro Subnetz

Beispiel:

/25 ist kleiner als /24

Wenn der Präfix kleiner wird:

weniger Netzbits

mehr Hostbits

größere Subnetze

mehr Hosts pro Subnetz

Beispiel:

/23 ist größer als /24

Merksatz:

Präfix größer:
Netz kleiner.

Präfix kleiner:
Netz größer.

Netzadresse

Die Netzadresse ist die erste Adresse eines Subnetzes.

Sie bezeichnet das Netz selbst.

Beispiel:

192.168.1.0/24

Netzadresse:

192.168.1.0

Merksatz:

Netzadresse = erste Adresse im Subnetz.

Broadcastadresse

Die Broadcastadresse ist die letzte Adresse eines IPv4-Subnetzes.

Sie dient dazu, alle Hosts im Subnetz zu erreichen.

Beispiel:

192.168.1.0/24

Broadcastadresse:

192.168.1.255

Merksatz:

Broadcastadresse = letzte Adresse im Subnetz.

Erste und letzte nutzbare Hostadresse

Erste nutzbare Adresse:

Netzadresse + 1

Letzte nutzbare Adresse:

Broadcastadresse - 1

Beispiel:

Netz:
192.168.1.0/24

Netzadresse:
192.168.1.0

erste nutzbare:
192.168.1.1

letzte nutzbare:
192.168.1.254

Broadcast:
192.168.1.255

Merksatz:

Erste nutzbare = Netzadresse + 1.
Letzte nutzbare = Broadcast - 1.

Blockgröße

Die Blockgröße zeigt, in welchen Schritten Subnetze beginnen.

Formel:

Blockgröße = 256 - interessanter Maskenwert

Beispiel:

/26

Subnetzmaske:

255.255.255.192

Interessanter Maskenwert:

192

Blockgröße:

256 - 192 = 64

Subnetzschritte:

0
64
128
192

Merksatz:

Blockgröße hilft,
Netzgrenzen schnell zu finden.

Interessanter Maskenwert

Der interessante Maskenwert ist das Oktett, in dem die Subnetzmaske nicht 255 und nicht 0 ist.

Beispiele:

Präfix Maske interessanter Wert
/25 255.255.255.128 128
/26 255.255.255.192 192
/27 255.255.255.224 224
/28 255.255.255.240 240
/29 255.255.255.248 248
/30 255.255.255.252 252

Merksatz:

Interessanter Wert ist dort,
wo die Subnetze springen.

Blockgrößen der häufigen Präfixe

Präfix Maske Blockgröße
/24 255.255.255.0 256
/25 255.255.255.128 128
/26 255.255.255.192 64
/27 255.255.255.224 32
/28 255.255.255.240 16
/29 255.255.255.248 8
/30 255.255.255.252 4

Merksatz:

Blockgröße und Gesamtadressen sind bei einfachen Subnetzen gleich groß.

Subnetzbereiche bei /25

Ausgangsnetz:

192.168.1.0/24

Aufteilung in /25:

Subnetz Bereich nutzbare Hosts Broadcast
192.168.1.0/25 192.168.1.0 bis 192.168.1.127 192.168.1.1 bis 192.168.1.126 192.168.1.127
192.168.1.128/25 192.168.1.128 bis 192.168.1.255 192.168.1.129 bis 192.168.1.254 192.168.1.255

Merksatz:

/25 teilt ein /24 in zwei gleich große Netze.

Subnetzbereiche bei /26

Ausgangsnetz:

192.168.1.0/24

Aufteilung in /26:

Subnetz Bereich nutzbare Hosts Broadcast
192.168.1.0/26 192.168.1.0 bis 192.168.1.63 192.168.1.1 bis 192.168.1.62 192.168.1.63
192.168.1.64/26 192.168.1.64 bis 192.168.1.127 192.168.1.65 bis 192.168.1.126 192.168.1.127
192.168.1.128/26 192.168.1.128 bis 192.168.1.191 192.168.1.129 bis 192.168.1.190 192.168.1.191
192.168.1.192/26 192.168.1.192 bis 192.168.1.255 192.168.1.193 bis 192.168.1.254 192.168.1.255

Merksatz:

/26 teilt ein /24 in vier Netze mit je 64 Adressen.

Subnetzbereiche bei /27

Ausgangsnetz:

192.168.1.0/24

Blockgröße:

32

Subnetze beginnen bei:

0
32
64
96
128
160
192
224

Beispiel:

192.168.1.96/27

Bereich:

192.168.1.96 bis 192.168.1.127

nutzbar:

192.168.1.97 bis 192.168.1.126

Broadcast:

192.168.1.127

Merksatz:

/27 springt in 32er-Schritten.

Subnetzbereiche bei /28

Ausgangsnetz:

192.168.1.0/24

Blockgröße:

16

Subnetze beginnen bei:

0
16
32
48
64
80
96
112
128
144
160
176
192
208
224
240

Beispiel:

192.168.1.80/28

Bereich:

192.168.1.80 bis 192.168.1.95

nutzbar:

192.168.1.81 bis 192.168.1.94

Broadcast:

192.168.1.95

Merksatz:

/28 springt in 16er-Schritten.

Subnetzaufgabe Schritt für Schritt

Beispiel:

192.168.1.70/26

Schritt 1:

Präfix:
/26

Schritt 2:

Hostbits:
32 - 26 = 6

Schritt 3:

Adressen:
2 hoch 6 = 64

Schritt 4:

nutzbare Hosts:
64 - 2 = 62

Schritt 5:

Blockgröße:
64

Schritt 6:

Subnetzbereiche:
0 bis 63
64 bis 127
128 bis 191
192 bis 255

Schritt 7:

70 liegt im Bereich 64 bis 127

Ergebnis:

Wert Ergebnis
Netzadresse 192.168.1.64
erste nutzbare Adresse 192.168.1.65
letzte nutzbare Adresse 192.168.1.126
Broadcastadresse 192.168.1.127
nutzbare Hosts 62

Merksatz:

IP-Adresse liegt immer in genau einem Subnetzbereich.

Prüfungsaufgabe: 192.168.10.130/25

Gegeben:

192.168.10.130/25

Präfix:

/25

Hostbits:

32 - 25 = 7

Adressen:

2 hoch 7 = 128

Nutzbare Hosts:

126

Blockgröße:

128

Subnetzbereiche:

192.168.10.0 bis 192.168.10.127

192.168.10.128 bis 192.168.10.255

Die Adresse 192.168.10.130 liegt im zweiten Bereich.

Wert Ergebnis
Netzadresse 192.168.10.128
erste nutzbare Adresse 192.168.10.129
letzte nutzbare Adresse 192.168.10.254
Broadcastadresse 192.168.10.255
nutzbare Hosts 126

Merksatz:

Bei /25 gibt es zwei Bereiche:
0 bis 127
und 128 bis 255.

Prüfungsaufgabe: 10.0.5.200/27

Gegeben:

10.0.5.200/27

Präfix:

/27

Hostbits:

32 - 27 = 5

Adressen:

2 hoch 5 = 32

Nutzbare Hosts:

30

Blockgröße:

32

Subnetzbereiche im letzten Oktett:

0 bis 31
32 bis 63
64 bis 95
96 bis 127
128 bis 159
160 bis 191
192 bis 223
224 bis 255

Die Adresse 200 liegt im Bereich:

192 bis 223
Wert Ergebnis
Netzadresse 10.0.5.192
erste nutzbare Adresse 10.0.5.193
letzte nutzbare Adresse 10.0.5.222
Broadcastadresse 10.0.5.223
nutzbare Hosts 30

Merksatz:

Bei /27 springt das letzte Oktett in 32er-Blöcken.

Prüfungsaufgabe: 172.16.8.14/28

Gegeben:

172.16.8.14/28

Präfix:

/28

Hostbits:

32 - 28 = 4

Adressen:

2 hoch 4 = 16

Nutzbare Hosts:

14

Blockgröße:

16

Subnetzbereiche im letzten Oktett:

0 bis 15
16 bis 31
32 bis 47
48 bis 63

Die Adresse 14 liegt im Bereich:

0 bis 15
Wert Ergebnis
Netzadresse 172.16.8.0
erste nutzbare Adresse 172.16.8.1
letzte nutzbare Adresse 172.16.8.14
Broadcastadresse 172.16.8.15
nutzbare Hosts 14

Wichtig:

172.16.8.14 ist hier die letzte nutzbare Hostadresse,
nicht die Broadcastadresse.

Merksatz:

Broadcast ist bei /28 immer die letzte Adresse des 16er-Blocks.

Subnetzmaske aus Präfix ableiten

Präfix Binär im letzten interessanten Oktett Dezimal
/25 10000000 128
/26 11000000 192
/27 11100000 224
/28 11110000 240
/29 11111000 248
/30 11111100 252

Merksatz:

Einsen stehen für Netzbits.
Nullen stehen für Hostbits.

Binärwerte im Oktett

Bitwert Dezimalwert
10000000 128
01000000 64
00100000 32
00010000 16
00001000 8
00000100 4
00000010 2
00000001 1

Merksatz:

Oktettwerte:
128,
64,
32,
16,
8,
4,
2,
1.

Subnetzmasken binär verstehen

Beispiel:

/26

Binär:

11111111.11111111.11111111.11000000

Dezimal:

255.255.255.192

Bedeutung:

26 Einsen für Netzbits

6 Nullen für Hostbits

Merksatz:

Subnetzmaske ist eine Folge von Einsen und danach Nullen.

Hosts oder Subnetze berechnen

Wenn gefragt wird:

Wie viele Hosts passen in ein Subnetz?

Dann:

Hostbits bestimmen.

Wenn gefragt wird:

Wie viele Subnetze entstehen?

Dann:

geliehene Netzbits bestimmen.

Beispiel:

/24 wird in /26 aufgeteilt.

Geliehene Bits:

26 - 24 = 2

Anzahl Subnetze:

2 hoch 2 = 4

Merksatz:

Hostbits berechnen Hosts.
geliehene Netzbits berechnen Subnetze.

Subnetze aus einem Ausgangsnetz berechnen

Beispiel:

192.168.1.0/24 soll in /26-Netze geteilt werden.

Geliehene Bits:

26 - 24 = 2

Anzahl Subnetze:

2 hoch 2 = 4

Adressen je Subnetz:

64

Subnetze:

192.168.1.0/26
192.168.1.64/26
192.168.1.128/26
192.168.1.192/26

Merksatz:

Neue Subnetze beginnen im Abstand der Blockgröße.

Benötigte Hostanzahl bestimmen

Wenn gefragt wird:

Welches kleinste Subnetz braucht man für 50 Hosts?

Dann prüfen:

Präfix nutzbare Hosts
/27 30
/26 62
/25 126

Für 50 Hosts reicht:

/26

Warum?

/27 hat nur 30 nutzbare Hosts.
/26 hat 62 nutzbare Hosts.

Merksatz:

Immer das kleinste passende Subnetz wählen.

Beispiel: 100 Hosts benötigt

Gesucht:

kleinstes Subnetz für mindestens 100 Hosts

Prüfen:

Präfix nutzbare Hosts
/26 62
/25 126
/24 254

Ergebnis:

/25

Begründung:

/26 reicht nicht,
/25 reicht.

Merksatz:

Nicht zu klein,
nicht unnötig groß planen.

VLSM-Grundidee

VLSM steht für:

Variable Length Subnet Mask

Bedeutung:

unterschiedlich große Subnetze innerhalb eines größeren Netzes

Beispiel:

Servernetz braucht 50 Hosts

Büronetz braucht 100 Hosts

Punkt-zu-Punkt-Verbindung braucht 2 Hosts

Dann werden unterschiedlich große Präfixe verwendet.

Merksatz:

VLSM passt Subnetzgrößen an den Bedarf an.

VLSM-Grundregel

Bei VLSM plant man meist:

größte Netze zuerst

danach kleinere Netze

Warum?

Große Netze brauchen größere zusammenhängende Adressbereiche.

Merksatz:

VLSM:
erst große Netze,
dann kleine Netze.

CIDR-Grundidee

CIDR steht für:

Classless Inter-Domain Routing

Bedeutung:

klassenlose Schreibweise mit Präfix

Beispiel:

192.168.1.0/24

Vorteil:

flexible Netzgrößen

Merksatz:

CIDR ist die moderne Schreibweise mit Schrägstrich-Präfix.

Private IPv4-Bereiche

Bereich CIDR
10.0.0.0 bis 10.255.255.255 10.0.0.0/8
172.16.0.0 bis 172.31.255.255 172.16.0.0/12
192.168.0.0 bis 192.168.255.255 192.168.0.0/16

Merksatz:

Private IPv4-Adressen werden im Internet nicht direkt geroutet.

Sonderfall /31 und /32

In klassischen Prüfungsaufgaben wird meist mit:

Netzadresse

und

Broadcastadresse

gerechnet.

Daher gilt dort oft:

nutzbare Hosts = 2 hoch Hostbits minus 2

Sonderfälle:

/31 kann bei Punkt-zu-Punkt-Verbindungen verwendet werden.

/32 beschreibt eine einzelne Hostadresse.

Merksatz:

Für Standard-IHK-Aufgaben meistens mit minus 2 rechnen,
außer die Aufgabe nennt ausdrücklich Sonderfälle.

Typische Prüfungsfallen

Präfix größer mit größerem Netz verwechseln.

Netzadresse als Hostadresse verwenden.

Broadcastadresse als Hostadresse verwenden.

Minus 2 bei nutzbaren Hosts vergessen.

Gateway außerhalb des Subnetzes eintragen.

Blockgröße falsch berechnen.

/25 und /26 verwechseln.

Subnetzmaske falsch zu Präfix zuordnen.

IP-Adresse liegt nicht im angenommenen Bereich.

erste und letzte nutzbare Adresse vertauschen.

VLSM nicht mit größtem Netz beginnen.

Merksatz:

Die meisten Subnetting-Fehler entstehen durch falsche Grenzen.

Prüfungsfalle: Gateway außerhalb des Subnetzes

Beispiel:

Client:
192.168.10.50/24

Gateway:
192.168.20.1

Problem:

Client-Netz:
192.168.10.0/24

Gateway-Netz:
192.168.20.0/24

Das Gateway ist nicht im gleichen lokalen Subnetz.

Merksatz:

Standardgateway muss für den Client lokal erreichbar sein.

Prüfungsfalle: Broadcast als Host verwenden

Beispiel:

Netz:
192.168.1.64/26

Bereich:

192.168.1.64 bis 192.168.1.127

Broadcast:

192.168.1.127

Nicht als Host verwenden:

192.168.1.127

Merksatz:

Broadcastadresse ist keine Hostadresse.

Prüfungsfalle: Netzadresse als Host verwenden

Beispiel:

Netz:
192.168.1.64/26

Netzadresse:

192.168.1.64

Nicht als Host verwenden:

192.168.1.64

Merksatz:

Netzadresse ist keine Hostadresse.

Schnelle Subnetting-Reihenfolge

Bei jeder Aufgabe:

1. Präfix lesen.

2. Hostbits berechnen.

3. Hostanzahl berechnen.

4. Blockgröße bestimmen.

5. Subnetzbereich finden.

6. Netzadresse bestimmen.

7. Broadcast bestimmen.

8. nutzbare Hosts bestimmen.

Merksatz:

Immer gleiche Reihenfolge,
weniger Fehler.

Typische IHK-Fragen

In AP1 und AP2 kann zum Beispiel gefragt werden:

- Wie viele nutzbare Hosts hat ein /26-Netz?
- Welche Subnetzmaske gehört zu /27?
- Welche Netzadresse gehört zu einer bestimmten IP mit Präfix?
- Welche Broadcastadresse gehört zu einem Subnetz?
- Welche erste und letzte nutzbare Adresse gibt es?
- Welches kleinste Subnetz reicht für eine bestimmte Hostanzahl?
- Liegen zwei IP-Adressen im gleichen Subnetz?
- Ist das Gateway korrekt konfiguriert?
- Wie viele Subnetze entstehen aus einer Aufteilung?
- Warum darf die Broadcastadresse nicht als Hostadresse genutzt werden?

IHK-sichere Kurzformulierung

Subnetting teilt ein IPv4-Netz in kleinere Teilnetze auf. Eine IPv4-Adresse besteht aus 32 Bit. Der Präfix gibt an, wie viele Bits zum Netzanteil gehören. Die restlichen Bits bilden den Hostanteil. Die Anzahl der nutzbaren Hosts berechnet sich in klassischen IPv4-Subnetzen mit 2 hoch Hostbits minus 2, weil Netzadresse und Broadcastadresse nicht für Hosts verwendet werden. Die Netzadresse ist die erste Adresse eines Subnetzes, die Broadcastadresse die letzte Adresse. Die erste nutzbare Adresse ist Netzadresse plus 1, die letzte nutzbare Adresse ist Broadcastadresse minus 1. Die Blockgröße hilft, Subnetzgrenzen schnell zu finden.

Merksätze

IPv4 hat 32 Bit.

Präfix = Netzbits.

Hostbits = 32 minus Präfix.

Mehr Netzbits bedeuten kleinere Netze.

Mehr Hostbits bedeuten mehr Hosts.

Nutzbare Hosts = 2 hoch Hostbits minus 2.

Netzadresse = erste Adresse.

Broadcastadresse = letzte Adresse.

Erste nutzbare = Netzadresse + 1.

Letzte nutzbare = Broadcast - 1.

Blockgröße = 256 minus interessanter Maskenwert.

/24 hat 254 nutzbare Hosts.

/25 hat 126 nutzbare Hosts.

/26 hat 62 nutzbare Hosts.

/27 hat 30 nutzbare Hosts.

/28 hat 14 nutzbare Hosts.

/29 hat 6 nutzbare Hosts.

/30 hat 2 nutzbare Hosts.

Präfix größer heißt:
Netz kleiner.

Präfix kleiner heißt:
Netz größer.

Gateway muss im lokalen Subnetz liegen.

Netzadresse nicht als Host verwenden.

Broadcastadresse nicht als Host verwenden.

VLSM:
größte Netze zuerst.

CIDR ist die Schreibweise mit Präfix.

Subnetting immer in gleicher Reihenfolge lösen.

19.5 DNS, DHCP, Gateway und NAT Spickzettel

Dieser Spickzettel fasst vier sehr häufige Prüfungsthemen zusammen:

- DNS
- DHCP
- Gateway
- NAT

Diese Begriffe werden in Aufgaben oft gemeinsam geprüft, weil sie für normalen Netzwerkzugriff zusammenwirken.

Merksatz:

DNS findet Namen.
DHCP verteilt Konfiguration.
Gateway führt in andere Netze.
NAT übersetzt Adressen.

Grundidee im Überblick

Begriff Hauptaufgabe Typisches Fehlerbild
DNS Namen in IP-Adressen auflösen IP geht, Name nicht
DHCP IP-Konfiguration automatisch verteilen 169.254.x.x oder falsche IP
Gateway Weg in andere Netze bereitstellen lokal geht, Internet nicht
NAT private Adressen in öffentliche Adressen übersetzen intern geht, extern nicht oder Portweiterleitung fehlerhaft

Merksatz:

Jeder Begriff löst ein anderes Problem.

DNS kurz erklärt

DNS steht für:

Domain Name System

Aufgabe:

DNS übersetzt Namen in IP-Adressen.

Beispiel:

www.example.com

wird aufgelöst zu:

einer IPv4- oder IPv6-Adresse

Merksatz:

DNS ist das Namenssystem des Netzwerks.

DNS-Frage in der Prüfung

Typisches Fehlerbild:

Webseite ist per IP-Adresse erreichbar,
aber nicht per Domainname.

Wahrscheinliche Ursache:

DNS-Problem

Mögliche Ursachen:

falscher DNS-Server
DNS-Server nicht erreichbar
falscher DNS-Eintrag
DNS-Cache veraltet
DNS-Suffix falsch
Split-DNS bei VPN falsch
Firewall blockiert DNS

Merksatz:

IP ja,
Name nein:
DNS prüfen.

Wichtige DNS-Records

Record Bedeutung
A Name zu IPv4-Adresse
AAAA Name zu IPv6-Adresse
CNAME Alias auf anderen Namen
MX Mailserver einer Domain
TXT Textinformationen, zum Beispiel SPF
NS zuständiger Nameserver
PTR Reverse DNS, IP-Adresse zu Name

Merksatz:

A ist IPv4.
AAAA ist IPv6.
MX ist Mail.
PTR ist rückwärts.

DNS und Ports

DNS nutzt:

UDP 53

und bei Bedarf

TCP 53

UDP 53:

normale DNS-Abfragen

TCP 53:

große Antworten,
Zonentransfers
oder bestimmte Spezialfälle

Merksatz:

DNS ist meistens UDP 53,
aber TCP 53 nicht vergessen.

DNS-Prüfung mit Werkzeugen

Typische Werkzeuge:

nslookup

dig

ping mit Namen

Browser-Test

DNS-Cache prüfen

Wichtig:

ping auf Name testet DNS und ICMP zusammen.

Besser für reine DNS-Prüfung:

nslookup

oder

dig

Merksatz:

DNS gezielt mit nslookup oder dig prüfen.

DNS-Cache

Ein DNS-Cache speichert bereits aufgelöste Namen.

Vorteile:

schnellere Namensauflösung
weniger DNS-Anfragen

Problem:

veraltete Einträge können Fehler verursachen.

Merksatz:

DNS-Cache kann alte Informationen enthalten.

DNS-Suffix

Ein DNS-Suffix ergänzt unvollständige Namen.

Beispiel:

server01

kann ergänzt werden zu:

server01.firma.local

Typische Fehler:

falsches Suchsuffix
anderes Suffix im VPN
interner Name wird extern nicht gefunden

Merksatz:

DNS-Suffix hilft bei kurzen internen Namen.

Split-DNS

Split-DNS bedeutet:

interne und externe DNS-Auflösung können unterschiedliche Antworten liefern.

Beispiel:

intern:
intranet.firma.de zeigt auf private IP-Adresse

extern:
intranet.firma.de ist nicht erreichbar
oder zeigt auf öffentliche Adresse

Typisch bei:

VPN
Intranet
internen Diensten
Hybrid-Umgebungen

Merksatz:

Split-DNS kann je nach Standort unterschiedliche IPs liefern.

DHCP kurz erklärt

DHCP steht für:

Dynamic Host Configuration Protocol

Aufgabe:

DHCP verteilt automatisch Netzwerkkonfiguration an Clients.

Typische Informationen:

IP-Adresse
Subnetzmaske
Standardgateway
DNS-Server
Lease-Zeit
weitere Optionen

Merksatz:

DHCP erspart manuelle IP-Konfiguration.

DHCP-DORA

DORA beschreibt den DHCP-Ablauf:

Schritt Bedeutung
Discover Client sucht DHCP-Server
Offer Server bietet Konfiguration an
Request Client fordert angebotene Konfiguration an
Acknowledge Server bestätigt die Vergabe

Merksatz:

DHCP-DORA:
Discover,
Offer,
Request,
Acknowledge.

DHCP und Ports

DHCP nutzt:

Rolle Protokoll Port
DHCP-Server UDP 67
DHCP-Client UDP 68

Merksatz:

DHCP nutzt UDP 67 und UDP 68.

DHCP und Broadcast

Ein Client hat zu Beginn oft noch keine gültige IP-Adresse.

Deshalb nutzt DHCP am Anfang Broadcast.

Grund:

Der Client kennt den DHCP-Server noch nicht.
Der Client hat noch keine vollständige Netzwerkkonfiguration.

Merksatz:

DHCP beginnt häufig mit Broadcast.

APIPA

APIPA steht für:

Automatic Private IP Addressing

Bereich:

169.254.0.0/16

Bedeutung:

Der Client hat keine gültige DHCP-Adresse erhalten
und vergibt sich selbst eine automatische Adresse.

Typisches Fehlerbild:

Client hat 169.254.x.x
und erreicht keine normalen Netzressourcen.

Merksatz:

169.254.x.x deutet auf DHCP-Problem hin.

DHCP-Scope

Ein DHCP-Scope ist ein Adressbereich, aus dem DHCP Adressen vergeben darf.

Beispiel:

192.168.10.100 bis 192.168.10.200

Zu einem Scope gehören oft:

IP-Bereich
Subnetzmaske
Gateway
DNS-Server
Lease-Zeit
Ausschlüsse
Reservierungen

Merksatz:

DHCP-Scope = Adresspool für automatische Vergabe.

DHCP-Lease

Eine Lease ist die zeitlich begrenzte Vergabe einer IP-Adresse.

Bedeutung:

Ein Client erhält eine Adresse nicht für immer,
sondern für eine bestimmte Lease-Zeit.

Vorteil:

Adressen können später wiederverwendet werden.

Merksatz:

DHCP-Lease = zeitlich begrenzte IP-Vergabe.

DHCP-Reservierung

Eine DHCP-Reservierung weist einem bestimmten Gerät immer dieselbe IP-Adresse zu.

Meist anhand der:

MAC-Adresse

Typisch für:

Drucker
Server
NAS
Netzwerkgeräte
wichtige Clients

Merksatz:

Reservierung bedeutet:
automatisch,
aber immer dieselbe Adresse.

DHCP-Relay

Ein DHCP-Relay leitet DHCP-Anfragen in ein anderes Netz weiter.

Warum nötig?

DHCP-Broadcasts werden normalerweise nicht über Router weitergeleitet.

Beispiel:

Client in VLAN 20

DHCP-Server in VLAN 10

Dann braucht man oft:

DHCP-Relay

Merksatz:

DHCP-Relay hilft,
wenn Client und DHCP-Server in unterschiedlichen Netzen sind.

DHCP-Fehlerbilder

Fehlerbild Mögliche Ursache
169.254.x.x DHCP nicht erreicht
falsches Gateway falsche DHCP-Option
falscher DNS-Server falsche DHCP-Option
keine Adresse mehr frei Scope erschöpft
nur ein VLAN betroffen DHCP-Relay oder VLAN falsch
manche Geräte bekommen falsche IP falscher Scope oder falsches VLAN
Gerät bekommt alte IP Lease oder Reservierung prüfen

Merksatz:

DHCP-Probleme betreffen IP-Konfiguration,
nicht Namensauflösung.

Gateway kurz erklärt

Das Standardgateway ist der Router, über den ein Host andere Netze erreicht.

Ohne Gateway kann ein Host normalerweise nur mit Geräten im eigenen Subnetz kommunizieren.

Beispiel:

Client:
192.168.10.50/24

Gateway:
192.168.10.1

Merksatz:

Gateway = Ausgang in andere Netze.

Gateway muss im lokalen Netz liegen

Das Gateway muss für den Client lokal erreichbar sein.

Falsches Beispiel:

Client:
192.168.10.50/24

Gateway:
192.168.20.1

Problem:

Client liegt im Netz 192.168.10.0/24.
Gateway liegt im Netz 192.168.20.0/24.

Der Client erreicht sein Gateway nicht lokal.

Merksatz:

Standardgateway muss im gleichen lokalen Subnetz erreichbar sein.

Gateway-Fehler in der Prüfung

Typisches Fehlerbild:

Client erreicht lokale Geräte,
aber keine externen Netze.

Wahrscheinliche Ursache:

Gateway fehlt
oder Gateway falsch

Auch möglich:

Routingfehler
NAT-Problem
Firewall blockiert
Providerverbindung gestört

Merksatz:

Lokal ja,
extern nein:
Gateway,
Routing,
NAT
oder Firewall prüfen.

Routing kurz erklärt

Routing bedeutet:

Weiterleitung von Paketen zwischen verschiedenen IP-Netzen.

Ein Router entscheidet anhand seiner Routing-Tabelle, wohin ein Paket weitergeleitet wird.

Routing-Tabelle enthält typischerweise:

Zielnetz
Next Hop
Interface
Metrik

Merksatz:

Routing verbindet Netze.

Standardroute

Eine Standardroute ist die Route für alle Ziele, für die keine speziellere Route existiert.

Schreibweise IPv4:

0.0.0.0/0

Merksatz:

Standardroute = Weg für unbekannte Ziele.

Spezifischste Route gewinnt

Wenn mehrere Routen passen, wird die spezifischste Route verwendet.

Beispiel:

192.168.10.0/24

ist spezifischer als:

192.168.0.0/16

Merksatz:

Längster passender Präfix gewinnt.

NAT kurz erklärt

NAT steht für:

Network Address Translation

Aufgabe:

NAT übersetzt IP-Adressen.

Häufiger Einsatz:

private interne IPv4-Adressen werden beim Zugriff ins Internet
in eine öffentliche IPv4-Adresse übersetzt.

Merksatz:

NAT übersetzt Adressen.

Warum NAT verwendet wird

Gründe:

private IPv4-Adressen im LAN nutzen
öffentliche IPv4-Adressen sparen
interne Adressen nach außen verbergen
Internetzugriff für viele Clients ermöglichen

Wichtig:

NAT ist keine vollständige Sicherheitsmaßnahme.

Merksatz:

NAT hilft bei Adressübersetzung,
ersetzt aber keine Firewall.

Private IPv4-Bereiche

Bereich CIDR
10.0.0.0 bis 10.255.255.255 10.0.0.0/8
172.16.0.0 bis 172.31.255.255 172.16.0.0/12
192.168.0.0 bis 192.168.255.255 192.168.0.0/16

Merksatz:

Private IPv4-Adressen werden im Internet nicht direkt geroutet.

PAT kurz erklärt

PAT steht für:

Port Address Translation

PAT ist eine Form von NAT, bei der zusätzlich Portnummern zur Zuordnung genutzt werden.

Zweck:

viele interne Clients können über eine öffentliche IP-Adresse ins Internet.

Merksatz:

PAT nutzt Ports zur Unterscheidung mehrerer Verbindungen.

NAT und PAT vergleichen

Begriff Bedeutung Typischer Einsatz
NAT übersetzt IP-Adressen private zu öffentliche IP
PAT übersetzt IP-Adressen und Ports viele Clients über eine öffentliche IP
Portweiterleitung leitet externen Port intern weiter internen Dienst von außen erreichbar machen

Merksatz:

NAT übersetzt Adressen.
PAT unterscheidet Verbindungen über Ports.

Portweiterleitung kurz erklärt

Portweiterleitung bedeutet:

eingehender Verkehr auf einem externen Port
wird an einen internen Dienst weitergeleitet.

Beispiel:

öffentliche IP: TCP 443

wird weitergeleitet an:

interner Webserver: TCP 443

Merksatz:

Portweiterleitung macht interne Dienste von außen erreichbar.

Portweiterleitung und Risiko

Portweiterleitung erhöht die Angriffsfläche, weil ein interner Dienst von außen erreichbar wird.

Deshalb prüfen:

Ist der Dienst wirklich nötig?
Ist der Dienst gepatcht?
Gibt es starke Authentifizierung?
Gibt es TLS?
Gibt es Logging?
Gibt es Firewall-Beschränkungen?
Gibt es eine DMZ?
Gibt es Alternativen wie VPN?

Merksatz:

Portweiterleitung nur gezielt und dokumentiert einsetzen.

DNS, DHCP, Gateway und NAT zusammen

Ein normaler Client braucht oft:

IP-Adresse von DHCP

Subnetzmaske von DHCP

Gateway von DHCP

DNS-Server von DHCP

Gateway für andere Netze

NAT für Internetzugriff mit privater IPv4-Adresse

DNS für Namensauflösung

Merksatz:

Internetzugriff braucht meistens mehrere korrekt zusammenspielende Bausteine.

Beispiel: Client kommt nicht ins Internet

Prüfreihenfolge:

1. Hat der Client eine gültige IP-Adresse?

2. Passt die Subnetzmaske?

3. Ist das Gateway eingetragen?

4. Liegt das Gateway im gleichen Subnetz?

5. Ist das Gateway erreichbar?

6. Funktioniert Zugriff auf externe IP?

7. Funktioniert DNS?

8. Funktioniert NAT?

9. Blockiert eine Firewall?

Merksatz:

Erst IP und Gateway,
dann DNS,
dann NAT und Firewall.

Beispiel: Webseite per IP erreichbar, per Name nicht

Fehlerbild:

Zugriff auf 93.184.216.34 funktioniert.

Zugriff auf www.example.com funktioniert nicht.

Wahrscheinliche Ursache:

DNS

Prüfen:

DNS-Server eingetragen?
DNS-Server erreichbar?
DNS-Eintrag korrekt?
anderer DNS-Server testen?
DNS-Cache leeren?

Merksatz:

Wenn IP funktioniert,
ist die Grundverbindung nicht das Hauptproblem.

Beispiel: Client hat 169.254.x.x

Fehlerbild:

Client hat APIPA-Adresse.

Wahrscheinliche Ursache:

DHCP nicht erreichbar

Prüfen:

Kabel oder WLAN
VLAN
DHCP-Server
DHCP-Scope
DHCP-Relay
Firewall
Switchport

Merksatz:

APIPA heißt:
automatische Notadresse statt gültiger DHCP-Adresse.

Beispiel: lokal erreichbar, Internet nicht

Fehlerbild:

Client erreicht Server im eigenen Netz.

Internet funktioniert nicht.

Mögliche Ursachen:

Gateway fehlt
Gateway falsch
Routingfehler
NAT fehlt
Firewall blockiert
DNS bei Namenszugriff zusätzlich möglich

Merksatz:

Lokale Kommunikation beweist nicht,
dass Gateway und NAT funktionieren.

Beispiel: Portweiterleitung funktioniert nicht

Mögliche Ursachen:

falscher externer Port
falsche interne IP
falscher interner Port
Dienst läuft nicht
lokale Firewall blockiert
Router-Firewall blockiert
NAT-Regel fehlt
doppelte NAT-Umgebung
öffentlicher DNS zeigt falsch
Provider blockiert Port

Merksatz:

Bei Portweiterleitung immer externen Port,
internes Ziel,
Dienst
und Firewall prüfen.

Doppeltes NAT

Doppeltes NAT bedeutet:

Verkehr wird durch zwei NAT-Geräte übersetzt.

Beispiel:

Provider-Router

und dahinter

eigener Router

Problem:

Portweiterleitungen werden schwieriger,
weil beide Geräte korrekt konfiguriert sein müssen.

Merksatz:

Doppeltes NAT erschwert eingehende Verbindungen.

CGNAT

CGNAT steht für:

Carrier-Grade NAT

Dabei teilt der Provider öffentliche IPv4-Adressen auf mehrere Kunden auf.

Problem:

Eigene Portweiterleitungen von außen funktionieren oft nicht direkt,
weil der Kunde keine eigene öffentliche IPv4-Adresse hat.

Merksatz:

Bei CGNAT ist eingehender Zugriff von außen eingeschränkt.

DNS bei Portweiterleitung

Für externen Zugriff braucht man oft zusätzlich DNS.

Beispiel:

app.firma.de

zeigt auf:

öffentliche IP-Adresse

Dann leitet NAT/Firewall weiter auf:

internen Server

Mögliche Fehler:

DNS zeigt auf falsche öffentliche IP
alter DNS-Cache
falscher A-Record
Split-DNS-Konflikt

Merksatz:

DNS findet die öffentliche Adresse,
NAT leitet zum internen Dienst.

NAT und Firewall unterscheiden

Begriff Aufgabe
NAT Adressen übersetzen
Firewall Verkehr erlauben oder blockieren

Wichtig:

In vielen Geräten sind NAT und Firewall kombiniert.
Fachlich bleiben es unterschiedliche Funktionen.

Merksatz:

NAT übersetzt.
Firewall filtert.

DNS und DHCP unterscheiden

Begriff Aufgabe
DNS Namen auflösen
DHCP IP-Konfiguration verteilen

Prüfungsfalle:

Ein Client mit 169.254.x.x hat zuerst ein DHCP-Problem,
nicht direkt ein DNS-Problem.

Merksatz:

DHCP gibt die Konfiguration.
DNS nutzt danach diese Konfiguration.

Gateway und NAT unterscheiden

Begriff Aufgabe
Gateway Router in andere Netze
NAT Übersetzung von Adressen

Prüfungsfalle:

Ein Gateway kann vorhanden sein,
aber NAT kann trotzdem fehlen oder falsch sein.

Merksatz:

Gateway leitet weiter.
NAT übersetzt.

Typische Prüfungsfallen

DNS und DHCP verwechseln.

Gateway und DNS verwechseln.

NAT als Firewall bezeichnen.

PAT nicht als Port Address Translation erkennen.

Portweiterleitung mit normalem ausgehendem NAT verwechseln.

Gateway außerhalb des Client-Subnetzes eintragen.

DHCP-Relay vergessen.

APIPA nicht erkennen.

DNS nur mit UDP 53 verbinden und TCP 53 vergessen.

Private IPv4-Adressen als öffentlich routbar ansehen.

CGNAT bei eingehenden Verbindungen ignorieren.

Merksatz:

Die meisten Fehler entstehen durch Verwechslung der Aufgaben.

Typische IHK-Fragen

In AP1 und AP2 kann zum Beispiel gefragt werden:

- Was macht DNS?
- Was macht DHCP?
- Was bedeutet DORA?
- Welche Ports nutzt DHCP?
- Welche Ports nutzt DNS?
- Was bedeutet eine Adresse aus 169.254.0.0/16?
- Was ist ein DHCP-Scope?
- Was ist eine DHCP-Reservierung?
- Was ist ein DHCP-Relay?
- Was ist ein Standardgateway?
- Warum muss das Gateway im lokalen Subnetz erreichbar sein?
- Was ist NAT?
- Was ist PAT?
- Was ist eine Portweiterleitung?
- Warum ersetzt NAT keine Firewall?
- Warum funktioniert Zugriff per IP,
  aber nicht per Name?

IHK-sichere Kurzformulierung

DNS, DHCP, Gateway und NAT erfüllen unterschiedliche Aufgaben im Netzwerk. DNS löst Namen in IP-Adressen auf. DHCP verteilt automatisch Netzwerkkonfigurationen wie IP-Adresse, Subnetzmaske, Gateway und DNS-Server. Das Standardgateway ist der Router, über den ein Client andere Netze erreicht. NAT übersetzt IP-Adressen, häufig private interne IPv4-Adressen in eine öffentliche Adresse. PAT nutzt zusätzlich Ports, damit mehrere interne Clients über eine öffentliche IP-Adresse kommunizieren können. Portweiterleitung macht interne Dienste von außen erreichbar und erhöht dadurch die Angriffsfläche. Typische Fehlerbilder sind: IP funktioniert, Name nicht = DNS; 169.254.x.x = DHCP; lokal funktioniert, Internet nicht = Gateway, Routing, NAT oder Firewall.

Merksätze

DNS löst Namen auf.

DHCP verteilt IP-Konfiguration.

Gateway führt in andere Netze.

NAT übersetzt Adressen.

PAT nutzt Ports.

Portweiterleitung veröffentlicht Dienste.

DNS nutzt UDP und TCP 53.

DHCP nutzt UDP 67 und 68.

DHCP-DORA:
Discover,
Offer,
Request,
Acknowledge.

169.254.x.x deutet auf DHCP-Problem.

DHCP-Scope ist der Adresspool.

DHCP-Lease ist zeitlich begrenzte Vergabe.

DHCP-Reservierung gibt einem Gerät immer dieselbe IP.

DHCP-Relay leitet DHCP-Anfragen in andere Netze.

Gateway muss im lokalen Subnetz erreichbar sein.

Standardroute ist 0.0.0.0/0.

Spezifischste Route gewinnt.

Private IPv4-Adressen werden im Internet nicht direkt geroutet.

NAT ersetzt keine Firewall.

NAT übersetzt,
Firewall filtert.

DNS findet die öffentliche Adresse,
NAT leitet nach intern weiter.

Doppeltes NAT erschwert Portweiterleitungen.

CGNAT erschwert eingehende Verbindungen.

IP ja,
Name nein:
DNS.

169.254.x.x:
DHCP.

Lokal ja,
extern nein:
Gateway,
Routing,
NAT,
Firewall.

Host ja,
Dienst nein:
Port,
Dienst,
Firewall.

19.6 TCP, UDP, ICMP und ARP Spickzettel

Dieser Spickzettel fasst vier wichtige Netzwerkprotokolle kompakt zusammen:

- TCP
- UDP
- ICMP
- ARP

Diese Protokolle tauchen häufig in Prüfungsaufgaben, Fehlersuche und Netzwerkanalyse auf.

Merksatz:

TCP und UDP transportieren Daten.
ICMP hilft bei Diagnose.
ARP findet MAC-Adressen im lokalen Netz.

Grundübersicht

Protokoll Schicht Hauptaufgabe
TCP OSI-Schicht 4 zuverlässiger verbindungsorientierter Transport
UDP OSI-Schicht 4 schneller verbindungsloser Transport
ICMP OSI-Schicht 3 Kontroll- und Fehlermeldungen
ARP zwischen Schicht 2 und 3 IPv4-Adresse zu MAC-Adresse auflösen

Merksatz:

TCP und UDP gehören zur Transportschicht.
ICMP gehört zur Netzwerkschicht.
ARP verbindet IPv4 und Ethernet im lokalen Netz.

TCP kurz erklärt

TCP steht für:

Transmission Control Protocol

Eigenschaften:

verbindungsorientiert
zuverlässig
bestätigt Daten
überträgt verlorene Daten erneut
stellt Reihenfolge sicher
nutzt Ports
hat mehr Overhead als UDP

Typische Anwendungen:

HTTPS
HTTP
SSH
SMTP
IMAP
POP3
SMB
RDP

Merksatz:

TCP = zuverlässig und verbindungsorientiert.

TCP-Verbindungsaufbau

TCP baut vor der Datenübertragung eine Verbindung auf.

Der Verbindungsaufbau heißt:

Three-Way Handshake

Ablauf:

1. SYN

2. SYN-ACK

3. ACK

Bedeutung:

Client möchte Verbindung aufbauen.
Server bestätigt und antwortet.
Client bestätigt endgültig.

Merksatz:

TCP startet mit SYN,
SYN-ACK,
ACK.

TCP-Zuverlässigkeit

TCP sorgt für zuverlässige Übertragung durch:

Sequenznummern
Bestätigungen
erneute Übertragung
Reihenfolgeprüfung
Fehlererkennung
Flusskontrolle

Merksatz:

TCP merkt,
ob Daten angekommen sind.

TCP-Ports

TCP nutzt Ports, um Daten einem Dienst oder Prozess zuzuordnen.

Beispiele:

Dienst TCP-Port
SSH 22
HTTP 80
HTTPS 443
SMTP 25
IMAP 143
SMB 445
RDP 3389

Merksatz:

TCP-Port zeigt den angesprochenen Dienst.

Typische TCP-Status

Status Bedeutung
LISTEN Dienst wartet auf eingehende Verbindungen
SYN_SENT Client versucht Verbindung aufzubauen
SYN_RECEIVED Server hat SYN erhalten und geantwortet
ESTABLISHED Verbindung besteht
FIN_WAIT Verbindung wird beendet
TIME_WAIT Verbindung wurde beendet, Wartephase
CLOSE_WAIT Gegenseite hat beendet, lokale Anwendung noch nicht

Merksatz:

LISTEN heißt:
Dienst wartet.
ESTABLISHED heißt:
Verbindung besteht.

TCP-Fehlerbilder

Fehlerbild Mögliche Ursache
Verbindung kommt nicht zustande Port blockiert, Dienst aus, Firewall
SYN_SENT bleibt stehen Ziel antwortet nicht oder Firewall blockiert
Verbindung bricht ab Timeout, Anwendung, Netzwerkproblem
Dienst lauscht nicht Dienst nicht gestartet oder falsche Schnittstelle
viele Verbindungen offen Last, Angriff oder Anwendung hängt

Merksatz:

TCP-Fehler betreffen oft Port,
Dienst,
Firewall
oder Verbindung.

UDP kurz erklärt

UDP steht für:

User Datagram Protocol

Eigenschaften:

verbindungslos
schnell
wenig Overhead
keine eingebaute Zustellgarantie
keine eingebaute Reihenfolgegarantie
keine erneute Übertragung durch UDP selbst
nutzt Ports

Typische Anwendungen:

DNS
DHCP
VoIP
Streaming
Gaming
NTP
SNMP

Merksatz:

UDP = schnell,
schlank
und verbindungslos.

Warum UDP verwendet wird

UDP wird verwendet, wenn geringe Verzögerung wichtiger ist als perfekte Zustellung.

Beispiele:

Sprache bei VoIP soll sofort ankommen.
Ein verlorenes Sprachpaket ist weniger schlimm als lange Verzögerung.

DNS-Anfragen sind klein und sollen schnell beantwortet werden.

Streaming kann einzelne Verluste oft besser verkraften als Verzögerung.

Merksatz:

UDP ist sinnvoll,
wenn Geschwindigkeit wichtiger ist als eingebaute Zuverlässigkeit.

UDP-Ports

Dienst UDP-Port
DNS 53
DHCP Server 67
DHCP Client 68
NTP 123
SNMP 161
SNMP Trap 162

Merksatz:

UDP-Port zeigt ebenfalls den angesprochenen Dienst,
aber ohne TCP-Verbindungsaufbau.

UDP-Fehlerbilder

Fehlerbild Mögliche Ursache
keine Antwort auf DNS UDP 53 blockiert, DNS-Server falsch
DHCP funktioniert nicht UDP 67/68, VLAN, DHCP-Relay
Zeit stimmt nicht NTP UDP 123 blockiert oder Server falsch
SNMP liefert keine Werte Community, Rechte, UDP 161, Firewall
VoIP abgehackt Paketverlust, Jitter, Latenz

Merksatz:

UDP-Probleme erkennt man oft an fehlenden Antworten oder Qualitätseinbußen.

TCP und UDP vergleichen

Merkmal TCP UDP
Verbindung verbindungsorientiert verbindungslos
Aufbau Three-Way Handshake kein Verbindungsaufbau
Zuverlässigkeit eingebaut nicht eingebaut
Reihenfolge wird gesichert nicht garantiert
Overhead höher geringer
Geschwindigkeit eher langsamer eher schneller
Beispiele HTTPS, SSH, SMTP DNS, DHCP, VoIP

Merksatz:

TCP = zuverlässig.
UDP = wenig Overhead.

Wann TCP?

TCP eignet sich, wenn Daten vollständig und korrekt ankommen müssen.

Beispiele:

Webseite laden
Datei übertragen
E-Mail senden
Remotezugriff
Datenbankverbindung
Dateifreigabe

Merksatz:

TCP für vollständige und zuverlässige Übertragung.

Wann UDP?

UDP eignet sich, wenn Geschwindigkeit, geringe Verzögerung oder einfache Anfrage-Antwort-Kommunikation wichtig ist.

Beispiele:

DNS
DHCP
VoIP
Livestreaming
Online-Gaming
Zeitabgleich

Merksatz:

UDP für schnelle und zeitkritische Kommunikation.

ICMP kurz erklärt

ICMP steht für:

Internet Control Message Protocol

Aufgabe:

Kontroll-
Fehler-
und Diagnosemeldungen im IP-Netz

Typische Nutzung:

ping

traceroute

Fehlermeldungen bei nicht erreichbaren Zielen

Merksatz:

ICMP transportiert keine Anwendungsdaten,
sondern Kontrollinformationen.

ICMP und OSI-Schicht

ICMP gehört zur Netzwerkschicht.

OSI-Schicht:

Schicht 3

Grund:

ICMP arbeitet mit IP
und meldet Probleme bei IP-Kommunikation.

Merksatz:

ICMP gehört zu Schicht 3.

ping

ping nutzt ICMP Echo Request und Echo Reply.

Aufgabe:

Erreichbarkeit eines Ziels testen

Wichtig:

Ping prüft nicht,
ob ein bestimmter TCP- oder UDP-Dienst funktioniert.

Beispiel:

Ping funktioniert,
aber HTTPS auf TCP 443 ist blockiert.

Merksatz:

ping prüft ICMP-Erreichbarkeit,
nicht den Anwendungsdienst.

traceroute und tracert

traceroute oder tracert zeigen den Weg zum Ziel über Router.

Nutzung:

Pfad prüfen
Routingprobleme eingrenzen
Paketlaufzeit grob erkennen
Hops sichtbar machen

Wichtig:

Nicht jeder Router antwortet auf ICMP oder Traceroute.
Sternchen bedeuten nicht automatisch,
dass der gesamte Weg defekt ist.

Merksatz:

traceroute zeigt den Weg,
aber Ausgaben müssen interpretiert werden.

ICMP-Fehlerbilder

Fehlerbild Mögliche Bedeutung
ping erfolgreich Ziel antwortet auf ICMP
ping fehlgeschlagen Ziel offline, ICMP blockiert, Routingproblem
hohe Antwortzeit Latenz, Last oder lange Strecke
Paketverlust Netzproblem, Überlastung oder Funkproblem
traceroute bricht ab Firewall, Routing, ICMP-Filter
einzelne Hops antworten nicht Router antwortet nicht auf ICMP, Weg kann trotzdem funktionieren

Merksatz:

Kein ping bedeutet nicht automatisch:
Ziel ist offline.

ICMP und Firewall

ICMP kann in Firewalls erlaubt oder blockiert werden.

Vorteil von ICMP erlauben:

bessere Diagnose
einfachere Fehlersuche

Grund für Einschränkung:

weniger Informationspreisgabe
Schutz gegen bestimmte Missbrauchsarten
Sicherheitsrichtlinie

Merksatz:

ICMP blockieren kann Fehlersuche erschweren.

ARP kurz erklärt

ARP steht für:

Address Resolution Protocol

Aufgabe:

IPv4-Adresse in MAC-Adresse auflösen

Einsatzbereich:

lokales Netzwerksegment

Beispiel:

Ein Client möchte das Gateway 192.168.1.1 erreichen.

Dafür braucht er die MAC-Adresse des Gateways.

Diese ermittelt er mit ARP.

Merksatz:

ARP findet die MAC-Adresse zu einer IPv4-Adresse im lokalen Netz.

Warum ARP nötig ist

IP-Adressen werden für logische Kommunikation genutzt.

Ethernet im lokalen Netz braucht aber MAC-Adressen.

Deshalb muss ein Host wissen:

Welche MAC-Adresse gehört zur Ziel-IP?

Für Ziele außerhalb des eigenen Netzes gilt:

Der Client ermittelt per ARP die MAC-Adresse des Gateways,
nicht die MAC-Adresse des entfernten Zielservers.

Merksatz:

Für entfernte Ziele wird lokal die MAC des Gateways benötigt.

ARP-Ablauf

Typischer Ablauf:

1. Host prüft:
   Liegt Ziel im eigenen Subnetz?

2. Wenn Ziel lokal ist:
   ARP fragt nach MAC-Adresse des Zielhosts.

3. Wenn Ziel extern ist:
   ARP fragt nach MAC-Adresse des Gateways.

4. Antwort wird in ARP-Tabelle gespeichert.

Merksatz:

ARP arbeitet nur im lokalen Netz.

ARP Request und ARP Reply

ARP Request:

Frage per Broadcast:

Wer hat diese IP-Adresse?

ARP Reply:

Antwort per Unicast:

Diese IP-Adresse gehört zu dieser MAC-Adresse.

Merksatz:

ARP Request ist Broadcast.
ARP Reply ist Antwort mit MAC-Adresse.

ARP-Tabelle

Die ARP-Tabelle speichert bekannte Zuordnungen.

Beispiel:

IPv4-Adresse

zu

MAC-Adresse

Vorteil:

nicht bei jedem Paket neu fragen

Problem:

falsche oder alte Einträge können Fehler verursachen.

Merksatz:

ARP-Tabelle ist der lokale Zwischenspeicher für IP-zu-MAC.

ARP und Gateway

Wenn ein Ziel nicht im eigenen Subnetz liegt, sendet der Client das Ethernet-Frame an die MAC-Adresse des Gateways.

Wichtig:

IP-Ziel bleibt der entfernte Host.

MAC-Ziel ist lokal das Gateway.

Merksatz:

IP zeigt zum Endziel.
MAC zeigt zum nächsten lokalen Hop.

ARP-Fehlerbilder

Fehlerbild Mögliche Ursache
lokaler Host nicht erreichbar ARP, VLAN, Switch, Firewall, Ziel aus
Gateway nicht erreichbar falsches Gateway, ARP, VLAN, Router aus
doppelte IP-Adresse ARP springt zwischen MAC-Adressen
falsche MAC-Zuordnung ARP-Spoofing oder Cache-Problem
nur lokales Netz betroffen Schicht 2 oder ARP prüfen

Merksatz:

ARP-Probleme betreffen lokale IPv4-Kommunikation.

ARP-Spoofing

ARP-Spoofing ist ein Angriff, bei dem falsche ARP-Antworten gesendet werden.

Ziel:

Datenverkehr umleiten

Man-in-the-Middle ermöglichen

Kommunikation stören

Schutzmaßnahmen:

Dynamic ARP Inspection
statische ARP-Einträge in Sonderfällen
Netzwerksegmentierung
Switch-Sicherheitsfunktionen
Verschlüsselung höherer Schichten
Monitoring

Merksatz:

ARP vertraut lokalen Antworten und kann missbraucht werden.

TCP, UDP, ICMP und ARP gemeinsam einordnen

Frage Wahrscheinliches Thema
Ist der Dienst über Port erreichbar? TCP oder UDP
Funktioniert Namensauflösung? DNS über UDP/TCP 53
Funktioniert IP-Erreichbarkeit grob? ICMP
Wie kommt IPv4 zur MAC-Adresse? ARP
Warum geht ping, aber Webseite nicht? ICMP geht, TCP 80/443 prüfen
Warum geht lokale Kommunikation nicht? ARP, VLAN, Switch, IP
Warum geht Gateway nicht? ARP, Gateway-IP, VLAN, Router

Merksatz:

Unterschiedliche Protokolle beantworten unterschiedliche Diagnosefragen.

Beispiel: Ping funktioniert, HTTPS nicht

Fehlerbild:

ping zum Server funktioniert.

Webseite über HTTPS funktioniert nicht.

Bedeutung:

ICMP-Erreichbarkeit ist vorhanden.

Mögliche Ursachen:

TCP 443 blockiert
Webserver läuft nicht
Zertifikatsproblem
Reverse Proxy fehlerhaft
Anwendung fehlerhaft
Firewall-Regel fehlt

Merksatz:

ping erfolgreich heißt nicht,
dass HTTPS funktioniert.

Beispiel: DNS funktioniert nicht

Fehlerbild:

Name wird nicht aufgelöst.

Mögliche Protokolle:

DNS über UDP 53

DNS über TCP 53

Mögliche Ursachen:

DNS-Server falsch
DNS-Server nicht erreichbar
Port 53 blockiert
falscher DNS-Eintrag
DNS-Cache
Split-DNS

Merksatz:

DNS-Probleme sind meist Schicht 7,
nutzen aber TCP oder UDP auf Schicht 4.

Beispiel: DHCP funktioniert nicht

Fehlerbild:

Client erhält 169.254.x.x.

Beteiligte Protokolle:

DHCP über UDP 67 und 68

Mögliche Ursachen:

DHCP-Server nicht erreichbar
falsches VLAN
DHCP-Relay fehlt
Scope erschöpft
Firewall blockiert
Netzwerkverbindung fehlerhaft

Merksatz:

DHCP-Fehler können durch Schicht 1,
2,
3
oder 7 verursacht werden.

Beispiel: lokales Ziel nicht erreichbar

Fehlerbild:

Client und Server sollen im gleichen Subnetz sein,
erreichen sich aber nicht.

Mögliche Prüfungen:

IP-Adresse
Subnetzmaske
VLAN
Switchport
ARP-Tabelle
lokale Firewall
doppelte IP-Adresse

Merksatz:

Im gleichen Subnetz sind ARP,
VLAN
und lokale Firewall besonders wichtig.

Beispiel: externes Ziel nicht erreichbar

Fehlerbild:

Ziel liegt außerhalb des eigenen Subnetzes.

Beteiligte Schritte:

Client prüft Zielnetz.
Client sendet an Gateway.
ARP ermittelt MAC-Adresse des Gateways.
Router leitet IP-Paket weiter.
NAT oder Firewall können beteiligt sein.

Merksatz:

Externe Kommunikation braucht Gateway und Routing.

Typische Werkzeuge

Werkzeug Hilft bei
ping ICMP-Erreichbarkeit
traceroute / tracert Weg über Router
arp ARP-Tabelle anzeigen
ip neigh Nachbartabelle unter Linux
ipconfig /all IP-Konfiguration Windows
ip addr IP-Konfiguration Linux
netstat Verbindungen und Ports
ss Sockets und Ports unter Linux
nslookup DNS prüfen
dig DNS detailliert prüfen
tcpdump Pakete mitschneiden
Wireshark Pakete grafisch analysieren

Merksatz:

Werkzeug passend zur vermuteten Schicht wählen.

Prüfungsfalle: ping falsch interpretieren

Ping kann fehlschlagen, obwohl der Dienst erreichbar ist.

Mögliche Gründe:

ICMP blockiert
Ziel antwortet nicht auf ping
Firewall filtert ICMP

Ping kann funktionieren, obwohl der Dienst nicht erreichbar ist.

Mögliche Gründe:

TCP-Port blockiert
Anwendung läuft nicht
TLS-Problem
Rechteproblem

Merksatz:

ping ist Diagnose,
aber kein vollständiger Funktionstest.

Prüfungsfalle: ARP nur im lokalen Netz

ARP funktioniert nicht über Router hinweg.

Für entfernte Ziele wird nicht die MAC-Adresse des Zielservers gesucht, sondern die MAC-Adresse des Gateways.

Merksatz:

ARP kennt nur lokale Nachbarn.

Prüfungsfalle: TCP und UDP nicht vermischen

TCP 53 und UDP 53 sind unterschiedliche Regeln.

TCP 443 und UDP 443 sind nicht automatisch dasselbe.

Eine Firewall-Regel muss das richtige Transportprotokoll erlauben.

Merksatz:

Portnummer ohne TCP oder UDP ist unvollständig.

Prüfungsfalle: UDP ist nicht automatisch unsicher

UDP hat keine eingebaute Zustellgarantie.

Das bedeutet aber nicht automatisch, dass UDP „schlecht“ oder „unsicher“ ist.

Es ist für bestimmte Anwendungen sinnvoll, zum Beispiel DNS, DHCP, VoIP oder NTP.

Merksatz:

UDP ist nicht schlechter,
sondern für andere Anforderungen gebaut.

Typische IHK-Fragen

In AP1 und AP2 kann zum Beispiel gefragt werden:

- Was ist TCP?
- Was ist UDP?
- Vergleichen Sie TCP und UDP.
- Was ist der TCP Three-Way Handshake?
- Warum nutzt DNS häufig UDP?
- Warum eignet sich UDP für VoIP?
- Was macht ICMP?
- Wofür wird ping verwendet?
- Warum ersetzt ping keinen Diensttest?
- Was zeigt traceroute?
- Was macht ARP?
- Warum wird bei externen Zielen die MAC-Adresse des Gateways benötigt?
- Was ist ARP-Spoofing?
- Warum muss man bei Firewall-Regeln TCP und UDP unterscheiden?

IHK-sichere Kurzformulierung

TCP und UDP sind Transportprotokolle der OSI-Schicht 4. TCP ist verbindungsorientiert und zuverlässig. Es nutzt einen Verbindungsaufbau, Bestätigungen und erneute Übertragung verlorener Daten. UDP ist verbindungslos, schlank und hat keine eingebaute Zustellgarantie. Es eignet sich für schnelle oder zeitkritische Kommunikation wie DNS, DHCP, VoIP oder NTP. ICMP arbeitet auf Schicht 3 und dient Kontroll- und Diagnosemeldungen, zum Beispiel bei ping oder traceroute. ARP löst im lokalen IPv4-Netz eine IP-Adresse in eine MAC-Adresse auf. Für Ziele außerhalb des eigenen Subnetzes wird per ARP die MAC-Adresse des Gateways ermittelt.

Merksätze

TCP ist zuverlässig.

TCP ist verbindungsorientiert.

TCP nutzt Ports.

TCP startet mit SYN,
SYN-ACK,
ACK.

UDP ist verbindungslos.

UDP ist schnell und schlank.

UDP hat keine eingebaute Zustellgarantie.

UDP nutzt ebenfalls Ports.

TCP und UDP gehören zu Schicht 4.

ICMP gehört zu Schicht 3.

ICMP dient Diagnose und Fehlermeldungen.

ping nutzt ICMP.

ping ist kein vollständiger Diensttest.

traceroute zeigt den Weg über Router.

Nicht jeder Hop muss antworten.

ARP löst IPv4 zu MAC auf.

ARP arbeitet lokal.

ARP Request ist Broadcast.

ARP Reply liefert die MAC-Adresse.

ARP-Tabelle speichert Zuordnungen.

Für externe Ziele wird die MAC des Gateways genutzt.

IP zeigt zum Endziel.

MAC zeigt zum nächsten lokalen Hop.

ARP-Spoofing kann Verkehr umleiten.

TCP 53 und UDP 53 getrennt beachten.

Portnummer immer mit TCP oder UDP nennen.

Host erreichbar heißt nicht Dienst erreichbar.

ICMP blockiert heißt nicht automatisch Ziel offline.

UDP ist nicht schlechter,
sondern für andere Anforderungen gebaut.

19.7 VLAN, Switching, Routing und Firewall Spickzettel

Dieser Spickzettel fasst vier zentrale Netzwerkthemen kompakt zusammen:

- Switching
- VLAN
- Routing
- Firewall

Diese Themen hängen in Prüfungsaufgaben oft zusammen, weil sie bestimmen, wie Geräte im lokalen Netz kommunizieren und wie Verkehr zwischen Netzen erlaubt oder blockiert wird.

Merksatz:

Switches verbinden Geräte im LAN.
VLANs trennen logisch.
Routing verbindet Netze.
Firewalls filtern Verkehr.

Grundübersicht

Begriff Hauptaufgabe Typische Schicht
Switch Frames im lokalen Netz weiterleiten OSI-Schicht 2
VLAN logische Trennung innerhalb eines Switch-Netzes OSI-Schicht 2
Router IP-Netze miteinander verbinden OSI-Schicht 3
Firewall Verkehr erlauben oder blockieren Schicht 3 bis 7

Merksatz:

VLAN trennt.
Routing verbindet.
Firewall entscheidet,
was erlaubt ist.

Switching kurz erklärt

Ein Switch verbindet Geräte in einem lokalen Netzwerk.

Er arbeitet hauptsächlich auf:

OSI-Schicht 2

Er leitet Ethernet-Frames anhand von MAC-Adressen weiter.

Merksatz:

Switches arbeiten mit MAC-Adressen.

MAC-Adresstabelle

Ein Switch lernt, welche MAC-Adresse an welchem Port erreichbar ist.

Beispiel:

MAC-Adresse Switchport
AA:AA:AA:AA:AA:01 Port 1
AA:AA:AA:AA:AA:02 Port 2
AA:AA:AA:AA:AA:03 Port 3

Der Switch lernt aus der Quell-MAC-Adresse eingehender Frames.

Merksatz:

Switch lernt aus Quell-MAC-Adressen.

Switching-Ablauf

Wenn ein Frame beim Switch ankommt:

1. Switch liest die Quell-MAC-Adresse.

2. Switch speichert:
   Diese MAC-Adresse ist an diesem Port erreichbar.

3. Switch liest die Ziel-MAC-Adresse.

4. Wenn Ziel-MAC bekannt ist:
   Frame wird gezielt an den passenden Port gesendet.

5. Wenn Ziel-MAC unbekannt ist:
   Frame wird geflutet.

Merksatz:

Bekannte Ziel-MAC:
gezielte Weiterleitung.

Unbekannte Ziel-MAC:
Flooding.

Flooding

Flooding bedeutet:

Der Switch sendet einen Frame an alle Ports im VLAN,
außer an den Eingangsport.

Flooding passiert bei:

unbekannter Ziel-MAC-Adresse
Broadcast
bestimmten Multicast-Fällen

Merksatz:

Flooding ist nicht immer Fehler,
sondern bei unbekannter Ziel-MAC normal.

Broadcast

Broadcast bedeutet:

Nachricht an alle Geräte im lokalen Broadcast-Bereich.

Beispiel:

ARP Request

Broadcast bleibt normalerweise innerhalb:

eines VLANs

beziehungsweise

einer Broadcast-Domäne

Merksatz:

Broadcast erreicht alle Geräte im gleichen VLAN.

Broadcast-Domäne

Eine Broadcast-Domäne ist der Bereich, in dem Broadcasts verteilt werden.

Ohne VLAN:

oft gesamtes Switch-Netz

Mit VLAN:

jedes VLAN ist eigene Broadcast-Domäne

Merksatz:

VLANs trennen Broadcast-Domänen.

VLAN kurz erklärt

VLAN steht für:

Virtual Local Area Network

Ein VLAN trennt ein physisches Netzwerk logisch in mehrere getrennte Netzbereiche.

Beispiele:

VLAN 10 Verwaltung

VLAN 20 Clients

VLAN 30 Server

VLAN 40 Gäste

VLAN 99 Management

Merksatz:

VLAN = logische Trennung auf Schicht 2.

Warum VLANs verwendet werden

Vorteile:

logische Netztrennung
kleinere Broadcast-Domänen
bessere Struktur
Trennung von Abteilungen
Trennung von Gästen und internem Netz
Trennung von Servern und Clients
Managementnetz separat halten
Sicherheitszonen ermöglichen

Merksatz:

VLANs verbessern Struktur,
Übersicht
und Sicherheit.

VLAN ist keine vollständige Firewall

Ein VLAN trennt auf Schicht 2.

Aber:

Kommunikation zwischen VLANs ist über Routing möglich.

Deshalb braucht man für Sicherheit zusätzlich:

Router-Regeln

Firewall-Regeln

ACLs

Merksatz:

VLAN trennt logisch,
Firewall kontrolliert Verkehr.

Access-Port

Ein Access-Port gehört normalerweise zu genau einem VLAN.

Typische Nutzung:

Client
Drucker
Telefon
Access Point im einfachen Betrieb
Arbeitsplatzgerät

Beispiel:

Port 5 ist Access-Port in VLAN 20.

Ein angeschlossenes Endgerät muss das VLAN meist nicht kennen.

Merksatz:

Access-Port = ein VLAN für Endgeräte.

Trunk-Port

Ein Trunk-Port transportiert mehrere VLANs.

Typische Nutzung:

Verbindung zwischen Switches

Verbindung zu Router

Verbindung zu Firewall

Verbindung zu Hypervisor

Verbindung zu VLAN-fähigem Access Point

Merksatz:

Trunk-Port = mehrere VLANs über eine Verbindung.

Access-Port und Trunk-Port vergleichen

Porttyp VLAN-Anzahl Typische Nutzung
Access-Port ein VLAN Endgeräte
Trunk-Port mehrere VLANs Switch, Router, Firewall, Hypervisor

Merksatz:

Access = ein VLAN.
Trunk = mehrere VLANs.

VLAN-Tagging

Bei Trunk-Verbindungen müssen Frames einem VLAN zugeordnet werden.

Dafür wird meistens verwendet:

IEEE 802.1Q

Dabei bekommt der Frame einen VLAN-Tag.

Merksatz:

802.1Q markiert Frames mit VLAN-Information.

Untagged und Tagged

Untagged:

Frame enthält keinen sichtbaren VLAN-Tag für das Endgerät.

Typisch:

Access-Port

Tagged:

Frame enthält VLAN-Information.

Typisch:

Trunk-Port

Merksatz:

Access meist untagged.
Trunk meist tagged.

Native VLAN

Das Native VLAN ist das VLAN, dessen Frames auf einem Trunk untagged übertragen werden können.

Wichtig:

Native VLAN muss auf beiden Seiten passend konfiguriert sein.

Risiko:

Fehlkonfiguration kann zu unerwarteter Kommunikation führen.

Merksatz:

Native VLAN auf Trunks bewusst und einheitlich konfigurieren.

Management-VLAN

Ein Management-VLAN dient der Verwaltung von Netzwerkgeräten.

Darin liegen zum Beispiel:

Switch-Management
Access-Point-Management
Firewall-Management
Monitoring
Administrationszugriffe

Merksatz:

Managementzugänge nicht ins normale Clientnetz legen.

Gast-VLAN

Ein Gast-VLAN trennt Gäste vom internen Netz.

Typische Regeln:

Zugriff ins Internet erlaubt

Zugriff auf interne Server blockiert

Zugriff auf Managementnetz blockiert

Merksatz:

Gastnetz vom internen Netz trennen.

Voice-VLAN

Ein Voice-VLAN wird für IP-Telefone genutzt.

Vorteile:

Sprachverkehr getrennt vom normalen Clientverkehr
QoS leichter möglich
bessere Übersicht
getrennte Sicherheitsregeln möglich

Merksatz:

Voice-VLAN trennt Telefonie vom normalen Datenverkehr.

Inter-VLAN-Routing

VLANs sind getrennte Layer-2-Netze.

Damit Geräte aus verschiedenen VLANs miteinander kommunizieren können, braucht man Routing.

Das nennt man:

Inter-VLAN-Routing

Möglich über:

Router

Layer-3-Switch

Firewall

Merksatz:

VLANs trennen.
Inter-VLAN-Routing verbindet sie wieder gezielt.

Router-on-a-Stick

Router-on-a-Stick bedeutet:

Ein Router verbindet mehrere VLANs über eine Trunk-Verbindung.

Der Router hat logische Subinterfaces, zum Beispiel:

VLAN 10

VLAN 20

VLAN 30

Merksatz:

Router-on-a-Stick routet mehrere VLANs über einen Trunk.

Layer-3-Switch

Ein Layer-3-Switch kann:

switchen auf Schicht 2

und

routen auf Schicht 3

Typische Nutzung:

schnelles Routing zwischen VLANs im internen Netz

Merksatz:

Layer-3-Switch verbindet Switching und Routing.

Routing kurz erklärt

Routing bedeutet:

Pakete zwischen verschiedenen IP-Netzen weiterleiten.

Ein Router entscheidet anhand der Routing-Tabelle, wohin ein IP-Paket gesendet wird.

Merksatz:

Routing verbindet IP-Netze.

Routing-Tabelle

Eine Routing-Tabelle enthält typischerweise:

Zielnetz

Präfix

Next Hop

Interface

Metrik

Beispiel:

Zielnetz Next Hop Bedeutung
192.168.10.0/24 direkt verbunden lokales Netz
192.168.20.0/24 192.168.10.1 über Router erreichbar
0.0.0.0/0 192.168.10.254 Standardroute

Merksatz:

Routing-Tabelle bestimmt den nächsten Weg.

Standardroute

Die Standardroute ist die Route für alle Ziele, für die keine spezifischere Route vorhanden ist.

IPv4-Schreibweise:

0.0.0.0/0

Typisch:

Weg zum Internetrouter

Merksatz:

Standardroute = Route für unbekannte Ziele.

Spezifischste Route gewinnt

Wenn mehrere Routen passen, wird die Route mit dem längsten passenden Präfix verwendet.

Beispiel:

192.168.10.0/24

ist spezifischer als:

192.168.0.0/16

Merksatz:

Längster passender Präfix gewinnt.

Gateway

Das Standardgateway ist der Router, über den ein Client andere Netze erreicht.

Wichtig:

Das Gateway muss im lokalen Subnetz des Clients erreichbar sein.

Merksatz:

Gateway = Ausgang aus dem eigenen Netz.

Firewall kurz erklärt

Eine Firewall filtert Netzwerkverkehr.

Sie entscheidet anhand von Regeln:

erlauben

oder

blockieren

Typische Kriterien:

Quelle
Ziel
Port
Protokoll
Richtung
Benutzer
Anwendung
Zustand
Zeit
Zone

Merksatz:

Firewall = kontrollierter Verkehr zwischen Bereichen.

Firewall-Regel

Eine gute Firewall-Regel enthält:

Quelle

Ziel

Dienst oder Port

Protokoll

Richtung

Aktion

Zweck

Verantwortlichen

Datum

Beispiel:

Quelle Ziel Protokoll Port Aktion Zweck
Client-VLAN Webserver-DMZ TCP 443 erlauben HTTPS-Zugriff
Gast-VLAN internes Servernetz any any blockieren internes Netz schützen
Admin-VLAN Switch-Management TCP 22 erlauben SSH-Administration

Merksatz:

Jede Firewall-Regel braucht einen Zweck.

Default Deny

Default Deny bedeutet:

Standardmäßig ist alles verboten.

Nur ausdrücklich erlaubter Verkehr wird zugelassen.

Vorteil:

kleinere Angriffsfläche
bessere Kontrolle
weniger unbeabsichtigte Freigaben

Merksatz:

Erst blockieren,
dann gezielt erlauben.

Any-to-Any

Any-to-Any bedeutet:

jede Quelle

zu

jedem Ziel

Problem:

sehr breite Freigabe
schlechte Nachvollziehbarkeit
große Angriffsfläche
Sicherheitszonen werden umgangen

Merksatz:

Any-to-Any ist in der Regel kritisch.

Stateful Firewall

Eine Stateful Firewall merkt sich den Zustand einer Verbindung.

Beispiel:

Client startet HTTPS-Verbindung nach außen.

Antwortpakete werden automatisch zugelassen,
weil sie zur bestehenden Verbindung gehören.

Merksatz:

Stateful Firewall kennt Verbindungszustände.

Stateless Firewall

Eine Stateless Firewall betrachtet Pakete einzeln, ohne Verbindungszustand zu merken.

Sie prüft nur einzelne Paketinformationen, zum Beispiel:

Quelle

Ziel

Port

Protokoll

Merksatz:

Stateless Firewall kennt keinen Verbindungszustand.

Firewall-Zonen

Firewall-Zonen teilen Netzbereiche nach Schutzbedarf.

Beispiele:

Internet

DMZ

internes Netz

Servernetz

Clientnetz

Gastnetz

Managementnetz

Merksatz:

Zonen helfen,
Sicherheitsregeln strukturiert aufzubauen.

DMZ

DMZ steht für:

Demilitarized Zone

Eine DMZ ist ein getrenntes Netz für öffentlich erreichbare Dienste.

Beispiele:

Webserver

Reverse Proxy

Mail-Gateway

VPN-Gateway

Ziel:

interne Netze schützen,
wenn ein öffentlich erreichbarer Dienst kompromittiert wird.

Merksatz:

DMZ trennt öffentliche Dienste vom internen Netz.

ACL

ACL steht für:

Access Control List

Eine ACL ist eine Liste von Regeln, die Zugriff erlauben oder verweigern.

Einsatz:

Router
Switches
Firewalls
Betriebssysteme
Anwendungen

Merksatz:

ACL = Regelbasierte Zugriffskontrolle.

VLAN und Firewall zusammendenken

VLANs trennen Netzbereiche.

Firewalls regeln, welcher Verkehr zwischen diesen Bereichen erlaubt ist.

Beispiel:

Quelle Ziel Erlaubt? Grund
Client-VLAN Internet ja normaler Zugriff
Gast-VLAN internes Servernetz nein Schutz interner Daten
Admin-VLAN Management-VLAN ja Administration
Server-VLAN Datenbank-VLAN nur benötigter Port Least Privilege

Merksatz:

VLAN ohne Regeln ist nur Trennung.
Firewall macht daraus kontrollierte Sicherheit.

Typisches Fehlerbild: falsches VLAN

Symptome:

Client bekommt keine passende IP-Adresse.
Client erreicht lokale Systeme nicht.
DHCP funktioniert nicht.
Gerät ist im falschen Netz.
nur ein Switchport betroffen.

Prüfen:

Access-Port-VLAN
Trunk erlaubt VLAN?
VLAN existiert?
DHCP-Scope passt?
Switchport aktiv?
Dokumentation korrekt?

Merksatz:

Falsches VLAN führt oft zu falscher oder fehlender IP-Konfiguration.

Typisches Fehlerbild: Trunk falsch konfiguriert

Symptome:

mehrere VLANs funktionieren nicht
ein bestimmtes VLAN fehlt auf zweitem Switch
Access Points liefern falsche Netze
Hypervisor-VLANs nicht erreichbar

Prüfen:

Trunk-Port aktiv?
VLANs erlaubt?
Tagging korrekt?
Native VLAN gleich?
Gegenstelle passend konfiguriert?

Merksatz:

Trunk-Probleme betreffen oft mehrere VLANs.

Typisches Fehlerbild: Routing fehlt

Symptome:

Geräte im gleichen VLAN erreichen sich.
Geräte in anderen VLANs nicht.
Gateway erreichbar,
aber Zielnetz nicht.

Prüfen:

Routing-Tabelle
Gateway
Layer-3-Switch oder Router
Inter-VLAN-Routing
Firewall-Regeln
Rückroute

Merksatz:

Gleiches VLAN geht,
anderes Netz nicht:
Routing und Firewall prüfen.

Typisches Fehlerbild: Firewall blockiert

Symptome:

Zielhost erreichbar,
aber bestimmter Dienst nicht.
Porttest schlägt fehl.
Firewall-Log zeigt Drop oder Deny.
nach Regeländerung funktioniert Dienst nicht mehr.

Prüfen:

Quelle
Ziel
Port
Protokoll
Richtung
Zone
NAT
Regelreihenfolge
Logs

Merksatz:

Host erreichbar,
Dienst nicht:
Port,
Dienst
und Firewall prüfen.

Typisches Fehlerbild: Rückroute fehlt

Bei Kommunikation zwischen Netzen muss nicht nur der Hinweg funktionieren, sondern auch der Rückweg.

Symptom:

Anfrage geht raus,
Antwort kommt nicht zurück.

Ursachen:

Rückroute fehlt
falsches Gateway
asymmetrisches Routing
Firewall blockiert Rückverkehr
NAT falsch

Merksatz:

Netzwerkkommunikation braucht Hinweg und Rückweg.

STP kurz erklärt

STP steht für:

Spanning Tree Protocol

Aufgabe:

Schleifen auf Schicht 2 verhindern.

Warum wichtig?

Layer-2-Schleifen können Broadcast-Stürme verursachen.

Merksatz:

STP verhindert Switch-Schleifen.

Broadcast-Sturm

Ein Broadcast-Sturm entsteht, wenn Broadcasts durch Schleifen immer wieder weitergeleitet werden.

Folgen:

Netz wird langsam
Switches stark belastet
Clients verlieren Verbindung
Dienste brechen ab

Merksatz:

Layer-2-Schleifen können das Netz lahmlegen.

Port Security

Port Security begrenzt, welche oder wie viele MAC-Adressen an einem Switchport erlaubt sind.

Ziel:

unautorisierte Geräte erschweren
einfache Angriffe reduzieren
Portmissbrauch begrenzen

Merksatz:

Port Security kontrolliert MAC-Adressen am Switchport.

802.1X

802.1X ist portbasierte Netzwerkzugangskontrolle.

Prinzip:

Gerät oder Benutzer muss sich authentifizieren,
bevor Netzwerkzugriff erlaubt wird.

Typisch mit:

RADIUS

Zertifikat

Benutzerkonto

Merksatz:

802.1X prüft Zugriff vor Netzzugang.

Switching, Routing und Firewall unterscheiden

Begriff Aufgabe Typische Entscheidung
Switching Frames im LAN weiterleiten Welche MAC an welchem Port?
Routing Pakete zwischen Netzen weiterleiten Welcher nächste Hop?
Firewall Verkehr filtern Erlauben oder blockieren?

Merksatz:

Switch leitet lokal.
Router leitet zwischen Netzen.
Firewall entscheidet über Erlaubnis.

Typische Prüfungsfallen

VLAN und Subnetz gleichsetzen.

Access-Port und Trunk-Port verwechseln.

VLAN ohne Routing als netzübergreifende Verbindung verstehen.

Firewall und Router gleichsetzen.

Routing vergessen,
wenn VLANs miteinander sprechen sollen.

Firewall-Regeln ohne Richtung betrachten.

Rückroute vergessen.

Gateway außerhalb des Subnetzes eintragen.

Any-to-Any als unkritisch ansehen.

VLAN als vollständige Sicherheitsmaßnahme betrachten.

Switch nur als „Verteiler“ ohne MAC-Lernen beschreiben.

Merksatz:

Viele Fehler entstehen,
weil Trennung,
Weiterleitung
und Filterung vermischt werden.

Typische IHK-Fragen

In AP1 und AP2 kann zum Beispiel gefragt werden:

- Was macht ein Switch?
- Was ist eine MAC-Adresstabelle?
- Was bedeutet Flooding?
- Was ist ein VLAN?
- Warum setzt man VLANs ein?
- Was ist eine Broadcast-Domäne?
- Was ist der Unterschied zwischen Access-Port und Trunk-Port?
- Was bedeutet 802.1Q?
- Was ist Inter-VLAN-Routing?
- Was macht ein Router?
- Was ist eine Standardroute?
- Was bedeutet:
  spezifischste Route gewinnt?
- Was macht eine Firewall?
- Was ist Default Deny?
- Warum ist Any-to-Any kritisch?
- Was ist eine DMZ?
- Was ist STP?
- Warum kann eine Rückroute wichtig sein?

IHK-sichere Kurzformulierung

Ein Switch arbeitet hauptsächlich auf OSI-Schicht 2 und leitet Frames anhand von MAC-Adressen weiter. VLANs trennen ein physisches Netzwerk logisch in mehrere Broadcast-Domänen. Access-Ports gehören meist zu einem VLAN, Trunk-Ports transportieren mehrere VLANs mit VLAN-Tagging nach IEEE 802.1Q. Damit Geräte aus unterschiedlichen VLANs kommunizieren können, ist Inter-VLAN-Routing über Router, Layer-3-Switch oder Firewall nötig. Routing verbindet IP-Netze anhand von Routing-Tabellen. Eine Firewall filtert Verkehr anhand von Regeln wie Quelle, Ziel, Port, Protokoll und Aktion. VLANs trennen Netze, Firewalls kontrollieren den erlaubten Verkehr zwischen ihnen.

Merksätze

Switches arbeiten mit MAC-Adressen.

Switch lernt aus Quell-MAC-Adressen.

Unbekannte Ziel-MAC führt zu Flooding.

Broadcast erreicht alle Geräte im gleichen VLAN.

VLAN trennt logisch auf Schicht 2.

VLANs bilden eigene Broadcast-Domänen.

Access-Port = ein VLAN.

Trunk-Port = mehrere VLANs.

802.1Q markiert VLAN-Frames.

Access meist untagged.

Trunk meist tagged.

Managementzugänge gehören nicht ins Clientnetz.

Gast-VLAN vom internen Netz trennen.

VLAN ist keine vollständige Firewall.

Inter-VLAN-Routing verbindet VLANs gezielt.

Routing verbindet IP-Netze.

Standardroute ist 0.0.0.0/0.

Spezifischste Route gewinnt.

Gateway führt aus dem eigenen Netz.

Firewall filtert Verkehr.

Default Deny ist sicherer.

Any-to-Any ist kritisch.

Stateful Firewall kennt Verbindungen.

Stateless Firewall prüft Pakete einzeln.

DMZ trennt öffentliche Dienste.

ACL ist eine Regelliste für Zugriff.

Rückroute nicht vergessen.

STP verhindert Layer-2-Schleifen.

Broadcast-Sturm kann ein Netz lahmlegen.

Port Security kontrolliert MAC-Adressen.

802.1X prüft Netzzugang.

Switch leitet lokal.

Router leitet zwischen Netzen.

Firewall entscheidet,
ob Verkehr erlaubt ist.

19.8 Sicherheitsbegriffe und Angriffe Spickzettel

Dieser Spickzettel fasst wichtige Begriffe der IT-Sicherheit und typische Angriffe kompakt zusammen.

Er ist besonders wichtig für:

- Prüfungsaufgaben zur Informationssicherheit
- Angriffsszenarien
- Schutzmaßnahmen
- Risikoanalyse
- Sicherheitskonzepte
- Fehlersuche bei Sicherheitsvorfällen

Merksatz:

Sicherheit bedeutet:
Risiken erkennen,
Schutzziele verstehen
und passende Maßnahmen auswählen.

Grundidee der Informationssicherheit

Informationssicherheit schützt Informationen und IT-Systeme vor:

unberechtigtem Zugriff
Manipulation
Ausfall
Missbrauch
Datenverlust
Täuschung
Sabotage

Merksatz:

Informationssicherheit schützt Daten,
Systeme
Prozesse
und Zugriffe.

Die drei wichtigsten Schutzziele

Die wichtigsten Schutzziele werden oft als CIA-Triade bezeichnet.

Schutzziel Bedeutung Beispielverletzung
Vertraulichkeit Schutz vor unberechtigtem Lesen Kundendaten werden gestohlen
Integrität Schutz vor unbemerkter Veränderung Konfiguration wird manipuliert
Verfügbarkeit Systeme und Daten sind nutzbar Server ist durch DDoS nicht erreichbar

Merksatz:

CIA =
Confidentiality,
Integrity,
Availability.

Auf Deutsch:
Vertraulichkeit,
Integrität,
Verfügbarkeit.

Vertraulichkeit

Vertraulichkeit bedeutet:

Informationen dürfen nur von berechtigten Personen,
Systemen
oder Prozessen gelesen werden.

Beispiele für Verletzungen:

Datenabfluss
unberechtigter Zugriff
mitgelesene Passwörter
verlorener Laptop ohne Verschlüsselung
falsch freigegebener Cloud-Ordner

Schutzmaßnahmen:

Verschlüsselung
Rechtekonzept
MFA
Zugriffskontrolle
DLP
sichere Freigaben

Merksatz:

Vertraulichkeit schützt vor unberechtigtem Mitlesen.

Integrität

Integrität bedeutet:

Daten dürfen nicht unbemerkt verändert werden.

Beispiele für Verletzungen:

manipulierte Konfigurationsdatei
veränderte Überweisung
geänderte Logdatei
manipuliertes Softwarepaket
beschädigte Datenbank

Schutzmaßnahmen:

Hashwerte
digitale Signaturen
Rechtebegrenzung
Versionskontrolle
Logging
Vier-Augen-Prinzip

Merksatz:

Integrität schützt vor unbemerkter Veränderung.

Verfügbarkeit

Verfügbarkeit bedeutet:

Systeme,
Dienste
und Daten stehen bei Bedarf zur Verfügung.

Beispiele für Verletzungen:

Serverausfall
DDoS-Angriff
Ransomware
Stromausfall
defekte Festplatte
Netzwerkstörung

Schutzmaßnahmen:

Redundanz
Backup
Monitoring
Patchmanagement
DDoS-Schutz
Notfallplan

Merksatz:

Verfügbarkeit schützt die Nutzbarkeit.

Weitere Schutzziele

Schutzziel Bedeutung
Authentizität Echtheit einer Identität oder Nachricht
Nichtabstreitbarkeit Handlung kann später nicht glaubhaft bestritten werden
Nachvollziehbarkeit Ereignisse können geprüft und rekonstruiert werden
Zurechenbarkeit Aktionen können einer Identität zugeordnet werden

Merksatz:

Authentizität fragt:
Ist es echt?

Nichtabstreitbarkeit fragt:
Kann die Handlung nachgewiesen werden?

Authentizität

Authentizität bedeutet:

Echtheit einer Identität,
Nachricht
oder Quelle.

Beispiele:

Ist der Server wirklich der richtige Server?

Ist die E-Mail wirklich vom angegebenen Absender?

Ist der Benutzer wirklich die angemeldete Person?

Schutzmaßnahmen:

Zertifikate
digitale Signaturen
MFA
sichere Authentifizierung
DNSSEC je nach Einsatz

Merksatz:

Authentizität schützt vor Täuschung über Identität oder Herkunft.

Nichtabstreitbarkeit

Nichtabstreitbarkeit bedeutet:

Eine Handlung kann später nicht glaubhaft abgestritten werden.

Beispiele:

digitale Signatur
revisionssichere Logs
protokollierte Freigaben
signierte Dokumente

Merksatz:

Nichtabstreitbarkeit macht Handlungen nachweisbar.

Schwachstelle, Bedrohung und Risiko

Begriff Bedeutung Beispiel
Schwachstelle ausnutzbare Lücke ungepatchter Server
Bedrohung mögliches schädliches Ereignis Angreifer nutzt Lücke aus
Risiko Wahrscheinlichkeit und Auswirkung Datenverlust durch Angriff
Maßnahme reduziert Risiko Patch installieren

Merksatz:

Schwachstelle ist die Lücke.
Bedrohung ist das mögliche Ereignis.
Risiko ist die bewertete Gefahr.

Angriff

Ein Angriff ist der Versuch, eine Schwachstelle auszunutzen oder ein Schutzziel zu verletzen.

Beispiele:

Passwortangriff
Malware-Infektion
Phishing
DDoS
SQL Injection
Man-in-the-Middle

Merksatz:

Angriff = aktiver Versuch,
Schaden oder unberechtigten Zugriff zu erreichen.

Malware

Malware bedeutet:

Schadsoftware

Beispiele:

Virus
Wurm
Trojaner
Ransomware
Spyware
Keylogger
Rootkit
Botnet-Client

Merksatz:

Malware ist der Oberbegriff für Schadsoftware.

Virus

Ein Virus hängt sich an Dateien oder Programme an und verbreitet sich, wenn diese ausgeführt oder weitergegeben werden.

Merksatz:

Virus braucht meist eine Wirtsdatei oder Aktion zur Verbreitung.

Wurm

Ein Wurm verbreitet sich selbstständig über Netzwerke, ohne zwingend eine Wirtsdatei zu benötigen.

Risiko:

schnelle Ausbreitung
Netzlast
Masseninfektion

Merksatz:

Wurm verbreitet sich selbstständig.

Trojaner

Ein Trojaner tarnt sich als nützliches oder harmloses Programm, enthält aber schädliche Funktionen.

Merksatz:

Trojaner täuscht Nutzen vor.

Ransomware

Ransomware verschlüsselt oder sperrt Daten und fordert häufig Lösegeld.

Betroffene Schutzziele:

Verfügbarkeit

bei Datenabfluss zusätzlich:

Vertraulichkeit

Schutzmaßnahmen:

Offline-Backup
Immutable Backup
Patchmanagement
EDR
Segmentierung
Least Privilege
Restore-Test

Merksatz:

Ransomware betrifft vor allem Verfügbarkeit,
bei Datenabfluss auch Vertraulichkeit.

Spyware und Keylogger

Spyware:

spioniert Daten aus

Keylogger:

zeichnet Tastatureingaben auf

Ziel:

Passwörter
Zugangsdaten
vertrauliche Informationen

Merksatz:

Spyware und Keylogger gefährden besonders Vertraulichkeit.

Rootkit

Ein Rootkit versteckt Schadsoftware oder Angreiferzugriff tief im System.

Ziel:

Erkennung erschweren
dauerhaften Zugriff sichern
Spuren verbergen

Merksatz:

Rootkit versteckt Kompromittierung.

Botnet

Ein Botnet besteht aus vielen kompromittierten Geräten, die zentral gesteuert werden.

Nutzung:

DDoS
Spam
Credential Stuffing
Malware-Verteilung
Kryptomining

Merksatz:

Botnet = viele fremdgesteuerte kompromittierte Geräte.

Phishing

Phishing ist Täuschung, um vertrauliche Daten zu erhalten.

Typische Ziele:

Passwörter
MFA-Codes
Bankdaten
Zugangsdaten
interne Informationen

Kanäle:

E-Mail
SMS
Messenger
Telefon
QR-Code
gefälschte Webseiten

Merksatz:

Phishing täuscht Benutzer zur Preisgabe von Daten.

Spear Phishing

Spear Phishing ist gezieltes Phishing gegen bestimmte Personen oder Organisationen.

Merkmale:

persönlicher Bezug
glaubwürdiger Absender
Bezug auf echte Projekte
gezielte Vorbereitung

Merksatz:

Spear Phishing ist gezielter und oft glaubwürdiger.

Whaling

Whaling ist Phishing gegen besonders wichtige Personen.

Beispiele:

Geschäftsführung
Abteilungsleitung
Administratoren
Personen mit Zahlungsfreigaben

Merksatz:

Whaling zielt auf große oder besonders wertvolle Ziele.

Social Engineering

Social Engineering nutzt menschliches Verhalten, Vertrauen oder Druck aus.

Beispiele:

falscher IT-Support
dringender Anruf vom angeblichen Chef
gefälschter Lieferant
Besucher ohne Berechtigung
manipulierte E-Mail

Merksatz:

Social Engineering greift Menschen an,
nicht nur Technik.

CEO-Fraud

CEO-Fraud ist ein Betrug, bei dem sich Angreifer als Geschäftsführung oder Vorgesetzte ausgeben.

Ziel:

Zahlung auslösen
vertrauliche Daten erhalten
schnelle Entscheidung erzwingen

Merksatz:

CEO-Fraud nutzt Autorität und Zeitdruck.

Brute Force

Brute Force bedeutet:

systematisches Ausprobieren vieler Passwörter.

Schutzmaßnahmen:

starke Passwörter
Account Lockout
Rate Limiting
MFA
Monitoring
Passwortmanager

Merksatz:

Brute Force probiert viele Möglichkeiten aus.

Password Spraying

Password Spraying bedeutet:

ein häufiges Passwort wird gegen viele Konten getestet.

Beispiel:

Winter2026!

gegen viele Benutzerkonten.

Ziel:

Kontosperren vermeiden,
weil pro Konto nur wenige Versuche stattfinden.

Merksatz:

Password Spraying:
ein Passwort,
viele Konten.

Credential Stuffing

Credential Stuffing nutzt bereits geleakte Zugangsdaten.

Prinzip:

Benutzer verwenden Passwörter oft mehrfach.

Angreifer testen:

bekannte E-Mail-Passwort-Kombinationen
bei anderen Diensten.

Schutzmaßnahmen:

MFA
Passwortmanager
einzigartige Passwörter
Leak-Prüfung
Monitoring

Merksatz:

Credential Stuffing nutzt wiederverwendete Passwörter.

DoS

DoS steht für:

Denial of Service

Ziel:

Dienst überlasten
oder nicht mehr verfügbar machen

Betroffenes Schutzziel:

Verfügbarkeit

Merksatz:

DoS greift Verfügbarkeit an.

DDoS

DDoS steht für:

Distributed Denial of Service

Unterschied zu DoS:

Angriff kommt verteilt von vielen Systemen.

Häufig aus:

Botnetzen

Schutzmaßnahmen:

DDoS-Schutz
CDN
Rate Limiting
Filterung
Skalierung
Provider-Schutz

Merksatz:

DDoS = verteilter Angriff auf Verfügbarkeit.

Man-in-the-Middle

Man-in-the-Middle wird oft abgekürzt:

MitM

Dabei sitzt der Angreifer zwischen zwei Kommunikationspartnern.

Ziele:

mitlesen
verändern
umleiten
Sitzung übernehmen

Schutzmaßnahmen:

TLS
Zertifikatsprüfung
VPN
HSTS
sichere WLANs
ARP-Schutz

Merksatz:

MitM gefährdet Vertraulichkeit und Integrität.

Spoofing

Spoofing bedeutet:

Identität,
Adresse
Absender
oder Herkunft wird vorgetäuscht.

Beispiele:

IP-Spoofing
MAC-Spoofing
DNS-Spoofing
E-Mail-Spoofing
ARP-Spoofing

Merksatz:

Spoofing täuscht Herkunft oder Identität vor.

ARP-Spoofing

ARP-Spoofing manipuliert ARP-Zuordnungen im lokalen Netz.

Ziel:

Datenverkehr umleiten
Man-in-the-Middle ermöglichen
Kommunikation stören

Schutzmaßnahmen:

Dynamic ARP Inspection
Netzwerksegmentierung
Switch-Sicherheitsfunktionen
Monitoring
Verschlüsselung höherer Schichten

Merksatz:

ARP-Spoofing betrifft lokale IPv4-Kommunikation.

DNS-Spoofing

DNS-Spoofing liefert falsche DNS-Antworten.

Ziel:

Benutzer auf falsche Server umleiten

Risiken:

Phishing
Malware
Credential Theft
Man-in-the-Middle

Schutzmaßnahmen:

DNSSEC je nach Einsatz
vertrauenswürdige DNS-Server
TLS-Zertifikatsprüfung
Monitoring

Merksatz:

DNS-Spoofing manipuliert Namensauflösung.

SQL Injection

SQL Injection bedeutet:

Angreifer schleust SQL-Code in Eingaben ein.

Ziel:

Daten auslesen
Daten verändern
Anmeldung umgehen
Daten löschen

Schutzmaßnahmen:

Prepared Statements
Parametrisierung
Eingabevalidierung
Rechtebegrenzung der Datenbankkonten
Web Application Firewall
sichere Fehlerausgaben

Merksatz:

SQL Injection betrifft unsichere Datenbankabfragen.

XSS

XSS steht für:

Cross-Site Scripting

Dabei wird schädlicher Skriptcode in Webseiten eingeschleust, der im Browser anderer Benutzer ausgeführt wird.

Ziele:

Session stehlen
Benutzeraktionen manipulieren
Inhalte verändern
Phishing innerhalb einer Webseite

Schutzmaßnahmen:

Output Encoding
Eingabevalidierung
Content Security Policy
HttpOnly-Cookies
sichere Frameworks

Merksatz:

XSS greift Benutzer im Browser an.

CSRF

CSRF steht für:

Cross-Site Request Forgery

Dabei wird eine gültige Sitzung des Benutzers missbraucht, um ungewollte Aktionen auszuführen.

Beispiel:

Benutzer ist angemeldet.
Angreifer bringt ihn dazu,
eine Aktion im Hintergrund auszulösen.

Schutzmaßnahmen:

CSRF-Token
SameSite-Cookies
erneute Bestätigung kritischer Aktionen
Origin-Prüfung

Merksatz:

CSRF missbraucht eine bestehende Sitzung.

Zero-Day

Ein Zero-Day ist eine Schwachstelle, für die es noch keinen bekannten Patch gibt oder die gerade erst bekannt wurde.

Risiko:

hohe Gefahr,
weil Schutzmaßnahmen noch nicht vollständig verfügbar sind.

Merksatz:

Zero-Day = Schwachstelle ohne fertige Standardlösung.

Supply-Chain-Angriff

Ein Supply-Chain-Angriff zielt auf Lieferkette, Softwareabhängigkeiten oder Dienstleister.

Beispiele:

kompromittiertes Update
manipuliertes Paket
unsicherer Dienstleisterzugang
kompromittierte Bibliothek

Schutzmaßnahmen:

Signaturprüfung
SBOM
Dependency-Scanning
Lieferantenprüfung
Least Privilege für Dienstleister
Monitoring

Merksatz:

Supply-Chain-Angriff kommt über Abhängigkeiten.

Insider Threat

Insider Threat bedeutet:

Gefahr durch Personen innerhalb der Organisation
oder mit berechtigtem Zugriff.

Beispiele:

absichtlicher Datenabfluss
fahrlässige Fehlkonfiguration
Missbrauch von Adminrechten
unbemerkter Zugriff nach Rollenwechsel

Schutzmaßnahmen:

Least Privilege
Rechteprüfung
Vier-Augen-Prinzip
Logging
Trennung von Aufgaben
Offboarding

Merksatz:

Insider haben bereits Zugriff,
deshalb sind Rechte und Logs wichtig.

Technische Schutzmaßnahmen

Beispiele:

Firewall
IDS
IPS
EDR
Antivirus
Verschlüsselung
MFA
Backup
Netzwerksegmentierung
Patchmanagement
Hardening
SIEM

Merksatz:

Technische Maßnahmen wirken direkt auf Systeme und Daten.

Organisatorische Schutzmaßnahmen

Beispiele:

Sicherheitsrichtlinien
Berechtigungskonzept
Notfallplan
Change Management
Vier-Augen-Prinzip
Schulungskonzept
Incident-Response-Prozess
Rollen und Verantwortlichkeiten

Merksatz:

Organisatorische Maßnahmen regeln Abläufe und Verantwortung.

Personelle Schutzmaßnahmen

Beispiele:

Schulungen
Awareness
Rollenklärung
Verpflichtung auf Vertraulichkeit
Hintergrundprüfungen je nach Rolle
Sensibilisierung für Phishing

Merksatz:

Personelle Maßnahmen betreffen Menschen und Verhalten.

Physische Schutzmaßnahmen

Beispiele:

Zutrittskontrolle
Serverraum abschließen
Brandmeldeanlage
USV
Klimatisierung
Diebstahlschutz
Videoüberwachung je nach Rechtslage

Merksatz:

Physische Sicherheit schützt Räume,
Geräte
und Infrastruktur.

Defense in Depth

Defense in Depth bedeutet:

Sicherheit durch mehrere Schutzschichten.

Beispiele:

Firewall
Segmentierung
MFA
EDR
Logging
Backup
Schulung
Patchmanagement

Merksatz:

Nicht eine Maßnahme allein,
sondern mehrere Schichten schützen besser.

Least Privilege

Least Privilege bedeutet:

Benutzer,
Dienste
und Prozesse erhalten nur die Rechte,
die sie wirklich benötigen.

Ziel:

Schaden bei Fehlern oder Angriffen begrenzen.

Merksatz:

So wenig Rechte wie möglich,
so viele wie nötig.

Zero Trust

Zero Trust bedeutet:

keinem Zugriff automatisch vertrauen.

Grundidee:

Identität prüfen
Gerät prüfen
Kontext prüfen
Zugriff begrenzen
kontinuierlich überwachen

Merksatz:

Zero Trust heißt:
Vertrauen wird geprüft,
nicht vorausgesetzt.

MFA

MFA steht für:

Multi-Faktor-Authentifizierung

Dabei werden mehrere Faktoren kombiniert.

Faktoren:

Wissen:
Passwort

Besitz:
Token,
Smartphone,
Smartcard

Sein:
biometrisches Merkmal

Merksatz:

MFA sorgt dafür,
dass ein Passwort allein nicht reicht.

IDS und IPS

System Bedeutung Aufgabe
IDS Intrusion Detection System erkennt und meldet Angriffe
IPS Intrusion Prevention System erkennt und blockiert Angriffe

Merksatz:

IDS meldet.
IPS blockiert zusätzlich.

EDR

EDR steht für:

Endpoint Detection and Response

Aufgabe:

Endgeräte überwachen
verdächtiges Verhalten erkennen
Reaktion ermöglichen
Angriffe analysieren

Merksatz:

EDR schützt und überwacht Endgeräte.

SIEM

SIEM steht für:

Security Information and Event Management

Aufgabe:

Logs sammeln
Sicherheitsereignisse korrelieren
Alarme erzeugen
Vorfälle analysieren
Nachvollziehbarkeit verbessern

Merksatz:

SIEM verbindet Sicherheitsereignisse aus vielen Quellen.

Patchmanagement

Patchmanagement sorgt dafür, dass Sicherheitsupdates geplant, getestet und eingespielt werden.

Ziel:

bekannte Schwachstellen schließen

Merksatz:

Patchmanagement reduziert bekannte Risiken.

Hardening

Hardening bedeutet:

Systeme sicherer konfigurieren,
indem unnötige Funktionen entfernt oder eingeschränkt werden.

Beispiele:

unnötige Dienste deaktivieren
Standardpasswörter ändern
sichere Protokolle verwenden
unsichere Ports schließen
Rechte begrenzen
Logging aktivieren

Merksatz:

Hardening verringert die Angriffsfläche.

Backup als Sicherheitsmaßnahme

Backup schützt besonders gegen:

Datenverlust
Ransomware
Fehlkonfiguration
versehentliche Löschung
Hardwaredefekt

Wichtig:

Restore-Test
Offline-Backup
Immutable Backup
Zugriffsschutz
Verschlüsselung

Merksatz:

Backup ist Wiederherstellungsvorsorge.

Angriffe und Schutzziele zuordnen

Angriff Betroffenes Schutzziel
Datenabfluss Vertraulichkeit
Manipulation Integrität
DDoS Verfügbarkeit
Ransomware Verfügbarkeit, eventuell Vertraulichkeit
Man-in-the-Middle Vertraulichkeit und Integrität
Phishing Authentizität, Vertraulichkeit
Spoofing Authentizität
Logmanipulation Integrität und Nachvollziehbarkeit

Merksatz:

Erst Schutzziel erkennen,
dann passende Maßnahme nennen.

Risiko und Maßnahme zuordnen

Risiko passende Maßnahme
gestohlenes Passwort MFA
zu viele Rechte Least Privilege
Malware EDR, Patchmanagement
Ransomware Backup, Segmentierung, Immutable Backup
DDoS DDoS-Schutz, CDN, Rate Limiting
Datenabfluss Verschlüsselung, DLP, Rechtekonzept
unsichere Freigaben Rechteprüfung, Ablaufdatum, Logging
Fehlkonfiguration Change Management, Vier-Augen-Prinzip
unklare Sicherheitsvorfälle Logging, SIEM, Monitoring
Phishing Awareness, Mailfilter, MFA

Merksatz:

Maßnahme muss direkt zum Risiko passen.

Typische Prüfungsfallen

Vertraulichkeit,
Integrität
und Verfügbarkeit verwechseln.

Schwachstelle,
Bedrohung
und Risiko gleichsetzen.

Phishing nur als technisches Problem sehen.

Ransomware nur als Vertraulichkeitsproblem sehen.

DDoS nicht der Verfügbarkeit zuordnen.

IDS und IPS verwechseln.

MFA als Ersatz für Rechtekonzept verstehen.

Backup als Schutz vor Angriff statt Wiederherstellungsvorsorge beschreiben.

Zero Trust als einzelnes Produkt verstehen.

Hardening und Patchmanagement verwechseln.

Brute Force und Credential Stuffing verwechseln.

Merksatz:

Sicherheitsaufgaben prüfen oft saubere Begriffsabgrenzung.

Typische IHK-Fragen

In AP1 und AP2 kann zum Beispiel gefragt werden:

- Was bedeutet Vertraulichkeit?
- Was bedeutet Integrität?
- Was bedeutet Verfügbarkeit?
- Was ist der Unterschied zwischen Schwachstelle,
  Bedrohung
  und Risiko?
- Was ist Malware?
- Was ist Ransomware?
- Was ist Phishing?
- Was ist Social Engineering?
- Was ist ein DDoS-Angriff?
- Was ist Man-in-the-Middle?
- Was ist Spoofing?
- Was ist SQL Injection?
- Was ist XSS?
- Was ist CSRF?
- Was ist MFA?
- Was ist Least Privilege?
- Was ist der Unterschied zwischen IDS und IPS?
- Was ist SIEM?
- Was ist Hardening?
- Warum ist Backup bei Ransomware wichtig?

IHK-sichere Kurzformulierung

Informationssicherheit schützt die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit. Vertraulichkeit schützt vor unberechtigtem Lesen, Integrität vor unbemerkter Veränderung und Verfügbarkeit vor Ausfall oder Nichtnutzbarkeit. Eine Schwachstelle ist eine ausnutzbare Lücke, eine Bedrohung ein mögliches schädliches Ereignis und ein Risiko die bewertete Kombination aus Eintrittswahrscheinlichkeit und Auswirkung. Typische Angriffe sind Malware, Ransomware, Phishing, Social Engineering, DDoS, Man-in-the-Middle, Spoofing, SQL Injection, XSS und CSRF. Passende Schutzmaßnahmen sind unter anderem MFA, Least Privilege, Patchmanagement, Hardening, Firewall, IDS, IPS, EDR, SIEM, Backup, Segmentierung und Schulung.

Merksätze

Sicherheit schützt Schutzziele.

CIA bedeutet Vertraulichkeit,
Integrität
und Verfügbarkeit.

Vertraulichkeit schützt vor Mitlesen.

Integrität schützt vor Manipulation.

Verfügbarkeit schützt Nutzbarkeit.

Authentizität schützt Echtheit.

Nichtabstreitbarkeit macht Handlungen nachweisbar.

Schwachstelle ist die Lücke.

Bedrohung ist das mögliche Ereignis.

Risiko ist die bewertete Gefahr.

Maßnahme reduziert Risiko.

Malware ist Schadsoftware.

Virus braucht meist eine Wirtsdatei.

Wurm verbreitet sich selbstständig.

Trojaner täuscht Nutzen vor.

Ransomware verschlüsselt oder sperrt Daten.

Phishing täuscht Benutzer.

Social Engineering greift Menschen an.

Brute Force probiert viele Passwörter.

Password Spraying:
ein Passwort,
viele Konten.

Credential Stuffing nutzt geleakte Zugangsdaten.

DoS greift Verfügbarkeit an.

DDoS ist verteilter DoS.

MitM sitzt zwischen Kommunikationspartnern.

Spoofing täuscht Identität oder Herkunft vor.

SQL Injection betrifft Datenbankabfragen.

XSS betrifft Browser anderer Benutzer.

CSRF missbraucht eine gültige Sitzung.

Zero-Day ist eine neue oder ungepatchte Schwachstelle.

Supply-Chain-Angriff kommt über Abhängigkeiten.

Insider Threat kommt von innen oder mit berechtigtem Zugriff.

MFA schützt gegen Passwortmissbrauch.

Least Privilege begrenzt Rechte.

IDS meldet.

IPS blockiert zusätzlich.

EDR schützt Endgeräte.

SIEM korreliert Sicherheitsereignisse.

Patchmanagement schließt bekannte Lücken.

Hardening verringert Angriffsfläche.

Backup ist Wiederherstellungsvorsorge.

Defense in Depth nutzt mehrere Schutzschichten.

Zero Trust prüft Vertrauen kontinuierlich.

Maßnahme muss zum Risiko passen.

19.9 Backup, Restore, RPO und RTO Spickzettel

Dieser Spickzettel fasst die wichtigsten Begriffe rund um Datensicherung, Wiederherstellung und Notfallplanung kompakt zusammen.

Er ist besonders wichtig für:

- Backup-Konzepte
- Restore-Aufgaben
- Ransomware-Schutz
- Notfallplanung
- Verfügbarkeitsanforderungen
- Prüfungsfragen zu RPO und RTO

Merksatz:

Backup ist die Sicherung.
Restore ist die Wiederherstellung.

Grundübersicht

Begriff Bedeutung
Backup Sicherung von Daten, Systemen oder Konfigurationen
Restore Wiederherstellung aus einer Sicherung
RPO maximal akzeptabler Datenverlust
RTO maximal akzeptable Wiederherstellungszeit
Retention Aufbewahrungsregel für Backups
Restore-Test Prüfung, ob Wiederherstellung funktioniert
3-2-1-Regel Grundregel für mehrere Backup-Kopien
Immutable Backup unveränderliches Backup
Offline-Backup nicht dauerhaft verbundenes Backup

Merksatz:

Ein Backup ist nur dann wertvoll,
wenn der Restore funktioniert.

Backup kurz erklärt

Backup bedeutet:

Daten,
Systeme,
Anwendungen
oder Konfigurationen werden gesichert,
damit sie später wiederhergestellt werden können.

Typische Sicherungsobjekte:

Dateien
Datenbanken
virtuelle Maschinen
Server
Konfigurationen
Benutzerprofile
Cloud-Daten
Anwendungen
Systemeinstellungen

Merksatz:

Backup schützt nicht direkt vor Fehlern,
aber ermöglicht Wiederherstellung.

Restore kurz erklärt

Restore bedeutet:

Wiederherstellung von Daten,
Systemen
oder Konfigurationen aus einem Backup.

Beispiele:

gelöschte Datei wiederherstellen

Datenbank auf früheren Zustand zurücksetzen

Server nach Defekt wiederherstellen

Konfiguration nach Fehler zurückspielen

Merksatz:

Restore ist der eigentliche Beweis,
dass ein Backup brauchbar ist.

Backup und Restore unterscheiden

Begriff Frage Ziel
Backup Was wird gesichert? Datenverlust vorbeugen
Restore Wie wird wiederhergestellt? Betrieb wiederherstellen

Merksatz:

Backup ist Vorbereitung.
Restore ist Wiederherstellung im Ernstfall.

Warum Restore-Tests wichtig sind

Ein Restore-Test prüft, ob ein Backup wirklich nutzbar ist.

Zu prüfen:

Daten vollständig?
Dateien lesbar?
Datenbank konsistent?
Anwendung startet?
Rechte korrekt?
Schlüssel vorhanden?
Wiederherstellungszeit akzeptabel?
Dokumentation korrekt?

Merksatz:

Backup ohne Restore-Test ist unsicher.

Typische Backup-Arten

Backup-Art Bedeutung Vorteil Nachteil
Vollbackup sichert alle ausgewählten Daten einfache Wiederherstellung viel Speicher und Zeit
inkrementelles Backup sichert Änderungen seit letztem Backup schnell, wenig Speicher Restore braucht Backup-Kette
differenzielles Backup sichert Änderungen seit letztem Vollbackup Restore einfacher als inkrementell wächst bis zum nächsten Vollbackup
Snapshot Momentaufnahme schnelle Rückkehr möglich ersetzt kein vollständiges Backup
Image-Backup vollständiges Systemabbild komplettes System wiederherstellbar größerer Speicherbedarf
dateibasiertes Backup ausgewählte Dateien und Ordner gezielt und flexibel kein komplettes Systemabbild

Merksatz:

Backup-Art nach Wiederherstellungsziel auswählen.

Vollbackup

Ein Vollbackup sichert alle ausgewählten Daten vollständig.

Vorteile:

einfache Wiederherstellung
weniger Abhängigkeiten
vollständiger Sicherungsstand

Nachteile:

benötigt viel Speicherplatz
dauert länger
erzeugt mehr Last

Merksatz:

Vollbackup sichert alles,
braucht aber mehr Speicher und Zeit.

Inkrementelles Backup

Ein inkrementelles Backup sichert nur Änderungen seit dem letzten Backup.

Das letzte Backup kann sein:

Vollbackup

oder

inkrementelles Backup

Vorteile:

schnell
spart Speicherplatz

Nachteile:

Wiederherstellung braucht mehrere Sicherungen
Backup-Kette darf nicht beschädigt sein

Merksatz:

Inkrementell = Änderungen seit letztem Backup.

Differenzielles Backup

Ein differenzielles Backup sichert Änderungen seit dem letzten Vollbackup.

Vorteile:

Restore einfacher als bei langer inkrementeller Kette
weniger Speicher als tägliches Vollbackup

Nachteile:

wird bis zum nächsten Vollbackup immer größer

Merksatz:

Differenziell = Änderungen seit letztem Vollbackup.

Snapshot

Ein Snapshot ist eine Momentaufnahme eines Systems, Datenträgers, Dateisystems oder einer virtuellen Maschine.

Typische Nutzung:

vor Updates
vor Konfigurationsänderungen
vor Tests
vor Softwareinstallationen

Wichtig:

Snapshot ist nicht automatisch ein vollwertiges Backup.

Merksatz:

Snapshot hilft bei schneller Rückkehr,
ersetzt aber kein Backup-Konzept.

Warum Snapshot kein Backup ersetzt

Snapshots liegen oft auf demselben System oder Speicher wie die Produktivdaten.

Risiken:

Speicherdefekt betrifft Snapshot ebenfalls
Ransomware kann Snapshot erreichen
Snapshot kann gelöscht werden
Snapshot-Kette kann beschädigt werden
Speicherplatz kann volllaufen
Standortausfall betrifft alles gemeinsam

Merksatz:

Backup muss getrennt,
geschützt
und wiederherstellbar sein.

Image-Backup

Ein Image-Backup sichert ein komplettes Systemabbild.

Enthalten sein können:

Betriebssystem
Anwendungen
Konfiguration
Dateien
Bootinformationen

Vorteil:

gesamtes System kann wiederhergestellt werden

Merksatz:

Image-Backup = komplettes Systemabbild.

Dateibasiertes Backup

Ein dateibasiertes Backup sichert ausgewählte Dateien oder Ordner.

Geeignet für:

Dokumente
Benutzerdateien
Projektdaten
Konfigurationsdateien
Exporte
einzelne Verzeichnisse

Merksatz:

Dateibasiertes Backup sichert gezielt ausgewählte Inhalte.

Datenbank-Backup

Datenbanken brauchen besondere Sicherungsverfahren.

Wichtig:

Konsistenz
laufende Transaktionen
Schreibzugriffe
Transaktionslogs
Zeitpunkt der Sicherung
Wiederherstellbarkeit

Merksatz:

Datenbanken nicht einfach blind als Datei kopieren.

Konsistentes Backup

Ein konsistentes Backup stellt sicher, dass Daten in einem gültigen Zustand gesichert werden.

Beispiel:

Eine Datenbank darf nicht mitten in einer unvollständigen Transaktion unsauber kopiert werden.

Mögliche Verfahren:

Datenbankdump
Backup-Agent
Anwendungskonsistenter Snapshot
Transaktionslogs
Wartungsfenster

Merksatz:

Konsistenz ist besonders bei Datenbanken wichtig.

Point-in-Time-Recovery

Point-in-Time-Recovery bedeutet:

Wiederherstellung auf einen bestimmten Zeitpunkt.

Beispiel:

Datenbank auf Zustand von 10:15 Uhr zurücksetzen.

Nützlich bei:

versehentlichem Löschen
fehlerhaftem Import
beschädigten Daten
falscher Änderung

Merksatz:

Point-in-Time-Recovery stellt gezielt einen früheren Zeitpunkt wieder her.

RPO

RPO steht für:

Recovery Point Objective

Frage:

Wie viel Datenverlust ist maximal akzeptabel?

Beispiel:

RPO 1 Stunde

Bedeutung:

Es dürfen höchstens Daten von einer Stunde verloren gehen.

Merksatz:

RPO = maximal akzeptabler Datenverlust.

RTO

RTO steht für:

Recovery Time Objective

Frage:

Wie lange darf die Wiederherstellung dauern?

Beispiel:

RTO 4 Stunden

Bedeutung:

Der Dienst soll spätestens nach 4 Stunden wieder laufen.

Merksatz:

RTO = maximal akzeptable Wiederherstellungszeit.

RPO und RTO vergleichen

Begriff Frage Beispiel
RPO Wie viel Datenverlust ist erlaubt? maximal 1 Stunde Datenverlust
RTO Wie lange darf Wiederherstellung dauern? System läuft nach spätestens 4 Stunden

Merksatz:

RPO betrifft Datenverlust.
RTO betrifft Zeit bis Wiederherstellung.

RPO und Backup-Frequenz

Je kleiner das RPO, desto häufiger muss gesichert werden.

Beispiel:

RPO mögliche Backup-Frequenz
24 Stunden tägliches Backup
1 Stunde stündliches Backup oder kontinuierliche Sicherung
wenige Minuten Replikation plus Backup-Konzept oder spezielle Lösung

Merksatz:

Backup-Frequenz muss zum RPO passen.

RTO und Wiederherstellung

Das RTO hängt ab von:

Backup-Größe
Restore-Geschwindigkeit
Netzwerkgeschwindigkeit
Speicherleistung
Systemkomplexität
Abhängigkeiten
Personal
Dokumentation
Tests

Merksatz:

RTO wird nicht nur durch Backup bestimmt,
sondern durch den gesamten Wiederherstellungsprozess.

Retention

Retention bedeutet:

Aufbewahrungsregel für Backups.

Beispiele:

tägliche Backups 14 Tage behalten

wöchentliche Backups 8 Wochen behalten

monatliche Backups 12 Monate behalten

Merksatz:

Retention regelt,
wie lange Backups behalten werden.

Aufbewahrungszeit

Die Aufbewahrungszeit hängt ab von:

gesetzlichen Vorgaben
internen Regeln
Speicherplatz
Datenschutz
Wiederherstellungsbedarf
Kosten
Risiko später entdeckter Fehler

Merksatz:

Backups müssen lange genug,
aber nicht unbegrenzt ohne Grund aufbewahrt werden.

Großvater-Vater-Sohn-Prinzip

Das Großvater-Vater-Sohn-Prinzip ist ein Rotationsschema.

Typisch:

Sohn:
tägliche Sicherung

Vater:
wöchentliche Sicherung

Großvater:
monatliche Sicherung

Merksatz:

Großvater-Vater-Sohn kombiniert tägliche,
wöchentliche
und monatliche Backups.

3-2-1-Regel

Die 3-2-1-Regel lautet:

3 Kopien der Daten

2 unterschiedliche Speicherarten

1 Kopie extern oder getrennt

Beispiel:

Produktivdaten

Backup auf NAS

zusätzliches Backup extern oder in Cloud

Merksatz:

3-2-1 reduziert das Risiko,
dass alle Kopien gleichzeitig verloren gehen.

3-2-1-1-0-Regel

Erweiterte Variante:

3 Kopien

2 unterschiedliche Medien

1 Kopie extern

1 Kopie offline oder immutable

0 Fehler bei Restore-Tests

Merksatz:

Die 0 steht für fehlerfrei getestete Wiederherstellung.

Offline-Backup

Ein Offline-Backup ist nicht dauerhaft mit dem Produktivsystem verbunden.

Beispiele:

getrennte Festplatte
Band
ausgelagertes Medium
abgeschottetes Backup-System

Vorteil:

besserer Schutz gegen Ransomware und versehentliche Löschung

Merksatz:

Offline-Backup ist nicht dauerhaft erreichbar.

Immutable Backup

Immutable bedeutet:

unveränderlich

Ein Immutable Backup kann für eine festgelegte Zeit nicht verändert oder gelöscht werden.

Schützt gegen:

Ransomware
Manipulation
versehentliche Löschung
kompromittierte Adminzugänge

Merksatz:

Immutable Backup schützt die Wiederherstellungsmöglichkeit.

Backup-Verschlüsselung

Backups sollten verschlüsselt werden, besonders bei sensiblen Daten oder externer Speicherung.

Wichtig:

Schlüssel sicher aufbewahren
Zugriff begrenzen
Wiederherstellung mit Schlüssel testen
Schlüsselverlust vermeiden

Merksatz:

Verschlüsseltes Backup ist nur nutzbar,
wenn der Schlüssel verfügbar ist.

Backup-Zugriffsrechte

Backups enthalten oft besonders viele Daten.

Deshalb müssen Zugriffe streng begrenzt werden.

Wichtig:

keine normalen Benutzerrechte auf Backup-Speicher
getrennte Adminrechte
MFA für Backup-Konsole
keine unnötigen Löschrechte
Dienstkonten rechtearm halten
Zugriff protokollieren

Merksatz:

Backups brauchen starken Zugriffsschutz.

Backup und Ransomware

Ransomware versucht häufig, Backups zu löschen oder zu verschlüsseln.

Schutzmaßnahmen:

Offline-Backup
Immutable Backup
getrennte Zugangsdaten
getrenntes Backupnetz
MFA
Monitoring
Restore-Test
Rechtebegrenzung

Merksatz:

Backups müssen auch vor Angreifern geschützt werden.

Backup-Monitoring

Backup-Monitoring prüft, ob Sicherungen erfolgreich laufen.

Zu überwachen:

letzter erfolgreicher Backup-Lauf
Fehlermeldungen
Datenmenge
Laufzeit
Speicherplatz
Aufbewahrung
Verschlüsselung
Restore-Test
ungewöhnliche Löschungen

Merksatz:

Ein fehlgeschlagenes Backup muss auffallen,
bevor ein Restore benötigt wird.

Backup-Logs

Backup-Logs zeigen, was bei einer Sicherung passiert ist.

Zu prüfen:

Startzeit
Endzeit
Erfolg oder Fehler
gesicherte Datenmenge
übersprungene Dateien
Warnungen
Zielsystem
Speicherplatz
Berechtigungsfehler

Merksatz:

Backup-Logs regelmäßig prüfen.

Redundanz

Redundanz bedeutet:

wichtige Komponenten sind mehrfach vorhanden.

Beispiele:

zwei Netzteile
RAID
mehrere Server
mehrere Internetleitungen
Cluster
zweite Firewall

Ziel:

Ausfall vermeiden oder abfedern

Merksatz:

Redundanz erhöht Verfügbarkeit,
ersetzt aber kein Backup.

Replikation

Replikation bedeutet:

Daten werden auf ein anderes System kopiert,
oft nahezu aktuell.

Vorteile:

schnelle Umschaltung
aktuelle Kopie
höhere Verfügbarkeit

Risiko:

Fehler,
Löschung
oder Ransomware können mitrepliziert werden.

Merksatz:

Replikation ist kein Backup.

Synchronisation

Synchronisation bedeutet:

Daten werden zwischen Speicherorten abgeglichen.

Problem:

Löschung,
Fehler
oder Verschlüsselung können mitsynchronisiert werden.

Merksatz:

Synchronisation hält Daten gleich,
stellt aber nicht automatisch alte Stände wieder her.

Backup, Redundanz, Replikation und Synchronisation vergleichen

Begriff Ziel Ersetzt Backup?
Backup alte Zustände wiederherstellen ja, ist Backup
Redundanz Ausfall abfedern nein
Replikation aktuelle Kopie bereitstellen nein
Synchronisation Datenstände abgleichen nein

Merksatz:

Redundanz,
Replikation
und Synchronisation ersetzen kein Backup.

Notfallhandbuch

Ein Notfallhandbuch beschreibt, was bei schweren Störungen zu tun ist.

Inhalte:

Ansprechpartner
Systeme
Prioritäten
Wiederherstellungsreihenfolge
Backup-Orte
Restore-Anleitungen
Zugangsdatenablage
Kommunikationswege
Eskalationswege

Merksatz:

Im Notfall darf nicht erst gesucht werden,
wer was weiß.

Restore-Reihenfolge

Bei Wiederherstellung ist die Reihenfolge wichtig.

Beispiel:

Netzwerk

Verzeichnisdienst

Speicher

Datenbank

Anwendung

Benutzerzugriff

Merksatz:

Restore braucht Reihenfolge,
weil Systeme voneinander abhängen.

Business Continuity

Business Continuity bedeutet:

Geschäftsprozesse sollen trotz Störung weiterlaufen
oder schnell wieder anlaufen.

Dazu gehören:

Notfallplanung
Ersatzprozesse
Kommunikation
Verantwortlichkeiten
Wiederanlauf
Tests

Merksatz:

Business Continuity betrachtet den Betrieb insgesamt.

Disaster Recovery

Disaster Recovery beschreibt:

Wiederherstellung der IT nach schweren Störungen.

Beispiele:

Ransomware
Brand
Rechenzentrumsausfall
Hardwaredefekt
Cloud-Ausfall
massiver Datenverlust

Merksatz:

Disaster Recovery ist IT-Wiederherstellung nach schwerem Vorfall.

Failover

Failover bedeutet:

Ein Dienst wird bei Ausfall auf ein Ersatzsystem umgeschaltet.

Möglich:

automatisch

oder

manuell

Beispiele:

zweite Firewall übernimmt
Datenbank-Replikat wird aktiv
anderer Server übernimmt Dienst

Merksatz:

Failover reduziert Ausfallzeit,
ersetzt aber kein Backup.

Typische Fehlerbilder

Fehlerbild Wahrscheinliche Ursache
Backup angeblich erfolgreich, Restore geht nicht Restore nie getestet
Backupziel voll Speicherplatz oder Retention falsch
Datenbank nach Restore beschädigt kein konsistentes Datenbank-Backup
Ransomware verschlüsselt Backups mit Backup online und beschreibbar
Backup nicht lesbar Medium defekt oder Datei beschädigt
verschlüsseltes Backup nicht nutzbar Schlüssel fehlt
Restore dauert zu lange RTO nicht realistisch geprüft
zu viel Datenverlust RPO nicht eingehalten
alte Datei fehlt Retention zu kurz
Dienst startet nach Restore nicht Abhängigkeiten vergessen

Merksatz:

Backup-Probleme fallen oft erst beim Restore auf.

Typische Prüfungsfallen

Backup und Restore verwechseln.

Backup ohne Restore-Test als sicher ansehen.

Snapshot als vollständiges Backup bezeichnen.

Replikation als Backup bezeichnen.

Synchronisation als Backup bezeichnen.

Redundanz als Backup bezeichnen.

RPO und RTO verwechseln.

Retention mit RPO verwechseln.

Datenbankdateien ohne Konsistenz sichern.

Backup-Verschlüsselung ohne Schlüsselverwaltung planen.

Ransomware-Schutz für Backups vergessen.

Notfallhandbuch nicht berücksichtigen.

Merksatz:

In Prüfungen wird oft gefragt,
was kein Backup ersetzt.

Typische IHK-Fragen

In AP1 und AP2 kann zum Beispiel gefragt werden:

- Was ist ein Backup?
- Was ist ein Restore?
- Warum ist ein Restore-Test wichtig?
- Was ist ein Vollbackup?
- Was ist ein inkrementelles Backup?
- Was ist ein differenzielles Backup?
- Was ist ein Snapshot?
- Warum ersetzt ein Snapshot kein Backup?
- Was bedeutet RPO?
- Was bedeutet RTO?
- Was ist Retention?
- Was bedeutet die 3-2-1-Regel?
- Was ist ein Immutable Backup?
- Warum ist ein Offline-Backup sinnvoll?
- Warum ist Replikation kein Backup?
- Warum ist Synchronisation kein Backup?
- Warum ersetzt Redundanz kein Backup?
- Was ist Disaster Recovery?
- Was ist Business Continuity?
- Warum müssen Backups gegen Ransomware geschützt werden?

IHK-sichere Kurzformulierung

Ein Backup ist eine Sicherung von Daten, Systemen oder Konfigurationen. Restore bezeichnet die Wiederherstellung aus dieser Sicherung. Ein Backup ist nur zuverlässig, wenn die Wiederherstellung regelmäßig getestet wird. Vollbackups sichern alle ausgewählten Daten, inkrementelle Backups sichern Änderungen seit dem letzten Backup und differenzielle Backups sichern Änderungen seit dem letzten Vollbackup. RPO beschreibt den maximal akzeptablen Datenverlust, RTO die maximal akzeptable Wiederherstellungszeit. Backups sollten nach geeigneten Regeln aufbewahrt, überwacht, geschützt, verschlüsselt und durch Offline- oder Immutable-Kopien gegen Ransomware abgesichert werden. Replikation, Synchronisation, Redundanz und Snapshots ersetzen kein vollständiges Backup-Konzept.

Merksätze

Backup = Sicherung.

Restore = Wiederherstellung.

Backup ohne Restore-Test ist unsicher.

Vollbackup sichert alles.

Inkrementell sichert seit letztem Backup.

Differenziell sichert seit letztem Vollbackup.

Snapshot ist Momentaufnahme.

Snapshot ersetzt kein vollständiges Backup.

Image-Backup sichert ein Systemabbild.

Datenbank-Backups müssen konsistent sein.

Point-in-Time-Recovery stellt einen Zeitpunkt wieder her.

RPO = Datenverlust.

RTO = Wiederherstellungszeit.

Retention = Aufbewahrungsregel.

Backup-Frequenz muss zum RPO passen.

Restore-Prozess muss zum RTO passen.

3-2-1 reduziert Gesamtrisiko.

3-2-1-1-0 ergänzt Offline oder Immutable und fehlerfreie Restore-Tests.

Offline-Backup ist nicht dauerhaft verbunden.

Immutable Backup ist unveränderlich.

Verschlüsseltes Backup braucht Schlüssel.

Backups brauchen starke Rechtebegrenzung.

Backups müssen vor Ransomware geschützt werden.

Backup-Monitoring ist Pflicht.

Backup-Logs regelmäßig prüfen.

Redundanz ist kein Backup.

Replikation ist kein Backup.

Synchronisation ist kein Backup.

Failover ist kein Backup.

Notfallhandbuch hilft im Ernstfall.

Restore braucht Reihenfolge.

Business Continuity betrachtet Geschäftsprozesse.

Disaster Recovery betrachtet IT-Wiederherstellung.

Im Notfall zählt nicht nur,
ob ein Backup existiert,
sondern ob es schnell und korrekt wiederhergestellt werden kann.

19.10. Admin-Befehle und Fehlersuche Spickzettel

Dieser Spickzettel fasst wichtige Befehle und Werkzeuge für Netzwerkadministration, Systemprüfung und Fehlersuche kompakt zusammen.

Er ist besonders wichtig für:

- IP-Konfiguration prüfen
- DNS prüfen
- Routing prüfen
- Ports prüfen
- Dienste prüfen
- Logs prüfen
- Erreichbarkeit testen
- Fehler systematisch eingrenzen

Merksatz:

Befehle liefern Fakten,
keine Vermutungen.

Grundidee der Fehlersuche

Bei Netzwerkproblemen immer systematisch prüfen.

Sinnvolle Reihenfolge:

1. physische Verbindung

2. IP-Konfiguration

3. Gateway

4. DNS

5. Routing

6. Firewall

7. Port

8. Dienst

9. Anwendung

10. Logs

Merksatz:

Erst Verbindung,
dann Adresse,
dann Dienst,
dann Anwendung.

Windows- und Linux-Werkzeuge im Überblick

Aufgabe Windows Linux/macOS
IP-Konfiguration anzeigen ipconfig ip addr
detaillierte IP-Konfiguration ipconfig /all ip addr, ip link
Routing anzeigen route print ip route
DNS prüfen nslookup dig, nslookup
Erreichbarkeit prüfen ping ping
Weg zum Ziel prüfen tracert traceroute
Verbindungen anzeigen netstat ss, netstat
Ports prüfen netstat, PowerShell ss, netstat
Webdienst prüfen PowerShell, Browser curl
Dienste prüfen services.msc, sc, PowerShell systemctl
Logs prüfen Ereignisanzeige journalctl
Prozesse prüfen Task-Manager, tasklist ps, top
Speicherplatz prüfen Explorer, PowerShell df, du
Benutzer prüfen whoami whoami, id

Merksatz:

Gleiche Aufgabe,
anderes Werkzeug je nach Betriebssystem.

IP-Konfiguration prüfen

Windows:

ipconfig

ipconfig /all

Linux/macOS:

Wichtige Angaben:

IP-Adresse
Subnetzmaske oder Präfix
Standardgateway
DNS-Server
MAC-Adresse
DHCP aktiviert ja oder nein
Lease-Informationen
Interface-Status

Merksatz:

IP,
Maske,
Gateway
und DNS immer zusammen prüfen.

ipconfig

ipconfig zeigt unter Windows die IP-Konfiguration.

Wichtige Ausgaben:

IPv4-Adresse
Subnetzmaske
Standardgateway

Mit:

ipconfig /all

sieht man zusätzlich:

DNS-Server
DHCP-Status
MAC-Adresse
Lease-Zeiten
Adapterdetails

Merksatz:

ipconfig /all zeigt die wichtigen Details.

ip addr

ip addr zeigt unter Linux die IP-Adressen der Netzwerkschnittstellen.

Wichtige Punkte:

Interface-Name
IPv4-Adresse
IPv6-Adresse
Präfix
Status
MAC-Adresse

Beispiele für Interface-Namen:

eth0
ens18
enp0s3
wlan0

Merksatz:

ip addr ist unter Linux der Standard für IP-Adressen.

Wichtige Angaben:

Interface aktiv oder inaktiv
MAC-Adresse
MTU
Link-Status

Typische Begriffe:

UP

DOWN

Merksatz:

Gateway prüfen

Windows:

ipconfig

route print

Linux/macOS:

ip route

Wichtig:

Gateway muss im lokalen Subnetz erreichbar sein.

Typisches Fehlerbild:

lokale Geräte erreichbar,
Internet nicht erreichbar

Merksatz:

Lokal ja,
extern nein:
Gateway prüfen.

Routing prüfen

Windows:

route print

Linux/macOS:

ip route

Wichtige Angaben:

Zielnetz
Gateway oder Next Hop
Interface
Metrik
Standardroute

Standardroute IPv4:

0.0.0.0/0

oder unter Linux oft:

default

Merksatz:

Routing-Tabelle zeigt,
wohin Pakete gesendet werden.

route print

route print zeigt unter Windows die Routing-Tabelle.

Wichtig sind:

Netzwerkziel
Netzmaske
Gateway
Schnittstelle
Metrik

Typische Prüfung:

Gibt es eine Standardroute?

Ist das Gateway korrekt?

Gibt es eine spezifische Route zum Zielnetz?

Merksatz:

route print zeigt den Weg aus Sicht des Windows-Clients.

ip route

ip route zeigt unter Linux die Routing-Tabelle.

Typische Ausgabe enthält:

default via 192.168.1.1 dev eth0

Bedeutung:

Standardroute über Gateway 192.168.1.1 über Interface eth0

Merksatz:

default ist die Standardroute.

ping

ping prüft Erreichbarkeit mit ICMP.

Typische Nutzung:

Ziel-IP testen

Gateway testen

DNS-Namen testen

Wichtig:

ping prüft ICMP,
nicht automatisch den Dienst.

Beispiel:

ping funktioniert,
aber HTTPS kann trotzdem blockiert sein.

Merksatz:

ping ist ein Erreichbarkeitstest,
kein vollständiger Diensttest.

ping richtig interpretieren

Ergebnis Mögliche Bedeutung
Antwort kommt Ziel antwortet auf ICMP
keine Antwort Ziel offline, ICMP blockiert, Routingproblem, Firewall
hohe Zeit Latenz, Last, lange Strecke
Paketverlust Funkproblem, Überlastung, Leitungsproblem
Name wird nicht gefunden DNS-Problem
IP geht, Name nicht DNS prüfen

Merksatz:

Kein ping heißt nicht automatisch,
dass das Ziel offline ist.

DNS prüfen

Windows:

nslookup

Linux/macOS:

dig

nslookup

Prüfen:

Wird der Name aufgelöst?

Welche IP wird geliefert?

Welcher DNS-Server antwortet?

Ist der Record korrekt?

Gibt es interne und externe Unterschiede?

Merksatz:

DNS gezielt mit nslookup oder dig prüfen.

nslookup

nslookup prüft Namensauflösung.

Nützlich für:

A-Record prüfen
AAAA-Record prüfen
DNS-Server testen
Fehler bei Namensauflösung erkennen

Typisches Fehlerbild:

IP-Adresse funktioniert,
Name funktioniert nicht

Wahrscheinlich:

DNS-Problem

Merksatz:

nslookup prüft DNS,
nicht den eigentlichen Dienst.

dig

dig zeigt DNS-Abfragen detailliert an.

Nützlich für:

genaue DNS-Antworten
Recordtypen
TTL
Antwortserver
Debugging
Vergleich verschiedener DNS-Server

Typische Recordtypen:

A
AAAA
MX
CNAME
TXT
NS
PTR

Merksatz:

dig ist besonders hilfreich für detaillierte DNS-Prüfung.

tracert und traceroute

Windows:

tracert

Linux/macOS:

traceroute

Aufgabe:

Weg zum Ziel über Router anzeigen

Nützlich für:

Routingprobleme eingrenzen
Hops sichtbar machen
Latenzen grob erkennen
Unterbrechungen lokalisieren

Merksatz:

traceroute zeigt den Weg,
aber nicht jeder Hop muss antworten.

traceroute richtig interpretieren

Beobachtung Mögliche Bedeutung
erster Hop fehlt Gateway oder lokales Netz prüfen
Abbruch nach bestimmtem Hop Firewall, Routing, Provider
einzelne Sternchen Hop antwortet nicht, Weg kann trotzdem funktionieren
hohe Latenz ab bestimmtem Hop Engstelle oder lange Strecke
Ziel antwortet nicht Ziel blockiert oder nicht erreichbar

Merksatz:

Sternchen bedeuten nicht automatisch Totalausfall.

netstat

netstat zeigt Netzwerkverbindungen und lauschende Ports.

Nützlich für:

offene Ports anzeigen
bestehende Verbindungen prüfen
Dienst lauscht ja oder nein
Quell- und Zielports sehen
TCP-Status prüfen

Typische Zustände:

LISTEN

ESTABLISHED

TIME_WAIT

CLOSE_WAIT

Merksatz:

netstat zeigt,
welche Verbindungen und Ports aktiv sind.

ss

ss ist unter Linux ein modernes Werkzeug für Sockets und Ports.

Nützlich für:

lauschende Ports
TCP-Verbindungen
UDP-Sockets
Prozesszuordnung je nach Berechtigung
schnelle Portprüfung lokal

Merksatz:

ss ersetzt auf vielen Linux-Systemen netstat.

TCP-Status kurz erklärt

Status Bedeutung
LISTEN Dienst wartet auf Verbindungen
ESTABLISHED Verbindung besteht
SYN_SENT Verbindungsaufbau gestartet
SYN_RECEIVED SYN empfangen und beantwortet
TIME_WAIT Verbindung beendet, Wartephase
CLOSE_WAIT Gegenseite hat beendet, lokale Anwendung noch nicht

Merksatz:

LISTEN bedeutet:
Dienst lauscht.

Portprüfung

Bei Dienstproblemen prüfen:

Läuft der Dienst?

Lauscht der Dienst auf dem richtigen Port?

Lauscht er auf der richtigen Schnittstelle?

Blockiert die lokale Firewall?

Blockiert eine Netzwerkfirewall?

Stimmt TCP oder UDP?

Ist NAT oder Portweiterleitung korrekt?

Merksatz:

Host erreichbar heißt nicht,
dass der Port erreichbar ist.

localhost, 127.0.0.1 und 0.0.0.0

127.0.0.1:

Loopback-Adresse

nur lokal auf demselben System erreichbar

localhost:

Name für lokalen Rechner

0.0.0.0:

Dienst lauscht auf allen IPv4-Schnittstellen des Hosts

Merksatz:

127.0.0.1 ist lokal.
0.0.0.0 bedeutet alle Interfaces.

curl

curl prüft Webdienste, APIs und HTTP-Antworten.

Nützlich für:

HTTP-Statuscode
Weiterleitungen
Header
TLS-Verbindung
API-Antwort
Erreichbarkeit ohne Browser
Proxy-Fehler
Backend-Fehler

Merksatz:

curl prüft Webdienste direkter als ein Browser.

HTTP-Statuscodes

Statuscode Bedeutung
200 erfolgreich
301 / 302 Weiterleitung
400 fehlerhafte Anfrage
401 nicht authentifiziert
403 verboten
404 nicht gefunden
500 interner Serverfehler
502 Gateway oder Backend-Fehler
503 Dienst nicht verfügbar
504 Gateway Timeout

Merksatz:

4xx deutet eher auf Client,
Anfrage
oder Rechte.

5xx deutet eher auf Server,
Anwendung
oder Backend.

Dienste prüfen unter Linux

Wichtige Werkzeuge:

systemctl

journalctl

systemctl prüft und verwaltet Dienste.

journalctl zeigt Logs von systemd-Diensten.

Merksatz:

systemctl zeigt den Dienststatus.
journalctl zeigt die Logs.

systemctl

systemctl wird genutzt für:

Dienststatus prüfen
Dienst starten
Dienst stoppen
Dienst neu starten
Dienst aktivieren
Dienst deaktivieren

Typische Prüfung:

Läuft der Dienst?

Ist der Dienst beim Booten aktiviert?

Gibt es Fehler beim Start?

Merksatz:

systemctl beantwortet:
Läuft der Dienst?

journalctl

journalctl zeigt Logs unter systemd.

Nützlich für:

Dienstfehler
Startprobleme
Abstürze
Berechtigungsfehler
Konfigurationsfehler
Zeitliche Eingrenzung

Merksatz:

journalctl beantwortet:
Warum hat der Dienst Probleme?

Dienste prüfen unter Windows

Wichtige Werkzeuge:

services.msc

Task-Manager

Ereignisanzeige

PowerShell

sc

Typische Fragen:

Läuft der Dienst?

Ist der Starttyp korrekt?

Gibt es Fehlermeldungen?

Gibt es Abhängigkeiten?

Merksatz:

Unter Windows helfen Diensteverwaltung und Ereignisanzeige.

Windows-Ereignisanzeige

Die Ereignisanzeige zeigt Windows-Logs.

Wichtige Bereiche:

Anwendung

Sicherheit

System

Setup

Nützlich für:

Anmeldefehler
Dienstfehler
Systemfehler
Treiberprobleme
Sicherheitsereignisse

Merksatz:

Windows-Logs stehen in der Ereignisanzeige.

Prozesse prüfen

Windows:

Task-Manager

tasklist

Linux/macOS:

ps

top

htop

Nützlich für:

hohe CPU-Last
hoher RAM-Verbrauch
hängende Prozesse
Prozess läuft ja oder nein
Prozess-ID finden

Merksatz:

Prozess läuft nicht automatisch gleich Dienst erreichbar.

Speicherplatz prüfen

Linux/macOS:

df

du

Windows:

Explorer

Datenträgerverwaltung

PowerShell

Wichtige Fragen:

Ist das Dateisystem voll?

Ist die Logpartition voll?

Ist genug Speicher für Backup oder Update vorhanden?

Wächst eine Datei ungewöhnlich stark?

Merksatz:

Volle Datenträger verursachen viele Dienstprobleme.

df und du

df zeigt freien Speicher auf Dateisystemen.

du zeigt Speicherverbrauch von Dateien und Ordnern.

Unterschied:

df:
Wie voll ist das Dateisystem?

du:
Welcher Ordner verbraucht Speicher?

Merksatz:

df zeigt Gesamtfüllstand.
du zeigt Verursacher.

Benutzer und Rechte prüfen

Windows:

whoami

whoami /groups

Linux/macOS:

whoami

id

groups

Prüfen:

Welcher Benutzer bin ich?

In welchen Gruppen bin ich?

Habe ich die nötigen Rechte?

Wird ein anderes Konto verwendet?

Merksatz:

Anmeldung erfolgreich heißt nicht automatisch Zugriff erlaubt.

Dateirechte prüfen unter Linux

Wichtige Begriffe:

Besitzer

Gruppe

Rechte

Lesen

Schreiben

Ausführen

Typische Werkzeuge:

ls -l

chmod

chown

Merksatz:

Linux-Rechte bestehen aus Besitzer,
Gruppe
und anderen.

Freigaberechte prüfen

Bei Dateifreigaben prüfen:

Freigaberechte

Dateisystemrechte

Gruppenmitgliedschaft

Deny-Regeln

Vererbung

Benutzerkontext

Merksatz:

Bei Freigaben zählen oft Freigaberechte und Dateisystemrechte zusammen.

Logs allgemein prüfen

Wichtige Fragen:

Wann trat der Fehler auf?

Welches System meldet den Fehler?

Welcher Benutzer ist betroffen?

Welche Quelle und welches Ziel?

Welche Fehlermeldung?

Wiederholt sich das Muster?

Gab es kurz vorher Änderungen?

Merksatz:

Logs beantworten:
wer,
wann,
was,
von wo,
mit welchem Ergebnis.

Zeit und NTP prüfen

Korrekte Zeit ist wichtig für:

Logs
Zertifikate
Kerberos
MFA
Tokens
geplante Aufgaben
Forensik

Typische Fehler:

Zertifikatswarnung
Kerberos-Fehler
ungültige Tokens
falsche Log-Reihenfolge

Merksatz:

Bei Zertifikaten,
Kerberos
und Logs immer auch Zeit prüfen.

Firewall prüfen

Bei Firewall-Verdacht prüfen:

Quelle

Ziel

Port

Protokoll

Richtung

Zone

Regelreihenfolge

NAT

Logs

lokale Firewall

Netzwerkfirewall

Merksatz:

Firewallprüfung braucht Quelle,
Ziel,
Port
und Protokoll.

NAT und Portweiterleitung prüfen

Prüfen:

öffentliche IP korrekt?

DNS zeigt auf richtige öffentliche IP?

externer Port korrekt?

interne Ziel-IP korrekt?

interner Port korrekt?

Dienst läuft intern?

lokale Firewall erlaubt?

Router-Firewall erlaubt?

doppeltes NAT?

CGNAT?

Merksatz:

Portweiterleitung braucht DNS,
NAT,
Firewall
und laufenden Dienst.

Typische Fehlerbilder und erste Prüfung

Fehlerbild Erste Prüfung
keine IP-Adresse DHCP, Kabel, WLAN, VLAN
169.254.x.x DHCP nicht erreicht
lokales Netz geht, Internet nicht Gateway, Routing, NAT
IP geht, Name nicht DNS
ping geht, Webseite nicht Port, Dienst, Firewall
Login geht, Zugriff nicht Rechte, Gruppe, ACL
Anmeldung scheitert Konto, Passwort, MFA, Verzeichnisdienst
Zertifikatswarnung Zertifikat, Hostname, Uhrzeit
Dienst startet nicht Logs, Konfiguration, Abhängigkeiten
alles langsam Last, DNS, Netzwerk, Speicher

Merksatz:

Fehlerbild bestimmt den ersten sinnvollen Test.

Mini-Workflow: Client kommt nicht ins Internet

Prüfen:

1. IP-Adresse vorhanden?

2. APIPA-Adresse 169.254.x.x?

3. Subnetzmaske korrekt?

4. Gateway eingetragen?

5. Gateway erreichbar?

6. externe IP erreichbar?

7. DNS-Auflösung funktioniert?

8. Firewall oder Proxy?

9. NAT oder Provider?

Merksatz:

Erst IP,
dann Gateway,
dann DNS,
dann Firewall und NAT.

Mini-Workflow: Webseite nicht erreichbar

Prüfen:

1. Name wird aufgelöst?

2. Ziel-IP erreichbar?

3. TCP 80 oder 443 erreichbar?

4. Webserver läuft?

5. TLS-Zertifikat gültig?

6. Reverse Proxy korrekt?

7. Anwendung liefert Fehler?

8. Logs prüfen.

Merksatz:

Webfehler können DNS,
Port,
TLS,
Proxy
oder Anwendung betreffen.

Mini-Workflow: Datei-Freigabe nicht erreichbar

Prüfen:

1. Netzwerkverbindung?

2. Namensauflösung?

3. Server erreichbar?

4. SMB-Port TCP 445 erreichbar?

5. Benutzer angemeldet?

6. Freigaberechte?

7. Dateisystemrechte?

8. Gruppenmitgliedschaft?

9. Firewall?

10. Logs?

Merksatz:

Freigabeprobleme können Netzwerk oder Rechte sein.

Mini-Workflow: SSH nicht erreichbar

Prüfen:

1. Ziel-IP erreichbar?

2. TCP 22 erreichbar?

3. SSH-Dienst läuft?

4. Firewall erlaubt Zugriff?

5. richtige Quell-IP erlaubt?

6. Benutzer erlaubt?

7. Schlüssel korrekt?

8. Host-Key-Warnung prüfen.

9. Logs prüfen.

Merksatz:

SSH-Probleme können Port,
Dienst,
Schlüssel,
Benutzer
oder Firewall sein.

Mini-Workflow: DNS-Problem

Prüfen:

1. DNS-Server eingetragen?

2. DNS-Server erreichbar?

3. richtiger Record vorhanden?

4. interner oder externer DNS?

5. DNS-Suffix korrekt?

6. Split-DNS relevant?

7. DNS-Cache veraltet?

8. Firewall blockiert UDP/TCP 53?

Merksatz:

IP ja,
Name nein:
DNS prüfen.

Mini-Workflow: DHCP-Problem

Prüfen:

1. Client im richtigen VLAN?

2. Switchport korrekt?

3. DHCP-Server aktiv?

4. DHCP-Scope frei?

5. DHCP-Relay korrekt?

6. Firewall erlaubt DHCP?

7. Reservierung oder Ausschluss?

8. Lease erneuern.

Merksatz:

169.254.x.x:
DHCP,
VLAN
oder Relay prüfen.

Mini-Workflow: Dienst startet nicht

Prüfen:

1. Dienststatus

2. Logs

3. Konfigurationsdatei

4. Berechtigungen

5. Abhängigkeiten

6. belegter Port

7. Speicherplatz

8. Zertifikate oder Schlüssel

9. letzte Änderung

Merksatz:

Dienstfehler stehen oft in Logs.

Mini-Workflow: langsames Netzwerk

Prüfen:

Latenz

Paketverlust

DNS-Auflösung

WLAN-Signal

Bandbreite

Duplex oder Link-Geschwindigkeit

CPU oder RAM

Speicher-I/O

Firewall oder Proxy

Serverlast

Merksatz:

Langsamkeit ist kein einzelner Fehler,
sondern muss eingegrenzt werden.

Prüfungsfalle: Befehl ohne Interpretation

Ein Befehl allein löst noch keine Aufgabe.

Schlecht:

ping ausführen.

Besser:

Mit ping wird geprüft,
ob das Ziel per ICMP erreichbar ist.
Wenn die IP erreichbar ist,
der Name aber nicht,
sollte DNS geprüft werden.

Merksatz:

In der Prüfung nicht nur Befehl nennen,
sondern Zweck erklären.

Prüfungsfalle: ping als Diensttest

ping prüft ICMP.

ping prüft nicht:

HTTPS
SSH
SMB
Datenbank
Anmeldung
Rechte
Anwendung

Merksatz:

ping erfolgreich heißt nicht,
dass der Dienst funktioniert.

Prüfungsfalle: DNS und Dienst verwechseln

Wenn ein Name nicht aufgelöst wird, ist zuerst DNS zu prüfen.

Wenn der Name aufgelöst wird, aber die Anwendung nicht funktioniert, sind eher Port, Dienst, Firewall, TLS oder Anwendung zu prüfen.

Merksatz:

DNS findet die Adresse.
Der Dienst muss danach trotzdem funktionieren.

Prüfungsfalle: Rechteproblem als Netzwerkproblem deuten

Fehlerbild:

Benutzer kann sich anmelden,
aber Datei nicht öffnen.

Wahrscheinlich:

Autorisierung,
Gruppenmitgliedschaft,
ACL
oder Freigaberecht

Nicht zuerst:

DNS
Gateway
NAT

Merksatz:

Login ja,
Zugriff nein:
Rechte prüfen.

Typische IHK-Fragen

In AP1 und AP2 kann zum Beispiel gefragt werden:

- Welcher Befehl zeigt die IP-Konfiguration unter Windows?
- Welcher Befehl zeigt IP-Adressen unter Linux?
- Wie prüft man DNS?
- Was prüft ping?
- Warum ersetzt ping keinen Diensttest?
- Was zeigt tracert oder traceroute?
- Wie prüft man Routing?
- Wie erkennt man,
  ob ein Dienst auf einem Port lauscht?
- Was bedeutet LISTEN?
- Wie prüft man Linux-Dienste?
- Wie prüft man Windows-Logs?
- Warum ist NTP wichtig für Logs?
- Welche Schritte sind sinnvoll,
  wenn ein Client nicht ins Internet kommt?
- Wie grenzt man ein Firewallproblem ein?

IHK-sichere Kurzformulierung

Bei der Netzwerk- und Systemfehlersuche sollten zuerst Fakten gesammelt werden. Unter Windows zeigt ipconfig die IP-Konfiguration, unter Linux ip addr. Routing wird mit route print oder ip route geprüft. DNS wird gezielt mit nslookup oder dig geprüft. ping testet ICMP-Erreichbarkeit, ersetzt aber keinen Port- oder Diensttest. tracert oder traceroute zeigen den Weg über Router. netstat oder ss zeigen Verbindungen und lauschende Ports. systemctl prüft Linux-Dienste, journalctl zeigt deren Logs. Unter Windows helfen Diensteverwaltung und Ereignisanzeige. Gute Fehlersuche erfolgt systematisch: Verbindung, IP, Gateway, DNS, Routing, Firewall, Port, Dienst, Anwendung und Logs.

Merksätze

Befehle liefern Fakten.

Erst prüfen,
dann vermuten.

IP,
Maske,
Gateway
und DNS zusammen prüfen.

ipconfig zeigt Windows-IP-Konfiguration.

ip addr zeigt Linux-IP-Konfiguration.

route print zeigt Windows-Routing.

ip route zeigt Linux-Routing.

ping prüft ICMP.

ping ist kein Diensttest.

nslookup prüft DNS.

dig prüft DNS detailliert.

tracert und traceroute zeigen den Weg.

netstat zeigt Verbindungen und Ports.

ss zeigt Sockets und Ports unter Linux.

LISTEN heißt:
Dienst wartet auf Verbindungen.

ESTABLISHED heißt:
Verbindung besteht.

127.0.0.1 ist lokal.

0.0.0.0 bedeutet alle Interfaces.

curl prüft Webdienste.

systemctl prüft Dienststatus.

journalctl zeigt Logs.

Windows-Logs stehen in der Ereignisanzeige.

df zeigt Dateisystemfüllstand.

du zeigt Ordnerverbrauch.

whoami zeigt den Benutzerkontext.

Logs beantworten:
wer,
wann,
was,
von wo,
mit welchem Ergebnis.

NTP macht Logzeiten vergleichbar.

Firewallprüfung braucht Quelle,
Ziel,
Port
und Protokoll.

Portweiterleitung braucht DNS,
NAT,
Firewall
und Dienst.

IP ja,
Name nein:
DNS.

Lokal ja,
extern nein:
Gateway.

Host ja,
Dienst nein:
Port,
Dienst,
Firewall.

Login ja,
Zugriff nein:
Rechte.

Dienst startet nicht:
Logs prüfen.

19.11 Prüfungs-Signalwörter und Musterformulierungen

Dieser Spickzettel hilft dabei, Prüfungsaufgaben schneller einzuordnen und Antworten fachlich sauber zu formulieren.

Er ist besonders wichtig für:

- Fehlersuche
- Sicherheitsfragen
- Begründungsaufgaben
- Vergleichsaufgaben
- kurze IHK-Antworten
- typische Fehlerbilder
- Operatoren in Aufgabenstellungen

Merksatz:

Signalwörter zeigen oft,
in welche Richtung die Lösung geht.

Grundidee

In Prüfungsaufgaben stehen oft Hinweise, die direkt zur Lösung führen.

Diese Hinweise können sein:

IP-Adressen
Subnetzmasken
Ports
Protokolle
Fehlermeldungen
Logeinträge
Benutzerbeschreibung
Zeitpunkte
letzte Änderungen
betroffene Systeme
Begriffe wie „nur intern“,
„nur extern“,
„nach Update“
oder „Zugriff verweigert“

Merksatz:

Die Aufgabe genau lesen,
bevor du antwortest.

Operatoren erkennen

Operator Erwartete Antwort
nennen kurze Begriffe oder Stichpunkte
beschreiben sachlich darstellen
erklären Zusammenhang deutlich machen
begründen Warum nennen
vergleichen Unterschiede und Gemeinsamkeiten darstellen
berechnen rechnerisch ermitteln
ermitteln aus gegebenen Informationen ableiten
bewerten fachlich einschätzen
zuordnen passend einordnen
erläutern ausführlicher erklären

Merksatz:

Der Operator bestimmt,
wie tief die Antwort sein muss.

Nennen

Bei „nennen“ reichen kurze Begriffe.

Beispielaufgabe:

Nennen Sie zwei Vorteile von VLANs.

Musterantwort:

logische Netztrennung

kleinere Broadcast-Domänen

Merksatz:

Nennen = kurz und direkt.

Beschreiben

Bei „beschreiben“ soll ein Sachverhalt dargestellt werden.

Beispielaufgabe:

Beschreiben Sie die Aufgabe eines DHCP-Servers.

Musterantwort:

Ein DHCP-Server weist Clients automatisch Netzwerkkonfigurationen wie IP-Adresse,
Subnetzmaske,
Standardgateway
und DNS-Server zu.

Merksatz:

Beschreiben = was passiert?

Erklären

Bei „erklären“ muss der Zusammenhang deutlich werden.

Beispielaufgabe:

Erklären Sie,
warum ein Client ohne Standardgateway keine Internetverbindung hat.

Musterantwort:

Das Standardgateway ist der Router in andere Netze.
Ohne Standardgateway kann der Client nur Ziele im eigenen Subnetz erreichen,
aber keine externen Netze wie das Internet.

Merksatz:

Erklären = Zusammenhang zeigen.

Begründen

Bei „begründen“ muss ein Warum enthalten sein.

Beispielaufgabe:

Begründen Sie,
warum RDP nicht direkt aus dem Internet erreichbar sein sollte.

Musterantwort:

RDP ist ein häufiges Angriffsziel für Brute-Force-Angriffe,
Credential Stuffing
und Exploits.
Deshalb sollte RDP nur über VPN,
RDP-Gateway,
MFA
und Firewall-Beschränkungen erreichbar sein.

Merksatz:

Begründen = Aussage plus Warum.

Vergleichen

Bei „vergleichen“ müssen Unterschiede und Gemeinsamkeiten sichtbar werden.

Beispielaufgabe:

Vergleichen Sie TCP und UDP.

Musterantwort:

Merkmal TCP UDP
Verbindung verbindungsorientiert verbindungslos
Zuverlässigkeit eingebaut keine eingebaute Garantie
Overhead höher geringer
Beispiele HTTPS, SSH DNS, DHCP, VoIP

Merksatz:

Vergleichen = gegenüberstellen.

Bewerten

Bei „bewerten“ soll eine fachliche Einschätzung gegeben werden.

Beispielaufgabe:

Bewerten Sie eine Firewall-Regel,
die Any-to-Any erlaubt.

Musterantwort:

Die Regel ist sicherheitskritisch,
weil sie Verkehr von jeder Quelle zu jedem Ziel erlaubt.
Dadurch entsteht eine große Angriffsfläche.
Besser ist eine genaue Regel mit definierter Quelle,
definiertem Ziel,
Port,
Protokoll
und dokumentiertem Zweck.

Merksatz:

Bewerten = Einschätzung mit Begründung.

Berechnen

Bei „berechnen“ muss ein Ergebnis aus Zahlen ermittelt werden.

Wichtig:

Einheit beachten
Formel oder Regel nutzen
Zwischenschritte prüfen
Ergebnis mit Bedeutung angeben

Beispiel:

/27 hat 5 Hostbits.
2 hoch 5 ergibt 32 Adressen.
30 Adressen sind nutzbar,
weil Netzadresse und Broadcastadresse nicht für Hosts verwendet werden.

Merksatz:

Berechnen = Ergebnis mit Einheit oder Bedeutung.

Signalwörter bei DNS

Signalwort oder Fehlerbild Bedeutung
IP erreichbar, Name nicht DNS-Problem
Domain wird nicht gefunden DNS prüfen
interner Name funktioniert nur im Büro Split-DNS oder VPN-DNS
Webseite per IP erreichbar Grundverbindung funktioniert
falscher Server bei Namenszugriff falscher DNS-Eintrag
alter Name zeigt noch auf alte IP DNS-Cache oder alter Record

Musterformulierung:

Wahrscheinlich liegt ein DNS-Problem vor,
da die IP-Adresse erreichbar ist,
der Name aber nicht korrekt aufgelöst wird.
Der DNS-Server und der DNS-Eintrag sollten mit nslookup oder dig geprüft werden.

Merksatz:

IP ja,
Name nein:
DNS.

Signalwörter bei DHCP

Signalwort oder Fehlerbild Bedeutung
169.254.x.x DHCP nicht erreicht
keine gültige IP-Adresse DHCP, Kabel, WLAN oder VLAN prüfen
falsches Gateway automatisch erhalten DHCP-Option falsch
falscher DNS-Server automatisch erhalten DHCP-Option falsch
nur ein VLAN betroffen DHCP-Relay oder VLAN prüfen
Adresspool erschöpft DHCP-Scope voll

Musterformulierung:

Die Adresse 169.254.x.x liegt im APIPA-Bereich.
Der Client hat wahrscheinlich keine gültige Adresse von einem DHCP-Server erhalten.
DHCP-Server,
VLAN,
Scope
und DHCP-Relay sollten geprüft werden.

Merksatz:

169.254.x.x deutet auf DHCP-Problem hin.

Signalwörter bei Gateway und Routing

Signalwort oder Fehlerbild Bedeutung
lokale Geräte erreichbar, Internet nicht Gateway, Routing, NAT oder Firewall
Gateway fehlt keine Kommunikation in andere Netze
Gateway außerhalb des Subnetzes Gateway lokal nicht erreichbar
nur andere Netze nicht erreichbar Routing prüfen
Rückantwort kommt nicht an Rückroute oder Firewall prüfen
spezifische Ziele gehen, andere nicht Routing-Tabelle prüfen

Musterformulierung:

Wahrscheinlich ist das Standardgateway falsch oder fehlt,
da lokale Ziele erreichbar sind,
externe Netze jedoch nicht.
Das Gateway muss im lokalen Subnetz des Clients liegen.

Merksatz:

Lokal ja,
extern nein:
Gateway prüfen.

Signalwörter bei Firewall und Ports

Signalwort oder Fehlerbild Bedeutung
Host erreichbar, Dienst nicht Port, Dienst oder Firewall
ping funktioniert, HTTPS nicht TCP 443, Webdienst oder Firewall
Porttest schlägt fehl Firewall oder Dienst prüfen
nach Regeländerung defekt Firewall-Regel prüfen
nur ein Dienst betroffen Port oder Dienst prüfen
Zugriff von intern geht, extern nicht NAT, Firewall oder DNS prüfen

Musterformulierung:

Da der Host erreichbar ist,
aber der Dienst nicht funktioniert,
sollten Port,
Dienststatus
und Firewall-Regeln geprüft werden.

Merksatz:

Host ja,
Dienst nein:
Port,
Dienst,
Firewall.

Signalwörter bei VLAN und Switching

Signalwort oder Fehlerbild Bedeutung
nur ein Switchport betroffen Access-Port, VLAN oder Portstatus
falsche IP im Clientnetz falsches VLAN oder DHCP-Scope
mehrere VLANs auf Verbindung fehlen Trunk prüfen
ein VLAN fehlt auf zweitem Switch VLAN auf Trunk nicht erlaubt
Broadcast-Sturm Layer-2-Schleife, STP prüfen
Gerät in falschem Netz VLAN-Zuordnung prüfen

Musterformulierung:

Wahrscheinlich ist der Switchport dem falschen VLAN zugeordnet.
Dadurch erhält der Client eine falsche oder keine passende IP-Konfiguration.
Access-Port,
VLAN
und DHCP-Scope sollten geprüft werden.

Merksatz:

Falsches VLAN führt oft zu falscher IP-Konfiguration.

Signalwörter bei Authentifizierung

Signalwort oder Fehlerbild Bedeutung
Anmeldung fehlgeschlagen Authentifizierung
Passwort falsch Authentifizierung
Konto gesperrt Authentifizierung
MFA-Code wird nicht akzeptiert MFA oder Zeitproblem
Verzeichnisdienst nicht erreichbar AD, LDAP oder Netzwerk prüfen
Kerberos-Fehler Zeit, Domäne oder Ticket prüfen

Musterformulierung:

Da bereits die Anmeldung fehlschlägt,
liegt wahrscheinlich ein Authentifizierungsproblem vor.
Konto,
Passwort,
MFA,
Verzeichnisdienst
und Systemzeit sollten geprüft werden.

Merksatz:

Anmeldung scheitert:
Authentifizierung prüfen.

Signalwörter bei Autorisierung und Rechten

Signalwort oder Fehlerbild Bedeutung
Zugriff verweigert Autorisierung oder Berechtigung
Anmeldung funktioniert, Datei nicht Rechteproblem
nur ein Benutzer betroffen Konto, Gruppe oder Rechte
Gruppe fehlt Rollen- oder Gruppenmitgliedschaft
Freigabe sichtbar, Datei nicht lesbar Dateisystemrechte prüfen
Deny-Regel vorhanden verweigernde Regel beachten

Musterformulierung:

Da die Anmeldung funktioniert,
der Zugriff auf die Ressource aber verweigert wird,
liegt wahrscheinlich ein Autorisierungs- oder Berechtigungsproblem vor.
Gruppenmitgliedschaft,
Freigaberechte,
Dateisystemrechte
und ACLs sollten geprüft werden.

Merksatz:

Login ja,
Zugriff nein:
Rechte prüfen.

Signalwörter bei Zertifikaten und TLS

Signalwort oder Fehlerbild Bedeutung
Zertifikatswarnung Zertifikat prüfen
Zertifikat abgelaufen Ablaufdatum
Name passt nicht CN oder SAN passt nicht zum Hostnamen
Kette nicht vertrauenswürdig CA oder Zwischenzertifikat fehlt
Fehler nur auf einem Client Truststore oder Uhrzeit prüfen
plötzlich ungültig Ablauf, Erneuerung oder Zeitproblem

Musterformulierung:

Bei einer Zertifikatswarnung sollten Ablaufdatum,
Hostname,
Zertifikatskette
und Systemzeit geprüft werden.
Häufig ist das Zertifikat abgelaufen oder passt nicht zum verwendeten Namen.

Merksatz:

Zertifikatsfehler:
Ablauf,
Name,
Kette,
Zeit.

Signalwörter bei Webfehlern

Fehlerbild Bedeutung
HTTP 200 erfolgreich
HTTP 301 / 302 Weiterleitung
HTTP 400 fehlerhafte Anfrage
HTTP 401 nicht authentifiziert
HTTP 403 verboten
HTTP 404 nicht gefunden
HTTP 500 interner Serverfehler
HTTP 502 Gateway oder Backend-Fehler
HTTP 503 Dienst nicht verfügbar
HTTP 504 Gateway Timeout

Musterformulierung:

Ein HTTP-Statuscode aus dem 5xx-Bereich deutet eher auf ein serverseitiges Problem hin,
zum Beispiel Anwendung,
Backend,
Gateway
oder Serverkonfiguration.

Merksatz:

4xx eher Client,
Anfrage
oder Rechte.

5xx eher Server,
Anwendung
oder Backend.

Signalwörter bei Backup und Restore

Signalwort oder Fehlerbild Bedeutung
Backup vorhanden, Wiederherstellung geht nicht Restore-Test fehlt oder Backup defekt
zu viel Datenverlust RPO nicht eingehalten
Wiederherstellung dauert zu lange RTO nicht eingehalten
Snapshot vorhanden nicht automatisch vollständiges Backup
Replikat vorhanden Replikation ist kein Backup
Datenbank beschädigt nach Restore kein konsistentes Backup
verschlüsseltes Backup nicht nutzbar Schlüssel fehlt
Ransomware verschlüsselt Backup Backup nicht offline oder immutable

Musterformulierung:

Ein Backup ist nur zuverlässig,
wenn die Wiederherstellung regelmäßig getestet wird.
Replikation,
Synchronisation
und Snapshots ersetzen kein vollständiges Backup-Konzept.

Merksatz:

Backup ohne Restore-Test ist unsicher.

Signalwörter bei Sicherheit

Signalwort oder Fehlerbild Wahrscheinliches Thema
Daten werden mitgelesen Vertraulichkeit
Daten wurden verändert Integrität
Dienst nicht erreichbar Verfügbarkeit
Identität vorgetäuscht Authentizität, Spoofing
viele Loginversuche Brute Force
geleakte Passwörter genutzt Credential Stuffing
ein Passwort gegen viele Konten Password Spraying
gefälschte E-Mail Phishing oder Spoofing
verschlüsselte Dateien Ransomware
Dienst überlastet DoS oder DDoS

Musterformulierung:

Das betroffene Schutzziel ist Verfügbarkeit,
da der Dienst nicht mehr nutzbar ist.
Eine passende Maßnahme wäre DDoS-Schutz,
Monitoring
und ein Notfallkonzept.

Merksatz:

Sicherheitsfrage:
Schutzziel,
Risiko,
Maßnahme.

Signalwörter bei Malware und Ransomware

Signalwort oder Fehlerbild Bedeutung
Dateien verschlüsselt Ransomware
Lösegeldforderung Ransomware
Tastatureingaben mitgeschnitten Keylogger
Daten werden ausgespäht Spyware
Programm tarnt sich als nützlich Trojaner
verbreitet sich selbstständig Wurm
viele kompromittierte Geräte Botnet
Schadsoftware tief versteckt Rootkit

Musterformulierung:

Ransomware beeinträchtigt vor allem die Verfügbarkeit,
weil Daten nicht mehr nutzbar sind.
Bei zusätzlichem Datenabfluss ist auch die Vertraulichkeit betroffen.
Wichtige Maßnahmen sind Offline- oder Immutable-Backups,
Segmentierung,
Patchmanagement
und Restore-Tests.

Merksatz:

Ransomware:
Verfügbarkeit,
bei Datenabfluss auch Vertraulichkeit.

Signalwörter bei Cloud

Signalwort oder Fehlerbild Bedeutung
virtuelle Maschine IaaS
verwaltete Plattform PaaS
fertige Anwendung im Browser SaaS
mehrere Cloud-Anbieter Multi Cloud
lokal plus Cloud Hybrid Cloud
öffentliche Cloud eines Anbieters Public Cloud
eigene Cloud für Organisation Private Cloud
Wer ist verantwortlich? Shared Responsibility
Zugriff auf Cloud-Ressourcen IAM

Musterformulierung:

Beim Shared-Responsibility-Modell schützt der Cloud-Anbieter die Cloud-Infrastruktur,
während der Kunde für Daten,
Identitäten,
Zugriffsrechte
und Konfigurationen verantwortlich bleibt.

Merksatz:

Cloud bedeutet geteilte Verantwortung.

Signalwörter bei Change Management

Signalwort oder Fehlerbild Bedeutung
nach Update defekt Change prüfen
Änderung nicht dokumentiert Change Management fehlt
schnelle Notfalländerung Emergency Change
wiederkehrende risikoarme Änderung Standard Change
geplante Änderung mit Freigabe Normal Change
Rückkehr zum alten Zustand Rollback
Änderung außerhalb Arbeitszeit Wartungsfenster
Auswirkungen vorab prüfen Risikobewertung

Musterformulierung:

Da der Fehler nach einer Änderung aufgetreten ist,
sollte der Change geprüft werden.
Wichtig sind Änderungsbeschreibung,
Zeitpunkt,
betroffene Systeme,
Testplan
und Rollback-Plan.

Merksatz:

Nach Änderung defekt:
Change prüfen.

Gute Musterformulierung: Fehlersuche

Struktur:

Ursache
Begründung
Prüfung

Muster:

Wahrscheinlich liegt ein DNS-Problem vor,
da die IP-Adresse erreichbar ist,
der Name aber nicht aufgelöst wird.
Der DNS-Server und der DNS-Eintrag sollten mit nslookup oder dig geprüft werden.

Merksatz:

Fehlerantwort:
Ursache,
Begründung,
Prüfung.

Gute Musterformulierung: Sicherheitsmaßnahme

Struktur:

Risiko
Maßnahme
Wirkung

Muster:

Das Risiko besteht im Missbrauch gestohlener Zugangsdaten.
Als Maßnahme sollte MFA eingesetzt werden.
Dadurch reicht ein gestohlenes Passwort allein nicht mehr für den Zugriff aus.

Merksatz:

Sicherheitsantwort:
Risiko,
Maßnahme,
Wirkung.

Gute Musterformulierung: Vergleich

Struktur:

Gemeinsamkeit
Unterschied
Beispiel

Muster:

TCP und UDP sind Transportprotokolle.
TCP ist verbindungsorientiert und zuverlässig,
UDP ist verbindungslos und hat weniger Overhead.
TCP wird zum Beispiel bei HTTPS genutzt,
UDP häufig bei DNS oder VoIP.

Merksatz:

Vergleich:
Gemeinsamkeit,
Unterschied,
Beispiel.

Gute Musterformulierung: Bewertung

Struktur:

Einschätzung
Risiko
bessere Maßnahme

Muster:

Die Lösung ist kritisch,
weil RDP direkt aus dem Internet erreichbar ist.
Dadurch steigt das Risiko für Brute-Force-Angriffe und Exploits.
Sicherer wäre ein Zugriff über VPN oder RDP-Gateway mit MFA und Protokollierung.

Merksatz:

Bewertung braucht eine fachliche Begründung.

Gute Musterformulierung: Berechnung

Struktur:

Regel
Rechenschritt
Ergebnis
Bedeutung

Muster:

Bei /26 gibt es 6 Hostbits.
2 hoch 6 ergibt 64 Adressen.
Davon sind 62 nutzbar,
weil Netzadresse und Broadcastadresse nicht für Hosts verwendet werden.

Merksatz:

Berechnung:
Regel,
Rechenschritt,
Ergebnis,
Bedeutung.

Kurzformulierungen für häufige Antworten

Thema Kurzformulierung
DNS DNS löst Namen in IP-Adressen auf.
DHCP DHCP verteilt IP-Konfiguration automatisch.
Gateway Das Gateway verbindet den Client mit anderen Netzen.
NAT NAT übersetzt IP-Adressen.
PAT PAT nutzt zusätzlich Ports zur Zuordnung.
VLAN VLAN trennt ein physisches Netz logisch.
Routing Routing verbindet verschiedene IP-Netze.
Firewall Eine Firewall filtert Verkehr anhand von Regeln.
VPN VPN verschlüsselt eine Verbindung über unsichere Netze.
MFA MFA verlangt mehr als einen Authentifizierungsfaktor.
Backup Backup ist eine Sicherung zur späteren Wiederherstellung.
Restore Restore ist die Wiederherstellung aus einem Backup.

Merksatz:

Kurzantworten müssen fachlich sauber sein.

Antworten vermeiden

Ungenaue Antworten:

Das Internet geht nicht.

Der Server ist kaputt.

Vielleicht Firewall.

Man muss es sicherer machen.

Backup ist vorhanden,
also ist alles sicher.

VLAN macht alles sicher.

Ping geht,
also funktioniert der Dienst.

Besser:

Die IP-Kommunikation funktioniert,
aber die Namensauflösung nicht.
Daher sollte DNS geprüft werden.

Der Host ist erreichbar,
aber der Dienst auf TCP 443 nicht.
Daher sollten Webdienst,
Port
und Firewall-Regeln geprüft werden.

Merksatz:

Keine Vermutungen ohne Bezug zum Fehlerbild.

Gefragte Anzahl beachten

Wenn die Aufgabe fragt:

Nennen Sie zwei Maßnahmen.

Dann genau zwei klare Maßnahmen nennen.

Beispiel:

1. MFA aktivieren,
   damit gestohlene Passwörter allein nicht ausreichen.

2. Zugriff per Firewall auf VPN- oder feste Quell-IP-Adressen beschränken,
   damit der Dienst nicht breit aus dem Internet erreichbar ist.

Merksatz:

Gefragte Anzahl einhalten.

Antwort bei mehreren möglichen Ursachen

Wenn mehrere Ursachen möglich sind, die wahrscheinlichste anhand des Fehlerbilds nennen.

Beispiel:

IP funktioniert,
Name nicht

Nicht antworten:

Firewall,
Kabel,
Server,
Internet

Besser:

DNS ist am wahrscheinlichsten,
da die IP-Adresse erreichbar ist,
der Name aber nicht aufgelöst wird.

Merksatz:

Wahrscheinlichste Ursache aus dem Hinweis ableiten.

Typische Prüfungsfallen

Operator übersehen.

Signalwort ignoriert.

Fachbegriff falsch verwendet.

DNS und DHCP verwechselt.

Gateway und DNS verwechselt.

Authentifizierung und Autorisierung verwechselt.

RPO und RTO verwechselt.

NAT und Firewall gleichgesetzt.

Ping als Diensttest verstanden.

Snapshot als Backup bezeichnet.

Maßnahme ohne Wirkung genannt.

Ursache ohne Begründung genannt.

Rechenaufgabe ohne Einheit beantwortet.

Merksatz:

Viele Punktverluste entstehen durch ungenaue Formulierungen.

Checkliste vor Abgabe

Habe ich die Frage wirklich beantwortet?

Habe ich den Operator beachtet?

Habe ich die gefragte Anzahl eingehalten?

Habe ich Fachbegriffe korrekt verwendet?

Habe ich kurz begründet?

Habe ich bei Fehlern eine Prüfung genannt?

Habe ich bei Sicherheit eine Wirkung genannt?

Habe ich bei Berechnung eine Einheit oder Bedeutung angegeben?

Habe ich keine unnötigen Vermutungen geschrieben?

Merksatz:

Kurz,
fachlich,
begründet.

Typische IHK-Fragen

In AP1 und AP2 kann zum Beispiel gefragt werden:

- Was bedeutet der Operator „erklären“?
- Warum ist bei Prüfungsaufgaben das Fehlerbild wichtig?
- Wie erkennt man ein DNS-Problem?
- Wie erkennt man ein DHCP-Problem?
- Wie erkennt man ein Gateway-Problem?
- Wie erkennt man ein Rechteproblem?
- Wie erkennt man ein Authentifizierungsproblem?
- Wie sollte eine Antwort zur Fehlersuche aufgebaut sein?
- Wie sollte eine Antwort zu Sicherheitsmaßnahmen aufgebaut sein?
- Warum reicht es nicht,
  nur „Firewall prüfen“ zu schreiben?
- Warum muss eine Maßnahme zum Risiko passen?
- Warum muss bei Berechnungen eine Einheit angegeben werden?

IHK-sichere Kurzformulierung

Prüfungs-Signalwörter helfen dabei, Fehlerbilder und Aufgabenstellungen schneller richtig einzuordnen. Wenn eine IP-Adresse erreichbar ist, ein Name aber nicht, liegt wahrscheinlich ein DNS-Problem vor. Eine Adresse aus 169.254.0.0/16 deutet auf ein DHCP-Problem hin. Wenn lokale Ziele erreichbar sind, externe Netze aber nicht, sind Gateway, Routing, NAT oder Firewall zu prüfen. Wenn eine Anmeldung funktioniert, der Zugriff aber verweigert wird, liegt wahrscheinlich ein Autorisierungs- oder Berechtigungsproblem vor. Gute Prüfungsantworten nennen die Ursache, begründen sie mit dem Fehlerbild und nennen eine passende Prüfung oder Maßnahme. Bei Sicherheitsfragen sollten Risiko, Maßnahme und Wirkung verbunden werden.

Merksätze

Erst Aufgabe lesen,
dann antworten.

Operator beachten.

Signalwort erkennen.

Fehlerbild einordnen.

Nennen heißt kurz.

Erklären heißt Zusammenhang zeigen.

Begründen heißt Warum nennen.

Vergleichen heißt gegenüberstellen.

Bewerten heißt fachlich einschätzen.

Berechnen heißt mit Einheit arbeiten.

IP ja,
Name nein:
DNS.

169.254.x.x:
DHCP.

Lokal ja,
extern nein:
Gateway,
Routing,
NAT,
Firewall.

Host ja,
Dienst nein:
Port,
Dienst,
Firewall.

Login ja,
Zugriff nein:
Rechte.

Anmeldung scheitert:
Authentifizierung.

Zertifikatsfehler:
Ablauf,
Name,
Kette,
Zeit.

Nach Update defekt:
Change prüfen.

Backup ohne Restore-Test ist unsicher.

Fehlerantwort:
Ursache,
Begründung,
Prüfung.

Sicherheitsantwort:
Risiko,
Maßnahme,
Wirkung.

Vergleich:
Gemeinsamkeit,
Unterschied,
Beispiel.

Bewertung:
Einschätzung,
Risiko,
bessere Maßnahme.

Berechnung:
Regel,
Ergebnis,
Bedeutung.

Gefragte Anzahl beachten.

Fachbegriffe sauber verwenden.

Keine Vermutungen ohne Bezug zum Fehlerbild.

Kurz,
fachlich,
begründet.