# 19. Notizen, Cheatsheets und Spickzettel # 19.1 Notizen, Cheatsheets und Spickzettel Dieses Kapitel enthält kompakte Spickzettel für die schnelle Wiederholung. Es ist kein neues großes Theoriekapitel, sondern eine Sammlung wichtiger Übersichten. Ziel ist: - kurz vor der Prüfung schnell wiederholen - Begriffe sicher unterscheiden - Standardwerte griffbereit haben - typische Fehlerbilder schneller erkennen - Rechenwege kompakt nachschlagen - prüfungssichere Kurzantworten vorbereiten Merksatz: Spickzettel ersetzen kein Verständnis, helfen aber beim schnellen Wiederholen. --- **Wofür dieses Kapitel gedacht ist** Dieses Kapitel eignet sich besonders für: letzte Wiederholung vor Klassenarbeit oder Prüfung schnelles Nachschlagen Vergleich ähnlicher Begriffe Wiederholung von Ports Subnetting-Übersicht OSI-Zuordnung Fehlerdiagnose Sicherheitsbegriffe Backup-Begriffe Cloud-Modelle Admin-Befehle Merksatz: Dieses Kapitel ist für kompakte Wiederholung, nicht für lange Erklärungen. --- **Aufbau der Spickzettel** Die Spickzettel sollten möglichst kurz und übersichtlich bleiben. Sinnvolle Seiten in diesem Kapitel: 19.1 Notizen, Cheatsheets und Spickzettel 19.2 OSI- und TCP/IP-Spickzettel 19.3 Standardports-Spickzettel 19.4 Subnetting-Spickzettel 19.5 DNS, DHCP, Gateway und NAT Spickzettel 19.6 TCP, UDP, ICMP und ARP Spickzettel 19.7 VLAN, Switching, Routing und Firewall Spickzettel 19.8 Sicherheitsbegriffe und Angriffe Spickzettel 19.9 Backup, Restore, RPO und RTO Spickzettel 19.10 Admin-Befehle und Fehlersuche Spickzettel 19.11 Prüfungs-Signalwörter und Musterformulierungen Merksatz: Kapitel 19 ist die Kurzfassung der wichtigsten Prüfungsthemen. --- **Was ein guter Spickzettel leisten soll** Ein guter Spickzettel ist: kurz eindeutig fachlich korrekt schnell überfliegbar tabellarisch prüfungsnah ohne unnötige Theorie mit klaren Merksätzen Er sollte nicht: lange Texte wiederholen ganze Kapitel ersetzen unklare Abkürzungen enthalten Begriffe vermischen zu viele Randthemen enthalten Merksatz: Spickzettel müssen schnell lesbar sein. --- **Die wichtigsten Grundregeln für die Prüfung** Aufgabe genau lesen. Operator beachten. Signalwörter erkennen. Gefragte Anzahl beachten. Fachbegriffe sauber verwenden. Ergebnis mit Einheit angeben. Bei Fehlern systematisch prüfen. Bei Sicherheit Risiko und Maßnahme verbinden. Bei Vergleichen Unterschiede klar darstellen. Bei Berechnungen Plausibilität prüfen. Merksatz: Viele Punkte gehen nicht durch fehlendes Wissen verloren, sondern durch ungenaue Antworten. --- **Mini-Spickzettel: OSI-Schichten** | Schicht | Name | Typische Begriffe | |---|---|---| | 7 | Anwendung | HTTP, DNS, DHCP, SMTP, SMB | | 6 | Darstellung | TLS, Verschlüsselung, Codierung | | 5 | Sitzung | Session, Sitzung, Wiederaufnahme | | 4 | Transport | TCP, UDP, Ports | | 3 | Vermittlung | IP, Routing, ICMP | | 2 | Sicherung | MAC, Ethernet, Switch, VLAN, ARP | | 1 | Bitübertragung | Kabel, Signal, Stecker, Funk | Merksatz: OSI hilft bei der Fehlersuche von unten nach oben. --- **Mini-Spickzettel: TCP/IP-Modell** | TCP/IP-Schicht | OSI-Zuordnung | Beispiele | |---|---|---| | Anwendung | OSI 5 bis 7 | HTTP, DNS, DHCP, SMTP | | Transport | OSI 4 | TCP, UDP | | Internet | OSI 3 | IP, ICMP, Routing | | Netzzugang | OSI 1 bis 2 | Ethernet, WLAN, MAC | Merksatz: TCP/IP ist praxisnah, OSI ist genauer aufgeteilt. --- **Mini-Spickzettel: MAC, IP und Port** | Begriff | Schicht | Aufgabe | |---|---|---| | MAC-Adresse | 2 | lokale Zustellung im LAN | | IP-Adresse | 3 | logische Adressierung über Netze | | Port | 4 | Zuordnung zu Dienst oder Anwendung | Merksatz: MAC findet lokal. IP findet das Zielnetz. Port findet den Dienst. --- **Mini-Spickzettel: wichtige Ports** | Dienst | Port | |---|---:| | FTP | TCP 21 | | SSH | TCP 22 | | Telnet | TCP 23 | | SMTP | TCP 25 | | DNS | UDP/TCP 53 | | DHCP Server | UDP 67 | | DHCP Client | UDP 68 | | HTTP | TCP 80 | | POP3 | TCP 110 | | IMAP | TCP 143 | | HTTPS | TCP 443 | | SMB | TCP 445 | | SMTPS | TCP 465 | | IMAPS | TCP 993 | | POP3S | TCP 995 | | RDP | TCP 3389 | Merksatz: Ports immer mit Dienst, Protokoll und Zweck lernen. --- **Mini-Spickzettel: Subnetting** Wichtige Regeln: IPv4 hat 32 Bit. Hostbits = 32 minus Präfix. nutzbare Hosts = 2 hoch Hostbits minus 2. Netzadresse = erste Adresse im Subnetz. Broadcastadresse = letzte Adresse im Subnetz. erste nutzbare Adresse = Netzadresse + 1. letzte nutzbare Adresse = Broadcastadresse - 1. Merksatz: Präfix größer bedeutet: kleineres Netz. Präfix kleiner bedeutet: größeres Netz. --- **Mini-Spickzettel: häufige Präfixe** | Präfix | Maske | Adressen | nutzbare Hosts | |---|---|---:|---:| | /24 | 255.255.255.0 | 256 | 254 | | /25 | 255.255.255.128 | 128 | 126 | | /26 | 255.255.255.192 | 64 | 62 | | /27 | 255.255.255.224 | 32 | 30 | | /28 | 255.255.255.240 | 16 | 14 | | /29 | 255.255.255.248 | 8 | 6 | | /30 | 255.255.255.252 | 4 | 2 | Merksatz: Jeder Präfixschritt nach rechts halbiert die Adressanzahl. --- **Mini-Spickzettel: private IPv4-Bereiche** | Bereich | CIDR | |---|---| | 10.0.0.0 bis 10.255.255.255 | 10.0.0.0/8 | | 172.16.0.0 bis 172.31.255.255 | 172.16.0.0/12 | | 192.168.0.0 bis 192.168.255.255 | 192.168.0.0/16 | Merksatz: Private IPv4-Adressen werden im Internet nicht direkt geroutet. --- **Mini-Spickzettel: DNS und DHCP** | Begriff | Aufgabe | Typisches Fehlerbild | |---|---|---| | DNS | Namen in IP-Adressen auflösen | IP geht, Name nicht | | DHCP | IP-Konfiguration automatisch verteilen | 169.254.x.x oder falsche IP | | Gateway | Weg in andere Netze | lokal geht, Internet nicht | Merksatz: DNS gibt Namen eine Adresse. DHCP gibt Clients eine Konfiguration. Gateway führt in andere Netze. --- **Mini-Spickzettel: TCP und UDP** | Merkmal | TCP | UDP | |---|---|---| | Verbindung | verbindungsorientiert | verbindungslos | | Zuverlässigkeit | hoch | keine eingebaute Garantie | | Reihenfolge | wird gesichert | nicht garantiert | | Overhead | höher | geringer | | Beispiele | HTTPS, SSH, SMTP | DNS, DHCP, VoIP | Merksatz: TCP = zuverlässig. UDP = schnell und schlank. --- **Mini-Spickzettel: NAT, PAT und Portweiterleitung** | Begriff | Bedeutung | |---|---| | NAT | übersetzt IP-Adressen | | PAT | übersetzt zusätzlich Ports | | Portweiterleitung | leitet externen Port an internen Dienst weiter | Merksatz: NAT übersetzt Adressen. PAT unterscheidet über Ports. Portweiterleitung veröffentlicht Dienste. --- **Mini-Spickzettel: Firewall und DMZ** | Begriff | Bedeutung | |---|---| | Firewall | filtert Netzwerkverkehr | | Default Deny | standardmäßig blockieren, nur Erlaubtes freigeben | | Any to Any | sehr breite und kritische Regel | | DMZ | getrenntes Netz für öffentlich erreichbare Dienste | Merksatz: Firewall-Regeln so eng wie möglich formulieren. --- **Mini-Spickzettel: VPN** | VPN-Art | Bedeutung | |---|---| | Remote-Access-VPN | einzelner Benutzer verbindet sich mit Netzwerk | | Site-to-Site-VPN | zwei Netzwerke oder Standorte werden verbunden | Wichtig: VPN verschlüsselt den Transportweg, ersetzt aber keine Berechtigungen. Merksatz: VPN schützt Verbindung, nicht automatisch Rechte. --- **Mini-Spickzettel: Cloud** | Modell | Bedeutung | |---|---| | IaaS | virtuelle Infrastruktur | | PaaS | Plattform für Anwendungen | | SaaS | fertige Anwendung | | Bereitstellung | Bedeutung | |---|---| | Public Cloud | öffentlich angebotene Cloud | | Private Cloud | Cloud für eine Organisation | | Hybrid Cloud | Kombination aus lokal und Cloud | | Multi Cloud | mehrere Cloud-Anbieter | Merksatz: IaaS, PaaS und SaaS sind Servicemodelle. Public, Private, Hybrid und Multi Cloud sind Bereitstellungsmodelle. --- **Mini-Spickzettel: Sicherheitsziele** | Schutzziel | Bedeutung | |---|---| | Vertraulichkeit | Schutz vor unberechtigtem Lesen | | Integrität | Schutz vor unbemerkter Veränderung | | Verfügbarkeit | Nutzbarkeit von Systemen und Daten | | Authentizität | Echtheit einer Identität oder Nachricht | | Nichtabstreitbarkeit | Nachweisbarkeit einer Handlung | Merksatz: CIA = Vertraulichkeit, Integrität, Verfügbarkeit. --- **Mini-Spickzettel: Angriffe** | Angriff | Kurzbeschreibung | |---|---| | Phishing | Täuschung zur Datenpreisgabe | | Ransomware | verschlüsselt oder sperrt Daten | | DDoS | verteilter Angriff auf Verfügbarkeit | | Man-in-the-Middle | Angreifer sitzt zwischen Kommunikationspartnern | | Spoofing | Identität oder Herkunft wird vorgetäuscht | | SQL Injection | SQL-Code wird eingeschleust | | XSS | Skript wird im Browser ausgeführt | | CSRF | gültige Sitzung wird missbraucht | | Brute Force | systematisches Ausprobieren | | Credential Stuffing | geleakte Zugangsdaten werden erneut genutzt | Merksatz: Angriff erkennen, Schutzziel zuordnen, Maßnahme nennen. --- **Mini-Spickzettel: Schutzmaßnahmen** | Risiko | Maßnahme | |---|---| | gestohlenes Passwort | MFA | | zu viele Rechte | Least Privilege | | Malware | EDR, Patchmanagement | | Ransomware | Backup, Segmentierung, Immutable Backup | | DDoS | DDoS-Schutz, CDN, Rate Limiting | | Datenabfluss | DLP, Verschlüsselung, Rechtekonzept | | Fehlkonfiguration | Change Management, Vier-Augen-Prinzip | | unklare Vorfälle | Logging, SIEM, Monitoring | | Phishing | Schulung, MFA, Mailfilter | Merksatz: Maßnahme muss zum Risiko passen. --- **Mini-Spickzettel: Authentifizierung und Autorisierung** | Begriff | Frage | Beispiel | |---|---|---| | Authentifizierung | Wer bist du? | Anmeldung mit Passwort und MFA | | Autorisierung | Was darfst du? | Zugriff auf Datei erlaubt oder verboten | Merksatz: Erst Identität prüfen, dann Rechte prüfen. --- **Mini-Spickzettel: Backup** | Begriff | Bedeutung | |---|---| | Backup | Sicherung | | Restore | Wiederherstellung | | Vollbackup | sichert alles | | inkrementell | Änderungen seit letztem Backup | | differenziell | Änderungen seit letztem Vollbackup | | Snapshot | Momentaufnahme | | RPO | maximaler Datenverlust | | RTO | maximale Wiederherstellungszeit | | Immutable Backup | unveränderliches Backup | Merksatz: Backup ohne Restore-Test ist unsicher. --- **Mini-Spickzettel: Backup, Sync und Replikation** | Begriff | Ziel | Wichtig | |---|---|---| | Backup | alte Zustände wiederherstellen | schützt Wiederherstellung | | Synchronisation | Orte gleich halten | Fehler werden oft übernommen | | Replikation | aktuelle Kopie bereitstellen | ersetzt kein Backup | | Redundanz | Ausfall abfedern | ersetzt kein Backup | Merksatz: Sync, Replikation und Redundanz sind kein Backup. --- **Mini-Spickzettel: Logging und Monitoring** | Begriff | Bedeutung | |---|---| | Logging | Ereignisse aufzeichnen | | Monitoring | Zustände überwachen | | Alerting | bei kritischen Zuständen alarmieren | | Reporting | Verlauf auswerten | | SIEM | Sicherheitslogs sammeln und korrelieren | | NTP | Zeit synchronisieren | Merksatz: Logs zeigen Ereignisse. Monitoring zeigt Zustände. --- **Mini-Spickzettel: Admin-Befehle** | Aufgabe | Windows | Linux/macOS | |---|---|---| | IP prüfen | ipconfig | ip addr | | Routing prüfen | route print | ip route | | DNS prüfen | nslookup | dig | | Erreichbarkeit prüfen | ping | ping | | Weg verfolgen | tracert | traceroute | | Verbindungen prüfen | netstat | ss | | Webdienst prüfen | PowerShell oder Browser | curl | | Dienst prüfen | services.msc, PowerShell | systemctl | | Logs prüfen | Ereignisanzeige | journalctl | Merksatz: Befehle liefern Fakten für die Fehlersuche. --- **Mini-Spickzettel: typische Fehlerbilder** | Fehlerbild | Wahrscheinliche Richtung | |---|---| | IP geht, Name nicht | DNS | | lokal geht, Internet nicht | Gateway, NAT, Firewall | | 169.254.x.x | DHCP | | Host erreichbar, Dienst nicht | Port, Dienst, Firewall | | Anmeldung scheitert | Authentifizierung | | Anmeldung geht, Zugriff nicht | Autorisierung, Rechte | | Zertifikatswarnung | Zertifikat, Hostname, Zeit | | nur ein VLAN betroffen | VLAN, Routing, Firewall | | nach Update defekt | Change, Version, Kompatibilität | | Backup nicht nutzbar | Restore-Test, Konsistenz, Schlüssel | Merksatz: Fehlerbild bestimmt die erste sinnvolle Prüfung. --- **Mini-Spickzettel: Antwortstruktur** Bei Fehlersuche: Ursache Begründung Prüfung Beispiel: Wahrscheinlich liegt ein DNS-Problem vor, da die IP-Adresse erreichbar ist, der Name aber nicht aufgelöst wird. Der DNS-Server sollte mit nslookup oder dig geprüft werden. Bei Sicherheitsfragen: Risiko Maßnahme Wirkung Beispiel: Das Risiko besteht im Missbrauch gestohlener Zugangsdaten. MFA reduziert dieses Risiko, weil ein Passwort allein nicht mehr ausreicht. Merksatz: Antwort kurz, fachlich und begründet formulieren. --- **Welche Spickzettel danach sinnvoll sind** Die nächsten Seiten können einzelne Spickzettel ausführlicher und sauber getrennt darstellen: OSI- und TCP/IP-Spickzettel Standardports-Spickzettel Subnetting-Spickzettel DNS-DHCP-Gateway-Spickzettel Sicherheitsbegriffe-Spickzettel Backup-Spickzettel Admin-Befehle-Spickzettel Prüfungs-Signalwörter-Spickzettel Merksatz: Erst Gesamtübersicht, dann einzelne Spickzettel. --- **IHK-sichere Kurzformulierung** Notizen, Cheatsheets und Spickzettel dienen der schnellen Wiederholung wichtiger Prüfungsinhalte. Sie fassen zentrale Begriffe, Standardports, OSI-Schichten, Subnetting-Regeln, Fehlerbilder, Sicherheitsmaßnahmen, Backup-Begriffe und Administrationsbefehle kompakt zusammen. Ein guter Spickzettel ist kurz, eindeutig, fachlich korrekt und schnell lesbar. Er ersetzt nicht das Verständnis der Themen, hilft aber dabei, kurz vor der Prüfung Begriffe sicher zu unterscheiden und typische Aufgaben schneller einzuordnen. --- **Merksätze** Spickzettel sind Kurzfassungen. Spickzettel ersetzen kein Verständnis. OSI hilft bei Fehlersuche. TCP/IP ist praxisnah. MAC ist lokal. IP ist logisch. Port ist Dienst. DNS löst Namen auf. DHCP verteilt Konfiguration. Gateway führt in andere Netze. TCP ist zuverlässig. UDP ist schlank. NAT übersetzt Adressen. PAT nutzt Ports. Firewall filtert Verkehr. DMZ trennt öffentliche Dienste. VPN verschlüsselt Verbindung. Cloud bedeutet geteilte Verantwortung. CIA bedeutet Vertraulichkeit, Integrität und Verfügbarkeit. MFA schützt gegen Passwortmissbrauch. Least Privilege begrenzt Rechte. Backup braucht Restore-Test. Sync ist kein Backup. Replikation ist kein Backup. Logs zeigen Ereignisse. Monitoring zeigt Zustände. Befehle liefern Fakten. Fehlerbilder geben Hinweise. Antwortstruktur bringt Punkte. Kurz, fachlich, begründet. # 19.2 OSI- und TCP/IP-Spickzettel Dieser Spickzettel fasst die wichtigsten Punkte zum OSI-Modell und TCP/IP-Modell kompakt zusammen. Er dient zur schnellen Wiederholung vor Prüfung, Klassenarbeit oder praktischer Fehlersuche. Merksatz: OSI ist das Denkmodell. TCP/IP ist das Praxismodell. --- **OSI-Modell Überblick** | Schicht | Name | Hauptaufgabe | Typische Begriffe | |---|---|---|---| | 7 | Anwendungsschicht | Netzwerkdienste für Anwendungen | HTTP, DNS, DHCP, SMTP, SMB | | 6 | Darstellungsschicht | Datenformat, Codierung, Verschlüsselung | TLS, SSL, Zeichensatz, Kompression | | 5 | Sitzungsschicht | Sitzungen aufbauen, halten, beenden | Session, Token, Cookie, Timeout | | 4 | Transportschicht | Ende-zu-Ende-Kommunikation | TCP, UDP, Ports | | 3 | Vermittlungsschicht | logische Adressierung und Routing | IP, ICMP, Router, Gateway | | 2 | Sicherungsschicht | lokale Übertragung im Netzwerksegment | MAC, Ethernet, Switch, VLAN, ARP | | 1 | Bitübertragungsschicht | Übertragung von Bits als Signale | Kabel, Funk, Stecker, Signal | Merksatz: OSI-Schichten von oben: Anwendung, Darstellung, Sitzung, Transport, Vermittlung, Sicherung, Bitübertragung. --- **OSI-Schichten kurz erklärt** | Schicht | Kurzbeschreibung | |---|---| | 7 Anwendung | Protokolle und Dienste, mit denen Anwendungen kommunizieren | | 6 Darstellung | Daten werden passend dargestellt, codiert, komprimiert oder verschlüsselt | | 5 Sitzung | Kommunikationssitzungen werden verwaltet | | 4 Transport | Daten werden Prozessen über Ports zugeordnet | | 3 Vermittlung | Pakete werden über Netze hinweg geroutet | | 2 Sicherung | Frames werden im lokalen Netz über MAC-Adressen übertragen | | 1 Bitübertragung | Bits werden elektrisch, optisch oder per Funk übertragen | Merksatz: Je höher die Schicht, desto näher an der Anwendung. Je niedriger die Schicht, desto näher am Medium. --- **TCP/IP-Modell Überblick** | TCP/IP-Schicht | Entspricht grob OSI | Hauptaufgabe | Beispiele | |---|---|---|---| | Anwendung | OSI 5 bis 7 | Anwendungsprotokolle | HTTP, DNS, DHCP, SMTP | | Transport | OSI 4 | Ende-zu-Ende-Kommunikation | TCP, UDP | | Internet | OSI 3 | Adressierung und Routing | IP, ICMP | | Netzzugang | OSI 1 bis 2 | lokale Übertragung | Ethernet, WLAN, MAC | Merksatz: TCP/IP fasst mehrere OSI-Schichten zusammen. --- **OSI-Modell und TCP/IP-Modell vergleichen** | OSI-Modell | TCP/IP-Modell | |---|---| | theoretisches Referenzmodell | praxisnahes Internetmodell | | 7 Schichten | meistens 4 Schichten | | feiner aufgeteilt | gröber zusammengefasst | | gut für Fehlersuche und Erklärung | gut für reale Protokolle | | Darstellung und Sitzung getrennt | in Anwendung zusammengefasst | Merksatz: OSI erklärt genauer. TCP/IP beschreibt die praktische Internetkommunikation. --- **Zuordnung OSI zu TCP/IP** | OSI-Schicht | OSI-Name | TCP/IP-Schicht | |---|---|---| | 7 | Anwendung | Anwendung | | 6 | Darstellung | Anwendung | | 5 | Sitzung | Anwendung | | 4 | Transport | Transport | | 3 | Vermittlung | Internet | | 2 | Sicherung | Netzzugang | | 1 | Bitübertragung | Netzzugang | Merksatz: TCP/IP-Anwendungsschicht umfasst OSI 5, 6 und 7. --- **Kapselung beim Senden** Beim Senden werden Daten schrittweise verpackt. Reihenfolge: Anwendung erzeugt Daten. Transportschicht ergänzt TCP- oder UDP-Informationen. Internetschicht ergänzt IP-Adressen. Sicherungsschicht ergänzt MAC-Adressen. Bitübertragungsschicht überträgt Bits als Signal. Merksatz: Jede Schicht ergänzt eigene Steuerinformationen. --- **Entkapselung beim Empfangen** Beim Empfangen werden die Verpackungen wieder entfernt. Reihenfolge: Bits werden empfangen. Frame wird geprüft. IP-Paket wird ausgewertet. TCP- oder UDP-Information wird ausgewertet. Daten werden an die Anwendung übergeben. Merksatz: Empfangen ist Kapselung rückwärts. --- **PDU-Begriffe** PDU bedeutet: Protocol Data Unit Damit ist die Dateneinheit einer Schicht gemeint. | Schicht | PDU | |---|---| | Anwendung | Daten | | Transport | Segment bei TCP, Datagramm bei UDP | | Vermittlung / Internet | Paket | | Sicherung | Frame | | Bitübertragung | Bits | Merksatz: Daten werden zu Segmenten, Paketen, Frames und Bits. --- **Adressarten nach Schicht** | Adressart | Schicht | Zweck | |---|---|---| | MAC-Adresse | Schicht 2 | lokale Zustellung im LAN | | IP-Adresse | Schicht 3 | logische Zustellung über Netze | | Portnummer | Schicht 4 | Zuordnung zu Dienst oder Prozess | | Name / URL | Schicht 7 | menschenlesbarer Zugriff auf Dienste | Merksatz: MAC lokal. IP logisch. Port Dienst. Name Anwendung. --- **Schicht 1: Bitübertragung** Aufgabe: Bits als elektrische, optische oder Funk-Signale übertragen. Typische Themen: Kabel Stecker Glasfaser Funk Signalqualität Dämpfung Link Geschwindigkeit Duplex Auto-Negotiation Typische Fehler: Kabel defekt Stecker falsch kein Link falsche Geschwindigkeit Störung Dämpfung zu hoch Merksatz: Schicht 1 fragt: Kommt überhaupt ein Signal an? --- **Schicht 2: Sicherung** Aufgabe: lokale Kommunikation im gleichen Netzwerksegment. Typische Themen: Ethernet MAC-Adresse Switch VLAN ARP Frame MAC-Adresstabelle STP Broadcast Typische Fehler: falsches VLAN Switchport falsch ARP-Problem MAC-Flooding Loop Broadcast-Sturm Duplexproblem Merksatz: Schicht 2 fragt: Funktioniert die lokale Zustellung? --- **Schicht 3: Vermittlung** Aufgabe: Kommunikation zwischen verschiedenen Netzen. Typische Themen: IP-Adresse Subnetzmaske Gateway Routing ICMP Router NAT IPv4 IPv6 Typische Fehler: falsche IP-Adresse falsche Subnetzmaske falsches Gateway fehlende Route Routingfehler NAT-Problem ICMP blockiert Merksatz: Schicht 3 fragt: Findet das Paket den Weg ins Zielnetz? --- **Schicht 4: Transport** Aufgabe: Daten dem richtigen Dienst oder Prozess zuordnen. Typische Themen: TCP UDP Ports Verbindungsaufbau Zustellung Flusskontrolle Segment Datagramm Typische Fehler: Port blockiert Dienst lauscht nicht falsches Protokoll TCP-Verbindung scheitert UDP-Antwort fehlt Firewall blockiert Port Merksatz: Schicht 4 fragt: Ist der richtige Dienst über den richtigen Port erreichbar? --- **Schicht 5: Sitzung** Aufgabe: Kommunikationssitzungen verwalten. Typische Themen: Session Sitzung Token Cookie Timeout Wiederaufnahme Sitzungs-ID Typische Fehler: Session abgelaufen Cookie fehlt Token ungültig Sitzung wird getrennt Load Balancer ohne Session Persistence Merksatz: Schicht 5 fragt: Bleibt die Kommunikationssitzung bestehen? --- **Schicht 6: Darstellung** Aufgabe: Daten passend darstellen, codieren, komprimieren oder verschlüsseln. Typische Themen: TLS SSL Zertifikat Zeichensatz Codierung Kompression Dateiformat Typische Fehler: Zertifikat abgelaufen Hostname passt nicht falscher Zeichensatz TLS-Version inkompatibel Zertifikatskette fehlerhaft Merksatz: Schicht 6 fragt: Können die Daten richtig dargestellt und geschützt werden? --- **Schicht 7: Anwendung** Aufgabe: Dienste und Protokolle für Anwendungen bereitstellen. Typische Themen: HTTP HTTPS DNS DHCP SMTP IMAP POP3 SMB LDAP SNMP NTP Typische Fehler: DNS löst nicht auf DHCP vergibt keine IP Webseite liefert Fehler Mailversand funktioniert nicht Freigabe nicht erreichbar Anwendung falsch konfiguriert Merksatz: Schicht 7 fragt: Funktioniert der konkrete Anwendungsdienst? --- **Fehlersuche nach OSI-Modell** Sinnvolle Reihenfolge: 1. Schicht 1: Kabel, Link, WLAN, Signal 2. Schicht 2: VLAN, MAC, Switch, ARP 3. Schicht 3: IP, Maske, Gateway, Routing 4. Schicht 4: TCP, UDP, Port, Firewall 5. Schicht 5 bis 7: Session, TLS, DNS, DHCP, HTTP, Anwendung Merksatz: Erst Verbindung, dann Adresse, dann Dienst, dann Anwendung. --- **Typische Fehlerbilder nach Schichten** | Fehlerbild | Wahrscheinliche Schicht | |---|---| | kein Link am Switchport | Schicht 1 | | falsches VLAN | Schicht 2 | | ARP findet keine MAC-Adresse | Schicht 2 | | falsche IP-Adresse | Schicht 3 | | Gateway falsch | Schicht 3 | | Route fehlt | Schicht 3 | | Port nicht erreichbar | Schicht 4 | | TCP-Verbindung scheitert | Schicht 4 | | Session läuft ab | Schicht 5 | | Zertifikatswarnung | Schicht 6 | | DNS-Name wird nicht aufgelöst | Schicht 7 | | HTTP 500 | Schicht 7 | Merksatz: Fehlerbild einer Schicht zuordnen, dann gezielt prüfen. --- **Typische Protokolle nach Schicht** | Protokoll | Schicht | Zweck | |---|---|---| | Ethernet | 2 | lokale Frame-Übertragung | | ARP | 2 / zwischen 2 und 3 | IPv4 zu MAC auflösen | | IP | 3 | logische Adressierung | | ICMP | 3 | Diagnose und Fehlermeldungen | | TCP | 4 | zuverlässiger Transport | | UDP | 4 | verbindungsloser Transport | | TLS | 6 | Verschlüsselung und Zertifikate | | DNS | 7 | Namensauflösung | | DHCP | 7 | automatische IP-Konfiguration | | HTTP | 7 | Webkommunikation | | SMTP | 7 | E-Mail-Versand | | SMB | 7 | Datei- und Druckfreigaben | Merksatz: Protokolle immer ihrer Aufgabe zuordnen, nicht nur auswendig lernen. --- **Typische Geräte nach Schicht** | Gerät | Typische Schicht | Aufgabe | |---|---|---| | Kabel | 1 | Signal übertragen | | Repeater | 1 | Signal weitergeben | | Hub | 1 | Bits an alle Ports weitergeben | | Switch | 2 | Frames anhand MAC weiterleiten | | Access Point | 2 | WLAN-Zugang ins LAN | | Router | 3 | Netze verbinden | | Layer-3-Switch | 3 | Routing zwischen VLANs | | Firewall | 3 bis 7 | Verkehr filtern | | Load Balancer | 4 bis 7 | Verkehr verteilen | | Proxy | 7 | Anwendungsverkehr vermitteln | Merksatz: Geräte können je nach Funktion auf mehreren Schichten arbeiten. --- **Wichtige Prüfungsfalle: Gerät nicht starr einordnen** Ein Gerät kann mehrere Funktionen haben. Beispiele: Eine Firewall kann auf Schicht 3 IPs filtern, auf Schicht 4 Ports filtern und auf Schicht 7 Anwendungen prüfen. Ein Layer-3-Switch kann switchen und routen. Ein Access Point arbeitet für WLAN-Zugang hauptsächlich auf Schicht 2, kann aber zusätzliche Sicherheitsfunktionen bieten. Merksatz: Entscheidend ist die Funktion, nicht nur der Gerätename. --- **Typische Werkzeuge nach Schicht** | Werkzeug | Hilft bei | |---|---| | Kabeltester | Schicht 1 | | Switchport-Status | Schicht 1 / 2 | | ARP-Tabelle | Schicht 2 | | ping | Schicht 3 | | traceroute / tracert | Schicht 3 | | ipconfig / ip addr | Schicht 3 | | route print / ip route | Schicht 3 | | netstat / ss | Schicht 4 | | nslookup / dig | Schicht 7 | | curl | Schicht 7 | | Wireshark | mehrere Schichten | Merksatz: Das richtige Werkzeug hängt von der vermuteten Schicht ab. --- **Mini-Diagnose: IP geht, Name nicht** Fehlerbild: Zugriff per IP-Adresse funktioniert. Zugriff per Name funktioniert nicht. Wahrscheinliche Schicht: Schicht 7 Wahrscheinliches Thema: DNS Prüfen: DNS-Server DNS-Eintrag DNS-Suffix DNS-Cache Split-DNS bei VPN Merksatz: IP ja, Name nein: DNS. --- **Mini-Diagnose: lokal geht, extern nicht** Fehlerbild: Geräte im gleichen Netz sind erreichbar. Internet oder andere Netze nicht. Wahrscheinliche Schicht: Schicht 3 Wahrscheinliches Thema: Gateway, Routing, NAT oder Firewall Prüfen: Gateway Routing-Tabelle NAT Firewall-Regeln Providerverbindung Merksatz: Lokal ja, extern nein: Gateway und Routing prüfen. --- **Mini-Diagnose: Host geht, Dienst nicht** Fehlerbild: Server ist per ping erreichbar. Anwendung oder Dienst aber nicht. Wahrscheinliche Schicht: Schicht 4 bis 7 Wahrscheinliches Thema: Port, Dienststatus, Firewall oder Anwendung Prüfen: Port offen? Dienst läuft? Firewall erlaubt? Dienst lauscht auf richtiger Schnittstelle? Logs prüfen. Merksatz: Host erreichbar heißt nicht, dass der Dienst funktioniert. --- **Mini-Diagnose: Zertifikatswarnung** Fehlerbild: Browser oder Anwendung meldet Zertifikatsfehler. Wahrscheinliche Schicht: Schicht 6 Prüfen: Ablaufdatum Hostname Zertifikatskette Uhrzeit falsches Zertifikat TLS-Konfiguration Merksatz: Zertifikatsfehler: Name, Ablauf, Kette und Zeit prüfen. --- **Mini-Diagnose: falsche automatische IP** Fehlerbild: Client hat 169.254.x.x. Wahrscheinliche Schicht: Schicht 7 mit DHCP, aber Ursache kann auch Schicht 1, 2 oder 3 sein. Prüfen: Netzwerkverbindung VLAN DHCP-Server DHCP-Scope DHCP-Relay Firewall Lease-Bereich Merksatz: 169.254.x.x bedeutet: DHCP wurde nicht erfolgreich erreicht. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Nennen Sie die sieben OSI-Schichten. - Ordnen Sie TCP/IP-Schichten den OSI-Schichten zu. - Erklären Sie Kapselung. - Was ist eine PDU? - Ordnen Sie MAC-Adresse, IP-Adresse und Port den passenden Schichten zu. - Auf welcher Schicht arbeitet ein Switch? - Auf welcher Schicht arbeitet ein Router? - Welche Schicht ist bei DNS betroffen? - Welche Schicht ist bei Routing betroffen? - Welche Schicht ist bei TCP und UDP betroffen? - Warum hilft das OSI-Modell bei der Fehlersuche? - Warum ist TCP/IP praxisnäher als OSI? - Warum kann eine Firewall mehreren Schichten zugeordnet werden? --- **Typische Prüfungsfallen** OSI und TCP/IP verwechseln. TCP/IP-Anwendungsschicht nur mit OSI 7 gleichsetzen. MAC-Adresse der falschen Schicht zuordnen. IP-Adresse mit MAC-Adresse verwechseln. Port als Schicht-3-Thema einordnen. Switch und Router verwechseln. DNS und DHCP beide einfach nur als „Netzwerk“ bezeichnen. TLS nur als Anwendung sehen, obwohl es zur Darstellung/Verschlüsselung passt. ping als vollständigen Anwendungstest verstehen. Gerät starr einer Schicht zuordnen, obwohl die Funktion entscheidend ist. Merksatz: Nicht der Name entscheidet, sondern die Aufgabe im Kommunikationsprozess. --- **IHK-sichere Kurzformulierung** Das OSI-Modell ist ein siebenschichtiges Referenzmodell zur Beschreibung von Netzwerkkommunikation und Fehlersuche. Die Schichten reichen von der Bitübertragungsschicht bis zur Anwendungsschicht. Das TCP/IP-Modell ist praxisnäher und besteht meist aus Anwendung, Transport, Internet und Netzzugang. Dabei entspricht die TCP/IP-Anwendungsschicht grob den OSI-Schichten 5 bis 7, die Transportschicht OSI 4, die Internetschicht OSI 3 und die Netzzugangsschicht OSI 1 bis 2. Bei der Kapselung ergänzt jede Schicht eigene Steuerinformationen. MAC-Adressen gehören zu Schicht 2, IP-Adressen zu Schicht 3 und Ports zu Schicht 4. Für die Fehlersuche hilft das OSI-Modell, Probleme systematisch von unten nach oben einzugrenzen. --- **Merksätze** OSI ist das Denkmodell. TCP/IP ist das Praxismodell. OSI hat 7 Schichten. TCP/IP hat meistens 4 Schichten. TCP/IP-Anwendung umfasst OSI 5 bis 7. TCP/IP-Transport entspricht OSI 4. TCP/IP-Internet entspricht OSI 3. TCP/IP-Netzzugang umfasst OSI 1 bis 2. Kapselung verpackt Daten schrittweise. Entkapselung entpackt Daten schrittweise. PDU bedeutet Protocol Data Unit. Daten werden zu Segmenten, Paketen, Frames und Bits. MAC-Adresse ist Schicht 2. IP-Adresse ist Schicht 3. Port ist Schicht 4. Name oder URL ist Schicht 7. Schicht 1 prüft Signal. Schicht 2 prüft lokale Zustellung. Schicht 3 prüft Routing. Schicht 4 prüft Ports. Schicht 5 prüft Sitzungen. Schicht 6 prüft Darstellung und Verschlüsselung. Schicht 7 prüft den Anwendungsdienst. Switch arbeitet hauptsächlich auf Schicht 2. Router arbeitet auf Schicht 3. Firewall kann mehrere Schichten betreffen. DNS ist Anwendungsschicht. DHCP ist Anwendungsschicht. TCP und UDP sind Transportschicht. IP und ICMP gehören zur Vermittlungsschicht. ARP verbindet IPv4 und MAC im lokalen Netz. Fehler immer schichtweise eingrenzen. Erst Verbindung, dann Adresse, dann Dienst, dann Anwendung. # 19.3 Standardports-Spickzettel Dieser Spickzettel fasst wichtige Standardports kompakt zusammen. Er ist besonders wichtig für: - Firewall-Regeln - Fehlersuche - Protokollzuordnung - Sicherheitsfragen - Prüfungsaufgaben - Netzwerkdokumentation Merksatz: Ports zeigen, welcher Dienst auf einem Host angesprochen wird. --- **Grundidee: Was ist ein Port?** Ein Port ist eine logische Nummer, mit der ein Dienst oder Prozess auf einem System angesprochen wird. Beispiel: IP-Adresse: Welcher Host? Port: Welcher Dienst auf diesem Host? Beispiel: 192.168.1.10:443 Bedeutung: Host 192.168.1.10 Dienst auf Port 443 Merksatz: IP findet den Host. Port findet den Dienst. --- **Port und OSI-Schicht** Ports gehören zur Transportschicht. OSI-Schicht: Schicht 4 Protokolle: TCP UDP Merksatz: Ports sind Schicht 4. --- **TCP und UDP bei Ports** Ein Port allein reicht nicht immer aus. Wichtig ist auch, ob TCP oder UDP verwendet wird. Beispiel: TCP 53 und UDP 53 sind nicht dasselbe, auch wenn die Portnummer gleich ist. Merksatz: Portnummer immer zusammen mit TCP oder UDP betrachten. --- **Well-Known Ports** Well-Known Ports sind bekannte Standardports. Bereich: 0 bis 1023 Beispiele: TCP 22 SSH TCP 80 HTTP TCP 443 HTTPS UDP 53 DNS Merksatz: Well-Known Ports sind bekannte Dienstports. --- **Registered Ports** Registered Ports liegen im Bereich: 1024 bis 49151 Sie werden häufig von Anwendungen, Diensten oder Herstellern genutzt. Beispiele: TCP 3306 MySQL TCP 5432 PostgreSQL TCP 8080 alternativer HTTP-Port Merksatz: Registered Ports werden oft von Anwendungen genutzt. --- **Dynamic oder Ephemeral Ports** Dynamische Ports werden häufig für Clientverbindungen genutzt. Bereich: 49152 bis 65535 Beispiel: Client verbindet sich von zufälligem hohen Quellport zu Server TCP 443. Merksatz: Server lauscht meist auf bekanntem Port. Client nutzt oft dynamischen Quellport. --- **Quellport und Zielport** Bei einer Verbindung gibt es: Quell-IP Quellport Ziel-IP Zielport Beispiel: Client: 192.168.1.50:52344 Server: 93.184.216.34:443 Bedeutung: Client nutzt dynamischen Quellport. Server nutzt Zielport HTTPS. Merksatz: Zielport zeigt meist den angesprochenen Dienst. --- **Wichtige Standardports Gesamtübersicht** | Dienst | Protokoll | Port | Zweck | |---|---|---:|---| | FTP Control | TCP | 21 | klassische FTP-Steuerverbindung | | FTP Data | TCP | 20 | klassische FTP-Datenverbindung im aktiven Modus | | SSH | TCP | 22 | verschlüsselter Kommandozeilenzugriff | | Telnet | TCP | 23 | unverschlüsselter Fernzugriff | | SMTP | TCP | 25 | E-Mail-Versand zwischen Mailservern | | DNS | UDP/TCP | 53 | Namensauflösung | | DHCP Server | UDP | 67 | DHCP-Server | | DHCP Client | UDP | 68 | DHCP-Client | | HTTP | TCP | 80 | unverschlüsselte Webkommunikation | | POP3 | TCP | 110 | E-Mail-Abruf | | NTP | UDP | 123 | Zeitsynchronisation | | IMAP | TCP | 143 | E-Mail-Abruf und Synchronisation | | SNMP | UDP | 161 | Netzwerkmanagement | | SNMP Trap | UDP | 162 | SNMP-Ereignismeldungen | | LDAP | TCP/UDP | 389 | Verzeichnisdienst | | HTTPS | TCP | 443 | verschlüsselte Webkommunikation | | SMB | TCP | 445 | Datei- und Druckfreigaben | | SMTPS | TCP | 465 | SMTP über TLS | | Syslog | UDP | 514 | Logübertragung | | LDAPS | TCP | 636 | LDAP über TLS | | IMAPS | TCP | 993 | IMAP über TLS | | POP3S | TCP | 995 | POP3 über TLS | | RDP | TCP | 3389 | Remote Desktop | | PostgreSQL | TCP | 5432 | Datenbankdienst | | HTTP Alternate | TCP | 8080 | alternativer Webport | Merksatz: Port, Protokoll und Dienst zusammen lernen. --- **Webports** | Dienst | Protokoll | Port | Bedeutung | |---|---|---:|---| | HTTP | TCP | 80 | unverschlüsselte Webseite | | HTTPS | TCP | 443 | verschlüsselte Webseite | | HTTP Alternate | TCP | 8080 | alternativer Webdienst | | HTTPS Alternate | TCP | 8443 | alternativer verschlüsselter Webdienst | Merksatz: HTTP ist unverschlüsselt. HTTPS ist verschlüsselt. --- **HTTP und HTTPS unterscheiden** HTTP: Hypertext Transfer Protocol nutzt meist TCP 80 keine Transportverschlüsselung HTTPS: HTTP über TLS nutzt meist TCP 443 verschlüsselte Verbindung Merksatz: HTTPS = HTTP plus TLS. --- **E-Mail-Ports** | Dienst | Protokoll | Port | Zweck | |---|---|---:|---| | SMTP | TCP | 25 | Mailserver zu Mailserver | | Submission | TCP | 587 | E-Mail-Versand durch Clients mit Authentifizierung | | SMTPS | TCP | 465 | SMTP über TLS | | POP3 | TCP | 110 | E-Mail abrufen | | POP3S | TCP | 995 | POP3 verschlüsselt | | IMAP | TCP | 143 | E-Mail synchronisieren | | IMAPS | TCP | 993 | IMAP verschlüsselt | Merksatz: SMTP sendet. POP3 und IMAP empfangen. --- **SMTP, POP3 und IMAP unterscheiden** SMTP: E-Mails senden POP3: E-Mails abrufen, eher einfaches Herunterladen IMAP: E-Mails auf Server synchron verwalten Merksatz: SMTP raus. POP3 und IMAP rein. --- **DNS-Ports** | Dienst | Protokoll | Port | Zweck | |---|---|---:|---| | DNS | UDP | 53 | normale DNS-Abfragen | | DNS | TCP | 53 | große Antworten, Zonentransfers, bestimmte Spezialfälle | Merksatz: DNS nutzt häufig UDP 53, kann aber auch TCP 53 nutzen. --- **DHCP-Ports** | Dienst | Protokoll | Port | Bedeutung | |---|---|---:|---| | DHCP Server | UDP | 67 | Server empfängt Anfragen | | DHCP Client | UDP | 68 | Client empfängt Antworten | Merksatz: DHCP nutzt UDP 67 und 68. --- **DHCP und Broadcast** DHCP nutzt am Anfang Broadcast, weil der Client noch keine vollständige IP-Konfiguration hat. Ablauf: Discover Offer Request Acknowledge Merksatz: DHCP-DORA gehört zu UDP 67 und 68. --- **Fernadministration-Ports** | Dienst | Protokoll | Port | Sicherheit | |---|---|---:|---| | SSH | TCP | 22 | verschlüsselt | | Telnet | TCP | 23 | unverschlüsselt, unsicher | | RDP | TCP | 3389 | verschlüsselt möglich, stark absichern | Merksatz: SSH statt Telnet. RDP nicht offen ins Internet stellen. --- **SSH** SSH steht für: Secure Shell Standardport: TCP 22 Nutzung: sichere Kommandozeile SFTP SCP Administration von Servern und Netzwerkgeräten Merksatz: SSH = sicherer Fernzugriff über TCP 22. --- **Telnet** Telnet nutzt: TCP 23 Problem: unverschlüsselte Übertragung Risiko: Zugangsdaten können mitgelesen werden. Merksatz: Telnet ist unsicher und sollte vermieden werden. --- **RDP** RDP steht für: Remote Desktop Protocol Standardport: TCP 3389 Nutzung: grafischer Fernzugriff auf Windows-Systeme Sicherheit: möglichst über VPN, RDP-Gateway, MFA und Firewall-Beschränkung Merksatz: RDP = TCP 3389, aber nicht offen ins Internet. --- **Dateiübertragungs- und Freigabeports** | Dienst | Protokoll | Port | Zweck | |---|---|---:|---| | FTP Data | TCP | 20 | FTP-Datenkanal aktiv | | FTP Control | TCP | 21 | FTP-Steuerkanal | | SFTP | TCP | 22 | Dateiübertragung über SSH | | FTPS | TCP | 21 oder 990 | FTP mit TLS | | SMB | TCP | 445 | Datei- und Druckfreigaben | | NFS | TCP/UDP | 2049 | Unix-/Linux-Dateifreigaben | Merksatz: SFTP nutzt SSH. SMB nutzt TCP 445. --- **FTP, FTPS und SFTP** FTP: klassisches File Transfer Protocol meist TCP 21 unverschlüsselt FTPS: FTP mit TLS-Verschlüsselung nutzt FTP-Grundlage SFTP: Dateiübertragung über SSH nutzt TCP 22 Merksatz: FTPS ist FTP mit TLS. SFTP ist Dateiübertragung über SSH. --- **SMB** SMB steht für: Server Message Block Standardport: TCP 445 Nutzung: Windows-Dateifreigaben Druckerfreigaben Netzlaufwerke Merksatz: SMB = Dateifreigaben über TCP 445. --- **NFS** NFS steht für: Network File System Standardport: TCP/UDP 2049 Nutzung: Unix- und Linux-Dateifreigaben Serverfreigaben Virtualisierungsspeicher Backupziele Merksatz: NFS ist typisch für Unix- und Linux-Umgebungen. --- **Verzeichnisdienst-Ports** | Dienst | Protokoll | Port | Zweck | |---|---|---:|---| | LDAP | TCP/UDP | 389 | Verzeichnisdienst | | LDAPS | TCP | 636 | LDAP über TLS | | Kerberos | TCP/UDP | 88 | Authentifizierungsprotokoll | Merksatz: LDAP fragt Verzeichnisinformationen ab. Kerberos dient der Authentifizierung. --- **LDAP und LDAPS** LDAP: Lightweight Directory Access Protocol nutzt meist TCP/UDP 389 LDAPS: LDAP über TLS nutzt meist TCP 636 Merksatz: LDAPS = LDAP verschlüsselt. --- **Kerberos** Kerberos ist ein Authentifizierungsprotokoll. Standardport: TCP/UDP 88 Wichtig: Zeitabweichungen können Kerberos-Probleme verursachen. Merksatz: Kerberos braucht korrekte Zeit. --- **Zeit und Management** | Dienst | Protokoll | Port | Zweck | |---|---|---:|---| | NTP | UDP | 123 | Zeitsynchronisation | | SNMP | UDP | 161 | Netzwerkmanagement | | SNMP Trap | UDP | 162 | Ereignismeldung vom Gerät | | Syslog | UDP | 514 | Logübertragung | Merksatz: NTP sorgt für gleiche Zeit. SNMP überwacht Geräte. Syslog sammelt Logs. --- **NTP** NTP steht für: Network Time Protocol Standardport: UDP 123 Wichtig für: Logs Zertifikate Kerberos Tickets Zeitstempel geplante Aufgaben Merksatz: Ohne korrekte Zeit wird Fehlersuche schwerer. --- **SNMP** SNMP steht für: Simple Network Management Protocol Standardports: UDP 161 für Abfragen UDP 162 für Traps Nutzung: Netzwerkgeräte überwachen Status abfragen Messwerte erfassen Ereignisse melden Merksatz: SNMP fragt ab, SNMP Trap meldet Ereignisse. --- **Syslog** Syslog dient zur Übertragung von Logmeldungen. Standardport: UDP 514 Nutzung: zentrale Logsammlung Firewall-Logs Switch-Logs Router-Logs Server-Logs Merksatz: Syslog transportiert Logmeldungen. --- **Datenbankports** | Dienst | Protokoll | Port | Zweck | |---|---|---:|---| | MySQL / MariaDB | TCP | 3306 | Datenbankdienst | | PostgreSQL | TCP | 5432 | Datenbankdienst | | Microsoft SQL Server | TCP | 1433 | Datenbankdienst | | MongoDB | TCP | 27017 | Datenbankdienst | Merksatz: Datenbankports sollten nicht unnötig öffentlich erreichbar sein. --- **Sicherheitsregel für Datenbankports** Datenbanken sollten normalerweise nur erreichbar sein für: Anwendungserver Adminnetz Backupsysteme Monitoring Nicht sinnvoll: Datenbank direkt öffentlich ins Internet stellen. Merksatz: Datenbankports gehören nicht offen ins Internet. --- **Typische Proxy- und Alternativports** | Dienst | Protokoll | Port | Zweck | |---|---|---:|---| | HTTP Alternate | TCP | 8080 | alternativer Webdienst | | HTTPS Alternate | TCP | 8443 | alternativer HTTPS-Dienst | | Proxy | TCP | 3128 | häufig genutzter Proxy-Port | | SOCKS Proxy | TCP | 1080 | SOCKS-Proxy | Merksatz: 8080 und 8443 werden oft für Weboberflächen oder Testdienste genutzt. --- **Portbereiche kompakt** | Bereich | Name | Bedeutung | |---|---|---| | 0 bis 1023 | Well-Known Ports | bekannte Systemdienste | | 1024 bis 49151 | Registered Ports | registrierte Anwendungsports | | 49152 bis 65535 | Dynamic / Ephemeral Ports | dynamische Clientports | Merksatz: Niedrige Ports sind oft Serverdienste. Hohe Ports sind oft Client-Quellports. --- **Ports in Firewall-Regeln** Firewall-Regeln sollten enthalten: Quelle Ziel Protokoll Zielport Aktion Richtung Zweck Beispiel: | Quelle | Ziel | Protokoll | Port | Aktion | Zweck | |---|---|---|---:|---|---| | Client-Netz | Webserver | TCP | 443 | erlauben | HTTPS-Zugriff | | Adminnetz | Server | TCP | 22 | erlauben | SSH-Administration | | Internet | Datenbank | TCP | 5432 | blockieren | Datenbank schützen | Merksatz: Firewall-Regeln immer so genau wie möglich formulieren. --- **Any-to-Any-Regeln** Any-to-Any bedeutet: jede Quelle zu jedem Ziel Problem: sehr große Angriffsfläche schlechte Nachvollziehbarkeit unnötige Freigaben hohes Sicherheitsrisiko Merksatz: Any-to-Any ist fast immer kritisch. --- **Ports bei Fehlersuche** Wenn ein Dienst nicht erreichbar ist, prüfen: Läuft der Dienst? Lauscht der Dienst auf dem richtigen Port? Lauscht der Dienst auf der richtigen Schnittstelle? Blockiert die lokale Firewall? Blockiert eine Netzwerkfirewall? Ist NAT oder Portweiterleitung korrekt? Stimmt TCP oder UDP? Zeigen Logs Fehler? Merksatz: Host erreichbar heißt nicht, dass der Port erreichbar ist. --- **Typische Fehlerbilder mit Ports** | Fehlerbild | Mögliche Ursache | |---|---| | Ping funktioniert, Webseite nicht | TCP 80 oder 443, Webdienst oder Firewall | | SSH nicht erreichbar | TCP 22 blockiert, Dienst aus, falscher Port | | RDP nicht erreichbar | TCP 3389 blockiert, RDP deaktiviert, VPN fehlt | | DNS funktioniert nicht | UDP/TCP 53 blockiert oder DNS-Server falsch | | DHCP funktioniert nicht | UDP 67/68, VLAN oder DHCP-Relay | | SMB-Freigabe nicht erreichbar | TCP 445 blockiert oder Rechteproblem | | Mailversand schlägt fehl | SMTP-Port, Authentifizierung oder Mailserver | | Datenbank nicht erreichbar | Datenbankport, Firewall oder Dienststatus | Merksatz: Bei Dienstproblemen immer Port, Protokoll und Dienststatus prüfen. --- **TCP-Status kurz einordnen** | Status | Bedeutung | |---|---| | LISTEN | Dienst wartet auf eingehende Verbindung | | ESTABLISHED | Verbindung besteht | | SYN_SENT | Verbindungsaufbau gestartet | | TIME_WAIT | Verbindung wurde beendet, Wartephase | | CLOSE_WAIT | Gegenseite hat beendet, lokale Anwendung noch nicht | Merksatz: LISTEN zeigt: Ein Dienst wartet auf Verbindungen. --- **Portscanner fachlich einordnen** Ein Portscanner prüft, welche Ports auf einem Ziel erreichbar sind. Nutzung: Sicherheitsprüfung Fehlersuche Inventarisierung Prüfung von Firewall-Regeln Wichtig: Nur mit Erlaubnis einsetzen. Merksatz: Portscan zeigt erreichbare Dienste, aber nicht automatisch deren Sicherheit. --- **Ports und Sicherheit** Offene Ports bedeuten: ein Dienst ist erreichbar Risiko: Angriffsfläche steigt Sicherheitsmaßnahmen: nur notwendige Ports öffnen Dienste patchen starke Authentifizierung Firewall einschränken Logging aktivieren nicht benötigte Dienste deaktivieren keine Adminports öffentlich bereitstellen Merksatz: Jeder offene Port ist eine mögliche Angriffsfläche. --- **Besonders kritische Ports** Kritisch bei direkter Internet-Erreichbarkeit: TCP 22 SSH TCP 3389 RDP TCP 445 SMB TCP 3306 MySQL TCP 5432 PostgreSQL TCP 1433 Microsoft SQL Server TCP 23 Telnet Warum kritisch? Adminzugänge Dateifreigaben Datenbanken unverschlüsselte Protokolle häufige Angriffsziele Merksatz: Admin-, Datei- und Datenbankports nicht frei ins Internet stellen. --- **Prüfungsfalle: Port offen bedeutet nicht Zugriff erlaubt** Ein offener Port bedeutet: Dienst ist grundsätzlich erreichbar. Aber Zugriff kann trotzdem scheitern durch: falsche Zugangsdaten fehlende Rechte Anwendungskonfiguration Zertifikatsproblem IP-Beschränkung MFA Lizenz interne Fehlermeldung Merksatz: Port offen heißt nicht automatisch: Anwendung funktioniert vollständig. --- **Prüfungsfalle: Ping ersetzt keinen Porttest** Ping prüft ICMP. Ping prüft nicht automatisch, ob ein TCP- oder UDP-Dienst erreichbar ist. Beispiel: ping auf Webserver funktioniert aber TCP 443 ist blockiert Ergebnis: Webseite trotzdem nicht erreichbar. Merksatz: Ping prüft Host-Erreichbarkeit, nicht den Dienst. --- **Prüfungsfalle: gleicher Port, anderes Protokoll** Beispiel: DNS nutzt UDP 53 und DNS kann TCP 53 nutzen. Eine Firewall-Regel nur für TCP 53 reicht nicht immer aus. Merksatz: TCP und UDP getrennt beachten. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Welchen Port nutzt SSH? - Welchen Port nutzt HTTPS? - Welchen Port nutzt RDP? - Welchen Port nutzt SMB? - Welche Ports nutzt DHCP? - Warum nutzt DNS UDP und TCP 53? - Warum ist Telnet unsicher? - Warum sollte RDP nicht direkt im Internet erreichbar sein? - Was ist der Unterschied zwischen Quellport und Zielport? - Was ist ein Well-Known Port? - Warum ist ein offener Datenbankport kritisch? - Warum ersetzt ping keinen Porttest? - Welche Angaben gehören in eine Firewall-Regel? --- **Typische Prüfungsfallen** TCP und UDP nicht angegeben. Portnummer richtig, aber falsches Protokoll. DNS nur als UDP betrachten, TCP 53 vergessen. DHCP-Ports 67 und 68 verwechseln. SSH und Telnet verwechseln. SFTP und FTPS verwechseln. SMTP, POP3 und IMAP verwechseln. RDP öffentlich erlauben. SMB öffentlich erlauben. Datenbankport öffentlich erlauben. Ping als Diensttest verstehen. Offenen Port mit erfolgreicher Anmeldung verwechseln. Merksatz: Portwissen muss immer mit Dienst, Protokoll und Sicherheitswirkung verbunden werden. --- **IHK-sichere Kurzformulierung** Ports dienen auf der Transportschicht zur Zuordnung von Netzwerkverkehr zu Diensten oder Prozessen. Ein Zielport zeigt meist den angesprochenen Dienst, zum Beispiel TCP 22 für SSH, TCP 443 für HTTPS, TCP 445 für SMB oder TCP 3389 für RDP. Dabei muss immer zwischen TCP und UDP unterschieden werden. DNS nutzt häufig UDP 53, kann aber auch TCP 53 verwenden. DHCP nutzt UDP 67 für den Server und UDP 68 für den Client. Offene Ports vergrößern die Angriffsfläche und sollten über Firewall-Regeln nur gezielt freigegeben werden. Besonders Admin-, Datei- und Datenbankports sollten nicht unnötig öffentlich erreichbar sein. --- **Merksätze** Port = Dienstadresse auf einem Host. Ports gehören zu OSI-Schicht 4. Port immer mit TCP oder UDP nennen. Zielport zeigt meist den Dienst. Quellport ist beim Client oft dynamisch. Well-Known Ports liegen bei 0 bis 1023. SSH nutzt TCP 22. Telnet nutzt TCP 23 und ist unsicher. HTTP nutzt TCP 80. HTTPS nutzt TCP 443. DNS nutzt UDP und TCP 53. DHCP nutzt UDP 67 und 68. SMTP nutzt TCP 25. Submission nutzt TCP 587. POP3 nutzt TCP 110. IMAP nutzt TCP 143. SMB nutzt TCP 445. RDP nutzt TCP 3389. NTP nutzt UDP 123. SNMP nutzt UDP 161 und 162. LDAP nutzt 389. LDAPS nutzt 636. Kerberos nutzt 88. MySQL nutzt TCP 3306. PostgreSQL nutzt TCP 5432. SFTP nutzt SSH und damit TCP 22. FTPS ist FTP mit TLS. FTP ist unverschlüsselt. Jeder offene Port ist Angriffsfläche. Ping ersetzt keinen Porttest. Port offen heißt nicht automatisch Anwendung funktioniert. Datenbankports nicht öffentlich freigeben. Adminports stark absichern. Firewall-Regeln genau formulieren. Any-to-Any ist kritisch. # 19.4 Subnetting-Spickzettel Dieser Spickzettel fasst die wichtigsten Regeln für IPv4-Subnetting kompakt zusammen. Er ist besonders wichtig für: - Netzadresse berechnen - Broadcastadresse berechnen - nutzbare Hostadressen bestimmen - Hostanzahl berechnen - Subnetze vergleichen - Subnetzmasken verstehen - Prüfungsaufgaben schneller lösen Merksatz: Subnetting ist das Aufteilen eines IP-Netzes in kleinere Teilnetze. --- **Grundidee von Subnetting** Eine IPv4-Adresse besteht aus: Netzanteil und Hostanteil Der Netzanteil sagt: Zu welchem Netzwerk gehört die Adresse? Der Hostanteil sagt: Welches Gerät innerhalb dieses Netzwerks ist gemeint? Merksatz: Netzanteil findet das Netz. Hostanteil findet den Host im Netz. --- **IPv4-Grundregel** IPv4-Adressen haben immer: 32 Bit Beispiel: 192.168.1.10 Diese Adresse besteht aus vier Oktetten. Ein Oktett hat: 8 Bit Vier Oktette: 4 × 8 Bit = 32 Bit Merksatz: IPv4 = 32 Bit. --- **Präfixschreibweise** Beispiel: 192.168.1.10/24 Das /24 bedeutet: 24 Bit Netzanteil Da IPv4 insgesamt 32 Bit hat: 32 - 24 = 8 Hostbits Merksatz: Präfix = Anzahl der Netzbits. --- **Subnetzmaske** Die Subnetzmaske zeigt, welcher Teil der IP-Adresse zum Netz gehört. Beispiel: | Präfix | Subnetzmaske | |---|---| | /24 | 255.255.255.0 | | /25 | 255.255.255.128 | | /26 | 255.255.255.192 | | /27 | 255.255.255.224 | | /28 | 255.255.255.240 | | /29 | 255.255.255.248 | | /30 | 255.255.255.252 | Merksatz: Subnetzmaske und Präfix beschreiben dieselbe Aufteilung. --- **Netzbits und Hostbits** Formel: Hostbits = 32 - Präfix Beispiele: | Präfix | Netzbits | Hostbits | |---|---:|---:| | /24 | 24 | 8 | | /25 | 25 | 7 | | /26 | 26 | 6 | | /27 | 27 | 5 | | /28 | 28 | 4 | | /29 | 29 | 3 | | /30 | 30 | 2 | Merksatz: Je mehr Netzbits, desto weniger Hostbits. --- **Hostanzahl berechnen** Formel: nutzbare Hosts = 2 hoch Hostbits minus 2 Warum minus 2? eine Adresse ist die Netzadresse eine Adresse ist die Broadcastadresse Beispiel: /26 Hostbits: 32 - 26 = 6 Gesamtadressen: 2 hoch 6 = 64 Nutzbare Hosts: 64 - 2 = 62 Merksatz: Nutzbare Hosts = 2 hoch Hostbits minus 2. --- **Wichtige Präfixe auswendig können** | Präfix | Maske | Gesamtadressen | nutzbare Hosts | |---|---|---:|---:| | /24 | 255.255.255.0 | 256 | 254 | | /25 | 255.255.255.128 | 128 | 126 | | /26 | 255.255.255.192 | 64 | 62 | | /27 | 255.255.255.224 | 32 | 30 | | /28 | 255.255.255.240 | 16 | 14 | | /29 | 255.255.255.248 | 8 | 6 | | /30 | 255.255.255.252 | 4 | 2 | Merksatz: Von /24 zu /25 halbiert sich die Adressanzahl. Von /25 zu /24 verdoppelt sich die Adressanzahl. --- **Präfix größer oder kleiner** Wenn der Präfix größer wird: mehr Netzbits weniger Hostbits kleinere Subnetze weniger Hosts pro Subnetz Beispiel: /25 ist kleiner als /24 Wenn der Präfix kleiner wird: weniger Netzbits mehr Hostbits größere Subnetze mehr Hosts pro Subnetz Beispiel: /23 ist größer als /24 Merksatz: Präfix größer: Netz kleiner. Präfix kleiner: Netz größer. --- **Netzadresse** Die Netzadresse ist die erste Adresse eines Subnetzes. Sie bezeichnet das Netz selbst. Beispiel: 192.168.1.0/24 Netzadresse: 192.168.1.0 Merksatz: Netzadresse = erste Adresse im Subnetz. --- **Broadcastadresse** Die Broadcastadresse ist die letzte Adresse eines IPv4-Subnetzes. Sie dient dazu, alle Hosts im Subnetz zu erreichen. Beispiel: 192.168.1.0/24 Broadcastadresse: 192.168.1.255 Merksatz: Broadcastadresse = letzte Adresse im Subnetz. --- **Erste und letzte nutzbare Hostadresse** Erste nutzbare Adresse: Netzadresse + 1 Letzte nutzbare Adresse: Broadcastadresse - 1 Beispiel: Netz: 192.168.1.0/24 Netzadresse: 192.168.1.0 erste nutzbare: 192.168.1.1 letzte nutzbare: 192.168.1.254 Broadcast: 192.168.1.255 Merksatz: Erste nutzbare = Netzadresse + 1. Letzte nutzbare = Broadcast - 1. --- **Blockgröße** Die Blockgröße zeigt, in welchen Schritten Subnetze beginnen. Formel: Blockgröße = 256 - interessanter Maskenwert Beispiel: /26 Subnetzmaske: 255.255.255.192 Interessanter Maskenwert: 192 Blockgröße: 256 - 192 = 64 Subnetzschritte: 0 64 128 192 Merksatz: Blockgröße hilft, Netzgrenzen schnell zu finden. --- **Interessanter Maskenwert** Der interessante Maskenwert ist das Oktett, in dem die Subnetzmaske nicht 255 und nicht 0 ist. Beispiele: | Präfix | Maske | interessanter Wert | |---|---|---:| | /25 | 255.255.255.128 | 128 | | /26 | 255.255.255.192 | 192 | | /27 | 255.255.255.224 | 224 | | /28 | 255.255.255.240 | 240 | | /29 | 255.255.255.248 | 248 | | /30 | 255.255.255.252 | 252 | Merksatz: Interessanter Wert ist dort, wo die Subnetze springen. --- **Blockgrößen der häufigen Präfixe** | Präfix | Maske | Blockgröße | |---|---|---:| | /24 | 255.255.255.0 | 256 | | /25 | 255.255.255.128 | 128 | | /26 | 255.255.255.192 | 64 | | /27 | 255.255.255.224 | 32 | | /28 | 255.255.255.240 | 16 | | /29 | 255.255.255.248 | 8 | | /30 | 255.255.255.252 | 4 | Merksatz: Blockgröße und Gesamtadressen sind bei einfachen Subnetzen gleich groß. --- **Subnetzbereiche bei /25** Ausgangsnetz: 192.168.1.0/24 Aufteilung in /25: | Subnetz | Bereich | nutzbare Hosts | Broadcast | |---|---|---|---| | 192.168.1.0/25 | 192.168.1.0 bis 192.168.1.127 | 192.168.1.1 bis 192.168.1.126 | 192.168.1.127 | | 192.168.1.128/25 | 192.168.1.128 bis 192.168.1.255 | 192.168.1.129 bis 192.168.1.254 | 192.168.1.255 | Merksatz: /25 teilt ein /24 in zwei gleich große Netze. --- **Subnetzbereiche bei /26** Ausgangsnetz: 192.168.1.0/24 Aufteilung in /26: | Subnetz | Bereich | nutzbare Hosts | Broadcast | |---|---|---|---| | 192.168.1.0/26 | 192.168.1.0 bis 192.168.1.63 | 192.168.1.1 bis 192.168.1.62 | 192.168.1.63 | | 192.168.1.64/26 | 192.168.1.64 bis 192.168.1.127 | 192.168.1.65 bis 192.168.1.126 | 192.168.1.127 | | 192.168.1.128/26 | 192.168.1.128 bis 192.168.1.191 | 192.168.1.129 bis 192.168.1.190 | 192.168.1.191 | | 192.168.1.192/26 | 192.168.1.192 bis 192.168.1.255 | 192.168.1.193 bis 192.168.1.254 | 192.168.1.255 | Merksatz: /26 teilt ein /24 in vier Netze mit je 64 Adressen. --- **Subnetzbereiche bei /27** Ausgangsnetz: 192.168.1.0/24 Blockgröße: 32 Subnetze beginnen bei: 0 32 64 96 128 160 192 224 Beispiel: 192.168.1.96/27 Bereich: 192.168.1.96 bis 192.168.1.127 nutzbar: 192.168.1.97 bis 192.168.1.126 Broadcast: 192.168.1.127 Merksatz: /27 springt in 32er-Schritten. --- **Subnetzbereiche bei /28** Ausgangsnetz: 192.168.1.0/24 Blockgröße: 16 Subnetze beginnen bei: 0 16 32 48 64 80 96 112 128 144 160 176 192 208 224 240 Beispiel: 192.168.1.80/28 Bereich: 192.168.1.80 bis 192.168.1.95 nutzbar: 192.168.1.81 bis 192.168.1.94 Broadcast: 192.168.1.95 Merksatz: /28 springt in 16er-Schritten. --- **Subnetzaufgabe Schritt für Schritt** Beispiel: 192.168.1.70/26 Schritt 1: Präfix: /26 Schritt 2: Hostbits: 32 - 26 = 6 Schritt 3: Adressen: 2 hoch 6 = 64 Schritt 4: nutzbare Hosts: 64 - 2 = 62 Schritt 5: Blockgröße: 64 Schritt 6: Subnetzbereiche: 0 bis 63 64 bis 127 128 bis 191 192 bis 255 Schritt 7: 70 liegt im Bereich 64 bis 127 Ergebnis: | Wert | Ergebnis | |---|---| | Netzadresse | 192.168.1.64 | | erste nutzbare Adresse | 192.168.1.65 | | letzte nutzbare Adresse | 192.168.1.126 | | Broadcastadresse | 192.168.1.127 | | nutzbare Hosts | 62 | Merksatz: IP-Adresse liegt immer in genau einem Subnetzbereich. --- **Prüfungsaufgabe: 192.168.10.130/25** Gegeben: 192.168.10.130/25 Präfix: /25 Hostbits: 32 - 25 = 7 Adressen: 2 hoch 7 = 128 Nutzbare Hosts: 126 Blockgröße: 128 Subnetzbereiche: 192.168.10.0 bis 192.168.10.127 192.168.10.128 bis 192.168.10.255 Die Adresse 192.168.10.130 liegt im zweiten Bereich. | Wert | Ergebnis | |---|---| | Netzadresse | 192.168.10.128 | | erste nutzbare Adresse | 192.168.10.129 | | letzte nutzbare Adresse | 192.168.10.254 | | Broadcastadresse | 192.168.10.255 | | nutzbare Hosts | 126 | Merksatz: Bei /25 gibt es zwei Bereiche: 0 bis 127 und 128 bis 255. --- **Prüfungsaufgabe: 10.0.5.200/27** Gegeben: 10.0.5.200/27 Präfix: /27 Hostbits: 32 - 27 = 5 Adressen: 2 hoch 5 = 32 Nutzbare Hosts: 30 Blockgröße: 32 Subnetzbereiche im letzten Oktett: 0 bis 31 32 bis 63 64 bis 95 96 bis 127 128 bis 159 160 bis 191 192 bis 223 224 bis 255 Die Adresse 200 liegt im Bereich: 192 bis 223 | Wert | Ergebnis | |---|---| | Netzadresse | 10.0.5.192 | | erste nutzbare Adresse | 10.0.5.193 | | letzte nutzbare Adresse | 10.0.5.222 | | Broadcastadresse | 10.0.5.223 | | nutzbare Hosts | 30 | Merksatz: Bei /27 springt das letzte Oktett in 32er-Blöcken. --- **Prüfungsaufgabe: 172.16.8.14/28** Gegeben: 172.16.8.14/28 Präfix: /28 Hostbits: 32 - 28 = 4 Adressen: 2 hoch 4 = 16 Nutzbare Hosts: 14 Blockgröße: 16 Subnetzbereiche im letzten Oktett: 0 bis 15 16 bis 31 32 bis 47 48 bis 63 Die Adresse 14 liegt im Bereich: 0 bis 15 | Wert | Ergebnis | |---|---| | Netzadresse | 172.16.8.0 | | erste nutzbare Adresse | 172.16.8.1 | | letzte nutzbare Adresse | 172.16.8.14 | | Broadcastadresse | 172.16.8.15 | | nutzbare Hosts | 14 | Wichtig: 172.16.8.14 ist hier die letzte nutzbare Hostadresse, nicht die Broadcastadresse. Merksatz: Broadcast ist bei /28 immer die letzte Adresse des 16er-Blocks. --- **Subnetzmaske aus Präfix ableiten** | Präfix | Binär im letzten interessanten Oktett | Dezimal | |---|---|---:| | /25 | 10000000 | 128 | | /26 | 11000000 | 192 | | /27 | 11100000 | 224 | | /28 | 11110000 | 240 | | /29 | 11111000 | 248 | | /30 | 11111100 | 252 | Merksatz: Einsen stehen für Netzbits. Nullen stehen für Hostbits. --- **Binärwerte im Oktett** | Bitwert | Dezimalwert | |---|---:| | 10000000 | 128 | | 01000000 | 64 | | 00100000 | 32 | | 00010000 | 16 | | 00001000 | 8 | | 00000100 | 4 | | 00000010 | 2 | | 00000001 | 1 | Merksatz: Oktettwerte: 128, 64, 32, 16, 8, 4, 2, 1. --- **Subnetzmasken binär verstehen** Beispiel: /26 Binär: 11111111.11111111.11111111.11000000 Dezimal: 255.255.255.192 Bedeutung: 26 Einsen für Netzbits 6 Nullen für Hostbits Merksatz: Subnetzmaske ist eine Folge von Einsen und danach Nullen. --- **Hosts oder Subnetze berechnen** Wenn gefragt wird: Wie viele Hosts passen in ein Subnetz? Dann: Hostbits bestimmen. Wenn gefragt wird: Wie viele Subnetze entstehen? Dann: geliehene Netzbits bestimmen. Beispiel: /24 wird in /26 aufgeteilt. Geliehene Bits: 26 - 24 = 2 Anzahl Subnetze: 2 hoch 2 = 4 Merksatz: Hostbits berechnen Hosts. geliehene Netzbits berechnen Subnetze. --- **Subnetze aus einem Ausgangsnetz berechnen** Beispiel: 192.168.1.0/24 soll in /26-Netze geteilt werden. Geliehene Bits: 26 - 24 = 2 Anzahl Subnetze: 2 hoch 2 = 4 Adressen je Subnetz: 64 Subnetze: 192.168.1.0/26 192.168.1.64/26 192.168.1.128/26 192.168.1.192/26 Merksatz: Neue Subnetze beginnen im Abstand der Blockgröße. --- **Benötigte Hostanzahl bestimmen** Wenn gefragt wird: Welches kleinste Subnetz braucht man für 50 Hosts? Dann prüfen: | Präfix | nutzbare Hosts | |---|---:| | /27 | 30 | | /26 | 62 | | /25 | 126 | Für 50 Hosts reicht: /26 Warum? /27 hat nur 30 nutzbare Hosts. /26 hat 62 nutzbare Hosts. Merksatz: Immer das kleinste passende Subnetz wählen. --- **Beispiel: 100 Hosts benötigt** Gesucht: kleinstes Subnetz für mindestens 100 Hosts Prüfen: | Präfix | nutzbare Hosts | |---|---:| | /26 | 62 | | /25 | 126 | | /24 | 254 | Ergebnis: /25 Begründung: /26 reicht nicht, /25 reicht. Merksatz: Nicht zu klein, nicht unnötig groß planen. --- **VLSM-Grundidee** VLSM steht für: Variable Length Subnet Mask Bedeutung: unterschiedlich große Subnetze innerhalb eines größeren Netzes Beispiel: Servernetz braucht 50 Hosts Büronetz braucht 100 Hosts Punkt-zu-Punkt-Verbindung braucht 2 Hosts Dann werden unterschiedlich große Präfixe verwendet. Merksatz: VLSM passt Subnetzgrößen an den Bedarf an. --- **VLSM-Grundregel** Bei VLSM plant man meist: größte Netze zuerst danach kleinere Netze Warum? Große Netze brauchen größere zusammenhängende Adressbereiche. Merksatz: VLSM: erst große Netze, dann kleine Netze. --- **CIDR-Grundidee** CIDR steht für: Classless Inter-Domain Routing Bedeutung: klassenlose Schreibweise mit Präfix Beispiel: 192.168.1.0/24 Vorteil: flexible Netzgrößen Merksatz: CIDR ist die moderne Schreibweise mit Schrägstrich-Präfix. --- **Private IPv4-Bereiche** | Bereich | CIDR | |---|---| | 10.0.0.0 bis 10.255.255.255 | 10.0.0.0/8 | | 172.16.0.0 bis 172.31.255.255 | 172.16.0.0/12 | | 192.168.0.0 bis 192.168.255.255 | 192.168.0.0/16 | Merksatz: Private IPv4-Adressen werden im Internet nicht direkt geroutet. --- **Sonderfall /31 und /32** In klassischen Prüfungsaufgaben wird meist mit: Netzadresse und Broadcastadresse gerechnet. Daher gilt dort oft: nutzbare Hosts = 2 hoch Hostbits minus 2 Sonderfälle: /31 kann bei Punkt-zu-Punkt-Verbindungen verwendet werden. /32 beschreibt eine einzelne Hostadresse. Merksatz: Für Standard-IHK-Aufgaben meistens mit minus 2 rechnen, außer die Aufgabe nennt ausdrücklich Sonderfälle. --- **Typische Prüfungsfallen** Präfix größer mit größerem Netz verwechseln. Netzadresse als Hostadresse verwenden. Broadcastadresse als Hostadresse verwenden. Minus 2 bei nutzbaren Hosts vergessen. Gateway außerhalb des Subnetzes eintragen. Blockgröße falsch berechnen. /25 und /26 verwechseln. Subnetzmaske falsch zu Präfix zuordnen. IP-Adresse liegt nicht im angenommenen Bereich. erste und letzte nutzbare Adresse vertauschen. VLSM nicht mit größtem Netz beginnen. Merksatz: Die meisten Subnetting-Fehler entstehen durch falsche Grenzen. --- **Prüfungsfalle: Gateway außerhalb des Subnetzes** Beispiel: Client: 192.168.10.50/24 Gateway: 192.168.20.1 Problem: Client-Netz: 192.168.10.0/24 Gateway-Netz: 192.168.20.0/24 Das Gateway ist nicht im gleichen lokalen Subnetz. Merksatz: Standardgateway muss für den Client lokal erreichbar sein. --- **Prüfungsfalle: Broadcast als Host verwenden** Beispiel: Netz: 192.168.1.64/26 Bereich: 192.168.1.64 bis 192.168.1.127 Broadcast: 192.168.1.127 Nicht als Host verwenden: 192.168.1.127 Merksatz: Broadcastadresse ist keine Hostadresse. --- **Prüfungsfalle: Netzadresse als Host verwenden** Beispiel: Netz: 192.168.1.64/26 Netzadresse: 192.168.1.64 Nicht als Host verwenden: 192.168.1.64 Merksatz: Netzadresse ist keine Hostadresse. --- **Schnelle Subnetting-Reihenfolge** Bei jeder Aufgabe: 1. Präfix lesen. 2. Hostbits berechnen. 3. Hostanzahl berechnen. 4. Blockgröße bestimmen. 5. Subnetzbereich finden. 6. Netzadresse bestimmen. 7. Broadcast bestimmen. 8. nutzbare Hosts bestimmen. Merksatz: Immer gleiche Reihenfolge, weniger Fehler. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Wie viele nutzbare Hosts hat ein /26-Netz? - Welche Subnetzmaske gehört zu /27? - Welche Netzadresse gehört zu einer bestimmten IP mit Präfix? - Welche Broadcastadresse gehört zu einem Subnetz? - Welche erste und letzte nutzbare Adresse gibt es? - Welches kleinste Subnetz reicht für eine bestimmte Hostanzahl? - Liegen zwei IP-Adressen im gleichen Subnetz? - Ist das Gateway korrekt konfiguriert? - Wie viele Subnetze entstehen aus einer Aufteilung? - Warum darf die Broadcastadresse nicht als Hostadresse genutzt werden? --- **IHK-sichere Kurzformulierung** Subnetting teilt ein IPv4-Netz in kleinere Teilnetze auf. Eine IPv4-Adresse besteht aus 32 Bit. Der Präfix gibt an, wie viele Bits zum Netzanteil gehören. Die restlichen Bits bilden den Hostanteil. Die Anzahl der nutzbaren Hosts berechnet sich in klassischen IPv4-Subnetzen mit 2 hoch Hostbits minus 2, weil Netzadresse und Broadcastadresse nicht für Hosts verwendet werden. Die Netzadresse ist die erste Adresse eines Subnetzes, die Broadcastadresse die letzte Adresse. Die erste nutzbare Adresse ist Netzadresse plus 1, die letzte nutzbare Adresse ist Broadcastadresse minus 1. Die Blockgröße hilft, Subnetzgrenzen schnell zu finden. --- **Merksätze** IPv4 hat 32 Bit. Präfix = Netzbits. Hostbits = 32 minus Präfix. Mehr Netzbits bedeuten kleinere Netze. Mehr Hostbits bedeuten mehr Hosts. Nutzbare Hosts = 2 hoch Hostbits minus 2. Netzadresse = erste Adresse. Broadcastadresse = letzte Adresse. Erste nutzbare = Netzadresse + 1. Letzte nutzbare = Broadcast - 1. Blockgröße = 256 minus interessanter Maskenwert. /24 hat 254 nutzbare Hosts. /25 hat 126 nutzbare Hosts. /26 hat 62 nutzbare Hosts. /27 hat 30 nutzbare Hosts. /28 hat 14 nutzbare Hosts. /29 hat 6 nutzbare Hosts. /30 hat 2 nutzbare Hosts. Präfix größer heißt: Netz kleiner. Präfix kleiner heißt: Netz größer. Gateway muss im lokalen Subnetz liegen. Netzadresse nicht als Host verwenden. Broadcastadresse nicht als Host verwenden. VLSM: größte Netze zuerst. CIDR ist die Schreibweise mit Präfix. Subnetting immer in gleicher Reihenfolge lösen. # 19.5 DNS, DHCP, Gateway und NAT Spickzettel Dieser Spickzettel fasst vier sehr häufige Prüfungsthemen zusammen: - DNS - DHCP - Gateway - NAT Diese Begriffe werden in Aufgaben oft gemeinsam geprüft, weil sie für normalen Netzwerkzugriff zusammenwirken. Merksatz: DNS findet Namen. DHCP verteilt Konfiguration. Gateway führt in andere Netze. NAT übersetzt Adressen. --- **Grundidee im Überblick** | Begriff | Hauptaufgabe | Typisches Fehlerbild | |---|---|---| | DNS | Namen in IP-Adressen auflösen | IP geht, Name nicht | | DHCP | IP-Konfiguration automatisch verteilen | 169.254.x.x oder falsche IP | | Gateway | Weg in andere Netze bereitstellen | lokal geht, Internet nicht | | NAT | private Adressen in öffentliche Adressen übersetzen | intern geht, extern nicht oder Portweiterleitung fehlerhaft | Merksatz: Jeder Begriff löst ein anderes Problem. --- **DNS kurz erklärt** DNS steht für: Domain Name System Aufgabe: DNS übersetzt Namen in IP-Adressen. Beispiel: www.example.com wird aufgelöst zu: einer IPv4- oder IPv6-Adresse Merksatz: DNS ist das Namenssystem des Netzwerks. --- **DNS-Frage in der Prüfung** Typisches Fehlerbild: Webseite ist per IP-Adresse erreichbar, aber nicht per Domainname. Wahrscheinliche Ursache: DNS-Problem Mögliche Ursachen: falscher DNS-Server DNS-Server nicht erreichbar falscher DNS-Eintrag DNS-Cache veraltet DNS-Suffix falsch Split-DNS bei VPN falsch Firewall blockiert DNS Merksatz: IP ja, Name nein: DNS prüfen. --- **Wichtige DNS-Records** | Record | Bedeutung | |---|---| | A | Name zu IPv4-Adresse | | AAAA | Name zu IPv6-Adresse | | CNAME | Alias auf anderen Namen | | MX | Mailserver einer Domain | | TXT | Textinformationen, zum Beispiel SPF | | NS | zuständiger Nameserver | | PTR | Reverse DNS, IP-Adresse zu Name | Merksatz: A ist IPv4. AAAA ist IPv6. MX ist Mail. PTR ist rückwärts. --- **DNS und Ports** DNS nutzt: UDP 53 und bei Bedarf TCP 53 UDP 53: normale DNS-Abfragen TCP 53: große Antworten, Zonentransfers oder bestimmte Spezialfälle Merksatz: DNS ist meistens UDP 53, aber TCP 53 nicht vergessen. --- **DNS-Prüfung mit Werkzeugen** Typische Werkzeuge: nslookup dig ping mit Namen Browser-Test DNS-Cache prüfen Wichtig: ping auf Name testet DNS und ICMP zusammen. Besser für reine DNS-Prüfung: nslookup oder dig Merksatz: DNS gezielt mit nslookup oder dig prüfen. --- **DNS-Cache** Ein DNS-Cache speichert bereits aufgelöste Namen. Vorteile: schnellere Namensauflösung weniger DNS-Anfragen Problem: veraltete Einträge können Fehler verursachen. Merksatz: DNS-Cache kann alte Informationen enthalten. --- **DNS-Suffix** Ein DNS-Suffix ergänzt unvollständige Namen. Beispiel: server01 kann ergänzt werden zu: server01.firma.local Typische Fehler: falsches Suchsuffix anderes Suffix im VPN interner Name wird extern nicht gefunden Merksatz: DNS-Suffix hilft bei kurzen internen Namen. --- **Split-DNS** Split-DNS bedeutet: interne und externe DNS-Auflösung können unterschiedliche Antworten liefern. Beispiel: intern: intranet.firma.de zeigt auf private IP-Adresse extern: intranet.firma.de ist nicht erreichbar oder zeigt auf öffentliche Adresse Typisch bei: VPN Intranet internen Diensten Hybrid-Umgebungen Merksatz: Split-DNS kann je nach Standort unterschiedliche IPs liefern. --- **DHCP kurz erklärt** DHCP steht für: Dynamic Host Configuration Protocol Aufgabe: DHCP verteilt automatisch Netzwerkkonfiguration an Clients. Typische Informationen: IP-Adresse Subnetzmaske Standardgateway DNS-Server Lease-Zeit weitere Optionen Merksatz: DHCP erspart manuelle IP-Konfiguration. --- **DHCP-DORA** DORA beschreibt den DHCP-Ablauf: | Schritt | Bedeutung | |---|---| | Discover | Client sucht DHCP-Server | | Offer | Server bietet Konfiguration an | | Request | Client fordert angebotene Konfiguration an | | Acknowledge | Server bestätigt die Vergabe | Merksatz: DHCP-DORA: Discover, Offer, Request, Acknowledge. --- **DHCP und Ports** DHCP nutzt: | Rolle | Protokoll | Port | |---|---|---:| | DHCP-Server | UDP | 67 | | DHCP-Client | UDP | 68 | Merksatz: DHCP nutzt UDP 67 und UDP 68. --- **DHCP und Broadcast** Ein Client hat zu Beginn oft noch keine gültige IP-Adresse. Deshalb nutzt DHCP am Anfang Broadcast. Grund: Der Client kennt den DHCP-Server noch nicht. Der Client hat noch keine vollständige Netzwerkkonfiguration. Merksatz: DHCP beginnt häufig mit Broadcast. --- **APIPA** APIPA steht für: Automatic Private IP Addressing Bereich: 169.254.0.0/16 Bedeutung: Der Client hat keine gültige DHCP-Adresse erhalten und vergibt sich selbst eine automatische Adresse. Typisches Fehlerbild: Client hat 169.254.x.x und erreicht keine normalen Netzressourcen. Merksatz: 169.254.x.x deutet auf DHCP-Problem hin. --- **DHCP-Scope** Ein DHCP-Scope ist ein Adressbereich, aus dem DHCP Adressen vergeben darf. Beispiel: 192.168.10.100 bis 192.168.10.200 Zu einem Scope gehören oft: IP-Bereich Subnetzmaske Gateway DNS-Server Lease-Zeit Ausschlüsse Reservierungen Merksatz: DHCP-Scope = Adresspool für automatische Vergabe. --- **DHCP-Lease** Eine Lease ist die zeitlich begrenzte Vergabe einer IP-Adresse. Bedeutung: Ein Client erhält eine Adresse nicht für immer, sondern für eine bestimmte Lease-Zeit. Vorteil: Adressen können später wiederverwendet werden. Merksatz: DHCP-Lease = zeitlich begrenzte IP-Vergabe. --- **DHCP-Reservierung** Eine DHCP-Reservierung weist einem bestimmten Gerät immer dieselbe IP-Adresse zu. Meist anhand der: MAC-Adresse Typisch für: Drucker Server NAS Netzwerkgeräte wichtige Clients Merksatz: Reservierung bedeutet: automatisch, aber immer dieselbe Adresse. --- **DHCP-Relay** Ein DHCP-Relay leitet DHCP-Anfragen in ein anderes Netz weiter. Warum nötig? DHCP-Broadcasts werden normalerweise nicht über Router weitergeleitet. Beispiel: Client in VLAN 20 DHCP-Server in VLAN 10 Dann braucht man oft: DHCP-Relay Merksatz: DHCP-Relay hilft, wenn Client und DHCP-Server in unterschiedlichen Netzen sind. --- **DHCP-Fehlerbilder** | Fehlerbild | Mögliche Ursache | |---|---| | 169.254.x.x | DHCP nicht erreicht | | falsches Gateway | falsche DHCP-Option | | falscher DNS-Server | falsche DHCP-Option | | keine Adresse mehr frei | Scope erschöpft | | nur ein VLAN betroffen | DHCP-Relay oder VLAN falsch | | manche Geräte bekommen falsche IP | falscher Scope oder falsches VLAN | | Gerät bekommt alte IP | Lease oder Reservierung prüfen | Merksatz: DHCP-Probleme betreffen IP-Konfiguration, nicht Namensauflösung. --- **Gateway kurz erklärt** Das Standardgateway ist der Router, über den ein Host andere Netze erreicht. Ohne Gateway kann ein Host normalerweise nur mit Geräten im eigenen Subnetz kommunizieren. Beispiel: Client: 192.168.10.50/24 Gateway: 192.168.10.1 Merksatz: Gateway = Ausgang in andere Netze. --- **Gateway muss im lokalen Netz liegen** Das Gateway muss für den Client lokal erreichbar sein. Falsches Beispiel: Client: 192.168.10.50/24 Gateway: 192.168.20.1 Problem: Client liegt im Netz 192.168.10.0/24. Gateway liegt im Netz 192.168.20.0/24. Der Client erreicht sein Gateway nicht lokal. Merksatz: Standardgateway muss im gleichen lokalen Subnetz erreichbar sein. --- **Gateway-Fehler in der Prüfung** Typisches Fehlerbild: Client erreicht lokale Geräte, aber keine externen Netze. Wahrscheinliche Ursache: Gateway fehlt oder Gateway falsch Auch möglich: Routingfehler NAT-Problem Firewall blockiert Providerverbindung gestört Merksatz: Lokal ja, extern nein: Gateway, Routing, NAT oder Firewall prüfen. --- **Routing kurz erklärt** Routing bedeutet: Weiterleitung von Paketen zwischen verschiedenen IP-Netzen. Ein Router entscheidet anhand seiner Routing-Tabelle, wohin ein Paket weitergeleitet wird. Routing-Tabelle enthält typischerweise: Zielnetz Next Hop Interface Metrik Merksatz: Routing verbindet Netze. --- **Standardroute** Eine Standardroute ist die Route für alle Ziele, für die keine speziellere Route existiert. Schreibweise IPv4: 0.0.0.0/0 Merksatz: Standardroute = Weg für unbekannte Ziele. --- **Spezifischste Route gewinnt** Wenn mehrere Routen passen, wird die spezifischste Route verwendet. Beispiel: 192.168.10.0/24 ist spezifischer als: 192.168.0.0/16 Merksatz: Längster passender Präfix gewinnt. --- **NAT kurz erklärt** NAT steht für: Network Address Translation Aufgabe: NAT übersetzt IP-Adressen. Häufiger Einsatz: private interne IPv4-Adressen werden beim Zugriff ins Internet in eine öffentliche IPv4-Adresse übersetzt. Merksatz: NAT übersetzt Adressen. --- **Warum NAT verwendet wird** Gründe: private IPv4-Adressen im LAN nutzen öffentliche IPv4-Adressen sparen interne Adressen nach außen verbergen Internetzugriff für viele Clients ermöglichen Wichtig: NAT ist keine vollständige Sicherheitsmaßnahme. Merksatz: NAT hilft bei Adressübersetzung, ersetzt aber keine Firewall. --- **Private IPv4-Bereiche** | Bereich | CIDR | |---|---| | 10.0.0.0 bis 10.255.255.255 | 10.0.0.0/8 | | 172.16.0.0 bis 172.31.255.255 | 172.16.0.0/12 | | 192.168.0.0 bis 192.168.255.255 | 192.168.0.0/16 | Merksatz: Private IPv4-Adressen werden im Internet nicht direkt geroutet. --- **PAT kurz erklärt** PAT steht für: Port Address Translation PAT ist eine Form von NAT, bei der zusätzlich Portnummern zur Zuordnung genutzt werden. Zweck: viele interne Clients können über eine öffentliche IP-Adresse ins Internet. Merksatz: PAT nutzt Ports zur Unterscheidung mehrerer Verbindungen. --- **NAT und PAT vergleichen** | Begriff | Bedeutung | Typischer Einsatz | |---|---|---| | NAT | übersetzt IP-Adressen | private zu öffentliche IP | | PAT | übersetzt IP-Adressen und Ports | viele Clients über eine öffentliche IP | | Portweiterleitung | leitet externen Port intern weiter | internen Dienst von außen erreichbar machen | Merksatz: NAT übersetzt Adressen. PAT unterscheidet Verbindungen über Ports. --- **Portweiterleitung kurz erklärt** Portweiterleitung bedeutet: eingehender Verkehr auf einem externen Port wird an einen internen Dienst weitergeleitet. Beispiel: öffentliche IP: TCP 443 wird weitergeleitet an: interner Webserver: TCP 443 Merksatz: Portweiterleitung macht interne Dienste von außen erreichbar. --- **Portweiterleitung und Risiko** Portweiterleitung erhöht die Angriffsfläche, weil ein interner Dienst von außen erreichbar wird. Deshalb prüfen: Ist der Dienst wirklich nötig? Ist der Dienst gepatcht? Gibt es starke Authentifizierung? Gibt es TLS? Gibt es Logging? Gibt es Firewall-Beschränkungen? Gibt es eine DMZ? Gibt es Alternativen wie VPN? Merksatz: Portweiterleitung nur gezielt und dokumentiert einsetzen. --- **DNS, DHCP, Gateway und NAT zusammen** Ein normaler Client braucht oft: IP-Adresse von DHCP Subnetzmaske von DHCP Gateway von DHCP DNS-Server von DHCP Gateway für andere Netze NAT für Internetzugriff mit privater IPv4-Adresse DNS für Namensauflösung Merksatz: Internetzugriff braucht meistens mehrere korrekt zusammenspielende Bausteine. --- **Beispiel: Client kommt nicht ins Internet** Prüfreihenfolge: 1. Hat der Client eine gültige IP-Adresse? 2. Passt die Subnetzmaske? 3. Ist das Gateway eingetragen? 4. Liegt das Gateway im gleichen Subnetz? 5. Ist das Gateway erreichbar? 6. Funktioniert Zugriff auf externe IP? 7. Funktioniert DNS? 8. Funktioniert NAT? 9. Blockiert eine Firewall? Merksatz: Erst IP und Gateway, dann DNS, dann NAT und Firewall. --- **Beispiel: Webseite per IP erreichbar, per Name nicht** Fehlerbild: Zugriff auf 93.184.216.34 funktioniert. Zugriff auf www.example.com funktioniert nicht. Wahrscheinliche Ursache: DNS Prüfen: DNS-Server eingetragen? DNS-Server erreichbar? DNS-Eintrag korrekt? anderer DNS-Server testen? DNS-Cache leeren? Merksatz: Wenn IP funktioniert, ist die Grundverbindung nicht das Hauptproblem. --- **Beispiel: Client hat 169.254.x.x** Fehlerbild: Client hat APIPA-Adresse. Wahrscheinliche Ursache: DHCP nicht erreichbar Prüfen: Kabel oder WLAN VLAN DHCP-Server DHCP-Scope DHCP-Relay Firewall Switchport Merksatz: APIPA heißt: automatische Notadresse statt gültiger DHCP-Adresse. --- **Beispiel: lokal erreichbar, Internet nicht** Fehlerbild: Client erreicht Server im eigenen Netz. Internet funktioniert nicht. Mögliche Ursachen: Gateway fehlt Gateway falsch Routingfehler NAT fehlt Firewall blockiert DNS bei Namenszugriff zusätzlich möglich Merksatz: Lokale Kommunikation beweist nicht, dass Gateway und NAT funktionieren. --- **Beispiel: Portweiterleitung funktioniert nicht** Mögliche Ursachen: falscher externer Port falsche interne IP falscher interner Port Dienst läuft nicht lokale Firewall blockiert Router-Firewall blockiert NAT-Regel fehlt doppelte NAT-Umgebung öffentlicher DNS zeigt falsch Provider blockiert Port Merksatz: Bei Portweiterleitung immer externen Port, internes Ziel, Dienst und Firewall prüfen. --- **Doppeltes NAT** Doppeltes NAT bedeutet: Verkehr wird durch zwei NAT-Geräte übersetzt. Beispiel: Provider-Router und dahinter eigener Router Problem: Portweiterleitungen werden schwieriger, weil beide Geräte korrekt konfiguriert sein müssen. Merksatz: Doppeltes NAT erschwert eingehende Verbindungen. --- **CGNAT** CGNAT steht für: Carrier-Grade NAT Dabei teilt der Provider öffentliche IPv4-Adressen auf mehrere Kunden auf. Problem: Eigene Portweiterleitungen von außen funktionieren oft nicht direkt, weil der Kunde keine eigene öffentliche IPv4-Adresse hat. Merksatz: Bei CGNAT ist eingehender Zugriff von außen eingeschränkt. --- **DNS bei Portweiterleitung** Für externen Zugriff braucht man oft zusätzlich DNS. Beispiel: app.firma.de zeigt auf: öffentliche IP-Adresse Dann leitet NAT/Firewall weiter auf: internen Server Mögliche Fehler: DNS zeigt auf falsche öffentliche IP alter DNS-Cache falscher A-Record Split-DNS-Konflikt Merksatz: DNS findet die öffentliche Adresse, NAT leitet zum internen Dienst. --- **NAT und Firewall unterscheiden** | Begriff | Aufgabe | |---|---| | NAT | Adressen übersetzen | | Firewall | Verkehr erlauben oder blockieren | Wichtig: In vielen Geräten sind NAT und Firewall kombiniert. Fachlich bleiben es unterschiedliche Funktionen. Merksatz: NAT übersetzt. Firewall filtert. --- **DNS und DHCP unterscheiden** | Begriff | Aufgabe | |---|---| | DNS | Namen auflösen | | DHCP | IP-Konfiguration verteilen | Prüfungsfalle: Ein Client mit 169.254.x.x hat zuerst ein DHCP-Problem, nicht direkt ein DNS-Problem. Merksatz: DHCP gibt die Konfiguration. DNS nutzt danach diese Konfiguration. --- **Gateway und NAT unterscheiden** | Begriff | Aufgabe | |---|---| | Gateway | Router in andere Netze | | NAT | Übersetzung von Adressen | Prüfungsfalle: Ein Gateway kann vorhanden sein, aber NAT kann trotzdem fehlen oder falsch sein. Merksatz: Gateway leitet weiter. NAT übersetzt. --- **Typische Prüfungsfallen** DNS und DHCP verwechseln. Gateway und DNS verwechseln. NAT als Firewall bezeichnen. PAT nicht als Port Address Translation erkennen. Portweiterleitung mit normalem ausgehendem NAT verwechseln. Gateway außerhalb des Client-Subnetzes eintragen. DHCP-Relay vergessen. APIPA nicht erkennen. DNS nur mit UDP 53 verbinden und TCP 53 vergessen. Private IPv4-Adressen als öffentlich routbar ansehen. CGNAT bei eingehenden Verbindungen ignorieren. Merksatz: Die meisten Fehler entstehen durch Verwechslung der Aufgaben. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was macht DNS? - Was macht DHCP? - Was bedeutet DORA? - Welche Ports nutzt DHCP? - Welche Ports nutzt DNS? - Was bedeutet eine Adresse aus 169.254.0.0/16? - Was ist ein DHCP-Scope? - Was ist eine DHCP-Reservierung? - Was ist ein DHCP-Relay? - Was ist ein Standardgateway? - Warum muss das Gateway im lokalen Subnetz erreichbar sein? - Was ist NAT? - Was ist PAT? - Was ist eine Portweiterleitung? - Warum ersetzt NAT keine Firewall? - Warum funktioniert Zugriff per IP, aber nicht per Name? --- **IHK-sichere Kurzformulierung** DNS, DHCP, Gateway und NAT erfüllen unterschiedliche Aufgaben im Netzwerk. DNS löst Namen in IP-Adressen auf. DHCP verteilt automatisch Netzwerkkonfigurationen wie IP-Adresse, Subnetzmaske, Gateway und DNS-Server. Das Standardgateway ist der Router, über den ein Client andere Netze erreicht. NAT übersetzt IP-Adressen, häufig private interne IPv4-Adressen in eine öffentliche Adresse. PAT nutzt zusätzlich Ports, damit mehrere interne Clients über eine öffentliche IP-Adresse kommunizieren können. Portweiterleitung macht interne Dienste von außen erreichbar und erhöht dadurch die Angriffsfläche. Typische Fehlerbilder sind: IP funktioniert, Name nicht = DNS; 169.254.x.x = DHCP; lokal funktioniert, Internet nicht = Gateway, Routing, NAT oder Firewall. --- **Merksätze** DNS löst Namen auf. DHCP verteilt IP-Konfiguration. Gateway führt in andere Netze. NAT übersetzt Adressen. PAT nutzt Ports. Portweiterleitung veröffentlicht Dienste. DNS nutzt UDP und TCP 53. DHCP nutzt UDP 67 und 68. DHCP-DORA: Discover, Offer, Request, Acknowledge. 169.254.x.x deutet auf DHCP-Problem. DHCP-Scope ist der Adresspool. DHCP-Lease ist zeitlich begrenzte Vergabe. DHCP-Reservierung gibt einem Gerät immer dieselbe IP. DHCP-Relay leitet DHCP-Anfragen in andere Netze. Gateway muss im lokalen Subnetz erreichbar sein. Standardroute ist 0.0.0.0/0. Spezifischste Route gewinnt. Private IPv4-Adressen werden im Internet nicht direkt geroutet. NAT ersetzt keine Firewall. NAT übersetzt, Firewall filtert. DNS findet die öffentliche Adresse, NAT leitet nach intern weiter. Doppeltes NAT erschwert Portweiterleitungen. CGNAT erschwert eingehende Verbindungen. IP ja, Name nein: DNS. 169.254.x.x: DHCP. Lokal ja, extern nein: Gateway, Routing, NAT, Firewall. Host ja, Dienst nein: Port, Dienst, Firewall. # 19.6 TCP, UDP, ICMP und ARP Spickzettel Dieser Spickzettel fasst vier wichtige Netzwerkprotokolle kompakt zusammen: - TCP - UDP - ICMP - ARP Diese Protokolle tauchen häufig in Prüfungsaufgaben, Fehlersuche und Netzwerkanalyse auf. Merksatz: TCP und UDP transportieren Daten. ICMP hilft bei Diagnose. ARP findet MAC-Adressen im lokalen Netz. --- **Grundübersicht** | Protokoll | Schicht | Hauptaufgabe | |---|---:|---| | TCP | OSI-Schicht 4 | zuverlässiger verbindungsorientierter Transport | | UDP | OSI-Schicht 4 | schneller verbindungsloser Transport | | ICMP | OSI-Schicht 3 | Kontroll- und Fehlermeldungen | | ARP | zwischen Schicht 2 und 3 | IPv4-Adresse zu MAC-Adresse auflösen | Merksatz: TCP und UDP gehören zur Transportschicht. ICMP gehört zur Netzwerkschicht. ARP verbindet IPv4 und Ethernet im lokalen Netz. --- **TCP kurz erklärt** TCP steht für: Transmission Control Protocol Eigenschaften: verbindungsorientiert zuverlässig bestätigt Daten überträgt verlorene Daten erneut stellt Reihenfolge sicher nutzt Ports hat mehr Overhead als UDP Typische Anwendungen: HTTPS HTTP SSH SMTP IMAP POP3 SMB RDP Merksatz: TCP = zuverlässig und verbindungsorientiert. --- **TCP-Verbindungsaufbau** TCP baut vor der Datenübertragung eine Verbindung auf. Der Verbindungsaufbau heißt: Three-Way Handshake Ablauf: 1. SYN 2. SYN-ACK 3. ACK Bedeutung: Client möchte Verbindung aufbauen. Server bestätigt und antwortet. Client bestätigt endgültig. Merksatz: TCP startet mit SYN, SYN-ACK, ACK. --- **TCP-Zuverlässigkeit** TCP sorgt für zuverlässige Übertragung durch: Sequenznummern Bestätigungen erneute Übertragung Reihenfolgeprüfung Fehlererkennung Flusskontrolle Merksatz: TCP merkt, ob Daten angekommen sind. --- **TCP-Ports** TCP nutzt Ports, um Daten einem Dienst oder Prozess zuzuordnen. Beispiele: | Dienst | TCP-Port | |---|---:| | SSH | 22 | | HTTP | 80 | | HTTPS | 443 | | SMTP | 25 | | IMAP | 143 | | SMB | 445 | | RDP | 3389 | Merksatz: TCP-Port zeigt den angesprochenen Dienst. --- **Typische TCP-Status** | Status | Bedeutung | |---|---| | LISTEN | Dienst wartet auf eingehende Verbindungen | | SYN_SENT | Client versucht Verbindung aufzubauen | | SYN_RECEIVED | Server hat SYN erhalten und geantwortet | | ESTABLISHED | Verbindung besteht | | FIN_WAIT | Verbindung wird beendet | | TIME_WAIT | Verbindung wurde beendet, Wartephase | | CLOSE_WAIT | Gegenseite hat beendet, lokale Anwendung noch nicht | Merksatz: LISTEN heißt: Dienst wartet. ESTABLISHED heißt: Verbindung besteht. --- **TCP-Fehlerbilder** | Fehlerbild | Mögliche Ursache | |---|---| | Verbindung kommt nicht zustande | Port blockiert, Dienst aus, Firewall | | SYN_SENT bleibt stehen | Ziel antwortet nicht oder Firewall blockiert | | Verbindung bricht ab | Timeout, Anwendung, Netzwerkproblem | | Dienst lauscht nicht | Dienst nicht gestartet oder falsche Schnittstelle | | viele Verbindungen offen | Last, Angriff oder Anwendung hängt | Merksatz: TCP-Fehler betreffen oft Port, Dienst, Firewall oder Verbindung. --- **UDP kurz erklärt** UDP steht für: User Datagram Protocol Eigenschaften: verbindungslos schnell wenig Overhead keine eingebaute Zustellgarantie keine eingebaute Reihenfolgegarantie keine erneute Übertragung durch UDP selbst nutzt Ports Typische Anwendungen: DNS DHCP VoIP Streaming Gaming NTP SNMP Merksatz: UDP = schnell, schlank und verbindungslos. --- **Warum UDP verwendet wird** UDP wird verwendet, wenn geringe Verzögerung wichtiger ist als perfekte Zustellung. Beispiele: Sprache bei VoIP soll sofort ankommen. Ein verlorenes Sprachpaket ist weniger schlimm als lange Verzögerung. DNS-Anfragen sind klein und sollen schnell beantwortet werden. Streaming kann einzelne Verluste oft besser verkraften als Verzögerung. Merksatz: UDP ist sinnvoll, wenn Geschwindigkeit wichtiger ist als eingebaute Zuverlässigkeit. --- **UDP-Ports** | Dienst | UDP-Port | |---|---:| | DNS | 53 | | DHCP Server | 67 | | DHCP Client | 68 | | NTP | 123 | | SNMP | 161 | | SNMP Trap | 162 | Merksatz: UDP-Port zeigt ebenfalls den angesprochenen Dienst, aber ohne TCP-Verbindungsaufbau. --- **UDP-Fehlerbilder** | Fehlerbild | Mögliche Ursache | |---|---| | keine Antwort auf DNS | UDP 53 blockiert, DNS-Server falsch | | DHCP funktioniert nicht | UDP 67/68, VLAN, DHCP-Relay | | Zeit stimmt nicht | NTP UDP 123 blockiert oder Server falsch | | SNMP liefert keine Werte | Community, Rechte, UDP 161, Firewall | | VoIP abgehackt | Paketverlust, Jitter, Latenz | Merksatz: UDP-Probleme erkennt man oft an fehlenden Antworten oder Qualitätseinbußen. --- **TCP und UDP vergleichen** | Merkmal | TCP | UDP | |---|---|---| | Verbindung | verbindungsorientiert | verbindungslos | | Aufbau | Three-Way Handshake | kein Verbindungsaufbau | | Zuverlässigkeit | eingebaut | nicht eingebaut | | Reihenfolge | wird gesichert | nicht garantiert | | Overhead | höher | geringer | | Geschwindigkeit | eher langsamer | eher schneller | | Beispiele | HTTPS, SSH, SMTP | DNS, DHCP, VoIP | Merksatz: TCP = zuverlässig. UDP = wenig Overhead. --- **Wann TCP?** TCP eignet sich, wenn Daten vollständig und korrekt ankommen müssen. Beispiele: Webseite laden Datei übertragen E-Mail senden Remotezugriff Datenbankverbindung Dateifreigabe Merksatz: TCP für vollständige und zuverlässige Übertragung. --- **Wann UDP?** UDP eignet sich, wenn Geschwindigkeit, geringe Verzögerung oder einfache Anfrage-Antwort-Kommunikation wichtig ist. Beispiele: DNS DHCP VoIP Livestreaming Online-Gaming Zeitabgleich Merksatz: UDP für schnelle und zeitkritische Kommunikation. --- **ICMP kurz erklärt** ICMP steht für: Internet Control Message Protocol Aufgabe: Kontroll- Fehler- und Diagnosemeldungen im IP-Netz Typische Nutzung: ping traceroute Fehlermeldungen bei nicht erreichbaren Zielen Merksatz: ICMP transportiert keine Anwendungsdaten, sondern Kontrollinformationen. --- **ICMP und OSI-Schicht** ICMP gehört zur Netzwerkschicht. OSI-Schicht: Schicht 3 Grund: ICMP arbeitet mit IP und meldet Probleme bei IP-Kommunikation. Merksatz: ICMP gehört zu Schicht 3. --- **ping** ping nutzt ICMP Echo Request und Echo Reply. Aufgabe: Erreichbarkeit eines Ziels testen Wichtig: Ping prüft nicht, ob ein bestimmter TCP- oder UDP-Dienst funktioniert. Beispiel: Ping funktioniert, aber HTTPS auf TCP 443 ist blockiert. Merksatz: ping prüft ICMP-Erreichbarkeit, nicht den Anwendungsdienst. --- **traceroute und tracert** traceroute oder tracert zeigen den Weg zum Ziel über Router. Nutzung: Pfad prüfen Routingprobleme eingrenzen Paketlaufzeit grob erkennen Hops sichtbar machen Wichtig: Nicht jeder Router antwortet auf ICMP oder Traceroute. Sternchen bedeuten nicht automatisch, dass der gesamte Weg defekt ist. Merksatz: traceroute zeigt den Weg, aber Ausgaben müssen interpretiert werden. --- **ICMP-Fehlerbilder** | Fehlerbild | Mögliche Bedeutung | |---|---| | ping erfolgreich | Ziel antwortet auf ICMP | | ping fehlgeschlagen | Ziel offline, ICMP blockiert, Routingproblem | | hohe Antwortzeit | Latenz, Last oder lange Strecke | | Paketverlust | Netzproblem, Überlastung oder Funkproblem | | traceroute bricht ab | Firewall, Routing, ICMP-Filter | | einzelne Hops antworten nicht | Router antwortet nicht auf ICMP, Weg kann trotzdem funktionieren | Merksatz: Kein ping bedeutet nicht automatisch: Ziel ist offline. --- **ICMP und Firewall** ICMP kann in Firewalls erlaubt oder blockiert werden. Vorteil von ICMP erlauben: bessere Diagnose einfachere Fehlersuche Grund für Einschränkung: weniger Informationspreisgabe Schutz gegen bestimmte Missbrauchsarten Sicherheitsrichtlinie Merksatz: ICMP blockieren kann Fehlersuche erschweren. --- **ARP kurz erklärt** ARP steht für: Address Resolution Protocol Aufgabe: IPv4-Adresse in MAC-Adresse auflösen Einsatzbereich: lokales Netzwerksegment Beispiel: Ein Client möchte das Gateway 192.168.1.1 erreichen. Dafür braucht er die MAC-Adresse des Gateways. Diese ermittelt er mit ARP. Merksatz: ARP findet die MAC-Adresse zu einer IPv4-Adresse im lokalen Netz. --- **Warum ARP nötig ist** IP-Adressen werden für logische Kommunikation genutzt. Ethernet im lokalen Netz braucht aber MAC-Adressen. Deshalb muss ein Host wissen: Welche MAC-Adresse gehört zur Ziel-IP? Für Ziele außerhalb des eigenen Netzes gilt: Der Client ermittelt per ARP die MAC-Adresse des Gateways, nicht die MAC-Adresse des entfernten Zielservers. Merksatz: Für entfernte Ziele wird lokal die MAC des Gateways benötigt. --- **ARP-Ablauf** Typischer Ablauf: 1. Host prüft: Liegt Ziel im eigenen Subnetz? 2. Wenn Ziel lokal ist: ARP fragt nach MAC-Adresse des Zielhosts. 3. Wenn Ziel extern ist: ARP fragt nach MAC-Adresse des Gateways. 4. Antwort wird in ARP-Tabelle gespeichert. Merksatz: ARP arbeitet nur im lokalen Netz. --- **ARP Request und ARP Reply** ARP Request: Frage per Broadcast: Wer hat diese IP-Adresse? ARP Reply: Antwort per Unicast: Diese IP-Adresse gehört zu dieser MAC-Adresse. Merksatz: ARP Request ist Broadcast. ARP Reply ist Antwort mit MAC-Adresse. --- **ARP-Tabelle** Die ARP-Tabelle speichert bekannte Zuordnungen. Beispiel: IPv4-Adresse zu MAC-Adresse Vorteil: nicht bei jedem Paket neu fragen Problem: falsche oder alte Einträge können Fehler verursachen. Merksatz: ARP-Tabelle ist der lokale Zwischenspeicher für IP-zu-MAC. --- **ARP und Gateway** Wenn ein Ziel nicht im eigenen Subnetz liegt, sendet der Client das Ethernet-Frame an die MAC-Adresse des Gateways. Wichtig: IP-Ziel bleibt der entfernte Host. MAC-Ziel ist lokal das Gateway. Merksatz: IP zeigt zum Endziel. MAC zeigt zum nächsten lokalen Hop. --- **ARP-Fehlerbilder** | Fehlerbild | Mögliche Ursache | |---|---| | lokaler Host nicht erreichbar | ARP, VLAN, Switch, Firewall, Ziel aus | | Gateway nicht erreichbar | falsches Gateway, ARP, VLAN, Router aus | | doppelte IP-Adresse | ARP springt zwischen MAC-Adressen | | falsche MAC-Zuordnung | ARP-Spoofing oder Cache-Problem | | nur lokales Netz betroffen | Schicht 2 oder ARP prüfen | Merksatz: ARP-Probleme betreffen lokale IPv4-Kommunikation. --- **ARP-Spoofing** ARP-Spoofing ist ein Angriff, bei dem falsche ARP-Antworten gesendet werden. Ziel: Datenverkehr umleiten Man-in-the-Middle ermöglichen Kommunikation stören Schutzmaßnahmen: Dynamic ARP Inspection statische ARP-Einträge in Sonderfällen Netzwerksegmentierung Switch-Sicherheitsfunktionen Verschlüsselung höherer Schichten Monitoring Merksatz: ARP vertraut lokalen Antworten und kann missbraucht werden. --- **TCP, UDP, ICMP und ARP gemeinsam einordnen** | Frage | Wahrscheinliches Thema | |---|---| | Ist der Dienst über Port erreichbar? | TCP oder UDP | | Funktioniert Namensauflösung? | DNS über UDP/TCP 53 | | Funktioniert IP-Erreichbarkeit grob? | ICMP | | Wie kommt IPv4 zur MAC-Adresse? | ARP | | Warum geht ping, aber Webseite nicht? | ICMP geht, TCP 80/443 prüfen | | Warum geht lokale Kommunikation nicht? | ARP, VLAN, Switch, IP | | Warum geht Gateway nicht? | ARP, Gateway-IP, VLAN, Router | Merksatz: Unterschiedliche Protokolle beantworten unterschiedliche Diagnosefragen. --- **Beispiel: Ping funktioniert, HTTPS nicht** Fehlerbild: ping zum Server funktioniert. Webseite über HTTPS funktioniert nicht. Bedeutung: ICMP-Erreichbarkeit ist vorhanden. Mögliche Ursachen: TCP 443 blockiert Webserver läuft nicht Zertifikatsproblem Reverse Proxy fehlerhaft Anwendung fehlerhaft Firewall-Regel fehlt Merksatz: ping erfolgreich heißt nicht, dass HTTPS funktioniert. --- **Beispiel: DNS funktioniert nicht** Fehlerbild: Name wird nicht aufgelöst. Mögliche Protokolle: DNS über UDP 53 DNS über TCP 53 Mögliche Ursachen: DNS-Server falsch DNS-Server nicht erreichbar Port 53 blockiert falscher DNS-Eintrag DNS-Cache Split-DNS Merksatz: DNS-Probleme sind meist Schicht 7, nutzen aber TCP oder UDP auf Schicht 4. --- **Beispiel: DHCP funktioniert nicht** Fehlerbild: Client erhält 169.254.x.x. Beteiligte Protokolle: DHCP über UDP 67 und 68 Mögliche Ursachen: DHCP-Server nicht erreichbar falsches VLAN DHCP-Relay fehlt Scope erschöpft Firewall blockiert Netzwerkverbindung fehlerhaft Merksatz: DHCP-Fehler können durch Schicht 1, 2, 3 oder 7 verursacht werden. --- **Beispiel: lokales Ziel nicht erreichbar** Fehlerbild: Client und Server sollen im gleichen Subnetz sein, erreichen sich aber nicht. Mögliche Prüfungen: IP-Adresse Subnetzmaske VLAN Switchport ARP-Tabelle lokale Firewall doppelte IP-Adresse Merksatz: Im gleichen Subnetz sind ARP, VLAN und lokale Firewall besonders wichtig. --- **Beispiel: externes Ziel nicht erreichbar** Fehlerbild: Ziel liegt außerhalb des eigenen Subnetzes. Beteiligte Schritte: Client prüft Zielnetz. Client sendet an Gateway. ARP ermittelt MAC-Adresse des Gateways. Router leitet IP-Paket weiter. NAT oder Firewall können beteiligt sein. Merksatz: Externe Kommunikation braucht Gateway und Routing. --- **Typische Werkzeuge** | Werkzeug | Hilft bei | |---|---| | ping | ICMP-Erreichbarkeit | | traceroute / tracert | Weg über Router | | arp | ARP-Tabelle anzeigen | | ip neigh | Nachbartabelle unter Linux | | ipconfig /all | IP-Konfiguration Windows | | ip addr | IP-Konfiguration Linux | | netstat | Verbindungen und Ports | | ss | Sockets und Ports unter Linux | | nslookup | DNS prüfen | | dig | DNS detailliert prüfen | | tcpdump | Pakete mitschneiden | | Wireshark | Pakete grafisch analysieren | Merksatz: Werkzeug passend zur vermuteten Schicht wählen. --- **Prüfungsfalle: ping falsch interpretieren** Ping kann fehlschlagen, obwohl der Dienst erreichbar ist. Mögliche Gründe: ICMP blockiert Ziel antwortet nicht auf ping Firewall filtert ICMP Ping kann funktionieren, obwohl der Dienst nicht erreichbar ist. Mögliche Gründe: TCP-Port blockiert Anwendung läuft nicht TLS-Problem Rechteproblem Merksatz: ping ist Diagnose, aber kein vollständiger Funktionstest. --- **Prüfungsfalle: ARP nur im lokalen Netz** ARP funktioniert nicht über Router hinweg. Für entfernte Ziele wird nicht die MAC-Adresse des Zielservers gesucht, sondern die MAC-Adresse des Gateways. Merksatz: ARP kennt nur lokale Nachbarn. --- **Prüfungsfalle: TCP und UDP nicht vermischen** TCP 53 und UDP 53 sind unterschiedliche Regeln. TCP 443 und UDP 443 sind nicht automatisch dasselbe. Eine Firewall-Regel muss das richtige Transportprotokoll erlauben. Merksatz: Portnummer ohne TCP oder UDP ist unvollständig. --- **Prüfungsfalle: UDP ist nicht automatisch unsicher** UDP hat keine eingebaute Zustellgarantie. Das bedeutet aber nicht automatisch, dass UDP „schlecht“ oder „unsicher“ ist. Es ist für bestimmte Anwendungen sinnvoll, zum Beispiel DNS, DHCP, VoIP oder NTP. Merksatz: UDP ist nicht schlechter, sondern für andere Anforderungen gebaut. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist TCP? - Was ist UDP? - Vergleichen Sie TCP und UDP. - Was ist der TCP Three-Way Handshake? - Warum nutzt DNS häufig UDP? - Warum eignet sich UDP für VoIP? - Was macht ICMP? - Wofür wird ping verwendet? - Warum ersetzt ping keinen Diensttest? - Was zeigt traceroute? - Was macht ARP? - Warum wird bei externen Zielen die MAC-Adresse des Gateways benötigt? - Was ist ARP-Spoofing? - Warum muss man bei Firewall-Regeln TCP und UDP unterscheiden? --- **IHK-sichere Kurzformulierung** TCP und UDP sind Transportprotokolle der OSI-Schicht 4. TCP ist verbindungsorientiert und zuverlässig. Es nutzt einen Verbindungsaufbau, Bestätigungen und erneute Übertragung verlorener Daten. UDP ist verbindungslos, schlank und hat keine eingebaute Zustellgarantie. Es eignet sich für schnelle oder zeitkritische Kommunikation wie DNS, DHCP, VoIP oder NTP. ICMP arbeitet auf Schicht 3 und dient Kontroll- und Diagnosemeldungen, zum Beispiel bei ping oder traceroute. ARP löst im lokalen IPv4-Netz eine IP-Adresse in eine MAC-Adresse auf. Für Ziele außerhalb des eigenen Subnetzes wird per ARP die MAC-Adresse des Gateways ermittelt. --- **Merksätze** TCP ist zuverlässig. TCP ist verbindungsorientiert. TCP nutzt Ports. TCP startet mit SYN, SYN-ACK, ACK. UDP ist verbindungslos. UDP ist schnell und schlank. UDP hat keine eingebaute Zustellgarantie. UDP nutzt ebenfalls Ports. TCP und UDP gehören zu Schicht 4. ICMP gehört zu Schicht 3. ICMP dient Diagnose und Fehlermeldungen. ping nutzt ICMP. ping ist kein vollständiger Diensttest. traceroute zeigt den Weg über Router. Nicht jeder Hop muss antworten. ARP löst IPv4 zu MAC auf. ARP arbeitet lokal. ARP Request ist Broadcast. ARP Reply liefert die MAC-Adresse. ARP-Tabelle speichert Zuordnungen. Für externe Ziele wird die MAC des Gateways genutzt. IP zeigt zum Endziel. MAC zeigt zum nächsten lokalen Hop. ARP-Spoofing kann Verkehr umleiten. TCP 53 und UDP 53 getrennt beachten. Portnummer immer mit TCP oder UDP nennen. Host erreichbar heißt nicht Dienst erreichbar. ICMP blockiert heißt nicht automatisch Ziel offline. UDP ist nicht schlechter, sondern für andere Anforderungen gebaut. # 19.7 VLAN, Switching, Routing und Firewall Spickzettel Dieser Spickzettel fasst vier zentrale Netzwerkthemen kompakt zusammen: - Switching - VLAN - Routing - Firewall Diese Themen hängen in Prüfungsaufgaben oft zusammen, weil sie bestimmen, wie Geräte im lokalen Netz kommunizieren und wie Verkehr zwischen Netzen erlaubt oder blockiert wird. Merksatz: Switches verbinden Geräte im LAN. VLANs trennen logisch. Routing verbindet Netze. Firewalls filtern Verkehr. --- **Grundübersicht** | Begriff | Hauptaufgabe | Typische Schicht | |---|---|---:| | Switch | Frames im lokalen Netz weiterleiten | OSI-Schicht 2 | | VLAN | logische Trennung innerhalb eines Switch-Netzes | OSI-Schicht 2 | | Router | IP-Netze miteinander verbinden | OSI-Schicht 3 | | Firewall | Verkehr erlauben oder blockieren | Schicht 3 bis 7 | Merksatz: VLAN trennt. Routing verbindet. Firewall entscheidet, was erlaubt ist. --- **Switching kurz erklärt** Ein Switch verbindet Geräte in einem lokalen Netzwerk. Er arbeitet hauptsächlich auf: OSI-Schicht 2 Er leitet Ethernet-Frames anhand von MAC-Adressen weiter. Merksatz: Switches arbeiten mit MAC-Adressen. --- **MAC-Adresstabelle** Ein Switch lernt, welche MAC-Adresse an welchem Port erreichbar ist. Beispiel: | MAC-Adresse | Switchport | |---|---| | AA:AA:AA:AA:AA:01 | Port 1 | | AA:AA:AA:AA:AA:02 | Port 2 | | AA:AA:AA:AA:AA:03 | Port 3 | Der Switch lernt aus der Quell-MAC-Adresse eingehender Frames. Merksatz: Switch lernt aus Quell-MAC-Adressen. --- **Switching-Ablauf** Wenn ein Frame beim Switch ankommt: 1. Switch liest die Quell-MAC-Adresse. 2. Switch speichert: Diese MAC-Adresse ist an diesem Port erreichbar. 3. Switch liest die Ziel-MAC-Adresse. 4. Wenn Ziel-MAC bekannt ist: Frame wird gezielt an den passenden Port gesendet. 5. Wenn Ziel-MAC unbekannt ist: Frame wird geflutet. Merksatz: Bekannte Ziel-MAC: gezielte Weiterleitung. Unbekannte Ziel-MAC: Flooding. --- **Flooding** Flooding bedeutet: Der Switch sendet einen Frame an alle Ports im VLAN, außer an den Eingangsport. Flooding passiert bei: unbekannter Ziel-MAC-Adresse Broadcast bestimmten Multicast-Fällen Merksatz: Flooding ist nicht immer Fehler, sondern bei unbekannter Ziel-MAC normal. --- **Broadcast** Broadcast bedeutet: Nachricht an alle Geräte im lokalen Broadcast-Bereich. Beispiel: ARP Request Broadcast bleibt normalerweise innerhalb: eines VLANs beziehungsweise einer Broadcast-Domäne Merksatz: Broadcast erreicht alle Geräte im gleichen VLAN. --- **Broadcast-Domäne** Eine Broadcast-Domäne ist der Bereich, in dem Broadcasts verteilt werden. Ohne VLAN: oft gesamtes Switch-Netz Mit VLAN: jedes VLAN ist eigene Broadcast-Domäne Merksatz: VLANs trennen Broadcast-Domänen. --- **VLAN kurz erklärt** VLAN steht für: Virtual Local Area Network Ein VLAN trennt ein physisches Netzwerk logisch in mehrere getrennte Netzbereiche. Beispiele: VLAN 10 Verwaltung VLAN 20 Clients VLAN 30 Server VLAN 40 Gäste VLAN 99 Management Merksatz: VLAN = logische Trennung auf Schicht 2. --- **Warum VLANs verwendet werden** Vorteile: logische Netztrennung kleinere Broadcast-Domänen bessere Struktur Trennung von Abteilungen Trennung von Gästen und internem Netz Trennung von Servern und Clients Managementnetz separat halten Sicherheitszonen ermöglichen Merksatz: VLANs verbessern Struktur, Übersicht und Sicherheit. --- **VLAN ist keine vollständige Firewall** Ein VLAN trennt auf Schicht 2. Aber: Kommunikation zwischen VLANs ist über Routing möglich. Deshalb braucht man für Sicherheit zusätzlich: Router-Regeln Firewall-Regeln ACLs Merksatz: VLAN trennt logisch, Firewall kontrolliert Verkehr. --- **Access-Port** Ein Access-Port gehört normalerweise zu genau einem VLAN. Typische Nutzung: Client Drucker Telefon Access Point im einfachen Betrieb Arbeitsplatzgerät Beispiel: Port 5 ist Access-Port in VLAN 20. Ein angeschlossenes Endgerät muss das VLAN meist nicht kennen. Merksatz: Access-Port = ein VLAN für Endgeräte. --- **Trunk-Port** Ein Trunk-Port transportiert mehrere VLANs. Typische Nutzung: Verbindung zwischen Switches Verbindung zu Router Verbindung zu Firewall Verbindung zu Hypervisor Verbindung zu VLAN-fähigem Access Point Merksatz: Trunk-Port = mehrere VLANs über eine Verbindung. --- **Access-Port und Trunk-Port vergleichen** | Porttyp | VLAN-Anzahl | Typische Nutzung | |---|---:|---| | Access-Port | ein VLAN | Endgeräte | | Trunk-Port | mehrere VLANs | Switch, Router, Firewall, Hypervisor | Merksatz: Access = ein VLAN. Trunk = mehrere VLANs. --- **VLAN-Tagging** Bei Trunk-Verbindungen müssen Frames einem VLAN zugeordnet werden. Dafür wird meistens verwendet: IEEE 802.1Q Dabei bekommt der Frame einen VLAN-Tag. Merksatz: 802.1Q markiert Frames mit VLAN-Information. --- **Untagged und Tagged** Untagged: Frame enthält keinen sichtbaren VLAN-Tag für das Endgerät. Typisch: Access-Port Tagged: Frame enthält VLAN-Information. Typisch: Trunk-Port Merksatz: Access meist untagged. Trunk meist tagged. --- **Native VLAN** Das Native VLAN ist das VLAN, dessen Frames auf einem Trunk untagged übertragen werden können. Wichtig: Native VLAN muss auf beiden Seiten passend konfiguriert sein. Risiko: Fehlkonfiguration kann zu unerwarteter Kommunikation führen. Merksatz: Native VLAN auf Trunks bewusst und einheitlich konfigurieren. --- **Management-VLAN** Ein Management-VLAN dient der Verwaltung von Netzwerkgeräten. Darin liegen zum Beispiel: Switch-Management Access-Point-Management Firewall-Management Monitoring Administrationszugriffe Merksatz: Managementzugänge nicht ins normale Clientnetz legen. --- **Gast-VLAN** Ein Gast-VLAN trennt Gäste vom internen Netz. Typische Regeln: Zugriff ins Internet erlaubt Zugriff auf interne Server blockiert Zugriff auf Managementnetz blockiert Merksatz: Gastnetz vom internen Netz trennen. --- **Voice-VLAN** Ein Voice-VLAN wird für IP-Telefone genutzt. Vorteile: Sprachverkehr getrennt vom normalen Clientverkehr QoS leichter möglich bessere Übersicht getrennte Sicherheitsregeln möglich Merksatz: Voice-VLAN trennt Telefonie vom normalen Datenverkehr. --- **Inter-VLAN-Routing** VLANs sind getrennte Layer-2-Netze. Damit Geräte aus verschiedenen VLANs miteinander kommunizieren können, braucht man Routing. Das nennt man: Inter-VLAN-Routing Möglich über: Router Layer-3-Switch Firewall Merksatz: VLANs trennen. Inter-VLAN-Routing verbindet sie wieder gezielt. --- **Router-on-a-Stick** Router-on-a-Stick bedeutet: Ein Router verbindet mehrere VLANs über eine Trunk-Verbindung. Der Router hat logische Subinterfaces, zum Beispiel: VLAN 10 VLAN 20 VLAN 30 Merksatz: Router-on-a-Stick routet mehrere VLANs über einen Trunk. --- **Layer-3-Switch** Ein Layer-3-Switch kann: switchen auf Schicht 2 und routen auf Schicht 3 Typische Nutzung: schnelles Routing zwischen VLANs im internen Netz Merksatz: Layer-3-Switch verbindet Switching und Routing. --- **Routing kurz erklärt** Routing bedeutet: Pakete zwischen verschiedenen IP-Netzen weiterleiten. Ein Router entscheidet anhand der Routing-Tabelle, wohin ein IP-Paket gesendet wird. Merksatz: Routing verbindet IP-Netze. --- **Routing-Tabelle** Eine Routing-Tabelle enthält typischerweise: Zielnetz Präfix Next Hop Interface Metrik Beispiel: | Zielnetz | Next Hop | Bedeutung | |---|---|---| | 192.168.10.0/24 | direkt verbunden | lokales Netz | | 192.168.20.0/24 | 192.168.10.1 | über Router erreichbar | | 0.0.0.0/0 | 192.168.10.254 | Standardroute | Merksatz: Routing-Tabelle bestimmt den nächsten Weg. --- **Standardroute** Die Standardroute ist die Route für alle Ziele, für die keine spezifischere Route vorhanden ist. IPv4-Schreibweise: 0.0.0.0/0 Typisch: Weg zum Internetrouter Merksatz: Standardroute = Route für unbekannte Ziele. --- **Spezifischste Route gewinnt** Wenn mehrere Routen passen, wird die Route mit dem längsten passenden Präfix verwendet. Beispiel: 192.168.10.0/24 ist spezifischer als: 192.168.0.0/16 Merksatz: Längster passender Präfix gewinnt. --- **Gateway** Das Standardgateway ist der Router, über den ein Client andere Netze erreicht. Wichtig: Das Gateway muss im lokalen Subnetz des Clients erreichbar sein. Merksatz: Gateway = Ausgang aus dem eigenen Netz. --- **Firewall kurz erklärt** Eine Firewall filtert Netzwerkverkehr. Sie entscheidet anhand von Regeln: erlauben oder blockieren Typische Kriterien: Quelle Ziel Port Protokoll Richtung Benutzer Anwendung Zustand Zeit Zone Merksatz: Firewall = kontrollierter Verkehr zwischen Bereichen. --- **Firewall-Regel** Eine gute Firewall-Regel enthält: Quelle Ziel Dienst oder Port Protokoll Richtung Aktion Zweck Verantwortlichen Datum Beispiel: | Quelle | Ziel | Protokoll | Port | Aktion | Zweck | |---|---|---|---:|---|---| | Client-VLAN | Webserver-DMZ | TCP | 443 | erlauben | HTTPS-Zugriff | | Gast-VLAN | internes Servernetz | any | any | blockieren | internes Netz schützen | | Admin-VLAN | Switch-Management | TCP | 22 | erlauben | SSH-Administration | Merksatz: Jede Firewall-Regel braucht einen Zweck. --- **Default Deny** Default Deny bedeutet: Standardmäßig ist alles verboten. Nur ausdrücklich erlaubter Verkehr wird zugelassen. Vorteil: kleinere Angriffsfläche bessere Kontrolle weniger unbeabsichtigte Freigaben Merksatz: Erst blockieren, dann gezielt erlauben. --- **Any-to-Any** Any-to-Any bedeutet: jede Quelle zu jedem Ziel Problem: sehr breite Freigabe schlechte Nachvollziehbarkeit große Angriffsfläche Sicherheitszonen werden umgangen Merksatz: Any-to-Any ist in der Regel kritisch. --- **Stateful Firewall** Eine Stateful Firewall merkt sich den Zustand einer Verbindung. Beispiel: Client startet HTTPS-Verbindung nach außen. Antwortpakete werden automatisch zugelassen, weil sie zur bestehenden Verbindung gehören. Merksatz: Stateful Firewall kennt Verbindungszustände. --- **Stateless Firewall** Eine Stateless Firewall betrachtet Pakete einzeln, ohne Verbindungszustand zu merken. Sie prüft nur einzelne Paketinformationen, zum Beispiel: Quelle Ziel Port Protokoll Merksatz: Stateless Firewall kennt keinen Verbindungszustand. --- **Firewall-Zonen** Firewall-Zonen teilen Netzbereiche nach Schutzbedarf. Beispiele: Internet DMZ internes Netz Servernetz Clientnetz Gastnetz Managementnetz Merksatz: Zonen helfen, Sicherheitsregeln strukturiert aufzubauen. --- **DMZ** DMZ steht für: Demilitarized Zone Eine DMZ ist ein getrenntes Netz für öffentlich erreichbare Dienste. Beispiele: Webserver Reverse Proxy Mail-Gateway VPN-Gateway Ziel: interne Netze schützen, wenn ein öffentlich erreichbarer Dienst kompromittiert wird. Merksatz: DMZ trennt öffentliche Dienste vom internen Netz. --- **ACL** ACL steht für: Access Control List Eine ACL ist eine Liste von Regeln, die Zugriff erlauben oder verweigern. Einsatz: Router Switches Firewalls Betriebssysteme Anwendungen Merksatz: ACL = Regelbasierte Zugriffskontrolle. --- **VLAN und Firewall zusammendenken** VLANs trennen Netzbereiche. Firewalls regeln, welcher Verkehr zwischen diesen Bereichen erlaubt ist. Beispiel: | Quelle | Ziel | Erlaubt? | Grund | |---|---|---|---| | Client-VLAN | Internet | ja | normaler Zugriff | | Gast-VLAN | internes Servernetz | nein | Schutz interner Daten | | Admin-VLAN | Management-VLAN | ja | Administration | | Server-VLAN | Datenbank-VLAN | nur benötigter Port | Least Privilege | Merksatz: VLAN ohne Regeln ist nur Trennung. Firewall macht daraus kontrollierte Sicherheit. --- **Typisches Fehlerbild: falsches VLAN** Symptome: Client bekommt keine passende IP-Adresse. Client erreicht lokale Systeme nicht. DHCP funktioniert nicht. Gerät ist im falschen Netz. nur ein Switchport betroffen. Prüfen: Access-Port-VLAN Trunk erlaubt VLAN? VLAN existiert? DHCP-Scope passt? Switchport aktiv? Dokumentation korrekt? Merksatz: Falsches VLAN führt oft zu falscher oder fehlender IP-Konfiguration. --- **Typisches Fehlerbild: Trunk falsch konfiguriert** Symptome: mehrere VLANs funktionieren nicht ein bestimmtes VLAN fehlt auf zweitem Switch Access Points liefern falsche Netze Hypervisor-VLANs nicht erreichbar Prüfen: Trunk-Port aktiv? VLANs erlaubt? Tagging korrekt? Native VLAN gleich? Gegenstelle passend konfiguriert? Merksatz: Trunk-Probleme betreffen oft mehrere VLANs. --- **Typisches Fehlerbild: Routing fehlt** Symptome: Geräte im gleichen VLAN erreichen sich. Geräte in anderen VLANs nicht. Gateway erreichbar, aber Zielnetz nicht. Prüfen: Routing-Tabelle Gateway Layer-3-Switch oder Router Inter-VLAN-Routing Firewall-Regeln Rückroute Merksatz: Gleiches VLAN geht, anderes Netz nicht: Routing und Firewall prüfen. --- **Typisches Fehlerbild: Firewall blockiert** Symptome: Zielhost erreichbar, aber bestimmter Dienst nicht. Porttest schlägt fehl. Firewall-Log zeigt Drop oder Deny. nach Regeländerung funktioniert Dienst nicht mehr. Prüfen: Quelle Ziel Port Protokoll Richtung Zone NAT Regelreihenfolge Logs Merksatz: Host erreichbar, Dienst nicht: Port, Dienst und Firewall prüfen. --- **Typisches Fehlerbild: Rückroute fehlt** Bei Kommunikation zwischen Netzen muss nicht nur der Hinweg funktionieren, sondern auch der Rückweg. Symptom: Anfrage geht raus, Antwort kommt nicht zurück. Ursachen: Rückroute fehlt falsches Gateway asymmetrisches Routing Firewall blockiert Rückverkehr NAT falsch Merksatz: Netzwerkkommunikation braucht Hinweg und Rückweg. --- **STP kurz erklärt** STP steht für: Spanning Tree Protocol Aufgabe: Schleifen auf Schicht 2 verhindern. Warum wichtig? Layer-2-Schleifen können Broadcast-Stürme verursachen. Merksatz: STP verhindert Switch-Schleifen. --- **Broadcast-Sturm** Ein Broadcast-Sturm entsteht, wenn Broadcasts durch Schleifen immer wieder weitergeleitet werden. Folgen: Netz wird langsam Switches stark belastet Clients verlieren Verbindung Dienste brechen ab Merksatz: Layer-2-Schleifen können das Netz lahmlegen. --- **Port Security** Port Security begrenzt, welche oder wie viele MAC-Adressen an einem Switchport erlaubt sind. Ziel: unautorisierte Geräte erschweren einfache Angriffe reduzieren Portmissbrauch begrenzen Merksatz: Port Security kontrolliert MAC-Adressen am Switchport. --- **802.1X** 802.1X ist portbasierte Netzwerkzugangskontrolle. Prinzip: Gerät oder Benutzer muss sich authentifizieren, bevor Netzwerkzugriff erlaubt wird. Typisch mit: RADIUS Zertifikat Benutzerkonto Merksatz: 802.1X prüft Zugriff vor Netzzugang. --- **Switching, Routing und Firewall unterscheiden** | Begriff | Aufgabe | Typische Entscheidung | |---|---|---| | Switching | Frames im LAN weiterleiten | Welche MAC an welchem Port? | | Routing | Pakete zwischen Netzen weiterleiten | Welcher nächste Hop? | | Firewall | Verkehr filtern | Erlauben oder blockieren? | Merksatz: Switch leitet lokal. Router leitet zwischen Netzen. Firewall entscheidet über Erlaubnis. --- **Typische Prüfungsfallen** VLAN und Subnetz gleichsetzen. Access-Port und Trunk-Port verwechseln. VLAN ohne Routing als netzübergreifende Verbindung verstehen. Firewall und Router gleichsetzen. Routing vergessen, wenn VLANs miteinander sprechen sollen. Firewall-Regeln ohne Richtung betrachten. Rückroute vergessen. Gateway außerhalb des Subnetzes eintragen. Any-to-Any als unkritisch ansehen. VLAN als vollständige Sicherheitsmaßnahme betrachten. Switch nur als „Verteiler“ ohne MAC-Lernen beschreiben. Merksatz: Viele Fehler entstehen, weil Trennung, Weiterleitung und Filterung vermischt werden. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was macht ein Switch? - Was ist eine MAC-Adresstabelle? - Was bedeutet Flooding? - Was ist ein VLAN? - Warum setzt man VLANs ein? - Was ist eine Broadcast-Domäne? - Was ist der Unterschied zwischen Access-Port und Trunk-Port? - Was bedeutet 802.1Q? - Was ist Inter-VLAN-Routing? - Was macht ein Router? - Was ist eine Standardroute? - Was bedeutet: spezifischste Route gewinnt? - Was macht eine Firewall? - Was ist Default Deny? - Warum ist Any-to-Any kritisch? - Was ist eine DMZ? - Was ist STP? - Warum kann eine Rückroute wichtig sein? --- **IHK-sichere Kurzformulierung** Ein Switch arbeitet hauptsächlich auf OSI-Schicht 2 und leitet Frames anhand von MAC-Adressen weiter. VLANs trennen ein physisches Netzwerk logisch in mehrere Broadcast-Domänen. Access-Ports gehören meist zu einem VLAN, Trunk-Ports transportieren mehrere VLANs mit VLAN-Tagging nach IEEE 802.1Q. Damit Geräte aus unterschiedlichen VLANs kommunizieren können, ist Inter-VLAN-Routing über Router, Layer-3-Switch oder Firewall nötig. Routing verbindet IP-Netze anhand von Routing-Tabellen. Eine Firewall filtert Verkehr anhand von Regeln wie Quelle, Ziel, Port, Protokoll und Aktion. VLANs trennen Netze, Firewalls kontrollieren den erlaubten Verkehr zwischen ihnen. --- **Merksätze** Switches arbeiten mit MAC-Adressen. Switch lernt aus Quell-MAC-Adressen. Unbekannte Ziel-MAC führt zu Flooding. Broadcast erreicht alle Geräte im gleichen VLAN. VLAN trennt logisch auf Schicht 2. VLANs bilden eigene Broadcast-Domänen. Access-Port = ein VLAN. Trunk-Port = mehrere VLANs. 802.1Q markiert VLAN-Frames. Access meist untagged. Trunk meist tagged. Managementzugänge gehören nicht ins Clientnetz. Gast-VLAN vom internen Netz trennen. VLAN ist keine vollständige Firewall. Inter-VLAN-Routing verbindet VLANs gezielt. Routing verbindet IP-Netze. Standardroute ist 0.0.0.0/0. Spezifischste Route gewinnt. Gateway führt aus dem eigenen Netz. Firewall filtert Verkehr. Default Deny ist sicherer. Any-to-Any ist kritisch. Stateful Firewall kennt Verbindungen. Stateless Firewall prüft Pakete einzeln. DMZ trennt öffentliche Dienste. ACL ist eine Regelliste für Zugriff. Rückroute nicht vergessen. STP verhindert Layer-2-Schleifen. Broadcast-Sturm kann ein Netz lahmlegen. Port Security kontrolliert MAC-Adressen. 802.1X prüft Netzzugang. Switch leitet lokal. Router leitet zwischen Netzen. Firewall entscheidet, ob Verkehr erlaubt ist. # 19.8 Sicherheitsbegriffe und Angriffe Spickzettel Dieser Spickzettel fasst wichtige Begriffe der IT-Sicherheit und typische Angriffe kompakt zusammen. Er ist besonders wichtig für: - Prüfungsaufgaben zur Informationssicherheit - Angriffsszenarien - Schutzmaßnahmen - Risikoanalyse - Sicherheitskonzepte - Fehlersuche bei Sicherheitsvorfällen Merksatz: Sicherheit bedeutet: Risiken erkennen, Schutzziele verstehen und passende Maßnahmen auswählen. --- **Grundidee der Informationssicherheit** Informationssicherheit schützt Informationen und IT-Systeme vor: unberechtigtem Zugriff Manipulation Ausfall Missbrauch Datenverlust Täuschung Sabotage Merksatz: Informationssicherheit schützt Daten, Systeme Prozesse und Zugriffe. --- **Die drei wichtigsten Schutzziele** Die wichtigsten Schutzziele werden oft als CIA-Triade bezeichnet. | Schutzziel | Bedeutung | Beispielverletzung | |---|---|---| | Vertraulichkeit | Schutz vor unberechtigtem Lesen | Kundendaten werden gestohlen | | Integrität | Schutz vor unbemerkter Veränderung | Konfiguration wird manipuliert | | Verfügbarkeit | Systeme und Daten sind nutzbar | Server ist durch DDoS nicht erreichbar | Merksatz: CIA = Confidentiality, Integrity, Availability. Auf Deutsch: Vertraulichkeit, Integrität, Verfügbarkeit. --- **Vertraulichkeit** Vertraulichkeit bedeutet: Informationen dürfen nur von berechtigten Personen, Systemen oder Prozessen gelesen werden. Beispiele für Verletzungen: Datenabfluss unberechtigter Zugriff mitgelesene Passwörter verlorener Laptop ohne Verschlüsselung falsch freigegebener Cloud-Ordner Schutzmaßnahmen: Verschlüsselung Rechtekonzept MFA Zugriffskontrolle DLP sichere Freigaben Merksatz: Vertraulichkeit schützt vor unberechtigtem Mitlesen. --- **Integrität** Integrität bedeutet: Daten dürfen nicht unbemerkt verändert werden. Beispiele für Verletzungen: manipulierte Konfigurationsdatei veränderte Überweisung geänderte Logdatei manipuliertes Softwarepaket beschädigte Datenbank Schutzmaßnahmen: Hashwerte digitale Signaturen Rechtebegrenzung Versionskontrolle Logging Vier-Augen-Prinzip Merksatz: Integrität schützt vor unbemerkter Veränderung. --- **Verfügbarkeit** Verfügbarkeit bedeutet: Systeme, Dienste und Daten stehen bei Bedarf zur Verfügung. Beispiele für Verletzungen: Serverausfall DDoS-Angriff Ransomware Stromausfall defekte Festplatte Netzwerkstörung Schutzmaßnahmen: Redundanz Backup Monitoring Patchmanagement DDoS-Schutz Notfallplan Merksatz: Verfügbarkeit schützt die Nutzbarkeit. --- **Weitere Schutzziele** | Schutzziel | Bedeutung | |---|---| | Authentizität | Echtheit einer Identität oder Nachricht | | Nichtabstreitbarkeit | Handlung kann später nicht glaubhaft bestritten werden | | Nachvollziehbarkeit | Ereignisse können geprüft und rekonstruiert werden | | Zurechenbarkeit | Aktionen können einer Identität zugeordnet werden | Merksatz: Authentizität fragt: Ist es echt? Nichtabstreitbarkeit fragt: Kann die Handlung nachgewiesen werden? --- **Authentizität** Authentizität bedeutet: Echtheit einer Identität, Nachricht oder Quelle. Beispiele: Ist der Server wirklich der richtige Server? Ist die E-Mail wirklich vom angegebenen Absender? Ist der Benutzer wirklich die angemeldete Person? Schutzmaßnahmen: Zertifikate digitale Signaturen MFA sichere Authentifizierung DNSSEC je nach Einsatz Merksatz: Authentizität schützt vor Täuschung über Identität oder Herkunft. --- **Nichtabstreitbarkeit** Nichtabstreitbarkeit bedeutet: Eine Handlung kann später nicht glaubhaft abgestritten werden. Beispiele: digitale Signatur revisionssichere Logs protokollierte Freigaben signierte Dokumente Merksatz: Nichtabstreitbarkeit macht Handlungen nachweisbar. --- **Schwachstelle, Bedrohung und Risiko** | Begriff | Bedeutung | Beispiel | |---|---|---| | Schwachstelle | ausnutzbare Lücke | ungepatchter Server | | Bedrohung | mögliches schädliches Ereignis | Angreifer nutzt Lücke aus | | Risiko | Wahrscheinlichkeit und Auswirkung | Datenverlust durch Angriff | | Maßnahme | reduziert Risiko | Patch installieren | Merksatz: Schwachstelle ist die Lücke. Bedrohung ist das mögliche Ereignis. Risiko ist die bewertete Gefahr. --- **Angriff** Ein Angriff ist der Versuch, eine Schwachstelle auszunutzen oder ein Schutzziel zu verletzen. Beispiele: Passwortangriff Malware-Infektion Phishing DDoS SQL Injection Man-in-the-Middle Merksatz: Angriff = aktiver Versuch, Schaden oder unberechtigten Zugriff zu erreichen. --- **Malware** Malware bedeutet: Schadsoftware Beispiele: Virus Wurm Trojaner Ransomware Spyware Keylogger Rootkit Botnet-Client Merksatz: Malware ist der Oberbegriff für Schadsoftware. --- **Virus** Ein Virus hängt sich an Dateien oder Programme an und verbreitet sich, wenn diese ausgeführt oder weitergegeben werden. Merksatz: Virus braucht meist eine Wirtsdatei oder Aktion zur Verbreitung. --- **Wurm** Ein Wurm verbreitet sich selbstständig über Netzwerke, ohne zwingend eine Wirtsdatei zu benötigen. Risiko: schnelle Ausbreitung Netzlast Masseninfektion Merksatz: Wurm verbreitet sich selbstständig. --- **Trojaner** Ein Trojaner tarnt sich als nützliches oder harmloses Programm, enthält aber schädliche Funktionen. Merksatz: Trojaner täuscht Nutzen vor. --- **Ransomware** Ransomware verschlüsselt oder sperrt Daten und fordert häufig Lösegeld. Betroffene Schutzziele: Verfügbarkeit bei Datenabfluss zusätzlich: Vertraulichkeit Schutzmaßnahmen: Offline-Backup Immutable Backup Patchmanagement EDR Segmentierung Least Privilege Restore-Test Merksatz: Ransomware betrifft vor allem Verfügbarkeit, bei Datenabfluss auch Vertraulichkeit. --- **Spyware und Keylogger** Spyware: spioniert Daten aus Keylogger: zeichnet Tastatureingaben auf Ziel: Passwörter Zugangsdaten vertrauliche Informationen Merksatz: Spyware und Keylogger gefährden besonders Vertraulichkeit. --- **Rootkit** Ein Rootkit versteckt Schadsoftware oder Angreiferzugriff tief im System. Ziel: Erkennung erschweren dauerhaften Zugriff sichern Spuren verbergen Merksatz: Rootkit versteckt Kompromittierung. --- **Botnet** Ein Botnet besteht aus vielen kompromittierten Geräten, die zentral gesteuert werden. Nutzung: DDoS Spam Credential Stuffing Malware-Verteilung Kryptomining Merksatz: Botnet = viele fremdgesteuerte kompromittierte Geräte. --- **Phishing** Phishing ist Täuschung, um vertrauliche Daten zu erhalten. Typische Ziele: Passwörter MFA-Codes Bankdaten Zugangsdaten interne Informationen Kanäle: E-Mail SMS Messenger Telefon QR-Code gefälschte Webseiten Merksatz: Phishing täuscht Benutzer zur Preisgabe von Daten. --- **Spear Phishing** Spear Phishing ist gezieltes Phishing gegen bestimmte Personen oder Organisationen. Merkmale: persönlicher Bezug glaubwürdiger Absender Bezug auf echte Projekte gezielte Vorbereitung Merksatz: Spear Phishing ist gezielter und oft glaubwürdiger. --- **Whaling** Whaling ist Phishing gegen besonders wichtige Personen. Beispiele: Geschäftsführung Abteilungsleitung Administratoren Personen mit Zahlungsfreigaben Merksatz: Whaling zielt auf große oder besonders wertvolle Ziele. --- **Social Engineering** Social Engineering nutzt menschliches Verhalten, Vertrauen oder Druck aus. Beispiele: falscher IT-Support dringender Anruf vom angeblichen Chef gefälschter Lieferant Besucher ohne Berechtigung manipulierte E-Mail Merksatz: Social Engineering greift Menschen an, nicht nur Technik. --- **CEO-Fraud** CEO-Fraud ist ein Betrug, bei dem sich Angreifer als Geschäftsführung oder Vorgesetzte ausgeben. Ziel: Zahlung auslösen vertrauliche Daten erhalten schnelle Entscheidung erzwingen Merksatz: CEO-Fraud nutzt Autorität und Zeitdruck. --- **Brute Force** Brute Force bedeutet: systematisches Ausprobieren vieler Passwörter. Schutzmaßnahmen: starke Passwörter Account Lockout Rate Limiting MFA Monitoring Passwortmanager Merksatz: Brute Force probiert viele Möglichkeiten aus. --- **Password Spraying** Password Spraying bedeutet: ein häufiges Passwort wird gegen viele Konten getestet. Beispiel: Winter2026! gegen viele Benutzerkonten. Ziel: Kontosperren vermeiden, weil pro Konto nur wenige Versuche stattfinden. Merksatz: Password Spraying: ein Passwort, viele Konten. --- **Credential Stuffing** Credential Stuffing nutzt bereits geleakte Zugangsdaten. Prinzip: Benutzer verwenden Passwörter oft mehrfach. Angreifer testen: bekannte E-Mail-Passwort-Kombinationen bei anderen Diensten. Schutzmaßnahmen: MFA Passwortmanager einzigartige Passwörter Leak-Prüfung Monitoring Merksatz: Credential Stuffing nutzt wiederverwendete Passwörter. --- **DoS** DoS steht für: Denial of Service Ziel: Dienst überlasten oder nicht mehr verfügbar machen Betroffenes Schutzziel: Verfügbarkeit Merksatz: DoS greift Verfügbarkeit an. --- **DDoS** DDoS steht für: Distributed Denial of Service Unterschied zu DoS: Angriff kommt verteilt von vielen Systemen. Häufig aus: Botnetzen Schutzmaßnahmen: DDoS-Schutz CDN Rate Limiting Filterung Skalierung Provider-Schutz Merksatz: DDoS = verteilter Angriff auf Verfügbarkeit. --- **Man-in-the-Middle** Man-in-the-Middle wird oft abgekürzt: MitM Dabei sitzt der Angreifer zwischen zwei Kommunikationspartnern. Ziele: mitlesen verändern umleiten Sitzung übernehmen Schutzmaßnahmen: TLS Zertifikatsprüfung VPN HSTS sichere WLANs ARP-Schutz Merksatz: MitM gefährdet Vertraulichkeit und Integrität. --- **Spoofing** Spoofing bedeutet: Identität, Adresse Absender oder Herkunft wird vorgetäuscht. Beispiele: IP-Spoofing MAC-Spoofing DNS-Spoofing E-Mail-Spoofing ARP-Spoofing Merksatz: Spoofing täuscht Herkunft oder Identität vor. --- **ARP-Spoofing** ARP-Spoofing manipuliert ARP-Zuordnungen im lokalen Netz. Ziel: Datenverkehr umleiten Man-in-the-Middle ermöglichen Kommunikation stören Schutzmaßnahmen: Dynamic ARP Inspection Netzwerksegmentierung Switch-Sicherheitsfunktionen Monitoring Verschlüsselung höherer Schichten Merksatz: ARP-Spoofing betrifft lokale IPv4-Kommunikation. --- **DNS-Spoofing** DNS-Spoofing liefert falsche DNS-Antworten. Ziel: Benutzer auf falsche Server umleiten Risiken: Phishing Malware Credential Theft Man-in-the-Middle Schutzmaßnahmen: DNSSEC je nach Einsatz vertrauenswürdige DNS-Server TLS-Zertifikatsprüfung Monitoring Merksatz: DNS-Spoofing manipuliert Namensauflösung. --- **SQL Injection** SQL Injection bedeutet: Angreifer schleust SQL-Code in Eingaben ein. Ziel: Daten auslesen Daten verändern Anmeldung umgehen Daten löschen Schutzmaßnahmen: Prepared Statements Parametrisierung Eingabevalidierung Rechtebegrenzung der Datenbankkonten Web Application Firewall sichere Fehlerausgaben Merksatz: SQL Injection betrifft unsichere Datenbankabfragen. --- **XSS** XSS steht für: Cross-Site Scripting Dabei wird schädlicher Skriptcode in Webseiten eingeschleust, der im Browser anderer Benutzer ausgeführt wird. Ziele: Session stehlen Benutzeraktionen manipulieren Inhalte verändern Phishing innerhalb einer Webseite Schutzmaßnahmen: Output Encoding Eingabevalidierung Content Security Policy HttpOnly-Cookies sichere Frameworks Merksatz: XSS greift Benutzer im Browser an. --- **CSRF** CSRF steht für: Cross-Site Request Forgery Dabei wird eine gültige Sitzung des Benutzers missbraucht, um ungewollte Aktionen auszuführen. Beispiel: Benutzer ist angemeldet. Angreifer bringt ihn dazu, eine Aktion im Hintergrund auszulösen. Schutzmaßnahmen: CSRF-Token SameSite-Cookies erneute Bestätigung kritischer Aktionen Origin-Prüfung Merksatz: CSRF missbraucht eine bestehende Sitzung. --- **Zero-Day** Ein Zero-Day ist eine Schwachstelle, für die es noch keinen bekannten Patch gibt oder die gerade erst bekannt wurde. Risiko: hohe Gefahr, weil Schutzmaßnahmen noch nicht vollständig verfügbar sind. Merksatz: Zero-Day = Schwachstelle ohne fertige Standardlösung. --- **Supply-Chain-Angriff** Ein Supply-Chain-Angriff zielt auf Lieferkette, Softwareabhängigkeiten oder Dienstleister. Beispiele: kompromittiertes Update manipuliertes Paket unsicherer Dienstleisterzugang kompromittierte Bibliothek Schutzmaßnahmen: Signaturprüfung SBOM Dependency-Scanning Lieferantenprüfung Least Privilege für Dienstleister Monitoring Merksatz: Supply-Chain-Angriff kommt über Abhängigkeiten. --- **Insider Threat** Insider Threat bedeutet: Gefahr durch Personen innerhalb der Organisation oder mit berechtigtem Zugriff. Beispiele: absichtlicher Datenabfluss fahrlässige Fehlkonfiguration Missbrauch von Adminrechten unbemerkter Zugriff nach Rollenwechsel Schutzmaßnahmen: Least Privilege Rechteprüfung Vier-Augen-Prinzip Logging Trennung von Aufgaben Offboarding Merksatz: Insider haben bereits Zugriff, deshalb sind Rechte und Logs wichtig. --- **Technische Schutzmaßnahmen** Beispiele: Firewall IDS IPS EDR Antivirus Verschlüsselung MFA Backup Netzwerksegmentierung Patchmanagement Hardening SIEM Merksatz: Technische Maßnahmen wirken direkt auf Systeme und Daten. --- **Organisatorische Schutzmaßnahmen** Beispiele: Sicherheitsrichtlinien Berechtigungskonzept Notfallplan Change Management Vier-Augen-Prinzip Schulungskonzept Incident-Response-Prozess Rollen und Verantwortlichkeiten Merksatz: Organisatorische Maßnahmen regeln Abläufe und Verantwortung. --- **Personelle Schutzmaßnahmen** Beispiele: Schulungen Awareness Rollenklärung Verpflichtung auf Vertraulichkeit Hintergrundprüfungen je nach Rolle Sensibilisierung für Phishing Merksatz: Personelle Maßnahmen betreffen Menschen und Verhalten. --- **Physische Schutzmaßnahmen** Beispiele: Zutrittskontrolle Serverraum abschließen Brandmeldeanlage USV Klimatisierung Diebstahlschutz Videoüberwachung je nach Rechtslage Merksatz: Physische Sicherheit schützt Räume, Geräte und Infrastruktur. --- **Defense in Depth** Defense in Depth bedeutet: Sicherheit durch mehrere Schutzschichten. Beispiele: Firewall Segmentierung MFA EDR Logging Backup Schulung Patchmanagement Merksatz: Nicht eine Maßnahme allein, sondern mehrere Schichten schützen besser. --- **Least Privilege** Least Privilege bedeutet: Benutzer, Dienste und Prozesse erhalten nur die Rechte, die sie wirklich benötigen. Ziel: Schaden bei Fehlern oder Angriffen begrenzen. Merksatz: So wenig Rechte wie möglich, so viele wie nötig. --- **Zero Trust** Zero Trust bedeutet: keinem Zugriff automatisch vertrauen. Grundidee: Identität prüfen Gerät prüfen Kontext prüfen Zugriff begrenzen kontinuierlich überwachen Merksatz: Zero Trust heißt: Vertrauen wird geprüft, nicht vorausgesetzt. --- **MFA** MFA steht für: Multi-Faktor-Authentifizierung Dabei werden mehrere Faktoren kombiniert. Faktoren: Wissen: Passwort Besitz: Token, Smartphone, Smartcard Sein: biometrisches Merkmal Merksatz: MFA sorgt dafür, dass ein Passwort allein nicht reicht. --- **IDS und IPS** | System | Bedeutung | Aufgabe | |---|---|---| | IDS | Intrusion Detection System | erkennt und meldet Angriffe | | IPS | Intrusion Prevention System | erkennt und blockiert Angriffe | Merksatz: IDS meldet. IPS blockiert zusätzlich. --- **EDR** EDR steht für: Endpoint Detection and Response Aufgabe: Endgeräte überwachen verdächtiges Verhalten erkennen Reaktion ermöglichen Angriffe analysieren Merksatz: EDR schützt und überwacht Endgeräte. --- **SIEM** SIEM steht für: Security Information and Event Management Aufgabe: Logs sammeln Sicherheitsereignisse korrelieren Alarme erzeugen Vorfälle analysieren Nachvollziehbarkeit verbessern Merksatz: SIEM verbindet Sicherheitsereignisse aus vielen Quellen. --- **Patchmanagement** Patchmanagement sorgt dafür, dass Sicherheitsupdates geplant, getestet und eingespielt werden. Ziel: bekannte Schwachstellen schließen Merksatz: Patchmanagement reduziert bekannte Risiken. --- **Hardening** Hardening bedeutet: Systeme sicherer konfigurieren, indem unnötige Funktionen entfernt oder eingeschränkt werden. Beispiele: unnötige Dienste deaktivieren Standardpasswörter ändern sichere Protokolle verwenden unsichere Ports schließen Rechte begrenzen Logging aktivieren Merksatz: Hardening verringert die Angriffsfläche. --- **Backup als Sicherheitsmaßnahme** Backup schützt besonders gegen: Datenverlust Ransomware Fehlkonfiguration versehentliche Löschung Hardwaredefekt Wichtig: Restore-Test Offline-Backup Immutable Backup Zugriffsschutz Verschlüsselung Merksatz: Backup ist Wiederherstellungsvorsorge. --- **Angriffe und Schutzziele zuordnen** | Angriff | Betroffenes Schutzziel | |---|---| | Datenabfluss | Vertraulichkeit | | Manipulation | Integrität | | DDoS | Verfügbarkeit | | Ransomware | Verfügbarkeit, eventuell Vertraulichkeit | | Man-in-the-Middle | Vertraulichkeit und Integrität | | Phishing | Authentizität, Vertraulichkeit | | Spoofing | Authentizität | | Logmanipulation | Integrität und Nachvollziehbarkeit | Merksatz: Erst Schutzziel erkennen, dann passende Maßnahme nennen. --- **Risiko und Maßnahme zuordnen** | Risiko | passende Maßnahme | |---|---| | gestohlenes Passwort | MFA | | zu viele Rechte | Least Privilege | | Malware | EDR, Patchmanagement | | Ransomware | Backup, Segmentierung, Immutable Backup | | DDoS | DDoS-Schutz, CDN, Rate Limiting | | Datenabfluss | Verschlüsselung, DLP, Rechtekonzept | | unsichere Freigaben | Rechteprüfung, Ablaufdatum, Logging | | Fehlkonfiguration | Change Management, Vier-Augen-Prinzip | | unklare Sicherheitsvorfälle | Logging, SIEM, Monitoring | | Phishing | Awareness, Mailfilter, MFA | Merksatz: Maßnahme muss direkt zum Risiko passen. --- **Typische Prüfungsfallen** Vertraulichkeit, Integrität und Verfügbarkeit verwechseln. Schwachstelle, Bedrohung und Risiko gleichsetzen. Phishing nur als technisches Problem sehen. Ransomware nur als Vertraulichkeitsproblem sehen. DDoS nicht der Verfügbarkeit zuordnen. IDS und IPS verwechseln. MFA als Ersatz für Rechtekonzept verstehen. Backup als Schutz vor Angriff statt Wiederherstellungsvorsorge beschreiben. Zero Trust als einzelnes Produkt verstehen. Hardening und Patchmanagement verwechseln. Brute Force und Credential Stuffing verwechseln. Merksatz: Sicherheitsaufgaben prüfen oft saubere Begriffsabgrenzung. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was bedeutet Vertraulichkeit? - Was bedeutet Integrität? - Was bedeutet Verfügbarkeit? - Was ist der Unterschied zwischen Schwachstelle, Bedrohung und Risiko? - Was ist Malware? - Was ist Ransomware? - Was ist Phishing? - Was ist Social Engineering? - Was ist ein DDoS-Angriff? - Was ist Man-in-the-Middle? - Was ist Spoofing? - Was ist SQL Injection? - Was ist XSS? - Was ist CSRF? - Was ist MFA? - Was ist Least Privilege? - Was ist der Unterschied zwischen IDS und IPS? - Was ist SIEM? - Was ist Hardening? - Warum ist Backup bei Ransomware wichtig? --- **IHK-sichere Kurzformulierung** Informationssicherheit schützt die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit. Vertraulichkeit schützt vor unberechtigtem Lesen, Integrität vor unbemerkter Veränderung und Verfügbarkeit vor Ausfall oder Nichtnutzbarkeit. Eine Schwachstelle ist eine ausnutzbare Lücke, eine Bedrohung ein mögliches schädliches Ereignis und ein Risiko die bewertete Kombination aus Eintrittswahrscheinlichkeit und Auswirkung. Typische Angriffe sind Malware, Ransomware, Phishing, Social Engineering, DDoS, Man-in-the-Middle, Spoofing, SQL Injection, XSS und CSRF. Passende Schutzmaßnahmen sind unter anderem MFA, Least Privilege, Patchmanagement, Hardening, Firewall, IDS, IPS, EDR, SIEM, Backup, Segmentierung und Schulung. --- **Merksätze** Sicherheit schützt Schutzziele. CIA bedeutet Vertraulichkeit, Integrität und Verfügbarkeit. Vertraulichkeit schützt vor Mitlesen. Integrität schützt vor Manipulation. Verfügbarkeit schützt Nutzbarkeit. Authentizität schützt Echtheit. Nichtabstreitbarkeit macht Handlungen nachweisbar. Schwachstelle ist die Lücke. Bedrohung ist das mögliche Ereignis. Risiko ist die bewertete Gefahr. Maßnahme reduziert Risiko. Malware ist Schadsoftware. Virus braucht meist eine Wirtsdatei. Wurm verbreitet sich selbstständig. Trojaner täuscht Nutzen vor. Ransomware verschlüsselt oder sperrt Daten. Phishing täuscht Benutzer. Social Engineering greift Menschen an. Brute Force probiert viele Passwörter. Password Spraying: ein Passwort, viele Konten. Credential Stuffing nutzt geleakte Zugangsdaten. DoS greift Verfügbarkeit an. DDoS ist verteilter DoS. MitM sitzt zwischen Kommunikationspartnern. Spoofing täuscht Identität oder Herkunft vor. SQL Injection betrifft Datenbankabfragen. XSS betrifft Browser anderer Benutzer. CSRF missbraucht eine gültige Sitzung. Zero-Day ist eine neue oder ungepatchte Schwachstelle. Supply-Chain-Angriff kommt über Abhängigkeiten. Insider Threat kommt von innen oder mit berechtigtem Zugriff. MFA schützt gegen Passwortmissbrauch. Least Privilege begrenzt Rechte. IDS meldet. IPS blockiert zusätzlich. EDR schützt Endgeräte. SIEM korreliert Sicherheitsereignisse. Patchmanagement schließt bekannte Lücken. Hardening verringert Angriffsfläche. Backup ist Wiederherstellungsvorsorge. Defense in Depth nutzt mehrere Schutzschichten. Zero Trust prüft Vertrauen kontinuierlich. Maßnahme muss zum Risiko passen. # 19.9 Backup, Restore, RPO und RTO Spickzettel Dieser Spickzettel fasst die wichtigsten Begriffe rund um Datensicherung, Wiederherstellung und Notfallplanung kompakt zusammen. Er ist besonders wichtig für: - Backup-Konzepte - Restore-Aufgaben - Ransomware-Schutz - Notfallplanung - Verfügbarkeitsanforderungen - Prüfungsfragen zu RPO und RTO Merksatz: Backup ist die Sicherung. Restore ist die Wiederherstellung. --- **Grundübersicht** | Begriff | Bedeutung | |---|---| | Backup | Sicherung von Daten, Systemen oder Konfigurationen | | Restore | Wiederherstellung aus einer Sicherung | | RPO | maximal akzeptabler Datenverlust | | RTO | maximal akzeptable Wiederherstellungszeit | | Retention | Aufbewahrungsregel für Backups | | Restore-Test | Prüfung, ob Wiederherstellung funktioniert | | 3-2-1-Regel | Grundregel für mehrere Backup-Kopien | | Immutable Backup | unveränderliches Backup | | Offline-Backup | nicht dauerhaft verbundenes Backup | Merksatz: Ein Backup ist nur dann wertvoll, wenn der Restore funktioniert. --- **Backup kurz erklärt** Backup bedeutet: Daten, Systeme, Anwendungen oder Konfigurationen werden gesichert, damit sie später wiederhergestellt werden können. Typische Sicherungsobjekte: Dateien Datenbanken virtuelle Maschinen Server Konfigurationen Benutzerprofile Cloud-Daten Anwendungen Systemeinstellungen Merksatz: Backup schützt nicht direkt vor Fehlern, aber ermöglicht Wiederherstellung. --- **Restore kurz erklärt** Restore bedeutet: Wiederherstellung von Daten, Systemen oder Konfigurationen aus einem Backup. Beispiele: gelöschte Datei wiederherstellen Datenbank auf früheren Zustand zurücksetzen Server nach Defekt wiederherstellen Konfiguration nach Fehler zurückspielen Merksatz: Restore ist der eigentliche Beweis, dass ein Backup brauchbar ist. --- **Backup und Restore unterscheiden** | Begriff | Frage | Ziel | |---|---|---| | Backup | Was wird gesichert? | Datenverlust vorbeugen | | Restore | Wie wird wiederhergestellt? | Betrieb wiederherstellen | Merksatz: Backup ist Vorbereitung. Restore ist Wiederherstellung im Ernstfall. --- **Warum Restore-Tests wichtig sind** Ein Restore-Test prüft, ob ein Backup wirklich nutzbar ist. Zu prüfen: Daten vollständig? Dateien lesbar? Datenbank konsistent? Anwendung startet? Rechte korrekt? Schlüssel vorhanden? Wiederherstellungszeit akzeptabel? Dokumentation korrekt? Merksatz: Backup ohne Restore-Test ist unsicher. --- **Typische Backup-Arten** | Backup-Art | Bedeutung | Vorteil | Nachteil | |---|---|---|---| | Vollbackup | sichert alle ausgewählten Daten | einfache Wiederherstellung | viel Speicher und Zeit | | inkrementelles Backup | sichert Änderungen seit letztem Backup | schnell, wenig Speicher | Restore braucht Backup-Kette | | differenzielles Backup | sichert Änderungen seit letztem Vollbackup | Restore einfacher als inkrementell | wächst bis zum nächsten Vollbackup | | Snapshot | Momentaufnahme | schnelle Rückkehr möglich | ersetzt kein vollständiges Backup | | Image-Backup | vollständiges Systemabbild | komplettes System wiederherstellbar | größerer Speicherbedarf | | dateibasiertes Backup | ausgewählte Dateien und Ordner | gezielt und flexibel | kein komplettes Systemabbild | Merksatz: Backup-Art nach Wiederherstellungsziel auswählen. --- **Vollbackup** Ein Vollbackup sichert alle ausgewählten Daten vollständig. Vorteile: einfache Wiederherstellung weniger Abhängigkeiten vollständiger Sicherungsstand Nachteile: benötigt viel Speicherplatz dauert länger erzeugt mehr Last Merksatz: Vollbackup sichert alles, braucht aber mehr Speicher und Zeit. --- **Inkrementelles Backup** Ein inkrementelles Backup sichert nur Änderungen seit dem letzten Backup. Das letzte Backup kann sein: Vollbackup oder inkrementelles Backup Vorteile: schnell spart Speicherplatz Nachteile: Wiederherstellung braucht mehrere Sicherungen Backup-Kette darf nicht beschädigt sein Merksatz: Inkrementell = Änderungen seit letztem Backup. --- **Differenzielles Backup** Ein differenzielles Backup sichert Änderungen seit dem letzten Vollbackup. Vorteile: Restore einfacher als bei langer inkrementeller Kette weniger Speicher als tägliches Vollbackup Nachteile: wird bis zum nächsten Vollbackup immer größer Merksatz: Differenziell = Änderungen seit letztem Vollbackup. --- **Snapshot** Ein Snapshot ist eine Momentaufnahme eines Systems, Datenträgers, Dateisystems oder einer virtuellen Maschine. Typische Nutzung: vor Updates vor Konfigurationsänderungen vor Tests vor Softwareinstallationen Wichtig: Snapshot ist nicht automatisch ein vollwertiges Backup. Merksatz: Snapshot hilft bei schneller Rückkehr, ersetzt aber kein Backup-Konzept. --- **Warum Snapshot kein Backup ersetzt** Snapshots liegen oft auf demselben System oder Speicher wie die Produktivdaten. Risiken: Speicherdefekt betrifft Snapshot ebenfalls Ransomware kann Snapshot erreichen Snapshot kann gelöscht werden Snapshot-Kette kann beschädigt werden Speicherplatz kann volllaufen Standortausfall betrifft alles gemeinsam Merksatz: Backup muss getrennt, geschützt und wiederherstellbar sein. --- **Image-Backup** Ein Image-Backup sichert ein komplettes Systemabbild. Enthalten sein können: Betriebssystem Anwendungen Konfiguration Dateien Bootinformationen Vorteil: gesamtes System kann wiederhergestellt werden Merksatz: Image-Backup = komplettes Systemabbild. --- **Dateibasiertes Backup** Ein dateibasiertes Backup sichert ausgewählte Dateien oder Ordner. Geeignet für: Dokumente Benutzerdateien Projektdaten Konfigurationsdateien Exporte einzelne Verzeichnisse Merksatz: Dateibasiertes Backup sichert gezielt ausgewählte Inhalte. --- **Datenbank-Backup** Datenbanken brauchen besondere Sicherungsverfahren. Wichtig: Konsistenz laufende Transaktionen Schreibzugriffe Transaktionslogs Zeitpunkt der Sicherung Wiederherstellbarkeit Merksatz: Datenbanken nicht einfach blind als Datei kopieren. --- **Konsistentes Backup** Ein konsistentes Backup stellt sicher, dass Daten in einem gültigen Zustand gesichert werden. Beispiel: Eine Datenbank darf nicht mitten in einer unvollständigen Transaktion unsauber kopiert werden. Mögliche Verfahren: Datenbankdump Backup-Agent Anwendungskonsistenter Snapshot Transaktionslogs Wartungsfenster Merksatz: Konsistenz ist besonders bei Datenbanken wichtig. --- **Point-in-Time-Recovery** Point-in-Time-Recovery bedeutet: Wiederherstellung auf einen bestimmten Zeitpunkt. Beispiel: Datenbank auf Zustand von 10:15 Uhr zurücksetzen. Nützlich bei: versehentlichem Löschen fehlerhaftem Import beschädigten Daten falscher Änderung Merksatz: Point-in-Time-Recovery stellt gezielt einen früheren Zeitpunkt wieder her. --- **RPO** RPO steht für: Recovery Point Objective Frage: Wie viel Datenverlust ist maximal akzeptabel? Beispiel: RPO 1 Stunde Bedeutung: Es dürfen höchstens Daten von einer Stunde verloren gehen. Merksatz: RPO = maximal akzeptabler Datenverlust. --- **RTO** RTO steht für: Recovery Time Objective Frage: Wie lange darf die Wiederherstellung dauern? Beispiel: RTO 4 Stunden Bedeutung: Der Dienst soll spätestens nach 4 Stunden wieder laufen. Merksatz: RTO = maximal akzeptable Wiederherstellungszeit. --- **RPO und RTO vergleichen** | Begriff | Frage | Beispiel | |---|---|---| | RPO | Wie viel Datenverlust ist erlaubt? | maximal 1 Stunde Datenverlust | | RTO | Wie lange darf Wiederherstellung dauern? | System läuft nach spätestens 4 Stunden | Merksatz: RPO betrifft Datenverlust. RTO betrifft Zeit bis Wiederherstellung. --- **RPO und Backup-Frequenz** Je kleiner das RPO, desto häufiger muss gesichert werden. Beispiel: | RPO | mögliche Backup-Frequenz | |---|---| | 24 Stunden | tägliches Backup | | 1 Stunde | stündliches Backup oder kontinuierliche Sicherung | | wenige Minuten | Replikation plus Backup-Konzept oder spezielle Lösung | Merksatz: Backup-Frequenz muss zum RPO passen. --- **RTO und Wiederherstellung** Das RTO hängt ab von: Backup-Größe Restore-Geschwindigkeit Netzwerkgeschwindigkeit Speicherleistung Systemkomplexität Abhängigkeiten Personal Dokumentation Tests Merksatz: RTO wird nicht nur durch Backup bestimmt, sondern durch den gesamten Wiederherstellungsprozess. --- **Retention** Retention bedeutet: Aufbewahrungsregel für Backups. Beispiele: tägliche Backups 14 Tage behalten wöchentliche Backups 8 Wochen behalten monatliche Backups 12 Monate behalten Merksatz: Retention regelt, wie lange Backups behalten werden. --- **Aufbewahrungszeit** Die Aufbewahrungszeit hängt ab von: gesetzlichen Vorgaben internen Regeln Speicherplatz Datenschutz Wiederherstellungsbedarf Kosten Risiko später entdeckter Fehler Merksatz: Backups müssen lange genug, aber nicht unbegrenzt ohne Grund aufbewahrt werden. --- **Großvater-Vater-Sohn-Prinzip** Das Großvater-Vater-Sohn-Prinzip ist ein Rotationsschema. Typisch: Sohn: tägliche Sicherung Vater: wöchentliche Sicherung Großvater: monatliche Sicherung Merksatz: Großvater-Vater-Sohn kombiniert tägliche, wöchentliche und monatliche Backups. --- **3-2-1-Regel** Die 3-2-1-Regel lautet: 3 Kopien der Daten 2 unterschiedliche Speicherarten 1 Kopie extern oder getrennt Beispiel: Produktivdaten Backup auf NAS zusätzliches Backup extern oder in Cloud Merksatz: 3-2-1 reduziert das Risiko, dass alle Kopien gleichzeitig verloren gehen. --- **3-2-1-1-0-Regel** Erweiterte Variante: 3 Kopien 2 unterschiedliche Medien 1 Kopie extern 1 Kopie offline oder immutable 0 Fehler bei Restore-Tests Merksatz: Die 0 steht für fehlerfrei getestete Wiederherstellung. --- **Offline-Backup** Ein Offline-Backup ist nicht dauerhaft mit dem Produktivsystem verbunden. Beispiele: getrennte Festplatte Band ausgelagertes Medium abgeschottetes Backup-System Vorteil: besserer Schutz gegen Ransomware und versehentliche Löschung Merksatz: Offline-Backup ist nicht dauerhaft erreichbar. --- **Immutable Backup** Immutable bedeutet: unveränderlich Ein Immutable Backup kann für eine festgelegte Zeit nicht verändert oder gelöscht werden. Schützt gegen: Ransomware Manipulation versehentliche Löschung kompromittierte Adminzugänge Merksatz: Immutable Backup schützt die Wiederherstellungsmöglichkeit. --- **Backup-Verschlüsselung** Backups sollten verschlüsselt werden, besonders bei sensiblen Daten oder externer Speicherung. Wichtig: Schlüssel sicher aufbewahren Zugriff begrenzen Wiederherstellung mit Schlüssel testen Schlüsselverlust vermeiden Merksatz: Verschlüsseltes Backup ist nur nutzbar, wenn der Schlüssel verfügbar ist. --- **Backup-Zugriffsrechte** Backups enthalten oft besonders viele Daten. Deshalb müssen Zugriffe streng begrenzt werden. Wichtig: keine normalen Benutzerrechte auf Backup-Speicher getrennte Adminrechte MFA für Backup-Konsole keine unnötigen Löschrechte Dienstkonten rechtearm halten Zugriff protokollieren Merksatz: Backups brauchen starken Zugriffsschutz. --- **Backup und Ransomware** Ransomware versucht häufig, Backups zu löschen oder zu verschlüsseln. Schutzmaßnahmen: Offline-Backup Immutable Backup getrennte Zugangsdaten getrenntes Backupnetz MFA Monitoring Restore-Test Rechtebegrenzung Merksatz: Backups müssen auch vor Angreifern geschützt werden. --- **Backup-Monitoring** Backup-Monitoring prüft, ob Sicherungen erfolgreich laufen. Zu überwachen: letzter erfolgreicher Backup-Lauf Fehlermeldungen Datenmenge Laufzeit Speicherplatz Aufbewahrung Verschlüsselung Restore-Test ungewöhnliche Löschungen Merksatz: Ein fehlgeschlagenes Backup muss auffallen, bevor ein Restore benötigt wird. --- **Backup-Logs** Backup-Logs zeigen, was bei einer Sicherung passiert ist. Zu prüfen: Startzeit Endzeit Erfolg oder Fehler gesicherte Datenmenge übersprungene Dateien Warnungen Zielsystem Speicherplatz Berechtigungsfehler Merksatz: Backup-Logs regelmäßig prüfen. --- **Redundanz** Redundanz bedeutet: wichtige Komponenten sind mehrfach vorhanden. Beispiele: zwei Netzteile RAID mehrere Server mehrere Internetleitungen Cluster zweite Firewall Ziel: Ausfall vermeiden oder abfedern Merksatz: Redundanz erhöht Verfügbarkeit, ersetzt aber kein Backup. --- **Replikation** Replikation bedeutet: Daten werden auf ein anderes System kopiert, oft nahezu aktuell. Vorteile: schnelle Umschaltung aktuelle Kopie höhere Verfügbarkeit Risiko: Fehler, Löschung oder Ransomware können mitrepliziert werden. Merksatz: Replikation ist kein Backup. --- **Synchronisation** Synchronisation bedeutet: Daten werden zwischen Speicherorten abgeglichen. Problem: Löschung, Fehler oder Verschlüsselung können mitsynchronisiert werden. Merksatz: Synchronisation hält Daten gleich, stellt aber nicht automatisch alte Stände wieder her. --- **Backup, Redundanz, Replikation und Synchronisation vergleichen** | Begriff | Ziel | Ersetzt Backup? | |---|---|---| | Backup | alte Zustände wiederherstellen | ja, ist Backup | | Redundanz | Ausfall abfedern | nein | | Replikation | aktuelle Kopie bereitstellen | nein | | Synchronisation | Datenstände abgleichen | nein | Merksatz: Redundanz, Replikation und Synchronisation ersetzen kein Backup. --- **Notfallhandbuch** Ein Notfallhandbuch beschreibt, was bei schweren Störungen zu tun ist. Inhalte: Ansprechpartner Systeme Prioritäten Wiederherstellungsreihenfolge Backup-Orte Restore-Anleitungen Zugangsdatenablage Kommunikationswege Eskalationswege Merksatz: Im Notfall darf nicht erst gesucht werden, wer was weiß. --- **Restore-Reihenfolge** Bei Wiederherstellung ist die Reihenfolge wichtig. Beispiel: Netzwerk Verzeichnisdienst Speicher Datenbank Anwendung Benutzerzugriff Merksatz: Restore braucht Reihenfolge, weil Systeme voneinander abhängen. --- **Business Continuity** Business Continuity bedeutet: Geschäftsprozesse sollen trotz Störung weiterlaufen oder schnell wieder anlaufen. Dazu gehören: Notfallplanung Ersatzprozesse Kommunikation Verantwortlichkeiten Wiederanlauf Tests Merksatz: Business Continuity betrachtet den Betrieb insgesamt. --- **Disaster Recovery** Disaster Recovery beschreibt: Wiederherstellung der IT nach schweren Störungen. Beispiele: Ransomware Brand Rechenzentrumsausfall Hardwaredefekt Cloud-Ausfall massiver Datenverlust Merksatz: Disaster Recovery ist IT-Wiederherstellung nach schwerem Vorfall. --- **Failover** Failover bedeutet: Ein Dienst wird bei Ausfall auf ein Ersatzsystem umgeschaltet. Möglich: automatisch oder manuell Beispiele: zweite Firewall übernimmt Datenbank-Replikat wird aktiv anderer Server übernimmt Dienst Merksatz: Failover reduziert Ausfallzeit, ersetzt aber kein Backup. --- **Typische Fehlerbilder** | Fehlerbild | Wahrscheinliche Ursache | |---|---| | Backup angeblich erfolgreich, Restore geht nicht | Restore nie getestet | | Backupziel voll | Speicherplatz oder Retention falsch | | Datenbank nach Restore beschädigt | kein konsistentes Datenbank-Backup | | Ransomware verschlüsselt Backups mit | Backup online und beschreibbar | | Backup nicht lesbar | Medium defekt oder Datei beschädigt | | verschlüsseltes Backup nicht nutzbar | Schlüssel fehlt | | Restore dauert zu lange | RTO nicht realistisch geprüft | | zu viel Datenverlust | RPO nicht eingehalten | | alte Datei fehlt | Retention zu kurz | | Dienst startet nach Restore nicht | Abhängigkeiten vergessen | Merksatz: Backup-Probleme fallen oft erst beim Restore auf. --- **Typische Prüfungsfallen** Backup und Restore verwechseln. Backup ohne Restore-Test als sicher ansehen. Snapshot als vollständiges Backup bezeichnen. Replikation als Backup bezeichnen. Synchronisation als Backup bezeichnen. Redundanz als Backup bezeichnen. RPO und RTO verwechseln. Retention mit RPO verwechseln. Datenbankdateien ohne Konsistenz sichern. Backup-Verschlüsselung ohne Schlüsselverwaltung planen. Ransomware-Schutz für Backups vergessen. Notfallhandbuch nicht berücksichtigen. Merksatz: In Prüfungen wird oft gefragt, was kein Backup ersetzt. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist ein Backup? - Was ist ein Restore? - Warum ist ein Restore-Test wichtig? - Was ist ein Vollbackup? - Was ist ein inkrementelles Backup? - Was ist ein differenzielles Backup? - Was ist ein Snapshot? - Warum ersetzt ein Snapshot kein Backup? - Was bedeutet RPO? - Was bedeutet RTO? - Was ist Retention? - Was bedeutet die 3-2-1-Regel? - Was ist ein Immutable Backup? - Warum ist ein Offline-Backup sinnvoll? - Warum ist Replikation kein Backup? - Warum ist Synchronisation kein Backup? - Warum ersetzt Redundanz kein Backup? - Was ist Disaster Recovery? - Was ist Business Continuity? - Warum müssen Backups gegen Ransomware geschützt werden? --- **IHK-sichere Kurzformulierung** Ein Backup ist eine Sicherung von Daten, Systemen oder Konfigurationen. Restore bezeichnet die Wiederherstellung aus dieser Sicherung. Ein Backup ist nur zuverlässig, wenn die Wiederherstellung regelmäßig getestet wird. Vollbackups sichern alle ausgewählten Daten, inkrementelle Backups sichern Änderungen seit dem letzten Backup und differenzielle Backups sichern Änderungen seit dem letzten Vollbackup. RPO beschreibt den maximal akzeptablen Datenverlust, RTO die maximal akzeptable Wiederherstellungszeit. Backups sollten nach geeigneten Regeln aufbewahrt, überwacht, geschützt, verschlüsselt und durch Offline- oder Immutable-Kopien gegen Ransomware abgesichert werden. Replikation, Synchronisation, Redundanz und Snapshots ersetzen kein vollständiges Backup-Konzept. --- **Merksätze** Backup = Sicherung. Restore = Wiederherstellung. Backup ohne Restore-Test ist unsicher. Vollbackup sichert alles. Inkrementell sichert seit letztem Backup. Differenziell sichert seit letztem Vollbackup. Snapshot ist Momentaufnahme. Snapshot ersetzt kein vollständiges Backup. Image-Backup sichert ein Systemabbild. Datenbank-Backups müssen konsistent sein. Point-in-Time-Recovery stellt einen Zeitpunkt wieder her. RPO = Datenverlust. RTO = Wiederherstellungszeit. Retention = Aufbewahrungsregel. Backup-Frequenz muss zum RPO passen. Restore-Prozess muss zum RTO passen. 3-2-1 reduziert Gesamtrisiko. 3-2-1-1-0 ergänzt Offline oder Immutable und fehlerfreie Restore-Tests. Offline-Backup ist nicht dauerhaft verbunden. Immutable Backup ist unveränderlich. Verschlüsseltes Backup braucht Schlüssel. Backups brauchen starke Rechtebegrenzung. Backups müssen vor Ransomware geschützt werden. Backup-Monitoring ist Pflicht. Backup-Logs regelmäßig prüfen. Redundanz ist kein Backup. Replikation ist kein Backup. Synchronisation ist kein Backup. Failover ist kein Backup. Notfallhandbuch hilft im Ernstfall. Restore braucht Reihenfolge. Business Continuity betrachtet Geschäftsprozesse. Disaster Recovery betrachtet IT-Wiederherstellung. Im Notfall zählt nicht nur, ob ein Backup existiert, sondern ob es schnell und korrekt wiederhergestellt werden kann. # 19.10. Admin-Befehle und Fehlersuche Spickzettel Dieser Spickzettel fasst wichtige Befehle und Werkzeuge für Netzwerkadministration, Systemprüfung und Fehlersuche kompakt zusammen. Er ist besonders wichtig für: - IP-Konfiguration prüfen - DNS prüfen - Routing prüfen - Ports prüfen - Dienste prüfen - Logs prüfen - Erreichbarkeit testen - Fehler systematisch eingrenzen Merksatz: Befehle liefern Fakten, keine Vermutungen. --- **Grundidee der Fehlersuche** Bei Netzwerkproblemen immer systematisch prüfen. Sinnvolle Reihenfolge: 1. physische Verbindung 2. IP-Konfiguration 3. Gateway 4. DNS 5. Routing 6. Firewall 7. Port 8. Dienst 9. Anwendung 10. Logs Merksatz: Erst Verbindung, dann Adresse, dann Dienst, dann Anwendung. --- **Windows- und Linux-Werkzeuge im Überblick** | Aufgabe | Windows | Linux/macOS | |---|---|---| | IP-Konfiguration anzeigen | ipconfig | ip addr | | detaillierte IP-Konfiguration | ipconfig /all | ip addr, ip link | | Routing anzeigen | route print | ip route | | DNS prüfen | nslookup | dig, nslookup | | Erreichbarkeit prüfen | ping | ping | | Weg zum Ziel prüfen | tracert | traceroute | | Verbindungen anzeigen | netstat | ss, netstat | | Ports prüfen | netstat, PowerShell | ss, netstat | | Webdienst prüfen | PowerShell, Browser | curl | | Dienste prüfen | services.msc, sc, PowerShell | systemctl | | Logs prüfen | Ereignisanzeige | journalctl | | Prozesse prüfen | Task-Manager, tasklist | ps, top | | Speicherplatz prüfen | Explorer, PowerShell | df, du | | Benutzer prüfen | whoami | whoami, id | Merksatz: Gleiche Aufgabe, anderes Werkzeug je nach Betriebssystem. --- **IP-Konfiguration prüfen** Windows: ipconfig ipconfig /all Linux/macOS: ip addr ip link Wichtige Angaben: IP-Adresse Subnetzmaske oder Präfix Standardgateway DNS-Server MAC-Adresse DHCP aktiviert ja oder nein Lease-Informationen Interface-Status Merksatz: IP, Maske, Gateway und DNS immer zusammen prüfen. --- **ipconfig** ipconfig zeigt unter Windows die IP-Konfiguration. Wichtige Ausgaben: IPv4-Adresse Subnetzmaske Standardgateway Mit: ipconfig /all sieht man zusätzlich: DNS-Server DHCP-Status MAC-Adresse Lease-Zeiten Adapterdetails Merksatz: ipconfig /all zeigt die wichtigen Details. --- **ip addr** ip addr zeigt unter Linux die IP-Adressen der Netzwerkschnittstellen. Wichtige Punkte: Interface-Name IPv4-Adresse IPv6-Adresse Präfix Status MAC-Adresse Beispiele für Interface-Namen: eth0 ens18 enp0s3 wlan0 Merksatz: ip addr ist unter Linux der Standard für IP-Adressen. --- **ip link** ip link zeigt den Zustand von Netzwerkschnittstellen. Wichtige Angaben: Interface aktiv oder inaktiv MAC-Adresse MTU Link-Status Typische Begriffe: UP DOWN Merksatz: ip link hilft, den Interface-Status zu prüfen. --- **Gateway prüfen** Windows: ipconfig route print Linux/macOS: ip route Wichtig: Gateway muss im lokalen Subnetz erreichbar sein. Typisches Fehlerbild: lokale Geräte erreichbar, Internet nicht erreichbar Merksatz: Lokal ja, extern nein: Gateway prüfen. --- **Routing prüfen** Windows: route print Linux/macOS: ip route Wichtige Angaben: Zielnetz Gateway oder Next Hop Interface Metrik Standardroute Standardroute IPv4: 0.0.0.0/0 oder unter Linux oft: default Merksatz: Routing-Tabelle zeigt, wohin Pakete gesendet werden. --- **route print** route print zeigt unter Windows die Routing-Tabelle. Wichtig sind: Netzwerkziel Netzmaske Gateway Schnittstelle Metrik Typische Prüfung: Gibt es eine Standardroute? Ist das Gateway korrekt? Gibt es eine spezifische Route zum Zielnetz? Merksatz: route print zeigt den Weg aus Sicht des Windows-Clients. --- **ip route** ip route zeigt unter Linux die Routing-Tabelle. Typische Ausgabe enthält: default via 192.168.1.1 dev eth0 Bedeutung: Standardroute über Gateway 192.168.1.1 über Interface eth0 Merksatz: default ist die Standardroute. --- **ping** ping prüft Erreichbarkeit mit ICMP. Typische Nutzung: Ziel-IP testen Gateway testen DNS-Namen testen Wichtig: ping prüft ICMP, nicht automatisch den Dienst. Beispiel: ping funktioniert, aber HTTPS kann trotzdem blockiert sein. Merksatz: ping ist ein Erreichbarkeitstest, kein vollständiger Diensttest. --- **ping richtig interpretieren** | Ergebnis | Mögliche Bedeutung | |---|---| | Antwort kommt | Ziel antwortet auf ICMP | | keine Antwort | Ziel offline, ICMP blockiert, Routingproblem, Firewall | | hohe Zeit | Latenz, Last, lange Strecke | | Paketverlust | Funkproblem, Überlastung, Leitungsproblem | | Name wird nicht gefunden | DNS-Problem | | IP geht, Name nicht | DNS prüfen | Merksatz: Kein ping heißt nicht automatisch, dass das Ziel offline ist. --- **DNS prüfen** Windows: nslookup Linux/macOS: dig nslookup Prüfen: Wird der Name aufgelöst? Welche IP wird geliefert? Welcher DNS-Server antwortet? Ist der Record korrekt? Gibt es interne und externe Unterschiede? Merksatz: DNS gezielt mit nslookup oder dig prüfen. --- **nslookup** nslookup prüft Namensauflösung. Nützlich für: A-Record prüfen AAAA-Record prüfen DNS-Server testen Fehler bei Namensauflösung erkennen Typisches Fehlerbild: IP-Adresse funktioniert, Name funktioniert nicht Wahrscheinlich: DNS-Problem Merksatz: nslookup prüft DNS, nicht den eigentlichen Dienst. --- **dig** dig zeigt DNS-Abfragen detailliert an. Nützlich für: genaue DNS-Antworten Recordtypen TTL Antwortserver Debugging Vergleich verschiedener DNS-Server Typische Recordtypen: A AAAA MX CNAME TXT NS PTR Merksatz: dig ist besonders hilfreich für detaillierte DNS-Prüfung. --- **tracert und traceroute** Windows: tracert Linux/macOS: traceroute Aufgabe: Weg zum Ziel über Router anzeigen Nützlich für: Routingprobleme eingrenzen Hops sichtbar machen Latenzen grob erkennen Unterbrechungen lokalisieren Merksatz: traceroute zeigt den Weg, aber nicht jeder Hop muss antworten. --- **traceroute richtig interpretieren** | Beobachtung | Mögliche Bedeutung | |---|---| | erster Hop fehlt | Gateway oder lokales Netz prüfen | | Abbruch nach bestimmtem Hop | Firewall, Routing, Provider | | einzelne Sternchen | Hop antwortet nicht, Weg kann trotzdem funktionieren | | hohe Latenz ab bestimmtem Hop | Engstelle oder lange Strecke | | Ziel antwortet nicht | Ziel blockiert oder nicht erreichbar | Merksatz: Sternchen bedeuten nicht automatisch Totalausfall. --- **netstat** netstat zeigt Netzwerkverbindungen und lauschende Ports. Nützlich für: offene Ports anzeigen bestehende Verbindungen prüfen Dienst lauscht ja oder nein Quell- und Zielports sehen TCP-Status prüfen Typische Zustände: LISTEN ESTABLISHED TIME_WAIT CLOSE_WAIT Merksatz: netstat zeigt, welche Verbindungen und Ports aktiv sind. --- **ss** ss ist unter Linux ein modernes Werkzeug für Sockets und Ports. Nützlich für: lauschende Ports TCP-Verbindungen UDP-Sockets Prozesszuordnung je nach Berechtigung schnelle Portprüfung lokal Merksatz: ss ersetzt auf vielen Linux-Systemen netstat. --- **TCP-Status kurz erklärt** | Status | Bedeutung | |---|---| | LISTEN | Dienst wartet auf Verbindungen | | ESTABLISHED | Verbindung besteht | | SYN_SENT | Verbindungsaufbau gestartet | | SYN_RECEIVED | SYN empfangen und beantwortet | | TIME_WAIT | Verbindung beendet, Wartephase | | CLOSE_WAIT | Gegenseite hat beendet, lokale Anwendung noch nicht | Merksatz: LISTEN bedeutet: Dienst lauscht. --- **Portprüfung** Bei Dienstproblemen prüfen: Läuft der Dienst? Lauscht der Dienst auf dem richtigen Port? Lauscht er auf der richtigen Schnittstelle? Blockiert die lokale Firewall? Blockiert eine Netzwerkfirewall? Stimmt TCP oder UDP? Ist NAT oder Portweiterleitung korrekt? Merksatz: Host erreichbar heißt nicht, dass der Port erreichbar ist. --- **localhost, 127.0.0.1 und 0.0.0.0** 127.0.0.1: Loopback-Adresse nur lokal auf demselben System erreichbar localhost: Name für lokalen Rechner 0.0.0.0: Dienst lauscht auf allen IPv4-Schnittstellen des Hosts Merksatz: 127.0.0.1 ist lokal. 0.0.0.0 bedeutet alle Interfaces. --- **curl** curl prüft Webdienste, APIs und HTTP-Antworten. Nützlich für: HTTP-Statuscode Weiterleitungen Header TLS-Verbindung API-Antwort Erreichbarkeit ohne Browser Proxy-Fehler Backend-Fehler Merksatz: curl prüft Webdienste direkter als ein Browser. --- **HTTP-Statuscodes** | Statuscode | Bedeutung | |---|---| | 200 | erfolgreich | | 301 / 302 | Weiterleitung | | 400 | fehlerhafte Anfrage | | 401 | nicht authentifiziert | | 403 | verboten | | 404 | nicht gefunden | | 500 | interner Serverfehler | | 502 | Gateway oder Backend-Fehler | | 503 | Dienst nicht verfügbar | | 504 | Gateway Timeout | Merksatz: 4xx deutet eher auf Client, Anfrage oder Rechte. 5xx deutet eher auf Server, Anwendung oder Backend. --- **Dienste prüfen unter Linux** Wichtige Werkzeuge: systemctl journalctl systemctl prüft und verwaltet Dienste. journalctl zeigt Logs von systemd-Diensten. Merksatz: systemctl zeigt den Dienststatus. journalctl zeigt die Logs. --- **systemctl** systemctl wird genutzt für: Dienststatus prüfen Dienst starten Dienst stoppen Dienst neu starten Dienst aktivieren Dienst deaktivieren Typische Prüfung: Läuft der Dienst? Ist der Dienst beim Booten aktiviert? Gibt es Fehler beim Start? Merksatz: systemctl beantwortet: Läuft der Dienst? --- **journalctl** journalctl zeigt Logs unter systemd. Nützlich für: Dienstfehler Startprobleme Abstürze Berechtigungsfehler Konfigurationsfehler Zeitliche Eingrenzung Merksatz: journalctl beantwortet: Warum hat der Dienst Probleme? --- **Dienste prüfen unter Windows** Wichtige Werkzeuge: services.msc Task-Manager Ereignisanzeige PowerShell sc Typische Fragen: Läuft der Dienst? Ist der Starttyp korrekt? Gibt es Fehlermeldungen? Gibt es Abhängigkeiten? Merksatz: Unter Windows helfen Diensteverwaltung und Ereignisanzeige. --- **Windows-Ereignisanzeige** Die Ereignisanzeige zeigt Windows-Logs. Wichtige Bereiche: Anwendung Sicherheit System Setup Nützlich für: Anmeldefehler Dienstfehler Systemfehler Treiberprobleme Sicherheitsereignisse Merksatz: Windows-Logs stehen in der Ereignisanzeige. --- **Prozesse prüfen** Windows: Task-Manager tasklist Linux/macOS: ps top htop Nützlich für: hohe CPU-Last hoher RAM-Verbrauch hängende Prozesse Prozess läuft ja oder nein Prozess-ID finden Merksatz: Prozess läuft nicht automatisch gleich Dienst erreichbar. --- **Speicherplatz prüfen** Linux/macOS: df du Windows: Explorer Datenträgerverwaltung PowerShell Wichtige Fragen: Ist das Dateisystem voll? Ist die Logpartition voll? Ist genug Speicher für Backup oder Update vorhanden? Wächst eine Datei ungewöhnlich stark? Merksatz: Volle Datenträger verursachen viele Dienstprobleme. --- **df und du** df zeigt freien Speicher auf Dateisystemen. du zeigt Speicherverbrauch von Dateien und Ordnern. Unterschied: df: Wie voll ist das Dateisystem? du: Welcher Ordner verbraucht Speicher? Merksatz: df zeigt Gesamtfüllstand. du zeigt Verursacher. --- **Benutzer und Rechte prüfen** Windows: whoami whoami /groups Linux/macOS: whoami id groups Prüfen: Welcher Benutzer bin ich? In welchen Gruppen bin ich? Habe ich die nötigen Rechte? Wird ein anderes Konto verwendet? Merksatz: Anmeldung erfolgreich heißt nicht automatisch Zugriff erlaubt. --- **Dateirechte prüfen unter Linux** Wichtige Begriffe: Besitzer Gruppe Rechte Lesen Schreiben Ausführen Typische Werkzeuge: ls -l chmod chown Merksatz: Linux-Rechte bestehen aus Besitzer, Gruppe und anderen. --- **Freigaberechte prüfen** Bei Dateifreigaben prüfen: Freigaberechte Dateisystemrechte Gruppenmitgliedschaft Deny-Regeln Vererbung Benutzerkontext Merksatz: Bei Freigaben zählen oft Freigaberechte und Dateisystemrechte zusammen. --- **Logs allgemein prüfen** Wichtige Fragen: Wann trat der Fehler auf? Welches System meldet den Fehler? Welcher Benutzer ist betroffen? Welche Quelle und welches Ziel? Welche Fehlermeldung? Wiederholt sich das Muster? Gab es kurz vorher Änderungen? Merksatz: Logs beantworten: wer, wann, was, von wo, mit welchem Ergebnis. --- **Zeit und NTP prüfen** Korrekte Zeit ist wichtig für: Logs Zertifikate Kerberos MFA Tokens geplante Aufgaben Forensik Typische Fehler: Zertifikatswarnung Kerberos-Fehler ungültige Tokens falsche Log-Reihenfolge Merksatz: Bei Zertifikaten, Kerberos und Logs immer auch Zeit prüfen. --- **Firewall prüfen** Bei Firewall-Verdacht prüfen: Quelle Ziel Port Protokoll Richtung Zone Regelreihenfolge NAT Logs lokale Firewall Netzwerkfirewall Merksatz: Firewallprüfung braucht Quelle, Ziel, Port und Protokoll. --- **NAT und Portweiterleitung prüfen** Prüfen: öffentliche IP korrekt? DNS zeigt auf richtige öffentliche IP? externer Port korrekt? interne Ziel-IP korrekt? interner Port korrekt? Dienst läuft intern? lokale Firewall erlaubt? Router-Firewall erlaubt? doppeltes NAT? CGNAT? Merksatz: Portweiterleitung braucht DNS, NAT, Firewall und laufenden Dienst. --- **Typische Fehlerbilder und erste Prüfung** | Fehlerbild | Erste Prüfung | |---|---| | keine IP-Adresse | DHCP, Kabel, WLAN, VLAN | | 169.254.x.x | DHCP nicht erreicht | | lokales Netz geht, Internet nicht | Gateway, Routing, NAT | | IP geht, Name nicht | DNS | | ping geht, Webseite nicht | Port, Dienst, Firewall | | Login geht, Zugriff nicht | Rechte, Gruppe, ACL | | Anmeldung scheitert | Konto, Passwort, MFA, Verzeichnisdienst | | Zertifikatswarnung | Zertifikat, Hostname, Uhrzeit | | Dienst startet nicht | Logs, Konfiguration, Abhängigkeiten | | alles langsam | Last, DNS, Netzwerk, Speicher | Merksatz: Fehlerbild bestimmt den ersten sinnvollen Test. --- **Mini-Workflow: Client kommt nicht ins Internet** Prüfen: 1. IP-Adresse vorhanden? 2. APIPA-Adresse 169.254.x.x? 3. Subnetzmaske korrekt? 4. Gateway eingetragen? 5. Gateway erreichbar? 6. externe IP erreichbar? 7. DNS-Auflösung funktioniert? 8. Firewall oder Proxy? 9. NAT oder Provider? Merksatz: Erst IP, dann Gateway, dann DNS, dann Firewall und NAT. --- **Mini-Workflow: Webseite nicht erreichbar** Prüfen: 1. Name wird aufgelöst? 2. Ziel-IP erreichbar? 3. TCP 80 oder 443 erreichbar? 4. Webserver läuft? 5. TLS-Zertifikat gültig? 6. Reverse Proxy korrekt? 7. Anwendung liefert Fehler? 8. Logs prüfen. Merksatz: Webfehler können DNS, Port, TLS, Proxy oder Anwendung betreffen. --- **Mini-Workflow: Datei-Freigabe nicht erreichbar** Prüfen: 1. Netzwerkverbindung? 2. Namensauflösung? 3. Server erreichbar? 4. SMB-Port TCP 445 erreichbar? 5. Benutzer angemeldet? 6. Freigaberechte? 7. Dateisystemrechte? 8. Gruppenmitgliedschaft? 9. Firewall? 10. Logs? Merksatz: Freigabeprobleme können Netzwerk oder Rechte sein. --- **Mini-Workflow: SSH nicht erreichbar** Prüfen: 1. Ziel-IP erreichbar? 2. TCP 22 erreichbar? 3. SSH-Dienst läuft? 4. Firewall erlaubt Zugriff? 5. richtige Quell-IP erlaubt? 6. Benutzer erlaubt? 7. Schlüssel korrekt? 8. Host-Key-Warnung prüfen. 9. Logs prüfen. Merksatz: SSH-Probleme können Port, Dienst, Schlüssel, Benutzer oder Firewall sein. --- **Mini-Workflow: DNS-Problem** Prüfen: 1. DNS-Server eingetragen? 2. DNS-Server erreichbar? 3. richtiger Record vorhanden? 4. interner oder externer DNS? 5. DNS-Suffix korrekt? 6. Split-DNS relevant? 7. DNS-Cache veraltet? 8. Firewall blockiert UDP/TCP 53? Merksatz: IP ja, Name nein: DNS prüfen. --- **Mini-Workflow: DHCP-Problem** Prüfen: 1. Client im richtigen VLAN? 2. Switchport korrekt? 3. DHCP-Server aktiv? 4. DHCP-Scope frei? 5. DHCP-Relay korrekt? 6. Firewall erlaubt DHCP? 7. Reservierung oder Ausschluss? 8. Lease erneuern. Merksatz: 169.254.x.x: DHCP, VLAN oder Relay prüfen. --- **Mini-Workflow: Dienst startet nicht** Prüfen: 1. Dienststatus 2. Logs 3. Konfigurationsdatei 4. Berechtigungen 5. Abhängigkeiten 6. belegter Port 7. Speicherplatz 8. Zertifikate oder Schlüssel 9. letzte Änderung Merksatz: Dienstfehler stehen oft in Logs. --- **Mini-Workflow: langsames Netzwerk** Prüfen: Latenz Paketverlust DNS-Auflösung WLAN-Signal Bandbreite Duplex oder Link-Geschwindigkeit CPU oder RAM Speicher-I/O Firewall oder Proxy Serverlast Merksatz: Langsamkeit ist kein einzelner Fehler, sondern muss eingegrenzt werden. --- **Prüfungsfalle: Befehl ohne Interpretation** Ein Befehl allein löst noch keine Aufgabe. Schlecht: ping ausführen. Besser: Mit ping wird geprüft, ob das Ziel per ICMP erreichbar ist. Wenn die IP erreichbar ist, der Name aber nicht, sollte DNS geprüft werden. Merksatz: In der Prüfung nicht nur Befehl nennen, sondern Zweck erklären. --- **Prüfungsfalle: ping als Diensttest** ping prüft ICMP. ping prüft nicht: HTTPS SSH SMB Datenbank Anmeldung Rechte Anwendung Merksatz: ping erfolgreich heißt nicht, dass der Dienst funktioniert. --- **Prüfungsfalle: DNS und Dienst verwechseln** Wenn ein Name nicht aufgelöst wird, ist zuerst DNS zu prüfen. Wenn der Name aufgelöst wird, aber die Anwendung nicht funktioniert, sind eher Port, Dienst, Firewall, TLS oder Anwendung zu prüfen. Merksatz: DNS findet die Adresse. Der Dienst muss danach trotzdem funktionieren. --- **Prüfungsfalle: Rechteproblem als Netzwerkproblem deuten** Fehlerbild: Benutzer kann sich anmelden, aber Datei nicht öffnen. Wahrscheinlich: Autorisierung, Gruppenmitgliedschaft, ACL oder Freigaberecht Nicht zuerst: DNS Gateway NAT Merksatz: Login ja, Zugriff nein: Rechte prüfen. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Welcher Befehl zeigt die IP-Konfiguration unter Windows? - Welcher Befehl zeigt IP-Adressen unter Linux? - Wie prüft man DNS? - Was prüft ping? - Warum ersetzt ping keinen Diensttest? - Was zeigt tracert oder traceroute? - Wie prüft man Routing? - Wie erkennt man, ob ein Dienst auf einem Port lauscht? - Was bedeutet LISTEN? - Wie prüft man Linux-Dienste? - Wie prüft man Windows-Logs? - Warum ist NTP wichtig für Logs? - Welche Schritte sind sinnvoll, wenn ein Client nicht ins Internet kommt? - Wie grenzt man ein Firewallproblem ein? --- **IHK-sichere Kurzformulierung** Bei der Netzwerk- und Systemfehlersuche sollten zuerst Fakten gesammelt werden. Unter Windows zeigt ipconfig die IP-Konfiguration, unter Linux ip addr. Routing wird mit route print oder ip route geprüft. DNS wird gezielt mit nslookup oder dig geprüft. ping testet ICMP-Erreichbarkeit, ersetzt aber keinen Port- oder Diensttest. tracert oder traceroute zeigen den Weg über Router. netstat oder ss zeigen Verbindungen und lauschende Ports. systemctl prüft Linux-Dienste, journalctl zeigt deren Logs. Unter Windows helfen Diensteverwaltung und Ereignisanzeige. Gute Fehlersuche erfolgt systematisch: Verbindung, IP, Gateway, DNS, Routing, Firewall, Port, Dienst, Anwendung und Logs. --- **Merksätze** Befehle liefern Fakten. Erst prüfen, dann vermuten. IP, Maske, Gateway und DNS zusammen prüfen. ipconfig zeigt Windows-IP-Konfiguration. ip addr zeigt Linux-IP-Konfiguration. route print zeigt Windows-Routing. ip route zeigt Linux-Routing. ping prüft ICMP. ping ist kein Diensttest. nslookup prüft DNS. dig prüft DNS detailliert. tracert und traceroute zeigen den Weg. netstat zeigt Verbindungen und Ports. ss zeigt Sockets und Ports unter Linux. LISTEN heißt: Dienst wartet auf Verbindungen. ESTABLISHED heißt: Verbindung besteht. 127.0.0.1 ist lokal. 0.0.0.0 bedeutet alle Interfaces. curl prüft Webdienste. systemctl prüft Dienststatus. journalctl zeigt Logs. Windows-Logs stehen in der Ereignisanzeige. df zeigt Dateisystemfüllstand. du zeigt Ordnerverbrauch. whoami zeigt den Benutzerkontext. Logs beantworten: wer, wann, was, von wo, mit welchem Ergebnis. NTP macht Logzeiten vergleichbar. Firewallprüfung braucht Quelle, Ziel, Port und Protokoll. Portweiterleitung braucht DNS, NAT, Firewall und Dienst. IP ja, Name nein: DNS. Lokal ja, extern nein: Gateway. Host ja, Dienst nein: Port, Dienst, Firewall. Login ja, Zugriff nein: Rechte. Dienst startet nicht: Logs prüfen. # 19.11 Prüfungs-Signalwörter und Musterformulierungen Dieser Spickzettel hilft dabei, Prüfungsaufgaben schneller einzuordnen und Antworten fachlich sauber zu formulieren. Er ist besonders wichtig für: - Fehlersuche - Sicherheitsfragen - Begründungsaufgaben - Vergleichsaufgaben - kurze IHK-Antworten - typische Fehlerbilder - Operatoren in Aufgabenstellungen Merksatz: Signalwörter zeigen oft, in welche Richtung die Lösung geht. --- **Grundidee** In Prüfungsaufgaben stehen oft Hinweise, die direkt zur Lösung führen. Diese Hinweise können sein: IP-Adressen Subnetzmasken Ports Protokolle Fehlermeldungen Logeinträge Benutzerbeschreibung Zeitpunkte letzte Änderungen betroffene Systeme Begriffe wie „nur intern“, „nur extern“, „nach Update“ oder „Zugriff verweigert“ Merksatz: Die Aufgabe genau lesen, bevor du antwortest. --- **Operatoren erkennen** | Operator | Erwartete Antwort | |---|---| | nennen | kurze Begriffe oder Stichpunkte | | beschreiben | sachlich darstellen | | erklären | Zusammenhang deutlich machen | | begründen | Warum nennen | | vergleichen | Unterschiede und Gemeinsamkeiten darstellen | | berechnen | rechnerisch ermitteln | | ermitteln | aus gegebenen Informationen ableiten | | bewerten | fachlich einschätzen | | zuordnen | passend einordnen | | erläutern | ausführlicher erklären | Merksatz: Der Operator bestimmt, wie tief die Antwort sein muss. --- **Nennen** Bei „nennen“ reichen kurze Begriffe. Beispielaufgabe: Nennen Sie zwei Vorteile von VLANs. Musterantwort: logische Netztrennung kleinere Broadcast-Domänen Merksatz: Nennen = kurz und direkt. --- **Beschreiben** Bei „beschreiben“ soll ein Sachverhalt dargestellt werden. Beispielaufgabe: Beschreiben Sie die Aufgabe eines DHCP-Servers. Musterantwort: Ein DHCP-Server weist Clients automatisch Netzwerkkonfigurationen wie IP-Adresse, Subnetzmaske, Standardgateway und DNS-Server zu. Merksatz: Beschreiben = was passiert? --- **Erklären** Bei „erklären“ muss der Zusammenhang deutlich werden. Beispielaufgabe: Erklären Sie, warum ein Client ohne Standardgateway keine Internetverbindung hat. Musterantwort: Das Standardgateway ist der Router in andere Netze. Ohne Standardgateway kann der Client nur Ziele im eigenen Subnetz erreichen, aber keine externen Netze wie das Internet. Merksatz: Erklären = Zusammenhang zeigen. --- **Begründen** Bei „begründen“ muss ein Warum enthalten sein. Beispielaufgabe: Begründen Sie, warum RDP nicht direkt aus dem Internet erreichbar sein sollte. Musterantwort: RDP ist ein häufiges Angriffsziel für Brute-Force-Angriffe, Credential Stuffing und Exploits. Deshalb sollte RDP nur über VPN, RDP-Gateway, MFA und Firewall-Beschränkungen erreichbar sein. Merksatz: Begründen = Aussage plus Warum. --- **Vergleichen** Bei „vergleichen“ müssen Unterschiede und Gemeinsamkeiten sichtbar werden. Beispielaufgabe: Vergleichen Sie TCP und UDP. Musterantwort: | Merkmal | TCP | UDP | |---|---|---| | Verbindung | verbindungsorientiert | verbindungslos | | Zuverlässigkeit | eingebaut | keine eingebaute Garantie | | Overhead | höher | geringer | | Beispiele | HTTPS, SSH | DNS, DHCP, VoIP | Merksatz: Vergleichen = gegenüberstellen. --- **Bewerten** Bei „bewerten“ soll eine fachliche Einschätzung gegeben werden. Beispielaufgabe: Bewerten Sie eine Firewall-Regel, die Any-to-Any erlaubt. Musterantwort: Die Regel ist sicherheitskritisch, weil sie Verkehr von jeder Quelle zu jedem Ziel erlaubt. Dadurch entsteht eine große Angriffsfläche. Besser ist eine genaue Regel mit definierter Quelle, definiertem Ziel, Port, Protokoll und dokumentiertem Zweck. Merksatz: Bewerten = Einschätzung mit Begründung. --- **Berechnen** Bei „berechnen“ muss ein Ergebnis aus Zahlen ermittelt werden. Wichtig: Einheit beachten Formel oder Regel nutzen Zwischenschritte prüfen Ergebnis mit Bedeutung angeben Beispiel: /27 hat 5 Hostbits. 2 hoch 5 ergibt 32 Adressen. 30 Adressen sind nutzbar, weil Netzadresse und Broadcastadresse nicht für Hosts verwendet werden. Merksatz: Berechnen = Ergebnis mit Einheit oder Bedeutung. --- **Signalwörter bei DNS** | Signalwort oder Fehlerbild | Bedeutung | |---|---| | IP erreichbar, Name nicht | DNS-Problem | | Domain wird nicht gefunden | DNS prüfen | | interner Name funktioniert nur im Büro | Split-DNS oder VPN-DNS | | Webseite per IP erreichbar | Grundverbindung funktioniert | | falscher Server bei Namenszugriff | falscher DNS-Eintrag | | alter Name zeigt noch auf alte IP | DNS-Cache oder alter Record | Musterformulierung: Wahrscheinlich liegt ein DNS-Problem vor, da die IP-Adresse erreichbar ist, der Name aber nicht korrekt aufgelöst wird. Der DNS-Server und der DNS-Eintrag sollten mit nslookup oder dig geprüft werden. Merksatz: IP ja, Name nein: DNS. --- **Signalwörter bei DHCP** | Signalwort oder Fehlerbild | Bedeutung | |---|---| | 169.254.x.x | DHCP nicht erreicht | | keine gültige IP-Adresse | DHCP, Kabel, WLAN oder VLAN prüfen | | falsches Gateway automatisch erhalten | DHCP-Option falsch | | falscher DNS-Server automatisch erhalten | DHCP-Option falsch | | nur ein VLAN betroffen | DHCP-Relay oder VLAN prüfen | | Adresspool erschöpft | DHCP-Scope voll | Musterformulierung: Die Adresse 169.254.x.x liegt im APIPA-Bereich. Der Client hat wahrscheinlich keine gültige Adresse von einem DHCP-Server erhalten. DHCP-Server, VLAN, Scope und DHCP-Relay sollten geprüft werden. Merksatz: 169.254.x.x deutet auf DHCP-Problem hin. --- **Signalwörter bei Gateway und Routing** | Signalwort oder Fehlerbild | Bedeutung | |---|---| | lokale Geräte erreichbar, Internet nicht | Gateway, Routing, NAT oder Firewall | | Gateway fehlt | keine Kommunikation in andere Netze | | Gateway außerhalb des Subnetzes | Gateway lokal nicht erreichbar | | nur andere Netze nicht erreichbar | Routing prüfen | | Rückantwort kommt nicht an | Rückroute oder Firewall prüfen | | spezifische Ziele gehen, andere nicht | Routing-Tabelle prüfen | Musterformulierung: Wahrscheinlich ist das Standardgateway falsch oder fehlt, da lokale Ziele erreichbar sind, externe Netze jedoch nicht. Das Gateway muss im lokalen Subnetz des Clients liegen. Merksatz: Lokal ja, extern nein: Gateway prüfen. --- **Signalwörter bei Firewall und Ports** | Signalwort oder Fehlerbild | Bedeutung | |---|---| | Host erreichbar, Dienst nicht | Port, Dienst oder Firewall | | ping funktioniert, HTTPS nicht | TCP 443, Webdienst oder Firewall | | Porttest schlägt fehl | Firewall oder Dienst prüfen | | nach Regeländerung defekt | Firewall-Regel prüfen | | nur ein Dienst betroffen | Port oder Dienst prüfen | | Zugriff von intern geht, extern nicht | NAT, Firewall oder DNS prüfen | Musterformulierung: Da der Host erreichbar ist, aber der Dienst nicht funktioniert, sollten Port, Dienststatus und Firewall-Regeln geprüft werden. Merksatz: Host ja, Dienst nein: Port, Dienst, Firewall. --- **Signalwörter bei VLAN und Switching** | Signalwort oder Fehlerbild | Bedeutung | |---|---| | nur ein Switchport betroffen | Access-Port, VLAN oder Portstatus | | falsche IP im Clientnetz | falsches VLAN oder DHCP-Scope | | mehrere VLANs auf Verbindung fehlen | Trunk prüfen | | ein VLAN fehlt auf zweitem Switch | VLAN auf Trunk nicht erlaubt | | Broadcast-Sturm | Layer-2-Schleife, STP prüfen | | Gerät in falschem Netz | VLAN-Zuordnung prüfen | Musterformulierung: Wahrscheinlich ist der Switchport dem falschen VLAN zugeordnet. Dadurch erhält der Client eine falsche oder keine passende IP-Konfiguration. Access-Port, VLAN und DHCP-Scope sollten geprüft werden. Merksatz: Falsches VLAN führt oft zu falscher IP-Konfiguration. --- **Signalwörter bei Authentifizierung** | Signalwort oder Fehlerbild | Bedeutung | |---|---| | Anmeldung fehlgeschlagen | Authentifizierung | | Passwort falsch | Authentifizierung | | Konto gesperrt | Authentifizierung | | MFA-Code wird nicht akzeptiert | MFA oder Zeitproblem | | Verzeichnisdienst nicht erreichbar | AD, LDAP oder Netzwerk prüfen | | Kerberos-Fehler | Zeit, Domäne oder Ticket prüfen | Musterformulierung: Da bereits die Anmeldung fehlschlägt, liegt wahrscheinlich ein Authentifizierungsproblem vor. Konto, Passwort, MFA, Verzeichnisdienst und Systemzeit sollten geprüft werden. Merksatz: Anmeldung scheitert: Authentifizierung prüfen. --- **Signalwörter bei Autorisierung und Rechten** | Signalwort oder Fehlerbild | Bedeutung | |---|---| | Zugriff verweigert | Autorisierung oder Berechtigung | | Anmeldung funktioniert, Datei nicht | Rechteproblem | | nur ein Benutzer betroffen | Konto, Gruppe oder Rechte | | Gruppe fehlt | Rollen- oder Gruppenmitgliedschaft | | Freigabe sichtbar, Datei nicht lesbar | Dateisystemrechte prüfen | | Deny-Regel vorhanden | verweigernde Regel beachten | Musterformulierung: Da die Anmeldung funktioniert, der Zugriff auf die Ressource aber verweigert wird, liegt wahrscheinlich ein Autorisierungs- oder Berechtigungsproblem vor. Gruppenmitgliedschaft, Freigaberechte, Dateisystemrechte und ACLs sollten geprüft werden. Merksatz: Login ja, Zugriff nein: Rechte prüfen. --- **Signalwörter bei Zertifikaten und TLS** | Signalwort oder Fehlerbild | Bedeutung | |---|---| | Zertifikatswarnung | Zertifikat prüfen | | Zertifikat abgelaufen | Ablaufdatum | | Name passt nicht | CN oder SAN passt nicht zum Hostnamen | | Kette nicht vertrauenswürdig | CA oder Zwischenzertifikat fehlt | | Fehler nur auf einem Client | Truststore oder Uhrzeit prüfen | | plötzlich ungültig | Ablauf, Erneuerung oder Zeitproblem | Musterformulierung: Bei einer Zertifikatswarnung sollten Ablaufdatum, Hostname, Zertifikatskette und Systemzeit geprüft werden. Häufig ist das Zertifikat abgelaufen oder passt nicht zum verwendeten Namen. Merksatz: Zertifikatsfehler: Ablauf, Name, Kette, Zeit. --- **Signalwörter bei Webfehlern** | Fehlerbild | Bedeutung | |---|---| | HTTP 200 | erfolgreich | | HTTP 301 / 302 | Weiterleitung | | HTTP 400 | fehlerhafte Anfrage | | HTTP 401 | nicht authentifiziert | | HTTP 403 | verboten | | HTTP 404 | nicht gefunden | | HTTP 500 | interner Serverfehler | | HTTP 502 | Gateway oder Backend-Fehler | | HTTP 503 | Dienst nicht verfügbar | | HTTP 504 | Gateway Timeout | Musterformulierung: Ein HTTP-Statuscode aus dem 5xx-Bereich deutet eher auf ein serverseitiges Problem hin, zum Beispiel Anwendung, Backend, Gateway oder Serverkonfiguration. Merksatz: 4xx eher Client, Anfrage oder Rechte. 5xx eher Server, Anwendung oder Backend. --- **Signalwörter bei Backup und Restore** | Signalwort oder Fehlerbild | Bedeutung | |---|---| | Backup vorhanden, Wiederherstellung geht nicht | Restore-Test fehlt oder Backup defekt | | zu viel Datenverlust | RPO nicht eingehalten | | Wiederherstellung dauert zu lange | RTO nicht eingehalten | | Snapshot vorhanden | nicht automatisch vollständiges Backup | | Replikat vorhanden | Replikation ist kein Backup | | Datenbank beschädigt nach Restore | kein konsistentes Backup | | verschlüsseltes Backup nicht nutzbar | Schlüssel fehlt | | Ransomware verschlüsselt Backup | Backup nicht offline oder immutable | Musterformulierung: Ein Backup ist nur zuverlässig, wenn die Wiederherstellung regelmäßig getestet wird. Replikation, Synchronisation und Snapshots ersetzen kein vollständiges Backup-Konzept. Merksatz: Backup ohne Restore-Test ist unsicher. --- **Signalwörter bei Sicherheit** | Signalwort oder Fehlerbild | Wahrscheinliches Thema | |---|---| | Daten werden mitgelesen | Vertraulichkeit | | Daten wurden verändert | Integrität | | Dienst nicht erreichbar | Verfügbarkeit | | Identität vorgetäuscht | Authentizität, Spoofing | | viele Loginversuche | Brute Force | | geleakte Passwörter genutzt | Credential Stuffing | | ein Passwort gegen viele Konten | Password Spraying | | gefälschte E-Mail | Phishing oder Spoofing | | verschlüsselte Dateien | Ransomware | | Dienst überlastet | DoS oder DDoS | Musterformulierung: Das betroffene Schutzziel ist Verfügbarkeit, da der Dienst nicht mehr nutzbar ist. Eine passende Maßnahme wäre DDoS-Schutz, Monitoring und ein Notfallkonzept. Merksatz: Sicherheitsfrage: Schutzziel, Risiko, Maßnahme. --- **Signalwörter bei Malware und Ransomware** | Signalwort oder Fehlerbild | Bedeutung | |---|---| | Dateien verschlüsselt | Ransomware | | Lösegeldforderung | Ransomware | | Tastatureingaben mitgeschnitten | Keylogger | | Daten werden ausgespäht | Spyware | | Programm tarnt sich als nützlich | Trojaner | | verbreitet sich selbstständig | Wurm | | viele kompromittierte Geräte | Botnet | | Schadsoftware tief versteckt | Rootkit | Musterformulierung: Ransomware beeinträchtigt vor allem die Verfügbarkeit, weil Daten nicht mehr nutzbar sind. Bei zusätzlichem Datenabfluss ist auch die Vertraulichkeit betroffen. Wichtige Maßnahmen sind Offline- oder Immutable-Backups, Segmentierung, Patchmanagement und Restore-Tests. Merksatz: Ransomware: Verfügbarkeit, bei Datenabfluss auch Vertraulichkeit. --- **Signalwörter bei Cloud** | Signalwort oder Fehlerbild | Bedeutung | |---|---| | virtuelle Maschine | IaaS | | verwaltete Plattform | PaaS | | fertige Anwendung im Browser | SaaS | | mehrere Cloud-Anbieter | Multi Cloud | | lokal plus Cloud | Hybrid Cloud | | öffentliche Cloud eines Anbieters | Public Cloud | | eigene Cloud für Organisation | Private Cloud | | Wer ist verantwortlich? | Shared Responsibility | | Zugriff auf Cloud-Ressourcen | IAM | Musterformulierung: Beim Shared-Responsibility-Modell schützt der Cloud-Anbieter die Cloud-Infrastruktur, während der Kunde für Daten, Identitäten, Zugriffsrechte und Konfigurationen verantwortlich bleibt. Merksatz: Cloud bedeutet geteilte Verantwortung. --- **Signalwörter bei Change Management** | Signalwort oder Fehlerbild | Bedeutung | |---|---| | nach Update defekt | Change prüfen | | Änderung nicht dokumentiert | Change Management fehlt | | schnelle Notfalländerung | Emergency Change | | wiederkehrende risikoarme Änderung | Standard Change | | geplante Änderung mit Freigabe | Normal Change | | Rückkehr zum alten Zustand | Rollback | | Änderung außerhalb Arbeitszeit | Wartungsfenster | | Auswirkungen vorab prüfen | Risikobewertung | Musterformulierung: Da der Fehler nach einer Änderung aufgetreten ist, sollte der Change geprüft werden. Wichtig sind Änderungsbeschreibung, Zeitpunkt, betroffene Systeme, Testplan und Rollback-Plan. Merksatz: Nach Änderung defekt: Change prüfen. --- **Gute Musterformulierung: Fehlersuche** Struktur: Ursache Begründung Prüfung Muster: Wahrscheinlich liegt ein DNS-Problem vor, da die IP-Adresse erreichbar ist, der Name aber nicht aufgelöst wird. Der DNS-Server und der DNS-Eintrag sollten mit nslookup oder dig geprüft werden. Merksatz: Fehlerantwort: Ursache, Begründung, Prüfung. --- **Gute Musterformulierung: Sicherheitsmaßnahme** Struktur: Risiko Maßnahme Wirkung Muster: Das Risiko besteht im Missbrauch gestohlener Zugangsdaten. Als Maßnahme sollte MFA eingesetzt werden. Dadurch reicht ein gestohlenes Passwort allein nicht mehr für den Zugriff aus. Merksatz: Sicherheitsantwort: Risiko, Maßnahme, Wirkung. --- **Gute Musterformulierung: Vergleich** Struktur: Gemeinsamkeit Unterschied Beispiel Muster: TCP und UDP sind Transportprotokolle. TCP ist verbindungsorientiert und zuverlässig, UDP ist verbindungslos und hat weniger Overhead. TCP wird zum Beispiel bei HTTPS genutzt, UDP häufig bei DNS oder VoIP. Merksatz: Vergleich: Gemeinsamkeit, Unterschied, Beispiel. --- **Gute Musterformulierung: Bewertung** Struktur: Einschätzung Risiko bessere Maßnahme Muster: Die Lösung ist kritisch, weil RDP direkt aus dem Internet erreichbar ist. Dadurch steigt das Risiko für Brute-Force-Angriffe und Exploits. Sicherer wäre ein Zugriff über VPN oder RDP-Gateway mit MFA und Protokollierung. Merksatz: Bewertung braucht eine fachliche Begründung. --- **Gute Musterformulierung: Berechnung** Struktur: Regel Rechenschritt Ergebnis Bedeutung Muster: Bei /26 gibt es 6 Hostbits. 2 hoch 6 ergibt 64 Adressen. Davon sind 62 nutzbar, weil Netzadresse und Broadcastadresse nicht für Hosts verwendet werden. Merksatz: Berechnung: Regel, Rechenschritt, Ergebnis, Bedeutung. --- **Kurzformulierungen für häufige Antworten** | Thema | Kurzformulierung | |---|---| | DNS | DNS löst Namen in IP-Adressen auf. | | DHCP | DHCP verteilt IP-Konfiguration automatisch. | | Gateway | Das Gateway verbindet den Client mit anderen Netzen. | | NAT | NAT übersetzt IP-Adressen. | | PAT | PAT nutzt zusätzlich Ports zur Zuordnung. | | VLAN | VLAN trennt ein physisches Netz logisch. | | Routing | Routing verbindet verschiedene IP-Netze. | | Firewall | Eine Firewall filtert Verkehr anhand von Regeln. | | VPN | VPN verschlüsselt eine Verbindung über unsichere Netze. | | MFA | MFA verlangt mehr als einen Authentifizierungsfaktor. | | Backup | Backup ist eine Sicherung zur späteren Wiederherstellung. | | Restore | Restore ist die Wiederherstellung aus einem Backup. | Merksatz: Kurzantworten müssen fachlich sauber sein. --- **Antworten vermeiden** Ungenaue Antworten: Das Internet geht nicht. Der Server ist kaputt. Vielleicht Firewall. Man muss es sicherer machen. Backup ist vorhanden, also ist alles sicher. VLAN macht alles sicher. Ping geht, also funktioniert der Dienst. Besser: Die IP-Kommunikation funktioniert, aber die Namensauflösung nicht. Daher sollte DNS geprüft werden. Der Host ist erreichbar, aber der Dienst auf TCP 443 nicht. Daher sollten Webdienst, Port und Firewall-Regeln geprüft werden. Merksatz: Keine Vermutungen ohne Bezug zum Fehlerbild. --- **Gefragte Anzahl beachten** Wenn die Aufgabe fragt: Nennen Sie zwei Maßnahmen. Dann genau zwei klare Maßnahmen nennen. Beispiel: 1. MFA aktivieren, damit gestohlene Passwörter allein nicht ausreichen. 2. Zugriff per Firewall auf VPN- oder feste Quell-IP-Adressen beschränken, damit der Dienst nicht breit aus dem Internet erreichbar ist. Merksatz: Gefragte Anzahl einhalten. --- **Antwort bei mehreren möglichen Ursachen** Wenn mehrere Ursachen möglich sind, die wahrscheinlichste anhand des Fehlerbilds nennen. Beispiel: IP funktioniert, Name nicht Nicht antworten: Firewall, Kabel, Server, Internet Besser: DNS ist am wahrscheinlichsten, da die IP-Adresse erreichbar ist, der Name aber nicht aufgelöst wird. Merksatz: Wahrscheinlichste Ursache aus dem Hinweis ableiten. --- **Typische Prüfungsfallen** Operator übersehen. Signalwort ignoriert. Fachbegriff falsch verwendet. DNS und DHCP verwechselt. Gateway und DNS verwechselt. Authentifizierung und Autorisierung verwechselt. RPO und RTO verwechselt. NAT und Firewall gleichgesetzt. Ping als Diensttest verstanden. Snapshot als Backup bezeichnet. Maßnahme ohne Wirkung genannt. Ursache ohne Begründung genannt. Rechenaufgabe ohne Einheit beantwortet. Merksatz: Viele Punktverluste entstehen durch ungenaue Formulierungen. --- **Checkliste vor Abgabe** Habe ich die Frage wirklich beantwortet? Habe ich den Operator beachtet? Habe ich die gefragte Anzahl eingehalten? Habe ich Fachbegriffe korrekt verwendet? Habe ich kurz begründet? Habe ich bei Fehlern eine Prüfung genannt? Habe ich bei Sicherheit eine Wirkung genannt? Habe ich bei Berechnung eine Einheit oder Bedeutung angegeben? Habe ich keine unnötigen Vermutungen geschrieben? Merksatz: Kurz, fachlich, begründet. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was bedeutet der Operator „erklären“? - Warum ist bei Prüfungsaufgaben das Fehlerbild wichtig? - Wie erkennt man ein DNS-Problem? - Wie erkennt man ein DHCP-Problem? - Wie erkennt man ein Gateway-Problem? - Wie erkennt man ein Rechteproblem? - Wie erkennt man ein Authentifizierungsproblem? - Wie sollte eine Antwort zur Fehlersuche aufgebaut sein? - Wie sollte eine Antwort zu Sicherheitsmaßnahmen aufgebaut sein? - Warum reicht es nicht, nur „Firewall prüfen“ zu schreiben? - Warum muss eine Maßnahme zum Risiko passen? - Warum muss bei Berechnungen eine Einheit angegeben werden? --- **IHK-sichere Kurzformulierung** Prüfungs-Signalwörter helfen dabei, Fehlerbilder und Aufgabenstellungen schneller richtig einzuordnen. Wenn eine IP-Adresse erreichbar ist, ein Name aber nicht, liegt wahrscheinlich ein DNS-Problem vor. Eine Adresse aus 169.254.0.0/16 deutet auf ein DHCP-Problem hin. Wenn lokale Ziele erreichbar sind, externe Netze aber nicht, sind Gateway, Routing, NAT oder Firewall zu prüfen. Wenn eine Anmeldung funktioniert, der Zugriff aber verweigert wird, liegt wahrscheinlich ein Autorisierungs- oder Berechtigungsproblem vor. Gute Prüfungsantworten nennen die Ursache, begründen sie mit dem Fehlerbild und nennen eine passende Prüfung oder Maßnahme. Bei Sicherheitsfragen sollten Risiko, Maßnahme und Wirkung verbunden werden. --- **Merksätze** Erst Aufgabe lesen, dann antworten. Operator beachten. Signalwort erkennen. Fehlerbild einordnen. Nennen heißt kurz. Erklären heißt Zusammenhang zeigen. Begründen heißt Warum nennen. Vergleichen heißt gegenüberstellen. Bewerten heißt fachlich einschätzen. Berechnen heißt mit Einheit arbeiten. IP ja, Name nein: DNS. 169.254.x.x: DHCP. Lokal ja, extern nein: Gateway, Routing, NAT, Firewall. Host ja, Dienst nein: Port, Dienst, Firewall. Login ja, Zugriff nein: Rechte. Anmeldung scheitert: Authentifizierung. Zertifikatsfehler: Ablauf, Name, Kette, Zeit. Nach Update defekt: Change prüfen. Backup ohne Restore-Test ist unsicher. Fehlerantwort: Ursache, Begründung, Prüfung. Sicherheitsantwort: Risiko, Maßnahme, Wirkung. Vergleich: Gemeinsamkeit, Unterschied, Beispiel. Bewertung: Einschätzung, Risiko, bessere Maßnahme. Berechnung: Regel, Ergebnis, Bedeutung. Gefragte Anzahl beachten. Fachbegriffe sauber verwenden. Keine Vermutungen ohne Bezug zum Fehlerbild. Kurz, fachlich, begründet.