# 20. TRAINER FÜR ALLE KAPITEL # 20.1 Trainer – Grundlagen und OSI-Modell Diese Trainer-Seite wiederholt die Grundlagen der Netzwerktechnik, das OSI-Modell, das TCP/IP-Modell und die wichtigsten Begriffe zur Kommunikation im Netzwerk. Ziel ist nicht nur Auswendiglernen, sondern sicheres Zuordnen in typischen IHK-Aufgaben. Merksatz: OSI ist das Denkmodell. TCP/IP ist das Praxismodell. Die Fehlersuche erfolgt systematisch nach Schichten. --- **Lernziele** Nach dieser Seite solltest du sicher können: - die sieben OSI-Schichten nennen - OSI und TCP/IP unterscheiden - Protokolle passenden Schichten zuordnen - MAC-Adresse, IP-Adresse und Port unterscheiden - Kapselung erklären - typische Fehlerbilder einer Schicht zuordnen - Prüfungsfragen kurz und fachlich beantworten --- **Kurzüberblick: OSI-Modell** | Schicht | Name | Hauptaufgabe | |---|---|---| | 7 | Anwendungsschicht | Dienste für Anwendungen | | 6 | Darstellungsschicht | Datenformat, Codierung, Verschlüsselung | | 5 | Sitzungsschicht | Sitzungen verwalten | | 4 | Transportschicht | Ende-zu-Ende-Kommunikation, Ports | | 3 | Vermittlungsschicht | IP-Adressierung und Routing | | 2 | Sicherungsschicht | lokale Kommunikation über MAC-Adressen | | 1 | Bitübertragungsschicht | Bits als Signale übertragen | Merksatz: Von unten nach oben: Signal, Frame, Paket, Segment, Sitzung, Darstellung, Anwendung. --- **Kurzüberblick: TCP/IP-Modell** | TCP/IP-Schicht | Entspricht grob OSI | Beispiele | |---|---|---| | Anwendung | OSI 5 bis 7 | HTTP, DNS, DHCP, SMTP | | Transport | OSI 4 | TCP, UDP | | Internet | OSI 3 | IP, ICMP | | Netzzugang | OSI 1 bis 2 | Ethernet, WLAN, MAC | Merksatz: TCP/IP fasst OSI-Schichten zusammen. --- **Aufgabe 1** Ordne die Begriffe der passenden OSI-Schicht zu: | Begriff | OSI-Schicht | |---|---| | MAC-Adresse | ? | | IP-Adresse | ? | | Portnummer | ? | | DNS | ? | | Kabel | ? |
Antwort anzeigen | Begriff | OSI-Schicht | |---|---| | MAC-Adresse | Schicht 2 | | IP-Adresse | Schicht 3 | | Portnummer | Schicht 4 | | DNS | Schicht 7 | | Kabel | Schicht 1 | Merksatz: MAC = lokal. IP = logisch. Port = Dienst. DNS = Anwendung. Kabel = Signal.
--- **Aufgabe 2** Welche Aussage ist richtig? A: Ein Switch arbeitet hauptsächlich mit IP-Adressen. B: Ein Router arbeitet hauptsächlich mit MAC-Adressen. C: Ein Switch arbeitet hauptsächlich mit MAC-Adressen. D: DNS gehört zur Bitübertragungsschicht.
Antwort anzeigen Richtig ist: C: Ein Switch arbeitet hauptsächlich mit MAC-Adressen. Begründung: Ein Switch arbeitet hauptsächlich auf OSI-Schicht 2 und leitet Ethernet-Frames anhand von MAC-Adressen weiter.
--- **Aufgabe 3** Welche Aussage beschreibt das TCP/IP-Modell am besten? A: Es hat immer genau sieben Schichten. B: Es ist ein praxisnahes Modell für reale Netzwerkkommunikation. C: Es ersetzt IP-Adressen durch MAC-Adressen. D: Es wird nur für WLAN verwendet.
Antwort anzeigen Richtig ist: B: Es ist ein praxisnahes Modell für reale Netzwerkkommunikation. Begründung: Das OSI-Modell ist ein theoretisches Referenzmodell mit sieben Schichten. Das TCP/IP-Modell ist praxisnäher und wird zur Beschreibung realer Internetkommunikation genutzt.
--- **Aufgabe 4** Ordne die TCP/IP-Schichten den OSI-Schichten zu. | TCP/IP-Schicht | OSI-Schichten | |---|---| | Anwendung | ? | | Transport | ? | | Internet | ? | | Netzzugang | ? |
Antwort anzeigen | TCP/IP-Schicht | OSI-Schichten | |---|---| | Anwendung | OSI 5 bis 7 | | Transport | OSI 4 | | Internet | OSI 3 | | Netzzugang | OSI 1 bis 2 | Merksatz: TCP/IP-Anwendung umfasst OSI-Sitzung, Darstellung und Anwendung.
--- **Aufgabe 5** Ein Benutzer kann einen Server per IP-Adresse erreichen, aber nicht per Namen. Welches Thema ist am wahrscheinlichsten betroffen?
Antwort anzeigen Wahrscheinlich betroffen: DNS Begründung: Wenn die IP-Adresse erreichbar ist, aber der Name nicht funktioniert, ist die Grundverbindung wahrscheinlich vorhanden. Das Problem liegt wahrscheinlich bei der Namensauflösung. IHK-sichere Antwort: Da die IP-Adresse erreichbar ist, der Name aber nicht aufgelöst wird, sollte DNS geprüft werden.
--- **Aufgabe 6** Ein Client hat die Adresse: 169.254.12.34 Was bedeutet das typischerweise?
Antwort anzeigen Das ist eine APIPA-Adresse. Bedeutung: Der Client hat wahrscheinlich keine gültige IP-Adresse von einem DHCP-Server erhalten. Typische Ursachen: DHCP-Server nicht erreichbar falsches VLAN DHCP-Scope erschöpft DHCP-Relay fehlt Netzwerkverbindung fehlerhaft Merksatz: 169.254.x.x deutet auf DHCP-Problem hin.
--- **Aufgabe 7** Ein Client erreicht Geräte im eigenen Netz, aber keine Ziele im Internet. Was sollte zuerst geprüft werden?
Antwort anzeigen Zuerst prüfen: Standardgateway Weitere mögliche Ursachen: Routing NAT Firewall DNS bei Zugriff über Namen Begründung: Wenn lokale Kommunikation funktioniert, aber externe Netze nicht erreichbar sind, fehlt häufig der Weg aus dem eigenen Netz. Merksatz: Lokal ja, extern nein: Gateway prüfen.
--- **Aufgabe 8** Was bedeutet Kapselung?
Antwort anzeigen Kapselung bedeutet: Beim Senden werden Daten von Schicht zu Schicht weitergegeben und jede Schicht ergänzt eigene Steuerinformationen. Beispiel: Anwendungsdaten werden zu TCP-Segmenten, IP-Paketen, Ethernet-Frames und schließlich Bits. IHK-sichere Kurzformulierung: Kapselung beschreibt das Verpacken von Daten durch die einzelnen Netzwerkschichten. Jede Schicht ergänzt eigene Informationen, die für die Kommunikation auf dieser Schicht benötigt werden.
--- **Aufgabe 9** Bringe die PDU-Begriffe in die richtige Reihenfolge von oben nach unten. Bits Paket Daten Frame Segment
Antwort anzeigen Richtige Reihenfolge von oben nach unten: Daten Segment Paket Frame Bits Zuordnung: | Schicht | PDU | |---|---| | Anwendung | Daten | | Transport | Segment oder Datagramm | | Vermittlung | Paket | | Sicherung | Frame | | Bitübertragung | Bits |
--- **Aufgabe 10** Welche OSI-Schicht ist betroffen, wenn ein Netzwerkkabel defekt ist?
Antwort anzeigen Betroffen ist: OSI-Schicht 1 Begründung: Ein defektes Kabel betrifft die physische Signalübertragung. Merksatz: Kabel, Stecker, Funk und Signal gehören zu Schicht 1.
--- **Aufgabe 11** Welche OSI-Schicht ist betroffen, wenn ein Gerät im falschen VLAN ist?
Antwort anzeigen Betroffen ist hauptsächlich: OSI-Schicht 2 Begründung: VLANs trennen Netzbereiche auf Layer 2. Ein falsches VLAN kann dazu führen, dass ein Gerät im falschen Broadcast-Bereich landet oder eine falsche IP-Konfiguration erhält.
--- **Aufgabe 12** Welche OSI-Schicht ist betroffen, wenn die Subnetzmaske falsch ist?
Antwort anzeigen Betroffen ist: OSI-Schicht 3 Begründung: IP-Adresse, Subnetzmaske, Gateway und Routing gehören zur Vermittlungsschicht. Merksatz: IP-Konfiguration ist Schicht 3.
--- **Aufgabe 13** Welche OSI-Schicht ist betroffen, wenn TCP 443 durch eine Firewall blockiert wird?
Antwort anzeigen Betroffen ist mindestens: OSI-Schicht 4 Begründung: TCP und Ports gehören zur Transportschicht. TCP 443 ist der typische Port für HTTPS. Wichtig: Eine Firewall kann je nach Funktion auch auf mehreren Schichten arbeiten.
--- **Aufgabe 14** Welche OSI-Schicht ist betroffen, wenn ein TLS-Zertifikat abgelaufen ist?
Antwort anzeigen Betroffen ist hauptsächlich: OSI-Schicht 6 Begründung: TLS, Zertifikate Verschlüsselung und Darstellung gehören zur Darstellungsschicht. Merksatz: Zertifikatsfehler: Schicht 6.
--- **Aufgabe 15** Welche OSI-Schicht ist betroffen, wenn ein Webserver HTTP 500 zurückgibt?
Antwort anzeigen Betroffen ist hauptsächlich: OSI-Schicht 7 Begründung: HTTP ist ein Anwendungsprotokoll. Ein HTTP-500-Fehler deutet auf einen serverseitigen Anwendungsfehler hin. Merksatz: HTTP-Statuscodes gehören zur Anwendungsschicht.
--- **Aufgabe 16** Welche Aussage zu ping ist richtig? A: ping prüft immer, ob eine Webseite funktioniert. B: ping prüft ICMP-Erreichbarkeit. C: ping prüft, ob TCP 443 offen ist. D: ping ersetzt einen DNS-Test.
Antwort anzeigen Richtig ist: B: ping prüft ICMP-Erreichbarkeit. Begründung: ping nutzt ICMP. Ein erfolgreicher ping bedeutet nicht automatisch, dass ein bestimmter Dienst wie HTTPS, SSH oder SMB funktioniert. Merksatz: ping ist kein Diensttest.
--- **Aufgabe 17** Was ist der Unterschied zwischen Authentifizierung und Autorisierung?
Antwort anzeigen Authentifizierung: Prüfung der Identität. Beispiel: Benutzer meldet sich mit Passwort und MFA an. Autorisierung: Prüfung der Berechtigung. Beispiel: Benutzer darf eine Datei lesen oder nicht. Merksatz: Authentifizierung: Wer bist du? Autorisierung: Was darfst du?
--- **Aufgabe 18** Ein Benutzer kann sich anmelden, aber nicht auf eine Datei zugreifen. Was ist wahrscheinlicher: Authentifizierungsproblem oder Autorisierungsproblem?
Antwort anzeigen Wahrscheinlicher ist: Autorisierungsproblem Begründung: Die Anmeldung funktioniert bereits. Das Problem liegt daher wahrscheinlich bei Berechtigungen, Gruppen, ACLs, Freigaberechten oder Dateisystemrechten. Merksatz: Login ja, Zugriff nein: Rechte prüfen.
--- **Aufgabe 19** Was ist der Unterschied zwischen TCP und UDP?
Antwort anzeigen TCP: verbindungsorientiert zuverlässig bestätigt Daten stellt Reihenfolge sicher mehr Overhead UDP: verbindungslos schneller weniger Overhead keine eingebaute Zustellgarantie Beispiele: | TCP | UDP | |---|---| | HTTPS | DNS | | SSH | DHCP | | SMTP | VoIP | | SMB | NTP | Merksatz: TCP = zuverlässig. UDP = schnell und schlank.
--- **Aufgabe 20** Was macht ARP?
Antwort anzeigen ARP steht für: Address Resolution Protocol Aufgabe: ARP löst im lokalen IPv4-Netz eine IP-Adresse in eine MAC-Adresse auf. Beispiel: Ein Client möchte sein Gateway erreichen. Dafür benötigt er die MAC-Adresse des Gateways. Diese ermittelt er mit ARP. Merksatz: ARP findet MAC-Adressen im lokalen IPv4-Netz.
--- **Aufgabe 21** Ein Host möchte ein Ziel außerhalb des eigenen Subnetzes erreichen. Welche MAC-Adresse wird im lokalen Ethernet-Frame verwendet?
Antwort anzeigen Verwendet wird: die MAC-Adresse des Standardgateways Begründung: Das IP-Ziel bleibt der entfernte Zielhost. Aber lokal wird das Frame an den nächsten Hop gesendet, also an das Gateway. Merksatz: IP zeigt zum Endziel. MAC zeigt zum nächsten lokalen Hop.
--- **Aufgabe 22** Was ist der Unterschied zwischen Switch und Router?
Antwort anzeigen Switch: arbeitet hauptsächlich auf Schicht 2 leitet Frames anhand von MAC-Adressen weiter verbindet Geräte im lokalen Netz Router: arbeitet auf Schicht 3 leitet Pakete anhand von IP-Adressen weiter verbindet unterschiedliche IP-Netze Merksatz: Switch verbindet lokal. Router verbindet Netze.
--- **Aufgabe 23** Was ist der Unterschied zwischen VLAN und Subnetz?
Antwort anzeigen VLAN: logische Trennung auf Schicht 2 Subnetz: logische IP-Aufteilung auf Schicht 3 Wichtig: In der Praxis wird einem VLAN häufig ein eigenes IP-Subnetz zugeordnet. Fachlich sind VLAN und Subnetz aber nicht dasselbe. Merksatz: VLAN = Layer 2. Subnetz = Layer 3.
--- **Aufgabe 24** Warum braucht man Inter-VLAN-Routing?
Antwort anzeigen VLANs sind voneinander getrennte Layer-2-Bereiche. Damit Geräte aus unterschiedlichen VLANs miteinander kommunizieren können, braucht man Routing zwischen diesen Netzen. Das nennt man: Inter-VLAN-Routing Möglich über: Router Layer-3-Switch Firewall Merksatz: VLANs trennen. Routing verbindet gezielt.
--- **Aufgabe 25** Was ist der Unterschied zwischen NAT und Firewall?
Antwort anzeigen NAT: übersetzt IP-Adressen Firewall: erlaubt oder blockiert Verkehr anhand von Regeln Wichtig: Viele Geräte kombinieren NAT und Firewall. Fachlich bleiben es unterschiedliche Funktionen. Merksatz: NAT übersetzt. Firewall filtert.
--- **Aufgabe 26** Was ist PAT?
Antwort anzeigen PAT steht für: Port Address Translation PAT ist eine Form von NAT, bei der zusätzlich Ports genutzt werden, um viele interne Verbindungen über eine öffentliche IP-Adresse zu unterscheiden. Merksatz: PAT nutzt Ports zur Zuordnung mehrerer Verbindungen.
--- **Aufgabe 27** Warum ist eine Any-to-Any-Firewall-Regel kritisch?
Antwort anzeigen Any-to-Any ist kritisch, weil dadurch jede Quelle zu jedem Ziel kommunizieren darf. Risiken: große Angriffsfläche schlechte Nachvollziehbarkeit Umgehung von Sicherheitszonen unnötige Freigaben Besser: genaue Regeln mit Quelle, Ziel, Port, Protokoll und Zweck. Merksatz: Firewall-Regeln so genau wie möglich formulieren.
--- **Aufgabe 28** Was bedeutet Default Deny?
Antwort anzeigen Default Deny bedeutet: Standardmäßig ist Verkehr verboten. Nur ausdrücklich erlaubter Verkehr wird zugelassen. Vorteil: bessere Kontrolle kleinere Angriffsfläche weniger ungewollte Freigaben Merksatz: Erst blockieren, dann gezielt erlauben.
--- **Aufgabe 29** Was ist der Unterschied zwischen RPO und RTO?
Antwort anzeigen RPO: Recovery Point Objective maximal akzeptabler Datenverlust RTO: Recovery Time Objective maximal akzeptable Wiederherstellungszeit Merksatz: RPO = Datenverlust. RTO = Zeit bis Wiederherstellung.
--- **Aufgabe 30** Warum ersetzt ein Snapshot kein Backup?
Antwort anzeigen Ein Snapshot ersetzt kein Backup, weil er oft auf demselben Speicher oder System liegt wie die Produktivdaten. Risiken: Speicherdefekt betrifft Snapshot ebenfalls Ransomware kann Snapshot erreichen Snapshot kann gelöscht werden Speicherplatz kann volllaufen Merksatz: Snapshot ist Momentaufnahme, aber kein vollständiges Backup-Konzept.
--- **Aufgabe 31** Ordne die Angriffe dem passenden Schutzziel zu. | Angriff | Schutzziel | |---|---| | DDoS | ? | | Datenabfluss | ? | | Manipulation einer Konfigurationsdatei | ? | | Ransomware | ? |
Antwort anzeigen | Angriff | Schutzziel | |---|---| | DDoS | Verfügbarkeit | | Datenabfluss | Vertraulichkeit | | Manipulation einer Konfigurationsdatei | Integrität | | Ransomware | Verfügbarkeit, bei Datenabfluss auch Vertraulichkeit | Merksatz: Erst Schutzziel erkennen, dann Maßnahme auswählen.
--- **Aufgabe 32** Was ist der Unterschied zwischen IDS und IPS?
Antwort anzeigen IDS: Intrusion Detection System erkennt und meldet Angriffe IPS: Intrusion Prevention System erkennt und blockiert Angriffe zusätzlich Merksatz: IDS meldet. IPS blockiert.
--- **Aufgabe 33** Was bedeutet Least Privilege?
Antwort anzeigen Least Privilege bedeutet: Benutzer, Dienste und Prozesse erhalten nur die Rechte, die sie für ihre Aufgabe wirklich benötigen. Ziel: Schaden bei Fehlern oder Angriffen begrenzen. Merksatz: So wenig Rechte wie möglich, so viele wie nötig.
--- **Aufgabe 34** Was bedeutet MFA?
Antwort anzeigen MFA steht für: Multi-Faktor-Authentifizierung Dabei werden mehrere Faktoren kombiniert. Beispiele: Wissen: Passwort Besitz: Smartphone, Token, Smartcard Sein: biometrisches Merkmal Merksatz: MFA sorgt dafür, dass ein Passwort allein nicht reicht.
--- **Aufgabe 35** Was ist der Unterschied zwischen Brute Force, Password Spraying und Credential Stuffing?
Antwort anzeigen Brute Force: viele Passwortversuche gegen ein Konto oder Ziel Password Spraying: ein häufiges Passwort gegen viele Konten Credential Stuffing: bereits geleakte Zugangsdaten werden bei anderen Diensten getestet Merksatz: Brute Force: viele Versuche. Password Spraying: ein Passwort, viele Konten. Credential Stuffing: geleakte Zugangsdaten.
--- **Aufgabe 36** Was bedeutet Hardening?
Antwort anzeigen Hardening bedeutet: ein System sicherer zu konfigurieren, indem unnötige Funktionen deaktiviert und Angriffsflächen reduziert werden. Beispiele: unnötige Dienste deaktivieren Standardpasswörter ändern unsichere Protokolle abschalten Rechte begrenzen Logging aktivieren Updates einspielen Merksatz: Hardening verringert die Angriffsfläche.
--- **Aufgabe 37** Was ist der Unterschied zwischen IaaS, PaaS und SaaS?
Antwort anzeigen IaaS: Infrastructure as a Service virtuelle Infrastruktur, zum Beispiel virtuelle Maschinen, Netzwerk und Speicher PaaS: Platform as a Service verwaltete Plattform für Anwendungen SaaS: Software as a Service fertige Anwendung aus der Cloud Merksatz: IaaS = Infrastruktur. PaaS = Plattform. SaaS = Software.
--- **Aufgabe 38** Was bedeutet Shared Responsibility in der Cloud?
Antwort anzeigen Shared Responsibility bedeutet: Cloud-Anbieter und Kunde teilen sich die Verantwortung. Typisch: Anbieter schützt die Cloud-Infrastruktur. Kunde schützt Daten, Identitäten, Zugriffsrechte, Konfigurationen und Anwendungen je nach Modell. Merksatz: Cloud bedeutet geteilte Verantwortung.
--- **Aufgabe 39** Welche Antwort ist besser? Aufgabe: Ein Client erreicht die Webseite per IP-Adresse, aber nicht per Namen. Nennen Sie eine wahrscheinliche Ursache. Antwort A: Internet kaputt. Antwort B: Wahrscheinlich liegt ein DNS-Problem vor, weil die IP-Adresse erreichbar ist, der Name aber nicht aufgelöst wird.
Antwort anzeigen B ist besser. Begründung: Die Antwort nennt eine wahrscheinliche Ursache und begründet sie mit dem Fehlerbild. Merksatz: Ursache, Begründung, Prüfung.
--- **Aufgabe 40** Welche Antwort ist besser? Aufgabe: Warum sollte RDP nicht direkt aus dem Internet erreichbar sein? Antwort A: Weil das nicht gut ist. Antwort B: RDP ist ein häufiges Angriffsziel für Brute-Force-Angriffe und Exploits. Sicherer ist der Zugriff über VPN oder RDP-Gateway mit MFA und Firewall-Beschränkung.
Antwort anzeigen B ist besser. Begründung: Die Antwort nennt ein konkretes Risiko und passende Schutzmaßnahmen. Merksatz: Sicherheitsantwort: Risiko, Maßnahme, Wirkung.
--- **Mini-Prüfung: 10 schnelle Zuordnungen** | Frage | Antwort | |---|---| | DNS gehört zu welcher OSI-Schicht? | Schicht 7 | | TCP gehört zu welcher OSI-Schicht? | Schicht 4 | | IP gehört zu welcher OSI-Schicht? | Schicht 3 | | MAC gehört zu welcher OSI-Schicht? | Schicht 2 | | Kabel gehört zu welcher OSI-Schicht? | Schicht 1 | | HTTPS nutzt typischerweise welchen Port? | TCP 443 | | SSH nutzt typischerweise welchen Port? | TCP 22 | | SMB nutzt typischerweise welchen Port? | TCP 445 | | DHCP nutzt welche Ports? | UDP 67 und 68 | | DNS nutzt welchen Port? | UDP/TCP 53 | --- **Mini-Prüfung: Fehlerbild erkennen** | Fehlerbild | Wahrscheinlichstes Thema | |---|---| | IP geht, Name nicht | DNS | | 169.254.x.x | DHCP | | lokal geht, extern nicht | Gateway, Routing, NAT oder Firewall | | Host erreichbar, Dienst nicht | Port, Dienst oder Firewall | | Login geht, Zugriff nicht | Autorisierung / Rechte | | Anmeldung scheitert | Authentifizierung | | Zertifikatswarnung | TLS/Zertifikat | | nach Update defekt | Change prüfen | | Daten verschlüsselt und Lösegeldforderung | Ransomware | | sehr viele Loginversuche | Brute Force | --- **IHK-sichere Kurzformulierung** Das OSI-Modell hilft, Netzwerkkommunikation und Fehler systematisch einzuordnen. Schicht 1 betrifft Signale und Medien, Schicht 2 lokale Kommunikation mit MAC-Adressen, Schicht 3 IP-Adressierung und Routing, Schicht 4 Transport mit TCP, UDP und Ports und Schicht 7 Anwendungsprotokolle wie DNS, DHCP und HTTP. Das TCP/IP-Modell ist praxisnäher und fasst mehrere OSI-Schichten zusammen. Bei der Fehlersuche sollte man Fehlerbilder auswerten: IP erreichbar, Name nicht deutet auf DNS hin; 169.254.x.x deutet auf DHCP hin; lokal erreichbar, extern nicht deutet auf Gateway, Routing, NAT oder Firewall hin. Gute Prüfungsantworten nennen Ursache, Begründung und passende Prüfung oder Maßnahme. --- **Merksätze** OSI ist das Denkmodell. TCP/IP ist das Praxismodell. Schicht 1: Signal. Schicht 2: MAC und VLAN. Schicht 3: IP und Routing. Schicht 4: TCP, UDP und Ports. Schicht 7: Dienste und Anwendungen. MAC ist lokal. IP ist logisch. Port ist Dienstzuordnung. DNS löst Namen auf. DHCP verteilt IP-Konfiguration. Gateway führt in andere Netze. NAT übersetzt Adressen. Firewall filtert Verkehr. ping prüft ICMP, nicht den Dienst. IP ja, Name nein: DNS. 169.254.x.x: DHCP. Lokal ja, extern nein: Gateway prüfen. Host ja, Dienst nein: Port prüfen. Login ja, Zugriff nein: Rechte prüfen. TCP ist zuverlässig. UDP ist schnell und verbindungslos. ARP löst IPv4 zu MAC auf. VLAN trennt logisch. Routing verbindet Netze. Backup ohne Restore-Test ist unsicher. RPO ist Datenverlust. RTO ist Wiederherstellungszeit. IDS meldet. IPS blockiert. MFA schützt gegen Passwortmissbrauch. Least Privilege begrenzt Rechte. Hardening reduziert Angriffsfläche. Gute Prüfungsantwort: Ursache, Begründung, Prüfung. # 20.2 Trainer – Schicht 1 / Übertragungsmedien, Verkabelung Diese Trainer-Seite wiederholt Übertragungsmedien, Verkabelung, Signalqualität und die OSI-Schicht 1. Ziel ist, typische Prüfungsfragen zu Kabeln, LWL, WLAN, Dämpfung, Duplex, Auto-Negotiation und physikalischer Fehlersuche sicher zu beantworten. Merksatz: Schicht 1 fragt: Kommt überhaupt ein Signal an? --- **Lernziele** Nach dieser Seite solltest du sicher können: - Kupfer, LWL und WLAN unterscheiden - Koaxialkabel, Twisted Pair und Glasfaser einordnen - Dämpfung erklären - Duplex und Auto-Negotiation erklären - typische Schicht-1-Fehler erkennen - passende Prüfmaßnahmen nennen - Übertragungsmedien nach Einsatzzweck auswählen --- **Kurzüberblick: Übertragungsmedien** | Medium | Signalart | Typische Nutzung | |---|---|---| | Twisted Pair | elektrisch | LAN-Verkabelung | | Koaxialkabel | elektrisch | ältere Netze, Kabelanschluss, Antennentechnik | | Lichtwellenleiter | optisch | hohe Bandbreite, lange Strecken | | WLAN | Funk | drahtlose Netzwerkverbindung | Merksatz: Kupfer überträgt elektrisch. LWL überträgt optisch. WLAN überträgt per Funk. --- **Kurzüberblick: OSI-Schicht 1** OSI-Schicht 1 heißt: Bitübertragungsschicht Aufgabe: Bits als Signale übertragen. Typische Themen: Kabel Stecker Funk Licht elektrische Signale Dämpfung Störungen Link Geschwindigkeit Duplex Auto-Negotiation Merksatz: Schicht 1 kümmert sich um die physische Übertragung. --- **Aufgabe 1** Welche OSI-Schicht ist betroffen, wenn ein Netzwerkkabel defekt ist?
Antwort anzeigen Betroffen ist: OSI-Schicht 1 Begründung: Ein defektes Kabel betrifft die physische Signalübertragung. Kabel, Stecker, Funk, Licht und elektrische Signale gehören zur Bitübertragungsschicht. Merksatz: Kabelproblem = Schicht 1.
--- **Aufgabe 2** Ordne die Medien der richtigen Signalart zu. | Medium | Signalart | |---|---| | Twisted Pair | ? | | Lichtwellenleiter | ? | | WLAN | ? | | Koaxialkabel | ? |
Antwort anzeigen | Medium | Signalart | |---|---| | Twisted Pair | elektrisch | | Lichtwellenleiter | optisch | | WLAN | Funk | | Koaxialkabel | elektrisch | Merksatz: Kupfer elektrisch, Glasfaser optisch, WLAN Funk.
--- **Aufgabe 3** Was ist Twisted-Pair-Kabel?
Antwort anzeigen Twisted-Pair-Kabel ist ein Kupferkabel, bei dem Adernpaare miteinander verdrillt sind. Ziel der Verdrillung: Störungen reduzieren Übersprechen verringern Signalqualität verbessern Typische Nutzung: Ethernet-LAN Merksatz: Twisted Pair = verdrillte Kupferadern für LAN.
--- **Aufgabe 4** Warum sind die Adernpaare bei Twisted-Pair-Kabeln verdrillt?
Antwort anzeigen Die Adernpaare sind verdrillt, um elektromagnetische Störungen und Übersprechen zu reduzieren. Dadurch wird die Signalqualität verbessert. Merksatz: Verdrillung schützt vor Störungen.
--- **Aufgabe 5** Welche Aussage ist richtig? A: LWL überträgt Daten elektrisch. B: Twisted Pair überträgt Daten optisch. C: LWL überträgt Daten mit Licht. D: WLAN nutzt MAC-Adressen nicht.
Antwort anzeigen Richtig ist: C: LWL überträgt Daten mit Licht. Begründung: Lichtwellenleiter übertragen Signale optisch und eignen sich besonders für hohe Bandbreiten und lange Strecken.
--- **Aufgabe 6** Nenne zwei Vorteile von Lichtwellenleitern gegenüber Kupferkabeln.
Antwort anzeigen Mögliche Vorteile: hohe Bandbreite große Reichweite unempfindlicher gegen elektromagnetische Störungen galvanische Trennung schwerer unbemerkt abzuhören als Kupfer IHK-sichere Antwort: Lichtwellenleiter ermöglichen hohe Übertragungsraten über lange Strecken und sind unempfindlich gegenüber elektromagnetischen Störungen.
--- **Aufgabe 7** Nenne zwei Nachteile von Lichtwellenleitern.
Antwort anzeigen Mögliche Nachteile: empfindlicher gegenüber Knicken aufwendigere Montage spezielle Spleiß- oder Stecktechnik nötig oft teurere aktive Komponenten Verschmutzung an Steckern kann Probleme verursachen Merksatz: LWL ist leistungsfähig, aber empfindlich bei Montage und Handhabung.
--- **Aufgabe 8** Was ist Dämpfung?
Antwort anzeigen Dämpfung bedeutet: Das Signal wird auf dem Übertragungsweg schwächer. Ursachen: Kabellänge schlechte Stecker Knicke schlechte Spleiße Störungen minderwertiges Kabel Verschmutzung bei LWL Merksatz: Dämpfung = Signalverlust auf dem Weg.
--- **Aufgabe 9** Welche Folge kann zu hohe Dämpfung haben?
Antwort anzeigen Mögliche Folgen: Verbindungsabbrüche Paketverluste geringere Übertragungsrate instabile Verbindung kein Link hohe Fehlerrate Merksatz: Zu viel Dämpfung macht Verbindungen langsam, instabil oder unmöglich.
--- **Aufgabe 10** Was bedeutet „Link“ bei einer Netzwerkschnittstelle?
Antwort anzeigen Link bedeutet: Die physische Verbindung zwischen zwei Netzwerkkomponenten ist erkannt. Beispiel: Netzwerkkarte und Switchport erkennen, dass eine Verbindung besteht. Wichtig: Link vorhanden heißt nicht automatisch, dass IP, DNS oder Anwendung funktionieren. Merksatz: Link bedeutet physische Verbindung, nicht vollständige Netzwerkfunktion.
--- **Aufgabe 11** Ein Switchport zeigt keinen Link. Nenne vier mögliche Ursachen.
Antwort anzeigen Mögliche Ursachen: Kabel defekt Stecker nicht richtig eingesteckt falscher Port Netzwerkkarte deaktiviert Switchport deaktiviert Gegenstelle ausgeschaltet falsches oder beschädigtes Patchkabel SFP-Modul defekt LWL-Stecker verschmutzt Merksatz: Kein Link: zuerst Schicht 1 prüfen.
--- **Aufgabe 12** Was bedeutet Half-Duplex?
Antwort anzeigen Half-Duplex bedeutet: Ein Gerät kann senden oder empfangen, aber nicht gleichzeitig beides. Beispiel: Funkgerät-Prinzip: Einer spricht, der andere hört. Merksatz: Half-Duplex = nicht gleichzeitig senden und empfangen.
--- **Aufgabe 13** Was bedeutet Full-Duplex?
Antwort anzeigen Full-Duplex bedeutet: Ein Gerät kann gleichzeitig senden und empfangen. Typisch bei: modernen Ethernet-Verbindungen über Switches Merksatz: Full-Duplex = gleichzeitig senden und empfangen.
--- **Aufgabe 14** Warum ist ein Duplex-Mismatch problematisch?
Antwort anzeigen Ein Duplex-Mismatch entsteht, wenn eine Seite Full-Duplex und die andere Seite Half-Duplex verwendet. Folgen: schlechte Performance Kollisionen Paketverluste viele Fehler auf dem Interface langsame oder instabile Verbindung Merksatz: Duplex-Mismatch verursacht oft schwer erkennbare Performance-Probleme.
--- **Aufgabe 15** Was bedeutet Auto-Negotiation?
Antwort anzeigen Auto-Negotiation bedeutet: Netzwerkgeräte handeln automatisch Geschwindigkeit und Duplexmodus aus. Beispiel: 1 Gbit/s Full-Duplex Vorteil: weniger manuelle Konfiguration Problem: Fehlkonfiguration oder alte Geräte können falsche Werte aushandeln. Merksatz: Auto-Negotiation handelt Geschwindigkeit und Duplex aus.
--- **Aufgabe 16** Welche Angaben gehören typischerweise zu einer Schicht-1-Prüfung?
Antwort anzeigen Typische Prüfungen: Kabel korrekt gesteckt? Link vorhanden? Port aktiv? Gegenstelle eingeschaltet? richtige Geschwindigkeit? richtiger Duplexmodus? Kabel beschädigt? Stecker beschädigt? LWL sauber? WLAN-Signal ausreichend? Merksatz: Schicht 1 prüft Medium, Signal und Verbindung.
--- **Aufgabe 17** Was ist der Unterschied zwischen einem Hub und einem Switch?
Antwort anzeigen Hub: arbeitet vereinfacht auf Schicht 1 sendet eingehende Bits an alle Ports weiter keine MAC-Adresstabelle gemeinsame Kollisionsdomäne Switch: arbeitet hauptsächlich auf Schicht 2 lernt MAC-Adressen leitet Frames gezielt weiter Merksatz: Hub verteilt blind. Switch leitet gezielt.
--- **Aufgabe 18** Was ist ein Repeater?
Antwort anzeigen Ein Repeater verstärkt oder regeneriert Signale, damit sie über größere Strecken übertragen werden können. Typische Schicht: OSI-Schicht 1 Merksatz: Repeater verlängert physische Signalübertragung.
--- **Aufgabe 19** Was ist ein Medienkonverter?
Antwort anzeigen Ein Medienkonverter verbindet unterschiedliche Übertragungsmedien. Beispiel: Kupfer-Ethernet zu Glasfaser Typischer Einsatz: Übergang von Twisted Pair auf LWL Merksatz: Medienkonverter verbindet Kupfer und LWL.
--- **Aufgabe 20** Was ist ein SFP-Modul?
Antwort anzeigen SFP steht für: Small Form-factor Pluggable Ein SFP-Modul ist ein steckbares Transceiver-Modul, zum Beispiel für Glasfaser- oder Kupferverbindungen. Typische Nutzung: Switches Router Firewalls Servernetzwerkkarten Merksatz: SFP ist ein steckbares Modul für Netzwerkverbindungen.
--- **Aufgabe 21** Warum kann ein verschmutzter LWL-Stecker Probleme verursachen?
Antwort anzeigen Ein verschmutzter LWL-Stecker kann das Lichtsignal dämpfen oder stören. Folgen: hohe Fehlerrate instabile Verbindung niedrige Signalqualität kein Link Merksatz: LWL-Stecker müssen sauber sein, weil Licht präzise übertragen wird.
--- **Aufgabe 22** Was ist der Unterschied zwischen Singlemode und Multimode bei LWL?
Antwort anzeigen Singlemode: für sehr lange Strecken geeignet kleiner Faserkern meist Laserlicht Multimode: eher für kürzere Strecken im Gebäude oder Rechenzentrum größerer Faserkern meist kürzere Reichweite als Singlemode Merksatz: Singlemode für lange Strecken. Multimode für kürzere Strecken.
--- **Aufgabe 23** Welche Aussage ist richtig? A: Multimode ist immer besser als Singlemode. B: Singlemode eignet sich eher für lange Strecken. C: LWL ist stärker von elektromagnetischen Störungen betroffen als Kupfer. D: LWL nutzt elektrische Signale.
Antwort anzeigen Richtig ist: B: Singlemode eignet sich eher für lange Strecken. Begründung: Singlemode-LWL wird typischerweise für größere Entfernungen verwendet, während Multimode häufig für kürzere Strecken genutzt wird.
--- **Aufgabe 24** Was bedeutet strukturierte Verkabelung?
Antwort anzeigen Strukturierte Verkabelung bedeutet: eine geplante, normierte und dokumentierte Verkabelungsstruktur in Gebäuden oder Standorten. Typische Bereiche: Primärbereich: Standort- oder Gebäudeanbindung Sekundärbereich: Steigbereich zwischen Etagen Tertiärbereich: Etagenverkabelung bis zum Arbeitsplatz Merksatz: Strukturierte Verkabelung sorgt für Ordnung, Erweiterbarkeit und Wartbarkeit.
--- **Aufgabe 25** Ordne die Bereiche der strukturierten Verkabelung zu. | Bereich | Bedeutung | |---|---| | Primärbereich | ? | | Sekundärbereich | ? | | Tertiärbereich | ? |
Antwort anzeigen | Bereich | Bedeutung | |---|---| | Primärbereich | Standort- oder Gebäudeanbindung | | Sekundärbereich | Steigbereich zwischen Etagen | | Tertiärbereich | Etagenverkabelung bis zum Arbeitsplatz | Merksatz: Primär weit, Sekundär Etagen, Tertiär Arbeitsplatz.
--- **Aufgabe 26** Was ist ein Patchpanel?
Antwort anzeigen Ein Patchpanel ist ein Verteilerfeld, an dem feste Gebäudeverkabelung endet. Von dort werden Verbindungen mit Patchkabeln zum Switch hergestellt. Vorteil: übersichtliche Verkabelung einfache Änderungen bessere Dokumentation Merksatz: Patchpanel verbindet feste Verkabelung mit flexibler Patchung.
--- **Aufgabe 27** Was ist der Unterschied zwischen Installationskabel und Patchkabel?
Antwort anzeigen Installationskabel: fest verlegt meist in Wänden, Kabelkanälen oder Gebäudestruktur Patchkabel: flexible kurze Verbindung zum Beispiel zwischen Patchpanel und Switch oder zwischen Netzwerkdose und Endgerät Merksatz: Installationskabel fest. Patchkabel flexibel.
--- **Aufgabe 28** Was ist WLAN als Übertragungsmedium?
Antwort anzeigen WLAN ist ein drahtloses Übertragungsmedium. Es nutzt Funkwellen, um Daten zwischen Endgeräten und Access Points zu übertragen. Typische Vorteile: Mobilität flexible Nutzung weniger Kabelbedarf Typische Nachteile: Störungen geteiltes Medium Reichweitenbegrenzung Sicherheitsrisiken bei falscher Konfiguration Merksatz: WLAN ist flexibel, aber störanfälliger als Kabel.
--- **Aufgabe 29** Warum ist WLAN ein geteiltes Medium?
Antwort anzeigen WLAN ist ein geteiltes Medium, weil mehrere Geräte denselben Funkkanal verwenden können. Folge: Geräte müssen sich die verfügbare Funkzeit teilen. Dadurch können entstehen: geringere Datenrate pro Gerät höhere Latenz Kollisionen oder Wartezeiten Leistungseinbruch bei vielen Clients Merksatz: WLAN-Bandbreite wird geteilt.
--- **Aufgabe 30** Nenne vier typische Ursachen für schlechtes WLAN.
Antwort anzeigen Mögliche Ursachen: zu große Entfernung zum Access Point Wände oder Hindernisse Störungen durch andere Funknetze zu viele Clients falscher Kanal schlechte Access-Point-Position alte WLAN-Standards schlechte Antennenausrichtung zu hohe oder zu niedrige Sendeleistung Merksatz: WLAN-Probleme hängen oft mit Signal, Störung, Kanal und Auslastung zusammen.
--- **Aufgabe 31** Was bedeutet MIMO?
Antwort anzeigen MIMO steht für: Multiple Input Multiple Output Bedeutung: Mehrere Antennen werden genutzt, um Datenübertragung zu verbessern. Vorteile: höhere Datenrate bessere Funkleistung bessere Ausnutzung des Funkkanals Merksatz: MIMO nutzt mehrere Antennen.
--- **Aufgabe 32** Was ist der Unterschied zwischen MIMO und MU-MIMO?
Antwort anzeigen MIMO: mehrere Antennen für bessere Übertragung MU-MIMO: Multi User MIMO Access Point kann mehrere Clients effizienter gleichzeitig bedienen Merksatz: MU-MIMO verbessert die Bedienung mehrerer Nutzer.
--- **Aufgabe 33** Was ist EIRP?
Antwort anzeigen EIRP steht für: Equivalent Isotropically Radiated Power Bedeutung: effektive abgestrahlte Sendeleistung bezogen auf einen isotropen Strahler. Wichtig bei WLAN: gesetzliche Grenzwerte Antennengewinn Sendeleistung Merksatz: EIRP beschreibt die wirksame abgestrahlte Leistung.
--- **Aufgabe 34** Was bedeutet dB oder Dezibel?
Antwort anzeigen Dezibel ist eine logarithmische Einheit, mit der Verhältnisse beschrieben werden. In Netzwerken und Funktechnik wird dB genutzt für: Dämpfung Verstärkung Antennengewinn Signalpegel Merksatz: dB beschreibt Verhältnisse, nicht einfach normale lineare Werte.
--- **Aufgabe 35** Welche Aussage zu WLAN-Sicherheit ist richtig? A: Ein versteckter WLAN-Name ersetzt Verschlüsselung. B: WPA2 oder WPA3 schützt WLAN besser als offenes WLAN. C: MAC-Filter allein ist eine starke Sicherheitsmaßnahme. D: Gäste sollten immer im internen VLAN sein.
Antwort anzeigen Richtig ist: B: WPA2 oder WPA3 schützt WLAN besser als offenes WLAN. Begründung: WLAN sollte verschlüsselt und sicher authentifiziert werden. Gäste sollten getrennt vom internen Netz betrieben werden. Merksatz: WLAN-Sicherheit braucht Verschlüsselung, starke Zugangsdaten und Netztrennung.
--- **Aufgabe 36** Warum sollte ein Gast-WLAN getrennt vom internen Netz sein?
Antwort anzeigen Ein Gast-WLAN sollte getrennt sein, damit Gäste nicht auf interne Systeme zugreifen können. Schutz: interne Server Clients Drucker Managementoberflächen sensible Daten Typische Umsetzung: eigenes VLAN Firewall-Regeln nur Internetzugriff erlauben Merksatz: Gast-WLAN gehört nicht ins interne Netz.
--- **Aufgabe 37** Ein Arbeitsplatz hat keine Netzwerkverbindung. Nenne eine sinnvolle Prüf-Reihenfolge auf Schicht 1.
Antwort anzeigen Sinnvolle Reihenfolge: 1. Kabel steckt korrekt? 2. Link-LED aktiv? 3. anderes Patchkabel testen? 4. anderen Switchport testen? 5. Netzwerkdose prüfen? 6. Endgerät-Netzwerkkarte aktiv? 7. Switchport administrativ aktiv? 8. Geschwindigkeit und Duplex prüfen? Merksatz: Bei „keine Verbindung“ zuerst physisch prüfen.
--- **Aufgabe 38** Ein Server hat Link, aber die Verbindung ist extrem langsam und instabil. Welche Schicht-1-Themen können Ursache sein?
Antwort anzeigen Mögliche Ursachen: defektes Kabel schlechte Steckverbindung Duplex-Mismatch falsche Geschwindigkeit hohe Dämpfung Störungen beschädigter Port fehlerhaftes SFP-Modul LWL-Stecker verschmutzt Merksatz: Link vorhanden heißt nicht, dass die Signalqualität gut ist.
--- **Aufgabe 39** Welche Antwort ist besser? Aufgabe: Ein Client hat keine Netzwerkverbindung. Nennen Sie eine erste sinnvolle Prüfmaßnahme. Antwort A: Server neu installieren. Antwort B: Zuerst sollte geprüft werden, ob die physische Verbindung besteht, also Kabel, Stecker, Link-LED und Switchport.
Antwort anzeigen B ist besser. Begründung: Bei fehlender Netzwerkverbindung beginnt die Fehlersuche auf Schicht 1. Erst wenn Link und physische Verbindung passen, werden IP, Gateway, DNS und Dienste geprüft. Merksatz: Erst Schicht 1, dann höhere Schichten.
--- **Aufgabe 40** Welche Antwort ist besser? Aufgabe: Warum kann LWL sinnvoller sein als Kupfer? Antwort A: Weil Glasfaser moderner ist. Antwort B: LWL ist für hohe Bandbreiten und lange Strecken geeignet und unempfindlich gegenüber elektromagnetischen Störungen.
Antwort anzeigen B ist besser. Begründung: Die Antwort nennt konkrete technische Vorteile und ist damit prüfungssicherer. Merksatz: Nicht „moderner“ schreiben, sondern technischen Nutzen nennen.
--- **Mini-Prüfung: schnelle Zuordnung** | Frage | Antwort | |---|---| | Welche OSI-Schicht ist für Kabel und Signale zuständig? | Schicht 1 | | Wie heißt OSI-Schicht 1? | Bitübertragungsschicht | | Welches Medium nutzt Licht? | LWL | | Welches Medium nutzt Funk? | WLAN | | Welches Medium nutzt elektrische Signale? | Kupfer | | Was bedeutet Dämpfung? | Signalverlust | | Was bedeutet Full-Duplex? | gleichzeitig senden und empfangen | | Was bedeutet Half-Duplex? | senden oder empfangen, nicht gleichzeitig | | Was macht Auto-Negotiation? | Geschwindigkeit und Duplex automatisch aushandeln | | Was verbindet Kupfer und LWL? | Medienkonverter | | Was ist ein SFP? | steckbares Transceiver-Modul | | Was ist ein Patchpanel? | Verteilerfeld für Gebäudeverkabelung | --- **Mini-Prüfung: Fehlerbild erkennen** | Fehlerbild | Wahrscheinlichstes Thema | |---|---| | kein Link am Switchport | Schicht 1 | | Link vorhanden, aber viele Fehler | Kabel, Duplex, Dämpfung, Port | | WLAN langsam und instabil | Signal, Störung, Kanal, Auslastung | | LWL-Link instabil | Stecker, Dämpfung, SFP, Faser | | nur ein Arbeitsplatz betroffen | Kabel, Dose, Patchpanel, Switchport | | mehrere Dosen auf Etage betroffen | Verteilung, Switch, Patchfeld | | Verbindung bricht bei Bewegung ab | Kabel oder Stecker beschädigt | | nach Austausch kein Link | falsches Kabel, falsches Modul, Portkonfiguration | --- **IHK-sichere Kurzformulierung** Die OSI-Schicht 1 ist die Bitübertragungsschicht. Sie beschreibt die physische Übertragung von Bits als elektrische, optische oder Funksignale. Typische Themen sind Kabel, Stecker, Funk, Lichtwellenleiter, Signalqualität, Dämpfung, Link, Geschwindigkeit, Duplex und Auto-Negotiation. Kupferkabel wie Twisted Pair übertragen elektrische Signale, Lichtwellenleiter übertragen optische Signale und WLAN nutzt Funk. Bei Störungen ohne Link oder mit instabiler Verbindung sollte zuerst die physische Verbindung geprüft werden, zum Beispiel Kabel, Stecker, Switchport, Link-LED, SFP-Modul, Dämpfung und Duplexmodus. --- **Merksätze** Schicht 1 ist die Bitübertragungsschicht. Schicht 1 überträgt Bits als Signale. Kupfer überträgt elektrisch. LWL überträgt optisch. WLAN überträgt per Funk. Twisted Pair nutzt verdrillte Adernpaare. Verdrillung reduziert Störungen. LWL eignet sich für hohe Bandbreite und lange Strecken. Singlemode eignet sich eher für lange Strecken. Multimode eignet sich eher für kürzere Strecken. Dämpfung bedeutet Signalverlust. Zu hohe Dämpfung verursacht Fehler oder Verbindungsabbrüche. Link bedeutet physische Verbindung erkannt. Link heißt nicht automatisch, dass IP oder Anwendung funktionieren. Half-Duplex sendet oder empfängt. Full-Duplex sendet und empfängt gleichzeitig. Auto-Negotiation handelt Geschwindigkeit und Duplex aus. Duplex-Mismatch verursacht Performance-Probleme. Hub verteilt blind. Switch leitet gezielt. Repeater regeneriert Signale. Medienkonverter verbindet Medien. SFP ist ein steckbares Transceiver-Modul. Patchpanel verbindet feste Verkabelung mit Patchkabeln. Installationskabel ist fest verlegt. Patchkabel ist flexibel. WLAN ist ein geteiltes Medium. WLAN-Probleme hängen oft mit Signal, Störung, Kanal und Auslastung zusammen. Gast-WLAN gehört getrennt vom internen Netz. Bei keiner Verbindung zuerst Schicht 1 prüfen. Erst Kabel, Link und Port prüfen, dann IP, DNS und Anwendung. # 20.3 Trainer – Schicht 2 / Ethernet, MAC-Adressen, Switching, VLAN und ARP Diese Trainer-Seite wiederholt die OSI-Schicht 2, Ethernet, MAC-Adressen, Switching, VLANs und ARP. Ziel ist, typische Prüfungsfragen zur lokalen Netzwerkkommunikation sicher zu lösen. Merksatz: Schicht 2 fragt: Funktioniert die lokale Zustellung im gleichen Netzwerksegment? --- **Lernziele** Nach dieser Seite solltest du sicher können: - OSI-Schicht 2 einordnen - MAC-Adressen erklären - Ethernet-Frames verstehen - Switching erklären - MAC-Adresstabellen nutzen - Flooding und Broadcast unterscheiden - VLANs einordnen - Access-Port und Trunk-Port unterscheiden - ARP erklären - typische Schicht-2-Fehler erkennen --- **Kurzüberblick: OSI-Schicht 2** OSI-Schicht 2 heißt: Sicherungsschicht Aufgabe: Datenübertragung im lokalen Netzwerksegment organisieren. Typische Begriffe: Ethernet Frame MAC-Adresse Switch VLAN ARP Broadcast MAC-Adresstabelle STP Loop Broadcast-Sturm Merksatz: Schicht 2 arbeitet lokal mit Frames und MAC-Adressen. --- **Kurzüberblick: Schicht 2 und Schicht 3** | Thema | Schicht | Zweck | |---|---:|---| | MAC-Adresse | 2 | lokale Zustellung | | Ethernet-Frame | 2 | lokale Dateneinheit | | Switch | 2 | Weiterleitung im LAN | | VLAN | 2 | logische Trennung | | IP-Adresse | 3 | logische Adressierung | | Routing | 3 | Verbindung zwischen Netzen | Merksatz: MAC lokal. IP logisch. Switch lokal. Router zwischen Netzen. --- **Aufgabe 1** Wie heißt OSI-Schicht 2?
Antwort anzeigen OSI-Schicht 2 heißt: Sicherungsschicht Englisch: Data Link Layer Aufgabe: lokale Übertragung von Frames über MAC-Adressen. Merksatz: Schicht 2 = Sicherungsschicht.
--- **Aufgabe 2** Welche Adresse gehört zu OSI-Schicht 2? A: IP-Adresse B: MAC-Adresse C: Portnummer D: URL
Antwort anzeigen Richtig ist: B: MAC-Adresse Begründung: MAC-Adressen werden auf OSI-Schicht 2 zur lokalen Zustellung im LAN verwendet. Merksatz: MAC-Adresse = Schicht 2.
--- **Aufgabe 3** Was ist eine MAC-Adresse?
Antwort anzeigen Eine MAC-Adresse ist eine Hardware-Adresse einer Netzwerkschnittstelle. Sie dient zur lokalen Kommunikation im Netzwerksegment. Beispiel: AA:BB:CC:11:22:33 Typisch: 48 Bit lang hexadezimale Schreibweise Merksatz: MAC-Adresse identifiziert eine Netzwerkschnittstelle im lokalen Netz.
--- **Aufgabe 4** Was ist ein Ethernet-Frame?
Antwort anzeigen Ein Ethernet-Frame ist die Dateneinheit auf OSI-Schicht 2. Er enthält unter anderem: Ziel-MAC-Adresse Quell-MAC-Adresse Nutzdaten Prüfinformationen Merksatz: Ethernet überträgt Frames.
--- **Aufgabe 5** Welche Informationen sind typisch in einem Ethernet-Frame enthalten? | Bestandteil | Enthalten? | |---|---| | Ziel-MAC-Adresse | ? | | Quell-MAC-Adresse | ? | | Ziel-Port TCP 443 | ? | | IP-Nutzdaten | ? |
Antwort anzeigen | Bestandteil | Enthalten? | |---|---| | Ziel-MAC-Adresse | ja | | Quell-MAC-Adresse | ja | | Ziel-Port TCP 443 | nicht direkt Schicht 2, sondern Teil der höheren Schichten | | IP-Nutzdaten | ja, als Nutzdaten im Frame | Merksatz: Der Frame transportiert höhere Schichten als Nutzdaten.
--- **Aufgabe 6** Was macht ein Switch?
Antwort anzeigen Ein Switch verbindet Geräte im lokalen Netzwerk. Er arbeitet hauptsächlich auf OSI-Schicht 2 und leitet Ethernet-Frames anhand von MAC-Adressen weiter. Merksatz: Switch = lokale Weiterleitung anhand MAC-Adressen.
--- **Aufgabe 7** Wie lernt ein Switch seine MAC-Adresstabelle?
Antwort anzeigen Ein Switch lernt aus der Quell-MAC-Adresse eingehender Frames. Wenn ein Frame an Port 3 ankommt, merkt sich der Switch: Diese Quell-MAC-Adresse ist über Port 3 erreichbar. Merksatz: Switch lernt aus Quell-MAC-Adressen.
--- **Aufgabe 8** Ein Switch kennt die Ziel-MAC-Adresse. Was passiert?
Antwort anzeigen Der Switch leitet den Frame gezielt an den Port weiter, an dem die Ziel-MAC-Adresse bekannt ist. Merksatz: bekannte Ziel-MAC: gezielte Weiterleitung.
--- **Aufgabe 9** Ein Switch kennt die Ziel-MAC-Adresse nicht. Was passiert?
Antwort anzeigen Der Switch flutet den Frame. Das bedeutet: Er sendet den Frame an alle Ports im gleichen VLAN, außer an den Eingangsport. Merksatz: unbekannte Ziel-MAC: Flooding.
--- **Aufgabe 10** Was bedeutet Flooding?
Antwort anzeigen Flooding bedeutet: Ein Switch sendet einen Frame an alle Ports im gleichen VLAN, außer an den Port, über den der Frame gekommen ist. Flooding passiert bei: unbekannter Ziel-MAC-Adresse Broadcast bestimmten Multicast-Fällen Merksatz: Flooding ist nicht immer ein Fehler.
--- **Aufgabe 11** Was ist ein Broadcast?
Antwort anzeigen Ein Broadcast ist eine Nachricht an alle Geräte im gleichen Broadcast-Bereich. Beispiel: ARP Request Broadcasts bleiben normalerweise im gleichen VLAN. Merksatz: Broadcast erreicht alle Geräte im gleichen VLAN.
--- **Aufgabe 12** Was ist eine Broadcast-Domäne?
Antwort anzeigen Eine Broadcast-Domäne ist der Bereich, in dem Broadcasts verteilt werden. Ohne VLAN: oft gesamtes Switch-Netz Mit VLAN: jedes VLAN ist eine eigene Broadcast-Domäne Merksatz: VLANs trennen Broadcast-Domänen.
--- **Aufgabe 13** Was ist ein VLAN?
Antwort anzeigen VLAN steht für: Virtual Local Area Network Ein VLAN trennt ein physisches Netzwerk logisch in mehrere getrennte Layer-2-Bereiche. Beispiele: VLAN 10 Verwaltung VLAN 20 Clients VLAN 30 Server VLAN 40 Gäste Merksatz: VLAN = logische Trennung auf Schicht 2.
--- **Aufgabe 14** Nenne zwei Gründe für den Einsatz von VLANs.
Antwort anzeigen Mögliche Gründe: logische Netztrennung kleinere Broadcast-Domänen bessere Struktur Trennung von Abteilungen Trennung von Gästen und internem Netz Trennung von Servern und Clients separate Managementnetze IHK-sichere Antwort: VLANs werden eingesetzt, um Netzbereiche logisch zu trennen und Broadcast-Domänen zu verkleinern.
--- **Aufgabe 15** Ist ein VLAN dasselbe wie ein IP-Subnetz?
Antwort anzeigen Nein. VLAN: logische Trennung auf OSI-Schicht 2 IP-Subnetz: logische IP-Aufteilung auf OSI-Schicht 3 Wichtig: In der Praxis bekommt ein VLAN häufig ein eigenes IP-Subnetz. Fachlich sind VLAN und Subnetz aber nicht dasselbe. Merksatz: VLAN = Layer 2. Subnetz = Layer 3.
--- **Aufgabe 16** Was ist ein Access-Port?
Antwort anzeigen Ein Access-Port gehört normalerweise zu genau einem VLAN. Typische Nutzung: PC Drucker Telefon normales Endgerät Das Endgerät muss das VLAN meist nicht selbst kennen. Merksatz: Access-Port = ein VLAN für Endgeräte.
--- **Aufgabe 17** Was ist ein Trunk-Port?
Antwort anzeigen Ein Trunk-Port transportiert mehrere VLANs über eine Verbindung. Typische Nutzung: Verbindung zwischen Switches Verbindung zu Router Verbindung zu Firewall Verbindung zu Hypervisor Verbindung zu VLAN-fähigem Access Point Merksatz: Trunk-Port = mehrere VLANs über eine Verbindung.
--- **Aufgabe 18** Ordne zu. | Porttyp | Bedeutung | |---|---| | Access-Port | ? | | Trunk-Port | ? |
Antwort anzeigen | Porttyp | Bedeutung | |---|---| | Access-Port | ein VLAN, typisch für Endgeräte | | Trunk-Port | mehrere VLANs, typisch zwischen Netzwerkgeräten | Merksatz: Access = ein VLAN. Trunk = mehrere VLANs.
--- **Aufgabe 19** Was bedeutet VLAN-Tagging?
Antwort anzeigen VLAN-Tagging bedeutet: Ein Ethernet-Frame enthält eine VLAN-Information. Häufiger Standard: IEEE 802.1Q Typisch bei: Trunk-Verbindungen Merksatz: 802.1Q markiert Frames mit VLAN-Information.
--- **Aufgabe 20** Was ist der Unterschied zwischen untagged und tagged?
Antwort anzeigen Untagged: Frame enthält keinen VLAN-Tag für das Endgerät. Typisch: Access-Port Tagged: Frame enthält VLAN-Information. Typisch: Trunk-Port Merksatz: Access meist untagged. Trunk meist tagged.
--- **Aufgabe 21** Was ist ARP?
Antwort anzeigen ARP steht für: Address Resolution Protocol Aufgabe: ARP löst im lokalen IPv4-Netz eine IP-Adresse in eine MAC-Adresse auf. Beispiel: Der Client kennt die IP-Adresse des Gateways, braucht aber für Ethernet die MAC-Adresse des Gateways. Merksatz: ARP findet die MAC-Adresse zu einer IPv4-Adresse.
--- **Aufgabe 22** Warum braucht man ARP?
Antwort anzeigen IPv4 arbeitet mit IP-Adressen. Ethernet im lokalen Netz benötigt aber MAC-Adressen. ARP verbindet diese beiden Ebenen, indem eine IPv4-Adresse einer MAC-Adresse zugeordnet wird. Merksatz: IP sagt, welches Ziel gemeint ist. MAC sagt, wohin lokal gesendet wird.
--- **Aufgabe 23** Ein Client möchte einen Server im gleichen Subnetz erreichen. Welche MAC-Adresse wird verwendet?
Antwort anzeigen Verwendet wird: die MAC-Adresse des Zielservers Begründung: Das Ziel liegt im gleichen lokalen Subnetz. Der Client kann daher direkt lokal per Ethernet an die MAC-Adresse des Zielservers senden. Merksatz: gleiches Subnetz: MAC des Zielhosts.
--- **Aufgabe 24** Ein Client möchte einen Server in einem anderen Subnetz erreichen. Welche MAC-Adresse wird verwendet?
Antwort anzeigen Verwendet wird: die MAC-Adresse des Standardgateways Begründung: Das Ziel liegt außerhalb des lokalen Subnetzes. Der Client sendet das Ethernet-Frame lokal an das Gateway. Das IP-Ziel bleibt aber der entfernte Server. Merksatz: anderes Subnetz: MAC des Gateways.
--- **Aufgabe 25** Was ist ein ARP Request?
Antwort anzeigen Ein ARP Request ist eine Anfrage per Broadcast. Vereinfacht: Wer hat diese IPv4-Adresse? Beispiel: Wer hat 192.168.1.1? Merksatz: ARP Request = Broadcast-Frage.
--- **Aufgabe 26** Was ist ein ARP Reply?
Antwort anzeigen Ein ARP Reply ist die Antwort auf einen ARP Request. Vereinfacht: Diese IPv4-Adresse gehört zu dieser MAC-Adresse. Merksatz: ARP Reply liefert die MAC-Adresse.
--- **Aufgabe 27** Was ist eine ARP-Tabelle?
Antwort anzeigen Die ARP-Tabelle speichert bekannte Zuordnungen: IPv4-Adresse zu MAC-Adresse Vorteil: Der Host muss nicht für jedes Paket erneut per ARP fragen. Merksatz: ARP-Tabelle = Zwischenspeicher für IP-zu-MAC.
--- **Aufgabe 28** Was ist ARP-Spoofing?
Antwort anzeigen ARP-Spoofing ist ein Angriff, bei dem falsche ARP-Antworten gesendet werden. Ziel: Datenverkehr umleiten Man-in-the-Middle ermöglichen Kommunikation stören Schutzmaßnahmen: Dynamic ARP Inspection Netzwerksegmentierung Switch-Sicherheitsfunktionen Monitoring Verschlüsselung höherer Schichten Merksatz: ARP-Spoofing manipuliert lokale IP-zu-MAC-Zuordnungen.
--- **Aufgabe 29** Was ist STP?
Antwort anzeigen STP steht für: Spanning Tree Protocol Aufgabe: Layer-2-Schleifen verhindern Warum wichtig? Schleifen können Broadcast-Stürme verursachen und das Netzwerk stark belasten oder lahmlegen. Merksatz: STP verhindert Switch-Schleifen.
--- **Aufgabe 30** Was ist ein Broadcast-Sturm?
Antwort anzeigen Ein Broadcast-Sturm entsteht, wenn Broadcasts durch Schleifen immer wieder weitergeleitet werden. Folgen: Netz wird langsam Switches werden überlastet Clients verlieren Verbindung Dienste brechen ab Merksatz: Layer-2-Schleifen können das Netzwerk lahmlegen.
--- **Aufgabe 31** Ein Client bekommt eine IP-Adresse aus dem falschen Netz. Welches Schicht-2-Thema ist naheliegend?
Antwort anzeigen Naheliegend ist: falsches VLAN Begründung: Wenn ein Client am falschen VLAN hängt, kann er vom falschen DHCP-Scope eine Adresse erhalten. Merksatz: falsches VLAN: häufig falsche IP-Konfiguration.
--- **Aufgabe 32** Ein Client bekommt keine DHCP-Adresse. Nur dieser eine Switchport ist betroffen. Welche Ursachen sind wahrscheinlich?
Antwort anzeigen Mögliche Ursachen: Switchport deaktiviert falsches Access-VLAN Kabel oder Dose defekt Port Security blockiert VLAN nicht korrekt zugewiesen Endgerät defekt Merksatz: Nur ein Port betroffen: Port, VLAN, Kabel und Endgerät prüfen.
--- **Aufgabe 33** Mehrere VLANs funktionieren zwischen zwei Switches nicht richtig. Was sollte geprüft werden?
Antwort anzeigen Prüfen: Trunk-Port aktiv? VLANs auf Trunk erlaubt? VLANs auf beiden Switches vorhanden? Tagging korrekt? Native VLAN passend? Gegenstelle korrekt konfiguriert? Merksatz: Mehrere VLANs betroffen: Trunk prüfen.
--- **Aufgabe 34** Ein Gerät ist im richtigen IP-Subnetz, aber lokale Kommunikation funktioniert trotzdem nicht. Welche Schicht-2-Themen können Ursache sein?
Antwort anzeigen Mögliche Ursachen: falsches VLAN ARP-Problem lokale Firewall Switchport blockiert Port Security MAC-Adresstabelle fehlerhaft oder veraltet Duplex- oder Linkproblem Merksatz: Gleiches Subnetz heißt nicht automatisch, dass Layer 2 sauber funktioniert.
--- **Aufgabe 35** Was ist Port Security?
Antwort anzeigen Port Security begrenzt, welche oder wie viele MAC-Adressen an einem Switchport erlaubt sind. Ziel: unautorisierte Geräte erschweren einfache Angriffe reduzieren Portmissbrauch begrenzen Merksatz: Port Security kontrolliert MAC-Adressen am Switchport.
--- **Aufgabe 36** Was ist 802.1X?
Antwort anzeigen 802.1X ist portbasierte Netzwerkzugangskontrolle. Prinzip: Ein Gerät oder Benutzer muss sich authentifizieren, bevor Netzwerkzugriff erlaubt wird. Typisch mit: RADIUS Zertifikaten Benutzerkonto Merksatz: 802.1X prüft Zugriff vor Netzzugang.
--- **Aufgabe 37** Welche Aussage ist richtig? A: VLANs ersetzen immer eine Firewall. B: VLANs trennen Broadcast-Domänen. C: VLANs gehören ausschließlich zu OSI-Schicht 7. D: Ein Access-Port transportiert immer mehrere VLANs.
Antwort anzeigen Richtig ist: B: VLANs trennen Broadcast-Domänen. Begründung: VLANs trennen Layer-2-Bereiche logisch. Sie ersetzen aber keine Firewall, wenn Verkehr zwischen VLANs kontrolliert werden soll. Merksatz: VLAN trennt. Firewall kontrolliert.
--- **Aufgabe 38** Welche Antwort ist besser? Aufgabe: Warum braucht man für Kommunikation zwischen VLANs Routing? Antwort A: Weil VLANs sonst nicht modern genug sind. Antwort B: VLANs sind getrennte Layer-2-Bereiche. Damit Geräte aus verschiedenen VLANs miteinander kommunizieren können, müssen die jeweiligen IP-Netze über einen Router, Layer-3-Switch oder eine Firewall geroutet werden.
Antwort anzeigen B ist besser. Begründung: Die Antwort erklärt die technische Trennung auf Schicht 2 und den Bedarf für Routing auf Schicht 3. Merksatz: VLANs trennen. Routing verbindet.
--- **Aufgabe 39** Welche Antwort ist besser? Aufgabe: Ein Switch sendet einen Frame an alle Ports im VLAN. Ist das automatisch ein Fehler? Antwort A: Ja, immer. Antwort B: Nein. Bei unbekannter Ziel-MAC-Adresse oder Broadcast ist Flooding normales Verhalten. Es wird erst problematisch, wenn durch Schleifen oder Fehlkonfigurationen dauerhaft sehr viel Broadcast- oder Flooding-Verkehr entsteht.
Antwort anzeigen B ist besser. Begründung: Flooding ist ein normales Switching-Verhalten, wenn die Ziel-MAC-Adresse unbekannt ist. Es ist nicht automatisch ein Fehler. Merksatz: Flooding normal, Broadcast-Sturm kritisch.
--- **Aufgabe 40** Was ist die wichtigste Unterscheidung zwischen MAC-Adresse, IP-Adresse und Port?
Antwort anzeigen MAC-Adresse: lokale Zustellung auf Schicht 2 IP-Adresse: logische Adressierung auf Schicht 3 Port: Zuordnung zu Dienst oder Prozess auf Schicht 4 Merksatz: MAC lokal. IP logisch. Port Dienst.
--- **Mini-Prüfung: schnelle Zuordnung** | Frage | Antwort | |---|---| | Welche OSI-Schicht ist Ethernet? | Schicht 2 | | Welche OSI-Schicht ist MAC? | Schicht 2 | | Welche OSI-Schicht ist VLAN? | Schicht 2 | | Welche OSI-Schicht ist IP? | Schicht 3 | | Welche OSI-Schicht ist TCP? | Schicht 4 | | Was leitet ein Switch weiter? | Frames | | Woran orientiert sich ein Switch? | MAC-Adressen | | Was lernt ein Switch aus eingehenden Frames? | Quell-MAC-Adresse | | Was passiert bei unbekannter Ziel-MAC? | Flooding | | Was trennt VLAN? | Broadcast-Domänen | | Was macht ARP? | IPv4 zu MAC auflösen | | Was verhindert STP? | Layer-2-Schleifen | --- **Mini-Prüfung: Fehlerbild erkennen** | Fehlerbild | Wahrscheinliches Thema | |---|---| | Client im falschen Netz | falsches VLAN | | nur ein Switchport betroffen | Access-Port, Kabel, Port Security | | mehrere VLANs über Switchverbindung betroffen | Trunk | | Broadcasts legen Netz lahm | Loop, STP, Broadcast-Sturm | | lokale IP erreichbar, aber MAC ändert sich ständig | doppelte IP oder ARP-Spoofing | | gleiches Subnetz, aber keine lokale Kommunikation | VLAN, ARP, Firewall, Switchport | | DHCP nur in einem VLAN defekt | VLAN, DHCP-Relay, DHCP-Scope | | Gerät bekommt falschen DHCP-Bereich | falsches VLAN | --- **IHK-sichere Kurzformulierung** Die OSI-Schicht 2 ist die Sicherungsschicht. Sie organisiert die lokale Kommunikation im Netzwerksegment. Ethernet nutzt Frames, die unter anderem Quell- und Ziel-MAC-Adressen enthalten. Ein Switch arbeitet hauptsächlich auf Schicht 2 und leitet Frames anhand seiner MAC-Adresstabelle weiter. Diese Tabelle lernt er aus den Quell-MAC-Adressen eingehender Frames. Ist die Ziel-MAC unbekannt, wird der Frame im VLAN geflutet. VLANs trennen ein physisches Netzwerk logisch in mehrere Broadcast-Domänen. Access-Ports gehören meist zu einem VLAN, Trunk-Ports transportieren mehrere VLANs mit VLAN-Tagging nach IEEE 802.1Q. ARP löst im lokalen IPv4-Netz IP-Adressen in MAC-Adressen auf. --- **Merksätze** Schicht 2 ist die Sicherungsschicht. Schicht 2 arbeitet mit Frames. Ethernet nutzt Frames. MAC-Adresse gehört zu Schicht 2. Switches arbeiten hauptsächlich auf Schicht 2. Switches leiten anhand von MAC-Adressen weiter. Switch lernt aus Quell-MAC-Adressen. Bekannte Ziel-MAC: gezielte Weiterleitung. Unbekannte Ziel-MAC: Flooding. Broadcast erreicht alle Geräte im gleichen VLAN. VLANs trennen Broadcast-Domänen. VLAN ist Layer 2. Subnetz ist Layer 3. VLAN und Subnetz sind nicht dasselbe. Access-Port = ein VLAN. Trunk-Port = mehrere VLANs. 802.1Q markiert VLAN-Frames. Access meist untagged. Trunk meist tagged. VLAN trennt. Firewall kontrolliert. Inter-VLAN-Kommunikation braucht Routing. ARP löst IPv4 zu MAC auf. ARP arbeitet lokal. ARP Request ist Broadcast. ARP Reply liefert die MAC-Adresse. Gleiches Subnetz: MAC des Zielhosts. Anderes Subnetz: MAC des Gateways. IP zeigt zum Endziel. MAC zeigt zum nächsten lokalen Hop. STP verhindert Layer-2-Schleifen. Broadcast-Sturm kann ein Netz lahmlegen. Port Security kontrolliert MAC-Adressen. 802.1X prüft Netzzugang. Falsches VLAN führt oft zu falscher IP-Konfiguration. Mehrere VLANs betroffen: Trunk prüfen. Nur ein Port betroffen: Port, VLAN, Kabel und Endgerät prüfen. # 20.4 Trainer – Schicht 3 / IPv4, Subnetze, Routing, Gateway und ICMP **Trainer – IPv4, Subnetze, Routing, Gateway und ICMP** Diese Trainer-Seite wiederholt die OSI-Schicht 3, IPv4-Adressen, Subnetze, Routing, Gateway und ICMP. Ziel ist, typische Prüfungsfragen zu IP-Konfiguration, Subnetting, Gateway-Fehlern, Routing und Ping/Traceroute sicher zu lösen. Merksatz: Schicht 3 fragt: Findet das Paket den Weg ins richtige Zielnetz? --- **Lernziele** Nach dieser Seite solltest du sicher können: - OSI-Schicht 3 einordnen - IPv4-Adresse, Subnetzmaske Gateway und DNS unterscheiden - Netzadresse und Broadcastadresse bestimmen - nutzbare Hostadressen erkennen - Gateway-Fehler erkennen - Routing erklären - ICMP, ping und traceroute einordnen - typische Schicht-3-Fehlerbilder lösen --- **Kurzüberblick: OSI-Schicht 3** OSI-Schicht 3 heißt: Vermittlungsschicht oder: Netzwerkschicht Aufgabe: logische Adressierung Routing zwischen Netzen Weiterleitung von IP-Paketen Typische Begriffe: IPv4 IPv6 IP-Adresse Subnetzmaske Präfix Netzadresse Broadcastadresse Gateway Router Routing-Tabelle ICMP ping traceroute Merksatz: Schicht 3 arbeitet mit IP-Adressen und Routing. --- **Kurzüberblick: Schicht 2 und Schicht 3** | Thema | Schicht | Zweck | |---|---:|---| | MAC-Adresse | 2 | lokale Zustellung | | Ethernet-Frame | 2 | lokale Übertragung | | IP-Adresse | 3 | logische Adressierung | | Subnetzmaske | 3 | Netz- und Hostanteil trennen | | Gateway | 3 | Weg in andere Netze | | Router | 3 | Netze verbinden | | ICMP | 3 | Diagnose und Fehlermeldungen | Merksatz: MAC bringt lokal zum nächsten Hop. IP beschreibt das logische Ziel. --- **Aufgabe 1** Wie heißt OSI-Schicht 3?
Antwort anzeigen OSI-Schicht 3 heißt: Vermittlungsschicht oder: Netzwerkschicht Englisch: Network Layer Aufgabe: logische Adressierung und Routing zwischen IP-Netzen. Merksatz: Schicht 3 = IP und Routing.
--- **Aufgabe 2** Welche Adresse gehört zu OSI-Schicht 3? A: MAC-Adresse B: IP-Adresse C: Portnummer D: URL
Antwort anzeigen Richtig ist: B: IP-Adresse Begründung: IP-Adressen gehören zur OSI-Schicht 3 und dienen der logischen Adressierung in Netzwerken. Merksatz: IP-Adresse = Schicht 3.
--- **Aufgabe 3** Was ist die Aufgabe einer IPv4-Adresse?
Antwort anzeigen Eine IPv4-Adresse identifiziert einen Host logisch in einem IP-Netz. Sie wird verwendet, damit Pakete zu einem bestimmten Zielsystem gesendet werden können. Beispiel: 192.168.1.50 Merksatz: IP-Adresse = logische Adresse eines Hosts.
--- **Aufgabe 4** Wie viele Bit hat eine IPv4-Adresse?
Antwort anzeigen Eine IPv4-Adresse hat: 32 Bit Sie besteht aus: 4 Oktetten Jedes Oktett hat: 8 Bit Beispiel: 192.168.1.10 Merksatz: IPv4 = 32 Bit = 4 Oktette.
--- **Aufgabe 5** Was bedeutet die Schreibweise /24?
Antwort anzeigen Die Schreibweise /24 bedeutet: 24 Bit gehören zum Netzanteil. Da IPv4 insgesamt 32 Bit hat: 32 - 24 = 8 Hostbits Merksatz: Präfix = Anzahl der Netzbits.
--- **Aufgabe 6** Welche Subnetzmaske gehört zu /24?
Antwort anzeigen Zu /24 gehört: 255.255.255.0 Begründung: Die ersten 24 Bit sind Netzbits. Das entspricht drei vollständigen Oktetten mit 255. Merksatz: /24 = 255.255.255.0.
--- **Aufgabe 7** Welche Subnetzmaske gehört zu /26?
Antwort anzeigen Zu /26 gehört: 255.255.255.192 Begründung: /26 bedeutet: 26 Netzbits. 24 Bit sind: 255.255.255.0 zusätzlich 2 Netzbits im letzten Oktett: 11000000 = 192 Merksatz: /26 = 255.255.255.192.
--- **Aufgabe 8** Wie viele nutzbare Hosts hat ein /26-Netz?
Antwort anzeigen Berechnung: Hostbits = 32 - 26 = 6 Gesamtadressen = 2 hoch 6 = 64 nutzbare Hosts = 64 - 2 = 62 Antwort: 62 nutzbare Hosts Merksatz: nutzbare Hosts = 2 hoch Hostbits minus 2.
--- **Aufgabe 9** Wie viele nutzbare Hosts hat ein /27-Netz?
Antwort anzeigen Berechnung: Hostbits = 32 - 27 = 5 Gesamtadressen = 2 hoch 5 = 32 nutzbare Hosts = 32 - 2 = 30 Antwort: 30 nutzbare Hosts Merksatz: /27 hat 30 nutzbare Hosts.
--- **Aufgabe 10** Welche Aussage ist richtig? A: Je größer der Präfix, desto größer das Netz. B: Je größer der Präfix, desto kleiner das Netz. C: /27 ist größer als /24. D: /30 hat mehr Hosts als /24.
Antwort anzeigen Richtig ist: B: Je größer der Präfix, desto kleiner das Netz. Begründung: Ein größerer Präfix bedeutet mehr Netzbits und weniger Hostbits. Merksatz: Präfix größer: Netz kleiner.
--- **Aufgabe 11** Bestimme Hostbits und nutzbare Hosts. | Präfix | Hostbits | nutzbare Hosts | |---|---:|---:| | /24 | ? | ? | | /25 | ? | ? | | /26 | ? | ? | | /27 | ? | ? |
Antwort anzeigen | Präfix | Hostbits | nutzbare Hosts | |---|---:|---:| | /24 | 8 | 254 | | /25 | 7 | 126 | | /26 | 6 | 62 | | /27 | 5 | 30 | Merksatz: Von /24 zu /25 halbiert sich die Adressanzahl. Von /25 zu /26 halbiert sie sich wieder.
--- **Aufgabe 12** Was ist die Netzadresse?
Antwort anzeigen Die Netzadresse ist die erste Adresse eines Subnetzes. Sie bezeichnet das Netz selbst und wird nicht als normale Hostadresse verwendet. Beispiel: 192.168.1.0/24 Netzadresse: 192.168.1.0 Merksatz: Netzadresse = erste Adresse im Subnetz.
--- **Aufgabe 13** Was ist die Broadcastadresse?
Antwort anzeigen Die Broadcastadresse ist die letzte Adresse eines IPv4-Subnetzes. Sie dient dazu, alle Hosts in diesem Subnetz zu erreichen. Beispiel: 192.168.1.0/24 Broadcastadresse: 192.168.1.255 Merksatz: Broadcastadresse = letzte Adresse im Subnetz.
--- **Aufgabe 14** Welche Adressen sind in einem normalen IPv4-Subnetz nicht als Hostadresse nutzbar?
Antwort anzeigen Nicht als normale Hostadressen nutzbar sind: Netzadresse Broadcastadresse Begründung: Die Netzadresse bezeichnet das Subnetz selbst. Die Broadcastadresse adressiert alle Hosts im Subnetz. Merksatz: Erste und letzte Adresse sind nicht für Hosts.
--- **Aufgabe 15** Bestimme die Daten für: 192.168.1.70/26 | Wert | Ergebnis | |---|---| | Netzadresse | ? | | erste nutzbare Adresse | ? | | letzte nutzbare Adresse | ? | | Broadcastadresse | ? | | nutzbare Hosts | ? |
Antwort anzeigen Bei /26 gilt: Blockgröße 64 Subnetzbereiche: 192.168.1.0 bis 192.168.1.63 192.168.1.64 bis 192.168.1.127 192.168.1.128 bis 192.168.1.191 192.168.1.192 bis 192.168.1.255 Die Adresse 192.168.1.70 liegt im Bereich: 192.168.1.64 bis 192.168.1.127 | Wert | Ergebnis | |---|---| | Netzadresse | 192.168.1.64 | | erste nutzbare Adresse | 192.168.1.65 | | letzte nutzbare Adresse | 192.168.1.126 | | Broadcastadresse | 192.168.1.127 | | nutzbare Hosts | 62 | Merksatz: IP liegt immer in genau einem Subnetzbereich.
--- **Aufgabe 16** Bestimme die Daten für: 10.0.5.200/27 | Wert | Ergebnis | |---|---| | Netzadresse | ? | | erste nutzbare Adresse | ? | | letzte nutzbare Adresse | ? | | Broadcastadresse | ? |
Antwort anzeigen Bei /27 gilt: Blockgröße 32 Bereiche im letzten Oktett: 0 bis 31 32 bis 63 64 bis 95 96 bis 127 128 bis 159 160 bis 191 192 bis 223 224 bis 255 Die Adresse 200 liegt im Bereich: 192 bis 223 | Wert | Ergebnis | |---|---| | Netzadresse | 10.0.5.192 | | erste nutzbare Adresse | 10.0.5.193 | | letzte nutzbare Adresse | 10.0.5.222 | | Broadcastadresse | 10.0.5.223 | Merksatz: /27 springt in 32er-Schritten.
--- **Aufgabe 17** Was ist die Blockgröße bei /28?
Antwort anzeigen Zu /28 gehört die Maske: 255.255.255.240 Blockgröße: 256 - 240 = 16 Antwort: 16 Merksatz: /28 springt in 16er-Schritten.
--- **Aufgabe 18** Welche kleinste Netzgröße reicht für mindestens 50 Hosts? A: /27 B: /26 C: /28 D: /30
Antwort anzeigen Richtig ist: B: /26 Begründung: /27 hat 30 nutzbare Hosts. Das reicht nicht. /26 hat 62 nutzbare Hosts. Das reicht. Merksatz: Immer das kleinste passende Subnetz wählen.
--- **Aufgabe 19** Welche kleinste Netzgröße reicht für mindestens 100 Hosts?
Antwort anzeigen Prüfung: /26 = 62 nutzbare Hosts /25 = 126 nutzbare Hosts /24 = 254 nutzbare Hosts Ergebnis: /25 Begründung: /26 reicht nicht, /25 reicht. Merksatz: Bedarf prüfen, dann kleinstes passendes Netz wählen.
--- **Aufgabe 20** Liegen diese beiden IP-Adressen im gleichen /24-Netz? 192.168.10.20/24 192.168.10.200/24
Antwort anzeigen Ja. Bei /24 ist das Netz: 192.168.10.0/24 Nutzbarer Bereich: 192.168.10.1 bis 192.168.10.254 Beide Adressen liegen im gleichen Netz. Merksatz: Gleiches /24: gleiche ersten drei Oktette.
--- **Aufgabe 21** Liegen diese beiden IP-Adressen im gleichen /24-Netz? 192.168.10.20/24 192.168.11.20/24
Antwort anzeigen Nein. Erste Adresse liegt im Netz: 192.168.10.0/24 Zweite Adresse liegt im Netz: 192.168.11.0/24 Merksatz: Bei /24 entscheidet das dritte Oktett über das Netz.
--- **Aufgabe 22** Liegen diese beiden IP-Adressen im gleichen /26-Netz? 192.168.1.70/26 192.168.1.100/26
Antwort anzeigen Ja. Bei /26 gilt Blockgröße 64. Bereich: 192.168.1.64 bis 192.168.1.127 Beide Adressen liegen in diesem Bereich. Merksatz: /26-Bereiche: 0-63, 64-127, 128-191, 192-255.
--- **Aufgabe 23** Liegen diese beiden IP-Adressen im gleichen /26-Netz? 192.168.1.70/26 192.168.1.130/26
Antwort anzeigen Nein. 192.168.1.70 liegt im Bereich: 192.168.1.64 bis 192.168.1.127 192.168.1.130 liegt im Bereich: 192.168.1.128 bis 192.168.1.191 Merksatz: Unterschiedliche Subnetzbereiche brauchen Routing.
--- **Aufgabe 24** Was ist ein Standardgateway?
Antwort anzeigen Das Standardgateway ist der Router, über den ein Host Ziele außerhalb seines eigenen Subnetzes erreicht. Ohne korrektes Gateway kann ein Client normalerweise nur lokal kommunizieren. Merksatz: Gateway = Ausgang in andere Netze.
--- **Aufgabe 25** Warum muss das Gateway im lokalen Subnetz des Clients liegen?
Antwort anzeigen Das Gateway muss lokal erreichbar sein, damit der Client sein Ethernet-Frame an die MAC-Adresse des Gateways senden kann. Wenn das Gateway außerhalb des lokalen Subnetzes liegt, kann der Client es nicht direkt erreichen. Merksatz: Gateway muss für den Client lokal erreichbar sein.
--- **Aufgabe 26** Prüfe die Konfiguration: Client: 192.168.10.50/24 Gateway: 192.168.20.1 Ist das korrekt?
Antwort anzeigen Nein. Client-Netz: 192.168.10.0/24 Gateway liegt im Netz: 192.168.20.0/24 Das Gateway liegt nicht im lokalen Subnetz des Clients. Merksatz: Gateway außerhalb des Subnetzes ist falsch.
--- **Aufgabe 27** Ein Client erreicht andere Geräte im gleichen Netz, aber nicht das Internet. Was ist wahrscheinlich?
Antwort anzeigen Wahrscheinliche Ursachen: Gateway fehlt Gateway falsch Routingproblem NAT fehlt oder fehlerhaft Firewall blockiert DNS zusätzlich bei Zugriff über Namen Erste Prüfung: Standardgateway Merksatz: Lokal ja, extern nein: Gateway, Routing, NAT oder Firewall prüfen.
--- **Aufgabe 28** Was ist Routing?
Antwort anzeigen Routing bedeutet: Weiterleitung von IP-Paketen zwischen verschiedenen IP-Netzen. Ein Router nutzt seine Routing-Tabelle, um den nächsten Hop oder das Ausgangsinterface zu bestimmen. Merksatz: Routing verbindet IP-Netze.
--- **Aufgabe 29** Was enthält eine Routing-Tabelle typischerweise?
Antwort anzeigen Eine Routing-Tabelle enthält typischerweise: Zielnetz Präfix oder Netzmaske Next Hop Interface Metrik Merksatz: Routing-Tabelle bestimmt den nächsten Weg.
--- **Aufgabe 30** Was ist eine Standardroute?
Antwort anzeigen Eine Standardroute ist die Route für alle Ziele, für die keine spezifischere Route existiert. IPv4-Schreibweise: 0.0.0.0/0 Typisch: Weg zum Internetrouter Merksatz: Standardroute = Weg für unbekannte Ziele.
--- **Aufgabe 31** Was bedeutet: „Die spezifischste Route gewinnt“?
Antwort anzeigen Wenn mehrere Routen zu einem Ziel passen, wird die Route mit dem längsten passenden Präfix verwendet. Beispiel: 192.168.10.0/24 ist spezifischer als: 192.168.0.0/16 Merksatz: Längster passender Präfix gewinnt.
--- **Aufgabe 32** Was ist ICMP?
Antwort anzeigen ICMP steht für: Internet Control Message Protocol Aufgabe: Kontroll- Fehler- und Diagnosemeldungen im IP-Netz Typische Nutzung: ping traceroute Merksatz: ICMP hilft bei Diagnose auf Schicht 3.
--- **Aufgabe 33** Was prüft ping?
Antwort anzeigen ping prüft, ob ein Ziel per ICMP Echo Request und Echo Reply erreichbar ist. Wichtig: ping prüft nicht, ob ein bestimmter Dienst wie HTTPS, SSH oder SMB funktioniert. Merksatz: ping prüft ICMP-Erreichbarkeit, nicht den Dienst.
--- **Aufgabe 34** Ping auf eine IP-Adresse funktioniert, aber ping auf den Namen nicht. Was ist wahrscheinlich?
Antwort anzeigen Wahrscheinlich: DNS-Problem Begründung: Die IP-Kommunikation funktioniert, aber der Name wird nicht korrekt aufgelöst. Merksatz: IP ja, Name nein: DNS.
--- **Aufgabe 35** Ping funktioniert, aber die Webseite über HTTPS funktioniert nicht. Was ist wahrscheinlich?
Antwort anzeigen Ping prüft nur ICMP. Mögliche Ursachen: TCP 443 blockiert Webserver läuft nicht Firewall blockiert TLS-Problem Reverse Proxy fehlerhaft Anwendung defekt Merksatz: Ping erfolgreich heißt nicht, dass HTTPS funktioniert.
--- **Aufgabe 36** Was zeigt traceroute oder tracert?
Antwort anzeigen traceroute oder tracert zeigt den Weg zum Ziel über Router. Es zeigt typischerweise: Hops Antwortzeiten mögliche Unterbrechungen Wichtig: Nicht jeder Router antwortet. Sternchen bedeuten nicht automatisch, dass der gesamte Weg defekt ist. Merksatz: traceroute zeigt den Weg, muss aber interpretiert werden.
--- **Aufgabe 37** Was bedeutet eine Adresse aus 169.254.0.0/16?
Antwort anzeigen Das ist eine APIPA-Adresse. Bedeutung: Der Client hat wahrscheinlich keine gültige IP-Adresse per DHCP erhalten und sich selbst eine automatische Adresse gegeben. Merksatz: 169.254.x.x: DHCP nicht erreicht.
--- **Aufgabe 38** Welche privaten IPv4-Bereiche gibt es?
Antwort anzeigen Private IPv4-Bereiche: | Bereich | CIDR | |---|---| | 10.0.0.0 bis 10.255.255.255 | 10.0.0.0/8 | | 172.16.0.0 bis 172.31.255.255 | 172.16.0.0/12 | | 192.168.0.0 bis 192.168.255.255 | 192.168.0.0/16 | Merksatz: Private IPv4-Adressen werden im Internet nicht direkt geroutet.
--- **Aufgabe 39** Welche Antwort ist besser? Aufgabe: Ein Client erreicht lokale Geräte, aber keine externen Netze. Nennen Sie eine wahrscheinliche Ursache. Antwort A: DNS ist immer kaputt. Antwort B: Wahrscheinlich fehlt das Standardgateway oder es ist falsch konfiguriert, weil lokale Kommunikation funktioniert, externe Netze aber nicht erreichbar sind.
Antwort anzeigen B ist besser. Begründung: Die Antwort leitet die Ursache aus dem Fehlerbild ab. Wichtig: DNS kann zusätzlich betroffen sein, wenn nur Namen nicht funktionieren. Wenn aber externe IP-Ziele nicht erreichbar sind, sind Gateway, Routing, NAT oder Firewall wahrscheinlicher. Merksatz: Fehlerbild genau lesen.
--- **Aufgabe 40** Welche Antwort ist besser? Aufgabe: Warum ersetzt ping keinen vollständigen Diensttest? Antwort A: Weil ping alt ist. Antwort B: ping prüft nur ICMP-Erreichbarkeit. Ein Dienst wie HTTPS, SSH oder SMB kann trotzdem blockiert, gestoppt oder falsch konfiguriert sein.
Antwort anzeigen B ist besser. Begründung: Die Antwort erklärt fachlich, was ping prüft und was ping nicht prüft. Merksatz: ping prüft Host-Erreichbarkeit, nicht Dienstfunktion.
--- **Mini-Prüfung: schnelle Zuordnung** | Frage | Antwort | |---|---| | Welche OSI-Schicht ist IP? | Schicht 3 | | Welche OSI-Schicht ist Routing? | Schicht 3 | | Welche OSI-Schicht ist ICMP? | Schicht 3 | | Wie viele Bit hat IPv4? | 32 Bit | | Was bedeutet /24? | 24 Netzbits | | Welche Maske hat /24? | 255.255.255.0 | | Welche Maske hat /26? | 255.255.255.192 | | Wie viele nutzbare Hosts hat /26? | 62 | | Was ist die Netzadresse? | erste Adresse im Subnetz | | Was ist die Broadcastadresse? | letzte Adresse im Subnetz | | Was ist das Gateway? | Router in andere Netze | | Was ist 0.0.0.0/0? | Standardroute | --- **Mini-Prüfung: Fehlerbild erkennen** | Fehlerbild | Wahrscheinlichstes Thema | |---|---| | 169.254.x.x | DHCP nicht erreicht | | lokale Geräte erreichbar, Internet nicht | Gateway, Routing, NAT, Firewall | | IP erreichbar, Name nicht | DNS | | ping geht, HTTPS nicht | Port, Dienst, Firewall, TLS, Anwendung | | Gateway außerhalb des Subnetzes | falsche IP-Konfiguration | | anderes Subnetz nicht erreichbar | Routing oder Firewall | | traceroute endet früh | Routing, Firewall oder Provider | | Broadcastadresse als Host eingetragen | falsche IP-Konfiguration | | Netzadresse als Host eingetragen | falsche IP-Konfiguration | | Rückantwort kommt nicht an | Rückroute, Gateway oder Firewall | --- **IHK-sichere Kurzformulierung** Die OSI-Schicht 3 ist die Vermittlungs- oder Netzwerkschicht. Sie ist für logische Adressierung und Routing zwischen IP-Netzen zuständig. IPv4-Adressen haben 32 Bit und werden mit einer Subnetzmaske oder einem Präfix in Netz- und Hostanteil aufgeteilt. Die Netzadresse ist die erste Adresse eines Subnetzes, die Broadcastadresse die letzte Adresse. Beide werden in normalen IPv4-Subnetzen nicht als Hostadressen verwendet. Das Standardgateway ist der Router, über den ein Client andere Netze erreicht und muss im lokalen Subnetz erreichbar sein. ICMP dient Kontroll- und Diagnosemeldungen, zum Beispiel bei ping oder traceroute. ping prüft ICMP-Erreichbarkeit, ersetzt aber keinen Port- oder Diensttest. --- **Merksätze** Schicht 3 ist die Vermittlungsschicht. Schicht 3 arbeitet mit IP-Adressen. Routing verbindet IP-Netze. IPv4 hat 32 Bit. Präfix = Netzbits. Hostbits = 32 minus Präfix. Nutzbare Hosts = 2 hoch Hostbits minus 2. Netzadresse = erste Adresse im Subnetz. Broadcastadresse = letzte Adresse im Subnetz. Netzadresse nicht als Host verwenden. Broadcastadresse nicht als Host verwenden. Erste nutzbare Adresse = Netzadresse + 1. Letzte nutzbare Adresse = Broadcastadresse - 1. Präfix größer: Netz kleiner. Präfix kleiner: Netz größer. /24 hat 254 nutzbare Hosts. /25 hat 126 nutzbare Hosts. /26 hat 62 nutzbare Hosts. /27 hat 30 nutzbare Hosts. /28 hat 14 nutzbare Hosts. Gateway = Ausgang in andere Netze. Gateway muss im lokalen Subnetz liegen. Standardroute = 0.0.0.0/0. Spezifischste Route gewinnt. ICMP gehört zu Schicht 3. ping prüft ICMP. ping ist kein Diensttest. traceroute zeigt den Weg über Router. IP ja, Name nein: DNS. Lokal ja, extern nein: Gateway, Routing, NAT oder Firewall. 169.254.x.x: DHCP nicht erreicht. Rückroute nicht vergessen. # 20.5 Trainer - Schicht 4 / TCP, UDP, Ports und Schicht 4 Diese Trainer-Seite wiederholt die OSI-Schicht 4, TCP, UDP, Ports und typische Fehlerbilder auf der Transportschicht. Ziel ist, Prüfungsfragen zu zuverlässiger Übertragung, verbindungsloser Übertragung, Portnummern, Dienstzuordnung und Firewall-Fehlersuche sicher zu beantworten. Merksatz: Schicht 4 fragt: Ist der richtige Dienst über den richtigen Port erreichbar? --- **Lernziele** Nach dieser Seite solltest du sicher können: - OSI-Schicht 4 einordnen - TCP und UDP unterscheiden - Ports erklären - Quellport und Zielport unterscheiden - wichtige Standardports nennen - TCP-Verbindungsaufbau erklären - typische TCP-Status einordnen - Portprobleme erkennen - erklären, warum ping keinen Porttest ersetzt --- **Kurzüberblick: OSI-Schicht 4** OSI-Schicht 4 heißt: Transportschicht Aufgabe: Ende-zu-Ende-Kommunikation zwischen Anwendungen ermöglichen. Typische Begriffe: TCP UDP Port Segment Datagramm Verbindungsaufbau Three-Way Handshake LISTEN ESTABLISHED Merksatz: Schicht 4 ordnet Netzwerkverkehr dem richtigen Dienst zu. --- **TCP kurz erklärt** TCP steht für: Transmission Control Protocol Eigenschaften: verbindungsorientiert zuverlässig bestätigt Daten stellt Reihenfolge sicher sendet verlorene Daten erneut nutzt Ports Typische Dienste: HTTPS SSH SMTP IMAP SMB RDP Merksatz: TCP = zuverlässig und verbindungsorientiert. --- **UDP kurz erklärt** UDP steht für: User Datagram Protocol Eigenschaften: verbindungslos schnell wenig Overhead keine eingebaute Zustellgarantie keine eingebaute Reihenfolgegarantie nutzt Ports Typische Dienste: DNS DHCP NTP SNMP VoIP Streaming Merksatz: UDP = schnell, schlank und verbindungslos. --- **Aufgabe 1** Wie heißt OSI-Schicht 4?
Antwort anzeigen OSI-Schicht 4 heißt: Transportschicht Englisch: Transport Layer Aufgabe: Kommunikation zwischen Anwendungen oder Prozessen über Ports ermöglichen. Merksatz: Schicht 4 = TCP, UDP und Ports.
--- **Aufgabe 2** Welche Protokolle gehören typisch zu OSI-Schicht 4? A: TCP und UDP B: IP und ICMP C: Ethernet und ARP D: HTTP und DNS
Antwort anzeigen Richtig ist: A: TCP und UDP Begründung: TCP und UDP sind Transportprotokolle und gehören zur OSI-Schicht 4. Merksatz: TCP und UDP = Transportschicht.
--- **Aufgabe 3** Was ist ein Port?
Antwort anzeigen Ein Port ist eine logische Nummer, mit der ein Dienst oder Prozess auf einem Host angesprochen wird. Beispiel: 192.168.1.10:443 Bedeutung: Host: 192.168.1.10 Dienst: Port 443 Merksatz: IP findet den Host. Port findet den Dienst.
--- **Aufgabe 4** Welche OSI-Schicht ist für Portnummern zuständig?
Antwort anzeigen Portnummern gehören zu: OSI-Schicht 4 Begründung: Ports werden von TCP und UDP genutzt, um Daten dem richtigen Dienst oder Prozess zuzuordnen. Merksatz: Ports = Schicht 4.
--- **Aufgabe 5** Was ist der Unterschied zwischen IP-Adresse und Port?
Antwort anzeigen IP-Adresse: identifiziert den Host logisch im Netzwerk Port: identifiziert den Dienst oder Prozess auf diesem Host Beispiel: 192.168.1.10:22 192.168.1.10 = Host 22 = SSH-Dienst Merksatz: IP = welcher Rechner? Port = welcher Dienst?
--- **Aufgabe 6** Was ist der Unterschied zwischen Quellport und Zielport?
Antwort anzeigen Quellport: Port auf dem sendenden System beim Client oft dynamisch Zielport: Port des angesprochenen Dienstes auf dem Server Beispiel: Client: 192.168.1.50:52344 Server: 93.184.216.34:443 Hier ist 52344 der Quellport und 443 der Zielport. Merksatz: Zielport zeigt meistens den Dienst.
--- **Aufgabe 7** Welche Aussage ist richtig? A: TCP ist verbindungslos. B: UDP garantiert die Reihenfolge der Pakete. C: TCP ist verbindungsorientiert und zuverlässig. D: Ports gehören zu OSI-Schicht 3.
Antwort anzeigen Richtig ist: C: TCP ist verbindungsorientiert und zuverlässig. Begründung: TCP baut eine Verbindung auf, bestätigt Daten und kann verlorene Daten erneut übertragen. Merksatz: TCP = zuverlässig.
--- **Aufgabe 8** Welche Aussage ist richtig? A: UDP ist immer besser als TCP. B: UDP ist verbindungslos und hat wenig Overhead. C: UDP baut immer einen Three-Way Handshake auf. D: UDP nutzt keine Ports.
Antwort anzeigen Richtig ist: B: UDP ist verbindungslos und hat wenig Overhead. Begründung: UDP verzichtet auf einen Verbindungsaufbau und auf eingebaute Zustellgarantien. Dadurch ist es schlanker und schneller, aber weniger zuverlässig als TCP. Merksatz: UDP = verbindungslos und schlank.
--- **Aufgabe 9** Vergleiche TCP und UDP. | Merkmal | TCP | UDP | |---|---|---| | Verbindung | ? | ? | | Zuverlässigkeit | ? | ? | | Overhead | ? | ? | | Beispiel | ? | ? |
Antwort anzeigen | Merkmal | TCP | UDP | |---|---|---| | Verbindung | verbindungsorientiert | verbindungslos | | Zuverlässigkeit | eingebaut | keine eingebaute Garantie | | Overhead | höher | geringer | | Beispiel | HTTPS, SSH, SMB | DNS, DHCP, VoIP | Merksatz: TCP für zuverlässige Übertragung. UDP für schnelle und schlanke Kommunikation.
--- **Aufgabe 10** Was ist der TCP Three-Way Handshake?
Antwort anzeigen Der TCP Three-Way Handshake ist der Verbindungsaufbau bei TCP. Ablauf: 1. SYN 2. SYN-ACK 3. ACK Bedeutung: Client fragt Verbindung an. Server bestätigt und antwortet. Client bestätigt die Verbindung. Merksatz: TCP startet mit SYN, SYN-ACK, ACK.
--- **Aufgabe 11** Warum hat TCP mehr Overhead als UDP?
Antwort anzeigen TCP hat mehr Overhead, weil es zusätzliche Funktionen bietet. Dazu gehören: Verbindungsaufbau Bestätigungen Sequenznummern erneute Übertragung Reihenfolgeprüfung Flusskontrolle Merksatz: TCP ist aufwendiger, weil es Zuverlässigkeit bietet.
--- **Aufgabe 12** Warum wird UDP häufig für DNS verwendet?
Antwort anzeigen DNS-Anfragen sind oft klein und sollen schnell beantwortet werden. UDP ist dafür geeignet, weil es wenig Overhead hat und keinen TCP-Verbindungsaufbau benötigt. Wichtig: DNS kann bei Bedarf auch TCP 53 nutzen. Merksatz: DNS nutzt häufig UDP 53, aber TCP 53 nicht vergessen.
--- **Aufgabe 13** Warum eignet sich UDP für VoIP?
Antwort anzeigen Bei VoIP ist geringe Verzögerung wichtig. Ein verlorenes Sprachpaket ist meist weniger schlimm als eine stark verspätete Übertragung. UDP ist dafür geeignet, weil es schnell und verbindungslos arbeitet. Merksatz: VoIP braucht geringe Latenz, daher ist UDP sinnvoll.
--- **Aufgabe 14** Ordne zu. | Dienst | TCP oder UDP? | Port | |---|---|---:| | SSH | ? | ? | | HTTPS | ? | ? | | DNS | ? | ? | | DHCP Server | ? | ? | | RDP | ? | ? | | SMB | ? | ? |
Antwort anzeigen | Dienst | TCP oder UDP? | Port | |---|---|---:| | SSH | TCP | 22 | | HTTPS | TCP | 443 | | DNS | UDP/TCP | 53 | | DHCP Server | UDP | 67 | | RDP | TCP | 3389 | | SMB | TCP | 445 | Merksatz: Portnummer immer mit TCP oder UDP lernen.
--- **Aufgabe 15** Welchen Port nutzt SSH typischerweise?
Antwort anzeigen SSH nutzt typischerweise: TCP 22 SSH steht für: Secure Shell Merksatz: SSH = TCP 22.
--- **Aufgabe 16** Welchen Port nutzt HTTPS typischerweise?
Antwort anzeigen HTTPS nutzt typischerweise: TCP 443 HTTPS bedeutet: HTTP über TLS Merksatz: HTTPS = TCP 443.
--- **Aufgabe 17** Welche Ports nutzt DHCP?
Antwort anzeigen DHCP nutzt: UDP 67 für den DHCP-Server UDP 68 für den DHCP-Client Merksatz: DHCP = UDP 67 und 68.
--- **Aufgabe 18** Welchen Port nutzt DNS?
Antwort anzeigen DNS nutzt: UDP 53 und bei Bedarf: TCP 53 Merksatz: DNS = UDP/TCP 53.
--- **Aufgabe 19** Welchen Port nutzt SMB typischerweise?
Antwort anzeigen SMB nutzt typischerweise: TCP 445 SMB wird genutzt für: Datei- und Druckfreigaben Netzlaufwerke Merksatz: SMB = TCP 445.
--- **Aufgabe 20** Welchen Port nutzt RDP typischerweise?
Antwort anzeigen RDP nutzt typischerweise: TCP 3389 RDP steht für: Remote Desktop Protocol Merksatz: RDP = TCP 3389.
--- **Aufgabe 21** Was bedeutet LISTEN bei TCP?
Antwort anzeigen LISTEN bedeutet: Ein Dienst wartet auf eingehende Verbindungen. Beispiel: Ein Webserver lauscht auf TCP 443. Merksatz: LISTEN = Dienst wartet auf Verbindung.
--- **Aufgabe 22** Was bedeutet ESTABLISHED bei TCP?
Antwort anzeigen ESTABLISHED bedeutet: Eine TCP-Verbindung besteht. Client und Server haben eine aktive Verbindung aufgebaut. Merksatz: ESTABLISHED = Verbindung besteht.
--- **Aufgabe 23** Was bedeutet SYN_SENT?
Antwort anzeigen SYN_SENT bedeutet: Der Client hat einen Verbindungsaufbau gestartet und wartet auf eine Antwort. Mögliche Ursache, wenn es hängen bleibt: Ziel antwortet nicht Firewall blockiert Dienst läuft nicht Routingproblem Merksatz: SYN_SENT hängt oft bei fehlender Antwort.
--- **Aufgabe 24** Ein Host ist per ping erreichbar, aber SSH funktioniert nicht. Was ist wahrscheinlich?
Antwort anzeigen Ping prüft ICMP. SSH nutzt TCP 22. Mögliche Ursachen: TCP 22 blockiert SSH-Dienst läuft nicht SSH lauscht auf anderem Port Firewall blockiert Zugriff nur aus bestimmten Netzen erlaubt Benutzer oder Schlüssel falsch Merksatz: Host erreichbar heißt nicht, dass der Dienst erreichbar ist.
--- **Aufgabe 25** Ein Webserver antwortet nicht auf HTTPS, ping funktioniert aber. Was sollte geprüft werden?
Antwort anzeigen Zu prüfen: TCP 443 erreichbar? Webserver läuft? Dienst lauscht auf Port 443? Firewall erlaubt TCP 443? Reverse Proxy korrekt? TLS-Zertifikat korrekt? Anwendung fehlerfrei? Merksatz: ping geht, HTTPS nicht: TCP 443, Dienst und Firewall prüfen.
--- **Aufgabe 26** Warum ersetzt ping keinen Porttest?
Antwort anzeigen ping prüft ICMP-Erreichbarkeit. ping prüft nicht: TCP 22 TCP 443 TCP 445 UDP 53 Dienststatus Anmeldung Rechte Anwendung Merksatz: ping prüft Host-Erreichbarkeit, nicht Dienstfunktion.
--- **Aufgabe 27** Welche Angaben braucht man für eine saubere Firewall-Regel?
Antwort anzeigen Eine saubere Firewall-Regel enthält: Quelle Ziel Protokoll Port Richtung Aktion Zweck Beispiel: Quelle: Adminnetz Ziel: Server Protokoll: TCP Port: 22 Aktion: erlauben Zweck: SSH-Administration Merksatz: Firewall-Regeln brauchen Quelle, Ziel, Port und Protokoll.
--- **Aufgabe 28** Warum ist die Angabe „Port 53 erlauben“ ungenau?
Antwort anzeigen Die Angabe ist ungenau, weil nicht klar ist, ob TCP 53, UDP 53 oder beides gemeint ist. Bei DNS ist wichtig: UDP 53 für normale Abfragen TCP 53 für große Antworten, Zonentransfers oder bestimmte Spezialfälle Merksatz: Portnummer ohne TCP oder UDP ist unvollständig.
--- **Aufgabe 29** Was ist ein Well-Known Port?
Antwort anzeigen Well-Known Ports sind bekannte Standardports. Bereich: 0 bis 1023 Beispiele: TCP 22 SSH TCP 80 HTTP TCP 443 HTTPS UDP/TCP 53 DNS Merksatz: Well-Known Ports sind bekannte Dienstports.
--- **Aufgabe 30** Was sind dynamische oder ephemeral Ports?
Antwort anzeigen Dynamische Ports werden häufig von Clients als Quellports verwendet. Bereich: 49152 bis 65535 Beispiel: Client nutzt Quellport 52344 und verbindet sich zu Server TCP 443. Merksatz: Server hat bekannten Zielport. Client nutzt oft dynamischen Quellport.
--- **Aufgabe 31** Ein Client verbindet sich zu einem Webserver. Client: 192.168.1.50:52344 Server: 93.184.216.34:443 Welcher Port zeigt den Webdienst?
Antwort anzeigen Der Webdienst wird durch den Zielport angezeigt: TCP 443 Der Quellport 52344 ist ein dynamischer Clientport. Merksatz: Zielport zeigt den Dienst.
--- **Aufgabe 32** Warum sollte RDP nicht direkt aus dem Internet erreichbar sein?
Antwort anzeigen RDP ist ein häufiges Angriffsziel. Risiken: Brute-Force-Angriffe Credential Stuffing Exploits unberechtigter Fernzugriff Sicherer: VPN RDP-Gateway MFA Firewall-Beschränkung auf bekannte Quellnetze Logging Merksatz: RDP nicht offen ins Internet stellen.
--- **Aufgabe 33** Warum sollte SMB nicht direkt aus dem Internet erreichbar sein?
Antwort anzeigen SMB ist für Datei- und Druckfreigaben gedacht und sollte nicht öffentlich erreichbar sein. Risiken: Datenabfluss Malware-Ausbreitung Brute Force Ausnutzung von Schwachstellen Zugriff auf interne Freigaben Merksatz: SMB gehört nicht offen ins Internet.
--- **Aufgabe 34** Was ist der Unterschied zwischen FTP, FTPS und SFTP?
Antwort anzeigen FTP: klassisches File Transfer Protocol meist TCP 21 unverschlüsselt FTPS: FTP mit TLS-Verschlüsselung SFTP: Dateiübertragung über SSH nutzt TCP 22 Merksatz: FTPS = FTP mit TLS. SFTP = Dateiübertragung über SSH.
--- **Aufgabe 35** Welche Aussage ist richtig? A: SFTP nutzt normalerweise TCP 22. B: SFTP ist dasselbe wie FTPS. C: FTP ist immer verschlüsselt. D: SMB nutzt UDP 53.
Antwort anzeigen Richtig ist: A: SFTP nutzt normalerweise TCP 22. Begründung: SFTP läuft über SSH und nutzt daher typischerweise TCP 22. Merksatz: SFTP gehört zu SSH, nicht zu FTPS.
--- **Aufgabe 36** Ein Dienst ist auf dem Server installiert, aber von außen nicht erreichbar. Welche Schicht-4-Prüfungen sind sinnvoll?
Antwort anzeigen Sinnvolle Prüfungen: Lauscht der Dienst auf dem erwarteten Port? Nutzt er TCP oder UDP? Lauscht er auf der richtigen Schnittstelle? Blockiert die lokale Firewall? Blockiert eine Netzwerkfirewall? Ist NAT oder Portweiterleitung korrekt? Gibt es Logs? Merksatz: Bei Dienstproblemen Port, Protokoll, Dienststatus und Firewall prüfen.
--- **Aufgabe 37** Ein DNS-Server antwortet nicht. Welche Portregel könnte fehlen?
Antwort anzeigen Möglicherweise fehlt: UDP 53 und je nach Fall auch: TCP 53 Begründung: DNS nutzt meistens UDP 53, kann aber auch TCP 53 verwenden. Merksatz: DNS-Firewallregel: UDP 53 nicht vergessen, TCP 53 mitdenken.
--- **Aufgabe 38** Welche Antwort ist besser? Aufgabe: Ein Server ist pingbar, aber die Webseite funktioniert nicht. Nennen Sie eine wahrscheinliche Ursache. Antwort A: Netzwerk kaputt. Antwort B: ICMP-Erreichbarkeit ist vorhanden, aber der Webdienst auf TCP 80 oder TCP 443 könnte blockiert sein, nicht laufen oder falsch konfiguriert sein.
Antwort anzeigen B ist besser. Begründung: Die Antwort unterscheidet zwischen Host-Erreichbarkeit per ICMP und Dienst-Erreichbarkeit über TCP-Port. Merksatz: Fehlerbild genau nach Protokoll einordnen.
--- **Aufgabe 39** Welche Antwort ist besser? Aufgabe: Warum muss man bei Firewall-Regeln TCP und UDP unterscheiden? Antwort A: Weil das immer so ist. Antwort B: TCP und UDP sind unterschiedliche Transportprotokolle. Eine Regel für TCP 53 erlaubt nicht automatisch UDP 53. Deshalb müssen Protokoll und Port gemeinsam angegeben werden.
Antwort anzeigen B ist besser. Begründung: Die Antwort erklärt, warum die Protokollangabe technisch relevant ist. Merksatz: Port plus Protokoll nennen.
--- **Aufgabe 40** Welche Antwort ist besser? Aufgabe: Warum eignet sich TCP für Dateiübertragung? Antwort A: Weil TCP halt normal ist. Antwort B: TCP eignet sich, weil es verbindungsorientiert und zuverlässig ist, Daten bestätigt, verlorene Daten erneut überträgt und die Reihenfolge sicherstellt.
Antwort anzeigen B ist besser. Begründung: Die Antwort nennt die technischen Eigenschaften, die bei Dateiübertragung wichtig sind. Merksatz: Bei Begründungen immer die passende Eigenschaft nennen.
--- **Mini-Prüfung: schnelle Zuordnung** | Frage | Antwort | |---|---| | Welche OSI-Schicht ist TCP? | Schicht 4 | | Welche OSI-Schicht ist UDP? | Schicht 4 | | Welche OSI-Schicht sind Ports? | Schicht 4 | | Wofür steht TCP? | Transmission Control Protocol | | Wofür steht UDP? | User Datagram Protocol | | Was ist TCP? | verbindungsorientiert und zuverlässig | | Was ist UDP? | verbindungslos und schlank | | Wie startet TCP? | SYN, SYN-ACK, ACK | | Was bedeutet LISTEN? | Dienst wartet auf Verbindung | | Was bedeutet ESTABLISHED? | Verbindung besteht | | Welcher Port ist SSH? | TCP 22 | | Welcher Port ist HTTPS? | TCP 443 | | Welcher Port ist SMB? | TCP 445 | | Welcher Port ist RDP? | TCP 3389 | | Welcher Port ist DNS? | UDP/TCP 53 | | Welche Ports nutzt DHCP? | UDP 67 und 68 | --- **Mini-Prüfung: Fehlerbild erkennen** | Fehlerbild | Wahrscheinlichstes Thema | |---|---| | ping geht, SSH nicht | TCP 22, SSH-Dienst, Firewall | | ping geht, HTTPS nicht | TCP 443, Webdienst, Firewall, TLS | | DNS antwortet nicht | UDP/TCP 53, DNS-Server, Firewall | | DHCP funktioniert nicht | UDP 67/68, VLAN, Relay, Scope | | Dienst lauscht nicht | Dienststatus oder Portkonfiguration | | Port offen, Login scheitert | Authentifizierung | | Port offen, Zugriff verweigert | Autorisierung | | SYN_SENT bleibt stehen | keine Antwort, Firewall, Dienst oder Routing | | RDP aus Internet erreichbar | Sicherheitsrisiko | | SMB öffentlich erreichbar | hohes Sicherheitsrisiko | --- **IHK-sichere Kurzformulierung** Die OSI-Schicht 4 ist die Transportschicht. Sie sorgt dafür, dass Daten dem richtigen Dienst oder Prozess zugeordnet werden. Dafür nutzen TCP und UDP Portnummern. TCP ist verbindungsorientiert und zuverlässig. Es baut eine Verbindung über den Three-Way Handshake auf, bestätigt Daten und kann verlorene Daten erneut übertragen. UDP ist verbindungslos, schlank und hat keine eingebaute Zustellgarantie. Es eignet sich für schnelle oder zeitkritische Kommunikation wie DNS, DHCP, NTP oder VoIP. Bei der Fehlersuche muss zwischen Host-Erreichbarkeit und Dienst-Erreichbarkeit unterschieden werden. ping prüft ICMP, aber nicht, ob ein TCP- oder UDP-Port erreichbar ist. --- **Merksätze** Schicht 4 ist die Transportschicht. TCP und UDP gehören zu Schicht 4. Ports gehören zu Schicht 4. IP findet den Host. Port findet den Dienst. Zielport zeigt meist den Dienst. Quellport ist beim Client oft dynamisch. TCP ist verbindungsorientiert. TCP ist zuverlässig. TCP bestätigt Daten. TCP stellt Reihenfolge sicher. TCP startet mit SYN, SYN-ACK, ACK. UDP ist verbindungslos. UDP ist schlank. UDP hat keine eingebaute Zustellgarantie. UDP ist nicht schlechter, sondern für andere Anforderungen gebaut. SSH nutzt TCP 22. HTTP nutzt TCP 80. HTTPS nutzt TCP 443. DNS nutzt UDP und TCP 53. DHCP nutzt UDP 67 und 68. SMB nutzt TCP 445. RDP nutzt TCP 3389. LISTEN heißt: Dienst wartet. ESTABLISHED heißt: Verbindung besteht. ping ist kein Porttest. Host erreichbar heißt nicht Dienst erreichbar. Portnummer ohne TCP oder UDP ist unvollständig. Firewall-Regeln brauchen Quelle, Ziel, Port und Protokoll. RDP nicht offen ins Internet stellen. SMB nicht offen ins Internet stellen. SFTP nutzt SSH und damit TCP 22. FTPS ist FTP mit TLS. Bei Dienstproblemen: Port, Protokoll, Dienststatus und Firewall prüfen. # 20.6 Trainer – Schicht 4 / TCP, UDP, Ports und Schicht 4 Diese Trainer-Seite wiederholt die OSI-Schicht 4, TCP, UDP, Ports und typische Fehlerbilder auf der Transportschicht. Ziel ist, Prüfungsfragen zu zuverlässiger Übertragung, verbindungsloser Übertragung, Portnummern, Dienstzuordnung und Firewall-Fehlersuche sicher zu beantworten. Merksatz: Schicht 4 fragt: Ist der richtige Dienst über den richtigen Port erreichbar? --- **Lernziele** Nach dieser Seite solltest du sicher können: - OSI-Schicht 4 einordnen - TCP und UDP unterscheiden - Ports erklären - Quellport und Zielport unterscheiden - wichtige Standardports nennen - TCP-Verbindungsaufbau erklären - typische TCP-Status einordnen - Portprobleme erkennen - erklären, warum ping keinen Porttest ersetzt --- **Kurzüberblick: OSI-Schicht 4** OSI-Schicht 4 heißt: Transportschicht Aufgabe: Ende-zu-Ende-Kommunikation zwischen Anwendungen ermöglichen. Typische Begriffe: TCP UDP Port Segment Datagramm Verbindungsaufbau Three-Way Handshake LISTEN ESTABLISHED Merksatz: Schicht 4 ordnet Netzwerkverkehr dem richtigen Dienst zu. --- **TCP kurz erklärt** TCP steht für: Transmission Control Protocol Eigenschaften: verbindungsorientiert zuverlässig bestätigt Daten stellt Reihenfolge sicher sendet verlorene Daten erneut nutzt Ports Typische Dienste: HTTPS SSH SMTP IMAP SMB RDP Merksatz: TCP = zuverlässig und verbindungsorientiert. --- **UDP kurz erklärt** UDP steht für: User Datagram Protocol Eigenschaften: verbindungslos schnell wenig Overhead keine eingebaute Zustellgarantie keine eingebaute Reihenfolgegarantie nutzt Ports Typische Dienste: DNS DHCP NTP SNMP VoIP Streaming Merksatz: UDP = schnell, schlank und verbindungslos. --- **Aufgabe 1** Wie heißt OSI-Schicht 4?
Antwort anzeigen OSI-Schicht 4 heißt: Transportschicht Englisch: Transport Layer Aufgabe: Kommunikation zwischen Anwendungen oder Prozessen über Ports ermöglichen. Merksatz: Schicht 4 = TCP, UDP und Ports.
--- **Aufgabe 2** Welche Protokolle gehören typisch zu OSI-Schicht 4? A: TCP und UDP B: IP und ICMP C: Ethernet und ARP D: HTTP und DNS
Antwort anzeigen Richtig ist: A: TCP und UDP Begründung: TCP und UDP sind Transportprotokolle und gehören zur OSI-Schicht 4. Merksatz: TCP und UDP = Transportschicht.
--- **Aufgabe 3** Was ist ein Port?
Antwort anzeigen Ein Port ist eine logische Nummer, mit der ein Dienst oder Prozess auf einem Host angesprochen wird. Beispiel: 192.168.1.10:443 Bedeutung: Host: 192.168.1.10 Dienst: Port 443 Merksatz: IP findet den Host. Port findet den Dienst.
--- **Aufgabe 4** Welche OSI-Schicht ist für Portnummern zuständig?
Antwort anzeigen Portnummern gehören zu: OSI-Schicht 4 Begründung: Ports werden von TCP und UDP genutzt, um Daten dem richtigen Dienst oder Prozess zuzuordnen. Merksatz: Ports = Schicht 4.
--- **Aufgabe 5** Was ist der Unterschied zwischen IP-Adresse und Port?
Antwort anzeigen IP-Adresse: identifiziert den Host logisch im Netzwerk Port: identifiziert den Dienst oder Prozess auf diesem Host Beispiel: 192.168.1.10:22 192.168.1.10 = Host 22 = SSH-Dienst Merksatz: IP = welcher Rechner? Port = welcher Dienst?
--- **Aufgabe 6** Was ist der Unterschied zwischen Quellport und Zielport?
Antwort anzeigen Quellport: Port auf dem sendenden System beim Client oft dynamisch Zielport: Port des angesprochenen Dienstes auf dem Server Beispiel: Client: 192.168.1.50:52344 Server: 93.184.216.34:443 Hier ist 52344 der Quellport und 443 der Zielport. Merksatz: Zielport zeigt meistens den Dienst.
--- **Aufgabe 7** Welche Aussage ist richtig? A: TCP ist verbindungslos. B: UDP garantiert die Reihenfolge der Pakete. C: TCP ist verbindungsorientiert und zuverlässig. D: Ports gehören zu OSI-Schicht 3.
Antwort anzeigen Richtig ist: C: TCP ist verbindungsorientiert und zuverlässig. Begründung: TCP baut eine Verbindung auf, bestätigt Daten und kann verlorene Daten erneut übertragen. Merksatz: TCP = zuverlässig.
--- **Aufgabe 8** Welche Aussage ist richtig? A: UDP ist immer besser als TCP. B: UDP ist verbindungslos und hat wenig Overhead. C: UDP baut immer einen Three-Way Handshake auf. D: UDP nutzt keine Ports.
Antwort anzeigen Richtig ist: B: UDP ist verbindungslos und hat wenig Overhead. Begründung: UDP verzichtet auf einen Verbindungsaufbau und auf eingebaute Zustellgarantien. Dadurch ist es schlanker und schneller, aber weniger zuverlässig als TCP. Merksatz: UDP = verbindungslos und schlank.
--- **Aufgabe 9** Vergleiche TCP und UDP. | Merkmal | TCP | UDP | |---|---|---| | Verbindung | ? | ? | | Zuverlässigkeit | ? | ? | | Overhead | ? | ? | | Beispiel | ? | ? |
Antwort anzeigen | Merkmal | TCP | UDP | |---|---|---| | Verbindung | verbindungsorientiert | verbindungslos | | Zuverlässigkeit | eingebaut | keine eingebaute Garantie | | Overhead | höher | geringer | | Beispiel | HTTPS, SSH, SMB | DNS, DHCP, VoIP | Merksatz: TCP für zuverlässige Übertragung. UDP für schnelle und schlanke Kommunikation.
--- **Aufgabe 10** Was ist der TCP Three-Way Handshake?
Antwort anzeigen Der TCP Three-Way Handshake ist der Verbindungsaufbau bei TCP. Ablauf: 1. SYN 2. SYN-ACK 3. ACK Bedeutung: Client fragt Verbindung an. Server bestätigt und antwortet. Client bestätigt die Verbindung. Merksatz: TCP startet mit SYN, SYN-ACK, ACK.
--- **Aufgabe 11** Warum hat TCP mehr Overhead als UDP?
Antwort anzeigen TCP hat mehr Overhead, weil es zusätzliche Funktionen bietet. Dazu gehören: Verbindungsaufbau Bestätigungen Sequenznummern erneute Übertragung Reihenfolgeprüfung Flusskontrolle Merksatz: TCP ist aufwendiger, weil es Zuverlässigkeit bietet.
--- **Aufgabe 12** Warum wird UDP häufig für DNS verwendet?
Antwort anzeigen DNS-Anfragen sind oft klein und sollen schnell beantwortet werden. UDP ist dafür geeignet, weil es wenig Overhead hat und keinen TCP-Verbindungsaufbau benötigt. Wichtig: DNS kann bei Bedarf auch TCP 53 nutzen. Merksatz: DNS nutzt häufig UDP 53, aber TCP 53 nicht vergessen.
--- **Aufgabe 13** Warum eignet sich UDP für VoIP?
Antwort anzeigen Bei VoIP ist geringe Verzögerung wichtig. Ein verlorenes Sprachpaket ist meist weniger schlimm als eine stark verspätete Übertragung. UDP ist dafür geeignet, weil es schnell und verbindungslos arbeitet. Merksatz: VoIP braucht geringe Latenz, daher ist UDP sinnvoll.
--- **Aufgabe 14** Ordne zu. | Dienst | TCP oder UDP? | Port | |---|---|---:| | SSH | ? | ? | | HTTPS | ? | ? | | DNS | ? | ? | | DHCP Server | ? | ? | | RDP | ? | ? | | SMB | ? | ? |
Antwort anzeigen | Dienst | TCP oder UDP? | Port | |---|---|---:| | SSH | TCP | 22 | | HTTPS | TCP | 443 | | DNS | UDP/TCP | 53 | | DHCP Server | UDP | 67 | | RDP | TCP | 3389 | | SMB | TCP | 445 | Merksatz: Portnummer immer mit TCP oder UDP lernen.
--- **Aufgabe 15** Welchen Port nutzt SSH typischerweise?
Antwort anzeigen SSH nutzt typischerweise: TCP 22 SSH steht für: Secure Shell Merksatz: SSH = TCP 22.
--- **Aufgabe 16** Welchen Port nutzt HTTPS typischerweise?
Antwort anzeigen HTTPS nutzt typischerweise: TCP 443 HTTPS bedeutet: HTTP über TLS Merksatz: HTTPS = TCP 443.
--- **Aufgabe 17** Welche Ports nutzt DHCP?
Antwort anzeigen DHCP nutzt: UDP 67 für den DHCP-Server UDP 68 für den DHCP-Client Merksatz: DHCP = UDP 67 und 68.
--- **Aufgabe 18** Welchen Port nutzt DNS?
Antwort anzeigen DNS nutzt: UDP 53 und bei Bedarf: TCP 53 Merksatz: DNS = UDP/TCP 53.
--- **Aufgabe 19** Welchen Port nutzt SMB typischerweise?
Antwort anzeigen SMB nutzt typischerweise: TCP 445 SMB wird genutzt für: Datei- und Druckfreigaben Netzlaufwerke Merksatz: SMB = TCP 445.
--- **Aufgabe 20** Welchen Port nutzt RDP typischerweise?
Antwort anzeigen RDP nutzt typischerweise: TCP 3389 RDP steht für: Remote Desktop Protocol Merksatz: RDP = TCP 3389.
--- **Aufgabe 21** Was bedeutet LISTEN bei TCP?
Antwort anzeigen LISTEN bedeutet: Ein Dienst wartet auf eingehende Verbindungen. Beispiel: Ein Webserver lauscht auf TCP 443. Merksatz: LISTEN = Dienst wartet auf Verbindung.
--- **Aufgabe 22** Was bedeutet ESTABLISHED bei TCP?
Antwort anzeigen ESTABLISHED bedeutet: Eine TCP-Verbindung besteht. Client und Server haben eine aktive Verbindung aufgebaut. Merksatz: ESTABLISHED = Verbindung besteht.
--- **Aufgabe 23** Was bedeutet SYN_SENT?
Antwort anzeigen SYN_SENT bedeutet: Der Client hat einen Verbindungsaufbau gestartet und wartet auf eine Antwort. Mögliche Ursache, wenn es hängen bleibt: Ziel antwortet nicht Firewall blockiert Dienst läuft nicht Routingproblem Merksatz: SYN_SENT hängt oft bei fehlender Antwort.
--- **Aufgabe 24** Ein Host ist per ping erreichbar, aber SSH funktioniert nicht. Was ist wahrscheinlich?
Antwort anzeigen Ping prüft ICMP. SSH nutzt TCP 22. Mögliche Ursachen: TCP 22 blockiert SSH-Dienst läuft nicht SSH lauscht auf anderem Port Firewall blockiert Zugriff nur aus bestimmten Netzen erlaubt Benutzer oder Schlüssel falsch Merksatz: Host erreichbar heißt nicht, dass der Dienst erreichbar ist.
--- **Aufgabe 25** Ein Webserver antwortet nicht auf HTTPS, ping funktioniert aber. Was sollte geprüft werden?
Antwort anzeigen Zu prüfen: TCP 443 erreichbar? Webserver läuft? Dienst lauscht auf Port 443? Firewall erlaubt TCP 443? Reverse Proxy korrekt? TLS-Zertifikat korrekt? Anwendung fehlerfrei? Merksatz: ping geht, HTTPS nicht: TCP 443, Dienst und Firewall prüfen.
--- **Aufgabe 26** Warum ersetzt ping keinen Porttest?
Antwort anzeigen ping prüft ICMP-Erreichbarkeit. ping prüft nicht: TCP 22 TCP 443 TCP 445 UDP 53 Dienststatus Anmeldung Rechte Anwendung Merksatz: ping prüft Host-Erreichbarkeit, nicht Dienstfunktion.
--- **Aufgabe 27** Welche Angaben braucht man für eine saubere Firewall-Regel?
Antwort anzeigen Eine saubere Firewall-Regel enthält: Quelle Ziel Protokoll Port Richtung Aktion Zweck Beispiel: Quelle: Adminnetz Ziel: Server Protokoll: TCP Port: 22 Aktion: erlauben Zweck: SSH-Administration Merksatz: Firewall-Regeln brauchen Quelle, Ziel, Port und Protokoll.
--- **Aufgabe 28** Warum ist die Angabe „Port 53 erlauben“ ungenau?
Antwort anzeigen Die Angabe ist ungenau, weil nicht klar ist, ob TCP 53, UDP 53 oder beides gemeint ist. Bei DNS ist wichtig: UDP 53 für normale Abfragen TCP 53 für große Antworten, Zonentransfers oder bestimmte Spezialfälle Merksatz: Portnummer ohne TCP oder UDP ist unvollständig.
--- **Aufgabe 29** Was ist ein Well-Known Port?
Antwort anzeigen Well-Known Ports sind bekannte Standardports. Bereich: 0 bis 1023 Beispiele: TCP 22 SSH TCP 80 HTTP TCP 443 HTTPS UDP/TCP 53 DNS Merksatz: Well-Known Ports sind bekannte Dienstports.
--- **Aufgabe 30** Was sind dynamische oder ephemeral Ports?
Antwort anzeigen Dynamische Ports werden häufig von Clients als Quellports verwendet. Bereich: 49152 bis 65535 Beispiel: Client nutzt Quellport 52344 und verbindet sich zu Server TCP 443. Merksatz: Server hat bekannten Zielport. Client nutzt oft dynamischen Quellport.
--- **Aufgabe 31** Ein Client verbindet sich zu einem Webserver. Client: 192.168.1.50:52344 Server: 93.184.216.34:443 Welcher Port zeigt den Webdienst?
Antwort anzeigen Der Webdienst wird durch den Zielport angezeigt: TCP 443 Der Quellport 52344 ist ein dynamischer Clientport. Merksatz: Zielport zeigt den Dienst.
--- **Aufgabe 32** Warum sollte RDP nicht direkt aus dem Internet erreichbar sein?
Antwort anzeigen RDP ist ein häufiges Angriffsziel. Risiken: Brute-Force-Angriffe Credential Stuffing Exploits unberechtigter Fernzugriff Sicherer: VPN RDP-Gateway MFA Firewall-Beschränkung auf bekannte Quellnetze Logging Merksatz: RDP nicht offen ins Internet stellen.
--- **Aufgabe 33** Warum sollte SMB nicht direkt aus dem Internet erreichbar sein?
Antwort anzeigen SMB ist für Datei- und Druckfreigaben gedacht und sollte nicht öffentlich erreichbar sein. Risiken: Datenabfluss Malware-Ausbreitung Brute Force Ausnutzung von Schwachstellen Zugriff auf interne Freigaben Merksatz: SMB gehört nicht offen ins Internet.
--- **Aufgabe 34** Was ist der Unterschied zwischen FTP, FTPS und SFTP?
Antwort anzeigen FTP: klassisches File Transfer Protocol meist TCP 21 unverschlüsselt FTPS: FTP mit TLS-Verschlüsselung SFTP: Dateiübertragung über SSH nutzt TCP 22 Merksatz: FTPS = FTP mit TLS. SFTP = Dateiübertragung über SSH.
--- **Aufgabe 35** Welche Aussage ist richtig? A: SFTP nutzt normalerweise TCP 22. B: SFTP ist dasselbe wie FTPS. C: FTP ist immer verschlüsselt. D: SMB nutzt UDP 53.
Antwort anzeigen Richtig ist: A: SFTP nutzt normalerweise TCP 22. Begründung: SFTP läuft über SSH und nutzt daher typischerweise TCP 22. Merksatz: SFTP gehört zu SSH, nicht zu FTPS.
--- **Aufgabe 36** Ein Dienst ist auf dem Server installiert, aber von außen nicht erreichbar. Welche Schicht-4-Prüfungen sind sinnvoll?
Antwort anzeigen Sinnvolle Prüfungen: Lauscht der Dienst auf dem erwarteten Port? Nutzt er TCP oder UDP? Lauscht er auf der richtigen Schnittstelle? Blockiert die lokale Firewall? Blockiert eine Netzwerkfirewall? Ist NAT oder Portweiterleitung korrekt? Gibt es Logs? Merksatz: Bei Dienstproblemen Port, Protokoll, Dienststatus und Firewall prüfen.
--- **Aufgabe 37** Ein DNS-Server antwortet nicht. Welche Portregel könnte fehlen?
Antwort anzeigen Möglicherweise fehlt: UDP 53 und je nach Fall auch: TCP 53 Begründung: DNS nutzt meistens UDP 53, kann aber auch TCP 53 verwenden. Merksatz: DNS-Firewallregel: UDP 53 nicht vergessen, TCP 53 mitdenken.
--- **Aufgabe 38** Welche Antwort ist besser? Aufgabe: Ein Server ist pingbar, aber die Webseite funktioniert nicht. Nennen Sie eine wahrscheinliche Ursache. Antwort A: Netzwerk kaputt. Antwort B: ICMP-Erreichbarkeit ist vorhanden, aber der Webdienst auf TCP 80 oder TCP 443 könnte blockiert sein, nicht laufen oder falsch konfiguriert sein.
Antwort anzeigen B ist besser. Begründung: Die Antwort unterscheidet zwischen Host-Erreichbarkeit per ICMP und Dienst-Erreichbarkeit über TCP-Port. Merksatz: Fehlerbild genau nach Protokoll einordnen.
--- **Aufgabe 39** Welche Antwort ist besser? Aufgabe: Warum muss man bei Firewall-Regeln TCP und UDP unterscheiden? Antwort A: Weil das immer so ist. Antwort B: TCP und UDP sind unterschiedliche Transportprotokolle. Eine Regel für TCP 53 erlaubt nicht automatisch UDP 53. Deshalb müssen Protokoll und Port gemeinsam angegeben werden.
Antwort anzeigen B ist besser. Begründung: Die Antwort erklärt, warum die Protokollangabe technisch relevant ist. Merksatz: Port plus Protokoll nennen.
--- **Aufgabe 40** Welche Antwort ist besser? Aufgabe: Warum eignet sich TCP für Dateiübertragung? Antwort A: Weil TCP halt normal ist. Antwort B: TCP eignet sich, weil es verbindungsorientiert und zuverlässig ist, Daten bestätigt, verlorene Daten erneut überträgt und die Reihenfolge sicherstellt.
Antwort anzeigen B ist besser. Begründung: Die Antwort nennt die technischen Eigenschaften, die bei Dateiübertragung wichtig sind. Merksatz: Bei Begründungen immer die passende Eigenschaft nennen.
--- **Mini-Prüfung: schnelle Zuordnung** | Frage | Antwort | |---|---| | Welche OSI-Schicht ist TCP? | Schicht 4 | | Welche OSI-Schicht ist UDP? | Schicht 4 | | Welche OSI-Schicht sind Ports? | Schicht 4 | | Wofür steht TCP? | Transmission Control Protocol | | Wofür steht UDP? | User Datagram Protocol | | Was ist TCP? | verbindungsorientiert und zuverlässig | | Was ist UDP? | verbindungslos und schlank | | Wie startet TCP? | SYN, SYN-ACK, ACK | | Was bedeutet LISTEN? | Dienst wartet auf Verbindung | | Was bedeutet ESTABLISHED? | Verbindung besteht | | Welcher Port ist SSH? | TCP 22 | | Welcher Port ist HTTPS? | TCP 443 | | Welcher Port ist SMB? | TCP 445 | | Welcher Port ist RDP? | TCP 3389 | | Welcher Port ist DNS? | UDP/TCP 53 | | Welche Ports nutzt DHCP? | UDP 67 und 68 | --- **Mini-Prüfung: Fehlerbild erkennen** | Fehlerbild | Wahrscheinlichstes Thema | |---|---| | ping geht, SSH nicht | TCP 22, SSH-Dienst, Firewall | | ping geht, HTTPS nicht | TCP 443, Webdienst, Firewall, TLS | | DNS antwortet nicht | UDP/TCP 53, DNS-Server, Firewall | | DHCP funktioniert nicht | UDP 67/68, VLAN, Relay, Scope | | Dienst lauscht nicht | Dienststatus oder Portkonfiguration | | Port offen, Login scheitert | Authentifizierung | | Port offen, Zugriff verweigert | Autorisierung | | SYN_SENT bleibt stehen | keine Antwort, Firewall, Dienst oder Routing | | RDP aus Internet erreichbar | Sicherheitsrisiko | | SMB öffentlich erreichbar | hohes Sicherheitsrisiko | --- **IHK-sichere Kurzformulierung** Die OSI-Schicht 4 ist die Transportschicht. Sie sorgt dafür, dass Daten dem richtigen Dienst oder Prozess zugeordnet werden. Dafür nutzen TCP und UDP Portnummern. TCP ist verbindungsorientiert und zuverlässig. Es baut eine Verbindung über den Three-Way Handshake auf, bestätigt Daten und kann verlorene Daten erneut übertragen. UDP ist verbindungslos, schlank und hat keine eingebaute Zustellgarantie. Es eignet sich für schnelle oder zeitkritische Kommunikation wie DNS, DHCP, NTP oder VoIP. Bei der Fehlersuche muss zwischen Host-Erreichbarkeit und Dienst-Erreichbarkeit unterschieden werden. ping prüft ICMP, aber nicht, ob ein TCP- oder UDP-Port erreichbar ist. --- **Merksätze** Schicht 4 ist die Transportschicht. TCP und UDP gehören zu Schicht 4. Ports gehören zu Schicht 4. IP findet den Host. Port findet den Dienst. Zielport zeigt meist den Dienst. Quellport ist beim Client oft dynamisch. TCP ist verbindungsorientiert. TCP ist zuverlässig. TCP bestätigt Daten. TCP stellt Reihenfolge sicher. TCP startet mit SYN, SYN-ACK, ACK. UDP ist verbindungslos. UDP ist schlank. UDP hat keine eingebaute Zustellgarantie. UDP ist nicht schlechter, sondern für andere Anforderungen gebaut. SSH nutzt TCP 22. HTTP nutzt TCP 80. HTTPS nutzt TCP 443. DNS nutzt UDP und TCP 53. DHCP nutzt UDP 67 und 68. SMB nutzt TCP 445. RDP nutzt TCP 3389. LISTEN heißt: Dienst wartet. ESTABLISHED heißt: Verbindung besteht. ping ist kein Porttest. Host erreichbar heißt nicht Dienst erreichbar. Portnummer ohne TCP oder UDP ist unvollständig. Firewall-Regeln brauchen Quelle, Ziel, Port und Protokoll. RDP nicht offen ins Internet stellen. SMB nicht offen ins Internet stellen. SFTP nutzt SSH und damit TCP 22. FTPS ist FTP mit TLS. Bei Dienstproblemen: Port, Protokoll, Dienststatus und Firewall prüfen. # 20.7 Trainer - Schicht 5-7 Sitzung, Darstellung, Anwendung Diese Trainer-Seite wiederholt die oberen OSI-Schichten: - Schicht 5 Sitzungsschicht - Schicht 6 Darstellungsschicht - Schicht 7 Anwendungsschicht Ziel ist, typische Prüfungsfragen zu Sessions, TLS, Zertifikaten, DNS, DHCP, HTTP, E-Mail, Dateifreigaben und Anwendungsfehlern sicher zu beantworten. Merksatz: Schicht 5 hält Sitzungen. Schicht 6 stellt Daten dar und schützt sie. Schicht 7 stellt Netzwerkdienste für Anwendungen bereit. --- **Lernziele** Nach dieser Seite solltest du sicher können: - OSI-Schicht 5, 6 und 7 unterscheiden - Session, Cookie und Token einordnen - TLS und Zertifikate erklären - typische Zertifikatsfehler erkennen - DNS und DHCP einordnen - HTTP-Statuscodes unterscheiden - E-Mail-Protokolle zuordnen - Datei- und Freigabeprotokolle unterscheiden - typische Anwendungsfehler prüfen --- **Kurzüberblick: obere OSI-Schichten** | OSI-Schicht | Name | Hauptaufgabe | Beispiele | |---|---|---|---| | 7 | Anwendungsschicht | Netzwerkdienste für Anwendungen | HTTP, DNS, DHCP, SMTP, SMB | | 6 | Darstellungsschicht | Datenformat, Codierung, Verschlüsselung | TLS, Zertifikate, Zeichensatz | | 5 | Sitzungsschicht | Sitzungen aufbauen, halten, beenden | Session, Cookie, Token, Timeout | Merksatz: 5 = Sitzung. 6 = Darstellung und Verschlüsselung. 7 = Anwendungsdienste. --- **Aufgabe 1** Wie heißt OSI-Schicht 5?
Antwort anzeigen OSI-Schicht 5 heißt: Sitzungsschicht Englisch: Session Layer Aufgabe: Kommunikationssitzungen aufbauen, verwalten und beenden. Merksatz: Schicht 5 = Sitzungen.
--- **Aufgabe 2** Wie heißt OSI-Schicht 6?
Antwort anzeigen OSI-Schicht 6 heißt: Darstellungsschicht Englisch: Presentation Layer Aufgabe: Datenformat, Codierung, Kompression und Verschlüsselung darstellen oder umwandeln. Merksatz: Schicht 6 = Darstellung, Format und Verschlüsselung.
--- **Aufgabe 3** Wie heißt OSI-Schicht 7?
Antwort anzeigen OSI-Schicht 7 heißt: Anwendungsschicht Englisch: Application Layer Aufgabe: Netzwerkdienste für Anwendungen bereitstellen. Beispiele: HTTP DNS DHCP SMTP IMAP SMB Merksatz: Schicht 7 = Anwendungsprotokolle.
--- **Aufgabe 4** Ordne die Begriffe der richtigen OSI-Schicht zu. | Begriff | OSI-Schicht | |---|---| | Session | ? | | TLS-Zertifikat | ? | | HTTP | ? | | DNS | ? | | Cookie | ? | | Zeichensatz | ? |
Antwort anzeigen | Begriff | OSI-Schicht | |---|---| | Session | Schicht 5 | | TLS-Zertifikat | Schicht 6 | | HTTP | Schicht 7 | | DNS | Schicht 7 | | Cookie | Schicht 5 / Anwendungskontext | | Zeichensatz | Schicht 6 | Merksatz: Session = 5. TLS = 6. HTTP und DNS = 7.
--- **Aufgabe 5** Was ist eine Session?
Antwort anzeigen Eine Session ist eine zusammenhängende Kommunikationssitzung zwischen Client und Server. Beispiel: Benutzer meldet sich bei einer Webanwendung an. Die Anwendung merkt sich über eine Session, dass der Benutzer angemeldet ist. Typische Begriffe: Session-ID Cookie Token Timeout Merksatz: Session = zusammenhängende Sitzung.
--- **Aufgabe 6** Was ist ein Session-Timeout?
Antwort anzeigen Ein Session-Timeout beendet eine Sitzung nach einer bestimmten Zeit ohne Aktivität oder nach Ablauf einer festgelegten Zeit. Zweck: Sicherheit erhöhen verlassene Sitzungen beenden Ressourcen freigeben Merksatz: Timeout beendet inaktive oder abgelaufene Sitzungen.
--- **Aufgabe 7** Ein Benutzer wird ständig aus einer Webanwendung abgemeldet. Welche OSI-Schicht ist wahrscheinlich betroffen?
Antwort anzeigen Wahrscheinlich betroffen: OSI-Schicht 5 Mögliche Ursachen: Session-Timeout zu kurz Cookie wird nicht gespeichert Token läuft ab Load Balancer ohne Session Persistence Browser blockiert Cookies Merksatz: Ständige Abmeldung: Session, Cookie oder Token prüfen.
--- **Aufgabe 8** Was ist ein Cookie im Webkontext?
Antwort anzeigen Ein Cookie ist eine kleine Information, die der Browser für eine Webseite speichert. Nutzung: Session-ID speichern Login-Status unterstützen Einstellungen speichern Warenkorb erhalten Sicherheitsattribute: Secure HttpOnly SameSite Merksatz: Cookie kann helfen, eine Sitzung wiederzuerkennen.
--- **Aufgabe 9** Was bedeutet das Cookie-Attribut Secure?
Antwort anzeigen Secure bedeutet: Das Cookie soll nur über HTTPS übertragen werden. Ziel: Schutz vor Übertragung über unverschlüsselte Verbindungen. Merksatz: Secure-Cookie nur über HTTPS.
--- **Aufgabe 10** Was bedeutet das Cookie-Attribut HttpOnly?
Antwort anzeigen HttpOnly bedeutet: Das Cookie soll nicht durch JavaScript ausgelesen werden können. Ziel: Risiko bei XSS-Angriffen reduzieren. Merksatz: HttpOnly erschwert Cookie-Diebstahl per JavaScript.
--- **Aufgabe 11** Was bedeutet das Cookie-Attribut SameSite?
Antwort anzeigen SameSite steuert, ob Cookies bei seitenübergreifenden Anfragen mitgesendet werden. Ziel: Schutz gegen CSRF-Angriffe verbessern. Merksatz: SameSite hilft gegen CSRF.
--- **Aufgabe 12** Was ist TLS?
Antwort anzeigen TLS steht für: Transport Layer Security Aufgabe: verschlüsselte und abgesicherte Kommunikation ermöglichen. TLS schützt unter anderem: Vertraulichkeit Integrität Authentizität des Servers über Zertifikate Typisch bei: HTTPS Merksatz: TLS verschlüsselt und schützt die Verbindung.
--- **Aufgabe 13** Welche OSI-Schicht passt am besten zu TLS und Zertifikaten?
Antwort anzeigen Am besten passt: OSI-Schicht 6 Begründung: TLS, Zertifikate, Verschlüsselung und Darstellung der Daten werden typischerweise der Darstellungsschicht zugeordnet. Merksatz: TLS und Zertifikate: Schicht 6.
--- **Aufgabe 14** Was ist ein Zertifikat?
Antwort anzeigen Ein Zertifikat bestätigt die Identität eines Servers oder einer Stelle. Es enthält unter anderem: Namen des Inhabers öffentlichen Schlüssel Aussteller Gültigkeitszeitraum Signatur der Zertifizierungsstelle Zweck: Serverauthentizität prüfen verschlüsselte Verbindung absichern Merksatz: Zertifikat bestätigt: Dieser Server ist der richtige.
--- **Aufgabe 15** Nenne vier typische Zertifikatsfehler.
Antwort anzeigen Typische Fehler: Zertifikat abgelaufen Hostname passt nicht Zertifikatskette unvollständig Zertifizierungsstelle nicht vertrauenswürdig Systemzeit falsch falsches Zertifikat installiert Merksatz: Zertifikatsfehler: Ablauf, Name, Kette, Vertrauen, Zeit.
--- **Aufgabe 16** Ein Browser zeigt eine Zertifikatswarnung. Was sollte geprüft werden?
Antwort anzeigen Prüfen: Ablaufdatum des Zertifikats Hostname / SAN / CN Zertifikatskette vertrauenswürdige CA Systemzeit des Clients richtiges Zertifikat auf dem Server Merksatz: Zertifikatswarnung: Ablauf, Name, Kette und Zeit prüfen.
--- **Aufgabe 17** Was ist der Unterschied zwischen HTTP und HTTPS?
Antwort anzeigen HTTP: unverschlüsselte Webkommunikation typischer Port: TCP 80 HTTPS: HTTP über TLS verschlüsselte Webkommunikation typischer Port: TCP 443 Merksatz: HTTPS = HTTP plus TLS.
--- **Aufgabe 18** Welche OSI-Schicht ist HTTP?
Antwort anzeigen HTTP gehört zu: OSI-Schicht 7 Begründung: HTTP ist ein Anwendungsprotokoll für Webkommunikation. Merksatz: HTTP = Anwendungsschicht.
--- **Aufgabe 19** Ordne HTTP-Statuscodes zu. | Statuscode | Bedeutung | |---|---| | 200 | ? | | 301 / 302 | ? | | 401 | ? | | 403 | ? | | 404 | ? | | 500 | ? | | 502 | ? | | 503 | ? |
Antwort anzeigen | Statuscode | Bedeutung | |---|---| | 200 | erfolgreich | | 301 / 302 | Weiterleitung | | 401 | nicht authentifiziert | | 403 | verboten | | 404 | nicht gefunden | | 500 | interner Serverfehler | | 502 | Gateway oder Backend-Fehler | | 503 | Dienst nicht verfügbar | Merksatz: 4xx eher Client, Anfrage oder Rechte. 5xx eher Server, Anwendung oder Backend.
--- **Aufgabe 20** Was bedeutet HTTP 401?
Antwort anzeigen HTTP 401 bedeutet: nicht authentifiziert Der Benutzer ist nicht oder nicht korrekt angemeldet. Merksatz: 401 = Anmeldung fehlt oder ungültig.
--- **Aufgabe 21** Was bedeutet HTTP 403?
Antwort anzeigen HTTP 403 bedeutet: verboten Der Benutzer ist zwar möglicherweise bekannt, hat aber keine Berechtigung für die Ressource. Merksatz: 403 = Zugriff verboten.
--- **Aufgabe 22** Was bedeutet HTTP 404?
Antwort anzeigen HTTP 404 bedeutet: nicht gefunden Die angeforderte Ressource existiert unter dieser Adresse nicht oder ist nicht erreichbar. Merksatz: 404 = Ressource nicht gefunden.
--- **Aufgabe 23** Was bedeutet HTTP 500?
Antwort anzeigen HTTP 500 bedeutet: interner Serverfehler Das Problem liegt eher auf Serverseite, zum Beispiel in Anwendung, Konfiguration oder Backend. Merksatz: 500 = serverseitiger Anwendungsfehler.
--- **Aufgabe 24** Was bedeutet HTTP 502?
Antwort anzeigen HTTP 502 bedeutet: Bad Gateway Typisch bei: Reverse Proxy Load Balancer Gateway Mögliche Ursache: Backend nicht erreichbar Backend antwortet fehlerhaft falsche Proxy-Konfiguration Merksatz: 502: Gateway oder Proxy erreicht Backend nicht korrekt.
--- **Aufgabe 25** Was ist DNS?
Antwort anzeigen DNS steht für: Domain Name System Aufgabe: Namen in IP-Adressen auflösen. Beispiel: www.example.com wird zu: IPv4- oder IPv6-Adresse OSI-Schicht: Schicht 7 Merksatz: DNS löst Namen auf.
--- **Aufgabe 26** IP-Adresse funktioniert, Name funktioniert nicht. Was ist wahrscheinlich?
Antwort anzeigen Wahrscheinlich: DNS-Problem Begründung: Die IP-Kommunikation funktioniert, aber die Namensauflösung funktioniert nicht korrekt. Prüfen: DNS-Server DNS-Eintrag DNS-Cache DNS-Suffix Split-DNS Merksatz: IP ja, Name nein: DNS.
--- **Aufgabe 27** Was ist DHCP?
Antwort anzeigen DHCP steht für: Dynamic Host Configuration Protocol Aufgabe: automatische Verteilung von Netzwerkkonfigurationen. Typische Informationen: IP-Adresse Subnetzmaske Standardgateway DNS-Server Lease-Zeit OSI-Schicht: Schicht 7 Merksatz: DHCP verteilt IP-Konfiguration.
--- **Aufgabe 28** Was bedeutet DHCP-DORA?
Antwort anzeigen DORA beschreibt den DHCP-Ablauf: Discover Offer Request Acknowledge Merksatz: DHCP-DORA: Discover, Offer, Request, Acknowledge.
--- **Aufgabe 29** Welche Ports nutzt DHCP?
Antwort anzeigen DHCP nutzt: UDP 67 für den DHCP-Server UDP 68 für den DHCP-Client Merksatz: DHCP = UDP 67 und 68.
--- **Aufgabe 30** Was bedeutet 169.254.x.x?
Antwort anzeigen 169.254.x.x ist eine APIPA-Adresse. Bedeutung: Der Client hat wahrscheinlich keine gültige Adresse per DHCP erhalten und sich selbst eine automatische Adresse gegeben. Merksatz: 169.254.x.x deutet auf DHCP-Problem hin.
--- **Aufgabe 31** Was ist SMTP?
Antwort anzeigen SMTP steht für: Simple Mail Transfer Protocol Aufgabe: E-Mails senden Typische Nutzung: Mailserver zu Mailserver Mailversand durch Clients je nach Port und Konfiguration Merksatz: SMTP sendet E-Mails.
--- **Aufgabe 32** Was ist IMAP?
Antwort anzeigen IMAP steht für: Internet Message Access Protocol Aufgabe: E-Mails auf dem Mailserver abrufen und synchron verwalten. Vorteil: E-Mails bleiben serverseitig verwaltet und sind auf mehreren Geräten synchron. Merksatz: IMAP synchronisiert E-Mails.
--- **Aufgabe 33** Was ist POP3?
Antwort anzeigen POP3 steht für: Post Office Protocol Version 3 Aufgabe: E-Mails vom Server abrufen. Typisch: eher einfaches Herunterladen von E-Mails Merksatz: POP3 ruft E-Mails ab, IMAP synchronisiert sie.
--- **Aufgabe 34** Ordne E-Mail-Protokolle zu. | Protokoll | Aufgabe | |---|---| | SMTP | ? | | IMAP | ? | | POP3 | ? |
Antwort anzeigen | Protokoll | Aufgabe | |---|---| | SMTP | E-Mail senden | | IMAP | E-Mail abrufen und synchron verwalten | | POP3 | E-Mail abrufen | Merksatz: SMTP raus. IMAP und POP3 rein.
--- **Aufgabe 35** Was ist SMB?
Antwort anzeigen SMB steht für: Server Message Block Aufgabe: Datei- und Druckfreigaben im Netzwerk bereitstellen. Typische Nutzung: Netzlaufwerke Windows-Freigaben Druckerfreigaben Typischer Port: TCP 445 Merksatz: SMB = Dateifreigaben über TCP 445.
--- **Aufgabe 36** Was ist der Unterschied zwischen FTP, FTPS und SFTP?
Antwort anzeigen FTP: klassisches File Transfer Protocol meist TCP 21 unverschlüsselt FTPS: FTP mit TLS SFTP: Dateiübertragung über SSH meist TCP 22 Merksatz: FTPS = FTP mit TLS. SFTP = Dateiübertragung über SSH.
--- **Aufgabe 37** Ein Benutzer kann sich anmelden, aber eine Datei nicht öffnen. Was ist wahrscheinlich?
Antwort anzeigen Wahrscheinlich: Autorisierungs- oder Berechtigungsproblem Begründung: Die Anmeldung funktioniert bereits. Das Problem liegt daher eher bei Rechten, Gruppen, ACLs, Freigaberechten oder Dateisystemrechten. Merksatz: Login ja, Zugriff nein: Rechte prüfen.
--- **Aufgabe 38** Ein Benutzer kann sich nicht anmelden. Was ist wahrscheinlich?
Antwort anzeigen Wahrscheinlich: Authentifizierungsproblem Mögliche Ursachen: falsches Passwort Konto gesperrt MFA-Problem Verzeichnisdienst nicht erreichbar Zeitproblem bei Kerberos oder Token Merksatz: Anmeldung scheitert: Authentifizierung prüfen.
--- **Aufgabe 39** Welche Antwort ist besser? Aufgabe: Ein Browser zeigt HTTP 500. Was bedeutet das? Antwort A: Das Internet ist kaputt. Antwort B: HTTP 500 deutet auf einen internen Serverfehler hin, zum Beispiel in Anwendung, Konfiguration oder Backend. Server- und Anwendungslogs sollten geprüft werden.
Antwort anzeigen B ist besser. Begründung: Die Antwort ordnet den Statuscode fachlich korrekt ein und nennt eine sinnvolle Prüfung. Merksatz: 5xx: Server, Anwendung oder Backend prüfen.
--- **Aufgabe 40** Welche Antwort ist besser? Aufgabe: Warum ist HTTPS sicherer als HTTP? Antwort A: Weil das Schloss im Browser angezeigt wird. Antwort B: HTTPS nutzt HTTP über TLS. Dadurch wird die Verbindung verschlüsselt und die Identität des Servers kann über Zertifikate geprüft werden.
Antwort anzeigen B ist besser. Begründung: Die Antwort nennt die technischen Sicherheitsfunktionen: Verschlüsselung und Zertifikatsprüfung. Merksatz: HTTPS = HTTP plus TLS.
--- **Mini-Prüfung: schnelle Zuordnung** | Frage | Antwort | |---|---| | Welche OSI-Schicht ist Session? | Schicht 5 | | Welche OSI-Schicht ist TLS? | Schicht 6 | | Welche OSI-Schicht ist HTTP? | Schicht 7 | | Welche OSI-Schicht ist DNS? | Schicht 7 | | Welche OSI-Schicht ist DHCP? | Schicht 7 | | Was macht DNS? | Namen auflösen | | Was macht DHCP? | IP-Konfiguration verteilen | | Was macht SMTP? | E-Mail senden | | Was macht IMAP? | E-Mail synchron abrufen | | Was macht POP3? | E-Mail abrufen | | Was macht SMB? | Datei- und Druckfreigaben | | Was bedeutet HTTP 404? | nicht gefunden | | Was bedeutet HTTP 500? | interner Serverfehler | | Was bedeutet 401? | nicht authentifiziert | | Was bedeutet 403? | verboten | --- **Mini-Prüfung: Fehlerbild erkennen** | Fehlerbild | Wahrscheinlichstes Thema | |---|---| | ständig ausgeloggt | Session, Cookie, Token | | Zertifikatswarnung | TLS, Zertifikat, Zeit | | IP geht, Name nicht | DNS | | 169.254.x.x | DHCP | | HTTP 401 | Authentifizierung | | HTTP 403 | Autorisierung / Rechte | | HTTP 404 | Ressource nicht gefunden | | HTTP 500 | Server oder Anwendung | | HTTP 502 | Gateway, Proxy oder Backend | | Login ja, Datei nein | Berechtigung | | Anmeldung scheitert | Authentifizierung | | SMB nicht erreichbar | TCP 445, Firewall, Rechte, Dienst | --- **IHK-sichere Kurzformulierung** Die oberen OSI-Schichten behandeln Sitzungen, Darstellung und Anwendungsdienste. Schicht 5 verwaltet Sitzungen, zum Beispiel Session-IDs, Cookies, Token und Timeouts. Schicht 6 ist für Darstellung, Codierung, Kompression und Verschlüsselung zuständig; TLS und Zertifikate werden häufig hier eingeordnet. Schicht 7 stellt Anwendungsprotokolle bereit, zum Beispiel HTTP, DNS, DHCP, SMTP, IMAP, POP3 und SMB. DNS löst Namen in IP-Adressen auf, DHCP verteilt Netzwerkkonfigurationen. HTTP-Statuscodes helfen bei der Fehlersuche: 401 bedeutet nicht authentifiziert, 403 verboten, 404 nicht gefunden und 500 interner Serverfehler. Bei Anwendungsfehlern sollten Dienst, Port, DNS, Rechte, TLS und Logs gezielt geprüft werden. --- **Merksätze** Schicht 5 ist die Sitzungsschicht. Schicht 6 ist die Darstellungsschicht. Schicht 7 ist die Anwendungsschicht. Session, Cookie und Token gehören zur Sitzungsverwaltung. Timeout beendet Sitzungen. TLS schützt Verbindungen. Zertifikate prüfen Serveridentität. Zertifikatsfehler: Ablauf, Name, Kette, Vertrauen, Zeit. HTTP ist Schicht 7. HTTPS = HTTP plus TLS. HTTP nutzt TCP 80. HTTPS nutzt TCP 443. DNS löst Namen auf. DNS nutzt UDP und TCP 53. DHCP verteilt IP-Konfiguration. DHCP nutzt UDP 67 und 68. DHCP-DORA: Discover, Offer, Request, Acknowledge. 169.254.x.x deutet auf DHCP-Problem hin. SMTP sendet E-Mails. IMAP synchronisiert E-Mails. POP3 ruft E-Mails ab. SMB stellt Datei- und Druckfreigaben bereit. SMB nutzt TCP 445. FTP ist unverschlüsselt. FTPS ist FTP mit TLS. SFTP nutzt SSH. 401 = nicht authentifiziert. 403 = verboten. 404 = nicht gefunden. 500 = interner Serverfehler. 502 = Gateway oder Backend-Fehler. IP ja, Name nein: DNS. Login ja, Zugriff nein: Rechte. Anmeldung scheitert: Authentifizierung. 5xx: Server, Anwendung oder Backend prüfen. # 20.8 Trainer – Firewall, NAT, PAT, Portweiterleitung und DMZ Diese Trainer-Seite wiederholt Firewalls, NAT, PAT, Portweiterleitung und DMZ. Ziel ist, typische Prüfungsfragen zu Sicherheitszonen, Firewall-Regeln, Adressübersetzung, öffentlichen Diensten und Fehlersuche sicher zu beantworten. Merksatz: Firewall filtert. NAT übersetzt. PAT nutzt Ports. DMZ trennt öffentliche Dienste vom internen Netz. --- **Lernziele** Nach dieser Seite solltest du sicher können: - Firewall und NAT unterscheiden - Firewall-Regeln fachlich sauber beschreiben - Default Deny erklären - Any-to-Any-Regeln bewerten - NAT, PAT und Portweiterleitung unterscheiden - private IPv4-Adressen einordnen - DMZ erklären - Sicherheitszonen verstehen - typische Fehler bei Firewall, NAT und Portweiterleitung erkennen --- **Kurzüberblick** | Begriff | Hauptaufgabe | |---|---| | Firewall | Verkehr erlauben oder blockieren | | NAT | IP-Adressen übersetzen | | PAT | IP-Adressen und Ports übersetzen | | Portweiterleitung | externen Port auf internen Dienst weiterleiten | | DMZ | öffentlich erreichbare Dienste vom internen Netz trennen | | Default Deny | standardmäßig blockieren, nur gezielt erlauben | | Any-to-Any | jede Quelle zu jedem Ziel, meist kritisch | Merksatz: Nicht alles, was auf demselben Gerät läuft, ist fachlich dasselbe. --- **Aufgabe 1** Was macht eine Firewall?
Antwort anzeigen Eine Firewall filtert Netzwerkverkehr. Sie entscheidet anhand von Regeln, ob Verkehr erlaubt oder blockiert wird. Typische Kriterien: Quelle Ziel Port Protokoll Richtung Zone Benutzer Anwendung Zustand der Verbindung Merksatz: Firewall = kontrollierter Verkehr.
--- **Aufgabe 2** Welche Angaben gehören in eine saubere Firewall-Regel?
Antwort anzeigen Eine saubere Firewall-Regel enthält: Quelle Ziel Protokoll Port Richtung Aktion Zweck Verantwortlicher Datum oder Änderungsgrund Beispiel: | Quelle | Ziel | Protokoll | Port | Aktion | Zweck | |---|---|---|---:|---|---| | Adminnetz | Server | TCP | 22 | erlauben | SSH-Administration | | Internet | Datenbank | TCP | 5432 | blockieren | Datenbank schützen | | Clientnetz | Webserver-DMZ | TCP | 443 | erlauben | HTTPS-Zugriff | Merksatz: Firewall-Regeln brauchen Quelle, Ziel, Port, Protokoll und Zweck.
--- **Aufgabe 3** Was bedeutet Default Deny?
Antwort anzeigen Default Deny bedeutet: Standardmäßig ist Verkehr verboten. Nur ausdrücklich erlaubter Verkehr wird zugelassen. Vorteile: kleinere Angriffsfläche bessere Kontrolle weniger unbeabsichtigte Freigaben klarere Sicherheitsstruktur Merksatz: Erst blockieren, dann gezielt erlauben.
--- **Aufgabe 4** Warum ist eine Any-to-Any-Regel kritisch?
Antwort anzeigen Any-to-Any bedeutet: jede Quelle zu jedem Ziel Risiken: sehr große Angriffsfläche schlechte Nachvollziehbarkeit Sicherheitszonen werden umgangen unnötige Freigaben Fehler schwerer erkennbar Besser: genaue Regel mit Quelle, Ziel, Port, Protokoll und dokumentiertem Zweck. Merksatz: Any-to-Any ist fast immer kritisch.
--- **Aufgabe 5** Was ist der Unterschied zwischen Stateless Firewall und Stateful Firewall?
Antwort anzeigen Stateless Firewall: prüft jedes Paket einzeln merkt sich keinen Verbindungszustand Stateful Firewall: merkt sich bestehende Verbindungen lässt Antwortpakete zu bestehenden Verbindungen automatisch zu Beispiel: Client startet HTTPS-Verbindung nach außen. Stateful Firewall erkennt, dass die Antwortpakete zur bestehenden Verbindung gehören. Merksatz: Stateful Firewall kennt Verbindungszustände.
--- **Aufgabe 6** Was ist eine Firewall-Zone?
Antwort anzeigen Eine Firewall-Zone ist ein Netzbereich mit bestimmtem Schutzbedarf. Beispiele: Internet DMZ internes Netz Servernetz Clientnetz Gastnetz Managementnetz Ziel: Regeln übersichtlich nach Sicherheitsbereichen aufbauen. Merksatz: Zonen strukturieren Sicherheitsregeln.
--- **Aufgabe 7** Was ist eine DMZ?
Antwort anzeigen DMZ steht für: Demilitarized Zone Eine DMZ ist ein getrenntes Netzwerk für Dienste, die von außen erreichbar sein müssen. Beispiele: Webserver Reverse Proxy Mail-Gateway VPN-Gateway Ziel: öffentliche Dienste vom internen Netz trennen. Merksatz: DMZ trennt öffentliche Dienste vom internen Netz.
--- **Aufgabe 8** Warum stellt man öffentlich erreichbare Server nicht direkt ins interne Netz?
Antwort anzeigen Öffentlich erreichbare Server haben eine größere Angriffsfläche. Wenn ein solcher Server kompromittiert wird, soll der Angreifer nicht direkt Zugriff auf interne Systeme erhalten. Deshalb werden solche Systeme in eine DMZ gestellt und durch Firewall-Regeln vom internen Netz getrennt. Merksatz: Öffentliche Dienste gehören in eine getrennte Zone.
--- **Aufgabe 9** Welche Regel ist sicherer? A: Internet zu internes Netz, any, erlauben B: Internet zu Webserver-DMZ, TCP 443, erlauben
Antwort anzeigen Sicherer ist: B Begründung: Die Regel ist gezielter. Sie erlaubt nur HTTPS-Verkehr zum Webserver in der DMZ. Regel A erlaubt dagegen sehr breit Verkehr aus dem Internet ins interne Netz. Merksatz: Je genauer die Regel, desto besser kontrollierbar.
--- **Aufgabe 10** Was ist NAT?
Antwort anzeigen NAT steht für: Network Address Translation Aufgabe: IP-Adressen übersetzen. Typischer Einsatz: private interne IPv4-Adressen werden beim Zugriff ins Internet in eine öffentliche IPv4-Adresse übersetzt. Merksatz: NAT übersetzt Adressen.
--- **Aufgabe 11** Warum wird NAT häufig eingesetzt?
Antwort anzeigen Gründe: private IPv4-Adressen intern nutzen öffentliche IPv4-Adressen sparen vielen Clients Internetzugriff ermöglichen interne Adressen nach außen verbergen Wichtig: NAT ersetzt keine Firewall. Merksatz: NAT hilft bei Adressübersetzung, ist aber kein vollständiges Sicherheitskonzept.
--- **Aufgabe 12** Welche privaten IPv4-Bereiche gibt es?
Antwort anzeigen Private IPv4-Bereiche: | Bereich | CIDR | |---|---| | 10.0.0.0 bis 10.255.255.255 | 10.0.0.0/8 | | 172.16.0.0 bis 172.31.255.255 | 172.16.0.0/12 | | 192.168.0.0 bis 192.168.255.255 | 192.168.0.0/16 | Merksatz: Private IPv4-Adressen werden im Internet nicht direkt geroutet.
--- **Aufgabe 13** Was ist PAT?
Antwort anzeigen PAT steht für: Port Address Translation PAT ist eine Form von NAT, bei der zusätzlich Portnummern genutzt werden. Zweck: Viele interne Clients können über eine öffentliche IP-Adresse ins Internet, weil Verbindungen über Ports unterschieden werden. Merksatz: PAT nutzt Ports zur Unterscheidung mehrerer Verbindungen.
--- **Aufgabe 14** Was ist der Unterschied zwischen NAT und PAT?
Antwort anzeigen NAT: übersetzt IP-Adressen PAT: übersetzt IP-Adressen und Ports Typischer Praxisfall: Viele interne Geräte nutzen über PAT eine gemeinsame öffentliche IP-Adresse. Merksatz: NAT übersetzt Adressen. PAT übersetzt Adressen und Ports.
--- **Aufgabe 15** Was ist Portweiterleitung?
Antwort anzeigen Portweiterleitung bedeutet: Eingehender Verkehr auf einem externen Port wird an einen internen Dienst weitergeleitet. Beispiel: öffentliche IP: TCP 443 wird weitergeleitet an: interner Webserver: 192.168.10.20 TCP 443 Merksatz: Portweiterleitung macht interne Dienste von außen erreichbar.
--- **Aufgabe 16** Warum erhöht Portweiterleitung die Angriffsfläche?
Antwort anzeigen Portweiterleitung macht einen internen Dienst von außen erreichbar. Dadurch kann der Dienst aus dem Internet angegriffen werden. Risiken: Exploits Brute-Force-Angriffe Fehlkonfiguration Datenabfluss DoS Schutzmaßnahmen: nur notwendige Ports freigeben Dienst patchen starke Authentifizierung TLS nutzen Logging aktivieren Zugriff einschränken DMZ verwenden Merksatz: Jeder veröffentlichte Port ist eine mögliche Angriffsfläche.
--- **Aufgabe 17** Was ist der Unterschied zwischen ausgehendem NAT und Portweiterleitung?
Antwort anzeigen Ausgehendes NAT: interne Clients greifen nach außen zu private IP wird nach außen übersetzt Portweiterleitung: externe Clients greifen auf internen Dienst zu externer Port wird nach intern weitergeleitet Merksatz: NAT nach außen ist nicht dasselbe wie Zugriff von außen nach innen.
--- **Aufgabe 18** Was ist der Unterschied zwischen NAT und Firewall?
Antwort anzeigen NAT: übersetzt Adressen Firewall: erlaubt oder blockiert Verkehr Wichtig: Viele Geräte kombinieren beide Funktionen. Fachlich bleiben sie verschieden. Merksatz: NAT übersetzt. Firewall filtert.
--- **Aufgabe 19** Ein Client erreicht lokale Geräte, aber keine Internetziele. Welche Themen sind wahrscheinlich?
Antwort anzeigen Mögliche Ursachen: Standardgateway fehlt Standardgateway falsch Routingfehler NAT fehlt oder fehlerhaft Firewall blockiert Providerverbindung gestört DNS zusätzlich bei Zugriff über Namen Merksatz: Lokal ja, extern nein: Gateway, Routing, NAT oder Firewall prüfen.
--- **Aufgabe 20** Ein Client erreicht eine externe IP-Adresse, aber keine Webseite per Namen. Ist NAT wahrscheinlich das Hauptproblem?
Antwort anzeigen Eher nein. Wenn externe IP-Adressen erreichbar sind, funktionieren Gateway, Routing und NAT wahrscheinlich grundsätzlich. Wenn nur Namen nicht funktionieren, ist DNS wahrscheinlicher. Merksatz: IP ja, Name nein: DNS.
--- **Aufgabe 21** Eine Portweiterleitung auf einen internen Webserver funktioniert nicht. Nenne mögliche Ursachen.
Antwort anzeigen Mögliche Ursachen: falscher externer Port falsche interne IP-Adresse falscher interner Port Webdienst läuft nicht Dienst lauscht nicht auf richtiger Schnittstelle lokale Firewall blockiert Router-Firewall blockiert NAT-Regel fehlt oder falsch DNS zeigt auf falsche öffentliche IP doppeltes NAT CGNAT beim Provider Zertifikat oder Anwendung fehlerhaft Merksatz: Portweiterleitung braucht DNS, NAT, Firewall und laufenden Dienst.
--- **Aufgabe 22** Was ist doppeltes NAT?
Antwort anzeigen Doppeltes NAT bedeutet: Verkehr wird durch zwei NAT-Geräte übersetzt. Beispiel: Provider-Router und dahinter eigener Router Problem: Portweiterleitungen werden schwieriger, weil beide Geräte korrekt konfiguriert werden müssen. Merksatz: Doppeltes NAT erschwert eingehende Verbindungen.
--- **Aufgabe 23** Was ist CGNAT?
Antwort anzeigen CGNAT steht für: Carrier-Grade NAT Dabei teilt der Provider öffentliche IPv4-Adressen auf mehrere Kunden auf. Problem: Der Kunde hat oft keine eigene öffentlich erreichbare IPv4-Adresse. Eingehende Portweiterleitungen funktionieren dadurch meist nicht direkt. Merksatz: CGNAT erschwert Zugriff von außen auf eigene Dienste.
--- **Aufgabe 24** Warum kann eine Portweiterleitung trotz korrekter Router-Regel nicht funktionieren, wenn der Provider CGNAT nutzt?
Antwort anzeigen Bei CGNAT liegt die öffentliche IPv4-Adresse nicht direkt am eigenen Router. Der Router ist hinter einer NAT-Struktur des Providers. Dadurch erreichen eingehende Verbindungen die eigene Portweiterleitung nicht direkt. Merksatz: Ohne eigene öffentliche IPv4-Adresse ist Portweiterleitung von außen schwierig.
--- **Aufgabe 25** Was ist Hairpin NAT oder NAT Loopback?
Antwort anzeigen Hairpin NAT oder NAT Loopback bedeutet: Ein interner Client greift über die öffentliche Adresse oder Domain auf einen internen Dienst zu. Der Router leitet die Verbindung wieder zurück ins interne Netz. Problem: Nicht jeder Router unterstützt das sauber. Merksatz: Hairpin NAT betrifft internen Zugriff über externe Adresse.
--- **Aufgabe 26** Warum kann ein Dienst intern funktionieren, aber extern nicht?
Antwort anzeigen Mögliche Ursachen: Portweiterleitung fehlt externe Firewall blockiert öffentliche IP falsch DNS zeigt falsch doppeltes NAT CGNAT Dienst bindet nur an interne Adresse Zertifikat oder Hostname falsch Provider blockiert Port Merksatz: Intern erreichbar heißt nicht automatisch extern erreichbar.
--- **Aufgabe 27** Warum kann ein Dienst extern funktionieren, aber intern über die öffentliche Domain nicht?
Antwort anzeigen Mögliche Ursachen: Hairpin NAT fehlt Split-DNS fehlt interne DNS-Auflösung zeigt auf falsche Adresse Firewall-Regel für internen Zugriff fehlt Zertifikat oder Hostname passt nicht Merksatz: Externe Domain intern nutzen: Hairpin NAT oder Split-DNS prüfen.
--- **Aufgabe 28** Was ist Split-DNS im Zusammenhang mit internen Diensten?
Antwort anzeigen Split-DNS bedeutet: Ein Name kann intern und extern unterschiedlich aufgelöst werden. Beispiel: extern: app.firma.de zeigt auf öffentliche IP intern: app.firma.de zeigt auf interne IP Vorteil: interne Clients können den Dienst direkt intern erreichen, ohne Hairpin NAT zu benötigen. Merksatz: Split-DNS kann interne und externe Wege trennen.
--- **Aufgabe 29** Ein Webserver in der DMZ soll aus dem Internet erreichbar sein. Welche Regel ist sinnvoll?
Antwort anzeigen Sinnvolle Regel: Quelle: Internet Ziel: Webserver in der DMZ Protokoll: TCP Port: 443 Aktion: erlauben Zweck: HTTPS-Zugriff auf Webserver Wichtig: Nicht pauschal Zugriff vom Internet ins interne Netz erlauben. Merksatz: Öffentlich nur den benötigten Dienst freigeben.
--- **Aufgabe 30** Ein Webserver in der DMZ braucht Zugriff auf eine interne Datenbank. Wie sollte die Regel aussehen?
Antwort anzeigen Gezielte Regel: Quelle: Webserver-DMZ Ziel: Datenbankserver intern Protokoll: TCP Port: Datenbankport, zum Beispiel 5432 oder 3306 Aktion: erlauben Zweck: Anwendung greift auf Datenbank zu Wichtig: Nur exakt benötigten Zugriff erlauben. Kein Any-to-Any zwischen DMZ und internem Netz. Merksatz: DMZ zu intern nur minimal und gezielt erlauben.
--- **Aufgabe 31** Warum sollte ein Datenbankserver nicht direkt aus dem Internet erreichbar sein?
Antwort anzeigen Ein Datenbankserver enthält oft sensible Daten und ist ein attraktives Angriffsziel. Risiken: Brute Force Exploits Datenabfluss Manipulation DoS Besser: Zugriff nur vom Anwendungsserver Firewall-Beschränkung kein direkter Internetzugriff starke Authentifizierung Monitoring Merksatz: Datenbankports gehören nicht offen ins Internet.
--- **Aufgabe 32** Was ist eine gute Regel für ein Gastnetz?
Antwort anzeigen Typische Regeln: Gastnetz zu Internet: erlauben Gastnetz zu internem Netz: blockieren Gastnetz zu Managementnetz: blockieren Gastnetz zu Servernetz: blockieren, außer ausdrücklich benötigte Dienste Merksatz: Gastnetz nur ins Internet, nicht ins interne Netz.
--- **Aufgabe 33** Was ist eine gute Regel für ein Managementnetz?
Antwort anzeigen Ein Managementnetz sollte nur für Administration genutzt werden. Typische Regeln: Adminnetz zu Servern: benötigte Adminports erlauben Adminnetz zu Switches: SSH oder HTTPS erlauben normale Clientnetze zu Management: blockieren Internet zu Management: blockieren Merksatz: Managementzugänge besonders schützen.
--- **Aufgabe 34** Ein Porttest von außen schlägt fehl. Welche Punkte prüfst du?
Antwort anzeigen Prüfen: richtige öffentliche IP? DNS zeigt auf richtige IP? Portweiterleitung korrekt? externe Firewall erlaubt? interne Firewall erlaubt? Dienst läuft intern? Dienst lauscht auf richtigem Port? Dienst lauscht auf richtiger Schnittstelle? doppeltes NAT? CGNAT? Provider blockiert Port? Merksatz: Externer Porttest: DNS, NAT, Firewall, Dienst und Provider prüfen.
--- **Aufgabe 35** Warum reicht die Aussage „Firewall prüfen“ in der Prüfung oft nicht aus?
Antwort anzeigen Die Aussage ist zu ungenau. Besser ist: Quelle prüfen Ziel prüfen Port prüfen Protokoll prüfen Richtung prüfen Zone prüfen Regelreihenfolge prüfen Firewall-Logs prüfen Merksatz: Firewallprüfung braucht konkrete Angaben.
--- **Aufgabe 36** Was ist Regelreihenfolge bei Firewalls?
Antwort anzeigen Viele Firewalls verarbeiten Regeln in einer bestimmten Reihenfolge. Eine frühere Regel kann spätere Regeln überdecken. Beispiel: Eine Block-Regel vor einer Erlauben-Regel kann Zugriff verhindern. Merksatz: Bei Firewalls auch Regelreihenfolge prüfen.
--- **Aufgabe 37** Welche Antwort ist besser? Aufgabe: Warum ersetzt NAT keine Firewall? Antwort A: Weil NAT anders heißt. Antwort B: NAT übersetzt IP-Adressen. Eine Firewall entscheidet dagegen, welcher Verkehr erlaubt oder blockiert wird. NAT kann interne Adressen verbergen, ersetzt aber keine gezielte Zugriffskontrolle.
Antwort anzeigen B ist besser. Begründung: Die Antwort trennt die Funktionen fachlich korrekt. Merksatz: NAT übersetzt, Firewall kontrolliert.
--- **Aufgabe 38** Welche Antwort ist besser? Aufgabe: Warum ist eine DMZ sinnvoll? Antwort A: Weil man das bei Servern macht. Antwort B: Eine DMZ trennt öffentlich erreichbare Dienste vom internen Netz. Wenn ein Server in der DMZ kompromittiert wird, soll der Zugriff auf interne Systeme durch Firewall-Regeln begrenzt bleiben.
Antwort anzeigen B ist besser. Begründung: Die Antwort erklärt den Sicherheitszweck der DMZ. Merksatz: DMZ begrenzt Schaden bei öffentlichen Diensten.
--- **Aufgabe 39** Welche Antwort ist besser? Aufgabe: Eine Portweiterleitung funktioniert nicht. Nennen Sie sinnvolle Prüfungen. Antwort A: Router ist wahrscheinlich kaputt. Antwort B: Es sollten öffentliche IP, DNS, externer Port, interne Ziel-IP, interner Port, Dienststatus, lokale Firewall, Router-Firewall, doppeltes NAT und CGNAT geprüft werden.
Antwort anzeigen B ist besser. Begründung: Die Antwort nennt systematisch die beteiligten Komponenten. Merksatz: Portweiterleitung ist Zusammenspiel aus DNS, NAT, Firewall und Dienst.
--- **Aufgabe 40** Welche Antwort ist besser? Aufgabe: Warum ist Any-to-Any kritisch? Antwort A: Weil viel erlaubt ist. Antwort B: Any-to-Any erlaubt Verkehr von jeder Quelle zu jedem Ziel. Dadurch entsteht eine große Angriffsfläche, Sicherheitszonen werden umgangen und die Regel ist schwer nachvollziehbar. Besser sind gezielte Regeln mit Quelle, Ziel, Port, Protokoll und Zweck.
Antwort anzeigen B ist besser. Begründung: Die Antwort nennt konkrete Risiken und eine bessere Alternative. Merksatz: Bewertung braucht Risiko und bessere Maßnahme.
--- **Mini-Prüfung: schnelle Zuordnung** | Frage | Antwort | |---|---| | Was macht eine Firewall? | Verkehr filtern | | Was macht NAT? | IP-Adressen übersetzen | | Was macht PAT? | IP-Adressen und Ports übersetzen | | Was macht Portweiterleitung? | externen Port nach intern weiterleiten | | Was bedeutet DMZ? | getrennte Zone für öffentliche Dienste | | Was bedeutet Default Deny? | standardmäßig blockieren | | Warum ist Any-to-Any kritisch? | zu breite Freigabe | | Was sind private IPv4-Bereiche? | 10/8, 172.16/12, 192.168/16 | | Was ist CGNAT? | NAT beim Provider | | Was ist doppeltes NAT? | zwei NAT-Geräte hintereinander | | Was ist Split-DNS? | interne und externe Namensauflösung unterschiedlich | | Was ist Hairpin NAT? | interner Zugriff über öffentliche Adresse | --- **Mini-Prüfung: Fehlerbild erkennen** | Fehlerbild | Wahrscheinliches Thema | |---|---| | lokal geht, Internet nicht | Gateway, Routing, NAT, Firewall | | externe IP geht, Name nicht | DNS | | Portweiterleitung extern geht nicht | NAT, Firewall, DNS, Dienst, CGNAT | | intern geht, extern nicht | Portweiterleitung, Firewall, öffentliche IP | | extern geht, intern über Domain nicht | Hairpin NAT oder Split-DNS | | nur bestimmter Port geht nicht | Firewall, Dienst, Portregel | | DMZ-Server erreicht Datenbank nicht | Regel DMZ zu intern prüfen | | Gastnetz erreicht interne Server | Firewall-Regeln oder VLAN-Trennung falsch | | Datenbank öffentlich erreichbar | Sicherheitsrisiko | | Any-to-Any-Regel vorhanden | Sicherheitsrisiko | --- **IHK-sichere Kurzformulierung** Eine Firewall filtert Netzwerkverkehr anhand von Regeln wie Quelle, Ziel, Port, Protokoll, Richtung und Aktion. NAT übersetzt IP-Adressen, während PAT zusätzlich Portnummern nutzt, damit mehrere interne Clients über eine öffentliche IP-Adresse kommunizieren können. Portweiterleitung leitet eingehenden Verkehr von einem externen Port an einen internen Dienst weiter und erhöht dadurch die Angriffsfläche. Eine DMZ ist ein getrenntes Netzwerk für öffentlich erreichbare Dienste, damit diese vom internen Netz getrennt sind. Default Deny bedeutet, dass Verkehr standardmäßig blockiert und nur gezielt erlaubt wird. Any-to-Any-Regeln sind kritisch, weil sie sehr breite Kommunikation erlauben und Sicherheitszonen umgehen können. --- **Merksätze** Firewall filtert. NAT übersetzt. PAT nutzt Ports. Portweiterleitung veröffentlicht interne Dienste. DMZ trennt öffentliche Dienste vom internen Netz. Default Deny ist sicherer als alles erlauben. Any-to-Any ist kritisch. Firewall-Regeln brauchen Quelle, Ziel, Port, Protokoll, Richtung und Zweck. Stateful Firewall kennt Verbindungen. Stateless Firewall prüft Pakete einzeln. NAT ersetzt keine Firewall. Private IPv4-Adressen werden im Internet nicht direkt geroutet. 10.0.0.0/8 ist privat. 172.16.0.0/12 ist privat. 192.168.0.0/16 ist privat. PAT ermöglicht vielen Clients eine öffentliche IP. Portweiterleitung erhöht die Angriffsfläche. Öffentliche Dienste gehören in eine DMZ. Datenbankports gehören nicht offen ins Internet. Gastnetz gehört nicht ins interne Netz. Managementzugänge besonders schützen. Doppeltes NAT erschwert Portweiterleitungen. CGNAT erschwert eingehende Verbindungen. Hairpin NAT betrifft internen Zugriff über öffentliche Adresse. Split-DNS kann interne und externe Wege trennen. Portweiterleitung braucht DNS, NAT, Firewall und Dienst. Firewallprüfung braucht konkrete Angaben. Regelreihenfolge beachten. DMZ zu intern nur minimal erlauben. Je genauer die Regel, desto besser kontrollierbar. # 20.9 Trainer – VPN, Intranet, Extranet und sicherer Fernzugriff Diese Trainer-Seite wiederholt VPN, Intranet, Extranet, VPN-Arten, VPN-Protokolle, VPN-Routing, DNS und typische Fehler beim sicheren Fernzugriff. Ziel ist, typische Prüfungsfragen zu verschlüsseltem Zugriff, Standortvernetzung, Remote-Arbeit und VPN-Fehlersuche sicher zu beantworten. Merksatz: VPN verbindet sicher über unsichere Netze. Intranet ist intern. Extranet ist kontrollierter Zugriff für Externe. --- **Lernziele** Nach dieser Seite solltest du sicher können: - VPN erklären - Intranet und Extranet unterscheiden - Remote-Access-VPN und Site-to-Site-VPN unterscheiden - VPN-Protokolle grob einordnen - Split-Tunneling und Full-Tunneling erklären - VPN-Routing und VPN-DNS verstehen - typische VPN-Fehler erkennen - Sicherheitsmaßnahmen für VPN nennen - VPN von normaler Portweiterleitung unterscheiden --- **Kurzüberblick** | Begriff | Bedeutung | |---|---| | VPN | verschlüsselte Verbindung über ein unsicheres Netz | | Remote-Access-VPN | einzelner Benutzer verbindet sich ins Firmennetz | | Site-to-Site-VPN | zwei Standorte oder Netze werden verbunden | | Intranet | internes Netz einer Organisation | | Extranet | kontrollierter Zugriff für externe Partner | | Split-Tunneling | nur bestimmter Verkehr läuft durch VPN | | Full-Tunneling | gesamter Verkehr läuft durch VPN | | VPN-Gateway | Gegenstelle für VPN-Verbindungen | Merksatz: VPN ist der Tunnel. Intranet ist intern. Extranet ist kontrolliert extern. --- **Aufgabe 1** Was ist ein VPN?
Antwort anzeigen VPN steht für: Virtual Private Network Ein VPN stellt eine geschützte Verbindung über ein unsicheres Netz her, zum Beispiel über das Internet. Typische Ziele: Vertraulichkeit Integrität Authentifizierung sicherer Fernzugriff Merksatz: VPN = verschlüsselter Tunnel über unsicheres Netz.
--- **Aufgabe 2** Warum nutzt man VPN?
Antwort anzeigen VPN wird genutzt für: sicheren Fernzugriff Homeoffice Standortvernetzung Zugriff auf interne Dienste geschützte Administration sichere Kommunikation über das Internet Merksatz: VPN ermöglicht sicheren Zugriff auf interne Ressourcen.
--- **Aufgabe 3** Was ist ein Intranet?
Antwort anzeigen Ein Intranet ist ein internes Netzwerk oder internes Informationssystem einer Organisation. Typische Inhalte: interne Webseiten interne Dokumente interne Anwendungen interne Dateiablagen interne Kommunikation Zugriff: normalerweise nur für berechtigte interne Benutzer. Merksatz: Intranet = internes Netz oder internes Informationssystem.
--- **Aufgabe 4** Was ist ein Extranet?
Antwort anzeigen Ein Extranet ist ein kontrollierter Zugriff auf interne Dienste für externe Personen oder Organisationen. Beispiele: Lieferantenportal Kundenportal Partnerzugang externer Dienstleisterzugriff Wichtig: Zugriff ist begrenzt und kontrolliert. Merksatz: Extranet = kontrollierter Zugriff für Externe.
--- **Aufgabe 5** Was ist der Unterschied zwischen Intranet und Extranet?
Antwort anzeigen Intranet: internes Netzwerk oder interne Dienste für eigene Organisation Extranet: kontrollierter Zugriff für externe Partner, Kunden oder Dienstleister Merksatz: Intranet intern. Extranet kontrolliert extern.
--- **Aufgabe 6** Was ist ein Remote-Access-VPN?
Antwort anzeigen Remote-Access-VPN bedeutet: Ein einzelner Benutzer oder Client verbindet sich von außen sicher ins Firmennetz. Typische Nutzung: Homeoffice Außendienst Administratorzugriff Zugriff auf interne Anwendungen Merksatz: Remote-Access-VPN = einzelner Benutzer ins Netz.
--- **Aufgabe 7** Was ist ein Site-to-Site-VPN?
Antwort anzeigen Site-to-Site-VPN bedeutet: Zwei Netzwerke oder Standorte werden über einen VPN-Tunnel verbunden. Beispiele: Hauptstandort zu Filiale Rechenzentrum zu Cloud-Netz Firma zu Partnernetz Merksatz: Site-to-Site-VPN = Netz zu Netz.
--- **Aufgabe 8** Ordne zu. | VPN-Art | Bedeutung | |---|---| | Remote-Access-VPN | ? | | Site-to-Site-VPN | ? |
Antwort anzeigen | VPN-Art | Bedeutung | |---|---| | Remote-Access-VPN | einzelner Benutzer verbindet sich ins Firmennetz | | Site-to-Site-VPN | zwei Standorte oder Netze werden verbunden | Merksatz: Remote Access = Benutzer. Site-to-Site = Standort.
--- **Aufgabe 9** Was ist ein VPN-Gateway?
Antwort anzeigen Ein VPN-Gateway ist die Gegenstelle, an der VPN-Verbindungen aufgebaut werden. Beispiele: Firewall Router VPN-Server Cloud-VPN-Gateway Aufgabe: VPN-Tunnel terminieren Benutzer oder Gegenstelle authentifizieren Verkehr entschlüsseln und weiterleiten Merksatz: VPN-Gateway = Eingangspunkt des VPN-Tunnels.
--- **Aufgabe 10** Was bedeutet Tunnel bei VPN?
Antwort anzeigen Ein Tunnel bedeutet: Daten werden in eine geschützte Verbindung eingepackt und über ein anderes Netz transportiert. Der eigentliche Datenverkehr ist dabei für das unsichere Netz geschützt. Merksatz: Tunnel = geschützter Transportweg durch ein anderes Netz.
--- **Aufgabe 11** Welche Schutzziele unterstützt VPN besonders?
Antwort anzeigen VPN unterstützt besonders: Vertraulichkeit Integrität Authentizität Begründung: Daten werden verschlüsselt, Manipulationen können erkannt werden und Gegenstellen werden authentifiziert. Merksatz: VPN schützt nicht nur den Weg, sondern auch Identität und Datenintegrität.
--- **Aufgabe 12** Was ist Split-Tunneling?
Antwort anzeigen Split-Tunneling bedeutet: Nur bestimmter Verkehr läuft durch den VPN-Tunnel. Beispiel: Zugriff auf Firmennetz läuft durch VPN. normaler Internetverkehr läuft direkt ins Internet. Vorteil: weniger Last auf VPN-Gateway oft bessere Internetgeschwindigkeit Risiko: weniger zentrale Kontrolle des gesamten Verkehrs Merksatz: Split-Tunneling = nur ausgewählter Verkehr durch VPN.
--- **Aufgabe 13** Was ist Full-Tunneling?
Antwort anzeigen Full-Tunneling bedeutet: Der gesamte Netzwerkverkehr des Clients läuft durch den VPN-Tunnel. Beispiel: interne Dienste Internetzugriff DNS Webverkehr alles wird über das Firmennetz geleitet. Vorteil: zentrale Kontrolle einheitliche Sicherheitsrichtlinien Nachteil: mehr Last auf VPN-Infrastruktur Merksatz: Full-Tunneling = gesamter Verkehr durch VPN.
--- **Aufgabe 14** Vergleiche Split-Tunneling und Full-Tunneling. | Merkmal | Split-Tunneling | Full-Tunneling | |---|---|---| | Verkehr durch VPN | ? | ? | | Last auf VPN | ? | ? | | zentrale Kontrolle | ? | ? | | typisches Risiko | ? | ? |
Antwort anzeigen | Merkmal | Split-Tunneling | Full-Tunneling | |---|---|---| | Verkehr durch VPN | nur ausgewählter Verkehr | gesamter Verkehr | | Last auf VPN | geringer | höher | | zentrale Kontrolle | geringer | stärker | | typisches Risiko | weniger Kontrolle über Direktverkehr | VPN-Gateway stärker belastet | Merksatz: Split spart Last. Full gibt mehr Kontrolle.
--- **Aufgabe 15** Was ist IPsec?
Antwort anzeigen IPsec ist eine Protokollfamilie zur Absicherung von IP-Kommunikation. Typische Nutzung: Site-to-Site-VPN Remote-Access-VPN Eigenschaften: Verschlüsselung Integritätsschutz Authentifizierung Merksatz: IPsec sichert IP-Verkehr.
--- **Aufgabe 16** Was ist IKEv2?
Antwort anzeigen IKEv2 steht für: Internet Key Exchange Version 2 Aufgabe: Aufbau und Aushandlung von IPsec-Verbindungen unterstützen. IKEv2 wird häufig zusammen mit IPsec genutzt. Merksatz: IKEv2 hilft beim Aufbau von IPsec-VPNs.
--- **Aufgabe 17** Was ist OpenVPN?
Antwort anzeigen OpenVPN ist eine VPN-Lösung, die häufig TLS zur Absicherung verwendet. Typische Nutzung: Remote-Access-VPN flexible VPN-Szenarien Eigenschaften: weit verbreitet zertifikatsbasiert möglich über TCP oder UDP betreibbar Merksatz: OpenVPN nutzt häufig TLS und ist flexibel einsetzbar.
--- **Aufgabe 18** Was ist WireGuard?
Antwort anzeigen WireGuard ist ein modernes VPN-Protokoll. Eigenschaften: schlank vergleichsweise einfach konfigurierbar nutzt moderne Kryptografie häufig gute Performance Merksatz: WireGuard ist ein schlankes modernes VPN-Protokoll.
--- **Aufgabe 19** Was ist ein TLS-VPN?
Antwort anzeigen Ein TLS-VPN nutzt TLS zur Absicherung der Verbindung. Typisch: Zugriff über VPN-Client teilweise Zugriff über Browserportal sichere Verbindung über bekannte Web-Techniken Merksatz: TLS-VPN nutzt TLS für geschützte Kommunikation.
--- **Aufgabe 20** Ordne die VPN-Protokolle grob zu. | Begriff | Einordnung | |---|---| | IPsec | ? | | IKEv2 | ? | | OpenVPN | ? | | WireGuard | ? | | TLS-VPN | ? |
Antwort anzeigen | Begriff | Einordnung | |---|---| | IPsec | Sicherung von IP-Kommunikation | | IKEv2 | Aushandlung und Aufbau von IPsec | | OpenVPN | flexible VPN-Lösung, häufig TLS-basiert | | WireGuard | modernes schlankes VPN-Protokoll | | TLS-VPN | VPN über TLS-gesicherte Verbindung | Merksatz: IPsec sichert IP. IKEv2 handelt IPsec aus. OpenVPN und TLS-VPN nutzen TLS-Techniken. WireGuard ist modern und schlank.
--- **Aufgabe 21** Warum braucht ein VPN Authentifizierung?
Antwort anzeigen VPN muss prüfen, wer oder was sich verbinden darf. Mögliche Verfahren: Benutzername und Passwort MFA Zertifikate Schlüssel Geräteprüfung Ziel: nur berechtigte Benutzer oder Standorte dürfen Zugriff erhalten. Merksatz: VPN ohne starke Authentifizierung ist ein hohes Risiko.
--- **Aufgabe 22** Warum ist MFA bei VPN sinnvoll?
Antwort anzeigen MFA schützt, wenn ein Passwort gestohlen wurde. Ohne MFA reicht ein gestohlenes Passwort eventuell für VPN-Zugriff. Mit MFA wird zusätzlich ein zweiter Faktor benötigt. Merksatz: VPN plus MFA schützt besser gegen Passwortmissbrauch.
--- **Aufgabe 23** Welche Risiken entstehen bei offenem VPN-Zugang ohne MFA?
Antwort anzeigen Risiken: Passwortmissbrauch Brute-Force-Angriffe Credential Stuffing unberechtigter Zugriff ins interne Netz laterale Bewegung nach erfolgreichem Login Datenabfluss Merksatz: VPN-Zugang ist ein Eingang ins Netz und muss stark geschützt werden.
--- **Aufgabe 24** Was ist VPN-Routing?
Antwort anzeigen VPN-Routing bestimmt, welche Zielnetze über den VPN-Tunnel erreichbar sind. Beispiele: 10.10.0.0/16 über VPN 192.168.50.0/24 über VPN Wichtig: Routen müssen auf Client, VPN-Gateway und Gegenseite passen. Merksatz: VPN-Tunnel allein reicht nicht. Die Routen müssen stimmen.
--- **Aufgabe 25** Ein VPN verbindet sich erfolgreich, aber interne Server sind nicht erreichbar. Welche Ursachen sind wahrscheinlich?
Antwort anzeigen Mögliche Ursachen: fehlende VPN-Route falsche Route Firewall-Regel blockiert DNS löst falsch auf Benutzer hat keine Berechtigung Zielnetz nicht erlaubt Rückroute fehlt IP-Adresskonflikt Merksatz: VPN verbunden heißt nicht automatisch, dass alle internen Dienste erreichbar sind.
--- **Aufgabe 26** Was ist ein IP-Adresskonflikt bei VPN?
Antwort anzeigen Ein IP-Adresskonflikt entsteht, wenn das lokale Netz des Benutzers denselben IP-Bereich nutzt wie das entfernte Firmennetz. Beispiel: Heimnetz: 192.168.1.0/24 Firmennetz: 192.168.1.0/24 Problem: Der Client kann nicht eindeutig entscheiden, ob ein Ziel lokal oder über VPN erreichbar ist. Merksatz: Gleiche Netze auf beiden Seiten verursachen VPN-Routingprobleme.
--- **Aufgabe 27** Warum ist DNS bei VPN wichtig?
Antwort anzeigen Interne Dienste werden oft über interne Namen angesprochen. Beispiele: intranet.firma.local fileserver.intern app.firma.de intern VPN muss häufig passende DNS-Server oder DNS-Suffixe bereitstellen. Merksatz: VPN braucht oft internes DNS.
--- **Aufgabe 28** VPN ist verbunden. Zugriff per interner IP funktioniert, aber per Name nicht. Was ist wahrscheinlich?
Antwort anzeigen Wahrscheinlich: DNS-Problem im VPN Mögliche Ursachen: falscher DNS-Server DNS-Server nicht über VPN erreichbar DNS-Suffix fehlt Split-DNS falsch DNS-Cache veraltet Merksatz: VPN-IP ja, VPN-Name nein: VPN-DNS prüfen.
--- **Aufgabe 29** Was ist Split-DNS bei VPN?
Antwort anzeigen Split-DNS bedeutet: interne und externe DNS-Auflösung liefern unterschiedliche Antworten. Beispiel: intern über VPN: app.firma.de zeigt auf private IP extern: app.firma.de zeigt auf öffentliche IP Merksatz: Split-DNS sorgt dafür, dass interne Namen über VPN passend aufgelöst werden.
--- **Aufgabe 30** Warum kann eine Firewall VPN-Verkehr blockieren?
Antwort anzeigen Firewalls können VPN-Verkehr blockieren, wenn benötigte Protokolle oder Ports nicht erlaubt sind. Außerdem können Regeln nach erfolgreichem VPN-Aufbau den Zugriff auf interne Ziele blockieren. Prüfen: VPN-Aufbau erlaubt? Zielnetz erlaubt? Benutzergruppe erlaubt? Port zum Ziel erlaubt? Richtung korrekt? Logs prüfen. Merksatz: VPN braucht Regeln für Tunnelaufbau und Zielzugriff.
--- **Aufgabe 31** Warum ist ein VPN sicherer als eine direkte Portweiterleitung auf RDP?
Antwort anzeigen Bei direkter Portweiterleitung ist RDP direkt aus dem Internet erreichbar. Risiken: Brute Force Exploits Credential Stuffing Bei VPN: RDP ist nicht direkt öffentlich erreichbar. Erst nach VPN-Authentifizierung ist Zugriff möglich. Zusätzlich sinnvoll: MFA Firewall-Regeln Logging Zugriff nur für Adminnetz oder Benutzergruppen Merksatz: VPN schützt Adminzugriffe besser als direkt veröffentlichte Ports.
--- **Aufgabe 32** Ist VPN automatisch sicher?
Antwort anzeigen Nein. VPN muss sicher konfiguriert werden. Wichtige Maßnahmen: MFA starke Authentifizierung aktuelle VPN-Software sichere Verschlüsselung Rechtebegrenzung Logging Zugriff nach Gruppen Geräteprüfung keine unnötigen Zielnetze freigeben Merksatz: VPN ist nur so sicher wie seine Konfiguration.
--- **Aufgabe 33** Was ist Least Privilege bei VPN?
Antwort anzeigen Least Privilege bei VPN bedeutet: Benutzer erhalten nur Zugriff auf die Netze und Dienste, die sie wirklich benötigen. Beispiele: Dienstleister nur auf einen Server Mitarbeiter nur auf benötigte Anwendungen Adminzugriff nur aus Adminrollen Merksatz: VPN-Zugang nicht pauschal ins gesamte Netz erlauben.
--- **Aufgabe 34** Was sollte bei VPN protokolliert werden?
Antwort anzeigen Sinnvolle Logs: erfolgreiche Anmeldungen fehlgeschlagene Anmeldungen Benutzername Quell-IP Zeitpunkt zugewiesene VPN-IP verwendete Authentifizierung getrennte Verbindungen auffällige Loginversuche Zugriff auf Zielsysteme je nach System Merksatz: VPN-Logs sind wichtig für Sicherheit und Fehlersuche.
--- **Aufgabe 35** Was ist ein Site-to-Site-VPN zwischen Firma und Cloud?
Antwort anzeigen Ein Site-to-Site-VPN zwischen Firma und Cloud verbindet: lokales Firmennetz mit Cloud-Netzwerk Beispiel: internes Rechenzentrum zu Cloud-VPC oder virtuellem Netzwerk Ziel: private Kommunikation zwischen Standorten und Cloud-Ressourcen. Merksatz: Site-to-Site kann auch On-Premises und Cloud verbinden.
--- **Aufgabe 36** Ein Site-to-Site-VPN ist aufgebaut, aber nur eine Richtung funktioniert. Welche Ursachen sind möglich?
Antwort anzeigen Mögliche Ursachen: Rückroute fehlt Firewall blockiert Rückverkehr falsche Phase-2-Netze bei IPsec NAT-Regel greift falsch asymmetrisches Routing Security Group oder Cloud-Firewall blockiert lokale ACL blockiert Merksatz: Kommunikation braucht Hinweg und Rückweg.
--- **Aufgabe 37** Was ist ein VPN-Client?
Antwort anzeigen Ein VPN-Client ist die Software oder Funktion auf dem Endgerät, die eine VPN-Verbindung zum VPN-Gateway aufbaut. Beispiele: Firmenlaptop mit VPN-Software Smartphone mit VPN-Profil Betriebssystemeigener VPN-Client Merksatz: VPN-Client baut den Tunnel zum Gateway auf.
--- **Aufgabe 38** Welche Antwort ist besser? Aufgabe: VPN ist verbunden, aber interne Namen funktionieren nicht. Was prüfen Sie? Antwort A: Internet ist kaputt. Antwort B: Da interne IP-Adressen erreichbar sind, interne Namen aber nicht, sollte die DNS-Konfiguration des VPN geprüft werden, insbesondere interner DNS-Server, DNS-Suffix, Split-DNS und Erreichbarkeit des DNS-Servers.
Antwort anzeigen B ist besser. Begründung: Die Antwort leitet die Prüfung aus dem Fehlerbild ab und unterscheidet IP-Erreichbarkeit von Namensauflösung. Merksatz: IP ja, Name nein: DNS.
--- **Aufgabe 39** Welche Antwort ist besser? Aufgabe: Warum sollte ein Dienstleister über VPN nicht automatisch Zugriff auf das gesamte Netz erhalten? Antwort A: Weil Dienstleister extern sind. Antwort B: Nach dem Least-Privilege-Prinzip sollte ein Dienstleister nur Zugriff auf die Systeme und Dienste erhalten, die er für seine Aufgabe benötigt. Dadurch wird das Risiko bei kompromittierten Zugangsdaten oder Fehlverhalten begrenzt.
Antwort anzeigen B ist besser. Begründung: Die Antwort nennt das Prinzip und erklärt die Sicherheitswirkung. Merksatz: Sicherheitsantwort: Risiko, Maßnahme, Wirkung.
--- **Aufgabe 40** Welche Antwort ist besser? Aufgabe: Warum ist VPN besser als RDP direkt ins Internet weiterzuleiten? Antwort A: VPN klingt sicherer. Antwort B: Bei direkter RDP-Portweiterleitung ist der RDP-Dienst öffentlich erreichbar und damit Angriffen ausgesetzt. Bei VPN muss sich der Benutzer zuerst am VPN authentifizieren. Erst danach kann der Zugriff auf RDP zusätzlich per Firewall, MFA und Berechtigungen eingeschränkt werden.
Antwort anzeigen B ist besser. Begründung: Die Antwort nennt das konkrete Risiko und beschreibt die bessere Schutzwirkung. Merksatz: Nicht Adminports veröffentlichen, sondern sicheren Zugang davor setzen.
--- **Mini-Prüfung: schnelle Zuordnung** | Frage | Antwort | |---|---| | Wofür steht VPN? | Virtual Private Network | | Was macht ein VPN? | verschlüsselte Verbindung über unsicheres Netz | | Was ist Remote-Access-VPN? | Benutzer verbindet sich ins Firmennetz | | Was ist Site-to-Site-VPN? | Netz verbindet sich mit Netz | | Was ist Intranet? | internes Netz oder interne Dienste | | Was ist Extranet? | kontrollierter Zugriff für Externe | | Was ist Split-Tunneling? | nur bestimmter Verkehr durch VPN | | Was ist Full-Tunneling? | gesamter Verkehr durch VPN | | Was ist ein VPN-Gateway? | Gegenstelle des VPN-Tunnels | | Warum MFA bei VPN? | Passwort allein reicht nicht | | Warum VPN-DNS? | interne Namen auflösen | | Was ist IP-Adresskonflikt? | gleiche Netze lokal und remote | --- **Mini-Prüfung: Fehlerbild erkennen** | Fehlerbild | Wahrscheinliches Thema | |---|---| | VPN verbindet nicht | Zugangsdaten, MFA, Gateway, Netzwerk, Firewall | | VPN verbunden, aber kein internes Ziel erreichbar | Route, Firewall, Berechtigung, Zielnetz | | interne IP geht, Name nicht | VPN-DNS | | nur ein internes Netz erreichbar | VPN-Routen oder Berechtigungen | | Verbindung bricht regelmäßig ab | Timeout, Netzwerk, WLAN, Client, Gateway | | Site-to-Site nur in eine Richtung | Rückroute oder Firewall | | Heimnetz und Firmennetz gleich | IP-Adresskonflikt | | Dienstleister sieht zu viele Systeme | Least Privilege fehlt | | RDP direkt offen | Sicherheitsrisiko | | VPN-Loginversuche sehr häufig | Brute Force oder Credential Stuffing | --- **IHK-sichere Kurzformulierung** Ein VPN ist ein virtuelles privates Netzwerk, das eine geschützte Verbindung über ein unsicheres Netz wie das Internet herstellt. Remote-Access-VPN verbindet einzelne Benutzer sicher mit einem Firmennetz, während Site-to-Site-VPN zwei Netzwerke oder Standorte verbindet. Intranet bezeichnet interne Dienste einer Organisation, Extranet kontrollierten Zugriff für externe Partner oder Dienstleister. Split-Tunneling leitet nur bestimmten Verkehr durch den VPN-Tunnel, Full-Tunneling den gesamten Verkehr. Für VPN-Sicherheit sind starke Authentifizierung, MFA, aktuelle Software, passende Firewall-Regeln, Logging und Least Privilege wichtig. Eine erfolgreiche VPN-Verbindung bedeutet nicht automatisch, dass Routing, DNS und Zugriffsrechte korrekt funktionieren. --- **Merksätze** VPN = Virtual Private Network. VPN verbindet sicher über unsichere Netze. Remote-Access-VPN = Benutzer ins Netz. Site-to-Site-VPN = Netz zu Netz. Intranet = intern. Extranet = kontrolliert extern. VPN-Gateway = Gegenstelle des Tunnels. Tunnel = geschützter Transportweg. Split-Tunneling = nur ausgewählter Verkehr über VPN. Full-Tunneling = gesamter Verkehr über VPN. IPsec sichert IP-Kommunikation. IKEv2 hilft beim IPsec-Aufbau. OpenVPN nutzt häufig TLS. WireGuard ist schlank und modern. TLS-VPN nutzt TLS. VPN braucht starke Authentifizierung. MFA schützt VPN-Zugang. VPN ist ein Eingang ins Netz. VPN verbunden heißt nicht: alle Dienste funktionieren. VPN braucht passende Routen. VPN braucht oft internes DNS. IP ja, Name nein: DNS. Gleiche Netze lokal und remote verursachen Routingprobleme. Kommunikation braucht Hinweg und Rückweg. Dienstleisterzugriff nach Least Privilege begrenzen. VPN-Logs sind wichtig. RDP nicht direkt ins Internet weiterleiten. Adminzugriffe besser über VPN, MFA und Firewall beschränken. VPN ist nur so sicher wie seine Konfiguration. # 20.10 Trainer – Cloud, Bereitstellungsmodelle, IAM und Shared Responsibility Diese Trainer-Seite wiederholt Cloud-Grundlagen, Bereitstellungsmodelle, Servicemodelle, Cloud-Netzwerke, IAM, Sicherheit und typische Prüfungsfragen zur Cloud. Ziel ist, IaaS, PaaS, SaaS, Public Cloud, Private Cloud, Hybrid Cloud, Multi Cloud und Shared Responsibility sicher zu unterscheiden. Merksatz: Cloud bedeutet: IT-Ressourcen werden flexibel über ein Netzwerk bereitgestellt. Die Verantwortung ist dabei geteilt. --- **Lernziele** Nach dieser Seite solltest du sicher können: - Cloud Computing erklären - IaaS, PaaS und SaaS unterscheiden - Public Cloud, Private Cloud, Hybrid Cloud und Multi Cloud unterscheiden - Shared Responsibility erklären - IAM einordnen - Cloud-Netzwerke grob verstehen - Security Groups, VPCs und Subnetze einordnen - typische Cloud-Fehlerbilder erkennen - Cloud-Kosten und Skalierung fachlich erklären --- **Kurzüberblick** | Begriff | Bedeutung | |---|---| | Cloud Computing | Bereitstellung von IT-Ressourcen über ein Netzwerk | | IaaS | virtuelle Infrastruktur | | PaaS | verwaltete Plattform | | SaaS | fertige Software | | Public Cloud | Cloud eines öffentlichen Anbieters | | Private Cloud | Cloud nur für eine Organisation | | Hybrid Cloud | Kombination aus lokal und Cloud | | Multi Cloud | Nutzung mehrerer Cloud-Anbieter | | IAM | Identitäts- und Zugriffsverwaltung | | Shared Responsibility | geteilte Verantwortung zwischen Anbieter und Kunde | Merksatz: IaaS = Infrastruktur. PaaS = Plattform. SaaS = Software. --- **Aufgabe 1** Was bedeutet Cloud Computing?
Antwort anzeigen Cloud Computing bedeutet: IT-Ressourcen werden über ein Netzwerk bereitgestellt und können flexibel genutzt, skaliert und abgerechnet werden. Beispiele: virtuelle Server Speicher Datenbanken Anwendungen Plattformdienste Netzwerkdienste Merksatz: Cloud = IT-Ressourcen flexibel über Netzwerk nutzen.
--- **Aufgabe 2** Nenne typische Vorteile von Cloud Computing.
Antwort anzeigen Typische Vorteile: flexible Skalierung schnelle Bereitstellung nutzungsabhängige Abrechnung weniger eigene Hardware weltweite Verfügbarkeit verwaltete Dienste hohe Automatisierbarkeit schnelle Erweiterbarkeit Merksatz: Cloud ist besonders stark bei Flexibilität, Skalierung und schneller Bereitstellung.
--- **Aufgabe 3** Nenne typische Nachteile oder Risiken von Cloud Computing.
Antwort anzeigen Typische Nachteile oder Risiken: Abhängigkeit vom Anbieter Datenschutzanforderungen falsche Konfigurationen Kostenkontrolle notwendig Netzwerkabhängigkeit Vendor Lock-in geteilte Verantwortung kann missverstanden werden Zugriffsschutz muss sauber geplant werden Merksatz: Cloud nimmt Arbeit ab, aber nicht die Verantwortung für sichere Nutzung.
--- **Aufgabe 4** Was ist IaaS?
Antwort anzeigen IaaS steht für: Infrastructure as a Service Bedeutung: Der Anbieter stellt grundlegende Infrastruktur bereit. Beispiele: virtuelle Maschinen virtuelle Netzwerke Speicher Firewalls Load Balancer Der Kunde verwaltet häufig selbst: Betriebssystem Anwendungen Patches im Gastbetriebssystem Konfiguration Merksatz: IaaS = virtuelle Infrastruktur.
--- **Aufgabe 5** Was ist PaaS?
Antwort anzeigen PaaS steht für: Platform as a Service Bedeutung: Der Anbieter stellt eine verwaltete Plattform für Anwendungen bereit. Beispiele: App-Plattform verwaltete Datenbank Laufzeitumgebung Containerplattform Entwicklungsplattform Der Kunde kümmert sich eher um: Anwendung Daten Konfiguration Zugriffsrechte Merksatz: PaaS = Plattform für Anwendungen.
--- **Aufgabe 6** Was ist SaaS?
Antwort anzeigen SaaS steht für: Software as a Service Bedeutung: Der Anbieter stellt eine fertige Anwendung bereit, die der Kunde nutzt. Beispiele: E-Mail-Dienst Office-Anwendung im Browser CRM-System Ticketsystem Cloud-Speicheranwendung Der Kunde verwaltet meist: Benutzer Rollen Daten Einstellungen Zugriffsrechte Merksatz: SaaS = fertige Software nutzen.
--- **Aufgabe 7** Ordne zu. | Modell | Bedeutung | |---|---| | IaaS | ? | | PaaS | ? | | SaaS | ? |
Antwort anzeigen | Modell | Bedeutung | |---|---| | IaaS | virtuelle Infrastruktur | | PaaS | verwaltete Plattform | | SaaS | fertige Anwendung | Merksatz: IaaS unten, PaaS in der Mitte, SaaS oben.
--- **Aufgabe 8** Welche Aussage passt zu IaaS? A: Fertige Anwendung im Browser B: Virtuelle Maschine mit eigenem Betriebssystem C: Nur E-Mail-Postfach ohne Serververwaltung D: Kein Netzwerk notwendig
Antwort anzeigen Richtig ist: B: Virtuelle Maschine mit eigenem Betriebssystem Begründung: IaaS stellt Infrastruktur bereit, zum Beispiel virtuelle Maschinen, Speicher und Netzwerke. Das Betriebssystem und Anwendungen werden oft vom Kunden verwaltet. Merksatz: Virtuelle Maschine = typisches IaaS-Beispiel.
--- **Aufgabe 9** Welche Aussage passt zu SaaS? A: Der Kunde installiert und patcht das Betriebssystem selbst. B: Der Kunde nutzt eine fertige Anwendung. C: Der Kunde baut ein eigenes Rechenzentrum. D: Der Kunde verwaltet die Hardware des Anbieters.
Antwort anzeigen Richtig ist: B: Der Kunde nutzt eine fertige Anwendung. Begründung: SaaS bedeutet, dass eine fertige Software als Dienst bereitgestellt wird. Merksatz: SaaS = benutzen statt betreiben.
--- **Aufgabe 10** Was ist der Unterschied zwischen IaaS, PaaS und SaaS?
Antwort anzeigen IaaS: virtuelle Infrastruktur, viel Verantwortung beim Kunden PaaS: verwaltete Plattform, Kunde bringt Anwendung und Daten SaaS: fertige Anwendung, Kunde verwaltet hauptsächlich Nutzung, Daten, Benutzer und Rechte Merksatz: Je mehr Richtung SaaS, desto mehr übernimmt der Anbieter.
--- **Aufgabe 11** Was ist Public Cloud?
Antwort anzeigen Public Cloud bedeutet: Cloud-Ressourcen werden von einem öffentlichen Cloud-Anbieter bereitgestellt und von vielen Kunden getrennt genutzt. Eigenschaften: hohe Skalierbarkeit nutzungsabhängige Abrechnung Anbieter betreibt Infrastruktur Mandantentrennung wichtig Merksatz: Public Cloud = Cloud eines öffentlichen Anbieters.
--- **Aufgabe 12** Was ist Private Cloud?
Antwort anzeigen Private Cloud bedeutet: Cloud-Umgebung wird nur für eine Organisation betrieben. Möglich: im eigenen Rechenzentrum bei einem Dienstleister dediziert für eine Organisation Vorteile: mehr Kontrolle individuelle Anpassung besondere Compliance-Anforderungen leichter steuerbar Merksatz: Private Cloud = Cloud nur für eine Organisation.
--- **Aufgabe 13** Was ist Hybrid Cloud?
Antwort anzeigen Hybrid Cloud bedeutet: lokale IT oder Private Cloud wird mit Public-Cloud-Ressourcen kombiniert. Beispiele: lokales Rechenzentrum plus Cloud-Backup lokale Anwendung plus Cloud-Datenbank lokales Firmennetz plus Cloud-VPC über VPN Merksatz: Hybrid Cloud = lokal und Cloud kombiniert.
--- **Aufgabe 14** Was ist Multi Cloud?
Antwort anzeigen Multi Cloud bedeutet: Eine Organisation nutzt mehrere Cloud-Anbieter. Beispiel: Anbieter A für Infrastruktur Anbieter B für Datenanalyse Anbieter C für Office-Dienste Gründe: Vermeidung von Abhängigkeit passende Dienste verschiedener Anbieter nutzen Ausfallsicherheit Kostenoptimierung Merksatz: Multi Cloud = mehrere Cloud-Anbieter.
--- **Aufgabe 15** Ordne zu. | Modell | Bedeutung | |---|---| | Public Cloud | ? | | Private Cloud | ? | | Hybrid Cloud | ? | | Multi Cloud | ? |
Antwort anzeigen | Modell | Bedeutung | |---|---| | Public Cloud | Cloud eines öffentlichen Anbieters | | Private Cloud | Cloud nur für eine Organisation | | Hybrid Cloud | Kombination aus lokal oder privat und Public Cloud | | Multi Cloud | Nutzung mehrerer Cloud-Anbieter | Merksatz: Hybrid beschreibt Kombination von Umgebungen. Multi beschreibt mehrere Anbieter.
--- **Aufgabe 16** Was bedeutet Shared Responsibility?
Antwort anzeigen Shared Responsibility bedeutet: Cloud-Anbieter und Kunde teilen sich die Verantwortung für Sicherheit und Betrieb. Der Anbieter ist typischerweise verantwortlich für: physische Infrastruktur Rechenzentrum Grundplattform Hardware Der Kunde ist typischerweise verantwortlich für: Daten Benutzer Berechtigungen Konfigurationen Anwendungen je nach Modell Merksatz: Cloud-Sicherheit ist geteilte Verantwortung.
--- **Aufgabe 17** Warum ist Shared Responsibility wichtig?
Antwort anzeigen Shared Responsibility ist wichtig, weil Kunden oft fälschlich glauben, der Cloud-Anbieter sei für alles verantwortlich. In Wirklichkeit bleiben viele Aufgaben beim Kunden, zum Beispiel: Benutzerrechte Datenklassifizierung Zugriffsschutz sichere Konfiguration Backup Verschlüsselung Monitoring Merksatz: Cloud-Anbieter schützt die Cloud. Kunde schützt seine Nutzung der Cloud.
--- **Aufgabe 18** Wer ist bei SaaS typischerweise für Benutzer und Rechte verantwortlich?
Antwort anzeigen Typischerweise: der Kunde Begründung: Auch wenn der Anbieter die Anwendung betreibt, muss der Kunde seine Benutzer, Gruppen, Rollen, Daten und Freigaben korrekt verwalten. Merksatz: SaaS nimmt Betrieb ab, aber nicht Rechteverwaltung.
--- **Aufgabe 19** Wer ist bei IaaS typischerweise für das Gastbetriebssystem verantwortlich?
Antwort anzeigen Typischerweise: der Kunde Begründung: Bei IaaS stellt der Anbieter die virtuelle Infrastruktur bereit. Betriebssystem, Patches, Dienste und Anwendungen in der virtuellen Maschine werden häufig vom Kunden verwaltet. Merksatz: IaaS bedeutet mehr Kundenverantwortung als SaaS.
--- **Aufgabe 20** Was ist IAM?
Antwort anzeigen IAM steht für: Identity and Access Management Bedeutung: Verwaltung von Identitäten, Rollen, Rechten und Zugriffen. Typische Aufgaben: Benutzer verwalten Rollen definieren Berechtigungen vergeben MFA erzwingen Service Accounts verwalten Zugriff protokollieren Merksatz: IAM entscheidet, wer was darf.
--- **Aufgabe 21** Warum ist IAM in der Cloud besonders wichtig?
Antwort anzeigen Cloud-Ressourcen sind oft über das Internet erreichbar und können schnell erstellt, geändert oder gelöscht werden. Fehlerhafte Berechtigungen können zu: Datenabfluss Missbrauch von Ressourcen Kostenexplosion unberechtigtem Zugriff Manipulation führen. Merksatz: In der Cloud sind Identitäten oft der wichtigste Sicherheitsperimeter.
--- **Aufgabe 22** Was bedeutet Least Privilege im Cloud-Kontext?
Antwort anzeigen Least Privilege bedeutet: Benutzer, Rollen, Dienste und Anwendungen erhalten nur die Berechtigungen, die sie wirklich benötigen. Beispiele: Entwickler darf Logs lesen, aber keine Produktionsdatenbank löschen. Anwendung darf in einen Speicher schreiben, aber keine Benutzer verwalten. Dienstkonto darf nur auf benötigte Ressourcen zugreifen. Merksatz: In der Cloud keine pauschalen Adminrechte vergeben.
--- **Aufgabe 23** Was ist MFA im Cloud-Kontext?
Antwort anzeigen MFA steht für: Multi-Faktor-Authentifizierung Bedeutung: Anmeldung benötigt mehr als nur ein Passwort. Beispiele für Faktoren: Wissen: Passwort Besitz: Smartphone, Token, Smartcard Sein: biometrisches Merkmal Merksatz: MFA schützt Cloud-Konten gegen Passwortmissbrauch.
--- **Aufgabe 24** Was ist ein Service Account?
Antwort anzeigen Ein Service Account ist ein Konto, das von Diensten, Anwendungen oder Automatisierungen genutzt wird. Risiken: zu viele Rechte Schlüssel liegen unsicher Zugriff wird nicht überwacht Konto wird nach Projektende nicht entfernt Schutzmaßnahmen: Least Privilege Schlüsselrotation kurze Laufzeiten Logging keine geteilten Geheimnisse im Klartext Merksatz: Service Accounts brauchen besonders saubere Rechteverwaltung.
--- **Aufgabe 25** Was ist eine VPC?
Antwort anzeigen VPC steht für: Virtual Private Cloud Bedeutung: logisch getrenntes virtuelles Netzwerk in einer Cloud-Umgebung. Typische Bestandteile: Subnetze Routing-Tabellen Security Groups Gateways Firewalls VPN-Anbindungen Merksatz: VPC = virtuelles Cloud-Netzwerk.
--- **Aufgabe 26** Was ist ein Cloud-Subnetz?
Antwort anzeigen Ein Cloud-Subnetz ist ein IP-Adressbereich innerhalb eines virtuellen Cloud-Netzwerks. Typische Unterscheidung: öffentliches Subnetz privates Subnetz Öffentliches Subnetz: Ressourcen können über passende Regeln und öffentliche Adresse aus dem Internet erreichbar sein. Privates Subnetz: Ressourcen sind nicht direkt öffentlich erreichbar. Merksatz: Subnetze strukturieren Cloud-Netzwerke.
--- **Aufgabe 27** Was ist eine Security Group?
Antwort anzeigen Eine Security Group ist eine regelbasierte Zugriffskontrolle für Cloud-Ressourcen. Sie steuert typischerweise: eingehenden Verkehr ausgehenden Verkehr Ports Protokolle Quellen Ziele Merksatz: Security Group ist wie eine ressourcennahe Firewall-Regelgruppe.
--- **Aufgabe 28** Was ist der Unterschied zwischen Security Group und klassischer Netzwerkfirewall?
Antwort anzeigen Security Group: häufig direkt an Cloud-Ressourcen gebunden regelt Zugriff auf einzelne Ressourcen oder Gruppen Klassische Firewall: oft zentrale Netzwerkkomponente oder Appliance kontrolliert Verkehr zwischen Netzen oder Zonen Wichtig: Beide kontrollieren Verkehr, aber an unterschiedlichen Stellen. Merksatz: Security Groups sind Cloud-nahe Zugriffskontrolle.
--- **Aufgabe 29** Warum sollte eine Cloud-Datenbank nicht öffentlich erreichbar sein?
Antwort anzeigen Eine Datenbank enthält oft sensible Daten und ist ein attraktives Angriffsziel. Risiken: Brute Force Exploits Datenabfluss Manipulation Kosten oder Last durch Missbrauch Besser: privates Subnetz Zugriff nur von Anwendungsservern Security Group einschränken starke Authentifizierung Verschlüsselung Logging Merksatz: Datenbanken nicht öffentlich freigeben.
--- **Aufgabe 30** Was bedeutet Skalierung?
Antwort anzeigen Skalierung bedeutet: Ressourcen werden an Bedarf angepasst. Vertikale Skalierung: eine Ressource wird größer gemacht Beispiel: mehr CPU oder RAM für eine VM Horizontale Skalierung: mehrere Instanzen werden hinzugefügt Beispiel: mehrere Webserver hinter einem Load Balancer Merksatz: Vertikal = größer. Horizontal = mehr.
--- **Aufgabe 31** Was ist Auto Scaling?
Antwort anzeigen Auto Scaling bedeutet: Ressourcen werden automatisch erhöht oder reduziert, abhängig von definierten Bedingungen. Beispiele: CPU-Auslastung hoch: zusätzliche Instanz starten Last niedrig: Instanz entfernen Vorteile: bessere Verfügbarkeit flexible Leistung Kostenkontrolle bei richtiger Konfiguration Merksatz: Auto Scaling passt Ressourcen automatisch an Last an.
--- **Aufgabe 32** Was ist ein Load Balancer?
Antwort anzeigen Ein Load Balancer verteilt Anfragen auf mehrere Ziele. Beispiele: mehrere Webserver mehrere Anwendungsserver Vorteile: bessere Verfügbarkeit Lastverteilung Wartung einzelner Instanzen leichter möglich Skalierung Merksatz: Load Balancer verteilt Verkehr.
--- **Aufgabe 33** Was bedeutet Cloud-Kostenkontrolle?
Antwort anzeigen Cloud-Kostenkontrolle bedeutet: Nutzung, Ressourcen Speicher Datenverkehr Lizenzen und laufende Dienste überwachen. Maßnahmen: Budgets Alarme Tags Abschalten ungenutzter Ressourcen passende Größen wählen Reservierungen oder Pläne prüfen Speicherklassen nutzen Merksatz: Cloud ist flexibel, aber nicht automatisch günstig.
--- **Aufgabe 34** Warum sind Tags in der Cloud nützlich?
Antwort anzeigen Tags sind Metadaten an Ressourcen. Nutzung: Kostenstellen zuordnen Besitzer erkennen Umgebung kennzeichnen Projektzuordnung Automatisierung Compliance Beispiele: Projekt = Webshop Umgebung = Produktion Besitzer = IT-Team Merksatz: Tags helfen bei Ordnung, Kosten und Automatisierung.
--- **Aufgabe 35** Was ist Vendor Lock-in?
Antwort anzeigen Vendor Lock-in bedeutet: starke Abhängigkeit von einem Anbieter, weil Dienste, Schnittstellen oder Datenformate schwer wechselbar sind. Risiken: Wechsel wird teuer Migration wird schwierig Preiserhöhungen schwer vermeidbar technische Abhängigkeiten Merksatz: Vendor Lock-in erschwert Anbieterwechsel.
--- **Aufgabe 36** Was ist ein Cloud-Backup?
Antwort anzeigen Cloud-Backup bedeutet: Daten oder Systeme werden in einer Cloud-Umgebung gesichert. Wichtig: Zugriffsschutz Verschlüsselung Retention Restore-Test Schutz gegen Ransomware regionale Speicherung Kosten Merksatz: Auch Cloud-Backups müssen getestet und geschützt werden.
--- **Aufgabe 37** Warum ersetzt Cloud-Synchronisation kein Backup?
Antwort anzeigen Synchronisation gleicht Datenstände ab. Problem: Löschungen Verschlüsselung durch Ransomware Fehländerungen beschädigte Dateien können mitsynchronisiert werden. Backup braucht: alte Versionen Retention Restore-Möglichkeit Schutz vor Manipulation Merksatz: Sync hält gleich. Backup stellt alte Stände wieder her.
--- **Aufgabe 38** Welche Antwort ist besser? Aufgabe: Wer ist in der Cloud für Sicherheit verantwortlich? Antwort A: Nur der Cloud-Anbieter. Antwort B: Die Verantwortung ist geteilt. Der Anbieter schützt die Cloud-Infrastruktur, der Kunde bleibt je nach Modell für Daten, Benutzer, Rechte, Konfigurationen und Anwendungen verantwortlich.
Antwort anzeigen B ist besser. Begründung: Die Antwort beschreibt das Shared-Responsibility-Modell korrekt. Merksatz: Cloud-Sicherheit ist geteilte Verantwortung.
--- **Aufgabe 39** Welche Antwort ist besser? Aufgabe: Warum ist eine öffentlich erreichbare Cloud-Datenbank kritisch? Antwort A: Weil Datenbanken wichtig sind. Antwort B: Eine öffentlich erreichbare Datenbank erhöht die Angriffsfläche erheblich. Es drohen Brute-Force-Angriffe, Ausnutzung von Schwachstellen, Datenabfluss und Manipulation. Besser ist der Betrieb in einem privaten Subnetz mit Zugriff nur durch benötigte Anwendungen.
Antwort anzeigen B ist besser. Begründung: Die Antwort nennt konkrete Risiken und eine bessere Schutzmaßnahme. Merksatz: Sicherheitsantwort: Risiko, Maßnahme, Wirkung.
--- **Aufgabe 40** Welche Antwort ist besser? Aufgabe: Was ist der Unterschied zwischen IaaS und SaaS? Antwort A: SaaS ist irgendwie mehr fertig. Antwort B: Bei IaaS stellt der Anbieter virtuelle Infrastruktur bereit, zum Beispiel virtuelle Maschinen, Speicher und Netzwerke. Der Kunde verwaltet häufig Betriebssystem und Anwendung. Bei SaaS nutzt der Kunde eine fertige Anwendung und verwaltet hauptsächlich Benutzer, Daten, Rechte und Einstellungen.
Antwort anzeigen B ist besser. Begründung: Die Antwort grenzt beide Modelle fachlich sauber voneinander ab. Merksatz: Modelle immer über Verantwortlichkeit und Bereitstellung erklären.
--- **Mini-Prüfung: schnelle Zuordnung** | Frage | Antwort | |---|---| | Was bedeutet IaaS? | Infrastructure as a Service | | Was bedeutet PaaS? | Platform as a Service | | Was bedeutet SaaS? | Software as a Service | | Was ist IaaS? | virtuelle Infrastruktur | | Was ist PaaS? | verwaltete Plattform | | Was ist SaaS? | fertige Anwendung | | Was ist Public Cloud? | Cloud eines öffentlichen Anbieters | | Was ist Private Cloud? | Cloud nur für eine Organisation | | Was ist Hybrid Cloud? | lokal oder privat plus Public Cloud | | Was ist Multi Cloud? | mehrere Cloud-Anbieter | | Was ist IAM? | Identitäts- und Zugriffsverwaltung | | Was ist VPC? | virtuelles Cloud-Netzwerk | | Was ist Security Group? | ressourcennahe Firewall-Regelgruppe | | Was ist Auto Scaling? | automatische Anpassung von Ressourcen | | Was ist Vendor Lock-in? | starke Anbieterabhängigkeit | --- **Mini-Prüfung: Fehlerbild erkennen** | Fehlerbild | Wahrscheinliches Thema | |---|---| | Benutzer sieht zu viele Cloud-Ressourcen | IAM / Rechte zu breit | | Cloud-Datenbank öffentlich erreichbar | Security Group oder Netzwerk falsch | | Kosten steigen unerwartet | Kostenkontrolle, ungenutzte Ressourcen | | Anwendung langsam bei Lastspitzen | Skalierung oder Load Balancer prüfen | | VM nicht erreichbar | Security Group, Route, Subnetz, Firewall | | SaaS-Dateien falsch geteilt | Freigaben und Berechtigungen prüfen | | Cloud-Backup nicht wiederherstellbar | Restore-Test fehlt | | gelöschte Datei verschwindet überall | Sync statt Backup | | Anbieterwechsel sehr schwierig | Vendor Lock-in | | Cloud-Ressource ohne Besitzer | fehlende Tags oder Dokumentation | --- **IHK-sichere Kurzformulierung** Cloud Computing bezeichnet die Bereitstellung von IT-Ressourcen über ein Netzwerk. Bei IaaS stellt der Anbieter virtuelle Infrastruktur wie Server, Speicher und Netzwerke bereit. Bei PaaS nutzt der Kunde eine verwaltete Plattform für Anwendungen. Bei SaaS wird eine fertige Anwendung bereitgestellt. Public Cloud ist die Cloud eines öffentlichen Anbieters, Private Cloud eine Cloud für eine Organisation, Hybrid Cloud kombiniert lokale oder private IT mit Public Cloud und Multi Cloud nutzt mehrere Anbieter. Beim Shared-Responsibility-Modell teilen sich Anbieter und Kunde die Verantwortung: Der Anbieter schützt die Cloud-Infrastruktur, der Kunde bleibt je nach Modell für Daten, Identitäten, Rechte, Konfigurationen und Anwendungen verantwortlich. --- **Merksätze** Cloud = IT-Ressourcen über Netzwerk. Cloud ist flexibel, aber nicht automatisch sicher. Cloud ist flexibel, aber nicht automatisch günstig. IaaS = Infrastruktur. PaaS = Plattform. SaaS = Software. Virtuelle Maschine ist typisch IaaS. Verwaltete Plattform ist typisch PaaS. Fertige Anwendung ist typisch SaaS. Public Cloud = öffentlicher Anbieter. Private Cloud = nur für eine Organisation. Hybrid Cloud = lokal oder privat plus Cloud. Multi Cloud = mehrere Anbieter. Hybrid beschreibt Kombination von Umgebungen. Multi beschreibt mehrere Anbieter. Shared Responsibility = geteilte Verantwortung. Anbieter schützt die Cloud. Kunde schützt seine Nutzung der Cloud. IAM entscheidet, wer was darf. Cloud-Identitäten sind besonders wichtig. MFA schützt Cloud-Konten. Least Privilege gilt auch in der Cloud. Service Accounts brauchen minimale Rechte. VPC = virtuelles Cloud-Netzwerk. Subnetze strukturieren Cloud-Netze. Security Groups kontrollieren Zugriff. Datenbanken nicht öffentlich freigeben. Vertikal skalieren = größer machen. Horizontal skalieren = mehr Instanzen. Auto Scaling passt Ressourcen automatisch an. Load Balancer verteilt Verkehr. Tags helfen bei Kosten, Ordnung und Automatisierung. Vendor Lock-in erschwert Anbieterwechsel. Cloud-Sync ist kein Backup. Auch Cloud-Backups brauchen Restore-Tests. # 20.11 Trainer – Angriffe, Schutzmaßnahmen und IT-Sicherheit Diese Trainer-Seite wiederholt typische Angriffe, Schutzziele, Risiken und passende Schutzmaßnahmen. Ziel ist, Sicherheitsfragen in der Prüfung sauber einzuordnen: - Welches Schutzziel ist betroffen? - Welche Angriffsmethode liegt vor? - Welche Maßnahme passt dazu? - Warum ist die Maßnahme sinnvoll? Merksatz: Sicherheitsfragen bestehen oft aus: Schutzziel, Risiko, Maßnahme und Wirkung. --- **Lernziele** Nach dieser Seite solltest du sicher können: - Vertraulichkeit, Integrität und Verfügbarkeit unterscheiden - Schwachstelle, Bedrohung und Risiko erklären - typische Angriffe erkennen - Malware-Arten unterscheiden - Phishing und Social Engineering einordnen - Passwortangriffe unterscheiden - Webangriffe grob erklären - IDS, IPS, EDR und SIEM unterscheiden - passende Schutzmaßnahmen auswählen - prüfungssichere Sicherheitsantworten formulieren --- **Kurzüberblick: Schutzziele** | Schutzziel | Bedeutung | Beispiel | |---|---|---| | Vertraulichkeit | Schutz vor unberechtigtem Lesen | Datenabfluss | | Integrität | Schutz vor unbemerkter Veränderung | manipulierte Datei | | Verfügbarkeit | Systeme und Daten sind nutzbar | DDoS oder Ausfall | | Authentizität | Echtheit prüfen | echter Server oder echter Benutzer | | Nachvollziehbarkeit | Ereignisse rekonstruieren | Logs und Protokolle | Merksatz: CIA = Confidentiality, Integrity, Availability. Deutsch: Vertraulichkeit, Integrität, Verfügbarkeit. --- **Kurzüberblick: Angriffe und Maßnahmen** | Angriff oder Risiko | Passende Maßnahme | |---|---| | gestohlenes Passwort | MFA | | zu viele Rechte | Least Privilege | | bekannte Sicherheitslücke | Patchmanagement | | unnötige Dienste | Hardening | | Ransomware | Offline- oder Immutable-Backup | | Phishing | Awareness, Mailfilter, MFA | | DDoS | DDoS-Schutz, Rate Limiting, CDN | | Man-in-the-Middle | TLS, Zertifikatsprüfung, VPN | | SQL Injection | Prepared Statements | | XSS | Output Encoding, CSP, HttpOnly | | unklare Vorfälle | Logging, SIEM, Monitoring | Merksatz: Maßnahme muss zum Risiko passen. --- **Aufgabe 1** Was bedeutet Vertraulichkeit?
Antwort anzeigen Vertraulichkeit bedeutet: Informationen dürfen nur von berechtigten Personen, Systemen oder Prozessen gelesen werden. Beispielverletzung: Kundendaten werden unberechtigt ausgelesen. Passende Maßnahmen: Verschlüsselung Rechtekonzept MFA Zugriffskontrolle DLP Merksatz: Vertraulichkeit schützt vor unberechtigtem Mitlesen.
--- **Aufgabe 2** Was bedeutet Integrität?
Antwort anzeigen Integrität bedeutet: Daten dürfen nicht unbemerkt verändert werden. Beispielverletzung: Eine Konfigurationsdatei wird manipuliert. Passende Maßnahmen: Hashwerte digitale Signaturen Rechtebegrenzung Versionskontrolle Logging Merksatz: Integrität schützt vor unbemerkter Veränderung.
--- **Aufgabe 3** Was bedeutet Verfügbarkeit?
Antwort anzeigen Verfügbarkeit bedeutet: Systeme, Dienste und Daten stehen bei Bedarf zur Verfügung. Beispielverletzung: Ein Server ist durch DDoS nicht erreichbar. Passende Maßnahmen: Redundanz Monitoring Backup DDoS-Schutz Notfallplan Merksatz: Verfügbarkeit schützt Nutzbarkeit.
--- **Aufgabe 4** Ordne das Schutzziel zu. | Ereignis | Schutzziel | |---|---| | Daten werden gestohlen | ? | | Datei wird manipuliert | ? | | Server ist nicht erreichbar | ? | | Absender wird gefälscht | ? |
Antwort anzeigen | Ereignis | Schutzziel | |---|---| | Daten werden gestohlen | Vertraulichkeit | | Datei wird manipuliert | Integrität | | Server ist nicht erreichbar | Verfügbarkeit | | Absender wird gefälscht | Authentizität | Merksatz: Lesen = Vertraulichkeit. Verändern = Integrität. Ausfall = Verfügbarkeit. Echtheit = Authentizität.
--- **Aufgabe 5** Was ist der Unterschied zwischen Schwachstelle, Bedrohung und Risiko?
Antwort anzeigen Schwachstelle: ausnutzbare Lücke Beispiel: ungepatchter Server Bedrohung: mögliches schädliches Ereignis Beispiel: Angreifer nutzt die Lücke aus Risiko: bewertete Gefahr aus Wahrscheinlichkeit und Auswirkung Beispiel: Datenverlust durch Angriff auf den ungepatchten Server Merksatz: Schwachstelle = Lücke. Bedrohung = mögliches Ereignis. Risiko = bewertete Gefahr.
--- **Aufgabe 6** Was ist Malware?
Antwort anzeigen Malware bedeutet: Schadsoftware Beispiele: Virus Wurm Trojaner Ransomware Spyware Keylogger Rootkit Botnet-Client Merksatz: Malware ist der Oberbegriff für Schadsoftware.
--- **Aufgabe 7** Was ist der Unterschied zwischen Virus, Wurm und Trojaner?
Antwort anzeigen Virus: hängt sich an Dateien oder Programme an verbreitet sich meist durch Ausführung oder Weitergabe Wurm: verbreitet sich selbstständig über Netzwerke Trojaner: tarnt sich als nützliches Programm, enthält aber schädliche Funktionen Merksatz: Virus braucht oft Wirt. Wurm verbreitet sich selbst. Trojaner täuscht Nutzen vor.
--- **Aufgabe 8** Was ist Ransomware?
Antwort anzeigen Ransomware ist Schadsoftware, die Daten verschlüsselt oder Systeme sperrt und häufig Lösegeld fordert. Betroffene Schutzziele: Verfügbarkeit bei Datenabfluss zusätzlich: Vertraulichkeit Passende Maßnahmen: Offline-Backup Immutable Backup Patchmanagement EDR Segmentierung Least Privilege Restore-Test Merksatz: Ransomware betrifft vor allem Verfügbarkeit.
--- **Aufgabe 9** Warum sind Offline- oder Immutable-Backups bei Ransomware wichtig?
Antwort anzeigen Ransomware versucht häufig, auch Backups zu löschen oder zu verschlüsseln. Offline-Backups sind nicht dauerhaft verbunden. Immutable Backups können für eine festgelegte Zeit nicht verändert oder gelöscht werden. Dadurch bleibt eine Wiederherstellungsmöglichkeit erhalten. Merksatz: Backups müssen vor Angreifern geschützt werden.
--- **Aufgabe 10** Was ist Phishing?
Antwort anzeigen Phishing ist Täuschung, um vertrauliche Daten oder Zugangsdaten zu erhalten. Typische Kanäle: E-Mail SMS Messenger Telefon QR-Code gefälschte Webseite Ziele: Passwörter MFA-Codes Bankdaten Zugangsdaten Merksatz: Phishing täuscht Benutzer zur Preisgabe von Daten.
--- **Aufgabe 11** Was ist Spear Phishing?
Antwort anzeigen Spear Phishing ist gezieltes Phishing gegen bestimmte Personen, Abteilungen oder Organisationen. Merkmale: persönlicher Bezug glaubwürdiger Absender Bezug auf echte Projekte gezielte Vorbereitung Merksatz: Spear Phishing ist gezielt und oft glaubwürdiger.
--- **Aufgabe 12** Was ist Social Engineering?
Antwort anzeigen Social Engineering nutzt menschliches Verhalten, Vertrauen, Hilfsbereitschaft oder Zeitdruck aus. Beispiele: falscher IT-Support angeblicher Chef fordert Zahlung gefälschter Lieferant Besucher ohne Berechtigung manipulierter Anruf Merksatz: Social Engineering greift Menschen an, nicht nur Technik.
--- **Aufgabe 13** Was ist CEO-Fraud?
Antwort anzeigen CEO-Fraud ist ein Betrug, bei dem sich Angreifer als Geschäftsführung oder Vorgesetzte ausgeben. Ziel: Zahlung auslösen vertrauliche Daten erhalten schnelle Entscheidung erzwingen Typische Methode: Autorität und Zeitdruck ausnutzen Merksatz: CEO-Fraud nutzt Autorität und Druck.
--- **Aufgabe 14** Was ist Brute Force?
Antwort anzeigen Brute Force bedeutet: systematisches Ausprobieren vieler Passwörter. Schutzmaßnahmen: starke Passwörter MFA Account Lockout Rate Limiting Monitoring Passwortmanager Merksatz: Brute Force probiert viele Möglichkeiten aus.
--- **Aufgabe 15** Was ist Password Spraying?
Antwort anzeigen Password Spraying bedeutet: ein häufiges Passwort wird gegen viele Konten getestet. Beispiel: Winter2026! gegen viele Benutzerkonten. Ziel: Kontosperren vermeiden, weil pro Konto nur wenige Versuche stattfinden. Merksatz: Password Spraying: ein Passwort, viele Konten.
--- **Aufgabe 16** Was ist Credential Stuffing?
Antwort anzeigen Credential Stuffing nutzt bereits geleakte Zugangsdaten. Prinzip: bekannte E-Mail-Passwort-Kombinationen werden bei anderen Diensten ausprobiert. Grund: Benutzer verwenden Passwörter oft mehrfach. Schutzmaßnahmen: MFA Passwortmanager einzigartige Passwörter Leak-Prüfung Monitoring Merksatz: Credential Stuffing nutzt wiederverwendete geleakte Passwörter.
--- **Aufgabe 17** Ordne zu. | Angriff | Beschreibung | |---|---| | Brute Force | ? | | Password Spraying | ? | | Credential Stuffing | ? |
Antwort anzeigen | Angriff | Beschreibung | |---|---| | Brute Force | viele Passwortversuche | | Password Spraying | ein Passwort gegen viele Konten | | Credential Stuffing | geleakte Zugangsdaten bei anderen Diensten testen | Merksatz: Brute Force = viele Versuche. Spraying = ein Passwort, viele Konten. Stuffing = geleakte Daten.
--- **Aufgabe 18** Was ist DoS?
Antwort anzeigen DoS steht für: Denial of Service Ziel: einen Dienst überlasten oder nicht mehr verfügbar machen Betroffenes Schutzziel: Verfügbarkeit Merksatz: DoS greift Verfügbarkeit an.
--- **Aufgabe 19** Was ist DDoS?
Antwort anzeigen DDoS steht für: Distributed Denial of Service Unterschied zu DoS: Angriff kommt verteilt von vielen Systemen. Häufige Quelle: Botnetze Schutzmaßnahmen: DDoS-Schutz CDN Rate Limiting Filterung Provider-Schutz Skalierung Merksatz: DDoS = verteilter Angriff auf Verfügbarkeit.
--- **Aufgabe 20** Was ist Man-in-the-Middle?
Antwort anzeigen Man-in-the-Middle bedeutet: Ein Angreifer sitzt zwischen zwei Kommunikationspartnern. Ziele: mitlesen verändern umleiten Sitzung übernehmen Betroffene Schutzziele: Vertraulichkeit Integrität Schutzmaßnahmen: TLS Zertifikatsprüfung VPN HSTS sichere WLANs Merksatz: MitM gefährdet Vertraulichkeit und Integrität.
--- **Aufgabe 21** Was ist Spoofing?
Antwort anzeigen Spoofing bedeutet: Identität, Adresse, Absender oder Herkunft wird vorgetäuscht. Beispiele: IP-Spoofing MAC-Spoofing DNS-Spoofing E-Mail-Spoofing ARP-Spoofing Merksatz: Spoofing täuscht Herkunft oder Identität vor.
--- **Aufgabe 22** Was ist ARP-Spoofing?
Antwort anzeigen ARP-Spoofing manipuliert ARP-Zuordnungen im lokalen Netz. Ziel: Datenverkehr umleiten Man-in-the-Middle ermöglichen Kommunikation stören Schutzmaßnahmen: Dynamic ARP Inspection Netzwerksegmentierung Switch-Sicherheitsfunktionen Monitoring Verschlüsselung höherer Schichten Merksatz: ARP-Spoofing betrifft lokale IPv4-Kommunikation.
--- **Aufgabe 23** Was ist DNS-Spoofing?
Antwort anzeigen DNS-Spoofing liefert falsche DNS-Antworten. Ziel: Benutzer auf falsche Server umleiten. Risiken: Phishing Malware Credential Theft Man-in-the-Middle Schutzmaßnahmen: vertrauenswürdige DNS-Server DNSSEC je nach Einsatz TLS-Zertifikatsprüfung Monitoring Merksatz: DNS-Spoofing manipuliert Namensauflösung.
--- **Aufgabe 24** Was ist SQL Injection?
Antwort anzeigen SQL Injection bedeutet: Angreifer schleust SQL-Code in Eingaben ein. Ziele: Daten auslesen Daten verändern Anmeldung umgehen Daten löschen Schutzmaßnahmen: Prepared Statements Parametrisierung Eingabevalidierung Rechtebegrenzung für Datenbankkonten sichere Fehlerausgaben Merksatz: SQL Injection betrifft unsichere Datenbankabfragen.
--- **Aufgabe 25** Was ist XSS?
Antwort anzeigen XSS steht für: Cross-Site Scripting Dabei wird schädlicher Skriptcode in Webseiten eingeschleust, der im Browser anderer Benutzer ausgeführt wird. Ziele: Session stehlen Benutzeraktionen manipulieren Inhalte verändern Phishing innerhalb einer Webseite Schutzmaßnahmen: Output Encoding Eingabevalidierung Content Security Policy HttpOnly-Cookies Merksatz: XSS greift Benutzer im Browser an.
--- **Aufgabe 26** Was ist CSRF?
Antwort anzeigen CSRF steht für: Cross-Site Request Forgery Dabei wird eine gültige Sitzung eines Benutzers missbraucht, um ungewollte Aktionen auszuführen. Schutzmaßnahmen: CSRF-Token SameSite-Cookies erneute Bestätigung kritischer Aktionen Origin-Prüfung Merksatz: CSRF missbraucht eine bestehende Sitzung.
--- **Aufgabe 27** Ordne Webangriffe zu. | Angriff | Kurzbeschreibung | |---|---| | SQL Injection | ? | | XSS | ? | | CSRF | ? |
Antwort anzeigen | Angriff | Kurzbeschreibung | |---|---| | SQL Injection | SQL-Code in Eingaben einschleusen | | XSS | Skriptcode im Browser anderer Benutzer ausführen | | CSRF | gültige Sitzung für ungewollte Aktion missbrauchen | Merksatz: SQLi betrifft Datenbankabfragen. XSS betrifft Browser. CSRF betrifft Sitzungen.
--- **Aufgabe 28** Was ist ein Zero-Day?
Antwort anzeigen Ein Zero-Day ist eine Schwachstelle, für die es noch keinen bekannten oder verfügbaren Patch gibt oder die gerade erst bekannt wurde. Risiko: hohe Gefahr, weil Standardmaßnahmen noch nicht vollständig verfügbar sind. Merksatz: Zero-Day = neue oder ungepatchte Schwachstelle.
--- **Aufgabe 29** Was ist ein Supply-Chain-Angriff?
Antwort anzeigen Ein Supply-Chain-Angriff zielt auf Lieferketten, Softwareabhängigkeiten oder Dienstleister. Beispiele: kompromittiertes Update manipuliertes Softwarepaket unsichere Bibliothek kompromittierter Dienstleisterzugang Schutzmaßnahmen: Signaturprüfung Dependency-Scanning Lieferantenprüfung Least Privilege Monitoring Merksatz: Supply-Chain-Angriff kommt über Abhängigkeiten.
--- **Aufgabe 30** Was bedeutet Insider Threat?
Antwort anzeigen Insider Threat bedeutet: Gefahr durch Personen innerhalb der Organisation oder mit berechtigtem Zugriff. Beispiele: absichtlicher Datenabfluss fahrlässige Fehlkonfiguration Missbrauch von Adminrechten Zugriff nach Rollenwechsel nicht entfernt Schutzmaßnahmen: Least Privilege Rechteprüfung Vier-Augen-Prinzip Logging Offboarding Merksatz: Insider haben bereits Zugriff, deshalb sind Rechte und Logs wichtig.
--- **Aufgabe 31** Was bedeutet Least Privilege?
Antwort anzeigen Least Privilege bedeutet: Benutzer, Dienste und Prozesse erhalten nur die Rechte, die sie wirklich benötigen. Ziel: Schaden bei Fehlern oder Angriffen begrenzen. Merksatz: So wenig Rechte wie möglich, so viele wie nötig.
--- **Aufgabe 32** Was bedeutet MFA?
Antwort anzeigen MFA steht für: Multi-Faktor-Authentifizierung Dabei werden mehrere Faktoren kombiniert. Faktoren: Wissen: Passwort Besitz: Token, Smartphone, Smartcard Sein: biometrisches Merkmal Merksatz: MFA sorgt dafür, dass ein Passwort allein nicht reicht.
--- **Aufgabe 33** Was ist Hardening?
Antwort anzeigen Hardening bedeutet: Systeme sicherer konfigurieren, indem unnötige Funktionen deaktiviert oder eingeschränkt werden. Beispiele: unnötige Dienste deaktivieren Standardpasswörter ändern unsichere Protokolle abschalten Rechte begrenzen sichere Einstellungen setzen Logging aktivieren Merksatz: Hardening verringert die Angriffsfläche.
--- **Aufgabe 34** Was ist Patchmanagement?
Antwort anzeigen Patchmanagement sorgt dafür, dass Sicherheitsupdates geplant, getestet und eingespielt werden. Ziel: bekannte Schwachstellen schließen. Merksatz: Patchmanagement reduziert bekannte Risiken.
--- **Aufgabe 35** Was ist der Unterschied zwischen IDS und IPS?
Antwort anzeigen IDS: Intrusion Detection System erkennt und meldet Angriffe IPS: Intrusion Prevention System erkennt Angriffe und blockiert zusätzlich Merksatz: IDS meldet. IPS blockiert.
--- **Aufgabe 36** Was ist EDR?
Antwort anzeigen EDR steht für: Endpoint Detection and Response Aufgabe: Endgeräte überwachen verdächtiges Verhalten erkennen Reaktion ermöglichen Angriffe analysieren Merksatz: EDR schützt und überwacht Endgeräte.
--- **Aufgabe 37** Was ist SIEM?
Antwort anzeigen SIEM steht für: Security Information and Event Management Aufgabe: Logs sammeln Sicherheitsereignisse korrelieren Alarme erzeugen Vorfälle analysieren Nachvollziehbarkeit verbessern Merksatz: SIEM verbindet Sicherheitsereignisse aus vielen Quellen.
--- **Aufgabe 38** Welche Antwort ist besser? Aufgabe: Ein Dienst ist durch sehr viele Anfragen nicht mehr erreichbar. Welches Schutzziel ist betroffen? Antwort A: Vertraulichkeit, weil alles geheim ist. Antwort B: Verfügbarkeit, weil der Dienst nicht mehr nutzbar ist.
Antwort anzeigen B ist besser. Begründung: Wenn ein Dienst nicht mehr erreichbar oder nutzbar ist, ist die Verfügbarkeit betroffen. Merksatz: Ausfall = Verfügbarkeit.
--- **Aufgabe 39** Welche Antwort ist besser? Aufgabe: Warum ist MFA eine sinnvolle Maßnahme gegen gestohlene Passwörter? Antwort A: Weil MFA moderner ist. Antwort B: MFA verlangt zusätzlich zum Passwort einen weiteren Faktor. Dadurch reicht ein gestohlenes Passwort allein nicht mehr aus, um Zugriff zu erhalten.
Antwort anzeigen B ist besser. Begründung: Die Antwort nennt die konkrete Schutzwirkung. Merksatz: Maßnahme immer mit Wirkung erklären.
--- **Aufgabe 40** Welche Antwort ist besser? Aufgabe: Warum ist Hardening sinnvoll? Antwort A: Weil man Systeme härter macht. Antwort B: Hardening reduziert die Angriffsfläche, indem unnötige Dienste, Standardzugänge, unsichere Protokolle und zu weitgehende Rechte entfernt oder eingeschränkt werden.
Antwort anzeigen B ist besser. Begründung: Die Antwort erklärt, wie Hardening wirkt und warum es sicherheitsrelevant ist. Merksatz: Fachbegriff plus Wirkung nennen.
--- **Mini-Prüfung: schnelle Zuordnung** | Frage | Antwort | |---|---| | Vertraulichkeit schützt vor was? | unberechtigtem Lesen | | Integrität schützt vor was? | unbemerkter Veränderung | | Verfügbarkeit schützt was? | Nutzbarkeit | | Was ist Malware? | Schadsoftware | | Was ist Ransomware? | Verschlüsselung oder Sperrung gegen Lösegeld | | Was ist Phishing? | Täuschung zur Datenpreisgabe | | Was ist DDoS? | verteilter Angriff auf Verfügbarkeit | | Was ist MitM? | Angreifer zwischen Kommunikationspartnern | | Was ist Spoofing? | Vortäuschen von Identität oder Herkunft | | Was ist SQL Injection? | SQL-Code in Eingaben einschleusen | | Was ist XSS? | Skriptcode im Browser anderer Benutzer | | Was ist CSRF? | Missbrauch einer bestehenden Sitzung | | Was macht IDS? | melden | | Was macht IPS? | blockieren | | Was macht SIEM? | Sicherheitsereignisse korrelieren | --- **Mini-Prüfung: Angriff und Maßnahme** | Angriff oder Risiko | passende Maßnahme | |---|---| | gestohlenes Passwort | MFA | | zu viele Rechte | Least Privilege | | ungepatchter Server | Patchmanagement | | unnötige Dienste | Hardening | | Ransomware | Offline- oder Immutable-Backup | | Phishing | Awareness, Mailfilter, MFA | | SQL Injection | Prepared Statements | | XSS | Output Encoding, CSP, HttpOnly | | DDoS | DDoS-Schutz, Rate Limiting | | Man-in-the-Middle | TLS, Zertifikatsprüfung | | unklare Vorfälle | Logging, SIEM | | kompromittiertes Endgerät | EDR | --- **Mini-Prüfung: Fehlerbild erkennen** | Fehlerbild | Wahrscheinlichstes Thema | |---|---| | viele Loginversuche | Brute Force | | ein Passwort gegen viele Konten | Password Spraying | | geleakte Zugangsdaten werden getestet | Credential Stuffing | | gefälschte Loginseite | Phishing | | angeblicher Chef fordert Zahlung | CEO-Fraud | | Dateien verschlüsselt, Lösegeldforderung | Ransomware | | Dienst überlastet | DoS oder DDoS | | falsche DNS-Antwort | DNS-Spoofing | | Verkehr wird umgeleitet | Man-in-the-Middle | | SQL-Fehler nach Eingabe | SQL Injection | | fremdes Skript im Browser | XSS | | Aktion über bestehende Sitzung ausgelöst | CSRF | --- **IHK-sichere Kurzformulierung** Informationssicherheit schützt die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit. Vertraulichkeit schützt vor unberechtigtem Lesen, Integrität vor unbemerkter Veränderung und Verfügbarkeit vor Ausfall. Eine Schwachstelle ist eine ausnutzbare Lücke, eine Bedrohung ein mögliches schädliches Ereignis und ein Risiko die bewertete Gefahr. Typische Angriffe sind Malware, Ransomware, Phishing, Social Engineering, Brute Force, Credential Stuffing, DDoS, Man-in-the-Middle, Spoofing, SQL Injection, XSS und CSRF. Passende Schutzmaßnahmen sind unter anderem MFA, Least Privilege, Patchmanagement, Hardening, Firewall, IDS, IPS, EDR, SIEM, Backup, Segmentierung und Awareness. --- **Merksätze** Sicherheit schützt Schutzziele. CIA bedeutet Vertraulichkeit, Integrität und Verfügbarkeit. Vertraulichkeit schützt vor Mitlesen. Integrität schützt vor Manipulation. Verfügbarkeit schützt Nutzbarkeit. Authentizität schützt Echtheit. Schwachstelle ist die Lücke. Bedrohung ist das mögliche Ereignis. Risiko ist die bewertete Gefahr. Maßnahme reduziert Risiko. Malware ist Schadsoftware. Virus braucht meist eine Wirtsdatei. Wurm verbreitet sich selbstständig. Trojaner täuscht Nutzen vor. Ransomware verschlüsselt oder sperrt Daten. Phishing täuscht Benutzer. Social Engineering greift Menschen an. Brute Force probiert viele Passwörter. Password Spraying: ein Passwort, viele Konten. Credential Stuffing nutzt geleakte Zugangsdaten. DoS greift Verfügbarkeit an. DDoS ist verteilter DoS. MitM sitzt zwischen Kommunikationspartnern. Spoofing täuscht Identität oder Herkunft vor. SQL Injection betrifft Datenbankabfragen. XSS betrifft Browser anderer Benutzer. CSRF missbraucht eine gültige Sitzung. MFA schützt gegen Passwortmissbrauch. Least Privilege begrenzt Rechte. Patchmanagement schließt bekannte Lücken. Hardening reduziert Angriffsfläche. IDS meldet. IPS blockiert. EDR schützt Endgeräte. SIEM korreliert Sicherheitsereignisse. Backup ist Wiederherstellungsvorsorge. Maßnahme muss zum Risiko passen. Sicherheitsantwort: Risiko, Maßnahme, Wirkung. # 20.12 Trainer – Backup, Restore, RPO, RTO und Notfallmaßnahmen Diese Trainer-Seite wiederholt Backup, Restore, RPO, RTO, Retention, Restore-Test, Ransomware-Schutz und Notfallmaßnahmen. Ziel ist, typische Prüfungsfragen zu Datensicherung, Wiederherstellung, Backup-Arten, Notfallplanung und Verfügbarkeit sicher zu beantworten. Merksatz: Backup ist die Sicherung. Restore ist die Wiederherstellung. Ein Backup ist nur so gut wie sein getesteter Restore. --- **Lernziele** Nach dieser Seite solltest du sicher können: - Backup und Restore unterscheiden - Vollbackup, inkrementelles Backup und differenzielles Backup unterscheiden - RPO und RTO erklären - Retention erklären - Restore-Tests begründen - 3-2-1-Regel erklären - Offline- und Immutable-Backups einordnen - Snapshots, Replikation, Synchronisation und Redundanz von Backup unterscheiden - typische Backup-Fehler erkennen - Notfallmaßnahmen fachlich beschreiben --- **Kurzüberblick** | Begriff | Bedeutung | |---|---| | Backup | Sicherung von Daten, Systemen oder Konfigurationen | | Restore | Wiederherstellung aus einer Sicherung | | RPO | maximal akzeptabler Datenverlust | | RTO | maximal akzeptable Wiederherstellungszeit | | Retention | Aufbewahrungsregel für Backups | | Restore-Test | Prüfung, ob Wiederherstellung funktioniert | | Offline-Backup | nicht dauerhaft verbundenes Backup | | Immutable Backup | unveränderliches Backup | | Notfallhandbuch | Anleitung für Störungen und Wiederanlauf | Merksatz: RPO fragt: Wie viel Datenverlust ist erlaubt? RTO fragt: Wie lange darf die Wiederherstellung dauern? --- **Aufgabe 1** Was ist ein Backup?
Antwort anzeigen Ein Backup ist eine Sicherung von Daten, Systemen, Anwendungen oder Konfigurationen. Ziel: Daten oder Systeme nach Fehler, Ausfall, Löschung, Defekt oder Angriff wiederherstellen können. Beispiele: Dateisicherung Datenbanksicherung VM-Backup Systemabbild Konfigurationsbackup Merksatz: Backup = Sicherung zur späteren Wiederherstellung.
--- **Aufgabe 2** Was ist ein Restore?
Antwort anzeigen Restore bedeutet: Wiederherstellung von Daten, Systemen oder Konfigurationen aus einem Backup. Beispiele: gelöschte Datei wiederherstellen Datenbank auf früheren Zustand zurücksetzen Server nach Ausfall wiederherstellen Konfiguration zurückspielen Merksatz: Restore = Wiederherstellung aus Backup.
--- **Aufgabe 3** Was ist der Unterschied zwischen Backup und Restore?
Antwort anzeigen Backup: Daten werden gesichert. Restore: gesicherte Daten werden wiederhergestellt. Merksatz: Backup ist Vorbereitung. Restore ist der Ernstfall.
--- **Aufgabe 4** Warum ist ein Restore-Test wichtig?
Antwort anzeigen Ein Restore-Test prüft, ob ein Backup wirklich nutzbar ist. Ohne Restore-Test weiß man nicht sicher: ob Daten vollständig sind ob Dateien lesbar sind ob Datenbanken konsistent sind ob Schlüssel vorhanden sind ob Rechte stimmen ob die Wiederherstellungszeit ausreicht Merksatz: Backup ohne Restore-Test ist unsicher.
--- **Aufgabe 5** Was ist ein Vollbackup?
Antwort anzeigen Ein Vollbackup sichert alle ausgewählten Daten vollständig. Vorteile: einfache Wiederherstellung vollständiger Sicherungsstand weniger Abhängigkeiten Nachteile: benötigt viel Speicherplatz dauert länger erzeugt mehr Last Merksatz: Vollbackup sichert alles, braucht aber mehr Speicher und Zeit.
--- **Aufgabe 6** Was ist ein inkrementelles Backup?
Antwort anzeigen Ein inkrementelles Backup sichert nur Änderungen seit dem letzten Backup. Das letzte Backup kann sein: Vollbackup oder inkrementelles Backup Vorteile: schnell spart Speicherplatz Nachteile: Restore braucht die Backup-Kette beschädigte Kette kann Wiederherstellung gefährden Merksatz: Inkrementell = Änderungen seit letztem Backup.
--- **Aufgabe 7** Was ist ein differenzielles Backup?
Antwort anzeigen Ein differenzielles Backup sichert alle Änderungen seit dem letzten Vollbackup. Vorteile: Restore einfacher als bei langer inkrementeller Kette weniger Speicherbedarf als tägliches Vollbackup Nachteile: wird bis zum nächsten Vollbackup immer größer Merksatz: Differenziell = Änderungen seit letztem Vollbackup.
--- **Aufgabe 8** Ordne die Backup-Arten zu. | Backup-Art | Bedeutung | |---|---| | Vollbackup | ? | | inkrementelles Backup | ? | | differenzielles Backup | ? |
Antwort anzeigen | Backup-Art | Bedeutung | |---|---| | Vollbackup | sichert alle ausgewählten Daten | | inkrementelles Backup | sichert Änderungen seit letztem Backup | | differenzielles Backup | sichert Änderungen seit letztem Vollbackup | Merksatz: Voll = alles. Inkrementell = seit letztem Backup. Differenziell = seit letztem Vollbackup.
--- **Aufgabe 9** Was ist ein Snapshot?
Antwort anzeigen Ein Snapshot ist eine Momentaufnahme eines Systems, Datenträgers, Dateisystems oder einer virtuellen Maschine. Typische Nutzung: vor Updates vor Tests vor Konfigurationsänderungen Wichtig: Ein Snapshot ersetzt kein vollständiges Backup. Merksatz: Snapshot = Momentaufnahme, nicht automatisch Backup.
--- **Aufgabe 10** Warum ersetzt ein Snapshot kein Backup?
Antwort anzeigen Snapshots liegen oft auf demselben System oder Speicher wie die Produktivdaten. Risiken: Speicherdefekt betrifft Snapshot ebenfalls Ransomware kann Snapshot erreichen Snapshot kann gelöscht werden Snapshot-Kette kann beschädigt werden Speicherplatz kann volllaufen Merksatz: Backup muss getrennt, geschützt und wiederherstellbar sein.
--- **Aufgabe 11** Was bedeutet RPO?
Antwort anzeigen RPO steht für: Recovery Point Objective Bedeutung: maximal akzeptabler Datenverlust. Beispiel: RPO 1 Stunde Bedeutung: Es dürfen höchstens Daten von einer Stunde verloren gehen. Merksatz: RPO = Datenverlust.
--- **Aufgabe 12** Was bedeutet RTO?
Antwort anzeigen RTO steht für: Recovery Time Objective Bedeutung: maximal akzeptable Wiederherstellungszeit. Beispiel: RTO 4 Stunden Bedeutung: Der Dienst soll spätestens nach 4 Stunden wieder laufen. Merksatz: RTO = Zeit bis Wiederherstellung.
--- **Aufgabe 13** Ordne zu. | Begriff | Frage | |---|---| | RPO | ? | | RTO | ? |
Antwort anzeigen | Begriff | Frage | |---|---| | RPO | Wie viel Datenverlust ist maximal erlaubt? | | RTO | Wie lange darf die Wiederherstellung maximal dauern? | Merksatz: RPO betrifft Daten. RTO betrifft Zeit.
--- **Aufgabe 14** Ein Unternehmen sagt: Es dürfen maximal 2 Stunden Daten verloren gehen. Welcher Begriff ist gemeint?
Antwort anzeigen Gemeint ist: RPO Begründung: Es geht um maximal akzeptablen Datenverlust. Merksatz: Datenverlust = RPO.
--- **Aufgabe 15** Ein Unternehmen sagt: Der Dienst muss spätestens nach 6 Stunden wieder verfügbar sein. Welcher Begriff ist gemeint?
Antwort anzeigen Gemeint ist: RTO Begründung: Es geht um die maximal akzeptable Wiederherstellungszeit. Merksatz: Wiederherstellungszeit = RTO.
--- **Aufgabe 16** Warum muss die Backup-Frequenz zum RPO passen?
Antwort anzeigen Wenn das RPO klein ist, muss häufiger gesichert werden. Beispiel: RPO 24 Stunden: tägliches Backup kann reichen. RPO 1 Stunde: stündliches Backup oder kontinuierliche Sicherung nötig. Merksatz: Je kleiner das RPO, desto häufiger muss gesichert werden.
--- **Aufgabe 17** Warum muss der Restore-Prozess zum RTO passen?
Antwort anzeigen Das RTO beschreibt, wie schnell ein Dienst wiederhergestellt sein muss. Der Restore-Prozess muss daher schnell genug sein. Einflussfaktoren: Backup-Größe Netzwerkgeschwindigkeit Speicherleistung Abhängigkeiten Personal Dokumentation Tests Merksatz: RTO wird durch den gesamten Wiederherstellungsprozess bestimmt.
--- **Aufgabe 18** Was bedeutet Retention?
Antwort anzeigen Retention bedeutet: Aufbewahrungsregel für Backups. Beispiele: tägliche Backups 14 Tage behalten wöchentliche Backups 8 Wochen behalten monatliche Backups 12 Monate behalten Merksatz: Retention regelt, wie lange Backups behalten werden.
--- **Aufgabe 19** Was ist die 3-2-1-Regel?
Antwort anzeigen Die 3-2-1-Regel lautet: 3 Kopien der Daten 2 unterschiedliche Speicherarten 1 Kopie extern oder getrennt Beispiel: Produktivdaten Backup auf NAS zusätzliches externes oder Cloud-Backup Merksatz: 3-2-1 reduziert das Risiko, dass alle Kopien gleichzeitig verloren gehen.
--- **Aufgabe 20** Was bedeutet die 3-2-1-1-0-Regel?
Antwort anzeigen Die 3-2-1-1-0-Regel ist eine erweiterte Backup-Regel. Sie bedeutet: 3 Kopien 2 unterschiedliche Medien 1 Kopie extern 1 Kopie offline oder immutable 0 Fehler bei Restore-Tests Merksatz: Die 0 steht für fehlerfrei getestete Wiederherstellung.
--- **Aufgabe 21** Was ist ein Offline-Backup?
Antwort anzeigen Ein Offline-Backup ist nicht dauerhaft mit dem Produktivsystem verbunden. Beispiele: getrennte Festplatte Band ausgelagertes Medium abgeschottetes Backup-System Vorteil: besserer Schutz gegen Ransomware und versehentliche Löschung. Merksatz: Offline-Backup ist nicht dauerhaft erreichbar.
--- **Aufgabe 22** Was ist ein Immutable Backup?
Antwort anzeigen Immutable bedeutet: unveränderlich. Ein Immutable Backup kann für eine festgelegte Zeit nicht verändert oder gelöscht werden. Schützt gegen: Ransomware Manipulation versehentliche Löschung kompromittierte Adminzugänge Merksatz: Immutable Backup schützt die Wiederherstellungsmöglichkeit.
--- **Aufgabe 23** Warum sind Offline- oder Immutable-Backups bei Ransomware wichtig?
Antwort anzeigen Ransomware versucht häufig, auch Backups zu löschen oder zu verschlüsseln. Offline-Backups sind nicht dauerhaft verbunden. Immutable Backups können für eine festgelegte Zeit nicht verändert oder gelöscht werden. Dadurch bleibt eine Wiederherstellung möglich. Merksatz: Backups müssen auch vor Angreifern geschützt werden.
--- **Aufgabe 24** Was ist Backup-Verschlüsselung?
Antwort anzeigen Backup-Verschlüsselung schützt Sicherungsdaten vor unberechtigtem Lesen. Wichtig: Schlüssel sicher aufbewahren Zugriff begrenzen Wiederherstellung mit Schlüssel testen Schlüsselverlust vermeiden Merksatz: Verschlüsseltes Backup ist nur nutzbar, wenn der Schlüssel verfügbar ist.
--- **Aufgabe 25** Warum brauchen Backups besondere Zugriffsrechte?
Antwort anzeigen Backups enthalten oft besonders viele oder besonders sensible Daten. Risiken bei zu breiten Rechten: Datenabfluss Manipulation Löschung Ransomware kann Backups verschlüsseln Maßnahmen: getrennte Adminrechte MFA keine normalen Benutzerrechte auf Backup-Speicher Löschrechte begrenzen Zugriffe protokollieren Merksatz: Backups brauchen starken Zugriffsschutz.
--- **Aufgabe 26** Was ist Backup-Monitoring?
Antwort anzeigen Backup-Monitoring prüft, ob Sicherungen erfolgreich laufen. Zu überwachen: letzter erfolgreicher Backup-Lauf Fehlermeldungen Datenmenge Laufzeit Speicherplatz Retention ungewöhnliche Löschungen Restore-Test Merksatz: Fehlgeschlagene Backups müssen auffallen, bevor ein Restore nötig ist.
--- **Aufgabe 27** Was ist ein Datenbank-Backup?
Antwort anzeigen Ein Datenbank-Backup sichert eine Datenbank so, dass sie konsistent wiederhergestellt werden kann. Wichtig: laufende Transaktionen Schreibzugriffe Transaktionslogs Konsistenz Wiederherstellungszeitpunkt Merksatz: Datenbanken nicht einfach blind als Datei kopieren.
--- **Aufgabe 28** Was bedeutet Point-in-Time-Recovery?
Antwort anzeigen Point-in-Time-Recovery bedeutet: Wiederherstellung auf einen bestimmten Zeitpunkt. Beispiel: Datenbank auf Zustand von 10:15 Uhr zurücksetzen. Nützlich bei: versehentlichem Löschen fehlerhaftem Import falscher Änderung beschädigten Daten Merksatz: Point-in-Time-Recovery stellt gezielt einen früheren Zeitpunkt wieder her.
--- **Aufgabe 29** Was ist Replikation?
Antwort anzeigen Replikation bedeutet: Daten werden auf ein anderes System kopiert, oft nahezu aktuell. Vorteil: schnelle Umschaltung aktuelle Kopie höhere Verfügbarkeit Risiko: Fehler, Löschung oder Ransomware können mitrepliziert werden. Merksatz: Replikation ist kein Backup.
--- **Aufgabe 30** Was ist Synchronisation?
Antwort anzeigen Synchronisation bedeutet: Daten werden zwischen Speicherorten abgeglichen. Problem: Löschungen, Fehländerungen, beschädigte Dateien oder Ransomware-Verschlüsselung können mitsynchronisiert werden. Merksatz: Synchronisation hält Daten gleich, stellt aber nicht automatisch alte Stände wieder her.
--- **Aufgabe 31** Was ist Redundanz?
Antwort anzeigen Redundanz bedeutet: wichtige Komponenten sind mehrfach vorhanden. Beispiele: RAID zwei Netzteile mehrere Server zweite Firewall mehrere Internetleitungen Ziel: Ausfall vermeiden oder abfedern. Wichtig: Redundanz ersetzt kein Backup. Merksatz: Redundanz erhöht Verfügbarkeit, stellt aber keine alten Datenstände wieder her.
--- **Aufgabe 32** Ordne zu. | Begriff | Ersetzt Backup? | |---|---| | Snapshot | ? | | Replikation | ? | | Synchronisation | ? | | Redundanz | ? |
Antwort anzeigen | Begriff | Ersetzt Backup? | |---|---| | Snapshot | nein | | Replikation | nein | | Synchronisation | nein | | Redundanz | nein | Begründung: Diese Verfahren können nützlich sein, ersetzen aber kein vollständiges Backup-Konzept mit Restore-Möglichkeit. Merksatz: Nicht alles, was Daten kopiert oder verfügbar hält, ist ein Backup.
--- **Aufgabe 33** Was ist ein Notfallhandbuch?
Antwort anzeigen Ein Notfallhandbuch beschreibt, was bei schweren Störungen zu tun ist. Inhalte: Ansprechpartner Prioritäten Systeme Wiederherstellungsreihenfolge Backup-Orte Restore-Anleitungen Kommunikationswege Eskalationswege Merksatz: Im Notfall darf nicht erst gesucht werden, wer was weiß.
--- **Aufgabe 34** Warum ist die Restore-Reihenfolge wichtig?
Antwort anzeigen Systeme hängen oft voneinander ab. Beispielhafte Reihenfolge: Netzwerk Verzeichnisdienst Speicher Datenbank Anwendung Benutzerzugriff Wenn Abhängigkeiten fehlen, starten Dienste eventuell nicht korrekt. Merksatz: Restore braucht Reihenfolge, weil Systeme voneinander abhängen.
--- **Aufgabe 35** Was ist Disaster Recovery?
Antwort anzeigen Disaster Recovery beschreibt: Wiederherstellung der IT nach schweren Störungen. Beispiele: Ransomware Brand Rechenzentrumsausfall massiver Datenverlust Hardwaredefekt Cloud-Ausfall Merksatz: Disaster Recovery = IT-Wiederherstellung nach schwerem Vorfall.
--- **Aufgabe 36** Was ist Business Continuity?
Antwort anzeigen Business Continuity bedeutet: Geschäftsprozesse sollen trotz Störung weiterlaufen oder schnell wieder anlaufen. Dazu gehören: Notfallplanung Ersatzprozesse Kommunikation Verantwortlichkeiten Wiederanlauf Tests Merksatz: Business Continuity betrachtet den Betrieb insgesamt.
--- **Aufgabe 37** Was ist Failover?
Antwort anzeigen Failover bedeutet: Ein Dienst wird bei Ausfall auf ein Ersatzsystem umgeschaltet. Möglich: automatisch oder manuell Beispiele: zweite Firewall übernimmt Datenbank-Replikat wird aktiv anderer Server übernimmt Dienst Wichtig: Failover ersetzt kein Backup. Merksatz: Failover reduziert Ausfallzeit, ist aber kein Backup.
--- **Aufgabe 38** Welche Antwort ist besser? Aufgabe: Warum reicht es nicht, nur Backups zu erstellen? Antwort A: Weil man mehr machen muss. Antwort B: Backups müssen regelmäßig überwacht und durch Restore-Tests geprüft werden. Nur so ist sichergestellt, dass Daten vollständig, lesbar und innerhalb der geforderten Zeit wiederherstellbar sind.
Antwort anzeigen B ist besser. Begründung: Die Antwort nennt konkrete Anforderungen: Monitoring, Restore-Test, Vollständigkeit und Wiederherstellungszeit. Merksatz: Backup braucht Prüfung.
--- **Aufgabe 39** Welche Antwort ist besser? Aufgabe: Warum ist Replikation kein Backup? Antwort A: Weil es anders heißt. Antwort B: Replikation erstellt eine aktuelle Kopie. Fehler, Löschungen oder Ransomware-Verschlüsselungen können jedoch mitrepliziert werden. Ein Backup muss auch ältere Zustände wiederherstellen können.
Antwort anzeigen B ist besser. Begründung: Die Antwort erklärt den fachlichen Unterschied zwischen aktueller Kopie und wiederherstellbaren alten Ständen. Merksatz: Replikation ist Verfügbarkeit, Backup ist Wiederherstellung.
--- **Aufgabe 40** Welche Antwort ist besser? Aufgabe: Was bedeutet RPO 1 Stunde? Antwort A: Das Backup dauert eine Stunde. Antwort B: RPO 1 Stunde bedeutet, dass maximal Daten aus einer Stunde verloren gehen dürfen. Die Backup-Frequenz oder Sicherungsmethode muss dazu passen.
Antwort anzeigen B ist besser. Begründung: RPO beschreibt Datenverlust, nicht die Dauer des Backups. Merksatz: RPO nicht mit Backup-Dauer verwechseln.
--- **Mini-Prüfung: schnelle Zuordnung** | Frage | Antwort | |---|---| | Was ist Backup? | Sicherung | | Was ist Restore? | Wiederherstellung | | Was bedeutet RPO? | maximal akzeptabler Datenverlust | | Was bedeutet RTO? | maximal akzeptable Wiederherstellungszeit | | Was bedeutet Retention? | Aufbewahrungsregel | | Was ist Vollbackup? | sichert alle ausgewählten Daten | | Was ist inkrementell? | Änderungen seit letztem Backup | | Was ist differenziell? | Änderungen seit letztem Vollbackup | | Was ist Snapshot? | Momentaufnahme | | Was ist Offline-Backup? | nicht dauerhaft verbunden | | Was ist Immutable Backup? | unveränderliches Backup | | Was ist Restore-Test? | Prüfung der Wiederherstellung | --- **Mini-Prüfung: Fehlerbild erkennen** | Fehlerbild | Wahrscheinlichstes Thema | |---|---| | Backup vorhanden, Restore geht nicht | Restore-Test fehlt oder Backup defekt | | zu viel Datenverlust | RPO nicht eingehalten | | Wiederherstellung dauert zu lange | RTO nicht eingehalten | | Datenbank nach Restore beschädigt | kein konsistentes Backup | | Backupziel voll | Retention oder Speicherplatz | | Ransomware verschlüsselt Backups mit | Backup online und beschreibbar | | verschlüsseltes Backup nicht nutzbar | Schlüssel fehlt | | alte Datei fehlt | Retention zu kurz | | Replikat enthält auch gelöschte Daten | Replikation ist kein Backup | | Dienst startet nach Restore nicht | Abhängigkeiten oder Reihenfolge vergessen | --- **IHK-sichere Kurzformulierung** Ein Backup ist eine Sicherung von Daten, Systemen oder Konfigurationen. Restore bezeichnet die Wiederherstellung aus dieser Sicherung. Ein Backup ist nur zuverlässig, wenn die Wiederherstellung regelmäßig getestet wird. Vollbackups sichern alle ausgewählten Daten, inkrementelle Backups sichern Änderungen seit dem letzten Backup und differenzielle Backups sichern Änderungen seit dem letzten Vollbackup. RPO beschreibt den maximal akzeptablen Datenverlust, RTO die maximal akzeptable Wiederherstellungszeit. Retention legt fest, wie lange Backups aufbewahrt werden. Snapshots, Replikation, Synchronisation, Redundanz und Failover ersetzen kein vollständiges Backup-Konzept. Gegen Ransomware helfen besonders Offline- oder Immutable-Backups und regelmäßige Restore-Tests. --- **Merksätze** Backup = Sicherung. Restore = Wiederherstellung. Backup ohne Restore-Test ist unsicher. Vollbackup sichert alles. Inkrementell sichert seit letztem Backup. Differenziell sichert seit letztem Vollbackup. Snapshot ist Momentaufnahme. Snapshot ersetzt kein Backup. Datenbanken brauchen konsistente Backups. Point-in-Time-Recovery stellt einen Zeitpunkt wieder her. RPO = Datenverlust. RTO = Wiederherstellungszeit. Retention = Aufbewahrungsregel. Backup-Frequenz muss zum RPO passen. Restore-Prozess muss zum RTO passen. 3-2-1 reduziert Gesamtrisiko. 3-2-1-1-0 ergänzt Offline oder Immutable und fehlerfreie Restore-Tests. Offline-Backup ist nicht dauerhaft verbunden. Immutable Backup ist unveränderlich. Verschlüsseltes Backup braucht Schlüssel. Backups brauchen starke Rechtebegrenzung. Backup-Monitoring ist Pflicht. Backup-Logs regelmäßig prüfen. Redundanz ist kein Backup. Replikation ist kein Backup. Synchronisation ist kein Backup. Failover ist kein Backup. Notfallhandbuch hilft im Ernstfall. Restore braucht Reihenfolge. Business Continuity betrachtet Geschäftsprozesse. Disaster Recovery betrachtet IT-Wiederherstellung. Im Notfall zählt nicht, ob ein Backup irgendwo existiert, sondern ob es korrekt und rechtzeitig wiederhergestellt werden kann. # 20.13 Trainer – Gemischte Fehlersuche nach dem OSI-Modell Diese Trainer-Seite wiederholt die systematische Fehlersuche nach dem OSI-Modell. Ziel ist, Fehlerbilder nicht wild zu raten, sondern sauber einzuordnen: - Welche Schicht ist betroffen? - Was funktioniert noch? - Was funktioniert nicht? - Welche Prüfung passt als nächstes? - Welche Ursache ist am wahrscheinlichsten? Merksatz: Gute Fehlersuche beginnt nicht mit Vermutung, sondern mit Eingrenzung. --- **Lernziele** Nach dieser Seite solltest du sicher können: - Fehler systematisch nach OSI-Schichten eingrenzen - typische Fehlerbilder erkennen - passende Prüfwerkzeuge auswählen - IP, DNS, Gateway, Firewall, Port, Dienst und Rechte unterscheiden - aus Symptomen wahrscheinliche Ursachen ableiten - prüfungssichere Antworten formulieren --- **Grundprinzip der Fehlersuche** Bei Netzwerkproblemen immer fragen: 1. Gibt es eine physische Verbindung? 2. Ist die lokale Verbindung korrekt? 3. Stimmt die IP-Konfiguration? 4. Ist das Zielnetz erreichbar? 5. Ist der Port oder Dienst erreichbar? 6. Funktioniert die Anwendung? 7. Gibt es Berechtigungs- oder Authentifizierungsprobleme? Merksatz: Erst Verbindung prüfen, dann Adresse, dann Dienst, dann Anwendung. --- **OSI-Fehlersuche im Überblick** | Schicht | Thema | Typische Prüfung | |---|---|---| | 1 | Kabel, Signal, Link | Link-LED, Kabel, Port | | 2 | MAC, VLAN, Switch | VLAN, MAC-Tabelle, ARP | | 3 | IP, Gateway, Routing | IP-Konfiguration, ping, traceroute | | 4 | TCP, UDP, Ports | Porttest, Dienst lauscht? | | 5 | Sitzung | Session, Timeout, Cookie | | 6 | TLS, Zertifikat | Zertifikat, Verschlüsselung | | 7 | Anwendung | DNS, HTTP, Dienst, Logs | Merksatz: Jede Schicht hat eigene Fehlerbilder. --- **Aufgabe 1** Ein Client hat keine Link-LED am Netzwerkanschluss. Welche Schicht ist zuerst betroffen?
Antwort anzeigen Zuerst betroffen ist: OSI-Schicht 1 Begründung: Keine Link-LED deutet auf ein physisches Problem hin. Prüfen: Kabel Stecker Netzwerkdose Switchport Netzwerkkarte Gegenstelle Merksatz: Kein Link: Schicht 1 prüfen.
--- **Aufgabe 2** Ein Client hat die IP-Adresse: 169.254.23.10 Was ist wahrscheinlich?
Antwort anzeigen Wahrscheinlich: DHCP-Problem Begründung: 169.254.x.x ist eine APIPA-Adresse. Der Client hat wahrscheinlich keine gültige IP-Adresse vom DHCP-Server erhalten. Prüfen: DHCP-Server VLAN DHCP-Scope DHCP-Relay Netzwerkverbindung Merksatz: 169.254.x.x: DHCP nicht erreicht.
--- **Aufgabe 3** Ein Client kann Geräte im gleichen Netz erreichen, aber keine externen Netze. Was ist wahrscheinlich?
Antwort anzeigen Wahrscheinlich: Gateway, Routing, NAT oder Firewall Erste Prüfung: Standardgateway Begründung: Lokale Kommunikation funktioniert. Der Fehler liegt wahrscheinlich beim Weg in andere Netze. Merksatz: Lokal ja, extern nein: Gateway prüfen.
--- **Aufgabe 4** Ein Client erreicht eine Webseite per IP-Adresse, aber nicht per Namen. Was ist wahrscheinlich?
Antwort anzeigen Wahrscheinlich: DNS-Problem Begründung: Die IP-Kommunikation funktioniert. Nur die Namensauflösung funktioniert nicht. Prüfen: DNS-Server DNS-Eintrag DNS-Cache DNS-Suffix Split-DNS Merksatz: IP ja, Name nein: DNS.
--- **Aufgabe 5** Ein Server ist per ping erreichbar, aber SSH funktioniert nicht. Was ist wahrscheinlich?
Antwort anzeigen Ping prüft ICMP. SSH nutzt TCP 22. Mögliche Ursachen: TCP 22 blockiert SSH-Dienst läuft nicht SSH lauscht auf anderem Port lokale Firewall blockiert Netzwerkfirewall blockiert Benutzer oder Schlüssel falsch Merksatz: ping geht, Dienst nicht: Port, Dienst und Firewall prüfen.
--- **Aufgabe 6** Ein Webserver ist per ping erreichbar, aber HTTPS funktioniert nicht. Was sollte geprüft werden?
Antwort anzeigen Prüfen: TCP 443 erreichbar? Webserver läuft? Dienst lauscht auf Port 443? Firewall erlaubt TCP 443? Reverse Proxy korrekt? TLS-Zertifikat korrekt? Anwendung läuft? Merksatz: ping ist kein HTTPS-Test.
--- **Aufgabe 7** Ein Browser zeigt HTTP 404. Was bedeutet das?
Antwort anzeigen HTTP 404 bedeutet: nicht gefunden Die angeforderte Ressource existiert unter dieser Adresse nicht oder ist dort nicht erreichbar. Prüfen: URL Pfad Routing der Webanwendung Webserver-Konfiguration Reverse Proxy Merksatz: 404 = Ressource nicht gefunden.
--- **Aufgabe 8** Ein Browser zeigt HTTP 500. Was bedeutet das?
Antwort anzeigen HTTP 500 bedeutet: interner Serverfehler Das Problem liegt eher auf Serverseite. Prüfen: Anwendungslogs Webserverlogs Backend Datenbank Konfiguration Berechtigungen Merksatz: 500 = Server, Anwendung oder Backend prüfen.
--- **Aufgabe 9** Ein Browser zeigt HTTP 502. Was bedeutet das häufig?
Antwort anzeigen HTTP 502 bedeutet: Bad Gateway Typisch bei: Reverse Proxy Load Balancer Gateway Mögliche Ursachen: Backend nicht erreichbar Backend-Port falsch Backend-Dienst läuft nicht DNS intern falsch Proxy-Konfiguration falsch Merksatz: 502: Proxy oder Gateway erreicht Backend nicht korrekt.
--- **Aufgabe 10** Ein Benutzer kann sich anmelden, aber nicht auf eine Datei zugreifen. Was ist wahrscheinlich?
Antwort anzeigen Wahrscheinlich: Autorisierungs- oder Berechtigungsproblem Begründung: Die Anmeldung funktioniert. Der Zugriff auf die Ressource ist aber nicht erlaubt. Prüfen: Gruppenmitgliedschaft ACLs Freigaberechte Dateisystemrechte Rollen Merksatz: Login ja, Zugriff nein: Rechte prüfen.
--- **Aufgabe 11** Ein Benutzer kann sich gar nicht anmelden. Was ist wahrscheinlich?
Antwort anzeigen Wahrscheinlich: Authentifizierungsproblem Mögliche Ursachen: falsches Passwort Konto gesperrt MFA-Problem Verzeichnisdienst nicht erreichbar Zertifikat abgelaufen Zeitproblem Merksatz: Anmeldung scheitert: Authentifizierung prüfen.
--- **Aufgabe 12** Ein Client bekommt eine IP-Adresse aus dem falschen Netz. Was ist wahrscheinlich?
Antwort anzeigen Wahrscheinlich: falsches VLAN Begründung: Wenn ein Client im falschen VLAN landet, erhält er eventuell eine Adresse aus dem falschen DHCP-Scope. Prüfen: Access-VLAN am Switchport Trunk-Konfiguration DHCP-Scope Dokumentation Merksatz: Falsches Netz: VLAN prüfen.
--- **Aufgabe 13** Mehrere VLANs funktionieren über eine Switch-Verbindung nicht. Was sollte geprüft werden?
Antwort anzeigen Prüfen: Trunk-Port aktiv? VLANs erlaubt? VLANs auf beiden Switches vorhanden? 802.1Q-Tagging korrekt? Native VLAN passend? Gegenstelle korrekt konfiguriert? Merksatz: Mehrere VLANs betroffen: Trunk prüfen.
--- **Aufgabe 14** Ein einzelner Client kann keine Verbindung herstellen, andere Clients im gleichen Raum funktionieren. Was ist wahrscheinlich?
Antwort anzeigen Mögliche Ursachen: Patchkabel defekt Netzwerkdose defekt Switchport deaktiviert falsches Access-VLAN Netzwerkkarte deaktiviert Port Security blockiert Client-Konfiguration falsch Merksatz: Nur ein Gerät betroffen: lokal am Gerät, Kabel oder Port suchen.
--- **Aufgabe 15** Alle Clients in einem VLAN haben kein Internet. Was ist wahrscheinlicher als ein einzelnes defektes Patchkabel?
Antwort anzeigen Wahrscheinlicher sind zentrale Ursachen: Gateway des VLANs Firewall-Regel Routing NAT DHCP-Konfiguration VLAN-Trunk DNS, falls nur Namen betroffen sind Merksatz: Viele Geräte betroffen: zentrale Komponente prüfen.
--- **Aufgabe 16** Ein Client kann externe IP-Adressen erreichen, aber keine Webseiten per Domain. Was ist wahrscheinlich?
Antwort anzeigen Wahrscheinlich: DNS-Problem Begründung: Der Weg ins Internet funktioniert. Nur die Namensauflösung funktioniert nicht. Prüfen: DNS-Server DNS-Erreichbarkeit DNS-Einträge DNS-Cache Merksatz: Externe IP ja, Domain nein: DNS.
--- **Aufgabe 17** Ein Dienst funktioniert intern, aber nicht von außen über das Internet. Was sollte geprüft werden?
Antwort anzeigen Prüfen: öffentliche IP DNS Portweiterleitung Router-Firewall lokale Firewall Dienststatus Dienstport doppeltes NAT CGNAT Provider-Portblockade Merksatz: Intern ja, extern nein: NAT, Firewall, DNS und öffentliche IP prüfen.
--- **Aufgabe 18** Ein Dienst funktioniert von außen, aber intern nicht über die öffentliche Domain. Was ist wahrscheinlich?
Antwort anzeigen Mögliche Ursachen: Hairpin NAT fehlt Split-DNS fehlt interne DNS-Auflösung falsch Firewall-Regel für internen Zugriff fehlt Merksatz: Externe Domain intern: Hairpin NAT oder Split-DNS prüfen.
--- **Aufgabe 19** VPN ist verbunden, aber interne Namen funktionieren nicht. Was ist wahrscheinlich?
Antwort anzeigen Wahrscheinlich: VPN-DNS-Problem Prüfen: interner DNS-Server gesetzt? DNS-Server über VPN erreichbar? DNS-Suffix vorhanden? Split-DNS korrekt? DNS-Cache veraltet? Merksatz: VPN-IP ja, VPN-Name nein: VPN-DNS prüfen.
--- **Aufgabe 20** VPN ist verbunden, aber interne IP-Ziele sind nicht erreichbar. Was ist wahrscheinlich?
Antwort anzeigen Mögliche Ursachen: VPN-Route fehlt Zielnetz nicht erlaubt Firewall blockiert Rückroute fehlt IP-Adresskonflikt Berechtigung fehlt Merksatz: VPN verbunden heißt nicht automatisch: Routen und Regeln stimmen.
--- **Aufgabe 21** Ein Heimnetz und Firmennetz nutzen beide 192.168.1.0/24. Warum ist das bei VPN problematisch?
Antwort anzeigen Problem: Der Client kann nicht eindeutig entscheiden, ob 192.168.1.x lokal oder über VPN erreichbar sein soll. Folge: Routingprobleme interne Dienste nicht erreichbar Merksatz: Gleiche Netze lokal und remote verursachen VPN-Probleme.
--- **Aufgabe 22** Ein Zertifikat ist abgelaufen. Welches typische Fehlerbild entsteht?
Antwort anzeigen Typisches Fehlerbild: Browser oder Client zeigt Zertifikatswarnung. Mögliche Folgen: HTTPS-Verbindung wird blockiert Benutzer erhält Sicherheitswarnung API-Clients lehnen Verbindung ab Prüfen: Ablaufdatum Hostname Zertifikatskette Systemzeit Merksatz: Zertifikatswarnung: Ablauf, Name, Kette und Zeit prüfen.
--- **Aufgabe 23** Ein HTTPS-Zertifikat passt nicht zum Hostnamen. Was ist die Ursache?
Antwort anzeigen Ursache: Der aufgerufene Name steht nicht passend im Zertifikat. Prüfen: Common Name Subject Alternative Name verwendete Domain Reverse Proxy falsches Zertifikat Merksatz: Zertifikat muss zum aufgerufenen Namen passen.
--- **Aufgabe 24** Ein Dienst startet nach einem Restore nicht. Was sollte geprüft werden?
Antwort anzeigen Prüfen: Abhängigkeiten Datenbank erreichbar? Rechte korrekt? Konfiguration vorhanden? Zertifikate vorhanden? DNS korrekt? Ports frei? Logs auswerten Restore-Reihenfolge eingehalten? Merksatz: Restore braucht Abhängigkeiten und Reihenfolge.
--- **Aufgabe 25** Nach einem Update funktioniert ein Dienst nicht mehr. Was sollte geprüft werden?
Antwort anzeigen Prüfen: Änderungsprotokoll Konfigurationsänderungen Dienststatus Logs Ports Abhängigkeiten Berechtigungen Kompatibilität Rollback-Möglichkeit Merksatz: Nach Änderung: Change, Logs und Rollback prüfen.
--- **Aufgabe 26** Ein Backup ist vorhanden, aber die Wiederherstellung schlägt fehl. Was wurde wahrscheinlich versäumt?
Antwort anzeigen Wahrscheinlich: Restore-Test Weitere mögliche Ursachen: Backup beschädigt Schlüssel fehlt Rechte fehlen Datenbank nicht konsistent gesichert Backup-Kette unvollständig Dokumentation fehlt Merksatz: Backup ohne Restore-Test ist unsicher.
--- **Aufgabe 27** Ein Server ist sehr langsam, aber nicht komplett ausgefallen. Was sollte geprüft werden?
Antwort anzeigen Prüfen: CPU-Auslastung RAM Festplatten-I/O Speicherplatz Netzwerkfehler Paketverluste Latenz Logs laufende Prozesse Datenbanklast Merksatz: Langsamkeit braucht Messwerte, nicht nur Vermutung.
--- **Aufgabe 28** Ein Dienst ist nicht erreichbar. Der Port lauscht aber lokal auf 127.0.0.1. Warum kann das ein Problem sein?
Antwort anzeigen 127.0.0.1 ist localhost. Wenn ein Dienst nur auf 127.0.0.1 lauscht, ist er nur lokal auf dem Server erreichbar, nicht von anderen Systemen. Prüfen: Bind-Adresse Dienstkonfiguration Firewall Merksatz: 127.0.0.1 heißt: nur lokal erreichbar.
--- **Aufgabe 29** Ein Dienst lauscht auf 0.0.0.0. Was bedeutet das?
Antwort anzeigen 0.0.0.0 bedeutet bei einem lauschenden Dienst: Der Dienst lauscht auf allen IPv4-Schnittstellen des Systems. Wichtig: Ob er wirklich erreichbar ist, hängt zusätzlich von Firewall, Routing und Netzwerk ab. Merksatz: 0.0.0.0 heißt: alle IPv4-Interfaces.
--- **Aufgabe 30** Ein Porttest schlägt fehl, obwohl der Dienst läuft. Was kann die Ursache sein?
Antwort anzeigen Mögliche Ursachen: Dienst lauscht nur auf localhost lokale Firewall blockiert Netzwerkfirewall blockiert falscher Port falsches Protokoll TCP/UDP NAT-Regel fehlt Routingproblem Ziel-IP falsch Merksatz: Dienst läuft heißt nicht automatisch: Dienst ist von außen erreichbar.
--- **Aufgabe 31** Ein DNS-Eintrag wurde geändert, aber Clients nutzen noch die alte IP. Was ist wahrscheinlich?
Antwort anzeigen Wahrscheinlich: DNS-Cache oder TTL Prüfen: Client-DNS-Cache DNS-Server-Cache TTL des Eintrags welcher DNS-Server gefragt wird Merksatz: DNS-Änderungen wirken nicht immer sofort.
--- **Aufgabe 32** Ein Client erhält keine IP-Adresse, aber nur in einem bestimmten VLAN. Was sollte geprüft werden?
Antwort anzeigen Prüfen: DHCP-Scope für dieses VLAN DHCP-Relay Gateway im VLAN VLAN-Trunk Firewall-Regeln DHCP-Server erreichbar? Merksatz: DHCP pro VLAN braucht passenden Scope und Weg zum Server.
--- **Aufgabe 33** Ein Client kann den DNS-Server nicht erreichen. Welche Folgen kann das haben?
Antwort anzeigen Folgen: Namen werden nicht aufgelöst Webseiten per Domain funktionieren nicht interne Dienste per Name funktionieren nicht Anmeldung oder Dienste können verzögert sein Anwendungen finden Backend-Systeme nicht Merksatz: Ohne DNS funktionieren viele Dienste scheinbar nicht, obwohl IP-Kommunikation möglich sein kann.
--- **Aufgabe 34** Ein Benutzer meldet: „Das Internet geht nicht.“ Welche Rückfragen oder Prüfungen sind sinnvoll?
Antwort anzeigen Sinnvoll prüfen: Betrifft es nur eine Webseite oder alle? Geht Zugriff per IP? Geht DNS-Auflösung? IP-Adresse korrekt? Gateway erreichbar? andere Clients betroffen? WLAN oder Kabel? Proxy oder VPN aktiv? Firewall oder Filter? Merksatz: „Internet geht nicht“ erst in konkrete Symptome zerlegen.
--- **Aufgabe 35** Ein Benutzer meldet: „Der Server ist nicht erreichbar.“ Welche Eingrenzung ist sinnvoll?
Antwort anzeigen Sinnvoll prüfen: Welcher Server? per Name oder IP? ping erreichbar? Port erreichbar? Dienst läuft? nur ein Benutzer betroffen? Rechteproblem? DNS korrekt? Firewall-Regel geändert? Logs vorhanden? Merksatz: Server nicht erreichbar kann DNS, Routing, Port, Dienst oder Rechte bedeuten.
--- **Aufgabe 36** Ordne Fehlerbilder den Themen zu. | Fehlerbild | Thema | |---|---| | keine Link-LED | ? | | 169.254.x.x | ? | | IP geht, Name nicht | ? | | ping geht, HTTPS nicht | ? | | HTTP 500 | ? | | Login geht, Zugriff nicht | ? |
Antwort anzeigen | Fehlerbild | Thema | |---|---| | keine Link-LED | Schicht 1 / physische Verbindung | | 169.254.x.x | DHCP | | IP geht, Name nicht | DNS | | ping geht, HTTPS nicht | TCP 443, Webdienst, Firewall, TLS | | HTTP 500 | Server, Anwendung, Backend | | Login geht, Zugriff nicht | Autorisierung / Rechte | Merksatz: Fehlerbild zuerst genau einordnen.
--- **Aufgabe 37** Welche Antwort ist besser? Aufgabe: Ein Client erreicht externe IP-Adressen, aber keine Domains. Nennen Sie eine wahrscheinliche Ursache. Antwort A: Internet ist kaputt. Antwort B: Wahrscheinlich liegt ein DNS-Problem vor, da externe IP-Adressen erreichbar sind, aber Namen nicht aufgelöst werden.
Antwort anzeigen B ist besser. Begründung: Die Antwort leitet die Ursache aus dem Fehlerbild ab und nennt DNS als konkrete Prüfung. Merksatz: Ursache aus Symptom ableiten.
--- **Aufgabe 38** Welche Antwort ist besser? Aufgabe: Ein Dienst ist per ping erreichbar, aber der Port 443 ist nicht erreichbar. Was prüfen Sie? Antwort A: Den Monitor. Antwort B: Ich prüfe, ob der Webdienst läuft, ob er auf TCP 443 lauscht, ob lokale oder zentrale Firewalls TCP 443 blockieren und ob NAT oder Portweiterleitung korrekt eingerichtet sind.
Antwort anzeigen B ist besser. Begründung: Die Antwort trennt Host-Erreichbarkeit von Dienst-Erreichbarkeit und nennt konkrete Prüfungen. Merksatz: ping ist kein Porttest.
--- **Aufgabe 39** Welche Antwort ist besser? Aufgabe: Nach einem Update funktioniert ein Dienst nicht mehr. Was tun Sie? Antwort A: Alles neu installieren. Antwort B: Ich prüfe Dienststatus, Logs, geänderte Konfigurationen, Abhängigkeiten, Ports und Berechtigungen. Falls nötig, nutze ich den vorbereiteten Rollback-Plan.
Antwort anzeigen B ist besser. Begründung: Die Antwort ist systematisch und berücksichtigt Change Management. Merksatz: Nach Änderung: gezielt prüfen, nicht blind neu installieren.
--- **Aufgabe 40** Welche Antwort ist besser? Aufgabe: Warum ist systematische Fehlersuche besser als Raten? Antwort A: Weil das professioneller klingt. Antwort B: Systematische Fehlersuche grenzt den Fehler anhand von Schichten, Symptomen und Messwerten ein. Dadurch werden Ursachen schneller gefunden und unnötige Änderungen vermieden.
Antwort anzeigen B ist besser. Begründung: Die Antwort erklärt den Nutzen: Eingrenzung, Messbarkeit und Vermeidung unnötiger Änderungen. Merksatz: Fehlersuche braucht Struktur.
--- **Mini-Prüfung: typische Fehlerbilder** | Fehlerbild | Wahrscheinlichstes Thema | |---|---| | keine Link-LED | Kabel, Port, Schicht 1 | | Link ja, aber falsches Netz | VLAN oder DHCP | | 169.254.x.x | DHCP nicht erreicht | | lokale Kommunikation ja, Internet nein | Gateway, Routing, NAT, Firewall | | externe IP ja, Name nein | DNS | | ping ja, SSH nein | TCP 22, SSH-Dienst, Firewall | | ping ja, HTTPS nein | TCP 443, Webdienst, Firewall, TLS | | HTTP 401 | Authentifizierung | | HTTP 403 | Autorisierung | | HTTP 404 | Ressource nicht gefunden | | HTTP 500 | Anwendung oder Server | | HTTP 502 | Proxy, Gateway oder Backend | | VPN verbunden, IP ja, Name nein | VPN-DNS | | Restore schlägt fehl | Restore-Test, Backup, Schlüssel, Rechte | --- **Mini-Prüfung: passende Werkzeuge** | Prüfung | Werkzeug oder Ort | |---|---| | IP-Konfiguration prüfen | ipconfig, ip addr | | Gateway prüfen | route print, ip route | | Erreichbarkeit per ICMP | ping | | Weg zum Ziel prüfen | tracert, traceroute | | DNS prüfen | nslookup, dig | | offene Ports prüfen | ss, netstat, Porttest | | HTTP prüfen | Browser, curl | | Dienststatus prüfen | systemctl, Diensteverwaltung | | Logs prüfen | journalctl, Event Viewer, Anwendungslogs | | Firewall prüfen | Firewall-Regeln und Logs | | Rechte prüfen | Gruppen, ACLs, Rollen | | Backup prüfen | Backup-Job, Restore-Test | --- **IHK-sichere Kurzformulierung** Systematische Fehlersuche bedeutet, ein Problem anhand von Symptomen, Schichten und Messwerten einzugrenzen. Zuerst wird geprüft, ob eine physische Verbindung besteht. Danach folgen lokale Kommunikation, IP-Konfiguration, Gateway, Routing, DNS, Ports, Dienste, Anwendung und Berechtigungen. Typische Fehlerbilder helfen bei der Einordnung: 169.254.x.x deutet auf DHCP hin, IP erreichbar aber Name nicht deutet auf DNS hin, lokale Kommunikation aber kein Internet deutet auf Gateway, Routing, NAT oder Firewall hin. ping prüft nur ICMP und ersetzt keinen Port- oder Diensttest. Gute Prüfungsantworten nennen eine wahrscheinliche Ursache, begründen sie mit dem Fehlerbild und nennen eine passende Prüfung. --- **Merksätze** Fehlersuche beginnt mit Eingrenzung. Erst Schicht 1, dann höhere Schichten. Kein Link: Kabel, Port, Gegenstelle prüfen. Falsches Netz: VLAN oder DHCP prüfen. 169.254.x.x: DHCP nicht erreicht. Lokal ja, extern nein: Gateway, Routing, NAT oder Firewall. IP ja, Name nein: DNS. ping ja, Dienst nein: Port, Dienst und Firewall. ping ist kein Porttest. HTTP 401: nicht authentifiziert. HTTP 403: verboten. HTTP 404: nicht gefunden. HTTP 500: interner Serverfehler. HTTP 502: Gateway, Proxy oder Backend. VPN verbunden heißt nicht: Routen, DNS und Rechte stimmen. Login ja, Zugriff nein: Rechte. Anmeldung scheitert: Authentifizierung. Nach Änderung: Change, Logs und Rollback prüfen. Backup ohne Restore-Test ist unsicher. Viele Geräte betroffen: zentrale Komponente prüfen. Ein Gerät betroffen: lokales Problem prüfen. Gute Antwort: Ursache, Begründung, Prüfung. Nicht raten, sondern messen. # 20.14 Trainer – Gemischte Prüfungsaufgaben AP1/AP2 Netzwerktechnik Diese Trainer-Seite ist eine gemischte Wiederholung über die wichtigsten Themen der Netzwerktechnik. Sie verbindet: - OSI-Modell - TCP/IP - IPv4 und Subnetting - DNS und DHCP - Switching und VLAN - Routing und Gateway - TCP, UDP und Ports - Firewall, NAT und DMZ - VPN und Cloud - Sicherheit - Backup und Fehlersuche Ziel ist, prüfungsnah zu üben und Themen nicht isoliert, sondern im Zusammenhang zu erkennen. Merksatz: In der Prüfung steht selten nur ein Fachbegriff. Meist musst du aus einem Fehlerbild das richtige Thema ableiten. --- **Lernziele** Nach dieser Seite solltest du sicher können: - gemischte Netzwerkaufgaben einordnen - Fehlerbilder fachlich erkennen - passende Begriffe verwenden - kurze IHK-sichere Antworten formulieren - typische Prüfungsfallen vermeiden - technische Ursache und passende Maßnahme verbinden --- **Aufgabe 1** Ein Client hat folgende Konfiguration: IPv4-Adresse: 192.168.10.50 Subnetzmaske: 255.255.255.0 Gateway: 192.168.20.1 Der Client erreicht lokale Geräte, aber keine externen Netze. Was ist falsch?
Antwort anzeigen Das Gateway ist falsch. Begründung: Der Client liegt im Netz: 192.168.10.0/24 Das Gateway liegt im Netz: 192.168.20.0/24 Das Standardgateway muss im lokalen Subnetz des Clients liegen. IHK-sichere Antwort: Das Gateway befindet sich nicht im gleichen Subnetz wie der Client. Dadurch kann der Client das Gateway lokal nicht erreichen und keine Pakete in andere Netze senden.
--- **Aufgabe 2** Ein Client hat die Adresse: 169.254.44.12 Was bedeutet das?
Antwort anzeigen Das ist eine APIPA-Adresse. Bedeutung: Der Client hat wahrscheinlich keine gültige IP-Adresse per DHCP erhalten. Mögliche Ursachen: DHCP-Server nicht erreichbar falsches VLAN DHCP-Scope erschöpft DHCP-Relay fehlt Netzwerkverbindung fehlerhaft Merksatz: 169.254.x.x deutet auf DHCP-Problem hin.
--- **Aufgabe 3** Ein Benutzer kann eine interne Webseite per IP-Adresse öffnen, aber nicht über den Namen. Welches Thema ist wahrscheinlich betroffen?
Antwort anzeigen Wahrscheinlich betroffen: DNS Begründung: Die IP-Kommunikation funktioniert. Nur die Namensauflösung funktioniert nicht. IHK-sichere Antwort: Da der Zugriff per IP-Adresse funktioniert, aber der Name nicht aufgelöst wird, sollte die DNS-Konfiguration geprüft werden.
--- **Aufgabe 4** Ein Server ist per ping erreichbar, aber HTTPS funktioniert nicht. Nenne drei mögliche Ursachen.
Antwort anzeigen Mögliche Ursachen: TCP 443 wird durch eine Firewall blockiert Webserver-Dienst läuft nicht Dienst lauscht nicht auf TCP 443 TLS-Zertifikat fehlerhaft Reverse Proxy falsch konfiguriert Anwendung fehlerhaft Merksatz: ping prüft ICMP, nicht HTTPS.
--- **Aufgabe 5** Ein Switchport ist als Access-Port im falschen VLAN konfiguriert. Welche Folge kann das haben?
Antwort anzeigen Mögliche Folgen: Client landet im falschen Netz Client erhält falsche DHCP-Adresse lokale Dienste sind nicht erreichbar Gateway passt nicht Sicherheitszonen werden umgangen IHK-sichere Antwort: Der Client wird logisch dem falschen Layer-2-Netz zugeordnet. Dadurch kann er eine falsche IP-Konfiguration erhalten oder nicht mit den vorgesehenen Systemen kommunizieren.
--- **Aufgabe 6** Was ist der Unterschied zwischen VLAN und Subnetz?
Antwort anzeigen VLAN: logische Trennung auf OSI-Schicht 2 Subnetz: logische IP-Aufteilung auf OSI-Schicht 3 Wichtig: In der Praxis bekommt ein VLAN oft ein eigenes Subnetz. Fachlich sind VLAN und Subnetz aber nicht dasselbe. Merksatz: VLAN = Layer 2. Subnetz = Layer 3.
--- **Aufgabe 7** Warum braucht Kommunikation zwischen VLANs Routing?
Antwort anzeigen VLANs sind getrennte Layer-2-Bereiche. Damit Geräte aus unterschiedlichen VLANs miteinander kommunizieren können, muss Verkehr zwischen den jeweiligen IP-Netzen geroutet werden. Möglich über: Router Layer-3-Switch Firewall Merksatz: VLANs trennen. Routing verbindet gezielt.
--- **Aufgabe 8** Ein Client möchte ein Ziel außerhalb seines Subnetzes erreichen. Welche MAC-Adresse wird im Ethernet-Frame verwendet?
Antwort anzeigen Verwendet wird: die MAC-Adresse des Standardgateways Begründung: Das IP-Ziel bleibt der entfernte Zielhost. Lokal wird das Frame aber an den nächsten Hop gesendet, also an das Gateway. Merksatz: IP zeigt zum Endziel. MAC zeigt zum nächsten lokalen Hop.
--- **Aufgabe 9** Was macht ARP?
Antwort anzeigen ARP löst im lokalen IPv4-Netz eine IP-Adresse in eine MAC-Adresse auf. Beispiel: Der Client kennt die IP-Adresse des Gateways, braucht aber die MAC-Adresse, um ein Ethernet-Frame senden zu können. Merksatz: ARP findet MAC-Adressen im lokalen IPv4-Netz.
--- **Aufgabe 10** Bestimme für: 192.168.5.130/25 | Wert | Ergebnis | |---|---| | Netzadresse | ? | | erste nutzbare Adresse | ? | | letzte nutzbare Adresse | ? | | Broadcastadresse | ? | | nutzbare Hosts | ? |
Antwort anzeigen Bei /25 gilt: Blockgröße 128 Bereiche: 192.168.5.0 bis 192.168.5.127 192.168.5.128 bis 192.168.5.255 192.168.5.130 liegt im zweiten Bereich. | Wert | Ergebnis | |---|---| | Netzadresse | 192.168.5.128 | | erste nutzbare Adresse | 192.168.5.129 | | letzte nutzbare Adresse | 192.168.5.254 | | Broadcastadresse | 192.168.5.255 | | nutzbare Hosts | 126 |
--- **Aufgabe 11** Bestimme für: 10.10.10.77/26 | Wert | Ergebnis | |---|---| | Netzadresse | ? | | erste nutzbare Adresse | ? | | letzte nutzbare Adresse | ? | | Broadcastadresse | ? |
Antwort anzeigen Bei /26 gilt: Blockgröße 64 Bereiche: 0 bis 63 64 bis 127 128 bis 191 192 bis 255 77 liegt im Bereich 64 bis 127. | Wert | Ergebnis | |---|---| | Netzadresse | 10.10.10.64 | | erste nutzbare Adresse | 10.10.10.65 | | letzte nutzbare Adresse | 10.10.10.126 | | Broadcastadresse | 10.10.10.127 |
--- **Aufgabe 12** Welche kleinste Netzgröße reicht für mindestens 60 Hosts?
Antwort anzeigen Benötigt: mindestens 60 nutzbare Hosts Prüfung: /27 = 30 nutzbare Hosts /26 = 62 nutzbare Hosts Antwort: /26 Begründung: /26 ist das kleinste der genannten passenden Netze, weil es 62 nutzbare Hostadressen bietet.
--- **Aufgabe 13** Welche kleinste Netzgröße reicht für mindestens 120 Hosts?
Antwort anzeigen Prüfung: /26 = 62 nutzbare Hosts /25 = 126 nutzbare Hosts Antwort: /25 Merksatz: Bedarf prüfen, dann kleinstes passendes Netz wählen.
--- **Aufgabe 14** Warum ist die Broadcastadresse nicht als Hostadresse nutzbar?
Antwort anzeigen Die Broadcastadresse ist die letzte Adresse eines IPv4-Subnetzes. Sie adressiert alle Hosts in diesem Subnetz und wird daher nicht einem einzelnen Host zugewiesen. Merksatz: Erste Adresse = Netz. Letzte Adresse = Broadcast.
--- **Aufgabe 15** Was ist der Unterschied zwischen TCP und UDP?
Antwort anzeigen TCP: verbindungsorientiert zuverlässig bestätigt Daten stellt Reihenfolge sicher UDP: verbindungslos schlank schnell keine eingebaute Zustellgarantie Merksatz: TCP = zuverlässig. UDP = schnell und schlank.
--- **Aufgabe 16** Ordne Ports zu. | Dienst | Protokoll und Port | |---|---| | SSH | ? | | HTTP | ? | | HTTPS | ? | | DNS | ? | | DHCP | ? | | SMB | ? | | RDP | ? |
Antwort anzeigen | Dienst | Protokoll und Port | |---|---| | SSH | TCP 22 | | HTTP | TCP 80 | | HTTPS | TCP 443 | | DNS | UDP/TCP 53 | | DHCP | UDP 67/68 | | SMB | TCP 445 | | RDP | TCP 3389 | Merksatz: Portnummer immer mit TCP oder UDP lernen.
--- **Aufgabe 17** Warum ist die Aussage „Port 53 freigeben“ ungenau?
Antwort anzeigen Die Aussage ist ungenau, weil nicht klar ist, ob TCP 53, UDP 53 oder beides gemeint ist. DNS nutzt meistens UDP 53, kann aber auch TCP 53 verwenden. IHK-sichere Antwort: Bei Firewall-Regeln müssen Port und Transportprotokoll angegeben werden, da TCP und UDP getrennte Protokolle sind.
--- **Aufgabe 18** Was bedeutet LISTEN bei TCP?
Antwort anzeigen LISTEN bedeutet: Ein Dienst wartet auf eingehende Verbindungen. Beispiel: Ein Webserver lauscht auf TCP 443. Merksatz: LISTEN = Dienst wartet.
--- **Aufgabe 19** Was bedeutet ESTABLISHED bei TCP?
Antwort anzeigen ESTABLISHED bedeutet: Eine TCP-Verbindung besteht. Merksatz: ESTABLISHED = Verbindung aktiv.
--- **Aufgabe 20** Was ist der Unterschied zwischen NAT und Firewall?
Antwort anzeigen NAT: übersetzt IP-Adressen Firewall: erlaubt oder blockiert Verkehr anhand von Regeln Wichtig: Viele Geräte kombinieren beide Funktionen. Fachlich bleiben sie aber unterschiedlich. Merksatz: NAT übersetzt. Firewall filtert.
--- **Aufgabe 21** Was ist PAT?
Antwort anzeigen PAT steht für: Port Address Translation PAT ist eine Form von NAT, bei der zusätzlich Ports genutzt werden, um mehrere interne Verbindungen über eine öffentliche IP-Adresse zu unterscheiden. Merksatz: PAT nutzt Ports zur Zuordnung mehrerer Verbindungen.
--- **Aufgabe 22** Was ist Portweiterleitung?
Antwort anzeigen Portweiterleitung bedeutet: Eingehender Verkehr auf einem externen Port wird an einen internen Dienst weitergeleitet. Beispiel: öffentliche IP TCP 443 zu interner Webserver 192.168.10.20 TCP 443 Merksatz: Portweiterleitung veröffentlicht einen internen Dienst.
--- **Aufgabe 23** Warum ist eine Any-to-Any-Firewall-Regel kritisch?
Antwort anzeigen Any-to-Any erlaubt Verkehr von jeder Quelle zu jedem Ziel. Risiken: große Angriffsfläche schlechte Nachvollziehbarkeit Sicherheitszonen werden umgangen unnötige Freigaben Besser: genaue Regeln mit Quelle, Ziel, Port, Protokoll und Zweck. Merksatz: Je genauer die Regel, desto sicherer und nachvollziehbarer.
--- **Aufgabe 24** Was ist eine DMZ?
Antwort anzeigen Eine DMZ ist ein getrenntes Netzwerk für Dienste, die von außen erreichbar sein müssen. Beispiele: Webserver Reverse Proxy Mail-Gateway VPN-Gateway Ziel: öffentliche Dienste vom internen Netz trennen. Merksatz: DMZ begrenzt Schaden bei öffentlichen Diensten.
--- **Aufgabe 25** Warum sollte eine Datenbank nicht direkt aus dem Internet erreichbar sein?
Antwort anzeigen Eine Datenbank enthält oft sensible Daten und ist ein attraktives Angriffsziel. Risiken: Brute Force Exploits Datenabfluss Manipulation Besser: Zugriff nur vom Anwendungsserver Firewall-Beschränkung privates Netz oder DMZ-Konzept starke Authentifizierung Monitoring Merksatz: Datenbankports gehören nicht offen ins Internet.
--- **Aufgabe 26** Was ist der Unterschied zwischen Remote-Access-VPN und Site-to-Site-VPN?
Antwort anzeigen Remote-Access-VPN: einzelner Benutzer verbindet sich ins Firmennetz Site-to-Site-VPN: zwei Netze oder Standorte werden verbunden Merksatz: Remote Access = Benutzer. Site-to-Site = Standort oder Netz.
--- **Aufgabe 27** VPN ist verbunden, aber interne Namen funktionieren nicht. Was ist wahrscheinlich?
Antwort anzeigen Wahrscheinlich: VPN-DNS-Problem Prüfen: interner DNS-Server DNS-Suffix Split-DNS Erreichbarkeit des DNS-Servers DNS-Cache Merksatz: VPN-IP ja, VPN-Name nein: VPN-DNS prüfen.
--- **Aufgabe 28** VPN ist verbunden, aber interne IP-Ziele sind nicht erreichbar. Was ist wahrscheinlich?
Antwort anzeigen Mögliche Ursachen: VPN-Route fehlt Zielnetz nicht erlaubt Firewall blockiert Rückroute fehlt IP-Adresskonflikt Benutzergruppe hat keine Berechtigung Merksatz: VPN verbunden heißt nicht automatisch: Routing und Regeln stimmen.
--- **Aufgabe 29** Was bedeutet Shared Responsibility in der Cloud?
Antwort anzeigen Shared Responsibility bedeutet: Cloud-Anbieter und Kunde teilen sich die Verantwortung. Anbieter: schützt Infrastruktur, Rechenzentrum und Plattform je nach Modell. Kunde: bleibt verantwortlich für Daten, Benutzer, Rechte, Konfigurationen und Anwendungen je nach Modell. Merksatz: Anbieter schützt die Cloud. Kunde schützt seine Nutzung der Cloud.
--- **Aufgabe 30** Ordne Cloud-Modelle zu. | Modell | Bedeutung | |---|---| | IaaS | ? | | PaaS | ? | | SaaS | ? |
Antwort anzeigen | Modell | Bedeutung | |---|---| | IaaS | virtuelle Infrastruktur | | PaaS | verwaltete Plattform | | SaaS | fertige Anwendung | Merksatz: IaaS = Infrastruktur. PaaS = Plattform. SaaS = Software.
--- **Aufgabe 31** Was ist der Unterschied zwischen Hybrid Cloud und Multi Cloud?
Antwort anzeigen Hybrid Cloud: Kombination aus lokaler oder privater IT und Public Cloud Multi Cloud: Nutzung mehrerer Cloud-Anbieter Merksatz: Hybrid beschreibt Kombination von Umgebungen. Multi beschreibt mehrere Anbieter.
--- **Aufgabe 32** Warum ist IAM in der Cloud besonders wichtig?
Antwort anzeigen Cloud-Ressourcen sind oft schnell erreichbar, skalierbar und über Netzwerke zugänglich. Fehlerhafte Rechte können führen zu: Datenabfluss unberechtigtem Zugriff Manipulation Kostenexplosion Löschung von Ressourcen Merksatz: In der Cloud sind Identitäten oft der wichtigste Sicherheitsperimeter.
--- **Aufgabe 33** Ordne Schutzziele zu. | Ereignis | Schutzziel | |---|---| | Daten werden gelesen | ? | | Datei wird manipuliert | ? | | Dienst fällt aus | ? | | Absender wird gefälscht | ? |
Antwort anzeigen | Ereignis | Schutzziel | |---|---| | Daten werden gelesen | Vertraulichkeit | | Datei wird manipuliert | Integrität | | Dienst fällt aus | Verfügbarkeit | | Absender wird gefälscht | Authentizität | Merksatz: Lesen = Vertraulichkeit. Verändern = Integrität. Ausfall = Verfügbarkeit. Echtheit = Authentizität.
--- **Aufgabe 34** Was ist der Unterschied zwischen Brute Force, Password Spraying und Credential Stuffing?
Antwort anzeigen Brute Force: viele Passwortversuche Password Spraying: ein häufiges Passwort gegen viele Konten Credential Stuffing: geleakte Zugangsdaten werden bei anderen Diensten getestet Merksatz: Brute Force = viele Versuche. Spraying = ein Passwort gegen viele Konten. Stuffing = geleakte Zugangsdaten.
--- **Aufgabe 35** Ordne Webangriffe zu. | Angriff | Beschreibung | |---|---| | SQL Injection | ? | | XSS | ? | | CSRF | ? |
Antwort anzeigen | Angriff | Beschreibung | |---|---| | SQL Injection | SQL-Code in Eingaben einschleusen | | XSS | Skriptcode im Browser anderer Benutzer ausführen | | CSRF | gültige Sitzung für ungewollte Aktion missbrauchen | Merksatz: SQLi betrifft Datenbankabfragen. XSS betrifft Browser. CSRF betrifft Sitzungen.
--- **Aufgabe 36** Welche Maßnahme passt zu welchem Risiko? | Risiko | Maßnahme | |---|---| | gestohlenes Passwort | ? | | ungepatchter Server | ? | | zu viele Rechte | ? | | unnötige Dienste | ? | | Ransomware | ? |
Antwort anzeigen | Risiko | Maßnahme | |---|---| | gestohlenes Passwort | MFA | | ungepatchter Server | Patchmanagement | | zu viele Rechte | Least Privilege | | unnötige Dienste | Hardening | | Ransomware | Offline- oder Immutable-Backups und Restore-Test | Merksatz: Maßnahme muss zum Risiko passen.
--- **Aufgabe 37** Was ist der Unterschied zwischen IDS und IPS?
Antwort anzeigen IDS: erkennt und meldet Angriffe IPS: erkennt und blockiert Angriffe zusätzlich Merksatz: IDS meldet. IPS blockiert.
--- **Aufgabe 38** Was ist der Unterschied zwischen Backup, Replikation und Synchronisation?
Antwort anzeigen Backup: sichert Daten zur Wiederherstellung alter Zustände Replikation: erzeugt eine möglichst aktuelle Kopie auf anderem System Synchronisation: gleicht Daten zwischen Speicherorten ab Wichtig: Replikation und Synchronisation ersetzen kein Backup, weil Fehler, Löschungen oder Ransomware mit übertragen werden können. Merksatz: Backup stellt wieder her. Replikation hält aktuell. Synchronisation gleicht ab.
--- **Aufgabe 39** Was bedeuten RPO und RTO?
Antwort anzeigen RPO: Recovery Point Objective maximal akzeptabler Datenverlust RTO: Recovery Time Objective maximal akzeptable Wiederherstellungszeit Merksatz: RPO = Datenverlust. RTO = Zeit bis Wiederherstellung.
--- **Aufgabe 40** Warum ist ein Restore-Test wichtig?
Antwort anzeigen Ein Restore-Test prüft, ob Backups wirklich wiederherstellbar sind. Ohne Restore-Test ist unklar: ob Daten vollständig sind ob Daten lesbar sind ob Schlüssel vorhanden sind ob Rechte stimmen ob die Wiederherstellungszeit passt Merksatz: Backup ohne Restore-Test ist unsicher.
--- **Aufgabe 41** Welche Antwort ist besser? Aufgabe: Ein Benutzer kann sich anmelden, aber nicht auf eine Datei zugreifen. Was ist wahrscheinlich? Antwort A: Das Netzwerk ist kaputt. Antwort B: Wahrscheinlich liegt ein Berechtigungsproblem vor, da die Authentifizierung funktioniert, der Zugriff auf die Ressource aber verweigert wird.
Antwort anzeigen B ist besser. Begründung: Die Antwort trennt Authentifizierung und Autorisierung. Merksatz: Login ja, Zugriff nein: Rechte prüfen.
--- **Aufgabe 42** Welche Antwort ist besser? Aufgabe: Warum ist MFA sinnvoll? Antwort A: Weil es sicherer ist. Antwort B: MFA verlangt zusätzlich zum Passwort einen weiteren Faktor. Dadurch reicht ein gestohlenes Passwort allein nicht aus, um Zugriff zu erhalten.
Antwort anzeigen B ist besser. Begründung: Die Antwort erklärt die konkrete Schutzwirkung. Merksatz: Maßnahme mit Wirkung erklären.
--- **Aufgabe 43** Welche Antwort ist besser? Aufgabe: Warum ersetzt ein Snapshot kein Backup? Antwort A: Weil Snapshot und Backup verschiedene Wörter sind. Antwort B: Snapshots liegen oft auf demselben System oder Speicher. Bei Speicherdefekt, Löschung oder Ransomware können sie ebenfalls betroffen sein. Ein Backup muss getrennt, geschützt und wiederherstellbar sein.
Antwort anzeigen B ist besser. Begründung: Die Antwort nennt die fachliche Ursache und Anforderungen an ein Backup. Merksatz: Fachbegriff plus Begründung.
--- **Aufgabe 44** Welche Antwort ist besser? Aufgabe: Warum ist eine öffentlich erreichbare Datenbank kritisch? Antwort A: Weil Datenbanken wichtig sind. Antwort B: Eine öffentlich erreichbare Datenbank erhöht die Angriffsfläche. Es drohen Brute-Force-Angriffe, Ausnutzung von Schwachstellen, Datenabfluss und Manipulation. Besser ist Zugriff nur aus benötigten Netzen oder vom Anwendungsserver.
Antwort anzeigen B ist besser. Begründung: Die Antwort nennt Risiko, Folgen und bessere Maßnahme. Merksatz: Sicherheitsantwort: Risiko, Maßnahme, Wirkung.
--- **Aufgabe 45** Welche Antwort ist besser? Aufgabe: Warum ist systematische Fehlersuche wichtig? Antwort A: Weil man dann professionell wirkt. Antwort B: Systematische Fehlersuche grenzt den Fehler anhand von Symptomen, Schichten und Messwerten ein. Dadurch werden Ursachen schneller gefunden und unnötige Änderungen vermieden.
Antwort anzeigen B ist besser. Begründung: Die Antwort erklärt den Nutzen der systematischen Vorgehensweise. Merksatz: Nicht raten, sondern eingrenzen.
--- **Mini-Prüfung: Gesamtzuordnung** | Fehlerbild oder Begriff | Thema | |---|---| | keine Link-LED | Schicht 1 | | MAC-Adresse | Schicht 2 | | IP-Adresse | Schicht 3 | | TCP-Port | Schicht 4 | | TLS-Zertifikat | Schicht 6 | | HTTP | Schicht 7 | | 169.254.x.x | DHCP | | IP ja, Name nein | DNS | | ping ja, HTTPS nein | Port, Dienst, Firewall, TLS | | falsches Netz nach DHCP | VLAN oder DHCP | | RDP aus Internet offen | Sicherheitsrisiko | | Datenbank öffentlich erreichbar | Sicherheitsrisiko | | Backup nicht wiederherstellbar | Restore-Test fehlt | | Dienst nach Update defekt | Change, Logs, Rollback | | VPN verbunden, Name geht nicht | VPN-DNS | --- **Mini-Prüfung: Begriffe kurz erklären** | Begriff | Kurzantwort | |---|---| | VLAN | logische Trennung auf Schicht 2 | | Subnetz | logische IP-Aufteilung auf Schicht 3 | | Gateway | Router in andere Netze | | DNS | Namensauflösung | | DHCP | automatische IP-Konfiguration | | NAT | Adressübersetzung | | PAT | Adress- und Portübersetzung | | DMZ | getrennte Zone für öffentliche Dienste | | VPN | verschlüsselter Tunnel | | IAM | Identitäts- und Rechteverwaltung | | MFA | Anmeldung mit mehreren Faktoren | | Least Privilege | nur nötige Rechte vergeben | | Hardening | Angriffsfläche reduzieren | | RPO | maximaler Datenverlust | | RTO | maximale Wiederherstellungszeit | --- **Mini-Prüfung: typische Prüfungsfallen** | Falle | Richtig denken | |---|---| | ping geht, also Dienst geht | falsch, ping prüft nur ICMP | | VLAN ist dasselbe wie Subnetz | falsch, VLAN Layer 2, Subnetz Layer 3 | | NAT ist Firewall | falsch, NAT übersetzt, Firewall filtert | | Cloud-Anbieter ist für alles verantwortlich | falsch, Shared Responsibility | | Snapshot ist Backup | falsch, Snapshot ersetzt kein Backup | | Sync ist Backup | falsch, Sync gleicht nur ab | | Portnummer ohne TCP/UDP reicht | ungenau | | Loginproblem und Rechteproblem sind gleich | falsch, Authentifizierung und Autorisierung unterscheiden | | Any-to-Any ist praktisch | kritisch, zu breite Freigabe | | Mehr Rechte lösen Probleme | unsicher, Least Privilege beachten | --- **IHK-sichere Kurzformulierung** Bei gemischten Netzwerkaufgaben ist entscheidend, das Fehlerbild systematisch einzuordnen. Keine Link-Anzeige deutet auf Schicht 1 hin, MAC-Adressen und VLANs auf Schicht 2, IP-Adressen und Routing auf Schicht 3, TCP, UDP und Ports auf Schicht 4. DNS-Probleme zeigen sich häufig dadurch, dass eine IP-Adresse erreichbar ist, ein Name aber nicht. DHCP-Probleme erkennt man oft an APIPA-Adressen aus 169.254.0.0/16. Firewall-Regeln müssen Quelle, Ziel, Port, Protokoll und Zweck enthalten. NAT übersetzt Adressen, während Firewalls Verkehr filtern. VPN-Verbindungen benötigen neben dem Tunnel auch passende Routen, DNS und Berechtigungen. Sicherheitsantworten sollten Risiko, Maßnahme und Wirkung enthalten. Backup-Fragen müssen Restore, RPO, RTO und Restore-Tests berücksichtigen. --- **Merksätze** Erst Fehlerbild lesen, dann Thema zuordnen. Kein Link: Schicht 1. MAC: Schicht 2. IP: Schicht 3. TCP und UDP: Schicht 4. TLS: Schicht 6. HTTP und DNS: Schicht 7. VLAN ist Layer 2. Subnetz ist Layer 3. Switch arbeitet mit MAC-Adressen. Router arbeitet mit IP-Adressen. Gateway führt in andere Netze. DNS löst Namen auf. DHCP verteilt IP-Konfiguration. 169.254.x.x: DHCP nicht erreicht. ping ist kein Diensttest. IP ja, Name nein: DNS. Lokal ja, extern nein: Gateway, Routing, NAT oder Firewall. ping ja, Port nein: Dienst, Port oder Firewall. NAT übersetzt. Firewall filtert. PAT nutzt Ports. DMZ trennt öffentliche Dienste. VPN braucht Tunnel, Route, DNS und Rechte. Cloud bedeutet geteilte Verantwortung. IAM entscheidet, wer was darf. MFA schützt gegen Passwortmissbrauch. Least Privilege begrenzt Schaden. Patchmanagement schließt bekannte Lücken. Hardening reduziert Angriffsfläche. Backup ist Wiederherstellungsvorsorge. Restore-Test beweist, dass Backup nutzbar ist. RPO = Datenverlust. RTO = Wiederherstellungszeit. Gute Prüfungsantwort: Ursache, Begründung, passende Prüfung oder Maßnahme. Nicht raten, sondern fachlich eingrenzen. # 20.15 Trainer – Abschlussprüfung Netzwerktechnik Gesamtwiederholung Diese Seite ist die Abschlussseite des Netzwerktechnik-Trainers. Sie dient als letzte Gesamtwiederholung vor einer Klassenarbeit, AP1, AP2 oder vor dem Eintragen eigener Lernnotizen. Ziel ist, alle Kernbereiche noch einmal kompakt, prüfungsnah und mit typischen Antwortmustern zu wiederholen. Merksatz: Am Ende zählt nicht, ob man Begriffe kennt, sondern ob man sie im Fehlerbild richtig anwendet. --- **Lernziele** Nach dieser Abschlussseite solltest du sicher können: - Netzwerkprobleme nach OSI-Schichten einordnen - Standardbegriffe kurz erklären - typische Fehlerbilder erkennen - passende Prüfungen nennen - Sicherheitsrisiken bewerten - technische Maßnahmen begründen - kurze prüfungssichere Antworten formulieren --- **Abschluss-Checkliste: OSI-Modell** | Schicht | Name | Kernthema | Typische Begriffe | |---|---|---|---| | 7 | Anwendung | Netzwerkdienste | HTTP, DNS, DHCP, SMTP, SMB | | 6 | Darstellung | Format und Verschlüsselung | TLS, Zertifikate, Codierung | | 5 | Sitzung | Sitzungen | Session, Cookie, Token, Timeout | | 4 | Transport | Ports und Transport | TCP, UDP, Port | | 3 | Vermittlung | IP und Routing | IP, Subnetz, Gateway, ICMP | | 2 | Sicherung | lokale Zustellung | MAC, Ethernet, VLAN, Switch | | 1 | Bitübertragung | physische Übertragung | Kabel, Funk, Link, Signal | Merksatz: 1 Kabel. 2 MAC. 3 IP. 4 Port. 5 Sitzung. 6 TLS. 7 Anwendung. --- **Abschluss-Checkliste: Fehlerbilder** | Fehlerbild | Wahrscheinlichstes Thema | |---|---| | keine Link-LED | Kabel, Port, Schicht 1 | | falsches Netz | VLAN oder DHCP | | 169.254.x.x | DHCP nicht erreicht | | lokal erreichbar, extern nicht | Gateway, Routing, NAT, Firewall | | IP erreichbar, Name nicht | DNS | | ping funktioniert, Dienst nicht | Port, Dienst oder Firewall | | HTTPS-Warnung | TLS-Zertifikat | | HTTP 401 | Authentifizierung | | HTTP 403 | Autorisierung | | HTTP 404 | Ressource nicht gefunden | | HTTP 500 | Server oder Anwendung | | HTTP 502 | Proxy, Gateway oder Backend | | VPN verbunden, Name geht nicht | VPN-DNS | | Login geht, Datei nicht | Rechteproblem | | Backup vorhanden, Restore geht nicht | Restore-Test oder Backup defekt | --- **Abschluss-Checkliste: Standardports** | Dienst | Protokoll und Port | |---|---| | FTP | TCP 21 | | SSH | TCP 22 | | SFTP | TCP 22 | | SMTP | TCP 25 | | DNS | UDP/TCP 53 | | DHCP Server | UDP 67 | | DHCP Client | UDP 68 | | HTTP | TCP 80 | | POP3 | TCP 110 | | NTP | UDP 123 | | IMAP | TCP 143 | | SNMP | UDP 161 | | HTTPS | TCP 443 | | SMB | TCP 445 | | SMTPS | TCP 465 | | IMAPS | TCP 993 | | POP3S | TCP 995 | | RDP | TCP 3389 | Merksatz: Portnummer immer mit TCP oder UDP lernen. --- **Abschluss-Checkliste: IPv4 und Subnetting** | Präfix | Subnetzmaske | nutzbare Hosts | |---|---|---:| | /24 | 255.255.255.0 | 254 | | /25 | 255.255.255.128 | 126 | | /26 | 255.255.255.192 | 62 | | /27 | 255.255.255.224 | 30 | | /28 | 255.255.255.240 | 14 | | /29 | 255.255.255.248 | 6 | | /30 | 255.255.255.252 | 2 | Merksätze: Hostbits = 32 minus Präfix. Nutzbare Hosts = 2 hoch Hostbits minus 2. Netzadresse = erste Adresse. Broadcastadresse = letzte Adresse. Erste und letzte Adresse sind im normalen IPv4-Subnetz nicht für Hosts. --- **Abschluss-Checkliste: private IPv4-Bereiche** | Bereich | CIDR | |---|---| | 10.0.0.0 bis 10.255.255.255 | 10.0.0.0/8 | | 172.16.0.0 bis 172.31.255.255 | 172.16.0.0/12 | | 192.168.0.0 bis 192.168.255.255 | 192.168.0.0/16 | Merksatz: Private IPv4-Adressen werden im Internet nicht direkt geroutet. --- **Abschluss-Checkliste: Begriffe kurz erklären** | Begriff | Kurzantwort | |---|---| | MAC-Adresse | lokale Adresse einer Netzwerkschnittstelle | | IP-Adresse | logische Adresse eines Hosts | | Port | Dienst- oder Prozesszuordnung | | Gateway | Router in andere Netze | | DNS | löst Namen in IP-Adressen auf | | DHCP | verteilt IP-Konfiguration automatisch | | ARP | löst IPv4-Adresse in MAC-Adresse auf | | VLAN | logische Trennung auf Schicht 2 | | Subnetz | logische IP-Aufteilung auf Schicht 3 | | NAT | übersetzt IP-Adressen | | PAT | übersetzt IP-Adressen und Ports | | DMZ | getrennte Zone für öffentliche Dienste | | VPN | verschlüsselter Tunnel über unsicheres Netz | | IAM | Identitäts- und Rechteverwaltung | | MFA | Authentifizierung mit mehreren Faktoren | | Backup | Sicherung | | Restore | Wiederherstellung | --- **Abschluss-Checkliste: Sicherheit** | Risiko | passende Maßnahme | |---|---| | gestohlenes Passwort | MFA | | zu viele Rechte | Least Privilege | | bekannte Sicherheitslücke | Patchmanagement | | unnötige Dienste | Hardening | | Ransomware | Offline- oder Immutable-Backup | | Phishing | Awareness, Mailfilter, MFA | | SQL Injection | Prepared Statements | | XSS | Output Encoding, CSP, HttpOnly | | CSRF | CSRF-Token, SameSite-Cookies | | Man-in-the-Middle | TLS, Zertifikatsprüfung, VPN | | DDoS | DDoS-Schutz, Rate Limiting, CDN | | unklare Vorfälle | Logging, SIEM, Monitoring | Merksatz: Risiko, Maßnahme, Wirkung. --- **Abschluss-Checkliste: Backup** | Begriff | Bedeutung | |---|---| | Backup | Sicherung | | Restore | Wiederherstellung | | RPO | maximal akzeptabler Datenverlust | | RTO | maximal akzeptable Wiederherstellungszeit | | Retention | Aufbewahrungsregel | | Vollbackup | sichert alle ausgewählten Daten | | inkrementelles Backup | Änderungen seit letztem Backup | | differenzielles Backup | Änderungen seit letztem Vollbackup | | Snapshot | Momentaufnahme | | Offline-Backup | nicht dauerhaft verbunden | | Immutable Backup | unveränderliches Backup | | Restore-Test | Prüfung der Wiederherstellung | Merksatz: Backup ohne Restore-Test ist unsicher. --- **Prüfungssimulation 1** Ein Client meldet: „Ich komme nicht ins Internet.“ Du stellst fest: - IP-Adresse ist 192.168.10.55/24 - Gateway ist 192.168.10.1 - Ping auf 192.168.10.1 funktioniert - Ping auf 8.8.8.8 funktioniert - Aufruf von Webseiten per Domain funktioniert nicht Was ist wahrscheinlich?
Antwort anzeigen Wahrscheinlich: DNS-Problem Begründung: Gateway und externe IP-Adresse sind erreichbar. Der Weg ins Internet funktioniert also grundsätzlich. Wenn nur Domains nicht funktionieren, ist die Namensauflösung wahrscheinlich gestört. IHK-sichere Antwort: Da externe IP-Adressen erreichbar sind, aber Domainnamen nicht funktionieren, sollte die DNS-Konfiguration geprüft werden, insbesondere DNS-Server, DNS-Erreichbarkeit und DNS-Cache.
--- **Prüfungssimulation 2** Ein Client meldet: „Ich bekomme keine Netzwerkverbindung.“ Du stellst fest: - keine Link-LED - keine IP-Adresse - andere Clients am Switch funktionieren Was prüfst du zuerst?
Antwort anzeigen Zuerst prüfen: Schicht 1 Konkret: Kabel Stecker Netzwerkdose Switchport Netzwerkkarte anderes Patchkabel anderen Port Begründung: Keine Link-LED deutet zuerst auf ein physisches Problem hin. IHK-sichere Antwort: Zuerst wird die physische Verbindung geprüft, weil ohne Link keine höhere Netzwerkschicht zuverlässig funktionieren kann.
--- **Prüfungssimulation 3** Ein Benutzer kann sich anmelden, aber nicht auf eine Freigabe zugreifen. Was ist wahrscheinlich?
Antwort anzeigen Wahrscheinlich: Autorisierungs- oder Berechtigungsproblem Begründung: Die Authentifizierung funktioniert, weil die Anmeldung erfolgreich ist. Der Zugriff auf die Ressource wird aber verweigert. Prüfen: Gruppenmitgliedschaft Freigaberechte Dateisystemrechte ACLs Rollen Merksatz: Login ja, Zugriff nein: Rechte prüfen.
--- **Prüfungssimulation 4** Ein Webserver ist per ping erreichbar, aber die Webseite öffnet nicht. Was ist wichtig?
Antwort anzeigen Wichtig: ping prüft nur ICMP. Zu prüfen: TCP 80 oder TCP 443 erreichbar? Webserver-Dienst läuft? Dienst lauscht auf richtigem Port? Firewall blockiert? TLS-Zertifikat korrekt? Reverse Proxy oder Anwendung fehlerhaft? IHK-sichere Antwort: Die ICMP-Erreichbarkeit zeigt nur, dass der Host erreichbar ist. Für die Webseite müssen zusätzlich Port, Dienst, Firewall und Anwendung geprüft werden.
--- **Prüfungssimulation 5** Ein Server steht in der DMZ. Er soll aus dem Internet per HTTPS erreichbar sein und auf eine interne Datenbank zugreifen. Welche Regeln sind sinnvoll?
Antwort anzeigen Sinnvolle Regeln: | Quelle | Ziel | Protokoll | Port | Aktion | Zweck | |---|---|---|---:|---|---| | Internet | Webserver-DMZ | TCP | 443 | erlauben | HTTPS-Zugriff | | Webserver-DMZ | interne Datenbank | TCP | Datenbankport | erlauben | Anwendung benötigt Datenbank | | Internet | interne Datenbank | TCP | Datenbankport | blockieren | Datenbank schützen | | DMZ | internes Netz | any | any | blockieren, außer benötigte Regeln | Schutz des internen Netzes | IHK-sichere Antwort: Nur der benötigte HTTPS-Zugriff auf den Webserver wird aus dem Internet erlaubt. Der Zugriff vom Webserver zur internen Datenbank wird gezielt auf den notwendigen Port beschränkt. Direkter Zugriff aus dem Internet auf die Datenbank wird blockiert.
--- **Prüfungssimulation 6** Ein VPN verbindet sich erfolgreich, aber interne Server sind nur per IP-Adresse erreichbar, nicht per Namen. Was ist wahrscheinlich?
Antwort anzeigen Wahrscheinlich: VPN-DNS-Problem Prüfen: interner DNS-Server wird per VPN gesetzt? DNS-Server ist über VPN erreichbar? DNS-Suffix ist korrekt? Split-DNS funktioniert? DNS-Cache veraltet? IHK-sichere Antwort: Da interne IP-Adressen erreichbar sind, aber Namen nicht aufgelöst werden, sollte die DNS-Konfiguration des VPN geprüft werden.
--- **Prüfungssimulation 7** Ein Unternehmen nutzt Cloud-Speicher. Ein Benutzer teilt versehentlich einen Ordner öffentlich. Welches Thema ist betroffen?
Antwort anzeigen Betroffen: Vertraulichkeit Ursache: falsche Freigabe oder zu breite Berechtigung Maßnahmen: Berechtigungen einschränken Freigaben regelmäßig prüfen Least Privilege MFA DLP Audit-Logs Sensibilisierung IHK-sichere Antwort: Durch die öffentliche Freigabe können unberechtigte Personen Daten lesen. Damit ist die Vertraulichkeit betroffen. Die Freigabe sollte entfernt, die Berechtigungen geprüft und die Zugriffe protokolliert ausgewertet werden.
--- **Prüfungssimulation 8** Ein Server wurde durch Ransomware verschlüsselt. Die Backups liegen dauerhaft erreichbar auf einer Netzfreigabe und wurden ebenfalls verschlüsselt. Was war das Problem?
Antwort anzeigen Problem: Backups waren dauerhaft online und beschreibbar erreichbar. Dadurch konnte Ransomware auch die Backups verschlüsseln. Bessere Maßnahmen: Offline-Backup Immutable Backup getrennte Backup-Rechte MFA für Backup-Administration Restore-Tests Monitoring IHK-sichere Antwort: Backups müssen gegen Manipulation und Verschlüsselung geschützt werden. Offline- oder Immutable-Backups verhindern, dass Ransomware alle Sicherungen gleichzeitig zerstört.
--- **Prüfungssimulation 9** Ein Administrator soll erklären, warum ein Snapshot kein vollständiges Backup ersetzt. Formuliere eine gute Antwort.
Antwort anzeigen Gute Antwort: Ein Snapshot ist eine Momentaufnahme, liegt aber häufig auf demselben System oder Speicher wie die Produktivdaten. Bei Speicherdefekt, Löschung, Ransomware oder beschädigter Snapshot-Kette kann er ebenfalls betroffen sein. Ein Backup muss getrennt, geschützt wiederherstellbar und regelmäßig getestet sein. Merksatz: Snapshot ist hilfreich, aber kein vollständiges Backup-Konzept.
--- **Prüfungssimulation 10** Ein Cloud-Anbieter stellt eine SaaS-Anwendung bereit. Ein Kunde vergibt allen Benutzern Adminrechte. Wer ist für dieses Problem verantwortlich?
Antwort anzeigen Verantwortlich ist typischerweise: der Kunde Begründung: Bei SaaS betreibt der Anbieter die Anwendung. Der Kunde bleibt aber für Benutzer, Rollen, Daten, Berechtigungen und Konfigurationen verantwortlich. IHK-sichere Antwort: Nach dem Shared-Responsibility-Modell ist der Kunde für die korrekte Rechtevergabe verantwortlich. Der Anbieter stellt die SaaS-Anwendung bereit, aber Benutzer- und Berechtigungsverwaltung bleiben Aufgabe des Kunden.
--- **Prüfungssimulation 11** Ein Dienstleister benötigt Zugriff auf einen Server. Er bekommt VPN-Zugriff auf das gesamte interne Netz. Bewerte das.
Antwort anzeigen Bewertung: Das ist kritisch. Grund: Der Dienstleister erhält mehr Zugriff als notwendig. Besser: Least Privilege Zugriff nur auf benötigten Server nur benötigte Ports zeitlich begrenzter Zugriff MFA Logging separate Rolle oder Gruppe IHK-sichere Antwort: Der Zugriff sollte nach dem Least-Privilege-Prinzip eingeschränkt werden. Ein Dienstleister sollte nur auf die Systeme und Dienste zugreifen können, die er für seine Aufgabe benötigt. Dadurch wird das Risiko bei Missbrauch oder kompromittierten Zugangsdaten reduziert.
--- **Prüfungssimulation 12** Ein Unternehmen öffnet RDP direkt ins Internet, damit Administratoren leichter zugreifen können. Bewerte das.
Antwort anzeigen Bewertung: Das ist ein hohes Sicherheitsrisiko. Risiken: Brute Force Credential Stuffing Exploits unberechtigter Fernzugriff Besser: VPN RDP-Gateway MFA Firewall-Beschränkung auf bekannte Quellnetze Logging IHK-sichere Antwort: RDP sollte nicht direkt aus dem Internet erreichbar sein. Sicherer ist ein Zugriff über VPN oder RDP-Gateway mit MFA, Zugriffsbeschränkung und Protokollierung.
--- **Abschluss: typische IHK-Antwortmuster** **Fehlersuche** Wahrscheinlich liegt ein Problem bei [Thema] vor, weil [Symptom] funktioniert, aber [Symptom] nicht funktioniert. Daher sollte [konkrete Prüfung] geprüft werden. Beispiel: Wahrscheinlich liegt ein DNS-Problem vor, weil die IP-Adresse erreichbar ist, der Name aber nicht aufgelöst wird. Daher sollten DNS-Server, DNS-Eintrag und DNS-Cache geprüft werden. --- **Sicherheitsbewertung** Das ist kritisch, weil [Risiko]. Eine geeignete Maßnahme ist [Maßnahme], weil dadurch [Wirkung] erreicht wird. Beispiel: Eine öffentlich erreichbare Datenbank ist kritisch, weil sie direkt aus dem Internet angegriffen werden kann. Besser ist, den Zugriff nur aus dem Anwendungsserver-Netz zu erlauben und die Datenbank in einem privaten Netz zu betreiben. --- **Vergleich** [Begriff A] bedeutet [Erklärung]. [Begriff B] bedeutet [Erklärung]. Der wesentliche Unterschied ist [Unterschied]. Beispiel: NAT übersetzt IP-Adressen. Eine Firewall erlaubt oder blockiert Verkehr anhand von Regeln. Der wesentliche Unterschied ist, dass NAT Adressen übersetzt, während die Firewall Verkehr filtert. --- **Backup-Frage** RPO beschreibt den maximal akzeptablen Datenverlust. RTO beschreibt die maximal akzeptable Wiederherstellungszeit. Die Backup-Frequenz muss zum RPO passen, der Restore-Prozess zum RTO. Zusätzlich müssen Restore-Tests durchgeführt werden. --- **Cloud-Frage** Beim Shared-Responsibility-Modell teilen sich Anbieter und Kunde die Verantwortung. Der Anbieter schützt die Cloud-Infrastruktur. Der Kunde bleibt je nach Modell für Daten, Benutzer, Rechte, Konfigurationen und Anwendungen verantwortlich. --- **Letzte Wiederholung: 30 Sekunden** OSI 1: Kabel, Link, Signal. OSI 2: MAC, Switch, VLAN. OSI 3: IP, Gateway, Routing. OSI 4: TCP, UDP, Ports. OSI 5: Session, Cookie, Token. OSI 6: TLS, Zertifikat, Verschlüsselung. OSI 7: HTTP, DNS, DHCP, SMB. DNS: Name zu IP. DHCP: IP-Konfiguration automatisch. ARP: IPv4 zu MAC. NAT: Adresse übersetzen. Firewall: Verkehr filtern. VPN: verschlüsselter Tunnel. Backup: Sicherung. Restore: Wiederherstellung. RPO: Datenverlust. RTO: Wiederherstellungszeit. MFA: Passwort allein reicht nicht. Least Privilege: nur nötige Rechte. Hardening: Angriffsfläche reduzieren. Patchmanagement: bekannte Lücken schließen. --- **Abschluss-Merksätze** Fehlerbild zuerst lesen. Nicht raten, sondern eingrenzen. IP ja, Name nein: DNS. Lokal ja, extern nein: Gateway, Routing, NAT oder Firewall. ping ja, Dienst nein: Port, Dienst oder Firewall. Login ja, Zugriff nein: Rechte. Anmeldung scheitert: Authentifizierung. 169.254.x.x: DHCP nicht erreicht. VLAN ist Layer 2. Subnetz ist Layer 3. NAT ist nicht Firewall. Snapshot ist nicht Backup. Sync ist nicht Backup. Cloud ist geteilte Verantwortung. Portnummer ohne TCP oder UDP ist unvollständig. Sicherheitsantworten brauchen Risiko, Maßnahme und Wirkung. Gute Prüfungsantworten sind kurz, fachlich und begründet. --- **Stand dieses Trainers** Mit dieser Seite ist der gemischte Netzwerktechnik-Trainer inhaltlich abgeschlossen. Weitere sinnvolle Ergänzungen wären nur noch separate Spezialtrainer, zum Beispiel: - reiner Subnetting-Rechentrainer - reiner Ports-Trainer - reiner Firewall-Regel-Trainer - reiner Fehlersuche-Trainer mit Fällen - reiner Sicherheitsmaßnahmen-Trainer - AP1-Simulation mit Zeitdruck - AP2-Simulation mit komplexem Szenario Diese wären eigene zusätzliche Trainerseiten und keine notwendige Fortsetzung dieses Kapitels. # 20.16 Spezialtrainer – Subnetting-Rechentrainer Dieser Spezialtrainer ist eine zusätzliche Übungsseite. Der allgemeine Netzwerktechnik-Trainer ist bereits abgeschlossen. Diese Seite dient nur als vertiefender Rechentrainer für IPv4-Subnetting. Ziel ist, Subnetting-Aufgaben schneller, sicherer und prüfungsnah zu lösen. Merksatz: Subnetting ist Übungssache. Immer zuerst Präfix, Hostbits, Blockgröße und Adressbereich bestimmen. --- **Lernziele** Nach dieser Seite solltest du sicher können: - Präfix und Subnetzmaske zuordnen - Hostbits bestimmen - nutzbare Hosts berechnen - Netzadresse bestimmen - Broadcastadresse bestimmen - ersten und letzten Host bestimmen - kleinste passende Netzgröße auswählen - typische Subnetting-Fallen vermeiden --- **Subnetting-Grundformeln** | Gesucht | Formel oder Regel | |---|---| | Hostbits | 32 minus Präfix | | Gesamtadressen | 2 hoch Hostbits | | nutzbare Hosts | Gesamtadressen minus 2 | | Netzadresse | erste Adresse im Subnetz | | Broadcastadresse | letzte Adresse im Subnetz | | erster Host | Netzadresse plus 1 | | letzter Host | Broadcastadresse minus 1 | Merksatz: Erste Adresse ist Netzadresse. Letzte Adresse ist Broadcastadresse. --- **Wichtige Präfixe** | Präfix | Subnetzmaske | Blockgröße | nutzbare Hosts | |---|---|---:|---:| | /24 | 255.255.255.0 | 256 | 254 | | /25 | 255.255.255.128 | 128 | 126 | | /26 | 255.255.255.192 | 64 | 62 | | /27 | 255.255.255.224 | 32 | 30 | | /28 | 255.255.255.240 | 16 | 14 | | /29 | 255.255.255.248 | 8 | 6 | | /30 | 255.255.255.252 | 4 | 2 | Merksatz: Je größer der Präfix, desto kleiner das Netz. --- **Aufgabe 1** Bestimme für: 192.168.1.45/24 | Wert | Ergebnis | |---|---| | Netzadresse | ? | | erste nutzbare Adresse | ? | | letzte nutzbare Adresse | ? | | Broadcastadresse | ? | | nutzbare Hosts | ? |
Antwort anzeigen Bei /24 gilt: Subnetzmaske: 255.255.255.0 Blockgröße: 256 | Wert | Ergebnis | |---|---| | Netzadresse | 192.168.1.0 | | erste nutzbare Adresse | 192.168.1.1 | | letzte nutzbare Adresse | 192.168.1.254 | | Broadcastadresse | 192.168.1.255 | | nutzbare Hosts | 254 |
--- **Aufgabe 2** Bestimme für: 192.168.1.130/25 | Wert | Ergebnis | |---|---| | Netzadresse | ? | | erste nutzbare Adresse | ? | | letzte nutzbare Adresse | ? | | Broadcastadresse | ? | | nutzbare Hosts | ? |
Antwort anzeigen Bei /25 gilt: Blockgröße: 128 Bereiche: 192.168.1.0 bis 192.168.1.127 192.168.1.128 bis 192.168.1.255 192.168.1.130 liegt im zweiten Bereich. | Wert | Ergebnis | |---|---| | Netzadresse | 192.168.1.128 | | erste nutzbare Adresse | 192.168.1.129 | | letzte nutzbare Adresse | 192.168.1.254 | | Broadcastadresse | 192.168.1.255 | | nutzbare Hosts | 126 |
--- **Aufgabe 3** Bestimme für: 192.168.1.70/26 | Wert | Ergebnis | |---|---| | Netzadresse | ? | | erste nutzbare Adresse | ? | | letzte nutzbare Adresse | ? | | Broadcastadresse | ? | | nutzbare Hosts | ? |
Antwort anzeigen Bei /26 gilt: Blockgröße: 64 Bereiche: 0 bis 63 64 bis 127 128 bis 191 192 bis 255 192.168.1.70 liegt im Bereich 64 bis 127. | Wert | Ergebnis | |---|---| | Netzadresse | 192.168.1.64 | | erste nutzbare Adresse | 192.168.1.65 | | letzte nutzbare Adresse | 192.168.1.126 | | Broadcastadresse | 192.168.1.127 | | nutzbare Hosts | 62 |
--- **Aufgabe 4** Bestimme für: 192.168.1.190/26 | Wert | Ergebnis | |---|---| | Netzadresse | ? | | erste nutzbare Adresse | ? | | letzte nutzbare Adresse | ? | | Broadcastadresse | ? |
Antwort anzeigen Bei /26 gilt: Blockgröße: 64 Bereiche: 0 bis 63 64 bis 127 128 bis 191 192 bis 255 192.168.1.190 liegt im Bereich 128 bis 191. | Wert | Ergebnis | |---|---| | Netzadresse | 192.168.1.128 | | erste nutzbare Adresse | 192.168.1.129 | | letzte nutzbare Adresse | 192.168.1.190 | | Broadcastadresse | 192.168.1.191 | Wichtig: 192.168.1.190 ist hier die letzte nutzbare Hostadresse, nicht die Broadcastadresse.
--- **Aufgabe 5** Bestimme für: 10.0.0.33/27 | Wert | Ergebnis | |---|---| | Netzadresse | ? | | erste nutzbare Adresse | ? | | letzte nutzbare Adresse | ? | | Broadcastadresse | ? | | nutzbare Hosts | ? |
Antwort anzeigen Bei /27 gilt: Blockgröße: 32 Bereiche: 0 bis 31 32 bis 63 64 bis 95 96 bis 127 10.0.0.33 liegt im Bereich 32 bis 63. | Wert | Ergebnis | |---|---| | Netzadresse | 10.0.0.32 | | erste nutzbare Adresse | 10.0.0.33 | | letzte nutzbare Adresse | 10.0.0.62 | | Broadcastadresse | 10.0.0.63 | | nutzbare Hosts | 30 |
--- **Aufgabe 6** Bestimme für: 10.0.0.95/27 | Wert | Ergebnis | |---|---| | Netzadresse | ? | | erste nutzbare Adresse | ? | | letzte nutzbare Adresse | ? | | Broadcastadresse | ? |
Antwort anzeigen Bei /27 gilt: Blockgröße: 32 Bereiche: 0 bis 31 32 bis 63 64 bis 95 96 bis 127 10.0.0.95 liegt im Bereich 64 bis 95. | Wert | Ergebnis | |---|---| | Netzadresse | 10.0.0.64 | | erste nutzbare Adresse | 10.0.0.65 | | letzte nutzbare Adresse | 10.0.0.94 | | Broadcastadresse | 10.0.0.95 | Wichtig: 10.0.0.95 ist hier die Broadcastadresse und nicht als Hostadresse nutzbar.
--- **Aufgabe 7** Bestimme für: 172.16.5.17/28 | Wert | Ergebnis | |---|---| | Netzadresse | ? | | erste nutzbare Adresse | ? | | letzte nutzbare Adresse | ? | | Broadcastadresse | ? | | nutzbare Hosts | ? |
Antwort anzeigen Bei /28 gilt: Blockgröße: 16 Bereiche: 0 bis 15 16 bis 31 32 bis 47 172.16.5.17 liegt im Bereich 16 bis 31. | Wert | Ergebnis | |---|---| | Netzadresse | 172.16.5.16 | | erste nutzbare Adresse | 172.16.5.17 | | letzte nutzbare Adresse | 172.16.5.30 | | Broadcastadresse | 172.16.5.31 | | nutzbare Hosts | 14 |
--- **Aufgabe 8** Bestimme für: 172.16.5.31/28 | Wert | Ergebnis | |---|---| | Netzadresse | ? | | erste nutzbare Adresse | ? | | letzte nutzbare Adresse | ? | | Broadcastadresse | ? |
Antwort anzeigen Bei /28 gilt: Blockgröße: 16 172.16.5.31 liegt im Bereich 16 bis 31. | Wert | Ergebnis | |---|---| | Netzadresse | 172.16.5.16 | | erste nutzbare Adresse | 172.16.5.17 | | letzte nutzbare Adresse | 172.16.5.30 | | Broadcastadresse | 172.16.5.31 | Wichtig: 172.16.5.31 ist die Broadcastadresse und nicht als Hostadresse nutzbar.
--- **Aufgabe 9** Bestimme für: 192.168.20.200/29 | Wert | Ergebnis | |---|---| | Netzadresse | ? | | erste nutzbare Adresse | ? | | letzte nutzbare Adresse | ? | | Broadcastadresse | ? | | nutzbare Hosts | ? |
Antwort anzeigen Bei /29 gilt: Blockgröße: 8 Bereiche um 200: 192 bis 199 200 bis 207 192.168.20.200 liegt im Bereich 200 bis 207. | Wert | Ergebnis | |---|---| | Netzadresse | 192.168.20.200 | | erste nutzbare Adresse | 192.168.20.201 | | letzte nutzbare Adresse | 192.168.20.206 | | Broadcastadresse | 192.168.20.207 | | nutzbare Hosts | 6 | Wichtig: 192.168.20.200 ist hier die Netzadresse und nicht als Hostadresse nutzbar.
--- **Aufgabe 10** Bestimme für: 192.168.20.206/29 | Wert | Ergebnis | |---|---| | Netzadresse | ? | | erste nutzbare Adresse | ? | | letzte nutzbare Adresse | ? | | Broadcastadresse | ? |
Antwort anzeigen Bei /29 gilt: Blockgröße: 8 192.168.20.206 liegt im Bereich 200 bis 207. | Wert | Ergebnis | |---|---| | Netzadresse | 192.168.20.200 | | erste nutzbare Adresse | 192.168.20.201 | | letzte nutzbare Adresse | 192.168.20.206 | | Broadcastadresse | 192.168.20.207 |
--- **Aufgabe 11** Bestimme für: 10.10.10.10/30 | Wert | Ergebnis | |---|---| | Netzadresse | ? | | erste nutzbare Adresse | ? | | letzte nutzbare Adresse | ? | | Broadcastadresse | ? | | nutzbare Hosts | ? |
Antwort anzeigen Bei /30 gilt: Blockgröße: 4 Bereiche: 0 bis 3 4 bis 7 8 bis 11 12 bis 15 10.10.10.10 liegt im Bereich 8 bis 11. | Wert | Ergebnis | |---|---| | Netzadresse | 10.10.10.8 | | erste nutzbare Adresse | 10.10.10.9 | | letzte nutzbare Adresse | 10.10.10.10 | | Broadcastadresse | 10.10.10.11 | | nutzbare Hosts | 2 | Merksatz: /30 wird klassisch oft für Punkt-zu-Punkt-Verbindungen genutzt.
--- **Aufgabe 12** Welche kleinste Netzgröße reicht für mindestens 12 Hosts?
Antwort anzeigen Prüfung: /29 = 6 nutzbare Hosts /28 = 14 nutzbare Hosts Antwort: /28 Begründung: /29 reicht nicht. /28 bietet 14 nutzbare Hostadressen.
--- **Aufgabe 13** Welche kleinste Netzgröße reicht für mindestens 25 Hosts?
Antwort anzeigen Prüfung: /28 = 14 nutzbare Hosts /27 = 30 nutzbare Hosts Antwort: /27
--- **Aufgabe 14** Welche kleinste Netzgröße reicht für mindestens 55 Hosts?
Antwort anzeigen Prüfung: /27 = 30 nutzbare Hosts /26 = 62 nutzbare Hosts Antwort: /26
--- **Aufgabe 15** Welche kleinste Netzgröße reicht für mindestens 100 Hosts?
Antwort anzeigen Prüfung: /26 = 62 nutzbare Hosts /25 = 126 nutzbare Hosts Antwort: /25
--- **Aufgabe 16** Welche kleinste Netzgröße reicht für mindestens 200 Hosts?
Antwort anzeigen Prüfung: /25 = 126 nutzbare Hosts /24 = 254 nutzbare Hosts Antwort: /24
--- **Aufgabe 17** Liegen diese Hosts im gleichen Netz? 192.168.1.10/24 192.168.1.200/24
Antwort anzeigen Ja. Beide liegen im Netz: 192.168.1.0/24 Bereich: 192.168.1.0 bis 192.168.1.255 Nutzbare Hosts: 192.168.1.1 bis 192.168.1.254
--- **Aufgabe 18** Liegen diese Hosts im gleichen Netz? 192.168.1.10/24 192.168.2.10/24
Antwort anzeigen Nein. 192.168.1.10/24 liegt im Netz: 192.168.1.0/24 192.168.2.10/24 liegt im Netz: 192.168.2.0/24 Für Kommunikation zwischen diesen Netzen wird Routing benötigt.
--- **Aufgabe 19** Liegen diese Hosts im gleichen Netz? 192.168.1.70/26 192.168.1.100/26
Antwort anzeigen Ja. Bei /26 gilt Blockgröße 64. Beide liegen im Bereich: 192.168.1.64 bis 192.168.1.127
--- **Aufgabe 20** Liegen diese Hosts im gleichen Netz? 192.168.1.70/26 192.168.1.130/26
Antwort anzeigen Nein. 192.168.1.70 liegt im Bereich: 192.168.1.64 bis 192.168.1.127 192.168.1.130 liegt im Bereich: 192.168.1.128 bis 192.168.1.191 Für Kommunikation zwischen diesen Netzen wird Routing benötigt.
--- **Aufgabe 21** Liegen diese Hosts im gleichen Netz? 10.0.0.33/27 10.0.0.62/27
Antwort anzeigen Ja. Bei /27 gilt Blockgröße 32. Beide liegen im Bereich: 10.0.0.32 bis 10.0.0.63 Nutzbare Hosts: 10.0.0.33 bis 10.0.0.62
--- **Aufgabe 22** Liegen diese Hosts im gleichen Netz? 10.0.0.33/27 10.0.0.64/27
Antwort anzeigen Nein. 10.0.0.33 liegt im Bereich: 10.0.0.32 bis 10.0.0.63 10.0.0.64 liegt im Bereich: 10.0.0.64 bis 10.0.0.95 Wichtig: 10.0.0.64 ist in diesem zweiten Bereich sogar die Netzadresse.
--- **Aufgabe 23** Prüfe die Hostadresse: 192.168.5.0/24 Ist diese Adresse als Hostadresse nutzbar?
Antwort anzeigen Nein. Bei /24 ist: 192.168.5.0 die Netzadresse. Sie ist nicht als normale Hostadresse nutzbar.
--- **Aufgabe 24** Prüfe die Hostadresse: 192.168.5.255/24 Ist diese Adresse als Hostadresse nutzbar?
Antwort anzeigen Nein. Bei /24 ist: 192.168.5.255 die Broadcastadresse. Sie ist nicht als normale Hostadresse nutzbar.
--- **Aufgabe 25** Prüfe die Hostadresse: 192.168.5.254/24 Ist diese Adresse als Hostadresse nutzbar?
Antwort anzeigen Ja. Bei 192.168.5.0/24 ist der nutzbare Bereich: 192.168.5.1 bis 192.168.5.254 Die Adresse 192.168.5.254 ist die letzte nutzbare Hostadresse.
--- **Aufgabe 26** Prüfe die Hostadresse: 192.168.5.128/25 Ist diese Adresse als Hostadresse nutzbar?
Antwort anzeigen Nein. Bei /25 gibt es zwei Bereiche: 192.168.5.0 bis 192.168.5.127 192.168.5.128 bis 192.168.5.255 Die Adresse 192.168.5.128 ist die Netzadresse des zweiten Bereichs.
--- **Aufgabe 27** Prüfe die Hostadresse: 192.168.5.129/25 Ist diese Adresse als Hostadresse nutzbar?
Antwort anzeigen Ja. 192.168.5.129 liegt im zweiten /25-Netz: Netzadresse: 192.168.5.128 Broadcast: 192.168.5.255 nutzbarer Bereich: 192.168.5.129 bis 192.168.5.254
--- **Aufgabe 28** Prüfe die Hostadresse: 10.0.0.63/26 Ist diese Adresse als Hostadresse nutzbar?
Antwort anzeigen Nein. Bei /26 gilt Blockgröße 64. Der Bereich 0 bis 63 hat: Netzadresse: 10.0.0.0 Broadcastadresse: 10.0.0.63 Die Adresse 10.0.0.63 ist die Broadcastadresse.
--- **Aufgabe 29** Prüfe die Hostadresse: 10.0.0.64/26 Ist diese Adresse als Hostadresse nutzbar?
Antwort anzeigen Nein. Bei /26 gilt Blockgröße 64. Der zweite Bereich beginnt bei: 10.0.0.64 Das ist die Netzadresse dieses Subnetzes.
--- **Aufgabe 30** Prüfe die Hostadresse: 10.0.0.65/26 Ist diese Adresse als Hostadresse nutzbar?
Antwort anzeigen Ja. Bei /26 und Bereich 64 bis 127 gilt: Netzadresse: 10.0.0.64 Broadcastadresse: 10.0.0.127 nutzbarer Bereich: 10.0.0.65 bis 10.0.0.126
--- **Aufgabe 31** Eine Abteilung benötigt 5 nutzbare IP-Adressen. Welche kleinste Netzgröße reicht?
Antwort anzeigen Prüfung: /30 = 2 nutzbare Hosts /29 = 6 nutzbare Hosts Antwort: /29
--- **Aufgabe 32** Eine Abteilung benötigt 14 nutzbare IP-Adressen. Welche kleinste Netzgröße reicht?
Antwort anzeigen Antwort: /28 Begründung: /28 bietet 14 nutzbare Hostadressen.
--- **Aufgabe 33** Eine Abteilung benötigt 15 nutzbare IP-Adressen. Welche kleinste Netzgröße reicht?
Antwort anzeigen Prüfung: /28 = 14 nutzbare Hosts /27 = 30 nutzbare Hosts Antwort: /27 Merksatz: 15 passt nicht mehr in /28.
--- **Aufgabe 34** Eine Abteilung benötigt 62 nutzbare IP-Adressen. Welche kleinste Netzgröße reicht?
Antwort anzeigen Antwort: /26 Begründung: /26 bietet genau 62 nutzbare Hostadressen.
--- **Aufgabe 35** Eine Abteilung benötigt 63 nutzbare IP-Adressen. Welche kleinste Netzgröße reicht?
Antwort anzeigen Prüfung: /26 = 62 nutzbare Hosts /25 = 126 nutzbare Hosts Antwort: /25 Merksatz: 63 passt nicht mehr in /26.
--- **Aufgabe 36** Warum wird bei der Hostanzahl meistens minus 2 gerechnet?
Antwort anzeigen In normalen IPv4-Subnetzen sind zwei Adressen reserviert: Netzadresse Broadcastadresse Deshalb gilt: nutzbare Hosts = Gesamtadressen minus 2 Beispiel /26: 64 Gesamtadressen 64 - 2 = 62 nutzbare Hosts
--- **Aufgabe 37** Welche Subnetzmaske gehört zu /27?
Antwort anzeigen Zu /27 gehört: 255.255.255.224 Begründung: Im letzten Oktett sind 3 zusätzliche Netzbits gesetzt: 11100000 = 224
--- **Aufgabe 38** Welche Subnetzmaske gehört zu /28?
Antwort anzeigen Zu /28 gehört: 255.255.255.240 Begründung: Im letzten Oktett sind 4 zusätzliche Netzbits gesetzt: 11110000 = 240
--- **Aufgabe 39** Welche Subnetzmaske gehört zu /29?
Antwort anzeigen Zu /29 gehört: 255.255.255.248 Begründung: Im letzten Oktett sind 5 zusätzliche Netzbits gesetzt: 11111000 = 248
--- **Aufgabe 40** Welche Subnetzmaske gehört zu /30?
Antwort anzeigen Zu /30 gehört: 255.255.255.252 Begründung: Im letzten Oktett sind 6 zusätzliche Netzbits gesetzt: 11111100 = 252
--- **Mini-Prüfung: Präfixe** | Präfix | Maske | nutzbare Hosts | |---|---|---:| | /24 | 255.255.255.0 | 254 | | /25 | 255.255.255.128 | 126 | | /26 | 255.255.255.192 | 62 | | /27 | 255.255.255.224 | 30 | | /28 | 255.255.255.240 | 14 | | /29 | 255.255.255.248 | 6 | | /30 | 255.255.255.252 | 2 | --- **Mini-Prüfung: Blockgrößen** | Präfix | Blockgröße im letzten Oktett | |---|---:| | /25 | 128 | | /26 | 64 | | /27 | 32 | | /28 | 16 | | /29 | 8 | | /30 | 4 | Merksatz: Blockgröße = 256 minus interessanter Maskenwert. --- **Typische Subnetting-Fallen** | Falle | Richtige Denkweise | |---|---| | Netzadresse als Host verwenden | erste Adresse ist reserviert | | Broadcastadresse als Host verwenden | letzte Adresse ist reserviert | | /27 größer als /24 denken | größerer Präfix bedeutet kleineres Netz | | Hostanzahl ohne minus 2 | Netz- und Broadcastadresse abziehen | | VLAN mit Subnetz gleichsetzen | VLAN Layer 2, Subnetz Layer 3 | | Gateway außerhalb des Subnetzes | Gateway muss lokal erreichbar sein | | falsche Blockgröße | 256 minus Maskenwert rechnen | | IP nur grob ansehen | immer Subnetzbereich bestimmen | --- **IHK-sichere Kurzformulierung** Beim Subnetting wird eine IPv4-Adresse mit einer Subnetzmaske oder einem Präfix in Netzanteil und Hostanteil aufgeteilt. Der Präfix gibt an, wie viele Bits zum Netzanteil gehören. Die Hostbits ergeben sich aus 32 minus Präfix. Die Anzahl der nutzbaren Hosts beträgt 2 hoch Hostbits minus 2, weil Netzadresse und Broadcastadresse nicht als normale Hostadressen verwendet werden. Die Netzadresse ist die erste Adresse im Subnetz, die Broadcastadresse die letzte Adresse. Um den richtigen Adressbereich zu finden, wird die Blockgröße bestimmt und geprüft, in welchem Bereich die gegebene IP-Adresse liegt. --- **Merksätze** Präfix = Netzbits. Hostbits = 32 minus Präfix. Nutzbare Hosts = 2 hoch Hostbits minus 2. Netzadresse = erste Adresse. Broadcastadresse = letzte Adresse. Erste nutzbare Adresse = Netzadresse plus 1. Letzte nutzbare Adresse = Broadcastadresse minus 1. Größerer Präfix bedeutet kleineres Netz. Kleinerer Präfix bedeutet größeres Netz. /24 hat 254 Hosts. /25 hat 126 Hosts. /26 hat 62 Hosts. /27 hat 30 Hosts. /28 hat 14 Hosts. /29 hat 6 Hosts. /30 hat 2 Hosts. /25 springt in 128er-Schritten. /26 springt in 64er-Schritten. /27 springt in 32er-Schritten. /28 springt in 16er-Schritten. /29 springt in 8er-Schritten. /30 springt in 4er-Schritten. Gateway muss im lokalen Subnetz liegen. VLAN ist nicht Subnetz. Subnetting wird sicher durch Wiederholung. # 20.17 Spezialtrainer – Standardports und Dienste Dieser Spezialtrainer ist eine zusätzliche Übungsseite. Der allgemeine Netzwerktechnik-Trainer ist bereits abgeschlossen. Diese Seite dient nur als vertiefender Trainer für Standardports, Dienste, TCP, UDP und typische Port-Fehlerbilder. Ziel ist, Portnummern nicht nur auswendig zu lernen, sondern in Prüfungsaufgaben richtig anzuwenden. Merksatz: IP findet den Host. Port findet den Dienst. Protokoll sagt, ob TCP oder UDP gemeint ist. --- **Lernziele** Nach dieser Seite solltest du sicher können: - wichtige Standardports nennen - TCP und UDP bei Ports unterscheiden - typische Dienste zuordnen - Firewall-Regeln genauer formulieren - Port-Fehlerbilder erkennen - erklären, warum ping keinen Porttest ersetzt - unsichere Dienste erkennen - sichere Alternativen nennen --- **Kurzüberblick: wichtigste Ports** | Dienst | Protokoll und Port | Zweck | |---|---|---| | FTP | TCP 21 | Dateiübertragung, unverschlüsselt | | SSH | TCP 22 | sichere Fernadministration | | SFTP | TCP 22 | Dateiübertragung über SSH | | SMTP | TCP 25 | E-Mail-Übertragung | | DNS | UDP/TCP 53 | Namensauflösung | | DHCP Server | UDP 67 | DHCP-Server | | DHCP Client | UDP 68 | DHCP-Client | | HTTP | TCP 80 | Web unverschlüsselt | | POP3 | TCP 110 | E-Mail-Abruf | | NTP | UDP 123 | Zeitsynchronisation | | IMAP | TCP 143 | E-Mail-Abruf und Synchronisation | | SNMP | UDP 161 | Netzwerkmanagement | | HTTPS | TCP 443 | Web verschlüsselt | | SMB | TCP 445 | Datei- und Druckfreigaben | | SMTPS | TCP 465 | SMTP über TLS | | IMAPS | TCP 993 | IMAP über TLS | | POP3S | TCP 995 | POP3 über TLS | | RDP | TCP 3389 | Remote Desktop | Merksatz: Portnummer immer zusammen mit TCP oder UDP lernen. --- **Aufgabe 1** Welchen Port nutzt SSH typischerweise?
Antwort anzeigen SSH nutzt typischerweise: TCP 22 SSH steht für: Secure Shell Nutzung: sichere Fernadministration verschlüsselte Kommandozeile SFTP Merksatz: SSH = TCP 22.
--- **Aufgabe 2** Welchen Port nutzt HTTPS typischerweise?
Antwort anzeigen HTTPS nutzt typischerweise: TCP 443 HTTPS bedeutet: HTTP über TLS Nutzung: verschlüsselte Webkommunikation Merksatz: HTTPS = TCP 443.
--- **Aufgabe 3** Welchen Port nutzt HTTP typischerweise?
Antwort anzeigen HTTP nutzt typischerweise: TCP 80 Wichtig: HTTP ist unverschlüsselt. Besser für sensible Daten: HTTPS über TCP 443 Merksatz: HTTP = TCP 80. HTTPS = TCP 443.
--- **Aufgabe 4** Welchen Port nutzt DNS?
Antwort anzeigen DNS nutzt: UDP 53 und bei Bedarf auch: TCP 53 Typisch: normale DNS-Abfragen häufig UDP 53 größere Antworten, Zonentransfers oder bestimmte Fälle TCP 53 Merksatz: DNS = UDP/TCP 53.
--- **Aufgabe 5** Welche Ports nutzt DHCP?
Antwort anzeigen DHCP nutzt: UDP 67 für den DHCP-Server UDP 68 für den DHCP-Client Merksatz: DHCP = UDP 67 und UDP 68.
--- **Aufgabe 6** Welchen Port nutzt SMB typischerweise?
Antwort anzeigen SMB nutzt typischerweise: TCP 445 Nutzung: Datei- und Druckfreigaben Netzlaufwerke Windows-Freigaben Merksatz: SMB = TCP 445.
--- **Aufgabe 7** Welchen Port nutzt RDP typischerweise?
Antwort anzeigen RDP nutzt typischerweise: TCP 3389 RDP steht für: Remote Desktop Protocol Merksatz: RDP = TCP 3389.
--- **Aufgabe 8** Welchen Port nutzt NTP?
Antwort anzeigen NTP nutzt typischerweise: UDP 123 NTP steht für: Network Time Protocol Aufgabe: Zeitsynchronisation Merksatz: NTP = UDP 123.
--- **Aufgabe 9** Welchen Port nutzt SNMP?
Antwort anzeigen SNMP nutzt typischerweise: UDP 161 SNMP steht für: Simple Network Management Protocol Aufgabe: Netzwerkgeräte überwachen und verwalten Merksatz: SNMP = UDP 161.
--- **Aufgabe 10** Ordne die Webports zu. | Dienst | Protokoll und Port | |---|---| | HTTP | ? | | HTTPS | ? |
Antwort anzeigen | Dienst | Protokoll und Port | |---|---| | HTTP | TCP 80 | | HTTPS | TCP 443 | Merksatz: HTTP unverschlüsselt. HTTPS verschlüsselt mit TLS.
--- **Aufgabe 11** Ordne die E-Mail-Protokolle zu. | Dienst | Protokoll und Port | |---|---| | SMTP | ? | | POP3 | ? | | IMAP | ? | | SMTPS | ? | | POP3S | ? | | IMAPS | ? |
Antwort anzeigen | Dienst | Protokoll und Port | |---|---| | SMTP | TCP 25 | | POP3 | TCP 110 | | IMAP | TCP 143 | | SMTPS | TCP 465 | | POP3S | TCP 995 | | IMAPS | TCP 993 | Merksatz: SMTP sendet. POP3 und IMAP empfangen. S am Ende bedeutet verschlüsselte Variante.
--- **Aufgabe 12** Was macht SMTP?
Antwort anzeigen SMTP steht für: Simple Mail Transfer Protocol Aufgabe: E-Mails senden und zwischen Mailservern übertragen. Typischer Port: TCP 25 Merksatz: SMTP sendet E-Mails.
--- **Aufgabe 13** Was macht POP3?
Antwort anzeigen POP3 steht für: Post Office Protocol Version 3 Aufgabe: E-Mails vom Server abrufen. Typischer Port: TCP 110 Verschlüsselte Variante: POP3S über TCP 995 Merksatz: POP3 ruft E-Mails ab.
--- **Aufgabe 14** Was macht IMAP?
Antwort anzeigen IMAP steht für: Internet Message Access Protocol Aufgabe: E-Mails auf dem Server abrufen und synchron verwalten. Typischer Port: TCP 143 Verschlüsselte Variante: IMAPS über TCP 993 Merksatz: IMAP synchronisiert E-Mails.
--- **Aufgabe 15** Was ist der Unterschied zwischen POP3 und IMAP?
Antwort anzeigen POP3: einfacher E-Mail-Abruf traditionell eher Herunterladen vom Server IMAP: serverseitige Verwaltung Synchronisation über mehrere Geräte Ordnerstruktur bleibt serverseitig erhalten Merksatz: POP3 ruft ab. IMAP synchronisiert.
--- **Aufgabe 16** Ordne Dateiübertragungsprotokolle zu. | Dienst | Protokoll und Port | Sicherheit | |---|---|---| | FTP | ? | ? | | SFTP | ? | ? | | FTPS | ? | ? |
Antwort anzeigen | Dienst | Protokoll und Port | Sicherheit | |---|---|---| | FTP | TCP 21 | unverschlüsselt | | SFTP | TCP 22 | über SSH verschlüsselt | | FTPS | TCP 21 oder weitere Ports je nach Modus | FTP mit TLS | Merksatz: FTP ist unverschlüsselt. SFTP nutzt SSH. FTPS ist FTP mit TLS.
--- **Aufgabe 17** Warum ist FTP unsicher?
Antwort anzeigen FTP ist unsicher, weil es klassisch unverschlüsselt überträgt. Risiken: Zugangsdaten können mitgelesen werden Daten können mitgelesen werden Man-in-the-Middle möglich Bessere Alternativen: SFTP FTPS HTTPS-basierter Upload Merksatz: FTP nicht für sensible Daten verwenden.
--- **Aufgabe 18** Was ist der Unterschied zwischen SFTP und FTPS?
Antwort anzeigen SFTP: Dateiübertragung über SSH typischerweise TCP 22 FTPS: FTP mit TLS-Verschlüsselung basiert auf FTP Wichtig: SFTP und FTPS sind nicht dasselbe. Merksatz: SFTP = SSH. FTPS = FTP mit TLS.
--- **Aufgabe 19** Warum ist „Port 53 freigeben“ ungenau?
Antwort anzeigen Die Angabe ist ungenau, weil nicht klar ist, ob TCP 53, UDP 53 oder beides gemeint ist. Bei Firewall-Regeln müssen angegeben werden: Quelle Ziel Protokoll Port Aktion Merksatz: Portnummer ohne TCP oder UDP ist unvollständig.
--- **Aufgabe 20** Warum ist „Port 443 erlauben“ in einer Firewall-Regel noch nicht vollständig?
Antwort anzeigen Es fehlen wichtige Angaben: Quelle Ziel Protokoll Richtung Aktion Zweck Besser: Quelle: Internet Ziel: Webserver-DMZ Protokoll: TCP Port: 443 Aktion: erlauben Zweck: HTTPS-Zugriff Merksatz: Firewall-Regeln brauchen mehr als nur eine Portnummer.
--- **Aufgabe 21** Was bedeutet LISTEN bei einem TCP-Port?
Antwort anzeigen LISTEN bedeutet: Ein Dienst wartet auf eingehende Verbindungen. Beispiel: Webserver lauscht auf TCP 443. Merksatz: LISTEN = Dienst wartet auf Verbindung.
--- **Aufgabe 22** Was bedeutet ESTABLISHED bei TCP?
Antwort anzeigen ESTABLISHED bedeutet: Eine TCP-Verbindung besteht aktiv. Beispiel: Client hat eine HTTPS-Verbindung zum Server aufgebaut. Merksatz: ESTABLISHED = Verbindung besteht.
--- **Aufgabe 23** Was bedeutet SYN_SENT?
Antwort anzeigen SYN_SENT bedeutet: Der Client hat einen TCP-Verbindungsaufbau gestartet und wartet auf Antwort. Wenn es hängen bleibt, sind möglich: Ziel nicht erreichbar Port blockiert Dienst antwortet nicht Firewall blockiert Routingproblem Merksatz: SYN_SENT zeigt: Anfrage raus, Antwort fehlt.
--- **Aufgabe 24** Was bedeutet TIME_WAIT?
Antwort anzeigen TIME_WAIT ist ein TCP-Zustand nach dem Schließen einer Verbindung. Er sorgt dafür, dass verspätete Pakete einer alten Verbindung nicht mit neuen Verbindungen verwechselt werden. Merksatz: TIME_WAIT nach Verbindungsende ist normal.
--- **Aufgabe 25** Ein Server ist per ping erreichbar, aber TCP 22 ist nicht erreichbar. Was ist wahrscheinlich?
Antwort anzeigen Ping prüft ICMP. TCP 22 ist SSH. Mögliche Ursachen: SSH-Dienst läuft nicht SSH lauscht auf anderem Port lokale Firewall blockiert Netzwerkfirewall blockiert Zugriff nur aus bestimmten Netzen erlaubt Dienst lauscht nur auf localhost Merksatz: Host erreichbar heißt nicht: Dienst erreichbar.
--- **Aufgabe 26** Ein Webserver ist intern auf TCP 443 erreichbar, aber nicht von außen. Was sollte geprüft werden?
Antwort anzeigen Prüfen: öffentliche IP DNS Portweiterleitung Router-Firewall lokale Firewall Dienststatus doppeltes NAT CGNAT Provider blockiert Port Merksatz: Intern ja, extern nein: NAT, Firewall, DNS und öffentliche IP prüfen.
--- **Aufgabe 27** Ein Dienst läuft, lauscht aber nur auf 127.0.0.1. Was bedeutet das?
Antwort anzeigen 127.0.0.1 ist localhost. Wenn ein Dienst nur auf 127.0.0.1 lauscht, ist er nur lokal auf dem Server erreichbar. Andere Geräte können ihn nicht direkt erreichen. Prüfen: Bind-Adresse Dienstkonfiguration Firewall Merksatz: 127.0.0.1 = nur lokal.
--- **Aufgabe 28** Ein Dienst lauscht auf 0.0.0.0. Was bedeutet das?
Antwort anzeigen 0.0.0.0 bedeutet bei einem lauschenden Dienst: Der Dienst lauscht auf allen IPv4-Schnittstellen des Systems. Wichtig: Ob der Dienst erreichbar ist, hängt zusätzlich von Firewall, Routing, NAT und Berechtigungen ab. Merksatz: 0.0.0.0 = alle IPv4-Interfaces.
--- **Aufgabe 29** Warum ersetzt ping keinen Porttest?
Antwort anzeigen ping prüft ICMP-Erreichbarkeit. ping prüft nicht: TCP-Port UDP-Port Dienststatus Anwendung Anmeldung Berechtigungen Beispiel: Ein Server kann auf ping antworten, obwohl TCP 443 blockiert ist. Merksatz: ping prüft den Host, nicht den Dienst.
--- **Aufgabe 30** Welche Werkzeuge oder Methoden eignen sich zur Portprüfung?
Antwort anzeigen Mögliche Prüfungen: Dienststatus prüfen Firewall-Logs prüfen Porttest vom Client aus ss oder netstat auf dem Server curl für HTTP/HTTPS Verbindungsprüfung mit geeigneten Tools Logs des Dienstes prüfen Wichtig: Immer TCP oder UDP beachten. Merksatz: Portprüfung braucht Richtung, Ziel, Protokoll und Dienststatus.
--- **Aufgabe 31** Warum sollte RDP nicht direkt aus dem Internet erreichbar sein?
Antwort anzeigen RDP ist ein häufiges Angriffsziel. Risiken: Brute Force Credential Stuffing Exploits unberechtigter Fernzugriff Besser: VPN RDP-Gateway MFA Zugriff nur von bekannten Quellnetzen Logging Merksatz: RDP nicht offen ins Internet stellen.
--- **Aufgabe 32** Warum sollte SMB nicht direkt aus dem Internet erreichbar sein?
Antwort anzeigen SMB ist für Datei- und Druckfreigaben gedacht und sollte nicht öffentlich erreichbar sein. Risiken: Datenabfluss Malware-Ausbreitung Brute Force Ausnutzung von Schwachstellen Zugriff auf interne Freigaben Merksatz: SMB gehört nicht offen ins Internet.
--- **Aufgabe 33** Warum sollte Telnet nicht verwendet werden?
Antwort anzeigen Telnet überträgt unverschlüsselt. Risiken: Zugangsdaten können mitgelesen werden Sitzungen können mitgelesen werden Man-in-the-Middle-Angriffe möglich Sichere Alternative: SSH Merksatz: Telnet unsicher, SSH sicherer.
--- **Aufgabe 34** Ordne sichere und unsichere Varianten zu. | Unsicherer Dienst | Sicherere Alternative | |---|---| | Telnet | ? | | FTP | ? | | HTTP | ? | | POP3 | ? | | IMAP | ? |
Antwort anzeigen | Unsicherer Dienst | Sicherere Alternative | |---|---| | Telnet | SSH | | FTP | SFTP oder FTPS | | HTTP | HTTPS | | POP3 | POP3S | | IMAP | IMAPS | Merksatz: Unverschlüsselte Dienste vermeiden, wenn sensible Daten übertragen werden.
--- **Aufgabe 35** Welcher Port passt zu welchem Dienst? | Port | Dienst | |---:|---| | 22 | ? | | 53 | ? | | 67/68 | ? | | 80 | ? | | 123 | ? | | 443 | ? | | 445 | ? | | 3389 | ? |
Antwort anzeigen | Port | Dienst | |---:|---| | 22 | SSH / SFTP | | 53 | DNS | | 67/68 | DHCP | | 80 | HTTP | | 123 | NTP | | 443 | HTTPS | | 445 | SMB | | 3389 | RDP |
--- **Aufgabe 36** Welcher Dienst passt zu welchem Port? | Dienst | Port | |---|---| | SSH | ? | | DNS | ? | | DHCP | ? | | HTTP | ? | | HTTPS | ? | | SMB | ? | | RDP | ? | | NTP | ? |
Antwort anzeigen | Dienst | Port | |---|---| | SSH | TCP 22 | | DNS | UDP/TCP 53 | | DHCP | UDP 67/68 | | HTTP | TCP 80 | | HTTPS | TCP 443 | | SMB | TCP 445 | | RDP | TCP 3389 | | NTP | UDP 123 |
--- **Aufgabe 37** Ein DNS-Server ist nicht erreichbar. Welche Firewall-Regel könnte fehlen?
Antwort anzeigen Möglicherweise fehlt: UDP 53 und je nach Fall auch: TCP 53 Saubere Regel: Quelle: Clientnetz Ziel: DNS-Server Protokoll: UDP und TCP Port: 53 Aktion: erlauben Merksatz: DNS braucht meistens UDP 53, TCP 53 mitdenken.
--- **Aufgabe 38** Ein Client erhält keine DHCP-Adresse. Welche Ports sind relevant?
Antwort anzeigen Relevant sind: UDP 67 UDP 68 Zusätzlich prüfen: DHCP-Server VLAN DHCP-Relay DHCP-Scope Firewall-Regeln Merksatz: DHCP = UDP 67 und 68.
--- **Aufgabe 39** Welche Antwort ist besser? Aufgabe: Ein Server ist pingbar, aber die Webseite funktioniert nicht. Was prüfen Sie? Antwort A: Der Server ist erreichbar, also ist alles gut. Antwort B: ping prüft nur ICMP. Für die Webseite müssen TCP 80 oder TCP 443, Webdienst, Firewall, TLS und Anwendung geprüft werden.
Antwort anzeigen B ist besser. Begründung: Die Antwort unterscheidet Host-Erreichbarkeit und Dienst-Erreichbarkeit. Merksatz: ping ist kein Diensttest.
--- **Aufgabe 40** Welche Antwort ist besser? Aufgabe: Warum ist eine Firewall-Regel mit „Port 443 erlauben“ unvollständig? Antwort A: Weil man noch mehr schreiben kann. Antwort B: Für eine saubere Firewall-Regel fehlen Quelle, Ziel, Protokoll, Richtung, Aktion und Zweck. Außerdem muss TCP 443 genannt werden, weil Portnummern ohne Transportprotokoll ungenau sind.
Antwort anzeigen B ist besser. Begründung: Die Antwort erklärt fachlich, welche Angaben in einer Regel fehlen. Merksatz: Firewall-Regel vollständig formulieren.
--- **Mini-Prüfung: Ports auswendig** | Dienst | Protokoll und Port | |---|---| | FTP | TCP 21 | | SSH | TCP 22 | | SFTP | TCP 22 | | SMTP | TCP 25 | | DNS | UDP/TCP 53 | | DHCP Server | UDP 67 | | DHCP Client | UDP 68 | | HTTP | TCP 80 | | POP3 | TCP 110 | | NTP | UDP 123 | | IMAP | TCP 143 | | SNMP | UDP 161 | | HTTPS | TCP 443 | | SMB | TCP 445 | | SMTPS | TCP 465 | | IMAPS | TCP 993 | | POP3S | TCP 995 | | RDP | TCP 3389 | --- **Mini-Prüfung: Fehlerbilder** | Fehlerbild | Wahrscheinlichstes Thema | |---|---| | ping geht, SSH nicht | TCP 22, SSH-Dienst, Firewall | | ping geht, HTTPS nicht | TCP 443, Webdienst, Firewall, TLS | | DNS antwortet nicht | UDP/TCP 53 | | DHCP funktioniert nicht | UDP 67/68, DHCP, VLAN, Relay | | SMB-Freigabe nicht erreichbar | TCP 445, Firewall, SMB-Dienst | | RDP geht nicht | TCP 3389, RDP-Dienst, Firewall | | Dienst nur lokal erreichbar | bindet nur an 127.0.0.1 | | Port offen, Login scheitert | Authentifizierung | | Port offen, Zugriff verweigert | Autorisierung | | SYN_SENT bleibt stehen | Antwort fehlt, Firewall, Routing oder Dienst | --- **Typische Prüfungsfallen** | Falle | Richtig denken | |---|---| | Portnummer ohne TCP/UDP | unvollständig | | ping ersetzt Porttest | falsch | | DNS nur UDP | meistens UDP, aber TCP mitdenken | | SFTP und FTPS gleichsetzen | falsch | | HTTP und HTTPS gleichsetzen | falsch | | RDP ins Internet öffnen | Sicherheitsrisiko | | SMB ins Internet öffnen | Sicherheitsrisiko | | Dienst läuft = Dienst erreichbar | nicht automatisch | | 127.0.0.1 als Bind-Adresse übersehen | nur lokal erreichbar | | Firewall-Regel ohne Quelle und Ziel | unvollständig | --- **IHK-sichere Kurzformulierung** Ports gehören zur OSI-Schicht 4 und werden von TCP oder UDP genutzt, um Daten dem richtigen Dienst oder Prozess zuzuordnen. Eine IP-Adresse identifiziert den Host, der Port den Dienst. Standardports sollten immer zusammen mit dem Transportprotokoll gelernt werden, zum Beispiel SSH TCP 22, DNS UDP/TCP 53, HTTP TCP 80, HTTPS TCP 443, SMB TCP 445 und RDP TCP 3389. ping prüft nur ICMP-Erreichbarkeit und ersetzt keinen Port- oder Diensttest. Für Firewall-Regeln reicht eine Portnummer allein nicht aus; benötigt werden Quelle, Ziel, Protokoll, Port, Richtung, Aktion und Zweck. --- **Merksätze** IP findet den Host. Port findet den Dienst. Ports gehören zu Schicht 4. TCP und UDP unterscheiden. Portnummer ohne TCP oder UDP ist unvollständig. SSH = TCP 22. SFTP = TCP 22. DNS = UDP/TCP 53. DHCP = UDP 67 und 68. HTTP = TCP 80. HTTPS = TCP 443. SMB = TCP 445. RDP = TCP 3389. NTP = UDP 123. SMTP sendet E-Mails. IMAP synchronisiert E-Mails. POP3 ruft E-Mails ab. FTP ist unverschlüsselt. SFTP nutzt SSH. FTPS ist FTP mit TLS. Telnet vermeiden, SSH nutzen. HTTP vermeiden, HTTPS nutzen. ping ist kein Porttest. Host erreichbar heißt nicht: Dienst erreichbar. LISTEN heißt: Dienst wartet. ESTABLISHED heißt: Verbindung besteht. SYN_SENT heißt: Anfrage raus, Antwort fehlt. 127.0.0.1 heißt: nur lokal. 0.0.0.0 heißt: alle IPv4-Interfaces. RDP nicht offen ins Internet stellen. SMB nicht offen ins Internet stellen. Firewall-Regeln brauchen Quelle, Ziel, Protokoll, Port, Richtung, Aktion und Zweck. # 20.18 Spezialtrainer – Firewall-Regeln und Sicherheitszonen Dieser Spezialtrainer ist eine zusätzliche Übungsseite. Der allgemeine Netzwerktechnik-Trainer ist bereits abgeschlossen. Diese Seite dient nur als vertiefender Trainer für Firewall-Regeln, Sicherheitszonen, DMZ, VLAN-Trennung und typische Prüfungsformulierungen. Ziel ist, Firewall-Aufgaben sauber, vollständig und prüfungssicher zu beantworten. Merksatz: Eine Firewall-Regel ohne Quelle, Ziel, Protokoll, Port, Aktion und Zweck ist unvollständig. --- **Lernziele** Nach dieser Seite solltest du sicher können: - Firewall-Regeln vollständig formulieren - Quelle, Ziel, Port und Protokoll unterscheiden - Sicherheitszonen erklären - DMZ-Regeln bewerten - Any-to-Any-Regeln kritisch einordnen - Default Deny erklären - typische Fehlkonfigurationen erkennen - sichere Alternativen zu breiten Freigaben nennen --- **Grundaufbau einer Firewall-Regel** Eine saubere Firewall-Regel enthält mindestens: | Bestandteil | Bedeutung | |---|---| | Quelle | Von wo kommt der Verkehr? | | Ziel | Wohin geht der Verkehr? | | Protokoll | TCP, UDP, ICMP oder anderes | | Port | Welcher Dienst ist gemeint? | | Richtung | Eingehend oder ausgehend | | Aktion | Erlauben oder blockieren | | Zweck | Warum gibt es diese Regel? | Merksatz: Quelle, Ziel, Protokoll, Port, Aktion, Zweck. --- **Typische Sicherheitszonen** | Zone | Bedeutung | |---|---| | Internet | unsicheres externes Netz | | DMZ | Zone für öffentlich erreichbare Dienste | | internes Netz | interne Clients und Systeme | | Servernetz | interne Server | | Managementnetz | Administration von Systemen | | Gastnetz | Netz für Gäste oder fremde Geräte | | VPN-Netz | Netz für entfernte Benutzer | | Backup-Netz | Netz für Sicherungen und Wiederherstellung | Merksatz: Zonen trennen Systeme nach Schutzbedarf. --- **Aufgabe 1** Was ist eine Firewall?
Antwort anzeigen Eine Firewall ist ein System, das Netzwerkverkehr anhand von Regeln erlaubt oder blockiert. Typische Kriterien: Quelle Ziel Protokoll Port Richtung Zone Benutzer Anwendung Verbindungszustand Merksatz: Firewall = kontrollierter Netzwerkverkehr.
--- **Aufgabe 2** Warum reicht die Regel „Port 443 erlauben“ nicht aus?
Antwort anzeigen Die Regel ist unvollständig. Es fehlen: Quelle Ziel Protokoll Richtung Aktion Zweck Besser: Quelle: Internet Ziel: Webserver-DMZ Protokoll: TCP Port: 443 Aktion: erlauben Zweck: HTTPS-Zugriff auf Webserver Merksatz: Port allein ist keine vollständige Firewall-Regel.
--- **Aufgabe 3** Warum ist „Port 53 erlauben“ ungenau?
Antwort anzeigen Es fehlt das Transportprotokoll. DNS nutzt: UDP 53 und bei Bedarf: TCP 53 Eine Regel für TCP 53 erlaubt nicht automatisch UDP 53. Merksatz: Portnummer immer mit TCP oder UDP nennen.
--- **Aufgabe 4** Was bedeutet Default Deny?
Antwort anzeigen Default Deny bedeutet: Standardmäßig ist Verkehr blockiert. Nur ausdrücklich erlaubter Verkehr wird zugelassen. Vorteile: kleinere Angriffsfläche bessere Kontrolle weniger unbeabsichtigte Freigaben klare Sicherheitsstruktur Merksatz: Erst blockieren, dann gezielt erlauben.
--- **Aufgabe 5** Was ist eine Any-to-Any-Regel?
Antwort anzeigen Any-to-Any bedeutet: jede Quelle zu jedem Ziel Meist zusätzlich: alle Ports alle Protokolle erlauben Das ist kritisch, weil sehr viel Verkehr ungeprüft zugelassen wird. Merksatz: Any-to-Any ist eine sehr breite Freigabe.
--- **Aufgabe 6** Warum ist Any-to-Any kritisch?
Antwort anzeigen Risiken: große Angriffsfläche schlechte Nachvollziehbarkeit Sicherheitszonen werden umgangen unnötige Freigaben laterale Bewegung wird erleichtert Fehler schwerer erkennbar Besser: gezielte Regeln mit Quelle, Ziel, Port, Protokoll und Zweck. Merksatz: Je breiter die Regel, desto größer das Risiko.
--- **Aufgabe 7** Welche Regel ist besser? A: Quelle: internes Netz Ziel: any Port: any Aktion: erlauben B: Quelle: Clientnetz Ziel: DNS-Server Protokoll: UDP/TCP Port: 53 Aktion: erlauben Zweck: DNS-Auflösung
Antwort anzeigen B ist besser. Begründung: Die Regel ist genauer. Sie erlaubt nur den benötigten DNS-Verkehr zum vorgesehenen DNS-Server. Regel A ist zu breit, weil sie jeden Verkehr zu jedem Ziel erlaubt. Merksatz: Genau erlauben, nicht pauschal freigeben.
--- **Aufgabe 8** Ein Webserver in der DMZ soll öffentlich per HTTPS erreichbar sein. Formuliere eine passende Regel.
Antwort anzeigen Passende Regel: | Quelle | Ziel | Protokoll | Port | Aktion | Zweck | |---|---|---|---:|---|---| | Internet | Webserver-DMZ | TCP | 443 | erlauben | HTTPS-Zugriff | Wichtig: Keine pauschale Freigabe vom Internet ins interne Netz. Merksatz: Öffentlich nur den benötigten Dienst freigeben.
--- **Aufgabe 9** Ein Webserver in der DMZ braucht Zugriff auf eine interne Datenbank. Formuliere eine möglichst sichere Regel.
Antwort anzeigen Beispielregel: | Quelle | Ziel | Protokoll | Port | Aktion | Zweck | |---|---|---|---:|---|---| | Webserver-DMZ | interner Datenbankserver | TCP | 5432 | erlauben | Anwendung benötigt Datenbank | Wichtig: Nur der konkrete Webserver darf auf den konkreten Datenbankserver zugreifen. Nur der benötigte Datenbankport wird erlaubt. Kein Any-to-Any zwischen DMZ und internem Netz. Merksatz: DMZ zu intern nur minimal und gezielt erlauben.
--- **Aufgabe 10** Warum sollte eine Datenbank nicht direkt aus dem Internet erreichbar sein?
Antwort anzeigen Eine Datenbank enthält oft sensible Daten und ist ein attraktives Angriffsziel. Risiken: Brute Force Exploits Datenabfluss Manipulation DoS Besser: Zugriff nur vom Anwendungsserver privates Netz Firewall-Beschränkung starke Authentifizierung Logging Merksatz: Datenbankports gehören nicht offen ins Internet.
--- **Aufgabe 11** Ein Gastnetz soll eingerichtet werden. Welche Regeln sind sinnvoll?
Antwort anzeigen Typische Regeln: | Quelle | Ziel | Aktion | Zweck | |---|---|---|---| | Gastnetz | Internet | erlauben | Internetzugriff für Gäste | | Gastnetz | internes Netz | blockieren | interne Systeme schützen | | Gastnetz | Servernetz | blockieren | Server schützen | | Gastnetz | Managementnetz | blockieren | Administration schützen | Merksatz: Gastnetz nur ins Internet, nicht ins interne Netz.
--- **Aufgabe 12** Ein Managementnetz soll geschützt werden. Welche Regeln sind sinnvoll?
Antwort anzeigen Sinnvolle Regeln: Adminnetz zu Servern: benötigte Adminports erlauben Adminnetz zu Switches: SSH oder HTTPS erlauben Clientnetz zu Managementnetz: blockieren Gastnetz zu Managementnetz: blockieren Internet zu Managementnetz: blockieren Zusätzlich: MFA Logging getrennte Admin-Konten Least Privilege Merksatz: Managementzugänge besonders schützen.
--- **Aufgabe 13** Ein Clientnetz soll nur DNS zum internen DNS-Server nutzen dürfen. Formuliere die Regel.
Antwort anzeigen Regel: | Quelle | Ziel | Protokoll | Port | Aktion | Zweck | |---|---|---|---:|---|---| | Clientnetz | interner DNS-Server | UDP/TCP | 53 | erlauben | DNS-Auflösung | Optional zusätzlich: Clientnetz zu externen DNS-Servern blockieren, wenn DNS zentral kontrolliert werden soll. Merksatz: DNS-Regeln brauchen UDP 53, TCP 53 mitdenken.
--- **Aufgabe 14** Ein Clientnetz soll per HTTPS ins Internet. Formuliere eine sinnvolle Regel.
Antwort anzeigen Regel: | Quelle | Ziel | Protokoll | Port | Aktion | Zweck | |---|---|---|---:|---|---| | Clientnetz | Internet | TCP | 443 | erlauben | HTTPS-Webzugriff | Je nach Umgebung zusätzlich: HTTP TCP 80 erlauben oder blockieren Proxy verwenden Webfilter einsetzen Logging aktivieren Merksatz: Webzugriff gezielt und protokolliert erlauben.
--- **Aufgabe 15** Ein Clientnetz soll nicht direkt auf Server-Managementports zugreifen. Welche Regel ist sinnvoll?
Antwort anzeigen Sinnvolle Block-Regel: | Quelle | Ziel | Protokoll | Port | Aktion | Zweck | |---|---|---|---:|---|---| | Clientnetz | Servernetz | TCP | 22, 3389 | blockieren | direkte Administration verhindern | Besser: Administration nur aus Adminnetz erlauben. Merksatz: Normale Clients sollen keine Adminports erreichen.
--- **Aufgabe 16** Warum sollte SSH nur aus dem Adminnetz erlaubt sein?
Antwort anzeigen SSH ist ein Administrationszugang. Wenn SSH aus allen Netzen erreichbar ist, steigt das Risiko für: Brute Force Missbrauch gestohlener Zugangsdaten laterale Bewegung unautorisierte Administration Besser: Quelle auf Adminnetz beschränken MFA oder Schlüssel nutzen Logging aktivieren Merksatz: Adminzugänge nur aus Adminnetzen erlauben.
--- **Aufgabe 17** Warum sollte RDP nicht direkt aus dem Internet erreichbar sein?
Antwort anzeigen RDP ist ein häufiges Angriffsziel. Risiken: Brute Force Credential Stuffing Exploits unberechtigter Zugriff Sicherer: VPN RDP-Gateway MFA Zugriff nur von bekannten Quellnetzen Logging Merksatz: RDP nicht offen ins Internet stellen.
--- **Aufgabe 18** Warum sollte SMB nicht zwischen allen Netzen erlaubt sein?
Antwort anzeigen SMB ermöglicht Datei- und Druckfreigaben. Risiken bei breiter Freigabe: Datenabfluss Malware-Ausbreitung laterale Bewegung Zugriff auf interne Freigaben Ausnutzung von Schwachstellen Besser: SMB nur gezielt zwischen benötigten Systemen erlauben. Merksatz: SMB breit freigeben ist riskant.
--- **Aufgabe 19** Was bedeutet Regelreihenfolge bei Firewalls?
Antwort anzeigen Viele Firewalls verarbeiten Regeln von oben nach unten. Die erste passende Regel entscheidet. Problem: Eine breite Erlauben-Regel kann spätere Block-Regeln wirkungslos machen. Oder: Eine frühe Block-Regel kann spätere Erlauben-Regeln überdecken. Merksatz: Firewall-Regeln auch in der richtigen Reihenfolge prüfen.
--- **Aufgabe 20** Eine Erlauben-Regel existiert, aber der Zugriff funktioniert nicht. Was sollte geprüft werden?
Antwort anzeigen Prüfen: Regelreihenfolge Quelle korrekt? Ziel korrekt? Protokoll korrekt? Port korrekt? Richtung korrekt? Zone korrekt? NAT-Regel nötig? Rückverkehr erlaubt oder stateful? lokale Firewall auf Zielsystem Dienst läuft? Logs prüfen Merksatz: Eine Regel allein beweist noch nicht, dass der Zugriff funktioniert.
--- **Aufgabe 21** Was ist eine Stateful Firewall?
Antwort anzeigen Eine Stateful Firewall merkt sich den Zustand von Verbindungen. Wenn ein Client eine Verbindung nach außen startet, kann die Firewall passende Antwortpakete automatisch erlauben. Vorteil: Rückverkehr muss nicht immer manuell als eigene Regel definiert werden. Merksatz: Stateful Firewall kennt Verbindungszustände.
--- **Aufgabe 22** Was ist eine Stateless Firewall?
Antwort anzeigen Eine Stateless Firewall prüft Pakete einzeln. Sie merkt sich keinen Verbindungszustand. Folge: Regeln für Hin- und Rückrichtung müssen genauer berücksichtigt werden. Merksatz: Stateless Firewall kennt keine Verbindungshistorie.
--- **Aufgabe 23** Was ist der Unterschied zwischen Firewall und ACL?
Antwort anzeigen ACL steht für: Access Control List Eine ACL ist eine Liste von Regeln, die Zugriff erlaubt oder blockiert. Eine Firewall kann ACL-ähnliche Regeln nutzen, bietet aber je nach System weitere Funktionen: Zustandsprüfung Logging NAT Anwendungskontrolle Benutzerbezug IDS/IPS-Funktionen Merksatz: ACL ist Regelliste. Firewall ist oft umfassenderes Schutzsystem.
--- **Aufgabe 24** Was ist eine Security Group in der Cloud?
Antwort anzeigen Eine Security Group ist eine ressourcennahe Zugriffskontrolle in Cloud-Umgebungen. Sie steuert typischerweise: eingehenden Verkehr ausgehenden Verkehr Ports Protokolle Quellen Ziele Merksatz: Security Group ist wie eine Cloud-nahe Firewall-Regelgruppe.
--- **Aufgabe 25** Eine Cloud-VM ist nicht per SSH erreichbar. Was sollte geprüft werden?
Antwort anzeigen Prüfen: Security Group erlaubt TCP 22? Quelle korrekt eingeschränkt? VM hat richtige IP? Route ins Subnetz korrekt? Network ACL korrekt? lokale Firewall der VM? SSH-Dienst läuft? SSH lauscht auf TCP 22? Benutzer oder Schlüssel korrekt? Merksatz: Cloud-Zugriff braucht Security Group, Route, lokale Firewall und Dienst.
--- **Aufgabe 26** Eine Webanwendung in der Cloud soll öffentlich erreichbar sein, die Datenbank aber nicht. Welche Grundidee ist richtig?
Antwort anzeigen Richtig: Webserver oder Load Balancer öffentlich erreichbar machen. Datenbank in privatem Subnetz betreiben. Zugriff auf Datenbank nur vom Anwendungsserver erlauben. Security Group der Datenbank eng einschränken. Merksatz: Web nach außen, Datenbank privat.
--- **Aufgabe 27** Ein VPN-Benutzer soll nur einen Server erreichen dürfen. Welche Regel ist sinnvoll?
Antwort anzeigen Beispielregel: | Quelle | Ziel | Protokoll | Port | Aktion | Zweck | |---|---|---|---:|---|---| | VPN-Benutzergruppe Dienstleister | Zielserver | TCP | 22 | erlauben | Wartung durch Dienstleister | Zusätzlich blockieren: VPN-Dienstleister zu restlichem internen Netz Merksatz: VPN-Zugriff nach Least Privilege begrenzen.
--- **Aufgabe 28** Warum ist „VPN-Benutzer dürfen alles im internen Netz“ kritisch?
Antwort anzeigen Risiken: kompromittierte VPN-Zugangsdaten führen zu großem Schaden laterale Bewegung im Netz möglich Dienstleister sehen zu viele Systeme Angriffe können sich leichter ausbreiten Besser: Zugriff nach Gruppen nur benötigte Zielsysteme nur benötigte Ports Logging MFA Merksatz: VPN ist ein Eingang ins Netz, kein Freifahrtschein.
--- **Aufgabe 29** Ein Backup-Server soll besonders geschützt werden. Welche Regeln sind sinnvoll?
Antwort anzeigen Sinnvolle Grundidee: Nur Backup-Clients oder Backup-Agenten dürfen zum Backup-Server kommunizieren. Normale Benutzer dürfen nicht direkt auf Backup-Speicher zugreifen. Administration nur aus Adminnetz. Löschrechte stark begrenzen. Backup-Logs und Monitoring erlauben. Beispiel: | Quelle | Ziel | Aktion | Zweck | |---|---|---|---| | Backup-Clients | Backup-Server | erlauben | Sicherung durchführen | | Clientnetz | Backup-Speicher | blockieren | Schutz vor Manipulation | | Adminnetz | Backup-Server | erlauben | Administration | | Internet | Backup-Server | blockieren | Schutz vor Angriffen | Merksatz: Backups brauchen besonders strenge Zugriffskontrolle.
--- **Aufgabe 30** Warum ist eine Firewall-Regel ohne Zweck problematisch?
Antwort anzeigen Ohne Zweck ist später unklar: warum die Regel existiert ob sie noch benötigt wird wer verantwortlich ist ob sie entfernt werden kann welches Risiko sie abdeckt Folge: Regelwerke werden unübersichtlich und unsichere Altregeln bleiben bestehen. Merksatz: Jede Firewall-Regel braucht eine Begründung.
--- **Aufgabe 31** Was ist eine Regelwerksprüfung?
Antwort anzeigen Eine Regelwerksprüfung kontrolliert bestehende Firewall-Regeln. Geprüft wird: Ist die Regel noch nötig? Ist Quelle und Ziel genau genug? Ist der Port korrekt? Ist Any-to-Any vorhanden? Gibt es doppelte Regeln? Gibt es ungenutzte Regeln? Ist der Zweck dokumentiert? Gibt es Ablaufdaten für temporäre Regeln? Merksatz: Firewall-Regeln müssen regelmäßig aufgeräumt werden.
--- **Aufgabe 32** Was ist eine temporäre Firewall-Regel?
Antwort anzeigen Eine temporäre Regel ist nur für begrenzte Zeit gedacht. Beispiele: Wartung Migration Test Fehleranalyse Wichtig: Ablaufdatum dokumentieren Verantwortlichen nennen nach Nutzung entfernen Merksatz: Temporäre Regeln dürfen nicht dauerhaft vergessen werden.
--- **Aufgabe 33** Was ist Logging bei Firewall-Regeln?
Antwort anzeigen Logging bedeutet: Erlaubter oder blockierter Verkehr wird protokolliert. Nutzen: Fehlersuche Sicherheitsanalyse Nachvollziehbarkeit Erkennen von Angriffen Regelwerksprüfung Merksatz: Firewall-Logs zeigen, was wirklich passiert.
--- **Aufgabe 34** Ein Zugriff funktioniert nicht. Im Firewall-Log steht „Deny TCP 443“. Was bedeutet das?
Antwort anzeigen Bedeutung: Verkehr zu TCP 443 wurde blockiert. Prüfen: Ist der Zugriff gewollt? Quelle korrekt? Ziel korrekt? Regel fehlt? Regelreihenfolge falsch? falsche Zone? falscher Port? Merksatz: Deny im Log ist ein konkreter Hinweis, keine Vermutung.
--- **Aufgabe 35** Ein Zugriff soll blockiert sein, aber er funktioniert trotzdem. Was sollte geprüft werden?
Antwort anzeigen Prüfen: Gibt es eine frühere Allow-Regel? Regelreihenfolge korrekt? falsche Quelle oder falsches Ziel? falsche Zone? anderer Port oder anderes Protokoll? NAT verändert Ziel oder Quelle? Verbindung bereits bestehend bei Stateful Firewall? Logs prüfen Merksatz: Wenn Block nicht wirkt, Regelreihenfolge und Matching prüfen.
--- **Aufgabe 36** Welche Antwort ist besser? Aufgabe: Warum ist eine Any-to-Any-Regel unsicher? Antwort A: Weil sie zu offen ist. Antwort B: Eine Any-to-Any-Regel erlaubt Verkehr von jeder Quelle zu jedem Ziel. Dadurch werden Sicherheitszonen umgangen, die Angriffsfläche wird stark vergrößert und laterale Bewegung im Netzwerk wird erleichtert. Besser sind gezielte Regeln mit Quelle, Ziel, Protokoll, Port und Zweck.
Antwort anzeigen B ist besser. Begründung: Die Antwort nennt Risiko, Wirkung und bessere Maßnahme. Merksatz: Sicherheitsbewertung braucht Begründung.
--- **Aufgabe 37** Welche Antwort ist besser? Aufgabe: Warum soll ein Gastnetz nicht auf interne Server zugreifen? Antwort A: Weil Gäste fremd sind. Antwort B: Geräte im Gastnetz sind nicht vertrauenswürdig. Zugriff auf interne Server würde das Risiko für Datenabfluss, Malware-Ausbreitung und unberechtigten Zugriff erhöhen. Deshalb sollte das Gastnetz nur ins Internet dürfen und vom internen Netz getrennt werden.
Antwort anzeigen B ist besser. Begründung: Die Antwort nennt konkrete Risiken und eine passende Maßnahme. Merksatz: Risiko und Maßnahme verbinden.
--- **Aufgabe 38** Welche Antwort ist besser? Aufgabe: Eine Datenbank soll aus dem Internet erreichbar sein. Bewerten Sie das. Antwort A: Datenbank ist wichtig, also geht das. Antwort B: Das ist kritisch, weil eine öffentlich erreichbare Datenbank direkt Angriffen wie Brute Force, Exploits, Datenabfluss und Manipulation ausgesetzt ist. Besser ist, die Datenbank in einem privaten Netz zu betreiben und nur Zugriff vom Anwendungsserver auf den benötigten Port zu erlauben.
Antwort anzeigen B ist besser. Begründung: Die Antwort bewertet fachlich und nennt eine sichere Alternative. Merksatz: Öffentlich erreichbare Datenbanken vermeiden.
--- **Aufgabe 39** Welche Antwort ist besser? Aufgabe: Warum sollten Firewall-Regeln dokumentiert werden? Antwort A: Damit man mehr Unterlagen hat. Antwort B: Dokumentation macht nachvollziehbar, warum eine Regel existiert, wer verantwortlich ist, welchen Zweck sie erfüllt und ob sie noch benötigt wird. Dadurch können unsichere oder veraltete Regeln später entfernt werden.
Antwort anzeigen B ist besser. Begründung: Die Antwort erklärt den betrieblichen und sicherheitstechnischen Nutzen. Merksatz: Dokumentation hilft Sicherheit und Betrieb.
--- **Aufgabe 40** Welche Antwort ist besser? Aufgabe: Ein Dienst funktioniert nicht. Was prüfen Sie an der Firewall? Antwort A: Firewall an oder aus. Antwort B: Ich prüfe Quelle, Ziel, Protokoll, Port, Richtung, Zone, Regelreihenfolge und Firewall-Logs. Zusätzlich prüfe ich, ob NAT oder eine lokale Firewall auf dem Zielsystem beteiligt ist.
Antwort anzeigen B ist besser. Begründung: Die Antwort nennt konkrete Prüfpunkte und ist damit prüfungssicher. Merksatz: Firewall prüfen heißt: Regel-Matching konkret prüfen.
--- **Mini-Prüfung: vollständige Regelangaben** | Fehlende Angabe | Warum wichtig? | |---|---| | Quelle | bestimmt, wer senden darf | | Ziel | bestimmt, wohin gesendet wird | | Protokoll | TCP, UDP, ICMP unterscheiden | | Port | Dienst genau bestimmen | | Richtung | eingehend oder ausgehend | | Aktion | erlauben oder blockieren | | Zweck | spätere Nachvollziehbarkeit | | Zone | Sicherheitsbereich erkennen | --- **Mini-Prüfung: sichere Grundregeln** | Situation | Sichere Grundidee | |---|---| | Webserver öffentlich | nur TCP 443 zur DMZ erlauben | | Datenbank | nicht öffentlich, nur Appserver erlauben | | Gastnetz | Internet erlauben, intern blockieren | | Managementnetz | nur Adminnetz darf zugreifen | | VPN-Dienstleister | nur benötigte Ziele und Ports | | Backup-Server | kein normaler Benutzerzugriff | | DNS | Clientnetz zu DNS-Server UDP/TCP 53 | | RDP | nicht direkt aus Internet | | SMB | nicht breit zwischen allen Netzen | | temporäre Regel | Ablaufdatum und Verantwortlichen dokumentieren | --- **Mini-Prüfung: typische Fehlerbilder** | Fehlerbild | Wahrscheinliches Thema | |---|---| | Zugriff trotz Block-Regel möglich | Regelreihenfolge, falsches Matching | | Zugriff trotz Allow-Regel nicht möglich | Regelreihenfolge, Zone, Port, NAT, lokale Firewall | | nur ein Port funktioniert nicht | Firewall-Regel oder Dienst | | DMZ-Server erreicht internes Ziel nicht | DMZ-zu-intern-Regel fehlt | | Gastnetz erreicht interne Server | Zonentrennung fehlerhaft | | VPN-Benutzer sieht alles | Least Privilege fehlt | | Datenbank aus Internet erreichbar | kritische Fehlkonfiguration | | Backup-Speicher für Clients offen | Ransomware-Risiko | | Firewall-Regel unbekannter Zweck | Dokumentationsproblem | | Deny im Log | Firewall blockiert konkret | --- **Typische Prüfungsfallen** | Falle | Richtig denken | |---|---| | Portnummer ohne TCP/UDP | unvollständig | | Quelle und Ziel vergessen | Regel nicht prüfungssicher | | Any-to-Any als einfache Lösung | Sicherheitsrisiko | | DMZ mit internem Netz gleichsetzen | falsch, DMZ ist getrennte Zone | | VLAN ersetzt Firewall | falsch, VLAN trennt nur Layer 2 | | NAT ersetzt Firewall | falsch, NAT übersetzt | | RDP direkt ins Internet | hohes Risiko | | Datenbank öffentlich | hohes Risiko | | Gastnetz darf intern zugreifen | falsch | | temporäre Regel bleibt dauerhaft | Regelwerksrisiko | --- **IHK-sichere Kurzformulierung** Eine Firewall filtert Netzwerkverkehr anhand von Regeln. Eine vollständige Regel enthält Quelle, Ziel, Protokoll, Port, Richtung, Aktion und Zweck. Nach dem Default-Deny-Prinzip wird Verkehr standardmäßig blockiert und nur gezielt erlaubt. Any-to-Any-Regeln sind kritisch, weil sie Verkehr von jeder Quelle zu jedem Ziel erlauben, Sicherheitszonen umgehen und die Angriffsfläche erhöhen. Öffentlich erreichbare Dienste sollten in einer DMZ betrieben werden. Zugriffe aus der DMZ ins interne Netz müssen minimal und zweckgebunden erlaubt werden. Management-, Gast-, VPN- und Backup-Netze benötigen besonders klare Zugriffsbeschränkungen. Firewall-Logs, Regelreihenfolge und Dokumentation sind wichtig für Fehlersuche und Sicherheit. --- **Merksätze** Firewall filtert Verkehr. NAT übersetzt Adressen. VLAN trennt Layer 2. Firewall kontrolliert Verkehr zwischen Zonen. Default Deny ist sicherer als Default Allow. Erst blockieren, dann gezielt erlauben. Any-to-Any ist kritisch. Jede Regel braucht Quelle. Jede Regel braucht Ziel. Jede Regel braucht Protokoll. Jede Regel braucht Port. Jede Regel braucht Aktion. Jede Regel braucht Zweck. Portnummer ohne TCP oder UDP ist unvollständig. DMZ trennt öffentliche Dienste vom internen Netz. DMZ zu intern nur minimal erlauben. Gastnetz nicht ins interne Netz lassen. Managementnetz besonders schützen. VPN-Zugriff nach Least Privilege. Backup-Systeme besonders schützen. RDP nicht direkt ins Internet. SMB nicht breit freigeben. Datenbanken nicht öffentlich erreichbar machen. Regelreihenfolge beachten. Firewall-Logs auswerten. Temporäre Regeln mit Ablaufdatum dokumentieren. Unbenutzte Regeln entfernen. Gute Firewall-Antwort: Risiko, Regel, Wirkung.