Wichtig:
Wer den Bearer Token besitzt,
kann ihn oft verwenden.
Deshalb muss er wie ein Passwort geschützt werden.
Merksatz:
Bearer Token wie ein Passwort behandeln.
---
**Session**
Eine Session ist eine Sitzung zwischen Client und Anwendung.
Beispiel:
Benutzer meldet sich an.
Server erstellt Session.
Browser erhält Session-Cookie.
Weitere Anfragen werden dieser Session zugeordnet.
Sessions helfen,
einen Benutzer über mehrere Anfragen hinweg wiederzuerkennen.
Merksatz:
Session verbindet mehrere Anfragen zu einer Sitzung.
---
**Session-Cookie**
Ein Session-Cookie enthält häufig eine Session-ID.
Der Browser sendet dieses Cookie bei weiteren Anfragen mit.
Dadurch weiß der Server:
Diese Anfrage gehört zu dieser Sitzung.
Wichtig:
Session-Cookies müssen geschützt werden.
Merksatz:
Session-Cookie hält die Anmeldung über mehrere Anfragen fest.
---
**Sichere Cookie-Eigenschaften**
Wichtige Cookie-Sicherheitsattribute:
| Attribut | Bedeutung |
|---|---|
| Secure | Cookie nur über HTTPS senden |
| HttpOnly | Cookie nicht per JavaScript auslesbar |
| SameSite | Schutz gegen bestimmte Cross-Site-Angriffe |
| Expires / Max-Age | Ablaufzeit des Cookies |
Merksatz:
Sichere Cookies schützen Sitzungen.
---
**Session Hijacking**
Session Hijacking bedeutet:
Ein Angreifer übernimmt eine gültige Sitzung.
Das kann passieren,
wenn ein Session-Cookie gestohlen wird.
Mögliche Ursachen:
- unsichere Verbindung
- XSS-Schwachstelle
- unsichere Cookies
- gestohlener Token
- Malware auf Client
- unsichere Speicherung
Merksatz:
Wer eine Session übernimmt,
kann oft wie der Benutzer handeln.
---
**Session Timeout**
Ein Session Timeout beendet eine Sitzung nach einer bestimmten Zeit.
Gründe:
- Schutz bei vergessener Abmeldung
- Begrenzung gestohlener Sessions
- Ressourcen sparen
- Sicherheitsrichtlinie erfüllen
Beispiel:
Benutzer ist 30 Minuten inaktiv.
Anwendung meldet ihn ab.
Merksatz:
Timeout begrenzt die Lebensdauer einer Sitzung.
---
**Single Sign-on**
Single Sign-on wird kurz genannt:
SSO
SSO bedeutet:
Ein Benutzer meldet sich einmal an
und kann danach mehrere Dienste nutzen.
Beispiele:
- Anmeldung über Microsoft Entra ID
- Anmeldung über Active Directory
- Anmeldung über Google Workspace
- Anmeldung über zentralen Identitätsanbieter
Vorteil:
weniger separate Passwörter
zentrale Verwaltung
bessere Benutzerfreundlichkeit
Merksatz:
SSO = einmal anmelden,
mehrere Dienste nutzen.
---
**Identity Provider**
Ein Identity Provider wird kurz genannt:
IdP
Ein IdP stellt Identitäten bereit und bestätigt Anmeldungen.
Beispiele:
- Active Directory
- Microsoft Entra ID
- Keycloak
- Okta
- Google Workspace
Eine Anwendung kann dem IdP vertrauen,
statt eigene Benutzer vollständig selbst zu verwalten.
Merksatz:
IdP bestätigt die Identität für Anwendungen.
---
**Service Provider**
Ein Service Provider ist die Anwendung oder der Dienst,
der Zugriff gewährt.
Beispiel:
Benutzer meldet sich über IdP an.
Webanwendung vertraut dem IdP.
Webanwendung lässt Benutzer hinein.
Merksatz:
Service Provider nutzt Identitätsinformationen vom IdP.
---
**OAuth 2.0**
OAuth 2.0 ist ein Autorisierungsframework.
Es wird häufig verwendet,
damit Anwendungen Zugriff auf bestimmte Ressourcen erhalten können,
ohne direkt das Passwort des Benutzers zu kennen.
Beispiel:
Eine App darf auf Kalenderdaten zugreifen,
aber nicht auf das Passwort des Benutzers.
Merksatz:
OAuth 2.0 regelt delegierten Zugriff.
---
**OpenID Connect**
OpenID Connect baut auf OAuth 2.0 auf.
Es wird für Authentifizierung verwendet.
Kurz:
OAuth 2.0:
Zugriff erlauben
OpenID Connect:
Identität bestätigen
Merksatz:
OpenID Connect ergänzt OAuth um Anmeldung und Identität.
---
**SAML**
SAML steht für:
Security Assertion Markup Language
SAML wird häufig für Single Sign-on in Unternehmen verwendet.
Dabei tauschen Identitätsanbieter und Anwendung Anmeldeinformationen aus.
Typisch bei:
- Unternehmensanwendungen
- Cloud-Diensten
- älteren SSO-Umgebungen
Merksatz:
SAML ist ein verbreiteter SSO-Standard.
---
**Rollen**
Rollen bündeln Berechtigungen.
Beispiele:
- Benutzer
- Administrator
- Support
- Prüfer
- Projektleitung
- Gast
Ein Benutzer erhält eine Rolle,
und die Rolle enthält Rechte.
Merksatz:
Rolle = Sammlung von Berechtigungen.
---
**Rechte**
Rechte beschreiben konkrete erlaubte Aktionen.
Beispiele:
- lesen
- schreiben
- ändern
- löschen
- ausführen
- freigeben
- verwalten
- Benutzer anlegen
Merksatz:
Recht = konkrete erlaubte Aktion.
---
**Gruppen**
Gruppen bündeln Benutzer.
Beispiel:
Gruppe:
IT-Support
Mitglieder:
Felix
Maria
Jonas
Rechte werden häufig Gruppen zugewiesen,
nicht einzelnen Benutzern.
Vorteil:
einfacher zu verwalten
übersichtlicher
weniger Fehler
Merksatz:
Benutzer in Gruppen,
Rechte an Gruppen.
---
**RBAC**
RBAC steht für:
Role-Based Access Control
Das bedeutet:
Zugriff wird über Rollen gesteuert.
Beispiel:
Rolle Administrator:
darf Benutzer verwalten
Rolle Leser:
darf Inhalte lesen
Rolle Bearbeiter:
darf Inhalte ändern
Merksatz:
RBAC = Rechte über Rollen verwalten.
---
**Least Privilege**
Least Privilege bedeutet:
Benutzer und Dienste erhalten nur die Rechte,
die sie wirklich benötigen.
Beispiel:
Ein Dienst braucht nur Leserechte.
Dann bekommt er keine Schreibrechte.
Ziel:
Schaden begrenzen,
falls ein Konto missbraucht wird.
Merksatz:
Nur so viele Rechte wie nötig,
so wenige wie möglich.
---
**Need-to-know-Prinzip**
Need-to-know bedeutet:
Zugriff nur auf Informationen,
die für die Aufgabe benötigt werden.
Beispiel:
Personalabteilung darf Personaldaten sehen.
Andere Abteilungen nicht.
Merksatz:
Zugriff nur,
wenn er fachlich notwendig ist.
---
**Privileged Access**
Privileged Access bedeutet:
besonders mächtiger Zugriff.
Beispiele:
- Administratorrechte
- Domain-Admin
- Root-Zugriff
- Datenbankadministrator
- Cloud-Administrator
- Firewall-Administrator
Solche Zugriffe müssen besonders geschützt werden.
Merksatz:
Adminrechte sind besonders kritisch.
---
**Schutz für Admin-Konten**
Admin-Konten sollten besonders abgesichert werden.
Maßnahmen:
- MFA
- getrennte Admin-Konten
- kein tägliches Arbeiten mit Admin-Konto
- starke Protokollierung
- Zugriffsbeschränkung
- Least Privilege
- regelmäßige Prüfung
- keine geteilten Konten
Merksatz:
Admin-Konten besonders schützen und überwachen.
---
**Geteilte Konten**
Geteilte Konten sind Konten,
die von mehreren Personen genutzt werden.
Problem:
Aktionen sind schwer einer Person zuzuordnen.
Beispiel:
Alle nutzen admin.
Besser:
persönliche Konten
plus
gezielte Adminrechte
Merksatz:
Geteilte Konten vermeiden,
weil Nachvollziehbarkeit fehlt.
---
**Protokollierung**
Sicherheitsrelevante Anmeldungen und Zugriffe sollten protokolliert werden.
Wichtige Informationen:
- Benutzer
- Zeitpunkt
- Quelle
- Zielsystem
- erfolgreiche Anmeldung
- fehlgeschlagene Anmeldung
- Rechteänderung
- kritische Aktion
Merksatz:
Ohne Logs keine saubere Nachvollziehbarkeit.
---
**Brute-Force-Angriff**
Brute Force bedeutet:
viele Passwörter werden ausprobiert.
Ziel:
ein gültiges Passwort finden.
Gefährdet sind besonders:
- Weblogin
- SSH
- RDP
- VPN
- E-Mail
- Cloud-Konten
Schutzmaßnahmen:
- MFA
- Kontosperrung
- Rate Limiting
- starke Passwörter
- Monitoring
- IP-Beschränkung
- Fail2ban
Merksatz:
Brute Force wird durch Begrenzung und MFA erschwert.
---
**Phishing**
Phishing bedeutet:
Benutzer werden getäuscht,
um Zugangsdaten oder Tokens preiszugeben.
Beispiele:
- gefälschte Login-Seite
- angebliche Passwortänderung
- falsche Paketbenachrichtigung
- gefälschte Rechnung
- angeblicher IT-Support
Schutzmaßnahmen:
- Schulung
- MFA
- sichere Mailfilter
- Domainprüfung
- Passwortmanager
- Meldewege für verdächtige Mails
Merksatz:
Phishing greift den Menschen und die Anmeldung an.
---
**Credential Stuffing**
Credential Stuffing bedeutet:
Angreifer verwenden bekannte Zugangsdaten aus Datenlecks
bei anderen Diensten erneut.
Problem:
Viele Benutzer verwenden gleiche Passwörter mehrfach.
Schutzmaßnahmen:
- keine Passwortwiederverwendung
- MFA
- Passwortmanager
- Überwachung verdächtiger Logins
Merksatz:
Wiederverwendete Passwörter sind ein großes Risiko.
---
**Passwortspraying**
Beim Passwortspraying probiert ein Angreifer ein häufiges Passwort
gegen viele Benutzerkonten.
Beispiel:
Sommer2026!
gegen viele Konten.
Ziel:
Kontosperrungen vermeiden,
aber trotzdem Treffer finden.
Merksatz:
Passwortspraying testet wenige Passwörter gegen viele Konten.
---
**Account Lockout**
Account Lockout bedeutet:
Ein Konto wird nach mehreren Fehlversuchen gesperrt.
Ziel:
Brute-Force-Angriffe erschweren.
Wichtig:
Sperrregeln müssen sinnvoll eingestellt sein,
damit Angriffe erschwert werden,
aber Benutzer nicht unnötig blockiert werden.
Merksatz:
Kontosperrung begrenzt Passwortversuche.
---
**Rate Limiting**
Rate Limiting begrenzt,
wie viele Anfragen in einer bestimmten Zeit erlaubt sind.
Beispiel:
maximal 5 Loginversuche pro Minute
Ziel:
automatisierte Angriffe erschweren
Merksatz:
Rate Limiting bremst massenhafte Versuche.
---
**CAPTCHA**
CAPTCHA soll prüfen,
ob ein Benutzer wahrscheinlich ein Mensch ist.
Typische Nutzung:
- Login
- Registrierung
- Formular
- Passwortzurücksetzung
CAPTCHA kann automatisierte Angriffe erschweren,
ersetzt aber keine starke Authentifizierung.
Merksatz:
CAPTCHA erschwert Bots,
ersetzt aber keine Sicherheit.
---
**Passwortmanager**
Ein Passwortmanager speichert Passwörter verschlüsselt.
Vorteile:
- lange zufällige Passwörter
- weniger Passwortwiederverwendung
- einfacheres Verwalten vieler Konten
- Schutz vor Tippfehlern
- teilweise Schutz gegen Phishing durch Domainprüfung
Merksatz:
Passwortmanager helfen bei starken eindeutigen Passwörtern.
---
**Sichere Passwortregeln**
Sinnvolle Regeln:
- lange Passwörter erlauben
- Passwortmanager unterstützen
- bekannte kompromittierte Passwörter blockieren
- MFA nutzen
- keine unnötig kurzen Ablaufintervalle ohne Grund
- Passwortwiederverwendung vermeiden
Merksatz:
Lange eindeutige Passwörter plus MFA sind sehr stark.
---
**Anwendungssicherheit**
Anwendungssicherheit bedeutet:
Anwendungen so entwickeln,
konfigurieren und betreiben,
dass Missbrauch erschwert wird.
Typische Themen:
- sichere Anmeldung
- Rechteprüfung
- Eingabevalidierung
- Schutz vor SQL-Injection
- Schutz vor XSS
- sichere Sessions
- sichere APIs
- Logging
- Updates
- sichere Konfiguration
Merksatz:
Anwendungssicherheit schützt Dienste auf Schicht 7.
---
**SQL-Injection**
SQL-Injection ist ein Angriff,
bei dem schädliche Daten in eine Datenbankabfrage eingeschleust werden.
Beispiel sinngemäß:
Eingabefeld wird nicht geprüft.
Angreifer fügt SQL-Befehl ein.
Datenbank führt unerwünschte Abfrage aus.
Schutzmaßnahmen:
- parametrisierte Abfragen
- Eingabevalidierung
- minimale Datenbankrechte
- Fehlermeldungen nicht offenlegen
Merksatz:
SQL-Injection nutzt unsichere Datenbankeingaben aus.
---
**Cross-Site Scripting**
Cross-Site Scripting wird kurz genannt:
XSS
Dabei wird schädlicher Code in eine Webseite eingeschleust.
Ziel:
im Browser anderer Benutzer ausgeführt werden.
Mögliche Folgen:
- Session-Cookie stehlen
- Inhalte manipulieren
- Benutzeraktionen auslösen
- Phishing innerhalb der Anwendung
Schutzmaßnahmen:
- Ausgaben korrekt escapen
- Eingaben prüfen
- Content Security Policy
- HttpOnly-Cookies
- sichere Frameworks nutzen
Merksatz:
XSS greift Benutzer über die Webseite an.
---
**CSRF**
CSRF steht für:
Cross-Site Request Forgery
Dabei wird ein angemeldeter Benutzer dazu gebracht,
unbeabsichtigt eine Aktion in einer Webanwendung auszuführen.
Beispiel:
Benutzer ist angemeldet.
Angreifer bringt Browser dazu,
eine unerwünschte Anfrage zu senden.
Schutzmaßnahmen:
- CSRF-Token
- SameSite-Cookies
- Prüfung von Origin oder Referer
- kritische Aktionen bestätigen lassen
Merksatz:
CSRF missbraucht eine bestehende Anmeldung.
---
**Unsichere direkte Objektreferenz**
Eine unsichere direkte Objektreferenz entsteht,
wenn eine Anwendung nur eine ID prüft,
aber nicht die Berechtigung.
Beispiel:
/rechnung/1001
Benutzer ändert URL zu:
/rechnung/1002
Wenn die Anwendung nicht prüft,
ob Benutzer Rechnung 1002 sehen darf,
entsteht ein Sicherheitsproblem.
Merksatz:
Jede Ressource braucht Berechtigungsprüfung.
---
**Sichere APIs**
APIs müssen besonders sauber geschützt werden.
Wichtige Punkte:
- Authentifizierung
- Autorisierung
- sichere Tokens
- HTTPS
- Rate Limiting
- Eingabevalidierung
- saubere Fehlercodes
- keine geheimen Daten in Antworten
- Logging
- Versionierung
Merksatz:
API-Sicherheit ist Anwendungssicherheit auf Schnittstellenebene.
---
**Fehlermeldungen**
Fehlermeldungen sollten hilfreich,
aber nicht zu verräterisch sein.
Schlecht:
Datenbankfehler mit Tabellenname und SQL-Abfrage wird angezeigt.
Besser:
Allgemeine Fehlermeldung für Benutzer.
Details nur im geschützten Serverlog.
Merksatz:
Interne Details gehören in Logs,
nicht in öffentliche Fehlermeldungen.
---
**Updates und Patches**
Anwendungen und Abhängigkeiten müssen aktuell gehalten werden.
Risiken bei veralteter Software:
- bekannte Schwachstellen
- unsichere Bibliotheken
- veraltete Authentifizierungsverfahren
- fehlende Sicherheitsupdates
- Angriffe über bekannte Exploits
Merksatz:
Veraltete Anwendungen sind ein Sicherheitsrisiko.
---
**Sichere Konfiguration**
Auch sichere Software kann unsicher betrieben werden,
wenn sie falsch konfiguriert ist.
Beispiele:
- Standardpasswörter
- Debug-Modus aktiv
- offene Adminbereiche
- zu viele Rechte
- unsichere CORS-Regeln
- veraltete TLS-Versionen
- unnötige Dienste aktiv
- Verzeichnislisting aktiv
Merksatz:
Falsche Konfiguration kann sichere Software unsicher machen.
---
**Fehlersuche bei Anmeldung und Rechten**
Eine sinnvolle Reihenfolge:
1. Benutzer existiert?
2. Passwort oder Schlüssel korrekt?
3. Konto aktiv?
4. MFA korrekt?
5. Gruppe oder Rolle vorhanden?
6. Rechte korrekt?
7. Session oder Token gültig?
8. Zeit korrekt?
9. Dienst erreichbar?
10. Logs prüfen.
Merksatz:
Bei Loginproblemen Identität,
Faktor,
Rolle
und Logs prüfen.
---
**Fehlerbild: Anmeldung schlägt fehl**
Mögliche Ursachen:
- falsches Passwort
- Benutzername falsch
- Konto gesperrt
- Konto deaktiviert
- Passwort abgelaufen
- MFA fehlt
- falscher Identity Provider
- LDAP oder AD nicht erreichbar
- Zeitabweichung
- Token ungültig
Merksatz:
Loginfehler sind nicht immer nur Passwortfehler.
---
**Fehlerbild: Zugriff verweigert**
Mögliche Ursachen:
- Benutzer ist nicht in richtiger Gruppe
- Rolle fehlt
- Berechtigung fehlt
- Ressource gehört anderem Benutzer
- Richtlinie blockiert
- Token enthält falsche Rechte
- Anwendung prüft Rechte fehlerhaft
- alte Session enthält alte Rechte
Merksatz:
Zugriff verweigert = Autorisierung prüfen.
---
**Fehlerbild: Benutzer ist angemeldet, sieht aber nichts**
Mögliche Ursachen:
- keine Gruppenmitgliedschaft
- falsche Rolle
- fehlende Lizenz
- falscher Mandant
- Berechtigungen nicht synchronisiert
- Anwendung filtert Daten nach Rechten
- Session muss erneuert werden
Merksatz:
Erfolgreiche Anmeldung bedeutet noch keine sichtbaren Berechtigungen.
---
**Fehlerbild: MFA funktioniert nicht**
Mögliche Ursachen:
- falsches Gerät registriert
- Uhrzeit falsch
- Token abgelaufen
- Benutzer hat neues Smartphone
- Push-Benachrichtigung blockiert
- Konto nicht korrekt für MFA registriert
- Netzwerkverbindung fehlt
Merksatz:
MFA-Probleme mit Gerät,
Zeit,
Registrierung
und Konto prüfen.
---
**Fehlerbild: Token abgelaufen**
Mögliche Ursachen:
- Ablaufzeit erreicht
- Benutzer wurde abgemeldet
- Refresh Token ungültig
- Systemzeit falsch
- Token wurde widerrufen
- Session wurde beendet
Merksatz:
Tokens haben Lebensdauer und können widerrufen werden.
---
**Einordnung in das OSI-Modell**
| Thema | Schicht |
|---|---:|
| Loginformular | 7 |
| API-Token | 7 |
| Session-Cookie | 7 mit Schicht-5-Bezug |
| LDAP-Anmeldung | 7 |
| OAuth / OpenID Connect | 7 |
| SAML | 7 |
| TLS-Schutz | 6 mit Schicht-7-Bezug |
| TCP-Port | 4 |
| IP-Adresse | 3 |
| Benutzerrechte | 7 / Anwendungsebene |
Merksatz:
Anmeldung und Rechte sind typische Schicht-7-Themen.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was bedeutet Authentifizierung?
- Was bedeutet Autorisierung?
- Was ist der Unterschied zwischen Authentifizierung und Autorisierung?
- Was ist MFA?
- Warum ist MFA sinnvoll?
- Was ist ein Token?
- Was ist eine Session?
- Was ist ein Session-Cookie?
- Was bedeutet Single Sign-on?
- Was ist ein Identity Provider?
- Was ist Least Privilege?
- Warum sollten Rechte über Gruppen vergeben werden?
- Warum sind geteilte Admin-Konten problematisch?
- Was ist Brute Force?
- Was ist Phishing?
- Was ist SQL-Injection?
- Was ist XSS?
- Warum sind sichere Fehlermeldungen wichtig?
---
**Typische Prüfungsfallen**
Authentifizierung ist nicht Autorisierung.
Anmeldung bedeutet nicht automatisch Zugriff.
Rechte müssen pro Ressource geprüft werden.
MFA erhöht die Sicherheit deutlich.
Token müssen wie Passwörter geschützt werden.
Session-Cookies müssen sicher gesetzt werden.
HTTPS ist wichtig für Login und Tokens.
Bearer Token kann von jedem genutzt werden,
der ihn besitzt.
Geteilte Konten erschweren Nachvollziehbarkeit.
Adminrechte besonders schützen.
Least Privilege immer beachten.
Gruppen erleichtern Rechteverwaltung.
Phishing greift oft Zugangsdaten an.
SQL-Injection betrifft unsichere Datenbankeingaben.
XSS betrifft unsichere Ausgaben im Browser.
CSRF missbraucht bestehende Sitzungen.
Fehlermeldungen dürfen keine internen Details verraten.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| Authentifizierung | Identität prüfen |
| Autorisierung | Rechte prüfen |
| Identität | Benutzer, Dienst oder System |
| Benutzerkonto | digitale Identität eines Benutzers |
| Dienstkonto | Konto für Anwendungen oder Dienste |
| Passwort | geheimer Identitätsnachweis |
| Passwort-Hash | Einweg-Prüfwert eines Passworts |
| Salt | zusätzlicher Zufallswert beim Hashing |
| MFA | Multi-Faktor-Authentifizierung |
| OTP | Einmalpasswort |
| Token | digitaler Zugriffsnachweis |
| Bearer Token | nutzbarer Zugriffstoken |
| Session | Sitzung zwischen Client und Anwendung |
| Session-Cookie | Cookie zur Sitzungszuordnung |
| SSO | Single Sign-on |
| IdP | Identity Provider |
| RBAC | rollenbasierte Zugriffskontrolle |
| Least Privilege | nur notwendige Rechte |
| Brute Force | massenhaftes Passwortprobieren |
| Phishing | Täuschung zur Datenerbeutung |
| SQL-Injection | Einschleusen von SQL-Befehlen |
| XSS | Einschleusen von Code in Webseiten |
| CSRF | Missbrauch bestehender Anmeldung |
---
**IHK-sichere Kurzformulierung**
Authentifizierung und Autorisierung sind zentrale Sicherheitskonzepte auf der Anwendungsschicht. Authentifizierung prüft die Identität eines Benutzers, Dienstes oder Systems. Autorisierung prüft anschließend, welche Rechte diese Identität besitzt. Eine erfolgreiche Anmeldung bedeutet daher nicht automatisch, dass ein Benutzer alle Aktionen durchführen darf. Multi-Faktor-Authentifizierung erhöht die Sicherheit, weil neben dem Passwort ein weiterer Faktor benötigt wird. Rechte sollten möglichst über Gruppen oder Rollen vergeben werden und dem Least-Privilege-Prinzip folgen. Tokens, Session-Cookies und Passwörter müssen geschützt werden, da sie Zugriff auf Anwendungen und Dienste ermöglichen können.
---
**Merksätze**
Authentifizierung = Wer bist du?
Autorisierung = Was darfst du?
Erst Identität,
dann Rechte.
Anmeldung ist nicht gleich Berechtigung.
Benutzerkonto = digitale Identität.
Dienstkonto = Konto für Dienste.
Passwörter nicht im Klartext speichern.
Passwort-Hash schützt gespeicherte Passwörter.
Salt macht Hashes robuster.
MFA kombiniert mehrere Faktoren.
OTP = Einmalpasswort.
Token = digitaler Zugriffsnachweis.
Bearer Token wie Passwort schützen.
Session verbindet mehrere Anfragen.
Session-Cookie schützt Anmeldung.
Secure,
HttpOnly
und SameSite schützen Cookies.
SSO = einmal anmelden,
mehrere Dienste nutzen.
IdP bestätigt Identität.
OAuth regelt delegierten Zugriff.
OpenID Connect ergänzt Anmeldung.
RBAC verwaltet Rechte über Rollen.
Least Privilege = nur notwendige Rechte.
Admin-Konten besonders schützen.
Geteilte Konten vermeiden.
Brute Force probiert Passwörter.
Phishing täuscht Benutzer.
SQL-Injection nutzt unsichere Eingaben.
XSS greift Benutzer im Browser an.
CSRF missbraucht bestehende Sitzungen.
Anwendungssicherheit ist Schicht-7-Sicherheit.
# 10.10 Fehlersuche auf OSI-Schicht 7
OSI-Schicht 7 ist die Anwendungsschicht.
Auf dieser Schicht prüft man nicht mehr nur:
Kommt eine Verbindung zustande?
Sondern zusätzlich:
Funktioniert der konkrete Dienst?
Antwortet die Anwendung korrekt?
Stimmen Anmeldung, Rechte, Daten und Protokoll?
Typische Schicht-7-Dienste sind:
- HTTP / HTTPS
- DNS
- DHCP
- SMTP
- IMAP
- POP3
- FTP
- SFTP
- SMB
- LDAP
- SNMP
- NTP
- SSH
- RDP
- APIs
Merksatz:
Schicht 7 prüft den Dienst,
nicht nur die Verbindung.
---
**Grundidee der Schicht-7-Fehlersuche**
Bei Schicht 7 geht es um die konkrete Anwendungskommunikation.
Ein Port kann erreichbar sein,
aber der Dienst kann trotzdem nicht richtig funktionieren.
Beispiel:
TCP 443 ist offen,
aber die Webseite zeigt HTTP 500.
Oder:
DNS-Server ist erreichbar,
aber der Name wird falsch aufgelöst.
Oder:
SMB-Port 445 ist erreichbar,
aber der Benutzer hat keine Berechtigung.
Merksatz:
Offener Port bedeutet nicht automatisch:
Anwendung funktioniert.
---
**Schicht 7 erst prüfen, wenn die unteren Schichten passen**
Vor der Schicht-7-Fehlersuche sollte man prüfen:
Schicht 1:
physische Verbindung vorhanden?
Schicht 2:
richtige MAC-Kommunikation, VLAN, Switch?
Schicht 3:
IP-Adresse, Subnetz, Gateway, Routing?
Schicht 4:
TCP- oder UDP-Port erreichbar?
Erst danach prüft man genauer:
Dienst,
Protokoll,
Anmeldung,
Antwort,
Daten,
Rechte,
Logs.
Merksatz:
Erst unten prüfen,
dann oben analysieren.
---
**Typische Abgrenzung nach Schichten**
| Fehlerbild | wahrscheinliche Schicht |
|---|---:|
| Kein Link | 1 |
| Falsches VLAN | 2 |
| Kein Gateway erreichbar | 3 |
| Port nicht erreichbar | 4 |
| Zertifikatswarnung | 6 |
| HTTP 404 oder 500 | 7 |
| Login funktioniert nicht | 7 |
| Zugriff verweigert | 7 |
| DNS löst falsch auf | 7 |
| Mail landet im Spam | 7 |
| API lehnt Anfrage ab | 7 |
Merksatz:
Schicht-7-Fehler betreffen Inhalt,
Dienst,
Anmeldung
oder Berechtigung.
---
**Wichtige Prüffragen auf Schicht 7**
Bei Anwendungsschichtproblemen stellt man Fragen wie:
Läuft der Dienst?
Antwortet der Dienst korrekt?
Wird das richtige Protokoll verwendet?
Wird der richtige Hostname verwendet?
Ist die URL korrekt?
Ist die Anmeldung korrekt?
Hat der Benutzer die nötigen Rechte?
Sind Zertifikate gültig?
Stimmen Header, Methode und Datenformat?
Gibt es Logs?
Gibt es eine Fehlermeldung?
Betrifft es alle Benutzer oder nur einzelne?
Merksatz:
Schicht 7 fragt:
Was macht der Dienst genau?
---
**Dienst läuft oder läuft nicht**
Ein häufiger Fehler ist:
Netzwerk funktioniert,
aber Dienst läuft nicht.
Beispiele:
Webserver gestoppt
Datenbank nicht erreichbar
SSH-Dienst deaktiviert
Maildienst gestört
DNS-Dienst nicht gestartet
Backend-Container nicht aktiv
Anwendung abgestürzt
Typisches Fehlerbild:
Host erreichbar,
aber Dienst antwortet nicht richtig.
Merksatz:
Erreichbarer Server heißt nicht:
Dienst läuft.
---
**Falsches Protokoll**
Manchmal wird das falsche Protokoll verwendet.
Beispiele:
http:// statt https://
FTP statt SFTP
LDAP statt LDAPS
IMAP statt POP3
SMB-Pfad statt SFTP-Zugriff
HTTPS zum Backend,
obwohl Backend nur HTTP spricht
Merksatz:
Falsches Protokoll kann wie ein Verbindungsfehler aussehen.
---
**Falscher Port**
Ein Dienst kann auf einem anderen Port laufen als erwartet.
Beispiele:
Webserver läuft auf TCP 8080 statt TCP 80.
Adminoberfläche läuft auf TCP 8443 statt TCP 443.
SSH läuft auf anderem Port als TCP 22.
Anwendung läuft intern auf Port 3000,
extern aber über Reverse Proxy auf 443.
Merksatz:
Immer prüfen:
Welcher Dienst lauscht auf welchem Port?
---
**Falscher Hostname**
Bei vielen Diensten ist der Hostname wichtig.
Beispiele:
HTTPS-Zertifikat muss zum Hostnamen passen.
Reverse Proxy entscheidet über Host-Header.
Virtuelle Hosts liefern je nach Hostname andere Inhalte.
DNS kann intern und extern unterschiedlich auflösen.
Fehlerbild:
IP ist erreichbar,
aber falsche Webseite oder falsches Zertifikat erscheint.
Merksatz:
Hostname ist auf Schicht 7 oft entscheidend.
---
**DNS-Fehler auf Schicht 7**
DNS-Probleme sind typische Schicht-7-Probleme.
Fehlerbilder:
Name löst nicht auf.
Name löst auf falsche IP auf.
Interne und externe Antwort unterscheiden sich.
DNS-Cache ist veraltet.
MX-Record fehlt.
CNAME zeigt falsch.
AAAA-Record zeigt auf nicht erreichbares IPv6-Ziel.
Prüffragen:
Welcher DNS-Server wird gefragt?
Welche Antwort liefert er?
Ist die Antwort intern und extern gleich?
Ist der Cache noch aktiv?
Stimmt die TTL?
Merksatz:
IP geht,
Name nicht:
DNS prüfen.
---
**HTTP-Fehler auf Schicht 7**
Bei Webdiensten sind HTTP-Statuscodes sehr hilfreich.
Wichtige Beispiele:
| Statuscode | Bedeutung |
|---:|---|
| 200 | OK |
| 301 / 302 | Weiterleitung |
| 400 | fehlerhafte Anfrage |
| 401 | nicht authentifiziert |
| 403 | verboten |
| 404 | nicht gefunden |
| 405 | Methode nicht erlaubt |
| 429 | zu viele Anfragen |
| 500 | interner Serverfehler |
| 502 | Bad Gateway |
| 503 | Dienst nicht verfügbar |
| 504 | Gateway Timeout |
Merksatz:
HTTP-Statuscodes sind wichtige Schicht-7-Hinweise.
---
**401 und 403 bei der Fehlersuche**
401 bedeutet:
Benutzer ist nicht authentifiziert.
Typische Ursachen:
- nicht angemeldet
- Token fehlt
- Token ungültig
- Session abgelaufen
- falsche Zugangsdaten
403 bedeutet:
Benutzer ist bekannt,
aber nicht berechtigt.
Typische Ursachen:
- Rolle fehlt
- Gruppe fehlt
- Zugriff verboten
- Richtlinie blockiert
- Ressource nicht erlaubt
Merksatz:
401 = Anmeldung fehlt.
403 = Rechte fehlen.
---
**404 bei der Fehlersuche**
404 bedeutet:
Ressource nicht gefunden.
Mögliche Ursachen:
- falscher Pfad
- falsche URL
- Route fehlt
- Datei existiert nicht
- Reverse Proxy leitet falsch weiter
- Anwendung erwartet anderen Basis-Pfad
- Tippfehler im Link
Merksatz:
404 heißt:
Unter diesem Pfad wurde nichts gefunden.
---
**500 bei der Fehlersuche**
500 bedeutet:
interner Serverfehler.
Mögliche Ursachen:
- Fehler in der Anwendung
- Datenbank nicht erreichbar
- Konfigurationsfehler
- fehlende Rechte
- Programmfehler
- Speicherproblem
- Abhängigkeit nicht verfügbar
Merksatz:
500 ist meist ein Problem der Anwendung oder des Servers.
---
**502, 503 und 504 bei Reverse Proxys**
Diese Fehler treten häufig bei Reverse Proxys auf.
| Statuscode | typische Bedeutung |
|---:|---|
| 502 | Proxy bekommt keine gültige Antwort vom Backend |
| 503 | Dienst aktuell nicht verfügbar |
| 504 | Gateway wartet zu lange auf Backend |
Typische Ursachen:
- Backend läuft nicht
- falscher Backend-Port
- falsches Protokoll zum Backend
- Backend überlastet
- Timeout
- falscher Container-Name
- internes DNS-Problem
- Firewall blockiert intern
Merksatz:
Bei 502, 503 und 504 Proxy und Backend prüfen.
---
**API-Fehler auf Schicht 7**
APIs haben typische Fehlerquellen.
Prüfpunkte:
- richtige URL?
- richtige HTTP-Methode?
- richtiger Content-Type?
- gültiges JSON?
- Authorization-Header vorhanden?
- Token gültig?
- Berechtigung vorhanden?
- API-Version korrekt?
- Rate Limit erreicht?
- Pflichtfelder vorhanden?
Typische Fehler:
400 Bad Request
401 Unauthorized
403 Forbidden
404 Not Found
405 Method Not Allowed
429 Too Many Requests
500 Internal Server Error
Merksatz:
API-Fehler mit Methode,
Header,
Body,
Token
und Statuscode prüfen.
---
**Datenformatfehler**
Schicht 7 ist oft eng mit Schicht 6 verbunden.
Fehler können entstehen durch:
- ungültiges JSON
- ungültiges XML
- falscher Content-Type
- falsche Zeichencodierung
- fehlende Pflichtfelder
- falsches Datumsformat
- falscher Dezimaltrenner
- falsche Groß- und Kleinschreibung
- unerwartete Sonderzeichen
Merksatz:
Anwendung versteht Daten nur,
wenn Format und Inhalt passen.
---
**Authentifizierungsfehler**
Authentifizierung prüft:
Wer bist du?
Typische Fehler:
- falscher Benutzername
- falsches Passwort
- Konto gesperrt
- Konto deaktiviert
- Passwort abgelaufen
- MFA fehlt
- Token ungültig
- Zertifikat ungültig
- falscher Identity Provider
- Zeitabweichung
Merksatz:
Loginfehler sind nicht immer nur Passwortfehler.
---
**Autorisierungsfehler**
Autorisierung prüft:
Was darfst du?
Typische Fehler:
- Benutzer nicht in richtiger Gruppe
- Rolle fehlt
- Berechtigung fehlt
- Freigaberecht fehlt
- Dateisystemrecht fehlt
- API-Scope fehlt
- Richtlinie blockiert
- Mandant falsch
- alte Session enthält alte Rechte
Merksatz:
Zugriff verweigert bedeutet:
Rechte prüfen.
---
**Session-Fehler**
Sessions verbinden mehrere Anfragen zu einer Sitzung.
Typische Fehlerbilder:
Benutzer wird ständig ausgeloggt.
Login-Schleife.
Warenkorb wird vergessen.
Session läuft sofort ab.
Benutzer sieht falschen Zustand.
Zugriff funktioniert nur in einem Browser.
Mögliche Ursachen:
- Cookie wird blockiert
- Cookie-Domain falsch
- Cookie-Pfad falsch
- SameSite-Problem
- Secure-Flag fehlt oder passt nicht
- Zeitabweichung
- Session-Speicher gestört
- Load Balancer ohne Session-Stickiness
Merksatz:
Login-Schleifen sind oft Cookie- oder Session-Probleme.
---
**TLS- und Zertifikatsfehler**
Auch wenn TLS eher Schicht 6 zugeordnet wird,
wirkt es stark auf Schicht 7.
Typische Fehler:
- Zertifikat abgelaufen
- Name passt nicht
- CA nicht vertrauenswürdig
- Zwischenzertifikat fehlt
- falsche Systemzeit
- TLS-Version zu alt
- Cipher Suite passt nicht
- Reverse Proxy liefert falsches Zertifikat
Merksatz:
HTTPS-Probleme immer mit Zertifikat,
Name
und Zeit prüfen.
---
**Mailprobleme auf Schicht 7**
E-Mail nutzt mehrere Anwendungsschichtprotokolle.
Typische Fehlerbilder:
Mail kann nicht gesendet werden.
Mail kann nicht empfangen werden.
Mail landet im Spam.
Mail kommt verzögert an.
Mailclient kann sich nicht anmelden.
Zertifikatswarnung im Mailclient.
NDR wird erzeugt.
Prüfpunkte:
SMTP
IMAP
POP3
MX
SPF
DKIM
DMARC
TLS
Authentifizierung
Spamfilter
Postfachgröße
Mailserver-Logs
Merksatz:
Mailfehler mit Protokoll,
DNS,
Authentifizierung
und Logs prüfen.
---
**SMB-Fehler auf Schicht 7**
SMB wird für Datei- und Druckerfreigaben genutzt.
Typische Fehler:
Freigabe nicht erreichbar.
Zugriff verweigert.
Netzlaufwerk verbindet nicht.
Datei kann nicht gespeichert werden.
Datei ist gesperrt.
Benutzer sieht Freigabe nicht.
Prüfpunkte:
DNS-Name
TCP 445
SMB-Dienst
Freigabename
Benutzerkonto
Gruppe
Freigaberecht
Dateisystemrecht
gespeicherte Anmeldedaten
SMB-Version
Merksatz:
SMB-Fehler oft mit Name,
Port,
Anmeldung
und Rechten prüfen.
---
**LDAP-Fehler auf Schicht 7**
LDAP wird für Verzeichnisdienste genutzt.
Typische Fehler:
Benutzer wird nicht gefunden.
Anmeldung schlägt fehl.
Gruppen werden nicht erkannt.
Anwendung kann LDAP nicht verbinden.
LDAPS-Zertifikat wird abgelehnt.
Prüfpunkte:
LDAP-Server
Port 389 oder 636
Base-DN
Bind-Benutzer
Passwort
Suchfilter
Gruppenpfad
Zertifikat bei LDAPS
Firewall
DNS
Merksatz:
LDAP-Fehler mit Bind,
Base-DN,
Filter
und Zertifikat prüfen.
---
**SNMP-Fehler auf Schicht 7**
SNMP wird für Monitoring genutzt.
Typische Fehler:
Gerät wird als down angezeigt.
Werte werden nicht gelesen.
Interface-Daten fehlen.
Traps kommen nicht an.
Monitoring zeigt falsche Werte.
Prüfpunkte:
SNMP-Agent aktiv?
richtige SNMP-Version?
Community-String korrekt?
SNMPv3-Benutzer korrekt?
UDP 161 erlaubt?
UDP 162 für Traps erlaubt?
OID vorhanden?
MIB korrekt?
Zugriff vom Monitoring-Server erlaubt?
Merksatz:
SNMP-Fehler mit Version,
Zugangsdaten,
Port
und OID prüfen.
---
**NTP-Fehler auf Schicht 7**
NTP synchronisiert Zeit.
Typische Fehlerbilder:
Systemzeit falsch.
Zertifikate wirken ungültig.
Kerberos-Anmeldung schlägt fehl.
Logs passen zeitlich nicht zusammen.
Monitoring-Zeitstempel stimmen nicht.
Prüfpunkte:
NTP-Server erreichbar?
UDP 123 erlaubt?
DNS-Name des Zeitservers korrekt?
Zeitzone korrekt?
Zeitquelle vertrauenswürdig?
Zeitabweichung zu groß?
VM-Zeitquelle korrekt?
Merksatz:
Falsche Zeit kann viele scheinbar andere Fehler verursachen.
---
**SSH-Fehler auf Schicht 7**
SSH dient sicherem Fernzugriff.
Typische Fehler:
Timeout
Connection refused
Permission denied
Host-Key-Warnung
falscher Schlüssel
Benutzer darf nicht anmelden
Dienst läuft nicht
Prüfpunkte:
TCP 22 erreichbar?
SSH-Dienst aktiv?
richtiger Benutzer?
richtiger Schlüssel?
richtige Dateirechte?
Host-Key plausibel?
Firewall erlaubt Zugriff?
Loginmethode erlaubt?
Merksatz:
SSH-Fehler mit Port,
Dienst,
Benutzer,
Schlüssel
und Host-Key prüfen.
---
**RDP-Fehler auf Schicht 7**
RDP dient grafischem Fernzugriff.
Typische Fehler:
Verbindung nicht möglich.
Anmeldung abgelehnt.
RDP ist langsam.
Sitzung wird getrennt.
NLA-Fehler.
Benutzer hat keine Berechtigung.
Prüfpunkte:
TCP 3389 erreichbar?
Remote Desktop aktiviert?
Benutzer berechtigt?
NLA kompatibel?
VPN verbunden?
Firewall erlaubt Zugriff?
Konto gesperrt?
Server überlastet?
Merksatz:
RDP-Fehler mit Verbindung,
Anmeldung,
Berechtigung
und Richtlinien prüfen.
---
**DHCP-Fehler auf Schicht 7**
DHCP ist ein Anwendungsschichtprotokoll,
liefert aber Schicht-3-Konfiguration.
Typische Fehler:
Client bekommt keine IP.
Client bekommt falsche IP.
Client bekommt 169.254.x.x.
Gateway ist falsch.
DNS ist falsch.
Manche VLANs funktionieren nicht.
Prüfpunkte:
DHCP-Server aktiv?
DHCP-Scope vorhanden?
Adressen frei?
DHCP-Relay korrekt?
VLAN korrekt?
UDP 67/68 erlaubt?
Rogue-DHCP vorhanden?
DHCP-Optionen korrekt?
Merksatz:
DHCP-Fehler mit VLAN,
Scope,
Relay
und Optionen prüfen.
---
**Logs sind auf Schicht 7 besonders wichtig**
Auf Schicht 7 liefern Logs oft die beste Information.
Wichtige Logs:
- Webserver-Logs
- Anwendungslogs
- Authentifizierungslogs
- Mailserver-Logs
- DNS-Logs
- DHCP-Logs
- LDAP-Logs
- Reverse-Proxy-Logs
- Firewall-Logs
- Monitoring-Logs
- Systemlogs
Logs zeigen oft:
- Statuscode
- Fehlermeldung
- Benutzer
- Zeit
- Quelle
- Ziel
- Pfad
- angefragte Ressource
- Authentifizierungsgrund
- Backend-Fehler
Merksatz:
Ohne Logs bleibt Schicht-7-Fehlersuche oft ungenau.
---
**Fehlermeldungen richtig lesen**
Fehlermeldungen liefern wichtige Hinweise.
Beispiele:
| Meldung | mögliche Bedeutung |
|---|---|
| Unauthorized | nicht angemeldet oder Token ungültig |
| Forbidden | keine Berechtigung |
| Not Found | Ressource oder Pfad fehlt |
| Bad Gateway | Proxy erreicht Backend nicht sauber |
| Connection refused | Dienst nimmt Verbindung nicht an |
| Timeout | keine Antwort innerhalb der Zeit |
| Invalid credentials | Zugangsdaten falsch |
| Certificate expired | Zertifikat abgelaufen |
| Name mismatch | Zertifikat passt nicht zum Namen |
Merksatz:
Fehlermeldung nicht ignorieren,
sondern technisch einordnen.
---
**Fehler nur bei einem Benutzer**
Wenn ein Problem nur bei einem Benutzer auftritt,
prüft man eher:
- Benutzerkonto
- Passwort
- MFA
- Gruppenmitgliedschaften
- Rollen
- Berechtigungen
- Session
- gespeicherte Anmeldedaten
- Clientprofil
- Browsercache
- lokale Einstellungen
Merksatz:
Einzelner Benutzer betroffen:
Konto und Rechte prüfen.
---
**Fehler bei allen Benutzern**
Wenn alle Benutzer betroffen sind,
prüft man eher:
- Dienst läuft?
- Server erreichbar?
- DNS korrekt?
- Zertifikat gültig?
- Datenbank erreichbar?
- Backend verfügbar?
- zentrale Authentifizierung erreichbar?
- Reverse Proxy korrekt?
- Lizenz oder Ressourcenproblem?
- allgemeine Störung?
Merksatz:
Alle betroffen:
Dienst, Server oder zentrale Infrastruktur prüfen.
---
**Fehler nur intern oder nur extern**
Wenn ein Dienst intern funktioniert,
extern aber nicht,
prüft man:
- externes DNS
- Firewall
- NAT
- Reverse Proxy
- Zertifikat
- öffentliche IP
- Portweiterleitung
- Geo- oder Zugriffsbeschränkung
Wenn ein Dienst extern funktioniert,
intern aber nicht,
prüft man:
- internes DNS
- Split DNS
- Hairpin NAT
- interne Firewall
- Proxy-Einstellungen
- Routing intern
- Zertifikat und Hostname intern
Merksatz:
Intern und extern getrennt prüfen.
---
**Fehler nur in einem Browser**
Mögliche Ursachen:
- Browsercache
- Cookies
- gespeicherte Zugangsdaten
- Erweiterungen
- CORS-Verhalten
- alte Session
- Zertifikatsspeicher
- Proxy-Einstellungen
- HSTS-Eintrag
Merksatz:
Browserabhängige Fehler oft mit Cache,
Cookies
und Erweiterungen prüfen.
---
**Fehler nur auf einem Client**
Mögliche Ursachen:
- falsche DNS-Einstellung
- falsche Systemzeit
- veraltetes Zertifikat
- lokale Firewall
- Proxy-Einstellung
- VPN aktiv oder inaktiv
- falsche gespeicherte Anmeldedaten
- veraltete Anwendung
- defektes Profil
Merksatz:
Einzelner Client betroffen:
lokale Einstellungen prüfen.
---
**Fehler nach Änderung**
Nach Änderungen prüft man zuerst,
was geändert wurde.
Beispiele:
DNS geändert
Zertifikat erneuert
Passwort geändert
Gruppe geändert
Firewall angepasst
Anwendung aktualisiert
Reverse Proxy geändert
Datenbank verschoben
Container neu gestartet
Port geändert
Lizenz geändert
Merksatz:
Nach Änderung zuerst Änderung prüfen.
---
**Systematische Schicht-7-Fehlersuche**
Eine sinnvolle Reihenfolge:
1. Fehlermeldung genau lesen.
2. Betroffene Benutzer und Systeme eingrenzen.
3. Dienst und Protokoll bestimmen.
4. DNS und Hostname prüfen.
5. IP-Erreichbarkeit prüfen.
6. Port prüfen.
7. TLS oder Zertifikat prüfen.
8. Anwendung oder Dienst prüfen.
9. Anmeldung prüfen.
10. Berechtigung prüfen.
11. Datenformat oder Anfrage prüfen.
12. Logs prüfen.
13. letzte Änderungen prüfen.
Merksatz:
Erst eingrenzen,
dann Schicht für Schicht prüfen.
---
**Typische Werkzeuge**
| Werkzeug | Zweck |
|---|---|
| Browser-Entwicklertools | HTTP-Status, Header, Cookies, Netzwerk |
| curl | HTTP/API testen |
| nslookup | DNS einfach prüfen |
| dig | DNS detailliert prüfen |
| ping | IP-Erreichbarkeit grob prüfen |
| traceroute / tracert | Weg zum Ziel prüfen |
| telnet / nc | TCP-Port testen |
| openssl s_client | TLS-Zertifikat prüfen |
| ssh -v | SSH-Verbindung detailliert prüfen |
| Ereignisanzeige | Windows-Logs prüfen |
| journalctl | Linux-Systemlogs prüfen |
| Webserver-Logs | HTTP-Anfragen prüfen |
| Mailserver-Logs | E-Mail-Zustellung prüfen |
Merksatz:
Das richtige Werkzeug hängt vom Dienst ab.
---
**curl für Webfehler**
curl kann HTTP-Antworten prüfen.
Typische Prüfpunkte:
- Statuscode
- Header
- Weiterleitung
- TLS-Fehler
- Antwortinhalt
- API-Antwort
Beispielgedanke:
Was antwortet der Server wirklich?
Merksatz:
curl zeigt,
was ein Webdienst tatsächlich zurückgibt.
---
**Browser-Entwicklertools**
Browser-Entwicklertools helfen bei Webproblemen.
Sie zeigen unter anderem:
- HTTP-Requests
- HTTP-Responses
- Statuscodes
- Header
- Cookies
- Ladezeiten
- CORS-Fehler
- JavaScript-Fehler
- blockierte Inhalte
Merksatz:
Browser-Entwicklertools sind wichtig für Web-Schicht-7-Fehler.
---
**openssl s_client**
Mit openssl s_client kann man TLS-Verbindungen prüfen.
Typische Informationen:
- Zertifikat
- Zertifikatskette
- TLS-Version
- Cipher
- Name und Zertifikat
- Ablaufdatum
Besonders hilfreich bei:
- HTTPS
- LDAPS
- IMAPS
- SMTPS
- POP3S
Merksatz:
TLS-Probleme mit Zertifikat und Kette prüfen.
---
**Paketmitschnitt auf Schicht 7**
Ein Paketmitschnitt kann helfen,
wenn Logs nicht ausreichen.
Man kann sehen:
- DNS-Anfragen
- DHCP-DORA
- TCP-Verbindungsaufbau
- TLS-Handshake
- unverschlüsselte Protokollinhalte
- Fehlercodes
- Wiederholungen
- Timeouts
Wichtig:
Bei verschlüsselten Verbindungen sieht man Inhalte nicht einfach im Klartext.
Merksatz:
Mitschnitt zeigt Verkehr,
aber TLS schützt Inhalte.
---
**Schicht-7-Fehler und Sicherheit**
Viele Schicht-7-Fehler haben Sicherheitsbezug.
Beispiele:
- falsche Rechte
- schwache Authentifizierung
- unsichere Cookies
- offene Adminbereiche
- veraltete Webanwendung
- unsicheres FTP
- Telnet statt SSH
- fehlende MFA
- falsche CORS-Konfiguration
- Tokens in URLs
- zu genaue Fehlermeldungen
Merksatz:
Anwendungsschicht ist häufig Angriffsziel.
---
**Was Schicht-7-Fehlersuche nicht ersetzt**
Schicht-7-Fehlersuche ersetzt nicht:
- Prüfung der Verkabelung
- VLAN-Prüfung
- Routing-Prüfung
- Firewall-Prüfung
- Portprüfung
- Zertifikatsprüfung
- Berechtigungskonzept
- Sicherheitskonzept
- Backup-Konzept
- Monitoring
Sie ergänzt diese Prüfungen.
Merksatz:
Schicht 7 ist nur ein Teil der gesamten Fehlersuche.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Warum reicht ein erfolgreicher Ping nicht aus?
- Warum reicht ein offener Port nicht aus?
- Was prüft man bei HTTP 404?
- Was prüft man bei HTTP 500?
- Was bedeutet HTTP 401?
- Was bedeutet HTTP 403?
- Warum kann ein DNS-Fehler wie ein Internetproblem wirken?
- Warum kann ein falsches Zertifikat durch DNS entstehen?
- Wie grenzt man Anmeldeprobleme ein?
- Wie grenzt man Berechtigungsprobleme ein?
- Warum sind Logs bei Schicht-7-Problemen wichtig?
- Welche Rolle spielt der Reverse Proxy bei Webfehlern?
- Warum kann ein Dienst trotz erreichbarem Server nicht funktionieren?
---
**Typische Prüfungsfallen**
Ping prüft nicht die Anwendung.
Offener Port heißt nicht,
dass der Dienst korrekt funktioniert.
HTTP-Statuscodes gehören zur Anwendungsschicht.
401 bedeutet nicht authentifiziert.
403 bedeutet nicht berechtigt.
404 bedeutet Ressource nicht gefunden.
500 bedeutet interner Serverfehler.
502 deutet oft auf Proxy-Backend-Problem.
DNS gehört zu Schicht 7.
DHCP gehört zu Schicht 7,
auch wenn es IP-Konfiguration verteilt.
Mailprobleme sind oft DNS-, TLS- oder Spamfilterprobleme.
SMB-Probleme sind oft Rechte- oder Anmeldeprobleme.
LDAP-Probleme sind oft Base-DN-, Bind- oder Filterprobleme.
NTP-Probleme können Zertifikats- und Loginfehler verursachen.
Schicht 7 braucht Logs.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| Schicht-7-Fehler | Fehler im Dienst oder Anwendungsprotokoll |
| Dienst | bereitgestellte Netzwerkfunktion |
| Statuscode | Antwortcode eines Protokolls |
| HTTP 401 | nicht authentifiziert |
| HTTP 403 | nicht berechtigt |
| HTTP 404 | Ressource nicht gefunden |
| HTTP 500 | interner Serverfehler |
| HTTP 502 | Bad Gateway |
| Backend | interner Ziel-Dienst |
| Reverse Proxy | vorgelagerter Webserver |
| Authentifizierung | Identität prüfen |
| Autorisierung | Rechte prüfen |
| Session | Sitzung zwischen Client und Anwendung |
| Token | digitaler Zugriffsnachweis |
| Log | Protokolldatei mit Ereignissen |
| API | Schnittstelle zwischen Anwendungen |
| Content-Type | Datenformat im HTTP-Body |
| DNS-Cache | zwischengespeicherte DNS-Antwort |
---
**IHK-sichere Kurzformulierung**
Fehlersuche auf OSI-Schicht 7 betrifft die Anwendungsschicht und damit konkrete Dienste und Protokolle wie HTTP, DNS, DHCP, SMTP, SMB, LDAP, SNMP, NTP, SSH, RDP und APIs. Dabei reicht es nicht aus, nur IP-Erreichbarkeit oder offene Ports zu prüfen. Ein Dienst kann trotz erreichbarem Server und offenem Port fehlerhaft antworten. Deshalb prüft man auf Schicht 7 insbesondere Dienststatus, Protokoll, Hostname, URL, HTTP-Statuscodes, Anmeldung, Berechtigungen, Datenformat, Zertifikate, Reverse Proxy, Backend und Logs. Schicht-7-Fehler zeigen sich häufig als falsche DNS-Antworten, HTTP-Fehler, Loginprobleme, Zugriff verweigert, Mailprobleme oder fehlerhafte API-Antworten.
---
**Merksätze**
Schicht 7 = Anwendungsschicht.
Schicht 7 prüft den konkreten Dienst.
Ping prüft nicht die Anwendung.
Offener Port heißt nicht:
Anwendung funktioniert.
Dienst läuft nicht immer,
nur weil Server erreichbar ist.
Falsches Protokoll erzeugt Fehler.
Falscher Hostname kann falsches Zertifikat liefern.
DNS-Probleme sind Schicht-7-Probleme.
HTTP-Statuscodes helfen bei Webfehlern.
401 = nicht authentifiziert.
403 = nicht berechtigt.
404 = nicht gefunden.
500 = interner Serverfehler.
502 = Proxy-Backend-Problem.
503 = Dienst nicht verfügbar.
504 = Gateway Timeout.
API-Fehler mit Methode,
Header,
Body
und Token prüfen.
Loginfehler = Authentifizierung prüfen.
Zugriff verweigert = Autorisierung prüfen.
Login-Schleife = Session und Cookies prüfen.
Mailfehler mit DNS,
SMTP,
IMAP,
TLS
und Spamfilter prüfen.
SMB-Fehler mit Name,
Port,
Anmeldung
und Rechten prüfen.
LDAP-Fehler mit Bind,
Base-DN
und Filter prüfen.
SNMP-Fehler mit Version,
Zugangsdaten
und OID prüfen.
NTP-Fehler können viele Folgefehler erzeugen.
Logs sind bei Schicht 7 besonders wichtig.
Erst eingrenzen,
dann Schicht für Schicht prüfen.
# 10.11 Merksätze und Prüfungswissen zu OSI-Schicht 7
Diese Seite fasst die wichtigsten Inhalte zur OSI-Schicht 7 zusammen.
OSI-Schicht 7 heißt:
Anwendungsschicht
Die Hauptaufgabe von Schicht 7 ist:
Netzwerkdienste für Anwendungen bereitstellen.
Typische Protokolle und Dienste sind:
- HTTP
- HTTPS
- DNS
- DHCP
- SMTP
- POP3
- IMAP
- FTP
- SFTP
- FTPS
- SMB
- LDAP
- SNMP
- NTP
- SSH
- RDP
- Telnet
- APIs
Merksatz:
Schicht 7 = Netzwerkdienste für Anwendungen.
---
**Grundidee von Schicht 7**
Schicht 7 ist die oberste Schicht des OSI-Modells.
Sie ist die Schicht,
die Anwendungen am nächsten ist.
Wichtig:
Die Anwendungsschicht ist nicht einfach das Programm selbst.
Besser:
Anwendungen nutzen Protokolle der Anwendungsschicht.
Beispiel:
Browser = Anwendung
HTTP / HTTPS = Protokolle der Anwendungsschicht
Merksatz:
Schicht 7 beschreibt Protokolle und Dienste,
die Anwendungen für Netzwerkkommunikation verwenden.
---
**Schicht 7 im OSI-Modell**
| Schicht | Name | Kerngedanke |
|---:|---|---|
| 7 | Anwendungsschicht | Netzwerkdienste für Anwendungen |
| 6 | Darstellungsschicht | Daten darstellen, codieren, komprimieren, verschlüsseln |
| 5 | Sitzungsschicht | Sitzungen aufbauen, verwalten und beenden |
| 4 | Transportschicht | TCP, UDP, Ports |
| 3 | Vermittlungsschicht / Netzwerkschicht | IP, Routing |
| 2 | Sicherungsschicht | Frames, MAC-Adressen, VLAN |
| 1 | Bitübertragungsschicht | Bits, Signale, Medien |
Merksatz:
Schicht 7 nutzt alle darunterliegenden Schichten.
---
**Schicht 7 und Schicht 4 unterscheiden**
Ein häufiger Prüfungsfehler ist,
Ports und Protokolle zu vermischen.
Beispiel:
TCP 443 = Schicht 4
HTTPS = Schicht 7 mit TLS-Bezug
Oder:
UDP 53 / TCP 53 = Schicht 4
DNS = Schicht 7
Merksatz:
Port = Schicht 4.
Dienstprotokoll = Schicht 7.
---
**Wichtige Standardports**
| Dienst | Protokoll | typischer Port |
|---|---|---:|
| HTTP | TCP | 80 |
| HTTPS | TCP | 443 |
| DNS | UDP / TCP | 53 |
| DHCP-Server | UDP | 67 |
| DHCP-Client | UDP | 68 |
| SMTP | TCP | 25 |
| Submission | TCP | 587 |
| SMTPS | TCP | 465 |
| POP3 | TCP | 110 |
| POP3S | TCP | 995 |
| IMAP | TCP | 143 |
| IMAPS | TCP | 993 |
| FTP | TCP | 21 |
| SFTP | TCP | 22 |
| SSH | TCP | 22 |
| Telnet | TCP | 23 |
| SMB | TCP | 445 |
| LDAP | TCP / UDP | 389 |
| LDAPS | TCP | 636 |
| SNMP | UDP | 161 |
| SNMP-Trap | UDP | 162 |
| NTP | UDP | 123 |
| RDP | TCP | 3389 |
Merksatz:
Standardports helfen bei Prüfung und Fehlersuche,
gehören aber zur Transportschicht.
---
**HTTP und HTTPS**
HTTP steht für:
Hypertext Transfer Protocol
HTTPS steht für:
Hypertext Transfer Protocol Secure
HTTP wird für Webkommunikation genutzt.
HTTPS ist:
HTTP über TLS
Typische Ports:
HTTP:
TCP 80
HTTPS:
TCP 443
Merksatz:
HTTP = Web ohne TLS.
HTTPS = Web mit TLS.
---
**HTTP-Request und HTTP-Response**
HTTP arbeitet mit:
Request
Response
Request:
Anfrage des Clients
Response:
Antwort des Servers
Beispiel:
Browser fordert Webseite an.
Webserver liefert Antwort.
Merksatz:
HTTP arbeitet mit Anfrage und Antwort.
---
**HTTP-Methoden**
Wichtige HTTP-Methoden:
| Methode | Bedeutung |
|---|---|
| GET | Daten abrufen |
| POST | Daten senden oder erstellen |
| PUT | Ressource vollständig ersetzen |
| PATCH | Ressource teilweise ändern |
| DELETE | Ressource löschen |
| HEAD | nur Kopfzeilen abrufen |
| OPTIONS | Möglichkeiten abfragen |
Merksatz:
GET liest.
POST sendet.
PUT ersetzt.
PATCH ändert teilweise.
DELETE löscht.
---
**HTTP-Statuscodes**
HTTP-Statuscodes zeigen das Ergebnis einer Anfrage.
| Bereich | Bedeutung |
|---|---|
| 1xx | Information |
| 2xx | Erfolg |
| 3xx | Weiterleitung |
| 4xx | Clientfehler |
| 5xx | Serverfehler |
Wichtige Beispiele:
| Statuscode | Bedeutung |
|---:|---|
| 200 | OK |
| 301 | dauerhaft weitergeleitet |
| 302 | vorübergehend weitergeleitet |
| 400 | fehlerhafte Anfrage |
| 401 | nicht authentifiziert |
| 403 | verboten |
| 404 | nicht gefunden |
| 500 | interner Serverfehler |
| 502 | Bad Gateway |
| 503 | Dienst nicht verfügbar |
| 504 | Gateway Timeout |
Merksatz:
2xx = Erfolg.
4xx = Clientproblem.
5xx = Serverproblem.
---
**401 und 403 unterscheiden**
401 bedeutet:
nicht authentifiziert
Der Benutzer ist nicht angemeldet
oder die Anmeldung ist ungültig.
403 bedeutet:
verboten
Der Benutzer ist möglicherweise angemeldet,
hat aber keine Berechtigung.
Merksatz:
401 = Wer bist du?
403 = Du darfst das nicht.
---
**DNS**
DNS steht für:
Domain Name System
DNS löst Namen in IP-Adressen auf.
Beispiel:
www.example.com
→ IP-Adresse
DNS gehört zur Anwendungsschicht,
nutzt aber UDP oder TCP auf Port 53.
Merksatz:
DNS = Name zu IP-Adresse.
---
**Wichtige DNS-Records**
| Record | Bedeutung |
|---|---|
| A | Name zu IPv4-Adresse |
| AAAA | Name zu IPv6-Adresse |
| CNAME | Alias auf anderen Namen |
| MX | Mailserver einer Domain |
| NS | zuständiger Nameserver |
| TXT | Textinformationen |
| PTR | Reverse-DNS-Eintrag |
| SRV | Dienststandort |
| SOA | Verwaltungsdaten einer Zone |
Merksatz:
A = IPv4.
AAAA = IPv6.
MX = Mailserver.
PTR = Reverse Lookup.
---
**Forward Lookup und Reverse Lookup**
Forward Lookup bedeutet:
Name zu IP-Adresse
Beispiel:
server01.firma.local
→ 192.168.10.20
Reverse Lookup bedeutet:
IP-Adresse zu Name
Beispiel:
192.168.10.20
→ server01.firma.local
Merksatz:
Forward = Name zu IP.
Reverse = IP zu Name.
---
**DNS-TTL**
TTL steht für:
Time To Live
Die TTL gibt an,
wie lange ein DNS-Eintrag zwischengespeichert werden darf.
Folge:
DNS-Änderungen sind nicht immer sofort überall sichtbar.
Merksatz:
TTL steuert DNS-Caching.
---
**DHCP**
DHCP steht für:
Dynamic Host Configuration Protocol
DHCP verteilt automatisch Netzwerkkonfigurationen.
Ein Client kann erhalten:
- IP-Adresse
- Subnetzmaske
- Standard-Gateway
- DNS-Server
- Domain-Suffix
- Lease-Zeit
DHCP gehört zur Anwendungsschicht,
liefert aber wichtige Schicht-3-Konfiguration.
Merksatz:
DHCP = automatische IP-Konfiguration.
---
**DHCP-DORA**
Der klassische DHCP-Ablauf heißt:
DORA
DORA steht für:
Discover
Offer
Request
Acknowledge
Ablauf:
Client sucht DHCP-Server.
Server bietet Konfiguration an.
Client fordert Angebot an.
Server bestätigt Vergabe.
Merksatz:
DHCP-Ablauf = DORA.
---
**DHCP-Relay**
DHCP startet häufig mit Broadcast.
Router leiten Broadcasts normalerweise nicht einfach weiter.
Wenn DHCP-Client und DHCP-Server in verschiedenen Netzen liegen,
braucht man:
DHCP-Relay
Bei manchen Herstellern heißt das:
IP Helper Address
Merksatz:
DHCP-Relay bringt DHCP-Anfragen über Netzgrenzen.
---
**APIPA**
Wenn ein Windows-Client keine DHCP-Adresse erhält,
kann er sich selbst eine Adresse aus diesem Bereich geben:
169.254.0.0/16
Das nennt man:
APIPA
Typisches Fehlerbild:
Client hat 169.254.x.x
Mögliche Ursache:
DHCP fehlgeschlagen
Merksatz:
169.254.x.x deutet oft auf DHCP-Probleme hin.
---
**E-Mail-Protokolle**
Die wichtigsten E-Mail-Protokolle sind:
SMTP
POP3
IMAP
Grundregel:
SMTP sendet.
POP3 und IMAP empfangen.
Merksatz:
SMTP raus.
POP3/IMAP rein.
---
**SMTP**
SMTP steht für:
Simple Mail Transfer Protocol
SMTP wird verwendet für:
- E-Mail senden
- E-Mail zwischen Mailservern weiterleiten
Typische Ports:
TCP 25:
Mailserver zu Mailserver
TCP 587:
Submission, also authentifiziertes Einreichen durch Clients
TCP 465:
SMTPS, also SMTP direkt über TLS
Merksatz:
SMTP = E-Mail senden und transportieren.
---
**POP3**
POP3 steht für:
Post Office Protocol Version 3
POP3 dient zum Abrufen von E-Mails.
Typische Ports:
POP3:
TCP 110
POP3S:
TCP 995
POP3 lädt E-Mails eher einfach ab
und ist weniger gut für mehrere Geräte geeignet.
Merksatz:
POP3 = E-Mail abrufen.
---
**IMAP**
IMAP steht für:
Internet Message Access Protocol
IMAP dient zum Abrufen und Verwalten von E-Mails auf dem Server.
Typische Ports:
IMAP:
TCP 143
IMAPS:
TCP 993
IMAP eignet sich gut für mehrere Geräte,
weil E-Mails und Ordner synchronisiert werden.
Merksatz:
IMAP = E-Mails auf dem Server verwalten und synchronisieren.
---
**SPF, DKIM und DMARC**
Diese Verfahren helfen bei E-Mail-Sicherheit.
| Verfahren | Hauptaufgabe |
|---|---|
| SPF | legt erlaubte sendende Server fest |
| DKIM | signiert E-Mails kryptografisch |
| DMARC | legt Umgang mit SPF-/DKIM-Fehlern fest |
Merksatz:
SPF erlaubt.
DKIM signiert.
DMARC entscheidet.
---
**FTP, SFTP und FTPS**
Diese Protokolle dienen der Dateiübertragung.
| Protokoll | Bedeutung | Sicherheit |
|---|---|---|
| FTP | File Transfer Protocol | klassisch unverschlüsselt |
| SFTP | SSH File Transfer Protocol | über SSH verschlüsselt |
| FTPS | FTP mit TLS | über TLS geschützt |
Typische Ports:
FTP:
TCP 21
SFTP:
TCP 22
FTPS implizit:
TCP 990
Merksatz:
FTP unverschlüsselt.
SFTP über SSH.
FTPS über TLS.
---
**SFTP und FTPS nicht verwechseln**
SFTP ist:
Dateiübertragung über SSH
FTPS ist:
FTP mit TLS
Das sind unterschiedliche Protokolle.
Merksatz:
SFTP ist nicht FTPS.
---
**SMB**
SMB steht für:
Server Message Block
SMB dient für:
- Datei-Freigaben
- Drucker-Freigaben
- Netzlaufwerke
- NAS-Freigaben
- Windows-Freigaben
Typischer Port:
TCP 445
Beispiel für einen UNC-Pfad:
\\server01\freigabe
Merksatz:
SMB = Datei- und Druckerfreigaben.
---
**SMB-Berechtigungen**
Bei SMB sind meist zwei Ebenen wichtig:
Freigabeberechtigungen
Dateisystemberechtigungen
Beispiel:
Freigabe erlaubt Vollzugriff.
Dateisystem erlaubt nur Lesen.
Ergebnis:
Benutzer kann nur lesen.
Merksatz:
Die strengere Berechtigung begrenzt den Zugriff.
---
**LDAP**
LDAP steht für:
Lightweight Directory Access Protocol
LDAP dient dem Zugriff auf Verzeichnisdienste.
Typische Nutzung:
- Benutzer suchen
- Gruppen prüfen
- Anmeldungen unterstützen
- zentrale Identitätsinformationen abfragen
Wichtige Ports:
LDAP:
TCP/UDP 389
LDAPS:
TCP 636
Merksatz:
LDAP = Zugriff auf Verzeichnisdienste.
---
**Active Directory und LDAP**
Active Directory nutzt LDAP,
ist aber nicht nur LDAP.
Active Directory nutzt außerdem unter anderem:
- DNS
- Kerberos
- Gruppenrichtlinien
- Verzeichnisdatenbank
- Replikation
Merksatz:
LDAP ist ein wichtiger Teil von Active Directory,
aber nicht das ganze Active Directory.
---
**SNMP**
SNMP steht für:
Simple Network Management Protocol
SNMP dient zur Überwachung und Verwaltung von Netzwerkgeräten.
Typische Geräte:
- Switches
- Router
- Firewalls
- Drucker
- Server
- USV
- Access Points
Wichtige Ports:
SNMP-Abfrage:
UDP 161
SNMP-Trap:
UDP 162
Merksatz:
SNMP = Netzwerkgeräte überwachen.
---
**SNMPv3**
SNMPv3 ist sicherer als ältere SNMP-Versionen.
SNMPv3 kann bieten:
- Authentifizierung
- Verschlüsselung
- Integritätsschutz
- Benutzerkonzept
Ältere Varianten mit Community-String sind weniger sicher.
Merksatz:
SNMPv3 bevorzugen.
---
**NTP**
NTP steht für:
Network Time Protocol
NTP synchronisiert die Uhrzeit von Systemen.
Typischer Port:
UDP 123
Korrekte Zeit ist wichtig für:
- Zertifikate
- Kerberos
- Logs
- Monitoring
- Fehlersuche
- Backups
- Authentifizierung
Merksatz:
NTP = Zeitsynchronisation.
---
**SSH**
SSH steht für:
Secure Shell
SSH dient sicherer Fernadministration über eine Kommandozeile.
Typischer Port:
TCP 22
SSH wird häufig genutzt für:
- Linux-Server
- Netzwerkgeräte
- Firewalls
- NAS-Systeme
- SFTP
- Automatisierung
Merksatz:
SSH = sicherer Fernzugriff auf die Shell.
---
**RDP**
RDP steht für:
Remote Desktop Protocol
RDP dient grafischem Fernzugriff.
Typischer Port:
TCP 3389
RDP ist besonders bei Windows-Systemen verbreitet.
Wichtig:
RDP sollte nicht ungeschützt direkt aus dem Internet erreichbar sein.
Merksatz:
RDP = grafischer Fernzugriff.
---
**Telnet**
Telnet ist ein älteres Fernzugriffsprotokoll.
Typischer Port:
TCP 23
Problem:
Telnet ist unverschlüsselt.
Benutzername,
Passwort
und Befehle können im Klartext übertragen werden.
Merksatz:
Telnet vermeiden.
SSH verwenden.
---
**Authentifizierung**
Authentifizierung bedeutet:
Identität prüfen.
Frage:
Wer bist du?
Beispiele:
- Benutzername und Passwort
- SSH-Schlüssel
- Zertifikat
- Smartcard
- MFA-Code
- Token
Merksatz:
Authentifizierung = Identität prüfen.
---
**Autorisierung**
Autorisierung bedeutet:
Rechte prüfen.
Frage:
Was darfst du?
Beispiele:
- Datei lesen
- Datei ändern
- Adminbereich öffnen
- API verwenden
- Benutzer anlegen
- Server verwalten
Merksatz:
Autorisierung = Rechte prüfen.
---
**Authentifizierung und Autorisierung unterscheiden**
| Begriff | Frage | Beispiel |
|---|---|---|
| Authentifizierung | Wer bist du? | Benutzer meldet sich an |
| Autorisierung | Was darfst du? | Benutzer darf bestimmten Ordner öffnen |
Merksatz:
Angemeldet bedeutet nicht automatisch berechtigt.
---
**MFA**
MFA steht für:
Multi-Faktor-Authentifizierung
Dabei werden mehrere Faktoren kombiniert.
Beispiele:
- Passwort
- Smartphone-App
- Hardware-Token
- Fingerabdruck
- Smartcard
Merksatz:
MFA schützt zusätzlich,
wenn ein Passwort gestohlen wurde.
---
**SSO**
SSO steht für:
Single Sign-on
SSO bedeutet:
Einmal anmelden,
mehrere Dienste nutzen.
Typische Bestandteile:
- Identity Provider
- Service Provider
- Token
- zentrale Identität
Merksatz:
SSO = einmal anmelden,
mehrere Dienste nutzen.
---
**Token und Session**
Token:
digitaler Zugriffsnachweis
Session:
Sitzung zwischen Client und Anwendung
Session-Cookie:
Cookie zur Zuordnung einer Sitzung
Wichtig:
Tokens und Session-Cookies müssen geschützt werden,
weil sie Zugriff ermöglichen können.
Merksatz:
Token und Session-Cookie wie Zugangsdaten schützen.
---
**Least Privilege**
Least Privilege bedeutet:
Benutzer und Dienste erhalten nur die Rechte,
die sie wirklich benötigen.
Beispiel:
Dienst braucht nur Leserechte.
Dann bekommt er keine Schreibrechte.
Merksatz:
Nur so viele Rechte wie nötig,
so wenige wie möglich.
---
**Typische Schicht-7-Fehler**
Typische Fehler auf Schicht 7 sind:
- DNS löst falsch auf
- HTTP 404
- HTTP 500
- HTTP 502
- Login funktioniert nicht
- Zugriff verweigert
- API lehnt Anfrage ab
- falscher Content-Type
- ungültiges JSON
- Mail kommt nicht an
- Mail landet im Spam
- SMB-Freigabe verweigert Zugriff
- LDAP-Bind schlägt fehl
- SNMP-Werte fehlen
- NTP synchronisiert nicht
- SSH Permission Denied
- RDP-Anmeldung abgelehnt
Merksatz:
Schicht-7-Fehler betreffen Dienst,
Inhalt,
Anmeldung
oder Rechte.
---
**Fehlersuche auf Schicht 7**
Eine sinnvolle Reihenfolge:
1. Fehlermeldung genau lesen.
2. Betroffene Benutzer und Systeme eingrenzen.
3. Dienst und Protokoll bestimmen.
4. DNS und Hostname prüfen.
5. IP-Erreichbarkeit prüfen.
6. Port prüfen.
7. TLS oder Zertifikat prüfen.
8. Dienststatus prüfen.
9. Anmeldung prüfen.
10. Berechtigung prüfen.
11. Datenformat prüfen.
12. Logs prüfen.
13. letzte Änderungen prüfen.
Merksatz:
Erst eingrenzen,
dann Schicht für Schicht prüfen.
---
**Wichtigste Abgrenzung zu unteren Schichten**
| Aussage | Einordnung |
|---|---|
| Kabel steckt nicht | Schicht 1 |
| VLAN falsch | Schicht 2 |
| Gateway falsch | Schicht 3 |
| Port blockiert | Schicht 4 |
| TLS-Zertifikat ungültig | Schicht 6 |
| HTTP 404 | Schicht 7 |
| Login falsch | Schicht 7 |
| Rechte fehlen | Schicht 7 |
| DNS-Record falsch | Schicht 7 |
Merksatz:
Schicht 7 beginnt dort,
wo der konkrete Dienstinhalt geprüft wird.
---
**Typische Prüfungsfallen**
Schicht 7 heißt Anwendungsschicht.
Schicht 7 ist nicht einfach das Programm selbst.
Anwendungen nutzen Schicht-7-Protokolle.
Port gehört zu Schicht 4.
Dienstprotokoll gehört zu Schicht 7.
DNS gehört zu Schicht 7.
DHCP gehört zu Schicht 7,
obwohl es IP-Konfiguration verteilt.
HTTP gehört zu Schicht 7.
HTTPS ist HTTP über TLS.
SMTP sendet E-Mails.
POP3 und IMAP empfangen E-Mails.
POP3 lädt eher herunter.
IMAP synchronisiert besser.
FTP ist klassisch unverschlüsselt.
SFTP ist nicht FTPS.
SMB nutzt TCP 445.
LDAP ist nicht das ganze Active Directory.
SNMPv3 ist sicherer als SNMPv1/v2c.
NTP-Probleme können Zertifikats- und Loginprobleme verursachen.
SSH ist sicherer als Telnet.
RDP nicht ungeschützt ins Internet öffnen.
Authentifizierung ist nicht Autorisierung.
Anmeldung bedeutet nicht automatisch Berechtigung.
Offener Port bedeutet nicht automatisch,
dass die Anwendung funktioniert.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| Anwendungsschicht | OSI-Schicht 7 |
| Dienst | Netzwerkfunktion für Anwendungen |
| Protokoll | Regelwerk für Kommunikation |
| HTTP | Webprotokoll |
| HTTPS | HTTP über TLS |
| DNS | Namensauflösung |
| DHCP | automatische IP-Konfiguration |
| SMTP | E-Mail senden |
| POP3 | E-Mail abrufen |
| IMAP | E-Mail abrufen und verwalten |
| FTP | klassische Dateiübertragung |
| SFTP | Dateiübertragung über SSH |
| FTPS | FTP mit TLS |
| SMB | Datei- und Druckerfreigaben |
| LDAP | Verzeichnisdienstzugriff |
| SNMP | Netzwerkmanagement |
| NTP | Zeitsynchronisation |
| SSH | sicherer Shell-Zugriff |
| RDP | grafischer Fernzugriff |
| Telnet | altes unverschlüsseltes Fernzugriffsprotokoll |
| API | Schnittstelle zwischen Anwendungen |
| Authentifizierung | Identität prüfen |
| Autorisierung | Rechte prüfen |
| MFA | Multi-Faktor-Authentifizierung |
| SSO | Single Sign-on |
| Token | digitaler Zugriffsnachweis |
| Session | Sitzung zwischen Client und Anwendung |
| Least Privilege | nur notwendige Rechte vergeben |
---
**IHK-sichere Gesamtformulierung**
Die Anwendungsschicht ist Schicht 7 des OSI-Modells. Sie stellt Netzwerkdienste für Anwendungen bereit. Typische Protokolle sind HTTP, HTTPS, DNS, DHCP, SMTP, POP3, IMAP, FTP, SFTP, FTPS, SMB, LDAP, SNMP, NTP, SSH, RDP und Telnet. Die Anwendungsschicht ist nicht das Programm selbst, sondern beschreibt die Protokolle und Dienste, die Anwendungen zur Kommunikation verwenden. Ports gehören zur Transportschicht, während die eigentlichen Dienstprotokolle zur Anwendungsschicht gehören. Fehler auf Schicht 7 betreffen häufig DNS, HTTP-Statuscodes, Anmeldungen, Berechtigungen, APIs, Datenformate, Maildienste, Dateifreigaben oder Dienstlogs.
---
**Wichtigste Merksätze**
Schicht 7 = Anwendungsschicht.
Schicht 7 = Netzwerkdienste für Anwendungen.
Anwendung nutzt Protokoll.
Protokoll gehört zu Schicht 7.
Port gehört zu Schicht 4.
HTTP = Webprotokoll.
HTTPS = HTTP über TLS.
DNS = Name zu IP-Adresse.
DHCP = automatische IP-Konfiguration.
SMTP sendet.
POP3 ruft ab.
IMAP synchronisiert.
FTP ist klassisch unverschlüsselt.
SFTP läuft über SSH.
FTPS nutzt TLS.
SMB = Datei- und Druckerfreigaben.
LDAP = Verzeichnisdienstzugriff.
SNMP = Netzwerküberwachung.
NTP = Zeitsynchronisation.
SSH = sicherer Fernzugriff.
RDP = grafischer Fernzugriff.
Telnet ist unsicher.
Authentifizierung = Wer bist du?
Autorisierung = Was darfst du?
Anmeldung ist nicht gleich Berechtigung.
MFA erhöht die Sicherheit.
Least Privilege immer beachten.
Offener Port heißt nicht:
Anwendung funktioniert.
Schicht-7-Fehler mit Dienst,
Protokoll,
Anmeldung,
Rechten,
Daten
und Logs prüfen.
# 11. Firewalls, NAT und DMZ
# 11.1 Firewalls, NAT und DMZ
Firewalls, NAT und DMZ gehören zu den wichtigsten Themen der Netzwerksicherheit.
Sie werden verwendet, um Netzwerke zu schützen, Zugriffe zu steuern und interne Systeme vom Internet zu trennen.
Wichtige Begriffe:
- Firewall
- Paketfilter
- Stateful Inspection
- Firewall-Regel
- Allow
- Deny
- NAT
- PAT
- Portweiterleitung
- DMZ
- interne Zone
- externe Zone
- Sicherheitszone
Merksatz:
Firewall kontrolliert Zugriffe.
NAT übersetzt Adressen.
DMZ trennt öffentliche Dienste vom internen Netz.
---
**Grundidee einer Firewall**
Eine Firewall kontrolliert Netzwerkverkehr.
Sie entscheidet:
Darf dieser Datenverkehr durch?
Oder wird er blockiert?
Dabei prüft sie je nach Art und Konfiguration zum Beispiel:
- Quell-IP-Adresse
- Ziel-IP-Adresse
- Protokoll
- Quellport
- Zielport
- Verbindungsstatus
- Richtung
- Benutzer
- Anwendung
- Sicherheitszone
Merksatz:
Firewall = kontrollierter Übergang zwischen Netzen.
---
**Warum braucht man Firewalls?**
Ohne Firewall könnten Systeme oft zu viele Verbindungen annehmen.
Eine Firewall reduziert die Angriffsfläche.
Sie schützt vor:
- unerwünschten Zugriffen
- offenen Diensten
- unkontrolliertem Datenverkehr
- Angriffen aus fremden Netzen
- ungewollter Kommunikation zwischen Netzbereichen
- direktem Zugriff auf interne Systeme
Merksatz:
Firewall-Regeln begrenzen,
wer mit wem sprechen darf.
---
**Firewall ist nicht gleich Virenschutz**
Eine Firewall kontrolliert Netzwerkverkehr.
Ein Virenschutz prüft Dateien, Programme oder Verhalten auf Schadsoftware.
Unterschied:
| Schutz | Hauptaufgabe |
|---|---|
| Firewall | Netzwerkverkehr erlauben oder blockieren |
| Virenschutz | Schadsoftware erkennen und blockieren |
| EDR | Verhalten auf Endgeräten überwachen |
| IDS/IPS | Angriffe im Netzwerk erkennen oder blockieren |
Merksatz:
Firewall schützt Netzwerkzugriffe,
ersetzt aber keinen Virenschutz.
---
**Firewall im OSI-Modell**
Firewalls können auf verschiedenen Schichten arbeiten.
| Firewall-Art | typische Schicht | Prüft vor allem |
|---|---:|---|
| Paketfilter | 3 / 4 | IP-Adressen, Protokoll, Ports |
| Stateful Firewall | 3 / 4 | Verbindungsstatus zusätzlich |
| Application Firewall | 7 | Anwendungsdaten und Protokolle |
| Web Application Firewall | 7 | HTTP/HTTPS-Anfragen |
Merksatz:
Firewalls können je nach Art auf mehreren Schichten arbeiten.
---
**Paketfilter**
Ein Paketfilter entscheidet anhand einzelner Pakete.
Typische Kriterien:
- Quell-IP
- Ziel-IP
- Protokoll
- Quellport
- Zielport
- Richtung
- Interface
Beispiel:
Erlaube TCP von 192.168.10.0/24 nach 10.0.0.5 auf Port 443.
Merksatz:
Paketfilter prüft IP-Adressen und Ports.
---
**Stateful Firewall**
Eine Stateful Firewall merkt sich den Zustand von Verbindungen.
Sie erkennt:
Gehört dieses Paket zu einer bestehenden Verbindung?
Beispiel:
Client aus internem Netz baut HTTPS-Verbindung nach außen auf.
Antwortpakete vom Webserver werden erlaubt,
weil sie zu dieser bestehenden Verbindung gehören.
Vorteil:
Rückverkehr muss nicht immer als komplett neue Verbindung erlaubt werden.
Merksatz:
Stateful Firewall kennt bestehende Verbindungen.
---
**Stateful Inspection**
Stateful Inspection bedeutet:
Die Firewall prüft den Verbindungszustand.
Sie unterscheidet zum Beispiel:
neue Verbindung
bestehende Verbindung
zugehörige Antwort
ungültiges Paket
Das ist besonders wichtig bei TCP.
Merksatz:
Stateful Inspection prüft,
ob Verkehr zu einer erlaubten Verbindung gehört.
---
**Stateless Firewall**
Eine Stateless Firewall merkt sich keine Verbindungen.
Sie betrachtet Pakete einzeln.
Nachteil:
Rückverkehr muss oft explizit geregelt werden.
Vorteil:
einfacher,
schneller,
aber weniger intelligent.
Merksatz:
Stateless = jedes Paket einzeln betrachten.
---
**Firewall-Regel**
Eine Firewall-Regel beschreibt,
welcher Verkehr erlaubt oder blockiert wird.
Typische Bestandteile:
- Aktion
- Quelle
- Ziel
- Dienst oder Port
- Protokoll
- Richtung
- Interface oder Zone
- Kommentar oder Beschreibung
Beispiel:
Erlaube
Quelle: Internes Netz
Ziel: Webserver in DMZ
Dienst: HTTPS TCP 443
Merksatz:
Firewall-Regel = Bedingung plus Aktion.
---
**Allow und Deny**
Firewall-Regeln haben meist eine Aktion.
Wichtige Aktionen:
Allow
Deny
Drop
Reject
Allow bedeutet:
Verkehr erlauben.
Deny, Drop oder Reject bedeuten:
Verkehr blockieren.
Merksatz:
Allow erlaubt.
Deny blockiert.
---
**Drop und Reject unterscheiden**
Drop bedeutet:
Paket wird verworfen,
ohne Antwort.
Reject bedeutet:
Paket wird abgelehnt,
mit Antwort an den Absender.
Unterschied:
| Aktion | Verhalten |
|---|---|
| Drop | still verwerfen |
| Reject | aktiv ablehnen |
| Allow | erlauben |
Merksatz:
Drop schweigt.
Reject antwortet.
---
**Default Deny**
Default Deny bedeutet:
Alles ist verboten,
was nicht ausdrücklich erlaubt ist.
Das ist ein wichtiges Sicherheitsprinzip.
Beispiel:
Alle Verbindungen blockieren.
Nur notwendige Dienste erlauben.
Vorteil:
unbekannter oder unnötiger Verkehr wird nicht automatisch erlaubt.
Merksatz:
Erst alles verbieten,
dann gezielt erlauben.
---
**Default Allow**
Default Allow bedeutet:
Alles ist erlaubt,
was nicht ausdrücklich verboten ist.
Das ist oft riskanter,
weil neue oder vergessene Dienste automatisch erreichbar sein können.
Merksatz:
Default Allow ist bequem,
aber oft unsicherer.
---
**Regelreihenfolge**
Viele Firewalls arbeiten Regeln von oben nach unten ab.
Die erste passende Regel entscheidet.
Beispiel:
Regel 1:
Blockiere Ziel TCP 443
Regel 2:
Erlaube Ziel TCP 443
Ergebnis:
Wenn Regel 1 zuerst passt,
wird blockiert.
Merksatz:
Reihenfolge der Firewall-Regeln ist entscheidend.
---
**Spezifische Regeln vor allgemeinen Regeln**
Spezifische Regeln sollten vor allgemeinen Regeln stehen.
Beispiel:
Erlaube Admin-PC zu Server auf SSH.
Danach:
Blockiere restliches SSH.
Wenn die allgemeine Blockregel zuerst steht,
kommt die spezifische Erlaubnis nie zum Tragen.
Merksatz:
Spezifisch vor allgemein.
---
**Firewall-Zonen**
Viele Firewalls arbeiten mit Zonen.
Typische Zonen:
- LAN
- WAN
- DMZ
- Gastnetz
- Servernetz
- Managementnetz
- VPN
- IoT-Netz
Zonen helfen,
Netzbereiche logisch zu trennen.
Merksatz:
Zone = Sicherheitsbereich im Netzwerk.
---
**LAN und WAN**
LAN steht für:
Local Area Network
WAN steht für:
Wide Area Network
Vereinfacht:
LAN = internes Netz
WAN = externes Netz oder Internetseite
Merksatz:
LAN innen,
WAN außen.
---
**Interne Zone**
Die interne Zone enthält normalerweise vertrauenswürdigere Systeme.
Beispiele:
- Clients
- interne Server
- Drucker
- Verwaltungsgeräte
- interne Anwendungen
Trotzdem gilt:
Auch intern sollte nicht alles blind erlaubt sein.
Merksatz:
Intern ist nicht automatisch sicher.
---
**Externe Zone**
Die externe Zone ist meist das Internet oder ein fremdes Netz.
Von dort kommen potenziell untrusted Verbindungen.
Deshalb werden eingehende Verbindungen besonders streng kontrolliert.
Merksatz:
Extern = nicht vertrauenswürdig.
---
**DMZ**
DMZ steht für:
Demilitarized Zone
Eine DMZ ist ein separates Netz,
in dem Dienste stehen,
die von außen erreichbar sein müssen.
Beispiele:
- Webserver
- Reverse Proxy
- Mailgateway
- VPN-Gateway
- öffentliche API
- DNS-Server für externe Anfragen
Merksatz:
DMZ = eigenes Netz für öffentlich erreichbare Dienste.
---
**Warum gibt es eine DMZ?**
Eine DMZ schützt das interne Netz.
Idee:
Öffentliche Dienste sollen nicht direkt im internen LAN stehen.
Wenn ein Server in der DMZ kompromittiert wird,
soll der Angreifer nicht automatisch Zugriff auf das interne Netz erhalten.
Merksatz:
DMZ begrenzt Schaden bei öffentlichen Diensten.
---
**DMZ-Grundaufbau**
Typischer Aufbau:
Internet
→ Firewall
→ DMZ
→ Firewall-Regeln
→ internes LAN
Oder mit drei Zonen:
WAN
DMZ
LAN
Regeln werden gezielt zwischen diesen Zonen erstellt.
Merksatz:
DMZ liegt kontrolliert zwischen Internet und internem Netz.
---
**Regeln für eine DMZ**
Typische Regelidee:
Internet darf nur bestimmte Dienste in der DMZ erreichen.
Beispiel:
Internet → DMZ-Webserver:
TCP 443 erlaubt
Internet → internes LAN:
blockiert
DMZ → internes LAN:
nur notwendige Verbindungen erlaubt
internes LAN → DMZ:
Administration nur von Admin-Systemen
Merksatz:
DMZ darf nicht freie Brücke ins LAN sein.
---
**DMZ und internes Netz**
Ein häufiger Fehler ist:
DMZ-Server dürfen alles im internen Netz erreichen.
Das ist gefährlich.
Besser:
Nur notwendige Verbindungen erlauben.
Beispiel:
Webserver in DMZ darf nur zur Datenbank auf TCP 5432.
Oder:
Reverse Proxy in DMZ darf nur zu bestimmten internen Webdiensten.
Merksatz:
Von DMZ ins LAN nur gezielt erlauben.
---
**DMZ und Administration**
Administrationszugriff auf DMZ-Systeme sollte eingeschränkt sein.
Beispiele:
Admin-Netz → DMZ-Server SSH erlauben
normale Clients → DMZ-Server SSH blockieren
Internet → DMZ-Server SSH blockieren
Sinnvoll:
Administration über VPN,
Managementnetz
oder Bastion Host.
Merksatz:
DMZ-Administration nur kontrolliert erlauben.
---
**Bastion Host**
Ein Bastion Host ist ein besonders abgesicherter Sprungserver.
Er wird genutzt,
um administrative Zugriffe zu bündeln.
Beispiel:
Admin verbindet sich zum Bastion Host.
Von dort aus erfolgt Zugriff auf Server in der DMZ.
Vorteile:
- zentrale Kontrolle
- Protokollierung
- weniger direkte Zugriffe
- bessere Absicherung
Merksatz:
Bastion Host = abgesicherter Zugangspunkt für Administration.
---
**NAT**
NAT steht für:
Network Address Translation
NAT übersetzt IP-Adressen.
Typische Nutzung:
private interne IP-Adressen
werden beim Zugriff ins Internet
in eine öffentliche IP-Adresse übersetzt.
Beispiel:
intern:
192.168.10.50
extern sichtbar:
öffentliche Router-IP
Merksatz:
NAT übersetzt IP-Adressen.
---
**Warum braucht man NAT?**
IPv4-Adressen sind knapp.
Private IPv4-Adressen werden intern verwendet
und sind im Internet nicht direkt geroutet.
NAT ermöglicht,
dass viele interne Geräte über eine oder wenige öffentliche IPv4-Adressen ins Internet gehen.
Merksatz:
NAT spart öffentliche IPv4-Adressen.
---
**Private IPv4-Adressbereiche**
Private IPv4-Adressbereiche sind:
| Bereich | CIDR |
|---|---|
| 10.0.0.0 bis 10.255.255.255 | 10.0.0.0/8 |
| 172.16.0.0 bis 172.31.255.255 | 172.16.0.0/12 |
| 192.168.0.0 bis 192.168.255.255 | 192.168.0.0/16 |
Diese Adressen werden im Internet nicht direkt geroutet.
Merksatz:
Private IPv4-Adressen sind für interne Netze gedacht.
---
**Öffentliche IP-Adresse**
Eine öffentliche IP-Adresse ist im Internet routbar.
Sie wird zum Beispiel vom Provider vergeben.
Beispiel:
Router hat öffentliche IP-Adresse am WAN.
Interne Clients verwenden private Adressen
und werden per NAT nach außen übersetzt.
Merksatz:
Öffentliche IP ist im Internet erreichbar,
private IP normalerweise nicht.
---
**Source NAT**
Source NAT ändert die Quelladresse eines Pakets.
Typischer Fall:
interner Client geht ins Internet.
Vor NAT:
Quelle: 192.168.10.50
Ziel: 93.184.216.34
Nach NAT:
Quelle: öffentliche Router-IP
Ziel: 93.184.216.34
Merksatz:
Source NAT ändert die Quelle.
---
**Destination NAT**
Destination NAT ändert die Zieladresse eines Pakets.
Typischer Fall:
Portweiterleitung von außen nach innen.
Vor NAT:
Ziel: öffentliche IP TCP 443
Nach NAT:
Ziel: interner Webserver 192.168.10.20 TCP 443
Merksatz:
Destination NAT ändert das Ziel.
---
**PAT**
PAT steht für:
Port Address Translation
PAT übersetzt zusätzlich Ports.
Dadurch können viele interne Clients gleichzeitig eine öffentliche IP-Adresse nutzen.
Beispiel:
Client A intern:
192.168.10.10:50001
Client B intern:
192.168.10.11:50002
Extern sichtbar über dieselbe öffentliche IP,
aber mit unterschiedlichen Ports.
Merksatz:
PAT = viele interne Geräte über eine öffentliche IP mit Portübersetzung.
---
**NAT und PAT unterscheiden**
| Begriff | Bedeutung |
|---|---|
| NAT | Übersetzung von IP-Adressen |
| PAT | Übersetzung von IP-Adressen und Ports |
| Source NAT | Quelladresse wird geändert |
| Destination NAT | Zieladresse wird geändert |
| Portweiterleitung | eingehender Port wird intern weitergeleitet |
Merksatz:
NAT übersetzt Adressen.
PAT übersetzt zusätzlich Ports.
---
**Portweiterleitung**
Portweiterleitung bedeutet:
Eine Verbindung von außen auf einen bestimmten Port
wird an ein internes Ziel weitergeleitet.
Beispiel:
öffentliche IP TCP 443
→ interner Server 192.168.10.20 TCP 443
Typische Nutzung:
- Webserver
- Reverse Proxy
- VPN-Gateway
- Mailserver
- Spielserver
- Testsysteme
Merksatz:
Portweiterleitung macht internen Dienst von außen erreichbar.
---
**Portweiterleitung und Sicherheit**
Portweiterleitung erhöht die Angriffsfläche.
Warum?
Ein interner Dienst wird von außen erreichbar.
Deshalb wichtig:
- nur notwendige Ports öffnen
- Dienste aktuell halten
- starke Authentifizierung
- TLS verwenden
- Logs prüfen
- Zugriff einschränken
- nach Möglichkeit DMZ nutzen
- keine Admin-Dienste offen ins Internet
Merksatz:
Jeder geöffnete Port ist ein potenzielles Risiko.
---
**Firewall-Regel und NAT-Regel unterscheiden**
Eine NAT-Regel übersetzt Adressen oder Ports.
Eine Firewall-Regel erlaubt oder blockiert Verkehr.
Beides ist nicht dasselbe.
Beispiel:
NAT-Regel:
öffentliche IP TCP 443 → interner Webserver TCP 443
Firewall-Regel:
Erlaube Internet → Webserver TCP 443
Wenn NAT gesetzt ist,
aber Firewall blockiert,
funktioniert der Zugriff trotzdem nicht.
Merksatz:
NAT leitet um.
Firewall erlaubt oder blockiert.
---
**Inbound und Outbound**
Inbound bedeutet:
eingehender Verkehr in Richtung eines Netzes oder Systems.
Outbound bedeutet:
ausgehender Verkehr aus einem Netz oder System.
Beispiel:
Client im LAN ruft Webseite im Internet auf:
outbound aus LAN
Internet greift auf Webserver in DMZ zu:
inbound zur DMZ
Merksatz:
Inbound hinein,
outbound hinaus.
---
**East-West und North-South Traffic**
North-South Traffic bedeutet:
Verkehr zwischen internem Netz und externen Netzen.
Beispiel:
Client ins Internet
East-West Traffic bedeutet:
Verkehr innerhalb eines Rechenzentrums oder interner Netze.
Beispiel:
Webserver spricht mit Datenbankserver.
Merksatz:
North-South = nach außen oder innen.
East-West = intern zwischen Systemen.
---
**Firewall und Routing**
Firewall und Routing sind nicht dasselbe.
Routing entscheidet:
Wohin wird ein Paket weitergeleitet?
Firewall entscheidet:
Darf das Paket weiter?
Beides muss passen.
Beispiel:
Route vorhanden,
aber Firewall blockiert:
Verbindung geht nicht.
Firewall erlaubt,
aber Route fehlt:
Verbindung geht nicht.
Merksatz:
Routing findet Weg.
Firewall erlaubt Weg.
---
**Firewall und DNS**
DNS-Probleme können wie Firewall-Probleme aussehen.
Beispiel:
Benutzer ruft service.firma.de auf.
DNS zeigt auf falsche IP.
Dann erreicht der Client vielleicht den falschen Server
oder bekommt gar keine Verbindung.
Merksatz:
Vor Firewall-Fehlersuche auch DNS prüfen.
---
**Firewall und TLS**
Eine Firewall kann TCP 443 erlauben,
aber HTTPS kann trotzdem fehlschlagen.
Mögliche Ursachen:
- Zertifikat ungültig
- falscher Hostname
- falsches Backend
- Reverse Proxy falsch
- TLS-Version inkompatibel
- Anwendung antwortet falsch
Merksatz:
Port 443 offen heißt nicht:
HTTPS funktioniert korrekt.
---
**Firewall und Protokolle**
Ein Port allein beschreibt nicht immer alles.
Beispiele:
DNS nutzt UDP und TCP 53.
FTP nutzt Steuer- und Datenverbindungen.
SIP oder VoIP können zusätzliche Ports nutzen.
HTTP/3 nutzt UDP 443.
VPN-Protokolle nutzen unterschiedliche Ports und Protokolle.
Merksatz:
Immer Protokoll,
Port
und Verbindungsverhalten beachten.
---
**Firewall-Logs**
Firewall-Logs sind wichtig für Fehlersuche und Sicherheit.
Sie zeigen zum Beispiel:
- erlaubte Verbindungen
- blockierte Verbindungen
- Quell-IP
- Ziel-IP
- Port
- Protokoll
- Regelname
- Zeitstempel
- Interface oder Zone
Merksatz:
Firewall-Logs zeigen,
ob Verkehr erlaubt oder blockiert wurde.
---
**Typische Firewall-Fehler**
Typische Fehler sind:
- falsche Regelreihenfolge
- falsche Quelle
- falsches Ziel
- falscher Port
- falsches Protokoll
- Regel in falscher Richtung
- falsche Zone
- NAT fehlt
- Rückweg fehlt
- DNS zeigt auf falsches Ziel
- Dienst läuft nicht
- asymmetrisches Routing
Merksatz:
Firewall-Fehler sind oft Regel-, Richtungs- oder Zonenfehler.
---
**Fehlerbild: Dienst von außen nicht erreichbar**
Mögliche Ursachen:
- Portweiterleitung fehlt
- Firewall-Regel fehlt
- falscher Zielserver
- falscher Zielport
- Dienst läuft nicht
- öffentliche IP falsch
- DNS zeigt falsch
- Provider blockiert Port
- CGNAT
- Reverse Proxy falsch
- Zertifikat fehlerhaft
Merksatz:
Externer Zugriff braucht DNS,
NAT,
Firewall,
Dienst
und Rückweg.
---
**Fehlerbild: Intern funktioniert, extern nicht**
Mögliche Ursachen:
- externe Firewall blockiert
- NAT oder Portweiterleitung fehlt
- externer DNS-Eintrag falsch
- öffentliche IP falsch
- CGNAT
- Zertifikat nur intern passend
- Dienst nur auf interner Adresse gebunden
- Reverse Proxy nur intern konfiguriert
Merksatz:
Intern und extern getrennt prüfen.
---
**Fehlerbild: Extern funktioniert, intern nicht**
Mögliche Ursachen:
- internes DNS zeigt falsch
- Split DNS fehlt
- Hairpin NAT fehlt
- interne Firewall blockiert
- interne Route fehlt
- Zertifikatname passt intern nicht
- Proxy- oder Gatewayproblem
Merksatz:
Extern erreichbar heißt nicht automatisch intern erreichbar.
---
**Hairpin NAT**
Hairpin NAT wird gebraucht,
wenn interne Clients über die öffentliche Adresse auf einen internen Dienst zugreifen sollen.
Beispiel:
interner Client ruft öffentliche Domain auf.
DNS liefert öffentliche IP.
Router muss Verbindung wieder nach innen leiten.
Wenn Hairpin NAT fehlt,
funktioniert der Dienst extern,
aber intern über den öffentlichen Namen nicht.
Merksatz:
Hairpin NAT ermöglicht internen Zugriff über öffentliche Adresse.
---
**Split DNS als Alternative**
Split DNS kann Hairpin NAT vermeiden.
Dabei liefert DNS intern und extern unterschiedliche Antworten.
Beispiel:
service.firma.de extern:
öffentliche IP
service.firma.de intern:
interne IP
Vorteil:
interne Clients gehen direkt zur internen Adresse.
Merksatz:
Split DNS liefert intern passende interne Adressen.
---
**CGNAT**
CGNAT steht für:
Carrier Grade NAT
Dabei hat der Anschluss keine eigene echte öffentliche IPv4-Adresse.
Der Provider nutzt NAT für viele Kunden.
Folge:
eingehende Portweiterleitungen funktionieren oft nicht direkt.
Mögliche Lösungen:
- echte öffentliche IPv4 buchen
- IPv6 nutzen
- VPN-Tunnel
- Cloud-Tunnel
- Reverse Proxy über externen Server
Merksatz:
CGNAT verhindert oft direkte eingehende IPv4-Verbindungen.
---
**Asymmetrisches Routing**
Asymmetrisches Routing bedeutet:
Hinweg und Rückweg laufen über unterschiedliche Wege.
Das kann Firewalls stören,
weil eine Stateful Firewall den Verbindungszustand auf einem Weg sieht,
aber die Antwort über einen anderen Weg zurückkommt.
Folge:
Verbindung wird möglicherweise blockiert.
Merksatz:
Stateful Firewalls brauchen passenden Hin- und Rückweg.
---
**Any-Any-Regel**
Eine Any-Any-Regel erlaubt sehr viel.
Beispiel:
Quelle: any
Ziel: any
Dienst: any
Aktion: allow
Das ist gefährlich,
weil fast jeder Verkehr erlaubt wird.
Any-Any-Regeln sollten vermieden oder sehr gut begründet werden.
Merksatz:
Any-Any ist bequem,
aber riskant.
---
**Least Privilege bei Firewall-Regeln**
Auch bei Firewall-Regeln gilt:
nur erlauben,
was wirklich benötigt wird.
Beispiel schlecht:
Erlaube gesamtes LAN zur DMZ auf alle Ports.
Besser:
Erlaube Admin-PC zur DMZ auf TCP 22.
Erlaube Webserver zur Datenbank auf TCP 5432.
Merksatz:
Firewall-Regeln so eng wie möglich setzen.
---
**Dokumentation von Firewall-Regeln**
Firewall-Regeln sollten dokumentiert werden.
Wichtige Angaben:
- Zweck
- Quelle
- Ziel
- Dienst
- Verantwortlicher
- Erstellungsdatum
- Ablaufdatum bei temporären Regeln
- Ticket oder Änderungsgrund
- Risiko
- Kommentar
Merksatz:
Undokumentierte Firewall-Regeln werden schnell zum Sicherheitsproblem.
---
**Temporäre Firewall-Regeln**
Temporäre Regeln sollten ein Ablaufdatum haben.
Problem:
Testregel wird erstellt.
Niemand entfernt sie.
Dienst bleibt unnötig offen.
Besser:
temporäre Regel mit Ablaufdatum,
Kommentar
und Review.
Merksatz:
Temporär darf nicht dauerhaft vergessen werden.
---
**Firewall-Review**
Firewall-Regeln sollten regelmäßig überprüft werden.
Ziel:
- alte Regeln entfernen
- unnötige Freigaben schließen
- Any-Any-Regeln vermeiden
- Dokumentation aktualisieren
- Sicherheitsrisiken reduzieren
- Regelreihenfolge prüfen
Merksatz:
Firewall-Regeln brauchen regelmäßige Pflege.
---
**Typische Sicherheitszonen**
| Zone | Zweck |
|---|---|
| WAN | externes Netz / Internet |
| LAN | internes Clientnetz |
| DMZ | öffentlich erreichbare Dienste |
| Servernetz | interne Server |
| Managementnetz | Administration |
| Gastnetz | Gäste ohne Zugriff auf intern |
| IoT-Netz | Geräte mit eingeschränktem Vertrauen |
| VPN-Zone | entfernte Benutzer nach VPN-Einwahl |
Merksatz:
Zonen trennen Systeme nach Schutzbedarf.
---
**Gastnetz**
Ein Gastnetz ist ein separates Netz für Besucher oder private Geräte.
Ziel:
Internetzugang ermöglichen,
aber internes Netz schützen.
Typische Regeln:
Gastnetz → Internet erlaubt
Gastnetz → internes LAN blockiert
Gastnetz → Managementnetz blockiert
Merksatz:
Gastnetz darf nicht ins interne Netz führen.
---
**Managementnetz**
Ein Managementnetz dient zur Administration von Systemen.
Dort können liegen:
- Switch-Management
- Firewall-Management
- Server-Management
- Hypervisor-Management
- Storage-Management
- IPMI / iLO / iDRAC
Dieses Netz sollte besonders geschützt sein.
Merksatz:
Managementzugänge besonders abschotten.
---
**IoT-Netz**
Ein IoT-Netz trennt Geräte mit höherem Risiko vom restlichen Netz.
Beispiele:
- Kameras
- smarte Sensoren
- Türsysteme
- Mediengeräte
- Smart-Home-Geräte
- Drucker je nach Umgebung
Regelidee:
IoT darf nur notwendige Ziele erreichen.
Merksatz:
IoT-Geräte nicht blind ins Hauptnetz lassen.
---
**Firewall und VPN**
VPN-Zugänge sollten in Firewall-Regeln berücksichtigt werden.
Beispiel:
VPN-Benutzer dürfen nur bestimmte interne Dienste erreichen.
Nicht automatisch:
VPN darf alles im LAN.
Besser:
VPN-Zone mit gezielten Regeln.
Merksatz:
VPN-Zugriff ebenfalls nach Least Privilege regeln.
---
**Firewall und Monitoring**
Firewalls sollten überwacht werden.
Wichtige Punkte:
- CPU und RAM
- Verbindungsanzahl
- blockierte Angriffe
- VPN-Verbindungen
- Regel-Treffer
- ungewöhnlicher Traffic
- Interface-Auslastung
- Lizenzstatus
- Updates
- Log-Speicher
Merksatz:
Firewall ist kritische Infrastruktur und muss überwacht werden.
---
**Firewall-Fehlersuche systematisch**
Eine sinnvolle Reihenfolge:
1. Quelle bestimmen.
2. Ziel bestimmen.
3. Protokoll bestimmen.
4. Port bestimmen.
5. Richtung bestimmen.
6. Zone oder Interface bestimmen.
7. DNS-Auflösung prüfen.
8. Routing prüfen.
9. NAT-Regeln prüfen.
10. Firewall-Regeln prüfen.
11. Logs prüfen.
12. Dienst auf Zielsystem prüfen.
13. Rückweg prüfen.
Merksatz:
Quelle,
Ziel,
Port,
Richtung
und Logs sind entscheidend.
---
**Was Firewalls nicht machen**
Firewalls machen nicht automatisch:
- Anwendungen fehlerfrei
- Benutzer sicher
- Passwörter stark
- Systeme gepatcht
- Malware unmöglich
- Daten verschlüsselt
- Berechtigungen korrekt
- Backups vorhanden
- Logs automatisch ausgewertet
Merksatz:
Firewall ist wichtig,
aber nur ein Teil des Sicherheitskonzepts.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was macht eine Firewall?
- Was ist der Unterschied zwischen Firewall und NAT?
- Was bedeutet Stateful Inspection?
- Was ist eine DMZ?
- Warum stellt man öffentliche Server in eine DMZ?
- Was ist NAT?
- Was ist PAT?
- Was ist eine Portweiterleitung?
- Was ist der Unterschied zwischen Source NAT und Destination NAT?
- Warum ist Default Deny sicherer?
- Warum ist die Regelreihenfolge wichtig?
- Warum sollte man Any-Any-Regeln vermeiden?
- Warum funktioniert ein Dienst trotz NAT-Regel nicht?
- Was ist der Unterschied zwischen Routing und Firewall?
- Warum können interne und externe Zugriffe unterschiedlich funktionieren?
- Was ist Hairpin NAT?
- Was ist Split DNS?
- Was bedeutet CGNAT?
---
**Typische Prüfungsfallen**
Firewall ist nicht NAT.
NAT ist nicht automatisch Firewall.
NAT übersetzt Adressen.
Firewall erlaubt oder blockiert Verkehr.
PAT übersetzt zusätzlich Ports.
Portweiterleitung macht interne Dienste von außen erreichbar.
NAT-Regel allein reicht nicht,
wenn Firewall blockiert.
Firewall-Regeln haben eine Richtung.
Regelreihenfolge ist wichtig.
Spezifische Regeln vor allgemeine Regeln.
Default Deny ist sicherer als Default Allow.
Any-Any-Regeln vermeiden.
DMZ ist nicht das interne LAN.
DMZ-Server dürfen nicht automatisch alles im LAN erreichen.
Öffentliche Dienste gehören besser in die DMZ.
Routing entscheidet den Weg.
Firewall entscheidet die Erlaubnis.
Port 443 offen heißt nicht,
dass HTTPS korrekt funktioniert.
CGNAT kann eingehende Portweiterleitungen verhindern.
Hairpin NAT betrifft internen Zugriff über öffentliche Adresse.
Split DNS kann Hairpin NAT vermeiden.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| Firewall | kontrolliert Netzwerkverkehr |
| Paketfilter | prüft IP-Adressen, Ports und Protokolle |
| Stateful Firewall | merkt sich Verbindungszustände |
| Stateful Inspection | Prüfung, ob Verkehr zu bestehender Verbindung gehört |
| Regel | Bedingung mit Aktion |
| Allow | erlauben |
| Deny | blockieren |
| Drop | still verwerfen |
| Reject | aktiv ablehnen |
| Default Deny | alles blockieren außer ausdrücklich erlaubt |
| Zone | Sicherheitsbereich im Netzwerk |
| DMZ | separates Netz für öffentliche Dienste |
| NAT | Übersetzung von IP-Adressen |
| PAT | Übersetzung von IP-Adressen und Ports |
| Source NAT | Quelladresse wird geändert |
| Destination NAT | Zieladresse wird geändert |
| Portweiterleitung | externer Port wird intern weitergeleitet |
| Hairpin NAT | interner Zugriff über öffentliche Adresse |
| Split DNS | intern und extern unterschiedliche DNS-Antworten |
| CGNAT | Provider-NAT für mehrere Kunden |
| Any-Any | sehr weit gefasste Regel |
| Bastion Host | abgesicherter Sprungserver |
| Managementnetz | Netz für Administration |
---
**IHK-sichere Kurzformulierung**
Eine Firewall kontrolliert Netzwerkverkehr zwischen Systemen oder Netzbereichen und entscheidet anhand von Regeln, ob Verbindungen erlaubt oder blockiert werden. Typische Kriterien sind Quelle, Ziel, Protokoll, Port, Richtung und Zone. Eine Stateful Firewall berücksichtigt zusätzlich den Zustand bestehender Verbindungen. NAT übersetzt IP-Adressen, während PAT zusätzlich Ports übersetzt. Eine Portweiterleitung ist eine Form von Destination NAT, bei der ein externer Port an ein internes Ziel weitergeleitet wird. Eine DMZ ist ein separates Netz für Dienste, die von außen erreichbar sein müssen, damit diese nicht direkt im internen LAN stehen. Firewall, NAT, Routing und DNS müssen gemeinsam korrekt konfiguriert sein, damit ein Dienst erreichbar ist.
---
**Merksätze**
Firewall kontrolliert Verkehr.
NAT übersetzt Adressen.
PAT übersetzt Adressen und Ports.
Firewall ist nicht NAT.
NAT ist nicht automatisch Firewall.
Routing findet den Weg.
Firewall erlaubt den Weg.
Default Deny ist sicherer.
Regelreihenfolge ist wichtig.
Spezifisch vor allgemein.
Any-Any vermeiden.
Drop schweigt.
Reject antwortet.
Stateful Firewall kennt Verbindungen.
DMZ = separates Netz für öffentliche Dienste.
DMZ schützt internes LAN.
DMZ darf keine freie Brücke ins LAN sein.
Portweiterleitung macht internen Dienst extern erreichbar.
NAT-Regel plus Firewall-Regel müssen passen.
Source NAT ändert Quelle.
Destination NAT ändert Ziel.
Private IPv4-Adressen sind intern gedacht.
Öffentliche IP-Adressen sind im Internet routbar.
CGNAT erschwert eingehende Verbindungen.
Hairpin NAT = intern über öffentliche Adresse.
Split DNS = intern andere Antwort als extern.
Jeder offene Port ist ein Risiko.
Firewall-Regeln dokumentieren und regelmäßig prüfen.
# 11.2 Firewall-Regeln und Regelwerke
Firewall-Regeln bestimmen,
welcher Netzwerkverkehr erlaubt oder blockiert wird.
Eine Firewall-Regel beantwortet im Kern diese Fragen:
Wer möchte kommunizieren?
Mit wem?
Über welches Protokoll?
Über welchen Port?
In welche Richtung?
Aus welcher Zone?
In welche Zone?
Soll der Verkehr erlaubt oder blockiert werden?
Merksatz:
Firewall-Regeln steuern,
wer mit wem über welchen Dienst kommunizieren darf.
---
**Warum sind Firewall-Regeln so wichtig?**
Eine Firewall ist nur so gut wie ihr Regelwerk.
Wenn Regeln zu offen sind,
entsteht ein Sicherheitsrisiko.
Wenn Regeln zu streng oder falsch sind,
funktionieren Dienste nicht.
Beispiele:
Webserver ist nicht erreichbar,
weil TCP 443 blockiert wird.
Datenbank ist zu offen erreichbar,
weil zu viele Quellen erlaubt sind.
Adminzugang ist aus dem Internet erreichbar,
weil eine alte Testregel vergessen wurde.
Merksatz:
Firewall-Regeln müssen sicher und funktionsfähig sein.
---
**Bestandteile einer Firewall-Regel**
Eine typische Firewall-Regel enthält:
- Aktion
- Quelle
- Ziel
- Dienst
- Protokoll
- Port
- Richtung
- Zone oder Interface
- Kommentar
- Logging
- Zeitplan
- Priorität oder Reihenfolge
Beispiel:
Aktion:
Erlauben
Quelle:
Admin-Netz
Ziel:
Webserver in DMZ
Dienst:
SSH TCP 22
Richtung:
LAN → DMZ
Merksatz:
Eine Firewall-Regel braucht Quelle,
Ziel,
Dienst
und Aktion.
---
**Aktion**
Die Aktion sagt,
was mit passendem Verkehr passieren soll.
Typische Aktionen:
| Aktion | Bedeutung |
|---|---|
| Allow | erlauben |
| Deny | blockieren |
| Drop | still verwerfen |
| Reject | aktiv ablehnen |
| Log | protokollieren |
| NAT | übersetzen oder weiterleiten |
Merksatz:
Aktion = Was macht die Firewall mit dem Verkehr?
---
**Quelle**
Die Quelle beschreibt,
woher der Verkehr kommt.
Beispiele:
- einzelne IP-Adresse
- Subnetz
- Sicherheitszone
- Interface
- Benutzergruppe
- VPN-Gruppe
- Hostobjekt
Beispiel:
Quelle:
192.168.10.0/24
bedeutet:
alle Geräte aus diesem Subnetz.
Merksatz:
Quelle = Wer startet die Verbindung?
---
**Ziel**
Das Ziel beschreibt,
wohin der Verkehr gehen soll.
Beispiele:
- einzelner Server
- Subnetz
- DMZ-Zone
- Internet
- Servergruppe
- Datenbankserver
- Reverse Proxy
Beispiel:
Ziel:
192.168.20.10
bedeutet:
genau dieser Zielhost.
Merksatz:
Ziel = Welches System soll erreicht werden?
---
**Dienst**
Der Dienst beschreibt,
welche Anwendung oder welcher Port verwendet wird.
Beispiele:
HTTP
HTTPS
DNS
SSH
RDP
SMB
SMTP
LDAP
NTP
Ein Dienstobjekt besteht meist aus:
Protokoll
plus
Port
Beispiel:
HTTPS:
TCP 443
Merksatz:
Dienst = Protokoll und Port des gewünschten Verkehrs.
---
**Protokoll**
Das Protokoll beschreibt,
ob zum Beispiel TCP, UDP oder ICMP verwendet wird.
Beispiele:
| Protokoll | Beispiel |
|---|---|
| TCP | HTTP, HTTPS, SSH, SMB |
| UDP | DNS, DHCP, NTP, SNMP |
| ICMP | Ping, Fehlermeldungen |
| ESP | IPsec |
| GRE | bestimmte Tunnel |
Merksatz:
Port allein reicht nicht,
das Transportprotokoll muss auch stimmen.
---
**Port**
Der Port gehört zur Transportschicht.
Beispiele:
| Dienst | Port |
|---|---:|
| HTTP | TCP 80 |
| HTTPS | TCP 443 |
| SSH | TCP 22 |
| RDP | TCP 3389 |
| DNS | UDP/TCP 53 |
| NTP | UDP 123 |
| SMB | TCP 445 |
Wichtig:
TCP 53 und UDP 53 sind nicht dasselbe.
TCP 443 und UDP 443 sind nicht dasselbe.
Merksatz:
Port immer zusammen mit TCP oder UDP betrachten.
---
**Richtung**
Die Richtung beschreibt,
von welcher Zone oder welchem Interface der Verkehr wohin geht.
Beispiele:
LAN → WAN
WAN → DMZ
DMZ → LAN
VPN → Servernetz
Gastnetz → Internet
Managementnetz → Switches
Viele Fehler entstehen,
weil Regeln in der falschen Richtung erstellt werden.
Merksatz:
Firewall-Regeln sind richtungsabhängig.
---
**Zone**
Eine Zone ist ein Sicherheitsbereich.
Beispiele:
- LAN
- WAN
- DMZ
- Gastnetz
- Servernetz
- Managementnetz
- VPN
- IoT-Netz
Regeln werden häufig von Zone zu Zone definiert.
Beispiel:
LAN → WAN:
HTTPS erlauben
WAN → LAN:
blockieren
Merksatz:
Zonen helfen,
Netzbereiche mit unterschiedlichem Schutzbedarf zu trennen.
---
**Interface**
Ein Interface ist eine konkrete Netzwerkschnittstelle der Firewall.
Beispiele:
WAN-Port
LAN-Port
DMZ-Port
VLAN-Interface
VPN-Interface
Manche Firewalls arbeiten stärker mit Interfaces,
andere stärker mit Zonen.
Merksatz:
Interface = konkrete Schnittstelle,
Zone = logischer Sicherheitsbereich.
---
**Regelreihenfolge**
Viele Firewalls prüfen Regeln von oben nach unten.
Die erste passende Regel entscheidet.
Beispiel:
Regel 1:
Blockiere LAN → Server TCP 443
Regel 2:
Erlaube LAN → Server TCP 443
Ergebnis:
Verkehr wird blockiert,
weil Regel 1 zuerst passt.
Merksatz:
Die erste passende Regel gewinnt.
---
**Spezifisch vor allgemein**
Spezifische Regeln sollten vor allgemeinen Regeln stehen.
Beispiel richtig:
Regel 1:
Erlaube Admin-PC → Server SSH
Regel 2:
Blockiere restliches SSH
Beispiel falsch:
Regel 1:
Blockiere restliches SSH
Regel 2:
Erlaube Admin-PC → Server SSH
Im falschen Beispiel wird die Erlaubnis nie erreicht.
Merksatz:
Spezifische Regeln vor allgemeine Regeln setzen.
---
**Explizite Regeln**
Explizite Regeln sind bewusst angelegte Regeln.
Beispiel:
Erlaube Webserver → Datenbank TCP 5432
Diese Regel beschreibt genau:
wer
wohin
über welchen Dienst
kommunizieren darf.
Merksatz:
Explizite Regeln sind gezielte Erlaubnisse oder Verbote.
---
**Implizite Regel**
Viele Firewalls haben am Ende eine implizite Regel.
Diese lautet häufig sinngemäß:
Alles blockieren,
was nicht vorher erlaubt wurde.
Das nennt man oft:
implicit deny
Diese Regel ist nicht immer sichtbar,
wirkt aber trotzdem.
Merksatz:
Am Ende steht oft ein unsichtbares „alles blockieren“.
---
**Default Deny**
Default Deny bedeutet:
Standardmäßig ist alles verboten,
außer es wurde ausdrücklich erlaubt.
Das ist sicherer,
weil neue oder vergessene Dienste nicht automatisch erreichbar sind.
Beispiel:
LAN → WAN nur HTTP, HTTPS und DNS erlauben.
Alles andere blockieren.
Merksatz:
Default Deny ist ein wichtiges Sicherheitsprinzip.
---
**Default Allow**
Default Allow bedeutet:
Standardmäßig ist alles erlaubt,
außer es wurde ausdrücklich blockiert.
Das ist einfacher,
aber riskanter.
Problem:
Unbekannte Dienste können unbeabsichtigt erreichbar sein.
Merksatz:
Default Allow ist bequem,
aber oft unsicherer.
---
**Allow-Regel**
Eine Allow-Regel erlaubt bestimmten Verkehr.
Beispiel:
Erlaube
Quelle: LAN
Ziel: Internet
Dienst: HTTPS TCP 443
Bedeutung:
Clients im LAN dürfen HTTPS-Verbindungen ins Internet aufbauen.
Merksatz:
Allow-Regel öffnet gezielt Kommunikation.
---
**Deny-Regel**
Eine Deny-Regel blockiert bestimmten Verkehr.
Beispiel:
Blockiere
Quelle: Gastnetz
Ziel: LAN
Dienst: any
Bedeutung:
Gäste dürfen nicht auf interne Systeme zugreifen.
Merksatz:
Deny-Regel verhindert bestimmte Kommunikation.
---
**Drop-Regel**
Drop bedeutet:
Paket wird still verworfen.
Der Absender bekommt keine direkte Antwort.
Vorteil:
weniger Informationen für Angreifer
Nachteil:
Fehlersuche kann schwieriger sein,
weil Verbindungen einfach timeouten.
Merksatz:
Drop = still verwerfen.
---
**Reject-Regel**
Reject bedeutet:
Paket wird aktiv abgelehnt.
Der Absender erhält eine Rückmeldung.
Vorteil:
Fehlersuche oft klarer
Nachteil:
Absender erfährt,
dass ein System oder Filter aktiv antwortet.
Merksatz:
Reject = aktiv ablehnen.
---
**Logging bei Firewall-Regeln**
Logging bedeutet:
Treffer einer Regel werden protokolliert.
Logs können zeigen:
- Quelle
- Ziel
- Port
- Protokoll
- Zeit
- Aktion
- Regelname
- Zone
- Interface
Logging ist wichtig für:
- Fehlersuche
- Sicherheitsanalyse
- Nachvollziehbarkeit
- Angriffserkennung
Merksatz:
Ohne Firewall-Logs ist Fehlersuche oft blind.
---
**Nicht jede Regel sollte alles loggen**
Zu viel Logging kann problematisch sein.
Nachteile:
- sehr große Logmengen
- wichtige Ereignisse gehen unter
- Speicherverbrauch
- Performancebelastung
- unübersichtliche Analyse
Sinnvoll:
wichtige erlaubte Zugriffe loggen
wichtige Blockierungen loggen
Standardrauschen begrenzen
Merksatz:
Logging gezielt einsetzen.
---
**Objekte in Firewall-Regeln**
Viele Firewalls nutzen Objekte.
Beispiele:
Hostobjekt:
webserver01 = 192.168.20.10
Netzwerkobjekt:
LAN = 192.168.10.0/24
Dienstobjekt:
HTTPS = TCP 443
Vorteil:
Regeln werden lesbarer und leichter pflegbar.
Merksatz:
Objekte machen Firewall-Regeln übersichtlicher.
---
**Adressobjekte**
Adressobjekte beschreiben IP-Adressen oder Netze.
Beispiele:
Admin-PC = 192.168.10.50
Webserver = 192.168.20.10
Servernetz = 192.168.20.0/24
Gastnetz = 192.168.50.0/24
Merksatz:
Adressobjekte benennen IP-Adressen und Netze.
---
**Dienstobjekte**
Dienstobjekte beschreiben Ports und Protokolle.
Beispiele:
HTTPS = TCP 443
DNS = UDP/TCP 53
SSH = TCP 22
NTP = UDP 123
Merksatz:
Dienstobjekte benennen Protokoll-Port-Kombinationen.
---
**Gruppenobjekte**
Objekte können zu Gruppen zusammengefasst werden.
Beispiel:
Webdienste:
HTTP
HTTPS
Oder:
Admin-Hosts:
Admin-PC-1
Admin-PC-2
Bastion-Host
Vorteil:
weniger doppelte Regeln
bessere Übersicht
Merksatz:
Gruppenobjekte vereinfachen Regelwerke.
---
**Any**
Any bedeutet:
beliebig
Beispiele:
Quelle: any
Ziel: any
Dienst: any
Any kann sinnvoll sein,
ist aber gefährlich,
wenn es zu großzügig verwendet wird.
Besonders riskant:
Quelle any
Ziel any
Dienst any
Aktion allow
Merksatz:
Any sparsam verwenden.
---
**Any-Any-Regel**
Eine Any-Any-Regel erlaubt sehr viel.
Beispiel:
Quelle: any
Ziel: any
Dienst: any
Aktion: allow
Das ist meistens ein Sicherheitsproblem.
Solche Regeln sollten vermieden,
dokumentiert oder zeitlich begrenzt werden.
Merksatz:
Any-Any ist fast immer zu offen.
---
**Temporäre Regeln**
Temporäre Firewall-Regeln entstehen oft für Tests oder Störungen.
Problem:
Sie werden später vergessen.
Deshalb sollten temporäre Regeln enthalten:
- Zweck
- Verantwortlicher
- Ablaufdatum
- Ticketnummer
- Kommentar
- Review-Datum
Merksatz:
Temporäre Regeln brauchen Ablaufdatum.
---
**Kommentare in Firewall-Regeln**
Kommentare helfen,
den Zweck einer Regel zu verstehen.
Ein guter Kommentar enthält:
- Warum existiert die Regel?
- Wer hat sie angefordert?
- Welcher Dienst wird benötigt?
- Gibt es ein Ticket?
- Ist sie dauerhaft oder temporär?
Schlecht:
Test
Besser:
Ticket 1234: Webserver DMZ darf Datenbank TCP 5432 erreichen.
Merksatz:
Firewall-Regeln ohne Kommentar werden später unklar.
---
**Regeln nach Diensten planen**
Regeln sollten vom benötigten Dienst aus geplant werden.
Beispiel:
Anwendung braucht Datenbankzugriff.
Dann fragt man:
Welche Quelle?
Welches Ziel?
Welcher Port?
Welches Protokoll?
Welche Richtung?
Dauerhaft oder temporär?
Muss es geloggt werden?
Merksatz:
Erst Bedarf klären,
dann Regel erstellen.
---
**Regel zu breit**
Eine zu breite Regel erlaubt mehr als nötig.
Beispiel schlecht:
LAN → Servernetz any erlauben
Besser:
Anwendungsserver → Datenbank TCP 5432 erlauben
Warum?
Wenn ein Client kompromittiert wird,
kann er bei breiten Regeln mehr Ziele erreichen.
Merksatz:
Breite Regeln erhöhen die Angriffsfläche.
---
**Regel zu eng**
Eine zu enge oder falsche Regel kann Dienste stören.
Beispiel:
DNS nur UDP 53 erlaubt,
aber TCP 53 wird für bestimmte Antworten benötigt.
Oder:
FTP-Port 21 erlaubt,
aber passive Datenports fehlen.
Merksatz:
Regeln müssen sicher,
aber technisch vollständig sein.
---
**Rückverkehr**
Bei Stateful Firewalls wird Rückverkehr oft automatisch erlaubt,
wenn er zu einer bestehenden Verbindung gehört.
Beispiel:
Client → Webserver TCP 443 erlaubt
Antwort:
Webserver → Client gehört zur bestehenden Verbindung
und wird erlaubt.
Bei stateless Regeln muss Rückverkehr oft separat betrachtet werden.
Merksatz:
Stateful Firewalls erleichtern Rückverkehr.
---
**Asymmetrischer Rückweg**
Eine Stateful Firewall erwartet,
dass Hin- und Rückverkehr über dieselbe Firewall laufen.
Wenn der Rückweg anders läuft,
kennt die Firewall die Verbindung nicht.
Folge:
Antwortverkehr kann blockiert werden.
Merksatz:
Stateful Firewalls brauchen passenden Hin- und Rückweg.
---
**Regelrichtung bei Client-Server-Kommunikation**
Bei Client-Server-Kommunikation startet meistens der Client die Verbindung.
Beispiel:
Client im LAN ruft Webserver in DMZ auf.
Regel:
Quelle: LAN-Client
Ziel: DMZ-Webserver
Dienst: HTTPS TCP 443
Nicht umgekehrt.
Merksatz:
Regelrichtung nach Verbindungsaufbau bestimmen.
---
**Quellport und Zielport**
Bei Client-Server-Verbindungen ist der Zielport meist der bekannte Dienstport.
Beispiel:
Client-Quellport:
zufällig hoher Port
Server-Zielport:
TCP 443
Firewall-Regeln beziehen sich meist auf den Zielport des Dienstes.
Merksatz:
Standardport ist meistens Zielport beim Server.
---
**Ephemeral Ports**
Ephemeral Ports sind kurzlebige hohe Ports,
die Clients für ausgehende Verbindungen verwenden.
Beispiel:
Client 192.168.10.50:53124
→ Webserver 203.0.113.10:443
Der Quellport 53124 ist ein temporärer Clientport.
Merksatz:
Clients nutzen temporäre Quellports.
---
**ICMP in Firewall-Regeln**
ICMP ist wichtig für Diagnose und Netzwerkfunktion.
Beispiele:
- Ping
- Ziel nicht erreichbar
- Fragmentierung nötig
- Time Exceeded bei Traceroute
ICMP komplett zu blockieren kann Fehlersuche erschweren
und bestimmte Netzwerkfunktionen stören.
Merksatz:
ICMP ist mehr als nur Ping.
---
**Ping erlauben oder blockieren?**
Ping kann bei Fehlersuche helfen.
Aber:
Ping offen zeigt,
dass ein System erreichbar ist.
In vielen Umgebungen wird Ping intern erlaubt,
extern aber eingeschränkt.
Wichtig ist eine bewusste Entscheidung.
Merksatz:
ICMP bewusst regeln,
nicht blind alles blockieren.
---
**DNS-Regeln**
DNS braucht je nach Fall UDP und TCP 53.
Typische Regel:
Clients → interner DNS-Server UDP/TCP 53 erlauben
Nicht ideal:
Alle Clients → beliebige externe DNS-Server erlauben
Warum?
Interne DNS-Kontrolle,
Filterung
und Protokollierung können umgangen werden.
Merksatz:
DNS gezielt zu erlaubten Resolvern steuern.
---
**HTTP- und HTTPS-Regeln**
Typische ausgehende Webregel:
Clients → Internet TCP 80 und TCP 443 erlauben
Sicherer:
über Proxy steuern
oder
Zielkategorien beschränken
Wichtig:
TCP 443 erlaubt nicht automatisch sichere Anwendung,
weil auch unerwünschter Verkehr über 443 laufen kann.
Merksatz:
HTTPS-Port offen heißt nicht automatisch sicherer Inhalt.
---
**Administrationsregeln**
Administrative Zugriffe sollten besonders eingeschränkt werden.
Beispiele:
SSH nur aus Managementnetz
RDP nur über VPN
Firewall-Webinterface nur von Admin-PCs
Datenbankport nicht für Clients öffnen
Hypervisor-Management getrennt halten
Merksatz:
Adminzugriffe nur aus Managementbereichen erlauben.
---
**Datenbankregeln**
Datenbanken sollten nicht allgemein erreichbar sein.
Beispiel:
Webserver → Datenbank TCP 5432 erlauben
Aber nicht:
gesamtes LAN → Datenbank any erlauben
Datenbankzugriff ist besonders sensibel.
Merksatz:
Datenbanken nur für notwendige Systeme öffnen.
---
**DMZ-Regeln**
In einer DMZ gilt:
Internet → DMZ:
nur öffentliche Dienste erlauben
DMZ → LAN:
nur zwingend notwendige Verbindungen erlauben
LAN → DMZ:
Administration nur gezielt erlauben
Beispiel:
Internet → Reverse Proxy TCP 443 erlauben
Reverse Proxy → interner Webdienst TCP 8080 erlauben
Reverse Proxy → gesamtes LAN any blockieren
Merksatz:
DMZ-Regeln müssen besonders eng sein.
---
**Gastnetz-Regeln**
Typische Gastnetzregeln:
Gastnetz → Internet:
HTTP/HTTPS/DNS erlauben
Gastnetz → LAN:
blockieren
Gastnetz → Managementnetz:
blockieren
Gastnetz → Servernetz:
blockieren
Merksatz:
Gäste bekommen Internet,
aber keinen internen Zugriff.
---
**IoT-Regeln**
IoT-Geräte sollten eingeschränkt werden.
Beispiele:
IoT → Internet nur notwendige Dienste
IoT → LAN blockieren
Admin-Netz → IoT-Verwaltung erlauben
IoT → DNS nur zu internem Resolver
IoT → NTP nur zu freigegebenem Zeitserver
Merksatz:
IoT-Geräte nur kontrolliert kommunizieren lassen.
---
**VPN-Regeln**
VPN-Zugriff sollte nicht automatisch alles erlauben.
Besser:
VPN-Gruppe Support → bestimmte Server RDP
VPN-Gruppe Admin → Managementnetz SSH
VPN-Gruppe Extern → nur benötigte Anwendung
Merksatz:
VPN-Zugriff nach Rolle und Bedarf einschränken.
---
**Regelprüfung bei Störung**
Wenn ein Dienst nicht funktioniert,
prüft man bei der Firewall:
- kommt Verkehr an?
- welche Regel greift?
- wird erlaubt oder blockiert?
- stimmt Quelle?
- stimmt Ziel?
- stimmt Port?
- stimmt Protokoll?
- stimmt Richtung?
- greift vorher eine Blockregel?
- ist NAT zusätzlich nötig?
- gibt es Rückverkehr?
Merksatz:
Bei Störung immer die tatsächlich getroffene Regel prüfen.
---
**Hit Count**
Viele Firewalls zeigen,
wie oft eine Regel getroffen wurde.
Das nennt man oft:
Hit Count
Nützlich für:
- aktive Regeln erkennen
- ungenutzte Regeln finden
- Regelprüfung
- Aufräumen
- Fehlersuche
Aber:
Kein Hit Count heißt nicht immer,
dass Regel sicher gelöscht werden kann.
Merksatz:
Hit Count hilft,
ersetzt aber keine fachliche Prüfung.
---
**Shadowed Rule**
Eine shadowed rule ist eine Regel,
die nie erreicht wird,
weil eine vorherige Regel den Verkehr bereits behandelt.
Beispiel:
Regel 1:
Blockiere LAN → Server any
Regel 2:
Erlaube LAN → Server HTTPS
Regel 2 wird nie wirken,
wenn Regel 1 vorher greift.
Merksatz:
Shadowed Rule = Regel wird durch frühere Regel verdeckt.
---
**Redundante Regel**
Eine redundante Regel ist überflüssig,
weil eine andere Regel denselben Verkehr bereits behandelt.
Problem:
Regelwerk wird unübersichtlich.
Merksatz:
Redundante Regeln erschweren Wartung und Fehlersuche.
---
**Regelkonflikt**
Ein Regelkonflikt entsteht,
wenn Regeln widersprüchlich oder unklar wirken.
Beispiel:
Eine Regel erlaubt Zugriff.
Eine andere blockiert scheinbar denselben Zugriff.
Entscheidend ist dann:
Reihenfolge
Genauigkeit
Zonen
Objekte
tatsächlicher Treffer
Merksatz:
Bei Konflikten zählt die Regel,
die tatsächlich zuerst passt.
---
**Firewall-Änderungsprozess**
Firewall-Änderungen sollten kontrolliert ablaufen.
Typischer Ablauf:
1. Anforderung stellen.
2. Zweck beschreiben.
3. Quelle, Ziel und Dienst angeben.
4. Risiko bewerten.
5. Änderung genehmigen.
6. Regel umsetzen.
7. Funktion testen.
8. Dokumentation aktualisieren.
9. Regel später überprüfen.
Merksatz:
Firewall-Änderungen brauchen Kontrolle und Dokumentation.
---
**Vor einer Regeländerung klären**
Vor einer Firewall-Regeländerung sollte klar sein:
Wer braucht Zugriff?
Von wo nach wo?
Welcher Dienst?
Welcher Port?
TCP oder UDP?
Dauerhaft oder temporär?
Muss NAT eingerichtet werden?
Gibt es Sicherheitsrisiken?
Gibt es eine bessere Alternative?
Wer ist verantwortlich?
Merksatz:
Keine Firewall-Regel ohne klaren Zweck.
---
**Nach einer Regeländerung testen**
Nach Änderung testet man:
funktioniert der Dienst?
ist nur gewünschter Zugriff möglich?
sind unerwünschte Zugriffe blockiert?
erscheinen Logs korrekt?
greift die richtige Regel?
ist NAT korrekt?
funktioniert Rückverkehr?
ist Dokumentation aktualisiert?
Merksatz:
Firewall-Regel nach Änderung immer testen.
---
**Regelbereinigung**
Regelwerke sollten regelmäßig bereinigt werden.
Dabei prüft man:
- alte Regeln
- temporäre Regeln
- ungenutzte Regeln
- Any-Any-Regeln
- redundante Regeln
- shadowed rules
- fehlende Kommentare
- zu breite Freigaben
- nicht mehr benötigte Dienste
Merksatz:
Firewall-Regelwerke altern und müssen gepflegt werden.
---
**Typische Fehler bei Firewall-Regeln**
Typische Fehler sind:
- falsche Richtung
- falsche Quelle
- falsches Ziel
- falscher Port
- TCP statt UDP oder umgekehrt
- falsche Zone
- falsche Regelreihenfolge
- NAT vergessen
- Rückweg vergessen
- DNS-Name zeigt auf anderes Ziel
- Objekt falsch gepflegt
- temporäre Regel vergessen
- zu breite Any-Regel
Merksatz:
Firewall-Fehler sind oft Detailfehler.
---
**Beispiel: Webserver in DMZ freigeben**
Anforderung:
Externe Benutzer sollen Webserver in DMZ per HTTPS erreichen.
Benötigt:
Quelle:
Internet
Ziel:
Webserver oder Reverse Proxy in DMZ
Dienst:
HTTPS TCP 443
Richtung:
WAN → DMZ
NAT:
öffentliche IP auf DMZ-Ziel weiterleiten
Firewall:
TCP 443 erlauben
Merksatz:
Externer Webdienst braucht NAT und passende Firewall-Regel.
---
**Beispiel: Adminzugriff auf DMZ-Server**
Anforderung:
Administrator soll per SSH auf DMZ-Server zugreifen.
Besser:
Quelle:
Admin-Netz oder Bastion Host
Ziel:
DMZ-Server
Dienst:
SSH TCP 22
Richtung:
Management → DMZ
Nicht gut:
Internet → DMZ-Server SSH erlauben
Merksatz:
Administration nicht aus beliebigen Quellen erlauben.
---
**Beispiel: Webserver zur Datenbank**
Anforderung:
Webserver braucht Datenbankzugriff.
Regel:
Quelle:
Webserver
Ziel:
Datenbankserver
Dienst:
passender Datenbankport
Richtung:
DMZ oder App-Netz → DB-Netz
Wichtig:
Nicht gesamtes Netz zur Datenbank erlauben.
Merksatz:
Datenbankzugriff nur von notwendigen Systemen erlauben.
---
**Beispiel: DNS im Clientnetz**
Anforderung:
Clients sollen Namen auflösen.
Regel:
Quelle:
Clientnetz
Ziel:
interner DNS-Server
Dienst:
DNS UDP/TCP 53
Optional:
externe DNS-Server für Clients blockieren,
damit DNS zentral kontrolliert bleibt.
Merksatz:
Clients sollten definierte DNS-Resolver nutzen.
---
**Beispiel: Gastnetz**
Anforderung:
Gäste brauchen Internet,
aber keinen Zugriff ins LAN.
Regeln:
Gastnetz → Internet HTTPS erlauben
Gastnetz → Internet DNS erlauben
Gastnetz → LAN blockieren
Gastnetz → Managementnetz blockieren
Gastnetz → Servernetz blockieren
Merksatz:
Gastnetz strikt vom internen Netz trennen.
---
**Was Firewall-Regelwerke nicht lösen**
Firewall-Regeln lösen nicht automatisch:
- falsche Anwendungskonfiguration
- schwache Passwörter
- fehlende Updates
- unsichere Dienste
- fehlerhafte DNS-Einträge
- falsche Zertifikate
- schlechte Berechtigungen
- fehlendes Monitoring
- fehlende Backups
Merksatz:
Firewall-Regeln sind wichtig,
ersetzen aber kein Gesamtsicherheitskonzept.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Welche Bestandteile hat eine Firewall-Regel?
- Warum ist die Regelreihenfolge wichtig?
- Was bedeutet Default Deny?
- Was ist der Unterschied zwischen Allow, Drop und Reject?
- Warum sind Any-Any-Regeln gefährlich?
- Warum sollten spezifische Regeln vor allgemeinen Regeln stehen?
- Was ist eine implizite Deny-Regel?
- Was ist ein Dienstobjekt?
- Was ist ein Adressobjekt?
- Was ist eine shadowed rule?
- Warum müssen Firewall-Regeln dokumentiert werden?
- Warum sind temporäre Regeln riskant?
- Wie prüft man eine Firewall-Regel bei einer Störung?
- Warum reicht eine NAT-Regel allein nicht aus?
- Warum sollte VPN-Zugriff nicht automatisch alles erlauben?
---
**Typische Prüfungsfallen**
Firewall-Regeln sind richtungsabhängig.
Die erste passende Regel entscheidet.
Spezifisch vor allgemein.
Port immer mit Protokoll betrachten.
TCP 53 ist nicht UDP 53.
TCP 443 ist nicht UDP 443.
Any bedeutet beliebig.
Any-Any ist meist zu offen.
Default Deny ist sicherer als Default Allow.
Drop und Reject sind nicht dasselbe.
Logging ist wichtig,
aber zu viel Logging kann unübersichtlich werden.
NAT ersetzt keine Firewall-Regel.
Firewall-Regel ersetzt keine NAT-Regel.
Rückverkehr bei Stateful Firewalls beachten.
Asymmetrisches Routing kann Stateful Firewalls stören.
Temporäre Regeln brauchen Ablaufdatum.
Regeln ohne Kommentar werden später problematisch.
VPN-Zugriff muss ebenfalls eingeschränkt werden.
DNS-Regeln sollten UDP und TCP beachten.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| Firewall-Regel | Bedingung mit Aktion für Netzwerkverkehr |
| Aktion | erlauben, blockieren, verwerfen oder ablehnen |
| Quelle | System oder Netz, von dem Verkehr ausgeht |
| Ziel | System oder Netz, das erreicht werden soll |
| Dienst | Protokoll-Port-Kombination |
| Richtung | Verkehrsrichtung zwischen Zonen oder Interfaces |
| Zone | logischer Sicherheitsbereich |
| Interface | konkrete Netzwerkschnittstelle |
| Allow | Verkehr erlauben |
| Deny | Verkehr blockieren |
| Drop | Paket still verwerfen |
| Reject | Paket aktiv ablehnen |
| Default Deny | alles blockieren, außer erlaubt |
| Any | beliebige Quelle, beliebiges Ziel oder beliebiger Dienst |
| Any-Any | sehr breite Regel mit beliebig zu beliebig |
| Hit Count | Anzahl der Regel-Treffer |
| Shadowed Rule | verdeckte Regel, die nie erreicht wird |
| Redundante Regel | überflüssige doppelte Regel |
| Dienstobjekt | benannter Port mit Protokoll |
| Adressobjekt | benannte IP-Adresse oder Netz |
| Regelreview | regelmäßige Prüfung des Regelwerks |
---
**IHK-sichere Kurzformulierung**
Firewall-Regeln legen fest, welcher Netzwerkverkehr erlaubt oder blockiert wird. Eine Regel besteht typischerweise aus Aktion, Quelle, Ziel, Dienst, Protokoll, Port, Richtung und Zone. Viele Firewalls arbeiten Regeln von oben nach unten ab, sodass die erste passende Regel entscheidet. Deshalb müssen spezifische Regeln vor allgemeinen Regeln stehen. Das Prinzip Default Deny bedeutet, dass alles blockiert wird, was nicht ausdrücklich erlaubt wurde. Firewall-Regeln sollten möglichst eng gefasst, dokumentiert, regelmäßig überprüft und nach Änderungen getestet werden. NAT-Regeln und Firewall-Regeln sind zu unterscheiden: NAT übersetzt Adressen oder Ports, die Firewall erlaubt oder blockiert den Verkehr.
---
**Merksätze**
Firewall-Regel = Quelle,
Ziel,
Dienst
und Aktion.
Aktion entscheidet,
was mit Verkehr passiert.
Quelle = wer startet Verbindung.
Ziel = wer soll erreicht werden.
Dienst = Protokoll plus Port.
Port immer mit TCP oder UDP betrachten.
Richtung ist entscheidend.
Zone = Sicherheitsbereich.
Interface = konkrete Schnittstelle.
Die erste passende Regel gewinnt.
Spezifisch vor allgemein.
Default Deny ist sicherer.
Allow erlaubt.
Deny blockiert.
Drop schweigt.
Reject antwortet.
Any sparsam verwenden.
Any-Any vermeiden.
NAT ersetzt keine Firewall-Regel.
Firewall-Regel ersetzt keine NAT-Regel.
Stateful Firewall kennt Rückverkehr.
Asymmetrischer Rückweg kann stören.
DNS braucht oft UDP und TCP 53.
Adminzugriffe nur aus Managementnetzen erlauben.
Datenbanken nur für notwendige Systeme öffnen.
VPN-Zugriff nicht automatisch alles erlauben.
Temporäre Regeln brauchen Ablaufdatum.
Kommentare erklären den Zweck.
Hit Count hilft beim Prüfen.
Shadowed Rules finden und bereinigen.
Firewall-Regeln regelmäßig überprüfen.
# 11.3 NAT, PAT und Portweiterleitung im Detail
NAT und PAT werden in IPv4-Netzwerken sehr häufig eingesetzt.
Sie ermöglichen,
dass interne private IP-Adressen mit externen Netzen kommunizieren können.
NAT steht für:
Network Address Translation
PAT steht für:
Port Address Translation
Portweiterleitung wird genutzt,
um einen internen Dienst von außen erreichbar zu machen.
Merksatz:
NAT übersetzt IP-Adressen.
PAT übersetzt IP-Adressen und Ports.
Portweiterleitung macht interne Dienste erreichbar.
---
**Warum gibt es NAT?**
IPv4-Adressen sind begrenzt.
Deshalb werden in lokalen Netzwerken häufig private IPv4-Adressen verwendet.
Diese privaten Adressen sind im Internet nicht direkt geroutet.
Beispiele:
192.168.1.10
10.0.0.20
172.16.5.30
Damit solche Geräte trotzdem ins Internet können,
übersetzt ein Router oder eine Firewall die privaten Adressen in eine öffentliche Adresse.
Merksatz:
NAT ermöglicht Internetzugang mit privaten IPv4-Adressen.
---
**Private IPv4-Adressen**
Private IPv4-Adressbereiche sind für interne Netze vorgesehen.
| Bereich | CIDR | typische Nutzung |
|---|---|---|
| 10.0.0.0 bis 10.255.255.255 | 10.0.0.0/8 | große interne Netze |
| 172.16.0.0 bis 172.31.255.255 | 172.16.0.0/12 | mittlere interne Netze |
| 192.168.0.0 bis 192.168.255.255 | 192.168.0.0/16 | Heimnetze und kleine Netze |
Diese Adressen sind im öffentlichen Internet nicht direkt erreichbar.
Merksatz:
Private IPv4-Adressen sind intern nutzbar,
aber nicht öffentlich geroutet.
---
**Öffentliche IPv4-Adresse**
Eine öffentliche IPv4-Adresse ist im Internet routbar.
Sie wird zum Beispiel vom Internetanbieter zugewiesen.
Beispiel:
Router WAN-Adresse:
öffentliche IPv4-Adresse
Client im LAN:
private IPv4-Adresse
Der Router übersetzt beim Internetzugriff die private Adresse in die öffentliche Adresse.
Merksatz:
Öffentliche IP-Adresse ist im Internet sichtbar.
---
**NAT-Grundprinzip**
Ein interner Client baut eine Verbindung ins Internet auf.
Vor NAT:
Quelle:
192.168.10.50
Ziel:
93.184.216.34
Nach NAT:
Quelle:
öffentliche IP des Routers
Ziel:
93.184.216.34
Der externe Server sieht nicht die private IP des Clients,
sondern die öffentliche IP der Firewall oder des Routers.
Merksatz:
NAT versteckt private Quelladressen hinter einer öffentlichen Adresse.
---
**NAT-Tabelle**
Damit Antworten wieder zum richtigen internen Client zurückkommen,
führt das NAT-Gerät eine Zuordnungstabelle.
Dort steht vereinfacht:
Interner Client mit internem Port
gehört zu
externer Verbindung mit übersetztem Port.
Beispiel:
| intern | extern sichtbar | Ziel |
|---|---|---|
| 192.168.10.50:50123 | 203.0.113.10:61001 | 93.184.216.34:443 |
| 192.168.10.51:50200 | 203.0.113.10:61002 | 93.184.216.34:443 |
Merksatz:
NAT merkt sich,
welche interne Verbindung zu welcher externen Verbindung gehört.
---
**Source NAT**
Source NAT ändert die Quelladresse.
Typischer Fall:
interner Client geht ins Internet.
Vor Source NAT:
Quelle:
192.168.10.50
Ziel:
93.184.216.34
Nach Source NAT:
Quelle:
öffentliche IP
Ziel:
93.184.216.34
Merksatz:
Source NAT ändert die Quelle.
---
**Destination NAT**
Destination NAT ändert die Zieladresse.
Typischer Fall:
externer Zugriff auf internen Dienst.
Beispiel:
öffentliche IP TCP 443
wird weitergeleitet an
interner Webserver TCP 443
Vor Destination NAT:
Ziel:
öffentliche IP:443
Nach Destination NAT:
Ziel:
192.168.10.20:443
Merksatz:
Destination NAT ändert das Ziel.
---
**PAT**
PAT steht für:
Port Address Translation
PAT übersetzt zusätzlich Ports.
Das ist besonders wichtig,
wenn viele interne Geräte dieselbe öffentliche IPv4-Adresse verwenden.
Beispiel:
Client A:
192.168.10.10:50001
Client B:
192.168.10.11:50001
Extern kann beides über dieselbe öffentliche IP laufen,
weil unterschiedliche übersetzte Ports genutzt werden.
Merksatz:
PAT macht viele interne Verbindungen über eine öffentliche IP möglich.
---
**NAT und PAT vergleichen**
| Begriff | Bedeutung | Beispiel |
|---|---|---|
| NAT | IP-Adresse wird übersetzt | 192.168.10.50 → öffentliche IP |
| PAT | IP-Adresse und Port werden übersetzt | 192.168.10.50:50123 → öffentliche IP:61001 |
| Source NAT | Quelle wird geändert | LAN → Internet |
| Destination NAT | Ziel wird geändert | Internet → interner Server |
| Portweiterleitung | externer Port wird intern weitergeleitet | WAN:443 → Server:443 |
Merksatz:
NAT = Adresse.
PAT = Adresse plus Port.
---
**Warum PAT so häufig ist**
In Heimnetzen und kleinen Unternehmensnetzen gibt es oft nur eine öffentliche IPv4-Adresse.
Trotzdem sollen viele Geräte gleichzeitig ins Internet.
Beispiele:
Notebook
Smartphone
Server
Drucker
Smart-TV
NAS
virtuelle Maschinen
PAT unterscheidet diese Verbindungen über Ports.
Merksatz:
PAT löst das Problem,
dass viele interne Geräte eine öffentliche IPv4-Adresse teilen.
---
**Portweiterleitung**
Portweiterleitung bedeutet:
Ein Port auf der öffentlichen Adresse wird an ein internes Ziel weitergeleitet.
Beispiel:
öffentliche IP:443
→ 192.168.10.20:443
Oder:
öffentliche IP:8443
→ 192.168.10.20:443
Portweiterleitung ist eine Form von Destination NAT.
Merksatz:
Portweiterleitung leitet externe Anfragen an interne Dienste weiter.
---
**Beispiel: Webserver intern veröffentlichen**
Situation:
Interner Webserver:
192.168.10.20
Dienst:
HTTPS TCP 443
Ziel:
Benutzer aus dem Internet sollen den Webserver erreichen.
Benötigt:
DNS zeigt auf öffentliche IP.
Portweiterleitung WAN:443 → 192.168.10.20:443.
Firewall-Regel erlaubt TCP 443.
Webserver hört auf TCP 443.
Zertifikat passt zum Hostnamen.
Merksatz:
Externer Webzugriff braucht DNS,
NAT,
Firewall,
Dienst
und Zertifikat.
---
**Portweiterleitung und Firewall-Regel**
Eine Portweiterleitung allein reicht nicht immer.
Man braucht oft zusätzlich eine Firewall-Regel.
NAT-Regel:
Wohin soll der Verkehr übersetzt werden?
Firewall-Regel:
Darf der Verkehr überhaupt durch?
Beispiel:
NAT:
WAN:443 → Webserver:443
Firewall:
Erlaube WAN → Webserver TCP 443
Wenn die Firewall blockiert,
funktioniert der Zugriff trotz NAT nicht.
Merksatz:
NAT leitet um.
Firewall erlaubt oder blockiert.
---
**Portweiterleitung und DNS**
Damit Benutzer einen Dienst bequem erreichen,
wird meist ein DNS-Name genutzt.
Beispiel:
cloud.firma.de
→ öffentliche IP
Dann leitet die Firewall weiter:
öffentliche IP:443
→ interner Server:443
Wenn DNS auf die falsche IP zeigt,
erreicht der Benutzer den falschen Anschluss oder Server.
Merksatz:
DNS muss zur öffentlichen Adresse der Portweiterleitung passen.
---
**Portweiterleitung und Zertifikate**
Bei HTTPS muss das Zertifikat zum aufgerufenen Namen passen.
Beispiel:
Benutzer ruft auf:
https://cloud.firma.de
Zertifikat muss gültig sein für:
cloud.firma.de
Wenn DNS oder Portweiterleitung auf den falschen Server zeigt,
kann ein falsches Zertifikat ausgeliefert werden.
Merksatz:
HTTPS-Veröffentlichung braucht passenden DNS-Namen und passendes Zertifikat.
---
**Portweiterleitung und Reverse Proxy**
Oft wird nicht jeder interne Dienst direkt veröffentlicht.
Stattdessen zeigt die Portweiterleitung auf einen Reverse Proxy.
Beispiel:
öffentliche IP:443
→ Reverse Proxy in DMZ
Der Reverse Proxy leitet dann nach Hostname weiter:
wiki.firma.de → interner Wiki-Server
cloud.firma.de → interner Cloud-Server
git.firma.de → interner Git-Server
Merksatz:
Reverse Proxy kann mehrere interne Webdienste über HTTPS bündeln.
---
**Portweiterleitung und mehrere Dienste**
Ein öffentlicher Port kann auf einer öffentlichen IP nur einmal eindeutig belegt werden.
Beispiel:
öffentliche IP:443
kann nicht gleichzeitig direkt auf drei verschiedene Server zeigen.
Lösung:
Reverse Proxy mit Hostnamen
oder
unterschiedliche externe Ports
oder
mehrere öffentliche IP-Adressen
Merksatz:
Ein Port auf einer IP kann nur eindeutig einem Ziel zugeordnet werden.
---
**Externer Port und interner Port**
Bei Portweiterleitung können externer und interner Port gleich oder unterschiedlich sein.
Beispiel gleich:
WAN:443 → Server:443
Beispiel unterschiedlich:
WAN:8443 → Server:443
Das kann für Tests nützlich sein,
sollte aber sauber dokumentiert werden.
Merksatz:
Externer Port und interner Port müssen nicht identisch sein.
---
**Sicherheitsrisiko Portweiterleitung**
Eine Portweiterleitung macht einen internen Dienst von außen erreichbar.
Das erhöht die Angriffsfläche.
Risiken:
- Brute-Force-Angriffe
- Ausnutzung von Schwachstellen
- Fehlkonfiguration
- veraltete Software
- offene Adminoberflächen
- schwache Passwörter
- unnötige Dienste im Internet
Merksatz:
Jeder veröffentlichte Port ist ein potenzieller Angriffspunkt.
---
**Was sollte man nicht direkt veröffentlichen?**
Nicht direkt ins Internet gehören normalerweise:
- SMB TCP 445
- RDP TCP 3389
- Datenbankports
- Drucker
- interne Adminoberflächen
- Hypervisor-Management
- NAS-Adminoberflächen
- unsichere Webinterfaces
- Telnet TCP 23
- unverschlüsseltes FTP
Besser:
VPN,
Reverse Proxy,
Zero-Trust-Zugriff,
Bastion Host
oder
gezielte Zugriffsbeschränkung.
Merksatz:
Administrative und interne Dienste nicht direkt ins Internet öffnen.
---
**Portweiterleitung und Quellbeschränkung**
Eine Portweiterleitung kann sicherer werden,
wenn nur bestimmte Quellen erlaubt sind.
Beispiel:
Nur Admin-IP darf SSH erreichen.
Oder:
Nur Partnernetz darf API erreichen.
Vorteil:
nicht jeder im Internet kann den Dienst erreichen.
Merksatz:
Wenn möglich,
Zugriff auf bekannte Quellen beschränken.
---
**Portweiterleitung und VPN**
Oft ist VPN sicherer als direkte Portweiterleitung.
Beispiel:
Kein RDP direkt aus dem Internet.
Stattdessen:
Benutzer verbindet sich per VPN.
Danach RDP intern nutzen.
Vorteil:
RDP-Port ist nicht öffentlich sichtbar.
Merksatz:
Für Administration lieber VPN statt direkter Portweiterleitung.
---
**NAT ist keine echte Sicherheitsfunktion**
NAT verhindert zwar,
dass interne private Adressen direkt aus dem Internet erreichbar sind.
Aber NAT ist nicht dasselbe wie eine Firewall.
Eine Firewall prüft und steuert Verkehr bewusst.
NAT übersetzt Adressen.
Merksatz:
NAT ist nicht automatisch Sicherheit.
---
**NAT und IPv6**
Bei IPv6 ist NAT normalerweise nicht in derselben Form nötig,
weil es sehr viele öffentliche IPv6-Adressen gibt.
IPv6-Netze arbeiten eher mit:
- Routing
- Firewall-Regeln
- global eindeutigen Adressen
- Prefix Delegation
Wichtig:
Ohne NAT sind Systeme nicht automatisch ungeschützt.
Die Firewall bleibt entscheidend.
Merksatz:
IPv6 braucht meist weniger NAT,
aber weiterhin Firewall-Regeln.
---
**NAT und Protokollprobleme**
Manche Protokolle sind schwierig mit NAT.
Gründe:
- IP-Adressen stehen im Protokollinhalt
- mehrere Verbindungen werden verwendet
- dynamische Ports werden genutzt
- eingehende Rückverbindungen sind nötig
Beispiele:
FTP
SIP
bestimmte VPN-Protokolle
ältere Anwendungen
Merksatz:
NAT kann Protokolle stören,
die zusätzliche Verbindungsinformationen enthalten.
---
**FTP und NAT**
FTP kann mit NAT kompliziert sein,
weil FTP Steuer- und Datenverbindungen verwendet.
Typische Fehler:
Login funktioniert,
aber Dateiliste nicht.
Dateiübertragung startet nicht.
Passiver Portbereich ist nicht freigegeben.
Server gibt falsche externe IP aus.
Merksatz:
FTP braucht bei NAT besondere Beachtung.
---
**SIP und NAT**
SIP wird häufig bei VoIP verwendet.
SIP kann durch NAT Probleme bekommen,
weil Adressen und Ports im Signalisierungsverkehr eine Rolle spielen.
Mögliche Fehler:
kein Audio
nur einseitiges Audio
Anrufaufbau scheitert
Registrierung bricht ab
Merksatz:
VoIP-Protokolle können durch NAT besondere Probleme bekommen.
---
**NAT Loopback**
NAT Loopback ist ein anderer Begriff für Hairpin NAT.
Es beschreibt,
dass interne Clients über die öffentliche Adresse auf einen internen Dienst zugreifen.
Beispiel:
Client im LAN ruft cloud.firma.de auf.
DNS liefert öffentliche IP.
Router leitet Verbindung wieder zurück nach innen.
Merksatz:
NAT Loopback = Hairpin NAT.
---
**Hairpin NAT**
Hairpin NAT bedeutet:
Ein interner Client nutzt die öffentliche Adresse,
um einen internen Dienst zu erreichen.
Ohne Hairpin NAT kann passieren:
Dienst funktioniert extern,
aber intern über denselben Namen nicht.
Alternative:
Split DNS
Merksatz:
Hairpin NAT hilft,
wenn interne Clients öffentliche Namen verwenden.
---
**Split DNS**
Split DNS liefert intern und extern unterschiedliche DNS-Antworten.
Beispiel:
cloud.firma.de extern:
öffentliche IP
cloud.firma.de intern:
interne IP
Vorteil:
interne Clients gehen direkt zum internen Ziel,
ohne Hairpin NAT zu brauchen.
Merksatz:
Split DNS ist oft sauberer als Hairpin NAT.
---
**CGNAT**
CGNAT steht für:
Carrier Grade NAT
Dabei teilt der Provider eine öffentliche IPv4-Adresse auf mehrere Kunden auf.
Der eigene Router bekommt dann keine echte öffentliche IPv4-Adresse.
Folge:
klassische eingehende Portweiterleitungen funktionieren oft nicht.
Erkennbar oft daran:
WAN-IP am Router ist privat oder aus speziellem Providerbereich,
aber öffentliche IP im Internet ist eine andere.
Merksatz:
CGNAT verhindert häufig direkte eingehende IPv4-Verbindungen.
---
**Lösungen bei CGNAT**
Wenn eingehende Verbindungen wegen CGNAT nicht funktionieren,
gibt es mögliche Alternativen:
- echte öffentliche IPv4-Adresse beim Provider buchen
- IPv6 verwenden
- VPN zu einem externen Server
- Cloud-Tunnel
- Reverse SSH Tunnel
- Zero-Trust-Tunnel
- Hosting eines öffentlichen Einstiegspunkts
Merksatz:
Bei CGNAT braucht man oft Tunnel,
IPv6
oder eine echte öffentliche IPv4-Adresse.
---
**Double NAT**
Double NAT bedeutet:
Es gibt zwei NAT-Geräte hintereinander.
Beispiel:
Provider-Router macht NAT.
Eigener Router macht ebenfalls NAT.
Folgen:
- Portweiterleitungen müssen auf beiden Geräten passen
- Fehlersuche wird schwieriger
- manche Protokolle machen Probleme
- Gaming, VPN oder VoIP können gestört sein
Merksatz:
Double NAT erschwert eingehende Verbindungen.
---
**NAT und Rückweg**
Damit NAT funktioniert,
muss der Rückverkehr wieder über dasselbe NAT-Gerät laufen.
Wenn Rückwege anders laufen,
kann die Zuordnung fehlen.
Das betrifft besonders:
- mehrere Router
- mehrere Firewalls
- asymmetrisches Routing
- mehrere Internetanschlüsse
- komplexe VPN-Setups
Merksatz:
NAT braucht passenden Rückweg.
---
**Portweiterleitung testen**
Beim Testen einer Portweiterleitung sollte man prüfen:
DNS zeigt auf richtige öffentliche IP?
öffentliche IP ist wirklich am Anschluss?
CGNAT ausgeschlossen?
NAT-Regel korrekt?
Firewall-Regel korrekt?
Zielserver erreichbar?
Dienst läuft auf Zielport?
Zielserver-Firewall erlaubt Zugriff?
Zertifikat passt?
Logs zeigen Verbindungsversuch?
Merksatz:
Portweiterleitung braucht mehrere passende Bausteine.
---
**Typisches Fehlerbild: Portweiterleitung funktioniert nicht**
Mögliche Ursachen:
- falsche öffentliche IP
- CGNAT
- Double NAT
- Portweiterleitung auf falsches Ziel
- falscher interner Port
- Firewall-Regel fehlt
- Dienst läuft nicht
- Host-Firewall blockiert
- DNS zeigt falsch
- Provider blockiert Port
- Test aus internem Netz ohne Hairpin NAT
- Zertifikatsproblem bei HTTPS
Merksatz:
Portweiterleitungsfehler sind oft NAT-,
Firewall-,
DNS-
oder Dienstprobleme.
---
**Fehlerbild: Von außen geht es, von innen nicht**
Mögliche Ursachen:
- Hairpin NAT fehlt
- internes DNS zeigt falsch
- Split DNS fehlt
- interne Firewall blockiert
- Zertifikat passt intern nicht
- interner Client nutzt anderen Pfad
Lösungsideen:
Split DNS einrichten
oder
Hairpin NAT aktivieren
Merksatz:
Extern funktioniert,
intern nicht:
Hairpin NAT oder Split DNS prüfen.
---
**Fehlerbild: Von innen geht es, von außen nicht**
Mögliche Ursachen:
- NAT-Regel fehlt
- Firewall-Regel fehlt
- externe DNS-Antwort falsch
- Dienst nur intern gebunden
- öffentliche IP falsch
- Provider blockiert
- CGNAT
- Zertifikat oder Reverse Proxy falsch
- Zielserver-Firewall blockiert
Merksatz:
Intern funktioniert,
extern nicht:
öffentliche Erreichbarkeit prüfen.
---
**Fehlerbild: Falscher interner Dienst antwortet**
Mögliche Ursachen:
- Portweiterleitung zeigt auf falschen Host
- Reverse Proxy leitet falsch weiter
- DNS zeigt auf falsche IP
- Host-Header passt nicht
- falscher virtueller Host
- alte NAT-Regel greift vorher
- Regelreihenfolge falsch
Merksatz:
Falscher Dienst bedeutet oft:
DNS,
NAT
oder Reverse Proxy falsch.
---
**Fehlerbild: HTTPS zeigt falsches Zertifikat**
Mögliche Ursachen:
- DNS zeigt auf falsche öffentliche IP
- Portweiterleitung zeigt auf falschen Server
- Reverse Proxy liefert falsches Zertifikat
- Hostname passt nicht
- falscher virtueller Host
- internes und externes DNS unterscheiden sich falsch
Merksatz:
Falsches Zertifikat kann durch falsches NAT oder DNS entstehen.
---
**NAT und Dokumentation**
NAT-Regeln sollten dokumentiert werden.
Wichtige Angaben:
- öffentliche IP
- externer Port
- internes Ziel
- interner Port
- Protokoll
- Zweck
- Verantwortlicher
- Datum
- Sicherheitsbewertung
- zugehörige Firewall-Regel
- DNS-Name
- Zertifikat
Merksatz:
NAT-Regeln ohne Dokumentation werden schnell unübersichtlich.
---
**Typische NAT-Dokumentation**
Beispiel:
| DNS-Name | extern | intern | Zweck |
|---|---|---|---|
| wiki.firma.de | WAN TCP 443 | 192.168.10.20 TCP 443 | Wiki |
| vpn.firma.de | WAN UDP 51820 | 192.168.10.5 UDP 51820 | VPN |
| mail.firma.de | WAN TCP 25 | 192.168.20.10 TCP 25 | Mail |
Merksatz:
DNS,
externer Port,
internes Ziel
und Zweck zusammen dokumentieren.
---
**NAT und Sicherheit prüfen**
Regelmäßige Prüfung:
Welche Ports sind öffentlich offen?
Werden alle Weiterleitungen noch benötigt?
Sind die Zielsysteme aktuell?
Gibt es alte Testregeln?
Sind Adminoberflächen öffentlich?
Sind Quellbeschränkungen möglich?
Wird TLS genutzt?
Gibt es Logs?
Gibt es Monitoring?
Ist ein VPN besser?
Merksatz:
Öffentlich erreichbare Dienste regelmäßig prüfen.
---
**Was NAT nicht macht**
NAT macht nicht automatisch:
- Dienst sicher
- Benutzer authentifizieren
- Schwachstellen schließen
- TLS einrichten
- Firewall-Regeln ersetzen
- DNS korrekt setzen
- Zertifikate passend machen
- Logs auswerten
- Angriffe verhindern
Merksatz:
NAT ist Adressübersetzung,
kein vollständiger Schutz.
---
**Einordnung in das OSI-Modell**
| Thema | Schicht |
|---|---:|
| NAT | 3 / 4 |
| PAT | 3 / 4 |
| Source NAT | 3 / 4 |
| Destination NAT | 3 / 4 |
| Portweiterleitung | 3 / 4 |
| IP-Adresse | 3 |
| Port | 4 |
| Firewall-Regel | 3 / 4 / je nach Firewall auch 7 |
| DNS-Name | 7 |
| HTTPS-Zertifikat | 6 / 7 |
| Reverse Proxy | 7 |
Merksatz:
NAT betrifft IP-Adressen und Ports,
also vor allem Schicht 3 und 4.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was bedeutet NAT?
- Warum wird NAT bei IPv4 verwendet?
- Was ist PAT?
- Was ist der Unterschied zwischen NAT und PAT?
- Was ist Source NAT?
- Was ist Destination NAT?
- Was ist eine Portweiterleitung?
- Warum reicht NAT allein nicht als Firewall?
- Warum braucht man zusätzlich Firewall-Regeln?
- Was ist Hairpin NAT?
- Was ist Split DNS?
- Was ist CGNAT?
- Warum funktioniert eine Portweiterleitung bei CGNAT oft nicht?
- Warum kann Double NAT Probleme verursachen?
- Warum sollte man RDP oder SMB nicht direkt weiterleiten?
- Wie prüft man eine nicht funktionierende Portweiterleitung?
---
**Typische Prüfungsfallen**
NAT ist nicht Firewall.
Firewall ist nicht NAT.
NAT übersetzt IP-Adressen.
PAT übersetzt IP-Adressen und Ports.
Source NAT ändert die Quelle.
Destination NAT ändert das Ziel.
Portweiterleitung ist Destination NAT.
Private IPv4-Adressen sind nicht direkt im Internet geroutet.
Portweiterleitung macht interne Dienste extern erreichbar.
NAT-Regel allein reicht nicht,
wenn Firewall blockiert.
Firewall-Regel allein reicht nicht,
wenn NAT fehlt.
DNS muss auf die richtige öffentliche IP zeigen.
HTTPS braucht passendes Zertifikat.
Ein öffentlicher Port auf einer IP kann nur eindeutig weitergeleitet werden.
Reverse Proxy kann mehrere Webdienste über einen Port bündeln.
CGNAT verhindert oft eingehende IPv4-Verbindungen.
Double NAT erschwert Portweiterleitungen.
Hairpin NAT betrifft interne Clients mit öffentlicher Adresse.
Split DNS kann Hairpin NAT vermeiden.
NAT ist keine vollständige Sicherheitsmaßnahme.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| NAT | Network Address Translation |
| PAT | Port Address Translation |
| Source NAT | Quelladresse wird übersetzt |
| Destination NAT | Zieladresse wird übersetzt |
| Portweiterleitung | externer Port wird an internes Ziel weitergeleitet |
| private IP-Adresse | interne nicht öffentlich geroutete Adresse |
| öffentliche IP-Adresse | im Internet routbare Adresse |
| NAT-Tabelle | Zuordnung interner und externer Verbindungen |
| Hairpin NAT | interner Zugriff über öffentliche Adresse |
| NAT Loopback | anderer Begriff für Hairpin NAT |
| Split DNS | intern und extern unterschiedliche DNS-Antwort |
| CGNAT | Provider-NAT für mehrere Kunden |
| Double NAT | zwei NAT-Geräte hintereinander |
| Reverse Proxy | leitet Anfragen anhand von Hostnamen weiter |
| WAN-Port | externer Port auf öffentlicher Seite |
| interner Port | Port auf dem internen Zielsystem |
| Quellport | Port des sendenden Systems |
| Zielport | Port des Ziel-Dienstes |
---
**IHK-sichere Kurzformulierung**
NAT steht für Network Address Translation und übersetzt IP-Adressen, häufig private IPv4-Adressen in eine öffentliche IPv4-Adresse. PAT steht für Port Address Translation und übersetzt zusätzlich Ports, damit mehrere interne Geräte gleichzeitig eine öffentliche Adresse nutzen können. Source NAT ändert die Quelladresse und wird typischerweise für ausgehenden Internetverkehr verwendet. Destination NAT ändert die Zieladresse und wird häufig für Portweiterleitungen genutzt. Eine Portweiterleitung macht einen internen Dienst von außen erreichbar, benötigt aber neben der NAT-Regel auch passende Firewall-Regeln, einen laufenden Dienst, korrekte DNS-Einträge und bei HTTPS ein passendes Zertifikat. NAT ist keine vollständige Sicherheitsmaßnahme und ersetzt keine Firewall.
---
**Merksätze**
NAT = Network Address Translation.
PAT = Port Address Translation.
NAT übersetzt IP-Adressen.
PAT übersetzt IP-Adressen und Ports.
Source NAT ändert Quelle.
Destination NAT ändert Ziel.
Portweiterleitung ist Destination NAT.
Private IPv4-Adressen sind intern.
Öffentliche IPv4-Adressen sind im Internet routbar.
NAT ermöglicht Internetzugang mit privaten IPv4-Adressen.
PAT ermöglicht viele Clients über eine öffentliche IP.
NAT-Tabelle merkt sich Zuordnungen.
NAT ist keine Firewall.
Firewall ist kein NAT.
NAT-Regel und Firewall-Regel müssen zusammenpassen.
Portweiterleitung erhöht die Angriffsfläche.
Admin-Dienste nicht direkt ins Internet öffnen.
RDP nicht direkt weiterleiten.
SMB nicht direkt weiterleiten.
SFTP oder VPN sicherer als unverschlüsseltes FTP.
Reverse Proxy bündelt Webdienste.
DNS muss zur öffentlichen IP passen.
Zertifikat muss zum Hostnamen passen.
CGNAT verhindert oft eingehende IPv4-Verbindungen.
Double NAT erschwert Portweiterleitungen.
Hairpin NAT = intern über öffentliche Adresse.
Split DNS liefert intern andere Antworten.
NAT braucht passenden Rückweg.
NAT ersetzt kein Sicherheitskonzept.
# 11.4 DMZ und Sicherheitszonen im Detail
DMZ steht für:
Demilitarized Zone
Eine DMZ ist ein separates Netzwerksegment für Dienste,
die von außen erreichbar sein müssen.
Typische Dienste in einer DMZ:
- Webserver
- Reverse Proxy
- Mailgateway
- VPN-Gateway
- öffentlicher DNS-Server
- öffentliche API
- Proxyserver
- Bastion Host
Merksatz:
DMZ = eigenes Netz für öffentlich erreichbare Dienste.
---
**Warum braucht man eine DMZ?**
Öffentlich erreichbare Dienste sind stärker gefährdet als rein interne Dienste.
Beispiel:
Ein Webserver ist aus dem Internet erreichbar.
Wenn dieser Webserver kompromittiert wird,
soll der Angreifer nicht direkt Zugriff auf das interne LAN bekommen.
Die DMZ trennt deshalb öffentliche Dienste vom internen Netz.
Merksatz:
Eine DMZ begrenzt den Schaden,
wenn ein öffentlich erreichbarer Dienst angegriffen wird.
---
**Grundidee einer DMZ**
Eine DMZ liegt logisch zwischen:
externem Netz
und
internem Netz
Vereinfacht:
Internet
→ Firewall
→ DMZ
→ Firewall-Regeln
→ internes LAN
Die DMZ ist nicht so vertrauenswürdig wie das interne LAN.
Aber sie ist kontrollierter als das Internet.
Merksatz:
DMZ liegt kontrolliert zwischen außen und innen.
---
**DMZ ist nicht das interne LAN**
Ein häufiger Fehler ist:
Ein öffentlich erreichbarer Server steht direkt im internen LAN.
Das ist riskant.
Besser:
öffentliche Dienste in DMZ stellen
und Zugriffe ins LAN stark einschränken.
Warum?
Wird ein DMZ-System kompromittiert,
soll der Angreifer nicht automatisch interne Clients,
Server oder Verwaltungsdienste erreichen.
Merksatz:
Öffentliche Dienste gehören nicht ungefiltert ins interne LAN.
---
**DMZ als Sicherheitszone**
Eine DMZ ist eine Sicherheitszone.
Eine Sicherheitszone ist ein Netzbereich mit eigenem Schutzbedarf.
Typische Zonen:
- WAN
- LAN
- DMZ
- Servernetz
- Managementnetz
- Gastnetz
- IoT-Netz
- VPN-Zone
Zwischen diesen Zonen gelten Firewall-Regeln.
Merksatz:
Sicherheitszonen trennen Netze nach Vertrauensniveau.
---
**Vertrauensniveau von Zonen**
Nicht jedes Netz ist gleich vertrauenswürdig.
Beispiel:
| Zone | Vertrauensniveau | Beispiel |
|---|---|---|
| WAN | sehr gering | Internet |
| Gastnetz | gering | Besuchergeräte |
| IoT-Netz | gering bis mittel | Kameras, Sensoren |
| DMZ | mittel / eingeschränkt | öffentliche Dienste |
| LAN | höher | interne Clients |
| Servernetz | hoch | interne Server |
| Managementnetz | sehr hoch | Adminzugänge |
Merksatz:
Je kritischer eine Zone ist,
desto strenger müssen Zugriffe kontrolliert werden.
---
**Typischer Drei-Zonen-Aufbau**
Ein klassischer Aufbau besteht aus drei Zonen:
WAN
DMZ
LAN
WAN:
externes Netz oder Internet
DMZ:
öffentliche Dienste
LAN:
internes Unternehmensnetz
Merksatz:
Drei-Zonen-Aufbau = WAN, DMZ, LAN.
---
**Beispielaufbau**
Vereinfacht:
Internet
|
Firewall
/ \
DMZ LAN
Web Clients
Mail interne Server
Die Firewall kontrolliert,
welche Zone mit welcher Zone kommunizieren darf.
Merksatz:
Die Firewall ist der kontrollierte Übergang zwischen den Zonen.
---
**Regelidee Internet zur DMZ**
Vom Internet zur DMZ sollte nur erlaubt sein,
was wirklich öffentlich erreichbar sein muss.
Beispiele:
| Quelle | Ziel | Dienst | Aktion |
|---|---|---|---|
| Internet | Reverse Proxy DMZ | HTTPS TCP 443 | erlauben |
| Internet | Mailgateway DMZ | SMTP TCP 25 | erlauben |
| Internet | VPN-Gateway DMZ | VPN-Port | erlauben |
| Internet | DMZ-Server | SSH TCP 22 | blockieren |
| Internet | interne Server | any | blockieren |
Merksatz:
Internet darf nur notwendige öffentliche Dienste in der DMZ erreichen.
---
**Regelidee DMZ zum LAN**
Von der DMZ ins LAN sollte sehr wenig erlaubt sein.
Beispiele:
| Quelle | Ziel | Dienst | Aktion |
|---|---|---|---|
| Reverse Proxy DMZ | interner Webdienst | TCP 8080 | erlauben |
| Webserver DMZ | Datenbankserver | TCP 5432 | nur wenn nötig |
| Mailgateway DMZ | interner Mailserver | SMTP | nur gezielt |
| DMZ allgemein | LAN allgemein | any | blockieren |
Wichtig:
DMZ darf keine freie Brücke ins interne Netz sein.
Merksatz:
Von DMZ ins LAN nur das zwingend Notwendige erlauben.
---
**Regelidee LAN zur DMZ**
Das interne LAN darf je nach Bedarf Dienste in der DMZ erreichen.
Beispiele:
interne Clients → DMZ-Webserver HTTPS
Admin-Netz → DMZ-Server SSH
Monitoring → DMZ-Systeme SNMP
Aber auch hier gilt:
nicht alles für jeden erlauben.
Merksatz:
Auch LAN zur DMZ sollte gezielt geregelt werden.
---
**Regelidee Management zur DMZ**
Administration sollte nicht aus beliebigen Netzen erlaubt sein.
Besser:
Managementnetz
oder
Bastion Host
oder
VPN-Adminzugang
Beispiel:
Managementnetz → DMZ-Server SSH TCP 22 erlauben
Aber nicht:
gesamtes LAN → DMZ-Server SSH erlauben
Und erst recht nicht:
Internet → DMZ-Server SSH erlauben
Merksatz:
Administration nur aus kontrollierten Managementbereichen erlauben.
---
**DMZ und Reverse Proxy**
Ein Reverse Proxy steht häufig in der DMZ.
Er nimmt externe HTTPS-Anfragen entgegen
und leitet sie an interne Dienste weiter.
Beispiel:
Internet → Reverse Proxy DMZ → interner Wiki-Server
Vorteile:
- zentrale TLS-Verwaltung
- weniger direkte Veröffentlichung interner Server
- mehrere Dienste über eine öffentliche IP
- Zugriffskontrolle
- bessere Protokollierung
- Trennung zwischen extern und intern
Merksatz:
Reverse Proxy in der DMZ schützt interne Webdienste besser als direkte Freigabe.
---
**DMZ und Webserver**
Ein Webserver in der DMZ kann öffentliche Webseiten bereitstellen.
Wichtig:
Der Webserver sollte nur die internen Systeme erreichen,
die er wirklich braucht.
Beispiel:
Webserver braucht Datenbankzugriff.
Dann gilt:
Webserver DMZ → Datenbankserver TCP 5432 erlauben
Aber nicht:
Webserver DMZ → gesamtes LAN any erlauben
Merksatz:
Webserver in DMZ nur mit notwendigen Backend-Zugriffen ausstatten.
---
**DMZ und Mailgateway**
Ein Mailgateway in der DMZ kann E-Mails aus dem Internet annehmen.
Typische Aufgabe:
Internet → Mailgateway DMZ
Mailgateway prüft Spam und Malware
Mailgateway leitet an internen Mailserver weiter
Vorteil:
Der interne Mailserver steht nicht direkt im Internet.
Merksatz:
Mailgateway in der DMZ schützt interne Mailserver.
---
**DMZ und VPN-Gateway**
Ein VPN-Gateway kann in der DMZ stehen.
Ablauf:
externer Benutzer verbindet sich zum VPN-Gateway
nach erfolgreicher Anmeldung erhält er Zugriff auf erlaubte interne Ressourcen
Wichtig:
VPN-Zugriff darf nicht automatisch das gesamte LAN erlauben.
Besser:
VPN-Benutzer in eigene Zone einordnen
und gezielte Regeln setzen.
Merksatz:
VPN-Gateway kann in der DMZ stehen,
aber VPN-Rechte müssen begrenzt werden.
---
**DMZ und öffentlicher DNS**
Ein öffentlicher DNS-Server kann in einer DMZ stehen,
wenn eine Organisation eigene öffentliche DNS-Zonen bereitstellt.
Wichtig:
öffentlicher DNS sollte nur öffentliche Informationen enthalten.
Interne Servernamen sollten nicht öffentlich sichtbar sein.
Merksatz:
Öffentlicher DNS darf keine internen Strukturen verraten.
---
**DMZ und Bastion Host**
Ein Bastion Host ist ein besonders abgesicherter Sprungserver.
Er kann genutzt werden,
um administrative Zugriffe auf DMZ-Systeme zu bündeln.
Ablauf:
Admin → VPN oder Managementnetz → Bastion Host → DMZ-System
Vorteile:
- zentrale Kontrolle
- bessere Protokollierung
- weniger direkte Adminzugänge
- zusätzliche Sicherheitsprüfung
Merksatz:
Bastion Host bündelt und kontrolliert Adminzugriffe.
---
**Bastion Host ist besonders kritisch**
Ein Bastion Host hat oft Zugriff auf wichtige Systeme.
Deshalb muss er besonders geschützt werden.
Maßnahmen:
- MFA
- starke Authentifizierung
- nur Admins erlauben
- Protokollierung
- regelmäßige Updates
- keine unnötigen Dienste
- harte Firewall-Regeln
- Monitoring
- getrennte Admin-Konten
Merksatz:
Bastion Host stark absichern,
weil er ein zentraler Zugangspunkt ist.
---
**DMZ und Datenbankserver**
Datenbankserver sollten normalerweise nicht direkt in der öffentlichen DMZ stehen.
Besser:
Datenbank im internen Servernetz
und nur gezielter Zugriff vom Webserver oder Anwendungsserver
Beispiel:
Webserver DMZ → Datenbankserver TCP 5432
Wichtig:
kein allgemeiner Zugriff von Internet oder DMZ auf Datenbank.
Merksatz:
Datenbanken nicht öffentlich platzieren.
---
**DMZ und interne Daten**
DMZ-Systeme sollten möglichst wenig interne Daten enthalten.
Warum?
Sie sind stärker exponiert.
Wenn sensible Daten in der DMZ liegen,
ist das Risiko bei einem Angriff höher.
Besser:
DMZ-Systeme nur mit notwendigen Daten ausstatten
und interne Datenbanken geschützt halten.
Merksatz:
In der DMZ nur Daten,
die dort wirklich benötigt werden.
---
**DMZ und Protokollierung**
DMZ-Systeme sollten gut protokolliert werden.
Wichtige Logs:
- Firewall-Logs
- Webserver-Logs
- Reverse-Proxy-Logs
- Authentifizierungslogs
- Systemlogs
- IDS/IPS-Logs
- VPN-Logs
- Mailgateway-Logs
Logs helfen bei:
- Angriffserkennung
- Fehlersuche
- Nachvollziehbarkeit
- Sicherheitsanalyse
Merksatz:
DMZ-Systeme brauchen gute Logs.
---
**DMZ und Monitoring**
DMZ-Systeme sollten überwacht werden.
Typische Prüfwerte:
- Erreichbarkeit
- CPU
- RAM
- Speicherplatz
- Dienste
- Zertifikate
- Loggröße
- ungewöhnliche Verbindungen
- fehlgeschlagene Logins
- Updates
- offene Ports
Merksatz:
DMZ-Systeme müssen aktiv überwacht werden.
---
**DMZ und IDS/IPS**
IDS steht für:
Intrusion Detection System
IPS steht für:
Intrusion Prevention System
IDS erkennt verdächtigen Verkehr.
IPS kann verdächtigen Verkehr zusätzlich blockieren.
In einer DMZ können IDS/IPS-Systeme helfen,
Angriffe auf öffentliche Dienste zu erkennen.
Merksatz:
IDS erkennt.
IPS blockiert zusätzlich.
---
**DMZ und WAF**
WAF steht für:
Web Application Firewall
Eine WAF schützt Webanwendungen auf Anwendungsebene.
Sie prüft zum Beispiel HTTP-Anfragen auf:
- SQL-Injection
- Cross-Site Scripting
- ungewöhnliche Muster
- bekannte Angriffsversuche
- fehlerhafte Requests
Eine WAF ersetzt keine sichere Anwendung,
kann aber zusätzlichen Schutz bieten.
Merksatz:
WAF schützt Webanwendungen auf Schicht 7.
---
**DMZ und TLS**
Öffentliche Dienste in der DMZ nutzen häufig TLS.
Beispiele:
HTTPS
SMTPS
IMAPS
LDAPS
VPN mit Zertifikaten
Wichtig:
Zertifikate aktuell halten
private Schlüssel schützen
TLS-Versionen sicher konfigurieren
Zertifikatskette vollständig liefern
Merksatz:
Öffentliche Dienste brauchen saubere TLS-Konfiguration.
---
**TLS-Terminierung in der DMZ**
TLS-Terminierung bedeutet:
TLS endet am Reverse Proxy oder Load Balancer.
Ablauf:
Client → HTTPS → Reverse Proxy DMZ
Reverse Proxy → HTTP oder HTTPS → Backend
Vorteile:
- zentrale Zertifikatsverwaltung
- Entlastung der Backendserver
- bessere Kontrolle
- einheitliche Sicherheitsrichtlinien
Wichtig:
Die interne Verbindung sollte je nach Schutzbedarf ebenfalls gesichert werden.
Merksatz:
TLS-Terminierung beendet TLS an einem zentralen Punkt.
---
**TLS Passthrough**
TLS Passthrough bedeutet:
Die TLS-Verbindung wird durchgereicht,
ohne am Proxy entschlüsselt zu werden.
Ablauf:
Client → TLS → Proxy → TLS → Backend
Vorteil:
Ende der TLS-Verbindung liegt am Backend.
Nachteil:
Proxy kann Inhalte weniger gut prüfen oder steuern.
Merksatz:
TLS Passthrough reicht verschlüsselten Verkehr weiter.
---
**DMZ und Updates**
DMZ-Systeme sind oft exponiert.
Deshalb sind Updates besonders wichtig.
Betroffen sind:
- Betriebssystem
- Webserver
- Reverse Proxy
- Anwendung
- Frameworks
- Bibliotheken
- VPN-Software
- Mailgateway
- TLS-Komponenten
Merksatz:
Exponierte Systeme müssen besonders konsequent aktualisiert werden.
---
**DMZ und Härtung**
Härtung bedeutet:
Systeme sicher konfigurieren und unnötige Angriffsflächen reduzieren.
Maßnahmen:
- unnötige Dienste deaktivieren
- Standardpasswörter ändern
- Adminzugänge beschränken
- Updates einspielen
- Dateirechte prüfen
- sichere TLS-Konfiguration
- Logging aktivieren
- nur notwendige Ports öffnen
- Dienstkonten begrenzen
Merksatz:
Härtung reduziert Angriffsfläche.
---
**DMZ und Least Privilege**
Auch in der DMZ gilt:
nur notwendige Rechte vergeben.
Beispiele:
Webdienstkonto braucht keinen Domain-Admin.
Reverse Proxy braucht nur Zugriff auf definierte Backends.
Monitoring braucht nur Leserechte.
Adminzugriff nur für Admins.
Merksatz:
Least Privilege gilt auch für Dienste und Server.
---
**DMZ und Netzwerksegmentierung**
Netzwerksegmentierung bedeutet:
Netzbereiche werden getrennt,
damit nicht alle Systeme frei miteinander kommunizieren können.
Die DMZ ist ein Beispiel für Segmentierung.
Weitere Segmentierung:
- Servernetz
- Datenbanknetz
- Managementnetz
- Backupnetz
- Gastnetz
- IoT-Netz
Merksatz:
Segmentierung begrenzt Bewegungsfreiheit bei Angriffen.
---
**Laterale Bewegung**
Laterale Bewegung bedeutet:
Ein Angreifer bewegt sich nach einem ersten Einbruch weiter im Netzwerk.
Beispiel:
Angriff auf Webserver in DMZ.
Danach Versuch,
interne Server oder Datenbanken zu erreichen.
Segmentierung und Firewall-Regeln sollen das erschweren.
Merksatz:
DMZ soll laterale Bewegung ins LAN erschweren.
---
**DMZ und Zero Trust**
Zero Trust bedeutet vereinfacht:
keinem Zugriff automatisch vertrauen.
Auch DMZ-Systeme werden nicht automatisch als sicher betrachtet.
Prinzipien:
- Identität prüfen
- Zugriff begrenzen
- Verbindungen protokollieren
- nur notwendige Dienste erlauben
- Systeme überwachen
- Rechte regelmäßig prüfen
Merksatz:
Auch innerhalb des Netzes nicht blind vertrauen.
---
**DMZ und Hochverfügbarkeit**
Öffentliche Dienste sollen oft zuverlässig erreichbar sein.
Möglichkeiten:
- zwei Firewalls
- zwei Reverse Proxys
- Load Balancer
- redundante Internetanschlüsse
- mehrere Server
- Monitoring
- automatischer Failover
- regelmäßige Backups
Merksatz:
DMZ-Dienste brauchen je nach Kritikalität Verfügbarkeit und Redundanz.
---
**DMZ und Backup**
DMZ-Systeme brauchen Backups,
aber Backups dürfen nicht unsicher erreichbar sein.
Wichtig:
- Backupzugriff einschränken
- Backupdaten schützen
- keine Schreibrechte aus DMZ auf zentrale Backups ohne Kontrolle
- Wiederherstellung testen
- Ransomware-Risiko beachten
Merksatz:
DMZ-Systeme sichern,
aber Backup-Infrastruktur schützen.
---
**DMZ und Datenfluss**
Bei einer DMZ muss man Datenflüsse genau kennen.
Fragen:
Wer spricht mit wem?
Welche Anwendung?
Welcher Port?
Welche Richtung?
Welche Daten?
Wie sensibel sind die Daten?
Wird verschlüsselt?
Wird protokolliert?
Ist der Zugriff notwendig?
Merksatz:
DMZ-Regeln entstehen aus klaren Datenflüssen.
---
**Datenflussdiagramm für DMZ**
Ein einfaches Datenflussdiagramm kann zeigen:
Internet → Reverse Proxy TCP 443
Reverse Proxy → interner Webdienst TCP 8080
interner Webdienst → Datenbank TCP 5432
Monitoring → Reverse Proxy SNMP oder Agent-Port
Admin-Netz → Reverse Proxy SSH
So erkennt man,
welche Regeln wirklich nötig sind.
Merksatz:
Datenflüsse sichtbar machen,
bevor Regeln erstellt werden.
---
**DMZ und Richtung der Verbindungen**
Die Richtung der Verbindung ist wichtig.
Beispiel:
Internet startet Verbindung zum Reverse Proxy.
Reverse Proxy startet Verbindung zum Backend.
Backend sollte normalerweise nicht beliebig Verbindungen ins Internet starten.
Firewall-Regeln müssen nach der tatsächlichen Verbindungsrichtung erstellt werden.
Merksatz:
Regeln nach Verbindungsstart planen.
---
**DMZ und ausgehender Verkehr**
Auch ausgehender Verkehr aus der DMZ sollte kontrolliert werden.
Warum?
Ein kompromittiertes DMZ-System könnte versuchen:
- Schadsoftware nachzuladen
- Daten abzuziehen
- Verbindung zu Command-and-Control-Servern aufzubauen
- interne Systeme zu scannen
- Spam zu versenden
Merksatz:
DMZ outbound nicht blind erlauben.
---
**DMZ und DNS**
DMZ-Systeme brauchen oft DNS.
Aber:
Sie sollten möglichst definierte DNS-Resolver nutzen.
Regelidee:
DMZ-Systeme → interner oder DMZ-DNS UDP/TCP 53 erlauben
Nicht ideal:
DMZ-Systeme → beliebige externe DNS-Server erlauben
Merksatz:
DNS aus der DMZ kontrollieren.
---
**DMZ und NTP**
DMZ-Systeme brauchen korrekte Uhrzeit.
NTP ist wichtig für:
- Zertifikate
- Logs
- Authentifizierung
- Monitoring
- Fehlersuche
Regelidee:
DMZ-Systeme → freigegebener NTP-Server UDP 123
Merksatz:
DMZ-Systeme brauchen kontrollierte Zeitsynchronisation.
---
**DMZ und Namenskonzept**
Ein sauberes Namenskonzept hilft bei DMZ-Diensten.
Beispiele:
extern:
www.firma.de
vpn.firma.de
mail.firma.de
intern:
reverseproxy01.dmz.firma.local
mailgw01.dmz.firma.local
Wichtig:
öffentliche Namen,
interne Namen
und Zertifikate müssen zusammenpassen.
Merksatz:
DNS-Namen und Zertifikate sauber planen.
---
**DMZ und interne Authentifizierung**
Manchmal müssen DMZ-Dienste Benutzer gegen interne Verzeichnisdienste prüfen.
Beispiel:
Webanwendung in DMZ nutzt LDAP oder SSO.
Problem:
Direkter Zugriff aus DMZ auf interne Domain Controller kann riskant sein.
Mögliche Lösungen:
- gezielte LDAPS-Regeln
- Reverse Proxy mit Authentifizierung
- Federation / SSO
- getrennte Identitätsdienste
- Proxy-Dienst für Authentifizierung
Merksatz:
Authentifizierung aus der DMZ ins LAN nur gezielt und sicher erlauben.
---
**DMZ und Datenbankzugriff**
Wenn DMZ-Systeme Datenbankzugriff brauchen,
sollte dieser stark begrenzt werden.
Prüfen:
Muss die Datenbank wirklich intern stehen?
Welche Quelle darf zugreifen?
Welcher Port?
Welches Konto?
Welche Rechte?
Ist TLS nötig?
Gibt es Protokollierung?
Gibt es Eingabevalidierung in der Anwendung?
Merksatz:
Datenbankzugriff aus der DMZ ist kritisch.
---
**DMZ und direkte Internetzugriffe**
Nicht jedes DMZ-System braucht freien Internetzugang.
Beispiele für notwendige ausgehende Verbindungen:
Updateserver
Zertifikatsprüfung
Paketquellen
Monitoring
externe API
Besser:
gezielte Ziele erlauben
oder
Proxy nutzen
Merksatz:
DMZ-Systeme nicht beliebig ins Internet lassen.
---
**DMZ und öffentliche APIs**
Öffentliche APIs sollten besonders geschützt werden.
Maßnahmen:
- HTTPS
- Authentifizierung
- Autorisierung
- Rate Limiting
- Eingabevalidierung
- Logging
- Monitoring
- WAF
- API-Gateway
- keine unnötigen Daten ausgeben
Merksatz:
Öffentliche API = stark exponierter Schicht-7-Dienst.
---
**DMZ und Fehlersuche**
Bei DMZ-Problemen prüft man systematisch:
1. DNS zeigt richtig?
2. öffentliche IP korrekt?
3. NAT oder Portweiterleitung korrekt?
4. Firewall-Regel WAN → DMZ korrekt?
5. Dienst in DMZ läuft?
6. Host-Firewall erlaubt Zugriff?
7. Zertifikat passt?
8. Proxy leitet korrekt weiter?
9. Regel DMZ → Backend korrekt?
10. Backend läuft?
11. Logs prüfen.
Merksatz:
DMZ-Fehlersuche braucht DNS,
NAT,
Firewall,
Dienst
und Backend.
---
**Fehlerbild: Öffentlicher Webdienst nicht erreichbar**
Mögliche Ursachen:
- DNS zeigt auf falsche öffentliche IP
- NAT-Regel fehlt
- Firewall-Regel fehlt
- Reverse Proxy down
- Webserver hört nicht auf Port
- Host-Firewall blockiert
- Zertifikatfehler
- falscher virtueller Host
- Backend nicht erreichbar
- Provider oder CGNAT-Problem
Merksatz:
Öffentlicher Webdienst braucht komplette Kette von DNS bis Backend.
---
**Fehlerbild: Reverse Proxy zeigt 502**
Mögliche Ursachen:
- Backend läuft nicht
- falscher Backend-Port
- falsches Protokoll HTTP/HTTPS
- Firewall DMZ → Backend blockiert
- Backend-DNS falsch
- Container-Name oder interner Hostname falsch
- Backend antwortet ungültig
- Timeout
Merksatz:
502 bedeutet oft:
Proxy erreicht Backend nicht sauber.
---
**Fehlerbild: DMZ-Server erreicht LAN nicht**
Mögliche Ursachen:
- Firewall-Regel fehlt
- falsche Richtung
- falsches Ziel
- falscher Port
- Route fehlt
- Rückweg fehlt
- Zielserver-Firewall blockiert
- DNS löst intern falsch auf
- Regel durch frühere Blockregel verdeckt
Merksatz:
DMZ zu LAN nur gezielt erlauben und sauber prüfen.
---
**Fehlerbild: DMZ-Server kann Updates nicht laden**
Mögliche Ursachen:
- kein ausgehender Internetzugang erlaubt
- DNS nicht erlaubt
- Proxy erforderlich
- Zertifikatsprüfung schlägt fehl
- NTP falsch und Zertifikat wirkt ungültig
- Paketquelle blockiert
- Firewall-Regel zu eng
Merksatz:
Auch ausgehender DMZ-Verkehr braucht passende Regeln.
---
**Fehlerbild: Zertifikat passt intern, extern aber nicht**
Mögliche Ursachen:
- extern anderer Hostname
- Reverse Proxy liefert falsches Zertifikat
- DNS zeigt auf falsche IP
- Split DNS falsch
- Zertifikat enthält externen Namen nicht
- SNI-Konfiguration falsch
Merksatz:
Zertifikat muss zum tatsächlich aufgerufenen Namen passen.
---
**SNI kurz erklärt**
SNI steht für:
Server Name Indication
SNI ermöglicht,
dass ein Server mehrere TLS-Zertifikate für verschiedene Hostnamen auf derselben IP anbieten kann.
Beispiel:
wiki.firma.de
cloud.firma.de
git.firma.de
alle über:
dieselbe öffentliche IP und TCP 443
Der Client teilt beim TLS-Aufbau den gewünschten Hostnamen mit.
Merksatz:
SNI hilft bei mehreren HTTPS-Diensten auf einer IP.
---
**DMZ und Prüfungsdenken**
In Prüfungsaufgaben wird oft erwartet,
dass man erkennt:
Öffentliche Dienste gehören in die DMZ.
Interne Systeme gehören nicht direkt ins Internet.
DMZ-Systeme dürfen nur notwendige Verbindungen ins LAN aufbauen.
Firewall-Regeln müssen Quelle,
Ziel,
Dienst
und Richtung enthalten.
NAT und Firewall-Regeln müssen zusammenpassen.
Merksatz:
DMZ-Aufgaben immer mit Zonen und Datenflüssen lösen.
---
**Was eine DMZ nicht macht**
Eine DMZ macht nicht automatisch:
- Webserver sicher
- Software aktuell
- Passwörter stark
- TLS korrekt
- Anwendung fehlerfrei
- Datenbank geschützt
- Angriffe unmöglich
- Logs ausgewertet
- Backups vorhanden
Eine DMZ reduziert Risiken,
ersetzt aber keine weiteren Sicherheitsmaßnahmen.
Merksatz:
DMZ ist Netztrennung,
kein vollständiges Sicherheitskonzept.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Wofür steht DMZ?
- Was ist der Zweck einer DMZ?
- Welche Systeme gehören typischerweise in eine DMZ?
- Warum stehen öffentliche Server besser in der DMZ als im LAN?
- Welche Regeln braucht ein Webserver in der DMZ?
- Warum sollte die DMZ nicht frei ins LAN dürfen?
- Was ist ein Reverse Proxy in der DMZ?
- Was ist ein Bastion Host?
- Was ist der Unterschied zwischen LAN, WAN und DMZ?
- Warum sind Sicherheitszonen sinnvoll?
- Was bedeutet Netzwerksegmentierung?
- Was ist laterale Bewegung?
- Welche Rolle spielen Firewall-Regeln zwischen Zonen?
- Warum muss auch ausgehender Verkehr aus der DMZ kontrolliert werden?
- Warum ist Monitoring in der DMZ wichtig?
---
**Typische Prüfungsfallen**
DMZ steht für Demilitarized Zone.
DMZ ist ein separates Netz.
DMZ ist nicht das interne LAN.
Öffentliche Dienste gehören besser in die DMZ.
DMZ schützt das LAN durch Trennung.
DMZ darf nicht ungefiltert ins LAN.
Internet darf nur notwendige DMZ-Dienste erreichen.
Adminzugriff auf DMZ nicht aus dem gesamten Internet erlauben.
Reverse Proxy kann in der DMZ stehen.
Mailgateway kann in der DMZ stehen.
VPN-Gateway kann in der DMZ stehen.
Datenbankserver normalerweise nicht öffentlich in die DMZ stellen.
DMZ-Systeme brauchen Updates und Härtung.
DMZ-Systeme brauchen Monitoring und Logs.
Firewall-Regeln zwischen Zonen müssen Richtung beachten.
DMZ outbound ebenfalls kontrollieren.
NAT-Regeln und Firewall-Regeln müssen zusammenpassen.
DMZ ersetzt keine sichere Anwendung.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| DMZ | separates Netz für öffentlich erreichbare Dienste |
| Sicherheitszone | Netzbereich mit eigenem Schutzbedarf |
| WAN | externes Netz oder Internet |
| LAN | internes Netz |
| Managementnetz | Netz für Administration |
| Gastnetz | separates Netz für Gäste |
| Reverse Proxy | nimmt Anfragen an und leitet an Backends weiter |
| Mailgateway | Mailserver-Schutz- oder Weiterleitungssystem |
| VPN-Gateway | Einstiegspunkt für VPN-Verbindungen |
| Bastion Host | abgesicherter Sprungserver |
| Segmentierung | Aufteilung in getrennte Netzbereiche |
| laterale Bewegung | Bewegung eines Angreifers innerhalb des Netzes |
| IDS | erkennt Angriffe |
| IPS | erkennt und blockiert Angriffe |
| WAF | Web Application Firewall |
| TLS-Terminierung | TLS endet am Proxy oder Load Balancer |
| TLS Passthrough | TLS wird verschlüsselt weitergereicht |
| SNI | Hostname-Anzeige beim TLS-Aufbau |
| Härtung | sichere Konfiguration eines Systems |
---
**IHK-sichere Kurzformulierung**
Eine DMZ, also Demilitarized Zone, ist ein separates Netzwerksegment für Dienste, die aus dem Internet erreichbar sein müssen. Typische Systeme in einer DMZ sind Webserver, Reverse Proxys, Mailgateways oder VPN-Gateways. Der Zweck einer DMZ besteht darin, öffentliche Dienste vom internen LAN zu trennen und dadurch das interne Netz besser zu schützen. Zwischen WAN, DMZ und LAN werden gezielte Firewall-Regeln eingerichtet. Aus dem Internet sollten nur notwendige Dienste in der DMZ erreichbar sein, und von der DMZ ins interne LAN sollten nur zwingend erforderliche Verbindungen erlaubt werden. Eine DMZ reduziert Risiken, ersetzt aber keine Updates, Härtung, sichere Anwendungen, Monitoring oder Protokollierung.
---
**Merksätze**
DMZ = Demilitarized Zone.
DMZ = separates Netz für öffentliche Dienste.
DMZ ist nicht LAN.
DMZ liegt zwischen Internet und internem Netz.
Öffentliche Dienste gehören besser in die DMZ.
DMZ schützt internes LAN durch Trennung.
Internet → DMZ nur notwendige Dienste erlauben.
Internet → LAN blockieren.
DMZ → LAN nur zwingend notwendige Verbindungen erlauben.
LAN → DMZ gezielt erlauben.
Adminzugriff nur aus Managementnetz oder über Bastion Host.
Reverse Proxy kann in der DMZ stehen.
Mailgateway kann in der DMZ stehen.
VPN-Gateway kann in der DMZ stehen.
Datenbanken nicht direkt öffentlich platzieren.
DMZ outbound kontrollieren.
DNS und NTP für DMZ gezielt erlauben.
DMZ-Systeme brauchen Updates.
DMZ-Systeme brauchen Härtung.
DMZ-Systeme brauchen Monitoring.
DMZ-Systeme brauchen Logs.
IDS erkennt Angriffe.
IPS blockiert zusätzlich.
WAF schützt Webanwendungen.
TLS-Terminierung endet am Proxy.
TLS Passthrough reicht TLS weiter.
SNI ermöglicht mehrere HTTPS-Namen auf einer IP.
Segmentierung begrenzt laterale Bewegung.
DMZ ersetzt kein vollständiges Sicherheitskonzept.
# 11.5 Fehlersuche bei Firewalls, NAT und DMZ
Bei Problemen mit Firewalls, NAT und DMZ reicht es nicht,
nur zu prüfen, ob ein Server grundsätzlich erreichbar ist.
Man muss die komplette Verbindungskette prüfen:
Client
DNS
Routing
Firewall-Regel
NAT-Regel
Zielsystem
Dienst
Rückweg
Logs
Merksatz:
Firewall-Fehlersuche bedeutet:
Quelle, Ziel, Port, Richtung, NAT und Logs prüfen.
---
**Grundidee der Fehlersuche**
Bei Firewall- und NAT-Problemen ist die wichtigste Frage:
Wo wird der Verkehr unterbrochen?
Dazu prüft man Schritt für Schritt:
Kommt die Anfrage beim richtigen Ziel an?
Wird sie erlaubt oder blockiert?
Wird sie richtig übersetzt?
Antwortet der Dienst?
Kommt die Antwort zurück?
Merksatz:
Nicht raten,
sondern den Weg der Verbindung nachvollziehen.
---
**Die wichtigsten Angaben vor der Fehlersuche**
Vor der Fehlersuche braucht man genaue Informationen.
Wichtige Fragen:
Wer ist die Quelle?
Was ist das Ziel?
Welcher Dienst wird genutzt?
Welcher Port wird genutzt?
TCP oder UDP?
In welche Richtung geht die Verbindung?
Intern oder extern?
Gibt es NAT?
Gibt es eine DMZ?
Gibt es einen Reverse Proxy?
Welche Fehlermeldung erscheint?
Merksatz:
Ohne Quelle,
Ziel,
Port
und Richtung ist Firewall-Fehlersuche ungenau.
---
**Quelle bestimmen**
Die Quelle ist das System,
das die Verbindung startet.
Beispiele:
Client im LAN
externer Benutzer im Internet
Server in der DMZ
VPN-Client
Monitoring-Server
Admin-PC
Anwendungssystem
Wichtig:
Die tatsächliche Quell-IP kann durch NAT verändert werden.
Merksatz:
Quelle = wer startet die Verbindung?
---
**Ziel bestimmen**
Das Ziel ist das System oder der Dienst,
der erreicht werden soll.
Beispiele:
Webserver
Datenbankserver
Reverse Proxy
Mailgateway
DNS-Server
SMB-Freigabe
VPN-Gateway
RDP-Server
Wichtig:
Bei DNS-Namen muss geprüft werden,
auf welche IP-Adresse der Name wirklich zeigt.
Merksatz:
Ziel = welches System soll erreicht werden?
---
**Port und Protokoll bestimmen**
Ein Port allein reicht nicht.
Man muss auch wissen:
TCP oder UDP?
Beispiele:
| Dienst | Protokoll |
|---|---|
| HTTPS | TCP 443 |
| DNS | UDP/TCP 53 |
| NTP | UDP 123 |
| SMB | TCP 445 |
| SSH | TCP 22 |
| RDP | TCP 3389 |
| SNMP | UDP 161 |
| HTTP/3 | UDP 443 |
Merksatz:
TCP 443 und UDP 443 sind unterschiedliche Dinge.
---
**Richtung bestimmen**
Firewall-Regeln sind richtungsabhängig.
Beispiele:
LAN → WAN
WAN → DMZ
DMZ → LAN
VPN → Servernetz
Managementnetz → DMZ
Gastnetz → Internet
Ein häufiger Fehler ist,
eine Regel in der falschen Richtung anzulegen.
Merksatz:
Regelrichtung nach dem Verbindungsaufbau bestimmen.
---
**Zonen bestimmen**
Viele Firewalls arbeiten mit Zonen.
Beispiele:
LAN
WAN
DMZ
VPN
Gastnetz
IoT-Netz
Servernetz
Managementnetz
Eine Regel muss zur richtigen Zone passen.
Beispiel:
WAN → DMZ ist nicht dasselbe wie DMZ → WAN.
Merksatz:
Firewall-Regeln gelten zwischen Zonen oder Interfaces.
---
**DNS zuerst prüfen**
Viele vermeintliche Firewall-Probleme sind eigentlich DNS-Probleme.
Beispiele:
Domain zeigt auf falsche öffentliche IP.
Interner DNS zeigt auf externe IP.
Split DNS ist falsch.
DNS-Cache enthält alten Eintrag.
AAAA-Record zeigt auf nicht erreichbare IPv6-Adresse.
CNAME zeigt auf falschen Namen.
Merksatz:
Falsche DNS-Auflösung führt zur falschen Zieladresse.
---
**Routing prüfen**
Firewall-Regeln helfen nicht,
wenn kein gültiger Weg zum Ziel existiert.
Zu prüfen:
Gibt es eine Route zum Zielnetz?
Gibt es einen Rückweg?
Ist das richtige Gateway eingetragen?
Geht der Rückverkehr über dieselbe Firewall?
Gibt es asymmetrisches Routing?
Ist ein VPN-Routing beteiligt?
Merksatz:
Routing bestimmt den Weg,
Firewall erlaubt oder blockiert ihn.
---
**NAT prüfen**
Wenn NAT beteiligt ist,
muss geprüft werden:
Wird die richtige Quelladresse übersetzt?
Wird die richtige Zieladresse übersetzt?
Stimmt der externe Port?
Stimmt der interne Port?
Stimmt TCP oder UDP?
Zeigt NAT auf das richtige interne Ziel?
Gibt es mehrere NAT-Regeln?
Greift eine alte Regel vorher?
Merksatz:
NAT-Fehler entstehen oft durch falsches Ziel,
falschen Port
oder falsche Reihenfolge.
---
**Firewall-Regel prüfen**
Bei der Firewall-Regel prüft man:
Quelle korrekt?
Ziel korrekt?
Dienst korrekt?
Protokoll korrekt?
Port korrekt?
Richtung korrekt?
Zone korrekt?
Regel aktiv?
Regel an richtiger Position?
Logging aktiv?
Wird die Regel überhaupt getroffen?
Merksatz:
Die tatsächlich getroffene Regel ist wichtiger als die gedachte Regel.
---
**Regelreihenfolge prüfen**
Viele Firewalls arbeiten von oben nach unten.
Die erste passende Regel entscheidet.
Problem:
Eine allgemeine Blockregel kann eine spätere Erlaubnisregel verdecken.
Beispiel:
Regel 1:
DMZ → LAN any blockieren
Regel 2:
DMZ-Webserver → DB-Server TCP 5432 erlauben
Wenn Regel 1 zuerst greift,
funktioniert Regel 2 nicht.
Merksatz:
Spezifische Erlaubnis vor allgemeine Blockregel setzen.
---
**Logs prüfen**
Firewall-Logs sind bei der Fehlersuche besonders wichtig.
Sie zeigen:
Quelle
Ziel
Port
Protokoll
Aktion
Regelname
Zeit
Interface
Zone
NAT-Übersetzung
Typische Aktionen im Log:
allowed
denied
dropped
rejected
Merksatz:
Logs zeigen,
ob die Firewall erlaubt oder blockiert.
---
**Keine Logs sichtbar**
Wenn keine Logs sichtbar sind,
kann das bedeuten:
Verkehr kommt gar nicht bei der Firewall an.
Falsche Firewall wird geprüft.
Falsches Interface wird geprüft.
Logging ist für Regel deaktiviert.
DNS zeigt auf anderes Ziel.
Routing geht anderen Weg.
Client sendet gar keine Anfrage.
Provider oder vorgeschaltetes Gerät blockiert.
Merksatz:
Kein Logeintrag heißt nicht automatisch:
Firewall ist nicht beteiligt.
---
**Dienst auf Zielsystem prüfen**
Wenn Firewall und NAT korrekt aussehen,
muss der Dienst selbst geprüft werden.
Fragen:
Läuft der Dienst?
Lauscht der Dienst auf dem richtigen Port?
Lauscht der Dienst auf der richtigen IP-Adresse?
Blockiert die Host-Firewall?
Gibt es Anwendungslogs?
Antwortet der Dienst korrekt?
Ist das Zertifikat passend?
Ist die Anwendung richtig konfiguriert?
Merksatz:
Erlaubter Port heißt nicht,
dass der Dienst funktioniert.
---
**Host-Firewall prüfen**
Neben der zentralen Firewall kann auch das Zielsystem selbst blockieren.
Beispiele:
Windows Defender Firewall
Linux nftables
iptables
ufw
firewalld
lokale Sicherheitssoftware
Cloud Security Group
Typisches Fehlerbild:
Netzwerkfirewall erlaubt,
aber Zielsystem lehnt ab oder antwortet nicht.
Merksatz:
Auch die lokale Firewall des Zielsystems prüfen.
---
**Rückweg prüfen**
Eine Verbindung braucht Hinweg und Rückweg.
Wenn der Rückweg fehlt,
funktioniert die Verbindung nicht.
Mögliche Ursachen:
falsches Gateway
falsche Route
asymmetrisches Routing
NAT-Zuordnung fehlt
Antwort geht an falsche Firewall
Zielsystem antwortet über anderes Interface
Merksatz:
Verbindung funktioniert nur,
wenn Anfrage und Antwort den passenden Weg haben.
---
**Asymmetrisches Routing**
Asymmetrisches Routing bedeutet:
Hinweg und Rückweg laufen über unterschiedliche Wege.
Bei Stateful Firewalls ist das problematisch,
weil die Firewall den Verbindungszustand nur auf einem Weg sieht.
Folge:
Antwortpakete können als ungültig blockiert werden.
Merksatz:
Stateful Firewalls brauchen zusammenpassenden Hin- und Rückweg.
---
**Typisches Szenario: Externer Webdienst nicht erreichbar**
Beispiel:
Benutzer im Internet kann https://wiki.firma.de nicht öffnen.
Prüfreihenfolge:
1. DNS zeigt auf richtige öffentliche IP?
2. Öffentliche IP gehört wirklich zum Anschluss?
3. Kein CGNAT?
4. Portweiterleitung TCP 443 korrekt?
5. Firewall-Regel WAN → DMZ oder WAN → Reverse Proxy korrekt?
6. Reverse Proxy erreichbar?
7. Backend erreichbar?
8. Zertifikat gültig?
9. Webserver-Logs prüfen.
10. Firewall-Logs prüfen.
Merksatz:
Öffentlicher Webdienst braucht DNS,
NAT,
Firewall,
Proxy,
Backend
und Zertifikat.
---
**Typisches Szenario: Intern funktioniert, extern nicht**
Wenn ein Dienst intern funktioniert,
aber extern nicht,
liegen Ursachen oft bei:
externem DNS
öffentlicher IP
Portweiterleitung
Firewall-Regel WAN → DMZ
CGNAT
Providerblockade
Reverse Proxy
Zertifikat
Dienstbindung nur auf interne IP
Merksatz:
Intern funktioniert,
extern nicht:
externe Erreichbarkeit prüfen.
---
**Typisches Szenario: Extern funktioniert, intern nicht**
Wenn ein Dienst extern funktioniert,
aber intern über denselben Namen nicht,
liegen Ursachen oft bei:
Hairpin NAT fehlt
Split DNS fehlt
internes DNS zeigt falsch
interne Firewall blockiert
Zertifikat passt intern nicht
interner Client geht falschen Weg
Merksatz:
Extern funktioniert,
intern nicht:
Hairpin NAT oder Split DNS prüfen.
---
**Typisches Szenario: Portweiterleitung funktioniert nicht**
Mögliche Ursachen:
- falsche öffentliche IP
- CGNAT
- Double NAT
- NAT-Regel fehlt
- NAT-Regel zeigt auf falschen Host
- falscher externer Port
- falscher interner Port
- TCP/UDP verwechselt
- Firewall-Regel fehlt
- Host-Firewall blockiert
- Dienst läuft nicht
- DNS zeigt falsch
- Test aus internem Netz ohne Hairpin NAT
Merksatz:
Portweiterleitung braucht korrekte öffentliche IP,
NAT,
Firewall
und Dienst.
---
**Typisches Szenario: 502 Bad Gateway**
Ein 502-Fehler tritt häufig bei Reverse Proxys auf.
Mögliche Ursachen:
Backend läuft nicht.
Backend-Port falsch.
Backend-Protokoll falsch.
DNS-Name des Backends falsch.
Container oder Server nicht erreichbar.
Firewall blockiert Proxy → Backend.
Backend antwortet ungültig.
TLS zum Backend falsch konfiguriert.
Merksatz:
502 bedeutet oft:
Proxy erreicht Backend nicht korrekt.
---
**Typisches Szenario: Zugriff auf Datenbank aus DMZ geht nicht**
Beispiel:
Webserver in DMZ soll Datenbank im Servernetz erreichen.
Prüfen:
Quelle:
Webserver in DMZ
Ziel:
Datenbankserver im Servernetz
Dienst:
Datenbankport
Richtung:
DMZ → Servernetz
Zusätzlich:
Datenbankdienst läuft?
Datenbank lauscht auf richtiger IP?
Host-Firewall erlaubt?
Benutzerrechte in Datenbank korrekt?
Rückweg vorhanden?
Merksatz:
Datenbankzugriff aus DMZ braucht enge,
gezielte Regeln.
---
**Typisches Szenario: VPN-Benutzer erreicht internen Server nicht**
Mögliche Ursachen:
- VPN-Verbindung nicht korrekt aufgebaut
- VPN-Client bekommt falsche IP
- Route zum internen Netz fehlt
- Firewall-Regel VPN → Servernetz fehlt
- DNS für interne Namen fehlt
- Split Tunnel falsch
- Zielserver-Firewall blockiert
- Benutzergruppe nicht berechtigt
- NAT im VPN falsch
Merksatz:
VPN-Probleme mit Adresse,
Route,
DNS,
Firewall
und Berechtigung prüfen.
---
**Typisches Szenario: Gastnetz erreicht LAN**
Das ist ein Sicherheitsproblem.
Mögliche Ursachen:
- Firewall-Regel zu offen
- falsche Zonen-Zuordnung
- VLAN falsch konfiguriert
- Gastnetz und LAN im selben Netz
- Any-Any-Regel
- Routing ohne Filter
- alte Testregel vergessen
Merksatz:
Gastnetz darf nicht ins interne LAN führen.
---
**Typisches Szenario: IoT-Geräte erreichen interne Server**
Auch das kann ein Risiko sein.
Mögliche Ursachen:
- IoT-Netz nicht getrennt
- Firewall-Regel zu breit
- Geräte im falschen VLAN
- mDNS oder Broadcast-Freigaben unkontrolliert
- Any-Regel aktiv
- fehlende Segmentierung
Besser:
IoT → Internet nur nötig
IoT → LAN blockieren
Admin-Netz → IoT gezielt erlauben
Merksatz:
IoT-Geräte nur kontrolliert kommunizieren lassen.
---
**Typisches Szenario: DNS funktioniert nicht**
Mögliche Ursachen:
- UDP 53 blockiert
- TCP 53 blockiert
- falscher DNS-Server
- DNS-Server nicht erreichbar
- Firewall erlaubt nur externe DNS
- interne DNS-Zone fehlt
- Split DNS falsch
- DNS-Cache veraltet
- DHCP verteilt falschen DNS
Merksatz:
DNS braucht je nach Fall UDP und TCP 53.
---
**Typisches Szenario: NTP funktioniert nicht**
Mögliche Ursachen:
- UDP 123 blockiert
- falscher Zeitserver
- DNS zum Zeitserver fehlerhaft
- Zeitabweichung zu groß
- NTP-Dienst läuft nicht
- Firewall erlaubt nur TCP statt UDP
- VM-Zeitquelle widerspricht NTP
Folgeprobleme:
Zertifikatsfehler
Kerberos-Probleme
falsche Logs
Monitoringfehler
Merksatz:
NTP-Probleme können viele Folgefehler erzeugen.
---
**Typisches Szenario: RDP funktioniert nicht**
Mögliche Ursachen:
- TCP 3389 blockiert
- RDP am Zielsystem deaktiviert
- Benutzer nicht berechtigt
- Zielsystem ausgeschaltet
- VPN nicht verbunden
- Firewall-Regel fehlt
- Host-Firewall blockiert
- NLA-Problem
- DNS zeigt falsch
Sicherheit:
RDP nicht direkt aus dem Internet veröffentlichen.
Merksatz:
RDP besser über VPN oder Gateway nutzen.
---
**Typisches Szenario: SSH funktioniert nicht**
Mögliche Ursachen:
- TCP 22 blockiert
- SSH-Dienst läuft nicht
- SSH läuft auf anderem Port
- falscher Benutzer
- falscher Schlüssel
- Passwortlogin deaktiviert
- Host-Firewall blockiert
- Zugriff nur aus Managementnetz erlaubt
- Fail2ban blockiert Quelle
Merksatz:
SSH mit Port,
Dienst,
Benutzer,
Schlüssel
und Firewall prüfen.
---
**Typisches Szenario: Mailserver empfängt keine Mails**
Mögliche Ursachen:
- MX-Record falsch
- DNS zeigt falsch
- TCP 25 blockiert
- NAT-Regel fehlt
- Firewall-Regel fehlt
- Mailgateway down
- Spamfilter lehnt ab
- Zertifikat oder TLS-Problem
- Provider blockiert Port 25
- Mailserver nicht zuständig für Domain
Merksatz:
Mail-Empfang braucht MX,
DNS,
SMTP,
Firewall
und Mailserverkonfiguration.
---
**Typisches Szenario: Anwendung funktioniert nur teilweise**
Mögliche Ursachen:
- Hauptport erlaubt,
Zusatzport fehlt
- API erreichbar,
Datenbank nicht erreichbar
- Weboberfläche erreichbar,
WebSocket blockiert
- DNS erlaubt,
NTP blockiert
- FTP-Login geht,
Datenports fehlen
- Authentifizierung geht,
LDAP-Gruppenabfrage blockiert
Merksatz:
Manche Anwendungen brauchen mehr als nur einen Port.
---
**TCP und UDP nicht verwechseln**
Ein häufiger Fehler ist,
nur den Port zu betrachten.
Beispiele:
DNS kann UDP 53 und TCP 53 brauchen.
NTP nutzt UDP 123,
nicht TCP 123.
SNMP nutzt UDP 161,
nicht TCP 161.
HTTP/3 nutzt UDP 443,
während HTTPS klassisch TCP 443 nutzt.
Merksatz:
Portnummer ohne Protokoll ist unvollständig.
---
**ICMP bei Fehlersuche**
ICMP wird oft für Diagnose genutzt.
Beispiele:
Ping
Traceroute
Ziel nicht erreichbar
Time Exceeded
Fragmentierung nötig
ICMP komplett zu blockieren,
kann Fehlersuche erschweren
und Netzwerkprobleme verdecken.
Merksatz:
ICMP ist mehr als Ping.
---
**Ping reicht nicht aus**
Ping zeigt nur,
ob ICMP-Echo funktioniert.
Ping sagt nicht:
ob TCP 443 offen ist
ob HTTP funktioniert
ob Anmeldung klappt
ob DNS korrekt ist
ob Zertifikat passt
ob Anwendung gesund ist
Merksatz:
Ping ist nur ein erster Hinweis,
kein vollständiger Diensttest.
---
**Porttest reicht nicht aus**
Ein erfolgreicher Porttest zeigt:
Zielport ist erreichbar.
Er zeigt nicht automatisch:
Anwendung antwortet korrekt
Authentifizierung klappt
Datenformat stimmt
Zertifikat passt
Reverse Proxy leitet richtig weiter
Benutzer hat Rechte
Merksatz:
Offener Port heißt nicht:
Anwendung funktioniert.
---
**Typische Testwerkzeuge**
| Werkzeug | Zweck |
|---|---|
| ping | einfache Erreichbarkeit prüfen |
| traceroute / tracert | Weg zum Ziel prüfen |
| nslookup | DNS prüfen |
| dig | DNS detaillierter prüfen |
| curl | HTTP/HTTPS/API testen |
| nc | TCP/UDP-Port testen |
| Test-NetConnection | Windows-Porttest |
| openssl s_client | TLS-Zertifikat prüfen |
| tcpdump | Paketmitschnitt |
| Wireshark | Paketmitschnitt analysieren |
| Firewall-Log | erlaubten oder blockierten Verkehr prüfen |
| Serverlog | Dienstfehler prüfen |
Merksatz:
Werkzeug nach Fragestellung auswählen.
---
**Paketmitschnitt**
Ein Paketmitschnitt kann zeigen,
ob Verkehr wirklich ankommt.
Man sieht zum Beispiel:
ARP
DNS
TCP-Handshake
TLS-Handshake
ICMP
DHCP
Wiederholungen
Timeouts
Reset-Pakete
Wichtig:
Bei TLS sieht man den Inhalt nicht einfach im Klartext.
Merksatz:
Paketmitschnitt zeigt den echten Verkehr.
---
**TCP-Handshake prüfen**
Bei TCP ist der Verbindungsaufbau wichtig.
Vereinfacht:
SYN
SYN-ACK
ACK
Fehlerbilder:
Nur SYN:
Ziel antwortet nicht oder Firewall blockiert.
SYN und RST:
Ziel lehnt aktiv ab oder Dienst nicht offen.
SYN, SYN-ACK, ACK:
TCP-Verbindung wurde aufgebaut.
Merksatz:
TCP-Handshake zeigt,
ob eine TCP-Verbindung entsteht.
---
**Timeout**
Timeout bedeutet:
Es kommt keine Antwort innerhalb der erwarteten Zeit.
Mögliche Ursachen:
- Firewall droppt Pakete
- Routingproblem
- Ziel nicht erreichbar
- Dienst antwortet nicht
- Rückweg fehlt
- Paket geht an falsches Ziel
- Provider blockiert
Merksatz:
Timeout bedeutet oft:
keine oder keine passende Antwort.
---
**Connection Refused**
Connection refused bedeutet:
Zielsystem ist erreichbar,
aber der Dienst nimmt auf dem Port keine Verbindung an.
Mögliche Ursachen:
- Dienst läuft nicht
- falscher Port
- Dienst lauscht nur lokal
- Host-Firewall lehnt aktiv ab
- Anwendung nicht gestartet
Merksatz:
Connection refused deutet auf Zielsystem oder Dienst hin.
---
**Reset**
Ein TCP Reset beendet oder verweigert eine Verbindung aktiv.
Mögliche Ursachen:
- Dienst lehnt Verbindung ab
- Firewall sendet Reset
- Anwendung beendet Verbindung
- falsches Protokoll auf Port
- Sicherheitsregel greift
Merksatz:
Reset ist eine aktive Ablehnung oder Beendigung.
---
**Fehlersuche mit Logs kombinieren**
Am besten kombiniert man:
Client-Fehler
DNS-Ergebnis
Porttest
Firewall-Log
NAT-Log
Serverlog
Anwendungstest
Beispiel:
Client meldet Timeout.
Firewall-Log zeigt Drop.
Ursache:
Firewall-Regel fehlt oder blockiert.
Oder:
Client meldet 502.
Firewall erlaubt.
Reverse-Proxy-Log zeigt Backend nicht erreichbar.
Ursache:
Backend oder interne Regel prüfen.
Merksatz:
Mehrere Hinweise zusammen ergeben die Ursache.
---
**Fehler nach Änderung**
Wenn ein Problem direkt nach einer Änderung auftritt,
prüft man zuerst diese Änderung.
Beispiele:
neue Firewall-Regel
NAT geändert
DNS geändert
Zertifikat erneuert
Reverse Proxy angepasst
Dienst neu gestartet
Server-IP geändert
VLAN geändert
VPN-Gruppe geändert
Update installiert
Merksatz:
Nach Änderung zuerst Änderung prüfen.
---
**Änderungen dokumentieren**
Firewall- und NAT-Änderungen sollten dokumentiert werden.
Wichtige Angaben:
- Datum
- Zweck
- Quelle
- Ziel
- Port
- Protokoll
- Richtung
- NAT-Ziel
- Verantwortlicher
- Ticket
- Testergebnis
- Rollback-Möglichkeit
Merksatz:
Gute Dokumentation verkürzt spätere Fehlersuche.
---
**Rollback**
Rollback bedeutet:
Änderung zurücknehmen,
wenn sie Probleme verursacht.
Bei Firewall-Änderungen wichtig:
vorherigen Zustand kennen
Backup der Konfiguration haben
Wartungsfenster beachten
Zugriff auf Firewall nicht selbst aussperren
Notfallzugang sichern
Merksatz:
Vor kritischen Änderungen Rückweg planen.
---
**Sich nicht selbst aussperren**
Bei Firewall-Änderungen kann man sich selbst den Zugriff nehmen.
Beispiele:
Admin-Regel gelöscht.
Managementnetz blockiert.
VPN-Regel falsch gesetzt.
Weboberfläche der Firewall nicht mehr erreichbar.
Vorbeugung:
Konfiguration sichern.
lokalen Zugriff bereithalten.
Änderung mit Zeitplan oder Rollback absichern.
Managementzugriff nicht ungetestet ändern.
Merksatz:
Managementzugriff besonders vorsichtig ändern.
---
**Checkliste: Firewall-Fehlersuche**
1. Fehlerbild genau aufnehmen.
2. Quelle bestimmen.
3. Ziel bestimmen.
4. Port und Protokoll bestimmen.
5. Richtung und Zone bestimmen.
6. DNS prüfen.
7. Routing prüfen.
8. NAT prüfen.
9. Firewall-Regel prüfen.
10. Regelreihenfolge prüfen.
11. Firewall-Logs prüfen.
12. Zielsystem-Firewall prüfen.
13. Dienststatus prüfen.
14. Anwendung testen.
15. Rückweg prüfen.
16. letzte Änderungen prüfen.
17. Ergebnis dokumentieren.
Merksatz:
Firewall-Fehlersuche ist eine Kette,
kein einzelner Test.
---
**Was man nicht vorschnell tun sollte**
Nicht sofort:
Any-Any-Regel erstellen.
Firewall komplett deaktivieren.
alle Ports öffnen.
DMZ ins LAN freigeben.
Adminport ins Internet öffnen.
Logs ignorieren.
DNS ungeprüft lassen.
NAT und Firewall verwechseln.
Warum?
Solche Maßnahmen können Sicherheitslücken erzeugen
und die eigentliche Ursache verdecken.
Merksatz:
Nicht Sicherheit opfern,
nur um schnell einen Test zu machen.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Wie geht man bei Firewall-Fehlersuche systematisch vor?
- Warum reichen Ping und Porttest nicht aus?
- Warum muss man Quelle, Ziel, Port und Richtung kennen?
- Warum ist DNS bei Firewallproblemen relevant?
- Warum muss NAT zusätzlich zur Firewall geprüft werden?
- Warum kann eine Portweiterleitung trotz NAT-Regel nicht funktionieren?
- Was bedeutet Timeout?
- Was bedeutet Connection Refused?
- Was ist asymmetrisches Routing?
- Warum sind Firewall-Logs wichtig?
- Warum können interne und externe Tests unterschiedliche Ergebnisse liefern?
- Warum sollte man nicht einfach Any-Any erlauben?
- Warum ist Dokumentation bei Firewall-Regeln wichtig?
---
**Typische Prüfungsfallen**
Ping prüft nicht den Dienst.
Porttest prüft nicht die Anwendung.
DNS kann wie ein Firewallproblem wirken.
NAT-Regel ist nicht Firewall-Regel.
Firewall-Regel ist nicht NAT-Regel.
TCP und UDP nicht verwechseln.
Regelrichtung beachten.
Zone beachten.
Regelreihenfolge beachten.
Rückweg beachten.
Stateful Firewalls brauchen Verbindungszustand.
Asymmetrisches Routing kann Verbindungen stören.
Timeout und Connection Refused bedeuten nicht dasselbe.
Host-Firewall zusätzlich prüfen.
Dienst muss wirklich laufen.
Logs sind zentrale Hinweise.
Keine Any-Any-Regel als Dauerlösung.
Änderungen dokumentieren.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| Quelle | System, das Verbindung startet |
| Ziel | System, das erreicht werden soll |
| Richtung | Weg zwischen Zonen oder Interfaces |
| Zone | Sicherheitsbereich der Firewall |
| NAT | Adressübersetzung |
| PAT | Port- und Adressübersetzung |
| Portweiterleitung | externer Port wird intern weitergeleitet |
| Rückweg | Antwortweg zurück zur Quelle |
| asymmetrisches Routing | Hin- und Rückweg sind unterschiedlich |
| Timeout | keine Antwort innerhalb der Zeit |
| Connection Refused | Ziel lehnt Verbindung aktiv ab |
| TCP Reset | aktive Verbindungsbeendigung |
| Firewall-Log | Protokoll erlaubter oder blockierter Verbindungen |
| Host-Firewall | Firewall auf dem Zielsystem |
| Hairpin NAT | interner Zugriff über öffentliche Adresse |
| Split DNS | intern und extern unterschiedliche DNS-Antwort |
| CGNAT | Provider-NAT, oft ohne eingehende Ports |
| Rollback | Änderung zurücknehmen |
| Any-Any | sehr breite Erlaubnisregel |
---
**IHK-sichere Kurzformulierung**
Bei der Fehlersuche an Firewalls, NAT und DMZ müssen Quelle, Ziel, Port, Protokoll, Richtung und Zone genau bestimmt werden. Zusätzlich sind DNS, Routing, NAT-Regeln, Firewall-Regeln, Regelreihenfolge, Host-Firewall, Dienststatus, Rückweg und Logs zu prüfen. Eine NAT-Regel übersetzt Adressen oder Ports, ersetzt aber keine Firewall-Regel. Ein erfolgreicher Ping oder ein offener Port beweist nicht, dass der Anwendungdienst korrekt funktioniert. Typische Ursachen für Fehler sind falsche DNS-Einträge, fehlende Portweiterleitungen, blockierende Firewall-Regeln, falsche Richtung, TCP/UDP-Verwechslung, fehlender Rückweg, CGNAT, Double NAT oder ein nicht laufender Dienst.
---
**Merksätze**
Erst Quelle bestimmen.
Dann Ziel bestimmen.
Dann Port und Protokoll bestimmen.
Dann Richtung und Zone prüfen.
DNS zuerst nicht vergessen.
Routing findet den Weg.
Firewall erlaubt oder blockiert den Weg.
NAT übersetzt Adressen oder Ports.
NAT ersetzt keine Firewall-Regel.
Firewall-Regel ersetzt keine NAT-Regel.
TCP und UDP nicht verwechseln.
Regelreihenfolge beachten.
Spezifisch vor allgemein.
Logs zeigen,
welche Regel greift.
Kein Log kann bedeuten,
dass Verkehr gar nicht ankommt.
Host-Firewall zusätzlich prüfen.
Dienst muss wirklich laufen.
Rückweg muss stimmen.
Timeout bedeutet:
keine passende Antwort.
Connection Refused bedeutet:
Ziel lehnt aktiv ab.
Ping reicht nicht aus.
Porttest reicht nicht aus.
Offener Port heißt nicht:
Anwendung funktioniert.
Intern und extern getrennt testen.
Hairpin NAT oder Split DNS bei internen Tests beachten.
CGNAT kann Portweiterleitungen verhindern.
Any-Any nicht als schnelle Dauerlösung verwenden.
Änderungen dokumentieren.
Vor kritischen Änderungen Rollback planen.
# 11.6 Merksätze und Prüfungswissen zu Firewalls, NAT und DMZ
Diese Seite fasst die wichtigsten Inhalte zu Firewalls, NAT, PAT, Portweiterleitung und DMZ zusammen.
Diese Themen gehören zu den wichtigsten Grundlagen der Netzwerksicherheit.
Wichtige Begriffe:
- Firewall
- Regelwerk
- Paketfilter
- Stateful Inspection
- NAT
- PAT
- Portweiterleitung
- DMZ
- Sicherheitszone
- Default Deny
- Allow
- Drop
- Reject
- Source NAT
- Destination NAT
- Hairpin NAT
- Split DNS
- CGNAT
Merksatz:
Firewall kontrolliert Verkehr.
NAT übersetzt Adressen.
DMZ trennt öffentliche Dienste vom internen Netz.
---
**Grundidee**
Firewalls, NAT und DMZ haben unterschiedliche Aufgaben.
Firewall:
entscheidet,
ob Verkehr erlaubt oder blockiert wird.
NAT:
übersetzt IP-Adressen.
PAT:
übersetzt IP-Adressen und Ports.
DMZ:
trennt öffentlich erreichbare Dienste vom internen LAN.
Merksatz:
Firewall,
NAT
und DMZ nicht miteinander verwechseln.
---
**Firewall**
Eine Firewall kontrolliert Netzwerkverkehr.
Sie prüft je nach Art zum Beispiel:
- Quell-IP-Adresse
- Ziel-IP-Adresse
- Protokoll
- Quellport
- Zielport
- Richtung
- Interface
- Zone
- Verbindungsstatus
- Anwendung
Merksatz:
Firewall = kontrollierter Übergang zwischen Netzen.
---
**Firewall-Regel**
Eine Firewall-Regel beschreibt,
welcher Verkehr erlaubt oder blockiert wird.
Typische Bestandteile:
- Aktion
- Quelle
- Ziel
- Dienst
- Protokoll
- Port
- Richtung
- Zone
- Kommentar
- Logging
Merksatz:
Firewall-Regel = Quelle,
Ziel,
Dienst
und Aktion.
---
**Aktionen einer Firewall**
| Aktion | Bedeutung |
|---|---|
| Allow | Verkehr erlauben |
| Deny | Verkehr blockieren |
| Drop | Paket still verwerfen |
| Reject | Paket aktiv ablehnen |
| Log | Treffer protokollieren |
Merksatz:
Allow erlaubt.
Drop schweigt.
Reject antwortet.
---
**Drop und Reject**
Drop bedeutet:
Paket wird ohne Antwort verworfen.
Reject bedeutet:
Paket wird aktiv abgelehnt,
und der Absender erhält eine Antwort.
Typische Wirkung:
Drop führt oft zu Timeout.
Reject führt oft zu schneller Fehlermeldung.
Merksatz:
Drop = keine Antwort.
Reject = aktive Ablehnung.
---
**Paketfilter**
Ein Paketfilter prüft vor allem:
- IP-Adressen
- Protokoll
- Ports
- Richtung
- Interface
Er arbeitet hauptsächlich auf Schicht 3 und 4.
Merksatz:
Paketfilter prüft IP und Port.
---
**Stateful Firewall**
Eine Stateful Firewall merkt sich Verbindungen.
Sie erkennt:
neues Paket
bestehende Verbindung
zugehörige Antwort
ungültiges Paket
Vorteil:
Rückverkehr zu erlaubten Verbindungen kann automatisch zugelassen werden.
Merksatz:
Stateful Firewall kennt den Verbindungszustand.
---
**Stateful Inspection**
Stateful Inspection bedeutet:
Die Firewall prüft,
ob Pakete zu einer bekannten Verbindung gehören.
Besonders wichtig bei TCP:
SYN
SYN-ACK
ACK
Merksatz:
Stateful Inspection prüft Verbindungszusammenhang.
---
**Stateless Firewall**
Eine Stateless Firewall betrachtet Pakete einzeln.
Sie merkt sich keinen Verbindungszustand.
Folge:
Hin- und Rückverkehr müssen genauer einzeln geregelt werden.
Merksatz:
Stateless = jedes Paket einzeln.
---
**Default Deny**
Default Deny bedeutet:
Alles ist verboten,
was nicht ausdrücklich erlaubt wurde.
Das ist ein wichtiges Sicherheitsprinzip.
Vorteil:
unbekannter oder unnötiger Verkehr wird nicht automatisch erlaubt.
Merksatz:
Erst alles blockieren,
dann gezielt erlauben.
---
**Default Allow**
Default Allow bedeutet:
Alles ist erlaubt,
was nicht ausdrücklich verboten wurde.
Das ist oft unsicherer,
weil vergessene oder neue Dienste automatisch erreichbar sein können.
Merksatz:
Default Allow ist bequem,
aber riskant.
---
**Regelreihenfolge**
Viele Firewalls prüfen Regeln von oben nach unten.
Die erste passende Regel entscheidet.
Deshalb ist wichtig:
spezifische Regeln vor allgemeine Regeln
Beispiel:
Erlaube Admin-PC → Server SSH
vor:
Blockiere restliches SSH
Merksatz:
Die erste passende Regel gewinnt.
---
**Spezifisch vor allgemein**
Spezifische Regeln beschreiben einen engen Fall.
Allgemeine Regeln beschreiben einen breiten Fall.
Richtig:
erst Ausnahme erlauben,
dann allgemein blockieren.
Falsch:
zuerst allgemein blockieren,
dann Ausnahme erlauben.
Merksatz:
Spezifisch vor allgemein.
---
**Any und Any-Any**
Any bedeutet:
beliebig
Any-Any bedeutet meistens:
Quelle beliebig
Ziel beliebig
Dienst beliebig
Das ist sehr weit geöffnet und meist gefährlich.
Merksatz:
Any-Any vermeiden.
---
**Firewall-Zonen**
Eine Zone ist ein Sicherheitsbereich.
Typische Zonen:
| Zone | Zweck |
|---|---|
| WAN | Internet oder externes Netz |
| LAN | internes Clientnetz |
| DMZ | öffentliche Dienste |
| Servernetz | interne Server |
| Managementnetz | Administration |
| Gastnetz | Gäste |
| IoT-Netz | Geräte mit eingeschränktem Vertrauen |
| VPN-Zone | entfernte Benutzer nach VPN-Einwahl |
Merksatz:
Zonen trennen Netze nach Schutzbedarf.
---
**LAN, WAN und DMZ**
LAN:
internes Netz
WAN:
externes Netz oder Internet
DMZ:
eigenes Netz für öffentlich erreichbare Dienste
Merksatz:
LAN innen.
WAN außen.
DMZ dazwischen.
---
**DMZ**
DMZ steht für:
Demilitarized Zone
Eine DMZ enthält Dienste,
die von außen erreichbar sein müssen.
Beispiele:
- Webserver
- Reverse Proxy
- Mailgateway
- VPN-Gateway
- öffentlicher DNS-Server
- Bastion Host
Merksatz:
DMZ = separates Netz für öffentliche Dienste.
---
**Zweck einer DMZ**
Eine DMZ schützt das interne LAN.
Wenn ein öffentlich erreichbarer Server kompromittiert wird,
soll der Angreifer nicht direkt ins interne Netz gelangen.
Merksatz:
DMZ begrenzt Schaden bei öffentlichen Diensten.
---
**DMZ-Regelprinzip**
Typische Regelidee:
Internet → DMZ:
nur notwendige öffentliche Dienste erlauben
Internet → LAN:
blockieren
DMZ → LAN:
nur zwingend notwendige Verbindungen erlauben
Managementnetz → DMZ:
Administration gezielt erlauben
Merksatz:
DMZ darf keine freie Brücke ins LAN sein.
---
**Reverse Proxy in der DMZ**
Ein Reverse Proxy nimmt externe Anfragen an
und leitet sie an interne Dienste weiter.
Vorteile:
- zentrale TLS-Verwaltung
- mehrere Webdienste über eine öffentliche IP
- weniger direkte Veröffentlichung interner Server
- bessere Kontrolle
- bessere Protokollierung
Merksatz:
Reverse Proxy bündelt und schützt Webzugriffe.
---
**Bastion Host**
Ein Bastion Host ist ein besonders abgesicherter Sprungserver.
Er dient dazu,
administrative Zugriffe zu bündeln und zu kontrollieren.
Typisch:
Admin → Bastion Host → Zielsystem
Merksatz:
Bastion Host = abgesicherter Zugangspunkt für Administration.
---
**NAT**
NAT steht für:
Network Address Translation
NAT übersetzt IP-Adressen.
Typischer Einsatz:
private IPv4-Adresse
wird beim Zugriff ins Internet
in öffentliche IPv4-Adresse übersetzt.
Merksatz:
NAT übersetzt IP-Adressen.
---
**Warum NAT bei IPv4 wichtig ist**
Private IPv4-Adressen sind im Internet nicht direkt geroutet.
NAT ermöglicht,
dass interne Geräte mit privaten Adressen trotzdem ins Internet können.
Außerdem spart NAT öffentliche IPv4-Adressen.
Merksatz:
NAT ermöglicht Internetzugriff mit privaten IPv4-Adressen.
---
**Private IPv4-Adressbereiche**
| Bereich | CIDR |
|---|---|
| 10.0.0.0 bis 10.255.255.255 | 10.0.0.0/8 |
| 172.16.0.0 bis 172.31.255.255 | 172.16.0.0/12 |
| 192.168.0.0 bis 192.168.255.255 | 192.168.0.0/16 |
Diese Bereiche sind für interne Netze vorgesehen.
Merksatz:
Private IPv4-Adressen werden im Internet nicht direkt geroutet.
---
**Öffentliche IP-Adresse**
Eine öffentliche IP-Adresse ist im Internet routbar.
Sie wird zum Beispiel vom Provider zugewiesen.
Interne Geräte sind meist über NAT hinter dieser öffentlichen Adresse sichtbar.
Merksatz:
Öffentliche IP-Adresse ist im Internet erreichbar.
---
**Source NAT**
Source NAT ändert die Quelladresse.
Typischer Fall:
Client im LAN baut Verbindung ins Internet auf.
Vorher:
Quelle:
private IP
Nachher:
Quelle:
öffentliche IP des Routers oder der Firewall
Merksatz:
Source NAT ändert die Quelle.
---
**Destination NAT**
Destination NAT ändert die Zieladresse.
Typischer Fall:
externer Zugriff wird an internes Ziel weitergeleitet.
Beispiel:
öffentliche IP:443
→ interner Webserver:443
Merksatz:
Destination NAT ändert das Ziel.
---
**PAT**
PAT steht für:
Port Address Translation
PAT übersetzt zusätzlich Ports.
Dadurch können viele interne Geräte gleichzeitig über eine öffentliche IP-Adresse kommunizieren.
Merksatz:
PAT = NAT mit Portübersetzung.
---
**NAT und PAT unterscheiden**
| Begriff | Bedeutung |
|---|---|
| NAT | IP-Adressen werden übersetzt |
| PAT | IP-Adressen und Ports werden übersetzt |
| Source NAT | Quelladresse wird geändert |
| Destination NAT | Zieladresse wird geändert |
| Portweiterleitung | externer Port wird intern weitergeleitet |
Merksatz:
NAT = Adresse.
PAT = Adresse plus Port.
---
**Portweiterleitung**
Portweiterleitung bedeutet:
Ein externer Port wird an ein internes Ziel weitergeleitet.
Beispiel:
WAN TCP 443
→ 192.168.10.20 TCP 443
Portweiterleitung ist eine Form von Destination NAT.
Merksatz:
Portweiterleitung macht interne Dienste extern erreichbar.
---
**Portweiterleitung und Sicherheit**
Eine Portweiterleitung erhöht die Angriffsfläche.
Warum?
Ein interner Dienst wird von außen erreichbar.
Deshalb wichtig:
- nur notwendige Ports öffnen
- Dienste aktuell halten
- starke Authentifizierung
- TLS nutzen
- Logs prüfen
- Zugriff einschränken
- keine Admin-Dienste direkt veröffentlichen
Merksatz:
Jeder veröffentlichte Port ist ein Risiko.
---
**Was man nicht direkt veröffentlichen sollte**
Normalerweise nicht direkt ins Internet:
- SMB TCP 445
- RDP TCP 3389
- Telnet TCP 23
- Datenbankports
- NAS-Adminoberflächen
- Hypervisor-Management
- Drucker
- interne Adminoberflächen
Besser:
VPN,
Reverse Proxy,
Bastion Host,
Zero-Trust-Zugriff
oder
kontrollierte Quellbeschränkung.
Merksatz:
Interne Admin-Dienste nicht direkt ins Internet öffnen.
---
**NAT-Regel und Firewall-Regel unterscheiden**
NAT-Regel:
Wohin wird Verkehr übersetzt oder weitergeleitet?
Firewall-Regel:
Darf dieser Verkehr passieren?
Beide müssen passen.
Beispiel:
NAT leitet WAN:443 an Server weiter.
Firewall blockiert WAN → Server TCP 443.
Ergebnis:
Zugriff funktioniert nicht.
Merksatz:
NAT leitet um.
Firewall erlaubt oder blockiert.
---
**Routing und Firewall unterscheiden**
Routing entscheidet:
welchen Weg ein Paket nimmt.
Firewall entscheidet:
ob ein Paket erlaubt wird.
Beides muss stimmen.
Merksatz:
Routing findet den Weg.
Firewall erlaubt den Weg.
---
**Hairpin NAT**
Hairpin NAT bedeutet:
Ein interner Client greift über die öffentliche Adresse auf einen internen Dienst zu.
Beispiel:
Client im LAN ruft cloud.firma.de auf.
DNS liefert öffentliche IP.
Router leitet Verbindung wieder nach innen.
Merksatz:
Hairpin NAT = intern über öffentliche Adresse.
---
**Split DNS**
Split DNS liefert intern und extern unterschiedliche DNS-Antworten.
Beispiel:
cloud.firma.de extern:
öffentliche IP
cloud.firma.de intern:
interne IP
Vorteil:
interne Clients erreichen den Dienst direkt intern.
Merksatz:
Split DNS kann Hairpin NAT vermeiden.
---
**CGNAT**
CGNAT steht für:
Carrier Grade NAT
Dabei teilt der Provider eine öffentliche IPv4-Adresse auf mehrere Kunden auf.
Folge:
eingehende Portweiterleitungen funktionieren oft nicht direkt.
Merksatz:
CGNAT verhindert oft direkte eingehende IPv4-Verbindungen.
---
**Double NAT**
Double NAT bedeutet:
Zwei NAT-Geräte sind hintereinander aktiv.
Beispiel:
Provider-Router macht NAT.
Eigener Router macht NAT.
Folge:
Portweiterleitungen müssen auf beiden Geräten passen.
Merksatz:
Double NAT erschwert Portweiterleitungen.
---
**Firewall und DNS**
DNS ist bei Firewall- und NAT-Themen sehr wichtig.
Beispiel:
DNS zeigt auf falsche öffentliche IP.
Dann erreicht der Client nicht das richtige Ziel.
Oder:
intern wird ein anderer DNS-Eintrag benötigt als extern.
Merksatz:
Falsches DNS kann wie ein Firewallproblem aussehen.
---
**Firewall und TLS**
Ein offener Port 443 bedeutet nicht automatisch,
dass HTTPS korrekt funktioniert.
Mögliche zusätzliche Probleme:
- falsches Zertifikat
- Zertifikat abgelaufen
- Hostname passt nicht
- Reverse Proxy falsch
- Backend nicht erreichbar
- TLS-Version passt nicht
Merksatz:
Port 443 offen heißt nicht:
HTTPS funktioniert korrekt.
---
**Firewall und Rückweg**
Eine Verbindung braucht Hinweg und Rückweg.
Wenn der Rückweg fehlt,
funktioniert die Verbindung nicht.
Mögliche Ursachen:
- falsches Gateway
- fehlende Route
- asymmetrisches Routing
- NAT-Zuordnung fehlt
- Antwort geht über falsches Interface
Merksatz:
Ohne Rückweg keine funktionierende Verbindung.
---
**Asymmetrisches Routing**
Asymmetrisches Routing bedeutet:
Hinweg und Rückweg laufen über unterschiedliche Wege.
Das kann Stateful Firewalls stören,
weil sie den Verbindungszustand nur auf einem Weg sehen.
Merksatz:
Stateful Firewalls brauchen passenden Hin- und Rückweg.
---
**Firewall-Logs**
Firewall-Logs zeigen,
was mit Verkehr passiert.
Wichtige Angaben:
- Quelle
- Ziel
- Port
- Protokoll
- Aktion
- Zeit
- Regelname
- Zone
- Interface
- NAT-Übersetzung
Merksatz:
Logs zeigen,
ob Verkehr erlaubt oder blockiert wurde.
---
**Typische Fehler bei Firewalls**
Typische Fehler:
- falsche Quelle
- falsches Ziel
- falscher Port
- TCP und UDP verwechselt
- falsche Richtung
- falsche Zone
- falsche Regelreihenfolge
- Regel deaktiviert
- Host-Firewall blockiert
- Dienst läuft nicht
- Rückweg fehlt
- DNS zeigt falsch
Merksatz:
Firewall-Fehler sind oft Detailfehler.
---
**Typische Fehler bei NAT**
Typische Fehler:
- NAT-Regel fehlt
- falsche öffentliche IP
- falsches internes Ziel
- falscher interner Port
- falscher externer Port
- TCP und UDP verwechselt
- CGNAT
- Double NAT
- alte NAT-Regel greift
- DNS zeigt auf falsche IP
- Hairpin NAT fehlt
Merksatz:
NAT-Fehler betreffen oft Adresse,
Port
oder Ziel.
---
**Typische Fehler bei DMZ**
Typische Fehler:
- öffentliche Dienste im LAN statt in DMZ
- DMZ darf zu viel ins LAN
- Adminzugang aus Internet erlaubt
- Firewall-Regel zu breit
- Reverse Proxy erreicht Backend nicht
- DNS falsch
- Zertifikat falsch
- ausgehender DMZ-Verkehr ungefiltert
- Monitoring fehlt
- Logs fehlen
Merksatz:
DMZ-Fehler sind oft Zonen- oder Regelprobleme.
---
**Systematische Fehlersuche**
Eine sinnvolle Reihenfolge:
1. Quelle bestimmen.
2. Ziel bestimmen.
3. Port und Protokoll bestimmen.
4. Richtung und Zone bestimmen.
5. DNS prüfen.
6. Routing prüfen.
7. NAT prüfen.
8. Firewall-Regel prüfen.
9. Regelreihenfolge prüfen.
10. Firewall-Logs prüfen.
11. Host-Firewall prüfen.
12. Dienststatus prüfen.
13. Rückweg prüfen.
14. Anwendung testen.
15. Änderungen prüfen.
Merksatz:
Firewall-Fehlersuche ist eine Verbindungskette.
---
**Ping reicht nicht aus**
Ping prüft nur ICMP-Erreichbarkeit.
Ping sagt nicht:
ob TCP 443 offen ist
ob HTTPS korrekt funktioniert
ob NAT stimmt
ob Zertifikat passt
ob Anmeldung funktioniert
ob Anwendung antwortet
Merksatz:
Ping ist kein vollständiger Diensttest.
---
**Porttest reicht nicht aus**
Ein Porttest zeigt nur:
Port erreichbar oder nicht erreichbar.
Er zeigt nicht automatisch:
Anwendung korrekt
Zertifikat korrekt
Anmeldung korrekt
Rechte korrekt
Datenformat korrekt
Backend korrekt
Merksatz:
Offener Port heißt nicht:
Dienst funktioniert.
---
**Timeout**
Timeout bedeutet:
Es kommt keine Antwort innerhalb der erwarteten Zeit.
Mögliche Ursachen:
- Firewall droppt
- Routingproblem
- Dienst antwortet nicht
- Rückweg fehlt
- falsches Ziel
- Provider blockiert
Merksatz:
Timeout bedeutet oft:
keine passende Antwort.
---
**Connection Refused**
Connection refused bedeutet:
Zielsystem ist erreichbar,
aber der Dienst nimmt auf dem Port keine Verbindung an.
Mögliche Ursachen:
- Dienst läuft nicht
- falscher Port
- Dienst lauscht nur lokal
- Host-Firewall lehnt ab
Merksatz:
Connection refused deutet eher auf Zielsystem oder Dienst hin.
---
**Wichtige Testwerkzeuge**
| Werkzeug | Zweck |
|---|---|
| ping | grobe Erreichbarkeit |
| traceroute / tracert | Weg zum Ziel |
| nslookup | DNS prüfen |
| dig | DNS detailliert prüfen |
| curl | HTTP/HTTPS testen |
| nc | TCP-/UDP-Port testen |
| Test-NetConnection | Windows-Porttest |
| openssl s_client | TLS prüfen |
| tcpdump | Verkehr mitschneiden |
| Wireshark | Pakete analysieren |
| Firewall-Logs | Regeltreffer prüfen |
| Serverlogs | Dienstfehler prüfen |
Merksatz:
Werkzeug nach Fehlerbild auswählen.
---
**Sicherheitsprinzipien**
Wichtige Prinzipien:
- Default Deny
- Least Privilege
- nur notwendige Ports öffnen
- Adminzugänge nicht öffentlich machen
- Zonen trennen
- DMZ verwenden
- Regeln dokumentieren
- temporäre Regeln befristen
- Logs aktivieren
- Updates einspielen
- Monitoring einsetzen
Merksatz:
Sicherheit entsteht durch mehrere Maßnahmen zusammen.
---
**Least Privilege bei Firewall-Regeln**
Least Privilege bedeutet:
Nur erlauben,
was wirklich benötigt wird.
Beispiel schlecht:
DMZ → LAN any erlauben
Beispiel besser:
Reverse Proxy → interner Webdienst TCP 8080 erlauben
Merksatz:
Firewall-Regeln so eng wie möglich setzen.
---
**Dokumentation**
Firewall- und NAT-Regeln sollten dokumentiert werden.
Wichtige Angaben:
- Zweck
- Quelle
- Ziel
- Port
- Protokoll
- Richtung
- NAT-Ziel
- Verantwortlicher
- Ticket
- Datum
- Ablaufdatum bei temporären Regeln
Merksatz:
Undokumentierte Regeln werden später zum Risiko.
---
**Regelreview**
Firewall-Regelwerke sollten regelmäßig geprüft werden.
Dabei sucht man:
- alte Regeln
- ungenutzte Regeln
- temporäre Regeln ohne Ablauf
- Any-Any-Regeln
- zu breite Freigaben
- fehlende Kommentare
- shadowed rules
- redundante Regeln
Merksatz:
Firewall-Regeln altern und müssen gepflegt werden.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist die Aufgabe einer Firewall?
- Was ist der Unterschied zwischen Firewall und NAT?
- Was ist eine Stateful Firewall?
- Was bedeutet Stateful Inspection?
- Was bedeutet Default Deny?
- Warum ist die Regelreihenfolge wichtig?
- Warum sind Any-Any-Regeln gefährlich?
- Was ist NAT?
- Was ist PAT?
- Was ist Source NAT?
- Was ist Destination NAT?
- Was ist eine Portweiterleitung?
- Warum reicht eine NAT-Regel allein nicht aus?
- Was ist eine DMZ?
- Warum stellt man öffentliche Dienste in eine DMZ?
- Warum darf die DMZ nicht frei ins LAN?
- Was ist Hairpin NAT?
- Was ist Split DNS?
- Was ist CGNAT?
- Wie geht man bei Firewall-Fehlersuche vor?
---
**Typische Prüfungsfallen**
Firewall ist nicht NAT.
NAT ist nicht Firewall.
NAT übersetzt Adressen.
PAT übersetzt Adressen und Ports.
Portweiterleitung ist Destination NAT.
NAT-Regel ersetzt keine Firewall-Regel.
Firewall-Regel ersetzt keine NAT-Regel.
Routing entscheidet den Weg.
Firewall entscheidet die Erlaubnis.
DNS kann wie ein Firewallproblem wirken.
Port offen heißt nicht:
Anwendung funktioniert.
TCP und UDP nicht verwechseln.
Regelrichtung beachten.
Regelreihenfolge beachten.
Spezifisch vor allgemein.
Default Deny ist sicherer.
Any-Any vermeiden.
Drop und Reject unterscheiden.
DMZ ist nicht LAN.
DMZ darf nicht frei ins LAN.
Öffentliche Dienste gehören besser in die DMZ.
RDP nicht direkt ins Internet öffnen.
SMB nicht direkt ins Internet öffnen.
CGNAT kann Portweiterleitung verhindern.
Hairpin NAT betrifft interne Zugriffe über öffentliche Adresse.
Split DNS kann Hairpin NAT vermeiden.
Rückweg prüfen.
Logs prüfen.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| Firewall | kontrolliert Netzwerkverkehr |
| Firewall-Regel | Bedingung mit Aktion |
| Paketfilter | prüft IP-Adressen und Ports |
| Stateful Firewall | kennt Verbindungszustände |
| Stateful Inspection | Prüfung des Verbindungsstatus |
| Default Deny | alles blockieren, außer erlaubt |
| Allow | erlauben |
| Deny | blockieren |
| Drop | still verwerfen |
| Reject | aktiv ablehnen |
| Zone | Sicherheitsbereich |
| LAN | internes Netz |
| WAN | externes Netz |
| DMZ | Netz für öffentliche Dienste |
| NAT | Adressübersetzung |
| PAT | Adress- und Portübersetzung |
| Source NAT | Quelladresse wird geändert |
| Destination NAT | Zieladresse wird geändert |
| Portweiterleitung | externer Port wird intern weitergeleitet |
| Hairpin NAT | interner Zugriff über öffentliche Adresse |
| Split DNS | intern und extern unterschiedliche DNS-Antwort |
| CGNAT | Provider-NAT für mehrere Kunden |
| Double NAT | zwei NAT-Geräte hintereinander |
| Reverse Proxy | leitet Webanfragen an Backends |
| Bastion Host | abgesicherter Sprungserver |
| Any-Any | sehr breite Regel |
| Rückweg | Antwortweg zurück zur Quelle |
| asymmetrisches Routing | Hin- und Rückweg unterschiedlich |
---
**IHK-sichere Gesamtformulierung**
Eine Firewall kontrolliert Netzwerkverkehr zwischen Systemen oder Netzbereichen und entscheidet anhand von Regeln, ob Verbindungen erlaubt oder blockiert werden. Typische Kriterien sind Quelle, Ziel, Port, Protokoll, Richtung und Zone. NAT übersetzt IP-Adressen, während PAT zusätzlich Ports übersetzt. Eine Portweiterleitung ist eine Form von Destination NAT und macht einen internen Dienst von außen erreichbar. NAT-Regeln und Firewall-Regeln sind zu unterscheiden und müssen zusammenpassen. Eine DMZ ist ein separates Netz für Dienste, die von außen erreichbar sein müssen. Sie schützt das interne LAN, indem öffentliche Dienste getrennt platziert und Zugriffe zwischen WAN, DMZ und LAN gezielt geregelt werden.
---
**Wichtigste Merksätze**
Firewall kontrolliert Verkehr.
NAT übersetzt Adressen.
PAT übersetzt Adressen und Ports.
DMZ trennt öffentliche Dienste vom LAN.
Firewall ist nicht NAT.
NAT ist nicht Firewall.
Routing findet den Weg.
Firewall erlaubt den Weg.
NAT-Regel leitet um.
Firewall-Regel erlaubt oder blockiert.
Source NAT ändert Quelle.
Destination NAT ändert Ziel.
Portweiterleitung ist Destination NAT.
Private IPv4-Adressen sind intern.
Öffentliche IP-Adressen sind im Internet routbar.
Default Deny ist sicherer.
Die erste passende Regel gewinnt.
Spezifisch vor allgemein.
Any-Any vermeiden.
Drop schweigt.
Reject antwortet.
Stateful Firewall kennt Verbindungen.
Rückweg muss passen.
Asymmetrisches Routing kann stören.
DMZ ist nicht LAN.
DMZ darf nicht frei ins LAN.
Öffentliche Dienste gehören besser in die DMZ.
Reverse Proxy kann Dienste bündeln.
RDP nicht direkt ins Internet öffnen.
SMB nicht direkt ins Internet öffnen.
CGNAT kann Portweiterleitungen verhindern.
Hairpin NAT = intern über öffentliche Adresse.
Split DNS = intern andere DNS-Antwort.
DNS,
NAT,
Firewall,
Dienst
und Logs gemeinsam prüfen.
# 12. Sniffing, Analyse und Fehlersuche
# 12.1 Sniffing, Paketmitschnitt und Netzwerkanalyse
Sniffing bedeutet:
Netzwerkverkehr mitschneiden und analysieren.
Dabei werden Datenpakete sichtbar gemacht,
damit man verstehen kann,
was im Netzwerk wirklich passiert.
Typische Werkzeuge sind:
- Wireshark
- tcpdump
- tshark
- Packet Capture auf Firewalls
- Switch-Port-Mirroring
- Browser-Entwicklertools
- Logdateien als Ergänzung
Merksatz:
Sniffing zeigt den tatsächlichen Netzwerkverkehr.
---
**Warum nutzt man Paketmitschnitte?**
Ein Paketmitschnitt hilft,
wenn normale Fehlermeldungen nicht ausreichen.
Man kann damit prüfen:
Kommt ein Paket überhaupt an?
Antwortet das Zielsystem?
Wird DNS korrekt gefragt?
Findet ein TCP-Handshake statt?
Gibt es Wiederholungen?
Gibt es Timeouts?
Wird die Verbindung aktiv abgelehnt?
Wird TLS aufgebaut?
Werden DHCP-Pakete gesendet?
Gibt es ARP-Probleme?
Merksatz:
Paketmitschnitt hilft,
Vermutungen durch echte Daten zu ersetzen.
---
**Sniffing ist nicht immer erlaubt**
Netzwerkverkehr kann sensible Informationen enthalten.
Beispiele:
- Benutzernamen
- Passwörter
- Cookies
- Tokens
- E-Mail-Inhalte
- interne IP-Adressen
- Kundendaten
- personenbezogene Daten
- vertrauliche Kommunikation
Deshalb gilt:
Paketmitschnitte nur mit Erlaubnis,
Zweckbindung
und möglichst begrenztem Umfang durchführen.
Merksatz:
Sniffing ist technisch hilfreich,
aber datenschutz- und sicherheitsrelevant.
---
**Was sieht man in einem Paketmitschnitt?**
In einem Paketmitschnitt sieht man je nach Protokoll:
- Quell-MAC-Adresse
- Ziel-MAC-Adresse
- Quell-IP-Adresse
- Ziel-IP-Adresse
- Protokoll
- Quellport
- Zielport
- Flags
- Paketgröße
- Zeitstempel
- DNS-Anfragen
- TCP-Handshake
- TLS-Handshake
- unverschlüsselte Nutzdaten
Bei verschlüsselten Verbindungen sieht man den Inhalt nicht einfach im Klartext.
Merksatz:
Metadaten sind oft sichtbar,
Inhalte bei TLS meist nicht.
---
**OSI-Schichten im Paketmitschnitt**
Ein Paketmitschnitt zeigt mehrere OSI-Schichten gleichzeitig.
| Sichtbarer Bereich | OSI-Schicht |
|---|---:|
| MAC-Adressen | 2 |
| VLAN-Tags | 2 |
| IP-Adressen | 3 |
| ICMP | 3 |
| TCP / UDP | 4 |
| Ports | 4 |
| TLS-Handshake | 6 / 7-Bezug |
| DNS, HTTP, DHCP, SMTP | 7 |
Merksatz:
Paketmitschnitt verbindet die Schichten sichtbar miteinander.
---
**Wireshark**
Wireshark ist ein grafisches Werkzeug zur Analyse von Netzwerkpaketen.
Es zeigt Pakete übersichtlich mit:
- Paketliste
- Paketdetails
- Rohdaten
- Protokollauswertung
- Filtern
- Zeitinformationen
- Verbindungsübersichten
Wireshark eignet sich besonders gut,
um Protokolle Schritt für Schritt zu verstehen.
Merksatz:
Wireshark macht Netzwerkverkehr sichtbar und lesbar.
---
**tcpdump**
tcpdump ist ein Kommandozeilenwerkzeug für Paketmitschnitte.
Es wird häufig auf Linux,
Unix,
Firewalls,
Servern
oder Netzwerkgeräten verwendet.
Vorteile:
- schnell
- leicht auf Servern nutzbar
- gut für SSH-Sitzungen
- kann Mitschnitte als Datei speichern
- gut für gezielte Filter
Merksatz:
tcpdump ist Paketmitschnitt auf der Kommandozeile.
---
**tshark**
tshark ist die Kommandozeilenversion von Wireshark.
Es kann Pakete aufzeichnen,
filtern
und Protokolldaten ausgeben.
Typische Nutzung:
- Analyse auf Servern
- automatisierte Auswertung
- schnelle Suche in Mitschnitten
- Export bestimmter Felder
Merksatz:
tshark bringt Wireshark-Funktionen auf die Kommandozeile.
---
**Packet Capture auf Firewalls**
Viele Firewalls bieten eine eingebaute Paketmitschnittfunktion.
Vorteil:
Man sieht,
ob Pakete an der Firewall ankommen
und auf welchem Interface sie erscheinen.
Das ist hilfreich bei:
- NAT-Problemen
- Routingproblemen
- DMZ-Verkehr
- VPN-Problemen
- Firewall-Regelprüfung
- asymmetrischem Routing
Merksatz:
Mitschnitt auf der Firewall zeigt,
was die Firewall wirklich sieht.
---
**Switch-Port-Mirroring**
Ein Switch leitet normalerweise nur relevante Frames an den passenden Port weiter.
Damit ein Analysegerät trotzdem Verkehr anderer Ports sehen kann,
nutzt man:
Port Mirroring
oder:
SPAN-Port
Dabei wird Verkehr von einem oder mehreren Ports
auf einen Analyseport kopiert.
Merksatz:
Port Mirroring kopiert Verkehr zu einem Analyseport.
---
**Warum sieht man nicht automatisch alles?**
In geswitchten Netzwerken sieht ein normaler Client nicht den gesamten Verkehr.
Er sieht hauptsächlich:
- eigenen Verkehr
- Broadcasts
- Multicasts
- bestimmte lokale Pakete
Er sieht normalerweise nicht:
den gesamten Verkehr anderer Clients
Dafür braucht man Port Mirroring,
Mitschnitt am Zielsystem
oder Mitschnitt an einer Firewall.
Merksatz:
In geswitchten Netzen sieht man ohne Mirror nicht alles.
---
**Promiscuous Mode**
Promiscuous Mode bedeutet:
Die Netzwerkkarte nimmt auch Frames an,
die nicht direkt an ihre eigene MAC-Adresse gerichtet sind.
Das ist für Sniffing hilfreich.
Aber:
In geswitchten Netzwerken reicht Promiscuous Mode allein nicht,
um fremden Verkehr zu sehen.
Merksatz:
Promiscuous Mode hilft,
ersetzt aber kein Port Mirroring.
---
**Capture Filter und Display Filter**
Bei Wireshark und tcpdump gibt es unterschiedliche Filterarten.
Capture Filter:
bestimmen,
was überhaupt aufgezeichnet wird.
Display Filter:
bestimmen,
was nachträglich angezeigt wird.
Beispiel:
Capture Filter:
nur Verkehr zu Host 192.168.10.20 mitschneiden
Display Filter:
im vorhandenen Mitschnitt nur DNS anzeigen
Merksatz:
Capture Filter begrenzt Aufnahme.
Display Filter begrenzt Anzeige.
---
**Capture Filter**
Capture Filter werden vor oder während der Aufnahme angewendet.
Vorteil:
kleinere Dateien
weniger Daten
bessere Übersicht
weniger sensible Daten
Nachteil:
was nicht aufgezeichnet wurde,
kann man später nicht analysieren.
Merksatz:
Capture Filter nur setzen,
wenn klar ist,
was benötigt wird.
---
**Display Filter**
Display Filter werden nach der Aufnahme angewendet.
Vorteil:
alle Daten bleiben erhalten
Ansicht kann beliebig eingegrenzt werden
ideal für Analyse
Beispiele für Filterideen:
nur eine IP-Adresse
nur DNS
nur TCP-Fehler
nur HTTP
nur Pakete mit Reset
Merksatz:
Display Filter sind sicherer für Analyse,
weil die Rohdaten erhalten bleiben.
---
**Wichtige Filtergedanken**
Typische Fragen:
Welche IP-Adresse interessiert mich?
Welcher Port interessiert mich?
Welches Protokoll interessiert mich?
Welche Richtung interessiert mich?
Welche Fehlermeldung sehe ich?
Welche Zeitspanne ist relevant?
Beispiele:
Verkehr eines bestimmten Hosts
DNS-Anfragen
TCP-Verbindungen zu Port 443
ICMP-Pakete
DHCP-DORA
ARP-Anfragen
Merksatz:
Gute Filter entstehen aus einer klaren Fragestellung.
---
**MAC-Adressen im Mitschnitt**
MAC-Adressen gehören zu OSI-Schicht 2.
Sie zeigen,
welche Geräte im lokalen Netzwerksegment miteinander kommunizieren.
Wichtig:
MAC-Adressen ändern sich bei jedem Routing-Hop.
Ein Paket zum Internet hat im LAN als Ziel-MAC nicht den Webserver im Internet,
sondern die MAC-Adresse des Standard-Gateways.
Merksatz:
Im lokalen Netz ist die Ziel-MAC oft das Gateway.
---
**IP-Adressen im Mitschnitt**
IP-Adressen gehören zu OSI-Schicht 3.
Sie zeigen:
Quell-IP
Ziel-IP
Bei NAT können sich IP-Adressen ändern.
Beispiel:
vor NAT:
private Client-IP
nach NAT:
öffentliche Firewall-IP
Merksatz:
IP-Adressen zeigen logische Endpunkte,
können durch NAT geändert werden.
---
**Ports im Mitschnitt**
Ports gehören zu OSI-Schicht 4.
Sie zeigen,
welcher Dienst angesprochen wird.
Beispiel:
Zielport TCP 443:
typischerweise HTTPS
Zielport TCP 22:
typischerweise SSH
Zielport UDP 53:
typischerweise DNS
Merksatz:
Ports helfen,
Dienste zu erkennen.
---
**Quellport und Zielport**
Bei Client-Server-Verbindungen nutzt der Client meist einen temporären Quellport.
Beispiel:
Client:
192.168.10.50:53124
Server:
203.0.113.10:443
Dabei ist:
53124 = temporärer Quellport
443 = Zielport des Dienstes
Merksatz:
Der bekannte Dienstport ist meistens der Zielport beim Server.
---
**TCP-Handshake im Mitschnitt**
TCP baut eine Verbindung mit drei Schritten auf:
SYN
SYN-ACK
ACK
Im Mitschnitt sieht man dadurch,
ob eine TCP-Verbindung zustande kommt.
| Beobachtung | mögliche Bedeutung |
|---|---|
| SYN, SYN-ACK, ACK | Verbindung aufgebaut |
| nur SYN-Wiederholungen | keine Antwort, Firewall oder Routingproblem |
| SYN, RST | Ziel lehnt aktiv ab |
| SYN, SYN-ACK, danach kein ACK | Rückweg oder Clientproblem |
| viele Retransmissions | Paketverlust oder Blockierung |
Merksatz:
TCP-Handshake ist einer der wichtigsten Hinweise im Mitschnitt.
---
**TCP SYN**
SYN bedeutet:
Client möchte eine TCP-Verbindung starten.
Wenn man nur SYN-Pakete sieht,
aber keine Antwort,
kann das bedeuten:
Ziel antwortet nicht.
Firewall blockiert.
Rückweg fehlt.
Ziel-IP ist falsch.
Dienst ist nicht erreichbar.
Routing stimmt nicht.
Merksatz:
Nur SYN ohne Antwort deutet auf keine erreichbare Antwort hin.
---
**TCP SYN-ACK**
SYN-ACK bedeutet:
Server akzeptiert den Verbindungsaufbau grundsätzlich
und antwortet.
Wenn SYN-ACK ankommt,
ist der Zielport grundsätzlich erreichbar.
Danach muss der Client mit ACK bestätigen.
Merksatz:
SYN-ACK zeigt:
Ziel hat auf TCP-Verbindungsversuch geantwortet.
---
**TCP ACK**
ACK bestätigt empfangene Daten oder Verbindungsaufbau.
ACKs sind normaler Bestandteil von TCP.
Sie zeigen,
dass Pakete angekommen sind
und die Verbindung fortgesetzt werden kann.
Merksatz:
ACK bestätigt Empfang.
---
**TCP RST**
RST steht für:
Reset
Ein RST beendet oder verweigert eine Verbindung aktiv.
Mögliche Ursachen:
- Dienst läuft nicht
- Port geschlossen
- Anwendung lehnt ab
- Firewall sendet Reset
- falsches Protokoll auf Port
- Verbindung wird abgebrochen
Merksatz:
RST = aktive Ablehnung oder Abbruch.
---
**TCP Retransmission**
Retransmission bedeutet:
TCP sendet ein Paket erneut.
Grund:
keine Bestätigung erhalten
Mögliche Ursachen:
- Paketverlust
- Firewall blockiert Pakete
- Überlastung
- schlechter Link
- Rückwegproblem
- Ziel antwortet nicht
Merksatz:
Retransmissions deuten auf verlorene oder unbeantwortete Pakete hin.
---
**TCP Window**
TCP Window beschreibt,
wie viele Daten empfangen werden können,
bevor eine Bestätigung nötig ist.
Wenn das Fenster sehr klein oder null wird,
kann das auf Leistungsprobleme hindeuten.
Beispiel:
Empfänger kann nicht schnell genug verarbeiten.
Merksatz:
TCP Window betrifft Flusskontrolle und Leistung.
---
**UDP im Mitschnitt**
UDP hat keinen Verbindungsaufbau wie TCP.
Es gibt keinen SYN,
kein SYN-ACK
und kein ACK für den Verbindungsaufbau.
Bei UDP prüft man:
Wird Anfrage gesendet?
Kommt Antwort zurück?
Gibt es ICMP-Fehler?
Wird der richtige Port genutzt?
Merksatz:
UDP ist verbindungslos,
deshalb sieht man keinen Handshake.
---
**ICMP im Mitschnitt**
ICMP gehört zu Schicht 3.
Es wird genutzt für:
- Ping
- Ziel nicht erreichbar
- Time Exceeded
- Fragmentierung nötig
- Diagnosemeldungen
ICMP-Meldungen können wichtige Hinweise geben.
Beispiel:
Destination Unreachable
Merksatz:
ICMP liefert oft Hinweise auf Netzwerkprobleme.
---
**ARP im Mitschnitt**
ARP gehört zur lokalen IPv4-Kommunikation.
ARP fragt:
Welche MAC-Adresse gehört zu dieser IPv4-Adresse?
Beispiel:
Wer hat 192.168.10.1?
Antwort:
192.168.10.1 ist bei MAC-Adresse xx:xx:xx:xx:xx:xx
Merksatz:
ARP löst IPv4-Adresse zu MAC-Adresse im lokalen Netz auf.
---
**ARP-Probleme erkennen**
Typische Hinweise:
viele ARP-Anfragen ohne Antwort
falsche MAC-Adresse
doppelte IP-Adresse
Gateway antwortet nicht
Client fragt falsches Ziel direkt
Mögliche Ursachen:
- Ziel nicht im lokalen Netz
- falsche Netzmaske
- falsches Gateway
- VLAN falsch
- IP-Konflikt
- Gerät offline
Merksatz:
ARP-Probleme zeigen oft lokale Layer-2- oder Layer-3-Fehler.
---
**DNS im Mitschnitt**
DNS ist häufig sehr gut im Mitschnitt erkennbar.
Man sieht:
welche Namen gefragt werden
welcher DNS-Server gefragt wird
welche Antwort zurückkommt
ob A- oder AAAA-Records angefragt werden
ob NXDOMAIN zurückkommt
ob Antwort verzögert ist
Merksatz:
DNS-Mitschnitt zeigt,
welcher Name wirklich wohin aufgelöst wird.
---
**DHCP im Mitschnitt**
DHCP kann man im Mitschnitt gut erkennen.
Der klassische Ablauf:
Discover
Offer
Request
Acknowledge
Fehlerbilder:
Discover ohne Offer:
DHCP-Server oder Relay antwortet nicht.
Offer kommt,
aber kein Ack:
Anfrage oder Serverbestätigung gestört.
falsche Optionen:
Gateway oder DNS falsch verteilt.
Merksatz:
DHCP-DORA ist im Mitschnitt gut nachvollziehbar.
---
**TLS im Mitschnitt**
Bei TLS sieht man normalerweise nicht den verschlüsselten Inhalt.
Man sieht aber oft:
TLS-Version
Server Name Indication
Zertifikatsinformationen
Cipher-Aushandlung
Handshake-Fehler
Verbindungsabbrüche
Wichtig:
Der Inhalt von HTTPS bleibt ohne Entschlüsselung geschützt.
Merksatz:
TLS versteckt Inhalte,
aber der Handshake liefert Hinweise.
---
**SNI im Mitschnitt**
SNI steht für:
Server Name Indication
Der Client teilt beim TLS-Aufbau mit,
welchen Hostnamen er erreichen möchte.
Das ist wichtig,
wenn mehrere HTTPS-Dienste auf derselben IP laufen.
Beispiel:
wiki.firma.de
cloud.firma.de
git.firma.de
alle über:
dieselbe IP und TCP 443
Merksatz:
SNI zeigt den gewünschten TLS-Hostnamen.
---
**HTTP im Mitschnitt**
Unverschlüsseltes HTTP kann im Mitschnitt direkt gelesen werden.
Man sieht zum Beispiel:
Methode
Pfad
Host-Header
Statuscode
Header
teilweise Inhalte
Bei HTTPS sieht man diese Inhalte normalerweise nicht,
weil sie verschlüsselt sind.
Merksatz:
HTTP ist lesbar,
HTTPS schützt den Inhalt.
---
**FTP und Telnet im Mitschnitt**
FTP und Telnet können unverschlüsselte Inhalte übertragen.
Bei klassischem FTP können sichtbar sein:
Benutzername
Passwort
Befehle
Dateiinhalte
Bei Telnet können sichtbar sein:
Login
Passwort
Befehle
Merksatz:
Unverschlüsselte Protokolle sind im Mitschnitt gefährlich sichtbar.
---
**SMB im Mitschnitt**
SMB-Verkehr kann Hinweise liefern bei:
Zugriff verweigert
Verbindungsproblemen
Namensproblemen
Protokollversionsproblemen
Dateioperationen
Authentifizierungsproblemen
Wichtig:
Moderne SMB-Kommunikation kann teilweise signiert oder verschlüsselt sein.
Merksatz:
SMB-Mitschnitte helfen bei Freigabe- und Rechteproblemen.
---
**Zeitstempel im Mitschnitt**
Zeitstempel zeigen,
wann Pakete gesendet oder empfangen wurden.
Sie helfen bei:
Timeouts
Verzögerungen
Wiederholungen
langsamen Antworten
Reihenfolge von Ereignissen
Wichtig:
Systemzeit des Analysegeräts sollte korrekt sein.
Merksatz:
Ohne korrekte Zeit sind Mitschnitte schwerer auszuwerten.
---
**Paketgröße**
Die Paketgröße kann Hinweise geben.
Beispiele:
sehr kleine Pakete:
Steuerinformationen, ACKs, Handshake
große Pakete:
Datenübertragung
fragmentierte Pakete:
MTU- oder Fragmentierungsthemen möglich
Merksatz:
Paketgrößen können Leistungs- oder MTU-Probleme sichtbar machen.
---
**MTU-Probleme im Mitschnitt**
MTU steht für:
Maximum Transmission Unit
MTU-Probleme können auftreten,
wenn Pakete zu groß sind
und Fragmentierung nicht richtig funktioniert.
Typische Hinweise:
Verbindungen bauen auf,
aber größere Datenübertragungen hängen.
Webseiten laden teilweise.
VPN-Verbindungen haben Probleme.
ICMP Fragmentation Needed fehlt oder wird blockiert.
Merksatz:
MTU-Probleme zeigen sich oft erst bei größeren Paketen.
---
**Wo sollte man mitschneiden?**
Der Ort des Mitschnitts ist entscheidend.
Mögliche Stellen:
Client
Server
Firewall WAN
Firewall LAN
Firewall DMZ
Switch Mirror Port
Router
VPN-Gateway
Reverse Proxy
Je nach Stelle sieht man unterschiedliche Informationen.
Merksatz:
Der Mitschnittort entscheidet,
was man sehen kann.
---
**Clientseitiger Mitschnitt**
Ein Mitschnitt am Client zeigt:
was der Client wirklich sendet
welche DNS-Anfragen gestellt werden
welche IP erreicht wird
ob Antwort zurückkommt
welche Fehlversuche entstehen
Gut bei:
Einzelclient-Problemen
DNS-Problemen
Browserproblemen
VPN-Clientproblemen
Merksatz:
Client-Mitschnitt zeigt die Sicht des Clients.
---
**Serverseitiger Mitschnitt**
Ein Mitschnitt am Server zeigt:
ob Anfragen beim Server ankommen
von welcher IP sie ankommen
auf welchem Port sie ankommen
ob der Server antwortet
ob die Host-Firewall beteiligt sein könnte
Gut bei:
Dienstproblemen
Firewallverdacht
NAT-Fragen
Rückwegproblemen
Merksatz:
Server-Mitschnitt zeigt,
ob der Dienst wirklich erreicht wird.
---
**Firewall-Mitschnitt**
Ein Mitschnitt auf der Firewall zeigt:
kommt Verkehr auf WAN an?
wird Verkehr nach NAT weitergeleitet?
kommt Antwort zurück?
auf welchem Interface erscheint Verkehr?
wird Rückverkehr sichtbar?
Gut bei:
NAT
DMZ
VPN
Routing
Portweiterleitung
asymmetrischem Routing
Merksatz:
Firewall-Mitschnitt zeigt den Übergang zwischen Zonen.
---
**Mehrere Mitschnitte vergleichen**
Manchmal braucht man Mitschnitte an mehreren Stellen.
Beispiel:
Client sendet SYN.
Firewall WAN sieht SYN.
Firewall DMZ sieht weitergeleitetes SYN.
Server sieht kein SYN.
Dann liegt das Problem zwischen Firewall und Server.
Oder:
Server antwortet.
Firewall sieht Antwort.
Client sieht Antwort nicht.
Dann Rückweg oder Filter prüfen.
Merksatz:
Mehrere Mitschnitte zeigen,
wo Pakete verschwinden.
---
**Paketmitschnitt und Logs kombinieren**
Paketmitschnitte zeigen Verkehr.
Logs zeigen Entscheidungen und Anwendungszustände.
Beispiele:
Firewall-Log:
Paket wurde blockiert.
Webserver-Log:
Anfrage kam an und erzeugte 500.
Auth-Log:
Anmeldung wurde abgelehnt.
Paketmitschnitt:
TCP-Verbindung wurde aufgebaut.
Merksatz:
Mitschnitt und Logs ergänzen sich.
---
**Typische Analysefragen**
Bei einem Paketmitschnitt fragt man:
Sehe ich überhaupt Pakete?
Sehe ich die richtige Quelle?
Sehe ich das richtige Ziel?
Sehe ich den richtigen Port?
Sehe ich DNS vorher?
Sehe ich einen TCP-Handshake?
Sehe ich Reset oder Timeout?
Sehe ich TLS-Handshake?
Sehe ich Antwortpakete?
Sehe ich Wiederholungen?
Sehe ich ICMP-Fehler?
Passt die Richtung?
Merksatz:
Mitschnitt immer mit konkreter Frage auswerten.
---
**Typisches Fehlerbild: Nur SYN-Wiederholungen**
Wenn man nur SYN-Pakete sieht,
aber keine SYN-ACK-Antwort,
kann das bedeuten:
Ziel nicht erreichbar
Firewall droppt
falsche Ziel-IP
Routingproblem
Rückweg fehlt
Dienst oder Host antwortet nicht
NAT falsch
Merksatz:
Nur SYN-Wiederholungen deuten auf fehlende Antwort hin.
---
**Typisches Fehlerbild: RST nach SYN**
Wenn auf ein SYN direkt ein RST kommt,
kann das bedeuten:
Port geschlossen
Dienst läuft nicht
Host lehnt Verbindung ab
Firewall lehnt aktiv ab
falscher Zielport
Merksatz:
RST nach SYN heißt:
Verbindung wird aktiv abgelehnt.
---
**Typisches Fehlerbild: DNS NXDOMAIN**
NXDOMAIN bedeutet:
Name existiert nicht.
Mögliche Ursachen:
falscher Name
DNS-Zone fehlt
Tippfehler
interner DNS nicht genutzt
falscher Suchsuffix
Split DNS falsch
Merksatz:
NXDOMAIN heißt:
DNS kennt diesen Namen nicht.
---
**Typisches Fehlerbild: DHCP Discover ohne Offer**
Wenn ein Client DHCP Discover sendet,
aber kein Offer erhält,
kann das bedeuten:
DHCP-Server nicht erreichbar
DHCP-Relay fehlt
VLAN falsch
DHCP-Server down
Firewall blockiert
Scope voll
falsches Netzwerk
Merksatz:
Discover ohne Offer:
Client findet keinen antwortenden DHCP-Server.
---
**Typisches Fehlerbild: TLS Alert**
Ein TLS Alert zeigt,
dass der TLS-Aufbau ein Problem hat.
Mögliche Ursachen:
Zertifikatproblem
falscher Hostname
inkompatible TLS-Version
inkompatible Cipher Suite
Client oder Server bricht ab
mTLS-Zertifikat fehlt
Merksatz:
TLS Alert deutet auf Problem im TLS-Handshake hin.
---
**Typisches Fehlerbild: Viele Retransmissions**
Viele Retransmissions können bedeuten:
Paketverlust
Überlastung
Firewall blockiert einzelne Pakete
Rückwegproblem
WLAN-Probleme
MTU-Probleme
schlechte Verbindung
Merksatz:
Viele Wiederholungen zeigen,
dass Bestätigungen fehlen.
---
**Typisches Fehlerbild: ARP ohne Antwort**
ARP-Anfragen ohne Antwort können bedeuten:
Ziel ist nicht im lokalen Netz
Ziel ist offline
VLAN falsch
falsche IP-Adresse
falsche Netzmaske
Gateway nicht erreichbar
IP-Konflikt
Merksatz:
ARP ohne Antwort zeigt lokale Erreichbarkeitsprobleme.
---
**Sicherheit beim Speichern von Mitschnitten**
Paketmitschnitte können sensible Daten enthalten.
Deshalb:
nur notwendige Dauer mitschneiden
Filter nutzen
Dateien sicher speichern
Zugriff beschränken
Mitschnitte nach Zweck löschen
keine Mitschnitte unnötig weitergeben
personenbezogene Daten beachten
Merksatz:
Mitschnittdateien wie sensible Daten behandeln.
---
**PCAP-Dateien**
Paketmitschnitte werden häufig als PCAP oder PCAPNG gespeichert.
Diese Dateien können später geöffnet und analysiert werden.
Vorteile:
- spätere Analyse möglich
- Weitergabe an Fachabteilung möglich
- Vergleich mit Logs möglich
- Dokumentation eines Fehlerfalls
Achtung:
PCAP-Dateien können vertrauliche Informationen enthalten.
Merksatz:
PCAP ist praktisch,
aber sensibel.
---
**Was ein Paketmitschnitt nicht automatisch liefert**
Ein Paketmitschnitt zeigt nicht automatisch:
warum ein Benutzer keine Berechtigung hat
warum eine Anwendung intern Fehler wirft
warum ein Passwort falsch ist
warum ein Serverprozess abgestürzt ist
welche Firewall-Regel intern entschieden hat
ob ein Zertifikat fachlich richtig beantragt wurde
Dafür braucht man zusätzlich:
Logs
Konfiguration
Berechtigungsprüfung
Dienststatus
Fachwissen
Merksatz:
Paketmitschnitt zeigt Verkehr,
aber nicht jede Ursache.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was versteht man unter Sniffing?
- Wofür nutzt man einen Paketmitschnitt?
- Was ist Wireshark?
- Was ist tcpdump?
- Was ist Port Mirroring?
- Warum sieht man in einem geswitchten Netzwerk nicht automatisch allen Verkehr?
- Was ist der Unterschied zwischen Capture Filter und Display Filter?
- Was sieht man bei einem TCP-Handshake?
- Was bedeuten SYN, SYN-ACK und ACK?
- Was bedeutet TCP Reset?
- Was bedeuten Retransmissions?
- Warum sieht man bei HTTPS den Inhalt nicht einfach im Klartext?
- Was kann man bei DNS im Mitschnitt erkennen?
- Was zeigt DHCP-DORA im Mitschnitt?
- Warum sind Paketmitschnitte sensibel?
---
**Typische Prüfungsfallen**
Sniffing zeigt echten Netzwerkverkehr.
Sniffing ist datenschutzrelevant.
Wireshark ist grafisch.
tcpdump ist Kommandozeile.
In geswitchten Netzen sieht man nicht automatisch alles.
Port Mirroring kopiert Verkehr auf Analyseport.
Promiscuous Mode allein reicht im Switch-Netz oft nicht.
Capture Filter begrenzt Aufnahme.
Display Filter begrenzt Anzeige.
Was nicht aufgezeichnet wurde,
kann später nicht analysiert werden.
TCP hat Handshake.
UDP hat keinen Handshake.
SYN startet TCP-Verbindung.
SYN-ACK ist Serverantwort.
ACK bestätigt.
RST lehnt ab oder beendet.
Retransmission bedeutet erneutes Senden.
TLS schützt Inhalte.
HTTP ist lesbar,
HTTPS normalerweise nicht.
FTP und Telnet sind im Mitschnitt gefährlich sichtbar.
Mitschnittort ist entscheidend.
Logs und Mitschnitt ergänzen sich.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| Sniffing | Mitschneiden von Netzwerkverkehr |
| Paketmitschnitt | Aufzeichnung von Paketen |
| Wireshark | grafisches Analysewerkzeug |
| tcpdump | Kommandozeilenwerkzeug für Mitschnitte |
| tshark | Wireshark auf Kommandozeile |
| PCAP | Datei mit Paketmitschnitt |
| Port Mirroring | Kopieren von Switch-Verkehr auf Analyseport |
| SPAN | Port-Mirroring-Begriff bei Switches |
| Promiscuous Mode | Netzwerkkarte nimmt fremde Frames an |
| Capture Filter | Filter vor der Aufnahme |
| Display Filter | Filter für Anzeige nach Aufnahme |
| SYN | TCP-Verbindungsstart |
| SYN-ACK | TCP-Antwort des Servers |
| ACK | Bestätigung |
| RST | Reset, aktive Ablehnung oder Abbruch |
| Retransmission | erneutes Senden eines Pakets |
| ARP | IPv4-Adresse zu MAC-Adresse |
| ICMP | Diagnose- und Fehlermeldungsprotokoll |
| SNI | Hostname im TLS-Handshake |
| TLS Alert | Fehlermeldung im TLS-Handshake |
| NXDOMAIN | DNS-Name existiert nicht |
| DORA | DHCP Discover, Offer, Request, Acknowledge |
---
**IHK-sichere Kurzformulierung**
Sniffing bezeichnet das Mitschneiden und Analysieren von Netzwerkverkehr. Mit Werkzeugen wie Wireshark, tcpdump oder Paketmitschnitten auf Firewalls kann geprüft werden, welche Pakete tatsächlich gesendet und empfangen werden. Dabei lassen sich unter anderem MAC-Adressen, IP-Adressen, Ports, Protokolle, TCP-Handshakes, DNS-Anfragen, DHCP-Abläufe, ICMP-Meldungen, TLS-Handshakes und Wiederholungen erkennen. In geswitchten Netzwerken sieht ein Client nicht automatisch den gesamten Verkehr; dafür ist häufig Port Mirroring oder ein Mitschnitt an der richtigen Stelle nötig. Paketmitschnitte können sensible Daten enthalten und müssen deshalb sorgfältig und nur mit berechtigtem Zweck eingesetzt werden.
---
**Merksätze**
Sniffing = Netzwerkverkehr mitschneiden.
Paketmitschnitt zeigt echten Verkehr.
Wireshark ist grafisch.
tcpdump ist Kommandozeile.
tshark ist Wireshark für die Kommandozeile.
PCAP-Dateien enthalten Mitschnitte.
Mitschnitte können sensible Daten enthalten.
In geswitchten Netzen sieht man nicht automatisch alles.
Port Mirroring kopiert Verkehr.
Promiscuous Mode reicht allein oft nicht.
Capture Filter begrenzt Aufnahme.
Display Filter begrenzt Anzeige.
Mitschnittort ist entscheidend.
MAC-Adressen gehören zu Schicht 2.
IP-Adressen gehören zu Schicht 3.
Ports gehören zu Schicht 4.
DNS gehört zu Schicht 7.
TCP hat Handshake.
UDP hat keinen Handshake.
SYN startet TCP-Verbindung.
SYN-ACK antwortet.
ACK bestätigt.
RST lehnt ab oder beendet.
Retransmission bedeutet erneutes Senden.
ARP löst IPv4 zu MAC auf.
ICMP liefert Diagnosehinweise.
DHCP-DORA ist im Mitschnitt sichtbar.
TLS schützt Inhalte.
HTTP ist lesbar.
HTTPS ist normalerweise nicht lesbar.
FTP und Telnet sind unsicher,
weil Inhalte sichtbar sein können.
Logs und Paketmitschnitt zusammen auswerten.
# 12.2 Wireshark-Analyse: Filter, Protokolle und typische Fehlerbilder
Wireshark ist ein grafisches Werkzeug zur Analyse von Netzwerkverkehr.
Mit Wireshark kann man Paketmitschnitte öffnen,
filtern und auswerten.
Ziel ist nicht nur:
Pakete sehen
Sondern:
Verstehen,
was im Netzwerk wirklich passiert.
Merksatz:
Wireshark zeigt Pakete,
aber die Analyse entsteht durch gezielte Fragen.
---
**Grundidee der Wireshark-Analyse**
Ein Paketmitschnitt kann sehr viele Daten enthalten.
Ohne Filter ist die Analyse schnell unübersichtlich.
Deshalb arbeitet man mit Fragen:
Welche IP-Adresse interessiert mich?
Welcher Dienst funktioniert nicht?
Welcher Port wird genutzt?
Gibt es DNS-Anfragen?
Gibt es einen TCP-Handshake?
Gibt es Timeouts?
Gibt es Reset-Pakete?
Gibt es TLS-Fehler?
Kommt eine Antwort zurück?
Merksatz:
Erst Fragestellung,
dann Filter.
---
**Wireshark-Oberfläche**
Wireshark zeigt typischerweise drei Bereiche:
| Bereich | Bedeutung |
|---|---|
| Paketliste | alle aufgezeichneten Pakete als Übersicht |
| Paketdetails | aufgeschlüsselte Protokollinformationen |
| Paketbytes | Rohdaten des Pakets |
Die Paketliste zeigt zum Beispiel:
Zeit
Quelle
Ziel
Protokoll
Länge
Information
Merksatz:
Paketliste zeigt Überblick,
Paketdetails zeigen Inhalt.
---
**Paketliste**
In der Paketliste sieht man jedes Paket als Zeile.
Wichtige Spalten:
No.
Time
Source
Destination
Protocol
Length
Info
Diese Spalten helfen,
den Ablauf der Kommunikation zu verstehen.
Merksatz:
Die Paketliste zeigt die zeitliche Reihenfolge der Pakete.
---
**Paketdetails**
Die Paketdetails zeigen,
welche Protokollschichten im Paket enthalten sind.
Beispiele:
Frame
Ethernet
IPv4 oder IPv6
TCP oder UDP
TLS
HTTP
DNS
DHCP
Damit kann man sehen,
welche Schichten beteiligt sind.
Merksatz:
Paketdetails zeigen die Protokolle Schicht für Schicht.
---
**Paketbytes**
Die Paketbytes zeigen die Rohdaten des Pakets.
Das ist besonders wichtig,
wenn man sehr genau prüfen möchte,
welche Daten wirklich übertragen wurden.
Für die IHK reicht meist:
verstehen,
dass dies die Rohdaten sind.
Merksatz:
Paketbytes sind die technische Rohansicht.
---
**Display Filter**
Display Filter bestimmen,
welche Pakete angezeigt werden.
Sie ändern nicht die gespeicherte Aufzeichnung.
Beispielgedanke:
Zeige nur DNS.
Zeige nur Pakete zu dieser IP.
Zeige nur TCP-Resets.
Zeige nur HTTP.
Merksatz:
Display Filter blenden aus,
löschen aber nichts aus der Aufnahme.
---
**Capture Filter**
Capture Filter bestimmen,
was überhaupt aufgezeichnet wird.
Vorteil:
weniger Daten
kleinere Datei
bessere Übersicht
weniger sensible Informationen
Nachteil:
nicht aufgezeichnete Pakete sind später verloren.
Merksatz:
Capture Filter vor Aufnahme,
Display Filter nach Aufnahme.
---
**Capture Filter und Display Filter vergleichen**
| Filterart | Zeitpunkt | Wirkung |
|---|---|---|
| Capture Filter | vor oder während Aufnahme | begrenzt, was aufgezeichnet wird |
| Display Filter | nach Aufnahme | begrenzt nur die Anzeige |
Merksatz:
Capture Filter spart Daten.
Display Filter hilft bei Analyse.
---
**Wichtige Wireshark-Display-Filter**
| Ziel | Filteridee |
|---|---|
| bestimmte IP anzeigen | ip.addr == 192.168.10.20 |
| nur Quelle | ip.src == 192.168.10.20 |
| nur Ziel | ip.dst == 192.168.10.20 |
| bestimmter TCP-Port | tcp.port == 443 |
| bestimmter UDP-Port | udp.port == 53 |
| nur DNS | dns |
| nur HTTP | http |
| nur TLS | tls |
| nur ARP | arp |
| nur ICMP | icmp |
| nur DHCP | dhcp |
| nur TCP Reset | tcp.flags.reset == 1 |
| nur TCP SYN | tcp.flags.syn == 1 |
| TCP Retransmissions | tcp.analysis.retransmission |
Merksatz:
Display Filter müssen zur Fragestellung passen.
---
**IP-Adresse filtern**
Wenn ein bestimmter Host untersucht wird,
filtert man nach dessen IP-Adresse.
Beispiel:
ip.addr == 192.168.10.20
Das zeigt Pakete,
bei denen diese IP-Adresse Quelle oder Ziel ist.
Merksatz:
ip.addr zeigt Verkehr mit einer bestimmten IP.
---
**Quelle und Ziel unterscheiden**
Manchmal muss man genauer unterscheiden.
Quelle:
ip.src == 192.168.10.20
Ziel:
ip.dst == 192.168.10.20
Das ist hilfreich,
wenn man wissen will:
Wer startet die Verbindung?
Wer antwortet?
Merksatz:
ip.src = Quelle.
ip.dst = Ziel.
---
**Port filtern**
Ports helfen,
Dienste zu erkennen.
Beispiel:
tcp.port == 443
zeigt TCP-Verkehr,
bei dem Port 443 als Quell- oder Zielport vorkommt.
Genauer:
tcp.dstport == 443
zeigt Pakete,
die zu einem Dienst auf Port 443 gehen.
Merksatz:
Zielport zeigt meist den angesprochenen Dienst.
---
**TCP und UDP getrennt betrachten**
Portnummern allein reichen nicht.
Beispiele:
tcp.port == 443
ist nicht dasselbe wie:
udp.port == 443
Das ist wichtig bei:
HTTPS klassisch über TCP 443
HTTP/3 über UDP 443
DNS über UDP/TCP 53
Merksatz:
Port immer mit TCP oder UDP betrachten.
---
**DNS analysieren**
DNS ist häufig der erste Schritt vor einer Verbindung.
Mit Filter:
dns
sieht man DNS-Anfragen und Antworten.
Wichtige Fragen:
Welcher Name wird gefragt?
Welcher DNS-Server wird gefragt?
Welche IP-Adresse wird zurückgegeben?
Kommt NXDOMAIN?
Wird IPv4 oder IPv6 angefragt?
Gibt es lange Antwortzeiten?
Merksatz:
DNS zeigt,
wohin ein Name wirklich aufgelöst wird.
---
**DNS A und AAAA**
A-Record:
Name zu IPv4-Adresse
AAAA-Record:
Name zu IPv6-Adresse
Im Mitschnitt kann man sehen,
ob ein Client IPv4,
IPv6
oder beides anfragt.
Fehlerfall:
AAAA zeigt auf nicht erreichbare IPv6-Adresse,
obwohl IPv4 funktionieren würde.
Merksatz:
DNS-Antworten können IPv4 und IPv6 betreffen.
---
**DNS NXDOMAIN**
NXDOMAIN bedeutet:
Name existiert nicht.
Mögliche Ursachen:
- Tippfehler
- falscher DNS-Suffix
- falscher DNS-Server
- interne Zone fehlt
- Split DNS falsch
- Name wurde nicht angelegt
Merksatz:
NXDOMAIN heißt:
DNS kennt diesen Namen nicht.
---
**TCP-Analyse**
TCP-Verbindungen erkennt man am Handshake:
SYN
SYN-ACK
ACK
Mit Wireshark prüft man:
Gibt es SYN?
Kommt SYN-ACK zurück?
Wird ACK gesendet?
Gibt es RST?
Gibt es Retransmissions?
Gibt es Timeouts?
Merksatz:
TCP-Analyse beginnt oft beim Handshake.
---
**TCP SYN filtern**
Ein SYN startet eine TCP-Verbindung.
Filteridee:
tcp.flags.syn == 1
Achtung:
SYN-ACK enthält ebenfalls SYN.
Wenn man nur reine SYN-Pakete ohne ACK sehen möchte,
braucht man sinngemäß:
SYN gesetzt,
ACK nicht gesetzt.
Merksatz:
SYN zeigt Verbindungsversuche.
---
**TCP SYN-ACK erkennen**
SYN-ACK ist die Antwort des Servers auf ein SYN.
Bedeutung:
Der Zielport antwortet grundsätzlich.
Wenn SYN-ACK zurückkommt,
ist der Weg zum Server und zurück zumindest für diesen Schritt vorhanden.
Merksatz:
SYN-ACK zeigt,
dass der Server auf den TCP-Verbindungsaufbau antwortet.
---
**TCP ACK erkennen**
ACK bestätigt den Empfang.
Nach SYN und SYN-ACK bestätigt der Client mit ACK.
Dann ist der TCP-Verbindungsaufbau abgeschlossen.
Merksatz:
SYN,
SYN-ACK,
ACK
= TCP-Verbindung aufgebaut.
---
**TCP Reset erkennen**
Ein Reset beendet oder verweigert eine Verbindung.
Filter:
tcp.flags.reset == 1
Mögliche Ursachen:
- Port geschlossen
- Dienst läuft nicht
- Anwendung lehnt ab
- Firewall sendet Reset
- falsches Protokoll
- Verbindung wird aktiv beendet
Merksatz:
RST ist eine aktive Ablehnung oder Beendigung.
---
**TCP Retransmissions erkennen**
Retransmissions sind erneute Übertragungen.
Filteridee:
tcp.analysis.retransmission
Mögliche Ursachen:
- Paketverlust
- Firewall blockiert einzelne Pakete
- WLAN-Probleme
- Überlastung
- Rückwegproblem
- MTU-Problem
Merksatz:
Retransmissions bedeuten:
Bestätigung fehlt oder Paket ging verloren.
---
**TCP Zero Window**
TCP Zero Window bedeutet:
Empfänger kann aktuell keine weiteren Daten aufnehmen.
Mögliche Ursachen:
- Anwendung verarbeitet Daten zu langsam
- Empfänger überlastet
- Ressourcenproblem
- System hängt
Merksatz:
Zero Window deutet auf Empfänger- oder Leistungsproblem hin.
---
**TCP Dup ACK**
Duplicate ACK bedeutet:
Eine Bestätigung wird mehrfach gesendet.
Das kann auf Paketverlust oder fehlende Segmente hinweisen.
In Kombination mit Retransmissions kann es Netzwerkprobleme sichtbar machen.
Merksatz:
Duplicate ACK kann auf verlorene TCP-Segmente hindeuten.
---
**UDP analysieren**
UDP hat keinen Verbindungsaufbau.
Bei UDP prüft man:
Wird eine Anfrage gesendet?
Kommt eine Antwort zurück?
Gibt es ICMP-Fehler?
Wird der richtige UDP-Port genutzt?
Ist der Server erreichbar?
Blockiert eine Firewall?
Beispiele:
DNS
DHCP
NTP
SNMP
VoIP
HTTP/3
Merksatz:
UDP hat keinen Handshake,
deshalb muss man Anfrage und Antwort direkt prüfen.
---
**ICMP analysieren**
ICMP liefert Diagnoseinformationen.
Wichtige ICMP-Meldungen:
Echo Request
Echo Reply
Destination Unreachable
Time Exceeded
Fragmentation Needed
ICMP kann Hinweise geben auf:
Routingfehler
blockierte Ziele
MTU-Probleme
Traceroute-Ablauf
nicht erreichbare Netze
Merksatz:
ICMP-Fehler sind wichtige Hinweise,
nicht nur Ping.
---
**ARP analysieren**
ARP wird im lokalen IPv4-Netz genutzt.
Typische ARP-Frage:
Wer hat diese IPv4-Adresse?
Wenn viele ARP-Anfragen ohne Antwort sichtbar sind,
kann das bedeuten:
Ziel ist offline.
falsches VLAN.
falsche Netzmaske.
Gateway nicht erreichbar.
IP-Konflikt.
falsche Adresse.
Merksatz:
ARP-Probleme sind lokale Netzwerkprobleme.
---
**DHCP analysieren**
DHCP erkennt man am Ablauf:
Discover
Offer
Request
Acknowledge
Wichtige Fehlerbilder:
| Beobachtung | mögliche Ursache |
|---|---|
| Discover ohne Offer | Server oder Relay antwortet nicht |
| Offer kommt, aber kein Request | Client akzeptiert Angebot nicht |
| Request ohne ACK | Server bestätigt nicht |
| falsche Optionen | DHCP-Konfiguration falsch |
| Client bekommt APIPA | DHCP fehlgeschlagen |
Merksatz:
DHCP-DORA ist im Mitschnitt gut prüfbar.
---
**HTTP analysieren**
Bei unverschlüsseltem HTTP sieht man:
Methode
URL-Pfad
Host-Header
Header
Statuscode
teilweise Inhalt
Wichtige HTTP-Statuscodes:
200 OK
301 / 302 Weiterleitung
400 Bad Request
401 Unauthorized
403 Forbidden
404 Not Found
500 Internal Server Error
502 Bad Gateway
503 Service Unavailable
504 Gateway Timeout
Merksatz:
HTTP-Statuscodes helfen bei Schicht-7-Fehlersuche.
---
**HTTPS analysieren**
Bei HTTPS ist der Inhalt verschlüsselt.
Man sieht normalerweise nicht:
Pfad
Formularinhalt
Session-Cookie
HTTP-Header
Nutzdaten
Man sieht aber häufig:
Ziel-IP
Port
TLS-Handshake
SNI
Zertifikatsinformationen
Verbindungsabbrüche
TLS Alerts
Merksatz:
HTTPS schützt Inhalte,
aber Verbindungsmetadaten bleiben sichtbar.
---
**TLS-Handshake prüfen**
Beim TLS-Handshake wird eine sichere Verbindung ausgehandelt.
Im Mitschnitt können sichtbar sein:
Client Hello
Server Hello
Zertifikat
Cipher-Auswahl
TLS-Version
SNI
TLS Alert
Typische Fehler:
Zertifikat passt nicht.
TLS-Version passt nicht.
Cipher Suite passt nicht.
Client bricht ab.
Server bricht ab.
Merksatz:
TLS-Handshake zeigt,
ob HTTPS-Sicherheit ausgehandelt werden kann.
---
**SNI prüfen**
SNI steht für:
Server Name Indication
SNI zeigt,
welchen Hostnamen der Client beim TLS-Aufbau anfordert.
Das ist wichtig bei mehreren HTTPS-Diensten auf einer IP-Adresse.
Beispiel:
wiki.firma.de
cloud.firma.de
git.firma.de
alle auf derselben IP und TCP 443.
Merksatz:
SNI hilft,
den gewünschten HTTPS-Hostnamen zu erkennen.
---
**Zertifikatsinformationen im Mitschnitt**
Je nach TLS-Version und Situation können Zertifikatsinformationen sichtbar sein.
Wichtig zu prüfen:
Ausgestellt für welchen Namen?
Aussteller?
Gültigkeit?
Zertifikatskette?
Passt der Name zum Aufruf?
Achtung:
Bei modernen TLS-Versionen und bestimmten Verfahren sind nicht immer alle Informationen gleich sichtbar.
Merksatz:
Zertifikate geben Hinweise auf HTTPS-Probleme.
---
**Follow TCP Stream**
Wireshark kann zusammengehörende TCP-Daten anzeigen.
Funktion:
Follow TCP Stream
Das ist hilfreich bei unverschlüsselten Protokollen.
Beispiele:
HTTP
Telnet
FTP
SMTP ohne TLS
Achtung:
Bei verschlüsseltem HTTPS sieht man den Inhalt nicht im Klartext.
Merksatz:
Follow TCP Stream zeigt zusammenhängende TCP-Kommunikation.
---
**Conversations**
Wireshark kann Gespräche anzeigen.
Conversations zeigen zum Beispiel:
welche IPs miteinander gesprochen haben
wie viele Pakete übertragen wurden
wie viele Bytes übertragen wurden
welche TCP-Verbindungen bestanden
Das hilft,
wichtige Verbindungen im Mitschnitt zu finden.
Merksatz:
Conversations zeigen,
welche Systeme miteinander kommunizieren.
---
**Endpoints**
Endpoints zeigen beteiligte Kommunikationspartner.
Beispiele:
IP-Adressen
MAC-Adressen
Ports
Das ist nützlich,
um herauszufinden:
welche Systeme im Mitschnitt aktiv sind
wer besonders viel Verkehr erzeugt
welche Ziele angesprochen werden
Merksatz:
Endpoints zeigen beteiligte Systeme.
---
**IO Graphs**
IO Graphs zeigen Netzwerkverkehr über Zeit.
Damit erkennt man:
Lastspitzen
Pausen
Übertragungsverlauf
Wiederholungsmuster
Zeitpunkte von Fehlern
Das ist hilfreich bei Performanceproblemen.
Merksatz:
IO Graphs helfen,
Verkehr zeitlich zu verstehen.
---
**Expert Information**
Wireshark bietet Expert Information.
Dort werden auffällige Dinge gesammelt,
zum Beispiel:
Retransmissions
Resets
Malformed Packets
Warnings
Fehler
Hinweise auf Protokollprobleme
Wichtig:
Expert Information ist hilfreich,
aber nicht jede Warnung ist automatisch die Ursache.
Merksatz:
Expert Information ist Hinweis,
nicht endgültiger Beweis.
---
**Farben in Wireshark**
Wireshark nutzt Farben,
um Protokolle und Auffälligkeiten leichter sichtbar zu machen.
Beispiele:
DNS
TCP
Fehler
Resets
ARP
Die genaue Farbe ist weniger wichtig als die technische Aussage.
Merksatz:
Farben helfen beim Überblick,
ersetzen aber keine Analyse.
---
**Namensauflösung in Wireshark**
Wireshark kann IP-Adressen als Namen anzeigen.
Das kann hilfreich sein,
aber auch verwirren.
Problem:
angezeigter Name kann aus Cache,
DNS
oder lokaler Auflösung stammen.
Für genaue Analyse ist oft besser:
echte IP-Adressen anzeigen.
Merksatz:
Namensauflösung in Wireshark kann hilfreich,
aber auch irreführend sein.
---
**Zeitansicht**
Wireshark kann Zeit unterschiedlich anzeigen.
Beispiele:
Zeit seit Beginn des Mitschnitts
absolute Uhrzeit
Zeit seit vorherigem Paket
Zeit seit vorherigem angezeigten Paket
Für Fehlersuche wichtig:
Wie lange dauert die Antwort?
Wann beginnt Timeout?
Welche Pakete gehören zeitlich zusammen?
Merksatz:
Zeitdarstellung passend zur Analyse wählen.
---
**Paketverlust erkennen**
Hinweise auf Paketverlust:
Retransmissions
Duplicate ACKs
fehlende Antworten
lange Wartezeiten
Verbindungsabbrüche
wiederholte DNS-Anfragen
wiederholte SYN-Pakete
Mögliche Ursachen:
WLAN-Probleme
defekte Kabel
Überlastung
Firewall-Probleme
Routingprobleme
MTU-Probleme
Merksatz:
Paketverlust zeigt sich oft durch Wiederholungen.
---
**MTU-Probleme erkennen**
MTU-Probleme sind manchmal schwer zu erkennen.
Typische Hinweise:
kleine Verbindungen funktionieren
große Datenübertragungen hängen
TLS-Verbindungen brechen ab
VPN-Verbindungen sind instabil
Fragmentation Needed erscheint
viele Retransmissions bei größeren Paketen
Merksatz:
Wenn kleine Pakete gehen,
große aber nicht,
an MTU denken.
---
**Falsches Protokoll auf richtigem Port**
Manchmal wird ein Dienst mit falschem Protokoll angesprochen.
Beispiele:
HTTPS-Anfrage an HTTP-Port
HTTP-Anfrage an HTTPS-Port
FTP statt SFTP
LDAP statt LDAPS
falsches Backend-Protokoll im Reverse Proxy
Im Mitschnitt sieht man dann oft:
Reset
TLS Alert
ungültige Antwort
sofortiger Abbruch
unerwartete Daten
Merksatz:
Richtiger Port reicht nicht,
das Protokoll muss auch stimmen.
---
**Firewall-Problem erkennen**
Mögliche Hinweise auf Firewall-Probleme:
SYN ohne Antwort
ICMP unreachable
keine Antwort trotz korrektem Ziel
Verbindung geht aus einem Netz,
aber nicht aus anderem
Paket kommt an Firewall an,
aber nicht am Ziel
Firewall-Log zeigt Drop oder Deny
Merksatz:
Firewall-Probleme erkennt man am besten mit Mitschnitt plus Logs.
---
**Dienstproblem erkennen**
Hinweise auf Dienstproblem:
TCP-Verbindung wird aufgebaut,
danach kommt Fehler.
Server sendet RST.
HTTP 500.
HTTP 503.
Anwendung antwortet falsch.
Login wird abgelehnt.
Backend antwortet nicht.
Dienst lauscht nicht auf erwartetem Port.
Merksatz:
Wenn TCP steht,
aber Anwendung fehlschlägt,
Schicht 7 prüfen.
---
**DNS-Problem erkennen**
Hinweise auf DNS-Probleme:
keine DNS-Antwort
falsche IP-Adresse
NXDOMAIN
falscher DNS-Server
AAAA statt A problematisch
interner Name wird extern gefragt
Split DNS falsch
DNS-Timeout
Merksatz:
DNS-Probleme sieht man oft vor dem eigentlichen Verbindungsversuch.
---
**NAT-Problem erkennen**
Hinweise auf NAT-Probleme:
externe Anfrage kommt an,
wird aber nicht intern sichtbar
falsche Ziel-IP nach NAT
falscher Port nach NAT
Antwort kommt nicht zurück
Quelladresse unerwartet
interner Zugriff über öffentliche IP scheitert
Firewall-Mitschnitt zeigt Übersetzung nicht
Merksatz:
NAT-Probleme erkennt man durch Vergleich vor und nach der Firewall.
---
**Reverse-Proxy-Problem erkennen**
Hinweise:
Client bekommt 502.
Client bekommt 504.
Proxy antwortet,
Backend aber nicht.
TLS am Proxy funktioniert,
interne Verbindung scheitert.
Host-Header falsch.
falsches Backend ausgewählt.
DNS des Backends falsch.
Merksatz:
Reverse-Proxy-Fehler liegen oft zwischen Proxy und Backend.
---
**Mehrere Mitschnittpunkte verwenden**
Bei unklaren Problemen hilft ein Vergleich.
Beispiel:
Mitschnitt am Client:
Anfrage wird gesendet.
Mitschnitt an Firewall:
Anfrage kommt an.
Mitschnitt am Server:
Anfrage kommt nicht an.
Dann liegt das Problem zwischen Firewall und Server.
Merksatz:
Mehrere Mitschnittpunkte zeigen,
wo Pakete verloren gehen.
---
**Typische Analyse-Reihenfolge**
Eine sinnvolle Reihenfolge:
1. Fehlerzeitpunkt bestimmen.
2. Richtige Schnittstelle wählen.
3. Mitschnitt starten.
4. Fehler reproduzieren.
5. Mitschnitt stoppen.
6. Nach beteiligter IP filtern.
7. DNS prüfen.
8. TCP- oder UDP-Verhalten prüfen.
9. TLS oder Anwendung prüfen.
10. Resets, Retransmissions und ICMP prüfen.
11. Logs vergleichen.
12. Ergebnis dokumentieren.
Merksatz:
Mitschnitt gezielt aufnehmen,
Fehler nachstellen,
dann filtern.
---
**Typische Fehler bei der Analyse**
Häufige Fehler sind:
- auf falscher Schnittstelle mitschneiden
- zu früh oder zu spät mitschneiden
- falscher Filter
- wichtigen Verkehr durch Capture Filter ausschließen
- DNS nicht beachten
- NAT nicht beachten
- verschlüsselte Inhalte erwarten
- jedes Wireshark-Warning überbewerten
- Logs ignorieren
- Uhrzeit nicht vergleichen
Merksatz:
Schlechter Mitschnitt kann zu falschen Schlussfolgerungen führen.
---
**Datenschutz bei Wireshark**
Wireshark-Mitschnitte können sensible Daten enthalten.
Beispiele:
- IP-Adressen
- MAC-Adressen
- Benutzernamen
- Cookies
- Tokens
- interne Hostnamen
- E-Mail-Inhalte
- unverschlüsselte Passwörter
- personenbezogene Daten
Deshalb:
nur so lange wie nötig mitschneiden
nur relevanten Verkehr erfassen
Zugriff auf PCAP-Dateien beschränken
Mitschnitte sicher speichern
Mitschnitte nach Zweck löschen
Merksatz:
Paketmitschnitte wie vertrauliche Daten behandeln.
---
**Was Wireshark nicht automatisch löst**
Wireshark zeigt Verkehr,
aber nicht automatisch die Ursache.
Man braucht zusätzlich:
- Netzwerkwissen
- Protokollverständnis
- Logs
- Konfigurationen
- Dienststatus
- Berechtigungsinformationen
- Firewall-Regeln
- DNS-Informationen
Merksatz:
Wireshark zeigt Hinweise,
die Ursache muss man fachlich einordnen.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist Wireshark?
- Wofür verwendet man Display Filter?
- Wofür verwendet man Capture Filter?
- Was ist der Unterschied zwischen Capture Filter und Display Filter?
- Wie erkennt man einen TCP-Handshake?
- Was bedeutet SYN?
- Was bedeutet SYN-ACK?
- Was bedeutet ACK?
- Was bedeutet RST?
- Was bedeuten Retransmissions?
- Warum sieht man HTTPS-Inhalte nicht im Klartext?
- Was kann man im TLS-Handshake trotzdem erkennen?
- Was bedeutet NXDOMAIN?
- Wie erkennt man DHCP-Probleme im Mitschnitt?
- Warum ist der Mitschnittort wichtig?
- Warum sind Paketmitschnitte datenschutzrelevant?
---
**Typische Prüfungsfallen**
Display Filter ändern nicht die Aufnahme.
Capture Filter begrenzen die Aufnahme.
Was nicht aufgezeichnet wurde,
kann später nicht analysiert werden.
ip.addr zeigt Quelle oder Ziel.
ip.src zeigt nur Quelle.
ip.dst zeigt nur Ziel.
tcp.port und udp.port unterscheiden.
TCP 443 ist nicht UDP 443.
DNS kann UDP und TCP 53 nutzen.
TCP hat Handshake.
UDP hat keinen Handshake.
SYN startet Verbindung.
SYN-ACK ist Serverantwort.
ACK bestätigt.
RST ist aktive Ablehnung oder Abbruch.
Retransmission bedeutet erneutes Senden.
HTTPS-Inhalte sind verschlüsselt.
TLS-Handshake kann trotzdem Hinweise geben.
SNI zeigt gewünschten Hostnamen.
Wireshark-Warnungen sind Hinweise,
nicht automatisch Ursache.
Mitschnittort ist entscheidend.
PCAP-Dateien können sensible Daten enthalten.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| Wireshark | grafisches Werkzeug zur Paketanalyse |
| Paketliste | Übersicht aller Pakete |
| Paketdetails | Protokollinformationen eines Pakets |
| Paketbytes | Rohdaten eines Pakets |
| Display Filter | Filter für Anzeige |
| Capture Filter | Filter für Aufnahme |
| ip.addr | IP-Adresse als Quelle oder Ziel |
| ip.src | Quell-IP-Adresse |
| ip.dst | Ziel-IP-Adresse |
| tcp.port | TCP-Port als Quelle oder Ziel |
| udp.port | UDP-Port als Quelle oder Ziel |
| SYN | TCP-Verbindungsstart |
| SYN-ACK | TCP-Antwort des Servers |
| ACK | Bestätigung |
| RST | Reset |
| Retransmission | erneutes Senden |
| Zero Window | Empfänger kann keine Daten aufnehmen |
| Dup ACK | doppelte Bestätigung |
| NXDOMAIN | DNS-Name existiert nicht |
| SNI | Hostname im TLS-Handshake |
| TLS Alert | TLS-Fehlermeldung |
| Follow TCP Stream | zusammenhängende TCP-Daten anzeigen |
| Conversations | Kommunikationsbeziehungen |
| Endpoints | beteiligte Systeme |
| Expert Information | Wireshark-Hinweise auf Auffälligkeiten |
---
**IHK-sichere Kurzformulierung**
Wireshark ist ein grafisches Werkzeug zur Analyse von Netzwerkpaketen. Mit Display Filtern kann man die Anzeige eines vorhandenen Mitschnitts eingrenzen, während Capture Filter bereits vor der Aufnahme festlegen, welche Pakete überhaupt aufgezeichnet werden. In Wireshark lassen sich unter anderem DNS-Anfragen, TCP-Handshakes, UDP-Kommunikation, ICMP-Meldungen, ARP, DHCP-Abläufe, TLS-Handshakes, Resets und Retransmissions erkennen. Bei HTTPS sind die Inhalte normalerweise verschlüsselt, aber Metadaten wie IP-Adressen, Ports, TLS-Handshake und häufig SNI können sichtbar sein. Paketmitschnitte müssen gezielt erstellt und datenschutzbewusst behandelt werden, da sie sensible Informationen enthalten können.
---
**Merksätze**
Wireshark zeigt Netzwerkpakete grafisch.
Erst Fragestellung,
dann Filter.
Paketliste zeigt Überblick.
Paketdetails zeigen Protokolle.
Paketbytes zeigen Rohdaten.
Display Filter begrenzen Anzeige.
Capture Filter begrenzen Aufnahme.
Was nicht aufgenommen wurde,
kann später nicht analysiert werden.
ip.addr = Quelle oder Ziel.
ip.src = Quelle.
ip.dst = Ziel.
tcp.port ist nicht udp.port.
TCP hat Handshake.
UDP hat keinen Handshake.
SYN startet Verbindung.
SYN-ACK antwortet.
ACK bestätigt.
RST beendet oder lehnt ab.
Retransmissions zeigen fehlende Bestätigungen.
DNS vor Verbindungsaufbau prüfen.
NXDOMAIN heißt:
Name existiert nicht.
DHCP-DORA ist im Mitschnitt sichtbar.
HTTPS schützt Inhalte.
TLS-Handshake liefert trotzdem Hinweise.
SNI zeigt gewünschten Hostnamen.
Follow TCP Stream hilft bei unverschlüsselten Protokollen.
Expert Information ist Hinweis,
nicht automatisch Ursache.
Mitschnittort entscheidet,
was sichtbar ist.
Mehrere Mitschnitte können Paketverluststellen zeigen.
PCAP-Dateien vertraulich behandeln.
# 12.3 tcpdump, tshark und Paketmitschnitt auf der Kommandozeile
Neben Wireshark gibt es wichtige Werkzeuge für Paketmitschnitte auf der Kommandozeile.
Besonders wichtig sind:
- tcpdump
- tshark
- netstat / ss
- curl
- nc
- ping
- traceroute / tracert
- nslookup / dig
Diese Werkzeuge sind besonders nützlich,
wenn man auf Servern,
Firewalls,
Routern
oder per SSH arbeitet.
Merksatz:
Wireshark ist grafisch.
tcpdump und tshark arbeiten auf der Kommandozeile.
---
**Warum Kommandozeilenwerkzeuge wichtig sind**
In der Praxis hat man nicht immer eine grafische Oberfläche.
Beispiele:
Linux-Server per SSH
Firewall-Konsole
Container-Host
Cloud-Server
NAS-System
Router
Recovery-Umgebung
minimale Serverinstallation
Dort sind Kommandozeilenwerkzeuge oft schneller und direkter.
Merksatz:
Auf Servern ist die Kommandozeile oft das wichtigste Analysewerkzeug.
---
**tcpdump**
tcpdump ist ein Werkzeug,
mit dem Netzwerkverkehr auf der Kommandozeile mitgeschnitten werden kann.
Es kann:
- Pakete live anzeigen
- Pakete nach Host filtern
- Pakete nach Port filtern
- Pakete nach Protokoll filtern
- Mitschnitte in Dateien speichern
- PCAP-Dateien erzeugen
Diese PCAP-Dateien kann man später mit Wireshark öffnen.
Merksatz:
tcpdump zeichnet Pakete auf und kann PCAP-Dateien erzeugen.
---
**tcpdump-Grundidee**
tcpdump lauscht auf einer Netzwerkschnittstelle.
Beispiele für Schnittstellen:
eth0
ens18
en0
wlan0
br0
docker0
vlan10
Wichtig:
Man muss die richtige Schnittstelle auswählen.
Wenn man auf der falschen Schnittstelle mitschneidet,
sieht man den relevanten Verkehr nicht.
Merksatz:
Richtige Schnittstelle wählen,
sonst ist der Mitschnitt wertlos.
---
**Schnittstellen anzeigen**
Vor einem Mitschnitt prüft man,
welche Schnittstellen vorhanden sind.
Typische Idee:
tcpdump -D
Damit werden verfügbare Interfaces angezeigt.
Danach wählt man die passende Schnittstelle aus.
Merksatz:
Erst Schnittstellen anzeigen,
dann Mitschnitt starten.
---
**Einfacher tcpdump-Mitschnitt**
Ein einfacher Mitschnitt auf einer Schnittstelle:
tcpdump -i eth0
Bedeutung:
-i eth0:
auf Schnittstelle eth0 mitschneiden
Dieser Mitschnitt zeigt viele Pakete live auf der Konsole.
Merksatz:
tcpdump -i Schnittstelle startet einen Live-Mitschnitt.
---
**Namensauflösung vermeiden**
tcpdump kann IP-Adressen und Ports in Namen auflösen.
Das kann die Ausgabe verlangsamen oder verwirren.
Daher nutzt man häufig:
-n
oder:
-nn
Bedeutung:
keine Namensauflösung
keine Portnamenauflösung
Beispiel:
tcpdump -nn -i eth0
Merksatz:
-nn zeigt IPs und Ports unverändert an.
---
**Paketinhalt ausführlicher anzeigen**
Mit mehr Ausführlichkeit sieht man mehr Details.
Typisch:
-v
-vv
-vvv
Beispiel:
tcpdump -nn -vv -i eth0
Aber:
mehr Details sind nicht immer übersichtlicher.
Merksatz:
Mehr Ausgabe hilft nur,
wenn man sie auch gezielt auswertet.
---
**In Datei speichern**
Für spätere Analyse speichert man Mitschnitte in eine Datei.
Beispiel:
tcpdump -nn -i eth0 -w capture.pcap
Bedeutung:
-w capture.pcap:
Mitschnitt in Datei schreiben
Die Datei kann später mit Wireshark geöffnet werden.
Merksatz:
Mit -w speichert tcpdump einen Mitschnitt als Datei.
---
**Datei wieder lesen**
Eine gespeicherte PCAP-Datei kann mit tcpdump gelesen werden.
Beispiel:
tcpdump -nn -r capture.pcap
Bedeutung:
-r:
Datei lesen
Merksatz:
Mit -r liest tcpdump gespeicherte Mitschnitte.
---
**Nur bestimmten Host mitschneiden**
Wenn nur ein bestimmter Host interessiert,
filtert man nach IP-Adresse.
Beispiel:
tcpdump -nn -i eth0 host 192.168.10.20
Das zeigt Pakete,
bei denen diese IP Quelle oder Ziel ist.
Merksatz:
host filtert Quelle oder Ziel.
---
**Nur Quelle oder Ziel filtern**
Quelle filtern:
tcpdump -nn -i eth0 src host 192.168.10.20
Ziel filtern:
tcpdump -nn -i eth0 dst host 192.168.10.20
Merksatz:
src = Quelle.
dst = Ziel.
---
**Nach Netzwerk filtern**
Man kann auch ganze Netze filtern.
Beispiel:
tcpdump -nn -i eth0 net 192.168.10.0/24
Das zeigt Verkehr,
bei dem dieses Netz beteiligt ist.
Merksatz:
net filtert ein ganzes Subnetz.
---
**Nach Port filtern**
Beispiel:
tcpdump -nn -i eth0 port 443
Das zeigt Pakete,
bei denen Port 443 als Quell- oder Zielport vorkommt.
Genauer:
tcpdump -nn -i eth0 dst port 443
zeigt Pakete,
die zu Zielport 443 gehen.
Merksatz:
port zeigt Quell- oder Zielport.
dst port zeigt den Zielport.
---
**TCP und UDP filtern**
Man kann gezielt TCP oder UDP filtern.
Beispiel TCP:
tcpdump -nn -i eth0 tcp port 443
Beispiel UDP:
tcpdump -nn -i eth0 udp port 53
Wichtig:
TCP 53 und UDP 53 sind unterschiedlich.
Merksatz:
Protokoll und Port zusammen prüfen.
---
**DNS mitschneiden**
DNS nutzt häufig UDP 53,
kann aber auch TCP 53 verwenden.
Beispiel:
tcpdump -nn -i eth0 port 53
Oder genauer:
tcpdump -nn -i eth0 udp port 53
Wichtig:
Bei großen Antworten oder Zonentransfers kann TCP 53 relevant sein.
Merksatz:
DNS nicht nur als UDP denken,
auch TCP 53 beachten.
---
**HTTP und HTTPS mitschneiden**
HTTP:
tcpdump -nn -i eth0 tcp port 80
HTTPS:
tcpdump -nn -i eth0 tcp port 443
Bei HTTPS sieht man den Inhalt nicht im Klartext,
aber man sieht Verbindungsaufbau,
IP-Adressen,
Ports,
TLS-Handshake
und Fehler.
Merksatz:
HTTPS-Inhalte sind verschlüsselt,
aber Verbindungsdaten sind sichtbar.
---
**SSH mitschneiden**
SSH nutzt typischerweise TCP 22.
Beispiel:
tcpdump -nn -i eth0 tcp port 22
Man sieht:
Verbindungsaufbau
Pakete
Abbrüche
Timeouts
Man sieht nicht:
eingegebene Befehle im Klartext,
weil SSH verschlüsselt ist.
Merksatz:
SSH schützt Inhalte,
tcpdump sieht aber Verbindungsmetadaten.
---
**ICMP mitschneiden**
ICMP wird für Diagnose genutzt.
Beispiel:
tcpdump -nn -i eth0 icmp
Damit sieht man zum Beispiel:
Ping-Anfragen
Ping-Antworten
Destination Unreachable
Time Exceeded
Merksatz:
ICMP zeigt Diagnose- und Fehlermeldungen.
---
**ARP mitschneiden**
ARP ist wichtig im lokalen IPv4-Netz.
Beispiel:
tcpdump -nn -i eth0 arp
Damit sieht man ARP-Anfragen und ARP-Antworten.
Typische Frage:
Wer hat diese IP-Adresse?
Merksatz:
ARP hilft bei lokalen Erreichbarkeitsproblemen.
---
**DHCP mitschneiden**
DHCP nutzt UDP 67 und UDP 68.
Beispiel:
tcpdump -nn -i eth0 port 67 or port 68
Damit kann man den DORA-Ablauf sehen:
Discover
Offer
Request
Acknowledge
Merksatz:
DHCP-DORA lässt sich mit tcpdump gut prüfen.
---
**Filter kombinieren**
Filter können kombiniert werden.
Beispiel:
tcpdump -nn -i eth0 host 192.168.10.20 and tcp port 443
Bedeutung:
Zeige nur TCP-443-Verkehr mit Host 192.168.10.20.
Weitere logische Verknüpfungen:
and
or
not
Merksatz:
Mit and, or und not werden tcpdump-Filter gezielt.
---
**Beispiel: Alles außer SSH anzeigen**
Wenn man per SSH auf einem Server arbeitet,
kann der eigene SSH-Verkehr die Anzeige stören.
Dann kann man SSH ausblenden:
tcpdump -nn -i eth0 not port 22
Merksatz:
Eigenen SSH-Verkehr bei Bedarf ausblenden.
---
**Beispiel: Fehler reproduzieren**
Gute Vorgehensweise:
1. Mitschnitt vorbereiten.
2. Mitschnitt starten.
3. Fehler gezielt auslösen.
4. Mitschnitt stoppen.
5. Datei sichern.
6. Mit Wireshark analysieren.
Merksatz:
Mitschnitt immer passend zum Fehlerzeitpunkt erstellen.
---
**Mitschnitt begrenzen**
Paketmitschnitte können schnell sehr groß werden.
Möglichkeiten:
nur bestimmte IP mitschneiden
nur bestimmten Port mitschneiden
nur kurze Zeit mitschneiden
Datei begrenzen
Rotation nutzen
nicht unnötig viele Daten erfassen
Merksatz:
So wenig wie möglich,
so viel wie nötig mitschneiden.
---
**Warum PCAP-Dateien sensibel sind**
PCAP-Dateien können enthalten:
- interne IP-Adressen
- MAC-Adressen
- Hostnamen
- Benutzernamen
- Cookies
- Tokens
- unverschlüsselte Passwörter
- E-Mail-Inhalte
- interne Protokolle
- Kundendaten
Deshalb:
sicher speichern
Zugriff begrenzen
nicht unnötig weitergeben
nach Zweck löschen
Merksatz:
PCAP-Dateien wie vertrauliche Daten behandeln.
---
**tshark**
tshark ist die Kommandozeilenversion von Wireshark.
Es nutzt ähnliche Analysefunktionen,
aber ohne grafische Oberfläche.
tshark kann:
- live mitschneiden
- PCAP-Dateien lesen
- Display Filter verwenden
- Felder ausgeben
- automatisiert auswerten
- Protokolle analysieren
Merksatz:
tshark ist Wireshark für die Kommandozeile.
---
**tshark für vorhandene Dateien**
Eine vorhandene PCAP-Datei kann mit tshark gelesen werden.
Beispiel:
tshark -r capture.pcap
Mit Filtern kann man gezielt suchen.
Beispielidee:
nur DNS anzeigen
nur HTTP anzeigen
nur bestimmte IP anzeigen
Merksatz:
tshark eignet sich gut für schnelle PCAP-Auswertung.
---
**tcpdump oder tshark?**
| Werkzeug | Stärke |
|---|---|
| tcpdump | schnell mitschneiden, auf vielen Systemen verfügbar |
| tshark | detailliertere Protokollauswertung auf Kommandozeile |
| Wireshark | grafische Analyse, sehr übersichtlich |
Merksatz:
tcpdump zum Aufnehmen,
Wireshark oder tshark zum Analysieren.
---
**ss**
ss zeigt Netzwerk-Sockets auf Linux-Systemen.
Damit prüft man:
welche Dienste lauschen
welche Verbindungen bestehen
welche Ports offen sind
welche Prozesse Ports verwenden
Beispielidee:
Lauscht ein Dienst wirklich auf Port 443?
Merksatz:
ss zeigt lokale Ports und Verbindungen.
---
**netstat**
netstat ist ein älteres Werkzeug,
das ähnliche Informationen wie ss anzeigen kann.
Es zeigt unter anderem:
- offene Ports
- aktive Verbindungen
- Routingtabelle
- Schnittstellenstatistiken
Auf modernen Linux-Systemen wird häufig ss bevorzugt.
Merksatz:
netstat ist älter,
ss ist auf Linux oft moderner.
---
**Lauschende Dienste prüfen**
Wenn ein Dienst nicht erreichbar ist,
prüft man lokal:
Lauscht der Dienst überhaupt?
Beispielhafte Fragestellung:
Hört der Webserver auf TCP 80 oder TCP 443?
Hört SSH auf TCP 22?
Hört die Datenbank nur auf localhost?
Hört der Dienst auf der richtigen IP-Adresse?
Merksatz:
Dienst muss lokal lauschen,
bevor er extern erreichbar sein kann.
---
**localhost-Falle**
Ein Dienst kann nur auf localhost lauschen.
Beispiel:
127.0.0.1:8080
Dann ist er nur lokal auf dem System erreichbar,
aber nicht von anderen Geräten im Netzwerk.
Für externe Erreichbarkeit muss er auf einer passenden Adresse lauschen.
Merksatz:
Dienst auf localhost ist nicht automatisch im Netzwerk erreichbar.
---
**curl**
curl ist ein Werkzeug zum Testen von HTTP,
HTTPS
und vielen anderen Protokollen.
Es kann zeigen:
- Statuscode
- Header
- Weiterleitungen
- TLS-Fehler
- Antwortinhalt
- API-Antworten
Merksatz:
curl testet Webdienste und APIs direkt.
---
**curl und HTTP-Status**
Mit curl kann man prüfen,
welchen HTTP-Status ein Server zurückgibt.
Wichtige Fragen:
Kommt 200?
Kommt 301 oder 302?
Kommt 401?
Kommt 403?
Kommt 404?
Kommt 500?
Kommt 502?
Merksatz:
curl zeigt,
was ein Webserver tatsächlich antwortet.
---
**curl und Header**
HTTP-Header enthalten wichtige Informationen.
Beispiele:
Content-Type
Location
Server
Set-Cookie
Authorization
Cache-Control
Strict-Transport-Security
Mit curl kann man Header gezielt anzeigen.
Merksatz:
Header erklären oft,
warum ein Webdienst sich so verhält.
---
**curl und TLS**
curl kann TLS-Probleme sichtbar machen.
Typische Fehler:
Zertifikat abgelaufen
Name passt nicht
CA nicht vertrauenswürdig
TLS-Version nicht kompatibel
Zertifikatskette unvollständig
Merksatz:
curl hilft bei HTTPS- und Zertifikatsproblemen.
---
**nc**
nc steht für netcat.
Es kann verwendet werden,
um einfache TCP- oder UDP-Verbindungen zu testen.
Typische Nutzung:
Ist ein TCP-Port erreichbar?
Antwortet ein einfacher Dienst?
Kann ich manuell Daten senden?
Beispielgedanke:
Porttest für TCP 443,
TCP 22
oder TCP 25.
Merksatz:
nc ist ein einfaches Werkzeug für Port- und Verbindungstests.
---
**Porttest richtig einordnen**
Ein erfolgreicher Porttest bedeutet:
TCP-Verbindung zum Port ist möglich.
Er bedeutet nicht automatisch:
Anwendung funktioniert korrekt.
Login funktioniert.
Zertifikat passt.
Berechtigung stimmt.
API antwortet richtig.
Merksatz:
Port offen ist nur ein Teil der Diagnose.
---
**ping**
ping nutzt ICMP Echo Request und Echo Reply.
Es prüft grob:
Ist ein Ziel per ICMP erreichbar?
Ping sagt nicht:
ob ein TCP-Port offen ist
ob DNS korrekt ist
ob HTTPS funktioniert
ob Anwendung antwortet
ob Anmeldung funktioniert
Merksatz:
Ping prüft nicht den Dienst.
---
**traceroute und tracert**
traceroute oder tracert zeigen den Weg zu einem Ziel.
Sie helfen bei:
Routingproblemen
Erreichbarkeitsproblemen
ungewöhnlichen Pfaden
Netzunterbrechungen
hoher Latenz
Wichtig:
Firewalls können traceroute-Ergebnisse beeinflussen.
Merksatz:
traceroute zeigt Hinweise auf den Weg,
aber nicht immer den vollständigen echten Pfad.
---
**nslookup**
nslookup prüft DNS-Auflösung.
Damit kann man fragen:
Welche IP liefert DNS für diesen Namen?
Welcher DNS-Server antwortet?
Gibt es überhaupt eine Antwort?
Gut für einfache DNS-Prüfung.
Merksatz:
nslookup prüft Namensauflösung.
---
**dig**
dig ist ein detaillierteres DNS-Werkzeug.
Es zeigt unter anderem:
- DNS-Antworten
- Record-Typen
- Antwortzeiten
- Nameserver
- TTL
- Autorität
- zusätzliche Antworten
dig ist besonders hilfreich,
wenn DNS genauer analysiert werden soll.
Merksatz:
dig ist detaillierte DNS-Analyse.
---
**openssl s_client**
openssl s_client prüft TLS-Verbindungen.
Damit kann man sehen:
- Zertifikat
- Zertifikatskette
- TLS-Version
- Cipher
- Serverantwort
- SNI-Verhalten
Besonders nützlich bei:
HTTPS
LDAPS
IMAPS
SMTPS
POP3S
Merksatz:
openssl s_client hilft bei TLS- und Zertifikatsproblemen.
---
**journalctl**
journalctl zeigt Logs auf Systemen mit systemd.
Damit kann man prüfen:
Dienst gestartet?
Dienst abgestürzt?
Fehler beim Start?
Berechtigungsproblem?
Port bereits belegt?
Konfigurationsfehler?
Merksatz:
journalctl zeigt System- und Dienstlogs auf Linux.
---
**Windows-Ereignisanzeige**
Die Windows-Ereignisanzeige zeigt System- und Anwendungsereignisse.
Wichtige Bereiche:
Anwendung
Sicherheit
System
Setup
Dienstspezifische Protokolle
Hilfreich bei:
Anmeldefehlern
Dienstfehlern
RDP-Problemen
DNS- oder DHCP-Problemen
Zertifikatsproblemen
Merksatz:
Ereignisanzeige ist wichtig für Windows-Fehlersuche.
---
**PowerShell Test-NetConnection**
Unter Windows kann Test-NetConnection helfen.
Es prüft zum Beispiel:
Namensauflösung
TCP-Verbindung zu einem Port
Ziel-IP
grundlegende Erreichbarkeit
Beispielhafte Fragestellung:
Ist TCP 443 erreichbar?
Ist TCP 3389 erreichbar?
Merksatz:
Test-NetConnection ist ein Windows-Werkzeug für Porttests.
---
**Werkzeuge richtig kombinieren**
Kein Werkzeug beantwortet alles.
Beispiel Webdienst funktioniert nicht:
nslookup:
DNS prüfen
ping:
grobe Erreichbarkeit prüfen
Test-NetConnection oder nc:
Port prüfen
curl:
HTTP-Antwort prüfen
tcpdump:
Verkehr prüfen
Logs:
Dienstfehler prüfen
Merksatz:
Diagnose entsteht durch Kombination mehrerer Werkzeuge.
---
**Beispiel: HTTPS funktioniert nicht**
Sinnvolle Prüfung:
1. DNS mit nslookup oder dig prüfen.
2. Port TCP 443 mit nc oder Test-NetConnection prüfen.
3. HTTP-Antwort mit curl prüfen.
4. Zertifikat mit curl oder openssl s_client prüfen.
5. tcpdump oder Wireshark bei Verbindungsproblemen nutzen.
6. Webserver- oder Reverse-Proxy-Logs prüfen.
Merksatz:
HTTPS-Probleme mit DNS,
Port,
TLS,
Anwendung
und Logs prüfen.
---
**Beispiel: SSH funktioniert nicht**
Sinnvolle Prüfung:
1. Ziel-IP oder Hostname prüfen.
2. TCP 22 prüfen.
3. Lokalen SSH-Dienst prüfen.
4. Firewall und Host-Firewall prüfen.
5. Benutzer und Schlüssel prüfen.
6. SSH-Logs prüfen.
7. tcpdump bei Timeout oder unklarer Verbindung nutzen.
Merksatz:
SSH-Probleme mit Port,
Dienst,
Benutzer,
Schlüssel
und Logs prüfen.
---
**Beispiel: DNS funktioniert nicht**
Sinnvolle Prüfung:
1. Welcher DNS-Server ist eingetragen?
2. Ist DNS-Server erreichbar?
3. Antwortet UDP 53?
4. Antwortet bei Bedarf TCP 53?
5. Liefert DNS richtige Antwort?
6. Gibt es NXDOMAIN?
7. Gibt es falschen Cache?
8. tcpdump zeigt echte DNS-Anfrage?
Merksatz:
DNS-Fehler mit Server,
Port,
Antwort
und Cache prüfen.
---
**Beispiel: DHCP funktioniert nicht**
Sinnvolle Prüfung:
1. Client sendet Discover?
2. DHCP-Server antwortet mit Offer?
3. Client sendet Request?
4. Server sendet Acknowledge?
5. Scope hat freie Adressen?
6. DHCP-Relay korrekt?
7. VLAN korrekt?
8. Firewall blockiert UDP 67/68?
Merksatz:
DHCP mit DORA analysieren.
---
**Beispiel: RDP funktioniert nicht**
Sinnvolle Prüfung:
1. Hostname oder IP prüfen.
2. TCP 3389 prüfen.
3. Remote Desktop aktiviert?
4. Host-Firewall erlaubt?
5. Benutzer berechtigt?
6. VPN oder Gateway nötig?
7. Windows-Ereignisanzeige prüfen.
8. Nicht direkt aus Internet veröffentlichen.
Merksatz:
RDP-Probleme mit Port,
Dienst,
Berechtigung
und Sicherheit prüfen.
---
**Typische Fehler bei Werkzeugnutzung**
Häufige Fehler:
- nur ping testen und Dienstproblem übersehen
- DNS nicht prüfen
- TCP und UDP verwechseln
- falsche Schnittstelle mitschneiden
- falschen Port prüfen
- internen und externen Test verwechseln
- NAT nicht berücksichtigen
- Logs ignorieren
- verschlüsselte Inhalte im Klartext erwarten
Merksatz:
Werkzeugergebnisse immer fachlich einordnen.
---
**Diagnose nach Schichten**
| Schicht | typische Werkzeuge |
|---:|---|
| 1 | Link-Status, Kabeltest, Switchport |
| 2 | ARP, MAC-Tabelle, VLAN-Prüfung |
| 3 | ping, traceroute, Routingtabelle |
| 4 | nc, Test-NetConnection, ss, tcpdump |
| 5–6 | TLS-Prüfung, openssl s_client |
| 7 | curl, nslookup, dig, Logs, Anwendungstest |
Merksatz:
Das Werkzeug richtet sich nach der vermuteten Schicht.
---
**Was Kommandozeilenwerkzeuge nicht ersetzen**
Sie ersetzen nicht:
- saubere Dokumentation
- Verständnis der Netzstruktur
- Firewall-Regelprüfung
- Berechtigungsprüfung
- Dienstkonfiguration
- Monitoring
- Sicherheitskonzept
- Datenschutz beim Mitschnitt
Merksatz:
Werkzeuge liefern Hinweise,
Fachwissen macht daraus eine Diagnose.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Wofür nutzt man tcpdump?
- Was ist eine PCAP-Datei?
- Wofür steht tshark?
- Was ist der Unterschied zwischen tcpdump und Wireshark?
- Warum muss man die richtige Schnittstelle wählen?
- Wie filtert man nach Host, Port oder Protokoll?
- Warum ist tcpdump mit -w nützlich?
- Warum sind Mitschnittdateien sensibel?
- Wofür nutzt man curl?
- Wofür nutzt man nc?
- Was prüft ping?
- Warum reicht ping nicht aus?
- Wofür nutzt man nslookup oder dig?
- Wofür nutzt man openssl s_client?
- Wie kombiniert man Werkzeuge bei der Fehlersuche?
---
**Typische Prüfungsfallen**
tcpdump ist Kommandozeile.
Wireshark ist grafisch.
tshark ist Wireshark auf Kommandozeile.
tcpdump kann PCAP-Dateien speichern.
PCAP-Dateien können sensible Daten enthalten.
Falsche Schnittstelle bedeutet falsche Sicht.
-nn verhindert Namensauflösung.
host filtert Quelle oder Ziel.
src ist Quelle.
dst ist Ziel.
port filtert Quell- oder Zielport.
TCP und UDP getrennt betrachten.
DNS kann UDP und TCP 53 nutzen.
DHCP nutzt UDP 67 und 68.
Ping prüft ICMP,
nicht den Dienst.
Porttest beweist nicht,
dass Anwendung funktioniert.
curl prüft Webdienste besser als ping.
openssl s_client hilft bei TLS.
Logs und Mitschnitt ergänzen sich.
Werkzeuge ersetzen keine fachliche Analyse.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| tcpdump | Kommandozeilenwerkzeug für Paketmitschnitte |
| tshark | Wireshark-Funktion auf Kommandozeile |
| PCAP | Datei mit aufgezeichneten Paketen |
| Interface | Netzwerkschnittstelle |
| Capture | Aufnahme von Paketen |
| -i | Schnittstelle auswählen |
| -w | Mitschnitt in Datei schreiben |
| -r | Mitschnitt aus Datei lesen |
| -n / -nn | Namensauflösung abschalten |
| host | Quelle oder Ziel filtern |
| src | Quelle |
| dst | Ziel |
| port | Port filtern |
| ss | lokale Sockets und Ports anzeigen |
| netstat | älteres Werkzeug für Netzwerkstatus |
| curl | Web- und API-Anfragen testen |
| nc | einfache Port- und Verbindungstests |
| ping | ICMP-Erreichbarkeit prüfen |
| traceroute | Weg zum Ziel prüfen |
| nslookup | DNS einfach prüfen |
| dig | DNS detailliert prüfen |
| openssl s_client | TLS-Verbindungen prüfen |
| journalctl | Linux-Systemlogs anzeigen |
| Ereignisanzeige | Windows-Logs anzeigen |
| Test-NetConnection | Windows-Porttest |
---
**IHK-sichere Kurzformulierung**
tcpdump ist ein Kommandozeilenwerkzeug zum Mitschneiden von Netzwerkverkehr und kann Mitschnitte als PCAP-Datei speichern, die später mit Wireshark analysiert werden kann. tshark ist die Kommandozeilenversion von Wireshark und eignet sich für detaillierte Auswertungen ohne grafische Oberfläche. Bei der Analyse muss die richtige Netzwerkschnittstelle gewählt und gezielt nach Host, Port, Protokoll oder Netz gefiltert werden. Ergänzende Werkzeuge wie curl, nc, ping, traceroute, nslookup, dig, openssl s_client, ss, netstat und Logdateien helfen, DNS, Ports, TLS, Dienste und Verbindungen systematisch zu prüfen. Ein einzelnes Werkzeug reicht selten aus; eine zuverlässige Diagnose entsteht durch die Kombination mehrerer Hinweise.
---
**Merksätze**
tcpdump = Paketmitschnitt auf Kommandozeile.
tshark = Wireshark auf Kommandozeile.
Wireshark = grafische Analyse.
PCAP = gespeicherter Paketmitschnitt.
Richtige Schnittstelle ist entscheidend.
-nn verhindert Namensauflösung.
-w schreibt Mitschnitt in Datei.
-r liest Mitschnitt aus Datei.
host filtert Quelle oder Ziel.
src filtert Quelle.
dst filtert Ziel.
port filtert Quell- oder Zielport.
TCP und UDP nicht verwechseln.
DNS kann UDP und TCP nutzen.
DHCP nutzt UDP 67 und 68.
SSH nutzt typischerweise TCP 22.
HTTPS nutzt typischerweise TCP 443.
Ping prüft ICMP,
nicht Anwendung.
Porttest prüft Erreichbarkeit,
nicht Anwendungserfolg.
curl prüft HTTP und HTTPS.
nc testet einfache Verbindungen.
nslookup und dig prüfen DNS.
openssl s_client prüft TLS.
ss zeigt lokale Ports.
Logs zeigen Dienstfehler.
Mitschnitt und Logs gemeinsam auswerten.
PCAP-Dateien vertraulich behandeln.
Werkzeuge liefern Hinweise,
Fachwissen liefert die Diagnose.
# 12.4 Systematische Netzwerkfehlersuche nach dem OSI-Modell
Netzwerkfehlersuche sollte nicht zufällig erfolgen.
Besser ist ein systematisches Vorgehen nach Schichten.
Das OSI-Modell hilft dabei,
Fehler Schritt für Schritt einzugrenzen.
Grundidee:
erst einfache Grundlagen prüfen
dann höhere Schichten prüfen
Fehler sauber eingrenzen
Messergebnisse dokumentieren
nicht vorschnell raten
Merksatz:
Systematische Fehlersuche spart Zeit und verhindert falsche Vermutungen.
---
**Warum nach Schichten prüfen?**
Viele Fehler sehen ähnlich aus.
Beispiel:
Webseite öffnet nicht.
Mögliche Ursachen können sein:
Kabel defekt
WLAN getrennt
falsches VLAN
falsche IP-Adresse
Gateway fehlt
DNS falsch
Port blockiert
Zertifikat ungültig
Webserver down
Benutzer nicht berechtigt
Ohne Struktur sucht man schnell an der falschen Stelle.
Merksatz:
Ein Symptom kann viele Ursachen auf verschiedenen Schichten haben.
---
**Top-Down und Bottom-Up**
Es gibt zwei typische Vorgehensweisen:
Bottom-Up
Top-Down
Bottom-Up bedeutet:
Man beginnt unten bei Schicht 1
und arbeitet sich nach oben.
Top-Down bedeutet:
Man beginnt bei der Anwendung
und arbeitet sich nach unten.
Beide Methoden sind sinnvoll,
je nach Fehlerbild.
Merksatz:
Bottom-Up beginnt beim Kabel.
Top-Down beginnt bei der Anwendung.
---
**Bottom-Up-Methode**
Bottom-Up prüft von unten nach oben:
Schicht 1:
Kabel, Link, Signal
Schicht 2:
MAC, Switch, VLAN
Schicht 3:
IP, Subnetz, Gateway, Routing
Schicht 4:
TCP, UDP, Ports
Schicht 5–7:
Sitzung, Darstellung, Anwendung
Vorteil:
grundlegende Fehler werden früh erkannt.
Merksatz:
Bottom-Up ist gut,
wenn unklar ist,
ob überhaupt Netzverbindung besteht.
---
**Top-Down-Methode**
Top-Down beginnt bei der Anwendung.
Beispiel:
Benutzer sagt:
E-Mail funktioniert nicht.
Dann prüft man zuerst:
Mailclient
Anmeldung
Fehlermeldung
Servername
Protokoll
Port
DNS
Netzwerk
Vorteil:
schneller,
wenn der Fehler klar an einem Dienst hängt.
Merksatz:
Top-Down ist gut,
wenn ein bestimmter Dienst betroffen ist.
---
**Divide-and-Conquer-Methode**
Divide and Conquer bedeutet:
Problem in der Mitte eingrenzen.
Man prüft zuerst eine mittlere Schicht,
zum Beispiel IP-Erreichbarkeit oder Port-Erreichbarkeit.
Beispiel:
Ping zum Server funktioniert.
Dann weiß man:
Schicht 1 bis 3 sind wahrscheinlich grundsätzlich ok.
Dann prüft man weiter:
Port
Dienst
Anmeldung
Anwendung
Merksatz:
Divide and Conquer halbiert den Suchbereich.
---
**Vergleichsmethode**
Bei der Vergleichsmethode vergleicht man:
funktionierendes System
mit
fehlerhaftem System
Beispiele:
anderer Client funktioniert
anderer Benutzer funktioniert
anderes VLAN funktioniert
anderer Browser funktioniert
anderer DNS-Server liefert andere Antwort
Dadurch erkennt man Unterschiede.
Merksatz:
Vergleich zeigt,
was beim fehlerhaften Fall anders ist.
---
**Fehler reproduzieren**
Ein Fehler sollte möglichst reproduzierbar gemacht werden.
Fragen:
Wann tritt der Fehler auf?
Bei welchem Benutzer?
Bei welchem Client?
Bei welchem Dienst?
Seit wann?
Nach welcher Änderung?
Immer oder nur manchmal?
Intern oder extern?
Mit WLAN oder LAN?
Mit VPN oder ohne VPN?
Merksatz:
Nur reproduzierbare Fehler lassen sich sauber messen.
---
**Fehlerbild genau aufnehmen**
Vor der Analyse sollte man das Fehlerbild genau aufnehmen.
Nicht ausreichend:
Internet geht nicht.
Besser:
Benutzer kann https://intranet.firma.local öffnen,
aber https://portal.firma.de nicht.
Fehler im Browser:
DNS_PROBE_FINISHED_NXDOMAIN.
Noch besser:
Zeitpunkt,
Client-IP,
Benutzer,
DNS-Server,
Fehlermeldung,
betroffener Dienst.
Merksatz:
Genaue Fehlerbeschreibung ist Teil der Diagnose.
---
**W-Fragen bei Netzwerkfehlern**
Wichtige Fragen:
Wer ist betroffen?
Was funktioniert nicht?
Wann tritt der Fehler auf?
Wo tritt der Fehler auf?
Wie äußert sich der Fehler?
Seit wann besteht der Fehler?
Was wurde zuletzt geändert?
Welche Systeme funktionieren noch?
Merksatz:
Gute Fragen grenzen den Fehler ein.
---
**Einzelner Benutzer oder alle Benutzer?**
Wenn nur ein Benutzer betroffen ist,
prüft man eher:
Benutzerkonto
Berechtigungen
Passwort
MFA
Clientprofil
lokale Einstellungen
Browsercache
gespeicherte Zugangsdaten
Wenn alle Benutzer betroffen sind,
prüft man eher:
Dienst
Server
DNS
Netzwerk
Firewall
Zertifikat
zentrale Authentifizierung
Provider
Infrastruktur
Merksatz:
Einzelner Benutzer = Konto oder Client.
Alle Benutzer = Dienst oder Infrastruktur.
---
**Ein Client oder mehrere Clients?**
Wenn nur ein Client betroffen ist,
prüft man:
Netzwerkkabel
WLAN
IP-Konfiguration
DNS-Einstellungen
lokale Firewall
Proxy
VPN
Zertifikatsspeicher
lokale Software
Wenn mehrere Clients betroffen sind,
prüft man:
Switch
VLAN
DHCP
DNS
Gateway
Firewall
Server
zentrale Dienste
Merksatz:
Ein Client betroffen:
lokal prüfen.
Viele Clients betroffen:
Infrastruktur prüfen.
---
**Intern oder extern betroffen?**
Wenn intern alles funktioniert,
extern aber nicht,
prüft man:
externe DNS-Auflösung
öffentliche IP
NAT
Firewall WAN → DMZ
Provider
CGNAT
Zertifikat
Reverse Proxy
Wenn extern funktioniert,
intern aber nicht,
prüft man:
internes DNS
Split DNS
Hairpin NAT
interne Firewall
interne Route
Proxy-Einstellungen
Merksatz:
Interne und externe Sicht getrennt prüfen.
---
**Nur WLAN oder auch LAN?**
Wenn nur WLAN betroffen ist,
prüft man:
WLAN-Signal
SSID
WLAN-Passwort
VLAN-Zuordnung am Access Point
DHCP im WLAN-Netz
Roaming
Störungen
Access Point
Client-Treiber
Wenn LAN auch betroffen ist,
liegt die Ursache eher bei:
IP-Konfiguration
Gateway
DNS
Firewall
Dienst
zentraler Infrastruktur
Merksatz:
WLAN-Fehler nicht automatisch als Internetfehler behandeln.
---
**Nur ein VLAN betroffen?**
Wenn nur ein VLAN betroffen ist,
prüft man:
VLAN-ID
Switchport-Modus
Tagged oder Untagged
Trunk
Access-Port
DHCP-Scope
Gateway für VLAN
Firewall-Regeln
Routing
ACLs
Merksatz:
VLAN-bezogene Fehler sind oft Schicht 2 und 3.
---
**Nur ein Dienst betroffen?**
Wenn nur ein Dienst betroffen ist,
prüft man eher:
DNS-Name des Dienstes
Ziel-IP
Port
Protokoll
Firewall-Regel
Dienststatus
Zertifikat
Authentifizierung
Berechtigung
Anwendungslogs
Beispiel:
Internet funktioniert,
aber SMB-Freigabe nicht.
Dann ist nicht das ganze Netzwerk down,
sondern ein Dienst oder Zugriffspfad gestört.
Merksatz:
Ein Dienst betroffen:
Dienstkette prüfen.
---
**Schicht 1 prüfen**
Schicht 1 ist die Bitübertragungsschicht.
Prüfpunkte:
Kabel steckt?
Link-LED aktiv?
richtiger Port?
Netzteil aktiv?
SFP-Modul korrekt?
Glasfaser richtig gesteckt?
WLAN-Signal vorhanden?
keine physische Beschädigung?
Duplex oder Speed auffällig?
Werkzeuge:
Sichtprüfung
Linkstatus
Kabeltester
Switchport-Status
WLAN-Signalprüfung
Merksatz:
Ohne funktionierende Schicht 1 funktioniert darüber nichts.
---
**Schicht 2 prüfen**
Schicht 2 ist die Sicherungsschicht.
Prüfpunkte:
MAC-Adresse sichtbar?
Switchport aktiv?
VLAN korrekt?
Access oder Trunk richtig?
MAC-Adresstabelle passend?
STP blockiert?
Broadcast-Sturm?
ARP funktioniert?
keine doppelte IP im lokalen Netz?
Werkzeuge:
Switch-MAC-Tabelle
ARP-Tabelle
VLAN-Konfiguration
Wireshark
Switch-Logs
Merksatz:
Schicht 2 betrifft lokale Kommunikation im richtigen Netzsegment.
---
**Schicht 3 prüfen**
Schicht 3 ist die Vermittlungs- oder Netzwerkschicht.
Prüfpunkte:
IP-Adresse korrekt?
Subnetzmaske korrekt?
Gateway korrekt?
Routing korrekt?
Zielnetz erreichbar?
keine APIPA-Adresse?
keine doppelte IP?
IPv4 oder IPv6 korrekt?
Rückweg vorhanden?
Werkzeuge:
ipconfig
ifconfig
ip addr
ping
traceroute / tracert
route print
ip route
Routingtabelle
Merksatz:
Schicht 3 beantwortet:
Komme ich zum richtigen Netz?
---
**Schicht 4 prüfen**
Schicht 4 ist die Transportschicht.
Prüfpunkte:
TCP oder UDP?
richtiger Port?
Port offen?
Dienst lauscht?
Firewall blockiert?
TCP-Handshake vollständig?
UDP-Antwort vorhanden?
NAT oder PAT beteiligt?
Rückweg korrekt?
Werkzeuge:
nc
Test-NetConnection
ss
netstat
tcpdump
Wireshark
Firewall-Logs
Merksatz:
Schicht 4 beantwortet:
Ist der Dienstport erreichbar?
---
**Schicht 5 prüfen**
Schicht 5 ist die Sitzungsschicht.
Prüfpunkte:
Session wird aufgebaut?
Session bleibt bestehen?
Benutzer wird ständig ausgeloggt?
Cookie korrekt?
Session Timeout?
Load Balancer mit Session-Stickiness?
Session-Speicher erreichbar?
Typische Fehler:
Login-Schleife
Session läuft sofort ab
Warenkorb wird vergessen
Remote-Sitzung bricht ab
Merksatz:
Schicht 5 betrifft Sitzungen und deren Verwaltung.
---
**Schicht 6 prüfen**
Schicht 6 ist die Darstellungsschicht.
Prüfpunkte:
TLS korrekt?
Zertifikat gültig?
Name passt zum Zertifikat?
CA vertrauenswürdig?
Datenformat korrekt?
Zeichencodierung korrekt?
Kompression korrekt?
JSON oder XML gültig?
Typische Fehler:
Zertifikatswarnung
falsche Umlaute
ungültiges JSON
TLS-Handshake-Fehler
falscher Content-Type
Merksatz:
Schicht 6 betrifft Darstellung,
Codierung,
Kompression
und Verschlüsselung.
---
**Schicht 7 prüfen**
Schicht 7 ist die Anwendungsschicht.
Prüfpunkte:
Dienst läuft?
richtige URL?
richtiger Hostname?
richtige Methode?
richtiger Statuscode?
Anmeldung korrekt?
Berechtigung vorhanden?
Anwendung antwortet?
API korrekt?
Logs vorhanden?
Backend erreichbar?
Typische Fehler:
HTTP 404
HTTP 500
Login fehlgeschlagen
Zugriff verweigert
DNS falsch
Mail kommt nicht an
API antwortet mit Fehler
Merksatz:
Schicht 7 betrifft den konkreten Dienst und seine Antwort.
---
**DNS als häufiger Sonderfall**
DNS gehört zur Anwendungsschicht,
wirkt aber auf fast alle anderen Dienste.
Wenn DNS falsch ist,
sucht man oft am falschen Ziel.
Typische DNS-Fehler:
falsche IP-Adresse
NXDOMAIN
falscher DNS-Server
Split DNS falsch
veralteter Cache
IPv6-Antwort nicht erreichbar
MX-Record falsch
Merksatz:
DNS immer früh prüfen,
wenn Namen verwendet werden.
---
**DHCP als häufiger Sonderfall**
DHCP gehört zur Anwendungsschicht,
liefert aber Schicht-3-Konfiguration.
DHCP-Fehler führen zu:
keiner IP-Adresse
APIPA 169.254.x.x
falschem Gateway
falschem DNS
falschem VLAN
falscher Lease
Merksatz:
DHCP-Fehler wirken wie IP- oder Internetprobleme.
---
**Firewall als häufiger Sonderfall**
Firewalls können mehrere Schichten betreffen.
Je nach Firewall prüft sie:
IP-Adressen
Ports
Protokolle
Zustand
Anwendung
Benutzer
Zonen
Bei Firewall-Verdacht prüfen:
Quelle
Ziel
Port
Protokoll
Richtung
Zone
Regel
Logs
NAT
Rückweg
Merksatz:
Firewall-Fehler mit Quelle,
Ziel,
Port,
Richtung
und Logs prüfen.
---
**NAT als häufiger Sonderfall**
NAT kann IP-Adressen und Ports verändern.
Deshalb muss man wissen:
Welche Adresse sieht der Client?
Welche Adresse sieht der Server?
Gibt es Source NAT?
Gibt es Destination NAT?
Gibt es PAT?
Gibt es Portweiterleitung?
Stimmt der Rückweg?
Merksatz:
Bei NAT immer vor und nach der Übersetzung denken.
---
**Logs immer einbeziehen**
Logs liefern oft die entscheidenden Hinweise.
Wichtige Logs:
Client-Logs
Server-Logs
Firewall-Logs
DNS-Logs
DHCP-Logs
Webserver-Logs
Reverse-Proxy-Logs
Authentifizierungslogs
VPN-Logs
Ereignisanzeige
journalctl
Merksatz:
Logs zeigen Entscheidungen,
Mitschnitte zeigen Verkehr.
---
**Paketmitschnitt gezielt einsetzen**
Ein Paketmitschnitt ist besonders hilfreich,
wenn unklar ist:
ob Pakete ankommen
ob Antworten zurückkommen
ob DNS korrekt gefragt wird
ob TCP-Handshake klappt
ob UDP-Antworten kommen
ob NAT richtig arbeitet
ob Retransmissions auftreten
ob Reset oder Timeout entsteht
Merksatz:
Mitschnitt nutzen,
wenn der echte Verkehr unklar ist.
---
**Fehler nach Änderung**
Viele Störungen entstehen nach Änderungen.
Beispiele:
Firewall-Regel geändert
DNS-Eintrag geändert
DHCP-Scope geändert
VLAN geändert
Zertifikat erneuert
Server-IP geändert
Dienst aktualisiert
Reverse Proxy angepasst
Passwort oder Rechte geändert
VPN-Konfiguration geändert
Merksatz:
Nach Änderung zuerst die Änderung prüfen.
---
**Change und Rollback**
Bei Änderungen sollte vorher klar sein:
Was wird geändert?
Warum wird es geändert?
Wer ist verantwortlich?
Wann wird getestet?
Wie wird zurückgerollt?
Welche Systeme sind betroffen?
Gibt es ein Backup?
Gibt es Dokumentation?
Rollback bedeutet:
Änderung zurücknehmen,
wenn sie Probleme verursacht.
Merksatz:
Keine kritische Änderung ohne Rückweg.
---
**Dokumentation während der Fehlersuche**
Während der Fehlersuche sollte man dokumentieren:
Fehlerbild
Zeitpunkt
betroffene Systeme
betroffene Benutzer
getestete Schritte
Messergebnisse
Logs
Änderungen
gefundene Ursache
Lösung
offene Punkte
Merksatz:
Gute Dokumentation verhindert doppelte Arbeit.
---
**Hypothesen bilden**
Eine Hypothese ist eine fachliche Vermutung,
die getestet wird.
Beispiel:
Hypothese:
DNS zeigt auf falsche IP.
Test:
nslookup oder dig ausführen.
Ergebnis:
Wenn DNS falsch ist,
Hypothese bestätigt.
Wenn nicht:
Hypothese verwerfen
und nächste Ursache prüfen.
Merksatz:
Hypothesen müssen getestet,
nicht geglaubt werden.
---
**Nicht mehrere Dinge gleichzeitig ändern**
Wenn man mehrere Dinge gleichzeitig ändert,
weiß man später nicht,
welche Änderung geholfen oder geschadet hat.
Besser:
eine Änderung durchführen
testen
Ergebnis dokumentieren
nächste Änderung durchführen
Merksatz:
Eine Änderung pro Testschritt.
---
**Workaround und Ursachenbehebung unterscheiden**
Ein Workaround umgeht ein Problem vorübergehend.
Eine Ursachenbehebung beseitigt die Ursache.
Beispiel:
Workaround:
Benutzer nutzt IP-Adresse statt DNS-Namen.
Ursache:
DNS-Eintrag ist falsch.
Die Ursache muss trotzdem behoben werden.
Merksatz:
Workaround ist nicht automatisch Lösung.
---
**Typische Fehlerbilder und erste Einordnung**
| Fehlerbild | erste Vermutung |
|---|---|
| Kein Link | Schicht 1 |
| IP 169.254.x.x | DHCP-Problem |
| Gateway nicht erreichbar | Schicht 2 / 3 |
| Name löst nicht auf | DNS |
| Ping geht, Port nicht | Schicht 4 / Firewall / Dienst |
| Port offen, HTTP 500 | Anwendung / Backend |
| Zertifikatswarnung | TLS / Zeit / Name |
| Zugriff verweigert | Autorisierung |
| Login schlägt fehl | Authentifizierung |
| Nur extern gestört | NAT / Firewall / DNS extern |
| Nur intern gestört | DNS intern / Hairpin NAT / Routing |
Merksatz:
Fehlerbild gibt Hinweis,
aber noch keinen Beweis.
---
**Beispiel: Webseite öffnet nicht**
Systematische Prüfung:
1. URL korrekt?
2. DNS löst korrekt auf?
3. Ziel-IP erreichbar?
4. TCP 443 erreichbar?
5. TLS-Zertifikat gültig?
6. HTTP-Statuscode prüfen.
7. Reverse Proxy prüfen.
8. Backend prüfen.
9. Webserver-Logs prüfen.
10. Firewall-Logs prüfen.
Merksatz:
Webfehler mit DNS,
Port,
TLS,
HTTP
und Logs prüfen.
---
**Beispiel: Client bekommt keine IP-Adresse**
Systematische Prüfung:
1. Link vorhanden?
2. VLAN korrekt?
3. DHCP Discover sichtbar?
4. DHCP Offer sichtbar?
5. DHCP-Scope frei?
6. DHCP-Relay korrekt?
7. Firewall erlaubt UDP 67/68?
8. Richtiger DHCP-Server?
9. Keine Rogue-DHCP-Antwort?
10. Client erhält Lease?
Merksatz:
DHCP-Fehler mit DORA eingrenzen.
---
**Beispiel: Server per SSH nicht erreichbar**
Systematische Prüfung:
1. Ziel-IP oder DNS prüfen.
2. Routing prüfen.
3. TCP 22 erreichbar?
4. SSH-Dienst läuft?
5. Host-Firewall erlaubt?
6. zentrale Firewall erlaubt?
7. Benutzer oder Schlüssel korrekt?
8. SSH-Logs prüfen.
9. Fail2ban oder Sperre prüfen.
10. Host-Key-Warnung prüfen.
Merksatz:
SSH-Fehler mit Netz,
Port,
Dienst,
Benutzer
und Logs prüfen.
---
**Beispiel: SMB-Freigabe Zugriff verweigert**
Systematische Prüfung:
1. Servername löst korrekt auf?
2. TCP 445 erreichbar?
3. SMB-Dienst läuft?
4. Benutzer korrekt angemeldet?
5. Freigabeberechtigung korrekt?
6. Dateisystemberechtigung korrekt?
7. Gruppenmitgliedschaft korrekt?
8. gespeicherte Anmeldedaten falsch?
9. Datei gesperrt?
10. Logs prüfen.
Merksatz:
SMB-Zugriff braucht Verbindung,
Anmeldung
und Rechte.
---
**Beispiel: E-Mail kommt nicht an**
Systematische Prüfung:
1. Absender erhält Fehlermeldung?
2. MX-Record korrekt?
3. DNS korrekt?
4. SMTP TCP 25 erreichbar?
5. Mailserver zuständig?
6. Spamfilter oder Quarantäne?
7. SPF, DKIM, DMARC korrekt?
8. Postfach voll?
9. TLS-Problem?
10. Mailserver-Logs prüfen.
Merksatz:
Mailfehler mit DNS,
SMTP,
Authentifizierung,
Spamfilter
und Logs prüfen.
---
**Beispiel: VPN verbunden, aber interne Systeme nicht erreichbar**
Systematische Prüfung:
1. VPN-Verbindung wirklich aktiv?
2. VPN-IP erhalten?
3. Route ins interne Netz vorhanden?
4. DNS für interne Namen korrekt?
5. Firewall-Regel VPN → Zielnetz korrekt?
6. Benutzergruppe berechtigt?
7. Split Tunnel korrekt?
8. Zielsystem-Firewall erlaubt?
9. Rückweg korrekt?
10. Logs prüfen.
Merksatz:
VPN braucht Tunnel,
Adresse,
Route,
DNS,
Firewall
und Rechte.
---
**Beispiel: Nur langsam, nicht komplett kaputt**
Bei Performanceproblemen prüft man zusätzlich:
Latenz
Paketverlust
Bandbreite
Duplex
WLAN-Signal
Retransmissions
Serverlast
DNS-Verzögerungen
MTU
Proxy
VPN
Speicher und CPU
Festplatten-I/O
Merksatz:
Langsam ist nicht dasselbe wie nicht erreichbar.
---
**Latenz**
Latenz ist die Verzögerung,
bis Daten ihr Ziel erreichen und eine Antwort zurückkommt.
Hohe Latenz stört besonders:
VoIP
Videokonferenzen
Remote Desktop
Online-Anwendungen
Datenbankzugriffe
interaktive Anwendungen
Merksatz:
Latenz = Verzögerung.
---
**Paketverlust**
Paketverlust bedeutet:
Pakete gehen unterwegs verloren.
Folgen:
Verbindungen werden langsam.
TCP sendet erneut.
Audio oder Video stottert.
VPN wird instabil.
Webseiten laden unvollständig.
Hinweise:
Retransmissions
verlorene Ping-Antworten
Abbrüche
Timeouts
Merksatz:
Paketverlust erzeugt Wiederholungen und Instabilität.
---
**Bandbreite**
Bandbreite beschreibt,
wie viele Daten pro Zeit übertragen werden können.
Geringe Bandbreite führt zu:
langsamen Downloads
ruckelnden Streams
langen Backups
langsamer Dateiübertragung
Engpässen bei vielen Benutzern
Merksatz:
Bandbreite = maximale Datenmenge pro Zeit.
---
**Jitter**
Jitter ist die Schwankung der Verzögerung.
Besonders störend bei:
VoIP
Videokonferenzen
Echtzeitanwendungen
Streaming
Remote-Zugriff
Merksatz:
Jitter = schwankende Latenz.
---
**MTU**
MTU steht für:
Maximum Transmission Unit
MTU beschreibt,
wie groß ein Paket auf einem Übertragungsweg maximal sein darf.
MTU-Probleme können verursachen:
Webseiten laden teilweise.
VPN ist instabil.
große Downloads brechen ab.
kleine Pings funktionieren,
große Pakete nicht.
Merksatz:
MTU-Probleme zeigen sich oft erst bei größeren Paketen.
---
**Fehlerklasse: Erreichbarkeit**
Erreichbarkeitsfehler bedeuten:
Ziel ist gar nicht oder nur teilweise erreichbar.
Prüfen:
Link
IP
Gateway
Routing
Firewall
NAT
Port
Dienst
Merksatz:
Erreichbarkeit zuerst technisch eingrenzen.
---
**Fehlerklasse: Namensauflösung**
Namensauflösungsfehler bedeuten:
Name wird nicht oder falsch aufgelöst.
Prüfen:
DNS-Server
DNS-Record
DNS-Suffix
Split DNS
Cache
A/AAAA
CNAME
MX
interne und externe Antwort
Merksatz:
Name falsch bedeutet oft Ziel falsch.
---
**Fehlerklasse: Authentifizierung**
Authentifizierungsfehler bedeuten:
Identität wird nicht akzeptiert.
Prüfen:
Benutzername
Passwort
MFA
Konto gesperrt
Konto deaktiviert
Zertifikat
Token
Zeit
LDAP/AD/IdP
Merksatz:
Authentifizierung = Wer bist du?
---
**Fehlerklasse: Autorisierung**
Autorisierungsfehler bedeuten:
Identität ist bekannt,
aber Rechte fehlen.
Prüfen:
Gruppen
Rollen
Freigaberechte
Dateisystemrechte
API-Scopes
Richtlinien
Mandant
alte Session
Merksatz:
Autorisierung = Was darfst du?
---
**Fehlerklasse: Anwendung**
Anwendungsfehler bedeuten:
Netzwerkverbindung besteht,
aber der Dienst funktioniert nicht korrekt.
Prüfen:
Logs
Statuscodes
Backend
Datenbank
Konfiguration
Version
Abhängigkeiten
Speicher
CPU
Berechtigungen
Datenformat
Merksatz:
Wenn Netzwerk steht,
aber Dienst fehlerhaft antwortet,
Anwendung prüfen.
---
**Fehlerklasse: Sicherheit**
Sicherheitsmechanismen können Verkehr bewusst blockieren.
Beispiele:
Firewall
IDS/IPS
WAF
Antivirus
EDR
Spamfilter
Proxy
MFA
Conditional Access
Geoblocking
Rate Limiting
Merksatz:
Nicht jede Blockierung ist ein Fehler,
manchmal ist sie gewollt.
---
**Abschluss einer Fehlersuche**
Am Ende sollte klar sein:
Was war die Ursache?
Wie wurde sie nachgewiesen?
Was wurde geändert?
Welche Systeme waren betroffen?
Wie wurde getestet?
Ist die Lösung dauerhaft?
Muss dokumentiert werden?
Muss Monitoring angepasst werden?
Muss Prävention verbessert werden?
Merksatz:
Eine Fehlersuche endet mit Ursache,
Lösung
und Dokumentation.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Warum hilft das OSI-Modell bei der Fehlersuche?
- Was bedeutet Bottom-Up-Fehlersuche?
- Was bedeutet Top-Down-Fehlersuche?
- Was ist Divide and Conquer bei der Fehlersuche?
- Warum muss man Fehler genau eingrenzen?
- Warum reicht „Internet geht nicht“ nicht als Fehlerbeschreibung?
- Welche Schichten prüft man bei fehlender Verbindung?
- Warum prüft man DNS frühzeitig?
- Warum sind Logs wichtig?
- Warum sollte man nicht mehrere Dinge gleichzeitig ändern?
- Was ist ein Workaround?
- Was ist der Unterschied zwischen Authentifizierung und Autorisierung?
- Wie geht man bei einem Webfehler systematisch vor?
- Wie geht man bei DHCP-Problemen systematisch vor?
- Wie geht man bei VPN-Problemen systematisch vor?
---
**Typische Prüfungsfallen**
Nicht sofort die Firewall beschuldigen.
Nicht nur ping testen.
Nicht nur Port testen.
DNS kann viele Fehler verursachen.
DHCP gehört zu Schicht 7,
wirkt aber auf Schicht 3.
Firewall kann mehrere Schichten betreffen.
NAT verändert Adressen und Ports.
Ein einzelner Benutzer deutet oft auf Konto oder Client.
Alle Benutzer deuten eher auf zentrale Infrastruktur.
Intern und extern getrennt prüfen.
WLAN und LAN getrennt prüfen.
Authentifizierung ist nicht Autorisierung.
Workaround ist nicht Ursachenbehebung.
Eine Änderung pro Testschritt.
Nach Änderung zuerst Änderung prüfen.
Logs und Mitschnitt ergänzen sich.
Langsam ist ein anderes Fehlerbild als nicht erreichbar.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| Fehlersuche | systematisches Finden einer Ursache |
| Bottom-Up | von Schicht 1 nach oben prüfen |
| Top-Down | von Anwendung nach unten prüfen |
| Divide and Conquer | Suchbereich durch mittlere Prüfung eingrenzen |
| Vergleichsmethode | funktionierenden und fehlerhaften Fall vergleichen |
| Fehlerbild | beobachtetes Problem |
| Reproduzierbarkeit | Fehler lässt sich gezielt erneut auslösen |
| Hypothese | testbare Vermutung |
| Workaround | vorübergehende Umgehung |
| Ursachenbehebung | eigentliche Ursache beseitigen |
| Rollback | Änderung zurücknehmen |
| Latenz | Verzögerung |
| Paketverlust | Pakete gehen verloren |
| Bandbreite | Datenmenge pro Zeit |
| Jitter | Schwankung der Verzögerung |
| MTU | maximale Paketgröße |
| Authentifizierung | Identität prüfen |
| Autorisierung | Rechte prüfen |
| Log | Ereignisprotokoll |
| Paketmitschnitt | aufgezeichneter Netzwerkverkehr |
---
**IHK-sichere Kurzformulierung**
Das OSI-Modell hilft bei der Netzwerkfehlersuche, weil Fehler systematisch nach Schichten eingegrenzt werden können. Bei der Bottom-Up-Methode beginnt man bei Schicht 1 mit physischer Verbindung und arbeitet sich bis zur Anwendungsschicht hoch. Bei der Top-Down-Methode beginnt man bei der Anwendung und prüft dann nach unten. Wichtig sind eine genaue Fehlerbeschreibung, die Eingrenzung betroffener Benutzer und Systeme, die Prüfung von DNS, DHCP, IP-Konfiguration, Routing, Firewall, NAT, Ports, Diensten, Authentifizierung, Autorisierung und Logs. Messergebnisse sollten dokumentiert werden, und Änderungen sollten einzeln getestet werden. Ein Workaround kann kurzfristig helfen, ersetzt aber nicht die Beseitigung der eigentlichen Ursache.
---
**Merksätze**
OSI-Modell hilft bei Fehlersuche.
Nicht raten,
sondern schrittweise prüfen.
Bottom-Up beginnt bei Schicht 1.
Top-Down beginnt bei der Anwendung.
Divide and Conquer grenzt den Fehlerbereich ein.
Fehlerbild genau aufnehmen.
Einzelner Benutzer:
Konto oder Client prüfen.
Alle Benutzer:
Dienst oder Infrastruktur prüfen.
Intern und extern getrennt prüfen.
WLAN und LAN getrennt prüfen.
DNS früh prüfen.
DHCP mit DORA prüfen.
Firewall mit Quelle,
Ziel,
Port,
Richtung
und Logs prüfen.
NAT vor und nach Übersetzung denken.
Logs zeigen Entscheidungen.
Mitschnitte zeigen Verkehr.
Nach Änderung zuerst Änderung prüfen.
Eine Änderung pro Test.
Workaround ist nicht Ursache.
Langsam ist nicht gleich nicht erreichbar.
Latenz = Verzögerung.
Paketverlust = verlorene Pakete.
Jitter = schwankende Verzögerung.
MTU = maximale Paketgröße.
Authentifizierung = Wer bist du?
Autorisierung = Was darfst du?
Fehlersuche endet mit Ursache,
Lösung
und Dokumentation.
# 12.5 Typische Netzwerkfehler und ihre Ursachen
Netzwerkfehler können auf vielen verschiedenen Schichten entstehen.
Ein sichtbares Problem ist oft nur ein Symptom.
Beispiel:
Webseite öffnet nicht.
Das kann viele Ursachen haben:
- DNS falsch
- Server nicht erreichbar
- Port blockiert
- Zertifikat ungültig
- Webserver down
- Reverse Proxy falsch
- Benutzer nicht berechtigt
Merksatz:
Ein Fehlerbild zeigt nur das Symptom,
nicht automatisch die Ursache.
---
**Warum Fehlerbilder wichtig sind**
Fehlerbilder helfen,
die Suche einzugrenzen.
Man fragt:
Was genau funktioniert nicht?
Was funktioniert noch?
Wer ist betroffen?
Seit wann?
Wurde etwas geändert?
Ist der Fehler dauerhaft oder sporadisch?
Gibt es eine Fehlermeldung?
Je genauer das Fehlerbild,
desto schneller findet man die Ursache.
Merksatz:
Gute Fehlerbeschreibung ist der erste Diagnoseschritt.
---
**Fehlerbild: Kein Netzwerklink**
Typische Anzeichen:
- keine Link-LED
- Netzwerkadapter zeigt getrennt
- Switchport down
- keine Verbindung über Kabel
- keine Pakete sichtbar
- kein DHCP Discover
Mögliche Ursachen:
- Kabel defekt
- Kabel nicht richtig gesteckt
- falscher Port
- Switchport deaktiviert
- Netzwerkkarte deaktiviert
- SFP-Modul defekt
- falsches Glasfasermodul
- Stromversorgung fehlt
Wahrscheinliche Schicht:
Schicht 1
Merksatz:
Kein Link ist meistens ein physisches Problem.
---
**Fehlerbild: Link vorhanden, aber keine IP-Adresse**
Typische Anzeichen:
- Netzwerk verbunden
- aber keine gültige IP-Adresse
- Windows zeigt 169.254.x.x
- DHCP schlägt fehl
- keine Verbindung zum Gateway
- Client meldet eingeschränkte Konnektivität
Mögliche Ursachen:
- DHCP-Server nicht erreichbar
- DHCP-Scope voll
- DHCP-Relay fehlt
- falsches VLAN
- Firewall blockiert UDP 67/68
- Switchport falsch konfiguriert
- Client im falschen Netz
- DHCP-Dienst gestoppt
Wahrscheinliche Schichten:
Schicht 2
Schicht 3
Schicht 7 wegen DHCP
Merksatz:
169.254.x.x deutet häufig auf DHCP-Probleme hin.
---
**Fehlerbild: Falsche IP-Adresse**
Typische Anzeichen:
- Client hat IP aus falschem Netz
- Gateway passt nicht
- DNS passt nicht
- Zugriff auf interne Dienste funktioniert nicht
- nur manche Dienste erreichbar
Mögliche Ursachen:
- falsches VLAN
- falscher DHCP-Scope
- Rogue-DHCP-Server
- statische IP falsch gesetzt
- falsches WLAN
- falsche Netzwerkdose
- DHCP-Reservierung falsch
Wahrscheinliche Schichten:
Schicht 2
Schicht 3
Schicht 7 wegen DHCP
Merksatz:
Falsche IP bedeutet oft:
falsches Netz oder falsche DHCP-Konfiguration.
---
**Fehlerbild: Gateway nicht erreichbar**
Typische Anzeichen:
- lokale IP vorhanden
- andere Geräte im Netz eventuell erreichbar
- Internet nicht erreichbar
- Ping zum Gateway schlägt fehl
- Routing funktioniert nicht
Mögliche Ursachen:
- falsches Gateway eingetragen
- Gateway offline
- VLAN falsch
- falsche Netzmaske
- ARP funktioniert nicht
- Firewall blockiert ICMP
- Switchport im falschen VLAN
- IP-Konflikt
Wahrscheinliche Schichten:
Schicht 2
Schicht 3
Merksatz:
Ohne Gateway keine Kommunikation in andere Netze.
---
**Fehlerbild: Lokales Netz funktioniert, Internet nicht**
Typische Anzeichen:
- interne Server erreichbar
- Gateway erreichbar
- externe Webseiten nicht erreichbar
- DNS oder Routing auffällig
- nur Internetzugriff betroffen
Mögliche Ursachen:
- Standardroute fehlt
- Internetrouter down
- Firewall blockiert WAN
- DNS falsch
- NAT funktioniert nicht
- Providerstörung
- Proxy falsch
- VPN verändert Routing
- öffentliche Verbindung gestört
Wahrscheinliche Schichten:
Schicht 3
Schicht 4
Schicht 7
Merksatz:
Intern geht,
extern nicht:
Gateway,
DNS,
NAT
und Provider prüfen.
---
**Fehlerbild: IP funktioniert, Name nicht**
Typische Anzeichen:
- Zugriff per IP funktioniert
- Zugriff per DNS-Name funktioniert nicht
- Browser meldet DNS-Fehler
- nslookup liefert keine oder falsche Antwort
- nur bestimmte Namen betroffen
Mögliche Ursachen:
- falscher DNS-Server
- DNS-Eintrag fehlt
- DNS-Eintrag zeigt falsch
- DNS-Cache veraltet
- Split DNS falsch
- Suchsuffix falsch
- interne Zone fehlt
- IPv6-Record zeigt auf falsches Ziel
Wahrscheinliche Schicht:
Schicht 7 wegen DNS
Merksatz:
IP geht,
Name nicht:
DNS prüfen.
---
**Fehlerbild: Name löst auf falsche IP auf**
Typische Anzeichen:
- DNS liefert Antwort
- aber falscher Server wird erreicht
- falsches Zertifikat erscheint
- falsche Webseite wird angezeigt
- intern und extern unterschiedliche Ergebnisse
Mögliche Ursachen:
- falscher A-Record
- falscher AAAA-Record
- falscher CNAME
- Split DNS falsch
- DNS-Cache alt
- falscher DNS-Server
- alte öffentliche IP
- interne Zone überschreibt externe Zone
Wahrscheinliche Schicht:
Schicht 7
Merksatz:
Falsche DNS-Antwort führt zum falschen Ziel.
---
**Fehlerbild: Ping funktioniert, Dienst nicht**
Typische Anzeichen:
- Ziel antwortet auf Ping
- aber Webseite, SSH, SMB oder RDP funktioniert nicht
- Porttest schlägt fehl
- Anwendung meldet Verbindungsfehler
Mögliche Ursachen:
- Dienst läuft nicht
- Port blockiert
- Host-Firewall blockiert
- zentrale Firewall blockiert
- Dienst lauscht auf falscher IP
- falscher Port
- falsches Protokoll
- Anwendung falsch konfiguriert
Wahrscheinliche Schichten:
Schicht 4
Schicht 7
Merksatz:
Ping beweist nicht,
dass ein Dienst funktioniert.
---
**Fehlerbild: Port offen, Anwendung funktioniert nicht**
Typische Anzeichen:
- Porttest erfolgreich
- TCP-Verbindung möglich
- aber Anwendung liefert Fehler
- HTTP 500 oder 502
- Login schlägt fehl
- API antwortet mit Fehler
- Dienst bricht Verbindung ab
Mögliche Ursachen:
- Anwendung defekt
- Backend nicht erreichbar
- Datenbankfehler
- falsche Konfiguration
- Authentifizierungsproblem
- Berechtigung fehlt
- falsches Datenformat
- Zertifikatsproblem
- Reverse Proxy falsch
Wahrscheinliche Schichten:
Schicht 5
Schicht 6
Schicht 7
Merksatz:
Offener Port ist nur Verbindung,
nicht Anwendungserfolg.
---
**Fehlerbild: Timeout**
Timeout bedeutet:
Es kommt keine Antwort innerhalb der erwarteten Zeit.
Typische Anzeichen:
- Verbindung hängt
- Browser lädt lange
- SSH wartet und bricht ab
- Porttest läuft ins Timeout
- SYN-Wiederholungen im Mitschnitt
Mögliche Ursachen:
- Firewall droppt Pakete
- Ziel nicht erreichbar
- Routingproblem
- Rückweg fehlt
- Dienst antwortet nicht
- falsche IP
- NAT falsch
- Provider blockiert
Wahrscheinliche Schichten:
Schicht 3
Schicht 4
Schicht 7
Merksatz:
Timeout bedeutet meistens:
keine passende Antwort kommt zurück.
---
**Fehlerbild: Connection Refused**
Connection Refused bedeutet:
Das Zielsystem lehnt die Verbindung aktiv ab.
Typische Anzeichen:
- schnelle Fehlermeldung
- TCP RST im Mitschnitt
- Host erreichbar
- Port nimmt keine Verbindung an
Mögliche Ursachen:
- Dienst läuft nicht
- falscher Port
- Dienst lauscht nur auf localhost
- Host-Firewall lehnt aktiv ab
- Anwendung nimmt keine Verbindung an
- Dienst wurde gestoppt
Wahrscheinliche Schichten:
Schicht 4
Schicht 7
Merksatz:
Connection Refused heißt:
Ziel erreichbar,
aber Dienst nimmt nicht an.
---
**Fehlerbild: Zugriff verweigert**
Typische Anzeichen:
- Anmeldung möglich
- aber Ressource nicht zugänglich
- HTTP 403
- SMB Zugriff verweigert
- API meldet Forbidden
- Anwendung zeigt keine Daten
Mögliche Ursachen:
- Gruppe fehlt
- Rolle fehlt
- Freigaberecht fehlt
- Dateisystemrecht fehlt
- API-Scope fehlt
- falscher Mandant
- Richtlinie blockiert
- alte Session
- Benutzer nicht autorisiert
Wahrscheinliche Schicht:
Schicht 7
Merksatz:
Zugriff verweigert ist meistens ein Autorisierungsproblem.
---
**Fehlerbild: Anmeldung schlägt fehl**
Typische Anzeichen:
- Login nicht möglich
- HTTP 401
- falsche Zugangsdaten
- MFA schlägt fehl
- LDAP-Bind schlägt fehl
- Kerberos-Fehler
- Konto gesperrt
Mögliche Ursachen:
- Benutzername falsch
- Passwort falsch
- Konto gesperrt
- Konto deaktiviert
- Passwort abgelaufen
- MFA nicht eingerichtet
- Zeitabweichung
- LDAP oder AD nicht erreichbar
- falscher Identity Provider
Wahrscheinliche Schicht:
Schicht 7
Merksatz:
Anmeldung fehlgeschlagen:
Authentifizierung prüfen.
---
**Fehlerbild: Zertifikatswarnung**
Typische Anzeichen:
- Browser warnt vor Zertifikat
- Mailclient meldet Zertifikatsfehler
- LDAPS oder HTTPS funktioniert nicht
- Name passt nicht
- Zertifikat abgelaufen
- CA nicht vertrauenswürdig
Mögliche Ursachen:
- Zertifikat abgelaufen
- falscher Hostname
- falsches Zertifikat
- Zwischenzertifikat fehlt
- Systemzeit falsch
- interne CA nicht vertraut
- DNS zeigt auf falschen Server
- Reverse Proxy liefert falsches Zertifikat
Wahrscheinliche Schichten:
Schicht 6
Schicht 7
Merksatz:
Zertifikatsfehler mit Name,
Zeit,
CA
und DNS prüfen.
---
**Fehlerbild: Webseite zeigt 404**
404 bedeutet:
Ressource nicht gefunden.
Typische Ursachen:
- falsche URL
- falscher Pfad
- Route fehlt
- Datei fehlt
- Reverse Proxy leitet falsch
- Anwendung erwartet anderen Basis-Pfad
- falscher virtueller Host
Wahrscheinliche Schicht:
Schicht 7
Merksatz:
404 bedeutet:
Unter diesem Pfad wurde nichts gefunden.
---
**Fehlerbild: Webseite zeigt 500**
500 bedeutet:
interner Serverfehler.
Typische Ursachen:
- Fehler in Anwendung
- Datenbank nicht erreichbar
- Konfiguration falsch
- fehlende Rechte
- Anwendung abgestürzt
- Speicherproblem
- Backendfehler
- Abhängigkeit fehlt
Wahrscheinliche Schicht:
Schicht 7
Merksatz:
500 ist meist ein Problem der Anwendung oder des Servers.
---
**Fehlerbild: Webseite zeigt 502**
502 bedeutet:
Bad Gateway
Typisch bei Reverse Proxys.
Mögliche Ursachen:
- Backend nicht erreichbar
- Backend läuft nicht
- falscher Backend-Port
- falsches Backend-Protokoll
- DNS zum Backend falsch
- Firewall blockiert Proxy zu Backend
- Backend antwortet ungültig
Wahrscheinliche Schicht:
Schicht 7
Merksatz:
502 bedeutet oft:
Proxy erreicht Backend nicht korrekt.
---
**Fehlerbild: Webseite zeigt 503**
503 bedeutet:
Dienst nicht verfügbar.
Mögliche Ursachen:
- Dienst gestoppt
- Wartungsmodus
- Server überlastet
- Backend nicht verfügbar
- Ressourcenmangel
- Anwendung startet gerade
- Load Balancer hat keine gesunden Backends
Wahrscheinliche Schicht:
Schicht 7
Merksatz:
503 bedeutet:
Dienst ist aktuell nicht verfügbar.
---
**Fehlerbild: Webseite zeigt 504**
504 bedeutet:
Gateway Timeout
Typisch:
Proxy oder Gateway wartet zu lange auf Antwort vom Backend.
Mögliche Ursachen:
- Backend zu langsam
- Backend hängt
- Firewall blockiert Rückweg
- Datenbank langsam
- Timeout zu kurz
- Netzwerkproblem zwischen Proxy und Backend
Wahrscheinliche Schichten:
Schicht 4
Schicht 7
Merksatz:
504 bedeutet:
Gateway wartet vergeblich auf Backend-Antwort.
---
**Fehlerbild: Mail kommt nicht an**
Typische Anzeichen:
- Absender erhält Bounce
- Empfänger sieht keine Mail
- Mail landet im Spam
- Mail verzögert sich
- SMTP-Fehler
- NDR wird erzeugt
Mögliche Ursachen:
- MX-Record falsch
- SMTP-Port blockiert
- Mailserver nicht zuständig
- Spamfilter blockiert
- SPF, DKIM oder DMARC falsch
- Postfach voll
- Domain falsch
- TLS-Problem
- Blacklisting
Wahrscheinliche Schicht:
Schicht 7
Merksatz:
Mailfehler mit DNS,
SMTP,
Spamfilter
und Logs prüfen.
---
**Fehlerbild: SMB-Freigabe nicht erreichbar**
Typische Anzeichen:
- Netzlaufwerk verbindet nicht
- `\\server\freigabe` funktioniert nicht
- Zugriff verweigert
- Freigabe nicht gefunden
- Benutzer sieht Netzlaufwerk nicht
Mögliche Ursachen:
- DNS-Name falsch
- TCP 445 blockiert
- SMB-Dienst läuft nicht
- Freigabe existiert nicht
- Benutzer nicht berechtigt
- Freigabe- oder Dateisystemrechte falsch
- gespeicherte Zugangsdaten falsch
- SMB-Version inkompatibel
Wahrscheinliche Schichten:
Schicht 4
Schicht 7
Merksatz:
SMB-Probleme mit Name,
Port,
Dienst
und Rechten prüfen.
---
**Fehlerbild: VPN verbunden, aber keine internen Dienste**
Typische Anzeichen:
- VPN zeigt verbunden
- interne Server nicht erreichbar
- DNS intern funktioniert nicht
- nur Internet geht
- bestimmte Netze fehlen
Mögliche Ursachen:
- Route fehlt
- Split Tunnel falsch
- interne DNS-Server fehlen
- Firewall-Regel VPN → LAN fehlt
- Benutzergruppe nicht berechtigt
- Rückweg fehlt
- Zielserver-Firewall blockiert
- falscher VPN-Adresspool
Wahrscheinliche Schichten:
Schicht 3
Schicht 4
Schicht 7
Merksatz:
VPN verbunden heißt nicht automatisch:
interne Ressourcen erlaubt.
---
**Fehlerbild: Nur manche Webseiten gehen nicht**
Typische Anzeichen:
- viele Webseiten funktionieren
- einzelne Seiten nicht
- bestimmte Domains nicht erreichbar
- Zertifikatsfehler nur bei bestimmten Seiten
- DNS oder Proxy auffällig
Mögliche Ursachen:
- DNS-Problem für bestimmte Domain
- Proxy blockiert
- Firewall-Kategorie blockiert
- Zertifikatsproblem
- IPv6-Problem
- MTU-Problem
- CDN-Störung
- Geoblocking
- Browsercache
- HSTS-Problem
Wahrscheinliche Schichten:
Schicht 3
Schicht 6
Schicht 7
Merksatz:
Einzelne Webseiten betroffen:
DNS,
Proxy,
Zertifikat
und IPv6 prüfen.
---
**Fehlerbild: Verbindung ist langsam**
Typische Anzeichen:
- Webseiten laden langsam
- Downloads langsam
- RDP verzögert
- VoIP stockt
- Dateiübertragung langsam
- Anwendungen reagieren träge
Mögliche Ursachen:
- hohe Latenz
- Paketverlust
- geringe Bandbreite
- WLAN-Störung
- Duplexproblem
- überlasteter Server
- überlastete Firewall
- DNS-Verzögerung
- VPN-Overhead
- MTU-Problem
Wahrscheinliche Schichten:
alle Schichten möglich
Merksatz:
Langsam ist ein eigenes Fehlerbild,
nicht einfach „geht nicht“.
---
**Fehlerbild: Verbindung bricht sporadisch ab**
Typische Anzeichen:
- Verbindung funktioniert zeitweise
- SSH bricht ab
- VPN trennt sich
- WLAN verliert Verbindung
- RDP friert ein
- Downloads brechen ab
Mögliche Ursachen:
- WLAN-Störungen
- Paketverlust
- DHCP-Lease-Probleme
- instabile Leitung
- MTU-Problem
- Firewall-Timeout
- NAT-Timeout
- Serverüberlastung
- Energieoptionen am Client
- Roaming-Probleme
Wahrscheinliche Schichten:
Schicht 1 bis 7 möglich
Merksatz:
Sporadische Fehler brauchen Zeitbezug,
Logs
und Monitoring.
---
**Fehlerbild: Nur große Dateien oder große Webseiten brechen ab**
Typische Anzeichen:
- kleine Webseiten gehen
- große Downloads brechen ab
- VPN instabil
- Uploads hängen
- TLS-Verbindung startet,
hängt aber später
Mögliche Ursachen:
- MTU-Problem
- Fragmentierung blockiert
- Paketverlust
- Proxy-Timeout
- Firewall-Timeout
- Upload-Limit
- Speicherproblem
- schlechte Verbindung
Wahrscheinliche Schichten:
Schicht 3
Schicht 4
Schicht 6
Schicht 7
Merksatz:
Kleine Daten gehen,
große nicht:
MTU und Paketverlust prüfen.
---
**Fehlerbild: Nur ein VLAN hat Probleme**
Typische Anzeichen:
- andere Netze funktionieren
- ein Standort oder Netzsegment betroffen
- DHCP nur dort gestört
- Gateway nur dort nicht erreichbar
- bestimmtes WLAN betroffen
Mögliche Ursachen:
- VLAN-ID falsch
- Trunk lässt VLAN nicht durch
- Access-Port falsch
- DHCP-Scope falsch
- DHCP-Relay fehlt
- Gateway des VLANs down
- Firewall-Regel für VLAN fehlt
- Routing für VLAN fehlt
Wahrscheinliche Schichten:
Schicht 2
Schicht 3
Merksatz:
Ein VLAN betroffen:
VLAN,
Gateway,
DHCP
und Routing prüfen.
---
**Fehlerbild: Nur ein Standort hat Probleme**
Typische Anzeichen:
- andere Standorte funktionieren
- WAN-Verbindung langsam oder down
- lokale Dienste funktionieren,
zentrale Dienste nicht
- VPN oder MPLS gestört
Mögliche Ursachen:
- Standortleitung gestört
- Router down
- VPN-Tunnel down
- Routingproblem
- DNS lokal falsch
- lokale Firewall blockiert
- Bandbreite ausgelastet
- Providerstörung
Wahrscheinliche Schichten:
Schicht 1 bis 4
Merksatz:
Ein Standort betroffen:
WAN,
Router,
VPN,
DNS
und lokale Infrastruktur prüfen.
---
**Fehlerbild: Nur ein Benutzer hat Probleme**
Typische Anzeichen:
- andere Benutzer am gleichen Gerät funktionieren
- Benutzer kann sich nicht anmelden
- bestimmte Berechtigungen fehlen
- Benutzer sieht Daten nicht
- MFA funktioniert nicht
Mögliche Ursachen:
- Passwort falsch
- Konto gesperrt
- Gruppenmitgliedschaft fehlt
- Rolle fehlt
- Profilproblem
- MFA falsch eingerichtet
- Lizenz fehlt
- gespeicherte Zugangsdaten falsch
- Session alt
Wahrscheinliche Schicht:
Schicht 7
Merksatz:
Einzelner Benutzer:
Konto,
Rechte
und Profil prüfen.
---
**Fehlerbild: Nur ein Client hat Probleme**
Typische Anzeichen:
- andere Clients funktionieren
- gleicher Benutzer auf anderem Gerät funktioniert
- lokaler Browserfehler
- lokales Netzwerkproblem
- falsche IP oder DNS nur auf diesem Client
Mögliche Ursachen:
- falsche IP-Konfiguration
- falscher DNS
- lokale Firewall
- Proxy-Einstellungen
- VPN aktiv oder falsch
- Zertifikatsspeicher
- Browsercache
- Malware oder Sicherheitssoftware
- Treiberproblem
- defektes Kabel oder WLAN
Wahrscheinliche Schichten:
Schicht 1 bis 7
Merksatz:
Einzelner Client:
lokale Konfiguration prüfen.
---
**Fehlerbild: Alle Benutzer haben Probleme**
Typische Anzeichen:
- mehrere Clients betroffen
- Dienst generell nicht erreichbar
- zentrale Anwendung gestört
- viele Tickets gleichzeitig
- Monitoring schlägt an
Mögliche Ursachen:
- Server down
- DNS-Störung
- DHCP-Störung
- Firewall-Änderung
- Zertifikat abgelaufen
- Datenbank down
- Providerstörung
- zentrales Update fehlerhaft
- Authentifizierungsdienst gestört
Wahrscheinliche Schichten:
zentrale Infrastruktur oder Dienst
Merksatz:
Alle betroffen:
zentralen Dienst und Infrastruktur prüfen.
---
**Fehlerbild: Nach Update funktioniert Dienst nicht**
Typische Anzeichen:
- Fehler begann direkt nach Update
- Anwendung startet nicht
- neue Fehlermeldung
- alte Konfiguration nicht kompatibel
- Abhängigkeiten fehlen
Mögliche Ursachen:
- Versionskonflikt
- geänderte Konfigurationsoption
- Dienst startet nicht
- Rechte geändert
- Datenbankmigration fehlgeschlagen
- Zertifikat oder TLS geändert
- Firewall- oder Portänderung
- Cacheproblem
Wahrscheinliche Schicht:
meist Schicht 7,
teilweise Schicht 4 bis 6
Merksatz:
Nach Update zuerst Update,
Logs
und Kompatibilität prüfen.
---
**Fehlerbild: Nach Firewall-Änderung funktioniert Dienst nicht**
Typische Anzeichen:
- Fehler direkt nach Regeländerung
- bestimmte Verbindungen blockiert
- nur bestimmte Richtung betroffen
- Firewall-Logs zeigen Drops
Mögliche Ursachen:
- falsche Regelreihenfolge
- falsche Quelle
- falsches Ziel
- falscher Port
- TCP/UDP verwechselt
- falsche Zone
- NAT vergessen
- Rückweg blockiert
- temporäre Regel entfernt
Wahrscheinliche Schicht:
Schicht 3 / 4,
je nach Firewall auch Schicht 7
Merksatz:
Nach Firewall-Änderung:
Regel,
Richtung,
NAT
und Logs prüfen.
---
**Fehlerbild: Nach DNS-Änderung falsches Ziel**
Typische Anzeichen:
- einige Clients erreichen neues Ziel
- andere noch altes Ziel
- Zertifikat passt nicht
- falscher Server antwortet
- interne und externe Antwort unterschiedlich
Mögliche Ursachen:
- DNS-Cache
- TTL noch aktiv
- falscher Record geändert
- Split DNS vergessen
- CNAME zeigt falsch
- alter Record existiert noch
- Client nutzt anderen DNS-Server
Wahrscheinliche Schicht:
Schicht 7
Merksatz:
Nach DNS-Änderung:
Cache,
TTL
und richtigen DNS-Server prüfen.
---
**Fehlerbild: Nach Zertifikatserneuerung Fehler**
Typische Anzeichen:
- Browser warnt
- TLS-Handshake scheitert
- App verbindet nicht mehr
- Reverse Proxy liefert altes Zertifikat
- Zwischenzertifikat fehlt
Mögliche Ursachen:
- falsches Zertifikat installiert
- Zertifikatskette unvollständig
- privater Schlüssel passt nicht
- Dienst nicht neu geladen
- SNI falsch
- Zertifikat enthält Namen nicht
- Client vertraut CA nicht
Wahrscheinliche Schichten:
Schicht 6
Schicht 7
Merksatz:
Zertifikatserneuerung braucht richtigen Namen,
Schlüssel,
Kette
und Dienstreload.
---
**Fehlerbild: Nach VLAN-Änderung keine Verbindung**
Typische Anzeichen:
- Client bekommt falsche oder keine IP
- Gateway nicht erreichbar
- bestimmter Switchport betroffen
- WLAN-SSID betroffen
- nur ein Netzsegment betroffen
Mögliche Ursachen:
- Access-Port falsches VLAN
- Trunk erlaubt VLAN nicht
- Native VLAN falsch
- DHCP-Relay fehlt
- Gateway für VLAN fehlt
- Firewall-Regel für neues VLAN fehlt
- Routing fehlt
Wahrscheinliche Schichten:
Schicht 2
Schicht 3
Merksatz:
Nach VLAN-Änderung:
VLAN-Zuordnung,
Trunk,
Gateway
und DHCP prüfen.
---
**Fehlerbild: Nach Passwortänderung Anwendung kaputt**
Typische Anzeichen:
- Dienst startet nicht
- Anwendung kann Datenbank nicht erreichen
- LDAP-Bind schlägt fehl
- API-Zugriff schlägt fehl
- wiederholte Loginfehler im Log
Mögliche Ursachen:
- Dienstkonto-Passwort geändert
- Passwort nicht in Anwendung aktualisiert
- Konto gesperrt
- Secret falsch hinterlegt
- Token abgelaufen
- alte Session ungültig
- gespeicherte Zugangsdaten falsch
Wahrscheinliche Schicht:
Schicht 7
Merksatz:
Dienstkonten und gespeicherte Secrets bei Passwortänderungen beachten.
---
**Erste Einordnung nach Fehlermeldung**
| Fehlermeldung | erste Richtung |
|---|---|
| Kein Netzwerk | Schicht 1 bis 3 |
| DNS-Name nicht gefunden | DNS |
| Zeitüberschreitung | Routing, Firewall, Rückweg, Dienst |
| Verbindung abgelehnt | Dienst oder Host-Firewall |
| 401 Unauthorized | Authentifizierung |
| 403 Forbidden | Autorisierung |
| 404 Not Found | falscher Pfad oder Ressource fehlt |
| 500 Internal Server Error | Anwendung oder Backend |
| 502 Bad Gateway | Reverse Proxy oder Backend |
| Zertifikat ungültig | TLS, DNS, Zeit oder CA |
| Zugriff verweigert | Rechte |
Merksatz:
Fehlermeldung gibt Richtung,
aber ersetzt keine Prüfung.
---
**Erste Einordnung nach betroffener Menge**
| Betroffen | wahrscheinliche Richtung |
|---|---|
| ein Benutzer | Konto, Rechte, MFA, Profil |
| ein Client | lokale Konfiguration |
| ein Raum | Switch, WLAN, VLAN |
| ein VLAN | VLAN, DHCP, Gateway, Firewall |
| ein Standort | WAN, Router, Provider, VPN |
| alle Benutzer | zentraler Dienst oder Infrastruktur |
| nur extern | DNS extern, NAT, Firewall, Provider |
| nur intern | DNS intern, Routing, Hairpin NAT, Firewall |
Merksatz:
Betroffene Menge hilft,
die Fehlerstelle einzugrenzen.
---
**Erste Einordnung nach Änderung**
| Letzte Änderung | zuerst prüfen |
|---|---|
| Firewall-Regel | Quelle, Ziel, Port, Richtung, Logs |
| NAT-Regel | öffentliche IP, Ziel, Port, Protokoll |
| DNS-Eintrag | Record, TTL, Cache, interner/externer DNS |
| Zertifikat | Name, Kette, Schlüssel, Dienstreload |
| VLAN | Access, Trunk, Gateway, DHCP |
| Update | Logs, Version, Konfiguration, Abhängigkeiten |
| Passwort | Dienstkonto, Secret, Sperrung |
| VPN | Route, DNS, Benutzergruppe, Firewall |
| Rechte | Gruppen, Rollen, ACLs, Session |
Merksatz:
Die letzte Änderung ist oft der wichtigste Hinweis.
---
**Was man vermeiden sollte**
Nicht vorschnell:
Firewall ausschalten
alle Ports öffnen
Any-Any erlauben
Rechte auf Vollzugriff setzen
Zertifikatswarnungen ignorieren
DNS wild ändern
mehrere Dinge gleichzeitig ändern
Logs ignorieren
Fehlermeldung nur überfliegen
Workaround als Lösung stehen lassen
Merksatz:
Schnelle unsaubere Änderungen erzeugen neue Probleme.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Warum ist ein Fehlerbild nur ein Symptom?
- Was deutet auf ein DHCP-Problem hin?
- Was bedeutet 169.254.x.x?
- Warum reicht Ping nicht als Dienstprüfung?
- Was bedeutet Timeout?
- Was bedeutet Connection Refused?
- Was bedeutet HTTP 401?
- Was bedeutet HTTP 403?
- Was bedeutet HTTP 404?
- Was bedeutet HTTP 500?
- Was bedeutet HTTP 502?
- Warum kann DNS wie ein Firewallproblem wirken?
- Warum kann ein Zertifikatsfehler durch DNS entstehen?
- Wie grenzt man Fehler nach betroffenen Benutzern ein?
- Warum ist die letzte Änderung wichtig?
---
**Typische Prüfungsfallen**
Symptom ist nicht Ursache.
169.254.x.x deutet auf DHCP-Problem.
Ping reicht nicht für Dienstprüfung.
Port offen reicht nicht für Anwendungserfolg.
Timeout und Connection Refused unterscheiden.
401 ist Authentifizierung.
403 ist Autorisierung.
404 ist Ressource oder Pfad.
500 ist Anwendung oder Server.
502 ist häufig Proxy zu Backend.
DNS früh prüfen.
Zertifikat hängt mit Name,
Zeit
und Vertrauen zusammen.
Einzelner Benutzer bedeutet oft Konto oder Rechte.
Alle Benutzer bedeutet eher Infrastruktur.
Nur intern oder nur extern getrennt prüfen.
Letzte Änderung zuerst prüfen.
Nicht mehrere Dinge gleichzeitig ändern.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| Fehlerbild | sichtbares Symptom eines Problems |
| Ursache | eigentlicher technischer Grund |
| Symptom | beobachtbare Auswirkung |
| Timeout | keine Antwort innerhalb der Zeit |
| Connection Refused | Ziel lehnt aktiv ab |
| APIPA | automatische 169.254.x.x-Adresse |
| NXDOMAIN | DNS-Name existiert nicht |
| HTTP 401 | nicht authentifiziert |
| HTTP 403 | nicht berechtigt |
| HTTP 404 | nicht gefunden |
| HTTP 500 | interner Serverfehler |
| HTTP 502 | Bad Gateway |
| Rückweg | Antwortweg zurück zur Quelle |
| Split DNS | intern und extern unterschiedliche DNS-Antwort |
| Hairpin NAT | interner Zugriff über öffentliche Adresse |
| Rogue DHCP | unerwünschter DHCP-Server |
| Dienstkonto | Konto für Anwendung oder Dienst |
| Workaround | vorübergehende Umgehung |
| Root Cause | eigentliche Ursache |
---
**IHK-sichere Kurzformulierung**
Typische Netzwerkfehler müssen anhand ihres Fehlerbildes systematisch eingeordnet werden. Ein Symptom wie „Webseite öffnet nicht“ kann Ursachen auf verschiedenen OSI-Schichten haben, zum Beispiel DNS, Routing, Firewall, Port, TLS, Anwendung oder Berechtigung. Eine Adresse aus dem Bereich 169.254.0.0/16 deutet häufig auf ein DHCP-Problem hin. Ein erfolgreicher Ping beweist nicht, dass ein Dienst funktioniert, und ein offener Port beweist nicht, dass die Anwendung korrekt arbeitet. Timeout, Connection Refused, HTTP-Statuscodes, Zertifikatswarnungen und Zugriff-verweigert-Meldungen geben Hinweise auf die Fehlerursache, müssen aber durch Tests, Logs und Konfigurationsprüfung bestätigt werden.
---
**Merksätze**
Fehlerbild ist Symptom,
nicht Ursache.
Gute Fehlerbeschreibung spart Zeit.
Kein Link:
Schicht 1 prüfen.
169.254.x.x:
DHCP prüfen.
Gateway nicht erreichbar:
Schicht 2 und 3 prüfen.
IP geht,
Name nicht:
DNS prüfen.
Ping geht,
Dienst nicht:
Port,
Firewall
und Dienst prüfen.
Port offen,
Anwendung kaputt:
Schicht 7 prüfen.
Timeout:
keine passende Antwort.
Connection Refused:
Ziel lehnt aktiv ab.
Zugriff verweigert:
Autorisierung prüfen.
Login fehlgeschlagen:
Authentifizierung prüfen.
Zertifikatsfehler:
Name,
Zeit,
CA
und DNS prüfen.
404:
Pfad oder Ressource fehlt.
500:
Anwendung oder Serverproblem.
502:
Proxy erreicht Backend nicht sauber.
503:
Dienst nicht verfügbar.
504:
Gateway wartet zu lange.
Mailfehler:
DNS,
SMTP
und Logs prüfen.
SMB-Fehler:
TCP 445,
Anmeldung
und Rechte prüfen.
VPN verbunden heißt nicht:
Zugriff erlaubt.
Langsam ist nicht gleich nicht erreichbar.
Kleine Daten gehen,
große nicht:
MTU prüfen.
Ein Benutzer:
Konto und Rechte prüfen.
Ein Client:
lokale Konfiguration prüfen.
Alle Benutzer:
zentrale Infrastruktur prüfen.
Letzte Änderung zuerst prüfen.
# 12.6 Logauswertung, Monitoring und Dokumentation bei Netzwerkfehlern
Logs und Monitoring sind wichtige Hilfsmittel bei der Fehlersuche.
Ein Paketmitschnitt zeigt,
welche Pakete übertragen werden.
Logs zeigen,
was Systeme,
Dienste,
Firewalls
und Anwendungen entschieden oder gemeldet haben.
Monitoring zeigt,
ob Systeme und Dienste dauerhaft verfügbar und leistungsfähig sind.
Merksatz:
Mitschnitt zeigt Verkehr.
Logs zeigen Ereignisse.
Monitoring zeigt Zustand über Zeit.
---
**Warum Logs wichtig sind**
Viele Fehler sind ohne Logs schwer zu verstehen.
Beispiele:
Benutzer kann sich nicht anmelden.
Firewall blockiert Verbindung.
Webserver liefert HTTP 500.
Datenbank lehnt Verbindung ab.
Zertifikat wird abgelehnt.
VPN-Verbindung wird getrennt.
DHCP vergibt keine Adresse.
DNS liefert falsche Antwort.
Ohne Logs sieht man oft nur das Symptom.
Merksatz:
Logs liefern Hinweise auf die Ursache.
---
**Was ist ein Log?**
Ein Log ist ein Ereignisprotokoll.
Darin steht,
was ein System oder Dienst festgestellt hat.
Typische Angaben:
- Zeitpunkt
- Quelle
- Ziel
- Benutzer
- Dienst
- Aktion
- Fehlercode
- Meldung
- Schweregrad
- betroffene Komponente
Merksatz:
Ein Log ist ein technisches Ereignistagebuch.
---
**Typische Logquellen**
Wichtige Logquellen in Netzwerken:
- Firewall-Logs
- Router-Logs
- Switch-Logs
- DNS-Logs
- DHCP-Logs
- VPN-Logs
- Webserver-Logs
- Reverse-Proxy-Logs
- Authentifizierungslogs
- Mailserver-Logs
- Datenbank-Logs
- Betriebssystem-Logs
- Anwendungslogs
- Cloud-Logs
- Monitoring-Alarme
Merksatz:
Die richtige Logquelle hängt vom Fehlerbild ab.
---
**Firewall-Logs**
Firewall-Logs zeigen,
ob Verkehr erlaubt oder blockiert wurde.
Wichtige Informationen:
- Quelle
- Ziel
- Quellport
- Zielport
- Protokoll
- Aktion
- Regelname
- Interface
- Zone
- NAT-Übersetzung
- Zeit
Beispiele für Aktionen:
allow
deny
drop
reject
Merksatz:
Firewall-Logs zeigen,
welche Regel wirklich gegriffen hat.
---
**Firewall-Log richtig lesen**
Bei Firewall-Logs prüft man:
Kommt der Verkehr an der Firewall an?
Welche Quelle sieht die Firewall?
Welches Ziel sieht die Firewall?
Welcher Port wird genutzt?
TCP oder UDP?
Wird erlaubt oder blockiert?
Welche Regel trifft?
Ist NAT sichtbar?
Gibt es Rückverkehr?
Merksatz:
Nicht die gedachte Regel zählt,
sondern die tatsächlich getroffene Regel.
---
**Keine Firewall-Logs sichtbar**
Wenn kein passender Logeintrag sichtbar ist,
kann das bedeuten:
Verkehr kommt gar nicht bei der Firewall an.
falsche Firewall wird geprüft.
falsches Interface wird geprüft.
Logging ist deaktiviert.
DNS zeigt auf ein anderes Ziel.
Route geht anderen Weg.
Client sendet keine Anfrage.
vorgeschaltetes Gerät blockiert.
Zeitfilter ist falsch gesetzt.
Merksatz:
Kein Log heißt nicht automatisch:
Firewall ist unschuldig.
---
**Router-Logs**
Router-Logs helfen bei:
Routingproblemen
Verbindungsabbrüchen
WAN-Störungen
VPN-Tunneln
Interface-Fehlern
Nachbarschaftsproblemen
Routing-Protokollen
Typische Hinweise:
Interface up/down
Route geändert
Tunnel down
Paket verworfen
Gateway nicht erreichbar
Merksatz:
Router-Logs zeigen Wege und Verbindungszustände.
---
**Switch-Logs**
Switch-Logs sind wichtig für Schicht 2.
Sie zeigen zum Beispiel:
Port up/down
VLAN-Fehler
STP-Änderungen
Loop-Erkennung
Port-Security-Verletzungen
Duplex- oder Speed-Probleme
MAC-Flapping
PoE-Probleme
Trunk-Probleme
Merksatz:
Switch-Logs helfen bei lokalen Netz- und VLAN-Problemen.
---
**MAC-Flapping**
MAC-Flapping bedeutet:
dieselbe MAC-Adresse erscheint schnell wechselnd an verschiedenen Switchports.
Mögliche Ursachen:
- Netzwerkschleife
- falsch angeschlossener Switch
- falsche Link Aggregation
- virtuelle Umgebung
- fehlerhafte Redundanz
- Loop über Patchkabel
Merksatz:
MAC-Flapping ist ein Warnzeichen für Schicht-2-Probleme.
---
**STP-Logs**
STP steht für:
Spanning Tree Protocol
STP verhindert Schleifen in Layer-2-Netzen.
STP-Logs zeigen zum Beispiel:
Topology Change
Port Blocking
Port Forwarding
Root Bridge Wechsel
Loop erkannt
Merksatz:
STP-Logs sind wichtig bei Schleifen und Broadcast-Stürmen.
---
**DNS-Logs**
DNS-Logs zeigen Namensauflösungen.
Wichtige Fragen:
Welcher Client fragt?
Welcher Name wird gefragt?
Welche Antwort wird geliefert?
Gibt es NXDOMAIN?
Gibt es SERVFAIL?
Wird intern oder extern gefragt?
Gibt es ungewöhnlich viele Anfragen?
Merksatz:
DNS-Logs zeigen,
welche Namen tatsächlich aufgelöst werden.
---
**DHCP-Logs**
DHCP-Logs zeigen,
wie IP-Adressen vergeben werden.
Wichtige Informationen:
- Client-MAC-Adresse
- angebotene IP-Adresse
- vergebene IP-Adresse
- Lease-Zeit
- Scope
- DHCP-Optionen
- Konflikte
- Fehlermeldungen
Typische Fehler:
Scope voll
falscher Scope
DHCP-Relay fehlt
Lease-Konflikt
unbekannter Client
Merksatz:
DHCP-Logs erklären,
warum ein Client welche IP bekommt oder nicht bekommt.
---
**VPN-Logs**
VPN-Logs zeigen,
ob ein Tunnel aufgebaut wird
und warum er scheitert.
Wichtige Hinweise:
Benutzername
Client-IP
VPN-IP
Authentifizierung erfolgreich oder fehlgeschlagen
Zertifikatsfehler
MFA-Fehler
Gruppenrichtlinie
zugewiesene Routen
Tunnel aufgebaut oder getrennt
Fehlercode
Merksatz:
VPN verbunden heißt nicht automatisch:
Zugriff auf interne Systeme erlaubt.
---
**Webserver-Logs**
Webserver-Logs zeigen HTTP-Anfragen und Antworten.
Typische Angaben:
- Client-IP
- Zeitpunkt
- Methode
- Pfad
- Statuscode
- User-Agent
- Antwortgröße
- Bearbeitungszeit
Beispiele:
GET /index.html 200
POST /login 401
GET /admin 403
GET /missing 404
GET /app 500
Merksatz:
Webserver-Logs zeigen,
was die Anwendung oder der Webserver geantwortet hat.
---
**Reverse-Proxy-Logs**
Reverse-Proxy-Logs sind besonders wichtig bei veröffentlichten Webdiensten.
Sie zeigen:
- externer Client
- Hostname
- Pfad
- Backend-Ziel
- HTTP-Status
- TLS-Informationen
- Weiterleitungsfehler
- Timeout
- 502 oder 504
- ausgewähltes Backend
Merksatz:
Reverse-Proxy-Logs zeigen den Übergang vom Client zum Backend.
---
**Authentifizierungslogs**
Authentifizierungslogs zeigen,
ob eine Anmeldung erfolgreich war oder nicht.
Typische Hinweise:
- Benutzername
- Quelle
- Zeitpunkt
- Erfolg oder Fehler
- falsches Passwort
- Konto gesperrt
- MFA erforderlich
- Token ungültig
- Gruppenmitgliedschaft
- Kerberos- oder LDAP-Fehler
Merksatz:
Authentifizierungslogs beantworten:
Wer wollte sich anmelden,
und warum ging es nicht?
---
**Autorisierungsfehler in Logs**
Autorisierung bedeutet:
Ein Benutzer ist bekannt,
hat aber nicht die nötigen Rechte.
Typische Hinweise:
Access denied
Forbidden
Permission denied
Insufficient privileges
Missing role
Group required
Scope missing
Merksatz:
Authentifizierung prüft Identität.
Autorisierung prüft Rechte.
---
**Mailserver-Logs**
Mailserver-Logs helfen bei E-Mail-Problemen.
Sie zeigen:
- eingehende Verbindung
- ausgehende Verbindung
- Absender
- Empfänger
- SMTP-Statuscode
- Spamfilter-Entscheidung
- TLS-Fehler
- Zustellversuch
- Bounce
- Queue-Status
Merksatz:
Mailserver-Logs zeigen,
wo eine E-Mail hängen bleibt oder abgelehnt wird.
---
**Datenbank-Logs**
Datenbank-Logs helfen bei Anwendungsfehlern.
Typische Hinweise:
- Verbindung fehlgeschlagen
- Benutzer nicht berechtigt
- Passwort falsch
- Datenbank nicht erreichbar
- SQL-Fehler
- langsame Abfragen
- Locking-Probleme
- Speicher- oder Verbindungsgrenze erreicht
Merksatz:
HTTP 500 kann seine Ursache in der Datenbank haben.
---
**Betriebssystem-Logs**
Betriebssystem-Logs zeigen Systemereignisse.
Beispiele:
Dienst gestartet
Dienst gestoppt
Dienst abgestürzt
Speicher voll
Festplatte voll
Netzwerkinterface down
Treiberfehler
Berechtigungsfehler
Zeitproblem
Zertifikatproblem
Merksatz:
Systemlogs zeigen,
ob das Betriebssystem selbst Probleme meldet.
---
**Anwendungslogs**
Anwendungslogs sind oft die wichtigste Quelle bei Schicht-7-Problemen.
Sie zeigen zum Beispiel:
Konfigurationsfehler
fehlende Datei
Datenbankfehler
API-Fehler
Berechtigungsfehler
ungültiges Datenformat
ungültige Session
Fehler beim Start
Stacktrace
Timeout zu Backend
Merksatz:
Wenn Netzwerk steht,
aber Anwendung fehlschlägt,
Anwendungslogs prüfen.
---
**Cloud-Logs**
In Cloud-Umgebungen gibt es zusätzliche Logquellen.
Beispiele:
- Security Groups
- Network Security Groups
- Load Balancer Logs
- Cloud Firewall Logs
- IAM Logs
- Audit Logs
- DNS Logs
- API Gateway Logs
- Container Logs
- Kubernetes Events
Merksatz:
In Cloud-Umgebungen liegen Netzwerkentscheidungen oft in mehreren Diensten.
---
**Container-Logs**
Container-Logs zeigen Ausgaben der Anwendung im Container.
Typische Hinweise:
Dienst startet nicht.
Port ist belegt.
Datenbank nicht erreichbar.
Umgebungsvariable fehlt.
Berechtigung fehlt.
Volume fehlt.
DNS-Name im Docker-Netz falsch.
Backend nicht erreichbar.
Zertifikat fehlt.
Merksatz:
Container-Logs zeigen,
was die Anwendung im Container meldet.
---
**Zeitstempel in Logs**
Zeitstempel sind entscheidend.
Man muss prüfen:
Stimmen Uhrzeiten der Systeme?
Welche Zeitzone wird verwendet?
Ist NTP korrekt?
Passt der Fehlerzeitpunkt?
Sind Logs in UTC oder lokaler Zeit?
Sind Client,
Server
und Firewall zeitlich vergleichbar?
Merksatz:
Ohne korrekte Zeit sind Logs schwer vergleichbar.
---
**NTP und Logs**
NTP sorgt für korrekte Zeitsynchronisation.
Falsche Uhrzeiten verursachen Probleme bei:
Logvergleich
Zertifikaten
Kerberos
MFA
Tokens
Monitoring
Vorfallanalyse
Merksatz:
Korrekte Zeit ist Grundlage für sinnvolle Logauswertung.
---
**Schweregrade in Logs**
Logs haben oft Schweregrade.
Typische Stufen:
| Stufe | Bedeutung |
|---|---|
| Debug | sehr detaillierte Diagnoseinformationen |
| Info | normale Information |
| Warning | Warnung, mögliches Problem |
| Error | Fehler |
| Critical | schwerer Fehler |
| Alert | sofortige Aufmerksamkeit nötig |
| Emergency | System praktisch nicht mehr nutzbar |
Merksatz:
Nicht jede Warnung ist die Ursache,
aber jede Warnung ist ein Hinweis.
---
**Debug-Logs**
Debug-Logs sind sehr detailliert.
Vorteil:
liefern viele Informationen
Nachteil:
erzeugen große Datenmengen
können sensible Informationen enthalten
können Leistung beeinflussen
sind schwerer zu lesen
Debug sollte oft nur gezielt und zeitlich begrenzt aktiviert werden.
Merksatz:
Debug nur gezielt und vorübergehend nutzen.
---
**Logrotation**
Logrotation bedeutet:
alte Logdateien werden archiviert,
komprimiert
oder gelöscht,
damit Speicherplatz nicht voll läuft.
Wichtig:
Logs dürfen nicht unkontrolliert wachsen.
Problem:
Wenn Speicher voll läuft,
können Dienste ausfallen.
Merksatz:
Logrotation schützt vor volllaufenden Systemen.
---
**Logaufbewahrung**
Logaufbewahrung beschreibt,
wie lange Logs gespeichert werden.
Dabei spielen eine Rolle:
- gesetzliche Vorgaben
- Datenschutz
- Sicherheitsanforderungen
- Speicherplatz
- Vorfallanalyse
- Unternehmensrichtlinien
Merksatz:
Logs so lange wie nötig,
aber nicht unnötig lange speichern.
---
**Datenschutz bei Logs**
Logs können personenbezogene oder sensible Daten enthalten.
Beispiele:
Benutzername
IP-Adresse
E-Mail-Adresse
Standort
Login-Zeit
Gerät
Fehlerdetails
Tokens
Session-Informationen
Deshalb:
Zugriff beschränken
Zweck beachten
Aufbewahrung regeln
sensible Daten vermeiden
Logs sicher speichern
Merksatz:
Logs sind oft personenbezogen und müssen geschützt werden.
---
**Zentrale Logsammlung**
In größeren Umgebungen werden Logs zentral gesammelt.
Vorteile:
- einheitliche Suche
- bessere Korrelation
- langfristige Auswertung
- Alarmierung
- Schutz vor Manipulation auf Einzelsystem
- bessere Vorfallanalyse
Beispiele für Konzepte:
Syslog
SIEM
Logserver
zentraler Monitoring-Stack
Merksatz:
Zentrale Logs erleichtern Analyse und Sicherheit.
---
**Syslog**
Syslog ist ein verbreitetes Verfahren,
um Logs von Netzwerkgeräten und Servern zentral zu sammeln.
Typische Quellen:
Router
Switches
Firewalls
Linux-Systeme
Appliances
Merksatz:
Syslog sammelt Ereignisse zentral.
---
**SIEM**
SIEM steht für:
Security Information and Event Management
Ein SIEM sammelt,
korreliert
und bewertet sicherheitsrelevante Ereignisse.
Es kann helfen bei:
Angriffserkennung
Compliance
Vorfallanalyse
Alarmierung
Korrelation von Ereignissen
ungewöhnlichem Verhalten
Merksatz:
SIEM verbindet Logs zu sicherheitsrelevanten Erkenntnissen.
---
**Korrelation**
Korrelation bedeutet:
Ereignisse aus mehreren Quellen werden zusammen betrachtet.
Beispiel:
Firewall meldet blockierte Verbindung.
Webserver meldet viele 404.
Auth-Log meldet viele Loginfehler.
IDS meldet Angriffsmuster.
Zusammen kann daraus ein Angriff erkennbar werden.
Merksatz:
Einzelne Logs sind Hinweise,
korrelierte Logs ergeben Zusammenhang.
---
**Monitoring**
Monitoring überwacht Systeme und Dienste dauerhaft.
Es beantwortet Fragen wie:
Ist der Dienst erreichbar?
Ist der Server ausgelastet?
Ist Speicherplatz knapp?
Läuft der Prozess?
Ist das Zertifikat bald abgelaufen?
Ist die Latenz erhöht?
Gibt es Paketverlust?
Ist ein Standort offline?
Merksatz:
Monitoring erkennt Probleme,
bevor Benutzer sie melden.
---
**Monitoring-Arten**
Typische Monitoring-Arten:
- Verfügbarkeitsmonitoring
- Performance-Monitoring
- Netzwerkmonitoring
- Dienstmonitoring
- Logmonitoring
- Sicherheitsmonitoring
- Zertifikatsmonitoring
- Kapazitätsmonitoring
Merksatz:
Monitoring kann Verfügbarkeit,
Leistung,
Sicherheit
und Kapazität prüfen.
---
**Verfügbarkeitsmonitoring**
Verfügbarkeitsmonitoring prüft,
ob ein System oder Dienst erreichbar ist.
Beispiele:
Ping erfolgreich?
TCP-Port offen?
HTTP-Status 200?
DNS antwortet?
VPN-Tunnel up?
Datenbank erreichbar?
Merksatz:
Verfügbarkeit bedeutet:
Dienst antwortet grundsätzlich.
---
**Performance-Monitoring**
Performance-Monitoring prüft Leistungswerte.
Beispiele:
CPU-Auslastung
RAM-Auslastung
Festplatten-I/O
Netzwerklast
Latenz
Paketverlust
Antwortzeit
Datenbankabfragezeit
Merksatz:
Performance-Monitoring zeigt,
ob ein Dienst langsam oder überlastet ist.
---
**Netzwerkmonitoring**
Netzwerkmonitoring prüft Netzwerkkomponenten.
Beispiele:
Switchports
Router
Firewalls
Access Points
VPN-Tunnel
WAN-Leitungen
Bandbreite
Interface-Fehler
Paketverlust
Latenz
Merksatz:
Netzwerkmonitoring zeigt Zustand der Infrastruktur.
---
**Dienstmonitoring**
Dienstmonitoring prüft konkrete Dienste.
Beispiele:
Webserver läuft?
Datenbank erreichbar?
DNS antwortet?
DHCP verfügbar?
Mailqueue wächst?
Reverse Proxy antwortet?
API liefert erwarteten Status?
Merksatz:
Dienstmonitoring prüft,
ob ein Dienst fachlich nutzbar ist.
---
**Zertifikatsmonitoring**
Zertifikatsmonitoring prüft TLS-Zertifikate.
Wichtige Fragen:
Wann läuft das Zertifikat ab?
Passt der Hostname?
Ist die Zertifikatskette gültig?
Wird das richtige Zertifikat ausgeliefert?
Ist die CA vertrauenswürdig?
Merksatz:
Zertifikate sollten überwacht werden,
bevor sie ablaufen.
---
**Kapazitätsmonitoring**
Kapazitätsmonitoring prüft,
ob Ressourcen knapp werden.
Beispiele:
Speicherplatz
RAM
CPU
Bandbreite
Datenbankgröße
Loggröße
Anzahl Verbindungen
DHCP-Leases
Lizenzgrenzen
Merksatz:
Kapazitätsprobleme kündigen sich oft vorher an.
---
**Alarmierung**
Monitoring ist nur hilfreich,
wenn wichtige Probleme auch gemeldet werden.
Alarmierung kann erfolgen über:
E-Mail
SMS
App
Dashboard
Ticket
Chat
Pager
Wichtig:
Nicht zu viele unnötige Alarme,
sonst werden wichtige Alarme ignoriert.
Merksatz:
Gute Alarmierung ist relevant,
verständlich
und handlungsfähig.
---
**False Positive und False Negative**
False Positive:
Alarm,
obwohl kein echtes Problem vorliegt.
False Negative:
Kein Alarm,
obwohl ein echtes Problem vorliegt.
Beides ist problematisch.
Merksatz:
Monitoring muss sinnvoll eingestellt und regelmäßig geprüft werden.
---
**Schwellwerte**
Schwellwerte legen fest,
wann ein Alarm ausgelöst wird.
Beispiele:
CPU über 90 Prozent
Speicherplatz unter 10 Prozent frei
Zertifikat läuft in 14 Tagen ab
Ping-Verlust über 5 Prozent
Antwortzeit über 2 Sekunden
HTTP-Status nicht 200
Merksatz:
Schwellwerte müssen zum Dienst passen.
---
**Trends**
Monitoring zeigt nicht nur aktuelle Werte,
sondern auch Entwicklungen.
Beispiele:
Speicherplatz wird jede Woche knapper.
Antwortzeiten steigen langsam.
Bandbreite ist montags überlastet.
Logdateien wachsen ungewöhnlich stark.
DHCP-Leases reichen bald nicht mehr.
Merksatz:
Trends helfen,
Probleme vor dem Ausfall zu erkennen.
---
**Baseline**
Eine Baseline beschreibt,
was für ein System normal ist.
Beispiel:
normale CPU-Auslastung
normale Antwortzeit
normale Anzahl Verbindungen
normale DNS-Anfragen
normale Bandbreite
Ohne Baseline weiß man schwer,
ob ein Wert auffällig ist.
Merksatz:
Baseline = normales Verhalten als Vergleichswert.
---
**Dokumentation**
Dokumentation beschreibt,
wie ein System aufgebaut ist
und wie es betrieben wird.
Wichtige Inhalte:
- Netzplan
- IP-Adressplan
- VLAN-Plan
- Firewall-Regeln
- NAT-Regeln
- DNS-Zonen
- DHCP-Scopes
- Serverrollen
- Dienste
- Zugangspfade
- Ansprechpartner
- Änderungen
- Notfallverfahren
Merksatz:
Gute Dokumentation beschleunigt Fehlersuche.
---
**Netzplan**
Ein Netzplan zeigt,
wie Netzbereiche und Geräte verbunden sind.
Er enthält zum Beispiel:
Router
Switches
Firewalls
Server
VLANs
Standorte
VPNs
DMZ
Internetanschluss
IP-Netze
Merksatz:
Netzplan zeigt,
wie das Netzwerk aufgebaut ist.
---
**IP-Adressplan**
Ein IP-Adressplan zeigt,
welche Netze und Adressen verwendet werden.
Beispiele:
192.168.10.0/24 Clients
192.168.20.0/24 Server
192.168.30.0/24 DMZ
192.168.40.0/24 Management
192.168.50.0/24 Gäste
Merksatz:
IP-Adressplan verhindert Verwechslungen und Doppelvergaben.
---
**VLAN-Dokumentation**
Eine VLAN-Dokumentation enthält:
VLAN-ID
Name
Subnetz
Gateway
DHCP-Scope
Zweck
zugehörige Switchports
Trunks
Firewall-Zone
Merksatz:
VLANs ohne Dokumentation führen schnell zu Fehlkonfigurationen.
---
**Firewall- und NAT-Dokumentation**
Dokumentiert werden sollten:
Quelle
Ziel
Dienst
Port
Protokoll
Richtung
Zone
NAT-Ziel
Zweck
Verantwortlicher
Ticket
Ablaufdatum bei temporären Regeln
Merksatz:
Firewall-Regeln ohne Zweck sind später schwer bewertbar.
---
**DNS-Dokumentation**
DNS-Dokumentation enthält:
Zonen
A-Records
AAAA-Records
CNAMEs
MX-Records
TXT-Records
interne und externe Namen
Split-DNS-Regeln
TTL
zuständige Systeme
Merksatz:
DNS-Dokumentation verhindert falsche Zielauflösungen.
---
**DHCP-Dokumentation**
DHCP-Dokumentation enthält:
Scope
Adressbereich
Ausschlüsse
Reservierungen
Lease-Zeit
Gateway-Option
DNS-Option
Relay-Adresse
VLAN-Zuordnung
Merksatz:
DHCP-Dokumentation erklärt,
warum Clients welche Konfiguration bekommen.
---
**Änderungsdokumentation**
Änderungen sollten nachvollziehbar sein.
Wichtige Angaben:
Was wurde geändert?
Warum wurde es geändert?
Wann wurde es geändert?
Wer hat es geändert?
Welche Systeme sind betroffen?
Wie wurde getestet?
Gibt es Rollback?
Gibt es ein Ticket?
Merksatz:
Ohne Änderungsdokumentation ist Fehlersuche nach Änderungen schwer.
---
**Incident-Dokumentation**
Bei Störungen sollte dokumentiert werden:
Startzeit
Endezeit
betroffene Systeme
betroffene Benutzer
Fehlerbild
Ursache
Maßnahmen
Lösung
Workaround
Kommunikation
Nacharbeiten
Merksatz:
Incident-Dokumentation hilft,
aus Fehlern zu lernen.
---
**Root Cause Analysis**
Root Cause Analysis bedeutet:
die eigentliche Ursache eines Problems finden.
Nicht nur:
Dienst neu starten
Sondern fragen:
Warum ist der Dienst abgestürzt?
Warum war Speicher voll?
Warum gab es keinen Alarm?
Warum wurde die Logrotation nicht eingerichtet?
Merksatz:
Root Cause Analysis sucht die Ursache hinter dem Symptom.
---
**Post-Mortem**
Ein Post-Mortem ist eine Nachbesprechung nach einer Störung.
Ziele:
Ursache verstehen
Ablauf rekonstruieren
Verbesserungen finden
Schuldzuweisungen vermeiden
Maßnahmen ableiten
Wiederholung verhindern
Merksatz:
Post-Mortem soll Systeme verbessern,
nicht Personen beschuldigen.
---
**Lessons Learned**
Lessons Learned sind Erkenntnisse aus einer Störung.
Beispiele:
Monitoring muss erweitert werden.
Zertifikate müssen überwacht werden.
Firewall-Regeln müssen dokumentiert werden.
Backups müssen getestet werden.
Change-Prozess muss angepasst werden.
Runbook muss erstellt werden.
Merksatz:
Lessons Learned machen aus Störungen Verbesserungen.
---
**Runbook**
Ein Runbook ist eine Schritt-für-Schritt-Anleitung für wiederkehrende Aufgaben oder Störungen.
Beispiele:
Webdienst neu starten
Zertifikat erneuern
VPN-Tunnel prüfen
DHCP-Scope erweitern
Firewall-Regel prüfen
Backup wiederherstellen
Merksatz:
Runbooks machen wiederkehrende Arbeiten sicherer und schneller.
---
**Checkliste für Logauswertung**
1. Fehlerzeitpunkt bestimmen.
2. Betroffene Systeme bestimmen.
3. Passende Logquelle auswählen.
4. Zeitfilter setzen.
5. Fehlermeldungen suchen.
6. Schweregrad beachten.
7. Ereignisse vor und nach dem Fehler prüfen.
8. Logs mehrerer Systeme vergleichen.
9. Zeitabweichungen beachten.
10. Ergebnis dokumentieren.
Merksatz:
Logs immer zeitlich und fachlich einordnen.
---
**Checkliste für Monitoring**
1. Wird der Dienst überwacht?
2. Wird der richtige Port geprüft?
3. Wird die Anwendung geprüft oder nur Ping?
4. Gibt es sinnvolle Schwellwerte?
5. Gibt es Alarmierung?
6. Werden Zertifikate überwacht?
7. Werden Ressourcen überwacht?
8. Werden Trends betrachtet?
9. Gibt es zu viele Fehlalarme?
10. Werden Alarme bearbeitet?
Merksatz:
Monitoring muss den Dienst wirklich abbilden.
---
**Checkliste für Dokumentation**
1. Netzplan aktuell?
2. IP-Adressplan aktuell?
3. VLANs dokumentiert?
4. Firewall-Regeln dokumentiert?
5. NAT-Regeln dokumentiert?
6. DNS-Einträge dokumentiert?
7. DHCP-Scopes dokumentiert?
8. Verantwortliche bekannt?
9. Änderungen dokumentiert?
10. Notfallverfahren vorhanden?
Merksatz:
Dokumentation ist ein Werkzeug,
nicht nur Verwaltung.
---
**Typische Fehler bei Logs und Monitoring**
Häufige Fehler:
Logs werden nicht aktiviert.
Logs werden zu kurz gespeichert.
Logs laufen voll.
Zeitstempel stimmen nicht.
falsche Zeitzone wird übersehen.
Monitoring prüft nur Ping.
Zertifikate werden nicht überwacht.
Alarme gehen an niemanden.
zu viele Fehlalarme entstehen.
Dokumentation ist veraltet.
Änderungen werden nicht dokumentiert.
Root Cause wird nicht gesucht.
Merksatz:
Logs und Monitoring müssen gepflegt werden.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Warum sind Logs bei der Fehlersuche wichtig?
- Welche Informationen enthält ein Firewall-Log?
- Warum ist die Uhrzeit bei Logs wichtig?
- Warum ist NTP für Logauswertung wichtig?
- Was ist Monitoring?
- Was ist der Unterschied zwischen Verfügbarkeits- und Performance-Monitoring?
- Warum reicht Ping-Monitoring nicht immer aus?
- Was ist ein Schwellwert?
- Was ist eine Baseline?
- Warum müssen Zertifikate überwacht werden?
- Was gehört in eine Netzwer dokumentation?
- Warum ist Änderungsdokumentation wichtig?
- Was ist eine Root Cause Analysis?
- Was ist ein Runbook?
- Warum können Logs personenbezogene Daten enthalten?
---
**Typische Prüfungsfallen**
Logs zeigen Ereignisse,
nicht automatisch die Ursache.
Monitoring zeigt Zustand über Zeit.
Ping-Monitoring reicht nicht für Anwendungserfolg.
Firewall-Logs zeigen getroffene Regeln.
Kein Log kann auch falschen Weg bedeuten.
Zeitstempel müssen vergleichbar sein.
NTP ist wichtig für Logs,
Zertifikate
und Authentifizierung.
Debug-Logs nur gezielt aktivieren.
Logs können sensible Daten enthalten.
Logrotation verhindert volle Datenträger.
Zentrale Logsammlung erleichtert Analyse.
SIEM korreliert sicherheitsrelevante Ereignisse.
Monitoring braucht sinnvolle Schwellwerte.
Zu viele Fehlalarme führen zu Alarmmüdigkeit.
Baseline zeigt normales Verhalten.
Dokumentation muss aktuell sein.
Änderung ohne Dokumentation erschwert Fehlersuche.
Root Cause ist wichtiger als nur Neustart.
Runbooks helfen bei wiederkehrenden Aufgaben.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| Log | Ereignisprotokoll |
| Logquelle | System oder Dienst, der Logs erzeugt |
| Firewall-Log | Protokoll von erlaubtem oder blockiertem Verkehr |
| Systemlog | Betriebssystemereignisse |
| Anwendungslog | Meldungen einer Anwendung |
| Debug-Log | sehr detaillierte Diagnoseausgabe |
| Logrotation | Archivieren oder Löschen alter Logs |
| Logaufbewahrung | Zeitraum der Speicherung |
| Syslog | Verfahren zur zentralen Logsammlung |
| SIEM | System zur Sicherheitsauswertung von Logs |
| Korrelation | Zusammenführen mehrerer Ereignisse |
| Monitoring | dauerhafte Überwachung |
| Schwellwert | Grenze für Alarmierung |
| False Positive | Fehlalarm |
| False Negative | fehlender Alarm trotz Problem |
| Baseline | normales Verhalten als Vergleich |
| Netzplan | grafische Netzdokumentation |
| IP-Adressplan | Übersicht verwendeter Netze und Adressen |
| Änderungsdokumentation | Nachweis von Änderungen |
| Incident | Störung oder Sicherheitsvorfall |
| Root Cause Analysis | Suche nach eigentlicher Ursache |
| Post-Mortem | Nachbesprechung nach Störung |
| Lessons Learned | Erkenntnisse zur Verbesserung |
| Runbook | Schritt-für-Schritt-Anleitung |
---
**IHK-sichere Kurzformulierung**
Logs, Monitoring und Dokumentation sind zentrale Bestandteile der Netzwerkfehlersuche. Logs zeigen Ereignisse und Entscheidungen von Systemen, Diensten, Firewalls, Anwendungen und Betriebssystemen. Monitoring überwacht Verfügbarkeit, Leistung, Kapazität und Sicherheit über einen längeren Zeitraum und kann Probleme frühzeitig melden. Wichtig sind korrekte Zeitstempel, NTP, sinnvolle Schwellwerte, Logrotation, Datenschutz und zentrale Logsammlung. Dokumentation wie Netzplan, IP-Adressplan, VLAN-Plan, Firewall-Regeln, NAT-Regeln, DNS-Einträge und DHCP-Scopes hilft, Fehler schneller einzugrenzen. Nach Störungen sollten Ursache, Maßnahmen und Verbesserungen dokumentiert werden.
---
**Merksätze**
Mitschnitt zeigt Verkehr.
Logs zeigen Ereignisse.
Monitoring zeigt Zustand über Zeit.
Dokumentation zeigt Aufbau und Änderungen.
Firewall-Logs zeigen getroffene Regeln.
DNS-Logs zeigen Namensauflösung.
DHCP-Logs zeigen Adressvergabe.
VPN-Logs zeigen Tunnel und Anmeldung.
Webserver-Logs zeigen HTTP-Antworten.
Reverse-Proxy-Logs zeigen Backend-Probleme.
Authentifizierungslogs zeigen Loginprobleme.
Anwendungslogs zeigen Schicht-7-Fehler.
Zeitstempel müssen stimmen.
NTP ist wichtig für Logvergleich.
Debug nur gezielt aktivieren.
Logs können sensible Daten enthalten.
Logrotation verhindert volle Datenträger.
Zentrale Logs erleichtern Analyse.
SIEM korreliert Sicherheitsereignisse.
Monitoring erkennt Probleme früh.
Ping-Monitoring reicht oft nicht.
Schwellwerte müssen sinnvoll sein.
Baseline zeigt normales Verhalten.
Zertifikate überwachen.
Netzplan aktuell halten.
IP-Adressplan aktuell halten.
Firewall- und NAT-Regeln dokumentieren.
Änderungen dokumentieren.
Root Cause suchen,
nicht nur Symptom beheben.
Runbooks helfen bei wiederkehrender Fehlersuche.
# 12.7 Merksätze und Prüfungswissen zu Sniffing, Analyse und Fehlersuche
Diese Seite fasst die wichtigsten Inhalte zu Sniffing,
Paketmitschnitt,
Wireshark,
tcpdump,
systematischer Fehlersuche,
Logs,
Monitoring
und Dokumentation zusammen.
Diese Themen sind besonders wichtig,
weil sie in der Praxis und in Prüfungsaufgaben häufig miteinander verbunden werden.
Merksatz:
Netzwerkanalyse bedeutet:
messen,
prüfen,
vergleichen
und fachlich einordnen.
---
**Grundidee der Netzwerkanalyse**
Netzwerkanalyse soll klären,
was wirklich passiert.
Dabei nutzt man:
- Fehlerbeschreibung
- OSI-Modell
- Paketmitschnitt
- Logs
- Monitoring
- Konfigurationsprüfung
- Vergleich mit funktionierenden Systemen
Ziel ist nicht,
blind etwas zu ändern.
Ziel ist:
Ursache finden
Ursache nachweisen
Ursache beheben
Ergebnis dokumentieren
Merksatz:
Nicht raten,
sondern prüfen.
---
**Sniffing**
Sniffing bedeutet:
Netzwerkverkehr mitschneiden und analysieren.
Dabei werden Pakete sichtbar gemacht.
Man erkennt zum Beispiel:
- Quell- und Ziel-MAC
- Quell- und Ziel-IP
- Protokoll
- Port
- DNS-Anfragen
- TCP-Handshake
- TLS-Handshake
- DHCP-Ablauf
- ICMP-Meldungen
- Wiederholungen
- Resets
- Timeouts
Merksatz:
Sniffing zeigt den tatsächlichen Netzwerkverkehr.
---
**Paketmitschnitt**
Ein Paketmitschnitt ist eine Aufzeichnung von Netzwerkpaketen.
Er hilft bei Fragen wie:
Kommt das Paket an?
Antwortet das Ziel?
Wird DNS richtig gefragt?
Findet ein TCP-Handshake statt?
Gibt es Retransmissions?
Gibt es Resets?
Gibt es TLS-Fehler?
Gibt es ICMP-Fehler?
Kommt DHCP-DORA zustande?
Merksatz:
Paketmitschnitt ersetzt Vermutungen durch Messdaten.
---
**PCAP-Datei**
Paketmitschnitte werden häufig als PCAP oder PCAPNG gespeichert.
Vorteile:
- spätere Analyse möglich
- Analyse mit Wireshark möglich
- Weitergabe an Fachabteilung möglich
- Beweissicherung bei Störungen
- Vergleich mit Logs möglich
Achtung:
PCAP-Dateien können sensible Daten enthalten.
Merksatz:
PCAP-Dateien wie vertrauliche Daten behandeln.
---
**Datenschutz bei Paketmitschnitten**
Paketmitschnitte können enthalten:
- IP-Adressen
- MAC-Adressen
- Hostnamen
- Benutzernamen
- Cookies
- Tokens
- unverschlüsselte Passwörter
- E-Mail-Inhalte
- personenbezogene Daten
- interne Strukturen
Deshalb:
nur mit berechtigtem Zweck
nur so lange wie nötig
nur relevanten Verkehr
sicher speichern
Zugriff begrenzen
nach Zweck löschen
Merksatz:
Sniffing ist technisch nützlich,
aber datenschutzrelevant.
---
**Wireshark**
Wireshark ist ein grafisches Werkzeug zur Paketanalyse.
Es zeigt:
- Paketliste
- Paketdetails
- Paketbytes
- Protokolle
- Filtermöglichkeiten
- Conversations
- Endpoints
- Expert Information
Wireshark eignet sich besonders gut,
um Protokollabläufe sichtbar zu machen.
Merksatz:
Wireshark macht Netzwerkverkehr lesbar.
---
**tcpdump**
tcpdump ist ein Kommandozeilenwerkzeug für Paketmitschnitte.
Typische Nutzung:
auf Servern
auf Firewalls
auf Routern
per SSH
in minimalen Linux-Umgebungen
tcpdump kann Mitschnitte live anzeigen
oder als PCAP-Datei speichern.
Merksatz:
tcpdump ist Paketmitschnitt auf der Kommandozeile.
---
**tshark**
tshark ist die Kommandozeilenversion von Wireshark.
Es eignet sich für:
- PCAP-Auswertung ohne GUI
- automatisierte Analyse
- Protokollauswertung
- Filterung
- Ausgabe bestimmter Felder
Merksatz:
tshark bringt Wireshark-Funktionen auf die Kommandozeile.
---
**Capture Filter und Display Filter**
Capture Filter:
bestimmen,
was überhaupt aufgezeichnet wird.
Display Filter:
bestimmen,
was nachträglich angezeigt wird.
| Filterart | Zeitpunkt | Wirkung |
|---|---|---|
| Capture Filter | vor oder während Aufnahme | begrenzt Aufzeichnung |
| Display Filter | nach Aufnahme | begrenzt Anzeige |
Merksatz:
Capture Filter spart Daten.
Display Filter hilft bei Analyse.
---
**Wichtige Wireshark-Filter**
| Fragestellung | Filteridee |
|---|---|
| bestimmte IP | ip.addr == 192.168.10.20 |
| Quell-IP | ip.src == 192.168.10.20 |
| Ziel-IP | ip.dst == 192.168.10.20 |
| TCP-Port | tcp.port == 443 |
| UDP-Port | udp.port == 53 |
| DNS | dns |
| ARP | arp |
| ICMP | icmp |
| HTTP | http |
| TLS | tls |
| TCP Reset | tcp.flags.reset == 1 |
| Retransmission | tcp.analysis.retransmission |
Merksatz:
Filter müssen zur Frage passen.
---
**Wichtige tcpdump-Filter**
| Ziel | Beispiel |
|---|---|
| Interface mitschneiden | tcpdump -i eth0 |
| keine Namensauflösung | tcpdump -nn -i eth0 |
| Host filtern | tcpdump -nn -i eth0 host 192.168.10.20 |
| Quelle filtern | tcpdump -nn -i eth0 src host 192.168.10.20 |
| Ziel filtern | tcpdump -nn -i eth0 dst host 192.168.10.20 |
| Port filtern | tcpdump -nn -i eth0 port 443 |
| TCP-Port | tcpdump -nn -i eth0 tcp port 443 |
| UDP-Port | tcpdump -nn -i eth0 udp port 53 |
| ICMP | tcpdump -nn -i eth0 icmp |
| ARP | tcpdump -nn -i eth0 arp |
| Datei schreiben | tcpdump -nn -i eth0 -w capture.pcap |
| Datei lesen | tcpdump -nn -r capture.pcap |
Merksatz:
tcpdump-Filter möglichst gezielt setzen.
---
**Mitschnittort**
Der Ort des Mitschnitts ist entscheidend.
Mögliche Stellen:
- Client
- Server
- Firewall
- Router
- Switch Mirror Port
- Reverse Proxy
- VPN-Gateway
- Container-Host
Je nach Ort sieht man andere Pakete.
Merksatz:
Der Mitschnittort entscheidet,
was sichtbar ist.
---
**Port Mirroring**
In geswitchten Netzwerken sieht ein Client nicht automatisch den gesamten Verkehr.
Port Mirroring kopiert Verkehr von einem oder mehreren Switchports
auf einen Analyseport.
Auch genannt:
SPAN
Merksatz:
Port Mirroring macht fremden Switch-Verkehr für Analyse sichtbar.
---
**Promiscuous Mode**
Promiscuous Mode bedeutet:
Die Netzwerkkarte nimmt auch Frames an,
die nicht direkt an ihre eigene MAC-Adresse gerichtet sind.
Wichtig:
In geswitchten Netzen reicht das allein oft nicht,
weil der Switch fremden Verkehr gar nicht an diesen Port sendet.
Merksatz:
Promiscuous Mode ersetzt kein Port Mirroring.
---
**TCP-Handshake**
TCP baut eine Verbindung mit drei Schritten auf:
SYN
SYN-ACK
ACK
Bedeutung:
SYN:
Client möchte Verbindung starten.
SYN-ACK:
Server antwortet und akzeptiert grundsätzlich.
ACK:
Client bestätigt.
Merksatz:
SYN,
SYN-ACK,
ACK
= TCP-Verbindung aufgebaut.
---
**TCP-Fehlerbilder**
| Beobachtung | mögliche Bedeutung |
|---|---|
| nur SYN-Wiederholungen | keine Antwort, Firewall, Routing oder Rückweg |
| SYN und RST | Port geschlossen oder Verbindung aktiv abgelehnt |
| viele Retransmissions | Paketverlust oder fehlende Bestätigung |
| Zero Window | Empfänger kann keine Daten aufnehmen |
| SYN, SYN-ACK, kein ACK | Rückweg oder Clientproblem |
| Handshake klappt, Anwendung fehlerhaft | höhere Schicht prüfen |
Merksatz:
TCP-Analyse beginnt beim Handshake.
---
**UDP-Analyse**
UDP hat keinen Verbindungsaufbau.
Es gibt keinen TCP-Handshake.
Bei UDP prüft man:
Anfrage gesendet?
Antwort zurück?
richtiger Port?
ICMP-Fehler?
Firewall blockiert?
Dienst antwortet?
Beispiele für UDP:
DNS
DHCP
NTP
SNMP
VoIP
Merksatz:
UDP hat keinen Handshake,
deshalb Anfrage und Antwort direkt prüfen.
---
**DNS-Analyse**
DNS ist häufig der erste Schritt vor einer Verbindung.
Prüfen:
Welcher DNS-Server wird gefragt?
Welcher Name wird gefragt?
Welche Antwort kommt zurück?
A oder AAAA?
NXDOMAIN?
falscher DNS-Server?
Split DNS?
Cache?
TTL?
Merksatz:
DNS-Probleme sieht man oft vor dem eigentlichen Verbindungsversuch.
---
**DHCP-Analyse**
Der klassische DHCP-Ablauf lautet:
Discover
Offer
Request
Acknowledge
Kurz:
DORA
Fehlerbilder:
Discover ohne Offer:
DHCP-Server oder Relay antwortet nicht.
Offer ohne Request:
Client akzeptiert Angebot nicht.
Request ohne Acknowledge:
Server bestätigt nicht.
Merksatz:
DHCP mit DORA prüfen.
---
**ARP-Analyse**
ARP löst im lokalen IPv4-Netz auf:
IPv4-Adresse zu MAC-Adresse
Typische ARP-Fehler:
viele ARP-Anfragen ohne Antwort
falsche MAC-Adresse
doppelte IP-Adresse
Gateway antwortet nicht
VLAN falsch
falsche Netzmaske
Merksatz:
ARP-Probleme sind lokale Schicht-2- oder Schicht-3-Probleme.
---
**ICMP-Analyse**
ICMP liefert Diagnose- und Fehlermeldungen.
Beispiele:
Echo Request
Echo Reply
Destination Unreachable
Time Exceeded
Fragmentation Needed
Wichtig:
ICMP ist mehr als Ping.
Merksatz:
ICMP-Meldungen können Ursachen sichtbar machen.
---
**TLS-Analyse**
Bei TLS sieht man normalerweise nicht den verschlüsselten Inhalt.
Man sieht aber häufig:
Client Hello
Server Hello
SNI
Zertifikatsinformationen
TLS-Version
Cipher-Auswahl
TLS Alert
Typische Probleme:
falscher Hostname
abgelaufenes Zertifikat
nicht vertrauenswürdige CA
inkompatible TLS-Version
unvollständige Zertifikatskette
Merksatz:
TLS schützt Inhalte,
aber der Handshake liefert Hinweise.
---
**SNI**
SNI steht für:
Server Name Indication
SNI zeigt beim TLS-Aufbau,
welchen Hostnamen der Client erreichen möchte.
Wichtig bei:
mehreren HTTPS-Diensten auf einer IP-Adresse
Merksatz:
SNI zeigt den gewünschten HTTPS-Hostnamen.
---
**HTTP-Analyse**
Bei HTTP prüft man:
Methode
Host-Header
Pfad
Statuscode
Header
Weiterleitung
Antwortzeit
Anwendungsmeldung
Wichtige Statuscodes:
| Code | Bedeutung |
|---:|---|
| 200 | OK |
| 301 / 302 | Weiterleitung |
| 400 | Bad Request |
| 401 | nicht authentifiziert |
| 403 | nicht berechtigt |
| 404 | nicht gefunden |
| 500 | interner Serverfehler |
| 502 | Bad Gateway |
| 503 | Dienst nicht verfügbar |
| 504 | Gateway Timeout |
Merksatz:
HTTP-Statuscodes helfen bei Schicht-7-Fehlern.
---
**Ping richtig einordnen**
Ping prüft ICMP-Erreichbarkeit.
Ping zeigt nicht:
ob TCP 443 offen ist
ob HTTPS funktioniert
ob DNS korrekt ist
ob Anmeldung klappt
ob Berechtigung besteht
ob Anwendung gesund ist
Merksatz:
Ping ist kein vollständiger Diensttest.
---
**Porttest richtig einordnen**
Ein Porttest zeigt:
Verbindung zum Port möglich oder nicht.
Er zeigt nicht automatisch:
Anwendung funktioniert
Login funktioniert
Zertifikat passt
Berechtigung stimmt
Datenbank erreichbar
API antwortet fachlich korrekt
Merksatz:
Offener Port heißt nicht:
Anwendung funktioniert.
---
**Wichtige Analysewerkzeuge**
| Werkzeug | Zweck |
|---|---|
| ping | ICMP-Erreichbarkeit |
| traceroute / tracert | Weg zum Ziel |
| nslookup | einfache DNS-Prüfung |
| dig | detaillierte DNS-Prüfung |
| curl | HTTP/HTTPS/API-Test |
| nc | Port- und Verbindungstest |
| Test-NetConnection | Windows-Porttest |
| ss | lokale Ports und Verbindungen |
| netstat | Netzwerkstatus, älter |
| openssl s_client | TLS- und Zertifikatsprüfung |
| tcpdump | Paketmitschnitt CLI |
| tshark | PCAP-Analyse CLI |
| Wireshark | grafische Paketanalyse |
| journalctl | Linux-Logs |
| Ereignisanzeige | Windows-Logs |
Merksatz:
Kein Werkzeug beantwortet alles.
---
**Systematische Fehlersuche nach OSI**
| Schicht | Prüfung |
|---:|---|
| 1 | Kabel, Link, Signal, WLAN |
| 2 | MAC, VLAN, Switch, ARP |
| 3 | IP, Subnetz, Gateway, Routing |
| 4 | TCP, UDP, Ports, Firewall |
| 5 | Sitzung, Session, Timeout |
| 6 | TLS, Zertifikat, Codierung |
| 7 | Anwendung, DNS, DHCP, HTTP, Authentifizierung |
Merksatz:
OSI-Modell hilft,
den Fehlerbereich einzugrenzen.
---
**Bottom-Up**
Bottom-Up bedeutet:
von Schicht 1 nach oben prüfen.
Beispiel:
Kabel
Link
VLAN
IP
Gateway
Port
Dienst
Anwendung
Merksatz:
Bottom-Up beginnt beim Fundament.
---
**Top-Down**
Top-Down bedeutet:
bei der Anwendung beginnen
und nach unten prüfen.
Beispiel:
Webseite
HTTP-Status
TLS
Port
DNS
Routing
Link
Merksatz:
Top-Down beginnt beim sichtbaren Dienst.
---
**Divide and Conquer**
Divide and Conquer bedeutet:
Man prüft eine mittlere Ebene,
um den Suchbereich zu verkleinern.
Beispiel:
Ping geht,
aber Webdienst nicht.
Dann ist grob klar:
IP-Erreichbarkeit ist wahrscheinlich vorhanden,
aber Port,
Firewall,
TLS
oder Anwendung müssen weiter geprüft werden.
Merksatz:
Divide and Conquer halbiert den Suchbereich.
---
**Fehlerbild sauber aufnehmen**
Wichtige Fragen:
Wer ist betroffen?
Was funktioniert nicht?
Was funktioniert noch?
Seit wann?
Wo tritt der Fehler auf?
Intern oder extern?
LAN oder WLAN?
VPN oder lokal?
Nur ein Benutzer oder alle?
Welche Fehlermeldung?
Was wurde zuletzt geändert?
Merksatz:
Gute Fehlerbeschreibung ist Diagnosearbeit.
---
**Typische Fehlerbilder**
| Fehlerbild | erste Richtung |
|---|---|
| kein Link | Schicht 1 |
| 169.254.x.x | DHCP |
| Gateway nicht erreichbar | Schicht 2 / 3 |
| IP geht, Name nicht | DNS |
| Ping geht, Port nicht | Schicht 4 / Firewall / Dienst |
| Port offen, Anwendung fehlerhaft | Schicht 7 |
| Timeout | keine passende Antwort |
| Connection Refused | Dienst lehnt aktiv ab |
| 401 | Authentifizierung |
| 403 | Autorisierung |
| 404 | Pfad oder Ressource fehlt |
| 500 | Anwendung oder Server |
| 502 | Proxy zu Backend |
| Zertifikatswarnung | TLS, DNS, Zeit oder CA |
Merksatz:
Fehlerbild gibt Richtung,
aber noch keinen Beweis.
---
**Authentifizierung und Autorisierung**
Authentifizierung bedeutet:
Wer bist du?
Beispiele:
Benutzername
Passwort
MFA
Zertifikat
Token
Autorisierung bedeutet:
Was darfst du?
Beispiele:
Rolle
Gruppe
Rechte
Freigabe
API-Scope
Merksatz:
401 ist oft Authentifizierung.
403 ist oft Autorisierung.
---
**Timeout und Connection Refused**
Timeout:
Keine Antwort kommt zurück.
Mögliche Ursachen:
Firewall droppt
Routing fehlt
Rückweg fehlt
Ziel antwortet nicht
Connection Refused:
Ziel lehnt aktiv ab.
Mögliche Ursachen:
Dienst läuft nicht
falscher Port
Dienst lauscht nicht
Host lehnt ab
Merksatz:
Timeout = keine Antwort.
Refused = aktive Ablehnung.
---
**MTU-Probleme**
MTU steht für:
Maximum Transmission Unit
Typische Hinweise:
kleine Pakete funktionieren
große Übertragungen hängen
VPN instabil
Webseiten laden teilweise
Downloads brechen ab
viele Retransmissions
Fragmentation Needed fehlt oder wird blockiert
Merksatz:
Kleine Daten gehen,
große nicht:
MTU prüfen.
---
**Logs**
Logs zeigen Ereignisse und Entscheidungen.
Wichtige Logquellen:
- Firewall-Logs
- DNS-Logs
- DHCP-Logs
- VPN-Logs
- Webserver-Logs
- Reverse-Proxy-Logs
- Authentifizierungslogs
- Systemlogs
- Anwendungslogs
- Mailserver-Logs
- Datenbank-Logs
Merksatz:
Logs zeigen,
was Systeme entschieden oder gemeldet haben.
---
**Monitoring**
Monitoring überwacht Systeme und Dienste dauerhaft.
Es prüft zum Beispiel:
Erreichbarkeit
Antwortzeiten
CPU
RAM
Speicherplatz
Bandbreite
Paketverlust
Zertifikate
Dienste
Logs
Verbindungen
Merksatz:
Monitoring erkennt Probleme über Zeit.
---
**Dokumentation**
Gute Dokumentation enthält:
- Netzplan
- IP-Adressplan
- VLAN-Plan
- Firewall-Regeln
- NAT-Regeln
- DNS-Einträge
- DHCP-Scopes
- Serverrollen
- Dienste
- Ansprechpartner
- Änderungen
- Notfallverfahren
Merksatz:
Dokumentation ist ein Werkzeug für Fehlersuche.
---
**Root Cause Analysis**
Root Cause Analysis bedeutet:
die eigentliche Ursache finden.
Nicht nur:
Dienst neu starten
Sondern:
Warum ist der Dienst abgestürzt?
Warum war Speicher voll?
Warum gab es keinen Alarm?
Warum wurde die Änderung nicht getestet?
Merksatz:
Ursache beheben,
nicht nur Symptom beseitigen.
---
**Workaround und Lösung**
Workaround:
vorübergehende Umgehung
Lösung:
eigentliche Ursache wird beseitigt
Beispiel:
Workaround:
IP-Adresse statt DNS-Namen verwenden.
Ursache:
DNS-Eintrag falsch.
Lösung:
DNS-Eintrag korrigieren.
Merksatz:
Workaround ist nicht automatisch Lösung.
---
**Eine Änderung pro Test**
Bei Fehlersuche sollte man nicht viele Dinge gleichzeitig ändern.
Besser:
eine Hypothese bilden
einen Test durchführen
Ergebnis prüfen
dokumentieren
nächste Hypothese testen
Merksatz:
Mehrere Änderungen gleichzeitig verschleiern die Ursache.
---
**Nach Änderung zuerst Änderung prüfen**
Wenn ein Fehler nach einer Änderung auftritt,
prüft man zuerst diese Änderung.
Beispiele:
Firewall-Regel geändert
DNS geändert
Zertifikat erneuert
VLAN geändert
Update installiert
Passwort geändert
Reverse Proxy angepasst
VPN geändert
Merksatz:
Die letzte Änderung ist oft der wichtigste Hinweis.
---
**Sicherheitsbewusstsein bei Analyse**
Analysewerkzeuge können sensible Informationen offenlegen.
Beispiele:
unverschlüsselte Passwörter
Tokens
Cookies
interne Hostnamen
IP-Adressbereiche
Benutzerinformationen
Fehlermeldungen
Konfigurationsdetails
Deshalb:
Zugriff beschränken
Dateien schützen
keine unnötigen Mitschnitte
Logs nicht ungeschützt teilen
Datenschutz beachten
Merksatz:
Diagnose darf keine neue Sicherheitslücke erzeugen.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was versteht man unter Sniffing?
- Wofür nutzt man Wireshark?
- Wofür nutzt man tcpdump?
- Was ist eine PCAP-Datei?
- Was ist Port Mirroring?
- Warum sieht man im Switch-Netz nicht automatisch allen Verkehr?
- Was ist der Unterschied zwischen Capture Filter und Display Filter?
- Wie erkennt man einen TCP-Handshake?
- Was bedeuten SYN, SYN-ACK und ACK?
- Was bedeutet RST?
- Was bedeutet Retransmission?
- Warum sieht man HTTPS-Inhalte nicht im Klartext?
- Was kann man bei DNS im Mitschnitt erkennen?
- Wie analysiert man DHCP?
- Warum reicht Ping nicht aus?
- Warum reicht ein Porttest nicht aus?
- Wie hilft das OSI-Modell bei der Fehlersuche?
- Was ist Bottom-Up?
- Was ist Top-Down?
- Was ist Divide and Conquer?
- Warum sind Logs wichtig?
- Warum ist Monitoring wichtig?
- Warum ist Dokumentation wichtig?
---
**Typische Prüfungsfallen**
Sniffing zeigt echten Verkehr.
Sniffing ist datenschutzrelevant.
Wireshark ist grafisch.
tcpdump ist Kommandozeile.
tshark ist Wireshark auf Kommandozeile.
PCAP-Dateien können sensible Daten enthalten.
In geswitchten Netzen sieht man nicht automatisch alles.
Port Mirroring kopiert Verkehr.
Promiscuous Mode reicht allein oft nicht.
Capture Filter begrenzen Aufnahme.
Display Filter begrenzen Anzeige.
TCP hat Handshake.
UDP hat keinen Handshake.
SYN startet TCP-Verbindung.
SYN-ACK ist Serverantwort.
ACK bestätigt.
RST lehnt ab oder beendet.
Retransmission bedeutet erneutes Senden.
DNS früh prüfen.
DHCP-DORA kennen.
ICMP ist mehr als Ping.
HTTPS-Inhalte sind verschlüsselt.
TLS-Handshake kann trotzdem Hinweise liefern.
SNI zeigt gewünschten Hostnamen.
Ping prüft nicht den Dienst.
Port offen heißt nicht Anwendung funktioniert.
Timeout und Connection Refused unterscheiden.
401 ist Authentifizierung.
403 ist Autorisierung.
OSI-Modell hilft beim Eingrenzen.
Logs und Mitschnitt ergänzen sich.
Monitoring zeigt Zustand über Zeit.
Dokumentation beschleunigt Fehlersuche.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| Sniffing | Mitschneiden von Netzwerkverkehr |
| Paketmitschnitt | Aufzeichnung von Paketen |
| PCAP | Datei mit Paketmitschnitt |
| Wireshark | grafisches Analysewerkzeug |
| tcpdump | Kommandozeilenwerkzeug für Mitschnitt |
| tshark | Wireshark auf Kommandozeile |
| Port Mirroring | Verkehr auf Analyseport kopieren |
| Promiscuous Mode | Netzwerkkarte nimmt fremde Frames an |
| Capture Filter | Filter vor der Aufnahme |
| Display Filter | Filter nach der Aufnahme |
| SYN | TCP-Verbindungsstart |
| SYN-ACK | TCP-Antwort des Servers |
| ACK | Bestätigung |
| RST | Reset, aktive Ablehnung oder Abbruch |
| Retransmission | erneutes Senden |
| ARP | IPv4-Adresse zu MAC-Adresse |
| ICMP | Diagnose- und Fehlermeldungsprotokoll |
| DNS | Namensauflösung |
| DHCP-DORA | Discover, Offer, Request, Acknowledge |
| SNI | Hostname im TLS-Handshake |
| TLS Alert | TLS-Fehlermeldung |
| Bottom-Up | von Schicht 1 nach oben prüfen |
| Top-Down | von Anwendung nach unten prüfen |
| Divide and Conquer | Suchbereich in der Mitte eingrenzen |
| Timeout | keine Antwort |
| Connection Refused | aktive Ablehnung |
| Authentifizierung | Identität prüfen |
| Autorisierung | Rechte prüfen |
| Log | Ereignisprotokoll |
| Monitoring | dauerhafte Überwachung |
| Root Cause | eigentliche Ursache |
| Workaround | vorübergehende Umgehung |
| Runbook | Schritt-für-Schritt-Anleitung |
---
**IHK-sichere Gesamtformulierung**
Sniffing bezeichnet das Mitschneiden und Analysieren von Netzwerkverkehr. Mit Werkzeugen wie Wireshark, tcpdump oder tshark können Pakete untersucht werden, um DNS-Anfragen, ARP, ICMP, TCP-Handshakes, UDP-Kommunikation, DHCP-DORA, TLS-Handshakes, Resets, Retransmissions und Timeouts zu erkennen. In geswitchten Netzwerken sieht ein Client nicht automatisch den gesamten Verkehr; dafür wird häufig Port Mirroring benötigt. Das OSI-Modell hilft bei der Fehlersuche, indem Fehler schichtweise eingegrenzt werden. Ping und Porttests liefern nur Teilinformationen und ersetzen keine vollständige Prüfung von DNS, Routing, Firewall, NAT, Dienst, TLS, Anwendung, Logs und Berechtigungen. Logs, Monitoring und Dokumentation ergänzen Paketmitschnitte und sind wichtig, um Ursachen nachzuweisen und dauerhaft zu beheben.
---
**Wichtigste Merksätze**
Nicht raten,
sondern messen.
Sniffing zeigt echten Verkehr.
Paketmitschnitt zeigt Pakete.
Logs zeigen Ereignisse.
Monitoring zeigt Zustand über Zeit.
Dokumentation zeigt Aufbau und Änderungen.
Wireshark ist grafisch.
tcpdump ist Kommandozeile.
tshark ist Wireshark auf Kommandozeile.
PCAP-Dateien sind sensibel.
Mitschnittort ist entscheidend.
Port Mirroring kopiert Switch-Verkehr.
Capture Filter vor Aufnahme.
Display Filter nach Aufnahme.
TCP hat Handshake.
UDP hat keinen Handshake.
SYN,
SYN-ACK,
ACK
= TCP-Verbindung aufgebaut.
RST bedeutet aktive Ablehnung oder Abbruch.
Retransmission bedeutet erneutes Senden.
DNS immer früh prüfen.
DHCP mit DORA prüfen.
ARP ist lokal wichtig.
ICMP ist mehr als Ping.
TLS schützt Inhalte.
SNI zeigt Hostnamen.
HTTP-Statuscodes helfen bei Schicht 7.
Ping reicht nicht aus.
Port offen reicht nicht aus.
Timeout ist keine Antwort.
Connection Refused ist aktive Ablehnung.
401 ist Authentifizierung.
403 ist Autorisierung.
OSI-Modell grenzt Fehler ein.
Bottom-Up beginnt unten.
Top-Down beginnt oben.
Divide and Conquer grenzt mittig ein.
Eine Änderung pro Test.
Letzte Änderung zuerst prüfen.
Workaround ist nicht automatisch Lösung.
Root Cause suchen.
Ergebnisse dokumentieren.
# 13. Verschlüsselung und Sicherheitsgrundlagen
Grundlagen zu Verschlüsselung, Schlüsseln, Zertifikaten, Hashwerten, Signaturen und sicheren Protokollen – mit Fokus auf Vertraulichkeit, Integrität, Authentizität und Verfügbarkeit.https://ulrich-wiki.com/uploads/images/gallery/2026-06/crop-y220-660-1920x320.png
# 13.0 Grundlagen der Verschlüsselung
**Kurzüberblick**
Verschlüsselung bedeutet, dass lesbare Daten so umgewandelt werden, dass sie ohne passenden Schlüssel nicht mehr verständlich sind.
Aus einer lesbaren Nachricht wird ein unlesbarer Geheimtext.
Beispiel:
Klartext: Hallo Bob
Geheimtext: A4$h!7k9%Lz@8mQ
Erst mit dem passenden Schlüssel kann daraus wieder der ursprüngliche Inhalt entstehen.
> **IHK-Merksatz:**
> Verschlüsselung schützt Inhalte vor unbefugtem Mitlesen.
---
**Quelle und Einordnung**
Diese Seite gehört zu:
**13. Verschlüsselung und Sicherheitsgrundlagen**
In unserer BookStack-Struktur steht dieses Kapitel nach:
**11. Firewalls, NAT und DMZ**
**12. Sniffing, Analyse und Fehlersuche**
und vor:
**14. VPN, Intranet und Extranet**
Warum?
Firewalls regeln, wer wohin kommunizieren darf.
Sniffing zeigt, dass Datenverkehr mitgelesen werden kann.
Verschlüsselung schützt den Inhalt der übertragenen oder gespeicherten Daten.
VPN nutzt Verschlüsselung, um sichere Verbindungen über unsichere Netze aufzubauen.
---
**Warum braucht man Verschlüsselung?**
Daten werden in Netzwerken oft über Wege übertragen, die man nicht vollständig kontrolliert.
Beispiele:
- Internet
- WLAN
- öffentliche Netze
- Cloud-Dienste
- VPN-Verbindungen
- E-Mail-Kommunikation
- Webzugriffe über HTTPS
Ohne Verschlüsselung könnten Daten leichter mitgelesen oder missbraucht werden.
Typische schützenswerte Daten sind:
- Passwörter
- Zugangsdaten
- persönliche Daten
- Bankdaten
- Kundendaten
- Firmendaten
- Backups
- private Nachrichten
> **Kurz gesagt:**
> Verschlüsselung sorgt dafür, dass abgefangene Daten ohne Schlüssel nicht sinnvoll gelesen werden können.
---
**Grundbegriffe**
| Begriff | Bedeutung |
|---|---|
| Klartext | ursprüngliche lesbare Nachricht |
| Geheimtext / Chiffrat | verschlüsselte Nachricht |
| Schlüssel | Wert zum Ver- oder Entschlüsseln |
| Verschlüsseln | Klartext wird in Geheimtext umgewandelt |
| Entschlüsseln | Geheimtext wird wieder in Klartext umgewandelt |
| Algorithmus | mathematisches Verfahren der Verschlüsselung |
| Alice | typische Senderin in Kryptografie-Beispielen |
| Bob | typischer Empfänger in Kryptografie-Beispielen |
| Eve | Angreiferin, Lauscherin oder Manipulatorin |
---
**Einfaches Ablaufmodell**
| Schritt | Erklärung |
|---|---|
| 1 | Alice hat eine lesbare Nachricht. |
| 2 | Alice verschlüsselt die Nachricht mit einem Schlüssel. |
| 3 | Über das Netzwerk wird nur der Geheimtext übertragen. |
| 4 | Bob entschlüsselt den Geheimtext mit dem passenden Schlüssel. |
| 5 | Bob kann die ursprüngliche Nachricht lesen. |
Vereinfacht:
Klartext + Schlüssel -> Verschlüsselung -> Geheimtext
Geheimtext + passender Schlüssel -> Entschlüsselung -> Klartext
---
**Die drei wichtigsten Sicherheitsziele**
Bei Verschlüsselung und IT-Sicherheit tauchen immer wieder drei Begriffe auf:
| Sicherheitsziel | Leitfrage | Beispiel |
|---|---|---|
| Vertraulichkeit | Können Unbefugte die Daten lesen? | Verschlüsselung, VPN, HTTPS |
| Integrität | Wurden die Daten verändert? | Hash, digitale Signatur |
| Authentizität | Ist der Absender oder die Identität echt? | Zertifikat, digitale Signatur, Login |
> **IHK-Merksatz:**
> Vertraulichkeit = nur Berechtigte können lesen
> Integrität = Daten wurden nicht verändert
> Authentizität = Identität oder Absender ist echt
---
**Vertraulichkeit**
Vertraulichkeit bedeutet:
Nur berechtigte Personen oder Systeme können den Inhalt lesen.
Beispiele:
- HTTPS schützt Webdaten.
- VPN schützt Daten über unsichere Netze.
- WPA2 / WPA3 schützt WLAN-Datenverkehr.
- Festplattenverschlüsselung schützt gespeicherte Daten.
> **Merksatz:**
> Vertraulichkeit schützt vor Mitlesen.
---
**Integrität**
Integrität bedeutet:
Daten wurden nicht verändert.
Man möchte erkennen können, ob eine Nachricht, Datei oder Übertragung manipuliert wurde.
Beispiele:
- Hashwert einer Datei prüfen
- digitale Signatur prüfen
- Prüfsumme vergleichen
> **Merksatz:**
> Integrität schützt nicht unbedingt vor Mitlesen, sondern erkennt Veränderungen.
---
**Authentizität**
Authentizität bedeutet:
Die Identität ist echt.
Die Leitfrage lautet:
Bist du wirklich derjenige, für den du dich ausgibst?
Beispiele:
- Benutzer meldet sich mit Passwort an.
- Webseite weist sich mit Zertifikat aus.
- Absender signiert eine Nachricht digital.
- Zwei-Faktor-Authentifizierung bestätigt zusätzlich die Identität.
> **Merksatz:**
> Authentizität prüft Echtheit.
---
**Was Verschlüsselung leisten kann**
Verschlüsselung kann helfen bei:
| Ziel | Erklärung |
|---|---|
| Schutz vor Mitlesen | Geheimtext ist ohne Schlüssel nicht verständlich |
| Schutz gespeicherter Daten | Daten auf Datenträgern oder in der Cloud werden geschützt |
| sichere Übertragung | Daten können über unsichere Netze übertragen werden |
| Grundlage für VPN | VPNs nutzen Verschlüsselung für sichere Tunnel |
| Grundlage für HTTPS | Webseitenverbindungen werden geschützt |
---
**Was Verschlüsselung allein nicht automatisch leistet**
Verschlüsselung ist wichtig, aber sie löst nicht jedes Sicherheitsproblem automatisch.
| Problem | Warum Verschlüsselung allein nicht reicht |
|---|---|
| falscher Empfänger | Daten können an die falsche Person gesendet werden |
| gestohlener Schlüssel | Angreifer kann entschlüsseln |
| unsicheres Passwort | Schlüssel oder Zugang kann erraten werden |
| manipulierte Software | Daten können vor oder nach der Verschlüsselung abgegriffen werden |
| unsicheres Endgerät | Klartext kann direkt am Gerät gelesen werden |
| fehlende Authentizität | Man weiß nicht sicher, mit wem man spricht |
> **Achtung Prüfungsfalle:**
> Verschlüsselung schützt den Inhalt, aber nicht automatisch vor allen Angriffen.
---
**Wichtige Verfahren im Überblick**
| Verfahren | Grundidee |
|---|---|
| symmetrische Verschlüsselung | gleicher geheimer Schlüssel auf beiden Seiten |
| asymmetrische Verschlüsselung | öffentlicher und privater Schlüssel |
| hybride Verschlüsselung | asymmetrisch für Schlüsselaustausch, symmetrisch für Daten |
| digitale Signatur | Absender und Unverändertheit prüfen |
| Hashfunktion | Prüfwert zur Integritätsprüfung |
| Zertifikat | Identität mit öffentlichem Schlüssel verbinden |
| Diffie-Hellman | gemeinsames Schlüsselmaterial aushandeln |
| One-Time-Pad | theoretisch sicher bei perfekten Bedingungen |
| Steganographie | Nachricht in unauffälligen Daten verstecken |
---
**Symmetrisch, asymmetrisch und hybrid im Kurzvergleich**
| Merkmal | Symmetrisch | Asymmetrisch | Hybrid |
|---|---|---|---|
| Schlüsselprinzip | ein gemeinsamer geheimer Schlüssel | öffentlicher + privater Schlüssel | Kombination aus beiden |
| Geschwindigkeit | schnell | langsamer | praktisch schnell |
| Hauptvorteil | gut für große Datenmengen | löst Schlüsselübergabe | kombiniert beide Vorteile |
| Hauptproblem | sichere Schlüsselübergabe | höherer Rechenaufwand | komplexerer Ablauf |
| typischer Einsatz | Nutzdaten | Schlüssel, Signatur, Zertifikate | HTTPS, TLS, VPN |
> **Kurzform:**
> Symmetrisch = schnell
> Asymmetrisch = Schlüsselübergabe lösen
> Hybrid = Praxislösung
---
**Beispiel aus dem Alltag: HTTPS**
Wenn du eine Webseite über HTTPS aufrufst, spielen mehrere Sicherheitsbausteine zusammen.
Vereinfacht:
| Baustein | Aufgabe |
|---|---|
| Zertifikat | Browser prüft die Identität der Webseite |
| asymmetrische Verfahren | helfen beim sicheren Verbindungsaufbau |
| Sitzungsschlüssel | wird für diese Verbindung genutzt |
| symmetrische Verschlüsselung | schützt danach die eigentlichen Nutzdaten |
| Hash / Signatur | helfen bei Prüfung von Integrität und Vertrauen |
Das genaue Verfahren ist technisch komplexer, aber für die Grundlagen reicht:
> **HTTPS nutzt mehrere Sicherheitsbausteine zusammen.**
---
**Typische Prüfungsfragen zu den Grundlagen**
**Was bedeutet Verschlüsselung?**
Verschlüsselung bedeutet, dass lesbare Daten mit einem Schlüssel in eine unlesbare Form umgewandelt werden.
**Was ist Klartext?**
Klartext ist die lesbare ursprüngliche Nachricht.
**Was ist Geheimtext?**
Geheimtext ist die verschlüsselte Form einer Nachricht.
**Was ist ein Schlüssel?**
Ein Schlüssel ist ein Wert, mit dem Daten ver- oder entschlüsselt werden.
**Was bedeutet Vertraulichkeit?**
Nur Berechtigte können die Daten lesen.
**Was bedeutet Integrität?**
Daten wurden nicht verändert.
**Was bedeutet Authentizität?**
Identität oder Absender ist echt.
**Warum ist Verschlüsselung im Netzwerk wichtig?**
Weil Daten über unsichere Netze übertragen werden können und vor Mitlesen geschützt werden sollen.
---
**Prüfungsfalle: Verschlüsselung, Hash und Signatur nicht verwechseln**
| Begriff | Aufgabe |
|---|---|
| Verschlüsselung | Inhalt unlesbar machen |
| Hash | Veränderung an Daten erkennen |
| digitale Signatur | Absender und Integrität prüfen |
| Zertifikat | Identität und öffentlichen Schlüssel verbinden |
| Steganographie | Existenz einer Nachricht verstecken |
> **Merksatz:**
> Verschlüsselung schützt den Inhalt.
> Hash prüft Daten.
> Signatur prüft Absender und Daten.
> Zertifikat prüft Identität.
> Steganographie versteckt Nachrichten.
---
**Zusammenfassung**
Verschlüsselung ist ein Grundbaustein der Netzwerksicherheit.
Sie wandelt lesbare Daten in eine unlesbare Form um.
Nur mit dem passenden Schlüssel können die Daten wieder entschlüsselt werden.
Für die IHK sind besonders wichtig:
- Vertraulichkeit
- Integrität
- Authentizität
- symmetrische Verschlüsselung
- asymmetrische Verschlüsselung
- hybride Verschlüsselung
- Hashfunktion
- digitale Signatur
- Zertifikate
- Diffie-Hellman
- Perfect Forward Secrecy
- Brute Force
- Zufallszahlen
- One-Time-Pad
- Steganographie
> **IHK-Spickzettel:**
> Verschlüsselung = Inhalt schützen
> Vertraulichkeit = nur Berechtigte lesen
> Integrität = Daten unverändert
> Authentizität = Identität echt
> Symmetrisch = gleicher Schlüssel
> Asymmetrisch = öffentlicher + privater Schlüssel
> Hybrid = asymmetrisch für Schlüssel, symmetrisch für Daten
# 13.1 Symmetrische Verschlüsselung
[](https://ulrich-wiki.com/uploads/images/gallery/2026-06/chatgpt-image-3-juni-2026-01-07-07-1.png)
**Kurzüberblick**
Bei der **symmetrischen Verschlüsselung** verwenden Sender und Empfänger **denselben geheimen Schlüssel**.
Das bedeutet:
- Alice hat den geheimen Schlüssel.
- Bob hat denselben geheimen Schlüssel.
- Eve darf diesen Schlüssel nicht besitzen.
- Mit demselben Schlüssel wird verschlüsselt und entschlüsselt.
> **IHK-Merksatz:**
> Symmetrisch bedeutet: **ein gemeinsamer geheimer Schlüssel auf beiden Seiten**.
---
**Grundidee**
Alice möchte Bob eine geheime Nachricht schicken.
Dafür passiert Folgendes:
| Schritt | Erklärung |
|---|---|
| 1 | Alice schreibt eine Nachricht im Klartext. |
| 2 | Alice verschlüsselt die Nachricht mit dem gemeinsamen geheimen Schlüssel. |
| 3 | Über das Netzwerk wird nur der Geheimtext übertragen. |
| 4 | Bob entschlüsselt den Geheimtext mit demselben geheimen Schlüssel. |
| 5 | Bob erhält wieder den ursprünglichen Klartext. |
---
**Einfaches Beispiel**
| Zustand | Beispiel |
|---|---|
| Klartext | Passwort: geheim123 |
| gemeinsamer Schlüssel | blauer geheimer Schlüssel |
| Geheimtext / Chiffrat | A4$h!7k9%Lz@8mQ |
| entschlüsselter Klartext | Passwort: geheim123 |
Wichtig ist nicht der Beispieltext selbst, sondern das Prinzip:
> **Nur wer den gemeinsamen geheimen Schlüssel besitzt, kann die Nachricht wieder lesen.**
---
**Eigenschaften der symmetrischen Verschlüsselung**
| Punkt | Erklärung |
|---|---|
| Schlüsselanzahl | ein gemeinsamer geheimer Schlüssel |
| Schlüsselart | beide Seiten nutzen denselben Schlüssel |
| Geschwindigkeit | sehr schnell |
| Eignung | gut für große Datenmengen |
| Hauptproblem | sichere Übergabe des Schlüssels |
| Gefahr | Wenn Eve den Schlüssel bekommt, kann sie entschlüsseln |
| typische Beispiele | AES, ChaCha20 |
| Sonderfall | One-Time-Pad |
---
**Warum ist symmetrische Verschlüsselung schnell?**
Symmetrische Verfahren sind für große Datenmengen gut geeignet, weil sie rechnerisch deutlich effizienter sind als asymmetrische Verfahren.
Darum wird symmetrische Verschlüsselung in der Praxis häufig genutzt für:
- große Dateien
- Datenströme
- VPN-Datenverkehr
- HTTPS-Nutzdaten
- WLAN-Verschlüsselung
- verschlüsselte Backups
- Festplattenverschlüsselung
> **Kurz gesagt:**
> Symmetrische Verschlüsselung ist die schnelle Methode für die eigentlichen Nutzdaten.
---
**Das Hauptproblem: Schlüsselübergabe**
Der größte Nachteil ist nicht die eigentliche Verschlüsselung, sondern die Frage:
> **Wie bekommt Bob den geheimen Schlüssel, ohne dass Eve ihn kopieren kann?**
Alice und Bob brauchen denselben Schlüssel.
Dieser Schlüssel muss also irgendwie zu Bob gelangen.
Wenn Alice den Schlüssel einfach ungeschützt über das Netzwerk sendet, kann Eve ihn abfangen.
---
**Ablauf des Schlüsselübergabe-Problems**
| Schritt | Was passiert? | Risiko |
|---|---|---|
| 1 | Alice erzeugt einen geheimen Schlüssel. | noch sicher |
| 2 | Bob braucht eine Kopie dieses Schlüssels. | Übergabe nötig |
| 3 | Alice sendet den Schlüssel an Bob. | Eve könnte mithören |
| 4 | Eve kopiert den Schlüssel. | Sicherheit verloren |
| 5 | Eve kann spätere Nachrichten entschlüsseln. | Game Over |
> **Achtung Prüfungsfalle:**
> Die Verschlüsselung kann mathematisch stark sein.
> Wenn der Schlüssel aber in falsche Hände kommt, ist die Kommunikation trotzdem unsicher.
---
**Was passiert, wenn Eve den Schlüssel bekommt?**
Wenn Eve den gemeinsamen geheimen Schlüssel besitzt, kann sie:
- verschlüsselte Nachrichten entschlüsseln
- mitlesen
- eigene Nachrichten verschlüsseln
- sich eventuell als Teilnehmer ausgeben
- die Sicherheit der Verbindung zerstören
Deshalb gilt:
> **Der Schlüssel ist das eigentliche Geheimnis.**
---
**Vorteil und Nachteil auf einen Blick**
| Vorteil | Nachteil |
|---|---|
| sehr schnell | sichere Schlüsselübergabe ist schwierig |
| gut für große Datenmengen | beide Seiten brauchen denselben geheimen Schlüssel |
| technisch effizient | Schlüsselverlust macht alles unsicher |
| in der Praxis sehr wichtig | skaliert schlecht bei vielen Kommunikationspartnern |
---
**Warum skaliert das schlecht?**
Wenn nur Alice und Bob miteinander kommunizieren, reicht ein gemeinsamer Schlüssel.
Bei vielen Personen wird es schwieriger.
| Situation | Problem |
|---|---|
| Alice und Bob | ein gemeinsamer Schlüssel reicht |
| Alice, Bob und Carla | mehrere Schlüssel nötig |
| viele Benutzer | sehr viele Schlüssel zwischen den Beteiligten nötig |
| Unternehmen oder Internet | reine symmetrische Schlüsselverteilung wird unpraktisch |
Darum nutzt man in der Praxis oft ein **hybrides Verfahren**:
- asymmetrisch für den sicheren Schlüsselaustausch
- symmetrisch für die schnelle Datenverschlüsselung
Das wird später bei **13.6 Hybride Verschlüsselung** wichtig.
---
**Typische Praxisbeispiele**
| Bereich | Rolle der symmetrischen Verschlüsselung |
|---|---|
| WLAN | Nutzdaten werden verschlüsselt übertragen |
| VPN | Daten im Tunnel werden verschlüsselt |
| HTTPS / TLS | Nutzdaten werden nach dem Schlüsselaustausch symmetrisch verschlüsselt |
| Festplattenverschlüsselung | Daten auf dem Datenträger werden symmetrisch geschützt |
| Backups | Sicherungskopien können symmetrisch verschlüsselt werden |
---
**Typische IHK-Fragen zu symmetrischer Verschlüsselung**
**Was ist symmetrische Verschlüsselung?**
Bei der symmetrischen Verschlüsselung verwenden Sender und Empfänger **denselben geheimen Schlüssel** zum Ver- und Entschlüsseln.
**Was ist der wichtigste Vorteil?**
Sie ist **schnell** und eignet sich gut für **große Datenmengen**.
**Was ist der wichtigste Nachteil?**
Der gemeinsame geheime Schlüssel muss **sicher an beide Kommunikationspartner verteilt** werden.
**Was passiert, wenn ein Angreifer den Schlüssel bekommt?**
Dann kann der Angreifer die verschlüsselten Daten entschlüsseln. Die Sicherheit ist dann verloren.
**Warum verwendet man trotzdem symmetrische Verschlüsselung?**
Weil sie sehr effizient ist und deshalb in der Praxis für die eigentlichen Nutzdaten verwendet wird.
---
**Prüfungsfalle: symmetrisch vs. asymmetrisch**
| Merkmal | Symmetrisch | Asymmetrisch |
|---|---|---|
| Schlüsselanzahl | ein gemeinsamer Schlüssel | zwei Schlüssel |
| Schlüsselarten | geheimer Schlüssel | öffentlicher und privater Schlüssel |
| Geschwindigkeit | schnell | langsamer |
| Problem | sichere Schlüsselübergabe | mehr Rechenaufwand |
| typischer Einsatz | große Datenmengen | Schlüsselaustausch, Signatur, Zertifikate |
> **Merksatz:**
> Symmetrisch ist schnell, aber die Schlüsselübergabe ist das Problem.
> Asymmetrisch hilft bei der Schlüsselübergabe, ist aber langsamer.
---
**Zusammenfassung**
Die symmetrische Verschlüsselung nutzt **einen gemeinsamen geheimen Schlüssel**.
Dieser Schlüssel wird für beide Richtungen verwendet:
- Alice verschlüsselt mit dem Schlüssel.
- Bob entschlüsselt mit demselben Schlüssel.
- Bob kann auch mit demselben Schlüssel verschlüsseln.
- Alice kann mit demselben Schlüssel entschlüsseln.
Der große Vorteil ist die hohe Geschwindigkeit.
Der große Nachteil ist die sichere Übergabe des Schlüssels.
> **IHK-Spickzettel:**
> Symmetrisch = gleicher geheimer Schlüssel
> Vorteil = schnell
> Nachteil = Schlüsselübergabe
> Gefahr = Schlüsselverlust
> Praxis = Nutzdatenverschlüsselung bei WLAN, VPN, HTTPS/TLS, Backups und Festplatten
# 13.2 Asymmetrische Verschlüsselung
[](https://ulrich-wiki.com/uploads/images/gallery/2026-06/000f410e-9fa5-44de-b693-2b5efa4baab8.png)
**Kurzüberblick**
Bei der **asymmetrischen Verschlüsselung** gibt es nicht nur einen gemeinsamen Schlüssel, sondern ein **Schlüsselpaar**.
Dieses Schlüsselpaar besteht aus:
- einem **öffentlichen Schlüssel**
- einem **privaten Schlüssel**
Der öffentliche Schlüssel darf verteilt werden.
Der private Schlüssel bleibt geheim.
> **IHK-Merksatz:**
> Asymmetrisch bedeutet: **zwei unterschiedliche Schlüssel**.
> Einer ist öffentlich, einer bleibt privat.
---
**Grundidee**
Wenn Alice eine geheime Nachricht an Bob senden möchte, muss Bob zuerst ein Schlüsselpaar erzeugen.
Das ist wichtig:
> **Der Empfänger des Geheimnisses erzeugt das Schlüsselpaar.**
In unserem Beispiel ist Bob der Empfänger.
Bob erzeugt also:
| Schlüssel | Bedeutung |
|---|---|
| öffentlicher Schlüssel | darf an Alice und andere Personen weitergegeben werden |
| privater Schlüssel | bleibt geheim bei Bob |
Alice nutzt dann **Bobs öffentlichen Schlüssel**, um die Nachricht zu verschlüsseln.
Bob nutzt seinen **privaten Schlüssel**, um die Nachricht zu entschlüsseln.
---
**Warum braucht man zwei Schlüssel?**
Bei der symmetrischen Verschlüsselung gibt es ein Problem:
Alice und Bob brauchen denselben geheimen Schlüssel.
Dieser Schlüssel muss sicher übertragen werden.
Bei der asymmetrischen Verschlüsselung ist das anders:
Der öffentliche Schlüssel darf offen verteilt werden.
Dadurch muss kein geheimer Schlüssel ungeschützt verschickt werden.
> **Kurz gesagt:**
> Asymmetrische Verschlüsselung hilft beim Problem der sicheren Schlüsselübergabe.
---
**Ablauf: Alice sendet ein Geheimnis an Bob**
| Schritt | Erklärung |
|---|---|
| 1 | Bob erzeugt ein Schlüsselpaar. |
| 2 | Bob behält den privaten Schlüssel geheim. |
| 3 | Bob veröffentlicht seinen öffentlichen Schlüssel. |
| 4 | Alice nimmt Bobs öffentlichen Schlüssel. |
| 5 | Alice verschlüsselt damit ihre Nachricht. |
| 6 | Die verschlüsselte Nachricht wird über das Netzwerk übertragen. |
| 7 | Bob entschlüsselt mit seinem privaten Schlüssel. |
| 8 | Bob kann den Klartext lesen. |
---
**Einfaches Beispiel**
| Rolle | Was passiert? |
|---|---|
| Bob | erzeugt öffentlichen und privaten Schlüssel |
| Bob | gibt den öffentlichen Schlüssel frei |
| Alice | verschlüsselt mit Bobs öffentlichem Schlüssel |
| Eve | kann den öffentlichen Schlüssel ebenfalls sehen |
| Bob | entschlüsselt mit seinem privaten Schlüssel |
| Eve | kann nicht entschlüsseln, weil ihr der private Schlüssel fehlt |
---
**Wichtiger Grundsatz**
Was mit dem einen Schlüssel verschlüsselt wird, kann nur mit dem anderen passenden Schlüssel entschlüsselt werden.
Das bedeutet hier:
| Aktion | Schlüssel |
|---|---|
| Verschlüsseln für Bob | Bobs öffentlicher Schlüssel |
| Entschlüsseln durch Bob | Bobs privater Schlüssel |
> **Merksatz:**
> Zum geheimen Senden an Bob nutzt Alice **Bobs öffentlichen Schlüssel**.
> Zum Lesen nutzt Bob **seinen privaten Schlüssel**.
---
**Öffentlicher Schlüssel**
Der öffentliche Schlüssel darf verteilt werden.
Er kann zum Beispiel:
- auf einer Webseite stehen
- in einem Zertifikat enthalten sein
- an Kommunikationspartner gesendet werden
- von Alice verwendet werden
- auch von Eve gesehen werden
Das ist nicht schlimm, weil der öffentliche Schlüssel allein nicht zum Entschlüsseln reicht.
> **Wichtig:**
> Öffentlich bedeutet nicht unsicher.
> Der öffentliche Schlüssel ist dafür gedacht, verteilt zu werden.
---
**Privater Schlüssel**
Der private Schlüssel ist das eigentliche Geheimnis.
Er darf nicht weitergegeben werden.
Wenn der private Schlüssel gestohlen wird, ist die Sicherheit gefährdet.
Der private Schlüssel wird genutzt zum Beispiel für:
- Entschlüsseln
- digitale Signatur
- Identitätsnachweis
- Zugriff auf geschützte Kommunikation
> **Achtung Prüfungsfalle:**
> Der private Schlüssel wird niemals veröffentlicht.
> Er bleibt beim Besitzer.
---
**Vorteile der asymmetrischen Verschlüsselung**
| Vorteil | Erklärung |
|---|---|
| kein geheimer Schlüssel muss vorher gemeinsam übertragen werden | Der öffentliche Schlüssel darf verteilt werden |
| geeignet für Schlüsselaustausch | Ein Sitzungsschlüssel kann sicher übertragen werden |
| ermöglicht digitale Signaturen | Absender und Integrität können geprüft werden |
| Grundlage für Zertifikate | Identitäten können mit öffentlichen Schlüsseln verbunden werden |
---
**Nachteile der asymmetrischen Verschlüsselung**
| Nachteil | Erklärung |
|---|---|
| langsamer als symmetrische Verschlüsselung | Rechenaufwand ist höher |
| nicht ideal für große Datenmengen | Für große Daten nutzt man besser symmetrische Verschlüsselung |
| private Schlüssel müssen gut geschützt werden | Verlust oder Diebstahl ist kritisch |
| Zertifikatsprüfung kann nötig sein | Man muss wissen, ob der öffentliche Schlüssel wirklich zur richtigen Person gehört |
---
**Warum verschlüsselt man nicht einfach alles asymmetrisch?**
Asymmetrische Verschlüsselung ist praktisch, aber langsam.
Für große Datenmengen wäre das ineffizient.
Darum nutzt man in der Praxis meistens ein **hybrides Verfahren**:
- asymmetrisch für den sicheren Schlüsselaustausch
- symmetrisch für die schnelle Datenverschlüsselung
Das ist wichtig für:
- HTTPS
- TLS
- VPN
- sichere Kommunikation im Internet
> **Kurz gesagt:**
> Asymmetrisch löst das Schlüsselübergabe-Problem.
> Symmetrisch verschlüsselt danach schnell die eigentlichen Daten.
---
**Vergleich: symmetrisch und asymmetrisch**
| Merkmal | Symmetrisch | Asymmetrisch |
|---|---|---|
| Anzahl der Schlüssel | ein gemeinsamer Schlüssel | zwei Schlüssel |
| Schlüsselarten | geheimer Schlüssel | öffentlicher und privater Schlüssel |
| Geschwindigkeit | schnell | langsamer |
| Hauptproblem | Schlüsselübergabe | höherer Rechenaufwand |
| typischer Einsatz | große Datenmengen | Schlüsselaustausch, Zertifikate, Signatur |
| Beispielprinzip | Alice und Bob haben denselben Schlüssel | Alice nutzt Bobs öffentlichen Schlüssel |
---
**Bezug zur digitalen Signatur**
Asymmetrische Verfahren können nicht nur für Verschlüsselung genutzt werden.
Sie können auch für digitale Signaturen genutzt werden.
Dabei ist die Richtung anders:
| Zweck | Verwendeter Schlüssel |
|---|---|
| Nachricht an Bob verschlüsseln | Bobs öffentlicher Schlüssel |
| Nachricht von Bob entschlüsseln | Bobs privater Schlüssel |
| Signatur von Bob erstellen | Bobs privater Schlüssel |
| Signatur von Bob prüfen | Bobs öffentlicher Schlüssel |
> **Wichtig:**
> Verschlüsselung schützt die Vertraulichkeit.
> Signatur prüft Authentizität und Integrität.
---
**Typische Praxisbeispiele**
| Bereich | Rolle der asymmetrischen Verschlüsselung |
|---|---|
| HTTPS / TLS | sicherer Schlüsselaustausch und Zertifikate |
| VPN | Aufbau sicherer Verbindungen |
| digitale Signatur | Echtheit und Unverändertheit prüfen |
| Zertifikate | öffentlicher Schlüssel wird einer Identität zugeordnet |
| E-Mail-Verschlüsselung | öffentliche Schlüssel können zum Verschlüsseln genutzt werden |
| SSH | Schlüsselpaare können zur Anmeldung genutzt werden |
---
**Typische IHK-Fragen zur asymmetrischen Verschlüsselung**
**Was ist asymmetrische Verschlüsselung?**
Bei der asymmetrischen Verschlüsselung gibt es zwei unterschiedliche Schlüssel: einen öffentlichen und einen privaten Schlüssel.
**Wer erzeugt das Schlüsselpaar?**
Der Empfänger erzeugt das Schlüsselpaar, wenn er verschlüsselte Nachrichten empfangen möchte.
**Was passiert mit dem öffentlichen Schlüssel?**
Der öffentliche Schlüssel darf verteilt werden.
**Was passiert mit dem privaten Schlüssel?**
Der private Schlüssel bleibt geheim beim Besitzer.
**Welchen Schlüssel nutzt Alice, wenn sie Bob eine geheime Nachricht senden möchte?**
Alice nutzt **Bobs öffentlichen Schlüssel**.
**Welchen Schlüssel nutzt Bob zum Entschlüsseln?**
Bob nutzt **seinen privaten Schlüssel**.
**Warum ist asymmetrische Verschlüsselung wichtig?**
Sie löst das Problem, wie man sicher einen Schlüssel austauschen kann.
**Warum nutzt man asymmetrische Verschlüsselung nicht für alle Daten?**
Weil sie langsamer ist als symmetrische Verschlüsselung.
---
**Prüfungsfalle: öffentlicher Schlüssel ist nicht geheim**
Der öffentliche Schlüssel darf von allen gesehen werden.
Auch Eve darf ihn kennen.
Das ist nicht das Problem.
Das Problem wäre nur, wenn Eve den **privaten Schlüssel** bekommt.
| Schlüssel | Darf Eve ihn sehen? | Sicherheitsproblem? |
|---|---|---|
| öffentlicher Schlüssel | ja | nein |
| privater Schlüssel | nein | ja, sehr kritisch |
> **Achtung:**
> Öffentlich heißt hier wirklich öffentlich.
> Geheim bleiben muss nur der private Schlüssel.
---
**Prüfungsfalle: Wer verschlüsselt mit welchem Schlüssel?**
Wenn Alice eine Nachricht geheim an Bob senden möchte:
| Person | Aktion |
|---|---|
| Bob | erzeugt Schlüsselpaar |
| Bob | veröffentlicht öffentlichen Schlüssel |
| Alice | verschlüsselt mit Bobs öffentlichem Schlüssel |
| Bob | entschlüsselt mit Bobs privatem Schlüssel |
> **Merksatz:**
> Immer an den Empfänger denken:
> Wer lesen soll, dessen öffentlicher Schlüssel wird zum Verschlüsseln genutzt.
---
**Zusammenfassung**
Die asymmetrische Verschlüsselung nutzt ein Schlüsselpaar:
- öffentlicher Schlüssel
- privater Schlüssel
Der öffentliche Schlüssel darf verteilt werden.
Der private Schlüssel bleibt geheim.
Alice verschlüsselt eine Nachricht für Bob mit **Bobs öffentlichem Schlüssel**.
Bob entschlüsselt die Nachricht mit **Bobs privatem Schlüssel**.
Der große Vorteil ist:
- Die Schlüsselübergabe wird einfacher.
Der große Nachteil ist:
- Das Verfahren ist langsamer als symmetrische Verschlüsselung.
> **IHK-Spickzettel:**
> Asymmetrisch = öffentlicher + privater Schlüssel
> Öffentlich = darf verteilt werden
> Privat = bleibt geheim
> Verschlüsseln für Bob = Bobs öffentlicher Schlüssel
> Entschlüsseln durch Bob = Bobs privater Schlüssel
> Vorteil = löst Schlüsselübergabe
> Nachteil = langsamer als symmetrisch
# 13.3 Digitale Signatur
[](https://ulrich-wiki.com/uploads/images/gallery/2026-06/2bb3f876-fe0b-437d-876f-aa79e8c0af1b.png)
**Kurzüberblick**
Eine **digitale Signatur** ist kein Verfahren, um eine Nachricht geheim zu machen.
Eine digitale Signatur dient vor allem dazu zu prüfen:
- Stammt die Nachricht wirklich vom angegebenen Absender?
- Wurde die Nachricht unterwegs verändert?
> **IHK-Merksatz:**
> Digitale Signatur = **Authentizität + Integrität**
> Nicht das Hauptziel = **Vertraulichkeit**
---
**Grundidee**
Bei der digitalen Signatur wird das asymmetrische Prinzip anders genutzt als bei der Verschlüsselung.
Bei der Verschlüsselung gilt:
- Alice verschlüsselt mit Bobs öffentlichem Schlüssel.
- Bob entschlüsselt mit Bobs privatem Schlüssel.
- Ziel: Nur Bob soll lesen können.
Bei der Signatur gilt:
- Bob signiert mit seinem privaten Schlüssel.
- Alice prüft mit Bobs öffentlichem Schlüssel.
- Ziel: Alice soll prüfen können, ob es wirklich von Bob stammt.
---
**Wichtigster Unterschied**
| Thema | Ziel |
|---|---|
| Verschlüsselung | Inhalt vor Mitlesen schützen |
| digitale Signatur | Absender-Echtheit und Unverändertheit prüfen |
> **Kurz gesagt:**
> Verschlüsselung schützt den **Inhalt**.
> Signatur prüft **Echtheit und Unverändertheit**.
---
**Welche Schlüssel werden benutzt?**
| Vorgang | Schlüssel |
|---|---|
| Signatur erstellen | privater Schlüssel des Absenders |
| Signatur prüfen | öffentlicher Schlüssel des Absenders |
Wenn Bob eine Nachricht signiert:
- Bob benutzt seinen **privaten Schlüssel**.
- Alice prüft mit Bobs **öffentlichem Schlüssel**.
- Eve kann Bobs öffentlichen Schlüssel auch besitzen.
- Eve kann damit die Signatur prüfen, aber keine gültige Signatur von Bob erzeugen.
> **Merksatz:**
> Signieren = privater Schlüssel
> Prüfen = öffentlicher Schlüssel
---
**Ablauf einer digitalen Signatur**
| Schritt | Erklärung |
|---|---|
| 1 | Bob erstellt eine Nachricht. |
| 2 | Aus der Nachricht wird ein Hashwert gebildet. |
| 3 | Bob signiert diesen Hash mit seinem privaten Schlüssel. |
| 4 | Bob sendet Nachricht und Signatur an Alice. |
| 5 | Alice berechnet selbst den Hash der empfangenen Nachricht. |
| 6 | Alice prüft die Signatur mit Bobs öffentlichem Schlüssel. |
| 7 | Wenn die Prüfung passt, sind Absender und Inhalt vertrauenswürdig. |
---
**Was prüft Alice dadurch?**
Wenn die Signaturprüfung erfolgreich ist, weiß Alice:
| Prüfung | Bedeutung |
|---|---|
| Authentizität | Die Nachricht stammt wirklich von Bob. |
| Integrität | Die Nachricht wurde unterwegs nicht verändert. |
Wenn die Prüfung fehlschlägt, kann das bedeuten:
- Die Nachricht wurde verändert.
- Die Signatur passt nicht zur Nachricht.
- Die Signatur stammt nicht von Bob.
- Der falsche öffentliche Schlüssel wurde verwendet.
- Der private Schlüssel wurde möglicherweise missbraucht.
---
**Warum wird ein Hash verwendet?**
In der Praxis wird normalerweise nicht die komplette Nachricht direkt signiert.
Stattdessen wird zuerst ein **Hashwert** der Nachricht gebildet.
Ein Hash ist ein Prüfwert fester Länge.
Beispiel:
| Eingabe | Hashwert |
|---|---|
| Nachricht A | a1b2c3d4... |
| Nachricht A mit kleiner Änderung | 9f8e7d6c... |
Schon eine kleine Änderung an der Nachricht verändert den Hashwert stark.
Darum eignet sich ein Hash gut, um Veränderungen an Daten zu erkennen.
> **Wichtig:**
> Ein Hash ist **keine Verschlüsselung**.
> Ein Hash wird normalerweise nicht entschlüsselt, sondern verglichen.
---
**Signatur mit Hash – vereinfacht**
Bob macht:
| Schritt | Vorgang |
|---|---|
| 1 | Nachricht schreiben |
| 2 | Hash der Nachricht berechnen |
| 3 | Hash mit privatem Schlüssel signieren |
| 4 | Nachricht + Signatur senden |
Alice macht:
| Schritt | Vorgang |
|---|---|
| 1 | Nachricht empfangen |
| 2 | Hash der empfangenen Nachricht neu berechnen |
| 3 | Signatur mit Bobs öffentlichem Schlüssel prüfen |
| 4 | Ergebnis bewerten |
---
**Warum kann Eve die Signatur nicht einfach fälschen?**
Eve kann die Nachricht und die Signatur möglicherweise sehen.
Aber Eve besitzt nicht Bobs privaten Schlüssel.
Deshalb kann Eve keine gültige Signatur erzeugen, die wie eine echte Signatur von Bob geprüft werden kann.
| Person | Hat Bobs privaten Schlüssel? | Kann gültig als Bob signieren? |
|---|---|---|
| Bob | ja | ja |
| Alice | nein | nein |
| Eve | nein | nein |
> **Achtung Prüfungsfalle:**
> Der öffentliche Schlüssel darf bekannt sein.
> Gefährlich wäre der Verlust des privaten Schlüssels.
---
**Was passiert bei Manipulation?**
Angenommen Bob sendet eine signierte Nachricht an Alice.
Eve verändert unterwegs den Inhalt.
Dann passiert bei Alice:
1. Alice berechnet den Hash der veränderten Nachricht.
2. Alice prüft die Signatur.
3. Der neu berechnete Hash passt nicht mehr zur Signatur.
4. Alice erkennt: Die Nachricht wurde verändert.
Damit ist die **Integrität** verletzt.
---
**Was eine digitale Signatur leistet**
| Sicherheitsziel | Wird durch Signatur unterstützt? | Erklärung |
|---|---|---|
| Authentizität | ja | Absender kann geprüft werden |
| Integrität | ja | Veränderung der Daten kann erkannt werden |
| Vertraulichkeit | nein, nicht automatisch | Inhalt ist dadurch nicht geheim |
---
**Was eine digitale Signatur nicht automatisch leistet**
Eine digitale Signatur macht den Inhalt nicht automatisch geheim.
Wenn Bob eine Nachricht nur signiert, aber nicht verschlüsselt, kann Eve den Inhalt eventuell mitlesen.
Eve kann die Nachricht zwar nicht unbemerkt verändern, aber sie kann den Inhalt sehen.
Darum gilt:
| Ziel | Benötigte Technik |
|---|---|
| Inhalt geheim halten | Verschlüsselung |
| Absender prüfen | digitale Signatur |
| Veränderung erkennen | Hash / digitale Signatur |
---
**Kombination aus Verschlüsselung und Signatur**
In der Praxis kann man Signatur und Verschlüsselung kombinieren.
Beispiel:
Bob möchte Alice eine Nachricht senden.
Dafür kann Bob:
1. die Nachricht signieren
2. die Nachricht für Alice verschlüsseln
3. beides an Alice senden
Alice kann dann:
1. die Nachricht entschlüsseln
2. die Signatur prüfen
Dadurch werden mehrere Sicherheitsziele kombiniert.
| Ziel | Technik |
|---|---|
| Vertraulichkeit | Verschlüsselung |
| Authentizität | digitale Signatur |
| Integrität | digitale Signatur / Hash |
---
**Vergleich: Verschlüsselung und Signatur**
| Merkmal | Verschlüsselung | Digitale Signatur |
|---|---|---|
| Hauptziel | Vertraulichkeit | Authentizität und Integrität |
| schützt vor Mitlesen | ja | nein, nicht automatisch |
| erkennt Veränderung | nicht Hauptzweck | ja |
| beweist Absender | nicht Hauptzweck | ja |
| Sender nutzt | öffentlichen Schlüssel des Empfängers | privaten Schlüssel des Senders |
| Empfänger nutzt | privaten Schlüssel des Empfängers | öffentlichen Schlüssel des Senders |
---
**Beispiel aus dem Alltag**
Eine digitale Signatur kann man sich ähnlich wie eine Unterschrift vorstellen.
Aber technisch ist sie stärker, weil sie nicht nur sagt:
„Das kommt von Bob.“
Sondern auch:
„Der Inhalt wurde seit der Signatur nicht verändert.“
Allerdings gilt:
Eine normale Unterschrift steht sichtbar auf einem Dokument.
Eine digitale Signatur ist ein technischer Prüfwert.
---
**Typische Praxisbeispiele**
| Bereich | Rolle der digitalen Signatur |
|---|---|
| Software-Downloads | prüfen, ob Software vom echten Hersteller stammt |
| Zertifikate | Identität und öffentlicher Schlüssel werden abgesichert |
| E-Mail-Sicherheit | Absender und Unverändertheit prüfen |
| Dokumente | digitale Unterschrift |
| Updates | Schutz vor manipulierten Aktualisierungen |
| TLS / HTTPS | Zertifikatsprüfung und Vertrauensketten |
---
**Typische IHK-Fragen zur digitalen Signatur**
**Was ist eine digitale Signatur?**
Eine digitale Signatur ist ein Verfahren, mit dem man die Echtheit des Absenders und die Unverändertheit der Daten prüfen kann.
**Welche Sicherheitsziele erfüllt eine digitale Signatur hauptsächlich?**
Authentizität und Integrität.
**Bietet eine digitale Signatur automatisch Vertraulichkeit?**
Nein. Eine digitale Signatur macht den Inhalt nicht automatisch geheim.
**Welchen Schlüssel nutzt der Absender zum Signieren?**
Der Absender nutzt seinen privaten Schlüssel.
**Welchen Schlüssel nutzt der Empfänger zum Prüfen?**
Der Empfänger nutzt den öffentlichen Schlüssel des Absenders.
**Warum wird häufig ein Hash verwendet?**
Weil ein Hash ein kompakter Prüfwert der Nachricht ist und Veränderungen an der Nachricht erkennbar macht.
**Was passiert, wenn die Nachricht nachträglich verändert wird?**
Die Signaturprüfung schlägt fehl, weil der Hash nicht mehr passt.
---
**Prüfungsfalle: Signatur ist nicht Verschlüsselung**
Eine digitale Signatur bedeutet nicht automatisch, dass niemand die Nachricht lesen kann.
Beispiel:
Bob sendet eine signierte, aber unverschlüsselte Nachricht.
Dann kann Alice prüfen:
- Nachricht stammt von Bob.
- Nachricht wurde nicht verändert.
Aber Eve könnte den Inhalt trotzdem lesen, wenn sie die Übertragung sieht.
> **Merksatz:**
> Signatur schützt nicht automatisch vor Mitlesen.
> Dafür braucht man Verschlüsselung.
---
**Prüfungsfalle: Wer benutzt welchen Schlüssel?**
| Ziel | Schlüssel beim Sender | Schlüssel beim Empfänger |
|---|---|---|
| Verschlüsseln für Bob | Bobs öffentlicher Schlüssel | Bobs privater Schlüssel |
| Signatur von Bob | Bobs privater Schlüssel | Bobs öffentlicher Schlüssel |
> **Kurzform:**
> Geheim an Bob senden: **Bobs öffentlicher Schlüssel**
> Bob unterschreibt digital: **Bobs privater Schlüssel**
> Alice prüft Bob: **Bobs öffentlicher Schlüssel**
---
**Zusammenfassung**
Die digitale Signatur nutzt asymmetrische Kryptografie.
Der Absender signiert mit seinem privaten Schlüssel.
Der Empfänger prüft mit dem öffentlichen Schlüssel des Absenders.
Dadurch kann geprüft werden:
- Ist der Absender echt?
- Wurde die Nachricht verändert?
Die digitale Signatur schützt aber nicht automatisch die Vertraulichkeit.
> **IHK-Spickzettel:**
> Digitale Signatur = Authentizität + Integrität
> Signieren = privater Schlüssel des Absenders
> Prüfen = öffentlicher Schlüssel des Absenders
> Hash = Prüfwert der Nachricht
> Vertraulichkeit = nur mit Verschlüsselung
# 13.4 Hybride Verschlüsselung
[](https://ulrich-wiki.com/uploads/images/gallery/2026-06/53a07f97-4c33-4061-9224-b63943316242.png)
**Kurzüberblick**
Die **hybride Verschlüsselung** kombiniert zwei Verfahren:
- **asymmetrische Verschlüsselung** für den sicheren Schlüsselaustausch
- **symmetrische Verschlüsselung** für die schnelle Verschlüsselung der eigentlichen Daten
> **IHK-Merksatz:**
> Hybrid = asymmetrisch für den sicheren Schlüsselaustausch,
> symmetrisch für die schnelle Datenverschlüsselung.
---
**Quelle 11.3.5 – Lösung: Übergabe des symmetrischen Schlüssels**
Das Problem aus der symmetrischen Verschlüsselung war:
> Alice und Bob brauchen denselben geheimen Schlüssel.
> Aber wie bekommt Bob diesen Schlüssel sicher?
Die Lösung:
Man überträgt nicht direkt ein Geheimnis mit asymmetrischer Verschlüsselung, sondern nutzt asymmetrische Verschlüsselung, um den **symmetrischen Schlüssel sicher zu übergeben**.
Danach wird mit diesem symmetrischen Schlüssel die eigentliche Nachricht schnell verschlüsselt.
---
**Warum braucht man ein hybrides Verfahren?**
Symmetrische Verschlüsselung ist schnell, hat aber ein Problem bei der Schlüsselübergabe.
Asymmetrische Verschlüsselung löst die Schlüsselübergabe, ist aber langsamer.
Hybrid kombiniert beide Vorteile.
| Verfahren | Vorteil | Nachteil |
|---|---|---|
| symmetrisch | sehr schnell | Schlüssel muss sicher übergeben werden |
| asymmetrisch | Schlüsselübergabe ist einfacher | langsamer |
| hybrid | sicherer Schlüsselaustausch + schnelle Datenverschlüsselung | etwas komplexerer Ablauf |
> **Kurz gesagt:**
> Hybrid nutzt asymmetrisch nur für den Schlüssel.
> Die Nutzdaten werden danach symmetrisch verschlüsselt.
---
**Grundidee**
Alice möchte Bob Daten sicher senden.
Dafür passiert Folgendes:
1. Alice erzeugt einen zufälligen symmetrischen Sitzungsschlüssel.
2. Alice verschlüsselt die eigentlichen Daten mit diesem Sitzungsschlüssel.
3. Alice verschlüsselt den Sitzungsschlüssel mit Bobs öffentlichem Schlüssel.
4. Alice sendet die verschlüsselten Daten und den verschlüsselten Sitzungsschlüssel an Bob.
5. Bob entschlüsselt den Sitzungsschlüssel mit seinem privaten Schlüssel.
6. Bob entschlüsselt die Daten mit dem Sitzungsschlüssel.
---
**Begriffe**
| Begriff | Bedeutung |
|---|---|
| Sitzungsschlüssel | einmaliger oder zeitlich begrenzter symmetrischer Schlüssel |
| Nutzdaten | die eigentlichen Daten, zum Beispiel Datei, Text, Login-Daten |
| öffentlicher Schlüssel | wird genutzt, um den Sitzungsschlüssel für Bob zu verschlüsseln |
| privater Schlüssel | wird von Bob genutzt, um den Sitzungsschlüssel zu entschlüsseln |
| hybride Verschlüsselung | Kombination aus asymmetrischem Schlüsselaustausch und symmetrischer Datenverschlüsselung |
---
**Ablauf Schritt für Schritt**
| Schritt | Was passiert? | Genutztes Verfahren |
|---|---|---|
| 1 | Alice erzeugt einen zufälligen Sitzungsschlüssel. | symmetrisch |
| 2 | Alice verschlüsselt die Nutzdaten mit dem Sitzungsschlüssel. | symmetrisch |
| 3 | Alice verschlüsselt den Sitzungsschlüssel mit Bobs öffentlichem Schlüssel. | asymmetrisch |
| 4 | Alice sendet verschlüsselte Nutzdaten und verschlüsselten Sitzungsschlüssel. | Übertragung |
| 5 | Bob entschlüsselt den Sitzungsschlüssel mit seinem privaten Schlüssel. | asymmetrisch |
| 6 | Bob entschlüsselt die Nutzdaten mit dem Sitzungsschlüssel. | symmetrisch |
---
**Beispiel**
Alice möchte Bob WLAN-Anmeldedaten senden.
Die eigentlichen Daten sind:
```text
SSID: Firma-WLAN
Passwort: geheim123
# 13.5 Hashfunktion und Zertifikate
[](https://ulrich-wiki.com/uploads/images/gallery/2026-06/659686ab-17c6-4d29-ac9e-fc8e2b76748b.png)
**Kurzüberblick**
Hashfunktionen und Zertifikate gehören zu den wichtigsten Grundlagen der IT-Sicherheit.
Sie lösen unterschiedliche Aufgaben:
| Thema | Hauptaufgabe |
|---|---|
| Hashfunktion | prüfen, ob Daten verändert wurden |
| Zertifikat | prüfen, ob ein öffentlicher Schlüssel zu einer bestimmten Identität gehört |
> **IHK-Merksatz:**
> Hash = Integrität prüfen
> Zertifikat = Identität mit öffentlichem Schlüssel verbinden
---
**Quelle 11.4 – Einordnung in die Sicherheitsziele**
In der Quelle werden drei Sicherheitsziele besonders hervorgehoben:
| Sicherheitsziel | Leitfrage | Typische Technik |
|---|---|---|
| Authentizität | Ist die Identität echt? | Zertifikat, digitale Signatur, Login |
| Integrität | Wurden Daten verändert? | Hashfunktion, digitale Signatur, Prüfsumme |
| Vertraulichkeit | Können Dritte mitlesen? | Verschlüsselung, VPN, HTTPS |
Diese Seite konzentriert sich auf:
- Hashfunktion
- Zertifikate
- Zusammenhang mit Signatur und HTTPS
---
**Hashfunktion**
Eine Hashfunktion erzeugt aus Daten einen Prüfwert.
Dieser Prüfwert heißt:
- Hash
- Hashwert
- Fingerabdruck
- Prüfsumme im weiteren Sinn
Beispiel:
| Eingabe | Hashwert |
|---|---|
| Hallo | a1b2c3d4... |
| Halla | 9f8e7d6c... |
Schon eine kleine Änderung an der Eingabe verändert den Hashwert stark.
> **Kurz gesagt:**
> Ein Hash ist wie ein digitaler Fingerabdruck von Daten.
---
**Wofür braucht man Hashwerte?**
Hashwerte werden genutzt, um Veränderungen zu erkennen.
Beispiele:
- Datei wurde verändert
- Download ist beschädigt
- Nachricht wurde manipuliert
- Passwort wird nicht direkt im Klartext gespeichert
- digitale Signatur prüft den Hash einer Nachricht
| Einsatz | Erklärung |
|---|---|
| Dateiprüfung | Ist die Datei noch unverändert? |
| Downloadprüfung | Wurde die Datei korrekt übertragen? |
| digitale Signatur | Der Hash der Nachricht wird signiert |
| Passwortspeicherung | Es wird normalerweise nicht das Passwort selbst gespeichert |
| Integritätsprüfung | Veränderungen an Daten können erkannt werden |
---
**Eigenschaften einer Hashfunktion**
| Eigenschaft | Bedeutung |
|---|---|
| feste Länge | Der Hashwert hat immer eine feste Länge |
| empfindlich gegen Änderungen | kleine Änderung an Daten verändert den Hash stark |
| nicht sinnvoll rückrechenbar | aus dem Hash soll man den ursprünglichen Inhalt nicht berechnen können |
| schnell berechenbar | der Hash soll effizient erzeugt werden können |
| möglichst kollisionsarm | zwei verschiedene Eingaben sollen nicht denselben Hash ergeben |
---
**Hash ist keine Verschlüsselung**
Ein häufiger Fehler ist:
Hash mit Verschlüsselung zu verwechseln.
Das ist falsch.
| Thema | Verschlüsselung | Hashfunktion |
|---|---|---|
| Ziel | Inhalt geheim halten | Veränderung erkennen |
| Rückweg möglich? | ja, mit Schlüssel entschlüsselbar | nein, normalerweise nicht rückrechenbar |
| Ergebnis | Geheimtext | Hashwert |
| braucht Schlüssel? | meistens ja | klassische Hashfunktion nicht |
| Sicherheitsziel | Vertraulichkeit | Integrität |
> **Achtung Prüfungsfalle:**
> Ein Hash wird nicht entschlüsselt.
> Ein Hash wird neu berechnet und verglichen.
---
**Beispiel: Datei mit Hash prüfen**
Angenommen, Alice lädt eine Datei herunter.
Der Hersteller gibt zusätzlich einen Hashwert an.
Alice kann dann selbst den Hash der heruntergeladenen Datei berechnen.
| Schritt | Erklärung |
|---|---|
| 1 | Hersteller veröffentlicht Datei und Hashwert. |
| 2 | Alice lädt die Datei herunter. |
| 3 | Alice berechnet den Hash der Datei selbst. |
| 4 | Alice vergleicht den berechneten Hash mit dem veröffentlichten Hash. |
| 5 | Stimmen beide überein, wurde die Datei wahrscheinlich nicht verändert. |
---
**Beispiel mit kleiner Änderung**
Originaltext:
Hallo
Hashwert:
a1b2c3d4...
Geänderter Text:
Halla
Neuer Hashwert:
9f8e7d6c...
Obwohl nur ein Buchstabe anders ist, sieht der Hash komplett anders aus.
> **Merksatz:**
> Kleine Änderung an den Daten = großer Unterschied beim Hash.
---
**Hash und Integrität**
Hashfunktionen gehören zum Sicherheitsziel:
**Integrität**
Integrität bedeutet:
> Daten wurden nicht verändert.
Mit einem Hash kann man prüfen:
- Ist die Datei noch dieselbe?
- Wurde die Nachricht verändert?
- Ist der Download beschädigt?
- Passt die Signatur noch zur Nachricht?
| Frage | Antwort durch Hash möglich? |
|---|---|
| Wurde etwas verändert? | ja |
| Wer hat die Daten gesendet? | nein, dafür braucht man Signatur oder Zertifikat |
| Können Dritte den Inhalt lesen? | nein, dafür braucht man Verschlüsselung |
| Ist der Inhalt geheim? | nein |
---
**Hash und digitale Signatur**
Bei digitalen Signaturen wird häufig nicht die komplette Nachricht direkt signiert.
Stattdessen wird ein Hashwert der Nachricht gebildet.
Ablauf:
| Schritt | Erklärung |
|---|---|
| 1 | Bob erstellt eine Nachricht. |
| 2 | Aus der Nachricht wird ein Hash gebildet. |
| 3 | Bob signiert diesen Hash mit seinem privaten Schlüssel. |
| 4 | Alice berechnet den Hash der empfangenen Nachricht neu. |
| 5 | Alice prüft die Signatur mit Bobs öffentlichem Schlüssel. |
| 6 | Wenn alles passt, sind Authentizität und Integrität erfüllt. |
> **Kurz gesagt:**
> Der Hash prüft die Daten.
> Die Signatur prüft, ob der Hash wirklich vom Absender stammt.
---
**Was ist ein Zertifikat?**
Ein Zertifikat ist ein digitaler Nachweis.
Es verbindet:
- eine Identität
- mit einem öffentlichen Schlüssel
Beispiel:
Eine Webseite behauptet:
Ich bin www.beispiel.de
Das Zertifikat hilft dem Browser zu prüfen:
> Gehört dieser öffentliche Schlüssel wirklich zu dieser Webseite?
---
**Warum braucht man Zertifikate?**
Bei asymmetrischer Verschlüsselung ist der öffentliche Schlüssel frei verteilbar.
Das Problem ist aber:
> Woher weiß Alice, dass der öffentliche Schlüssel wirklich zu Bob gehört?
Genau hier helfen Zertifikate.
| Problem | Lösung durch Zertifikat |
|---|---|
| öffentlicher Schlüssel ist sichtbar | ist grundsätzlich erlaubt |
| aber Identität muss geprüft werden | Zertifikat verbindet Identität und öffentlichen Schlüssel |
| Angreifer könnte falschen Schlüssel anbieten | Zertifikatsprüfung soll das erkennen |
| Browser muss Webseite prüfen | Zertifikat hilft bei HTTPS |
---
**Zertifikat als digitaler Ausweis**
Ein Zertifikat kann man sich wie einen digitalen Ausweis vorstellen.
Es sagt vereinfacht:
| Inhalt | Bedeutung |
|---|---|
| Name / Domain | Für wen gilt das Zertifikat? |
| öffentlicher Schlüssel | Welcher öffentliche Schlüssel gehört dazu? |
| Aussteller | Wer hat das Zertifikat bestätigt? |
| Gültigkeitszeitraum | Von wann bis wann gilt es? |
| Signatur des Ausstellers | Wurde das Zertifikat bestätigt und nicht verändert? |
> **Merksatz:**
> Zertifikat = digitaler Ausweis für einen öffentlichen Schlüssel.
---
**Zertifikate und Authentizität**
Zertifikate gehören besonders zum Sicherheitsziel:
**Authentizität**
Authentizität bedeutet:
> Ist die Identität echt?
Bei HTTPS fragt der Browser zum Beispiel:
- Ist diese Webseite wirklich die angeforderte Webseite?
- Gehört der öffentliche Schlüssel wirklich zu dieser Domain?
- Ist das Zertifikat gültig?
- Ist das Zertifikat von einer vertrauenswürdigen Stelle ausgestellt?
- Ist das Zertifikat abgelaufen oder widerrufen?
---
**Zertifikate bei HTTPS**
Bei HTTPS nutzt der Browser Zertifikate, um die Identität des Servers zu prüfen.
Vereinfacht:
| Schritt | Erklärung |
|---|---|
| 1 | Browser ruft eine HTTPS-Webseite auf. |
| 2 | Server sendet sein Zertifikat. |
| 3 | Browser prüft das Zertifikat. |
| 4 | Browser prüft, ob die Domain passt. |
| 5 | Browser prüft, ob das Zertifikat gültig ist. |
| 6 | Danach kann eine sichere Verbindung aufgebaut werden. |
---
**Was prüft der Browser beim Zertifikat?**
Typische Prüfungen:
- Passt der Domainname?
- Ist das Zertifikat noch gültig?
- Ist das Zertifikat von einer vertrauenswürdigen Zertifizierungsstelle ausgestellt?
- Wurde das Zertifikat widerrufen?
- Passt der öffentliche Schlüssel zum Zertifikat?
- Ist die Zertifikatskette vertrauenswürdig?
> **Achtung Prüfungsfalle:**
> Ein Zertifikat verschlüsselt nicht selbst die Daten.
> Es hilft dabei, die Identität und den öffentlichen Schlüssel zu prüfen.
---
**Public-Key-Zertifikat**
Ein Public-Key-Zertifikat bestätigt, dass ein bestimmter öffentlicher Schlüssel zu einer bestimmten Identität gehört.
Das ist besonders wichtig bei:
- HTTPS
- TLS
- VPN
- digitalen Signaturen
- E-Mail-Sicherheit
- Serveridentifikation
| Begriff | Bedeutung |
|---|---|
| Public Key | öffentlicher Schlüssel |
| Zertifikat | bestätigte Zuordnung zu einer Identität |
| Zertifizierungsstelle | Stelle, die Zertifikate ausstellt |
| Zertifikatskette | Vertrauenskette bis zu einer vertrauenswürdigen Stelle |
---
**Hash, Signatur und Zertifikat im Zusammenspiel**
Diese Begriffe hängen eng zusammen.
| Baustein | Aufgabe |
|---|---|
| Hash | prüft, ob Daten verändert wurden |
| Signatur | bestätigt Absender und Integrität |
| Zertifikat | bestätigt, wem ein öffentlicher Schlüssel gehört |
| öffentlicher Schlüssel | wird zum Prüfen oder Verschlüsseln genutzt |
| privater Schlüssel | wird zum Signieren oder Entschlüsseln genutzt |
Beispiel HTTPS:
| Bestandteil | Rolle |
|---|---|
| Zertifikat | Browser prüft Identität des Servers |
| öffentlicher Schlüssel | ist im Zertifikat enthalten |
| private Schlüssel | bleibt beim Server |
| Hash / Signatur | hilft bei Prüfung und Vertrauensaufbau |
| symmetrischer Sitzungsschlüssel | schützt später die Nutzdaten |
---
**Typische Praxisbeispiele**
| Bereich | Hashfunktion | Zertifikat |
|---|---|---|
| HTTPS | Integrität und Prüfmechanismen | Serveridentität prüfen |
| Software-Download | Datei-Hash prüfen | Herstellerzertifikat möglich |
| digitale Signatur | Hash der Nachricht wird signiert | öffentlicher Schlüssel wird zugeordnet |
| VPN | Integrität und Schlüsselmaterial | Identität von Gegenstellen prüfen |
| Passwortspeicherung | Passwort-Hash speichern | nicht Hauptaufgabe |
---
**Typische IHK-Fragen zu Hashfunktionen**
**Was ist eine Hashfunktion?**
Eine Hashfunktion erzeugt aus Daten einen Hashwert fester Länge.
**Wozu dient ein Hash?**
Ein Hash dient vor allem zur Integritätsprüfung.
**Ist ein Hash Verschlüsselung?**
Nein. Ein Hash wird normalerweise nicht entschlüsselt, sondern neu berechnet und verglichen.
**Was passiert, wenn Daten verändert werden?**
Der Hashwert verändert sich deutlich.
**Welches Sicherheitsziel passt zur Hashfunktion?**
Integrität.
---
**Typische IHK-Fragen zu Zertifikaten**
**Was ist ein Zertifikat?**
Ein Zertifikat verbindet eine Identität mit einem öffentlichen Schlüssel.
**Wozu braucht man Zertifikate?**
Damit geprüft werden kann, ob ein öffentlicher Schlüssel wirklich zu einer bestimmten Person, Organisation oder Webseite gehört.
**Welches Sicherheitsziel passt besonders zu Zertifikaten?**
Authentizität.
**Wo werden Zertifikate häufig verwendet?**
Bei HTTPS, TLS, VPN, digitalen Signaturen und sicherer Serveridentifikation.
**Verschlüsselt ein Zertifikat selbst die Daten?**
Nein. Ein Zertifikat bestätigt vor allem Identität und öffentlichen Schlüssel.
---
**Prüfungsfalle: Hash, Signatur und Zertifikat nicht verwechseln**
| Begriff | Nicht verwechseln mit | Richtige Bedeutung |
|---|---|---|
| Hash | Verschlüsselung | Prüfwert zur Integritätskontrolle |
| Signatur | reine Verschlüsselung | prüft Authentizität und Integrität |
| Zertifikat | Datenverschlüsselung selbst | verbindet Identität mit öffentlichem Schlüssel |
| öffentlicher Schlüssel | geheimer Schlüssel | darf verteilt werden |
| privater Schlüssel | öffentlicher Schlüssel | muss geheim bleiben |
> **Kurzform:**
> Hash prüft Daten.
> Signatur prüft Absender und Daten.
> Zertifikat prüft Identität und öffentlichen Schlüssel.
---
**Zusammenfassung**
Hashfunktionen und Zertifikate sind wichtige Bausteine der Netzwerksicherheit.
Eine Hashfunktion erzeugt einen Prüfwert für Daten.
Damit kann man erkennen, ob Daten verändert wurden.
Ein Zertifikat verbindet eine Identität mit einem öffentlichen Schlüssel.
Damit kann man prüfen, ob ein öffentlicher Schlüssel wirklich zur angegebenen Person, Organisation oder Webseite gehört.
> **IHK-Spickzettel:**
> Hash = Prüfwert
> Hash ist keine Verschlüsselung
> Hash gehört zu Integrität
> Zertifikat = digitaler Ausweis
> Zertifikat verbindet Identität mit öffentlichem Schlüssel
> Zertifikat gehört zu Authentizität
> HTTPS nutzt Zertifikate zur Prüfung der Serveridentität
# 13.6 Diffie-Hellman und Perfect Forward Secrecy
[](https://ulrich-wiki.com/uploads/images/gallery/2026-06/0fdd3c77-2b70-4fe1-a7d5-7f2fb394dee3.png)
**Kurzüberblick**
**Diffie-Hellman** ist ein Verfahren zum **Schlüsselaustausch**.
Es wird nicht dafür genutzt, große Datenmengen direkt zu verschlüsseln.
Die Grundidee ist:
Alice und Bob können über ein unsicheres Netzwerk ein gemeinsames Geheimnis erzeugen, ohne dieses Geheimnis direkt zu übertragen.
> **IHK-Merksatz:**
> Diffie-Hellman = Schlüsselaustausch
> Nicht: direkte Verschlüsselung großer Datenmengen
---
**Quelle 11.1 – Einordnung**
In der Quelle wird Diffie-Hellman bei den Unterscheidungsmerkmalen der Verschlüsselungsverfahren genannt.
Es gehört in den Bereich:
- Schlüsselaustausch
- asymmetrische Kryptografie
- sichere Verbindungsaufnahme
- Grundlage für sichere Protokolle
- Perfect Forward Secrecy
Wichtig ist:
Diffie-Hellman ist kein Ersatz für symmetrische Verschlüsselung.
Es hilft dabei, einen gemeinsamen Schlüssel zu erzeugen oder auszuhandeln.
---
**Warum braucht man Diffie-Hellman?**
Bei der symmetrischen Verschlüsselung gab es ein Problem:
Alice und Bob brauchen denselben geheimen Schlüssel.
Aber:
Wie bekommen beide denselben Schlüssel, ohne dass Eve ihn einfach kopiert?
Diffie-Hellman löst genau dieses Problem.
> **Kurz gesagt:**
> Alice und Bob einigen sich auf ein gemeinsames Geheimnis, ohne dieses Geheimnis direkt über das Netzwerk zu senden.
---
**Grundidee ohne Mathematik**
Alice und Bob wollen einen gemeinsamen Sitzungsschlüssel erhalten.
Eve kann den Netzwerkverkehr mithören.
Trotzdem soll Eve den fertigen Sitzungsschlüssel nicht kennen.
Vereinfacht passiert Folgendes:
| Schritt | Erklärung |
|---|---|
| 1 | Alice und Bob tauschen öffentliche Informationen aus. |
| 2 | Alice kombiniert diese Informationen mit ihrem privaten Geheimnis. |
| 3 | Bob kombiniert diese Informationen mit seinem privaten Geheimnis. |
| 4 | Beide kommen dadurch auf dasselbe gemeinsame Geheimnis. |
| 5 | Eve sieht nur die öffentlichen Informationen, aber nicht die privaten Geheimnisse. |
---
**Was sieht Eve?**
Eve kann den Datenverkehr beobachten.
Sie sieht zum Beispiel:
- öffentliche Austauschwerte
- Protokollinformationen
- eventuell Zertifikate
- verschlüsselte Daten
Eve sieht aber nicht:
- Alices privaten Anteil
- Bobs privaten Anteil
- den fertigen gemeinsamen Sitzungsschlüssel
| Bestandteil | Sichtbar für Eve? | Kritisch? |
|---|---|---|
| öffentliche Austauschwerte | ja | normalerweise nein |
| privater Anteil von Alice | nein | ja, muss geheim bleiben |
| privater Anteil von Bob | nein | ja, muss geheim bleiben |
| fertiger Sitzungsschlüssel | nein | ja, muss geheim bleiben |
---
**Wichtig: Diffie-Hellman verschlüsselt nicht die Nutzdaten**
Ein häufiger Fehler ist:
Diffie-Hellman mit normaler Verschlüsselung zu verwechseln.
Das ist falsch.
| Thema | Aufgabe |
|---|---|
| Diffie-Hellman | gemeinsamen Schlüssel aushandeln |
| symmetrische Verschlüsselung | Nutzdaten verschlüsseln |
| asymmetrische Verschlüsselung | Schlüssel schützen, Signaturen, Zertifikate |
| Hashfunktion | Integrität prüfen |
| Zertifikat | Identität prüfen |
> **Achtung Prüfungsfalle:**
> Diffie-Hellman ist ein Verfahren zum Schlüsselaustausch, nicht die eigentliche Datenverschlüsselung.
---
**Bezug zur hybriden Verschlüsselung**
Diffie-Hellman passt gut zum hybriden Prinzip.
Bei der hybriden Verschlüsselung gilt:
- asymmetrische Technik hilft beim sicheren Schlüsselaustausch
- symmetrische Technik verschlüsselt danach die Nutzdaten
Diffie-Hellman kann dabei helfen, den gemeinsamen Sitzungsschlüssel sicher auszuhandeln.
Danach wird dieser Sitzungsschlüssel für symmetrische Verschlüsselung genutzt.
| Phase | Technik |
|---|---|
| Verbindungsaufbau | Schlüsselaustausch, zum Beispiel Diffie-Hellman |
| danach | symmetrische Verschlüsselung der Nutzdaten |
| zusätzlich | Zertifikate / Signaturen zur Identitätsprüfung |
---
**Einfaches Beispiel**
Alice und Bob wollen sicher kommunizieren.
Sie nutzen Diffie-Hellman, um einen gemeinsamen Sitzungsschlüssel zu erzeugen.
Danach verwenden sie diesen Sitzungsschlüssel für die symmetrische Verschlüsselung.
Ablauf:
| Schritt | Erklärung |
|---|---|
| 1 | Alice und Bob starten den Schlüsselaustausch. |
| 2 | Beide tauschen öffentliche Werte aus. |
| 3 | Beide nutzen zusätzlich ihr eigenes privates Geheimnis. |
| 4 | Beide berechnen denselben Sitzungsschlüssel. |
| 5 | Die Nutzdaten werden mit diesem Sitzungsschlüssel symmetrisch verschlüsselt. |
---
**Warum ist das sicherer als einfaches Senden des Schlüssels?**
Beim einfachen Senden würde Alice den Schlüssel direkt an Bob übertragen.
Dann könnte Eve ihn kopieren.
Bei Diffie-Hellman wird der fertige Schlüssel nicht direkt gesendet.
Stattdessen wird er auf beiden Seiten berechnet.
| Direkte Schlüsselübergabe | Diffie-Hellman |
|---|---|
| Schlüssel wird übertragen | Schlüssel wird auf beiden Seiten berechnet |
| Eve könnte den Schlüssel kopieren | Eve sieht nur öffentliche Austauschwerte |
| riskant bei unsicherem Netzwerk | besser für unsichere Netzwerke |
| einfach zu verstehen | mathematisch komplexer |
---
**Perfect Forward Secrecy**
**Perfect Forward Secrecy** bedeutet:
Alte Verbindungen sollen auch dann geschützt bleiben, wenn ein langfristiger privater Schlüssel später kompromittiert wird.
Anders gesagt:
Wenn ein Angreifer heute einen privaten Schlüssel stiehlt, soll er damit nicht automatisch alte aufgezeichnete Sitzungen entschlüsseln können.
> **IHK-Merksatz:**
> Perfect Forward Secrecy schützt alte Sitzungen besser, weil Sitzungsschlüssel nicht dauerhaft gleich bleiben.
---
**Warum ist Perfect Forward Secrecy wichtig?**
Eve könnte Datenverkehr heute mitschneiden und speichern.
Später könnte Eve versuchen, einen privaten Schlüssel zu stehlen.
Ohne Perfect Forward Secrecy wäre das gefährlicher.
Mit Perfect Forward Secrecy soll gelten:
- alte Sitzungsschlüssel waren nur kurzzeitig gültig
- alte Sitzungsschlüssel wurden nicht dauerhaft gespeichert
- ein später gestohlener Langzeitschlüssel reicht nicht aus, um alte Sitzungen zu entschlüsseln
---
**Beispiel ohne Perfect Forward Secrecy**
Eve macht Folgendes:
1. Eve zeichnet heute verschlüsselten Datenverkehr auf.
2. Eve stiehlt später den privaten Schlüssel eines Servers.
3. Eve versucht, alte Verbindungen nachträglich zu entschlüsseln.
Wenn alte Sitzungen vom langfristigen Schlüssel abhängig waren, wäre das problematisch.
---
**Beispiel mit Perfect Forward Secrecy**
Bei Perfect Forward Secrecy wird für Sitzungen eigenes, kurzlebiges Schlüsselmaterial verwendet.
Das bedeutet:
1. Jede Sitzung bekommt eigene Schlüssel.
2. Die Sitzungsschlüssel werden später verworfen.
3. Ein später gestohlener Langzeitschlüssel reicht nicht aus, um alte Sitzungen zu entschlüsseln.
| Ohne PFS | Mit PFS |
|---|---|
| alte Sitzungen können stärker vom Langzeitschlüssel abhängen | jede Sitzung nutzt kurzlebige Schlüssel |
| späterer Schlüsselverlust kann alte Daten gefährden | alte Sitzungen bleiben besser geschützt |
| weniger Schutz bei aufgezeichnetem Datenverkehr | besserer Schutz gegen nachträgliches Entschlüsseln |
---
**Ephemeral Diffie-Hellman**
Im Zusammenhang mit Perfect Forward Secrecy taucht häufig der Begriff **ephemeral** auf.
Ephemeral bedeutet:
kurzlebig oder nur vorübergehend.
Bei ephemeral Diffie-Hellman werden für einzelne Sitzungen kurzlebige Schlüsselwerte verwendet.
Diese werden nach der Sitzung verworfen.
> **Kurz gesagt:**
> Ephemeral = nur für diese Sitzung gedacht.
> Dadurch werden alte Sitzungen besser geschützt.
---
**Bezug zu HTTPS / TLS**
Bei HTTPS beziehungsweise TLS ist das wichtig.
Vereinfacht:
| Schritt | Erklärung |
|---|---|
| 1 | Browser verbindet sich mit einem Server. |
| 2 | Zertifikat hilft bei der Prüfung der Serveridentität. |
| 3 | Ein Schlüsselaustauschverfahren hilft beim Erzeugen eines Sitzungsschlüssels. |
| 4 | Danach werden die Nutzdaten symmetrisch verschlüsselt. |
| 5 | Bei PFS werden alte Sitzungen besser gegen späteren Schlüsselverlust geschützt. |
---
**Bezug zu VPN**
Auch bei VPNs ist die Idee wichtig.
Ein VPN braucht:
- sichere Identitätsprüfung
- sicheren Schlüsselaustausch
- symmetrische Verschlüsselung der Nutzdaten
- möglichst kurzlebige Sitzungsschlüssel
- Schutz gegen nachträgliches Entschlüsseln alter Sitzungen
Darum passt dieses Thema gut vor das spätere Kapitel:
**14. VPN, Intranet und Extranet**
---
**Diffie-Hellman, PFS und Sitzungsschlüssel**
| Begriff | Bedeutung |
|---|---|
| Diffie-Hellman | Verfahren zum Schlüsselaustausch |
| Sitzungsschlüssel | symmetrischer Schlüssel für eine bestimmte Verbindung |
| PFS | Schutz alter Sitzungen bei späterem Schlüsselverlust |
| ephemeral | kurzlebig, nur für eine Sitzung |
| symmetrische Verschlüsselung | verschlüsselt danach die eigentlichen Daten |
---
**Typische IHK-Fragen**
**Was ist Diffie-Hellman?**
Diffie-Hellman ist ein Verfahren zum Schlüsselaustausch.
**Wozu dient Diffie-Hellman?**
Es dient dazu, über ein unsicheres Netzwerk ein gemeinsames Geheimnis beziehungsweise Schlüsselmaterial auszuhandeln.
**Verschlüsselt Diffie-Hellman große Datenmengen direkt?**
Nein. Es dient dem Schlüsselaustausch. Die eigentlichen Daten werden danach meist symmetrisch verschlüsselt.
**Was ist Perfect Forward Secrecy?**
Perfect Forward Secrecy bedeutet, dass alte Sitzungen auch dann besser geschützt bleiben sollen, wenn ein langfristiger privater Schlüssel später kompromittiert wird.
**Warum sind Sitzungsschlüssel wichtig?**
Sie schützen eine konkrete Verbindung oder Sitzung und können danach verworfen werden.
**Was bedeutet ephemeral?**
Ephemeral bedeutet kurzlebig oder nur für eine Sitzung gültig.
---
**Prüfungsfalle: Diffie-Hellman ist nicht dasselbe wie Verschlüsselung der Nutzdaten**
| Aussage | Richtig oder falsch? |
|---|---|
| Diffie-Hellman verschlüsselt große Dateien direkt. | falsch |
| Diffie-Hellman hilft beim Schlüsselaustausch. | richtig |
| Danach kann symmetrisch verschlüsselt werden. | richtig |
| PFS schützt alte Sitzungen besser. | richtig |
| Der öffentliche Schlüssel muss geheim bleiben. | falsch |
> **Merksatz:**
> Diffie-Hellman erzeugt oder vereinbart Schlüsselmaterial.
> Die Datenverschlüsselung passiert danach mit einem symmetrischen Verfahren.
---
**Zusammenfassung**
Diffie-Hellman ist ein Verfahren zum sicheren Schlüsselaustausch.
Alice und Bob können damit über ein unsicheres Netzwerk ein gemeinsames Geheimnis erzeugen, ohne dieses Geheimnis direkt zu übertragen.
Dieses gemeinsame Geheimnis kann anschließend als Grundlage für einen symmetrischen Sitzungsschlüssel dienen.
Perfect Forward Secrecy sorgt dafür, dass alte Sitzungen besser geschützt bleiben, selbst wenn später ein langfristiger privater Schlüssel kompromittiert wird.
> **IHK-Spickzettel:**
> Diffie-Hellman = Schlüsselaustausch
> nicht direkte Nutzdatenverschlüsselung
> Sitzungsschlüssel = symmetrischer Schlüssel für eine Verbindung
> PFS = schützt alte Sitzungen besser
> ephemeral = kurzlebig / nur für diese Sitzung
> Praxis = HTTPS / TLS / VPN
# 13.7 Brute Force, Zufallszahlen und One-Time-Pad
[](https://ulrich-wiki.com/uploads/images/gallery/2026-06/aabd0efa-137a-41c8-89b1-b5a95297d614.png)
**Kurzüberblick**
In dieser Seite geht es um die Frage:
> **Ist Verschlüsselung wirklich nicht zu knacken?**
Die ehrliche Antwort ist:
Es kommt darauf an.
Eine Verschlüsselung kann theoretisch sehr stark sein, aber in der Praxis trotzdem unsicher werden.
Gründe dafür können sein:
- zu kurze Schlüssel
- schlechte Passwörter
- schlechte Zufallszahlen
- gestohlene Schlüssel
- Fehler in der Software
- Hintertüren im Algorithmus
- falsch konfigurierte Systeme
- unsichere Endgeräte
- Benutzerfehler
> **IHK-Merksatz:**
> Starke Verschlüsselung braucht nicht nur einen guten Algorithmus, sondern auch starke Schlüssel, gute Zufallszahlen und eine sichere Umsetzung.
---
**Quelle 11.5 – Zusammenfassung Verschlüsselung**
Die Quelle stellt sinngemäß die Frage:
> Ist Verschlüsselung nicht zu knacken?
Dabei werden mehrere wichtige Punkte genannt:
- mögliche Hintertüren in Algorithmen
- fehlerhafte Implementierung in Software
- echte Zufallszahlen
- Brute Force
- steigende Rechenleistung
- ASICs
- One-Time-Pad als besonderer Sonderfall
Diese Punkte sind wichtig, weil sie zeigen:
> Verschlüsselung ist nicht automatisch sicher, nur weil irgendwo „verschlüsselt“ steht.
---
**Warum Verschlüsselung trotzdem scheitern kann**
| Problem | Erklärung |
|---|---|
| schwacher Schlüssel | zu kurz oder leicht erratbar |
| schlechtes Passwort | kann durch Ausprobieren gefunden werden |
| schlechte Zufallszahlen | Schlüssel können vorhersagbar werden |
| gestohlener Schlüssel | Angreifer kann entschlüsseln |
| Softwarefehler | Algorithmus wird falsch umgesetzt |
| Hintertür | absichtlich eingebaute Schwachstelle |
| unsicheres Gerät | Klartext oder Schlüssel können direkt abgegriffen werden |
| Benutzerfehler | Schlüssel oder Passwörter werden falsch behandelt |
> **Kurz gesagt:**
> Der beste Algorithmus hilft wenig, wenn Schlüssel, Software oder Benutzerverhalten unsicher sind.
---
**Brute Force**
**Brute Force** bedeutet:
Ein Angreifer probiert systematisch sehr viele Möglichkeiten aus, bis etwas passt.
Zum Beispiel:
- Passwörter ausprobieren
- PINs ausprobieren
- Schlüssel ausprobieren
- Hashes gegen Wörterbücher testen
- Zugangsdaten erraten
> **Merksatz:**
> Brute Force = ausprobieren, bis es passt.
---
**Einfaches Beispiel**
Angenommen, ein Passwort besteht nur aus vier Ziffern.
Dann gibt es:
0000 bis 9999
Also 10.000 Möglichkeiten.
Ein Computer kann solche Kombinationen sehr schnell ausprobieren.
Bei einem langen, zufälligen Passwort wird das viel schwieriger.
---
**Was beeinflusst Brute Force?**
| Faktor | Auswirkung |
|---|---|
| Länge des Passworts | längere Passwörter sind schwerer zu knacken |
| Zeichenvorrat | mehr mögliche Zeichen erhöhen die Anzahl der Kombinationen |
| Zufälligkeit | zufällige Passwörter sind schwerer zu erraten |
| Rechenleistung | schnellere Hardware kann mehr Versuche pro Sekunde machen |
| Schutzmechanismen | Sperren und Wartezeiten bremsen Angriffe |
| Passwort-Wiederverwendung | erhöht das Risiko bei Datenlecks |
---
**Beispiel: Warum Länge wichtig ist**
Ein Passwort wie:
haus
ist viel schwächer als:
T7!mQ9#vL2pR
Warum?
Das zweite Passwort ist:
- länger
- zufälliger
- schwerer zu erraten
- schwerer per Brute Force zu finden
> **Achtung Prüfungsfalle:**
> Ein langes, zufälliges Passwort ist meistens besser als ein kurzes, kompliziert wirkendes Passwort.
---
**Rechenleistung und Brute Force**
Je mehr Rechenleistung ein Angreifer hat, desto schneller kann er Möglichkeiten ausprobieren.
Die Quelle nennt dazu sinngemäß unterschiedliche Leistungsstufen:
| Hardware | Bedeutung |
|---|---|
| normaler PC | vergleichsweise langsam |
| Grafikkarte | schneller für viele parallele Berechnungen |
| Spezialhardware | für bestimmte Aufgaben optimiert |
| ASIC | sehr spezialisierte Hardware |
**ASIC** bedeutet:
anwendungsspezifische integrierte Schaltung
Das heißt:
Ein Chip wird speziell für eine bestimmte Aufgabe gebaut.
> **Kurz gesagt:**
> Mehr spezialisierte Hardware = mehr Versuche pro Sekunde.
---
**Gegenmaßnahmen gegen Brute Force**
| Maßnahme | Wirkung |
|---|---|
| lange Passwörter | erhöhen die Anzahl möglicher Kombinationen |
| zufällige Passwörter | verhindern leichtes Erraten |
| Passwortmanager | ermöglicht lange, einzigartige Passwörter |
| Multi-Faktor-Authentifizierung | Passwort allein reicht nicht aus |
| Rate Limiting | begrenzt Versuche pro Zeit |
| Account-Sperre | stoppt viele Fehlversuche |
| starke Schlüssel | erschweren vollständiges Durchprobieren |
| moderne Algorithmen | vermeiden bekannte Schwächen |
> **IHK-Merksatz:**
> Gegen Brute Force helfen vor allem Länge, Zufall, Begrenzung der Versuche und zusätzliche Faktoren.
---
**Zufallszahlen**
Zufallszahlen sind in der Kryptografie extrem wichtig.
Warum?
Schlüssel sollen nicht erratbar sein.
Wenn ein Schlüssel vorhersehbar ist, kann ein Angreifer ihn leichter finden.
Das Problem:
Ein Computer ist grundsätzlich eine Maschine.
Er erzeugt oft nur scheinbaren Zufall, wenn kein guter Zufallszahlengenerator verwendet wird.
---
**Warum schlechte Zufallszahlen gefährlich sind**
Angenommen, ein System erzeugt Schlüssel nicht wirklich zufällig.
Dann könnten Schlüssel zum Beispiel:
- wiederholt auftreten
- nach einem Muster entstehen
- aus der Uhrzeit ableitbar sein
- aus wenigen Startwerten berechenbar sein
- für Angreifer vorhersagbar werden
Dann kann ein eigentlich starker Algorithmus unsicher werden.
> **Merksatz:**
> Starker Algorithmus + schlechter Zufall = unsicheres System.
---
**Beispiel: Zufall bei Schlüsseln**
Ein guter Schlüssel sollte für einen Angreifer nicht vorhersehbar sein.
Schlecht:
1234567890
Besser:
K7!qP4#zL9@vX2
Noch besser ist ein Schlüssel, der von einem sicheren kryptografischen Zufallszahlengenerator erzeugt wurde.
---
**Was muss bei Schlüsseln stimmen?**
| Eigenschaft | Warum wichtig? |
|---|---|
| ausreichend lang | erschwert Brute Force |
| zufällig | verhindert Vorhersagbarkeit |
| geheim | sonst kann entschlüsselt werden |
| einmalig oder passend genutzt | Wiederverwendung kann gefährlich sein |
| sicher gespeichert | verhindert Diebstahl |
| sicher übertragen | verhindert Abfangen |
---
**One-Time-Pad**
Das **One-Time-Pad** ist ein besonderer Fall der Verschlüsselung.
Es gilt theoretisch als nicht knackbar, wenn alle Bedingungen erfüllt sind.
Diese Bedingungen sind aber sehr streng.
---
**Bedingungen für ein sicheres One-Time-Pad**
| Bedingung | Erklärung |
|---|---|
| Schlüssel ist wirklich zufällig | keine Muster, nicht vorhersagbar |
| Schlüssel ist mindestens so lang wie die Nachricht | jeder Teil der Nachricht braucht Schlüsselmaterial |
| Schlüssel wird nur einmal verwendet | Wiederverwendung zerstört die Sicherheit |
| Schlüssel bleibt geheim | sonst kann entschlüsselt werden |
| Schlüssel wird sicher übertragen | Schlüssel darf nicht abgefangen werden |
> **IHK-Merksatz:**
> One-Time-Pad ist theoretisch extrem sicher, aber praktisch schwer sauber umzusetzen.
---
**Warum ist One-Time-Pad praktisch schwierig?**
Das größte Problem ist die Schlüsselverteilung.
Wenn der Schlüssel genauso lang sein muss wie die Nachricht, muss dieser lange Schlüssel vorher sicher zu Bob gelangen.
Das ist unpraktisch.
| Nachricht | benötigter Schlüssel |
|---|---|
| 1 MB Datei | mindestens 1 MB Schlüssel |
| 100 MB Datei | mindestens 100 MB Schlüssel |
| 1 GB Datei | mindestens 1 GB Schlüssel |
Und dieser Schlüssel muss:
- vorher sicher erzeugt werden
- sicher an Bob übertragen werden
- geheim bleiben
- nach einmaliger Nutzung vernichtet werden
- niemals wiederverwendet werden
---
**Warum darf ein One-Time-Pad-Schlüssel nur einmal verwendet werden?**
Wenn derselbe Schlüssel mehrfach verwendet wird, können Angreifer aus mehreren verschlüsselten Nachrichten Muster ableiten.
Dann ist die theoretische Sicherheit verloren.
Deshalb heißt es:
**One-Time** Pad
Also:
nur einmal verwenden
> **Achtung Prüfungsfalle:**
> One-Time-Pad ist nur sicher, wenn alle Bedingungen wirklich erfüllt sind.
---
**Vergleich: normale Verschlüsselung und One-Time-Pad**
| Merkmal | Moderne Verschlüsselung | One-Time-Pad |
|---|---|---|
| Schlüssel kürzer als Daten möglich | ja | nein |
| praktisch gut nutzbar | ja | schwierig |
| theoretisch nicht knackbar | abhängig vom Verfahren | ja, wenn Bedingungen erfüllt |
| Schlüsselverteilung | handhabbar | sehr schwierig |
| Wiederverwendung des Schlüssels | abhängig vom Verfahren geregelt | verboten |
| wichtig für IHK | Grundidee verstehen | Sonderfall kennen |
---
**Zusammenhang: Brute Force, Zufall und One-Time-Pad**
Diese drei Themen hängen zusammen.
| Thema | Kerngedanke |
|---|---|
| Brute Force | Angreifer probiert Möglichkeiten aus |
| Zufallszahlen | Schlüssel sollen nicht vorhersagbar sein |
| One-Time-Pad | theoretisch sicher bei perfektem Zufall und einmaliger Nutzung |
Kurz gesagt:
- Brute Force greift schwache oder zu kurze Schlüssel an.
- Gute Zufallszahlen machen Schlüssel schwerer vorhersagbar.
- One-Time-Pad zeigt, wie wichtig echter Zufall und einmalige Nutzung sind.
---
**Typische IHK-Fragen**
**Was bedeutet Brute Force?**
Brute Force bedeutet, dass ein Angreifer systematisch viele Möglichkeiten ausprobiert.
**Was wird bei Brute Force ausprobiert?**
Zum Beispiel Passwörter, PINs, Schlüssel oder Hashwerte.
**Was schützt gegen Brute Force?**
Lange und zufällige Passwörter, starke Schlüssel, Begrenzung von Fehlversuchen und Multi-Faktor-Authentifizierung.
**Warum sind Zufallszahlen in der Kryptografie wichtig?**
Weil Schlüssel nicht vorhersagbar sein dürfen.
**Was passiert bei schlechten Zufallszahlen?**
Schlüssel können leichter erraten oder berechnet werden.
**Was ist das One-Time-Pad?**
Ein theoretisch extrem sicheres Verfahren, wenn der Schlüssel wirklich zufällig, mindestens so lang wie die Nachricht, geheim und nur einmal verwendet wird.
**Warum ist One-Time-Pad praktisch schwierig?**
Weil der Schlüssel sehr lang sein muss und sicher verteilt werden muss.
---
**Prüfungsfalle: „verschlüsselt“ heißt nicht automatisch sicher**
Nur weil Daten verschlüsselt sind, heißt das nicht automatisch, dass alles sicher ist.
Man muss fragen:
| Frage | Warum wichtig? |
|---|---|
| Ist der Algorithmus sicher? | schwache Verfahren können gebrochen werden |
| Ist der Schlüssel lang genug? | kurze Schlüssel sind leichter durchprobierbar |
| Ist der Schlüssel zufällig? | vorhersehbare Schlüssel sind gefährlich |
| Ist der Schlüssel geheim geblieben? | gestohlene Schlüssel zerstören Sicherheit |
| Ist die Software korrekt umgesetzt? | Implementierungsfehler können alles schwächen |
| Ist das Endgerät sicher? | Klartext kann dort abgegriffen werden |
---
**Prüfungsfalle: One-Time-Pad nicht mit normalem Passwort verwechseln**
Ein One-Time-Pad ist nicht einfach ein normales Passwort.
Ein One-Time-Pad-Schlüssel muss:
- wirklich zufällig sein
- mindestens so lang wie die Nachricht sein
- nur einmal verwendet werden
- geheim bleiben
- sicher übertragen werden
Wenn eine dieser Bedingungen verletzt wird, ist die besondere Sicherheit nicht mehr gegeben.
---
**Zusammenfassung**
Brute Force ist das systematische Ausprobieren vieler Möglichkeiten.
Je kürzer oder vorhersehbarer ein Passwort oder Schlüssel ist, desto leichter wird ein Brute-Force-Angriff.
Gute Zufallszahlen sind wichtig, damit Schlüssel nicht erratbar oder berechenbar sind.
Das One-Time-Pad ist theoretisch extrem sicher, aber praktisch schwer umzusetzen, weil der Schlüssel wirklich zufällig, mindestens so lang wie die Nachricht, geheim und nur einmalig verwendbar sein muss.
> **IHK-Spickzettel:**
> Brute Force = systematisches Ausprobieren
> Schutz = lange, zufällige Passwörter und starke Schlüssel
> Zufallszahlen = wichtig für sichere Schlüssel
> schlechter Zufall = unsicheres System
> One-Time-Pad = theoretisch nicht knackbar bei perfekten Bedingungen
> Problem beim One-Time-Pad = sichere Schlüsselverteilung
# 13.8 Steganographie
**50 Fragen und Antworten zum Ausklappen**
Diese Fragen beziehen sich auf die behandelten Themen aus **13. Verschlüsselung und Sicherheitsgrundlagen**:
- symmetrische Verschlüsselung
- asymmetrische Verschlüsselung
- hybride Verschlüsselung
- digitale Signatur
- Hashfunktion
- Zertifikate
- Authentizität, Integrität und Vertraulichkeit
- Diffie-Hellman
- Perfect Forward Secrecy
- Brute Force
- Zufallszahlen
- One-Time-Pad
- Steganographie
---
1. Was bedeutet Verschlüsselung?
Verschlüsselung bedeutet, dass lesbare Daten so umgewandelt werden, dass sie ohne passenden Schlüssel nicht mehr verständlich sind.
Aus Klartext wird Geheimtext beziehungsweise Chiffrat.
Beispiel:
Klartext: Hallo Bob
Geheimtext: A4$h!7k9%Lz@8mQ
Erst mit dem passenden Schlüssel kann der ursprüngliche Inhalt wiederhergestellt werden.
2. Was ist Klartext?
Klartext ist die ursprüngliche, lesbare Nachricht.
Beispiel:
Passwort: geheim123
Klartext ist also der Inhalt, bevor er verschlüsselt wurde oder nachdem er wieder entschlüsselt wurde.
3. Was ist Geheimtext oder Chiffrat?
Geheimtext oder Chiffrat ist die verschlüsselte Form einer Nachricht.
Der Inhalt ist ohne passenden Schlüssel nicht sinnvoll lesbar.
Beispiel:
A4$h!7k9%Lz@8mQ
4. Welche drei Sicherheitsziele sind besonders wichtig?
Die drei besonders wichtigen Sicherheitsziele sind:
- Vertraulichkeit
- Integrität
- Authentizität
Merksatz:
Vertraulichkeit = nur Berechtigte können lesen
Integrität = Daten wurden nicht verändert
Authentizität = Identität oder Absender ist echt
5. Was bedeutet Vertraulichkeit?
Vertraulichkeit bedeutet:
Nur berechtigte Personen oder Systeme können den Inhalt lesen.
Beispiele:
- Verschlüsselung
- HTTPS
- VPN
- WPA2 / WPA3
- verschlüsselte Festplatten
- verschlüsselte Backups
6. Was bedeutet Integrität?
Integrität bedeutet:
Daten wurden nicht verändert.
Man möchte erkennen können, ob eine Nachricht, Datei oder Übertragung manipuliert wurde.
Beispiele für Techniken zur Integritätsprüfung:
- Hashfunktion
- digitale Signatur
- Prüfsumme
- Message Authentication Code
7. Was bedeutet Authentizität?
Authentizität bedeutet:
Die Identität ist echt.
Die Leitfrage lautet:
Bist du wirklich derjenige, für den du dich ausgibst?
Beispiele:
- Login mit Benutzername und Passwort
- Zertifikat
- digitale Signatur
- Zwei-Faktor-Authentifizierung
- Shared Secret
8. Was ist symmetrische Verschlüsselung?
Bei der symmetrischen Verschlüsselung verwenden Sender und Empfänger denselben geheimen Schlüssel.
Alice verschlüsselt mit diesem Schlüssel.
Bob entschlüsselt mit demselben Schlüssel.
Merksatz:
Symmetrisch = gleicher geheimer Schlüssel auf beiden Seiten.
9. Was ist der größte Vorteil symmetrischer Verschlüsselung?
Der größte Vorteil ist die Geschwindigkeit.
Symmetrische Verschlüsselung ist sehr schnell und eignet sich gut für große Datenmengen.
Beispiele:
- Dateien
- Datenströme
- VPN-Datenverkehr
- HTTPS-Nutzdaten
- WLAN-Datenverkehr
- Festplattenverschlüsselung
10. Was ist der größte Nachteil symmetrischer Verschlüsselung?
Der größte Nachteil ist die Schlüsselübergabe.
Alice und Bob brauchen denselben geheimen Schlüssel.
Die wichtige Frage lautet:
Wie bekommt Bob den geheimen Schlüssel, ohne dass Eve ihn kopieren kann?
11. Was passiert, wenn Eve den symmetrischen Schlüssel bekommt?
Wenn Eve den gemeinsamen geheimen Schlüssel besitzt, kann sie die verschlüsselten Nachrichten entschlüsseln.
Dann ist die Sicherheit verloren.
Merksatz:
Der Schlüssel ist das eigentliche Geheimnis.
12. Warum ist symmetrische Verschlüsselung bei vielen Teilnehmern unpraktisch?
Weil viele Teilnehmer viele gemeinsame Schlüssel benötigen.
Bei Alice und Bob reicht ein Schlüssel.
Bei vielen Benutzern müssen aber sehr viele sichere Schlüsselbeziehungen verwaltet werden.
Das skaliert schlecht.
13. Was ist asymmetrische Verschlüsselung?
Bei der asymmetrischen Verschlüsselung gibt es zwei verschiedene Schlüssel:
- öffentlicher Schlüssel
- privater Schlüssel
Der öffentliche Schlüssel darf verteilt werden.
Der private Schlüssel bleibt geheim.
Merksatz:
Asymmetrisch = öffentlicher + privater Schlüssel.
14. Wer erzeugt bei asymmetrischer Verschlüsselung das Schlüsselpaar?
Der Empfänger erzeugt das Schlüsselpaar, wenn er verschlüsselte Nachrichten empfangen möchte.
Beispiel:
Bob möchte geheime Nachrichten empfangen.
Also erzeugt Bob einen öffentlichen und einen privaten Schlüssel.
15. Welchen Schlüssel nutzt Alice, wenn sie Bob eine geheime Nachricht senden möchte?
Alice nutzt Bobs öffentlichen Schlüssel.
Nur Bob kann die Nachricht anschließend mit seinem privaten Schlüssel entschlüsseln.
Merksatz:
Geheim an Bob senden = Bobs öffentlichen Schlüssel verwenden.
16. Welchen Schlüssel nutzt Bob zum Entschlüsseln?
Bob nutzt seinen privaten Schlüssel.
Der private Schlüssel darf nicht weitergegeben werden.
Wenn der private Schlüssel gestohlen wird, ist die Sicherheit gefährdet.
17. Warum darf der öffentliche Schlüssel öffentlich sein?
Der öffentliche Schlüssel ist dafür gedacht, verteilt zu werden.
Auch Eve darf ihn sehen.
Mit dem öffentlichen Schlüssel allein kann Eve aber nicht entschlüsseln.
Geheim bleiben muss der private Schlüssel.
18. Was ist der Vorteil asymmetrischer Verschlüsselung?
Der Vorteil ist, dass kein gemeinsamer geheimer Schlüssel vorher sicher übertragen werden muss.
Der öffentliche Schlüssel darf offen verteilt werden.
Dadurch hilft asymmetrische Verschlüsselung beim Problem der Schlüsselübergabe.
19. Was ist der Nachteil asymmetrischer Verschlüsselung?
Asymmetrische Verschlüsselung ist langsamer und rechenaufwendiger als symmetrische Verschlüsselung.
Deshalb verschlüsselt man große Datenmengen in der Praxis meistens nicht komplett asymmetrisch.
20. Was ist hybride Verschlüsselung?
Hybride Verschlüsselung kombiniert asymmetrische und symmetrische Verschlüsselung.
Asymmetrisch wird für den sicheren Schlüsselaustausch genutzt.
Symmetrisch wird für die schnelle Verschlüsselung der Nutzdaten genutzt.
Merksatz:
Hybrid = asymmetrisch für den Schlüssel, symmetrisch für die Daten.
21. Warum nutzt man hybride Verschlüsselung?
Man nutzt hybride Verschlüsselung, weil beide Verfahren unterschiedliche Vorteile haben.
Symmetrisch:
- schnell
- gut für große Datenmengen
- Problem: Schlüsselübergabe
Asymmetrisch:
- löst Schlüsselübergabe
- aber langsamer
Hybrid kombiniert beide Vorteile.
22. Was wird bei hybrider Verschlüsselung asymmetrisch verschlüsselt?
Der symmetrische Sitzungsschlüssel wird asymmetrisch geschützt oder übertragen.
Die eigentlichen Nutzdaten werden danach symmetrisch verschlüsselt.
23. Was wird bei hybrider Verschlüsselung symmetrisch verschlüsselt?
Die eigentlichen Nutzdaten werden symmetrisch verschlüsselt.
Beispiele:
- Dateien
- Webseiteninhalte
- VPN-Daten
- Login-Daten innerhalb einer sicheren Verbindung
24. Was ist ein Sitzungsschlüssel?
Ein Sitzungsschlüssel ist ein symmetrischer Schlüssel für eine bestimmte Verbindung oder Sitzung.
Er sollte:
- zufällig erzeugt werden
- nur für diese Sitzung gelten
- geheim bleiben
- nach der Nutzung verworfen werden
25. Wo wird hybride Verschlüsselung praktisch genutzt?
Hybride Verschlüsselung wird zum Beispiel genutzt bei:
- HTTPS
- TLS
- VPN
- sicherer Datenübertragung im Internet
- sicherer E-Mail-Kommunikation
26. Was ist eine digitale Signatur?
Eine digitale Signatur ist ein Verfahren, mit dem geprüft werden kann:
- ob der Absender echt ist
- ob die Daten unverändert sind
Eine digitale Signatur dient hauptsächlich Authentizität und Integrität.
27. Bietet eine digitale Signatur automatisch Vertraulichkeit?
Nein.
Eine digitale Signatur macht den Inhalt nicht automatisch geheim.
Sie prüft vor allem:
- Absender-Echtheit
- Unverändertheit der Daten
Für Vertraulichkeit braucht man Verschlüsselung.
28. Welchen Schlüssel nutzt der Absender zum Signieren?
Der Absender nutzt seinen privaten Schlüssel.
Beispiel:
Bob signiert mit Bobs privatem Schlüssel.
29. Welchen Schlüssel nutzt der Empfänger zum Prüfen einer Signatur?
Der Empfänger nutzt den öffentlichen Schlüssel des Absenders.
Beispiel:
Alice prüft Bobs Signatur mit Bobs öffentlichem Schlüssel.
30. Was ist der Unterschied zwischen Verschlüsselung und Signatur?
Verschlüsselung schützt den Inhalt vor Mitlesen.
Digitale Signatur prüft Absender und Unverändertheit.
Vergleich:
Verschlüsselung = Vertraulichkeit
Signatur = Authentizität + Integrität
31. Was ist eine Hashfunktion?
Eine Hashfunktion erzeugt aus Daten einen Prüfwert fester Länge.
Dieser Prüfwert heißt Hash oder Hashwert.
Ein Hash ist wie ein digitaler Fingerabdruck von Daten.
32. Ist ein Hash eine Verschlüsselung?
Nein.
Ein Hash ist keine Verschlüsselung.
Ein Hash wird normalerweise nicht entschlüsselt.
Stattdessen berechnet man den Hash neu und vergleicht ihn mit einem bekannten Hashwert.
33. Wozu dient ein Hash?
Ein Hash dient vor allem zur Integritätsprüfung.
Man kann damit erkennen, ob Daten verändert wurden.
Beispiele:
- Datei prüfen
- Download prüfen
- Nachricht prüfen
- Grundlage für digitale Signaturen
34. Was passiert mit dem Hash, wenn sich eine Datei leicht ändert?
Schon eine kleine Änderung an der Datei verändert den Hashwert stark.
Beispiel:
Hallo → a1b2c3d4...
Halla → 9f8e7d6c...
Merksatz:
Kleine Änderung an den Daten = großer Unterschied beim Hash.
35. Was ist ein Zertifikat?
Ein Zertifikat ist ein digitaler Nachweis.
Es verbindet eine Identität mit einem öffentlichen Schlüssel.
Beispiel:
Ein Zertifikat kann bestätigen, dass ein öffentlicher Schlüssel wirklich zu www.beispiel.de gehört.
36. Wozu braucht man Zertifikate?
Zertifikate helfen dabei, die Identität zu prüfen.
Sie beantworten zum Beispiel die Frage:
Gehört dieser öffentliche Schlüssel wirklich zu dieser Webseite oder Person?
Typische Nutzung:
- HTTPS
- TLS
- VPN
- digitale Signaturen
- sichere Serveridentifikation
37. Welches Sicherheitsziel passt besonders zu Zertifikaten?
Zertifikate gehören besonders zur Authentizität.
Sie helfen zu prüfen, ob eine Identität echt ist.
Merksatz:
Zertifikat = Identität + öffentlicher Schlüssel.
38. Was ist Diffie-Hellman?
Diffie-Hellman ist ein Verfahren zum Schlüsselaustausch.
Alice und Bob können damit über ein unsicheres Netzwerk ein gemeinsames Geheimnis erzeugen, ohne dieses Geheimnis direkt zu übertragen.
39. Verschlüsselt Diffie-Hellman direkt große Datenmengen?
Nein.
Diffie-Hellman dient dem Schlüsselaustausch.
Die eigentlichen Daten werden danach meistens symmetrisch verschlüsselt.
Merksatz:
Diffie-Hellman = Schlüsselaustausch, nicht Nutzdatenverschlüsselung.
40. Was sieht Eve bei Diffie-Hellman?
Eve kann öffentliche Austauschwerte sehen.
Eve sieht aber nicht:
- Alices privaten Anteil
- Bobs privaten Anteil
- den fertigen Sitzungsschlüssel
Dadurch kann Eve den gemeinsamen Schlüssel nicht einfach berechnen.
41. Was bedeutet Perfect Forward Secrecy?
Perfect Forward Secrecy bedeutet:
Alte Sitzungen sollen besser geschützt bleiben, auch wenn später ein langfristiger privater Schlüssel kompromittiert wird.
Merksatz:
PFS schützt alte Sitzungen besser.
42. Was bedeutet ephemeral?
Ephemeral bedeutet kurzlebig.
Im Zusammenhang mit Kryptografie bedeutet es:
Schlüsselmaterial wird nur für eine bestimmte Sitzung genutzt und danach verworfen.
Das hilft bei Perfect Forward Secrecy.
43. Was ist Brute Force?
Brute Force bedeutet:
Ein Angreifer probiert systematisch viele Möglichkeiten aus, bis etwas passt.
Beispiele:
- Passwörter ausprobieren
- PINs ausprobieren
- Schlüssel ausprobieren
- Hashes testen
Merksatz:
Brute Force = ausprobieren, bis es passt.
44. Was schützt gegen Brute Force?
Gegen Brute Force helfen:
- lange Passwörter
- zufällige Passwörter
- Passwortmanager
- Multi-Faktor-Authentifizierung
- Rate Limiting
- Account-Sperren
- starke Schlüssel
- moderne Algorithmen
45. Warum sind Zufallszahlen in der Kryptografie wichtig?
Zufallszahlen sind wichtig, weil Schlüssel nicht vorhersehbar sein dürfen.
Wenn ein Schlüssel aus schlechtem Zufall entsteht, kann er leichter erraten oder berechnet werden.
Merksatz:
Starker Algorithmus + schlechter Zufall = unsicheres System.
46. Was ist ein One-Time-Pad?
Das One-Time-Pad ist ein besonderer Fall der Verschlüsselung.
Es gilt theoretisch als nicht knackbar, wenn alle Bedingungen erfüllt sind.
47. Welche Bedingungen braucht ein sicheres One-Time-Pad?
Ein sicheres One-Time-Pad braucht:
- Schlüssel ist wirklich zufällig
- Schlüssel ist mindestens so lang wie die Nachricht
- Schlüssel wird nur einmal verwendet
- Schlüssel bleibt geheim
- Schlüssel wird sicher übertragen
Wenn eine Bedingung verletzt wird, ist die besondere Sicherheit nicht mehr gegeben.
48. Warum ist One-Time-Pad praktisch schwierig?
Das größte Problem ist die Schlüsselverteilung.
Der Schlüssel muss mindestens so lang wie die Nachricht sein und vorher sicher an den Empfänger übertragen werden.
Das ist in der Praxis oft unpraktisch.
49. Was ist Steganographie?
Steganographie bedeutet:
Informationen werden in unauffälligen Daten versteckt.
Das Ziel ist, zu verbergen, dass überhaupt eine geheime Nachricht existiert.
Beispiel:
Eine Nachricht wird in einem Bild versteckt.
50. Was ist der Unterschied zwischen Verschlüsselung und Steganographie?
Verschlüsselung macht den Inhalt unlesbar.
Steganographie versteckt die Existenz der Nachricht.
Beste Kombination:
Erst verschlüsseln, dann verstecken.
Dann ist der Inhalt geschützt und zusätzlich unauffälliger.
---
**Abschluss-Spickzettel**
| Thema | Kurzantwort |
|---|---|
| symmetrisch | gleicher geheimer Schlüssel |
| asymmetrisch | öffentlicher + privater Schlüssel |
| hybrid | asymmetrisch für Schlüssel, symmetrisch für Daten |
| Signatur | Authentizität + Integrität |
| Hash | Integrität prüfen |
| Zertifikat | Identität + öffentlicher Schlüssel |
| Diffie-Hellman | Schlüsselaustausch |
| PFS | alte Sitzungen besser geschützt |
| Brute Force | systematisches Ausprobieren |
| Zufallszahlen | wichtig für sichere Schlüssel |
| One-Time-Pad | theoretisch sicher bei perfekten Bedingungen |
| Steganographie | Nachricht verstecken |
| Vertraulichkeit | nur Berechtigte können lesen |
| Integrität | Daten unverändert |
| Authentizität | Identität echt |
# EXTRA: Reticulum Network Stack (RNS) im Vergleich zum OSI- und TCP/IP-Modell
> **Hinweis:** Diese Seite ist ein Zukunfts-/Zusatzthema und gehört nicht zum klassischen IHK-Grundlagenstoff. Sie dient nur als technischer Blick darauf, wie moderne, dezentrale Netzwerk-Stacks wie Reticulum anders aufgebaut sein können als klassische Internet-Kommunikation.
---
[](https://ulrich-wiki.com/uploads/images/gallery/2026-06/image-3.jpg)
[](https://ulrich-wiki.com/uploads/images/gallery/2026-06/chatgpt-image-3-juni-2026-12-45-26.png)
1. Grundidee
Das klassische **OSI-Modell** erklärt Netzwerkkommunikation in 7 Schichten:
1. Bitübertragungsschicht
2. Sicherungsschicht
3. Vermittlungsschicht
4. Transportschicht
5. Sitzungsschicht
6. Darstellungsschicht
7. Anwendungsschicht
Das **TCP/IP-Modell** ist praxisnäher und beschreibt grob, wie das heutige Internet funktioniert:
- Netzzugang / Physical + Link
- Internet Layer
- Transport Layer
- Application Layer
Das **RNS-Modell** von Reticulum denkt anders:
> Reticulum ist kein einzelnes Protokoll wie TCP, IP oder TLS, sondern ein eigener Netzwerk-Stack, bei dem Identität, Routing, Transport und Verschlüsselung eng miteinander verbunden sind.
Reticulum kann über verschiedene darunterliegende Medien laufen, zum Beispiel:
- normales Internet
- TCP
- UDP
- WLAN
- Ethernet
- LoRa
- Packet Radio
- serielle Verbindungen
- I2P
Das vorhandene Medium ist dabei nur der Transportweg. Die eigentliche Reticulum-Kommunikation läuft darüber als eigenes kryptografisches Netzwerk.
---
2. Vergleich: OSI-Modell, TCP/IP-Modell und RNS-Modell
| Bereich | OSI-Modell | TCP/IP-Modell | RNS / Reticulum |
|---|---|---|---|
| Anwendung | Application Layer | Application Layer | Application Layer Extensions |
| Darstellung | Presentation Layer | meist Teil der Anwendung | in Reticulum-Anwendungen integriert |
| Sitzung | Session Layer | meist Teil der Anwendung | durch Reticulum-Links und Sitzungslogik abgedeckt |
| Sicherheit | im OSI-Modell keine eigene Pflichtschicht | oft zusätzlich durch TLS, VPN oder App-Verschlüsselung | fest in Reticulum eingebaut |
| Transport | Transport Layer, z. B. TCP/UDP | Transport Layer, z. B. TCP/UDP | Reticulum übernimmt eigene Transport-/Link-Logik |
| Vermittlung / Routing | Network Layer, z. B. IP | Internet Layer, z. B. IP | kryptografisch gestützte Ziele, Pfade und Transport |
| Sicherung | Data Link Layer | Network Access / Link | abhängig vom verwendeten Medium |
| Physik | Physical Layer | Physical Layer / Network Access | Physical Layer / beliebiges Trägermedium |
---
3. Was ist bei RNS anders?
Bei normalem Internetverkehr sieht der Ablauf stark vereinfacht so aus:
| Schritt | Klassisches Internet |
|---|---|
| 1 | Eine Anwendung erzeugt Daten, z. B. Browser oder Messenger |
| 2 | TLS kann die Verbindung verschlüsseln |
| 3 | TCP sorgt für Transport und Reihenfolge |
| 4 | IP sorgt für Adressierung und Routing |
| 5 | Ethernet, WLAN oder Mobilfunk übertragen die Daten physisch |
Bei Reticulum sieht die Denkweise anders aus:
| Schritt | Reticulum / RNS |
|---|---|
| 1 | Eine Reticulum-Anwendung erzeugt Daten |
| 2 | Reticulum adressiert nicht klassisch nur über IP-Adressen, sondern über kryptografische Ziele |
| 3 | Reticulum verschlüsselt Inhalte standardmäßig Ende-zu-Ende |
| 4 | Reticulum kann temporäre Schlüssel pro Paket oder pro Link verwenden |
| 5 | Reticulum verpackt seine Daten in ein verfügbares Trägermedium |
| 6 | Dieses Trägermedium kann TCP, UDP, LoRa, Funk, seriell oder etwas anderes sein |
---
4. Gegenüberstellung: Wie wird es bei RNS gemacht?
| Aufgabe | Klassisch im OSI-/TCP/IP-Modell | Bei RNS / Reticulum |
|---|---|---|
| Adresse finden | IP-Adresse, DNS, Routingtabellen | kryptografische Identitäten und Destinations |
| Daten transportieren | TCP oder UDP | Reticulum-Pakete, Links und Transportlogik |
| Verbindung absichern | häufig TLS, VPN, IPsec oder App-Verschlüsselung | Verschlüsselung ist direkt Teil des Reticulum-Stacks |
| Identität prüfen | Zertifikate, DNS, CA, Login-Systeme | kryptografische Identität des Ziels |
| Daten über Internet senden | IP-Paket über Router | Reticulum-Paket wird in TCP/UDP/IP eingepackt |
| Daten über Funk senden | meist Spezialprotokoll nötig | Reticulum kann auch über LoRa, Packet Radio oder serielle Interfaces laufen |
| Zwischenstationen | Router sehen IP-Adressen und leiten weiter | Reticulum-Knoten leiten Pakete weiter, ohne den Inhalt lesen zu können |
| Anwendungsschicht | HTTP, SMTP, DNS, Messenger-Protokolle | Reticulum-Anwendungen oder Erweiterungen, z. B. Messaging über LXMF |
| Verschlüsselung | oft Zusatzschicht über TCP/IP | eingebauter Bestandteil des Netzwerks |
| Abhängigkeit vom Internet | meist stark abhängig von IP-Infrastruktur | kann IP nutzen, ist aber nicht grundsätzlich davon abhängig |
---
5. Erklärung anhand der Grafik
Die Grafik vergleicht drei Modelle:
| Modell | Bedeutung |
|---|---|
| OSI-Modell | theoretisches 7-Schichten-Modell zur Erklärung von Netzwerkkommunikation |
| TCP/IP-Modell | praxisnahes Modell des heutigen Internets |
| RNS-Modell | Reticulum Network Stack als kryptografiebasierter Netzwerk-Stack |
Im OSI-Modell sind die Aufgaben stark aufgeteilt:
- Anwendung
- Darstellung
- Sitzung
- Transport
- Netzwerk
- Sicherung
- Physik
Im TCP/IP-Modell werden mehrere OSI-Schichten zusammengefasst:
- Anwendung
- Transport
- Netzwerk
- Physik/Link
Im RNS-Modell wird vieles noch stärker zusammengeführt:
- Application Layer Extensions
- Secure Extensible Application Layer
- Physical Layer
Das bedeutet:
> Reticulum legt sehr viele Funktionen, die sonst auf mehrere Schichten verteilt sind, in eine sichere und erweiterbare Reticulum-Schicht.
Diese Reticulum-Schicht übernimmt dann unter anderem:
- kryptografische Identität
- sichere Ziele
- Paketverschlüsselung
- Link-Aufbau
- Weiterleitung über mehrere Knoten
- Transport über unterschiedliche Medien
- Nutzung von TCP/UDP/IP als möglicher Träger
- Nutzung von Funk, LoRa oder seriellen Verbindungen als möglicher Träger
---
6. Beispiel: Reticulum über normales Internet
Reticulum kann über das bestehende Internet laufen.
Dabei wird nicht das normale IP-Paketformat verändert. Stattdessen wird ein Reticulum-Paket in ein normales TCP- oder UDP-Paket eingepackt.
Zusatz: Welche Rolle spielt DNS bei Reticulum?
Wenn Reticulum über das normale Internet läuft, kann DNS trotzdem vorkommen. DNS ist dann aber **nicht** dafür zuständig, den eigentlichen Reticulum-Empfänger zu finden.
DNS macht nur das, was DNS im klassischen Internet immer macht:
Domainname
↓
IP-Adresse
Beispiel:
reticulum-node.example.org
↓
203.0.113.10
Damit findet der Rechner zunächst nur einen bekannten Reticulum-Knoten im normalen Internet.
Der eigentliche Reticulum-Weg sieht vereinfacht so aus:
Alice / Reticulum-App
↓
DNS löst eventuell einen Einstiegsknoten auf
↓
normales Internet bringt das Paket zu diesem Reticulum-Knoten
↓
ab dort übernimmt Reticulum selbst
↓
Reticulum sucht das Ziel über Destinations und Announcements
↓
Paket wird über Reticulum-Knoten weitergeleitet
↓
Bob / Reticulum-Ziel empfängt und entschlüsselt
Wichtig ist also:
> DNS kennt höchstens den Einstiegspunkt ins Reticulum-Netz, aber nicht automatisch den endgültigen Reticulum-Empfänger.
Der normale Internet-Router sieht nur:
IP A sendet TCP-/UDP-Daten an IP B
Er sieht aber nicht:
Dieses Reticulum-Paket ist für Bob.
Das ist Bobs Reticulum-Destination.
Das ist der Inhalt der Nachricht.
Reticulum selbst arbeitet nicht hauptsächlich mit Domains oder klassischen IP-Zieladressen, sondern mit kryptografischen Zielen, sogenannten **Destinations**.
Vereinfacht:
| Aufgabe | Klassisches Internet | Reticulum |
|---|---|---|
| Namen auflösen | DNS macht aus Domain eine IP-Adresse | DNS höchstens für Einstiegsknoten nötig |
| Ziel finden | IP-Adresse / Domain | Reticulum-Destination |
| Weiterleitung | IP-Router leiten anhand der Ziel-IP weiter | Reticulum-Knoten leiten anhand bekannter Pfade zu Destinations weiter |
| Herkunft im Paket | IP-Pakete enthalten normalerweise eine Quell-IP | Reticulum-Pakete enthalten keine klassische Quelladresse |
| Inhalt lesen | nur geschützt, wenn z. B. TLS genutzt wird | Reticulum-Inhalt ist Ende-zu-Ende verschlüsselt |
Reticulum-Knoten lernen erreichbare Ziele über sogenannte **Announcements**. Wenn ein Ziel im Reticulum-Netz angekündigt wird, merken sich andere Reticulum-Knoten, über welchen Nachbarn dieses Ziel erreichbar ist. Später können sie Pakete in diese Richtung weiterleiten.
Merksatz:
> DNS bringt dich bei Reticulum über das Internet höchstens bis zu einem bekannten Reticulum-Knoten. Danach übernimmt Reticulum selbst mit kryptografischen Destinations, Announcements und eigener Weiterleitung. Normale Internet-Router transportieren dabei nur TCP-/UDP-/IP-Pakete, verstehen aber den Reticulum-Inhalt nicht.
---
Ablauf:
| Schritt | Beschreibung |
|---|---|
| 1 | Eine Reticulum-Anwendung erstellt eine Nachricht |
| 2 | Reticulum verschlüsselt die Nachricht |
| 3 | Reticulum erzeugt ein eigenes Reticulum-Paket |
| 4 | Dieses Paket wird in TCP oder UDP eingepackt |
| 5 | TCP/UDP läuft wie gewohnt über IP |
| 6 | Normale Router leiten das Paket weiter |
| 7 | Der Empfänger entpackt das Reticulum-Paket |
| 8 | Reticulum entschlüsselt die Nachricht beim richtigen Empfänger |
Vereinfacht:
Reticulum-Nachricht
↓
Reticulum-Verschlüsselung
↓
Reticulum-Paket
↓
TCP/UDP-Paket
↓
IP-Paket
↓
Internet
↓
Empfänger entschlüsselt Reticulum-Nachricht
---
7. Warum braucht RNS nicht zwingend IP?
Im klassischen Internet ist IP die zentrale Vermittlungsschicht.
Bei Reticulum ist das anders:
> Reticulum kann IP benutzen, muss es aber nicht.
Das heißt:
| Situation | Reticulum-Nutzung |
|---|---|
| normales Heimnetz | Reticulum kann über TCP/UDP/IP laufen |
| Internet | Reticulum kann über TCP/UDP/IP getunnelt werden |
| LoRa-Funk | Reticulum kann direkt über LoRa laufen |
| Packet Radio | Reticulum kann über Funkmodems laufen |
| serielle Verbindung | Reticulum kann über serielle Schnittstellen laufen |
| I2P | Reticulum kann über ein anonymisierendes Overlay laufen |
Deshalb ist Reticulum besonders interessant für Netze, die nicht immer wie normales Internet funktionieren.
Zum Beispiel:
- Notfallkommunikation
- Mesh-Netze
- Funknetze
- LoRa-Kommunikation
- dezentrale Kommunikation
- Kommunikation mit sehr niedriger Bandbreite
- Kommunikation bei hoher Latenz
- Netze ohne zentrale Infrastruktur
---
8. Was bedeutet „Secure Extensible Application Layer“?
In der Grafik ist beim RNS-Modell eine große grüne Schicht zu sehen:
**Secure Extensible Application Layer**
Das bedeutet vereinfacht:
> Reticulum stellt eine sichere, erweiterbare Kommunikationsschicht bereit, auf der Anwendungen aufbauen können.
Diese Schicht ersetzt nicht einfach nur eine einzelne OSI-Schicht. Sie übernimmt mehrere Aufgaben gleichzeitig.
| Klassische Aufgabe | Bei RNS ungefähr enthalten in |
|---|---|
| Adressierung | Secure Extensible Application Layer |
| Routing / Weiterleitung | Secure Extensible Application Layer |
| Verschlüsselung | Secure Extensible Application Layer |
| Sitzungs-/Link-Aufbau | Secure Extensible Application Layer |
| Pakettransport | Secure Extensible Application Layer |
| Anwendungserweiterungen | Application Layer Extensions |
Dadurch wirkt RNS im Vergleich zum OSI-Modell viel kompakter.
---
9. Wichtiger Unterschied zu TLS/HTTPS
TLS/HTTPS funktioniert normalerweise so:
| Ebene | Klassisches HTTPS |
|---|---|
| Anwendung | Browser / Webserver |
| Sicherheit | TLS |
| Transport | TCP |
| Netzwerk | IP |
| Physik | Ethernet, WLAN, Mobilfunk |
Reticulum funktioniert eher so:
| Ebene | Reticulum |
|---|---|
| Anwendung | Reticulum-App |
| Sicherheit | direkt in Reticulum |
| Transportlogik | direkt in Reticulum |
| Routing/Ziele | direkt in Reticulum |
| Trägermedium | TCP, UDP, LoRa, Funk, seriell, WLAN usw. |
Merksatz:
> TLS schützt eine bestehende TCP/IP-Verbindung. Reticulum baut ein eigenes kryptografisches Netzwerk, das TCP/IP nur als eine mögliche Transportmöglichkeit verwenden kann.
---
10. Kurze Lernzusammenfassung
Reticulum / RNS unterscheidet sich vom OSI- und TCP/IP-Modell vor allem dadurch, dass es nicht einfach eine weitere Verschlüsselungsschicht über das Internet legt.
Stattdessen ist Reticulum ein eigener Netzwerk-Stack.
Er verbindet:
- Identität
- Adressierung
- Verschlüsselung
- Transport
- Routing
- Anwendungserweiterungen
in einem kryptografisch aufgebauten System.
Das normale Internet kann dabei weiterhin benutzt werden, ist aber nur ein möglicher Transportweg.
Reticulum kann deshalb über TCP/UDP/IP laufen, aber auch über LoRa, Funk, serielle Verbindungen oder andere Medien.
---
11. Merksatz
> Das OSI-Modell trennt Netzwerkkommunikation in viele einzelne Schichten. TCP/IP setzt diese Idee praxisnah für das Internet um. RNS/Reticulum geht einen anderen Weg: Es baut ein eigenes kryptografisches Netzwerk, in dem Sicherheit, Identität, Routing und Transport direkt zusammengehören. Das darunterliegende Medium kann normales Internet sein, muss es aber nicht.
---
12. Mini-Vergleich für den Kopf
| Frage | OSI / TCP/IP | RNS / Reticulum |
|---|---|---|
| Braucht es IP? | meistens ja | nein, aber IP kann genutzt werden |
| Ist Verschlüsselung automatisch Teil des Modells? | nein, meist Zusatz wie TLS/VPN | ja, zentraler Bestandteil |
| Für normales Web geeignet? | ja | nicht als direkter Ersatz für normales Web gedacht |
| Für Mesh/Funk/LoRa geeignet? | nur mit Zusatzlösungen | genau dafür interessant |
| Müssen Router Reticulum verstehen? | nur Reticulum-Knoten müssen es verstehen | normale IP-Router leiten nur TCP/UDP weiter |
| Können Zwischenstationen Inhalte lesen? | abhängig von Verschlüsselung | bei verschlüsselter Reticulum-Kommunikation nein |
| Hauptidee | standardisierte Schichten | kryptografisches dezentrales Netzwerk |
---
13. Abschluss-Merksatz
> Reticulum kann das bestehende Internet als Transportweg nutzen, ersetzt es aber nicht einfach. Das klassische Internet bleibt für Web, Browser, Streaming, Cloud und Apps praktischer. Reticulum ist dagegen besonders stark bei dezentraler, sicherer und robuster Kommunikation – vor allem bei Mesh, Funk, LoRa, hoher Latenz, wenig Bandbreite und autonomen Netzen.
---
Quellen / weiterführende Links
- Reticulum Manual: https://reticulum.network/manual/
- What is Reticulum?: https://reticulum.network/manual/whatis.html
- Understanding Reticulum: https://reticulum.network/manual/understanding.html
- Cryptographic Primitives: https://reticulum.network/crypto.html
- GitHub-Projekt: https://github.com/markqvist/Reticulum
# 14. VPN, Intranet und Extranet
# 14.1 VPN, Intranet und Extranet
VPN, Intranet und Extranet beschreiben verschiedene Möglichkeiten,
wie Benutzer und Systeme auf interne oder geschützte Ressourcen zugreifen können.
Diese Begriffe hängen eng zusammen,
werden aber nicht gleich verwendet.
Grundidee:
Intranet:
internes Netzwerk einer Organisation
Extranet:
kontrollierter Zugriff für externe Partner
VPN:
verschlüsselter Tunnel für Zugriff über ein unsicheres Netz
Merksatz:
Intranet ist intern.
Extranet ist kontrolliert extern erweitert.
VPN ist ein sicherer Tunnel.
---
**Warum ist dieses Kapitel wichtig?**
In Unternehmen arbeiten Benutzer nicht immer direkt im Firmennetz.
Beispiele:
- Homeoffice
- Außendienst
- externe Dienstleister
- Partnerunternehmen
- mehrere Standorte
- Cloud-Dienste
- mobile Geräte
- Fernwartung
- Zugriff auf interne Anwendungen
Dafür braucht man sichere Zugriffskonzepte.
Merksatz:
Moderne Netzwerke enden nicht mehr nur am Bürogebäude.
---
**Intranet**
Ein Intranet ist ein internes Netzwerk oder internes Informationssystem einer Organisation.
Es ist normalerweise nur für berechtigte interne Benutzer erreichbar.
Typische Inhalte:
- interne Webseiten
- Dokumentationen
- Mitarbeiterinformationen
- interne Anwendungen
- Ticketsystem
- Zeiterfassung
- Dateifreigaben
- interne Wikis
- interne Portale
Merksatz:
Intranet = internes Netz oder internes Portal für die Organisation.
---
**Intranet ist nicht automatisch das Internet**
Das Internet ist öffentlich.
Das Intranet ist intern.
Beispiel:
Internet:
öffentlich erreichbare Webseite einer Firma
Intranet:
internes Mitarbeiterportal derselben Firma
Ein Intranet kann Webtechnik nutzen,
ist aber nicht automatisch öffentlich erreichbar.
Merksatz:
Intranet nutzt oft Internet-Technik,
ist aber intern beschränkt.
---
**Typische Intranet-Dienste**
Typische Dienste im Intranet:
| Dienst | Beispiel |
|---|---|
| internes Wiki | Dokumentation |
| Dateiablage | SMB, SharePoint, Nextcloud |
| interne Webanwendung | Zeiterfassung |
| Ticketsystem | Helpdesk |
| Monitoring | Systemstatus |
| Telefonbuch | Mitarbeiterdaten |
| Authentifizierung | AD, LDAP, SSO |
| interne APIs | Anwendungskommunikation |
Merksatz:
Intranet enthält interne Dienste,
die nicht öffentlich sein sollen.
---
**Schutzbedarf im Intranet**
Auch interne Dienste brauchen Schutz.
Warum?
Nicht jeder interne Benutzer darf alles sehen.
Ein kompromittierter Client kann Schaden verursachen.
Gastgeräte dürfen nicht auf interne Systeme.
IoT-Geräte sind nicht automatisch vertrauenswürdig.
Malware kann sich intern ausbreiten.
Merksatz:
Intern heißt nicht automatisch sicher.
---
**Extranet**
Ein Extranet erweitert das Intranet kontrolliert für externe Parteien.
Externe Parteien können sein:
- Kunden
- Lieferanten
- Partnerunternehmen
- Dienstleister
- externe Techniker
- Projektpartner
Dabei erhalten sie nur Zugriff auf ausgewählte Ressourcen.
Merksatz:
Extranet = kontrollierter Zugriff für externe Berechtigte.
---
**Beispiel für ein Extranet**
Ein Unternehmen stellt einem Lieferanten ein Portal bereit.
Der Lieferant darf dort:
Bestellungen einsehen
Liefertermine bestätigen
Dokumente hochladen
Rechnungen abrufen
Der Lieferant darf aber nicht:
interne Personalakten sehen
interne Server verwalten
alle Kundendaten abrufen
auf das gesamte LAN zugreifen
Merksatz:
Extranet gibt gezielten Zugriff,
nicht vollständigen internen Zugriff.
---
**Intranet und Extranet vergleichen**
| Begriff | Zugriff | Zielgruppe |
|---|---|---|
| Intranet | intern | Mitarbeitende und interne Systeme |
| Extranet | kontrolliert extern | Partner, Kunden, Lieferanten |
| Internet | öffentlich | grundsätzlich jeder |
| VPN | Tunnelzugriff | berechtigte entfernte Benutzer oder Standorte |
Merksatz:
Intranet intern,
Extranet ausgewählt extern,
Internet öffentlich.
---
**VPN**
VPN steht für:
Virtual Private Network
Ein VPN baut über ein unsicheres oder fremdes Netz einen geschützten Tunnel auf.
Beispiel:
Benutzer im Homeoffice
→ Internet
→ VPN-Tunnel
→ Firmennetz
Der Verkehr wird dabei verschlüsselt übertragen.
Merksatz:
VPN verbindet entfernte Teilnehmer sicher mit einem Netzwerk.
---
**Warum nutzt man VPN?**
VPN wird genutzt,
wenn sichere Kommunikation über unsichere Netze benötigt wird.
Typische Gründe:
- Homeoffice-Zugriff
- Standortvernetzung
- Fernwartung
- Zugriff auf interne Server
- verschlüsselte Verbindung über Internet
- Schutz in öffentlichen Netzen
- Zugriff auf interne Anwendungen
- sichere Administration
Merksatz:
VPN schützt den Übertragungsweg durch einen verschlüsselten Tunnel.
---
**VPN-Tunnel**
Ein VPN-Tunnel ist eine logische verschlüsselte Verbindung.
Die Daten werden eingepackt,
verschlüsselt
und über ein anderes Netz transportiert.
Man spricht dabei oft von:
Tunneling
Merksatz:
VPN-Tunnel transportiert geschützte Daten durch ein fremdes Netz.
---
**Tunneling einfach erklärt**
Beim Tunneling wird ein Paket in ein anderes Paket verpackt.
Vereinfacht:
internes Paket
wird verschlüsselt
und in äußeres Transportpaket eingepackt
Das äußere Paket wird über das Internet übertragen.
Am Ziel wird es wieder ausgepackt.
Merksatz:
Tunneling bedeutet:
ein Paket wird durch ein anderes Netz getragen.
---
**Verschlüsselung beim VPN**
VPNs nutzen Verschlüsselung,
damit Dritte den Inhalt nicht mitlesen können.
Geschützt werden soll:
- Dateninhalt
- Zugangsdaten
- interne Kommunikation
- Dateiübertragungen
- Administrationszugriffe
- Anwendungsdaten
Wichtig:
Ein VPN schützt den Tunnel,
aber nicht automatisch jedes Zielsystem.
Merksatz:
VPN verschlüsselt den Transportweg,
ersetzt aber keine Zugriffskontrolle.
---
**Authentifizierung beim VPN**
Vor dem VPN-Zugriff muss geprüft werden,
wer sich verbindet.
Mögliche Verfahren:
- Benutzername und Passwort
- Zertifikat
- MFA
- Token
- Smartcard
- Geräteprüfung
- SSO
- Gruppenmitgliedschaft
Merksatz:
VPN braucht starke Authentifizierung.
---
**Autorisierung beim VPN**
Nach erfolgreicher Anmeldung muss geprüft werden,
was der Benutzer darf.
Beispiele:
Support darf auf bestimmte Server.
Externe Dienstleister dürfen nur auf Wartungssysteme.
Mitarbeitende dürfen auf interne Anwendungen.
Admins dürfen ins Managementnetz.
Merksatz:
VPN verbunden heißt nicht automatisch:
Zugriff auf alles erlaubt.
---
**Remote-Access-VPN**
Remote-Access-VPN verbindet einzelne Benutzer mit dem Unternehmensnetz.
Beispiele:
Homeoffice
Außendienst
Notebook unterwegs
Administrator von extern
mobiler Benutzer
Ablauf:
Benutzer startet VPN-Client.
Benutzer authentifiziert sich.
VPN-Tunnel wird aufgebaut.
Benutzer erhält Zugriff auf erlaubte interne Ressourcen.
Merksatz:
Remote-Access-VPN verbindet einzelne Benutzer.
---
**Site-to-Site-VPN**
Site-to-Site-VPN verbindet ganze Standorte miteinander.
Beispiele:
Hauptstandort ↔ Niederlassung
Firma ↔ Rechenzentrum
Firma ↔ Cloud-Netzwerk
zwei Firewalls miteinander
Dabei baut nicht jeder Benutzer einzeln einen VPN-Client auf.
Die Gateways verbinden die Netze.
Merksatz:
Site-to-Site-VPN verbindet Netzwerke.
---
**Remote-Access und Site-to-Site vergleichen**
| Merkmal | Remote-Access-VPN | Site-to-Site-VPN |
|---|---|---|
| verbindet | einzelner Benutzer | ganze Netze |
| typischer Einsatz | Homeoffice | Standortvernetzung |
| Client nötig | meistens ja | auf Endgerät meist nein |
| Endpunkt | Benutzergerät zu Gateway | Gateway zu Gateway |
| Zugriff | benutzerbezogen | netzbezogen |
Merksatz:
Remote-Access = Benutzer.
Site-to-Site = Standort.
---
**VPN-Gateway**
Ein VPN-Gateway ist der zentrale Gegenpunkt für VPN-Verbindungen.
Es kann sein:
- Firewall
- Router
- VPN-Appliance
- Cloud-Gateway
- Server
- Zero-Trust-Gateway
Aufgaben:
VPN-Verbindungen annehmen
Benutzer prüfen
Tunnel aufbauen
Verschlüsselung aushandeln
Routen verteilen
Zugriff kontrollieren
Merksatz:
VPN-Gateway ist der Zugangspunkt zum geschützten Netz.
---
**VPN-Client**
Der VPN-Client läuft auf dem Endgerät des Benutzers.
Beispiele:
Notebook
Smartphone
Tablet
Admin-PC
Aufgaben:
Verbindung zum VPN-Gateway aufbauen
Benutzer anmelden
Tunnel erzeugen
Routen setzen
DNS übernehmen
Verkehr durch Tunnel leiten
Merksatz:
VPN-Client baut den Tunnel vom Endgerät aus auf.
---
**VPN-Protokolle**
Häufige VPN-Techniken und Protokolle:
- IPsec
- IKEv2
- SSL-VPN / TLS-VPN
- OpenVPN
- WireGuard
- L2TP/IPsec
Je nach Umgebung unterscheiden sich:
Sicherheit
Geschwindigkeit
Einrichtung
Portnutzung
Betriebssystemunterstützung
Firewall-Freundlichkeit
Merksatz:
VPN ist ein Oberbegriff,
dahinter können verschiedene Protokolle stehen.
---
**IPsec**
IPsec ist eine Protokollfamilie zur sicheren Kommunikation auf IP-Ebene.
IPsec kann genutzt werden für:
- Site-to-Site-VPN
- Remote-Access-VPN
- verschlüsselte Kommunikation zwischen Netzen
IPsec arbeitet besonders nah an Schicht 3.
Merksatz:
IPsec schützt IP-Kommunikation.
---
**IKE**
IKE steht für:
Internet Key Exchange
IKE dient dazu,
bei IPsec die Sicherheitsparameter und Schlüssel auszuhandeln.
IKEv2 ist eine moderne Version.
Merksatz:
IKE handelt Schlüssel und Sicherheitsparameter für IPsec aus.
---
**SSL-VPN / TLS-VPN**
SSL-VPN ist ein älterer Begriff.
Fachlich geht es meist um TLS-VPN.
Dabei wird TLS genutzt,
ähnlich wie bei HTTPS.
Vorteile:
oft firewallfreundlich
häufig über TCP 443 möglich
gut für Remote-Zugriff
teilweise browserbasiert oder clientbasiert
Merksatz:
SSL-VPN meint meist TLS-basiertes VPN.
---
**OpenVPN**
OpenVPN ist eine verbreitete VPN-Lösung.
Eigenschaften:
nutzt TLS
kann TCP oder UDP verwenden
flexibel konfigurierbar
oft für Remote-Access und Site-to-Site nutzbar
benötigt meist Clientsoftware
Merksatz:
OpenVPN ist flexibel und TLS-basiert.
---
**WireGuard**
WireGuard ist ein modernes VPN-Protokoll.
Eigenschaften:
schlank
schnell
vergleichsweise einfache Konfiguration
nutzt moderne Kryptografie
arbeitet meist über UDP
Wichtig:
Sicherheit hängt trotzdem von richtiger Schlüsselverwaltung,
Routen
Firewall-Regeln
und Zugriffskonzept ab.
Merksatz:
WireGuard ist modernes,
schlankes VPN über UDP.
---
**L2TP/IPsec**
L2TP steht für:
Layer 2 Tunneling Protocol
L2TP selbst verschlüsselt nicht stark genug,
deshalb wird es häufig mit IPsec kombiniert.
Merksatz:
L2TP wird für Sicherheit typischerweise mit IPsec kombiniert.
---
**Split Tunneling**
Split Tunneling bedeutet:
Nur bestimmter Verkehr geht durch den VPN-Tunnel.
Anderer Verkehr,
zum Beispiel normales Internet,
geht direkt über den lokalen Anschluss.
Beispiel:
Zugriff auf Firmennetz:
durch VPN
YouTube oder private Webseiten:
direkt über lokalen Internetanschluss
Merksatz:
Split Tunneling leitet nur ausgewählten Verkehr durch VPN.
---
**Full Tunnel**
Full Tunnel bedeutet:
Der gesamte Verkehr des Clients läuft durch den VPN-Tunnel.
Auch Internetzugriffe gehen zuerst ins Firmennetz
und von dort weiter ins Internet.
Vorteile:
zentrale Kontrolle
zentrale Filterung
einheitliche Sicherheitsrichtlinien
Nachteile:
mehr Last auf VPN und Internetanschluss der Firma
höhere Latenz
mehr Bandbreitenbedarf
Merksatz:
Full Tunnel leitet den gesamten Clientverkehr durch VPN.
---
**Split Tunnel und Full Tunnel vergleichen**
| Merkmal | Split Tunnel | Full Tunnel |
|---|---|---|
| Internetverkehr | direkt lokal | durch Firma |
| Last auf VPN | geringer | höher |
| zentrale Kontrolle | geringer | höher |
| Latenz | oft niedriger | oft höher |
| Sicherheitspolitik | schwieriger einheitlich | zentraler steuerbar |
Merksatz:
Split Tunnel spart Last.
Full Tunnel bietet mehr zentrale Kontrolle.
---
**VPN-Routing**
Damit ein VPN funktioniert,
müssen passende Routen vorhanden sein.
Der Client muss wissen:
Welche Netze sind über VPN erreichbar?
Beispiele:
192.168.10.0/24 über VPN
10.10.0.0/16 über VPN
nur bestimmte Server über VPN
Fehlt eine Route,
geht der Verkehr nicht durch den Tunnel.
Merksatz:
VPN braucht passende Routen.
---
**VPN-DNS**
VPN-Benutzer müssen oft interne Namen auflösen können.
Beispiele:
intranet.firma.local
fileserver.firma.local
wiki.intern
dc01.firma.local
Dafür kann der VPN-Client interne DNS-Server bekommen.
Typische Fehler:
VPN verbunden,
aber interne Namen lösen nicht auf.
Merksatz:
VPN braucht oft interne DNS-Einstellungen.
---
**Split DNS bei VPN**
Split DNS bedeutet:
bestimmte Namen werden über interne DNS-Server aufgelöst,
andere Namen über normale DNS-Server.
Beispiel:
firma.local
→ interner DNS über VPN
öffentliche Webseiten
→ normaler DNS
Merksatz:
Split DNS sorgt dafür,
dass interne Namen über VPN korrekt aufgelöst werden.
---
**VPN-Adresspool**
Ein VPN-Adresspool ist der IP-Adressbereich,
aus dem VPN-Clients eine Adresse bekommen.
Beispiel:
VPN-Clients:
10.8.0.0/24
Wichtig:
Der VPN-Adressbereich darf nicht mit bestehenden Netzen kollidieren.
Problem:
Wenn das Heimnetz des Benutzers denselben Bereich nutzt,
kann Routing fehlschlagen.
Merksatz:
VPN-Adresspool muss eindeutig und konfliktfrei sein.
---
**Adresskonflikt bei VPN**
Ein häufiger Fehler:
Heimnetz des Benutzers:
192.168.1.0/24
Firmennetz:
192.168.1.0/24
Dann weiß der Client nicht eindeutig,
ob 192.168.1.50 lokal oder über VPN erreichbar ist.
Folge:
interne Server sind nicht erreichbar.
Merksatz:
Gleiche Netze auf beiden Seiten verursachen VPN-Routingprobleme.
---
**Firewall-Regeln für VPN**
VPN-Zugriff muss durch Firewall-Regeln gesteuert werden.
Nicht gut:
VPN → LAN any erlauben
Besser:
VPN-Gruppe Support → bestimmte Server TCP 3389
VPN-Gruppe Admin → Managementnetz SSH/RDP
VPN-Gruppe Mitarbeiter → Intranet HTTPS
VPN-Gruppe Dienstleister → nur Wartungssystem
Merksatz:
VPN-Zugriff nach Rolle und Bedarf begrenzen.
---
**VPN und Least Privilege**
Auch beim VPN gilt:
nur notwendige Rechte erlauben.
Ein VPN-Benutzer sollte nicht automatisch Zugriff auf das gesamte interne Netz erhalten.
Warum?
kompromittierter VPN-Client
gestohlene Zugangsdaten
Malware auf Heimgerät
externe Dienstleister
zu breite Angriffsfläche
Merksatz:
VPN ist Zugang,
aber kein Freifahrtschein.
---
**VPN und MFA**
VPN-Zugänge sollten nach Möglichkeit mit MFA geschützt werden.
Warum?
Passwörter können gestohlen werden.
Phishing kann Zugangsdaten abgreifen.
Passwort-Wiederverwendung ist häufig.
VPN-Zugang ist ein direkter Einstieg ins Netz.
MFA erhöht die Sicherheit deutlich.
Merksatz:
VPN ohne MFA ist deutlich riskanter.
---
**VPN und Zertifikate**
VPNs können Zertifikate nutzen für:
Serverauthentifizierung
Clientauthentifizierung
Gerätezulassung
starke Identitätsprüfung
Vorteil:
nicht nur Passwort,
sondern zusätzlich kryptografischer Nachweis.
Wichtig:
Zertifikate müssen verwaltet,
erneuert
und bei Verlust widerrufen werden.
Merksatz:
Zertifikate erhöhen VPN-Sicherheit,
brauchen aber gutes Management.
---
**VPN und Gerätesicherheit**
Ein VPN-Client bringt ein entferntes Gerät näher an interne Systeme.
Deshalb ist wichtig:
aktuelles Betriebssystem
aktuelle Schutzsoftware
Festplattenverschlüsselung
Bildschirmsperre
sichere Konfiguration
kein kompromittiertes Gerät
Gerätezertifikat oder Geräteprüfung
Patchstand prüfen
Merksatz:
Unsicheres Endgerät plus VPN ist ein Risiko.
---
**VPN und öffentliche WLANs**
VPN kann in öffentlichen WLANs schützen,
weil der Verkehr im Tunnel verschlüsselt wird.
Aber:
VPN schützt nicht vor allem.
Weiterhin wichtig:
HTTPS prüfen
Phishing vermeiden
Gerät aktuell halten
keine fremden Zertifikate akzeptieren
keine Warnungen ignorieren
Merksatz:
VPN hilft im öffentlichen WLAN,
ersetzt aber kein sicheres Verhalten.
---
**VPN und Performance**
VPN kann die Leistung beeinflussen.
Mögliche Ursachen:
Verschlüsselungsaufwand
längerer Weg
zentrale Internetleitung
Full Tunnel
schwacher VPN-Gateway
schlechte Clientverbindung
MTU-Probleme
Paketverlust
hohe Latenz
Merksatz:
VPN kann sicher sein,
aber Geschwindigkeit und Latenz beeinflussen.
---
**VPN und MTU**
VPN fügt zusätzliche Header hinzu.
Dadurch kann die effektive Nutzlast kleiner werden.
MTU-Probleme zeigen sich oft so:
kleine Pakete funktionieren
große Übertragungen hängen
Webseiten laden teilweise
VPN-Verbindung instabil
RDP oder SSH bricht sporadisch ab
Merksatz:
Bei VPN-Problemen mit großen Daten an MTU denken.
---
**VPN und Logging**
VPN-Logs sind wichtig für Sicherheit und Fehlersuche.
Sie zeigen:
wer sich verbunden hat
wann Verbindung aufgebaut wurde
von welcher IP
mit welchem Gerät
ob MFA erfolgreich war
welche VPN-IP vergeben wurde
warum Verbindung getrennt wurde
ob Fehler auftraten
Merksatz:
VPN-Zugriffe müssen nachvollziehbar sein.
---
**VPN und Monitoring**
VPN-Infrastruktur sollte überwacht werden.
Wichtige Werte:
Anzahl aktiver Verbindungen
CPU-Auslastung
RAM
Bandbreite
Tunnelstatus
Fehlversuche
Zertifikatsablauf
Latenz
Paketverlust
Authentifizierungsfehler
Merksatz:
VPN ist kritische Infrastruktur und muss überwacht werden.
---
**Typische VPN-Fehler**
Häufige Fehler:
- VPN baut nicht auf
- Anmeldung schlägt fehl
- MFA funktioniert nicht
- Zertifikat ungültig
- Client bekommt keine VPN-IP
- Route fehlt
- DNS fehlt
- interne Dienste nicht erreichbar
- nur manche Netze erreichbar
- Adresskonflikt mit Heimnetz
- Firewall blockiert
- Split Tunnel falsch
- Full Tunnel überlastet
- MTU-Problem
- Verbindung bricht ab
Merksatz:
VPN-Fehler können Authentifizierung,
Routing,
DNS,
Firewall
oder MTU betreffen.
---
**Fehlerbild: VPN verbindet nicht**
Mögliche Ursachen:
- falscher Servername
- Internetverbindung gestört
- VPN-Gateway nicht erreichbar
- falscher Port blockiert
- Benutzername oder Passwort falsch
- MFA schlägt fehl
- Zertifikat ungültig
- Clientversion inkompatibel
- Konto gesperrt
- Lizenz oder Berechtigung fehlt
Merksatz:
Wenn VPN nicht verbindet,
zuerst Erreichbarkeit,
Anmeldung
und Zertifikate prüfen.
---
**Fehlerbild: VPN verbunden, aber kein interner Zugriff**
Mögliche Ursachen:
- Route fehlt
- DNS fehlt
- Firewall-Regel fehlt
- Benutzergruppe nicht berechtigt
- falscher VPN-Adresspool
- Adresskonflikt mit Heimnetz
- Split Tunnel falsch
- Zielsystem-Firewall blockiert
- Rückweg fehlt
Merksatz:
VPN verbunden heißt nicht automatisch:
interne Ressourcen erreichbar.
---
**Fehlerbild: Interne Namen gehen nicht**
Mögliche Ursachen:
- interner DNS wird nicht verteilt
- Split DNS falsch
- DNS-Suffix fehlt
- DNS-Anfragen gehen lokal statt durch VPN
- interne Zone fehlt
- Firewall blockiert DNS
- falscher DNS-Server antwortet
Merksatz:
Bei VPN-Namensproblemen DNS und Split DNS prüfen.
---
**Fehlerbild: Nur manche internen Netze erreichbar**
Mögliche Ursachen:
- Route für bestimmtes Netz fehlt
- Firewall-Regel fehlt
- Benutzergruppe darf nur bestimmte Netze
- Rückroute fehlt
- Zielnetz überschneidet sich mit lokalem Netz
- ACL blockiert
Merksatz:
Teilweise Erreichbarkeit deutet oft auf Routing oder Berechtigung hin.
---
**Fehlerbild: VPN langsam**
Mögliche Ursachen:
- Full Tunnel überlastet
- hohe Latenz
- schwache Internetleitung
- VPN-Gateway ausgelastet
- Paketverlust
- MTU-Problem
- WLAN instabil
- Verschlüsselungsleistung begrenzt
- zentraler Proxy langsam
Merksatz:
VPN-Langsamkeit mit Latenz,
Paketverlust,
MTU
und Auslastung prüfen.
---
**Fehlerbild: VPN bricht ab**
Mögliche Ursachen:
- instabile Internetverbindung
- WLAN-Roaming
- NAT-Timeout
- Firewall-Timeout
- Mobilfunkwechsel
- Energiesparmodus
- Clientproblem
- Zertifikat oder Token läuft ab
- Gateway überlastet
- MTU-Problem
Merksatz:
VPN-Abbrüche brauchen Zeitbezug,
Logs
und Verbindungsmessung.
---
**VPN und Extranet unterscheiden**
Ein Extranet kann über VPN bereitgestellt werden,
muss aber nicht.
Beispiele:
Extranet über Webportal:
Partner meldet sich im Browser an.
Extranet über VPN:
Partner bekommt VPN-Zugang zu bestimmten Systemen.
Wichtig:
Extranet ist das Zugriffskonzept.
VPN ist eine mögliche technische Umsetzung.
Merksatz:
Extranet beschreibt Zielgruppe und Zugriff.
VPN beschreibt den Tunnel.
---
**Extranet-Sicherheit**
Extranet-Zugänge brauchen klare Begrenzung.
Wichtig:
- eigene Benutzerkonten
- MFA
- Rollen und Rechte
- Protokollierung
- Vertrags- und Zweckbindung
- zeitliche Begrenzung
- Zugriff nur auf benötigte Daten
- keine gemeinsamen Konten
- regelmäßige Prüfung
- Sperrung nach Projektende
Merksatz:
Externe Zugänge müssen besonders sauber kontrolliert werden.
---
**Partnerzugriff**
Partnerzugriff sollte nicht ungefiltert ins interne Netz führen.
Besser:
Partnerportal
API-Gateway
Reverse Proxy
dedizierte Extranet-Zone
VPN mit begrenzten Regeln
Bastion Host
getrennte Benutzerrollen
Merksatz:
Partner nur auf das zugreifen lassen,
was sie wirklich benötigen.
---
**Intranet über VPN**
Im Homeoffice greifen Benutzer oft per VPN auf das Intranet zu.
Beispiel:
Benutzer verbindet VPN.
Danach öffnet er internes Wiki.
DNS löst internen Namen auf.
Firewall erlaubt VPN → Intranet HTTPS.
Webserver prüft Anmeldung.
Merksatz:
Intranet-Zugriff über VPN braucht Tunnel,
DNS,
Firewall
und Berechtigung.
---
**Intranet über Zero Trust**
Moderne Umgebungen nutzen teilweise Zero-Trust-Zugriffe statt klassischem Voll-VPN.
Grundidee:
Benutzer bekommt nicht Zugriff auf das ganze Netz,
sondern nur auf einzelne Anwendungen.
Prüfung:
Identität
Gerät
Standort
Risiko
MFA
Anwendung
Richtlinie
Merksatz:
Zero Trust ersetzt oft breiten Netzwerkzugriff durch gezielten Anwendungszugriff.
---
**VPN und Zero Trust vergleichen**
| Merkmal | klassisches VPN | Zero-Trust-Zugriff |
|---|---|---|
| Zugriffsebene | oft Netzwerkzugriff | meist Anwendungszugriff |
| Risiko | breiter Zugriff möglich | stärker begrenzter Zugriff |
| Prüfung | häufig beim Verbindungsaufbau | kontinuierlicher und kontextbezogener |
| Nutzung | interne Netze | einzelne Anwendungen |
| Vorteil | bewährt und flexibel | feiner steuerbar |
Merksatz:
VPN verbindet oft Netze.
Zero Trust gibt gezielt Anwendungen frei.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist ein VPN?
- Wofür steht VPN?
- Was ist ein VPN-Tunnel?
- Was ist der Unterschied zwischen Remote-Access-VPN und Site-to-Site-VPN?
- Was ist ein VPN-Gateway?
- Was ist Split Tunneling?
- Was ist Full Tunnel?
- Warum braucht VPN Routing?
- Warum ist DNS bei VPN wichtig?
- Warum können gleiche IP-Netze bei VPN Probleme verursachen?
- Warum sollte VPN-Zugriff nicht automatisch das ganze LAN erlauben?
- Warum ist MFA bei VPN sinnvoll?
- Was ist ein Intranet?
- Was ist ein Extranet?
- Was ist der Unterschied zwischen Intranet, Extranet und Internet?
- Warum ist ein Extranet besonders zu schützen?
---
**Typische Prüfungsfallen**
VPN bedeutet Virtual Private Network.
VPN ist ein Tunnel,
nicht automatisch ein komplettes Sicherheitskonzept.
VPN schützt den Transportweg.
VPN ersetzt keine Firewall-Regeln.
VPN ersetzt keine Berechtigungen.
Remote-Access-VPN verbindet einzelne Benutzer.
Site-to-Site-VPN verbindet Standorte oder Netze.
Split Tunnel leitet nur ausgewählten Verkehr durch VPN.
Full Tunnel leitet gesamten Verkehr durch VPN.
VPN braucht passende Routen.
VPN braucht oft interne DNS-Einstellungen.
VPN verbunden heißt nicht:
Zugriff auf alles erlaubt.
Gleiche IP-Netze auf beiden Seiten erzeugen Routingprobleme.
MFA erhöht VPN-Sicherheit.
Externe Dienstleister nur begrenzt berechtigen.
Intranet ist intern.
Extranet ist kontrolliert für externe Berechtigte.
Internet ist öffentlich.
Extranet ist nicht automatisch VPN.
VPN kann durch MTU-Probleme langsam oder instabil wirken.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| VPN | Virtual Private Network |
| VPN-Tunnel | geschützte logische Verbindung |
| Tunneling | Einpacken von Daten in eine Tunnelverbindung |
| Remote-Access-VPN | VPN für einzelne Benutzer |
| Site-to-Site-VPN | VPN zwischen Netzwerken |
| VPN-Gateway | Gegenstelle für VPN-Verbindungen |
| VPN-Client | Software oder Gerät des Benutzers |
| IPsec | VPN-Technik auf IP-Ebene |
| IKE | Schlüsselaushandlung bei IPsec |
| TLS-VPN | VPN auf Basis von TLS |
| OpenVPN | verbreitete TLS-basierte VPN-Lösung |
| WireGuard | modernes schlankes VPN-Protokoll |
| Split Tunnel | nur ausgewählter Verkehr durch VPN |
| Full Tunnel | gesamter Verkehr durch VPN |
| VPN-Adresspool | IP-Bereich für VPN-Clients |
| Split DNS | getrennte DNS-Auflösung je nach Ziel |
| Intranet | internes Netzwerk oder internes Portal |
| Extranet | kontrollierter Zugriff für externe Berechtigte |
| MFA | Multi-Faktor-Authentifizierung |
| Least Privilege | nur notwendige Rechte |
| Zero Trust | kein automatisches Vertrauen |
---
**IHK-sichere Kurzformulierung**
Ein VPN, also Virtual Private Network, stellt über ein unsicheres oder fremdes Netz einen geschützten Tunnel bereit. Es wird genutzt, um einzelne Benutzer per Remote-Access-VPN oder ganze Standorte per Site-to-Site-VPN sicher mit internen Ressourcen zu verbinden. Für den VPN-Betrieb sind Authentifizierung, Verschlüsselung, Routing, DNS, Firewall-Regeln und Berechtigungen wichtig. Split Tunneling leitet nur ausgewählten Verkehr durch das VPN, während Full Tunnel den gesamten Clientverkehr durch den Tunnel führt. Ein Intranet ist ein internes Netzwerk oder internes Portal einer Organisation. Ein Extranet stellt ausgewählten externen Partnern kontrollierten Zugriff auf bestimmte Ressourcen bereit. VPN-Zugriff sollte durch MFA, Rollen, Firewall-Regeln und Least Privilege abgesichert werden.
---
**Merksätze**
Intranet = intern.
Extranet = kontrolliert extern erweitert.
Internet = öffentlich.
VPN = Virtual Private Network.
VPN baut einen verschlüsselten Tunnel.
VPN schützt den Transportweg.
VPN ersetzt keine Rechteprüfung.
VPN ersetzt keine Firewall-Regeln.
Remote-Access-VPN verbindet Benutzer.
Site-to-Site-VPN verbindet Netze.
VPN-Gateway ist der Zugangspunkt.
VPN-Client baut den Tunnel auf.
IPsec schützt IP-Kommunikation.
IKE handelt Schlüssel aus.
TLS-VPN nutzt TLS.
OpenVPN ist flexibel.
WireGuard ist schlank und modern.
Split Tunnel leitet nur ausgewählten Verkehr.
Full Tunnel leitet alles durch VPN.
VPN braucht passende Routen.
VPN braucht oft internes DNS.
Split DNS hilft bei internen Namen.
VPN-Adresspool darf sich nicht überschneiden.
Gleiche Netze verursachen Routingprobleme.
VPN-Zugriff nach Rolle begrenzen.
MFA für VPN ist wichtig.
Unsichere Endgeräte sind trotz VPN riskant.
VPN kann durch MTU-Probleme instabil werden.
VPN verbunden heißt nicht:
alles erreichbar.
Extranet ist Zugriffskonzept,
VPN ist Tunneltechnik.
Zero Trust gibt gezielter Zugriff auf Anwendungen.
# 14.2
**VPN-Arten und VPN-Einsatzszenarien**
VPN ist nicht immer gleich VPN.
Je nach Zweck,
Benutzergruppe
und Netzwerkaufbau gibt es unterschiedliche VPN-Arten.
Die wichtigsten Einsatzszenarien sind:
- Remote-Access-VPN
- Site-to-Site-VPN
- Client-to-Site-VPN
- Host-to-Host-VPN
- Extranet-VPN
- Cloud-VPN
- Admin-VPN
- Fernwartungs-VPN
Merksatz:
Die VPN-Art richtet sich danach,
wer oder was sicher verbunden werden soll.
---
**Warum unterscheidet man VPN-Arten?**
Nicht jede VPN-Verbindung hat denselben Zweck.
Beispiele:
Ein Mitarbeiter im Homeoffice braucht Zugriff auf interne Anwendungen.
Zwei Firmenstandorte sollen dauerhaft verbunden werden.
Ein externer Dienstleister soll nur einen Wartungsserver erreichen.
Ein Unternehmen verbindet sein lokales Netz mit einem Cloud-Netz.
Ein Administrator braucht sicheren Zugriff auf Managementsysteme.
Diese Fälle haben unterschiedliche Anforderungen.
Merksatz:
Unterschiedliche VPN-Zwecke brauchen unterschiedliche Konzepte.
---
**Remote-Access-VPN**
Remote-Access-VPN verbindet einzelne Benutzer mit dem Unternehmensnetz.
Typische Benutzer:
- Homeoffice-Mitarbeiter
- Außendienst
- Administratoren
- mobile Benutzer
- Support-Mitarbeiter
- externe Dienstleister
Der Benutzer startet meist einen VPN-Client auf seinem Endgerät.
Merksatz:
Remote-Access-VPN verbindet einzelne Benutzer mit internen Ressourcen.
---
**Typischer Ablauf bei Remote-Access-VPN**
Ein typischer Ablauf:
1. Benutzer startet VPN-Client.
2. VPN-Client verbindet sich mit VPN-Gateway.
3. Benutzer authentifiziert sich.
4. MFA oder Zertifikat wird geprüft.
5. Tunnel wird aufgebaut.
6. Client erhält VPN-IP-Adresse.
7. Routen und DNS-Einstellungen werden gesetzt.
8. Zugriff auf erlaubte Ressourcen ist möglich.
Merksatz:
Remote-Access braucht Authentifizierung,
Tunnel,
IP,
Routen
und DNS.
---
**Remote-Access-VPN: Vorteile**
Vorteile:
- sicherer Zugriff aus dem Homeoffice
- Zugriff auf interne Dienste
- zentrale Kontrolle
- verschlüsselte Verbindung
- flexibel für mobile Benutzer
- oft schnell einrichtbar
- gute Integration mit MFA möglich
Merksatz:
Remote-Access-VPN macht mobile Arbeit mit internen Diensten möglich.
---
**Remote-Access-VPN: Risiken**
Risiken:
- gestohlene Zugangsdaten
- unsichere private Endgeräte
- Malware auf Client
- zu breite Zugriffsrechte
- fehlende MFA
- unsichere Split-Tunnel-Regeln
- verlorene Geräte
- veraltete VPN-Clients
Merksatz:
Remote-Access ist nur sicher,
wenn Endgerät,
Benutzer
und Rechte kontrolliert werden.
---
**Client-to-Site-VPN**
Client-to-Site-VPN ist im Grunde eine andere Bezeichnung für Remote-Access-VPN.
Dabei verbindet sich ein einzelner Client mit einem Standort oder Unternehmensnetz.
Beispiel:
Notebook im Homeoffice
→ VPN-Gateway der Firma
→ internes Netz
Merksatz:
Client-to-Site = einzelner Client zum Firmennetz.
---
**Site-to-Site-VPN**
Site-to-Site-VPN verbindet ganze Netzwerke miteinander.
Beispiele:
Hauptstandort ↔ Niederlassung
Firma ↔ Rechenzentrum
Firma ↔ Cloud-Netz
Unternehmen ↔ Partnernetz
Hier verbinden meist Router,
Firewalls
oder VPN-Gateways die Standorte.
Merksatz:
Site-to-Site-VPN verbindet Netze,
nicht einzelne Benutzer.
---
**Typischer Ablauf bei Site-to-Site-VPN**
Ein typischer Ablauf:
1. Gateway A baut Tunnel zu Gateway B auf.
2. Beide Gateways authentifizieren sich.
3. Verschlüsselung und Schlüssel werden ausgehandelt.
4. Netzbereiche werden definiert.
5. Routing wird eingerichtet.
6. Firewall-Regeln erlauben gewünschte Verbindungen.
7. Systeme beider Standorte kommunizieren über den Tunnel.
Merksatz:
Site-to-Site braucht Gateways,
Netze,
Routen
und Firewall-Regeln.
---
**Site-to-Site-VPN: Vorteile**
Vorteile:
- dauerhafte Standortverbindung
- keine VPN-Clientsoftware auf jedem Endgerät nötig
- zentrale Netz-zu-Netz-Kommunikation
- gut für Niederlassungen
- gut für Cloud-Anbindung
- transparent für Benutzer
Merksatz:
Site-to-Site verbindet Standorte dauerhaft und zentral.
---
**Site-to-Site-VPN: Risiken**
Risiken:
- zu große Netzfreigaben
- falsches Routing
- Überschneidung von IP-Netzen
- kompromittierter Standort erreicht andere Netze
- fehlende Segmentierung
- schwache Schlüssel oder PSKs
- fehlendes Monitoring
- unklare Verantwortlichkeiten zwischen Organisationen
Merksatz:
Site-to-Site darf nicht automatisch alle Netze gegenseitig öffnen.
---
**Remote-Access und Site-to-Site im Vergleich**
| Merkmal | Remote-Access-VPN | Site-to-Site-VPN |
|---|---|---|
| verbindet | Benutzergerät mit Netz | Netz mit Netz |
| typischer Zweck | Homeoffice, mobiler Zugriff | Standortvernetzung |
| Endpunkt | Client und Gateway | Gateway und Gateway |
| Benutzeranmeldung | häufig benutzerbezogen | häufig gatewaybezogen |
| Clientsoftware | meist notwendig | für Endgeräte meist nicht |
| Zugriffskontrolle | Benutzer und Gruppen | Netze und Firewall-Regeln |
| Fehlerquellen | Client, DNS, Routen, MFA | Routing, IP-Überschneidung, Tunnel |
Merksatz:
Remote-Access ist benutzerbezogen.
Site-to-Site ist netzbezogen.
---
**Host-to-Host-VPN**
Host-to-Host-VPN verbindet zwei einzelne Systeme direkt miteinander.
Beispiel:
Server A
↔
Server B
Einsatz:
besonders schützenswerte Verbindung
Kommunikation zwischen zwei Servern
sichere Verbindung über unsicheres Netz
spezielle Administrationsstrecken
Merksatz:
Host-to-Host-VPN verbindet einzelne Rechner direkt.
---
**Extranet-VPN**
Ein Extranet-VPN ermöglicht externen Partnern kontrollierten Zugriff.
Beispiele:
Lieferant greift auf Bestellportal zu.
Dienstleister greift auf Wartungsserver zu.
Partnerunternehmen greift auf gemeinsame Projektdaten zu.
Wichtig:
Zugriff stark begrenzen
eigene Benutzerkonten
MFA
Protokollierung
zeitliche Begrenzung
keine pauschale LAN-Freigabe
Merksatz:
Extranet-VPN ist VPN-Zugriff für externe Berechtigte.
---
**Cloud-VPN**
Cloud-VPN verbindet ein lokales Netzwerk mit einem Cloud-Netzwerk.
Beispiel:
Unternehmensstandort
↔
Cloud-VPC oder Cloud-VNet
Typischer Zweck:
Zugriff auf Cloud-Server
Hybrid-Cloud
Datenbankverbindungen
private Cloud-Dienste
Migration
Backup
Standort-zu-Cloud-Kommunikation
Merksatz:
Cloud-VPN verbindet lokale Infrastruktur mit Cloud-Netzen.
---
**Admin-VPN**
Ein Admin-VPN ist ein besonders geschützter Zugang für Administratoren.
Ziel:
Managementsysteme sicher erreichen
Beispiele:
Firewall-Verwaltung
Switch-Management
Serveradministration
Hypervisor
Backup-Systeme
Monitoring
Managementnetz
Wichtig:
MFA
separate Admin-Konten
starke Protokollierung
Zugriff nur auf Managementnetze
keine Nutzung für Alltagsarbeit
Merksatz:
Admin-VPN sollte besonders stark abgesichert sein.
---
**Fernwartungs-VPN**
Fernwartungs-VPN wird für Support oder Wartung genutzt.
Beispiele:
Hersteller wartet Anlage.
IT-Dienstleister wartet Server.
externer Techniker greift auf Spezialgerät zu.
Wichtig:
zeitlich begrenzen
nur benötigte Ziele erlauben
Zugriff protokollieren
Benutzer eindeutig zuordnen
nach Wartung deaktivieren
keine gemeinsamen Dauerzugänge
Merksatz:
Fernwartung braucht zeitlich und technisch begrenzten Zugriff.
---
**VPN für mobile Geräte**
Mobile Geräte können ebenfalls VPN nutzen.
Beispiele:
Smartphone
Tablet
Außendienstgerät
mobiles Kassensystem
MDM-verwaltetes Gerät
Wichtig:
Geräteverwaltung
Gerätesperre
Verschlüsselung
Zertifikate
MDM-Richtlinien
App-Schutz
Verlustfall beachten
Merksatz:
Mobile VPN-Zugänge brauchen Gerätekontrolle.
---
**Always-On-VPN**
Always-On-VPN bedeutet:
Das Gerät baut automatisch eine VPN-Verbindung auf,
sobald es Netzwerkzugang hat.
Ziel:
Benutzer muss VPN nicht manuell starten.
Unternehmensrichtlinien greifen dauerhaft.
interne Dienste sind automatisch erreichbar.
Datenverkehr kann zentral kontrolliert werden.
Merksatz:
Always-On-VPN verbindet Geräte automatisch mit dem Unternehmensnetz.
---
**On-Demand-VPN**
On-Demand-VPN baut sich nur bei Bedarf auf.
Beispiel:
Benutzer ruft interne Domain auf.
Gerät startet VPN automatisch.
Vorteil:
weniger dauerhafte Verbindung
komfortabel für Benutzer
gezielter Tunnelaufbau
Merksatz:
On-Demand-VPN startet,
wenn eine bestimmte Ressource benötigt wird.
---
**Per-App-VPN**
Per-App-VPN bedeutet:
Nur bestimmte Anwendungen nutzen den VPN-Tunnel.
Beispiel:
Unternehmens-App nutzt VPN.
private Apps nutzen normales Internet.
Vorteil:
bessere Trennung zwischen privater und geschäftlicher Nutzung
weniger Tunnelverkehr
gezieltere Kontrolle
Merksatz:
Per-App-VPN leitet nur ausgewählte Apps durch VPN.
---
**VPN für BYOD**
BYOD steht für:
Bring Your Own Device
Dabei nutzen Benutzer private Geräte für berufliche Zwecke.
VPN bei BYOD ist besonders kritisch.
Wichtige Fragen:
Ist das Gerät sicher?
Ist es verwaltet?
Gibt es MDM?
Sind Firmendaten getrennt?
Gibt es MFA?
Kann Zugriff bei Verlust entfernt werden?
Darf das private Gerät interne Netze erreichen?
Merksatz:
BYOD plus VPN braucht klare Sicherheitsregeln.
---
**VPN für Dienstleister**
Dienstleisterzugang sollte besonders eng geregelt werden.
Besser:
eigener VPN-Benutzer
keine Sammelkonten
MFA
nur definierte Ziele
zeitliche Freigabe
Protokollierung
Freigabeprozess
regelmäßige Prüfung
Deaktivierung nach Projektende
Merksatz:
Externe Dienstleister niemals pauschal ins interne Netz lassen.
---
**VPN für Standortvernetzung**
Bei Standortvernetzung sind wichtige Punkte:
eindeutige IP-Netze
stabile Internetanschlüsse
passende Bandbreite
Routing
Firewall-Regeln
Monitoring
Redundanz
Namensauflösung
Zeitsynchronisation
Dokumentation
Merksatz:
Standort-VPN braucht saubere Netzplanung.
---
**VPN für Cloud-Anbindung**
Bei Cloud-VPN sind wichtig:
Cloud-Netzbereich
lokaler Netzbereich
Routingtabellen
Security Groups
Network Security Groups
Cloud-Firewall
DNS
Bandbreite
Latenz
Hochverfügbarkeit
Kosten
Monitoring
Merksatz:
Cloud-VPN braucht Routing und Sicherheitsregeln auf beiden Seiten.
---
**VPN und IP-Adressplanung**
VPN funktioniert nur sauber,
wenn Netze eindeutig sind.
Problematisch:
Heimnetz 192.168.1.0/24
und Firmennetz 192.168.1.0/24
Oder:
Standort A 10.0.0.0/24
und Standort B 10.0.0.0/24
Folge:
Routing wird uneindeutig.
Merksatz:
Überlappende Netze verursachen VPN-Probleme.
---
**VPN und Namensauflösung**
VPN-Benutzer brauchen oft interne DNS-Auflösung.
Beispiele:
intranet.firma.local
fileserver.intern
dc01.firma.local
app01.servernetz.local
Typische Fehler:
VPN ist verbunden,
aber Namen funktionieren nicht.
Ursache häufig:
interner DNS wird nicht verteilt
DNS-Suffix fehlt
Split DNS falsch
Firewall blockiert DNS
Merksatz:
VPN braucht oft internes DNS.
---
**VPN und Routingtabellen**
Der VPN-Client oder das VPN-Gateway braucht passende Routen.
Beispiel:
Zielnetz 10.20.0.0/16
soll über VPN erreichbar sein.
Dann muss eine Route existieren:
10.20.0.0/16 über VPN-Tunnel
Fehlt diese Route,
geht Verkehr eventuell ins lokale Netz oder ins Internet.
Merksatz:
Ohne Route kein Weg durch den Tunnel.
---
**VPN und Firewall-Zonen**
VPN-Verbindungen sollten in eigene Firewall-Zonen eingeordnet werden.
Beispiele:
VPN-Mitarbeiter
VPN-Admin
VPN-Dienstleister
Site-to-Site-Partner
Cloud-VPN
Extranet-VPN
Vorteil:
Regeln können gezielt nach Rolle oder Zweck erstellt werden.
Merksatz:
VPN-Zonen helfen,
Zugriff sauber zu begrenzen.
---
**VPN und Gruppen**
VPN-Zugriff wird häufig über Gruppen gesteuert.
Beispiele:
Gruppe Mitarbeiter:
Zugriff auf Intranet
Gruppe Support:
Zugriff auf Helpdesk-Systeme
Gruppe Admin:
Zugriff auf Managementnetz
Gruppe Dienstleister:
Zugriff nur auf Wartungsserver
Merksatz:
Gruppen helfen,
VPN-Berechtigungen übersichtlich zu steuern.
---
**VPN und Rollenmodell**
Ein Rollenmodell beschreibt,
welche Rolle welche Zugriffe bekommt.
Beispiel:
| Rolle | Zugriff |
|---|---|
| Mitarbeiter | Intranet, Dateiablage |
| Support | Ticketsystem, bestimmte Clients |
| Admin | Managementnetz |
| Dienstleister | definierter Wartungsserver |
| Partner | Extranet-Portal |
Merksatz:
Rollenmodell verhindert pauschale VPN-Freigaben.
---
**VPN und MFA nach Risiko**
MFA sollte besonders bei externem Zugriff eingesetzt werden.
Bei VPN ist MFA wichtig,
weil der Zugang aus unsicheren Netzen kommt.
Besonders kritisch:
Admin-VPN
Dienstleister-VPN
Extranet-Zugänge
Zugriff auf Servernetze
Zugriff auf Managementsysteme
Merksatz:
Je kritischer der Zugriff,
desto stärker die Authentifizierung.
---
**VPN und Zertifikatsbasierte Authentifizierung**
VPN kann neben Benutzerpasswort auch Zertifikate nutzen.
Vorteile:
Gerät kann eindeutig identifiziert werden.
Passwort allein reicht nicht.
verlorene Geräte können durch Zertifikatswiderruf gesperrt werden.
Clientzugriff kann stärker kontrolliert werden.
Wichtig:
Zertifikate müssen erneuert,
geschützt
und bei Verlust widerrufen werden.
Merksatz:
Zertifikate binden VPN-Zugriff stärker an Geräte oder Identitäten.
---
**VPN und Pre-Shared Key**
Ein Pre-Shared Key ist ein vorher gemeinsam vereinbarter geheimer Schlüssel.
Abkürzung:
PSK
PSK wird häufig bei Site-to-Site-VPNs genutzt.
Risiken:
schwacher PSK
PSK wird selten gewechselt
PSK ist mehreren Personen bekannt
PSK wird unsicher dokumentiert
Merksatz:
PSK muss stark,
geheim
und kontrolliert verwaltet werden.
---
**VPN und Hochverfügbarkeit**
VPN kann kritisch für den Betrieb sein.
Deshalb können sinnvoll sein:
zwei VPN-Gateways
redundante Internetanschlüsse
automatische Umschaltung
mehrere Standorte
Monitoring
Backup-Konfiguration
dokumentierter Notfallzugang
Merksatz:
Kritische VPN-Zugänge brauchen Redundanz.
---
**VPN und Bandbreite**
VPN benötigt Bandbreite.
Besonders relevant bei:
Full Tunnel
vielen Homeoffice-Benutzern
Standortkopplung
Dateiübertragung
Backups
Videokonferenzen
Cloud-Zugriff über Zentrale
Merksatz:
VPN-Leistung hängt auch von Bandbreite und Gateway-Kapazität ab.
---
**VPN und Latenz**
Latenz ist die Verzögerung.
VPN kann Latenz erhöhen,
weil der Verkehr einen längeren Weg nimmt
oder verschlüsselt verarbeitet wird.
Besonders betroffen:
Remote Desktop
VoIP
Datenbankanwendungen
Echtzeitanwendungen
interaktive Webanwendungen
Merksatz:
VPN kann Wege verlängern und Latenz erhöhen.
---
**VPN und Protokollwahl**
Die Protokollwahl beeinflusst Betrieb und Leistung.
Beispiele:
UDP ist oft besser für VPN-Performance.
TCP über TCP kann bei manchen VPNs ungünstig sein.
TCP 443 ist oft firewallfreundlich.
UDP kann in manchen Netzen blockiert sein.
IPsec braucht passende Ports und Protokolle.
Merksatz:
VPN-Protokoll muss zu Netzwerk,
Sicherheit
und Betrieb passen.
---
**TCP-over-TCP-Problem**
Wenn ein VPN über TCP läuft
und darin wiederum TCP-Verkehr transportiert wird,
können Leistungseinbußen entstehen.
Grundidee:
Zwei TCP-Schichten versuchen gleichzeitig,
Verluste und Stau zu regeln.
Das kann bei Paketverlust zu schlechter Performance führen.
Merksatz:
TCP im TCP-Tunnel kann Performanceprobleme verstärken.
---
**VPN und NAT-Traversal**
VPN-Verbindungen müssen oft durch NAT-Geräte.
NAT-Traversal hilft,
VPN-Verkehr durch NAT zu transportieren.
Besonders relevant bei:
IPsec hinter Routern
Heimnetzen
Mobilfunk
Hotel-WLAN
Provider-NAT
Merksatz:
NAT-Traversal hilft VPNs durch NAT-Umgebungen.
---
**VPN und CGNAT**
CGNAT kann eingehende Verbindungen erschweren.
Für Remote-Access-VPN ist das oft weniger problematisch,
wenn der Client nach außen zum VPN-Gateway verbindet.
Für eigenes VPN-Gateway zuhause oder am kleinen Standort kann CGNAT problematisch sein,
weil eingehende Verbindungen nicht direkt möglich sind.
Merksatz:
CGNAT stört vor allem,
wenn ein VPN-Gateway von außen erreichbar sein muss.
---
**VPN und Logs nach Art unterscheiden**
Je nach VPN-Art sind andere Logs wichtig.
Remote-Access:
Benutzer
Gerät
MFA
VPN-IP
Gruppen
Routen
Site-to-Site:
Tunnelstatus
Peer-Adresse
Phase 1 / Phase 2
Schlüssel
Routen
Security Associations
Extranet:
Partner
Zugriffszeiten
Zielsysteme
Rollen
Ablaufdatum
Merksatz:
VPN-Logs nach VPN-Art auswerten.
---
**Typische Fehler bei Remote-Access-VPN**
Häufige Fehler:
- Benutzer kann sich nicht anmelden
- MFA schlägt fehl
- Zertifikat fehlt
- VPN-Client veraltet
- Client bekommt keine IP
- interne Namen lösen nicht auf
- Route fehlt
- Zugriff wird durch Gruppe nicht erlaubt
- lokales Heimnetz überschneidet sich
- Endgerät unsicher oder nicht compliant
Merksatz:
Remote-Access-Fehler betreffen oft Benutzer,
Client,
DNS
und Routen.
---
**Typische Fehler bei Site-to-Site-VPN**
Häufige Fehler:
- Tunnel kommt nicht hoch
- PSK stimmt nicht
- Peer-Adresse falsch
- Phase-1-Parameter falsch
- Phase-2-Parameter falsch
- Netze falsch definiert
- Routing fehlt
- Firewall-Regeln fehlen
- IP-Netze überschneiden sich
- einseitige Erreichbarkeit
- NAT-Regeln stören
Merksatz:
Site-to-Site-Fehler betreffen oft Parameter,
Netze,
Routing
und Firewall.
---
**Phase 1 und Phase 2 bei IPsec**
Bei IPsec spricht man häufig von Phase 1 und Phase 2.
Vereinfacht:
Phase 1:
sichere Verbindung zwischen den VPN-Gateways aufbauen
Phase 2:
festlegen,
welche Netze oder Daten über den Tunnel geschützt werden
Typische Fehler:
Parameter stimmen nicht überein.
PSK falsch.
Netze falsch definiert.
Verschlüsselungsalgorithmen passen nicht.
Merksatz:
Phase 1 verbindet Gateways.
Phase 2 schützt die eigentlichen Netze.
---
**Security Association**
Security Association wird oft abgekürzt:
SA
Eine SA beschreibt ausgehandelte Sicherheitsparameter einer VPN-Verbindung.
Dazu gehören zum Beispiel:
Verschlüsselung
Integritätsschutz
Schlüssel
Lebensdauer
beteiligte Gegenstellen
geschützte Netze
Merksatz:
SA beschreibt ausgehandelte VPN-Sicherheitsparameter.
---
**VPN-Fehlersuche nach Art**
| VPN-Art | zuerst prüfen |
|---|---|
| Remote-Access | Benutzer, MFA, Client, IP, DNS, Route |
| Site-to-Site | Tunnelstatus, Peer, PSK, Phase 1/2, Routen |
| Cloud-VPN | Cloud-Routing, Security Groups, lokale Firewall |
| Extranet-VPN | Partnerkonto, Rollen, Zielsysteme, Ablaufdatum |
| Admin-VPN | MFA, Adminrolle, Managementnetz, Logs |
| Fernwartungs-VPN | Zeitfenster, Zielsystem, Protokollierung |
Merksatz:
Die VPN-Art bestimmt die Fehlersuche.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Welche VPN-Arten gibt es?
- Was ist Remote-Access-VPN?
- Was ist Client-to-Site-VPN?
- Was ist Site-to-Site-VPN?
- Wofür nutzt man Extranet-VPN?
- Wofür nutzt man Cloud-VPN?
- Was ist ein Admin-VPN?
- Warum braucht Fernwartungs-VPN besondere Kontrolle?
- Was ist Always-On-VPN?
- Was ist Per-App-VPN?
- Warum sind überlappende IP-Netze bei VPN problematisch?
- Warum sind VPN-Zonen sinnvoll?
- Warum ist ein Rollenmodell für VPN wichtig?
- Was ist ein Pre-Shared Key?
- Was bedeutet Phase 1 und Phase 2 bei IPsec?
- Was ist eine Security Association?
---
**Typische Prüfungsfallen**
VPN ist ein Oberbegriff.
Remote-Access-VPN verbindet Benutzer.
Client-to-Site ist praktisch Remote-Access.
Site-to-Site-VPN verbindet Netze.
Extranet-VPN ist für externe Berechtigte.
Cloud-VPN verbindet lokale und Cloud-Netze.
Admin-VPN besonders schützen.
Fernwartungs-VPN zeitlich begrenzen.
Always-On-VPN startet automatisch.
On-Demand-VPN startet bei Bedarf.
Per-App-VPN gilt nur für bestimmte Apps.
BYOD braucht besondere Gerätekontrolle.
VPN-Zugriff nicht pauschal erlauben.
IP-Netze dürfen sich nicht überschneiden.
VPN braucht DNS und Routing.
VPN-Gruppen steuern Zugriff.
PSK muss stark und geheim sein.
Phase 1 und Phase 2 nicht verwechseln.
VPN-Logs je nach VPN-Art auswerten.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| Remote-Access-VPN | Benutzer verbindet sich aus der Ferne |
| Client-to-Site-VPN | einzelner Client verbindet sich mit Firmennetz |
| Site-to-Site-VPN | zwei Netze werden verbunden |
| Host-to-Host-VPN | zwei einzelne Systeme werden verbunden |
| Extranet-VPN | VPN-Zugriff für externe Berechtigte |
| Cloud-VPN | Verbindung zwischen lokalem Netz und Cloud-Netz |
| Admin-VPN | besonders geschützter Adminzugang |
| Fernwartungs-VPN | Wartungszugang für Support oder Hersteller |
| Always-On-VPN | VPN startet automatisch dauerhaft |
| On-Demand-VPN | VPN startet nur bei Bedarf |
| Per-App-VPN | nur bestimmte Apps nutzen VPN |
| BYOD | private Geräte im beruflichen Einsatz |
| VPN-Zone | eigene Firewall-Zone für VPN-Verkehr |
| VPN-Gruppe | Gruppe zur Steuerung von VPN-Rechten |
| PSK | Pre-Shared Key |
| NAT-Traversal | VPN durch NAT ermöglichen |
| Phase 1 | IPsec-Aufbau zwischen Gateways |
| Phase 2 | IPsec-Schutz der eigentlichen Netze |
| Security Association | ausgehandelte Sicherheitsparameter |
| Peer | VPN-Gegenstelle |
| Tunnelstatus | Zustand einer VPN-Verbindung |
---
**IHK-sichere Kurzformulierung**
VPNs können je nach Einsatzzweck unterschiedlich aufgebaut sein. Remote-Access-VPN oder Client-to-Site-VPN verbindet einzelne Benutzer mit internen Ressourcen, während Site-to-Site-VPN ganze Netzwerke oder Standorte miteinander verbindet. Extranet-VPN ermöglicht externen Partnern kontrollierten Zugriff, Cloud-VPN verbindet lokale Netze mit Cloud-Netzen, und Admin- oder Fernwartungs-VPNs dienen besonders geschützten Administrations- oder Wartungszugängen. Für alle VPN-Arten sind eindeutige IP-Netze, passende Routen, DNS, Firewall-Regeln, starke Authentifizierung, Rollenmodelle, Protokollierung und Monitoring wichtig. Bei IPsec sind Phase 1 und Phase 2 zu unterscheiden: Phase 1 baut die sichere Verbindung zwischen Gateways auf, Phase 2 definiert die geschützten Netze oder Datenströme.
---
**Merksätze**
VPN ist ein Oberbegriff.
VPN-Art richtet sich nach Einsatzzweck.
Remote-Access verbindet Benutzer.
Client-to-Site verbindet Client mit Netz.
Site-to-Site verbindet Netze.
Host-to-Host verbindet einzelne Systeme.
Extranet-VPN ist für externe Berechtigte.
Cloud-VPN verbindet lokal mit Cloud.
Admin-VPN besonders absichern.
Fernwartungs-VPN zeitlich begrenzen.
Always-On-VPN startet automatisch.
On-Demand-VPN startet bei Bedarf.
Per-App-VPN gilt nur für bestimmte Apps.
BYOD braucht klare Sicherheitsregeln.
Dienstleisterzugriff nie pauschal erlauben.
Standort-VPN braucht Netzplanung.
Cloud-VPN braucht Regeln auf beiden Seiten.
Überlappende Netze vermeiden.
VPN braucht Routen.
VPN braucht oft internes DNS.
VPN-Zonen trennen Zugriffe.
Gruppen steuern Berechtigungen.
Rollenmodell verhindert Pauschalzugriff.
MFA schützt externe Zugänge.
Zertifikate brauchen Verwaltung.
PSK stark und geheim halten.
Kritische VPNs überwachen.
VPN kann Latenz erhöhen.
TCP-over-TCP kann bremsen.
NAT-Traversal hilft durch NAT.
Phase 1 verbindet Gateways.
Phase 2 schützt Netze.
Security Association beschreibt VPN-Sicherheitsparameter.
# 14.3
**VPN-Protokolle: IPsec, IKEv2, OpenVPN, WireGuard und TLS-VPN**
VPN ist ein Oberbegriff.
Dahinter können unterschiedliche Protokolle und Techniken stehen.
Die wichtigsten VPN-Protokolle und VPN-Techniken sind:
- IPsec
- IKEv2
- OpenVPN
- WireGuard
- TLS-VPN
- L2TP/IPsec
- PPTP als veraltetes Beispiel
Merksatz:
VPN beschreibt den Zweck.
Das VPN-Protokoll beschreibt die technische Umsetzung.
---
**Warum gibt es verschiedene VPN-Protokolle?**
Nicht jedes VPN-Protokoll ist für denselben Zweck ideal.
Unterschiede gibt es bei:
- Sicherheit
- Geschwindigkeit
- Einrichtung
- Firewall-Freundlichkeit
- Betriebssystemunterstützung
- Schlüsselaustausch
- Authentifizierung
- Ports und Protokollen
- Wartbarkeit
- Kompatibilität
Merksatz:
Das passende VPN-Protokoll hängt vom Einsatzfall ab.
---
**Wichtige Auswahlkriterien**
Bei der Auswahl eines VPN-Protokolls fragt man:
Soll ein Benutzer oder ein Standort verbunden werden?
Welche Betriebssysteme werden genutzt?
Wird NAT verwendet?
Gibt es Firewalls dazwischen?
Ist hohe Geschwindigkeit wichtig?
Wird MFA benötigt?
Werden Zertifikate genutzt?
Muss das VPN besonders einfach wartbar sein?
Gibt es Unternehmensvorgaben?
Gibt es Compliance-Anforderungen?
Merksatz:
VPN-Auswahl ist immer eine Kombination aus Sicherheit,
Betrieb
und Kompatibilität.
---
**IPsec**
IPsec steht für:
Internet Protocol Security
IPsec ist eine Protokollfamilie,
die IP-Kommunikation absichern kann.
IPsec wird häufig verwendet für:
- Site-to-Site-VPN
- Standortvernetzung
- Cloud-VPN
- Remote-Access-VPN
- sichere Kommunikation zwischen Netzen
Merksatz:
IPsec schützt IP-Kommunikation auf Netzwerkebene.
---
**IPsec im OSI-Modell**
IPsec arbeitet besonders nah an Schicht 3.
Warum?
Es schützt IP-Pakete.
Dadurch eignet sich IPsec gut,
um ganze Netze miteinander zu verbinden.
Beispiel:
Standort A 192.168.10.0/24
↔
Standort B 192.168.20.0/24
Merksatz:
IPsec passt gut zu Netz-zu-Netz-Verbindungen.
---
**IPsec-Grundidee**
IPsec kann IP-Pakete schützen durch:
- Verschlüsselung
- Integritätsschutz
- Authentifizierung
- Schutz vor Manipulation
- Schutz vor Wiederholungsangriffen
Dabei werden Sicherheitsparameter zwischen den VPN-Gegenstellen ausgehandelt.
Merksatz:
IPsec schützt nicht nur vor Mitlesen,
sondern auch vor Manipulation.
---
**IPsec Tunnel Mode**
Beim Tunnel Mode wird das ursprüngliche IP-Paket komplett eingepackt.
Dabei entsteht ein neues äußeres IP-Paket.
Typischer Einsatz:
Site-to-Site-VPN
Beispiel:
internes Paket:
192.168.10.50 → 192.168.20.60
äußeres Paket:
öffentliche IP Standort A → öffentliche IP Standort B
Merksatz:
Tunnel Mode schützt ganze IP-Pakete zwischen VPN-Gateways.
---
**IPsec Transport Mode**
Beim Transport Mode wird hauptsächlich die Nutzlast des IP-Pakets geschützt.
Die ursprünglichen IP-Adressen bleiben Teil des äußeren Pakets.
Typischer Einsatz:
Host-zu-Host-Kommunikation
In der Praxis ist für Standort-VPNs meist der Tunnel Mode wichtiger.
Merksatz:
Transport Mode schützt eher direkte Host-Kommunikation.
---
**ESP**
ESP steht für:
Encapsulating Security Payload
ESP ist ein wichtiger Bestandteil von IPsec.
ESP kann bieten:
- Verschlüsselung
- Integritätsschutz
- Authentifizierung
ESP ist für viele IPsec-VPNs zentral.
Merksatz:
ESP schützt die Daten bei IPsec.
---
**AH**
AH steht für:
Authentication Header
AH bietet Authentifizierung und Integrität,
aber keine Verschlüsselung des Inhalts.
In vielen modernen IPsec-VPNs wird häufiger ESP verwendet.
Merksatz:
AH schützt Integrität,
aber verschlüsselt nicht den Inhalt.
---
**IKE**
IKE steht für:
Internet Key Exchange
IKE wird genutzt,
um bei IPsec Schlüssel und Sicherheitsparameter auszuhandeln.
IKE regelt unter anderem:
- Authentifizierung der Gegenstellen
- Aushandlung von Verschlüsselung
- Aushandlung von Integritätsschutz
- Schlüsselerzeugung
- Lebensdauer von Sicherheitsbeziehungen
Merksatz:
IKE handelt aus,
wie IPsec gesichert wird.
---
**IKEv1 und IKEv2**
IKEv1 ist älter.
IKEv2 ist moderner und wird häufig bevorzugt.
IKEv2 bietet Vorteile wie:
stabilere Verbindungen
bessere Unterstützung für Mobilität
bessere Wiederverbindung
einfachere Aushandlung
gute Eignung für Remote-Access
Merksatz:
IKEv2 ist die modernere Variante von IKE.
---
**IPsec Phase 1**
Bei IPsec wird häufig von Phase 1 gesprochen.
Phase 1 bedeutet vereinfacht:
Die VPN-Gegenstellen bauen eine sichere Steuerverbindung auf.
Dabei wird geprüft:
Wer ist die Gegenstelle?
Welcher Schlüssel oder welches Zertifikat wird genutzt?
Welche Verschlüsselung wird verwendet?
Welche Integritätsprüfung wird verwendet?
Wie lange gilt die Verbindung?
Merksatz:
Phase 1 sichert die Verbindung zwischen den VPN-Gateways.
---
**IPsec Phase 2**
Phase 2 bedeutet vereinfacht:
Es wird festgelegt,
welche eigentlichen Daten oder Netze geschützt werden.
Beispiele:
192.168.10.0/24 ↔ 192.168.20.0/24
Oder:
bestimmter Host ↔ bestimmter Host
Dabei werden Sicherheitsparameter für den eigentlichen Datenverkehr ausgehandelt.
Merksatz:
Phase 2 schützt die eigentlichen Nutzdaten oder Netze.
---
**Phase 1 und Phase 2 vergleichen**
| Phase | Aufgabe |
|---|---|
| Phase 1 | sichere Verbindung zwischen VPN-Gegenstellen aufbauen |
| Phase 2 | geschützte Netze oder Datenströme festlegen |
| Phase 1 Fehler | Tunnel kommt oft gar nicht hoch |
| Phase 2 Fehler | Tunnel steht teilweise, aber Daten fließen nicht korrekt |
Merksatz:
Phase 1 verbindet Gateways.
Phase 2 schützt Netze.
---
**Security Association**
Security Association wird abgekürzt:
SA
Eine SA beschreibt ausgehandelte Sicherheitsparameter.
Dazu gehören zum Beispiel:
- Verschlüsselungsverfahren
- Integritätsverfahren
- Schlüssel
- Lebensdauer
- Gegenstellen
- geschützte Netze
- Richtung der Verbindung
Merksatz:
SA beschreibt,
wie VPN-Verkehr geschützt wird.
---
**Pre-Shared Key**
Ein Pre-Shared Key wird abgekürzt:
PSK
Ein PSK ist ein vorher gemeinsam vereinbarter geheimer Schlüssel.
Er wird häufig bei Site-to-Site-VPNs verwendet.
Risiken:
PSK ist zu kurz.
PSK wird mehrfach verwendet.
PSK wird unsicher gespeichert.
PSK wird selten gewechselt.
PSK ist zu vielen Personen bekannt.
Merksatz:
PSK muss stark,
geheim
und kontrolliert verwaltet werden.
---
**Zertifikate bei IPsec**
Statt PSK können VPNs Zertifikate verwenden.
Vorteile:
bessere Skalierbarkeit
bessere Identitätsprüfung
einzelne Zertifikate können widerrufen werden
keine gemeinsamen Geheimnisse für alle Verbindungen
gut für größere Umgebungen
Wichtig:
Zertifikate brauchen eine saubere PKI und Verwaltung.
Merksatz:
Zertifikate sind oft besser skalierbar als gemeinsame PSKs.
---
**NAT-Traversal bei IPsec**
IPsec kann Probleme mit NAT haben.
Grund:
NAT verändert IP-Adressen und manchmal Ports.
NAT-Traversal hilft,
IPsec durch NAT-Geräte zu transportieren.
Typischer Begriff:
NAT-T
NAT-T kapselt IPsec-Verkehr so,
dass er besser durch NAT-Umgebungen kommt.
Merksatz:
NAT-Traversal hilft IPsec durch NAT.
---
**Typische Ports und Protokolle bei IPsec**
Typisch relevant sind:
| Zweck | Port / Protokoll |
|---|---|
| IKE | UDP 500 |
| NAT-Traversal | UDP 4500 |
| ESP | IP-Protokoll 50 |
| AH | IP-Protokoll 51 |
Wichtig:
ESP und AH sind keine TCP- oder UDP-Ports,
sondern eigene IP-Protokolle.
Merksatz:
IPsec ist nicht nur ein einzelner TCP-Port.
---
**OpenVPN**
OpenVPN ist eine verbreitete VPN-Lösung.
Eigenschaften:
- nutzt TLS
- kann mit Zertifikaten arbeiten
- kann UDP oder TCP verwenden
- flexibel konfigurierbar
- geeignet für Remote-Access und Site-to-Site
- benötigt meist Clientsoftware
Merksatz:
OpenVPN ist flexibel und TLS-basiert.
---
**OpenVPN über UDP**
OpenVPN wird häufig über UDP betrieben.
Vorteile:
gute Performance
weniger TCP-over-TCP-Probleme
geeignet für VPN-Verkehr
oft stabil bei Paketverlust
Merksatz:
OpenVPN über UDP ist häufig performanter.
---
**OpenVPN über TCP**
OpenVPN kann auch über TCP betrieben werden.
Vorteile:
kann in manchen Netzen leichter durch Firewalls
TCP 443 wirkt ähnlich wie HTTPS-Verkehr
manchmal nützlich in restriktiven Netzwerken
Nachteile:
TCP-over-TCP kann Performanceprobleme verursachen
Merksatz:
OpenVPN über TCP kann firewallfreundlich,
aber langsamer sein.
---
**TCP-over-TCP-Problem**
Wenn ein VPN über TCP läuft
und darin TCP-Verkehr transportiert wird,
entstehen zwei TCP-Steuerungen übereinander.
Beide versuchen:
Paketverlust zu erkennen
erneut zu senden
Stau zu kontrollieren
Das kann bei Paketverlust zu schlechter Leistung führen.
Merksatz:
TCP im TCP-Tunnel kann bremsen.
---
**WireGuard**
WireGuard ist ein modernes VPN-Protokoll.
Eigenschaften:
- schlank
- schnell
- vergleichsweise einfache Konfiguration
- moderne Kryptografie
- arbeitet typischerweise über UDP
- gut für Remote-Access und Site-to-Site
- Schlüssel stehen im Mittelpunkt
Merksatz:
WireGuard ist ein schlankes,
modernes VPN-Protokoll über UDP.
---
**WireGuard-Grundidee**
WireGuard arbeitet mit öffentlichen und privaten Schlüsseln.
Jeder Peer besitzt:
privaten Schlüssel
öffentlichen Schlüssel
Die Gegenstelle kennt den öffentlichen Schlüssel.
Zusätzlich werden Allowed IPs definiert.
Allowed IPs bestimmen,
welche IP-Adressen über den jeweiligen Peer geroutet werden.
Merksatz:
WireGuard arbeitet mit Peers,
Schlüsseln
und Allowed IPs.
---
**WireGuard Peer**
Ein Peer ist eine VPN-Gegenstelle.
Beispiele:
Notebook eines Benutzers
Server
Firewall
Router
Standort-Gateway
Jeder Peer braucht passende Schlüssel
und passende Routing-Angaben.
Merksatz:
Peer = WireGuard-Gegenstelle.
---
**Allowed IPs bei WireGuard**
Allowed IPs haben bei WireGuard zwei wichtige Bedeutungen:
Welche Zielnetze gehen über diesen Peer?
Welche Quell-IP-Adressen werden von diesem Peer akzeptiert?
Beispiel:
AllowedIPs = 10.8.0.2/32
für einen einzelnen Client.
Oder:
AllowedIPs = 192.168.20.0/24
für ein Standortnetz.
Merksatz:
Allowed IPs sind bei WireGuard Routing und Zugriffskontrolle zugleich.
---
**TLS-VPN**
TLS-VPN nutzt TLS als Grundlage für den sicheren Tunnel.
Es wird oft auch SSL-VPN genannt,
obwohl TLS fachlich der modernere Begriff ist.
Einsatz:
Remote-Access
Webportale
Clientbasierter Zugriff
Zugriff über TCP 443
manchmal browserbasierter Zugriff
Merksatz:
SSL-VPN meint in der Praxis meistens TLS-VPN.
---
**TLS-VPN und HTTPS**
TLS-VPN kann firewallfreundlich sein,
weil es häufig über TCP 443 läuft.
Das ist derselbe Port,
der auch für HTTPS genutzt wird.
Vorteil:
funktioniert oft in restriktiven Netzen besser
Nachteil:
Port 443 allein sagt nicht,
ob es normaler Webverkehr oder VPN ist.
Merksatz:
TLS-VPN nutzt häufig Mechanismen ähnlich wie HTTPS.
---
**Clientless VPN**
Clientless VPN bedeutet:
Benutzer greift über Browser auf ein Portal zu,
ohne klassischen vollständigen VPN-Client.
Beispiel:
Webportal stellt interne Webanwendung bereit.
Vorteile:
einfacher Zugriff
weniger Clientinstallation
gut für einzelne Webanwendungen
Nachteile:
nicht für alle Protokolle geeignet
weniger flexibel als vollständiger Tunnel
Merksatz:
Clientless VPN ist eher Portalzugriff als kompletter Netzwerktunnel.
---
**L2TP/IPsec**
L2TP steht für:
Layer 2 Tunneling Protocol
L2TP selbst bietet keine ausreichende Verschlüsselung.
Deshalb wird es häufig mit IPsec kombiniert.
Einsatz:
ältere oder kompatible VPN-Setups
bestimmte Betriebssystem-Clients
Remote-Access
Merksatz:
L2TP braucht IPsec,
wenn es sicher sein soll.
---
**PPTP**
PPTP steht für:
Point-to-Point Tunneling Protocol
PPTP ist veraltet
und gilt nicht mehr als sicher.
Es sollte in modernen Umgebungen nicht mehr verwendet werden.
Merksatz:
PPTP kennen,
aber nicht mehr einsetzen.
---
**VPN-Protokolle vergleichen**
| Protokoll | Typischer Einsatz | Kurzbewertung |
|---|---|---|
| IPsec / IKEv2 | Site-to-Site, Remote-Access | etabliert, stark, komplexer |
| OpenVPN | Remote-Access, Site-to-Site | flexibel, weit verbreitet |
| WireGuard | Remote-Access, Site-to-Site | modern, schnell, schlank |
| TLS-VPN | Remote-Access | oft firewallfreundlich |
| L2TP/IPsec | ältere Setups | kompatibel, aber weniger modern |
| PPTP | veraltet | nicht mehr sicher |
Merksatz:
Moderne VPNs bevorzugen IPsec/IKEv2,
OpenVPN,
WireGuard
oder TLS-VPN.
---
**VPN und Ports vergleichen**
| Technik | typische Ports / Protokolle |
|---|---|
| IPsec IKE | UDP 500 |
| IPsec NAT-T | UDP 4500 |
| IPsec ESP | IP-Protokoll 50 |
| OpenVPN | oft UDP 1194 oder TCP/UDP konfigurierbar |
| WireGuard | oft UDP 51820 |
| TLS-VPN | häufig TCP 443 |
| L2TP | UDP 1701 plus IPsec |
| PPTP | TCP 1723 plus GRE |
Wichtig:
Ports können je nach Konfiguration abweichen.
Merksatz:
VPN-Fehlersuche braucht Wissen über verwendete Ports und Protokolle.
---
**VPN und Verschlüsselung**
VPN-Protokolle nutzen kryptografische Verfahren für:
Vertraulichkeit
Integrität
Authentizität
Schlüsselaustausch
Wichtig:
Nicht nur das VPN-Protokoll zählt,
sondern auch die konkrete Konfiguration.
Beispiele:
alte Algorithmen vermeiden
schwache Schlüssel vermeiden
unsichere Protokolle abschalten
Zertifikate korrekt prüfen
aktuelle Software nutzen
Merksatz:
Sicheres VPN braucht sicheres Protokoll und sichere Konfiguration.
---
**VPN und Perfect Forward Secrecy**
Perfect Forward Secrecy wird oft abgekürzt:
PFS
PFS bedeutet vereinfacht:
Selbst wenn ein langfristiger Schlüssel später kompromittiert wird,
sollen alte Sitzungen nicht einfach nachträglich entschlüsselt werden können.
PFS wird durch geeignete Schlüsselaustauschverfahren erreicht.
Merksatz:
PFS schützt alte Sitzungen besser bei späterem Schlüsselverlust.
---
**VPN und Schlüssel-Lebensdauer**
Viele VPNs arbeiten mit Schlüssel- oder SA-Lebensdauern.
Nach Ablauf werden Schlüssel neu ausgehandelt.
Zweck:
Sicherheitsverbesserung
Begrenzung der Datenmenge pro Schlüssel
regelmäßige Erneuerung der Sicherheitsparameter
Typischer Fehler:
Gegenstellen haben stark unterschiedliche Lebensdauern
oder inkompatible Einstellungen.
Merksatz:
VPN-Gegenstellen müssen bei Sicherheitsparametern zusammenpassen.
---
**VPN und Kompatibilität**
VPN-Probleme entstehen oft,
wenn Gegenstellen unterschiedliche Einstellungen erwarten.
Beispiele:
Verschlüsselungsalgorithmus passt nicht.
Hashverfahren passt nicht.
DH-Gruppe passt nicht.
PSK stimmt nicht.
Zertifikat wird nicht vertraut.
Phase-2-Netze passen nicht.
Lebensdauer passt nicht.
NAT-T ist unterschiedlich eingestellt.
Merksatz:
VPN-Gegenstellen müssen dieselbe Sprache sprechen.
---
**Typische IPsec-Fehler**
Häufige Fehler:
- falscher Pre-Shared Key
- falsche Peer-Adresse
- Phase 1 passt nicht
- Phase 2 passt nicht
- falsche Netze definiert
- Routing fehlt
- Firewall blockiert UDP 500 oder UDP 4500
- ESP wird blockiert
- NAT-T fehlt
- Zertifikat ungültig
- Uhrzeit falsch
Merksatz:
IPsec-Fehler liegen oft an Parametern,
Routing
oder Firewall.
---
**Typische OpenVPN-Fehler**
Häufige Fehler:
- falsche Serveradresse
- falscher Port
- UDP blockiert
- Zertifikat ungültig
- Clientprofil falsch
- Benutzer nicht berechtigt
- Route fehlt
- DNS fehlt
- TLS-Handshake schlägt fehl
- MTU-Problem
Merksatz:
OpenVPN-Fehler mit Profil,
Zertifikat,
Port,
Route
und DNS prüfen.
---
**Typische WireGuard-Fehler**
Häufige Fehler:
- falscher öffentlicher Schlüssel
- falscher privater Schlüssel
- Allowed IPs falsch
- Endpoint falsch
- UDP-Port blockiert
- Route fehlt
- NAT oder Firewall blockiert
- kein Persistent Keepalive bei NAT-Szenario
- IP-Adresskonflikt
- Gegenstelle antwortet nicht
Merksatz:
WireGuard-Fehler liegen oft an Schlüsseln,
Allowed IPs,
Endpoint
oder Routing.
---
**Persistent Keepalive bei WireGuard**
Persistent Keepalive kann helfen,
wenn ein WireGuard-Peer hinter NAT sitzt.
Grund:
NAT-Zuordnungen können nach einiger Zeit ablaufen.
Mit Keepalive sendet der Peer regelmäßig kleine Pakete,
damit die NAT-Zuordnung bestehen bleibt.
Merksatz:
Persistent Keepalive hilft WireGuard hinter NAT.
---
**Typische TLS-VPN-Fehler**
Häufige Fehler:
- Portal nicht erreichbar
- Zertifikat ungültig
- MFA schlägt fehl
- Benutzer nicht berechtigt
- Clientplugin oder Clientsoftware fehlt
- Richtlinie erlaubt Ziel nicht
- DNS über VPN fehlt
- Session läuft ab
- Browser blockiert Inhalt
Merksatz:
TLS-VPN-Fehler betreffen oft Portal,
Zertifikat,
MFA
oder Richtlinie.
---
**VPN-Protokoll und Firewall**
Für VPN-Verbindungen müssen Firewalls den passenden Verkehr erlauben.
Zu prüfen:
Welcher Port?
TCP oder UDP?
Eigenes IP-Protokoll?
NAT beteiligt?
Verbindung von innen nach außen oder von außen nach innen?
Rückverkehr erlaubt?
Provider blockiert etwas?
Merksatz:
VPN funktioniert nur,
wenn Firewall und Protokoll zusammenpassen.
---
**VPN-Protokoll und NAT**
Manche VPN-Protokolle kommen besser mit NAT zurecht als andere.
Wichtige Punkte:
NAT verändert Adressen.
Manche Protokolle verwenden eigene IP-Protokolle.
UDP-basierte Protokolle brauchen NAT-Zuordnung.
NAT-Traversal kann nötig sein.
CGNAT kann eingehende Verbindungen verhindern.
Merksatz:
NAT ist bei VPN oft ein wichtiger Fehlerfaktor.
---
**VPN-Protokoll und Betriebssysteme**
Nicht jedes Betriebssystem unterstützt jedes VPN gleich gut.
Zu prüfen:
nativer Client vorhanden?
Zusatzsoftware nötig?
MDM-Unterstützung?
Zertifikatsverwaltung möglich?
MFA integrierbar?
Always-On möglich?
Per-App-VPN möglich?
Benutzerfreundlichkeit?
Merksatz:
VPN-Protokoll muss auch zu den Endgeräten passen.
---
**VPN-Protokoll und Sicherheitspolitik**
Ein Unternehmen sollte festlegen:
Welche VPN-Protokolle sind erlaubt?
Welche sind verboten?
Welche Algorithmen sind erlaubt?
Wie werden Schlüssel verwaltet?
Ist MFA Pflicht?
Wie werden Zertifikate erneuert?
Wie werden Logs gespeichert?
Wer darf VPN nutzen?
Welche Zugriffe sind erlaubt?
Merksatz:
VPN-Sicherheit braucht technische und organisatorische Vorgaben.
---
**Veraltete VPN-Verfahren vermeiden**
Veraltete oder schwache Verfahren sollten nicht mehr genutzt werden.
Beispiele:
PPTP vermeiden
schwache PSKs vermeiden
alte TLS-Versionen vermeiden
unsichere Algorithmen vermeiden
unsichere Hashverfahren vermeiden
gemeinsame Konten vermeiden
fehlende MFA vermeiden
Merksatz:
Veraltete VPN-Verfahren sind ein Sicherheitsrisiko.
---
**VPN-Protokolle in der Fehlersuche**
Bei VPN-Problemen zuerst klären:
Welches VPN-Protokoll wird genutzt?
Welcher Port wird genutzt?
TCP oder UDP?
Welche Gegenstellen?
Remote-Access oder Site-to-Site?
PSK oder Zertifikat?
Welche Netze sollen durch den Tunnel?
Welche Logs gibt es?
Merksatz:
Ohne Protokollwissen ist VPN-Fehlersuche ungenau.
---
**Checkliste: VPN-Protokoll prüfen**
1. VPN-Art bestimmen.
2. VPN-Protokoll bestimmen.
3. Ports und Protokolle prüfen.
4. Firewall-Freigaben prüfen.
5. NAT oder CGNAT prüfen.
6. Authentifizierung prüfen.
7. Schlüssel oder Zertifikate prüfen.
8. Routen prüfen.
9. DNS prüfen.
10. Logs prüfen.
11. Sicherheitsparameter vergleichen.
12. Gegenstelle prüfen.
Merksatz:
VPN-Protokoll,
Ports,
Schlüssel,
Routen
und Logs gemeinsam prüfen.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist IPsec?
- Was ist IKE?
- Wofür wird IKEv2 genutzt?
- Was ist der Unterschied zwischen IPsec Tunnel Mode und Transport Mode?
- Was ist ESP?
- Was ist AH?
- Was bedeutet Phase 1 bei IPsec?
- Was bedeutet Phase 2 bei IPsec?
- Was ist eine Security Association?
- Was ist ein Pre-Shared Key?
- Warum ist NAT-Traversal bei IPsec wichtig?
- Was ist OpenVPN?
- Was ist WireGuard?
- Was bedeutet Allowed IPs bei WireGuard?
- Was ist TLS-VPN?
- Warum ist PPTP veraltet?
- Warum kann TCP-over-TCP problematisch sein?
---
**Typische Prüfungsfallen**
VPN ist Oberbegriff,
nicht ein einzelnes Protokoll.
IPsec arbeitet nah an Schicht 3.
IKE handelt Schlüssel aus.
IKEv2 ist moderner als IKEv1.
ESP schützt Daten bei IPsec.
AH verschlüsselt nicht.
Tunnel Mode ist wichtig für Site-to-Site.
Transport Mode eher für Host-to-Host.
Phase 1 verbindet Gateways.
Phase 2 schützt Netze.
SA beschreibt Sicherheitsparameter.
PSK muss stark und geheim sein.
UDP 500 und UDP 4500 bei IPsec kennen.
ESP ist kein TCP- oder UDP-Port.
OpenVPN kann UDP oder TCP nutzen.
OpenVPN über UDP ist oft performanter.
TCP-over-TCP kann bremsen.
WireGuard nutzt Peers und Schlüssel.
Allowed IPs bei WireGuard sind wichtig.
TLS-VPN wird oft SSL-VPN genannt.
L2TP braucht IPsec für Sicherheit.
PPTP ist veraltet und unsicher.
VPN-Sicherheit hängt auch von Konfiguration ab.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| VPN-Protokoll | technische Umsetzung eines VPN |
| IPsec | Absicherung von IP-Kommunikation |
| IKE | Schlüsselaushandlung für IPsec |
| IKEv2 | moderne IKE-Version |
| Tunnel Mode | gesamtes IP-Paket wird geschützt eingepackt |
| Transport Mode | Nutzlast wird geschützt |
| ESP | IPsec-Bestandteil für Verschlüsselung und Integrität |
| AH | IPsec-Bestandteil für Authentizität und Integrität ohne Verschlüsselung |
| Phase 1 | sichere Verbindung zwischen VPN-Gegenstellen |
| Phase 2 | Schutz der eigentlichen Netze oder Datenströme |
| SA | Security Association |
| PSK | Pre-Shared Key |
| NAT-T | NAT-Traversal |
| OpenVPN | flexible TLS-basierte VPN-Lösung |
| WireGuard | modernes schlankes VPN-Protokoll |
| Peer | VPN-Gegenstelle bei WireGuard |
| Allowed IPs | Routing- und Zuordnungsangabe bei WireGuard |
| TLS-VPN | VPN auf Basis von TLS |
| SSL-VPN | ältere Bezeichnung für TLS-VPN |
| Clientless VPN | browserbasierter Portalzugriff |
| L2TP/IPsec | L2TP kombiniert mit IPsec |
| PPTP | veraltetes VPN-Protokoll |
| TCP-over-TCP | TCP-Verkehr in TCP-Tunnel |
| Persistent Keepalive | Keepalive für WireGuard hinter NAT |
---
**IHK-sichere Kurzformulierung**
VPN ist ein Oberbegriff für verschlüsselte Tunnelverbindungen. Technisch können verschiedene Protokolle eingesetzt werden, zum Beispiel IPsec/IKEv2, OpenVPN, WireGuard oder TLS-VPN. IPsec arbeitet nah an der IP-Schicht und wird häufig für Site-to-Site-VPNs genutzt. IKE handelt dabei Schlüssel und Sicherheitsparameter aus. Bei IPsec beschreibt Phase 1 den Aufbau einer sicheren Verbindung zwischen den VPN-Gegenstellen, während Phase 2 die geschützten Netze oder Datenströme festlegt. OpenVPN ist TLS-basiert und kann über UDP oder TCP betrieben werden. WireGuard arbeitet mit Peers, öffentlichen und privaten Schlüsseln sowie Allowed IPs. TLS-VPN nutzt TLS und wird häufig für Remote-Access eingesetzt. Veraltete Verfahren wie PPTP sollten nicht mehr verwendet werden.
---
**Merksätze**
VPN ist ein Oberbegriff.
VPN-Protokoll ist die technische Umsetzung.
IPsec schützt IP-Kommunikation.
IPsec arbeitet nah an Schicht 3.
Tunnel Mode schützt ganze IP-Pakete.
Transport Mode schützt eher Host-Kommunikation.
ESP schützt Daten.
AH verschlüsselt nicht.
IKE handelt Schlüssel aus.
IKEv2 ist moderner als IKEv1.
Phase 1 verbindet Gateways.
Phase 2 schützt Netze.
SA beschreibt Sicherheitsparameter.
PSK muss stark und geheim sein.
Zertifikate sind gut für größere Umgebungen.
NAT-T hilft IPsec durch NAT.
UDP 500 gehört zu IKE.
UDP 4500 gehört zu NAT-T.
ESP ist IP-Protokoll 50.
OpenVPN ist TLS-basiert.
OpenVPN über UDP ist oft performanter.
OpenVPN über TCP kann firewallfreundlich sein.
TCP-over-TCP kann bremsen.
WireGuard ist schlank und modern.
WireGuard arbeitet mit Peers.
Allowed IPs sind bei WireGuard sehr wichtig.
Persistent Keepalive hilft hinter NAT.
TLS-VPN nutzt TLS.
SSL-VPN meint meist TLS-VPN.
Clientless VPN ist Portalzugriff.
L2TP braucht IPsec für Sicherheit.
PPTP ist veraltet.
Sicheres VPN braucht sichere Konfiguration.
VPN-Fehler immer mit Protokoll,
Ports,
Schlüsseln,
Routen
und Logs prüfen.
# 14.4
**VPN-Routing, DNS und Firewall-Regeln**
Ein VPN-Tunnel allein reicht nicht aus,
damit interne Dienste erreichbar sind.
Zusätzlich müssen passen:
- IP-Adressbereiche
- Routing
- DNS
- Firewall-Regeln
- NAT-Regeln
- Berechtigungen
- Rückwege
- Client-Konfiguration
Merksatz:
VPN verbunden heißt nicht automatisch:
Ziel erreichbar.
---
**Warum Routing bei VPN wichtig ist**
Routing entscheidet,
über welchen Weg ein Paket geschickt wird.
Wenn ein Client per VPN verbunden ist,
muss sein System wissen:
Welche Ziele liegen im VPN?
Welche Ziele liegen im lokalen Netz?
Welche Ziele gehen direkt ins Internet?
Fehlt eine passende Route,
geht der Verkehr nicht durch den VPN-Tunnel.
Merksatz:
Ohne Route kein Weg durch den Tunnel.
---
**VPN-Routing einfach erklärt**
Beispiel:
VPN-Client:
10.8.0.20
Firmennetz:
192.168.10.0/24
Damit der Client das Firmennetz erreicht,
braucht er eine Route:
Zielnetz 192.168.10.0/24
über VPN-Tunnel
Wenn diese Route fehlt,
sendet der Client die Pakete eventuell an sein lokales Gateway.
Merksatz:
Der Client muss wissen,
welche Netze über VPN erreichbar sind.
---
**Routingtabelle**
Eine Routingtabelle enthält Wege zu Netzwerken.
Sie beantwortet:
Wohin schicke ich Pakete für dieses Zielnetz?
Typische Einträge:
Standardroute
lokale Netzroute
VPN-Route
Hostroute
spezifische Netzroute
Merksatz:
Routingtabelle = Wegweiser für IP-Pakete.
---
**Standardroute**
Die Standardroute wird genutzt,
wenn keine spezifischere Route passt.
Sie zeigt meist zum lokalen Internetrouter.
Beispiel:
0.0.0.0/0
über lokales Gateway
Bei Full Tunnel kann die Standardroute über VPN gesetzt werden.
Merksatz:
Standardroute ist der Weg für alles,
was nicht genauer bekannt ist.
---
**Spezifischere Route gewinnt**
Routing arbeitet nach dem Prinzip:
die genaueste passende Route gewinnt.
Beispiel:
0.0.0.0/0
über lokales Gateway
192.168.10.0/24
über VPN
Wenn Ziel 192.168.10.50 ist,
gewinnt die spezifische VPN-Route.
Merksatz:
Genauere Route gewinnt vor allgemeiner Route.
---
**Split Tunnel**
Split Tunnel bedeutet:
Nur bestimmte Netze gehen durch VPN.
Beispiel:
Firmennetze:
durch VPN
normales Internet:
direkt lokal
Vorteile:
weniger Last auf VPN
weniger Bandbreitenbedarf in der Firma
oft bessere Performance für normale Internetdienste
Nachteile:
weniger zentrale Kontrolle
Sicherheitsrichtlinien schwieriger einheitlich durchsetzbar
Merksatz:
Split Tunnel leitet nur ausgewählten Verkehr durch VPN.
---
**Full Tunnel**
Full Tunnel bedeutet:
Der gesamte Verkehr läuft durch VPN.
Auch Internetverkehr geht zuerst zum Unternehmen.
Vorteile:
zentrale Kontrolle
zentrale Filterung
einheitliche Sicherheitsrichtlinien
bessere Protokollierung
Nachteile:
mehr Last
höhere Latenz
mehr Bandbreite nötig
VPN-Gateway wird kritischer
Merksatz:
Full Tunnel leitet alles durch VPN.
---
**Split Tunnel und Full Tunnel vergleichen**
| Merkmal | Split Tunnel | Full Tunnel |
|---|---|---|
| Firmennetze | über VPN | über VPN |
| Internetverkehr | direkt lokal | über VPN |
| Last auf VPN | geringer | höher |
| zentrale Kontrolle | geringer | höher |
| Performance | oft besser | abhängig vom VPN |
| Sicherheitspolitik | schwieriger | zentraler |
Merksatz:
Split Tunnel spart Last.
Full Tunnel gibt mehr Kontrolle.
---
**VPN-Adresspool**
Der VPN-Adresspool ist der IP-Bereich,
aus dem VPN-Clients ihre VPN-Adresse bekommen.
Beispiel:
10.8.0.0/24
Ein Client erhält dann zum Beispiel:
10.8.0.20
Diese Adresse wird in Firewall-Regeln,
Routing
und Logs verwendet.
Merksatz:
VPN-Adresspool bestimmt,
aus welchem Netz VPN-Clients kommen.
---
**VPN-Adresspool darf sich nicht überschneiden**
Der VPN-Adresspool darf sich nicht mit anderen Netzen überschneiden.
Problematisch:
VPN-Pool:
192.168.1.0/24
Heimnetz des Benutzers:
192.168.1.0/24
Dann ist unklar,
ob 192.168.1.50 lokal oder über VPN erreichbar ist.
Merksatz:
Überlappende Netze verursachen VPN-Routingprobleme.
---
**Adresskonflikt mit Heimnetz**
Ein sehr häufiger VPN-Fehler:
Firmennetz:
192.168.1.0/24
Heimnetz:
192.168.1.0/24
Der Client denkt dann oft:
192.168.1.x ist lokal
und sendet Pakete nicht durch den VPN-Tunnel.
Folge:
interne Systeme sind nicht erreichbar.
Merksatz:
Häufige Heimnetzbereiche im Firmennetz vermeiden.
---
**Typische problematische Heimnetzbereiche**
Viele Heimrouter nutzen Standardnetze wie:
192.168.0.0/24
192.168.1.0/24
192.168.2.0/24
192.168.178.0/24
Wenn Unternehmen dieselben Netze intern nutzen,
kann VPN-Zugriff aus dem Homeoffice Probleme machen.
Merksatz:
Für Firmennetze möglichst eindeutige,
weniger typische Adressbereiche planen.
---
**Route fehlt**
Fehlt eine VPN-Route,
kann der Tunnel verbunden sein,
aber interne Netze sind trotzdem nicht erreichbar.
Typisches Fehlerbild:
VPN zeigt verbunden.
Internet geht.
interne IPs gehen nicht.
interne Namen gehen nicht.
nur VPN-Gateway erreichbar.
Mögliche Ursache:
Route zu internem Netz wurde nicht verteilt.
Merksatz:
VPN-Status grün heißt nicht:
Routen stimmen.
---
**Route zum Zielnetz fehlt**
Beispiel:
Ziel:
10.20.30.50
Benötigte Route:
10.20.30.0/24
über VPN
Wenn nur 192.168.10.0/24 über VPN geroutet wird,
ist 10.20.30.50 nicht erreichbar.
Merksatz:
Jedes gewünschte Zielnetz braucht eine passende Route.
---
**Rückroute fehlt**
Nicht nur der Client braucht eine Route zum Ziel.
Auch das Zielnetz muss wissen,
wie es zum VPN-Client zurückkommt.
Beispiel:
VPN-Client:
10.8.0.20
Server:
192.168.10.50
Der Server oder sein Gateway braucht einen Rückweg zu:
10.8.0.0/24
Merksatz:
VPN braucht Hinweg und Rückweg.
---
**Asymmetrisches Routing bei VPN**
Asymmetrisches Routing bedeutet:
Hinweg und Rückweg laufen über unterschiedliche Wege.
Bei Firewalls kann das problematisch sein,
weil Stateful Firewalls den Verbindungszustand verfolgen.
Wenn die Antwort einen anderen Weg nimmt,
kann sie blockiert werden.
Merksatz:
Stateful Firewalls brauchen passenden Hin- und Rückweg.
---
**VPN und NAT**
Manchmal wird NAT auch bei VPN genutzt.
Beispiele:
überlappende Netze müssen übersetzt werden
VPN-Clients sollen mit bestimmter Quell-IP erscheinen
Partnernetz darf interne echte Adressen nicht sehen
Cloud-Netz erwartet bestimmte Adressbereiche
Aber:
NAT macht Fehlersuche komplizierter.
Merksatz:
NAT im VPN kann helfen,
aber erschwert Analyse und Dokumentation.
---
**NAT bei überlappenden Netzen**
Wenn zwei Seiten dasselbe Netz verwenden,
kann NAT eine technische Umgehung sein.
Beispiel:
Standort A:
192.168.1.0/24
Standort B:
192.168.1.0/24
Eine Seite wird für den Tunnel in ein anderes Netz übersetzt.
Aber:
Das ist meist komplizierter als saubere IP-Planung.
Merksatz:
NAT kann Adresskonflikte umgehen,
ersetzt aber keine gute Netzplanung.
---
**VPN-DNS**
VPN-DNS sorgt dafür,
dass interne Namen korrekt aufgelöst werden.
Beispiele:
intranet.firma.local
fileserver.firma.local
wiki.intern
dc01.firma.local
Dafür erhält der VPN-Client meist:
interne DNS-Server
DNS-Suffix
Suchdomäne
Split-DNS-Regeln
Merksatz:
VPN braucht oft interne DNS-Konfiguration.
---
**DNS-Server über VPN**
Der VPN-Client kann interne DNS-Server zugewiesen bekommen.
Beispiel:
DNS-Server:
192.168.10.10
Damit kann er interne Namen auflösen.
Wenn der interne DNS-Server nicht erreichbar ist,
funktioniert Namensauflösung trotz VPN nicht.
Merksatz:
Interner DNS muss über VPN erreichbar und erlaubt sein.
---
**DNS-Suffix**
Ein DNS-Suffix ergänzt kurze Namen.
Beispiel:
Benutzer gibt ein:
fileserver
Mit DNS-Suffix wird daraus:
fileserver.firma.local
Fehlt das DNS-Suffix,
funktionieren kurze interne Namen eventuell nicht.
Merksatz:
DNS-Suffix hilft bei kurzen internen Namen.
---
**Split DNS**
Split DNS bedeutet:
interne Namen werden über interne DNS-Server aufgelöst
externe Namen werden normal oder öffentlich aufgelöst
Beispiel:
firma.local
über VPN-DNS
öffentliche Webseiten
über normalen DNS
Merksatz:
Split DNS trennt interne und externe Namensauflösung.
---
**Fehlerbild: Interne Namen gehen nicht**
Mögliche Ursachen:
- interner DNS wird nicht verteilt
- DNS-Suffix fehlt
- DNS-Anfragen gehen nicht durch VPN
- DNS-Server über VPN nicht erreichbar
- Firewall blockiert UDP/TCP 53
- Split DNS falsch
- falscher DNS-Server antwortet
- lokale DNS-Cache-Einträge sind alt
Merksatz:
VPN-Namensprobleme sind oft DNS- oder Split-DNS-Probleme.
---
**Fehlerbild: IP geht, Name nicht**
Wenn interne IP-Adresse funktioniert,
aber interner Name nicht,
liegt der Fehler meist bei DNS.
Beispiel:
192.168.10.50 funktioniert.
fileserver.firma.local funktioniert nicht.
Prüfen:
DNS-Server
DNS-Suffix
DNS-Record
Firewall für DNS
Split DNS
Cache
Merksatz:
IP geht,
Name nicht:
DNS prüfen.
---
**VPN und Firewall-Regeln**
Ein VPN-Tunnel bedeutet nicht automatisch,
dass alle Ziele erlaubt sind.
Die Firewall muss regeln:
Welche VPN-Gruppe darf wohin?
Welche Ports sind erlaubt?
Welche Protokolle sind erlaubt?
Welche Richtung gilt?
Welche Zone ist beteiligt?
Wird der Zugriff protokolliert?
Merksatz:
VPN braucht gezielte Firewall-Regeln.
---
**VPN-Zone**
VPN-Verkehr sollte in eigene Firewall-Zonen eingeordnet werden.
Beispiele:
VPN-Mitarbeiter
VPN-Admin
VPN-Dienstleister
VPN-Partner
Site-to-Site-Partner
Cloud-VPN
Vorteil:
Regeln können gezielt und übersichtlich erstellt werden.
Merksatz:
VPN-Zonen verhindern pauschale Vermischung mit LAN.
---
**Regelprinzip für VPN**
Nicht gut:
VPN → LAN any allow
Besser:
VPN-Mitarbeiter → Intranet HTTPS erlauben
VPN-Support → bestimmte Clients RDP erlauben
VPN-Admin → Managementnetz SSH/RDP erlauben
VPN-Dienstleister → Wartungsserver erlauben
Merksatz:
VPN-Zugriff nach Rolle,
Ziel
und Dienst begrenzen.
---
**VPN und Least Privilege**
Least Privilege bedeutet:
nur notwendige Rechte und Zugriffe erlauben.
Bei VPN heißt das:
nicht alle Netze
nicht alle Ports
nicht alle Benutzer
nicht dauerhaft
nicht ohne Protokollierung
Merksatz:
VPN-Zugang so eng wie möglich freigeben.
---
**VPN und Gruppen**
VPN-Zugriffe werden oft über Gruppen gesteuert.
Beispiele:
VPN-Mitarbeiter
VPN-Support
VPN-Admins
VPN-Externe
VPN-Cloud-Admins
Gruppen steuern:
Routen
Firewall-Regeln
DNS
Zugriff auf Anwendungen
MFA-Anforderungen
Merksatz:
Gruppen machen VPN-Zugriff verwaltbar.
---
**VPN und Benutzerrechte**
VPN-Zugang allein gibt noch keine Anwendungsrechte.
Beispiel:
Benutzer erreicht Dateiserver per VPN.
Trotzdem braucht er:
gültige Anmeldung
Freigaberecht
Dateisystemrecht
Gruppenmitgliedschaft
Merksatz:
Netzwerkzugang ist nicht dasselbe wie Anwendungsberechtigung.
---
**VPN und Host-Firewall**
Auch wenn die zentrale Firewall Zugriff erlaubt,
kann die lokale Firewall des Zielsystems blockieren.
Beispiele:
Windows Defender Firewall blockiert RDP.
Linux-Firewall blockiert SSH.
Server erlaubt nur internes LAN,
aber nicht VPN-Pool.
Merksatz:
Zielsystem-Firewall muss VPN-Quellen ebenfalls erlauben.
---
**VPN und Serverdienste**
Der Zielserver muss auf dem richtigen Port lauschen.
Prüfen:
Dienst läuft?
Dienst lauscht auf richtiger IP?
Dienst lauscht auf richtigem Port?
Dienst erlaubt VPN-Quellen?
Anwendung erlaubt Benutzer?
Logs zeigen Fehler?
Merksatz:
VPN erreicht nur Dienste,
die auch wirklich laufen und erreichbar sind.
---
**VPN und Rückweg über Gateway**
Ein Server antwortet meist über sein Standardgateway.
Wenn das Gateway keine Route zum VPN-Adresspool kennt,
geht die Antwort falsch.
Beispiel:
Server will zu 10.8.0.20 antworten.
Gateway kennt 10.8.0.0/24 nicht.
Folge:
Antwort kommt nicht zurück.
Merksatz:
Zielnetz muss den VPN-Pool zurückrouten können.
---
**VPN und interne Firewalls**
In größeren Netzen gibt es oft mehrere Firewalls.
Beispiel:
VPN-Gateway
→ Core-Firewall
→ Servernetz-Firewall
→ Host-Firewall
Jede dieser Stellen kann blockieren.
Merksatz:
Bei VPN-Zugriff alle Filterstellen auf dem Weg prüfen.
---
**VPN und VLANs**
VPN-Benutzer können Zugriff auf bestimmte VLANs erhalten.
Beispiele:
Client-VLAN
Server-VLAN
Management-VLAN
DMZ-VLAN
Wichtig:
VPN-Zugriff auf Management-VLAN besonders stark begrenzen.
Merksatz:
VLAN-Zugriff über VPN bewusst steuern.
---
**VPN und DMZ**
VPN-Gateways können in einer DMZ stehen.
Warum?
Sie sind von außen erreichbar
und sollten vom internen LAN getrennt sein.
Nach erfolgreichem VPN-Aufbau dürfen Benutzer nur über definierte Regeln weiter ins interne Netz.
Merksatz:
VPN-Gateway in DMZ,
Zugriff ins LAN nur geregelt.
---
**VPN und Extranet**
Bei Extranet-Zugängen gilt besonders:
externe Benutzer nur auf benötigte Systeme
keine pauschale LAN-Freigabe
eigene Benutzerkonten
MFA
Ablaufdatum
Protokollierung
regelmäßige Prüfung
Merksatz:
Extranet-VPN braucht besonders enge Regeln.
---
**VPN und Cloud-Netze**
Bei Cloud-VPN müssen beide Seiten passen.
Lokale Seite:
Routen
Firewall
NAT
DNS
Cloud-Seite:
Routing Table
Security Group
Network Security Group
Cloud Firewall
Subnetze
DNS
Merksatz:
Cloud-VPN braucht Regeln und Routen auf beiden Seiten.
---
**VPN und IPv6**
VPN kann IPv4,
IPv6
oder beides transportieren.
Wichtig:
Wenn IPv6 aktiv ist,
müssen auch IPv6-Routen und IPv6-Firewall-Regeln stimmen.
Problem:
IPv4 funktioniert über VPN,
aber IPv6 nimmt anderen Weg.
Merksatz:
Dual Stack bedeutet:
IPv4 und IPv6 prüfen.
---
**VPN-Leak**
Ein VPN-Leak bedeutet:
Verkehr geht unerwartet außerhalb des VPN-Tunnels.
Beispiele:
DNS-Leak:
DNS-Anfragen gehen an lokalen Provider statt internen DNS.
IPv6-Leak:
IPv6-Verkehr geht direkt ins Internet statt durch VPN.
Split-Tunnel-Fehlkonfiguration:
sensible Ziele gehen nicht durch VPN.
Merksatz:
VPN-Leak bedeutet:
Verkehr nimmt unerwartet den falschen Weg.
---
**DNS-Leak**
Ein DNS-Leak liegt vor,
wenn DNS-Anfragen nicht wie vorgesehen über den VPN-DNS laufen.
Folgen:
interne Namen funktionieren nicht
Provider sieht DNS-Anfragen
Sicherheitsrichtlinien werden umgangen
falsche Antworten werden genutzt
Merksatz:
DNS-Leak betrifft Namensauflösung außerhalb des gewünschten Weges.
---
**IPv6-Leak**
Ein IPv6-Leak kann entstehen,
wenn VPN nur IPv4 tunnelt,
aber der Client weiterhin IPv6 direkt nutzt.
Folge:
Verkehr kann außerhalb des VPNs laufen.
Lösung:
IPv6 korrekt tunneln
oder
IPv6 bewusst regeln
Merksatz:
IPv6 bei VPN nicht vergessen.
---
**VPN und Proxy**
Manche Unternehmen kombinieren VPN mit Proxy.
Beispiele:
Full Tunnel plus Webproxy
Split Tunnel plus Cloudproxy
Proxy nur für bestimmte Anwendungen
PAC-Datei für Browser
Fehlerquellen:
falsche Proxy-Einstellungen
Proxy nicht über VPN erreichbar
Authentifizierung am Proxy schlägt fehl
falsche Ausnahmen
Merksatz:
VPN und Proxy müssen zusammenpassen.
---
**VPN und Zertifikate**
Zertifikate können für VPN wichtig sein.
Beispiele:
Serverzertifikat des VPN-Gateways
Clientzertifikat auf Endgerät
Zertifikatskette
interne CA
Zertifikatswiderruf
Ablaufdatum
Fehler:
Zertifikat abgelaufen
Name passt nicht
CA nicht vertraut
Clientzertifikat fehlt
CRL oder OCSP nicht erreichbar
Merksatz:
VPN-Zertifikate mit Name,
Vertrauen,
Gültigkeit
und Widerruf prüfen.
---
**VPN und Zeit**
Korrekte Zeit ist wichtig für:
Zertifikate
Kerberos
MFA
Tokens
Logs
Sicherheitsprüfungen
Wenn die Uhrzeit stark abweicht,
können Anmeldungen oder Zertifikate fehlschlagen.
Merksatz:
VPN-Fehler können durch falsche Uhrzeit entstehen.
---
**VPN-Fehlersuche: Grundreihenfolge**
Eine sinnvolle Reihenfolge:
1. VPN-Art bestimmen.
2. VPN-Protokoll bestimmen.
3. Verbindungsstatus prüfen.
4. Authentifizierung prüfen.
5. VPN-IP prüfen.
6. Routen prüfen.
7. DNS prüfen.
8. Firewall-Regeln prüfen.
9. Zielsystem prüfen.
10. Rückweg prüfen.
11. Logs prüfen.
12. MTU und Performance prüfen.
Merksatz:
VPN-Fehlersuche braucht Tunnel,
Route,
DNS,
Firewall
und Zielsystem.
---
**Fehlerbild: VPN verbunden, aber Ziel-IP nicht erreichbar**
Mögliche Ursachen:
- Route fehlt
- Firewall blockiert
- Zielsystem offline
- Rückroute fehlt
- Host-Firewall blockiert
- VPN-Gruppe darf Ziel nicht erreichen
- Adresskonflikt
- NAT falsch
- falsches Zielnetz
Prüfen:
VPN-IP
Routingtabelle
Firewall-Logs
Zielsystem
Rückweg
Merksatz:
Ziel-IP nicht erreichbar:
Route,
Firewall
und Rückweg prüfen.
---
**Fehlerbild: VPN verbunden, interner Name nicht erreichbar**
Mögliche Ursachen:
- DNS-Server nicht gesetzt
- DNS-Suffix fehlt
- Split DNS falsch
- DNS-Server nicht erreichbar
- Firewall blockiert DNS
- falscher Record
- Cache veraltet
Prüfen:
DNS-Server
DNS-Antwort
DNS-Suffix
UDP/TCP 53
Split DNS
Merksatz:
Interner Name nicht erreichbar:
DNS prüfen.
---
**Fehlerbild: Nur ein Dienst nicht erreichbar**
Mögliche Ursachen:
- Port blockiert
- Dienst läuft nicht
- Host-Firewall blockiert
- Benutzer nicht berechtigt
- Anwendung lehnt VPN-Quelle ab
- falscher Port
- falsches Protokoll
- Zertifikat oder TLS-Problem
Prüfen:
Porttest
Dienststatus
Firewall-Log
Serverlog
Berechtigungen
Merksatz:
Ein Dienst betroffen:
Port,
Dienst
und Anwendung prüfen.
---
**Fehlerbild: Zugriff geht nur für manche Benutzer**
Mögliche Ursachen:
- unterschiedliche VPN-Gruppen
- unterschiedliche Routen
- unterschiedliche Firewall-Regeln
- Benutzerrechte fehlen
- MFA-Richtlinie unterschiedlich
- Clientprofil unterschiedlich
- Gerätestatus unterschiedlich
- Rolle fehlt
Prüfen:
Gruppenmitgliedschaft
VPN-Profil
Routen
Rechte
Logs
Merksatz:
Unterschiedliche Benutzer:
Gruppen,
Rollen
und Profile prüfen.
---
**Fehlerbild: Zugriff geht nur von manchen Heimnetzen nicht**
Mögliche Ursachen:
- Adresskonflikt mit Heimnetz
- lokaler Router blockiert VPN
- restriktives WLAN
- Provider blockiert
- CGNAT oder NAT-Probleme
- IPv6 nimmt anderen Weg
- DNS des Heimnetzes stört
Merksatz:
Manche Heimnetze betroffen:
lokale Netze,
NAT,
DNS
und IPv6 prüfen.
---
**Fehlerbild: VPN langsam oder instabil**
Mögliche Ursachen:
- hohe Latenz
- Paketverlust
- MTU-Problem
- WLAN-Probleme
- Full Tunnel überlastet
- VPN-Gateway ausgelastet
- TCP-over-TCP
- schwache Clientleistung
- Providerproblem
- Sicherheitsprüfung oder Proxy langsam
Merksatz:
VPN-Performance mit Latenz,
Paketverlust,
MTU
und Auslastung prüfen.
---
**Checkliste: VPN-Routing**
VPN-IP erhalten?
Route zum Zielnetz vorhanden?
genaueste Route korrekt?
Standardroute verändert?
Split Tunnel oder Full Tunnel?
Zielnetz überschneidet sich?
Rückroute vorhanden?
mehrere Gateways beteiligt?
Routing auf Cloud-Seite korrekt?
Routing auf Servernetz-Seite korrekt?
Merksatz:
VPN-Routing immer auf Client,
Gateway
und Zielnetz prüfen.
---
**Checkliste: VPN-DNS**
interner DNS gesetzt?
DNS-Suffix gesetzt?
Split DNS korrekt?
UDP 53 erlaubt?
TCP 53 erlaubt?
interner DNS über VPN erreichbar?
liefert DNS richtige IP?
A und AAAA prüfen?
Cache geleert oder geprüft?
interner und externer DNS verglichen?
Merksatz:
DNS bei VPN immer aus Sicht des VPN-Clients prüfen.
---
**Checkliste: VPN-Firewall**
VPN-Zone korrekt?
Quelle VPN-Pool korrekt?
Benutzergruppe korrekt?
Zielnetz korrekt?
Zielhost korrekt?
Port korrekt?
TCP oder UDP korrekt?
Richtung korrekt?
Host-Firewall korrekt?
Rückverkehr erlaubt?
Logs zeigen Treffer?
Merksatz:
Firewall-Regeln für VPN genau wie andere Regeln prüfen.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Warum reicht ein aufgebauter VPN-Tunnel allein nicht aus?
- Warum ist Routing bei VPN wichtig?
- Was ist ein VPN-Adresspool?
- Warum sind überlappende Netze problematisch?
- Was ist Split Tunneling?
- Was ist Full Tunnel?
- Warum ist DNS bei VPN wichtig?
- Was ist Split DNS?
- Was ist ein DNS-Leak?
- Was ist ein IPv6-Leak?
- Warum braucht VPN Firewall-Regeln?
- Warum sollte VPN-Zugriff nach Rollen begrenzt werden?
- Warum kann eine Host-Firewall VPN-Zugriffe blockieren?
- Warum ist der Rückweg wichtig?
- Wie geht man bei VPN-Fehlersuche systematisch vor?
---
**Typische Prüfungsfallen**
VPN verbunden heißt nicht:
alles erreichbar.
Route fehlt:
Ziel nicht erreichbar.
Rückroute fehlt:
Antwort kommt nicht zurück.
Genaueste Route gewinnt.
Split Tunnel leitet nur ausgewählten Verkehr.
Full Tunnel leitet alles durch VPN.
VPN-Adresspool muss eindeutig sein.
Heimnetz und Firmennetz dürfen sich nicht überschneiden.
DNS ist bei VPN häufige Fehlerquelle.
IP geht,
Name nicht:
DNS prüfen.
Interner DNS muss über VPN erreichbar sein.
DNS-Suffix kann für kurze Namen nötig sein.
Split DNS trennt interne und externe Namensauflösung.
DNS-Leak bedeutet DNS außerhalb des gewünschten Weges.
IPv6-Leak nicht vergessen.
VPN braucht Firewall-Regeln.
VPN-Zugriff nicht pauschal ins LAN erlauben.
Host-Firewall auf Zielsystem prüfen.
VPN-Gruppe beeinflusst Zugriff.
Netzwerkzugang ist nicht Anwendungsberechtigung.
Cloud-VPN braucht Regeln auf beiden Seiten.
Zertifikate,
Zeit
und Logs bei VPN prüfen.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| VPN-Routing | Wege für Netze über VPN |
| Routingtabelle | Tabelle mit Wegen zu Zielnetzen |
| Standardroute | Route für alle nicht genauer bekannten Ziele |
| spezifische Route | genauere Route zu bestimmtem Netz |
| Split Tunnel | nur ausgewählter Verkehr über VPN |
| Full Tunnel | gesamter Verkehr über VPN |
| VPN-Adresspool | IP-Bereich für VPN-Clients |
| Adresskonflikt | gleiche Netze auf beiden Seiten |
| Rückroute | Antwortweg zurück zum VPN-Client |
| asymmetrisches Routing | Hin- und Rückweg unterschiedlich |
| VPN-DNS | DNS-Einstellungen für VPN-Clients |
| DNS-Suffix | Ergänzung für kurze Namen |
| Split DNS | getrennte DNS-Auflösung |
| DNS-Leak | DNS-Anfrage geht falschen Weg |
| IPv6-Leak | IPv6-Verkehr geht außerhalb VPN |
| VPN-Zone | Firewall-Zone für VPN-Verkehr |
| VPN-Gruppe | Gruppe zur Steuerung von VPN-Rechten |
| Host-Firewall | Firewall auf dem Zielsystem |
| Cloud-VPN | Verbindung zu Cloud-Netz |
| Rückweg | Antwortpfad zum Absender |
---
**IHK-sichere Kurzformulierung**
Ein aufgebauter VPN-Tunnel allein reicht nicht aus, damit interne Ressourcen erreichbar sind. Zusätzlich müssen Routing, DNS, Firewall-Regeln, Rückwege und Berechtigungen stimmen. Der VPN-Client benötigt passende Routen zu den internen Zielnetzen. Bei Split Tunneling wird nur ausgewählter Verkehr durch das VPN geleitet, während bei Full Tunnel der gesamte Verkehr durch den VPN-Tunnel läuft. Der VPN-Adresspool darf sich nicht mit lokalen oder internen Netzen überschneiden, da sonst Routingprobleme entstehen. Für interne Namen müssen interne DNS-Server, DNS-Suffixe oder Split-DNS-Regeln korrekt gesetzt sein. VPN-Zugriffe sollten über eigene Firewall-Zonen, Gruppen und Least-Privilege-Regeln gesteuert werden.
---
**Merksätze**
VPN verbunden heißt nicht:
Zugriff funktioniert.
Ohne Route kein Weg.
Ohne Rückroute keine Antwort.
Genaueste Route gewinnt.
Standardroute gilt nur,
wenn nichts Spezifischeres passt.
Split Tunnel leitet ausgewählten Verkehr.
Full Tunnel leitet gesamten Verkehr.
VPN-Adresspool muss eindeutig sein.
Überlappende Netze vermeiden.
Heimnetzkonflikte sind häufig.
Jede Zielroute muss bekannt sein.
NAT im VPN macht Analyse schwieriger.
VPN-DNS ist wichtig für interne Namen.
DNS-Suffix hilft bei Kurznamen.
Split DNS trennt interne und externe Auflösung.
IP geht,
Name nicht:
DNS prüfen.
VPN braucht Firewall-Regeln.
VPN-Zonen schaffen Übersicht.
VPN-Zugriff nach Rollen begrenzen.
Least Privilege gilt auch im VPN.
Netzwerkzugang ist nicht Anwendungsrecht.
Host-Firewall mitprüfen.
Zielsystem muss Dienst bereitstellen.
Rückweg über Gateway prüfen.
Cloud-VPN braucht Regeln beidseitig.
IPv6 bei VPN nicht vergessen.
DNS-Leak bedeutet falscher DNS-Weg.
IPv6-Leak bedeutet falscher IPv6-Weg.
Zertifikate und Zeit können VPN beeinflussen.
VPN-Fehlersuche braucht Tunnel,
Route,
DNS,
Firewall,
Zielsystem
und Logs.
# 14.5
**VPN-Sicherheit, Zugriffskontrolle und typische Risiken**
Ein VPN stellt einen sicheren Tunnel bereit.
Aber:
Ein VPN allein macht ein Netzwerk nicht automatisch sicher.
Wichtig sind zusätzlich:
- starke Authentifizierung
- klare Berechtigungen
- Firewall-Regeln
- Protokollierung
- Gerätesicherheit
- Rollenmodell
- regelmäßige Prüfung
- Monitoring
- saubere Dokumentation
Merksatz:
VPN ist ein Zugang ins Netz.
Deshalb muss dieser Zugang besonders geschützt werden.
---
**Warum VPN-Sicherheit wichtig ist**
Ein VPN-Zugang kann sehr mächtig sein.
Wenn ein Angreifer VPN-Zugang erhält,
kann er je nach Konfiguration interne Systeme erreichen.
Mögliche Folgen:
- Zugriff auf interne Server
- Zugriff auf Dateifreigaben
- Ausbreitung von Malware
- Angriff auf Managementsysteme
- Datenabfluss
- Manipulation interner Dienste
- Umgehung äußerer Schutzmaßnahmen
Merksatz:
Ein schlecht abgesicherter VPN-Zugang ist ein großes Risiko.
---
**VPN ist kein Freifahrtschein**
Ein häufiger Fehler ist:
Benutzer ist per VPN verbunden.
Also darf er alles im internen Netz erreichen.
Das ist unsicher.
Besser:
Benutzer bekommt nur Zugriff auf die Systeme,
die er für seine Aufgabe braucht.
Beispiele:
Mitarbeiter:
Intranet und Dateiablage
Support:
Ticketsystem und bestimmte Clients
Administrator:
Managementsysteme
Dienstleister:
nur definierter Wartungsserver
Merksatz:
VPN verbunden heißt nicht:
Zugriff auf alles erlaubt.
---
**Authentifizierung**
Authentifizierung bedeutet:
Wer bist du?
Beim VPN wird geprüft,
ob der Benutzer oder das Gerät wirklich berechtigt ist.
Mögliche Faktoren:
Benutzername
Passwort
Zertifikat
MFA
Token
Smartcard
Gerätezertifikat
SSO
biometrischer Faktor
Merksatz:
Authentifizierung prüft die Identität.
---
**Autorisierung**
Autorisierung bedeutet:
Was darfst du?
Nach erfolgreicher Anmeldung entscheidet das System,
welche Ziele,
Dienste
und Anwendungen erlaubt sind.
Beispiele:
Zugriff auf Servernetz erlaubt?
Zugriff auf Managementnetz erlaubt?
Zugriff auf RDP erlaubt?
Zugriff auf Datenbank verboten?
Zugriff nur auf HTTPS erlaubt?
Merksatz:
Authentifizierung ist Anmeldung.
Autorisierung ist Berechtigung.
---
**MFA bei VPN**
MFA steht für:
Multi-Faktor-Authentifizierung
Dabei werden mehrere Faktoren kombiniert.
Beispiele:
Passwort + Authenticator-App
Passwort + Hardwaretoken
Zertifikat + PIN
Smartcard + PIN
Warum wichtig?
Passwörter können gestohlen werden.
Phishing kann Zugangsdaten abgreifen.
VPN ist aus dem Internet erreichbar.
VPN-Zugang führt oft in interne Netze.
Merksatz:
VPN-Zugänge sollten möglichst mit MFA geschützt werden.
---
**MFA ist nicht unfehlbar**
MFA erhöht die Sicherheit deutlich,
ist aber kein vollständiger Schutz.
Risiken bleiben:
Phishing
MFA-Push-Fatigue
gestohlene Session-Tokens
unsicheres Endgerät
Social Engineering
schlecht konfigurierte Ausnahmen
fehlende Gerätekontrolle
Merksatz:
MFA ist stark,
aber kein Ersatz für weitere Schutzmaßnahmen.
---
**MFA-Push-Fatigue**
MFA-Push-Fatigue bedeutet:
Ein Angreifer löst viele MFA-Anfragen aus,
bis der Benutzer genervt oder aus Versehen bestätigt.
Schutz:
Number Matching
kurze Hinweise zur Anfrage
Schulung
verdächtige Anfragen melden
Rate Limiting
keine blinde Bestätigung
Merksatz:
MFA-Anfragen niemals automatisch bestätigen.
---
**Zertifikatsbasierte VPN-Authentifizierung**
VPN kann Zertifikate verwenden.
Dabei kann geprüft werden:
Ist das Gerät zugelassen?
Ist der Benutzer zugelassen?
Ist das Zertifikat gültig?
Wurde das Zertifikat widerrufen?
Vertraut der Client dem VPN-Gateway?
Vorteile:
stärker als Passwort allein
Gerätebindung möglich
Widerruf einzelner Zertifikate möglich
gut für verwaltete Geräte
Merksatz:
Zertifikate können VPN-Zugriffe stärker an Geräte oder Identitäten binden.
---
**Clientzertifikat**
Ein Clientzertifikat liegt auf dem Endgerät oder in einem sicheren Speicher.
Es kann beweisen:
Dieses Gerät oder dieser Benutzer ist berechtigt,
sich am VPN anzumelden.
Wichtig:
privater Schlüssel schützen
Zertifikat nicht kopieren
verlorene Geräte sperren
Zertifikat bei Austritt widerrufen
Ablaufdatum überwachen
Merksatz:
Clientzertifikat ist nur sicher,
wenn der private Schlüssel geschützt ist.
---
**Serverzertifikat**
Das Serverzertifikat des VPN-Gateways hilft dem Client zu prüfen:
Verbinde ich mich wirklich mit dem richtigen VPN-Server?
Fehler können sein:
Zertifikat abgelaufen
Name passt nicht
CA nicht vertrauenswürdig
Zertifikatskette unvollständig
falsches Zertifikat auf Gateway
Merksatz:
Serverzertifikat schützt vor Verbindung zur falschen Gegenstelle.
---
**Zertifikatswiderruf**
Wenn ein Zertifikat nicht mehr vertrauenswürdig ist,
muss es widerrufen werden.
Gründe:
Gerät verloren
privater Schlüssel kompromittiert
Benutzer ausgeschieden
Dienstleisterzugang beendet
Zertifikat falsch ausgestellt
Widerruf kann geprüft werden über:
CRL
OCSP
Merksatz:
Zertifikate müssen widerrufen werden können.
---
**Benutzergruppen**
VPN-Zugriffe sollten über Gruppen gesteuert werden.
Beispiele:
VPN-Mitarbeiter
VPN-Support
VPN-Admins
VPN-Dienstleister
VPN-Partner
Vorteil:
Regeln bleiben übersichtlich.
Rechte lassen sich zentral verwalten.
Austritte und Rollenwechsel sind einfacher.
Zugriff kann nach Aufgabe getrennt werden.
Merksatz:
Gruppen machen VPN-Berechtigungen verwaltbar.
---
**Rollenmodell**
Ein Rollenmodell beschreibt,
welche Rolle welche Zugriffe bekommt.
Beispiel:
| Rolle | erlaubter Zugriff |
|---|---|
| Mitarbeiter | Intranet, Dateiablage |
| Support | Ticketsystem, bestimmte Clients |
| Administrator | Managementnetz, Serververwaltung |
| Dienstleister | definierter Wartungsserver |
| Partner | Extranet-Portal |
| Cloud-Admin | Cloud-Managementzugänge |
Merksatz:
Rollenmodell verhindert pauschale Freigaben.
---
**Least Privilege beim VPN**
Least Privilege bedeutet:
nur die Rechte,
die wirklich benötigt werden.
Beim VPN heißt das:
keine pauschale LAN-Freigabe
keine unnötigen Ports
keine unnötigen Zielnetze
keine Dauerzugänge für Externe
keine gemeinsamen Konten
keine Adminrechte für normale Benutzer
Merksatz:
VPN-Zugriff so eng wie möglich,
so weit wie nötig.
---
**Need to Know beim VPN**
Need to Know bedeutet:
Zugriff nur auf Informationen oder Systeme,
die für die Aufgabe notwendig sind.
Beispiel:
Ein Lieferant braucht Zugriff auf Bestelldaten,
aber nicht auf Personalakten.
Ein Wartungsdienstleister braucht Zugriff auf eine Anlage,
aber nicht auf das gesamte Servernetz.
Merksatz:
VPN-Zugriff nach Aufgabe begrenzen,
nicht nach Bequemlichkeit.
---
**Zero Trust und VPN**
Zero Trust bedeutet:
kein Zugriff wird automatisch vertraut.
Auch nach VPN-Verbindung wird weiter geprüft:
Wer ist der Benutzer?
Welches Gerät wird genutzt?
Ist MFA erfüllt?
Ist das Gerät aktuell?
Welche Anwendung wird aufgerufen?
Welche Rolle hat der Benutzer?
Ist der Zugriff ungewöhnlich?
Merksatz:
Zero Trust prüft Zugriff fortlaufend und kontextbezogen.
---
**Klassisches VPN und Zero Trust vergleichen**
| Merkmal | klassisches VPN | Zero-Trust-Zugriff |
|---|---|---|
| Zugriff | oft Netzwerkzugriff | meist Anwendungszugriff |
| Prüfung | häufig beim Tunnelaufbau | kontinuierlicher |
| Reichweite | kann breit sein | stärker begrenzt |
| Risiko | laterale Bewegung möglich | weniger pauschaler Netzblick |
| Vorteil | bewährt, flexibel | feiner steuerbar |
Merksatz:
VPN verbindet oft ins Netz.
Zero Trust gibt gezielt Anwendungen frei.
---
**Laterale Bewegung**
Laterale Bewegung bedeutet:
Ein Angreifer bewegt sich nach dem ersten Zugriff weiter im internen Netz.
Beispiel:
Angreifer erhält VPN-Zugang.
Danach scannt er interne Server.
Anschließend greift er weitere Systeme an.
Schutz:
Segmentierung
Firewall-Regeln
Least Privilege
Monitoring
EDR
getrennte Adminzugänge
keine pauschale VPN-Freigabe
Merksatz:
VPN darf keine einfache Bewegung durchs ganze Netz ermöglichen.
---
**Netzsegmentierung**
Netzsegmentierung bedeutet:
Das Netzwerk wird in getrennte Bereiche aufgeteilt.
Beispiele:
Clientnetz
Servernetz
Managementnetz
DMZ
Gastnetz
IoT-Netz
VPN-Zone
Extranet-Zone
Vorteil:
Ein kompromittierter Bereich kann nicht automatisch alles erreichen.
Merksatz:
Segmentierung begrenzt Schäden.
---
**VPN-Zone**
Eine VPN-Zone ist eine eigene Sicherheitszone für VPN-Verkehr.
Beispiele:
VPN-Mitarbeiter-Zone
VPN-Admin-Zone
VPN-Dienstleister-Zone
VPN-Partner-Zone
Dadurch kann man Firewall-Regeln gezielt definieren.
Merksatz:
VPN-Zonen verhindern,
dass VPN-Verkehr wie normales LAN behandelt wird.
---
**Admin-VPN besonders schützen**
Admin-Zugänge sind besonders kritisch.
Admin-VPN sollte streng geschützt werden:
separate Admin-Konten
MFA
Zertifikat
Zugriff nur von verwalteten Geräten
keine private Nutzung
Zugriff nur auf Managementnetze
Protokollierung
Alarmierung bei Fehlversuchen
regelmäßige Prüfung
Merksatz:
Admin-VPN ist Hochrisiko-Zugang.
---
**Dienstleister-VPN besonders begrenzen**
Externe Dienstleister sollten keinen breiten VPN-Zugriff erhalten.
Sicherer ist:
eigenes Konto pro Person
keine Sammelkonten
MFA
zeitliche Begrenzung
Zugriff nur auf Zielsystem
Protokollierung
Freigabeprozess
Deaktivierung nach Wartung
regelmäßige Prüfung
Merksatz:
Dienstleisterzugang muss eng,
nachvollziehbar
und zeitlich begrenzt sein.
---
**Sammelkonten vermeiden**
Sammelkonten sind gemeinsame Benutzerkonten,
die mehrere Personen nutzen.
Problem:
keine eindeutige Zuordnung
schwierige Nachvollziehbarkeit
Passwort wird weitergegeben
Sperrung einzelner Personen schwer
Sicherheitsvorfälle schwer aufklärbar
Merksatz:
Jeder VPN-Benutzer braucht ein eigenes Konto.
---
**Zeitlich begrenzter Zugriff**
Manche VPN-Zugänge sollten nur für ein Zeitfenster aktiv sein.
Beispiele:
Wartung am Samstag
Projektzugang für zwei Wochen
externer Support während Störung
temporäre Migration
Nach Ende:
Zugriff deaktivieren
Regel entfernen
Konto sperren
Logs prüfen
Dokumentation aktualisieren
Merksatz:
Temporärer Zugriff darf nicht dauerhaft bleiben.
---
**Offboarding**
Offboarding bedeutet:
Zugriffe bei Austritt oder Rollenwechsel entfernen.
Beim VPN wichtig:
Konto deaktivieren
Gruppenmitgliedschaft entfernen
Zertifikate widerrufen
Tokens sperren
Gerätezugriff entziehen
Dienstleisterzugänge prüfen
Dokumentation aktualisieren
Merksatz:
Wer nicht mehr berechtigt ist,
darf keinen VPN-Zugang behalten.
---
**Gerätesicherheit beim VPN**
Ein VPN-Client ist ein Einstiegspunkt ins interne Netz.
Deshalb sollte das Gerät sicher sein.
Wichtige Anforderungen:
aktuelles Betriebssystem
aktuelle Sicherheitsupdates
Schutzsoftware
Festplattenverschlüsselung
Bildschirmsperre
kein lokaler Admin für Alltagsnutzer
sichere Konfiguration
MDM oder Gerätemanagement
keine Malware
Merksatz:
Unsicheres Gerät plus VPN ist gefährlich.
---
**Managed Device**
Ein Managed Device ist ein verwaltetes Gerät.
Das Unternehmen kann Vorgaben prüfen und durchsetzen.
Beispiele:
Updates
Verschlüsselung
Gerätesperre
Zertifikate
VPN-Profil
Sicherheitsrichtlinien
Softwarestand
Remote Wipe bei Verlust
Merksatz:
Verwaltete Geräte sind für VPN-Zugänge besser kontrollierbar.
---
**BYOD und VPN**
BYOD steht für:
Bring Your Own Device
Dabei nutzt ein Benutzer ein privates Gerät beruflich.
Bei VPN ist das riskant,
wenn das private Gerät nicht kontrolliert wird.
Fragen:
Ist das Gerät aktuell?
Ist es verschlüsselt?
Ist es kompromittiert?
Gibt es MDM?
Sind Firmen- und Privatdaten getrennt?
Kann Zugriff bei Verlust entzogen werden?
Merksatz:
BYOD-VPN braucht klare Regeln und technische Kontrolle.
---
**Geräteprüfung vor VPN-Zugang**
Manche Umgebungen prüfen Geräte vor dem Zugriff.
Prüfkriterien:
aktueller Patchstand
aktivierte Festplattenverschlüsselung
aktive Schutzsoftware
Gerätezertifikat vorhanden
nicht gerootet oder jailbroken
MDM-konform
sichere Bildschirmperre
Merksatz:
Nicht jedes Gerät sollte automatisch VPN-Zugang bekommen.
---
**Posture Check**
Posture Check bedeutet:
Der Sicherheitszustand eines Geräts wird geprüft.
Beispiele:
Ist Antivirus aktiv?
Ist das Betriebssystem aktuell?
Ist die Festplatte verschlüsselt?
Ist das Gerät verwaltet?
Ist ein Zertifikat vorhanden?
Merksatz:
Posture Check prüft,
ob ein Gerät sicher genug für Zugriff ist.
---
**VPN und Malware**
Wenn ein Gerät mit Malware infiziert ist,
kann VPN gefährlich werden.
Risiken:
Malware erreicht interne Systeme.
Zugangsdaten werden abgegriffen.
interne Server werden gescannt.
Daten werden exfiltriert.
Ransomware breitet sich aus.
Schutz:
Endgeräteschutz
EDR
Segmentierung
Least Privilege
Monitoring
keine pauschalen Freigaben
Merksatz:
VPN kann Malware einen Weg ins interne Netz geben,
wenn Zugriffe zu breit sind.
---
**VPN und Phishing**
Angreifer versuchen oft,
VPN-Zugangsdaten zu stehlen.
Typische Methoden:
gefälschte Loginseiten
gefälschte Support-Mails
MFA-Abfragen auslösen
Passwort-Wiederverwendung ausnutzen
Schadsoftware auf Endgerät
Schutz:
MFA
Schulung
Passwortmanager
Zertifikate
verdächtige Logins erkennen
klare Meldewege
Merksatz:
VPN-Zugangsdaten sind ein attraktives Angriffsziel.
---
**VPN und Brute Force**
Brute Force bedeutet:
Angreifer probieren viele Zugangsdaten aus.
Schutzmaßnahmen:
MFA
Account Lockout
Rate Limiting
starke Passwörter
keine Standardkonten
Geoblocking bei Bedarf
Monitoring
Alarmierung
Merksatz:
VPN-Loginversuche müssen überwacht und begrenzt werden.
---
**VPN und Passwort-Wiederverwendung**
Wenn Benutzer dasselbe Passwort bei mehreren Diensten verwenden,
kann ein fremder Datenabfluss zum VPN-Risiko werden.
Beispiel:
Passwort aus privatem Dienst wird geleakt.
Angreifer probiert es am VPN-Portal.
Login funktioniert.
Schutz:
Passwortmanager
eindeutige Passwörter
MFA
Leak-Erkennung
Schulung
Merksatz:
Wiederverwendete Passwörter gefährden VPN-Zugänge.
---
**VPN und Logging**
VPN-Zugriffe sollten protokolliert werden.
Wichtige Informationen:
Benutzer
Gerät
Quell-IP
Zeitpunkt
VPN-IP
Verbindungsdauer
MFA-Ergebnis
zugewiesene Gruppe
Fehlergrund
getrennte Verbindung
Zielzugriffe je nach System
Merksatz:
VPN-Logs ermöglichen Nachvollziehbarkeit.
---
**VPN und Alarmierung**
Bestimmte VPN-Ereignisse sollten Alarm auslösen.
Beispiele:
viele fehlgeschlagene Logins
Login aus ungewöhnlichem Land
Admin-VPN außerhalb Arbeitszeit
neues Gerät
abgelaufenes Zertifikat
Dienstleisterzugang außerhalb Zeitfenster
ungewöhnlich lange Verbindung
ungewöhnlich hoher Datenverkehr
Merksatz:
Kritische VPN-Ereignisse sollten nicht unbemerkt bleiben.
---
**VPN und Monitoring**
VPN-Infrastruktur sollte überwacht werden.
Wichtige Werte:
Tunnelstatus
aktive Benutzer
CPU des Gateways
RAM
Bandbreite
Paketverlust
Latenz
Fehlversuche
Zertifikatsablauf
Lizenzgrenzen
Verbindungsabbrüche
Merksatz:
VPN ist kritische Infrastruktur und gehört ins Monitoring.
---
**VPN und Protokollierung von Adminaktionen**
Bei Admin-VPN reicht oft nicht nur der Login.
Zusätzlich wichtig:
Welche Systeme wurden verwaltet?
Welche Änderungen wurden durchgeführt?
Welche Befehle wurden ausgeführt?
Welche Tickets gehören dazu?
Wer hat die Änderung freigegeben?
Je nach Umgebung werden dafür Bastion Hosts,
Jump Server
oder Session Recording genutzt.
Merksatz:
Adminzugriffe müssen besonders nachvollziehbar sein.
---
**Bastion Host**
Ein Bastion Host ist ein besonders gehärteter Zwischenserver für administrative Zugriffe.
Ablauf:
Admin verbindet sich per VPN.
Admin verbindet sich auf Bastion Host.
Von dort geht es zu Zielsystemen.
Vorteile:
zentraler Kontrollpunkt
bessere Protokollierung
weniger direkte Zugriffe
klare Zugriffspfade
Merksatz:
Bastion Host bündelt und kontrolliert Adminzugriffe.
---
**Jump Server**
Jump Server ist ein ähnlicher Begriff wie Bastion Host.
Er dient als Sprungpunkt in geschützte Netze.
Beispiele:
Zugriff auf Servernetz
Zugriff auf Managementnetz
Zugriff auf OT-Netz
Zugriff auf Cloud-Adminsysteme
Merksatz:
Jump Server verhindert direkte Adminzugriffe von beliebigen Clients.
---
**VPN und Managementnetz**
Managementnetze enthalten besonders kritische Systeme.
Beispiele:
Switch-Verwaltung
Firewall-Verwaltung
Hypervisor
Backup-System
Monitoring
Storage-System
Domain Controller
Admin-Portale
VPN-Zugriff auf Managementnetze sollte nur für berechtigte Admins erlaubt sein.
Merksatz:
Managementnetz niemals breit per VPN freigeben.
---
**VPN und DMZ**
Ein VPN-Gateway kann in einer DMZ stehen.
Grund:
Es ist von außen erreichbar.
Nach erfolgreicher Anmeldung wird der Verkehr kontrolliert weitergeleitet.
Wichtig:
DMZ vom LAN trennen
nur notwendige Regeln
Gateway härten
Logs prüfen
Updates durchführen
Monitoring aktivieren
Merksatz:
VPN-Gateway von außen erreichbar,
LAN-Zugriff danach streng regeln.
---
**VPN und Patchmanagement**
VPN-Systeme müssen aktuell gehalten werden.
Wichtig:
VPN-Gateway patchen
VPN-Client aktualisieren
Betriebssystem aktualisieren
Bibliotheken aktualisieren
alte Protokolle deaktivieren
bekannte Schwachstellen beachten
Merksatz:
VPN-Systeme sind internetnah und müssen aktuell bleiben.
---
**VPN und Hardening**
Hardening bedeutet:
System sicher konfigurieren und unnötige Angriffsfläche reduzieren.
Beim VPN:
nur notwendige Protokolle aktivieren
starke Kryptografie
alte Verfahren deaktivieren
Adminzugänge begrenzen
Logs aktivieren
MFA erzwingen
Standardkonten entfernen
sichere TLS-Konfiguration
regelmäßige Prüfung
Merksatz:
Hardening verringert die Angriffsfläche.
---
**VPN und Backup der Konfiguration**
VPN-Konfigurationen sollten gesichert werden.
Warum?
Wiederherstellung nach Ausfall
Fehlkonfiguration rückgängig machen
Migration
Vergleich nach Änderungen
Disaster Recovery
Wichtig:
Backups sicher speichern,
weil sie sensible Informationen enthalten können.
Merksatz:
VPN-Konfigurationsbackup sicher aufbewahren.
---
**VPN und Änderungsmanagement**
VPN-Änderungen sollten kontrolliert durchgeführt werden.
Beispiele für Änderungen:
neue Firewall-Regel
neue VPN-Gruppe
neuer Dienstleisterzugang
Zertifikat erneuern
Protokoll wechseln
Gateway aktualisieren
neue Route hinzufügen
Wichtig:
Zweck dokumentieren
Test durchführen
Rollback planen
Verantwortlichen nennen
Ticket oder Änderungsnachweis erfassen
Merksatz:
VPN-Änderungen brauchen Dokumentation und Rückweg.
---
**Typische VPN-Sicherheitsfehler**
Häufige Fehler:
- VPN ohne MFA
- gemeinsame Konten
- zu breite Firewall-Regeln
- VPN → LAN any allow
- Adminzugriff ohne Trennung
- Dienstleisterzugang dauerhaft aktiv
- alte VPN-Protokolle
- schwache PSKs
- fehlende Logs
- keine Alarmierung
- unsichere Endgeräte
- keine Zertifikatsprüfung
- veraltete VPN-Gateways
- fehlendes Offboarding
Merksatz:
Die meisten VPN-Risiken entstehen durch zu breite oder schlecht kontrollierte Zugriffe.
---
**Sichere VPN-Grundregeln**
1. MFA aktivieren.
2. Eigene Konten pro Benutzer nutzen.
3. Keine Sammelkonten verwenden.
4. Rollenmodell erstellen.
5. VPN-Zonen nutzen.
6. Firewall-Regeln eng setzen.
7. Dienstleisterzugriffe zeitlich begrenzen.
8. Adminzugänge trennen.
9. Geräte prüfen.
10. Logs und Monitoring aktivieren.
11. Alte Protokolle deaktivieren.
12. Zertifikate verwalten.
13. Offboarding durchführen.
14. Änderungen dokumentieren.
Merksatz:
VPN-Sicherheit entsteht durch Technik,
Prozesse
und klare Rechte.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Warum ist VPN allein kein vollständiges Sicherheitskonzept?
- Warum sollte VPN mit MFA abgesichert werden?
- Was ist der Unterschied zwischen Authentifizierung und Autorisierung?
- Warum sind Sammelkonten problematisch?
- Warum sollte VPN-Zugriff nach Rollen begrenzt werden?
- Was bedeutet Least Privilege beim VPN?
- Warum sind Dienstleisterzugänge besonders kritisch?
- Was ist ein Bastion Host?
- Was ist ein Jump Server?
- Warum ist Gerätesicherheit beim VPN wichtig?
- Was ist ein Posture Check?
- Warum sind VPN-Logs wichtig?
- Welche Ereignisse sollten bei VPN alarmiert werden?
- Warum muss ein VPN-Gateway gepatcht werden?
- Welche typischen VPN-Sicherheitsfehler gibt es?
---
**Typische Prüfungsfallen**
VPN ist nicht automatisch sicher,
nur weil es verschlüsselt.
VPN schützt den Tunnel,
aber nicht automatisch alle Zielsysteme.
VPN ersetzt keine Firewall-Regeln.
VPN ersetzt keine Benutzerrechte.
VPN ohne MFA ist riskant.
Authentifizierung ist nicht Autorisierung.
VPN verbunden heißt nicht:
alles erlaubt.
Sammelkonten sind schlecht nachvollziehbar.
Dienstleisterzugänge zeitlich begrenzen.
Adminzugänge getrennt behandeln.
Managementnetz besonders schützen.
BYOD braucht klare Regeln.
Unsichere Endgeräte sind Risiko.
Zertifikate brauchen Verwaltung und Widerruf.
VPN-Logs sind sicherheitsrelevant.
Monitoring erkennt ungewöhnliche Zugriffe.
Patchmanagement für VPN-Gateways ist kritisch.
Alte VPN-Protokolle vermeiden.
Least Privilege gilt auch im VPN.
Zero Trust kann breiten VPN-Zugriff reduzieren.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| Authentifizierung | Identität prüfen |
| Autorisierung | Rechte prüfen |
| MFA | Multi-Faktor-Authentifizierung |
| Clientzertifikat | Zertifikat für Benutzer oder Gerät |
| Serverzertifikat | Zertifikat des VPN-Gateways |
| Zertifikatswiderruf | Zertifikat für ungültig erklären |
| CRL | Zertifikatsperrliste |
| OCSP | Online-Prüfung von Zertifikatsstatus |
| Benutzergruppe | Gruppe zur Rechtevergabe |
| Rollenmodell | Zuordnung von Rollen zu Zugriffsrechten |
| Least Privilege | nur notwendige Rechte |
| Need to Know | Zugriff nur bei Bedarf |
| Zero Trust | kein automatisches Vertrauen |
| laterale Bewegung | Ausbreitung im internen Netz |
| Segmentierung | Trennung von Netzbereichen |
| VPN-Zone | eigene Sicherheitszone für VPN |
| BYOD | private Geräte im Unternehmenseinsatz |
| Managed Device | verwaltetes Gerät |
| Posture Check | Prüfung des Gerätezustands |
| Bastion Host | gehärteter Zwischenserver |
| Jump Server | Sprungserver für Adminzugriffe |
| Hardening | sichere Systemkonfiguration |
| Offboarding | Entfernen nicht mehr nötiger Zugriffe |
| Sammelkonto | gemeinsam genutztes Benutzerkonto |
---
**IHK-sichere Kurzformulierung**
Ein VPN stellt einen geschützten Tunnel bereit, ist aber allein kein vollständiges Sicherheitskonzept. VPN-Zugriffe müssen durch starke Authentifizierung, möglichst MFA, Zertifikate, Benutzergruppen, Rollenmodelle, Firewall-Regeln, Least Privilege, Gerätesicherheit, Logging und Monitoring abgesichert werden. Authentifizierung prüft die Identität eines Benutzers oder Geräts, während Autorisierung festlegt, welche Ressourcen genutzt werden dürfen. Externe Dienstleister und Administratoren benötigen besonders streng begrenzte und nachvollziehbare Zugänge. Sammelkonten, pauschale LAN-Freigaben, fehlende MFA, veraltete VPN-Protokolle und unsichere Endgeräte sind typische Sicherheitsrisiken.
---
**Merksätze**
VPN ist ein Zugang ins Netz.
VPN allein ist kein vollständiges Sicherheitskonzept.
VPN schützt den Tunnel,
nicht automatisch alle Ziele.
Authentifizierung = Wer bist du?
Autorisierung = Was darfst du?
MFA schützt VPN-Zugänge deutlich besser.
MFA ist wichtig,
aber nicht unfehlbar.
Zertifikate binden Zugriff an Identität oder Gerät.
Privater Schlüssel muss geschützt werden.
Zertifikate müssen widerrufen werden können.
Gruppen steuern VPN-Zugriff.
Rollenmodell verhindert Pauschalfreigaben.
Least Privilege gilt auch im VPN.
Need to Know begrenzt Informationszugriff.
Zero Trust vertraut nicht automatisch.
Laterale Bewegung verhindern.
Segmentierung begrenzt Schäden.
VPN-Zonen trennen Zugriffe.
Admin-VPN besonders schützen.
Dienstleister-VPN zeitlich begrenzen.
Sammelkonten vermeiden.
Offboarding konsequent durchführen.
Unsichere Endgeräte sind Risiko.
BYOD braucht klare Regeln.
Posture Check prüft Gerätesicherheit.
Malware auf VPN-Client gefährdet interne Systeme.
VPN-Logins überwachen.
Auffällige VPN-Ereignisse alarmieren.
Bastion Host bündelt Adminzugriffe.
Managementnetz niemals breit freigeben.
VPN-Gateway patchen.
Hardening reduziert Angriffsfläche.
VPN-Änderungen dokumentieren.
# 14.6
**VPN-Fehlersuche in der Praxis**
VPN-Probleme wirken oft so,
als wäre „das Netzwerk kaputt“.
Tatsächlich können VPN-Fehler an vielen Stellen entstehen:
- Internetverbindung
- VPN-Client
- VPN-Gateway
- Benutzeranmeldung
- MFA
- Zertifikat
- Routing
- DNS
- Firewall
- NAT
- Zielsystem
- Host-Firewall
- Berechtigungen
- MTU
- Performance
Merksatz:
VPN-Fehlersuche ist nie nur Tunnelprüfung.
---
**Grundidee der VPN-Fehlersuche**
Ein VPN-Zugriff besteht aus mehreren Schritten.
Vereinfacht:
1. Client erreicht VPN-Gateway.
2. Benutzer oder Gerät authentifiziert sich.
3. Tunnel wird aufgebaut.
4. Client erhält VPN-Konfiguration.
5. Routen werden gesetzt.
6. DNS wird gesetzt.
7. Firewall erlaubt Zugriff.
8. Zielsystem antwortet.
9. Anwendung erlaubt Zugriff.
Wenn ein Schritt fehlschlägt,
funktioniert der Zugriff nicht vollständig.
Merksatz:
VPN funktioniert nur,
wenn alle Schritte der Zugriffskette passen.
---
**VPN-Fehlersuche nach Fehlerbild**
Wichtige erste Frage:
Was genau funktioniert nicht?
Typische Fehlerbilder:
VPN verbindet gar nicht.
VPN verbindet,
aber interne IPs gehen nicht.
VPN verbindet,
aber interne Namen gehen nicht.
VPN verbindet,
aber nur bestimmte Dienste gehen nicht.
VPN verbindet,
aber Zugriff ist langsam.
VPN verbindet,
aber bricht ab.
VPN funktioniert nur für manche Benutzer.
VPN funktioniert nur aus manchen Netzen.
Merksatz:
Das Fehlerbild entscheidet,
wo man zuerst sucht.
---
**Fehlerbild 1: VPN verbindet gar nicht**
Wenn VPN gar nicht verbindet,
liegt der Fehler vor oder während des Tunnelaufbaus.
Mögliche Ursachen:
falsche VPN-Serveradresse
Internetverbindung gestört
VPN-Gateway nicht erreichbar
Port oder Protokoll blockiert
Benutzername falsch
Passwort falsch
Konto gesperrt
MFA schlägt fehl
Zertifikat ungültig
Clientversion veraltet
Lizenzproblem
VPN-Dienst auf Gateway gestoppt
Merksatz:
Wenn VPN nicht verbindet,
zuerst Erreichbarkeit,
Anmeldung,
MFA
und Zertifikate prüfen.
---
**Prüfung: Ist das VPN-Gateway erreichbar?**
Vor der VPN-Anmeldung muss der Client das Gateway erreichen.
Prüfen:
DNS-Name des VPN-Gateways korrekt?
öffentliche IP erreichbar?
richtiger Port offen?
TCP oder UDP korrekt?
Firewall oder Provider blockiert?
Gateway online?
Wartungsfenster aktiv?
Zertifikat gültig?
Typische Fehler:
falscher Hostname
alte öffentliche IP
DNS zeigt auf falsches Ziel
Port am Gateway nicht offen
UDP im fremden Netz blockiert
Merksatz:
Ohne erreichbares Gateway kein VPN-Tunnel.
---
**Prüfung: DNS-Name des VPN-Gateways**
Viele VPN-Clients verbinden sich zu einem Namen.
Beispiel:
vpn.firma.de
Wenn dieser Name falsch auflöst,
verbindet sich der Client zum falschen Ziel oder gar nicht.
Prüfen:
liefert DNS die richtige öffentliche IP?
gibt es alte DNS-Einträge?
ist der DNS-Cache veraltet?
funktioniert Auflösung intern und extern gleich?
wird IPv4 oder IPv6 verwendet?
Merksatz:
VPN-Gateway-Namen immer aus Sicht des Clients prüfen.
---
**Prüfung: Port und Protokoll**
Je nach VPN-Protokoll müssen andere Ports oder Protokolle erreichbar sein.
Beispiele:
| VPN-Technik | häufig relevant |
|---|---|
| IPsec IKE | UDP 500 |
| IPsec NAT-T | UDP 4500 |
| IPsec ESP | IP-Protokoll 50 |
| OpenVPN | häufig UDP 1194 oder konfiguriert |
| WireGuard | häufig UDP 51820 |
| TLS-VPN | häufig TCP 443 |
Wichtig:
UDP und TCP nicht verwechseln.
Merksatz:
VPN-Fehlersuche braucht Kenntnis von Port und Protokoll.
---
**Fehlerbild 2: Anmeldung schlägt fehl**
Wenn das Gateway erreichbar ist,
aber die Anmeldung fehlschlägt,
liegt der Fehler eher bei Identität oder Richtlinie.
Mögliche Ursachen:
Benutzername falsch
Passwort falsch
Konto gesperrt
Konto deaktiviert
Passwort abgelaufen
MFA nicht bestätigt
MFA nicht eingerichtet
Benutzer nicht in VPN-Gruppe
Login nur von verwaltetem Gerät erlaubt
Conditional Access blockiert
Zertifikat fehlt oder ungültig
Zeitabweichung
Merksatz:
Anmeldefehler sind meistens Authentifizierung oder Zugriffsrichtlinie.
---
**Authentifizierung und Autorisierung trennen**
Authentifizierung:
Wer bist du?
Autorisierung:
Was darfst du?
Beispiel:
Benutzer meldet sich korrekt an,
ist aber nicht in der VPN-Gruppe.
Dann ist die Identität korrekt,
aber der VPN-Zugriff nicht erlaubt.
Merksatz:
Erfolgreiche Anmeldung heißt nicht automatisch:
VPN-Zugriff erlaubt.
---
**Fehlerbild 3: MFA schlägt fehl**
Mögliche Ursachen:
Benutzer bestätigt nicht
falsches Gerät registriert
Authenticator-App nicht eingerichtet
Uhrzeit falsch
Push-Anfrage kommt nicht an
Benutzer ist gesperrt
Richtlinie verlangt anderen Faktor
Number Matching falsch
Angreifer löst Push-Fatigue aus
Prüfen:
MFA-Log
Benutzerstatus
registrierte Faktoren
Uhrzeit
Richtlinie
Fehlermeldung
Merksatz:
MFA-Probleme immer mit Authentifizierungslogs prüfen.
---
**Fehlerbild 4: Zertifikatsfehler**
VPN-Zertifikate können auf Client- oder Serverseite Probleme verursachen.
Mögliche Ursachen:
Serverzertifikat abgelaufen
Clientzertifikat abgelaufen
Zertifikatskette unvollständig
CA nicht vertrauenswürdig
Name passt nicht
Zertifikat widerrufen
privater Schlüssel fehlt
falsches Zertifikat ausgewählt
Systemzeit falsch
Merksatz:
Zertifikatsfehler mit Name,
Gültigkeit,
CA,
Schlüssel
und Zeit prüfen.
---
**Fehlerbild 5: VPN verbindet, aber interne IPs gehen nicht**
Wenn VPN verbunden ist,
aber interne IP-Adressen nicht erreichbar sind,
liegt der Fehler meist nach dem Tunnelaufbau.
Mögliche Ursachen:
Route zum Zielnetz fehlt
Rückroute fehlt
Firewall-Regel fehlt
Zielsystem offline
Host-Firewall blockiert
VPN-Gruppe darf Ziel nicht erreichen
Adresskonflikt mit Heimnetz
NAT falsch
falscher VPN-Adresspool
falsches Zielnetz
Merksatz:
VPN verbunden,
aber IP nicht erreichbar:
Route,
Firewall,
Rückweg
und Zielsystem prüfen.
---
**Prüfung: VPN-IP erhalten?**
Ein VPN-Client bekommt häufig eine Adresse aus einem VPN-Adresspool.
Beispiel:
VPN-IP:
10.8.0.25
Prüfen:
Hat der Client eine VPN-IP bekommen?
Liegt sie im richtigen Pool?
Passt der Pool zur Benutzergruppe?
Gibt es doppelte Adressen?
Ist der Pool voll?
Wird die IP in Logs angezeigt?
Merksatz:
Ohne korrekte VPN-IP können Regeln und Routen nicht passen.
---
**Prüfung: Route zum Zielnetz**
Der Client braucht eine Route zum internen Zielnetz.
Beispiel:
Zielnetz:
192.168.20.0/24
Route:
über VPN-Tunnel
Fehlt diese Route,
sendet der Client Pakete nicht durch VPN.
Merksatz:
Route zum Zielnetz ist Pflicht.
---
**Prüfung: Rückroute**
Das Zielsystem oder dessen Gateway muss wissen,
wie es zum VPN-Client zurückkommt.
Beispiel:
VPN-Pool:
10.8.0.0/24
Servernetz:
192.168.20.0/24
Das Servernetz braucht einen Rückweg zu:
10.8.0.0/24
Merksatz:
Ohne Rückroute sieht der Client keine Antwort.
---
**Prüfung: Firewall zwischen VPN und Ziel**
Auf dem Weg können mehrere Firewalls beteiligt sein.
Beispiele:
VPN-Gateway-Firewall
Core-Firewall
Servernetz-Firewall
Host-Firewall auf dem Zielsystem
Prüfen:
Quelle ist VPN-Pool?
Ziel ist korrekt?
Port ist korrekt?
TCP oder UDP korrekt?
Benutzergruppe korrekt?
Richtung korrekt?
Logs zeigen Allow oder Deny?
NAT verändert Quelle oder Ziel?
Merksatz:
Alle Filterstellen auf dem Weg prüfen.
---
**Prüfung: Host-Firewall**
Auch wenn das Netz den Zugriff erlaubt,
kann das Zielsystem blockieren.
Beispiele:
Windows Firewall erlaubt RDP nur aus lokalem Subnetz.
Linux-Firewall erlaubt SSH nur aus Adminnetz.
Dienst erlaubt keine VPN-Quelladressen.
Merksatz:
Zielsystem-Firewall ist Teil der VPN-Fehlersuche.
---
**Fehlerbild 6: VPN verbindet, aber interne Namen gehen nicht**
Wenn IP-Adressen funktionieren,
aber Namen nicht,
ist DNS sehr wahrscheinlich betroffen.
Mögliche Ursachen:
interner DNS wird nicht gesetzt
DNS-Suffix fehlt
Split DNS falsch
DNS-Anfragen gehen lokal raus
DNS-Server über VPN nicht erreichbar
Firewall blockiert UDP/TCP 53
falscher DNS-Record
DNS-Cache veraltet
IPv6-Antwort zeigt falschen Weg
Merksatz:
IP geht,
Name nicht:
DNS prüfen.
---
**Prüfung: DNS aus Sicht des VPN-Clients**
Wichtig ist nicht,
was der Administrator auf dem Server sieht.
Wichtig ist:
Was sieht der VPN-Client?
Prüfen:
Welche DNS-Server nutzt der Client?
Welche Suchdomäne ist gesetzt?
Wird Split DNS verwendet?
Welche Antwort liefert DNS?
Wird A oder AAAA genutzt?
Ist der interne DNS erreichbar?
Gibt es DNS-Leaks?
Merksatz:
DNS immer dort prüfen,
wo der Fehler auftritt.
---
**Fehlerbild 7: Nur bestimmte Dienste gehen nicht**
Wenn nur ein Dienst nicht funktioniert,
ist der VPN-Tunnel wahrscheinlich grundsätzlich aktiv.
Beispiele:
Intranet geht,
aber RDP nicht.
DNS geht,
aber SMB nicht.
Ping geht,
aber HTTPS nicht.
Mögliche Ursachen:
Port nicht erlaubt
Dienst läuft nicht
Host-Firewall blockiert
Benutzer nicht berechtigt
Anwendung lehnt VPN-Quelle ab
Zertifikat oder TLS-Problem
falscher Port
falsches Protokoll
Merksatz:
Ein Dienst betroffen:
Port,
Dienst,
Berechtigung
und Anwendung prüfen.
---
**Dienstprüfung über VPN**
Bei einem einzelnen Dienst prüft man:
Zielname korrekt?
Ziel-IP korrekt?
Port korrekt?
TCP oder UDP?
Dienst lauscht?
Firewall erlaubt?
Host-Firewall erlaubt?
Anwendung antwortet?
Benutzer berechtigt?
Logs vorhanden?
Merksatz:
Dienstprüfung ist mehr als Ping.
---
**Fehlerbild 8: VPN funktioniert nur für manche Benutzer**
Wenn der Zugriff nur bei bestimmten Benutzern funktioniert,
liegt der Fehler häufig bei Gruppen,
Rollen
oder Profilen.
Mögliche Ursachen:
falsche VPN-Gruppe
Benutzer nicht berechtigt
andere Routen
andere DNS-Einstellungen
andere Firewall-Regeln
anderes VPN-Profil
MFA-Richtlinie unterschiedlich
Gerätestatus unterschiedlich
Konto gesperrt
Rolle fehlt
Merksatz:
Manche Benutzer betroffen:
Gruppen,
Profile
und Rechte vergleichen.
---
**Vergleichsmethode bei Benutzerproblemen**
Vergleiche:
funktionierender Benutzer
mit
fehlerhaftem Benutzer
Prüfen:
gleiche Gruppe?
gleiches VPN-Profil?
gleiche Routen?
gleiche DNS-Server?
gleiche Firewall-Zone?
gleiche MFA-Richtlinie?
gleiches Endgerät?
gleiche Zielrechte?
Merksatz:
Vergleich zeigt,
was beim fehlerhaften Benutzer anders ist.
---
**Fehlerbild 9: VPN funktioniert nur aus manchen Netzen**
Wenn VPN aus einem Heimnetz funktioniert,
aus einem anderen aber nicht,
liegt der Fehler oft außerhalb der Firma.
Mögliche Ursachen:
lokales Heimnetz überschneidet sich
lokaler Router blockiert VPN
Hotel-WLAN blockiert UDP
Mobilfunk nutzt CGNAT
Provider blockiert Ports
DNS im Fremdnetz fehlerhaft
IPv6 nimmt anderen Weg
restriktives Gastnetz
captive portal aktiv
Merksatz:
Fremde Netze können VPN-Protokolle blockieren oder stören.
---
**Adresskonflikt mit Heimnetz erkennen**
Typisches Problem:
Heimnetz:
192.168.1.0/24
Firmennetz:
192.168.1.0/24
Symptom:
VPN verbunden,
aber Ziel im Firmennetz nicht erreichbar.
Ursache:
Client hält Ziel für lokal
und sendet nicht durch den Tunnel.
Merksatz:
Gleiche Netze auf beiden Seiten sind ein klassischer VPN-Fehler.
---
**Fehlerbild 10: VPN langsam**
VPN-Langsamkeit kann viele Ursachen haben.
Mögliche Ursachen:
hohe Latenz
Paketverlust
schlechte WLAN-Verbindung
Full Tunnel überlastet
VPN-Gateway ausgelastet
zentrale Internetleitung ausgelastet
MTU-Problem
TCP-over-TCP
Proxy langsam
schwacher Client
Server langsam
Datenbank langsam
Merksatz:
Langsam ist nicht gleich nicht erreichbar.
---
**Performance prüfen**
Bei VPN-Performance prüft man:
Latenz
Paketverlust
Bandbreite
Auslastung des Gateways
Auslastung des Clients
WLAN-Qualität
MTU
Tunnelart
Full Tunnel oder Split Tunnel
Zielserver
Anwendung
Tageszeit
Merksatz:
VPN-Performance braucht Messwerte,
nicht Bauchgefühl.
---
**Fehlerbild 11: VPN bricht ab**
Mögliche Ursachen:
instabile Internetverbindung
WLAN-Roaming
Mobilfunkwechsel
NAT-Timeout
Firewall-Timeout
VPN-Clientfehler
Token läuft ab
Zertifikat läuft ab
Gateway überlastet
Energiesparmodus
MTU-Problem
Keepalive fehlt
Merksatz:
VPN-Abbrüche mit Zeitbezug,
Logs
und Verbindungsmessung prüfen.
---
**MTU-Probleme bei VPN**
VPN fügt zusätzliche Header hinzu.
Dadurch kann die effektive Paketgröße sinken.
Typische Symptome:
kleine Webseiten gehen
große Webseiten hängen
Downloads brechen ab
VPN wirkt instabil
RDP friert ein
SSH hängt bei viel Ausgabe
große Dateiübertragung bricht ab
Merksatz:
Kleine Daten gehen,
große nicht:
MTU prüfen.
---
**TCP-over-TCP bei VPN**
Wenn ein VPN über TCP läuft
und darin TCP-Verkehr transportiert wird,
kann Performance schlechter werden.
Besonders bei Paketverlust stören sich die Steuerungsmechanismen.
Typisch:
langsame Dateiübertragung
stockende Verbindungen
hohe Latenz
Wiederholungen
Merksatz:
TCP im TCP-Tunnel kann bremsen.
---
**NAT-Timeout**
Viele Router und Firewalls löschen inaktive NAT-Zuordnungen nach einiger Zeit.
Folge:
VPN-Verbindung wirkt verbunden,
aber Daten fließen nicht mehr.
Oder:
Tunnel bricht ab.
Lösungsideen:
Keepalive
passende Timeout-Werte
stabile Verbindung
geeignete VPN-Konfiguration
Merksatz:
NAT-Timeout kann VPN-Verbindungen still abbrechen lassen.
---
**VPN-Logs richtig auswerten**
VPN-Logs können zeigen:
Verbindungsversuch
Benutzer
Quell-IP
Gateway
Authentifizierung
MFA-Ergebnis
Zertifikatsprüfung
zugewiesene IP
zugewiesene Gruppe
Routen
Trennungsgrund
Fehlercode
Phase-1- oder Phase-2-Fehler bei IPsec
Merksatz:
VPN-Logs zeigen,
an welchem Schritt die Verbindung scheitert.
---
**Client-Logs**
VPN-Client-Logs sind wichtig,
weil der Client oft mehr Details zum Fehler sieht.
Sie zeigen zum Beispiel:
DNS-Auflösung des Gateways
Verbindungsversuch
Zertifikatsfehler
Authentifizierungsfehler
gesetzte Routen
gesetzte DNS-Server
Tunnelstatus
Abbruchgrund
Merksatz:
Client-Logs zeigen die Sicht des Endgeräts.
---
**Gateway-Logs**
VPN-Gateway-Logs zeigen die Sicht der Gegenstelle.
Sie zeigen zum Beispiel:
kommt der Client an?
wird Benutzer erkannt?
schlägt MFA fehl?
wird Zertifikat akzeptiert?
wird eine VPN-IP vergeben?
welche Gruppe wird angewendet?
welche Richtlinie greift?
warum wird Verbindung getrennt?
Merksatz:
Gateway-Logs zeigen,
was das VPN-System entschieden hat.
---
**Firewall-Logs bei VPN**
Firewall-Logs helfen nach dem Tunnelaufbau.
Sie zeigen:
Quelle aus VPN-Pool
Zielsystem
Port
Protokoll
erlaubte Verbindung
blockierte Verbindung
Regelname
Zone
NAT
Rückverkehr
Merksatz:
Firewall-Logs zeigen,
ob VPN-Verkehr wirklich erlaubt wird.
---
**Paketmitschnitt bei VPN**
Ein Paketmitschnitt kann helfen,
wenn Logs nicht ausreichen.
Mögliche Mitschnittorte:
VPN-Client
VPN-Gateway außen
VPN-Gateway innen
interne Firewall
Zielserver
Fragen:
sendet der Client?
kommt Verkehr am Gateway an?
verlässt Verkehr das Gateway intern?
kommt Verkehr am Ziel an?
antwortet das Ziel?
kommt Antwort zurück?
Merksatz:
Mehrere Mitschnittpunkte zeigen,
wo Pakete verschwinden.
---
**VPN-Fehlersuche nach OSI-Modell**
| Schicht | VPN-Prüfung |
|---:|---|
| 1 | Internetverbindung, WLAN, Kabel |
| 2 | lokales Netz, WLAN, VLAN |
| 3 | IP, Routing, VPN-Pool, Rückroute |
| 4 | TCP/UDP, Ports, Firewall |
| 5 | Session, Tunnelstabilität, Timeout |
| 6 | TLS, Zertifikate, Verschlüsselung |
| 7 | Login, MFA, DNS, Anwendung, Rechte |
Merksatz:
Auch VPN-Probleme lassen sich nach OSI eingrenzen.
---
**Praktische Prüfreihenfolge**
Eine gute Reihenfolge:
1. Fehlerbild genau aufnehmen.
2. VPN-Art und Protokoll bestimmen.
3. Client-Internet prüfen.
4. VPN-Gateway-Erreichbarkeit prüfen.
5. Authentifizierung und MFA prüfen.
6. Zertifikate prüfen.
7. VPN-IP prüfen.
8. Routen prüfen.
9. DNS prüfen.
10. Firewall-Regeln prüfen.
11. Zielsystem und Host-Firewall prüfen.
12. Logs vergleichen.
13. Performance und MTU prüfen.
14. Ergebnis dokumentieren.
Merksatz:
Erst Tunnel,
dann Route,
dann DNS,
dann Dienst.
---
**Checkliste: VPN verbindet nicht**
Gateway-Name korrekt?
Gateway-IP korrekt?
Internetverbindung vorhanden?
Port und Protokoll erreichbar?
VPN-Gateway online?
Benutzerkonto aktiv?
Passwort korrekt?
MFA erfolgreich?
Zertifikat gültig?
Clientversion passend?
Uhrzeit korrekt?
Logs geprüft?
Merksatz:
Bei Verbindungsfehlern vorne in der Kette suchen.
---
**Checkliste: VPN verbunden, aber kein Zugriff**
VPN-IP erhalten?
richtige Gruppe?
Route zum Zielnetz vorhanden?
Rückroute vorhanden?
DNS korrekt?
Firewall erlaubt?
Host-Firewall erlaubt?
Zielsystem online?
Dienst läuft?
Berechtigung vorhanden?
Logs geprüft?
Merksatz:
Bei Zugriffproblemen nach dem Tunnel suchen.
---
**Checkliste: VPN langsam**
Latenz gemessen?
Paketverlust gemessen?
Bandbreite geprüft?
WLAN geprüft?
Full Tunnel oder Split Tunnel?
Gateway ausgelastet?
Client ausgelastet?
MTU geprüft?
TCP-over-TCP möglich?
Zielserver langsam?
Anwendung langsam?
Tageszeit oder Lastspitzen?
Merksatz:
Langsamkeit mit Messwerten belegen.
---
**Checkliste: VPN bricht ab**
Abbruchzeitpunkt bekannt?
Client-Log geprüft?
Gateway-Log geprüft?
Internetverbindung stabil?
WLAN-Wechsel?
Mobilfunkwechsel?
NAT-Timeout?
Keepalive aktiv?
Zertifikat oder Token abgelaufen?
Gateway überlastet?
Energiesparmodus aktiv?
MTU-Problem möglich?
Merksatz:
Abbrüche brauchen Zeitbezug und Logs.
---
**Typische Prüfungsfragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Warum reicht ein verbundener VPN-Tunnel nicht aus?
- Welche Schritte prüft man bei VPN-Fehlersuche?
- Warum sind Routen bei VPN wichtig?
- Warum ist der Rückweg wichtig?
- Warum können interne Namen trotz VPN nicht funktionieren?
- Warum ist DNS bei VPN häufig eine Fehlerquelle?
- Warum kann ein Dienst trotz VPN-Verbindung nicht erreichbar sein?
- Warum können unterschiedliche Benutzer unterschiedliche VPN-Rechte haben?
- Warum verursachen gleiche Netze auf beiden Seiten Probleme?
- Was sind typische Ursachen für langsame VPN-Verbindungen?
- Warum können MTU-Probleme bei VPN auftreten?
- Welche Logs sind bei VPN wichtig?
- Wie hilft ein Paketmitschnitt bei VPN-Fehlern?
---
**Typische Prüfungsfallen**
VPN verbunden heißt nicht:
alles funktioniert.
VPN-Status grün heißt nicht:
Routen stimmen.
Login erfolgreich heißt nicht:
Zugriff erlaubt.
Authentifizierung ist nicht Autorisierung.
IP geht,
Name nicht:
DNS prüfen.
Ping geht,
Dienst nicht:
Port und Anwendung prüfen.
Ein Dienst betroffen:
nicht ganzes VPN kaputt.
Manche Benutzer betroffen:
Gruppen und Profile vergleichen.
Manche Heimnetze betroffen:
Adresskonflikt prüfen.
Gleiche Netze auf beiden Seiten sind problematisch.
Route zum Ziel reicht nicht,
Rückroute muss auch stimmen.
Host-Firewall kann blockieren.
DNS-Suffix und Split DNS beachten.
UDP und TCP nicht verwechseln.
MTU bei großen Datenproblemen prüfen.
VPN-Logs und Firewall-Logs gemeinsam auswerten.
Client-Sicht und Gateway-Sicht vergleichen.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| VPN-Fehlersuche | systematische Analyse von VPN-Problemen |
| VPN-Gateway | Gegenstelle für VPN-Verbindungen |
| VPN-Client | Endgerät oder Software des Benutzers |
| VPN-IP | Adresse aus dem VPN-Adresspool |
| VPN-Profil | Konfiguration für VPN-Zugriff |
| VPN-Gruppe | Gruppe zur Steuerung von Rechten |
| Route | Weg zu einem Zielnetz |
| Rückroute | Antwortweg zurück zum VPN-Client |
| Split DNS | getrennte DNS-Auflösung |
| DNS-Leak | DNS-Anfragen gehen falschen Weg |
| Host-Firewall | Firewall auf Zielsystem |
| MTU | maximale Paketgröße |
| NAT-Timeout | Ablauf einer NAT-Zuordnung |
| Keepalive | regelmäßiges Paket zum Offenhalten |
| Client-Log | Log aus Sicht des Endgeräts |
| Gateway-Log | Log aus Sicht des VPN-Systems |
| Firewall-Log | Log über erlaubten oder blockierten Verkehr |
| TCP-over-TCP | TCP-Verkehr in TCP-Tunnel |
| Adresskonflikt | gleiche Netze auf beiden Seiten |
---
**IHK-sichere Kurzformulierung**
Bei der VPN-Fehlersuche muss zuerst das genaue Fehlerbild bestimmt werden. Ein VPN kann bereits beim Verbindungsaufbau, bei der Authentifizierung, bei MFA, bei Zertifikaten, beim Routing, bei DNS, bei Firewall-Regeln, beim Rückweg, beim Zielsystem oder bei Berechtigungen scheitern. Ein verbundener VPN-Tunnel bedeutet nicht automatisch, dass interne Ressourcen erreichbar sind. Der Client benötigt eine gültige VPN-IP, passende Routen, interne DNS-Einstellungen und die nötigen Firewall- und Benutzerrechte. Bei Performanceproblemen sind Latenz, Paketverlust, Bandbreite, MTU, Full Tunnel, Gateway-Auslastung und Client-Verbindung zu prüfen. Logs auf Client, VPN-Gateway, Firewall und Zielsystem helfen, den Fehler einzugrenzen.
---
**Merksätze**
VPN-Fehlersuche ist mehr als Tunnelprüfung.
Erst Fehlerbild klären.
VPN-Art bestimmen.
VPN-Protokoll bestimmen.
Gateway muss erreichbar sein.
Port und Protokoll müssen passen.
UDP und TCP nicht verwechseln.
Authentifizierung prüft Identität.
Autorisierung prüft Rechte.
MFA-Logs bei MFA-Problemen prüfen.
Zertifikate mit Name,
CA,
Gültigkeit
und Zeit prüfen.
VPN-IP muss korrekt sein.
Route zum Zielnetz muss vorhanden sein.
Rückroute muss vorhanden sein.
Firewall-Regeln müssen VPN-Quelle erlauben.
Host-Firewall nicht vergessen.
IP geht,
Name nicht:
DNS prüfen.
Interne Namen brauchen internes DNS.
Nur ein Dienst betroffen:
Port,
Dienst
und Rechte prüfen.
Manche Benutzer betroffen:
Gruppen und Profile prüfen.
Manche Heimnetze betroffen:
Adresskonflikt prüfen.
VPN langsam:
Latenz,
Paketverlust,
MTU
und Auslastung prüfen.
VPN bricht ab:
Logs und Zeitbezug prüfen.
Client-Logs zeigen Endgerätesicht.
Gateway-Logs zeigen VPN-Systemsicht.
Firewall-Logs zeigen Zugriffspfad.
Paketmitschnitt zeigt,
wo Pakete verschwinden.
Erst Tunnel,
dann Route,
dann DNS,
dann Dienst.
# Neue Seite
**Merksätze und Prüfungswissen zu VPN, Intranet und Extranet**
Diese Seite fasst die wichtigsten Inhalte zu VPN,
Intranet,
Extranet,
VPN-Arten,
VPN-Protokollen,
Routing,
DNS,
Firewall-Regeln,
Sicherheit
und Fehlersuche zusammen.
Dieses Kapitel ist besonders prüfungsrelevant,
weil VPN nicht nur Verschlüsselung bedeutet,
sondern auch Routing,
Berechtigungen,
DNS,
Firewall,
Authentifizierung
und Sicherheit betrifft.
Merksatz:
VPN ist nicht nur ein Tunnel.
VPN ist ein Zugriffskonzept mit Technik,
Regeln
und Sicherheit.
---
**Grundbegriffe**
| Begriff | Bedeutung |
|---|---|
| Internet | öffentliches weltweites Netzwerk |
| Intranet | internes Netzwerk oder internes Portal einer Organisation |
| Extranet | kontrollierter Zugriff für externe Berechtigte |
| VPN | geschützter Tunnel über ein fremdes oder unsicheres Netz |
Merksatz:
Internet öffentlich.
Intranet intern.
Extranet kontrolliert extern.
VPN sicherer Tunnel.
---
**Intranet**
Ein Intranet ist ein internes Netzwerk oder internes Informationssystem.
Typische Inhalte:
internes Wiki
Mitarbeiterportal
Ticketsystem
Zeiterfassung
Dateiablage
interne Anwendungen
interne APIs
Monitoring
interne Dokumentation
Wichtig:
Ein Intranet ist nicht automatisch öffentlich erreichbar.
Merksatz:
Intranet nutzt oft Webtechnik,
ist aber intern beschränkt.
---
**Extranet**
Ein Extranet stellt ausgewählten externen Personen oder Organisationen kontrollierten Zugriff bereit.
Beispiele:
Lieferantenportal
Kundenportal
Partnerportal
Dienstleisterzugang
gemeinsamer Projektraum
Wartungszugang
Wichtig:
Externe bekommen nur Zugriff auf bestimmte Ressourcen,
nicht auf das ganze interne Netz.
Merksatz:
Extranet = ausgewählter externer Zugriff.
---
**VPN**
VPN steht für:
Virtual Private Network
Ein VPN baut über ein fremdes oder unsicheres Netz einen geschützten Tunnel auf.
Typische Zwecke:
Homeoffice
Standortvernetzung
Fernwartung
Zugriff auf interne Dienste
Cloud-Anbindung
Adminzugriff
Extranet-Zugriff
Merksatz:
VPN verbindet entfernte Benutzer oder Netze sicher mit geschützten Ressourcen.
---
**VPN-Tunnel**
Ein VPN-Tunnel transportiert Daten geschützt durch ein anderes Netz.
Dabei werden Daten:
eingepackt
verschlüsselt
übertragen
am Ziel wieder ausgepackt
Das nennt man:
Tunneling
Merksatz:
Tunneling bedeutet:
Daten werden in eine geschützte Verbindung eingepackt.
---
**VPN schützt nicht automatisch alles**
Ein VPN schützt vor allem den Übertragungsweg.
Es ersetzt nicht:
Firewall-Regeln
Benutzerrechte
MFA
Gerätesicherheit
Protokollierung
Segmentierung
Patchmanagement
Anwendungsberechtigungen
Merksatz:
VPN schützt den Tunnel,
aber nicht automatisch jedes Zielsystem.
---
**Remote-Access-VPN**
Remote-Access-VPN verbindet einzelne Benutzer mit internen Ressourcen.
Typische Beispiele:
Homeoffice-Mitarbeiter
Außendienst
Administrator
mobiler Benutzer
Support
Dienstleister
Merksatz:
Remote-Access-VPN = Benutzer verbindet sich aus der Ferne.
---
**Client-to-Site-VPN**
Client-to-Site-VPN ist praktisch eine andere Bezeichnung für Remote-Access-VPN.
Beispiel:
Notebook
→ VPN-Gateway
→ Firmennetz
Merksatz:
Client-to-Site verbindet einen einzelnen Client mit einem Netz.
---
**Site-to-Site-VPN**
Site-to-Site-VPN verbindet ganze Netzwerke miteinander.
Beispiele:
Hauptstandort ↔ Niederlassung
Firma ↔ Rechenzentrum
Firma ↔ Cloud-Netz
Unternehmen ↔ Partnernetz
Merksatz:
Site-to-Site-VPN = Netz verbindet sich mit Netz.
---
**Remote-Access und Site-to-Site unterscheiden**
| Merkmal | Remote-Access-VPN | Site-to-Site-VPN |
|---|---|---|
| verbindet | einzelner Benutzer | ganze Netze |
| Endpunkte | Client und Gateway | Gateway und Gateway |
| typischer Zweck | Homeoffice | Standortvernetzung |
| Steuerung | Benutzer, Gruppen, Profile | Netze, Routen, Firewall |
| Fehlerquellen | Client, MFA, DNS, Routen | Phase 1/2, Routing, Netze, Firewall |
Merksatz:
Remote-Access ist benutzerbezogen.
Site-to-Site ist netzbezogen.
---
**Weitere VPN-Arten**
| VPN-Art | Zweck |
|---|---|
| Host-to-Host-VPN | zwei einzelne Systeme verbinden |
| Extranet-VPN | externer Partnerzugriff |
| Cloud-VPN | lokales Netz mit Cloud-Netz verbinden |
| Admin-VPN | besonders geschützter Adminzugang |
| Fernwartungs-VPN | zeitlich begrenzter Supportzugang |
| Always-On-VPN | automatisch dauerhaft verbunden |
| On-Demand-VPN | startet bei Bedarf |
| Per-App-VPN | nur bestimmte Apps nutzen VPN |
Merksatz:
VPN-Art richtet sich nach Einsatzzweck.
---
**VPN-Protokolle**
VPN ist ein Oberbegriff.
Technische Umsetzungen können sein:
IPsec
IKEv2
OpenVPN
WireGuard
TLS-VPN
L2TP/IPsec
Veraltet:
PPTP
Merksatz:
VPN ist der Zweck.
Protokoll ist die technische Umsetzung.
---
**IPsec**
IPsec steht für:
Internet Protocol Security
IPsec schützt IP-Kommunikation.
Typische Einsätze:
Site-to-Site-VPN
Cloud-VPN
Standortvernetzung
Remote-Access-VPN
IPsec arbeitet nah an Schicht 3,
weil IP-Pakete geschützt werden.
Merksatz:
IPsec schützt IP-Kommunikation auf Netzwerkebene.
---
**IKE und IKEv2**
IKE steht für:
Internet Key Exchange
IKE handelt bei IPsec Schlüssel und Sicherheitsparameter aus.
IKEv2 ist die modernere Variante.
Merksatz:
IKE handelt aus,
wie IPsec abgesichert wird.
---
**IPsec Phase 1 und Phase 2**
| Phase | Bedeutung |
|---|---|
| Phase 1 | sichere Verbindung zwischen VPN-Gegenstellen aufbauen |
| Phase 2 | geschützte Netze oder Datenströme festlegen |
Typische Einordnung:
Phase-1-Fehler:
Tunnel kommt oft gar nicht hoch.
Phase-2-Fehler:
Tunnel steht eventuell,
aber Daten fließen nicht richtig.
Merksatz:
Phase 1 verbindet Gateways.
Phase 2 schützt Netze.
---
**ESP und AH**
ESP steht für:
Encapsulating Security Payload
ESP kann bieten:
Verschlüsselung
Integrität
Authentifizierung
AH steht für:
Authentication Header
AH bietet Integrität und Authentifizierung,
aber keine Verschlüsselung des Inhalts.
Merksatz:
ESP schützt Daten.
AH verschlüsselt nicht.
---
**Wichtige IPsec-Ports und Protokolle**
| Zweck | Port oder Protokoll |
|---|---|
| IKE | UDP 500 |
| NAT-Traversal | UDP 4500 |
| ESP | IP-Protokoll 50 |
| AH | IP-Protokoll 51 |
Wichtig:
ESP und AH sind keine TCP- oder UDP-Ports.
Merksatz:
IPsec ist nicht nur ein einzelner Port.
---
**OpenVPN**
OpenVPN ist eine flexible TLS-basierte VPN-Lösung.
Eigenschaften:
nutzt TLS
kann UDP oder TCP verwenden
kann Zertifikate nutzen
ist flexibel konfigurierbar
wird für Remote-Access und Site-to-Site genutzt
Merksatz:
OpenVPN ist flexibel und TLS-basiert.
---
**WireGuard**
WireGuard ist ein modernes,
schlankes VPN-Protokoll.
Wichtige Begriffe:
Peer
öffentlicher Schlüssel
privater Schlüssel
Allowed IPs
Endpoint
Persistent Keepalive
WireGuard nutzt typischerweise UDP.
Merksatz:
WireGuard arbeitet mit Peers,
Schlüsseln
und Allowed IPs.
---
**Allowed IPs bei WireGuard**
Allowed IPs bestimmen bei WireGuard:
welche Zielnetze über einen Peer gehen
und gleichzeitig:
welche Quelladressen von diesem Peer erwartet werden
Merksatz:
Allowed IPs sind bei WireGuard Routing und Zuordnung zugleich.
---
**TLS-VPN**
TLS-VPN nutzt TLS als Grundlage.
Es wird oft noch SSL-VPN genannt.
Typische Eigenschaften:
häufig TCP 443
oft firewallfreundlich
häufig für Remote-Access
teilweise portalbasiert
teilweise clientbasiert
Merksatz:
SSL-VPN meint in der Praxis meistens TLS-VPN.
---
**PPTP**
PPTP steht für:
Point-to-Point Tunneling Protocol
PPTP ist veraltet
und gilt nicht mehr als sicher.
Merksatz:
PPTP kennen,
aber nicht mehr einsetzen.
---
**Split Tunnel**
Split Tunnel bedeutet:
Nur bestimmter Verkehr läuft durch das VPN.
Beispiel:
Firmennetze:
durch VPN
normales Internet:
direkt lokal
Vorteile:
weniger Last
oft bessere Performance
Nachteile:
weniger zentrale Kontrolle
höhere Anforderungen an Sicherheitskonzept
Merksatz:
Split Tunnel leitet nur ausgewählten Verkehr durch VPN.
---
**Full Tunnel**
Full Tunnel bedeutet:
Der gesamte Clientverkehr läuft durch das VPN.
Auch Internetverkehr geht dann zuerst durch das Unternehmensnetz.
Vorteile:
zentrale Kontrolle
einheitliche Filterung
zentrale Protokollierung
Nachteile:
mehr Last
höhere Latenz
mehr Bandbreitenbedarf
Merksatz:
Full Tunnel leitet alles durch VPN.
---
**Split Tunnel und Full Tunnel vergleichen**
| Merkmal | Split Tunnel | Full Tunnel |
|---|---|---|
| Firmennetze | über VPN | über VPN |
| Internetverkehr | lokal direkt | über VPN |
| VPN-Last | geringer | höher |
| zentrale Kontrolle | geringer | höher |
| Performance | oft besser | abhängig von Gateway und Leitung |
Merksatz:
Split Tunnel spart Last.
Full Tunnel erhöht zentrale Kontrolle.
---
**VPN-Routing**
VPN braucht passende Routen.
Der Client muss wissen:
Welche Netze liegen hinter dem VPN?
Beispiel:
Zielnetz:
192.168.10.0/24
Route:
über VPN-Tunnel
Fehlt die Route,
geht Verkehr eventuell ins lokale Netz oder ins Internet.
Merksatz:
Ohne Route kein Weg durch VPN.
---
**Rückroute**
Nicht nur der Client braucht eine Route zum Ziel.
Das Zielnetz braucht auch einen Weg zurück zum VPN-Client.
Beispiel:
VPN-Pool:
10.8.0.0/24
Servernetz:
192.168.10.0/24
Das Servernetz muss wissen,
wie es zu 10.8.0.0/24 zurückkommt.
Merksatz:
VPN braucht Hinweg und Rückweg.
---
**VPN-Adresspool**
Der VPN-Adresspool ist der IP-Bereich,
aus dem VPN-Clients ihre VPN-Adresse erhalten.
Beispiel:
10.8.0.0/24
Ein Client bekommt zum Beispiel:
10.8.0.25
Diese Adresse ist wichtig für:
Routing
Firewall-Regeln
Logs
Gruppenregeln
Fehlersuche
Merksatz:
VPN-Adresspool bestimmt,
aus welchem Netz VPN-Clients kommen.
---
**Adresskonflikte**
Ein häufiger VPN-Fehler:
Firmennetz:
192.168.1.0/24
Heimnetz:
192.168.1.0/24
Dann weiß der Client nicht eindeutig,
ob eine Adresse lokal oder über VPN erreichbar ist.
Merksatz:
Gleiche Netze auf beiden Seiten verursachen VPN-Routingprobleme.
---
**VPN-DNS**
VPN-Benutzer brauchen oft interne Namensauflösung.
Beispiele:
intranet.firma.local
fileserver.firma.local
dc01.firma.local
wiki.intern
Dafür werden benötigt:
interner DNS-Server
DNS-Suffix
Split DNS
Firewall-Regeln für DNS
korrekte DNS-Records
Merksatz:
VPN braucht oft internes DNS.
---
**Split DNS**
Split DNS bedeutet:
interne Namen werden über interne DNS-Server aufgelöst
und:
öffentliche Namen werden normal oder extern aufgelöst
Beispiel:
firma.local
→ interner DNS
öffentliche Webseiten
→ normaler DNS
Merksatz:
Split DNS trennt interne und externe Namensauflösung.
---
**DNS-Leak**
Ein DNS-Leak bedeutet:
DNS-Anfragen gehen unerwartet außerhalb des VPNs.
Mögliche Folgen:
interne Namen funktionieren nicht
falsche DNS-Antworten
Provider sieht DNS-Anfragen
Sicherheitsrichtlinien werden umgangen
Merksatz:
DNS-Leak = DNS nimmt den falschen Weg.
---
**IPv6-Leak**
Ein IPv6-Leak kann entstehen,
wenn VPN nur IPv4 tunnelt,
aber IPv6 direkt am VPN vorbei ins Internet geht.
Wichtig:
IPv6 bewusst tunneln
oder
IPv6 bewusst filtern und regeln
Merksatz:
IPv6 bei VPN nicht vergessen.
---
**VPN-Firewall-Regeln**
Ein VPN-Tunnel darf nicht automatisch Zugriff auf alles geben.
Firewall-Regeln sollten festlegen:
Quelle
Ziel
Port
Protokoll
Richtung
Zone
Benutzergruppe
Zweck
Logging
Merksatz:
VPN braucht gezielte Firewall-Regeln.
---
**VPN-Zonen**
VPN-Verkehr sollte in eigene Sicherheitszonen eingeordnet werden.
Beispiele:
VPN-Mitarbeiter
VPN-Support
VPN-Admin
VPN-Dienstleister
VPN-Partner
Cloud-VPN
Vorteil:
Zugriffe können sauber getrennt werden.
Merksatz:
VPN-Zonen verhindern pauschale LAN-Freigaben.
---
**Least Privilege beim VPN**
Least Privilege bedeutet:
nur die Rechte,
die wirklich nötig sind.
Beim VPN heißt das:
keine pauschale LAN-Freigabe
keine unnötigen Ports
keine unnötigen Zielnetze
keine Dauerzugänge für Externe
keine Sammelkonten
Merksatz:
VPN-Zugriff so eng wie möglich,
so weit wie nötig.
---
**Authentifizierung**
Authentifizierung beantwortet:
Wer bist du?
Beim VPN möglich durch:
Benutzername und Passwort
Zertifikat
MFA
Token
Smartcard
Gerätezertifikat
SSO
Merksatz:
Authentifizierung prüft Identität.
---
**Autorisierung**
Autorisierung beantwortet:
Was darfst du?
Beispiele:
Darf Benutzer ins VPN?
Darf Benutzer ins Servernetz?
Darf Benutzer RDP nutzen?
Darf Benutzer auf Dateiablage?
Darf Dienstleister Wartungsserver erreichen?
Merksatz:
Autorisierung prüft Berechtigung.
---
**Authentifizierung und Autorisierung unterscheiden**
| Begriff | Frage | Beispiel |
|---|---|---|
| Authentifizierung | Wer bist du? | Login mit Passwort und MFA |
| Autorisierung | Was darfst du? | Zugriff auf bestimmtes Netz erlaubt |
Merksatz:
Anmeldung ist nicht automatisch Berechtigung.
---
**MFA bei VPN**
MFA steht für:
Multi-Faktor-Authentifizierung
Warum wichtig?
VPN ist oft aus dem Internet erreichbar.
Passwörter können gestohlen werden.
Phishing ist häufig.
VPN-Zugang führt oft zu internen Ressourcen.
Merksatz:
VPN-Zugänge sollten mit MFA geschützt werden.
---
**Zertifikate bei VPN**
VPN kann Zertifikate verwenden für:
Serverauthentifizierung
Clientauthentifizierung
Gerätezulassung
stärkere Identitätsprüfung
Wichtig:
Zertifikate müssen gültig sein,
widerrufen werden können
und zur richtigen CA gehören.
Merksatz:
Zertifikate erhöhen Sicherheit,
brauchen aber Verwaltung.
---
**Gerätesicherheit**
Ein VPN-Client bringt ein entferntes Gerät näher an interne Systeme.
Deshalb wichtig:
aktuelles Betriebssystem
Updates
Gerätemanagement
Festplattenverschlüsselung
Schutzsoftware
kein kompromittiertes Gerät
sichere Konfiguration
Posture Check
Merksatz:
Unsicheres Gerät plus VPN ist ein Risiko.
---
**BYOD und VPN**
BYOD bedeutet:
Bring Your Own Device
Private Geräte im VPN sind kritisch,
wenn sie nicht verwaltet werden.
Risiken:
unklarer Patchstand
keine Kontrolle
Malware
Datenabfluss
fehlende Trennung privat/geschäftlich
Merksatz:
BYOD-VPN braucht klare Regeln und technische Kontrolle.
---
**Dienstleisterzugang**
Dienstleisterzugänge müssen besonders eng geregelt werden.
Wichtig:
eigenes Konto pro Person
keine Sammelkonten
MFA
Zugriff nur auf Zielsystem
zeitliche Begrenzung
Protokollierung
Deaktivierung nach Projektende
Merksatz:
Externe niemals pauschal ins interne Netz lassen.
---
**Admin-VPN**
Admin-VPN braucht besonderen Schutz.
Wichtig:
separate Admin-Konten
MFA
Zertifikate
verwaltete Geräte
Zugriff nur auf Managementnetze
Bastion Host oder Jump Server
Protokollierung
Alarmierung
Merksatz:
Admin-VPN ist Hochrisiko-Zugang.
---
**Bastion Host und Jump Server**
Ein Bastion Host oder Jump Server ist ein besonders geschützter Zwischenserver.
Zweck:
Adminzugriffe bündeln
direkte Zugriffe vermeiden
Protokollierung verbessern
Zugriffspfade kontrollieren
Merksatz:
Jump Server kontrolliert den Weg zu kritischen Systemen.
---
**VPN-Logging**
VPN-Logs sollten zeigen:
Benutzer
Gerät
Quell-IP
Zeitpunkt
VPN-IP
MFA-Ergebnis
Gruppe
Verbindungserfolg
Fehlergrund
Trennungsgrund
Zielzugriffe je nach System
Merksatz:
VPN-Zugriffe müssen nachvollziehbar sein.
---
**VPN-Monitoring**
VPN-Infrastruktur sollte überwacht werden.
Wichtige Werte:
Tunnelstatus
aktive Benutzer
CPU
RAM
Bandbreite
Fehlversuche
Zertifikatsablauf
Latenz
Paketverlust
Gateway-Verfügbarkeit
Merksatz:
VPN ist kritische Infrastruktur.
---
**VPN-Fehlersuche Grundreihenfolge**
Sinnvolle Reihenfolge:
1. Fehlerbild aufnehmen.
2. VPN-Art bestimmen.
3. VPN-Protokoll bestimmen.
4. Internetverbindung prüfen.
5. VPN-Gateway prüfen.
6. Authentifizierung und MFA prüfen.
7. Zertifikate prüfen.
8. VPN-IP prüfen.
9. Routen prüfen.
10. DNS prüfen.
11. Firewall prüfen.
12. Zielsystem prüfen.
13. Host-Firewall prüfen.
14. Logs prüfen.
15. MTU und Performance prüfen.
Merksatz:
Erst Tunnel,
dann Route,
dann DNS,
dann Dienst.
---
**Typische VPN-Fehlerbilder**
| Fehlerbild | wahrscheinliche Richtung |
|---|---|
| VPN verbindet nicht | Gateway, Port, Login, MFA, Zertifikat |
| VPN verbunden, IP geht nicht | Route, Firewall, Rückweg, Zielsystem |
| IP geht, Name nicht | DNS, Split DNS, DNS-Suffix |
| nur ein Dienst geht nicht | Port, Dienst, Host-Firewall, Rechte |
| nur manche Benutzer betroffen | Gruppen, Profile, Rollen |
| nur manche Heimnetze betroffen | Adresskonflikt, NAT, Provider, IPv6 |
| VPN langsam | Latenz, Paketverlust, Bandbreite, MTU |
| VPN bricht ab | NAT-Timeout, WLAN, Keepalive, Token, Gateway |
Merksatz:
Fehlerbild gibt die Richtung der Fehlersuche vor.
---
**VPN und MTU**
VPN fügt zusätzliche Header hinzu.
Dadurch kann die nutzbare Paketgröße sinken.
Typische Symptome:
kleine Daten funktionieren
große Downloads brechen ab
Webseiten laden teilweise
VPN wirkt instabil
RDP friert ein
SSH hängt bei viel Ausgabe
Merksatz:
Kleine Daten gehen,
große nicht:
MTU prüfen.
---
**TCP-over-TCP**
TCP-over-TCP kann entstehen,
wenn ein TCP-basierter VPN-Tunnel TCP-Verkehr transportiert.
Problem:
zwei TCP-Schichten versuchen gleichzeitig,
Paketverlust und Stau zu regeln.
Folge:
schlechtere Performance bei Verlusten oder instabiler Verbindung
Merksatz:
TCP im TCP-Tunnel kann bremsen.
---
**NAT-Traversal**
NAT-Traversal hilft VPN-Verbindungen,
durch NAT-Geräte zu funktionieren.
Besonders relevant bei:
IPsec
Heimnetzen
Mobilfunk
Hotel-WLAN
Provider-NAT
Merksatz:
NAT-Traversal hilft VPN durch NAT-Umgebungen.
---
**CGNAT**
CGNAT steht für:
Carrier Grade NAT
Dabei teilt der Provider öffentliche IPv4-Adressen zwischen vielen Kunden.
Problem:
eingehende Verbindungen zum eigenen VPN-Gateway sind schwierig oder unmöglich.
Remote-Access vom Client nach außen ist oft weniger problematisch,
wenn das Gateway öffentlich erreichbar ist.
Merksatz:
CGNAT stört besonders,
wenn das VPN-Gateway von außen erreichbar sein muss.
---
**Intranet, Extranet und VPN unterscheiden**
| Aussage | richtig? | Erklärung |
|---|---:|---|
| Intranet ist intern | ja | internes Netz oder internes Portal |
| Extranet ist öffentlich | nein | nur kontrolliert für Externe |
| Internet ist öffentlich | ja | grundsätzlich öffentlich erreichbar |
| VPN ist ein Tunnel | ja | geschützte Verbindung |
| VPN ist dasselbe wie Extranet | nein | Extranet ist Zugriffskonzept, VPN mögliche Technik |
| VPN ersetzt Firewall | nein | Firewall-Regeln bleiben nötig |
| VPN ersetzt Rechte | nein | Anwendung und Benutzerrechte bleiben nötig |
Merksatz:
Begriffe sauber trennen.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist ein VPN?
- Wofür steht VPN?
- Was ist ein VPN-Tunnel?
- Was ist ein Intranet?
- Was ist ein Extranet?
- Was ist der Unterschied zwischen Intranet, Extranet und Internet?
- Was ist der Unterschied zwischen Remote-Access-VPN und Site-to-Site-VPN?
- Was ist Split Tunneling?
- Was ist Full Tunnel?
- Warum braucht VPN Routing?
- Warum ist DNS bei VPN wichtig?
- Was ist Split DNS?
- Warum sind überlappende Netze problematisch?
- Warum sollte VPN mit MFA geschützt werden?
- Was ist der Unterschied zwischen Authentifizierung und Autorisierung?
- Was ist IPsec?
- Was ist IKE?
- Was bedeuten Phase 1 und Phase 2 bei IPsec?
- Was ist WireGuard?
- Was sind Allowed IPs?
- Warum ist PPTP veraltet?
- Wie geht man bei VPN-Fehlersuche vor?
---
**Typische Prüfungsfallen**
VPN heißt Virtual Private Network.
VPN ist nicht automatisch ein vollständiges Sicherheitskonzept.
VPN schützt den Tunnel,
aber nicht automatisch alle Zielsysteme.
VPN ersetzt keine Firewall.
VPN ersetzt keine Berechtigungen.
Remote-Access verbindet Benutzer.
Site-to-Site verbindet Netze.
Client-to-Site ist praktisch Remote-Access.
Intranet ist intern.
Extranet ist kontrolliert extern.
Internet ist öffentlich.
Extranet ist nicht dasselbe wie VPN.
Split Tunnel leitet nur ausgewählten Verkehr.
Full Tunnel leitet alles durch VPN.
VPN braucht Routen.
VPN braucht Rückrouten.
VPN braucht oft internes DNS.
IP geht,
Name nicht:
DNS prüfen.
Überlappende Netze vermeiden.
Heimnetzkonflikte sind häufig.
Authentifizierung ist nicht Autorisierung.
MFA ist bei VPN wichtig.
Dienstleisterzugänge zeitlich begrenzen.
Admin-VPN besonders schützen.
PPTP nicht mehr verwenden.
IPsec Phase 1 und Phase 2 unterscheiden.
ESP ist kein TCP- oder UDP-Port.
WireGuard Allowed IPs genau prüfen.
VPN-Logs und Firewall-Logs gemeinsam auswerten.
VPN verbunden heißt nicht:
alles erreichbar.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| Internet | öffentliches weltweites Netzwerk |
| Intranet | internes Netz oder internes Portal |
| Extranet | kontrollierter externer Zugriff |
| VPN | Virtual Private Network |
| VPN-Tunnel | geschützte logische Verbindung |
| Tunneling | Daten werden in Tunnelverbindung verpackt |
| Remote-Access-VPN | Benutzer verbindet sich aus der Ferne |
| Client-to-Site-VPN | einzelner Client zum Firmennetz |
| Site-to-Site-VPN | Netz-zu-Netz-Verbindung |
| VPN-Gateway | Gegenstelle für VPN-Verbindung |
| VPN-Client | Software oder Gerät des Benutzers |
| IPsec | Absicherung von IP-Kommunikation |
| IKE | Schlüsselaushandlung bei IPsec |
| ESP | IPsec-Bestandteil für Schutz der Daten |
| AH | IPsec-Bestandteil ohne Inhaltsverschlüsselung |
| Phase 1 | sichere Verbindung zwischen Gateways |
| Phase 2 | Schutz der eigentlichen Netze |
| OpenVPN | TLS-basierte VPN-Lösung |
| WireGuard | modernes schlankes VPN-Protokoll |
| Allowed IPs | Routing- und Peer-Zuordnung bei WireGuard |
| TLS-VPN | VPN auf TLS-Basis |
| Split Tunnel | ausgewählter Verkehr durch VPN |
| Full Tunnel | gesamter Verkehr durch VPN |
| VPN-Adresspool | IP-Bereich für VPN-Clients |
| Rückroute | Antwortweg zurück zum VPN-Client |
| Split DNS | getrennte interne und externe Namensauflösung |
| DNS-Leak | DNS-Anfragen nehmen falschen Weg |
| IPv6-Leak | IPv6-Verkehr läuft am VPN vorbei |
| VPN-Zone | Firewall-Zone für VPN-Verkehr |
| MFA | Multi-Faktor-Authentifizierung |
| Least Privilege | minimale notwendige Rechte |
| Bastion Host | gehärteter Zwischenserver |
| Jump Server | Sprungserver für Adminzugriffe |
| MTU | maximale Paketgröße |
| NAT-Traversal | VPN durch NAT ermöglichen |
| CGNAT | Provider-NAT für viele Kunden |
---
**IHK-sichere Gesamtformulierung**
Ein VPN, also Virtual Private Network, stellt über ein unsicheres oder fremdes Netz einen geschützten Tunnel bereit. Es kann einzelne Benutzer per Remote-Access-VPN oder ganze Netzwerke per Site-to-Site-VPN verbinden. Ein Intranet ist ein internes Netzwerk oder internes Portal einer Organisation, während ein Extranet ausgewählten externen Partnern kontrollierten Zugriff auf bestimmte Ressourcen ermöglicht. Für VPN-Zugriffe sind nicht nur Verschlüsselung, sondern auch Authentifizierung, Autorisierung, MFA, Routing, Rückrouten, DNS, Split DNS, Firewall-Regeln, VPN-Zonen, Gerätesicherheit, Logging und Monitoring wichtig. Ein verbundener VPN-Tunnel bedeutet nicht automatisch, dass interne Ressourcen erreichbar oder erlaubt sind. Die Fehlersuche erfolgt systematisch über Gateway-Erreichbarkeit, Anmeldung, Zertifikate, VPN-IP, Routen, DNS, Firewall, Zielsysteme, Host-Firewall, Logs, MTU und Performance.
---
**Wichtigste Merksätze**
VPN = Virtual Private Network.
VPN baut einen geschützten Tunnel.
VPN ist nicht automatisch vollständige Sicherheit.
VPN ersetzt keine Firewall-Regeln.
VPN ersetzt keine Benutzerrechte.
VPN verbunden heißt nicht:
Zugriff erlaubt.
Intranet ist intern.
Extranet ist kontrolliert extern.
Internet ist öffentlich.
Remote-Access verbindet Benutzer.
Site-to-Site verbindet Netze.
Client-to-Site entspricht praktisch Remote-Access.
VPN-Protokoll ist die technische Umsetzung.
IPsec schützt IP-Kommunikation.
IKE handelt Schlüssel aus.
Phase 1 verbindet Gateways.
Phase 2 schützt Netze.
ESP schützt Daten.
AH verschlüsselt nicht.
OpenVPN ist TLS-basiert.
WireGuard nutzt Peers und Allowed IPs.
TLS-VPN wird oft SSL-VPN genannt.
PPTP ist veraltet.
Split Tunnel leitet ausgewählten Verkehr.
Full Tunnel leitet alles.
VPN braucht Route.
VPN braucht Rückroute.
VPN braucht oft internes DNS.
Split DNS trennt Namensauflösung.
Überlappende Netze vermeiden.
Heimnetzkonflikte sind klassisch.
VPN-Zugriff nach Rollen begrenzen.
MFA für VPN nutzen.
Dienstleisterzugänge zeitlich begrenzen.
Admin-VPN besonders schützen.
Unsichere Endgeräte sind Risiko.
VPN-Logs sind wichtig.
Monitoring gehört zu VPN.
MTU bei großen Datenproblemen prüfen.
Erst Tunnel,
dann Route,
dann DNS,
dann Dienst.
# 15. Cloud und moderne Bereitstellungsmodelle
# 15.1 Cloud und moderne Bereitstellungsmodelle
Cloud beschreibt die Bereitstellung von IT-Ressourcen über ein Netzwerk.
Statt alle Systeme selbst lokal zu betreiben,
können Unternehmen Rechenleistung,
Speicher,
Datenbanken,
Anwendungen
oder Plattformen bei einem Anbieter nutzen.
Typische Cloud-Ressourcen:
- virtuelle Server
- Speicherplatz
- Datenbanken
- Container
- Anwendungen
- Entwicklungsplattformen
- Backup-Dienste
- Identitätsdienste
- Netzwerkdienste
- Sicherheitsdienste
Merksatz:
Cloud bedeutet:
IT-Ressourcen werden als Dienst bereitgestellt.
---
**Warum ist Cloud wichtig?**
Cloud-Dienste sind in modernen IT-Umgebungen sehr verbreitet.
Gründe:
- schnelle Bereitstellung
- flexible Skalierung
- weniger eigene Hardware
- weltweite Erreichbarkeit
- nutzungsabhängige Kosten
- viele fertige Dienste
- hohe Automatisierbarkeit
- gute Integration mit modernen Anwendungen
Aber:
Cloud bedeutet nicht automatisch weniger Verantwortung.
Merksatz:
Cloud vereinfacht Bereitstellung,
ersetzt aber kein Sicherheits- und Betriebskonzept.
---
**Cloud einfach erklärt**
Klassisch:
Unternehmen kauft Server.
Server steht im eigenen Gebäude.
IT installiert Betriebssystem.
IT betreibt Anwendung.
IT kümmert sich um Hardware,
Strom,
Kühlung,
Backup
und Ausfallsicherheit.
Cloud:
Anbieter stellt Ressourcen bereit.
Unternehmen nutzt diese Ressourcen über Netzwerk oder Portal.
Abrechnung erfolgt häufig nach Nutzung.
Verantwortung wird je nach Modell zwischen Anbieter und Kunde geteilt.
Merksatz:
Cloud verlagert Teile der IT-Bereitstellung zu einem Anbieter.
---
**On-Premises**
On-Premises bedeutet:
IT wird lokal im eigenen Unternehmen oder eigenen Rechenzentrum betrieben.
Beispiele:
eigener Serverraum
eigenes Rechenzentrum
eigene Hardware
eigene Storage-Systeme
eigene Netzwerkgeräte
eigene Virtualisierung
Vorteile:
hohe Kontrolle
direkte Verwaltung
Daten bleiben im eigenen Betrieb
individuelle Anpassung möglich
Nachteile:
Hardwarekosten
Wartungsaufwand
Skalierung langsamer
eigene Verantwortung für Ausfallsicherheit
Merksatz:
On-Premises = lokal selbst betrieben.
---
**Cloud**
Cloud bedeutet:
IT-Ressourcen werden über ein Netzwerk als Dienst genutzt.
Beispiele:
virtueller Server beim Cloud-Anbieter
Cloud-Speicher
gehostete Datenbank
E-Mail aus der Cloud
Backup in der Cloud
Cloud-Identitätsdienst
Containerplattform
Merksatz:
Cloud = IT-Ressourcen als Dienst.
---
**Hybrid Cloud**
Hybrid Cloud kombiniert lokale IT und Cloud.
Beispiel:
interne Server im eigenen Rechenzentrum
plus
Cloud-Dienste für Backup,
Webanwendungen
oder Skalierung
Typische Einsatzfälle:
schrittweise Migration
sensible Systeme lokal
skalierbare Dienste in Cloud
Backup in Cloud
Cloud-Anbindung per VPN
Merksatz:
Hybrid Cloud kombiniert On-Premises und Cloud.
---
**Multi Cloud**
Multi Cloud bedeutet:
Ein Unternehmen nutzt mehrere Cloud-Anbieter.
Beispiel:
Anbieter A für virtuelle Server
Anbieter B für E-Mail
Anbieter C für Backup
Anbieter D für KI-Dienste
Vorteile:
weniger Abhängigkeit von einem Anbieter
passende Dienste pro Anbieter
Ausfallsicherheit durch Verteilung
Nachteile:
höhere Komplexität
unterschiedliche Portale
unterschiedliche Sicherheitsmodelle
schwierigeres Monitoring
mehr Know-how nötig
Merksatz:
Multi Cloud = mehrere Cloud-Anbieter gleichzeitig.
---
**Public Cloud**
Public Cloud bedeutet:
Cloud-Ressourcen werden von einem Anbieter für viele Kunden bereitgestellt.
Beispiele:
virtuelle Server
Datenbanken
Speicher
Webdienste
Cloud-Anwendungen
Wichtig:
Kunden teilen sich die Anbieterplattform,
sind aber logisch voneinander getrennt.
Merksatz:
Public Cloud = gemeinsam genutzte Anbieterplattform mit logischer Trennung.
---
**Private Cloud**
Private Cloud bedeutet:
Cloud-ähnliche Bereitstellung nur für eine Organisation.
Sie kann laufen:
im eigenen Rechenzentrum
bei einem Dienstleister
in einer dedizierten Umgebung
Typische Merkmale:
Selbstbedienung
Automatisierung
Virtualisierung
Ressourcenpools
interne Abrechnung oder Zuordnung
zentrale Verwaltung
Merksatz:
Private Cloud = Cloud-Prinzipien für eine Organisation.
---
**Community Cloud**
Community Cloud bedeutet:
Eine Cloud wird von mehreren Organisationen mit ähnlichen Anforderungen genutzt.
Beispiele:
Behörden
Forschungseinrichtungen
Gesundheitswesen
Bildungseinrichtungen
Ziel:
gemeinsame Anforderungen
gemeinsame Sicherheitsvorgaben
gemeinsame Compliance
Merksatz:
Community Cloud wird von einer bestimmten Gemeinschaft genutzt.
---
**Cloud-Bereitstellungsmodelle**
| Modell | Kurze Erklärung |
|---|---|
| On-Premises | lokal selbst betrieben |
| Public Cloud | Cloud beim öffentlichen Anbieter |
| Private Cloud | Cloud für eine Organisation |
| Hybrid Cloud | Mischung aus lokal und Cloud |
| Multi Cloud | Nutzung mehrerer Cloud-Anbieter |
| Community Cloud | Cloud für bestimmte Organisationengruppe |
Merksatz:
Bereitstellungsmodell beschreibt,
wo und für wen Cloud-Ressourcen betrieben werden.
---
**Cloud-Service-Modelle**
Die wichtigsten Service-Modelle sind:
- IaaS
- PaaS
- SaaS
Diese Modelle beschreiben,
wie viel Verantwortung der Anbieter übernimmt
und wie viel der Kunde selbst verwaltet.
Merksatz:
Service-Modell beschreibt,
welche Schichten als Dienst bereitgestellt werden.
---
**IaaS**
IaaS steht für:
Infrastructure as a Service
Dabei stellt der Anbieter grundlegende Infrastruktur bereit.
Beispiele:
virtuelle Maschinen
virtuelle Netzwerke
Block Storage
Load Balancer
Firewalls
IP-Adressen
Der Kunde verwaltet meist:
Betriebssystem
Updates im Betriebssystem
Anwendungen
Daten
Benutzer
Konfigurationen
Merksatz:
IaaS = virtuelle Infrastruktur statt eigener Hardware.
---
**PaaS**
PaaS steht für:
Platform as a Service
Dabei stellt der Anbieter eine Plattform bereit,
auf der Anwendungen betrieben werden können.
Beispiele:
verwaltete Datenbank
App-Plattform
Web-App-Plattform
Containerplattform
Laufzeitumgebung
Entwicklungsplattform
Der Kunde verwaltet meist:
Anwendung
Daten
Konfiguration
Zugriff
Der Anbieter verwaltet mehr vom Betriebssystem,
Runtime
und Infrastruktur.
Merksatz:
PaaS = Plattform für Anwendungen,
ohne alles darunter selbst zu betreiben.
---
**SaaS**
SaaS steht für:
Software as a Service
Dabei nutzt der Kunde eine fertige Anwendung.
Beispiele:
E-Mail-Dienst
Online-Office
CRM-System
Ticketsystem
Cloud-Speicher
Videokonferenzdienst
Projektmanagement-Tool
Der Anbieter betreibt:
Anwendung
Plattform
Infrastruktur
Updates
Verfügbarkeit
Der Kunde kümmert sich vor allem um:
Benutzer
Berechtigungen
Daten
Einstellungen
Sicherheitsrichtlinien
Merksatz:
SaaS = fertige Software aus der Cloud.
---
**IaaS, PaaS und SaaS vergleichen**
| Modell | Anbieter stellt bereit | Kunde verwaltet vor allem |
|---|---|---|
| IaaS | virtuelle Infrastruktur | Betriebssystem, Anwendung, Daten |
| PaaS | Plattform und Laufzeitumgebung | Anwendung, Daten, Konfiguration |
| SaaS | fertige Anwendung | Benutzer, Daten, Einstellungen |
Merksatz:
IaaS gibt viel Kontrolle.
SaaS nimmt viel Betrieb ab.
PaaS liegt dazwischen.
---
**Verantwortung bei Cloud**
In der Cloud wird Verantwortung geteilt.
Der Anbieter ist nicht für alles verantwortlich.
Der Kunde bleibt verantwortlich für viele Dinge,
zum Beispiel:
- Benutzerkonten
- Berechtigungen
- Daten
- sichere Konfiguration
- Passwörter und MFA
- Netzfreigaben
- Zugriffskonzepte
- Compliance
- Backup-Strategie je nach Dienst
Merksatz:
Cloud bedeutet geteilte Verantwortung.
---
**Shared Responsibility Model**
Shared Responsibility Model bedeutet:
Anbieter und Kunde teilen sich Sicherheits- und Betriebsverantwortung.
Je nach Service-Modell verändert sich die Aufteilung.
Bei IaaS hat der Kunde mehr Verantwortung.
Bei SaaS übernimmt der Anbieter mehr Betrieb,
aber der Kunde bleibt für Benutzer,
Daten
und Berechtigungen verantwortlich.
Merksatz:
Je fertiger der Dienst,
desto mehr Betrieb übernimmt der Anbieter,
aber Kundendaten und Zugriffe bleiben Kundenthema.
---
**Beispiel Shared Responsibility bei IaaS**
Bei einer virtuellen Maschine in der Cloud:
Anbieter verantwortet typischerweise:
physische Hardware
Rechenzentrum
Strom
Kühlung
Virtualisierungsplattform
Grundinfrastruktur
Kunde verantwortet typischerweise:
Betriebssystem
Patches
Firewall-Regeln
Benutzerkonten
Anwendung
Daten
Backup
Sicherheitskonfiguration
Merksatz:
Cloud-VM ist nicht automatisch sicher gepatcht.
---
**Beispiel Shared Responsibility bei SaaS**
Bei einer SaaS-Anwendung:
Anbieter verantwortet typischerweise:
Betrieb der Anwendung
Infrastruktur
Plattform
Updates
technische Verfügbarkeit
Kunde verantwortet typischerweise:
Benutzerverwaltung
Rollen
MFA
Datenklassifizierung
Freigaben
Aufbewahrung
Konfiguration
Schulung
Merksatz:
SaaS nimmt Betrieb ab,
aber nicht die Verantwortung für Zugriffe und Daten.
---
**Virtualisierung in der Cloud**
Cloud basiert häufig auf Virtualisierung.
Virtualisierung bedeutet:
physische Hardware wird in mehrere virtuelle Ressourcen aufgeteilt.
Beispiele:
virtuelle Maschinen
virtuelle Netzwerke
virtuelle Festplatten
virtuelle Firewalls
virtuelle Load Balancer
Merksatz:
Virtualisierung ist eine technische Grundlage vieler Cloud-Dienste.
---
**Container in der Cloud**
Container sind eine moderne Form der Anwendungsbereitstellung.
Container enthalten:
Anwendung
Abhängigkeiten
Laufzeitumgebung
Sie teilen sich aber den Kernel des Hosts.
Cloud-Dienste können Container bereitstellen,
orchestrieren
und skalieren.
Merksatz:
Container verpacken Anwendungen portabel und leichtgewichtig.
---
**Orchestrierung**
Orchestrierung bedeutet:
automatisierte Verwaltung mehrerer Container oder Dienste.
Aufgaben:
Container starten
Container stoppen
Container verteilen
Skalierung
Updates
Health Checks
Netzwerke
Secrets
Rollbacks
Merksatz:
Orchestrierung verwaltet viele Container automatisch.
---
**Kubernetes**
Kubernetes ist eine verbreitete Plattform zur Container-Orchestrierung.
Es verwaltet:
Pods
Services
Deployments
Skalierung
Rollouts
Netzwerke
Konfigurationen
Secrets
Für Prüfungen reicht oft:
Kubernetes orchestriert Container.
Merksatz:
Kubernetes verwaltet Container-Anwendungen in Clustern.
---
**Serverless**
Serverless bedeutet nicht,
dass keine Server existieren.
Es bedeutet:
Der Kunde verwaltet keine einzelnen Server.
Der Anbieter betreibt die Infrastruktur.
Der Kunde stellt Funktionen oder Code bereit.
Beispiele:
Funktionen bei Ereignissen ausführen
automatische Skalierung
Abrechnung nach Ausführung oder Nutzung
Merksatz:
Serverless heißt:
keine Serververwaltung durch den Kunden.
---
**Function as a Service**
Function as a Service wird abgekürzt:
FaaS
Dabei wird eine Funktion ausgeführt,
wenn ein Ereignis eintritt.
Beispiele:
Datei wird hochgeladen.
Funktion verarbeitet Datei.
API-Aufruf startet Funktion.
Zeitplan löst Funktion aus.
Merksatz:
FaaS führt einzelne Funktionen ereignisgesteuert aus.
---
**Cloud Storage**
Cloud Storage ist Speicherplatz aus der Cloud.
Arten:
Objektspeicher
Blockspeicher
Dateispeicher
Typische Nutzung:
Backups
Dateien
Archivierung
Medien
Logs
Daten für Anwendungen
statische Webseiten
Merksatz:
Cloud Storage stellt Speicher als Dienst bereit.
---
**Objektspeicher**
Objektspeicher speichert Daten als Objekte.
Ein Objekt besteht typischerweise aus:
Dateiinhalt
Metadaten
eindeutiger Name oder Schlüssel
Typische Nutzung:
Backups
Bilder
Videos
Dokumente
Archivdaten
Logs
Merksatz:
Objektspeicher ist gut für große Mengen unstrukturierter Daten.
---
**Blockspeicher**
Blockspeicher stellt Speicherblöcke bereit,
ähnlich wie eine Festplatte für einen Server.
Typische Nutzung:
virtuelle Maschinen
Datenbanken
Betriebssystemplatten
Anwendungen mit Dateisystem
Merksatz:
Blockspeicher verhält sich eher wie eine virtuelle Festplatte.
---
**Dateispeicher**
Dateispeicher stellt Dateifreigaben bereit.
Typische Nutzung:
gemeinsame Dateisysteme
Anwendungen mit gemeinsamen Dateien
klassische Freigaben
Benutzerdateien
Merksatz:
Dateispeicher arbeitet mit Ordnern und Dateien.
---
**Cloud-Netzwerke**
Cloud-Umgebungen haben eigene Netzwerkstrukturen.
Typische Bestandteile:
virtuelle Netzwerke
Subnetze
Routingtabellen
Security Groups
Network Security Groups
Firewalls
Load Balancer
öffentliche IP-Adressen
private IP-Adressen
NAT-Gateways
VPN-Gateways
Merksatz:
Cloud-Netzwerke müssen genauso geplant werden wie lokale Netzwerke.
---
**Virtuelles Netzwerk**
Ein virtuelles Netzwerk ist ein logisch getrenntes Netz in der Cloud.
Es enthält:
Subnetze
virtuelle Maschinen
Dienste
Routing
Sicherheitsregeln
Je nach Anbieter heißt es unterschiedlich,
zum Beispiel VPC oder VNet.
Merksatz:
Virtuelles Netzwerk ist das Cloud-Gegenstück zum eigenen Netzsegment.
---
**Subnetze in der Cloud**
Cloud-Netze werden in Subnetze aufgeteilt.
Beispiele:
Web-Subnetz
App-Subnetz
Datenbank-Subnetz
Management-Subnetz
Public Subnet
Private Subnet
Merksatz:
Subnetze trennen Cloud-Ressourcen logisch.
---
**Public Subnet**
Ein Public Subnet enthält Ressourcen,
die direkt oder indirekt mit dem Internet verbunden sein können.
Beispiele:
Load Balancer
Bastion Host
öffentlich erreichbarer Webserver
Wichtig:
Nicht jede Ressource sollte öffentlich erreichbar sein.
Merksatz:
Public Subnet nur für wirklich öffentliche Komponenten nutzen.
---
**Private Subnet**
Ein Private Subnet enthält interne Ressourcen.
Beispiele:
Datenbankserver
interne Anwendung
Backend
interne APIs
Verarbeitungssysteme
Diese Ressourcen sind normalerweise nicht direkt aus dem Internet erreichbar.
Merksatz:
Private Subnet schützt interne Cloud-Ressourcen vor direktem Internetzugriff.
---
**Security Group**
Eine Security Group ist eine virtuelle Firewall-Regelgruppe für Cloud-Ressourcen.
Sie steuert häufig:
eingehenden Verkehr
ausgehenden Verkehr
Ports
Protokolle
Quellen
Ziele
Merksatz:
Security Group ist eine Firewall-Regelgruppe in der Cloud.
---
**Network Security Group**
Network Security Group wird oft abgekürzt:
NSG
Sie steuert Netzwerkverkehr auf Subnetz- oder Ressourceneebene,
je nach Cloud-Plattform.
Merksatz:
NSG regelt Netzwerkzugriffe in Cloud-Netzen.
---
**Cloud-Firewall**
Eine Cloud-Firewall schützt Cloud-Netze oder Cloud-Dienste.
Sie kann filtern nach:
IP-Adresse
Port
Protokoll
Richtung
Anwendung
Bedrohungssignatur
Zone
Merksatz:
Auch in der Cloud braucht man Firewall-Regeln.
---
**Load Balancer**
Ein Load Balancer verteilt Anfragen auf mehrere Ziele.
Ziele können sein:
virtuelle Maschinen
Container
Anwendungen
Backends
Vorteile:
höhere Verfügbarkeit
Lastverteilung
Wartung einzelner Systeme möglich
Skalierung
Merksatz:
Load Balancer verteilt Last auf mehrere Systeme.
---
**Auto Scaling**
Auto Scaling bedeutet:
Ressourcen werden automatisch erhöht oder reduziert.
Beispiel:
Bei hoher Last werden mehr Instanzen gestartet.
Bei geringer Last werden Instanzen beendet.
Vorteile:
bessere Anpassung an Last
Kostenkontrolle
höhere Verfügbarkeit
Merksatz:
Auto Scaling passt Ressourcen automatisch an Bedarf an.
---
**Cloud und Hochverfügbarkeit**
Cloud kann Hochverfügbarkeit unterstützen.
Möglichkeiten:
mehrere Verfügbarkeitszonen
mehrere Regionen
Load Balancer
Auto Scaling
replizierte Daten
Backup
Monitoring
automatische Wiederherstellung
Aber:
Hochverfügbarkeit muss geplant und konfiguriert werden.
Merksatz:
Cloud ist nicht automatisch hochverfügbar.
---
**Verfügbarkeitszone**
Eine Verfügbarkeitszone ist ein getrenntes Rechenzentrumssegment innerhalb einer Region.
Ziel:
Ausfall einer Zone soll nicht automatisch alle Dienste betreffen.
Beispiele:
Zone A
Zone B
Zone C
Merksatz:
Verfügbarkeitszonen helfen,
Ausfälle innerhalb einer Region abzufangen.
---
**Region**
Eine Region ist ein geografischer Standort eines Cloud-Anbieters.
Beispiele:
Deutschland
Europa
USA
Asien
Regionen sind wichtig für:
Latenz
Datenschutz
Ausfallsicherheit
Kosten
Compliance
Datenstandort
Merksatz:
Region bestimmt,
wo Cloud-Ressourcen geografisch betrieben werden.
---
**Datenstandort**
Datenstandort bedeutet:
In welchem Land oder welcher Region Daten gespeichert und verarbeitet werden.
Wichtig wegen:
Datenschutz
rechtlichen Anforderungen
Compliance
Latenz
Kundenanforderungen
Unternehmensrichtlinien
Merksatz:
Datenstandort ist bei Cloud-Diensten sicherheits- und rechtsrelevant.
---
**Cloud-Kosten**
Cloud-Kosten entstehen häufig durch:
Rechenleistung
Speicher
Datenübertragung
Datenbanknutzung
Lizenzen
Load Balancer
Backups
Logs
Monitoring
öffentliche IP-Adressen
Support
Wichtig:
Cloud ist flexibel,
aber nicht automatisch günstiger.
Merksatz:
Cloud-Kosten müssen überwacht und geplant werden.
---
**OPEX und CAPEX**
CAPEX bedeutet:
Investitionsausgaben
Beispiel:
Server kaufen
Storage kaufen
Netzwerkhardware kaufen
OPEX bedeutet:
Betriebsausgaben
Beispiel:
monatliche Cloud-Nutzung
Mietmodell
nutzungsabhängige Abrechnung
Cloud verschiebt Kosten häufig von CAPEX zu OPEX.
Merksatz:
Cloud macht aus Kaufkosten häufig laufende Nutzungskosten.
---
**Pay as you go**
Pay as you go bedeutet:
Man bezahlt nach Nutzung.
Beispiele:
pro Stunde
pro GB
pro Anfrage
pro Benutzer
pro Ausführung
pro übertragenem Datenvolumen
Vorteil:
flexible Abrechnung
Risiko:
unerwartete Kosten bei Fehlkonfiguration oder hoher Nutzung
Merksatz:
Pay as you go ist flexibel,
braucht aber Kostenkontrolle.
---
**Cloud-Sicherheit**
Cloud-Sicherheit umfasst:
Identitätsmanagement
MFA
Rollen und Rechte
Netzwerksicherheit
Verschlüsselung
Logging
Monitoring
Backup
Patchmanagement
sichere Konfiguration
Datenklassifizierung
Compliance
Merksatz:
Cloud-Sicherheit ist mehr als Anbieter auswählen.
---
**Identity and Access Management**
Identity and Access Management wird oft abgekürzt:
IAM
IAM regelt:
Benutzer
Gruppen
Rollen
Berechtigungen
Servicekonten
API-Schlüssel
MFA
Zugriff auf Ressourcen
Merksatz:
IAM entscheidet,
wer was in der Cloud darf.
---
**Cloud-Rollen**
Cloud-Zugriffe sollten über Rollen gesteuert werden.
Beispiele:
Leser
Administrator
Netzwerkadministrator
Sicherheitsadministrator
Datenbankadministrator
Entwickler
Abrechnungszugriff
Merksatz:
Rollen helfen,
Cloud-Rechte nach Aufgabe zu vergeben.
---
**Least Privilege in der Cloud**
Auch in der Cloud gilt:
so wenig Rechte wie möglich,
so viele wie nötig.
Nicht gut:
alle Benutzer sind Administratoren
API-Schlüssel mit Vollzugriff
öffentliche Speichercontainer
Datenbank öffentlich erreichbar
Managementport offen im Internet
Merksatz:
Least Privilege ist in der Cloud besonders wichtig.
---
**Cloud-Fehlkonfigurationen**
Viele Cloud-Sicherheitsvorfälle entstehen durch Fehlkonfigurationen.
Beispiele:
Speicher öffentlich lesbar
Datenbank öffentlich erreichbar
zu breite Security Group
Adminrechte für zu viele Benutzer
fehlende MFA
offene Managementports
unverschlüsselte Daten
keine Logs
keine Kostenlimits
Merksatz:
Cloud-Fehler entstehen häufig durch falsche Konfiguration,
nicht durch defekte Technik.
---
**Cloud-Logging**
Cloud-Logs zeigen:
Anmeldungen
API-Aufrufe
Änderungen an Ressourcen
Netzwerkzugriffe
Firewall-Entscheidungen
Fehlermeldungen
Sicherheitsereignisse
Abrechnungsereignisse
Wichtig:
Logs aktivieren
Logs schützen
Logs zentral auswerten
Aufbewahrung regeln
Merksatz:
Cloud-Logs zeigen,
wer was wann geändert hat.
---
**Cloud-Monitoring**
Cloud-Monitoring überwacht:
Verfügbarkeit
CPU
RAM
Speicher
Datenbanklast
Netzwerkverkehr
Fehlerquoten
Antwortzeiten
Kosten
Zertifikate
Sicherheitsereignisse
Merksatz:
Cloud-Monitoring ist für Betrieb,
Sicherheit
und Kostenkontrolle wichtig.
---
**Backup in der Cloud**
Cloud-Dienste brauchen Backup-Konzepte.
Wichtig:
Was wird gesichert?
Wie oft?
Wie lange?
Wo wird gespeichert?
Wer darf wiederherstellen?
Wurde Wiederherstellung getestet?
Ist Backup vor Löschung oder Ransomware geschützt?
Merksatz:
Cloud ersetzt nicht automatisch Backup.
---
**Cloud und Datenschutz**
Bei Cloud-Diensten müssen Datenschutzanforderungen beachtet werden.
Wichtige Fragen:
Welche Daten werden verarbeitet?
Wo werden Daten gespeichert?
Wer hat Zugriff?
Gibt es Auftragsverarbeitung?
Sind Daten verschlüsselt?
Gibt es Löschkonzepte?
Werden Logs personenbezogen?
Welche Anbieterbedingungen gelten?
Merksatz:
Cloud-Nutzung braucht Datenschutzprüfung.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was bedeutet Cloud Computing?
- Was ist der Unterschied zwischen On-Premises und Cloud?
- Was ist Public Cloud?
- Was ist Private Cloud?
- Was ist Hybrid Cloud?
- Was ist Multi Cloud?
- Was bedeutet IaaS?
- Was bedeutet PaaS?
- Was bedeutet SaaS?
- Was ist das Shared Responsibility Model?
- Wer ist bei einer Cloud-VM für Betriebssystemupdates verantwortlich?
- Was ist Serverless?
- Was ist Auto Scaling?
- Was ist ein Load Balancer?
- Warum ist IAM in der Cloud wichtig?
- Warum ist Cloud nicht automatisch sicher?
- Warum ist Cloud nicht automatisch günstiger?
- Warum braucht Cloud Backup und Monitoring?
---
**Typische Prüfungsfallen**
Cloud bedeutet nicht automatisch Internetseite.
Cloud bedeutet nicht automatisch weniger Verantwortung.
On-Premises ist lokal selbst betrieben.
Public Cloud ist Anbieterplattform für viele Kunden.
Private Cloud ist Cloud-Prinzip für eine Organisation.
Hybrid Cloud kombiniert lokal und Cloud.
Multi Cloud nutzt mehrere Anbieter.
IaaS ist virtuelle Infrastruktur.
PaaS ist Plattform für Anwendungen.
SaaS ist fertige Software.
Shared Responsibility bedeutet geteilte Verantwortung.
Cloud-VM muss der Kunde oft selbst patchen.
SaaS-Benutzerrechte bleiben Kundenthema.
Serverless heißt nicht serverfrei.
Cloud ist nicht automatisch hochverfügbar.
Cloud ist nicht automatisch günstiger.
Pay as you go braucht Kostenkontrolle.
IAM ist zentral für Cloud-Sicherheit.
Öffentliche Speicherfreigaben sind gefährlich.
Cloud braucht Backup,
Logs
und Monitoring.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| Cloud | IT-Ressourcen als Dienst |
| On-Premises | lokal selbst betrieben |
| Public Cloud | öffentliche Anbieterplattform |
| Private Cloud | Cloud für eine Organisation |
| Hybrid Cloud | Mischung aus lokal und Cloud |
| Multi Cloud | mehrere Cloud-Anbieter |
| Community Cloud | Cloud für bestimmte Gruppe |
| IaaS | Infrastructure as a Service |
| PaaS | Platform as a Service |
| SaaS | Software as a Service |
| Shared Responsibility | geteilte Verantwortung |
| Virtualisierung | Aufteilen physischer Ressourcen |
| Container | portable Anwendungseinheit |
| Orchestrierung | automatische Verwaltung vieler Dienste |
| Kubernetes | Container-Orchestrierung |
| Serverless | keine Serververwaltung durch Kunden |
| FaaS | Function as a Service |
| Cloud Storage | Speicher aus der Cloud |
| Objektspeicher | Speicher für Objekte mit Metadaten |
| Blockspeicher | virtuelle Festplatte |
| Dateispeicher | Dateifreigabe als Dienst |
| VPC / VNet | virtuelles Cloud-Netz |
| Public Subnet | öffentlich angebundenes Subnetz |
| Private Subnet | internes Cloud-Subnetz |
| Security Group | virtuelle Firewall-Regelgruppe |
| Load Balancer | verteilt Anfragen |
| Auto Scaling | automatische Skalierung |
| Region | geografischer Cloud-Standort |
| Verfügbarkeitszone | getrennte Zone innerhalb Region |
| IAM | Identitäts- und Rechteverwaltung |
| CAPEX | Investitionsausgaben |
| OPEX | Betriebsausgaben |
---
**IHK-sichere Kurzformulierung**
Cloud Computing bedeutet, dass IT-Ressourcen wie Rechenleistung, Speicher, Datenbanken, Plattformen oder Anwendungen über ein Netzwerk als Dienst bereitgestellt werden. Bei On-Premises betreibt ein Unternehmen seine IT lokal selbst, während Public Cloud von einem Anbieter für viele Kunden bereitgestellt wird. Private Cloud nutzt Cloud-Prinzipien für eine Organisation, Hybrid Cloud kombiniert lokale IT und Cloud, und Multi Cloud nutzt mehrere Anbieter. Die wichtigsten Service-Modelle sind IaaS, PaaS und SaaS. Beim Shared Responsibility Model teilen sich Anbieter und Kunde die Verantwortung. Der Anbieter betreibt je nach Modell Teile der Infrastruktur, der Kunde bleibt aber für Benutzer, Daten, Berechtigungen, sichere Konfiguration, Backup, Monitoring und Compliance verantwortlich.
---
**Merksätze**
Cloud = IT-Ressourcen als Dienst.
On-Premises = lokal selbst betrieben.
Public Cloud = Anbieterplattform für viele Kunden.
Private Cloud = Cloud für eine Organisation.
Hybrid Cloud = lokal plus Cloud.
Multi Cloud = mehrere Anbieter.
IaaS = virtuelle Infrastruktur.
PaaS = Plattform für Anwendungen.
SaaS = fertige Software.
Shared Responsibility = geteilte Verantwortung.
Je fertiger der Dienst,
desto mehr Betrieb übernimmt der Anbieter.
Kundendaten und Zugriffe bleiben Kundenthema.
Cloud-VM ist nicht automatisch gepatcht.
SaaS braucht Benutzer- und Rechteverwaltung.
Virtualisierung ist Grundlage vieler Cloud-Dienste.
Container verpacken Anwendungen.
Kubernetes orchestriert Container.
Serverless heißt nicht serverfrei.
FaaS führt Funktionen ereignisgesteuert aus.
Cloud Storage kann Objekt,
Block
oder Datei sein.
Cloud-Netze müssen geplant werden.
Security Groups sind virtuelle Firewall-Regeln.
Load Balancer verteilt Last.
Auto Scaling passt Ressourcen automatisch an.
Cloud ist nicht automatisch hochverfügbar.
Region bestimmt Datenstandort.
Cloud ist nicht automatisch günstiger.
Pay as you go braucht Kostenkontrolle.
IAM ist zentral für Cloud-Sicherheit.
Least Privilege gilt auch in der Cloud.
Cloud-Fehlkonfigurationen sind häufige Risiken.
Cloud braucht Logs,
Monitoring,
Backup
und Datenschutzprüfung.
# 15.2 IaaS, PaaS und SaaS im Detail
IaaS,
PaaS
und SaaS sind die wichtigsten Cloud-Service-Modelle.
Sie beschreiben,
welche Teile der IT vom Anbieter bereitgestellt werden
und welche Teile der Kunde selbst verwaltet.
Die drei Begriffe stehen für:
IaaS:
Infrastructure as a Service
PaaS:
Platform as a Service
SaaS:
Software as a Service
Merksatz:
IaaS,
PaaS
und SaaS unterscheiden sich vor allem durch die Verantwortungsverteilung.
---
**Warum sind Service-Modelle wichtig?**
In Prüfungen und in der Praxis muss man erkennen können:
Was betreibt der Anbieter?
Was betreibt der Kunde?
Wer ist für Updates verantwortlich?
Wer kümmert sich um Benutzer?
Wer sichert Daten?
Wer konfiguriert die Anwendung?
Wer schützt Zugänge?
Das ist wichtig,
weil Cloud nicht bedeutet,
dass der Anbieter automatisch alles übernimmt.
Merksatz:
Cloud-Nutzung heißt nicht:
keine eigene Verantwortung mehr.
---
**Grundidee der drei Modelle**
Vereinfacht:
IaaS:
Der Anbieter liefert die technische Infrastruktur.
PaaS:
Der Anbieter liefert zusätzlich die Plattform für Anwendungen.
SaaS:
Der Anbieter liefert die fertige Anwendung.
Je weiter man von IaaS zu SaaS geht,
desto mehr übernimmt der Anbieter.
Merksatz:
IaaS = viel Kontrolle.
SaaS = viel fertiger Dienst.
PaaS = dazwischen.
---
**Vergleich in Kurzform**
| Modell | Kunde bekommt | Kunde verwaltet vor allem |
|---|---|---|
| IaaS | virtuelle Infrastruktur | Betriebssystem, Anwendung, Daten |
| PaaS | Plattform für Anwendungen | Anwendung, Daten, Konfiguration |
| SaaS | fertige Anwendung | Benutzer, Rechte, Daten, Einstellungen |
Merksatz:
Je fertiger der Dienst,
desto weniger technische Basis verwaltet der Kunde selbst.
---
**IaaS im Detail**
IaaS bedeutet:
Infrastructure as a Service
Der Anbieter stellt grundlegende Infrastruktur bereit.
Dazu gehören zum Beispiel:
- virtuelle Maschinen
- virtuelle Netzwerke
- virtuelle Festplatten
- Firewalls
- Load Balancer
- öffentliche IP-Adressen
- private IP-Adressen
- Snapshots
- Storage
- Routingtabellen
Der Kunde baut darauf seine Systeme auf.
Merksatz:
IaaS ist wie ein gemieteter virtueller Serverraum.
---
**Typische IaaS-Beispiele**
Typische IaaS-Ressourcen:
virtuelle Server
virtuelle Router
virtuelle Firewalls
virtuelle Netzwerke
Block Storage
Object Storage
Load Balancer
VPN-Gateway
Backup-Speicher
Typische Nutzung:
eigene Anwendungen betreiben
eigene Server migrieren
Testumgebungen aufbauen
Entwicklungsumgebungen bereitstellen
Disaster Recovery vorbereiten
Merksatz:
IaaS eignet sich,
wenn man viel Kontrolle über Server und Netzwerk braucht.
---
**Was übernimmt der Anbieter bei IaaS?**
Der Anbieter übernimmt typischerweise:
Rechenzentrum
physische Server
Stromversorgung
Kühlung
physische Netzwerkanbindung
Hardwarewartung
Virtualisierungsplattform
Grundverfügbarkeit der Infrastruktur
Der Kunde muss sich nicht selbst um physische Hardware kümmern.
Merksatz:
Bei IaaS übernimmt der Anbieter vor allem die physische und virtuelle Basis.
---
**Was übernimmt der Kunde bei IaaS?**
Der Kunde übernimmt typischerweise:
Betriebssysteminstallation
Betriebssystemupdates
Benutzerkonten
Firewall-Konfiguration
Anwendungsinstallation
Anwendungskonfiguration
Daten
Backups
Monitoring
Sicherheitskonfiguration
Patches innerhalb der VM
Merksatz:
Eine Cloud-VM muss der Kunde meistens selbst administrieren.
---
**IaaS-Vorteile**
Vorteile:
hohe Kontrolle
flexible Servergrößen
schnelle Bereitstellung
keine eigene Hardwarebeschaffung
gut für Migration vorhandener Server
gut für individuelle Anwendungen
skalierbare Infrastruktur
netzwerktechnisch flexibel
Merksatz:
IaaS bietet viel Flexibilität und Kontrolle.
---
**IaaS-Nachteile**
Nachteile:
Kunde muss viel selbst verwalten
Betriebssystempflege bleibt notwendig
Sicherheitskonfiguration bleibt Kundenthema
Fehlkonfigurationen möglich
Kosten können steigen
Monitoring und Backup müssen geplant werden
Know-how für Betrieb nötig
Merksatz:
IaaS nimmt Hardware ab,
aber nicht den Serverbetrieb.
---
**IaaS-Prüfungsbeispiel**
Aufgabe:
Ein Unternehmen betreibt eine virtuelle Linux-VM in der Cloud.
Darauf läuft eine eigene Webanwendung.
Frage:
Wer ist für Betriebssystemupdates verantwortlich?
Antwort:
In der Regel der Kunde.
Warum?
Der Anbieter stellt die Infrastruktur.
Der Kunde betreibt Betriebssystem und Anwendung.
Merksatz:
Cloud-VM heißt nicht:
Anbieter patcht automatisch das Betriebssystem.
---
**PaaS im Detail**
PaaS bedeutet:
Platform as a Service
Der Anbieter stellt eine Plattform bereit,
auf der Anwendungen betrieben werden können.
Der Kunde muss sich nicht direkt um die darunterliegende Infrastruktur kümmern.
Typische Bestandteile:
Laufzeitumgebung
Web-App-Plattform
verwaltete Datenbank
Middleware
Build- und Deployment-Funktionen
Skalierungsfunktionen
Monitoring-Grundfunktionen
Merksatz:
PaaS ist eine fertige Plattform für eigene Anwendungen.
---
**Typische PaaS-Beispiele**
Typische PaaS-Angebote:
verwaltete Datenbank
Web-App-Service
App-Plattform
Containerplattform als Dienst
Entwicklungsplattform
API-Plattform
Message Queue als Dienst
Cache-Dienst
Laufzeitumgebung für Code
Typische Nutzung:
eigene Anwendung bereitstellen,
ohne Serverbetrieb im Detail zu übernehmen.
Merksatz:
PaaS ist gut,
wenn man Anwendung betreiben will,
aber weniger Serververwaltung möchte.
---
**Was übernimmt der Anbieter bei PaaS?**
Der Anbieter übernimmt typischerweise:
physische Infrastruktur
Virtualisierung
Betriebssystembasis
Laufzeitumgebung
Plattformupdates
Skalierungsmechanismen
Teile des Monitorings
Hochverfügbarkeitsfunktionen je nach Dienst
Merksatz:
Bei PaaS übernimmt der Anbieter mehr als bei IaaS.
---
**Was übernimmt der Kunde bei PaaS?**
Der Kunde übernimmt typischerweise:
Anwendungscode
Anwendungskonfiguration
Daten
Benutzer und Rollen
Zugriffsschlüssel
API-Konfiguration
sichere Einstellungen
fachliche Backups je nach Dienst
Berechtigungen
Datenschutz und Compliance
Merksatz:
Bei PaaS bleibt die Anwendung Kundenthema.
---
**PaaS-Vorteile**
Vorteile:
weniger Serveradministration
schnellere Entwicklung
einfachere Skalierung
integrierte Plattformfunktionen
weniger Betriebssystempflege
oft automatische Updates der Plattform
gut für moderne Anwendungen
häufig gute Integration in DevOps-Prozesse
Merksatz:
PaaS entlastet vom Betrieb der technischen Basis.
---
**PaaS-Nachteile**
Nachteile:
weniger Kontrolle über darunterliegende Systeme
Abhängigkeit von Plattformfunktionen
mögliche Anbieterbindung
Einschränkungen bei Spezialkonfigurationen
Kostenmodell muss verstanden werden
Fehlkonfigurationen weiterhin möglich
Merksatz:
PaaS nimmt Arbeit ab,
kann aber stärker an den Anbieter binden.
---
**PaaS-Prüfungsbeispiel**
Aufgabe:
Ein Unternehmen nutzt eine verwaltete Datenbank in der Cloud.
Frage:
Muss das Unternehmen den Datenbankserver selbst installieren?
Antwort:
Nein.
Aber das Unternehmen bleibt verantwortlich für:
Daten
Benutzerrechte
Zugriffskonfiguration
Backup-Einstellungen je nach Dienst
sichere Konfiguration
Merksatz:
Verwaltete Datenbank bedeutet nicht:
keine Datenverantwortung.
---
**SaaS im Detail**
SaaS bedeutet:
Software as a Service
Der Kunde nutzt eine fertige Anwendung,
die vom Anbieter betrieben wird.
Typische Beispiele:
E-Mail
Online-Office
CRM
Ticketsystem
Videokonferenzdienst
Projektmanagement
Cloud-Speicher
Buchhaltungssystem
Lernplattform
Merksatz:
SaaS ist fertige Software aus der Cloud.
---
**Was übernimmt der Anbieter bei SaaS?**
Der Anbieter übernimmt typischerweise:
Anwendung
Plattform
Infrastruktur
Updates
Wartung
Grundverfügbarkeit
technische Skalierung
technische Sicherheitsmaßnahmen
Betrieb der Datenbank
Betrieb der Server
Merksatz:
Bei SaaS übernimmt der Anbieter den größten Teil des technischen Betriebs.
---
**Was übernimmt der Kunde bei SaaS?**
Der Kunde übernimmt typischerweise:
Benutzerkonten
Rollen
Berechtigungen
MFA-Einstellungen
Datenklassifizierung
Freigaben
Aufbewahrungsrichtlinien
Löschkonzepte
Schulung der Benutzer
sichere Konfiguration
Vertrags- und Datenschutzprüfung
Merksatz:
SaaS nimmt Betrieb ab,
aber nicht Benutzer-,
Rechte-
und Datenverantwortung.
---
**SaaS-Vorteile**
Vorteile:
schnell nutzbar
keine eigene Serverinstallation
automatische Updates durch Anbieter
ortsunabhängiger Zugriff
einfache Skalierung nach Benutzern
oft geringe Einstiegshürde
gute Zusammenarbeit
weniger technischer Betrieb
Merksatz:
SaaS ist schnell einsatzbereit und reduziert Betriebsaufwand.
---
**SaaS-Nachteile**
Nachteile:
weniger technische Kontrolle
Abhängigkeit vom Anbieter
Datenstandort prüfen
Datenschutz prüfen
Lizenzkosten beachten
Internetabhängigkeit
eingeschränkte Anpassbarkeit
falsche Freigaben können Daten offenlegen
Merksatz:
SaaS ist bequem,
braucht aber sorgfältige Rechte- und Datenschutzkontrolle.
---
**SaaS-Prüfungsbeispiel**
Aufgabe:
Ein Unternehmen nutzt einen Cloud-E-Mail-Dienst.
Frage:
Wer ist für Benutzerrechte,
MFA
und Postfachfreigaben verantwortlich?
Antwort:
Der Kunde.
Der Anbieter betreibt den Dienst,
aber der Kunde verwaltet Zugriffe und Einstellungen.
Merksatz:
SaaS-Anbieter betreibt die Software,
der Kunde verwaltet Nutzung und Zugriff.
---
**Verantwortungsschichten**
Man kann IT grob in Schichten betrachten:
Daten
Anwendung
Laufzeitumgebung
Middleware
Betriebssystem
Virtualisierung
Server
Speicher
Netzwerk
Rechenzentrum
Je nach Service-Modell verschiebt sich Verantwortung.
Merksatz:
Service-Modelle verschieben Verantwortung zwischen Anbieter und Kunde.
---
**Verantwortung grob vergleichen**
| Schicht | IaaS | PaaS | SaaS |
|---|---|---|---|
| Daten | Kunde | Kunde | Kunde |
| Benutzer und Rechte | Kunde | Kunde | Kunde |
| Anwendung | Kunde | Kunde | Anbieter |
| Laufzeitumgebung | Kunde | Anbieter | Anbieter |
| Betriebssystem | Kunde | Anbieter | Anbieter |
| Virtualisierung | Anbieter | Anbieter | Anbieter |
| Physische Server | Anbieter | Anbieter | Anbieter |
| Rechenzentrum | Anbieter | Anbieter | Anbieter |
Merksatz:
Daten,
Benutzer
und Rechte bleiben fast immer Kundenthema.
---
**Shared Responsibility Model**
Das Shared Responsibility Model beschreibt,
wie sich Anbieter und Kunde Verantwortung teilen.
Wichtig:
Es gibt keine pauschale Antwort für alle Dienste.
Die genaue Verantwortung hängt ab von:
Service-Modell
Anbieter
Vertrag
Dienstkonfiguration
Sicherheitsoptionen
Unternehmensrichtlinien
Merksatz:
Shared Responsibility immer konkret für den genutzten Dienst prüfen.
---
**Typischer Denkfehler**
Falsch:
Das ist Cloud,
also kümmert sich der Anbieter um Sicherheit.
Richtig:
Der Anbieter kümmert sich je nach Modell um Teile der Sicherheit.
Der Kunde bleibt für sichere Nutzung,
Konfiguration,
Daten,
Identitäten
und Berechtigungen verantwortlich.
Merksatz:
Cloud-Sicherheit ist gemeinsame Verantwortung.
---
**Beispiel: Unsichere IaaS-Konfiguration**
Ein Unternehmen betreibt eine VM in der Cloud.
Fehler:
SSH offen für das gesamte Internet
schwaches Passwort
keine Updates
keine Host-Firewall
keine Backups
keine Logs
Obwohl die Cloud-Infrastruktur sicher betrieben wird,
ist die VM unsicher konfiguriert.
Merksatz:
IaaS-Fehlkonfigurationen liegen oft beim Kunden.
---
**Beispiel: Unsichere PaaS-Konfiguration**
Ein Unternehmen nutzt eine verwaltete Datenbank.
Fehler:
Datenbank öffentlich erreichbar
zu breite IP-Freigabe
schwache Zugangsdaten
keine Verschlüsselung erzwungen
keine Backups aktiviert
Adminzugang für zu viele Benutzer
Merksatz:
PaaS muss sicher konfiguriert werden.
---
**Beispiel: Unsichere SaaS-Konfiguration**
Ein Unternehmen nutzt Cloud-Speicher.
Fehler:
Ordner öffentlich freigegeben
Gastzugriff zu breit erlaubt
MFA nicht aktiviert
alte Benutzerkonten aktiv
externe Freigaben nicht geprüft
keine Aufbewahrungsrichtlinien
Merksatz:
SaaS-Fehler entstehen oft durch falsche Freigaben und Rechte.
---
**Lift and Shift**
Lift and Shift bedeutet:
bestehende Server oder Anwendungen werden möglichst unverändert in die Cloud verschoben.
Beispiel:
lokaler Windows-Server
wird als Cloud-VM betrieben.
Vorteil:
schnelle Migration
Nachteil:
Cloud-Vorteile wie PaaS,
Skalierung
und Automatisierung werden oft nur teilweise genutzt.
Merksatz:
Lift and Shift verschiebt Systeme,
modernisiert sie aber nicht automatisch.
---
**Cloud-native**
Cloud-native bedeutet:
Anwendungen werden speziell für Cloud-Umgebungen entwickelt oder angepasst.
Typische Merkmale:
Skalierbarkeit
Automatisierung
Container
Microservices
API-orientierte Architektur
Monitoring
schnelle Bereitstellung
Resilienz
Merksatz:
Cloud-native nutzt Cloud-Prinzipien bewusst aus.
---
**Managed Service**
Ein Managed Service ist ein Dienst,
bei dem der Anbieter Betrieb und Wartung teilweise übernimmt.
Beispiele:
verwaltete Datenbank
verwalteter Kubernetes-Cluster
verwalteter Cache
verwaltete Firewall
verwaltetes Backup
Merksatz:
Managed Service reduziert Betriebsaufwand,
aber nicht automatisch Kundenverantwortung.
---
**Self-Managed**
Self-Managed bedeutet:
Der Kunde betreibt und verwaltet einen Dienst selbst.
Beispiel:
Datenbank selbst auf einer Cloud-VM installieren.
Der Kunde ist dann verantwortlich für:
Installation
Updates
Backup
Sicherheit
Monitoring
Skalierung
Wiederherstellung
Merksatz:
Self-Managed gibt Kontrolle,
aber auch Betriebsverantwortung.
---
**Managed und Self-Managed vergleichen**
| Merkmal | Managed Service | Self-Managed |
|---|---|---|
| Betrieb | Anbieter übernimmt mehr | Kunde übernimmt mehr |
| Kontrolle | etwas geringer | höher |
| Wartung | geringer für Kunden | höher |
| Flexibilität | abhängig vom Dienst | oft höher |
| Verantwortung | geteilt | stärker beim Kunden |
| Beispiel | Cloud-Datenbank | Datenbank auf eigener VM |
Merksatz:
Managed spart Betrieb.
Self-Managed gibt Kontrolle.
---
**As-a-Service-Prinzip**
As a Service bedeutet:
Eine IT-Funktion wird als Dienst bereitgestellt.
Neben IaaS,
PaaS
und SaaS gibt es weitere Begriffe.
Beispiele:
Backup as a Service
Database as a Service
Desktop as a Service
Security as a Service
Function as a Service
Network as a Service
Merksatz:
As a Service bedeutet:
Nutzung als Dienst statt vollständig eigener Betrieb.
---
**DaaS**
DaaS kann je nach Kontext bedeuten:
Desktop as a Service
oder:
Database as a Service
In Prüfungen muss man auf den Kontext achten.
Desktop as a Service:
virtuelle Desktops aus der Cloud
Database as a Service:
verwaltete Datenbank als Cloud-Dienst
Merksatz:
DaaS immer im Kontext lesen.
---
**FaaS**
FaaS steht für:
Function as a Service
Dabei werden einzelne Funktionen ausgeführt,
wenn ein Ereignis eintritt.
Beispiel:
Datei wird hochgeladen.
Funktion startet automatisch.
Datei wird verarbeitet.
FaaS gehört oft zum Serverless-Bereich.
Merksatz:
FaaS führt Code ereignisgesteuert aus.
---
**BaaS**
BaaS kann bedeuten:
Backup as a Service
oder:
Backend as a Service
Backup as a Service:
Backups werden als Cloud-Dienst bereitgestellt.
Backend as a Service:
Backend-Funktionen für Anwendungen werden bereitgestellt,
zum Beispiel Authentifizierung,
Datenbank
oder Push-Benachrichtigungen.
Merksatz:
BaaS ebenfalls immer im Kontext verstehen.
---
**XaaS**
XaaS steht für:
Anything as a Service
oder:
Everything as a Service
Es ist ein Sammelbegriff für viele Dienste,
die als Cloud-Service bereitgestellt werden.
Merksatz:
XaaS ist ein Oberbegriff für Dienste aus der Cloud.
---
**Typische Einordnung von Beispielen**
| Beispiel | Service-Modell |
|---|---|
| virtuelle Maschine | IaaS |
| virtueller Datenträger | IaaS |
| virtuelles Netzwerk | IaaS |
| verwaltete Datenbank | PaaS |
| Web-App-Plattform | PaaS |
| Containerplattform als Dienst | PaaS |
| fertiges E-Mail-System | SaaS |
| Online-Office | SaaS |
| CRM aus der Cloud | SaaS |
| Ticketsystem aus der Cloud | SaaS |
| einzelne Funktion bei Ereignis | FaaS / Serverless |
Merksatz:
Frage immer:
Nutze ich Infrastruktur,
Plattform
oder fertige Software?
---
**Entscheidungshilfe**
| Ziel | passendes Modell |
|---|---|
| maximale Kontrolle über Server | IaaS |
| eigene Anwendung ohne Serverbetrieb | PaaS |
| fertige Anwendung schnell nutzen | SaaS |
| Ereignisgesteuerte kleine Funktionen | FaaS |
| klassische Servermigration | IaaS / Lift and Shift |
| moderne skalierbare Anwendung | PaaS / Container / Serverless |
Merksatz:
Das Modell richtet sich nach Kontrolle,
Aufwand
und Anwendungszweck.
---
**Kostenunterschiede**
IaaS,
PaaS
und SaaS haben unterschiedliche Kostenmodelle.
IaaS:
VM-Laufzeit
Speicher
Netzwerkverkehr
Backups
PaaS:
Dienstgröße
Nutzung
Datenbankleistung
Anfragen
Speicher
SaaS:
Benutzerlizenzen
Funktionspakete
Speicher
Zusatzmodule
Merksatz:
Cloud-Kosten entstehen je nach Service-Modell unterschiedlich.
---
**Sicherheitsunterschiede**
IaaS:
Kunde muss Server stark selbst absichern.
PaaS:
Kunde muss Anwendung,
Daten
und Zugriff absichern.
SaaS:
Kunde muss Benutzer,
Rollen,
Freigaben
und Daten absichern.
Merksatz:
Sicherheit verlagert sich,
verschwindet aber nicht.
---
**Betriebsunterschiede**
IaaS:
viel Betrieb beim Kunden
PaaS:
mittlerer Betrieb beim Kunden
SaaS:
wenig technischer Betrieb beim Kunden
Aber:
Fachliche Administration bleibt bei allen Modellen wichtig.
Merksatz:
Weniger technischer Betrieb heißt nicht keine Administration.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was bedeutet IaaS?
- Was bedeutet PaaS?
- Was bedeutet SaaS?
- Worin unterscheiden sich IaaS, PaaS und SaaS?
- Wer ist bei IaaS für Betriebssystemupdates verantwortlich?
- Wer verwaltet bei SaaS Benutzer und Rechte?
- Was bedeutet Shared Responsibility?
- Warum ist eine Cloud-VM nicht automatisch sicher?
- Was ist ein Managed Service?
- Was ist Self-Managed?
- Was bedeutet Lift and Shift?
- Was bedeutet Cloud-native?
- Was ist FaaS?
- Warum ist Hashing oder Verschlüsselung allein kein Ersatz für Rechteverwaltung?
- Warum bleibt der Kunde auch bei SaaS für Daten verantwortlich?
---
**Typische Prüfungsfallen**
IaaS ist nicht fertige Software.
SaaS ist nicht eigener Server.
PaaS liegt zwischen IaaS und SaaS.
Cloud-VMs muss der Kunde oft selbst patchen.
Verwaltete Datenbank heißt nicht:
Daten sind automatisch korrekt geschützt.
SaaS heißt nicht:
alle Benutzerrechte sind automatisch sicher.
Shared Responsibility gilt immer konkret je Dienst.
Daten bleiben Kundenthema.
Benutzer und Rechte bleiben Kundenthema.
Backup muss geprüft werden.
Cloud ist nicht automatisch sicher.
Cloud ist nicht automatisch günstiger.
Managed Service reduziert Betrieb,
aber nicht Verantwortung.
Lift and Shift modernisiert nicht automatisch.
Serverless heißt nicht,
dass keine Server existieren.
FaaS führt Funktionen ereignisgesteuert aus.
DaaS und BaaS im Kontext lesen.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| IaaS | Infrastructure as a Service |
| PaaS | Platform as a Service |
| SaaS | Software as a Service |
| Shared Responsibility | geteilte Verantwortung zwischen Anbieter und Kunde |
| Cloud-VM | virtuelle Maschine in der Cloud |
| Managed Service | Anbieter übernimmt Teile des Betriebs |
| Self-Managed | Kunde betreibt Dienst selbst |
| Lift and Shift | bestehendes System in Cloud verschieben |
| Cloud-native | speziell für Cloud-Prinzipien entwickelt |
| FaaS | Function as a Service |
| DaaS | je nach Kontext Desktop oder Database as a Service |
| BaaS | je nach Kontext Backup oder Backend as a Service |
| XaaS | Sammelbegriff für Dienste als Service |
| Plattform | Umgebung zum Ausführen von Anwendungen |
| Runtime | Laufzeitumgebung für Anwendungscode |
| Middleware | Software zwischen Betriebssystem und Anwendung |
| Service-Modell | beschreibt Verantwortungsverteilung |
| Anbieter | Cloud-Provider oder Dienstleister |
| Kunde | nutzende Organisation |
| Rechteverwaltung | Steuerung von Zugriffen |
| Konfiguration | technische und fachliche Einstellung eines Dienstes |
---
**IHK-sichere Kurzformulierung**
IaaS, PaaS und SaaS sind Cloud-Service-Modelle, die beschreiben, welche IT-Schichten vom Anbieter bereitgestellt werden und welche der Kunde selbst verwaltet. Bei IaaS stellt der Anbieter virtuelle Infrastruktur wie Server, Speicher und Netzwerke bereit, während der Kunde Betriebssystem, Anwendungen, Daten und Sicherheit innerhalb der Systeme verwaltet. Bei PaaS stellt der Anbieter zusätzlich Plattform und Laufzeitumgebung bereit, sodass der Kunde sich stärker auf Anwendung und Daten konzentriert. Bei SaaS nutzt der Kunde eine fertige Anwendung, bleibt aber für Benutzer, Rollen, Berechtigungen, Daten, Freigaben und sichere Konfiguration verantwortlich. Das Shared Responsibility Model beschreibt diese geteilte Verantwortung.
---
**Merksätze**
IaaS = Infrastructure as a Service.
PaaS = Platform as a Service.
SaaS = Software as a Service.
IaaS liefert virtuelle Infrastruktur.
PaaS liefert Plattform für Anwendungen.
SaaS liefert fertige Software.
IaaS gibt viel Kontrolle.
SaaS nimmt viel Betrieb ab.
PaaS liegt dazwischen.
Cloud-VM muss Kunde meist selbst patchen.
PaaS-Anwendung bleibt Kundenthema.
SaaS-Rechte bleiben Kundenthema.
Daten bleiben fast immer Kundenthema.
Benutzer und Rollen bleiben fast immer Kundenthema.
Shared Responsibility konkret prüfen.
Cloud-Sicherheit ist gemeinsame Verantwortung.
Managed Service reduziert Betriebsaufwand.
Self-Managed erhöht Verantwortung.
Lift and Shift verschiebt,
modernisiert aber nicht automatisch.
Cloud-native nutzt Cloud-Prinzipien.
Serverless heißt keine Serververwaltung durch Kunden.
FaaS führt Funktionen bei Ereignissen aus.
XaaS ist Sammelbegriff.
Frage immer:
Infrastruktur,
Plattform
oder fertige Anwendung?
Weniger technischer Betrieb heißt nicht:
keine Administration.
Cloud ist nicht automatisch sicher.
Cloud ist nicht automatisch günstiger.
# 15.3 Public Cloud, Private Cloud, Hybrid Cloud und Multi Cloud
Cloud kann unterschiedlich bereitgestellt werden.
Die wichtigsten Cloud-Bereitstellungsmodelle sind:
- Public Cloud
- Private Cloud
- Hybrid Cloud
- Multi Cloud
- Community Cloud
Diese Modelle beschreiben,
wo die Cloud betrieben wird,
wer sie nutzt
und wie stark sie vom Unternehmen selbst kontrolliert wird.
Merksatz:
Service-Modelle beschreiben,
was bereitgestellt wird.
Bereitstellungsmodelle beschreiben,
wo und für wen es bereitgestellt wird.
---
**Warum Bereitstellungsmodelle wichtig sind**
Nicht jede Cloud ist gleich aufgebaut.
Ein Unternehmen muss entscheiden:
Sollen Dienste beim öffentlichen Anbieter laufen?
Sollen sensible Systeme intern bleiben?
Sollen lokale Systeme mit Cloud verbunden werden?
Sollen mehrere Anbieter genutzt werden?
Gibt es Datenschutz- oder Compliance-Anforderungen?
Wie wichtig sind Kontrolle,
Kosten,
Skalierung
und Verfügbarkeit?
Merksatz:
Das passende Cloud-Modell hängt von Technik,
Sicherheit,
Kosten
und Anforderungen ab.
---
**Public Cloud**
Public Cloud bedeutet:
Ein Cloud-Anbieter stellt Ressourcen für viele Kunden bereit.
Die Kunden nutzen dieselbe Anbieterplattform,
sind aber logisch voneinander getrennt.
Typische Ressourcen:
virtuelle Maschinen
Speicher
Datenbanken
Webdienste
Containerdienste
KI-Dienste
Identitätsdienste
Monitoring
Backup
SaaS-Anwendungen
Merksatz:
Public Cloud ist Cloud beim öffentlichen Anbieter für viele Kunden.
---
**Public Cloud einfach erklärt**
Beispiel:
Ein Unternehmen mietet virtuelle Server bei einem Cloud-Anbieter.
Die Server laufen nicht im eigenen Serverraum,
sondern im Rechenzentrum des Anbieters.
Das Unternehmen verwaltet seine Ressourcen über:
Webportal
API
Kommandozeile
Automatisierung
Infrastructure as Code
Merksatz:
Public Cloud wird über Anbieterplattformen bereitgestellt und verwaltet.
---
**Typische Public-Cloud-Eigenschaften**
Typische Eigenschaften:
schnelle Bereitstellung
hohe Skalierbarkeit
nutzungsabhängige Abrechnung
große Auswahl an Diensten
weltweite Regionen
standardisierte Plattform
Self-Service
API-Steuerung
viele Automatisierungsmöglichkeiten
Merksatz:
Public Cloud ist schnell,
flexibel
und dienstorientiert.
---
**Public Cloud: Vorteile**
Vorteile:
keine eigene Hardwarebeschaffung
schnelle Bereitstellung
flexible Skalierung
viele fertige Dienste
weltweite Verfügbarkeit
nutzungsabhängige Kosten
moderne Sicherheitsfunktionen
Automatisierung gut möglich
geeignet für wechselnde Last
Merksatz:
Public Cloud bietet Flexibilität und schnelle Bereitstellung.
---
**Public Cloud: Nachteile**
Nachteile:
Abhängigkeit vom Anbieter
laufende Kosten können unübersichtlich werden
Datenschutz und Datenstandort prüfen
Internetabhängigkeit
weniger Kontrolle über physische Infrastruktur
Fehlkonfigurationen möglich
Anbieteränderungen können Auswirkungen haben
Know-how für sichere Nutzung nötig
Merksatz:
Public Cloud braucht Kostenkontrolle,
Sicherheitskonzept
und klare Verantwortlichkeiten.
---
**Public Cloud und Mandantentrennung**
In der Public Cloud nutzen viele Kunden dieselbe Plattform.
Damit Kunden getrennt bleiben,
gibt es Mandantentrennung.
Mandantentrennung bedeutet:
Ressourcen eines Kunden sind logisch von anderen Kunden getrennt.
Beispiele:
eigene Benutzerverwaltung
eigene virtuelle Netzwerke
eigene Speicherbereiche
eigene Zugriffsrechte
eigene Abrechnung
Merksatz:
Public Cloud ist gemeinsam genutzt,
aber logisch getrennt.
---
**Private Cloud**
Private Cloud bedeutet:
Cloud-Prinzipien werden für eine einzelne Organisation bereitgestellt.
Sie kann betrieben werden:
im eigenen Rechenzentrum
bei einem Dienstleister
in einer dedizierten Umgebung
Wichtig:
Die Plattform wird nicht allgemein von vielen unabhängigen Kunden geteilt,
sondern ist für eine Organisation bestimmt.
Merksatz:
Private Cloud ist Cloud für eine Organisation.
---
**Private Cloud einfach erklärt**
Beispiel:
Ein Unternehmen betreibt im eigenen Rechenzentrum eine virtualisierte Plattform.
Fachbereiche können dort selbst Ressourcen anfordern:
virtuelle Maschinen
Speicher
Netzwerke
Datenbanken
Testumgebungen
Die Bereitstellung erfolgt automatisiert und zentral verwaltet.
Merksatz:
Private Cloud nutzt Cloud-Prinzipien,
aber in kontrollierter Umgebung.
---
**Typische Private-Cloud-Eigenschaften**
Typische Eigenschaften:
mehr Kontrolle
dedizierte Umgebung
interne Sicherheitsvorgaben
eigene Netzstruktur
eigene Compliance-Vorgaben
Automatisierung
Self-Service
Ressourcenpools
interne Verrechnung möglich
Merksatz:
Private Cloud verbindet Cloud-Funktionen mit stärkerer Kontrolle.
---
**Private Cloud: Vorteile**
Vorteile:
hohe Kontrolle über Umgebung
besser an interne Vorgaben anpassbar
Daten können im eigenen Betrieb bleiben
eigene Sicherheitsarchitektur möglich
geeignet für sensible Systeme
Integration in bestehende Infrastruktur
weniger Abhängigkeit von Public-Cloud-Anbieter
Merksatz:
Private Cloud ist interessant,
wenn Kontrolle und Anpassung wichtig sind.
---
**Private Cloud: Nachteile**
Nachteile:
eigene Hardware oder Dienstleister nötig
höhere Betriebsverantwortung
Skalierung begrenzter als Public Cloud
Investitionskosten möglich
eigenes Fachwissen nötig
Wartung bleibt stärker beim Unternehmen
Verfügbarkeit muss selbst geplant werden
Merksatz:
Private Cloud gibt Kontrolle,
aber auch mehr Betriebsaufwand.
---
**Private Cloud ist nicht automatisch Cloud**
Nur weil Server virtualisiert sind,
ist es noch nicht automatisch eine Private Cloud.
Cloud-typische Merkmale sind zum Beispiel:
Self-Service
Automatisierung
Ressourcenpooling
schnelle Bereitstellung
messbare Nutzung
standardisierte Dienste
zentrale Verwaltung
Merksatz:
Virtualisierung allein ist noch keine vollständige Private Cloud.
---
**Public Cloud und Private Cloud vergleichen**
| Merkmal | Public Cloud | Private Cloud |
|---|---|---|
| Betreiber | öffentlicher Anbieter | Unternehmen oder Dienstleister |
| Nutzerkreis | viele Kunden | eine Organisation |
| Kontrolle | geringer über physische Basis | höher |
| Skalierung | sehr hoch | abhängig von eigener Kapazität |
| Kostenmodell | oft nutzungsabhängig | oft Investition plus Betrieb |
| Anpassbarkeit | begrenzt durch Anbieter | höher |
| Datenstandort | Anbieterregion wählen | stärker selbst bestimmbar |
Merksatz:
Public Cloud ist flexibler skalierbar.
Private Cloud ist stärker kontrollierbar.
---
**Hybrid Cloud**
Hybrid Cloud bedeutet:
Lokale IT oder Private Cloud wird mit Public Cloud kombiniert.
Beispiele:
internes Rechenzentrum
plus
Public-Cloud-Dienste
Oder:
Private Cloud
plus
Public Cloud
Merksatz:
Hybrid Cloud kombiniert lokale oder private IT mit Public Cloud.
---
**Hybrid Cloud einfach erklärt**
Beispiel:
Kundendatenbank läuft lokal.
Webfrontend läuft in der Public Cloud.
Backup wird zusätzlich in der Cloud gespeichert.
Verbindung erfolgt über VPN oder dedizierte Leitung.
So nutzt das Unternehmen lokale Kontrolle
und Cloud-Flexibilität gleichzeitig.
Merksatz:
Hybrid Cloud verbindet zwei Welten.
---
**Typische Hybrid-Cloud-Szenarien**
Typische Szenarien:
lokales Active Directory mit Cloud-Diensten verbinden
lokale Server mit Cloud-Backup sichern
Cloud-Webanwendung greift auf lokale Datenbank zu
lokale Anwendung nutzt Cloud-Speicher
Cloud als Ausweichstandort
schrittweise Migration in die Cloud
Lastspitzen in Cloud auslagern
sensible Daten lokal,
skalierbare Dienste in Cloud
Merksatz:
Hybrid Cloud wird oft für schrittweise Migration und flexible Erweiterung genutzt.
---
**Hybrid Cloud: Vorteile**
Vorteile:
Kombination aus Kontrolle und Skalierung
schrittweise Migration möglich
sensible Systeme können lokal bleiben
Cloud-Dienste ergänzen lokale IT
Backup und Notfallkonzepte möglich
flexible Lastverteilung
bestehende Investitionen weiter nutzbar
Merksatz:
Hybrid Cloud ermöglicht Übergang und Kombination.
---
**Hybrid Cloud: Nachteile**
Nachteile:
höhere Komplexität
Netzwerkanbindung muss stabil sein
VPN oder Direktverbindung nötig
Identitätsmanagement muss zusammenpassen
Monitoring über mehrere Umgebungen nötig
Sicherheitsregeln müssen abgestimmt werden
Datenflüsse müssen dokumentiert werden
Fehlersuche wird komplexer
Merksatz:
Hybrid Cloud ist flexibel,
aber technisch anspruchsvoller.
---
**Hybrid Cloud und Netzwerk**
Hybrid Cloud braucht eine sichere Verbindung zwischen Umgebungen.
Möglichkeiten:
Site-to-Site-VPN
dedizierte Leitung
Cloud-VPN
SD-WAN
private Verbindung zum Anbieter
Wichtig:
Routing
DNS
Firewall-Regeln
Latenz
Bandbreite
Verschlüsselung
Redundanz
Merksatz:
Hybrid Cloud steht und fällt mit sauberer Netzwerkanbindung.
---
**Hybrid Cloud und Identitäten**
Benutzer sollen oft sowohl lokale als auch Cloud-Dienste nutzen.
Dafür braucht man ein Identitätskonzept.
Beispiele:
lokale Benutzerverwaltung
Cloud-Verzeichnisdienst
Synchronisierung
Single Sign-On
MFA
Rollen
Conditional Access
Merksatz:
Hybrid Cloud braucht einheitliche Identitäten und Zugriffskonzepte.
---
**Hybrid Cloud und Datenflüsse**
Bei Hybrid Cloud muss klar sein:
Welche Daten liegen lokal?
Welche Daten liegen in der Cloud?
Welche Daten werden übertragen?
Wer darf zugreifen?
Wo werden Backups gespeichert?
Welche Systeme kommunizieren miteinander?
Welche Schnittstellen gibt es?
Merksatz:
Hybrid Cloud braucht dokumentierte Datenflüsse.
---
**Multi Cloud**
Multi Cloud bedeutet:
Ein Unternehmen nutzt mehrere Cloud-Anbieter gleichzeitig.
Beispiel:
Anbieter A für virtuelle Server
Anbieter B für E-Mail und Office
Anbieter C für Backup
Anbieter D für KI- oder Datenanalyse
Merksatz:
Multi Cloud bedeutet mehrere Cloud-Anbieter parallel.
---
**Multi Cloud ist nicht dasselbe wie Hybrid Cloud**
Hybrid Cloud:
Kombination aus lokaler IT und Cloud
Multi Cloud:
Nutzung mehrerer Cloud-Anbieter
Beispiel:
Nur Anbieter A und Anbieter B,
ohne lokale Systeme:
Multi Cloud,
aber nicht zwingend Hybrid Cloud.
Merksatz:
Hybrid beschreibt lokal plus Cloud.
Multi Cloud beschreibt mehrere Anbieter.
---
**Multi Cloud: Vorteile**
Vorteile:
weniger Abhängigkeit von einem Anbieter
passende Dienste je Anbieter nutzbar
bessere Verhandlungsposition möglich
Ausweichmöglichkeiten
regulatorische oder regionale Anforderungen leichter erfüllbar
Spezialdienste verschiedener Anbieter nutzbar
Merksatz:
Multi Cloud kann Anbieterabhängigkeit verringern.
---
**Multi Cloud: Nachteile**
Nachteile:
höhere Komplexität
unterschiedliche Bedienkonzepte
unterschiedliche Sicherheitsmodelle
mehrere IAM-Systeme
schwierigeres Monitoring
höhere Anforderungen an Know-how
Kostenkontrolle komplizierter
Datenübertragung zwischen Anbietern kann teuer sein
Merksatz:
Multi Cloud reduziert Abhängigkeit,
erhöht aber Komplexität.
---
**Multi Cloud und Vendor Lock-in**
Vendor Lock-in bedeutet:
Ein Unternehmen wird stark abhängig von einem Anbieter.
Ursachen:
proprietäre Dienste
spezielle APIs
spezielle Datenformate
komplexe Migration
hohe Ausstiegskosten
Mitarbeitende kennen nur eine Plattform
Multi Cloud kann Vendor Lock-in verringern,
aber nicht automatisch verhindern.
Merksatz:
Vendor Lock-in bedeutet starke Anbieterabhängigkeit.
---
**Multi Cloud und Portabilität**
Portabilität bedeutet:
Anwendungen oder Daten können leichter zwischen Umgebungen verschoben werden.
Möglichkeiten:
Container
offene Standards
standardisierte APIs
Infrastructure as Code
portable Datenformate
automatisierte Deployments
Aber:
vollständig einfache Portabilität ist selten.
Merksatz:
Portabilität muss geplant werden.
---
**Community Cloud**
Community Cloud bedeutet:
Eine Cloud wird von mehreren Organisationen mit ähnlichen Anforderungen genutzt.
Beispiele:
Behörden
Forschung
Bildung
Gesundheitswesen
bestimmte Branchen
Verbände
Gemeinsam sind oft:
Sicherheitsanforderungen
Datenschutzvorgaben
Compliance-Regeln
fachliche Anforderungen
Merksatz:
Community Cloud ist Cloud für eine bestimmte Gemeinschaft.
---
**Community Cloud: Vorteile**
Vorteile:
gemeinsame Anforderungen können besser berücksichtigt werden
branchenspezifische Vorgaben möglich
Kosten können geteilt werden
gemeinsame Standards
spezielle Sicherheits- und Compliance-Anforderungen
Merksatz:
Community Cloud bündelt ähnliche Anforderungen mehrerer Organisationen.
---
**Community Cloud: Nachteile**
Nachteile:
weniger flexibel als Public Cloud
begrenzter Nutzerkreis
Abstimmung zwischen Organisationen nötig
Governance komplexer
Angebot möglicherweise kleiner
Verantwortlichkeiten müssen klar geregelt sein
Merksatz:
Community Cloud braucht klare gemeinsame Regeln.
---
**Cloud-Modelle im Vergleich**
| Modell | Kerngedanke |
|---|---|
| Public Cloud | Anbieterplattform für viele Kunden |
| Private Cloud | Cloud für eine Organisation |
| Hybrid Cloud | lokale/private IT plus Public Cloud |
| Multi Cloud | mehrere Cloud-Anbieter |
| Community Cloud | Cloud für Organisationen mit gemeinsamen Anforderungen |
Merksatz:
Jedes Modell löst andere Anforderungen.
---
**Typische Entscheidungskriterien**
Wichtige Kriterien:
Datenschutz
Datenstandort
Kosten
Skalierbarkeit
Kontrolle
Verfügbarkeit
Compliance
Latenz
vorhandene Systeme
Know-how
Sicherheitsanforderungen
Anbieterabhängigkeit
Integrationsaufwand
Merksatz:
Cloud-Modell nach Anforderungen auswählen,
nicht nach Modewort.
---
**Datenstandort**
Datenstandort bedeutet:
Wo werden Daten gespeichert und verarbeitet?
Wichtig für:
Datenschutz
rechtliche Anforderungen
Kundenanforderungen
Latenz
Compliance
Vertragsbedingungen
Beispiel:
Daten müssen innerhalb der EU gespeichert werden.
Merksatz:
Datenstandort ist bei Cloud-Auswahl entscheidend.
---
**Compliance**
Compliance bedeutet:
Einhaltung von Regeln,
Gesetzen,
Standards
und internen Vorgaben.
Bei Cloud relevant:
Datenschutz
Informationssicherheit
Branchenvorgaben
Auditierbarkeit
Aufbewahrungsfristen
Löschkonzepte
Zugriffsnachweise
Vertragsanforderungen
Merksatz:
Cloud muss zu rechtlichen und organisatorischen Vorgaben passen.
---
**Cloud und Latenz**
Latenz ist die Verzögerung bei der Datenübertragung.
Sie ist wichtig bei:
Echtzeitanwendungen
Datenbankzugriffen
Remote Desktop
VoIP
Produktionssystemen
verteilten Anwendungen
Ein weit entfernter Cloud-Standort kann höhere Latenz verursachen.
Merksatz:
Cloud-Region beeinflusst Latenz.
---
**Cloud und Bandbreite**
Cloud-Dienste brauchen passende Bandbreite.
Relevant bei:
Backups
Dateiübertragung
Videodaten
Datenbankreplikation
Migration
Synchronisation
Hybrid-Cloud-Anbindung
Merksatz:
Cloud-Nutzung kann viel Netzwerkverkehr erzeugen.
---
**Cloud und Datenübertragungskosten**
Bei Cloud können Datenübertragungen Kosten verursachen.
Besonders wichtig:
ausgehender Datenverkehr aus der Cloud
Daten zwischen Regionen
Daten zwischen Anbietern
große Backups
Replikation
Downloads durch Benutzer
Merksatz:
Cloud-Traffic kann Kosten verursachen.
---
**Cloud und Verfügbarkeit**
Cloud-Anbieter stellen viele Möglichkeiten für Verfügbarkeit bereit.
Aber:
Der Kunde muss sie nutzen und konfigurieren.
Beispiele:
mehrere Zonen
mehrere Regionen
Load Balancer
Replikation
Backup
Auto Scaling
Monitoring
Merksatz:
Cloud bietet Möglichkeiten für Hochverfügbarkeit,
aber nicht automatisch fertige Hochverfügbarkeit.
---
**Cloud und Ausfallsicherheit**
Ausfallsicherheit bedeutet:
Ein Dienst bleibt trotz Störung nutzbar
oder kann schnell wiederhergestellt werden.
Wichtige Konzepte:
Redundanz
Backup
Wiederherstellung
Notfallplan
mehrere Zonen
mehrere Regionen
regelmäßige Tests
Merksatz:
Ausfallsicherheit muss geplant,
umgesetzt
und getestet werden.
---
**Cloud und Verantwortung**
Auch beim Bereitstellungsmodell gilt:
Verantwortung verschwindet nicht.
Der Kunde muss prüfen:
Wer betreibt was?
Wer sichert was?
Wer patcht was?
Wer darf zugreifen?
Wer überwacht?
Wer reagiert bei Störung?
Wer ist Ansprechpartner?
Was steht im Vertrag?
Merksatz:
Cloud-Verantwortung muss klar geregelt sein.
---
**Cloud und Verträge**
Cloud-Nutzung braucht klare vertragliche Regelungen.
Wichtige Punkte:
Leistungsumfang
Verfügbarkeit
Supportzeiten
Datenschutz
Datenstandort
Auftragsverarbeitung
Kündigung
Datenexport
Wiederherstellung
Sicherheitsmaßnahmen
Haftung
Merksatz:
Cloud ist auch ein organisatorisches und vertragliches Thema.
---
**Service Level Agreement**
Service Level Agreement wird abgekürzt:
SLA
Ein SLA beschreibt zugesicherte Serviceleistungen.
Beispiele:
Verfügbarkeit
Reaktionszeit
Wiederherstellungszeit
Supportzeit
Leistungswerte
Wichtig:
SLA genau lesen.
Hohe Prozentwerte bedeuten trotzdem mögliche Ausfallzeit.
Merksatz:
SLA beschreibt zugesicherte Servicequalität.
---
**SLA und Verfügbarkeit**
Verfügbarkeit wird oft in Prozent angegeben.
Beispiele:
| Verfügbarkeit | grobe Bedeutung |
|---:|---|
| 99 % | deutlich mehr mögliche Ausfallzeit als 99,9 % |
| 99,9 % | höher verfügbar |
| 99,99 % | sehr hohe Verfügbarkeit |
| 99,999 % | extrem hohe Verfügbarkeit |
Wichtig:
Je höher die Verfügbarkeit,
desto aufwendiger und teurer ist sie meist.
Merksatz:
Mehr Neunen bedeuten weniger erlaubte Ausfallzeit,
aber meist mehr Aufwand.
---
**Cloud und Exit-Strategie**
Eine Exit-Strategie beschreibt,
wie man einen Cloud-Dienst wieder verlassen kann.
Fragen:
Wie exportiere ich Daten?
In welchem Format bekomme ich Daten zurück?
Wie lange dauert Migration?
Welche Kosten entstehen?
Welche Abhängigkeiten gibt es?
Wie werden Daten beim Anbieter gelöscht?
Gibt es Alternativen?
Merksatz:
Cloud-Einstieg braucht auch Cloud-Ausstiegsplan.
---
**Cloud und Datenportabilität**
Datenportabilität bedeutet:
Daten können in ein anderes System oder zu einem anderen Anbieter übertragen werden.
Wichtig:
offene Formate
Exportfunktionen
dokumentierte Schnittstellen
keine unnötigen proprietären Abhängigkeiten
regelmäßige Exporttests
Merksatz:
Daten sollten nicht in einem Dienst gefangen sein.
---
**Cloud und Schatten-IT**
Schatten-IT bedeutet:
Fachbereiche nutzen IT-Dienste ohne Wissen oder Freigabe der IT-Abteilung.
Beispiele:
private Cloud-Speicher
nicht freigegebene SaaS-Tools
eigene KI-Dienste
externe Projektplattformen
private Messenger
Risiken:
Datenschutzprobleme
Datenabfluss
fehlende Backups
keine Rechtekontrolle
keine Löschung bei Austritt
keine Vertragsprüfung
Merksatz:
Schatten-IT entsteht oft,
wenn offizielle Lösungen fehlen oder zu unpraktisch sind.
---
**Cloud Governance**
Cloud Governance beschreibt Regeln und Steuerung für Cloud-Nutzung.
Dazu gehören:
wer darf Cloud-Ressourcen erstellen?
welche Dienste sind erlaubt?
welche Regionen sind erlaubt?
welche Sicherheitsstandards gelten?
wie werden Kosten überwacht?
wie werden Daten klassifiziert?
wie werden Zugriffe geprüft?
wie werden Änderungen dokumentiert?
Merksatz:
Cloud Governance sorgt für kontrollierte Cloud-Nutzung.
---
**Tagging**
Tagging bedeutet:
Cloud-Ressourcen werden mit Schlagworten oder Metadaten markiert.
Beispiele:
Projekt
Kostenstelle
Verantwortlicher
Umgebung
Kritikalität
Ablaufdatum
Datenschutzklasse
Vorteile:
Kosten zuordnen
Ressourcen finden
Verantwortliche erkennen
Aufräumen erleichtern
Automatisierung ermöglichen
Merksatz:
Tags machen Cloud-Ressourcen verwaltbar.
---
**Cloud-Kostenkontrolle**
Kostenkontrolle ist wichtig,
weil Cloud-Ressourcen schnell erstellt werden können.
Maßnahmen:
Budgets
Alarme
Tags
Kostenstellen
Rechtebegrenzung
Abschalten ungenutzter Ressourcen
passende Größen wählen
Reservierungen prüfen
Datenverkehr beobachten
Merksatz:
Cloud-Flexibilität braucht Kostenkontrolle.
---
**Typische Cloud-Fehlentscheidungen**
Häufige Fehler:
Cloud-Modell ohne Anforderungen auswählen
Datenschutz nicht prüfen
Kosten nicht überwachen
keine Exit-Strategie planen
kein Backup-Konzept erstellen
keine Rollen definieren
Ressourcen öffentlich freigeben
Multi Cloud ohne Know-how einführen
Hybrid Cloud ohne Netzplanung starten
SLA falsch verstehen
Merksatz:
Cloud muss geplant werden,
nicht nur gebucht.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist Public Cloud?
- Was ist Private Cloud?
- Was ist Hybrid Cloud?
- Was ist Multi Cloud?
- Was ist Community Cloud?
- Was ist der Unterschied zwischen Hybrid Cloud und Multi Cloud?
- Welche Vorteile hat Public Cloud?
- Welche Vorteile hat Private Cloud?
- Warum ist Hybrid Cloud komplexer?
- Was bedeutet Vendor Lock-in?
- Was bedeutet Datenstandort?
- Was ist ein SLA?
- Warum braucht Cloud eine Exit-Strategie?
- Was ist Cloud Governance?
- Warum ist Tagging sinnvoll?
- Warum ist Cloud-Kostenkontrolle wichtig?
---
**Typische Prüfungsfallen**
Public Cloud ist nicht automatisch unsicher.
Private Cloud ist nicht automatisch günstiger.
Hybrid Cloud ist nicht einfach nur irgendeine Cloud.
Multi Cloud ist nicht dasselbe wie Hybrid Cloud.
Community Cloud ist für bestimmte Organisationengruppen.
Virtualisierung allein ist noch keine Private Cloud.
Cloud ist nicht automatisch hochverfügbar.
Cloud ist nicht automatisch günstiger.
Datenstandort prüfen.
SLA genau lesen.
Hohe Verfügbarkeit muss konfiguriert werden.
Multi Cloud erhöht Komplexität.
Hybrid Cloud braucht gute Netzplanung.
Vendor Lock-in früh beachten.
Exit-Strategie vor dem Wechsel planen.
Schatten-IT ist ein Sicherheitsrisiko.
Governance verhindert unkontrollierte Cloud-Nutzung.
Tagging hilft bei Kosten und Verwaltung.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| Public Cloud | Cloud-Plattform für viele Kunden |
| Private Cloud | Cloud für eine Organisation |
| Hybrid Cloud | lokale/private IT plus Public Cloud |
| Multi Cloud | mehrere Cloud-Anbieter |
| Community Cloud | Cloud für Organisationen mit gemeinsamen Anforderungen |
| Mandantentrennung | logische Trennung verschiedener Kunden |
| Vendor Lock-in | starke Anbieterabhängigkeit |
| Portabilität | Übertragbarkeit von Daten oder Anwendungen |
| Datenstandort | Ort der Speicherung und Verarbeitung |
| Compliance | Einhaltung von Regeln und Vorgaben |
| SLA | Service Level Agreement |
| Exit-Strategie | Plan zum Verlassen eines Dienstes |
| Datenportabilität | Daten in anderes System übertragen können |
| Schatten-IT | nicht offiziell freigegebene IT-Nutzung |
| Cloud Governance | Regeln für Cloud-Nutzung |
| Tagging | Metadaten für Ressourcen |
| Kostenkontrolle | Überwachung und Steuerung von Cloud-Kosten |
| Verfügbarkeit | Dienst ist nutzbar |
| Ausfallsicherheit | Dienst bleibt trotz Störung verfügbar oder wird wiederhergestellt |
---
**IHK-sichere Kurzformulierung**
Public Cloud bezeichnet Cloud-Dienste eines öffentlichen Anbieters, die von vielen Kunden genutzt werden, wobei die Kunden logisch voneinander getrennt sind. Private Cloud stellt Cloud-Funktionen für eine einzelne Organisation bereit und bietet mehr Kontrolle, aber auch mehr Betriebsverantwortung. Hybrid Cloud kombiniert lokale oder private IT mit Public Cloud, während Multi Cloud die Nutzung mehrerer Cloud-Anbieter beschreibt. Community Cloud wird von Organisationen mit gemeinsamen Anforderungen genutzt. Bei der Auswahl eines Cloud-Modells müssen Datenschutz, Datenstandort, Compliance, Kosten, Skalierbarkeit, Kontrolle, Verfügbarkeit, Latenz, Anbieterabhängigkeit und Exit-Strategie berücksichtigt werden.
---
**Merksätze**
Bereitstellungsmodell beschreibt,
wo und für wen Cloud läuft.
Public Cloud = Anbieterplattform für viele Kunden.
Private Cloud = Cloud für eine Organisation.
Hybrid Cloud = lokal oder privat plus Public Cloud.
Multi Cloud = mehrere Anbieter.
Community Cloud = gemeinsame Anforderungen.
Public Cloud ist flexibel.
Private Cloud gibt mehr Kontrolle.
Hybrid Cloud kombiniert Welten.
Multi Cloud reduziert Anbieterabhängigkeit,
erhöht aber Komplexität.
Hybrid ist nicht automatisch Multi Cloud.
Multi Cloud ist nicht automatisch Hybrid.
Virtualisierung allein ist keine Private Cloud.
Mandantentrennung trennt Kunden logisch.
Vendor Lock-in früh beachten.
Portabilität planen.
Datenstandort prüfen.
Compliance beachten.
Cloud-Region beeinflusst Latenz.
Cloud-Traffic kann Kosten verursachen.
Cloud ist nicht automatisch hochverfügbar.
Hochverfügbarkeit muss geplant werden.
SLA genau lesen.
Exit-Strategie vor Nutzung bedenken.
Datenportabilität ist wichtig.
Schatten-IT vermeiden.
Cloud Governance schafft Regeln.
Tagging hilft bei Verwaltung und Kosten.
Cloud-Kosten aktiv überwachen.
Cloud muss geplant werden,
nicht nur gebucht.
# 15.4 Cloud-Netzwerke, VPC, Subnetze und Security Groups
Cloud-Dienste brauchen genau wie lokale Systeme ein Netzwerk.
In der Cloud werden Netzwerke aber nicht mit physischen Switches und Routern aufgebaut,
sondern überwiegend virtuell.
Typische Bestandteile eines Cloud-Netzwerks:
- virtuelles Netzwerk
- Subnetze
- Routingtabellen
- Security Groups
- Network Security Groups
- virtuelle Firewalls
- Load Balancer
- öffentliche IP-Adressen
- private IP-Adressen
- NAT-Gateways
- VPN-Gateways
- DNS
- Peering
Merksatz:
Cloud-Netzwerke sind virtuell,
müssen aber genauso sauber geplant werden wie lokale Netzwerke.
---
**Warum Cloud-Netzwerke wichtig sind**
Viele Cloud-Fehler entstehen nicht durch die Anwendung,
sondern durch Netzwerk- oder Sicherheitskonfiguration.
Beispiele:
virtuelle Maschine nicht erreichbar
Datenbank öffentlich erreichbar
Webserver hat falsche Security Group
Subnetz hat keine passende Route
Cloud-Dienst kann Backend nicht erreichen
VPN zur Cloud funktioniert nicht
DNS zeigt auf falsches Ziel
Load Balancer erreicht keine Instanz
Merksatz:
Cloud-Probleme sind oft Netzwerk-,
Routing-
oder Firewall-Probleme.
---
**Virtuelles Netzwerk**
Ein virtuelles Netzwerk ist ein logisch getrenntes Netzwerk in der Cloud.
Je nach Anbieter heißt es zum Beispiel:
VPC
VNet
Virtual Network
Virtual Private Cloud
Es enthält Cloud-Ressourcen wie:
virtuelle Maschinen
Subnetze
Datenbanken
Load Balancer
Container
VPN-Gateways
NAT-Gateways
Merksatz:
Virtuelles Netzwerk = eigenes logisch getrenntes Cloud-Netz.
---
**VPC**
VPC steht für:
Virtual Private Cloud
Eine VPC ist ein virtuelles,
logisch isoliertes Netzwerk innerhalb einer Public Cloud.
In einer VPC legt man fest:
IP-Adressbereich
Subnetze
Routing
Sicherheitsregeln
Gateways
Verbindungen zu anderen Netzen
Merksatz:
VPC ist ein privater Netzwerkbereich innerhalb der Cloud.
---
**VNet**
VNet steht für:
Virtual Network
Der Begriff wird in manchen Cloud-Plattformen für virtuelle Netzwerke verwendet.
Die Grundidee ist ähnlich wie bei VPC:
eigener IP-Bereich
Subnetze
Routing
Sicherheitsregeln
Cloud-Ressourcen
Verbindungen zu anderen Netzen
Merksatz:
VNet und VPC beschreiben ähnliche Cloud-Netzwerk-Konzepte.
---
**IP-Adressbereich im Cloud-Netz**
Beim Anlegen eines Cloud-Netzes wird ein IP-Adressbereich festgelegt.
Beispiel:
10.20.0.0/16
Daraus können mehrere Subnetze gebildet werden.
Beispiele:
10.20.1.0/24 Web-Subnetz
10.20.2.0/24 App-Subnetz
10.20.3.0/24 Datenbank-Subnetz
Wichtig:
Der Adressbereich darf sich nicht ungewollt mit lokalen Netzen überschneiden.
Merksatz:
Cloud-IP-Planung muss zu lokaler Netzplanung passen.
---
**Subnetze in der Cloud**
Subnetze teilen ein virtuelles Netzwerk in kleinere Bereiche auf.
Typische Subnetze:
Web-Subnetz
App-Subnetz
Datenbank-Subnetz
Management-Subnetz
Public Subnet
Private Subnet
Gateway-Subnetz
Vorteile:
bessere Struktur
gezielte Sicherheitsregeln
getrennte Routingtabellen
Trennung von öffentlichen und internen Ressourcen
Merksatz:
Subnetze strukturieren Cloud-Netze.
---
**Public Subnet**
Ein Public Subnet ist ein Subnetz,
das direkt oder indirekt Zugang zum Internet haben kann.
Typische Ressourcen:
Load Balancer
öffentlich erreichbarer Webserver
Bastion Host
NAT-Gateway
Reverse Proxy
Wichtig:
Nicht jede Ressource in der Cloud gehört in ein Public Subnet.
Merksatz:
Public Subnet nur für Komponenten,
die wirklich öffentlich erreichbar sein müssen.
---
**Private Subnet**
Ein Private Subnet enthält interne Ressourcen,
die nicht direkt aus dem Internet erreichbar sein sollen.
Typische Ressourcen:
Datenbanken
interne Backends
interne APIs
Anwendungssysteme
Verarbeitungssysteme
Container-Worker
interne Dienste
Merksatz:
Private Subnet schützt interne Cloud-Ressourcen vor direktem Internetzugriff.
---
**Public und Private Subnet vergleichen**
| Merkmal | Public Subnet | Private Subnet |
|---|---|---|
| Internetzugriff eingehend | möglich | normalerweise nicht direkt |
| typische Systeme | Load Balancer, Bastion Host | Datenbank, Backend |
| Schutzbedarf | hoch | sehr hoch |
| Routing | oft zum Internet Gateway | oft über NAT oder interne Routen |
| Ziel | öffentliche Erreichbarkeit | interne Verarbeitung |
Merksatz:
Öffentlich erreichbare Systeme nach außen,
interne Systeme nach innen trennen.
---
**Internet Gateway**
Ein Internet Gateway verbindet ein Cloud-Netz mit dem Internet.
Es ermöglicht:
eingehende Verbindungen aus dem Internet
ausgehende Verbindungen ins Internet
Ob eine Ressource wirklich erreichbar ist,
hängt zusätzlich ab von:
öffentlicher IP-Adresse
Routingtabelle
Security Group
Firewall-Regeln
Dienststatus
Merksatz:
Internet Gateway allein macht eine Ressource nicht automatisch erreichbar.
---
**NAT-Gateway**
Ein NAT-Gateway erlaubt internen Ressourcen,
Verbindungen ins Internet aufzubauen,
ohne selbst direkt aus dem Internet erreichbar zu sein.
Beispiel:
Datenbankserver im Private Subnet
lädt Updates herunter
aber:
Internet kann nicht direkt zur Datenbank verbinden
Merksatz:
NAT-Gateway erlaubt ausgehenden Internetzugriff für private Ressourcen.
---
**Internet Gateway und NAT-Gateway vergleichen**
| Merkmal | Internet Gateway | NAT-Gateway |
|---|---|---|
| Zweck | Verbindung Cloud-Netz ↔ Internet | ausgehender Zugriff aus privaten Netzen |
| eingehend aus Internet | möglich, wenn erlaubt | normalerweise nicht |
| typischer Einsatz | Public Subnet | Private Subnet |
| Schutzwirkung | keine alleinige Schutzmaßnahme | versteckt private Ressourcen vor direktem Zugriff |
Merksatz:
Internet Gateway verbindet öffentlich.
NAT-Gateway ermöglicht ausgehend.
---
**Routingtabellen in der Cloud**
Routingtabellen legen fest,
wohin Pakete gesendet werden.
Typische Ziele:
lokales Cloud-Netz
Internet Gateway
NAT-Gateway
VPN-Gateway
Peering-Verbindung
Firewall-Appliance
andere Subnetze
lokales Unternehmensnetz
Merksatz:
Routingtabellen bestimmen Wege im Cloud-Netz.
---
**Lokale Route**
Jedes Cloud-Netz hat normalerweise eine lokale Route.
Diese erlaubt Kommunikation innerhalb des virtuellen Netzwerks.
Beispiel:
10.20.0.0/16
local
Damit können Subnetze innerhalb des Cloud-Netzes grundsätzlich miteinander kommunizieren,
sofern Sicherheitsregeln es erlauben.
Merksatz:
Lokale Route erlaubt Kommunikation innerhalb des Cloud-Netzes.
---
**Route ins Internet**
Für Internetzugriff braucht ein Public Subnet typischerweise eine Route wie:
0.0.0.0/0
über Internet Gateway
Für Private Subnets kann die Standardroute über ein NAT-Gateway gehen:
0.0.0.0/0
über NAT-Gateway
Merksatz:
Standardroute entscheidet,
wohin unbekannte Ziele gehen.
---
**Route zum Firmennetz**
Bei Hybrid Cloud braucht die Cloud eine Route zum lokalen Unternehmensnetz.
Beispiel:
lokales Firmennetz:
192.168.10.0/24
Route in Cloud:
192.168.10.0/24
über VPN-Gateway
Gleichzeitig braucht das Firmennetz eine Rückroute zum Cloud-Netz.
Merksatz:
Hybrid Cloud braucht Hin- und Rückroute.
---
**Rückroute in Cloud-Szenarien**
Viele Fehler entstehen,
weil nur der Hinweg geplant wurde.
Beispiel:
Cloud-Server erreicht lokales System nicht.
Oder:
lokaler Client erreicht Cloud-Server,
aber Antwort kommt nicht zurück.
Mögliche Ursache:
Rückroute fehlt
Firewall blockiert Rückverkehr
NAT verändert Adressen
asymmetrisches Routing
Merksatz:
Auch in der Cloud gilt:
Ohne Rückweg keine funktionierende Verbindung.
---
**Security Group**
Eine Security Group ist eine virtuelle Firewall-Regelgruppe für Cloud-Ressourcen.
Sie steuert meist:
eingehenden Verkehr
ausgehenden Verkehr
Protokolle
Ports
Quellen
Ziele
Security Groups werden oft direkt einer Ressource zugeordnet,
zum Beispiel einer virtuellen Maschine.
Merksatz:
Security Group = Firewall-Regeln direkt an der Cloud-Ressource.
---
**Inbound und Outbound**
Inbound bedeutet:
eingehender Verkehr zur Ressource
Outbound bedeutet:
ausgehender Verkehr von der Ressource
Beispiel Webserver:
Inbound:
TCP 443 von Internet erlaubt
Outbound:
Verbindung zur Datenbank oder zu Updateservern erlaubt
Merksatz:
Inbound und Outbound getrennt prüfen.
---
**Stateful Security Group**
Viele Security Groups arbeiten stateful.
Stateful bedeutet:
Wenn eine Verbindung erlaubt wurde,
ist der Rückverkehr automatisch erlaubt.
Beispiel:
Client verbindet zu Webserver TCP 443.
Antwortpakete des Webservers zurück zum Client
werden automatisch zugeordnet.
Merksatz:
Stateful-Regeln merken sich Verbindungen.
---
**Network ACL**
Eine Network ACL ist eine Zugriffsliste auf Netzwerk- oder Subnetzebene.
Je nach Cloud-Plattform kann sie:
eingehende Regeln prüfen
ausgehende Regeln prüfen
stateless arbeiten
Regelreihenfolge beachten
Stateless bedeutet:
Rückverkehr muss separat erlaubt werden.
Merksatz:
Network ACLs wirken oft näher am Subnetz und können stateless sein.
---
**Security Group und Network ACL vergleichen**
| Merkmal | Security Group | Network ACL |
|---|---|---|
| Ebene | Ressource oder Instanz | Subnetz oder Netzwerkebene |
| Zustand | oft stateful | oft stateless |
| Rückverkehr | häufig automatisch erlaubt | häufig separat nötig |
| Einsatz | feine Ressourcenregeln | zusätzliche Netzgrenze |
| Fehlerquelle | falsche Quelle oder Port | fehlender Rückverkehr oder Regelreihenfolge |
Merksatz:
Security Group und Network ACL können beide blockieren.
---
**Network Security Group**
Network Security Group wird oft abgekürzt:
NSG
Eine NSG ist eine Regelgruppe,
die Netzwerkverkehr auf Subnetz-
oder Ressourceneebene steuern kann.
Typische Angaben:
Quelle
Ziel
Port
Protokoll
Richtung
Priorität
Aktion
Beschreibung
Merksatz:
NSG ist eine Cloud-Regelgruppe für Netzwerkzugriffe.
---
**Regelreihenfolge und Priorität**
Manche Cloud-Regelwerke arbeiten mit Prioritäten.
Dabei gilt:
Regel mit höherer Priorität oder niedrigerer Nummer
wird zuerst geprüft
Je nach Plattform ist die genaue Logik unterschiedlich.
Wichtig:
spezifische Regeln vor allgemeinen Regeln
Deny-Regeln beachten
Standardregeln verstehen
Merksatz:
Regelreihenfolge kann entscheiden,
ob Verkehr erlaubt oder blockiert wird.
---
**Quelle und Ziel in Cloud-Regeln**
In Cloud-Regeln können Quellen und Ziele sein:
IP-Adressen
Subnetze
Security Groups
Tags
Service Accounts
Load Balancer
Cloud-Dienste
Internet
Beispiel:
Webserver-Security-Group darf zur Datenbank-Security-Group auf TCP 5432.
Das ist oft besser als:
gesamtes Netz darf zur Datenbank.
Merksatz:
Cloud-Regeln möglichst gezielt formulieren.
---
**Öffentliche IP-Adresse**
Eine öffentliche IP-Adresse macht eine Ressource grundsätzlich aus dem Internet adressierbar.
Aber erreichbar ist sie nur,
wenn zusätzlich passen:
Routing
Security Group
Firewall
Dienst
Betriebssystem-Firewall
DNS
Load Balancer
Zertifikat
Merksatz:
Öffentliche IP allein reicht nicht für funktionierenden Zugriff.
---
**Private IP-Adresse**
Private IP-Adressen werden innerhalb des Cloud-Netzes genutzt.
Typisch für:
interne Kommunikation
Datenbanken
Backends
interne APIs
Server-zu-Server-Kommunikation
Hybrid-Cloud-Verbindungen
Merksatz:
Private IPs sind für interne Kommunikation im Cloud-Netz.
---
**Öffentliche und private IP vergleichen**
| Merkmal | öffentliche IP | private IP |
|---|---|---|
| Erreichbarkeit | aus Internet möglich | nur intern oder über Verbindung |
| Einsatz | Webzugriff, Load Balancer | Backend, Datenbank, interne Dienste |
| Risiko | höher | geringer, aber nicht risikofrei |
| Schutz | Firewall, Security Group, TLS | Segmentierung, Regeln, IAM |
Merksatz:
Öffentlich nur,
wenn es wirklich nötig ist.
---
**Load Balancer in der Cloud**
Ein Load Balancer verteilt Anfragen auf mehrere Ziele.
Ziele können sein:
virtuelle Maschinen
Container
App-Instanzen
Backends
Servergruppen
Aufgaben:
Lastverteilung
Health Checks
Hochverfügbarkeit
TLS-Terminierung
Weiterleitung
Skalierung unterstützen
Merksatz:
Load Balancer verteilt Anfragen und erhöht Verfügbarkeit.
---
**Health Check**
Ein Health Check prüft,
ob ein Backend gesund ist.
Beispiele:
TCP-Port erreichbar?
HTTP-Status 200?
bestimmter Pfad antwortet?
Anwendung meldet gesund?
Antwortzeit akzeptabel?
Wenn ein Backend ungesund ist,
leitet der Load Balancer keinen Verkehr mehr dorthin.
Merksatz:
Health Check entscheidet,
ob ein Backend Verkehr bekommt.
---
**Typische Load-Balancer-Fehler**
Häufige Fehler:
Backend-Port falsch
Health Check falscher Pfad
Security Group blockiert Load Balancer
Backend-Dienst läuft nicht
TLS-Zertifikat falsch
falscher Host-Header
falsches Protokoll
Backend in falschem Subnetz
keine gesunden Ziele
Merksatz:
502 oder 503 in der Cloud hängt oft mit Load Balancer oder Backend zusammen.
---
**Cloud-DNS**
Cloud-DNS verwaltet Namen für Cloud-Ressourcen.
Typische Aufgaben:
öffentliche DNS-Zonen
private DNS-Zonen
interne Namen
Load-Balancer-Namen
Service Discovery
Hybrid-DNS
Weiterleitung zu lokalen DNS-Servern
Merksatz:
Cloud-DNS verbindet Namen mit Cloud-Ressourcen.
---
**Private DNS-Zone**
Eine Private DNS-Zone ist nur innerhalb bestimmter Netzwerke sichtbar.
Beispiel:
app.internal.cloud
Nur Systeme im Cloud-Netz oder verbundenen Netzen können diesen Namen auflösen.
Merksatz:
Private DNS ist für interne Cloud-Namen.
---
**Public DNS-Zone**
Eine Public DNS-Zone ist öffentlich abfragbar.
Beispiel:
www.firma.de
Sie wird für öffentlich erreichbare Dienste genutzt.
Wichtig:
Öffentlicher DNS-Eintrag bedeutet nicht,
dass Zugriff auch erlaubt ist.
Merksatz:
Public DNS ist sichtbar,
Zugriff hängt trotzdem von Routing und Regeln ab.
---
**Cloud Peering**
Peering verbindet zwei virtuelle Netzwerke miteinander.
Beispiel:
VPC A
↔
VPC B
Oder:
VNet A
↔
VNet B
Ziel:
private Kommunikation zwischen Cloud-Netzen
Wichtig:
Routen
Security Groups
DNS
Überschneidung von IP-Netzen
Berechtigungen
Merksatz:
Peering verbindet Cloud-Netze privat miteinander.
---
**Peering ist kein Transit automatisch**
Ein häufiger Denkfehler:
Wenn Netz A mit B verbunden ist
und B mit C verbunden ist,
kann A automatisch C erreichen.
Das stimmt nicht immer.
Viele Peering-Verbindungen sind nicht automatisch transitiv.
Merksatz:
Peering bedeutet nicht automatisch Durchleitung zu dritten Netzen.
---
**Transit Gateway oder Hub-and-Spoke**
In größeren Cloud-Netzen nutzt man oft zentrale Netzwerkarchitekturen.
Beispiel:
Hub-Netz
mit Firewall,
VPN,
Internetzugang
und zentralen Diensten
Spoke-Netze
für Anwendungen,
Abteilungen
oder Umgebungen
Vorteil:
zentrale Kontrolle
einheitliches Routing
bessere Segmentierung
übersichtliche Sicherheitsregeln
Merksatz:
Hub-and-Spoke ordnet viele Cloud-Netze zentral.
---
**Cloud-VPN**
Cloud-VPN verbindet Cloud-Netze mit anderen Netzen.
Beispiele:
Cloud ↔ lokales Rechenzentrum
Cloud ↔ Niederlassung
Cloud ↔ andere Cloud
Wichtig:
passende IP-Netze
Routing auf beiden Seiten
Firewall-Regeln
Verschlüsselung
Monitoring
Redundanz
Merksatz:
Cloud-VPN braucht Planung auf Cloud-Seite und lokaler Seite.
---
**Direktverbindung zur Cloud**
Neben VPN kann es direkte private Verbindungen zu Cloud-Anbietern geben.
Eigenschaften:
private Verbindung
meist stabilere Leistung
geringere Latenz möglich
höhere Bandbreite möglich
kein normaler Internetweg
oft teurer und aufwendiger
Merksatz:
Direktverbindung kann für kritische Hybrid-Cloud-Szenarien sinnvoll sein.
---
**Bastion Host in der Cloud**
Ein Bastion Host ist ein besonders geschützter Sprungserver.
Zweck:
Adminzugriffe auf private Cloud-Ressourcen ermöglichen,
ohne diese direkt ins Internet zu stellen.
Beispiel:
Admin
→ Bastion Host
→ private VM
Wichtig:
MFA
Logging
beschränkte Quellen
regelmäßige Updates
keine Dauerzugänge
starke Härtung
Merksatz:
Bastion Host reduziert direkte öffentliche Adminzugriffe.
---
**Managementports nicht öffentlich öffnen**
Kritische Managementports sollten nicht offen im Internet liegen.
Beispiele:
SSH TCP 22
RDP TCP 3389
Datenbankports
Admin-Weboberflächen
Kubernetes-API
Storage-Adminzugänge
Besser:
VPN
Bastion Host
Zero-Trust-Zugang
private Subnetze
eingeschränkte Quell-IP
MFA
Merksatz:
Managementzugänge gehören nicht breit ins Internet.
---
**Cloud-Firewall**
Eine Cloud-Firewall kann zentrale Filterung übernehmen.
Sie schützt zum Beispiel:
Internetzugang
Verbindungen zwischen Subnetzen
Verbindung zu lokalen Netzen
Cloud-zu-Cloud-Verkehr
DMZ-ähnliche Bereiche
Funktionen können sein:
Paketfilter
Stateful Inspection
Anwendungskontrolle
IDS/IPS
URL-Filter
Logging
Merksatz:
Cloud-Firewall ergänzt Security Groups und Netzsegmentierung.
---
**Cloud-Netzsegmentierung**
Auch in der Cloud sollte man Systeme trennen.
Beispiele:
Web-Schicht
App-Schicht
Datenbank-Schicht
Management-Schicht
Entwicklungsumgebung
Testumgebung
Produktionsumgebung
DMZ-ähnliche Zone
Merksatz:
Cloud braucht Segmentierung wie lokale Netze.
---
**Drei-Schichten-Architektur in der Cloud**
Ein typisches Muster:
Web-Schicht:
öffentlich erreichbar über Load Balancer
App-Schicht:
nur intern vom Webserver erreichbar
Datenbank-Schicht:
nur von App-Servern erreichbar
Vorteil:
bessere Sicherheit
klare Kommunikationswege
weniger Angriffsfläche
Merksatz:
Datenbanken gehören normalerweise nicht direkt ins Internet.
---
**Umgebungen trennen**
Cloud-Ressourcen sollten nach Umgebung getrennt werden.
Typische Umgebungen:
Entwicklung
Test
Staging
Produktion
Warum?
Testfehler sollen Produktion nicht stören.
Rechte können getrennt werden.
Kosten können getrennt werden.
Änderungen werden kontrollierter.
Sicherheitsregeln sind klarer.
Merksatz:
Entwicklung,
Test
und Produktion sauber trennen.
---
**Cloud-Netzwerk und IAM**
Netzwerkregeln allein reichen nicht.
Auch Identitäten und Rechte sind wichtig.
Beispiel:
Benutzer darf Security Group ändern.
Benutzer darf öffentliche IP vergeben.
Benutzer darf Route zum Internet setzen.
Benutzer darf Firewall-Regel öffnen.
Diese Rechte können sicherheitskritisch sein.
Merksatz:
Wer Cloud-Netzwerke ändern darf,
kann Sicherheit stark beeinflussen.
---
**Cloud-Netzwerk-Fehlkonfigurationen**
Häufige Fehler:
Datenbank öffentlich erreichbar
SSH offen für das ganze Internet
RDP offen für das ganze Internet
Security Group zu breit
falsche Route ins Internet
Private Subnet versehentlich öffentlich
fehlende Rückroute
falscher Load-Balancer-Health-Check
keine Logs
veraltete Bastion Hosts
Peering ohne Sicherheitsprüfung
Merksatz:
Viele Cloud-Sicherheitsprobleme sind Netzwerk-Fehlkonfigurationen.
---
**Cloud-Netzwerk-Logging**
Wichtige Logquellen:
Flow Logs
Firewall-Logs
Load-Balancer-Logs
DNS-Logs
VPN-Logs
IAM-Logs
Routing-Änderungen
Security-Group-Änderungen
WAF-Logs
Merksatz:
Netzwerklogs zeigen,
welcher Verkehr erlaubt oder blockiert wurde.
---
**Flow Logs**
Flow Logs zeigen Netzwerkverbindungen auf Ebene von Metadaten.
Sie enthalten typischerweise:
Quelle
Ziel
Port
Protokoll
Aktion
Zeit
Datenmenge
Interface oder Ressource
Sie zeigen normalerweise nicht den vollständigen Paketinhalt.
Merksatz:
Flow Logs zeigen Verbindungsdaten,
aber keinen kompletten Paketmitschnitt.
---
**Cloud-Netzwerk-Monitoring**
Überwacht werden sollten:
VPN-Tunnelstatus
Load Balancer
Backend-Gesundheit
Paketverlust
Latenz
Bandbreite
Firewall-Drops
DNS-Fehler
öffentliche IPs
ungewöhnlicher Datenverkehr
Kosten durch Traffic
Merksatz:
Cloud-Netzwerk-Monitoring schützt Betrieb und Kosten.
---
**Cloud-Netzwerk-Fehlersuche**
Sinnvolle Reihenfolge:
1. Quelle und Ziel bestimmen.
2. IP-Adressen prüfen.
3. DNS prüfen.
4. Subnetz prüfen.
5. Routingtabelle prüfen.
6. Security Group prüfen.
7. Network ACL oder NSG prüfen.
8. Load Balancer prüfen.
9. Zielsystem und Dienst prüfen.
10. Host-Firewall prüfen.
11. Logs prüfen.
12. Rückweg prüfen.
Merksatz:
Auch in der Cloud gilt:
DNS,
Route,
Firewall,
Dienst
und Rückweg prüfen.
---
**Fehlerbild: Cloud-VM nicht per SSH erreichbar**
Mögliche Ursachen:
keine öffentliche IP
DNS zeigt falsch
Routing zum Internet fehlt
Security Group blockiert TCP 22
Network ACL blockiert
SSH-Dienst läuft nicht
Host-Firewall blockiert
falscher Benutzer oder Schlüssel
Bastion Host nötig
Quell-IP nicht erlaubt
Merksatz:
SSH-Fehler in Cloud mit IP,
Route,
Security Group,
Dienst
Schlüssel
und Bastion prüfen.
---
**Fehlerbild: Webdienst in Cloud nicht erreichbar**
Mögliche Ursachen:
DNS falsch
Load Balancer falsch
Zertifikat falsch
Security Group blockiert TCP 443
Backend ungesund
Health Check falsch
Anwendung läuft nicht
falscher Port
private Ressource ohne öffentliche Freigabe
WAF blockiert
Merksatz:
Webfehler in Cloud mit DNS,
Load Balancer,
Security Group,
TLS
und Backend prüfen.
---
**Fehlerbild: Cloud-Datenbank öffentlich erreichbar**
Das ist meistens ein Sicherheitsproblem.
Mögliche Ursachen:
Datenbank in Public Subnet
öffentliche IP vergeben
Security Group zu breit
Firewall-Regel erlaubt 0.0.0.0/0
Authentifizierung schwach
kein Private Endpoint
falsches Routing
Besser:
Private Subnet
Zugriff nur von App-Schicht
Security Group gezielt
keine öffentliche IP
Verschlüsselung
starke Authentifizierung
Merksatz:
Datenbanken gehören normalerweise nicht öffentlich ins Internet.
---
**Fehlerbild: Cloud und On-Premises erreichen sich nicht**
Mögliche Ursachen:
VPN-Tunnel down
Route in Cloud fehlt
Route lokal fehlt
Firewall blockiert
Security Group blockiert
IP-Netze überschneiden sich
DNS falsch
NAT falsch
Rückroute fehlt
Cloud-Gateway falsch konfiguriert
Merksatz:
Hybrid-Verbindungen brauchen Regeln und Routen auf beiden Seiten.
---
**Checkliste: Cloud-Netzwerk sicher planen**
IP-Adressbereich eindeutig wählen.
Subnetze sauber trennen.
Public und Private Subnets unterscheiden.
Datenbanken nicht öffentlich bereitstellen.
Managementzugänge nicht breit öffnen.
Security Groups eng setzen.
Rückwege planen.
Hybrid-Routen dokumentieren.
DNS-Konzept erstellen.
Logging aktivieren.
Monitoring einrichten.
Änderungen dokumentieren.
Rechte zur Netzwerkänderung begrenzen.
Merksatz:
Cloud-Netzwerk zuerst planen,
dann Ressourcen bereitstellen.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist ein virtuelles Netzwerk in der Cloud?
- Was bedeutet VPC?
- Was ist ein Subnetz in der Cloud?
- Was ist der Unterschied zwischen Public Subnet und Private Subnet?
- Was ist ein Internet Gateway?
- Was ist ein NAT-Gateway?
- Wofür nutzt man Routingtabellen in der Cloud?
- Was ist eine Security Group?
- Was ist eine Network ACL?
- Was ist eine NSG?
- Was ist der Unterschied zwischen öffentlicher und privater IP?
- Wofür nutzt man einen Load Balancer?
- Was ist ein Health Check?
- Was ist Cloud Peering?
- Warum ist Peering nicht automatisch transitiv?
- Warum sollte eine Datenbank nicht öffentlich erreichbar sein?
- Wie geht man bei Cloud-Netzwerk-Fehlersuche vor?
---
**Typische Prüfungsfallen**
Cloud-Netzwerke sind virtuell,
aber echte Netzplanung bleibt nötig.
VPC und VNet beschreiben virtuelle Cloud-Netze.
Public Subnet ist nicht für alle Systeme geeignet.
Private Subnet schützt vor direkter öffentlicher Erreichbarkeit.
Internet Gateway allein reicht nicht für Zugriff.
NAT-Gateway erlaubt typischerweise ausgehende Verbindungen.
Routingtabellen bestimmen Wege.
Rückroute nicht vergessen.
Security Groups wirken wie virtuelle Firewalls.
Network ACLs können zusätzlich blockieren.
Stateful und stateless unterscheiden.
Öffentliche IP bedeutet höheres Risiko.
Datenbanken nicht öffentlich freigeben.
Load Balancer braucht gesunde Backends.
Health Check muss zum Dienst passen.
Peering ist nicht automatisch transitiv.
Cloud-Firewall ersetzt nicht saubere Segmentierung.
Managementports nicht breit ins Internet öffnen.
Cloud-Netzwerkänderungen sind sicherheitskritisch.
Flow Logs zeigen Metadaten,
nicht vollständige Pakete.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| virtuelles Netzwerk | logisch getrenntes Cloud-Netz |
| VPC | Virtual Private Cloud |
| VNet | Virtual Network |
| Subnetz | Teilbereich eines Cloud-Netzes |
| Public Subnet | öffentlich angebundenes Subnetz |
| Private Subnet | internes Subnetz ohne direkte öffentliche Erreichbarkeit |
| Internet Gateway | Verbindung eines Cloud-Netzes zum Internet |
| NAT-Gateway | ausgehender Internetzugriff für private Ressourcen |
| Routingtabelle | Wege zu Zielnetzen |
| lokale Route | Route innerhalb des Cloud-Netzes |
| Security Group | virtuelle Firewall-Regelgruppe |
| Network ACL | Zugriffsliste auf Netzwerk- oder Subnetzebene |
| NSG | Network Security Group |
| Stateful | Rückverkehr wird automatisch zugeordnet |
| Stateless | Rückverkehr muss separat erlaubt werden |
| öffentliche IP | aus dem Internet adressierbare IP |
| private IP | interne Adresse im Cloud-Netz |
| Load Balancer | verteilt Anfragen auf Ziele |
| Health Check | Prüfung der Backend-Gesundheit |
| Cloud-DNS | Namensauflösung für Cloud-Ressourcen |
| Private DNS-Zone | interne DNS-Zone |
| Public DNS-Zone | öffentlich sichtbare DNS-Zone |
| Peering | Verbindung zwischen Cloud-Netzen |
| Hub-and-Spoke | zentrale Netzwerkarchitektur |
| Cloud-VPN | VPN-Verbindung zu Cloud-Netz |
| Bastion Host | gehärteter Sprungserver |
| Flow Logs | Metadaten zu Netzwerkverbindungen |
---
**IHK-sichere Kurzformulierung**
Cloud-Netzwerke bestehen aus virtuellen Netzwerken wie VPC oder VNet, Subnetzen, Routingtabellen, Security Groups, Network ACLs, Gateways, Load Balancern und DNS. Public Subnets sind für öffentlich erreichbare Komponenten wie Load Balancer oder Bastion Hosts gedacht, während Private Subnets interne Ressourcen wie Datenbanken oder Backends schützen. Ein Internet Gateway verbindet ein Cloud-Netz mit dem Internet, während ein NAT-Gateway privaten Ressourcen ausgehenden Internetzugriff ermöglicht. Security Groups und NSGs wirken als virtuelle Firewall-Regeln. Bei Cloud-Netzwerk-Fehlern müssen DNS, IP-Adressen, Routing, Security Groups, Network ACLs, Load Balancer, Zielsysteme, Host-Firewalls und Rückwege geprüft werden.
---
**Merksätze**
Cloud-Netzwerke sind virtuell,
aber echte Netzplanung bleibt nötig.
VPC = Virtual Private Cloud.
VNet = Virtual Network.
Virtuelles Netzwerk ist logisch getrennt.
IP-Bereiche sauber planen.
Cloud-Netze dürfen sich nicht ungewollt überschneiden.
Subnetze strukturieren Cloud-Ressourcen.
Public Subnet für öffentliche Komponenten.
Private Subnet für interne Komponenten.
Datenbank nicht öffentlich erreichbar machen.
Internet Gateway verbindet zum Internet.
NAT-Gateway ermöglicht ausgehenden Zugriff.
Routingtabellen bestimmen Wege.
Standardroute entscheidet bei unbekannten Zielen.
Hybrid Cloud braucht Hin- und Rückrouten.
Security Group ist virtuelle Firewall.
Inbound und Outbound getrennt prüfen.
Stateful merkt sich Verbindungen.
Stateless braucht separate Rückregeln.
Network ACL kann zusätzlich blockieren.
NSG steuert Netzwerkzugriffe.
Öffentliche IP nur wenn nötig.
Private IP für interne Kommunikation.
Load Balancer verteilt Anfragen.
Health Check prüft Backend-Gesundheit.
Cloud-DNS kann öffentlich oder privat sein.
Peering verbindet Cloud-Netze.
Peering ist nicht automatisch transitiv.
Hub-and-Spoke schafft zentrale Kontrolle.
Cloud-VPN braucht Routen beidseitig.
Bastion Host schützt Adminzugriffe.
Managementports nicht breit öffnen.
Segmentierung gilt auch in der Cloud.
IAM beeinflusst Netzwerksicherheit.
Flow Logs zeigen Verbindungsmetadaten.
Cloud-Fehlersuche:
DNS,
Route,
Security Group,
Dienst,
Rückweg.
# 15.5 Cloud-Sicherheit, IAM und Shared Responsibility
Cloud-Sicherheit bedeutet nicht nur,
dass der Cloud-Anbieter sichere Rechenzentren betreibt.
Cloud-Sicherheit umfasst auch:
- Identitäten
- Benutzerkonten
- Rollen
- Berechtigungen
- MFA
- Netzwerksicherheit
- Verschlüsselung
- Logging
- Monitoring
- Backup
- sichere Konfiguration
- Datenschutz
- Compliance
Merksatz:
Cloud-Sicherheit ist gemeinsame Verantwortung von Anbieter und Kunde.
---
**Warum Cloud-Sicherheit wichtig ist**
Cloud-Ressourcen sind oft schnell erstellt
und über Netzwerke erreichbar.
Dadurch entstehen typische Risiken:
zu breite Berechtigungen
öffentliche Speicherfreigaben
offene Managementports
fehlende MFA
falsch konfigurierte Security Groups
öffentliche Datenbanken
ungeschützte API-Schlüssel
fehlende Logs
keine Kostenkontrolle
falscher Datenstandort
Merksatz:
In der Cloud entstehen viele Risiken durch Fehlkonfiguration.
---
**Shared Responsibility Model**
Shared Responsibility Model bedeutet:
Anbieter und Kunde teilen sich die Verantwortung.
Der Anbieter ist je nach Dienst verantwortlich für:
Rechenzentrum
physische Sicherheit
Hardware
Grundinfrastruktur
Plattformbetrieb
Verfügbarkeit der angebotenen Dienste
Der Kunde bleibt je nach Dienst verantwortlich für:
Benutzer
Rollen
Daten
Berechtigungen
sichere Konfiguration
Netzwerkfreigaben
Anwendungssicherheit
Backup-Konzept
Compliance
Merksatz:
Cloud bedeutet geteilte Verantwortung,
nicht abgegebene Verantwortung.
---
**Verantwortung hängt vom Service-Modell ab**
Die Verantwortung ist bei IaaS,
PaaS
und SaaS unterschiedlich verteilt.
| Bereich | IaaS | PaaS | SaaS |
|---|---|---|---|
| physisches Rechenzentrum | Anbieter | Anbieter | Anbieter |
| Hardware | Anbieter | Anbieter | Anbieter |
| Virtualisierung | Anbieter | Anbieter | Anbieter |
| Betriebssystem | Kunde | Anbieter | Anbieter |
| Anwendung | Kunde | Kunde | Anbieter |
| Daten | Kunde | Kunde | Kunde |
| Benutzer und Rechte | Kunde | Kunde | Kunde |
| sichere Konfiguration | Kunde | Kunde | Kunde |
Merksatz:
Daten,
Benutzer
und Rechte bleiben fast immer Kundenthema.
---
**Cloud-Irrtum: Anbieter macht alles sicher**
Falsch:
Der Anbieter betreibt die Cloud,
also ist automatisch alles sicher.
Richtig:
Der Anbieter schützt die Plattform.
Der Kunde muss seine Nutzung sicher konfigurieren.
Beispiel:
Wenn ein Kunde einen Speicher öffentlich freigibt,
ist das meist ein Konfigurationsfehler des Kunden.
Merksatz:
Sichere Plattform plus falsche Konfiguration bleibt unsicher.
---
**IAM**
IAM steht für:
Identity and Access Management
IAM regelt,
wer auf welche Cloud-Ressourcen zugreifen darf.
IAM umfasst:
Benutzer
Gruppen
Rollen
Berechtigungen
Richtlinien
Servicekonten
API-Schlüssel
MFA
Zugriffsprotokolle
Merksatz:
IAM entscheidet,
wer was in der Cloud darf.
---
**Identität**
Eine Identität ist ein Konto oder Objekt,
das Zugriff erhalten kann.
Beispiele:
Benutzerkonto
Administrator
Entwickler
Servicekonto
Anwendung
virtuelle Maschine
Containerdienst
Automatisierungsskript
Merksatz:
Nicht nur Menschen,
auch Dienste können Identitäten haben.
---
**Benutzer**
Ein Benutzer ist eine menschliche Identität.
Beispiele:
Administrator
Entwickler
Supportmitarbeiter
Fachbereich
externer Dienstleister
Benutzer sollten:
eindeutig zugeordnet sein
keine Sammelkonten nutzen
MFA verwenden
nur notwendige Rechte erhalten
bei Austritt deaktiviert werden
Merksatz:
Jeder Benutzer braucht ein eigenes Konto.
---
**Gruppen**
Gruppen fassen Benutzer zusammen.
Beispiel:
Cloud-Admins
Entwickler
Leser
Sicherheitsprüfer
Datenbankadministratoren
Netzwerkadministratoren
Vorteil:
Rechte werden nicht einzeln pro Benutzer vergeben,
sondern über Gruppen verwaltet.
Merksatz:
Gruppen vereinfachen Rechteverwaltung.
---
**Rollen**
Eine Rolle beschreibt,
welche Aufgaben und Berechtigungen eine Identität hat.
Beispiele:
Leser
Administrator
Netzwerkadministrator
Sicherheitsadministrator
Datenbankadministrator
Abrechnungsadministrator
Backup-Operator
Merksatz:
Rollen ordnen Rechte nach Aufgabe.
---
**Berechtigungen**
Berechtigungen legen fest,
was erlaubt ist.
Beispiele:
virtuelle Maschine starten
virtuelle Maschine löschen
Speicher lesen
Speicher schreiben
Firewall-Regel ändern
Benutzer anlegen
Logs anzeigen
Backup wiederherstellen
Merksatz:
Berechtigungen sind konkrete Erlaubnisse.
---
**Richtlinien**
Richtlinien beschreiben,
welche Berechtigungen gelten.
Sie können festlegen:
wer etwas darf
was erlaubt ist
auf welche Ressource es gilt
unter welchen Bedingungen es gilt
was verboten ist
Merksatz:
Richtlinien verbinden Identitäten,
Aktionen
und Ressourcen.
---
**Least Privilege**
Least Privilege bedeutet:
nur so viele Rechte wie nötig,
so wenige wie möglich.
In der Cloud ist das besonders wichtig,
weil viele Aktionen große Auswirkungen haben können.
Beispiele für riskante Rechte:
alle Ressourcen löschen
Firewall-Regeln ändern
Speicher öffentlich freigeben
Benutzerrechte vergeben
API-Schlüssel erstellen
Backups löschen
Merksatz:
Cloud-Rechte immer minimal vergeben.
---
**Need to Know**
Need to Know bedeutet:
Zugriff nur auf Daten oder Systeme,
die für die Aufgabe benötigt werden.
Beispiel:
Entwickler braucht Zugriff auf Testsysteme,
aber nicht automatisch auf Produktionsdaten.
Abrechnung braucht Kostenübersicht,
aber keine Server-Adminrechte.
Merksatz:
Rechte nach Aufgabe,
nicht nach Bequemlichkeit vergeben.
---
**Administratorrechte**
Administratorrechte sind besonders kritisch.
Risiken:
versehentliches Löschen
falsche Firewall-Regeln
öffentliche Freigaben
Zugriff auf sensible Daten
Rechteausweitung
Änderung von Logs
Manipulation von Backups
Merksatz:
Administratorrechte nur gezielt und kontrolliert vergeben.
---
**Privileged Access Management**
Privileged Access Management wird oft abgekürzt:
PAM
PAM bedeutet:
besonders privilegierte Zugriffe werden kontrolliert,
begrenzt
überwacht
und dokumentiert.
Beispiele:
zeitlich begrenzte Adminrechte
Genehmigungsprozess
MFA
Session Logging
Notfallkonto
regelmäßige Rechteprüfung
Merksatz:
PAM schützt besonders mächtige Zugriffe.
---
**Just-in-Time-Zugriff**
Just-in-Time-Zugriff bedeutet:
Rechte werden nur für einen begrenzten Zeitraum vergeben.
Beispiel:
Admin braucht für 2 Stunden erhöhte Rechte,
um eine Wartung durchzuführen.
Nach Ablauf werden die Rechte automatisch entzogen.
Merksatz:
Just-in-Time reduziert dauerhafte Adminrechte.
---
**Sammelkonten vermeiden**
Sammelkonten sind gemeinsame Konten,
die mehrere Personen nutzen.
Problem:
keine eindeutige Zuordnung
schlechte Nachvollziehbarkeit
Passwortweitergabe
schwieriges Offboarding
Sicherheitsvorfälle schwer aufklärbar
Merksatz:
Cloud-Zugriffe müssen personengebunden nachvollziehbar sein.
---
**Servicekonto**
Ein Servicekonto ist eine Identität für einen Dienst oder eine Anwendung.
Beispiele:
Backup-Dienst
Automatisierung
CI/CD-Pipeline
Monitoring
Anwendung, die auf Speicher zugreift
Skript, das Ressourcen erstellt
Servicekonten sollten ebenfalls nur minimale Rechte erhalten.
Merksatz:
Servicekonten sind Maschinenidentitäten und brauchen genauso Rechtebegrenzung.
---
**API-Schlüssel**
API-Schlüssel erlauben Programmen oder Skripten Zugriff auf Cloud-Dienste.
Risiken:
Schlüssel wird versehentlich veröffentlicht
Schlüssel liegt im Quellcode
Schlüssel hat zu viele Rechte
Schlüssel wird nie rotiert
Schlüssel wird nach Projektende nicht gelöscht
Merksatz:
API-Schlüssel wie Passwörter behandeln.
---
**Secrets**
Secrets sind geheime Informationen.
Beispiele:
Passwörter
API-Schlüssel
private Schlüssel
Tokens
Datenbankzugangsdaten
Zertifikate
Secrets sollten nicht liegen in:
Quellcode
öffentlichen Repositories
Klartextdateien
Chatnachrichten
ungeschützten Wikiseiten
unverschlüsselten Backups
Merksatz:
Secrets gehören in geschützte Secret-Verwaltung.
---
**Secret Management**
Secret Management bedeutet:
geheime Informationen sicher speichern,
verteilen
rotieren
und widerrufen.
Wichtig:
Zugriff begrenzen
Nutzung protokollieren
Rotation ermöglichen
keine Klartextspeicherung
Notfallzugriff regeln
alte Secrets entfernen
Merksatz:
Secret Management verhindert unkontrollierten Umgang mit Zugangsdaten.
---
**MFA in der Cloud**
MFA steht für:
Multi-Faktor-Authentifizierung
MFA sollte besonders gelten für:
Administratoren
externe Benutzer
Zugriff auf sensible Daten
Zugriff auf Abrechnung
Zugriff auf IAM
Zugriff auf Produktion
Zugriff von unbekannten Geräten
Merksatz:
Cloud-Adminzugänge ohne MFA sind ein hohes Risiko.
---
**Conditional Access**
Conditional Access bedeutet:
Zugriff wird von Bedingungen abhängig gemacht.
Bedingungen können sein:
Benutzerrolle
Gerätetyp
Gerätezustand
Standort
Risiko des Logins
Anwendung
MFA erfüllt
Uhrzeit
Netzwerk
Beispiel:
Adminzugriff nur mit MFA und verwaltetem Gerät.
Merksatz:
Conditional Access prüft Kontext vor Zugriff.
---
**Zero Trust in der Cloud**
Zero Trust bedeutet:
keinem Zugriff automatisch vertrauen.
Auch innerhalb der Cloud wird geprüft:
Wer greift zu?
Von welchem Gerät?
Auf welche Ressource?
Mit welchem Risiko?
Mit welcher Rolle?
Ist MFA erfüllt?
Ist Zugriff ungewöhnlich?
Merksatz:
Zero Trust prüft jeden Zugriff kontextbezogen.
---
**Rollenbasierte Zugriffskontrolle**
Rollenbasierte Zugriffskontrolle wird oft abgekürzt:
RBAC
RBAC bedeutet:
Rechte werden über Rollen vergeben.
Beispiel:
Rolle Leser:
darf Ressourcen ansehen
Rolle Netzwerkadministrator:
darf Netzwerke verwalten
Rolle Besitzer:
darf fast alles verwalten
Merksatz:
RBAC macht Rechteverwaltung strukturierter.
---
**Attributbasierte Zugriffskontrolle**
Attributbasierte Zugriffskontrolle wird oft abgekürzt:
ABAC
ABAC entscheidet anhand von Attributen.
Beispiele für Attribute:
Abteilung
Projekt
Umgebung
Datenklasse
Standort
Gerätestatus
Tag
Uhrzeit
Merksatz:
ABAC nutzt Eigenschaften für Zugriffsentscheidungen.
---
**RBAC und ABAC vergleichen**
| Merkmal | RBAC | ABAC |
|---|---|---|
| Grundlage | Rollen | Attribute |
| Beispiel | Admin, Leser, Entwickler | Projekt, Tag, Standort, Datenklasse |
| Vorteil | übersichtlich | sehr flexibel |
| Nachteil | Rollen können zu grob werden | komplexer zu planen |
| Einsatz | klassische Rechtevergabe | feinere Kontextregeln |
Merksatz:
RBAC arbeitet mit Rollen.
ABAC arbeitet mit Eigenschaften.
---
**Mandant und Tenant**
Ein Tenant ist ein logisch getrennter Bereich in einer Cloud- oder SaaS-Plattform.
Er enthält typischerweise:
Benutzer
Gruppen
Rollen
Richtlinien
Anwendungen
Einstellungen
Ressourcen
Abrechnung
Merksatz:
Tenant = eigener Verwaltungsbereich in einer Cloud-Plattform.
---
**Mandantentrennung**
Mandantentrennung bedeutet:
Daten und Ressourcen verschiedener Kunden oder Organisationseinheiten werden logisch getrennt.
Wichtig bei:
Public Cloud
SaaS
Hosting
Multi-Tenant-Anwendungen
Dienstleisterplattformen
Merksatz:
Mandantentrennung verhindert Vermischung fremder Kundenbereiche.
---
**Single Sign-On**
Single Sign-On wird abgekürzt:
SSO
SSO bedeutet:
Benutzer melden sich einmal an
und können mehrere Dienste nutzen.
Vorteile:
weniger Passwörter
zentrale Anmeldung
bessere Kontrolle
einfacheres Offboarding
MFA zentral möglich
Merksatz:
SSO vereinfacht Anmeldung und zentrale Zugriffskontrolle.
---
**Identity Provider**
Identity Provider wird oft abgekürzt:
IdP
Ein Identity Provider stellt Identitäten und Anmeldungen bereit.
Er prüft zum Beispiel:
Benutzername
Passwort
MFA
Richtlinien
Gruppen
Rollen
Merksatz:
IdP ist die zentrale Stelle für Anmeldung.
---
**Föderation**
Föderation bedeutet:
Eine Organisation vertraut der Anmeldung einer anderen Identitätsquelle.
Beispiel:
Benutzer meldet sich mit Unternehmensidentität bei einem Cloud-Dienst an.
Der Cloud-Dienst muss das Passwort nicht selbst verwalten,
sondern vertraut dem Identity Provider.
Merksatz:
Föderation verbindet Identitätswelten.
---
**SAML**
SAML steht für:
Security Assertion Markup Language
SAML wird häufig für Single Sign-On genutzt.
Grundidee:
Identity Provider bestätigt dem Dienst,
dass der Benutzer erfolgreich angemeldet ist.
Merksatz:
SAML ermöglicht SSO zwischen Identitätsanbieter und Dienst.
---
**OAuth 2.0**
OAuth 2.0 ist ein Autorisierungsstandard.
Er wird genutzt,
damit Anwendungen Zugriff auf Ressourcen erhalten können,
ohne direkt das Benutzerpasswort zu kennen.
Beispiel:
Eine Anwendung darf auf Kalenderdaten zugreifen,
nachdem der Benutzer zugestimmt hat.
Merksatz:
OAuth 2.0 regelt delegierte Autorisierung.
---
**OpenID Connect**
OpenID Connect baut auf OAuth 2.0 auf
und ergänzt Authentifizierung.
Es wird häufig für moderne Logins genutzt.
Merksatz:
OpenID Connect ergänzt OAuth 2.0 um Identitätsinformationen.
---
**Authentifizierung und Autorisierung in der Cloud**
Authentifizierung:
Wer bist du?
Autorisierung:
Was darfst du?
Beispiele:
Benutzer meldet sich erfolgreich an.
Das ist Authentifizierung.
Benutzer darf eine VM löschen.
Das ist Autorisierung.
Merksatz:
Anmeldung und Berechtigung immer unterscheiden.
---
**Cloud-Netzwerksicherheit**
Cloud-Netzwerksicherheit umfasst:
VPC oder VNet
Subnetze
Security Groups
NSGs
Firewalls
private Endpunkte
VPN
Peering
Routing
DNS
WAF
DDoS-Schutz
Merksatz:
Cloud-Sicherheit besteht aus IAM und Netzwerkschutz.
---
**Private Endpoint**
Ein Private Endpoint macht einen Cloud-Dienst über eine private IP im eigenen Cloud-Netz erreichbar.
Vorteil:
Zugriff muss nicht über das öffentliche Internet erfolgen.
Beispiel:
Anwendung greift auf Cloud-Datenbank über private Adresse zu.
Merksatz:
Private Endpoint hält Cloud-Dienste intern erreichbar.
---
**Public Endpoint**
Ein Public Endpoint ist öffentlich über das Internet erreichbar.
Beispiele:
öffentliche API
Webanwendung
öffentliches SaaS-Portal
Storage-URL mit öffentlichem Zugriff
Wichtig:
Public Endpoints brauchen starke Zugriffskontrolle,
TLS,
Logging
und Schutzregeln.
Merksatz:
Public Endpoint nur bewusst und abgesichert nutzen.
---
**WAF**
WAF steht für:
Web Application Firewall
Eine WAF schützt Webanwendungen vor typischen Angriffen.
Beispiele:
SQL Injection
Cross-Site Scripting
bösartige Requests
ungewöhnliche Muster
bekannte Angriffssignaturen
Merksatz:
WAF schützt Webanwendungen auf Anwendungsebene.
---
**DDoS-Schutz**
DDoS steht für:
Distributed Denial of Service
Dabei versuchen viele Systeme,
einen Dienst durch massenhafte Anfragen zu überlasten.
Cloud-Anbieter bieten oft Schutzfunktionen gegen DDoS-Angriffe.
Merksatz:
DDoS-Schutz soll Dienste trotz Massenangriffen verfügbar halten.
---
**Verschlüsselung in der Cloud**
Verschlüsselung ist wichtig für:
Daten bei Übertragung
Daten im Ruhezustand
Backups
Datenbanken
Speicher
Logs
Schlüsselverwaltung
Merksatz:
Verschlüsselung schützt Daten,
ersetzt aber keine Rechteverwaltung.
---
**Verschlüsselung während der Übertragung**
Daten während der Übertragung sollten verschlüsselt werden.
Typische Technik:
TLS
Beispiele:
HTTPS
API-Aufrufe
Datenbankverbindungen
Verwaltungsschnittstellen
SaaS-Zugriffe
Merksatz:
Daten unterwegs mit TLS schützen.
---
**Verschlüsselung im Ruhezustand**
Daten im Ruhezustand sind gespeicherte Daten.
Beispiele:
Datenbankdaten
Dateien im Storage
Backups
Snapshots
Logs
virtuelle Festplatten
Diese Daten sollten verschlüsselt gespeichert werden.
Merksatz:
Gespeicherte Daten ebenfalls verschlüsseln.
---
**Schlüsselverwaltung**
Verschlüsselung braucht Schlüssel.
Wichtige Fragen:
Wer erstellt Schlüssel?
Wer verwaltet Schlüssel?
Wer darf Schlüssel nutzen?
Werden Schlüssel rotiert?
Wo werden Schlüssel gespeichert?
Was passiert bei Schlüsselverlust?
Wer kann Daten entschlüsseln?
Merksatz:
Verschlüsselung ist nur so sicher wie die Schlüsselverwaltung.
---
**KMS**
KMS steht für:
Key Management Service
Ein KMS verwaltet kryptografische Schlüssel.
Aufgaben:
Schlüssel erzeugen
Schlüssel speichern
Schlüssel rotieren
Zugriff auf Schlüssel steuern
Nutzung protokollieren
Schlüssel deaktivieren oder löschen
Merksatz:
KMS verwaltet Schlüssel für Cloud-Verschlüsselung.
---
**Kundenverwaltete Schlüssel**
Bei kundenverwalteten Schlüsseln kontrolliert der Kunde stärker,
welche Schlüssel für Verschlüsselung genutzt werden.
Vorteile:
mehr Kontrolle
eigene Richtlinien
Schlüsselrotation steuerbar
Zugriff besser begrenzbar
Risiko:
Schlüsselverlust kann Daten unbrauchbar machen.
Merksatz:
Mehr Schlüsselhoheit bedeutet auch mehr Verantwortung.
---
**Cloud-Logging**
Cloud-Logging ist sicherheitskritisch.
Wichtige Logarten:
Anmeldungen
API-Aufrufe
Rechteänderungen
Netzwerkzugriffe
Firewall-Entscheidungen
Datenzugriffe
Adminaktionen
Fehlermeldungen
Sicherheitsereignisse
Kostenereignisse
Merksatz:
Cloud-Logs zeigen,
wer was wann getan hat.
---
**Audit-Logs**
Audit-Logs dokumentieren administrative und sicherheitsrelevante Aktionen.
Beispiele:
Benutzer erstellt
Rolle geändert
Firewall geöffnet
VM gelöscht
Speicher öffentlich gemacht
API-Schlüssel erstellt
MFA deaktiviert
Backup gelöscht
Merksatz:
Audit-Logs sind wichtig für Nachvollziehbarkeit.
---
**Cloud-Monitoring**
Cloud-Monitoring überwacht Betrieb und Sicherheit.
Wichtige Werte:
Verfügbarkeit
CPU
RAM
Speicher
Datenbanklast
Netzwerkverkehr
Loginfehler
ungewöhnliche Zugriffe
Kosten
Zertifikatsablauf
Backupstatus
Merksatz:
Monitoring erkennt technische und sicherheitsrelevante Probleme.
---
**SIEM**
SIEM steht für:
Security Information and Event Management
Ein SIEM sammelt und analysiert Sicherheitslogs aus verschiedenen Quellen.
Ziel:
Angriffe erkennen
Auffälligkeiten korrelieren
Alarmierungen erzeugen
Sicherheitsvorfälle untersuchen
Nachweise bereitstellen
Merksatz:
SIEM hilft,
Sicherheitsereignisse zentral auszuwerten.
---
**Cloud-Backup**
Auch Cloud-Dienste brauchen Backup.
Wichtige Fragen:
Welche Daten werden gesichert?
Wie oft?
Wie lange?
Wo werden Backups gespeichert?
Wer darf wiederherstellen?
Sind Backups verschlüsselt?
Sind Backups vor Löschung geschützt?
Wurde Wiederherstellung getestet?
Merksatz:
Cloud ist kein Ersatz für Backup.
---
**Ransomware-Schutz in der Cloud**
Auch Cloud-Daten können durch Ransomware betroffen sein.
Risiken:
synchronisierte verschlüsselte Dateien
gelöschte Backups
kompromittierte Adminzugänge
manipulierte Datenbanken
missbrauchte API-Schlüssel
Schutz:
MFA
getrennte Adminrollen
unveränderliche Backups
Versionierung
Least Privilege
Monitoring
schnelles Offboarding
Merksatz:
Ransomware-Schutz braucht Backup,
Rechtebegrenzung
und Monitoring.
---
**Immutable Backup**
Immutable bedeutet:
unveränderlich
Ein Immutable Backup kann für einen festgelegten Zeitraum nicht verändert oder gelöscht werden.
Vorteil:
Schutz vor versehentlicher Löschung
Schutz vor Ransomware
bessere Wiederherstellungschancen
Merksatz:
Unveränderliche Backups schützen vor Manipulation und Löschung.
---
**Datenschutz in der Cloud**
Cloud-Datenschutz fragt:
Welche Daten werden verarbeitet?
Wo werden Daten gespeichert?
Wer hat Zugriff?
Gibt es Auftragsverarbeitung?
Sind Daten verschlüsselt?
Gibt es Löschkonzepte?
Wie werden Betroffenenrechte erfüllt?
Werden Logs personenbezogen?
Welche Unterauftragnehmer gibt es?
Merksatz:
Cloud-Dienste brauchen Datenschutzprüfung.
---
**Datenklassifizierung**
Datenklassifizierung bedeutet:
Daten werden nach Schutzbedarf eingeteilt.
Beispiele:
öffentlich
intern
vertraulich
streng vertraulich
personenbezogen
geschäftskritisch
Je höher der Schutzbedarf,
desto strenger müssen Zugriff,
Verschlüsselung,
Logging
und Speicherort geregelt sein.
Merksatz:
Schutzmaßnahmen richten sich nach Datenklasse.
---
**Compliance in der Cloud**
Compliance bedeutet:
Einhaltung von Regeln,
Gesetzen,
Standards
und internen Vorgaben.
Cloud-relevant:
Datenschutz
Informationssicherheit
Aufbewahrung
Löschung
Auditierbarkeit
Zugriffskontrolle
Datenstandort
Vertragsprüfung
Branchenvorgaben
Merksatz:
Cloud muss zu rechtlichen und organisatorischen Vorgaben passen.
---
**Cloud-Sicherheitsrichtlinie**
Eine Cloud-Sicherheitsrichtlinie sollte festlegen:
erlaubte Dienste
erlaubte Regionen
Rollenmodell
MFA-Pflicht
Logging-Pflicht
Verschlüsselung
Backup-Vorgaben
Tagging
Kostenkontrolle
Freigabeprozesse
Umgang mit externen Benutzern
Lösch- und Aufbewahrungsregeln
Merksatz:
Cloud-Sicherheit braucht klare Regeln.
---
**Cloud-Governance**
Cloud Governance bedeutet:
Steuerung und Kontrolle der Cloud-Nutzung.
Ziele:
Sicherheit
Kostenkontrolle
Compliance
Standardisierung
klare Verantwortlichkeiten
Vermeidung von Schatten-IT
Nachvollziehbarkeit
Ordnung in Ressourcen
Merksatz:
Governance sorgt dafür,
dass Cloud kontrolliert genutzt wird.
---
**Typische Cloud-Sicherheitsfehler**
Häufige Fehler:
MFA nicht aktiviert
Adminrechte zu breit
öffentliche Speicherfreigaben
Datenbank öffentlich erreichbar
Security Group erlaubt 0.0.0.0/0 auf Adminport
API-Schlüssel im Quellcode
Servicekonto mit Vollzugriff
Logs deaktiviert
Backups nicht getestet
alte Benutzerkonten aktiv
keine Kostenalarme
kein Offboarding
falsche Region
keine Verschlüsselung
keine Rechteprüfung
Merksatz:
Cloud-Sicherheitsfehler sind oft Konfigurationsfehler.
---
**Checkliste: Cloud-IAM sicher gestalten**
MFA für Admins erzwingen.
Keine Sammelkonten nutzen.
Benutzer eindeutig zuordnen.
Gruppen und Rollen verwenden.
Least Privilege umsetzen.
Adminrechte zeitlich begrenzen.
Servicekonten minimal berechtigen.
API-Schlüssel schützen.
Secrets nicht im Quellcode speichern.
Regelmäßige Rechteprüfung durchführen.
Offboarding konsequent umsetzen.
Audit-Logs aktivieren.
Merksatz:
IAM ist die wichtigste Sicherheitsbasis in der Cloud.
---
**Checkliste: Cloud-Ressourcen sicher konfigurieren**
Öffentliche Erreichbarkeit prüfen.
Managementports nicht öffentlich öffnen.
Datenbanken privat bereitstellen.
Security Groups eng setzen.
Verschlüsselung aktivieren.
Backups einrichten.
Logs aktivieren.
Monitoring einrichten.
Tags setzen.
Kostenalarme setzen.
Region bewusst auswählen.
Änderungen dokumentieren.
Merksatz:
Cloud-Ressourcen sicher konfigurieren,
bevor sie produktiv genutzt werden.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was bedeutet Shared Responsibility Model?
- Was ist IAM?
- Warum ist IAM in der Cloud wichtig?
- Was ist der Unterschied zwischen Authentifizierung und Autorisierung?
- Was bedeutet Least Privilege?
- Was ist RBAC?
- Was ist ABAC?
- Was ist ein Tenant?
- Was ist Mandantentrennung?
- Warum sollte MFA für Cloud-Admins Pflicht sein?
- Warum sind API-Schlüssel kritisch?
- Was ist Secret Management?
- Was ist ein Private Endpoint?
- Was ist eine WAF?
- Was ist ein KMS?
- Warum ersetzt Verschlüsselung keine Rechteverwaltung?
- Warum braucht Cloud Logging und Monitoring?
- Warum ist Cloud kein Ersatz für Backup?
- Was ist ein Immutable Backup?
- Warum ist Datenklassifizierung wichtig?
---
**Typische Prüfungsfallen**
Cloud-Sicherheit ist gemeinsame Verantwortung.
Anbieter ist nicht automatisch für Kundendatenrechte verantwortlich.
Daten,
Benutzer
und Rechte bleiben fast immer Kundenthema.
IAM ist zentral für Cloud-Sicherheit.
Authentifizierung ist nicht Autorisierung.
MFA für Admins ist besonders wichtig.
Adminrechte nicht dauerhaft und breit vergeben.
Servicekonten sind ebenfalls Identitäten.
API-Schlüssel wie Passwörter behandeln.
Secrets nicht im Quellcode speichern.
RBAC arbeitet mit Rollen.
ABAC arbeitet mit Attributen.
Tenant ist ein Verwaltungsbereich.
Mandantentrennung schützt Kundenbereiche.
SSO vereinfacht zentrale Anmeldung.
OAuth 2.0 ist Autorisierung.
OpenID Connect ergänzt Authentifizierung.
Private Endpoint vermeidet öffentlichen Zugriff.
Public Endpoint braucht besonderen Schutz.
WAF schützt Webanwendungen.
Verschlüsselung ersetzt keine Zugriffsrechte.
KMS verwaltet Schlüssel.
Cloud-Logs müssen aktiv sein.
Backup muss auch in der Cloud geplant werden.
Immutable Backup schützt vor Löschung und Manipulation.
Datenschutz und Compliance müssen geprüft werden.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| Shared Responsibility | geteilte Verantwortung zwischen Anbieter und Kunde |
| IAM | Identity and Access Management |
| Identität | Konto oder Dienst mit Zugriff |
| Benutzer | menschliche Identität |
| Gruppe | Zusammenfassung von Benutzern |
| Rolle | Aufgabenbezogene Rechte |
| Berechtigung | konkrete Erlaubnis |
| Richtlinie | Regel für Zugriff |
| Least Privilege | minimale notwendige Rechte |
| Need to Know | Zugriff nur bei Bedarf |
| PAM | Kontrolle privilegierter Zugriffe |
| Just-in-Time | zeitlich begrenzte Rechte |
| Servicekonto | Identität für Dienst oder Anwendung |
| API-Schlüssel | Zugriffsschlüssel für Programme |
| Secret | geheime Information |
| Secret Management | Verwaltung geheimer Informationen |
| MFA | Multi-Faktor-Authentifizierung |
| Conditional Access | Zugriff abhängig von Bedingungen |
| Zero Trust | kein automatisches Vertrauen |
| RBAC | rollenbasierte Zugriffskontrolle |
| ABAC | attributbasierte Zugriffskontrolle |
| Tenant | logisch getrennter Verwaltungsbereich |
| Mandantentrennung | Trennung verschiedener Kundenbereiche |
| SSO | Single Sign-On |
| IdP | Identity Provider |
| Föderation | Vertrauen zwischen Identitätsquellen |
| SAML | SSO-Standard |
| OAuth 2.0 | delegierte Autorisierung |
| OpenID Connect | Authentifizierung auf Basis von OAuth 2.0 |
| Private Endpoint | privater Zugriff auf Cloud-Dienst |
| Public Endpoint | öffentlicher Zugriffspunkt |
| WAF | Web Application Firewall |
| DDoS | Überlastungsangriff |
| KMS | Key Management Service |
| Audit-Log | Nachweis sicherheitsrelevanter Aktionen |
| SIEM | zentrale Sicherheitslog-Auswertung |
| Immutable Backup | unveränderliches Backup |
| Datenklassifizierung | Einteilung nach Schutzbedarf |
| Compliance | Einhaltung von Vorgaben |
| Cloud Governance | Steuerung der Cloud-Nutzung |
---
**IHK-sichere Kurzformulierung**
Cloud-Sicherheit basiert auf dem Shared Responsibility Model. Der Anbieter schützt je nach Service-Modell die Plattform, Infrastruktur und den Dienstbetrieb, während der Kunde für Benutzer, Rollen, Berechtigungen, Daten, sichere Konfiguration, Zugriffsschutz, Backup, Logging, Monitoring und Compliance verantwortlich bleibt. IAM, also Identity and Access Management, ist ein zentraler Bestandteil der Cloud-Sicherheit, da es regelt, wer welche Ressourcen nutzen oder verändern darf. Wichtige Prinzipien sind MFA, Least Privilege, rollenbasierte Rechtevergabe, sichere Servicekonten, Schutz von API-Schlüsseln, Secret Management, Logging, Verschlüsselung und regelmäßige Rechteprüfung. Cloud-Sicherheit entsteht durch Technik, Prozesse und klare Verantwortlichkeiten.
---
**Merksätze**
Cloud-Sicherheit ist gemeinsame Verantwortung.
Anbieter schützt Plattform,
Kunde schützt Nutzung und Daten.
Daten,
Benutzer
und Rechte bleiben fast immer Kundenthema.
IAM entscheidet,
wer was darf.
Nicht nur Menschen haben Identitäten.
Servicekonten brauchen minimale Rechte.
API-Schlüssel wie Passwörter behandeln.
Secrets nicht im Quellcode speichern.
MFA für Admins erzwingen.
Authentifizierung = Wer bist du?
Autorisierung = Was darfst du?
Least Privilege gilt immer.
Adminrechte zeitlich und fachlich begrenzen.
Sammelkonten vermeiden.
RBAC nutzt Rollen.
ABAC nutzt Attribute.
Tenant ist ein Cloud-Verwaltungsbereich.
SSO vereinfacht zentrale Anmeldung.
IdP prüft Identitäten.
OAuth 2.0 ist Autorisierung.
OpenID Connect ergänzt Authentifizierung.
Private Endpoint hält Zugriff intern.
Public Endpoint besonders schützen.
WAF schützt Webanwendungen.
DDoS-Schutz schützt Verfügbarkeit.
Verschlüsselung ersetzt keine Rechte.
KMS verwaltet Schlüssel.
Audit-Logs zeigen Adminaktionen.
SIEM wertet Sicherheitsereignisse zentral aus.
Cloud ist kein Ersatz für Backup.
Immutable Backup schützt vor Manipulation.
Datenklassifizierung bestimmt Schutzbedarf.
Cloud Governance schafft Regeln.
Fehlkonfiguration ist eines der größten Cloud-Risiken.
# 15.6 Cloud-Speicher, Backup und Datenmanagement
Cloud-Speicher ist Speicherplatz,
der als Dienst über ein Netzwerk bereitgestellt wird.
Er wird genutzt für:
- Dateien
- Backups
- Datenbanken
- Archive
- Logs
- Medien
- virtuelle Festplatten
- Anwendungsdaten
- Dokumente
- Wiederherstellung nach Ausfällen
Merksatz:
Cloud-Speicher ist Speicher als Dienst,
aber kein automatisches Backup-Konzept.
---
**Warum Cloud-Speicher wichtig ist**
Daten sind für Unternehmen oft wichtiger als die Systeme selbst.
Ein Server kann neu installiert werden.
Aber verlorene Daten können kritisch sein.
Cloud-Speicher hilft bei:
zentraler Speicherung
Skalierung
weltweiter Verfügbarkeit
Backup
Archivierung
Zusammenarbeit
Datenanalyse
Notfallwiederherstellung
Merksatz:
Cloud-Speicher muss nach Datenart,
Zugriff,
Schutzbedarf
und Kosten geplant werden.
---
**Arten von Cloud-Speicher**
Die wichtigsten Speicherarten sind:
- Objektspeicher
- Blockspeicher
- Dateispeicher
- Archivspeicher
- Datenbankspeicher
- Backup-Speicher
Merksatz:
Nicht jeder Cloud-Speicher ist für denselben Zweck geeignet.
---
**Objektspeicher**
Objektspeicher speichert Daten als Objekte.
Ein Objekt besteht typischerweise aus:
Dateiinhalt
Metadaten
eindeutigem Namen oder Schlüssel
Typische Nutzung:
Backups
Bilder
Videos
Dokumente
Logs
Archivdaten
statische Webseiten
große unstrukturierte Datenmengen
Merksatz:
Objektspeicher eignet sich gut für viele unstrukturierte Dateien.
---
**Objektspeicher einfach erklärt**
Bei Objektspeicher denkt man nicht zuerst an Ordner und Laufwerke,
sondern an Objekte in einem Speicherbereich.
Beispiel:
Objekt:
rechnung-2026-07.pdf
Metadaten:
Dateityp,
Erstellungsdatum,
Besitzer,
Speicherklasse,
Verschlüsselung
Schlüssel:
kunden/2026/rechnung-2026-07.pdf
Merksatz:
Objektspeicher arbeitet mit Objekten,
Schlüsseln
und Metadaten.
---
**Bucket**
Ein Bucket ist ein Speicherbehälter im Objektspeicher.
Darin liegen Objekte.
Beispiele:
backup-produktiv
dokumente-intern
logs-archiv
bilder-webseite
Wichtig:
Bucket-Berechtigungen sind sicherheitskritisch.
Merksatz:
Bucket = Speicherbehälter für Objekte.
---
**Bucket-Berechtigungen**
Ein häufiger Cloud-Fehler:
Bucket ist öffentlich lesbar.
Mögliche Folgen:
vertrauliche Daten werden öffentlich
personenbezogene Daten werden offengelegt
Backups können heruntergeladen werden
interne Dokumente sind sichtbar
Angreifer finden Zugangsdaten oder Logs
Merksatz:
Öffentliche Buckets sind ein großes Sicherheitsrisiko.
---
**Objektspeicher: Vorteile**
Vorteile:
sehr skalierbar
gut für große Datenmengen
Metadaten möglich
oft hohe Haltbarkeit
verschiedene Speicherklassen
gut für Backup und Archiv
Zugriff über APIs
Versionierung möglich
Merksatz:
Objektspeicher ist stark bei Skalierung und unstrukturierten Daten.
---
**Objektspeicher: Nachteile**
Nachteile:
nicht wie eine klassische Festplatte
nicht ideal für jede Anwendung
Latenz kann höher sein
Zugriff meist über API
Rechte müssen sauber gesetzt werden
Kosten für Zugriff und Datenübertragung beachten
Merksatz:
Objektspeicher ist kein direkter Ersatz für jedes Dateisystem.
---
**Blockspeicher**
Blockspeicher stellt Speicherblöcke bereit,
ähnlich wie eine Festplatte.
Typische Nutzung:
virtuelle Maschinen
Betriebssystemplatten
Datenbankserver
Anwendungen mit Dateisystem
leistungsabhängige Workloads
Beispiele:
virtuelle Systemplatte
virtuelle Datenplatte
Datenbankvolume
Merksatz:
Blockspeicher verhält sich wie eine virtuelle Festplatte.
---
**Blockspeicher: Vorteile**
Vorteile:
gut für Betriebssysteme
gut für Datenbanken
geringe Latenz möglich
Dateisystem frei wählbar
an virtuelle Maschinen anbindbar
Leistung oft wählbar
Merksatz:
Blockspeicher eignet sich für VMs und leistungsabhängige Anwendungen.
---
**Blockspeicher: Nachteile**
Nachteile:
meist an einzelne Instanzen gebunden
Verwaltung von Dateisystem bleibt nötig
falsche Größe oder Leistung kann Kosten erzeugen
Backup muss geplant werden
nicht ideal für einfache Dateifreigaben zwischen vielen Systemen
Merksatz:
Blockspeicher braucht Administration wie eine Festplatte.
---
**Dateispeicher**
Dateispeicher stellt Speicher als Dateifreigabe bereit.
Typische Nutzung:
gemeinsame Dateien
klassische Ordnerstrukturen
Benutzerdateien
Anwendungen mit gemeinsamem Dateisystem
zentrale Ablagen
Typische Protokolle:
SMB
NFS
Merksatz:
Dateispeicher arbeitet mit Ordnern,
Dateien
und Freigaben.
---
**Dateispeicher: Vorteile**
Vorteile:
bekannte Ordnerstruktur
gemeinsame Nutzung möglich
geeignet für klassische Anwendungen
SMB oder NFS möglich
einfache Integration in viele Systeme
Merksatz:
Dateispeicher passt gut zu klassischen Freigaben.
---
**Dateispeicher: Nachteile**
Nachteile:
Berechtigungen müssen sauber geplant werden
Performance abhängig von Dienst und Netzwerk
nicht immer so skalierbar wie Objektspeicher
Kosten für Kapazität und Leistung beachten
Backup und Versionierung prüfen
Merksatz:
Cloud-Dateifreigaben brauchen Rechtekonzept und Backup.
---
**Objekt-, Block- und Dateispeicher vergleichen**
| Speicherart | Typischer Einsatz | Vergleich |
|---|---|---|
| Objektspeicher | Backups, Medien, Archive, Logs | Objekt mit Metadaten |
| Blockspeicher | VM-Festplatten, Datenbanken | virtuelle Festplatte |
| Dateispeicher | gemeinsame Dateien, klassische Freigaben | Ordner und Dateien |
Merksatz:
Objekt für große Datenmengen,
Block für VM und Datenbank,
Datei für Freigaben.
---
**Archivspeicher**
Archivspeicher ist für Daten gedacht,
die selten benötigt werden.
Beispiele:
alte Backups
Langzeitarchive
gesetzliche Aufbewahrung
abgeschlossene Projekte
alte Logs
historische Dokumente
Vorteil:
oft günstiger für langfristige Speicherung
Nachteil:
Wiederherstellung kann länger dauern
Zugriff kann teurer sein
Mindestaufbewahrungszeiten möglich
Merksatz:
Archivspeicher ist günstig für selten genutzte Daten,
aber langsamer beim Zugriff.
---
**Hot, Cool und Archive Storage**
Viele Cloud-Anbieter unterscheiden Speicherklassen.
Typische Idee:
| Speicherklasse | Nutzung |
|---|---|
| Hot | häufig genutzte Daten |
| Cool | selten genutzte Daten |
| Archive | sehr selten genutzte Langzeitdaten |
Merksatz:
Je seltener der Zugriff,
desto günstiger oft die Speicherung,
aber desto teurer oder langsamer der Zugriff.
---
**Lifecycle Management**
Lifecycle Management bedeutet:
Daten werden automatisch nach Regeln verschoben oder gelöscht.
Beispiele:
Logs nach 30 Tagen in günstigere Speicherklasse verschieben.
Backups nach 1 Jahr archivieren.
temporäre Dateien nach 7 Tagen löschen.
alte Versionen nach 90 Tagen entfernen.
Merksatz:
Lifecycle-Regeln steuern den Lebenszyklus von Daten.
---
**Versionierung**
Versionierung bedeutet:
ältere Versionen einer Datei oder eines Objekts werden aufbewahrt.
Vorteile:
Wiederherstellung nach versehentlicher Änderung
Schutz vor Überschreiben
Hilfe bei Ransomware
Nachvollziehbarkeit
Aber:
Versionen verbrauchen Speicher
Kosten können steigen
Löschregeln müssen geplant werden
Merksatz:
Versionierung schützt vor Änderungen,
braucht aber Speicher- und Löschkonzept.
---
**Snapshots**
Ein Snapshot ist eine Momentaufnahme eines Systems oder Speichers.
Typische Nutzung:
VM-Zustand sichern
Volume-Zustand sichern
vor Update erstellen
schnelle Wiederherstellung
Testumgebung aus Produktivdaten erzeugen
Wichtig:
Snapshots sind nicht immer vollständiger Backup-Ersatz.
Merksatz:
Snapshot ist Momentaufnahme,
aber nicht automatisch Backup-Strategie.
---
**Backup**
Backup bedeutet:
Daten werden zusätzlich gesichert,
damit sie bei Verlust wiederhergestellt werden können.
Backup schützt vor:
versehentlichem Löschen
Hardwareausfall
Fehlkonfiguration
Ransomware
Datenkorruption
Benutzerfehler
fehlerhaften Updates
Ausfall eines Dienstes
Merksatz:
Backup ist nur wertvoll,
wenn Wiederherstellung funktioniert.
---
**Cloud ist kein Backup**
Ein häufiger Denkfehler:
Die Daten liegen in der Cloud,
also brauche ich kein Backup.
Das ist falsch.
Auch in der Cloud können Daten verloren gehen durch:
Benutzerfehler
falsche Synchronisation
Ransomware
gelöschte Benutzer
kompromittierte Adminzugänge
Fehlkonfiguration
abgelaufene Aufbewahrung
defekte Anwendung
Anbieterproblem
Merksatz:
Cloud-Speicherung ersetzt kein Backup-Konzept.
---
**Backup-Ziele**
Ein Backup-Konzept muss klären:
Was wird gesichert?
Wie oft wird gesichert?
Wie lange wird gesichert?
Wo wird gesichert?
Wer darf wiederherstellen?
Wie wird Wiederherstellung getestet?
Wie wird Backup geschützt?
Wie schnell muss Wiederherstellung sein?
Wie viel Datenverlust ist tolerierbar?
Merksatz:
Backup ohne Wiederherstellungsziel ist unvollständig.
---
**RPO**
RPO steht für:
Recovery Point Objective
RPO beschreibt,
wie viel Datenverlust maximal akzeptabel ist.
Beispiel:
RPO = 24 Stunden
Bedeutung:
Im schlimmsten Fall dürfen Daten der letzten 24 Stunden verloren gehen.
Merksatz:
RPO fragt:
Wie viel Datenverlust ist erlaubt?
---
**RTO**
RTO steht für:
Recovery Time Objective
RTO beschreibt,
wie schnell ein System wiederhergestellt sein muss.
Beispiel:
RTO = 4 Stunden
Bedeutung:
Das System soll innerhalb von 4 Stunden wieder verfügbar sein.
Merksatz:
RTO fragt:
Wie lange darf Wiederherstellung dauern?
---
**RPO und RTO vergleichen**
| Begriff | Frage | Beispiel |
|---|---|---|
| RPO | Wie viel Datenverlust ist erlaubt? | maximal 1 Stunde Datenverlust |
| RTO | Wie lange darf Ausfall dauern? | Wiederherstellung in 4 Stunden |
Merksatz:
RPO betrifft Datenverlust.
RTO betrifft Ausfallzeit.
---
**Backup-Arten**
Wichtige Backup-Arten:
Vollbackup
inkrementelles Backup
differentielles Backup
Snapshot
Replikation
Archivierung
Merksatz:
Backup-Art beeinflusst Speicherbedarf,
Dauer
und Wiederherstellung.
---
**Vollbackup**
Ein Vollbackup sichert alle ausgewählten Daten vollständig.
Vorteile:
einfache Wiederherstellung
vollständiger Sicherungsstand
unabhängig von vielen Zwischenschritten
Nachteile:
hoher Speicherbedarf
längere Sicherungsdauer
mehr Last
Merksatz:
Vollbackup ist vollständig,
aber aufwendiger.
---
**Inkrementelles Backup**
Ein inkrementelles Backup sichert nur Änderungen seit dem letzten Backup.
Vorteile:
weniger Speicherbedarf
schneller als Vollbackup
weniger Datenübertragung
Nachteile:
Wiederherstellung kann mehrere Sicherungen benötigen
Backup-Kette muss intakt sein
Merksatz:
Inkrementell sichert nur neue Änderungen seit dem letzten Backup.
---
**Differentielles Backup**
Ein differentielles Backup sichert Änderungen seit dem letzten Vollbackup.
Vorteile:
Wiederherstellung einfacher als bei langen inkrementellen Ketten
weniger aufwendig als tägliches Vollbackup
Nachteile:
wächst bis zum nächsten Vollbackup
braucht mehr Speicher als inkrementell
Merksatz:
Differentiell sichert Änderungen seit dem letzten Vollbackup.
---
**Replikation**
Replikation bedeutet:
Daten werden auf ein anderes System oder in eine andere Region kopiert.
Ziel:
höhere Verfügbarkeit
schnellere Umschaltung
Schutz vor Standortausfall
Aber:
Replikation ist nicht automatisch Backup.
Warum?
Fehler,
Löschungen
oder Ransomware können mit repliziert werden.
Merksatz:
Replikation schützt Verfügbarkeit,
Backup schützt Wiederherstellung.
---
**Backup und Replikation vergleichen**
| Merkmal | Backup | Replikation |
|---|---|---|
| Zweck | Wiederherstellung alter Stände | Verfügbarkeit und Kopie |
| schützt vor Löschen | ja, wenn richtig aufbewahrt | nicht unbedingt |
| schützt vor Ransomware | ja, wenn isoliert oder unveränderlich | nicht unbedingt |
| Zugriff | meist Wiederherstellung nötig | oft direkt nutzbar |
| Risiko | Backup zu alt | Fehler wird mitkopiert |
Merksatz:
Replikation ist kein Ersatz für Backup.
---
**3-2-1-Regel**
Die 3-2-1-Regel ist eine bekannte Backup-Grundregel.
Sie bedeutet:
3 Kopien der Daten
2 unterschiedliche Speichermedien oder Speicherarten
1 Kopie außer Haus oder getrennt vom Hauptsystem
Für Cloud kann man ergänzen:
eine Kopie unveränderlich oder besonders geschützt
Merksatz:
Mehrere getrennte Kopien schützen besser vor Datenverlust.
---
**Immutable Backup**
Immutable bedeutet:
unveränderlich
Ein Immutable Backup kann für eine festgelegte Zeit nicht verändert oder gelöscht werden.
Vorteile:
Schutz vor Ransomware
Schutz vor versehentlicher Löschung
Schutz vor kompromittierten Konten
bessere Wiederherstellungschance
Merksatz:
Immutable Backup schützt vor Manipulation und Löschung.
---
**Air Gap**
Air Gap bedeutet:
Eine Sicherung ist vom produktiven System getrennt.
Klassisch:
offline gelagertes Backup
In Cloud-Konzepten:
logisch getrennte Konten
getrennte Berechtigungen
unveränderliche Backups
getrennte Regionen
separate Backup-Tenants
Merksatz:
Air Gap bedeutet Trennung vom normalen Zugriffspfad.
---
**Backup-Verschlüsselung**
Backups enthalten oft sehr sensible Daten.
Deshalb sollten Backups verschlüsselt werden.
Wichtig:
Schlüssel sicher verwalten
Zugriff begrenzen
Wiederherstellung testen
Schlüsselverlust vermeiden
Schlüsselrotation planen
Merksatz:
Verschlüsseltes Backup ist nur nutzbar,
wenn Schlüssel verfügbar sind.
---
**Backup-Zugriffsrechte**
Nicht jeder Administrator sollte Backups löschen dürfen.
Wichtige Regeln:
getrennte Backup-Adminrolle
Wiederherstellung nur berechtigte Personen
Löschung stark begrenzen
MFA für Backupverwaltung
Protokollierung
Genehmigung bei kritischen Aktionen
Merksatz:
Wer Backups löschen kann,
kann Wiederherstellung verhindern.
---
**Restore**
Restore bedeutet:
Daten werden aus einem Backup wiederhergestellt.
Mögliche Arten:
einzelne Datei wiederherstellen
gesamtes Verzeichnis wiederherstellen
Datenbank wiederherstellen
VM wiederherstellen
Anwendung wiederherstellen
System in anderer Region wiederherstellen
Merksatz:
Backup ohne getesteten Restore ist unsicher.
---
**Restore-Test**
Ein Restore-Test prüft,
ob eine Wiederherstellung wirklich funktioniert.
Warum wichtig?
Backup könnte unvollständig sein.
Rechte könnten fehlen.
Schlüssel könnten fehlen.
Wiederherstellung dauert zu lange.
Anwendung startet nicht.
Daten sind inkonsistent.
Merksatz:
Erst Restore-Test zeigt,
ob Backup wirklich brauchbar ist.
---
**Datenkonsistenz**
Datenkonsistenz bedeutet:
Daten sind logisch korrekt und zusammenpassend.
Problem:
Wenn eine Datenbank während des Backups verändert wird,
kann ein einfaches Dateibackup inkonsistent sein.
Lösung:
anwendungskonsistente Backups
Datenbank-Dumps
Snapshots mit Quiescing
Transaktionslogs
passende Backup-Agenten
Merksatz:
Datenbanken brauchen konsistente Backups.
---
**Datenbank-Backup**
Datenbanken brauchen besondere Backup-Verfahren.
Wichtige Punkte:
konsistenter Zustand
Transaktionslogs
Point-in-Time-Recovery
regelmäßige Restore-Tests
Verschlüsselung
Aufbewahrung
Rechtekontrolle
Merksatz:
Datenbankdateien einfach kopieren reicht oft nicht.
---
**Point-in-Time-Recovery**
Point-in-Time-Recovery bedeutet:
Wiederherstellung auf einen bestimmten Zeitpunkt.
Beispiel:
Datenbankzustand von gestern 14:35 Uhr wiederherstellen.
Nützlich bei:
versehentlicher Löschung
fehlerhaftem Import
falschem Update
Ransomware
Datenkorruption
Merksatz:
Point-in-Time-Recovery stellt gezielt einen Zeitpunkt wieder her.
---
**Aufbewahrungsfrist**
Aufbewahrungsfrist bedeutet:
Wie lange Daten oder Backups gespeichert werden.
Beispiele:
tägliche Backups 30 Tage
monatliche Backups 12 Monate
Jahresarchive 10 Jahre
Wichtig:
technische Anforderungen
rechtliche Vorgaben
Datenschutz
Speicherplatz
Kosten
Merksatz:
Aufbewahrung muss fachlich,
rechtlich
und technisch passen.
---
**Löschkonzept**
Ein Löschkonzept beschreibt,
wann Daten gelöscht werden.
Wichtig bei:
personenbezogenen Daten
alten Backups
Projektarchiven
Logs
temporären Dateien
Testdaten
Benutzerkonten
Merksatz:
Daten dürfen nicht unbegrenzt ohne Zweck gespeichert werden.
---
**Datenklassifizierung**
Datenklassifizierung bedeutet:
Daten werden nach Schutzbedarf eingeteilt.
Beispiele:
öffentlich
intern
vertraulich
streng vertraulich
personenbezogen
geschäftskritisch
Die Klasse bestimmt:
Speicherort
Verschlüsselung
Zugriff
Backup
Aufbewahrung
Logging
Freigaben
Merksatz:
Datenklasse bestimmt Schutzmaßnahmen.
---
**Personenbezogene Daten**
Personenbezogene Daten sind Daten,
die sich auf eine identifizierte oder identifizierbare Person beziehen.
Beispiele:
Name
Adresse
E-Mail-Adresse
Kundennummer
Personalnummer
IP-Adresse je nach Kontext
Gesundheitsdaten
Bewerbungsdaten
Merksatz:
Personenbezogene Daten brauchen besonderen Schutz.
---
**Datenminimierung**
Datenminimierung bedeutet:
Nur Daten speichern,
die wirklich benötigt werden.
Cloud-Bezug:
keine unnötigen Kopien
keine unnötigen Exporte
keine unnötigen Logs mit Personendaten
keine ewigen Testdaten
keine Vollkopien für einfache Tests
Merksatz:
Weniger unnötige Daten bedeuten weniger Risiko.
---
**Datenresidenz**
Datenresidenz bedeutet:
Daten müssen in einem bestimmten Land oder einer bestimmten Region gespeichert werden.
Beispiel:
Speicherung innerhalb der EU
Wichtig für:
Datenschutz
Compliance
Verträge
Kundenanforderungen
Branchenvorgaben
Merksatz:
Datenresidenz beschreibt,
wo Daten liegen dürfen.
---
**Datenhoheit**
Datenhoheit bedeutet:
Wer Kontrolle über Daten hat.
Fragen:
Wer darf Daten lesen?
Wer darf Daten löschen?
Wer darf Daten exportieren?
Wer verwaltet Schlüssel?
Wer kann Zugriff technisch erzwingen?
Was passiert bei Anbieterwechsel?
Merksatz:
Datenhoheit ist Kontrolle über Zugriff,
Nutzung
und Verbleib von Daten.
---
**Datenportabilität**
Datenportabilität bedeutet:
Daten können in ein anderes System übertragen werden.
Wichtig:
Exportfunktion
offenes Format
vollständige Daten
Metadaten
Berechtigungen
Dokumentation
Wiederimport möglich
Merksatz:
Datenportabilität ist wichtig für Anbieterwechsel und Exit-Strategie.
---
**Exit-Strategie für Daten**
Eine Exit-Strategie beschreibt,
wie Daten aus einem Cloud-Dienst wieder herauskommen.
Fragen:
Wie werden Daten exportiert?
In welchem Format?
Wie lange dauert Export?
Welche Kosten entstehen?
Werden Metadaten mit exportiert?
Werden Berechtigungen mit exportiert?
Wie wird Löschung beim Anbieter bestätigt?
Merksatz:
Cloud-Einstieg braucht auch Daten-Ausstiegsplan.
---
**Cloud-Synchronisation**
Cloud-Synchronisation hält Daten zwischen Geräten oder Diensten auf gleichem Stand.
Beispiele:
Datei auf Notebook geändert
Änderung wird in Cloud synchronisiert
andere Geräte erhalten Änderung
Risiko:
versehentliche Löschung wird synchronisiert
Ransomware verschlüsselt Dateien und Änderung wird synchronisiert
falsche Version überschreibt richtige Version
Merksatz:
Synchronisation ist kein Backup.
---
**Cloud-Speicher und Ransomware**
Ransomware kann auch Cloud-Speicher betreffen.
Beispiele:
verschlüsselte Dateien werden synchronisiert
Angreifer löscht Backups
kompromittiertes Konto löscht Daten
API-Schlüssel wird missbraucht
Versionen werden entfernt
Schutz:
MFA
Versionierung
Immutable Backup
getrennte Backup-Konten
Least Privilege
Monitoring
Restore-Tests
Merksatz:
Cloud-Speicher braucht Ransomware-Schutz.
---
**Freigaben in Cloud-Speicher**
Cloud-Speicher bietet oft einfache Freigaben.
Risiken:
öffentlicher Link
Link ohne Ablaufdatum
Link ohne Passwort
externe Benutzer nicht geprüft
Ordner zu breit freigegeben
alte Freigaben bleiben aktiv
Download nicht eingeschränkt
Merksatz:
Cloud-Freigaben regelmäßig prüfen.
---
**Externe Freigaben**
Externe Freigaben erlauben Zugriff außerhalb der Organisation.
Sicherheitsregeln:
nur bei Bedarf
zeitlich begrenzen
Empfänger prüfen
Passwort oder MFA nutzen
Download einschränken
Protokollierung aktivieren
Freigaben regelmäßig entfernen
Merksatz:
Externe Freigaben sind kontrollierter Extranet-Zugriff.
---
**Cloud-Speicher und Berechtigungen**
Berechtigungen sollten festlegen:
Wer darf lesen?
Wer darf schreiben?
Wer darf löschen?
Wer darf freigeben?
Wer darf externe Benutzer einladen?
Wer darf Versionen löschen?
Wer darf Aufbewahrung ändern?
Merksatz:
Speicherrechte müssen genauer sein als nur „Zugriff erlaubt“.
---
**Cloud-Speicher und Logs**
Wichtige Logs:
Datei gelesen
Datei geändert
Datei gelöscht
Datei geteilt
externer Zugriff
Download
Adminänderung
Berechtigung geändert
Version gelöscht
Aufbewahrung geändert
Merksatz:
Speicherlogs helfen,
Datenzugriffe nachvollziehbar zu machen.
---
**Cloud-Speicher und Kosten**
Kosten entstehen durch:
Speichergröße
Speicherklasse
Anzahl der Zugriffe
Datenübertragung
Wiederherstellung aus Archiv
Versionen
Snapshots
Backups
Replikation
Logs
Merksatz:
Cloud-Speicher ist skalierbar,
aber nicht automatisch billig.
---
**Typische Cloud-Speicherfehler**
Häufige Fehler:
Bucket öffentlich lesbar
keine Versionierung
keine Backups
keine Restore-Tests
zu lange Aufbewahrung
keine Löschregeln
falsche Speicherklasse
alte Snapshots vergessen
API-Schlüssel im Speicher
externe Freigaben nicht geprüft
Backups im gleichen Konto wie Produktivdaten ungeschützt
keine Verschlüsselung
keine Logs
Merksatz:
Cloud-Speicherfehler entstehen oft durch Rechte,
Freigaben,
Aufbewahrung
und fehlende Tests.
---
**Checkliste: Cloud-Speicher sicher nutzen**
Speicherart passend auswählen.
Daten klassifizieren.
Öffentliche Zugriffe vermeiden.
Berechtigungen minimal vergeben.
MFA für Admins erzwingen.
Versionierung prüfen.
Backup einrichten.
Immutable Backup prüfen.
Wiederherstellung testen.
Verschlüsselung aktivieren.
Schlüsselverwaltung klären.
Aufbewahrungsfristen festlegen.
Löschkonzept erstellen.
Lifecycle-Regeln nutzen.
Logs aktivieren.
Kosten überwachen.
Externe Freigaben regelmäßig prüfen.
Merksatz:
Cloud-Speicher braucht Technik,
Rechte,
Backup
und Kostenkontrolle.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist Objektspeicher?
- Was ist Blockspeicher?
- Was ist Dateispeicher?
- Wofür nutzt man Archivspeicher?
- Was ist ein Bucket?
- Warum sind öffentliche Buckets gefährlich?
- Was bedeutet Versionierung?
- Was ist ein Snapshot?
- Warum ist Cloud-Speicher kein automatisches Backup?
- Was ist der Unterschied zwischen Backup und Replikation?
- Was bedeutet RPO?
- Was bedeutet RTO?
- Was ist die 3-2-1-Regel?
- Was ist ein Immutable Backup?
- Warum sind Restore-Tests wichtig?
- Was ist Point-in-Time-Recovery?
- Was bedeutet Datenklassifizierung?
- Was bedeutet Datenresidenz?
- Warum ist Synchronisation kein Backup?
- Warum müssen externe Freigaben geprüft werden?
---
**Typische Prüfungsfallen**
Cloud-Speicher ist nicht automatisch Backup.
Synchronisation ist kein Backup.
Replikation ist kein Backup.
Snapshot ist nicht immer vollständiger Backup-Ersatz.
Backup ohne Restore-Test ist unsicher.
Objektspeicher ist nicht dasselbe wie Blockspeicher.
Blockspeicher ist eher virtuelle Festplatte.
Dateispeicher ist eher klassische Freigabe.
Bucket-Berechtigungen sind sicherheitskritisch.
Öffentliche Buckets vermeiden.
RPO betrifft Datenverlust.
RTO betrifft Wiederherstellungszeit.
Immutable Backup schützt vor Löschung und Manipulation.
Backups müssen verschlüsselt und geschützt sein.
Datenbanken brauchen konsistente Backups.
Datenklassifizierung bestimmt Schutzmaßnahmen.
Datenresidenz beschreibt Speicherort.
Datenportabilität ist wichtig für Anbieterwechsel.
Externe Freigaben regelmäßig prüfen.
Cloud-Speicher verursacht auch Zugriffskosten,
Versionierungskosten
und Wiederherstellungskosten.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| Cloud-Speicher | Speicher als Dienst |
| Objektspeicher | Speicher für Objekte mit Metadaten |
| Blockspeicher | Speicher wie virtuelle Festplatte |
| Dateispeicher | Speicher als Ordner- und Dateifreigabe |
| Archivspeicher | Speicher für selten genutzte Langzeitdaten |
| Bucket | Speicherbehälter für Objekte |
| Metadaten | beschreibende Zusatzinformationen |
| Speicherklasse | Kosten- und Zugriffskategorie |
| Lifecycle Management | automatische Regeln für Verschieben oder Löschen |
| Versionierung | Aufbewahrung früherer Dateiversionen |
| Snapshot | Momentaufnahme eines Systems oder Speichers |
| Backup | zusätzliche Sicherung zur Wiederherstellung |
| Restore | Wiederherstellung aus Backup |
| Restore-Test | Prüfung der Wiederherstellung |
| RPO | maximal akzeptabler Datenverlust |
| RTO | maximal akzeptable Wiederherstellungszeit |
| Vollbackup | vollständige Sicherung |
| inkrementelles Backup | Änderungen seit letztem Backup |
| differentielles Backup | Änderungen seit letztem Vollbackup |
| Replikation | Kopie auf anderes System oder Region |
| 3-2-1-Regel | drei Kopien, zwei Medien, eine getrennte Kopie |
| Immutable Backup | unveränderliches Backup |
| Air Gap | getrennte Sicherung |
| Point-in-Time-Recovery | Wiederherstellung auf bestimmten Zeitpunkt |
| Aufbewahrungsfrist | Speicherdauer von Daten |
| Löschkonzept | Regelung zur Datenlöschung |
| Datenklassifizierung | Einteilung nach Schutzbedarf |
| Datenresidenz | Ort der Datenspeicherung |
| Datenhoheit | Kontrolle über Daten |
| Datenportabilität | Übertragbarkeit von Daten |
| Exit-Strategie | Plan zum Verlassen eines Dienstes |
| Synchronisation | Abgleich von Datenständen |
---
**IHK-sichere Kurzformulierung**
Cloud-Speicher stellt Speicherplatz als Dienst bereit. Man unterscheidet vor allem Objektspeicher, Blockspeicher und Dateispeicher. Objektspeicher eignet sich für unstrukturierte Daten wie Backups, Medien, Logs und Archive. Blockspeicher wird häufig wie eine virtuelle Festplatte für virtuelle Maschinen oder Datenbanken genutzt. Dateispeicher stellt klassische Datei- und Ordnerfreigaben bereit. Cloud-Speicher ersetzt kein Backup-Konzept, da Löschungen, Fehlkonfigurationen, Ransomware oder falsche Synchronisation auch Cloud-Daten betreffen können. Wichtige Backup-Kennzahlen sind RPO für maximal tolerierbaren Datenverlust und RTO für maximal tolerierbare Wiederherstellungszeit. Backups müssen geschützt, verschlüsselt, regelmäßig getestet und passend aufbewahrt werden.
---
**Merksätze**
Cloud-Speicher = Speicher als Dienst.
Nicht jeder Speicher passt zu jedem Zweck.
Objektspeicher speichert Objekte mit Metadaten.
Bucket = Speicherbehälter.
Öffentliche Buckets sind gefährlich.
Blockspeicher = virtuelle Festplatte.
Dateispeicher = klassische Freigabe.
Archivspeicher für selten genutzte Daten.
Hot Storage für häufige Zugriffe.
Archive Storage für seltene Zugriffe.
Lifecycle-Regeln steuern Datenlebenszyklus.
Versionierung schützt vor Überschreiben.
Snapshot ist Momentaufnahme.
Snapshot ist nicht automatisch Backup-Strategie.
Cloud ist kein Backup.
Synchronisation ist kein Backup.
Replikation ist kein Backup.
Backup schützt Wiederherstellung.
Replikation schützt eher Verfügbarkeit.
RPO = erlaubter Datenverlust.
RTO = erlaubte Wiederherstellungszeit.
Vollbackup sichert alles.
Inkrementell sichert Änderungen seit letztem Backup.
Differentiell sichert Änderungen seit letztem Vollbackup.
3-2-1-Regel schützt besser vor Datenverlust.
Immutable Backup schützt vor Löschung.
Air Gap trennt Backup vom Hauptsystem.
Backup-Schlüssel sicher verwalten.
Restore-Test ist Pflicht.
Datenbanken brauchen konsistente Backups.
Point-in-Time-Recovery stellt Zeitpunkt wieder her.
Aufbewahrung und Löschung planen.
Datenklassifizierung bestimmt Schutz.
Datenresidenz beschreibt Speicherort.
Datenportabilität für Anbieterwechsel beachten.
Cloud-Freigaben regelmäßig prüfen.
Speicherlogs aktivieren.
Cloud-Speicher-Kosten überwachen.
# 15.7 Cloud-Betrieb, Monitoring, Skalierung und Kostenkontrolle
Cloud-Dienste müssen auch nach der Einrichtung betrieben,
überwacht
und optimiert werden.
Cloud bedeutet nicht:
einmal erstellen
und nie wieder anfassen
Cloud-Betrieb umfasst:
- Monitoring
- Logging
- Alarmierung
- Kostenkontrolle
- Skalierung
- Patchmanagement
- Backup-Prüfung
- Sicherheitsprüfung
- Rechteprüfung
- Dokumentation
- Automatisierung
- Störungsbehandlung
Merksatz:
Cloud-Ressourcen brauchen laufenden Betrieb wie lokale IT-Systeme.
---
**Warum Cloud-Betrieb wichtig ist**
Cloud-Ressourcen lassen sich schnell erstellen.
Das ist ein Vorteil,
kann aber auch ein Risiko sein.
Typische Probleme:
Ressourcen werden vergessen.
Kosten steigen unbemerkt.
Logs sind nicht aktiviert.
Backups werden nicht getestet.
Sicherheitsregeln sind zu breit.
Benutzerrechte bleiben zu lange bestehen.
Dienste laufen dauerhaft,
obwohl sie nicht mehr gebraucht werden.
Merksatz:
Cloud-Flexibilität braucht Kontrolle.
---
**Cloud-Betrieb einfach erklärt**
Beim Cloud-Betrieb geht es darum,
Cloud-Dienste dauerhaft zuverlässig,
sicher
und wirtschaftlich zu betreiben.
Dazu gehören Fragen wie:
Läuft der Dienst?
Ist der Dienst erreichbar?
Ist die Leistung ausreichend?
Gibt es Sicherheitsereignisse?
Werden Kosten eingehalten?
Funktionieren Backups?
Sind Ressourcen richtig dimensioniert?
Sind Rechte korrekt?
Gibt es unnötige Ressourcen?
Merksatz:
Cloud-Betrieb verbindet Technik,
Sicherheit
und Kosten.
---
**Monitoring**
Monitoring bedeutet:
Systeme und Dienste werden laufend überwacht.
Ziel:
Probleme früh erkennen,
bevor Benutzer stark betroffen sind.
Überwacht werden zum Beispiel:
Verfügbarkeit
CPU-Auslastung
RAM-Auslastung
Speicherplatz
Netzwerkverkehr
Antwortzeiten
Fehlerquoten
Datenbanklast
Zertifikatsablauf
Backupstatus
Kosten
Merksatz:
Monitoring zeigt,
ob Systeme gesund laufen.
---
**Metriken**
Metriken sind messbare Werte.
Beispiele:
CPU in Prozent
RAM-Verbrauch
freier Speicherplatz
Anfragen pro Sekunde
Antwortzeit in Millisekunden
Fehlerrate
Netzwerkdurchsatz
Anzahl aktiver Benutzer
Datenbankverbindungen
Warteschlangenlänge
Merksatz:
Metriken liefern messbare Zustandswerte.
---
**Logs**
Logs sind Ereignisprotokolle.
Sie zeigen,
was in einem System passiert ist.
Beispiele:
Benutzeranmeldung
API-Aufruf
Fehler in Anwendung
Firewall blockiert Verbindung
Admin ändert Rolle
Backup schlägt fehl
Datenbank meldet Fehler
Ressource wird gelöscht
Merksatz:
Logs zeigen Ereignisse und helfen bei Fehlersuche.
---
**Monitoring und Logging unterscheiden**
| Begriff | Frage | Beispiel |
|---|---|---|
| Monitoring | Wie geht es dem System gerade? | CPU 90 %, Dienst nicht erreichbar |
| Logging | Was ist passiert? | Benutzer hat Firewall-Regel geändert |
Merksatz:
Monitoring zeigt Zustand.
Logs zeigen Ereignisse.
---
**Alarmierung**
Alarmierung bedeutet:
Bei bestimmten Ereignissen oder Grenzwerten wird automatisch gewarnt.
Beispiele:
CPU über 90 %
Speicher fast voll
Dienst nicht erreichbar
Backup fehlgeschlagen
viele fehlgeschlagene Logins
Kostenlimit fast erreicht
Zertifikat läuft bald ab
ungewöhnlich viel Datenverkehr
Merksatz:
Alarmierung macht Probleme sichtbar,
bevor sie übersehen werden.
---
**Schwellwert**
Ein Schwellwert ist ein Grenzwert,
ab dem eine Aktion ausgelöst wird.
Beispiel:
Wenn CPU länger als 10 Minuten über 85 % liegt,
Alarm auslösen.
Oder:
Wenn Monatskosten 80 % des Budgets erreichen,
Warnung senden.
Merksatz:
Schwellwerte steuern,
wann gewarnt oder reagiert wird.
---
**Alert Fatigue**
Alert Fatigue bedeutet:
Es gibt so viele Alarme,
dass wichtige Alarme übersehen werden.
Ursachen:
zu niedrige Schwellwerte
zu viele unwichtige Alarme
keine Priorisierung
Alarme ohne Handlungsempfehlung
wiederholte Fehlalarme
Schutz:
Alarme sinnvoll priorisieren
nur relevante Alarme erstellen
klare Zuständigkeiten festlegen
Alarme regelmäßig überprüfen
Merksatz:
Zu viele schlechte Alarme sind selbst ein Problem.
---
**Dashboard**
Ein Dashboard zeigt wichtige Betriebswerte übersichtlich an.
Beispiele:
Verfügbarkeit
Auslastung
Fehlerquote
Kosten
offene Alarme
Backupstatus
Zertifikate
Sicherheitsereignisse
aktive Ressourcen
Merksatz:
Dashboard = Überblick über wichtige Zustände.
---
**Cloud-Logging aktivieren**
Viele Cloud-Dienste erzeugen Logs nur dann vollständig,
wenn Logging aktiviert oder richtig konfiguriert ist.
Wichtig:
Audit-Logs aktivieren
Netzwerklogs aktivieren
Anwendungslogs aktivieren
Firewall-Logs aktivieren
Load-Balancer-Logs aktivieren
Aufbewahrung festlegen
Zugriff auf Logs schützen
Merksatz:
Nicht vorhandene Logs helfen im Fehlerfall nicht.
---
**Audit-Logs**
Audit-Logs dokumentieren administrative Aktionen.
Beispiele:
Benutzer erstellt
Rolle geändert
VM gelöscht
Firewall geöffnet
Speicher öffentlich gemacht
API-Schlüssel erzeugt
MFA deaktiviert
Backup gelöscht
Merksatz:
Audit-Logs zeigen,
wer was wann geändert hat.
---
**Flow Logs**
Flow Logs zeigen Netzwerkverbindungen als Metadaten.
Typische Angaben:
Quelle
Ziel
Port
Protokoll
Zeit
Aktion
Datenmenge
Schnittstelle
Wichtig:
Flow Logs zeigen meist nicht den vollständigen Inhalt der Pakete.
Merksatz:
Flow Logs helfen bei Netzwerk- und Firewall-Analyse.
---
**Log-Aufbewahrung**
Logs sollten nicht beliebig kurz oder beliebig lange gespeichert werden.
Zu klären:
Wie lange werden Logs benötigt?
Gibt es rechtliche Vorgaben?
Enthalten Logs personenbezogene Daten?
Wer darf Logs lesen?
Wie werden Logs geschützt?
Wann werden Logs gelöscht?
Merksatz:
Log-Aufbewahrung braucht Sicherheits- und Datenschutzkonzept.
---
**Zentrales Logging**
Bei mehreren Cloud-Diensten sollten Logs zentral gesammelt werden.
Vorteile:
bessere Übersicht
einfachere Suche
Korrelation von Ereignissen
Sicherheitsanalyse
Nachvollziehbarkeit
Alarmierung
weniger Insellösungen
Merksatz:
Zentrales Logging erleichtert Betrieb und Sicherheitsanalyse.
---
**SIEM**
SIEM steht für:
Security Information and Event Management
Ein SIEM sammelt Sicherheitslogs aus verschiedenen Quellen
und wertet sie aus.
Ziel:
Angriffe erkennen
verdächtige Muster finden
Alarme erzeugen
Ereignisse korrelieren
Nachweise liefern
Merksatz:
SIEM hilft bei zentraler Sicherheitsüberwachung.
---
**Cloud-Kostenkontrolle**
Cloud-Kosten können schnell steigen,
wenn Ressourcen unkontrolliert genutzt werden.
Kosten entstehen zum Beispiel durch:
laufende virtuelle Maschinen
Speicher
Datenbanken
Backups
Snapshots
Netzwerkverkehr
Load Balancer
öffentliche IP-Adressen
Logs
Monitoring
Lizenzen
Support
Datenübertragung zwischen Regionen
Merksatz:
Cloud-Kosten entstehen nicht nur durch Server.
---
**Pay as you go**
Pay as you go bedeutet:
bezahlt wird nach Nutzung.
Beispiele:
pro Stunde
pro Sekunde
pro GB
pro Anfrage
pro Benutzer
pro Datenübertragung
pro Ausführung
Vorteil:
flexibel
Risiko:
Fehlkonfiguration oder Dauerbetrieb kann teuer werden.
Merksatz:
Pay as you go braucht Überwachung.
---
**Budget**
Ein Budget legt fest,
wie viel Geld für Cloud-Ressourcen geplant ist.
Beispiele:
Monatsbudget für Projekt
Budget für Testumgebung
Budget für Abteilung
Budget für gesamte Cloud-Plattform
Wichtig:
Budget allein stoppt nicht immer automatisch Kosten.
Oft braucht man zusätzlich Alarme oder Sperren.
Merksatz:
Budget macht Kosten sichtbar und planbar.
---
**Kostenalarm**
Ein Kostenalarm warnt,
wenn Kosten einen bestimmten Wert erreichen.
Beispiele:
50 % des Monatsbudgets erreicht
80 % des Monatsbudgets erreicht
ungewöhnlicher Kostenanstieg
unerwarteter Dienst verursacht Kosten
Merksatz:
Kostenalarme verhindern nicht alles,
aber sie machen Kosten früh sichtbar.
---
**Kostenstelle**
Eine Kostenstelle ordnet Kosten einem Bereich zu.
Beispiele:
Projekt
Abteilung
Kunde
Umgebung
Team
Anwendung
In der Cloud erfolgt diese Zuordnung oft über:
Tags
Labels
Ressourcengruppen
Abonnements
Accounts
Projekte
Merksatz:
Kosten müssen verursachergerecht zugeordnet werden.
---
**Tagging**
Tagging bedeutet:
Ressourcen werden mit Metadaten markiert.
Beispiele:
Projekt = CRM
Umgebung = Produktion
Verantwortlicher = IT-Betrieb
Kostenstelle = 4711
Ablaufdatum = 2026-12-31
Schutzbedarf = vertraulich
Vorteile:
Kosten zuordnen
Ressourcen finden
Verantwortliche erkennen
Automatisierung ermöglichen
Aufräumen erleichtern
Merksatz:
Tags machen Cloud-Ressourcen verwaltbar.
---
**Untagged Resources**
Untagged Resources sind Ressourcen ohne Tags.
Problem:
Verantwortlicher unklar
Kostenstelle unklar
Zweck unklar
Aufräumen schwierig
Sicherheitsbewertung schwieriger
Lebenszyklus unklar
Merksatz:
Ressourcen ohne Tags sind im Betrieb schwer kontrollierbar.
---
**Rightsizing**
Rightsizing bedeutet:
Ressourcen passend dimensionieren.
Beispiel:
Eine VM hat 16 vCPU und 64 GB RAM,
nutzt aber dauerhaft nur 5 %.
Dann ist sie wahrscheinlich zu groß.
Maßnahmen:
kleinere Instanz wählen
Datenbankklasse anpassen
Speicherklasse ändern
ungenutzte Ressourcen löschen
Lastverhalten prüfen
Merksatz:
Rightsizing senkt Kosten durch passende Größe.
---
**Overprovisioning**
Overprovisioning bedeutet:
Ressourcen sind größer bereitgestellt,
als tatsächlich benötigt.
Beispiele:
zu große VM
zu teure Datenbankklasse
zu viel reservierter Speicher
zu viele laufende Instanzen
unnötig hohe Performanceklasse
Merksatz:
Overprovisioning kostet unnötig Geld.
---
**Underprovisioning**
Underprovisioning bedeutet:
Ressourcen sind zu klein dimensioniert.
Folgen:
langsame Anwendung
Ausfälle
hohe Antwortzeiten
Datenbankengpässe
Fehler bei Lastspitzen
schlechte Benutzererfahrung
Merksatz:
Zu klein spart kurzfristig Geld,
kann aber Betrieb stören.
---
**Auto Scaling**
Auto Scaling bedeutet:
Ressourcen werden automatisch erhöht oder reduziert.
Beispiel:
Bei hoher Last werden zusätzliche Instanzen gestartet.
Bei geringer Last werden Instanzen beendet.
Vorteile:
bessere Anpassung an Last
weniger manuelle Eingriffe
bessere Verfügbarkeit
Kosten können optimiert werden
Merksatz:
Auto Scaling passt Ressourcen automatisch an Last an.
---
**Horizontale Skalierung**
Horizontale Skalierung bedeutet:
Es werden mehr Instanzen hinzugefügt.
Beispiel:
statt 1 Webserver
laufen 3 Webserver
Vorteil:
Last kann verteilt werden
Ausfallsicherheit steigt
gut mit Load Balancer kombinierbar
Merksatz:
Horizontal skalieren = mehr Systeme.
---
**Vertikale Skalierung**
Vertikale Skalierung bedeutet:
Ein einzelnes System wird größer gemacht.
Beispiel:
VM bekommt mehr CPU
VM bekommt mehr RAM
Datenbank bekommt größere Leistungsklasse
Vorteil:
oft einfacher
Nachteil:
Grenze durch maximale Größe
eventuell Neustart nötig
einzelnes System bleibt kritischer
Merksatz:
Vertikal skalieren = stärkeres System.
---
**Horizontale und vertikale Skalierung vergleichen**
| Skalierungsart | Bedeutung | Beispiel |
|---|---|---|
| horizontal | mehr Instanzen | drei Webserver statt einer |
| vertikal | größere Instanz | mehr CPU und RAM für eine VM |
Merksatz:
Horizontal = mehr.
Vertikal = stärker.
---
**Scale Out und Scale Up**
Scale Out bedeutet:
horizontal skalieren
Scale Up bedeutet:
vertikal skalieren
Beispiele:
Scale Out:
mehr App-Instanzen starten
Scale Up:
größere Datenbankklasse wählen
Merksatz:
Scale Out = mehr Instanzen.
Scale Up = größere Instanz.
---
**Scale In und Scale Down**
Scale In bedeutet:
Instanzen reduzieren
Scale Down bedeutet:
einzelne Instanz verkleinern
Beispiele:
Scale In:
von 5 Webservern auf 2 Webserver reduzieren
Scale Down:
VM von großer auf kleinere Größe ändern
Merksatz:
Scale In reduziert Anzahl.
Scale Down reduziert Größe.
---
**Skalierungsregel**
Eine Skalierungsregel legt fest,
wann skaliert wird.
Beispiele:
Wenn CPU länger als 10 Minuten über 70 %,
dann eine Instanz hinzufügen.
Wenn Warteschlange mehr als 100 Nachrichten hat,
dann Worker erhöhen.
Wenn CPU länger niedrig,
dann Instanz entfernen.
Merksatz:
Skalierung braucht sinnvolle Regeln.
---
**Skalierung ist nicht nur CPU**
Skalierung kann abhängig sein von:
CPU
RAM
Anzahl Anfragen
Antwortzeit
Warteschlangenlänge
Datenbankverbindungen
Netzwerkdurchsatz
Fehlerrate
Benutzerzahl
Zeitplan
Merksatz:
CPU ist nur eine mögliche Skalierungsmetrik.
---
**Load Balancer und Skalierung**
Bei horizontaler Skalierung verteilt ein Load Balancer den Verkehr.
Ablauf:
neue Instanz startet
Health Check prüft Instanz
Load Balancer nimmt Instanz auf
Verkehr wird verteilt
Wenn Instanz ungesund ist,
wird sie nicht genutzt.
Merksatz:
Auto Scaling und Load Balancer arbeiten oft zusammen.
---
**Health Check im Betrieb**
Ein Health Check prüft,
ob ein Dienst gesund ist.
Beispiele:
HTTP 200 auf /health
TCP-Port erreichbar
Datenbankverbindung möglich
Anwendung meldet Status „ok“
Merksatz:
Health Check sollte echte Dienstfähigkeit prüfen,
nicht nur offenen Port.
---
**Hochverfügbarkeit**
Hochverfügbarkeit bedeutet:
Ein Dienst bleibt möglichst verfügbar,
auch wenn einzelne Komponenten ausfallen.
Mittel:
mehrere Instanzen
mehrere Zonen
Load Balancer
Replikation
automatischer Neustart
Monitoring
Backup
Notfallplan
Merksatz:
Hochverfügbarkeit muss geplant und getestet werden.
---
**Verfügbarkeitszone**
Eine Verfügbarkeitszone ist ein getrenntes Rechenzentrumssegment innerhalb einer Region.
Vorteil:
Fällt eine Zone aus,
können andere Zonen weiterarbeiten.
Cloud-Dienste sollten für hohe Verfügbarkeit oft über mehrere Zonen verteilt werden.
Merksatz:
Mehrere Zonen erhöhen Ausfallsicherheit innerhalb einer Region.
---
**Region**
Eine Region ist ein geografischer Standort eines Cloud-Anbieters.
Regionen beeinflussen:
Latenz
Datenstandort
Verfügbarkeit
Kosten
Datenschutz
Compliance
Merksatz:
Region bewusst nach Technik,
Recht
und Kosten auswählen.
---
**Disaster Recovery**
Disaster Recovery bedeutet:
Wiederherstellung nach schwerem Ausfall.
Beispiele:
Region fällt aus
Datenbank beschädigt
Ransomware-Angriff
Fehlkonfiguration löscht Ressourcen
kritischer Dienst fällt aus
Dazu braucht man:
Backups
Wiederherstellungsplan
Ersatzumgebung
Dokumentation
Tests
klare Zuständigkeiten
Merksatz:
Disaster Recovery muss vor dem Notfall geplant werden.
---
**RTO im Cloud-Betrieb**
RTO steht für:
Recovery Time Objective
Es beschreibt,
wie lange ein Dienst maximal ausfallen darf.
Beispiel:
RTO = 2 Stunden
Dann soll der Dienst innerhalb von 2 Stunden wieder verfügbar sein.
Merksatz:
RTO beschreibt erlaubte Wiederherstellungszeit.
---
**RPO im Cloud-Betrieb**
RPO steht für:
Recovery Point Objective
Es beschreibt,
wie viel Datenverlust maximal akzeptiert wird.
Beispiel:
RPO = 15 Minuten
Dann dürfen höchstens Daten der letzten 15 Minuten verloren gehen.
Merksatz:
RPO beschreibt erlaubten Datenverlust.
---
**RTO und RPO im Betrieb vergleichen**
| Begriff | Frage |
|---|---|
| RTO | Wie lange darf der Dienst ausfallen? |
| RPO | Wie viele Daten dürfen verloren gehen? |
Merksatz:
RTO = Zeit bis Wiederherstellung.
RPO = Datenverlust bis Wiederherstellungspunkt.
---
**Patchmanagement in der Cloud**
Auch Cloud-Systeme brauchen Updates.
Wer verantwortlich ist,
hängt vom Service-Modell ab.
IaaS:
Kunde patcht Betriebssystem und Anwendung.
PaaS:
Anbieter patcht Plattform,
Kunde patcht Anwendung und Abhängigkeiten.
SaaS:
Anbieter patcht Anwendung,
Kunde prüft Einstellungen,
Benutzer
und Sicherheit.
Merksatz:
Patchverantwortung hängt vom Cloud-Modell ab.
---
**Wartungsfenster**
Ein Wartungsfenster ist ein geplanter Zeitraum für Änderungen oder Updates.
Ziel:
Änderungen kontrolliert durchführen
Benutzer informieren
Ausfallzeit planen
Rollback vorbereiten
Risiken reduzieren
Merksatz:
Wartungsfenster schaffen planbare Änderungen.
---
**Change Management**
Change Management bedeutet:
Änderungen werden geplant,
geprüft,
freigegeben,
umgesetzt
und dokumentiert.
Cloud-Beispiele:
neue Firewall-Regel
größere Datenbankklasse
neue Region
neue Rolle
neue Backup-Regel
neue Skalierungsregel
neues Deployment
Merksatz:
Cloud-Änderungen brauchen Kontrolle und Dokumentation.
---
**Rollback**
Rollback bedeutet:
Eine Änderung wird zurückgenommen.
Beispiele:
vorherige Anwendungsversion wiederherstellen
alte Konfiguration laden
Snapshot zurücksetzen
Firewall-Regel zurücknehmen
Deployment rückgängig machen
Merksatz:
Jede kritische Änderung braucht einen Rückweg.
---
**Automatisierung im Cloud-Betrieb**
Cloud-Betrieb wird häufig automatisiert.
Beispiele:
Ressourcen automatisch bereitstellen
Backups automatisch erstellen
Skalierung automatisch durchführen
Alarme automatisch auslösen
Tests automatisch starten
Deployments automatisch ausrollen
ungenutzte Ressourcen automatisch stoppen
Merksatz:
Automatisierung reduziert manuelle Fehler,
braucht aber gute Regeln.
---
**Infrastructure as Code**
Infrastructure as Code wird oft abgekürzt:
IaC
Dabei wird Infrastruktur nicht manuell im Portal zusammengeklickt,
sondern als Code beschrieben.
Beispiele:
Netzwerke
Subnetze
Firewall-Regeln
virtuelle Maschinen
Datenbanken
Rollen
Speicher
Load Balancer
Vorteile:
wiederholbar
dokumentiert
versionierbar
prüfbar
automatisierbar
Merksatz:
IaC beschreibt Infrastruktur als Code.
---
**Configuration Drift**
Configuration Drift bedeutet:
Die tatsächliche Konfiguration weicht von der geplanten Konfiguration ab.
Ursachen:
manuelle Änderungen
Notfalländerungen
unterschiedliche Umgebungen
unvollständige Dokumentation
fehlende Automatisierung
Problem:
Fehlersuche wird schwieriger.
Sicherheit kann unbemerkt schlechter werden.
Merksatz:
Configuration Drift entsteht durch ungeplante Abweichungen.
---
**CI/CD im Cloud-Betrieb**
CI/CD steht für:
Continuous Integration
Continuous Delivery
oder
Continuous Deployment
Ziel:
Änderungen werden automatisiert gebaut,
getestet
und bereitgestellt.
Cloud-Bezug:
Anwendungen werden schneller und kontrollierter ausgeliefert.
Rollbacks können einfacher werden.
Tests werden automatisiert.
Infrastruktur kann mitbereitgestellt werden.
Merksatz:
CI/CD automatisiert Entwicklung,
Test
und Bereitstellung.
---
**Blue-Green Deployment**
Blue-Green Deployment bedeutet:
Es gibt zwei Umgebungen.
Blue:
aktuelle produktive Version
Green:
neue Version
Nach erfolgreichem Test wird der Verkehr auf die neue Umgebung umgeschaltet.
Vorteil:
schneller Rollback möglich
Merksatz:
Blue-Green reduziert Risiko bei neuen Versionen.
---
**Canary Deployment**
Canary Deployment bedeutet:
Eine neue Version wird zuerst nur für einen kleinen Teil der Benutzer freigegeben.
Wenn keine Probleme auftreten,
wird der Anteil erhöht.
Vorteil:
Fehler betreffen zunächst nur wenige Benutzer.
Merksatz:
Canary testet neue Versionen schrittweise im Echtbetrieb.
---
**Cloud-Betriebsdokumentation**
Dokumentiert werden sollten:
Zweck der Ressource
Verantwortlicher
Kostenstelle
Umgebung
Datenklasse
Netzverbindungen
Backup-Regeln
Monitoring
Alarme
Wiederherstellungsplan
Sicherheitsregeln
Änderungen
Abhängigkeiten
Merksatz:
Was nicht dokumentiert ist,
ist im Betrieb schwer beherrschbar.
---
**Runbook**
Ein Runbook ist eine Schritt-für-Schritt-Anleitung für wiederkehrende Betriebsaufgaben.
Beispiele:
Dienst neu starten
Backup wiederherstellen
Zertifikat erneuern
Alarm bearbeiten
Instanz skalieren
Failover auslösen
Benutzerzugriff prüfen
Merksatz:
Runbooks helfen,
im Betrieb einheitlich zu handeln.
---
**Incident Response**
Incident Response bedeutet:
Vorgehen bei Sicherheitsvorfällen oder größeren Störungen.
Schritte:
erkennen
bewerten
eindämmen
beseitigen
wiederherstellen
dokumentieren
verbessern
Cloud-Beispiele:
kompromittierter API-Schlüssel
öffentlich freigegebener Speicher
ungewöhnliche Kosten
Adminzugang missbraucht
Datenabfluss
Ransomware
Merksatz:
Incident Response muss vorbereitet sein,
bevor ein Vorfall passiert.
---
**Service Level Agreement**
Service Level Agreement wird abgekürzt:
SLA
Ein SLA beschreibt zugesicherte Servicequalität.
Beispiele:
Verfügbarkeit
Reaktionszeit
Supportzeit
Wiederherstellungszeit
Leistungswerte
Merksatz:
SLA beschreibt,
welche Leistung zugesichert wird.
---
**SLO**
SLO steht für:
Service Level Objective
Ein SLO ist ein internes oder technisches Ziel für einen Dienst.
Beispiel:
99,9 % erfolgreiche Anfragen pro Monat
Antwortzeit unter 300 ms für 95 % der Anfragen
Merksatz:
SLO beschreibt ein Ziel für Servicequalität.
---
**SLI**
SLI steht für:
Service Level Indicator
Ein SLI ist ein Messwert,
mit dem ein SLO bewertet wird.
Beispiele:
Verfügbarkeit
Fehlerrate
Antwortzeit
Durchsatz
Latenz
Merksatz:
SLI ist der Messwert,
SLO ist das Ziel.
---
**SLA, SLO und SLI vergleichen**
| Begriff | Bedeutung |
|---|---|
| SLA | vertragliche Zusage |
| SLO | Zielwert für Dienstqualität |
| SLI | Messwert zur Bewertung |
Merksatz:
SLI misst.
SLO setzt Ziel.
SLA ist Zusage.
---
**Cloud-Fehlersuche im Betrieb**
Bei Cloud-Störungen systematisch prüfen:
Was ist betroffen?
Seit wann?
Wurde etwas geändert?
Welche Region?
Welche Zone?
Welche Ressource?
Welche Logs?
Welche Metriken?
Welche Abhängigkeiten?
Welche Kostenänderung?
Welche Alarme?
Welche Benutzer betroffen?
Merksatz:
Störungen immer mit Zeit,
Änderung
Metriken
Logs
und Abhängigkeiten prüfen.
---
**Typische Betriebsprobleme in der Cloud**
Häufige Probleme:
Dienst nicht erreichbar
Zertifikat abgelaufen
Speicher voll
Datenbank überlastet
Kosten steigen plötzlich
Backup fehlgeschlagen
Load Balancer hat keine gesunden Ziele
Security Group falsch geändert
API-Schlüssel kompromittiert
Rechte zu breit vergeben
Region oder Zone gestört
Skalierung greift nicht
Merksatz:
Cloud-Betrieb betrifft Verfügbarkeit,
Sicherheit
Leistung
und Kosten.
---
**Checkliste: Cloud-Betrieb**
Monitoring aktivieren.
Logs aktivieren.
Alarme einrichten.
Kostenalarme setzen.
Tags pflegen.
Verantwortliche dokumentieren.
Backups prüfen.
Restore-Tests durchführen.
Rechte regelmäßig prüfen.
Ressourcen richtig dimensionieren.
ungenutzte Ressourcen löschen.
Patchverantwortung klären.
Runbooks erstellen.
Änderungen dokumentieren.
Incident Response vorbereiten.
Merksatz:
Cloud-Betrieb braucht regelmäßige Kontrolle.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Warum braucht Cloud Monitoring?
- Was ist der Unterschied zwischen Monitoring und Logging?
- Was ist ein Kostenalarm?
- Warum ist Tagging sinnvoll?
- Was bedeutet Rightsizing?
- Was ist Overprovisioning?
- Was ist Auto Scaling?
- Was ist horizontale Skalierung?
- Was ist vertikale Skalierung?
- Was ist ein Health Check?
- Was ist der Unterschied zwischen RTO und RPO?
- Was ist Infrastructure as Code?
- Was bedeutet Configuration Drift?
- Was ist ein Runbook?
- Was bedeutet Incident Response?
- Was ist der Unterschied zwischen SLA, SLO und SLI?
- Warum ist Cloud nicht automatisch wartungsfrei?
---
**Typische Prüfungsfallen**
Cloud ist nicht wartungsfrei.
Monitoring zeigt Zustand.
Logs zeigen Ereignisse.
Ohne Logs keine gute Fehlersuche.
Zu viele Alarme können schaden.
Kosten entstehen auch durch Speicher,
Traffic,
Logs
und Snapshots.
Pay as you go braucht Kontrolle.
Tags helfen bei Kosten und Verantwortung.
Untagged Resources sind problematisch.
Rightsizing spart Kosten.
Overprovisioning kostet unnötig Geld.
Underprovisioning stört Betrieb.
Auto Scaling braucht sinnvolle Regeln.
Horizontal bedeutet mehr Instanzen.
Vertikal bedeutet größere Instanz.
Hochverfügbarkeit muss geplant werden.
Cloud ist nicht automatisch hochverfügbar.
RTO betrifft Wiederherstellungszeit.
RPO betrifft Datenverlust.
Patchverantwortung hängt vom Service-Modell ab.
Change Management gilt auch in der Cloud.
Rollback vor Änderung planen.
IaC macht Infrastruktur wiederholbar.
Configuration Drift vermeiden.
Runbooks helfen im Betrieb.
SLA,
SLO
und SLI nicht verwechseln.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| Cloud-Betrieb | laufende Verwaltung von Cloud-Diensten |
| Monitoring | Überwachung von Zuständen |
| Metrik | messbarer Wert |
| Logging | Protokollierung von Ereignissen |
| Audit-Log | Protokoll administrativer Aktionen |
| Flow Log | Netzwerkverbindungsdaten |
| Alarmierung | automatische Warnung |
| Schwellwert | Grenzwert für Alarm oder Aktion |
| Alert Fatigue | Überforderung durch zu viele Alarme |
| Dashboard | Übersicht wichtiger Werte |
| SIEM | zentrale Sicherheitslog-Auswertung |
| Kostenkontrolle | Überwachung und Steuerung von Kosten |
| Pay as you go | Abrechnung nach Nutzung |
| Budget | geplanter Kostenrahmen |
| Kostenalarm | Warnung bei Kostenüberschreitung |
| Kostenstelle | Zuordnung von Kosten |
| Tagging | Metadaten an Ressourcen |
| Rightsizing | passende Ressourcengröße |
| Overprovisioning | zu große Ressourcen |
| Underprovisioning | zu kleine Ressourcen |
| Auto Scaling | automatische Anpassung von Ressourcen |
| horizontale Skalierung | mehr Instanzen |
| vertikale Skalierung | größere Instanz |
| Scale Out | horizontal erweitern |
| Scale Up | vertikal vergrößern |
| Health Check | Prüfung der Dienstgesundheit |
| Hochverfügbarkeit | hohe Verfügbarkeit trotz Fehler |
| Disaster Recovery | Wiederherstellung nach schwerem Ausfall |
| RTO | maximale Wiederherstellungszeit |
| RPO | maximaler Datenverlust |
| Patchmanagement | Verwaltung von Updates |
| Change Management | kontrollierte Änderungen |
| Rollback | Änderung zurücknehmen |
| IaC | Infrastructure as Code |
| Configuration Drift | Abweichung von Soll-Konfiguration |
| CI/CD | automatisierte Bereitstellung |
| Runbook | Betriebsanleitung |
| Incident Response | Reaktion auf Vorfälle |
| SLA | vertragliche Servicezusage |
| SLO | Zielwert für Servicequalität |
| SLI | Messwert für Servicequalität |
---
**IHK-sichere Kurzformulierung**
Cloud-Betrieb umfasst die laufende Überwachung, Protokollierung, Alarmierung, Kostenkontrolle, Skalierung, Wartung, Sicherheitsprüfung und Dokumentation von Cloud-Diensten. Monitoring zeigt den aktuellen Zustand eines Systems, während Logging Ereignisse und Änderungen nachvollziehbar macht. Kostenkontrolle ist wichtig, weil Cloud-Ressourcen nach Nutzung abgerechnet werden und auch Speicher, Netzwerkverkehr, Backups, Logs, Snapshots und Lizenzen Kosten verursachen können. Auto Scaling passt Ressourcen automatisch an Last an. Horizontale Skalierung bedeutet mehr Instanzen, vertikale Skalierung bedeutet größere Instanzen. Für Ausfallsicherheit sind Hochverfügbarkeit, Backups, RTO, RPO, Runbooks, Change Management und Incident Response wichtig.
---
**Merksätze**
Cloud ist nicht wartungsfrei.
Cloud-Betrieb braucht Monitoring.
Monitoring zeigt Zustand.
Logs zeigen Ereignisse.
Audit-Logs zeigen Adminaktionen.
Flow Logs zeigen Netzwerkverbindungen.
Alarmierung macht Probleme sichtbar.
Zu viele Alarme können wichtige Alarme verdecken.
Dashboard gibt Überblick.
SIEM wertet Sicherheitslogs zentral aus.
Cloud-Kosten aktiv überwachen.
Pay as you go braucht Kontrolle.
Kosten entstehen auch durch Traffic,
Speicher,
Logs
und Snapshots.
Budget planen.
Kostenalarme setzen.
Tags pflegen.
Untagged Resources vermeiden.
Rightsizing spart Kosten.
Overprovisioning kostet unnötig.
Underprovisioning gefährdet Betrieb.
Auto Scaling passt Ressourcen an.
Horizontal = mehr Instanzen.
Vertikal = stärkere Instanz.
Scale Out = mehr.
Scale Up = größer.
Load Balancer verteilt Last.
Health Check prüft Dienstgesundheit.
Hochverfügbarkeit planen.
Cloud ist nicht automatisch hochverfügbar.
Region und Zone bewusst wählen.
Disaster Recovery vorher planen.
RTO = Wiederherstellungszeit.
RPO = Datenverlust.
Patchverantwortung hängt vom Service-Modell ab.
Änderungen dokumentieren.
Rollback vor Änderung planen.
IaC beschreibt Infrastruktur als Code.
Configuration Drift vermeiden.
CI/CD automatisiert Bereitstellung.
Runbooks helfen im Betrieb.
Incident Response vorbereiten.
SLI misst.
SLO setzt Ziel.
SLA ist Zusage.
# 15.8 Merksätze und Prüfungswissen zu Cloud und modernen Bereitstellungsmodellen
Diese Seite fasst die wichtigsten Inhalte zu Cloud,
Bereitstellungsmodellen,
Service-Modellen,
Cloud-Netzwerken,
Cloud-Sicherheit,
Cloud-Speicher,
Backup,
Monitoring,
Skalierung
und Kostenkontrolle zusammen.
Cloud ist prüfungsrelevant,
weil sie viele Themen verbindet:
- Netzwerktechnik
- Serverbetrieb
- Virtualisierung
- Sicherheit
- Datenschutz
- Backup
- Kosten
- Rechteverwaltung
- Hochverfügbarkeit
- Monitoring
Merksatz:
Cloud ist kein einzelnes Produkt,
sondern ein Betriebs- und Bereitstellungsmodell für IT-Ressourcen.
---
**Cloud-Grundidee**
Cloud bedeutet:
IT-Ressourcen werden über ein Netzwerk als Dienst bereitgestellt.
Beispiele:
virtuelle Server
Speicher
Datenbanken
Anwendungen
Plattformen
Container
Backup
Identitätsdienste
Netzwerkdienste
Sicherheitsdienste
Merksatz:
Cloud = IT-Ressourcen als Dienst.
---
**Cloud ist nicht automatisch weniger Verantwortung**
Ein häufiger Denkfehler:
Alles liegt in der Cloud,
also kümmert sich der Anbieter um alles.
Das ist falsch.
Der Anbieter übernimmt je nach Modell bestimmte Aufgaben.
Der Kunde bleibt verantwortlich für:
Benutzer
Rollen
Berechtigungen
Daten
sichere Konfiguration
Datenschutz
Zugriffsschutz
Backup-Konzept
Kostenkontrolle
Monitoring
Compliance
Merksatz:
Cloud verlagert Verantwortung,
sie beseitigt Verantwortung nicht.
---
**On-Premises**
On-Premises bedeutet:
IT wird lokal selbst betrieben.
Beispiele:
eigener Serverraum
eigenes Rechenzentrum
eigene Hardware
eigene Virtualisierung
eigene Netzwerkinfrastruktur
Vorteile:
hohe Kontrolle
direkte Verwaltung
eigene Vorgaben
Nachteile:
Hardwarekosten
Wartungsaufwand
eigene Verantwortung für Ausfallsicherheit
Merksatz:
On-Premises = lokal selbst betrieben.
---
**Public Cloud**
Public Cloud bedeutet:
Ein Anbieter stellt Cloud-Ressourcen für viele Kunden bereit.
Eigenschaften:
Anbieterplattform
viele Kunden
logische Mandantentrennung
nutzungsabhängige Abrechnung
schnelle Bereitstellung
hohe Skalierbarkeit
Merksatz:
Public Cloud = öffentliche Anbieterplattform für viele Kunden.
---
**Private Cloud**
Private Cloud bedeutet:
Cloud-Prinzipien werden für eine einzelne Organisation bereitgestellt.
Sie kann laufen:
im eigenen Rechenzentrum
bei einem Dienstleister
in einer dedizierten Umgebung
Wichtig:
Virtualisierung allein ist noch keine vollständige Private Cloud.
Typische Cloud-Merkmale sind:
Self-Service
Automatisierung
Ressourcenpooling
schnelle Bereitstellung
messbare Nutzung
zentrale Verwaltung
Merksatz:
Private Cloud = Cloud für eine Organisation.
---
**Hybrid Cloud**
Hybrid Cloud kombiniert lokale oder private IT mit Public Cloud.
Beispiele:
lokale Datenbank plus Cloud-Webanwendung
lokales Rechenzentrum plus Cloud-Backup
lokale Benutzerverwaltung plus Cloud-SaaS
lokale Systeme plus Cloud-Skalierung
Merksatz:
Hybrid Cloud = lokal oder privat plus Public Cloud.
---
**Multi Cloud**
Multi Cloud bedeutet:
Ein Unternehmen nutzt mehrere Cloud-Anbieter gleichzeitig.
Beispiel:
Anbieter A für virtuelle Maschinen
Anbieter B für Office und E-Mail
Anbieter C für Backup
Anbieter D für Datenanalyse
Merksatz:
Multi Cloud = mehrere Cloud-Anbieter parallel.
---
**Hybrid Cloud und Multi Cloud unterscheiden**
| Begriff | Kerngedanke |
|---|---|
| Hybrid Cloud | lokale/private IT plus Public Cloud |
| Multi Cloud | mehrere Cloud-Anbieter |
| Hybrid und Multi Cloud kombiniert | lokale IT plus mehrere Cloud-Anbieter |
Merksatz:
Hybrid beschreibt die Verbindung lokal plus Cloud.
Multi Cloud beschreibt mehrere Anbieter.
---
**Community Cloud**
Community Cloud bedeutet:
Eine Cloud wird von mehreren Organisationen mit ähnlichen Anforderungen genutzt.
Beispiele:
Behörden
Bildung
Forschung
Gesundheitswesen
bestimmte Branchen
Merksatz:
Community Cloud = Cloud für eine bestimmte Gemeinschaft.
---
**Bereitstellungsmodelle im Überblick**
| Modell | Kurze Erklärung |
|---|---|
| On-Premises | lokal selbst betrieben |
| Public Cloud | Anbieterplattform für viele Kunden |
| Private Cloud | Cloud für eine Organisation |
| Hybrid Cloud | lokale/private IT plus Public Cloud |
| Multi Cloud | mehrere Cloud-Anbieter |
| Community Cloud | Cloud für Organisationen mit gemeinsamen Anforderungen |
Merksatz:
Bereitstellungsmodell beschreibt,
wo und für wen Cloud betrieben wird.
---
**Service-Modelle**
Die wichtigsten Cloud-Service-Modelle sind:
- IaaS
- PaaS
- SaaS
Sie beschreiben,
welche IT-Schichten der Anbieter bereitstellt
und welche der Kunde selbst verwaltet.
Merksatz:
Service-Modell beschreibt,
was als Dienst bereitgestellt wird.
---
**IaaS**
IaaS steht für:
Infrastructure as a Service
Der Anbieter stellt virtuelle Infrastruktur bereit.
Beispiele:
virtuelle Maschinen
virtuelle Netzwerke
virtuelle Festplatten
Load Balancer
Firewalls
IP-Adressen
Storage
Der Kunde verwaltet typischerweise:
Betriebssystem
Anwendungen
Daten
Patches innerhalb der VM
Benutzer
Sicherheitskonfiguration
Merksatz:
IaaS = virtuelle Infrastruktur statt eigener Hardware.
---
**PaaS**
PaaS steht für:
Platform as a Service
Der Anbieter stellt eine Plattform bereit,
auf der Anwendungen laufen können.
Beispiele:
Web-App-Plattform
verwaltete Datenbank
Laufzeitumgebung
Containerplattform
API-Plattform
Entwicklungsplattform
Der Kunde verwaltet typischerweise:
Anwendung
Daten
Konfiguration
Benutzer
Berechtigungen
Merksatz:
PaaS = Plattform für eigene Anwendungen.
---
**SaaS**
SaaS steht für:
Software as a Service
Der Kunde nutzt eine fertige Anwendung.
Beispiele:
E-Mail
Online-Office
CRM
Ticketsystem
Cloud-Speicher
Videokonferenzdienst
Projektmanagement
Der Kunde verwaltet typischerweise:
Benutzer
Rollen
Berechtigungen
Daten
Freigaben
Einstellungen
MFA
Merksatz:
SaaS = fertige Software aus der Cloud.
---
**IaaS, PaaS und SaaS vergleichen**
| Modell | Anbieter stellt bereit | Kunde verwaltet vor allem |
|---|---|---|
| IaaS | virtuelle Infrastruktur | Betriebssystem, Anwendung, Daten |
| PaaS | Plattform und Laufzeitumgebung | Anwendung, Daten, Konfiguration |
| SaaS | fertige Anwendung | Benutzer, Rechte, Daten, Einstellungen |
Merksatz:
IaaS gibt viel Kontrolle.
SaaS nimmt viel Betrieb ab.
PaaS liegt dazwischen.
---
**Shared Responsibility Model**
Shared Responsibility Model bedeutet:
Anbieter und Kunde teilen sich die Verantwortung.
Je nach Service-Modell verschiebt sich diese Verantwortung.
Bei IaaS:
Kunde hat viel technische Verantwortung.
Bei PaaS:
Anbieter übernimmt Plattform,
Kunde bleibt für Anwendung und Daten verantwortlich.
Bei SaaS:
Anbieter betreibt Anwendung,
Kunde bleibt für Nutzung,
Benutzer,
Rechte
und Daten verantwortlich.
Merksatz:
Cloud-Sicherheit ist gemeinsame Verantwortung.
---
**Wichtigste Regel zur Verantwortung**
Daten,
Benutzer
und Rechte bleiben fast immer Kundenthema.
Auch bei SaaS muss der Kunde prüfen:
Wer darf zugreifen?
Welche Rollen gibt es?
Ist MFA aktiv?
Welche Daten liegen im Dienst?
Welche Freigaben existieren?
Wie werden Benutzer deaktiviert?
Wie werden Daten gesichert oder exportiert?
Merksatz:
Je fertiger der Dienst,
desto weniger Technikbetrieb,
aber Daten und Zugriffe bleiben wichtig.
---
**Virtualisierung**
Virtualisierung bedeutet:
physische Ressourcen werden in virtuelle Ressourcen aufgeteilt.
Beispiele:
virtuelle Maschinen
virtuelle Netzwerke
virtuelle Festplatten
virtuelle Firewalls
virtuelle Load Balancer
Merksatz:
Virtualisierung ist eine technische Grundlage vieler Cloud-Dienste.
---
**Container**
Container verpacken Anwendungen mit ihren Abhängigkeiten.
Sie enthalten typischerweise:
Anwendung
Bibliotheken
Laufzeitumgebung
Konfiguration
Sie teilen sich den Kernel des Hosts.
Merksatz:
Container sind leichtgewichtige,
portable Anwendungseinheiten.
---
**Kubernetes**
Kubernetes ist eine Plattform zur Container-Orchestrierung.
Es verwaltet:
Container
Pods
Services
Deployments
Skalierung
Rollouts
Netzwerke
Konfigurationen
Merksatz:
Kubernetes orchestriert Container in Clustern.
---
**Serverless**
Serverless bedeutet nicht,
dass keine Server existieren.
Es bedeutet:
Der Kunde verwaltet keine einzelnen Server.
Der Anbieter betreibt die Infrastruktur.
Der Kunde stellt Code,
Funktionen
oder Konfiguration bereit.
Merksatz:
Serverless = keine Serververwaltung durch den Kunden.
---
**FaaS**
FaaS steht für:
Function as a Service
Dabei werden einzelne Funktionen ereignisgesteuert ausgeführt.
Beispiele:
Datei hochgeladen
API-Aufruf
Zeitplan
Nachricht in Warteschlange
Merksatz:
FaaS führt Funktionen bei Ereignissen aus.
---
**Cloud-Netzwerke**
Cloud-Netzwerke bestehen aus virtuellen Netzwerkkomponenten.
Typische Bestandteile:
VPC
VNet
Subnetze
Routingtabellen
Security Groups
Network ACLs
NSGs
Internet Gateway
NAT-Gateway
VPN-Gateway
Load Balancer
DNS
Peering
Merksatz:
Cloud-Netzwerke sind virtuell,
brauchen aber echte Netzplanung.
---
**VPC und VNet**
VPC steht für:
Virtual Private Cloud
VNet steht für:
Virtual Network
Beide beschreiben ein logisch getrenntes Cloud-Netzwerk.
Darin werden festgelegt:
IP-Bereich
Subnetze
Routen
Sicherheitsregeln
Gateways
Ressourcen
Merksatz:
VPC oder VNet = eigenes virtuelles Cloud-Netz.
---
**Public Subnet und Private Subnet**
| Subnetztyp | Zweck |
|---|---|
| Public Subnet | öffentlich erreichbare Komponenten |
| Private Subnet | interne Komponenten ohne direkten Internetzugriff |
Beispiele:
Public Subnet:
Load Balancer,
Bastion Host,
Reverse Proxy
Private Subnet:
Datenbank,
Backend,
interne API,
Verarbeitungssystem
Merksatz:
Öffentlich nur,
was wirklich öffentlich sein muss.
---
**Internet Gateway und NAT-Gateway**
Internet Gateway:
verbindet Cloud-Netz mit dem Internet
NAT-Gateway:
erlaubt privaten Ressourcen ausgehenden Internetzugriff,
ohne direkt eingehend erreichbar zu sein
Merksatz:
Internet Gateway verbindet öffentlich.
NAT-Gateway erlaubt ausgehend für private Ressourcen.
---
**Security Group**
Eine Security Group ist eine virtuelle Firewall-Regelgruppe.
Sie steuert:
eingehenden Verkehr
ausgehenden Verkehr
Ports
Protokolle
Quellen
Ziele
Merksatz:
Security Group = Firewall-Regeln an Cloud-Ressourcen.
---
**Network ACL und NSG**
Network ACL:
Zugriffsliste auf Netzwerk- oder Subnetzebene
NSG:
Network Security Group,
Regelgruppe für Netzwerkzugriffe
Wichtig:
Je nach Plattform können Regeln stateful oder stateless sein.
Merksatz:
Security Groups,
ACLs
und NSGs können alle Zugriff beeinflussen.
---
**Stateful und Stateless**
Stateful bedeutet:
Rückverkehr zu erlaubten Verbindungen wird automatisch zugeordnet.
Stateless bedeutet:
Rückverkehr muss separat erlaubt werden.
Merksatz:
Stateful merkt sich Verbindungen.
Stateless prüft jedes Paket einzeln.
---
**Load Balancer**
Ein Load Balancer verteilt Anfragen auf mehrere Ziele.
Vorteile:
Lastverteilung
höhere Verfügbarkeit
Skalierung
Wartung einzelner Backends
Health Checks
Merksatz:
Load Balancer verteilt Verkehr auf gesunde Ziele.
---
**Health Check**
Ein Health Check prüft,
ob ein Backend gesund ist.
Beispiele:
TCP-Port erreichbar
HTTP-Status 200
Anwendung meldet gesund
Antwortzeit akzeptabel
Merksatz:
Health Check entscheidet,
ob ein Backend Verkehr erhält.
---
**Peering**
Peering verbindet zwei Cloud-Netze privat miteinander.
Wichtig:
IP-Netze dürfen sich nicht überschneiden.
Routen müssen passen.
Sicherheitsregeln müssen passen.
Peering ist nicht automatisch transitiv.
Merksatz:
Peering verbindet Netze,
leitet aber nicht automatisch zu dritten Netzen weiter.
---
**Cloud-VPN**
Cloud-VPN verbindet Cloud-Netze mit anderen Netzen.
Beispiele:
Cloud ↔ lokales Rechenzentrum
Cloud ↔ Niederlassung
Cloud ↔ andere Cloud
Wichtig:
IP-Planung
Routing
Firewall-Regeln
Verschlüsselung
Monitoring
Rückrouten
Merksatz:
Cloud-VPN braucht Regeln und Routen auf beiden Seiten.
---
**Cloud-Speicherarten**
Die wichtigsten Cloud-Speicherarten sind:
- Objektspeicher
- Blockspeicher
- Dateispeicher
- Archivspeicher
Merksatz:
Speicherart nach Einsatzzweck auswählen.
---
**Objektspeicher**
Objektspeicher speichert Daten als Objekte.
Ein Objekt enthält:
Inhalt
Metadaten
eindeutigen Schlüssel
Typische Nutzung:
Backups
Bilder
Videos
Logs
Archive
Dokumente
große unstrukturierte Datenmengen
Merksatz:
Objektspeicher eignet sich für viele unstrukturierte Daten.
---
**Bucket**
Ein Bucket ist ein Speicherbehälter für Objekte.
Wichtig:
Bucket-Berechtigungen sind sicherheitskritisch.
Fehler:
Bucket öffentlich lesbar
Folge:
vertrauliche Daten können offenliegen.
Merksatz:
Öffentliche Buckets vermeiden.
---
**Blockspeicher**
Blockspeicher verhält sich wie eine virtuelle Festplatte.
Typische Nutzung:
virtuelle Maschinen
Betriebssystemplatten
Datenbanken
Anwendungen mit Dateisystem
Merksatz:
Blockspeicher = virtuelle Festplatte.
---
**Dateispeicher**
Dateispeicher stellt klassische Datei- und Ordnerfreigaben bereit.
Typische Protokolle:
SMB
NFS
Typische Nutzung:
gemeinsame Dateien
Benutzerdateien
klassische Anwendungen
zentrale Ablagen
Merksatz:
Dateispeicher = Freigabe mit Dateien und Ordnern.
---
**Backup in der Cloud**
Cloud ersetzt kein Backup.
Auch Cloud-Daten können verloren gehen durch:
Benutzerfehler
Ransomware
Fehlkonfiguration
falsche Synchronisation
gelöschte Benutzer
kompromittierte Adminzugänge
Anbieterproblem
fehlerhafte Anwendung
Merksatz:
Cloud ist kein Backup.
---
**RPO und RTO**
RPO steht für:
Recovery Point Objective
Frage:
Wie viel Datenverlust ist maximal erlaubt?
RTO steht für:
Recovery Time Objective
Frage:
Wie lange darf Wiederherstellung dauern?
Merksatz:
RPO = Datenverlust.
RTO = Wiederherstellungszeit.
---
**Backup und Replikation**
Backup:
dient der Wiederherstellung alter oder gesicherter Zustände
Replikation:
kopiert Daten auf ein anderes System oder in eine andere Region
Wichtig:
Replikation ist kein vollständiger Backup-Ersatz,
weil Fehler und Löschungen mitkopiert werden können.
Merksatz:
Backup schützt Wiederherstellung.
Replikation schützt eher Verfügbarkeit.
---
**3-2-1-Regel**
Die 3-2-1-Regel bedeutet:
3 Kopien der Daten
2 unterschiedliche Speichermedien oder Speicherarten
1 Kopie außer Haus oder getrennt vom Hauptsystem
Merksatz:
Mehrere getrennte Kopien schützen besser.
---
**Immutable Backup**
Immutable bedeutet:
unveränderlich
Ein Immutable Backup kann für eine festgelegte Zeit nicht verändert oder gelöscht werden.
Vorteile:
Schutz vor Ransomware
Schutz vor versehentlicher Löschung
Schutz vor kompromittierten Konten
Merksatz:
Immutable Backup schützt vor Manipulation und Löschung.
---
**IAM**
IAM steht für:
Identity and Access Management
IAM regelt:
Benutzer
Gruppen
Rollen
Berechtigungen
Richtlinien
Servicekonten
API-Schlüssel
MFA
Merksatz:
IAM entscheidet,
wer was in der Cloud darf.
---
**Authentifizierung und Autorisierung**
Authentifizierung:
Wer bist du?
Autorisierung:
Was darfst du?
Beispiel:
Benutzer meldet sich an:
Authentifizierung
Benutzer darf eine VM löschen:
Autorisierung
Merksatz:
Anmeldung und Berechtigung unterscheiden.
---
**MFA**
MFA steht für:
Multi-Faktor-Authentifizierung
MFA ist besonders wichtig für:
Administratoren
externe Benutzer
Cloud-Portale
IAM
Abrechnung
Produktion
sensible Daten
Merksatz:
Cloud-Adminzugänge ohne MFA sind ein hohes Risiko.
---
**Least Privilege**
Least Privilege bedeutet:
nur die Rechte vergeben,
die wirklich benötigt werden.
In der Cloud besonders wichtig,
weil einzelne Rechte große Auswirkungen haben können.
Beispiele:
Speicher öffentlich machen
Firewall öffnen
VM löschen
Backup löschen
Rollen vergeben
API-Schlüssel erstellen
Merksatz:
Cloud-Rechte minimal vergeben.
---
**Servicekonten und API-Schlüssel**
Servicekonten sind Identitäten für Dienste oder Anwendungen.
API-Schlüssel erlauben Programmen Zugriff auf Cloud-Dienste.
Risiken:
zu viele Rechte
Schlüssel im Quellcode
keine Rotation
keine Löschung nach Projektende
Veröffentlichung in Repositories
Merksatz:
Servicekonten und API-Schlüssel wie kritische Zugangsdaten behandeln.
---
**Secrets**
Secrets sind geheime Informationen.
Beispiele:
Passwörter
Tokens
API-Schlüssel
private Schlüssel
Zertifikate
Datenbankkennwörter
Merksatz:
Secrets gehören nicht in Quellcode,
Tickets,
Chats
oder ungeschützte Dokumente.
---
**RBAC und ABAC**
RBAC:
rollenbasierte Zugriffskontrolle
ABAC:
attributbasierte Zugriffskontrolle
| Modell | Grundlage |
|---|---|
| RBAC | Rollen |
| ABAC | Attribute |
Merksatz:
RBAC arbeitet mit Rollen.
ABAC arbeitet mit Eigenschaften.
---
**Tenant und Mandantentrennung**
Ein Tenant ist ein logisch getrennter Verwaltungsbereich.
Mandantentrennung bedeutet:
Daten und Ressourcen verschiedener Kunden oder Organisationseinheiten werden logisch getrennt.
Merksatz:
Tenant = eigener Cloud-Verwaltungsbereich.
---
**SSO, SAML, OAuth 2.0 und OpenID Connect**
SSO:
einmal anmelden,
mehrere Dienste nutzen
SAML:
häufig für Single Sign-On genutzt
OAuth 2.0:
delegierte Autorisierung
OpenID Connect:
ergänzt OAuth 2.0 um Authentifizierung
Merksatz:
OAuth 2.0 ist Autorisierung.
OpenID Connect ergänzt Authentifizierung.
---
**Verschlüsselung**
Cloud-Daten sollten geschützt werden:
bei Übertragung
und
im Ruhezustand
Bei Übertragung:
TLS
Im Ruhezustand:
Speicherverschlüsselung
Datenbankverschlüsselung
Backup-Verschlüsselung
Merksatz:
Verschlüsselung schützt Daten,
ersetzt aber keine Rechteverwaltung.
---
**KMS**
KMS steht für:
Key Management Service
Ein KMS verwaltet kryptografische Schlüssel.
Aufgaben:
Schlüssel erzeugen
Schlüssel speichern
Schlüssel rotieren
Zugriff steuern
Nutzung protokollieren
Schlüssel deaktivieren
Merksatz:
KMS verwaltet Schlüssel für Cloud-Verschlüsselung.
---
**Logging und Monitoring**
Monitoring:
zeigt aktuelle Zustände und Messwerte
Logging:
zeigt Ereignisse und Änderungen
Beispiele für Logs:
Audit-Logs
Flow Logs
Firewall-Logs
Anwendungslogs
IAM-Logs
Load-Balancer-Logs
Merksatz:
Monitoring zeigt Zustand.
Logging zeigt Ereignisse.
---
**SIEM**
SIEM steht für:
Security Information and Event Management
Ein SIEM sammelt und analysiert Sicherheitslogs.
Ziele:
Angriffe erkennen
Alarme erzeugen
Ereignisse korrelieren
Nachweise liefern
Merksatz:
SIEM hilft bei zentraler Sicherheitsüberwachung.
---
**Kostenkontrolle**
Cloud-Kosten entstehen durch:
Rechenleistung
Speicher
Datenbanken
Backups
Snapshots
Logs
Monitoring
Netzwerkverkehr
Load Balancer
Lizenzen
öffentliche IP-Adressen
Support
Merksatz:
Cloud-Kosten entstehen nicht nur durch Server.
---
**Pay as you go**
Pay as you go bedeutet:
Abrechnung nach Nutzung.
Vorteil:
flexibel
Risiko:
Fehlkonfiguration,
Dauerbetrieb
oder unerwartete Last können teuer werden.
Merksatz:
Pay as you go braucht Kostenüberwachung.
---
**Tagging**
Tagging bedeutet:
Cloud-Ressourcen werden mit Metadaten markiert.
Beispiele:
Projekt
Kostenstelle
Verantwortlicher
Umgebung
Ablaufdatum
Schutzbedarf
Merksatz:
Tags helfen bei Kosten,
Verantwortung
Ordnung
und Automatisierung.
---
**Rightsizing**
Rightsizing bedeutet:
Ressourcen passend dimensionieren.
Zu groß:
unnötige Kosten
Zu klein:
schlechte Leistung oder Ausfälle
Merksatz:
Rightsizing sucht die passende Ressourcengröße.
---
**Auto Scaling**
Auto Scaling passt Ressourcen automatisch an die Last an.
Beispiel:
mehr Instanzen bei hoher Last
weniger Instanzen bei geringer Last
Merksatz:
Auto Scaling skaliert automatisch nach Regeln.
---
**Horizontale und vertikale Skalierung**
| Skalierung | Bedeutung |
|---|---|
| horizontal | mehr Instanzen |
| vertikal | größere Instanz |
Merksatz:
Horizontal = mehr Systeme.
Vertikal = stärkeres System.
---
**Hochverfügbarkeit**
Hochverfügbarkeit bedeutet:
Dienste bleiben möglichst verfügbar,
auch wenn einzelne Komponenten ausfallen.
Mittel:
mehrere Instanzen
mehrere Verfügbarkeitszonen
Load Balancer
Replikation
Monitoring
Auto Scaling
Backup
Notfallplan
Merksatz:
Cloud ist nicht automatisch hochverfügbar.
---
**Region und Verfügbarkeitszone**
Region:
geografischer Standort des Cloud-Anbieters
Verfügbarkeitszone:
getrenntes Rechenzentrumssegment innerhalb einer Region
Merksatz:
Region beeinflusst Datenstandort und Latenz.
Zone beeinflusst Ausfallsicherheit innerhalb einer Region.
---
**SLA, SLO und SLI**
| Begriff | Bedeutung |
|---|---|
| SLA | vertragliche Servicezusage |
| SLO | Zielwert für Servicequalität |
| SLI | Messwert für Servicequalität |
Merksatz:
SLI misst.
SLO setzt Ziel.
SLA ist Zusage.
---
**Infrastructure as Code**
Infrastructure as Code wird abgekürzt:
IaC
Dabei wird Infrastruktur als Code beschrieben.
Beispiele:
Netzwerke
Subnetze
Firewalls
Rollen
VMs
Datenbanken
Load Balancer
Speicher
Vorteile:
wiederholbar
versionierbar
dokumentiert
automatisierbar
prüfbar
Merksatz:
IaC beschreibt Infrastruktur als Code.
---
**Configuration Drift**
Configuration Drift bedeutet:
Die echte Konfiguration weicht von der geplanten Konfiguration ab.
Ursachen:
manuelle Änderungen
Notfalländerungen
fehlende Dokumentation
unterschiedliche Umgebungen
Merksatz:
Configuration Drift erschwert Betrieb und Sicherheit.
---
**Change Management und Rollback**
Change Management bedeutet:
Änderungen werden geplant,
geprüft,
freigegeben,
umgesetzt
und dokumentiert.
Rollback bedeutet:
Änderung zurücknehmen.
Merksatz:
Jede kritische Änderung braucht Dokumentation und Rückweg.
---
**Runbook**
Ein Runbook ist eine Schritt-für-Schritt-Anleitung für Betriebsaufgaben.
Beispiele:
Backup wiederherstellen
Alarm bearbeiten
Zertifikat erneuern
Dienst neu starten
Failover auslösen
Benutzerzugriff prüfen
Merksatz:
Runbooks helfen bei wiederholbaren Betriebsabläufen.
---
**Incident Response**
Incident Response bedeutet:
Vorgehen bei Sicherheitsvorfällen oder größeren Störungen.
Schritte:
erkennen
bewerten
eindämmen
beseitigen
wiederherstellen
dokumentieren
verbessern
Merksatz:
Incident Response muss vor dem Vorfall vorbereitet sein.
---
**Datenschutz und Compliance**
Cloud-Nutzung muss rechtliche und organisatorische Vorgaben beachten.
Wichtige Fragen:
Welche Daten werden verarbeitet?
Wo werden Daten gespeichert?
Wer hat Zugriff?
Gibt es Auftragsverarbeitung?
Sind Daten verschlüsselt?
Gibt es Löschkonzepte?
Werden Logs personenbezogen?
Welche Verträge gelten?
Merksatz:
Cloud braucht Datenschutz- und Compliance-Prüfung.
---
**Datenklassifizierung**
Datenklassifizierung bedeutet:
Daten werden nach Schutzbedarf eingeteilt.
Beispiele:
öffentlich
intern
vertraulich
streng vertraulich
personenbezogen
geschäftskritisch
Merksatz:
Datenklasse bestimmt Schutzmaßnahmen.
---
**Datenresidenz**
Datenresidenz bedeutet:
Daten müssen in einem bestimmten Land oder einer bestimmten Region gespeichert werden.
Beispiel:
Speicherung innerhalb der EU
Merksatz:
Datenresidenz beschreibt,
wo Daten liegen dürfen.
---
**Vendor Lock-in**
Vendor Lock-in bedeutet:
starke Abhängigkeit von einem Anbieter.
Ursachen:
proprietäre Dienste
spezielle APIs
spezielle Datenformate
hohe Migrationskosten
fehlende Portabilität
Mitarbeitende kennen nur eine Plattform
Merksatz:
Vendor Lock-in früh beachten.
---
**Exit-Strategie**
Eine Exit-Strategie beschreibt,
wie man einen Cloud-Dienst wieder verlassen kann.
Fragen:
Wie exportiere ich Daten?
In welchem Format?
Wie lange dauert Migration?
Welche Kosten entstehen?
Wie werden Daten beim Anbieter gelöscht?
Gibt es Alternativen?
Merksatz:
Cloud-Einstieg braucht auch Cloud-Ausstiegsplan.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was bedeutet Cloud Computing?
- Was ist On-Premises?
- Was ist Public Cloud?
- Was ist Private Cloud?
- Was ist Hybrid Cloud?
- Was ist Multi Cloud?
- Was ist der Unterschied zwischen Hybrid Cloud und Multi Cloud?
- Was bedeutet IaaS?
- Was bedeutet PaaS?
- Was bedeutet SaaS?
- Was ist das Shared Responsibility Model?
- Wer ist bei IaaS für Betriebssystemupdates verantwortlich?
- Wer verwaltet bei SaaS Benutzer und Rechte?
- Was ist eine VPC?
- Was ist ein Public Subnet?
- Was ist ein Private Subnet?
- Was ist eine Security Group?
- Was ist ein Load Balancer?
- Was ist IAM?
- Was bedeutet Least Privilege?
- Was ist MFA?
- Was ist ein API-Schlüssel?
- Was ist ein Secret?
- Was ist Objektspeicher?
- Was ist Blockspeicher?
- Was ist Dateispeicher?
- Warum ist Cloud-Speicher kein Backup?
- Was bedeutet RPO?
- Was bedeutet RTO?
- Was ist Auto Scaling?
- Was ist horizontale Skalierung?
- Was ist vertikale Skalierung?
- Was ist ein SLA?
- Warum ist Cloud nicht automatisch sicher?
- Warum ist Cloud nicht automatisch günstiger?
---
**Typische Prüfungsfallen**
Cloud ist nicht automatisch günstiger.
Cloud ist nicht automatisch sicher.
Cloud ist nicht automatisch hochverfügbar.
Cloud ist nicht automatisch Backup.
Anbieter übernimmt nicht automatisch alles.
Daten,
Benutzer
und Rechte bleiben Kundenthema.
Public Cloud ist nicht automatisch unsicher.
Private Cloud ist nicht automatisch günstiger.
Hybrid Cloud ist nicht Multi Cloud.
Multi Cloud ist nicht automatisch Hybrid.
Virtualisierung allein ist keine Private Cloud.
IaaS ist Infrastruktur.
PaaS ist Plattform.
SaaS ist fertige Software.
Cloud-VM muss Kunde oft selbst patchen.
SaaS-Rechte bleiben Kundenthema.
Serverless heißt nicht serverfrei.
VPC und VNet sind virtuelle Cloud-Netze.
Public Subnet nicht für Datenbanken nutzen.
Private Subnet schützt vor direkter öffentlicher Erreichbarkeit.
Security Group ist virtuelle Firewall.
Öffentliche Buckets vermeiden.
Synchronisation ist kein Backup.
Replikation ist kein Backup.
Snapshot ist nicht immer Backup.
Backup ohne Restore-Test ist unsicher.
RPO und RTO nicht verwechseln.
IAM ist zentral für Cloud-Sicherheit.
Authentifizierung ist nicht Autorisierung.
MFA für Admins ist wichtig.
API-Schlüssel wie Passwörter behandeln.
Secrets nicht im Code speichern.
Verschlüsselung ersetzt keine Rechteverwaltung.
Monitoring und Logging unterscheiden.
Pay as you go braucht Kostenkontrolle.
Tags helfen bei Kosten und Verantwortung.
Horizontal und vertikal unterscheiden.
SLA,
SLO
und SLI nicht verwechseln.
Exit-Strategie früh planen.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| Cloud | IT-Ressourcen als Dienst |
| On-Premises | lokal selbst betrieben |
| Public Cloud | Anbieterplattform für viele Kunden |
| Private Cloud | Cloud für eine Organisation |
| Hybrid Cloud | lokale/private IT plus Cloud |
| Multi Cloud | mehrere Cloud-Anbieter |
| Community Cloud | Cloud für bestimmte Gemeinschaft |
| IaaS | Infrastructure as a Service |
| PaaS | Platform as a Service |
| SaaS | Software as a Service |
| Shared Responsibility | geteilte Verantwortung |
| Virtualisierung | Aufteilung physischer Ressourcen |
| Container | portable Anwendungseinheit |
| Kubernetes | Container-Orchestrierung |
| Serverless | keine Serververwaltung durch Kunden |
| FaaS | Function as a Service |
| VPC | Virtual Private Cloud |
| VNet | Virtual Network |
| Public Subnet | öffentlich angebundenes Subnetz |
| Private Subnet | internes Subnetz |
| Security Group | virtuelle Firewall-Regelgruppe |
| Load Balancer | verteilt Anfragen |
| Health Check | prüft Dienstgesundheit |
| Peering | Verbindung zwischen Cloud-Netzen |
| Cloud-VPN | VPN zu Cloud-Netz |
| Objektspeicher | Speicher für Objekte |
| Bucket | Speicherbehälter |
| Blockspeicher | virtuelle Festplatte |
| Dateispeicher | Datei- und Ordnerfreigabe |
| Backup | zusätzliche Sicherung |
| Restore | Wiederherstellung |
| RPO | maximaler Datenverlust |
| RTO | maximale Wiederherstellungszeit |
| Immutable Backup | unveränderliches Backup |
| IAM | Identity and Access Management |
| MFA | Multi-Faktor-Authentifizierung |
| Least Privilege | minimale notwendige Rechte |
| API-Schlüssel | Zugriffsschlüssel für Programme |
| Secret | geheime Information |
| RBAC | rollenbasierte Zugriffskontrolle |
| ABAC | attributbasierte Zugriffskontrolle |
| Tenant | Cloud-Verwaltungsbereich |
| SSO | Single Sign-On |
| OAuth 2.0 | delegierte Autorisierung |
| OpenID Connect | Authentifizierungserweiterung |
| KMS | Key Management Service |
| Monitoring | Zustandsüberwachung |
| Logging | Ereignisprotokollierung |
| SIEM | Sicherheitslog-Auswertung |
| Pay as you go | Abrechnung nach Nutzung |
| Tagging | Metadaten für Ressourcen |
| Rightsizing | passende Ressourcengröße |
| Auto Scaling | automatische Skalierung |
| SLA | vertragliche Servicezusage |
| SLO | Serviceziel |
| SLI | Servicemesswert |
| IaC | Infrastructure as Code |
| Configuration Drift | Abweichung von Soll-Konfiguration |
| Runbook | Betriebsanleitung |
| Incident Response | Reaktion auf Vorfälle |
| Compliance | Einhaltung von Vorgaben |
| Datenresidenz | erlaubter Speicherort |
| Vendor Lock-in | Anbieterabhängigkeit |
| Exit-Strategie | Plan zum Verlassen eines Dienstes |
---
**IHK-sichere Gesamtformulierung**
Cloud Computing bedeutet, dass IT-Ressourcen wie Rechenleistung, Speicher, Netzwerke, Plattformen oder Anwendungen über ein Netzwerk als Dienst bereitgestellt werden. Bei On-Premises betreibt ein Unternehmen seine IT lokal selbst. Public Cloud wird von einem Anbieter für viele Kunden bereitgestellt, Private Cloud für eine einzelne Organisation, Hybrid Cloud kombiniert lokale oder private IT mit Public Cloud, und Multi Cloud nutzt mehrere Cloud-Anbieter. Die wichtigsten Service-Modelle sind IaaS, PaaS und SaaS. Das Shared Responsibility Model beschreibt die geteilte Verantwortung zwischen Anbieter und Kunde. Auch in der Cloud bleiben Benutzer, Rechte, Daten, sichere Konfiguration, Backup, Monitoring, Kostenkontrolle, Datenschutz und Compliance wichtige Aufgaben des Kunden.
---
**Wichtigste Merksätze**
Cloud = IT-Ressourcen als Dienst.
Cloud ist kein einzelnes Produkt.
Cloud ist nicht automatisch sicher.
Cloud ist nicht automatisch günstig.
Cloud ist nicht automatisch hochverfügbar.
Cloud ist kein Backup.
On-Premises = lokal selbst betrieben.
Public Cloud = Anbieterplattform für viele Kunden.
Private Cloud = Cloud für eine Organisation.
Hybrid Cloud = lokal plus Cloud.
Multi Cloud = mehrere Anbieter.
IaaS = Infrastruktur.
PaaS = Plattform.
SaaS = fertige Software.
Shared Responsibility = geteilte Verantwortung.
Daten bleiben Kundenthema.
Benutzer bleiben Kundenthema.
Rechte bleiben Kundenthema.
Cloud-VM muss Kunde oft selbst patchen.
SaaS braucht Rechteverwaltung.
Serverless heißt keine Serververwaltung durch Kunden.
VPC und VNet sind virtuelle Cloud-Netze.
Public Subnet nur für öffentliche Komponenten.
Private Subnet für interne Ressourcen.
Datenbanken nicht öffentlich bereitstellen.
Security Groups sind virtuelle Firewall-Regeln.
Cloud-VPN braucht Routen beidseitig.
Objektspeicher für unstrukturierte Daten.
Blockspeicher für VMs und Datenbanken.
Dateispeicher für Freigaben.
Öffentliche Buckets vermeiden.
Backup regelmäßig testen.
RPO = Datenverlust.
RTO = Wiederherstellungszeit.
IAM entscheidet,
wer was darf.
MFA für Admins erzwingen.
Least Privilege immer beachten.
API-Schlüssel schützen.
Secrets sicher verwalten.
Verschlüsselung ersetzt keine Rechte.
Monitoring zeigt Zustand.
Logging zeigt Ereignisse.
Kosten aktiv überwachen.
Tags pflegen.
Auto Scaling braucht Regeln.
Horizontal = mehr Instanzen.
Vertikal = größere Instanz.
IaC macht Infrastruktur wiederholbar.
Configuration Drift vermeiden.
Runbooks helfen im Betrieb.
Incident Response vorbereiten.
Datenschutz und Compliance prüfen.
Exit-Strategie früh planen.
# 16. Angriffe und Schutzmaßnahmen
# 16.1 Angriffe und Schutzmaßnahmen
IT-Systeme und Netzwerke sind vielen möglichen Angriffen ausgesetzt.
Ein Angriff kann sich richten gegen:
- Vertraulichkeit
- Integrität
- Verfügbarkeit
- Identitäten
- Daten
- Anwendungen
- Netzwerke
- Endgeräte
- Server
- Cloud-Dienste
Merksatz:
IT-Sicherheit schützt nicht nur Technik,
sondern auch Daten,
Prozesse
und Verfügbarkeit.
---
**Grundziele der Informationssicherheit**
Die drei wichtigsten Grundziele sind:
Vertraulichkeit
Integrität
Verfügbarkeit
Diese drei Begriffe werden oft als Schutzziele bezeichnet.
Merksatz:
Vertraulichkeit,
Integrität
und Verfügbarkeit sind die Grundpfeiler der IT-Sicherheit.
---
**Vertraulichkeit**
Vertraulichkeit bedeutet:
Informationen dürfen nur von berechtigten Personen gelesen werden.
Beispiele:
Kundendaten
Passwörter
Personalakten
Geschäftsgeheimnisse
medizinische Daten
interne Dokumente
Zugangsdaten
Angriffe auf Vertraulichkeit:
Datenabfluss
unberechtigter Zugriff
Abhören
Phishing
gestohlene Zugangsdaten
öffentlich freigegebene Cloud-Speicher
Merksatz:
Vertraulichkeit schützt vor unberechtigtem Lesen.
---
**Integrität**
Integrität bedeutet:
Daten dürfen nicht unbemerkt verändert werden.
Beispiele:
Rechnung darf nicht manipuliert werden.
Konfigurationsdatei darf nicht heimlich geändert werden.
Softwarepaket darf nicht verfälscht werden.
Logdatei darf nicht manipuliert werden.
Angriffe auf Integrität:
Manipulation
Schadsoftware
unberechtigte Änderungen
Datenbankänderungen
Man-in-the-Middle
Supply-Chain-Angriffe
Merksatz:
Integrität schützt vor unbemerkter Veränderung.
---
**Verfügbarkeit**
Verfügbarkeit bedeutet:
Systeme,
Dienste
und Daten sind bei Bedarf nutzbar.
Beispiele:
Webserver erreichbar
E-Mail funktioniert
Datenbank antwortet
Backup kann wiederhergestellt werden
Netzwerk ist verfügbar
Cloud-Dienst läuft
Angriffe auf Verfügbarkeit:
DoS
DDoS
Ransomware
Sabotage
Überlastung
Ausfall kritischer Komponenten
Merksatz:
Verfügbarkeit schützt die Nutzbarkeit von Systemen.
---
**CIA-Triade**
Die drei Schutzziele werden oft zusammengefasst als:
Confidentiality
Integrity
Availability
Deutsch:
Vertraulichkeit
Integrität
Verfügbarkeit
Merksatz:
CIA-Triade = Vertraulichkeit,
Integrität
Verfügbarkeit.
---
**Authentizität**
Authentizität bedeutet:
Die Echtheit einer Person,
eines Systems
oder einer Nachricht ist überprüfbar.
Beispiele:
Ist der Benutzer wirklich der richtige Benutzer?
Ist der Server wirklich der richtige Server?
Stammt die E-Mail wirklich vom angegebenen Absender?
Ist das Zertifikat gültig?
Merksatz:
Authentizität schützt vor falscher Identität.
---
**Nichtabstreitbarkeit**
Nichtabstreitbarkeit bedeutet:
Eine Handlung kann später nicht glaubwürdig abgestritten werden.
Beispiel:
Eine digital signierte Bestellung kann einer Person oder Organisation zugeordnet werden.
Mittel:
digitale Signatur
Protokollierung
Zeitstempel
eindeutige Benutzerkonten
Merksatz:
Nichtabstreitbarkeit sorgt für Nachweisbarkeit.
---
**Angriffsarten im Überblick**
Typische Angriffsarten:
- Phishing
- Social Engineering
- Malware
- Ransomware
- DoS und DDoS
- Man-in-the-Middle
- Passwortangriffe
- Brute Force
- Credential Stuffing
- Spoofing
- Sniffing
- SQL Injection
- Cross-Site Scripting
- Zero-Day-Angriff
- Supply-Chain-Angriff
- Insider-Bedrohung
Merksatz:
Angriffe können technisch,
organisatorisch
oder menschlich ansetzen.
---
**Angreiferziele**
Angreifer verfolgen unterschiedliche Ziele.
Beispiele:
Daten stehlen
Geld erpressen
Systeme verschlüsseln
Zugangsdaten sammeln
Dienste lahmlegen
Systeme übernehmen
Spionage betreiben
Sabotage durchführen
Rechenleistung missbrauchen
interne Bewegung im Netz erreichen
Merksatz:
Angriffe haben ein Ziel,
auch wenn sie zunächst zufällig wirken.
---
**Angriffsfläche**
Angriffsfläche bedeutet:
alle Stellen,
an denen ein System angegriffen werden kann.
Beispiele:
offene Ports
Webanwendungen
VPN-Zugänge
Benutzerkonten
E-Mail
Cloud-Portale
APIs
veraltete Software
unsichere Freigaben
mobile Geräte
externe Dienstleister
Merksatz:
Je größer die Angriffsfläche,
desto mehr mögliche Angriffspunkte.
---
**Angriffsfläche reduzieren**
Maßnahmen:
unnötige Dienste deaktivieren
offene Ports schließen
alte Software entfernen
Standardkonten deaktivieren
Rechte begrenzen
MFA aktivieren
Netzsegmentierung nutzen
Systeme patchen
öffentliche Zugriffe prüfen
sichere Konfiguration verwenden
Merksatz:
Nicht benötigte Angriffsfläche entfernen.
---
**Schwachstelle**
Eine Schwachstelle ist eine Sicherheitslücke oder ein Fehler,
der ausgenutzt werden kann.
Beispiele:
veraltete Software
unsichere Konfiguration
schwaches Passwort
fehlende Zugriffskontrolle
Programmierfehler
offener Adminport
öffentlich freigegebener Speicher
Merksatz:
Schwachstelle = ausnutzbare Sicherheitslücke.
---
**Bedrohung**
Eine Bedrohung ist ein mögliches Ereignis,
das Schaden verursachen kann.
Beispiele:
Angreifer
Malware
Feuer
Diebstahl
Stromausfall
Fehlbedienung
Datenverlust
Insider
Merksatz:
Bedrohung = mögliches schädliches Ereignis.
---
**Risiko**
Risiko beschreibt,
wie wahrscheinlich ein Schaden ist
und wie groß die Auswirkung wäre.
Vereinfacht:
Risiko = Eintrittswahrscheinlichkeit × Schadenshöhe
Beispiel:
Ein öffentlich erreichbarer Server mit alter Software hat ein hohes Risiko.
Merksatz:
Risiko verbindet Wahrscheinlichkeit und Auswirkung.
---
**Schutzmaßnahme**
Eine Schutzmaßnahme reduziert ein Risiko.
Beispiele:
Patch einspielen
MFA aktivieren
Firewall-Regel setzen
Backup erstellen
Benutzer schulen
Rechte begrenzen
Verschlüsselung nutzen
Monitoring aktivieren
Merksatz:
Schutzmaßnahmen senken Eintrittswahrscheinlichkeit oder Auswirkung.
---
**Technische Schutzmaßnahmen**
Technische Schutzmaßnahmen sind zum Beispiel:
Firewall
Antivirus
EDR
IDS
IPS
Verschlüsselung
MFA
Patchmanagement
Backup
Netzwerksegmentierung
Logging
Monitoring
Zugriffskontrolle
sichere Konfiguration
Merksatz:
Technische Maßnahmen schützen Systeme direkt.
---
**Organisatorische Schutzmaßnahmen**
Organisatorische Schutzmaßnahmen sind zum Beispiel:
Sicherheitsrichtlinien
Schulungen
Berechtigungskonzepte
Notfallpläne
Change Management
Rollenverteilung
Freigabeprozesse
Offboarding
Dokumentation
Verantwortlichkeiten
Merksatz:
Organisation entscheidet,
wie Sicherheit dauerhaft umgesetzt wird.
---
**Personelle Schutzmaßnahmen**
Personelle Schutzmaßnahmen betreffen Menschen.
Beispiele:
Schulung gegen Phishing
klare Meldewege
Sensibilisierung
Vier-Augen-Prinzip
sichere Passwortnutzung
Umgang mit vertraulichen Daten
Verhalten bei Sicherheitsvorfällen
Merksatz:
Menschen sind Teil der Sicherheit,
nicht nur Risiko.
---
**Physische Schutzmaßnahmen**
Physische Schutzmaßnahmen schützen Räume,
Geräte
und Infrastruktur.
Beispiele:
Zutrittskontrolle
abschließbare Serverräume
Videoüberwachung
Brandschutz
USV
Klimatisierung
Schutz vor Diebstahl
gesicherte Netzwerkschränke
Merksatz:
IT-Sicherheit beginnt auch bei physischem Schutz.
---
**Defense in Depth**
Defense in Depth bedeutet:
mehrere Schutzschichten werden kombiniert.
Beispiel:
Firewall
plus
MFA
plus
Patchmanagement
plus
EDR
plus
Backup
plus
Monitoring
Wenn eine Schutzschicht versagt,
sollen andere Schichten weiter schützen.
Merksatz:
Defense in Depth = Sicherheit durch mehrere Schichten.
---
**Least Privilege**
Least Privilege bedeutet:
Benutzer,
Dienste
und Systeme bekommen nur die Rechte,
die sie wirklich benötigen.
Beispiele:
normaler Benutzer kein lokaler Administrator
Dienstkonto nur Zugriff auf benötigte Datenbank
VPN-Benutzer nur auf notwendige Systeme
Cloud-Rolle nur mit benötigten Aktionen
Merksatz:
Weniger Rechte bedeuten weniger Schaden bei Missbrauch.
---
**Need to Know**
Need to Know bedeutet:
Zugriff nur auf Informationen,
die für die Aufgabe erforderlich sind.
Beispiel:
Personalabteilung sieht Personalakten.
Support sieht technische Tickets.
Praktikant sieht keine vertraulichen Finanzdaten.
Merksatz:
Nicht jeder muss alles wissen.
---
**Zero Trust**
Zero Trust bedeutet:
keinem Zugriff automatisch vertrauen.
Es wird geprüft:
Benutzer
Gerät
Standort
Risiko
Anwendung
Berechtigung
MFA
Gerätezustand
Merksatz:
Zero Trust heißt:
immer prüfen,
nie pauschal vertrauen.
---
**Phishing**
Phishing ist der Versuch,
Benutzer zur Preisgabe vertraulicher Informationen zu verleiten.
Ziele:
Passwörter
MFA-Codes
Kreditkartendaten
Zugangsdaten
interne Informationen
Typische Mittel:
gefälschte E-Mails
gefälschte Webseiten
gefälschte Loginseiten
angebliche Rechnungen
angebliche Paketmeldungen
angebliche Sicherheitswarnungen
Merksatz:
Phishing greift den Menschen über Täuschung an.
---
**Spear Phishing**
Spear Phishing ist gezieltes Phishing gegen bestimmte Personen oder Organisationen.
Beispiel:
Angreifer schreibt eine E-Mail,
die genau zu einer Firma,
einem Projekt
oder einer Rolle passt.
Spear Phishing wirkt oft glaubwürdiger als Massenphishing.
Merksatz:
Spear Phishing ist gezieltes Phishing.
---
**Whaling**
Whaling ist Phishing gegen besonders wichtige Personen.
Beispiele:
Geschäftsführung
Administratoren
Finanzleitung
Personalabteilung
Projektleitung
Merksatz:
Whaling richtet sich gegen besonders wertvolle Ziele.
---
**Social Engineering**
Social Engineering nutzt menschliches Verhalten aus.
Beispiele:
Vertrauen erschleichen
Zeitdruck erzeugen
Hilfsbereitschaft ausnutzen
Autorität vortäuschen
Angst erzeugen
Neugier ausnutzen
Merksatz:
Social Engineering manipuliert Menschen statt Technik.
---
**Schutz vor Phishing und Social Engineering**
Maßnahmen:
Schulungen
klare Meldewege
MFA
E-Mail-Filter
sichere Passwortmanager
keine Links blind anklicken
Absender prüfen
ungewöhnliche Anfragen hinterfragen
Vier-Augen-Prinzip bei Zahlungen
Sensibilisierung für Druck und Täuschung
Merksatz:
Technik und Schulung gemeinsam schützen besser.
---
**Malware**
Malware ist Schadsoftware.
Beispiele:
Virus
Wurm
Trojaner
Ransomware
Spyware
Keylogger
Rootkit
Botnet-Client
Cryptominer
Merksatz:
Malware ist Software mit schädlicher Funktion.
---
**Virus**
Ein Virus hängt sich an Dateien oder Programme
und verbreitet sich,
wenn diese ausgeführt oder weitergegeben werden.
Merksatz:
Virus braucht meist eine Wirtsdatei oder Benutzeraktion.
---
**Wurm**
Ein Wurm verbreitet sich selbstständig über Netzwerke oder Schwachstellen.
Gefahr:
schnelle Ausbreitung
hohe Netzlast
Infektion vieler Systeme
Ausnutzung ungepatchter Systeme
Merksatz:
Wurm verbreitet sich selbstständig.
---
**Trojaner**
Ein Trojaner tarnt sich als nützliches oder harmloses Programm,
enthält aber Schadfunktionen.
Beispiele:
angebliches Tool
manipulierte Installationsdatei
Fake-Update
gecrackte Software
Merksatz:
Trojaner täuscht Nützlichkeit vor.
---
**Ransomware**
Ransomware verschlüsselt Daten oder sperrt Systeme
und fordert Lösegeld.
Folgen:
Daten nicht verfügbar
Betriebsunterbrechung
Erpressung
Datenabfluss möglich
hohe Wiederherstellungskosten
Merksatz:
Ransomware greift vor allem Verfügbarkeit und oft auch Vertraulichkeit an.
---
**Schutz vor Ransomware**
Maßnahmen:
Offline- oder Immutable-Backups
regelmäßige Restore-Tests
Patchmanagement
EDR
Makros einschränken
Least Privilege
Netzwerksegmentierung
MFA
E-Mail-Schutz
keine lokalen Adminrechte
Monitoring
schnelle Isolation infizierter Systeme
Merksatz:
Gegen Ransomware sind Backups,
Rechtebegrenzung
und Segmentierung besonders wichtig.
---
**Spyware**
Spyware spioniert Benutzer oder Systeme aus.
Beispiele:
Tastatureingaben aufzeichnen
Bildschirm erfassen
Browserdaten auslesen
Zugangsdaten stehlen
Benutzerverhalten beobachten
Merksatz:
Spyware sammelt heimlich Informationen.
---
**Keylogger**
Ein Keylogger zeichnet Tastatureingaben auf.
Ziel:
Passwörter
Zugangsdaten
Nachrichten
vertrauliche Eingaben
Merksatz:
Keylogger stehlen Eingaben.
---
**Rootkit**
Ein Rootkit versteckt Schadsoftware oder ermöglicht besonders tiefen Zugriff auf ein System.
Ziel:
Erkennung verhindern
Kontrolle behalten
Sicherheitssoftware umgehen
System manipulieren
Merksatz:
Rootkits verstecken und verankern Angriffe tief im System.
---
**Botnet**
Ein Botnet ist ein Netzwerk kompromittierter Systeme,
die von Angreifern gesteuert werden.
Nutzung:
DDoS
Spam
Credential Stuffing
Malware-Verteilung
Cryptomining
Proxy-Missbrauch
Merksatz:
Botnet = viele fremdgesteuerte infizierte Systeme.
---
**DoS**
DoS steht für:
Denial of Service
Ziel:
Ein Dienst wird durch Überlastung oder Störung unbenutzbar.
Beispiel:
Ein Server erhält so viele Anfragen,
dass er nicht mehr antwortet.
Merksatz:
DoS greift die Verfügbarkeit an.
---
**DDoS**
DDoS steht für:
Distributed Denial of Service
Dabei kommt der Angriff von vielen Systemen gleichzeitig.
Oft werden Botnetze genutzt.
Merksatz:
DDoS ist verteilter DoS-Angriff.
---
**Schutz vor DoS und DDoS**
Maßnahmen:
DDoS-Schutzdienst
Rate Limiting
Load Balancer
Content Delivery Network
Firewall-Regeln
Anycast
Skalierung
Monitoring
Notfallplan
Provider-Unterstützung
Merksatz:
DDoS-Schutz braucht Technik,
Skalierung
und Vorbereitung.
---
**Man-in-the-Middle**
Man-in-the-Middle wird oft abgekürzt:
MitM
Dabei sitzt ein Angreifer zwischen zwei Kommunikationspartnern.
Ziele:
Daten mitlesen
Daten verändern
Sitzung übernehmen
Zertifikatswarnungen ausnutzen
Zugangsdaten abfangen
Merksatz:
MitM greift Kommunikation zwischen zwei Parteien an.
---
**Schutz vor Man-in-the-Middle**
Maßnahmen:
TLS korrekt nutzen
Zertifikate prüfen
keine Zertifikatswarnungen ignorieren
VPN in unsicheren Netzen
HSTS bei Webdiensten
sichere WLANs
Zertifikat-Pinning je nach Anwendung
starke Authentifizierung
Merksatz:
TLS schützt nur,
wenn Zertifikate korrekt geprüft werden.
---
**Sniffing**
Sniffing bedeutet:
Netzwerkverkehr wird mitgeschnitten oder beobachtet.
Nützlich für Administratoren:
Fehlersuche
Analyse
Protokollprüfung
Gefährlich durch Angreifer:
Zugangsdaten abfangen
unverschlüsselte Daten lesen
interne Kommunikation beobachten
Merksatz:
Sniffing ist Analysewerkzeug,
kann aber missbraucht werden.
---
**Spoofing**
Spoofing bedeutet:
eine falsche Identität oder Adresse wird vorgetäuscht.
Beispiele:
IP-Spoofing
MAC-Spoofing
DNS-Spoofing
E-Mail-Spoofing
ARP-Spoofing
Merksatz:
Spoofing täuscht Herkunft oder Identität vor.
---
**ARP-Spoofing**
ARP-Spoofing manipuliert die Zuordnung von IP-Adresse zu MAC-Adresse im lokalen Netz.
Ziel:
Verkehr über Angreifer leiten
Man-in-the-Middle ermöglichen
Kommunikation stören
Merksatz:
ARP-Spoofing greift lokale Layer-2-Kommunikation an.
---
**DNS-Spoofing**
DNS-Spoofing manipuliert Namensauflösung.
Beispiel:
Benutzer ruft bank.example auf,
wird aber auf falsche IP geleitet.
Schutz:
DNSSEC
sichere DNS-Server
TLS-Zertifikatsprüfung
Monitoring
keine unsicheren DNS-Quellen
Merksatz:
DNS-Spoofing führt Namen zu falschen Zielen.
---
**Passwortangriffe**
Passwortangriffe versuchen,
Zugangsdaten zu erraten,
zu stehlen
oder wiederzuverwenden.
Typen:
Brute Force
Wörterbuchangriff
Credential Stuffing
Password Spraying
Phishing
Keylogger
Merksatz:
Passwortangriffe richten sich gegen Identitäten.
---
**Brute Force**
Brute Force bedeutet:
viele mögliche Passwörter werden systematisch ausprobiert.
Schutz:
starke Passwörter
MFA
Sperrmechanismen
Rate Limiting
Monitoring
keine Standardkonten
Passwortmanager
Merksatz:
Brute Force wird durch Begrenzung und starke Authentifizierung erschwert.
---
**Credential Stuffing**
Credential Stuffing bedeutet:
Angreifer nutzen bekannte Zugangsdaten aus früheren Datenlecks
und probieren sie bei anderen Diensten aus.
Schutz:
keine Passwortwiederverwendung
MFA
Passwortmanager
Leak-Prüfung
ungewöhnliche Loginversuche erkennen
Merksatz:
Credential Stuffing nutzt wiederverwendete Passwörter.
---
**Password Spraying**
Password Spraying bedeutet:
Ein Angreifer probiert wenige häufige Passwörter bei vielen Konten aus.
Beispiel:
Sommer2026!
bei vielen Benutzern
Ziel:
Kontosperren vermeiden,
weil pro Konto nur wenige Versuche auftreten.
Merksatz:
Password Spraying verteilt wenige Passwörter auf viele Konten.
---
**Schutz vor Passwortangriffen**
Maßnahmen:
MFA
starke Passwortrichtlinien
Passwortmanager
keine Wiederverwendung
Rate Limiting
Account Lockout mit Bedacht
Monitoring
Risikoanalyse bei Logins
Schulung
Standardkonten deaktivieren
Merksatz:
MFA ist eine der wichtigsten Maßnahmen gegen Passwortmissbrauch.
---
**SQL Injection**
SQL Injection ist ein Angriff auf Datenbankabfragen.
Dabei schleust ein Angreifer SQL-Code in Eingaben ein.
Mögliche Folgen:
Daten auslesen
Daten verändern
Login umgehen
Daten löschen
Anwendung manipulieren
Merksatz:
SQL Injection nutzt unsichere Eingaben in Datenbankabfragen aus.
---
**Schutz vor SQL Injection**
Maßnahmen:
Prepared Statements
parametrisierte Abfragen
Eingabevalidierung
Rechte der Datenbankbenutzer begrenzen
Fehlerausgaben vermeiden
Web Application Firewall
sichere Programmierung
Code Reviews
Merksatz:
Parametrisierte Abfragen sind zentral gegen SQL Injection.
---
**Cross-Site Scripting**
Cross-Site Scripting wird abgekürzt:
XSS
Dabei wird schädlicher Code in Webseiten eingeschleust,
der im Browser anderer Benutzer ausgeführt wird.
Mögliche Folgen:
Sessiondiebstahl
Manipulation von Webseiten
Phishing im Browser
Aktionen im Namen des Benutzers
Merksatz:
XSS greift Benutzer über den Browser an.
---
**Schutz vor XSS**
Maßnahmen:
Eingaben validieren
Ausgaben korrekt escapen
Content Security Policy
HttpOnly Cookies
sichere Frameworks nutzen
keine ungeprüften HTML-Ausgaben
Code Reviews
Merksatz:
Gegen XSS müssen Ausgaben korrekt behandelt werden.
---
**Zero-Day-Angriff**
Ein Zero-Day-Angriff nutzt eine Schwachstelle,
für die noch kein Patch verfügbar ist
oder die dem Hersteller noch nicht bekannt ist.
Schutz ist schwierig,
aber möglich durch:
Defense in Depth
EDR
Segmentierung
Least Privilege
Monitoring
WAF
Härtung
schnelle Reaktion
Merksatz:
Zero-Day bedeutet:
Schwachstelle wird ausgenutzt,
bevor ein regulärer Patch verfügbar ist.
---
**Supply-Chain-Angriff**
Ein Supply-Chain-Angriff richtet sich gegen Lieferkette oder Abhängigkeiten.
Beispiele:
manipuliertes Softwareupdate
kompromittierte Bibliothek
infizierter Installer
unsicherer Dienstleisterzugang
kompromittiertes Repository
Merksatz:
Supply-Chain-Angriff trifft Systeme über vertrauenswürdige Lieferwege.
---
**Schutz vor Supply-Chain-Angriffen**
Maßnahmen:
Softwarequellen prüfen
Signaturen prüfen
Abhängigkeiten überwachen
Updates aus vertrauenswürdigen Quellen
Dienstleisterzugriffe begrenzen
Code Reviews
SBOM
Paketquellen absichern
CI/CD schützen
Merksatz:
Lieferkette ist Teil der IT-Sicherheit.
---
**Insider-Bedrohung**
Insider sind Personen mit internem Zugriff,
die absichtlich oder unabsichtlich Schaden verursachen.
Beispiele:
unzufriedener Mitarbeiter
Fehler durch Administrator
fahrlässiger Umgang mit Daten
kompromittiertes internes Konto
externer Dienstleister mit zu vielen Rechten
Merksatz:
Nicht jede Bedrohung kommt von außen.
---
**Schutz vor Insider-Risiken**
Maßnahmen:
Least Privilege
Vier-Augen-Prinzip
Logging
Rechteprüfung
Offboarding
Aufgabentrennung
Sensibilisierung
klare Prozesse
Monitoring
keine Sammelkonten
Merksatz:
Nachvollziehbarkeit und Rechtebegrenzung senken Insider-Risiken.
---
**Patchmanagement**
Patchmanagement bedeutet:
Sicherheitsupdates werden geplant,
getestet,
verteilt
und kontrolliert.
Wichtig für:
Betriebssysteme
Anwendungen
Firmware
Netzwerkgeräte
Firewalls
Cloud-Systeme
Container-Images
Abhängigkeiten
Merksatz:
Ungepatchte Systeme sind häufige Angriffsziele.
---
**Hardening**
Hardening bedeutet:
Systeme werden sicher konfiguriert,
indem unnötige Funktionen deaktiviert
und sichere Einstellungen gesetzt werden.
Beispiele:
unnötige Dienste deaktivieren
Standardpasswörter ändern
alte Protokolle abschalten
sichere TLS-Versionen nutzen
Adminzugriffe begrenzen
Logging aktivieren
Rechte minimieren
Merksatz:
Hardening reduziert Angriffsfläche.
---
**Firewall**
Eine Firewall filtert Netzwerkverkehr nach Regeln.
Sie kann prüfen:
Quelle
Ziel
Port
Protokoll
Richtung
Zustand
Anwendung je nach Firewalltyp
Merksatz:
Firewall begrenzt Netzwerkzugriffe.
---
**IDS und IPS**
IDS steht für:
Intrusion Detection System
Ein IDS erkennt verdächtige Aktivitäten
und meldet sie.
IPS steht für:
Intrusion Prevention System
Ein IPS kann verdächtige Aktivitäten zusätzlich blockieren.
Merksatz:
IDS erkennt.
IPS blockiert zusätzlich.
---
**Antivirus und EDR**
Antivirus erkennt bekannte Schadsoftware.
EDR steht für:
Endpoint Detection and Response
EDR überwacht Endgeräte tiefer
und hilft bei Erkennung,
Analyse
und Reaktion auf Angriffe.
Merksatz:
Antivirus erkennt Schadsoftware.
EDR unterstützt Erkennung und Reaktion auf Endgeräten.
---
**Backup als Schutzmaßnahme**
Backup schützt nicht vor jedem Angriff,
aber es ermöglicht Wiederherstellung.
Wichtig:
regelmäßige Backups
getrennte Speicherung
Immutable Backup
Restore-Tests
Verschlüsselung
Zugriffsschutz
Dokumentation
Merksatz:
Backup ist eine Schutzmaßnahme gegen Datenverlust und Ransomware-Folgen.
---
**Monitoring und Logging als Schutzmaßnahme**
Monitoring und Logging helfen,
Angriffe zu erkennen und aufzuklären.
Wichtige Logs:
Anmeldungen
Adminaktionen
Firewall-Entscheidungen
VPN-Zugriffe
EDR-Meldungen
DNS-Anfragen
Webserver-Logs
Cloud-Audit-Logs
Merksatz:
Was nicht protokolliert wird,
ist später schwer nachvollziehbar.
---
**Incident Response**
Incident Response bedeutet:
strukturierte Reaktion auf Sicherheitsvorfälle.
Schritte:
erkennen
bewerten
eindämmen
beseitigen
wiederherstellen
dokumentieren
verbessern
Merksatz:
Sicherheitsvorfälle brauchen vorbereitete Abläufe.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was sind die Schutzziele der Informationssicherheit?
- Was bedeutet Vertraulichkeit?
- Was bedeutet Integrität?
- Was bedeutet Verfügbarkeit?
- Was ist Phishing?
- Was ist Social Engineering?
- Was ist Malware?
- Was ist Ransomware?
- Was ist der Unterschied zwischen DoS und DDoS?
- Was ist Man-in-the-Middle?
- Was ist Spoofing?
- Was ist Brute Force?
- Was ist Credential Stuffing?
- Was ist SQL Injection?
- Was ist Cross-Site Scripting?
- Was ist ein Zero-Day-Angriff?
- Was ist ein Supply-Chain-Angriff?
- Was bedeutet Least Privilege?
- Was ist Defense in Depth?
- Was ist der Unterschied zwischen IDS und IPS?
- Warum sind Backups wichtig gegen Ransomware?
- Warum ist Patchmanagement wichtig?
---
**Typische Prüfungsfallen**
Vertraulichkeit,
Integrität
und Verfügbarkeit sauber unterscheiden.
Ransomware betrifft Verfügbarkeit
und oft auch Vertraulichkeit.
Phishing ist Täuschung,
nicht nur eine technische Lücke.
Social Engineering greift Menschen an.
DoS kommt von einer Quelle oder allgemein einem Angriffspunkt.
DDoS ist verteilt.
IDS erkennt,
IPS kann blockieren.
Backup verhindert keinen Angriff,
hilft aber bei Wiederherstellung.
Replikation ersetzt kein Backup.
MFA schützt nicht vor allen Angriffen,
senkt aber Passwortmissbrauch stark.
Firewall ersetzt kein Patchmanagement.
Verschlüsselung ersetzt keine Zugriffskontrolle.
Antivirus ersetzt kein Sicherheitskonzept.
Zero-Day ist nicht durch normales Patchen allein lösbar.
Supply Chain betrifft Lieferwege und Abhängigkeiten.
Least Privilege reduziert Schaden.
Defense in Depth kombiniert mehrere Maßnahmen.
Logs müssen vor dem Vorfall aktiv sein.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| Vertraulichkeit | Schutz vor unberechtigtem Lesen |
| Integrität | Schutz vor unbemerkter Veränderung |
| Verfügbarkeit | Nutzbarkeit von Systemen und Daten |
| Authentizität | Echtheit einer Identität oder Nachricht |
| Nichtabstreitbarkeit | Handlung kann nachgewiesen werden |
| Angriffsfläche | Summe möglicher Angriffspunkte |
| Schwachstelle | ausnutzbare Sicherheitslücke |
| Bedrohung | mögliches schädliches Ereignis |
| Risiko | Wahrscheinlichkeit mal Auswirkung |
| Schutzmaßnahme | reduziert Risiko |
| Defense in Depth | mehrere Schutzschichten |
| Least Privilege | minimale notwendige Rechte |
| Need to Know | Zugriff nur bei Bedarf |
| Zero Trust | kein automatisches Vertrauen |
| Phishing | Täuschung zur Datenpreisgabe |
| Spear Phishing | gezieltes Phishing |
| Whaling | Phishing gegen wichtige Personen |
| Social Engineering | Manipulation von Menschen |
| Malware | Schadsoftware |
| Virus | Schadsoftware mit Wirtsdatei |
| Wurm | selbstverbreitende Schadsoftware |
| Trojaner | getarnte Schadsoftware |
| Ransomware | erpresserische Verschlüsselung oder Sperrung |
| Spyware | Spionagesoftware |
| Keylogger | zeichnet Tastatureingaben auf |
| Rootkit | versteckt und verankert Schadsoftware |
| Botnet | Netzwerk fremdgesteuerter Systeme |
| DoS | Dienstverweigerung |
| DDoS | verteilter DoS |
| MitM | Man-in-the-Middle |
| Sniffing | Mitschneiden von Verkehr |
| Spoofing | Vortäuschen falscher Identität |
| ARP-Spoofing | Manipulation lokaler IP-MAC-Zuordnung |
| DNS-Spoofing | Manipulation von Namensauflösung |
| Brute Force | systematisches Ausprobieren |
| Credential Stuffing | Nutzung geleakter Zugangsdaten |
| Password Spraying | wenige Passwörter gegen viele Konten |
| SQL Injection | Einschleusen von SQL-Code |
| XSS | Cross-Site Scripting |
| Zero-Day | ungepatchte oder unbekannte Schwachstelle |
| Supply Chain | Lieferkette und Abhängigkeiten |
| Insider | interne Bedrohung |
| Patchmanagement | Verwaltung von Sicherheitsupdates |
| Hardening | sichere Systemkonfiguration |
| IDS | Angriffserkennung |
| IPS | Angriffserkennung mit Blockierung |
| EDR | Endgeräteerkennung und Reaktion |
| Incident Response | Reaktion auf Sicherheitsvorfälle |
---
**IHK-sichere Kurzformulierung**
Angriffe auf IT-Systeme können die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit beeinträchtigen. Vertraulichkeit schützt vor unberechtigtem Lesen, Integrität vor unbemerkter Veränderung und Verfügbarkeit vor Ausfall oder Nichtnutzbarkeit. Typische Angriffe sind Phishing, Social Engineering, Malware, Ransomware, DoS, DDoS, Man-in-the-Middle, Spoofing, Passwortangriffe, SQL Injection, Cross-Site Scripting, Zero-Day- und Supply-Chain-Angriffe. Schutzmaßnahmen sind unter anderem Patchmanagement, Hardening, Firewalls, MFA, Least Privilege, Netzwerksegmentierung, Backups, Monitoring, Logging, IDS/IPS, EDR, Schulungen und Incident Response. Ein gutes Sicherheitskonzept kombiniert mehrere Maßnahmen nach dem Prinzip Defense in Depth.
---
**Merksätze**
Vertraulichkeit schützt vor Mitlesen.
Integrität schützt vor Manipulation.
Verfügbarkeit schützt Nutzbarkeit.
CIA-Triade = Vertraulichkeit,
Integrität,
Verfügbarkeit.
Authentizität prüft Echtheit.
Nichtabstreitbarkeit schafft Nachweisbarkeit.
Angriffsfläche reduzieren.
Schwachstelle ist ausnutzbare Lücke.
Bedrohung ist mögliches Schadereignis.
Risiko = Wahrscheinlichkeit und Auswirkung.
Schutzmaßnahmen senken Risiko.
Defense in Depth kombiniert Schutzschichten.
Least Privilege reduziert Schaden.
Need to Know begrenzt Datenzugriff.
Zero Trust vertraut nicht pauschal.
Phishing täuscht Benutzer.
Social Engineering manipuliert Menschen.
Malware ist Schadsoftware.
Wurm verbreitet sich selbstständig.
Trojaner tarnt sich.
Ransomware verschlüsselt oder sperrt.
DoS greift Verfügbarkeit an.
DDoS ist verteilter DoS.
MitM sitzt zwischen Kommunikationspartnern.
Sniffing kann Analyse oder Angriff sein.
Spoofing täuscht Identität vor.
Brute Force probiert systematisch.
Credential Stuffing nutzt geleakte Zugangsdaten.
SQL Injection greift Datenbankabfragen an.
XSS greift Browserbenutzer an.
Zero-Day ist schwer planbar.
Supply Chain betrifft Lieferwege.
Insider können intern Schaden verursachen.
Patchmanagement schließt bekannte Lücken.
Hardening reduziert Angriffsfläche.
IDS erkennt.
IPS blockiert zusätzlich.
Backup hilft bei Wiederherstellung.
Logs vor dem Vorfall aktivieren.
Incident Response vorbereiten.
# 16.2 Malware, Ransomware und Schadsoftware im Detail
Malware ist ein Sammelbegriff für Schadsoftware.
Malware kann Systeme beschädigen,
Daten ausspähen,
Zugänge stehlen,
Dateien verschlüsseln,
Systeme fernsteuern
oder Dienste stören.
Typische Malware-Arten:
- Virus
- Wurm
- Trojaner
- Ransomware
- Spyware
- Keylogger
- Rootkit
- Botnet-Client
- Cryptominer
- Adware
- Backdoor
Merksatz:
Malware ist Software mit schädlicher oder unerwünschter Funktion.
---
**Warum Malware gefährlich ist**
Malware kann verschiedene Schutzziele verletzen.
Vertraulichkeit:
Daten werden ausgespäht.
Passwörter werden gestohlen.
interne Informationen fließen ab.
Integrität:
Dateien werden verändert.
Systeme werden manipuliert.
Logs werden gelöscht.
Verfügbarkeit:
Systeme werden verschlüsselt.
Dienste fallen aus.
Dateien sind nicht mehr nutzbar.
Merksatz:
Malware kann Vertraulichkeit,
Integrität
und Verfügbarkeit gleichzeitig angreifen.
---
**Typische Infektionswege**
Malware gelangt häufig auf Systeme durch:
E-Mail-Anhänge
Phishing-Links
manipulierte Webseiten
unsichere Downloads
gecrackte Software
infizierte USB-Sticks
ungepatchte Schwachstellen
kompromittierte Updates
unsichere Makros
Remote-Zugänge
gestohlene Zugangsdaten
Supply-Chain-Angriffe
Merksatz:
Malware kommt oft über Menschen,
Schwachstellen
oder unsichere Softwarequellen ins System.
---
**Virus**
Ein Virus ist Schadsoftware,
die sich an Dateien oder Programme anhängt.
Er wird meist aktiv,
wenn die infizierte Datei ausgeführt wird.
Typische Merkmale:
braucht oft eine Wirtsdatei
verbreitet sich durch Weitergabe infizierter Dateien
kann Dateien verändern oder beschädigen
kann weitere Schadfunktionen nachladen
Merksatz:
Ein Virus hängt sich an Dateien oder Programme.
---
**Wurm**
Ein Wurm ist Schadsoftware,
die sich selbstständig verbreiten kann.
Er nutzt häufig:
Netzwerkschwachstellen
unsichere Dienste
offene Ports
ungepatchte Systeme
schwache Zugangsdaten
Gefahr:
sehr schnelle Ausbreitung im Netzwerk
Merksatz:
Ein Wurm verbreitet sich selbstständig über Systeme oder Netzwerke.
---
**Virus und Wurm vergleichen**
| Merkmal | Virus | Wurm |
|---|---|---|
| Verbreitung | meist über infizierte Datei | selbstständig über Netzwerk |
| braucht Wirtsdatei | häufig ja | nicht zwingend |
| Tempo | oft langsamer | oft schnell |
| typisches Risiko | Dateiinfektion | Massenausbreitung |
Merksatz:
Virus braucht oft Hilfe.
Wurm verbreitet sich selbst.
---
**Trojaner**
Ein Trojaner tarnt sich als nützliches oder harmloses Programm.
Beispiele:
angeblicher Installer
gefälschtes Update
gecrackte Software
scheinbares Tool
manipuliertes Dokument
vermeintlicher Codec
Mögliche Schadfunktionen:
Zugangsdaten stehlen
Backdoor öffnen
weitere Malware nachladen
System fernsteuerbar machen
Daten ausspähen
Merksatz:
Ein Trojaner täuscht Nützlichkeit vor,
enthält aber Schadfunktionen.
---
**Backdoor**
Eine Backdoor ist ein versteckter Zugang zu einem System.
Angreifer nutzen Backdoors,
um später erneut Zugriff zu bekommen.
Beispiele:
versteckter Benutzer
geöffneter Port
manipulierte Systemdatei
geheimer Fernzugriff
Schadsoftware mit Steuerkanal
Merksatz:
Backdoor = versteckter Hintereingang.
---
**Ransomware**
Ransomware ist Schadsoftware,
die Daten verschlüsselt
oder Systeme sperrt
und anschließend Lösegeld fordert.
Typische Folgen:
Dateien nicht mehr nutzbar
Server nicht verfügbar
Produktionsausfall
Datenabfluss
Erpressung
hohe Wiederherstellungskosten
Vertrauensverlust
Merksatz:
Ransomware greift besonders die Verfügbarkeit an
und oft zusätzlich die Vertraulichkeit.
---
**Ransomware-Ablauf vereinfacht**
Ein typischer Ablauf:
1. Erstzugriff über Phishing,
Schwachstelle
oder Zugangsdaten.
2. Angreifer verschafft sich weitere Rechte.
3. Angreifer bewegt sich im Netzwerk.
4. Backups werden gesucht oder gelöscht.
5. Daten werden kopiert.
6. Systeme und Dateien werden verschlüsselt.
7. Lösegeldforderung erscheint.
Merksatz:
Ransomware ist oft kein einzelner Moment,
sondern eine Angriffskette.
---
**Double Extortion**
Double Extortion bedeutet:
Angreifer verschlüsseln Daten
und
drohen zusätzlich mit Veröffentlichung gestohlener Daten.
Dadurch wird nicht nur Verfügbarkeit,
sondern auch Vertraulichkeit angegriffen.
Merksatz:
Double Extortion kombiniert Verschlüsselung und Datenabfluss.
---
**Schutz vor Ransomware**
Wichtige Schutzmaßnahmen:
regelmäßige Backups
Immutable Backups
Offline-Backups
Restore-Tests
Patchmanagement
EDR
MFA
Least Privilege
Netzwerksegmentierung
Makros einschränken
keine lokalen Adminrechte
E-Mail-Schutz
Monitoring
schnelle Isolation infizierter Systeme
Merksatz:
Gegen Ransomware helfen vor allem Backups,
Rechtebegrenzung,
Segmentierung
und schnelle Reaktion.
---
**Warum Backups gegen Ransomware wichtig sind**
Wenn Daten verschlüsselt wurden,
ist Wiederherstellung oft der wichtigste Weg zurück.
Aber Backups helfen nur,
wenn sie:
vorhanden sind
aktuell genug sind
nicht mitverschlüsselt wurden
nicht gelöscht wurden
wiederherstellbar sind
regelmäßig getestet wurden
getrennt geschützt sind
Merksatz:
Backup ist nur dann Schutz,
wenn Restore funktioniert.
---
**Immutable Backup bei Ransomware**
Immutable Backup bedeutet:
Backup kann für eine festgelegte Zeit nicht verändert oder gelöscht werden.
Vorteile:
Schutz vor Angreifern mit Adminzugang
Schutz vor versehentlicher Löschung
Schutz vor Ransomware
bessere Wiederherstellungschance
Merksatz:
Immutable Backups erschweren das Löschen oder Manipulieren von Sicherungen.
---
**Spyware**
Spyware ist Schadsoftware,
die Informationen heimlich sammelt.
Mögliche Ziele:
Passwörter
Browserdaten
E-Mails
Tastatureingaben
Bildschirmaufnahmen
Dateien
Nutzungsverhalten
Zugangstokens
Merksatz:
Spyware spioniert Daten und Verhalten aus.
---
**Keylogger**
Ein Keylogger zeichnet Tastatureingaben auf.
Ziele:
Passwörter
Zugangsdaten
Kreditkartendaten
Nachrichten
interne Informationen
Keylogger können sein:
Software
Hardware
Bestandteil anderer Malware
Merksatz:
Keylogger stehlen Eingaben direkt an der Tastatur.
---
**Rootkit**
Ein Rootkit versteckt Schadsoftware oder Angreiferaktivitäten tief im System.
Ziele:
Erkennung verhindern
Kontrolle behalten
Prozesse verstecken
Dateien verstecken
Logs manipulieren
Sicherheitssoftware umgehen
Rootkits sind besonders kritisch,
weil sie schwer zu erkennen und zu entfernen sein können.
Merksatz:
Rootkits verstecken Angriffe tief im System.
---
**Botnet-Client**
Ein Botnet-Client ist ein infiziertes System,
das von Angreifern ferngesteuert wird.
Viele solcher Systeme bilden ein Botnet.
Nutzung:
DDoS-Angriffe
Spamversand
Credential Stuffing
Malware-Verteilung
Cryptomining
Proxy-Missbrauch
Merksatz:
Botnet = viele fremdgesteuerte infizierte Systeme.
---
**Cryptominer**
Ein Cryptominer missbraucht Rechenleistung,
um Kryptowährung zu berechnen.
Folgen:
hohe CPU- oder GPU-Last
hohe Stromkosten
langsame Systeme
Überhitzung
Cloud-Kostenanstieg
verringerte Systemleistung
Merksatz:
Cryptominer stiehlt Rechenleistung.
---
**Adware**
Adware zeigt unerwünschte Werbung an
oder verändert Browser- und Systemeinstellungen.
Mögliche Folgen:
störende Werbung
Browserumleitungen
Tracking
Installation weiterer unerwünschter Software
reduzierte Benutzerfreundlichkeit
Merksatz:
Adware ist oft weniger zerstörerisch,
aber trotzdem unerwünscht und riskant.
---
**Malware-Erkennung**
Malware kann erkannt werden durch:
Antivirus
EDR
ungewöhnliche Prozesse
ungewöhnliche Netzwerkverbindungen
hohe CPU-Last
geänderte Dateien
verdächtige Autostarts
Warnungen im SIEM
auffällige DNS-Anfragen
ungewöhnliche Loginversuche
bekannte Signaturen
Verhaltensanalyse
Merksatz:
Malware-Erkennung kombiniert Signaturen,
Verhalten
und Monitoring.
---
**Signaturbasierte Erkennung**
Signaturbasierte Erkennung nutzt bekannte Muster.
Beispiel:
bekannte Schadsoftware-Datei
bekannte Hashwerte
bekannte Codebestandteile
bekannte Angriffsmuster
Vorteil:
gut gegen bekannte Malware
Nachteil:
schwächer gegen neue oder veränderte Malware
Merksatz:
Signaturen erkennen Bekanntes.
---
**Verhaltensbasierte Erkennung**
Verhaltensbasierte Erkennung achtet auf verdächtiges Verhalten.
Beispiele:
viele Dateien werden schnell verändert
Prozess startet ungewöhnliche Befehle
Programm öffnet unbekannte Netzwerkverbindung
Benutzerkonto greift plötzlich auf viele Systeme zu
Skript lädt ausführbare Datei nach
Vorteil:
kann auch neue oder veränderte Angriffe erkennen
Merksatz:
Verhaltenserkennung erkennt Auffälligkeiten,
auch wenn die Datei noch unbekannt ist.
---
**Antivirus**
Antivirus-Software erkennt und blockiert bekannte Schadsoftware.
Typische Funktionen:
Dateiprüfung
Echtzeitschutz
Signaturprüfung
Quarantäne
Scans
Erkennung bekannter Malware
Grenze:
Antivirus allein reicht nicht als Sicherheitskonzept.
Merksatz:
Antivirus ist wichtig,
aber nur eine Schutzschicht.
---
**EDR**
EDR steht für:
Endpoint Detection and Response
EDR überwacht Endgeräte stärker als klassischer Antivirus.
Typische Funktionen:
Prozessüberwachung
Verhaltensanalyse
Angriffserkennung
Isolation eines Endgeräts
Untersuchung von Vorfällen
zentrale Auswertung
Reaktionsmaßnahmen
Merksatz:
EDR hilft,
Angriffe auf Endgeräten zu erkennen und darauf zu reagieren.
---
**Quarantäne**
Quarantäne bedeutet:
Eine verdächtige oder schädliche Datei wird isoliert.
Ziel:
Datei kann nicht weiter ausgeführt werden.
Schaden wird begrenzt.
Datei kann später untersucht werden.
Merksatz:
Quarantäne isoliert verdächtige Dateien.
---
**Isolation eines Endgeräts**
Wenn ein Gerät infiziert ist,
sollte es schnell isoliert werden.
Isolation bedeutet:
vom Netzwerk trennen
WLAN deaktivieren
Netzwerkkabel ziehen
EDR-Isolation nutzen
VPN trennen
Zugriff auf Server sperren
Wichtig:
Nicht unüberlegt ausschalten,
wenn forensische Analyse benötigt wird.
Merksatz:
Infizierte Systeme schnell vom Netz trennen,
aber Vorgehen dokumentieren.
---
**Malware und Rechte**
Malware hat oft nur die Rechte des Benutzers,
unter dem sie ausgeführt wird.
Wenn Benutzer lokale Adminrechte haben,
kann Malware mehr Schaden anrichten.
Schutz:
keine lokalen Adminrechte für Alltag
Least Privilege
getrennte Admin-Konten
Applikationskontrolle
Rechteprüfung
Merksatz:
Weniger Benutzerrechte bedeuten weniger Malware-Schaden.
---
**Malware und Netzwerksegmentierung**
Wenn ein System infiziert ist,
darf sich Malware nicht frei im Netzwerk bewegen können.
Segmentierung hilft durch Trennung von:
Clientnetz
Servernetz
Managementnetz
Backupnetz
Produktionsnetz
Gastnetz
IoT-Netz
Merksatz:
Segmentierung begrenzt Ausbreitung.
---
**Laterale Bewegung**
Laterale Bewegung bedeutet:
Angreifer oder Malware bewegen sich nach dem ersten Zugriff weiter im Netzwerk.
Beispiele:
Zugriff von Client auf Dateiserver
Zugriff auf weitere Clients
Auslesen von Zugangsdaten
Angriff auf Domain Controller
Zugriff auf Backups
Angriff auf Managementsysteme
Merksatz:
Laterale Bewegung ist Ausbreitung nach dem Erstzugriff.
---
**Schutz vor lateraler Bewegung**
Maßnahmen:
Netzwerksegmentierung
Firewall zwischen Netzbereichen
Least Privilege
keine lokalen Adminrechte
getrennte Admin-Konten
MFA
EDR
Monitoring
sichere Passworthygiene
Zugriff auf Adminfreigaben begrenzen
Merksatz:
Nach dem ersten kompromittierten System darf nicht das ganze Netz offen sein.
---
**Makros als Risiko**
Office-Makros können nützlich sein,
werden aber oft für Malware missbraucht.
Risiken:
Makro lädt Schadsoftware nach
Makro führt Befehle aus
Makro startet Skripte
Benutzer aktiviert Inhalt aus Täuschung
Schutz:
Makros aus dem Internet blockieren
nur signierte Makros erlauben
Benutzer schulen
E-Mail-Anhänge prüfen
Office-Härtung nutzen
Merksatz:
Makros nur erlauben,
wenn sie wirklich benötigt und vertrauenswürdig sind.
---
**Skripte als Risiko**
Skripte können für Administration nützlich sein,
aber auch von Angreifern missbraucht werden.
Beispiele:
PowerShell
Bash
JavaScript
VBScript
Python
Batch-Dateien
Risiken:
Malware nachladen
Dateien verschlüsseln
Systeme ausspähen
Befehle automatisieren
Sicherheitssoftware umgehen
Merksatz:
Skripte sind mächtig und brauchen Kontrolle.
---
**Application Control**
Application Control bedeutet:
Es wird gesteuert,
welche Programme ausgeführt werden dürfen.
Beispiele:
nur freigegebene Anwendungen
keine Ausführung aus Download-Ordner
keine unbekannten Skripte
keine unsignierten Programme
Blockierung bekannter Risikopfade
Merksatz:
Application Control verhindert,
dass beliebige Programme starten.
---
**Allowlisting**
Allowlisting bedeutet:
Nur ausdrücklich erlaubte Programme oder Aktionen sind zugelassen.
Vorteil:
sehr restriktiv
reduziert unbekannte Schadsoftware
Nachteil:
höherer Verwaltungsaufwand
kann Benutzer einschränken
muss gut gepflegt werden
Merksatz:
Allowlisting erlaubt nur Bekanntes und Freigegebenes.
---
**Blocklisting**
Blocklisting bedeutet:
Bekannte schädliche Programme oder Aktionen werden verboten.
Vorteil:
einfacher einzuführen
Nachteil:
neue oder unbekannte Malware kann durchkommen
Merksatz:
Blocklisting verbietet Bekanntes,
erlaubt aber Unbekanntes oft weiterhin.
---
**Patchmanagement gegen Malware**
Viele Malware-Angriffe nutzen bekannte Sicherheitslücken.
Patchmanagement schützt,
indem Updates geplant und eingespielt werden.
Betroffen sind:
Betriebssysteme
Browser
Office-Programme
Serverdienste
VPN-Gateways
Firewalls
Anwendungen
Firmware
Container-Images
Merksatz:
Ungepatchte Systeme sind leichte Ziele.
---
**E-Mail-Schutz gegen Malware**
Viele Malware-Angriffe beginnen per E-Mail.
Schutzmaßnahmen:
Spamfilter
Malware-Scanner
Linkprüfung
Anhangprüfung
Blockierung gefährlicher Dateitypen
Makroregeln
Absenderprüfung
SPF,
DKIM
und DMARC
Benutzerschulung
Merksatz:
E-Mail-Schutz ist eine wichtige erste Verteidigungslinie.
---
**Download-Schutz**
Downloads können Malware enthalten.
Schutzmaßnahmen:
nur vertrauenswürdige Quellen
Signaturen prüfen
Hashwerte prüfen
keine gecrackte Software
Browser-Schutz
EDR
Rechtebegrenzung
Softwareverteilung zentral steuern
Merksatz:
Software nur aus vertrauenswürdigen Quellen installieren.
---
**USB-Geräte als Risiko**
USB-Geräte können Malware verbreiten oder Daten stehlen.
Risiken:
infizierter USB-Stick
manipuliertes Eingabegerät
Datenabfluss
automatische Ausführung
unbekannte Geräte
Schutz:
USB-Richtlinien
Gerätekontrolle
AutoRun deaktivieren
Schulung
nur freigegebene Geräte
Verschlüsselung
DLP je nach Umgebung
Merksatz:
Unbekannte USB-Geräte nicht vertrauen.
---
**DLP**
DLP steht für:
Data Loss Prevention
DLP soll verhindern,
dass sensible Daten unkontrolliert abfließen.
Beispiele:
Blockieren von Uploads
Warnung bei sensiblen Daten in E-Mail
Schutz vor Kopieren auf USB
Kontrolle von Cloud-Freigaben
Erkennung von Kreditkartennummern oder Personaldaten
Merksatz:
DLP schützt vor unerwünschtem Datenabfluss.
---
**Malware und Cloud**
Auch Cloud-Umgebungen können von Malware betroffen sein.
Beispiele:
infizierte VM
kompromittierter Container
Malware in Storage
gestohlene API-Schlüssel
Cryptomining in Cloud-Instanzen
Ransomware in synchronisiertem Cloud-Speicher
Schutz:
IAM
MFA
EDR für Cloud-VMs
sichere Images
Container-Scanning
Security Groups
Logging
Kostenalarme
Merksatz:
Cloud schützt nicht automatisch vor Malware.
---
**Malware und Container**
Container können Schadsoftware enthalten,
wenn Images unsicher sind.
Risiken:
manipuliertes Image
veraltete Bibliothek
unsichere Registry
eingebettete Secrets
Container läuft mit zu vielen Rechten
unsichere Runtime-Konfiguration
Schutz:
Images scannen
nur vertrauenswürdige Registries
minimale Images
keine Secrets im Image
keine unnötigen Rechte
regelmäßige Updates
Merksatz:
Container-Images müssen wie Software geprüft werden.
---
**Malware und Backups**
Backups können ebenfalls Malware enthalten.
Problem:
Wenn ein Backup bereits infizierte Dateien enthält,
kann Malware nach Restore wieder aktiv werden.
Wichtig:
Backup-Zeitpunkt wählen
Infektionszeitpunkt bestimmen
Restore testen
Systeme vor Wiederanbindung prüfen
Backups nicht ungeprüft zurückspielen
Merksatz:
Restore nach Malware braucht sorgfältige Prüfung.
---
**Erste Maßnahmen bei Malware-Verdacht**
Sinnvolle Schritte:
1. Ruhe bewahren.
2. System vom Netzwerk isolieren.
3. Zeitpunkt und Symptome dokumentieren.
4. IT-Sicherheit oder Verantwortliche informieren.
5. Keine Beweise unnötig löschen.
6. Logs sichern.
7. Betroffene Konten prüfen.
8. Ausbreitung prüfen.
9. Ursache analysieren.
10. Bereinigung oder Neuaufbau planen.
11. Wiederherstellung testen.
12. Maßnahmen verbessern.
Merksatz:
Bei Malware zählt schnelle Eindämmung und saubere Dokumentation.
---
**Neuinstallation statt Bereinigung**
Bei schwerer Kompromittierung ist Neuinstallation oft sicherer als reine Bereinigung.
Gründe:
Rootkits schwer erkennbar
Backdoors möglich
Systemdateien manipuliert
Rechte verändert
Logs gelöscht
Vertrauen ins System verloren
Merksatz:
Ein kompromittiertes System ist oft nicht mehr vollständig vertrauenswürdig.
---
**Typische Malware-Symptome**
Mögliche Anzeichen:
System wird sehr langsam
unbekannte Prozesse
hohe CPU-Last
viele Netzwerkverbindungen
Dateien verschwinden
Dateien werden verschlüsselt
Antivirus meldet Fund
ungewöhnliche Popups
Browser leitet um
Benutzerkonto verhält sich auffällig
neue Autostart-Einträge
unerklärliche Cloud-Kosten
Merksatz:
Malware zeigt sich oft durch ungewöhnliches Verhalten.
---
**Typische Schutzmaßnahmen gegen Malware**
Wichtige Maßnahmen:
Patchmanagement
Antivirus
EDR
E-Mail-Schutz
MFA
Least Privilege
keine lokalen Adminrechte
Makro-Schutz
Application Control
Netzwerksegmentierung
regelmäßige Backups
Immutable Backups
Restore-Tests
Monitoring
Logging
Benutzerschulung
Incident Response
Merksatz:
Malware-Schutz braucht mehrere Schutzschichten.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist Malware?
- Was ist der Unterschied zwischen Virus und Wurm?
- Was ist ein Trojaner?
- Was ist Ransomware?
- Warum ist Ransomware besonders gefährlich?
- Was bedeutet Double Extortion?
- Wie schützt man sich vor Ransomware?
- Warum sind Backups gegen Ransomware wichtig?
- Was ist Spyware?
- Was ist ein Keylogger?
- Was ist ein Rootkit?
- Was ist ein Botnet?
- Was ist ein Cryptominer?
- Was ist der Unterschied zwischen Antivirus und EDR?
- Was bedeutet Quarantäne?
- Warum ist Netzwerksegmentierung gegen Malware wichtig?
- Was ist laterale Bewegung?
- Warum sind Makros ein Risiko?
- Was ist Application Control?
- Was ist DLP?
- Warum reicht Antivirus allein nicht aus?
---
**Typische Prüfungsfallen**
Malware ist ein Oberbegriff.
Virus und Wurm nicht verwechseln.
Wurm verbreitet sich selbstständig.
Trojaner tarnt sich als nützlich.
Ransomware betrifft Verfügbarkeit
und oft Vertraulichkeit.
Double Extortion bedeutet Verschlüsselung plus Datenabfluss.
Backup verhindert Ransomware nicht,
ermöglicht aber Wiederherstellung.
Replikation ersetzt kein Backup.
Backup muss vor Manipulation geschützt sein.
Antivirus allein reicht nicht.
EDR erkennt und reagiert umfassender.
Quarantäne bedeutet Isolation einer Datei.
Infiziertes Gerät schnell isolieren.
Lokale Adminrechte erhöhen Schaden.
Segmentierung begrenzt Ausbreitung.
Laterale Bewegung ist Bewegung im Netzwerk nach Erstzugriff.
Makros und Skripte sind häufige Angriffsmittel.
Allowlisting ist strenger als Blocklisting.
Cloud ist nicht automatisch frei von Malware.
Container-Images müssen geprüft werden.
Restore nach Malware braucht Vorsicht.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| Malware | Schadsoftware |
| Virus | Schadsoftware mit Wirtsdatei |
| Wurm | selbstverbreitende Schadsoftware |
| Trojaner | getarnte Schadsoftware |
| Backdoor | versteckter Zugang |
| Ransomware | erpresserische Verschlüsselung oder Sperrung |
| Double Extortion | Verschlüsselung plus Datenabfluss |
| Spyware | Spionagesoftware |
| Keylogger | zeichnet Tastatureingaben auf |
| Rootkit | versteckt und verankert Schadsoftware |
| Botnet | Netzwerk fremdgesteuerter Systeme |
| Botnet-Client | infiziertes ferngesteuertes System |
| Cryptominer | missbraucht Rechenleistung |
| Adware | unerwünschte Werbesoftware |
| Antivirus | Schutz gegen bekannte Schadsoftware |
| EDR | Endpoint Detection and Response |
| Quarantäne | Isolation verdächtiger Dateien |
| Isolation | Trennung eines Systems vom Netzwerk |
| laterale Bewegung | Ausbreitung im Netzwerk |
| Makro | automatisierte Funktion in Dokumenten |
| Application Control | Steuerung erlaubter Programme |
| Allowlisting | nur Erlaubtes zulassen |
| Blocklisting | Bekanntes verbieten |
| DLP | Data Loss Prevention |
| Restore | Wiederherstellung |
| Immutable Backup | unveränderliches Backup |
| Incident Response | Reaktion auf Sicherheitsvorfall |
---
**IHK-sichere Kurzformulierung**
Malware ist ein Oberbegriff für Schadsoftware wie Viren, Würmer, Trojaner, Ransomware, Spyware, Keylogger, Rootkits, Botnet-Clients und Cryptominer. Ein Virus hängt sich häufig an Dateien oder Programme an, während sich ein Wurm selbstständig über Netzwerke verbreiten kann. Ein Trojaner tarnt sich als nützliches Programm, enthält aber Schadfunktionen. Ransomware verschlüsselt Daten oder sperrt Systeme und fordert Lösegeld. Schutzmaßnahmen gegen Malware sind Patchmanagement, Antivirus, EDR, MFA, Least Privilege, Netzwerksegmentierung, Makroschutz, Application Control, E-Mail-Schutz, Backups, Immutable Backups, Restore-Tests, Logging, Monitoring und Benutzerschulung.
---
**Merksätze**
Malware ist Schadsoftware.
Virus hängt sich an Dateien.
Wurm verbreitet sich selbstständig.
Trojaner täuscht Nützlichkeit vor.
Backdoor ist versteckter Zugang.
Ransomware verschlüsselt oder sperrt.
Double Extortion = Verschlüsselung plus Datenabfluss.
Spyware spioniert.
Keylogger stehlen Tastatureingaben.
Rootkits verstecken Angriffe.
Botnet besteht aus fremdgesteuerten Systemen.
Cryptominer stiehlt Rechenleistung.
Malware kann alle Schutzziele verletzen.
Infektionswege sind oft E-Mail,
Download,
Schwachstelle
oder Zugangsdaten.
Antivirus erkennt vor allem bekannte Malware.
EDR erkennt und reagiert tiefer.
Signaturen erkennen Bekanntes.
Verhaltenserkennung erkennt Auffälligkeiten.
Quarantäne isoliert verdächtige Dateien.
Infizierte Systeme schnell isolieren.
Weniger Rechte bedeuten weniger Schaden.
Segmentierung begrenzt Ausbreitung.
Laterale Bewegung verhindern.
Makros aus unsicheren Quellen blockieren.
Skripte kontrollieren.
Allowlisting ist strenger als Blocklisting.
Patchmanagement schließt bekannte Lücken.
E-Mail-Schutz ist wichtig.
USB-Geräte nicht blind vertrauen.
DLP schützt vor Datenabfluss.
Cloud braucht ebenfalls Malware-Schutz.
Container-Images prüfen.
Backups können infizierte Daten enthalten.
Restore nach Malware sorgfältig planen.
Neuaufbau kann sicherer sein als Bereinigung.
Malware-Schutz braucht mehrere Schichten.
# 16.3 Phishing, Social Engineering und Identitätsangriffe
Viele Angriffe beginnen nicht mit einer technischen Schwachstelle,
sondern mit Täuschung.
Angreifer versuchen,
Menschen dazu zu bringen,
- Zugangsdaten einzugeben
- Links anzuklicken
- Anhänge zu öffnen
- MFA-Anfragen zu bestätigen
- Geld zu überweisen
- vertrauliche Informationen preiszugeben
- Schadsoftware auszuführen
- Sicherheitsregeln zu umgehen
Merksatz:
Social Engineering greift Menschen und Prozesse an,
nicht nur Technik.
---
**Warum Phishing so gefährlich ist**
Phishing ist gefährlich,
weil es normale Arbeitsabläufe ausnutzt.
Beispiele:
Rechnung prüfen
Paketbenachrichtigung öffnen
Passwort zurücksetzen
Cloud-Datei ansehen
Bewerbung herunterladen
Supportanfrage beantworten
dringende Chef-Anweisung befolgen
Angreifer nutzen dabei:
Zeitdruck
Vertrauen
Neugier
Angst
Hilfsbereitschaft
Autorität
Gewohnheit
Merksatz:
Phishing wirkt,
weil es menschliches Verhalten ausnutzt.
---
**Phishing**
Phishing ist der Versuch,
Benutzer durch Täuschung zur Preisgabe vertraulicher Informationen zu bringen.
Ziele:
Passwörter
MFA-Codes
Zugangstokens
Bankdaten
Kundendaten
interne Informationen
Cloud-Zugänge
VPN-Zugänge
E-Mail-Konten
Typische Mittel:
gefälschte E-Mail
gefälschte Webseite
gefälschtes Loginformular
gefälschte Rechnung
gefälschte Sicherheitswarnung
gefälschter Cloud-Link
Merksatz:
Phishing täuscht Benutzer,
damit sie selbst etwas Gefährliches tun.
---
**Typischer Phishing-Ablauf**
Ein typischer Ablauf:
1. Benutzer erhält eine täuschend echte Nachricht.
2. Nachricht erzeugt Druck oder Interesse.
3. Benutzer klickt Link oder öffnet Anhang.
4. Gefälschte Webseite fragt Zugangsdaten ab.
5. Benutzer gibt Daten ein.
6. Angreifer nutzt die Zugangsdaten.
7. Konto wird übernommen oder Malware wird ausgeführt.
Merksatz:
Phishing ist oft der Einstieg in größere Angriffe.
---
**Phishing per E-Mail**
E-Mail-Phishing ist besonders verbreitet.
Typische Merkmale:
angebliche Rechnung
angebliche Lieferung
angebliche Kontosperrung
angebliche Passwortwarnung
angebliche Cloud-Dateifreigabe
angebliche Bewerbung
angebliche Sicherheitsmeldung
angeblicher Chefauftrag
Merksatz:
E-Mail ist ein häufiger Einstiegspunkt für Angriffe.
---
**Phishing per SMS**
Phishing per SMS wird oft genannt:
Smishing
Typische Beispiele:
Paket konnte nicht zugestellt werden.
Konto wurde gesperrt.
Zahlung erforderlich.
Sicherheitsprüfung notwendig.
Link zur Sendungsverfolgung.
Risiko:
Benutzer klicken am Smartphone oft schneller auf Links.
Merksatz:
Smishing ist Phishing über SMS.
---
**Phishing per Telefon**
Phishing per Telefon wird oft genannt:
Vishing
Dabei ruft ein Angreifer an
und gibt sich zum Beispiel aus als:
IT-Support
Bankmitarbeiter
Chef
Dienstleister
Behörde
Sicherheitsabteilung
Ziel:
Zugangsdaten erhalten
MFA-Code erhalten
Fernwartung starten
Überweisung auslösen
interne Informationen bekommen
Merksatz:
Vishing ist Phishing per Telefon.
---
**Phishing über Messenger**
Angriffe können auch über Messenger laufen.
Beispiele:
angebliche Nachricht von Kollegen
gefälschter Supportkontakt
Link zu Cloud-Datei
dringende Zahlungsanweisung
angebliches Problem mit Benutzerkonto
QR-Code zu Loginseite
Merksatz:
Phishing ist nicht auf E-Mail beschränkt.
---
**QR-Phishing**
QR-Phishing wird auch Quishing genannt.
Dabei führt ein QR-Code auf eine gefälschte Webseite.
Risiko:
Link ist vor dem Scannen schwer erkennbar.
Smartphone zeigt Adresse oft nur verkürzt.
Benutzer erwarten bei QR-Codes schnelle Aktion.
Beispiele:
gefälschter Paketaufkleber
falsches WLAN-Portal
falsche Zahlungsseite
gefälschter Microsoft-Login
Plakat oder E-Mail mit QR-Code
Merksatz:
QR-Code nicht automatisch vertrauen.
---
**Spear Phishing**
Spear Phishing ist gezieltes Phishing gegen bestimmte Personen,
Teams
oder Organisationen.
Angreifer nutzen oft Informationen wie:
Name
Firma
Rolle
laufendes Projekt
bekannte Kollegen
verwendete Dienste
Signatur
Lieferanten
interne Begriffe
Dadurch wirkt die Nachricht glaubwürdiger.
Merksatz:
Spear Phishing ist gezielter und glaubwürdiger als Massenphishing.
---
**Whaling**
Whaling ist Phishing gegen besonders wichtige Personen.
Ziele:
Geschäftsführung
Finanzleitung
Personalabteilung
Administratoren
Projektleitung
Geschäftsbereichsleitung
Warum gefährlich?
Diese Personen haben oft besondere Rechte,
Informationen
oder Entscheidungsbefugnisse.
Merksatz:
Whaling richtet sich gegen besonders wertvolle Ziele.
---
**CEO-Fraud**
CEO-Fraud ist eine Betrugsform,
bei der Angreifer sich als Geschäftsführung oder Vorgesetzte ausgeben.
Typisches Ziel:
schnelle Überweisung
Änderung von Bankdaten
Herausgabe vertraulicher Informationen
Einkauf von Gutscheinkarten
Umgehung normaler Freigabeprozesse
Typische Merkmale:
sehr dringend
vertraulich
keine Rückfrage erwünscht
ungewöhnliche Zahlungsdaten
außerhalb normaler Prozesse
Merksatz:
CEO-Fraud nutzt Autorität und Zeitdruck.
---
**Business E-Mail Compromise**
Business E-Mail Compromise wird oft abgekürzt:
BEC
Dabei wird ein geschäftliches E-Mail-Konto kompromittiert
oder täuschend echt nachgeahmt.
Ziele:
Rechnungsbetrug
Änderung von Kontodaten
interne Täuschung
Phishing aus echtem Konto
Zugriff auf Geschäftskommunikation
Merksatz:
BEC nutzt geschäftliche E-Mail-Kommunikation für Betrug.
---
**Fake Login**
Ein Fake Login ist eine gefälschte Anmeldeseite.
Sie sieht oft aus wie:
Microsoft 365
Google
VPN-Portal
Cloud-Speicher
Bank
Paketdienst
Unternehmensportal
Ziel:
Zugangsdaten abgreifen
Merksatz:
Gefälschte Loginseiten sind ein Kernmittel von Phishing.
---
**Credential Harvesting**
Credential Harvesting bedeutet:
Zugangsdaten werden gesammelt.
Beispiele:
gefälschte Loginseite
Keylogger
Phishing-Mail
manipulierte Anwendung
Malware
unsichere Datenbank
abgegriffene Browserdaten
Merksatz:
Credential Harvesting sammelt Zugangsdaten für spätere Angriffe.
---
**Session Hijacking**
Session Hijacking bedeutet:
Ein Angreifer übernimmt eine bestehende Sitzung.
Ziel:
Zugriff erhalten,
ohne das Passwort erneut eingeben zu müssen.
Mögliche Mittel:
gestohlene Session-Cookies
gestohlene Tokens
Malware im Browser
unsichere Verbindung
XSS
kompromittiertes Endgerät
Merksatz:
Session Hijacking greift die laufende Anmeldung an.
---
**MFA-Bypass**
MFA macht Angriffe schwerer,
aber nicht unmöglich.
Mögliche Angriffe:
MFA-Push-Fatigue
Phishing mit Echtzeit-Weiterleitung
gestohlene Session-Tokens
kompromittiertes Endgerät
Social Engineering beim Support
unsichere Ausnahmen
SIM-Swapping bei SMS-MFA
Merksatz:
MFA ist wichtig,
aber keine alleinige Schutzmaßnahme.
---
**MFA-Push-Fatigue**
MFA-Push-Fatigue bedeutet:
Angreifer lösen viele MFA-Push-Anfragen aus.
Ziel:
Benutzer bestätigt aus Versehen,
aus Gewohnheit
oder genervt.
Schutz:
Number Matching
klare Anzeige von Ort und Anwendung
Schulung
Meldeweg für unerwartete MFA-Anfragen
Rate Limiting
verdächtige Anfragen blockieren
Merksatz:
Unerwartete MFA-Anfragen niemals bestätigen.
---
**SIM-Swapping**
SIM-Swapping bedeutet:
Angreifer übernehmen die Mobilfunknummer eines Opfers.
Ziel:
SMS-Codes empfangen
Passwortzurücksetzung durchführen
Konten übernehmen
Schutz:
SMS-MFA möglichst vermeiden
App-basierte MFA oder Hardwaretoken nutzen
Mobilfunkkonto schützen
ungewöhnliche Netzverluste beachten
Merksatz:
SMS als MFA-Faktor ist schwächer als sichere Authenticator- oder Hardwarelösungen.
---
**Social Engineering**
Social Engineering ist die Manipulation von Menschen,
um Sicherheitsmaßnahmen zu umgehen.
Angreifer nutzen zum Beispiel:
Autorität
Dringlichkeit
Angst
Hilfsbereitschaft
Sympathie
Neugier
Gewohnheit
Vertraulichkeit
Merksatz:
Social Engineering nutzt Psychologie als Angriffsmittel.
---
**Pretexting**
Pretexting bedeutet:
Angreifer erfinden eine glaubwürdige Geschichte oder Rolle.
Beispiele:
angeblicher IT-Support
angeblicher neuer Mitarbeiter
angeblicher Dienstleister
angebliche Bank
angebliche Behörde
angeblicher Kunde
Ziel:
Vertrauen erzeugen
Informationen erhalten
Aktionen auslösen
Merksatz:
Pretexting arbeitet mit erfundener glaubwürdiger Rolle.
---
**Baiting**
Baiting bedeutet:
Angreifer legen einen Köder aus.
Beispiele:
USB-Stick mit Aufschrift „Gehälter“
kostenloser Download
angebliches Tool
Gutschein
Gewinnspiel
kostenlose Software
Ziel:
Benutzer soll etwas öffnen,
installieren
anschließen
oder Daten eingeben.
Merksatz:
Baiting nutzt Neugier oder Vorteilserwartung.
---
**Tailgating**
Tailgating bedeutet:
Eine unberechtigte Person folgt einer berechtigten Person in einen geschützten Bereich.
Beispiele:
Person folgt durch Sicherheitstür.
Person trägt angeblich schwere Kisten.
Person bittet freundlich,
die Tür aufzuhalten.
Merksatz:
Tailgating umgeht physische Zutrittskontrolle.
---
**Shoulder Surfing**
Shoulder Surfing bedeutet:
Angreifer beobachten Eingaben oder Bildschirme.
Beispiele:
Passwort beim Tippen ansehen
PIN am Automaten beobachten
Bildschirm im Zug mitlesen
MFA-Code ablesen
Schutz:
Sichtschutzfolie
Bildschirm sperren
Umgebung beachten
keine sensiblen Eingaben in unsicheren Umgebungen
Merksatz:
Shoulder Surfing nutzt Beobachtung.
---
**Dumpster Diving**
Dumpster Diving bedeutet:
Angreifer durchsuchen Müll oder entsorgte Unterlagen.
Ziele:
Passwörter
interne Dokumente
Netzwerkpläne
Rechnungen
Kundendaten
alte Datenträger
Notizzettel
Organigramme
Schutz:
Aktenvernichtung
sichere Datenträgervernichtung
Clean-Desk-Regel
Entsorgungsprozesse
Merksatz:
Auch entsorgte Informationen können sicherheitskritisch sein.
---
**Identitätsangriffe**
Identitätsangriffe richten sich gegen Benutzerkonten,
Rollen
und Anmeldungen.
Typische Angriffe:
Phishing
Brute Force
Credential Stuffing
Password Spraying
Session Hijacking
MFA-Missbrauch
Kontoübernahme
Rechteausweitung
Merksatz:
Wer Identität kontrolliert,
kontrolliert oft den Zugriff.
---
**Account Takeover**
Account Takeover bedeutet:
Ein Angreifer übernimmt ein Benutzerkonto.
Mögliche Folgen:
E-Mails lesen
interne Daten abrufen
Phishing aus echtem Konto senden
Dateien löschen
Rechte ausnutzen
weitere Konten angreifen
Regeln oder Weiterleitungen einrichten
Merksatz:
Kontoübernahme ist oft der Startpunkt für weitere Angriffe.
---
**Brute Force**
Brute Force bedeutet:
viele Passwörter werden systematisch ausprobiert.
Schutz:
MFA
Rate Limiting
starke Passwörter
Sperrmechanismen
Monitoring
keine Standardkonten
Passwortmanager
Merksatz:
Brute Force wird durch Begrenzung und MFA erschwert.
---
**Credential Stuffing**
Credential Stuffing bedeutet:
Angreifer nutzen geleakte Zugangsdaten aus anderen Diensten.
Beispiel:
Passwort aus altem Webshop-Leak
wird am Firmenportal ausprobiert.
Schutz:
keine Passwortwiederverwendung
MFA
Passwortmanager
Leak-Erkennung
riskante Loginversuche erkennen
Merksatz:
Credential Stuffing nutzt wiederverwendete Passwörter.
---
**Password Spraying**
Password Spraying bedeutet:
wenige häufige Passwörter werden gegen viele Konten getestet.
Beispiele:
Willkommen2026!
Sommer2026!
Passwort123!
Ziel:
Kontosperren vermeiden,
weil pro Konto nur wenige Versuche auftreten.
Merksatz:
Password Spraying verteilt wenige Passwörter auf viele Benutzer.
---
**Passwort-Wiederverwendung**
Passwort-Wiederverwendung bedeutet:
dasselbe Passwort wird bei mehreren Diensten genutzt.
Problem:
Wird ein Dienst kompromittiert,
können Angreifer das Passwort bei anderen Diensten ausprobieren.
Schutz:
Passwortmanager
eindeutige Passwörter
MFA
Schulung
Passwort-Leak-Prüfung
Merksatz:
Ein Passwort darf nicht mehrfach genutzt werden.
---
**Starke Passwörter**
Starke Passwörter sollten:
lang sein
nicht leicht erratbar sein
nicht wiederverwendet werden
nicht aus persönlichen Daten bestehen
nicht in Listen bekannter Passwörter vorkommen
Für viele Konten ist ein Passwortmanager sinnvoll.
Merksatz:
Länge und Einzigartigkeit sind wichtiger als komplizierte Merkhilfen.
---
**Passwortmanager**
Ein Passwortmanager hilft,
für jeden Dienst ein eigenes starkes Passwort zu verwenden.
Vorteile:
eindeutige Passwörter
lange Passwörter
weniger Wiederverwendung
Erkennung falscher Webseiten möglich
sicherere Speicherung als Notizzettel
Merksatz:
Passwortmanager unterstützt starke und eindeutige Passwörter.
---
**Account Lockout**
Account Lockout bedeutet:
Ein Konto wird nach mehreren fehlgeschlagenen Anmeldeversuchen gesperrt.
Vorteil:
Schutz vor Brute Force
Risiko:
Angreifer können viele Konten absichtlich sperren.
Deshalb sinnvoll kombinieren mit:
Rate Limiting
Risikoanalyse
MFA
Monitoring
differenzierten Sperrregeln
Merksatz:
Kontosperren helfen,
müssen aber sinnvoll eingestellt sein.
---
**Rate Limiting**
Rate Limiting begrenzt,
wie viele Anfragen oder Loginversuche in einer Zeit erlaubt sind.
Beispiele:
maximal 5 Loginversuche pro Minute
begrenzte API-Anfragen
Verzögerung nach Fehlversuchen
Merksatz:
Rate Limiting bremst automatisierte Angriffe.
---
**Captcha**
Captcha soll prüfen,
ob ein Mensch oder ein automatisiertes Programm handelt.
Einsatz:
Loginformulare
Registrierungen
Passwortzurücksetzung
öffentliche Formulare
Grenze:
Captchas sind keine vollständige Sicherheitsmaßnahme.
Merksatz:
Captcha erschwert Automatisierung,
ersetzt aber keine sichere Authentifizierung.
---
**Phishing-Erkennungsmerkmale**
Mögliche Warnzeichen:
ungewöhnlicher Absender
unerwarteter Anhang
dringende Aufforderung
Drohung mit Sperrung
ungewöhnliche Zahlungsaufforderung
Rechtschreib- oder Formatfehler
verkürzte Links
Domain passt nicht
Login wird über Link gefordert
vertrauliche Daten werden verlangt
Absenderadresse und Anzeigename passen nicht zusammen
Merksatz:
Bei Druck,
ungewöhnlichem Link
oder Datenabfrage vorsichtig sein.
---
**Links prüfen**
Bei Links prüfen:
passt die Domain?
ist die Verbindung HTTPS?
ist die Adresse ungewöhnlich lang?
gibt es Tippfehler in der Domain?
wird eine bekannte Marke nachgeahmt?
führt der Link über Weiterleitungen?
ist es ein verkürzter Link?
passt der Link zum erwarteten Dienst?
Merksatz:
Nicht der sichtbare Text zählt,
sondern das echte Ziel des Links.
---
**Anhänge prüfen**
Gefährliche Anhänge können sein:
ausführbare Dateien
Makro-Dokumente
Archive mit Passwort
angebliche Rechnungen
Skripte
ISO-Dateien
LNK-Dateien
HTML-Dateien
manipulierte PDFs
Merksatz:
Unerwartete Anhänge immer kritisch prüfen.
---
**Absender prüfen**
Bei E-Mails ist der Anzeigename leicht fälschbar.
Zu prüfen:
echte Absenderadresse
Domain
Antwortadresse
Signatur
Schreibstil
Kontext
ungewöhnliche Anfrage
SPF,
DKIM
DMARC-Ergebnis je nach System
Merksatz:
Anzeigename allein beweist nichts.
---
**SPF**
SPF steht für:
Sender Policy Framework
SPF legt fest,
welche Mailserver für eine Domain E-Mails senden dürfen.
Merksatz:
SPF prüft,
ob ein sendender Mailserver zur Domain passt.
---
**DKIM**
DKIM steht für:
DomainKeys Identified Mail
DKIM nutzt digitale Signaturen,
um zu prüfen,
ob eine E-Mail unterwegs verändert wurde
und ob sie zur sendenden Domain passt.
Merksatz:
DKIM signiert E-Mails kryptografisch.
---
**DMARC**
DMARC steht für:
Domain-based Message Authentication,
Reporting and Conformance
DMARC baut auf SPF und DKIM auf.
Es legt fest,
wie Empfänger mit E-Mails umgehen sollen,
die SPF oder DKIM nicht bestehen.
Merksatz:
DMARC gibt Richtlinien für den Umgang mit verdächtigen E-Mails.
---
**SPF, DKIM und DMARC einordnen**
| Technik | Zweck |
|---|---|
| SPF | prüft erlaubte sendende Mailserver |
| DKIM | prüft Signatur und Veränderung |
| DMARC | legt Richtlinie und Berichte fest |
Wichtig:
Diese Techniken helfen gegen E-Mail-Spoofing,
verhindern aber nicht jede Phishing-Mail.
Merksatz:
SPF,
DKIM
und DMARC verbessern E-Mail-Authentizität.
---
**Technische Schutzmaßnahmen gegen Phishing**
Maßnahmen:
Spamfilter
Malwarefilter
Linkprüfung
Anhangprüfung
Sandboxing
SPF
DKIM
DMARC
MFA
Conditional Access
Passwortmanager
Webfilter
EDR
DNS-Filter
sichere Browserkonfiguration
Merksatz:
Phishing-Schutz braucht mehrere technische Schichten.
---
**Organisatorische Schutzmaßnahmen gegen Phishing**
Maßnahmen:
Schulungen
klare Meldewege
Phishing-Simulationen
Vier-Augen-Prinzip
Zahlungsprozesse absichern
Rückruf über bekannte Telefonnummer
Sicherheitsrichtlinien
Freigabeprozesse
Notfallplan bei Kontoübernahme
Merksatz:
Prozesse schützen dort,
wo Technik allein nicht reicht.
---
**Verhalten bei verdächtiger Nachricht**
Sinnvolles Vorgehen:
1. Nicht auf Links klicken.
2. Keine Anhänge öffnen.
3. Keine Zugangsdaten eingeben.
4. Absender und Domain prüfen.
5. Bei angeblichen internen Anfragen über bekannten Kanal nachfragen.
6. Nachricht melden.
7. Nicht weiterleiten,
wenn dadurch Risiko entsteht.
8. IT oder Sicherheitsverantwortliche informieren.
Merksatz:
Bei Verdacht zuerst stoppen,
prüfen
und melden.
---
**Wenn Zugangsdaten eingegeben wurden**
Sofortmaßnahmen:
Passwort ändern
MFA-Sitzungen prüfen
aktive Sitzungen beenden
IT informieren
Konto-Logs prüfen
Weiterleitungsregeln prüfen
verdächtige Geräte prüfen
Tokens widerrufen
betroffene Dienste prüfen
weitere Benutzer warnen
Merksatz:
Nach Phishing zählt schnelle Reaktion.
---
**Wenn ein Anhang geöffnet wurde**
Sofortmaßnahmen:
Gerät vom Netzwerk trennen
IT informieren
Datei nicht weiter öffnen
Zeitpunkt dokumentieren
E-Mail sichern
EDR oder Antivirus prüfen
Logs sichern
betroffene Konten prüfen
keine weiteren Systeme nutzen,
bis Bewertung erfolgt
Merksatz:
Nach verdächtigem Anhang Gerät schnell isolieren.
---
**Kontoübernahme erkennen**
Anzeichen:
unbekannte Loginorte
neue Weiterleitungsregeln
gelesene E-Mails ohne Benutzeraktion
gesendete Phishing-Mails
Passwortänderung
MFA-Änderung
neue Geräte
ungewöhnliche Dateienzugriffe
Rollenänderungen
verdächtige API-Aktivität
Merksatz:
Kontoübernahme zeigt sich oft in Logs und ungewöhnlichen Kontoeinstellungen.
---
**E-Mail-Weiterleitungsregel als Risiko**
Nach Kontoübernahme legen Angreifer oft Weiterleitungsregeln an.
Zweck:
E-Mails mitlesen
Rechnungen abfangen
Antworten verstecken
weitere Angriffe vorbereiten
Prüfen:
unbekannte Weiterleitungen
versteckte Regeln
Regeln zum Löschen
Regeln zum Verschieben
externe Empfänger
Merksatz:
Nach Kontoübernahme immer Weiterleitungsregeln prüfen.
---
**Schutz durch Conditional Access**
Conditional Access kann Logins abhängig machen von:
Standort
Gerät
MFA
Risiko
Benutzergruppe
Anwendung
Netzwerk
Gerätezustand
Beispiele:
Adminzugriff nur mit MFA
Zugriff aus unbekanntem Land blockieren
Zugriff nur von verwalteten Geräten
Merksatz:
Conditional Access erschwert missbräuchliche Logins.
---
**Schutz durch Schulung**
Benutzer sollten wissen:
wie Phishing aussieht
wie man Links prüft
wie man Anhänge bewertet
wie man verdächtige Nachrichten meldet
warum MFA-Anfragen nicht blind bestätigt werden
warum Passwörter eindeutig sein müssen
warum Zahlungsprozesse eingehalten werden
Merksatz:
Schulung macht Benutzer zu aktiven Schutzfaktoren.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist Phishing?
- Was ist Spear Phishing?
- Was ist Whaling?
- Was ist Social Engineering?
- Was ist CEO-Fraud?
- Was ist Business E-Mail Compromise?
- Was ist Smishing?
- Was ist Vishing?
- Was ist Credential Harvesting?
- Was ist Session Hijacking?
- Was ist MFA-Push-Fatigue?
- Was ist SIM-Swapping?
- Was ist Pretexting?
- Was ist Tailgating?
- Was ist Shoulder Surfing?
- Was ist Credential Stuffing?
- Was ist Password Spraying?
- Welche Merkmale können auf Phishing hinweisen?
- Was machen SPF, DKIM und DMARC?
- Wie reagiert man auf eine verdächtige Phishing-Mail?
- Warum sind Passwortmanager sinnvoll?
---
**Typische Prüfungsfallen**
Phishing ist nicht nur E-Mail.
Social Engineering ist nicht rein technisch.
Spear Phishing ist gezielt.
Whaling betrifft besonders wichtige Personen.
Smishing läuft über SMS.
Vishing läuft über Telefon.
CEO-Fraud nutzt Autorität.
BEC nutzt geschäftliche E-Mail-Kommunikation.
Anzeigename einer E-Mail beweist nichts.
HTTPS allein beweist nicht,
dass die Seite echt ist.
MFA ist wichtig,
aber nicht unfehlbar.
Unerwartete MFA-Anfragen nicht bestätigen.
Credential Stuffing nutzt geleakte Passwörter.
Password Spraying probiert wenige Passwörter bei vielen Konten.
Passwort-Wiederverwendung ist gefährlich.
SPF,
DKIM
und DMARC helfen gegen Spoofing,
verhindern aber nicht jedes Phishing.
Verdächtige Nachrichten melden,
nicht ignorieren.
Nach Kontoübernahme Weiterleitungsregeln prüfen.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| Phishing | Täuschung zur Preisgabe vertraulicher Daten |
| Smishing | Phishing per SMS |
| Vishing | Phishing per Telefon |
| Quishing | Phishing über QR-Code |
| Spear Phishing | gezieltes Phishing |
| Whaling | Phishing gegen wichtige Personen |
| CEO-Fraud | Betrug durch angebliche Chef-Anweisung |
| BEC | Business E-Mail Compromise |
| Fake Login | gefälschte Anmeldeseite |
| Credential Harvesting | Sammeln von Zugangsdaten |
| Session Hijacking | Übernahme einer laufenden Sitzung |
| MFA-Bypass | Umgehung oder Missbrauch von MFA |
| MFA-Push-Fatigue | viele MFA-Anfragen zur Ermüdung |
| SIM-Swapping | Übernahme einer Mobilfunknummer |
| Social Engineering | Manipulation von Menschen |
| Pretexting | erfundene glaubwürdige Geschichte |
| Baiting | Köder zur Täuschung |
| Tailgating | unberechtigtes Folgen durch Zutritt |
| Shoulder Surfing | Beobachten von Eingaben |
| Dumpster Diving | Informationssuche im Müll |
| Account Takeover | Kontoübernahme |
| Brute Force | systematisches Ausprobieren |
| Credential Stuffing | Nutzung geleakter Zugangsdaten |
| Password Spraying | wenige Passwörter gegen viele Konten |
| Passwortmanager | Verwaltung starker eindeutiger Passwörter |
| Account Lockout | Kontosperre nach Fehlversuchen |
| Rate Limiting | Begrenzung von Anfragen |
| Captcha | Mensch-Maschine-Prüfung |
| SPF | Prüfung erlaubter Mailserver |
| DKIM | kryptografische E-Mail-Signatur |
| DMARC | Richtlinie für SPF/DKIM-Ergebnisse |
| Conditional Access | Zugriff abhängig von Bedingungen |
---
**IHK-sichere Kurzformulierung**
Phishing ist eine Form des Social Engineerings, bei der Angreifer Benutzer durch Täuschung dazu bringen, vertrauliche Informationen preiszugeben, Links anzuklicken, Anhänge zu öffnen oder gefährliche Aktionen auszuführen. Spear Phishing ist gezieltes Phishing, Whaling richtet sich gegen besonders wichtige Personen, Smishing erfolgt per SMS und Vishing per Telefon. Identitätsangriffe wie Credential Stuffing, Password Spraying, Brute Force, Session Hijacking und Kontoübernahmen zielen auf Benutzerkonten und Zugänge. Schutzmaßnahmen sind MFA, starke eindeutige Passwörter, Passwortmanager, Spam- und Malwarefilter, SPF, DKIM, DMARC, Conditional Access, Schulungen, klare Meldewege, Vier-Augen-Prinzip und schnelle Reaktion bei verdächtigen Vorfällen.
---
**Merksätze**
Phishing täuscht Benutzer.
Social Engineering manipuliert Menschen.
Phishing ist nicht nur E-Mail.
Smishing = SMS-Phishing.
Vishing = Telefon-Phishing.
Quishing = QR-Code-Phishing.
Spear Phishing ist gezielt.
Whaling trifft wichtige Personen.
CEO-Fraud nutzt Autorität.
BEC nutzt geschäftliche E-Mails.
Fake Login stiehlt Zugangsdaten.
Credential Harvesting sammelt Zugangsdaten.
Session Hijacking übernimmt Sitzungen.
MFA ist wichtig,
aber nicht unfehlbar.
Unerwartete MFA-Anfragen niemals bestätigen.
SIM-Swapping gefährdet SMS-MFA.
Pretexting nutzt erfundene Rollen.
Baiting nutzt Köder.
Tailgating umgeht Zutrittskontrolle.
Shoulder Surfing nutzt Beobachtung.
Dumpster Diving nutzt weggeworfene Informationen.
Identitätsangriffe zielen auf Konten.
Account Takeover ist Kontoübernahme.
Brute Force probiert systematisch.
Credential Stuffing nutzt geleakte Zugangsdaten.
Password Spraying verteilt wenige Passwörter auf viele Konten.
Passwörter nicht wiederverwenden.
Passwortmanager nutzen.
Rate Limiting bremst Angriffe.
Captcha ersetzt keine sichere Anmeldung.
Anzeigename beweist nichts.
Links immer auf echte Domain prüfen.
Anhänge kritisch prüfen.
SPF prüft erlaubte Mailserver.
DKIM signiert E-Mails.
DMARC legt Richtlinien fest.
Technik und Schulung gemeinsam schützen.
Verdächtige Nachrichten melden.
Nach Phishing schnell reagieren.
Nach Kontoübernahme Weiterleitungsregeln prüfen.
# 16.4 Netzwerkangriffe: DoS, DDoS, Spoofing und Man-in-the-Middle
Netzwerkangriffe richten sich gegen Kommunikation,
Erreichbarkeit,
Identitäten
oder Datenübertragung in Netzwerken.
Sie können auf verschiedenen OSI-Schichten stattfinden.
Typische Netzwerkangriffe sind:
- DoS
- DDoS
- Man-in-the-Middle
- ARP-Spoofing
- DNS-Spoofing
- IP-Spoofing
- MAC-Spoofing
- Sniffing
- Session Hijacking
- Rogue DHCP
- Evil Twin
- WLAN-Angriffe
Merksatz:
Netzwerkangriffe nutzen Schwächen in Kommunikation,
Adressierung,
Namensauflösung
oder Erreichbarkeit aus.
---
**Warum Netzwerkangriffe gefährlich sind**
Netzwerke verbinden Systeme miteinander.
Wenn ein Angreifer Netzwerkkommunikation beeinflusst,
kann er unter Umständen:
Daten mitlesen
Daten verändern
Benutzer auf falsche Ziele lenken
Dienste überlasten
Verbindungen unterbrechen
Zugangsdaten abgreifen
Sitzungen übernehmen
interne Systeme erreichen
Kommunikation manipulieren
Merksatz:
Wer Netzwerkverkehr kontrolliert,
kann viele weitere Angriffe vorbereiten.
---
**DoS**
DoS steht für:
Denial of Service
Denial of Service bedeutet:
Ein Dienst wird absichtlich so gestört,
dass er nicht mehr nutzbar ist.
Ziel:
Verfügbarkeit angreifen
Beispiele:
Webserver antwortet nicht mehr.
Anwendung ist überlastet.
Netzwerkleitung ist voll.
Firewall ist überfordert.
Datenbank nimmt keine Verbindungen mehr an.
Merksatz:
DoS greift die Verfügbarkeit an.
---
**DoS einfach erklärt**
Ein Dienst kann nur eine begrenzte Menge an Anfragen verarbeiten.
Wenn ein Angreifer sehr viele Anfragen sendet,
kann der Dienst überlastet werden.
Folge:
normale Benutzer können den Dienst nicht mehr nutzen.
Merksatz:
DoS bedeutet:
Dienst wird durch Störung oder Überlastung unbenutzbar.
---
**DDoS**
DDoS steht für:
Distributed Denial of Service
Distributed bedeutet:
verteilt
Bei DDoS kommt der Angriff von vielen Systemen gleichzeitig.
Häufig werden Botnetze genutzt.
Merksatz:
DDoS ist ein verteilter DoS-Angriff.
---
**DoS und DDoS vergleichen**
| Merkmal | DoS | DDoS |
|---|---|---|
| Angriffsquelle | eine oder wenige Quellen | viele verteilte Quellen |
| Abwehr | oft einfacher | deutlich schwieriger |
| typische Technik | Überlastung oder Störung | massenhafte verteilte Überlastung |
| Ziel | Verfügbarkeit | Verfügbarkeit |
Merksatz:
DoS = Dienstverweigerung.
DDoS = verteilte Dienstverweigerung.
---
**Typische DDoS-Ziele**
DDoS-Angriffe richten sich häufig gegen:
Webseiten
Online-Shops
DNS-Server
VPN-Gateways
Firewalls
Load Balancer
APIs
Gaming-Server
Cloud-Dienste
Unternehmensanschlüsse
Merksatz:
DDoS trifft oft öffentlich erreichbare Dienste.
---
**DDoS-Angriffsarten**
DDoS kann unterschiedliche Ebenen treffen.
Beispiele:
Volumenangriff:
Leitung wird mit Datenverkehr überlastet.
Protokollangriff:
Netzwerk- oder Transportprotokolle werden ausgenutzt.
Anwendungsschichtangriff:
Webanwendung wird mit vielen echten oder scheinbar echten Anfragen belastet.
Merksatz:
DDoS kann Leitung,
Protokoll
oder Anwendung treffen.
---
**Volumenangriff**
Ein Volumenangriff versucht,
möglichst viel Datenverkehr zu erzeugen.
Ziel:
Bandbreite überlasten
Beispiele:
sehr viele UDP-Pakete
große Datenmengen
reflektierter Verkehr
Folge:
legitimer Verkehr kommt nicht mehr durch.
Merksatz:
Volumenangriff überlastet die Bandbreite.
---
**Protokollangriff**
Ein Protokollangriff nutzt Eigenschaften von Netzwerkprotokollen aus.
Ziel:
Netzwerkgeräte,
Firewalls,
Load Balancer
oder Serverzustände überlasten
Beispiele:
viele halboffene Verbindungen
viele Verbindungsversuche
ausgenutzte Protokollmechanismen
Merksatz:
Protokollangriff belastet Netzwerk- oder Transportmechanismen.
---
**Anwendungsschichtangriff**
Ein Anwendungsschichtangriff richtet sich gegen Dienste auf OSI-Schicht 7.
Beispiele:
viele HTTP-Anfragen
teure Suchanfragen
Loginversuche
API-Anfragen
Warenkorbaktionen
Datenbanklast durch Webanfragen
Problem:
Der Angriff kann wie normaler Benutzerverkehr aussehen.
Merksatz:
Anwendungsschichtangriffe sind oft schwerer von echter Nutzung zu unterscheiden.
---
**Reflexionsangriff**
Bei einem Reflexionsangriff sendet der Angreifer Anfragen an fremde Server
und fälscht dabei die Absenderadresse des Opfers.
Die fremden Server antworten dann an das Opfer.
Beispiele für missbrauchte Dienste:
DNS
NTP
Memcached
SSDP
andere UDP-basierte Dienste
Merksatz:
Reflexionsangriff lenkt Antworten fremder Systeme auf das Opfer.
---
**Amplification**
Amplification bedeutet:
Verstärkung
Der Angreifer sendet eine kleine Anfrage,
die eine deutlich größere Antwort erzeugt.
Wenn die Antwort an das Opfer geht,
wird der Angriff verstärkt.
Merksatz:
Amplification macht aus kleinen Anfragen große Angriffsdatenmengen.
---
**Schutz vor DoS und DDoS**
Mögliche Schutzmaßnahmen:
DDoS-Schutzdienst
Provider-Unterstützung
Content Delivery Network
Load Balancer
Rate Limiting
Anycast
Firewall-Regeln
Web Application Firewall
Skalierung
Monitoring
Notfallplan
Blackholing als Notmaßnahme
Merksatz:
DDoS-Schutz braucht Vorbereitung,
weil man im Angriff oft wenig Zeit hat.
---
**Rate Limiting**
Rate Limiting begrenzt,
wie viele Anfragen in einer bestimmten Zeit erlaubt sind.
Beispiele:
maximal 100 Anfragen pro Minute pro IP
maximal 5 Loginversuche pro Minute
API-Limit pro Benutzer
Vorteil:
automatisierte Überlastung wird erschwert.
Merksatz:
Rate Limiting begrenzt Anfragehäufigkeit.
---
**Anycast**
Anycast bedeutet:
dieselbe IP-Adresse wird an mehreren Standorten angekündigt.
Der Verkehr wird zum nächstgelegenen oder passenden Standort geleitet.
Vorteil bei DDoS:
Angriffslast kann verteilt werden.
Merksatz:
Anycast verteilt Verkehr auf mehrere Standorte.
---
**Blackholing**
Blackholing bedeutet:
Verkehr zu einem Ziel wird verworfen.
Das kann bei DDoS als Notmaßnahme genutzt werden.
Nachteil:
Der angegriffene Dienst ist dann ebenfalls nicht erreichbar.
Merksatz:
Blackholing schützt Infrastruktur,
macht den Dienst aber meist unerreichbar.
---
**Man-in-the-Middle**
Man-in-the-Middle wird oft abgekürzt:
MitM
Dabei positioniert sich ein Angreifer zwischen zwei Kommunikationspartnern.
Ziele:
Daten mitlesen
Daten verändern
Anmeldedaten abgreifen
Sitzung übernehmen
Zertifikatswarnungen ausnutzen
Benutzer auf falsche Dienste lenken
Merksatz:
MitM bedeutet:
Angreifer sitzt zwischen Sender und Empfänger.
---
**Man-in-the-Middle einfach erklärt**
Normale Kommunikation:
Client
↔
Server
Mit Man-in-the-Middle:
Client
↔
Angreifer
↔
Server
Der Benutzer glaubt,
direkt mit dem Server zu kommunizieren.
Tatsächlich läuft die Kommunikation über den Angreifer.
Merksatz:
Bei MitM wird Kommunikation heimlich zwischengeschaltet.
---
**Typische MitM-Szenarien**
Beispiele:
unsicheres WLAN
gefälschter Access Point
ARP-Spoofing im lokalen Netz
DNS-Spoofing
manipuliertes Gateway
kompromittierter Router
Proxy-Angriff
gefälschtes Zertifikat
Session-Cookie-Diebstahl
Merksatz:
MitM kann über WLAN,
LAN,
DNS,
Router
oder Zertifikate entstehen.
---
**Schutz vor Man-in-the-Middle**
Maßnahmen:
TLS korrekt nutzen
HTTPS erzwingen
Zertifikatswarnungen nicht ignorieren
VPN in unsicheren Netzen
HSTS bei Webseiten
sichere WLAN-Konfiguration
ARP-Schutz in Switches
DNSSEC je nach Einsatz
sichere DNS-Resolver
MFA
Session-Cookies schützen
Merksatz:
TLS schützt nur dann,
wenn Zertifikate korrekt geprüft werden.
---
**Sniffing**
Sniffing bedeutet:
Netzwerkverkehr wird mitgeschnitten oder beobachtet.
Legitime Nutzung:
Fehlersuche
Protokollanalyse
Performanceanalyse
Sicherheitsanalyse
Missbrauch:
Passwörter abfangen
Daten mitlesen
interne Kommunikation analysieren
Sitzungen übernehmen
Schwachstellen finden
Merksatz:
Sniffing ist ein Werkzeug,
das für Analyse oder Angriff genutzt werden kann.
---
**Sniffing und Verschlüsselung**
Unverschlüsselter Verkehr kann direkt lesbar sein.
Beispiele für riskanten Klartextverkehr:
HTTP
Telnet
FTP
POP3 ohne TLS
IMAP ohne TLS
SMTP ohne TLS
alte Protokolle
Verschlüsselter Verkehr schützt Inhalte besser.
Beispiele:
HTTPS
SSH
SFTP
FTPS
IMAPS
SMTPS
VPN
Merksatz:
Verschlüsselung reduziert den Schaden durch Sniffing.
---
**Spoofing**
Spoofing bedeutet:
Eine falsche Identität,
Adresse
oder Herkunft wird vorgetäuscht.
Typische Arten:
IP-Spoofing
MAC-Spoofing
ARP-Spoofing
DNS-Spoofing
E-Mail-Spoofing
Merksatz:
Spoofing täuscht Herkunft oder Identität vor.
---
**IP-Spoofing**
IP-Spoofing bedeutet:
Der Angreifer fälscht die Quell-IP-Adresse.
Ziele:
Herkunft verschleiern
Reflexionsangriffe ermöglichen
Filter umgehen
Vertrauen in IP-Adressen ausnutzen
Grenze:
Bei TCP-Verbindungen ist IP-Spoofing schwieriger,
weil Antworten an die gefälschte Adresse gehen.
Merksatz:
IP-Spoofing fälscht die Quell-IP-Adresse.
---
**MAC-Spoofing**
MAC-Spoofing bedeutet:
Ein Gerät gibt sich mit einer anderen MAC-Adresse aus.
Mögliche Ziele:
MAC-Filter umgehen
Identität im LAN vortäuschen
Netzwerkzugang erschleichen
Geräteverwechslung erzeugen
Merksatz:
MAC-Adressen können gefälscht werden
und sind kein starker Sicherheitsnachweis.
---
**ARP**
ARP steht für:
Address Resolution Protocol
ARP ordnet im lokalen IPv4-Netz eine IP-Adresse einer MAC-Adresse zu.
Beispiel:
Welche MAC-Adresse hat 192.168.1.1?
Antwort:
192.168.1.1 hat MAC-Adresse aa:bb:cc:dd:ee:ff
Merksatz:
ARP verbindet IPv4-Adressen mit MAC-Adressen im lokalen Netz.
---
**ARP-Spoofing**
ARP-Spoofing manipuliert ARP-Zuordnungen im lokalen Netz.
Angreifer behauptet zum Beispiel:
Ich bin das Gateway.
Dann senden Clients ihren Verkehr an den Angreifer.
Mögliche Folgen:
Man-in-the-Middle
Sniffing
Sitzungsdiebstahl
Verbindungsstörung
Merksatz:
ARP-Spoofing greift lokale Layer-2-Kommunikation an.
---
**Schutz vor ARP-Spoofing**
Maßnahmen:
Dynamic ARP Inspection
DHCP Snooping
statische ARP-Einträge in Sonderfällen
Netzwerksegmentierung
Switch-Sicherheitsfunktionen
Verschlüsselung durch TLS
Monitoring auf ARP-Anomalien
Merksatz:
Gegen ARP-Spoofing helfen Switch-Schutzfunktionen und Verschlüsselung.
---
**DNS**
DNS steht für:
Domain Name System
DNS löst Namen in IP-Adressen auf.
Beispiel:
www.example.de
→
203.0.113.10
Merksatz:
DNS übersetzt Namen in IP-Adressen.
---
**DNS-Spoofing**
DNS-Spoofing manipuliert die Namensauflösung.
Ziel:
Benutzer wird zu falscher IP-Adresse geleitet.
Beispiel:
Benutzer ruft eine echte Domain auf,
landet aber auf einer gefälschten Webseite.
Mögliche Folgen:
Phishing
Malware-Verteilung
Man-in-the-Middle
Datenabfluss
Merksatz:
DNS-Spoofing führt Namen zu falschen Zielen.
---
**DNS-Cache-Poisoning**
DNS-Cache-Poisoning bedeutet:
falsche DNS-Antworten werden in einem DNS-Cache gespeichert.
Folge:
Mehrere Benutzer erhalten falsche DNS-Antworten,
bis der Cache abläuft oder korrigiert wird.
Merksatz:
DNS-Cache-Poisoning vergiftet zwischengespeicherte DNS-Antworten.
---
**Schutz vor DNS-Spoofing**
Maßnahmen:
vertrauenswürdige DNS-Resolver
DNSSEC
DNS-over-TLS oder DNS-over-HTTPS je nach Umgebung
Monitoring ungewöhnlicher DNS-Antworten
TLS-Zertifikatsprüfung
keine unbekannten DNS-Server per DHCP erlauben
sichere Router- und DHCP-Konfiguration
Merksatz:
DNS-Schutz und TLS-Prüfung ergänzen sich.
---
**DNSSEC**
DNSSEC steht für:
Domain Name System Security Extensions
DNSSEC ermöglicht kryptografische Prüfung von DNS-Antworten.
Ziel:
Manipulation von DNS-Antworten erkennbar machen.
Wichtig:
DNSSEC verschlüsselt DNS-Anfragen nicht automatisch.
Es prüft vor allem Echtheit und Integrität.
Merksatz:
DNSSEC schützt DNS-Integrität,
aber nicht automatisch DNS-Vertraulichkeit.
---
**Rogue DHCP**
Rogue DHCP bedeutet:
Ein nicht autorisierter DHCP-Server verteilt Netzwerkeinstellungen.
Mögliche Folgen:
falsches Gateway
falscher DNS-Server
falsche IP-Konfiguration
Man-in-the-Middle
Netzwerkstörungen
Merksatz:
Rogue DHCP verteilt falsche Netzwerkkonfiguration.
---
**Schutz vor Rogue DHCP**
Maßnahmen:
DHCP Snooping
Switchports absichern
ungenutzte Ports deaktivieren
Netzwerksegmentierung
Monitoring
physische Zugangskontrolle
nur autorisierte DHCP-Server zulassen
Merksatz:
DHCP Snooping schützt vor unautorisierten DHCP-Servern.
---
**DHCP Snooping**
DHCP Snooping ist eine Switch-Sicherheitsfunktion.
Sie unterscheidet:
vertrauenswürdige Ports
und
nicht vertrauenswürdige Ports
DHCP-Antworten sind nur auf vertrauenswürdigen Ports erlaubt.
Merksatz:
DHCP Snooping verhindert DHCP-Antworten von falschen Ports.
---
**Session Hijacking**
Session Hijacking bedeutet:
Ein Angreifer übernimmt eine bestehende Sitzung.
Mögliche Wege:
Session-Cookie stehlen
Token stehlen
XSS
Malware
Man-in-the-Middle
unsichere Verbindung
kompromittiertes Endgerät
Merksatz:
Session Hijacking übernimmt eine laufende Anmeldung.
---
**Schutz vor Session Hijacking**
Maßnahmen:
HTTPS überall
HttpOnly Cookies
Secure Cookies
SameSite Cookies
kurze Session-Laufzeiten
Session-Rotation nach Login
Schutz vor XSS
MFA
Geräte- und Standortprüfung
Logout-Funktion
Token widerrufen können
Merksatz:
Sitzungen müssen genauso geschützt werden wie Passwörter.
---
**WLAN-Angriffe**
WLAN ist besonders angreifbar,
weil Funk nicht an Wände gebunden ist.
Typische Risiken:
schwache Verschlüsselung
unsichere Passwörter
Evil Twin
Rogue Access Point
unsichere Gastnetze
Abhören unverschlüsselter Verbindungen
Deauthentication-Angriffe
falsche Captive Portals
Merksatz:
WLAN braucht starke Verschlüsselung und saubere Trennung.
---
**Evil Twin**
Ein Evil Twin ist ein gefälschter WLAN-Access-Point,
der wie ein echtes WLAN aussieht.
Ziel:
Benutzer verbinden sich mit dem falschen WLAN.
Folgen:
Man-in-the-Middle
Phishing
Datenmitschnitt
falsche Loginseiten
Malware-Verteilung
Merksatz:
Evil Twin imitiert ein echtes WLAN.
---
**Rogue Access Point**
Ein Rogue Access Point ist ein nicht autorisierter Access Point im Netzwerk.
Beispiele:
Mitarbeiter steckt eigenen WLAN-Router an.
Angreifer platziert Access Point im Gebäude.
falsch konfigurierte Geräte öffnen WLAN.
Risiko:
Sicherheitsregeln werden umgangen.
internes Netz wird unkontrolliert erreichbar.
Merksatz:
Rogue Access Point ist ein unerlaubter WLAN-Zugangspunkt.
---
**Schutz vor WLAN-Angriffen**
Maßnahmen:
WPA2-Enterprise oder WPA3 nutzen
starke Passwörter
Gastnetz vom internen Netz trennen
802.1X
Zertifikatsprüfung
Rogue-AP-Erkennung
regelmäßige WLAN-Überprüfung
sichere Captive-Portals
VPN in unsicheren WLANs
keine offenen internen WLANs
Merksatz:
WLAN-Sicherheit braucht Verschlüsselung,
Authentifizierung
und Segmentierung.
---
**802.1X**
802.1X ist ein Standard für netzwerkbasierte Zugangskontrolle.
Er wird genutzt bei:
LAN
WLAN
Enterprise-Netzen
Grundidee:
Gerät oder Benutzer muss sich authentifizieren,
bevor Netzwerkzugriff erlaubt wird.
Merksatz:
802.1X kontrolliert Netzwerkzugang vor der Freigabe.
---
**Netzwerksegmentierung gegen Angriffe**
Segmentierung trennt Netzbereiche voneinander.
Beispiele:
Clientnetz
Servernetz
Gastnetz
Managementnetz
Produktionsnetz
Backupnetz
WLAN-Gastnetz
IoT-Netz
Vorteil:
Angriffe können sich schlechter ausbreiten.
Zugriffe können gezielter gefiltert werden.
Merksatz:
Segmentierung begrenzt Schaden und Ausbreitung.
---
**Firewall-Regeln gegen Netzwerkangriffe**
Firewalls begrenzen,
welche Kommunikation erlaubt ist.
Gute Regeln sind:
so eng wie möglich
dokumentiert
begründet
regelmäßig geprüft
nach Quelle,
Ziel,
Port
und Protokoll definiert
Merksatz:
Firewall-Regeln sollen erlauben,
was nötig ist,
und blockieren,
was nicht nötig ist.
---
**IDS und IPS gegen Netzwerkangriffe**
IDS:
erkennt verdächtigen Netzwerkverkehr
und meldet ihn
IPS:
erkennt verdächtigen Netzwerkverkehr
und kann ihn blockieren
Beispiele für Erkennung:
Portscans
bekannte Angriffssignaturen
ungewöhnlicher Datenverkehr
Exploit-Versuche
verdächtige DNS-Anfragen
Merksatz:
IDS erkennt.
IPS blockiert zusätzlich.
---
**Netzwerk-Monitoring**
Netzwerk-Monitoring hilft,
Angriffe und Störungen zu erkennen.
Überwacht werden können:
Bandbreite
Paketverlust
Latenz
ungewöhnliche Verbindungen
DNS-Anfragen
Firewall-Drops
VPN-Zugriffe
ARP-Anomalien
DHCP-Anomalien
Portscans
DDoS-Anzeichen
Merksatz:
Netzwerk-Monitoring erkennt Auffälligkeiten im Datenverkehr.
---
**Typische Anzeichen für Netzwerkangriffe**
Mögliche Hinweise:
plötzlich sehr hohe Netzwerklast
viele fehlgeschlagene Verbindungen
ungewöhnliche DNS-Antworten
Benutzer landen auf falschen Webseiten
Zertifikatswarnungen
viele Loginversuche
unbekannte DHCP-Server
doppelte IP-Adressen
ungewöhnliche ARP-Einträge
unbekannte Access Points
viele Firewall-Drops
Merksatz:
Netzwerkangriffe zeigen sich oft durch ungewöhnliche Muster.
---
**Fehlersuche bei Verdacht auf Netzwerkangriff**
Sinnvolle Reihenfolge:
1. Betroffene Systeme bestimmen.
2. Zeitpunkt eingrenzen.
3. Änderungen prüfen.
4. Netzwerklogs prüfen.
5. Firewall-Logs prüfen.
6. DNS prüfen.
7. DHCP prüfen.
8. ARP-Tabelle prüfen.
9. Routing prüfen.
10. Paketmitschnitt erstellen.
11. Benutzerberichte vergleichen.
12. Angriff eingrenzen.
13. Schutzmaßnahmen aktivieren.
14. Vorfall dokumentieren.
Merksatz:
Netzwerkangriffe systematisch mit Logs,
Tabellen,
Routen
und Mitschnitten untersuchen.
---
**Typische Schutzmaßnahmen gegen Netzwerkangriffe**
Wichtige Maßnahmen:
Firewall
IDS
IPS
Netzwerksegmentierung
VLANs
sichere WLAN-Konfiguration
WPA2-Enterprise oder WPA3
802.1X
DHCP Snooping
Dynamic ARP Inspection
DNSSEC je nach Einsatz
TLS
VPN
DDoS-Schutz
Rate Limiting
Monitoring
Logging
Patchmanagement
sichere Router- und Switch-Konfiguration
Merksatz:
Netzwerkangriffsschutz besteht aus Technik,
Konfiguration
Überwachung
und klaren Regeln.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist ein DoS-Angriff?
- Was ist ein DDoS-Angriff?
- Was ist der Unterschied zwischen DoS und DDoS?
- Was ist ein Man-in-the-Middle-Angriff?
- Was bedeutet Sniffing?
- Was bedeutet Spoofing?
- Was ist IP-Spoofing?
- Was ist MAC-Spoofing?
- Was ist ARP-Spoofing?
- Was ist DNS-Spoofing?
- Was ist DNS-Cache-Poisoning?
- Was ist DNSSEC?
- Was ist Rogue DHCP?
- Was ist DHCP Snooping?
- Was ist Session Hijacking?
- Was ist ein Evil Twin?
- Was ist ein Rogue Access Point?
- Wie schützt Netzwerksegmentierung gegen Angriffe?
- Was ist der Unterschied zwischen IDS und IPS?
- Welche Schutzmaßnahmen helfen gegen DDoS?
---
**Typische Prüfungsfallen**
DoS und DDoS unterscheiden.
DDoS ist verteilt.
DoS greift Verfügbarkeit an.
MitM sitzt zwischen Kommunikationspartnern.
Sniffing ist nicht automatisch Angriff,
kann aber missbraucht werden.
Spoofing täuscht Identität oder Herkunft vor.
ARP-Spoofing betrifft lokale IPv4-Netze.
DNS-Spoofing führt Namen zu falschen IP-Adressen.
DNSSEC schützt Integrität,
nicht automatisch Vertraulichkeit.
Rogue DHCP verteilt falsche Netzwerkeinstellungen.
DHCP Snooping schützt vor falschen DHCP-Servern.
Session Hijacking betrifft laufende Sitzungen.
WLAN ist wegen Funkreichweite besonders zu schützen.
Evil Twin imitiert ein echtes WLAN.
Rogue Access Point ist ein unerlaubter Access Point.
MAC-Filter allein ist keine starke Sicherheit.
TLS-Zertifikatswarnungen nicht ignorieren.
Segmentierung begrenzt Ausbreitung.
IDS erkennt,
IPS blockiert zusätzlich.
DDoS-Schutz muss vorbereitet sein.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| DoS | Dienstverweigerung |
| DDoS | verteilte Dienstverweigerung |
| Botnet | viele fremdgesteuerte Systeme |
| Volumenangriff | Überlastung durch Datenmenge |
| Protokollangriff | Ausnutzung von Protokollmechanismen |
| Anwendungsschichtangriff | Überlastung einer Anwendung |
| Reflexionsangriff | Antworten fremder Systeme treffen Opfer |
| Amplification | Verstärkung kleiner Anfragen |
| Rate Limiting | Begrenzung von Anfragen |
| Anycast | gleiche IP an mehreren Standorten |
| Blackholing | Verwerfen von Verkehr |
| MitM | Man-in-the-Middle |
| Sniffing | Mitschneiden von Netzwerkverkehr |
| Spoofing | Vortäuschen falscher Identität |
| IP-Spoofing | gefälschte Quell-IP |
| MAC-Spoofing | gefälschte MAC-Adresse |
| ARP | Zuordnung IPv4 zu MAC im LAN |
| ARP-Spoofing | Manipulation von ARP-Zuordnungen |
| DNS | Namensauflösung |
| DNS-Spoofing | Manipulation von DNS-Antworten |
| DNS-Cache-Poisoning | falsche DNS-Antwort im Cache |
| DNSSEC | Schutz der DNS-Integrität |
| Rogue DHCP | unautorisierter DHCP-Server |
| DHCP Snooping | Schutz vor falschen DHCP-Servern |
| Session Hijacking | Übernahme einer laufenden Sitzung |
| Evil Twin | gefälschter WLAN-Access-Point |
| Rogue Access Point | unerlaubter Access Point |
| 802.1X | Netzwerkzugangskontrolle |
| IDS | Angriffserkennung |
| IPS | Angriffserkennung mit Blockierung |
---
**IHK-sichere Kurzformulierung**
Netzwerkangriffe richten sich gegen Kommunikation, Erreichbarkeit, Adressierung oder Namensauflösung in Netzwerken. DoS und DDoS greifen die Verfügbarkeit von Diensten an, wobei DDoS von vielen verteilten Quellen ausgeht. Bei einem Man-in-the-Middle-Angriff befindet sich ein Angreifer zwischen zwei Kommunikationspartnern und kann Daten mitlesen oder manipulieren. Spoofing täuscht Identität oder Herkunft vor, zum Beispiel durch gefälschte IP-, MAC-, ARP- oder DNS-Informationen. Schutzmaßnahmen sind Firewalls, IDS/IPS, Netzwerksegmentierung, sichere WLAN-Konfiguration, TLS, VPN, DNSSEC, DHCP Snooping, Dynamic ARP Inspection, DDoS-Schutz, Rate Limiting, Monitoring und Logging.
---
**Merksätze**
Netzwerkangriffe treffen Kommunikation und Erreichbarkeit.
DoS greift Verfügbarkeit an.
DDoS ist verteilter DoS.
DDoS-Schutz muss vorbereitet sein.
Volumenangriff überlastet Bandbreite.
Protokollangriff belastet Netzwerkmechanismen.
Anwendungsschichtangriff trifft Dienste auf Schicht 7.
Reflexionsangriff nutzt fremde Systeme.
Amplification verstärkt Angriffsdaten.
Rate Limiting begrenzt Anfragen.
Anycast verteilt Verkehr.
Blackholing verwirft Verkehr.
MitM sitzt zwischen Client und Server.
Sniffing schneidet Verkehr mit.
Verschlüsselung schützt gegen Mitlesen.
Spoofing täuscht Herkunft oder Identität vor.
IP-Spoofing fälscht Quell-IP.
MAC-Spoofing fälscht MAC-Adresse.
ARP verbindet IPv4 und MAC.
ARP-Spoofing manipuliert lokale Zuordnung.
DNS übersetzt Namen in IP-Adressen.
DNS-Spoofing führt zu falschen Zielen.
DNSSEC schützt DNS-Integrität.
Rogue DHCP verteilt falsche Einstellungen.
DHCP Snooping schützt vor Rogue DHCP.
Session Hijacking übernimmt Sitzungen.
WLAN braucht starke Absicherung.
Evil Twin imitiert echtes WLAN.
Rogue Access Point ist unerlaubt.
802.1X kontrolliert Netzwerkzugang.
Segmentierung begrenzt Ausbreitung.
IDS erkennt.
IPS blockiert zusätzlich.
Netzwerk-Monitoring erkennt Auffälligkeiten.
Logs und Mitschnitte helfen bei Analyse.
# 16.5 Webangriffe: SQL Injection, XSS, CSRF und unsichere Webanwendungen
Webanwendungen sind häufige Angriffsziele,
weil sie oft öffentlich erreichbar sind
und direkt mit Benutzern,
Datenbanken,
APIs
und Backend-Systemen kommunizieren.
Typische Webangriffe sind:
- SQL Injection
- Cross-Site Scripting
- Cross-Site Request Forgery
- Directory Traversal
- File Upload Attack
- Session Hijacking
- Broken Authentication
- Broken Access Control
- unsichere API
- unsichere Fehlerausgaben
- unsichere Konfiguration
Merksatz:
Webangriffe nutzen häufig fehlerhafte Eingaben,
fehlende Zugriffskontrollen
oder unsichere Sitzungen aus.
---
**Warum Webanwendungen gefährdet sind**
Webanwendungen sind oft besonders angreifbar,
weil sie:
öffentlich erreichbar sind
Benutzeranfragen verarbeiten
Datenbanken nutzen
Dateien entgegennehmen
Sitzungen verwalten
APIs bereitstellen
externe Dienste anbinden
mit sensiblen Daten arbeiten
Merksatz:
Je mehr Eingaben und Schnittstellen eine Anwendung hat,
desto größer ist die Angriffsfläche.
---
**Eingaben als Risiko**
Viele Webangriffe beginnen mit Benutzereingaben.
Beispiele für Eingaben:
Loginformular
Suchfeld
Kontaktformular
URL-Parameter
Cookie
HTTP-Header
Datei-Upload
API-Request
JSON-Daten
Formularfelder
Problem:
Die Anwendung vertraut Eingaben zu stark
oder verarbeitet sie unsicher.
Merksatz:
Benutzereingaben niemals blind vertrauen.
---
**Client und Server unterscheiden**
Client:
Browser oder App des Benutzers
Server:
Webserver,
Anwendung,
API
oder Backend-System
Wichtig:
Prüfungen im Browser allein reichen nicht aus.
Warum?
Ein Angreifer kann Browserprüfungen umgehen
und direkt eigene Anfragen an den Server senden.
Merksatz:
Sicherheitsprüfungen müssen serverseitig erfolgen.
---
**Frontend-Validierung**
Frontend-Validierung prüft Eingaben im Browser.
Beispiel:
Pflichtfeld prüfen
E-Mail-Format prüfen
Zeichenanzahl begrenzen
Vorteil:
bessere Benutzerführung
Nachteil:
leicht umgehbar
Merksatz:
Frontend-Validierung hilft Benutzern,
ist aber keine Sicherheitsgrenze.
---
**Backend-Validierung**
Backend-Validierung prüft Eingaben auf dem Server.
Sie ist sicherheitsrelevant.
Beispiele:
Datentyp prüfen
Wertebereich prüfen
erlaubte Zeichen prüfen
Dateityp prüfen
Berechtigung prüfen
Pflichtfelder prüfen
Länge begrenzen
Merksatz:
Sicherheitsrelevante Prüfung gehört ins Backend.
---
**SQL Injection**
SQL Injection ist ein Angriff auf Datenbankabfragen.
Dabei schleust ein Angreifer SQL-Code in Eingaben ein.
Ziel:
Daten auslesen
Daten verändern
Login umgehen
Daten löschen
Datenbankstruktur ausspähen
Rechte ausweiten
Merksatz:
SQL Injection nutzt unsicher zusammengesetzte Datenbankabfragen aus.
---
**SQL Injection einfach erklärt**
Eine Anwendung erwartet zum Beispiel:
Benutzername
und
Passwort
Wenn die Anwendung Eingaben unsicher direkt in SQL einfügt,
kann ein Angreifer die Abfrage manipulieren.
Problem:
Eingabe wird nicht mehr nur als Wert behandelt,
sondern als Teil des SQL-Befehls.
Merksatz:
Bei SQL Injection wird Eingabe zu Befehl.
---
**Unsichere SQL-Abfrage als Prinzip**
Unsicheres Prinzip:
SQL-Befehl wird aus Text und Benutzereingabe zusammengebaut.
Beispielgedanke:
SELECT ...
WHERE user = Eingabe
AND password = Eingabe
Wenn Eingabe nicht sauber behandelt wird,
kann sie die Logik der Abfrage verändern.
Merksatz:
SQL nicht durch ungeprüftes Zusammenkleben von Text und Eingaben bauen.
---
**Folgen von SQL Injection**
Mögliche Folgen:
Login ohne gültiges Passwort
Auslesen von Kundendaten
Auslesen von Passworthashes
Verändern von Datensätzen
Löschen von Tabellen
Manipulation von Bestellungen
Zugriff auf interne Informationen
vollständige Kompromittierung der Anwendung
Merksatz:
SQL Injection kann sehr schwere Datenbankangriffe ermöglichen.
---
**Schutz vor SQL Injection**
Wichtige Schutzmaßnahmen:
Prepared Statements
parametrisierte Abfragen
Eingabevalidierung
keine SQL-Verkettung mit Benutzereingaben
Rechte der Datenbankbenutzer begrenzen
Fehlermeldungen nicht detailliert ausgeben
Code Reviews
Web Application Firewall als zusätzliche Schicht
Merksatz:
Parametrisierte Abfragen sind die wichtigste Maßnahme gegen SQL Injection.
---
**Prepared Statements**
Prepared Statements trennen SQL-Befehl und Werte.
Die Datenbank erkennt:
Das ist der SQL-Befehl.
Das sind nur Werte.
Dadurch wird verhindert,
dass Benutzereingaben als SQL-Code ausgeführt werden.
Merksatz:
Prepared Statements behandeln Eingaben als Daten,
nicht als Befehl.
---
**Datenbankrechte begrenzen**
Die Webanwendung sollte nicht mit einem Datenbankkonto arbeiten,
das mehr Rechte hat als nötig.
Beispiel:
Anwendung muss nur lesen und schreiben,
aber keine Tabellen löschen.
Dann sollte das Datenbankkonto auch keine DROP-Rechte haben.
Merksatz:
Weniger Datenbankrechte begrenzen Schaden bei Angriffen.
---
**Cross-Site Scripting**
Cross-Site Scripting wird abgekürzt:
XSS
Bei XSS wird schädlicher Code in eine Webseite eingeschleust,
der im Browser anderer Benutzer ausgeführt wird.
Meist geht es um JavaScript im Browser.
Merksatz:
XSS greift Benutzer über die Webseite und den Browser an.
---
**XSS einfach erklärt**
Eine Webseite zeigt Benutzereingaben wieder an.
Beispiel:
Kommentar
Profilname
Suchbegriff
Chatnachricht
Wenn die Eingabe nicht korrekt behandelt wird,
kann ein Angreifer Skriptcode einfügen.
Dieser Code läuft dann im Browser anderer Benutzer.
Merksatz:
XSS entsteht,
wenn Eingaben ungefiltert als aktive Webseite ausgegeben werden.
---
**Folgen von XSS**
Mögliche Folgen:
Session-Cookies stehlen
Benutzeraktionen auslösen
Webseiteninhalt manipulieren
Phishing innerhalb echter Webseite
Tokens auslesen
Benutzer umleiten
Schadcode nachladen
Formulardaten abgreifen
Merksatz:
XSS kann echte Webseiten für Angriffe gegen Benutzer missbrauchen.
---
**Stored XSS**
Stored XSS bedeutet:
Schadcode wird dauerhaft gespeichert.
Beispiel:
Kommentar mit Schadcode wird in Datenbank gespeichert.
Wenn andere Benutzer die Seite öffnen,
wird der Schadcode ausgeführt.
Merksatz:
Stored XSS bleibt gespeichert und trifft mehrere Benutzer.
---
**Reflected XSS**
Reflected XSS bedeutet:
Schadcode wird über eine Anfrage eingeschleust
und direkt in der Antwort zurückgegeben.
Beispiel:
manipulierter Link enthält Schadcode.
Benutzer klickt den Link,
die Webseite gibt den Inhalt zurück,
Browser führt ihn aus.
Merksatz:
Reflected XSS funktioniert oft über manipulierte Links.
---
**DOM-based XSS**
DOM-based XSS entsteht,
wenn JavaScript im Browser unsicher mit Daten arbeitet.
Dabei muss der Schadcode nicht unbedingt vom Server direkt eingefügt werden.
Problematisch sind zum Beispiel:
unsichere Verarbeitung von URL-Fragmenten
unsichere DOM-Manipulation
ungeprüftes innerHTML
unsichere Client-Skripte
Merksatz:
DOM-XSS entsteht im Browser durch unsicheren JavaScript-Code.
---
**Schutz vor XSS**
Wichtige Schutzmaßnahmen:
Ausgaben korrekt escapen
Eingaben validieren
Content Security Policy
HttpOnly Cookies
Secure Cookies
SameSite Cookies
sichere Frameworks nutzen
keine ungeprüften HTML-Ausgaben
Code Reviews
gefährliche Funktionen vermeiden
Merksatz:
Gegen XSS ist korrektes Escaping bei der Ausgabe besonders wichtig.
---
**Escaping**
Escaping bedeutet:
Sonderzeichen werden so umgewandelt,
dass sie nicht als Code ausgeführt werden.
Beispiel:
Ein kleiner-als-Zeichen wird nicht als HTML-Tag interpretiert,
sondern als sichtbares Zeichen ausgegeben.
Merksatz:
Escaping macht aus potenziellem Code normalen Text.
---
**Content Security Policy**
Content Security Policy wird abgekürzt:
CSP
Eine CSP ist eine Sicherheitsrichtlinie im Browser.
Sie kann festlegen:
welche Skripte erlaubt sind
von welchen Quellen Inhalte geladen werden dürfen
ob Inline-Skripte erlaubt sind
ob externe Ressourcen erlaubt sind
Merksatz:
CSP begrenzt,
welche Inhalte der Browser ausführen darf.
---
**HttpOnly Cookie**
Ein HttpOnly Cookie kann nicht direkt durch JavaScript gelesen werden.
Vorteil:
erschwert Cookie-Diebstahl bei XSS
Wichtig:
HttpOnly schützt nicht vor allen XSS-Folgen,
aber reduziert ein wichtiges Risiko.
Merksatz:
HttpOnly schützt Cookies vor direktem JavaScript-Zugriff.
---
**Secure Cookie**
Ein Secure Cookie wird nur über HTTPS übertragen.
Vorteil:
Cookie wird nicht über unverschlüsselte HTTP-Verbindungen gesendet.
Merksatz:
Secure Cookies gehören zu HTTPS-Webanwendungen.
---
**SameSite Cookie**
SameSite steuert,
ob Cookies bei seitenübergreifenden Anfragen mitgesendet werden.
Es hilft besonders gegen CSRF.
Mögliche Prinzipien:
streng
teilweise erlaubt
ohne Einschränkung
Merksatz:
SameSite begrenzt Cookie-Versand bei fremden Webseiten.
---
**Cross-Site Request Forgery**
Cross-Site Request Forgery wird abgekürzt:
CSRF
Bei CSRF wird ein angemeldeter Benutzer dazu gebracht,
unbewusst eine Aktion in einer Webanwendung auszulösen.
Beispiel:
Benutzer ist im Online-Portal angemeldet.
Benutzer besucht eine bösartige Webseite.
Diese Webseite löst im Hintergrund eine Anfrage an das Online-Portal aus.
Merksatz:
CSRF missbraucht eine bestehende Anmeldung für fremde Aktionen.
---
**CSRF einfach erklärt**
CSRF funktioniert,
weil der Browser bei Anfragen an eine Webseite oft automatisch Cookies mitsendet.
Wenn der Benutzer dort angemeldet ist,
kann die Anfrage als gültig erscheinen.
Mögliche Aktionen:
E-Mail-Adresse ändern
Passwortänderung starten
Bestellung auslösen
Einstellung ändern
Benutzer hinzufügen
Überweisung vorbereiten
Merksatz:
CSRF nutzt automatisch mitgesendete Sitzungsinformationen aus.
---
**Schutz vor CSRF**
Wichtige Schutzmaßnahmen:
CSRF-Token
SameSite Cookies
Prüfung von Origin oder Referer
erneute Bestätigung sensibler Aktionen
MFA oder Passwortabfrage bei kritischen Aktionen
keine zustandsändernden Aktionen per GET
saubere Sessionverwaltung
Merksatz:
CSRF-Token schützen,
weil fremde Seiten den gültigen Token nicht kennen.
---
**CSRF-Token**
Ein CSRF-Token ist ein zufälliger Wert,
der in Formularen oder Anfragen mitgesendet wird.
Die Anwendung prüft:
Stimmt der Token zur Sitzung?
Wenn nicht,
wird die Aktion abgelehnt.
Merksatz:
CSRF-Token beweist,
dass die Anfrage aus der echten Anwendung kommt.
---
**SQL Injection, XSS und CSRF vergleichen**
| Angriff | Ziel | Kernproblem |
|---|---|---|
| SQL Injection | Datenbank | Eingabe wird Teil von SQL |
| XSS | Browser anderer Benutzer | Eingabe wird als Skript ausgeführt |
| CSRF | angemeldete Sitzung | fremde Seite löst Aktion aus |
Merksatz:
SQL Injection trifft Datenbank.
XSS trifft Browser.
CSRF missbraucht Sitzung.
---
**Directory Traversal**
Directory Traversal bedeutet:
Ein Angreifer versucht,
über Pfadangaben auf Dateien außerhalb des erlaubten Bereichs zuzugreifen.
Beispielprinzip:
Statt erlaubter Datei wird versucht,
über Pfadbestandteile in übergeordnete Verzeichnisse zu gelangen.
Mögliche Ziele:
Konfigurationsdateien
Passwortdateien
Quellcode
Logdateien
Systemdateien
Merksatz:
Directory Traversal nutzt unsichere Dateipfade aus.
---
**Schutz vor Directory Traversal**
Maßnahmen:
Dateinamen validieren
erlaubte Dateien per ID statt Pfad auswählen
Pfade normalisieren und prüfen
Zugriff auf festes Verzeichnis begrenzen
keine direkten Benutzereingaben als Dateipfad nutzen
Rechte des Webserver-Prozesses begrenzen
Merksatz:
Benutzer sollten keine freien Systempfade bestimmen können.
---
**File Upload Attack**
Bei einem File Upload Attack lädt ein Angreifer eine gefährliche Datei hoch.
Beispiele:
ausführbares Skript
Webshell
Malware
manipuliertes Bild
Datei mit falscher Endung
übergroße Datei
Archivbombe
Mögliche Folgen:
Codeausführung
Malware-Verteilung
Speicherüberlastung
Angriff auf andere Benutzer
Datenabfluss
Merksatz:
Datei-Uploads sind gefährlich,
wenn Inhalt,
Typ
und Speicherort nicht geprüft werden.
---
**Schutz bei Datei-Uploads**
Maßnahmen:
erlaubte Dateitypen begrenzen
Dateigröße begrenzen
MIME-Type prüfen
Dateiendung prüfen
Inhalt prüfen
Malware-Scan
Dateien außerhalb des Webroots speichern
zufällige Dateinamen verwenden
Ausführrechte verhindern
Uploads getrennt verarbeiten
Merksatz:
Hochgeladene Dateien nie ungeprüft ausführbar speichern.
---
**Webshell**
Eine Webshell ist ein hochgeladenes oder eingeschleustes Skript,
mit dem Angreifer Befehle auf einem Server ausführen können.
Risiko:
vollständige Serverübernahme
Datenabfluss
weitere Angriffe
Backdoor
Merksatz:
Webshell = Fernsteuerung über Webskript.
---
**Broken Authentication**
Broken Authentication bedeutet:
Die Anmeldung oder Sitzungsverwaltung ist unsicher.
Beispiele:
schwache Passwortrichtlinien
kein MFA
Session läuft zu lange
Session-ID wird nicht erneuert
unsichere Passwortzurücksetzung
Tokens werden unsicher gespeichert
Brute Force nicht begrenzt
Merksatz:
Broken Authentication gefährdet Benutzerkonten und Sitzungen.
---
**Schutz gegen Broken Authentication**
Maßnahmen:
MFA
starke Passwortrichtlinien
Passwortmanager unterstützen
Rate Limiting
sichere Passwortzurücksetzung
Session-Rotation nach Login
kurze Sitzungslaufzeiten je nach Risiko
sichere Token-Speicherung
Login-Monitoring
Merksatz:
Anmeldung und Sitzungen müssen besonders geschützt werden.
---
**Broken Access Control**
Broken Access Control bedeutet:
Benutzer können auf Funktionen oder Daten zugreifen,
für die sie keine Berechtigung haben.
Beispiele:
Benutzer sieht fremde Rechnung
normaler Benutzer ruft Adminfunktion auf
URL-ID wird geändert und fremde Daten erscheinen
API gibt mehr Daten zurück als erlaubt
versteckte Schaltfläche reicht als Schutz
Merksatz:
Zugriffskontrolle muss serverseitig geprüft werden.
---
**IDOR**
IDOR steht für:
Insecure Direct Object Reference
Dabei kann ein Benutzer durch Änderung einer ID auf fremde Objekte zugreifen.
Beispiel:
/rechnung/1001
wird geändert zu:
/rechnung/1002
Wenn die Anwendung nicht prüft,
ob diese Rechnung zum Benutzer gehört,
liegt ein Fehler vor.
Merksatz:
IDOR ist fehlende Zugriffskontrolle bei direkten Objekt-IDs.
---
**Schutz gegen Broken Access Control**
Maßnahmen:
serverseitige Berechtigungsprüfung
Rollen- und Rechtekonzept
Zugriff pro Objekt prüfen
keine Sicherheit nur über versteckte Buttons
Standardmäßig Zugriff verweigern
Adminfunktionen getrennt schützen
API-Berechtigungen prüfen
Tests mit verschiedenen Benutzerrollen
Merksatz:
Jeder Zugriff muss auf dem Server autorisiert werden.
---
**Unsichere API**
APIs sind Schnittstellen zwischen Anwendungen.
Risiken:
fehlende Authentifizierung
fehlende Autorisierung
zu viele Daten in Antwort
keine Rate Limits
unsichere Tokens
unsichere CORS-Konfiguration
fehlende Eingabeprüfung
detaillierte Fehlermeldungen
Merksatz:
APIs brauchen dieselben Sicherheitsprüfungen wie Weboberflächen.
---
**CORS**
CORS steht für:
Cross-Origin Resource Sharing
CORS steuert,
welche fremden Webseiten im Browser auf eine API zugreifen dürfen.
Unsichere CORS-Konfigurationen können gefährlich sein,
wenn zu viele Ursprünge erlaubt werden.
Merksatz:
CORS regelt Browserzugriffe zwischen verschiedenen Ursprüngen.
---
**Rate Limiting bei APIs**
APIs sollten Anfragen begrenzen.
Schutz gegen:
Brute Force
Scraping
DDoS auf Anwendungsebene
Missbrauch von API-Schlüsseln
unbeabsichtigte Überlastung
Merksatz:
APIs brauchen Rate Limits gegen Missbrauch und Überlastung.
---
**Unsichere Fehlerausgaben**
Fehlermeldungen können Angreifern helfen.
Problematische Informationen:
Datenbankfehler
Pfade
Stacktraces
Versionsnummern
interne IP-Adressen
verwendete Frameworks
SQL-Abfragen
geheime Konfigurationen
Merksatz:
Fehlermeldungen für Benutzer knapp,
Details nur intern loggen.
---
**Security Headers**
Security Headers sind HTTP-Header,
die Browser-Sicherheitsfunktionen steuern.
Beispiele:
Content-Security-Policy
Strict-Transport-Security
X-Content-Type-Options
Referrer-Policy
X-Frame-Options oder frame-ancestors
Merksatz:
Security Headers härten Webanwendungen im Browser.
---
**HSTS**
HSTS steht für:
HTTP Strict Transport Security
HSTS weist Browser an,
eine Webseite nur per HTTPS aufzurufen.
Vorteil:
Schutz vor Downgrade auf HTTP
Merksatz:
HSTS erzwingt HTTPS im Browser.
---
**Clickjacking**
Clickjacking bedeutet:
Benutzer werden dazu gebracht,
auf etwas zu klicken,
ohne zu erkennen,
was sie tatsächlich anklicken.
Oft wird eine echte Webseite unsichtbar oder überlagert eingebettet.
Schutz:
X-Frame-Options
Content-Security-Policy frame-ancestors
Merksatz:
Clickjacking täuscht Benutzer bei Klickaktionen.
---
**Unsichere Konfiguration**
Unsichere Webkonfigurationen sind häufig.
Beispiele:
Standardpasswörter
Debug-Modus aktiv
Verzeichnislisting aktiv
unnötige Dienste
alte TLS-Versionen
unsichere Cipher Suites
fehlende Security Headers
Adminoberfläche öffentlich erreichbar
Testdaten in Produktion
Beispielseiten aktiv
Merksatz:
Sichere Webanwendungen brauchen sichere Konfiguration.
---
**Verzeichnislisting**
Verzeichnislisting bedeutet:
Webserver zeigt den Inhalt eines Ordners an,
wenn keine Startdatei vorhanden ist.
Risiko:
Dateien werden sichtbar,
die nicht sichtbar sein sollten.
Beispiele:
Backups
alte Versionen
Konfigurationsdateien
Uploads
Skripte
Merksatz:
Verzeichnislisting auf Webservern deaktivieren.
---
**Web Application Firewall**
Web Application Firewall wird abgekürzt:
WAF
Eine WAF filtert HTTP- und HTTPS-Anfragen.
Sie kann helfen gegen:
SQL Injection
XSS
bekannte Angriffsmuster
bösartige Bots
verdächtige Parameter
bestimmte Protokollverstöße
Wichtig:
Eine WAF ersetzt keine sichere Programmierung.
Merksatz:
WAF ist zusätzliche Schutzschicht,
kein Ersatz für sicheren Code.
---
**Secure Coding**
Secure Coding bedeutet:
Software wird von Anfang an sicher entwickelt.
Dazu gehören:
Eingabevalidierung
Ausgabe-Escaping
parametrisierte Datenbankabfragen
sichere Authentifizierung
Zugriffskontrolle
sichere Fehlerbehandlung
sichere Sessionverwaltung
sichere Dateiverarbeitung
Code Reviews
Sicherheitstests
Merksatz:
Sicherheit muss in der Entwicklung mitgedacht werden.
---
**Code Review**
Code Review bedeutet:
Quellcode wird von anderen Personen geprüft.
Ziele:
Fehler finden
Sicherheitsprobleme erkennen
Qualität verbessern
Wissen teilen
Standards einhalten
Merksatz:
Code Reviews helfen,
Sicherheitsfehler früh zu finden.
---
**Penetrationstest**
Ein Penetrationstest ist eine geplante Sicherheitsprüfung,
bei der Systeme kontrolliert auf Schwachstellen getestet werden.
Wichtig:
klarer Auftrag
definierter Umfang
erlaubter Zeitraum
Dokumentation
keine unkontrollierte Beschädigung
Bericht mit Maßnahmen
Merksatz:
Penetrationstest ist kontrollierte Angriffssimulation.
---
**Schwachstellenscan**
Ein Schwachstellenscan sucht automatisiert nach bekannten Schwachstellen.
Er prüft zum Beispiel:
veraltete Software
offene Ports
bekannte CVEs
unsichere Dienste
fehlende Patches
schwache TLS-Konfiguration
Merksatz:
Schwachstellenscan findet bekannte Probleme,
ersetzt aber keinen vollständigen Penetrationstest.
---
**OWASP**
OWASP steht für:
Open Worldwide Application Security Project
OWASP ist bekannt für Sicherheitswissen zu Webanwendungen,
zum Beispiel Listen häufiger Webrisiken.
Für Prüfungen ist wichtig:
Webanwendungen brauchen systematische Sicherheitsmaßnahmen.
Merksatz:
OWASP steht für praxisnahes Webanwendungs-Sicherheitswissen.
---
**Typische Webschutzmaßnahmen**
Wichtige Maßnahmen:
Eingaben validieren
Ausgaben escapen
Prepared Statements
CSRF-Token
sichere Cookies
Security Headers
HTTPS
HSTS
MFA
Rate Limiting
Rollen- und Rechteprüfung
sichere Datei-Uploads
sichere Fehlerbehandlung
Logging
Monitoring
Code Reviews
WAF
Patchmanagement
Merksatz:
Websicherheit braucht sichere Entwicklung,
sichere Konfiguration
und Überwachung.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist SQL Injection?
- Wie schützt man sich vor SQL Injection?
- Was sind Prepared Statements?
- Was ist Cross-Site Scripting?
- Was ist der Unterschied zwischen Stored XSS und Reflected XSS?
- Wie schützt man sich vor XSS?
- Was ist Cross-Site Request Forgery?
- Wie schützen CSRF-Token?
- Was ist Directory Traversal?
- Warum sind Datei-Uploads gefährlich?
- Was ist eine Webshell?
- Was bedeutet Broken Authentication?
- Was bedeutet Broken Access Control?
- Was ist IDOR?
- Warum muss Zugriff serverseitig geprüft werden?
- Was ist CORS?
- Warum brauchen APIs Rate Limiting?
- Was ist HSTS?
- Was ist Clickjacking?
- Was ist eine WAF?
- Warum ersetzt eine WAF keine sichere Programmierung?
---
**Typische Prüfungsfallen**
Frontend-Validierung ist keine Sicherheitsgrenze.
Sicherheitsprüfung gehört ins Backend.
SQL Injection betrifft Datenbankabfragen.
Prepared Statements schützen gegen SQL Injection.
XSS betrifft Browser anderer Benutzer.
XSS-Schutz braucht korrektes Escaping.
Stored XSS wird gespeichert.
Reflected XSS kommt über Anfrage zurück.
DOM-XSS entsteht im Browser.
CSRF missbraucht bestehende Anmeldung.
CSRF ist nicht dasselbe wie XSS.
SameSite Cookies helfen gegen CSRF.
Directory Traversal nutzt Dateipfade aus.
Datei-Uploads nie ungeprüft ausführbar speichern.
Webshell kann Server fernsteuerbar machen.
Broken Authentication betrifft Anmeldung und Sitzung.
Broken Access Control betrifft Berechtigungen.
Versteckte Buttons sind keine Zugriffskontrolle.
IDOR entsteht durch fehlende Objektprüfung.
APIs brauchen Authentifizierung,
Autorisierung
und Rate Limits.
Fehlerdetails nicht öffentlich anzeigen.
HSTS erzwingt HTTPS.
WAF ersetzt keinen sicheren Code.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| Webangriff | Angriff auf Webanwendung oder API |
| Eingabevalidierung | Prüfung von Benutzereingaben |
| Frontend | Browser- oder Client-Seite |
| Backend | Server-Seite |
| SQL Injection | Einschleusen von SQL-Code |
| Prepared Statement | getrennte SQL-Abfrage mit Parametern |
| XSS | Cross-Site Scripting |
| Stored XSS | dauerhaft gespeichertes XSS |
| Reflected XSS | XSS über zurückgespiegelte Anfrage |
| DOM-XSS | XSS durch Browser-DOM-Verarbeitung |
| Escaping | Umwandeln von Sonderzeichen |
| CSP | Content Security Policy |
| HttpOnly | Cookie nicht per JavaScript lesbar |
| Secure Cookie | Cookie nur über HTTPS |
| SameSite | Cookie-Regel für fremde Seiten |
| CSRF | Cross-Site Request Forgery |
| CSRF-Token | Schutzwert gegen CSRF |
| Directory Traversal | Zugriff über manipulierte Pfade |
| File Upload Attack | Angriff über hochgeladene Datei |
| Webshell | Webskript zur Fernsteuerung |
| Broken Authentication | unsichere Anmeldung oder Sitzung |
| Broken Access Control | fehlerhafte Zugriffskontrolle |
| IDOR | Zugriff über unsichere Objekt-ID |
| API | Programmierschnittstelle |
| CORS | Cross-Origin Resource Sharing |
| Rate Limiting | Begrenzung von Anfragen |
| Security Headers | HTTP-Sicherheitsheader |
| HSTS | HTTPS-Erzwingung |
| Clickjacking | Täuschung bei Klickaktionen |
| WAF | Web Application Firewall |
| Secure Coding | sichere Softwareentwicklung |
| Code Review | Prüfung von Quellcode |
| Penetrationstest | kontrollierte Angriffssimulation |
| Schwachstellenscan | automatisierte Suche bekannter Schwachstellen |
| OWASP | Organisation für Webanwendungssicherheit |
---
**IHK-sichere Kurzformulierung**
Webangriffe richten sich gegen Webanwendungen, APIs, Sitzungen, Eingaben und Datenbanken. SQL Injection entsteht, wenn Benutzereingaben unsicher in Datenbankabfragen eingebaut werden; Schutz bieten Prepared Statements und parametrisierte Abfragen. Cross-Site Scripting schleust Skriptcode in Webseiten ein, der im Browser anderer Benutzer ausgeführt wird; Schutz bieten korrektes Escaping, sichere Frameworks, Content Security Policy und sichere Cookies. Cross-Site Request Forgery missbraucht eine bestehende Anmeldung, um ungewollte Aktionen auszulösen; Schutz bieten CSRF-Token und SameSite Cookies. Weitere Risiken sind unsichere Datei-Uploads, Directory Traversal, Broken Authentication, Broken Access Control, unsichere APIs und unsichere Konfiguration. Eine WAF kann unterstützen, ersetzt aber keine sichere Programmierung.
---
**Merksätze**
Webanwendungen sind häufig öffentlich erreichbar.
Benutzereingaben niemals blind vertrauen.
Frontend-Prüfung ist keine Sicherheitsgrenze.
Sicherheitsprüfung gehört ins Backend.
SQL Injection macht Eingabe zu SQL-Befehl.
Prepared Statements trennen Befehl und Wert.
Datenbankrechte begrenzen.
XSS führt Skript im Browser aus.
Stored XSS wird gespeichert.
Reflected XSS kommt über Anfrage zurück.
DOM-XSS entsteht im Browser.
Escaping macht Code zu Text.
CSP begrenzt ausführbare Inhalte.
HttpOnly schützt Cookies vor JavaScript-Zugriff.
Secure Cookie nur über HTTPS.
SameSite hilft gegen CSRF.
CSRF missbraucht bestehende Anmeldung.
CSRF-Token schützt vor fremden Aktionen.
SQL Injection,
XSS
und CSRF nicht verwechseln.
Directory Traversal nutzt Pfade aus.
Datei-Uploads streng prüfen.
Webshell bedeutet Fernsteuerungsrisiko.
Broken Authentication betrifft Anmeldung.
Broken Access Control betrifft Rechte.
IDOR ist fehlende Objektberechtigung.
APIs brauchen dieselbe Sicherheit wie Weboberflächen.
CORS nicht zu breit erlauben.
Rate Limiting schützt APIs.
Fehlerdetails nicht öffentlich anzeigen.
Security Headers härten Browser-Schutz.
HSTS erzwingt HTTPS.
Clickjacking täuscht Klicks.
WAF ist Zusatzschutz.
WAF ersetzt keinen sicheren Code.
Secure Coding früh einplanen.
Code Reviews finden Fehler früh.
Schwachstellenscan findet bekannte Probleme.
Penetrationstest prüft kontrolliert tiefer.
# 16.6 Schwachstellen, Patchmanagement und Hardening
Schwachstellen sind Sicherheitslücken,
die von Angreifern ausgenutzt werden können.
Sie können entstehen durch:
- Programmierfehler
- veraltete Software
- unsichere Standardkonfiguration
- schwache Passwörter
- fehlende Zugriffskontrolle
- offene Ports
- unnötige Dienste
- falsche Berechtigungen
- unsichere Protokolle
- fehlende Updates
- menschliche Fehler
Merksatz:
Eine Schwachstelle ist eine ausnutzbare Sicherheitslücke.
---
**Warum Schwachstellen gefährlich sind**
Schwachstellen können dazu führen,
dass Angreifer:
Systeme übernehmen
Daten auslesen
Daten verändern
Dienste stören
Malware einschleusen
Rechte ausweiten
interne Systeme erreichen
Sicherheitsfunktionen umgehen
Merksatz:
Schwachstellen sind oft der Einstiegspunkt für Angriffe.
---
**Schwachstelle, Bedrohung und Risiko unterscheiden**
| Begriff | Bedeutung | Beispiel |
|---|---|---|
| Schwachstelle | ausnutzbare Lücke | ungepatchter Server |
| Bedrohung | mögliches schädliches Ereignis | Angreifer nutzt Lücke aus |
| Risiko | Wahrscheinlichkeit und Auswirkung | Serverübernahme mit Datenabfluss |
Merksatz:
Schwachstelle ist die Lücke.
Bedrohung ist das mögliche Ereignis.
Risiko ist die bewertete Gefahr.
---
**Beispiele für technische Schwachstellen**
Typische technische Schwachstellen:
veraltetes Betriebssystem
ungepatchter Webserver
veraltete VPN-Appliance
unsichere TLS-Version
Standardpasswort
offener RDP-Port
öffentlich erreichbare Datenbank
unsichere API
fehlende Eingabeprüfung
fehlerhafte Zugriffskontrolle
veraltete Bibliothek
unsicheres Container-Image
Merksatz:
Technische Schwachstellen entstehen oft durch alte Versionen oder falsche Konfiguration.
---
**Beispiele für organisatorische Schwachstellen**
Organisatorische Schwachstellen sind zum Beispiel:
keine Zuständigkeiten
keine regelmäßigen Updates
keine Rechteprüfung
kein Backup-Konzept
keine Restore-Tests
keine Sicherheitsrichtlinie
kein Offboarding-Prozess
keine Dokumentation
keine Notfallplanung
keine Schulung
Merksatz:
Organisation kann genauso Schwachstelle sein wie Technik.
---
**Beispiele für menschliche Schwachstellen**
Menschliche Schwachstellen entstehen durch:
fehlendes Sicherheitsbewusstsein
Passwort-Wiederverwendung
unkritisches Öffnen von Anhängen
Bestätigen unbekannter MFA-Anfragen
Weitergabe von Zugangsdaten
Umgehen von Prozessen
fehlende Schulung
Zeitdruck
Gewohnheit
Merksatz:
Menschen brauchen klare Prozesse und Schulung,
nicht nur technische Regeln.
---
**CVE**
CVE steht für:
Common Vulnerabilities and Exposures
CVE ist eine standardisierte Kennung für bekannte Schwachstellen.
Beispielprinzip:
CVE-Jahr-Nummer
Eine CVE beschreibt eine bekannte Schwachstelle,
damit Hersteller,
Administratoren
und Sicherheitswerkzeuge eindeutig darüber sprechen können.
Merksatz:
CVE ist eine eindeutige Kennung für bekannte Schwachstellen.
---
**CVSS**
CVSS steht für:
Common Vulnerability Scoring System
CVSS bewertet,
wie kritisch eine Schwachstelle ist.
Der Wert liegt üblicherweise zwischen:
0,0
und
10,0
Je höher der Wert,
desto kritischer ist die Schwachstelle.
Merksatz:
CVSS bewertet die Kritikalität einer Schwachstelle.
---
**CVSS richtig einordnen**
Ein hoher CVSS-Wert bedeutet:
Schwachstelle ist technisch kritisch.
Aber für die Praxis muss zusätzlich geprüft werden:
Ist das System betroffen?
Ist der Dienst erreichbar?
Gibt es bereits Ausnutzung?
Gibt es Schutzmaßnahmen?
Sind sensible Daten betroffen?
Ist das System geschäftskritisch?
Gibt es einen Patch?
Gibt es einen Workaround?
Merksatz:
CVSS hilft bei Priorisierung,
ersetzt aber keine Risikoanalyse.
---
**Exploit**
Ein Exploit ist eine Methode oder ein Code,
mit dem eine Schwachstelle ausgenutzt wird.
Beispiele:
Exploit für veralteten Webserver
Exploit für ungepatchte VPN-Appliance
Exploit für fehlerhafte Bibliothek
Exploit für unsichere Eingabeprüfung
Merksatz:
Exploit = Ausnutzung einer Schwachstelle.
---
**Zero-Day-Schwachstelle**
Eine Zero-Day-Schwachstelle ist eine Schwachstelle,
für die noch kein Patch verfügbar ist
oder die dem Hersteller noch nicht bekannt ist.
Ein Zero-Day-Angriff nutzt diese Schwachstelle aus.
Schutz ist schwieriger,
aber möglich durch:
Defense in Depth
Least Privilege
Netzwerksegmentierung
EDR
WAF
Monitoring
Härtung
schnelle Reaktion
Merksatz:
Zero-Day bedeutet:
Angriff vor verfügbarem regulärem Patch.
---
**Patch**
Ein Patch ist eine Korrektur oder Aktualisierung.
Ein Patch kann beheben:
Sicherheitslücke
Programmfehler
Stabilitätsproblem
Kompatibilitätsproblem
Merksatz:
Patch = Korrektur oder Sicherheitsupdate.
---
**Update und Upgrade unterscheiden**
Update:
kleinere Aktualisierung
Fehlerbehebung
Sicherheitskorrektur
Versionspflege
Upgrade:
größere Versionsänderung
neue Hauptversion
neue Funktionen
größere technische Änderung
Merksatz:
Update ist meist kleiner.
Upgrade ist meist größer.
---
**Patchmanagement**
Patchmanagement bedeutet:
Updates werden geplant,
geprüft,
verteilt
und kontrolliert.
Patchmanagement betrifft:
Betriebssysteme
Anwendungen
Browser
Serverdienste
Datenbanken
Firewalls
Router
Switches
VPN-Gateways
Firmware
Container-Images
Bibliotheken
Cloud-Systeme
Merksatz:
Patchmanagement ist die organisierte Verwaltung von Sicherheitsupdates.
---
**Warum Patchmanagement wichtig ist**
Viele erfolgreiche Angriffe nutzen bekannte Schwachstellen,
für die bereits Updates existieren.
Ohne Patchmanagement bleiben Systeme unnötig angreifbar.
Typische Folgen:
Malware-Infektion
Ransomware
Datenabfluss
Systemübernahme
Ausfall
laterale Bewegung im Netzwerk
Merksatz:
Ungepatchte Systeme sind leichte Ziele.
---
**Patchmanagement-Ablauf**
Ein sinnvoller Ablauf:
1. Systeme inventarisieren.
2. Schwachstelleninformationen prüfen.
3. Betroffenheit bewerten.
4. Kritikalität priorisieren.
5. Patch testen.
6. Wartungsfenster planen.
7. Patch ausrollen.
8. Funktion prüfen.
9. Erfolg dokumentieren.
10. Rest-Risiken bewerten.
Merksatz:
Patchmanagement braucht Überblick,
Priorisierung,
Test
und Dokumentation.
---
**Inventarisierung**
Inventarisierung bedeutet:
Es wird erfasst,
welche Systeme,
Software,
Versionen
und Komponenten vorhanden sind.
Ohne Inventar ist unklar:
Welche Systeme sind betroffen?
Welche Version läuft?
Wer ist verantwortlich?
Wo muss gepatcht werden?
Welche Systeme sind kritisch?
Merksatz:
Was nicht bekannt ist,
kann nicht zuverlässig gepatcht werden.
---
**Asset**
Ein Asset ist ein Wert oder eine Ressource,
die geschützt werden muss.
Beispiele:
Server
Notebook
Anwendung
Datenbank
Firewall
Switch
Cloud-Ressource
Benutzerkonto
Datenbestand
Zertifikat
API-Schlüssel
Merksatz:
Asset = schützenswerte Ressource.
---
**Asset Management**
Asset Management bedeutet:
IT-Ressourcen werden erfasst,
verwaltet
bewertet
und über ihren Lebenszyklus verfolgt.
Wichtig für:
Patchmanagement
Lizenzmanagement
Sicherheitsbewertung
Kostenkontrolle
Verantwortlichkeiten
Notfallplanung
Merksatz:
Asset Management ist Grundlage für geordneten IT-Betrieb.
---
**Priorisierung von Patches**
Nicht alle Patches können immer gleichzeitig installiert werden.
Priorisierung nach:
Kritikalität der Schwachstelle
Ausnutzbarkeit
betroffene Systeme
öffentliche Erreichbarkeit
Geschäftskritikalität
vorhandene Schutzmaßnahmen
bekannte Angriffe
Datenklassifizierung
Aufwand und Risiko des Updates
Merksatz:
Kritische,
ausnutzbare
und öffentlich erreichbare Systeme zuerst patchen.
---
**Notfallpatch**
Ein Notfallpatch wird schnell eingespielt,
wenn eine Schwachstelle besonders kritisch ist.
Beispiele:
aktive Ausnutzung bekannt
öffentlich erreichbarer Dienst betroffen
Ransomware nutzt Lücke aus
keine ausreichende Schutzmaßnahme vorhanden
Merksatz:
Kritische Schwachstellen können außerplanmäßige Updates erfordern.
---
**Wartungsfenster**
Ein Wartungsfenster ist ein geplanter Zeitraum,
in dem Änderungen durchgeführt werden.
Ziele:
Benutzer informieren
Ausfallzeit planen
Risiken reduzieren
Rollback vorbereiten
Verantwortliche erreichbar halten
Merksatz:
Wartungsfenster machen Änderungen planbar.
---
**Rollback**
Rollback bedeutet:
Eine Änderung wird zurückgenommen.
Beispiele:
Patch deinstallieren
Snapshot zurückspielen
Konfiguration wiederherstellen
alte Version aktivieren
Backup wiederherstellen
Wichtig:
Rollback muss vor der Änderung geplant sein.
Merksatz:
Jede kritische Änderung braucht einen Rückweg.
---
**Patch testen**
Patches sollten geprüft werden,
besonders bei kritischen Systemen.
Zu prüfen:
startet das System?
läuft die Anwendung?
funktionieren Dienste?
gibt es Kompatibilitätsprobleme?
funktionieren Schnittstellen?
sind Performance-Probleme entstanden?
funktioniert Backup weiterhin?
Merksatz:
Patchen ohne Test kann neue Störungen erzeugen.
---
**Patch-Erfolg prüfen**
Nach dem Patchen muss geprüft werden:
Version aktualisiert?
Schwachstelle geschlossen?
Dienste laufen?
Logs unauffällig?
Monitoring grün?
Benutzer können arbeiten?
Schwachstellenscan bestätigt Erfolg?
Merksatz:
Patch abgeschlossen heißt:
Wirkung und Betrieb geprüft.
---
**Patchmanagement und Dokumentation**
Dokumentiert werden sollten:
betroffene Systeme
alte Version
neue Version
Zeitpunkt
Verantwortlicher
Grund
Testergebnis
Rollback-Plan
bekannte Probleme
offene Rest-Risiken
Merksatz:
Dokumentation macht Änderungen nachvollziehbar.
---
**Firmware-Updates**
Firmware ist Software,
die direkt auf Geräten läuft.
Betroffene Geräte:
Router
Switches
Firewalls
Access Points
Drucker
NAS
Serverhardware
SSDs
IoT-Geräte
Firmware-Updates sind wichtig,
weil Netzwerkgeräte oft dauerhaft erreichbar und sicherheitskritisch sind.
Merksatz:
Auch Netzwerkgeräte und Firmware müssen gepatcht werden.
---
**Patchmanagement bei Netzwerkgeräten**
Bei Netzwerkgeräten besonders beachten:
Konfiguration sichern
Firmware-Kompatibilität prüfen
Wartungsfenster planen
Redundanz prüfen
Zugriff nach Update testen
Rollback-Möglichkeit prüfen
Monitoring beobachten
Merksatz:
Netzwerkgeräte-Updates brauchen besondere Vorsicht,
weil sie Verbindungen beeinflussen.
---
**Patchmanagement bei Servern**
Bei Servern beachten:
Dienste prüfen
Abhängigkeiten prüfen
Backups erstellen
Wartungsfenster planen
Neustarts berücksichtigen
Anwendungskompatibilität prüfen
Monitoring nach Update prüfen
Merksatz:
Serverpatches betreffen oft mehrere Dienste gleichzeitig.
---
**Patchmanagement bei Clients**
Bei Clients beachten:
Betriebssystemupdates
Browserupdates
Office-Updates
PDF-Reader
E-Mail-Client
VPN-Client
Sicherheitssoftware
Treiber
lokale Anwendungen
Merksatz:
Clients sind häufige Einstiegspunkte und müssen aktuell bleiben.
---
**Patchmanagement bei Cloud**
Cloud-Patchverantwortung hängt vom Service-Modell ab.
IaaS:
Kunde patcht Betriebssystem,
Anwendungen
und eigene Dienste.
PaaS:
Anbieter patcht Plattform,
Kunde patcht Anwendung,
Code
und Abhängigkeiten.
SaaS:
Anbieter patcht Anwendung,
Kunde prüft Einstellungen,
Benutzer,
Rechte
und Sicherheit.
Merksatz:
Cloud nimmt nicht jede Patchverantwortung ab.
---
**Patchmanagement bei Containern**
Container müssen ebenfalls gepflegt werden.
Zu prüfen:
Basisimage
Bibliotheken
Laufzeitumgebung
Anwendungscode
Paketabhängigkeiten
Secrets im Image
unsichere Konfiguration
Container-Registry
Maßnahmen:
Images regelmäßig neu bauen
Images scannen
minimale Images nutzen
veraltete Images ersetzen
keine unnötigen Pakete installieren
Merksatz:
Container-Images altern und müssen aktualisiert werden.
---
**Dependency Management**
Dependency Management bedeutet:
Abhängigkeiten einer Software werden verwaltet.
Beispiele:
Bibliotheken
Frameworks
Pakete
Module
Container-Basisimages
Plugins
Risiko:
Eine verwundbare Bibliothek kann die ganze Anwendung gefährden.
Merksatz:
Auch Abhängigkeiten sind Teil der Sicherheit.
---
**SBOM**
SBOM steht für:
Software Bill of Materials
Eine SBOM listet Softwarebestandteile einer Anwendung auf.
Beispiele:
Bibliotheken
Versionen
Komponenten
Abhängigkeiten
Nutzen:
schneller erkennen,
ob eine bekannte Schwachstelle betroffen ist.
Merksatz:
SBOM ist eine Stückliste für Softwarebestandteile.
---
**Schwachstellenscan**
Ein Schwachstellenscan sucht automatisch nach bekannten Schwachstellen.
Er prüft zum Beispiel:
offene Ports
Dienstversionen
bekannte CVEs
fehlende Patches
unsichere TLS-Konfiguration
Standarddienste
schwache Konfigurationen
verwundbare Bibliotheken
Merksatz:
Schwachstellenscan findet bekannte technische Probleme.
---
**Grenzen von Schwachstellenscans**
Ein Schwachstellenscan erkennt nicht alles.
Grenzen:
unbekannte Schwachstellen
Logikfehler in Anwendungen
komplexe Rechtefehler
falsch bewertete Ergebnisse
fehlende Zugangsdaten beim Scan
Fehlalarme
nicht erreichbare Systeme
Merksatz:
Schwachstellenscan unterstützt,
ersetzt aber keine Sicherheitsanalyse.
---
**False Positive und False Negative**
False Positive:
Ein Problem wird gemeldet,
obwohl es nicht wirklich besteht.
False Negative:
Ein Problem wird nicht gemeldet,
obwohl es besteht.
Merksatz:
Scan-Ergebnisse müssen bewertet werden.
---
**Penetrationstest**
Ein Penetrationstest ist eine kontrollierte Sicherheitsprüfung,
bei der Angriffe simuliert werden.
Ziel:
Schwachstellen realistisch prüfen
Angriffspfade erkennen
Auswirkungen bewerten
Maßnahmen ableiten
Wichtig:
schriftlicher Auftrag
definierter Umfang
erlaubter Zeitraum
klare Regeln
Abschlussbericht
Merksatz:
Penetrationstest ist kontrollierte Angriffssimulation.
---
**Schwachstellenscan und Penetrationstest vergleichen**
| Merkmal | Schwachstellenscan | Penetrationstest |
|---|---|---|
| Art | automatisiert | manuell und automatisiert |
| Ziel | bekannte Schwachstellen finden | Angriffswege bewerten |
| Tiefe | eher breit | tiefer und kontextbezogener |
| Ergebnis | Liste möglicher Schwachstellen | bewerteter Sicherheitsbericht |
| Grenze | Fehlalarme möglich | zeitlich und fachlich begrenzt |
Merksatz:
Scan findet Hinweise.
Penetrationstest bewertet Angriffsrealität.
---
**Hardening**
Hardening bedeutet:
Systeme werden sicherer konfiguriert,
indem unnötige Funktionen entfernt
und sichere Einstellungen gesetzt werden.
Ziel:
Angriffsfläche reduzieren
Merksatz:
Hardening reduziert unnötige Angriffsmöglichkeiten.
---
**Warum Hardening wichtig ist**
Viele Systeme werden mit Standardfunktionen ausgeliefert,
die nicht immer benötigt werden.
Beispiele:
Standardkonten
Beispieldateien
Testseiten
offene Dienste
unnötige Module
alte Protokolle
unsichere Standardwerte
Verzeichnislisting
Merksatz:
Standardkonfiguration ist nicht automatisch sicher.
---
**Hardening-Grundregeln**
Wichtige Grundregeln:
unnötige Dienste deaktivieren
offene Ports reduzieren
Standardpasswörter ändern
Standardkonten deaktivieren
sichere Protokolle nutzen
alte Protokolle abschalten
Rechte minimieren
Logging aktivieren
sichere Konfiguration dokumentieren
Zugriff beschränken
Updates einspielen
Merksatz:
Nur aktivieren,
was wirklich benötigt wird.
---
**Betriebssystem-Hardening**
Maßnahmen:
unnötige Dienste deaktivieren
lokale Firewall aktivieren
Benutzerrechte begrenzen
sichere Passwortrichtlinien
automatische Updates planen
Protokollierung aktivieren
unsichere Freigaben entfernen
Adminzugriffe begrenzen
Standardkonten prüfen
Systemdateien schützen
Merksatz:
Betriebssysteme brauchen sichere Grundkonfiguration.
---
**Server-Hardening**
Maßnahmen:
nur benötigte Rollen installieren
Dienste auf notwendige Ports begrenzen
Adminzugänge beschränken
TLS korrekt konfigurieren
Sicherheitsheader setzen
Fehlerausgaben reduzieren
Logs aktivieren
Dateirechte prüfen
Backup-Zugriff schützen
Monitoring einrichten
Merksatz:
Server sollen nur notwendige Dienste bereitstellen.
---
**Webserver-Hardening**
Maßnahmen:
Verzeichnislisting deaktivieren
unnötige Module entfernen
alte TLS-Versionen deaktivieren
Security Headers setzen
Fehlermeldungen begrenzen
Standardseiten entfernen
Upload-Verzeichnisse absichern
Dateirechte begrenzen
Adminoberflächen schützen
Logs aktivieren
Merksatz:
Webserver nicht mit unsicheren Standardfunktionen betreiben.
---
**Datenbank-Hardening**
Maßnahmen:
nicht öffentlich erreichbar machen
starke Authentifizierung
Datenbankbenutzerrechte begrenzen
Standardkonten deaktivieren
Verschlüsselung prüfen
Backups schützen
Logging aktivieren
Netzwerkzugriff einschränken
Sicherheitsupdates einspielen
keine Testdaten in Produktion
Merksatz:
Datenbanken gehören besonders geschützt.
---
**Netzwerkgeräte-Hardening**
Maßnahmen:
Standardpasswörter ändern
Managementzugang beschränken
unsichere Protokolle deaktivieren
SSH statt Telnet
HTTPS statt HTTP
SNMP sicher konfigurieren
Firmware aktuell halten
ungenutzte Ports deaktivieren
Konfiguration sichern
Logging an zentralen Server senden
Merksatz:
Netzwerkgeräte sind sicherheitskritische Infrastruktur.
---
**Client-Hardening**
Maßnahmen:
keine lokalen Adminrechte
automatische Updates
EDR oder Antivirus
Makros einschränken
Application Control
Festplattenverschlüsselung
Bildschirmsperre
sichere Browserkonfiguration
USB-Regeln
Firewall aktivieren
Merksatz:
Clients sind häufige Einstiegspunkte und müssen gehärtet werden.
---
**Cloud-Hardening**
Maßnahmen:
MFA erzwingen
IAM minimal berechtigen
öffentliche IPs begrenzen
Security Groups eng setzen
Storage nicht öffentlich freigeben
Audit-Logs aktivieren
Verschlüsselung aktivieren
Schlüsselverwaltung klären
Kostenalarme setzen
ungenutzte Ressourcen löschen
Standardrollen prüfen
Merksatz:
Cloud-Hardening bedeutet sichere Konfiguration von Identitäten,
Netzwerken,
Daten
und Diensten.
---
**Container-Hardening**
Maßnahmen:
minimale Images verwenden
keine Root-Ausführung,
wenn nicht nötig
keine Secrets im Image
Images scannen
nur vertrauenswürdige Registries
Schreibrechte begrenzen
Netzwerkzugriffe begrenzen
Ressourcenlimits setzen
unnötige Tools entfernen
Images regelmäßig neu bauen
Merksatz:
Container sollten klein,
aktuell
und rechtearm sein.
---
**Konfigurationsbaseline**
Eine Baseline ist eine festgelegte Standardkonfiguration.
Sie beschreibt,
wie ein System sicher eingerichtet sein soll.
Beispiele:
erlaubte Dienste
Passwortregeln
Logging-Einstellungen
Firewall-Grundregeln
Update-Einstellungen
TLS-Vorgaben
Rechtevorgaben
Merksatz:
Baseline = definierter sicherer Grundzustand.
---
**Configuration Drift**
Configuration Drift bedeutet:
Die tatsächliche Konfiguration weicht von der geplanten Baseline ab.
Ursachen:
manuelle Änderungen
Notfalländerungen
fehlende Dokumentation
unterschiedliche Installationen
ungeprüfte Anpassungen
Merksatz:
Configuration Drift macht Systeme uneinheitlich und schwerer sicher zu betreiben.
---
**Compliance-Scan**
Ein Compliance-Scan prüft,
ob Systeme bestimmte Vorgaben erfüllen.
Beispiele:
Passwortregeln aktiv?
Logging aktiv?
Firewall aktiv?
Verschlüsselung aktiv?
unsichere Dienste deaktiviert?
Standardkonten deaktiviert?
Patchstand korrekt?
Merksatz:
Compliance-Scan prüft Einhaltung definierter Sicherheitsvorgaben.
---
**Change Management bei Sicherheit**
Sicherheitsänderungen sollten geplant und dokumentiert werden.
Beispiele:
Firewall-Regel ändern
Adminrolle vergeben
Dienst öffnen
Patch einspielen
Zertifikat erneuern
TLS-Version ändern
neue VPN-Gruppe erstellen
Merksatz:
Auch Sicherheitsänderungen brauchen Kontrolle.
---
**Vier-Augen-Prinzip**
Vier-Augen-Prinzip bedeutet:
kritische Aktionen werden von mindestens zwei Personen geprüft oder freigegeben.
Beispiele:
Adminrechte vergeben
Firewall nach außen öffnen
Backup löschen
Produktivsystem ändern
Zahlungsdaten ändern
kritische Sicherheitseinstellung deaktivieren
Merksatz:
Vier-Augen-Prinzip reduziert Fehler und Missbrauch.
---
**Regelmäßige Überprüfung**
Sicherheitsmaßnahmen müssen regelmäßig geprüft werden.
Zu prüfen:
Patchstand
offene Ports
Benutzerrechte
Adminrechte
Firewall-Regeln
Backups
Restore-Tests
Logs
Zertifikate
Cloud-Freigaben
externe Zugänge
Merksatz:
Sicherheit ist ein laufender Prozess,
kein einmaliger Zustand.
---
**Typische Fehler bei Patchmanagement**
Häufige Fehler:
kein Inventar
keine Zuständigkeit
keine Priorisierung
kritische Systeme werden vergessen
Updates werden nie getestet
kein Wartungsfenster
kein Rollback-Plan
Erfolg wird nicht geprüft
Abhängigkeiten werden übersehen
Firmware wird vergessen
Container-Images bleiben alt
Merksatz:
Patchmanagement scheitert oft an Organisation,
nicht nur an Technik.
---
**Typische Fehler bei Hardening**
Häufige Fehler:
Standardpasswörter bleiben aktiv
unnötige Dienste laufen
offene Ports bleiben erreichbar
alte Protokolle bleiben erlaubt
Adminzugänge sind zu breit
Logs sind deaktiviert
Fehlermeldungen zeigen Details
Cloud-Speicher ist öffentlich
Testsysteme sind ungeschützt
Baseline wird nicht kontrolliert
Merksatz:
Hardening muss überprüfbar und dauerhaft gepflegt sein.
---
**Checkliste: Schwachstellen reduzieren**
Assets erfassen.
Versionen dokumentieren.
Schwachstellenmeldungen prüfen.
Kritikalität bewerten.
Patches priorisieren.
Updates testen.
Wartungsfenster planen.
Rollback vorbereiten.
Patches ausrollen.
Erfolg prüfen.
Systeme härten.
unnötige Dienste deaktivieren.
Rechte begrenzen.
Logs aktivieren.
regelmäßige Scans durchführen.
Maßnahmen dokumentieren.
Merksatz:
Schwachstellenmanagement verbindet Technik,
Prozesse
und Dokumentation.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist eine Schwachstelle?
- Was ist der Unterschied zwischen Schwachstelle, Bedrohung und Risiko?
- Was ist eine CVE?
- Was ist CVSS?
- Was ist ein Exploit?
- Was ist ein Zero-Day?
- Was ist Patchmanagement?
- Warum ist Patchmanagement wichtig?
- Welche Systeme müssen gepatcht werden?
- Warum braucht man ein Inventar?
- Wie priorisiert man Patches?
- Was ist ein Notfallpatch?
- Warum braucht man ein Wartungsfenster?
- Was bedeutet Rollback?
- Was ist Hardening?
- Warum ist Standardkonfiguration nicht automatisch sicher?
- Was ist eine Baseline?
- Was bedeutet Configuration Drift?
- Was ist ein Schwachstellenscan?
- Was ist der Unterschied zwischen Schwachstellenscan und Penetrationstest?
---
**Typische Prüfungsfallen**
Schwachstelle,
Bedrohung
und Risiko nicht verwechseln.
CVE benennt bekannte Schwachstellen.
CVSS bewertet Kritikalität.
Hoher CVSS-Wert ersetzt keine eigene Risikoanalyse.
Exploit nutzt eine Schwachstelle aus.
Zero-Day hat noch keinen regulären Patch.
Patchmanagement ist ein Prozess,
nicht nur ein Klick auf Update.
Ohne Inventar kein gutes Patchmanagement.
Firmware und Netzwerkgeräte nicht vergessen.
Container-Images müssen ebenfalls aktualisiert werden.
Cloud nimmt nicht jede Patchpflicht ab.
Patches priorisieren,
nicht blind alles gleich behandeln.
Kritische Systeme brauchen Test und Rollback.
Hardening reduziert Angriffsfläche.
Standardkonfiguration ist nicht automatisch sicher.
Unnötige Dienste deaktivieren.
Alte Protokolle abschalten.
Baseline definiert sicheren Grundzustand.
Configuration Drift regelmäßig prüfen.
Schwachstellenscan findet bekannte Probleme,
aber nicht alles.
Penetrationstest ist kontrollierte Angriffssimulation.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| Schwachstelle | ausnutzbare Sicherheitslücke |
| Bedrohung | mögliches schädliches Ereignis |
| Risiko | Wahrscheinlichkeit und Auswirkung eines Schadens |
| Schutzmaßnahme | reduziert Risiko |
| CVE | eindeutige Kennung bekannter Schwachstellen |
| CVSS | Bewertung der Kritikalität einer Schwachstelle |
| Exploit | Ausnutzung einer Schwachstelle |
| Zero-Day | Schwachstelle ohne verfügbaren regulären Patch |
| Patch | Korrektur oder Sicherheitsupdate |
| Update | kleinere Aktualisierung |
| Upgrade | größere Versionsänderung |
| Patchmanagement | organisierte Verwaltung von Updates |
| Inventarisierung | Erfassung vorhandener Systeme |
| Asset | schützenswerte Ressource |
| Asset Management | Verwaltung von IT-Ressourcen |
| Notfallpatch | schneller Patch bei kritischer Schwachstelle |
| Wartungsfenster | geplanter Änderungszeitraum |
| Rollback | Rücknahme einer Änderung |
| Firmware | Software auf Geräten |
| Dependency Management | Verwaltung von Softwareabhängigkeiten |
| SBOM | Stückliste von Softwarebestandteilen |
| Schwachstellenscan | automatisierte Suche bekannter Schwachstellen |
| False Positive | fälschlich gemeldetes Problem |
| False Negative | nicht erkannter echter Fehler |
| Penetrationstest | kontrollierte Angriffssimulation |
| Hardening | sichere Systemhärtung |
| Baseline | definierter sicherer Grundzustand |
| Configuration Drift | Abweichung von Soll-Konfiguration |
| Compliance-Scan | Prüfung auf Einhaltung von Vorgaben |
| Vier-Augen-Prinzip | Prüfung durch mindestens zwei Personen |
---
**IHK-sichere Kurzformulierung**
Eine Schwachstelle ist eine ausnutzbare Sicherheitslücke in Technik, Konfiguration, Organisation oder Prozessen. Eine Bedrohung ist ein mögliches schädliches Ereignis, während Risiko die Kombination aus Eintrittswahrscheinlichkeit und Schadensauswirkung beschreibt. Bekannte Schwachstellen werden häufig mit CVE-Kennungen beschrieben und mit CVSS nach Kritikalität bewertet. Patchmanagement umfasst das Erfassen betroffener Systeme, Bewerten von Schwachstellen, Priorisieren, Testen, Einspielen und Dokumentieren von Updates. Hardening bedeutet, Systeme sicher zu konfigurieren, unnötige Dienste zu deaktivieren, Rechte zu begrenzen, unsichere Protokolle abzuschalten und sichere Baselines einzuhalten. Schwachstellenscans und Penetrationstests helfen, Sicherheitsprobleme zu erkennen und Maßnahmen abzuleiten.
---
**Merksätze**
Schwachstelle = ausnutzbare Lücke.
Bedrohung = mögliches Schadereignis.
Risiko = Wahrscheinlichkeit und Auswirkung.
Schutzmaßnahme senkt Risiko.
CVE benennt bekannte Schwachstellen.
CVSS bewertet Kritikalität.
Exploit nutzt Schwachstelle aus.
Zero-Day hat noch keinen regulären Patch.
Patch = Korrektur oder Sicherheitsupdate.
Update kleiner,
Upgrade größer.
Patchmanagement ist ein Prozess.
Ohne Inventar kein gutes Patchmanagement.
Assets müssen bekannt sein.
Kritische Patches priorisieren.
Öffentlich erreichbare Systeme zuerst prüfen.
Notfallpatch kann außerplanmäßig nötig sein.
Wartungsfenster planen.
Rollback vorbereiten.
Patch-Erfolg prüfen.
Firmware nicht vergessen.
Netzwerkgeräte müssen aktualisiert werden.
Clients sind häufige Einstiegspunkte.
Cloud nimmt nicht jede Patchpflicht ab.
Container-Images altern.
Abhängigkeiten sind Teil der Sicherheit.
SBOM zeigt Softwarebestandteile.
Schwachstellenscan findet bekannte Probleme.
False Positives prüfen.
False Negatives bedenken.
Penetrationstest prüft Angriffswege.
Hardening reduziert Angriffsfläche.
Standardkonfiguration ist nicht automatisch sicher.
Unnötige Dienste deaktivieren.
Rechte minimieren.
Alte Protokolle abschalten.
Baseline definiert sicheren Grundzustand.
Configuration Drift vermeiden.
Sicherheit regelmäßig überprüfen.
Schwachstellenmanagement braucht Technik,
Prozess
und Dokumentation.
# 16.7 Sicherheitsmaßnahmen: Firewall, IDS, IPS, EDR, SIEM und Backup
Sicherheitsmaßnahmen schützen Systeme,
Netzwerke,
Daten
und Benutzer vor Angriffen.
Es gibt nicht die eine Maßnahme,
die alles schützt.
Stattdessen werden mehrere Schutzmaßnahmen kombiniert.
Typische Sicherheitsmaßnahmen sind:
- Firewall
- Netzwerksegmentierung
- IDS
- IPS
- Antivirus
- EDR
- SIEM
- MFA
- Backup
- Patchmanagement
- Hardening
- Logging
- Monitoring
- Schulung
- Incident Response
Merksatz:
IT-Sicherheit entsteht durch mehrere Schutzschichten.
---
**Warum mehrere Schutzmaßnahmen nötig sind**
Einzelne Schutzmaßnahmen können versagen.
Beispiele:
Firewall-Regel ist zu breit.
Benutzer fällt auf Phishing herein.
Antivirus erkennt neue Malware nicht.
Patch ist noch nicht verfügbar.
Backup wurde nicht getestet.
Passwort wurde wiederverwendet.
Adminrechte wurden zu großzügig vergeben.
Deshalb braucht man mehrere Schutzschichten.
Merksatz:
Sicherheit darf nicht von einer einzigen Maßnahme abhängen.
---
**Defense in Depth**
Defense in Depth bedeutet:
Sicherheit durch mehrere Schutzschichten.
Beispiel:
Firewall
plus
MFA
plus
Patchmanagement
plus
EDR
plus
Backup
plus
Monitoring
plus
Schulung
Wenn eine Schutzschicht versagt,
sollen andere Schichten den Schaden begrenzen.
Merksatz:
Defense in Depth = mehrschichtige Verteidigung.
---
**Prävention, Erkennung und Reaktion**
Sicherheitsmaßnahmen lassen sich grob einteilen in:
| Bereich | Ziel | Beispiele |
|---|---|---|
| Prävention | Angriff verhindern | Firewall, MFA, Patchmanagement |
| Erkennung | Angriff erkennen | IDS, EDR, SIEM, Logging |
| Reaktion | Schaden begrenzen | Incident Response, Isolation, Restore |
Merksatz:
Gute Sicherheit verhindert,
erkennt
und reagiert.
---
**Firewall**
Eine Firewall filtert Netzwerkverkehr anhand von Regeln.
Sie entscheidet,
ob Verkehr erlaubt oder blockiert wird.
Typische Kriterien:
Quelle
Ziel
Port
Protokoll
Richtung
Zustand der Verbindung
Anwendung je nach Firewalltyp
Benutzer je nach System
Merksatz:
Firewall = kontrollierte Netzwerkgrenze.
---
**Firewall-Aufgaben**
Eine Firewall kann:
interne Netze schützen
Internetzugriffe filtern
DMZ absichern
VPN-Zugänge begrenzen
Serverdienste schützen
Netzwerkbereiche trennen
unerwünschten Verkehr blockieren
Verbindungsversuche protokollieren
Merksatz:
Firewalls begrenzen,
welche Kommunikation erlaubt ist.
---
**Paketfilter-Firewall**
Eine Paketfilter-Firewall prüft einzelne Pakete anhand einfacher Merkmale.
Beispiele:
Quell-IP
Ziel-IP
Quellport
Zielport
Protokoll
Vorteil:
schnell
grundlegend wirksam
Nachteil:
erkennt nicht immer den Zusammenhang einer Verbindung
versteht Anwendungen nur begrenzt
Merksatz:
Paketfilter prüfen grundlegende Paketinformationen.
---
**Stateful Firewall**
Eine Stateful Firewall merkt sich Verbindungszustände.
Sie erkennt,
ob ein Paket zu einer bestehenden erlaubten Verbindung gehört.
Vorteil:
Rückverkehr kann automatisch korrekt zugeordnet werden.
Beispiel:
Client baut Verbindung zu Webserver auf.
Antwortpakete werden als zugehörig erkannt.
Merksatz:
Stateful Firewall kennt den Zustand von Verbindungen.
---
**Application Firewall**
Eine Application Firewall prüft Verkehr auf Anwendungsebene.
Beispiele:
HTTP-Anfragen
Webanwendungsangriffe
ungewöhnliche Parameter
SQL-Injection-Muster
XSS-Muster
Protokollverstöße
Eine Web Application Firewall ist eine spezielle Form für Webanwendungen.
Merksatz:
Application Firewall schaut tiefer in Anwendungsverkehr.
---
**Next-Generation Firewall**
Eine Next-Generation Firewall kann mehr als einfache Portfilterung.
Typische Funktionen:
Stateful Inspection
Anwendungserkennung
Benutzerbezug
IDS/IPS-Funktionen
URL-Filter
Malware-Erkennung
VPN
Logging
Richtlinien nach Anwendungen
Merksatz:
Next-Generation Firewall kombiniert mehrere Sicherheitsfunktionen.
---
**Firewall-Regeln richtig formulieren**
Gute Firewall-Regeln sind:
notwendig
eindeutig
dokumentiert
möglichst eng
nach Quelle,
Ziel,
Port
und Protokoll definiert
regelmäßig geprüft
Schlechte Regel:
Any to Any allow
Bessere Regel:
Webserver darf TCP 5432 zur Datenbank auf bestimmter IP nutzen.
Merksatz:
Erlaube nur,
was wirklich benötigt wird.
---
**Default Deny**
Default Deny bedeutet:
standardmäßig ist alles verboten,
nur ausdrücklich erlaubter Verkehr ist erlaubt.
Vorteil:
weniger ungewollte Kommunikation
bessere Kontrolle
geringere Angriffsfläche
Merksatz:
Default Deny ist sicherer als pauschales Erlauben.
---
**Firewall-Logging**
Firewall-Logs zeigen,
welcher Verkehr erlaubt oder blockiert wurde.
Typische Inhalte:
Zeit
Quelle
Ziel
Port
Protokoll
Aktion
Regelname
Interface
Benutzer je nach System
Merksatz:
Firewall-Logs helfen bei Fehlersuche und Sicherheitsanalyse.
---
**Netzwerksegmentierung**
Netzwerksegmentierung bedeutet:
Netzwerke werden in getrennte Bereiche aufgeteilt.
Beispiele:
Clientnetz
Servernetz
Managementnetz
Gastnetz
IoT-Netz
Produktionsnetz
Backupnetz
DMZ
Vorteil:
Angriffe können sich schlechter ausbreiten.
Zugriffe können gezielter gesteuert werden.
Merksatz:
Segmentierung begrenzt Schaden und Ausbreitung.
---
**VLANs als Segmentierung**
VLANs trennen Netzwerke logisch auf Schicht 2.
Beispiele:
VLAN 10 Clients
VLAN 20 Server
VLAN 30 Gäste
VLAN 40 Management
Zwischen VLANs sollte kontrolliert geroutet und gefiltert werden.
Merksatz:
VLAN trennt logisch,
Firewall-Regeln steuern den Verkehr dazwischen.
---
**DMZ als Schutzmaßnahme**
Eine DMZ ist ein gesonderter Netzwerkbereich für öffentlich erreichbare Dienste.
Typische Systeme:
Webserver
Reverse Proxy
Mail-Gateway
VPN-Gateway
DNS-Server
Ziel:
öffentliche Dienste vom internen Netz trennen.
Merksatz:
DMZ schützt interne Netze vor direktem Zugriff aus dem Internet.
---
**IDS**
IDS steht für:
Intrusion Detection System
Ein IDS erkennt verdächtige Aktivitäten
und meldet sie.
Es blockiert normalerweise nicht selbst,
sondern erzeugt Alarme.
Beispiele für Erkennung:
Portscan
bekannte Angriffssignatur
verdächtiger Netzwerkverkehr
ungewöhnliche Loginversuche
Exploit-Versuch
Merksatz:
IDS erkennt Angriffe,
blockiert aber nicht zwingend.
---
**IPS**
IPS steht für:
Intrusion Prevention System
Ein IPS erkennt verdächtige Aktivitäten
und kann sie zusätzlich blockieren.
Beispiele:
Verbindung abbrechen
Paket verwerfen
Quelle blockieren
Angriffsmuster stoppen
Merksatz:
IPS erkennt und verhindert Angriffe aktiv.
---
**IDS und IPS vergleichen**
| Merkmal | IDS | IPS |
|---|---|---|
| Bedeutung | Intrusion Detection System | Intrusion Prevention System |
| Hauptaufgabe | erkennen und melden | erkennen und blockieren |
| Wirkung | passiv oder beobachtend | aktiv eingreifend |
| Risiko | Angriff wird nur gemeldet | Fehlalarm kann legitimen Verkehr blockieren |
Merksatz:
IDS meldet.
IPS greift ein.
---
**Signaturbasierte Erkennung**
Signaturbasierte Erkennung sucht nach bekannten Mustern.
Beispiele:
bekannte Malware-Signatur
bekannte Exploit-Anfrage
bekannter Angriffspfad
bekannter Hashwert
bekannte Netzwerksequenz
Vorteil:
gut gegen bekannte Angriffe
Nachteil:
schwächer gegen neue oder veränderte Angriffe
Merksatz:
Signaturen erkennen Bekanntes.
---
**Anomaliebasierte Erkennung**
Anomaliebasierte Erkennung sucht nach ungewöhnlichem Verhalten.
Beispiele:
Benutzer meldet sich plötzlich aus fremdem Land an
Server sendet ungewöhnlich viel Datenverkehr
Client verbindet sich zu vielen internen Systemen
Konto hat plötzlich viele Fehlversuche
Prozess verschlüsselt viele Dateien
Vorteil:
kann neue Angriffe erkennen
Nachteil:
mehr Fehlalarme möglich
Merksatz:
Anomalieerkennung erkennt Abweichungen vom Normalverhalten.
---
**False Positive und False Negative**
False Positive:
Ein Alarm wird ausgelöst,
obwohl kein echter Angriff vorliegt.
False Negative:
Ein echter Angriff wird nicht erkannt.
Beides ist problematisch.
Merksatz:
Sicherheitsalarme müssen bewertet und verbessert werden.
---
**Antivirus**
Antivirus-Software erkennt und blockiert bekannte Schadsoftware.
Typische Funktionen:
Dateiscan
Echtzeitschutz
Signaturprüfung
Quarantäne
Malware-Entfernung
einfache Verhaltensprüfung
Grenze:
Antivirus allein reicht nicht gegen moderne Angriffe.
Merksatz:
Antivirus ist eine Schutzschicht,
aber kein vollständiges Sicherheitskonzept.
---
**EDR**
EDR steht für:
Endpoint Detection and Response
EDR überwacht Endgeräte tiefer als klassischer Antivirus.
Typische Funktionen:
Prozessüberwachung
Verhaltensanalyse
Angriffserkennung
Isolation eines Endgeräts
Untersuchung von Vorfällen
zentrale Verwaltung
Reaktionsmaßnahmen
Merksatz:
EDR erkennt und untersucht Angriffe auf Endgeräten.
---
**Endpoint**
Ein Endpoint ist ein Endgerät oder System,
das im Netzwerk genutzt wird.
Beispiele:
Notebook
Desktop-PC
Server
virtuelle Maschine
mobiles Gerät
Cloud-VM
Merksatz:
Endpoint = Endsystem,
auf dem Benutzer oder Dienste arbeiten.
---
**EDR-Reaktionen**
EDR kann bei einem Verdacht reagieren.
Beispiele:
Prozess beenden
Datei isolieren
Gerät vom Netzwerk trennen
Verbindung blockieren
Alarm erzeugen
forensische Daten sammeln
Datei in Quarantäne verschieben
Merksatz:
EDR ist nicht nur Erkennung,
sondern auch Reaktion.
---
**XDR**
XDR steht für:
Extended Detection and Response
XDR erweitert Erkennung und Reaktion über mehrere Bereiche.
Beispiele:
Endgeräte
E-Mail
Netzwerk
Cloud
Identitäten
Anwendungen
Ziel:
Ereignisse aus mehreren Quellen zusammenführen.
Merksatz:
XDR verbindet Sicherheitsdaten aus mehreren Bereichen.
---
**SIEM**
SIEM steht für:
Security Information and Event Management
Ein SIEM sammelt,
speichert
und analysiert Sicherheitsereignisse aus vielen Quellen.
Quellen können sein:
Firewalls
Server
Clients
Cloud-Dienste
IAM-Systeme
VPN
EDR
IDS
IPS
Webserver
Datenbanken
Merksatz:
SIEM ist zentrale Sicherheitslog-Auswertung.
---
**SIEM-Aufgaben**
Ein SIEM hilft bei:
Angriffserkennung
Korrelation von Ereignissen
Alarmierung
Nachvollziehbarkeit
Compliance
forensischer Analyse
Reporting
Incident Response
Beispiel:
Viele fehlgeschlagene Logins
plus
erfolgreicher Login aus fremdem Land
plus
Datenexport
Das SIEM kann diese Ereignisse zusammenführen.
Merksatz:
SIEM erkennt Zusammenhänge,
die einzelne Systeme allein nicht zeigen.
---
**Korrelation**
Korrelation bedeutet:
mehrere Ereignisse werden miteinander in Beziehung gesetzt.
Beispiel:
Loginfehler
danach erfolgreicher Login
danach Rollenänderung
danach Datenexport
Ein einzelnes Ereignis wirkt vielleicht harmlos.
Zusammen kann es verdächtig sein.
Merksatz:
Korrelation erkennt Muster über mehrere Logs hinweg.
---
**SOC**
SOC steht für:
Security Operations Center
Ein SOC überwacht Sicherheitsereignisse,
bewertet Alarme
und koordiniert Reaktionen.
Aufgaben:
Monitoring
Analyse
Alarmbewertung
Incident Response
Kommunikation
Dokumentation
Verbesserung von Regeln
Merksatz:
SOC ist die organisatorische Stelle für Sicherheitsüberwachung.
---
**SOAR**
SOAR steht für:
Security Orchestration,
Automation and Response
SOAR automatisiert Sicherheitsabläufe.
Beispiele:
verdächtiges Konto automatisch sperren
IP-Adresse blockieren
Ticket erstellen
EDR-Isolation auslösen
Logdaten sammeln
Benachrichtigung senden
Merksatz:
SOAR automatisiert Reaktionen auf Sicherheitsereignisse.
---
**MFA als Schutzmaßnahme**
MFA steht für:
Multi-Faktor-Authentifizierung
MFA schützt,
weil zusätzlich zum Passwort ein weiterer Faktor nötig ist.
Faktoren können sein:
Wissen:
Passwort oder PIN
Besitz:
Smartphone,
Token,
Smartcard
Sein:
biometrisches Merkmal
Merksatz:
MFA reduziert Schaden durch gestohlene Passwörter.
---
**Starke Authentifizierung**
Starke Authentifizierung bedeutet:
Anmeldung wird so abgesichert,
dass ein einzelnes schwaches Passwort nicht ausreicht.
Maßnahmen:
MFA
Hardwaretoken
Zertifikate
Conditional Access
Risikoanalyse
sichere Passwortregeln
Passwortmanager
Merksatz:
Starke Anmeldung schützt Identitäten.
---
**Least Privilege als Schutzmaßnahme**
Least Privilege bedeutet:
nur notwendige Rechte vergeben.
Vorteile:
weniger Schaden bei Kontoübernahme
weniger Risiko durch Fehler
weniger Angriffsfläche
bessere Kontrolle
Beispiele:
Benutzer kein lokaler Admin
Dienstkonto nur mit benötigten Rechten
Datenbankkonto ohne unnötige Löschrechte
Cloud-Rolle nur für konkrete Aufgabe
Merksatz:
Weniger Rechte bedeuten weniger möglicher Schaden.
---
**Backup als Schutzmaßnahme**
Backup schützt nicht direkt vor jedem Angriff,
aber ermöglicht Wiederherstellung.
Besonders wichtig bei:
Ransomware
versehentlichem Löschen
Datenkorruption
Fehlkonfiguration
Hardwareausfall
Systemkompromittierung
Merksatz:
Backup ist Schutz gegen Datenverlust und Ausfallfolgen.
---
**Gutes Backup-Konzept**
Ein gutes Backup-Konzept klärt:
was gesichert wird
wie oft gesichert wird
wie lange gesichert wird
wo gesichert wird
wer Zugriff hat
wie Wiederherstellung getestet wird
wie Backups geschützt werden
wie schnell wiederhergestellt werden muss
wie viel Datenverlust erlaubt ist
Merksatz:
Backup ohne Restore-Test ist unvollständig.
---
**Immutable Backup**
Immutable bedeutet:
unveränderlich
Ein Immutable Backup kann für eine festgelegte Zeit nicht gelöscht oder verändert werden.
Vorteile:
Schutz vor Ransomware
Schutz vor kompromittierten Adminzugängen
Schutz vor versehentlicher Löschung
Merksatz:
Immutable Backups schützen Wiederherstellungsmöglichkeiten.
---
**Restore-Test**
Ein Restore-Test prüft,
ob Wiederherstellung wirklich funktioniert.
Zu prüfen:
Daten vollständig?
Anwendung startet?
Rechte passen?
Schlüssel vorhanden?
Wiederherstellungszeit akzeptabel?
Daten konsistent?
Dokumentation korrekt?
Merksatz:
Nur getestete Backups sind verlässlich.
---
**Logging als Schutzmaßnahme**
Logging bedeutet:
Ereignisse werden protokolliert.
Wichtige Logs:
Anmeldungen
Adminaktionen
Firewall-Entscheidungen
Dateiänderungen
Datenbankzugriffe
VPN-Zugriffe
Cloud-Audit-Logs
EDR-Meldungen
Webserver-Logs
Merksatz:
Logs machen Ereignisse nachvollziehbar.
---
**Monitoring als Schutzmaßnahme**
Monitoring überwacht Zustände und Metriken.
Beispiele:
ungewöhnliche Netzlast
viele Loginfehler
CPU-Spitzen
Speicher voll
Dienst nicht erreichbar
Zertifikat läuft ab
Backup fehlgeschlagen
viele Firewall-Drops
Merksatz:
Monitoring erkennt Probleme früh.
---
**Alarmierung**
Alarmierung informiert Verantwortliche automatisch,
wenn Grenzwerte oder Sicherheitsereignisse auftreten.
Beispiele:
Malware-Fund
viele fehlgeschlagene Logins
Adminrolle vergeben
Backup fehlgeschlagen
ungewöhnlicher Datenexport
DDoS-Anzeichen
Cloud-Kostenanstieg
Merksatz:
Alarmierung macht kritische Ereignisse sichtbar.
---
**Security Awareness**
Security Awareness bedeutet:
Benutzer werden für Sicherheitsrisiken sensibilisiert.
Themen:
Phishing erkennen
Passwörter sicher nutzen
MFA-Anfragen richtig bewerten
vertrauliche Daten schützen
verdächtige Vorfälle melden
sichere Nutzung von Cloud-Diensten
Umgang mit USB-Geräten
Social Engineering erkennen
Merksatz:
Schulung macht Benutzer zu einem Teil der Verteidigung.
---
**Incident Response**
Incident Response bedeutet:
geplantes Vorgehen bei Sicherheitsvorfällen.
Typische Schritte:
erkennen
bewerten
eindämmen
beseitigen
wiederherstellen
dokumentieren
verbessern
Merksatz:
Incident Response muss vorbereitet sein,
bevor ein Vorfall passiert.
---
**Containment**
Containment bedeutet:
einen Sicherheitsvorfall eindämmen.
Beispiele:
infiziertes Gerät isolieren
Konto sperren
API-Schlüssel widerrufen
Firewall-Regel setzen
VPN-Zugang deaktivieren
kompromittierten Server vom Netz nehmen
Ausbreitung stoppen
Merksatz:
Containment begrenzt Schaden und Ausbreitung.
---
**Eradication**
Eradication bedeutet:
Ursache und Schadsoftware werden entfernt.
Beispiele:
Malware entfernen
System neu aufsetzen
Schwachstelle patchen
Backdoor entfernen
unsichere Konfiguration korrigieren
kompromittierte Zugangsdaten ersetzen
Merksatz:
Eradication beseitigt die Ursache des Vorfalls.
---
**Recovery**
Recovery bedeutet:
Systeme werden wiederhergestellt und kontrolliert in Betrieb genommen.
Dazu gehören:
Restore aus Backup
Systeme prüfen
Dienste starten
Monitoring beobachten
Benutzer informieren
erneute Kompromittierung ausschließen
Merksatz:
Recovery bringt Systeme sicher zurück in den Betrieb.
---
**Lessons Learned**
Lessons Learned bedeutet:
Nach einem Vorfall wird ausgewertet,
was verbessert werden muss.
Fragen:
Wie kam es zum Vorfall?
Was hat gut funktioniert?
Was hat nicht funktioniert?
Welche Maßnahmen fehlen?
Welche Regeln müssen geändert werden?
Welche Schulung ist nötig?
Welche Technik muss verbessert werden?
Merksatz:
Jeder Vorfall sollte zu besserer Sicherheit führen.
---
**Physische Sicherheitsmaßnahmen**
IT-Sicherheit umfasst auch physischen Schutz.
Beispiele:
Zutrittskontrolle
abschließbarer Serverraum
Videoüberwachung
Brandschutz
USV
Klimatisierung
gesicherte Netzwerkschränke
sichere Entsorgung von Datenträgern
Merksatz:
Ohne physischen Schutz kann technische Sicherheit umgangen werden.
---
**Organisatorische Sicherheitsmaßnahmen**
Organisatorische Maßnahmen regeln,
wie Sicherheit umgesetzt wird.
Beispiele:
Sicherheitsrichtlinien
Rollen und Verantwortlichkeiten
Vier-Augen-Prinzip
Freigabeprozesse
Change Management
Notfallhandbuch
Berechtigungskonzept
Schulungsplan
Offboarding-Prozess
Merksatz:
Sicherheit braucht klare Prozesse und Verantwortlichkeiten.
---
**Technische Sicherheitsmaßnahmen**
Technische Maßnahmen schützen Systeme direkt.
Beispiele:
Firewall
MFA
Verschlüsselung
EDR
IDS
IPS
Backup
Patchmanagement
Hardening
Netzwerksegmentierung
Logging
Monitoring
Zugriffskontrolle
Merksatz:
Technische Maßnahmen wirken nur gut,
wenn sie richtig konfiguriert und betrieben werden.
---
**Personelle Sicherheitsmaßnahmen**
Personelle Maßnahmen betreffen das Verhalten von Menschen.
Beispiele:
Schulungen
Sensibilisierung
klare Meldewege
sichere Passwortnutzung
Verhalten bei Phishing
Umgang mit vertraulichen Daten
Wissen über Social Engineering
Merksatz:
Menschen müssen wissen,
wie sie sicher handeln sollen.
---
**Sicherheitsmaßnahmen nach Angriffsziel**
| Angriffsziel | passende Maßnahmen |
|---|---|
| Passwortdiebstahl | MFA, Passwortmanager, Schulung |
| Malware | EDR, Patchmanagement, Rechtebegrenzung |
| Ransomware | Backup, Immutable Backup, Segmentierung |
| DDoS | DDoS-Schutz, Rate Limiting, CDN |
| Webangriffe | Secure Coding, WAF, Code Review |
| Datenabfluss | DLP, Verschlüsselung, Rechtekonzept |
| Insider-Risiko | Logging, Least Privilege, Vier-Augen-Prinzip |
| Kontoübernahme | MFA, Conditional Access, Monitoring |
Merksatz:
Maßnahme muss zum Risiko passen.
---
**Typische Kombinationen in der Praxis**
Beispiel Webserver:
Firewall
WAF
Patchmanagement
TLS
Logging
Monitoring
Backup
Rechtebegrenzung
Beispiel Client:
EDR
Patchmanagement
keine lokalen Adminrechte
E-Mail-Schutz
Makro-Schutz
Schulung
Beispiel Cloud:
MFA
IAM
Security Groups
Audit-Logs
Verschlüsselung
Backup
Kostenalarme
Merksatz:
Unterschiedliche Systeme brauchen unterschiedliche Schutzpakete.
---
**Typische Fehler bei Sicherheitsmaßnahmen**
Häufige Fehler:
nur eine Maßnahme einsetzen
Firewall-Regeln nie prüfen
Logs nicht aktivieren
Alarme ignorieren
Backups nicht testen
MFA-Ausnahmen zu breit erlauben
Adminrechte dauerhaft vergeben
EDR nur installieren,
aber nicht überwachen
SIEM ohne klare Regeln betreiben
Schulung vernachlässigen
Incident Response nicht üben
Merksatz:
Sicherheitsmaßnahmen müssen betrieben,
geprüft
und verbessert werden.
---
**Checkliste: Schutzmaßnahmen sinnvoll kombinieren**
Risiken bestimmen.
Schutzziele festlegen.
Systeme inventarisieren.
Firewall-Regeln prüfen.
Segmentierung planen.
MFA aktivieren.
Rechte minimieren.
Patchmanagement organisieren.
Hardening durchführen.
EDR einsetzen.
Logs zentral sammeln.
SIEM oder zentrale Auswertung nutzen.
Backups schützen.
Restore testen.
Benutzer schulen.
Incident Response vorbereiten.
Maßnahmen regelmäßig prüfen.
Merksatz:
Sicherheit ist ein Prozess,
kein einmaliger Zustand.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist Defense in Depth?
- Was ist eine Firewall?
- Was ist der Unterschied zwischen Paketfilter und Stateful Firewall?
- Was ist eine Next-Generation Firewall?
- Was bedeutet Default Deny?
- Warum ist Netzwerksegmentierung wichtig?
- Was ist eine DMZ?
- Was ist ein IDS?
- Was ist ein IPS?
- Was ist der Unterschied zwischen IDS und IPS?
- Was ist EDR?
- Was ist SIEM?
- Was bedeutet Korrelation im SIEM?
- Was ist ein SOC?
- Was ist SOAR?
- Warum ist MFA wichtig?
- Warum ist Backup eine Sicherheitsmaßnahme?
- Was ist ein Restore-Test?
- Was ist Incident Response?
- Was bedeutet Containment?
- Warum sind Schulungen wichtig?
---
**Typische Prüfungsfallen**
Firewall ersetzt kein Patchmanagement.
Antivirus ersetzt kein Sicherheitskonzept.
IDS und IPS unterscheiden.
IDS erkennt,
IPS blockiert.
EDR ist mehr als klassischer Antivirus.
SIEM sammelt und korreliert Logs.
SOC ist organisatorische Sicherheitsüberwachung.
SOAR automatisiert Reaktionen.
Backup verhindert keinen Angriff,
hilft aber bei Wiederherstellung.
Backup ohne Restore-Test ist unsicher.
Immutable Backup schützt vor Manipulation.
MFA schützt stark gegen Passwortmissbrauch,
aber nicht gegen alles.
Segmentierung begrenzt Ausbreitung.
Default Deny ist sicherer als pauschales Erlauben.
Logs müssen vor dem Vorfall aktiv sein.
Alarme müssen bearbeitet werden.
Schulungen sind Sicherheitsmaßnahme.
Incident Response muss vorbereitet sein.
Sicherheit braucht Technik,
Organisation
und Menschen.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| Sicherheitsmaßnahme | Maßnahme zur Risikoreduzierung |
| Defense in Depth | mehrschichtige Verteidigung |
| Prävention | Angriff verhindern |
| Erkennung | Angriff feststellen |
| Reaktion | auf Angriff reagieren |
| Firewall | Filter für Netzwerkverkehr |
| Paketfilter | prüft grundlegende Paketdaten |
| Stateful Firewall | merkt sich Verbindungszustände |
| Application Firewall | prüft Anwendungsebene |
| NGFW | Next-Generation Firewall |
| Default Deny | standardmäßig alles blockieren |
| Segmentierung | Trennung von Netzbereichen |
| VLAN | logische Netztrennung |
| DMZ | Zone für öffentlich erreichbare Dienste |
| IDS | Intrusion Detection System |
| IPS | Intrusion Prevention System |
| Signatur | bekanntes Angriffsmuster |
| Anomalie | Abweichung vom Normalverhalten |
| False Positive | falscher Alarm |
| False Negative | nicht erkannter Angriff |
| Antivirus | Schutz gegen bekannte Schadsoftware |
| EDR | Endpoint Detection and Response |
| Endpoint | Endgerät oder Endsystem |
| XDR | erweiterte Erkennung und Reaktion |
| SIEM | zentrale Sicherheitslog-Auswertung |
| Korrelation | Verknüpfung mehrerer Ereignisse |
| SOC | Security Operations Center |
| SOAR | automatisierte Sicherheitsreaktion |
| MFA | Multi-Faktor-Authentifizierung |
| Least Privilege | minimale notwendige Rechte |
| Backup | zusätzliche Datensicherung |
| Immutable Backup | unveränderliches Backup |
| Restore-Test | Prüfung der Wiederherstellung |
| Logging | Ereignisprotokollierung |
| Monitoring | Zustandsüberwachung |
| Alerting | automatische Alarmierung |
| Awareness | Sicherheitsbewusstsein |
| Incident Response | Reaktion auf Sicherheitsvorfälle |
| Containment | Eindämmung |
| Eradication | Beseitigung der Ursache |
| Recovery | Wiederherstellung |
| Lessons Learned | Auswertung und Verbesserung |
---
**IHK-sichere Kurzformulierung**
Sicherheitsmaßnahmen sollen Risiken für Vertraulichkeit, Integrität und Verfügbarkeit reduzieren. Da einzelne Maßnahmen versagen können, werden mehrere Schutzschichten nach dem Prinzip Defense in Depth kombiniert. Firewalls begrenzen Netzwerkverkehr, Segmentierung trennt Netzbereiche, IDS erkennt Angriffe, IPS kann sie zusätzlich blockieren, EDR überwacht Endgeräte und SIEM sammelt und korreliert Sicherheitslogs. MFA schützt Identitäten, Least Privilege begrenzt Rechte, Backups und Restore-Tests sichern Wiederherstellung, und Incident Response regelt das Vorgehen bei Sicherheitsvorfällen. Gute IT-Sicherheit verbindet technische, organisatorische, personelle und physische Maßnahmen.
---
**Merksätze**
Sicherheit braucht mehrere Schutzschichten.
Defense in Depth kombiniert Maßnahmen.
Prävention verhindert.
Erkennung erkennt.
Reaktion begrenzt Schaden.
Firewall filtert Netzwerkverkehr.
Paketfilter prüft Paketdaten.
Stateful Firewall kennt Verbindungen.
Application Firewall prüft Anwendungsebene.
Default Deny ist sicherer.
Segmentierung begrenzt Ausbreitung.
VLAN trennt logisch.
DMZ schützt interne Netze.
IDS erkennt Angriffe.
IPS blockiert zusätzlich.
Signaturen erkennen Bekanntes.
Anomalien erkennen Abweichungen.
False Positive ist falscher Alarm.
False Negative ist verpasster Angriff.
Antivirus ist nur eine Schutzschicht.
EDR erkennt und reagiert auf Endgeräten.
XDR verbindet mehrere Sicherheitsbereiche.
SIEM sammelt und korreliert Logs.
SOC überwacht Sicherheit organisatorisch.
SOAR automatisiert Reaktionen.
MFA schützt Identitäten.
Least Privilege begrenzt Schaden.
Backup hilft bei Wiederherstellung.
Immutable Backup schützt Backups.
Restore-Test beweist Backup-Nutzbarkeit.
Logging macht Ereignisse nachvollziehbar.
Monitoring erkennt Probleme.
Alarmierung muss bearbeitet werden.
Schulung ist Sicherheitsmaßnahme.
Incident Response braucht Vorbereitung.
Containment begrenzt Ausbreitung.
Eradication beseitigt Ursache.
Recovery stellt Betrieb wieder her.
Lessons Learned verbessern Sicherheit.
Sicherheit ist ein Prozess,
kein einmaliger Zustand.
# 16.8 Merksätze und Prüfungswissen zu Angriffen und Schutzmaßnahmen
Diese Seite fasst die wichtigsten Inhalte zu Angriffen,
Schwachstellen,
Schadsoftware,
Phishing,
Netzwerkangriffen,
Webangriffen
und Schutzmaßnahmen zusammen.
Das Thema ist prüfungsrelevant,
weil es viele Bereiche verbindet:
- Informationssicherheit
- Netzwerktechnik
- Betriebssysteme
- Anwendungen
- Benutzerkonten
- Cloud
- Backup
- Datenschutz
- Monitoring
- Incident Response
Merksatz:
IT-Sicherheit schützt Vertraulichkeit,
Integrität
und Verfügbarkeit.
---
**Die drei wichtigsten Schutzziele**
Die wichtigsten Schutzziele der Informationssicherheit sind:
Vertraulichkeit
Integrität
Verfügbarkeit
Diese drei Begriffe bilden die Grundlage vieler Sicherheitsfragen.
Merksatz:
Vertraulichkeit,
Integrität
und Verfügbarkeit immer sauber unterscheiden.
---
**Vertraulichkeit**
Vertraulichkeit bedeutet:
Informationen dürfen nur von berechtigten Personen gelesen werden.
Beispiele:
Kundendaten
Passwörter
Personalakten
interne Dokumente
Zugangsdaten
Geschäftsgeheimnisse
Angriffe auf Vertraulichkeit:
Phishing
Sniffing
Spyware
Datenabfluss
unberechtigte Freigaben
gestohlene Zugangsdaten
Merksatz:
Vertraulichkeit schützt vor unberechtigtem Lesen.
---
**Integrität**
Integrität bedeutet:
Daten dürfen nicht unbemerkt verändert werden.
Beispiele:
Rechnung wird manipuliert.
Datenbankeintrag wird verändert.
Konfigurationsdatei wird heimlich angepasst.
Softwareupdate wird verfälscht.
Angriffe auf Integrität:
Man-in-the-Middle
Malware
SQL Injection
Supply-Chain-Angriff
unberechtigte Änderung
Merksatz:
Integrität schützt vor unbemerkter Manipulation.
---
**Verfügbarkeit**
Verfügbarkeit bedeutet:
Systeme,
Dienste
und Daten sind bei Bedarf nutzbar.
Beispiele:
Webseite erreichbar
Datenbank verfügbar
Netzwerk funktioniert
Dateien sind nutzbar
Backup kann wiederhergestellt werden
Angriffe auf Verfügbarkeit:
DoS
DDoS
Ransomware
Sabotage
Überlastung
Systemausfall
Merksatz:
Verfügbarkeit schützt die Nutzbarkeit von IT-Systemen.
---
**CIA-Triade**
CIA steht für:
Confidentiality
Integrity
Availability
Deutsch:
Vertraulichkeit
Integrität
Verfügbarkeit
Merksatz:
CIA-Triade = Vertraulichkeit,
Integrität
Verfügbarkeit.
---
**Authentizität**
Authentizität bedeutet:
Die Echtheit einer Person,
eines Systems
oder einer Nachricht ist überprüfbar.
Beispiele:
Ist der Benutzer wirklich der richtige Benutzer?
Ist der Server wirklich der richtige Server?
Stammt die Nachricht wirklich vom angegebenen Absender?
Merksatz:
Authentizität schützt vor falscher Identität.
---
**Nichtabstreitbarkeit**
Nichtabstreitbarkeit bedeutet:
Eine Handlung kann später nachgewiesen werden
und nicht glaubwürdig abgestritten werden.
Beispiele:
digitale Signatur
Zeitstempel
Audit-Log
eindeutiges Benutzerkonto
Merksatz:
Nichtabstreitbarkeit sorgt für Nachweisbarkeit.
---
**Schwachstelle, Bedrohung und Risiko**
| Begriff | Bedeutung |
|---|---|
| Schwachstelle | ausnutzbare Sicherheitslücke |
| Bedrohung | mögliches schädliches Ereignis |
| Risiko | Wahrscheinlichkeit und Auswirkung eines Schadens |
| Schutzmaßnahme | reduziert ein Risiko |
Merksatz:
Schwachstelle ist die Lücke.
Bedrohung ist das Ereignis.
Risiko ist die bewertete Gefahr.
---
**Angriffsfläche**
Angriffsfläche bedeutet:
alle Stellen,
an denen ein System angegriffen werden kann.
Beispiele:
offene Ports
Webanwendungen
Benutzerkonten
VPN-Zugänge
E-Mail
APIs
Cloud-Freigaben
veraltete Software
unsichere Dienste
Merksatz:
Je größer die Angriffsfläche,
desto mehr mögliche Angriffspunkte.
---
**Angriffsfläche reduzieren**
Maßnahmen:
unnötige Dienste deaktivieren
offene Ports reduzieren
Standardkonten deaktivieren
starke Authentifizierung nutzen
Systeme patchen
Rechte begrenzen
Netzbereiche segmentieren
öffentliche Freigaben prüfen
sichere Konfiguration verwenden
Merksatz:
Nicht benötigte Dienste und Zugänge entfernen.
---
**Malware**
Malware ist ein Oberbegriff für Schadsoftware.
Beispiele:
Virus
Wurm
Trojaner
Ransomware
Spyware
Keylogger
Rootkit
Botnet-Client
Cryptominer
Merksatz:
Malware ist Software mit schädlicher Funktion.
---
**Virus**
Ein Virus hängt sich häufig an Dateien oder Programme an
und wird aktiv,
wenn diese ausgeführt werden.
Merksatz:
Virus braucht oft eine Wirtsdatei oder Benutzeraktion.
---
**Wurm**
Ein Wurm verbreitet sich selbstständig über Netzwerke oder Schwachstellen.
Merksatz:
Wurm verbreitet sich selbstständig.
---
**Trojaner**
Ein Trojaner tarnt sich als nützliches Programm,
enthält aber Schadfunktionen.
Merksatz:
Trojaner täuscht Harmlosigkeit oder Nützlichkeit vor.
---
**Ransomware**
Ransomware verschlüsselt Daten oder sperrt Systeme
und fordert Lösegeld.
Sie betrifft besonders:
Verfügbarkeit
und oft zusätzlich:
Vertraulichkeit
Merksatz:
Ransomware greift Verfügbarkeit
und bei Datenabfluss auch Vertraulichkeit an.
---
**Double Extortion**
Double Extortion bedeutet:
Daten werden verschlüsselt
und
zusätzlich wird mit Veröffentlichung gestohlener Daten gedroht.
Merksatz:
Double Extortion = Verschlüsselung plus Datenabfluss.
---
**Schutz vor Ransomware**
Wichtige Maßnahmen:
Immutable Backups
Offline-Backups
regelmäßige Restore-Tests
Patchmanagement
EDR
MFA
Least Privilege
keine lokalen Adminrechte
Netzwerksegmentierung
Monitoring
schnelle Isolation betroffener Systeme
Merksatz:
Gegen Ransomware sind Backup,
Rechtebegrenzung
Segmentierung
und schnelle Reaktion besonders wichtig.
---
**Phishing**
Phishing ist Täuschung,
um Benutzer zur Preisgabe vertraulicher Informationen
oder zu gefährlichen Aktionen zu bringen.
Ziele:
Passwörter
MFA-Codes
Zugangstokens
Bankdaten
Cloud-Zugänge
VPN-Zugänge
interne Informationen
Merksatz:
Phishing greift Menschen über Täuschung an.
---
**Social Engineering**
Social Engineering manipuliert Menschen,
um Sicherheitsmaßnahmen zu umgehen.
Angreifer nutzen:
Zeitdruck
Angst
Autorität
Hilfsbereitschaft
Vertrauen
Neugier
Gewohnheit
Merksatz:
Social Engineering greift Verhalten und Prozesse an.
---
**Spear Phishing und Whaling**
Spear Phishing:
gezieltes Phishing gegen bestimmte Personen oder Organisationen
Whaling:
Phishing gegen besonders wichtige Personen
Beispiele für Whaling-Ziele:
Geschäftsführung
Finanzleitung
Administratoren
Personalabteilung
Merksatz:
Spear Phishing ist gezielt.
Whaling trifft besonders wertvolle Ziele.
---
**Smishing, Vishing und Quishing**
| Begriff | Bedeutung |
|---|---|
| Smishing | Phishing per SMS |
| Vishing | Phishing per Telefon |
| Quishing | Phishing über QR-Code |
Merksatz:
Phishing ist nicht auf E-Mail beschränkt.
---
**CEO-Fraud und BEC**
CEO-Fraud:
Angreifer geben sich als Führungskraft aus
und fordern dringende Aktionen.
BEC:
Business E-Mail Compromise,
Missbrauch oder Nachahmung geschäftlicher E-Mail-Kommunikation.
Merksatz:
CEO-Fraud und BEC nutzen Vertrauen,
Autorität
und Geschäftsprozesse.
---
**Identitätsangriffe**
Identitätsangriffe richten sich gegen Benutzerkonten und Anmeldungen.
Typische Formen:
Brute Force
Credential Stuffing
Password Spraying
Phishing
Session Hijacking
MFA-Missbrauch
Account Takeover
Merksatz:
Wer Identitäten kontrolliert,
kontrolliert oft den Zugriff.
---
**Brute Force**
Brute Force bedeutet:
Passwörter werden systematisch ausprobiert.
Schutz:
starke Passwörter
MFA
Rate Limiting
Sperrmechanismen
Monitoring
Merksatz:
Brute Force wird durch Begrenzung und MFA erschwert.
---
**Credential Stuffing**
Credential Stuffing bedeutet:
geleakte Zugangsdaten aus anderen Diensten werden erneut ausprobiert.
Schutz:
eindeutige Passwörter
Passwortmanager
MFA
Leak-Erkennung
Merksatz:
Credential Stuffing nutzt Passwort-Wiederverwendung.
---
**Password Spraying**
Password Spraying bedeutet:
wenige häufige Passwörter werden gegen viele Konten getestet.
Merksatz:
Password Spraying verteilt wenige Passwörter auf viele Benutzer.
---
**MFA**
MFA steht für:
Multi-Faktor-Authentifizierung
MFA schützt,
weil zusätzlich zum Passwort ein weiterer Faktor nötig ist.
Merksatz:
MFA reduziert Schaden durch gestohlene Passwörter.
---
**MFA ist nicht unfehlbar**
Mögliche Angriffe trotz MFA:
MFA-Push-Fatigue
gestohlene Session-Tokens
Phishing mit Echtzeit-Weiterleitung
kompromittiertes Endgerät
Social Engineering beim Support
SIM-Swapping bei SMS-MFA
Merksatz:
MFA ist sehr wichtig,
aber kein vollständiger Ersatz für Sicherheitskonzept.
---
**DoS und DDoS**
DoS:
Denial of Service
DDoS:
Distributed Denial of Service
Unterschied:
| Angriff | Bedeutung |
|---|---|
| DoS | Dienst wird gestört oder überlastet |
| DDoS | verteilter DoS von vielen Quellen |
Merksatz:
DoS und DDoS greifen Verfügbarkeit an.
---
**DDoS-Schutz**
Maßnahmen:
DDoS-Schutzdienst
Provider-Unterstützung
CDN
Anycast
Load Balancer
Rate Limiting
Firewall-Regeln
WAF
Monitoring
Notfallplan
Merksatz:
DDoS-Schutz muss vorbereitet sein.
---
**Man-in-the-Middle**
Bei Man-in-the-Middle befindet sich ein Angreifer zwischen zwei Kommunikationspartnern.
Ziele:
Daten mitlesen
Daten verändern
Zugangsdaten abgreifen
Sitzungen übernehmen
Merksatz:
MitM sitzt zwischen Sender und Empfänger.
---
**Schutz vor Man-in-the-Middle**
Maßnahmen:
TLS korrekt nutzen
Zertifikate prüfen
Zertifikatswarnungen nicht ignorieren
VPN in unsicheren Netzen
HSTS
sichere WLAN-Konfiguration
DNS-Schutz
MFA
Merksatz:
TLS schützt nur,
wenn Zertifikate korrekt geprüft werden.
---
**Sniffing**
Sniffing bedeutet:
Netzwerkverkehr wird mitgeschnitten oder beobachtet.
Es kann genutzt werden für:
Fehlersuche
oder missbraucht werden für:
Abhören
Passwortdiebstahl
Sitzungsdiebstahl
Merksatz:
Sniffing ist Werkzeug und Risiko zugleich.
---
**Spoofing**
Spoofing bedeutet:
Herkunft,
Adresse
oder Identität wird vorgetäuscht.
Beispiele:
IP-Spoofing
MAC-Spoofing
ARP-Spoofing
DNS-Spoofing
E-Mail-Spoofing
Merksatz:
Spoofing täuscht Identität oder Herkunft vor.
---
**ARP-Spoofing**
ARP-Spoofing manipuliert die Zuordnung von IPv4-Adresse zu MAC-Adresse im lokalen Netz.
Mögliche Folge:
Man-in-the-Middle
Schutz:
DHCP Snooping
Dynamic ARP Inspection
Segmentierung
TLS
Merksatz:
ARP-Spoofing greift lokale Layer-2-Kommunikation an.
---
**DNS-Spoofing**
DNS-Spoofing manipuliert die Namensauflösung.
Folge:
Benutzer wird zu falscher IP-Adresse geleitet.
Schutz:
vertrauenswürdige DNS-Resolver
DNSSEC
TLS-Zertifikatsprüfung
sichere DHCP-Konfiguration
Merksatz:
DNS-Spoofing führt Namen zu falschen Zielen.
---
**Rogue DHCP**
Rogue DHCP bedeutet:
ein unautorisierter DHCP-Server verteilt falsche Netzwerkeinstellungen.
Mögliche Folgen:
falsches Gateway
falscher DNS-Server
Man-in-the-Middle
Netzwerkstörung
Schutz:
DHCP Snooping
Switchport-Sicherheit
Monitoring
physische Zugangskontrolle
Merksatz:
Rogue DHCP verteilt falsche Netzwerkkonfiguration.
---
**WLAN-Angriffe**
Typische WLAN-Angriffe:
Evil Twin
Rogue Access Point
unsichere Verschlüsselung
falsches Captive Portal
Deauthentication
Mitschneiden unverschlüsselter Kommunikation
Schutz:
WPA2-Enterprise oder WPA3
802.1X
starke Passwörter
Zertifikatsprüfung
Gastnetztrennung
Rogue-AP-Erkennung
Merksatz:
WLAN braucht Verschlüsselung,
Authentifizierung
und Segmentierung.
---
**Webangriffe**
Typische Webangriffe:
SQL Injection
Cross-Site Scripting
Cross-Site Request Forgery
Directory Traversal
File Upload Attack
Broken Authentication
Broken Access Control
unsichere APIs
unsichere Fehlerausgaben
Merksatz:
Webangriffe nutzen oft Eingaben,
Sitzungen
oder Berechtigungen aus.
---
**SQL Injection**
SQL Injection bedeutet:
Angreifer schleust SQL-Code in Eingaben ein.
Folgen:
Daten auslesen
Daten verändern
Login umgehen
Daten löschen
Schutz:
Prepared Statements
parametrisierte Abfragen
Eingabevalidierung
Datenbankrechte begrenzen
Merksatz:
SQL Injection macht Eingabe zu Datenbankbefehl.
---
**Cross-Site Scripting**
Cross-Site Scripting wird abgekürzt:
XSS
Dabei wird Skriptcode in eine Webseite eingeschleust,
der im Browser anderer Benutzer ausgeführt wird.
Schutz:
Ausgabe escapen
Eingaben validieren
Content Security Policy
HttpOnly Cookies
sichere Frameworks
Merksatz:
XSS greift Benutzer über den Browser an.
---
**CSRF**
CSRF steht für:
Cross-Site Request Forgery
Dabei wird eine bestehende Anmeldung missbraucht,
um ungewollte Aktionen auszulösen.
Schutz:
CSRF-Token
SameSite Cookies
Origin-Prüfung
erneute Bestätigung kritischer Aktionen
Merksatz:
CSRF missbraucht eine gültige Sitzung.
---
**SQL Injection, XSS und CSRF unterscheiden**
| Angriff | Ziel | Kernproblem |
|---|---|---|
| SQL Injection | Datenbank | Eingabe wird SQL-Befehl |
| XSS | Browser anderer Benutzer | Eingabe wird Skript |
| CSRF | bestehende Sitzung | fremde Seite löst Aktion aus |
Merksatz:
SQL Injection trifft Datenbank.
XSS trifft Browser.
CSRF missbraucht Sitzung.
---
**Broken Authentication**
Broken Authentication bedeutet:
Anmeldung oder Sitzungsverwaltung ist unsicher.
Beispiele:
kein MFA
schwache Passwörter
unsichere Passwortzurücksetzung
zu lange Sessions
Tokens unsicher gespeichert
Merksatz:
Broken Authentication gefährdet Konten und Sitzungen.
---
**Broken Access Control**
Broken Access Control bedeutet:
Benutzer können auf Daten oder Funktionen zugreifen,
für die sie keine Berechtigung haben.
Beispiele:
fremde Rechnung über geänderte ID anzeigen
Adminfunktion als normaler Benutzer aufrufen
API gibt fremde Daten zurück
Merksatz:
Zugriffskontrolle muss serverseitig geprüft werden.
---
**IDOR**
IDOR steht für:
Insecure Direct Object Reference
Dabei kann ein Benutzer durch Änderung einer ID auf fremde Objekte zugreifen.
Merksatz:
IDOR ist fehlende Objektberechtigung.
---
**Schwachstellenmanagement**
Schwachstellenmanagement bedeutet:
Schwachstellen erkennen,
bewerten,
priorisieren,
beheben
und dokumentieren.
Dazu gehören:
Inventarisierung
CVE-Bewertung
CVSS-Einordnung
Patchmanagement
Schwachstellenscans
Penetrationstests
Hardening
Dokumentation
Merksatz:
Schwachstellenmanagement ist ein dauerhafter Prozess.
---
**CVE und CVSS**
CVE:
eindeutige Kennung für bekannte Schwachstellen
CVSS:
Bewertung der Kritikalität einer Schwachstelle
Merksatz:
CVE benennt.
CVSS bewertet.
---
**Exploit und Zero-Day**
Exploit:
Methode oder Code zur Ausnutzung einer Schwachstelle
Zero-Day:
Schwachstelle,
für die noch kein regulärer Patch verfügbar ist
oder die noch nicht öffentlich bekannt war
Merksatz:
Exploit nutzt eine Lücke.
Zero-Day nutzt eine ungepatchte oder unbekannte Lücke.
---
**Patchmanagement**
Patchmanagement bedeutet:
Updates werden geplant,
getestet,
verteilt
geprüft
und dokumentiert.
Betroffen sind:
Betriebssysteme
Anwendungen
Browser
Datenbanken
Firewalls
Router
Switches
Firmware
Container-Images
Bibliotheken
Cloud-Systeme
Merksatz:
Patchmanagement ist organisierte Update-Verwaltung.
---
**Patchmanagement-Ablauf**
Typischer Ablauf:
1. Systeme inventarisieren.
2. Schwachstellen prüfen.
3. Betroffenheit bewerten.
4. Kritikalität priorisieren.
5. Patch testen.
6. Wartungsfenster planen.
7. Patch ausrollen.
8. Funktion prüfen.
9. Erfolg dokumentieren.
10. Rest-Risiko bewerten.
Merksatz:
Patchmanagement braucht Inventar,
Priorisierung,
Test,
Rollback
und Dokumentation.
---
**Hardening**
Hardening bedeutet:
Systeme werden sicherer konfiguriert,
indem unnötige Funktionen deaktiviert
und sichere Einstellungen gesetzt werden.
Beispiele:
unnötige Dienste deaktivieren
offene Ports reduzieren
Standardpasswörter ändern
alte Protokolle abschalten
Rechte minimieren
Logging aktivieren
Adminzugriffe begrenzen
Merksatz:
Hardening reduziert Angriffsfläche.
---
**Baseline**
Eine Baseline ist ein definierter sicherer Grundzustand.
Beispiele:
erlaubte Dienste
Passwortregeln
Update-Einstellungen
Logging-Pflicht
Firewall-Grundregeln
TLS-Vorgaben
Rechtevorgaben
Merksatz:
Baseline = festgelegte sichere Standardkonfiguration.
---
**Configuration Drift**
Configuration Drift bedeutet:
Die tatsächliche Konfiguration weicht von der geplanten Baseline ab.
Ursachen:
manuelle Änderungen
Notfalländerungen
fehlende Dokumentation
unterschiedliche Installationen
Merksatz:
Configuration Drift macht Systeme schwerer sicher zu betreiben.
---
**Firewall**
Eine Firewall filtert Netzwerkverkehr.
Sie prüft zum Beispiel:
Quelle
Ziel
Port
Protokoll
Richtung
Verbindungszustand
Anwendung je nach Firewalltyp
Merksatz:
Firewall begrenzt Netzwerkzugriffe.
---
**Default Deny**
Default Deny bedeutet:
standardmäßig ist alles verboten,
nur ausdrücklich erlaubter Verkehr ist erlaubt.
Merksatz:
Default Deny ist sicherer als pauschales Erlauben.
---
**IDS und IPS**
IDS:
Intrusion Detection System
erkennt und meldet Angriffe
IPS:
Intrusion Prevention System
erkennt und blockiert Angriffe zusätzlich
Merksatz:
IDS meldet.
IPS greift ein.
---
**Antivirus, EDR und XDR**
Antivirus:
erkennt vor allem bekannte Schadsoftware
EDR:
Endpoint Detection and Response,
erkennt und untersucht Angriffe auf Endgeräten
XDR:
Extended Detection and Response,
verbindet mehrere Sicherheitsbereiche
Merksatz:
EDR ist umfassender als klassischer Antivirus.
---
**SIEM, SOC und SOAR**
SIEM:
sammelt und korreliert Sicherheitslogs
SOC:
Security Operations Center,
organisatorische Stelle für Sicherheitsüberwachung
SOAR:
automatisiert Sicherheitsreaktionen
Merksatz:
SIEM sammelt Daten.
SOC bewertet.
SOAR automatisiert Reaktionen.
---
**Backup**
Backup ist eine zusätzliche Sicherung zur Wiederherstellung.
Wichtig:
regelmäßig
geschützt
verschlüsselt
getrennt
dokumentiert
getestet
Merksatz:
Backup ohne Restore-Test ist unsicher.
---
**Immutable Backup**
Immutable Backup bedeutet:
Backup kann für eine festgelegte Zeit nicht verändert oder gelöscht werden.
Schutz gegen:
Ransomware
versehentliche Löschung
kompromittierte Adminzugänge
Merksatz:
Immutable Backup schützt Wiederherstellungsmöglichkeiten.
---
**Incident Response**
Incident Response bedeutet:
strukturierte Reaktion auf Sicherheitsvorfälle.
Typische Schritte:
erkennen
bewerten
eindämmen
beseitigen
wiederherstellen
dokumentieren
verbessern
Merksatz:
Incident Response muss vorbereitet sein,
bevor ein Vorfall passiert.
---
**Containment, Eradication und Recovery**
| Phase | Bedeutung |
|---|---|
| Containment | Vorfall eindämmen |
| Eradication | Ursache beseitigen |
| Recovery | Systeme wiederherstellen |
Merksatz:
Erst eindämmen,
dann Ursache beseitigen,
dann sicher wiederherstellen.
---
**Defense in Depth**
Defense in Depth bedeutet:
mehrere Schutzschichten werden kombiniert.
Beispiel:
Firewall
plus
MFA
plus
Patchmanagement
plus
EDR
plus
Backup
plus
Monitoring
plus
Schulung
Merksatz:
Sicherheit darf nicht von einer einzigen Maßnahme abhängen.
---
**Technische, organisatorische, personelle und physische Maßnahmen**
| Maßnahmenart | Beispiele |
|---|---|
| technisch | Firewall, MFA, EDR, Backup, Verschlüsselung |
| organisatorisch | Richtlinien, Prozesse, Verantwortlichkeiten |
| personell | Schulung, Awareness, klare Meldewege |
| physisch | Zutrittskontrolle, Serverraum, Brandschutz |
Merksatz:
Sicherheit besteht aus Technik,
Organisation,
Menschen
und physischem Schutz.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was sind die drei Schutzziele der Informationssicherheit?
- Was bedeutet Vertraulichkeit?
- Was bedeutet Integrität?
- Was bedeutet Verfügbarkeit?
- Was ist der Unterschied zwischen Schwachstelle,
Bedrohung
und Risiko?
- Was ist Malware?
- Was ist der Unterschied zwischen Virus und Wurm?
- Was ist Ransomware?
- Was ist Phishing?
- Was ist Social Engineering?
- Was ist der Unterschied zwischen DoS und DDoS?
- Was ist Man-in-the-Middle?
- Was ist Spoofing?
- Was ist SQL Injection?
- Was ist XSS?
- Was ist CSRF?
- Was ist CVE?
- Was ist CVSS?
- Was ist Patchmanagement?
- Was ist Hardening?
- Was ist eine Firewall?
- Was ist der Unterschied zwischen IDS und IPS?
- Was ist EDR?
- Was ist SIEM?
- Warum sind Backups wichtig?
- Was ist Incident Response?
- Was bedeutet Defense in Depth?
---
**Typische Prüfungsfallen**
Vertraulichkeit,
Integrität
und Verfügbarkeit nicht verwechseln.
Ransomware betrifft nicht nur Verfügbarkeit,
sondern oft auch Vertraulichkeit.
Malware ist ein Oberbegriff.
Virus und Wurm unterscheiden.
Phishing ist nicht nur E-Mail.
Social Engineering ist nicht rein technisch.
DoS und DDoS unterscheiden.
DDoS ist verteilt.
MitM sitzt zwischen Kommunikationspartnern.
Spoofing täuscht Herkunft oder Identität vor.
DNSSEC schützt Integrität,
nicht automatisch Vertraulichkeit.
SQL Injection betrifft Datenbanken.
XSS betrifft Browser.
CSRF missbraucht Sitzungen.
Prepared Statements schützen gegen SQL Injection.
Frontend-Validierung ist keine Sicherheitsgrenze.
Zugriffskontrolle muss serverseitig erfolgen.
CVE benennt Schwachstellen.
CVSS bewertet Kritikalität.
Hoher CVSS-Wert ersetzt keine eigene Risikoanalyse.
Patchmanagement ist ein Prozess.
Hardening ist sichere Konfiguration.
Firewall ersetzt kein Patchmanagement.
Antivirus ersetzt kein Sicherheitskonzept.
IDS erkennt,
IPS blockiert zusätzlich.
EDR ist mehr als Antivirus.
SIEM sammelt und korreliert Logs.
Backup verhindert keinen Angriff,
hilft aber bei Wiederherstellung.
Backup ohne Restore-Test ist unsicher.
Security Awareness ist eine Schutzmaßnahme.
Incident Response muss vorbereitet sein.
Sicherheit ist ein Prozess,
kein einmaliger Zustand.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| Vertraulichkeit | Schutz vor unberechtigtem Lesen |
| Integrität | Schutz vor unbemerkter Veränderung |
| Verfügbarkeit | Nutzbarkeit von Systemen und Daten |
| Authentizität | Echtheit einer Identität oder Nachricht |
| Nichtabstreitbarkeit | Nachweisbarkeit einer Handlung |
| Schwachstelle | ausnutzbare Sicherheitslücke |
| Bedrohung | mögliches schädliches Ereignis |
| Risiko | Wahrscheinlichkeit und Auswirkung |
| Angriffsfläche | Summe möglicher Angriffspunkte |
| Malware | Schadsoftware |
| Virus | Schadsoftware mit Wirtsdatei |
| Wurm | selbstverbreitende Schadsoftware |
| Trojaner | getarnte Schadsoftware |
| Ransomware | erpresserische Verschlüsselung oder Sperrung |
| Phishing | Täuschung zur Datenpreisgabe |
| Social Engineering | Manipulation von Menschen |
| Brute Force | systematisches Ausprobieren |
| Credential Stuffing | Nutzung geleakter Zugangsdaten |
| Password Spraying | wenige Passwörter gegen viele Konten |
| DoS | Dienstverweigerung |
| DDoS | verteilte Dienstverweigerung |
| MitM | Man-in-the-Middle |
| Sniffing | Mitschneiden von Verkehr |
| Spoofing | Vortäuschen falscher Identität |
| ARP-Spoofing | Manipulation lokaler IP-MAC-Zuordnung |
| DNS-Spoofing | Manipulation von DNS-Antworten |
| Rogue DHCP | unautorisierter DHCP-Server |
| Evil Twin | gefälschter WLAN-Access-Point |
| SQL Injection | Einschleusen von SQL-Code |
| XSS | Cross-Site Scripting |
| CSRF | Cross-Site Request Forgery |
| IDOR | unsichere direkte Objekt-ID |
| CVE | Kennung bekannter Schwachstellen |
| CVSS | Kritikalitätsbewertung |
| Exploit | Ausnutzung einer Schwachstelle |
| Zero-Day | ungepatchte oder unbekannte Schwachstelle |
| Patchmanagement | organisierte Update-Verwaltung |
| Hardening | sichere Systemhärtung |
| Baseline | sicherer Grundzustand |
| Configuration Drift | Abweichung von Soll-Konfiguration |
| Firewall | Filter für Netzwerkverkehr |
| IDS | Angriffserkennung |
| IPS | Angriffserkennung mit Blockierung |
| Antivirus | Schutz gegen bekannte Schadsoftware |
| EDR | Endpoint Detection and Response |
| XDR | Extended Detection and Response |
| SIEM | Sicherheitslog-Auswertung |
| SOC | Security Operations Center |
| SOAR | automatisierte Sicherheitsreaktion |
| MFA | Multi-Faktor-Authentifizierung |
| Least Privilege | minimale notwendige Rechte |
| Backup | zusätzliche Datensicherung |
| Immutable Backup | unveränderliches Backup |
| Restore-Test | Prüfung der Wiederherstellung |
| Incident Response | Reaktion auf Sicherheitsvorfälle |
| Defense in Depth | mehrschichtige Verteidigung |
---
**IHK-sichere Gesamtformulierung**
Angriffe und Schutzmaßnahmen in der IT-Sicherheit beziehen sich auf den Schutz der Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit. Angriffe können technische Schwachstellen, unsichere Konfigurationen, menschliches Verhalten, Identitäten, Netzwerke, Webanwendungen oder Lieferketten ausnutzen. Typische Angriffe sind Malware, Ransomware, Phishing, Social Engineering, DoS, DDoS, Man-in-the-Middle, Spoofing, SQL Injection, Cross-Site Scripting und Cross-Site Request Forgery. Schutzmaßnahmen sind unter anderem Patchmanagement, Hardening, Firewalls, Netzwerksegmentierung, MFA, Least Privilege, IDS/IPS, EDR, SIEM, Backups, Restore-Tests, Monitoring, Logging, Schulungen und Incident Response. Ein wirksames Sicherheitskonzept kombiniert mehrere technische, organisatorische, personelle und physische Maßnahmen nach dem Prinzip Defense in Depth.
---
**Wichtigste Merksätze**
IT-Sicherheit schützt Vertraulichkeit,
Integrität
und Verfügbarkeit.
Vertraulichkeit schützt vor Mitlesen.
Integrität schützt vor Manipulation.
Verfügbarkeit schützt Nutzbarkeit.
Schwachstelle ist die Lücke.
Bedrohung ist das mögliche Ereignis.
Risiko ist Wahrscheinlichkeit und Auswirkung.
Angriffsfläche reduzieren.
Malware ist Schadsoftware.
Virus hängt sich an Dateien.
Wurm verbreitet sich selbstständig.
Trojaner tarnt sich.
Ransomware verschlüsselt oder sperrt.
Double Extortion bedeutet Verschlüsselung plus Datenabfluss.
Phishing täuscht Benutzer.
Social Engineering manipuliert Menschen.
Phishing ist nicht nur E-Mail.
MFA schützt stark,
aber nicht gegen alles.
Passwörter nicht wiederverwenden.
DoS und DDoS greifen Verfügbarkeit an.
DDoS ist verteilt.
MitM sitzt zwischen Sender und Empfänger.
Sniffing kann nützlich sein,
aber auch missbraucht werden.
Spoofing täuscht Identität oder Herkunft vor.
ARP-Spoofing betrifft lokale Netze.
DNS-Spoofing führt zu falschen Zielen.
Rogue DHCP verteilt falsche Netzwerkeinstellungen.
WLAN braucht starke Absicherung.
SQL Injection betrifft Datenbanken.
XSS betrifft Browser.
CSRF missbraucht Sitzungen.
Prepared Statements schützen vor SQL Injection.
Escaping schützt vor XSS.
CSRF-Token schützen vor CSRF.
Zugriffskontrolle immer serverseitig prüfen.
CVE benennt Schwachstellen.
CVSS bewertet Kritikalität.
Patchmanagement ist ein Prozess.
Hardening reduziert Angriffsfläche.
Baseline definiert sicheren Grundzustand.
Configuration Drift vermeiden.
Firewall begrenzt Netzwerkzugriffe.
Default Deny ist sicherer.
IDS erkennt.
IPS blockiert zusätzlich.
EDR schützt Endgeräte tiefer als Antivirus.
SIEM korreliert Sicherheitslogs.
Backup verhindert keinen Angriff,
hilft aber bei Wiederherstellung.
Restore-Test ist Pflicht.
Immutable Backup schützt vor Manipulation.
Incident Response vorbereiten.
Defense in Depth kombiniert Schutzschichten.
Sicherheit ist ein dauerhafter Prozess.
# 16.7 Merksätze und Prüfungswissen zu Angriffen und Schutzmaßnahmen
Diese Seite fasst die wichtigsten Inhalte zu Angriffen,
Schwachstellen,
Schadsoftware,
Phishing,
Netzwerkangriffen,
Webangriffen
und Schutzmaßnahmen zusammen.
Das Thema ist prüfungsrelevant,
weil es viele Bereiche verbindet:
- Informationssicherheit
- Netzwerktechnik
- Betriebssysteme
- Anwendungen
- Benutzerkonten
- Cloud
- Backup
- Datenschutz
- Monitoring
- Incident Response
Merksatz:
IT-Sicherheit schützt Vertraulichkeit,
Integrität
und Verfügbarkeit.
---
**Die drei wichtigsten Schutzziele**
Die wichtigsten Schutzziele der Informationssicherheit sind:
Vertraulichkeit
Integrität
Verfügbarkeit
Diese drei Begriffe bilden die Grundlage vieler Sicherheitsfragen.
Merksatz:
Vertraulichkeit,
Integrität
und Verfügbarkeit immer sauber unterscheiden.
---
**Vertraulichkeit**
Vertraulichkeit bedeutet:
Informationen dürfen nur von berechtigten Personen gelesen werden.
Beispiele:
Kundendaten
Passwörter
Personalakten
interne Dokumente
Zugangsdaten
Geschäftsgeheimnisse
Angriffe auf Vertraulichkeit:
Phishing
Sniffing
Spyware
Datenabfluss
unberechtigte Freigaben
gestohlene Zugangsdaten
Merksatz:
Vertraulichkeit schützt vor unberechtigtem Lesen.
---
**Integrität**
Integrität bedeutet:
Daten dürfen nicht unbemerkt verändert werden.
Beispiele:
Rechnung wird manipuliert.
Datenbankeintrag wird verändert.
Konfigurationsdatei wird heimlich angepasst.
Softwareupdate wird verfälscht.
Angriffe auf Integrität:
Man-in-the-Middle
Malware
SQL Injection
Supply-Chain-Angriff
unberechtigte Änderung
Merksatz:
Integrität schützt vor unbemerkter Manipulation.
---
**Verfügbarkeit**
Verfügbarkeit bedeutet:
Systeme,
Dienste
und Daten sind bei Bedarf nutzbar.
Beispiele:
Webseite erreichbar
Datenbank verfügbar
Netzwerk funktioniert
Dateien sind nutzbar
Backup kann wiederhergestellt werden
Angriffe auf Verfügbarkeit:
DoS
DDoS
Ransomware
Sabotage
Überlastung
Systemausfall
Merksatz:
Verfügbarkeit schützt die Nutzbarkeit von IT-Systemen.
---
**CIA-Triade**
CIA steht für:
Confidentiality
Integrity
Availability
Deutsch:
Vertraulichkeit
Integrität
Verfügbarkeit
Merksatz:
CIA-Triade = Vertraulichkeit,
Integrität
Verfügbarkeit.
---
**Authentizität**
Authentizität bedeutet:
Die Echtheit einer Person,
eines Systems
oder einer Nachricht ist überprüfbar.
Beispiele:
Ist der Benutzer wirklich der richtige Benutzer?
Ist der Server wirklich der richtige Server?
Stammt die Nachricht wirklich vom angegebenen Absender?
Merksatz:
Authentizität schützt vor falscher Identität.
---
**Nichtabstreitbarkeit**
Nichtabstreitbarkeit bedeutet:
Eine Handlung kann später nachgewiesen werden
und nicht glaubwürdig abgestritten werden.
Beispiele:
digitale Signatur
Zeitstempel
Audit-Log
eindeutiges Benutzerkonto
Merksatz:
Nichtabstreitbarkeit sorgt für Nachweisbarkeit.
---
**Schwachstelle, Bedrohung und Risiko**
| Begriff | Bedeutung |
|---|---|
| Schwachstelle | ausnutzbare Sicherheitslücke |
| Bedrohung | mögliches schädliches Ereignis |
| Risiko | Wahrscheinlichkeit und Auswirkung eines Schadens |
| Schutzmaßnahme | reduziert ein Risiko |
Merksatz:
Schwachstelle ist die Lücke.
Bedrohung ist das Ereignis.
Risiko ist die bewertete Gefahr.
---
**Angriffsfläche**
Angriffsfläche bedeutet:
alle Stellen,
an denen ein System angegriffen werden kann.
Beispiele:
offene Ports
Webanwendungen
Benutzerkonten
VPN-Zugänge
E-Mail
APIs
Cloud-Freigaben
veraltete Software
unsichere Dienste
Merksatz:
Je größer die Angriffsfläche,
desto mehr mögliche Angriffspunkte.
---
**Angriffsfläche reduzieren**
Maßnahmen:
unnötige Dienste deaktivieren
offene Ports reduzieren
Standardkonten deaktivieren
starke Authentifizierung nutzen
Systeme patchen
Rechte begrenzen
Netzbereiche segmentieren
öffentliche Freigaben prüfen
sichere Konfiguration verwenden
Merksatz:
Nicht benötigte Dienste und Zugänge entfernen.
---
**Malware**
Malware ist ein Oberbegriff für Schadsoftware.
Beispiele:
Virus
Wurm
Trojaner
Ransomware
Spyware
Keylogger
Rootkit
Botnet-Client
Cryptominer
Merksatz:
Malware ist Software mit schädlicher Funktion.
---
**Virus**
Ein Virus hängt sich häufig an Dateien oder Programme an
und wird aktiv,
wenn diese ausgeführt werden.
Merksatz:
Virus braucht oft eine Wirtsdatei oder Benutzeraktion.
---
**Wurm**
Ein Wurm verbreitet sich selbstständig über Netzwerke oder Schwachstellen.
Merksatz:
Wurm verbreitet sich selbstständig.
---
**Trojaner**
Ein Trojaner tarnt sich als nützliches Programm,
enthält aber Schadfunktionen.
Merksatz:
Trojaner täuscht Harmlosigkeit oder Nützlichkeit vor.
---
**Ransomware**
Ransomware verschlüsselt Daten oder sperrt Systeme
und fordert Lösegeld.
Sie betrifft besonders:
Verfügbarkeit
und oft zusätzlich:
Vertraulichkeit
Merksatz:
Ransomware greift Verfügbarkeit
und bei Datenabfluss auch Vertraulichkeit an.
---
**Double Extortion**
Double Extortion bedeutet:
Daten werden verschlüsselt
und
zusätzlich wird mit Veröffentlichung gestohlener Daten gedroht.
Merksatz:
Double Extortion = Verschlüsselung plus Datenabfluss.
---
**Schutz vor Ransomware**
Wichtige Maßnahmen:
Immutable Backups
Offline-Backups
regelmäßige Restore-Tests
Patchmanagement
EDR
MFA
Least Privilege
keine lokalen Adminrechte
Netzwerksegmentierung
Monitoring
schnelle Isolation betroffener Systeme
Merksatz:
Gegen Ransomware sind Backup,
Rechtebegrenzung
Segmentierung
und schnelle Reaktion besonders wichtig.
---
**Phishing**
Phishing ist Täuschung,
um Benutzer zur Preisgabe vertraulicher Informationen
oder zu gefährlichen Aktionen zu bringen.
Ziele:
Passwörter
MFA-Codes
Zugangstokens
Bankdaten
Cloud-Zugänge
VPN-Zugänge
interne Informationen
Merksatz:
Phishing greift Menschen über Täuschung an.
---
**Social Engineering**
Social Engineering manipuliert Menschen,
um Sicherheitsmaßnahmen zu umgehen.
Angreifer nutzen:
Zeitdruck
Angst
Autorität
Hilfsbereitschaft
Vertrauen
Neugier
Gewohnheit
Merksatz:
Social Engineering greift Verhalten und Prozesse an.
---
**Spear Phishing und Whaling**
Spear Phishing:
gezieltes Phishing gegen bestimmte Personen oder Organisationen
Whaling:
Phishing gegen besonders wichtige Personen
Beispiele für Whaling-Ziele:
Geschäftsführung
Finanzleitung
Administratoren
Personalabteilung
Merksatz:
Spear Phishing ist gezielt.
Whaling trifft besonders wertvolle Ziele.
---
**Smishing, Vishing und Quishing**
| Begriff | Bedeutung |
|---|---|
| Smishing | Phishing per SMS |
| Vishing | Phishing per Telefon |
| Quishing | Phishing über QR-Code |
Merksatz:
Phishing ist nicht auf E-Mail beschränkt.
---
**CEO-Fraud und BEC**
CEO-Fraud:
Angreifer geben sich als Führungskraft aus
und fordern dringende Aktionen.
BEC:
Business E-Mail Compromise,
Missbrauch oder Nachahmung geschäftlicher E-Mail-Kommunikation.
Merksatz:
CEO-Fraud und BEC nutzen Vertrauen,
Autorität
und Geschäftsprozesse.
---
**Identitätsangriffe**
Identitätsangriffe richten sich gegen Benutzerkonten und Anmeldungen.
Typische Formen:
Brute Force
Credential Stuffing
Password Spraying
Phishing
Session Hijacking
MFA-Missbrauch
Account Takeover
Merksatz:
Wer Identitäten kontrolliert,
kontrolliert oft den Zugriff.
---
**Brute Force**
Brute Force bedeutet:
Passwörter werden systematisch ausprobiert.
Schutz:
starke Passwörter
MFA
Rate Limiting
Sperrmechanismen
Monitoring
Merksatz:
Brute Force wird durch Begrenzung und MFA erschwert.
---
**Credential Stuffing**
Credential Stuffing bedeutet:
geleakte Zugangsdaten aus anderen Diensten werden erneut ausprobiert.
Schutz:
eindeutige Passwörter
Passwortmanager
MFA
Leak-Erkennung
Merksatz:
Credential Stuffing nutzt Passwort-Wiederverwendung.
---
**Password Spraying**
Password Spraying bedeutet:
wenige häufige Passwörter werden gegen viele Konten getestet.
Merksatz:
Password Spraying verteilt wenige Passwörter auf viele Benutzer.
---
**MFA**
MFA steht für:
Multi-Faktor-Authentifizierung
MFA schützt,
weil zusätzlich zum Passwort ein weiterer Faktor nötig ist.
Merksatz:
MFA reduziert Schaden durch gestohlene Passwörter.
---
**MFA ist nicht unfehlbar**
Mögliche Angriffe trotz MFA:
MFA-Push-Fatigue
gestohlene Session-Tokens
Phishing mit Echtzeit-Weiterleitung
kompromittiertes Endgerät
Social Engineering beim Support
SIM-Swapping bei SMS-MFA
Merksatz:
MFA ist sehr wichtig,
aber kein vollständiger Ersatz für Sicherheitskonzept.
---
**DoS und DDoS**
DoS:
Denial of Service
DDoS:
Distributed Denial of Service
Unterschied:
| Angriff | Bedeutung |
|---|---|
| DoS | Dienst wird gestört oder überlastet |
| DDoS | verteilter DoS von vielen Quellen |
Merksatz:
DoS und DDoS greifen Verfügbarkeit an.
---
**DDoS-Schutz**
Maßnahmen:
DDoS-Schutzdienst
Provider-Unterstützung
CDN
Anycast
Load Balancer
Rate Limiting
Firewall-Regeln
WAF
Monitoring
Notfallplan
Merksatz:
DDoS-Schutz muss vorbereitet sein.
---
**Man-in-the-Middle**
Bei Man-in-the-Middle befindet sich ein Angreifer zwischen zwei Kommunikationspartnern.
Ziele:
Daten mitlesen
Daten verändern
Zugangsdaten abgreifen
Sitzungen übernehmen
Merksatz:
MitM sitzt zwischen Sender und Empfänger.
---
**Schutz vor Man-in-the-Middle**
Maßnahmen:
TLS korrekt nutzen
Zertifikate prüfen
Zertifikatswarnungen nicht ignorieren
VPN in unsicheren Netzen
HSTS
sichere WLAN-Konfiguration
DNS-Schutz
MFA
Merksatz:
TLS schützt nur,
wenn Zertifikate korrekt geprüft werden.
---
**Sniffing**
Sniffing bedeutet:
Netzwerkverkehr wird mitgeschnitten oder beobachtet.
Es kann genutzt werden für:
Fehlersuche
oder missbraucht werden für:
Abhören
Passwortdiebstahl
Sitzungsdiebstahl
Merksatz:
Sniffing ist Werkzeug und Risiko zugleich.
---
**Spoofing**
Spoofing bedeutet:
Herkunft,
Adresse
oder Identität wird vorgetäuscht.
Beispiele:
IP-Spoofing
MAC-Spoofing
ARP-Spoofing
DNS-Spoofing
E-Mail-Spoofing
Merksatz:
Spoofing täuscht Identität oder Herkunft vor.
---
**ARP-Spoofing**
ARP-Spoofing manipuliert die Zuordnung von IPv4-Adresse zu MAC-Adresse im lokalen Netz.
Mögliche Folge:
Man-in-the-Middle
Schutz:
DHCP Snooping
Dynamic ARP Inspection
Segmentierung
TLS
Merksatz:
ARP-Spoofing greift lokale Layer-2-Kommunikation an.
---
**DNS-Spoofing**
DNS-Spoofing manipuliert die Namensauflösung.
Folge:
Benutzer wird zu falscher IP-Adresse geleitet.
Schutz:
vertrauenswürdige DNS-Resolver
DNSSEC
TLS-Zertifikatsprüfung
sichere DHCP-Konfiguration
Merksatz:
DNS-Spoofing führt Namen zu falschen Zielen.
---
**Rogue DHCP**
Rogue DHCP bedeutet:
ein unautorisierter DHCP-Server verteilt falsche Netzwerkeinstellungen.
Mögliche Folgen:
falsches Gateway
falscher DNS-Server
Man-in-the-Middle
Netzwerkstörung
Schutz:
DHCP Snooping
Switchport-Sicherheit
Monitoring
physische Zugangskontrolle
Merksatz:
Rogue DHCP verteilt falsche Netzwerkkonfiguration.
---
**WLAN-Angriffe**
Typische WLAN-Angriffe:
Evil Twin
Rogue Access Point
unsichere Verschlüsselung
falsches Captive Portal
Deauthentication
Mitschneiden unverschlüsselter Kommunikation
Schutz:
WPA2-Enterprise oder WPA3
802.1X
starke Passwörter
Zertifikatsprüfung
Gastnetztrennung
Rogue-AP-Erkennung
Merksatz:
WLAN braucht Verschlüsselung,
Authentifizierung
und Segmentierung.
---
**Webangriffe**
Typische Webangriffe:
SQL Injection
Cross-Site Scripting
Cross-Site Request Forgery
Directory Traversal
File Upload Attack
Broken Authentication
Broken Access Control
unsichere APIs
unsichere Fehlerausgaben
Merksatz:
Webangriffe nutzen oft Eingaben,
Sitzungen
oder Berechtigungen aus.
---
**SQL Injection**
SQL Injection bedeutet:
Angreifer schleust SQL-Code in Eingaben ein.
Folgen:
Daten auslesen
Daten verändern
Login umgehen
Daten löschen
Schutz:
Prepared Statements
parametrisierte Abfragen
Eingabevalidierung
Datenbankrechte begrenzen
Merksatz:
SQL Injection macht Eingabe zu Datenbankbefehl.
---
**Cross-Site Scripting**
Cross-Site Scripting wird abgekürzt:
XSS
Dabei wird Skriptcode in eine Webseite eingeschleust,
der im Browser anderer Benutzer ausgeführt wird.
Schutz:
Ausgabe escapen
Eingaben validieren
Content Security Policy
HttpOnly Cookies
sichere Frameworks
Merksatz:
XSS greift Benutzer über den Browser an.
---
**CSRF**
CSRF steht für:
Cross-Site Request Forgery
Dabei wird eine bestehende Anmeldung missbraucht,
um ungewollte Aktionen auszulösen.
Schutz:
CSRF-Token
SameSite Cookies
Origin-Prüfung
erneute Bestätigung kritischer Aktionen
Merksatz:
CSRF missbraucht eine gültige Sitzung.
---
**SQL Injection, XSS und CSRF unterscheiden**
| Angriff | Ziel | Kernproblem |
|---|---|---|
| SQL Injection | Datenbank | Eingabe wird SQL-Befehl |
| XSS | Browser anderer Benutzer | Eingabe wird Skript |
| CSRF | bestehende Sitzung | fremde Seite löst Aktion aus |
Merksatz:
SQL Injection trifft Datenbank.
XSS trifft Browser.
CSRF missbraucht Sitzung.
---
**Broken Authentication**
Broken Authentication bedeutet:
Anmeldung oder Sitzungsverwaltung ist unsicher.
Beispiele:
kein MFA
schwache Passwörter
unsichere Passwortzurücksetzung
zu lange Sessions
Tokens unsicher gespeichert
Merksatz:
Broken Authentication gefährdet Konten und Sitzungen.
---
**Broken Access Control**
Broken Access Control bedeutet:
Benutzer können auf Daten oder Funktionen zugreifen,
für die sie keine Berechtigung haben.
Beispiele:
fremde Rechnung über geänderte ID anzeigen
Adminfunktion als normaler Benutzer aufrufen
API gibt fremde Daten zurück
Merksatz:
Zugriffskontrolle muss serverseitig geprüft werden.
---
**IDOR**
IDOR steht für:
Insecure Direct Object Reference
Dabei kann ein Benutzer durch Änderung einer ID auf fremde Objekte zugreifen.
Merksatz:
IDOR ist fehlende Objektberechtigung.
---
**Schwachstellenmanagement**
Schwachstellenmanagement bedeutet:
Schwachstellen erkennen,
bewerten,
priorisieren,
beheben
und dokumentieren.
Dazu gehören:
Inventarisierung
CVE-Bewertung
CVSS-Einordnung
Patchmanagement
Schwachstellenscans
Penetrationstests
Hardening
Dokumentation
Merksatz:
Schwachstellenmanagement ist ein dauerhafter Prozess.
---
**CVE und CVSS**
CVE:
eindeutige Kennung für bekannte Schwachstellen
CVSS:
Bewertung der Kritikalität einer Schwachstelle
Merksatz:
CVE benennt.
CVSS bewertet.
---
**Exploit und Zero-Day**
Exploit:
Methode oder Code zur Ausnutzung einer Schwachstelle
Zero-Day:
Schwachstelle,
für die noch kein regulärer Patch verfügbar ist
oder die noch nicht öffentlich bekannt war
Merksatz:
Exploit nutzt eine Lücke.
Zero-Day nutzt eine ungepatchte oder unbekannte Lücke.
---
**Patchmanagement**
Patchmanagement bedeutet:
Updates werden geplant,
getestet,
verteilt
geprüft
und dokumentiert.
Betroffen sind:
Betriebssysteme
Anwendungen
Browser
Datenbanken
Firewalls
Router
Switches
Firmware
Container-Images
Bibliotheken
Cloud-Systeme
Merksatz:
Patchmanagement ist organisierte Update-Verwaltung.
---
**Patchmanagement-Ablauf**
Typischer Ablauf:
1. Systeme inventarisieren.
2. Schwachstellen prüfen.
3. Betroffenheit bewerten.
4. Kritikalität priorisieren.
5. Patch testen.
6. Wartungsfenster planen.
7. Patch ausrollen.
8. Funktion prüfen.
9. Erfolg dokumentieren.
10. Rest-Risiko bewerten.
Merksatz:
Patchmanagement braucht Inventar,
Priorisierung,
Test,
Rollback
und Dokumentation.
---
**Hardening**
Hardening bedeutet:
Systeme werden sicherer konfiguriert,
indem unnötige Funktionen deaktiviert
und sichere Einstellungen gesetzt werden.
Beispiele:
unnötige Dienste deaktivieren
offene Ports reduzieren
Standardpasswörter ändern
alte Protokolle abschalten
Rechte minimieren
Logging aktivieren
Adminzugriffe begrenzen
Merksatz:
Hardening reduziert Angriffsfläche.
---
**Baseline**
Eine Baseline ist ein definierter sicherer Grundzustand.
Beispiele:
erlaubte Dienste
Passwortregeln
Update-Einstellungen
Logging-Pflicht
Firewall-Grundregeln
TLS-Vorgaben
Rechtevorgaben
Merksatz:
Baseline = festgelegte sichere Standardkonfiguration.
---
**Configuration Drift**
Configuration Drift bedeutet:
Die tatsächliche Konfiguration weicht von der geplanten Baseline ab.
Ursachen:
manuelle Änderungen
Notfalländerungen
fehlende Dokumentation
unterschiedliche Installationen
Merksatz:
Configuration Drift macht Systeme schwerer sicher zu betreiben.
---
**Firewall**
Eine Firewall filtert Netzwerkverkehr.
Sie prüft zum Beispiel:
Quelle
Ziel
Port
Protokoll
Richtung
Verbindungszustand
Anwendung je nach Firewalltyp
Merksatz:
Firewall begrenzt Netzwerkzugriffe.
---
**Default Deny**
Default Deny bedeutet:
standardmäßig ist alles verboten,
nur ausdrücklich erlaubter Verkehr ist erlaubt.
Merksatz:
Default Deny ist sicherer als pauschales Erlauben.
---
**IDS und IPS**
IDS:
Intrusion Detection System
erkennt und meldet Angriffe
IPS:
Intrusion Prevention System
erkennt und blockiert Angriffe zusätzlich
Merksatz:
IDS meldet.
IPS greift ein.
---
**Antivirus, EDR und XDR**
Antivirus:
erkennt vor allem bekannte Schadsoftware
EDR:
Endpoint Detection and Response,
erkennt und untersucht Angriffe auf Endgeräten
XDR:
Extended Detection and Response,
verbindet mehrere Sicherheitsbereiche
Merksatz:
EDR ist umfassender als klassischer Antivirus.
---
**SIEM, SOC und SOAR**
SIEM:
sammelt und korreliert Sicherheitslogs
SOC:
Security Operations Center,
organisatorische Stelle für Sicherheitsüberwachung
SOAR:
automatisiert Sicherheitsreaktionen
Merksatz:
SIEM sammelt Daten.
SOC bewertet.
SOAR automatisiert Reaktionen.
---
**Backup**
Backup ist eine zusätzliche Sicherung zur Wiederherstellung.
Wichtig:
regelmäßig
geschützt
verschlüsselt
getrennt
dokumentiert
getestet
Merksatz:
Backup ohne Restore-Test ist unsicher.
---
**Immutable Backup**
Immutable Backup bedeutet:
Backup kann für eine festgelegte Zeit nicht verändert oder gelöscht werden.
Schutz gegen:
Ransomware
versehentliche Löschung
kompromittierte Adminzugänge
Merksatz:
Immutable Backup schützt Wiederherstellungsmöglichkeiten.
---
**Incident Response**
Incident Response bedeutet:
strukturierte Reaktion auf Sicherheitsvorfälle.
Typische Schritte:
erkennen
bewerten
eindämmen
beseitigen
wiederherstellen
dokumentieren
verbessern
Merksatz:
Incident Response muss vorbereitet sein,
bevor ein Vorfall passiert.
---
**Containment, Eradication und Recovery**
| Phase | Bedeutung |
|---|---|
| Containment | Vorfall eindämmen |
| Eradication | Ursache beseitigen |
| Recovery | Systeme wiederherstellen |
Merksatz:
Erst eindämmen,
dann Ursache beseitigen,
dann sicher wiederherstellen.
---
**Defense in Depth**
Defense in Depth bedeutet:
mehrere Schutzschichten werden kombiniert.
Beispiel:
Firewall
plus
MFA
plus
Patchmanagement
plus
EDR
plus
Backup
plus
Monitoring
plus
Schulung
Merksatz:
Sicherheit darf nicht von einer einzigen Maßnahme abhängen.
---
**Technische, organisatorische, personelle und physische Maßnahmen**
| Maßnahmenart | Beispiele |
|---|---|
| technisch | Firewall, MFA, EDR, Backup, Verschlüsselung |
| organisatorisch | Richtlinien, Prozesse, Verantwortlichkeiten |
| personell | Schulung, Awareness, klare Meldewege |
| physisch | Zutrittskontrolle, Serverraum, Brandschutz |
Merksatz:
Sicherheit besteht aus Technik,
Organisation,
Menschen
und physischem Schutz.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was sind die drei Schutzziele der Informationssicherheit?
- Was bedeutet Vertraulichkeit?
- Was bedeutet Integrität?
- Was bedeutet Verfügbarkeit?
- Was ist der Unterschied zwischen Schwachstelle,
Bedrohung
und Risiko?
- Was ist Malware?
- Was ist der Unterschied zwischen Virus und Wurm?
- Was ist Ransomware?
- Was ist Phishing?
- Was ist Social Engineering?
- Was ist der Unterschied zwischen DoS und DDoS?
- Was ist Man-in-the-Middle?
- Was ist Spoofing?
- Was ist SQL Injection?
- Was ist XSS?
- Was ist CSRF?
- Was ist CVE?
- Was ist CVSS?
- Was ist Patchmanagement?
- Was ist Hardening?
- Was ist eine Firewall?
- Was ist der Unterschied zwischen IDS und IPS?
- Was ist EDR?
- Was ist SIEM?
- Warum sind Backups wichtig?
- Was ist Incident Response?
- Was bedeutet Defense in Depth?
---
**Typische Prüfungsfallen**
Vertraulichkeit,
Integrität
und Verfügbarkeit nicht verwechseln.
Ransomware betrifft nicht nur Verfügbarkeit,
sondern oft auch Vertraulichkeit.
Malware ist ein Oberbegriff.
Virus und Wurm unterscheiden.
Phishing ist nicht nur E-Mail.
Social Engineering ist nicht rein technisch.
DoS und DDoS unterscheiden.
DDoS ist verteilt.
MitM sitzt zwischen Kommunikationspartnern.
Spoofing täuscht Herkunft oder Identität vor.
DNSSEC schützt Integrität,
nicht automatisch Vertraulichkeit.
SQL Injection betrifft Datenbanken.
XSS betrifft Browser.
CSRF missbraucht Sitzungen.
Prepared Statements schützen gegen SQL Injection.
Frontend-Validierung ist keine Sicherheitsgrenze.
Zugriffskontrolle muss serverseitig erfolgen.
CVE benennt Schwachstellen.
CVSS bewertet Kritikalität.
Hoher CVSS-Wert ersetzt keine eigene Risikoanalyse.
Patchmanagement ist ein Prozess.
Hardening ist sichere Konfiguration.
Firewall ersetzt kein Patchmanagement.
Antivirus ersetzt kein Sicherheitskonzept.
IDS erkennt,
IPS blockiert zusätzlich.
EDR ist mehr als Antivirus.
SIEM sammelt und korreliert Logs.
Backup verhindert keinen Angriff,
hilft aber bei Wiederherstellung.
Backup ohne Restore-Test ist unsicher.
Security Awareness ist eine Schutzmaßnahme.
Incident Response muss vorbereitet sein.
Sicherheit ist ein Prozess,
kein einmaliger Zustand.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| Vertraulichkeit | Schutz vor unberechtigtem Lesen |
| Integrität | Schutz vor unbemerkter Veränderung |
| Verfügbarkeit | Nutzbarkeit von Systemen und Daten |
| Authentizität | Echtheit einer Identität oder Nachricht |
| Nichtabstreitbarkeit | Nachweisbarkeit einer Handlung |
| Schwachstelle | ausnutzbare Sicherheitslücke |
| Bedrohung | mögliches schädliches Ereignis |
| Risiko | Wahrscheinlichkeit und Auswirkung |
| Angriffsfläche | Summe möglicher Angriffspunkte |
| Malware | Schadsoftware |
| Virus | Schadsoftware mit Wirtsdatei |
| Wurm | selbstverbreitende Schadsoftware |
| Trojaner | getarnte Schadsoftware |
| Ransomware | erpresserische Verschlüsselung oder Sperrung |
| Phishing | Täuschung zur Datenpreisgabe |
| Social Engineering | Manipulation von Menschen |
| Brute Force | systematisches Ausprobieren |
| Credential Stuffing | Nutzung geleakter Zugangsdaten |
| Password Spraying | wenige Passwörter gegen viele Konten |
| DoS | Dienstverweigerung |
| DDoS | verteilte Dienstverweigerung |
| MitM | Man-in-the-Middle |
| Sniffing | Mitschneiden von Verkehr |
| Spoofing | Vortäuschen falscher Identität |
| ARP-Spoofing | Manipulation lokaler IP-MAC-Zuordnung |
| DNS-Spoofing | Manipulation von DNS-Antworten |
| Rogue DHCP | unautorisierter DHCP-Server |
| Evil Twin | gefälschter WLAN-Access-Point |
| SQL Injection | Einschleusen von SQL-Code |
| XSS | Cross-Site Scripting |
| CSRF | Cross-Site Request Forgery |
| IDOR | unsichere direkte Objekt-ID |
| CVE | Kennung bekannter Schwachstellen |
| CVSS | Kritikalitätsbewertung |
| Exploit | Ausnutzung einer Schwachstelle |
| Zero-Day | ungepatchte oder unbekannte Schwachstelle |
| Patchmanagement | organisierte Update-Verwaltung |
| Hardening | sichere Systemhärtung |
| Baseline | sicherer Grundzustand |
| Configuration Drift | Abweichung von Soll-Konfiguration |
| Firewall | Filter für Netzwerkverkehr |
| IDS | Angriffserkennung |
| IPS | Angriffserkennung mit Blockierung |
| Antivirus | Schutz gegen bekannte Schadsoftware |
| EDR | Endpoint Detection and Response |
| XDR | Extended Detection and Response |
| SIEM | Sicherheitslog-Auswertung |
| SOC | Security Operations Center |
| SOAR | automatisierte Sicherheitsreaktion |
| MFA | Multi-Faktor-Authentifizierung |
| Least Privilege | minimale notwendige Rechte |
| Backup | zusätzliche Datensicherung |
| Immutable Backup | unveränderliches Backup |
| Restore-Test | Prüfung der Wiederherstellung |
| Incident Response | Reaktion auf Sicherheitsvorfälle |
| Defense in Depth | mehrschichtige Verteidigung |
---
**IHK-sichere Gesamtformulierung**
Angriffe und Schutzmaßnahmen in der IT-Sicherheit beziehen sich auf den Schutz der Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit. Angriffe können technische Schwachstellen, unsichere Konfigurationen, menschliches Verhalten, Identitäten, Netzwerke, Webanwendungen oder Lieferketten ausnutzen. Typische Angriffe sind Malware, Ransomware, Phishing, Social Engineering, DoS, DDoS, Man-in-the-Middle, Spoofing, SQL Injection, Cross-Site Scripting und Cross-Site Request Forgery. Schutzmaßnahmen sind unter anderem Patchmanagement, Hardening, Firewalls, Netzwerksegmentierung, MFA, Least Privilege, IDS/IPS, EDR, SIEM, Backups, Restore-Tests, Monitoring, Logging, Schulungen und Incident Response. Ein wirksames Sicherheitskonzept kombiniert mehrere technische, organisatorische, personelle und physische Maßnahmen nach dem Prinzip Defense in Depth.
---
**Wichtigste Merksätze**
IT-Sicherheit schützt Vertraulichkeit,
Integrität
und Verfügbarkeit.
Vertraulichkeit schützt vor Mitlesen.
Integrität schützt vor Manipulation.
Verfügbarkeit schützt Nutzbarkeit.
Schwachstelle ist die Lücke.
Bedrohung ist das mögliche Ereignis.
Risiko ist Wahrscheinlichkeit und Auswirkung.
Angriffsfläche reduzieren.
Malware ist Schadsoftware.
Virus hängt sich an Dateien.
Wurm verbreitet sich selbstständig.
Trojaner tarnt sich.
Ransomware verschlüsselt oder sperrt.
Double Extortion bedeutet Verschlüsselung plus Datenabfluss.
Phishing täuscht Benutzer.
Social Engineering manipuliert Menschen.
Phishing ist nicht nur E-Mail.
MFA schützt stark,
aber nicht gegen alles.
Passwörter nicht wiederverwenden.
DoS und DDoS greifen Verfügbarkeit an.
DDoS ist verteilt.
MitM sitzt zwischen Sender und Empfänger.
Sniffing kann nützlich sein,
aber auch missbraucht werden.
Spoofing täuscht Identität oder Herkunft vor.
ARP-Spoofing betrifft lokale Netze.
DNS-Spoofing führt zu falschen Zielen.
Rogue DHCP verteilt falsche Netzwerkeinstellungen.
WLAN braucht starke Absicherung.
SQL Injection betrifft Datenbanken.
XSS betrifft Browser.
CSRF missbraucht Sitzungen.
Prepared Statements schützen vor SQL Injection.
Escaping schützt vor XSS.
CSRF-Token schützen vor CSRF.
Zugriffskontrolle immer serverseitig prüfen.
CVE benennt Schwachstellen.
CVSS bewertet Kritikalität.
Patchmanagement ist ein Prozess.
Hardening reduziert Angriffsfläche.
Baseline definiert sicheren Grundzustand.
Configuration Drift vermeiden.
Firewall begrenzt Netzwerkzugriffe.
Default Deny ist sicherer.
IDS erkennt.
IPS blockiert zusätzlich.
EDR schützt Endgeräte tiefer als Antivirus.
SIEM korreliert Sicherheitslogs.
Backup verhindert keinen Angriff,
hilft aber bei Wiederherstellung.
Restore-Test ist Pflicht.
Immutable Backup schützt vor Manipulation.
Incident Response vorbereiten.
Defense in Depth kombiniert Schutzschichten.
Sicherheit ist ein dauerhafter Prozess.
# 17. Praxis – Netzwerkadministration und Systemzugriff
# Windows --> Linux
SSH-KEY-LOGIN (Windows → Ubuntu)
================================
1) Key auf Windows erstellen
---------------------------
ssh-keygen -t ed25519
→ Dateien:
C:\Users\\.ssh\id_ed25519 (PRIVATE)
C:\Users\\.ssh\id_ed25519.pub (PUBLIC)
-
2) Public Key per SCP auf den Server kopieren (in Windows)
---------------------------------------------
scp $env:USERPROFILE\.ssh\id_ed25519.pub admini@192.168.33.XXX:~/id_ed25519.pub
-
3) Auf dem Server: Key in authorized_keys eintragen (in Linux)
---------------------------------------------------
ssh admini@ 192.168.33.XXX
mkdir -p ~/.ssh
cat ~/id_ed25519.pub >> ~/.ssh/authorized_keys
rm ~/id_ed25519.pub
-
4) Auf dem Server: Rechte setzen (sonst kann SSH ablehnen)
----------------------------------------------------------
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys
-
5) Test von Windows
-------------------
ssh admini@ 192.168.33.XXX
# 17.1 Praxis – Netzwerkadministration und Systemzugriff
In der Netzwerkadministration geht es darum,
IT-Systeme,
Netzwerke,
Benutzer,
Dienste
und Zugriffe sicher zu verwalten.
Dabei werden technische Werkzeuge,
Berechtigungen,
Protokolle
und Sicherheitsregeln kombiniert.
Typische Aufgaben sind:
- Systeme administrieren
- Netzwerkfehler suchen
- Benutzerrechte verwalten
- Remotezugriffe einrichten
- Dienste prüfen
- Logs auswerten
- Konfigurationen dokumentieren
- Sicherheitsregeln kontrollieren
- Backups prüfen
- Updates einspielen
Merksatz:
Netzwerkadministration ist die praktische Verwaltung von Systemen,
Diensten,
Zugriffen
und Verbindungen.
---
**Warum Systemzugriff wichtig ist**
Administratoren brauchen Zugriff auf Systeme,
um sie zu verwalten.
Gleichzeitig sind Adminzugänge besonders kritisch.
Ein kompromittierter Adminzugang kann ermöglichen:
Serverübernahme
Datenzugriff
Rechteänderungen
Firewalländerungen
Löschen von Backups
Manipulation von Logs
Installation von Malware
Zugriff auf weitere Systeme
Merksatz:
Adminzugänge sind mächtig
und müssen besonders geschützt werden.
---
**Typische Verwaltungszugriffe**
Typische Arten des Systemzugriffs:
SSH
RDP
Weboberfläche
Konsole
VPN
Remote-Support-Tool
Managementnetz
API
Cloud-Portal
Verzeichnisdienst
Merksatz:
Je mächtiger der Zugriff,
desto stärker muss er abgesichert werden.
---
**Lokaler Zugriff**
Lokaler Zugriff bedeutet:
Administrator arbeitet direkt am Gerät
oder an einer lokalen Konsole.
Beispiele:
Serverkonsole
Monitor und Tastatur am Gerät
lokale Anmeldung am Notebook
lokale Shell
physische Konsole im Serverraum
Vorteil:
funktioniert oft auch,
wenn Netzwerkdienste gestört sind
Nachteil:
physischer Zugang nötig
Merksatz:
Lokaler Zugriff ist direkter Zugriff am System.
---
**Remotezugriff**
Remotezugriff bedeutet:
Ein System wird aus der Ferne administriert.
Beispiele:
SSH auf Linux-Server
RDP auf Windows-Server
Weboberfläche eines Routers
VPN ins Firmennetz
Cloud-Konsole
Remote-Support-Sitzung
Merksatz:
Remotezugriff ermöglicht Verwaltung ohne direkten physischen Zugang.
---
**Remotezugriff als Risiko**
Remotezugänge sind attraktive Ziele für Angreifer.
Risiken:
Brute Force
Passwortdiebstahl
Phishing
unsichere Ports
ungepatchte Dienste
fehlende MFA
zu breite Firewall-Regeln
veraltete Remote-Software
öffentlich erreichbare Adminoberflächen
Merksatz:
Remotezugänge niemals unnötig offen ins Internet stellen.
---
**Sichere Grundregeln für Remotezugriff**
Wichtige Regeln:
nur notwendige Remotezugänge erlauben
MFA nutzen
starke Authentifizierung verwenden
Zugriff über VPN oder Bastion Host
Adminports nicht breit öffentlich öffnen
Quell-IP einschränken
Logging aktivieren
Benutzer eindeutig zuordnen
keine Sammelkonten nutzen
Rechte minimal vergeben
Zugriffe regelmäßig prüfen
Merksatz:
Remotezugriff braucht Authentifizierung,
Zugriffsbeschränkung
Logging
und Rechtebegrenzung.
---
**SSH**
SSH steht für:
Secure Shell
SSH wird vor allem genutzt,
um Linux-,
Unix-
oder Netzwerkgeräte sicher aus der Ferne zu verwalten.
SSH ermöglicht:
verschlüsselte Kommandozeile
sichere Anmeldung
Dateiübertragung je nach Werkzeug
Tunnelung
Verwaltung von Servern
Verwaltung von Netzwerkgeräten
Merksatz:
SSH ist ein verschlüsselter Fernzugriff auf die Kommandozeile.
---
**SSH-Port**
Der Standardport für SSH ist:
TCP 22
Wichtig:
Ein offener SSH-Port im Internet ist ein häufiges Angriffsziel.
Schutzmaßnahmen:
Zugriff per VPN
Zugriff über Bastion Host
Quell-IP begrenzen
Schlüssel statt Passwort nutzen
MFA je nach Umgebung
Loginversuche begrenzen
Logs überwachen
Merksatz:
SSH ist sicher verschlüsselt,
aber der Zugang muss trotzdem geschützt werden.
---
**SSH mit Passwort**
SSH kann mit Benutzername und Passwort genutzt werden.
Risiko:
Passwörter können erraten,
gestohlen
oder wiederverwendet werden.
Schutz:
starke Passwörter
MFA
Rate Limiting
Fail2ban oder vergleichbare Schutzmechanismen
keine Standardkonten
keine Root-Anmeldung direkt
Merksatz:
SSH-Passwortlogin ist möglich,
aber stärker angreifbar als Schlüsselanmeldung.
---
**SSH mit Schlüssel**
Bei SSH-Schlüsseln wird ein Schlüsselpaar verwendet.
Es besteht aus:
privatem Schlüssel
und
öffentlichem Schlüssel
Der öffentliche Schlüssel liegt auf dem Server.
Der private Schlüssel bleibt beim Benutzer.
Merksatz:
SSH-Schlüssel bestehen aus privatem und öffentlichem Schlüssel.
---
**Privater SSH-Schlüssel**
Der private Schlüssel ist geheim.
Er darf nicht:
weitergegeben werden
öffentlich gespeichert werden
in Repositories liegen
in Tickets kopiert werden
in Chatnachrichten stehen
unverschlüsselt auf fremden Geräten liegen
Merksatz:
Der private SSH-Schlüssel ist wie ein sehr starkes Passwort zu behandeln.
---
**Öffentlicher SSH-Schlüssel**
Der öffentliche Schlüssel darf auf Servern hinterlegt werden.
Er ermöglicht,
dass sich der passende private Schlüssel authentifizieren kann.
Wichtig:
öffentlicher Schlüssel ist nicht geheim,
aber seine Zuordnung muss korrekt verwaltet werden.
Merksatz:
Öffentlicher Schlüssel auf Server,
privater Schlüssel beim Benutzer.
---
**SSH-Schlüssel und Passphrase**
Ein privater SSH-Schlüssel sollte mit einer Passphrase geschützt werden.
Vorteil:
Wenn der Schlüssel gestohlen wird,
kann er nicht sofort ohne Passphrase genutzt werden.
Merksatz:
SSH-Schlüssel zusätzlich mit Passphrase schützen.
---
**Root-Login über SSH**
Direkter Root-Login über SSH ist riskant.
Besser:
normaler Benutzer meldet sich an
danach
Rechteerhöhung mit sudo
Vorteile:
bessere Nachvollziehbarkeit
weniger direkte Angriffsfläche
Benutzeraktionen besser zuordenbar
Merksatz:
Direkten Root-Login vermeiden.
---
**sudo**
sudo erlaubt,
einzelne Befehle mit erhöhten Rechten auszuführen.
Vorteile:
normale Anmeldung ohne dauerhafte Adminrechte
gezielte Rechtevergabe
bessere Protokollierung
weniger Risiko als dauerhafte Root-Sitzung
Merksatz:
sudo ermöglicht kontrollierte Rechteerhöhung.
---
**RDP**
RDP steht für:
Remote Desktop Protocol
RDP wird häufig genutzt,
um Windows-Systeme grafisch aus der Ferne zu verwalten.
Der Standardport ist:
TCP 3389
Merksatz:
RDP ist grafischer Remotezugriff auf Windows-Systeme.
---
**RDP als Risiko**
RDP ist ein häufiges Angriffsziel,
wenn es direkt aus dem Internet erreichbar ist.
Risiken:
Brute Force
Credential Stuffing
Exploits gegen ungepatchte Dienste
Ransomware-Einstieg
gestohlene Zugangsdaten
fehlende MFA
Merksatz:
RDP sollte nicht direkt und breit aus dem Internet erreichbar sein.
---
**RDP sicher nutzen**
Schutzmaßnahmen:
RDP nur über VPN
RDP Gateway verwenden
MFA nutzen
Quell-IP einschränken
starke Passwörter
Account Lockout
Network Level Authentication
Updates einspielen
Logs überwachen
Adminrechte begrenzen
Merksatz:
RDP über VPN oder Gateway absichern.
---
**Weboberflächen**
Viele Systeme werden über Weboberflächen verwaltet.
Beispiele:
Router
Firewalls
Switches
NAS
Drucker
Hypervisor
Cloud-Portale
Monitoring-Systeme
Backup-Systeme
Risiken:
Standardpasswörter
fehlende Updates
unsichere TLS-Konfiguration
öffentliche Erreichbarkeit
schwache Rechteverwaltung
fehlende MFA
Merksatz:
Admin-Weboberflächen gehören nicht ungeschützt ins Internet.
---
**Weboberflächen sicher betreiben**
Maßnahmen:
nur intern oder über VPN erreichbar machen
starke Passwörter
MFA wenn möglich
HTTPS nutzen
Zertifikate prüfen
Standardkonten deaktivieren
Updates einspielen
Zugriff protokollieren
Rollen und Rechte begrenzen
Merksatz:
Webadministration braucht Zugriffsschutz,
Verschlüsselung
und Updates.
---
**VPN für Administration**
VPN ermöglicht,
dass Administratoren sicher in ein internes Netz gelangen.
Vorteile:
Adminports müssen nicht direkt öffentlich sein
Zugriff kann zentral gesteuert werden
MFA kann vorgeschaltet werden
interne Dienste bleiben privat
Logs können zentral ausgewertet werden
Merksatz:
VPN schützt Adminzugänge,
ersetzt aber keine Rechteverwaltung.
---
**Bastion Host**
Ein Bastion Host ist ein besonders geschützter Sprungserver.
Ablauf:
Administrator
verbindet sich zum Bastion Host
und von dort
zum Zielsystem
Vorteile:
weniger direkte Adminzugänge
zentrale Protokollierung
Zugriff kontrollierbarer
Zielsysteme bleiben privat
Merksatz:
Bastion Host bündelt und schützt Adminzugriffe.
---
**Jump Server**
Jump Server ist ein ähnlicher Begriff wie Bastion Host.
Er dient als Zwischensystem,
um interne Systeme zu administrieren.
Wichtig:
stark härten
MFA nutzen
Zugriff protokollieren
Benutzer eindeutig zuordnen
keine unnötigen Tools installieren
regelmäßig patchen
Merksatz:
Jump Server ist ein kontrollierter Sprungpunkt für Administration.
---
**Managementnetz**
Ein Managementnetz ist ein eigenes Netz für administrative Zugriffe.
Darin liegen zum Beispiel:
Verwaltungsinterfaces
Hypervisor-Management
Switch-Management
Firewall-Management
Server-Management
Backup-Management
Storage-Management
Ziel:
Managementzugriffe vom normalen Benutzernetz trennen.
Merksatz:
Managementzugänge gehören in ein getrenntes Managementnetz.
---
**Warum Managementnetz wichtig ist**
Wenn Managementschnittstellen im normalen Clientnetz erreichbar sind,
können kompromittierte Clients leichter Adminsysteme angreifen.
Ein getrenntes Managementnetz reduziert:
Angriffsfläche
laterale Bewegung
unkontrollierte Zugriffe
Risiko durch Malware
versehentliche Änderungen
Merksatz:
Managementnetz schützt besonders kritische Verwaltungszugänge.
---
**Out-of-Band-Management**
Out-of-Band-Management bedeutet:
Verwaltung erfolgt über einen getrennten Verwaltungsweg,
unabhängig vom normalen Produktionsnetz.
Beispiele:
iLO
iDRAC
IPMI
serielle Konsole
separates Managementinterface
Vorteil:
Zugriff auch bei Störung des normalen Systems möglich
Risiko:
sehr mächtiger Zugriff,
deshalb besonders schützen
Merksatz:
Out-of-Band-Management ist mächtig und muss streng abgesichert werden.
---
**Benutzerkonten**
Benutzerkonten sind Grundlage für Zugriff.
Wichtige Regeln:
persönliches Konto pro Benutzer
keine Sammelkonten
starke Passwörter
MFA bei kritischen Zugängen
Rollen und Gruppen nutzen
Rechte regelmäßig prüfen
Konten bei Austritt deaktivieren
Admin- und Benutzerkonto trennen
Merksatz:
Zugriffe müssen eindeutig Personen zugeordnet werden können.
---
**Sammelkonten**
Sammelkonten sind Konten,
die mehrere Personen gemeinsam nutzen.
Problem:
keine eindeutige Nachvollziehbarkeit
Passwortweitergabe
schwieriges Offboarding
schlechte Protokollierung
höheres Missbrauchsrisiko
Merksatz:
Sammelkonten vermeiden,
besonders bei Administrationszugängen.
---
**Admin- und Benutzerkonto trennen**
Administratoren sollten nicht ständig mit Adminrechten arbeiten.
Besser:
normales Benutzerkonto für Alltag
separates Adminkonto für Administration
Vorteile:
weniger Schaden durch Phishing
weniger Malware-Risiko
bessere Kontrolle
klarere Protokollierung
Merksatz:
Adminrechte nur verwenden,
wenn sie wirklich benötigt werden.
---
**Least Privilege in der Administration**
Least Privilege bedeutet:
nur notwendige Rechte vergeben.
Beispiele:
Helpdesk darf Passwörter zurücksetzen,
aber keine Server löschen.
Datenbankadmin darf Datenbank verwalten,
aber keine Firewall ändern.
Netzwerkadmin darf Switches verwalten,
aber keine Personalakten lesen.
Merksatz:
Adminrechte nach Aufgabe trennen.
---
**Rollenbasierte Rechtevergabe**
Rollenbasierte Rechtevergabe bedeutet:
Rechte werden über Rollen oder Gruppen vergeben.
Beispiele:
Helpdesk
Serveradministration
Netzwerkadministration
Datenbankadministration
Backup-Operator
Sicherheitsadministrator
Leser
Vorteile:
übersichtlicher
leichter zu prüfen
einfacher beim Onboarding und Offboarding
Merksatz:
Rollen vereinfachen Berechtigungsverwaltung.
---
**Privileged Access Management**
Privileged Access Management wird oft abgekürzt:
PAM
PAM kontrolliert besonders mächtige Zugriffe.
Funktionen können sein:
zeitlich begrenzte Adminrechte
Genehmigungspflicht
MFA
Sitzungsaufzeichnung
Passworttresor
Protokollierung
Notfallzugriff
Merksatz:
PAM schützt besonders kritische Adminrechte.
---
**Just-in-Time-Administration**
Just-in-Time-Administration bedeutet:
Adminrechte werden nur für einen begrenzten Zeitraum aktiviert.
Beispiel:
Admin erhält für 1 Stunde Rechte zur Wartung.
Danach werden Rechte automatisch entzogen.
Merksatz:
Just-in-Time reduziert dauerhafte Adminrechte.
---
**Protokollierung von Adminzugriffen**
Adminaktionen sollten protokolliert werden.
Wichtige Informationen:
Benutzer
Zeitpunkt
Quellsystem
Zielsystem
ausgeführte Aktion
Erfolg oder Fehler
geänderte Konfiguration
verwendetes Konto
Merksatz:
Adminzugriffe müssen nachvollziehbar sein.
---
**Audit-Logs**
Audit-Logs dokumentieren sicherheitsrelevante Aktionen.
Beispiele:
Benutzer angelegt
Rolle geändert
Firewall-Regel geändert
Dienst gestoppt
Backup gelöscht
Schlüssel erstellt
Adminrechte vergeben
Systemkonfiguration verändert
Merksatz:
Audit-Logs zeigen,
wer was wann geändert hat.
---
**Logschutz**
Logs müssen geschützt werden,
weil Angreifer sie manipulieren oder löschen könnten.
Maßnahmen:
zentrale Logsammlung
eingeschränkte Schreibrechte
getrennte Speicherung
unveränderliche Logs je nach Bedarf
Zeitstempel
Zugriffskontrolle
regelmäßige Prüfung
Merksatz:
Logs sind nur wertvoll,
wenn sie vollständig und vertrauenswürdig sind.
---
**Zeitserver und Logs**
Für Logauswertung müssen Systeme die gleiche Zeitbasis haben.
Dafür wird NTP genutzt.
Wenn Zeiten stark abweichen,
wird die Analyse schwieriger.
Beispiel:
Firewall-Log,
Server-Log
und Authentifizierungslog
passen zeitlich nicht zusammen.
Merksatz:
Saubere Zeit synchronisation ist wichtig für Loganalyse.
---
**Dokumentation in der Administration**
Dokumentiert werden sollten:
Systeme
IP-Adressen
Hostnamen
Zuständigkeiten
Zugangskonzepte
Rollen
Firewall-Regeln
Dienste
Abhängigkeiten
Backup-Regeln
Wartungsfenster
Änderungen
Notfallzugriffe
Merksatz:
Gute Dokumentation macht Administration nachvollziehbar und wartbar.
---
**Change Management**
Change Management bedeutet:
Änderungen werden geplant,
geprüft,
freigegeben,
umgesetzt
und dokumentiert.
Beispiele:
Firewall-Regel ändern
Benutzerrechte erweitern
Serverdienst aktualisieren
VPN-Gruppe anlegen
Zertifikat erneuern
Backup-Plan ändern
Switch-Konfiguration anpassen
Merksatz:
Änderungen brauchen Kontrolle und Dokumentation.
---
**Vier-Augen-Prinzip**
Vier-Augen-Prinzip bedeutet:
kritische Aktionen werden von mindestens zwei Personen geprüft oder freigegeben.
Beispiele:
Adminrechte vergeben
Backup löschen
Firewall ins Internet öffnen
Produktivsystem ändern
Daten exportieren
Notfallzugang aktivieren
Merksatz:
Vier-Augen-Prinzip reduziert Fehler und Missbrauch.
---
**Offboarding**
Offboarding bedeutet:
Zugriffe werden entfernt,
wenn eine Person das Unternehmen verlässt
oder eine Rolle wechselt.
Zu prüfen:
Benutzerkonto
Gruppenmitgliedschaften
VPN-Zugang
SSH-Schlüssel
Cloud-Zugänge
lokale Adminrechte
API-Schlüssel
geteilte Freigaben
Geräte
E-Mail-Weiterleitungen
Merksatz:
Nicht entfernte Zugänge sind ein Sicherheitsrisiko.
---
**Onboarding**
Onboarding bedeutet:
neue Benutzer erhalten benötigte Zugänge.
Wichtig:
nach Rolle vergeben
nur notwendige Rechte
dokumentieren
MFA einrichten
Schulung durchführen
Verantwortlichkeiten klären
Merksatz:
Onboarding sollte geordnet über Rollen und Prozesse laufen.
---
**Break-Glass-Konto**
Ein Break-Glass-Konto ist ein Notfallkonto.
Es wird genutzt,
wenn normale Adminwege nicht funktionieren.
Beispiele:
Identitätsdienst gestört
MFA-System ausgefallen
zentrale Anmeldung nicht möglich
Administratoren ausgesperrt
Wichtig:
stark schützen
selten nutzen
Nutzung protokollieren
regelmäßig prüfen
Zugriff begrenzen
Notfallprozess dokumentieren
Merksatz:
Break-Glass-Konto ist Notfallzugang,
kein Alltagskonto.
---
**Sichere Administrationsregeln**
Wichtige Regeln:
keine Adminarbeit mit Alltagskonto
keine Sammelkonten
MFA für Adminzugänge
Remotezugriff nur kontrolliert
Adminports nicht offen ins Internet
Zugriffe protokollieren
Rechte regelmäßig prüfen
Änderungen dokumentieren
Notfallzugänge absichern
Offboarding ernst nehmen
Merksatz:
Administration braucht technische und organisatorische Kontrolle.
---
**Typische Praxisfehler**
Häufige Fehler:
RDP offen im Internet
SSH mit Passwort und schwachem Passwort
Standardpasswort auf Weboberfläche
gleiche Adminzugänge für mehrere Personen
keine MFA
alte Benutzerkonten aktiv
Adminrechte dauerhaft vergeben
keine Logs
keine Dokumentation
Managementinterfaces im Clientnetz
Backups ohne Zugriffsschutz
Notfallkonto ungeprüft
Merksatz:
Viele Sicherheitsprobleme entstehen durch bequeme,
aber unsichere Administration.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist Remotezugriff?
- Was ist SSH?
- Wofür wird SSH genutzt?
- Was ist der Standardport von SSH?
- Warum ist SSH mit Schlüsseln sicherer als nur Passwort?
- Was ist RDP?
- Was ist der Standardport von RDP?
- Warum sollte RDP nicht offen im Internet stehen?
- Was ist ein Bastion Host?
- Was ist ein Jump Server?
- Was ist ein Managementnetz?
- Was bedeutet Out-of-Band-Management?
- Warum sollten Admin- und Benutzerkonto getrennt werden?
- Warum sind Sammelkonten problematisch?
- Was bedeutet Least Privilege?
- Was ist PAM?
- Was bedeutet Just-in-Time-Administration?
- Warum sind Audit-Logs wichtig?
- Warum ist NTP für Logs wichtig?
- Was ist ein Break-Glass-Konto?
- Was ist Offboarding?
---
**Typische Prüfungsfallen**
Remotezugriff ist praktisch,
aber sicherheitskritisch.
SSH ist verschlüsselt,
aber trotzdem angreifbar,
wenn Zugang schlecht geschützt ist.
SSH-Standardport ist TCP 22.
RDP-Standardport ist TCP 3389.
RDP nicht breit öffentlich freigeben.
Admin-Weboberflächen nicht öffentlich bereitstellen.
VPN schützt Transport,
ersetzt aber keine Rechteverwaltung.
Bastion Host ist ein Sprungserver.
Managementnetz vom Clientnetz trennen.
Out-of-Band-Management besonders schützen.
Sammelkonten vermeiden.
Admin- und Alltagskonto trennen.
Least Privilege gilt auch für Administratoren.
PAM schützt privilegierte Zugriffe.
Just-in-Time reduziert dauerhafte Adminrechte.
Audit-Logs müssen vor dem Vorfall aktiv sein.
Logs brauchen korrekte Zeitbasis.
NTP hilft bei zeitlich korrekter Loganalyse.
Offboarding muss alle Zugänge entfernen.
Break-Glass-Konto ist Notfallzugang,
kein normales Admin-Konto.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| Netzwerkadministration | Verwaltung von Netzwerken und Systemen |
| Systemzugriff | Zugriff auf IT-Systeme zur Nutzung oder Verwaltung |
| lokaler Zugriff | direkter Zugriff am Gerät |
| Remotezugriff | Zugriff aus der Ferne |
| SSH | verschlüsselter Kommandozeilenzugriff |
| privater Schlüssel | geheimer Teil eines SSH-Schlüsselpaares |
| öffentlicher Schlüssel | Teil des Schlüsselpaares auf dem Server |
| sudo | kontrollierte Rechteerhöhung |
| RDP | grafischer Remotezugriff auf Windows-Systeme |
| Weboberfläche | Verwaltung über Browser |
| VPN | verschlüsselter Zugang zu internem Netz |
| Bastion Host | besonders geschützter Sprungserver |
| Jump Server | Zwischensystem für Administration |
| Managementnetz | getrenntes Netz für Verwaltung |
| Out-of-Band-Management | Verwaltung über getrennten Verwaltungsweg |
| Benutzerkonto | persönliche Identität im System |
| Sammelkonto | gemeinsam genutztes Konto |
| Adminkonto | Konto mit erhöhten Rechten |
| Least Privilege | minimale notwendige Rechte |
| Rollenmodell | Rechtevergabe über Rollen |
| PAM | Privileged Access Management |
| Just-in-Time | zeitlich begrenzte Rechte |
| Audit-Log | Protokoll sicherheitsrelevanter Aktionen |
| Logschutz | Schutz vor Manipulation oder Verlust von Logs |
| NTP | Zeitsynchronisation |
| Dokumentation | nachvollziehbare Beschreibung von Systemen und Änderungen |
| Change Management | kontrollierter Änderungsprozess |
| Vier-Augen-Prinzip | Prüfung durch mindestens zwei Personen |
| Offboarding | Entfernen nicht mehr benötigter Zugänge |
| Onboarding | geordnete Vergabe neuer Zugänge |
| Break-Glass-Konto | Notfallkonto |
---
**IHK-sichere Kurzformulierung**
Netzwerkadministration umfasst die praktische Verwaltung von Systemen, Diensten, Netzwerken und Zugängen. Remotezugriffe wie SSH, RDP, Weboberflächen, VPN, Bastion Hosts oder Managementnetze ermöglichen Administration aus der Ferne, sind aber sicherheitskritisch. SSH dient dem verschlüsselten Kommandozeilenzugriff, RDP dem grafischen Fernzugriff auf Windows-Systeme. Adminzugänge sollten nicht direkt und breit aus dem Internet erreichbar sein, sondern durch VPN, Bastion Host, MFA, Quell-IP-Beschränkung, Logging und Least Privilege abgesichert werden. Persönliche Benutzerkonten, getrennte Admin- und Alltagskonten, Audit-Logs, Change Management, Offboarding und geschützte Notfallkonten sind wichtige Grundlagen sicherer Administration.
---
**Merksätze**
Netzwerkadministration verwaltet Systeme,
Dienste,
Zugriffe
und Verbindungen.
Adminzugänge sind besonders kritisch.
Remotezugriff braucht starke Absicherung.
SSH = verschlüsselter Kommandozeilenzugriff.
SSH nutzt standardmäßig TCP 22.
Privater SSH-Schlüssel bleibt geheim.
Öffentlicher SSH-Schlüssel liegt auf dem Server.
SSH-Schlüssel mit Passphrase schützen.
Direkten Root-Login vermeiden.
sudo kontrolliert Rechteerhöhung.
RDP = grafischer Windows-Remotezugriff.
RDP nutzt standardmäßig TCP 3389.
RDP nicht breit ins Internet öffnen.
Admin-Weboberflächen intern oder über VPN bereitstellen.
VPN schützt Zugang,
ersetzt aber keine Rechteverwaltung.
Bastion Host ist ein geschützter Sprungserver.
Jump Server ist ein Zwischensystem für Administration.
Managementnetz vom normalen Clientnetz trennen.
Out-of-Band-Management besonders schützen.
Persönliche Konten statt Sammelkonten.
Admin- und Alltagskonto trennen.
Least Privilege gilt auch für Admins.
Rollen vereinfachen Rechtevergabe.
PAM schützt privilegierte Zugriffe.
Just-in-Time reduziert dauerhafte Adminrechte.
Adminaktionen protokollieren.
Audit-Logs zeigen sicherheitsrelevante Änderungen.
Logs vor Manipulation schützen.
NTP ist wichtig für Loganalyse.
Dokumentation ist Teil sicherer Administration.
Änderungen kontrolliert durchführen.
Vier-Augen-Prinzip bei kritischen Aktionen nutzen.
Offboarding entfernt alte Zugänge.
Break-Glass-Konto ist nur für Notfälle.
Sichere Administration braucht Technik,
Prozesse
und Nachvollziehbarkeit.
# 17.2 SSH, RDP und sichere Fernadministration im Detail
Fernadministration bedeutet,
dass Systeme aus der Ferne verwaltet werden.
Dafür werden Protokolle,
Zugriffswege,
Benutzerkonten,
Berechtigungen
und Sicherheitsmaßnahmen kombiniert.
Typische Fernadministration:
- Linux-Server per SSH verwalten
- Windows-Server per RDP verwalten
- Firewall über Weboberfläche konfigurieren
- Switch per SSH administrieren
- NAS oder Router über Managementoberfläche verwalten
- Cloud-Systeme über Portal oder API steuern
- Zugriff über VPN oder Bastion Host absichern
Merksatz:
Fernadministration ist praktisch,
aber sicherheitskritisch.
---
**Warum Fernadministration abgesichert werden muss**
Remotezugänge sind besonders interessant für Angreifer,
weil sie direkten Zugriff auf Systeme ermöglichen können.
Risiken:
Passwortangriffe
Brute Force
Credential Stuffing
Phishing
gestohlene SSH-Schlüssel
offene RDP-Ports
veraltete Remote-Dienste
fehlende MFA
schwache Firewall-Regeln
kompromittierte Admin-Konten
Merksatz:
Ein unsicherer Fernzugriff kann zum Einstiegspunkt für einen kompletten Angriff werden.
---
**Grundregel für Fernadministration**
Adminzugänge sollten nicht unnötig direkt aus dem Internet erreichbar sein.
Besser:
Zugriff über VPN
oder
Zugriff über Bastion Host
oder
Zugriff nur von festen Quell-IP-Adressen
oder
Zugriff über ein getrenntes Managementnetz
Merksatz:
Adminzugänge nicht breit öffentlich bereitstellen.
---
**SSH**
SSH steht für:
Secure Shell
SSH ist ein verschlüsseltes Protokoll für entfernten Zugriff auf eine Kommandozeile.
SSH wird häufig genutzt für:
Linux-Server
Unix-Systeme
Netzwerkgeräte
Firewalls
Switches
Router
NAS-Systeme
Git-Zugriffe
Dateiübertragung mit SFTP oder SCP
Standardport:
TCP 22
Merksatz:
SSH ist sicherer Fernzugriff auf die Kommandozeile.
---
**Was SSH schützt**
SSH schützt die Verbindung durch Verschlüsselung.
Dadurch werden geschützt:
Zugangsdaten bei der Übertragung
Befehle
Ausgaben
Dateiübertragungen
Sitzungsdaten
Wichtig:
SSH verschlüsselt die Verbindung,
aber schützt nicht automatisch vor schwachen Passwörtern,
gestohlenen Schlüsseln
oder falsch vergebenen Rechten.
Merksatz:
SSH schützt den Transport,
aber nicht jede Fehlkonfiguration.
---
**SSH-Authentifizierung**
SSH kann verschiedene Anmeldearten nutzen.
Typisch sind:
Passwortauthentifizierung
oder
Schlüsselbasierte Authentifizierung
Zusätzlich möglich:
MFA
Zertifikatsbasierte SSH-Anmeldung
zentrale Benutzerverwaltung
Zugriff über Bastion Host
Merksatz:
SSH braucht starke Authentifizierung,
nicht nur Verschlüsselung.
---
**SSH mit Passwort**
Bei SSH mit Passwort meldet sich ein Benutzer mit Benutzername und Passwort an.
Vorteil:
einfach einzurichten
Nachteile:
anfällig gegen Brute Force
anfällig gegen gestohlene Passwörter
Risiko durch Passwortwiederverwendung
schwierig bei vielen Servern sicher zu verwalten
Merksatz:
SSH-Passwortlogin ist einfach,
aber sicherheitlich schwächer als Schlüsselanmeldung.
---
**SSH mit Schlüsselpaar**
Bei SSH mit Schlüsselpaar gibt es zwei Schlüssel:
privater Schlüssel
und
öffentlicher Schlüssel
Der öffentliche Schlüssel liegt auf dem Server.
Der private Schlüssel bleibt beim Administrator.
Nur wer den passenden privaten Schlüssel besitzt,
kann sich authentifizieren.
Merksatz:
Öffentlicher Schlüssel auf den Server,
privater Schlüssel bleibt geheim beim Benutzer.
---
**Privater Schlüssel**
Der private SSH-Schlüssel ist geheim.
Er darf nicht:
weitergegeben werden
in Git-Repositories liegen
in Tickets kopiert werden
in Chatnachrichten stehen
unverschlüsselt auf fremden Systemen liegen
auf gemeinsam genutzten Netzlaufwerken liegen
Merksatz:
Der private SSH-Schlüssel ist wie ein besonders kritisches Passwort.
---
**Öffentlicher Schlüssel**
Der öffentliche SSH-Schlüssel ist nicht geheim.
Er wird auf Systemen hinterlegt,
auf die der Benutzer zugreifen darf.
Trotzdem muss er verwaltet werden.
Wichtig:
alte Schlüssel entfernen
Schlüssel Personen zuordnen
Schlüssel bei Austritt löschen
keine unbekannten Schlüssel erlauben
Berechtigungen regelmäßig prüfen
Merksatz:
Öffentliche Schlüssel sind nicht geheim,
aber ihre Zuordnung ist sicherheitsrelevant.
---
**Passphrase für SSH-Schlüssel**
Ein privater SSH-Schlüssel sollte mit einer Passphrase geschützt werden.
Vorteil:
Wenn der Schlüssel gestohlen wird,
kann er nicht sofort genutzt werden.
Nachteil:
Benutzer muss Passphrase eingeben
oder sicher mit einem Agent arbeiten.
Merksatz:
Passphrase schützt den privaten Schlüssel zusätzlich.
---
**SSH-Agent**
Ein SSH-Agent kann private Schlüssel nach Eingabe der Passphrase temporär bereithalten.
Vorteil:
Benutzer muss Passphrase nicht bei jeder Verbindung neu eingeben.
Risiko:
ein kompromittiertes System kann unter Umständen den Agent missbrauchen.
Merksatz:
SSH-Agent ist praktisch,
muss aber bewusst genutzt werden.
---
**SSH-Agent-Forwarding**
SSH-Agent-Forwarding leitet die Authentifizierung über ein Zwischensystem weiter.
Beispiel:
Administrator
→
Bastion Host
→
Zielserver
Risiko:
Wenn der Bastion Host kompromittiert ist,
kann Agent-Forwarding missbraucht werden.
Besser je nach Umgebung:
ProxyJump
kurzlebige Zertifikate
Bastion-Lösung mit Protokollierung
gezielte Schlüsselverwaltung
Merksatz:
Agent-Forwarding nur nutzen,
wenn Risiko und Bedarf klar sind.
---
**SSH über Bastion Host**
Ein Bastion Host ist ein geschützter Sprungserver.
Vorteile:
Zielserver müssen nicht öffentlich erreichbar sein.
Zugriff kann zentral protokolliert werden.
Firewall-Regeln werden einfacher.
Adminzugriffe laufen kontrollierter.
Beispielprinzip:
Administrator verbindet sich zuerst zum Bastion Host.
Danach erfolgt der Zugriff auf interne Server.
Merksatz:
Bastion Host schützt interne Systeme vor direktem Adminzugriff aus dem Internet.
---
**SSH ProxyJump**
ProxyJump ist eine SSH-Funktion,
um über einen Zwischensystem zu einem Zielserver zu gelangen.
Prinzip:
lokaler Rechner
→
Bastion Host
→
Zielserver
Vorteil:
Zielserver muss nur vom Bastion Host erreichbar sein.
Merksatz:
ProxyJump ermöglicht SSH-Zugriff über einen Sprungserver.
---
**Root-Login per SSH**
Direkter Root-Login über SSH ist riskant.
Nachteile:
Angreifer kennt den Benutzernamen root.
Aktionen sind schwerer einzelnen Personen zuzuordnen.
Root hat sofort volle Rechte.
Brute-Force-Ziel ist eindeutig.
Besser:
Anmeldung mit persönlichem Benutzerkonto
danach
Rechteerhöhung mit sudo
Merksatz:
Direkten Root-Login vermeiden,
persönliche Konten und sudo nutzen.
---
**sudo bei Fernadministration**
sudo erlaubt,
einzelne Befehle mit erhöhten Rechten auszuführen.
Vorteile:
Adminrechte nur bei Bedarf
bessere Nachvollziehbarkeit
weniger Risiko durch Alltagssitzungen
gezieltere Rechtevergabe
Protokollierung möglich
Merksatz:
sudo trennt normale Anmeldung und administrative Rechte.
---
**SSH sicher konfigurieren**
Wichtige Maßnahmen:
Passwortlogin deaktivieren,
wenn Schlüsselbetrieb sauber eingerichtet ist
direkte Root-Anmeldung deaktivieren
nur benötigte Benutzer erlauben
SSH-Zugriff per Firewall begrenzen
MFA prüfen
starke Schlüssel verwenden
alte Schlüssel entfernen
Loginversuche überwachen
Systeme aktuell halten
Logs auswerten
Merksatz:
SSH-Sicherheit entsteht durch Schlüssel,
Rechte,
Regeln
und Überwachung.
---
**SSH-Logs**
SSH-Logs zeigen Anmeldeversuche und Fehler.
Typische Hinweise:
erfolgreiche Anmeldung
fehlgeschlagene Anmeldung
ungültiger Benutzer
falscher Schlüssel
falsches Passwort
viele Versuche von einer IP
Verbindungsabbrüche
Merksatz:
SSH-Logs helfen,
Angriffe und Fehlkonfigurationen zu erkennen.
---
**Typische SSH-Fehlerbilder**
Häufige Ursachen:
falscher Benutzername
falscher Hostname
falsche IP-Adresse
Firewall blockiert TCP 22
SSH-Dienst läuft nicht
Schlüssel nicht hinterlegt
falsche Dateirechte beim Schlüssel
privater Schlüssel passt nicht
Root-Login deaktiviert
Passwortlogin deaktiviert
Server-Key hat sich geändert
Merksatz:
SSH-Fehler können an Netzwerk,
Dienst,
Benutzer,
Schlüssel
oder Berechtigung liegen.
---
**Host Key bei SSH**
Ein SSH-Server besitzt einen Host Key.
Dieser dient dazu,
den Server wiederzuerkennen.
Beim ersten Verbinden wird der Host Key gespeichert.
Wenn sich der Host Key später unerwartet ändert,
erscheint eine Warnung.
Mögliche Ursachen:
Server wurde neu installiert
Host Key wurde erneuert
falscher Server wird erreicht
Man-in-the-Middle-Angriff möglich
Merksatz:
SSH-Host-Key-Warnungen nicht blind ignorieren.
---
**RDP**
RDP steht für:
Remote Desktop Protocol
RDP ermöglicht grafischen Fernzugriff auf Windows-Systeme.
Standardport:
TCP 3389
Typische Nutzung:
Windows-Server administrieren
Remote-Desktop-Sitzung
Zugriff auf grafische Anwendungen
Fernwartung interner Systeme
Merksatz:
RDP ist grafischer Fernzugriff auf Windows-Systeme.
---
**RDP-Risiken**
RDP ist ein häufiges Angriffsziel.
Risiken:
Brute Force
Credential Stuffing
Exploits gegen ungepatchte Systeme
Ransomware-Einstieg
Passwortdiebstahl
fehlende MFA
unsichere Freigabe ins Internet
schwache Kontosperrregeln
Merksatz:
RDP offen im Internet ist ein hohes Risiko.
---
**RDP sicher betreiben**
Schutzmaßnahmen:
RDP nur über VPN
RDP Gateway nutzen
MFA nutzen
Network Level Authentication aktivieren
Quell-IP einschränken
starke Passwörter
Account Lockout
Updates einspielen
Adminrechte begrenzen
Logs überwachen
Merksatz:
RDP gehört hinter VPN,
Gateway
oder andere Zugriffsschutzmaßnahmen.
---
**Network Level Authentication**
Network Level Authentication wird abgekürzt:
NLA
NLA verlangt Authentifizierung,
bevor eine vollständige RDP-Sitzung aufgebaut wird.
Vorteile:
reduziert Angriffsfläche
spart Serverressourcen
erschwert bestimmte Angriffe
Anmeldung erfolgt früher im Verbindungsaufbau
Merksatz:
NLA schützt RDP,
bevor die vollständige Sitzung entsteht.
---
**RDP Gateway**
Ein RDP Gateway bündelt RDP-Zugriffe.
Statt viele Systeme direkt per RDP erreichbar zu machen,
verbinden sich Benutzer zum Gateway.
Vorteile:
zentraler Zugriffspunkt
bessere Protokollierung
MFA möglich
interne Systeme bleiben privater
Regeln zentral steuerbar
Merksatz:
RDP Gateway reduziert direkte RDP-Erreichbarkeit interner Systeme.
---
**RDP und VPN**
RDP sollte häufig nur nach VPN-Verbindung erreichbar sein.
Vorteile:
RDP-Port nicht öffentlich
Benutzer vorher authentifiziert
Zugriff kann auf interne Netze begrenzt werden
MFA kann am VPN greifen
Firewall-Regeln einfacher
Wichtig:
VPN ersetzt keine RDP-Sicherheit.
Benutzerrechte und Logs bleiben wichtig.
Merksatz:
VPN schützt den Zugang,
aber nicht automatisch das Zielsystem.
---
**RDP-Logs**
RDP-Zugriffe sollten protokolliert werden.
Zu prüfen:
erfolgreiche Anmeldungen
fehlgeschlagene Anmeldungen
ungewöhnliche Uhrzeiten
unbekannte Quelladressen
viele Fehlversuche
neue Benutzer
Admin-Anmeldungen
Sitzungsabbrüche
Merksatz:
RDP-Logs sind wichtig für Angriffserkennung und Nachvollziehbarkeit.
---
**Webbasierte Administrationsoberflächen**
Viele Systeme haben Weboberflächen.
Beispiele:
Firewall
Router
Switch
NAS
Drucker
Hypervisor
Backup-System
Monitoring-System
Cloud-Dienst
Container-Plattform
Merksatz:
Weboberflächen sind bequem,
aber oft sehr mächtig.
---
**Risiken von Admin-Weboberflächen**
Typische Risiken:
öffentlich erreichbar
Standardpasswort aktiv
fehlende MFA
veraltete Firmware
unsicheres TLS
schwache Rollenverwaltung
XSS oder CSRF
unsichere Sessionverwaltung
fehlende Logs
Merksatz:
Admin-Weboberflächen nicht ungeschützt bereitstellen.
---
**Admin-Weboberflächen absichern**
Maßnahmen:
nur intern erreichbar machen
Zugriff über VPN
Quell-IP beschränken
MFA aktivieren
HTTPS nutzen
gültige Zertifikate einsetzen
Standardkonten deaktivieren
starke Passwörter
Updates einspielen
Rollen begrenzen
Logs aktivieren
Merksatz:
Admin-Weboberflächen brauchen Zugriffsschutz,
Verschlüsselung,
Updates
und Logging.
---
**VPN als Zugriffsschutz**
VPN kann Fernzugriff absichern,
indem interne Dienste nicht direkt öffentlich erreichbar sind.
Vorteile:
zentrale Authentifizierung
MFA möglich
verschlüsselter Tunnel
interne Adressen bleiben privat
Zugriff über Gruppen steuerbar
Logs zentral auswertbar
Merksatz:
VPN ist ein sicherer Zugangspfad,
aber kein Ersatz für Berechtigungen.
---
**Bastion Host und Jump Server**
Bastion Host oder Jump Server dienen als kontrollierter Sprungpunkt.
Typische Eigenschaften:
besonders gehärtet
stark überwacht
nur für Administration gedacht
MFA geschützt
protokolliert Zugriffe
hat eingeschränkten Zugriff auf Zielsysteme
Merksatz:
Bastion Host und Jump Server bündeln administrative Zugriffe.
---
**Managementnetz**
Ein Managementnetz trennt administrative Zugriffe vom normalen Benutzernetz.
Darin liegen:
Switch-Management
Firewall-Management
Server-Management
Hypervisor-Management
Storage-Management
Backup-Management
Out-of-Band-Management
Merksatz:
Managementschnittstellen gehören nicht ins normale Clientnetz.
---
**Out-of-Band-Management**
Out-of-Band-Management nutzt einen getrennten Verwaltungsweg.
Beispiele:
iLO
iDRAC
IPMI
serielle Konsole
separates Managementinterface
Vorteil:
Zugriff auch bei Störungen des normalen Systems möglich
Risiko:
extrem mächtiger Zugriff
Merksatz:
Out-of-Band-Management besonders stark schützen.
---
**API-Zugriff für Administration**
Viele moderne Systeme werden über APIs verwaltet.
Beispiele:
Cloud-APIs
Firewall-APIs
Monitoring-APIs
Backup-APIs
Container-APIs
Automatisierungsschnittstellen
Risiken:
API-Schlüssel gestohlen
Token zu viele Rechte
fehlendes Rate Limiting
unsichere Speicherung
keine Protokollierung
Schlüssel nicht rotiert
Merksatz:
API-Zugänge sind Adminzugänge und müssen genauso geschützt werden.
---
**API-Schlüssel und Tokens**
API-Schlüssel und Tokens erlauben Zugriff auf Systeme.
Sie dürfen nicht:
im Quellcode stehen
in öffentlichen Repositories liegen
in Tickets kopiert werden
in Chatverläufen stehen
unverschlüsselt gespeichert werden
dauerhaft ohne Prüfung aktiv bleiben
Merksatz:
API-Schlüssel wie Passwörter behandeln.
---
**Sichere Speicherung von Zugangsdaten**
Zugangsdaten sollten sicher verwaltet werden.
Geeignete Mittel:
Passwortmanager
Secret Manager
PAM-System
verschlüsselte Tresore
zentrale Identitätsverwaltung
Zugriff nach Rollen
regelmäßige Prüfung
Ungeeignet:
Textdateien
Excel-Listen ohne Schutz
Screenshots
Chatnachrichten
Notizzettel
Quellcode
gemeinsam genutzte Klartextdokumente
Merksatz:
Zugangsdaten gehören in sichere Verwaltung,
nicht in Klartextablagen.
---
**Least Privilege bei Fernadministration**
Fernzugriffe sollten nur die Rechte erhalten,
die für die Aufgabe nötig sind.
Beispiele:
Support darf Dienste neu starten,
aber keine Firewall löschen.
Backup-Operator darf Sicherungen prüfen,
aber keine Benutzer anlegen.
Netzwerkadmin darf Switches verwalten,
aber keine Personaldaten lesen.
Merksatz:
Remotezugriff immer nach Aufgabe und Rolle begrenzen.
---
**Zeitlich begrenzte Zugriffe**
Administrative Zugriffe sollten möglichst nicht dauerhaft bestehen.
Möglichkeiten:
Just-in-Time-Rechte
temporäre VPN-Gruppen
befristete Dienstleisterzugänge
zeitlich begrenzte Adminrollen
Ablaufdatum für Konten
automatische Deaktivierung
Merksatz:
Dauerhafte Adminrechte erhöhen das Risiko.
---
**Dienstleisterzugänge**
Externe Dienstleisterzugänge sind besonders kritisch.
Zu beachten:
klare Freigabe
begrenzte Rechte
zeitliche Befristung
MFA
Protokollierung
keine Sammelkonten
Zugriff nur auf benötigte Systeme
Abschaltung nach Auftrag
vertragliche Regelungen
Merksatz:
Dienstleisterzugänge müssen begrenzt,
überwacht
und wieder entfernt werden.
---
**MFA für Fernadministration**
MFA sollte besonders für Remotezugriffe genutzt werden.
Wichtig für:
VPN
Cloud-Portal
RDP Gateway
Admin-Weboberflächen
PAM
Bastion Host
Identitätsdienst
kritische APIs
Merksatz:
Fernadministration ohne MFA ist ein erhöhtes Risiko.
---
**Logging bei Fernadministration**
Protokolliert werden sollten:
wer sich angemeldet hat
wann Zugriff erfolgte
von welcher Quelle
auf welches Ziel
welche Aktion ausgeführt wurde
ob Zugriff erfolgreich war
ob Fehler auftraten
welche Rechte genutzt wurden
Merksatz:
Fernadministration muss nachvollziehbar sein.
---
**Session Recording**
Session Recording bedeutet:
administrative Sitzungen werden aufgezeichnet.
Möglich bei:
Bastion Hosts
PAM-Systemen
RDP Gateways
SSH-Proxies
Remote-Support-Systemen
Nutzen:
Nachvollziehbarkeit
forensische Analyse
Schulung
Missbrauchserkennung
Merksatz:
Session Recording erhöht Nachvollziehbarkeit bei kritischen Zugriffen.
---
**Timeouts und automatische Trennung**
Remote-Sitzungen sollten bei Inaktivität getrennt werden.
Vorteile:
weniger Risiko bei vergessenen Sitzungen
geringere Angriffsfläche
weniger Missbrauch offener Sessions
Beispiele:
SSH-Timeout
RDP-Session-Timeout
VPN-Timeout
Websession-Timeout
Adminportal-Timeout
Merksatz:
Offene Admin-Sitzungen nicht unbegrenzt laufen lassen.
---
**Sperren nach Fehlversuchen**
Viele fehlgeschlagene Loginversuche können auf Angriffe hinweisen.
Schutz:
Account Lockout
Rate Limiting
IP-Blockierung
Fail2ban oder vergleichbare Mechanismen
MFA
Alarmierung
Wichtig:
Sperrregeln sinnvoll einstellen,
damit kein einfacher Denial-of-Service gegen Benutzerkonten entsteht.
Merksatz:
Fehlversuche begrenzen,
aber Sperrlogik kontrolliert planen.
---
**Fail2ban als Prinzip**
Fail2ban ist ein Beispiel für einen Schutzmechanismus,
der Logs auswertet
und bei vielen Fehlversuchen Quellen blockieren kann.
Prinzip:
Log prüfen
Muster erkennen
IP-Adresse temporär sperren
Merksatz:
Logbasierte Sperren können Brute-Force-Angriffe bremsen.
---
**Fernadministration und Change Management**
Fernadministration sollte nicht bedeuten,
dass Änderungen unkontrolliert erfolgen.
Auch remote gilt:
Änderung planen
Risiko bewerten
Wartungsfenster prüfen
Backup oder Snapshot prüfen
Rollback vorbereiten
Änderung dokumentieren
Funktion testen
Logs kontrollieren
Merksatz:
Remoteänderungen brauchen denselben Prozess wie lokale Änderungen.
---
**Fernadministration und Notfallzugriff**
Für Notfälle braucht es definierte Zugriffswege.
Beispiele:
Break-Glass-Konto
Out-of-Band-Zugang
Ersatz-VPN
lokale Konsole
Notfallpasswort im Tresor
dokumentierte Wiederherstellung
Wichtig:
Notfallzugang stark schützen
Nutzung protokollieren
regelmäßig testen
nicht im Alltag verwenden
Merksatz:
Notfallzugriff vorbereiten,
aber streng kontrollieren.
---
**Typische Fehler bei Fernadministration**
Häufige Fehler:
RDP direkt im Internet offen
SSH mit schwachem Passwort
Root-Login erlaubt
private Schlüssel ungeschützt
alte SSH-Schlüssel nicht entfernt
Admin-Weboberfläche öffentlich
keine MFA
keine Logs
Sammelkonten
Adminrechte dauerhaft vergeben
Dienstleisterzugang nicht deaktiviert
Managementnetz fehlt
API-Schlüssel im Code
Merksatz:
Viele Remoteprobleme entstehen durch Bequemlichkeit und fehlende Kontrolle.
---
**Checkliste: sichere Fernadministration**
Remotezugänge erfassen.
Öffentliche Erreichbarkeit prüfen.
Nur notwendige Ports freigeben.
VPN oder Bastion Host nutzen.
MFA aktivieren.
Persönliche Konten verwenden.
Sammelkonten vermeiden.
Admin- und Benutzerkonto trennen.
Least Privilege umsetzen.
SSH-Schlüssel verwalten.
Root-Login vermeiden.
RDP nicht direkt öffentlich machen.
Weboberflächen absichern.
Logs aktivieren.
Fehlversuche überwachen.
Notfallzugänge schützen.
Dienstleisterzugänge befristen.
Änderungen dokumentieren.
Zugriffe regelmäßig prüfen.
Merksatz:
Sichere Fernadministration braucht Technik,
Rechtekonzept,
Protokollierung
und klare Prozesse.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist SSH?
- Wofür wird SSH verwendet?
- Welchen Standardport nutzt SSH?
- Warum sind SSH-Schlüssel sicherer als reine Passwortanmeldung?
- Was ist der Unterschied zwischen privatem und öffentlichem SSH-Schlüssel?
- Warum sollte der private SSH-Schlüssel geschützt werden?
- Was ist ein SSH Host Key?
- Warum sollte Root-Login per SSH vermieden werden?
- Was ist sudo?
- Was ist RDP?
- Welchen Standardport nutzt RDP?
- Warum sollte RDP nicht direkt aus dem Internet erreichbar sein?
- Was ist Network Level Authentication?
- Was ist ein RDP Gateway?
- Was ist ein Bastion Host?
- Was ist ein Jump Server?
- Was ist ein Managementnetz?
- Was ist Out-of-Band-Management?
- Warum sind API-Schlüssel wie Passwörter zu behandeln?
- Warum ist MFA bei Fernadministration wichtig?
- Warum ist Logging bei Remotezugriffen wichtig?
---
**Typische Prüfungsfallen**
SSH ist verschlüsselt,
aber nicht automatisch sicher konfiguriert.
SSH nutzt standardmäßig TCP 22.
RDP nutzt standardmäßig TCP 3389.
RDP offen im Internet ist riskant.
VPN ersetzt keine Benutzerrechte.
MFA ersetzt kein Rechtekonzept.
SSH-Schlüssel brauchen Schutz.
Privater Schlüssel bleibt geheim.
Öffentlicher Schlüssel gehört auf Zielsysteme.
Host-Key-Warnungen nicht blind ignorieren.
Root-Login vermeiden.
sudo kontrolliert Rechteerhöhung.
Bastion Host ist ein geschützter Sprungserver.
Managementnetz vom Clientnetz trennen.
Out-of-Band-Zugriff ist besonders kritisch.
Admin-Weboberflächen nicht öffentlich bereitstellen.
API-Tokens wie Zugangsdaten behandeln.
Dienstleisterzugänge befristen.
Logs müssen aktiv sein,
bevor ein Vorfall passiert.
Session Recording kann Nachvollziehbarkeit erhöhen.
Notfallzugang ist kein Alltagszugang.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| Fernadministration | Verwaltung von Systemen aus der Ferne |
| SSH | verschlüsselter Kommandozeilenzugriff |
| SSH-Port | TCP 22 |
| Passwortauthentifizierung | Anmeldung mit Passwort |
| Schlüsselbasierte Authentifizierung | Anmeldung mit Schlüsselpaar |
| privater Schlüssel | geheimer Schlüsselteil beim Benutzer |
| öffentlicher Schlüssel | Schlüsselteil auf dem Server |
| Passphrase | Schutzwort für privaten Schlüssel |
| SSH-Agent | hält Schlüssel temporär bereit |
| Agent-Forwarding | Weiterleitung der SSH-Authentifizierung |
| Bastion Host | geschützter Sprungserver |
| ProxyJump | SSH-Verbindung über Zwischensystem |
| Root-Login | direkte Anmeldung als Root |
| sudo | kontrollierte Rechteerhöhung |
| Host Key | Identität des SSH-Servers |
| RDP | grafischer Windows-Fernzugriff |
| RDP-Port | TCP 3389 |
| NLA | Network Level Authentication |
| RDP Gateway | zentraler RDP-Zugriffspunkt |
| Admin-Weboberfläche | Verwaltungssystem im Browser |
| VPN | verschlüsselter Zugang ins interne Netz |
| Jump Server | Zwischensystem für Administration |
| Managementnetz | getrenntes Verwaltungsnetz |
| Out-of-Band-Management | Verwaltung über separaten Weg |
| API-Zugriff | Administration über Programmierschnittstelle |
| API-Schlüssel | Zugangsschlüssel für API |
| Token | Zugriffsnachweis für Dienste |
| Secret Manager | sichere Verwaltung geheimer Werte |
| PAM | Verwaltung privilegierter Zugriffe |
| Just-in-Time | zeitlich begrenzte Rechte |
| Dienstleisterzugang | externer Administrationszugang |
| Session Recording | Aufzeichnung administrativer Sitzungen |
| Timeout | automatische Trennung bei Inaktivität |
| Account Lockout | Kontosperre nach Fehlversuchen |
| Rate Limiting | Begrenzung von Anfragen |
| Fail2ban | logbasierte Sperre bei Fehlversuchen |
| Break-Glass-Konto | Notfallzugang |
---
**IHK-sichere Kurzformulierung**
Fernadministration ermöglicht die Verwaltung von Systemen aus der Ferne, ist aber sicherheitskritisch. SSH dient dem verschlüsselten Kommandozeilenzugriff und nutzt standardmäßig TCP-Port 22. Eine schlüsselbasierte SSH-Anmeldung ist sicherer als reine Passwortanmeldung, wenn der private Schlüssel geschützt und alte Schlüssel entfernt werden. RDP dient dem grafischen Fernzugriff auf Windows-Systeme und nutzt standardmäßig TCP-Port 3389. RDP sollte nicht direkt aus dem Internet erreichbar sein, sondern über VPN, RDP Gateway oder andere Zugriffsschutzmaßnahmen abgesichert werden. Für sichere Fernadministration sind MFA, Least Privilege, persönliche Konten, Logging, Bastion Hosts, Managementnetze, abgesicherte Weboberflächen, geschützte API-Schlüssel und dokumentierte Notfallzugänge wichtig.
---
**Merksätze**
Fernadministration ist praktisch,
aber sicherheitskritisch.
Adminzugänge nicht breit öffentlich bereitstellen.
SSH = Secure Shell.
SSH nutzt TCP 22.
SSH verschlüsselt den Transport.
SSH braucht trotzdem sichere Authentifizierung.
Passwortlogin ist einfacher,
aber schwächer.
SSH-Schlüssel bestehen aus privatem und öffentlichem Schlüssel.
Privater Schlüssel bleibt geheim.
Öffentlicher Schlüssel liegt auf dem Server.
Passphrase schützt privaten Schlüssel.
Agent-Forwarding bewusst nutzen.
Bastion Host schützt interne Systeme.
ProxyJump verbindet über Sprungserver.
Root-Login vermeiden.
sudo für kontrollierte Rechteerhöhung nutzen.
SSH-Logs prüfen.
Host-Key-Warnungen ernst nehmen.
RDP = Remote Desktop Protocol.
RDP nutzt TCP 3389.
RDP nicht direkt ins Internet öffnen.
RDP über VPN oder Gateway absichern.
NLA schützt RDP vor vollständigem Sitzungsaufbau.
Admin-Weboberflächen nicht öffentlich bereitstellen.
VPN schützt Zugang,
aber ersetzt keine Rechte.
Managementnetz trennt Verwaltungszugriffe.
Out-of-Band-Management besonders schützen.
API-Schlüssel wie Passwörter behandeln.
Secrets sicher speichern.
Least Privilege auch remote anwenden.
Dienstleisterzugänge befristen.
MFA für Fernadministration nutzen.
Remotezugriffe protokollieren.
Session Recording kann Nachvollziehbarkeit erhöhen.
Timeouts für Admin-Sitzungen setzen.
Fehlversuche begrenzen.
Notfallzugänge streng kontrollieren.
Sichere Fernadministration braucht Technik,
Prozesse
und Kontrolle.
# 17.3 Benutzer, Gruppen, Rechte und Zugriffskontrolle in der Praxis
In der Systemadministration müssen Benutzer,
Gruppen,
Rollen
und Berechtigungen sauber verwaltet werden.
Ziel ist:
Benutzer sollen genau die Zugriffe bekommen,
die sie für ihre Arbeit benötigen.
Nicht mehr.
Nicht weniger.
Merksatz:
Rechteverwaltung sorgt dafür,
dass Benutzer nur auf erlaubte Systeme,
Dienste
und Daten zugreifen können.
---
**Warum Rechteverwaltung wichtig ist**
Fehlerhafte Rechte können zu schweren Sicherheitsproblemen führen.
Mögliche Folgen:
unberechtigter Datenzugriff
versehentliches Löschen
Manipulation von Daten
Missbrauch von Adminrechten
Datenabfluss
Datenschutzverletzung
Ransomware-Ausbreitung
fehlende Nachvollziehbarkeit
Merksatz:
Falsche Rechte sind ein Sicherheitsrisiko.
---
**Benutzerkonto**
Ein Benutzerkonto ist eine digitale Identität in einem System.
Es enthält typischerweise:
Benutzername
Kennwort oder andere Anmeldemethode
Gruppenmitgliedschaften
Rollen
Berechtigungen
Profilinformationen
Anmeldeinformationen
Status aktiv oder deaktiviert
Merksatz:
Benutzerkonto = digitale Identität eines Benutzers.
---
**Persönliche Benutzerkonten**
Jeder Benutzer sollte ein eigenes Konto haben.
Vorteile:
Aktionen sind nachvollziehbar.
Rechte können gezielt vergeben werden.
Offboarding ist einfacher.
Passwörter müssen nicht geteilt werden.
Sicherheitsvorfälle lassen sich besser untersuchen.
Merksatz:
Ein Benutzer,
ein persönliches Konto.
---
**Sammelkonten**
Sammelkonten sind Konten,
die von mehreren Personen gemeinsam genutzt werden.
Beispiele:
admin
support
praktikant
lager
service
teamkonto
Probleme:
keine eindeutige Zuordnung
Passwortweitergabe
schwieriges Offboarding
schlechte Protokollierung
höheres Missbrauchsrisiko
Merksatz:
Sammelkonten vermeiden,
besonders bei administrativen Zugängen.
---
**Gruppen**
Gruppen fassen Benutzer zusammen.
Beispiel:
Alle Benutzer der Buchhaltung kommen in Gruppe Buchhaltung.
Dann können Rechte der Gruppe gegeben werden,
statt jedem Benutzer einzeln.
Vorteile:
übersichtlich
leichter zu verwalten
einfacher bei neuen Benutzern
einfacher bei Rollenwechsel
weniger Einzelberechtigungen
Merksatz:
Rechte möglichst über Gruppen vergeben.
---
**Rollen**
Eine Rolle beschreibt eine Aufgabe oder Funktion.
Beispiele:
Helpdesk
Netzwerkadministrator
Serveradministrator
Datenbankadministrator
Backup-Operator
Standardbenutzer
Abteilungsleitung
Leser
Bearbeiter
Prüfer
Merksatz:
Rolle beschreibt Aufgabe,
Gruppe kann Rechte technisch bündeln.
---
**Rollenbasierte Zugriffskontrolle**
Rollenbasierte Zugriffskontrolle wird abgekürzt:
RBAC
RBAC steht für:
Role-Based Access Control
Dabei werden Rechte über Rollen vergeben.
Beispiel:
Rolle Helpdesk darf Passwörter zurücksetzen.
Rolle Backup-Operator darf Backups prüfen.
Rolle Netzwerkadministrator darf Switches verwalten.
Merksatz:
RBAC vergibt Rechte nach Rollen.
---
**Attributbasierte Zugriffskontrolle**
Attributbasierte Zugriffskontrolle wird abgekürzt:
ABAC
ABAC steht für:
Attribute-Based Access Control
Dabei werden Zugriffe anhand von Eigenschaften entschieden.
Beispiele für Attribute:
Abteilung
Standort
Gerätetyp
Uhrzeit
Sicherheitsstatus des Geräts
Datenklassifizierung
Benutzerrolle
Merksatz:
ABAC entscheidet nach Eigenschaften und Bedingungen.
---
**RBAC und ABAC vergleichen**
| Modell | Grundlage | Beispiel |
|---|---|---|
| RBAC | Rolle | Helpdesk darf Passwörter zurücksetzen |
| ABAC | Attribute | Zugriff nur aus Firmennetz und mit verwaltetem Gerät |
Merksatz:
RBAC arbeitet mit Rollen.
ABAC arbeitet mit Eigenschaften.
---
**Berechtigung**
Eine Berechtigung beschreibt,
was ein Benutzer oder Dienst tun darf.
Beispiele:
Datei lesen
Datei schreiben
Datei löschen
Benutzer anlegen
Passwort zurücksetzen
Server neu starten
Firewall-Regel ändern
Datenbank abfragen
Backup wiederherstellen
Merksatz:
Berechtigung = erlaubte Aktion auf ein Ziel.
---
**Recht und Rolle unterscheiden**
Recht:
einzelne Erlaubnis
Rolle:
Bündel aus mehreren Rechten für eine Aufgabe
Beispiel:
Recht:
Benutzer darf Ticket lesen.
Rolle:
Supportmitarbeiter darf Tickets lesen,
bearbeiten
und schließen.
Merksatz:
Rechte sind einzelne Erlaubnisse.
Rollen bündeln Rechte.
---
**Least Privilege**
Least Privilege bedeutet:
Jeder Benutzer,
Dienst
und Prozess erhält nur die Rechte,
die wirklich benötigt werden.
Beispiele:
Standardbenutzer ohne lokale Adminrechte
Dienstkonto nur mit Zugriff auf benötigte Datenbank
Praktikant nur mit Zugriff auf Schulungsunterlagen
Backup-Operator darf Backups prüfen,
aber keine Benutzer verwalten
Merksatz:
So wenig Rechte wie möglich,
so viele wie nötig.
---
**Need to Know**
Need to Know bedeutet:
Zugriff nur auf Informationen,
die für die Aufgabe erforderlich sind.
Beispiel:
Personalabteilung darf Personalakten sehen.
IT-Support muss nicht automatisch Gehaltsdaten sehen.
Projektteam sieht nur Projektdaten.
Merksatz:
Nicht jeder muss alles sehen können.
---
**Trennung von Aufgaben**
Aufgabentrennung bedeutet:
kritische Aufgaben werden auf mehrere Personen oder Rollen verteilt.
Beispiele:
Eine Person beantragt Änderung.
Andere Person gibt Änderung frei.
Eine Person erstellt Zahlung.
Andere Person bestätigt Zahlung.
Eine Person richtet Backup ein.
Andere Person prüft Restore-Test.
Merksatz:
Aufgabentrennung reduziert Fehler und Missbrauch.
---
**Vier-Augen-Prinzip**
Beim Vier-Augen-Prinzip prüft oder genehmigt mindestens eine zweite Person eine kritische Aktion.
Typische Aktionen:
Adminrechte vergeben
Firewall nach außen öffnen
Backup löschen
Produktivsystem ändern
Benutzer mit hohen Rechten anlegen
kritische Daten exportieren
Merksatz:
Kritische Änderungen nicht allein freigeben.
---
**Administrative Konten**
Administrative Konten haben erhöhte Rechte.
Beispiele:
lokaler Administrator
Domänenadministrator
Cloud-Administrator
Firewall-Administrator
Datenbankadministrator
Backup-Administrator
Root-Konto
Merksatz:
Administrative Konten sind besonders schützenswert.
---
**Admin- und Alltagskonto trennen**
Administratoren sollten zwei Konten haben:
normales Benutzerkonto für Alltag
separates Adminkonto für Administration
Vorteile:
weniger Risiko bei Phishing
weniger Malware-Schaden
bessere Nachvollziehbarkeit
weniger dauerhafte Rechte
klarere Trennung von Aufgaben
Merksatz:
Nicht dauerhaft mit Adminrechten arbeiten.
---
**Lokale Adminrechte**
Lokale Adminrechte auf Clients sind riskant.
Risiken:
Malware kann mehr Schaden anrichten.
Benutzer kann Sicherheitssoftware deaktivieren.
Programme können ungeprüft installiert werden.
Einstellungen können verändert werden.
Angreifer kann Rechte ausnutzen.
Merksatz:
Lokale Adminrechte nur vergeben,
wenn sie wirklich nötig sind.
---
**Domänenadministrator**
Ein Domänenadministrator hat sehr weitreichende Rechte in einer Windows-Domäne.
Risiko:
Kompromittierung kann das gesamte Netzwerk betreffen.
Schutz:
nur wenige Personen
MFA
getrennte Admin-Konten
keine Nutzung für Alltag
Protokollierung
regelmäßige Rechteprüfung
sichere Admin-Arbeitsstationen
Merksatz:
Domänenadminrechte gehören zu den kritischsten Rechten.
---
**Root**
Root ist das höchste Benutzerkonto auf vielen Unix- und Linux-Systemen.
Root kann:
Dateien ändern
Benutzer verwalten
Dienste steuern
Rechte setzen
Systemkonfiguration ändern
Sicherheitsmechanismen beeinflussen
Merksatz:
Root hat volle Kontrolle über das System.
---
**sudo**
sudo erlaubt,
einzelne Befehle mit erhöhten Rechten auszuführen.
Vorteile:
keine dauerhafte Root-Sitzung nötig
Aktionen besser nachvollziehbar
Rechte können gezielter vergeben werden
direkte Root-Anmeldung kann vermieden werden
Merksatz:
sudo ermöglicht kontrollierte Rechteerhöhung.
---
**Dienstkonto**
Ein Dienstkonto ist ein Konto,
das von einem Dienst,
einer Anwendung
oder einem automatisierten Prozess genutzt wird.
Beispiele:
Datenbankzugriff einer Webanwendung
Backupdienst
Monitoring-Agent
Synchronisationsdienst
API-Integration
geplante Aufgabe
Merksatz:
Dienstkonten sind technische Identitäten für Dienste.
---
**Risiken bei Dienstkonten**
Dienstkonten sind oft kritisch,
weil sie dauerhaft laufen.
Risiken:
zu viele Rechte
Passwort läuft nie ab
Passwort wird im Klartext gespeichert
Konto wird nicht überwacht
Konto bleibt nach Projektende aktiv
Nutzung ist schwer nachvollziehbar
Schlüssel oder Tokens werden nicht rotiert
Merksatz:
Dienstkonten müssen genauso verwaltet werden wie Benutzerkonten.
---
**Dienstkonten sicher betreiben**
Maßnahmen:
nur notwendige Rechte
eindeutiger Zweck
Dokumentation
keine interaktive Anmeldung,
wenn nicht nötig
starke Geheimnisse
Secret Manager nutzen
regelmäßige Rotation
Monitoring
Deaktivierung nach Nutzungsende
keine gemeinsamen Allzweckkonten
Merksatz:
Dienstkonto immer zweckgebunden und rechtearm einrichten.
---
**Gruppenrichtlinien**
Gruppenrichtlinien werden in Windows-Umgebungen genutzt,
um Einstellungen zentral zu verwalten.
Beispiele:
Passwortregeln
Bildschirmsperre
Firewall-Einstellungen
Laufwerkszuordnung
Softwareverteilung
Sicherheitsoptionen
Einschränkung von Makros
lokale Administratoren
Update-Einstellungen
Merksatz:
Gruppenrichtlinien setzen zentrale Regeln für Benutzer und Computer.
---
**Verzeichnisdienst**
Ein Verzeichnisdienst verwaltet Identitäten und Ressourcen zentral.
Typische Inhalte:
Benutzer
Gruppen
Computer
Rollen
Organisationseinheiten
Richtlinien
Zugriffsrechte
Beispiele:
Active Directory
LDAP-basierte Verzeichnisse
Cloud-Verzeichnisdienste
Merksatz:
Verzeichnisdienst = zentrale Verwaltung von Identitäten und Objekten.
---
**Active Directory**
Active Directory ist ein Verzeichnisdienst von Microsoft.
Es wird häufig genutzt für:
Benutzerverwaltung
Gruppenverwaltung
Computerverwaltung
zentrale Anmeldung
Gruppenrichtlinien
Rechteverwaltung
Domänenstruktur
Merksatz:
Active Directory verwaltet Benutzer,
Gruppen,
Computer
und Richtlinien zentral.
---
**LDAP**
LDAP steht für:
Lightweight Directory Access Protocol
LDAP ist ein Protokoll,
mit dem Verzeichnisdienste abgefragt und genutzt werden können.
Beispiele:
Benutzer suchen
Gruppen prüfen
Anmeldung gegen Verzeichnisdienst
Informationen aus Verzeichnis abrufen
Merksatz:
LDAP ist ein Protokoll für den Zugriff auf Verzeichnisdienste.
---
**Authentifizierung**
Authentifizierung bedeutet:
Nachweis der Identität.
Frage:
Wer bist du?
Beispiele:
Anmeldung mit Passwort
Anmeldung mit Zertifikat
Anmeldung mit MFA
Anmeldung per Smartcard
Anmeldung mit SSH-Schlüssel
Merksatz:
Authentifizierung prüft die Identität.
---
**Autorisierung**
Autorisierung bedeutet:
Prüfung der Berechtigung.
Frage:
Was darfst du?
Beispiele:
Darf Benutzer Datei öffnen?
Darf Benutzer Drucker verwalten?
Darf Benutzer Server neu starten?
Darf Benutzer Adminbereich nutzen?
Darf Benutzer Datenbank ändern?
Merksatz:
Autorisierung prüft die erlaubten Aktionen.
---
**Authentifizierung und Autorisierung unterscheiden**
| Begriff | Frage | Beispiel |
|---|---|---|
| Authentifizierung | Wer bist du? | Benutzer meldet sich an |
| Autorisierung | Was darfst du? | Benutzer darf Datei lesen |
Merksatz:
Erst Identität prüfen,
dann Rechte prüfen.
---
**ACL**
ACL steht für:
Access Control List
Eine ACL ist eine Zugriffskontrollliste.
Sie legt fest,
wer auf ein Objekt zugreifen darf
und welche Aktionen erlaubt sind.
Beispiele:
Datei lesen
Ordner schreiben
Freigabe nutzen
Netzwerkverkehr erlauben
Drucker verwalten
Merksatz:
ACL legt Zugriffsrechte auf Objekte fest.
---
**Dateirechte**
Dateirechte bestimmen,
wer Dateien oder Ordner nutzen darf.
Typische Rechte:
lesen
schreiben
ausführen
ändern
löschen
Besitz übernehmen
Rechte ändern
Merksatz:
Dateirechte schützen Daten vor unberechtigtem Zugriff.
---
**Lesen, Schreiben und Ausführen**
Lesen:
Dateiinhalt anzeigen
Schreiben:
Datei verändern oder erstellen
Ausführen:
Programm oder Skript starten
Merksatz:
Lesen sieht Daten.
Schreiben verändert Daten.
Ausführen startet Code.
---
**Vererbung von Rechten**
Rechte können von übergeordneten Ordnern an Unterordner und Dateien vererbt werden.
Vorteil:
weniger Einzelkonfiguration
Risiko:
falsche Rechte können sich auf viele Dateien auswirken.
Merksatz:
Vererbte Rechte erleichtern Verwaltung,
können aber große Wirkung haben.
---
**Freigaberechte und NTFS-Rechte**
In Windows-Umgebungen gibt es oft:
Freigaberechte
und
NTFS-Rechte
Freigaberechte:
gelten beim Zugriff über Netzwerkfreigabe
NTFS-Rechte:
gelten auf Dateisystemebene
Wichtig:
Beim Netzwerkzugriff wirkt die restriktivere Kombination.
Merksatz:
Freigaberechte und NTFS-Rechte zusammen betrachten.
---
**Besitz von Dateien**
Der Besitzer einer Datei oder eines Ordners hat besondere Bedeutung.
Er kann je nach System Rechte beeinflussen oder ändern.
Wichtig:
Besitzrechte nicht unkontrolliert vergeben.
Merksatz:
Besitz kann Rechteverwaltung beeinflussen.
---
**Umask**
Umask ist ein Konzept in Unix- und Linux-Systemen.
Sie legt fest,
welche Standardrechte bei neuen Dateien oder Ordnern entfernt werden.
Beispielprinzip:
Neue Datei erhält nicht automatisch alle möglichen Rechte,
weil umask bestimmte Rechte wegnimmt.
Merksatz:
umask beeinflusst Standardrechte neuer Dateien und Ordner.
---
**chmod**
chmod ist ein Befehl unter Unix- und Linux-Systemen,
um Dateirechte zu ändern.
Rechtearten:
lesen
schreiben
ausführen
für:
Besitzer
Gruppe
andere
Merksatz:
chmod ändert Dateirechte.
---
**chown**
chown ist ein Befehl unter Unix- und Linux-Systemen,
um Besitzer und Gruppe einer Datei oder eines Ordners zu ändern.
Merksatz:
chown ändert Besitzer oder Gruppe.
---
**Dateirechte unter Linux: Grundidee**
Linux unterscheidet bei Dateirechten typischerweise:
Besitzer
Gruppe
Andere
Rechte:
r = read = lesen
w = write = schreiben
x = execute = ausführen
Merksatz:
Linux-Dateirechte bestehen aus Besitzer,
Gruppe,
Andere
und den Rechten r,
w,
x.
---
**Beispiel für Linux-Rechte**
Beispiel:
rwxr-x---
Bedeutung:
Besitzer:
lesen,
schreiben,
ausführen
Gruppe:
lesen,
ausführen
Andere:
keine Rechte
Merksatz:
Linux-Rechte werden für Besitzer,
Gruppe
und Andere getrennt betrachtet.
---
**Besondere Linux-Rechte**
Neben normalen Rechten gibt es besondere Rechte.
Beispiele:
SetUID
SetGID
Sticky Bit
Diese Rechte können sicherheitskritisch sein,
weil sie Ausführung,
Gruppenzuordnung
oder Löschverhalten beeinflussen.
Merksatz:
Sonderrechte unter Linux bewusst prüfen.
---
**SetUID**
SetUID bewirkt,
dass ein Programm mit den Rechten des Dateibesitzers ausgeführt wird.
Risiko:
Wenn ein SetUID-Programm unsicher ist,
kann es Rechteausweitung ermöglichen.
Merksatz:
SetUID kann Rechte erhöhen und ist sicherheitskritisch.
---
**SetGID**
SetGID kann bewirken,
dass ein Programm mit Gruppenrechten ausgeführt wird
oder dass neue Dateien in einem Ordner eine bestimmte Gruppe erhalten.
Merksatz:
SetGID beeinflusst Gruppenrechte.
---
**Sticky Bit**
Sticky Bit wird häufig bei gemeinsam genutzten Verzeichnissen verwendet.
Es sorgt dafür,
dass Benutzer dort nicht beliebig Dateien anderer Benutzer löschen können.
Beispiel:
/tmp
Merksatz:
Sticky Bit schützt Dateien in gemeinsamen Verzeichnissen vor fremdem Löschen.
---
**Rechteprüfung in der Praxis**
Bei Zugriffsproblemen prüfen:
Welcher Benutzer ist angemeldet?
In welchen Gruppen ist der Benutzer?
Welche Rechte hat die Datei?
Welche Rechte hat der Ordner?
Gibt es vererbte Rechte?
Gibt es Freigaberechte?
Gibt es NTFS-Rechte?
Gibt es ACLs?
Gibt es lokale oder zentrale Gruppen?
Gibt es Deny-Regeln?
Gibt es Sonderrechte?
Merksatz:
Zugriffsprobleme immer systematisch von Benutzer,
Gruppe,
Objekt
und Regel prüfen.
---
**Deny-Regeln**
Deny bedeutet:
Zugriff ausdrücklich verweigern.
Deny-Regeln können erlaubende Rechte übersteuern.
Risiko:
falsch gesetzte Deny-Regeln verursachen schwer erkennbare Zugriffsprobleme.
Merksatz:
Deny-Regeln sparsam und bewusst verwenden.
---
**Zugriff verweigert**
Wenn ein Benutzer „Zugriff verweigert“ erhält,
kann das viele Ursachen haben.
Mögliche Ursachen:
Benutzer nicht in richtiger Gruppe
fehlende Dateirechte
fehlende Freigaberechte
Deny-Regel
falscher Besitzer
Vererbung unterbrochen
falsche Anmeldung
abgelaufenes Konto
gesperrtes Konto
fehlende Lizenz
Anwendung prüft eigene Rechte
Merksatz:
Zugriff verweigert ist nicht automatisch ein Passwortproblem.
---
**Onboarding**
Onboarding bedeutet:
neue Benutzer erhalten benötigte Zugänge,
Geräte
und Rechte.
Gutes Onboarding enthält:
persönliches Benutzerkonto
passende Gruppen
passende Rollen
MFA-Einrichtung
Geräteausgabe
Schulung
Passwortmanager
Sicherheitsrichtlinien
Dokumentation
Merksatz:
Onboarding vergibt Zugänge kontrolliert nach Aufgabe.
---
**Rollenwechsel**
Bei einem Rollenwechsel müssen Rechte angepasst werden.
Beispiel:
Benutzer wechselt von Support zu Einkauf.
Dann müssen alte Rechte entfernt
und neue Rechte vergeben werden.
Wichtig:
Rechte nicht nur hinzufügen,
sondern auch nicht mehr benötigte entfernen.
Merksatz:
Rollenwechsel braucht Rechteentzug und Rechtevergabe.
---
**Offboarding**
Offboarding bedeutet:
Zugänge werden entfernt,
wenn Benutzer ausscheiden
oder keinen Zugriff mehr benötigen.
Zu prüfen:
Benutzerkonto deaktivieren
Gruppen entfernen
VPN-Zugang entfernen
E-Mail-Zugriff regeln
Cloud-Zugänge entfernen
SSH-Schlüssel löschen
API-Tokens widerrufen
Geräte zurückgeben
lokale Adminrechte entfernen
Weiterleitungen prüfen
Merksatz:
Offboarding verhindert alte,
vergessene Zugänge.
---
**Regelmäßige Rechteprüfung**
Rechte sollten regelmäßig überprüft werden.
Zu prüfen:
aktive Benutzer
deaktivierte Benutzer
Adminrechte
Gruppenmitgliedschaften
Dienstkonten
externe Dienstleister
lokale Administratoren
Cloud-Rollen
Freigaben
SSH-Schlüssel
Merksatz:
Rechte altern und müssen regelmäßig geprüft werden.
---
**Rezertifizierung von Rechten**
Rezertifizierung bedeutet:
Verantwortliche bestätigen regelmäßig,
ob Rechte noch benötigt werden.
Beispiel:
Abteilungsleiter prüft,
ob seine Mitarbeitenden noch Zugriff auf bestimmte Daten brauchen.
Merksatz:
Rezertifizierung verhindert angesammelte Altberechtigungen.
---
**Rechteausweitung**
Rechteausweitung bedeutet:
Ein Benutzer oder Angreifer erhält höhere Rechte als vorgesehen.
Arten:
vertikale Rechteausweitung:
normaler Benutzer wird Administrator
horizontale Rechteausweitung:
Benutzer greift auf Daten anderer Benutzer gleicher Ebene zu
Merksatz:
Rechteausweitung ist Zugriff über das erlaubte Maß hinaus.
---
**Privilegieneskalation**
Privilegieneskalation bedeutet:
Rechte werden erhöht,
zum Beispiel von normalem Benutzer zu Administrator.
Ursachen:
Schwachstelle
Fehlkonfiguration
unsichere Dienste
falsche Dateirechte
zu breite sudo-Regeln
unsichere Dienstkonten
Merksatz:
Privilegieneskalation ist Erhöhung von Rechten.
---
**Horizontale Rechteausweitung**
Horizontale Rechteausweitung bedeutet:
Ein Benutzer greift auf Daten eines anderen Benutzers mit ähnlicher Rolle zu.
Beispiel:
Benutzer 1001 sieht Rechnung von Benutzer 1002,
obwohl er nur eigene Rechnungen sehen darf.
Merksatz:
Horizontal bedeutet:
Zugriff auf fremde Daten gleicher Ebene.
---
**Vertikale Rechteausweitung**
Vertikale Rechteausweitung bedeutet:
Ein Benutzer erhält höhere Rechte.
Beispiel:
normaler Benutzer kann Adminfunktion ausführen.
Merksatz:
Vertikal bedeutet:
Zugriff auf höhere Berechtigungsstufe.
---
**Auditierung von Rechten**
Auditierung bedeutet:
Rechte und Zugriffe werden geprüft und dokumentiert.
Ziele:
Missbrauch erkennen
alte Rechte entfernen
Compliance erfüllen
Datenschutz verbessern
Nachvollziehbarkeit schaffen
Merksatz:
Rechte müssen nicht nur vergeben,
sondern auch geprüft werden.
---
**Typische Praxisfehler bei Benutzerrechten**
Häufige Fehler:
Rechte direkt auf einzelne Benutzer vergeben
zu viele lokale Adminrechte
Sammelkonten
alte Benutzer aktiv
Dienstkonten mit zu vielen Rechten
keine Dokumentation
keine regelmäßige Prüfung
Admin- und Alltagskonto nicht getrennt
Gruppen unübersichtlich
Deny-Regeln falsch gesetzt
Rechte bei Rollenwechsel nur hinzugefügt
Merksatz:
Rechteverwaltung wird unsicher,
wenn sie nicht gepflegt wird.
---
**Checkliste: Rechte sauber verwalten**
Persönliche Konten verwenden.
Sammelkonten vermeiden.
Gruppen statt Einzelrechte nutzen.
Rollen definieren.
Least Privilege anwenden.
Need to Know beachten.
Admin- und Alltagskonto trennen.
Dienstkonten dokumentieren.
Dienstkonten rechtearm einrichten.
Onboarding standardisieren.
Rollenwechsel prüfen.
Offboarding konsequent durchführen.
Rechte regelmäßig prüfen.
Adminrechte besonders kontrollieren.
Audit-Logs aktivieren.
Notfallkonten absichern.
Merksatz:
Gute Rechteverwaltung ist dauerhaft gepflegt,
dokumentiert
und nachvollziehbar.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist ein Benutzerkonto?
- Warum sind persönliche Benutzerkonten wichtig?
- Warum sind Sammelkonten problematisch?
- Warum sollte man Rechte über Gruppen vergeben?
- Was ist eine Rolle?
- Was bedeutet RBAC?
- Was bedeutet ABAC?
- Was ist der Unterschied zwischen Authentifizierung und Autorisierung?
- Was bedeutet Least Privilege?
- Was bedeutet Need to Know?
- Warum sollten Admin- und Alltagskonto getrennt werden?
- Was ist ein Dienstkonto?
- Warum sind Dienstkonten kritisch?
- Was ist ein Verzeichnisdienst?
- Was ist Active Directory?
- Was ist LDAP?
- Was ist eine ACL?
- Was ist der Unterschied zwischen Freigaberechten und NTFS-Rechten?
- Was bedeutet chmod?
- Was bedeutet chown?
- Was ist SetUID?
- Was ist Offboarding?
- Warum ist regelmäßige Rechteprüfung wichtig?
---
**Typische Prüfungsfallen**
Authentifizierung und Autorisierung nicht verwechseln.
Benutzerkonto ist Identität,
Berechtigung ist erlaubte Aktion.
Rechte möglichst über Gruppen vergeben.
Rollen bündeln Rechte.
Sammelkonten vermeiden.
Least Privilege bedeutet minimale notwendige Rechte.
Need to Know bezieht sich auf Informationsbedarf.
Admin- und Alltagskonto trennen.
Lokale Adminrechte erhöhen Risiko.
Dienstkonten sind technische Identitäten.
Dienstkonten brauchen klare Rechtebegrenzung.
Active Directory ist ein Verzeichnisdienst.
LDAP ist ein Protokoll für Verzeichniszugriff.
ACL ist Zugriffskontrollliste.
Freigaberechte und NTFS-Rechte zusammen betrachten.
Deny-Regeln können erlaubende Regeln übersteuern.
Zugriff verweigert kann viele Ursachen haben.
Rollenwechsel bedeutet alte Rechte entfernen.
Offboarding muss alle Zugänge entfernen.
Rechte regelmäßig prüfen.
SetUID ist sicherheitskritisch.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| Benutzerkonto | digitale Identität eines Benutzers |
| persönliches Konto | Konto für genau eine Person |
| Sammelkonto | gemeinsam genutztes Konto |
| Gruppe | Zusammenfassung von Benutzern |
| Rolle | Aufgabe mit passenden Rechten |
| RBAC | rollenbasierte Zugriffskontrolle |
| ABAC | attributbasierte Zugriffskontrolle |
| Berechtigung | erlaubte Aktion |
| Recht | einzelne Erlaubnis |
| Least Privilege | minimale notwendige Rechte |
| Need to Know | Zugriff nur bei Informationsbedarf |
| Aufgabentrennung | kritische Aufgaben trennen |
| Vier-Augen-Prinzip | Prüfung durch zweite Person |
| Adminkonto | Konto mit erhöhten Rechten |
| lokaler Administrator | Admin auf einem einzelnen System |
| Domänenadministrator | Admin mit weitreichenden Domänenrechten |
| Root | höchstes Konto auf Unix/Linux |
| sudo | kontrollierte Rechteerhöhung |
| Dienstkonto | technische Identität für Dienste |
| Gruppenrichtlinie | zentrale Windows-Einstellung |
| Verzeichnisdienst | zentrale Verwaltung von Identitäten |
| Active Directory | Microsoft-Verzeichnisdienst |
| LDAP | Protokoll für Verzeichnisdienste |
| Authentifizierung | Identität prüfen |
| Autorisierung | Berechtigung prüfen |
| ACL | Zugriffskontrollliste |
| Dateirechte | Rechte auf Dateien und Ordner |
| Vererbung | Weitergabe von Rechten |
| Freigaberechte | Rechte auf Netzwerkfreigabe |
| NTFS-Rechte | Rechte auf Windows-Dateisystemebene |
| umask | Standardrechte unter Unix/Linux beeinflussen |
| chmod | Dateirechte ändern |
| chown | Besitzer oder Gruppe ändern |
| SetUID | Ausführung mit Besitzerrechten |
| SetGID | Ausführung oder Dateien mit Gruppenbezug |
| Sticky Bit | Schutz in gemeinsamen Verzeichnissen |
| Deny | ausdrückliche Verweigerung |
| Onboarding | geregelte Zugangsvergabe |
| Offboarding | geregelter Rechteentzug |
| Rezertifizierung | regelmäßige Bestätigung von Rechten |
| Rechteausweitung | Zugriff über erlaubtes Maß hinaus |
| Privilegieneskalation | Erhöhung von Rechten |
| Auditierung | Prüfung und Dokumentation |
---
**IHK-sichere Kurzformulierung**
Benutzer-, Gruppen- und Rechteverwaltung sorgt dafür, dass Personen und Dienste nur die Zugriffe erhalten, die sie für ihre Aufgaben benötigen. Benutzer sollten persönliche Konten verwenden, Sammelkonten sollten vermieden werden. Rechte werden möglichst über Gruppen und Rollen vergeben, zum Beispiel nach dem RBAC-Prinzip. Authentifizierung prüft die Identität eines Benutzers, Autorisierung prüft seine Berechtigungen. Wichtige Grundsätze sind Least Privilege, Need to Know, Trennung von Admin- und Alltagskonto, kontrollierte Dienstkonten, regelmäßige Rechteprüfung und konsequentes Offboarding. Dateirechte, ACLs, Freigaberechte, NTFS-Rechte und Linux-Rechte müssen systematisch geprüft werden, wenn Zugriffsprobleme auftreten.
---
**Merksätze**
Rechteverwaltung schützt Daten und Systeme.
Benutzerkonto = digitale Identität.
Ein Benutzer,
ein persönliches Konto.
Sammelkonten vermeiden.
Rechte möglichst über Gruppen vergeben.
Rolle beschreibt Aufgabe.
RBAC vergibt Rechte nach Rollen.
ABAC entscheidet nach Eigenschaften.
Berechtigung = erlaubte Aktion.
Rechte sind einzelne Erlaubnisse.
Rollen bündeln Rechte.
Least Privilege = minimale notwendige Rechte.
Need to Know = Zugriff nur bei Bedarf.
Adminrechte besonders schützen.
Admin- und Alltagskonto trennen.
Lokale Adminrechte vermeiden.
Root hat volle Kontrolle.
sudo ermöglicht kontrollierte Rechteerhöhung.
Dienstkonten sind technische Identitäten.
Dienstkonten rechtearm betreiben.
Gruppenrichtlinien setzen zentrale Regeln.
Verzeichnisdienste verwalten Identitäten zentral.
Active Directory ist ein Verzeichnisdienst.
LDAP ist ein Protokoll für Verzeichniszugriff.
Authentifizierung fragt:
Wer bist du?
Autorisierung fragt:
Was darfst du?
ACL legt Zugriffe fest.
Lesen sieht Daten.
Schreiben verändert Daten.
Ausführen startet Code.
Freigaberechte und NTFS-Rechte zusammen prüfen.
Linux-Rechte bestehen aus Besitzer,
Gruppe,
Andere
und r,
w,
x.
chmod ändert Rechte.
chown ändert Besitzer oder Gruppe.
SetUID ist sicherheitskritisch.
Deny-Regeln bewusst einsetzen.
Zugriff verweigert hat viele mögliche Ursachen.
Onboarding vergibt Rechte kontrolliert.
Rollenwechsel braucht Rechteentzug.
Offboarding entfernt alte Zugänge.
Rechte regelmäßig prüfen.
Rezertifizierung verhindert Altberechtigungen.
Privilegieneskalation erhöht Rechte.
Gute Rechteverwaltung ist nachvollziehbar,
dokumentiert
und regelmäßig geprüft.
# 17.4 Logs, Monitoring und Dienstprüfung in der Praxis
Logs,
Monitoring
und Dienstprüfung gehören zu den wichtigsten Werkzeugen in der Systemadministration.
Sie helfen dabei,
- Fehler zu erkennen
- Angriffe zu erkennen
- Ursachen einzugrenzen
- Änderungen nachzuvollziehen
- Dienste zu überwachen
- Ausfälle schneller zu beheben
- Sicherheitsvorfälle zu untersuchen
- Betrieb zu dokumentieren
Merksatz:
Logs zeigen,
was passiert ist.
Monitoring zeigt,
was gerade passiert oder sich anbahnt.
---
**Warum Logs wichtig sind**
Logs protokollieren Ereignisse auf Systemen,
Diensten,
Anwendungen
und Netzwerkkomponenten.
Beispiele:
Benutzer meldet sich an.
Dienst startet.
Dienst stoppt.
Fehler tritt auf.
Firewall blockiert Verbindung.
Backup schlägt fehl.
Admin ändert Konfiguration.
SSH-Login wird abgelehnt.
Webserver liefert Fehlercode.
Datenbank meldet Verbindungsfehler.
Merksatz:
Ohne Logs ist Fehlersuche oft nur Raten.
---
**Warum Monitoring wichtig ist**
Monitoring überwacht den Zustand von Systemen und Diensten.
Typische Fragen:
Ist der Server erreichbar?
Läuft der Dienst?
Ist die Festplatte voll?
Ist die CPU überlastet?
Ist genug Arbeitsspeicher frei?
Ist das Backup erfolgreich?
Antwortet die Webseite?
Läuft das Zertifikat bald ab?
Gibt es ungewöhnlich viele Loginfehler?
Merksatz:
Monitoring erkennt Probleme früh,
bevor Benutzer sie melden.
---
**Logs und Monitoring unterscheiden**
| Bereich | Zweck | Beispiel |
|---|---|---|
| Logs | Ereignisse nachvollziehen | Benutzerlogin fehlgeschlagen |
| Monitoring | Zustand überwachen | CPU dauerhaft bei 95 Prozent |
| Alerting | Verantwortliche alarmieren | Backup fehlgeschlagen |
| Reporting | Verlauf dokumentieren | Verfügbarkeit im Monat |
Merksatz:
Logs erklären Ereignisse.
Monitoring beobachtet Zustände.
Alerting meldet kritische Abweichungen.
---
**Typische Logquellen**
Wichtige Logquellen in der Praxis:
Betriebssystemlogs
Anwendungslogs
Webserverlogs
Datenbanklogs
Authentifizierungslogs
SSH-Logs
RDP-Logs
Firewall-Logs
VPN-Logs
DNS-Logs
DHCP-Logs
E-Mail-Logs
Backup-Logs
Cloud-Audit-Logs
EDR-Logs
SIEM-Ereignisse
Merksatz:
Jede wichtige Komponente sollte nachvollziehbare Logs erzeugen.
---
**Betriebssystemlogs**
Betriebssystemlogs zeigen Ereignisse des Systems.
Beispiele:
Start und Stopp des Systems
Kernelmeldungen
Treiberprobleme
Benutzeranmeldungen
Dienststarts
Dienstfehler
Speicherprobleme
Hardwarefehler
Merksatz:
Betriebssystemlogs sind die Grundlage vieler Fehleranalysen.
---
**Anwendungslogs**
Anwendungslogs stammen von Programmen oder Diensten.
Beispiele:
Webanwendung meldet Fehler.
Datenbankverbindung schlägt fehl.
API gibt Fehler zurück.
Anwendung kann Datei nicht schreiben.
Lizenzprüfung schlägt fehl.
Benutzeraktion wird protokolliert.
Merksatz:
Anwendungslogs zeigen,
was innerhalb der Anwendung passiert.
---
**Authentifizierungslogs**
Authentifizierungslogs zeigen Anmeldeereignisse.
Beispiele:
erfolgreiche Anmeldung
fehlgeschlagene Anmeldung
gesperrtes Konto
falsches Passwort
unbekannter Benutzer
MFA-Fehler
Anmeldung von ungewöhnlichem Ort
Rechteerhöhung mit sudo
Adminlogin
Merksatz:
Authentifizierungslogs sind wichtig für Sicherheit und Zugriffskontrolle.
---
**Firewall-Logs**
Firewall-Logs zeigen,
welcher Verkehr erlaubt oder blockiert wurde.
Typische Informationen:
Zeit
Quell-IP
Ziel-IP
Quellport
Zielport
Protokoll
Aktion
Regelname
Interface
Benutzer je nach System
Merksatz:
Firewall-Logs helfen bei Verbindungsproblemen und Angriffserkennung.
---
**VPN-Logs**
VPN-Logs zeigen Zugriffe über VPN.
Typische Informationen:
Benutzer
Anmeldezeit
Abmeldezeit
Quell-IP
zugewiesene VPN-IP
Authentifizierungsergebnis
MFA-Status
Verbindungsabbrüche
Fehlercodes
Merksatz:
VPN-Logs zeigen,
wer wann aus der Ferne verbunden war.
---
**DNS-Logs**
DNS-Logs zeigen Namensauflösungen.
Beispiele:
welcher Client fragt welchen Namen an?
welcher Name wird häufig abgefragt?
gibt es verdächtige Domains?
gibt es Namensauflösungsfehler?
nutzt ein Client ungewöhnliche DNS-Ziele?
Merksatz:
DNS-Logs helfen bei Fehlersuche und Malware-Erkennung.
---
**DHCP-Logs**
DHCP-Logs zeigen automatische IP-Vergaben.
Typische Informationen:
MAC-Adresse
vergebene IP-Adresse
Hostname
Lease-Zeit
Zeitpunkt
DHCP-Server
Fehler bei Vergabe
Merksatz:
DHCP-Logs helfen,
IP-Konflikte und Clientzuordnungen nachzuvollziehen.
---
**Webserverlogs**
Webserverlogs zeigen Zugriffe auf Webseiten und APIs.
Typische Informationen:
Client-IP
Zeitpunkt
HTTP-Methode
URL
Statuscode
Antwortgröße
User-Agent
Referrer
Antwortzeit
Merksatz:
Webserverlogs zeigen,
welche Anfragen ein Webdienst erhalten hat.
---
**HTTP-Statuscodes in Logs**
Wichtige HTTP-Statuscode-Gruppen:
| Bereich | Bedeutung |
|---|---|
| 2xx | erfolgreich |
| 3xx | Weiterleitung |
| 4xx | Clientfehler |
| 5xx | Serverfehler |
Beispiele:
200:
Anfrage erfolgreich
301 oder 302:
Weiterleitung
401:
nicht authentifiziert
403:
verboten
404:
nicht gefunden
500:
interner Serverfehler
502:
fehlerhafte Antwort vom Backend
503:
Dienst nicht verfügbar
Merksatz:
4xx deutet oft auf Client- oder Berechtigungsproblem.
5xx deutet oft auf Server- oder Backendproblem.
---
**Backup-Logs**
Backup-Logs zeigen,
ob Sicherungen erfolgreich waren.
Zu prüfen:
Backup gestartet?
Backup abgeschlossen?
Datenmenge plausibel?
Fehler aufgetreten?
Ziel erreichbar?
Speicherplatz ausreichend?
Verschlüsselung aktiv?
Aufbewahrung korrekt?
Restore-Test durchgeführt?
Merksatz:
Backup gilt erst als zuverlässig,
wenn Erfolg und Wiederherstellung geprüft wurden.
---
**Cloud-Audit-Logs**
Cloud-Audit-Logs zeigen sicherheitsrelevante Aktionen in Cloud-Umgebungen.
Beispiele:
Benutzer angemeldet
Rolle geändert
Firewall-Regel geöffnet
Speicher öffentlich gemacht
API-Schlüssel erzeugt
VM gestartet
Datenbank gelöscht
Backup geändert
MFA deaktiviert
Merksatz:
Cloud-Audit-Logs zeigen,
wer was in der Cloud geändert hat.
---
**Loglevel**
Logs haben oft verschiedene Schweregrade.
Typische Loglevel:
| Loglevel | Bedeutung |
|---|---|
| Debug | sehr detaillierte Informationen für Fehlersuche |
| Info | normale Betriebsinformation |
| Warning | Warnung, noch kein vollständiger Fehler |
| Error | Fehler ist aufgetreten |
| Critical | schwerer Fehler mit hoher Auswirkung |
| Fatal | Dienst oder Anwendung kann nicht weiterarbeiten |
Merksatz:
Nicht jede Warnung ist ein Ausfall,
aber Warnungen können frühe Hinweise sein.
---
**Debug-Logs**
Debug-Logs sind sehr detailliert.
Vorteil:
helfen bei genauer Fehlersuche
Nachteil:
erzeugen viele Daten
können sensible Informationen enthalten
können Performance belasten
Merksatz:
Debug-Logging gezielt aktivieren
und danach wieder reduzieren.
---
**Logrotation**
Logrotation bedeutet:
Logdateien werden regelmäßig umbenannt,
archiviert
komprimiert
oder gelöscht.
Ziel:
Festplatte läuft nicht voll.
Logs bleiben übersichtlich.
Aufbewahrung wird kontrolliert.
Merksatz:
Ohne Logrotation können Logs Speicherplatzprobleme verursachen.
---
**Logaufbewahrung**
Logaufbewahrung legt fest,
wie lange Logs gespeichert werden.
Zu beachten:
gesetzliche Vorgaben
Datenschutz
Sicherheitsanforderungen
Speicherplatz
Nachvollziehbarkeit
forensische Analyse
interne Richtlinien
Merksatz:
Logs so lange wie nötig,
aber nicht unbegrenzt ohne Grund speichern.
---
**Datenschutz bei Logs**
Logs können personenbezogene Daten enthalten.
Beispiele:
Benutzername
IP-Adresse
E-Mail-Adresse
Zeitpunkte
Geräteinformationen
aufgerufene URLs
Standortinformationen
Deshalb wichtig:
Zugriff begrenzen
Aufbewahrung regeln
Zweck festlegen
sensible Inhalte vermeiden
Protokollierung dokumentieren
Merksatz:
Logs sind sicherheitsrelevant,
aber auch datenschutzrelevant.
---
**Zentrale Logsammlung**
Zentrale Logsammlung bedeutet:
Logs mehrerer Systeme werden an einem zentralen Ort gesammelt.
Vorteile:
bessere Suche
bessere Korrelation
Schutz vor lokaler Manipulation
einfachere Auswertung
bessere Nachvollziehbarkeit
Grundlage für SIEM
Merksatz:
Zentrale Logs helfen,
Ereignisse systemübergreifend zu verstehen.
---
**Syslog**
Syslog ist ein verbreiteter Standard zur Übertragung von Logmeldungen.
Häufig genutzt bei:
Linux-Systemen
Netzwerkgeräten
Firewalls
Switches
Routern
Appliances
Merksatz:
Syslog transportiert Logmeldungen zu einem Logserver.
---
**Windows-Ereignisanzeige**
Windows-Systeme verwenden Ereignisprotokolle.
Typische Bereiche:
Anwendung
Sicherheit
System
Setup
weitergeleitete Ereignisse
Wichtige Ereignisse:
Anmeldung
Fehlanmeldung
Dienstfehler
Richtlinienänderung
Kontoänderung
Systemfehler
Merksatz:
Die Windows-Ereignisanzeige ist zentrale Logquelle auf Windows-Systemen.
---
**journalctl**
Auf vielen Linux-Systemen werden Systemlogs über systemd-journald verwaltet.
Das Werkzeug zur Anzeige heißt:
journalctl
Typische Nutzung:
Systemmeldungen anzeigen
Logs eines Dienstes prüfen
Logs seit bestimmtem Zeitpunkt prüfen
Bootvorgänge untersuchen
Merksatz:
journalctl zeigt systemd-Journal-Logs auf Linux-Systemen.
---
**Dienstprüfung**
Dienstprüfung bedeutet:
Es wird geprüft,
ob ein Dienst läuft,
erreichbar ist
und korrekt arbeitet.
Zu prüfen:
läuft der Dienst?
lauscht der Port?
ist die Konfiguration korrekt?
gibt es Fehlerlogs?
antwortet der Dienst?
erreicht er Backend-Systeme?
gibt es Berechtigungsprobleme?
wurde etwas geändert?
Merksatz:
Dienst läuft nicht automatisch gleich Dienst funktioniert vollständig.
---
**Dienststatus**
Der Dienststatus zeigt,
ob ein Dienst gestartet,
gestoppt
oder fehlerhaft ist.
Beispiele:
running
stopped
failed
active
inactive
disabled
Merksatz:
Dienststatus ist der erste Blick,
aber nicht die vollständige Prüfung.
---
**Portprüfung**
Ein Dienst kann nur erreicht werden,
wenn er auf einem Port lauscht
und der Netzwerkweg erlaubt ist.
Zu prüfen:
lauscht der Dienst auf richtiger IP?
lauscht der Dienst auf richtigem Port?
blockiert lokale Firewall?
blockiert Netzwerkfirewall?
stimmt DNS?
stimmt Routing?
ist der Dienst nur lokal gebunden?
Merksatz:
Dienst erreichbar bedeutet:
Prozess,
Port,
Firewall,
DNS
und Routing müssen passen.
---
**Dienst lauscht nur lokal**
Ein Dienst kann nur auf localhost lauschen.
Beispiel:
127.0.0.1
Dann ist er nur vom eigenen System erreichbar.
Wenn andere Systeme zugreifen sollen,
muss geprüft werden,
ob der Dienst auf der passenden Netzwerkschnittstelle lauscht.
Merksatz:
127.0.0.1 bedeutet nur lokal auf demselben System.
---
**Typische Dienstfehler**
Häufige Ursachen:
Dienst nicht gestartet
falsche Konfiguration
Port bereits belegt
fehlende Berechtigung
Zertifikat abgelaufen
Datenbank nicht erreichbar
DNS-Fehler
Firewall blockiert
Speicher voll
falsche Zugangsdaten
Update hat Abhängigkeit geändert
Merksatz:
Dienstfehler entstehen oft durch Konfiguration,
Abhängigkeiten
Berechtigungen
oder Ressourcen.
---
**Abhängigkeiten von Diensten**
Viele Dienste hängen von anderen Diensten ab.
Beispiele:
Webanwendung braucht Datenbank.
Anwendung braucht Redis oder Cache.
Login braucht Verzeichnisdienst.
Backup braucht Speicherziel.
Monitoring braucht Netzwerkzugriff.
E-Mail-Dienst braucht DNS.
Merksatz:
Bei Fehlern immer auch abhängige Dienste prüfen.
---
**Metriken im Monitoring**
Metriken sind messbare Werte.
Typische Metriken:
CPU-Auslastung
RAM-Nutzung
Festplattenbelegung
I/O-Last
Netzwerklast
Paketverlust
Latenz
Antwortzeit
Fehlerquote
Anzahl Loginfehler
Queue-Länge
Verfügbarkeit
Merksatz:
Metriken zeigen messbare Zustände von Systemen und Diensten.
---
**CPU-Auslastung**
Hohe CPU-Auslastung kann bedeuten:
Dienst ist überlastet
Prozess hängt
Malware oder Cryptominer aktiv
zu viele Anfragen
schlecht optimierte Anwendung
Backup oder Scan läuft
Hardware zu schwach
Merksatz:
Hohe CPU ist ein Symptom,
nicht automatisch die Ursache.
---
**RAM-Nutzung**
Hohe RAM-Nutzung kann bedeuten:
Anwendung braucht viel Speicher
Speicherleck
zu viele Prozesse
Caching
falsche Dimensionierung
Containerlimit zu klein
Datenbank nutzt Speicher intensiv
Merksatz:
RAM-Auslastung immer im Zusammenhang mit Anwendung und System bewerten.
---
**Festplattenbelegung**
Volle Festplatten verursachen viele Probleme.
Mögliche Folgen:
Dienst stoppt
Datenbank kann nicht schreiben
Logs können nicht gespeichert werden
Updates schlagen fehl
Backup schlägt fehl
System wird instabil
Merksatz:
Volle Festplatte ist eine häufige Ursache für Dienstfehler.
---
**I/O-Last**
I/O beschreibt Ein- und Ausgabe auf Speichergeräten.
Hohe I/O-Last kann auftreten durch:
Datenbank
Backup
Virenscan
Logflut
große Dateioperationen
langsamen Speicher
zu viele gleichzeitige Zugriffe
Merksatz:
Hohe I/O-Last kann Systeme langsam machen,
auch wenn CPU frei ist.
---
**Netzwerklast**
Netzwerklast zeigt,
wie stark eine Verbindung genutzt wird.
Hohe Netzwerklast kann entstehen durch:
Backup
Dateiübertragung
Streaming
DDoS
Malware
Synchronisation
falsche Schleife
große Updates
Merksatz:
Netzwerklast immer mit Quelle,
Ziel
und Anwendung betrachten.
---
**Latenz und Paketverlust**
Latenz:
Verzögerung bei der Übertragung
Paketverlust:
Pakete gehen verloren
Folgen:
langsame Verbindungen
Verbindungsabbrüche
schlechte Sprachqualität
langsame Remote-Sitzungen
Timeouts
schlechte Anwendungserfahrung
Merksatz:
Latenz und Paketverlust beeinflussen spürbar die Qualität von Netzwerkdiensten.
---
**Antwortzeit**
Antwortzeit beschreibt,
wie lange ein Dienst für eine Antwort braucht.
Beispiele:
Webseite lädt langsam.
API antwortet verzögert.
Datenbankabfrage dauert lange.
Login dauert ungewöhnlich lange.
Merksatz:
Dienst ist erreichbar,
kann aber trotzdem zu langsam sein.
---
**Verfügbarkeit**
Verfügbarkeit beschreibt,
ob ein Dienst nutzbar ist.
Monitoring kann prüfen:
Ping
TCP-Port
HTTP-Antwort
API-Antwort
Login-Test
Datenbankverbindung
Zertifikat
Backup-Erfolg
Merksatz:
Verfügbarkeit sollte aus Sicht der Nutzung geprüft werden.
---
**Health Check**
Ein Health Check prüft,
ob ein Dienst gesund ist.
Beispiele:
Prozess läuft
Port offen
HTTP-Status 200
Datenbank erreichbar
Abhängigkeiten funktionieren
Antwortzeit im Grenzwert
Merksatz:
Ein guter Health Check prüft mehr als nur,
ob ein Prozess läuft.
---
**Alerting**
Alerting bedeutet:
Bei kritischen Zuständen wird automatisch alarmiert.
Beispiele:
Festplatte über 90 Prozent
Dienst nicht erreichbar
Backup fehlgeschlagen
Zertifikat läuft bald ab
viele Loginfehler
CPU dauerhaft sehr hoch
ungewöhnlicher Datenexport
Firewall blockiert ungewöhnlich viel
Merksatz:
Monitoring ohne sinnvolles Alerting wird leicht übersehen.
---
**Alarmmüdigkeit**
Alarmmüdigkeit entsteht,
wenn zu viele unwichtige Alarme erzeugt werden.
Folge:
wichtige Alarme werden ignoriert.
Gegenmaßnahmen:
sinnvolle Schwellwerte
Prioritäten
Eskalationsregeln
Alarmzusammenfassung
regelmäßige Anpassung
klare Zuständigkeit
Merksatz:
Zu viele schlechte Alarme sind fast so problematisch wie keine Alarme.
---
**Schwellwerte**
Schwellwerte legen fest,
wann ein Alarm ausgelöst wird.
Beispiele:
Festplatte über 90 Prozent
CPU länger als 10 Minuten über 95 Prozent
Zertifikat läuft in 14 Tagen ab
Backup zweimal hintereinander fehlgeschlagen
Merksatz:
Schwellwerte sollten zur Kritikalität des Dienstes passen.
---
**SLA, SLO und SLI in der Praxis**
SLI:
Messwert
SLO:
Zielwert
SLA:
vertragliche Zusage
Beispiel:
SLI:
gemessene Verfügbarkeit
SLO:
99,9 Prozent Verfügbarkeit als internes Ziel
SLA:
99,5 Prozent vertraglich zugesichert
Merksatz:
SLI misst.
SLO setzt Ziel.
SLA ist Zusage.
---
**Uptime und Verfügbarkeit**
Uptime beschreibt,
wie lange ein System ohne Unterbrechung läuft.
Verfügbarkeit beschreibt,
ob ein Dienst für Benutzer nutzbar ist.
Wichtig:
Ein Server kann laufen,
aber die Anwendung kann trotzdem nicht funktionieren.
Merksatz:
Uptime ist nicht automatisch Dienstverfügbarkeit.
---
**Zertifikatsüberwachung**
TLS-Zertifikate laufen ab.
Wenn ein Zertifikat abläuft,
können Benutzer Warnungen erhalten
oder Dienste funktionieren nicht mehr.
Monitoring sollte prüfen:
Ablaufdatum
Hostname passt
Zertifikatskette gültig
richtige Zertifizierungsstelle
automatische Erneuerung funktioniert
Merksatz:
Abgelaufene Zertifikate sind vermeidbare Ausfälle.
---
**Backup-Monitoring**
Backup-Monitoring prüft,
ob Sicherungen erfolgreich laufen.
Zu überwachen:
letzter erfolgreicher Lauf
Fehlermeldungen
Datenmenge
Laufzeit
Speicherziel
verfügbare Kapazität
Verschlüsselung
Aufbewahrung
Restore-Test
Merksatz:
Backup-Erfolg muss aktiv überwacht werden.
---
**Logauswertung bei Sicherheitsvorfällen**
Bei Verdacht auf Sicherheitsvorfall helfen Logs.
Zu prüfen:
ungewöhnliche Loginzeiten
viele Fehlversuche
neue Adminrechte
neue Benutzer
neue Weiterleitungsregeln
Datenexporte
verdächtige DNS-Anfragen
ungewöhnliche Prozesse
Firewall-Drops
VPN-Zugriffe
EDR-Meldungen
Merksatz:
Sicherheitsvorfälle lassen sich nur gut untersuchen,
wenn Logs vorhanden und geschützt sind.
---
**Zeitliche Korrelation**
Zeitliche Korrelation bedeutet:
Ereignisse aus verschiedenen Logs werden zeitlich zusammengeführt.
Beispiel:
10:01 VPN-Login
10:03 Adminrechte vergeben
10:05 Zugriff auf Dateiserver
10:10 Datenexport
Merksatz:
Korrelation zeigt Zusammenhänge,
die einzelne Logs allein nicht zeigen.
---
**NTP und Zeitbasis**
NTP steht für:
Network Time Protocol
NTP synchronisiert Systemzeiten.
Warum wichtig?
Logs verschiedener Systeme müssen zeitlich vergleichbar sein.
Ohne korrekte Zeit:
Ereignisse sind schwer zuzuordnen.
Sicherheitsanalyse wird ungenau.
Nachweise werden schwieriger.
Merksatz:
Gemeinsame Zeitbasis ist wichtig für Logs und Forensik.
---
**Manipulationsschutz für Logs**
Logs können für Angreifer gefährlich sein,
weil sie Spuren enthalten.
Deshalb versuchen Angreifer oft,
Logs zu löschen oder zu verändern.
Schutz:
zentrale Logsammlung
eingeschränkte Rechte
unveränderliche Speicherung
regelmäßige Sicherung
getrennte Systeme
Alarm bei Logausfall
Auditierung
Merksatz:
Logs müssen vor Manipulation geschützt werden.
---
**Dashboard**
Ein Dashboard zeigt wichtige Zustände übersichtlich an.
Beispiele:
Systemstatus
Dienstverfügbarkeit
CPU und RAM
Netzwerkstatus
Backupstatus
Sicherheitsalarme
Zertifikatsstatus
offene Incidents
Merksatz:
Dashboard zeigt schnell,
wo Aufmerksamkeit nötig ist.
---
**Runbook**
Ein Runbook ist eine Schritt-für-Schritt-Anleitung für wiederkehrende Situationen.
Beispiele:
Dienst ausgefallen
Backup fehlgeschlagen
Zertifikat abgelaufen
Speicherplatz voll
Benutzerkonto gesperrt
VPN funktioniert nicht
Malware-Verdacht
Merksatz:
Runbooks helfen,
Fehler schneller und einheitlicher zu beheben.
---
**Dokumentation bei Störungen**
Bei Störungen sollte dokumentiert werden:
Zeitpunkt
betroffene Systeme
Symptome
Fehlermeldungen
Logs
getroffene Maßnahmen
Verantwortliche
Ursache
Lösung
Restprobleme
Lessons Learned
Merksatz:
Gute Dokumentation verhindert,
dass derselbe Fehler immer wieder neu gesucht wird.
---
**Typische Praxisreihenfolge bei Dienstproblemen**
Sinnvolle Reihenfolge:
1. Ist das Problem reproduzierbar?
2. Wer ist betroffen?
3. Seit wann besteht das Problem?
4. Gab es Änderungen?
5. Läuft der Dienst?
6. Lauscht der Port?
7. Ist DNS korrekt?
8. Ist Netzwerkverbindung möglich?
9. Blockiert eine Firewall?
10. Gibt es Fehlerlogs?
11. Sind Abhängigkeiten erreichbar?
12. Sind Ressourcen ausreichend?
13. Funktioniert Authentifizierung?
14. Ist ein Zertifikat abgelaufen?
15. Wurde die Lösung dokumentiert?
Merksatz:
Fehlersuche wird schneller,
wenn sie systematisch erfolgt.
---
**Typische Fehler bei Logs und Monitoring**
Häufige Fehler:
Logs nicht aktiviert
Logs nur lokal gespeichert
Logs werden zu früh gelöscht
Logs enthalten zu viele sensible Daten
keine zentrale Auswertung
keine Zeitsynchronisation
keine Alarmierung
zu viele unwichtige Alarme
Backupfehler werden nicht bemerkt
Zertifikatsablauf wird nicht überwacht
Dienst läuft,
aber Anwendung wird nicht geprüft
niemand ist für Alarme zuständig
Merksatz:
Monitoring muss betrieben und gepflegt werden,
sonst verliert es seinen Nutzen.
---
**Checkliste: Logs und Monitoring sinnvoll einrichten**
Wichtige Systeme erfassen.
Wichtige Dienste erfassen.
Relevante Logs aktivieren.
Logaufbewahrung festlegen.
Datenschutz beachten.
Zentrale Logsammlung nutzen.
Zeitsynchronisation per NTP sicherstellen.
Kritische Metriken überwachen.
Schwellwerte definieren.
Alarmwege festlegen.
Zuständigkeiten klären.
Backup-Erfolg überwachen.
Zertifikate überwachen.
Health Checks einrichten.
Runbooks erstellen.
Alarme regelmäßig prüfen.
Dokumentation aktuell halten.
Merksatz:
Logs und Monitoring brauchen Planung,
Zuständigkeit
und regelmäßige Pflege.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Warum sind Logs wichtig?
- Was ist der Unterschied zwischen Logging und Monitoring?
- Welche Logquellen gibt es?
- Was sind Authentifizierungslogs?
- Wofür nutzt man Firewall-Logs?
- Wofür nutzt man VPN-Logs?
- Was zeigen Webserverlogs?
- Was bedeuten HTTP-Statuscodes 4xx und 5xx?
- Was ist Logrotation?
- Warum ist Logaufbewahrung wichtig?
- Warum sind Logs datenschutzrelevant?
- Was ist zentrale Logsammlung?
- Was ist Syslog?
- Was ist journalctl?
- Was ist ein Health Check?
- Was ist Alerting?
- Was ist Alarmmüdigkeit?
- Warum ist NTP für Logs wichtig?
- Was ist ein Dashboard?
- Was ist ein Runbook?
- Warum sollte Backup-Monitoring eingerichtet werden?
---
**Typische Prüfungsfallen**
Logs und Monitoring nicht verwechseln.
Logs zeigen Ereignisse.
Monitoring zeigt Zustände.
Alerting meldet kritische Zustände.
Ohne Logs ist Sicherheitsanalyse schwierig.
Lokale Logs können manipuliert werden.
Zentrale Logsammlung verbessert Nachvollziehbarkeit.
Logs können personenbezogene Daten enthalten.
Logrotation verhindert volle Festplatten.
Debug-Logs nicht dauerhaft unnötig aktiv lassen.
Dienst läuft nicht automatisch gleich Anwendung funktioniert.
4xx bedeutet meist Client- oder Berechtigungsproblem.
5xx bedeutet meist Server- oder Backendproblem.
Uptime ist nicht automatisch Verfügbarkeit.
Health Check sollte mehr prüfen als Prozessstatus.
Backup-Erfolg aktiv überwachen.
Zertifikatsablauf überwachen.
NTP ist wichtig für zeitliche Korrelation.
Zu viele Alarme führen zu Alarmmüdigkeit.
Runbooks helfen bei wiederkehrenden Störungen.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| Log | protokolliertes Ereignis |
| Logging | Aufzeichnung von Ereignissen |
| Monitoring | Überwachung von Zuständen |
| Alerting | automatische Alarmierung |
| Reporting | Auswertung über Zeitraum |
| Betriebssystemlog | Log des Betriebssystems |
| Anwendungslog | Log einer Anwendung |
| Authentifizierungslog | Log zu Anmeldungen |
| Firewall-Log | Log zu erlaubtem und blockiertem Verkehr |
| VPN-Log | Log zu VPN-Verbindungen |
| DNS-Log | Log zu Namensauflösungen |
| DHCP-Log | Log zu IP-Vergaben |
| Webserverlog | Log zu HTTP-Anfragen |
| HTTP-Statuscode | Ergebnis einer Webanfrage |
| Backup-Log | Log zu Sicherungen |
| Audit-Log | Log sicherheitsrelevanter Aktionen |
| Loglevel | Schweregrad einer Logmeldung |
| Debug | detaillierte Fehlersuche |
| Info | normale Information |
| Warning | Warnung |
| Error | Fehler |
| Critical | schwerer Fehler |
| Logrotation | Verwaltung alter Logdateien |
| Logaufbewahrung | Dauer der Speicherung |
| zentrale Logsammlung | Sammlung von Logs an zentralem Ort |
| Syslog | Standard für Logmeldungen |
| Ereignisanzeige | Windows-Loganzeige |
| journalctl | Werkzeug für systemd-Journal |
| Dienstprüfung | Prüfung eines Dienstes |
| Portprüfung | Prüfung erreichbarer Ports |
| Metrik | messbarer Wert |
| CPU-Auslastung | Prozessorlast |
| RAM-Nutzung | Arbeitsspeichernutzung |
| I/O-Last | Last durch Ein- und Ausgabe |
| Latenz | Verzögerung |
| Paketverlust | verlorene Netzwerkpakete |
| Antwortzeit | Dauer bis zur Antwort |
| Verfügbarkeit | Nutzbarkeit eines Dienstes |
| Health Check | Gesundheitsprüfung eines Dienstes |
| Schwellwert | Grenze für Alarm |
| SLI | Service-Messwert |
| SLO | Service-Zielwert |
| SLA | vertragliche Servicezusage |
| NTP | Zeitsynchronisation |
| Dashboard | Übersicht wichtiger Zustände |
| Runbook | Schritt-für-Schritt-Anleitung |
---
**IHK-sichere Kurzformulierung**
Logs protokollieren Ereignisse auf Systemen, Anwendungen, Netzwerkkomponenten und Sicherheitsdiensten. Monitoring überwacht aktuelle Zustände und Metriken wie Verfügbarkeit, CPU-Auslastung, Speicherplatz, Antwortzeiten, Backup-Erfolg und Zertifikatslaufzeiten. Alerting informiert Verantwortliche automatisch bei kritischen Abweichungen. Für eine sinnvolle Analyse sollten wichtige Logs zentral gesammelt, geschützt, mit korrekter Zeitbasis versehen und datenschutzgerecht aufbewahrt werden. Dienstprüfung umfasst die Kontrolle von Dienststatus, Port, Firewall, DNS, Routing, Logs, Ressourcen und Abhängigkeiten. Logs, Monitoring, Health Checks, Dashboards und Runbooks helfen, Fehler schneller zu erkennen, Sicherheitsvorfälle zu untersuchen und den Betrieb nachvollziehbar zu dokumentieren.
---
**Merksätze**
Logs zeigen Ereignisse.
Monitoring zeigt Zustände.
Alerting meldet kritische Abweichungen.
Ohne Logs ist Fehlersuche schwierig.
Ohne Monitoring werden Probleme oft zu spät erkannt.
Authentifizierungslogs zeigen Anmeldungen.
Firewall-Logs zeigen erlaubten und blockierten Verkehr.
VPN-Logs zeigen Fernzugriffe.
DNS-Logs helfen bei Namensauflösung und Sicherheit.
DHCP-Logs helfen bei IP-Zuordnung.
Webserverlogs zeigen HTTP-Anfragen.
2xx bedeutet erfolgreich.
3xx bedeutet Weiterleitung.
4xx bedeutet Client- oder Berechtigungsproblem.
5xx bedeutet Server- oder Backendproblem.
Backup-Logs regelmäßig prüfen.
Cloud-Audit-Logs zeigen Änderungen in der Cloud.
Debug-Logs nicht dauerhaft unnötig aktiv lassen.
Logrotation schützt vor voller Festplatte.
Logs können personenbezogene Daten enthalten.
Zentrale Logsammlung verbessert Nachvollziehbarkeit.
Syslog transportiert Logmeldungen.
Windows nutzt Ereignisprotokolle.
journalctl zeigt systemd-Journal-Logs.
Dienststatus ist nur der erste Schritt.
Port,
Firewall,
DNS
und Routing mitprüfen.
127.0.0.1 bedeutet nur lokal erreichbar.
Abhängige Dienste prüfen.
Metriken zeigen messbare Zustände.
Hohe CPU ist Symptom,
nicht automatisch Ursache.
Volle Festplatte verursacht viele Dienstfehler.
Uptime ist nicht automatisch Verfügbarkeit.
Health Check soll echte Nutzbarkeit prüfen.
Zu viele Alarme führen zu Alarmmüdigkeit.
NTP ist wichtig für Logauswertung.
Logs vor Manipulation schützen.
Dashboard schafft Überblick.
Runbooks beschleunigen wiederkehrende Fehlerbehebung.
Störungen dokumentieren.
Logs und Monitoring brauchen Pflege.
# 17.5 Netzwerk- und Systembefehle in der Praxis
Administratoren nutzen Befehle,
um Systeme,
Netzwerke,
Dienste,
Verbindungen,
IP-Konfigurationen
und Fehlerzustände zu prüfen.
Typische Ziele sind:
- IP-Adresse prüfen
- Gateway prüfen
- DNS prüfen
- Erreichbarkeit testen
- Routing prüfen
- offene Ports prüfen
- aktive Verbindungen anzeigen
- Dienste prüfen
- Logs anzeigen
- Benutzerrechte prüfen
- Systemressourcen prüfen
Merksatz:
Befehle helfen,
Vermutungen durch konkrete Informationen zu ersetzen.
---
**Warum Befehle wichtig sind**
Grafische Oberflächen zeigen oft nur einen Teil der Informationen.
Befehle sind wichtig,
weil sie:
schnell sind
genaue Ausgaben liefern
automatisierbar sind
auch per SSH funktionieren
bei Servern ohne GUI nutzbar sind
Fehlersuche systematisch machen
gut dokumentierbare Ergebnisse liefern
Merksatz:
Kommandozeilenwerkzeuge sind praktische Diagnosewerkzeuge.
---
**Befehle richtig einordnen**
Ein einzelner Befehl löst selten das ganze Problem.
Wichtig ist die Reihenfolge:
1. IP-Konfiguration prüfen.
2. Gateway prüfen.
3. DNS prüfen.
4. Ziel erreichen.
5. Port prüfen.
6. Dienst prüfen.
7. Logs prüfen.
8. Änderungen prüfen.
9. Ursache dokumentieren.
Merksatz:
Nicht blind Befehle ausführen,
sondern systematisch prüfen.
---
**Windows und Linux unterscheiden**
Viele Befehle unterscheiden sich je nach Betriebssystem.
Beispiele:
| Aufgabe | Windows | Linux/macOS |
|---|---|---|
| IP-Konfiguration anzeigen | ipconfig | ip addr oder ifconfig |
| Routing anzeigen | route print | ip route oder netstat -rn |
| DNS testen | nslookup | dig oder nslookup |
| Erreichbarkeit testen | ping | ping |
| Route verfolgen | tracert | traceroute |
| Verbindungen anzeigen | netstat | ss oder netstat |
| Dienste prüfen | services.msc, sc | systemctl |
| Logs anzeigen | Ereignisanzeige | journalctl, Logdateien |
Merksatz:
Gleiche Aufgabe,
anderes Werkzeug je nach System.
---
**IP-Konfiguration prüfen**
Die IP-Konfiguration zeigt,
wie ein System im Netzwerk eingebunden ist.
Zu prüfen:
IP-Adresse
Subnetzmaske oder Präfix
Standardgateway
DNS-Server
DHCP oder statische Adresse
Netzwerkschnittstelle
IPv4 und IPv6
Verbindung aktiv oder getrennt
Merksatz:
Ohne korrekte IP-Konfiguration funktioniert keine saubere Netzwerkkommunikation.
---
**ipconfig unter Windows**
Unter Windows zeigt ipconfig die IP-Konfiguration an.
Typische Informationen:
IPv4-Adresse
IPv6-Adresse
Subnetzmaske
Standardgateway
DNS-Suffix
Adaptername
Typische Nutzung:
IP-Adresse prüfen
Gateway prüfen
DHCP-Zuweisung prüfen
DNS-Server prüfen
Merksatz:
ipconfig zeigt die Netzwerkkonfiguration unter Windows.
---
**ipconfig /all**
ipconfig /all zeigt detailliertere Informationen.
Zusätzlich sichtbar:
MAC-Adresse
DHCP aktiviert oder nicht
DHCP-Server
DNS-Server
Lease-Zeit
Hostname
DNS-Suffix
Adapterbeschreibung
Merksatz:
ipconfig /all ist genauer als einfaches ipconfig.
---
**ip addr unter Linux**
Unter Linux zeigt ip addr IP-Adressen und Schnittstellen an.
Typische Informationen:
Interface-Name
IPv4-Adresse
IPv6-Adresse
MAC-Adresse
Status der Schnittstelle
Präfixlänge
Beispiele für Interface-Namen:
eth0
ens18
enp0s3
wlan0
lo
Merksatz:
ip addr zeigt IP-Adressen und Netzwerkinterfaces unter Linux.
---
**ifconfig**
ifconfig ist ein älteres Werkzeug,
das auf vielen Systemen noch bekannt ist.
Es zeigt ebenfalls Netzwerkschnittstellen und IP-Adressen.
Wichtig:
Auf modernen Linux-Systemen wird häufig ip aus dem iproute2-Paket bevorzugt.
Merksatz:
ifconfig ist bekannt,
ip ist auf modernen Linux-Systemen oft aktueller.
---
**MAC-Adresse prüfen**
Die MAC-Adresse ist die Hardwareadresse einer Netzwerkschnittstelle.
Sie ist wichtig für:
DHCP-Zuordnung
Switch-MAC-Tabellen
Wake-on-LAN
Netzwerkzugangskontrolle
Fehlersuche auf Schicht 2
Merksatz:
MAC-Adresse hilft bei Layer-2-Analyse.
---
**Gateway prüfen**
Das Standardgateway wird benötigt,
wenn ein Ziel außerhalb des eigenen Netzes liegt.
Fehlt das Gateway,
funktioniert meist nur Kommunikation im lokalen Netz.
Typische Symptome:
lokale Geräte erreichbar
Internet nicht erreichbar
andere Netze nicht erreichbar
DNS-Server außerhalb des Netzes nicht erreichbar
Merksatz:
Ohne Gateway kein Weg in andere Netze.
---
**Routing anzeigen unter Windows**
Unter Windows zeigt route print die Routing-Tabelle.
Zu prüfen:
Standardroute
Zielnetze
Gateway
Interface
Metrik
IPv4-Routen
IPv6-Routen
Merksatz:
route print zeigt,
wohin Windows Pakete senden will.
---
**Routing anzeigen unter Linux**
Unter Linux zeigt ip route die Routing-Tabelle.
Wichtig sind:
default route
lokale Netzroute
Gateway
Interface
spezielle Routen
Metrik
Merksatz:
ip route zeigt Routingentscheidungen unter Linux.
---
**Standardroute**
Die Standardroute wird genutzt,
wenn keine spezifischere Route passt.
Sie wird oft angezeigt als:
0.0.0.0/0
oder:
default
Merksatz:
Standardroute ist der allgemeine Weg zu unbekannten Netzen.
---
**Spezifischste Route gewinnt**
Wenn mehrere Routen passen,
wird die spezifischste Route verwendet.
Beispiel:
Route zu 192.168.1.0/24 ist spezifischer als 0.0.0.0/0.
Merksatz:
Die genaueste passende Route gewinnt.
---
**ping**
ping testet,
ob ein Ziel per ICMP erreichbar ist.
Es prüft:
Ziel antwortet?
Paketlaufzeit?
Paketverlust?
Namensauflösung indirekt,
wenn ein Name genutzt wird
Merksatz:
ping prüft grundlegende Erreichbarkeit per ICMP.
---
**ping richtig interpretieren**
ping erfolgreich:
Ziel antwortet per ICMP.
ping fehlgeschlagen bedeutet nicht automatisch:
Ziel ist aus.
Mögliche Ursachen:
Firewall blockiert ICMP
Ziel blockiert ICMP
Routingproblem
DNS-Problem
Ziel offline
Gatewayproblem
Paketverlust
Merksatz:
Kein ping ist ein Hinweis,
aber kein endgültiger Beweis.
---
**ping mit IP-Adresse**
Ping auf IP-Adresse prüft vor allem:
Netzwerkweg
Routing
ICMP-Erreichbarkeit
Beispielprinzip:
ping 192.168.1.1
Wenn IP-Ping funktioniert,
aber Name nicht,
liegt der Fehler häufig bei DNS.
Merksatz:
IP-Ping trennt Netzwerkprüfung von Namensauflösung.
---
**ping mit Hostname**
Ping auf Hostname prüft zusätzlich DNS.
Beispielprinzip:
ping server.example.local
Wenn Hostname nicht aufgelöst wird,
kann ping gar nicht zum eigentlichen Ziel starten.
Merksatz:
Hostname-Ping prüft DNS und Erreichbarkeit zusammen.
---
**DNS prüfen**
DNS-Probleme sind häufige Ursachen für Netzwerkfehler.
Zu prüfen:
richtiger DNS-Server eingetragen?
DNS-Server erreichbar?
Name existiert?
richtige IP wird geliefert?
interner oder externer DNS?
Split-DNS bei VPN?
DNS-Cache veraltet?
Merksatz:
Wenn IP funktioniert,
aber Name nicht,
ist DNS verdächtig.
---
**nslookup**
nslookup fragt DNS-Einträge ab.
Es kann genutzt werden für:
Name zu IP-Adresse
IP-Adresse zu Name
bestimmten DNS-Server testen
DNS-Fehler eingrenzen
Merksatz:
nslookup prüft Namensauflösung.
---
**dig**
dig ist ein häufiges DNS-Werkzeug unter Linux und macOS.
Es zeigt detaillierte DNS-Antworten.
Nützlich für:
A-Record
AAAA-Record
MX-Record
TXT-Record
CNAME
DNS-Serververgleich
Antwortzeiten
TTL
Merksatz:
dig zeigt DNS-Antworten sehr detailliert.
---
**DNS-Recordtypen**
Wichtige DNS-Recordtypen:
| Record | Bedeutung |
|---|---|
| A | Name zu IPv4-Adresse |
| AAAA | Name zu IPv6-Adresse |
| CNAME | Alias auf anderen Namen |
| MX | Mailserver einer Domain |
| TXT | Textinformationen, oft SPF oder Verifikation |
| NS | zuständige Nameserver |
| PTR | Reverse DNS, IP zu Name |
Merksatz:
DNS besteht aus unterschiedlichen Recordtypen für unterschiedliche Aufgaben.
---
**DNS-Cache**
Betriebssysteme und Anwendungen können DNS-Antworten zwischenspeichern.
Vorteil:
schnellere Namensauflösung
Nachteil:
alte Einträge können Fehler verursachen.
Merksatz:
DNS-Cache kann veraltete Antworten liefern.
---
**tracert unter Windows**
tracert zeigt den Weg zu einem Ziel über mehrere Router.
Es hilft bei:
Routingproblemen
Paketverlust unterwegs
falschem Weg
Abbruch an bestimmtem Hop
Erkennung von Übergabepunkten
Merksatz:
tracert zeigt Zwischenstationen auf dem Weg zum Ziel.
---
**traceroute unter Linux und macOS**
traceroute erfüllt ähnlich wie tracert die Aufgabe,
den Weg zum Ziel sichtbar zu machen.
Je nach System können unterschiedliche Protokolle genutzt werden.
Merksatz:
traceroute hilft,
den Netzwerkpfad einzugrenzen.
---
**Traceroute richtig interpretieren**
Ein Sternchen oder fehlende Antwort bedeutet nicht automatisch,
dass dort ein Fehler ist.
Mögliche Ursachen:
Router antwortet nicht auf Traceroute
ICMP wird blockiert
Rate Limiting
Firewall-Regel
Paket geht trotzdem weiter
Wichtig ist:
Kommt das Ziel am Ende an?
Wo beginnt der Ausfall?
Sind mehrere Ziele betroffen?
Merksatz:
Traceroute-Ausgaben brauchen Interpretation.
---
**netstat**
netstat zeigt Netzwerkverbindungen,
lauschende Ports
und Routinginformationen.
Typische Nutzung:
aktive Verbindungen prüfen
offene Ports prüfen
lokale Dienste finden
Verbindungszustände anzeigen
Merksatz:
netstat zeigt Netzwerkstatus und Verbindungen.
---
**ss unter Linux**
ss ist ein modernes Werkzeug unter Linux,
um Sockets und Netzwerkverbindungen anzuzeigen.
Es ersetzt häufig netstat.
Typische Informationen:
lauschende Ports
aktive TCP-Verbindungen
UDP-Sockets
Prozesszuordnung je nach Option
Merksatz:
ss zeigt schnell offene Ports und Verbindungen unter Linux.
---
**Offene Ports prüfen**
Offene Ports zeigen,
welche Dienste erreichbar sein könnten.
Zu prüfen:
lauscht ein Dienst?
auf welcher IP lauscht er?
TCP oder UDP?
nur localhost oder extern?
welcher Prozess nutzt den Port?
sollte der Port offen sein?
Merksatz:
Ein offener Port ist ein möglicher Zugangspunkt.
---
**localhost und 0.0.0.0 unterscheiden**
127.0.0.1:
Dienst ist nur lokal erreichbar.
0.0.0.0:
Dienst lauscht auf allen IPv4-Schnittstellen.
Konkrete IP-Adresse:
Dienst lauscht nur auf dieser Schnittstelle.
Merksatz:
127.0.0.1 ist lokal.
0.0.0.0 ist auf allen Schnittstellen.
---
**TCP-Verbindungszustände**
Typische TCP-Zustände:
| Zustand | Bedeutung |
|---|---|
| LISTEN | Dienst wartet auf Verbindungen |
| ESTABLISHED | Verbindung besteht |
| TIME_WAIT | Verbindung wurde beendet, Zustand läuft aus |
| SYN_SENT | Verbindungsaufbau gestartet |
| SYN_RECEIVED | Verbindungsaufbau teilweise angekommen |
| CLOSE_WAIT | Gegenseite hat geschlossen, lokale Seite noch nicht |
Merksatz:
TCP-Zustände helfen,
Verbindungsprobleme einzugrenzen.
---
**Port erreichbar testen**
Um zu prüfen,
ob ein Port erreichbar ist,
kann je nach System ein Werkzeug genutzt werden.
Beispiele für Prinzipien:
TCP-Verbindung zu Zielport testen
HTTP-Antwort testen
Dienstprotokoll prüfen
Zu beachten:
Port offen bedeutet nicht automatisch,
dass die Anwendung korrekt funktioniert.
Merksatz:
Porttest prüft Erreichbarkeit,
nicht vollständige Anwendungsfunktion.
---
**telnet als Porttest**
telnet kann technisch genutzt werden,
um einfache TCP-Verbindungen zu testen.
Wichtig:
Telnet als Verwaltungsprotokoll ist unsicher,
weil es unverschlüsselt ist.
Einordnung:
Telnet zur Administration vermeiden.
Als einfacher Porttest historisch bekannt,
aber moderne Alternativen bevorzugen.
Merksatz:
Telnet nicht für sichere Administration verwenden.
---
**curl**
curl ruft URLs und APIs über die Kommandozeile ab.
Nützlich für:
HTTP-Status prüfen
Header prüfen
API testen
Zertifikatsprobleme erkennen
Weiterleitungen prüfen
Antwortzeiten grob prüfen
Webserver-Erreichbarkeit testen
Merksatz:
curl ist ein wichtiges Werkzeug für Web- und API-Tests.
---
**HTTP mit curl prüfen**
Mit curl kann geprüft werden:
Antwortet der Webserver?
Welcher Statuscode kommt zurück?
Gibt es Weiterleitungen?
Wird HTTPS genutzt?
Stimmen Header?
Kommt eine Fehlermeldung?
Merksatz:
curl prüft Webdienste direkter als ein Browser.
---
**wget**
wget kann Dateien oder Webseiten über HTTP,
HTTPS
oder FTP herunterladen.
Nützlich für:
Download testen
Erreichbarkeit prüfen
automatisierte Abrufe
Spiegeln einfacher Inhalte
Merksatz:
wget dient vor allem zum Abrufen und Herunterladen.
---
**Dienststatus unter Linux prüfen**
Auf vielen Linux-Systemen wird systemctl genutzt.
Typische Prüfungen:
läuft der Dienst?
ist der Dienst aktiviert?
ist der Dienst fehlgeschlagen?
wann wurde er gestartet?
welche Fehlermeldung gibt es?
Merksatz:
systemctl prüft und verwaltet systemd-Dienste.
---
**journalctl für Dienstlogs**
journalctl zeigt Logs des systemd-Journals.
Nützlich für:
Fehler eines Dienstes prüfen
Logs seit Start ansehen
aktuelle Meldungen verfolgen
Bootprobleme analysieren
Merksatz:
journalctl und systemctl gehören bei Linux-Dienstfehlern zusammen.
---
**Dienste unter Windows prüfen**
Unter Windows können Dienste geprüft werden über:
Dienste-Verwaltung
Ereignisanzeige
Task-Manager
PowerShell
sc
Zu prüfen:
Dienst gestartet?
Starttyp korrekt?
Abhängigkeiten erfüllt?
Fehler im Ereignisprotokoll?
Dienstkonto korrekt?
Berechtigungen vorhanden?
Merksatz:
Windows-Dienstfehler stehen oft zusätzlich in der Ereignisanzeige.
---
**Prozessprüfung**
Prozesse zeigen,
welche Programme gerade laufen.
Zu prüfen:
läuft der Prozess?
verbraucht er viel CPU?
verbraucht er viel RAM?
startet er immer wieder neu?
gehört er zum erwarteten Dienst?
läuft er mit welchem Benutzer?
Merksatz:
Dienstprobleme zeigen sich oft auch in Prozessen.
---
**Ressourcen prüfen**
Systemressourcen beeinflussen Dienste.
Wichtige Ressourcen:
CPU
RAM
Festplatte
I/O
Netzwerk
offene Dateien
Prozesslimits
Merksatz:
Ein Dienst kann fehlschlagen,
obwohl Netzwerk und Konfiguration richtig sind,
wenn Ressourcen fehlen.
---
**Speicherplatz prüfen**
Volle Datenträger sind häufige Fehlerursachen.
Folgen:
Logs können nicht geschrieben werden.
Datenbank stoppt.
Updates schlagen fehl.
Anwendung kann keine Dateien speichern.
Backup bricht ab.
System wird instabil.
Merksatz:
Bei Dienstproblemen immer Speicherplatz prüfen.
---
**df unter Linux**
df zeigt die Belegung von Dateisystemen.
Nützlich für:
freie Kapazität prüfen
volle Partitionen erkennen
Mountpunkte prüfen
Merksatz:
df zeigt,
wie voll Dateisysteme sind.
---
**du unter Linux**
du zeigt,
wie viel Speicher bestimmte Ordner oder Dateien belegen.
Nützlich für:
große Ordner finden
Logwachstum prüfen
Speicherfresser eingrenzen
Merksatz:
df zeigt Dateisysteme.
du zeigt Ordner- und Dateigrößen.
---
**top und htop**
top zeigt laufende Prozesse und Ressourcennutzung.
htop ist eine komfortablere Variante,
wenn installiert.
Nützlich für:
CPU-lastige Prozesse finden
RAM-Verbrauch prüfen
Prozesszustände ansehen
Systemlast beurteilen
Merksatz:
top und htop zeigen laufende Prozesse und Last.
---
**Task-Manager unter Windows**
Der Task-Manager zeigt:
laufende Prozesse
CPU-Auslastung
Arbeitsspeicher
Datenträgerlast
Netzwerk
Autostart
Benutzer
Dienste
Merksatz:
Task-Manager ist ein schneller Überblick über Windows-Systemlast.
---
**PowerShell in der Administration**
PowerShell ist eine Verwaltungs- und Automatisierungsumgebung unter Windows.
Sie wird genutzt für:
Benutzerverwaltung
Dienste prüfen
Prozesse prüfen
Dateien verwalten
Netzwerk prüfen
Ereignislogs auswerten
Microsoft-365-Administration
Automatisierung
Merksatz:
PowerShell ist ein zentrales Administrationswerkzeug unter Windows.
---
**Ereignisanzeige unter Windows**
Die Ereignisanzeige zeigt Windows-Logs.
Wichtige Bereiche:
Anwendung
Sicherheit
System
Typische Nutzung:
Dienstfehler prüfen
Anmeldeereignisse prüfen
Treiberfehler prüfen
Systemfehler analysieren
Sicherheitsereignisse ansehen
Merksatz:
Windows-Fehleranalyse führt häufig zur Ereignisanzeige.
---
**whoami**
whoami zeigt,
unter welchem Benutzer man angemeldet ist.
Nützlich bei:
Rechteproblemen
falscher Anmeldung
Skriptausführung
Dienstkontenprüfung
Remote-Sitzungen
Merksatz:
Erst prüfen,
wer man auf dem System wirklich ist.
---
**Gruppenmitgliedschaften prüfen**
Gruppenmitgliedschaften bestimmen oft Rechte.
Zu prüfen:
ist Benutzer in richtiger Gruppe?
fehlt eine Gruppe?
ist eine alte Gruppe noch aktiv?
greifen Gruppenrichtlinien?
wurde Anmeldung neu gestartet?
Merksatz:
Viele Rechteprobleme sind Gruppenprobleme.
---
**Hostname prüfen**
Der Hostname identifiziert ein System im Netzwerk.
Wichtig für:
DNS
Dokumentation
Zertifikate
Monitoring
Logs
Inventarisierung
Merksatz:
Hostname,
DNS-Name
Zertifikat
und Dokumentation sollten zusammenpassen.
---
**Datum und Uhrzeit prüfen**
Falsche Uhrzeit kann Probleme verursachen.
Beispiele:
Zertifikatsfehler
Kerberos-Probleme
Logauswertung falsch
MFA-Probleme
geplante Aufgaben laufen falsch
Token ungültig
Merksatz:
Zeitabweichungen verursachen viele schwer erkennbare Fehler.
---
**Umgebungsvariablen**
Umgebungsvariablen beeinflussen Programme und Skripte.
Beispiele:
PATH
HOME
USER
TEMP
Proxy-Einstellungen
Anwendungskonfiguration
Zugangspfade
Merksatz:
Falsche Umgebungsvariablen können Programme anders verhalten lassen.
---
**Konfigurationsdateien prüfen**
Viele Dienste werden über Konfigurationsdateien gesteuert.
Zu prüfen:
Syntax korrekt?
Pfade richtig?
Ports richtig?
Zugangsdaten korrekt?
Zertifikate richtig eingetragen?
Änderungen dokumentiert?
Dienst nach Änderung neu geladen?
Merksatz:
Kleine Fehler in Konfigurationen können ganze Dienste stoppen.
---
**Änderungen prüfen**
Bei neuen Fehlern ist die wichtigste Frage oft:
Was wurde zuletzt geändert?
Mögliche Änderungen:
Update
Firewall-Regel
Zertifikat
Passwort
DNS-Eintrag
DHCP-Änderung
Routing
Dienstkonfiguration
Berechtigung
Netzwerkverkabelung
Cloud-Regel
Merksatz:
Neue Fehler hängen oft mit letzten Änderungen zusammen.
---
**Systematische Fehlersuche mit Befehlen**
Sinnvolle Reihenfolge:
1. Eigenes System prüfen.
2. IP-Konfiguration prüfen.
3. Gateway prüfen.
4. DNS prüfen.
5. Ziel per IP testen.
6. Ziel per Name testen.
7. Route verfolgen.
8. Port prüfen.
9. Dienststatus prüfen.
10. Logs prüfen.
11. Ressourcen prüfen.
12. Berechtigungen prüfen.
13. Änderungen prüfen.
14. Ergebnis dokumentieren.
Merksatz:
Systematische Befehlsnutzung spart Zeit.
---
**Typische Fehlerbilder und passende Prüfung**
| Fehlerbild | Erste Prüfungen |
|---|---|
| Kein Internet | IP, Gateway, DNS, Router |
| Name geht nicht | DNS, DNS-Server, Cache |
| IP geht, Name nicht | DNS prüfen |
| Dienst nicht erreichbar | Port, Firewall, Dienststatus |
| Webseite 404 | URL, Webserver, Pfad |
| Webseite 500 | Anwendung, Backend, Logs |
| Login schlägt fehl | Benutzer, Passwort, MFA, Logs |
| Zugriff verweigert | Gruppen, Rechte, ACL |
| Langsame Verbindung | Latenz, Paketverlust, Last |
| Zertifikatsfehler | Uhrzeit, Zertifikat, Hostname |
Merksatz:
Fehlerbild bestimmt die nächste sinnvolle Prüfung.
---
**Typische Praxisfehler**
Häufige Fehler:
DNS wird zu spät geprüft
nur ping genutzt
Firewall vergessen
Gateway nicht geprüft
IPv4 und IPv6 verwechselt
falsches Interface betrachtet
Dienststatus geprüft,
aber Port nicht
Port offen,
aber Anwendung nicht getestet
Logs nicht gelesen
letzte Änderungen ignoriert
Rechteproblem als Netzwerkproblem behandelt
Merksatz:
Fehlersuche braucht mehrere Blickwinkel.
---
**Checkliste: Netzwerk- und Systemprüfung**
IP-Adresse prüfen.
Subnetz prüfen.
Gateway prüfen.
DNS-Server prüfen.
Ping zur Gateway-IP testen.
Ping zur Ziel-IP testen.
Namensauflösung testen.
Route prüfen.
Port prüfen.
Dienststatus prüfen.
Prozess prüfen.
Logs prüfen.
Firewall prüfen.
Ressourcen prüfen.
Benutzer und Rechte prüfen.
Zertifikate und Uhrzeit prüfen.
letzte Änderungen prüfen.
Ergebnis dokumentieren.
Merksatz:
Erst Grundlagen prüfen,
dann Spezialfälle.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Wofür nutzt man ipconfig?
- Wofür nutzt man ipconfig /all?
- Wofür nutzt man ip addr?
- Was zeigt eine Routing-Tabelle?
- Was ist eine Standardroute?
- Wofür nutzt man ping?
- Warum beweist ein fehlgeschlagener ping nicht immer,
dass ein Ziel offline ist?
- Wie prüft man DNS?
- Was macht nslookup?
- Was macht dig?
- Wofür nutzt man tracert oder traceroute?
- Was zeigt netstat?
- Was zeigt ss?
- Was bedeutet LISTEN?
- Was bedeutet ESTABLISHED?
- Warum ist 127.0.0.1 besonders?
- Wofür nutzt man curl?
- Was prüft systemctl?
- Was zeigt journalctl?
- Warum sollte man Logs prüfen?
- Warum ist Speicherplatzprüfung wichtig?
- Warum ist die Frage nach letzten Änderungen wichtig?
---
**Typische Prüfungsfallen**
ping prüft ICMP,
nicht automatisch jeden Dienst.
Kein ping kann durch Firewall entstehen.
IP funktioniert,
Name nicht:
DNS prüfen.
Hostname funktioniert nicht automatisch,
wenn IP funktioniert.
Standardroute ist wichtig für fremde Netze.
Spezifischste Route gewinnt.
tracert und traceroute zeigen Zwischenstationen,
aber nicht jeder Hop antwortet.
Offener Port bedeutet nicht,
dass Anwendung vollständig funktioniert.
127.0.0.1 ist nur lokal.
0.0.0.0 bedeutet alle IPv4-Schnittstellen.
LISTEN bedeutet Dienst wartet auf Verbindung.
ESTABLISHED bedeutet Verbindung besteht.
Telnet ist als Administrationsprotokoll unsicher.
curl ist nützlich für Webtests.
Dienst läuft nicht automatisch gleich Dienst funktioniert.
Logs liefern oft den entscheidenden Hinweis.
Volle Festplatte ist eine häufige Fehlerursache.
Uhrzeitfehler können Zertifikate und Anmeldung stören.
Letzte Änderungen immer prüfen.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| ipconfig | Windows-IP-Konfiguration anzeigen |
| ipconfig /all | detaillierte Windows-Netzwerkinformationen |
| ip addr | Linux-IP-Adressen anzeigen |
| ifconfig | älteres Werkzeug für Netzwerkschnittstellen |
| MAC-Adresse | Hardwareadresse einer Netzwerkschnittstelle |
| Gateway | Übergang in andere Netze |
| Routing-Tabelle | Liste möglicher Netzwerkwege |
| Standardroute | allgemeiner Weg zu unbekannten Netzen |
| ping | ICMP-Erreichbarkeit testen |
| ICMP | Kontrollprotokoll für Netzwerkmeldungen |
| nslookup | DNS-Abfragewerkzeug |
| dig | detailliertes DNS-Abfragewerkzeug |
| DNS-Cache | zwischengespeicherte DNS-Antworten |
| tracert | Windows-Wegverfolgung zum Ziel |
| traceroute | Linux/macOS-Wegverfolgung zum Ziel |
| netstat | Netzwerkverbindungen anzeigen |
| ss | moderne Socketanzeige unter Linux |
| Port | logischer Dienstzugang |
| LISTEN | Dienst wartet auf Verbindungen |
| ESTABLISHED | Verbindung besteht |
| localhost | lokaler Rechner |
| 127.0.0.1 | lokale Loopback-Adresse |
| 0.0.0.0 | alle IPv4-Schnittstellen |
| curl | Web- und API-Anfragen testen |
| wget | Dateien oder Webseiten abrufen |
| systemctl | systemd-Dienste verwalten |
| journalctl | systemd-Logs anzeigen |
| Dienststatus | Zustand eines Dienstes |
| Prozess | laufendes Programm |
| df | Dateisystembelegung anzeigen |
| du | Ordner- und Dateigrößen anzeigen |
| top | Prozess- und Lastanzeige |
| htop | komfortablere Prozessanzeige |
| Task-Manager | Windows-Prozess- und Leistungsanzeige |
| PowerShell | Windows-Verwaltung und Automatisierung |
| Ereignisanzeige | Windows-Loganzeige |
| whoami | aktueller Benutzer |
| Hostname | Name eines Systems |
| Umgebungsvariable | System- oder Programmeinstellung |
---
**IHK-sichere Kurzformulierung**
Netzwerk- und Systembefehle dienen dazu, Fehler systematisch einzugrenzen und Zustände zu prüfen. Mit ipconfig oder ip addr wird die IP-Konfiguration geprüft, mit route print oder ip route die Routing-Tabelle. ping testet grundlegende Erreichbarkeit per ICMP, nslookup oder dig prüfen DNS, tracert oder traceroute zeigen den Weg zum Ziel. netstat oder ss zeigen offene Ports und Verbindungen. curl prüft Webdienste und APIs. systemctl und journalctl helfen bei der Prüfung von Diensten und Logs unter Linux, während unter Windows Task-Manager, Ereignisanzeige und PowerShell wichtige Werkzeuge sind. Bei der Fehlersuche sollten IP-Konfiguration, Gateway, DNS, Route, Port, Dienststatus, Logs, Ressourcen, Rechte und letzte Änderungen systematisch geprüft werden.
---
**Merksätze**
Befehle ersetzen Vermutungen durch Fakten.
Erst Grundlagen prüfen,
dann Spezialfälle.
IP-Konfiguration ist die Basis.
Gateway führt in andere Netze.
Ohne Gateway meist kein Zugriff auf fremde Netze.
Routing-Tabelle zeigt Netzwerkwege.
Standardroute ist Weg für unbekannte Ziele.
Spezifischste Route gewinnt.
ping prüft ICMP.
Kein ping ist kein endgültiger Beweis.
IP-Ping trennt DNS von Netzwerkprüfung.
Hostname-Ping prüft DNS mit.
Wenn IP geht,
aber Name nicht:
DNS prüfen.
nslookup prüft DNS.
dig zeigt DNS detailliert.
DNS-Cache kann veraltet sein.
tracert und traceroute zeigen den Weg.
Nicht jeder Hop muss antworten.
netstat zeigt Verbindungen.
ss zeigt Sockets unter Linux.
Offene Ports prüfen.
127.0.0.1 ist lokal.
0.0.0.0 bedeutet alle Schnittstellen.
LISTEN wartet auf Verbindungen.
ESTABLISHED ist aktive Verbindung.
Port offen heißt nicht Anwendung gesund.
Telnet nicht zur sicheren Administration nutzen.
curl prüft Webdienste.
wget lädt Inhalte ab.
systemctl prüft Dienste.
journalctl zeigt Dienstlogs.
Windows nutzt Ereignisanzeige.
Prozesse und Ressourcen mitprüfen.
Volle Festplatte verursacht viele Fehler.
df zeigt Dateisystembelegung.
du findet große Ordner.
top zeigt Prozesslast.
Task-Manager zeigt Windows-Systemlast.
whoami prüft aktuellen Benutzer.
Gruppenmitgliedschaften beeinflussen Rechte.
Hostname muss zur Dokumentation passen.
Falsche Uhrzeit verursacht Zertifikats- und Loginprobleme.
Konfigurationen sorgfältig prüfen.
Letzte Änderungen sind oft der Schlüssel.
Fehlersuche systematisch dokumentieren.
# 17.6 Dateiübertragung, Freigaben und sichere Datenzugriffe in der Praxis
In der Administration müssen Dateien häufig zwischen Systemen,
Benutzern,
Servern
und Diensten übertragen oder gemeinsam bereitgestellt werden.
Typische Beispiele:
- Konfigurationsdateien übertragen
- Logdateien herunterladen
- Backups ablegen
- Installationsdateien bereitstellen
- Benutzerfreigaben einrichten
- Projektordner bereitstellen
- Dateien zwischen Servern synchronisieren
- Daten sicher mit externen Personen austauschen
Merksatz:
Dateiübertragung und Freigaben brauchen immer Technik,
Rechtekonzept
und Sicherheitsregeln.
---
**Warum Dateiübertragung sicherheitskritisch ist**
Dateien können sensible Informationen enthalten.
Beispiele:
Kundendaten
Zugangsdaten
Konfigurationsdateien
Zertifikate
private Schlüssel
Backups
Logdateien
Personalunterlagen
interne Dokumente
Quellcode
Risiken:
Datenabfluss
unberechtigter Zugriff
Manipulation
Malware-Verteilung
Verlust von Vertraulichkeit
falsche Berechtigungen
versehentlich öffentliche Freigaben
Merksatz:
Dateien sind oft genauso kritisch wie Datenbanken.
---
**Grundfragen vor jeder Freigabe**
Vor einer Freigabe sollte geklärt werden:
Wer braucht Zugriff?
Auf welche Daten?
Mit welchen Rechten?
Von welchem Ort?
Für welchen Zeitraum?
Muss Zugriff protokolliert werden?
Müssen Daten verschlüsselt übertragen werden?
Müssen Daten verschlüsselt gespeichert werden?
Merksatz:
Keine Freigabe ohne Zweck,
Berechtigung
und Begrenzung.
---
**Lesen, Schreiben und Löschen**
Die wichtigsten Dateiaktionen sind:
lesen
schreiben
löschen
Lesen:
Datei anzeigen oder herunterladen
Schreiben:
Datei verändern oder neue Datei erstellen
Löschen:
Datei entfernen
Merksatz:
Schreibrechte sind gefährlicher als Leserechte.
Löschrechte sind besonders kritisch.
---
**Minimal notwendige Rechte**
Nicht jeder Benutzer braucht Vollzugriff.
Beispiele:
Leser:
darf Dateien öffnen,
aber nicht verändern
Bearbeiter:
darf Dateien ändern
Besitzer:
darf Rechte ändern
Administrator:
darf technische Verwaltung durchführen
Merksatz:
So wenig Rechte wie möglich,
so viele wie nötig.
---
**Freigabe und Dateisystem unterscheiden**
Bei Dateizugriff gibt es oft mehrere Ebenen.
Beispiel Windows:
Freigaberechte
und
NTFS-Rechte
Beispiel Linux:
Samba-Freigaberechte
und
Linux-Dateirechte
Wichtig:
Beide Ebenen müssen zusammenpassen.
Merksatz:
Freigabe erlaubt Zugang.
Dateisystemrechte entscheiden zusätzlich,
was wirklich möglich ist.
---
**SMB**
SMB steht für:
Server Message Block
SMB wird häufig für Datei- und Druckerfreigaben in Windows-Netzwerken genutzt.
Typische Nutzung:
Netzlaufwerke
gemeinsame Ordner
Druckerfreigaben
Benutzerprofile
Abteilungsfreigaben
Dateiserver
Standardport:
TCP 445
Merksatz:
SMB ist das typische Protokoll für Windows-Dateifreigaben.
---
**SMB in der Praxis**
Beispiele:
\\server\freigabe
Netzlaufwerk verbinden
Abteilungsordner bereitstellen
Scanner speichert in Netzwerkordner
Anwendung greift auf zentrale Dateien zu
Merksatz:
SMB-Freigaben sind praktisch,
aber müssen sauber berechtigt werden.
---
**SMB-Sicherheit**
Wichtige Maßnahmen:
alte SMB-Versionen deaktivieren
keine Gastzugriffe
starke Authentifizierung
Rechte über Gruppen vergeben
Freigaben nicht unnötig breit setzen
Zugriff protokollieren
Adminfreigaben schützen
Netzwerkzugriff begrenzen
Verschlüsselung prüfen
Backups schützen
Merksatz:
SMB-Freigaben niemals pauschal für alle öffnen.
---
**SMB-Versionen**
Ältere SMB-Versionen sind unsicherer.
Besonders alte Versionen sollten vermieden werden,
wenn sie nicht zwingend benötigt werden.
Wichtig:
moderne SMB-Versionen nutzen
alte Kompatibilität nur bewusst aktivieren
Altgeräte prüfen
Risiken dokumentieren
Merksatz:
Alte SMB-Versionen erhöhen das Sicherheitsrisiko.
---
**NFS**
NFS steht für:
Network File System
NFS wird häufig in Unix-,
Linux-
und Serverumgebungen genutzt.
Typische Nutzung:
gemeinsame Verzeichnisse
Serverfreigaben
Linux-Dateiserver
Virtualisierungsspeicher
Container- oder Anwendungsdaten
Backup-Ziele
Merksatz:
NFS ist ein typisches Dateifreigabeprotokoll in Unix- und Linux-Umgebungen.
---
**NFS-Sicherheit**
Bei NFS wichtig:
erlaubte Clients begrenzen
Exporte sauber konfigurieren
Schreibrechte nur wenn nötig
Root-Zugriff einschränken
Netzwerksegmentierung nutzen
Firewall-Regeln setzen
NFS-Version beachten
Berechtigungen auf Dateisystemebene prüfen
Merksatz:
NFS-Zugriff immer auf notwendige Clients begrenzen.
---
**FTP**
FTP steht für:
File Transfer Protocol
FTP dient zur Dateiübertragung.
Problem:
klassisches FTP überträgt Daten und Zugangsdaten unverschlüsselt.
Standardports:
TCP 21 für Steuerverbindung
Datenverbindungen je nach aktivem oder passivem Modus
Merksatz:
Klassisches FTP ist unsicher,
weil es unverschlüsselt ist.
---
**Warum FTP problematisch ist**
Bei klassischem FTP können mitgelesen werden:
Benutzername
Passwort
Dateinamen
Dateiinhalt
Befehle
Risiko:
Sniffing
Passwortdiebstahl
Datenabfluss
Manipulation bei unsicherem Netzwerk
Merksatz:
FTP nicht für vertrauliche Daten oder unsichere Netze verwenden.
---
**SFTP**
SFTP steht für:
SSH File Transfer Protocol
SFTP nutzt SSH als sichere Grundlage.
Standardport:
TCP 22
Vorteile:
verschlüsselte Übertragung
SSH-Authentifizierung
Schlüsselanmeldung möglich
häufig auf Servern verfügbar
besser geeignet als klassisches FTP
Merksatz:
SFTP ist sichere Dateiübertragung über SSH.
---
**SCP**
SCP steht für:
Secure Copy
SCP wird für Dateiübertragung über SSH genutzt.
Typische Nutzung:
Datei auf Server kopieren
Datei vom Server herunterladen
Dateien zwischen Systemen übertragen
Einordnung:
ebenfalls verschlüsselt über SSH
Merksatz:
SCP kopiert Dateien verschlüsselt über SSH.
---
**SFTP und SCP vergleichen**
| Merkmal | SFTP | SCP |
|---|---|---|
| Grundlage | SSH | SSH |
| Zweck | Dateiübertragung mit Dateiverwaltung | einfaches Kopieren |
| Bedienung | eher wie Dateisitzung | eher Kopierbefehl |
| Verschlüsselung | ja | ja |
| Standardport | TCP 22 | TCP 22 |
Merksatz:
SFTP und SCP nutzen SSH,
sind aber nicht dasselbe wie FTP.
---
**FTPS**
FTPS bedeutet:
FTP mit TLS-Verschlüsselung
FTPS ist nicht dasselbe wie SFTP.
FTPS nutzt FTP-Technik mit TLS.
SFTP nutzt SSH.
Merksatz:
FTPS = FTP über TLS.
SFTP = Dateiübertragung über SSH.
---
**FTP, FTPS und SFTP vergleichen**
| Protokoll | Verschlüsselung | Grundlage | Einordnung |
|---|---|---|---|
| FTP | nein | FTP | unsicher in Klartext |
| FTPS | ja | FTP plus TLS | verschlüsseltes FTP |
| SFTP | ja | SSH | sichere Dateiübertragung über SSH |
Merksatz:
SFTP und FTPS nicht verwechseln.
---
**HTTPS-Dateidownload**
Dateien können auch über HTTPS bereitgestellt werden.
Beispiele:
Downloadportal
Cloudspeicher-Link
Softwaredownload
internes Webportal
API-Dateiabruf
Vorteile:
verschlüsselte Übertragung
browserfähig
gut für Downloads
Zugriff über Webauthentifizierung möglich
Risiken:
öffentliche Links
falsche Rechte
abgelaufene Links fehlen
keine Zugriffskontrolle
versehentliche Veröffentlichung
Merksatz:
HTTPS schützt die Übertragung,
aber nicht automatisch die Freigaberechte.
---
**WebDAV**
WebDAV erweitert HTTP,
damit Dateien über Webprotokolle verwaltet werden können.
Typische Nutzung:
Netzlaufwerk über Webzugriff
Dokumentenablage
Dateiablage über HTTPS
Zusammenarbeit über Webserver
Merksatz:
WebDAV ermöglicht Dateiverwaltung über HTTP oder HTTPS.
---
**Cloud-Speicherfreigaben**
Cloud-Speicherfreigaben sind verbreitet.
Beispiele:
Linkfreigabe
Freigabe an Benutzer
Freigabe an Gruppe
externe Freigabe
geteilte Ordner
Ablaufdatum für Links
Risiken:
Link öffentlich weitergegeben
falsche Person berechtigt
Schreibrechte statt Leserechte
kein Ablaufdatum
keine MFA
keine Protokollierung
Merksatz:
Cloud-Freigaben regelmäßig prüfen.
---
**Linkfreigabe**
Eine Linkfreigabe erlaubt Zugriff über einen Link.
Mögliche Varianten:
jeder mit Link kann lesen
jeder mit Link kann bearbeiten
nur bestimmte Personen können zugreifen
Link mit Passwort
Link mit Ablaufdatum
Merksatz:
Jeder-mit-Link-Freigaben sind besonders kritisch.
---
**Ablaufdatum für Freigaben**
Freigaben sollten zeitlich begrenzt werden,
wenn sie nur vorübergehend benötigt werden.
Beispiele:
externer Projektpartner
Bewerbungsunterlagen
temporärer Austausch
Dienstleisterzugang
Merksatz:
Temporäre Freigaben brauchen ein Ablaufdatum.
---
**Externe Freigaben**
Externe Freigaben erlauben Zugriff außerhalb der Organisation.
Risiken:
falsche Empfänger
Datenabfluss
unkontrolliertes Weiterleiten
fehlende MFA
unklare Verantwortlichkeit
Datenschutzproblem
Schutz:
nur bei Bedarf
Genehmigung
Ablaufdatum
Passwort oder MFA
Protokollierung
Datenklassifizierung beachten
Merksatz:
Externe Freigaben nur bewusst und kontrolliert einsetzen.
---
**Datenklassifizierung bei Freigaben**
Nicht jede Datei darf gleich behandelt werden.
Beispiele:
öffentlich
intern
vertraulich
streng vertraulich
personenbezogen
Je höher der Schutzbedarf,
desto strenger müssen Freigabe,
Verschlüsselung
und Protokollierung sein.
Merksatz:
Schutzbedarf bestimmt Freigaberegeln.
---
**Verschlüsselung bei Übertragung**
Daten sollten bei Übertragung verschlüsselt werden.
Geeignete Protokolle:
SFTP
SCP
FTPS
HTTPS
VPN
SMB-Verschlüsselung je nach Umgebung
Unsicher oder kritisch:
FTP
Telnet
HTTP bei vertraulichen Daten
unverschlüsselte Protokolle
Merksatz:
Vertrauliche Daten nicht unverschlüsselt übertragen.
---
**Verschlüsselung bei Speicherung**
Daten können auch im Ruhezustand verschlüsselt werden.
Beispiele:
Festplattenverschlüsselung
Serververschlüsselung
Datenbankverschlüsselung
Backup-Verschlüsselung
Cloud-Speicherverschlüsselung
verschlüsselte Archive
Merksatz:
Verschlüsselung bei Speicherung schützt bei Diebstahl oder unberechtigtem Zugriff auf Speicher.
---
**Passwortgeschützte Archive**
Archive können mit Passwort geschützt werden.
Beispiele:
ZIP mit Passwort
7z mit Passwort
Wichtig:
Passwort getrennt vom Archiv übermitteln
starke Verschlüsselung nutzen
Passwort nicht in derselben E-Mail senden
sichere Alternative prüfen
Merksatz:
Passwort und Datei nicht über denselben unsicheren Kanal senden.
---
**Prüfsummen**
Prüfsummen helfen,
Dateien auf Integrität zu prüfen.
Beispiele:
SHA-256
SHA-512
Zweck:
feststellen,
ob Datei verändert wurde
Download prüfen
Übertragungsfehler erkennen
Manipulation erkennen
Merksatz:
Prüfsumme prüft Integrität,
aber nicht automatisch Vertrauenswürdigkeit.
---
**Digitale Signatur bei Dateien**
Eine digitale Signatur kann prüfen,
ob eine Datei vom erwarteten Herausgeber stammt
und nicht verändert wurde.
Beispiele:
signierte Softwarepakete
signierte Skripte
signierte Installationsdateien
Merksatz:
Signatur prüft Herkunft und Integrität.
---
**Malware-Risiko bei Dateiübertragung**
Dateien können Malware enthalten.
Risiken:
Makros in Dokumenten
Skripte
ausführbare Dateien
manipulierte PDFs
Archive mit Schadsoftware
ISO-Dateien
LNK-Dateien
Webshells bei Uploads
Schutz:
Malware-Scan
Dateitypen begrenzen
Makros blockieren
Uploads prüfen
Benutzer schulen
nur vertrauenswürdige Quellen
Merksatz:
Dateiübertragung kann auch Malware übertragen.
---
**Upload-Verzeichnisse**
Upload-Verzeichnisse sind besonders kritisch.
Schutzmaßnahmen:
keine Ausführung erlauben
Dateitypen begrenzen
Dateigröße begrenzen
zufällige Dateinamen
Malware-Scan
Speicherung außerhalb des Webroots
Rechte begrenzen
Protokollierung
Merksatz:
Hochgeladene Dateien dürfen nicht ungeprüft ausführbar sein.
---
**Synchronisation**
Synchronisation hält Dateien an mehreren Orten gleich.
Beispiele:
Cloud-Sync
Ordnersynchronisation
Server-zu-Server-Sync
Notebook und Cloudspeicher
mobile Geräte
Risiko:
Löschungen werden synchronisiert
Ransomware verschlüsselt synchronisierte Dateien
falsche Version überschreibt richtige Datei
Datenabfluss durch falsche Freigabe
Merksatz:
Synchronisation ist kein Backup.
---
**Backup und Dateiübertragung unterscheiden**
Dateiübertragung:
bewegt oder kopiert Dateien
Synchronisation:
hält Orte gleich
Backup:
erstellt wiederherstellbare Sicherungen mit Aufbewahrung
Merksatz:
Kopie,
Sync
und Backup sind nicht dasselbe.
---
**Versionierung**
Versionierung speichert ältere Dateiversionen.
Vorteile:
versehentliche Änderungen rückgängig machen
ältere Stände wiederherstellen
Ransomware-Schäden begrenzen
Bearbeitungsverlauf nachvollziehen
Grenze:
Versionierung ersetzt kein vollständiges Backup.
Merksatz:
Versionierung hilft,
aber ersetzt kein Backup-Konzept.
---
**DLP**
DLP steht für:
Data Loss Prevention
DLP soll verhindern,
dass sensible Daten unkontrolliert abfließen.
Beispiele:
blockiert Upload vertraulicher Dateien
warnt bei Versand personenbezogener Daten
verhindert Kopieren auf USB
kontrolliert Cloud-Freigaben
erkennt Kreditkartendaten oder Personaldaten
Merksatz:
DLP schützt vor unerwünschtem Datenabfluss.
---
**Freigabeprotokollierung**
Freigaben sollten protokolliert werden.
Wichtige Fragen:
Wer hat Datei geöffnet?
Wer hat Datei geändert?
Wer hat Datei gelöscht?
Wer hat Freigabe erstellt?
Wer hat extern geteilt?
Wann wurde Zugriff genutzt?
Von welchem Gerät oder welcher IP?
Merksatz:
Kritische Datenzugriffe müssen nachvollziehbar sein.
---
**Besitzer von Freigaben**
Jede Freigabe sollte einen Verantwortlichen haben.
Aufgaben:
Zweck prüfen
Berechtigungen prüfen
alte Freigaben entfernen
externe Zugriffe kontrollieren
Datenklassifizierung beachten
Löschung oder Archivierung entscheiden
Merksatz:
Freigaben ohne Verantwortlichen werden schnell unübersichtlich.
---
**Freigaben regelmäßig prüfen**
Zu prüfen:
Gibt es unnötige Freigaben?
Gibt es Jeder- oder Everyone-Rechte?
Gibt es externe Benutzer?
Gibt es Schreibrechte,
obwohl Leserechte reichen?
Gibt es alte Projektordner?
Gibt es Freigaben ohne Besitzer?
Gibt es sensible Daten in falschen Ordnern?
Merksatz:
Freigaben altern und müssen regelmäßig bereinigt werden.
---
**Typische Fehler bei Freigaben**
Häufige Fehler:
Jeder hat Vollzugriff
externe Links ohne Ablaufdatum
Schreibrechte statt Leserechte
alte Benutzer noch berechtigt
Gastzugriff aktiv
sensible Daten in öffentlichen Ordnern
Freigabe ohne Besitzer
keine Protokollierung
keine Klassifizierung
Synchronisation wird als Backup verstanden
Merksatz:
Die häufigste Freigabenpanne ist zu breiter Zugriff.
---
**Fehlersuche bei Dateiübertragung**
Bei Problemen prüfen:
Ist Ziel erreichbar?
Stimmt DNS?
Stimmt Port?
Blockiert Firewall?
Ist Protokoll korrekt?
Stimmen Benutzername und Passwort?
Hat Benutzer Rechte?
Ist Speicherplatz frei?
Ist Datei gesperrt?
Ist Pfad korrekt?
Ist Zertifikat gültig?
Gibt es Logs?
Ist Dateiname erlaubt?
Ist Datei zu groß?
Merksatz:
Dateiübertragungsfehler können Netzwerk-,
Rechte-,
Speicher-
oder Protokollprobleme sein.
---
**Fehlerbild: Zugriff verweigert**
Mögliche Ursachen:
Benutzer nicht berechtigt
Gruppe fehlt
falsche Anmeldung
Freigaberecht fehlt
Dateisystemrecht fehlt
Deny-Regel aktiv
Datei gesperrt
Konto deaktiviert
externe Freigabe abgelaufen
MFA oder Conditional Access blockiert
Merksatz:
Zugriff verweigert ist meistens ein Rechte- oder Identitätsproblem.
---
**Fehlerbild: Verbindung nicht möglich**
Mögliche Ursachen:
Server offline
DNS falsch
Port blockiert
Dienst läuft nicht
Firewall blockiert
VPN fehlt
falsches Protokoll
Routingproblem
falsche Adresse
Zugriff nur intern erlaubt
Merksatz:
Keine Verbindung zuerst mit Netzwerk,
Port
und Dienst prüfen.
---
**Fehlerbild: Dateiübertragung langsam**
Mögliche Ursachen:
geringe Bandbreite
hohe Latenz
Paketverlust
viele kleine Dateien
Virenscan
langsamer Datenträger
WLAN-Probleme
VPN-Overhead
Serverlast
Cloud-Limitierung
Merksatz:
Langsame Dateiübertragung kann an Netzwerk,
Speicher
oder Anwendung liegen.
---
**Checkliste: sichere Dateiübertragung und Freigaben**
Zweck der Freigabe klären.
Datenklassifizierung prüfen.
Benutzer oder Gruppen festlegen.
Nur notwendige Rechte vergeben.
Schreibrechte begrenzen.
Externe Freigaben begründen.
Ablaufdatum setzen.
Verschlüsselte Übertragung nutzen.
Unsichere Protokolle vermeiden.
Zugriff protokollieren.
Freigaben regelmäßig prüfen.
Alte Zugriffe entfernen.
Malware-Scan für Uploads nutzen.
Backups getrennt planen.
Synchronisation nicht als Backup ansehen.
Verantwortlichen für Freigabe benennen.
Merksatz:
Sichere Freigaben sind begrenzt,
verschlüsselt,
dokumentiert
und regelmäßig geprüft.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist SMB?
- Wofür wird SMB genutzt?
- Welchen Standardport nutzt SMB?
- Was ist NFS?
- Wofür wird NFS genutzt?
- Warum ist klassisches FTP unsicher?
- Was ist SFTP?
- Was ist SCP?
- Was ist FTPS?
- Was ist der Unterschied zwischen SFTP und FTPS?
- Warum sollte man vertrauliche Daten verschlüsselt übertragen?
- Was ist eine Linkfreigabe?
- Warum sind Jeder-mit-Link-Freigaben kritisch?
- Warum ist ein Ablaufdatum bei Freigaben sinnvoll?
- Was ist DLP?
- Warum ist Synchronisation kein Backup?
- Was ist Versionierung?
- Was prüft eine Prüfsumme?
- Was prüft eine digitale Signatur?
- Warum sind Upload-Verzeichnisse gefährlich?
---
**Typische Prüfungsfallen**
FTP ist unverschlüsselt.
SFTP ist nicht FTP mit TLS.
FTPS ist nicht SFTP.
SFTP nutzt SSH.
SCP nutzt SSH.
SMB nutzt typischerweise TCP 445.
Freigaberechte und Dateisystemrechte zusammen prüfen.
Schreibrechte nicht vergeben,
wenn Leserechte reichen.
Jeder-mit-Link ist besonders kritisch.
Externe Freigaben brauchen Kontrolle.
Ablaufdatum reduziert Risiko.
HTTPS schützt Übertragung,
aber nicht automatisch Berechtigung.
Prüfsumme prüft Integrität,
nicht automatisch Vertrauenswürdigkeit.
Digitale Signatur prüft Herkunft und Integrität.
Uploads können Malware enthalten.
Synchronisation ist kein Backup.
Versionierung ersetzt kein vollständiges Backup.
DLP schützt vor Datenabfluss.
Zugriff verweigert ist nicht automatisch ein Netzwerkproblem.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| Dateiübertragung | Kopieren oder Bewegen von Dateien |
| Freigabe | bereitgestellter Zugriff auf Dateien oder Ordner |
| Leserecht | Datei anzeigen oder herunterladen |
| Schreibrecht | Datei ändern oder erstellen |
| Löschrecht | Datei entfernen |
| SMB | Windows-Dateifreigabeprotokoll |
| TCP 445 | Standardport für SMB |
| NFS | Network File System |
| FTP | unverschlüsseltes Dateiübertragungsprotokoll |
| SFTP | Dateiübertragung über SSH |
| SCP | sicheres Kopieren über SSH |
| FTPS | FTP mit TLS |
| HTTPS-Download | Dateiabruf über verschlüsseltes Webprotokoll |
| WebDAV | Dateiverwaltung über HTTP oder HTTPS |
| Linkfreigabe | Zugriff über Link |
| externe Freigabe | Freigabe außerhalb der Organisation |
| Ablaufdatum | zeitliche Begrenzung einer Freigabe |
| Datenklassifizierung | Einteilung nach Schutzbedarf |
| Verschlüsselung bei Übertragung | Schutz während Transport |
| Verschlüsselung bei Speicherung | Schutz ruhender Daten |
| Prüfsumme | Integritätsprüfung einer Datei |
| digitale Signatur | Herkunfts- und Integritätsprüfung |
| Upload-Verzeichnis | Speicherort für hochgeladene Dateien |
| Synchronisation | Abgleich von Dateien zwischen Orten |
| Backup | wiederherstellbare Sicherung |
| Versionierung | Speicherung älterer Dateiversionen |
| DLP | Data Loss Prevention |
| Freigabeprotokollierung | Nachvollziehen von Zugriffen |
---
**IHK-sichere Kurzformulierung**
Dateiübertragung und Freigaben dienen dazu, Dateien zwischen Benutzern, Systemen und Diensten bereitzustellen oder zu übertragen. Dabei müssen Vertraulichkeit, Integrität und Verfügbarkeit beachtet werden. SMB wird häufig für Windows-Dateifreigaben genutzt und verwendet typischerweise TCP-Port 445. NFS wird häufig in Unix- und Linux-Umgebungen eingesetzt. Klassisches FTP ist unsicher, weil es unverschlüsselt überträgt. SFTP und SCP nutzen SSH, FTPS nutzt FTP mit TLS. Freigaben sollten nach Least Privilege eingerichtet, regelmäßig geprüft, protokolliert und bei externem Zugriff zeitlich begrenzt werden. Synchronisation ist kein Backup, da Änderungen oder Löschungen mit übertragen werden können.
---
**Merksätze**
Dateien können sehr sensible Informationen enthalten.
Keine Freigabe ohne Zweck.
Rechte so eng wie möglich vergeben.
Schreibrechte nur bei Bedarf.
Löschrechte besonders vorsichtig vergeben.
Freigabe und Dateisystemrechte zusammen prüfen.
SMB ist typisch für Windows-Freigaben.
SMB nutzt typischerweise TCP 445.
Alte SMB-Versionen vermeiden.
NFS ist typisch für Unix- und Linux-Freigaben.
NFS-Zugriff auf notwendige Clients begrenzen.
FTP ist unverschlüsselt.
FTP nicht für vertrauliche Daten nutzen.
SFTP nutzt SSH.
SCP kopiert über SSH.
FTPS ist FTP mit TLS.
SFTP und FTPS nicht verwechseln.
HTTPS schützt Übertragung,
aber nicht automatisch Rechte.
Jeder-mit-Link ist kritisch.
Externe Freigaben kontrollieren.
Temporäre Freigaben mit Ablaufdatum versehen.
Schutzbedarf bestimmt Freigaberegeln.
Vertrauliche Daten verschlüsselt übertragen.
Passwort und Datei getrennt übermitteln.
Prüfsumme prüft Integrität.
Signatur prüft Herkunft und Integrität.
Dateiübertragung kann Malware übertragen.
Upload-Verzeichnisse besonders absichern.
Synchronisation ist kein Backup.
Versionierung hilft,
ersetzt aber kein Backup.
DLP schützt vor Datenabfluss.
Freigaben brauchen Verantwortliche.
Freigaben regelmäßig prüfen.
Zugriff verweigert ist oft ein Rechteproblem.
Keine Verbindung ist oft Netzwerk,
Port
oder Dienst.
Sichere Freigaben sind begrenzt,
dokumentiert
und regelmäßig geprüft.
# 17.7 Backup, Restore und Notfallmaßnahmen in der Praxis
Backups,
Wiederherstellung
und Notfallmaßnahmen gehören zu den wichtigsten Aufgaben in der Systemadministration.
Sie sorgen dafür,
dass Systeme und Daten nach Fehlern,
Ausfällen
oder Angriffen wiederhergestellt werden können.
Typische Situationen:
- Datei versehentlich gelöscht
- Datenbank beschädigt
- Server ausgefallen
- Ransomware-Angriff
- Hardware defekt
- falsche Konfiguration eingespielt
- Update fehlgeschlagen
- Benutzerkonto kompromittiert
- Cloud-Ressource gelöscht
- Standort nicht erreichbar
Merksatz:
Backup ist nicht nur Datensicherung,
sondern Teil der Wiederherstellungsstrategie.
---
**Warum Backup wichtig ist**
Daten können auf viele Arten verloren gehen.
Ursachen:
Bedienfehler
Hardwaredefekt
Softwarefehler
Malware
Ransomware
Sabotage
Diebstahl
Feuer
Wasserschaden
Stromausfall
fehlerhafte Updates
falsche Synchronisation
Cloud-Fehlkonfiguration
Merksatz:
Backup schützt nicht vor jedem Vorfall,
aber es ermöglicht Wiederherstellung.
---
**Backup und Restore unterscheiden**
Backup:
Sicherung von Daten,
Systemen
oder Konfigurationen
Restore:
Wiederherstellung aus einer Sicherung
Wichtig:
Ein Backup ist nur dann wertvoll,
wenn der Restore funktioniert.
Merksatz:
Backup ist die Sicherung.
Restore ist die Wiederherstellung.
---
**Backup allein reicht nicht**
Ein Backup-Konzept ist unvollständig,
wenn nicht geklärt ist:
was gesichert wird
wie oft gesichert wird
wohin gesichert wird
wie lange gesichert wird
wer Zugriff hat
wie wiederhergestellt wird
wie Restore getestet wird
wie Backups geschützt werden
wie schnell Systeme wieder laufen müssen
Merksatz:
Backup ohne Restore-Plan ist nur halbe Sicherheit.
---
**Restore-Test**
Ein Restore-Test prüft,
ob eine Wiederherstellung wirklich funktioniert.
Zu prüfen:
Daten vollständig?
Datei lesbar?
Datenbank konsistent?
Anwendung startet?
Rechte korrekt?
Konfiguration passend?
Schlüssel vorhanden?
Wiederherstellungszeit akzeptabel?
Dokumentation korrekt?
Merksatz:
Nur getestete Backups sind verlässliche Backups.
---
**Typische Backup-Ziele**
Backups können gespeichert werden auf:
lokaler Festplatte
NAS
Backup-Server
Bandlaufwerk
externer Festplatte
Cloud-Speicher
Objektspeicher
zweitem Standort
Offline-Medium
Immutable Storage
Merksatz:
Backup-Ziel muss zum Schutzbedarf passen.
---
**Lokales Backup**
Ein lokales Backup liegt in derselben Umgebung wie das Hauptsystem.
Vorteile:
schnelle Wiederherstellung
einfache Verwaltung
gute Kontrolle
geringe Latenz
Nachteile:
anfällig bei Feuer,
Diebstahl,
Ransomware
oder Standortausfall
Merksatz:
Lokales Backup ist schnell,
aber nicht ausreichend gegen Standortausfall.
---
**Externes Backup**
Ein externes Backup liegt getrennt vom Hauptsystem.
Beispiele:
zweiter Standort
Cloud-Speicher
ausgelagerte Festplatte
Bandsicherung außerhalb des Gebäudes
Vorteil:
Schutz bei Standortschaden
Merksatz:
Externes Backup schützt besser gegen lokale Katastrophen.
---
**Offline-Backup**
Ein Offline-Backup ist nicht dauerhaft mit dem produktiven System verbunden.
Vorteile:
besserer Schutz gegen Ransomware
besserer Schutz gegen versehentliches Löschen
besserer Schutz gegen kompromittierte Adminzugänge
Beispiele:
getrennte Festplatte
Band
abgeschottetes Backup-System
zeitweise getrenntes Speichermedium
Merksatz:
Offline-Backup ist nicht dauerhaft erreichbar und dadurch besser geschützt.
---
**Immutable Backup**
Immutable bedeutet:
unveränderlich
Ein Immutable Backup kann für eine festgelegte Zeit nicht verändert oder gelöscht werden.
Schützt gegen:
Ransomware
versehentliche Löschung
kompromittierte Adminzugänge
Manipulation von Sicherungen
Merksatz:
Immutable Backup schützt die Wiederherstellungsmöglichkeit.
---
**3-2-1-Regel**
Die 3-2-1-Regel lautet:
3 Kopien der Daten
2 unterschiedliche Speicherarten
1 Kopie extern oder getrennt
Beispiel:
Produktivdaten
Backup auf NAS
zusätzliches Backup in Cloud oder auf Offline-Medium
Merksatz:
3-2-1 reduziert das Risiko,
dass alle Kopien gleichzeitig verloren gehen.
---
**3-2-1-1-0-Regel**
Eine erweiterte Variante ist:
3 Kopien
2 unterschiedliche Medien
1 Kopie extern
1 Kopie offline oder immutable
0 Fehler bei Restore-Tests
Merksatz:
Die 0 steht für fehlerfrei getestete Wiederherstellung.
---
**Vollbackup**
Ein Vollbackup sichert alle ausgewählten Daten vollständig.
Vorteile:
einfache Wiederherstellung
vollständige Sicherung
weniger Abhängigkeit von anderen Sicherungen
Nachteile:
benötigt viel Speicherplatz
dauert länger
erzeugt mehr Last
Merksatz:
Vollbackup sichert alles,
braucht aber mehr Zeit und Speicher.
---
**Inkrementelles Backup**
Ein inkrementelles Backup sichert nur Änderungen seit dem letzten Backup.
Das letzte Backup kann sein:
Vollbackup
oder
anderes inkrementelles Backup
Vorteile:
schnell
spart Speicherplatz
Nachteile:
Wiederherstellung benötigt mehrere Sicherungen
Kette darf nicht beschädigt sein
Merksatz:
Inkrementell sichert Änderungen seit dem letzten Backup.
---
**Differenzielles Backup**
Ein differenzielles Backup sichert Änderungen seit dem letzten Vollbackup.
Vorteile:
Wiederherstellung einfacher als bei langer inkrementeller Kette
weniger Speicher als tägliches Vollbackup
Nachteile:
wächst bis zum nächsten Vollbackup
Merksatz:
Differenziell sichert Änderungen seit dem letzten Vollbackup.
---
**Vollbackup, inkrementell und differenziell vergleichen**
| Backup-Art | Sichert | Vorteil | Nachteil |
|---|---|---|---|
| Vollbackup | alles | einfache Wiederherstellung | viel Speicher und Zeit |
| inkrementell | Änderungen seit letztem Backup | schnell und platzsparend | Restore braucht Backup-Kette |
| differenziell | Änderungen seit letztem Vollbackup | Restore einfacher als inkrementell | wächst mit der Zeit |
Merksatz:
Vollbackup ist vollständig.
Inkrementell bezieht sich auf letztes Backup.
Differenziell bezieht sich auf letztes Vollbackup.
---
**Snapshot**
Ein Snapshot ist eine Momentaufnahme eines Systems,
Datenträgers,
Dateisystems
oder einer VM.
Snapshots sind nützlich vor:
Updates
Konfigurationsänderungen
Tests
Softwareinstallationen
Migrationen
Wichtig:
Snapshot ist nicht automatisch ein vollständiges Backup.
Merksatz:
Snapshot hilft bei schneller Rückkehr,
ersetzt aber kein Backup-Konzept.
---
**Warum Snapshot kein vollständiges Backup ist**
Snapshots liegen oft auf demselben System oder Speicher.
Risiken:
Speicher defekt
Ransomware erreicht Snapshot
Snapshot-Kette beschädigt
Speicherplatz läuft voll
Snapshot wird versehentlich gelöscht
Standortausfall betrifft Snapshot ebenfalls
Merksatz:
Snapshot ist praktisch,
aber kein Ersatz für getrennte Sicherung.
---
**Image-Backup**
Ein Image-Backup sichert ein komplettes Systemabbild.
Typische Inhalte:
Betriebssystem
Anwendungen
Konfiguration
Dateien
Bootinformationen
Vorteil:
gesamtes System kann wiederhergestellt werden
Merksatz:
Image-Backup sichert ein komplettes Systemabbild.
---
**Dateibasiertes Backup**
Ein dateibasiertes Backup sichert ausgewählte Dateien und Ordner.
Geeignet für:
Benutzerdateien
Projektdaten
Dokumente
Konfigurationsdateien
Exportdateien
Merksatz:
Dateibasiertes Backup sichert ausgewählte Dateien und Ordner.
---
**Datenbank-Backup**
Datenbanken brauchen besondere Sicherungsverfahren.
Wichtig:
Konsistenz
Transaktionen
Schreibzugriffe
Zeitpunkt der Sicherung
Wiederherstellungstest
Point-in-Time-Recovery je nach System
Merksatz:
Datenbankdateien nicht blind kopieren,
sondern datenbankgerechte Backups nutzen.
---
**Konsistentes Backup**
Ein konsistentes Backup stellt sicher,
dass Daten in einem gültigen Zustand gesichert werden.
Beispiel:
Eine Datenbank darf nicht mitten in einer Transaktion unsauber kopiert werden.
Mittel:
Datenbankdump
Anwendungsstopp
Snapshot mit Anwendungskonsistenz
Backup-Agent
Transaktionslogs
Merksatz:
Konsistenz ist bei Datenbanken und Anwendungen besonders wichtig.
---
**Point-in-Time-Recovery**
Point-in-Time-Recovery bedeutet:
Wiederherstellung auf einen bestimmten Zeitpunkt.
Beispiel:
Datenbank wird auf den Zustand von 10:15 Uhr zurückgesetzt.
Nützlich bei:
versehentlichem Löschen
Datenbankfehler
fehlerhafter Import
beschädigten Daten
Merksatz:
Point-in-Time-Recovery stellt gezielt einen früheren Zeitpunkt wieder her.
---
**RPO**
RPO steht für:
Recovery Point Objective
Frage:
Wie viel Datenverlust ist maximal akzeptabel?
Beispiel:
RPO 1 Stunde bedeutet:
Es dürfen höchstens Daten von einer Stunde verloren gehen.
Merksatz:
RPO beschreibt maximal akzeptablen Datenverlust.
---
**RTO**
RTO steht für:
Recovery Time Objective
Frage:
Wie lange darf die Wiederherstellung dauern?
Beispiel:
RTO 4 Stunden bedeutet:
Der Dienst soll spätestens nach 4 Stunden wieder laufen.
Merksatz:
RTO beschreibt maximal akzeptable Wiederherstellungszeit.
---
**RPO und RTO unterscheiden**
| Begriff | Frage | Beispiel |
|---|---|---|
| RPO | Wie viel Datenverlust ist erlaubt? | maximal 1 Stunde |
| RTO | Wie lange darf Wiederherstellung dauern? | maximal 4 Stunden |
Merksatz:
RPO = Datenverlust.
RTO = Zeit bis Wiederherstellung.
---
**Backup-Frequenz**
Die Backup-Frequenz beschreibt,
wie oft gesichert wird.
Sie hängt ab von:
Änderungsrate der Daten
Schutzbedarf
RPO
Speicherplatz
Systemlast
Wiederherstellungsanforderung
Kosten
Merksatz:
Je kleiner das erlaubte RPO,
desto häufiger muss gesichert werden.
---
**Aufbewahrungszeit**
Die Aufbewahrungszeit beschreibt,
wie lange Backups behalten werden.
Zu beachten:
gesetzliche Vorgaben
interne Regeln
Speicherplatz
Datenschutz
Wiederherstellungsbedarf
Schutz vor später entdeckten Fehlern
Merksatz:
Backups müssen lange genug,
aber nicht unbegrenzt ohne Grund aufbewahrt werden.
---
**Retention**
Retention bedeutet:
Aufbewahrungsregel für Backups.
Beispiele:
tägliche Backups 14 Tage behalten
wöchentliche Backups 8 Wochen behalten
monatliche Backups 12 Monate behalten
Merksatz:
Retention regelt,
wann alte Backups gelöscht werden.
---
**Großvater-Vater-Sohn-Prinzip**
Das Großvater-Vater-Sohn-Prinzip ist ein Rotationsschema.
Typisch:
Sohn:
tägliche Sicherung
Vater:
wöchentliche Sicherung
Großvater:
monatliche Sicherung
Merksatz:
Großvater-Vater-Sohn kombiniert tägliche,
wöchentliche
und monatliche Backups.
---
**Backup-Verschlüsselung**
Backups sollten verschlüsselt werden,
besonders wenn sie sensible Daten enthalten
oder extern gespeichert werden.
Wichtig:
Schlüssel sicher aufbewahren
Zugriff begrenzen
Wiederherstellung mit Schlüssel testen
Schlüsselverlust vermeiden
Merksatz:
Verschlüsseltes Backup ist nur nutzbar,
wenn der Schlüssel verfügbar ist.
---
**Backup-Zugriffsrechte**
Backups enthalten oft besonders viele Daten.
Deshalb müssen Zugriffe streng begrenzt werden.
Zu vermeiden:
Jeder kann Backups lesen.
normales Benutzerkonto kann Backups löschen.
Backup-Admin nutzt Alltagskonto.
Ransomware kann Backup-Speicher erreichen.
Dienstkonto hat zu viele Rechte.
Merksatz:
Backups brauchen stärkeren Schutz als viele Produktivdaten.
---
**Backup und Ransomware**
Ransomware versucht häufig,
Backups zu löschen oder zu verschlüsseln.
Schutzmaßnahmen:
Immutable Backup
Offline-Backup
getrennte Zugangsdaten
getrenntes Backupnetz
keine normalen Schreibrechte
MFA für Backup-Konsole
Backup-Logs überwachen
Restore regelmäßig testen
Merksatz:
Backups müssen vor dem Angreifer geschützt werden,
nicht nur vor Datenverlust.
---
**Backup-Netz**
Ein Backup-Netz ist ein getrenntes Netzwerk für Backup-Verkehr oder Backup-Systeme.
Vorteile:
weniger Angriffsfläche
weniger Störung des Produktivnetzes
bessere Kontrolle
Schutz vor lateraler Bewegung
gezieltere Firewall-Regeln
Merksatz:
Backup-Systeme sollten nicht frei aus jedem Netz erreichbar sein.
---
**Backup-Monitoring**
Backup-Monitoring prüft,
ob Sicherungen erfolgreich laufen.
Zu überwachen:
letzter erfolgreicher Lauf
Fehlermeldungen
Datenmenge
Laufzeit
Speicherziel
Kapazität
Verschlüsselung
Aufbewahrung
Restore-Tests
Merksatz:
Ein fehlgeschlagenes Backup muss auffallen,
bevor ein Restore gebraucht wird.
---
**Backup-Logs**
Backup-Logs zeigen,
was bei einer Sicherung passiert ist.
Zu prüfen:
Startzeit
Endzeit
Erfolg oder Fehler
gesicherte Datenmenge
übersprungene Dateien
Warnungen
Zielsystem
Speicherplatz
Berechtigungsfehler
Merksatz:
Backup-Logs regelmäßig auswerten.
---
**Restore-Reihenfolge**
Bei Wiederherstellung ist die Reihenfolge wichtig.
Beispiele:
Netzwerk zuerst
dann
Verzeichnisdienst
dann
Speicher
dann
Datenbank
dann
Anwendung
dann
Benutzerzugriff
Merksatz:
Systeme hängen voneinander ab;
Restore braucht Reihenfolge.
---
**Abhängigkeiten beim Restore**
Vor einem Restore prüfen:
Welche Systeme hängen voneinander ab?
Welche Datenbanken werden benötigt?
Welche Zugangsdaten werden gebraucht?
Welche Zertifikate werden gebraucht?
Welche DNS-Namen müssen stimmen?
Welche Firewall-Regeln sind nötig?
Welche Speicherziele sind erreichbar?
Welche Versionen passen zusammen?
Merksatz:
Restore scheitert oft an vergessenen Abhängigkeiten.
---
**Notfallhandbuch**
Ein Notfallhandbuch beschreibt,
was bei schweren Störungen oder Sicherheitsvorfällen zu tun ist.
Inhalte:
Ansprechpartner
Prioritäten
Systeme
Wiederherstellungsreihenfolge
Zugangsdatenablage
Kommunikationswege
Eskalationswege
Backup-Orte
Restore-Anleitungen
externe Dienstleister
Entscheidungsbefugnisse
Merksatz:
Im Notfall darf nicht erst gesucht werden,
wer was weiß.
---
**Notfallkontaktliste**
Eine Notfallkontaktliste enthält wichtige Kontakte.
Beispiele:
interne IT
Geschäftsleitung
Datenschutzbeauftragte
Sicherheitsverantwortliche
Internetprovider
Cloud-Anbieter
Hardware-Support
Softwaredienstleister
Versicherer
Behörden je nach Vorfall
Merksatz:
Notfallkontakte müssen aktuell und erreichbar sein.
---
**Priorisierung im Notfall**
Nicht jedes System ist gleich wichtig.
Zu priorisieren nach:
Geschäftsprozesse
kritische Dienste
Benutzeranzahl
Datenklassifizierung
Abhängigkeiten
RTO
RPO
Sicherheitslage
rechtliche Anforderungen
Merksatz:
Im Notfall zuerst die wichtigsten Dienste wiederherstellen.
---
**Business Continuity**
Business Continuity bedeutet:
Geschäftsprozesse sollen trotz Störung weiterlaufen oder schnell wieder anlaufen.
Dazu gehören:
Notfallplanung
Ersatzprozesse
Backup
Wiederanlauf
Kommunikation
Verantwortlichkeiten
Tests
Merksatz:
Business Continuity betrachtet nicht nur IT,
sondern den Betrieb insgesamt.
---
**Disaster Recovery**
Disaster Recovery beschreibt die Wiederherstellung von IT nach schweren Störungen.
Beispiele:
Rechenzentrumsausfall
Brand
Ransomware
massiver Hardwaredefekt
Cloud-Ausfall
Datenverlust
Merksatz:
Disaster Recovery ist IT-Wiederherstellung nach schwerem Vorfall.
---
**Failover**
Failover bedeutet:
Ein Dienst wird bei Ausfall automatisch oder manuell auf ein Ersatzsystem umgeschaltet.
Beispiele:
zweiter Server übernimmt
zweite Firewall übernimmt
anderer Standort übernimmt
Datenbank-Replikat wird aktiv
Merksatz:
Failover reduziert Ausfallzeit,
ersetzt aber kein Backup.
---
**Redundanz**
Redundanz bedeutet:
wichtige Komponenten sind mehrfach vorhanden.
Beispiele:
zwei Netzteile
zwei Firewalls
mehrere Server
mehrere Internetleitungen
RAID
Cluster
mehrere Standorte
Merksatz:
Redundanz erhöht Verfügbarkeit,
ersetzt aber kein Backup.
---
**Replikation**
Replikation bedeutet:
Daten werden auf ein anderes System kopiert,
oft nahezu in Echtzeit.
Vorteile:
schnelle Umschaltung
höhere Verfügbarkeit
Risiko:
Fehler,
Löschung
oder Verschlüsselung können mitrepliziert werden.
Merksatz:
Replikation ist kein Backup.
---
**Backup, Redundanz und Replikation unterscheiden**
| Begriff | Ziel | Grenze |
|---|---|---|
| Backup | Wiederherstellung alter Zustände | Restore dauert |
| Redundanz | Ausfall vermeiden oder abfedern | schützt nicht vor Datenfehlern |
| Replikation | Daten auf zweitem System aktuell halten | Fehler werden oft mitkopiert |
Merksatz:
Backup schützt Wiederherstellung.
Redundanz schützt Verfügbarkeit.
Replikation hält Daten aktuell.
---
**Notfallübung**
Eine Notfallübung testet,
ob Notfallpläne funktionieren.
Zu prüfen:
Erreichen wir Kontakte?
Finden wir Dokumentation?
Funktionieren Zugänge?
Können wir Backups wiederherstellen?
Stimmen RTO und RPO?
Funktioniert Kommunikation?
Wer entscheidet was?
Wo fehlen Informationen?
Merksatz:
Notfallpläne müssen geübt werden.
---
**Kommunikation im Notfall**
Im Notfall muss klar sein:
Wer informiert wen?
Wer entscheidet?
Welche Kanäle werden genutzt?
Was wird Benutzern gesagt?
Was wird Kunden gesagt?
Was wird dokumentiert?
Wer spricht mit Dienstleistern?
Wer spricht mit Behörden,
falls nötig?
Merksatz:
Schlechte Kommunikation verschlimmert technische Notfälle.
---
**Dokumentation beim Restore**
Beim Restore dokumentieren:
Grund der Wiederherstellung
Zeitpunkt
betroffene Systeme
verwendetes Backup
Restore-Schritte
Probleme
Dauer
Ergebnis
Datenverlust
beteiligte Personen
Nacharbeiten
Merksatz:
Restore-Dokumentation hilft bei Nachvollziehbarkeit und Verbesserung.
---
**Nacharbeiten nach Restore**
Nach einem Restore prüfen:
Funktioniert der Dienst?
Sind Daten vollständig?
Stimmen Benutzerrechte?
Sind Logs aktiv?
Funktionieren Backups wieder?
Ist Monitoring aktiv?
Sind Zertifikate gültig?
Sind Schnittstellen erreichbar?
Gibt es Sicherheitslücken?
Muss Ursache behoben werden?
Merksatz:
Nach Restore ist die Arbeit nicht automatisch beendet.
---
**Typische Fehler bei Backup und Restore**
Häufige Fehler:
Backups nie getestet
Backupziel voll
Backup läuft mit Fehlern
Backups nicht verschlüsselt
Schlüssel nicht auffindbar
Backups im selben Netz wie Ransomware
keine Offline- oder Immutable-Kopie
nur Synchronisation statt Backup
Datenbank unsauber gesichert
Restore-Reihenfolge unbekannt
Dokumentation veraltet
alte Systeme nicht mehr kompatibel
Merksatz:
Der häufigste Backup-Fehler ist:
Man merkt das Problem erst beim Restore.
---
**Checkliste: Backup-Konzept prüfen**
Welche Daten sind kritisch?
Welche Systeme sind kritisch?
RPO festlegen.
RTO festlegen.
Backup-Art wählen.
Backup-Frequenz festlegen.
Aufbewahrung festlegen.
Backup-Ziel festlegen.
Verschlüsselung prüfen.
Zugriffsschutz prüfen.
Offline- oder Immutable-Kopie planen.
Backup-Logs überwachen.
Restore regelmäßig testen.
Notfallhandbuch erstellen.
Verantwortlichkeiten festlegen.
Dokumentation aktuell halten.
Merksatz:
Backup-Konzept muss geplant,
geschützt,
überwacht
und getestet werden.
---
**Checkliste: Restore durchführen**
Vorfall bewerten.
Ursache eingrenzen.
Passendes Backup auswählen.
Integrität des Backups prüfen.
Abhängigkeiten prüfen.
Zielsystem vorbereiten.
Restore durchführen.
Funktion testen.
Rechte prüfen.
Logs prüfen.
Monitoring prüfen.
Backupbetrieb wieder aktivieren.
Benutzer informieren.
Ergebnis dokumentieren.
Ursache dauerhaft beheben.
Merksatz:
Restore ist ein kontrollierter Prozess,
nicht nur Zurückkopieren von Dateien.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist ein Backup?
- Was ist ein Restore?
- Warum ist ein Restore-Test wichtig?
- Was bedeutet die 3-2-1-Regel?
- Was ist ein Vollbackup?
- Was ist ein inkrementelles Backup?
- Was ist ein differenzielles Backup?
- Was ist ein Snapshot?
- Warum ersetzt ein Snapshot kein Backup?
- Was ist ein Image-Backup?
- Warum brauchen Datenbanken besondere Backups?
- Was bedeutet RPO?
- Was bedeutet RTO?
- Was ist Retention?
- Was ist das Großvater-Vater-Sohn-Prinzip?
- Warum sollten Backups verschlüsselt werden?
- Was ist ein Immutable Backup?
- Warum ist Replikation kein Backup?
- Was ist Disaster Recovery?
- Was ist Business Continuity?
- Was ist ein Notfallhandbuch?
---
**Typische Prüfungsfallen**
Backup und Restore unterscheiden.
Backup verhindert keinen Angriff.
Backup ermöglicht Wiederherstellung.
Backup ohne Restore-Test ist unsicher.
Synchronisation ist kein Backup.
Replikation ist kein Backup.
Redundanz ist kein Backup.
Snapshot ist nicht automatisch Backup.
Vollbackup sichert alles.
Inkrementell sichert seit letztem Backup.
Differenziell sichert seit letztem Vollbackup.
RPO ist Datenverlust.
RTO ist Wiederherstellungszeit.
Backups müssen geschützt werden.
Backups können Ziel von Ransomware sein.
Verschlüsselung braucht Schlüsselverwaltung.
Datenbank-Backups müssen konsistent sein.
Restore braucht Reihenfolge.
Notfallhandbuch aktuell halten.
Notfallpläne müssen getestet werden.
Nach Restore Funktion und Sicherheit prüfen.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| Backup | Sicherung von Daten oder Systemen |
| Restore | Wiederherstellung aus Sicherung |
| Restore-Test | Prüfung der Wiederherstellung |
| lokales Backup | Sicherung in gleicher Umgebung |
| externes Backup | Sicherung an getrenntem Ort |
| Offline-Backup | nicht dauerhaft verbundenes Backup |
| Immutable Backup | unveränderliches Backup |
| 3-2-1-Regel | drei Kopien, zwei Medien, eine externe Kopie |
| Vollbackup | vollständige Sicherung |
| inkrementelles Backup | Änderungen seit letztem Backup |
| differenzielles Backup | Änderungen seit letztem Vollbackup |
| Snapshot | Momentaufnahme |
| Image-Backup | vollständiges Systemabbild |
| dateibasiertes Backup | Sicherung ausgewählter Dateien |
| Datenbank-Backup | konsistente Sicherung einer Datenbank |
| Point-in-Time-Recovery | Wiederherstellung zu bestimmtem Zeitpunkt |
| RPO | maximal akzeptabler Datenverlust |
| RTO | maximal akzeptable Wiederherstellungszeit |
| Backup-Frequenz | Häufigkeit der Sicherung |
| Retention | Aufbewahrungsregel |
| Großvater-Vater-Sohn | Backup-Rotationsschema |
| Backup-Verschlüsselung | Schutz gesicherter Daten |
| Backup-Netz | getrenntes Netz für Backup |
| Backup-Monitoring | Überwachung von Sicherungen |
| Notfallhandbuch | Anleitung für schwere Störungen |
| Business Continuity | Aufrechterhaltung von Geschäftsprozessen |
| Disaster Recovery | IT-Wiederherstellung nach schwerem Vorfall |
| Failover | Umschaltung auf Ersatzsystem |
| Redundanz | mehrfach vorhandene Komponenten |
| Replikation | Kopie aktueller Daten auf anderes System |
| Notfallübung | Test des Notfallplans |
---
**IHK-sichere Kurzformulierung**
Ein Backup ist eine Sicherung von Daten, Systemen oder Konfigurationen, während Restore die Wiederherstellung aus dieser Sicherung bezeichnet. Backups schützen nicht direkt vor Angriffen oder Ausfällen, ermöglichen aber die Wiederherstellung nach Datenverlust, Ransomware, Fehlkonfiguration oder Hardwaredefekt. Wichtige Konzepte sind Vollbackup, inkrementelles Backup, differenzielles Backup, Snapshot, Image-Backup, RPO, RTO, Retention, 3-2-1-Regel, Offline-Backup und Immutable Backup. Backups müssen geschützt, verschlüsselt, überwacht und regelmäßig durch Restore-Tests geprüft werden. Replikation, Redundanz und Synchronisation ersetzen kein Backup. Ein gutes Notfallkonzept umfasst Wiederherstellungsreihenfolge, Verantwortlichkeiten, Notfallhandbuch, Kommunikation und regelmäßige Übungen.
---
**Merksätze**
Backup = Sicherung.
Restore = Wiederherstellung.
Backup ohne Restore-Test ist unsicher.
Backup schützt nicht vor jedem Vorfall,
aber ermöglicht Wiederherstellung.
Synchronisation ist kein Backup.
Replikation ist kein Backup.
Redundanz ist kein Backup.
Snapshot ist nicht automatisch Backup.
Lokales Backup ist schnell,
aber nicht genug gegen Standortausfall.
Externes Backup schützt gegen Standortschaden.
Offline-Backup schützt gegen dauerhaften Zugriff durch Angreifer.
Immutable Backup schützt vor Veränderung und Löschung.
3-2-1 reduziert Gesamtrisiko.
Vollbackup sichert alles.
Inkrementell sichert Änderungen seit letztem Backup.
Differenziell sichert Änderungen seit letztem Vollbackup.
Datenbank-Backups müssen konsistent sein.
Point-in-Time-Recovery stellt einen Zeitpunkt wieder her.
RPO = erlaubter Datenverlust.
RTO = erlaubte Wiederherstellungszeit.
Backup-Frequenz hängt vom RPO ab.
Retention regelt Aufbewahrung.
Verschlüsseltes Backup braucht verfügbaren Schlüssel.
Backups brauchen strenge Zugriffsrechte.
Ransomware greift oft Backups an.
Backup-Monitoring ist Pflicht.
Backup-Logs regelmäßig prüfen.
Restore braucht Reihenfolge.
Abhängigkeiten vor Restore prüfen.
Notfallhandbuch aktuell halten.
Business Continuity betrachtet Geschäftsprozesse.
Disaster Recovery betrachtet IT-Wiederherstellung.
Failover reduziert Ausfallzeit.
Notfallpläne üben.
Kommunikation im Notfall vorbereiten.
Restore dokumentieren.
Nach Restore Funktion,
Sicherheit
und Backupbetrieb prüfen.
# 17.8 Dokumentation, Change Management und sichere Administration in der Praxis
Dokumentation und Change Management sorgen dafür,
dass IT-Systeme nachvollziehbar,
wartbar
und sicher betrieben werden können.
In der Praxis reicht es nicht,
dass ein System irgendwie funktioniert.
Wichtig ist auch:
- Was wurde eingerichtet?
- Warum wurde es eingerichtet?
- Wer ist verantwortlich?
- Welche Abhängigkeiten gibt es?
- Welche Zugangsdaten oder Rollen werden benötigt?
- Welche Änderungen wurden durchgeführt?
- Wie kann ein Fehler behoben werden?
- Wie kann das System wiederhergestellt werden?
Merksatz:
Gute Administration ist nicht nur Technik,
sondern auch Nachvollziehbarkeit.
---
**Warum Dokumentation wichtig ist**
Ohne Dokumentation entstehen viele Probleme.
Beispiele:
niemand kennt die IP-Adresse eines Servers
Firewall-Regeln sind unverständlich
Passwörter oder Schlüssel sind unklar verwaltet
Abhängigkeiten sind unbekannt
alte Systeme werden vergessen
Fehler werden mehrfach gesucht
Vertretung ist schwierig
Notfälle dauern länger
Änderungen können nicht nachvollzogen werden
Merksatz:
Was nicht dokumentiert ist,
ist im Betrieb schwer kontrollierbar.
---
**Dokumentation als Sicherheitsmaßnahme**
Dokumentation ist auch eine Sicherheitsmaßnahme.
Sie hilft bei:
Rechteprüfung
Notfallmaßnahmen
Backup und Restore
Schwachstellenmanagement
Patchmanagement
Incident Response
Auditierung
Zugriffskontrolle
Change Management
Betriebssicherheit
Merksatz:
Gute Dokumentation reduziert Fehler,
Ausfallzeiten
und Sicherheitsrisiken.
---
**Was dokumentiert werden sollte**
Typische Inhalte:
Systeme
Server
Netzwerkgeräte
IP-Adressen
Hostnamen
Dienste
Ports
Firewall-Regeln
VLANs
Subnetze
DNS-Einträge
DHCP-Bereiche
Benutzerrollen
Gruppen
Backup-Ziele
Restore-Abläufe
Zertifikate
Lizenzen
Wartungsverträge
Verantwortliche
Notfallkontakte
Merksatz:
Dokumentiert werden sollte alles,
was für Betrieb,
Sicherheit
und Wiederherstellung wichtig ist.
---
**Systemdokumentation**
Eine Systemdokumentation beschreibt ein einzelnes System oder einen Dienst.
Typische Inhalte:
Systemname
Zweck
Standort
IP-Adresse
Betriebssystem
installierte Dienste
offene Ports
Abhängigkeiten
verantwortliche Person
Backup-Regel
Monitoring-Regel
Wartungsfenster
Besonderheiten
Wiederherstellungsschritte
Merksatz:
Systemdokumentation erklärt,
wofür ein System da ist
und wie es betrieben wird.
---
**Netzwerkdokumentation**
Eine Netzwerkdokumentation beschreibt Aufbau und Kommunikation im Netzwerk.
Typische Inhalte:
Netzplan
Subnetze
VLANs
Router
Switches
Firewalls
WLANs
VPNs
IP-Adressbereiche
DHCP-Bereiche
DNS-Struktur
Trunk-Ports
Access-Ports
Uplinks
WAN-Anbindungen
Merksatz:
Netzwerkdokumentation macht Verbindungen und Abhängigkeiten sichtbar.
---
**IP-Adressdokumentation**
IP-Adressen sollten nachvollziehbar verwaltet werden.
Zu dokumentieren:
IP-Adresse
Hostname
Gerät
Standort
Zweck
MAC-Adresse bei Bedarf
DHCP oder statisch
VLAN
Verantwortlicher
Reservierung
Datum der Änderung
Merksatz:
IP-Adressen nicht nur merken,
sondern sauber verwalten.
---
**IPAM**
IPAM steht für:
IP Address Management
IPAM beschreibt die strukturierte Verwaltung von IP-Adressen,
Subnetzen
und Zuordnungen.
Vorteile:
weniger IP-Konflikte
bessere Übersicht
klare Reservierungen
einfachere Fehlersuche
bessere Planung
saubere Dokumentation
Merksatz:
IPAM ist geordnete IP-Adressverwaltung.
---
**Netzplan**
Ein Netzplan stellt die Netzwerkstruktur grafisch dar.
Er kann zeigen:
Standorte
Router
Firewalls
Switches
Server
Clients
VLANs
Subnetze
DMZ
VPN-Verbindungen
Internetzugänge
wichtige Dienste
Merksatz:
Netzplan zeigt,
wie Systeme miteinander verbunden sind.
---
**Physischer und logischer Netzplan**
Physischer Netzplan:
zeigt Geräte,
Kabel,
Ports,
Racks
und Standorte
Logischer Netzplan:
zeigt VLANs,
Subnetze,
Routing,
Firewall-Zonen
und Dienste
Merksatz:
Physisch zeigt Verkabelung.
Logisch zeigt Kommunikationsstruktur.
---
**Portdokumentation**
Bei Switches und Netzwerkgeräten sollten Ports dokumentiert werden.
Zu dokumentieren:
Portnummer
angeschlossenes Gerät
VLAN
Access oder Trunk
Geschwindigkeit
PoE
Beschreibung
Patchpanel-Port
Raum oder Dose
Merksatz:
Portdokumentation spart Zeit bei Fehlersuche und Umzügen.
---
**Firewall-Dokumentation**
Firewall-Regeln sollten verständlich dokumentiert sein.
Wichtige Angaben:
Regelname
Zweck
Quelle
Ziel
Port
Protokoll
Richtung
Aktion
Verantwortlicher
Datum
Ablaufdatum bei temporären Regeln
Ticket oder Änderungsnummer
Merksatz:
Jede Firewall-Regel braucht einen Zweck.
---
**Temporäre Firewall-Regeln**
Temporäre Regeln sollten ein Ablaufdatum haben.
Problem ohne Ablaufdatum:
Testregel bleibt dauerhaft aktiv.
Angriffsfläche wächst.
Niemand kennt den Zweck.
Regel wird vergessen.
Merksatz:
Temporäre Regeln ohne Ablaufdatum werden oft zu dauerhaften Risiken.
---
**DNS-Dokumentation**
DNS-Einträge sollten sauber gepflegt werden.
Zu dokumentieren:
Name
IP-Adresse
Recordtyp
Zweck
Verantwortlicher
TTL
internes oder externes DNS
betroffener Dienst
Änderungsdatum
Merksatz:
DNS ist kritisch,
weil viele Dienste von Namen abhängig sind.
---
**Zertifikatsdokumentation**
Zertifikate müssen überwacht und dokumentiert werden.
Wichtige Angaben:
Domainname
Aussteller
Ablaufdatum
verwendeter Dienst
Speicherort
Erneuerungsverfahren
Verantwortlicher
automatische Erneuerung ja oder nein
Merksatz:
Abgelaufene Zertifikate verursachen vermeidbare Ausfälle.
---
**Backup-Dokumentation**
Backup-Dokumentation beschreibt,
was wie gesichert wird.
Wichtige Angaben:
System
Datenumfang
Backup-Art
Backup-Ziel
Frequenz
Aufbewahrung
Verschlüsselung
Verantwortlicher
letzter Restore-Test
Wiederherstellungsanleitung
Merksatz:
Backup-Dokumentation muss auch den Restore beschreiben.
---
**Berechtigungsdokumentation**
Berechtigungen sollten nachvollziehbar dokumentiert werden.
Zu dokumentieren:
Rolle
Gruppe
Zweck
zugeordnete Rechte
Verantwortlicher
Genehmigungsprozess
Rezertifizierung
Kritikalität
externe Zugriffe
Merksatz:
Rechte müssen erklärbar und überprüfbar sein.
---
**Betriebsdokumentation**
Betriebsdokumentation beschreibt,
wie ein System im Alltag betrieben wird.
Inhalte:
Start und Stopp
Wartung
Updates
Monitoring
Logs
Backup
typische Fehler
Eskalationswege
Ansprechpartner
Notfallmaßnahmen
Merksatz:
Betriebsdokumentation hilft beim täglichen Betrieb.
---
**Runbook**
Ein Runbook ist eine Schritt-für-Schritt-Anleitung für wiederkehrende Aufgaben oder Störungen.
Beispiele:
Dienst neu starten
Zertifikat erneuern
Backup prüfen
Speicherplatz freigeben
Benutzer entsperren
VPN-Störung prüfen
Datenbank wiederherstellen
Notfallzugang aktivieren
Merksatz:
Runbook macht Abläufe wiederholbar und nachvollziehbar.
---
**Standard Operating Procedure**
Standard Operating Procedure wird oft abgekürzt:
SOP
Eine SOP beschreibt einen standardisierten Ablauf.
Beispiele:
Benutzer anlegen
Notebook ausgeben
Server patchen
Firewall-Regel beantragen
Backup-Restore testen
Sicherheitsvorfall melden
Merksatz:
SOP = standardisierte Vorgehensweise.
---
**Wissensdatenbank**
Eine Wissensdatenbank sammelt wiederverwendbares Wissen.
Beispiele:
Fehlerlösungen
Anleitungen
Standardprozesse
häufige Fragen
Konfigurationshinweise
Netzpläne
Checklisten
Lessons Learned
Merksatz:
Wissensdatenbank verhindert,
dass Wissen nur in einzelnen Köpfen bleibt.
---
**Dokumentation aktuell halten**
Dokumentation ist nur hilfreich,
wenn sie aktuell bleibt.
Typische Probleme:
Server wurde geändert,
Dokumentation nicht
IP-Adresse wurde geändert,
Liste nicht
Firewall-Regel wurde gelöscht,
Dokumentation nicht
Dienst wurde umgezogen,
Runbook nicht angepasst
Merksatz:
Veraltete Dokumentation kann gefährlicher sein als keine Dokumentation,
weil sie falsche Sicherheit gibt.
---
**Dokumentationsqualität**
Gute Dokumentation ist:
verständlich
aktuell
auffindbar
vollständig genug
nicht unnötig kompliziert
einheitlich strukturiert
versioniert
überprüfbar
für Vertretung nutzbar
Merksatz:
Dokumentation muss im Alltag nutzbar sein.
---
**Change Management**
Change Management bedeutet:
Änderungen werden kontrolliert geplant,
bewertet,
freigegeben,
umgesetzt,
getestet
und dokumentiert.
Typische Änderungen:
Firewall-Regel ändern
Server aktualisieren
DNS-Eintrag ändern
Zertifikat erneuern
Benutzerrechte ändern
neue Software installieren
Netzwerk umkonfigurieren
Backup-Plan ändern
Cloud-Rolle vergeben
Datenbank migrieren
Merksatz:
Change Management kontrolliert Änderungen im IT-Betrieb.
---
**Warum Change Management wichtig ist**
Unkontrollierte Änderungen führen oft zu Fehlern.
Beispiele:
Dienst fällt aus
Firewall blockiert Anwendung
falscher DNS-Eintrag
Benutzer verlieren Zugriff
Backup läuft nicht mehr
Sicherheitslücke entsteht
Dokumentation stimmt nicht mehr
niemand weiß,
was geändert wurde
Merksatz:
Viele Störungen entstehen durch nicht dokumentierte Änderungen.
---
**Change**
Ein Change ist eine geplante Änderung an einem IT-System,
einem Dienst,
einer Konfiguration
oder einem Prozess.
Beispiele:
Update installieren
VLAN ändern
Server verschieben
Rechte anpassen
Zertifikat ersetzen
neue Anwendung bereitstellen
Merksatz:
Change = geplante Änderung im IT-Betrieb.
---
**Standard Change**
Ein Standard Change ist eine wiederkehrende,
bekannte
und risikoarme Änderung.
Beispiele:
Standardbenutzer anlegen
Drucker zuweisen
Routineupdate nach Prozess
Passwort zurücksetzen
freigegebene Standardsoftware installieren
Merkmale:
häufig durchgeführt
dokumentierter Ablauf
geringes Risiko
meist vorab genehmigt
Merksatz:
Standard Change ist bekannte Routineänderung.
---
**Normal Change**
Ein Normal Change ist eine geplante Änderung,
die bewertet und freigegeben werden muss.
Beispiele:
neue Firewall-Regel
größeres Update
neue Serverrolle
Änderung an Produktivdatenbank
Netzwerkänderung
Umzug eines Dienstes
Merksatz:
Normal Change braucht Prüfung und Freigabe.
---
**Emergency Change**
Ein Emergency Change ist eine dringende Änderung,
die schnell durchgeführt werden muss.
Beispiele:
kritische Sicherheitslücke schließen
Produktionsausfall beheben
kompromittierten Zugang sperren
Firewall-Regel im Angriff anpassen
defekten Dienst kurzfristig umstellen
Wichtig:
auch Emergency Changes müssen nachträglich dokumentiert werden.
Merksatz:
Emergency Change ist dringend,
aber nicht dokumentationsfrei.
---
**Change Request**
Ein Change Request ist ein Änderungsantrag.
Typische Inhalte:
Beschreibung der Änderung
Grund
betroffene Systeme
Risiko
geplanter Zeitpunkt
Verantwortlicher
Testplan
Rollback-Plan
Freigabe
Kommunikationsbedarf
Merksatz:
Change Request beschreibt,
was geändert werden soll und warum.
---
**Risikobewertung bei Changes**
Vor Änderungen sollte das Risiko bewertet werden.
Fragen:
Welche Systeme sind betroffen?
Welche Benutzer sind betroffen?
Kann es Ausfall geben?
Gibt es Sicherheitsrisiken?
Gibt es Abhängigkeiten?
Gibt es ein Backup?
Gibt es einen Rollback-Plan?
Wurde getestet?
Wann ist ein geeignetes Wartungsfenster?
Merksatz:
Änderung ohne Risikobewertung ist Blindflug.
---
**Wartungsfenster**
Ein Wartungsfenster ist ein geplanter Zeitraum für Änderungen.
Ziel:
Auswirkungen auf Benutzer reduzieren
Beteiligte informieren
Ressourcen einplanen
Rollback ermöglichen
Monitoring beobachten
Merksatz:
Wartungsfenster reduziert Betriebsrisiken bei Änderungen.
---
**Rollback-Plan**
Ein Rollback-Plan beschreibt,
wie eine Änderung rückgängig gemacht werden kann.
Beispiele:
Backup zurückspielen
Snapshot zurücksetzen
alte Konfigurationsdatei wiederherstellen
alte Softwareversion installieren
DNS-Eintrag zurücksetzen
Firewall-Regel entfernen
Merksatz:
Vor Änderung wissen,
wie man zurückkommt.
---
**Testplan**
Ein Testplan beschreibt,
wie geprüft wird,
ob eine Änderung erfolgreich war.
Beispiele:
Dienst startet
Webseite erreichbar
Login funktioniert
Datenbank erreichbar
Backup läuft
Monitoring grün
Benutzer kann arbeiten
Logs zeigen keine Fehler
Merksatz:
Change ist erst abgeschlossen,
wenn Funktion geprüft wurde.
---
**Kommunikation bei Changes**
Bei Änderungen müssen betroffene Personen informiert werden.
Zu klären:
Wer ist betroffen?
Wann findet Änderung statt?
Welche Einschränkungen gibt es?
Wie lange dauert es?
Was ist nach der Änderung zu prüfen?
Wer ist Ansprechpartner?
Was passiert bei Problemen?
Merksatz:
Gute Kommunikation verhindert unnötige Störungen und Rückfragen.
---
**Change-Freigabe**
Kritische Änderungen sollten freigegeben werden.
Mögliche Freigaben durch:
Systemverantwortliche
IT-Leitung
Fachbereich
Sicherheitsverantwortliche
Datenschutz
Change Advisory Board je nach Organisation
Merksatz:
Kritische Änderungen nicht ungeprüft durchführen.
---
**Change Advisory Board**
Change Advisory Board wird oft abgekürzt:
CAB
Ein CAB bewertet und genehmigt wichtige Änderungen.
Es prüft zum Beispiel:
Risiko
Auswirkung
Zeitpunkt
Abhängigkeiten
Rollback
Kommunikation
Priorität
Merksatz:
CAB koordiniert wichtige Changes.
---
**Configuration Management**
Configuration Management bedeutet:
Konfigurationen von Systemen werden strukturiert verwaltet.
Dazu gehören:
Soll-Zustand
Ist-Zustand
Änderungen
Versionen
Abhängigkeiten
Dokumentation
Standardisierung
Merksatz:
Configuration Management hält technische Zustände kontrollierbar.
---
**Configuration Item**
Configuration Item wird oft abgekürzt:
CI
Ein CI ist ein verwaltetes Element der IT-Umgebung.
Beispiele:
Server
Anwendung
Datenbank
Switch
Firewall
Laptop
Dienst
Lizenz
Zertifikat
virtuelle Maschine
Merksatz:
CI = verwaltetes IT-Element.
---
**CMDB**
CMDB steht für:
Configuration Management Database
Eine CMDB enthält Informationen über Configuration Items und deren Beziehungen.
Beispiele:
Server gehört zu Anwendung
Anwendung nutzt Datenbank
Datenbank läuft auf VM
VM liegt auf Host
Dienst nutzt Zertifikat
Firewall-Regel erlaubt Zugriff
Merksatz:
CMDB zeigt Systeme und Abhängigkeiten strukturiert.
---
**Asset Management**
Asset Management verwaltet IT-Vermögenswerte.
Beispiele:
Geräte
Server
Laptops
Monitore
Smartphones
Lizenzen
Verträge
Zubehör
Ziel:
wissen,
was vorhanden ist,
wem es gehört,
wo es ist
und welchen Status es hat
Merksatz:
Asset Management verwaltet IT-Bestand.
---
**Inventarisierung**
Inventarisierung ist die Erfassung von IT-Objekten.
Zu erfassen:
Gerätename
Seriennummer
Standort
Benutzer
IP-Adresse
Betriebssystem
Softwarestand
Garantie
Kaufdatum
Zustand
Verantwortlicher
Merksatz:
Ohne Inventar ist Verwaltung und Sicherheit unvollständig.
---
**Lizenzmanagement**
Lizenzmanagement stellt sicher,
dass Software korrekt lizenziert ist.
Zu prüfen:
Anzahl installierter Lizenzen
Anzahl gekaufter Lizenzen
Lizenzbedingungen
Laufzeiten
Abonnements
Wartungsverträge
Nutzerzuordnung
Auditfähigkeit
Merksatz:
Lizenzmanagement verhindert Unterlizenzierung,
unnötige Kosten
und Auditprobleme.
---
**Versionierung von Konfigurationen**
Konfigurationen sollten versioniert werden.
Vorteile:
Änderungen nachvollziehen
alte Zustände wiederherstellen
Fehler vergleichen
Zusammenarbeit ermöglichen
Rollback erleichtern
Beispiele:
Firewall-Konfiguration
Switch-Konfiguration
Skripte
Webserver-Konfiguration
Infrastrukturdefinitionen
Merksatz:
Versionierung macht Änderungen nachvollziehbar.
---
**Konfigurationsbackup**
Viele Geräte brauchen eigene Konfigurationsbackups.
Beispiele:
Switches
Router
Firewalls
WLAN-Controller
NAS
Hypervisor
Backup-Systeme
Merksatz:
Nicht nur Daten,
auch Konfigurationen sichern.
---
**Passwort- und Secret-Dokumentation**
Passwörter,
Tokens
und Schlüssel gehören nicht in normale Dokumentation.
Sie gehören in sichere Systeme wie:
Passwortmanager
Secret Manager
PAM-System
verschlüsselter Tresor
Dokumentation sollte nur beschreiben:
wo Secret verwaltet wird
wer Zugriff beantragen darf
wofür es genutzt wird
Merksatz:
Dokumentation beschreibt Secrets,
speichert sie aber nicht im Klartext.
---
**Sichere Ablage von Dokumentation**
Dokumentation kann selbst sensible Informationen enthalten.
Beispiele:
Netzpläne
IP-Adressen
Firewall-Regeln
Adminwege
Backup-Orte
Systemdetails
Notfallprozesse
Schutzmaßnahmen:
Zugriff begrenzen
Rollen nutzen
Versionierung
Backup
Verschlüsselung je nach Schutzbedarf
Änderungsverlauf
regelmäßige Prüfung
Merksatz:
IT-Dokumentation ist selbst schützenswert.
---
**Lessons Learned**
Lessons Learned bedeutet:
Aus Fehlern,
Störungen
und Projekten werden Verbesserungen abgeleitet.
Fragen:
Was ist passiert?
Warum ist es passiert?
Was hat gut funktioniert?
Was hat nicht funktioniert?
Welche Dokumentation fehlte?
Welche Prozesse müssen angepasst werden?
Welche technische Maßnahme fehlt?
Wie verhindern wir Wiederholung?
Merksatz:
Lessons Learned macht Erfahrungen nutzbar.
---
**Post-Incident-Review**
Ein Post-Incident-Review ist die Auswertung nach einem Vorfall.
Ziel:
Ursache verstehen
Reaktion bewerten
Dokumentation verbessern
Sicherheitslücken schließen
Prozesse anpassen
Wiederholung verhindern
Merksatz:
Nach einem Vorfall sollte nicht nur repariert,
sondern gelernt werden.
---
**Typische Praxisfehler**
Häufige Fehler:
keine Dokumentation
veraltete Dokumentation
IP-Adressen nur im Kopf
Firewall-Regeln ohne Zweck
temporäre Regeln ohne Ablaufdatum
keine Netzpläne
keine Restore-Anleitung
keine Verantwortlichen
Änderungen ohne Ticket
kein Rollback-Plan
keine Kommunikation
Secrets in Klartextdokumenten
Konfigurationen nicht gesichert
Lizenzen nicht geprüft
Merksatz:
Fehlende Dokumentation wird spätestens im Notfall teuer.
---
**Checkliste: gute IT-Dokumentation**
Systeme erfassen.
Dienste erfassen.
IP-Adressen dokumentieren.
Netzpläne pflegen.
Firewall-Regeln beschreiben.
DNS-Einträge dokumentieren.
Zertifikate überwachen.
Backup und Restore beschreiben.
Rechte und Rollen dokumentieren.
Verantwortliche benennen.
Runbooks erstellen.
Notfallkontakte pflegen.
Änderungen versionieren.
Dokumentation regelmäßig prüfen.
Zugriff auf Dokumentation absichern.
Merksatz:
Dokumentation muss aktuell,
auffindbar
und verständlich sein.
---
**Checkliste: Change Management**
Änderung beschreiben.
Grund nennen.
Betroffene Systeme bestimmen.
Risiko bewerten.
Abhängigkeiten prüfen.
Backup oder Snapshot prüfen.
Wartungsfenster festlegen.
Testplan erstellen.
Rollback-Plan erstellen.
Freigabe einholen.
Betroffene informieren.
Änderung durchführen.
Funktion testen.
Monitoring prüfen.
Dokumentation aktualisieren.
Ergebnis abschließen.
Merksatz:
Change Management begleitet die Änderung von Planung bis Abschluss.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Warum ist IT-Dokumentation wichtig?
- Was gehört in eine Systemdokumentation?
- Was gehört in eine Netzwerkdokumentation?
- Was ist ein Netzplan?
- Was ist der Unterschied zwischen physischem und logischem Netzplan?
- Was ist IPAM?
- Warum sollten Firewall-Regeln dokumentiert werden?
- Warum brauchen temporäre Regeln ein Ablaufdatum?
- Warum müssen Zertifikate dokumentiert werden?
- Was ist ein Runbook?
- Was ist eine SOP?
- Was ist Change Management?
- Was ist ein Change Request?
- Was ist ein Standard Change?
- Was ist ein Normal Change?
- Was ist ein Emergency Change?
- Was ist ein Rollback-Plan?
- Was ist ein Wartungsfenster?
- Was ist ein CAB?
- Was ist eine CMDB?
- Was ist Asset Management?
- Warum sollten Konfigurationen versioniert werden?
---
**Typische Prüfungsfallen**
Dokumentation ist keine Nebensache.
Veraltete Dokumentation kann falsche Entscheidungen verursachen.
Netzplan und IP-Liste sind nicht dasselbe.
Physischer Netzplan zeigt Verkabelung.
Logischer Netzplan zeigt Netzwerkstruktur.
Firewall-Regeln brauchen Zweck und Verantwortlichen.
Temporäre Regeln brauchen Ablaufdatum.
Zertifikate müssen vor Ablauf überwacht werden.
Runbook ist konkrete Anleitung.
SOP ist standardisierter Ablauf.
Change Management verhindert unkontrollierte Änderungen.
Emergency Change muss nachträglich dokumentiert werden.
Rollback-Plan vor Änderung erstellen.
Testplan nach Änderung durchführen.
Wartungsfenster reduziert Auswirkungen.
CMDB zeigt IT-Elemente und Beziehungen.
Asset Management verwaltet Bestand.
Secrets gehören nicht in Klartextdokumentation.
Konfigurationen sollten gesichert und versioniert werden.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| Dokumentation | nachvollziehbare Beschreibung von IT-Systemen |
| Systemdokumentation | Beschreibung eines Systems oder Dienstes |
| Netzwerkdokumentation | Beschreibung der Netzwerkstruktur |
| IPAM | IP Address Management |
| Netzplan | grafische Darstellung eines Netzwerks |
| physischer Netzplan | Darstellung von Geräten, Kabeln und Ports |
| logischer Netzplan | Darstellung von VLANs, Subnetzen und Routing |
| Portdokumentation | Zuordnung von Switchports und Anschlüssen |
| Firewall-Dokumentation | Beschreibung von Firewall-Regeln |
| DNS-Dokumentation | Verwaltung von DNS-Einträgen |
| Zertifikatsdokumentation | Übersicht über Zertifikate und Ablaufdaten |
| Backup-Dokumentation | Beschreibung von Sicherung und Wiederherstellung |
| Betriebsdokumentation | Anleitung für laufenden Betrieb |
| Runbook | Schritt-für-Schritt-Anleitung |
| SOP | Standard Operating Procedure |
| Wissensdatenbank | Sammlung wiederverwendbaren Wissens |
| Change Management | kontrollierter Änderungsprozess |
| Change | geplante Änderung |
| Standard Change | bekannte risikoarme Routineänderung |
| Normal Change | geplante Änderung mit Prüfung |
| Emergency Change | dringende Änderung |
| Change Request | Änderungsantrag |
| Wartungsfenster | geplanter Zeitraum für Änderungen |
| Rollback-Plan | Plan zur Rücknahme einer Änderung |
| Testplan | Prüfung nach einer Änderung |
| CAB | Change Advisory Board |
| Configuration Management | strukturierte Verwaltung von Konfigurationen |
| CI | Configuration Item |
| CMDB | Configuration Management Database |
| Asset Management | Verwaltung von IT-Bestand |
| Inventarisierung | Erfassung von IT-Objekten |
| Lizenzmanagement | Verwaltung von Softwarelizenzen |
| Konfigurationsbackup | Sicherung technischer Konfigurationen |
| Lessons Learned | Erkenntnisse aus Fehlern oder Projekten |
| Post-Incident-Review | Auswertung nach einem Vorfall |
---
**IHK-sichere Kurzformulierung**
Dokumentation und Change Management sind wichtige Bestandteile sicherer und zuverlässiger IT-Administration. Dokumentation beschreibt Systeme, Netzwerke, IP-Adressen, Dienste, Firewall-Regeln, Berechtigungen, Backups, Zertifikate, Verantwortlichkeiten und Notfallmaßnahmen. Change Management sorgt dafür, dass Änderungen geplant, bewertet, freigegeben, durchgeführt, getestet und dokumentiert werden. Wichtige Elemente sind Change Request, Risikobewertung, Wartungsfenster, Testplan, Rollback-Plan, Kommunikation und Aktualisierung der Dokumentation. Eine CMDB kann Configuration Items und deren Beziehungen verwalten, während Asset Management den IT-Bestand erfasst. Gute Dokumentation muss aktuell, verständlich, geschützt und für Betrieb sowie Notfälle nutzbar sein.
---
**Merksätze**
Gute Administration ist nachvollziehbar.
Dokumentation reduziert Fehler.
Dokumentation ist Sicherheitsmaßnahme.
Systeme,
Dienste,
Netze
und Rechte dokumentieren.
IP-Adressen sauber verwalten.
IPAM hilft bei IP-Adressverwaltung.
Netzplan zeigt Verbindungen.
Physischer Netzplan zeigt Verkabelung.
Logischer Netzplan zeigt Kommunikation.
Firewall-Regeln brauchen Zweck.
Temporäre Regeln brauchen Ablaufdatum.
DNS-Dokumentation verhindert Namenschaos.
Zertifikate vor Ablauf überwachen.
Backup-Dokumentation muss Restore enthalten.
Rechte müssen nachvollziehbar sein.
Runbook ist Schritt-für-Schritt-Anleitung.
SOP ist standardisierter Ablauf.
Wissensdatenbank hält Wissen verfügbar.
Dokumentation aktuell halten.
Veraltete Dokumentation kann gefährlich sein.
Change Management kontrolliert Änderungen.
Change Request beschreibt Änderung.
Standard Change ist Routine.
Normal Change braucht Prüfung.
Emergency Change ist dringend,
aber nicht dokumentationsfrei.
Risiko vor Änderung bewerten.
Wartungsfenster planen.
Rollback vor Änderung planen.
Testplan nach Änderung durchführen.
Betroffene informieren.
CAB bewertet wichtige Changes.
Configuration Management verwaltet technische Zustände.
CI ist verwaltetes IT-Element.
CMDB zeigt Beziehungen.
Asset Management verwaltet Bestand.
Inventarisierung ist Grundlage für Betrieb und Sicherheit.
Lizenzmanagement verhindert Kosten- und Auditprobleme.
Konfigurationen versionieren.
Konfigurationen sichern.
Secrets nicht in Klartext dokumentieren.
Dokumentation selbst schützen.
Lessons Learned verbessern Prozesse.
Nach Vorfällen auswerten und verbessern.
# 17.9 Merksätze und Prüfungswissen zu Netzwerkadministration und Systemzugriff
Diese Seite fasst die wichtigsten Inhalte aus dem Kapitel Praxis,
Netzwerkadministration
und Systemzugriff zusammen.
In diesem Kapitel ging es um praktische Aufgaben der Systemintegration:
- sichere Fernadministration
- SSH und RDP
- Benutzer und Rechte
- Gruppen und Rollen
- Logging und Monitoring
- Dienstprüfung
- Netzwerkbefehle
- Dateiübertragung und Freigaben
- Backup und Restore
- Dokumentation
- Change Management
Merksatz:
Netzwerkadministration verbindet Technik,
Sicherheit,
Betrieb
und Dokumentation.
---
**Grundidee der Netzwerkadministration**
Netzwerkadministration bedeutet:
Systeme,
Netzwerke,
Dienste,
Benutzer,
Zugriffe
und Konfigurationen verwalten.
Typische Aufgaben:
Server prüfen
Benutzer anlegen
Rechte vergeben
Netzwerkfehler suchen
Remotezugriff absichern
Logs auswerten
Backups kontrollieren
Dienste überwachen
Änderungen dokumentieren
Merksatz:
Administration ist nicht nur Einrichten,
sondern laufender sicherer Betrieb.
---
**Systemzugriff**
Systemzugriff bedeutet:
Zugriff auf ein IT-System zur Nutzung,
Verwaltung
oder Fehlerbehebung.
Arten:
lokaler Zugriff
Remotezugriff
Weboberfläche
SSH
RDP
VPN
Bastion Host
Managementnetz
Cloud-Portal
API
Merksatz:
Je mächtiger der Zugriff,
desto stärker muss er abgesichert werden.
---
**Lokaler Zugriff**
Lokaler Zugriff erfolgt direkt am Gerät.
Beispiele:
Serverkonsole
lokale Anmeldung
Tastatur und Monitor
physische Konsole im Serverraum
Vorteil:
funktioniert oft auch bei Netzwerkproblemen
Nachteil:
physischer Zugang nötig
Merksatz:
Lokaler Zugriff ist direkter Zugriff am System.
---
**Remotezugriff**
Remotezugriff bedeutet:
Zugriff aus der Ferne.
Beispiele:
SSH
RDP
VPN
Weboberfläche
Remote-Support-Tool
Cloud-Konsole
Risiko:
Remotezugänge sind häufige Angriffsziele.
Merksatz:
Remotezugriff ist praktisch,
aber sicherheitskritisch.
---
**SSH**
SSH steht für:
Secure Shell
SSH dient dem verschlüsselten Fernzugriff auf eine Kommandozeile.
Typische Nutzung:
Linux-Server
Unix-Systeme
Netzwerkgeräte
Firewalls
Switches
Router
NAS-Systeme
Dateiübertragung mit SFTP oder SCP
Standardport:
TCP 22
Merksatz:
SSH = verschlüsselter Kommandozeilenzugriff.
---
**SSH-Sicherheit**
SSH sollte sicher betrieben werden.
Wichtige Maßnahmen:
Schlüssel statt Passwort nutzen
privaten Schlüssel schützen
Passphrase verwenden
Root-Login vermeiden
sudo nutzen
Zugriff per Firewall begrenzen
MFA prüfen
alte Schlüssel entfernen
Logs überwachen
Host-Key-Warnungen ernst nehmen
Merksatz:
SSH ist verschlüsselt,
aber nur mit sicherer Konfiguration wirklich sicher.
---
**Privater und öffentlicher SSH-Schlüssel**
SSH-Schlüsselpaar:
privater Schlüssel
und
öffentlicher Schlüssel
Privater Schlüssel:
bleibt geheim beim Benutzer
Öffentlicher Schlüssel:
wird auf Zielsystemen hinterlegt
Merksatz:
Öffentlicher Schlüssel auf Server,
privater Schlüssel bleibt geheim.
---
**SSH Host Key**
Der SSH Host Key identifiziert den Server.
Wenn sich der Host Key unerwartet ändert,
kann das bedeuten:
Server wurde neu installiert
falscher Server wird erreicht
Man-in-the-Middle-Angriff möglich
Merksatz:
SSH-Host-Key-Warnungen nicht blind ignorieren.
---
**RDP**
RDP steht für:
Remote Desktop Protocol
RDP ermöglicht grafischen Fernzugriff auf Windows-Systeme.
Standardport:
TCP 3389
Merksatz:
RDP = grafischer Windows-Fernzugriff.
---
**RDP-Sicherheit**
RDP sollte nicht breit direkt im Internet erreichbar sein.
Schutzmaßnahmen:
VPN nutzen
RDP Gateway nutzen
MFA aktivieren
Network Level Authentication nutzen
Quell-IP einschränken
starke Passwörter
Account Lockout
Updates einspielen
Logs überwachen
Merksatz:
RDP offen im Internet ist ein hohes Risiko.
---
**VPN**
VPN ermöglicht verschlüsselten Zugriff auf ein internes Netzwerk.
Vorteile:
Adminports müssen nicht öffentlich sein
Zugriff zentral steuerbar
MFA möglich
interne Dienste bleiben privat
bessere Protokollierung möglich
Wichtig:
VPN ersetzt keine Rechteverwaltung.
Merksatz:
VPN schützt den Zugang,
aber nicht automatisch das Zielsystem.
---
**Bastion Host und Jump Server**
Ein Bastion Host oder Jump Server ist ein geschützter Sprungserver.
Prinzip:
Administrator
verbindet sich zum Sprungserver
und von dort
zum Zielsystem
Vorteile:
weniger direkte Adminzugänge
zentrale Protokollierung
kontrollierter Zugriff
interne Systeme bleiben besser geschützt
Merksatz:
Bastion Host bündelt und schützt Adminzugriffe.
---
**Managementnetz**
Ein Managementnetz trennt administrative Zugriffe vom normalen Benutzernetz.
Darin liegen zum Beispiel:
Switch-Management
Firewall-Management
Server-Management
Storage-Management
Backup-Management
Hypervisor-Management
Merksatz:
Managementschnittstellen gehören nicht ins normale Clientnetz.
---
**Out-of-Band-Management**
Out-of-Band-Management nutzt einen getrennten Verwaltungsweg.
Beispiele:
iLO
iDRAC
IPMI
serielle Konsole
Vorteil:
Zugriff auch bei Störungen möglich
Risiko:
sehr mächtiger Zugriff
Merksatz:
Out-of-Band-Management besonders stark schützen.
---
**Benutzerkonto**
Ein Benutzerkonto ist eine digitale Identität.
Es enthält typischerweise:
Benutzername
Anmeldedaten
Gruppenmitgliedschaften
Rollen
Berechtigungen
Status
Merksatz:
Benutzerkonto = digitale Identität.
---
**Persönliche Konten**
Jeder Benutzer sollte ein eigenes persönliches Konto haben.
Vorteile:
Aktionen nachvollziehbar
Rechte gezielt verwaltbar
Offboarding einfacher
keine Passwortweitergabe
bessere Sicherheitsanalyse
Merksatz:
Ein Benutzer,
ein Konto.
---
**Sammelkonten**
Sammelkonten werden von mehreren Personen genutzt.
Probleme:
keine eindeutige Nachvollziehbarkeit
Passwortweitergabe
schwieriges Offboarding
höheres Missbrauchsrisiko
schlechte Protokollierung
Merksatz:
Sammelkonten vermeiden,
besonders bei Adminzugängen.
---
**Gruppen und Rollen**
Gruppen fassen Benutzer technisch zusammen.
Rollen beschreiben Aufgaben oder Funktionen.
Beispiele:
Helpdesk
Netzwerkadministrator
Serveradministrator
Backup-Operator
Standardbenutzer
Leser
Bearbeiter
Merksatz:
Gruppen vereinfachen Rechtevergabe.
Rollen beschreiben Aufgaben.
---
**RBAC**
RBAC steht für:
Role-Based Access Control
Dabei werden Rechte anhand von Rollen vergeben.
Beispiel:
Rolle Helpdesk darf Passwörter zurücksetzen.
Merksatz:
RBAC vergibt Rechte nach Rollen.
---
**ABAC**
ABAC steht für:
Attribute-Based Access Control
Dabei werden Zugriffe anhand von Eigenschaften entschieden.
Beispiele:
Standort
Gerätetyp
Uhrzeit
Sicherheitsstatus des Geräts
Abteilung
Datenklassifizierung
Merksatz:
ABAC entscheidet nach Eigenschaften und Bedingungen.
---
**Authentifizierung und Autorisierung**
Authentifizierung:
Wer bist du?
Autorisierung:
Was darfst du?
Beispiel:
Benutzer meldet sich an.
Danach wird geprüft,
ob er Datei lesen darf.
Merksatz:
Erst Identität prüfen,
dann Berechtigung prüfen.
---
**Least Privilege**
Least Privilege bedeutet:
nur notwendige Rechte vergeben.
Beispiele:
Benutzer ohne lokale Adminrechte
Dienstkonto nur mit benötigten Datenbankrechten
Support nur mit passenden Supportrechten
Adminrechte nur bei Bedarf
Merksatz:
So wenig Rechte wie möglich,
so viele wie nötig.
---
**Need to Know**
Need to Know bedeutet:
Zugriff nur auf Informationen,
die für die Aufgabe benötigt werden.
Merksatz:
Nicht jeder muss alles sehen können.
---
**Admin- und Alltagskonto trennen**
Administratoren sollten zwei Konten nutzen:
normales Benutzerkonto
und
separates Adminkonto
Vorteile:
weniger Risiko durch Phishing
weniger Malware-Schaden
bessere Nachvollziehbarkeit
weniger dauerhafte Rechte
Merksatz:
Nicht dauerhaft mit Adminrechten arbeiten.
---
**Dienstkonto**
Ein Dienstkonto ist eine technische Identität für Dienste,
Anwendungen
oder automatisierte Prozesse.
Beispiele:
Backupdienst
Monitoring-Agent
Webanwendung mit Datenbankzugriff
API-Integration
geplante Aufgabe
Merksatz:
Dienstkonten sind technische Identitäten und müssen rechtearm sein.
---
**Offboarding**
Offboarding bedeutet:
Zugänge werden entfernt,
wenn Benutzer ausscheiden
oder keinen Zugriff mehr benötigen.
Zu prüfen:
Benutzerkonto
Gruppen
VPN
SSH-Schlüssel
Cloud-Zugänge
API-Tokens
lokale Adminrechte
Geräte
E-Mail-Weiterleitungen
Merksatz:
Alte Zugänge sind ein Sicherheitsrisiko.
---
**Regelmäßige Rechteprüfung**
Rechte sollten regelmäßig geprüft werden.
Besonders wichtig:
Adminrechte
lokale Administratoren
Dienstkonten
externe Dienstleister
Gruppenmitgliedschaften
Cloud-Rollen
Freigaben
SSH-Schlüssel
Merksatz:
Rechte altern und müssen gepflegt werden.
---
**Logs**
Logs sind protokollierte Ereignisse.
Beispiele:
Anmeldung
Fehlanmeldung
Dienststart
Dienstfehler
Firewall-Block
VPN-Verbindung
Backup-Fehler
Adminänderung
Merksatz:
Logs zeigen,
was passiert ist.
---
**Monitoring**
Monitoring überwacht Zustände und Metriken.
Beispiele:
Verfügbarkeit
CPU-Auslastung
RAM-Nutzung
Speicherplatz
Antwortzeit
Backup-Erfolg
Zertifikatslaufzeit
Dienststatus
Merksatz:
Monitoring zeigt,
was gerade passiert oder sich anbahnt.
---
**Logging, Monitoring und Alerting unterscheiden**
| Begriff | Zweck |
|---|---|
| Logging | Ereignisse aufzeichnen |
| Monitoring | Zustände überwachen |
| Alerting | bei kritischen Zuständen alarmieren |
| Reporting | Verlauf auswerten |
Merksatz:
Logs erklären Ereignisse.
Monitoring beobachtet Zustände.
Alerting meldet Probleme.
---
**Wichtige Logquellen**
Typische Logquellen:
Betriebssystemlogs
Anwendungslogs
Authentifizierungslogs
Firewall-Logs
VPN-Logs
DNS-Logs
DHCP-Logs
Webserverlogs
Backup-Logs
Cloud-Audit-Logs
EDR-Logs
Merksatz:
Wichtige Systeme brauchen nachvollziehbare Logs.
---
**Zentrale Logsammlung**
Zentrale Logsammlung bedeutet:
Logs mehrerer Systeme werden zentral gesammelt.
Vorteile:
bessere Suche
bessere Korrelation
Schutz vor lokaler Manipulation
bessere Sicherheitsanalyse
Grundlage für SIEM
Merksatz:
Zentrale Logs helfen,
Zusammenhänge systemübergreifend zu erkennen.
---
**NTP und Logs**
NTP synchronisiert Systemzeiten.
Warum wichtig?
Logs verschiedener Systeme müssen zeitlich vergleichbar sein.
Merksatz:
Gemeinsame Zeitbasis ist wichtig für Loganalyse und Forensik.
---
**Dienstprüfung**
Dienstprüfung bedeutet:
prüfen,
ob ein Dienst läuft,
erreichbar ist
und korrekt arbeitet.
Zu prüfen:
Dienststatus
Port
Firewall
DNS
Routing
Logs
Ressourcen
Abhängigkeiten
Berechtigungen
Merksatz:
Dienst läuft nicht automatisch gleich Dienst funktioniert.
---
**Netzwerkbefehle**
Wichtige Befehle und Werkzeuge:
| Aufgabe | Windows | Linux/macOS |
|---|---|---|
| IP anzeigen | ipconfig | ip addr |
| Routing anzeigen | route print | ip route |
| DNS prüfen | nslookup | dig, nslookup |
| Erreichbarkeit prüfen | ping | ping |
| Route verfolgen | tracert | traceroute |
| Verbindungen anzeigen | netstat | ss, netstat |
| Dienst prüfen | services.msc, sc, PowerShell | systemctl |
| Logs prüfen | Ereignisanzeige | journalctl |
Merksatz:
Gleiche Aufgabe,
anderes Werkzeug je nach Betriebssystem.
---
**ping**
ping testet Erreichbarkeit per ICMP.
Wichtig:
fehlgeschlagener ping beweist nicht automatisch,
dass ein Ziel offline ist.
Mögliche Ursachen:
ICMP blockiert
Firewall
Routingproblem
DNS-Problem
Ziel offline
Paketverlust
Merksatz:
ping ist ein Hinweis,
aber kein vollständiger Diensttest.
---
**DNS-Prüfung**
DNS wird geprüft mit:
nslookup
oder
dig
Typische Regel:
IP funktioniert,
Name nicht:
DNS prüfen.
Merksatz:
DNS-Probleme sind häufige Ursachen für Verbindungsfehler.
---
**tracert und traceroute**
tracert oder traceroute zeigen den Weg zum Ziel über Zwischenstationen.
Wichtig:
Nicht jeder Hop muss antworten.
Sternchen bedeuten nicht automatisch Ausfall.
Merksatz:
Traceroute-Ausgaben müssen interpretiert werden.
---
**netstat und ss**
netstat und ss zeigen Netzwerkverbindungen und lauschende Ports.
Wichtige Zustände:
LISTEN:
Dienst wartet auf Verbindungen.
ESTABLISHED:
Verbindung besteht.
Merksatz:
Offene Ports zeigen mögliche Dienstzugänge.
---
**localhost und 0.0.0.0**
127.0.0.1:
nur lokal auf demselben System erreichbar
0.0.0.0:
Dienst lauscht auf allen IPv4-Schnittstellen
Merksatz:
127.0.0.1 ist lokal.
0.0.0.0 ist überall auf dem Host.
---
**curl**
curl testet Webdienste und APIs.
Nützlich für:
HTTP-Statuscode
Header
Weiterleitungen
HTTPS
API-Antwort
Erreichbarkeit
Merksatz:
curl prüft Webdienste direkter als ein Browser.
---
**systemctl und journalctl**
systemctl:
Dienste prüfen und verwalten
journalctl:
systemd-Logs anzeigen
Merksatz:
systemctl zeigt Dienststatus.
journalctl zeigt passende Logs.
---
**Dateiübertragung und Freigaben**
Dateiübertragung und Freigaben müssen sicher geplant werden.
Zu klären:
Wer braucht Zugriff?
Welche Daten?
Welche Rechte?
Wie lange?
Intern oder extern?
Wird protokolliert?
Wird verschlüsselt übertragen?
Merksatz:
Keine Freigabe ohne Zweck und Berechtigung.
---
**SMB**
SMB steht für:
Server Message Block
Typische Nutzung:
Windows-Dateifreigaben
Netzlaufwerke
Druckerfreigaben
Standardport:
TCP 445
Merksatz:
SMB ist typisch für Windows-Dateifreigaben.
---
**NFS**
NFS steht für:
Network File System
Typische Nutzung:
Unix- und Linux-Freigaben
Serverfreigaben
Virtualisierungsspeicher
Backup-Ziele
Merksatz:
NFS ist typisch für Unix- und Linux-Umgebungen.
---
**FTP, FTPS, SFTP und SCP**
| Protokoll | Grundlage | Verschlüsselung |
|---|---|---|
| FTP | FTP | nein |
| FTPS | FTP plus TLS | ja |
| SFTP | SSH | ja |
| SCP | SSH | ja |
Merksatz:
FTP ist unverschlüsselt.
FTPS ist FTP mit TLS.
SFTP ist Dateiübertragung über SSH.
SCP kopiert über SSH.
---
**Synchronisation ist kein Backup**
Synchronisation hält Daten an mehreren Orten gleich.
Problem:
Löschung,
Fehler
oder Ransomware-Verschlüsselung
können mitsynchronisiert werden.
Merksatz:
Synchronisation ist kein Backup.
---
**Backup**
Backup bedeutet:
Sicherung von Daten,
Systemen
oder Konfigurationen.
Restore bedeutet:
Wiederherstellung aus einer Sicherung.
Merksatz:
Backup ist die Sicherung.
Restore ist die Wiederherstellung.
---
**Restore-Test**
Ein Restore-Test prüft,
ob Wiederherstellung wirklich funktioniert.
Zu prüfen:
Daten vollständig?
Anwendung startet?
Rechte korrekt?
Datenbank konsistent?
Schlüssel vorhanden?
Zeit akzeptabel?
Merksatz:
Nur getestete Backups sind verlässlich.
---
**Backup-Arten**
| Backup-Art | Bedeutung |
|---|---|
| Vollbackup | sichert alles |
| inkrementell | Änderungen seit letztem Backup |
| differenziell | Änderungen seit letztem Vollbackup |
| Snapshot | Momentaufnahme |
| Image-Backup | vollständiges Systemabbild |
| dateibasiert | ausgewählte Dateien und Ordner |
Merksatz:
Backup-Art nach Wiederherstellungsziel wählen.
---
**RPO und RTO**
RPO:
Recovery Point Objective
maximal akzeptabler Datenverlust
RTO:
Recovery Time Objective
maximal akzeptable Wiederherstellungszeit
Merksatz:
RPO = Datenverlust.
RTO = Wiederherstellungszeit.
---
**3-2-1-Regel**
Die 3-2-1-Regel lautet:
3 Kopien
2 unterschiedliche Speicherarten
1 Kopie extern oder getrennt
Merksatz:
3-2-1 reduziert das Risiko,
dass alle Kopien gleichzeitig verloren gehen.
---
**Immutable und Offline Backup**
Immutable Backup:
kann für eine festgelegte Zeit nicht verändert oder gelöscht werden
Offline Backup:
ist nicht dauerhaft verbunden
Vorteil:
besserer Schutz gegen Ransomware und Manipulation
Merksatz:
Backups müssen vor Angreifern geschützt werden.
---
**Redundanz, Replikation und Backup unterscheiden**
| Begriff | Ziel |
|---|---|
| Backup | Wiederherstellung alter Zustände |
| Redundanz | Ausfall abfedern |
| Replikation | Daten aktuell auf zweites System kopieren |
Merksatz:
Redundanz und Replikation ersetzen kein Backup.
---
**Dokumentation**
Dokumentation beschreibt Systeme,
Netzwerke,
Dienste,
Rechte,
Änderungen
und Notfallmaßnahmen.
Typische Inhalte:
Systeme
IP-Adressen
Hostnamen
Dienste
Ports
Firewall-Regeln
VLANs
DNS-Einträge
Zertifikate
Backups
Verantwortliche
Runbooks
Merksatz:
Gute Dokumentation macht Betrieb nachvollziehbar.
---
**Netzplan**
Ein Netzplan zeigt die Netzwerkstruktur.
Physischer Netzplan:
Geräte,
Kabel,
Ports,
Racks,
Standorte
Logischer Netzplan:
VLANs,
Subnetze,
Routing,
Firewall-Zonen,
Dienste
Merksatz:
Physisch zeigt Verkabelung.
Logisch zeigt Kommunikationsstruktur.
---
**IPAM**
IPAM steht für:
IP Address Management
IPAM verwaltet IP-Adressen,
Subnetze
und Zuordnungen.
Merksatz:
IPAM verhindert IP-Chaos und IP-Konflikte.
---
**Runbook und SOP**
Runbook:
Schritt-für-Schritt-Anleitung für konkrete Aufgaben oder Störungen
SOP:
Standard Operating Procedure,
standardisierter Ablauf
Merksatz:
Runbook hilft bei konkreter Ausführung.
SOP beschreibt standardisierte Vorgehensweise.
---
**Change Management**
Change Management bedeutet:
Änderungen werden geplant,
bewertet,
freigegeben,
umgesetzt,
getestet
und dokumentiert.
Merksatz:
Change Management verhindert unkontrollierte Änderungen.
---
**Change-Arten**
| Change-Art | Bedeutung |
|---|---|
| Standard Change | bekannte risikoarme Routineänderung |
| Normal Change | geplante Änderung mit Prüfung |
| Emergency Change | dringende Änderung |
Merksatz:
Emergency Change ist dringend,
aber nicht dokumentationsfrei.
---
**Change Request**
Ein Change Request ist ein Änderungsantrag.
Typische Inhalte:
Beschreibung
Grund
betroffene Systeme
Risiko
Zeitpunkt
Testplan
Rollback-Plan
Freigabe
Kommunikation
Merksatz:
Change Request beschreibt,
was geändert werden soll und warum.
---
**Rollback-Plan**
Ein Rollback-Plan beschreibt,
wie eine Änderung zurückgenommen wird.
Beispiele:
Backup zurückspielen
Snapshot zurücksetzen
alte Konfiguration wiederherstellen
alte Version installieren
DNS zurücksetzen
Firewall-Regel entfernen
Merksatz:
Vor Änderung wissen,
wie man zurückkommt.
---
**CMDB**
CMDB steht für:
Configuration Management Database
Sie enthält Informationen über verwaltete IT-Elemente und deren Beziehungen.
Beispiele:
Server
Anwendung
Datenbank
Firewall
Zertifikat
Lizenz
Dienst
Merksatz:
CMDB zeigt,
welche IT-Elemente zusammenhängen.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist Netzwerkadministration?
- Was ist Remotezugriff?
- Was ist SSH?
- Welchen Port nutzt SSH?
- Was ist RDP?
- Welchen Port nutzt RDP?
- Warum sollte RDP nicht offen im Internet stehen?
- Was ist ein Bastion Host?
- Was ist ein Managementnetz?
- Was ist Out-of-Band-Management?
- Warum sind persönliche Konten wichtig?
- Warum sind Sammelkonten problematisch?
- Was ist RBAC?
- Was ist ABAC?
- Was ist der Unterschied zwischen Authentifizierung und Autorisierung?
- Was bedeutet Least Privilege?
- Was ist ein Dienstkonto?
- Was ist Offboarding?
- Warum sind Logs wichtig?
- Was ist der Unterschied zwischen Logging und Monitoring?
- Warum ist NTP für Logs wichtig?
- Was macht ping?
- Was prüft nslookup?
- Was prüft traceroute?
- Was zeigen netstat oder ss?
- Was ist SMB?
- Was ist SFTP?
- Warum ist FTP unsicher?
- Warum ist Synchronisation kein Backup?
- Was ist Backup?
- Was ist Restore?
- Was bedeutet RPO?
- Was bedeutet RTO?
- Was ist die 3-2-1-Regel?
- Was ist ein Netzplan?
- Was ist IPAM?
- Was ist Change Management?
- Was ist ein Rollback-Plan?
- Was ist eine CMDB?
---
**Typische Prüfungsfallen**
SSH ist verschlüsselt,
aber nicht automatisch sicher konfiguriert.
SSH nutzt TCP 22.
RDP nutzt TCP 3389.
RDP nicht direkt öffentlich bereitstellen.
VPN ersetzt keine Rechteverwaltung.
Bastion Host ist ein Sprungserver.
Managementnetz vom Clientnetz trennen.
Out-of-Band-Zugriff ist besonders kritisch.
Sammelkonten vermeiden.
Admin- und Alltagskonto trennen.
Authentifizierung und Autorisierung unterscheiden.
Least Privilege gilt auch für Administratoren.
Dienstkonten brauchen minimale Rechte.
Offboarding muss alle Zugänge entfernen.
Logs zeigen Ereignisse.
Monitoring zeigt Zustände.
Alerting meldet kritische Abweichungen.
Ohne NTP sind Logzeiten schwer vergleichbar.
Dienst läuft nicht automatisch gleich Anwendung funktioniert.
ping prüft ICMP,
nicht jeden Dienst.
Kein ping kann Firewall sein.
IP funktioniert,
Name nicht:
DNS prüfen.
Offener Port bedeutet nicht Anwendung gesund.
127.0.0.1 ist nur lokal.
FTP ist unverschlüsselt.
SFTP ist nicht FTPS.
SMB nutzt TCP 445.
Synchronisation ist kein Backup.
Replikation ist kein Backup.
Redundanz ist kein Backup.
Backup ohne Restore-Test ist unsicher.
RPO ist Datenverlust.
RTO ist Wiederherstellungszeit.
Snapshot ist nicht automatisch Backup.
Dokumentation muss aktuell sein.
Secrets gehören nicht in Klartextdokumentation.
Emergency Change muss nachträglich dokumentiert werden.
Rollback vor Änderung planen.
---
**Wichtige Begriffe kurz erklärt**
| Begriff | Kurze Erklärung |
|---|---|
| Netzwerkadministration | Verwaltung von Netzwerken und Systemen |
| Systemzugriff | Zugriff auf ein IT-System |
| Remotezugriff | Zugriff aus der Ferne |
| SSH | verschlüsselter Kommandozeilenzugriff |
| RDP | grafischer Windows-Fernzugriff |
| VPN | verschlüsselter Zugang ins interne Netz |
| Bastion Host | geschützter Sprungserver |
| Jump Server | Zwischensystem für Administration |
| Managementnetz | getrenntes Verwaltungsnetz |
| Out-of-Band | separater Verwaltungsweg |
| Benutzerkonto | digitale Identität |
| Gruppe | Zusammenfassung von Benutzern |
| Rolle | Aufgabe mit Rechten |
| RBAC | rollenbasierte Zugriffskontrolle |
| ABAC | attributbasierte Zugriffskontrolle |
| Authentifizierung | Identität prüfen |
| Autorisierung | Rechte prüfen |
| Least Privilege | minimale notwendige Rechte |
| Dienstkonto | technische Identität |
| Offboarding | Entfernen alter Zugänge |
| Log | protokolliertes Ereignis |
| Monitoring | Überwachung von Zuständen |
| Alerting | automatische Alarmierung |
| NTP | Zeitsynchronisation |
| Health Check | Dienstgesundheitsprüfung |
| ping | ICMP-Erreichbarkeitstest |
| nslookup | DNS-Prüfung |
| dig | detaillierte DNS-Prüfung |
| tracert | Windows-Wegverfolgung |
| traceroute | Wegverfolgung unter Linux/macOS |
| netstat | Netzwerkverbindungen anzeigen |
| ss | Socketanzeige unter Linux |
| curl | Web- und API-Test |
| SMB | Windows-Dateifreigabeprotokoll |
| NFS | Network File System |
| FTP | unverschlüsselte Dateiübertragung |
| FTPS | FTP mit TLS |
| SFTP | Dateiübertragung über SSH |
| SCP | Kopieren über SSH |
| Backup | Sicherung |
| Restore | Wiederherstellung |
| RPO | maximaler Datenverlust |
| RTO | maximale Wiederherstellungszeit |
| Immutable Backup | unveränderliches Backup |
| Snapshot | Momentaufnahme |
| Redundanz | mehrfach vorhandene Komponenten |
| Replikation | Kopie aktueller Daten |
| Dokumentation | nachvollziehbare Beschreibung |
| Netzplan | grafische Netzwerkdarstellung |
| IPAM | IP-Adressverwaltung |
| Runbook | Schritt-für-Schritt-Anleitung |
| SOP | Standardprozess |
| Change Management | kontrollierter Änderungsprozess |
| Rollback | Rücknahme einer Änderung |
| CMDB | Datenbank verwalteter IT-Elemente |
---
**IHK-sichere Gesamtformulierung**
Netzwerkadministration umfasst den sicheren Betrieb und die Verwaltung von Systemen, Netzwerken, Diensten, Benutzern, Zugängen und Konfigurationen. Remotezugriffe wie SSH und RDP müssen durch VPN, Bastion Hosts, Managementnetze, MFA, Logging und Least Privilege abgesichert werden. Benutzer sollten persönliche Konten nutzen, Rechte sollten über Gruppen und Rollen vergeben und regelmäßig geprüft werden. Logs, Monitoring, Alerting und NTP sind wichtig für Fehlersuche, Sicherheit und Nachvollziehbarkeit. Netzwerkbefehle wie ping, nslookup, traceroute, netstat, ss, curl, ipconfig, ip addr, route print und ip route helfen bei systematischer Analyse. Dateiübertragung und Freigaben müssen verschlüsselt, berechtigt und dokumentiert erfolgen. Backups müssen geschützt, überwacht und durch Restore-Tests geprüft werden. Dokumentation und Change Management stellen sicher, dass Systeme nachvollziehbar betrieben und Änderungen kontrolliert durchgeführt werden.
---
**Wichtigste Merksätze**
Netzwerkadministration ist laufender Betrieb.
Adminzugänge besonders schützen.
Remotezugriff ist sicherheitskritisch.
SSH nutzt TCP 22.
RDP nutzt TCP 3389.
RDP nicht offen ins Internet stellen.
VPN schützt Zugang,
ersetzt aber keine Rechte.
Bastion Host schützt interne Systeme.
Managementnetz trennt Verwaltung.
Persönliche Konten statt Sammelkonten.
Admin- und Alltagskonto trennen.
RBAC arbeitet mit Rollen.
ABAC arbeitet mit Eigenschaften.
Authentifizierung fragt:
Wer bist du?
Autorisierung fragt:
Was darfst du?
Least Privilege gilt immer.
Dienstkonten rechtearm betreiben.
Offboarding entfernt alte Zugänge.
Logs zeigen Ereignisse.
Monitoring zeigt Zustände.
Alerting meldet Probleme.
NTP macht Logs vergleichbar.
Dienst läuft nicht automatisch gleich Dienst funktioniert.
ping prüft ICMP.
DNS mit nslookup oder dig prüfen.
traceroute zeigt den Weg.
netstat und ss zeigen Verbindungen.
curl prüft Webdienste.
SMB nutzt TCP 445.
FTP ist unsicher,
weil unverschlüsselt.
SFTP nutzt SSH.
FTPS nutzt FTP mit TLS.
Synchronisation ist kein Backup.
Backup ohne Restore-Test ist unsicher.
RPO ist Datenverlust.
RTO ist Wiederherstellungszeit.
Replikation ersetzt kein Backup.
Redundanz ersetzt kein Backup.
Dokumentation muss aktuell sein.
Change Management kontrolliert Änderungen.
Rollback vor Änderung planen.
Notfallzugänge streng schützen.
Sichere Administration braucht Technik,
Prozesse,
Rechte,
Logs
und Dokumentation.
# 17.10 Prüfungsvorbereitung und Wiederholung
**Prüfungsvorbereitung und Wiederholung**
Dieses Kapitel dient zur gezielten Wiederholung vor der Prüfung.
Es verbindet die wichtigsten Themen aus:
- Netzwerktechnik
- OSI-Modell
- TCP/IP
- IP-Adressierung
- Subnetting
- Routing
- Switching
- VLAN
- DNS
- DHCP
- Firewalls
- NAT
- VPN
- Cloud
- Sicherheit
- Administration
- Fehlersuche
Merksatz:
Prüfungsvorbereitung bedeutet nicht nur Auswendiglernen,
sondern Zusammenhänge erkennen.
---
**Warum Wiederholung wichtig ist**
Viele Prüfungsthemen hängen zusammen.
Beispiel:
Ein Client kommt nicht ins Internet.
Dafür können mehrere Themen relevant sein:
IP-Adresse
Subnetzmaske
Gateway
DNS
DHCP
Routing
Firewall
NAT
VLAN
WLAN
Proxy
VPN
Dienstverfügbarkeit
Merksatz:
In der Prüfung wird selten nur ein einzelnes Thema isoliert geprüft.
---
**Typische Prüfungslogik**
Prüfungsaufgaben fragen oft nicht direkt:
Was ist DNS?
Sondern eher:
Ein Client kann eine Webseite nicht über den Namen erreichen,
aber die IP-Adresse funktioniert.
Welche Ursache ist wahrscheinlich?
Gesuchte Antwort:
DNS-Problem
Merksatz:
Prüfungen testen Anwendung von Wissen,
nicht nur Definitionen.
---
**Wichtigste Grundregel bei Netzwerkfehlern**
Immer systematisch prüfen:
1. Physische Verbindung
2. IP-Konfiguration
3. Gateway
4. DNS
5. Routing
6. Firewall
7. Dienst
8. Anwendung
9. Logs
10. Änderungen
Merksatz:
Erst Grundlagen,
dann Spezialfälle.
---
**OSI-Modell als Prüfungswerkzeug**
Das OSI-Modell hilft,
Fehler schichtweise einzugrenzen.
| OSI-Schicht | Name | Typische Prüfung |
|---|---|---|
| 1 | Bitübertragung | Kabel, Signal, Link |
| 2 | Sicherung | MAC, Switch, VLAN, ARP |
| 3 | Vermittlung | IP, Routing, ICMP |
| 4 | Transport | TCP, UDP, Ports |
| 5 | Sitzung | Session, Verbindungssitzung |
| 6 | Darstellung | TLS, Codierung, Verschlüsselung |
| 7 | Anwendung | DNS, DHCP, HTTP, SMTP, SMB |
Merksatz:
OSI hilft,
Fehler strukturiert zu suchen.
---
**TCP/IP-Modell wiederholen**
Das TCP/IP-Modell ist praxisnaher als das OSI-Modell.
| TCP/IP-Schicht | Entspricht grob OSI | Beispiele |
|---|---|---|
| Anwendung | OSI 5 bis 7 | HTTP, DNS, SMTP, DHCP |
| Transport | OSI 4 | TCP, UDP |
| Internet | OSI 3 | IP, ICMP, Routing |
| Netzzugang | OSI 1 bis 2 | Ethernet, WLAN, MAC |
Merksatz:
TCP/IP ist das praktische Internetmodell.
---
**Kapselung wiederholen**
Beim Senden werden Daten schrittweise verpackt.
Beispiel:
Anwendung erzeugt Daten.
TCP ergänzt Portinformationen.
IP ergänzt IP-Adressen.
Ethernet ergänzt MAC-Adressen.
Bits werden übertragen.
Beim Empfangen wird alles wieder entpackt.
Merksatz:
Kapselung bedeutet:
Jede Schicht ergänzt eigene Steuerinformationen.
---
**PDU-Begriffe wiederholen**
| Schicht | Einheit |
|---|---|
| Anwendung | Daten |
| Transport | Segment oder Datagramm |
| Internet / Netzwerk | Paket |
| Sicherung | Frame |
| Bitübertragung | Bits |
Merksatz:
Daten werden zu Segmenten,
Paketen,
Frames
und Bits.
---
**MAC-Adresse wiederholen**
Eine MAC-Adresse arbeitet auf Schicht 2.
Sie dient der lokalen Zustellung im selben Netzwerksegment.
Wichtig:
MAC-Adressen werden von Switches genutzt.
MAC-Adressen ändern sich an jedem Router-Hop.
MAC-Adressen sind nicht für Routing über Netze hinweg zuständig.
Merksatz:
MAC-Adresse = lokale Zustellung im LAN.
---
**IP-Adresse wiederholen**
Eine IP-Adresse arbeitet auf Schicht 3.
Sie dient der logischen Adressierung über Netzgrenzen hinweg.
Wichtig:
IP-Adressen werden für Routing genutzt.
IP-Adressen bestehen aus Netzanteil und Hostanteil.
Subnetzmaske oder Präfix bestimmt die Aufteilung.
Merksatz:
IP-Adresse = logische Adresse für Routing.
---
**Port wiederholen**
Ports arbeiten auf Schicht 4.
Sie ordnen Netzwerkverkehr einem Dienst oder Prozess zu.
Beispiele:
TCP 80 HTTP
TCP 443 HTTPS
TCP 22 SSH
TCP 3389 RDP
TCP 25 SMTP
UDP 53 DNS
UDP 67 und 68 DHCP
Merksatz:
Port = Dienstadresse auf einem Host.
---
**MAC, IP und Port unterscheiden**
| Begriff | Schicht | Aufgabe |
|---|---|---|
| MAC-Adresse | 2 | lokale Zustellung im LAN |
| IP-Adresse | 3 | logische Adressierung und Routing |
| Port | 4 | Zuordnung zu Dienst oder Anwendung |
Merksatz:
MAC findet Gerät im lokalen Netz.
IP findet Netz und Host.
Port findet Dienst.
---
**IPv4-Grundlagen wiederholen**
IPv4-Adressen bestehen aus 32 Bit.
Sie werden meist dezimal in vier Oktetten dargestellt.
Beispiel:
192.168.1.10
Dazu gehört eine Subnetzmaske oder Präfixlänge.
Beispiel:
192.168.1.10/24
Merksatz:
IPv4-Adresse plus Präfix bestimmt Netz und Host.
---
**Private IPv4-Adressbereiche**
Wichtige private IPv4-Bereiche:
| Bereich | CIDR |
|---|---|
| 10.0.0.0 bis 10.255.255.255 | 10.0.0.0/8 |
| 172.16.0.0 bis 172.31.255.255 | 172.16.0.0/12 |
| 192.168.0.0 bis 192.168.255.255 | 192.168.0.0/16 |
Merksatz:
Private IP-Adressen werden im Internet nicht direkt geroutet.
---
**Subnetzmaske wiederholen**
Die Subnetzmaske trennt Netzanteil und Hostanteil.
Beispiel:
/24 bedeutet:
24 Bit Netzanteil,
8 Bit Hostanteil
Bei IPv4 gilt:
Hostanzahl = 2 hoch Hostbits minus 2
Das minus 2 steht meist für:
Netzadresse
und
Broadcastadresse
Merksatz:
Mehr Hostbits bedeuten mehr mögliche Hosts.
---
**Häufige Präfixe**
| Präfix | Maske | Adressen | nutzbare Hosts |
|---|---|---:|---:|
| /24 | 255.255.255.0 | 256 | 254 |
| /25 | 255.255.255.128 | 128 | 126 |
| /26 | 255.255.255.192 | 64 | 62 |
| /27 | 255.255.255.224 | 32 | 30 |
| /28 | 255.255.255.240 | 16 | 14 |
| /29 | 255.255.255.248 | 8 | 6 |
| /30 | 255.255.255.252 | 4 | 2 |
Merksatz:
Pro zusätzlichem Netzbit halbiert sich die Hostanzahl.
---
**Subnetting-Grundregel**
Wenn der Präfix größer wird:
mehr Netzbits
weniger Hostbits
kleinere Subnetze
Wenn der Präfix kleiner wird:
weniger Netzbits
mehr Hostbits
größere Subnetze
Merksatz:
/25 ist kleiner als /24.
/23 ist größer als /24.
---
**Broadcast wiederholen**
Die Broadcastadresse ist die letzte Adresse eines IPv4-Subnetzes.
Sie dient dazu,
alle Hosts im Subnetz zu erreichen.
Beispiel bei:
192.168.1.0/24
Broadcast:
192.168.1.255
Merksatz:
Broadcast = letzte Adresse im IPv4-Subnetz.
---
**Netzadresse wiederholen**
Die Netzadresse ist die erste Adresse eines Subnetzes.
Sie beschreibt das Netzwerk selbst.
Beispiel bei:
192.168.1.0/24
Netzadresse:
192.168.1.0
Merksatz:
Netzadresse = erste Adresse im Subnetz.
---
**Erste und letzte nutzbare Adresse**
Bei einem normalen IPv4-Subnetz gilt:
erste nutzbare Adresse:
Netzadresse plus 1
letzte nutzbare Adresse:
Broadcastadresse minus 1
Beispiel:
Netz:
192.168.1.0/24
erste nutzbare:
192.168.1.1
letzte nutzbare:
192.168.1.254
Merksatz:
Erste nutzbare = Netzadresse + 1.
Letzte nutzbare = Broadcast - 1.
---
**Gateway wiederholen**
Das Standardgateway ist der Router,
über den ein Host andere Netze erreicht.
Ohne Gateway funktioniert meist nur Kommunikation im eigenen Subnetz.
Merksatz:
Gateway = Ausgang in andere Netze.
---
**DNS wiederholen**
DNS übersetzt Namen in IP-Adressen.
Beispiel:
www.example.com
wird zu:
IP-Adresse
Typische Fehler:
falscher DNS-Server
DNS-Server nicht erreichbar
falscher DNS-Eintrag
DNS-Cache veraltet
Split-DNS bei VPN falsch
Merksatz:
Wenn IP funktioniert,
aber Name nicht:
DNS prüfen.
---
**DHCP wiederholen**
DHCP verteilt automatisch Netzwerkkonfiguration.
Typische Informationen:
IP-Adresse
Subnetzmaske
Gateway
DNS-Server
Lease-Zeit
Merksatz:
DHCP nimmt Clients die manuelle IP-Konfiguration ab.
---
**DHCP-Ablauf DORA**
DORA steht für:
Discover
Offer
Request
Acknowledge
Ablauf:
Client sucht DHCP-Server.
Server bietet Adresse an.
Client fordert Adresse an.
Server bestätigt die Vergabe.
Merksatz:
DHCP-DORA = Discover,
Offer,
Request,
Acknowledge.
---
**ARP wiederholen**
ARP löst IPv4-Adresse in MAC-Adresse auf.
Es funktioniert im lokalen Netz.
Beispiel:
Wer hat 192.168.1.1?
Antwort:
MAC-Adresse des Gateways
Merksatz:
ARP verbindet IPv4 und MAC im lokalen Netz.
---
**Switching wiederholen**
Ein Switch arbeitet hauptsächlich auf Schicht 2.
Er lernt MAC-Adressen an Ports
und leitet Frames passend weiter.
Wenn die Ziel-MAC unbekannt ist,
wird geflutet.
Merksatz:
Switch lernt MAC-Adressen und baut eine MAC-Adresstabelle.
---
**VLAN wiederholen**
VLANs trennen ein physisches Netzwerk logisch in mehrere getrennte Netze.
Vorteile:
bessere Struktur
weniger Broadcastverkehr pro Segment
Sicherheitszonen
Trennung von Abteilungen
Trennung von Gastnetz und internem Netz
Merksatz:
VLAN trennt logisch auf Schicht 2.
---
**Access-Port und Trunk-Port**
Access-Port:
gehört zu einem VLAN
meist für Endgeräte
Trunk-Port:
transportiert mehrere VLANs
meist zwischen Switches,
Router
oder Firewall
Merksatz:
Access = ein VLAN.
Trunk = mehrere VLANs.
---
**Routing wiederholen**
Routing verbindet verschiedene IP-Netze.
Router entscheiden anhand der Routing-Tabelle,
wohin Pakete weitergeleitet werden.
Merksatz:
Routing verbindet Netze.
---
**Routing-Tabelle wiederholen**
Eine Routing-Tabelle enthält:
Zielnetz
Gateway oder Next Hop
Interface
Metrik
Wichtig:
Die spezifischste passende Route gewinnt.
Merksatz:
Routing-Tabelle bestimmt den nächsten Weg.
---
**ICMP wiederholen**
ICMP wird für Kontroll- und Fehlermeldungen genutzt.
Typische Werkzeuge:
ping
traceroute
Merksatz:
ICMP hilft bei Diagnose,
ist aber kein Transportprotokoll für Anwendungen.
---
**TCP wiederholen**
TCP ist verbindungsorientiert und zuverlässig.
Eigenschaften:
Verbindungsaufbau
Reihenfolge
Bestätigung
Wiederholung verlorener Daten
Flusskontrolle
Fehlererkennung
Merksatz:
TCP = zuverlässig und verbindungsorientiert.
---
**UDP wiederholen**
UDP ist verbindungslos und schlanker.
Eigenschaften:
kein Verbindungsaufbau
keine eingebaute Zustellgarantie
wenig Overhead
schnell
Typische Anwendungen:
DNS
DHCP
VoIP
Streaming
Gaming
Merksatz:
UDP = schnell und verbindungslos.
---
**TCP und UDP vergleichen**
| Merkmal | TCP | UDP |
|---|---|---|
| Verbindung | verbindungsorientiert | verbindungslos |
| Zuverlässigkeit | hoch | keine eingebaute Garantie |
| Reihenfolge | wird gesichert | nicht garantiert |
| Overhead | höher | geringer |
| Beispiele | HTTP, HTTPS, SSH, SMTP | DNS, DHCP, VoIP |
Merksatz:
TCP sicherer in der Zustellung.
UDP schneller und einfacher.
---
**NAT wiederholen**
NAT steht für:
Network Address Translation
NAT übersetzt IP-Adressen.
Häufigster Fall:
private interne IP-Adressen werden beim Internetzugriff in eine öffentliche IP-Adresse übersetzt.
Merksatz:
NAT übersetzt Adressen.
---
**PAT wiederholen**
PAT steht für:
Port Address Translation
Dabei nutzen viele interne Geräte eine öffentliche IP-Adresse
und werden über Ports unterschieden.
Merksatz:
PAT ermöglicht vielen Clients Internetzugriff über eine öffentliche IP.
---
**Portweiterleitung wiederholen**
Portweiterleitung leitet eingehenden Verkehr von außen an einen internen Dienst weiter.
Beispiel:
Extern TCP 443
wird weitergeleitet zu
internem Webserver TCP 443
Merksatz:
Portweiterleitung macht interne Dienste von außen erreichbar.
---
**Firewall wiederholen**
Eine Firewall filtert Netzwerkverkehr anhand von Regeln.
Typische Kriterien:
Quelle
Ziel
Port
Protokoll
Richtung
Zustand
Benutzer je nach System
Anwendung je nach System
Merksatz:
Firewall entscheidet,
welcher Verkehr erlaubt oder blockiert wird.
---
**DMZ wiederholen**
Eine DMZ ist ein getrenntes Netzwerksegment für öffentlich erreichbare Dienste.
Beispiele:
Webserver
Reverse Proxy
Mail-Gateway
VPN-Gateway
Ziel:
interne Netze schützen
Merksatz:
DMZ trennt öffentliche Dienste vom internen Netz.
---
**VPN wiederholen**
VPN stellt einen verschlüsselten Tunnel her.
Typische Arten:
Remote-Access-VPN
Site-to-Site-VPN
Merksatz:
VPN verbindet Netze oder Benutzer sicher über unsichere Netze.
---
**Cloud-Modelle wiederholen**
| Modell | Bedeutung |
|---|---|
| IaaS | virtuelle Infrastruktur |
| PaaS | Plattform für Anwendungen |
| SaaS | fertige Anwendung |
Merksatz:
IaaS bietet Infrastruktur.
PaaS bietet Plattform.
SaaS bietet fertige Software.
---
**Cloud-Bereitstellungsmodelle wiederholen**
| Modell | Bedeutung |
|---|---|
| Public Cloud | öffentlich angebotene Cloud |
| Private Cloud | Cloud für eine Organisation |
| Hybrid Cloud | Kombination aus lokal und Cloud |
| Multi Cloud | mehrere Cloud-Anbieter |
Merksatz:
Hybrid beschreibt Mischung der Betriebsorte.
Multi Cloud beschreibt mehrere Anbieter.
---
**Shared Responsibility wiederholen**
In der Cloud teilen sich Anbieter und Kunde Verantwortung.
Grundidee:
Anbieter schützt die Cloud-Infrastruktur.
Kunde schützt seine Daten,
Identitäten,
Konfigurationen
und Zugriffe.
Merksatz:
Cloud-Anbieter übernimmt nicht automatisch alle Sicherheitsaufgaben.
---
**Informationssicherheit wiederholen**
Wichtige Schutzziele:
Vertraulichkeit
Integrität
Verfügbarkeit
Zusätzlich wichtig:
Authentizität
Nichtabstreitbarkeit
Merksatz:
CIA-Triade = Vertraulichkeit,
Integrität,
Verfügbarkeit.
---
**Typische Angriffe wiederholen**
Wichtige Angriffe:
Malware
Ransomware
Phishing
Social Engineering
DoS
DDoS
Man-in-the-Middle
Spoofing
SQL Injection
XSS
CSRF
Brute Force
Credential Stuffing
Merksatz:
Angriff immer dem betroffenen Schutzziel zuordnen.
---
**Typische Schutzmaßnahmen wiederholen**
Wichtige Schutzmaßnahmen:
Patchmanagement
Hardening
Firewall
IDS
IPS
EDR
SIEM
MFA
Backup
Netzwerksegmentierung
Least Privilege
Monitoring
Logging
Schulung
Incident Response
Merksatz:
Sicherheit entsteht durch mehrere Schutzschichten.
---
**Backup wiederholen**
Backup bedeutet:
Sicherung von Daten,
Systemen
oder Konfigurationen.
Restore bedeutet:
Wiederherstellung aus Backup.
Wichtig:
Backup ohne Restore-Test ist unsicher.
Merksatz:
Backup ist erst sicher,
wenn Restore getestet wurde.
---
**RPO und RTO wiederholen**
RPO:
maximal akzeptabler Datenverlust
RTO:
maximal akzeptable Wiederherstellungszeit
Merksatz:
RPO = Datenverlust.
RTO = Wiederherstellungszeit.
---
**Prüfungsvorgehen bei Rechenaufgaben**
Bei Rechenaufgaben wichtig:
Einheiten beachten.
Bits und Bytes unterscheiden.
Mbit/s und MB/s nicht verwechseln.
Netzadresse und Broadcast prüfen.
Hostanzahl mit Hostbits berechnen.
Zwischenschritte sauber notieren.
Ergebnis auf Plausibilität prüfen.
Merksatz:
Viele Fehler entstehen durch Einheiten und Präfixe.
---
**Bit und Byte wiederholen**
1 Byte besteht aus:
8 Bit
Beispiele:
100 Mbit/s
ist nicht dasselbe wie:
100 MB/s
Umrechnung:
Bit durch 8 = Byte
Byte mal 8 = Bit
Merksatz:
Bit ist klein b.
Byte ist großes B.
---
**Typische Einheitenfallen**
| Schreibweise | Bedeutung |
|---|---|
| b | Bit |
| B | Byte |
| kbit | Kilobit |
| kB | Kilobyte |
| Mbit | Megabit |
| MB | Megabyte |
| Gbit | Gigabit |
| GB | Gigabyte |
Merksatz:
Großes B ist Byte.
Kleines b ist Bit.
---
**Prüfungsstrategie bei Fehlersuche**
Bei Fehlersuche:
Problem genau lesen.
Symptome markieren.
Betroffene Systeme erkennen.
Funktioniert IP?
Funktioniert DNS?
Ist Gateway korrekt?
Ist Dienst erreichbar?
Ist Port offen?
Gibt es Firewall-Regeln?
Gab es Änderungen?
Was ist die wahrscheinlichste Ursache?
Merksatz:
Symptome zuerst,
Lösung danach.
---
**Signalwörter in Prüfungsaufgaben**
Typische Signalwörter:
| Signalwort | Hinweis |
|---|---|
| IP geht, Name nicht | DNS |
| lokal geht, Internet nicht | Gateway oder NAT |
| nur ein VLAN betroffen | VLAN oder Routing |
| nur ein Dienst betroffen | Port, Dienst, Firewall |
| alle Dienste langsam | Netzwerk, Last, DNS oder Speicher |
| Anmeldung schlägt fehl | Authentifizierung oder Konto |
| Zugriff verweigert | Autorisierung oder Rechte |
| Zertifikatswarnung | Zertifikat, Hostname oder Zeit |
| nach Update defekt | Änderung, Version, Kompatibilität |
| nur extern nicht erreichbar | Firewall, NAT, DNS, Provider |
Merksatz:
Signalwörter zeigen die Richtung der Fehlersuche.
---
**Typische IHK-Prüfungsfallen**
OSI-Schichten verwechseln.
TCP und UDP verwechseln.
MAC,
IP
und Port verwechseln.
DNS und DHCP verwechseln.
NAT und Portweiterleitung verwechseln.
Firewall und Router verwechseln.
VLAN trennt Schicht 2,
Routing verbindet Netze.
ping prüft ICMP,
nicht jeden Dienst.
Kein ping bedeutet nicht automatisch Ziel offline.
IP funktioniert,
Name nicht:
DNS prüfen.
RDP nutzt TCP 3389.
SSH nutzt TCP 22.
SMB nutzt TCP 445.
HTTPS nutzt TCP 443.
DHCP nutzt UDP 67 und 68.
DNS nutzt häufig UDP 53,
je nach Fall auch TCP 53.
FTP ist unverschlüsselt.
SFTP ist nicht FTPS.
Backup,
Replikation
und Synchronisation unterscheiden.
RPO und RTO unterscheiden.
Authentifizierung und Autorisierung unterscheiden.
Least Privilege nicht mit Need to Know verwechseln.
---
**Prüfungsantworten kurz und fachlich formulieren**
Eine gute Prüfungsantwort ist:
fachlich korrekt
kurz
begründet
auf die Aufgabe bezogen
ohne unnötiges Ausschweifen
Schlechtes Beispiel:
Vielleicht liegt es am Internet.
Besser:
Da die Verbindung zur IP-Adresse funktioniert,
aber die Namensauflösung fehlschlägt,
liegt wahrscheinlich ein DNS-Problem vor.
Merksatz:
Antwort immer aus dem Fehlerbild begründen.
---
**Beispiel: DNS-Fehler erkennen**
Fehlerbild:
Webseite ist per IP erreichbar,
aber nicht per Namen.
Wahrscheinliche Ursache:
DNS-Problem
Prüfung:
DNS-Server prüfen
nslookup oder dig nutzen
DNS-Cache prüfen
richtigen DNS-Server konfigurieren
Merksatz:
IP ja,
Name nein:
DNS.
---
**Beispiel: Gateway-Fehler erkennen**
Fehlerbild:
Client erreicht lokale Systeme,
aber keine externen Netze.
Wahrscheinliche Ursache:
Standardgateway fehlt oder ist falsch.
Prüfung:
IP-Konfiguration prüfen
Gateway prüfen
Routing-Tabelle prüfen
Gateway anpingen
Merksatz:
Lokal ja,
extern nein:
Gateway prüfen.
---
**Beispiel: Firewall-Fehler erkennen**
Fehlerbild:
Server ist erreichbar,
aber bestimmter Dienst nicht.
Mögliche Ursache:
Port wird blockiert
Dienst läuft nicht
Firewall-Regel fehlt
Prüfung:
Dienststatus prüfen
Port prüfen
Firewall-Regeln prüfen
Logs prüfen
Merksatz:
Host erreichbar,
Dienst nicht:
Port,
Dienst
und Firewall prüfen.
---
**Beispiel: Rechteproblem erkennen**
Fehlerbild:
Benutzer kann sich anmelden,
aber Datei nicht öffnen.
Wahrscheinliche Ursache:
Autorisierungs- oder Berechtigungsproblem
Prüfung:
Gruppenmitgliedschaft
Freigaberechte
Dateisystemrechte
ACL
Deny-Regeln
Merksatz:
Anmeldung erfolgreich,
Zugriff verweigert:
Rechte prüfen.
---
**Beispiel: Zertifikatsproblem erkennen**
Fehlerbild:
Browser meldet Zertifikatswarnung.
Mögliche Ursachen:
Zertifikat abgelaufen
Hostname passt nicht
Zertifikatskette unvollständig
Systemzeit falsch
falsches Zertifikat installiert
Merksatz:
Zertifikatsfehler:
Ablauf,
Name,
Kette
und Zeit prüfen.
---
**Checkliste: letzte Wiederholung vor der Prüfung**
OSI-Schichten sicher können.
TCP/IP-Modell sicher können.
MAC,
IP
und Port unterscheiden.
Private IP-Bereiche kennen.
Subnetting üben.
Netzadresse und Broadcast berechnen.
Gateway,
DNS
und DHCP unterscheiden.
TCP und UDP vergleichen.
Standardports wiederholen.
NAT,
PAT
und Portweiterleitung unterscheiden.
Firewall-Regeln verstehen.
VLAN und Routing unterscheiden.
VPN-Arten wiederholen.
Cloud-Modelle unterscheiden.
Sicherheitsangriffe zuordnen.
Schutzmaßnahmen nennen können.
Backup,
Restore,
RPO
und RTO unterscheiden.
Rechte,
Rollen
und Gruppen verstehen.
Logging,
Monitoring
und Alerting unterscheiden.
Fehlersuche systematisch erklären.
Merksatz:
Wer sauber zuordnet,
löst viele Prüfungsaufgaben sicherer.
---
**IHK-sichere Kurzformulierung**
In der Prüfungsvorbereitung sollten Netzwerkthemen nicht isoliert, sondern im Zusammenhang wiederholt werden. Das OSI-Modell hilft bei der strukturierten Fehlersuche, während das TCP/IP-Modell die praktische Kommunikation beschreibt. MAC-Adressen arbeiten auf Schicht 2, IP-Adressen auf Schicht 3 und Ports auf Schicht 4. DNS löst Namen auf, DHCP verteilt Netzwerkkonfiguration und das Gateway verbindet einen Host mit anderen Netzen. TCP ist verbindungsorientiert und zuverlässig, UDP ist verbindungslos und schlank. Firewalls filtern Verkehr, NAT übersetzt Adressen, VPNs verschlüsseln Verbindungen und Backups ermöglichen Wiederherstellung. Bei Prüfungsaufgaben sollten Symptome genau gelesen, Signalwörter erkannt und Lösungen fachlich kurz begründet werden.
---
**Wichtigste Merksätze**
Prüfungsvorbereitung heißt Zusammenhänge verstehen.
Erst Aufgabe lesen,
dann Lösung ableiten.
OSI hilft bei Fehlersuche.
TCP/IP beschreibt praktische Kommunikation.
Kapselung verpackt Daten schichtweise.
MAC ist Schicht 2.
IP ist Schicht 3.
Port ist Schicht 4.
MAC lokal,
IP logisch,
Port Dienst.
IPv4 hat 32 Bit.
Präfix bestimmt Netz- und Hostanteil.
Pro Netzbit weniger halbiert sich die Hostanzahl.
Pro Hostbit mehr verdoppelt sich die Hostanzahl.
Netzadresse ist erste Adresse.
Broadcast ist letzte Adresse.
Gateway führt in andere Netze.
DNS löst Namen auf.
DHCP verteilt IP-Konfiguration.
ARP löst IPv4 zu MAC auf.
Switch lernt MAC-Adressen.
VLAN trennt logisch.
Routing verbindet Netze.
ICMP hilft bei Diagnose.
TCP ist zuverlässig.
UDP ist schnell und verbindungslos.
NAT übersetzt Adressen.
PAT nutzt Ports zur Zuordnung.
Firewall filtert Verkehr.
DMZ trennt öffentliche Dienste.
VPN verschlüsselt Verbindungen.
IaaS,
PaaS
und SaaS unterscheiden.
Public,
Private,
Hybrid
und Multi Cloud unterscheiden.
Vertraulichkeit,
Integrität
und Verfügbarkeit unterscheiden.
Angriff dem Schutzziel zuordnen.
Schutzmaßnahmen kombinieren.
Backup ohne Restore-Test ist unsicher.
RPO ist Datenverlust.
RTO ist Wiederherstellungszeit.
Bit und Byte unterscheiden.
IP funktioniert,
Name nicht:
DNS prüfen.
Lokal geht,
extern nicht:
Gateway prüfen.
Host geht,
Dienst nicht:
Port,
Dienst
und Firewall prüfen.
Anmeldung geht,
Zugriff nicht:
Rechte prüfen.
Zertifikatsfehler:
Ablauf,
Name,
Kette
und Zeit prüfen.
Signalwörter erkennen.
Prüfungsantwort kurz,
fachlich
und begründet formulieren.
# 18. Prüfungsvorbereitung und Wiederholung
# 18.1 Prüfungsstrategie: Aufgaben richtig lesen und sicher beantworten
In Prüfungen reicht Fachwissen allein nicht aus.
Wichtig ist auch,
Aufgaben richtig zu lesen,
Signalwörter zu erkennen
und Antworten fachlich passend zu formulieren.
Viele Fehler entstehen nicht,
weil das Thema unbekannt ist,
sondern weil die Aufgabenstellung falsch verstanden wird.
Merksatz:
Erst verstehen,
dann antworten.
---
**Warum Aufgabenlesen so wichtig ist**
Prüfungsaufgaben enthalten oft Hinweise,
die direkt zur Lösung führen.
Diese Hinweise stehen zum Beispiel in:
Fehlerbeschreibung
IP-Konfiguration
Netzplan
Tabellen
Protokollausgabe
Logmeldung
Benutzerbeschreibung
Rahmenbedingungen
Einschränkungen
Formulierung der Frage
Merksatz:
Die Lösung steht oft indirekt schon in der Aufgabe.
---
**Typischer Fehler: zu schnell antworten**
Ein häufiger Prüfungsfehler ist:
Man erkennt ein bekanntes Stichwort
und antwortet sofort aus dem Gedächtnis.
Problem:
Die Aufgabe fragt vielleicht etwas anderes.
Beispiel:
In der Aufgabe steht DNS,
aber gefragt ist nicht:
Was ist DNS?
Sondern:
Warum funktioniert die Namensauflösung nur im VPN?
Dann geht es wahrscheinlich um:
Split-DNS
DNS-Server
VPN-Konfiguration
interne und externe Namensauflösung
Merksatz:
Nicht auf das erste bekannte Wort springen.
---
**Drei-Schritte-Methode**
Bei jeder Prüfungsaufgabe hilft eine einfache Methode:
1. Aufgabenstellung genau lesen.
2. Gegebene Informationen markieren.
3. Antwort direkt auf die Frage formulieren.
Merksatz:
Frage,
Hinweise,
Antwort.
---
**Schritt 1: Aufgabenstellung genau lesen**
Wichtige Fragen:
Was wird wirklich gefragt?
Soll ich erklären?
Soll ich berechnen?
Soll ich vergleichen?
Soll ich begründen?
Soll ich eine Maßnahme nennen?
Soll ich einen Fehler finden?
Soll ich eine Konfiguration bewerten?
Merksatz:
Die Operatoren bestimmen,
wie ausführlich die Antwort sein muss.
---
**Operatoren in Prüfungsaufgaben**
Operatoren sind Arbeitsaufträge.
Typische Operatoren:
| Operator | Bedeutung |
|---|---|
| nennen | kurze Stichpunkte oder Begriffe |
| beschreiben | sachlich darstellen |
| erklären | Zusammenhang verständlich machen |
| begründen | warum etwas so ist |
| vergleichen | Gemeinsamkeiten und Unterschiede |
| berechnen | rechnerisch ermitteln |
| ermitteln | aus Angaben ableiten |
| bewerten | fachlich einschätzen |
| erläutern | ausführlicher erklären |
| zuordnen | Begriffe passend einordnen |
Merksatz:
Operator beachten,
sonst ist die Antwort schnell zu kurz oder zu lang.
---
**Nennen**
Wenn die Aufgabe „nennen“ verlangt,
reichen meist kurze Begriffe.
Beispiel:
Nennen Sie zwei Vorteile von VLANs.
Mögliche Antwort:
Trennung von Broadcast-Domänen
bessere Segmentierung
erhöhte Sicherheit durch logische Netztrennung
Merksatz:
Nennen = kurz und direkt.
---
**Beschreiben**
Bei „beschreiben“ soll ein Sachverhalt dargestellt werden.
Beispiel:
Beschreiben Sie die Aufgabe eines DHCP-Servers.
Mögliche Antwort:
Ein DHCP-Server weist Clients automatisch Netzwerkkonfigurationen wie IP-Adresse,
Subnetzmaske,
Standardgateway
und DNS-Server zu.
Merksatz:
Beschreiben = was passiert?
---
**Erklären**
Bei „erklären“ soll der Zusammenhang klar werden.
Beispiel:
Erklären Sie,
warum ein Client ohne Standardgateway keine Internetverbindung hat.
Mögliche Antwort:
Das Standardgateway ist der Router in andere Netze.
Ohne Standardgateway kann der Client nur Ziele im eigenen Subnetz erreichen,
aber keine externen Netze wie das Internet.
Merksatz:
Erklären = Zusammenhang zeigen.
---
**Begründen**
Bei „begründen“ muss ein Warum enthalten sein.
Beispiel:
Begründen Sie,
warum RDP nicht direkt aus dem Internet erreichbar sein sollte.
Mögliche Antwort:
RDP ist ein häufiges Angriffsziel für Brute-Force-Angriffe,
Credential Stuffing
und Exploits.
Deshalb sollte RDP über VPN,
Gateway,
MFA
und Firewall-Beschränkungen abgesichert werden.
Merksatz:
Begründen = Aussage plus Warum.
---
**Vergleichen**
Bei „vergleichen“ sollten mindestens zwei Dinge gegenübergestellt werden.
Beispiel:
Vergleichen Sie TCP und UDP.
Mögliche Antwort:
| Merkmal | TCP | UDP |
|---|---|---|
| Verbindung | verbindungsorientiert | verbindungslos |
| Zuverlässigkeit | bestätigt und wiederholt Daten | keine eingebaute Zustellgarantie |
| Overhead | höher | geringer |
| Beispiele | HTTP, HTTPS, SSH | DNS, DHCP, VoIP |
Merksatz:
Vergleichen = Unterschiede und Gemeinsamkeiten sichtbar machen.
---
**Berechnen**
Bei „berechnen“ muss ein Ergebnis aus Zahlen abgeleitet werden.
Typische Themen:
Subnetting
Hostanzahl
Netzadresse
Broadcastadresse
Übertragungszeit
Speicherbedarf
Verfügbarkeit
RPO/RTO
Datenrate
Kosten
Merksatz:
Berechnen = Einheit,
Formel
und Ergebnis sauber beachten.
---
**Bewerten**
Bei „bewerten“ soll fachlich eingeschätzt werden.
Beispiel:
Bewerten Sie,
ob eine öffentliche SMB-Freigabe im Internet sinnvoll ist.
Mögliche Antwort:
Eine öffentliche SMB-Freigabe ist aus Sicherheitsgründen kritisch,
da SMB ein häufig angegriffenes Protokoll ist und Dateifreigaben sensible Daten enthalten können.
Besser wäre ein Zugriff über VPN,
SFTP
oder eine abgesicherte Plattform mit Authentifizierung,
Protokollierung
und Rechtebegrenzung.
Merksatz:
Bewerten = fachliche Einschätzung mit Begründung.
---
**Aufgabentext markieren**
Beim Lesen sollten wichtige Informationen gedanklich markiert werden.
Besonders wichtig:
IP-Adressen
Subnetzmasken
Gateways
DNS-Server
Ports
Protokolle
Fehlermeldungen
betroffene Systeme
Zeitpunkt
letzte Änderung
Benutzerrechte
Sicherheitsanforderungen
Merksatz:
Zahlen,
Fehler
und Einschränkungen sind meistens prüfungsrelevant.
---
**Signalwörter erkennen**
Viele Aufgaben enthalten typische Signalwörter.
| Signalwort oder Fehlerbild | Wahrscheinliche Richtung |
|---|---|
| IP erreichbar, Name nicht | DNS |
| lokales Netz erreichbar, Internet nicht | Gateway, NAT oder Firewall |
| nur bestimmter Port geht nicht | Firewall, Dienst oder Port |
| alle Benutzer betroffen | zentraler Dienst oder Netzwerk |
| nur ein Benutzer betroffen | Konto, Rechte oder Client |
| nach Update | Änderung, Version oder Kompatibilität |
| Zertifikatswarnung | Zertifikat, Hostname, Zeit |
| Zugriff verweigert | Autorisierung, ACL, Gruppe |
| Anmeldung fehlgeschlagen | Authentifizierung |
| falsche IP automatisch erhalten | DHCP |
| IP 169.254.x.x | keine gültige DHCP-Adresse |
| nur ein VLAN betroffen | VLAN, Routing oder Firewall |
| Verbindung langsam | Last, Latenz, Paketverlust oder DNS |
Merksatz:
Signalwörter zeigen,
wo die Fehlersuche beginnen sollte.
---
**Aufgaben mit Netzplan**
Bei Aufgaben mit Netzplan zuerst prüfen:
Welche Netze gibt es?
Welche Subnetze sind eingetragen?
Wo ist das Gateway?
Welche VLANs gibt es?
Wo steht die Firewall?
Wo findet NAT statt?
Welche Dienste stehen in der DMZ?
Welche Verbindung ist erlaubt?
Welche Verbindung ist blockiert?
Merksatz:
Netzplan zuerst verstehen,
dann Fehler suchen.
---
**Aufgaben mit Tabellen**
Tabellen enthalten oft konkrete Hinweise.
Zu prüfen:
stimmen IP-Adressen?
passen Subnetzmasken?
ist Gateway im gleichen Netz?
sind DNS-Server plausibel?
sind Ports korrekt?
sind VLANs richtig zugeordnet?
sind Rechte korrekt?
sind Kosten oder Zeiten korrekt?
Merksatz:
Tabellen nicht überfliegen,
sondern systematisch prüfen.
---
**Aufgaben mit Logs**
Logs zeigen Ereignisse.
Bei Logaufgaben prüfen:
Zeitpunkt
Quelle
Ziel
Benutzer
Fehlermeldung
Statuscode
Port
Dienst
erfolgreiche oder fehlgeschlagene Aktion
wiederholte Muster
Merksatz:
Logs beantworten oft:
Wer,
wann,
was,
von wo,
mit welchem Ergebnis?
---
**Aufgaben mit HTTP-Statuscodes**
HTTP-Statuscodes richtig einordnen:
| Statuscode | Bedeutung |
|---|---|
| 200 | erfolgreich |
| 301 / 302 | Weiterleitung |
| 400 | fehlerhafte Anfrage |
| 401 | nicht authentifiziert |
| 403 | verboten |
| 404 | nicht gefunden |
| 500 | interner Serverfehler |
| 502 | Fehler beim Gateway oder Backend |
| 503 | Dienst nicht verfügbar |
Merksatz:
4xx deutet eher auf Client,
Anfrage
oder Rechte.
5xx deutet eher auf Server,
Anwendung
oder Backend.
---
**Aufgaben mit IP-Konfiguration**
Bei IP-Konfiguration prüfen:
IP-Adresse vorhanden?
Subnetzmaske korrekt?
Gateway im gleichen Netz?
DNS-Server korrekt?
DHCP oder statisch?
doppelte IP möglich?
APIPA-Adresse vorhanden?
IPv4 oder IPv6 relevant?
Merksatz:
IP,
Maske,
Gateway
und DNS gemeinsam prüfen.
---
**APIPA erkennen**
APIPA-Adressen liegen im Bereich:
169.254.0.0/16
Sie entstehen,
wenn ein Client keine gültige DHCP-Adresse erhält.
Typisches Fehlerbild:
Client hat 169.254.x.x
und erreicht keine normalen Netzdienste.
Merksatz:
169.254.x.x deutet auf DHCP-Problem hin.
---
**Gateway im gleichen Netz prüfen**
Das Gateway muss für den Client lokal erreichbar sein.
Beispiel:
Client:
192.168.10.50/24
Gateway:
192.168.20.1
Problem:
Gateway liegt nicht im gleichen Subnetz.
Merksatz:
Standardgateway muss im erreichbaren lokalen Netz liegen.
---
**DNS-Problem sicher erkennen**
Typisches Fehlerbild:
ping auf IP-Adresse funktioniert
ping oder Zugriff per Name funktioniert nicht
Wahrscheinliche Ursache:
DNS
Prüfen:
DNS-Server
DNS-Eintrag
DNS-Suffix
Split-DNS
DNS-Cache
Merksatz:
IP ja,
Name nein:
DNS.
---
**Firewall-Problem sicher erkennen**
Typisches Fehlerbild:
Zielhost ist erreichbar,
aber bestimmter Dienst nicht.
Mögliche Ursachen:
Firewall blockiert Port
Dienst läuft nicht
Dienst lauscht auf falscher Schnittstelle
NAT oder Portweiterleitung fehlt
Prüfen:
Port
Dienststatus
Firewall-Regel
Logs
Merksatz:
Host ja,
Dienst nein:
Port,
Dienst,
Firewall.
---
**Rechteproblem sicher erkennen**
Typisches Fehlerbild:
Anmeldung funktioniert,
Zugriff auf Datei oder Anwendung aber nicht.
Wahrscheinliche Ursache:
Autorisierung oder Berechtigung
Prüfen:
Gruppe
Rolle
ACL
Freigaberecht
Dateisystemrecht
Deny-Regel
Lizenz
Anwendungseinstellung
Merksatz:
Login ja,
Zugriff nein:
Rechte.
---
**Authentifizierungsproblem sicher erkennen**
Typisches Fehlerbild:
Benutzer kann sich nicht anmelden.
Mögliche Ursachen:
falsches Passwort
Konto gesperrt
Konto deaktiviert
MFA-Problem
Verzeichnisdienst nicht erreichbar
Uhrzeitproblem
Zertifikatsproblem
abgelaufenes Passwort
Merksatz:
Anmeldung scheitert:
Authentifizierung prüfen.
---
**Zeitproblem erkennen**
Falsche Uhrzeit kann viele Fehler verursachen.
Typische Auswirkungen:
Zertifikatsfehler
Kerberos-Fehler
MFA-Probleme
ungültige Tokens
falsche Log-Zuordnung
geplante Aufgaben laufen falsch
Merksatz:
Bei Zertifikat,
Kerberos
und Logs immer auch Zeit prüfen.
---
**Subnetting-Aufgaben richtig angehen**
Bei Subnetting immer klären:
Welche Adresse ist gegeben?
Welcher Präfix ist gegeben?
Wie viele Hostbits gibt es?
Wie viele Adressen gibt es?
Wie viele nutzbare Hosts gibt es?
Wie groß ist die Blockgröße?
Wo beginnt das Netz?
Wo endet das Netz?
Merksatz:
Subnetting ist systematische Grenzberechnung.
---
**Subnetting-Reihenfolge**
Sinnvolle Reihenfolge:
1. Präfix bestimmen.
2. Hostbits berechnen.
3. Gesamtadressen berechnen.
4. Nutzbare Hosts berechnen.
5. Blockgröße bestimmen.
6. Netzadresse bestimmen.
7. Broadcastadresse bestimmen.
8. erste und letzte nutzbare Adresse bestimmen.
Merksatz:
Immer in derselben Reihenfolge rechnen.
---
**Hostanzahl berechnen**
Formel:
nutzbare Hosts = 2 hoch Hostbits minus 2
Beispiel:
/26
Hostbits:
32 - 26 = 6
Adressen:
2 hoch 6 = 64
Nutzbare Hosts:
64 - 2 = 62
Merksatz:
Hostbits bestimmen die Hostanzahl.
---
**Blockgröße erkennen**
Die Blockgröße zeigt,
in welchen Schritten Subnetze springen.
Beispiel:
/26 entspricht Maske 255.255.255.192
Blockgröße:
256 - 192 = 64
Subnetze im letzten Oktett:
0
64
128
192
Merksatz:
Blockgröße = 256 minus interessanter Maskenwert.
---
**Netzadresse und Broadcast finden**
Beispiel:
IP:
192.168.1.70/26
Blockgröße:
64
Subnetze:
192.168.1.0
192.168.1.64
192.168.1.128
192.168.1.192
Die Adresse 70 liegt im Bereich:
192.168.1.64 bis 192.168.1.127
Netzadresse:
192.168.1.64
Broadcast:
192.168.1.127
Nutzbar:
192.168.1.65 bis 192.168.1.126
Merksatz:
IP-Adresse liegt immer in genau einem Subnetzbereich.
---
**Standardports sicher wiederholen**
| Dienst | Protokoll | Port |
|---|---|---|
| SSH | TCP | 22 |
| Telnet | TCP | 23 |
| SMTP | TCP | 25 |
| DNS | UDP/TCP | 53 |
| DHCP Server | UDP | 67 |
| DHCP Client | UDP | 68 |
| HTTP | TCP | 80 |
| POP3 | TCP | 110 |
| IMAP | TCP | 143 |
| HTTPS | TCP | 443 |
| SMB | TCP | 445 |
| SMTPS | TCP | 465 |
| IMAPS | TCP | 993 |
| POP3S | TCP | 995 |
| RDP | TCP | 3389 |
Merksatz:
Ports nicht nur auswendig lernen,
sondern Dienst und Protokoll verstehen.
---
**TCP oder UDP in der Prüfung**
Typische Zuordnung:
TCP:
wenn zuverlässige Verbindung wichtig ist
UDP:
wenn geringe Verzögerung oder einfache Anfrage wichtig ist
Beispiele:
HTTP nutzt TCP,
weil Webseiten vollständig übertragen werden sollen.
DNS nutzt häufig UDP,
weil einzelne Anfragen schnell beantwortet werden.
VoIP nutzt häufig UDP,
weil Verzögerung schlimmer ist als einzelner Paketverlust.
Merksatz:
TCP = Zuverlässigkeit.
UDP = wenig Overhead.
---
**Sicherheitsaufgaben richtig beantworten**
Bei Sicherheitsfragen immer prüfen:
Welches Schutzziel ist betroffen?
Welche Schwachstelle wird ausgenutzt?
Welche Bedrohung liegt vor?
Welche Maßnahme reduziert das Risiko?
Ist die Maßnahme technisch,
organisatorisch,
personell
oder physisch?
Merksatz:
Sicherheitsantworten mit Schutzziel und Maßnahme begründen.
---
**Schutzziele zuordnen**
| Schutzziel | Typische Verletzung |
|---|---|
| Vertraulichkeit | unberechtigtes Lesen |
| Integrität | unbemerkte Veränderung |
| Verfügbarkeit | Dienst oder Daten nicht nutzbar |
| Authentizität | falsche Identität |
| Nichtabstreitbarkeit | Handlung nicht nachweisbar |
Merksatz:
Erst Schutzziel erkennen,
dann Schutzmaßnahme nennen.
---
**Schutzmaßnahmen zuordnen**
| Risiko | passende Maßnahme |
|---|---|
| Passwortdiebstahl | MFA, Passwortmanager |
| Malware | EDR, Patchmanagement, Rechtebegrenzung |
| Ransomware | Backup, Immutable Backup, Segmentierung |
| DDoS | DDoS-Schutz, CDN, Rate Limiting |
| Datenabfluss | DLP, Verschlüsselung, Rechtekonzept |
| unsichere Freigabe | Least Privilege, Ablaufdatum, Audit |
| veraltete Software | Patchmanagement |
| Fehlkonfiguration | Change Management, Vier-Augen-Prinzip |
| unklare Vorfälle | Logging, SIEM, Monitoring |
Merksatz:
Maßnahme muss zum Risiko passen.
---
**Antworten nicht zu allgemein formulieren**
Zu allgemein:
Man sollte das sicherer machen.
Besser:
Der Zugriff sollte über VPN und MFA abgesichert werden,
damit der Administrationsdienst nicht direkt aus dem Internet erreichbar ist
und gestohlene Passwörter allein nicht ausreichen.
Merksatz:
Konkrete Maßnahme plus Grund nennen.
---
**Fachbegriffe korrekt verwenden**
Häufige Verwechslungen vermeiden:
| Nicht verwechseln | Unterschied |
|---|---|
| Authentifizierung / Autorisierung | Identität prüfen / Rechte prüfen |
| DNS / DHCP | Namen auflösen / IP-Konfiguration verteilen |
| NAT / PAT | Adresse übersetzen / Port zur Zuordnung nutzen |
| IDS / IPS | erkennen / erkennen und blockieren |
| SFTP / FTPS | SSH-basiert / FTP mit TLS |
| Backup / Replikation | Wiederherstellung alter Stände / aktuelle Kopie |
| Redundanz / Backup | Verfügbarkeit / Wiederherstellung |
| RPO / RTO | Datenverlust / Wiederherstellungszeit |
| VLAN / Subnetz | Layer-2-Trennung / Layer-3-Netz |
| Switch / Router | Frames im LAN / Pakete zwischen Netzen |
Merksatz:
Fachbegriffe sauber trennen bringt Punkte.
---
**Prüfungsantwort bei Fehlersuche aufbauen**
Gute Struktur:
1. Wahrscheinliche Ursache nennen.
2. Begründung aus Fehlerbild geben.
3. Prüfung oder Maßnahme nennen.
Beispiel:
Wahrscheinlich liegt ein DNS-Problem vor,
da die IP-Adresse erreichbar ist,
der Name aber nicht aufgelöst wird.
Der DNS-Server und der entsprechende DNS-Eintrag sollten mit nslookup oder dig geprüft werden.
Merksatz:
Ursache,
Begründung,
Prüfung.
---
**Prüfungsantwort bei Sicherheitsmaßnahme aufbauen**
Gute Struktur:
1. Risiko nennen.
2. Maßnahme nennen.
3. Wirkung erklären.
Beispiel:
Das Risiko besteht im Passwortdiebstahl durch Phishing.
Als Maßnahme sollte MFA eingesetzt werden.
Dadurch reicht ein gestohlenes Passwort allein nicht mehr für den Zugriff aus.
Merksatz:
Risiko,
Maßnahme,
Wirkung.
---
**Prüfungsantwort bei Vergleich aufbauen**
Gute Struktur:
1. Gemeinsamkeit nennen.
2. Unterschied nennen.
3. Einsatzbeispiel nennen.
Beispiel:
TCP und UDP sind Transportprotokolle.
TCP ist verbindungsorientiert und zuverlässig,
UDP ist verbindungslos und hat weniger Overhead.
TCP wird zum Beispiel bei HTTPS genutzt,
UDP häufig bei DNS oder VoIP.
Merksatz:
Gemeinsamkeit,
Unterschied,
Beispiel.
---
**Prüfungsantwort bei Berechnung aufbauen**
Gute Struktur:
1. gegebene Werte nennen
2. Formel oder Regel anwenden
3. Ergebnis mit Einheit angeben
4. Plausibilität prüfen
Beispiel:
Bei /26 gibt es 6 Hostbits.
2 hoch 6 ergibt 64 Adressen.
Davon sind 62 nutzbar,
da Netzadresse und Broadcastadresse nicht für Hosts verwendet werden.
Merksatz:
Ergebnis immer mit Einheit oder Bedeutung angeben.
---
**Wenn mehrere Antworten möglich sind**
Manche Aufgaben erlauben mehrere sinnvolle Lösungen.
Dann wichtig:
Maßnahme fachlich begründen
und
zur Aufgabenstellung passend wählen
Beispiel:
RDP absichern
Mögliche Maßnahmen:
VPN
RDP Gateway
MFA
Quell-IP-Beschränkung
NLA
Account Lockout
Logging
Merksatz:
Mehrere Maßnahmen sind möglich,
aber sie müssen zum Problem passen.
---
**Wenn eine Aufgabe nach „zwei Maßnahmen“ fragt**
Dann genau zwei nennen,
nicht zehn.
Besser:
1. MFA aktivieren,
damit ein gestohlenes Passwort allein nicht ausreicht.
2. Zugriff per Firewall auf VPN- oder feste Quell-IP-Adressen beschränken,
damit der Dienst nicht breit aus dem Internet erreichbar ist.
Merksatz:
Gefragte Anzahl beachten.
---
**Wenn eine Aufgabe nach Vorteilen und Nachteilen fragt**
Antwort sauber trennen.
Beispiel:
| Maßnahme | Vorteil | Nachteil |
|---|---|---|
| Cloud-Backup | externer Standort, skalierbar | abhängig von Internet und Anbieter |
| lokales Backup | schneller Restore | Risiko bei Standortausfall |
Merksatz:
Vorteile und Nachteile nicht vermischen.
---
**Wenn eine Aufgabe nach Reihenfolge fragt**
Reihenfolge ist besonders wichtig bei:
DHCP-Ablauf
TCP-Verbindungsaufbau
Backup-Restore
Incident Response
Fehlersuche
Change Management
Kapselung
OSI-Schichten
Merksatz:
Bei Reihenfolgeaufgaben keine Schritte vertauschen.
---
**Typische Reihenfolgen wiederholen**
DHCP:
Discover
Offer
Request
Acknowledge
Incident Response:
erkennen
bewerten
eindämmen
beseitigen
wiederherstellen
verbessern
Change Management:
planen
bewerten
freigeben
umsetzen
testen
dokumentieren
Fehlersuche:
physisch
IP
Gateway
DNS
Routing
Firewall
Dienst
Logs
Merksatz:
Reihenfolgen sind klassische Prüfungspunkte.
---
**Wenn du unsicher bist**
Bei Unsicherheit hilft:
Aufgabe nochmals lesen.
Signalwörter suchen.
OSI-Schicht zuordnen.
Schutzziel zuordnen.
Ausschlussverfahren nutzen.
Grundbegriffe sauber verwenden.
Antwort knapp begründen.
Merksatz:
Unsicherheit wird kleiner,
wenn man strukturiert bleibt.
---
**Typische Prüfungsfehler vermeiden**
Häufige Fehler:
Frage nicht genau gelesen
Operator ignoriert
zu allgemein geantwortet
falsche Anzahl genannt
Einheiten verwechselt
Bit und Byte verwechselt
IP und DNS verwechselt
Authentifizierung und Autorisierung verwechselt
Backup und Replikation verwechselt
keine Begründung gegeben
Maßnahme passt nicht zum Risiko
Fachwort falsch benutzt
Merksatz:
Viele Punkte gehen durch ungenaue Formulierung verloren.
---
**Checkliste: Aufgabe bearbeiten**
Aufgabenstellung vollständig lesen.
Operator markieren.
Zahlen und technische Angaben markieren.
Fehlerbild erkennen.
Betroffene Schicht zuordnen.
Signalwörter beachten.
Gefragte Anzahl beachten.
Antwort direkt zur Frage formulieren.
Fachbegriffe korrekt verwenden.
Kurz begründen.
Ergebnis mit Einheit angeben.
Plausibilität prüfen.
Merksatz:
Jede Antwort muss zur Frage passen.
---
**Checkliste: technische Fehlersuche in Prüfungsaufgaben**
Ist das Kabel oder WLAN plausibel?
Hat der Client eine IP-Adresse?
Passt die Subnetzmaske?
Ist das Gateway korrekt?
Funktioniert lokale Kommunikation?
Funktioniert IP-Kommunikation?
Funktioniert DNS?
Ist Routing korrekt?
Blockiert eine Firewall?
Läuft der Dienst?
Lauscht der richtige Port?
Gibt es Rechteprobleme?
Gibt es Loghinweise?
Gab es Änderungen?
Merksatz:
Fehlersuche von unten nach oben denken.
---
**Checkliste: Sicherheitsfrage beantworten**
Schutzziel bestimmen.
Schwachstelle erkennen.
Bedrohung benennen.
Risiko beschreiben.
passende Maßnahme nennen.
Wirkung erklären.
technische und organisatorische Maßnahmen unterscheiden.
Least Privilege prüfen.
Logging und Monitoring beachten.
Backup und Restore berücksichtigen.
Merksatz:
Sicherheit immer mit Risiko und Wirkung begründen.
---
**Checkliste: Rechenaufgabe prüfen**
Einheit lesen.
Bit oder Byte unterscheiden.
Präfix beachten.
Formel richtig anwenden.
Zwischenschritt prüfen.
Ergebnis mit Einheit angeben.
Plausibilität prüfen.
bei Subnetting Netz und Broadcast beachten.
bei Übertragung Datenmenge und Datenrate passend umrechnen.
Merksatz:
Rechenfehler entstehen oft durch Einheitenfehler.
---
**IHK-sichere Kurzformulierung**
Bei Prüfungsaufgaben sollte zuerst die Aufgabenstellung genau gelesen und der Operator erkannt werden. Begriffe wie nennen, erklären, vergleichen, begründen oder berechnen bestimmen die Art der Antwort. Technische Hinweise wie IP-Adressen, Subnetzmasken, Ports, Fehlermeldungen, Logs und Signalwörter müssen sorgfältig ausgewertet werden. Bei Fehlersuche hilft das OSI-Modell, um systematisch von physischer Verbindung über IP, DNS, Routing, Firewall, Dienst und Anwendung zu prüfen. Gute Prüfungsantworten nennen die wahrscheinliche Ursache, begründen sie mit dem Fehlerbild und nennen eine passende Prüfung oder Maßnahme. Bei Sicherheitsfragen sollten Schutzziel, Risiko, Maßnahme und Wirkung klar verbunden werden.
---
**Merksätze**
Erst verstehen,
dann antworten.
Operator bestimmt Antwortform.
Nennen heißt kurz.
Erklären heißt Zusammenhang zeigen.
Begründen heißt Warum nennen.
Vergleichen heißt gegenüberstellen.
Berechnen heißt mit Einheit arbeiten.
Signalwörter ernst nehmen.
Netzpläne zuerst verstehen.
Tabellen systematisch prüfen.
Logs beantworten:
wer,
wann,
was,
von wo,
mit welchem Ergebnis.
4xx eher Client oder Rechte.
5xx eher Server oder Backend.
169.254.x.x deutet auf DHCP-Problem.
Gateway muss lokal erreichbar sein.
IP ja,
Name nein:
DNS.
Host ja,
Dienst nein:
Port,
Dienst,
Firewall.
Login ja,
Zugriff nein:
Rechte.
Anmeldung scheitert:
Authentifizierung.
Zertifikatsfehler:
Ablauf,
Name,
Kette,
Zeit.
Subnetting immer gleich lösen.
Hostbits bestimmen Hostanzahl.
Blockgröße hilft bei Netzgrenzen.
Ports sicher wiederholen.
TCP steht für Zuverlässigkeit.
UDP steht für wenig Overhead.
Sicherheitsfragen mit Schutzziel beantworten.
Maßnahme muss zum Risiko passen.
Fachbegriffe sauber trennen.
Gute Fehlerantwort:
Ursache,
Begründung,
Prüfung.
Gute Sicherheitsantwort:
Risiko,
Maßnahme,
Wirkung.
Gefragte Anzahl beachten.
Reihenfolgen nicht vertauschen.
Bei Unsicherheit strukturiert bleiben.
Jede Antwort muss zur Frage passen.
# 18.2 Typische Prüfungsaufgaben und Musterantworten
Diese Seite enthält typische Aufgabenformen,
wie sie in Prüfungen zur Netzwerktechnik,
Administration
und IT-Sicherheit vorkommen können.
Ziel ist nicht,
Antworten auswendig zu lernen.
Ziel ist,
zu erkennen:
- Was fragt die Aufgabe?
- Welche Hinweise stehen im Text?
- Welches Thema ist betroffen?
- Welche Antwort ist fachlich passend?
- Wie formuliere ich kurz und prüfungssicher?
Merksatz:
Gute Prüfungsantworten sind kurz,
fachlich
und direkt auf die Aufgabe bezogen.
---
**Aufgabe 1: DNS-Fehler erkennen**
Aufgabe:
Ein Client kann eine Webseite über die IP-Adresse erreichen,
aber nicht über den Domainnamen.
Nennen Sie eine wahrscheinliche Ursache.
Musterantwort:
Wahrscheinlich liegt ein DNS-Problem vor.
Da die IP-Adresse erreichbar ist,
funktioniert die grundsätzliche Netzwerkverbindung.
Der Name wird aber nicht korrekt in eine IP-Adresse aufgelöst.
Prüfung:
DNS-Server prüfen.
DNS-Eintrag prüfen.
nslookup oder dig verwenden.
DNS-Cache prüfen.
Merksatz:
IP funktioniert,
Name nicht:
DNS prüfen.
---
**Aufgabe 2: Gateway-Fehler erkennen**
Aufgabe:
Ein Client erreicht andere Geräte im gleichen Subnetz,
aber keine Systeme im Internet.
Welche Einstellung ist wahrscheinlich falsch oder fehlt?
Musterantwort:
Wahrscheinlich fehlt das Standardgateway
oder es ist falsch konfiguriert.
Das Gateway wird benötigt,
um Ziele außerhalb des eigenen Subnetzes zu erreichen.
Prüfung:
IP-Konfiguration prüfen.
Gateway-Adresse prüfen.
Routing-Tabelle prüfen.
Gateway anpingen.
Merksatz:
Lokal erreichbar,
extern nicht:
Gateway prüfen.
---
**Aufgabe 3: DHCP-Problem erkennen**
Aufgabe:
Ein Windows-Client hat die IP-Adresse 169.254.23.18.
Was bedeutet das?
Musterantwort:
Die Adresse liegt im APIPA-Bereich 169.254.0.0/16.
Der Client hat wahrscheinlich keine gültige Adresse von einem DHCP-Server erhalten.
Prüfung:
DHCP-Server prüfen.
Netzwerkverbindung prüfen.
VLAN prüfen.
DHCP-Scope prüfen.
DHCP-Relay prüfen.
Merksatz:
169.254.x.x deutet auf DHCP-Problem hin.
---
**Aufgabe 4: Subnetz prüfen**
Aufgabe:
Ein Client hat die Adresse 192.168.10.50/24.
Als Gateway ist 192.168.20.1 eingetragen.
Warum funktioniert der Zugriff in andere Netze nicht?
Musterantwort:
Das Gateway liegt nicht im gleichen Subnetz wie der Client.
Bei /24 gehört der Client zum Netz 192.168.10.0/24.
Das Gateway 192.168.20.1 liegt im Netz 192.168.20.0/24
und ist daher lokal nicht erreichbar.
Merksatz:
Das Standardgateway muss im lokalen Subnetz erreichbar sein.
---
**Aufgabe 5: Netzadresse berechnen**
Aufgabe:
Ermitteln Sie die Netzadresse zu 192.168.1.70/26.
Lösung:
/26 bedeutet:
64 Adressen pro Subnetz.
Subnetzbereiche:
192.168.1.0 bis 192.168.1.63
192.168.1.64 bis 192.168.1.127
192.168.1.128 bis 192.168.1.191
192.168.1.192 bis 192.168.1.255
Die Adresse 192.168.1.70 liegt im Bereich:
192.168.1.64 bis 192.168.1.127
Netzadresse:
192.168.1.64
Broadcastadresse:
192.168.1.127
Nutzbare Hosts:
192.168.1.65 bis 192.168.1.126
Merksatz:
Erst Blockgröße bestimmen,
dann Bereich finden.
---
**Aufgabe 6: Hostanzahl berechnen**
Aufgabe:
Wie viele nutzbare Hosts sind in einem /27-Netz möglich?
Lösung:
IPv4 hat 32 Bit.
/27 bedeutet 27 Netzbits.
Hostbits:
32 - 27 = 5
Adressen:
2 hoch 5 = 32
Nutzbare Hosts:
32 - 2 = 30
Antwort:
30 nutzbare Hosts
Merksatz:
Nutzbare Hosts = 2 hoch Hostbits minus 2.
---
**Aufgabe 7: TCP und UDP vergleichen**
Aufgabe:
Vergleichen Sie TCP und UDP.
Musterantwort:
| Merkmal | TCP | UDP |
|---|---|---|
| Verbindung | verbindungsorientiert | verbindungslos |
| Zuverlässigkeit | bestätigt und wiederholt Daten | keine eingebaute Zustellgarantie |
| Reihenfolge | wird sichergestellt | nicht garantiert |
| Overhead | höher | geringer |
| Beispiele | HTTP, HTTPS, SSH | DNS, DHCP, VoIP |
Kurzform:
TCP ist verbindungsorientiert und zuverlässig.
UDP ist verbindungslos,
schneller
und hat weniger Overhead.
Merksatz:
TCP = zuverlässig.
UDP = schlank.
---
**Aufgabe 8: Port einem Dienst zuordnen**
Aufgabe:
Ordnen Sie den Port TCP 443 einem Dienst zu.
Antwort:
TCP 443 gehört zu HTTPS.
Erklärung:
HTTPS ist HTTP über TLS
und wird für verschlüsselte Webkommunikation genutzt.
Merksatz:
HTTPS nutzt TCP 443.
---
**Aufgabe 9: SSH-Port nennen**
Aufgabe:
Welchen Standardport nutzt SSH?
Antwort:
SSH nutzt standardmäßig TCP 22.
Zusatz:
SSH dient dem verschlüsselten Fernzugriff auf die Kommandozeile
und kann auch für SFTP oder SCP genutzt werden.
Merksatz:
SSH = TCP 22.
---
**Aufgabe 10: RDP absichern**
Aufgabe:
Ein Unternehmen betreibt RDP direkt erreichbar aus dem Internet.
Nennen Sie zwei Sicherheitsmaßnahmen.
Musterantwort:
1. RDP nur über VPN oder RDP-Gateway erreichbar machen,
damit der Dienst nicht direkt aus dem Internet angreifbar ist.
2. MFA aktivieren,
damit ein gestohlenes Passwort allein nicht für den Zugriff ausreicht.
Weitere mögliche Maßnahmen:
Quell-IP einschränken
Network Level Authentication aktivieren
Account Lockout einrichten
starke Passwörter erzwingen
Logs überwachen
Systeme patchen
Merksatz:
RDP nicht direkt und breit ins Internet öffnen.
---
**Aufgabe 11: VLAN erklären**
Aufgabe:
Erklären Sie den Zweck von VLANs.
Musterantwort:
VLANs teilen ein physisches Netzwerk logisch in mehrere getrennte Netzbereiche auf.
Dadurch können zum Beispiel Abteilungen,
Gäste,
Server
oder Managementschnittstellen voneinander getrennt werden.
VLANs reduzieren Broadcastbereiche
und verbessern Struktur und Sicherheit.
Merksatz:
VLAN trennt logisch auf Schicht 2.
---
**Aufgabe 12: Access-Port und Trunk-Port unterscheiden**
Aufgabe:
Unterscheiden Sie Access-Port und Trunk-Port.
Musterantwort:
| Porttyp | Bedeutung |
|---|---|
| Access-Port | gehört normalerweise zu genau einem VLAN und wird meist für Endgeräte genutzt |
| Trunk-Port | transportiert mehrere VLANs und wird meist zwischen Switches, Routern oder Firewalls genutzt |
Merksatz:
Access = ein VLAN.
Trunk = mehrere VLANs.
---
**Aufgabe 13: ARP erklären**
Aufgabe:
Wofür wird ARP verwendet?
Musterantwort:
ARP löst im lokalen IPv4-Netz eine IP-Adresse in eine MAC-Adresse auf.
Ein Host nutzt ARP,
um die MAC-Adresse des Zielsystems oder des Gateways zu ermitteln.
Merksatz:
ARP verbindet IPv4-Adresse und MAC-Adresse im lokalen Netz.
---
**Aufgabe 14: MAC, IP und Port zuordnen**
Aufgabe:
Ordnen Sie MAC-Adresse,
IP-Adresse
und Port den passenden OSI-Schichten zu.
Antwort:
| Begriff | OSI-Schicht | Aufgabe |
|---|---|---|
| MAC-Adresse | Schicht 2 | lokale Zustellung im LAN |
| IP-Adresse | Schicht 3 | logische Adressierung und Routing |
| Port | Schicht 4 | Zuordnung zu Dienst oder Anwendung |
Merksatz:
MAC lokal,
IP logisch,
Port Dienst.
---
**Aufgabe 15: NAT und PAT unterscheiden**
Aufgabe:
Unterscheiden Sie NAT und PAT.
Musterantwort:
NAT übersetzt IP-Adressen.
PAT ist eine spezielle Form von NAT,
bei der zusätzlich Ports verwendet werden,
damit mehrere interne Geräte über eine öffentliche IP-Adresse kommunizieren können.
Merksatz:
NAT übersetzt Adressen.
PAT nutzt zusätzlich Ports.
---
**Aufgabe 16: Portweiterleitung erklären**
Aufgabe:
Was ist eine Portweiterleitung?
Musterantwort:
Eine Portweiterleitung leitet eingehenden Verkehr auf einem bestimmten Port
von einer öffentlichen Adresse
an einen internen Dienst weiter.
Dadurch kann ein interner Server von außen erreichbar gemacht werden.
Beispiel:
extern TCP 443
wird weitergeleitet
auf internen Webserver TCP 443
Merksatz:
Portweiterleitung macht interne Dienste von außen erreichbar.
---
**Aufgabe 17: Firewall-Regel bewerten**
Aufgabe:
Eine Firewall-Regel erlaubt Any to Any.
Bewerten Sie diese Regel.
Musterantwort:
Die Regel ist sicherheitskritisch,
weil sie Verkehr von jeder Quelle zu jedem Ziel erlaubt.
Dadurch wird die Angriffsfläche stark vergrößert.
Besser ist eine möglichst genaue Regel mit definierter Quelle,
definiertem Ziel,
benötigtem Port,
Protokoll
und dokumentiertem Zweck.
Merksatz:
Firewall-Regeln so eng wie möglich formulieren.
---
**Aufgabe 18: DMZ erklären**
Aufgabe:
Was ist eine DMZ?
Musterantwort:
Eine DMZ ist ein getrenntes Netzwerksegment für öffentlich erreichbare Dienste,
zum Beispiel Webserver,
Reverse Proxy
oder Mail-Gateway.
Sie trennt diese Systeme vom internen Netz,
damit ein kompromittierter öffentlicher Dienst nicht direkt Zugriff auf interne Systeme erhält.
Merksatz:
DMZ trennt öffentliche Dienste vom internen Netz.
---
**Aufgabe 19: VPN-Arten unterscheiden**
Aufgabe:
Unterscheiden Sie Remote-Access-VPN und Site-to-Site-VPN.
Musterantwort:
| VPN-Art | Bedeutung |
|---|---|
| Remote-Access-VPN | einzelner Benutzer verbindet sich aus der Ferne mit einem Netzwerk |
| Site-to-Site-VPN | zwei Netzwerke oder Standorte werden miteinander verbunden |
Merksatz:
Remote-Access verbindet Benutzer.
Site-to-Site verbindet Standorte.
---
**Aufgabe 20: IaaS, PaaS und SaaS unterscheiden**
Aufgabe:
Unterscheiden Sie IaaS,
PaaS
und SaaS.
Musterantwort:
| Modell | Bedeutung | Beispiel |
|---|---|---|
| IaaS | virtuelle Infrastruktur | virtuelle Maschine |
| PaaS | Plattform für Anwendungen | verwaltete Datenbank oder App-Plattform |
| SaaS | fertige Anwendung | E-Mail-Dienst oder CRM im Browser |
Merksatz:
IaaS = Infrastruktur.
PaaS = Plattform.
SaaS = Software.
---
**Aufgabe 21: Shared Responsibility erklären**
Aufgabe:
Erklären Sie das Shared-Responsibility-Modell in der Cloud.
Musterantwort:
Beim Shared-Responsibility-Modell teilen sich Cloud-Anbieter und Kunde die Verantwortung.
Der Anbieter schützt die Cloud-Infrastruktur.
Der Kunde bleibt verantwortlich für seine Daten,
Identitäten,
Zugriffsrechte,
Konfigurationen
und Nutzung der Dienste.
Merksatz:
Cloud bedeutet nicht,
dass der Anbieter alles absichert.
---
**Aufgabe 22: Schutzziel zuordnen**
Aufgabe:
Ein Angreifer verändert unbemerkt eine Konfigurationsdatei.
Welches Schutzziel ist betroffen?
Antwort:
Integrität
Begründung:
Integrität bedeutet,
dass Daten nicht unbemerkt verändert werden dürfen.
Merksatz:
Unbemerkte Veränderung betrifft Integrität.
---
**Aufgabe 23: Ransomware-Schutzziel zuordnen**
Aufgabe:
Ransomware verschlüsselt Firmendaten.
Welches Schutzziel ist hauptsächlich betroffen?
Antwort:
Verfügbarkeit
Begründung:
Die Daten sind nicht mehr nutzbar.
Wenn zusätzlich Daten gestohlen und veröffentlicht werden,
ist auch Vertraulichkeit betroffen.
Merksatz:
Ransomware betrifft Verfügbarkeit,
bei Datenabfluss auch Vertraulichkeit.
---
**Aufgabe 24: Phishing-Maßnahmen nennen**
Aufgabe:
Nennen Sie zwei Maßnahmen gegen Phishing.
Musterantwort:
1. MFA einsetzen,
damit gestohlene Passwörter allein nicht ausreichen.
2. Benutzer schulen,
damit verdächtige E-Mails,
Links
und Anhänge besser erkannt werden.
Weitere mögliche Maßnahmen:
E-Mail-Filter
SPF,
DKIM
und DMARC
Passwortmanager
Meldeprozess
sichere Browserkonfiguration
Merksatz:
Gegen Phishing helfen Technik und Schulung zusammen.
---
**Aufgabe 25: IDS und IPS unterscheiden**
Aufgabe:
Was ist der Unterschied zwischen IDS und IPS?
Musterantwort:
Ein IDS erkennt verdächtige Aktivitäten und meldet sie.
Ein IPS erkennt verdächtige Aktivitäten ebenfalls,
kann sie aber zusätzlich aktiv blockieren.
Merksatz:
IDS meldet.
IPS blockiert zusätzlich.
---
**Aufgabe 26: SIEM erklären**
Aufgabe:
Was ist die Aufgabe eines SIEM?
Musterantwort:
Ein SIEM sammelt,
speichert
und korreliert Sicherheitslogs aus verschiedenen Systemen.
Dadurch können sicherheitsrelevante Zusammenhänge erkannt
und Alarme erzeugt werden.
Merksatz:
SIEM sammelt und verbindet Sicherheitsereignisse.
---
**Aufgabe 27: Authentifizierung und Autorisierung unterscheiden**
Aufgabe:
Unterscheiden Sie Authentifizierung und Autorisierung.
Musterantwort:
| Begriff | Frage | Beispiel |
|---|---|---|
| Authentifizierung | Wer bist du? | Benutzer meldet sich mit Passwort und MFA an |
| Autorisierung | Was darfst du? | Benutzer darf eine Datei lesen |
Merksatz:
Authentifizierung prüft Identität.
Autorisierung prüft Rechte.
---
**Aufgabe 28: Least Privilege erklären**
Aufgabe:
Erklären Sie das Prinzip Least Privilege.
Musterantwort:
Least Privilege bedeutet,
dass Benutzer,
Dienste
und Prozesse nur die Rechte erhalten,
die sie für ihre Aufgabe wirklich benötigen.
Dadurch wird der mögliche Schaden bei Fehlern oder Angriffen begrenzt.
Merksatz:
So wenig Rechte wie möglich,
so viele wie nötig.
---
**Aufgabe 29: Dienstkonto erklären**
Aufgabe:
Was ist ein Dienstkonto?
Musterantwort:
Ein Dienstkonto ist eine technische Identität,
die von einem Dienst,
einer Anwendung
oder einem automatisierten Prozess genutzt wird.
Es sollte nur die Rechte besitzen,
die für den jeweiligen Zweck erforderlich sind.
Merksatz:
Dienstkonten sind technische Identitäten und müssen rechtearm sein.
---
**Aufgabe 30: Offboarding begründen**
Aufgabe:
Warum ist Offboarding sicherheitsrelevant?
Musterantwort:
Beim Offboarding werden nicht mehr benötigte Zugänge entfernt.
Wenn alte Benutzerkonten,
VPN-Zugänge,
SSH-Schlüssel
oder Cloud-Rollen aktiv bleiben,
können sie später missbraucht werden.
Merksatz:
Alte Zugänge sind Sicherheitsrisiken.
---
**Aufgabe 31: Logs und Monitoring unterscheiden**
Aufgabe:
Unterscheiden Sie Logging und Monitoring.
Musterantwort:
| Begriff | Bedeutung |
|---|---|
| Logging | Ereignisse werden protokolliert |
| Monitoring | Zustände und Metriken werden überwacht |
Beispiel:
Log:
Benutzeranmeldung fehlgeschlagen.
Monitoring:
CPU-Auslastung dauerhaft über 90 Prozent.
Merksatz:
Logs zeigen Ereignisse.
Monitoring zeigt Zustände.
---
**Aufgabe 32: NTP bei Logs erklären**
Aufgabe:
Warum ist NTP für die Logauswertung wichtig?
Musterantwort:
NTP synchronisiert die Systemzeit.
Bei der Analyse von Logs müssen Ereignisse verschiedener Systeme zeitlich korrekt zugeordnet werden können.
Ohne gemeinsame Zeitbasis wird die Fehlersuche und Sicherheitsanalyse erschwert.
Merksatz:
Gleiche Zeitbasis macht Logs vergleichbar.
---
**Aufgabe 33: HTTP-Statuscode einordnen**
Aufgabe:
Ein Webserver liefert den Statuscode 403.
Was bedeutet das?
Antwort:
403 bedeutet verboten.
Der Client ist zwar grundsätzlich am Server,
darf aber auf die angeforderte Ressource nicht zugreifen.
Merksatz:
403 = verboten.
---
**Aufgabe 34: HTTP 500 einordnen**
Aufgabe:
Eine Webanwendung liefert HTTP 500.
Wo liegt das Problem wahrscheinlich?
Musterantwort:
HTTP 500 weist auf einen internen Serverfehler hin.
Die Ursache liegt wahrscheinlich in der Anwendung,
im Backend,
in einer Abhängigkeit
oder in der Serverkonfiguration.
Merksatz:
5xx deutet eher auf Server oder Backend.
---
**Aufgabe 35: SMB erklären**
Aufgabe:
Wofür wird SMB verwendet und welchen Standardport nutzt es?
Musterantwort:
SMB wird für Datei- und Druckerfreigaben genutzt,
besonders in Windows-Netzwerken.
Der Standardport ist TCP 445.
Merksatz:
SMB = Dateifreigaben,
TCP 445.
---
**Aufgabe 36: FTP und SFTP unterscheiden**
Aufgabe:
Warum ist FTP unsicher und was ist der Vorteil von SFTP?
Musterantwort:
Klassisches FTP überträgt Daten und Zugangsdaten unverschlüsselt.
SFTP nutzt SSH und überträgt Dateien verschlüsselt.
Dadurch sind Zugangsdaten und Dateiinhalt besser geschützt.
Merksatz:
FTP unverschlüsselt.
SFTP über SSH verschlüsselt.
---
**Aufgabe 37: SFTP und FTPS unterscheiden**
Aufgabe:
Unterscheiden Sie SFTP und FTPS.
Musterantwort:
SFTP ist Dateiübertragung über SSH.
FTPS ist FTP mit TLS-Verschlüsselung.
Beide übertragen verschlüsselt,
basieren aber auf unterschiedlichen Protokollen.
Merksatz:
SFTP ist nicht FTPS.
---
**Aufgabe 38: Synchronisation und Backup unterscheiden**
Aufgabe:
Warum ist Synchronisation kein Backup?
Musterantwort:
Synchronisation hält Daten an mehreren Orten gleich.
Wenn eine Datei gelöscht,
beschädigt
oder durch Ransomware verschlüsselt wird,
kann diese Änderung mitsynchronisiert werden.
Ein Backup speichert dagegen wiederherstellbare ältere Stände.
Merksatz:
Sync hält gleich.
Backup stellt wieder her.
---
**Aufgabe 39: RPO und RTO unterscheiden**
Aufgabe:
Unterscheiden Sie RPO und RTO.
Musterantwort:
| Begriff | Bedeutung |
|---|---|
| RPO | maximal akzeptabler Datenverlust |
| RTO | maximal akzeptable Wiederherstellungszeit |
Beispiel:
RPO 1 Stunde:
maximal Datenverlust von 1 Stunde.
RTO 4 Stunden:
System soll spätestens nach 4 Stunden wieder laufen.
Merksatz:
RPO = Datenverlust.
RTO = Zeit bis Wiederherstellung.
---
**Aufgabe 40: Restore-Test begründen**
Aufgabe:
Warum sind Restore-Tests wichtig?
Musterantwort:
Restore-Tests prüfen,
ob Backups tatsächlich wiederhergestellt werden können.
Ohne Restore-Test ist unklar,
ob Daten vollständig,
lesbar,
konsistent
und rechtzeitig wiederherstellbar sind.
Merksatz:
Backup ohne Restore-Test ist unsicher.
---
**Aufgabe 41: Snapshot bewerten**
Aufgabe:
Warum ersetzt ein Snapshot kein Backup?
Musterantwort:
Ein Snapshot liegt oft auf demselben System oder Speicher wie die Produktivdaten.
Bei Speicherdefekt,
Ransomware,
versehentlicher Löschung
oder Standortausfall kann auch der Snapshot betroffen sein.
Ein Backup sollte getrennt,
geschützt
und wiederherstellbar sein.
Merksatz:
Snapshot ist Momentaufnahme,
aber kein vollständiges Backup-Konzept.
---
**Aufgabe 42: 3-2-1-Regel erklären**
Aufgabe:
Erklären Sie die 3-2-1-Regel.
Musterantwort:
Die 3-2-1-Regel bedeutet:
Es gibt drei Kopien der Daten,
auf zwei unterschiedlichen Speicherarten,
davon eine Kopie extern oder getrennt vom Hauptsystem.
Merksatz:
3 Kopien,
2 Medien,
1 externe Kopie.
---
**Aufgabe 43: Dokumentation begründen**
Aufgabe:
Warum ist IT-Dokumentation wichtig?
Musterantwort:
IT-Dokumentation macht Systeme,
IP-Adressen,
Dienste,
Rechte,
Firewall-Regeln,
Backups
und Abhängigkeiten nachvollziehbar.
Sie hilft bei Fehlersuche,
Vertretung,
Notfällen,
Audits
und sicheren Änderungen.
Merksatz:
Dokumentation macht Betrieb nachvollziehbar.
---
**Aufgabe 44: Change Management erklären**
Aufgabe:
Was ist Change Management?
Musterantwort:
Change Management ist ein kontrollierter Prozess für Änderungen an IT-Systemen.
Änderungen werden geplant,
bewertet,
freigegeben,
umgesetzt,
getestet
und dokumentiert.
Merksatz:
Change Management verhindert unkontrollierte Änderungen.
---
**Aufgabe 45: Rollback-Plan erklären**
Aufgabe:
Warum ist ein Rollback-Plan wichtig?
Musterantwort:
Ein Rollback-Plan beschreibt,
wie eine Änderung rückgängig gemacht werden kann,
falls sie fehlschlägt.
Dadurch können Ausfallzeiten und Folgeschäden reduziert werden.
Merksatz:
Vor Änderung wissen,
wie man zurückkommt.
---
**Aufgabe 46: Emergency Change bewerten**
Aufgabe:
Muss ein Emergency Change dokumentiert werden?
Antwort:
Ja.
Ein Emergency Change ist zwar dringend,
muss aber spätestens nachträglich dokumentiert werden.
Sonst sind Ursache,
Wirkung,
Risiko
und geänderte Konfiguration später nicht nachvollziehbar.
Merksatz:
Dringend heißt nicht dokumentationsfrei.
---
**Aufgabe 47: Runbook erklären**
Aufgabe:
Was ist ein Runbook?
Musterantwort:
Ein Runbook ist eine Schritt-für-Schritt-Anleitung für wiederkehrende Aufgaben oder Störungen.
Es beschreibt,
wie eine bestimmte administrative Aufgabe oder Fehlerbehebung durchgeführt wird.
Merksatz:
Runbook = konkrete Schritt-für-Schritt-Anleitung.
---
**Aufgabe 48: CMDB erklären**
Aufgabe:
Was ist eine CMDB?
Musterantwort:
Eine CMDB ist eine Configuration Management Database.
Sie enthält Informationen über verwaltete IT-Elemente,
sogenannte Configuration Items,
und deren Beziehungen.
Beispiele:
Server
Anwendungen
Datenbanken
Firewalls
Zertifikate
Lizenzen
Merksatz:
CMDB zeigt IT-Elemente und ihre Beziehungen.
---
**Aufgabe 49: Fehlersuche strukturieren**
Aufgabe:
Ein Benutzer meldet,
dass er eine interne Anwendung nicht erreichen kann.
Nennen Sie eine sinnvolle Prüfungsreihenfolge.
Musterantwort:
1. Prüfen,
ob nur ein Benutzer oder mehrere betroffen sind.
2. IP-Konfiguration des Clients prüfen.
3. DNS-Auflösung prüfen.
4. Erreichbarkeit des Servers per IP prüfen.
5. Port und Dienst prüfen.
6. Firewall-Regeln prüfen.
7. Logs der Anwendung und des Servers prüfen.
8. Letzte Änderungen prüfen.
Merksatz:
Fehlersuche systematisch eingrenzen.
---
**Aufgabe 50: Sicherheitsmaßnahme passend auswählen**
Aufgabe:
Ein Unternehmen möchte verhindern,
dass ein gestohlenes Passwort allein für den Zugriff auf Cloud-Dienste reicht.
Welche Maßnahme ist passend?
Antwort:
Multi-Faktor-Authentifizierung
Begründung:
MFA fordert zusätzlich zum Passwort einen weiteren Faktor,
zum Beispiel einen Token,
eine App-Bestätigung
oder eine Smartcard.
Dadurch reicht ein gestohlenes Passwort allein nicht aus.
Merksatz:
Gestohlenes Passwort allein verhindern:
MFA.
---
**Musterformulierung für Fehlerdiagnose**
Gute Antwortform:
Wahrscheinlich liegt ein DNS-Problem vor,
da die IP-Adresse erreichbar ist,
der Name jedoch nicht aufgelöst wird.
Der DNS-Server und der DNS-Eintrag sollten mit nslookup oder dig geprüft werden.
Struktur:
Ursache
plus
Begründung
plus
Prüfung
Merksatz:
Ursache,
Begründung,
Prüfung.
---
**Musterformulierung für Sicherheitsmaßnahmen**
Gute Antwortform:
Das Risiko besteht im unberechtigten Zugriff durch gestohlene Zugangsdaten.
Als Maßnahme sollte MFA aktiviert werden.
Dadurch reicht ein Passwort allein nicht mehr aus,
um Zugriff zu erhalten.
Struktur:
Risiko
plus
Maßnahme
plus
Wirkung
Merksatz:
Risiko,
Maßnahme,
Wirkung.
---
**Musterformulierung für Vergleiche**
Gute Antwortform:
TCP und UDP sind Transportprotokolle.
TCP ist verbindungsorientiert und zuverlässig,
UDP ist verbindungslos und hat weniger Overhead.
TCP eignet sich für vollständige Datenübertragung,
UDP für zeitkritische Anwendungen wie VoIP.
Struktur:
Gemeinsamkeit
plus
Unterschied
plus
Beispiel
Merksatz:
Gemeinsamkeit,
Unterschied,
Beispiel.
---
**Musterformulierung für Bewertungen**
Gute Antwortform:
Die Lösung ist kritisch,
weil der Administrationsdienst direkt aus dem Internet erreichbar ist.
Dadurch steigt das Risiko für Brute-Force-Angriffe und Exploits.
Sicherer wäre ein Zugriff über VPN oder Bastion Host mit MFA und Protokollierung.
Struktur:
Einschätzung
plus
Risiko
plus
bessere Maßnahme
Merksatz:
Bewertung braucht fachliche Begründung.
---
**Typische Prüfungsfallen auf dieser Seite**
Antwort nicht auf die Frage bezogen.
Operator übersehen.
Nur Begriff genannt,
obwohl Erklärung verlangt war.
Keine Begründung gegeben.
Maßnahme genannt,
aber Wirkung nicht erklärt.
DNS und DHCP verwechselt.
Authentifizierung und Autorisierung verwechselt.
NAT und PAT verwechselt.
SFTP und FTPS verwechselt.
RPO und RTO verwechselt.
Backup und Synchronisation verwechselt.
VLAN und Subnetz gleichgesetzt.
Firewallproblem behauptet,
ohne Port oder Dienst zu prüfen.
Ping als vollständigen Diensttest verstanden.
Snapshot als vollständiges Backup bezeichnet.
Merksatz:
Viele Fehler entstehen durch ungenaue Begriffe.
---
**Checkliste: Musterantwort prüfen**
Vor Abgabe prüfen:
Habe ich die Frage beantwortet?
Habe ich die geforderte Anzahl genannt?
Habe ich den Operator beachtet?
Habe ich Fachbegriffe korrekt verwendet?
Habe ich kurz begründet?
Habe ich bei Berechnungen eine Einheit angegeben?
Habe ich bei Fehlersuche Ursache und Prüfung genannt?
Habe ich bei Sicherheit Risiko und Maßnahme verbunden?
Merksatz:
Eine kurze richtige Antwort ist besser als eine lange ungenaue Antwort.
---
**IHK-sichere Kurzformulierung**
Typische Prüfungsaufgaben prüfen nicht nur Definitionen, sondern die Anwendung von Wissen auf Fehlerbilder, Sicherheitsrisiken und technische Szenarien. Gute Antworten nennen die wahrscheinliche Ursache, begründen sie mit den Angaben aus der Aufgabe und nennen eine passende Prüfung oder Maßnahme. Bei Sicherheitsfragen sollten Risiko, Schutzmaßnahme und Wirkung verbunden werden. Bei Vergleichen sollten Unterschiede klar gegenübergestellt werden. Bei Berechnungen müssen Einheit, Präfix, Formel und Ergebnis stimmen. Fachbegriffe wie DNS, DHCP, Authentifizierung, Autorisierung, NAT, PAT, SFTP, FTPS, Backup, Replikation, RPO und RTO müssen sauber unterschieden werden.
---
**Merksätze**
Musterantworten zeigen Struktur,
nicht Auswendiglernen.
Gute Antworten sind kurz und fachlich.
Ursache aus Fehlerbild ableiten.
Maßnahme passend zum Risiko wählen.
IP geht,
Name nicht:
DNS.
Lokal geht,
extern nicht:
Gateway.
169.254.x.x:
DHCP-Problem.
Host erreichbar,
Dienst nicht:
Port,
Dienst,
Firewall.
Login geht,
Zugriff nicht:
Rechte.
SSH nutzt TCP 22.
RDP nutzt TCP 3389.
SMB nutzt TCP 445.
HTTPS nutzt TCP 443.
VLAN trennt logisch.
Routing verbindet Netze.
NAT übersetzt Adressen.
PAT nutzt Ports.
IDS meldet.
IPS blockiert zusätzlich.
MFA schützt gegen Passwortmissbrauch.
SIEM sammelt und korreliert Logs.
Backup ohne Restore-Test ist unsicher.
Sync ist kein Backup.
Replikation ist kein Backup.
RPO ist Datenverlust.
RTO ist Wiederherstellungszeit.
Dokumentation macht Betrieb nachvollziehbar.
Change Management kontrolliert Änderungen.
Rollback vor Änderung planen.
Dringend heißt nicht dokumentationsfrei.
Fachbegriffe sauber verwenden.
Antwort immer zur Aufgabe passend formulieren.
# 18.3 Prüfungschecklisten nach Themen
Diese Seite dient als kompakte Wiederholung,
um kurz vor der Prüfung die wichtigsten Themen systematisch zu prüfen.
Sie ist nach Themenbereichen aufgebaut.
Ziel ist:
- Lücken erkennen
- Begriffe sauber unterscheiden
- typische Fehler vermeiden
- prüfungssichere Kurzantworten vorbereiten
- Zusammenhänge wiederholen
Merksatz:
Eine Checkliste hilft,
Wissen geordnet zu wiederholen.
---
**Checkliste: OSI-Modell**
Das solltest du sicher können:
OSI-Schichten 1 bis 7 benennen.
Aufgabe jeder Schicht erklären.
typische Protokolle und Geräte zuordnen.
Fehlerbilder passenden Schichten zuordnen.
Kapselung erklären.
PDUs zuordnen.
| Schicht | Name | Typische Begriffe |
|---|---|---|
| 7 | Anwendung | HTTP, DNS, DHCP, SMTP |
| 6 | Darstellung | TLS, Verschlüsselung, Codierung |
| 5 | Sitzung | Session, Sitzungsaufbau |
| 4 | Transport | TCP, UDP, Ports |
| 3 | Vermittlung | IP, Routing, ICMP |
| 2 | Sicherung | MAC, Ethernet, Switch, VLAN, ARP |
| 1 | Bitübertragung | Kabel, Signal, Stecker, Funk |
Merksatz:
OSI ist ein Denkmodell für Kommunikation und Fehlersuche.
---
**Checkliste: TCP/IP-Modell**
Das solltest du sicher können:
TCP/IP-Schichten benennen.
TCP/IP-Schichten grob OSI zuordnen.
Protokolle passend einordnen.
Unterschied zwischen OSI und TCP/IP erklären.
| TCP/IP-Schicht | Entspricht grob OSI | Beispiele |
|---|---|---|
| Anwendung | 5 bis 7 | HTTP, DNS, DHCP, SMTP |
| Transport | 4 | TCP, UDP |
| Internet | 3 | IP, ICMP |
| Netzzugang | 1 bis 2 | Ethernet, WLAN, MAC |
Merksatz:
TCP/IP ist praxisnäher,
OSI ist feiner aufgeteilt.
---
**Checkliste: Kapselung**
Das solltest du sicher können:
Daten werden beim Senden schrittweise verpackt.
Jede Schicht ergänzt eigene Steuerinformationen.
Beim Empfangen wird entkapselt.
MAC,
IP
und Port gehören zu unterschiedlichen Schichten.
Reihenfolge beim Senden:
Anwendungsdaten
Segment oder Datagramm
Paket
Frame
Bits
Merksatz:
Kapselung bedeutet:
jede Schicht ergänzt ihren eigenen Header.
---
**Checkliste: MAC, IP und Port**
| Begriff | Schicht | Aufgabe |
|---|---|---|
| MAC-Adresse | 2 | lokale Zustellung im LAN |
| IP-Adresse | 3 | logische Adressierung und Routing |
| Port | 4 | Zuordnung zu Dienst oder Anwendung |
Typische Prüfungsfalle:
MAC-Adresse wird nicht über Router hinweg weiterverwendet.
IP-Adresse bleibt für Routing relevant.
Port zeigt den Dienst auf dem Zielhost.
Merksatz:
MAC lokal,
IP über Netze,
Port zum Dienst.
---
**Checkliste: IPv4**
Das solltest du sicher können:
IPv4 besteht aus 32 Bit.
Darstellung in vier Oktetten.
Netzanteil und Hostanteil unterscheiden.
Präfixschreibweise verstehen.
private IPv4-Bereiche kennen.
Netzadresse,
Broadcast
und nutzbare Hosts bestimmen.
Private Bereiche:
| Bereich | CIDR |
|---|---|
| 10.0.0.0 bis 10.255.255.255 | 10.0.0.0/8 |
| 172.16.0.0 bis 172.31.255.255 | 172.16.0.0/12 |
| 192.168.0.0 bis 192.168.255.255 | 192.168.0.0/16 |
Merksatz:
Private IPv4-Adressen werden im Internet nicht direkt geroutet.
---
**Checkliste: Subnetting**
Das solltest du sicher können:
Präfix in Netzbits und Hostbits zerlegen.
Hostanzahl berechnen.
Blockgröße bestimmen.
Netzadresse finden.
Broadcastadresse finden.
erste und letzte nutzbare Adresse bestimmen.
größere und kleinere Präfixe richtig einordnen.
Formel:
nutzbare Hosts = 2 hoch Hostbits minus 2
Beispiel:
/26
Hostbits:
32 - 26 = 6
Adressen:
64
Nutzbare Hosts:
62
Merksatz:
Mehr Hostbits bedeuten mehr Hosts.
Mehr Netzbits bedeuten kleinere Subnetze.
---
**Checkliste: häufige IPv4-Präfixe**
| Präfix | Maske | Adressen | nutzbare Hosts |
|---|---|---:|---:|
| /24 | 255.255.255.0 | 256 | 254 |
| /25 | 255.255.255.128 | 128 | 126 |
| /26 | 255.255.255.192 | 64 | 62 |
| /27 | 255.255.255.224 | 32 | 30 |
| /28 | 255.255.255.240 | 16 | 14 |
| /29 | 255.255.255.248 | 8 | 6 |
| /30 | 255.255.255.252 | 4 | 2 |
Merksatz:
Von /24 zu /25 halbiert sich die Anzahl der Adressen.
Von /25 zu /24 verdoppelt sie sich.
---
**Checkliste: IPv6**
Das solltest du sicher können:
IPv6 hat 128 Bit.
Schreibweise in hexadezimalen Blöcken.
führende Nullen können weggelassen werden.
einmalige Kürzung mit doppeltem Doppelpunkt möglich.
kein klassischer IPv4-Broadcast.
SLAAC und DHCPv6 grob einordnen.
Link-Local-Adressen erkennen.
Wichtige Begriffe:
Global Unicast
Link-Local
Multicast
SLAAC
DHCPv6
Präfix
Merksatz:
IPv6 ist nicht einfach nur längeres IPv4.
---
**Checkliste: Gateway und Routing**
Das solltest du sicher können:
Gateway ist Router in andere Netze.
Ohne Gateway meist nur lokales Netz erreichbar.
Routing-Tabelle enthält Zielnetz,
Gateway,
Interface
und Metrik.
spezifischste Route gewinnt.
Standardroute ist Weg für unbekannte Ziele.
Typisches Fehlerbild:
lokal erreichbar,
Internet nicht erreichbar
Wahrscheinlich:
Gateway,
NAT
oder Firewall
Merksatz:
Gateway führt aus dem eigenen Netz heraus.
---
**Checkliste: DNS**
Das solltest du sicher können:
DNS löst Namen in IP-Adressen auf.
DNS kann auch Reverse Lookup liefern.
wichtige Recordtypen kennen.
DNS-Probleme von IP-Problemen unterscheiden.
nslookup oder dig als Prüfwerkzeuge kennen.
Wichtige Records:
| Record | Bedeutung |
|---|---|
| A | Name zu IPv4 |
| AAAA | Name zu IPv6 |
| CNAME | Alias |
| MX | Mailserver |
| TXT | Textinformationen |
| NS | Nameserver |
| PTR | Reverse DNS |
Merksatz:
IP funktioniert,
Name nicht:
DNS prüfen.
---
**Checkliste: DHCP**
Das solltest du sicher können:
DHCP verteilt IP-Konfiguration automatisch.
DHCP vergibt IP-Adresse,
Maske,
Gateway,
DNS
und Lease-Zeit.
DORA-Ablauf kennen.
APIPA erkennen.
DHCP-Relay grob verstehen.
DORA:
Discover
Offer
Request
Acknowledge
APIPA:
169.254.0.0/16
Merksatz:
169.254.x.x bedeutet häufig:
kein DHCP erhalten.
---
**Checkliste: ARP**
Das solltest du sicher können:
ARP löst IPv4-Adresse in MAC-Adresse auf.
ARP funktioniert im lokalen Netz.
ARP wird benötigt,
um Frames an das lokale Ziel oder Gateway zu senden.
ARP-Spoofing als Angriff kennen.
Merksatz:
ARP verbindet IPv4 und MAC im lokalen Netz.
---
**Checkliste: Switching**
Das solltest du sicher können:
Switch arbeitet hauptsächlich auf Schicht 2.
Switch lernt MAC-Adressen.
MAC-Adresstabelle ordnet MACs Ports zu.
unbekannte Ziel-MAC führt zu Flooding.
Broadcasts werden im VLAN verteilt.
Schleifen können Broadcast-Stürme verursachen.
Merksatz:
Switches leiten Frames anhand von MAC-Adressen weiter.
---
**Checkliste: VLAN**
Das solltest du sicher können:
VLAN trennt logisch auf Schicht 2.
VLANs bilden getrennte Broadcast-Domänen.
Access-Port und Trunk-Port unterscheiden.
Inter-VLAN-Routing benötigt Router oder Layer-3-Switch.
VLANs verbessern Struktur und Sicherheit,
ersetzen aber keine Firewall.
| Porttyp | Bedeutung |
|---|---|
| Access-Port | ein VLAN, meistens Endgerät |
| Trunk-Port | mehrere VLANs, meistens Verbindung zwischen Netzwerkgeräten |
Merksatz:
Access = ein VLAN.
Trunk = mehrere VLANs.
---
**Checkliste: STP**
Das solltest du sicher können:
STP verhindert Schleifen auf Schicht 2.
Schleifen können Broadcast-Stürme verursachen.
STP blockiert redundante Pfade logisch.
Redundanz ist möglich,
ohne Schleife aktiv zu nutzen.
Merksatz:
STP schützt vor Layer-2-Schleifen.
---
**Checkliste: TCP**
Das solltest du sicher können:
TCP ist verbindungsorientiert.
TCP ist zuverlässig.
TCP nutzt Bestätigungen.
TCP kann verlorene Daten erneut übertragen.
TCP stellt Reihenfolge sicher.
TCP nutzt Ports.
TCP hat mehr Overhead als UDP.
Typische Dienste:
HTTP
HTTPS
SSH
SMTP
IMAP
POP3
RDP
Merksatz:
TCP = zuverlässig und verbindungsorientiert.
---
**Checkliste: UDP**
Das solltest du sicher können:
UDP ist verbindungslos.
UDP hat wenig Overhead.
UDP garantiert keine Zustellung.
UDP garantiert keine Reihenfolge.
UDP ist gut für schnelle oder zeitkritische Kommunikation.
Typische Dienste:
DNS
DHCP
VoIP
Streaming
Gaming
Merksatz:
UDP = schnell,
schlank
und verbindungslos.
---
**Checkliste: Standardports**
| Dienst | Protokoll | Port |
|---|---|---|
| FTP | TCP | 21 |
| SSH | TCP | 22 |
| Telnet | TCP | 23 |
| SMTP | TCP | 25 |
| DNS | UDP/TCP | 53 |
| DHCP Server | UDP | 67 |
| DHCP Client | UDP | 68 |
| HTTP | TCP | 80 |
| POP3 | TCP | 110 |
| IMAP | TCP | 143 |
| HTTPS | TCP | 443 |
| SMB | TCP | 445 |
| SMTPS | TCP | 465 |
| IMAPS | TCP | 993 |
| POP3S | TCP | 995 |
| RDP | TCP | 3389 |
Merksatz:
Ports mit Dienst,
Protokoll
und Zweck lernen.
---
**Checkliste: NAT, PAT und Portweiterleitung**
Das solltest du sicher können:
NAT übersetzt IP-Adressen.
PAT nutzt zusätzlich Ports.
PAT ermöglicht vielen Clients eine öffentliche IP.
Portweiterleitung macht internen Dienst extern erreichbar.
NAT ist keine vollwertige Firewall.
Portweiterleitung erhöht Angriffsfläche.
Merksatz:
NAT übersetzt Adressen.
PAT unterscheidet über Ports.
Portweiterleitung veröffentlicht Dienste.
---
**Checkliste: Firewall**
Das solltest du sicher können:
Firewall filtert Verkehr.
Regeln enthalten Quelle,
Ziel,
Port,
Protokoll,
Richtung
und Aktion.
Default Deny ist sicherer.
Any-to-Any ist kritisch.
Stateful Firewall kennt Verbindungszustände.
Firewall-Logs helfen bei Fehlersuche.
Merksatz:
Firewall-Regeln so eng wie möglich formulieren.
---
**Checkliste: DMZ**
Das solltest du sicher können:
DMZ ist getrenntes Netz für öffentlich erreichbare Dienste.
DMZ schützt internes Netz.
DMZ-Systeme dürfen nur notwendige Verbindungen haben.
typische Systeme sind Webserver,
Reverse Proxy,
Mail-Gateway
und VPN-Gateway.
Merksatz:
DMZ trennt öffentliche Dienste vom internen Netz.
---
**Checkliste: VPN**
Das solltest du sicher können:
VPN verschlüsselt Verbindung über unsichere Netze.
Remote-Access-VPN verbindet Benutzer.
Site-to-Site-VPN verbindet Standorte.
VPN ersetzt keine Rechteverwaltung.
VPN braucht Authentifizierung,
Routing,
DNS
und Firewall-Regeln.
Merksatz:
VPN schützt den Transportweg,
aber nicht automatisch alle Zugriffe.
---
**Checkliste: Cloud**
Das solltest du sicher können:
IaaS,
PaaS
und SaaS unterscheiden.
Public,
Private,
Hybrid
und Multi Cloud unterscheiden.
Shared Responsibility erklären.
IAM als Zugriffskontrolle verstehen.
Security Groups grob einordnen.
Kostenkontrolle und Monitoring beachten.
| Modell | Bedeutung |
|---|---|
| IaaS | Infrastruktur |
| PaaS | Plattform |
| SaaS | fertige Anwendung |
Merksatz:
Cloud bedeutet geteilte Verantwortung.
---
**Checkliste: IT-Sicherheit**
Das solltest du sicher können:
Vertraulichkeit,
Integrität
und Verfügbarkeit unterscheiden.
Authentizität und Nichtabstreitbarkeit kennen.
Schwachstelle,
Bedrohung
und Risiko unterscheiden.
technische,
organisatorische,
personelle
und physische Maßnahmen unterscheiden.
Merksatz:
Schutzmaßnahme immer zum Risiko und Schutzziel passend wählen.
---
**Checkliste: typische Angriffe**
| Angriff | Kurzbeschreibung |
|---|---|
| Malware | Schadsoftware |
| Ransomware | verschlüsselt oder sperrt Daten |
| Phishing | Täuschung zur Datenpreisgabe |
| Social Engineering | Manipulation von Menschen |
| DoS | Dienstüberlastung |
| DDoS | verteilter DoS |
| MitM | Angreifer zwischen Kommunikationspartnern |
| Spoofing | Identität oder Herkunft vortäuschen |
| SQL Injection | SQL-Code einschleusen |
| XSS | Skript im Browser ausführen |
| CSRF | gültige Sitzung missbrauchen |
| Brute Force | systematisches Ausprobieren |
Merksatz:
Angriff erkennen,
Schutzziel zuordnen,
Maßnahme nennen.
---
**Checkliste: Schutzmaßnahmen**
| Risiko | Maßnahme |
|---|---|
| Passwortdiebstahl | MFA |
| Malware | EDR, Patchmanagement |
| Ransomware | Backup, Segmentierung |
| DDoS | DDoS-Schutz, CDN |
| Datenabfluss | DLP, Verschlüsselung |
| unsichere Rechte | Least Privilege |
| alte Software | Patchmanagement |
| Fehlkonfiguration | Change Management |
| unklare Vorfälle | Logging, SIEM |
| Phishing | Schulung, MFA, Mailfilter |
Merksatz:
Gute Sicherheit besteht aus mehreren Schutzschichten.
---
**Checkliste: Benutzer und Rechte**
Das solltest du sicher können:
Benutzerkonto als digitale Identität erklären.
persönliche Konten statt Sammelkonten.
Gruppen und Rollen unterscheiden.
RBAC und ABAC grob erklären.
Authentifizierung und Autorisierung unterscheiden.
Least Privilege erklären.
Admin- und Alltagskonto trennen.
Dienstkonten rechtearm betreiben.
Offboarding konsequent durchführen.
Merksatz:
Rechte müssen notwendig,
nachvollziehbar
und regelmäßig geprüft sein.
---
**Checkliste: Logs und Monitoring**
Das solltest du sicher können:
Logging und Monitoring unterscheiden.
Alerting erklären.
typische Logquellen nennen.
zentrale Logsammlung erklären.
NTP-Bedeutung für Logs kennen.
Health Checks verstehen.
Backup-Monitoring erklären.
Zertifikatsüberwachung beachten.
| Begriff | Bedeutung |
|---|---|
| Logging | Ereignisse aufzeichnen |
| Monitoring | Zustände überwachen |
| Alerting | alarmieren |
| Reporting | auswerten |
Merksatz:
Logs zeigen Ereignisse.
Monitoring zeigt Zustände.
---
**Checkliste: Netzwerkbefehle**
| Aufgabe | Windows | Linux/macOS |
|---|---|---|
| IP prüfen | ipconfig | ip addr |
| Routing prüfen | route print | ip route |
| DNS prüfen | nslookup | dig |
| Erreichbarkeit prüfen | ping | ping |
| Route verfolgen | tracert | traceroute |
| Verbindungen prüfen | netstat | ss |
| Dienst prüfen | services.msc, PowerShell | systemctl |
| Logs prüfen | Ereignisanzeige | journalctl |
Merksatz:
Befehle liefern Fakten für die Fehlersuche.
---
**Checkliste: Dateiübertragung**
Das solltest du sicher können:
SMB,
NFS,
FTP,
FTPS,
SFTP
und SCP unterscheiden.
FTP als unverschlüsselt erkennen.
SFTP und FTPS nicht verwechseln.
SMB-Port TCP 445 kennen.
Freigabe- und Dateisystemrechte gemeinsam prüfen.
Synchronisation nicht mit Backup verwechseln.
Merksatz:
SFTP nutzt SSH.
FTPS nutzt FTP mit TLS.
---
**Checkliste: Backup und Restore**
Das solltest du sicher können:
Backup und Restore unterscheiden.
Restore-Test begründen.
Vollbackup,
inkrementell
und differenziell unterscheiden.
Snapshot einordnen.
RPO und RTO unterscheiden.
3-2-1-Regel erklären.
Immutable und Offline Backup erklären.
Redundanz,
Replikation
und Synchronisation von Backup unterscheiden.
Merksatz:
Backup ohne Restore-Test ist unsicher.
---
**Checkliste: Dokumentation und Change Management**
Das solltest du sicher können:
Dokumentation als Betriebs- und Sicherheitsmaßnahme erklären.
Systemdokumentation,
Netzwerkdokumentation
und Runbook unterscheiden.
IPAM erklären.
Netzplan erklären.
Change Management erklären.
Standard Change,
Normal Change
und Emergency Change unterscheiden.
Rollback-Plan erklären.
CMDB und Configuration Item grob einordnen.
Merksatz:
Änderungen müssen geplant,
getestet,
dokumentiert
und bei Bedarf rückgängig machbar sein.
---
**Checkliste: typische Fehlerbilder**
| Fehlerbild | Wahrscheinliche Richtung |
|---|---|
| IP geht, Name nicht | DNS |
| Lokal geht, Internet nicht | Gateway, NAT, Firewall |
| 169.254.x.x | DHCP |
| Host erreichbar, Dienst nicht | Port, Dienst, Firewall |
| Anmeldung scheitert | Authentifizierung |
| Anmeldung geht, Zugriff nicht | Autorisierung, Rechte |
| Zertifikatswarnung | Zertifikat, Hostname, Zeit |
| nur ein VLAN betroffen | VLAN, Routing, Firewall |
| nach Update defekt | Änderung, Version, Kompatibilität |
| Dateiübertragung langsam | Netzwerk, Speicher, Last |
| Backup nicht nutzbar | Restore-Test, Konsistenz, Schlüssel |
Merksatz:
Fehlerbild zuerst einordnen,
dann Maßnahme ableiten.
---
**Checkliste: Prüfungsantwort formulieren**
Eine gute Antwort enthält:
klare Ursache
Bezug zur Aufgabe
Fachbegriff
kurze Begründung
passende Prüfung oder Maßnahme
Einheit bei Berechnung
keine unnötigen Ausschweifungen
Struktur bei Fehler:
Ursache
Begründung
Prüfung
Struktur bei Sicherheit:
Risiko
Maßnahme
Wirkung
Merksatz:
Kurz,
fachlich,
begründet.
---
**Checkliste: Rechenaufgaben**
Vor Abgabe prüfen:
Bit oder Byte?
Mbit oder MB?
Präfix korrekt?
Netzbits und Hostbits korrekt?
Netzadresse korrekt?
Broadcast korrekt?
nutzbare Hosts korrekt?
Einheit angegeben?
Ergebnis plausibel?
Merksatz:
Einheitenfehler sind klassische Prüfungsfehler.
---
**Checkliste: letzte 10 Minuten vor Abgabe**
Name und Aufgabe prüfen.
Alle Teilaufgaben beantwortet?
Gefragte Anzahl eingehalten?
Einheiten ergänzt?
Rechenwege plausibel?
Fachbegriffe korrekt?
Tabellen vollständig?
Netzadresse und Broadcast geprüft?
RPO und RTO nicht verwechselt?
DNS und DHCP nicht verwechselt?
Authentifizierung und Autorisierung nicht verwechselt?
Antwort lesbar und eindeutig?
Merksatz:
Die letzten Minuten bringen oft noch sichere Punkte.
---
**IHK-sichere Kurzformulierung**
Prüfungschecklisten helfen dabei, Themen systematisch zu wiederholen und typische Fehler zu vermeiden. Besonders wichtig sind die sichere Zuordnung von OSI-Schichten, MAC-Adresse, IP-Adresse und Port, die Unterscheidung von DNS und DHCP, Gateway und Routing, TCP und UDP, NAT und PAT, Authentifizierung und Autorisierung sowie Backup, Replikation und Synchronisation. Bei Fehlerbildern sollte zuerst das Symptom eingeordnet und anschließend eine passende Prüfung oder Maßnahme genannt werden. Gute Prüfungsantworten sind kurz, fachlich korrekt, begründet und direkt auf die Aufgabenstellung bezogen.
---
**Merksätze**
Checklisten ordnen Wiederholung.
OSI hilft bei Fehlersuche.
TCP/IP ist praxisnah.
Kapselung verpackt Daten.
MAC ist Schicht 2.
IP ist Schicht 3.
Port ist Schicht 4.
IPv4 hat 32 Bit.
Private Adressen werden nicht direkt im Internet geroutet.
Subnetting immer systematisch lösen.
Mehr Hostbits bedeuten mehr Hosts.
Gateway führt in andere Netze.
DNS löst Namen auf.
DHCP verteilt Konfiguration.
ARP löst IPv4 zu MAC auf.
Switch lernt MAC-Adressen.
VLAN trennt logisch.
STP verhindert Schleifen.
TCP ist zuverlässig.
UDP ist schlank.
Ports mit Dienst und Protokoll lernen.
NAT übersetzt Adressen.
PAT nutzt Ports.
Firewall filtert Verkehr.
DMZ trennt öffentliche Dienste.
VPN verschlüsselt Verbindungen.
Cloud bedeutet geteilte Verantwortung.
Sicherheit schützt Vertraulichkeit,
Integrität
und Verfügbarkeit.
Rechte regelmäßig prüfen.
Logs zeigen Ereignisse.
Monitoring zeigt Zustände.
Befehle liefern Fakten.
FTP ist unverschlüsselt.
SFTP ist nicht FTPS.
Backup ohne Restore-Test ist unsicher.
Replikation ist kein Backup.
Dokumentation macht Betrieb nachvollziehbar.
Change Management kontrolliert Änderungen.
Fehlerbild bestimmt Prüfweg.
Prüfungsantwort:
kurz,
fachlich,
begründet.
# 18.4 Merksätze und Prüfungswissen zur Prüfungsvorbereitung
Diese Seite fasst die wichtigsten Punkte zur Prüfungsvorbereitung zusammen.
Sie dient als Abschluss für das Kapitel Prüfungsvorbereitung und Wiederholung.
Im Mittelpunkt stehen:
- Aufgaben richtig lesen
- Operatoren beachten
- Signalwörter erkennen
- Fehlerbilder einordnen
- Fachbegriffe sauber verwenden
- Rechenaufgaben systematisch lösen
- Antworten kurz und prüfungssicher formulieren
Merksatz:
Prüfungsvorbereitung heißt:
Wissen verstehen,
anwenden
und sauber formulieren.
---
**Wichtigste Grundregel**
Die wichtigste Regel in der Prüfung lautet:
Erst die Aufgabe verstehen,
dann antworten.
Nicht sofort auf bekannte Stichwörter reagieren.
Immer prüfen:
Was wird wirklich gefragt?
Welche Informationen sind gegeben?
Welche Einschränkungen stehen in der Aufgabe?
Wie viele Antworten werden verlangt?
Soll ich nennen,
erklären,
begründen,
vergleichen
oder berechnen?
Merksatz:
Die Aufgabenstellung entscheidet,
wie die Antwort aussehen muss.
---
**Operatoren sicher beachten**
| Operator | Erwartung |
|---|---|
| nennen | kurze Begriffe oder Stichpunkte |
| beschreiben | sachlich darstellen |
| erklären | Zusammenhang deutlich machen |
| begründen | Warum nennen |
| vergleichen | Unterschiede und Gemeinsamkeiten darstellen |
| berechnen | rechnerisch ermitteln |
| bewerten | fachlich einschätzen |
| zuordnen | passend einordnen |
Merksatz:
Wer den Operator ignoriert,
beantwortet schnell die falsche Frage.
---
**Antworten nach Operator formulieren**
Beispiel „nennen“:
Zwei Vorteile von VLANs sind logische Netztrennung
und kleinere Broadcast-Domänen.
Beispiel „erklären“:
VLANs trennen ein physisches Netzwerk logisch in mehrere getrennte Netzbereiche.
Dadurch können Geräte verschiedener Abteilungen oder Sicherheitszonen getrennt werden.
Beispiel „begründen“:
VLANs erhöhen die Struktur und Sicherheit,
weil Broadcastverkehr begrenzt
und Zugriffe zwischen Netzbereichen gezielter geregelt werden können.
Merksatz:
Gleicher Begriff,
andere Antworttiefe je nach Operator.
---
**Signalwörter erkennen**
Signalwörter zeigen oft direkt die Richtung der Lösung.
| Signalwort oder Fehlerbild | Wahrscheinliches Thema |
|---|---|
| IP erreichbar, Name nicht | DNS |
| 169.254.x.x | DHCP |
| lokal erreichbar, extern nicht | Gateway, NAT, Firewall |
| Host erreichbar, Dienst nicht | Port, Dienst, Firewall |
| Anmeldung fehlgeschlagen | Authentifizierung |
| Zugriff verweigert | Autorisierung, Rechte |
| Zertifikatswarnung | Zertifikat, Hostname, Zeit |
| nur ein VLAN betroffen | VLAN, Routing, Firewall |
| nach Update defekt | Change, Version, Kompatibilität |
| viele fehlgeschlagene Logins | Brute Force, Passwortangriff |
| verschlüsselte Dateien | Ransomware |
| gestohlene Zugangsdaten | Phishing, Credential Theft |
| Backup nicht lesbar | Restore-Test, Konsistenz, Schlüssel |
Merksatz:
Signalwörter sind Hinweise,
keine Zufälle.
---
**Typische Fehlerbilder sicher zuordnen**
| Fehlerbild | Erste Prüfung |
|---|---|
| kein Netzwerk | Kabel, WLAN, Link, IP |
| kein Internet | Gateway, DNS, NAT, Firewall |
| Name funktioniert nicht | DNS |
| falsche automatische IP | DHCP |
| Dienst nicht erreichbar | Port, Dienststatus, Firewall |
| Datei nicht zugreifbar | Rechte, Gruppe, ACL |
| Login nicht möglich | Konto, Passwort, MFA, Verzeichnisdienst |
| Webseite 404 | URL, Pfad, Webserver |
| Webseite 500 | Anwendung, Backend, Logs |
| Zertifikatsfehler | Ablaufdatum, Hostname, Kette, Uhrzeit |
| langsame Verbindung | Latenz, Paketverlust, Last, DNS |
Merksatz:
Fehlerbild zuerst einordnen,
dann gezielt prüfen.
---
**OSI-Modell als Prüfungswerkzeug**
Das OSI-Modell hilft,
Fehler strukturiert einzugrenzen.
| Schicht | Typische Fehler |
|---|---|
| 1 | Kabel defekt, kein Link, falscher Stecker |
| 2 | VLAN falsch, MAC-Problem, ARP, Switchport |
| 3 | IP falsch, Gateway falsch, Routingfehler |
| 4 | Port blockiert, TCP/UDP-Problem |
| 5 | Sitzung abgelaufen, Sessionproblem |
| 6 | TLS, Zertifikat, Codierung |
| 7 | DNS, DHCP, HTTP, SMTP, SMB |
Merksatz:
Von unten nach oben prüfen:
physisch,
Netzwerk,
Dienst,
Anwendung.
---
**MAC, IP und Port nicht verwechseln**
| Begriff | Schicht | Aufgabe |
|---|---|---|
| MAC-Adresse | 2 | lokale Zustellung im LAN |
| IP-Adresse | 3 | logische Adressierung über Netze |
| Port | 4 | Zuordnung zu einem Dienst |
Merksatz:
MAC findet lokal.
IP findet das Zielnetz.
Port findet den Dienst.
---
**DNS und DHCP nicht verwechseln**
DNS:
löst Namen in IP-Adressen auf
DHCP:
verteilt IP-Konfiguration automatisch
Beispiel DNS-Problem:
IP funktioniert,
Name nicht.
Beispiel DHCP-Problem:
Client erhält 169.254.x.x
oder keine passende IP-Konfiguration.
Merksatz:
DNS beantwortet:
Wie heißt die IP?
DHCP beantwortet:
Welche IP bekomme ich?
---
**Gateway und DNS unterscheiden**
Gateway:
Weg in andere Netze
DNS:
Namensauflösung
Typisches Gateway-Problem:
lokales Netz erreichbar,
Internet nicht
Typisches DNS-Problem:
IP erreichbar,
Name nicht
Merksatz:
Gateway ist der Weg.
DNS ist das Telefonbuch.
---
**TCP und UDP sicher unterscheiden**
| Merkmal | TCP | UDP |
|---|---|---|
| Verbindung | verbindungsorientiert | verbindungslos |
| Zustellung | zuverlässig | keine eingebaute Garantie |
| Reihenfolge | wird gesichert | nicht garantiert |
| Overhead | höher | geringer |
| Einsatz | vollständige Datenübertragung | schnelle oder zeitkritische Kommunikation |
Merksatz:
TCP = zuverlässig.
UDP = schlank.
---
**Wichtige Ports sicher können**
| Dienst | Port |
|---|---:|
| FTP | TCP 21 |
| SSH | TCP 22 |
| Telnet | TCP 23 |
| SMTP | TCP 25 |
| DNS | UDP/TCP 53 |
| DHCP Server | UDP 67 |
| DHCP Client | UDP 68 |
| HTTP | TCP 80 |
| POP3 | TCP 110 |
| IMAP | TCP 143 |
| HTTPS | TCP 443 |
| SMB | TCP 445 |
| SMTPS | TCP 465 |
| IMAPS | TCP 993 |
| POP3S | TCP 995 |
| RDP | TCP 3389 |
Merksatz:
Ports immer mit Dienst und Protokoll lernen.
---
**Subnetting-Prüfungswissen**
Bei Subnetting immer gleich vorgehen:
1. Präfix bestimmen.
2. Hostbits berechnen.
3. Adressanzahl berechnen.
4. nutzbare Hosts berechnen.
5. Blockgröße bestimmen.
6. Netzadresse finden.
7. Broadcastadresse finden.
8. erste und letzte nutzbare Adresse bestimmen.
Formel:
nutzbare Hosts = 2 hoch Hostbits minus 2
Merksatz:
Subnetting wird einfacher,
wenn die Reihenfolge immer gleich bleibt.
---
**Subnetting-Merksätze**
IPv4 hat 32 Bit.
Präfix gibt die Netzbits an.
Hostbits = 32 minus Präfix.
Mehr Netzbits bedeuten kleinere Netze.
Mehr Hostbits bedeuten mehr Hosts.
Netzadresse ist die erste Adresse.
Broadcastadresse ist die letzte Adresse.
Erste nutzbare Adresse = Netzadresse plus 1.
Letzte nutzbare Adresse = Broadcastadresse minus 1.
Pro zusätzlichem Netzbit halbiert sich die Hostanzahl.
Pro zusätzlichem Hostbit verdoppelt sich die Hostanzahl.
Merksatz:
Präfix größer:
Netz kleiner.
Präfix kleiner:
Netz größer.
---
**NAT, PAT und Portweiterleitung unterscheiden**
NAT:
übersetzt IP-Adressen
PAT:
übersetzt zusätzlich Ports,
damit mehrere interne Clients eine öffentliche IP nutzen können
Portweiterleitung:
leitet eingehenden Verkehr auf einen internen Dienst weiter
Merksatz:
NAT übersetzt Adressen.
PAT unterscheidet über Ports.
Portweiterleitung veröffentlicht einen Dienst.
---
**Firewall-Prüfungswissen**
Eine Firewall filtert Verkehr anhand von Regeln.
Typische Regelbestandteile:
Quelle
Ziel
Port
Protokoll
Richtung
Aktion
Zustand
Zweck
Sichere Grundregel:
Default Deny
Das bedeutet:
Standardmäßig blockieren,
nur benötigten Verkehr erlauben.
Merksatz:
Firewall-Regeln so eng wie möglich formulieren.
---
**VPN-Prüfungswissen**
Remote-Access-VPN:
einzelner Benutzer verbindet sich mit einem Netzwerk
Site-to-Site-VPN:
zwei Netzwerke oder Standorte werden verbunden
Wichtig:
VPN verschlüsselt den Transportweg,
ersetzt aber keine Rechteverwaltung.
Merksatz:
VPN schützt Verbindung,
nicht automatisch jede Berechtigung.
---
**Cloud-Prüfungswissen**
IaaS:
virtuelle Infrastruktur
PaaS:
Plattform für Anwendungen
SaaS:
fertige Anwendung
Public Cloud:
öffentlich angebotene Cloud
Private Cloud:
Cloud für eine Organisation
Hybrid Cloud:
Kombination aus lokal und Cloud
Multi Cloud:
Nutzung mehrerer Cloud-Anbieter
Merksatz:
IaaS,
PaaS
und SaaS beschreiben Servicemodelle.
Public,
Private,
Hybrid
und Multi Cloud beschreiben Bereitstellungsmodelle.
---
**Shared Responsibility**
Beim Shared-Responsibility-Modell teilen sich Cloud-Anbieter und Kunde die Verantwortung.
Anbieter:
Infrastruktur der Cloud
Kunde:
Daten
Identitäten
Zugriffe
Konfigurationen
Anwendungen je nach Modell
Merksatz:
Cloud-Anbieter übernimmt nicht automatisch alles.
---
**Sicherheitsbegriffe sicher unterscheiden**
| Begriff | Bedeutung |
|---|---|
| Vertraulichkeit | Schutz vor unberechtigtem Lesen |
| Integrität | Schutz vor unbemerkter Veränderung |
| Verfügbarkeit | Nutzbarkeit von Systemen und Daten |
| Authentizität | Echtheit einer Identität oder Nachricht |
| Nichtabstreitbarkeit | Nachweisbarkeit einer Handlung |
| Schwachstelle | ausnutzbare Lücke |
| Bedrohung | mögliches schädliches Ereignis |
| Risiko | Wahrscheinlichkeit und Auswirkung |
| Maßnahme | reduziert Risiko |
Merksatz:
Schwachstelle ist die Lücke.
Bedrohung ist das Ereignis.
Risiko ist die bewertete Gefahr.
---
**Angriffe sicher zuordnen**
| Angriff | Typisches Ziel |
|---|---|
| Phishing | Zugangsdaten, Identitäten |
| Ransomware | Verfügbarkeit, oft auch Vertraulichkeit |
| DDoS | Verfügbarkeit |
| Man-in-the-Middle | Vertraulichkeit und Integrität |
| SQL Injection | Datenbank |
| XSS | Browser anderer Benutzer |
| CSRF | gültige Sitzung |
| Brute Force | Passwort |
| Credential Stuffing | wiederverwendete Zugangsdaten |
| Spoofing | Identität oder Herkunft |
Merksatz:
Angriff immer dem Ziel und Schutzziel zuordnen.
---
**Schutzmaßnahmen sicher zuordnen**
| Risiko | passende Maßnahme |
|---|---|
| gestohlenes Passwort | MFA |
| zu viele Rechte | Least Privilege |
| Malware | EDR, Patchmanagement |
| Ransomware | Backup, Immutable Backup, Segmentierung |
| DDoS | DDoS-Schutz, CDN, Rate Limiting |
| unsichere Freigaben | Rechteprüfung, Ablaufdatum |
| fehlende Nachvollziehbarkeit | Logging, SIEM |
| Fehlkonfiguration | Change Management |
| unsichere Benutzer | Schulung, Awareness |
| veraltete Software | Patchmanagement |
Merksatz:
Maßnahme muss direkt zum Risiko passen.
---
**Authentifizierung und Autorisierung**
Authentifizierung:
Wer bist du?
Autorisierung:
Was darfst du?
Beispiel:
Benutzer meldet sich mit Passwort und MFA an.
Danach wird geprüft,
ob er auf einen Ordner zugreifen darf.
Merksatz:
Erst Identität,
dann Rechte.
---
**Least Privilege und Need to Know**
Least Privilege:
nur notwendige Rechte
Need to Know:
nur notwendige Informationen
Beispiel:
Ein Supportmitarbeiter braucht vielleicht Zugriff auf Gerätedaten,
aber nicht auf Gehaltsdaten.
Merksatz:
Least Privilege begrenzt Rechte.
Need to Know begrenzt Informationen.
---
**Backup, Replikation und Synchronisation unterscheiden**
Backup:
wiederherstellbare Sicherung alter Zustände
Replikation:
aktuelle Kopie auf anderem System
Synchronisation:
Abgleich zwischen Speicherorten
Risiko:
Fehler,
Löschung
oder Ransomware können bei Replikation oder Synchronisation mit übertragen werden.
Merksatz:
Sync und Replikation sind kein Backup.
---
**RPO und RTO**
RPO:
maximal akzeptabler Datenverlust
RTO:
maximal akzeptable Wiederherstellungszeit
Beispiel:
RPO 1 Stunde:
maximal 1 Stunde Datenverlust
RTO 4 Stunden:
Dienst soll spätestens nach 4 Stunden wieder laufen
Merksatz:
RPO = Datenverlust.
RTO = Zeit bis Wiederherstellung.
---
**Logging, Monitoring und Alerting unterscheiden**
Logging:
Ereignisse werden aufgezeichnet
Monitoring:
Zustände werden überwacht
Alerting:
bei kritischen Zuständen wird alarmiert
Reporting:
Zustände werden über einen Zeitraum ausgewertet
Merksatz:
Logs zeigen Ereignisse.
Monitoring zeigt Zustände.
Alerting meldet Probleme.
---
**Wichtige Befehle sicher einordnen**
| Aufgabe | Werkzeug |
|---|---|
| IP-Konfiguration Windows | ipconfig |
| IP-Konfiguration Linux | ip addr |
| Routing Windows | route print |
| Routing Linux | ip route |
| DNS prüfen | nslookup, dig |
| Erreichbarkeit prüfen | ping |
| Weg verfolgen | tracert, traceroute |
| Verbindungen anzeigen | netstat, ss |
| Webdienst prüfen | curl |
| Linux-Dienst prüfen | systemctl |
| Linux-Logs prüfen | journalctl |
| Windows-Logs prüfen | Ereignisanzeige |
Merksatz:
Befehle liefern Fakten,
keine Vermutungen.
---
**Typische Prüfungsfallen**
DNS und DHCP verwechseln.
Gateway und DNS verwechseln.
MAC,
IP
und Port verwechseln.
TCP und UDP verwechseln.
NAT,
PAT
und Portweiterleitung verwechseln.
VLAN und Subnetz gleichsetzen.
Firewall und Router verwechseln.
Authentifizierung und Autorisierung verwechseln.
Backup,
Replikation
und Synchronisation verwechseln.
RPO und RTO verwechseln.
SFTP und FTPS verwechseln.
IDS und IPS verwechseln.
Redundanz als Backup bezeichnen.
Snapshot als vollständiges Backup bezeichnen.
ping als vollständigen Diensttest verstehen.
Merksatz:
Prüfungsfallen sind oft Begriffsfallen.
---
**Gute Antwortstruktur bei Fehlersuche**
Struktur:
Ursache
Begründung
Prüfung
Beispiel:
Wahrscheinlich liegt ein DNS-Problem vor,
da die IP-Adresse erreichbar ist,
der Name aber nicht aufgelöst wird.
Der DNS-Server und der DNS-Eintrag sollten mit nslookup oder dig geprüft werden.
Merksatz:
Fehlerantwort:
Ursache,
Begründung,
Prüfung.
---
**Gute Antwortstruktur bei Sicherheitsfragen**
Struktur:
Risiko
Maßnahme
Wirkung
Beispiel:
Das Risiko besteht im Missbrauch gestohlener Zugangsdaten.
Durch MFA reicht ein gestohlenes Passwort allein nicht mehr aus.
Dadurch wird die Wahrscheinlichkeit eines unberechtigten Zugriffs reduziert.
Merksatz:
Sicherheitsantwort:
Risiko,
Maßnahme,
Wirkung.
---
**Gute Antwortstruktur bei Vergleichen**
Struktur:
Gemeinsamkeit
Unterschied
Beispiel
Beispiel:
TCP und UDP sind Transportprotokolle.
TCP ist verbindungsorientiert und zuverlässig,
UDP ist verbindungslos und hat weniger Overhead.
TCP wird zum Beispiel bei HTTPS genutzt,
UDP häufig bei DNS oder VoIP.
Merksatz:
Vergleich:
Gemeinsamkeit,
Unterschied,
Beispiel.
---
**Gute Antwortstruktur bei Berechnungen**
Struktur:
gegebene Werte
Formel oder Regel
Rechenschritt
Ergebnis mit Einheit
Plausibilitätsprüfung
Beispiel:
Bei /27 gibt es 5 Hostbits.
2 hoch 5 ergibt 32 Adressen.
Davon sind 30 nutzbar,
weil Netzadresse und Broadcastadresse nicht für Hosts genutzt werden.
Merksatz:
Berechnung immer mit Bedeutung des Ergebnisses angeben.
---
**Letzte Prüfungsminute**
Kurz vor Abgabe prüfen:
Habe ich alle Teilfragen beantwortet?
Habe ich die geforderte Anzahl genannt?
Habe ich Einheiten ergänzt?
Habe ich Fachbegriffe sauber verwendet?
Habe ich DNS und DHCP nicht verwechselt?
Habe ich RPO und RTO nicht verwechselt?
Habe ich bei Subnetting Netzadresse und Broadcast geprüft?
Habe ich bei Sicherheitsfragen die Maßnahme begründet?
Habe ich bei Fehlersuche eine Prüfung genannt?
Merksatz:
Die letzte Kontrolle verhindert einfache Punktverluste.
---
**IHK-sichere Gesamtformulierung**
Für die Prüfung ist entscheidend, Aufgabenstellungen genau zu lesen, Operatoren zu beachten und technische Hinweise richtig einzuordnen. Netzwerkfehler sollten systematisch nach OSI-Modell geprüft werden: physische Verbindung, IP-Konfiguration, Gateway, DNS, Routing, Firewall, Dienst und Anwendung. Wichtige Begriffe wie MAC-Adresse, IP-Adresse, Port, DNS, DHCP, TCP, UDP, NAT, PAT, Authentifizierung, Autorisierung, Backup, Replikation, RPO und RTO müssen sauber unterschieden werden. Gute Antworten sind kurz, fachlich korrekt und begründet. Bei Fehlersuche werden Ursache, Begründung und Prüfung genannt. Bei Sicherheitsfragen werden Risiko, Maßnahme und Wirkung verbunden.
---
**Wichtigste Merksätze**
Erst Aufgabe verstehen,
dann antworten.
Operator beachten.
Signalwörter erkennen.
Fehlerbild einordnen.
OSI als Fehlersuche nutzen.
MAC ist lokal.
IP ist logisch.
Port ist Dienst.
DNS löst Namen auf.
DHCP verteilt Konfiguration.
Gateway führt in andere Netze.
TCP ist zuverlässig.
UDP ist schlank.
NAT übersetzt Adressen.
PAT nutzt Ports.
Portweiterleitung veröffentlicht Dienste.
Firewall filtert Verkehr.
VPN schützt Verbindung.
Cloud bedeutet geteilte Verantwortung.
Vertraulichkeit schützt vor Mitlesen.
Integrität schützt vor Manipulation.
Verfügbarkeit schützt Nutzbarkeit.
MFA schützt gegen Passwortmissbrauch.
Least Privilege begrenzt Rechte.
Backup ist Wiederherstellungsvorsorge.
Replikation ist kein Backup.
Synchronisation ist kein Backup.
RPO ist Datenverlust.
RTO ist Wiederherstellungszeit.
Logging zeigt Ereignisse.
Monitoring zeigt Zustände.
Alerting meldet Probleme.
Befehle liefern Fakten.
Prüfungsfallen sind oft Begriffsfallen.
Fehlerantwort:
Ursache,
Begründung,
Prüfung.
Sicherheitsantwort:
Risiko,
Maßnahme,
Wirkung.
Vergleich:
Gemeinsamkeit,
Unterschied,
Beispiel.
Berechnung:
Regel,
Ergebnis,
Einheit.
Kurz,
fachlich,
begründet.
# 19. Notizen, Cheatsheets und Spickzettel
# 19.1 Notizen, Cheatsheets und Spickzettel
Dieses Kapitel enthält kompakte Spickzettel für die schnelle Wiederholung.
Es ist kein neues großes Theoriekapitel,
sondern eine Sammlung wichtiger Übersichten.
Ziel ist:
- kurz vor der Prüfung schnell wiederholen
- Begriffe sicher unterscheiden
- Standardwerte griffbereit haben
- typische Fehlerbilder schneller erkennen
- Rechenwege kompakt nachschlagen
- prüfungssichere Kurzantworten vorbereiten
Merksatz:
Spickzettel ersetzen kein Verständnis,
helfen aber beim schnellen Wiederholen.
---
**Wofür dieses Kapitel gedacht ist**
Dieses Kapitel eignet sich besonders für:
letzte Wiederholung vor Klassenarbeit oder Prüfung
schnelles Nachschlagen
Vergleich ähnlicher Begriffe
Wiederholung von Ports
Subnetting-Übersicht
OSI-Zuordnung
Fehlerdiagnose
Sicherheitsbegriffe
Backup-Begriffe
Cloud-Modelle
Admin-Befehle
Merksatz:
Dieses Kapitel ist für kompakte Wiederholung,
nicht für lange Erklärungen.
---
**Aufbau der Spickzettel**
Die Spickzettel sollten möglichst kurz und übersichtlich bleiben.
Sinnvolle Seiten in diesem Kapitel:
19.1 Notizen, Cheatsheets und Spickzettel
19.2 OSI- und TCP/IP-Spickzettel
19.3 Standardports-Spickzettel
19.4 Subnetting-Spickzettel
19.5 DNS, DHCP, Gateway und NAT Spickzettel
19.6 TCP, UDP, ICMP und ARP Spickzettel
19.7 VLAN, Switching, Routing und Firewall Spickzettel
19.8 Sicherheitsbegriffe und Angriffe Spickzettel
19.9 Backup, Restore, RPO und RTO Spickzettel
19.10 Admin-Befehle und Fehlersuche Spickzettel
19.11 Prüfungs-Signalwörter und Musterformulierungen
Merksatz:
Kapitel 19 ist die Kurzfassung der wichtigsten Prüfungsthemen.
---
**Was ein guter Spickzettel leisten soll**
Ein guter Spickzettel ist:
kurz
eindeutig
fachlich korrekt
schnell überfliegbar
tabellarisch
prüfungsnah
ohne unnötige Theorie
mit klaren Merksätzen
Er sollte nicht:
lange Texte wiederholen
ganze Kapitel ersetzen
unklare Abkürzungen enthalten
Begriffe vermischen
zu viele Randthemen enthalten
Merksatz:
Spickzettel müssen schnell lesbar sein.
---
**Die wichtigsten Grundregeln für die Prüfung**
Aufgabe genau lesen.
Operator beachten.
Signalwörter erkennen.
Gefragte Anzahl beachten.
Fachbegriffe sauber verwenden.
Ergebnis mit Einheit angeben.
Bei Fehlern systematisch prüfen.
Bei Sicherheit Risiko und Maßnahme verbinden.
Bei Vergleichen Unterschiede klar darstellen.
Bei Berechnungen Plausibilität prüfen.
Merksatz:
Viele Punkte gehen nicht durch fehlendes Wissen verloren,
sondern durch ungenaue Antworten.
---
**Mini-Spickzettel: OSI-Schichten**
| Schicht | Name | Typische Begriffe |
|---|---|---|
| 7 | Anwendung | HTTP, DNS, DHCP, SMTP, SMB |
| 6 | Darstellung | TLS, Verschlüsselung, Codierung |
| 5 | Sitzung | Session, Sitzung, Wiederaufnahme |
| 4 | Transport | TCP, UDP, Ports |
| 3 | Vermittlung | IP, Routing, ICMP |
| 2 | Sicherung | MAC, Ethernet, Switch, VLAN, ARP |
| 1 | Bitübertragung | Kabel, Signal, Stecker, Funk |
Merksatz:
OSI hilft bei der Fehlersuche von unten nach oben.
---
**Mini-Spickzettel: TCP/IP-Modell**
| TCP/IP-Schicht | OSI-Zuordnung | Beispiele |
|---|---|---|
| Anwendung | OSI 5 bis 7 | HTTP, DNS, DHCP, SMTP |
| Transport | OSI 4 | TCP, UDP |
| Internet | OSI 3 | IP, ICMP, Routing |
| Netzzugang | OSI 1 bis 2 | Ethernet, WLAN, MAC |
Merksatz:
TCP/IP ist praxisnah,
OSI ist genauer aufgeteilt.
---
**Mini-Spickzettel: MAC, IP und Port**
| Begriff | Schicht | Aufgabe |
|---|---|---|
| MAC-Adresse | 2 | lokale Zustellung im LAN |
| IP-Adresse | 3 | logische Adressierung über Netze |
| Port | 4 | Zuordnung zu Dienst oder Anwendung |
Merksatz:
MAC findet lokal.
IP findet das Zielnetz.
Port findet den Dienst.
---
**Mini-Spickzettel: wichtige Ports**
| Dienst | Port |
|---|---:|
| FTP | TCP 21 |
| SSH | TCP 22 |
| Telnet | TCP 23 |
| SMTP | TCP 25 |
| DNS | UDP/TCP 53 |
| DHCP Server | UDP 67 |
| DHCP Client | UDP 68 |
| HTTP | TCP 80 |
| POP3 | TCP 110 |
| IMAP | TCP 143 |
| HTTPS | TCP 443 |
| SMB | TCP 445 |
| SMTPS | TCP 465 |
| IMAPS | TCP 993 |
| POP3S | TCP 995 |
| RDP | TCP 3389 |
Merksatz:
Ports immer mit Dienst,
Protokoll
und Zweck lernen.
---
**Mini-Spickzettel: Subnetting**
Wichtige Regeln:
IPv4 hat 32 Bit.
Hostbits = 32 minus Präfix.
nutzbare Hosts = 2 hoch Hostbits minus 2.
Netzadresse = erste Adresse im Subnetz.
Broadcastadresse = letzte Adresse im Subnetz.
erste nutzbare Adresse = Netzadresse + 1.
letzte nutzbare Adresse = Broadcastadresse - 1.
Merksatz:
Präfix größer bedeutet:
kleineres Netz.
Präfix kleiner bedeutet:
größeres Netz.
---
**Mini-Spickzettel: häufige Präfixe**
| Präfix | Maske | Adressen | nutzbare Hosts |
|---|---|---:|---:|
| /24 | 255.255.255.0 | 256 | 254 |
| /25 | 255.255.255.128 | 128 | 126 |
| /26 | 255.255.255.192 | 64 | 62 |
| /27 | 255.255.255.224 | 32 | 30 |
| /28 | 255.255.255.240 | 16 | 14 |
| /29 | 255.255.255.248 | 8 | 6 |
| /30 | 255.255.255.252 | 4 | 2 |
Merksatz:
Jeder Präfixschritt nach rechts halbiert die Adressanzahl.
---
**Mini-Spickzettel: private IPv4-Bereiche**
| Bereich | CIDR |
|---|---|
| 10.0.0.0 bis 10.255.255.255 | 10.0.0.0/8 |
| 172.16.0.0 bis 172.31.255.255 | 172.16.0.0/12 |
| 192.168.0.0 bis 192.168.255.255 | 192.168.0.0/16 |
Merksatz:
Private IPv4-Adressen werden im Internet nicht direkt geroutet.
---
**Mini-Spickzettel: DNS und DHCP**
| Begriff | Aufgabe | Typisches Fehlerbild |
|---|---|---|
| DNS | Namen in IP-Adressen auflösen | IP geht, Name nicht |
| DHCP | IP-Konfiguration automatisch verteilen | 169.254.x.x oder falsche IP |
| Gateway | Weg in andere Netze | lokal geht, Internet nicht |
Merksatz:
DNS gibt Namen eine Adresse.
DHCP gibt Clients eine Konfiguration.
Gateway führt in andere Netze.
---
**Mini-Spickzettel: TCP und UDP**
| Merkmal | TCP | UDP |
|---|---|---|
| Verbindung | verbindungsorientiert | verbindungslos |
| Zuverlässigkeit | hoch | keine eingebaute Garantie |
| Reihenfolge | wird gesichert | nicht garantiert |
| Overhead | höher | geringer |
| Beispiele | HTTPS, SSH, SMTP | DNS, DHCP, VoIP |
Merksatz:
TCP = zuverlässig.
UDP = schnell und schlank.
---
**Mini-Spickzettel: NAT, PAT und Portweiterleitung**
| Begriff | Bedeutung |
|---|---|
| NAT | übersetzt IP-Adressen |
| PAT | übersetzt zusätzlich Ports |
| Portweiterleitung | leitet externen Port an internen Dienst weiter |
Merksatz:
NAT übersetzt Adressen.
PAT unterscheidet über Ports.
Portweiterleitung veröffentlicht Dienste.
---
**Mini-Spickzettel: Firewall und DMZ**
| Begriff | Bedeutung |
|---|---|
| Firewall | filtert Netzwerkverkehr |
| Default Deny | standardmäßig blockieren, nur Erlaubtes freigeben |
| Any to Any | sehr breite und kritische Regel |
| DMZ | getrenntes Netz für öffentlich erreichbare Dienste |
Merksatz:
Firewall-Regeln so eng wie möglich formulieren.
---
**Mini-Spickzettel: VPN**
| VPN-Art | Bedeutung |
|---|---|
| Remote-Access-VPN | einzelner Benutzer verbindet sich mit Netzwerk |
| Site-to-Site-VPN | zwei Netzwerke oder Standorte werden verbunden |
Wichtig:
VPN verschlüsselt den Transportweg,
ersetzt aber keine Berechtigungen.
Merksatz:
VPN schützt Verbindung,
nicht automatisch Rechte.
---
**Mini-Spickzettel: Cloud**
| Modell | Bedeutung |
|---|---|
| IaaS | virtuelle Infrastruktur |
| PaaS | Plattform für Anwendungen |
| SaaS | fertige Anwendung |
| Bereitstellung | Bedeutung |
|---|---|
| Public Cloud | öffentlich angebotene Cloud |
| Private Cloud | Cloud für eine Organisation |
| Hybrid Cloud | Kombination aus lokal und Cloud |
| Multi Cloud | mehrere Cloud-Anbieter |
Merksatz:
IaaS,
PaaS
und SaaS sind Servicemodelle.
Public,
Private,
Hybrid
und Multi Cloud sind Bereitstellungsmodelle.
---
**Mini-Spickzettel: Sicherheitsziele**
| Schutzziel | Bedeutung |
|---|---|
| Vertraulichkeit | Schutz vor unberechtigtem Lesen |
| Integrität | Schutz vor unbemerkter Veränderung |
| Verfügbarkeit | Nutzbarkeit von Systemen und Daten |
| Authentizität | Echtheit einer Identität oder Nachricht |
| Nichtabstreitbarkeit | Nachweisbarkeit einer Handlung |
Merksatz:
CIA = Vertraulichkeit,
Integrität,
Verfügbarkeit.
---
**Mini-Spickzettel: Angriffe**
| Angriff | Kurzbeschreibung |
|---|---|
| Phishing | Täuschung zur Datenpreisgabe |
| Ransomware | verschlüsselt oder sperrt Daten |
| DDoS | verteilter Angriff auf Verfügbarkeit |
| Man-in-the-Middle | Angreifer sitzt zwischen Kommunikationspartnern |
| Spoofing | Identität oder Herkunft wird vorgetäuscht |
| SQL Injection | SQL-Code wird eingeschleust |
| XSS | Skript wird im Browser ausgeführt |
| CSRF | gültige Sitzung wird missbraucht |
| Brute Force | systematisches Ausprobieren |
| Credential Stuffing | geleakte Zugangsdaten werden erneut genutzt |
Merksatz:
Angriff erkennen,
Schutzziel zuordnen,
Maßnahme nennen.
---
**Mini-Spickzettel: Schutzmaßnahmen**
| Risiko | Maßnahme |
|---|---|
| gestohlenes Passwort | MFA |
| zu viele Rechte | Least Privilege |
| Malware | EDR, Patchmanagement |
| Ransomware | Backup, Segmentierung, Immutable Backup |
| DDoS | DDoS-Schutz, CDN, Rate Limiting |
| Datenabfluss | DLP, Verschlüsselung, Rechtekonzept |
| Fehlkonfiguration | Change Management, Vier-Augen-Prinzip |
| unklare Vorfälle | Logging, SIEM, Monitoring |
| Phishing | Schulung, MFA, Mailfilter |
Merksatz:
Maßnahme muss zum Risiko passen.
---
**Mini-Spickzettel: Authentifizierung und Autorisierung**
| Begriff | Frage | Beispiel |
|---|---|---|
| Authentifizierung | Wer bist du? | Anmeldung mit Passwort und MFA |
| Autorisierung | Was darfst du? | Zugriff auf Datei erlaubt oder verboten |
Merksatz:
Erst Identität prüfen,
dann Rechte prüfen.
---
**Mini-Spickzettel: Backup**
| Begriff | Bedeutung |
|---|---|
| Backup | Sicherung |
| Restore | Wiederherstellung |
| Vollbackup | sichert alles |
| inkrementell | Änderungen seit letztem Backup |
| differenziell | Änderungen seit letztem Vollbackup |
| Snapshot | Momentaufnahme |
| RPO | maximaler Datenverlust |
| RTO | maximale Wiederherstellungszeit |
| Immutable Backup | unveränderliches Backup |
Merksatz:
Backup ohne Restore-Test ist unsicher.
---
**Mini-Spickzettel: Backup, Sync und Replikation**
| Begriff | Ziel | Wichtig |
|---|---|---|
| Backup | alte Zustände wiederherstellen | schützt Wiederherstellung |
| Synchronisation | Orte gleich halten | Fehler werden oft übernommen |
| Replikation | aktuelle Kopie bereitstellen | ersetzt kein Backup |
| Redundanz | Ausfall abfedern | ersetzt kein Backup |
Merksatz:
Sync,
Replikation
und Redundanz sind kein Backup.
---
**Mini-Spickzettel: Logging und Monitoring**
| Begriff | Bedeutung |
|---|---|
| Logging | Ereignisse aufzeichnen |
| Monitoring | Zustände überwachen |
| Alerting | bei kritischen Zuständen alarmieren |
| Reporting | Verlauf auswerten |
| SIEM | Sicherheitslogs sammeln und korrelieren |
| NTP | Zeit synchronisieren |
Merksatz:
Logs zeigen Ereignisse.
Monitoring zeigt Zustände.
---
**Mini-Spickzettel: Admin-Befehle**
| Aufgabe | Windows | Linux/macOS |
|---|---|---|
| IP prüfen | ipconfig | ip addr |
| Routing prüfen | route print | ip route |
| DNS prüfen | nslookup | dig |
| Erreichbarkeit prüfen | ping | ping |
| Weg verfolgen | tracert | traceroute |
| Verbindungen prüfen | netstat | ss |
| Webdienst prüfen | PowerShell oder Browser | curl |
| Dienst prüfen | services.msc, PowerShell | systemctl |
| Logs prüfen | Ereignisanzeige | journalctl |
Merksatz:
Befehle liefern Fakten für die Fehlersuche.
---
**Mini-Spickzettel: typische Fehlerbilder**
| Fehlerbild | Wahrscheinliche Richtung |
|---|---|
| IP geht, Name nicht | DNS |
| lokal geht, Internet nicht | Gateway, NAT, Firewall |
| 169.254.x.x | DHCP |
| Host erreichbar, Dienst nicht | Port, Dienst, Firewall |
| Anmeldung scheitert | Authentifizierung |
| Anmeldung geht, Zugriff nicht | Autorisierung, Rechte |
| Zertifikatswarnung | Zertifikat, Hostname, Zeit |
| nur ein VLAN betroffen | VLAN, Routing, Firewall |
| nach Update defekt | Change, Version, Kompatibilität |
| Backup nicht nutzbar | Restore-Test, Konsistenz, Schlüssel |
Merksatz:
Fehlerbild bestimmt die erste sinnvolle Prüfung.
---
**Mini-Spickzettel: Antwortstruktur**
Bei Fehlersuche:
Ursache
Begründung
Prüfung
Beispiel:
Wahrscheinlich liegt ein DNS-Problem vor,
da die IP-Adresse erreichbar ist,
der Name aber nicht aufgelöst wird.
Der DNS-Server sollte mit nslookup oder dig geprüft werden.
Bei Sicherheitsfragen:
Risiko
Maßnahme
Wirkung
Beispiel:
Das Risiko besteht im Missbrauch gestohlener Zugangsdaten.
MFA reduziert dieses Risiko,
weil ein Passwort allein nicht mehr ausreicht.
Merksatz:
Antwort kurz,
fachlich
und begründet formulieren.
---
**Welche Spickzettel danach sinnvoll sind**
Die nächsten Seiten können einzelne Spickzettel ausführlicher und sauber getrennt darstellen:
OSI- und TCP/IP-Spickzettel
Standardports-Spickzettel
Subnetting-Spickzettel
DNS-DHCP-Gateway-Spickzettel
Sicherheitsbegriffe-Spickzettel
Backup-Spickzettel
Admin-Befehle-Spickzettel
Prüfungs-Signalwörter-Spickzettel
Merksatz:
Erst Gesamtübersicht,
dann einzelne Spickzettel.
---
**IHK-sichere Kurzformulierung**
Notizen, Cheatsheets und Spickzettel dienen der schnellen Wiederholung wichtiger Prüfungsinhalte. Sie fassen zentrale Begriffe, Standardports, OSI-Schichten, Subnetting-Regeln, Fehlerbilder, Sicherheitsmaßnahmen, Backup-Begriffe und Administrationsbefehle kompakt zusammen. Ein guter Spickzettel ist kurz, eindeutig, fachlich korrekt und schnell lesbar. Er ersetzt nicht das Verständnis der Themen, hilft aber dabei, kurz vor der Prüfung Begriffe sicher zu unterscheiden und typische Aufgaben schneller einzuordnen.
---
**Merksätze**
Spickzettel sind Kurzfassungen.
Spickzettel ersetzen kein Verständnis.
OSI hilft bei Fehlersuche.
TCP/IP ist praxisnah.
MAC ist lokal.
IP ist logisch.
Port ist Dienst.
DNS löst Namen auf.
DHCP verteilt Konfiguration.
Gateway führt in andere Netze.
TCP ist zuverlässig.
UDP ist schlank.
NAT übersetzt Adressen.
PAT nutzt Ports.
Firewall filtert Verkehr.
DMZ trennt öffentliche Dienste.
VPN verschlüsselt Verbindung.
Cloud bedeutet geteilte Verantwortung.
CIA bedeutet Vertraulichkeit,
Integrität
und Verfügbarkeit.
MFA schützt gegen Passwortmissbrauch.
Least Privilege begrenzt Rechte.
Backup braucht Restore-Test.
Sync ist kein Backup.
Replikation ist kein Backup.
Logs zeigen Ereignisse.
Monitoring zeigt Zustände.
Befehle liefern Fakten.
Fehlerbilder geben Hinweise.
Antwortstruktur bringt Punkte.
Kurz,
fachlich,
begründet.
# 19.2 OSI- und TCP/IP-Spickzettel
Dieser Spickzettel fasst die wichtigsten Punkte zum OSI-Modell und TCP/IP-Modell kompakt zusammen.
Er dient zur schnellen Wiederholung vor Prüfung,
Klassenarbeit
oder praktischer Fehlersuche.
Merksatz:
OSI ist das Denkmodell.
TCP/IP ist das Praxismodell.
---
**OSI-Modell Überblick**
| Schicht | Name | Hauptaufgabe | Typische Begriffe |
|---|---|---|---|
| 7 | Anwendungsschicht | Netzwerkdienste für Anwendungen | HTTP, DNS, DHCP, SMTP, SMB |
| 6 | Darstellungsschicht | Datenformat, Codierung, Verschlüsselung | TLS, SSL, Zeichensatz, Kompression |
| 5 | Sitzungsschicht | Sitzungen aufbauen, halten, beenden | Session, Token, Cookie, Timeout |
| 4 | Transportschicht | Ende-zu-Ende-Kommunikation | TCP, UDP, Ports |
| 3 | Vermittlungsschicht | logische Adressierung und Routing | IP, ICMP, Router, Gateway |
| 2 | Sicherungsschicht | lokale Übertragung im Netzwerksegment | MAC, Ethernet, Switch, VLAN, ARP |
| 1 | Bitübertragungsschicht | Übertragung von Bits als Signale | Kabel, Funk, Stecker, Signal |
Merksatz:
OSI-Schichten von oben:
Anwendung,
Darstellung,
Sitzung,
Transport,
Vermittlung,
Sicherung,
Bitübertragung.
---
**OSI-Schichten kurz erklärt**
| Schicht | Kurzbeschreibung |
|---|---|
| 7 Anwendung | Protokolle und Dienste, mit denen Anwendungen kommunizieren |
| 6 Darstellung | Daten werden passend dargestellt, codiert, komprimiert oder verschlüsselt |
| 5 Sitzung | Kommunikationssitzungen werden verwaltet |
| 4 Transport | Daten werden Prozessen über Ports zugeordnet |
| 3 Vermittlung | Pakete werden über Netze hinweg geroutet |
| 2 Sicherung | Frames werden im lokalen Netz über MAC-Adressen übertragen |
| 1 Bitübertragung | Bits werden elektrisch, optisch oder per Funk übertragen |
Merksatz:
Je höher die Schicht,
desto näher an der Anwendung.
Je niedriger die Schicht,
desto näher am Medium.
---
**TCP/IP-Modell Überblick**
| TCP/IP-Schicht | Entspricht grob OSI | Hauptaufgabe | Beispiele |
|---|---|---|---|
| Anwendung | OSI 5 bis 7 | Anwendungsprotokolle | HTTP, DNS, DHCP, SMTP |
| Transport | OSI 4 | Ende-zu-Ende-Kommunikation | TCP, UDP |
| Internet | OSI 3 | Adressierung und Routing | IP, ICMP |
| Netzzugang | OSI 1 bis 2 | lokale Übertragung | Ethernet, WLAN, MAC |
Merksatz:
TCP/IP fasst mehrere OSI-Schichten zusammen.
---
**OSI-Modell und TCP/IP-Modell vergleichen**
| OSI-Modell | TCP/IP-Modell |
|---|---|
| theoretisches Referenzmodell | praxisnahes Internetmodell |
| 7 Schichten | meistens 4 Schichten |
| feiner aufgeteilt | gröber zusammengefasst |
| gut für Fehlersuche und Erklärung | gut für reale Protokolle |
| Darstellung und Sitzung getrennt | in Anwendung zusammengefasst |
Merksatz:
OSI erklärt genauer.
TCP/IP beschreibt die praktische Internetkommunikation.
---
**Zuordnung OSI zu TCP/IP**
| OSI-Schicht | OSI-Name | TCP/IP-Schicht |
|---|---|---|
| 7 | Anwendung | Anwendung |
| 6 | Darstellung | Anwendung |
| 5 | Sitzung | Anwendung |
| 4 | Transport | Transport |
| 3 | Vermittlung | Internet |
| 2 | Sicherung | Netzzugang |
| 1 | Bitübertragung | Netzzugang |
Merksatz:
TCP/IP-Anwendungsschicht umfasst OSI 5,
6
und 7.
---
**Kapselung beim Senden**
Beim Senden werden Daten schrittweise verpackt.
Reihenfolge:
Anwendung erzeugt Daten.
Transportschicht ergänzt TCP- oder UDP-Informationen.
Internetschicht ergänzt IP-Adressen.
Sicherungsschicht ergänzt MAC-Adressen.
Bitübertragungsschicht überträgt Bits als Signal.
Merksatz:
Jede Schicht ergänzt eigene Steuerinformationen.
---
**Entkapselung beim Empfangen**
Beim Empfangen werden die Verpackungen wieder entfernt.
Reihenfolge:
Bits werden empfangen.
Frame wird geprüft.
IP-Paket wird ausgewertet.
TCP- oder UDP-Information wird ausgewertet.
Daten werden an die Anwendung übergeben.
Merksatz:
Empfangen ist Kapselung rückwärts.
---
**PDU-Begriffe**
PDU bedeutet:
Protocol Data Unit
Damit ist die Dateneinheit einer Schicht gemeint.
| Schicht | PDU |
|---|---|
| Anwendung | Daten |
| Transport | Segment bei TCP, Datagramm bei UDP |
| Vermittlung / Internet | Paket |
| Sicherung | Frame |
| Bitübertragung | Bits |
Merksatz:
Daten werden zu Segmenten,
Paketen,
Frames
und Bits.
---
**Adressarten nach Schicht**
| Adressart | Schicht | Zweck |
|---|---|---|
| MAC-Adresse | Schicht 2 | lokale Zustellung im LAN |
| IP-Adresse | Schicht 3 | logische Zustellung über Netze |
| Portnummer | Schicht 4 | Zuordnung zu Dienst oder Prozess |
| Name / URL | Schicht 7 | menschenlesbarer Zugriff auf Dienste |
Merksatz:
MAC lokal.
IP logisch.
Port Dienst.
Name Anwendung.
---
**Schicht 1: Bitübertragung**
Aufgabe:
Bits als elektrische,
optische
oder Funk-Signale übertragen.
Typische Themen:
Kabel
Stecker
Glasfaser
Funk
Signalqualität
Dämpfung
Link
Geschwindigkeit
Duplex
Auto-Negotiation
Typische Fehler:
Kabel defekt
Stecker falsch
kein Link
falsche Geschwindigkeit
Störung
Dämpfung zu hoch
Merksatz:
Schicht 1 fragt:
Kommt überhaupt ein Signal an?
---
**Schicht 2: Sicherung**
Aufgabe:
lokale Kommunikation im gleichen Netzwerksegment.
Typische Themen:
Ethernet
MAC-Adresse
Switch
VLAN
ARP
Frame
MAC-Adresstabelle
STP
Broadcast
Typische Fehler:
falsches VLAN
Switchport falsch
ARP-Problem
MAC-Flooding
Loop
Broadcast-Sturm
Duplexproblem
Merksatz:
Schicht 2 fragt:
Funktioniert die lokale Zustellung?
---
**Schicht 3: Vermittlung**
Aufgabe:
Kommunikation zwischen verschiedenen Netzen.
Typische Themen:
IP-Adresse
Subnetzmaske
Gateway
Routing
ICMP
Router
NAT
IPv4
IPv6
Typische Fehler:
falsche IP-Adresse
falsche Subnetzmaske
falsches Gateway
fehlende Route
Routingfehler
NAT-Problem
ICMP blockiert
Merksatz:
Schicht 3 fragt:
Findet das Paket den Weg ins Zielnetz?
---
**Schicht 4: Transport**
Aufgabe:
Daten dem richtigen Dienst oder Prozess zuordnen.
Typische Themen:
TCP
UDP
Ports
Verbindungsaufbau
Zustellung
Flusskontrolle
Segment
Datagramm
Typische Fehler:
Port blockiert
Dienst lauscht nicht
falsches Protokoll
TCP-Verbindung scheitert
UDP-Antwort fehlt
Firewall blockiert Port
Merksatz:
Schicht 4 fragt:
Ist der richtige Dienst über den richtigen Port erreichbar?
---
**Schicht 5: Sitzung**
Aufgabe:
Kommunikationssitzungen verwalten.
Typische Themen:
Session
Sitzung
Token
Cookie
Timeout
Wiederaufnahme
Sitzungs-ID
Typische Fehler:
Session abgelaufen
Cookie fehlt
Token ungültig
Sitzung wird getrennt
Load Balancer ohne Session Persistence
Merksatz:
Schicht 5 fragt:
Bleibt die Kommunikationssitzung bestehen?
---
**Schicht 6: Darstellung**
Aufgabe:
Daten passend darstellen,
codieren,
komprimieren
oder verschlüsseln.
Typische Themen:
TLS
SSL
Zertifikat
Zeichensatz
Codierung
Kompression
Dateiformat
Typische Fehler:
Zertifikat abgelaufen
Hostname passt nicht
falscher Zeichensatz
TLS-Version inkompatibel
Zertifikatskette fehlerhaft
Merksatz:
Schicht 6 fragt:
Können die Daten richtig dargestellt und geschützt werden?
---
**Schicht 7: Anwendung**
Aufgabe:
Dienste und Protokolle für Anwendungen bereitstellen.
Typische Themen:
HTTP
HTTPS
DNS
DHCP
SMTP
IMAP
POP3
SMB
LDAP
SNMP
NTP
Typische Fehler:
DNS löst nicht auf
DHCP vergibt keine IP
Webseite liefert Fehler
Mailversand funktioniert nicht
Freigabe nicht erreichbar
Anwendung falsch konfiguriert
Merksatz:
Schicht 7 fragt:
Funktioniert der konkrete Anwendungsdienst?
---
**Fehlersuche nach OSI-Modell**
Sinnvolle Reihenfolge:
1. Schicht 1:
Kabel,
Link,
WLAN,
Signal
2. Schicht 2:
VLAN,
MAC,
Switch,
ARP
3. Schicht 3:
IP,
Maske,
Gateway,
Routing
4. Schicht 4:
TCP,
UDP,
Port,
Firewall
5. Schicht 5 bis 7:
Session,
TLS,
DNS,
DHCP,
HTTP,
Anwendung
Merksatz:
Erst Verbindung,
dann Adresse,
dann Dienst,
dann Anwendung.
---
**Typische Fehlerbilder nach Schichten**
| Fehlerbild | Wahrscheinliche Schicht |
|---|---|
| kein Link am Switchport | Schicht 1 |
| falsches VLAN | Schicht 2 |
| ARP findet keine MAC-Adresse | Schicht 2 |
| falsche IP-Adresse | Schicht 3 |
| Gateway falsch | Schicht 3 |
| Route fehlt | Schicht 3 |
| Port nicht erreichbar | Schicht 4 |
| TCP-Verbindung scheitert | Schicht 4 |
| Session läuft ab | Schicht 5 |
| Zertifikatswarnung | Schicht 6 |
| DNS-Name wird nicht aufgelöst | Schicht 7 |
| HTTP 500 | Schicht 7 |
Merksatz:
Fehlerbild einer Schicht zuordnen,
dann gezielt prüfen.
---
**Typische Protokolle nach Schicht**
| Protokoll | Schicht | Zweck |
|---|---|---|
| Ethernet | 2 | lokale Frame-Übertragung |
| ARP | 2 / zwischen 2 und 3 | IPv4 zu MAC auflösen |
| IP | 3 | logische Adressierung |
| ICMP | 3 | Diagnose und Fehlermeldungen |
| TCP | 4 | zuverlässiger Transport |
| UDP | 4 | verbindungsloser Transport |
| TLS | 6 | Verschlüsselung und Zertifikate |
| DNS | 7 | Namensauflösung |
| DHCP | 7 | automatische IP-Konfiguration |
| HTTP | 7 | Webkommunikation |
| SMTP | 7 | E-Mail-Versand |
| SMB | 7 | Datei- und Druckfreigaben |
Merksatz:
Protokolle immer ihrer Aufgabe zuordnen,
nicht nur auswendig lernen.
---
**Typische Geräte nach Schicht**
| Gerät | Typische Schicht | Aufgabe |
|---|---|---|
| Kabel | 1 | Signal übertragen |
| Repeater | 1 | Signal weitergeben |
| Hub | 1 | Bits an alle Ports weitergeben |
| Switch | 2 | Frames anhand MAC weiterleiten |
| Access Point | 2 | WLAN-Zugang ins LAN |
| Router | 3 | Netze verbinden |
| Layer-3-Switch | 3 | Routing zwischen VLANs |
| Firewall | 3 bis 7 | Verkehr filtern |
| Load Balancer | 4 bis 7 | Verkehr verteilen |
| Proxy | 7 | Anwendungsverkehr vermitteln |
Merksatz:
Geräte können je nach Funktion auf mehreren Schichten arbeiten.
---
**Wichtige Prüfungsfalle: Gerät nicht starr einordnen**
Ein Gerät kann mehrere Funktionen haben.
Beispiele:
Eine Firewall kann auf Schicht 3 IPs filtern,
auf Schicht 4 Ports filtern
und auf Schicht 7 Anwendungen prüfen.
Ein Layer-3-Switch kann switchen
und routen.
Ein Access Point arbeitet für WLAN-Zugang hauptsächlich auf Schicht 2,
kann aber zusätzliche Sicherheitsfunktionen bieten.
Merksatz:
Entscheidend ist die Funktion,
nicht nur der Gerätename.
---
**Typische Werkzeuge nach Schicht**
| Werkzeug | Hilft bei |
|---|---|
| Kabeltester | Schicht 1 |
| Switchport-Status | Schicht 1 / 2 |
| ARP-Tabelle | Schicht 2 |
| ping | Schicht 3 |
| traceroute / tracert | Schicht 3 |
| ipconfig / ip addr | Schicht 3 |
| route print / ip route | Schicht 3 |
| netstat / ss | Schicht 4 |
| nslookup / dig | Schicht 7 |
| curl | Schicht 7 |
| Wireshark | mehrere Schichten |
Merksatz:
Das richtige Werkzeug hängt von der vermuteten Schicht ab.
---
**Mini-Diagnose: IP geht, Name nicht**
Fehlerbild:
Zugriff per IP-Adresse funktioniert.
Zugriff per Name funktioniert nicht.
Wahrscheinliche Schicht:
Schicht 7
Wahrscheinliches Thema:
DNS
Prüfen:
DNS-Server
DNS-Eintrag
DNS-Suffix
DNS-Cache
Split-DNS bei VPN
Merksatz:
IP ja,
Name nein:
DNS.
---
**Mini-Diagnose: lokal geht, extern nicht**
Fehlerbild:
Geräte im gleichen Netz sind erreichbar.
Internet oder andere Netze nicht.
Wahrscheinliche Schicht:
Schicht 3
Wahrscheinliches Thema:
Gateway,
Routing,
NAT
oder Firewall
Prüfen:
Gateway
Routing-Tabelle
NAT
Firewall-Regeln
Providerverbindung
Merksatz:
Lokal ja,
extern nein:
Gateway und Routing prüfen.
---
**Mini-Diagnose: Host geht, Dienst nicht**
Fehlerbild:
Server ist per ping erreichbar.
Anwendung oder Dienst aber nicht.
Wahrscheinliche Schicht:
Schicht 4 bis 7
Wahrscheinliches Thema:
Port,
Dienststatus,
Firewall
oder Anwendung
Prüfen:
Port offen?
Dienst läuft?
Firewall erlaubt?
Dienst lauscht auf richtiger Schnittstelle?
Logs prüfen.
Merksatz:
Host erreichbar heißt nicht,
dass der Dienst funktioniert.
---
**Mini-Diagnose: Zertifikatswarnung**
Fehlerbild:
Browser oder Anwendung meldet Zertifikatsfehler.
Wahrscheinliche Schicht:
Schicht 6
Prüfen:
Ablaufdatum
Hostname
Zertifikatskette
Uhrzeit
falsches Zertifikat
TLS-Konfiguration
Merksatz:
Zertifikatsfehler:
Name,
Ablauf,
Kette
und Zeit prüfen.
---
**Mini-Diagnose: falsche automatische IP**
Fehlerbild:
Client hat 169.254.x.x.
Wahrscheinliche Schicht:
Schicht 7 mit DHCP,
aber Ursache kann auch Schicht 1,
2
oder 3 sein.
Prüfen:
Netzwerkverbindung
VLAN
DHCP-Server
DHCP-Scope
DHCP-Relay
Firewall
Lease-Bereich
Merksatz:
169.254.x.x bedeutet:
DHCP wurde nicht erfolgreich erreicht.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Nennen Sie die sieben OSI-Schichten.
- Ordnen Sie TCP/IP-Schichten den OSI-Schichten zu.
- Erklären Sie Kapselung.
- Was ist eine PDU?
- Ordnen Sie MAC-Adresse,
IP-Adresse
und Port den passenden Schichten zu.
- Auf welcher Schicht arbeitet ein Switch?
- Auf welcher Schicht arbeitet ein Router?
- Welche Schicht ist bei DNS betroffen?
- Welche Schicht ist bei Routing betroffen?
- Welche Schicht ist bei TCP und UDP betroffen?
- Warum hilft das OSI-Modell bei der Fehlersuche?
- Warum ist TCP/IP praxisnäher als OSI?
- Warum kann eine Firewall mehreren Schichten zugeordnet werden?
---
**Typische Prüfungsfallen**
OSI und TCP/IP verwechseln.
TCP/IP-Anwendungsschicht nur mit OSI 7 gleichsetzen.
MAC-Adresse der falschen Schicht zuordnen.
IP-Adresse mit MAC-Adresse verwechseln.
Port als Schicht-3-Thema einordnen.
Switch und Router verwechseln.
DNS und DHCP beide einfach nur als „Netzwerk“ bezeichnen.
TLS nur als Anwendung sehen,
obwohl es zur Darstellung/Verschlüsselung passt.
ping als vollständigen Anwendungstest verstehen.
Gerät starr einer Schicht zuordnen,
obwohl die Funktion entscheidend ist.
Merksatz:
Nicht der Name entscheidet,
sondern die Aufgabe im Kommunikationsprozess.
---
**IHK-sichere Kurzformulierung**
Das OSI-Modell ist ein siebenschichtiges Referenzmodell zur Beschreibung von Netzwerkkommunikation und Fehlersuche. Die Schichten reichen von der Bitübertragungsschicht bis zur Anwendungsschicht. Das TCP/IP-Modell ist praxisnäher und besteht meist aus Anwendung, Transport, Internet und Netzzugang. Dabei entspricht die TCP/IP-Anwendungsschicht grob den OSI-Schichten 5 bis 7, die Transportschicht OSI 4, die Internetschicht OSI 3 und die Netzzugangsschicht OSI 1 bis 2. Bei der Kapselung ergänzt jede Schicht eigene Steuerinformationen. MAC-Adressen gehören zu Schicht 2, IP-Adressen zu Schicht 3 und Ports zu Schicht 4. Für die Fehlersuche hilft das OSI-Modell, Probleme systematisch von unten nach oben einzugrenzen.
---
**Merksätze**
OSI ist das Denkmodell.
TCP/IP ist das Praxismodell.
OSI hat 7 Schichten.
TCP/IP hat meistens 4 Schichten.
TCP/IP-Anwendung umfasst OSI 5 bis 7.
TCP/IP-Transport entspricht OSI 4.
TCP/IP-Internet entspricht OSI 3.
TCP/IP-Netzzugang umfasst OSI 1 bis 2.
Kapselung verpackt Daten schrittweise.
Entkapselung entpackt Daten schrittweise.
PDU bedeutet Protocol Data Unit.
Daten werden zu Segmenten,
Paketen,
Frames
und Bits.
MAC-Adresse ist Schicht 2.
IP-Adresse ist Schicht 3.
Port ist Schicht 4.
Name oder URL ist Schicht 7.
Schicht 1 prüft Signal.
Schicht 2 prüft lokale Zustellung.
Schicht 3 prüft Routing.
Schicht 4 prüft Ports.
Schicht 5 prüft Sitzungen.
Schicht 6 prüft Darstellung und Verschlüsselung.
Schicht 7 prüft den Anwendungsdienst.
Switch arbeitet hauptsächlich auf Schicht 2.
Router arbeitet auf Schicht 3.
Firewall kann mehrere Schichten betreffen.
DNS ist Anwendungsschicht.
DHCP ist Anwendungsschicht.
TCP und UDP sind Transportschicht.
IP und ICMP gehören zur Vermittlungsschicht.
ARP verbindet IPv4 und MAC im lokalen Netz.
Fehler immer schichtweise eingrenzen.
Erst Verbindung,
dann Adresse,
dann Dienst,
dann Anwendung.
# 19.3 Standardports-Spickzettel
Dieser Spickzettel fasst wichtige Standardports kompakt zusammen.
Er ist besonders wichtig für:
- Firewall-Regeln
- Fehlersuche
- Protokollzuordnung
- Sicherheitsfragen
- Prüfungsaufgaben
- Netzwerkdokumentation
Merksatz:
Ports zeigen,
welcher Dienst auf einem Host angesprochen wird.
---
**Grundidee: Was ist ein Port?**
Ein Port ist eine logische Nummer,
mit der ein Dienst oder Prozess auf einem System angesprochen wird.
Beispiel:
IP-Adresse:
Welcher Host?
Port:
Welcher Dienst auf diesem Host?
Beispiel:
192.168.1.10:443
Bedeutung:
Host 192.168.1.10
Dienst auf Port 443
Merksatz:
IP findet den Host.
Port findet den Dienst.
---
**Port und OSI-Schicht**
Ports gehören zur Transportschicht.
OSI-Schicht:
Schicht 4
Protokolle:
TCP
UDP
Merksatz:
Ports sind Schicht 4.
---
**TCP und UDP bei Ports**
Ein Port allein reicht nicht immer aus.
Wichtig ist auch,
ob TCP oder UDP verwendet wird.
Beispiel:
TCP 53
und
UDP 53
sind nicht dasselbe,
auch wenn die Portnummer gleich ist.
Merksatz:
Portnummer immer zusammen mit TCP oder UDP betrachten.
---
**Well-Known Ports**
Well-Known Ports sind bekannte Standardports.
Bereich:
0 bis 1023
Beispiele:
TCP 22 SSH
TCP 80 HTTP
TCP 443 HTTPS
UDP 53 DNS
Merksatz:
Well-Known Ports sind bekannte Dienstports.
---
**Registered Ports**
Registered Ports liegen im Bereich:
1024 bis 49151
Sie werden häufig von Anwendungen,
Diensten
oder Herstellern genutzt.
Beispiele:
TCP 3306 MySQL
TCP 5432 PostgreSQL
TCP 8080 alternativer HTTP-Port
Merksatz:
Registered Ports werden oft von Anwendungen genutzt.
---
**Dynamic oder Ephemeral Ports**
Dynamische Ports werden häufig für Clientverbindungen genutzt.
Bereich:
49152 bis 65535
Beispiel:
Client verbindet sich von zufälligem hohen Quellport
zu Server TCP 443.
Merksatz:
Server lauscht meist auf bekanntem Port.
Client nutzt oft dynamischen Quellport.
---
**Quellport und Zielport**
Bei einer Verbindung gibt es:
Quell-IP
Quellport
Ziel-IP
Zielport
Beispiel:
Client:
192.168.1.50:52344
Server:
93.184.216.34:443
Bedeutung:
Client nutzt dynamischen Quellport.
Server nutzt Zielport HTTPS.
Merksatz:
Zielport zeigt meist den angesprochenen Dienst.
---
**Wichtige Standardports Gesamtübersicht**
| Dienst | Protokoll | Port | Zweck |
|---|---|---:|---|
| FTP Control | TCP | 21 | klassische FTP-Steuerverbindung |
| FTP Data | TCP | 20 | klassische FTP-Datenverbindung im aktiven Modus |
| SSH | TCP | 22 | verschlüsselter Kommandozeilenzugriff |
| Telnet | TCP | 23 | unverschlüsselter Fernzugriff |
| SMTP | TCP | 25 | E-Mail-Versand zwischen Mailservern |
| DNS | UDP/TCP | 53 | Namensauflösung |
| DHCP Server | UDP | 67 | DHCP-Server |
| DHCP Client | UDP | 68 | DHCP-Client |
| HTTP | TCP | 80 | unverschlüsselte Webkommunikation |
| POP3 | TCP | 110 | E-Mail-Abruf |
| NTP | UDP | 123 | Zeitsynchronisation |
| IMAP | TCP | 143 | E-Mail-Abruf und Synchronisation |
| SNMP | UDP | 161 | Netzwerkmanagement |
| SNMP Trap | UDP | 162 | SNMP-Ereignismeldungen |
| LDAP | TCP/UDP | 389 | Verzeichnisdienst |
| HTTPS | TCP | 443 | verschlüsselte Webkommunikation |
| SMB | TCP | 445 | Datei- und Druckfreigaben |
| SMTPS | TCP | 465 | SMTP über TLS |
| Syslog | UDP | 514 | Logübertragung |
| LDAPS | TCP | 636 | LDAP über TLS |
| IMAPS | TCP | 993 | IMAP über TLS |
| POP3S | TCP | 995 | POP3 über TLS |
| RDP | TCP | 3389 | Remote Desktop |
| PostgreSQL | TCP | 5432 | Datenbankdienst |
| HTTP Alternate | TCP | 8080 | alternativer Webport |
Merksatz:
Port,
Protokoll
und Dienst zusammen lernen.
---
**Webports**
| Dienst | Protokoll | Port | Bedeutung |
|---|---|---:|---|
| HTTP | TCP | 80 | unverschlüsselte Webseite |
| HTTPS | TCP | 443 | verschlüsselte Webseite |
| HTTP Alternate | TCP | 8080 | alternativer Webdienst |
| HTTPS Alternate | TCP | 8443 | alternativer verschlüsselter Webdienst |
Merksatz:
HTTP ist unverschlüsselt.
HTTPS ist verschlüsselt.
---
**HTTP und HTTPS unterscheiden**
HTTP:
Hypertext Transfer Protocol
nutzt meist TCP 80
keine Transportverschlüsselung
HTTPS:
HTTP über TLS
nutzt meist TCP 443
verschlüsselte Verbindung
Merksatz:
HTTPS = HTTP plus TLS.
---
**E-Mail-Ports**
| Dienst | Protokoll | Port | Zweck |
|---|---|---:|---|
| SMTP | TCP | 25 | Mailserver zu Mailserver |
| Submission | TCP | 587 | E-Mail-Versand durch Clients mit Authentifizierung |
| SMTPS | TCP | 465 | SMTP über TLS |
| POP3 | TCP | 110 | E-Mail abrufen |
| POP3S | TCP | 995 | POP3 verschlüsselt |
| IMAP | TCP | 143 | E-Mail synchronisieren |
| IMAPS | TCP | 993 | IMAP verschlüsselt |
Merksatz:
SMTP sendet.
POP3 und IMAP empfangen.
---
**SMTP, POP3 und IMAP unterscheiden**
SMTP:
E-Mails senden
POP3:
E-Mails abrufen,
eher einfaches Herunterladen
IMAP:
E-Mails auf Server synchron verwalten
Merksatz:
SMTP raus.
POP3 und IMAP rein.
---
**DNS-Ports**
| Dienst | Protokoll | Port | Zweck |
|---|---|---:|---|
| DNS | UDP | 53 | normale DNS-Abfragen |
| DNS | TCP | 53 | große Antworten, Zonentransfers, bestimmte Spezialfälle |
Merksatz:
DNS nutzt häufig UDP 53,
kann aber auch TCP 53 nutzen.
---
**DHCP-Ports**
| Dienst | Protokoll | Port | Bedeutung |
|---|---|---:|---|
| DHCP Server | UDP | 67 | Server empfängt Anfragen |
| DHCP Client | UDP | 68 | Client empfängt Antworten |
Merksatz:
DHCP nutzt UDP 67 und 68.
---
**DHCP und Broadcast**
DHCP nutzt am Anfang Broadcast,
weil der Client noch keine vollständige IP-Konfiguration hat.
Ablauf:
Discover
Offer
Request
Acknowledge
Merksatz:
DHCP-DORA gehört zu UDP 67 und 68.
---
**Fernadministration-Ports**
| Dienst | Protokoll | Port | Sicherheit |
|---|---|---:|---|
| SSH | TCP | 22 | verschlüsselt |
| Telnet | TCP | 23 | unverschlüsselt, unsicher |
| RDP | TCP | 3389 | verschlüsselt möglich, stark absichern |
Merksatz:
SSH statt Telnet.
RDP nicht offen ins Internet stellen.
---
**SSH**
SSH steht für:
Secure Shell
Standardport:
TCP 22
Nutzung:
sichere Kommandozeile
SFTP
SCP
Administration von Servern und Netzwerkgeräten
Merksatz:
SSH = sicherer Fernzugriff über TCP 22.
---
**Telnet**
Telnet nutzt:
TCP 23
Problem:
unverschlüsselte Übertragung
Risiko:
Zugangsdaten können mitgelesen werden.
Merksatz:
Telnet ist unsicher und sollte vermieden werden.
---
**RDP**
RDP steht für:
Remote Desktop Protocol
Standardport:
TCP 3389
Nutzung:
grafischer Fernzugriff auf Windows-Systeme
Sicherheit:
möglichst über VPN,
RDP-Gateway,
MFA
und Firewall-Beschränkung
Merksatz:
RDP = TCP 3389,
aber nicht offen ins Internet.
---
**Dateiübertragungs- und Freigabeports**
| Dienst | Protokoll | Port | Zweck |
|---|---|---:|---|
| FTP Data | TCP | 20 | FTP-Datenkanal aktiv |
| FTP Control | TCP | 21 | FTP-Steuerkanal |
| SFTP | TCP | 22 | Dateiübertragung über SSH |
| FTPS | TCP | 21 oder 990 | FTP mit TLS |
| SMB | TCP | 445 | Datei- und Druckfreigaben |
| NFS | TCP/UDP | 2049 | Unix-/Linux-Dateifreigaben |
Merksatz:
SFTP nutzt SSH.
SMB nutzt TCP 445.
---
**FTP, FTPS und SFTP**
FTP:
klassisches File Transfer Protocol
meist TCP 21
unverschlüsselt
FTPS:
FTP mit TLS-Verschlüsselung
nutzt FTP-Grundlage
SFTP:
Dateiübertragung über SSH
nutzt TCP 22
Merksatz:
FTPS ist FTP mit TLS.
SFTP ist Dateiübertragung über SSH.
---
**SMB**
SMB steht für:
Server Message Block
Standardport:
TCP 445
Nutzung:
Windows-Dateifreigaben
Druckerfreigaben
Netzlaufwerke
Merksatz:
SMB = Dateifreigaben über TCP 445.
---
**NFS**
NFS steht für:
Network File System
Standardport:
TCP/UDP 2049
Nutzung:
Unix- und Linux-Dateifreigaben
Serverfreigaben
Virtualisierungsspeicher
Backupziele
Merksatz:
NFS ist typisch für Unix- und Linux-Umgebungen.
---
**Verzeichnisdienst-Ports**
| Dienst | Protokoll | Port | Zweck |
|---|---|---:|---|
| LDAP | TCP/UDP | 389 | Verzeichnisdienst |
| LDAPS | TCP | 636 | LDAP über TLS |
| Kerberos | TCP/UDP | 88 | Authentifizierungsprotokoll |
Merksatz:
LDAP fragt Verzeichnisinformationen ab.
Kerberos dient der Authentifizierung.
---
**LDAP und LDAPS**
LDAP:
Lightweight Directory Access Protocol
nutzt meist TCP/UDP 389
LDAPS:
LDAP über TLS
nutzt meist TCP 636
Merksatz:
LDAPS = LDAP verschlüsselt.
---
**Kerberos**
Kerberos ist ein Authentifizierungsprotokoll.
Standardport:
TCP/UDP 88
Wichtig:
Zeitabweichungen können Kerberos-Probleme verursachen.
Merksatz:
Kerberos braucht korrekte Zeit.
---
**Zeit und Management**
| Dienst | Protokoll | Port | Zweck |
|---|---|---:|---|
| NTP | UDP | 123 | Zeitsynchronisation |
| SNMP | UDP | 161 | Netzwerkmanagement |
| SNMP Trap | UDP | 162 | Ereignismeldung vom Gerät |
| Syslog | UDP | 514 | Logübertragung |
Merksatz:
NTP sorgt für gleiche Zeit.
SNMP überwacht Geräte.
Syslog sammelt Logs.
---
**NTP**
NTP steht für:
Network Time Protocol
Standardport:
UDP 123
Wichtig für:
Logs
Zertifikate
Kerberos
Tickets
Zeitstempel
geplante Aufgaben
Merksatz:
Ohne korrekte Zeit wird Fehlersuche schwerer.
---
**SNMP**
SNMP steht für:
Simple Network Management Protocol
Standardports:
UDP 161 für Abfragen
UDP 162 für Traps
Nutzung:
Netzwerkgeräte überwachen
Status abfragen
Messwerte erfassen
Ereignisse melden
Merksatz:
SNMP fragt ab,
SNMP Trap meldet Ereignisse.
---
**Syslog**
Syslog dient zur Übertragung von Logmeldungen.
Standardport:
UDP 514
Nutzung:
zentrale Logsammlung
Firewall-Logs
Switch-Logs
Router-Logs
Server-Logs
Merksatz:
Syslog transportiert Logmeldungen.
---
**Datenbankports**
| Dienst | Protokoll | Port | Zweck |
|---|---|---:|---|
| MySQL / MariaDB | TCP | 3306 | Datenbankdienst |
| PostgreSQL | TCP | 5432 | Datenbankdienst |
| Microsoft SQL Server | TCP | 1433 | Datenbankdienst |
| MongoDB | TCP | 27017 | Datenbankdienst |
Merksatz:
Datenbankports sollten nicht unnötig öffentlich erreichbar sein.
---
**Sicherheitsregel für Datenbankports**
Datenbanken sollten normalerweise nur erreichbar sein für:
Anwendungserver
Adminnetz
Backupsysteme
Monitoring
Nicht sinnvoll:
Datenbank direkt öffentlich ins Internet stellen.
Merksatz:
Datenbankports gehören nicht offen ins Internet.
---
**Typische Proxy- und Alternativports**
| Dienst | Protokoll | Port | Zweck |
|---|---|---:|---|
| HTTP Alternate | TCP | 8080 | alternativer Webdienst |
| HTTPS Alternate | TCP | 8443 | alternativer HTTPS-Dienst |
| Proxy | TCP | 3128 | häufig genutzter Proxy-Port |
| SOCKS Proxy | TCP | 1080 | SOCKS-Proxy |
Merksatz:
8080 und 8443 werden oft für Weboberflächen oder Testdienste genutzt.
---
**Portbereiche kompakt**
| Bereich | Name | Bedeutung |
|---|---|---|
| 0 bis 1023 | Well-Known Ports | bekannte Systemdienste |
| 1024 bis 49151 | Registered Ports | registrierte Anwendungsports |
| 49152 bis 65535 | Dynamic / Ephemeral Ports | dynamische Clientports |
Merksatz:
Niedrige Ports sind oft Serverdienste.
Hohe Ports sind oft Client-Quellports.
---
**Ports in Firewall-Regeln**
Firewall-Regeln sollten enthalten:
Quelle
Ziel
Protokoll
Zielport
Aktion
Richtung
Zweck
Beispiel:
| Quelle | Ziel | Protokoll | Port | Aktion | Zweck |
|---|---|---|---:|---|---|
| Client-Netz | Webserver | TCP | 443 | erlauben | HTTPS-Zugriff |
| Adminnetz | Server | TCP | 22 | erlauben | SSH-Administration |
| Internet | Datenbank | TCP | 5432 | blockieren | Datenbank schützen |
Merksatz:
Firewall-Regeln immer so genau wie möglich formulieren.
---
**Any-to-Any-Regeln**
Any-to-Any bedeutet:
jede Quelle
zu
jedem Ziel
Problem:
sehr große Angriffsfläche
schlechte Nachvollziehbarkeit
unnötige Freigaben
hohes Sicherheitsrisiko
Merksatz:
Any-to-Any ist fast immer kritisch.
---
**Ports bei Fehlersuche**
Wenn ein Dienst nicht erreichbar ist,
prüfen:
Läuft der Dienst?
Lauscht der Dienst auf dem richtigen Port?
Lauscht der Dienst auf der richtigen Schnittstelle?
Blockiert die lokale Firewall?
Blockiert eine Netzwerkfirewall?
Ist NAT oder Portweiterleitung korrekt?
Stimmt TCP oder UDP?
Zeigen Logs Fehler?
Merksatz:
Host erreichbar heißt nicht,
dass der Port erreichbar ist.
---
**Typische Fehlerbilder mit Ports**
| Fehlerbild | Mögliche Ursache |
|---|---|
| Ping funktioniert, Webseite nicht | TCP 80 oder 443, Webdienst oder Firewall |
| SSH nicht erreichbar | TCP 22 blockiert, Dienst aus, falscher Port |
| RDP nicht erreichbar | TCP 3389 blockiert, RDP deaktiviert, VPN fehlt |
| DNS funktioniert nicht | UDP/TCP 53 blockiert oder DNS-Server falsch |
| DHCP funktioniert nicht | UDP 67/68, VLAN oder DHCP-Relay |
| SMB-Freigabe nicht erreichbar | TCP 445 blockiert oder Rechteproblem |
| Mailversand schlägt fehl | SMTP-Port, Authentifizierung oder Mailserver |
| Datenbank nicht erreichbar | Datenbankport, Firewall oder Dienststatus |
Merksatz:
Bei Dienstproblemen immer Port,
Protokoll
und Dienststatus prüfen.
---
**TCP-Status kurz einordnen**
| Status | Bedeutung |
|---|---|
| LISTEN | Dienst wartet auf eingehende Verbindung |
| ESTABLISHED | Verbindung besteht |
| SYN_SENT | Verbindungsaufbau gestartet |
| TIME_WAIT | Verbindung wurde beendet, Wartephase |
| CLOSE_WAIT | Gegenseite hat beendet, lokale Anwendung noch nicht |
Merksatz:
LISTEN zeigt:
Ein Dienst wartet auf Verbindungen.
---
**Portscanner fachlich einordnen**
Ein Portscanner prüft,
welche Ports auf einem Ziel erreichbar sind.
Nutzung:
Sicherheitsprüfung
Fehlersuche
Inventarisierung
Prüfung von Firewall-Regeln
Wichtig:
Nur mit Erlaubnis einsetzen.
Merksatz:
Portscan zeigt erreichbare Dienste,
aber nicht automatisch deren Sicherheit.
---
**Ports und Sicherheit**
Offene Ports bedeuten:
ein Dienst ist erreichbar
Risiko:
Angriffsfläche steigt
Sicherheitsmaßnahmen:
nur notwendige Ports öffnen
Dienste patchen
starke Authentifizierung
Firewall einschränken
Logging aktivieren
nicht benötigte Dienste deaktivieren
keine Adminports öffentlich bereitstellen
Merksatz:
Jeder offene Port ist eine mögliche Angriffsfläche.
---
**Besonders kritische Ports**
Kritisch bei direkter Internet-Erreichbarkeit:
TCP 22 SSH
TCP 3389 RDP
TCP 445 SMB
TCP 3306 MySQL
TCP 5432 PostgreSQL
TCP 1433 Microsoft SQL Server
TCP 23 Telnet
Warum kritisch?
Adminzugänge
Dateifreigaben
Datenbanken
unverschlüsselte Protokolle
häufige Angriffsziele
Merksatz:
Admin-,
Datei-
und Datenbankports nicht frei ins Internet stellen.
---
**Prüfungsfalle: Port offen bedeutet nicht Zugriff erlaubt**
Ein offener Port bedeutet:
Dienst ist grundsätzlich erreichbar.
Aber Zugriff kann trotzdem scheitern durch:
falsche Zugangsdaten
fehlende Rechte
Anwendungskonfiguration
Zertifikatsproblem
IP-Beschränkung
MFA
Lizenz
interne Fehlermeldung
Merksatz:
Port offen heißt nicht automatisch:
Anwendung funktioniert vollständig.
---
**Prüfungsfalle: Ping ersetzt keinen Porttest**
Ping prüft ICMP.
Ping prüft nicht automatisch,
ob ein TCP- oder UDP-Dienst erreichbar ist.
Beispiel:
ping auf Webserver funktioniert
aber
TCP 443 ist blockiert
Ergebnis:
Webseite trotzdem nicht erreichbar.
Merksatz:
Ping prüft Host-Erreichbarkeit,
nicht den Dienst.
---
**Prüfungsfalle: gleicher Port, anderes Protokoll**
Beispiel:
DNS nutzt UDP 53
und
DNS kann TCP 53 nutzen.
Eine Firewall-Regel nur für TCP 53 reicht nicht immer aus.
Merksatz:
TCP und UDP getrennt beachten.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Welchen Port nutzt SSH?
- Welchen Port nutzt HTTPS?
- Welchen Port nutzt RDP?
- Welchen Port nutzt SMB?
- Welche Ports nutzt DHCP?
- Warum nutzt DNS UDP und TCP 53?
- Warum ist Telnet unsicher?
- Warum sollte RDP nicht direkt im Internet erreichbar sein?
- Was ist der Unterschied zwischen Quellport und Zielport?
- Was ist ein Well-Known Port?
- Warum ist ein offener Datenbankport kritisch?
- Warum ersetzt ping keinen Porttest?
- Welche Angaben gehören in eine Firewall-Regel?
---
**Typische Prüfungsfallen**
TCP und UDP nicht angegeben.
Portnummer richtig,
aber falsches Protokoll.
DNS nur als UDP betrachten,
TCP 53 vergessen.
DHCP-Ports 67 und 68 verwechseln.
SSH und Telnet verwechseln.
SFTP und FTPS verwechseln.
SMTP,
POP3
und IMAP verwechseln.
RDP öffentlich erlauben.
SMB öffentlich erlauben.
Datenbankport öffentlich erlauben.
Ping als Diensttest verstehen.
Offenen Port mit erfolgreicher Anmeldung verwechseln.
Merksatz:
Portwissen muss immer mit Dienst,
Protokoll
und Sicherheitswirkung verbunden werden.
---
**IHK-sichere Kurzformulierung**
Ports dienen auf der Transportschicht zur Zuordnung von Netzwerkverkehr zu Diensten oder Prozessen. Ein Zielport zeigt meist den angesprochenen Dienst, zum Beispiel TCP 22 für SSH, TCP 443 für HTTPS, TCP 445 für SMB oder TCP 3389 für RDP. Dabei muss immer zwischen TCP und UDP unterschieden werden. DNS nutzt häufig UDP 53, kann aber auch TCP 53 verwenden. DHCP nutzt UDP 67 für den Server und UDP 68 für den Client. Offene Ports vergrößern die Angriffsfläche und sollten über Firewall-Regeln nur gezielt freigegeben werden. Besonders Admin-, Datei- und Datenbankports sollten nicht unnötig öffentlich erreichbar sein.
---
**Merksätze**
Port = Dienstadresse auf einem Host.
Ports gehören zu OSI-Schicht 4.
Port immer mit TCP oder UDP nennen.
Zielport zeigt meist den Dienst.
Quellport ist beim Client oft dynamisch.
Well-Known Ports liegen bei 0 bis 1023.
SSH nutzt TCP 22.
Telnet nutzt TCP 23 und ist unsicher.
HTTP nutzt TCP 80.
HTTPS nutzt TCP 443.
DNS nutzt UDP und TCP 53.
DHCP nutzt UDP 67 und 68.
SMTP nutzt TCP 25.
Submission nutzt TCP 587.
POP3 nutzt TCP 110.
IMAP nutzt TCP 143.
SMB nutzt TCP 445.
RDP nutzt TCP 3389.
NTP nutzt UDP 123.
SNMP nutzt UDP 161 und 162.
LDAP nutzt 389.
LDAPS nutzt 636.
Kerberos nutzt 88.
MySQL nutzt TCP 3306.
PostgreSQL nutzt TCP 5432.
SFTP nutzt SSH und damit TCP 22.
FTPS ist FTP mit TLS.
FTP ist unverschlüsselt.
Jeder offene Port ist Angriffsfläche.
Ping ersetzt keinen Porttest.
Port offen heißt nicht automatisch Anwendung funktioniert.
Datenbankports nicht öffentlich freigeben.
Adminports stark absichern.
Firewall-Regeln genau formulieren.
Any-to-Any ist kritisch.
# 19.4 Subnetting-Spickzettel
Dieser Spickzettel fasst die wichtigsten Regeln für IPv4-Subnetting kompakt zusammen.
Er ist besonders wichtig für:
- Netzadresse berechnen
- Broadcastadresse berechnen
- nutzbare Hostadressen bestimmen
- Hostanzahl berechnen
- Subnetze vergleichen
- Subnetzmasken verstehen
- Prüfungsaufgaben schneller lösen
Merksatz:
Subnetting ist das Aufteilen eines IP-Netzes in kleinere Teilnetze.
---
**Grundidee von Subnetting**
Eine IPv4-Adresse besteht aus:
Netzanteil
und
Hostanteil
Der Netzanteil sagt:
Zu welchem Netzwerk gehört die Adresse?
Der Hostanteil sagt:
Welches Gerät innerhalb dieses Netzwerks ist gemeint?
Merksatz:
Netzanteil findet das Netz.
Hostanteil findet den Host im Netz.
---
**IPv4-Grundregel**
IPv4-Adressen haben immer:
32 Bit
Beispiel:
192.168.1.10
Diese Adresse besteht aus vier Oktetten.
Ein Oktett hat:
8 Bit
Vier Oktette:
4 × 8 Bit = 32 Bit
Merksatz:
IPv4 = 32 Bit.
---
**Präfixschreibweise**
Beispiel:
192.168.1.10/24
Das /24 bedeutet:
24 Bit Netzanteil
Da IPv4 insgesamt 32 Bit hat:
32 - 24 = 8 Hostbits
Merksatz:
Präfix = Anzahl der Netzbits.
---
**Subnetzmaske**
Die Subnetzmaske zeigt,
welcher Teil der IP-Adresse zum Netz gehört.
Beispiel:
| Präfix | Subnetzmaske |
|---|---|
| /24 | 255.255.255.0 |
| /25 | 255.255.255.128 |
| /26 | 255.255.255.192 |
| /27 | 255.255.255.224 |
| /28 | 255.255.255.240 |
| /29 | 255.255.255.248 |
| /30 | 255.255.255.252 |
Merksatz:
Subnetzmaske und Präfix beschreiben dieselbe Aufteilung.
---
**Netzbits und Hostbits**
Formel:
Hostbits = 32 - Präfix
Beispiele:
| Präfix | Netzbits | Hostbits |
|---|---:|---:|
| /24 | 24 | 8 |
| /25 | 25 | 7 |
| /26 | 26 | 6 |
| /27 | 27 | 5 |
| /28 | 28 | 4 |
| /29 | 29 | 3 |
| /30 | 30 | 2 |
Merksatz:
Je mehr Netzbits,
desto weniger Hostbits.
---
**Hostanzahl berechnen**
Formel:
nutzbare Hosts = 2 hoch Hostbits minus 2
Warum minus 2?
eine Adresse ist die Netzadresse
eine Adresse ist die Broadcastadresse
Beispiel:
/26
Hostbits:
32 - 26 = 6
Gesamtadressen:
2 hoch 6 = 64
Nutzbare Hosts:
64 - 2 = 62
Merksatz:
Nutzbare Hosts = 2 hoch Hostbits minus 2.
---
**Wichtige Präfixe auswendig können**
| Präfix | Maske | Gesamtadressen | nutzbare Hosts |
|---|---|---:|---:|
| /24 | 255.255.255.0 | 256 | 254 |
| /25 | 255.255.255.128 | 128 | 126 |
| /26 | 255.255.255.192 | 64 | 62 |
| /27 | 255.255.255.224 | 32 | 30 |
| /28 | 255.255.255.240 | 16 | 14 |
| /29 | 255.255.255.248 | 8 | 6 |
| /30 | 255.255.255.252 | 4 | 2 |
Merksatz:
Von /24 zu /25 halbiert sich die Adressanzahl.
Von /25 zu /24 verdoppelt sich die Adressanzahl.
---
**Präfix größer oder kleiner**
Wenn der Präfix größer wird:
mehr Netzbits
weniger Hostbits
kleinere Subnetze
weniger Hosts pro Subnetz
Beispiel:
/25 ist kleiner als /24
Wenn der Präfix kleiner wird:
weniger Netzbits
mehr Hostbits
größere Subnetze
mehr Hosts pro Subnetz
Beispiel:
/23 ist größer als /24
Merksatz:
Präfix größer:
Netz kleiner.
Präfix kleiner:
Netz größer.
---
**Netzadresse**
Die Netzadresse ist die erste Adresse eines Subnetzes.
Sie bezeichnet das Netz selbst.
Beispiel:
192.168.1.0/24
Netzadresse:
192.168.1.0
Merksatz:
Netzadresse = erste Adresse im Subnetz.
---
**Broadcastadresse**
Die Broadcastadresse ist die letzte Adresse eines IPv4-Subnetzes.
Sie dient dazu,
alle Hosts im Subnetz zu erreichen.
Beispiel:
192.168.1.0/24
Broadcastadresse:
192.168.1.255
Merksatz:
Broadcastadresse = letzte Adresse im Subnetz.
---
**Erste und letzte nutzbare Hostadresse**
Erste nutzbare Adresse:
Netzadresse + 1
Letzte nutzbare Adresse:
Broadcastadresse - 1
Beispiel:
Netz:
192.168.1.0/24
Netzadresse:
192.168.1.0
erste nutzbare:
192.168.1.1
letzte nutzbare:
192.168.1.254
Broadcast:
192.168.1.255
Merksatz:
Erste nutzbare = Netzadresse + 1.
Letzte nutzbare = Broadcast - 1.
---
**Blockgröße**
Die Blockgröße zeigt,
in welchen Schritten Subnetze beginnen.
Formel:
Blockgröße = 256 - interessanter Maskenwert
Beispiel:
/26
Subnetzmaske:
255.255.255.192
Interessanter Maskenwert:
192
Blockgröße:
256 - 192 = 64
Subnetzschritte:
0
64
128
192
Merksatz:
Blockgröße hilft,
Netzgrenzen schnell zu finden.
---
**Interessanter Maskenwert**
Der interessante Maskenwert ist das Oktett,
in dem die Subnetzmaske nicht 255 und nicht 0 ist.
Beispiele:
| Präfix | Maske | interessanter Wert |
|---|---|---:|
| /25 | 255.255.255.128 | 128 |
| /26 | 255.255.255.192 | 192 |
| /27 | 255.255.255.224 | 224 |
| /28 | 255.255.255.240 | 240 |
| /29 | 255.255.255.248 | 248 |
| /30 | 255.255.255.252 | 252 |
Merksatz:
Interessanter Wert ist dort,
wo die Subnetze springen.
---
**Blockgrößen der häufigen Präfixe**
| Präfix | Maske | Blockgröße |
|---|---|---:|
| /24 | 255.255.255.0 | 256 |
| /25 | 255.255.255.128 | 128 |
| /26 | 255.255.255.192 | 64 |
| /27 | 255.255.255.224 | 32 |
| /28 | 255.255.255.240 | 16 |
| /29 | 255.255.255.248 | 8 |
| /30 | 255.255.255.252 | 4 |
Merksatz:
Blockgröße und Gesamtadressen sind bei einfachen Subnetzen gleich groß.
---
**Subnetzbereiche bei /25**
Ausgangsnetz:
192.168.1.0/24
Aufteilung in /25:
| Subnetz | Bereich | nutzbare Hosts | Broadcast |
|---|---|---|---|
| 192.168.1.0/25 | 192.168.1.0 bis 192.168.1.127 | 192.168.1.1 bis 192.168.1.126 | 192.168.1.127 |
| 192.168.1.128/25 | 192.168.1.128 bis 192.168.1.255 | 192.168.1.129 bis 192.168.1.254 | 192.168.1.255 |
Merksatz:
/25 teilt ein /24 in zwei gleich große Netze.
---
**Subnetzbereiche bei /26**
Ausgangsnetz:
192.168.1.0/24
Aufteilung in /26:
| Subnetz | Bereich | nutzbare Hosts | Broadcast |
|---|---|---|---|
| 192.168.1.0/26 | 192.168.1.0 bis 192.168.1.63 | 192.168.1.1 bis 192.168.1.62 | 192.168.1.63 |
| 192.168.1.64/26 | 192.168.1.64 bis 192.168.1.127 | 192.168.1.65 bis 192.168.1.126 | 192.168.1.127 |
| 192.168.1.128/26 | 192.168.1.128 bis 192.168.1.191 | 192.168.1.129 bis 192.168.1.190 | 192.168.1.191 |
| 192.168.1.192/26 | 192.168.1.192 bis 192.168.1.255 | 192.168.1.193 bis 192.168.1.254 | 192.168.1.255 |
Merksatz:
/26 teilt ein /24 in vier Netze mit je 64 Adressen.
---
**Subnetzbereiche bei /27**
Ausgangsnetz:
192.168.1.0/24
Blockgröße:
32
Subnetze beginnen bei:
0
32
64
96
128
160
192
224
Beispiel:
192.168.1.96/27
Bereich:
192.168.1.96 bis 192.168.1.127
nutzbar:
192.168.1.97 bis 192.168.1.126
Broadcast:
192.168.1.127
Merksatz:
/27 springt in 32er-Schritten.
---
**Subnetzbereiche bei /28**
Ausgangsnetz:
192.168.1.0/24
Blockgröße:
16
Subnetze beginnen bei:
0
16
32
48
64
80
96
112
128
144
160
176
192
208
224
240
Beispiel:
192.168.1.80/28
Bereich:
192.168.1.80 bis 192.168.1.95
nutzbar:
192.168.1.81 bis 192.168.1.94
Broadcast:
192.168.1.95
Merksatz:
/28 springt in 16er-Schritten.
---
**Subnetzaufgabe Schritt für Schritt**
Beispiel:
192.168.1.70/26
Schritt 1:
Präfix:
/26
Schritt 2:
Hostbits:
32 - 26 = 6
Schritt 3:
Adressen:
2 hoch 6 = 64
Schritt 4:
nutzbare Hosts:
64 - 2 = 62
Schritt 5:
Blockgröße:
64
Schritt 6:
Subnetzbereiche:
0 bis 63
64 bis 127
128 bis 191
192 bis 255
Schritt 7:
70 liegt im Bereich 64 bis 127
Ergebnis:
| Wert | Ergebnis |
|---|---|
| Netzadresse | 192.168.1.64 |
| erste nutzbare Adresse | 192.168.1.65 |
| letzte nutzbare Adresse | 192.168.1.126 |
| Broadcastadresse | 192.168.1.127 |
| nutzbare Hosts | 62 |
Merksatz:
IP-Adresse liegt immer in genau einem Subnetzbereich.
---
**Prüfungsaufgabe: 192.168.10.130/25**
Gegeben:
192.168.10.130/25
Präfix:
/25
Hostbits:
32 - 25 = 7
Adressen:
2 hoch 7 = 128
Nutzbare Hosts:
126
Blockgröße:
128
Subnetzbereiche:
192.168.10.0 bis 192.168.10.127
192.168.10.128 bis 192.168.10.255
Die Adresse 192.168.10.130 liegt im zweiten Bereich.
| Wert | Ergebnis |
|---|---|
| Netzadresse | 192.168.10.128 |
| erste nutzbare Adresse | 192.168.10.129 |
| letzte nutzbare Adresse | 192.168.10.254 |
| Broadcastadresse | 192.168.10.255 |
| nutzbare Hosts | 126 |
Merksatz:
Bei /25 gibt es zwei Bereiche:
0 bis 127
und 128 bis 255.
---
**Prüfungsaufgabe: 10.0.5.200/27**
Gegeben:
10.0.5.200/27
Präfix:
/27
Hostbits:
32 - 27 = 5
Adressen:
2 hoch 5 = 32
Nutzbare Hosts:
30
Blockgröße:
32
Subnetzbereiche im letzten Oktett:
0 bis 31
32 bis 63
64 bis 95
96 bis 127
128 bis 159
160 bis 191
192 bis 223
224 bis 255
Die Adresse 200 liegt im Bereich:
192 bis 223
| Wert | Ergebnis |
|---|---|
| Netzadresse | 10.0.5.192 |
| erste nutzbare Adresse | 10.0.5.193 |
| letzte nutzbare Adresse | 10.0.5.222 |
| Broadcastadresse | 10.0.5.223 |
| nutzbare Hosts | 30 |
Merksatz:
Bei /27 springt das letzte Oktett in 32er-Blöcken.
---
**Prüfungsaufgabe: 172.16.8.14/28**
Gegeben:
172.16.8.14/28
Präfix:
/28
Hostbits:
32 - 28 = 4
Adressen:
2 hoch 4 = 16
Nutzbare Hosts:
14
Blockgröße:
16
Subnetzbereiche im letzten Oktett:
0 bis 15
16 bis 31
32 bis 47
48 bis 63
Die Adresse 14 liegt im Bereich:
0 bis 15
| Wert | Ergebnis |
|---|---|
| Netzadresse | 172.16.8.0 |
| erste nutzbare Adresse | 172.16.8.1 |
| letzte nutzbare Adresse | 172.16.8.14 |
| Broadcastadresse | 172.16.8.15 |
| nutzbare Hosts | 14 |
Wichtig:
172.16.8.14 ist hier die letzte nutzbare Hostadresse,
nicht die Broadcastadresse.
Merksatz:
Broadcast ist bei /28 immer die letzte Adresse des 16er-Blocks.
---
**Subnetzmaske aus Präfix ableiten**
| Präfix | Binär im letzten interessanten Oktett | Dezimal |
|---|---|---:|
| /25 | 10000000 | 128 |
| /26 | 11000000 | 192 |
| /27 | 11100000 | 224 |
| /28 | 11110000 | 240 |
| /29 | 11111000 | 248 |
| /30 | 11111100 | 252 |
Merksatz:
Einsen stehen für Netzbits.
Nullen stehen für Hostbits.
---
**Binärwerte im Oktett**
| Bitwert | Dezimalwert |
|---|---:|
| 10000000 | 128 |
| 01000000 | 64 |
| 00100000 | 32 |
| 00010000 | 16 |
| 00001000 | 8 |
| 00000100 | 4 |
| 00000010 | 2 |
| 00000001 | 1 |
Merksatz:
Oktettwerte:
128,
64,
32,
16,
8,
4,
2,
1.
---
**Subnetzmasken binär verstehen**
Beispiel:
/26
Binär:
11111111.11111111.11111111.11000000
Dezimal:
255.255.255.192
Bedeutung:
26 Einsen für Netzbits
6 Nullen für Hostbits
Merksatz:
Subnetzmaske ist eine Folge von Einsen und danach Nullen.
---
**Hosts oder Subnetze berechnen**
Wenn gefragt wird:
Wie viele Hosts passen in ein Subnetz?
Dann:
Hostbits bestimmen.
Wenn gefragt wird:
Wie viele Subnetze entstehen?
Dann:
geliehene Netzbits bestimmen.
Beispiel:
/24 wird in /26 aufgeteilt.
Geliehene Bits:
26 - 24 = 2
Anzahl Subnetze:
2 hoch 2 = 4
Merksatz:
Hostbits berechnen Hosts.
geliehene Netzbits berechnen Subnetze.
---
**Subnetze aus einem Ausgangsnetz berechnen**
Beispiel:
192.168.1.0/24 soll in /26-Netze geteilt werden.
Geliehene Bits:
26 - 24 = 2
Anzahl Subnetze:
2 hoch 2 = 4
Adressen je Subnetz:
64
Subnetze:
192.168.1.0/26
192.168.1.64/26
192.168.1.128/26
192.168.1.192/26
Merksatz:
Neue Subnetze beginnen im Abstand der Blockgröße.
---
**Benötigte Hostanzahl bestimmen**
Wenn gefragt wird:
Welches kleinste Subnetz braucht man für 50 Hosts?
Dann prüfen:
| Präfix | nutzbare Hosts |
|---|---:|
| /27 | 30 |
| /26 | 62 |
| /25 | 126 |
Für 50 Hosts reicht:
/26
Warum?
/27 hat nur 30 nutzbare Hosts.
/26 hat 62 nutzbare Hosts.
Merksatz:
Immer das kleinste passende Subnetz wählen.
---
**Beispiel: 100 Hosts benötigt**
Gesucht:
kleinstes Subnetz für mindestens 100 Hosts
Prüfen:
| Präfix | nutzbare Hosts |
|---|---:|
| /26 | 62 |
| /25 | 126 |
| /24 | 254 |
Ergebnis:
/25
Begründung:
/26 reicht nicht,
/25 reicht.
Merksatz:
Nicht zu klein,
nicht unnötig groß planen.
---
**VLSM-Grundidee**
VLSM steht für:
Variable Length Subnet Mask
Bedeutung:
unterschiedlich große Subnetze innerhalb eines größeren Netzes
Beispiel:
Servernetz braucht 50 Hosts
Büronetz braucht 100 Hosts
Punkt-zu-Punkt-Verbindung braucht 2 Hosts
Dann werden unterschiedlich große Präfixe verwendet.
Merksatz:
VLSM passt Subnetzgrößen an den Bedarf an.
---
**VLSM-Grundregel**
Bei VLSM plant man meist:
größte Netze zuerst
danach kleinere Netze
Warum?
Große Netze brauchen größere zusammenhängende Adressbereiche.
Merksatz:
VLSM:
erst große Netze,
dann kleine Netze.
---
**CIDR-Grundidee**
CIDR steht für:
Classless Inter-Domain Routing
Bedeutung:
klassenlose Schreibweise mit Präfix
Beispiel:
192.168.1.0/24
Vorteil:
flexible Netzgrößen
Merksatz:
CIDR ist die moderne Schreibweise mit Schrägstrich-Präfix.
---
**Private IPv4-Bereiche**
| Bereich | CIDR |
|---|---|
| 10.0.0.0 bis 10.255.255.255 | 10.0.0.0/8 |
| 172.16.0.0 bis 172.31.255.255 | 172.16.0.0/12 |
| 192.168.0.0 bis 192.168.255.255 | 192.168.0.0/16 |
Merksatz:
Private IPv4-Adressen werden im Internet nicht direkt geroutet.
---
**Sonderfall /31 und /32**
In klassischen Prüfungsaufgaben wird meist mit:
Netzadresse
und
Broadcastadresse
gerechnet.
Daher gilt dort oft:
nutzbare Hosts = 2 hoch Hostbits minus 2
Sonderfälle:
/31 kann bei Punkt-zu-Punkt-Verbindungen verwendet werden.
/32 beschreibt eine einzelne Hostadresse.
Merksatz:
Für Standard-IHK-Aufgaben meistens mit minus 2 rechnen,
außer die Aufgabe nennt ausdrücklich Sonderfälle.
---
**Typische Prüfungsfallen**
Präfix größer mit größerem Netz verwechseln.
Netzadresse als Hostadresse verwenden.
Broadcastadresse als Hostadresse verwenden.
Minus 2 bei nutzbaren Hosts vergessen.
Gateway außerhalb des Subnetzes eintragen.
Blockgröße falsch berechnen.
/25 und /26 verwechseln.
Subnetzmaske falsch zu Präfix zuordnen.
IP-Adresse liegt nicht im angenommenen Bereich.
erste und letzte nutzbare Adresse vertauschen.
VLSM nicht mit größtem Netz beginnen.
Merksatz:
Die meisten Subnetting-Fehler entstehen durch falsche Grenzen.
---
**Prüfungsfalle: Gateway außerhalb des Subnetzes**
Beispiel:
Client:
192.168.10.50/24
Gateway:
192.168.20.1
Problem:
Client-Netz:
192.168.10.0/24
Gateway-Netz:
192.168.20.0/24
Das Gateway ist nicht im gleichen lokalen Subnetz.
Merksatz:
Standardgateway muss für den Client lokal erreichbar sein.
---
**Prüfungsfalle: Broadcast als Host verwenden**
Beispiel:
Netz:
192.168.1.64/26
Bereich:
192.168.1.64 bis 192.168.1.127
Broadcast:
192.168.1.127
Nicht als Host verwenden:
192.168.1.127
Merksatz:
Broadcastadresse ist keine Hostadresse.
---
**Prüfungsfalle: Netzadresse als Host verwenden**
Beispiel:
Netz:
192.168.1.64/26
Netzadresse:
192.168.1.64
Nicht als Host verwenden:
192.168.1.64
Merksatz:
Netzadresse ist keine Hostadresse.
---
**Schnelle Subnetting-Reihenfolge**
Bei jeder Aufgabe:
1. Präfix lesen.
2. Hostbits berechnen.
3. Hostanzahl berechnen.
4. Blockgröße bestimmen.
5. Subnetzbereich finden.
6. Netzadresse bestimmen.
7. Broadcast bestimmen.
8. nutzbare Hosts bestimmen.
Merksatz:
Immer gleiche Reihenfolge,
weniger Fehler.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Wie viele nutzbare Hosts hat ein /26-Netz?
- Welche Subnetzmaske gehört zu /27?
- Welche Netzadresse gehört zu einer bestimmten IP mit Präfix?
- Welche Broadcastadresse gehört zu einem Subnetz?
- Welche erste und letzte nutzbare Adresse gibt es?
- Welches kleinste Subnetz reicht für eine bestimmte Hostanzahl?
- Liegen zwei IP-Adressen im gleichen Subnetz?
- Ist das Gateway korrekt konfiguriert?
- Wie viele Subnetze entstehen aus einer Aufteilung?
- Warum darf die Broadcastadresse nicht als Hostadresse genutzt werden?
---
**IHK-sichere Kurzformulierung**
Subnetting teilt ein IPv4-Netz in kleinere Teilnetze auf. Eine IPv4-Adresse besteht aus 32 Bit. Der Präfix gibt an, wie viele Bits zum Netzanteil gehören. Die restlichen Bits bilden den Hostanteil. Die Anzahl der nutzbaren Hosts berechnet sich in klassischen IPv4-Subnetzen mit 2 hoch Hostbits minus 2, weil Netzadresse und Broadcastadresse nicht für Hosts verwendet werden. Die Netzadresse ist die erste Adresse eines Subnetzes, die Broadcastadresse die letzte Adresse. Die erste nutzbare Adresse ist Netzadresse plus 1, die letzte nutzbare Adresse ist Broadcastadresse minus 1. Die Blockgröße hilft, Subnetzgrenzen schnell zu finden.
---
**Merksätze**
IPv4 hat 32 Bit.
Präfix = Netzbits.
Hostbits = 32 minus Präfix.
Mehr Netzbits bedeuten kleinere Netze.
Mehr Hostbits bedeuten mehr Hosts.
Nutzbare Hosts = 2 hoch Hostbits minus 2.
Netzadresse = erste Adresse.
Broadcastadresse = letzte Adresse.
Erste nutzbare = Netzadresse + 1.
Letzte nutzbare = Broadcast - 1.
Blockgröße = 256 minus interessanter Maskenwert.
/24 hat 254 nutzbare Hosts.
/25 hat 126 nutzbare Hosts.
/26 hat 62 nutzbare Hosts.
/27 hat 30 nutzbare Hosts.
/28 hat 14 nutzbare Hosts.
/29 hat 6 nutzbare Hosts.
/30 hat 2 nutzbare Hosts.
Präfix größer heißt:
Netz kleiner.
Präfix kleiner heißt:
Netz größer.
Gateway muss im lokalen Subnetz liegen.
Netzadresse nicht als Host verwenden.
Broadcastadresse nicht als Host verwenden.
VLSM:
größte Netze zuerst.
CIDR ist die Schreibweise mit Präfix.
Subnetting immer in gleicher Reihenfolge lösen.
# 19.5 DNS, DHCP, Gateway und NAT Spickzettel
Dieser Spickzettel fasst vier sehr häufige Prüfungsthemen zusammen:
- DNS
- DHCP
- Gateway
- NAT
Diese Begriffe werden in Aufgaben oft gemeinsam geprüft,
weil sie für normalen Netzwerkzugriff zusammenwirken.
Merksatz:
DNS findet Namen.
DHCP verteilt Konfiguration.
Gateway führt in andere Netze.
NAT übersetzt Adressen.
---
**Grundidee im Überblick**
| Begriff | Hauptaufgabe | Typisches Fehlerbild |
|---|---|---|
| DNS | Namen in IP-Adressen auflösen | IP geht, Name nicht |
| DHCP | IP-Konfiguration automatisch verteilen | 169.254.x.x oder falsche IP |
| Gateway | Weg in andere Netze bereitstellen | lokal geht, Internet nicht |
| NAT | private Adressen in öffentliche Adressen übersetzen | intern geht, extern nicht oder Portweiterleitung fehlerhaft |
Merksatz:
Jeder Begriff löst ein anderes Problem.
---
**DNS kurz erklärt**
DNS steht für:
Domain Name System
Aufgabe:
DNS übersetzt Namen in IP-Adressen.
Beispiel:
www.example.com
wird aufgelöst zu:
einer IPv4- oder IPv6-Adresse
Merksatz:
DNS ist das Namenssystem des Netzwerks.
---
**DNS-Frage in der Prüfung**
Typisches Fehlerbild:
Webseite ist per IP-Adresse erreichbar,
aber nicht per Domainname.
Wahrscheinliche Ursache:
DNS-Problem
Mögliche Ursachen:
falscher DNS-Server
DNS-Server nicht erreichbar
falscher DNS-Eintrag
DNS-Cache veraltet
DNS-Suffix falsch
Split-DNS bei VPN falsch
Firewall blockiert DNS
Merksatz:
IP ja,
Name nein:
DNS prüfen.
---
**Wichtige DNS-Records**
| Record | Bedeutung |
|---|---|
| A | Name zu IPv4-Adresse |
| AAAA | Name zu IPv6-Adresse |
| CNAME | Alias auf anderen Namen |
| MX | Mailserver einer Domain |
| TXT | Textinformationen, zum Beispiel SPF |
| NS | zuständiger Nameserver |
| PTR | Reverse DNS, IP-Adresse zu Name |
Merksatz:
A ist IPv4.
AAAA ist IPv6.
MX ist Mail.
PTR ist rückwärts.
---
**DNS und Ports**
DNS nutzt:
UDP 53
und bei Bedarf
TCP 53
UDP 53:
normale DNS-Abfragen
TCP 53:
große Antworten,
Zonentransfers
oder bestimmte Spezialfälle
Merksatz:
DNS ist meistens UDP 53,
aber TCP 53 nicht vergessen.
---
**DNS-Prüfung mit Werkzeugen**
Typische Werkzeuge:
nslookup
dig
ping mit Namen
Browser-Test
DNS-Cache prüfen
Wichtig:
ping auf Name testet DNS und ICMP zusammen.
Besser für reine DNS-Prüfung:
nslookup
oder
dig
Merksatz:
DNS gezielt mit nslookup oder dig prüfen.
---
**DNS-Cache**
Ein DNS-Cache speichert bereits aufgelöste Namen.
Vorteile:
schnellere Namensauflösung
weniger DNS-Anfragen
Problem:
veraltete Einträge können Fehler verursachen.
Merksatz:
DNS-Cache kann alte Informationen enthalten.
---
**DNS-Suffix**
Ein DNS-Suffix ergänzt unvollständige Namen.
Beispiel:
server01
kann ergänzt werden zu:
server01.firma.local
Typische Fehler:
falsches Suchsuffix
anderes Suffix im VPN
interner Name wird extern nicht gefunden
Merksatz:
DNS-Suffix hilft bei kurzen internen Namen.
---
**Split-DNS**
Split-DNS bedeutet:
interne und externe DNS-Auflösung können unterschiedliche Antworten liefern.
Beispiel:
intern:
intranet.firma.de zeigt auf private IP-Adresse
extern:
intranet.firma.de ist nicht erreichbar
oder zeigt auf öffentliche Adresse
Typisch bei:
VPN
Intranet
internen Diensten
Hybrid-Umgebungen
Merksatz:
Split-DNS kann je nach Standort unterschiedliche IPs liefern.
---
**DHCP kurz erklärt**
DHCP steht für:
Dynamic Host Configuration Protocol
Aufgabe:
DHCP verteilt automatisch Netzwerkkonfiguration an Clients.
Typische Informationen:
IP-Adresse
Subnetzmaske
Standardgateway
DNS-Server
Lease-Zeit
weitere Optionen
Merksatz:
DHCP erspart manuelle IP-Konfiguration.
---
**DHCP-DORA**
DORA beschreibt den DHCP-Ablauf:
| Schritt | Bedeutung |
|---|---|
| Discover | Client sucht DHCP-Server |
| Offer | Server bietet Konfiguration an |
| Request | Client fordert angebotene Konfiguration an |
| Acknowledge | Server bestätigt die Vergabe |
Merksatz:
DHCP-DORA:
Discover,
Offer,
Request,
Acknowledge.
---
**DHCP und Ports**
DHCP nutzt:
| Rolle | Protokoll | Port |
|---|---|---:|
| DHCP-Server | UDP | 67 |
| DHCP-Client | UDP | 68 |
Merksatz:
DHCP nutzt UDP 67 und UDP 68.
---
**DHCP und Broadcast**
Ein Client hat zu Beginn oft noch keine gültige IP-Adresse.
Deshalb nutzt DHCP am Anfang Broadcast.
Grund:
Der Client kennt den DHCP-Server noch nicht.
Der Client hat noch keine vollständige Netzwerkkonfiguration.
Merksatz:
DHCP beginnt häufig mit Broadcast.
---
**APIPA**
APIPA steht für:
Automatic Private IP Addressing
Bereich:
169.254.0.0/16
Bedeutung:
Der Client hat keine gültige DHCP-Adresse erhalten
und vergibt sich selbst eine automatische Adresse.
Typisches Fehlerbild:
Client hat 169.254.x.x
und erreicht keine normalen Netzressourcen.
Merksatz:
169.254.x.x deutet auf DHCP-Problem hin.
---
**DHCP-Scope**
Ein DHCP-Scope ist ein Adressbereich,
aus dem DHCP Adressen vergeben darf.
Beispiel:
192.168.10.100 bis 192.168.10.200
Zu einem Scope gehören oft:
IP-Bereich
Subnetzmaske
Gateway
DNS-Server
Lease-Zeit
Ausschlüsse
Reservierungen
Merksatz:
DHCP-Scope = Adresspool für automatische Vergabe.
---
**DHCP-Lease**
Eine Lease ist die zeitlich begrenzte Vergabe einer IP-Adresse.
Bedeutung:
Ein Client erhält eine Adresse nicht für immer,
sondern für eine bestimmte Lease-Zeit.
Vorteil:
Adressen können später wiederverwendet werden.
Merksatz:
DHCP-Lease = zeitlich begrenzte IP-Vergabe.
---
**DHCP-Reservierung**
Eine DHCP-Reservierung weist einem bestimmten Gerät immer dieselbe IP-Adresse zu.
Meist anhand der:
MAC-Adresse
Typisch für:
Drucker
Server
NAS
Netzwerkgeräte
wichtige Clients
Merksatz:
Reservierung bedeutet:
automatisch,
aber immer dieselbe Adresse.
---
**DHCP-Relay**
Ein DHCP-Relay leitet DHCP-Anfragen in ein anderes Netz weiter.
Warum nötig?
DHCP-Broadcasts werden normalerweise nicht über Router weitergeleitet.
Beispiel:
Client in VLAN 20
DHCP-Server in VLAN 10
Dann braucht man oft:
DHCP-Relay
Merksatz:
DHCP-Relay hilft,
wenn Client und DHCP-Server in unterschiedlichen Netzen sind.
---
**DHCP-Fehlerbilder**
| Fehlerbild | Mögliche Ursache |
|---|---|
| 169.254.x.x | DHCP nicht erreicht |
| falsches Gateway | falsche DHCP-Option |
| falscher DNS-Server | falsche DHCP-Option |
| keine Adresse mehr frei | Scope erschöpft |
| nur ein VLAN betroffen | DHCP-Relay oder VLAN falsch |
| manche Geräte bekommen falsche IP | falscher Scope oder falsches VLAN |
| Gerät bekommt alte IP | Lease oder Reservierung prüfen |
Merksatz:
DHCP-Probleme betreffen IP-Konfiguration,
nicht Namensauflösung.
---
**Gateway kurz erklärt**
Das Standardgateway ist der Router,
über den ein Host andere Netze erreicht.
Ohne Gateway kann ein Host normalerweise nur mit Geräten im eigenen Subnetz kommunizieren.
Beispiel:
Client:
192.168.10.50/24
Gateway:
192.168.10.1
Merksatz:
Gateway = Ausgang in andere Netze.
---
**Gateway muss im lokalen Netz liegen**
Das Gateway muss für den Client lokal erreichbar sein.
Falsches Beispiel:
Client:
192.168.10.50/24
Gateway:
192.168.20.1
Problem:
Client liegt im Netz 192.168.10.0/24.
Gateway liegt im Netz 192.168.20.0/24.
Der Client erreicht sein Gateway nicht lokal.
Merksatz:
Standardgateway muss im gleichen lokalen Subnetz erreichbar sein.
---
**Gateway-Fehler in der Prüfung**
Typisches Fehlerbild:
Client erreicht lokale Geräte,
aber keine externen Netze.
Wahrscheinliche Ursache:
Gateway fehlt
oder Gateway falsch
Auch möglich:
Routingfehler
NAT-Problem
Firewall blockiert
Providerverbindung gestört
Merksatz:
Lokal ja,
extern nein:
Gateway,
Routing,
NAT
oder Firewall prüfen.
---
**Routing kurz erklärt**
Routing bedeutet:
Weiterleitung von Paketen zwischen verschiedenen IP-Netzen.
Ein Router entscheidet anhand seiner Routing-Tabelle,
wohin ein Paket weitergeleitet wird.
Routing-Tabelle enthält typischerweise:
Zielnetz
Next Hop
Interface
Metrik
Merksatz:
Routing verbindet Netze.
---
**Standardroute**
Eine Standardroute ist die Route für alle Ziele,
für die keine speziellere Route existiert.
Schreibweise IPv4:
0.0.0.0/0
Merksatz:
Standardroute = Weg für unbekannte Ziele.
---
**Spezifischste Route gewinnt**
Wenn mehrere Routen passen,
wird die spezifischste Route verwendet.
Beispiel:
192.168.10.0/24
ist spezifischer als:
192.168.0.0/16
Merksatz:
Längster passender Präfix gewinnt.
---
**NAT kurz erklärt**
NAT steht für:
Network Address Translation
Aufgabe:
NAT übersetzt IP-Adressen.
Häufiger Einsatz:
private interne IPv4-Adressen werden beim Zugriff ins Internet
in eine öffentliche IPv4-Adresse übersetzt.
Merksatz:
NAT übersetzt Adressen.
---
**Warum NAT verwendet wird**
Gründe:
private IPv4-Adressen im LAN nutzen
öffentliche IPv4-Adressen sparen
interne Adressen nach außen verbergen
Internetzugriff für viele Clients ermöglichen
Wichtig:
NAT ist keine vollständige Sicherheitsmaßnahme.
Merksatz:
NAT hilft bei Adressübersetzung,
ersetzt aber keine Firewall.
---
**Private IPv4-Bereiche**
| Bereich | CIDR |
|---|---|
| 10.0.0.0 bis 10.255.255.255 | 10.0.0.0/8 |
| 172.16.0.0 bis 172.31.255.255 | 172.16.0.0/12 |
| 192.168.0.0 bis 192.168.255.255 | 192.168.0.0/16 |
Merksatz:
Private IPv4-Adressen werden im Internet nicht direkt geroutet.
---
**PAT kurz erklärt**
PAT steht für:
Port Address Translation
PAT ist eine Form von NAT,
bei der zusätzlich Portnummern zur Zuordnung genutzt werden.
Zweck:
viele interne Clients können über eine öffentliche IP-Adresse ins Internet.
Merksatz:
PAT nutzt Ports zur Unterscheidung mehrerer Verbindungen.
---
**NAT und PAT vergleichen**
| Begriff | Bedeutung | Typischer Einsatz |
|---|---|---|
| NAT | übersetzt IP-Adressen | private zu öffentliche IP |
| PAT | übersetzt IP-Adressen und Ports | viele Clients über eine öffentliche IP |
| Portweiterleitung | leitet externen Port intern weiter | internen Dienst von außen erreichbar machen |
Merksatz:
NAT übersetzt Adressen.
PAT unterscheidet Verbindungen über Ports.
---
**Portweiterleitung kurz erklärt**
Portweiterleitung bedeutet:
eingehender Verkehr auf einem externen Port
wird an einen internen Dienst weitergeleitet.
Beispiel:
öffentliche IP: TCP 443
wird weitergeleitet an:
interner Webserver: TCP 443
Merksatz:
Portweiterleitung macht interne Dienste von außen erreichbar.
---
**Portweiterleitung und Risiko**
Portweiterleitung erhöht die Angriffsfläche,
weil ein interner Dienst von außen erreichbar wird.
Deshalb prüfen:
Ist der Dienst wirklich nötig?
Ist der Dienst gepatcht?
Gibt es starke Authentifizierung?
Gibt es TLS?
Gibt es Logging?
Gibt es Firewall-Beschränkungen?
Gibt es eine DMZ?
Gibt es Alternativen wie VPN?
Merksatz:
Portweiterleitung nur gezielt und dokumentiert einsetzen.
---
**DNS, DHCP, Gateway und NAT zusammen**
Ein normaler Client braucht oft:
IP-Adresse von DHCP
Subnetzmaske von DHCP
Gateway von DHCP
DNS-Server von DHCP
Gateway für andere Netze
NAT für Internetzugriff mit privater IPv4-Adresse
DNS für Namensauflösung
Merksatz:
Internetzugriff braucht meistens mehrere korrekt zusammenspielende Bausteine.
---
**Beispiel: Client kommt nicht ins Internet**
Prüfreihenfolge:
1. Hat der Client eine gültige IP-Adresse?
2. Passt die Subnetzmaske?
3. Ist das Gateway eingetragen?
4. Liegt das Gateway im gleichen Subnetz?
5. Ist das Gateway erreichbar?
6. Funktioniert Zugriff auf externe IP?
7. Funktioniert DNS?
8. Funktioniert NAT?
9. Blockiert eine Firewall?
Merksatz:
Erst IP und Gateway,
dann DNS,
dann NAT und Firewall.
---
**Beispiel: Webseite per IP erreichbar, per Name nicht**
Fehlerbild:
Zugriff auf 93.184.216.34 funktioniert.
Zugriff auf www.example.com funktioniert nicht.
Wahrscheinliche Ursache:
DNS
Prüfen:
DNS-Server eingetragen?
DNS-Server erreichbar?
DNS-Eintrag korrekt?
anderer DNS-Server testen?
DNS-Cache leeren?
Merksatz:
Wenn IP funktioniert,
ist die Grundverbindung nicht das Hauptproblem.
---
**Beispiel: Client hat 169.254.x.x**
Fehlerbild:
Client hat APIPA-Adresse.
Wahrscheinliche Ursache:
DHCP nicht erreichbar
Prüfen:
Kabel oder WLAN
VLAN
DHCP-Server
DHCP-Scope
DHCP-Relay
Firewall
Switchport
Merksatz:
APIPA heißt:
automatische Notadresse statt gültiger DHCP-Adresse.
---
**Beispiel: lokal erreichbar, Internet nicht**
Fehlerbild:
Client erreicht Server im eigenen Netz.
Internet funktioniert nicht.
Mögliche Ursachen:
Gateway fehlt
Gateway falsch
Routingfehler
NAT fehlt
Firewall blockiert
DNS bei Namenszugriff zusätzlich möglich
Merksatz:
Lokale Kommunikation beweist nicht,
dass Gateway und NAT funktionieren.
---
**Beispiel: Portweiterleitung funktioniert nicht**
Mögliche Ursachen:
falscher externer Port
falsche interne IP
falscher interner Port
Dienst läuft nicht
lokale Firewall blockiert
Router-Firewall blockiert
NAT-Regel fehlt
doppelte NAT-Umgebung
öffentlicher DNS zeigt falsch
Provider blockiert Port
Merksatz:
Bei Portweiterleitung immer externen Port,
internes Ziel,
Dienst
und Firewall prüfen.
---
**Doppeltes NAT**
Doppeltes NAT bedeutet:
Verkehr wird durch zwei NAT-Geräte übersetzt.
Beispiel:
Provider-Router
und dahinter
eigener Router
Problem:
Portweiterleitungen werden schwieriger,
weil beide Geräte korrekt konfiguriert sein müssen.
Merksatz:
Doppeltes NAT erschwert eingehende Verbindungen.
---
**CGNAT**
CGNAT steht für:
Carrier-Grade NAT
Dabei teilt der Provider öffentliche IPv4-Adressen auf mehrere Kunden auf.
Problem:
Eigene Portweiterleitungen von außen funktionieren oft nicht direkt,
weil der Kunde keine eigene öffentliche IPv4-Adresse hat.
Merksatz:
Bei CGNAT ist eingehender Zugriff von außen eingeschränkt.
---
**DNS bei Portweiterleitung**
Für externen Zugriff braucht man oft zusätzlich DNS.
Beispiel:
app.firma.de
zeigt auf:
öffentliche IP-Adresse
Dann leitet NAT/Firewall weiter auf:
internen Server
Mögliche Fehler:
DNS zeigt auf falsche öffentliche IP
alter DNS-Cache
falscher A-Record
Split-DNS-Konflikt
Merksatz:
DNS findet die öffentliche Adresse,
NAT leitet zum internen Dienst.
---
**NAT und Firewall unterscheiden**
| Begriff | Aufgabe |
|---|---|
| NAT | Adressen übersetzen |
| Firewall | Verkehr erlauben oder blockieren |
Wichtig:
In vielen Geräten sind NAT und Firewall kombiniert.
Fachlich bleiben es unterschiedliche Funktionen.
Merksatz:
NAT übersetzt.
Firewall filtert.
---
**DNS und DHCP unterscheiden**
| Begriff | Aufgabe |
|---|---|
| DNS | Namen auflösen |
| DHCP | IP-Konfiguration verteilen |
Prüfungsfalle:
Ein Client mit 169.254.x.x hat zuerst ein DHCP-Problem,
nicht direkt ein DNS-Problem.
Merksatz:
DHCP gibt die Konfiguration.
DNS nutzt danach diese Konfiguration.
---
**Gateway und NAT unterscheiden**
| Begriff | Aufgabe |
|---|---|
| Gateway | Router in andere Netze |
| NAT | Übersetzung von Adressen |
Prüfungsfalle:
Ein Gateway kann vorhanden sein,
aber NAT kann trotzdem fehlen oder falsch sein.
Merksatz:
Gateway leitet weiter.
NAT übersetzt.
---
**Typische Prüfungsfallen**
DNS und DHCP verwechseln.
Gateway und DNS verwechseln.
NAT als Firewall bezeichnen.
PAT nicht als Port Address Translation erkennen.
Portweiterleitung mit normalem ausgehendem NAT verwechseln.
Gateway außerhalb des Client-Subnetzes eintragen.
DHCP-Relay vergessen.
APIPA nicht erkennen.
DNS nur mit UDP 53 verbinden und TCP 53 vergessen.
Private IPv4-Adressen als öffentlich routbar ansehen.
CGNAT bei eingehenden Verbindungen ignorieren.
Merksatz:
Die meisten Fehler entstehen durch Verwechslung der Aufgaben.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was macht DNS?
- Was macht DHCP?
- Was bedeutet DORA?
- Welche Ports nutzt DHCP?
- Welche Ports nutzt DNS?
- Was bedeutet eine Adresse aus 169.254.0.0/16?
- Was ist ein DHCP-Scope?
- Was ist eine DHCP-Reservierung?
- Was ist ein DHCP-Relay?
- Was ist ein Standardgateway?
- Warum muss das Gateway im lokalen Subnetz erreichbar sein?
- Was ist NAT?
- Was ist PAT?
- Was ist eine Portweiterleitung?
- Warum ersetzt NAT keine Firewall?
- Warum funktioniert Zugriff per IP,
aber nicht per Name?
---
**IHK-sichere Kurzformulierung**
DNS, DHCP, Gateway und NAT erfüllen unterschiedliche Aufgaben im Netzwerk. DNS löst Namen in IP-Adressen auf. DHCP verteilt automatisch Netzwerkkonfigurationen wie IP-Adresse, Subnetzmaske, Gateway und DNS-Server. Das Standardgateway ist der Router, über den ein Client andere Netze erreicht. NAT übersetzt IP-Adressen, häufig private interne IPv4-Adressen in eine öffentliche Adresse. PAT nutzt zusätzlich Ports, damit mehrere interne Clients über eine öffentliche IP-Adresse kommunizieren können. Portweiterleitung macht interne Dienste von außen erreichbar und erhöht dadurch die Angriffsfläche. Typische Fehlerbilder sind: IP funktioniert, Name nicht = DNS; 169.254.x.x = DHCP; lokal funktioniert, Internet nicht = Gateway, Routing, NAT oder Firewall.
---
**Merksätze**
DNS löst Namen auf.
DHCP verteilt IP-Konfiguration.
Gateway führt in andere Netze.
NAT übersetzt Adressen.
PAT nutzt Ports.
Portweiterleitung veröffentlicht Dienste.
DNS nutzt UDP und TCP 53.
DHCP nutzt UDP 67 und 68.
DHCP-DORA:
Discover,
Offer,
Request,
Acknowledge.
169.254.x.x deutet auf DHCP-Problem.
DHCP-Scope ist der Adresspool.
DHCP-Lease ist zeitlich begrenzte Vergabe.
DHCP-Reservierung gibt einem Gerät immer dieselbe IP.
DHCP-Relay leitet DHCP-Anfragen in andere Netze.
Gateway muss im lokalen Subnetz erreichbar sein.
Standardroute ist 0.0.0.0/0.
Spezifischste Route gewinnt.
Private IPv4-Adressen werden im Internet nicht direkt geroutet.
NAT ersetzt keine Firewall.
NAT übersetzt,
Firewall filtert.
DNS findet die öffentliche Adresse,
NAT leitet nach intern weiter.
Doppeltes NAT erschwert Portweiterleitungen.
CGNAT erschwert eingehende Verbindungen.
IP ja,
Name nein:
DNS.
169.254.x.x:
DHCP.
Lokal ja,
extern nein:
Gateway,
Routing,
NAT,
Firewall.
Host ja,
Dienst nein:
Port,
Dienst,
Firewall.
# 19.6 TCP, UDP, ICMP und ARP Spickzettel
Dieser Spickzettel fasst vier wichtige Netzwerkprotokolle kompakt zusammen:
- TCP
- UDP
- ICMP
- ARP
Diese Protokolle tauchen häufig in Prüfungsaufgaben,
Fehlersuche
und Netzwerkanalyse auf.
Merksatz:
TCP und UDP transportieren Daten.
ICMP hilft bei Diagnose.
ARP findet MAC-Adressen im lokalen Netz.
---
**Grundübersicht**
| Protokoll | Schicht | Hauptaufgabe |
|---|---:|---|
| TCP | OSI-Schicht 4 | zuverlässiger verbindungsorientierter Transport |
| UDP | OSI-Schicht 4 | schneller verbindungsloser Transport |
| ICMP | OSI-Schicht 3 | Kontroll- und Fehlermeldungen |
| ARP | zwischen Schicht 2 und 3 | IPv4-Adresse zu MAC-Adresse auflösen |
Merksatz:
TCP und UDP gehören zur Transportschicht.
ICMP gehört zur Netzwerkschicht.
ARP verbindet IPv4 und Ethernet im lokalen Netz.
---
**TCP kurz erklärt**
TCP steht für:
Transmission Control Protocol
Eigenschaften:
verbindungsorientiert
zuverlässig
bestätigt Daten
überträgt verlorene Daten erneut
stellt Reihenfolge sicher
nutzt Ports
hat mehr Overhead als UDP
Typische Anwendungen:
HTTPS
HTTP
SSH
SMTP
IMAP
POP3
SMB
RDP
Merksatz:
TCP = zuverlässig und verbindungsorientiert.
---
**TCP-Verbindungsaufbau**
TCP baut vor der Datenübertragung eine Verbindung auf.
Der Verbindungsaufbau heißt:
Three-Way Handshake
Ablauf:
1. SYN
2. SYN-ACK
3. ACK
Bedeutung:
Client möchte Verbindung aufbauen.
Server bestätigt und antwortet.
Client bestätigt endgültig.
Merksatz:
TCP startet mit SYN,
SYN-ACK,
ACK.
---
**TCP-Zuverlässigkeit**
TCP sorgt für zuverlässige Übertragung durch:
Sequenznummern
Bestätigungen
erneute Übertragung
Reihenfolgeprüfung
Fehlererkennung
Flusskontrolle
Merksatz:
TCP merkt,
ob Daten angekommen sind.
---
**TCP-Ports**
TCP nutzt Ports,
um Daten einem Dienst oder Prozess zuzuordnen.
Beispiele:
| Dienst | TCP-Port |
|---|---:|
| SSH | 22 |
| HTTP | 80 |
| HTTPS | 443 |
| SMTP | 25 |
| IMAP | 143 |
| SMB | 445 |
| RDP | 3389 |
Merksatz:
TCP-Port zeigt den angesprochenen Dienst.
---
**Typische TCP-Status**
| Status | Bedeutung |
|---|---|
| LISTEN | Dienst wartet auf eingehende Verbindungen |
| SYN_SENT | Client versucht Verbindung aufzubauen |
| SYN_RECEIVED | Server hat SYN erhalten und geantwortet |
| ESTABLISHED | Verbindung besteht |
| FIN_WAIT | Verbindung wird beendet |
| TIME_WAIT | Verbindung wurde beendet, Wartephase |
| CLOSE_WAIT | Gegenseite hat beendet, lokale Anwendung noch nicht |
Merksatz:
LISTEN heißt:
Dienst wartet.
ESTABLISHED heißt:
Verbindung besteht.
---
**TCP-Fehlerbilder**
| Fehlerbild | Mögliche Ursache |
|---|---|
| Verbindung kommt nicht zustande | Port blockiert, Dienst aus, Firewall |
| SYN_SENT bleibt stehen | Ziel antwortet nicht oder Firewall blockiert |
| Verbindung bricht ab | Timeout, Anwendung, Netzwerkproblem |
| Dienst lauscht nicht | Dienst nicht gestartet oder falsche Schnittstelle |
| viele Verbindungen offen | Last, Angriff oder Anwendung hängt |
Merksatz:
TCP-Fehler betreffen oft Port,
Dienst,
Firewall
oder Verbindung.
---
**UDP kurz erklärt**
UDP steht für:
User Datagram Protocol
Eigenschaften:
verbindungslos
schnell
wenig Overhead
keine eingebaute Zustellgarantie
keine eingebaute Reihenfolgegarantie
keine erneute Übertragung durch UDP selbst
nutzt Ports
Typische Anwendungen:
DNS
DHCP
VoIP
Streaming
Gaming
NTP
SNMP
Merksatz:
UDP = schnell,
schlank
und verbindungslos.
---
**Warum UDP verwendet wird**
UDP wird verwendet,
wenn geringe Verzögerung wichtiger ist als perfekte Zustellung.
Beispiele:
Sprache bei VoIP soll sofort ankommen.
Ein verlorenes Sprachpaket ist weniger schlimm als lange Verzögerung.
DNS-Anfragen sind klein und sollen schnell beantwortet werden.
Streaming kann einzelne Verluste oft besser verkraften als Verzögerung.
Merksatz:
UDP ist sinnvoll,
wenn Geschwindigkeit wichtiger ist als eingebaute Zuverlässigkeit.
---
**UDP-Ports**
| Dienst | UDP-Port |
|---|---:|
| DNS | 53 |
| DHCP Server | 67 |
| DHCP Client | 68 |
| NTP | 123 |
| SNMP | 161 |
| SNMP Trap | 162 |
Merksatz:
UDP-Port zeigt ebenfalls den angesprochenen Dienst,
aber ohne TCP-Verbindungsaufbau.
---
**UDP-Fehlerbilder**
| Fehlerbild | Mögliche Ursache |
|---|---|
| keine Antwort auf DNS | UDP 53 blockiert, DNS-Server falsch |
| DHCP funktioniert nicht | UDP 67/68, VLAN, DHCP-Relay |
| Zeit stimmt nicht | NTP UDP 123 blockiert oder Server falsch |
| SNMP liefert keine Werte | Community, Rechte, UDP 161, Firewall |
| VoIP abgehackt | Paketverlust, Jitter, Latenz |
Merksatz:
UDP-Probleme erkennt man oft an fehlenden Antworten oder Qualitätseinbußen.
---
**TCP und UDP vergleichen**
| Merkmal | TCP | UDP |
|---|---|---|
| Verbindung | verbindungsorientiert | verbindungslos |
| Aufbau | Three-Way Handshake | kein Verbindungsaufbau |
| Zuverlässigkeit | eingebaut | nicht eingebaut |
| Reihenfolge | wird gesichert | nicht garantiert |
| Overhead | höher | geringer |
| Geschwindigkeit | eher langsamer | eher schneller |
| Beispiele | HTTPS, SSH, SMTP | DNS, DHCP, VoIP |
Merksatz:
TCP = zuverlässig.
UDP = wenig Overhead.
---
**Wann TCP?**
TCP eignet sich,
wenn Daten vollständig und korrekt ankommen müssen.
Beispiele:
Webseite laden
Datei übertragen
E-Mail senden
Remotezugriff
Datenbankverbindung
Dateifreigabe
Merksatz:
TCP für vollständige und zuverlässige Übertragung.
---
**Wann UDP?**
UDP eignet sich,
wenn Geschwindigkeit,
geringe Verzögerung
oder einfache Anfrage-Antwort-Kommunikation wichtig ist.
Beispiele:
DNS
DHCP
VoIP
Livestreaming
Online-Gaming
Zeitabgleich
Merksatz:
UDP für schnelle und zeitkritische Kommunikation.
---
**ICMP kurz erklärt**
ICMP steht für:
Internet Control Message Protocol
Aufgabe:
Kontroll-
Fehler-
und Diagnosemeldungen im IP-Netz
Typische Nutzung:
ping
traceroute
Fehlermeldungen bei nicht erreichbaren Zielen
Merksatz:
ICMP transportiert keine Anwendungsdaten,
sondern Kontrollinformationen.
---
**ICMP und OSI-Schicht**
ICMP gehört zur Netzwerkschicht.
OSI-Schicht:
Schicht 3
Grund:
ICMP arbeitet mit IP
und meldet Probleme bei IP-Kommunikation.
Merksatz:
ICMP gehört zu Schicht 3.
---
**ping**
ping nutzt ICMP Echo Request und Echo Reply.
Aufgabe:
Erreichbarkeit eines Ziels testen
Wichtig:
Ping prüft nicht,
ob ein bestimmter TCP- oder UDP-Dienst funktioniert.
Beispiel:
Ping funktioniert,
aber HTTPS auf TCP 443 ist blockiert.
Merksatz:
ping prüft ICMP-Erreichbarkeit,
nicht den Anwendungsdienst.
---
**traceroute und tracert**
traceroute oder tracert zeigen den Weg zum Ziel über Router.
Nutzung:
Pfad prüfen
Routingprobleme eingrenzen
Paketlaufzeit grob erkennen
Hops sichtbar machen
Wichtig:
Nicht jeder Router antwortet auf ICMP oder Traceroute.
Sternchen bedeuten nicht automatisch,
dass der gesamte Weg defekt ist.
Merksatz:
traceroute zeigt den Weg,
aber Ausgaben müssen interpretiert werden.
---
**ICMP-Fehlerbilder**
| Fehlerbild | Mögliche Bedeutung |
|---|---|
| ping erfolgreich | Ziel antwortet auf ICMP |
| ping fehlgeschlagen | Ziel offline, ICMP blockiert, Routingproblem |
| hohe Antwortzeit | Latenz, Last oder lange Strecke |
| Paketverlust | Netzproblem, Überlastung oder Funkproblem |
| traceroute bricht ab | Firewall, Routing, ICMP-Filter |
| einzelne Hops antworten nicht | Router antwortet nicht auf ICMP, Weg kann trotzdem funktionieren |
Merksatz:
Kein ping bedeutet nicht automatisch:
Ziel ist offline.
---
**ICMP und Firewall**
ICMP kann in Firewalls erlaubt oder blockiert werden.
Vorteil von ICMP erlauben:
bessere Diagnose
einfachere Fehlersuche
Grund für Einschränkung:
weniger Informationspreisgabe
Schutz gegen bestimmte Missbrauchsarten
Sicherheitsrichtlinie
Merksatz:
ICMP blockieren kann Fehlersuche erschweren.
---
**ARP kurz erklärt**
ARP steht für:
Address Resolution Protocol
Aufgabe:
IPv4-Adresse in MAC-Adresse auflösen
Einsatzbereich:
lokales Netzwerksegment
Beispiel:
Ein Client möchte das Gateway 192.168.1.1 erreichen.
Dafür braucht er die MAC-Adresse des Gateways.
Diese ermittelt er mit ARP.
Merksatz:
ARP findet die MAC-Adresse zu einer IPv4-Adresse im lokalen Netz.
---
**Warum ARP nötig ist**
IP-Adressen werden für logische Kommunikation genutzt.
Ethernet im lokalen Netz braucht aber MAC-Adressen.
Deshalb muss ein Host wissen:
Welche MAC-Adresse gehört zur Ziel-IP?
Für Ziele außerhalb des eigenen Netzes gilt:
Der Client ermittelt per ARP die MAC-Adresse des Gateways,
nicht die MAC-Adresse des entfernten Zielservers.
Merksatz:
Für entfernte Ziele wird lokal die MAC des Gateways benötigt.
---
**ARP-Ablauf**
Typischer Ablauf:
1. Host prüft:
Liegt Ziel im eigenen Subnetz?
2. Wenn Ziel lokal ist:
ARP fragt nach MAC-Adresse des Zielhosts.
3. Wenn Ziel extern ist:
ARP fragt nach MAC-Adresse des Gateways.
4. Antwort wird in ARP-Tabelle gespeichert.
Merksatz:
ARP arbeitet nur im lokalen Netz.
---
**ARP Request und ARP Reply**
ARP Request:
Frage per Broadcast:
Wer hat diese IP-Adresse?
ARP Reply:
Antwort per Unicast:
Diese IP-Adresse gehört zu dieser MAC-Adresse.
Merksatz:
ARP Request ist Broadcast.
ARP Reply ist Antwort mit MAC-Adresse.
---
**ARP-Tabelle**
Die ARP-Tabelle speichert bekannte Zuordnungen.
Beispiel:
IPv4-Adresse
zu
MAC-Adresse
Vorteil:
nicht bei jedem Paket neu fragen
Problem:
falsche oder alte Einträge können Fehler verursachen.
Merksatz:
ARP-Tabelle ist der lokale Zwischenspeicher für IP-zu-MAC.
---
**ARP und Gateway**
Wenn ein Ziel nicht im eigenen Subnetz liegt,
sendet der Client das Ethernet-Frame an die MAC-Adresse des Gateways.
Wichtig:
IP-Ziel bleibt der entfernte Host.
MAC-Ziel ist lokal das Gateway.
Merksatz:
IP zeigt zum Endziel.
MAC zeigt zum nächsten lokalen Hop.
---
**ARP-Fehlerbilder**
| Fehlerbild | Mögliche Ursache |
|---|---|
| lokaler Host nicht erreichbar | ARP, VLAN, Switch, Firewall, Ziel aus |
| Gateway nicht erreichbar | falsches Gateway, ARP, VLAN, Router aus |
| doppelte IP-Adresse | ARP springt zwischen MAC-Adressen |
| falsche MAC-Zuordnung | ARP-Spoofing oder Cache-Problem |
| nur lokales Netz betroffen | Schicht 2 oder ARP prüfen |
Merksatz:
ARP-Probleme betreffen lokale IPv4-Kommunikation.
---
**ARP-Spoofing**
ARP-Spoofing ist ein Angriff,
bei dem falsche ARP-Antworten gesendet werden.
Ziel:
Datenverkehr umleiten
Man-in-the-Middle ermöglichen
Kommunikation stören
Schutzmaßnahmen:
Dynamic ARP Inspection
statische ARP-Einträge in Sonderfällen
Netzwerksegmentierung
Switch-Sicherheitsfunktionen
Verschlüsselung höherer Schichten
Monitoring
Merksatz:
ARP vertraut lokalen Antworten und kann missbraucht werden.
---
**TCP, UDP, ICMP und ARP gemeinsam einordnen**
| Frage | Wahrscheinliches Thema |
|---|---|
| Ist der Dienst über Port erreichbar? | TCP oder UDP |
| Funktioniert Namensauflösung? | DNS über UDP/TCP 53 |
| Funktioniert IP-Erreichbarkeit grob? | ICMP |
| Wie kommt IPv4 zur MAC-Adresse? | ARP |
| Warum geht ping, aber Webseite nicht? | ICMP geht, TCP 80/443 prüfen |
| Warum geht lokale Kommunikation nicht? | ARP, VLAN, Switch, IP |
| Warum geht Gateway nicht? | ARP, Gateway-IP, VLAN, Router |
Merksatz:
Unterschiedliche Protokolle beantworten unterschiedliche Diagnosefragen.
---
**Beispiel: Ping funktioniert, HTTPS nicht**
Fehlerbild:
ping zum Server funktioniert.
Webseite über HTTPS funktioniert nicht.
Bedeutung:
ICMP-Erreichbarkeit ist vorhanden.
Mögliche Ursachen:
TCP 443 blockiert
Webserver läuft nicht
Zertifikatsproblem
Reverse Proxy fehlerhaft
Anwendung fehlerhaft
Firewall-Regel fehlt
Merksatz:
ping erfolgreich heißt nicht,
dass HTTPS funktioniert.
---
**Beispiel: DNS funktioniert nicht**
Fehlerbild:
Name wird nicht aufgelöst.
Mögliche Protokolle:
DNS über UDP 53
DNS über TCP 53
Mögliche Ursachen:
DNS-Server falsch
DNS-Server nicht erreichbar
Port 53 blockiert
falscher DNS-Eintrag
DNS-Cache
Split-DNS
Merksatz:
DNS-Probleme sind meist Schicht 7,
nutzen aber TCP oder UDP auf Schicht 4.
---
**Beispiel: DHCP funktioniert nicht**
Fehlerbild:
Client erhält 169.254.x.x.
Beteiligte Protokolle:
DHCP über UDP 67 und 68
Mögliche Ursachen:
DHCP-Server nicht erreichbar
falsches VLAN
DHCP-Relay fehlt
Scope erschöpft
Firewall blockiert
Netzwerkverbindung fehlerhaft
Merksatz:
DHCP-Fehler können durch Schicht 1,
2,
3
oder 7 verursacht werden.
---
**Beispiel: lokales Ziel nicht erreichbar**
Fehlerbild:
Client und Server sollen im gleichen Subnetz sein,
erreichen sich aber nicht.
Mögliche Prüfungen:
IP-Adresse
Subnetzmaske
VLAN
Switchport
ARP-Tabelle
lokale Firewall
doppelte IP-Adresse
Merksatz:
Im gleichen Subnetz sind ARP,
VLAN
und lokale Firewall besonders wichtig.
---
**Beispiel: externes Ziel nicht erreichbar**
Fehlerbild:
Ziel liegt außerhalb des eigenen Subnetzes.
Beteiligte Schritte:
Client prüft Zielnetz.
Client sendet an Gateway.
ARP ermittelt MAC-Adresse des Gateways.
Router leitet IP-Paket weiter.
NAT oder Firewall können beteiligt sein.
Merksatz:
Externe Kommunikation braucht Gateway und Routing.
---
**Typische Werkzeuge**
| Werkzeug | Hilft bei |
|---|---|
| ping | ICMP-Erreichbarkeit |
| traceroute / tracert | Weg über Router |
| arp | ARP-Tabelle anzeigen |
| ip neigh | Nachbartabelle unter Linux |
| ipconfig /all | IP-Konfiguration Windows |
| ip addr | IP-Konfiguration Linux |
| netstat | Verbindungen und Ports |
| ss | Sockets und Ports unter Linux |
| nslookup | DNS prüfen |
| dig | DNS detailliert prüfen |
| tcpdump | Pakete mitschneiden |
| Wireshark | Pakete grafisch analysieren |
Merksatz:
Werkzeug passend zur vermuteten Schicht wählen.
---
**Prüfungsfalle: ping falsch interpretieren**
Ping kann fehlschlagen,
obwohl der Dienst erreichbar ist.
Mögliche Gründe:
ICMP blockiert
Ziel antwortet nicht auf ping
Firewall filtert ICMP
Ping kann funktionieren,
obwohl der Dienst nicht erreichbar ist.
Mögliche Gründe:
TCP-Port blockiert
Anwendung läuft nicht
TLS-Problem
Rechteproblem
Merksatz:
ping ist Diagnose,
aber kein vollständiger Funktionstest.
---
**Prüfungsfalle: ARP nur im lokalen Netz**
ARP funktioniert nicht über Router hinweg.
Für entfernte Ziele wird nicht die MAC-Adresse des Zielservers gesucht,
sondern die MAC-Adresse des Gateways.
Merksatz:
ARP kennt nur lokale Nachbarn.
---
**Prüfungsfalle: TCP und UDP nicht vermischen**
TCP 53 und UDP 53 sind unterschiedliche Regeln.
TCP 443 und UDP 443 sind nicht automatisch dasselbe.
Eine Firewall-Regel muss das richtige Transportprotokoll erlauben.
Merksatz:
Portnummer ohne TCP oder UDP ist unvollständig.
---
**Prüfungsfalle: UDP ist nicht automatisch unsicher**
UDP hat keine eingebaute Zustellgarantie.
Das bedeutet aber nicht automatisch,
dass UDP „schlecht“ oder „unsicher“ ist.
Es ist für bestimmte Anwendungen sinnvoll,
zum Beispiel DNS,
DHCP,
VoIP
oder NTP.
Merksatz:
UDP ist nicht schlechter,
sondern für andere Anforderungen gebaut.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist TCP?
- Was ist UDP?
- Vergleichen Sie TCP und UDP.
- Was ist der TCP Three-Way Handshake?
- Warum nutzt DNS häufig UDP?
- Warum eignet sich UDP für VoIP?
- Was macht ICMP?
- Wofür wird ping verwendet?
- Warum ersetzt ping keinen Diensttest?
- Was zeigt traceroute?
- Was macht ARP?
- Warum wird bei externen Zielen die MAC-Adresse des Gateways benötigt?
- Was ist ARP-Spoofing?
- Warum muss man bei Firewall-Regeln TCP und UDP unterscheiden?
---
**IHK-sichere Kurzformulierung**
TCP und UDP sind Transportprotokolle der OSI-Schicht 4. TCP ist verbindungsorientiert und zuverlässig. Es nutzt einen Verbindungsaufbau, Bestätigungen und erneute Übertragung verlorener Daten. UDP ist verbindungslos, schlank und hat keine eingebaute Zustellgarantie. Es eignet sich für schnelle oder zeitkritische Kommunikation wie DNS, DHCP, VoIP oder NTP. ICMP arbeitet auf Schicht 3 und dient Kontroll- und Diagnosemeldungen, zum Beispiel bei ping oder traceroute. ARP löst im lokalen IPv4-Netz eine IP-Adresse in eine MAC-Adresse auf. Für Ziele außerhalb des eigenen Subnetzes wird per ARP die MAC-Adresse des Gateways ermittelt.
---
**Merksätze**
TCP ist zuverlässig.
TCP ist verbindungsorientiert.
TCP nutzt Ports.
TCP startet mit SYN,
SYN-ACK,
ACK.
UDP ist verbindungslos.
UDP ist schnell und schlank.
UDP hat keine eingebaute Zustellgarantie.
UDP nutzt ebenfalls Ports.
TCP und UDP gehören zu Schicht 4.
ICMP gehört zu Schicht 3.
ICMP dient Diagnose und Fehlermeldungen.
ping nutzt ICMP.
ping ist kein vollständiger Diensttest.
traceroute zeigt den Weg über Router.
Nicht jeder Hop muss antworten.
ARP löst IPv4 zu MAC auf.
ARP arbeitet lokal.
ARP Request ist Broadcast.
ARP Reply liefert die MAC-Adresse.
ARP-Tabelle speichert Zuordnungen.
Für externe Ziele wird die MAC des Gateways genutzt.
IP zeigt zum Endziel.
MAC zeigt zum nächsten lokalen Hop.
ARP-Spoofing kann Verkehr umleiten.
TCP 53 und UDP 53 getrennt beachten.
Portnummer immer mit TCP oder UDP nennen.
Host erreichbar heißt nicht Dienst erreichbar.
ICMP blockiert heißt nicht automatisch Ziel offline.
UDP ist nicht schlechter,
sondern für andere Anforderungen gebaut.
# 19.7 VLAN, Switching, Routing und Firewall Spickzettel
Dieser Spickzettel fasst vier zentrale Netzwerkthemen kompakt zusammen:
- Switching
- VLAN
- Routing
- Firewall
Diese Themen hängen in Prüfungsaufgaben oft zusammen,
weil sie bestimmen,
wie Geräte im lokalen Netz kommunizieren
und wie Verkehr zwischen Netzen erlaubt oder blockiert wird.
Merksatz:
Switches verbinden Geräte im LAN.
VLANs trennen logisch.
Routing verbindet Netze.
Firewalls filtern Verkehr.
---
**Grundübersicht**
| Begriff | Hauptaufgabe | Typische Schicht |
|---|---|---:|
| Switch | Frames im lokalen Netz weiterleiten | OSI-Schicht 2 |
| VLAN | logische Trennung innerhalb eines Switch-Netzes | OSI-Schicht 2 |
| Router | IP-Netze miteinander verbinden | OSI-Schicht 3 |
| Firewall | Verkehr erlauben oder blockieren | Schicht 3 bis 7 |
Merksatz:
VLAN trennt.
Routing verbindet.
Firewall entscheidet,
was erlaubt ist.
---
**Switching kurz erklärt**
Ein Switch verbindet Geräte in einem lokalen Netzwerk.
Er arbeitet hauptsächlich auf:
OSI-Schicht 2
Er leitet Ethernet-Frames anhand von MAC-Adressen weiter.
Merksatz:
Switches arbeiten mit MAC-Adressen.
---
**MAC-Adresstabelle**
Ein Switch lernt,
welche MAC-Adresse an welchem Port erreichbar ist.
Beispiel:
| MAC-Adresse | Switchport |
|---|---|
| AA:AA:AA:AA:AA:01 | Port 1 |
| AA:AA:AA:AA:AA:02 | Port 2 |
| AA:AA:AA:AA:AA:03 | Port 3 |
Der Switch lernt aus der Quell-MAC-Adresse eingehender Frames.
Merksatz:
Switch lernt aus Quell-MAC-Adressen.
---
**Switching-Ablauf**
Wenn ein Frame beim Switch ankommt:
1. Switch liest die Quell-MAC-Adresse.
2. Switch speichert:
Diese MAC-Adresse ist an diesem Port erreichbar.
3. Switch liest die Ziel-MAC-Adresse.
4. Wenn Ziel-MAC bekannt ist:
Frame wird gezielt an den passenden Port gesendet.
5. Wenn Ziel-MAC unbekannt ist:
Frame wird geflutet.
Merksatz:
Bekannte Ziel-MAC:
gezielte Weiterleitung.
Unbekannte Ziel-MAC:
Flooding.
---
**Flooding**
Flooding bedeutet:
Der Switch sendet einen Frame an alle Ports im VLAN,
außer an den Eingangsport.
Flooding passiert bei:
unbekannter Ziel-MAC-Adresse
Broadcast
bestimmten Multicast-Fällen
Merksatz:
Flooding ist nicht immer Fehler,
sondern bei unbekannter Ziel-MAC normal.
---
**Broadcast**
Broadcast bedeutet:
Nachricht an alle Geräte im lokalen Broadcast-Bereich.
Beispiel:
ARP Request
Broadcast bleibt normalerweise innerhalb:
eines VLANs
beziehungsweise
einer Broadcast-Domäne
Merksatz:
Broadcast erreicht alle Geräte im gleichen VLAN.
---
**Broadcast-Domäne**
Eine Broadcast-Domäne ist der Bereich,
in dem Broadcasts verteilt werden.
Ohne VLAN:
oft gesamtes Switch-Netz
Mit VLAN:
jedes VLAN ist eigene Broadcast-Domäne
Merksatz:
VLANs trennen Broadcast-Domänen.
---
**VLAN kurz erklärt**
VLAN steht für:
Virtual Local Area Network
Ein VLAN trennt ein physisches Netzwerk logisch in mehrere getrennte Netzbereiche.
Beispiele:
VLAN 10 Verwaltung
VLAN 20 Clients
VLAN 30 Server
VLAN 40 Gäste
VLAN 99 Management
Merksatz:
VLAN = logische Trennung auf Schicht 2.
---
**Warum VLANs verwendet werden**
Vorteile:
logische Netztrennung
kleinere Broadcast-Domänen
bessere Struktur
Trennung von Abteilungen
Trennung von Gästen und internem Netz
Trennung von Servern und Clients
Managementnetz separat halten
Sicherheitszonen ermöglichen
Merksatz:
VLANs verbessern Struktur,
Übersicht
und Sicherheit.
---
**VLAN ist keine vollständige Firewall**
Ein VLAN trennt auf Schicht 2.
Aber:
Kommunikation zwischen VLANs ist über Routing möglich.
Deshalb braucht man für Sicherheit zusätzlich:
Router-Regeln
Firewall-Regeln
ACLs
Merksatz:
VLAN trennt logisch,
Firewall kontrolliert Verkehr.
---
**Access-Port**
Ein Access-Port gehört normalerweise zu genau einem VLAN.
Typische Nutzung:
Client
Drucker
Telefon
Access Point im einfachen Betrieb
Arbeitsplatzgerät
Beispiel:
Port 5 ist Access-Port in VLAN 20.
Ein angeschlossenes Endgerät muss das VLAN meist nicht kennen.
Merksatz:
Access-Port = ein VLAN für Endgeräte.
---
**Trunk-Port**
Ein Trunk-Port transportiert mehrere VLANs.
Typische Nutzung:
Verbindung zwischen Switches
Verbindung zu Router
Verbindung zu Firewall
Verbindung zu Hypervisor
Verbindung zu VLAN-fähigem Access Point
Merksatz:
Trunk-Port = mehrere VLANs über eine Verbindung.
---
**Access-Port und Trunk-Port vergleichen**
| Porttyp | VLAN-Anzahl | Typische Nutzung |
|---|---:|---|
| Access-Port | ein VLAN | Endgeräte |
| Trunk-Port | mehrere VLANs | Switch, Router, Firewall, Hypervisor |
Merksatz:
Access = ein VLAN.
Trunk = mehrere VLANs.
---
**VLAN-Tagging**
Bei Trunk-Verbindungen müssen Frames einem VLAN zugeordnet werden.
Dafür wird meistens verwendet:
IEEE 802.1Q
Dabei bekommt der Frame einen VLAN-Tag.
Merksatz:
802.1Q markiert Frames mit VLAN-Information.
---
**Untagged und Tagged**
Untagged:
Frame enthält keinen sichtbaren VLAN-Tag für das Endgerät.
Typisch:
Access-Port
Tagged:
Frame enthält VLAN-Information.
Typisch:
Trunk-Port
Merksatz:
Access meist untagged.
Trunk meist tagged.
---
**Native VLAN**
Das Native VLAN ist das VLAN,
dessen Frames auf einem Trunk untagged übertragen werden können.
Wichtig:
Native VLAN muss auf beiden Seiten passend konfiguriert sein.
Risiko:
Fehlkonfiguration kann zu unerwarteter Kommunikation führen.
Merksatz:
Native VLAN auf Trunks bewusst und einheitlich konfigurieren.
---
**Management-VLAN**
Ein Management-VLAN dient der Verwaltung von Netzwerkgeräten.
Darin liegen zum Beispiel:
Switch-Management
Access-Point-Management
Firewall-Management
Monitoring
Administrationszugriffe
Merksatz:
Managementzugänge nicht ins normale Clientnetz legen.
---
**Gast-VLAN**
Ein Gast-VLAN trennt Gäste vom internen Netz.
Typische Regeln:
Zugriff ins Internet erlaubt
Zugriff auf interne Server blockiert
Zugriff auf Managementnetz blockiert
Merksatz:
Gastnetz vom internen Netz trennen.
---
**Voice-VLAN**
Ein Voice-VLAN wird für IP-Telefone genutzt.
Vorteile:
Sprachverkehr getrennt vom normalen Clientverkehr
QoS leichter möglich
bessere Übersicht
getrennte Sicherheitsregeln möglich
Merksatz:
Voice-VLAN trennt Telefonie vom normalen Datenverkehr.
---
**Inter-VLAN-Routing**
VLANs sind getrennte Layer-2-Netze.
Damit Geräte aus verschiedenen VLANs miteinander kommunizieren können,
braucht man Routing.
Das nennt man:
Inter-VLAN-Routing
Möglich über:
Router
Layer-3-Switch
Firewall
Merksatz:
VLANs trennen.
Inter-VLAN-Routing verbindet sie wieder gezielt.
---
**Router-on-a-Stick**
Router-on-a-Stick bedeutet:
Ein Router verbindet mehrere VLANs über eine Trunk-Verbindung.
Der Router hat logische Subinterfaces,
zum Beispiel:
VLAN 10
VLAN 20
VLAN 30
Merksatz:
Router-on-a-Stick routet mehrere VLANs über einen Trunk.
---
**Layer-3-Switch**
Ein Layer-3-Switch kann:
switchen auf Schicht 2
und
routen auf Schicht 3
Typische Nutzung:
schnelles Routing zwischen VLANs im internen Netz
Merksatz:
Layer-3-Switch verbindet Switching und Routing.
---
**Routing kurz erklärt**
Routing bedeutet:
Pakete zwischen verschiedenen IP-Netzen weiterleiten.
Ein Router entscheidet anhand der Routing-Tabelle,
wohin ein IP-Paket gesendet wird.
Merksatz:
Routing verbindet IP-Netze.
---
**Routing-Tabelle**
Eine Routing-Tabelle enthält typischerweise:
Zielnetz
Präfix
Next Hop
Interface
Metrik
Beispiel:
| Zielnetz | Next Hop | Bedeutung |
|---|---|---|
| 192.168.10.0/24 | direkt verbunden | lokales Netz |
| 192.168.20.0/24 | 192.168.10.1 | über Router erreichbar |
| 0.0.0.0/0 | 192.168.10.254 | Standardroute |
Merksatz:
Routing-Tabelle bestimmt den nächsten Weg.
---
**Standardroute**
Die Standardroute ist die Route für alle Ziele,
für die keine spezifischere Route vorhanden ist.
IPv4-Schreibweise:
0.0.0.0/0
Typisch:
Weg zum Internetrouter
Merksatz:
Standardroute = Route für unbekannte Ziele.
---
**Spezifischste Route gewinnt**
Wenn mehrere Routen passen,
wird die Route mit dem längsten passenden Präfix verwendet.
Beispiel:
192.168.10.0/24
ist spezifischer als:
192.168.0.0/16
Merksatz:
Längster passender Präfix gewinnt.
---
**Gateway**
Das Standardgateway ist der Router,
über den ein Client andere Netze erreicht.
Wichtig:
Das Gateway muss im lokalen Subnetz des Clients erreichbar sein.
Merksatz:
Gateway = Ausgang aus dem eigenen Netz.
---
**Firewall kurz erklärt**
Eine Firewall filtert Netzwerkverkehr.
Sie entscheidet anhand von Regeln:
erlauben
oder
blockieren
Typische Kriterien:
Quelle
Ziel
Port
Protokoll
Richtung
Benutzer
Anwendung
Zustand
Zeit
Zone
Merksatz:
Firewall = kontrollierter Verkehr zwischen Bereichen.
---
**Firewall-Regel**
Eine gute Firewall-Regel enthält:
Quelle
Ziel
Dienst oder Port
Protokoll
Richtung
Aktion
Zweck
Verantwortlichen
Datum
Beispiel:
| Quelle | Ziel | Protokoll | Port | Aktion | Zweck |
|---|---|---|---:|---|---|
| Client-VLAN | Webserver-DMZ | TCP | 443 | erlauben | HTTPS-Zugriff |
| Gast-VLAN | internes Servernetz | any | any | blockieren | internes Netz schützen |
| Admin-VLAN | Switch-Management | TCP | 22 | erlauben | SSH-Administration |
Merksatz:
Jede Firewall-Regel braucht einen Zweck.
---
**Default Deny**
Default Deny bedeutet:
Standardmäßig ist alles verboten.
Nur ausdrücklich erlaubter Verkehr wird zugelassen.
Vorteil:
kleinere Angriffsfläche
bessere Kontrolle
weniger unbeabsichtigte Freigaben
Merksatz:
Erst blockieren,
dann gezielt erlauben.
---
**Any-to-Any**
Any-to-Any bedeutet:
jede Quelle
zu
jedem Ziel
Problem:
sehr breite Freigabe
schlechte Nachvollziehbarkeit
große Angriffsfläche
Sicherheitszonen werden umgangen
Merksatz:
Any-to-Any ist in der Regel kritisch.
---
**Stateful Firewall**
Eine Stateful Firewall merkt sich den Zustand einer Verbindung.
Beispiel:
Client startet HTTPS-Verbindung nach außen.
Antwortpakete werden automatisch zugelassen,
weil sie zur bestehenden Verbindung gehören.
Merksatz:
Stateful Firewall kennt Verbindungszustände.
---
**Stateless Firewall**
Eine Stateless Firewall betrachtet Pakete einzeln,
ohne Verbindungszustand zu merken.
Sie prüft nur einzelne Paketinformationen,
zum Beispiel:
Quelle
Ziel
Port
Protokoll
Merksatz:
Stateless Firewall kennt keinen Verbindungszustand.
---
**Firewall-Zonen**
Firewall-Zonen teilen Netzbereiche nach Schutzbedarf.
Beispiele:
Internet
DMZ
internes Netz
Servernetz
Clientnetz
Gastnetz
Managementnetz
Merksatz:
Zonen helfen,
Sicherheitsregeln strukturiert aufzubauen.
---
**DMZ**
DMZ steht für:
Demilitarized Zone
Eine DMZ ist ein getrenntes Netz für öffentlich erreichbare Dienste.
Beispiele:
Webserver
Reverse Proxy
Mail-Gateway
VPN-Gateway
Ziel:
interne Netze schützen,
wenn ein öffentlich erreichbarer Dienst kompromittiert wird.
Merksatz:
DMZ trennt öffentliche Dienste vom internen Netz.
---
**ACL**
ACL steht für:
Access Control List
Eine ACL ist eine Liste von Regeln,
die Zugriff erlauben oder verweigern.
Einsatz:
Router
Switches
Firewalls
Betriebssysteme
Anwendungen
Merksatz:
ACL = Regelbasierte Zugriffskontrolle.
---
**VLAN und Firewall zusammendenken**
VLANs trennen Netzbereiche.
Firewalls regeln,
welcher Verkehr zwischen diesen Bereichen erlaubt ist.
Beispiel:
| Quelle | Ziel | Erlaubt? | Grund |
|---|---|---|---|
| Client-VLAN | Internet | ja | normaler Zugriff |
| Gast-VLAN | internes Servernetz | nein | Schutz interner Daten |
| Admin-VLAN | Management-VLAN | ja | Administration |
| Server-VLAN | Datenbank-VLAN | nur benötigter Port | Least Privilege |
Merksatz:
VLAN ohne Regeln ist nur Trennung.
Firewall macht daraus kontrollierte Sicherheit.
---
**Typisches Fehlerbild: falsches VLAN**
Symptome:
Client bekommt keine passende IP-Adresse.
Client erreicht lokale Systeme nicht.
DHCP funktioniert nicht.
Gerät ist im falschen Netz.
nur ein Switchport betroffen.
Prüfen:
Access-Port-VLAN
Trunk erlaubt VLAN?
VLAN existiert?
DHCP-Scope passt?
Switchport aktiv?
Dokumentation korrekt?
Merksatz:
Falsches VLAN führt oft zu falscher oder fehlender IP-Konfiguration.
---
**Typisches Fehlerbild: Trunk falsch konfiguriert**
Symptome:
mehrere VLANs funktionieren nicht
ein bestimmtes VLAN fehlt auf zweitem Switch
Access Points liefern falsche Netze
Hypervisor-VLANs nicht erreichbar
Prüfen:
Trunk-Port aktiv?
VLANs erlaubt?
Tagging korrekt?
Native VLAN gleich?
Gegenstelle passend konfiguriert?
Merksatz:
Trunk-Probleme betreffen oft mehrere VLANs.
---
**Typisches Fehlerbild: Routing fehlt**
Symptome:
Geräte im gleichen VLAN erreichen sich.
Geräte in anderen VLANs nicht.
Gateway erreichbar,
aber Zielnetz nicht.
Prüfen:
Routing-Tabelle
Gateway
Layer-3-Switch oder Router
Inter-VLAN-Routing
Firewall-Regeln
Rückroute
Merksatz:
Gleiches VLAN geht,
anderes Netz nicht:
Routing und Firewall prüfen.
---
**Typisches Fehlerbild: Firewall blockiert**
Symptome:
Zielhost erreichbar,
aber bestimmter Dienst nicht.
Porttest schlägt fehl.
Firewall-Log zeigt Drop oder Deny.
nach Regeländerung funktioniert Dienst nicht mehr.
Prüfen:
Quelle
Ziel
Port
Protokoll
Richtung
Zone
NAT
Regelreihenfolge
Logs
Merksatz:
Host erreichbar,
Dienst nicht:
Port,
Dienst
und Firewall prüfen.
---
**Typisches Fehlerbild: Rückroute fehlt**
Bei Kommunikation zwischen Netzen muss nicht nur der Hinweg funktionieren,
sondern auch der Rückweg.
Symptom:
Anfrage geht raus,
Antwort kommt nicht zurück.
Ursachen:
Rückroute fehlt
falsches Gateway
asymmetrisches Routing
Firewall blockiert Rückverkehr
NAT falsch
Merksatz:
Netzwerkkommunikation braucht Hinweg und Rückweg.
---
**STP kurz erklärt**
STP steht für:
Spanning Tree Protocol
Aufgabe:
Schleifen auf Schicht 2 verhindern.
Warum wichtig?
Layer-2-Schleifen können Broadcast-Stürme verursachen.
Merksatz:
STP verhindert Switch-Schleifen.
---
**Broadcast-Sturm**
Ein Broadcast-Sturm entsteht,
wenn Broadcasts durch Schleifen immer wieder weitergeleitet werden.
Folgen:
Netz wird langsam
Switches stark belastet
Clients verlieren Verbindung
Dienste brechen ab
Merksatz:
Layer-2-Schleifen können das Netz lahmlegen.
---
**Port Security**
Port Security begrenzt,
welche oder wie viele MAC-Adressen an einem Switchport erlaubt sind.
Ziel:
unautorisierte Geräte erschweren
einfache Angriffe reduzieren
Portmissbrauch begrenzen
Merksatz:
Port Security kontrolliert MAC-Adressen am Switchport.
---
**802.1X**
802.1X ist portbasierte Netzwerkzugangskontrolle.
Prinzip:
Gerät oder Benutzer muss sich authentifizieren,
bevor Netzwerkzugriff erlaubt wird.
Typisch mit:
RADIUS
Zertifikat
Benutzerkonto
Merksatz:
802.1X prüft Zugriff vor Netzzugang.
---
**Switching, Routing und Firewall unterscheiden**
| Begriff | Aufgabe | Typische Entscheidung |
|---|---|---|
| Switching | Frames im LAN weiterleiten | Welche MAC an welchem Port? |
| Routing | Pakete zwischen Netzen weiterleiten | Welcher nächste Hop? |
| Firewall | Verkehr filtern | Erlauben oder blockieren? |
Merksatz:
Switch leitet lokal.
Router leitet zwischen Netzen.
Firewall entscheidet über Erlaubnis.
---
**Typische Prüfungsfallen**
VLAN und Subnetz gleichsetzen.
Access-Port und Trunk-Port verwechseln.
VLAN ohne Routing als netzübergreifende Verbindung verstehen.
Firewall und Router gleichsetzen.
Routing vergessen,
wenn VLANs miteinander sprechen sollen.
Firewall-Regeln ohne Richtung betrachten.
Rückroute vergessen.
Gateway außerhalb des Subnetzes eintragen.
Any-to-Any als unkritisch ansehen.
VLAN als vollständige Sicherheitsmaßnahme betrachten.
Switch nur als „Verteiler“ ohne MAC-Lernen beschreiben.
Merksatz:
Viele Fehler entstehen,
weil Trennung,
Weiterleitung
und Filterung vermischt werden.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was macht ein Switch?
- Was ist eine MAC-Adresstabelle?
- Was bedeutet Flooding?
- Was ist ein VLAN?
- Warum setzt man VLANs ein?
- Was ist eine Broadcast-Domäne?
- Was ist der Unterschied zwischen Access-Port und Trunk-Port?
- Was bedeutet 802.1Q?
- Was ist Inter-VLAN-Routing?
- Was macht ein Router?
- Was ist eine Standardroute?
- Was bedeutet:
spezifischste Route gewinnt?
- Was macht eine Firewall?
- Was ist Default Deny?
- Warum ist Any-to-Any kritisch?
- Was ist eine DMZ?
- Was ist STP?
- Warum kann eine Rückroute wichtig sein?
---
**IHK-sichere Kurzformulierung**
Ein Switch arbeitet hauptsächlich auf OSI-Schicht 2 und leitet Frames anhand von MAC-Adressen weiter. VLANs trennen ein physisches Netzwerk logisch in mehrere Broadcast-Domänen. Access-Ports gehören meist zu einem VLAN, Trunk-Ports transportieren mehrere VLANs mit VLAN-Tagging nach IEEE 802.1Q. Damit Geräte aus unterschiedlichen VLANs kommunizieren können, ist Inter-VLAN-Routing über Router, Layer-3-Switch oder Firewall nötig. Routing verbindet IP-Netze anhand von Routing-Tabellen. Eine Firewall filtert Verkehr anhand von Regeln wie Quelle, Ziel, Port, Protokoll und Aktion. VLANs trennen Netze, Firewalls kontrollieren den erlaubten Verkehr zwischen ihnen.
---
**Merksätze**
Switches arbeiten mit MAC-Adressen.
Switch lernt aus Quell-MAC-Adressen.
Unbekannte Ziel-MAC führt zu Flooding.
Broadcast erreicht alle Geräte im gleichen VLAN.
VLAN trennt logisch auf Schicht 2.
VLANs bilden eigene Broadcast-Domänen.
Access-Port = ein VLAN.
Trunk-Port = mehrere VLANs.
802.1Q markiert VLAN-Frames.
Access meist untagged.
Trunk meist tagged.
Managementzugänge gehören nicht ins Clientnetz.
Gast-VLAN vom internen Netz trennen.
VLAN ist keine vollständige Firewall.
Inter-VLAN-Routing verbindet VLANs gezielt.
Routing verbindet IP-Netze.
Standardroute ist 0.0.0.0/0.
Spezifischste Route gewinnt.
Gateway führt aus dem eigenen Netz.
Firewall filtert Verkehr.
Default Deny ist sicherer.
Any-to-Any ist kritisch.
Stateful Firewall kennt Verbindungen.
Stateless Firewall prüft Pakete einzeln.
DMZ trennt öffentliche Dienste.
ACL ist eine Regelliste für Zugriff.
Rückroute nicht vergessen.
STP verhindert Layer-2-Schleifen.
Broadcast-Sturm kann ein Netz lahmlegen.
Port Security kontrolliert MAC-Adressen.
802.1X prüft Netzzugang.
Switch leitet lokal.
Router leitet zwischen Netzen.
Firewall entscheidet,
ob Verkehr erlaubt ist.
# 19.8 Sicherheitsbegriffe und Angriffe Spickzettel
Dieser Spickzettel fasst wichtige Begriffe der IT-Sicherheit und typische Angriffe kompakt zusammen.
Er ist besonders wichtig für:
- Prüfungsaufgaben zur Informationssicherheit
- Angriffsszenarien
- Schutzmaßnahmen
- Risikoanalyse
- Sicherheitskonzepte
- Fehlersuche bei Sicherheitsvorfällen
Merksatz:
Sicherheit bedeutet:
Risiken erkennen,
Schutzziele verstehen
und passende Maßnahmen auswählen.
---
**Grundidee der Informationssicherheit**
Informationssicherheit schützt Informationen und IT-Systeme vor:
unberechtigtem Zugriff
Manipulation
Ausfall
Missbrauch
Datenverlust
Täuschung
Sabotage
Merksatz:
Informationssicherheit schützt Daten,
Systeme
Prozesse
und Zugriffe.
---
**Die drei wichtigsten Schutzziele**
Die wichtigsten Schutzziele werden oft als CIA-Triade bezeichnet.
| Schutzziel | Bedeutung | Beispielverletzung |
|---|---|---|
| Vertraulichkeit | Schutz vor unberechtigtem Lesen | Kundendaten werden gestohlen |
| Integrität | Schutz vor unbemerkter Veränderung | Konfiguration wird manipuliert |
| Verfügbarkeit | Systeme und Daten sind nutzbar | Server ist durch DDoS nicht erreichbar |
Merksatz:
CIA =
Confidentiality,
Integrity,
Availability.
Auf Deutsch:
Vertraulichkeit,
Integrität,
Verfügbarkeit.
---
**Vertraulichkeit**
Vertraulichkeit bedeutet:
Informationen dürfen nur von berechtigten Personen,
Systemen
oder Prozessen gelesen werden.
Beispiele für Verletzungen:
Datenabfluss
unberechtigter Zugriff
mitgelesene Passwörter
verlorener Laptop ohne Verschlüsselung
falsch freigegebener Cloud-Ordner
Schutzmaßnahmen:
Verschlüsselung
Rechtekonzept
MFA
Zugriffskontrolle
DLP
sichere Freigaben
Merksatz:
Vertraulichkeit schützt vor unberechtigtem Mitlesen.
---
**Integrität**
Integrität bedeutet:
Daten dürfen nicht unbemerkt verändert werden.
Beispiele für Verletzungen:
manipulierte Konfigurationsdatei
veränderte Überweisung
geänderte Logdatei
manipuliertes Softwarepaket
beschädigte Datenbank
Schutzmaßnahmen:
Hashwerte
digitale Signaturen
Rechtebegrenzung
Versionskontrolle
Logging
Vier-Augen-Prinzip
Merksatz:
Integrität schützt vor unbemerkter Veränderung.
---
**Verfügbarkeit**
Verfügbarkeit bedeutet:
Systeme,
Dienste
und Daten stehen bei Bedarf zur Verfügung.
Beispiele für Verletzungen:
Serverausfall
DDoS-Angriff
Ransomware
Stromausfall
defekte Festplatte
Netzwerkstörung
Schutzmaßnahmen:
Redundanz
Backup
Monitoring
Patchmanagement
DDoS-Schutz
Notfallplan
Merksatz:
Verfügbarkeit schützt die Nutzbarkeit.
---
**Weitere Schutzziele**
| Schutzziel | Bedeutung |
|---|---|
| Authentizität | Echtheit einer Identität oder Nachricht |
| Nichtabstreitbarkeit | Handlung kann später nicht glaubhaft bestritten werden |
| Nachvollziehbarkeit | Ereignisse können geprüft und rekonstruiert werden |
| Zurechenbarkeit | Aktionen können einer Identität zugeordnet werden |
Merksatz:
Authentizität fragt:
Ist es echt?
Nichtabstreitbarkeit fragt:
Kann die Handlung nachgewiesen werden?
---
**Authentizität**
Authentizität bedeutet:
Echtheit einer Identität,
Nachricht
oder Quelle.
Beispiele:
Ist der Server wirklich der richtige Server?
Ist die E-Mail wirklich vom angegebenen Absender?
Ist der Benutzer wirklich die angemeldete Person?
Schutzmaßnahmen:
Zertifikate
digitale Signaturen
MFA
sichere Authentifizierung
DNSSEC je nach Einsatz
Merksatz:
Authentizität schützt vor Täuschung über Identität oder Herkunft.
---
**Nichtabstreitbarkeit**
Nichtabstreitbarkeit bedeutet:
Eine Handlung kann später nicht glaubhaft abgestritten werden.
Beispiele:
digitale Signatur
revisionssichere Logs
protokollierte Freigaben
signierte Dokumente
Merksatz:
Nichtabstreitbarkeit macht Handlungen nachweisbar.
---
**Schwachstelle, Bedrohung und Risiko**
| Begriff | Bedeutung | Beispiel |
|---|---|---|
| Schwachstelle | ausnutzbare Lücke | ungepatchter Server |
| Bedrohung | mögliches schädliches Ereignis | Angreifer nutzt Lücke aus |
| Risiko | Wahrscheinlichkeit und Auswirkung | Datenverlust durch Angriff |
| Maßnahme | reduziert Risiko | Patch installieren |
Merksatz:
Schwachstelle ist die Lücke.
Bedrohung ist das mögliche Ereignis.
Risiko ist die bewertete Gefahr.
---
**Angriff**
Ein Angriff ist der Versuch,
eine Schwachstelle auszunutzen
oder ein Schutzziel zu verletzen.
Beispiele:
Passwortangriff
Malware-Infektion
Phishing
DDoS
SQL Injection
Man-in-the-Middle
Merksatz:
Angriff = aktiver Versuch,
Schaden oder unberechtigten Zugriff zu erreichen.
---
**Malware**
Malware bedeutet:
Schadsoftware
Beispiele:
Virus
Wurm
Trojaner
Ransomware
Spyware
Keylogger
Rootkit
Botnet-Client
Merksatz:
Malware ist der Oberbegriff für Schadsoftware.
---
**Virus**
Ein Virus hängt sich an Dateien oder Programme an
und verbreitet sich,
wenn diese ausgeführt oder weitergegeben werden.
Merksatz:
Virus braucht meist eine Wirtsdatei oder Aktion zur Verbreitung.
---
**Wurm**
Ein Wurm verbreitet sich selbstständig über Netzwerke,
ohne zwingend eine Wirtsdatei zu benötigen.
Risiko:
schnelle Ausbreitung
Netzlast
Masseninfektion
Merksatz:
Wurm verbreitet sich selbstständig.
---
**Trojaner**
Ein Trojaner tarnt sich als nützliches oder harmloses Programm,
enthält aber schädliche Funktionen.
Merksatz:
Trojaner täuscht Nutzen vor.
---
**Ransomware**
Ransomware verschlüsselt oder sperrt Daten
und fordert häufig Lösegeld.
Betroffene Schutzziele:
Verfügbarkeit
bei Datenabfluss zusätzlich:
Vertraulichkeit
Schutzmaßnahmen:
Offline-Backup
Immutable Backup
Patchmanagement
EDR
Segmentierung
Least Privilege
Restore-Test
Merksatz:
Ransomware betrifft vor allem Verfügbarkeit,
bei Datenabfluss auch Vertraulichkeit.
---
**Spyware und Keylogger**
Spyware:
spioniert Daten aus
Keylogger:
zeichnet Tastatureingaben auf
Ziel:
Passwörter
Zugangsdaten
vertrauliche Informationen
Merksatz:
Spyware und Keylogger gefährden besonders Vertraulichkeit.
---
**Rootkit**
Ein Rootkit versteckt Schadsoftware oder Angreiferzugriff tief im System.
Ziel:
Erkennung erschweren
dauerhaften Zugriff sichern
Spuren verbergen
Merksatz:
Rootkit versteckt Kompromittierung.
---
**Botnet**
Ein Botnet besteht aus vielen kompromittierten Geräten,
die zentral gesteuert werden.
Nutzung:
DDoS
Spam
Credential Stuffing
Malware-Verteilung
Kryptomining
Merksatz:
Botnet = viele fremdgesteuerte kompromittierte Geräte.
---
**Phishing**
Phishing ist Täuschung,
um vertrauliche Daten zu erhalten.
Typische Ziele:
Passwörter
MFA-Codes
Bankdaten
Zugangsdaten
interne Informationen
Kanäle:
E-Mail
SMS
Messenger
Telefon
QR-Code
gefälschte Webseiten
Merksatz:
Phishing täuscht Benutzer zur Preisgabe von Daten.
---
**Spear Phishing**
Spear Phishing ist gezieltes Phishing gegen bestimmte Personen oder Organisationen.
Merkmale:
persönlicher Bezug
glaubwürdiger Absender
Bezug auf echte Projekte
gezielte Vorbereitung
Merksatz:
Spear Phishing ist gezielter und oft glaubwürdiger.
---
**Whaling**
Whaling ist Phishing gegen besonders wichtige Personen.
Beispiele:
Geschäftsführung
Abteilungsleitung
Administratoren
Personen mit Zahlungsfreigaben
Merksatz:
Whaling zielt auf große oder besonders wertvolle Ziele.
---
**Social Engineering**
Social Engineering nutzt menschliches Verhalten,
Vertrauen
oder Druck aus.
Beispiele:
falscher IT-Support
dringender Anruf vom angeblichen Chef
gefälschter Lieferant
Besucher ohne Berechtigung
manipulierte E-Mail
Merksatz:
Social Engineering greift Menschen an,
nicht nur Technik.
---
**CEO-Fraud**
CEO-Fraud ist ein Betrug,
bei dem sich Angreifer als Geschäftsführung oder Vorgesetzte ausgeben.
Ziel:
Zahlung auslösen
vertrauliche Daten erhalten
schnelle Entscheidung erzwingen
Merksatz:
CEO-Fraud nutzt Autorität und Zeitdruck.
---
**Brute Force**
Brute Force bedeutet:
systematisches Ausprobieren vieler Passwörter.
Schutzmaßnahmen:
starke Passwörter
Account Lockout
Rate Limiting
MFA
Monitoring
Passwortmanager
Merksatz:
Brute Force probiert viele Möglichkeiten aus.
---
**Password Spraying**
Password Spraying bedeutet:
ein häufiges Passwort wird gegen viele Konten getestet.
Beispiel:
Winter2026!
gegen viele Benutzerkonten.
Ziel:
Kontosperren vermeiden,
weil pro Konto nur wenige Versuche stattfinden.
Merksatz:
Password Spraying:
ein Passwort,
viele Konten.
---
**Credential Stuffing**
Credential Stuffing nutzt bereits geleakte Zugangsdaten.
Prinzip:
Benutzer verwenden Passwörter oft mehrfach.
Angreifer testen:
bekannte E-Mail-Passwort-Kombinationen
bei anderen Diensten.
Schutzmaßnahmen:
MFA
Passwortmanager
einzigartige Passwörter
Leak-Prüfung
Monitoring
Merksatz:
Credential Stuffing nutzt wiederverwendete Passwörter.
---
**DoS**
DoS steht für:
Denial of Service
Ziel:
Dienst überlasten
oder nicht mehr verfügbar machen
Betroffenes Schutzziel:
Verfügbarkeit
Merksatz:
DoS greift Verfügbarkeit an.
---
**DDoS**
DDoS steht für:
Distributed Denial of Service
Unterschied zu DoS:
Angriff kommt verteilt von vielen Systemen.
Häufig aus:
Botnetzen
Schutzmaßnahmen:
DDoS-Schutz
CDN
Rate Limiting
Filterung
Skalierung
Provider-Schutz
Merksatz:
DDoS = verteilter Angriff auf Verfügbarkeit.
---
**Man-in-the-Middle**
Man-in-the-Middle wird oft abgekürzt:
MitM
Dabei sitzt der Angreifer zwischen zwei Kommunikationspartnern.
Ziele:
mitlesen
verändern
umleiten
Sitzung übernehmen
Schutzmaßnahmen:
TLS
Zertifikatsprüfung
VPN
HSTS
sichere WLANs
ARP-Schutz
Merksatz:
MitM gefährdet Vertraulichkeit und Integrität.
---
**Spoofing**
Spoofing bedeutet:
Identität,
Adresse
Absender
oder Herkunft wird vorgetäuscht.
Beispiele:
IP-Spoofing
MAC-Spoofing
DNS-Spoofing
E-Mail-Spoofing
ARP-Spoofing
Merksatz:
Spoofing täuscht Herkunft oder Identität vor.
---
**ARP-Spoofing**
ARP-Spoofing manipuliert ARP-Zuordnungen im lokalen Netz.
Ziel:
Datenverkehr umleiten
Man-in-the-Middle ermöglichen
Kommunikation stören
Schutzmaßnahmen:
Dynamic ARP Inspection
Netzwerksegmentierung
Switch-Sicherheitsfunktionen
Monitoring
Verschlüsselung höherer Schichten
Merksatz:
ARP-Spoofing betrifft lokale IPv4-Kommunikation.
---
**DNS-Spoofing**
DNS-Spoofing liefert falsche DNS-Antworten.
Ziel:
Benutzer auf falsche Server umleiten
Risiken:
Phishing
Malware
Credential Theft
Man-in-the-Middle
Schutzmaßnahmen:
DNSSEC je nach Einsatz
vertrauenswürdige DNS-Server
TLS-Zertifikatsprüfung
Monitoring
Merksatz:
DNS-Spoofing manipuliert Namensauflösung.
---
**SQL Injection**
SQL Injection bedeutet:
Angreifer schleust SQL-Code in Eingaben ein.
Ziel:
Daten auslesen
Daten verändern
Anmeldung umgehen
Daten löschen
Schutzmaßnahmen:
Prepared Statements
Parametrisierung
Eingabevalidierung
Rechtebegrenzung der Datenbankkonten
Web Application Firewall
sichere Fehlerausgaben
Merksatz:
SQL Injection betrifft unsichere Datenbankabfragen.
---
**XSS**
XSS steht für:
Cross-Site Scripting
Dabei wird schädlicher Skriptcode in Webseiten eingeschleust,
der im Browser anderer Benutzer ausgeführt wird.
Ziele:
Session stehlen
Benutzeraktionen manipulieren
Inhalte verändern
Phishing innerhalb einer Webseite
Schutzmaßnahmen:
Output Encoding
Eingabevalidierung
Content Security Policy
HttpOnly-Cookies
sichere Frameworks
Merksatz:
XSS greift Benutzer im Browser an.
---
**CSRF**
CSRF steht für:
Cross-Site Request Forgery
Dabei wird eine gültige Sitzung des Benutzers missbraucht,
um ungewollte Aktionen auszuführen.
Beispiel:
Benutzer ist angemeldet.
Angreifer bringt ihn dazu,
eine Aktion im Hintergrund auszulösen.
Schutzmaßnahmen:
CSRF-Token
SameSite-Cookies
erneute Bestätigung kritischer Aktionen
Origin-Prüfung
Merksatz:
CSRF missbraucht eine bestehende Sitzung.
---
**Zero-Day**
Ein Zero-Day ist eine Schwachstelle,
für die es noch keinen bekannten Patch gibt
oder die gerade erst bekannt wurde.
Risiko:
hohe Gefahr,
weil Schutzmaßnahmen noch nicht vollständig verfügbar sind.
Merksatz:
Zero-Day = Schwachstelle ohne fertige Standardlösung.
---
**Supply-Chain-Angriff**
Ein Supply-Chain-Angriff zielt auf Lieferkette,
Softwareabhängigkeiten
oder Dienstleister.
Beispiele:
kompromittiertes Update
manipuliertes Paket
unsicherer Dienstleisterzugang
kompromittierte Bibliothek
Schutzmaßnahmen:
Signaturprüfung
SBOM
Dependency-Scanning
Lieferantenprüfung
Least Privilege für Dienstleister
Monitoring
Merksatz:
Supply-Chain-Angriff kommt über Abhängigkeiten.
---
**Insider Threat**
Insider Threat bedeutet:
Gefahr durch Personen innerhalb der Organisation
oder mit berechtigtem Zugriff.
Beispiele:
absichtlicher Datenabfluss
fahrlässige Fehlkonfiguration
Missbrauch von Adminrechten
unbemerkter Zugriff nach Rollenwechsel
Schutzmaßnahmen:
Least Privilege
Rechteprüfung
Vier-Augen-Prinzip
Logging
Trennung von Aufgaben
Offboarding
Merksatz:
Insider haben bereits Zugriff,
deshalb sind Rechte und Logs wichtig.
---
**Technische Schutzmaßnahmen**
Beispiele:
Firewall
IDS
IPS
EDR
Antivirus
Verschlüsselung
MFA
Backup
Netzwerksegmentierung
Patchmanagement
Hardening
SIEM
Merksatz:
Technische Maßnahmen wirken direkt auf Systeme und Daten.
---
**Organisatorische Schutzmaßnahmen**
Beispiele:
Sicherheitsrichtlinien
Berechtigungskonzept
Notfallplan
Change Management
Vier-Augen-Prinzip
Schulungskonzept
Incident-Response-Prozess
Rollen und Verantwortlichkeiten
Merksatz:
Organisatorische Maßnahmen regeln Abläufe und Verantwortung.
---
**Personelle Schutzmaßnahmen**
Beispiele:
Schulungen
Awareness
Rollenklärung
Verpflichtung auf Vertraulichkeit
Hintergrundprüfungen je nach Rolle
Sensibilisierung für Phishing
Merksatz:
Personelle Maßnahmen betreffen Menschen und Verhalten.
---
**Physische Schutzmaßnahmen**
Beispiele:
Zutrittskontrolle
Serverraum abschließen
Brandmeldeanlage
USV
Klimatisierung
Diebstahlschutz
Videoüberwachung je nach Rechtslage
Merksatz:
Physische Sicherheit schützt Räume,
Geräte
und Infrastruktur.
---
**Defense in Depth**
Defense in Depth bedeutet:
Sicherheit durch mehrere Schutzschichten.
Beispiele:
Firewall
Segmentierung
MFA
EDR
Logging
Backup
Schulung
Patchmanagement
Merksatz:
Nicht eine Maßnahme allein,
sondern mehrere Schichten schützen besser.
---
**Least Privilege**
Least Privilege bedeutet:
Benutzer,
Dienste
und Prozesse erhalten nur die Rechte,
die sie wirklich benötigen.
Ziel:
Schaden bei Fehlern oder Angriffen begrenzen.
Merksatz:
So wenig Rechte wie möglich,
so viele wie nötig.
---
**Zero Trust**
Zero Trust bedeutet:
keinem Zugriff automatisch vertrauen.
Grundidee:
Identität prüfen
Gerät prüfen
Kontext prüfen
Zugriff begrenzen
kontinuierlich überwachen
Merksatz:
Zero Trust heißt:
Vertrauen wird geprüft,
nicht vorausgesetzt.
---
**MFA**
MFA steht für:
Multi-Faktor-Authentifizierung
Dabei werden mehrere Faktoren kombiniert.
Faktoren:
Wissen:
Passwort
Besitz:
Token,
Smartphone,
Smartcard
Sein:
biometrisches Merkmal
Merksatz:
MFA sorgt dafür,
dass ein Passwort allein nicht reicht.
---
**IDS und IPS**
| System | Bedeutung | Aufgabe |
|---|---|---|
| IDS | Intrusion Detection System | erkennt und meldet Angriffe |
| IPS | Intrusion Prevention System | erkennt und blockiert Angriffe |
Merksatz:
IDS meldet.
IPS blockiert zusätzlich.
---
**EDR**
EDR steht für:
Endpoint Detection and Response
Aufgabe:
Endgeräte überwachen
verdächtiges Verhalten erkennen
Reaktion ermöglichen
Angriffe analysieren
Merksatz:
EDR schützt und überwacht Endgeräte.
---
**SIEM**
SIEM steht für:
Security Information and Event Management
Aufgabe:
Logs sammeln
Sicherheitsereignisse korrelieren
Alarme erzeugen
Vorfälle analysieren
Nachvollziehbarkeit verbessern
Merksatz:
SIEM verbindet Sicherheitsereignisse aus vielen Quellen.
---
**Patchmanagement**
Patchmanagement sorgt dafür,
dass Sicherheitsupdates geplant,
getestet
und eingespielt werden.
Ziel:
bekannte Schwachstellen schließen
Merksatz:
Patchmanagement reduziert bekannte Risiken.
---
**Hardening**
Hardening bedeutet:
Systeme sicherer konfigurieren,
indem unnötige Funktionen entfernt oder eingeschränkt werden.
Beispiele:
unnötige Dienste deaktivieren
Standardpasswörter ändern
sichere Protokolle verwenden
unsichere Ports schließen
Rechte begrenzen
Logging aktivieren
Merksatz:
Hardening verringert die Angriffsfläche.
---
**Backup als Sicherheitsmaßnahme**
Backup schützt besonders gegen:
Datenverlust
Ransomware
Fehlkonfiguration
versehentliche Löschung
Hardwaredefekt
Wichtig:
Restore-Test
Offline-Backup
Immutable Backup
Zugriffsschutz
Verschlüsselung
Merksatz:
Backup ist Wiederherstellungsvorsorge.
---
**Angriffe und Schutzziele zuordnen**
| Angriff | Betroffenes Schutzziel |
|---|---|
| Datenabfluss | Vertraulichkeit |
| Manipulation | Integrität |
| DDoS | Verfügbarkeit |
| Ransomware | Verfügbarkeit, eventuell Vertraulichkeit |
| Man-in-the-Middle | Vertraulichkeit und Integrität |
| Phishing | Authentizität, Vertraulichkeit |
| Spoofing | Authentizität |
| Logmanipulation | Integrität und Nachvollziehbarkeit |
Merksatz:
Erst Schutzziel erkennen,
dann passende Maßnahme nennen.
---
**Risiko und Maßnahme zuordnen**
| Risiko | passende Maßnahme |
|---|---|
| gestohlenes Passwort | MFA |
| zu viele Rechte | Least Privilege |
| Malware | EDR, Patchmanagement |
| Ransomware | Backup, Segmentierung, Immutable Backup |
| DDoS | DDoS-Schutz, CDN, Rate Limiting |
| Datenabfluss | Verschlüsselung, DLP, Rechtekonzept |
| unsichere Freigaben | Rechteprüfung, Ablaufdatum, Logging |
| Fehlkonfiguration | Change Management, Vier-Augen-Prinzip |
| unklare Sicherheitsvorfälle | Logging, SIEM, Monitoring |
| Phishing | Awareness, Mailfilter, MFA |
Merksatz:
Maßnahme muss direkt zum Risiko passen.
---
**Typische Prüfungsfallen**
Vertraulichkeit,
Integrität
und Verfügbarkeit verwechseln.
Schwachstelle,
Bedrohung
und Risiko gleichsetzen.
Phishing nur als technisches Problem sehen.
Ransomware nur als Vertraulichkeitsproblem sehen.
DDoS nicht der Verfügbarkeit zuordnen.
IDS und IPS verwechseln.
MFA als Ersatz für Rechtekonzept verstehen.
Backup als Schutz vor Angriff statt Wiederherstellungsvorsorge beschreiben.
Zero Trust als einzelnes Produkt verstehen.
Hardening und Patchmanagement verwechseln.
Brute Force und Credential Stuffing verwechseln.
Merksatz:
Sicherheitsaufgaben prüfen oft saubere Begriffsabgrenzung.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was bedeutet Vertraulichkeit?
- Was bedeutet Integrität?
- Was bedeutet Verfügbarkeit?
- Was ist der Unterschied zwischen Schwachstelle,
Bedrohung
und Risiko?
- Was ist Malware?
- Was ist Ransomware?
- Was ist Phishing?
- Was ist Social Engineering?
- Was ist ein DDoS-Angriff?
- Was ist Man-in-the-Middle?
- Was ist Spoofing?
- Was ist SQL Injection?
- Was ist XSS?
- Was ist CSRF?
- Was ist MFA?
- Was ist Least Privilege?
- Was ist der Unterschied zwischen IDS und IPS?
- Was ist SIEM?
- Was ist Hardening?
- Warum ist Backup bei Ransomware wichtig?
---
**IHK-sichere Kurzformulierung**
Informationssicherheit schützt die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit. Vertraulichkeit schützt vor unberechtigtem Lesen, Integrität vor unbemerkter Veränderung und Verfügbarkeit vor Ausfall oder Nichtnutzbarkeit. Eine Schwachstelle ist eine ausnutzbare Lücke, eine Bedrohung ein mögliches schädliches Ereignis und ein Risiko die bewertete Kombination aus Eintrittswahrscheinlichkeit und Auswirkung. Typische Angriffe sind Malware, Ransomware, Phishing, Social Engineering, DDoS, Man-in-the-Middle, Spoofing, SQL Injection, XSS und CSRF. Passende Schutzmaßnahmen sind unter anderem MFA, Least Privilege, Patchmanagement, Hardening, Firewall, IDS, IPS, EDR, SIEM, Backup, Segmentierung und Schulung.
---
**Merksätze**
Sicherheit schützt Schutzziele.
CIA bedeutet Vertraulichkeit,
Integrität
und Verfügbarkeit.
Vertraulichkeit schützt vor Mitlesen.
Integrität schützt vor Manipulation.
Verfügbarkeit schützt Nutzbarkeit.
Authentizität schützt Echtheit.
Nichtabstreitbarkeit macht Handlungen nachweisbar.
Schwachstelle ist die Lücke.
Bedrohung ist das mögliche Ereignis.
Risiko ist die bewertete Gefahr.
Maßnahme reduziert Risiko.
Malware ist Schadsoftware.
Virus braucht meist eine Wirtsdatei.
Wurm verbreitet sich selbstständig.
Trojaner täuscht Nutzen vor.
Ransomware verschlüsselt oder sperrt Daten.
Phishing täuscht Benutzer.
Social Engineering greift Menschen an.
Brute Force probiert viele Passwörter.
Password Spraying:
ein Passwort,
viele Konten.
Credential Stuffing nutzt geleakte Zugangsdaten.
DoS greift Verfügbarkeit an.
DDoS ist verteilter DoS.
MitM sitzt zwischen Kommunikationspartnern.
Spoofing täuscht Identität oder Herkunft vor.
SQL Injection betrifft Datenbankabfragen.
XSS betrifft Browser anderer Benutzer.
CSRF missbraucht eine gültige Sitzung.
Zero-Day ist eine neue oder ungepatchte Schwachstelle.
Supply-Chain-Angriff kommt über Abhängigkeiten.
Insider Threat kommt von innen oder mit berechtigtem Zugriff.
MFA schützt gegen Passwortmissbrauch.
Least Privilege begrenzt Rechte.
IDS meldet.
IPS blockiert zusätzlich.
EDR schützt Endgeräte.
SIEM korreliert Sicherheitsereignisse.
Patchmanagement schließt bekannte Lücken.
Hardening verringert Angriffsfläche.
Backup ist Wiederherstellungsvorsorge.
Defense in Depth nutzt mehrere Schutzschichten.
Zero Trust prüft Vertrauen kontinuierlich.
Maßnahme muss zum Risiko passen.
# 19.9 Backup, Restore, RPO und RTO Spickzettel
Dieser Spickzettel fasst die wichtigsten Begriffe rund um Datensicherung,
Wiederherstellung
und Notfallplanung kompakt zusammen.
Er ist besonders wichtig für:
- Backup-Konzepte
- Restore-Aufgaben
- Ransomware-Schutz
- Notfallplanung
- Verfügbarkeitsanforderungen
- Prüfungsfragen zu RPO und RTO
Merksatz:
Backup ist die Sicherung.
Restore ist die Wiederherstellung.
---
**Grundübersicht**
| Begriff | Bedeutung |
|---|---|
| Backup | Sicherung von Daten, Systemen oder Konfigurationen |
| Restore | Wiederherstellung aus einer Sicherung |
| RPO | maximal akzeptabler Datenverlust |
| RTO | maximal akzeptable Wiederherstellungszeit |
| Retention | Aufbewahrungsregel für Backups |
| Restore-Test | Prüfung, ob Wiederherstellung funktioniert |
| 3-2-1-Regel | Grundregel für mehrere Backup-Kopien |
| Immutable Backup | unveränderliches Backup |
| Offline-Backup | nicht dauerhaft verbundenes Backup |
Merksatz:
Ein Backup ist nur dann wertvoll,
wenn der Restore funktioniert.
---
**Backup kurz erklärt**
Backup bedeutet:
Daten,
Systeme,
Anwendungen
oder Konfigurationen werden gesichert,
damit sie später wiederhergestellt werden können.
Typische Sicherungsobjekte:
Dateien
Datenbanken
virtuelle Maschinen
Server
Konfigurationen
Benutzerprofile
Cloud-Daten
Anwendungen
Systemeinstellungen
Merksatz:
Backup schützt nicht direkt vor Fehlern,
aber ermöglicht Wiederherstellung.
---
**Restore kurz erklärt**
Restore bedeutet:
Wiederherstellung von Daten,
Systemen
oder Konfigurationen aus einem Backup.
Beispiele:
gelöschte Datei wiederherstellen
Datenbank auf früheren Zustand zurücksetzen
Server nach Defekt wiederherstellen
Konfiguration nach Fehler zurückspielen
Merksatz:
Restore ist der eigentliche Beweis,
dass ein Backup brauchbar ist.
---
**Backup und Restore unterscheiden**
| Begriff | Frage | Ziel |
|---|---|---|
| Backup | Was wird gesichert? | Datenverlust vorbeugen |
| Restore | Wie wird wiederhergestellt? | Betrieb wiederherstellen |
Merksatz:
Backup ist Vorbereitung.
Restore ist Wiederherstellung im Ernstfall.
---
**Warum Restore-Tests wichtig sind**
Ein Restore-Test prüft,
ob ein Backup wirklich nutzbar ist.
Zu prüfen:
Daten vollständig?
Dateien lesbar?
Datenbank konsistent?
Anwendung startet?
Rechte korrekt?
Schlüssel vorhanden?
Wiederherstellungszeit akzeptabel?
Dokumentation korrekt?
Merksatz:
Backup ohne Restore-Test ist unsicher.
---
**Typische Backup-Arten**
| Backup-Art | Bedeutung | Vorteil | Nachteil |
|---|---|---|---|
| Vollbackup | sichert alle ausgewählten Daten | einfache Wiederherstellung | viel Speicher und Zeit |
| inkrementelles Backup | sichert Änderungen seit letztem Backup | schnell, wenig Speicher | Restore braucht Backup-Kette |
| differenzielles Backup | sichert Änderungen seit letztem Vollbackup | Restore einfacher als inkrementell | wächst bis zum nächsten Vollbackup |
| Snapshot | Momentaufnahme | schnelle Rückkehr möglich | ersetzt kein vollständiges Backup |
| Image-Backup | vollständiges Systemabbild | komplettes System wiederherstellbar | größerer Speicherbedarf |
| dateibasiertes Backup | ausgewählte Dateien und Ordner | gezielt und flexibel | kein komplettes Systemabbild |
Merksatz:
Backup-Art nach Wiederherstellungsziel auswählen.
---
**Vollbackup**
Ein Vollbackup sichert alle ausgewählten Daten vollständig.
Vorteile:
einfache Wiederherstellung
weniger Abhängigkeiten
vollständiger Sicherungsstand
Nachteile:
benötigt viel Speicherplatz
dauert länger
erzeugt mehr Last
Merksatz:
Vollbackup sichert alles,
braucht aber mehr Speicher und Zeit.
---
**Inkrementelles Backup**
Ein inkrementelles Backup sichert nur Änderungen seit dem letzten Backup.
Das letzte Backup kann sein:
Vollbackup
oder
inkrementelles Backup
Vorteile:
schnell
spart Speicherplatz
Nachteile:
Wiederherstellung braucht mehrere Sicherungen
Backup-Kette darf nicht beschädigt sein
Merksatz:
Inkrementell = Änderungen seit letztem Backup.
---
**Differenzielles Backup**
Ein differenzielles Backup sichert Änderungen seit dem letzten Vollbackup.
Vorteile:
Restore einfacher als bei langer inkrementeller Kette
weniger Speicher als tägliches Vollbackup
Nachteile:
wird bis zum nächsten Vollbackup immer größer
Merksatz:
Differenziell = Änderungen seit letztem Vollbackup.
---
**Snapshot**
Ein Snapshot ist eine Momentaufnahme eines Systems,
Datenträgers,
Dateisystems
oder einer virtuellen Maschine.
Typische Nutzung:
vor Updates
vor Konfigurationsänderungen
vor Tests
vor Softwareinstallationen
Wichtig:
Snapshot ist nicht automatisch ein vollwertiges Backup.
Merksatz:
Snapshot hilft bei schneller Rückkehr,
ersetzt aber kein Backup-Konzept.
---
**Warum Snapshot kein Backup ersetzt**
Snapshots liegen oft auf demselben System oder Speicher wie die Produktivdaten.
Risiken:
Speicherdefekt betrifft Snapshot ebenfalls
Ransomware kann Snapshot erreichen
Snapshot kann gelöscht werden
Snapshot-Kette kann beschädigt werden
Speicherplatz kann volllaufen
Standortausfall betrifft alles gemeinsam
Merksatz:
Backup muss getrennt,
geschützt
und wiederherstellbar sein.
---
**Image-Backup**
Ein Image-Backup sichert ein komplettes Systemabbild.
Enthalten sein können:
Betriebssystem
Anwendungen
Konfiguration
Dateien
Bootinformationen
Vorteil:
gesamtes System kann wiederhergestellt werden
Merksatz:
Image-Backup = komplettes Systemabbild.
---
**Dateibasiertes Backup**
Ein dateibasiertes Backup sichert ausgewählte Dateien oder Ordner.
Geeignet für:
Dokumente
Benutzerdateien
Projektdaten
Konfigurationsdateien
Exporte
einzelne Verzeichnisse
Merksatz:
Dateibasiertes Backup sichert gezielt ausgewählte Inhalte.
---
**Datenbank-Backup**
Datenbanken brauchen besondere Sicherungsverfahren.
Wichtig:
Konsistenz
laufende Transaktionen
Schreibzugriffe
Transaktionslogs
Zeitpunkt der Sicherung
Wiederherstellbarkeit
Merksatz:
Datenbanken nicht einfach blind als Datei kopieren.
---
**Konsistentes Backup**
Ein konsistentes Backup stellt sicher,
dass Daten in einem gültigen Zustand gesichert werden.
Beispiel:
Eine Datenbank darf nicht mitten in einer unvollständigen Transaktion unsauber kopiert werden.
Mögliche Verfahren:
Datenbankdump
Backup-Agent
Anwendungskonsistenter Snapshot
Transaktionslogs
Wartungsfenster
Merksatz:
Konsistenz ist besonders bei Datenbanken wichtig.
---
**Point-in-Time-Recovery**
Point-in-Time-Recovery bedeutet:
Wiederherstellung auf einen bestimmten Zeitpunkt.
Beispiel:
Datenbank auf Zustand von 10:15 Uhr zurücksetzen.
Nützlich bei:
versehentlichem Löschen
fehlerhaftem Import
beschädigten Daten
falscher Änderung
Merksatz:
Point-in-Time-Recovery stellt gezielt einen früheren Zeitpunkt wieder her.
---
**RPO**
RPO steht für:
Recovery Point Objective
Frage:
Wie viel Datenverlust ist maximal akzeptabel?
Beispiel:
RPO 1 Stunde
Bedeutung:
Es dürfen höchstens Daten von einer Stunde verloren gehen.
Merksatz:
RPO = maximal akzeptabler Datenverlust.
---
**RTO**
RTO steht für:
Recovery Time Objective
Frage:
Wie lange darf die Wiederherstellung dauern?
Beispiel:
RTO 4 Stunden
Bedeutung:
Der Dienst soll spätestens nach 4 Stunden wieder laufen.
Merksatz:
RTO = maximal akzeptable Wiederherstellungszeit.
---
**RPO und RTO vergleichen**
| Begriff | Frage | Beispiel |
|---|---|---|
| RPO | Wie viel Datenverlust ist erlaubt? | maximal 1 Stunde Datenverlust |
| RTO | Wie lange darf Wiederherstellung dauern? | System läuft nach spätestens 4 Stunden |
Merksatz:
RPO betrifft Datenverlust.
RTO betrifft Zeit bis Wiederherstellung.
---
**RPO und Backup-Frequenz**
Je kleiner das RPO,
desto häufiger muss gesichert werden.
Beispiel:
| RPO | mögliche Backup-Frequenz |
|---|---|
| 24 Stunden | tägliches Backup |
| 1 Stunde | stündliches Backup oder kontinuierliche Sicherung |
| wenige Minuten | Replikation plus Backup-Konzept oder spezielle Lösung |
Merksatz:
Backup-Frequenz muss zum RPO passen.
---
**RTO und Wiederherstellung**
Das RTO hängt ab von:
Backup-Größe
Restore-Geschwindigkeit
Netzwerkgeschwindigkeit
Speicherleistung
Systemkomplexität
Abhängigkeiten
Personal
Dokumentation
Tests
Merksatz:
RTO wird nicht nur durch Backup bestimmt,
sondern durch den gesamten Wiederherstellungsprozess.
---
**Retention**
Retention bedeutet:
Aufbewahrungsregel für Backups.
Beispiele:
tägliche Backups 14 Tage behalten
wöchentliche Backups 8 Wochen behalten
monatliche Backups 12 Monate behalten
Merksatz:
Retention regelt,
wie lange Backups behalten werden.
---
**Aufbewahrungszeit**
Die Aufbewahrungszeit hängt ab von:
gesetzlichen Vorgaben
internen Regeln
Speicherplatz
Datenschutz
Wiederherstellungsbedarf
Kosten
Risiko später entdeckter Fehler
Merksatz:
Backups müssen lange genug,
aber nicht unbegrenzt ohne Grund aufbewahrt werden.
---
**Großvater-Vater-Sohn-Prinzip**
Das Großvater-Vater-Sohn-Prinzip ist ein Rotationsschema.
Typisch:
Sohn:
tägliche Sicherung
Vater:
wöchentliche Sicherung
Großvater:
monatliche Sicherung
Merksatz:
Großvater-Vater-Sohn kombiniert tägliche,
wöchentliche
und monatliche Backups.
---
**3-2-1-Regel**
Die 3-2-1-Regel lautet:
3 Kopien der Daten
2 unterschiedliche Speicherarten
1 Kopie extern oder getrennt
Beispiel:
Produktivdaten
Backup auf NAS
zusätzliches Backup extern oder in Cloud
Merksatz:
3-2-1 reduziert das Risiko,
dass alle Kopien gleichzeitig verloren gehen.
---
**3-2-1-1-0-Regel**
Erweiterte Variante:
3 Kopien
2 unterschiedliche Medien
1 Kopie extern
1 Kopie offline oder immutable
0 Fehler bei Restore-Tests
Merksatz:
Die 0 steht für fehlerfrei getestete Wiederherstellung.
---
**Offline-Backup**
Ein Offline-Backup ist nicht dauerhaft mit dem Produktivsystem verbunden.
Beispiele:
getrennte Festplatte
Band
ausgelagertes Medium
abgeschottetes Backup-System
Vorteil:
besserer Schutz gegen Ransomware und versehentliche Löschung
Merksatz:
Offline-Backup ist nicht dauerhaft erreichbar.
---
**Immutable Backup**
Immutable bedeutet:
unveränderlich
Ein Immutable Backup kann für eine festgelegte Zeit nicht verändert oder gelöscht werden.
Schützt gegen:
Ransomware
Manipulation
versehentliche Löschung
kompromittierte Adminzugänge
Merksatz:
Immutable Backup schützt die Wiederherstellungsmöglichkeit.
---
**Backup-Verschlüsselung**
Backups sollten verschlüsselt werden,
besonders bei sensiblen Daten
oder externer Speicherung.
Wichtig:
Schlüssel sicher aufbewahren
Zugriff begrenzen
Wiederherstellung mit Schlüssel testen
Schlüsselverlust vermeiden
Merksatz:
Verschlüsseltes Backup ist nur nutzbar,
wenn der Schlüssel verfügbar ist.
---
**Backup-Zugriffsrechte**
Backups enthalten oft besonders viele Daten.
Deshalb müssen Zugriffe streng begrenzt werden.
Wichtig:
keine normalen Benutzerrechte auf Backup-Speicher
getrennte Adminrechte
MFA für Backup-Konsole
keine unnötigen Löschrechte
Dienstkonten rechtearm halten
Zugriff protokollieren
Merksatz:
Backups brauchen starken Zugriffsschutz.
---
**Backup und Ransomware**
Ransomware versucht häufig,
Backups zu löschen oder zu verschlüsseln.
Schutzmaßnahmen:
Offline-Backup
Immutable Backup
getrennte Zugangsdaten
getrenntes Backupnetz
MFA
Monitoring
Restore-Test
Rechtebegrenzung
Merksatz:
Backups müssen auch vor Angreifern geschützt werden.
---
**Backup-Monitoring**
Backup-Monitoring prüft,
ob Sicherungen erfolgreich laufen.
Zu überwachen:
letzter erfolgreicher Backup-Lauf
Fehlermeldungen
Datenmenge
Laufzeit
Speicherplatz
Aufbewahrung
Verschlüsselung
Restore-Test
ungewöhnliche Löschungen
Merksatz:
Ein fehlgeschlagenes Backup muss auffallen,
bevor ein Restore benötigt wird.
---
**Backup-Logs**
Backup-Logs zeigen,
was bei einer Sicherung passiert ist.
Zu prüfen:
Startzeit
Endzeit
Erfolg oder Fehler
gesicherte Datenmenge
übersprungene Dateien
Warnungen
Zielsystem
Speicherplatz
Berechtigungsfehler
Merksatz:
Backup-Logs regelmäßig prüfen.
---
**Redundanz**
Redundanz bedeutet:
wichtige Komponenten sind mehrfach vorhanden.
Beispiele:
zwei Netzteile
RAID
mehrere Server
mehrere Internetleitungen
Cluster
zweite Firewall
Ziel:
Ausfall vermeiden oder abfedern
Merksatz:
Redundanz erhöht Verfügbarkeit,
ersetzt aber kein Backup.
---
**Replikation**
Replikation bedeutet:
Daten werden auf ein anderes System kopiert,
oft nahezu aktuell.
Vorteile:
schnelle Umschaltung
aktuelle Kopie
höhere Verfügbarkeit
Risiko:
Fehler,
Löschung
oder Ransomware können mitrepliziert werden.
Merksatz:
Replikation ist kein Backup.
---
**Synchronisation**
Synchronisation bedeutet:
Daten werden zwischen Speicherorten abgeglichen.
Problem:
Löschung,
Fehler
oder Verschlüsselung können mitsynchronisiert werden.
Merksatz:
Synchronisation hält Daten gleich,
stellt aber nicht automatisch alte Stände wieder her.
---
**Backup, Redundanz, Replikation und Synchronisation vergleichen**
| Begriff | Ziel | Ersetzt Backup? |
|---|---|---|
| Backup | alte Zustände wiederherstellen | ja, ist Backup |
| Redundanz | Ausfall abfedern | nein |
| Replikation | aktuelle Kopie bereitstellen | nein |
| Synchronisation | Datenstände abgleichen | nein |
Merksatz:
Redundanz,
Replikation
und Synchronisation ersetzen kein Backup.
---
**Notfallhandbuch**
Ein Notfallhandbuch beschreibt,
was bei schweren Störungen zu tun ist.
Inhalte:
Ansprechpartner
Systeme
Prioritäten
Wiederherstellungsreihenfolge
Backup-Orte
Restore-Anleitungen
Zugangsdatenablage
Kommunikationswege
Eskalationswege
Merksatz:
Im Notfall darf nicht erst gesucht werden,
wer was weiß.
---
**Restore-Reihenfolge**
Bei Wiederherstellung ist die Reihenfolge wichtig.
Beispiel:
Netzwerk
Verzeichnisdienst
Speicher
Datenbank
Anwendung
Benutzerzugriff
Merksatz:
Restore braucht Reihenfolge,
weil Systeme voneinander abhängen.
---
**Business Continuity**
Business Continuity bedeutet:
Geschäftsprozesse sollen trotz Störung weiterlaufen
oder schnell wieder anlaufen.
Dazu gehören:
Notfallplanung
Ersatzprozesse
Kommunikation
Verantwortlichkeiten
Wiederanlauf
Tests
Merksatz:
Business Continuity betrachtet den Betrieb insgesamt.
---
**Disaster Recovery**
Disaster Recovery beschreibt:
Wiederherstellung der IT nach schweren Störungen.
Beispiele:
Ransomware
Brand
Rechenzentrumsausfall
Hardwaredefekt
Cloud-Ausfall
massiver Datenverlust
Merksatz:
Disaster Recovery ist IT-Wiederherstellung nach schwerem Vorfall.
---
**Failover**
Failover bedeutet:
Ein Dienst wird bei Ausfall auf ein Ersatzsystem umgeschaltet.
Möglich:
automatisch
oder
manuell
Beispiele:
zweite Firewall übernimmt
Datenbank-Replikat wird aktiv
anderer Server übernimmt Dienst
Merksatz:
Failover reduziert Ausfallzeit,
ersetzt aber kein Backup.
---
**Typische Fehlerbilder**
| Fehlerbild | Wahrscheinliche Ursache |
|---|---|
| Backup angeblich erfolgreich, Restore geht nicht | Restore nie getestet |
| Backupziel voll | Speicherplatz oder Retention falsch |
| Datenbank nach Restore beschädigt | kein konsistentes Datenbank-Backup |
| Ransomware verschlüsselt Backups mit | Backup online und beschreibbar |
| Backup nicht lesbar | Medium defekt oder Datei beschädigt |
| verschlüsseltes Backup nicht nutzbar | Schlüssel fehlt |
| Restore dauert zu lange | RTO nicht realistisch geprüft |
| zu viel Datenverlust | RPO nicht eingehalten |
| alte Datei fehlt | Retention zu kurz |
| Dienst startet nach Restore nicht | Abhängigkeiten vergessen |
Merksatz:
Backup-Probleme fallen oft erst beim Restore auf.
---
**Typische Prüfungsfallen**
Backup und Restore verwechseln.
Backup ohne Restore-Test als sicher ansehen.
Snapshot als vollständiges Backup bezeichnen.
Replikation als Backup bezeichnen.
Synchronisation als Backup bezeichnen.
Redundanz als Backup bezeichnen.
RPO und RTO verwechseln.
Retention mit RPO verwechseln.
Datenbankdateien ohne Konsistenz sichern.
Backup-Verschlüsselung ohne Schlüsselverwaltung planen.
Ransomware-Schutz für Backups vergessen.
Notfallhandbuch nicht berücksichtigen.
Merksatz:
In Prüfungen wird oft gefragt,
was kein Backup ersetzt.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist ein Backup?
- Was ist ein Restore?
- Warum ist ein Restore-Test wichtig?
- Was ist ein Vollbackup?
- Was ist ein inkrementelles Backup?
- Was ist ein differenzielles Backup?
- Was ist ein Snapshot?
- Warum ersetzt ein Snapshot kein Backup?
- Was bedeutet RPO?
- Was bedeutet RTO?
- Was ist Retention?
- Was bedeutet die 3-2-1-Regel?
- Was ist ein Immutable Backup?
- Warum ist ein Offline-Backup sinnvoll?
- Warum ist Replikation kein Backup?
- Warum ist Synchronisation kein Backup?
- Warum ersetzt Redundanz kein Backup?
- Was ist Disaster Recovery?
- Was ist Business Continuity?
- Warum müssen Backups gegen Ransomware geschützt werden?
---
**IHK-sichere Kurzformulierung**
Ein Backup ist eine Sicherung von Daten, Systemen oder Konfigurationen. Restore bezeichnet die Wiederherstellung aus dieser Sicherung. Ein Backup ist nur zuverlässig, wenn die Wiederherstellung regelmäßig getestet wird. Vollbackups sichern alle ausgewählten Daten, inkrementelle Backups sichern Änderungen seit dem letzten Backup und differenzielle Backups sichern Änderungen seit dem letzten Vollbackup. RPO beschreibt den maximal akzeptablen Datenverlust, RTO die maximal akzeptable Wiederherstellungszeit. Backups sollten nach geeigneten Regeln aufbewahrt, überwacht, geschützt, verschlüsselt und durch Offline- oder Immutable-Kopien gegen Ransomware abgesichert werden. Replikation, Synchronisation, Redundanz und Snapshots ersetzen kein vollständiges Backup-Konzept.
---
**Merksätze**
Backup = Sicherung.
Restore = Wiederherstellung.
Backup ohne Restore-Test ist unsicher.
Vollbackup sichert alles.
Inkrementell sichert seit letztem Backup.
Differenziell sichert seit letztem Vollbackup.
Snapshot ist Momentaufnahme.
Snapshot ersetzt kein vollständiges Backup.
Image-Backup sichert ein Systemabbild.
Datenbank-Backups müssen konsistent sein.
Point-in-Time-Recovery stellt einen Zeitpunkt wieder her.
RPO = Datenverlust.
RTO = Wiederherstellungszeit.
Retention = Aufbewahrungsregel.
Backup-Frequenz muss zum RPO passen.
Restore-Prozess muss zum RTO passen.
3-2-1 reduziert Gesamtrisiko.
3-2-1-1-0 ergänzt Offline oder Immutable und fehlerfreie Restore-Tests.
Offline-Backup ist nicht dauerhaft verbunden.
Immutable Backup ist unveränderlich.
Verschlüsseltes Backup braucht Schlüssel.
Backups brauchen starke Rechtebegrenzung.
Backups müssen vor Ransomware geschützt werden.
Backup-Monitoring ist Pflicht.
Backup-Logs regelmäßig prüfen.
Redundanz ist kein Backup.
Replikation ist kein Backup.
Synchronisation ist kein Backup.
Failover ist kein Backup.
Notfallhandbuch hilft im Ernstfall.
Restore braucht Reihenfolge.
Business Continuity betrachtet Geschäftsprozesse.
Disaster Recovery betrachtet IT-Wiederherstellung.
Im Notfall zählt nicht nur,
ob ein Backup existiert,
sondern ob es schnell und korrekt wiederhergestellt werden kann.
# 19.10. Admin-Befehle und Fehlersuche Spickzettel
Dieser Spickzettel fasst wichtige Befehle und Werkzeuge für Netzwerkadministration,
Systemprüfung
und Fehlersuche kompakt zusammen.
Er ist besonders wichtig für:
- IP-Konfiguration prüfen
- DNS prüfen
- Routing prüfen
- Ports prüfen
- Dienste prüfen
- Logs prüfen
- Erreichbarkeit testen
- Fehler systematisch eingrenzen
Merksatz:
Befehle liefern Fakten,
keine Vermutungen.
---
**Grundidee der Fehlersuche**
Bei Netzwerkproblemen immer systematisch prüfen.
Sinnvolle Reihenfolge:
1. physische Verbindung
2. IP-Konfiguration
3. Gateway
4. DNS
5. Routing
6. Firewall
7. Port
8. Dienst
9. Anwendung
10. Logs
Merksatz:
Erst Verbindung,
dann Adresse,
dann Dienst,
dann Anwendung.
---
**Windows- und Linux-Werkzeuge im Überblick**
| Aufgabe | Windows | Linux/macOS |
|---|---|---|
| IP-Konfiguration anzeigen | ipconfig | ip addr |
| detaillierte IP-Konfiguration | ipconfig /all | ip addr, ip link |
| Routing anzeigen | route print | ip route |
| DNS prüfen | nslookup | dig, nslookup |
| Erreichbarkeit prüfen | ping | ping |
| Weg zum Ziel prüfen | tracert | traceroute |
| Verbindungen anzeigen | netstat | ss, netstat |
| Ports prüfen | netstat, PowerShell | ss, netstat |
| Webdienst prüfen | PowerShell, Browser | curl |
| Dienste prüfen | services.msc, sc, PowerShell | systemctl |
| Logs prüfen | Ereignisanzeige | journalctl |
| Prozesse prüfen | Task-Manager, tasklist | ps, top |
| Speicherplatz prüfen | Explorer, PowerShell | df, du |
| Benutzer prüfen | whoami | whoami, id |
Merksatz:
Gleiche Aufgabe,
anderes Werkzeug je nach Betriebssystem.
---
**IP-Konfiguration prüfen**
Windows:
ipconfig
ipconfig /all
Linux/macOS:
ip addr
ip link
Wichtige Angaben:
IP-Adresse
Subnetzmaske oder Präfix
Standardgateway
DNS-Server
MAC-Adresse
DHCP aktiviert ja oder nein
Lease-Informationen
Interface-Status
Merksatz:
IP,
Maske,
Gateway
und DNS immer zusammen prüfen.
---
**ipconfig**
ipconfig zeigt unter Windows die IP-Konfiguration.
Wichtige Ausgaben:
IPv4-Adresse
Subnetzmaske
Standardgateway
Mit:
ipconfig /all
sieht man zusätzlich:
DNS-Server
DHCP-Status
MAC-Adresse
Lease-Zeiten
Adapterdetails
Merksatz:
ipconfig /all zeigt die wichtigen Details.
---
**ip addr**
ip addr zeigt unter Linux die IP-Adressen der Netzwerkschnittstellen.
Wichtige Punkte:
Interface-Name
IPv4-Adresse
IPv6-Adresse
Präfix
Status
MAC-Adresse
Beispiele für Interface-Namen:
eth0
ens18
enp0s3
wlan0
Merksatz:
ip addr ist unter Linux der Standard für IP-Adressen.
---
**ip link**
ip link zeigt den Zustand von Netzwerkschnittstellen.
Wichtige Angaben:
Interface aktiv oder inaktiv
MAC-Adresse
MTU
Link-Status
Typische Begriffe:
UP
DOWN
Merksatz:
ip link hilft,
den Interface-Status zu prüfen.
---
**Gateway prüfen**
Windows:
ipconfig
route print
Linux/macOS:
ip route
Wichtig:
Gateway muss im lokalen Subnetz erreichbar sein.
Typisches Fehlerbild:
lokale Geräte erreichbar,
Internet nicht erreichbar
Merksatz:
Lokal ja,
extern nein:
Gateway prüfen.
---
**Routing prüfen**
Windows:
route print
Linux/macOS:
ip route
Wichtige Angaben:
Zielnetz
Gateway oder Next Hop
Interface
Metrik
Standardroute
Standardroute IPv4:
0.0.0.0/0
oder unter Linux oft:
default
Merksatz:
Routing-Tabelle zeigt,
wohin Pakete gesendet werden.
---
**route print**
route print zeigt unter Windows die Routing-Tabelle.
Wichtig sind:
Netzwerkziel
Netzmaske
Gateway
Schnittstelle
Metrik
Typische Prüfung:
Gibt es eine Standardroute?
Ist das Gateway korrekt?
Gibt es eine spezifische Route zum Zielnetz?
Merksatz:
route print zeigt den Weg aus Sicht des Windows-Clients.
---
**ip route**
ip route zeigt unter Linux die Routing-Tabelle.
Typische Ausgabe enthält:
default via 192.168.1.1 dev eth0
Bedeutung:
Standardroute über Gateway 192.168.1.1 über Interface eth0
Merksatz:
default ist die Standardroute.
---
**ping**
ping prüft Erreichbarkeit mit ICMP.
Typische Nutzung:
Ziel-IP testen
Gateway testen
DNS-Namen testen
Wichtig:
ping prüft ICMP,
nicht automatisch den Dienst.
Beispiel:
ping funktioniert,
aber HTTPS kann trotzdem blockiert sein.
Merksatz:
ping ist ein Erreichbarkeitstest,
kein vollständiger Diensttest.
---
**ping richtig interpretieren**
| Ergebnis | Mögliche Bedeutung |
|---|---|
| Antwort kommt | Ziel antwortet auf ICMP |
| keine Antwort | Ziel offline, ICMP blockiert, Routingproblem, Firewall |
| hohe Zeit | Latenz, Last, lange Strecke |
| Paketverlust | Funkproblem, Überlastung, Leitungsproblem |
| Name wird nicht gefunden | DNS-Problem |
| IP geht, Name nicht | DNS prüfen |
Merksatz:
Kein ping heißt nicht automatisch,
dass das Ziel offline ist.
---
**DNS prüfen**
Windows:
nslookup
Linux/macOS:
dig
nslookup
Prüfen:
Wird der Name aufgelöst?
Welche IP wird geliefert?
Welcher DNS-Server antwortet?
Ist der Record korrekt?
Gibt es interne und externe Unterschiede?
Merksatz:
DNS gezielt mit nslookup oder dig prüfen.
---
**nslookup**
nslookup prüft Namensauflösung.
Nützlich für:
A-Record prüfen
AAAA-Record prüfen
DNS-Server testen
Fehler bei Namensauflösung erkennen
Typisches Fehlerbild:
IP-Adresse funktioniert,
Name funktioniert nicht
Wahrscheinlich:
DNS-Problem
Merksatz:
nslookup prüft DNS,
nicht den eigentlichen Dienst.
---
**dig**
dig zeigt DNS-Abfragen detailliert an.
Nützlich für:
genaue DNS-Antworten
Recordtypen
TTL
Antwortserver
Debugging
Vergleich verschiedener DNS-Server
Typische Recordtypen:
A
AAAA
MX
CNAME
TXT
NS
PTR
Merksatz:
dig ist besonders hilfreich für detaillierte DNS-Prüfung.
---
**tracert und traceroute**
Windows:
tracert
Linux/macOS:
traceroute
Aufgabe:
Weg zum Ziel über Router anzeigen
Nützlich für:
Routingprobleme eingrenzen
Hops sichtbar machen
Latenzen grob erkennen
Unterbrechungen lokalisieren
Merksatz:
traceroute zeigt den Weg,
aber nicht jeder Hop muss antworten.
---
**traceroute richtig interpretieren**
| Beobachtung | Mögliche Bedeutung |
|---|---|
| erster Hop fehlt | Gateway oder lokales Netz prüfen |
| Abbruch nach bestimmtem Hop | Firewall, Routing, Provider |
| einzelne Sternchen | Hop antwortet nicht, Weg kann trotzdem funktionieren |
| hohe Latenz ab bestimmtem Hop | Engstelle oder lange Strecke |
| Ziel antwortet nicht | Ziel blockiert oder nicht erreichbar |
Merksatz:
Sternchen bedeuten nicht automatisch Totalausfall.
---
**netstat**
netstat zeigt Netzwerkverbindungen und lauschende Ports.
Nützlich für:
offene Ports anzeigen
bestehende Verbindungen prüfen
Dienst lauscht ja oder nein
Quell- und Zielports sehen
TCP-Status prüfen
Typische Zustände:
LISTEN
ESTABLISHED
TIME_WAIT
CLOSE_WAIT
Merksatz:
netstat zeigt,
welche Verbindungen und Ports aktiv sind.
---
**ss**
ss ist unter Linux ein modernes Werkzeug für Sockets und Ports.
Nützlich für:
lauschende Ports
TCP-Verbindungen
UDP-Sockets
Prozesszuordnung je nach Berechtigung
schnelle Portprüfung lokal
Merksatz:
ss ersetzt auf vielen Linux-Systemen netstat.
---
**TCP-Status kurz erklärt**
| Status | Bedeutung |
|---|---|
| LISTEN | Dienst wartet auf Verbindungen |
| ESTABLISHED | Verbindung besteht |
| SYN_SENT | Verbindungsaufbau gestartet |
| SYN_RECEIVED | SYN empfangen und beantwortet |
| TIME_WAIT | Verbindung beendet, Wartephase |
| CLOSE_WAIT | Gegenseite hat beendet, lokale Anwendung noch nicht |
Merksatz:
LISTEN bedeutet:
Dienst lauscht.
---
**Portprüfung**
Bei Dienstproblemen prüfen:
Läuft der Dienst?
Lauscht der Dienst auf dem richtigen Port?
Lauscht er auf der richtigen Schnittstelle?
Blockiert die lokale Firewall?
Blockiert eine Netzwerkfirewall?
Stimmt TCP oder UDP?
Ist NAT oder Portweiterleitung korrekt?
Merksatz:
Host erreichbar heißt nicht,
dass der Port erreichbar ist.
---
**localhost, 127.0.0.1 und 0.0.0.0**
127.0.0.1:
Loopback-Adresse
nur lokal auf demselben System erreichbar
localhost:
Name für lokalen Rechner
0.0.0.0:
Dienst lauscht auf allen IPv4-Schnittstellen des Hosts
Merksatz:
127.0.0.1 ist lokal.
0.0.0.0 bedeutet alle Interfaces.
---
**curl**
curl prüft Webdienste,
APIs
und HTTP-Antworten.
Nützlich für:
HTTP-Statuscode
Weiterleitungen
Header
TLS-Verbindung
API-Antwort
Erreichbarkeit ohne Browser
Proxy-Fehler
Backend-Fehler
Merksatz:
curl prüft Webdienste direkter als ein Browser.
---
**HTTP-Statuscodes**
| Statuscode | Bedeutung |
|---|---|
| 200 | erfolgreich |
| 301 / 302 | Weiterleitung |
| 400 | fehlerhafte Anfrage |
| 401 | nicht authentifiziert |
| 403 | verboten |
| 404 | nicht gefunden |
| 500 | interner Serverfehler |
| 502 | Gateway oder Backend-Fehler |
| 503 | Dienst nicht verfügbar |
| 504 | Gateway Timeout |
Merksatz:
4xx deutet eher auf Client,
Anfrage
oder Rechte.
5xx deutet eher auf Server,
Anwendung
oder Backend.
---
**Dienste prüfen unter Linux**
Wichtige Werkzeuge:
systemctl
journalctl
systemctl prüft und verwaltet Dienste.
journalctl zeigt Logs von systemd-Diensten.
Merksatz:
systemctl zeigt den Dienststatus.
journalctl zeigt die Logs.
---
**systemctl**
systemctl wird genutzt für:
Dienststatus prüfen
Dienst starten
Dienst stoppen
Dienst neu starten
Dienst aktivieren
Dienst deaktivieren
Typische Prüfung:
Läuft der Dienst?
Ist der Dienst beim Booten aktiviert?
Gibt es Fehler beim Start?
Merksatz:
systemctl beantwortet:
Läuft der Dienst?
---
**journalctl**
journalctl zeigt Logs unter systemd.
Nützlich für:
Dienstfehler
Startprobleme
Abstürze
Berechtigungsfehler
Konfigurationsfehler
Zeitliche Eingrenzung
Merksatz:
journalctl beantwortet:
Warum hat der Dienst Probleme?
---
**Dienste prüfen unter Windows**
Wichtige Werkzeuge:
services.msc
Task-Manager
Ereignisanzeige
PowerShell
sc
Typische Fragen:
Läuft der Dienst?
Ist der Starttyp korrekt?
Gibt es Fehlermeldungen?
Gibt es Abhängigkeiten?
Merksatz:
Unter Windows helfen Diensteverwaltung und Ereignisanzeige.
---
**Windows-Ereignisanzeige**
Die Ereignisanzeige zeigt Windows-Logs.
Wichtige Bereiche:
Anwendung
Sicherheit
System
Setup
Nützlich für:
Anmeldefehler
Dienstfehler
Systemfehler
Treiberprobleme
Sicherheitsereignisse
Merksatz:
Windows-Logs stehen in der Ereignisanzeige.
---
**Prozesse prüfen**
Windows:
Task-Manager
tasklist
Linux/macOS:
ps
top
htop
Nützlich für:
hohe CPU-Last
hoher RAM-Verbrauch
hängende Prozesse
Prozess läuft ja oder nein
Prozess-ID finden
Merksatz:
Prozess läuft nicht automatisch gleich Dienst erreichbar.
---
**Speicherplatz prüfen**
Linux/macOS:
df
du
Windows:
Explorer
Datenträgerverwaltung
PowerShell
Wichtige Fragen:
Ist das Dateisystem voll?
Ist die Logpartition voll?
Ist genug Speicher für Backup oder Update vorhanden?
Wächst eine Datei ungewöhnlich stark?
Merksatz:
Volle Datenträger verursachen viele Dienstprobleme.
---
**df und du**
df zeigt freien Speicher auf Dateisystemen.
du zeigt Speicherverbrauch von Dateien und Ordnern.
Unterschied:
df:
Wie voll ist das Dateisystem?
du:
Welcher Ordner verbraucht Speicher?
Merksatz:
df zeigt Gesamtfüllstand.
du zeigt Verursacher.
---
**Benutzer und Rechte prüfen**
Windows:
whoami
whoami /groups
Linux/macOS:
whoami
id
groups
Prüfen:
Welcher Benutzer bin ich?
In welchen Gruppen bin ich?
Habe ich die nötigen Rechte?
Wird ein anderes Konto verwendet?
Merksatz:
Anmeldung erfolgreich heißt nicht automatisch Zugriff erlaubt.
---
**Dateirechte prüfen unter Linux**
Wichtige Begriffe:
Besitzer
Gruppe
Rechte
Lesen
Schreiben
Ausführen
Typische Werkzeuge:
ls -l
chmod
chown
Merksatz:
Linux-Rechte bestehen aus Besitzer,
Gruppe
und anderen.
---
**Freigaberechte prüfen**
Bei Dateifreigaben prüfen:
Freigaberechte
Dateisystemrechte
Gruppenmitgliedschaft
Deny-Regeln
Vererbung
Benutzerkontext
Merksatz:
Bei Freigaben zählen oft Freigaberechte und Dateisystemrechte zusammen.
---
**Logs allgemein prüfen**
Wichtige Fragen:
Wann trat der Fehler auf?
Welches System meldet den Fehler?
Welcher Benutzer ist betroffen?
Welche Quelle und welches Ziel?
Welche Fehlermeldung?
Wiederholt sich das Muster?
Gab es kurz vorher Änderungen?
Merksatz:
Logs beantworten:
wer,
wann,
was,
von wo,
mit welchem Ergebnis.
---
**Zeit und NTP prüfen**
Korrekte Zeit ist wichtig für:
Logs
Zertifikate
Kerberos
MFA
Tokens
geplante Aufgaben
Forensik
Typische Fehler:
Zertifikatswarnung
Kerberos-Fehler
ungültige Tokens
falsche Log-Reihenfolge
Merksatz:
Bei Zertifikaten,
Kerberos
und Logs immer auch Zeit prüfen.
---
**Firewall prüfen**
Bei Firewall-Verdacht prüfen:
Quelle
Ziel
Port
Protokoll
Richtung
Zone
Regelreihenfolge
NAT
Logs
lokale Firewall
Netzwerkfirewall
Merksatz:
Firewallprüfung braucht Quelle,
Ziel,
Port
und Protokoll.
---
**NAT und Portweiterleitung prüfen**
Prüfen:
öffentliche IP korrekt?
DNS zeigt auf richtige öffentliche IP?
externer Port korrekt?
interne Ziel-IP korrekt?
interner Port korrekt?
Dienst läuft intern?
lokale Firewall erlaubt?
Router-Firewall erlaubt?
doppeltes NAT?
CGNAT?
Merksatz:
Portweiterleitung braucht DNS,
NAT,
Firewall
und laufenden Dienst.
---
**Typische Fehlerbilder und erste Prüfung**
| Fehlerbild | Erste Prüfung |
|---|---|
| keine IP-Adresse | DHCP, Kabel, WLAN, VLAN |
| 169.254.x.x | DHCP nicht erreicht |
| lokales Netz geht, Internet nicht | Gateway, Routing, NAT |
| IP geht, Name nicht | DNS |
| ping geht, Webseite nicht | Port, Dienst, Firewall |
| Login geht, Zugriff nicht | Rechte, Gruppe, ACL |
| Anmeldung scheitert | Konto, Passwort, MFA, Verzeichnisdienst |
| Zertifikatswarnung | Zertifikat, Hostname, Uhrzeit |
| Dienst startet nicht | Logs, Konfiguration, Abhängigkeiten |
| alles langsam | Last, DNS, Netzwerk, Speicher |
Merksatz:
Fehlerbild bestimmt den ersten sinnvollen Test.
---
**Mini-Workflow: Client kommt nicht ins Internet**
Prüfen:
1. IP-Adresse vorhanden?
2. APIPA-Adresse 169.254.x.x?
3. Subnetzmaske korrekt?
4. Gateway eingetragen?
5. Gateway erreichbar?
6. externe IP erreichbar?
7. DNS-Auflösung funktioniert?
8. Firewall oder Proxy?
9. NAT oder Provider?
Merksatz:
Erst IP,
dann Gateway,
dann DNS,
dann Firewall und NAT.
---
**Mini-Workflow: Webseite nicht erreichbar**
Prüfen:
1. Name wird aufgelöst?
2. Ziel-IP erreichbar?
3. TCP 80 oder 443 erreichbar?
4. Webserver läuft?
5. TLS-Zertifikat gültig?
6. Reverse Proxy korrekt?
7. Anwendung liefert Fehler?
8. Logs prüfen.
Merksatz:
Webfehler können DNS,
Port,
TLS,
Proxy
oder Anwendung betreffen.
---
**Mini-Workflow: Datei-Freigabe nicht erreichbar**
Prüfen:
1. Netzwerkverbindung?
2. Namensauflösung?
3. Server erreichbar?
4. SMB-Port TCP 445 erreichbar?
5. Benutzer angemeldet?
6. Freigaberechte?
7. Dateisystemrechte?
8. Gruppenmitgliedschaft?
9. Firewall?
10. Logs?
Merksatz:
Freigabeprobleme können Netzwerk oder Rechte sein.
---
**Mini-Workflow: SSH nicht erreichbar**
Prüfen:
1. Ziel-IP erreichbar?
2. TCP 22 erreichbar?
3. SSH-Dienst läuft?
4. Firewall erlaubt Zugriff?
5. richtige Quell-IP erlaubt?
6. Benutzer erlaubt?
7. Schlüssel korrekt?
8. Host-Key-Warnung prüfen.
9. Logs prüfen.
Merksatz:
SSH-Probleme können Port,
Dienst,
Schlüssel,
Benutzer
oder Firewall sein.
---
**Mini-Workflow: DNS-Problem**
Prüfen:
1. DNS-Server eingetragen?
2. DNS-Server erreichbar?
3. richtiger Record vorhanden?
4. interner oder externer DNS?
5. DNS-Suffix korrekt?
6. Split-DNS relevant?
7. DNS-Cache veraltet?
8. Firewall blockiert UDP/TCP 53?
Merksatz:
IP ja,
Name nein:
DNS prüfen.
---
**Mini-Workflow: DHCP-Problem**
Prüfen:
1. Client im richtigen VLAN?
2. Switchport korrekt?
3. DHCP-Server aktiv?
4. DHCP-Scope frei?
5. DHCP-Relay korrekt?
6. Firewall erlaubt DHCP?
7. Reservierung oder Ausschluss?
8. Lease erneuern.
Merksatz:
169.254.x.x:
DHCP,
VLAN
oder Relay prüfen.
---
**Mini-Workflow: Dienst startet nicht**
Prüfen:
1. Dienststatus
2. Logs
3. Konfigurationsdatei
4. Berechtigungen
5. Abhängigkeiten
6. belegter Port
7. Speicherplatz
8. Zertifikate oder Schlüssel
9. letzte Änderung
Merksatz:
Dienstfehler stehen oft in Logs.
---
**Mini-Workflow: langsames Netzwerk**
Prüfen:
Latenz
Paketverlust
DNS-Auflösung
WLAN-Signal
Bandbreite
Duplex oder Link-Geschwindigkeit
CPU oder RAM
Speicher-I/O
Firewall oder Proxy
Serverlast
Merksatz:
Langsamkeit ist kein einzelner Fehler,
sondern muss eingegrenzt werden.
---
**Prüfungsfalle: Befehl ohne Interpretation**
Ein Befehl allein löst noch keine Aufgabe.
Schlecht:
ping ausführen.
Besser:
Mit ping wird geprüft,
ob das Ziel per ICMP erreichbar ist.
Wenn die IP erreichbar ist,
der Name aber nicht,
sollte DNS geprüft werden.
Merksatz:
In der Prüfung nicht nur Befehl nennen,
sondern Zweck erklären.
---
**Prüfungsfalle: ping als Diensttest**
ping prüft ICMP.
ping prüft nicht:
HTTPS
SSH
SMB
Datenbank
Anmeldung
Rechte
Anwendung
Merksatz:
ping erfolgreich heißt nicht,
dass der Dienst funktioniert.
---
**Prüfungsfalle: DNS und Dienst verwechseln**
Wenn ein Name nicht aufgelöst wird,
ist zuerst DNS zu prüfen.
Wenn der Name aufgelöst wird,
aber die Anwendung nicht funktioniert,
sind eher Port,
Dienst,
Firewall,
TLS
oder Anwendung zu prüfen.
Merksatz:
DNS findet die Adresse.
Der Dienst muss danach trotzdem funktionieren.
---
**Prüfungsfalle: Rechteproblem als Netzwerkproblem deuten**
Fehlerbild:
Benutzer kann sich anmelden,
aber Datei nicht öffnen.
Wahrscheinlich:
Autorisierung,
Gruppenmitgliedschaft,
ACL
oder Freigaberecht
Nicht zuerst:
DNS
Gateway
NAT
Merksatz:
Login ja,
Zugriff nein:
Rechte prüfen.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Welcher Befehl zeigt die IP-Konfiguration unter Windows?
- Welcher Befehl zeigt IP-Adressen unter Linux?
- Wie prüft man DNS?
- Was prüft ping?
- Warum ersetzt ping keinen Diensttest?
- Was zeigt tracert oder traceroute?
- Wie prüft man Routing?
- Wie erkennt man,
ob ein Dienst auf einem Port lauscht?
- Was bedeutet LISTEN?
- Wie prüft man Linux-Dienste?
- Wie prüft man Windows-Logs?
- Warum ist NTP wichtig für Logs?
- Welche Schritte sind sinnvoll,
wenn ein Client nicht ins Internet kommt?
- Wie grenzt man ein Firewallproblem ein?
---
**IHK-sichere Kurzformulierung**
Bei der Netzwerk- und Systemfehlersuche sollten zuerst Fakten gesammelt werden. Unter Windows zeigt ipconfig die IP-Konfiguration, unter Linux ip addr. Routing wird mit route print oder ip route geprüft. DNS wird gezielt mit nslookup oder dig geprüft. ping testet ICMP-Erreichbarkeit, ersetzt aber keinen Port- oder Diensttest. tracert oder traceroute zeigen den Weg über Router. netstat oder ss zeigen Verbindungen und lauschende Ports. systemctl prüft Linux-Dienste, journalctl zeigt deren Logs. Unter Windows helfen Diensteverwaltung und Ereignisanzeige. Gute Fehlersuche erfolgt systematisch: Verbindung, IP, Gateway, DNS, Routing, Firewall, Port, Dienst, Anwendung und Logs.
---
**Merksätze**
Befehle liefern Fakten.
Erst prüfen,
dann vermuten.
IP,
Maske,
Gateway
und DNS zusammen prüfen.
ipconfig zeigt Windows-IP-Konfiguration.
ip addr zeigt Linux-IP-Konfiguration.
route print zeigt Windows-Routing.
ip route zeigt Linux-Routing.
ping prüft ICMP.
ping ist kein Diensttest.
nslookup prüft DNS.
dig prüft DNS detailliert.
tracert und traceroute zeigen den Weg.
netstat zeigt Verbindungen und Ports.
ss zeigt Sockets und Ports unter Linux.
LISTEN heißt:
Dienst wartet auf Verbindungen.
ESTABLISHED heißt:
Verbindung besteht.
127.0.0.1 ist lokal.
0.0.0.0 bedeutet alle Interfaces.
curl prüft Webdienste.
systemctl prüft Dienststatus.
journalctl zeigt Logs.
Windows-Logs stehen in der Ereignisanzeige.
df zeigt Dateisystemfüllstand.
du zeigt Ordnerverbrauch.
whoami zeigt den Benutzerkontext.
Logs beantworten:
wer,
wann,
was,
von wo,
mit welchem Ergebnis.
NTP macht Logzeiten vergleichbar.
Firewallprüfung braucht Quelle,
Ziel,
Port
und Protokoll.
Portweiterleitung braucht DNS,
NAT,
Firewall
und Dienst.
IP ja,
Name nein:
DNS.
Lokal ja,
extern nein:
Gateway.
Host ja,
Dienst nein:
Port,
Dienst,
Firewall.
Login ja,
Zugriff nein:
Rechte.
Dienst startet nicht:
Logs prüfen.
# 19.11 Prüfungs-Signalwörter und Musterformulierungen
Dieser Spickzettel hilft dabei,
Prüfungsaufgaben schneller einzuordnen
und Antworten fachlich sauber zu formulieren.
Er ist besonders wichtig für:
- Fehlersuche
- Sicherheitsfragen
- Begründungsaufgaben
- Vergleichsaufgaben
- kurze IHK-Antworten
- typische Fehlerbilder
- Operatoren in Aufgabenstellungen
Merksatz:
Signalwörter zeigen oft,
in welche Richtung die Lösung geht.
---
**Grundidee**
In Prüfungsaufgaben stehen oft Hinweise,
die direkt zur Lösung führen.
Diese Hinweise können sein:
IP-Adressen
Subnetzmasken
Ports
Protokolle
Fehlermeldungen
Logeinträge
Benutzerbeschreibung
Zeitpunkte
letzte Änderungen
betroffene Systeme
Begriffe wie „nur intern“,
„nur extern“,
„nach Update“
oder „Zugriff verweigert“
Merksatz:
Die Aufgabe genau lesen,
bevor du antwortest.
---
**Operatoren erkennen**
| Operator | Erwartete Antwort |
|---|---|
| nennen | kurze Begriffe oder Stichpunkte |
| beschreiben | sachlich darstellen |
| erklären | Zusammenhang deutlich machen |
| begründen | Warum nennen |
| vergleichen | Unterschiede und Gemeinsamkeiten darstellen |
| berechnen | rechnerisch ermitteln |
| ermitteln | aus gegebenen Informationen ableiten |
| bewerten | fachlich einschätzen |
| zuordnen | passend einordnen |
| erläutern | ausführlicher erklären |
Merksatz:
Der Operator bestimmt,
wie tief die Antwort sein muss.
---
**Nennen**
Bei „nennen“ reichen kurze Begriffe.
Beispielaufgabe:
Nennen Sie zwei Vorteile von VLANs.
Musterantwort:
logische Netztrennung
kleinere Broadcast-Domänen
Merksatz:
Nennen = kurz und direkt.
---
**Beschreiben**
Bei „beschreiben“ soll ein Sachverhalt dargestellt werden.
Beispielaufgabe:
Beschreiben Sie die Aufgabe eines DHCP-Servers.
Musterantwort:
Ein DHCP-Server weist Clients automatisch Netzwerkkonfigurationen wie IP-Adresse,
Subnetzmaske,
Standardgateway
und DNS-Server zu.
Merksatz:
Beschreiben = was passiert?
---
**Erklären**
Bei „erklären“ muss der Zusammenhang deutlich werden.
Beispielaufgabe:
Erklären Sie,
warum ein Client ohne Standardgateway keine Internetverbindung hat.
Musterantwort:
Das Standardgateway ist der Router in andere Netze.
Ohne Standardgateway kann der Client nur Ziele im eigenen Subnetz erreichen,
aber keine externen Netze wie das Internet.
Merksatz:
Erklären = Zusammenhang zeigen.
---
**Begründen**
Bei „begründen“ muss ein Warum enthalten sein.
Beispielaufgabe:
Begründen Sie,
warum RDP nicht direkt aus dem Internet erreichbar sein sollte.
Musterantwort:
RDP ist ein häufiges Angriffsziel für Brute-Force-Angriffe,
Credential Stuffing
und Exploits.
Deshalb sollte RDP nur über VPN,
RDP-Gateway,
MFA
und Firewall-Beschränkungen erreichbar sein.
Merksatz:
Begründen = Aussage plus Warum.
---
**Vergleichen**
Bei „vergleichen“ müssen Unterschiede und Gemeinsamkeiten sichtbar werden.
Beispielaufgabe:
Vergleichen Sie TCP und UDP.
Musterantwort:
| Merkmal | TCP | UDP |
|---|---|---|
| Verbindung | verbindungsorientiert | verbindungslos |
| Zuverlässigkeit | eingebaut | keine eingebaute Garantie |
| Overhead | höher | geringer |
| Beispiele | HTTPS, SSH | DNS, DHCP, VoIP |
Merksatz:
Vergleichen = gegenüberstellen.
---
**Bewerten**
Bei „bewerten“ soll eine fachliche Einschätzung gegeben werden.
Beispielaufgabe:
Bewerten Sie eine Firewall-Regel,
die Any-to-Any erlaubt.
Musterantwort:
Die Regel ist sicherheitskritisch,
weil sie Verkehr von jeder Quelle zu jedem Ziel erlaubt.
Dadurch entsteht eine große Angriffsfläche.
Besser ist eine genaue Regel mit definierter Quelle,
definiertem Ziel,
Port,
Protokoll
und dokumentiertem Zweck.
Merksatz:
Bewerten = Einschätzung mit Begründung.
---
**Berechnen**
Bei „berechnen“ muss ein Ergebnis aus Zahlen ermittelt werden.
Wichtig:
Einheit beachten
Formel oder Regel nutzen
Zwischenschritte prüfen
Ergebnis mit Bedeutung angeben
Beispiel:
/27 hat 5 Hostbits.
2 hoch 5 ergibt 32 Adressen.
30 Adressen sind nutzbar,
weil Netzadresse und Broadcastadresse nicht für Hosts verwendet werden.
Merksatz:
Berechnen = Ergebnis mit Einheit oder Bedeutung.
---
**Signalwörter bei DNS**
| Signalwort oder Fehlerbild | Bedeutung |
|---|---|
| IP erreichbar, Name nicht | DNS-Problem |
| Domain wird nicht gefunden | DNS prüfen |
| interner Name funktioniert nur im Büro | Split-DNS oder VPN-DNS |
| Webseite per IP erreichbar | Grundverbindung funktioniert |
| falscher Server bei Namenszugriff | falscher DNS-Eintrag |
| alter Name zeigt noch auf alte IP | DNS-Cache oder alter Record |
Musterformulierung:
Wahrscheinlich liegt ein DNS-Problem vor,
da die IP-Adresse erreichbar ist,
der Name aber nicht korrekt aufgelöst wird.
Der DNS-Server und der DNS-Eintrag sollten mit nslookup oder dig geprüft werden.
Merksatz:
IP ja,
Name nein:
DNS.
---
**Signalwörter bei DHCP**
| Signalwort oder Fehlerbild | Bedeutung |
|---|---|
| 169.254.x.x | DHCP nicht erreicht |
| keine gültige IP-Adresse | DHCP, Kabel, WLAN oder VLAN prüfen |
| falsches Gateway automatisch erhalten | DHCP-Option falsch |
| falscher DNS-Server automatisch erhalten | DHCP-Option falsch |
| nur ein VLAN betroffen | DHCP-Relay oder VLAN prüfen |
| Adresspool erschöpft | DHCP-Scope voll |
Musterformulierung:
Die Adresse 169.254.x.x liegt im APIPA-Bereich.
Der Client hat wahrscheinlich keine gültige Adresse von einem DHCP-Server erhalten.
DHCP-Server,
VLAN,
Scope
und DHCP-Relay sollten geprüft werden.
Merksatz:
169.254.x.x deutet auf DHCP-Problem hin.
---
**Signalwörter bei Gateway und Routing**
| Signalwort oder Fehlerbild | Bedeutung |
|---|---|
| lokale Geräte erreichbar, Internet nicht | Gateway, Routing, NAT oder Firewall |
| Gateway fehlt | keine Kommunikation in andere Netze |
| Gateway außerhalb des Subnetzes | Gateway lokal nicht erreichbar |
| nur andere Netze nicht erreichbar | Routing prüfen |
| Rückantwort kommt nicht an | Rückroute oder Firewall prüfen |
| spezifische Ziele gehen, andere nicht | Routing-Tabelle prüfen |
Musterformulierung:
Wahrscheinlich ist das Standardgateway falsch oder fehlt,
da lokale Ziele erreichbar sind,
externe Netze jedoch nicht.
Das Gateway muss im lokalen Subnetz des Clients liegen.
Merksatz:
Lokal ja,
extern nein:
Gateway prüfen.
---
**Signalwörter bei Firewall und Ports**
| Signalwort oder Fehlerbild | Bedeutung |
|---|---|
| Host erreichbar, Dienst nicht | Port, Dienst oder Firewall |
| ping funktioniert, HTTPS nicht | TCP 443, Webdienst oder Firewall |
| Porttest schlägt fehl | Firewall oder Dienst prüfen |
| nach Regeländerung defekt | Firewall-Regel prüfen |
| nur ein Dienst betroffen | Port oder Dienst prüfen |
| Zugriff von intern geht, extern nicht | NAT, Firewall oder DNS prüfen |
Musterformulierung:
Da der Host erreichbar ist,
aber der Dienst nicht funktioniert,
sollten Port,
Dienststatus
und Firewall-Regeln geprüft werden.
Merksatz:
Host ja,
Dienst nein:
Port,
Dienst,
Firewall.
---
**Signalwörter bei VLAN und Switching**
| Signalwort oder Fehlerbild | Bedeutung |
|---|---|
| nur ein Switchport betroffen | Access-Port, VLAN oder Portstatus |
| falsche IP im Clientnetz | falsches VLAN oder DHCP-Scope |
| mehrere VLANs auf Verbindung fehlen | Trunk prüfen |
| ein VLAN fehlt auf zweitem Switch | VLAN auf Trunk nicht erlaubt |
| Broadcast-Sturm | Layer-2-Schleife, STP prüfen |
| Gerät in falschem Netz | VLAN-Zuordnung prüfen |
Musterformulierung:
Wahrscheinlich ist der Switchport dem falschen VLAN zugeordnet.
Dadurch erhält der Client eine falsche oder keine passende IP-Konfiguration.
Access-Port,
VLAN
und DHCP-Scope sollten geprüft werden.
Merksatz:
Falsches VLAN führt oft zu falscher IP-Konfiguration.
---
**Signalwörter bei Authentifizierung**
| Signalwort oder Fehlerbild | Bedeutung |
|---|---|
| Anmeldung fehlgeschlagen | Authentifizierung |
| Passwort falsch | Authentifizierung |
| Konto gesperrt | Authentifizierung |
| MFA-Code wird nicht akzeptiert | MFA oder Zeitproblem |
| Verzeichnisdienst nicht erreichbar | AD, LDAP oder Netzwerk prüfen |
| Kerberos-Fehler | Zeit, Domäne oder Ticket prüfen |
Musterformulierung:
Da bereits die Anmeldung fehlschlägt,
liegt wahrscheinlich ein Authentifizierungsproblem vor.
Konto,
Passwort,
MFA,
Verzeichnisdienst
und Systemzeit sollten geprüft werden.
Merksatz:
Anmeldung scheitert:
Authentifizierung prüfen.
---
**Signalwörter bei Autorisierung und Rechten**
| Signalwort oder Fehlerbild | Bedeutung |
|---|---|
| Zugriff verweigert | Autorisierung oder Berechtigung |
| Anmeldung funktioniert, Datei nicht | Rechteproblem |
| nur ein Benutzer betroffen | Konto, Gruppe oder Rechte |
| Gruppe fehlt | Rollen- oder Gruppenmitgliedschaft |
| Freigabe sichtbar, Datei nicht lesbar | Dateisystemrechte prüfen |
| Deny-Regel vorhanden | verweigernde Regel beachten |
Musterformulierung:
Da die Anmeldung funktioniert,
der Zugriff auf die Ressource aber verweigert wird,
liegt wahrscheinlich ein Autorisierungs- oder Berechtigungsproblem vor.
Gruppenmitgliedschaft,
Freigaberechte,
Dateisystemrechte
und ACLs sollten geprüft werden.
Merksatz:
Login ja,
Zugriff nein:
Rechte prüfen.
---
**Signalwörter bei Zertifikaten und TLS**
| Signalwort oder Fehlerbild | Bedeutung |
|---|---|
| Zertifikatswarnung | Zertifikat prüfen |
| Zertifikat abgelaufen | Ablaufdatum |
| Name passt nicht | CN oder SAN passt nicht zum Hostnamen |
| Kette nicht vertrauenswürdig | CA oder Zwischenzertifikat fehlt |
| Fehler nur auf einem Client | Truststore oder Uhrzeit prüfen |
| plötzlich ungültig | Ablauf, Erneuerung oder Zeitproblem |
Musterformulierung:
Bei einer Zertifikatswarnung sollten Ablaufdatum,
Hostname,
Zertifikatskette
und Systemzeit geprüft werden.
Häufig ist das Zertifikat abgelaufen oder passt nicht zum verwendeten Namen.
Merksatz:
Zertifikatsfehler:
Ablauf,
Name,
Kette,
Zeit.
---
**Signalwörter bei Webfehlern**
| Fehlerbild | Bedeutung |
|---|---|
| HTTP 200 | erfolgreich |
| HTTP 301 / 302 | Weiterleitung |
| HTTP 400 | fehlerhafte Anfrage |
| HTTP 401 | nicht authentifiziert |
| HTTP 403 | verboten |
| HTTP 404 | nicht gefunden |
| HTTP 500 | interner Serverfehler |
| HTTP 502 | Gateway oder Backend-Fehler |
| HTTP 503 | Dienst nicht verfügbar |
| HTTP 504 | Gateway Timeout |
Musterformulierung:
Ein HTTP-Statuscode aus dem 5xx-Bereich deutet eher auf ein serverseitiges Problem hin,
zum Beispiel Anwendung,
Backend,
Gateway
oder Serverkonfiguration.
Merksatz:
4xx eher Client,
Anfrage
oder Rechte.
5xx eher Server,
Anwendung
oder Backend.
---
**Signalwörter bei Backup und Restore**
| Signalwort oder Fehlerbild | Bedeutung |
|---|---|
| Backup vorhanden, Wiederherstellung geht nicht | Restore-Test fehlt oder Backup defekt |
| zu viel Datenverlust | RPO nicht eingehalten |
| Wiederherstellung dauert zu lange | RTO nicht eingehalten |
| Snapshot vorhanden | nicht automatisch vollständiges Backup |
| Replikat vorhanden | Replikation ist kein Backup |
| Datenbank beschädigt nach Restore | kein konsistentes Backup |
| verschlüsseltes Backup nicht nutzbar | Schlüssel fehlt |
| Ransomware verschlüsselt Backup | Backup nicht offline oder immutable |
Musterformulierung:
Ein Backup ist nur zuverlässig,
wenn die Wiederherstellung regelmäßig getestet wird.
Replikation,
Synchronisation
und Snapshots ersetzen kein vollständiges Backup-Konzept.
Merksatz:
Backup ohne Restore-Test ist unsicher.
---
**Signalwörter bei Sicherheit**
| Signalwort oder Fehlerbild | Wahrscheinliches Thema |
|---|---|
| Daten werden mitgelesen | Vertraulichkeit |
| Daten wurden verändert | Integrität |
| Dienst nicht erreichbar | Verfügbarkeit |
| Identität vorgetäuscht | Authentizität, Spoofing |
| viele Loginversuche | Brute Force |
| geleakte Passwörter genutzt | Credential Stuffing |
| ein Passwort gegen viele Konten | Password Spraying |
| gefälschte E-Mail | Phishing oder Spoofing |
| verschlüsselte Dateien | Ransomware |
| Dienst überlastet | DoS oder DDoS |
Musterformulierung:
Das betroffene Schutzziel ist Verfügbarkeit,
da der Dienst nicht mehr nutzbar ist.
Eine passende Maßnahme wäre DDoS-Schutz,
Monitoring
und ein Notfallkonzept.
Merksatz:
Sicherheitsfrage:
Schutzziel,
Risiko,
Maßnahme.
---
**Signalwörter bei Malware und Ransomware**
| Signalwort oder Fehlerbild | Bedeutung |
|---|---|
| Dateien verschlüsselt | Ransomware |
| Lösegeldforderung | Ransomware |
| Tastatureingaben mitgeschnitten | Keylogger |
| Daten werden ausgespäht | Spyware |
| Programm tarnt sich als nützlich | Trojaner |
| verbreitet sich selbstständig | Wurm |
| viele kompromittierte Geräte | Botnet |
| Schadsoftware tief versteckt | Rootkit |
Musterformulierung:
Ransomware beeinträchtigt vor allem die Verfügbarkeit,
weil Daten nicht mehr nutzbar sind.
Bei zusätzlichem Datenabfluss ist auch die Vertraulichkeit betroffen.
Wichtige Maßnahmen sind Offline- oder Immutable-Backups,
Segmentierung,
Patchmanagement
und Restore-Tests.
Merksatz:
Ransomware:
Verfügbarkeit,
bei Datenabfluss auch Vertraulichkeit.
---
**Signalwörter bei Cloud**
| Signalwort oder Fehlerbild | Bedeutung |
|---|---|
| virtuelle Maschine | IaaS |
| verwaltete Plattform | PaaS |
| fertige Anwendung im Browser | SaaS |
| mehrere Cloud-Anbieter | Multi Cloud |
| lokal plus Cloud | Hybrid Cloud |
| öffentliche Cloud eines Anbieters | Public Cloud |
| eigene Cloud für Organisation | Private Cloud |
| Wer ist verantwortlich? | Shared Responsibility |
| Zugriff auf Cloud-Ressourcen | IAM |
Musterformulierung:
Beim Shared-Responsibility-Modell schützt der Cloud-Anbieter die Cloud-Infrastruktur,
während der Kunde für Daten,
Identitäten,
Zugriffsrechte
und Konfigurationen verantwortlich bleibt.
Merksatz:
Cloud bedeutet geteilte Verantwortung.
---
**Signalwörter bei Change Management**
| Signalwort oder Fehlerbild | Bedeutung |
|---|---|
| nach Update defekt | Change prüfen |
| Änderung nicht dokumentiert | Change Management fehlt |
| schnelle Notfalländerung | Emergency Change |
| wiederkehrende risikoarme Änderung | Standard Change |
| geplante Änderung mit Freigabe | Normal Change |
| Rückkehr zum alten Zustand | Rollback |
| Änderung außerhalb Arbeitszeit | Wartungsfenster |
| Auswirkungen vorab prüfen | Risikobewertung |
Musterformulierung:
Da der Fehler nach einer Änderung aufgetreten ist,
sollte der Change geprüft werden.
Wichtig sind Änderungsbeschreibung,
Zeitpunkt,
betroffene Systeme,
Testplan
und Rollback-Plan.
Merksatz:
Nach Änderung defekt:
Change prüfen.
---
**Gute Musterformulierung: Fehlersuche**
Struktur:
Ursache
Begründung
Prüfung
Muster:
Wahrscheinlich liegt ein DNS-Problem vor,
da die IP-Adresse erreichbar ist,
der Name aber nicht aufgelöst wird.
Der DNS-Server und der DNS-Eintrag sollten mit nslookup oder dig geprüft werden.
Merksatz:
Fehlerantwort:
Ursache,
Begründung,
Prüfung.
---
**Gute Musterformulierung: Sicherheitsmaßnahme**
Struktur:
Risiko
Maßnahme
Wirkung
Muster:
Das Risiko besteht im Missbrauch gestohlener Zugangsdaten.
Als Maßnahme sollte MFA eingesetzt werden.
Dadurch reicht ein gestohlenes Passwort allein nicht mehr für den Zugriff aus.
Merksatz:
Sicherheitsantwort:
Risiko,
Maßnahme,
Wirkung.
---
**Gute Musterformulierung: Vergleich**
Struktur:
Gemeinsamkeit
Unterschied
Beispiel
Muster:
TCP und UDP sind Transportprotokolle.
TCP ist verbindungsorientiert und zuverlässig,
UDP ist verbindungslos und hat weniger Overhead.
TCP wird zum Beispiel bei HTTPS genutzt,
UDP häufig bei DNS oder VoIP.
Merksatz:
Vergleich:
Gemeinsamkeit,
Unterschied,
Beispiel.
---
**Gute Musterformulierung: Bewertung**
Struktur:
Einschätzung
Risiko
bessere Maßnahme
Muster:
Die Lösung ist kritisch,
weil RDP direkt aus dem Internet erreichbar ist.
Dadurch steigt das Risiko für Brute-Force-Angriffe und Exploits.
Sicherer wäre ein Zugriff über VPN oder RDP-Gateway mit MFA und Protokollierung.
Merksatz:
Bewertung braucht eine fachliche Begründung.
---
**Gute Musterformulierung: Berechnung**
Struktur:
Regel
Rechenschritt
Ergebnis
Bedeutung
Muster:
Bei /26 gibt es 6 Hostbits.
2 hoch 6 ergibt 64 Adressen.
Davon sind 62 nutzbar,
weil Netzadresse und Broadcastadresse nicht für Hosts verwendet werden.
Merksatz:
Berechnung:
Regel,
Rechenschritt,
Ergebnis,
Bedeutung.
---
**Kurzformulierungen für häufige Antworten**
| Thema | Kurzformulierung |
|---|---|
| DNS | DNS löst Namen in IP-Adressen auf. |
| DHCP | DHCP verteilt IP-Konfiguration automatisch. |
| Gateway | Das Gateway verbindet den Client mit anderen Netzen. |
| NAT | NAT übersetzt IP-Adressen. |
| PAT | PAT nutzt zusätzlich Ports zur Zuordnung. |
| VLAN | VLAN trennt ein physisches Netz logisch. |
| Routing | Routing verbindet verschiedene IP-Netze. |
| Firewall | Eine Firewall filtert Verkehr anhand von Regeln. |
| VPN | VPN verschlüsselt eine Verbindung über unsichere Netze. |
| MFA | MFA verlangt mehr als einen Authentifizierungsfaktor. |
| Backup | Backup ist eine Sicherung zur späteren Wiederherstellung. |
| Restore | Restore ist die Wiederherstellung aus einem Backup. |
Merksatz:
Kurzantworten müssen fachlich sauber sein.
---
**Antworten vermeiden**
Ungenaue Antworten:
Das Internet geht nicht.
Der Server ist kaputt.
Vielleicht Firewall.
Man muss es sicherer machen.
Backup ist vorhanden,
also ist alles sicher.
VLAN macht alles sicher.
Ping geht,
also funktioniert der Dienst.
Besser:
Die IP-Kommunikation funktioniert,
aber die Namensauflösung nicht.
Daher sollte DNS geprüft werden.
Der Host ist erreichbar,
aber der Dienst auf TCP 443 nicht.
Daher sollten Webdienst,
Port
und Firewall-Regeln geprüft werden.
Merksatz:
Keine Vermutungen ohne Bezug zum Fehlerbild.
---
**Gefragte Anzahl beachten**
Wenn die Aufgabe fragt:
Nennen Sie zwei Maßnahmen.
Dann genau zwei klare Maßnahmen nennen.
Beispiel:
1. MFA aktivieren,
damit gestohlene Passwörter allein nicht ausreichen.
2. Zugriff per Firewall auf VPN- oder feste Quell-IP-Adressen beschränken,
damit der Dienst nicht breit aus dem Internet erreichbar ist.
Merksatz:
Gefragte Anzahl einhalten.
---
**Antwort bei mehreren möglichen Ursachen**
Wenn mehrere Ursachen möglich sind,
die wahrscheinlichste anhand des Fehlerbilds nennen.
Beispiel:
IP funktioniert,
Name nicht
Nicht antworten:
Firewall,
Kabel,
Server,
Internet
Besser:
DNS ist am wahrscheinlichsten,
da die IP-Adresse erreichbar ist,
der Name aber nicht aufgelöst wird.
Merksatz:
Wahrscheinlichste Ursache aus dem Hinweis ableiten.
---
**Typische Prüfungsfallen**
Operator übersehen.
Signalwort ignoriert.
Fachbegriff falsch verwendet.
DNS und DHCP verwechselt.
Gateway und DNS verwechselt.
Authentifizierung und Autorisierung verwechselt.
RPO und RTO verwechselt.
NAT und Firewall gleichgesetzt.
Ping als Diensttest verstanden.
Snapshot als Backup bezeichnet.
Maßnahme ohne Wirkung genannt.
Ursache ohne Begründung genannt.
Rechenaufgabe ohne Einheit beantwortet.
Merksatz:
Viele Punktverluste entstehen durch ungenaue Formulierungen.
---
**Checkliste vor Abgabe**
Habe ich die Frage wirklich beantwortet?
Habe ich den Operator beachtet?
Habe ich die gefragte Anzahl eingehalten?
Habe ich Fachbegriffe korrekt verwendet?
Habe ich kurz begründet?
Habe ich bei Fehlern eine Prüfung genannt?
Habe ich bei Sicherheit eine Wirkung genannt?
Habe ich bei Berechnung eine Einheit oder Bedeutung angegeben?
Habe ich keine unnötigen Vermutungen geschrieben?
Merksatz:
Kurz,
fachlich,
begründet.
---
**Typische IHK-Fragen**
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was bedeutet der Operator „erklären“?
- Warum ist bei Prüfungsaufgaben das Fehlerbild wichtig?
- Wie erkennt man ein DNS-Problem?
- Wie erkennt man ein DHCP-Problem?
- Wie erkennt man ein Gateway-Problem?
- Wie erkennt man ein Rechteproblem?
- Wie erkennt man ein Authentifizierungsproblem?
- Wie sollte eine Antwort zur Fehlersuche aufgebaut sein?
- Wie sollte eine Antwort zu Sicherheitsmaßnahmen aufgebaut sein?
- Warum reicht es nicht,
nur „Firewall prüfen“ zu schreiben?
- Warum muss eine Maßnahme zum Risiko passen?
- Warum muss bei Berechnungen eine Einheit angegeben werden?
---
**IHK-sichere Kurzformulierung**
Prüfungs-Signalwörter helfen dabei, Fehlerbilder und Aufgabenstellungen schneller richtig einzuordnen. Wenn eine IP-Adresse erreichbar ist, ein Name aber nicht, liegt wahrscheinlich ein DNS-Problem vor. Eine Adresse aus 169.254.0.0/16 deutet auf ein DHCP-Problem hin. Wenn lokale Ziele erreichbar sind, externe Netze aber nicht, sind Gateway, Routing, NAT oder Firewall zu prüfen. Wenn eine Anmeldung funktioniert, der Zugriff aber verweigert wird, liegt wahrscheinlich ein Autorisierungs- oder Berechtigungsproblem vor. Gute Prüfungsantworten nennen die Ursache, begründen sie mit dem Fehlerbild und nennen eine passende Prüfung oder Maßnahme. Bei Sicherheitsfragen sollten Risiko, Maßnahme und Wirkung verbunden werden.
---
**Merksätze**
Erst Aufgabe lesen,
dann antworten.
Operator beachten.
Signalwort erkennen.
Fehlerbild einordnen.
Nennen heißt kurz.
Erklären heißt Zusammenhang zeigen.
Begründen heißt Warum nennen.
Vergleichen heißt gegenüberstellen.
Bewerten heißt fachlich einschätzen.
Berechnen heißt mit Einheit arbeiten.
IP ja,
Name nein:
DNS.
169.254.x.x:
DHCP.
Lokal ja,
extern nein:
Gateway,
Routing,
NAT,
Firewall.
Host ja,
Dienst nein:
Port,
Dienst,
Firewall.
Login ja,
Zugriff nein:
Rechte.
Anmeldung scheitert:
Authentifizierung.
Zertifikatsfehler:
Ablauf,
Name,
Kette,
Zeit.
Nach Update defekt:
Change prüfen.
Backup ohne Restore-Test ist unsicher.
Fehlerantwort:
Ursache,
Begründung,
Prüfung.
Sicherheitsantwort:
Risiko,
Maßnahme,
Wirkung.
Vergleich:
Gemeinsamkeit,
Unterschied,
Beispiel.
Bewertung:
Einschätzung,
Risiko,
bessere Maßnahme.
Berechnung:
Regel,
Ergebnis,
Bedeutung.
Gefragte Anzahl beachten.
Fachbegriffe sauber verwenden.
Keine Vermutungen ohne Bezug zum Fehlerbild.
Kurz,
fachlich,
begründet.
# 20. TRAINER FÜR ALLE KAPITEL
# 20.1 Trainer – Grundlagen und OSI-Modell
Diese Trainer-Seite wiederholt die Grundlagen der Netzwerktechnik,
das OSI-Modell,
das TCP/IP-Modell
und die wichtigsten Begriffe zur Kommunikation im Netzwerk.
Ziel ist nicht nur Auswendiglernen,
sondern sicheres Zuordnen in typischen IHK-Aufgaben.
Merksatz:
OSI ist das Denkmodell.
TCP/IP ist das Praxismodell.
Die Fehlersuche erfolgt systematisch nach Schichten.
---
**Lernziele**
Nach dieser Seite solltest du sicher können:
- die sieben OSI-Schichten nennen
- OSI und TCP/IP unterscheiden
- Protokolle passenden Schichten zuordnen
- MAC-Adresse,
IP-Adresse
und Port unterscheiden
- Kapselung erklären
- typische Fehlerbilder einer Schicht zuordnen
- Prüfungsfragen kurz und fachlich beantworten
---
**Kurzüberblick: OSI-Modell**
| Schicht | Name | Hauptaufgabe |
|---|---|---|
| 7 | Anwendungsschicht | Dienste für Anwendungen |
| 6 | Darstellungsschicht | Datenformat, Codierung, Verschlüsselung |
| 5 | Sitzungsschicht | Sitzungen verwalten |
| 4 | Transportschicht | Ende-zu-Ende-Kommunikation, Ports |
| 3 | Vermittlungsschicht | IP-Adressierung und Routing |
| 2 | Sicherungsschicht | lokale Kommunikation über MAC-Adressen |
| 1 | Bitübertragungsschicht | Bits als Signale übertragen |
Merksatz:
Von unten nach oben:
Signal,
Frame,
Paket,
Segment,
Sitzung,
Darstellung,
Anwendung.
---
**Kurzüberblick: TCP/IP-Modell**
| TCP/IP-Schicht | Entspricht grob OSI | Beispiele |
|---|---|---|
| Anwendung | OSI 5 bis 7 | HTTP, DNS, DHCP, SMTP |
| Transport | OSI 4 | TCP, UDP |
| Internet | OSI 3 | IP, ICMP |
| Netzzugang | OSI 1 bis 2 | Ethernet, WLAN, MAC |
Merksatz:
TCP/IP fasst OSI-Schichten zusammen.
---
**Aufgabe 1**
Ordne die Begriffe der passenden OSI-Schicht zu:
| Begriff | OSI-Schicht |
|---|---|
| MAC-Adresse | ? |
| IP-Adresse | ? |
| Portnummer | ? |
| DNS | ? |
| Kabel | ? |
Antwort anzeigen
| Begriff | OSI-Schicht |
|---|---|
| MAC-Adresse | Schicht 2 |
| IP-Adresse | Schicht 3 |
| Portnummer | Schicht 4 |
| DNS | Schicht 7 |
| Kabel | Schicht 1 |
Merksatz:
MAC = lokal.
IP = logisch.
Port = Dienst.
DNS = Anwendung.
Kabel = Signal.
---
**Aufgabe 2**
Welche Aussage ist richtig?
A: Ein Switch arbeitet hauptsächlich mit IP-Adressen.
B: Ein Router arbeitet hauptsächlich mit MAC-Adressen.
C: Ein Switch arbeitet hauptsächlich mit MAC-Adressen.
D: DNS gehört zur Bitübertragungsschicht.
Antwort anzeigen
Richtig ist:
C: Ein Switch arbeitet hauptsächlich mit MAC-Adressen.
Begründung:
Ein Switch arbeitet hauptsächlich auf OSI-Schicht 2
und leitet Ethernet-Frames anhand von MAC-Adressen weiter.
---
**Aufgabe 3**
Welche Aussage beschreibt das TCP/IP-Modell am besten?
A: Es hat immer genau sieben Schichten.
B: Es ist ein praxisnahes Modell für reale Netzwerkkommunikation.
C: Es ersetzt IP-Adressen durch MAC-Adressen.
D: Es wird nur für WLAN verwendet.
Antwort anzeigen
Richtig ist:
B: Es ist ein praxisnahes Modell für reale Netzwerkkommunikation.
Begründung:
Das OSI-Modell ist ein theoretisches Referenzmodell mit sieben Schichten.
Das TCP/IP-Modell ist praxisnäher und wird zur Beschreibung realer Internetkommunikation genutzt.
---
**Aufgabe 4**
Ordne die TCP/IP-Schichten den OSI-Schichten zu.
| TCP/IP-Schicht | OSI-Schichten |
|---|---|
| Anwendung | ? |
| Transport | ? |
| Internet | ? |
| Netzzugang | ? |
Antwort anzeigen
| TCP/IP-Schicht | OSI-Schichten |
|---|---|
| Anwendung | OSI 5 bis 7 |
| Transport | OSI 4 |
| Internet | OSI 3 |
| Netzzugang | OSI 1 bis 2 |
Merksatz:
TCP/IP-Anwendung umfasst OSI-Sitzung,
Darstellung
und Anwendung.
---
**Aufgabe 5**
Ein Benutzer kann einen Server per IP-Adresse erreichen,
aber nicht per Namen.
Welches Thema ist am wahrscheinlichsten betroffen?
Antwort anzeigen
Wahrscheinlich betroffen:
DNS
Begründung:
Wenn die IP-Adresse erreichbar ist,
aber der Name nicht funktioniert,
ist die Grundverbindung wahrscheinlich vorhanden.
Das Problem liegt wahrscheinlich bei der Namensauflösung.
IHK-sichere Antwort:
Da die IP-Adresse erreichbar ist,
der Name aber nicht aufgelöst wird,
sollte DNS geprüft werden.
---
**Aufgabe 6**
Ein Client hat die Adresse:
169.254.12.34
Was bedeutet das typischerweise?
Antwort anzeigen
Das ist eine APIPA-Adresse.
Bedeutung:
Der Client hat wahrscheinlich keine gültige IP-Adresse von einem DHCP-Server erhalten.
Typische Ursachen:
DHCP-Server nicht erreichbar
falsches VLAN
DHCP-Scope erschöpft
DHCP-Relay fehlt
Netzwerkverbindung fehlerhaft
Merksatz:
169.254.x.x deutet auf DHCP-Problem hin.
---
**Aufgabe 7**
Ein Client erreicht Geräte im eigenen Netz,
aber keine Ziele im Internet.
Was sollte zuerst geprüft werden?
Antwort anzeigen
Zuerst prüfen:
Standardgateway
Weitere mögliche Ursachen:
Routing
NAT
Firewall
DNS bei Zugriff über Namen
Begründung:
Wenn lokale Kommunikation funktioniert,
aber externe Netze nicht erreichbar sind,
fehlt häufig der Weg aus dem eigenen Netz.
Merksatz:
Lokal ja,
extern nein:
Gateway prüfen.
---
**Aufgabe 8**
Was bedeutet Kapselung?
Antwort anzeigen
Kapselung bedeutet:
Beim Senden werden Daten von Schicht zu Schicht weitergegeben
und jede Schicht ergänzt eigene Steuerinformationen.
Beispiel:
Anwendungsdaten
werden zu TCP-Segmenten,
IP-Paketen,
Ethernet-Frames
und schließlich Bits.
IHK-sichere Kurzformulierung:
Kapselung beschreibt das Verpacken von Daten durch die einzelnen Netzwerkschichten.
Jede Schicht ergänzt eigene Informationen,
die für die Kommunikation auf dieser Schicht benötigt werden.
---
**Aufgabe 9**
Bringe die PDU-Begriffe in die richtige Reihenfolge von oben nach unten.
Bits
Paket
Daten
Frame
Segment
Antwort anzeigen
Richtige Reihenfolge von oben nach unten:
Daten
Segment
Paket
Frame
Bits
Zuordnung:
| Schicht | PDU |
|---|---|
| Anwendung | Daten |
| Transport | Segment oder Datagramm |
| Vermittlung | Paket |
| Sicherung | Frame |
| Bitübertragung | Bits |
---
**Aufgabe 10**
Welche OSI-Schicht ist betroffen,
wenn ein Netzwerkkabel defekt ist?
Antwort anzeigen
Betroffen ist:
OSI-Schicht 1
Begründung:
Ein defektes Kabel betrifft die physische Signalübertragung.
Merksatz:
Kabel,
Stecker,
Funk
und Signal gehören zu Schicht 1.
---
**Aufgabe 11**
Welche OSI-Schicht ist betroffen,
wenn ein Gerät im falschen VLAN ist?
Antwort anzeigen
Betroffen ist hauptsächlich:
OSI-Schicht 2
Begründung:
VLANs trennen Netzbereiche auf Layer 2.
Ein falsches VLAN kann dazu führen,
dass ein Gerät im falschen Broadcast-Bereich landet
oder eine falsche IP-Konfiguration erhält.
---
**Aufgabe 12**
Welche OSI-Schicht ist betroffen,
wenn die Subnetzmaske falsch ist?
Antwort anzeigen
Betroffen ist:
OSI-Schicht 3
Begründung:
IP-Adresse,
Subnetzmaske,
Gateway
und Routing gehören zur Vermittlungsschicht.
Merksatz:
IP-Konfiguration ist Schicht 3.
---
**Aufgabe 13**
Welche OSI-Schicht ist betroffen,
wenn TCP 443 durch eine Firewall blockiert wird?
Antwort anzeigen
Betroffen ist mindestens:
OSI-Schicht 4
Begründung:
TCP und Ports gehören zur Transportschicht.
TCP 443 ist der typische Port für HTTPS.
Wichtig:
Eine Firewall kann je nach Funktion auch auf mehreren Schichten arbeiten.
---
**Aufgabe 14**
Welche OSI-Schicht ist betroffen,
wenn ein TLS-Zertifikat abgelaufen ist?
Antwort anzeigen
Betroffen ist hauptsächlich:
OSI-Schicht 6
Begründung:
TLS,
Zertifikate
Verschlüsselung
und Darstellung gehören zur Darstellungsschicht.
Merksatz:
Zertifikatsfehler:
Schicht 6.
---
**Aufgabe 15**
Welche OSI-Schicht ist betroffen,
wenn ein Webserver HTTP 500 zurückgibt?
Antwort anzeigen
Betroffen ist hauptsächlich:
OSI-Schicht 7
Begründung:
HTTP ist ein Anwendungsprotokoll.
Ein HTTP-500-Fehler deutet auf einen serverseitigen Anwendungsfehler hin.
Merksatz:
HTTP-Statuscodes gehören zur Anwendungsschicht.
---
**Aufgabe 16**
Welche Aussage zu ping ist richtig?
A: ping prüft immer,
ob eine Webseite funktioniert.
B: ping prüft ICMP-Erreichbarkeit.
C: ping prüft,
ob TCP 443 offen ist.
D: ping ersetzt einen DNS-Test.
Antwort anzeigen
Richtig ist:
B: ping prüft ICMP-Erreichbarkeit.
Begründung:
ping nutzt ICMP.
Ein erfolgreicher ping bedeutet nicht automatisch,
dass ein bestimmter Dienst wie HTTPS,
SSH
oder SMB funktioniert.
Merksatz:
ping ist kein Diensttest.
---
**Aufgabe 17**
Was ist der Unterschied zwischen Authentifizierung und Autorisierung?
Antwort anzeigen
Authentifizierung:
Prüfung der Identität.
Beispiel:
Benutzer meldet sich mit Passwort und MFA an.
Autorisierung:
Prüfung der Berechtigung.
Beispiel:
Benutzer darf eine Datei lesen oder nicht.
Merksatz:
Authentifizierung:
Wer bist du?
Autorisierung:
Was darfst du?
---
**Aufgabe 18**
Ein Benutzer kann sich anmelden,
aber nicht auf eine Datei zugreifen.
Was ist wahrscheinlicher:
Authentifizierungsproblem oder Autorisierungsproblem?
Antwort anzeigen
Wahrscheinlicher ist:
Autorisierungsproblem
Begründung:
Die Anmeldung funktioniert bereits.
Das Problem liegt daher wahrscheinlich bei Berechtigungen,
Gruppen,
ACLs,
Freigaberechten
oder Dateisystemrechten.
Merksatz:
Login ja,
Zugriff nein:
Rechte prüfen.
---
**Aufgabe 19**
Was ist der Unterschied zwischen TCP und UDP?
Antwort anzeigen
TCP:
verbindungsorientiert
zuverlässig
bestätigt Daten
stellt Reihenfolge sicher
mehr Overhead
UDP:
verbindungslos
schneller
weniger Overhead
keine eingebaute Zustellgarantie
Beispiele:
| TCP | UDP |
|---|---|
| HTTPS | DNS |
| SSH | DHCP |
| SMTP | VoIP |
| SMB | NTP |
Merksatz:
TCP = zuverlässig.
UDP = schnell und schlank.
---
**Aufgabe 20**
Was macht ARP?
Antwort anzeigen
ARP steht für:
Address Resolution Protocol
Aufgabe:
ARP löst im lokalen IPv4-Netz eine IP-Adresse in eine MAC-Adresse auf.
Beispiel:
Ein Client möchte sein Gateway erreichen.
Dafür benötigt er die MAC-Adresse des Gateways.
Diese ermittelt er mit ARP.
Merksatz:
ARP findet MAC-Adressen im lokalen IPv4-Netz.
---
**Aufgabe 21**
Ein Host möchte ein Ziel außerhalb des eigenen Subnetzes erreichen.
Welche MAC-Adresse wird im lokalen Ethernet-Frame verwendet?
Antwort anzeigen
Verwendet wird:
die MAC-Adresse des Standardgateways
Begründung:
Das IP-Ziel bleibt der entfernte Zielhost.
Aber lokal wird das Frame an den nächsten Hop gesendet,
also an das Gateway.
Merksatz:
IP zeigt zum Endziel.
MAC zeigt zum nächsten lokalen Hop.
---
**Aufgabe 22**
Was ist der Unterschied zwischen Switch und Router?
Antwort anzeigen
Switch:
arbeitet hauptsächlich auf Schicht 2
leitet Frames anhand von MAC-Adressen weiter
verbindet Geräte im lokalen Netz
Router:
arbeitet auf Schicht 3
leitet Pakete anhand von IP-Adressen weiter
verbindet unterschiedliche IP-Netze
Merksatz:
Switch verbindet lokal.
Router verbindet Netze.
---
**Aufgabe 23**
Was ist der Unterschied zwischen VLAN und Subnetz?
Antwort anzeigen
VLAN:
logische Trennung auf Schicht 2
Subnetz:
logische IP-Aufteilung auf Schicht 3
Wichtig:
In der Praxis wird einem VLAN häufig ein eigenes IP-Subnetz zugeordnet.
Fachlich sind VLAN und Subnetz aber nicht dasselbe.
Merksatz:
VLAN = Layer 2.
Subnetz = Layer 3.
---
**Aufgabe 24**
Warum braucht man Inter-VLAN-Routing?
Antwort anzeigen
VLANs sind voneinander getrennte Layer-2-Bereiche.
Damit Geräte aus unterschiedlichen VLANs miteinander kommunizieren können,
braucht man Routing zwischen diesen Netzen.
Das nennt man:
Inter-VLAN-Routing
Möglich über:
Router
Layer-3-Switch
Firewall
Merksatz:
VLANs trennen.
Routing verbindet gezielt.
---
**Aufgabe 25**
Was ist der Unterschied zwischen NAT und Firewall?
Antwort anzeigen
NAT:
übersetzt IP-Adressen
Firewall:
erlaubt oder blockiert Verkehr anhand von Regeln
Wichtig:
Viele Geräte kombinieren NAT und Firewall.
Fachlich bleiben es unterschiedliche Funktionen.
Merksatz:
NAT übersetzt.
Firewall filtert.
---
**Aufgabe 26**
Was ist PAT?
Antwort anzeigen
PAT steht für:
Port Address Translation
PAT ist eine Form von NAT,
bei der zusätzlich Ports genutzt werden,
um viele interne Verbindungen über eine öffentliche IP-Adresse zu unterscheiden.
Merksatz:
PAT nutzt Ports zur Zuordnung mehrerer Verbindungen.
---
**Aufgabe 27**
Warum ist eine Any-to-Any-Firewall-Regel kritisch?
Antwort anzeigen
Any-to-Any ist kritisch,
weil dadurch jede Quelle zu jedem Ziel kommunizieren darf.
Risiken:
große Angriffsfläche
schlechte Nachvollziehbarkeit
Umgehung von Sicherheitszonen
unnötige Freigaben
Besser:
genaue Regeln mit Quelle,
Ziel,
Port,
Protokoll
und Zweck.
Merksatz:
Firewall-Regeln so genau wie möglich formulieren.
---
**Aufgabe 28**
Was bedeutet Default Deny?
Antwort anzeigen
Default Deny bedeutet:
Standardmäßig ist Verkehr verboten.
Nur ausdrücklich erlaubter Verkehr wird zugelassen.
Vorteil:
bessere Kontrolle
kleinere Angriffsfläche
weniger ungewollte Freigaben
Merksatz:
Erst blockieren,
dann gezielt erlauben.
---
**Aufgabe 29**
Was ist der Unterschied zwischen RPO und RTO?
Antwort anzeigen
RPO:
Recovery Point Objective
maximal akzeptabler Datenverlust
RTO:
Recovery Time Objective
maximal akzeptable Wiederherstellungszeit
Merksatz:
RPO = Datenverlust.
RTO = Zeit bis Wiederherstellung.
---
**Aufgabe 30**
Warum ersetzt ein Snapshot kein Backup?
Antwort anzeigen
Ein Snapshot ersetzt kein Backup,
weil er oft auf demselben Speicher oder System liegt wie die Produktivdaten.
Risiken:
Speicherdefekt betrifft Snapshot ebenfalls
Ransomware kann Snapshot erreichen
Snapshot kann gelöscht werden
Speicherplatz kann volllaufen
Merksatz:
Snapshot ist Momentaufnahme,
aber kein vollständiges Backup-Konzept.
---
**Aufgabe 31**
Ordne die Angriffe dem passenden Schutzziel zu.
| Angriff | Schutzziel |
|---|---|
| DDoS | ? |
| Datenabfluss | ? |
| Manipulation einer Konfigurationsdatei | ? |
| Ransomware | ? |
Antwort anzeigen
| Angriff | Schutzziel |
|---|---|
| DDoS | Verfügbarkeit |
| Datenabfluss | Vertraulichkeit |
| Manipulation einer Konfigurationsdatei | Integrität |
| Ransomware | Verfügbarkeit, bei Datenabfluss auch Vertraulichkeit |
Merksatz:
Erst Schutzziel erkennen,
dann Maßnahme auswählen.
---
**Aufgabe 32**
Was ist der Unterschied zwischen IDS und IPS?
Antwort anzeigen
IDS:
Intrusion Detection System
erkennt und meldet Angriffe
IPS:
Intrusion Prevention System
erkennt und blockiert Angriffe zusätzlich
Merksatz:
IDS meldet.
IPS blockiert.
---
**Aufgabe 33**
Was bedeutet Least Privilege?
Antwort anzeigen
Least Privilege bedeutet:
Benutzer,
Dienste
und Prozesse erhalten nur die Rechte,
die sie für ihre Aufgabe wirklich benötigen.
Ziel:
Schaden bei Fehlern oder Angriffen begrenzen.
Merksatz:
So wenig Rechte wie möglich,
so viele wie nötig.
---
**Aufgabe 34**
Was bedeutet MFA?
Antwort anzeigen
MFA steht für:
Multi-Faktor-Authentifizierung
Dabei werden mehrere Faktoren kombiniert.
Beispiele:
Wissen:
Passwort
Besitz:
Smartphone,
Token,
Smartcard
Sein:
biometrisches Merkmal
Merksatz:
MFA sorgt dafür,
dass ein Passwort allein nicht reicht.
---
**Aufgabe 35**
Was ist der Unterschied zwischen Brute Force,
Password Spraying
und Credential Stuffing?
Antwort anzeigen
Brute Force:
viele Passwortversuche gegen ein Konto oder Ziel
Password Spraying:
ein häufiges Passwort gegen viele Konten
Credential Stuffing:
bereits geleakte Zugangsdaten werden bei anderen Diensten getestet
Merksatz:
Brute Force:
viele Versuche.
Password Spraying:
ein Passwort,
viele Konten.
Credential Stuffing:
geleakte Zugangsdaten.
---
**Aufgabe 36**
Was bedeutet Hardening?
Antwort anzeigen
Hardening bedeutet:
ein System sicherer zu konfigurieren,
indem unnötige Funktionen deaktiviert
und Angriffsflächen reduziert werden.
Beispiele:
unnötige Dienste deaktivieren
Standardpasswörter ändern
unsichere Protokolle abschalten
Rechte begrenzen
Logging aktivieren
Updates einspielen
Merksatz:
Hardening verringert die Angriffsfläche.
---
**Aufgabe 37**
Was ist der Unterschied zwischen IaaS,
PaaS
und SaaS?
Antwort anzeigen
IaaS:
Infrastructure as a Service
virtuelle Infrastruktur,
zum Beispiel virtuelle Maschinen,
Netzwerk
und Speicher
PaaS:
Platform as a Service
verwaltete Plattform für Anwendungen
SaaS:
Software as a Service
fertige Anwendung aus der Cloud
Merksatz:
IaaS = Infrastruktur.
PaaS = Plattform.
SaaS = Software.
---
**Aufgabe 38**
Was bedeutet Shared Responsibility in der Cloud?
Antwort anzeigen
Shared Responsibility bedeutet:
Cloud-Anbieter und Kunde teilen sich die Verantwortung.
Typisch:
Anbieter schützt die Cloud-Infrastruktur.
Kunde schützt Daten,
Identitäten,
Zugriffsrechte,
Konfigurationen
und Anwendungen je nach Modell.
Merksatz:
Cloud bedeutet geteilte Verantwortung.
---
**Aufgabe 39**
Welche Antwort ist besser?
Aufgabe:
Ein Client erreicht die Webseite per IP-Adresse,
aber nicht per Namen.
Nennen Sie eine wahrscheinliche Ursache.
Antwort A:
Internet kaputt.
Antwort B:
Wahrscheinlich liegt ein DNS-Problem vor,
weil die IP-Adresse erreichbar ist,
der Name aber nicht aufgelöst wird.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort nennt eine wahrscheinliche Ursache
und begründet sie mit dem Fehlerbild.
Merksatz:
Ursache,
Begründung,
Prüfung.
---
**Aufgabe 40**
Welche Antwort ist besser?
Aufgabe:
Warum sollte RDP nicht direkt aus dem Internet erreichbar sein?
Antwort A:
Weil das nicht gut ist.
Antwort B:
RDP ist ein häufiges Angriffsziel für Brute-Force-Angriffe und Exploits.
Sicherer ist der Zugriff über VPN oder RDP-Gateway mit MFA und Firewall-Beschränkung.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort nennt ein konkretes Risiko
und passende Schutzmaßnahmen.
Merksatz:
Sicherheitsantwort:
Risiko,
Maßnahme,
Wirkung.
---
**Mini-Prüfung: 10 schnelle Zuordnungen**
| Frage | Antwort |
|---|---|
| DNS gehört zu welcher OSI-Schicht? | Schicht 7 |
| TCP gehört zu welcher OSI-Schicht? | Schicht 4 |
| IP gehört zu welcher OSI-Schicht? | Schicht 3 |
| MAC gehört zu welcher OSI-Schicht? | Schicht 2 |
| Kabel gehört zu welcher OSI-Schicht? | Schicht 1 |
| HTTPS nutzt typischerweise welchen Port? | TCP 443 |
| SSH nutzt typischerweise welchen Port? | TCP 22 |
| SMB nutzt typischerweise welchen Port? | TCP 445 |
| DHCP nutzt welche Ports? | UDP 67 und 68 |
| DNS nutzt welchen Port? | UDP/TCP 53 |
---
**Mini-Prüfung: Fehlerbild erkennen**
| Fehlerbild | Wahrscheinlichstes Thema |
|---|---|
| IP geht, Name nicht | DNS |
| 169.254.x.x | DHCP |
| lokal geht, extern nicht | Gateway, Routing, NAT oder Firewall |
| Host erreichbar, Dienst nicht | Port, Dienst oder Firewall |
| Login geht, Zugriff nicht | Autorisierung / Rechte |
| Anmeldung scheitert | Authentifizierung |
| Zertifikatswarnung | TLS/Zertifikat |
| nach Update defekt | Change prüfen |
| Daten verschlüsselt und Lösegeldforderung | Ransomware |
| sehr viele Loginversuche | Brute Force |
---
**IHK-sichere Kurzformulierung**
Das OSI-Modell hilft, Netzwerkkommunikation und Fehler systematisch einzuordnen. Schicht 1 betrifft Signale und Medien, Schicht 2 lokale Kommunikation mit MAC-Adressen, Schicht 3 IP-Adressierung und Routing, Schicht 4 Transport mit TCP, UDP und Ports und Schicht 7 Anwendungsprotokolle wie DNS, DHCP und HTTP. Das TCP/IP-Modell ist praxisnäher und fasst mehrere OSI-Schichten zusammen. Bei der Fehlersuche sollte man Fehlerbilder auswerten: IP erreichbar, Name nicht deutet auf DNS hin; 169.254.x.x deutet auf DHCP hin; lokal erreichbar, extern nicht deutet auf Gateway, Routing, NAT oder Firewall hin. Gute Prüfungsantworten nennen Ursache, Begründung und passende Prüfung oder Maßnahme.
---
**Merksätze**
OSI ist das Denkmodell.
TCP/IP ist das Praxismodell.
Schicht 1:
Signal.
Schicht 2:
MAC und VLAN.
Schicht 3:
IP und Routing.
Schicht 4:
TCP,
UDP
und Ports.
Schicht 7:
Dienste und Anwendungen.
MAC ist lokal.
IP ist logisch.
Port ist Dienstzuordnung.
DNS löst Namen auf.
DHCP verteilt IP-Konfiguration.
Gateway führt in andere Netze.
NAT übersetzt Adressen.
Firewall filtert Verkehr.
ping prüft ICMP,
nicht den Dienst.
IP ja,
Name nein:
DNS.
169.254.x.x:
DHCP.
Lokal ja,
extern nein:
Gateway prüfen.
Host ja,
Dienst nein:
Port prüfen.
Login ja,
Zugriff nein:
Rechte prüfen.
TCP ist zuverlässig.
UDP ist schnell und verbindungslos.
ARP löst IPv4 zu MAC auf.
VLAN trennt logisch.
Routing verbindet Netze.
Backup ohne Restore-Test ist unsicher.
RPO ist Datenverlust.
RTO ist Wiederherstellungszeit.
IDS meldet.
IPS blockiert.
MFA schützt gegen Passwortmissbrauch.
Least Privilege begrenzt Rechte.
Hardening reduziert Angriffsfläche.
Gute Prüfungsantwort:
Ursache,
Begründung,
Prüfung.
# 20.2 Trainer – Schicht 1 / Übertragungsmedien, Verkabelung
Diese Trainer-Seite wiederholt Übertragungsmedien,
Verkabelung,
Signalqualität
und die OSI-Schicht 1.
Ziel ist,
typische Prüfungsfragen zu Kabeln,
LWL,
WLAN,
Dämpfung,
Duplex,
Auto-Negotiation
und physikalischer Fehlersuche sicher zu beantworten.
Merksatz:
Schicht 1 fragt:
Kommt überhaupt ein Signal an?
---
**Lernziele**
Nach dieser Seite solltest du sicher können:
- Kupfer,
LWL
und WLAN unterscheiden
- Koaxialkabel,
Twisted Pair
und Glasfaser einordnen
- Dämpfung erklären
- Duplex und Auto-Negotiation erklären
- typische Schicht-1-Fehler erkennen
- passende Prüfmaßnahmen nennen
- Übertragungsmedien nach Einsatzzweck auswählen
---
**Kurzüberblick: Übertragungsmedien**
| Medium | Signalart | Typische Nutzung |
|---|---|---|
| Twisted Pair | elektrisch | LAN-Verkabelung |
| Koaxialkabel | elektrisch | ältere Netze, Kabelanschluss, Antennentechnik |
| Lichtwellenleiter | optisch | hohe Bandbreite, lange Strecken |
| WLAN | Funk | drahtlose Netzwerkverbindung |
Merksatz:
Kupfer überträgt elektrisch.
LWL überträgt optisch.
WLAN überträgt per Funk.
---
**Kurzüberblick: OSI-Schicht 1**
OSI-Schicht 1 heißt:
Bitübertragungsschicht
Aufgabe:
Bits als Signale übertragen.
Typische Themen:
Kabel
Stecker
Funk
Licht
elektrische Signale
Dämpfung
Störungen
Link
Geschwindigkeit
Duplex
Auto-Negotiation
Merksatz:
Schicht 1 kümmert sich um die physische Übertragung.
---
**Aufgabe 1**
Welche OSI-Schicht ist betroffen,
wenn ein Netzwerkkabel defekt ist?
Antwort anzeigen
Betroffen ist:
OSI-Schicht 1
Begründung:
Ein defektes Kabel betrifft die physische Signalübertragung.
Kabel,
Stecker,
Funk,
Licht
und elektrische Signale gehören zur Bitübertragungsschicht.
Merksatz:
Kabelproblem = Schicht 1.
---
**Aufgabe 2**
Ordne die Medien der richtigen Signalart zu.
| Medium | Signalart |
|---|---|
| Twisted Pair | ? |
| Lichtwellenleiter | ? |
| WLAN | ? |
| Koaxialkabel | ? |
Antwort anzeigen
| Medium | Signalart |
|---|---|
| Twisted Pair | elektrisch |
| Lichtwellenleiter | optisch |
| WLAN | Funk |
| Koaxialkabel | elektrisch |
Merksatz:
Kupfer elektrisch,
Glasfaser optisch,
WLAN Funk.
---
**Aufgabe 3**
Was ist Twisted-Pair-Kabel?
Antwort anzeigen
Twisted-Pair-Kabel ist ein Kupferkabel,
bei dem Adernpaare miteinander verdrillt sind.
Ziel der Verdrillung:
Störungen reduzieren
Übersprechen verringern
Signalqualität verbessern
Typische Nutzung:
Ethernet-LAN
Merksatz:
Twisted Pair = verdrillte Kupferadern für LAN.
---
**Aufgabe 4**
Warum sind die Adernpaare bei Twisted-Pair-Kabeln verdrillt?
Antwort anzeigen
Die Adernpaare sind verdrillt,
um elektromagnetische Störungen und Übersprechen zu reduzieren.
Dadurch wird die Signalqualität verbessert.
Merksatz:
Verdrillung schützt vor Störungen.
---
**Aufgabe 5**
Welche Aussage ist richtig?
A: LWL überträgt Daten elektrisch.
B: Twisted Pair überträgt Daten optisch.
C: LWL überträgt Daten mit Licht.
D: WLAN nutzt MAC-Adressen nicht.
Antwort anzeigen
Richtig ist:
C: LWL überträgt Daten mit Licht.
Begründung:
Lichtwellenleiter übertragen Signale optisch
und eignen sich besonders für hohe Bandbreiten
und lange Strecken.
---
**Aufgabe 6**
Nenne zwei Vorteile von Lichtwellenleitern gegenüber Kupferkabeln.
Antwort anzeigen
Mögliche Vorteile:
hohe Bandbreite
große Reichweite
unempfindlicher gegen elektromagnetische Störungen
galvanische Trennung
schwerer unbemerkt abzuhören als Kupfer
IHK-sichere Antwort:
Lichtwellenleiter ermöglichen hohe Übertragungsraten über lange Strecken
und sind unempfindlich gegenüber elektromagnetischen Störungen.
---
**Aufgabe 7**
Nenne zwei Nachteile von Lichtwellenleitern.
Antwort anzeigen
Mögliche Nachteile:
empfindlicher gegenüber Knicken
aufwendigere Montage
spezielle Spleiß- oder Stecktechnik nötig
oft teurere aktive Komponenten
Verschmutzung an Steckern kann Probleme verursachen
Merksatz:
LWL ist leistungsfähig,
aber empfindlich bei Montage und Handhabung.
---
**Aufgabe 8**
Was ist Dämpfung?
Antwort anzeigen
Dämpfung bedeutet:
Das Signal wird auf dem Übertragungsweg schwächer.
Ursachen:
Kabellänge
schlechte Stecker
Knicke
schlechte Spleiße
Störungen
minderwertiges Kabel
Verschmutzung bei LWL
Merksatz:
Dämpfung = Signalverlust auf dem Weg.
---
**Aufgabe 9**
Welche Folge kann zu hohe Dämpfung haben?
Antwort anzeigen
Mögliche Folgen:
Verbindungsabbrüche
Paketverluste
geringere Übertragungsrate
instabile Verbindung
kein Link
hohe Fehlerrate
Merksatz:
Zu viel Dämpfung macht Verbindungen langsam,
instabil
oder unmöglich.
---
**Aufgabe 10**
Was bedeutet „Link“ bei einer Netzwerkschnittstelle?
Antwort anzeigen
Link bedeutet:
Die physische Verbindung zwischen zwei Netzwerkkomponenten ist erkannt.
Beispiel:
Netzwerkkarte und Switchport erkennen,
dass eine Verbindung besteht.
Wichtig:
Link vorhanden heißt nicht automatisch,
dass IP,
DNS
oder Anwendung funktionieren.
Merksatz:
Link bedeutet physische Verbindung,
nicht vollständige Netzwerkfunktion.
---
**Aufgabe 11**
Ein Switchport zeigt keinen Link.
Nenne vier mögliche Ursachen.
Antwort anzeigen
Mögliche Ursachen:
Kabel defekt
Stecker nicht richtig eingesteckt
falscher Port
Netzwerkkarte deaktiviert
Switchport deaktiviert
Gegenstelle ausgeschaltet
falsches oder beschädigtes Patchkabel
SFP-Modul defekt
LWL-Stecker verschmutzt
Merksatz:
Kein Link:
zuerst Schicht 1 prüfen.
---
**Aufgabe 12**
Was bedeutet Half-Duplex?
Antwort anzeigen
Half-Duplex bedeutet:
Ein Gerät kann senden oder empfangen,
aber nicht gleichzeitig beides.
Beispiel:
Funkgerät-Prinzip:
Einer spricht,
der andere hört.
Merksatz:
Half-Duplex = nicht gleichzeitig senden und empfangen.
---
**Aufgabe 13**
Was bedeutet Full-Duplex?
Antwort anzeigen
Full-Duplex bedeutet:
Ein Gerät kann gleichzeitig senden und empfangen.
Typisch bei:
modernen Ethernet-Verbindungen über Switches
Merksatz:
Full-Duplex = gleichzeitig senden und empfangen.
---
**Aufgabe 14**
Warum ist ein Duplex-Mismatch problematisch?
Antwort anzeigen
Ein Duplex-Mismatch entsteht,
wenn eine Seite Full-Duplex
und die andere Seite Half-Duplex verwendet.
Folgen:
schlechte Performance
Kollisionen
Paketverluste
viele Fehler auf dem Interface
langsame oder instabile Verbindung
Merksatz:
Duplex-Mismatch verursacht oft schwer erkennbare Performance-Probleme.
---
**Aufgabe 15**
Was bedeutet Auto-Negotiation?
Antwort anzeigen
Auto-Negotiation bedeutet:
Netzwerkgeräte handeln automatisch Geschwindigkeit
und Duplexmodus aus.
Beispiel:
1 Gbit/s Full-Duplex
Vorteil:
weniger manuelle Konfiguration
Problem:
Fehlkonfiguration oder alte Geräte können falsche Werte aushandeln.
Merksatz:
Auto-Negotiation handelt Geschwindigkeit und Duplex aus.
---
**Aufgabe 16**
Welche Angaben gehören typischerweise zu einer Schicht-1-Prüfung?
Antwort anzeigen
Typische Prüfungen:
Kabel korrekt gesteckt?
Link vorhanden?
Port aktiv?
Gegenstelle eingeschaltet?
richtige Geschwindigkeit?
richtiger Duplexmodus?
Kabel beschädigt?
Stecker beschädigt?
LWL sauber?
WLAN-Signal ausreichend?
Merksatz:
Schicht 1 prüft Medium,
Signal
und Verbindung.
---
**Aufgabe 17**
Was ist der Unterschied zwischen einem Hub und einem Switch?
Antwort anzeigen
Hub:
arbeitet vereinfacht auf Schicht 1
sendet eingehende Bits an alle Ports weiter
keine MAC-Adresstabelle
gemeinsame Kollisionsdomäne
Switch:
arbeitet hauptsächlich auf Schicht 2
lernt MAC-Adressen
leitet Frames gezielt weiter
Merksatz:
Hub verteilt blind.
Switch leitet gezielt.
---
**Aufgabe 18**
Was ist ein Repeater?
Antwort anzeigen
Ein Repeater verstärkt oder regeneriert Signale,
damit sie über größere Strecken übertragen werden können.
Typische Schicht:
OSI-Schicht 1
Merksatz:
Repeater verlängert physische Signalübertragung.
---
**Aufgabe 19**
Was ist ein Medienkonverter?
Antwort anzeigen
Ein Medienkonverter verbindet unterschiedliche Übertragungsmedien.
Beispiel:
Kupfer-Ethernet
zu
Glasfaser
Typischer Einsatz:
Übergang von Twisted Pair auf LWL
Merksatz:
Medienkonverter verbindet Kupfer und LWL.
---
**Aufgabe 20**
Was ist ein SFP-Modul?
Antwort anzeigen
SFP steht für:
Small Form-factor Pluggable
Ein SFP-Modul ist ein steckbares Transceiver-Modul,
zum Beispiel für Glasfaser- oder Kupferverbindungen.
Typische Nutzung:
Switches
Router
Firewalls
Servernetzwerkkarten
Merksatz:
SFP ist ein steckbares Modul für Netzwerkverbindungen.
---
**Aufgabe 21**
Warum kann ein verschmutzter LWL-Stecker Probleme verursachen?
Antwort anzeigen
Ein verschmutzter LWL-Stecker kann das Lichtsignal dämpfen oder stören.
Folgen:
hohe Fehlerrate
instabile Verbindung
niedrige Signalqualität
kein Link
Merksatz:
LWL-Stecker müssen sauber sein,
weil Licht präzise übertragen wird.
---
**Aufgabe 22**
Was ist der Unterschied zwischen Singlemode und Multimode bei LWL?
Antwort anzeigen
Singlemode:
für sehr lange Strecken geeignet
kleiner Faserkern
meist Laserlicht
Multimode:
eher für kürzere Strecken im Gebäude oder Rechenzentrum
größerer Faserkern
meist kürzere Reichweite als Singlemode
Merksatz:
Singlemode für lange Strecken.
Multimode für kürzere Strecken.
---
**Aufgabe 23**
Welche Aussage ist richtig?
A: Multimode ist immer besser als Singlemode.
B: Singlemode eignet sich eher für lange Strecken.
C: LWL ist stärker von elektromagnetischen Störungen betroffen als Kupfer.
D: LWL nutzt elektrische Signale.
Antwort anzeigen
Richtig ist:
B: Singlemode eignet sich eher für lange Strecken.
Begründung:
Singlemode-LWL wird typischerweise für größere Entfernungen verwendet,
während Multimode häufig für kürzere Strecken genutzt wird.
---
**Aufgabe 24**
Was bedeutet strukturierte Verkabelung?
Antwort anzeigen
Strukturierte Verkabelung bedeutet:
eine geplante,
normierte
und dokumentierte Verkabelungsstruktur in Gebäuden oder Standorten.
Typische Bereiche:
Primärbereich:
Standort- oder Gebäudeanbindung
Sekundärbereich:
Steigbereich zwischen Etagen
Tertiärbereich:
Etagenverkabelung bis zum Arbeitsplatz
Merksatz:
Strukturierte Verkabelung sorgt für Ordnung,
Erweiterbarkeit
und Wartbarkeit.
---
**Aufgabe 25**
Ordne die Bereiche der strukturierten Verkabelung zu.
| Bereich | Bedeutung |
|---|---|
| Primärbereich | ? |
| Sekundärbereich | ? |
| Tertiärbereich | ? |
Antwort anzeigen
| Bereich | Bedeutung |
|---|---|
| Primärbereich | Standort- oder Gebäudeanbindung |
| Sekundärbereich | Steigbereich zwischen Etagen |
| Tertiärbereich | Etagenverkabelung bis zum Arbeitsplatz |
Merksatz:
Primär weit,
Sekundär Etagen,
Tertiär Arbeitsplatz.
---
**Aufgabe 26**
Was ist ein Patchpanel?
Antwort anzeigen
Ein Patchpanel ist ein Verteilerfeld,
an dem feste Gebäudeverkabelung endet.
Von dort werden Verbindungen mit Patchkabeln zum Switch hergestellt.
Vorteil:
übersichtliche Verkabelung
einfache Änderungen
bessere Dokumentation
Merksatz:
Patchpanel verbindet feste Verkabelung mit flexibler Patchung.
---
**Aufgabe 27**
Was ist der Unterschied zwischen Installationskabel und Patchkabel?
Antwort anzeigen
Installationskabel:
fest verlegt
meist in Wänden,
Kabelkanälen
oder Gebäudestruktur
Patchkabel:
flexible kurze Verbindung
zum Beispiel zwischen Patchpanel und Switch
oder zwischen Netzwerkdose und Endgerät
Merksatz:
Installationskabel fest.
Patchkabel flexibel.
---
**Aufgabe 28**
Was ist WLAN als Übertragungsmedium?
Antwort anzeigen
WLAN ist ein drahtloses Übertragungsmedium.
Es nutzt Funkwellen,
um Daten zwischen Endgeräten und Access Points zu übertragen.
Typische Vorteile:
Mobilität
flexible Nutzung
weniger Kabelbedarf
Typische Nachteile:
Störungen
geteiltes Medium
Reichweitenbegrenzung
Sicherheitsrisiken bei falscher Konfiguration
Merksatz:
WLAN ist flexibel,
aber störanfälliger als Kabel.
---
**Aufgabe 29**
Warum ist WLAN ein geteiltes Medium?
Antwort anzeigen
WLAN ist ein geteiltes Medium,
weil mehrere Geräte denselben Funkkanal verwenden können.
Folge:
Geräte müssen sich die verfügbare Funkzeit teilen.
Dadurch können entstehen:
geringere Datenrate pro Gerät
höhere Latenz
Kollisionen oder Wartezeiten
Leistungseinbruch bei vielen Clients
Merksatz:
WLAN-Bandbreite wird geteilt.
---
**Aufgabe 30**
Nenne vier typische Ursachen für schlechtes WLAN.
Antwort anzeigen
Mögliche Ursachen:
zu große Entfernung zum Access Point
Wände oder Hindernisse
Störungen durch andere Funknetze
zu viele Clients
falscher Kanal
schlechte Access-Point-Position
alte WLAN-Standards
schlechte Antennenausrichtung
zu hohe oder zu niedrige Sendeleistung
Merksatz:
WLAN-Probleme hängen oft mit Signal,
Störung,
Kanal
und Auslastung zusammen.
---
**Aufgabe 31**
Was bedeutet MIMO?
Antwort anzeigen
MIMO steht für:
Multiple Input Multiple Output
Bedeutung:
Mehrere Antennen werden genutzt,
um Datenübertragung zu verbessern.
Vorteile:
höhere Datenrate
bessere Funkleistung
bessere Ausnutzung des Funkkanals
Merksatz:
MIMO nutzt mehrere Antennen.
---
**Aufgabe 32**
Was ist der Unterschied zwischen MIMO und MU-MIMO?
Antwort anzeigen
MIMO:
mehrere Antennen für bessere Übertragung
MU-MIMO:
Multi User MIMO
Access Point kann mehrere Clients effizienter gleichzeitig bedienen
Merksatz:
MU-MIMO verbessert die Bedienung mehrerer Nutzer.
---
**Aufgabe 33**
Was ist EIRP?
Antwort anzeigen
EIRP steht für:
Equivalent Isotropically Radiated Power
Bedeutung:
effektive abgestrahlte Sendeleistung bezogen auf einen isotropen Strahler.
Wichtig bei WLAN:
gesetzliche Grenzwerte
Antennengewinn
Sendeleistung
Merksatz:
EIRP beschreibt die wirksame abgestrahlte Leistung.
---
**Aufgabe 34**
Was bedeutet dB oder Dezibel?
Antwort anzeigen
Dezibel ist eine logarithmische Einheit,
mit der Verhältnisse beschrieben werden.
In Netzwerken und Funktechnik wird dB genutzt für:
Dämpfung
Verstärkung
Antennengewinn
Signalpegel
Merksatz:
dB beschreibt Verhältnisse,
nicht einfach normale lineare Werte.
---
**Aufgabe 35**
Welche Aussage zu WLAN-Sicherheit ist richtig?
A: Ein versteckter WLAN-Name ersetzt Verschlüsselung.
B: WPA2 oder WPA3 schützt WLAN besser als offenes WLAN.
C: MAC-Filter allein ist eine starke Sicherheitsmaßnahme.
D: Gäste sollten immer im internen VLAN sein.
Antwort anzeigen
Richtig ist:
B: WPA2 oder WPA3 schützt WLAN besser als offenes WLAN.
Begründung:
WLAN sollte verschlüsselt und sicher authentifiziert werden.
Gäste sollten getrennt vom internen Netz betrieben werden.
Merksatz:
WLAN-Sicherheit braucht Verschlüsselung,
starke Zugangsdaten
und Netztrennung.
---
**Aufgabe 36**
Warum sollte ein Gast-WLAN getrennt vom internen Netz sein?
Antwort anzeigen
Ein Gast-WLAN sollte getrennt sein,
damit Gäste nicht auf interne Systeme zugreifen können.
Schutz:
interne Server
Clients
Drucker
Managementoberflächen
sensible Daten
Typische Umsetzung:
eigenes VLAN
Firewall-Regeln
nur Internetzugriff erlauben
Merksatz:
Gast-WLAN gehört nicht ins interne Netz.
---
**Aufgabe 37**
Ein Arbeitsplatz hat keine Netzwerkverbindung.
Nenne eine sinnvolle Prüf-Reihenfolge auf Schicht 1.
Antwort anzeigen
Sinnvolle Reihenfolge:
1. Kabel steckt korrekt?
2. Link-LED aktiv?
3. anderes Patchkabel testen?
4. anderen Switchport testen?
5. Netzwerkdose prüfen?
6. Endgerät-Netzwerkkarte aktiv?
7. Switchport administrativ aktiv?
8. Geschwindigkeit und Duplex prüfen?
Merksatz:
Bei „keine Verbindung“ zuerst physisch prüfen.
---
**Aufgabe 38**
Ein Server hat Link,
aber die Verbindung ist extrem langsam und instabil.
Welche Schicht-1-Themen können Ursache sein?
Antwort anzeigen
Mögliche Ursachen:
defektes Kabel
schlechte Steckverbindung
Duplex-Mismatch
falsche Geschwindigkeit
hohe Dämpfung
Störungen
beschädigter Port
fehlerhaftes SFP-Modul
LWL-Stecker verschmutzt
Merksatz:
Link vorhanden heißt nicht,
dass die Signalqualität gut ist.
---
**Aufgabe 39**
Welche Antwort ist besser?
Aufgabe:
Ein Client hat keine Netzwerkverbindung.
Nennen Sie eine erste sinnvolle Prüfmaßnahme.
Antwort A:
Server neu installieren.
Antwort B:
Zuerst sollte geprüft werden,
ob die physische Verbindung besteht,
also Kabel,
Stecker,
Link-LED
und Switchport.
Antwort anzeigen
B ist besser.
Begründung:
Bei fehlender Netzwerkverbindung beginnt die Fehlersuche auf Schicht 1.
Erst wenn Link und physische Verbindung passen,
werden IP,
Gateway,
DNS
und Dienste geprüft.
Merksatz:
Erst Schicht 1,
dann höhere Schichten.
---
**Aufgabe 40**
Welche Antwort ist besser?
Aufgabe:
Warum kann LWL sinnvoller sein als Kupfer?
Antwort A:
Weil Glasfaser moderner ist.
Antwort B:
LWL ist für hohe Bandbreiten und lange Strecken geeignet
und unempfindlich gegenüber elektromagnetischen Störungen.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort nennt konkrete technische Vorteile
und ist damit prüfungssicherer.
Merksatz:
Nicht „moderner“ schreiben,
sondern technischen Nutzen nennen.
---
**Mini-Prüfung: schnelle Zuordnung**
| Frage | Antwort |
|---|---|
| Welche OSI-Schicht ist für Kabel und Signale zuständig? | Schicht 1 |
| Wie heißt OSI-Schicht 1? | Bitübertragungsschicht |
| Welches Medium nutzt Licht? | LWL |
| Welches Medium nutzt Funk? | WLAN |
| Welches Medium nutzt elektrische Signale? | Kupfer |
| Was bedeutet Dämpfung? | Signalverlust |
| Was bedeutet Full-Duplex? | gleichzeitig senden und empfangen |
| Was bedeutet Half-Duplex? | senden oder empfangen, nicht gleichzeitig |
| Was macht Auto-Negotiation? | Geschwindigkeit und Duplex automatisch aushandeln |
| Was verbindet Kupfer und LWL? | Medienkonverter |
| Was ist ein SFP? | steckbares Transceiver-Modul |
| Was ist ein Patchpanel? | Verteilerfeld für Gebäudeverkabelung |
---
**Mini-Prüfung: Fehlerbild erkennen**
| Fehlerbild | Wahrscheinlichstes Thema |
|---|---|
| kein Link am Switchport | Schicht 1 |
| Link vorhanden, aber viele Fehler | Kabel, Duplex, Dämpfung, Port |
| WLAN langsam und instabil | Signal, Störung, Kanal, Auslastung |
| LWL-Link instabil | Stecker, Dämpfung, SFP, Faser |
| nur ein Arbeitsplatz betroffen | Kabel, Dose, Patchpanel, Switchport |
| mehrere Dosen auf Etage betroffen | Verteilung, Switch, Patchfeld |
| Verbindung bricht bei Bewegung ab | Kabel oder Stecker beschädigt |
| nach Austausch kein Link | falsches Kabel, falsches Modul, Portkonfiguration |
---
**IHK-sichere Kurzformulierung**
Die OSI-Schicht 1 ist die Bitübertragungsschicht. Sie beschreibt die physische Übertragung von Bits als elektrische, optische oder Funksignale. Typische Themen sind Kabel, Stecker, Funk, Lichtwellenleiter, Signalqualität, Dämpfung, Link, Geschwindigkeit, Duplex und Auto-Negotiation. Kupferkabel wie Twisted Pair übertragen elektrische Signale, Lichtwellenleiter übertragen optische Signale und WLAN nutzt Funk. Bei Störungen ohne Link oder mit instabiler Verbindung sollte zuerst die physische Verbindung geprüft werden, zum Beispiel Kabel, Stecker, Switchport, Link-LED, SFP-Modul, Dämpfung und Duplexmodus.
---
**Merksätze**
Schicht 1 ist die Bitübertragungsschicht.
Schicht 1 überträgt Bits als Signale.
Kupfer überträgt elektrisch.
LWL überträgt optisch.
WLAN überträgt per Funk.
Twisted Pair nutzt verdrillte Adernpaare.
Verdrillung reduziert Störungen.
LWL eignet sich für hohe Bandbreite und lange Strecken.
Singlemode eignet sich eher für lange Strecken.
Multimode eignet sich eher für kürzere Strecken.
Dämpfung bedeutet Signalverlust.
Zu hohe Dämpfung verursacht Fehler oder Verbindungsabbrüche.
Link bedeutet physische Verbindung erkannt.
Link heißt nicht automatisch,
dass IP oder Anwendung funktionieren.
Half-Duplex sendet oder empfängt.
Full-Duplex sendet und empfängt gleichzeitig.
Auto-Negotiation handelt Geschwindigkeit und Duplex aus.
Duplex-Mismatch verursacht Performance-Probleme.
Hub verteilt blind.
Switch leitet gezielt.
Repeater regeneriert Signale.
Medienkonverter verbindet Medien.
SFP ist ein steckbares Transceiver-Modul.
Patchpanel verbindet feste Verkabelung mit Patchkabeln.
Installationskabel ist fest verlegt.
Patchkabel ist flexibel.
WLAN ist ein geteiltes Medium.
WLAN-Probleme hängen oft mit Signal,
Störung,
Kanal
und Auslastung zusammen.
Gast-WLAN gehört getrennt vom internen Netz.
Bei keiner Verbindung zuerst Schicht 1 prüfen.
Erst Kabel,
Link
und Port prüfen,
dann IP,
DNS
und Anwendung.
# 20.3 Trainer – Schicht 2 / Ethernet, MAC-Adressen, Switching, VLAN und ARP
Diese Trainer-Seite wiederholt die OSI-Schicht 2,
Ethernet,
MAC-Adressen,
Switching,
VLANs
und ARP.
Ziel ist,
typische Prüfungsfragen zur lokalen Netzwerkkommunikation sicher zu lösen.
Merksatz:
Schicht 2 fragt:
Funktioniert die lokale Zustellung im gleichen Netzwerksegment?
---
**Lernziele**
Nach dieser Seite solltest du sicher können:
- OSI-Schicht 2 einordnen
- MAC-Adressen erklären
- Ethernet-Frames verstehen
- Switching erklären
- MAC-Adresstabellen nutzen
- Flooding und Broadcast unterscheiden
- VLANs einordnen
- Access-Port und Trunk-Port unterscheiden
- ARP erklären
- typische Schicht-2-Fehler erkennen
---
**Kurzüberblick: OSI-Schicht 2**
OSI-Schicht 2 heißt:
Sicherungsschicht
Aufgabe:
Datenübertragung im lokalen Netzwerksegment organisieren.
Typische Begriffe:
Ethernet
Frame
MAC-Adresse
Switch
VLAN
ARP
Broadcast
MAC-Adresstabelle
STP
Loop
Broadcast-Sturm
Merksatz:
Schicht 2 arbeitet lokal mit Frames und MAC-Adressen.
---
**Kurzüberblick: Schicht 2 und Schicht 3**
| Thema | Schicht | Zweck |
|---|---:|---|
| MAC-Adresse | 2 | lokale Zustellung |
| Ethernet-Frame | 2 | lokale Dateneinheit |
| Switch | 2 | Weiterleitung im LAN |
| VLAN | 2 | logische Trennung |
| IP-Adresse | 3 | logische Adressierung |
| Routing | 3 | Verbindung zwischen Netzen |
Merksatz:
MAC lokal.
IP logisch.
Switch lokal.
Router zwischen Netzen.
---
**Aufgabe 1**
Wie heißt OSI-Schicht 2?
Antwort anzeigen
OSI-Schicht 2 heißt:
Sicherungsschicht
Englisch:
Data Link Layer
Aufgabe:
lokale Übertragung von Frames über MAC-Adressen.
Merksatz:
Schicht 2 = Sicherungsschicht.
---
**Aufgabe 2**
Welche Adresse gehört zu OSI-Schicht 2?
A: IP-Adresse
B: MAC-Adresse
C: Portnummer
D: URL
Antwort anzeigen
Richtig ist:
B: MAC-Adresse
Begründung:
MAC-Adressen werden auf OSI-Schicht 2 zur lokalen Zustellung im LAN verwendet.
Merksatz:
MAC-Adresse = Schicht 2.
---
**Aufgabe 3**
Was ist eine MAC-Adresse?
Antwort anzeigen
Eine MAC-Adresse ist eine Hardware-Adresse einer Netzwerkschnittstelle.
Sie dient zur lokalen Kommunikation im Netzwerksegment.
Beispiel:
AA:BB:CC:11:22:33
Typisch:
48 Bit lang
hexadezimale Schreibweise
Merksatz:
MAC-Adresse identifiziert eine Netzwerkschnittstelle im lokalen Netz.
---
**Aufgabe 4**
Was ist ein Ethernet-Frame?
Antwort anzeigen
Ein Ethernet-Frame ist die Dateneinheit auf OSI-Schicht 2.
Er enthält unter anderem:
Ziel-MAC-Adresse
Quell-MAC-Adresse
Nutzdaten
Prüfinformationen
Merksatz:
Ethernet überträgt Frames.
---
**Aufgabe 5**
Welche Informationen sind typisch in einem Ethernet-Frame enthalten?
| Bestandteil | Enthalten? |
|---|---|
| Ziel-MAC-Adresse | ? |
| Quell-MAC-Adresse | ? |
| Ziel-Port TCP 443 | ? |
| IP-Nutzdaten | ? |
Antwort anzeigen
| Bestandteil | Enthalten? |
|---|---|
| Ziel-MAC-Adresse | ja |
| Quell-MAC-Adresse | ja |
| Ziel-Port TCP 443 | nicht direkt Schicht 2, sondern Teil der höheren Schichten |
| IP-Nutzdaten | ja, als Nutzdaten im Frame |
Merksatz:
Der Frame transportiert höhere Schichten als Nutzdaten.
---
**Aufgabe 6**
Was macht ein Switch?
Antwort anzeigen
Ein Switch verbindet Geräte im lokalen Netzwerk.
Er arbeitet hauptsächlich auf OSI-Schicht 2
und leitet Ethernet-Frames anhand von MAC-Adressen weiter.
Merksatz:
Switch = lokale Weiterleitung anhand MAC-Adressen.
---
**Aufgabe 7**
Wie lernt ein Switch seine MAC-Adresstabelle?
Antwort anzeigen
Ein Switch lernt aus der Quell-MAC-Adresse eingehender Frames.
Wenn ein Frame an Port 3 ankommt,
merkt sich der Switch:
Diese Quell-MAC-Adresse ist über Port 3 erreichbar.
Merksatz:
Switch lernt aus Quell-MAC-Adressen.
---
**Aufgabe 8**
Ein Switch kennt die Ziel-MAC-Adresse.
Was passiert?
Antwort anzeigen
Der Switch leitet den Frame gezielt an den Port weiter,
an dem die Ziel-MAC-Adresse bekannt ist.
Merksatz:
bekannte Ziel-MAC:
gezielte Weiterleitung.
---
**Aufgabe 9**
Ein Switch kennt die Ziel-MAC-Adresse nicht.
Was passiert?
Antwort anzeigen
Der Switch flutet den Frame.
Das bedeutet:
Er sendet den Frame an alle Ports im gleichen VLAN,
außer an den Eingangsport.
Merksatz:
unbekannte Ziel-MAC:
Flooding.
---
**Aufgabe 10**
Was bedeutet Flooding?
Antwort anzeigen
Flooding bedeutet:
Ein Switch sendet einen Frame an alle Ports im gleichen VLAN,
außer an den Port,
über den der Frame gekommen ist.
Flooding passiert bei:
unbekannter Ziel-MAC-Adresse
Broadcast
bestimmten Multicast-Fällen
Merksatz:
Flooding ist nicht immer ein Fehler.
---
**Aufgabe 11**
Was ist ein Broadcast?
Antwort anzeigen
Ein Broadcast ist eine Nachricht an alle Geräte im gleichen Broadcast-Bereich.
Beispiel:
ARP Request
Broadcasts bleiben normalerweise im gleichen VLAN.
Merksatz:
Broadcast erreicht alle Geräte im gleichen VLAN.
---
**Aufgabe 12**
Was ist eine Broadcast-Domäne?
Antwort anzeigen
Eine Broadcast-Domäne ist der Bereich,
in dem Broadcasts verteilt werden.
Ohne VLAN:
oft gesamtes Switch-Netz
Mit VLAN:
jedes VLAN ist eine eigene Broadcast-Domäne
Merksatz:
VLANs trennen Broadcast-Domänen.
---
**Aufgabe 13**
Was ist ein VLAN?
Antwort anzeigen
VLAN steht für:
Virtual Local Area Network
Ein VLAN trennt ein physisches Netzwerk logisch in mehrere getrennte Layer-2-Bereiche.
Beispiele:
VLAN 10 Verwaltung
VLAN 20 Clients
VLAN 30 Server
VLAN 40 Gäste
Merksatz:
VLAN = logische Trennung auf Schicht 2.
---
**Aufgabe 14**
Nenne zwei Gründe für den Einsatz von VLANs.
Antwort anzeigen
Mögliche Gründe:
logische Netztrennung
kleinere Broadcast-Domänen
bessere Struktur
Trennung von Abteilungen
Trennung von Gästen und internem Netz
Trennung von Servern und Clients
separate Managementnetze
IHK-sichere Antwort:
VLANs werden eingesetzt,
um Netzbereiche logisch zu trennen
und Broadcast-Domänen zu verkleinern.
---
**Aufgabe 15**
Ist ein VLAN dasselbe wie ein IP-Subnetz?
Antwort anzeigen
Nein.
VLAN:
logische Trennung auf OSI-Schicht 2
IP-Subnetz:
logische IP-Aufteilung auf OSI-Schicht 3
Wichtig:
In der Praxis bekommt ein VLAN häufig ein eigenes IP-Subnetz.
Fachlich sind VLAN und Subnetz aber nicht dasselbe.
Merksatz:
VLAN = Layer 2.
Subnetz = Layer 3.
---
**Aufgabe 16**
Was ist ein Access-Port?
Antwort anzeigen
Ein Access-Port gehört normalerweise zu genau einem VLAN.
Typische Nutzung:
PC
Drucker
Telefon
normales Endgerät
Das Endgerät muss das VLAN meist nicht selbst kennen.
Merksatz:
Access-Port = ein VLAN für Endgeräte.
---
**Aufgabe 17**
Was ist ein Trunk-Port?
Antwort anzeigen
Ein Trunk-Port transportiert mehrere VLANs über eine Verbindung.
Typische Nutzung:
Verbindung zwischen Switches
Verbindung zu Router
Verbindung zu Firewall
Verbindung zu Hypervisor
Verbindung zu VLAN-fähigem Access Point
Merksatz:
Trunk-Port = mehrere VLANs über eine Verbindung.
---
**Aufgabe 18**
Ordne zu.
| Porttyp | Bedeutung |
|---|---|
| Access-Port | ? |
| Trunk-Port | ? |
Antwort anzeigen
| Porttyp | Bedeutung |
|---|---|
| Access-Port | ein VLAN, typisch für Endgeräte |
| Trunk-Port | mehrere VLANs, typisch zwischen Netzwerkgeräten |
Merksatz:
Access = ein VLAN.
Trunk = mehrere VLANs.
---
**Aufgabe 19**
Was bedeutet VLAN-Tagging?
Antwort anzeigen
VLAN-Tagging bedeutet:
Ein Ethernet-Frame enthält eine VLAN-Information.
Häufiger Standard:
IEEE 802.1Q
Typisch bei:
Trunk-Verbindungen
Merksatz:
802.1Q markiert Frames mit VLAN-Information.
---
**Aufgabe 20**
Was ist der Unterschied zwischen untagged und tagged?
Antwort anzeigen
Untagged:
Frame enthält keinen VLAN-Tag für das Endgerät.
Typisch:
Access-Port
Tagged:
Frame enthält VLAN-Information.
Typisch:
Trunk-Port
Merksatz:
Access meist untagged.
Trunk meist tagged.
---
**Aufgabe 21**
Was ist ARP?
Antwort anzeigen
ARP steht für:
Address Resolution Protocol
Aufgabe:
ARP löst im lokalen IPv4-Netz eine IP-Adresse in eine MAC-Adresse auf.
Beispiel:
Der Client kennt die IP-Adresse des Gateways,
braucht aber für Ethernet die MAC-Adresse des Gateways.
Merksatz:
ARP findet die MAC-Adresse zu einer IPv4-Adresse.
---
**Aufgabe 22**
Warum braucht man ARP?
Antwort anzeigen
IPv4 arbeitet mit IP-Adressen.
Ethernet im lokalen Netz benötigt aber MAC-Adressen.
ARP verbindet diese beiden Ebenen,
indem eine IPv4-Adresse einer MAC-Adresse zugeordnet wird.
Merksatz:
IP sagt,
welches Ziel gemeint ist.
MAC sagt,
wohin lokal gesendet wird.
---
**Aufgabe 23**
Ein Client möchte einen Server im gleichen Subnetz erreichen.
Welche MAC-Adresse wird verwendet?
Antwort anzeigen
Verwendet wird:
die MAC-Adresse des Zielservers
Begründung:
Das Ziel liegt im gleichen lokalen Subnetz.
Der Client kann daher direkt lokal per Ethernet an die MAC-Adresse des Zielservers senden.
Merksatz:
gleiches Subnetz:
MAC des Zielhosts.
---
**Aufgabe 24**
Ein Client möchte einen Server in einem anderen Subnetz erreichen.
Welche MAC-Adresse wird verwendet?
Antwort anzeigen
Verwendet wird:
die MAC-Adresse des Standardgateways
Begründung:
Das Ziel liegt außerhalb des lokalen Subnetzes.
Der Client sendet das Ethernet-Frame lokal an das Gateway.
Das IP-Ziel bleibt aber der entfernte Server.
Merksatz:
anderes Subnetz:
MAC des Gateways.
---
**Aufgabe 25**
Was ist ein ARP Request?
Antwort anzeigen
Ein ARP Request ist eine Anfrage per Broadcast.
Vereinfacht:
Wer hat diese IPv4-Adresse?
Beispiel:
Wer hat 192.168.1.1?
Merksatz:
ARP Request = Broadcast-Frage.
---
**Aufgabe 26**
Was ist ein ARP Reply?
Antwort anzeigen
Ein ARP Reply ist die Antwort auf einen ARP Request.
Vereinfacht:
Diese IPv4-Adresse gehört zu dieser MAC-Adresse.
Merksatz:
ARP Reply liefert die MAC-Adresse.
---
**Aufgabe 27**
Was ist eine ARP-Tabelle?
Antwort anzeigen
Die ARP-Tabelle speichert bekannte Zuordnungen:
IPv4-Adresse
zu
MAC-Adresse
Vorteil:
Der Host muss nicht für jedes Paket erneut per ARP fragen.
Merksatz:
ARP-Tabelle = Zwischenspeicher für IP-zu-MAC.
---
**Aufgabe 28**
Was ist ARP-Spoofing?
Antwort anzeigen
ARP-Spoofing ist ein Angriff,
bei dem falsche ARP-Antworten gesendet werden.
Ziel:
Datenverkehr umleiten
Man-in-the-Middle ermöglichen
Kommunikation stören
Schutzmaßnahmen:
Dynamic ARP Inspection
Netzwerksegmentierung
Switch-Sicherheitsfunktionen
Monitoring
Verschlüsselung höherer Schichten
Merksatz:
ARP-Spoofing manipuliert lokale IP-zu-MAC-Zuordnungen.
---
**Aufgabe 29**
Was ist STP?
Antwort anzeigen
STP steht für:
Spanning Tree Protocol
Aufgabe:
Layer-2-Schleifen verhindern
Warum wichtig?
Schleifen können Broadcast-Stürme verursachen
und das Netzwerk stark belasten oder lahmlegen.
Merksatz:
STP verhindert Switch-Schleifen.
---
**Aufgabe 30**
Was ist ein Broadcast-Sturm?
Antwort anzeigen
Ein Broadcast-Sturm entsteht,
wenn Broadcasts durch Schleifen immer wieder weitergeleitet werden.
Folgen:
Netz wird langsam
Switches werden überlastet
Clients verlieren Verbindung
Dienste brechen ab
Merksatz:
Layer-2-Schleifen können das Netzwerk lahmlegen.
---
**Aufgabe 31**
Ein Client bekommt eine IP-Adresse aus dem falschen Netz.
Welches Schicht-2-Thema ist naheliegend?
Antwort anzeigen
Naheliegend ist:
falsches VLAN
Begründung:
Wenn ein Client am falschen VLAN hängt,
kann er vom falschen DHCP-Scope eine Adresse erhalten.
Merksatz:
falsches VLAN:
häufig falsche IP-Konfiguration.
---
**Aufgabe 32**
Ein Client bekommt keine DHCP-Adresse.
Nur dieser eine Switchport ist betroffen.
Welche Ursachen sind wahrscheinlich?
Antwort anzeigen
Mögliche Ursachen:
Switchport deaktiviert
falsches Access-VLAN
Kabel oder Dose defekt
Port Security blockiert
VLAN nicht korrekt zugewiesen
Endgerät defekt
Merksatz:
Nur ein Port betroffen:
Port,
VLAN,
Kabel
und Endgerät prüfen.
---
**Aufgabe 33**
Mehrere VLANs funktionieren zwischen zwei Switches nicht richtig.
Was sollte geprüft werden?
Antwort anzeigen
Prüfen:
Trunk-Port aktiv?
VLANs auf Trunk erlaubt?
VLANs auf beiden Switches vorhanden?
Tagging korrekt?
Native VLAN passend?
Gegenstelle korrekt konfiguriert?
Merksatz:
Mehrere VLANs betroffen:
Trunk prüfen.
---
**Aufgabe 34**
Ein Gerät ist im richtigen IP-Subnetz,
aber lokale Kommunikation funktioniert trotzdem nicht.
Welche Schicht-2-Themen können Ursache sein?
Antwort anzeigen
Mögliche Ursachen:
falsches VLAN
ARP-Problem
lokale Firewall
Switchport blockiert
Port Security
MAC-Adresstabelle fehlerhaft oder veraltet
Duplex- oder Linkproblem
Merksatz:
Gleiches Subnetz heißt nicht automatisch,
dass Layer 2 sauber funktioniert.
---
**Aufgabe 35**
Was ist Port Security?
Antwort anzeigen
Port Security begrenzt,
welche oder wie viele MAC-Adressen an einem Switchport erlaubt sind.
Ziel:
unautorisierte Geräte erschweren
einfache Angriffe reduzieren
Portmissbrauch begrenzen
Merksatz:
Port Security kontrolliert MAC-Adressen am Switchport.
---
**Aufgabe 36**
Was ist 802.1X?
Antwort anzeigen
802.1X ist portbasierte Netzwerkzugangskontrolle.
Prinzip:
Ein Gerät oder Benutzer muss sich authentifizieren,
bevor Netzwerkzugriff erlaubt wird.
Typisch mit:
RADIUS
Zertifikaten
Benutzerkonto
Merksatz:
802.1X prüft Zugriff vor Netzzugang.
---
**Aufgabe 37**
Welche Aussage ist richtig?
A: VLANs ersetzen immer eine Firewall.
B: VLANs trennen Broadcast-Domänen.
C: VLANs gehören ausschließlich zu OSI-Schicht 7.
D: Ein Access-Port transportiert immer mehrere VLANs.
Antwort anzeigen
Richtig ist:
B: VLANs trennen Broadcast-Domänen.
Begründung:
VLANs trennen Layer-2-Bereiche logisch.
Sie ersetzen aber keine Firewall,
wenn Verkehr zwischen VLANs kontrolliert werden soll.
Merksatz:
VLAN trennt.
Firewall kontrolliert.
---
**Aufgabe 38**
Welche Antwort ist besser?
Aufgabe:
Warum braucht man für Kommunikation zwischen VLANs Routing?
Antwort A:
Weil VLANs sonst nicht modern genug sind.
Antwort B:
VLANs sind getrennte Layer-2-Bereiche.
Damit Geräte aus verschiedenen VLANs miteinander kommunizieren können,
müssen die jeweiligen IP-Netze über einen Router,
Layer-3-Switch
oder eine Firewall geroutet werden.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort erklärt die technische Trennung auf Schicht 2
und den Bedarf für Routing auf Schicht 3.
Merksatz:
VLANs trennen.
Routing verbindet.
---
**Aufgabe 39**
Welche Antwort ist besser?
Aufgabe:
Ein Switch sendet einen Frame an alle Ports im VLAN.
Ist das automatisch ein Fehler?
Antwort A:
Ja,
immer.
Antwort B:
Nein.
Bei unbekannter Ziel-MAC-Adresse oder Broadcast ist Flooding normales Verhalten.
Es wird erst problematisch,
wenn durch Schleifen oder Fehlkonfigurationen dauerhaft sehr viel Broadcast- oder Flooding-Verkehr entsteht.
Antwort anzeigen
B ist besser.
Begründung:
Flooding ist ein normales Switching-Verhalten,
wenn die Ziel-MAC-Adresse unbekannt ist.
Es ist nicht automatisch ein Fehler.
Merksatz:
Flooding normal,
Broadcast-Sturm kritisch.
---
**Aufgabe 40**
Was ist die wichtigste Unterscheidung zwischen MAC-Adresse,
IP-Adresse
und Port?
Antwort anzeigen
MAC-Adresse:
lokale Zustellung auf Schicht 2
IP-Adresse:
logische Adressierung auf Schicht 3
Port:
Zuordnung zu Dienst oder Prozess auf Schicht 4
Merksatz:
MAC lokal.
IP logisch.
Port Dienst.
---
**Mini-Prüfung: schnelle Zuordnung**
| Frage | Antwort |
|---|---|
| Welche OSI-Schicht ist Ethernet? | Schicht 2 |
| Welche OSI-Schicht ist MAC? | Schicht 2 |
| Welche OSI-Schicht ist VLAN? | Schicht 2 |
| Welche OSI-Schicht ist IP? | Schicht 3 |
| Welche OSI-Schicht ist TCP? | Schicht 4 |
| Was leitet ein Switch weiter? | Frames |
| Woran orientiert sich ein Switch? | MAC-Adressen |
| Was lernt ein Switch aus eingehenden Frames? | Quell-MAC-Adresse |
| Was passiert bei unbekannter Ziel-MAC? | Flooding |
| Was trennt VLAN? | Broadcast-Domänen |
| Was macht ARP? | IPv4 zu MAC auflösen |
| Was verhindert STP? | Layer-2-Schleifen |
---
**Mini-Prüfung: Fehlerbild erkennen**
| Fehlerbild | Wahrscheinliches Thema |
|---|---|
| Client im falschen Netz | falsches VLAN |
| nur ein Switchport betroffen | Access-Port, Kabel, Port Security |
| mehrere VLANs über Switchverbindung betroffen | Trunk |
| Broadcasts legen Netz lahm | Loop, STP, Broadcast-Sturm |
| lokale IP erreichbar, aber MAC ändert sich ständig | doppelte IP oder ARP-Spoofing |
| gleiches Subnetz, aber keine lokale Kommunikation | VLAN, ARP, Firewall, Switchport |
| DHCP nur in einem VLAN defekt | VLAN, DHCP-Relay, DHCP-Scope |
| Gerät bekommt falschen DHCP-Bereich | falsches VLAN |
---
**IHK-sichere Kurzformulierung**
Die OSI-Schicht 2 ist die Sicherungsschicht. Sie organisiert die lokale Kommunikation im Netzwerksegment. Ethernet nutzt Frames, die unter anderem Quell- und Ziel-MAC-Adressen enthalten. Ein Switch arbeitet hauptsächlich auf Schicht 2 und leitet Frames anhand seiner MAC-Adresstabelle weiter. Diese Tabelle lernt er aus den Quell-MAC-Adressen eingehender Frames. Ist die Ziel-MAC unbekannt, wird der Frame im VLAN geflutet. VLANs trennen ein physisches Netzwerk logisch in mehrere Broadcast-Domänen. Access-Ports gehören meist zu einem VLAN, Trunk-Ports transportieren mehrere VLANs mit VLAN-Tagging nach IEEE 802.1Q. ARP löst im lokalen IPv4-Netz IP-Adressen in MAC-Adressen auf.
---
**Merksätze**
Schicht 2 ist die Sicherungsschicht.
Schicht 2 arbeitet mit Frames.
Ethernet nutzt Frames.
MAC-Adresse gehört zu Schicht 2.
Switches arbeiten hauptsächlich auf Schicht 2.
Switches leiten anhand von MAC-Adressen weiter.
Switch lernt aus Quell-MAC-Adressen.
Bekannte Ziel-MAC:
gezielte Weiterleitung.
Unbekannte Ziel-MAC:
Flooding.
Broadcast erreicht alle Geräte im gleichen VLAN.
VLANs trennen Broadcast-Domänen.
VLAN ist Layer 2.
Subnetz ist Layer 3.
VLAN und Subnetz sind nicht dasselbe.
Access-Port = ein VLAN.
Trunk-Port = mehrere VLANs.
802.1Q markiert VLAN-Frames.
Access meist untagged.
Trunk meist tagged.
VLAN trennt.
Firewall kontrolliert.
Inter-VLAN-Kommunikation braucht Routing.
ARP löst IPv4 zu MAC auf.
ARP arbeitet lokal.
ARP Request ist Broadcast.
ARP Reply liefert die MAC-Adresse.
Gleiches Subnetz:
MAC des Zielhosts.
Anderes Subnetz:
MAC des Gateways.
IP zeigt zum Endziel.
MAC zeigt zum nächsten lokalen Hop.
STP verhindert Layer-2-Schleifen.
Broadcast-Sturm kann ein Netz lahmlegen.
Port Security kontrolliert MAC-Adressen.
802.1X prüft Netzzugang.
Falsches VLAN führt oft zu falscher IP-Konfiguration.
Mehrere VLANs betroffen:
Trunk prüfen.
Nur ein Port betroffen:
Port,
VLAN,
Kabel
und Endgerät prüfen.
# 20.4 Trainer – Schicht 3 / IPv4, Subnetze, Routing, Gateway und ICMP
**Trainer – IPv4, Subnetze, Routing, Gateway und ICMP**
Diese Trainer-Seite wiederholt die OSI-Schicht 3,
IPv4-Adressen,
Subnetze,
Routing,
Gateway
und ICMP.
Ziel ist,
typische Prüfungsfragen zu IP-Konfiguration,
Subnetting,
Gateway-Fehlern,
Routing
und Ping/Traceroute sicher zu lösen.
Merksatz:
Schicht 3 fragt:
Findet das Paket den Weg ins richtige Zielnetz?
---
**Lernziele**
Nach dieser Seite solltest du sicher können:
- OSI-Schicht 3 einordnen
- IPv4-Adresse,
Subnetzmaske
Gateway
und DNS unterscheiden
- Netzadresse und Broadcastadresse bestimmen
- nutzbare Hostadressen erkennen
- Gateway-Fehler erkennen
- Routing erklären
- ICMP,
ping
und traceroute einordnen
- typische Schicht-3-Fehlerbilder lösen
---
**Kurzüberblick: OSI-Schicht 3**
OSI-Schicht 3 heißt:
Vermittlungsschicht
oder:
Netzwerkschicht
Aufgabe:
logische Adressierung
Routing zwischen Netzen
Weiterleitung von IP-Paketen
Typische Begriffe:
IPv4
IPv6
IP-Adresse
Subnetzmaske
Präfix
Netzadresse
Broadcastadresse
Gateway
Router
Routing-Tabelle
ICMP
ping
traceroute
Merksatz:
Schicht 3 arbeitet mit IP-Adressen und Routing.
---
**Kurzüberblick: Schicht 2 und Schicht 3**
| Thema | Schicht | Zweck |
|---|---:|---|
| MAC-Adresse | 2 | lokale Zustellung |
| Ethernet-Frame | 2 | lokale Übertragung |
| IP-Adresse | 3 | logische Adressierung |
| Subnetzmaske | 3 | Netz- und Hostanteil trennen |
| Gateway | 3 | Weg in andere Netze |
| Router | 3 | Netze verbinden |
| ICMP | 3 | Diagnose und Fehlermeldungen |
Merksatz:
MAC bringt lokal zum nächsten Hop.
IP beschreibt das logische Ziel.
---
**Aufgabe 1**
Wie heißt OSI-Schicht 3?
Antwort anzeigen
OSI-Schicht 3 heißt:
Vermittlungsschicht
oder:
Netzwerkschicht
Englisch:
Network Layer
Aufgabe:
logische Adressierung
und Routing zwischen IP-Netzen.
Merksatz:
Schicht 3 = IP und Routing.
---
**Aufgabe 2**
Welche Adresse gehört zu OSI-Schicht 3?
A: MAC-Adresse
B: IP-Adresse
C: Portnummer
D: URL
Antwort anzeigen
Richtig ist:
B: IP-Adresse
Begründung:
IP-Adressen gehören zur OSI-Schicht 3
und dienen der logischen Adressierung in Netzwerken.
Merksatz:
IP-Adresse = Schicht 3.
---
**Aufgabe 3**
Was ist die Aufgabe einer IPv4-Adresse?
Antwort anzeigen
Eine IPv4-Adresse identifiziert einen Host logisch in einem IP-Netz.
Sie wird verwendet,
damit Pakete zu einem bestimmten Zielsystem gesendet werden können.
Beispiel:
192.168.1.50
Merksatz:
IP-Adresse = logische Adresse eines Hosts.
---
**Aufgabe 4**
Wie viele Bit hat eine IPv4-Adresse?
Antwort anzeigen
Eine IPv4-Adresse hat:
32 Bit
Sie besteht aus:
4 Oktetten
Jedes Oktett hat:
8 Bit
Beispiel:
192.168.1.10
Merksatz:
IPv4 = 32 Bit = 4 Oktette.
---
**Aufgabe 5**
Was bedeutet die Schreibweise /24?
Antwort anzeigen
Die Schreibweise /24 bedeutet:
24 Bit gehören zum Netzanteil.
Da IPv4 insgesamt 32 Bit hat:
32 - 24 = 8 Hostbits
Merksatz:
Präfix = Anzahl der Netzbits.
---
**Aufgabe 6**
Welche Subnetzmaske gehört zu /24?
Antwort anzeigen
Zu /24 gehört:
255.255.255.0
Begründung:
Die ersten 24 Bit sind Netzbits.
Das entspricht drei vollständigen Oktetten mit 255.
Merksatz:
/24 = 255.255.255.0.
---
**Aufgabe 7**
Welche Subnetzmaske gehört zu /26?
Antwort anzeigen
Zu /26 gehört:
255.255.255.192
Begründung:
/26 bedeutet:
26 Netzbits.
24 Bit sind:
255.255.255.0
zusätzlich 2 Netzbits im letzten Oktett:
11000000 = 192
Merksatz:
/26 = 255.255.255.192.
---
**Aufgabe 8**
Wie viele nutzbare Hosts hat ein /26-Netz?
Antwort anzeigen
Berechnung:
Hostbits = 32 - 26 = 6
Gesamtadressen = 2 hoch 6 = 64
nutzbare Hosts = 64 - 2 = 62
Antwort:
62 nutzbare Hosts
Merksatz:
nutzbare Hosts = 2 hoch Hostbits minus 2.
---
**Aufgabe 9**
Wie viele nutzbare Hosts hat ein /27-Netz?
Antwort anzeigen
Berechnung:
Hostbits = 32 - 27 = 5
Gesamtadressen = 2 hoch 5 = 32
nutzbare Hosts = 32 - 2 = 30
Antwort:
30 nutzbare Hosts
Merksatz:
/27 hat 30 nutzbare Hosts.
---
**Aufgabe 10**
Welche Aussage ist richtig?
A: Je größer der Präfix,
desto größer das Netz.
B: Je größer der Präfix,
desto kleiner das Netz.
C: /27 ist größer als /24.
D: /30 hat mehr Hosts als /24.
Antwort anzeigen
Richtig ist:
B: Je größer der Präfix,
desto kleiner das Netz.
Begründung:
Ein größerer Präfix bedeutet mehr Netzbits
und weniger Hostbits.
Merksatz:
Präfix größer:
Netz kleiner.
---
**Aufgabe 11**
Bestimme Hostbits und nutzbare Hosts.
| Präfix | Hostbits | nutzbare Hosts |
|---|---:|---:|
| /24 | ? | ? |
| /25 | ? | ? |
| /26 | ? | ? |
| /27 | ? | ? |
Antwort anzeigen
| Präfix | Hostbits | nutzbare Hosts |
|---|---:|---:|
| /24 | 8 | 254 |
| /25 | 7 | 126 |
| /26 | 6 | 62 |
| /27 | 5 | 30 |
Merksatz:
Von /24 zu /25 halbiert sich die Adressanzahl.
Von /25 zu /26 halbiert sie sich wieder.
---
**Aufgabe 12**
Was ist die Netzadresse?
Antwort anzeigen
Die Netzadresse ist die erste Adresse eines Subnetzes.
Sie bezeichnet das Netz selbst
und wird nicht als normale Hostadresse verwendet.
Beispiel:
192.168.1.0/24
Netzadresse:
192.168.1.0
Merksatz:
Netzadresse = erste Adresse im Subnetz.
---
**Aufgabe 13**
Was ist die Broadcastadresse?
Antwort anzeigen
Die Broadcastadresse ist die letzte Adresse eines IPv4-Subnetzes.
Sie dient dazu,
alle Hosts in diesem Subnetz zu erreichen.
Beispiel:
192.168.1.0/24
Broadcastadresse:
192.168.1.255
Merksatz:
Broadcastadresse = letzte Adresse im Subnetz.
---
**Aufgabe 14**
Welche Adressen sind in einem normalen IPv4-Subnetz nicht als Hostadresse nutzbar?
Antwort anzeigen
Nicht als normale Hostadressen nutzbar sind:
Netzadresse
Broadcastadresse
Begründung:
Die Netzadresse bezeichnet das Subnetz selbst.
Die Broadcastadresse adressiert alle Hosts im Subnetz.
Merksatz:
Erste und letzte Adresse sind nicht für Hosts.
---
**Aufgabe 15**
Bestimme die Daten für:
192.168.1.70/26
| Wert | Ergebnis |
|---|---|
| Netzadresse | ? |
| erste nutzbare Adresse | ? |
| letzte nutzbare Adresse | ? |
| Broadcastadresse | ? |
| nutzbare Hosts | ? |
Antwort anzeigen
Bei /26 gilt:
Blockgröße 64
Subnetzbereiche:
192.168.1.0 bis 192.168.1.63
192.168.1.64 bis 192.168.1.127
192.168.1.128 bis 192.168.1.191
192.168.1.192 bis 192.168.1.255
Die Adresse 192.168.1.70 liegt im Bereich:
192.168.1.64 bis 192.168.1.127
| Wert | Ergebnis |
|---|---|
| Netzadresse | 192.168.1.64 |
| erste nutzbare Adresse | 192.168.1.65 |
| letzte nutzbare Adresse | 192.168.1.126 |
| Broadcastadresse | 192.168.1.127 |
| nutzbare Hosts | 62 |
Merksatz:
IP liegt immer in genau einem Subnetzbereich.
---
**Aufgabe 16**
Bestimme die Daten für:
10.0.5.200/27
| Wert | Ergebnis |
|---|---|
| Netzadresse | ? |
| erste nutzbare Adresse | ? |
| letzte nutzbare Adresse | ? |
| Broadcastadresse | ? |
Antwort anzeigen
Bei /27 gilt:
Blockgröße 32
Bereiche im letzten Oktett:
0 bis 31
32 bis 63
64 bis 95
96 bis 127
128 bis 159
160 bis 191
192 bis 223
224 bis 255
Die Adresse 200 liegt im Bereich:
192 bis 223
| Wert | Ergebnis |
|---|---|
| Netzadresse | 10.0.5.192 |
| erste nutzbare Adresse | 10.0.5.193 |
| letzte nutzbare Adresse | 10.0.5.222 |
| Broadcastadresse | 10.0.5.223 |
Merksatz:
/27 springt in 32er-Schritten.
---
**Aufgabe 17**
Was ist die Blockgröße bei /28?
Antwort anzeigen
Zu /28 gehört die Maske:
255.255.255.240
Blockgröße:
256 - 240 = 16
Antwort:
16
Merksatz:
/28 springt in 16er-Schritten.
---
**Aufgabe 18**
Welche kleinste Netzgröße reicht für mindestens 50 Hosts?
A: /27
B: /26
C: /28
D: /30
Antwort anzeigen
Richtig ist:
B: /26
Begründung:
/27 hat 30 nutzbare Hosts.
Das reicht nicht.
/26 hat 62 nutzbare Hosts.
Das reicht.
Merksatz:
Immer das kleinste passende Subnetz wählen.
---
**Aufgabe 19**
Welche kleinste Netzgröße reicht für mindestens 100 Hosts?
Antwort anzeigen
Prüfung:
/26 = 62 nutzbare Hosts
/25 = 126 nutzbare Hosts
/24 = 254 nutzbare Hosts
Ergebnis:
/25
Begründung:
/26 reicht nicht,
/25 reicht.
Merksatz:
Bedarf prüfen,
dann kleinstes passendes Netz wählen.
---
**Aufgabe 20**
Liegen diese beiden IP-Adressen im gleichen /24-Netz?
192.168.10.20/24
192.168.10.200/24
Antwort anzeigen
Ja.
Bei /24 ist das Netz:
192.168.10.0/24
Nutzbarer Bereich:
192.168.10.1 bis 192.168.10.254
Beide Adressen liegen im gleichen Netz.
Merksatz:
Gleiches /24:
gleiche ersten drei Oktette.
---
**Aufgabe 21**
Liegen diese beiden IP-Adressen im gleichen /24-Netz?
192.168.10.20/24
192.168.11.20/24
Antwort anzeigen
Nein.
Erste Adresse liegt im Netz:
192.168.10.0/24
Zweite Adresse liegt im Netz:
192.168.11.0/24
Merksatz:
Bei /24 entscheidet das dritte Oktett über das Netz.
---
**Aufgabe 22**
Liegen diese beiden IP-Adressen im gleichen /26-Netz?
192.168.1.70/26
192.168.1.100/26
Antwort anzeigen
Ja.
Bei /26 gilt Blockgröße 64.
Bereich:
192.168.1.64 bis 192.168.1.127
Beide Adressen liegen in diesem Bereich.
Merksatz:
/26-Bereiche:
0-63,
64-127,
128-191,
192-255.
---
**Aufgabe 23**
Liegen diese beiden IP-Adressen im gleichen /26-Netz?
192.168.1.70/26
192.168.1.130/26
Antwort anzeigen
Nein.
192.168.1.70 liegt im Bereich:
192.168.1.64 bis 192.168.1.127
192.168.1.130 liegt im Bereich:
192.168.1.128 bis 192.168.1.191
Merksatz:
Unterschiedliche Subnetzbereiche brauchen Routing.
---
**Aufgabe 24**
Was ist ein Standardgateway?
Antwort anzeigen
Das Standardgateway ist der Router,
über den ein Host Ziele außerhalb seines eigenen Subnetzes erreicht.
Ohne korrektes Gateway kann ein Client normalerweise nur lokal kommunizieren.
Merksatz:
Gateway = Ausgang in andere Netze.
---
**Aufgabe 25**
Warum muss das Gateway im lokalen Subnetz des Clients liegen?
Antwort anzeigen
Das Gateway muss lokal erreichbar sein,
damit der Client sein Ethernet-Frame an die MAC-Adresse des Gateways senden kann.
Wenn das Gateway außerhalb des lokalen Subnetzes liegt,
kann der Client es nicht direkt erreichen.
Merksatz:
Gateway muss für den Client lokal erreichbar sein.
---
**Aufgabe 26**
Prüfe die Konfiguration:
Client:
192.168.10.50/24
Gateway:
192.168.20.1
Ist das korrekt?
Antwort anzeigen
Nein.
Client-Netz:
192.168.10.0/24
Gateway liegt im Netz:
192.168.20.0/24
Das Gateway liegt nicht im lokalen Subnetz des Clients.
Merksatz:
Gateway außerhalb des Subnetzes ist falsch.
---
**Aufgabe 27**
Ein Client erreicht andere Geräte im gleichen Netz,
aber nicht das Internet.
Was ist wahrscheinlich?
Antwort anzeigen
Wahrscheinliche Ursachen:
Gateway fehlt
Gateway falsch
Routingproblem
NAT fehlt oder fehlerhaft
Firewall blockiert
DNS zusätzlich bei Zugriff über Namen
Erste Prüfung:
Standardgateway
Merksatz:
Lokal ja,
extern nein:
Gateway,
Routing,
NAT
oder Firewall prüfen.
---
**Aufgabe 28**
Was ist Routing?
Antwort anzeigen
Routing bedeutet:
Weiterleitung von IP-Paketen zwischen verschiedenen IP-Netzen.
Ein Router nutzt seine Routing-Tabelle,
um den nächsten Hop oder das Ausgangsinterface zu bestimmen.
Merksatz:
Routing verbindet IP-Netze.
---
**Aufgabe 29**
Was enthält eine Routing-Tabelle typischerweise?
Antwort anzeigen
Eine Routing-Tabelle enthält typischerweise:
Zielnetz
Präfix oder Netzmaske
Next Hop
Interface
Metrik
Merksatz:
Routing-Tabelle bestimmt den nächsten Weg.
---
**Aufgabe 30**
Was ist eine Standardroute?
Antwort anzeigen
Eine Standardroute ist die Route für alle Ziele,
für die keine spezifischere Route existiert.
IPv4-Schreibweise:
0.0.0.0/0
Typisch:
Weg zum Internetrouter
Merksatz:
Standardroute = Weg für unbekannte Ziele.
---
**Aufgabe 31**
Was bedeutet:
„Die spezifischste Route gewinnt“?
Antwort anzeigen
Wenn mehrere Routen zu einem Ziel passen,
wird die Route mit dem längsten passenden Präfix verwendet.
Beispiel:
192.168.10.0/24
ist spezifischer als:
192.168.0.0/16
Merksatz:
Längster passender Präfix gewinnt.
---
**Aufgabe 32**
Was ist ICMP?
Antwort anzeigen
ICMP steht für:
Internet Control Message Protocol
Aufgabe:
Kontroll-
Fehler-
und Diagnosemeldungen im IP-Netz
Typische Nutzung:
ping
traceroute
Merksatz:
ICMP hilft bei Diagnose auf Schicht 3.
---
**Aufgabe 33**
Was prüft ping?
Antwort anzeigen
ping prüft,
ob ein Ziel per ICMP Echo Request und Echo Reply erreichbar ist.
Wichtig:
ping prüft nicht,
ob ein bestimmter Dienst wie HTTPS,
SSH
oder SMB funktioniert.
Merksatz:
ping prüft ICMP-Erreichbarkeit,
nicht den Dienst.
---
**Aufgabe 34**
Ping auf eine IP-Adresse funktioniert,
aber ping auf den Namen nicht.
Was ist wahrscheinlich?
Antwort anzeigen
Wahrscheinlich:
DNS-Problem
Begründung:
Die IP-Kommunikation funktioniert,
aber der Name wird nicht korrekt aufgelöst.
Merksatz:
IP ja,
Name nein:
DNS.
---
**Aufgabe 35**
Ping funktioniert,
aber die Webseite über HTTPS funktioniert nicht.
Was ist wahrscheinlich?
Antwort anzeigen
Ping prüft nur ICMP.
Mögliche Ursachen:
TCP 443 blockiert
Webserver läuft nicht
Firewall blockiert
TLS-Problem
Reverse Proxy fehlerhaft
Anwendung defekt
Merksatz:
Ping erfolgreich heißt nicht,
dass HTTPS funktioniert.
---
**Aufgabe 36**
Was zeigt traceroute oder tracert?
Antwort anzeigen
traceroute oder tracert zeigt den Weg zum Ziel über Router.
Es zeigt typischerweise:
Hops
Antwortzeiten
mögliche Unterbrechungen
Wichtig:
Nicht jeder Router antwortet.
Sternchen bedeuten nicht automatisch,
dass der gesamte Weg defekt ist.
Merksatz:
traceroute zeigt den Weg,
muss aber interpretiert werden.
---
**Aufgabe 37**
Was bedeutet eine Adresse aus 169.254.0.0/16?
Antwort anzeigen
Das ist eine APIPA-Adresse.
Bedeutung:
Der Client hat wahrscheinlich keine gültige IP-Adresse per DHCP erhalten
und sich selbst eine automatische Adresse gegeben.
Merksatz:
169.254.x.x:
DHCP nicht erreicht.
---
**Aufgabe 38**
Welche privaten IPv4-Bereiche gibt es?
Antwort anzeigen
Private IPv4-Bereiche:
| Bereich | CIDR |
|---|---|
| 10.0.0.0 bis 10.255.255.255 | 10.0.0.0/8 |
| 172.16.0.0 bis 172.31.255.255 | 172.16.0.0/12 |
| 192.168.0.0 bis 192.168.255.255 | 192.168.0.0/16 |
Merksatz:
Private IPv4-Adressen werden im Internet nicht direkt geroutet.
---
**Aufgabe 39**
Welche Antwort ist besser?
Aufgabe:
Ein Client erreicht lokale Geräte,
aber keine externen Netze.
Nennen Sie eine wahrscheinliche Ursache.
Antwort A:
DNS ist immer kaputt.
Antwort B:
Wahrscheinlich fehlt das Standardgateway oder es ist falsch konfiguriert,
weil lokale Kommunikation funktioniert,
externe Netze aber nicht erreichbar sind.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort leitet die Ursache aus dem Fehlerbild ab.
Wichtig:
DNS kann zusätzlich betroffen sein,
wenn nur Namen nicht funktionieren.
Wenn aber externe IP-Ziele nicht erreichbar sind,
sind Gateway,
Routing,
NAT
oder Firewall wahrscheinlicher.
Merksatz:
Fehlerbild genau lesen.
---
**Aufgabe 40**
Welche Antwort ist besser?
Aufgabe:
Warum ersetzt ping keinen vollständigen Diensttest?
Antwort A:
Weil ping alt ist.
Antwort B:
ping prüft nur ICMP-Erreichbarkeit.
Ein Dienst wie HTTPS,
SSH
oder SMB kann trotzdem blockiert,
gestoppt
oder falsch konfiguriert sein.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort erklärt fachlich,
was ping prüft
und was ping nicht prüft.
Merksatz:
ping prüft Host-Erreichbarkeit,
nicht Dienstfunktion.
---
**Mini-Prüfung: schnelle Zuordnung**
| Frage | Antwort |
|---|---|
| Welche OSI-Schicht ist IP? | Schicht 3 |
| Welche OSI-Schicht ist Routing? | Schicht 3 |
| Welche OSI-Schicht ist ICMP? | Schicht 3 |
| Wie viele Bit hat IPv4? | 32 Bit |
| Was bedeutet /24? | 24 Netzbits |
| Welche Maske hat /24? | 255.255.255.0 |
| Welche Maske hat /26? | 255.255.255.192 |
| Wie viele nutzbare Hosts hat /26? | 62 |
| Was ist die Netzadresse? | erste Adresse im Subnetz |
| Was ist die Broadcastadresse? | letzte Adresse im Subnetz |
| Was ist das Gateway? | Router in andere Netze |
| Was ist 0.0.0.0/0? | Standardroute |
---
**Mini-Prüfung: Fehlerbild erkennen**
| Fehlerbild | Wahrscheinlichstes Thema |
|---|---|
| 169.254.x.x | DHCP nicht erreicht |
| lokale Geräte erreichbar, Internet nicht | Gateway, Routing, NAT, Firewall |
| IP erreichbar, Name nicht | DNS |
| ping geht, HTTPS nicht | Port, Dienst, Firewall, TLS, Anwendung |
| Gateway außerhalb des Subnetzes | falsche IP-Konfiguration |
| anderes Subnetz nicht erreichbar | Routing oder Firewall |
| traceroute endet früh | Routing, Firewall oder Provider |
| Broadcastadresse als Host eingetragen | falsche IP-Konfiguration |
| Netzadresse als Host eingetragen | falsche IP-Konfiguration |
| Rückantwort kommt nicht an | Rückroute, Gateway oder Firewall |
---
**IHK-sichere Kurzformulierung**
Die OSI-Schicht 3 ist die Vermittlungs- oder Netzwerkschicht. Sie ist für logische Adressierung und Routing zwischen IP-Netzen zuständig. IPv4-Adressen haben 32 Bit und werden mit einer Subnetzmaske oder einem Präfix in Netz- und Hostanteil aufgeteilt. Die Netzadresse ist die erste Adresse eines Subnetzes, die Broadcastadresse die letzte Adresse. Beide werden in normalen IPv4-Subnetzen nicht als Hostadressen verwendet. Das Standardgateway ist der Router, über den ein Client andere Netze erreicht und muss im lokalen Subnetz erreichbar sein. ICMP dient Kontroll- und Diagnosemeldungen, zum Beispiel bei ping oder traceroute. ping prüft ICMP-Erreichbarkeit, ersetzt aber keinen Port- oder Diensttest.
---
**Merksätze**
Schicht 3 ist die Vermittlungsschicht.
Schicht 3 arbeitet mit IP-Adressen.
Routing verbindet IP-Netze.
IPv4 hat 32 Bit.
Präfix = Netzbits.
Hostbits = 32 minus Präfix.
Nutzbare Hosts = 2 hoch Hostbits minus 2.
Netzadresse = erste Adresse im Subnetz.
Broadcastadresse = letzte Adresse im Subnetz.
Netzadresse nicht als Host verwenden.
Broadcastadresse nicht als Host verwenden.
Erste nutzbare Adresse = Netzadresse + 1.
Letzte nutzbare Adresse = Broadcastadresse - 1.
Präfix größer:
Netz kleiner.
Präfix kleiner:
Netz größer.
/24 hat 254 nutzbare Hosts.
/25 hat 126 nutzbare Hosts.
/26 hat 62 nutzbare Hosts.
/27 hat 30 nutzbare Hosts.
/28 hat 14 nutzbare Hosts.
Gateway = Ausgang in andere Netze.
Gateway muss im lokalen Subnetz liegen.
Standardroute = 0.0.0.0/0.
Spezifischste Route gewinnt.
ICMP gehört zu Schicht 3.
ping prüft ICMP.
ping ist kein Diensttest.
traceroute zeigt den Weg über Router.
IP ja,
Name nein:
DNS.
Lokal ja,
extern nein:
Gateway,
Routing,
NAT
oder Firewall.
169.254.x.x:
DHCP nicht erreicht.
Rückroute nicht vergessen.
# 20.5 Trainer - Schicht 4 / TCP, UDP, Ports und Schicht 4
Diese Trainer-Seite wiederholt die OSI-Schicht 4,
TCP,
UDP,
Ports
und typische Fehlerbilder auf der Transportschicht.
Ziel ist,
Prüfungsfragen zu zuverlässiger Übertragung,
verbindungsloser Übertragung,
Portnummern,
Dienstzuordnung
und Firewall-Fehlersuche sicher zu beantworten.
Merksatz:
Schicht 4 fragt:
Ist der richtige Dienst über den richtigen Port erreichbar?
---
**Lernziele**
Nach dieser Seite solltest du sicher können:
- OSI-Schicht 4 einordnen
- TCP und UDP unterscheiden
- Ports erklären
- Quellport und Zielport unterscheiden
- wichtige Standardports nennen
- TCP-Verbindungsaufbau erklären
- typische TCP-Status einordnen
- Portprobleme erkennen
- erklären,
warum ping keinen Porttest ersetzt
---
**Kurzüberblick: OSI-Schicht 4**
OSI-Schicht 4 heißt:
Transportschicht
Aufgabe:
Ende-zu-Ende-Kommunikation zwischen Anwendungen ermöglichen.
Typische Begriffe:
TCP
UDP
Port
Segment
Datagramm
Verbindungsaufbau
Three-Way Handshake
LISTEN
ESTABLISHED
Merksatz:
Schicht 4 ordnet Netzwerkverkehr dem richtigen Dienst zu.
---
**TCP kurz erklärt**
TCP steht für:
Transmission Control Protocol
Eigenschaften:
verbindungsorientiert
zuverlässig
bestätigt Daten
stellt Reihenfolge sicher
sendet verlorene Daten erneut
nutzt Ports
Typische Dienste:
HTTPS
SSH
SMTP
IMAP
SMB
RDP
Merksatz:
TCP = zuverlässig und verbindungsorientiert.
---
**UDP kurz erklärt**
UDP steht für:
User Datagram Protocol
Eigenschaften:
verbindungslos
schnell
wenig Overhead
keine eingebaute Zustellgarantie
keine eingebaute Reihenfolgegarantie
nutzt Ports
Typische Dienste:
DNS
DHCP
NTP
SNMP
VoIP
Streaming
Merksatz:
UDP = schnell,
schlank
und verbindungslos.
---
**Aufgabe 1**
Wie heißt OSI-Schicht 4?
Antwort anzeigen
OSI-Schicht 4 heißt:
Transportschicht
Englisch:
Transport Layer
Aufgabe:
Kommunikation zwischen Anwendungen oder Prozessen über Ports ermöglichen.
Merksatz:
Schicht 4 = TCP,
UDP
und Ports.
---
**Aufgabe 2**
Welche Protokolle gehören typisch zu OSI-Schicht 4?
A: TCP und UDP
B: IP und ICMP
C: Ethernet und ARP
D: HTTP und DNS
Antwort anzeigen
Richtig ist:
A: TCP und UDP
Begründung:
TCP und UDP sind Transportprotokolle
und gehören zur OSI-Schicht 4.
Merksatz:
TCP und UDP = Transportschicht.
---
**Aufgabe 3**
Was ist ein Port?
Antwort anzeigen
Ein Port ist eine logische Nummer,
mit der ein Dienst oder Prozess auf einem Host angesprochen wird.
Beispiel:
192.168.1.10:443
Bedeutung:
Host:
192.168.1.10
Dienst:
Port 443
Merksatz:
IP findet den Host.
Port findet den Dienst.
---
**Aufgabe 4**
Welche OSI-Schicht ist für Portnummern zuständig?
Antwort anzeigen
Portnummern gehören zu:
OSI-Schicht 4
Begründung:
Ports werden von TCP und UDP genutzt,
um Daten dem richtigen Dienst oder Prozess zuzuordnen.
Merksatz:
Ports = Schicht 4.
---
**Aufgabe 5**
Was ist der Unterschied zwischen IP-Adresse und Port?
Antwort anzeigen
IP-Adresse:
identifiziert den Host logisch im Netzwerk
Port:
identifiziert den Dienst oder Prozess auf diesem Host
Beispiel:
192.168.1.10:22
192.168.1.10 = Host
22 = SSH-Dienst
Merksatz:
IP = welcher Rechner?
Port = welcher Dienst?
---
**Aufgabe 6**
Was ist der Unterschied zwischen Quellport und Zielport?
Antwort anzeigen
Quellport:
Port auf dem sendenden System
beim Client oft dynamisch
Zielport:
Port des angesprochenen Dienstes auf dem Server
Beispiel:
Client:
192.168.1.50:52344
Server:
93.184.216.34:443
Hier ist 52344 der Quellport
und 443 der Zielport.
Merksatz:
Zielport zeigt meistens den Dienst.
---
**Aufgabe 7**
Welche Aussage ist richtig?
A: TCP ist verbindungslos.
B: UDP garantiert die Reihenfolge der Pakete.
C: TCP ist verbindungsorientiert und zuverlässig.
D: Ports gehören zu OSI-Schicht 3.
Antwort anzeigen
Richtig ist:
C: TCP ist verbindungsorientiert und zuverlässig.
Begründung:
TCP baut eine Verbindung auf,
bestätigt Daten
und kann verlorene Daten erneut übertragen.
Merksatz:
TCP = zuverlässig.
---
**Aufgabe 8**
Welche Aussage ist richtig?
A: UDP ist immer besser als TCP.
B: UDP ist verbindungslos und hat wenig Overhead.
C: UDP baut immer einen Three-Way Handshake auf.
D: UDP nutzt keine Ports.
Antwort anzeigen
Richtig ist:
B: UDP ist verbindungslos und hat wenig Overhead.
Begründung:
UDP verzichtet auf einen Verbindungsaufbau
und auf eingebaute Zustellgarantien.
Dadurch ist es schlanker und schneller,
aber weniger zuverlässig als TCP.
Merksatz:
UDP = verbindungslos und schlank.
---
**Aufgabe 9**
Vergleiche TCP und UDP.
| Merkmal | TCP | UDP |
|---|---|---|
| Verbindung | ? | ? |
| Zuverlässigkeit | ? | ? |
| Overhead | ? | ? |
| Beispiel | ? | ? |
Antwort anzeigen
| Merkmal | TCP | UDP |
|---|---|---|
| Verbindung | verbindungsorientiert | verbindungslos |
| Zuverlässigkeit | eingebaut | keine eingebaute Garantie |
| Overhead | höher | geringer |
| Beispiel | HTTPS, SSH, SMB | DNS, DHCP, VoIP |
Merksatz:
TCP für zuverlässige Übertragung.
UDP für schnelle und schlanke Kommunikation.
---
**Aufgabe 10**
Was ist der TCP Three-Way Handshake?
Antwort anzeigen
Der TCP Three-Way Handshake ist der Verbindungsaufbau bei TCP.
Ablauf:
1. SYN
2. SYN-ACK
3. ACK
Bedeutung:
Client fragt Verbindung an.
Server bestätigt und antwortet.
Client bestätigt die Verbindung.
Merksatz:
TCP startet mit SYN,
SYN-ACK,
ACK.
---
**Aufgabe 11**
Warum hat TCP mehr Overhead als UDP?
Antwort anzeigen
TCP hat mehr Overhead,
weil es zusätzliche Funktionen bietet.
Dazu gehören:
Verbindungsaufbau
Bestätigungen
Sequenznummern
erneute Übertragung
Reihenfolgeprüfung
Flusskontrolle
Merksatz:
TCP ist aufwendiger,
weil es Zuverlässigkeit bietet.
---
**Aufgabe 12**
Warum wird UDP häufig für DNS verwendet?
Antwort anzeigen
DNS-Anfragen sind oft klein
und sollen schnell beantwortet werden.
UDP ist dafür geeignet,
weil es wenig Overhead hat
und keinen TCP-Verbindungsaufbau benötigt.
Wichtig:
DNS kann bei Bedarf auch TCP 53 nutzen.
Merksatz:
DNS nutzt häufig UDP 53,
aber TCP 53 nicht vergessen.
---
**Aufgabe 13**
Warum eignet sich UDP für VoIP?
Antwort anzeigen
Bei VoIP ist geringe Verzögerung wichtig.
Ein verlorenes Sprachpaket ist meist weniger schlimm
als eine stark verspätete Übertragung.
UDP ist dafür geeignet,
weil es schnell und verbindungslos arbeitet.
Merksatz:
VoIP braucht geringe Latenz,
daher ist UDP sinnvoll.
---
**Aufgabe 14**
Ordne zu.
| Dienst | TCP oder UDP? | Port |
|---|---|---:|
| SSH | ? | ? |
| HTTPS | ? | ? |
| DNS | ? | ? |
| DHCP Server | ? | ? |
| RDP | ? | ? |
| SMB | ? | ? |
Antwort anzeigen
| Dienst | TCP oder UDP? | Port |
|---|---|---:|
| SSH | TCP | 22 |
| HTTPS | TCP | 443 |
| DNS | UDP/TCP | 53 |
| DHCP Server | UDP | 67 |
| RDP | TCP | 3389 |
| SMB | TCP | 445 |
Merksatz:
Portnummer immer mit TCP oder UDP lernen.
---
**Aufgabe 15**
Welchen Port nutzt SSH typischerweise?
Antwort anzeigen
SSH nutzt typischerweise:
TCP 22
SSH steht für:
Secure Shell
Merksatz:
SSH = TCP 22.
---
**Aufgabe 16**
Welchen Port nutzt HTTPS typischerweise?
Antwort anzeigen
HTTPS nutzt typischerweise:
TCP 443
HTTPS bedeutet:
HTTP über TLS
Merksatz:
HTTPS = TCP 443.
---
**Aufgabe 17**
Welche Ports nutzt DHCP?
Antwort anzeigen
DHCP nutzt:
UDP 67 für den DHCP-Server
UDP 68 für den DHCP-Client
Merksatz:
DHCP = UDP 67 und 68.
---
**Aufgabe 18**
Welchen Port nutzt DNS?
Antwort anzeigen
DNS nutzt:
UDP 53
und bei Bedarf:
TCP 53
Merksatz:
DNS = UDP/TCP 53.
---
**Aufgabe 19**
Welchen Port nutzt SMB typischerweise?
Antwort anzeigen
SMB nutzt typischerweise:
TCP 445
SMB wird genutzt für:
Datei- und Druckfreigaben
Netzlaufwerke
Merksatz:
SMB = TCP 445.
---
**Aufgabe 20**
Welchen Port nutzt RDP typischerweise?
Antwort anzeigen
RDP nutzt typischerweise:
TCP 3389
RDP steht für:
Remote Desktop Protocol
Merksatz:
RDP = TCP 3389.
---
**Aufgabe 21**
Was bedeutet LISTEN bei TCP?
Antwort anzeigen
LISTEN bedeutet:
Ein Dienst wartet auf eingehende Verbindungen.
Beispiel:
Ein Webserver lauscht auf TCP 443.
Merksatz:
LISTEN = Dienst wartet auf Verbindung.
---
**Aufgabe 22**
Was bedeutet ESTABLISHED bei TCP?
Antwort anzeigen
ESTABLISHED bedeutet:
Eine TCP-Verbindung besteht.
Client und Server haben eine aktive Verbindung aufgebaut.
Merksatz:
ESTABLISHED = Verbindung besteht.
---
**Aufgabe 23**
Was bedeutet SYN_SENT?
Antwort anzeigen
SYN_SENT bedeutet:
Der Client hat einen Verbindungsaufbau gestartet
und wartet auf eine Antwort.
Mögliche Ursache,
wenn es hängen bleibt:
Ziel antwortet nicht
Firewall blockiert
Dienst läuft nicht
Routingproblem
Merksatz:
SYN_SENT hängt oft bei fehlender Antwort.
---
**Aufgabe 24**
Ein Host ist per ping erreichbar,
aber SSH funktioniert nicht.
Was ist wahrscheinlich?
Antwort anzeigen
Ping prüft ICMP.
SSH nutzt TCP 22.
Mögliche Ursachen:
TCP 22 blockiert
SSH-Dienst läuft nicht
SSH lauscht auf anderem Port
Firewall blockiert
Zugriff nur aus bestimmten Netzen erlaubt
Benutzer oder Schlüssel falsch
Merksatz:
Host erreichbar heißt nicht,
dass der Dienst erreichbar ist.
---
**Aufgabe 25**
Ein Webserver antwortet nicht auf HTTPS,
ping funktioniert aber.
Was sollte geprüft werden?
Antwort anzeigen
Zu prüfen:
TCP 443 erreichbar?
Webserver läuft?
Dienst lauscht auf Port 443?
Firewall erlaubt TCP 443?
Reverse Proxy korrekt?
TLS-Zertifikat korrekt?
Anwendung fehlerfrei?
Merksatz:
ping geht,
HTTPS nicht:
TCP 443,
Dienst
und Firewall prüfen.
---
**Aufgabe 26**
Warum ersetzt ping keinen Porttest?
Antwort anzeigen
ping prüft ICMP-Erreichbarkeit.
ping prüft nicht:
TCP 22
TCP 443
TCP 445
UDP 53
Dienststatus
Anmeldung
Rechte
Anwendung
Merksatz:
ping prüft Host-Erreichbarkeit,
nicht Dienstfunktion.
---
**Aufgabe 27**
Welche Angaben braucht man für eine saubere Firewall-Regel?
Antwort anzeigen
Eine saubere Firewall-Regel enthält:
Quelle
Ziel
Protokoll
Port
Richtung
Aktion
Zweck
Beispiel:
Quelle:
Adminnetz
Ziel:
Server
Protokoll:
TCP
Port:
22
Aktion:
erlauben
Zweck:
SSH-Administration
Merksatz:
Firewall-Regeln brauchen Quelle,
Ziel,
Port
und Protokoll.
---
**Aufgabe 28**
Warum ist die Angabe „Port 53 erlauben“ ungenau?
Antwort anzeigen
Die Angabe ist ungenau,
weil nicht klar ist,
ob TCP 53,
UDP 53
oder beides gemeint ist.
Bei DNS ist wichtig:
UDP 53 für normale Abfragen
TCP 53 für große Antworten,
Zonentransfers
oder bestimmte Spezialfälle
Merksatz:
Portnummer ohne TCP oder UDP ist unvollständig.
---
**Aufgabe 29**
Was ist ein Well-Known Port?
Antwort anzeigen
Well-Known Ports sind bekannte Standardports.
Bereich:
0 bis 1023
Beispiele:
TCP 22 SSH
TCP 80 HTTP
TCP 443 HTTPS
UDP/TCP 53 DNS
Merksatz:
Well-Known Ports sind bekannte Dienstports.
---
**Aufgabe 30**
Was sind dynamische oder ephemeral Ports?
Antwort anzeigen
Dynamische Ports werden häufig von Clients als Quellports verwendet.
Bereich:
49152 bis 65535
Beispiel:
Client nutzt Quellport 52344
und verbindet sich zu Server TCP 443.
Merksatz:
Server hat bekannten Zielport.
Client nutzt oft dynamischen Quellport.
---
**Aufgabe 31**
Ein Client verbindet sich zu einem Webserver.
Client:
192.168.1.50:52344
Server:
93.184.216.34:443
Welcher Port zeigt den Webdienst?
Antwort anzeigen
Der Webdienst wird durch den Zielport angezeigt:
TCP 443
Der Quellport 52344 ist ein dynamischer Clientport.
Merksatz:
Zielport zeigt den Dienst.
---
**Aufgabe 32**
Warum sollte RDP nicht direkt aus dem Internet erreichbar sein?
Antwort anzeigen
RDP ist ein häufiges Angriffsziel.
Risiken:
Brute-Force-Angriffe
Credential Stuffing
Exploits
unberechtigter Fernzugriff
Sicherer:
VPN
RDP-Gateway
MFA
Firewall-Beschränkung auf bekannte Quellnetze
Logging
Merksatz:
RDP nicht offen ins Internet stellen.
---
**Aufgabe 33**
Warum sollte SMB nicht direkt aus dem Internet erreichbar sein?
Antwort anzeigen
SMB ist für Datei- und Druckfreigaben gedacht
und sollte nicht öffentlich erreichbar sein.
Risiken:
Datenabfluss
Malware-Ausbreitung
Brute Force
Ausnutzung von Schwachstellen
Zugriff auf interne Freigaben
Merksatz:
SMB gehört nicht offen ins Internet.
---
**Aufgabe 34**
Was ist der Unterschied zwischen FTP,
FTPS
und SFTP?
Antwort anzeigen
FTP:
klassisches File Transfer Protocol
meist TCP 21
unverschlüsselt
FTPS:
FTP mit TLS-Verschlüsselung
SFTP:
Dateiübertragung über SSH
nutzt TCP 22
Merksatz:
FTPS = FTP mit TLS.
SFTP = Dateiübertragung über SSH.
---
**Aufgabe 35**
Welche Aussage ist richtig?
A: SFTP nutzt normalerweise TCP 22.
B: SFTP ist dasselbe wie FTPS.
C: FTP ist immer verschlüsselt.
D: SMB nutzt UDP 53.
Antwort anzeigen
Richtig ist:
A: SFTP nutzt normalerweise TCP 22.
Begründung:
SFTP läuft über SSH
und nutzt daher typischerweise TCP 22.
Merksatz:
SFTP gehört zu SSH,
nicht zu FTPS.
---
**Aufgabe 36**
Ein Dienst ist auf dem Server installiert,
aber von außen nicht erreichbar.
Welche Schicht-4-Prüfungen sind sinnvoll?
Antwort anzeigen
Sinnvolle Prüfungen:
Lauscht der Dienst auf dem erwarteten Port?
Nutzt er TCP oder UDP?
Lauscht er auf der richtigen Schnittstelle?
Blockiert die lokale Firewall?
Blockiert eine Netzwerkfirewall?
Ist NAT oder Portweiterleitung korrekt?
Gibt es Logs?
Merksatz:
Bei Dienstproblemen Port,
Protokoll,
Dienststatus
und Firewall prüfen.
---
**Aufgabe 37**
Ein DNS-Server antwortet nicht.
Welche Portregel könnte fehlen?
Antwort anzeigen
Möglicherweise fehlt:
UDP 53
und je nach Fall auch:
TCP 53
Begründung:
DNS nutzt meistens UDP 53,
kann aber auch TCP 53 verwenden.
Merksatz:
DNS-Firewallregel:
UDP 53 nicht vergessen,
TCP 53 mitdenken.
---
**Aufgabe 38**
Welche Antwort ist besser?
Aufgabe:
Ein Server ist pingbar,
aber die Webseite funktioniert nicht.
Nennen Sie eine wahrscheinliche Ursache.
Antwort A:
Netzwerk kaputt.
Antwort B:
ICMP-Erreichbarkeit ist vorhanden,
aber der Webdienst auf TCP 80 oder TCP 443 könnte blockiert sein,
nicht laufen
oder falsch konfiguriert sein.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort unterscheidet zwischen Host-Erreichbarkeit per ICMP
und Dienst-Erreichbarkeit über TCP-Port.
Merksatz:
Fehlerbild genau nach Protokoll einordnen.
---
**Aufgabe 39**
Welche Antwort ist besser?
Aufgabe:
Warum muss man bei Firewall-Regeln TCP und UDP unterscheiden?
Antwort A:
Weil das immer so ist.
Antwort B:
TCP und UDP sind unterschiedliche Transportprotokolle.
Eine Regel für TCP 53 erlaubt nicht automatisch UDP 53.
Deshalb müssen Protokoll und Port gemeinsam angegeben werden.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort erklärt,
warum die Protokollangabe technisch relevant ist.
Merksatz:
Port plus Protokoll nennen.
---
**Aufgabe 40**
Welche Antwort ist besser?
Aufgabe:
Warum eignet sich TCP für Dateiübertragung?
Antwort A:
Weil TCP halt normal ist.
Antwort B:
TCP eignet sich,
weil es verbindungsorientiert und zuverlässig ist,
Daten bestätigt,
verlorene Daten erneut überträgt
und die Reihenfolge sicherstellt.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort nennt die technischen Eigenschaften,
die bei Dateiübertragung wichtig sind.
Merksatz:
Bei Begründungen immer die passende Eigenschaft nennen.
---
**Mini-Prüfung: schnelle Zuordnung**
| Frage | Antwort |
|---|---|
| Welche OSI-Schicht ist TCP? | Schicht 4 |
| Welche OSI-Schicht ist UDP? | Schicht 4 |
| Welche OSI-Schicht sind Ports? | Schicht 4 |
| Wofür steht TCP? | Transmission Control Protocol |
| Wofür steht UDP? | User Datagram Protocol |
| Was ist TCP? | verbindungsorientiert und zuverlässig |
| Was ist UDP? | verbindungslos und schlank |
| Wie startet TCP? | SYN, SYN-ACK, ACK |
| Was bedeutet LISTEN? | Dienst wartet auf Verbindung |
| Was bedeutet ESTABLISHED? | Verbindung besteht |
| Welcher Port ist SSH? | TCP 22 |
| Welcher Port ist HTTPS? | TCP 443 |
| Welcher Port ist SMB? | TCP 445 |
| Welcher Port ist RDP? | TCP 3389 |
| Welcher Port ist DNS? | UDP/TCP 53 |
| Welche Ports nutzt DHCP? | UDP 67 und 68 |
---
**Mini-Prüfung: Fehlerbild erkennen**
| Fehlerbild | Wahrscheinlichstes Thema |
|---|---|
| ping geht, SSH nicht | TCP 22, SSH-Dienst, Firewall |
| ping geht, HTTPS nicht | TCP 443, Webdienst, Firewall, TLS |
| DNS antwortet nicht | UDP/TCP 53, DNS-Server, Firewall |
| DHCP funktioniert nicht | UDP 67/68, VLAN, Relay, Scope |
| Dienst lauscht nicht | Dienststatus oder Portkonfiguration |
| Port offen, Login scheitert | Authentifizierung |
| Port offen, Zugriff verweigert | Autorisierung |
| SYN_SENT bleibt stehen | keine Antwort, Firewall, Dienst oder Routing |
| RDP aus Internet erreichbar | Sicherheitsrisiko |
| SMB öffentlich erreichbar | hohes Sicherheitsrisiko |
---
**IHK-sichere Kurzformulierung**
Die OSI-Schicht 4 ist die Transportschicht. Sie sorgt dafür, dass Daten dem richtigen Dienst oder Prozess zugeordnet werden. Dafür nutzen TCP und UDP Portnummern. TCP ist verbindungsorientiert und zuverlässig. Es baut eine Verbindung über den Three-Way Handshake auf, bestätigt Daten und kann verlorene Daten erneut übertragen. UDP ist verbindungslos, schlank und hat keine eingebaute Zustellgarantie. Es eignet sich für schnelle oder zeitkritische Kommunikation wie DNS, DHCP, NTP oder VoIP. Bei der Fehlersuche muss zwischen Host-Erreichbarkeit und Dienst-Erreichbarkeit unterschieden werden. ping prüft ICMP, aber nicht, ob ein TCP- oder UDP-Port erreichbar ist.
---
**Merksätze**
Schicht 4 ist die Transportschicht.
TCP und UDP gehören zu Schicht 4.
Ports gehören zu Schicht 4.
IP findet den Host.
Port findet den Dienst.
Zielport zeigt meist den Dienst.
Quellport ist beim Client oft dynamisch.
TCP ist verbindungsorientiert.
TCP ist zuverlässig.
TCP bestätigt Daten.
TCP stellt Reihenfolge sicher.
TCP startet mit SYN,
SYN-ACK,
ACK.
UDP ist verbindungslos.
UDP ist schlank.
UDP hat keine eingebaute Zustellgarantie.
UDP ist nicht schlechter,
sondern für andere Anforderungen gebaut.
SSH nutzt TCP 22.
HTTP nutzt TCP 80.
HTTPS nutzt TCP 443.
DNS nutzt UDP und TCP 53.
DHCP nutzt UDP 67 und 68.
SMB nutzt TCP 445.
RDP nutzt TCP 3389.
LISTEN heißt:
Dienst wartet.
ESTABLISHED heißt:
Verbindung besteht.
ping ist kein Porttest.
Host erreichbar heißt nicht Dienst erreichbar.
Portnummer ohne TCP oder UDP ist unvollständig.
Firewall-Regeln brauchen Quelle,
Ziel,
Port
und Protokoll.
RDP nicht offen ins Internet stellen.
SMB nicht offen ins Internet stellen.
SFTP nutzt SSH und damit TCP 22.
FTPS ist FTP mit TLS.
Bei Dienstproblemen:
Port,
Protokoll,
Dienststatus
und Firewall prüfen.
# 20.6 Trainer – Schicht 4 / TCP, UDP, Ports und Schicht 4
Diese Trainer-Seite wiederholt die OSI-Schicht 4,
TCP,
UDP,
Ports
und typische Fehlerbilder auf der Transportschicht.
Ziel ist,
Prüfungsfragen zu zuverlässiger Übertragung,
verbindungsloser Übertragung,
Portnummern,
Dienstzuordnung
und Firewall-Fehlersuche sicher zu beantworten.
Merksatz:
Schicht 4 fragt:
Ist der richtige Dienst über den richtigen Port erreichbar?
---
**Lernziele**
Nach dieser Seite solltest du sicher können:
- OSI-Schicht 4 einordnen
- TCP und UDP unterscheiden
- Ports erklären
- Quellport und Zielport unterscheiden
- wichtige Standardports nennen
- TCP-Verbindungsaufbau erklären
- typische TCP-Status einordnen
- Portprobleme erkennen
- erklären,
warum ping keinen Porttest ersetzt
---
**Kurzüberblick: OSI-Schicht 4**
OSI-Schicht 4 heißt:
Transportschicht
Aufgabe:
Ende-zu-Ende-Kommunikation zwischen Anwendungen ermöglichen.
Typische Begriffe:
TCP
UDP
Port
Segment
Datagramm
Verbindungsaufbau
Three-Way Handshake
LISTEN
ESTABLISHED
Merksatz:
Schicht 4 ordnet Netzwerkverkehr dem richtigen Dienst zu.
---
**TCP kurz erklärt**
TCP steht für:
Transmission Control Protocol
Eigenschaften:
verbindungsorientiert
zuverlässig
bestätigt Daten
stellt Reihenfolge sicher
sendet verlorene Daten erneut
nutzt Ports
Typische Dienste:
HTTPS
SSH
SMTP
IMAP
SMB
RDP
Merksatz:
TCP = zuverlässig und verbindungsorientiert.
---
**UDP kurz erklärt**
UDP steht für:
User Datagram Protocol
Eigenschaften:
verbindungslos
schnell
wenig Overhead
keine eingebaute Zustellgarantie
keine eingebaute Reihenfolgegarantie
nutzt Ports
Typische Dienste:
DNS
DHCP
NTP
SNMP
VoIP
Streaming
Merksatz:
UDP = schnell,
schlank
und verbindungslos.
---
**Aufgabe 1**
Wie heißt OSI-Schicht 4?
Antwort anzeigen
OSI-Schicht 4 heißt:
Transportschicht
Englisch:
Transport Layer
Aufgabe:
Kommunikation zwischen Anwendungen oder Prozessen über Ports ermöglichen.
Merksatz:
Schicht 4 = TCP,
UDP
und Ports.
---
**Aufgabe 2**
Welche Protokolle gehören typisch zu OSI-Schicht 4?
A: TCP und UDP
B: IP und ICMP
C: Ethernet und ARP
D: HTTP und DNS
Antwort anzeigen
Richtig ist:
A: TCP und UDP
Begründung:
TCP und UDP sind Transportprotokolle
und gehören zur OSI-Schicht 4.
Merksatz:
TCP und UDP = Transportschicht.
---
**Aufgabe 3**
Was ist ein Port?
Antwort anzeigen
Ein Port ist eine logische Nummer,
mit der ein Dienst oder Prozess auf einem Host angesprochen wird.
Beispiel:
192.168.1.10:443
Bedeutung:
Host:
192.168.1.10
Dienst:
Port 443
Merksatz:
IP findet den Host.
Port findet den Dienst.
---
**Aufgabe 4**
Welche OSI-Schicht ist für Portnummern zuständig?
Antwort anzeigen
Portnummern gehören zu:
OSI-Schicht 4
Begründung:
Ports werden von TCP und UDP genutzt,
um Daten dem richtigen Dienst oder Prozess zuzuordnen.
Merksatz:
Ports = Schicht 4.
---
**Aufgabe 5**
Was ist der Unterschied zwischen IP-Adresse und Port?
Antwort anzeigen
IP-Adresse:
identifiziert den Host logisch im Netzwerk
Port:
identifiziert den Dienst oder Prozess auf diesem Host
Beispiel:
192.168.1.10:22
192.168.1.10 = Host
22 = SSH-Dienst
Merksatz:
IP = welcher Rechner?
Port = welcher Dienst?
---
**Aufgabe 6**
Was ist der Unterschied zwischen Quellport und Zielport?
Antwort anzeigen
Quellport:
Port auf dem sendenden System
beim Client oft dynamisch
Zielport:
Port des angesprochenen Dienstes auf dem Server
Beispiel:
Client:
192.168.1.50:52344
Server:
93.184.216.34:443
Hier ist 52344 der Quellport
und 443 der Zielport.
Merksatz:
Zielport zeigt meistens den Dienst.
---
**Aufgabe 7**
Welche Aussage ist richtig?
A: TCP ist verbindungslos.
B: UDP garantiert die Reihenfolge der Pakete.
C: TCP ist verbindungsorientiert und zuverlässig.
D: Ports gehören zu OSI-Schicht 3.
Antwort anzeigen
Richtig ist:
C: TCP ist verbindungsorientiert und zuverlässig.
Begründung:
TCP baut eine Verbindung auf,
bestätigt Daten
und kann verlorene Daten erneut übertragen.
Merksatz:
TCP = zuverlässig.
---
**Aufgabe 8**
Welche Aussage ist richtig?
A: UDP ist immer besser als TCP.
B: UDP ist verbindungslos und hat wenig Overhead.
C: UDP baut immer einen Three-Way Handshake auf.
D: UDP nutzt keine Ports.
Antwort anzeigen
Richtig ist:
B: UDP ist verbindungslos und hat wenig Overhead.
Begründung:
UDP verzichtet auf einen Verbindungsaufbau
und auf eingebaute Zustellgarantien.
Dadurch ist es schlanker und schneller,
aber weniger zuverlässig als TCP.
Merksatz:
UDP = verbindungslos und schlank.
---
**Aufgabe 9**
Vergleiche TCP und UDP.
| Merkmal | TCP | UDP |
|---|---|---|
| Verbindung | ? | ? |
| Zuverlässigkeit | ? | ? |
| Overhead | ? | ? |
| Beispiel | ? | ? |
Antwort anzeigen
| Merkmal | TCP | UDP |
|---|---|---|
| Verbindung | verbindungsorientiert | verbindungslos |
| Zuverlässigkeit | eingebaut | keine eingebaute Garantie |
| Overhead | höher | geringer |
| Beispiel | HTTPS, SSH, SMB | DNS, DHCP, VoIP |
Merksatz:
TCP für zuverlässige Übertragung.
UDP für schnelle und schlanke Kommunikation.
---
**Aufgabe 10**
Was ist der TCP Three-Way Handshake?
Antwort anzeigen
Der TCP Three-Way Handshake ist der Verbindungsaufbau bei TCP.
Ablauf:
1. SYN
2. SYN-ACK
3. ACK
Bedeutung:
Client fragt Verbindung an.
Server bestätigt und antwortet.
Client bestätigt die Verbindung.
Merksatz:
TCP startet mit SYN,
SYN-ACK,
ACK.
---
**Aufgabe 11**
Warum hat TCP mehr Overhead als UDP?
Antwort anzeigen
TCP hat mehr Overhead,
weil es zusätzliche Funktionen bietet.
Dazu gehören:
Verbindungsaufbau
Bestätigungen
Sequenznummern
erneute Übertragung
Reihenfolgeprüfung
Flusskontrolle
Merksatz:
TCP ist aufwendiger,
weil es Zuverlässigkeit bietet.
---
**Aufgabe 12**
Warum wird UDP häufig für DNS verwendet?
Antwort anzeigen
DNS-Anfragen sind oft klein
und sollen schnell beantwortet werden.
UDP ist dafür geeignet,
weil es wenig Overhead hat
und keinen TCP-Verbindungsaufbau benötigt.
Wichtig:
DNS kann bei Bedarf auch TCP 53 nutzen.
Merksatz:
DNS nutzt häufig UDP 53,
aber TCP 53 nicht vergessen.
---
**Aufgabe 13**
Warum eignet sich UDP für VoIP?
Antwort anzeigen
Bei VoIP ist geringe Verzögerung wichtig.
Ein verlorenes Sprachpaket ist meist weniger schlimm
als eine stark verspätete Übertragung.
UDP ist dafür geeignet,
weil es schnell und verbindungslos arbeitet.
Merksatz:
VoIP braucht geringe Latenz,
daher ist UDP sinnvoll.
---
**Aufgabe 14**
Ordne zu.
| Dienst | TCP oder UDP? | Port |
|---|---|---:|
| SSH | ? | ? |
| HTTPS | ? | ? |
| DNS | ? | ? |
| DHCP Server | ? | ? |
| RDP | ? | ? |
| SMB | ? | ? |
Antwort anzeigen
| Dienst | TCP oder UDP? | Port |
|---|---|---:|
| SSH | TCP | 22 |
| HTTPS | TCP | 443 |
| DNS | UDP/TCP | 53 |
| DHCP Server | UDP | 67 |
| RDP | TCP | 3389 |
| SMB | TCP | 445 |
Merksatz:
Portnummer immer mit TCP oder UDP lernen.
---
**Aufgabe 15**
Welchen Port nutzt SSH typischerweise?
Antwort anzeigen
SSH nutzt typischerweise:
TCP 22
SSH steht für:
Secure Shell
Merksatz:
SSH = TCP 22.
---
**Aufgabe 16**
Welchen Port nutzt HTTPS typischerweise?
Antwort anzeigen
HTTPS nutzt typischerweise:
TCP 443
HTTPS bedeutet:
HTTP über TLS
Merksatz:
HTTPS = TCP 443.
---
**Aufgabe 17**
Welche Ports nutzt DHCP?
Antwort anzeigen
DHCP nutzt:
UDP 67 für den DHCP-Server
UDP 68 für den DHCP-Client
Merksatz:
DHCP = UDP 67 und 68.
---
**Aufgabe 18**
Welchen Port nutzt DNS?
Antwort anzeigen
DNS nutzt:
UDP 53
und bei Bedarf:
TCP 53
Merksatz:
DNS = UDP/TCP 53.
---
**Aufgabe 19**
Welchen Port nutzt SMB typischerweise?
Antwort anzeigen
SMB nutzt typischerweise:
TCP 445
SMB wird genutzt für:
Datei- und Druckfreigaben
Netzlaufwerke
Merksatz:
SMB = TCP 445.
---
**Aufgabe 20**
Welchen Port nutzt RDP typischerweise?
Antwort anzeigen
RDP nutzt typischerweise:
TCP 3389
RDP steht für:
Remote Desktop Protocol
Merksatz:
RDP = TCP 3389.
---
**Aufgabe 21**
Was bedeutet LISTEN bei TCP?
Antwort anzeigen
LISTEN bedeutet:
Ein Dienst wartet auf eingehende Verbindungen.
Beispiel:
Ein Webserver lauscht auf TCP 443.
Merksatz:
LISTEN = Dienst wartet auf Verbindung.
---
**Aufgabe 22**
Was bedeutet ESTABLISHED bei TCP?
Antwort anzeigen
ESTABLISHED bedeutet:
Eine TCP-Verbindung besteht.
Client und Server haben eine aktive Verbindung aufgebaut.
Merksatz:
ESTABLISHED = Verbindung besteht.
---
**Aufgabe 23**
Was bedeutet SYN_SENT?
Antwort anzeigen
SYN_SENT bedeutet:
Der Client hat einen Verbindungsaufbau gestartet
und wartet auf eine Antwort.
Mögliche Ursache,
wenn es hängen bleibt:
Ziel antwortet nicht
Firewall blockiert
Dienst läuft nicht
Routingproblem
Merksatz:
SYN_SENT hängt oft bei fehlender Antwort.
---
**Aufgabe 24**
Ein Host ist per ping erreichbar,
aber SSH funktioniert nicht.
Was ist wahrscheinlich?
Antwort anzeigen
Ping prüft ICMP.
SSH nutzt TCP 22.
Mögliche Ursachen:
TCP 22 blockiert
SSH-Dienst läuft nicht
SSH lauscht auf anderem Port
Firewall blockiert
Zugriff nur aus bestimmten Netzen erlaubt
Benutzer oder Schlüssel falsch
Merksatz:
Host erreichbar heißt nicht,
dass der Dienst erreichbar ist.
---
**Aufgabe 25**
Ein Webserver antwortet nicht auf HTTPS,
ping funktioniert aber.
Was sollte geprüft werden?
Antwort anzeigen
Zu prüfen:
TCP 443 erreichbar?
Webserver läuft?
Dienst lauscht auf Port 443?
Firewall erlaubt TCP 443?
Reverse Proxy korrekt?
TLS-Zertifikat korrekt?
Anwendung fehlerfrei?
Merksatz:
ping geht,
HTTPS nicht:
TCP 443,
Dienst
und Firewall prüfen.
---
**Aufgabe 26**
Warum ersetzt ping keinen Porttest?
Antwort anzeigen
ping prüft ICMP-Erreichbarkeit.
ping prüft nicht:
TCP 22
TCP 443
TCP 445
UDP 53
Dienststatus
Anmeldung
Rechte
Anwendung
Merksatz:
ping prüft Host-Erreichbarkeit,
nicht Dienstfunktion.
---
**Aufgabe 27**
Welche Angaben braucht man für eine saubere Firewall-Regel?
Antwort anzeigen
Eine saubere Firewall-Regel enthält:
Quelle
Ziel
Protokoll
Port
Richtung
Aktion
Zweck
Beispiel:
Quelle:
Adminnetz
Ziel:
Server
Protokoll:
TCP
Port:
22
Aktion:
erlauben
Zweck:
SSH-Administration
Merksatz:
Firewall-Regeln brauchen Quelle,
Ziel,
Port
und Protokoll.
---
**Aufgabe 28**
Warum ist die Angabe „Port 53 erlauben“ ungenau?
Antwort anzeigen
Die Angabe ist ungenau,
weil nicht klar ist,
ob TCP 53,
UDP 53
oder beides gemeint ist.
Bei DNS ist wichtig:
UDP 53 für normale Abfragen
TCP 53 für große Antworten,
Zonentransfers
oder bestimmte Spezialfälle
Merksatz:
Portnummer ohne TCP oder UDP ist unvollständig.
---
**Aufgabe 29**
Was ist ein Well-Known Port?
Antwort anzeigen
Well-Known Ports sind bekannte Standardports.
Bereich:
0 bis 1023
Beispiele:
TCP 22 SSH
TCP 80 HTTP
TCP 443 HTTPS
UDP/TCP 53 DNS
Merksatz:
Well-Known Ports sind bekannte Dienstports.
---
**Aufgabe 30**
Was sind dynamische oder ephemeral Ports?
Antwort anzeigen
Dynamische Ports werden häufig von Clients als Quellports verwendet.
Bereich:
49152 bis 65535
Beispiel:
Client nutzt Quellport 52344
und verbindet sich zu Server TCP 443.
Merksatz:
Server hat bekannten Zielport.
Client nutzt oft dynamischen Quellport.
---
**Aufgabe 31**
Ein Client verbindet sich zu einem Webserver.
Client:
192.168.1.50:52344
Server:
93.184.216.34:443
Welcher Port zeigt den Webdienst?
Antwort anzeigen
Der Webdienst wird durch den Zielport angezeigt:
TCP 443
Der Quellport 52344 ist ein dynamischer Clientport.
Merksatz:
Zielport zeigt den Dienst.
---
**Aufgabe 32**
Warum sollte RDP nicht direkt aus dem Internet erreichbar sein?
Antwort anzeigen
RDP ist ein häufiges Angriffsziel.
Risiken:
Brute-Force-Angriffe
Credential Stuffing
Exploits
unberechtigter Fernzugriff
Sicherer:
VPN
RDP-Gateway
MFA
Firewall-Beschränkung auf bekannte Quellnetze
Logging
Merksatz:
RDP nicht offen ins Internet stellen.
---
**Aufgabe 33**
Warum sollte SMB nicht direkt aus dem Internet erreichbar sein?
Antwort anzeigen
SMB ist für Datei- und Druckfreigaben gedacht
und sollte nicht öffentlich erreichbar sein.
Risiken:
Datenabfluss
Malware-Ausbreitung
Brute Force
Ausnutzung von Schwachstellen
Zugriff auf interne Freigaben
Merksatz:
SMB gehört nicht offen ins Internet.
---
**Aufgabe 34**
Was ist der Unterschied zwischen FTP,
FTPS
und SFTP?
Antwort anzeigen
FTP:
klassisches File Transfer Protocol
meist TCP 21
unverschlüsselt
FTPS:
FTP mit TLS-Verschlüsselung
SFTP:
Dateiübertragung über SSH
nutzt TCP 22
Merksatz:
FTPS = FTP mit TLS.
SFTP = Dateiübertragung über SSH.
---
**Aufgabe 35**
Welche Aussage ist richtig?
A: SFTP nutzt normalerweise TCP 22.
B: SFTP ist dasselbe wie FTPS.
C: FTP ist immer verschlüsselt.
D: SMB nutzt UDP 53.
Antwort anzeigen
Richtig ist:
A: SFTP nutzt normalerweise TCP 22.
Begründung:
SFTP läuft über SSH
und nutzt daher typischerweise TCP 22.
Merksatz:
SFTP gehört zu SSH,
nicht zu FTPS.
---
**Aufgabe 36**
Ein Dienst ist auf dem Server installiert,
aber von außen nicht erreichbar.
Welche Schicht-4-Prüfungen sind sinnvoll?
Antwort anzeigen
Sinnvolle Prüfungen:
Lauscht der Dienst auf dem erwarteten Port?
Nutzt er TCP oder UDP?
Lauscht er auf der richtigen Schnittstelle?
Blockiert die lokale Firewall?
Blockiert eine Netzwerkfirewall?
Ist NAT oder Portweiterleitung korrekt?
Gibt es Logs?
Merksatz:
Bei Dienstproblemen Port,
Protokoll,
Dienststatus
und Firewall prüfen.
---
**Aufgabe 37**
Ein DNS-Server antwortet nicht.
Welche Portregel könnte fehlen?
Antwort anzeigen
Möglicherweise fehlt:
UDP 53
und je nach Fall auch:
TCP 53
Begründung:
DNS nutzt meistens UDP 53,
kann aber auch TCP 53 verwenden.
Merksatz:
DNS-Firewallregel:
UDP 53 nicht vergessen,
TCP 53 mitdenken.
---
**Aufgabe 38**
Welche Antwort ist besser?
Aufgabe:
Ein Server ist pingbar,
aber die Webseite funktioniert nicht.
Nennen Sie eine wahrscheinliche Ursache.
Antwort A:
Netzwerk kaputt.
Antwort B:
ICMP-Erreichbarkeit ist vorhanden,
aber der Webdienst auf TCP 80 oder TCP 443 könnte blockiert sein,
nicht laufen
oder falsch konfiguriert sein.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort unterscheidet zwischen Host-Erreichbarkeit per ICMP
und Dienst-Erreichbarkeit über TCP-Port.
Merksatz:
Fehlerbild genau nach Protokoll einordnen.
---
**Aufgabe 39**
Welche Antwort ist besser?
Aufgabe:
Warum muss man bei Firewall-Regeln TCP und UDP unterscheiden?
Antwort A:
Weil das immer so ist.
Antwort B:
TCP und UDP sind unterschiedliche Transportprotokolle.
Eine Regel für TCP 53 erlaubt nicht automatisch UDP 53.
Deshalb müssen Protokoll und Port gemeinsam angegeben werden.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort erklärt,
warum die Protokollangabe technisch relevant ist.
Merksatz:
Port plus Protokoll nennen.
---
**Aufgabe 40**
Welche Antwort ist besser?
Aufgabe:
Warum eignet sich TCP für Dateiübertragung?
Antwort A:
Weil TCP halt normal ist.
Antwort B:
TCP eignet sich,
weil es verbindungsorientiert und zuverlässig ist,
Daten bestätigt,
verlorene Daten erneut überträgt
und die Reihenfolge sicherstellt.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort nennt die technischen Eigenschaften,
die bei Dateiübertragung wichtig sind.
Merksatz:
Bei Begründungen immer die passende Eigenschaft nennen.
---
**Mini-Prüfung: schnelle Zuordnung**
| Frage | Antwort |
|---|---|
| Welche OSI-Schicht ist TCP? | Schicht 4 |
| Welche OSI-Schicht ist UDP? | Schicht 4 |
| Welche OSI-Schicht sind Ports? | Schicht 4 |
| Wofür steht TCP? | Transmission Control Protocol |
| Wofür steht UDP? | User Datagram Protocol |
| Was ist TCP? | verbindungsorientiert und zuverlässig |
| Was ist UDP? | verbindungslos und schlank |
| Wie startet TCP? | SYN, SYN-ACK, ACK |
| Was bedeutet LISTEN? | Dienst wartet auf Verbindung |
| Was bedeutet ESTABLISHED? | Verbindung besteht |
| Welcher Port ist SSH? | TCP 22 |
| Welcher Port ist HTTPS? | TCP 443 |
| Welcher Port ist SMB? | TCP 445 |
| Welcher Port ist RDP? | TCP 3389 |
| Welcher Port ist DNS? | UDP/TCP 53 |
| Welche Ports nutzt DHCP? | UDP 67 und 68 |
---
**Mini-Prüfung: Fehlerbild erkennen**
| Fehlerbild | Wahrscheinlichstes Thema |
|---|---|
| ping geht, SSH nicht | TCP 22, SSH-Dienst, Firewall |
| ping geht, HTTPS nicht | TCP 443, Webdienst, Firewall, TLS |
| DNS antwortet nicht | UDP/TCP 53, DNS-Server, Firewall |
| DHCP funktioniert nicht | UDP 67/68, VLAN, Relay, Scope |
| Dienst lauscht nicht | Dienststatus oder Portkonfiguration |
| Port offen, Login scheitert | Authentifizierung |
| Port offen, Zugriff verweigert | Autorisierung |
| SYN_SENT bleibt stehen | keine Antwort, Firewall, Dienst oder Routing |
| RDP aus Internet erreichbar | Sicherheitsrisiko |
| SMB öffentlich erreichbar | hohes Sicherheitsrisiko |
---
**IHK-sichere Kurzformulierung**
Die OSI-Schicht 4 ist die Transportschicht. Sie sorgt dafür, dass Daten dem richtigen Dienst oder Prozess zugeordnet werden. Dafür nutzen TCP und UDP Portnummern. TCP ist verbindungsorientiert und zuverlässig. Es baut eine Verbindung über den Three-Way Handshake auf, bestätigt Daten und kann verlorene Daten erneut übertragen. UDP ist verbindungslos, schlank und hat keine eingebaute Zustellgarantie. Es eignet sich für schnelle oder zeitkritische Kommunikation wie DNS, DHCP, NTP oder VoIP. Bei der Fehlersuche muss zwischen Host-Erreichbarkeit und Dienst-Erreichbarkeit unterschieden werden. ping prüft ICMP, aber nicht, ob ein TCP- oder UDP-Port erreichbar ist.
---
**Merksätze**
Schicht 4 ist die Transportschicht.
TCP und UDP gehören zu Schicht 4.
Ports gehören zu Schicht 4.
IP findet den Host.
Port findet den Dienst.
Zielport zeigt meist den Dienst.
Quellport ist beim Client oft dynamisch.
TCP ist verbindungsorientiert.
TCP ist zuverlässig.
TCP bestätigt Daten.
TCP stellt Reihenfolge sicher.
TCP startet mit SYN,
SYN-ACK,
ACK.
UDP ist verbindungslos.
UDP ist schlank.
UDP hat keine eingebaute Zustellgarantie.
UDP ist nicht schlechter,
sondern für andere Anforderungen gebaut.
SSH nutzt TCP 22.
HTTP nutzt TCP 80.
HTTPS nutzt TCP 443.
DNS nutzt UDP und TCP 53.
DHCP nutzt UDP 67 und 68.
SMB nutzt TCP 445.
RDP nutzt TCP 3389.
LISTEN heißt:
Dienst wartet.
ESTABLISHED heißt:
Verbindung besteht.
ping ist kein Porttest.
Host erreichbar heißt nicht Dienst erreichbar.
Portnummer ohne TCP oder UDP ist unvollständig.
Firewall-Regeln brauchen Quelle,
Ziel,
Port
und Protokoll.
RDP nicht offen ins Internet stellen.
SMB nicht offen ins Internet stellen.
SFTP nutzt SSH und damit TCP 22.
FTPS ist FTP mit TLS.
Bei Dienstproblemen:
Port,
Protokoll,
Dienststatus
und Firewall prüfen.
# 20.7 Trainer - Schicht 5-7 Sitzung, Darstellung, Anwendung
Diese Trainer-Seite wiederholt die oberen OSI-Schichten:
- Schicht 5 Sitzungsschicht
- Schicht 6 Darstellungsschicht
- Schicht 7 Anwendungsschicht
Ziel ist,
typische Prüfungsfragen zu Sessions,
TLS,
Zertifikaten,
DNS,
DHCP,
HTTP,
E-Mail,
Dateifreigaben
und Anwendungsfehlern sicher zu beantworten.
Merksatz:
Schicht 5 hält Sitzungen.
Schicht 6 stellt Daten dar und schützt sie.
Schicht 7 stellt Netzwerkdienste für Anwendungen bereit.
---
**Lernziele**
Nach dieser Seite solltest du sicher können:
- OSI-Schicht 5,
6
und 7 unterscheiden
- Session,
Cookie
und Token einordnen
- TLS und Zertifikate erklären
- typische Zertifikatsfehler erkennen
- DNS und DHCP einordnen
- HTTP-Statuscodes unterscheiden
- E-Mail-Protokolle zuordnen
- Datei- und Freigabeprotokolle unterscheiden
- typische Anwendungsfehler prüfen
---
**Kurzüberblick: obere OSI-Schichten**
| OSI-Schicht | Name | Hauptaufgabe | Beispiele |
|---|---|---|---|
| 7 | Anwendungsschicht | Netzwerkdienste für Anwendungen | HTTP, DNS, DHCP, SMTP, SMB |
| 6 | Darstellungsschicht | Datenformat, Codierung, Verschlüsselung | TLS, Zertifikate, Zeichensatz |
| 5 | Sitzungsschicht | Sitzungen aufbauen, halten, beenden | Session, Cookie, Token, Timeout |
Merksatz:
5 = Sitzung.
6 = Darstellung und Verschlüsselung.
7 = Anwendungsdienste.
---
**Aufgabe 1**
Wie heißt OSI-Schicht 5?
Antwort anzeigen
OSI-Schicht 5 heißt:
Sitzungsschicht
Englisch:
Session Layer
Aufgabe:
Kommunikationssitzungen aufbauen,
verwalten
und beenden.
Merksatz:
Schicht 5 = Sitzungen.
---
**Aufgabe 2**
Wie heißt OSI-Schicht 6?
Antwort anzeigen
OSI-Schicht 6 heißt:
Darstellungsschicht
Englisch:
Presentation Layer
Aufgabe:
Datenformat,
Codierung,
Kompression
und Verschlüsselung darstellen oder umwandeln.
Merksatz:
Schicht 6 = Darstellung,
Format
und Verschlüsselung.
---
**Aufgabe 3**
Wie heißt OSI-Schicht 7?
Antwort anzeigen
OSI-Schicht 7 heißt:
Anwendungsschicht
Englisch:
Application Layer
Aufgabe:
Netzwerkdienste für Anwendungen bereitstellen.
Beispiele:
HTTP
DNS
DHCP
SMTP
IMAP
SMB
Merksatz:
Schicht 7 = Anwendungsprotokolle.
---
**Aufgabe 4**
Ordne die Begriffe der richtigen OSI-Schicht zu.
| Begriff | OSI-Schicht |
|---|---|
| Session | ? |
| TLS-Zertifikat | ? |
| HTTP | ? |
| DNS | ? |
| Cookie | ? |
| Zeichensatz | ? |
Antwort anzeigen
| Begriff | OSI-Schicht |
|---|---|
| Session | Schicht 5 |
| TLS-Zertifikat | Schicht 6 |
| HTTP | Schicht 7 |
| DNS | Schicht 7 |
| Cookie | Schicht 5 / Anwendungskontext |
| Zeichensatz | Schicht 6 |
Merksatz:
Session = 5.
TLS = 6.
HTTP und DNS = 7.
---
**Aufgabe 5**
Was ist eine Session?
Antwort anzeigen
Eine Session ist eine zusammenhängende Kommunikationssitzung zwischen Client und Server.
Beispiel:
Benutzer meldet sich bei einer Webanwendung an.
Die Anwendung merkt sich über eine Session,
dass der Benutzer angemeldet ist.
Typische Begriffe:
Session-ID
Cookie
Token
Timeout
Merksatz:
Session = zusammenhängende Sitzung.
---
**Aufgabe 6**
Was ist ein Session-Timeout?
Antwort anzeigen
Ein Session-Timeout beendet eine Sitzung nach einer bestimmten Zeit ohne Aktivität
oder nach Ablauf einer festgelegten Zeit.
Zweck:
Sicherheit erhöhen
verlassene Sitzungen beenden
Ressourcen freigeben
Merksatz:
Timeout beendet inaktive oder abgelaufene Sitzungen.
---
**Aufgabe 7**
Ein Benutzer wird ständig aus einer Webanwendung abgemeldet.
Welche OSI-Schicht ist wahrscheinlich betroffen?
Antwort anzeigen
Wahrscheinlich betroffen:
OSI-Schicht 5
Mögliche Ursachen:
Session-Timeout zu kurz
Cookie wird nicht gespeichert
Token läuft ab
Load Balancer ohne Session Persistence
Browser blockiert Cookies
Merksatz:
Ständige Abmeldung:
Session,
Cookie
oder Token prüfen.
---
**Aufgabe 8**
Was ist ein Cookie im Webkontext?
Antwort anzeigen
Ein Cookie ist eine kleine Information,
die der Browser für eine Webseite speichert.
Nutzung:
Session-ID speichern
Login-Status unterstützen
Einstellungen speichern
Warenkorb erhalten
Sicherheitsattribute:
Secure
HttpOnly
SameSite
Merksatz:
Cookie kann helfen,
eine Sitzung wiederzuerkennen.
---
**Aufgabe 9**
Was bedeutet das Cookie-Attribut Secure?
Antwort anzeigen
Secure bedeutet:
Das Cookie soll nur über HTTPS übertragen werden.
Ziel:
Schutz vor Übertragung über unverschlüsselte Verbindungen.
Merksatz:
Secure-Cookie nur über HTTPS.
---
**Aufgabe 10**
Was bedeutet das Cookie-Attribut HttpOnly?
Antwort anzeigen
HttpOnly bedeutet:
Das Cookie soll nicht durch JavaScript ausgelesen werden können.
Ziel:
Risiko bei XSS-Angriffen reduzieren.
Merksatz:
HttpOnly erschwert Cookie-Diebstahl per JavaScript.
---
**Aufgabe 11**
Was bedeutet das Cookie-Attribut SameSite?
Antwort anzeigen
SameSite steuert,
ob Cookies bei seitenübergreifenden Anfragen mitgesendet werden.
Ziel:
Schutz gegen CSRF-Angriffe verbessern.
Merksatz:
SameSite hilft gegen CSRF.
---
**Aufgabe 12**
Was ist TLS?
Antwort anzeigen
TLS steht für:
Transport Layer Security
Aufgabe:
verschlüsselte und abgesicherte Kommunikation ermöglichen.
TLS schützt unter anderem:
Vertraulichkeit
Integrität
Authentizität des Servers über Zertifikate
Typisch bei:
HTTPS
Merksatz:
TLS verschlüsselt und schützt die Verbindung.
---
**Aufgabe 13**
Welche OSI-Schicht passt am besten zu TLS und Zertifikaten?
Antwort anzeigen
Am besten passt:
OSI-Schicht 6
Begründung:
TLS,
Zertifikate,
Verschlüsselung
und Darstellung der Daten werden typischerweise der Darstellungsschicht zugeordnet.
Merksatz:
TLS und Zertifikate:
Schicht 6.
---
**Aufgabe 14**
Was ist ein Zertifikat?
Antwort anzeigen
Ein Zertifikat bestätigt die Identität eines Servers oder einer Stelle.
Es enthält unter anderem:
Namen des Inhabers
öffentlichen Schlüssel
Aussteller
Gültigkeitszeitraum
Signatur der Zertifizierungsstelle
Zweck:
Serverauthentizität prüfen
verschlüsselte Verbindung absichern
Merksatz:
Zertifikat bestätigt:
Dieser Server ist der richtige.
---
**Aufgabe 15**
Nenne vier typische Zertifikatsfehler.
Antwort anzeigen
Typische Fehler:
Zertifikat abgelaufen
Hostname passt nicht
Zertifikatskette unvollständig
Zertifizierungsstelle nicht vertrauenswürdig
Systemzeit falsch
falsches Zertifikat installiert
Merksatz:
Zertifikatsfehler:
Ablauf,
Name,
Kette,
Vertrauen,
Zeit.
---
**Aufgabe 16**
Ein Browser zeigt eine Zertifikatswarnung.
Was sollte geprüft werden?
Antwort anzeigen
Prüfen:
Ablaufdatum des Zertifikats
Hostname / SAN / CN
Zertifikatskette
vertrauenswürdige CA
Systemzeit des Clients
richtiges Zertifikat auf dem Server
Merksatz:
Zertifikatswarnung:
Ablauf,
Name,
Kette
und Zeit prüfen.
---
**Aufgabe 17**
Was ist der Unterschied zwischen HTTP und HTTPS?
Antwort anzeigen
HTTP:
unverschlüsselte Webkommunikation
typischer Port:
TCP 80
HTTPS:
HTTP über TLS
verschlüsselte Webkommunikation
typischer Port:
TCP 443
Merksatz:
HTTPS = HTTP plus TLS.
---
**Aufgabe 18**
Welche OSI-Schicht ist HTTP?
Antwort anzeigen
HTTP gehört zu:
OSI-Schicht 7
Begründung:
HTTP ist ein Anwendungsprotokoll für Webkommunikation.
Merksatz:
HTTP = Anwendungsschicht.
---
**Aufgabe 19**
Ordne HTTP-Statuscodes zu.
| Statuscode | Bedeutung |
|---|---|
| 200 | ? |
| 301 / 302 | ? |
| 401 | ? |
| 403 | ? |
| 404 | ? |
| 500 | ? |
| 502 | ? |
| 503 | ? |
Antwort anzeigen
| Statuscode | Bedeutung |
|---|---|
| 200 | erfolgreich |
| 301 / 302 | Weiterleitung |
| 401 | nicht authentifiziert |
| 403 | verboten |
| 404 | nicht gefunden |
| 500 | interner Serverfehler |
| 502 | Gateway oder Backend-Fehler |
| 503 | Dienst nicht verfügbar |
Merksatz:
4xx eher Client,
Anfrage
oder Rechte.
5xx eher Server,
Anwendung
oder Backend.
---
**Aufgabe 20**
Was bedeutet HTTP 401?
Antwort anzeigen
HTTP 401 bedeutet:
nicht authentifiziert
Der Benutzer ist nicht oder nicht korrekt angemeldet.
Merksatz:
401 = Anmeldung fehlt oder ungültig.
---
**Aufgabe 21**
Was bedeutet HTTP 403?
Antwort anzeigen
HTTP 403 bedeutet:
verboten
Der Benutzer ist zwar möglicherweise bekannt,
hat aber keine Berechtigung für die Ressource.
Merksatz:
403 = Zugriff verboten.
---
**Aufgabe 22**
Was bedeutet HTTP 404?
Antwort anzeigen
HTTP 404 bedeutet:
nicht gefunden
Die angeforderte Ressource existiert unter dieser Adresse nicht
oder ist nicht erreichbar.
Merksatz:
404 = Ressource nicht gefunden.
---
**Aufgabe 23**
Was bedeutet HTTP 500?
Antwort anzeigen
HTTP 500 bedeutet:
interner Serverfehler
Das Problem liegt eher auf Serverseite,
zum Beispiel in Anwendung,
Konfiguration
oder Backend.
Merksatz:
500 = serverseitiger Anwendungsfehler.
---
**Aufgabe 24**
Was bedeutet HTTP 502?
Antwort anzeigen
HTTP 502 bedeutet:
Bad Gateway
Typisch bei:
Reverse Proxy
Load Balancer
Gateway
Mögliche Ursache:
Backend nicht erreichbar
Backend antwortet fehlerhaft
falsche Proxy-Konfiguration
Merksatz:
502:
Gateway oder Proxy erreicht Backend nicht korrekt.
---
**Aufgabe 25**
Was ist DNS?
Antwort anzeigen
DNS steht für:
Domain Name System
Aufgabe:
Namen in IP-Adressen auflösen.
Beispiel:
www.example.com
wird zu:
IPv4- oder IPv6-Adresse
OSI-Schicht:
Schicht 7
Merksatz:
DNS löst Namen auf.
---
**Aufgabe 26**
IP-Adresse funktioniert,
Name funktioniert nicht.
Was ist wahrscheinlich?
Antwort anzeigen
Wahrscheinlich:
DNS-Problem
Begründung:
Die IP-Kommunikation funktioniert,
aber die Namensauflösung funktioniert nicht korrekt.
Prüfen:
DNS-Server
DNS-Eintrag
DNS-Cache
DNS-Suffix
Split-DNS
Merksatz:
IP ja,
Name nein:
DNS.
---
**Aufgabe 27**
Was ist DHCP?
Antwort anzeigen
DHCP steht für:
Dynamic Host Configuration Protocol
Aufgabe:
automatische Verteilung von Netzwerkkonfigurationen.
Typische Informationen:
IP-Adresse
Subnetzmaske
Standardgateway
DNS-Server
Lease-Zeit
OSI-Schicht:
Schicht 7
Merksatz:
DHCP verteilt IP-Konfiguration.
---
**Aufgabe 28**
Was bedeutet DHCP-DORA?
Antwort anzeigen
DORA beschreibt den DHCP-Ablauf:
Discover
Offer
Request
Acknowledge
Merksatz:
DHCP-DORA:
Discover,
Offer,
Request,
Acknowledge.
---
**Aufgabe 29**
Welche Ports nutzt DHCP?
Antwort anzeigen
DHCP nutzt:
UDP 67 für den DHCP-Server
UDP 68 für den DHCP-Client
Merksatz:
DHCP = UDP 67 und 68.
---
**Aufgabe 30**
Was bedeutet 169.254.x.x?
Antwort anzeigen
169.254.x.x ist eine APIPA-Adresse.
Bedeutung:
Der Client hat wahrscheinlich keine gültige Adresse per DHCP erhalten
und sich selbst eine automatische Adresse gegeben.
Merksatz:
169.254.x.x deutet auf DHCP-Problem hin.
---
**Aufgabe 31**
Was ist SMTP?
Antwort anzeigen
SMTP steht für:
Simple Mail Transfer Protocol
Aufgabe:
E-Mails senden
Typische Nutzung:
Mailserver zu Mailserver
Mailversand durch Clients je nach Port und Konfiguration
Merksatz:
SMTP sendet E-Mails.
---
**Aufgabe 32**
Was ist IMAP?
Antwort anzeigen
IMAP steht für:
Internet Message Access Protocol
Aufgabe:
E-Mails auf dem Mailserver abrufen und synchron verwalten.
Vorteil:
E-Mails bleiben serverseitig verwaltet
und sind auf mehreren Geräten synchron.
Merksatz:
IMAP synchronisiert E-Mails.
---
**Aufgabe 33**
Was ist POP3?
Antwort anzeigen
POP3 steht für:
Post Office Protocol Version 3
Aufgabe:
E-Mails vom Server abrufen.
Typisch:
eher einfaches Herunterladen von E-Mails
Merksatz:
POP3 ruft E-Mails ab,
IMAP synchronisiert sie.
---
**Aufgabe 34**
Ordne E-Mail-Protokolle zu.
| Protokoll | Aufgabe |
|---|---|
| SMTP | ? |
| IMAP | ? |
| POP3 | ? |
Antwort anzeigen
| Protokoll | Aufgabe |
|---|---|
| SMTP | E-Mail senden |
| IMAP | E-Mail abrufen und synchron verwalten |
| POP3 | E-Mail abrufen |
Merksatz:
SMTP raus.
IMAP und POP3 rein.
---
**Aufgabe 35**
Was ist SMB?
Antwort anzeigen
SMB steht für:
Server Message Block
Aufgabe:
Datei- und Druckfreigaben im Netzwerk bereitstellen.
Typische Nutzung:
Netzlaufwerke
Windows-Freigaben
Druckerfreigaben
Typischer Port:
TCP 445
Merksatz:
SMB = Dateifreigaben über TCP 445.
---
**Aufgabe 36**
Was ist der Unterschied zwischen FTP,
FTPS
und SFTP?
Antwort anzeigen
FTP:
klassisches File Transfer Protocol
meist TCP 21
unverschlüsselt
FTPS:
FTP mit TLS
SFTP:
Dateiübertragung über SSH
meist TCP 22
Merksatz:
FTPS = FTP mit TLS.
SFTP = Dateiübertragung über SSH.
---
**Aufgabe 37**
Ein Benutzer kann sich anmelden,
aber eine Datei nicht öffnen.
Was ist wahrscheinlich?
Antwort anzeigen
Wahrscheinlich:
Autorisierungs- oder Berechtigungsproblem
Begründung:
Die Anmeldung funktioniert bereits.
Das Problem liegt daher eher bei Rechten,
Gruppen,
ACLs,
Freigaberechten
oder Dateisystemrechten.
Merksatz:
Login ja,
Zugriff nein:
Rechte prüfen.
---
**Aufgabe 38**
Ein Benutzer kann sich nicht anmelden.
Was ist wahrscheinlich?
Antwort anzeigen
Wahrscheinlich:
Authentifizierungsproblem
Mögliche Ursachen:
falsches Passwort
Konto gesperrt
MFA-Problem
Verzeichnisdienst nicht erreichbar
Zeitproblem bei Kerberos oder Token
Merksatz:
Anmeldung scheitert:
Authentifizierung prüfen.
---
**Aufgabe 39**
Welche Antwort ist besser?
Aufgabe:
Ein Browser zeigt HTTP 500.
Was bedeutet das?
Antwort A:
Das Internet ist kaputt.
Antwort B:
HTTP 500 deutet auf einen internen Serverfehler hin,
zum Beispiel in Anwendung,
Konfiguration
oder Backend.
Server- und Anwendungslogs sollten geprüft werden.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort ordnet den Statuscode fachlich korrekt ein
und nennt eine sinnvolle Prüfung.
Merksatz:
5xx:
Server,
Anwendung
oder Backend prüfen.
---
**Aufgabe 40**
Welche Antwort ist besser?
Aufgabe:
Warum ist HTTPS sicherer als HTTP?
Antwort A:
Weil das Schloss im Browser angezeigt wird.
Antwort B:
HTTPS nutzt HTTP über TLS.
Dadurch wird die Verbindung verschlüsselt
und die Identität des Servers kann über Zertifikate geprüft werden.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort nennt die technischen Sicherheitsfunktionen:
Verschlüsselung
und Zertifikatsprüfung.
Merksatz:
HTTPS = HTTP plus TLS.
---
**Mini-Prüfung: schnelle Zuordnung**
| Frage | Antwort |
|---|---|
| Welche OSI-Schicht ist Session? | Schicht 5 |
| Welche OSI-Schicht ist TLS? | Schicht 6 |
| Welche OSI-Schicht ist HTTP? | Schicht 7 |
| Welche OSI-Schicht ist DNS? | Schicht 7 |
| Welche OSI-Schicht ist DHCP? | Schicht 7 |
| Was macht DNS? | Namen auflösen |
| Was macht DHCP? | IP-Konfiguration verteilen |
| Was macht SMTP? | E-Mail senden |
| Was macht IMAP? | E-Mail synchron abrufen |
| Was macht POP3? | E-Mail abrufen |
| Was macht SMB? | Datei- und Druckfreigaben |
| Was bedeutet HTTP 404? | nicht gefunden |
| Was bedeutet HTTP 500? | interner Serverfehler |
| Was bedeutet 401? | nicht authentifiziert |
| Was bedeutet 403? | verboten |
---
**Mini-Prüfung: Fehlerbild erkennen**
| Fehlerbild | Wahrscheinlichstes Thema |
|---|---|
| ständig ausgeloggt | Session, Cookie, Token |
| Zertifikatswarnung | TLS, Zertifikat, Zeit |
| IP geht, Name nicht | DNS |
| 169.254.x.x | DHCP |
| HTTP 401 | Authentifizierung |
| HTTP 403 | Autorisierung / Rechte |
| HTTP 404 | Ressource nicht gefunden |
| HTTP 500 | Server oder Anwendung |
| HTTP 502 | Gateway, Proxy oder Backend |
| Login ja, Datei nein | Berechtigung |
| Anmeldung scheitert | Authentifizierung |
| SMB nicht erreichbar | TCP 445, Firewall, Rechte, Dienst |
---
**IHK-sichere Kurzformulierung**
Die oberen OSI-Schichten behandeln Sitzungen, Darstellung und Anwendungsdienste. Schicht 5 verwaltet Sitzungen, zum Beispiel Session-IDs, Cookies, Token und Timeouts. Schicht 6 ist für Darstellung, Codierung, Kompression und Verschlüsselung zuständig; TLS und Zertifikate werden häufig hier eingeordnet. Schicht 7 stellt Anwendungsprotokolle bereit, zum Beispiel HTTP, DNS, DHCP, SMTP, IMAP, POP3 und SMB. DNS löst Namen in IP-Adressen auf, DHCP verteilt Netzwerkkonfigurationen. HTTP-Statuscodes helfen bei der Fehlersuche: 401 bedeutet nicht authentifiziert, 403 verboten, 404 nicht gefunden und 500 interner Serverfehler. Bei Anwendungsfehlern sollten Dienst, Port, DNS, Rechte, TLS und Logs gezielt geprüft werden.
---
**Merksätze**
Schicht 5 ist die Sitzungsschicht.
Schicht 6 ist die Darstellungsschicht.
Schicht 7 ist die Anwendungsschicht.
Session,
Cookie
und Token gehören zur Sitzungsverwaltung.
Timeout beendet Sitzungen.
TLS schützt Verbindungen.
Zertifikate prüfen Serveridentität.
Zertifikatsfehler:
Ablauf,
Name,
Kette,
Vertrauen,
Zeit.
HTTP ist Schicht 7.
HTTPS = HTTP plus TLS.
HTTP nutzt TCP 80.
HTTPS nutzt TCP 443.
DNS löst Namen auf.
DNS nutzt UDP und TCP 53.
DHCP verteilt IP-Konfiguration.
DHCP nutzt UDP 67 und 68.
DHCP-DORA:
Discover,
Offer,
Request,
Acknowledge.
169.254.x.x deutet auf DHCP-Problem hin.
SMTP sendet E-Mails.
IMAP synchronisiert E-Mails.
POP3 ruft E-Mails ab.
SMB stellt Datei- und Druckfreigaben bereit.
SMB nutzt TCP 445.
FTP ist unverschlüsselt.
FTPS ist FTP mit TLS.
SFTP nutzt SSH.
401 = nicht authentifiziert.
403 = verboten.
404 = nicht gefunden.
500 = interner Serverfehler.
502 = Gateway oder Backend-Fehler.
IP ja,
Name nein:
DNS.
Login ja,
Zugriff nein:
Rechte.
Anmeldung scheitert:
Authentifizierung.
5xx:
Server,
Anwendung
oder Backend prüfen.
# 20.8 Trainer – Firewall, NAT, PAT, Portweiterleitung und DMZ
Diese Trainer-Seite wiederholt Firewalls,
NAT,
PAT,
Portweiterleitung
und DMZ.
Ziel ist,
typische Prüfungsfragen zu Sicherheitszonen,
Firewall-Regeln,
Adressübersetzung,
öffentlichen Diensten
und Fehlersuche sicher zu beantworten.
Merksatz:
Firewall filtert.
NAT übersetzt.
PAT nutzt Ports.
DMZ trennt öffentliche Dienste vom internen Netz.
---
**Lernziele**
Nach dieser Seite solltest du sicher können:
- Firewall und NAT unterscheiden
- Firewall-Regeln fachlich sauber beschreiben
- Default Deny erklären
- Any-to-Any-Regeln bewerten
- NAT,
PAT
und Portweiterleitung unterscheiden
- private IPv4-Adressen einordnen
- DMZ erklären
- Sicherheitszonen verstehen
- typische Fehler bei Firewall,
NAT
und Portweiterleitung erkennen
---
**Kurzüberblick**
| Begriff | Hauptaufgabe |
|---|---|
| Firewall | Verkehr erlauben oder blockieren |
| NAT | IP-Adressen übersetzen |
| PAT | IP-Adressen und Ports übersetzen |
| Portweiterleitung | externen Port auf internen Dienst weiterleiten |
| DMZ | öffentlich erreichbare Dienste vom internen Netz trennen |
| Default Deny | standardmäßig blockieren, nur gezielt erlauben |
| Any-to-Any | jede Quelle zu jedem Ziel, meist kritisch |
Merksatz:
Nicht alles,
was auf demselben Gerät läuft,
ist fachlich dasselbe.
---
**Aufgabe 1**
Was macht eine Firewall?
Antwort anzeigen
Eine Firewall filtert Netzwerkverkehr.
Sie entscheidet anhand von Regeln,
ob Verkehr erlaubt oder blockiert wird.
Typische Kriterien:
Quelle
Ziel
Port
Protokoll
Richtung
Zone
Benutzer
Anwendung
Zustand der Verbindung
Merksatz:
Firewall = kontrollierter Verkehr.
---
**Aufgabe 2**
Welche Angaben gehören in eine saubere Firewall-Regel?
Antwort anzeigen
Eine saubere Firewall-Regel enthält:
Quelle
Ziel
Protokoll
Port
Richtung
Aktion
Zweck
Verantwortlicher
Datum oder Änderungsgrund
Beispiel:
| Quelle | Ziel | Protokoll | Port | Aktion | Zweck |
|---|---|---|---:|---|---|
| Adminnetz | Server | TCP | 22 | erlauben | SSH-Administration |
| Internet | Datenbank | TCP | 5432 | blockieren | Datenbank schützen |
| Clientnetz | Webserver-DMZ | TCP | 443 | erlauben | HTTPS-Zugriff |
Merksatz:
Firewall-Regeln brauchen Quelle,
Ziel,
Port,
Protokoll
und Zweck.
---
**Aufgabe 3**
Was bedeutet Default Deny?
Antwort anzeigen
Default Deny bedeutet:
Standardmäßig ist Verkehr verboten.
Nur ausdrücklich erlaubter Verkehr wird zugelassen.
Vorteile:
kleinere Angriffsfläche
bessere Kontrolle
weniger unbeabsichtigte Freigaben
klarere Sicherheitsstruktur
Merksatz:
Erst blockieren,
dann gezielt erlauben.
---
**Aufgabe 4**
Warum ist eine Any-to-Any-Regel kritisch?
Antwort anzeigen
Any-to-Any bedeutet:
jede Quelle
zu
jedem Ziel
Risiken:
sehr große Angriffsfläche
schlechte Nachvollziehbarkeit
Sicherheitszonen werden umgangen
unnötige Freigaben
Fehler schwerer erkennbar
Besser:
genaue Regel mit Quelle,
Ziel,
Port,
Protokoll
und dokumentiertem Zweck.
Merksatz:
Any-to-Any ist fast immer kritisch.
---
**Aufgabe 5**
Was ist der Unterschied zwischen Stateless Firewall und Stateful Firewall?
Antwort anzeigen
Stateless Firewall:
prüft jedes Paket einzeln
merkt sich keinen Verbindungszustand
Stateful Firewall:
merkt sich bestehende Verbindungen
lässt Antwortpakete zu bestehenden Verbindungen automatisch zu
Beispiel:
Client startet HTTPS-Verbindung nach außen.
Stateful Firewall erkennt,
dass die Antwortpakete zur bestehenden Verbindung gehören.
Merksatz:
Stateful Firewall kennt Verbindungszustände.
---
**Aufgabe 6**
Was ist eine Firewall-Zone?
Antwort anzeigen
Eine Firewall-Zone ist ein Netzbereich mit bestimmtem Schutzbedarf.
Beispiele:
Internet
DMZ
internes Netz
Servernetz
Clientnetz
Gastnetz
Managementnetz
Ziel:
Regeln übersichtlich nach Sicherheitsbereichen aufbauen.
Merksatz:
Zonen strukturieren Sicherheitsregeln.
---
**Aufgabe 7**
Was ist eine DMZ?
Antwort anzeigen
DMZ steht für:
Demilitarized Zone
Eine DMZ ist ein getrenntes Netzwerk für Dienste,
die von außen erreichbar sein müssen.
Beispiele:
Webserver
Reverse Proxy
Mail-Gateway
VPN-Gateway
Ziel:
öffentliche Dienste vom internen Netz trennen.
Merksatz:
DMZ trennt öffentliche Dienste vom internen Netz.
---
**Aufgabe 8**
Warum stellt man öffentlich erreichbare Server nicht direkt ins interne Netz?
Antwort anzeigen
Öffentlich erreichbare Server haben eine größere Angriffsfläche.
Wenn ein solcher Server kompromittiert wird,
soll der Angreifer nicht direkt Zugriff auf interne Systeme erhalten.
Deshalb werden solche Systeme in eine DMZ gestellt
und durch Firewall-Regeln vom internen Netz getrennt.
Merksatz:
Öffentliche Dienste gehören in eine getrennte Zone.
---
**Aufgabe 9**
Welche Regel ist sicherer?
A:
Internet zu internes Netz,
any,
erlauben
B:
Internet zu Webserver-DMZ,
TCP 443,
erlauben
Antwort anzeigen
Sicherer ist:
B
Begründung:
Die Regel ist gezielter.
Sie erlaubt nur HTTPS-Verkehr zum Webserver in der DMZ.
Regel A erlaubt dagegen sehr breit Verkehr aus dem Internet ins interne Netz.
Merksatz:
Je genauer die Regel,
desto besser kontrollierbar.
---
**Aufgabe 10**
Was ist NAT?
Antwort anzeigen
NAT steht für:
Network Address Translation
Aufgabe:
IP-Adressen übersetzen.
Typischer Einsatz:
private interne IPv4-Adressen werden beim Zugriff ins Internet
in eine öffentliche IPv4-Adresse übersetzt.
Merksatz:
NAT übersetzt Adressen.
---
**Aufgabe 11**
Warum wird NAT häufig eingesetzt?
Antwort anzeigen
Gründe:
private IPv4-Adressen intern nutzen
öffentliche IPv4-Adressen sparen
vielen Clients Internetzugriff ermöglichen
interne Adressen nach außen verbergen
Wichtig:
NAT ersetzt keine Firewall.
Merksatz:
NAT hilft bei Adressübersetzung,
ist aber kein vollständiges Sicherheitskonzept.
---
**Aufgabe 12**
Welche privaten IPv4-Bereiche gibt es?
Antwort anzeigen
Private IPv4-Bereiche:
| Bereich | CIDR |
|---|---|
| 10.0.0.0 bis 10.255.255.255 | 10.0.0.0/8 |
| 172.16.0.0 bis 172.31.255.255 | 172.16.0.0/12 |
| 192.168.0.0 bis 192.168.255.255 | 192.168.0.0/16 |
Merksatz:
Private IPv4-Adressen werden im Internet nicht direkt geroutet.
---
**Aufgabe 13**
Was ist PAT?
Antwort anzeigen
PAT steht für:
Port Address Translation
PAT ist eine Form von NAT,
bei der zusätzlich Portnummern genutzt werden.
Zweck:
Viele interne Clients können über eine öffentliche IP-Adresse ins Internet,
weil Verbindungen über Ports unterschieden werden.
Merksatz:
PAT nutzt Ports zur Unterscheidung mehrerer Verbindungen.
---
**Aufgabe 14**
Was ist der Unterschied zwischen NAT und PAT?
Antwort anzeigen
NAT:
übersetzt IP-Adressen
PAT:
übersetzt IP-Adressen und Ports
Typischer Praxisfall:
Viele interne Geräte nutzen über PAT eine gemeinsame öffentliche IP-Adresse.
Merksatz:
NAT übersetzt Adressen.
PAT übersetzt Adressen und Ports.
---
**Aufgabe 15**
Was ist Portweiterleitung?
Antwort anzeigen
Portweiterleitung bedeutet:
Eingehender Verkehr auf einem externen Port
wird an einen internen Dienst weitergeleitet.
Beispiel:
öffentliche IP:
TCP 443
wird weitergeleitet an:
interner Webserver:
192.168.10.20 TCP 443
Merksatz:
Portweiterleitung macht interne Dienste von außen erreichbar.
---
**Aufgabe 16**
Warum erhöht Portweiterleitung die Angriffsfläche?
Antwort anzeigen
Portweiterleitung macht einen internen Dienst von außen erreichbar.
Dadurch kann der Dienst aus dem Internet angegriffen werden.
Risiken:
Exploits
Brute-Force-Angriffe
Fehlkonfiguration
Datenabfluss
DoS
Schutzmaßnahmen:
nur notwendige Ports freigeben
Dienst patchen
starke Authentifizierung
TLS nutzen
Logging aktivieren
Zugriff einschränken
DMZ verwenden
Merksatz:
Jeder veröffentlichte Port ist eine mögliche Angriffsfläche.
---
**Aufgabe 17**
Was ist der Unterschied zwischen ausgehendem NAT und Portweiterleitung?
Antwort anzeigen
Ausgehendes NAT:
interne Clients greifen nach außen zu
private IP wird nach außen übersetzt
Portweiterleitung:
externe Clients greifen auf internen Dienst zu
externer Port wird nach intern weitergeleitet
Merksatz:
NAT nach außen ist nicht dasselbe wie Zugriff von außen nach innen.
---
**Aufgabe 18**
Was ist der Unterschied zwischen NAT und Firewall?
Antwort anzeigen
NAT:
übersetzt Adressen
Firewall:
erlaubt oder blockiert Verkehr
Wichtig:
Viele Geräte kombinieren beide Funktionen.
Fachlich bleiben sie verschieden.
Merksatz:
NAT übersetzt.
Firewall filtert.
---
**Aufgabe 19**
Ein Client erreicht lokale Geräte,
aber keine Internetziele.
Welche Themen sind wahrscheinlich?
Antwort anzeigen
Mögliche Ursachen:
Standardgateway fehlt
Standardgateway falsch
Routingfehler
NAT fehlt oder fehlerhaft
Firewall blockiert
Providerverbindung gestört
DNS zusätzlich bei Zugriff über Namen
Merksatz:
Lokal ja,
extern nein:
Gateway,
Routing,
NAT
oder Firewall prüfen.
---
**Aufgabe 20**
Ein Client erreicht eine externe IP-Adresse,
aber keine Webseite per Namen.
Ist NAT wahrscheinlich das Hauptproblem?
Antwort anzeigen
Eher nein.
Wenn externe IP-Adressen erreichbar sind,
funktionieren Gateway,
Routing
und NAT wahrscheinlich grundsätzlich.
Wenn nur Namen nicht funktionieren,
ist DNS wahrscheinlicher.
Merksatz:
IP ja,
Name nein:
DNS.
---
**Aufgabe 21**
Eine Portweiterleitung auf einen internen Webserver funktioniert nicht.
Nenne mögliche Ursachen.
Antwort anzeigen
Mögliche Ursachen:
falscher externer Port
falsche interne IP-Adresse
falscher interner Port
Webdienst läuft nicht
Dienst lauscht nicht auf richtiger Schnittstelle
lokale Firewall blockiert
Router-Firewall blockiert
NAT-Regel fehlt oder falsch
DNS zeigt auf falsche öffentliche IP
doppeltes NAT
CGNAT beim Provider
Zertifikat oder Anwendung fehlerhaft
Merksatz:
Portweiterleitung braucht DNS,
NAT,
Firewall
und laufenden Dienst.
---
**Aufgabe 22**
Was ist doppeltes NAT?
Antwort anzeigen
Doppeltes NAT bedeutet:
Verkehr wird durch zwei NAT-Geräte übersetzt.
Beispiel:
Provider-Router
und dahinter
eigener Router
Problem:
Portweiterleitungen werden schwieriger,
weil beide Geräte korrekt konfiguriert werden müssen.
Merksatz:
Doppeltes NAT erschwert eingehende Verbindungen.
---
**Aufgabe 23**
Was ist CGNAT?
Antwort anzeigen
CGNAT steht für:
Carrier-Grade NAT
Dabei teilt der Provider öffentliche IPv4-Adressen auf mehrere Kunden auf.
Problem:
Der Kunde hat oft keine eigene öffentlich erreichbare IPv4-Adresse.
Eingehende Portweiterleitungen funktionieren dadurch meist nicht direkt.
Merksatz:
CGNAT erschwert Zugriff von außen auf eigene Dienste.
---
**Aufgabe 24**
Warum kann eine Portweiterleitung trotz korrekter Router-Regel nicht funktionieren,
wenn der Provider CGNAT nutzt?
Antwort anzeigen
Bei CGNAT liegt die öffentliche IPv4-Adresse nicht direkt am eigenen Router.
Der Router ist hinter einer NAT-Struktur des Providers.
Dadurch erreichen eingehende Verbindungen die eigene Portweiterleitung nicht direkt.
Merksatz:
Ohne eigene öffentliche IPv4-Adresse ist Portweiterleitung von außen schwierig.
---
**Aufgabe 25**
Was ist Hairpin NAT oder NAT Loopback?
Antwort anzeigen
Hairpin NAT oder NAT Loopback bedeutet:
Ein interner Client greift über die öffentliche Adresse oder Domain
auf einen internen Dienst zu.
Der Router leitet die Verbindung wieder zurück ins interne Netz.
Problem:
Nicht jeder Router unterstützt das sauber.
Merksatz:
Hairpin NAT betrifft internen Zugriff über externe Adresse.
---
**Aufgabe 26**
Warum kann ein Dienst intern funktionieren,
aber extern nicht?
Antwort anzeigen
Mögliche Ursachen:
Portweiterleitung fehlt
externe Firewall blockiert
öffentliche IP falsch
DNS zeigt falsch
doppeltes NAT
CGNAT
Dienst bindet nur an interne Adresse
Zertifikat oder Hostname falsch
Provider blockiert Port
Merksatz:
Intern erreichbar heißt nicht automatisch extern erreichbar.
---
**Aufgabe 27**
Warum kann ein Dienst extern funktionieren,
aber intern über die öffentliche Domain nicht?
Antwort anzeigen
Mögliche Ursachen:
Hairpin NAT fehlt
Split-DNS fehlt
interne DNS-Auflösung zeigt auf falsche Adresse
Firewall-Regel für internen Zugriff fehlt
Zertifikat oder Hostname passt nicht
Merksatz:
Externe Domain intern nutzen:
Hairpin NAT oder Split-DNS prüfen.
---
**Aufgabe 28**
Was ist Split-DNS im Zusammenhang mit internen Diensten?
Antwort anzeigen
Split-DNS bedeutet:
Ein Name kann intern und extern unterschiedlich aufgelöst werden.
Beispiel:
extern:
app.firma.de zeigt auf öffentliche IP
intern:
app.firma.de zeigt auf interne IP
Vorteil:
interne Clients können den Dienst direkt intern erreichen,
ohne Hairpin NAT zu benötigen.
Merksatz:
Split-DNS kann interne und externe Wege trennen.
---
**Aufgabe 29**
Ein Webserver in der DMZ soll aus dem Internet erreichbar sein.
Welche Regel ist sinnvoll?
Antwort anzeigen
Sinnvolle Regel:
Quelle:
Internet
Ziel:
Webserver in der DMZ
Protokoll:
TCP
Port:
443
Aktion:
erlauben
Zweck:
HTTPS-Zugriff auf Webserver
Wichtig:
Nicht pauschal Zugriff vom Internet ins interne Netz erlauben.
Merksatz:
Öffentlich nur den benötigten Dienst freigeben.
---
**Aufgabe 30**
Ein Webserver in der DMZ braucht Zugriff auf eine interne Datenbank.
Wie sollte die Regel aussehen?
Antwort anzeigen
Gezielte Regel:
Quelle:
Webserver-DMZ
Ziel:
Datenbankserver intern
Protokoll:
TCP
Port:
Datenbankport,
zum Beispiel 5432 oder 3306
Aktion:
erlauben
Zweck:
Anwendung greift auf Datenbank zu
Wichtig:
Nur exakt benötigten Zugriff erlauben.
Kein Any-to-Any zwischen DMZ und internem Netz.
Merksatz:
DMZ zu intern nur minimal und gezielt erlauben.
---
**Aufgabe 31**
Warum sollte ein Datenbankserver nicht direkt aus dem Internet erreichbar sein?
Antwort anzeigen
Ein Datenbankserver enthält oft sensible Daten
und ist ein attraktives Angriffsziel.
Risiken:
Brute Force
Exploits
Datenabfluss
Manipulation
DoS
Besser:
Zugriff nur vom Anwendungsserver
Firewall-Beschränkung
kein direkter Internetzugriff
starke Authentifizierung
Monitoring
Merksatz:
Datenbankports gehören nicht offen ins Internet.
---
**Aufgabe 32**
Was ist eine gute Regel für ein Gastnetz?
Antwort anzeigen
Typische Regeln:
Gastnetz zu Internet:
erlauben
Gastnetz zu internem Netz:
blockieren
Gastnetz zu Managementnetz:
blockieren
Gastnetz zu Servernetz:
blockieren,
außer ausdrücklich benötigte Dienste
Merksatz:
Gastnetz nur ins Internet,
nicht ins interne Netz.
---
**Aufgabe 33**
Was ist eine gute Regel für ein Managementnetz?
Antwort anzeigen
Ein Managementnetz sollte nur für Administration genutzt werden.
Typische Regeln:
Adminnetz zu Servern:
benötigte Adminports erlauben
Adminnetz zu Switches:
SSH oder HTTPS erlauben
normale Clientnetze zu Management:
blockieren
Internet zu Management:
blockieren
Merksatz:
Managementzugänge besonders schützen.
---
**Aufgabe 34**
Ein Porttest von außen schlägt fehl.
Welche Punkte prüfst du?
Antwort anzeigen
Prüfen:
richtige öffentliche IP?
DNS zeigt auf richtige IP?
Portweiterleitung korrekt?
externe Firewall erlaubt?
interne Firewall erlaubt?
Dienst läuft intern?
Dienst lauscht auf richtigem Port?
Dienst lauscht auf richtiger Schnittstelle?
doppeltes NAT?
CGNAT?
Provider blockiert Port?
Merksatz:
Externer Porttest:
DNS,
NAT,
Firewall,
Dienst
und Provider prüfen.
---
**Aufgabe 35**
Warum reicht die Aussage „Firewall prüfen“ in der Prüfung oft nicht aus?
Antwort anzeigen
Die Aussage ist zu ungenau.
Besser ist:
Quelle prüfen
Ziel prüfen
Port prüfen
Protokoll prüfen
Richtung prüfen
Zone prüfen
Regelreihenfolge prüfen
Firewall-Logs prüfen
Merksatz:
Firewallprüfung braucht konkrete Angaben.
---
**Aufgabe 36**
Was ist Regelreihenfolge bei Firewalls?
Antwort anzeigen
Viele Firewalls verarbeiten Regeln in einer bestimmten Reihenfolge.
Eine frühere Regel kann spätere Regeln überdecken.
Beispiel:
Eine Block-Regel vor einer Erlauben-Regel kann Zugriff verhindern.
Merksatz:
Bei Firewalls auch Regelreihenfolge prüfen.
---
**Aufgabe 37**
Welche Antwort ist besser?
Aufgabe:
Warum ersetzt NAT keine Firewall?
Antwort A:
Weil NAT anders heißt.
Antwort B:
NAT übersetzt IP-Adressen.
Eine Firewall entscheidet dagegen,
welcher Verkehr erlaubt oder blockiert wird.
NAT kann interne Adressen verbergen,
ersetzt aber keine gezielte Zugriffskontrolle.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort trennt die Funktionen fachlich korrekt.
Merksatz:
NAT übersetzt,
Firewall kontrolliert.
---
**Aufgabe 38**
Welche Antwort ist besser?
Aufgabe:
Warum ist eine DMZ sinnvoll?
Antwort A:
Weil man das bei Servern macht.
Antwort B:
Eine DMZ trennt öffentlich erreichbare Dienste vom internen Netz.
Wenn ein Server in der DMZ kompromittiert wird,
soll der Zugriff auf interne Systeme durch Firewall-Regeln begrenzt bleiben.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort erklärt den Sicherheitszweck der DMZ.
Merksatz:
DMZ begrenzt Schaden bei öffentlichen Diensten.
---
**Aufgabe 39**
Welche Antwort ist besser?
Aufgabe:
Eine Portweiterleitung funktioniert nicht.
Nennen Sie sinnvolle Prüfungen.
Antwort A:
Router ist wahrscheinlich kaputt.
Antwort B:
Es sollten öffentliche IP,
DNS,
externer Port,
interne Ziel-IP,
interner Port,
Dienststatus,
lokale Firewall,
Router-Firewall,
doppeltes NAT
und CGNAT geprüft werden.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort nennt systematisch die beteiligten Komponenten.
Merksatz:
Portweiterleitung ist Zusammenspiel aus DNS,
NAT,
Firewall
und Dienst.
---
**Aufgabe 40**
Welche Antwort ist besser?
Aufgabe:
Warum ist Any-to-Any kritisch?
Antwort A:
Weil viel erlaubt ist.
Antwort B:
Any-to-Any erlaubt Verkehr von jeder Quelle zu jedem Ziel.
Dadurch entsteht eine große Angriffsfläche,
Sicherheitszonen werden umgangen
und die Regel ist schwer nachvollziehbar.
Besser sind gezielte Regeln mit Quelle,
Ziel,
Port,
Protokoll
und Zweck.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort nennt konkrete Risiken
und eine bessere Alternative.
Merksatz:
Bewertung braucht Risiko und bessere Maßnahme.
---
**Mini-Prüfung: schnelle Zuordnung**
| Frage | Antwort |
|---|---|
| Was macht eine Firewall? | Verkehr filtern |
| Was macht NAT? | IP-Adressen übersetzen |
| Was macht PAT? | IP-Adressen und Ports übersetzen |
| Was macht Portweiterleitung? | externen Port nach intern weiterleiten |
| Was bedeutet DMZ? | getrennte Zone für öffentliche Dienste |
| Was bedeutet Default Deny? | standardmäßig blockieren |
| Warum ist Any-to-Any kritisch? | zu breite Freigabe |
| Was sind private IPv4-Bereiche? | 10/8, 172.16/12, 192.168/16 |
| Was ist CGNAT? | NAT beim Provider |
| Was ist doppeltes NAT? | zwei NAT-Geräte hintereinander |
| Was ist Split-DNS? | interne und externe Namensauflösung unterschiedlich |
| Was ist Hairpin NAT? | interner Zugriff über öffentliche Adresse |
---
**Mini-Prüfung: Fehlerbild erkennen**
| Fehlerbild | Wahrscheinliches Thema |
|---|---|
| lokal geht, Internet nicht | Gateway, Routing, NAT, Firewall |
| externe IP geht, Name nicht | DNS |
| Portweiterleitung extern geht nicht | NAT, Firewall, DNS, Dienst, CGNAT |
| intern geht, extern nicht | Portweiterleitung, Firewall, öffentliche IP |
| extern geht, intern über Domain nicht | Hairpin NAT oder Split-DNS |
| nur bestimmter Port geht nicht | Firewall, Dienst, Portregel |
| DMZ-Server erreicht Datenbank nicht | Regel DMZ zu intern prüfen |
| Gastnetz erreicht interne Server | Firewall-Regeln oder VLAN-Trennung falsch |
| Datenbank öffentlich erreichbar | Sicherheitsrisiko |
| Any-to-Any-Regel vorhanden | Sicherheitsrisiko |
---
**IHK-sichere Kurzformulierung**
Eine Firewall filtert Netzwerkverkehr anhand von Regeln wie Quelle, Ziel, Port, Protokoll, Richtung und Aktion. NAT übersetzt IP-Adressen, während PAT zusätzlich Portnummern nutzt, damit mehrere interne Clients über eine öffentliche IP-Adresse kommunizieren können. Portweiterleitung leitet eingehenden Verkehr von einem externen Port an einen internen Dienst weiter und erhöht dadurch die Angriffsfläche. Eine DMZ ist ein getrenntes Netzwerk für öffentlich erreichbare Dienste, damit diese vom internen Netz getrennt sind. Default Deny bedeutet, dass Verkehr standardmäßig blockiert und nur gezielt erlaubt wird. Any-to-Any-Regeln sind kritisch, weil sie sehr breite Kommunikation erlauben und Sicherheitszonen umgehen können.
---
**Merksätze**
Firewall filtert.
NAT übersetzt.
PAT nutzt Ports.
Portweiterleitung veröffentlicht interne Dienste.
DMZ trennt öffentliche Dienste vom internen Netz.
Default Deny ist sicherer als alles erlauben.
Any-to-Any ist kritisch.
Firewall-Regeln brauchen Quelle,
Ziel,
Port,
Protokoll,
Richtung
und Zweck.
Stateful Firewall kennt Verbindungen.
Stateless Firewall prüft Pakete einzeln.
NAT ersetzt keine Firewall.
Private IPv4-Adressen werden im Internet nicht direkt geroutet.
10.0.0.0/8 ist privat.
172.16.0.0/12 ist privat.
192.168.0.0/16 ist privat.
PAT ermöglicht vielen Clients eine öffentliche IP.
Portweiterleitung erhöht die Angriffsfläche.
Öffentliche Dienste gehören in eine DMZ.
Datenbankports gehören nicht offen ins Internet.
Gastnetz gehört nicht ins interne Netz.
Managementzugänge besonders schützen.
Doppeltes NAT erschwert Portweiterleitungen.
CGNAT erschwert eingehende Verbindungen.
Hairpin NAT betrifft internen Zugriff über öffentliche Adresse.
Split-DNS kann interne und externe Wege trennen.
Portweiterleitung braucht DNS,
NAT,
Firewall
und Dienst.
Firewallprüfung braucht konkrete Angaben.
Regelreihenfolge beachten.
DMZ zu intern nur minimal erlauben.
Je genauer die Regel,
desto besser kontrollierbar.
# 20.9 Trainer – VPN, Intranet, Extranet und sicherer Fernzugriff
Diese Trainer-Seite wiederholt VPN,
Intranet,
Extranet,
VPN-Arten,
VPN-Protokolle,
VPN-Routing,
DNS
und typische Fehler beim sicheren Fernzugriff.
Ziel ist,
typische Prüfungsfragen zu verschlüsseltem Zugriff,
Standortvernetzung,
Remote-Arbeit
und VPN-Fehlersuche sicher zu beantworten.
Merksatz:
VPN verbindet sicher über unsichere Netze.
Intranet ist intern.
Extranet ist kontrollierter Zugriff für Externe.
---
**Lernziele**
Nach dieser Seite solltest du sicher können:
- VPN erklären
- Intranet und Extranet unterscheiden
- Remote-Access-VPN und Site-to-Site-VPN unterscheiden
- VPN-Protokolle grob einordnen
- Split-Tunneling und Full-Tunneling erklären
- VPN-Routing und VPN-DNS verstehen
- typische VPN-Fehler erkennen
- Sicherheitsmaßnahmen für VPN nennen
- VPN von normaler Portweiterleitung unterscheiden
---
**Kurzüberblick**
| Begriff | Bedeutung |
|---|---|
| VPN | verschlüsselte Verbindung über ein unsicheres Netz |
| Remote-Access-VPN | einzelner Benutzer verbindet sich ins Firmennetz |
| Site-to-Site-VPN | zwei Standorte oder Netze werden verbunden |
| Intranet | internes Netz einer Organisation |
| Extranet | kontrollierter Zugriff für externe Partner |
| Split-Tunneling | nur bestimmter Verkehr läuft durch VPN |
| Full-Tunneling | gesamter Verkehr läuft durch VPN |
| VPN-Gateway | Gegenstelle für VPN-Verbindungen |
Merksatz:
VPN ist der Tunnel.
Intranet ist intern.
Extranet ist kontrolliert extern.
---
**Aufgabe 1**
Was ist ein VPN?
Antwort anzeigen
VPN steht für:
Virtual Private Network
Ein VPN stellt eine geschützte Verbindung über ein unsicheres Netz her,
zum Beispiel über das Internet.
Typische Ziele:
Vertraulichkeit
Integrität
Authentifizierung
sicherer Fernzugriff
Merksatz:
VPN = verschlüsselter Tunnel über unsicheres Netz.
---
**Aufgabe 2**
Warum nutzt man VPN?
Antwort anzeigen
VPN wird genutzt für:
sicheren Fernzugriff
Homeoffice
Standortvernetzung
Zugriff auf interne Dienste
geschützte Administration
sichere Kommunikation über das Internet
Merksatz:
VPN ermöglicht sicheren Zugriff auf interne Ressourcen.
---
**Aufgabe 3**
Was ist ein Intranet?
Antwort anzeigen
Ein Intranet ist ein internes Netzwerk oder internes Informationssystem einer Organisation.
Typische Inhalte:
interne Webseiten
interne Dokumente
interne Anwendungen
interne Dateiablagen
interne Kommunikation
Zugriff:
normalerweise nur für berechtigte interne Benutzer.
Merksatz:
Intranet = internes Netz oder internes Informationssystem.
---
**Aufgabe 4**
Was ist ein Extranet?
Antwort anzeigen
Ein Extranet ist ein kontrollierter Zugriff auf interne Dienste für externe Personen oder Organisationen.
Beispiele:
Lieferantenportal
Kundenportal
Partnerzugang
externer Dienstleisterzugriff
Wichtig:
Zugriff ist begrenzt und kontrolliert.
Merksatz:
Extranet = kontrollierter Zugriff für Externe.
---
**Aufgabe 5**
Was ist der Unterschied zwischen Intranet und Extranet?
Antwort anzeigen
Intranet:
internes Netzwerk oder interne Dienste für eigene Organisation
Extranet:
kontrollierter Zugriff für externe Partner,
Kunden
oder Dienstleister
Merksatz:
Intranet intern.
Extranet kontrolliert extern.
---
**Aufgabe 6**
Was ist ein Remote-Access-VPN?
Antwort anzeigen
Remote-Access-VPN bedeutet:
Ein einzelner Benutzer oder Client verbindet sich von außen sicher ins Firmennetz.
Typische Nutzung:
Homeoffice
Außendienst
Administratorzugriff
Zugriff auf interne Anwendungen
Merksatz:
Remote-Access-VPN = einzelner Benutzer ins Netz.
---
**Aufgabe 7**
Was ist ein Site-to-Site-VPN?
Antwort anzeigen
Site-to-Site-VPN bedeutet:
Zwei Netzwerke oder Standorte werden über einen VPN-Tunnel verbunden.
Beispiele:
Hauptstandort zu Filiale
Rechenzentrum zu Cloud-Netz
Firma zu Partnernetz
Merksatz:
Site-to-Site-VPN = Netz zu Netz.
---
**Aufgabe 8**
Ordne zu.
| VPN-Art | Bedeutung |
|---|---|
| Remote-Access-VPN | ? |
| Site-to-Site-VPN | ? |
Antwort anzeigen
| VPN-Art | Bedeutung |
|---|---|
| Remote-Access-VPN | einzelner Benutzer verbindet sich ins Firmennetz |
| Site-to-Site-VPN | zwei Standorte oder Netze werden verbunden |
Merksatz:
Remote Access = Benutzer.
Site-to-Site = Standort.
---
**Aufgabe 9**
Was ist ein VPN-Gateway?
Antwort anzeigen
Ein VPN-Gateway ist die Gegenstelle,
an der VPN-Verbindungen aufgebaut werden.
Beispiele:
Firewall
Router
VPN-Server
Cloud-VPN-Gateway
Aufgabe:
VPN-Tunnel terminieren
Benutzer oder Gegenstelle authentifizieren
Verkehr entschlüsseln und weiterleiten
Merksatz:
VPN-Gateway = Eingangspunkt des VPN-Tunnels.
---
**Aufgabe 10**
Was bedeutet Tunnel bei VPN?
Antwort anzeigen
Ein Tunnel bedeutet:
Daten werden in eine geschützte Verbindung eingepackt
und über ein anderes Netz transportiert.
Der eigentliche Datenverkehr ist dabei für das unsichere Netz geschützt.
Merksatz:
Tunnel = geschützter Transportweg durch ein anderes Netz.
---
**Aufgabe 11**
Welche Schutzziele unterstützt VPN besonders?
Antwort anzeigen
VPN unterstützt besonders:
Vertraulichkeit
Integrität
Authentizität
Begründung:
Daten werden verschlüsselt,
Manipulationen können erkannt werden
und Gegenstellen werden authentifiziert.
Merksatz:
VPN schützt nicht nur den Weg,
sondern auch Identität und Datenintegrität.
---
**Aufgabe 12**
Was ist Split-Tunneling?
Antwort anzeigen
Split-Tunneling bedeutet:
Nur bestimmter Verkehr läuft durch den VPN-Tunnel.
Beispiel:
Zugriff auf Firmennetz läuft durch VPN.
normaler Internetverkehr läuft direkt ins Internet.
Vorteil:
weniger Last auf VPN-Gateway
oft bessere Internetgeschwindigkeit
Risiko:
weniger zentrale Kontrolle des gesamten Verkehrs
Merksatz:
Split-Tunneling = nur ausgewählter Verkehr durch VPN.
---
**Aufgabe 13**
Was ist Full-Tunneling?
Antwort anzeigen
Full-Tunneling bedeutet:
Der gesamte Netzwerkverkehr des Clients läuft durch den VPN-Tunnel.
Beispiel:
interne Dienste
Internetzugriff
DNS
Webverkehr
alles wird über das Firmennetz geleitet.
Vorteil:
zentrale Kontrolle
einheitliche Sicherheitsrichtlinien
Nachteil:
mehr Last auf VPN-Infrastruktur
Merksatz:
Full-Tunneling = gesamter Verkehr durch VPN.
---
**Aufgabe 14**
Vergleiche Split-Tunneling und Full-Tunneling.
| Merkmal | Split-Tunneling | Full-Tunneling |
|---|---|---|
| Verkehr durch VPN | ? | ? |
| Last auf VPN | ? | ? |
| zentrale Kontrolle | ? | ? |
| typisches Risiko | ? | ? |
Antwort anzeigen
| Merkmal | Split-Tunneling | Full-Tunneling |
|---|---|---|
| Verkehr durch VPN | nur ausgewählter Verkehr | gesamter Verkehr |
| Last auf VPN | geringer | höher |
| zentrale Kontrolle | geringer | stärker |
| typisches Risiko | weniger Kontrolle über Direktverkehr | VPN-Gateway stärker belastet |
Merksatz:
Split spart Last.
Full gibt mehr Kontrolle.
---
**Aufgabe 15**
Was ist IPsec?
Antwort anzeigen
IPsec ist eine Protokollfamilie zur Absicherung von IP-Kommunikation.
Typische Nutzung:
Site-to-Site-VPN
Remote-Access-VPN
Eigenschaften:
Verschlüsselung
Integritätsschutz
Authentifizierung
Merksatz:
IPsec sichert IP-Verkehr.
---
**Aufgabe 16**
Was ist IKEv2?
Antwort anzeigen
IKEv2 steht für:
Internet Key Exchange Version 2
Aufgabe:
Aufbau und Aushandlung von IPsec-Verbindungen unterstützen.
IKEv2 wird häufig zusammen mit IPsec genutzt.
Merksatz:
IKEv2 hilft beim Aufbau von IPsec-VPNs.
---
**Aufgabe 17**
Was ist OpenVPN?
Antwort anzeigen
OpenVPN ist eine VPN-Lösung,
die häufig TLS zur Absicherung verwendet.
Typische Nutzung:
Remote-Access-VPN
flexible VPN-Szenarien
Eigenschaften:
weit verbreitet
zertifikatsbasiert möglich
über TCP oder UDP betreibbar
Merksatz:
OpenVPN nutzt häufig TLS und ist flexibel einsetzbar.
---
**Aufgabe 18**
Was ist WireGuard?
Antwort anzeigen
WireGuard ist ein modernes VPN-Protokoll.
Eigenschaften:
schlank
vergleichsweise einfach konfigurierbar
nutzt moderne Kryptografie
häufig gute Performance
Merksatz:
WireGuard ist ein schlankes modernes VPN-Protokoll.
---
**Aufgabe 19**
Was ist ein TLS-VPN?
Antwort anzeigen
Ein TLS-VPN nutzt TLS zur Absicherung der Verbindung.
Typisch:
Zugriff über VPN-Client
teilweise Zugriff über Browserportal
sichere Verbindung über bekannte Web-Techniken
Merksatz:
TLS-VPN nutzt TLS für geschützte Kommunikation.
---
**Aufgabe 20**
Ordne die VPN-Protokolle grob zu.
| Begriff | Einordnung |
|---|---|
| IPsec | ? |
| IKEv2 | ? |
| OpenVPN | ? |
| WireGuard | ? |
| TLS-VPN | ? |
Antwort anzeigen
| Begriff | Einordnung |
|---|---|
| IPsec | Sicherung von IP-Kommunikation |
| IKEv2 | Aushandlung und Aufbau von IPsec |
| OpenVPN | flexible VPN-Lösung, häufig TLS-basiert |
| WireGuard | modernes schlankes VPN-Protokoll |
| TLS-VPN | VPN über TLS-gesicherte Verbindung |
Merksatz:
IPsec sichert IP.
IKEv2 handelt IPsec aus.
OpenVPN und TLS-VPN nutzen TLS-Techniken.
WireGuard ist modern und schlank.
---
**Aufgabe 21**
Warum braucht ein VPN Authentifizierung?
Antwort anzeigen
VPN muss prüfen,
wer oder was sich verbinden darf.
Mögliche Verfahren:
Benutzername und Passwort
MFA
Zertifikate
Schlüssel
Geräteprüfung
Ziel:
nur berechtigte Benutzer oder Standorte dürfen Zugriff erhalten.
Merksatz:
VPN ohne starke Authentifizierung ist ein hohes Risiko.
---
**Aufgabe 22**
Warum ist MFA bei VPN sinnvoll?
Antwort anzeigen
MFA schützt,
wenn ein Passwort gestohlen wurde.
Ohne MFA reicht ein gestohlenes Passwort eventuell für VPN-Zugriff.
Mit MFA wird zusätzlich ein zweiter Faktor benötigt.
Merksatz:
VPN plus MFA schützt besser gegen Passwortmissbrauch.
---
**Aufgabe 23**
Welche Risiken entstehen bei offenem VPN-Zugang ohne MFA?
Antwort anzeigen
Risiken:
Passwortmissbrauch
Brute-Force-Angriffe
Credential Stuffing
unberechtigter Zugriff ins interne Netz
laterale Bewegung nach erfolgreichem Login
Datenabfluss
Merksatz:
VPN-Zugang ist ein Eingang ins Netz und muss stark geschützt werden.
---
**Aufgabe 24**
Was ist VPN-Routing?
Antwort anzeigen
VPN-Routing bestimmt,
welche Zielnetze über den VPN-Tunnel erreichbar sind.
Beispiele:
10.10.0.0/16 über VPN
192.168.50.0/24 über VPN
Wichtig:
Routen müssen auf Client,
VPN-Gateway
und Gegenseite passen.
Merksatz:
VPN-Tunnel allein reicht nicht.
Die Routen müssen stimmen.
---
**Aufgabe 25**
Ein VPN verbindet sich erfolgreich,
aber interne Server sind nicht erreichbar.
Welche Ursachen sind wahrscheinlich?
Antwort anzeigen
Mögliche Ursachen:
fehlende VPN-Route
falsche Route
Firewall-Regel blockiert
DNS löst falsch auf
Benutzer hat keine Berechtigung
Zielnetz nicht erlaubt
Rückroute fehlt
IP-Adresskonflikt
Merksatz:
VPN verbunden heißt nicht automatisch,
dass alle internen Dienste erreichbar sind.
---
**Aufgabe 26**
Was ist ein IP-Adresskonflikt bei VPN?
Antwort anzeigen
Ein IP-Adresskonflikt entsteht,
wenn das lokale Netz des Benutzers denselben IP-Bereich nutzt wie das entfernte Firmennetz.
Beispiel:
Heimnetz:
192.168.1.0/24
Firmennetz:
192.168.1.0/24
Problem:
Der Client kann nicht eindeutig entscheiden,
ob ein Ziel lokal oder über VPN erreichbar ist.
Merksatz:
Gleiche Netze auf beiden Seiten verursachen VPN-Routingprobleme.
---
**Aufgabe 27**
Warum ist DNS bei VPN wichtig?
Antwort anzeigen
Interne Dienste werden oft über interne Namen angesprochen.
Beispiele:
intranet.firma.local
fileserver.intern
app.firma.de intern
VPN muss häufig passende DNS-Server oder DNS-Suffixe bereitstellen.
Merksatz:
VPN braucht oft internes DNS.
---
**Aufgabe 28**
VPN ist verbunden.
Zugriff per interner IP funktioniert,
aber per Name nicht.
Was ist wahrscheinlich?
Antwort anzeigen
Wahrscheinlich:
DNS-Problem im VPN
Mögliche Ursachen:
falscher DNS-Server
DNS-Server nicht über VPN erreichbar
DNS-Suffix fehlt
Split-DNS falsch
DNS-Cache veraltet
Merksatz:
VPN-IP ja,
VPN-Name nein:
VPN-DNS prüfen.
---
**Aufgabe 29**
Was ist Split-DNS bei VPN?
Antwort anzeigen
Split-DNS bedeutet:
interne und externe DNS-Auflösung liefern unterschiedliche Antworten.
Beispiel:
intern über VPN:
app.firma.de zeigt auf private IP
extern:
app.firma.de zeigt auf öffentliche IP
Merksatz:
Split-DNS sorgt dafür,
dass interne Namen über VPN passend aufgelöst werden.
---
**Aufgabe 30**
Warum kann eine Firewall VPN-Verkehr blockieren?
Antwort anzeigen
Firewalls können VPN-Verkehr blockieren,
wenn benötigte Protokolle oder Ports nicht erlaubt sind.
Außerdem können Regeln nach erfolgreichem VPN-Aufbau den Zugriff auf interne Ziele blockieren.
Prüfen:
VPN-Aufbau erlaubt?
Zielnetz erlaubt?
Benutzergruppe erlaubt?
Port zum Ziel erlaubt?
Richtung korrekt?
Logs prüfen.
Merksatz:
VPN braucht Regeln für Tunnelaufbau und Zielzugriff.
---
**Aufgabe 31**
Warum ist ein VPN sicherer als eine direkte Portweiterleitung auf RDP?
Antwort anzeigen
Bei direkter Portweiterleitung ist RDP direkt aus dem Internet erreichbar.
Risiken:
Brute Force
Exploits
Credential Stuffing
Bei VPN:
RDP ist nicht direkt öffentlich erreichbar.
Erst nach VPN-Authentifizierung ist Zugriff möglich.
Zusätzlich sinnvoll:
MFA
Firewall-Regeln
Logging
Zugriff nur für Adminnetz oder Benutzergruppen
Merksatz:
VPN schützt Adminzugriffe besser als direkt veröffentlichte Ports.
---
**Aufgabe 32**
Ist VPN automatisch sicher?
Antwort anzeigen
Nein.
VPN muss sicher konfiguriert werden.
Wichtige Maßnahmen:
MFA
starke Authentifizierung
aktuelle VPN-Software
sichere Verschlüsselung
Rechtebegrenzung
Logging
Zugriff nach Gruppen
Geräteprüfung
keine unnötigen Zielnetze freigeben
Merksatz:
VPN ist nur so sicher wie seine Konfiguration.
---
**Aufgabe 33**
Was ist Least Privilege bei VPN?
Antwort anzeigen
Least Privilege bei VPN bedeutet:
Benutzer erhalten nur Zugriff auf die Netze und Dienste,
die sie wirklich benötigen.
Beispiele:
Dienstleister nur auf einen Server
Mitarbeiter nur auf benötigte Anwendungen
Adminzugriff nur aus Adminrollen
Merksatz:
VPN-Zugang nicht pauschal ins gesamte Netz erlauben.
---
**Aufgabe 34**
Was sollte bei VPN protokolliert werden?
Antwort anzeigen
Sinnvolle Logs:
erfolgreiche Anmeldungen
fehlgeschlagene Anmeldungen
Benutzername
Quell-IP
Zeitpunkt
zugewiesene VPN-IP
verwendete Authentifizierung
getrennte Verbindungen
auffällige Loginversuche
Zugriff auf Zielsysteme je nach System
Merksatz:
VPN-Logs sind wichtig für Sicherheit und Fehlersuche.
---
**Aufgabe 35**
Was ist ein Site-to-Site-VPN zwischen Firma und Cloud?
Antwort anzeigen
Ein Site-to-Site-VPN zwischen Firma und Cloud verbindet:
lokales Firmennetz
mit
Cloud-Netzwerk
Beispiel:
internes Rechenzentrum
zu
Cloud-VPC oder virtuellem Netzwerk
Ziel:
private Kommunikation zwischen Standorten und Cloud-Ressourcen.
Merksatz:
Site-to-Site kann auch On-Premises und Cloud verbinden.
---
**Aufgabe 36**
Ein Site-to-Site-VPN ist aufgebaut,
aber nur eine Richtung funktioniert.
Welche Ursachen sind möglich?
Antwort anzeigen
Mögliche Ursachen:
Rückroute fehlt
Firewall blockiert Rückverkehr
falsche Phase-2-Netze bei IPsec
NAT-Regel greift falsch
asymmetrisches Routing
Security Group oder Cloud-Firewall blockiert
lokale ACL blockiert
Merksatz:
Kommunikation braucht Hinweg und Rückweg.
---
**Aufgabe 37**
Was ist ein VPN-Client?
Antwort anzeigen
Ein VPN-Client ist die Software oder Funktion auf dem Endgerät,
die eine VPN-Verbindung zum VPN-Gateway aufbaut.
Beispiele:
Firmenlaptop mit VPN-Software
Smartphone mit VPN-Profil
Betriebssystemeigener VPN-Client
Merksatz:
VPN-Client baut den Tunnel zum Gateway auf.
---
**Aufgabe 38**
Welche Antwort ist besser?
Aufgabe:
VPN ist verbunden,
aber interne Namen funktionieren nicht.
Was prüfen Sie?
Antwort A:
Internet ist kaputt.
Antwort B:
Da interne IP-Adressen erreichbar sind,
interne Namen aber nicht,
sollte die DNS-Konfiguration des VPN geprüft werden,
insbesondere interner DNS-Server,
DNS-Suffix,
Split-DNS
und Erreichbarkeit des DNS-Servers.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort leitet die Prüfung aus dem Fehlerbild ab
und unterscheidet IP-Erreichbarkeit von Namensauflösung.
Merksatz:
IP ja,
Name nein:
DNS.
---
**Aufgabe 39**
Welche Antwort ist besser?
Aufgabe:
Warum sollte ein Dienstleister über VPN nicht automatisch Zugriff auf das gesamte Netz erhalten?
Antwort A:
Weil Dienstleister extern sind.
Antwort B:
Nach dem Least-Privilege-Prinzip sollte ein Dienstleister nur Zugriff auf die Systeme und Dienste erhalten,
die er für seine Aufgabe benötigt.
Dadurch wird das Risiko bei kompromittierten Zugangsdaten oder Fehlverhalten begrenzt.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort nennt das Prinzip
und erklärt die Sicherheitswirkung.
Merksatz:
Sicherheitsantwort:
Risiko,
Maßnahme,
Wirkung.
---
**Aufgabe 40**
Welche Antwort ist besser?
Aufgabe:
Warum ist VPN besser als RDP direkt ins Internet weiterzuleiten?
Antwort A:
VPN klingt sicherer.
Antwort B:
Bei direkter RDP-Portweiterleitung ist der RDP-Dienst öffentlich erreichbar und damit Angriffen ausgesetzt.
Bei VPN muss sich der Benutzer zuerst am VPN authentifizieren.
Erst danach kann der Zugriff auf RDP zusätzlich per Firewall,
MFA
und Berechtigungen eingeschränkt werden.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort nennt das konkrete Risiko
und beschreibt die bessere Schutzwirkung.
Merksatz:
Nicht Adminports veröffentlichen,
sondern sicheren Zugang davor setzen.
---
**Mini-Prüfung: schnelle Zuordnung**
| Frage | Antwort |
|---|---|
| Wofür steht VPN? | Virtual Private Network |
| Was macht ein VPN? | verschlüsselte Verbindung über unsicheres Netz |
| Was ist Remote-Access-VPN? | Benutzer verbindet sich ins Firmennetz |
| Was ist Site-to-Site-VPN? | Netz verbindet sich mit Netz |
| Was ist Intranet? | internes Netz oder interne Dienste |
| Was ist Extranet? | kontrollierter Zugriff für Externe |
| Was ist Split-Tunneling? | nur bestimmter Verkehr durch VPN |
| Was ist Full-Tunneling? | gesamter Verkehr durch VPN |
| Was ist ein VPN-Gateway? | Gegenstelle des VPN-Tunnels |
| Warum MFA bei VPN? | Passwort allein reicht nicht |
| Warum VPN-DNS? | interne Namen auflösen |
| Was ist IP-Adresskonflikt? | gleiche Netze lokal und remote |
---
**Mini-Prüfung: Fehlerbild erkennen**
| Fehlerbild | Wahrscheinliches Thema |
|---|---|
| VPN verbindet nicht | Zugangsdaten, MFA, Gateway, Netzwerk, Firewall |
| VPN verbunden, aber kein internes Ziel erreichbar | Route, Firewall, Berechtigung, Zielnetz |
| interne IP geht, Name nicht | VPN-DNS |
| nur ein internes Netz erreichbar | VPN-Routen oder Berechtigungen |
| Verbindung bricht regelmäßig ab | Timeout, Netzwerk, WLAN, Client, Gateway |
| Site-to-Site nur in eine Richtung | Rückroute oder Firewall |
| Heimnetz und Firmennetz gleich | IP-Adresskonflikt |
| Dienstleister sieht zu viele Systeme | Least Privilege fehlt |
| RDP direkt offen | Sicherheitsrisiko |
| VPN-Loginversuche sehr häufig | Brute Force oder Credential Stuffing |
---
**IHK-sichere Kurzformulierung**
Ein VPN ist ein virtuelles privates Netzwerk, das eine geschützte Verbindung über ein unsicheres Netz wie das Internet herstellt. Remote-Access-VPN verbindet einzelne Benutzer sicher mit einem Firmennetz, während Site-to-Site-VPN zwei Netzwerke oder Standorte verbindet. Intranet bezeichnet interne Dienste einer Organisation, Extranet kontrollierten Zugriff für externe Partner oder Dienstleister. Split-Tunneling leitet nur bestimmten Verkehr durch den VPN-Tunnel, Full-Tunneling den gesamten Verkehr. Für VPN-Sicherheit sind starke Authentifizierung, MFA, aktuelle Software, passende Firewall-Regeln, Logging und Least Privilege wichtig. Eine erfolgreiche VPN-Verbindung bedeutet nicht automatisch, dass Routing, DNS und Zugriffsrechte korrekt funktionieren.
---
**Merksätze**
VPN = Virtual Private Network.
VPN verbindet sicher über unsichere Netze.
Remote-Access-VPN = Benutzer ins Netz.
Site-to-Site-VPN = Netz zu Netz.
Intranet = intern.
Extranet = kontrolliert extern.
VPN-Gateway = Gegenstelle des Tunnels.
Tunnel = geschützter Transportweg.
Split-Tunneling = nur ausgewählter Verkehr über VPN.
Full-Tunneling = gesamter Verkehr über VPN.
IPsec sichert IP-Kommunikation.
IKEv2 hilft beim IPsec-Aufbau.
OpenVPN nutzt häufig TLS.
WireGuard ist schlank und modern.
TLS-VPN nutzt TLS.
VPN braucht starke Authentifizierung.
MFA schützt VPN-Zugang.
VPN ist ein Eingang ins Netz.
VPN verbunden heißt nicht:
alle Dienste funktionieren.
VPN braucht passende Routen.
VPN braucht oft internes DNS.
IP ja,
Name nein:
DNS.
Gleiche Netze lokal und remote verursachen Routingprobleme.
Kommunikation braucht Hinweg und Rückweg.
Dienstleisterzugriff nach Least Privilege begrenzen.
VPN-Logs sind wichtig.
RDP nicht direkt ins Internet weiterleiten.
Adminzugriffe besser über VPN,
MFA
und Firewall beschränken.
VPN ist nur so sicher wie seine Konfiguration.
# 20.10 Trainer – Cloud, Bereitstellungsmodelle, IAM und Shared Responsibility
Diese Trainer-Seite wiederholt Cloud-Grundlagen,
Bereitstellungsmodelle,
Servicemodelle,
Cloud-Netzwerke,
IAM,
Sicherheit
und typische Prüfungsfragen zur Cloud.
Ziel ist,
IaaS,
PaaS,
SaaS,
Public Cloud,
Private Cloud,
Hybrid Cloud,
Multi Cloud
und Shared Responsibility sicher zu unterscheiden.
Merksatz:
Cloud bedeutet:
IT-Ressourcen werden flexibel über ein Netzwerk bereitgestellt.
Die Verantwortung ist dabei geteilt.
---
**Lernziele**
Nach dieser Seite solltest du sicher können:
- Cloud Computing erklären
- IaaS,
PaaS
und SaaS unterscheiden
- Public Cloud,
Private Cloud,
Hybrid Cloud
und Multi Cloud unterscheiden
- Shared Responsibility erklären
- IAM einordnen
- Cloud-Netzwerke grob verstehen
- Security Groups,
VPCs
und Subnetze einordnen
- typische Cloud-Fehlerbilder erkennen
- Cloud-Kosten und Skalierung fachlich erklären
---
**Kurzüberblick**
| Begriff | Bedeutung |
|---|---|
| Cloud Computing | Bereitstellung von IT-Ressourcen über ein Netzwerk |
| IaaS | virtuelle Infrastruktur |
| PaaS | verwaltete Plattform |
| SaaS | fertige Software |
| Public Cloud | Cloud eines öffentlichen Anbieters |
| Private Cloud | Cloud nur für eine Organisation |
| Hybrid Cloud | Kombination aus lokal und Cloud |
| Multi Cloud | Nutzung mehrerer Cloud-Anbieter |
| IAM | Identitäts- und Zugriffsverwaltung |
| Shared Responsibility | geteilte Verantwortung zwischen Anbieter und Kunde |
Merksatz:
IaaS = Infrastruktur.
PaaS = Plattform.
SaaS = Software.
---
**Aufgabe 1**
Was bedeutet Cloud Computing?
Antwort anzeigen
Cloud Computing bedeutet:
IT-Ressourcen werden über ein Netzwerk bereitgestellt
und können flexibel genutzt,
skaliert
und abgerechnet werden.
Beispiele:
virtuelle Server
Speicher
Datenbanken
Anwendungen
Plattformdienste
Netzwerkdienste
Merksatz:
Cloud = IT-Ressourcen flexibel über Netzwerk nutzen.
---
**Aufgabe 2**
Nenne typische Vorteile von Cloud Computing.
Antwort anzeigen
Typische Vorteile:
flexible Skalierung
schnelle Bereitstellung
nutzungsabhängige Abrechnung
weniger eigene Hardware
weltweite Verfügbarkeit
verwaltete Dienste
hohe Automatisierbarkeit
schnelle Erweiterbarkeit
Merksatz:
Cloud ist besonders stark bei Flexibilität,
Skalierung
und schneller Bereitstellung.
---
**Aufgabe 3**
Nenne typische Nachteile oder Risiken von Cloud Computing.
Antwort anzeigen
Typische Nachteile oder Risiken:
Abhängigkeit vom Anbieter
Datenschutzanforderungen
falsche Konfigurationen
Kostenkontrolle notwendig
Netzwerkabhängigkeit
Vendor Lock-in
geteilte Verantwortung kann missverstanden werden
Zugriffsschutz muss sauber geplant werden
Merksatz:
Cloud nimmt Arbeit ab,
aber nicht die Verantwortung für sichere Nutzung.
---
**Aufgabe 4**
Was ist IaaS?
Antwort anzeigen
IaaS steht für:
Infrastructure as a Service
Bedeutung:
Der Anbieter stellt grundlegende Infrastruktur bereit.
Beispiele:
virtuelle Maschinen
virtuelle Netzwerke
Speicher
Firewalls
Load Balancer
Der Kunde verwaltet häufig selbst:
Betriebssystem
Anwendungen
Patches im Gastbetriebssystem
Konfiguration
Merksatz:
IaaS = virtuelle Infrastruktur.
---
**Aufgabe 5**
Was ist PaaS?
Antwort anzeigen
PaaS steht für:
Platform as a Service
Bedeutung:
Der Anbieter stellt eine verwaltete Plattform für Anwendungen bereit.
Beispiele:
App-Plattform
verwaltete Datenbank
Laufzeitumgebung
Containerplattform
Entwicklungsplattform
Der Kunde kümmert sich eher um:
Anwendung
Daten
Konfiguration
Zugriffsrechte
Merksatz:
PaaS = Plattform für Anwendungen.
---
**Aufgabe 6**
Was ist SaaS?
Antwort anzeigen
SaaS steht für:
Software as a Service
Bedeutung:
Der Anbieter stellt eine fertige Anwendung bereit,
die der Kunde nutzt.
Beispiele:
E-Mail-Dienst
Office-Anwendung im Browser
CRM-System
Ticketsystem
Cloud-Speicheranwendung
Der Kunde verwaltet meist:
Benutzer
Rollen
Daten
Einstellungen
Zugriffsrechte
Merksatz:
SaaS = fertige Software nutzen.
---
**Aufgabe 7**
Ordne zu.
| Modell | Bedeutung |
|---|---|
| IaaS | ? |
| PaaS | ? |
| SaaS | ? |
Antwort anzeigen
| Modell | Bedeutung |
|---|---|
| IaaS | virtuelle Infrastruktur |
| PaaS | verwaltete Plattform |
| SaaS | fertige Anwendung |
Merksatz:
IaaS unten,
PaaS in der Mitte,
SaaS oben.
---
**Aufgabe 8**
Welche Aussage passt zu IaaS?
A: Fertige Anwendung im Browser
B: Virtuelle Maschine mit eigenem Betriebssystem
C: Nur E-Mail-Postfach ohne Serververwaltung
D: Kein Netzwerk notwendig
Antwort anzeigen
Richtig ist:
B: Virtuelle Maschine mit eigenem Betriebssystem
Begründung:
IaaS stellt Infrastruktur bereit,
zum Beispiel virtuelle Maschinen,
Speicher
und Netzwerke.
Das Betriebssystem und Anwendungen werden oft vom Kunden verwaltet.
Merksatz:
Virtuelle Maschine = typisches IaaS-Beispiel.
---
**Aufgabe 9**
Welche Aussage passt zu SaaS?
A: Der Kunde installiert und patcht das Betriebssystem selbst.
B: Der Kunde nutzt eine fertige Anwendung.
C: Der Kunde baut ein eigenes Rechenzentrum.
D: Der Kunde verwaltet die Hardware des Anbieters.
Antwort anzeigen
Richtig ist:
B: Der Kunde nutzt eine fertige Anwendung.
Begründung:
SaaS bedeutet,
dass eine fertige Software als Dienst bereitgestellt wird.
Merksatz:
SaaS = benutzen statt betreiben.
---
**Aufgabe 10**
Was ist der Unterschied zwischen IaaS,
PaaS
und SaaS?
Antwort anzeigen
IaaS:
virtuelle Infrastruktur,
viel Verantwortung beim Kunden
PaaS:
verwaltete Plattform,
Kunde bringt Anwendung und Daten
SaaS:
fertige Anwendung,
Kunde verwaltet hauptsächlich Nutzung,
Daten,
Benutzer
und Rechte
Merksatz:
Je mehr Richtung SaaS,
desto mehr übernimmt der Anbieter.
---
**Aufgabe 11**
Was ist Public Cloud?
Antwort anzeigen
Public Cloud bedeutet:
Cloud-Ressourcen werden von einem öffentlichen Cloud-Anbieter bereitgestellt
und von vielen Kunden getrennt genutzt.
Eigenschaften:
hohe Skalierbarkeit
nutzungsabhängige Abrechnung
Anbieter betreibt Infrastruktur
Mandantentrennung wichtig
Merksatz:
Public Cloud = Cloud eines öffentlichen Anbieters.
---
**Aufgabe 12**
Was ist Private Cloud?
Antwort anzeigen
Private Cloud bedeutet:
Cloud-Umgebung wird nur für eine Organisation betrieben.
Möglich:
im eigenen Rechenzentrum
bei einem Dienstleister
dediziert für eine Organisation
Vorteile:
mehr Kontrolle
individuelle Anpassung
besondere Compliance-Anforderungen leichter steuerbar
Merksatz:
Private Cloud = Cloud nur für eine Organisation.
---
**Aufgabe 13**
Was ist Hybrid Cloud?
Antwort anzeigen
Hybrid Cloud bedeutet:
lokale IT oder Private Cloud wird mit Public-Cloud-Ressourcen kombiniert.
Beispiele:
lokales Rechenzentrum plus Cloud-Backup
lokale Anwendung plus Cloud-Datenbank
lokales Firmennetz plus Cloud-VPC über VPN
Merksatz:
Hybrid Cloud = lokal und Cloud kombiniert.
---
**Aufgabe 14**
Was ist Multi Cloud?
Antwort anzeigen
Multi Cloud bedeutet:
Eine Organisation nutzt mehrere Cloud-Anbieter.
Beispiel:
Anbieter A für Infrastruktur
Anbieter B für Datenanalyse
Anbieter C für Office-Dienste
Gründe:
Vermeidung von Abhängigkeit
passende Dienste verschiedener Anbieter nutzen
Ausfallsicherheit
Kostenoptimierung
Merksatz:
Multi Cloud = mehrere Cloud-Anbieter.
---
**Aufgabe 15**
Ordne zu.
| Modell | Bedeutung |
|---|---|
| Public Cloud | ? |
| Private Cloud | ? |
| Hybrid Cloud | ? |
| Multi Cloud | ? |
Antwort anzeigen
| Modell | Bedeutung |
|---|---|
| Public Cloud | Cloud eines öffentlichen Anbieters |
| Private Cloud | Cloud nur für eine Organisation |
| Hybrid Cloud | Kombination aus lokal oder privat und Public Cloud |
| Multi Cloud | Nutzung mehrerer Cloud-Anbieter |
Merksatz:
Hybrid beschreibt Kombination von Umgebungen.
Multi beschreibt mehrere Anbieter.
---
**Aufgabe 16**
Was bedeutet Shared Responsibility?
Antwort anzeigen
Shared Responsibility bedeutet:
Cloud-Anbieter und Kunde teilen sich die Verantwortung für Sicherheit und Betrieb.
Der Anbieter ist typischerweise verantwortlich für:
physische Infrastruktur
Rechenzentrum
Grundplattform
Hardware
Der Kunde ist typischerweise verantwortlich für:
Daten
Benutzer
Berechtigungen
Konfigurationen
Anwendungen je nach Modell
Merksatz:
Cloud-Sicherheit ist geteilte Verantwortung.
---
**Aufgabe 17**
Warum ist Shared Responsibility wichtig?
Antwort anzeigen
Shared Responsibility ist wichtig,
weil Kunden oft fälschlich glauben,
der Cloud-Anbieter sei für alles verantwortlich.
In Wirklichkeit bleiben viele Aufgaben beim Kunden,
zum Beispiel:
Benutzerrechte
Datenklassifizierung
Zugriffsschutz
sichere Konfiguration
Backup
Verschlüsselung
Monitoring
Merksatz:
Cloud-Anbieter schützt die Cloud.
Kunde schützt seine Nutzung der Cloud.
---
**Aufgabe 18**
Wer ist bei SaaS typischerweise für Benutzer und Rechte verantwortlich?
Antwort anzeigen
Typischerweise:
der Kunde
Begründung:
Auch wenn der Anbieter die Anwendung betreibt,
muss der Kunde seine Benutzer,
Gruppen,
Rollen,
Daten
und Freigaben korrekt verwalten.
Merksatz:
SaaS nimmt Betrieb ab,
aber nicht Rechteverwaltung.
---
**Aufgabe 19**
Wer ist bei IaaS typischerweise für das Gastbetriebssystem verantwortlich?
Antwort anzeigen
Typischerweise:
der Kunde
Begründung:
Bei IaaS stellt der Anbieter die virtuelle Infrastruktur bereit.
Betriebssystem,
Patches,
Dienste
und Anwendungen in der virtuellen Maschine werden häufig vom Kunden verwaltet.
Merksatz:
IaaS bedeutet mehr Kundenverantwortung als SaaS.
---
**Aufgabe 20**
Was ist IAM?
Antwort anzeigen
IAM steht für:
Identity and Access Management
Bedeutung:
Verwaltung von Identitäten,
Rollen,
Rechten
und Zugriffen.
Typische Aufgaben:
Benutzer verwalten
Rollen definieren
Berechtigungen vergeben
MFA erzwingen
Service Accounts verwalten
Zugriff protokollieren
Merksatz:
IAM entscheidet,
wer was darf.
---
**Aufgabe 21**
Warum ist IAM in der Cloud besonders wichtig?
Antwort anzeigen
Cloud-Ressourcen sind oft über das Internet erreichbar
und können schnell erstellt,
geändert
oder gelöscht werden.
Fehlerhafte Berechtigungen können zu:
Datenabfluss
Missbrauch von Ressourcen
Kostenexplosion
unberechtigtem Zugriff
Manipulation
führen.
Merksatz:
In der Cloud sind Identitäten oft der wichtigste Sicherheitsperimeter.
---
**Aufgabe 22**
Was bedeutet Least Privilege im Cloud-Kontext?
Antwort anzeigen
Least Privilege bedeutet:
Benutzer,
Rollen,
Dienste
und Anwendungen erhalten nur die Berechtigungen,
die sie wirklich benötigen.
Beispiele:
Entwickler darf Logs lesen,
aber keine Produktionsdatenbank löschen.
Anwendung darf in einen Speicher schreiben,
aber keine Benutzer verwalten.
Dienstkonto darf nur auf benötigte Ressourcen zugreifen.
Merksatz:
In der Cloud keine pauschalen Adminrechte vergeben.
---
**Aufgabe 23**
Was ist MFA im Cloud-Kontext?
Antwort anzeigen
MFA steht für:
Multi-Faktor-Authentifizierung
Bedeutung:
Anmeldung benötigt mehr als nur ein Passwort.
Beispiele für Faktoren:
Wissen:
Passwort
Besitz:
Smartphone,
Token,
Smartcard
Sein:
biometrisches Merkmal
Merksatz:
MFA schützt Cloud-Konten gegen Passwortmissbrauch.
---
**Aufgabe 24**
Was ist ein Service Account?
Antwort anzeigen
Ein Service Account ist ein Konto,
das von Diensten,
Anwendungen
oder Automatisierungen genutzt wird.
Risiken:
zu viele Rechte
Schlüssel liegen unsicher
Zugriff wird nicht überwacht
Konto wird nach Projektende nicht entfernt
Schutzmaßnahmen:
Least Privilege
Schlüsselrotation
kurze Laufzeiten
Logging
keine geteilten Geheimnisse im Klartext
Merksatz:
Service Accounts brauchen besonders saubere Rechteverwaltung.
---
**Aufgabe 25**
Was ist eine VPC?
Antwort anzeigen
VPC steht für:
Virtual Private Cloud
Bedeutung:
logisch getrenntes virtuelles Netzwerk in einer Cloud-Umgebung.
Typische Bestandteile:
Subnetze
Routing-Tabellen
Security Groups
Gateways
Firewalls
VPN-Anbindungen
Merksatz:
VPC = virtuelles Cloud-Netzwerk.
---
**Aufgabe 26**
Was ist ein Cloud-Subnetz?
Antwort anzeigen
Ein Cloud-Subnetz ist ein IP-Adressbereich innerhalb eines virtuellen Cloud-Netzwerks.
Typische Unterscheidung:
öffentliches Subnetz
privates Subnetz
Öffentliches Subnetz:
Ressourcen können über passende Regeln und öffentliche Adresse aus dem Internet erreichbar sein.
Privates Subnetz:
Ressourcen sind nicht direkt öffentlich erreichbar.
Merksatz:
Subnetze strukturieren Cloud-Netzwerke.
---
**Aufgabe 27**
Was ist eine Security Group?
Antwort anzeigen
Eine Security Group ist eine regelbasierte Zugriffskontrolle für Cloud-Ressourcen.
Sie steuert typischerweise:
eingehenden Verkehr
ausgehenden Verkehr
Ports
Protokolle
Quellen
Ziele
Merksatz:
Security Group ist wie eine ressourcennahe Firewall-Regelgruppe.
---
**Aufgabe 28**
Was ist der Unterschied zwischen Security Group und klassischer Netzwerkfirewall?
Antwort anzeigen
Security Group:
häufig direkt an Cloud-Ressourcen gebunden
regelt Zugriff auf einzelne Ressourcen oder Gruppen
Klassische Firewall:
oft zentrale Netzwerkkomponente oder Appliance
kontrolliert Verkehr zwischen Netzen oder Zonen
Wichtig:
Beide kontrollieren Verkehr,
aber an unterschiedlichen Stellen.
Merksatz:
Security Groups sind Cloud-nahe Zugriffskontrolle.
---
**Aufgabe 29**
Warum sollte eine Cloud-Datenbank nicht öffentlich erreichbar sein?
Antwort anzeigen
Eine Datenbank enthält oft sensible Daten
und ist ein attraktives Angriffsziel.
Risiken:
Brute Force
Exploits
Datenabfluss
Manipulation
Kosten oder Last durch Missbrauch
Besser:
privates Subnetz
Zugriff nur von Anwendungsservern
Security Group einschränken
starke Authentifizierung
Verschlüsselung
Logging
Merksatz:
Datenbanken nicht öffentlich freigeben.
---
**Aufgabe 30**
Was bedeutet Skalierung?
Antwort anzeigen
Skalierung bedeutet:
Ressourcen werden an Bedarf angepasst.
Vertikale Skalierung:
eine Ressource wird größer gemacht
Beispiel:
mehr CPU oder RAM für eine VM
Horizontale Skalierung:
mehrere Instanzen werden hinzugefügt
Beispiel:
mehrere Webserver hinter einem Load Balancer
Merksatz:
Vertikal = größer.
Horizontal = mehr.
---
**Aufgabe 31**
Was ist Auto Scaling?
Antwort anzeigen
Auto Scaling bedeutet:
Ressourcen werden automatisch erhöht oder reduziert,
abhängig von definierten Bedingungen.
Beispiele:
CPU-Auslastung hoch:
zusätzliche Instanz starten
Last niedrig:
Instanz entfernen
Vorteile:
bessere Verfügbarkeit
flexible Leistung
Kostenkontrolle bei richtiger Konfiguration
Merksatz:
Auto Scaling passt Ressourcen automatisch an Last an.
---
**Aufgabe 32**
Was ist ein Load Balancer?
Antwort anzeigen
Ein Load Balancer verteilt Anfragen auf mehrere Ziele.
Beispiele:
mehrere Webserver
mehrere Anwendungsserver
Vorteile:
bessere Verfügbarkeit
Lastverteilung
Wartung einzelner Instanzen leichter möglich
Skalierung
Merksatz:
Load Balancer verteilt Verkehr.
---
**Aufgabe 33**
Was bedeutet Cloud-Kostenkontrolle?
Antwort anzeigen
Cloud-Kostenkontrolle bedeutet:
Nutzung,
Ressourcen
Speicher
Datenverkehr
Lizenzen
und laufende Dienste überwachen.
Maßnahmen:
Budgets
Alarme
Tags
Abschalten ungenutzter Ressourcen
passende Größen wählen
Reservierungen oder Pläne prüfen
Speicherklassen nutzen
Merksatz:
Cloud ist flexibel,
aber nicht automatisch günstig.
---
**Aufgabe 34**
Warum sind Tags in der Cloud nützlich?
Antwort anzeigen
Tags sind Metadaten an Ressourcen.
Nutzung:
Kostenstellen zuordnen
Besitzer erkennen
Umgebung kennzeichnen
Projektzuordnung
Automatisierung
Compliance
Beispiele:
Projekt = Webshop
Umgebung = Produktion
Besitzer = IT-Team
Merksatz:
Tags helfen bei Ordnung,
Kosten
und Automatisierung.
---
**Aufgabe 35**
Was ist Vendor Lock-in?
Antwort anzeigen
Vendor Lock-in bedeutet:
starke Abhängigkeit von einem Anbieter,
weil Dienste,
Schnittstellen
oder Datenformate schwer wechselbar sind.
Risiken:
Wechsel wird teuer
Migration wird schwierig
Preiserhöhungen schwer vermeidbar
technische Abhängigkeiten
Merksatz:
Vendor Lock-in erschwert Anbieterwechsel.
---
**Aufgabe 36**
Was ist ein Cloud-Backup?
Antwort anzeigen
Cloud-Backup bedeutet:
Daten oder Systeme werden in einer Cloud-Umgebung gesichert.
Wichtig:
Zugriffsschutz
Verschlüsselung
Retention
Restore-Test
Schutz gegen Ransomware
regionale Speicherung
Kosten
Merksatz:
Auch Cloud-Backups müssen getestet und geschützt werden.
---
**Aufgabe 37**
Warum ersetzt Cloud-Synchronisation kein Backup?
Antwort anzeigen
Synchronisation gleicht Datenstände ab.
Problem:
Löschungen
Verschlüsselung durch Ransomware
Fehländerungen
beschädigte Dateien
können mitsynchronisiert werden.
Backup braucht:
alte Versionen
Retention
Restore-Möglichkeit
Schutz vor Manipulation
Merksatz:
Sync hält gleich.
Backup stellt alte Stände wieder her.
---
**Aufgabe 38**
Welche Antwort ist besser?
Aufgabe:
Wer ist in der Cloud für Sicherheit verantwortlich?
Antwort A:
Nur der Cloud-Anbieter.
Antwort B:
Die Verantwortung ist geteilt.
Der Anbieter schützt die Cloud-Infrastruktur,
der Kunde bleibt je nach Modell für Daten,
Benutzer,
Rechte,
Konfigurationen
und Anwendungen verantwortlich.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort beschreibt das Shared-Responsibility-Modell korrekt.
Merksatz:
Cloud-Sicherheit ist geteilte Verantwortung.
---
**Aufgabe 39**
Welche Antwort ist besser?
Aufgabe:
Warum ist eine öffentlich erreichbare Cloud-Datenbank kritisch?
Antwort A:
Weil Datenbanken wichtig sind.
Antwort B:
Eine öffentlich erreichbare Datenbank erhöht die Angriffsfläche erheblich.
Es drohen Brute-Force-Angriffe,
Ausnutzung von Schwachstellen,
Datenabfluss
und Manipulation.
Besser ist der Betrieb in einem privaten Subnetz mit Zugriff nur durch benötigte Anwendungen.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort nennt konkrete Risiken
und eine bessere Schutzmaßnahme.
Merksatz:
Sicherheitsantwort:
Risiko,
Maßnahme,
Wirkung.
---
**Aufgabe 40**
Welche Antwort ist besser?
Aufgabe:
Was ist der Unterschied zwischen IaaS und SaaS?
Antwort A:
SaaS ist irgendwie mehr fertig.
Antwort B:
Bei IaaS stellt der Anbieter virtuelle Infrastruktur bereit,
zum Beispiel virtuelle Maschinen,
Speicher
und Netzwerke.
Der Kunde verwaltet häufig Betriebssystem und Anwendung.
Bei SaaS nutzt der Kunde eine fertige Anwendung
und verwaltet hauptsächlich Benutzer,
Daten,
Rechte
und Einstellungen.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort grenzt beide Modelle fachlich sauber voneinander ab.
Merksatz:
Modelle immer über Verantwortlichkeit und Bereitstellung erklären.
---
**Mini-Prüfung: schnelle Zuordnung**
| Frage | Antwort |
|---|---|
| Was bedeutet IaaS? | Infrastructure as a Service |
| Was bedeutet PaaS? | Platform as a Service |
| Was bedeutet SaaS? | Software as a Service |
| Was ist IaaS? | virtuelle Infrastruktur |
| Was ist PaaS? | verwaltete Plattform |
| Was ist SaaS? | fertige Anwendung |
| Was ist Public Cloud? | Cloud eines öffentlichen Anbieters |
| Was ist Private Cloud? | Cloud nur für eine Organisation |
| Was ist Hybrid Cloud? | lokal oder privat plus Public Cloud |
| Was ist Multi Cloud? | mehrere Cloud-Anbieter |
| Was ist IAM? | Identitäts- und Zugriffsverwaltung |
| Was ist VPC? | virtuelles Cloud-Netzwerk |
| Was ist Security Group? | ressourcennahe Firewall-Regelgruppe |
| Was ist Auto Scaling? | automatische Anpassung von Ressourcen |
| Was ist Vendor Lock-in? | starke Anbieterabhängigkeit |
---
**Mini-Prüfung: Fehlerbild erkennen**
| Fehlerbild | Wahrscheinliches Thema |
|---|---|
| Benutzer sieht zu viele Cloud-Ressourcen | IAM / Rechte zu breit |
| Cloud-Datenbank öffentlich erreichbar | Security Group oder Netzwerk falsch |
| Kosten steigen unerwartet | Kostenkontrolle, ungenutzte Ressourcen |
| Anwendung langsam bei Lastspitzen | Skalierung oder Load Balancer prüfen |
| VM nicht erreichbar | Security Group, Route, Subnetz, Firewall |
| SaaS-Dateien falsch geteilt | Freigaben und Berechtigungen prüfen |
| Cloud-Backup nicht wiederherstellbar | Restore-Test fehlt |
| gelöschte Datei verschwindet überall | Sync statt Backup |
| Anbieterwechsel sehr schwierig | Vendor Lock-in |
| Cloud-Ressource ohne Besitzer | fehlende Tags oder Dokumentation |
---
**IHK-sichere Kurzformulierung**
Cloud Computing bezeichnet die Bereitstellung von IT-Ressourcen über ein Netzwerk. Bei IaaS stellt der Anbieter virtuelle Infrastruktur wie Server, Speicher und Netzwerke bereit. Bei PaaS nutzt der Kunde eine verwaltete Plattform für Anwendungen. Bei SaaS wird eine fertige Anwendung bereitgestellt. Public Cloud ist die Cloud eines öffentlichen Anbieters, Private Cloud eine Cloud für eine Organisation, Hybrid Cloud kombiniert lokale oder private IT mit Public Cloud und Multi Cloud nutzt mehrere Anbieter. Beim Shared-Responsibility-Modell teilen sich Anbieter und Kunde die Verantwortung: Der Anbieter schützt die Cloud-Infrastruktur, der Kunde bleibt je nach Modell für Daten, Identitäten, Rechte, Konfigurationen und Anwendungen verantwortlich.
---
**Merksätze**
Cloud = IT-Ressourcen über Netzwerk.
Cloud ist flexibel,
aber nicht automatisch sicher.
Cloud ist flexibel,
aber nicht automatisch günstig.
IaaS = Infrastruktur.
PaaS = Plattform.
SaaS = Software.
Virtuelle Maschine ist typisch IaaS.
Verwaltete Plattform ist typisch PaaS.
Fertige Anwendung ist typisch SaaS.
Public Cloud = öffentlicher Anbieter.
Private Cloud = nur für eine Organisation.
Hybrid Cloud = lokal oder privat plus Cloud.
Multi Cloud = mehrere Anbieter.
Hybrid beschreibt Kombination von Umgebungen.
Multi beschreibt mehrere Anbieter.
Shared Responsibility = geteilte Verantwortung.
Anbieter schützt die Cloud.
Kunde schützt seine Nutzung der Cloud.
IAM entscheidet,
wer was darf.
Cloud-Identitäten sind besonders wichtig.
MFA schützt Cloud-Konten.
Least Privilege gilt auch in der Cloud.
Service Accounts brauchen minimale Rechte.
VPC = virtuelles Cloud-Netzwerk.
Subnetze strukturieren Cloud-Netze.
Security Groups kontrollieren Zugriff.
Datenbanken nicht öffentlich freigeben.
Vertikal skalieren = größer machen.
Horizontal skalieren = mehr Instanzen.
Auto Scaling passt Ressourcen automatisch an.
Load Balancer verteilt Verkehr.
Tags helfen bei Kosten,
Ordnung
und Automatisierung.
Vendor Lock-in erschwert Anbieterwechsel.
Cloud-Sync ist kein Backup.
Auch Cloud-Backups brauchen Restore-Tests.
# 20.11 Trainer – Angriffe, Schutzmaßnahmen und IT-Sicherheit
Diese Trainer-Seite wiederholt typische Angriffe,
Schutzziele,
Risiken
und passende Schutzmaßnahmen.
Ziel ist,
Sicherheitsfragen in der Prüfung sauber einzuordnen:
- Welches Schutzziel ist betroffen?
- Welche Angriffsmethode liegt vor?
- Welche Maßnahme passt dazu?
- Warum ist die Maßnahme sinnvoll?
Merksatz:
Sicherheitsfragen bestehen oft aus:
Schutzziel,
Risiko,
Maßnahme
und Wirkung.
---
**Lernziele**
Nach dieser Seite solltest du sicher können:
- Vertraulichkeit,
Integrität
und Verfügbarkeit unterscheiden
- Schwachstelle,
Bedrohung
und Risiko erklären
- typische Angriffe erkennen
- Malware-Arten unterscheiden
- Phishing und Social Engineering einordnen
- Passwortangriffe unterscheiden
- Webangriffe grob erklären
- IDS,
IPS,
EDR
und SIEM unterscheiden
- passende Schutzmaßnahmen auswählen
- prüfungssichere Sicherheitsantworten formulieren
---
**Kurzüberblick: Schutzziele**
| Schutzziel | Bedeutung | Beispiel |
|---|---|---|
| Vertraulichkeit | Schutz vor unberechtigtem Lesen | Datenabfluss |
| Integrität | Schutz vor unbemerkter Veränderung | manipulierte Datei |
| Verfügbarkeit | Systeme und Daten sind nutzbar | DDoS oder Ausfall |
| Authentizität | Echtheit prüfen | echter Server oder echter Benutzer |
| Nachvollziehbarkeit | Ereignisse rekonstruieren | Logs und Protokolle |
Merksatz:
CIA =
Confidentiality,
Integrity,
Availability.
Deutsch:
Vertraulichkeit,
Integrität,
Verfügbarkeit.
---
**Kurzüberblick: Angriffe und Maßnahmen**
| Angriff oder Risiko | Passende Maßnahme |
|---|---|
| gestohlenes Passwort | MFA |
| zu viele Rechte | Least Privilege |
| bekannte Sicherheitslücke | Patchmanagement |
| unnötige Dienste | Hardening |
| Ransomware | Offline- oder Immutable-Backup |
| Phishing | Awareness, Mailfilter, MFA |
| DDoS | DDoS-Schutz, Rate Limiting, CDN |
| Man-in-the-Middle | TLS, Zertifikatsprüfung, VPN |
| SQL Injection | Prepared Statements |
| XSS | Output Encoding, CSP, HttpOnly |
| unklare Vorfälle | Logging, SIEM, Monitoring |
Merksatz:
Maßnahme muss zum Risiko passen.
---
**Aufgabe 1**
Was bedeutet Vertraulichkeit?
Antwort anzeigen
Vertraulichkeit bedeutet:
Informationen dürfen nur von berechtigten Personen,
Systemen
oder Prozessen gelesen werden.
Beispielverletzung:
Kundendaten werden unberechtigt ausgelesen.
Passende Maßnahmen:
Verschlüsselung
Rechtekonzept
MFA
Zugriffskontrolle
DLP
Merksatz:
Vertraulichkeit schützt vor unberechtigtem Mitlesen.
---
**Aufgabe 2**
Was bedeutet Integrität?
Antwort anzeigen
Integrität bedeutet:
Daten dürfen nicht unbemerkt verändert werden.
Beispielverletzung:
Eine Konfigurationsdatei wird manipuliert.
Passende Maßnahmen:
Hashwerte
digitale Signaturen
Rechtebegrenzung
Versionskontrolle
Logging
Merksatz:
Integrität schützt vor unbemerkter Veränderung.
---
**Aufgabe 3**
Was bedeutet Verfügbarkeit?
Antwort anzeigen
Verfügbarkeit bedeutet:
Systeme,
Dienste
und Daten stehen bei Bedarf zur Verfügung.
Beispielverletzung:
Ein Server ist durch DDoS nicht erreichbar.
Passende Maßnahmen:
Redundanz
Monitoring
Backup
DDoS-Schutz
Notfallplan
Merksatz:
Verfügbarkeit schützt Nutzbarkeit.
---
**Aufgabe 4**
Ordne das Schutzziel zu.
| Ereignis | Schutzziel |
|---|---|
| Daten werden gestohlen | ? |
| Datei wird manipuliert | ? |
| Server ist nicht erreichbar | ? |
| Absender wird gefälscht | ? |
Antwort anzeigen
| Ereignis | Schutzziel |
|---|---|
| Daten werden gestohlen | Vertraulichkeit |
| Datei wird manipuliert | Integrität |
| Server ist nicht erreichbar | Verfügbarkeit |
| Absender wird gefälscht | Authentizität |
Merksatz:
Lesen = Vertraulichkeit.
Verändern = Integrität.
Ausfall = Verfügbarkeit.
Echtheit = Authentizität.
---
**Aufgabe 5**
Was ist der Unterschied zwischen Schwachstelle,
Bedrohung
und Risiko?
Antwort anzeigen
Schwachstelle:
ausnutzbare Lücke
Beispiel:
ungepatchter Server
Bedrohung:
mögliches schädliches Ereignis
Beispiel:
Angreifer nutzt die Lücke aus
Risiko:
bewertete Gefahr aus Wahrscheinlichkeit und Auswirkung
Beispiel:
Datenverlust durch Angriff auf den ungepatchten Server
Merksatz:
Schwachstelle = Lücke.
Bedrohung = mögliches Ereignis.
Risiko = bewertete Gefahr.
---
**Aufgabe 6**
Was ist Malware?
Antwort anzeigen
Malware bedeutet:
Schadsoftware
Beispiele:
Virus
Wurm
Trojaner
Ransomware
Spyware
Keylogger
Rootkit
Botnet-Client
Merksatz:
Malware ist der Oberbegriff für Schadsoftware.
---
**Aufgabe 7**
Was ist der Unterschied zwischen Virus,
Wurm
und Trojaner?
Antwort anzeigen
Virus:
hängt sich an Dateien oder Programme an
verbreitet sich meist durch Ausführung oder Weitergabe
Wurm:
verbreitet sich selbstständig über Netzwerke
Trojaner:
tarnt sich als nützliches Programm,
enthält aber schädliche Funktionen
Merksatz:
Virus braucht oft Wirt.
Wurm verbreitet sich selbst.
Trojaner täuscht Nutzen vor.
---
**Aufgabe 8**
Was ist Ransomware?
Antwort anzeigen
Ransomware ist Schadsoftware,
die Daten verschlüsselt oder Systeme sperrt
und häufig Lösegeld fordert.
Betroffene Schutzziele:
Verfügbarkeit
bei Datenabfluss zusätzlich:
Vertraulichkeit
Passende Maßnahmen:
Offline-Backup
Immutable Backup
Patchmanagement
EDR
Segmentierung
Least Privilege
Restore-Test
Merksatz:
Ransomware betrifft vor allem Verfügbarkeit.
---
**Aufgabe 9**
Warum sind Offline- oder Immutable-Backups bei Ransomware wichtig?
Antwort anzeigen
Ransomware versucht häufig,
auch Backups zu löschen oder zu verschlüsseln.
Offline-Backups sind nicht dauerhaft verbunden.
Immutable Backups können für eine festgelegte Zeit nicht verändert oder gelöscht werden.
Dadurch bleibt eine Wiederherstellungsmöglichkeit erhalten.
Merksatz:
Backups müssen vor Angreifern geschützt werden.
---
**Aufgabe 10**
Was ist Phishing?
Antwort anzeigen
Phishing ist Täuschung,
um vertrauliche Daten oder Zugangsdaten zu erhalten.
Typische Kanäle:
E-Mail
SMS
Messenger
Telefon
QR-Code
gefälschte Webseite
Ziele:
Passwörter
MFA-Codes
Bankdaten
Zugangsdaten
Merksatz:
Phishing täuscht Benutzer zur Preisgabe von Daten.
---
**Aufgabe 11**
Was ist Spear Phishing?
Antwort anzeigen
Spear Phishing ist gezieltes Phishing gegen bestimmte Personen,
Abteilungen
oder Organisationen.
Merkmale:
persönlicher Bezug
glaubwürdiger Absender
Bezug auf echte Projekte
gezielte Vorbereitung
Merksatz:
Spear Phishing ist gezielt und oft glaubwürdiger.
---
**Aufgabe 12**
Was ist Social Engineering?
Antwort anzeigen
Social Engineering nutzt menschliches Verhalten,
Vertrauen,
Hilfsbereitschaft
oder Zeitdruck aus.
Beispiele:
falscher IT-Support
angeblicher Chef fordert Zahlung
gefälschter Lieferant
Besucher ohne Berechtigung
manipulierter Anruf
Merksatz:
Social Engineering greift Menschen an,
nicht nur Technik.
---
**Aufgabe 13**
Was ist CEO-Fraud?
Antwort anzeigen
CEO-Fraud ist ein Betrug,
bei dem sich Angreifer als Geschäftsführung oder Vorgesetzte ausgeben.
Ziel:
Zahlung auslösen
vertrauliche Daten erhalten
schnelle Entscheidung erzwingen
Typische Methode:
Autorität und Zeitdruck ausnutzen
Merksatz:
CEO-Fraud nutzt Autorität und Druck.
---
**Aufgabe 14**
Was ist Brute Force?
Antwort anzeigen
Brute Force bedeutet:
systematisches Ausprobieren vieler Passwörter.
Schutzmaßnahmen:
starke Passwörter
MFA
Account Lockout
Rate Limiting
Monitoring
Passwortmanager
Merksatz:
Brute Force probiert viele Möglichkeiten aus.
---
**Aufgabe 15**
Was ist Password Spraying?
Antwort anzeigen
Password Spraying bedeutet:
ein häufiges Passwort wird gegen viele Konten getestet.
Beispiel:
Winter2026!
gegen viele Benutzerkonten.
Ziel:
Kontosperren vermeiden,
weil pro Konto nur wenige Versuche stattfinden.
Merksatz:
Password Spraying:
ein Passwort,
viele Konten.
---
**Aufgabe 16**
Was ist Credential Stuffing?
Antwort anzeigen
Credential Stuffing nutzt bereits geleakte Zugangsdaten.
Prinzip:
bekannte E-Mail-Passwort-Kombinationen
werden bei anderen Diensten ausprobiert.
Grund:
Benutzer verwenden Passwörter oft mehrfach.
Schutzmaßnahmen:
MFA
Passwortmanager
einzigartige Passwörter
Leak-Prüfung
Monitoring
Merksatz:
Credential Stuffing nutzt wiederverwendete geleakte Passwörter.
---
**Aufgabe 17**
Ordne zu.
| Angriff | Beschreibung |
|---|---|
| Brute Force | ? |
| Password Spraying | ? |
| Credential Stuffing | ? |
Antwort anzeigen
| Angriff | Beschreibung |
|---|---|
| Brute Force | viele Passwortversuche |
| Password Spraying | ein Passwort gegen viele Konten |
| Credential Stuffing | geleakte Zugangsdaten bei anderen Diensten testen |
Merksatz:
Brute Force = viele Versuche.
Spraying = ein Passwort, viele Konten.
Stuffing = geleakte Daten.
---
**Aufgabe 18**
Was ist DoS?
Antwort anzeigen
DoS steht für:
Denial of Service
Ziel:
einen Dienst überlasten oder nicht mehr verfügbar machen
Betroffenes Schutzziel:
Verfügbarkeit
Merksatz:
DoS greift Verfügbarkeit an.
---
**Aufgabe 19**
Was ist DDoS?
Antwort anzeigen
DDoS steht für:
Distributed Denial of Service
Unterschied zu DoS:
Angriff kommt verteilt von vielen Systemen.
Häufige Quelle:
Botnetze
Schutzmaßnahmen:
DDoS-Schutz
CDN
Rate Limiting
Filterung
Provider-Schutz
Skalierung
Merksatz:
DDoS = verteilter Angriff auf Verfügbarkeit.
---
**Aufgabe 20**
Was ist Man-in-the-Middle?
Antwort anzeigen
Man-in-the-Middle bedeutet:
Ein Angreifer sitzt zwischen zwei Kommunikationspartnern.
Ziele:
mitlesen
verändern
umleiten
Sitzung übernehmen
Betroffene Schutzziele:
Vertraulichkeit
Integrität
Schutzmaßnahmen:
TLS
Zertifikatsprüfung
VPN
HSTS
sichere WLANs
Merksatz:
MitM gefährdet Vertraulichkeit und Integrität.
---
**Aufgabe 21**
Was ist Spoofing?
Antwort anzeigen
Spoofing bedeutet:
Identität,
Adresse,
Absender
oder Herkunft wird vorgetäuscht.
Beispiele:
IP-Spoofing
MAC-Spoofing
DNS-Spoofing
E-Mail-Spoofing
ARP-Spoofing
Merksatz:
Spoofing täuscht Herkunft oder Identität vor.
---
**Aufgabe 22**
Was ist ARP-Spoofing?
Antwort anzeigen
ARP-Spoofing manipuliert ARP-Zuordnungen im lokalen Netz.
Ziel:
Datenverkehr umleiten
Man-in-the-Middle ermöglichen
Kommunikation stören
Schutzmaßnahmen:
Dynamic ARP Inspection
Netzwerksegmentierung
Switch-Sicherheitsfunktionen
Monitoring
Verschlüsselung höherer Schichten
Merksatz:
ARP-Spoofing betrifft lokale IPv4-Kommunikation.
---
**Aufgabe 23**
Was ist DNS-Spoofing?
Antwort anzeigen
DNS-Spoofing liefert falsche DNS-Antworten.
Ziel:
Benutzer auf falsche Server umleiten.
Risiken:
Phishing
Malware
Credential Theft
Man-in-the-Middle
Schutzmaßnahmen:
vertrauenswürdige DNS-Server
DNSSEC je nach Einsatz
TLS-Zertifikatsprüfung
Monitoring
Merksatz:
DNS-Spoofing manipuliert Namensauflösung.
---
**Aufgabe 24**
Was ist SQL Injection?
Antwort anzeigen
SQL Injection bedeutet:
Angreifer schleust SQL-Code in Eingaben ein.
Ziele:
Daten auslesen
Daten verändern
Anmeldung umgehen
Daten löschen
Schutzmaßnahmen:
Prepared Statements
Parametrisierung
Eingabevalidierung
Rechtebegrenzung für Datenbankkonten
sichere Fehlerausgaben
Merksatz:
SQL Injection betrifft unsichere Datenbankabfragen.
---
**Aufgabe 25**
Was ist XSS?
Antwort anzeigen
XSS steht für:
Cross-Site Scripting
Dabei wird schädlicher Skriptcode in Webseiten eingeschleust,
der im Browser anderer Benutzer ausgeführt wird.
Ziele:
Session stehlen
Benutzeraktionen manipulieren
Inhalte verändern
Phishing innerhalb einer Webseite
Schutzmaßnahmen:
Output Encoding
Eingabevalidierung
Content Security Policy
HttpOnly-Cookies
Merksatz:
XSS greift Benutzer im Browser an.
---
**Aufgabe 26**
Was ist CSRF?
Antwort anzeigen
CSRF steht für:
Cross-Site Request Forgery
Dabei wird eine gültige Sitzung eines Benutzers missbraucht,
um ungewollte Aktionen auszuführen.
Schutzmaßnahmen:
CSRF-Token
SameSite-Cookies
erneute Bestätigung kritischer Aktionen
Origin-Prüfung
Merksatz:
CSRF missbraucht eine bestehende Sitzung.
---
**Aufgabe 27**
Ordne Webangriffe zu.
| Angriff | Kurzbeschreibung |
|---|---|
| SQL Injection | ? |
| XSS | ? |
| CSRF | ? |
Antwort anzeigen
| Angriff | Kurzbeschreibung |
|---|---|
| SQL Injection | SQL-Code in Eingaben einschleusen |
| XSS | Skriptcode im Browser anderer Benutzer ausführen |
| CSRF | gültige Sitzung für ungewollte Aktion missbrauchen |
Merksatz:
SQLi betrifft Datenbankabfragen.
XSS betrifft Browser.
CSRF betrifft Sitzungen.
---
**Aufgabe 28**
Was ist ein Zero-Day?
Antwort anzeigen
Ein Zero-Day ist eine Schwachstelle,
für die es noch keinen bekannten oder verfügbaren Patch gibt
oder die gerade erst bekannt wurde.
Risiko:
hohe Gefahr,
weil Standardmaßnahmen noch nicht vollständig verfügbar sind.
Merksatz:
Zero-Day = neue oder ungepatchte Schwachstelle.
---
**Aufgabe 29**
Was ist ein Supply-Chain-Angriff?
Antwort anzeigen
Ein Supply-Chain-Angriff zielt auf Lieferketten,
Softwareabhängigkeiten
oder Dienstleister.
Beispiele:
kompromittiertes Update
manipuliertes Softwarepaket
unsichere Bibliothek
kompromittierter Dienstleisterzugang
Schutzmaßnahmen:
Signaturprüfung
Dependency-Scanning
Lieferantenprüfung
Least Privilege
Monitoring
Merksatz:
Supply-Chain-Angriff kommt über Abhängigkeiten.
---
**Aufgabe 30**
Was bedeutet Insider Threat?
Antwort anzeigen
Insider Threat bedeutet:
Gefahr durch Personen innerhalb der Organisation
oder mit berechtigtem Zugriff.
Beispiele:
absichtlicher Datenabfluss
fahrlässige Fehlkonfiguration
Missbrauch von Adminrechten
Zugriff nach Rollenwechsel nicht entfernt
Schutzmaßnahmen:
Least Privilege
Rechteprüfung
Vier-Augen-Prinzip
Logging
Offboarding
Merksatz:
Insider haben bereits Zugriff,
deshalb sind Rechte und Logs wichtig.
---
**Aufgabe 31**
Was bedeutet Least Privilege?
Antwort anzeigen
Least Privilege bedeutet:
Benutzer,
Dienste
und Prozesse erhalten nur die Rechte,
die sie wirklich benötigen.
Ziel:
Schaden bei Fehlern oder Angriffen begrenzen.
Merksatz:
So wenig Rechte wie möglich,
so viele wie nötig.
---
**Aufgabe 32**
Was bedeutet MFA?
Antwort anzeigen
MFA steht für:
Multi-Faktor-Authentifizierung
Dabei werden mehrere Faktoren kombiniert.
Faktoren:
Wissen:
Passwort
Besitz:
Token,
Smartphone,
Smartcard
Sein:
biometrisches Merkmal
Merksatz:
MFA sorgt dafür,
dass ein Passwort allein nicht reicht.
---
**Aufgabe 33**
Was ist Hardening?
Antwort anzeigen
Hardening bedeutet:
Systeme sicherer konfigurieren,
indem unnötige Funktionen deaktiviert
oder eingeschränkt werden.
Beispiele:
unnötige Dienste deaktivieren
Standardpasswörter ändern
unsichere Protokolle abschalten
Rechte begrenzen
sichere Einstellungen setzen
Logging aktivieren
Merksatz:
Hardening verringert die Angriffsfläche.
---
**Aufgabe 34**
Was ist Patchmanagement?
Antwort anzeigen
Patchmanagement sorgt dafür,
dass Sicherheitsupdates geplant,
getestet
und eingespielt werden.
Ziel:
bekannte Schwachstellen schließen.
Merksatz:
Patchmanagement reduziert bekannte Risiken.
---
**Aufgabe 35**
Was ist der Unterschied zwischen IDS und IPS?
Antwort anzeigen
IDS:
Intrusion Detection System
erkennt und meldet Angriffe
IPS:
Intrusion Prevention System
erkennt Angriffe
und blockiert zusätzlich
Merksatz:
IDS meldet.
IPS blockiert.
---
**Aufgabe 36**
Was ist EDR?
Antwort anzeigen
EDR steht für:
Endpoint Detection and Response
Aufgabe:
Endgeräte überwachen
verdächtiges Verhalten erkennen
Reaktion ermöglichen
Angriffe analysieren
Merksatz:
EDR schützt und überwacht Endgeräte.
---
**Aufgabe 37**
Was ist SIEM?
Antwort anzeigen
SIEM steht für:
Security Information and Event Management
Aufgabe:
Logs sammeln
Sicherheitsereignisse korrelieren
Alarme erzeugen
Vorfälle analysieren
Nachvollziehbarkeit verbessern
Merksatz:
SIEM verbindet Sicherheitsereignisse aus vielen Quellen.
---
**Aufgabe 38**
Welche Antwort ist besser?
Aufgabe:
Ein Dienst ist durch sehr viele Anfragen nicht mehr erreichbar.
Welches Schutzziel ist betroffen?
Antwort A:
Vertraulichkeit,
weil alles geheim ist.
Antwort B:
Verfügbarkeit,
weil der Dienst nicht mehr nutzbar ist.
Antwort anzeigen
B ist besser.
Begründung:
Wenn ein Dienst nicht mehr erreichbar oder nutzbar ist,
ist die Verfügbarkeit betroffen.
Merksatz:
Ausfall = Verfügbarkeit.
---
**Aufgabe 39**
Welche Antwort ist besser?
Aufgabe:
Warum ist MFA eine sinnvolle Maßnahme gegen gestohlene Passwörter?
Antwort A:
Weil MFA moderner ist.
Antwort B:
MFA verlangt zusätzlich zum Passwort einen weiteren Faktor.
Dadurch reicht ein gestohlenes Passwort allein nicht mehr aus,
um Zugriff zu erhalten.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort nennt die konkrete Schutzwirkung.
Merksatz:
Maßnahme immer mit Wirkung erklären.
---
**Aufgabe 40**
Welche Antwort ist besser?
Aufgabe:
Warum ist Hardening sinnvoll?
Antwort A:
Weil man Systeme härter macht.
Antwort B:
Hardening reduziert die Angriffsfläche,
indem unnötige Dienste,
Standardzugänge,
unsichere Protokolle
und zu weitgehende Rechte entfernt oder eingeschränkt werden.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort erklärt,
wie Hardening wirkt
und warum es sicherheitsrelevant ist.
Merksatz:
Fachbegriff plus Wirkung nennen.
---
**Mini-Prüfung: schnelle Zuordnung**
| Frage | Antwort |
|---|---|
| Vertraulichkeit schützt vor was? | unberechtigtem Lesen |
| Integrität schützt vor was? | unbemerkter Veränderung |
| Verfügbarkeit schützt was? | Nutzbarkeit |
| Was ist Malware? | Schadsoftware |
| Was ist Ransomware? | Verschlüsselung oder Sperrung gegen Lösegeld |
| Was ist Phishing? | Täuschung zur Datenpreisgabe |
| Was ist DDoS? | verteilter Angriff auf Verfügbarkeit |
| Was ist MitM? | Angreifer zwischen Kommunikationspartnern |
| Was ist Spoofing? | Vortäuschen von Identität oder Herkunft |
| Was ist SQL Injection? | SQL-Code in Eingaben einschleusen |
| Was ist XSS? | Skriptcode im Browser anderer Benutzer |
| Was ist CSRF? | Missbrauch einer bestehenden Sitzung |
| Was macht IDS? | melden |
| Was macht IPS? | blockieren |
| Was macht SIEM? | Sicherheitsereignisse korrelieren |
---
**Mini-Prüfung: Angriff und Maßnahme**
| Angriff oder Risiko | passende Maßnahme |
|---|---|
| gestohlenes Passwort | MFA |
| zu viele Rechte | Least Privilege |
| ungepatchter Server | Patchmanagement |
| unnötige Dienste | Hardening |
| Ransomware | Offline- oder Immutable-Backup |
| Phishing | Awareness, Mailfilter, MFA |
| SQL Injection | Prepared Statements |
| XSS | Output Encoding, CSP, HttpOnly |
| DDoS | DDoS-Schutz, Rate Limiting |
| Man-in-the-Middle | TLS, Zertifikatsprüfung |
| unklare Vorfälle | Logging, SIEM |
| kompromittiertes Endgerät | EDR |
---
**Mini-Prüfung: Fehlerbild erkennen**
| Fehlerbild | Wahrscheinlichstes Thema |
|---|---|
| viele Loginversuche | Brute Force |
| ein Passwort gegen viele Konten | Password Spraying |
| geleakte Zugangsdaten werden getestet | Credential Stuffing |
| gefälschte Loginseite | Phishing |
| angeblicher Chef fordert Zahlung | CEO-Fraud |
| Dateien verschlüsselt, Lösegeldforderung | Ransomware |
| Dienst überlastet | DoS oder DDoS |
| falsche DNS-Antwort | DNS-Spoofing |
| Verkehr wird umgeleitet | Man-in-the-Middle |
| SQL-Fehler nach Eingabe | SQL Injection |
| fremdes Skript im Browser | XSS |
| Aktion über bestehende Sitzung ausgelöst | CSRF |
---
**IHK-sichere Kurzformulierung**
Informationssicherheit schützt die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit. Vertraulichkeit schützt vor unberechtigtem Lesen, Integrität vor unbemerkter Veränderung und Verfügbarkeit vor Ausfall. Eine Schwachstelle ist eine ausnutzbare Lücke, eine Bedrohung ein mögliches schädliches Ereignis und ein Risiko die bewertete Gefahr. Typische Angriffe sind Malware, Ransomware, Phishing, Social Engineering, Brute Force, Credential Stuffing, DDoS, Man-in-the-Middle, Spoofing, SQL Injection, XSS und CSRF. Passende Schutzmaßnahmen sind unter anderem MFA, Least Privilege, Patchmanagement, Hardening, Firewall, IDS, IPS, EDR, SIEM, Backup, Segmentierung und Awareness.
---
**Merksätze**
Sicherheit schützt Schutzziele.
CIA bedeutet Vertraulichkeit,
Integrität
und Verfügbarkeit.
Vertraulichkeit schützt vor Mitlesen.
Integrität schützt vor Manipulation.
Verfügbarkeit schützt Nutzbarkeit.
Authentizität schützt Echtheit.
Schwachstelle ist die Lücke.
Bedrohung ist das mögliche Ereignis.
Risiko ist die bewertete Gefahr.
Maßnahme reduziert Risiko.
Malware ist Schadsoftware.
Virus braucht meist eine Wirtsdatei.
Wurm verbreitet sich selbstständig.
Trojaner täuscht Nutzen vor.
Ransomware verschlüsselt oder sperrt Daten.
Phishing täuscht Benutzer.
Social Engineering greift Menschen an.
Brute Force probiert viele Passwörter.
Password Spraying:
ein Passwort,
viele Konten.
Credential Stuffing nutzt geleakte Zugangsdaten.
DoS greift Verfügbarkeit an.
DDoS ist verteilter DoS.
MitM sitzt zwischen Kommunikationspartnern.
Spoofing täuscht Identität oder Herkunft vor.
SQL Injection betrifft Datenbankabfragen.
XSS betrifft Browser anderer Benutzer.
CSRF missbraucht eine gültige Sitzung.
MFA schützt gegen Passwortmissbrauch.
Least Privilege begrenzt Rechte.
Patchmanagement schließt bekannte Lücken.
Hardening reduziert Angriffsfläche.
IDS meldet.
IPS blockiert.
EDR schützt Endgeräte.
SIEM korreliert Sicherheitsereignisse.
Backup ist Wiederherstellungsvorsorge.
Maßnahme muss zum Risiko passen.
Sicherheitsantwort:
Risiko,
Maßnahme,
Wirkung.
# 20.12 Trainer – Backup, Restore, RPO, RTO und Notfallmaßnahmen
Diese Trainer-Seite wiederholt Backup,
Restore,
RPO,
RTO,
Retention,
Restore-Test,
Ransomware-Schutz
und Notfallmaßnahmen.
Ziel ist,
typische Prüfungsfragen zu Datensicherung,
Wiederherstellung,
Backup-Arten,
Notfallplanung
und Verfügbarkeit sicher zu beantworten.
Merksatz:
Backup ist die Sicherung.
Restore ist die Wiederherstellung.
Ein Backup ist nur so gut wie sein getesteter Restore.
---
**Lernziele**
Nach dieser Seite solltest du sicher können:
- Backup und Restore unterscheiden
- Vollbackup,
inkrementelles Backup
und differenzielles Backup unterscheiden
- RPO und RTO erklären
- Retention erklären
- Restore-Tests begründen
- 3-2-1-Regel erklären
- Offline- und Immutable-Backups einordnen
- Snapshots,
Replikation,
Synchronisation
und Redundanz von Backup unterscheiden
- typische Backup-Fehler erkennen
- Notfallmaßnahmen fachlich beschreiben
---
**Kurzüberblick**
| Begriff | Bedeutung |
|---|---|
| Backup | Sicherung von Daten, Systemen oder Konfigurationen |
| Restore | Wiederherstellung aus einer Sicherung |
| RPO | maximal akzeptabler Datenverlust |
| RTO | maximal akzeptable Wiederherstellungszeit |
| Retention | Aufbewahrungsregel für Backups |
| Restore-Test | Prüfung, ob Wiederherstellung funktioniert |
| Offline-Backup | nicht dauerhaft verbundenes Backup |
| Immutable Backup | unveränderliches Backup |
| Notfallhandbuch | Anleitung für Störungen und Wiederanlauf |
Merksatz:
RPO fragt:
Wie viel Datenverlust ist erlaubt?
RTO fragt:
Wie lange darf die Wiederherstellung dauern?
---
**Aufgabe 1**
Was ist ein Backup?
Antwort anzeigen
Ein Backup ist eine Sicherung von Daten,
Systemen,
Anwendungen
oder Konfigurationen.
Ziel:
Daten oder Systeme nach Fehler,
Ausfall,
Löschung,
Defekt
oder Angriff wiederherstellen können.
Beispiele:
Dateisicherung
Datenbanksicherung
VM-Backup
Systemabbild
Konfigurationsbackup
Merksatz:
Backup = Sicherung zur späteren Wiederherstellung.
---
**Aufgabe 2**
Was ist ein Restore?
Antwort anzeigen
Restore bedeutet:
Wiederherstellung von Daten,
Systemen
oder Konfigurationen aus einem Backup.
Beispiele:
gelöschte Datei wiederherstellen
Datenbank auf früheren Zustand zurücksetzen
Server nach Ausfall wiederherstellen
Konfiguration zurückspielen
Merksatz:
Restore = Wiederherstellung aus Backup.
---
**Aufgabe 3**
Was ist der Unterschied zwischen Backup und Restore?
Antwort anzeigen
Backup:
Daten werden gesichert.
Restore:
gesicherte Daten werden wiederhergestellt.
Merksatz:
Backup ist Vorbereitung.
Restore ist der Ernstfall.
---
**Aufgabe 4**
Warum ist ein Restore-Test wichtig?
Antwort anzeigen
Ein Restore-Test prüft,
ob ein Backup wirklich nutzbar ist.
Ohne Restore-Test weiß man nicht sicher:
ob Daten vollständig sind
ob Dateien lesbar sind
ob Datenbanken konsistent sind
ob Schlüssel vorhanden sind
ob Rechte stimmen
ob die Wiederherstellungszeit ausreicht
Merksatz:
Backup ohne Restore-Test ist unsicher.
---
**Aufgabe 5**
Was ist ein Vollbackup?
Antwort anzeigen
Ein Vollbackup sichert alle ausgewählten Daten vollständig.
Vorteile:
einfache Wiederherstellung
vollständiger Sicherungsstand
weniger Abhängigkeiten
Nachteile:
benötigt viel Speicherplatz
dauert länger
erzeugt mehr Last
Merksatz:
Vollbackup sichert alles,
braucht aber mehr Speicher und Zeit.
---
**Aufgabe 6**
Was ist ein inkrementelles Backup?
Antwort anzeigen
Ein inkrementelles Backup sichert nur Änderungen seit dem letzten Backup.
Das letzte Backup kann sein:
Vollbackup
oder
inkrementelles Backup
Vorteile:
schnell
spart Speicherplatz
Nachteile:
Restore braucht die Backup-Kette
beschädigte Kette kann Wiederherstellung gefährden
Merksatz:
Inkrementell = Änderungen seit letztem Backup.
---
**Aufgabe 7**
Was ist ein differenzielles Backup?
Antwort anzeigen
Ein differenzielles Backup sichert alle Änderungen seit dem letzten Vollbackup.
Vorteile:
Restore einfacher als bei langer inkrementeller Kette
weniger Speicherbedarf als tägliches Vollbackup
Nachteile:
wird bis zum nächsten Vollbackup immer größer
Merksatz:
Differenziell = Änderungen seit letztem Vollbackup.
---
**Aufgabe 8**
Ordne die Backup-Arten zu.
| Backup-Art | Bedeutung |
|---|---|
| Vollbackup | ? |
| inkrementelles Backup | ? |
| differenzielles Backup | ? |
Antwort anzeigen
| Backup-Art | Bedeutung |
|---|---|
| Vollbackup | sichert alle ausgewählten Daten |
| inkrementelles Backup | sichert Änderungen seit letztem Backup |
| differenzielles Backup | sichert Änderungen seit letztem Vollbackup |
Merksatz:
Voll = alles.
Inkrementell = seit letztem Backup.
Differenziell = seit letztem Vollbackup.
---
**Aufgabe 9**
Was ist ein Snapshot?
Antwort anzeigen
Ein Snapshot ist eine Momentaufnahme eines Systems,
Datenträgers,
Dateisystems
oder einer virtuellen Maschine.
Typische Nutzung:
vor Updates
vor Tests
vor Konfigurationsänderungen
Wichtig:
Ein Snapshot ersetzt kein vollständiges Backup.
Merksatz:
Snapshot = Momentaufnahme,
nicht automatisch Backup.
---
**Aufgabe 10**
Warum ersetzt ein Snapshot kein Backup?
Antwort anzeigen
Snapshots liegen oft auf demselben System oder Speicher wie die Produktivdaten.
Risiken:
Speicherdefekt betrifft Snapshot ebenfalls
Ransomware kann Snapshot erreichen
Snapshot kann gelöscht werden
Snapshot-Kette kann beschädigt werden
Speicherplatz kann volllaufen
Merksatz:
Backup muss getrennt,
geschützt
und wiederherstellbar sein.
---
**Aufgabe 11**
Was bedeutet RPO?
Antwort anzeigen
RPO steht für:
Recovery Point Objective
Bedeutung:
maximal akzeptabler Datenverlust.
Beispiel:
RPO 1 Stunde
Bedeutung:
Es dürfen höchstens Daten von einer Stunde verloren gehen.
Merksatz:
RPO = Datenverlust.
---
**Aufgabe 12**
Was bedeutet RTO?
Antwort anzeigen
RTO steht für:
Recovery Time Objective
Bedeutung:
maximal akzeptable Wiederherstellungszeit.
Beispiel:
RTO 4 Stunden
Bedeutung:
Der Dienst soll spätestens nach 4 Stunden wieder laufen.
Merksatz:
RTO = Zeit bis Wiederherstellung.
---
**Aufgabe 13**
Ordne zu.
| Begriff | Frage |
|---|---|
| RPO | ? |
| RTO | ? |
Antwort anzeigen
| Begriff | Frage |
|---|---|
| RPO | Wie viel Datenverlust ist maximal erlaubt? |
| RTO | Wie lange darf die Wiederherstellung maximal dauern? |
Merksatz:
RPO betrifft Daten.
RTO betrifft Zeit.
---
**Aufgabe 14**
Ein Unternehmen sagt:
Es dürfen maximal 2 Stunden Daten verloren gehen.
Welcher Begriff ist gemeint?
Antwort anzeigen
Gemeint ist:
RPO
Begründung:
Es geht um maximal akzeptablen Datenverlust.
Merksatz:
Datenverlust = RPO.
---
**Aufgabe 15**
Ein Unternehmen sagt:
Der Dienst muss spätestens nach 6 Stunden wieder verfügbar sein.
Welcher Begriff ist gemeint?
Antwort anzeigen
Gemeint ist:
RTO
Begründung:
Es geht um die maximal akzeptable Wiederherstellungszeit.
Merksatz:
Wiederherstellungszeit = RTO.
---
**Aufgabe 16**
Warum muss die Backup-Frequenz zum RPO passen?
Antwort anzeigen
Wenn das RPO klein ist,
muss häufiger gesichert werden.
Beispiel:
RPO 24 Stunden:
tägliches Backup kann reichen.
RPO 1 Stunde:
stündliches Backup oder kontinuierliche Sicherung nötig.
Merksatz:
Je kleiner das RPO,
desto häufiger muss gesichert werden.
---
**Aufgabe 17**
Warum muss der Restore-Prozess zum RTO passen?
Antwort anzeigen
Das RTO beschreibt,
wie schnell ein Dienst wiederhergestellt sein muss.
Der Restore-Prozess muss daher schnell genug sein.
Einflussfaktoren:
Backup-Größe
Netzwerkgeschwindigkeit
Speicherleistung
Abhängigkeiten
Personal
Dokumentation
Tests
Merksatz:
RTO wird durch den gesamten Wiederherstellungsprozess bestimmt.
---
**Aufgabe 18**
Was bedeutet Retention?
Antwort anzeigen
Retention bedeutet:
Aufbewahrungsregel für Backups.
Beispiele:
tägliche Backups 14 Tage behalten
wöchentliche Backups 8 Wochen behalten
monatliche Backups 12 Monate behalten
Merksatz:
Retention regelt,
wie lange Backups behalten werden.
---
**Aufgabe 19**
Was ist die 3-2-1-Regel?
Antwort anzeigen
Die 3-2-1-Regel lautet:
3 Kopien der Daten
2 unterschiedliche Speicherarten
1 Kopie extern oder getrennt
Beispiel:
Produktivdaten
Backup auf NAS
zusätzliches externes oder Cloud-Backup
Merksatz:
3-2-1 reduziert das Risiko,
dass alle Kopien gleichzeitig verloren gehen.
---
**Aufgabe 20**
Was bedeutet die 3-2-1-1-0-Regel?
Antwort anzeigen
Die 3-2-1-1-0-Regel ist eine erweiterte Backup-Regel.
Sie bedeutet:
3 Kopien
2 unterschiedliche Medien
1 Kopie extern
1 Kopie offline oder immutable
0 Fehler bei Restore-Tests
Merksatz:
Die 0 steht für fehlerfrei getestete Wiederherstellung.
---
**Aufgabe 21**
Was ist ein Offline-Backup?
Antwort anzeigen
Ein Offline-Backup ist nicht dauerhaft mit dem Produktivsystem verbunden.
Beispiele:
getrennte Festplatte
Band
ausgelagertes Medium
abgeschottetes Backup-System
Vorteil:
besserer Schutz gegen Ransomware
und versehentliche Löschung.
Merksatz:
Offline-Backup ist nicht dauerhaft erreichbar.
---
**Aufgabe 22**
Was ist ein Immutable Backup?
Antwort anzeigen
Immutable bedeutet:
unveränderlich.
Ein Immutable Backup kann für eine festgelegte Zeit nicht verändert oder gelöscht werden.
Schützt gegen:
Ransomware
Manipulation
versehentliche Löschung
kompromittierte Adminzugänge
Merksatz:
Immutable Backup schützt die Wiederherstellungsmöglichkeit.
---
**Aufgabe 23**
Warum sind Offline- oder Immutable-Backups bei Ransomware wichtig?
Antwort anzeigen
Ransomware versucht häufig,
auch Backups zu löschen oder zu verschlüsseln.
Offline-Backups sind nicht dauerhaft verbunden.
Immutable Backups können für eine festgelegte Zeit nicht verändert oder gelöscht werden.
Dadurch bleibt eine Wiederherstellung möglich.
Merksatz:
Backups müssen auch vor Angreifern geschützt werden.
---
**Aufgabe 24**
Was ist Backup-Verschlüsselung?
Antwort anzeigen
Backup-Verschlüsselung schützt Sicherungsdaten vor unberechtigtem Lesen.
Wichtig:
Schlüssel sicher aufbewahren
Zugriff begrenzen
Wiederherstellung mit Schlüssel testen
Schlüsselverlust vermeiden
Merksatz:
Verschlüsseltes Backup ist nur nutzbar,
wenn der Schlüssel verfügbar ist.
---
**Aufgabe 25**
Warum brauchen Backups besondere Zugriffsrechte?
Antwort anzeigen
Backups enthalten oft besonders viele oder besonders sensible Daten.
Risiken bei zu breiten Rechten:
Datenabfluss
Manipulation
Löschung
Ransomware kann Backups verschlüsseln
Maßnahmen:
getrennte Adminrechte
MFA
keine normalen Benutzerrechte auf Backup-Speicher
Löschrechte begrenzen
Zugriffe protokollieren
Merksatz:
Backups brauchen starken Zugriffsschutz.
---
**Aufgabe 26**
Was ist Backup-Monitoring?
Antwort anzeigen
Backup-Monitoring prüft,
ob Sicherungen erfolgreich laufen.
Zu überwachen:
letzter erfolgreicher Backup-Lauf
Fehlermeldungen
Datenmenge
Laufzeit
Speicherplatz
Retention
ungewöhnliche Löschungen
Restore-Test
Merksatz:
Fehlgeschlagene Backups müssen auffallen,
bevor ein Restore nötig ist.
---
**Aufgabe 27**
Was ist ein Datenbank-Backup?
Antwort anzeigen
Ein Datenbank-Backup sichert eine Datenbank so,
dass sie konsistent wiederhergestellt werden kann.
Wichtig:
laufende Transaktionen
Schreibzugriffe
Transaktionslogs
Konsistenz
Wiederherstellungszeitpunkt
Merksatz:
Datenbanken nicht einfach blind als Datei kopieren.
---
**Aufgabe 28**
Was bedeutet Point-in-Time-Recovery?
Antwort anzeigen
Point-in-Time-Recovery bedeutet:
Wiederherstellung auf einen bestimmten Zeitpunkt.
Beispiel:
Datenbank auf Zustand von 10:15 Uhr zurücksetzen.
Nützlich bei:
versehentlichem Löschen
fehlerhaftem Import
falscher Änderung
beschädigten Daten
Merksatz:
Point-in-Time-Recovery stellt gezielt einen früheren Zeitpunkt wieder her.
---
**Aufgabe 29**
Was ist Replikation?
Antwort anzeigen
Replikation bedeutet:
Daten werden auf ein anderes System kopiert,
oft nahezu aktuell.
Vorteil:
schnelle Umschaltung
aktuelle Kopie
höhere Verfügbarkeit
Risiko:
Fehler,
Löschung
oder Ransomware können mitrepliziert werden.
Merksatz:
Replikation ist kein Backup.
---
**Aufgabe 30**
Was ist Synchronisation?
Antwort anzeigen
Synchronisation bedeutet:
Daten werden zwischen Speicherorten abgeglichen.
Problem:
Löschungen,
Fehländerungen,
beschädigte Dateien
oder Ransomware-Verschlüsselung können mitsynchronisiert werden.
Merksatz:
Synchronisation hält Daten gleich,
stellt aber nicht automatisch alte Stände wieder her.
---
**Aufgabe 31**
Was ist Redundanz?
Antwort anzeigen
Redundanz bedeutet:
wichtige Komponenten sind mehrfach vorhanden.
Beispiele:
RAID
zwei Netzteile
mehrere Server
zweite Firewall
mehrere Internetleitungen
Ziel:
Ausfall vermeiden oder abfedern.
Wichtig:
Redundanz ersetzt kein Backup.
Merksatz:
Redundanz erhöht Verfügbarkeit,
stellt aber keine alten Datenstände wieder her.
---
**Aufgabe 32**
Ordne zu.
| Begriff | Ersetzt Backup? |
|---|---|
| Snapshot | ? |
| Replikation | ? |
| Synchronisation | ? |
| Redundanz | ? |
Antwort anzeigen
| Begriff | Ersetzt Backup? |
|---|---|
| Snapshot | nein |
| Replikation | nein |
| Synchronisation | nein |
| Redundanz | nein |
Begründung:
Diese Verfahren können nützlich sein,
ersetzen aber kein vollständiges Backup-Konzept mit Restore-Möglichkeit.
Merksatz:
Nicht alles,
was Daten kopiert oder verfügbar hält,
ist ein Backup.
---
**Aufgabe 33**
Was ist ein Notfallhandbuch?
Antwort anzeigen
Ein Notfallhandbuch beschreibt,
was bei schweren Störungen zu tun ist.
Inhalte:
Ansprechpartner
Prioritäten
Systeme
Wiederherstellungsreihenfolge
Backup-Orte
Restore-Anleitungen
Kommunikationswege
Eskalationswege
Merksatz:
Im Notfall darf nicht erst gesucht werden,
wer was weiß.
---
**Aufgabe 34**
Warum ist die Restore-Reihenfolge wichtig?
Antwort anzeigen
Systeme hängen oft voneinander ab.
Beispielhafte Reihenfolge:
Netzwerk
Verzeichnisdienst
Speicher
Datenbank
Anwendung
Benutzerzugriff
Wenn Abhängigkeiten fehlen,
starten Dienste eventuell nicht korrekt.
Merksatz:
Restore braucht Reihenfolge,
weil Systeme voneinander abhängen.
---
**Aufgabe 35**
Was ist Disaster Recovery?
Antwort anzeigen
Disaster Recovery beschreibt:
Wiederherstellung der IT nach schweren Störungen.
Beispiele:
Ransomware
Brand
Rechenzentrumsausfall
massiver Datenverlust
Hardwaredefekt
Cloud-Ausfall
Merksatz:
Disaster Recovery = IT-Wiederherstellung nach schwerem Vorfall.
---
**Aufgabe 36**
Was ist Business Continuity?
Antwort anzeigen
Business Continuity bedeutet:
Geschäftsprozesse sollen trotz Störung weiterlaufen
oder schnell wieder anlaufen.
Dazu gehören:
Notfallplanung
Ersatzprozesse
Kommunikation
Verantwortlichkeiten
Wiederanlauf
Tests
Merksatz:
Business Continuity betrachtet den Betrieb insgesamt.
---
**Aufgabe 37**
Was ist Failover?
Antwort anzeigen
Failover bedeutet:
Ein Dienst wird bei Ausfall auf ein Ersatzsystem umgeschaltet.
Möglich:
automatisch
oder
manuell
Beispiele:
zweite Firewall übernimmt
Datenbank-Replikat wird aktiv
anderer Server übernimmt Dienst
Wichtig:
Failover ersetzt kein Backup.
Merksatz:
Failover reduziert Ausfallzeit,
ist aber kein Backup.
---
**Aufgabe 38**
Welche Antwort ist besser?
Aufgabe:
Warum reicht es nicht,
nur Backups zu erstellen?
Antwort A:
Weil man mehr machen muss.
Antwort B:
Backups müssen regelmäßig überwacht und durch Restore-Tests geprüft werden.
Nur so ist sichergestellt,
dass Daten vollständig,
lesbar
und innerhalb der geforderten Zeit wiederherstellbar sind.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort nennt konkrete Anforderungen:
Monitoring,
Restore-Test,
Vollständigkeit
und Wiederherstellungszeit.
Merksatz:
Backup braucht Prüfung.
---
**Aufgabe 39**
Welche Antwort ist besser?
Aufgabe:
Warum ist Replikation kein Backup?
Antwort A:
Weil es anders heißt.
Antwort B:
Replikation erstellt eine aktuelle Kopie.
Fehler,
Löschungen
oder Ransomware-Verschlüsselungen können jedoch mitrepliziert werden.
Ein Backup muss auch ältere Zustände wiederherstellen können.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort erklärt den fachlichen Unterschied zwischen aktueller Kopie
und wiederherstellbaren alten Ständen.
Merksatz:
Replikation ist Verfügbarkeit,
Backup ist Wiederherstellung.
---
**Aufgabe 40**
Welche Antwort ist besser?
Aufgabe:
Was bedeutet RPO 1 Stunde?
Antwort A:
Das Backup dauert eine Stunde.
Antwort B:
RPO 1 Stunde bedeutet,
dass maximal Daten aus einer Stunde verloren gehen dürfen.
Die Backup-Frequenz oder Sicherungsmethode muss dazu passen.
Antwort anzeigen
B ist besser.
Begründung:
RPO beschreibt Datenverlust,
nicht die Dauer des Backups.
Merksatz:
RPO nicht mit Backup-Dauer verwechseln.
---
**Mini-Prüfung: schnelle Zuordnung**
| Frage | Antwort |
|---|---|
| Was ist Backup? | Sicherung |
| Was ist Restore? | Wiederherstellung |
| Was bedeutet RPO? | maximal akzeptabler Datenverlust |
| Was bedeutet RTO? | maximal akzeptable Wiederherstellungszeit |
| Was bedeutet Retention? | Aufbewahrungsregel |
| Was ist Vollbackup? | sichert alle ausgewählten Daten |
| Was ist inkrementell? | Änderungen seit letztem Backup |
| Was ist differenziell? | Änderungen seit letztem Vollbackup |
| Was ist Snapshot? | Momentaufnahme |
| Was ist Offline-Backup? | nicht dauerhaft verbunden |
| Was ist Immutable Backup? | unveränderliches Backup |
| Was ist Restore-Test? | Prüfung der Wiederherstellung |
---
**Mini-Prüfung: Fehlerbild erkennen**
| Fehlerbild | Wahrscheinlichstes Thema |
|---|---|
| Backup vorhanden, Restore geht nicht | Restore-Test fehlt oder Backup defekt |
| zu viel Datenverlust | RPO nicht eingehalten |
| Wiederherstellung dauert zu lange | RTO nicht eingehalten |
| Datenbank nach Restore beschädigt | kein konsistentes Backup |
| Backupziel voll | Retention oder Speicherplatz |
| Ransomware verschlüsselt Backups mit | Backup online und beschreibbar |
| verschlüsseltes Backup nicht nutzbar | Schlüssel fehlt |
| alte Datei fehlt | Retention zu kurz |
| Replikat enthält auch gelöschte Daten | Replikation ist kein Backup |
| Dienst startet nach Restore nicht | Abhängigkeiten oder Reihenfolge vergessen |
---
**IHK-sichere Kurzformulierung**
Ein Backup ist eine Sicherung von Daten, Systemen oder Konfigurationen. Restore bezeichnet die Wiederherstellung aus dieser Sicherung. Ein Backup ist nur zuverlässig, wenn die Wiederherstellung regelmäßig getestet wird. Vollbackups sichern alle ausgewählten Daten, inkrementelle Backups sichern Änderungen seit dem letzten Backup und differenzielle Backups sichern Änderungen seit dem letzten Vollbackup. RPO beschreibt den maximal akzeptablen Datenverlust, RTO die maximal akzeptable Wiederherstellungszeit. Retention legt fest, wie lange Backups aufbewahrt werden. Snapshots, Replikation, Synchronisation, Redundanz und Failover ersetzen kein vollständiges Backup-Konzept. Gegen Ransomware helfen besonders Offline- oder Immutable-Backups und regelmäßige Restore-Tests.
---
**Merksätze**
Backup = Sicherung.
Restore = Wiederherstellung.
Backup ohne Restore-Test ist unsicher.
Vollbackup sichert alles.
Inkrementell sichert seit letztem Backup.
Differenziell sichert seit letztem Vollbackup.
Snapshot ist Momentaufnahme.
Snapshot ersetzt kein Backup.
Datenbanken brauchen konsistente Backups.
Point-in-Time-Recovery stellt einen Zeitpunkt wieder her.
RPO = Datenverlust.
RTO = Wiederherstellungszeit.
Retention = Aufbewahrungsregel.
Backup-Frequenz muss zum RPO passen.
Restore-Prozess muss zum RTO passen.
3-2-1 reduziert Gesamtrisiko.
3-2-1-1-0 ergänzt Offline oder Immutable und fehlerfreie Restore-Tests.
Offline-Backup ist nicht dauerhaft verbunden.
Immutable Backup ist unveränderlich.
Verschlüsseltes Backup braucht Schlüssel.
Backups brauchen starke Rechtebegrenzung.
Backup-Monitoring ist Pflicht.
Backup-Logs regelmäßig prüfen.
Redundanz ist kein Backup.
Replikation ist kein Backup.
Synchronisation ist kein Backup.
Failover ist kein Backup.
Notfallhandbuch hilft im Ernstfall.
Restore braucht Reihenfolge.
Business Continuity betrachtet Geschäftsprozesse.
Disaster Recovery betrachtet IT-Wiederherstellung.
Im Notfall zählt nicht,
ob ein Backup irgendwo existiert,
sondern ob es korrekt und rechtzeitig wiederhergestellt werden kann.
# 20.13 Trainer – Gemischte Fehlersuche nach dem OSI-Modell
Diese Trainer-Seite wiederholt die systematische Fehlersuche nach dem OSI-Modell.
Ziel ist,
Fehlerbilder nicht wild zu raten,
sondern sauber einzuordnen:
- Welche Schicht ist betroffen?
- Was funktioniert noch?
- Was funktioniert nicht?
- Welche Prüfung passt als nächstes?
- Welche Ursache ist am wahrscheinlichsten?
Merksatz:
Gute Fehlersuche beginnt nicht mit Vermutung,
sondern mit Eingrenzung.
---
**Lernziele**
Nach dieser Seite solltest du sicher können:
- Fehler systematisch nach OSI-Schichten eingrenzen
- typische Fehlerbilder erkennen
- passende Prüfwerkzeuge auswählen
- IP,
DNS,
Gateway,
Firewall,
Port,
Dienst
und Rechte unterscheiden
- aus Symptomen wahrscheinliche Ursachen ableiten
- prüfungssichere Antworten formulieren
---
**Grundprinzip der Fehlersuche**
Bei Netzwerkproblemen immer fragen:
1. Gibt es eine physische Verbindung?
2. Ist die lokale Verbindung korrekt?
3. Stimmt die IP-Konfiguration?
4. Ist das Zielnetz erreichbar?
5. Ist der Port oder Dienst erreichbar?
6. Funktioniert die Anwendung?
7. Gibt es Berechtigungs- oder Authentifizierungsprobleme?
Merksatz:
Erst Verbindung prüfen,
dann Adresse,
dann Dienst,
dann Anwendung.
---
**OSI-Fehlersuche im Überblick**
| Schicht | Thema | Typische Prüfung |
|---|---|---|
| 1 | Kabel, Signal, Link | Link-LED, Kabel, Port |
| 2 | MAC, VLAN, Switch | VLAN, MAC-Tabelle, ARP |
| 3 | IP, Gateway, Routing | IP-Konfiguration, ping, traceroute |
| 4 | TCP, UDP, Ports | Porttest, Dienst lauscht? |
| 5 | Sitzung | Session, Timeout, Cookie |
| 6 | TLS, Zertifikat | Zertifikat, Verschlüsselung |
| 7 | Anwendung | DNS, HTTP, Dienst, Logs |
Merksatz:
Jede Schicht hat eigene Fehlerbilder.
---
**Aufgabe 1**
Ein Client hat keine Link-LED am Netzwerkanschluss.
Welche Schicht ist zuerst betroffen?
Antwort anzeigen
Zuerst betroffen ist:
OSI-Schicht 1
Begründung:
Keine Link-LED deutet auf ein physisches Problem hin.
Prüfen:
Kabel
Stecker
Netzwerkdose
Switchport
Netzwerkkarte
Gegenstelle
Merksatz:
Kein Link:
Schicht 1 prüfen.
---
**Aufgabe 2**
Ein Client hat die IP-Adresse:
169.254.23.10
Was ist wahrscheinlich?
Antwort anzeigen
Wahrscheinlich:
DHCP-Problem
Begründung:
169.254.x.x ist eine APIPA-Adresse.
Der Client hat wahrscheinlich keine gültige IP-Adresse vom DHCP-Server erhalten.
Prüfen:
DHCP-Server
VLAN
DHCP-Scope
DHCP-Relay
Netzwerkverbindung
Merksatz:
169.254.x.x:
DHCP nicht erreicht.
---
**Aufgabe 3**
Ein Client kann Geräte im gleichen Netz erreichen,
aber keine externen Netze.
Was ist wahrscheinlich?
Antwort anzeigen
Wahrscheinlich:
Gateway,
Routing,
NAT
oder Firewall
Erste Prüfung:
Standardgateway
Begründung:
Lokale Kommunikation funktioniert.
Der Fehler liegt wahrscheinlich beim Weg in andere Netze.
Merksatz:
Lokal ja,
extern nein:
Gateway prüfen.
---
**Aufgabe 4**
Ein Client erreicht eine Webseite per IP-Adresse,
aber nicht per Namen.
Was ist wahrscheinlich?
Antwort anzeigen
Wahrscheinlich:
DNS-Problem
Begründung:
Die IP-Kommunikation funktioniert.
Nur die Namensauflösung funktioniert nicht.
Prüfen:
DNS-Server
DNS-Eintrag
DNS-Cache
DNS-Suffix
Split-DNS
Merksatz:
IP ja,
Name nein:
DNS.
---
**Aufgabe 5**
Ein Server ist per ping erreichbar,
aber SSH funktioniert nicht.
Was ist wahrscheinlich?
Antwort anzeigen
Ping prüft ICMP.
SSH nutzt TCP 22.
Mögliche Ursachen:
TCP 22 blockiert
SSH-Dienst läuft nicht
SSH lauscht auf anderem Port
lokale Firewall blockiert
Netzwerkfirewall blockiert
Benutzer oder Schlüssel falsch
Merksatz:
ping geht,
Dienst nicht:
Port,
Dienst
und Firewall prüfen.
---
**Aufgabe 6**
Ein Webserver ist per ping erreichbar,
aber HTTPS funktioniert nicht.
Was sollte geprüft werden?
Antwort anzeigen
Prüfen:
TCP 443 erreichbar?
Webserver läuft?
Dienst lauscht auf Port 443?
Firewall erlaubt TCP 443?
Reverse Proxy korrekt?
TLS-Zertifikat korrekt?
Anwendung läuft?
Merksatz:
ping ist kein HTTPS-Test.
---
**Aufgabe 7**
Ein Browser zeigt HTTP 404.
Was bedeutet das?
Antwort anzeigen
HTTP 404 bedeutet:
nicht gefunden
Die angeforderte Ressource existiert unter dieser Adresse nicht
oder ist dort nicht erreichbar.
Prüfen:
URL
Pfad
Routing der Webanwendung
Webserver-Konfiguration
Reverse Proxy
Merksatz:
404 = Ressource nicht gefunden.
---
**Aufgabe 8**
Ein Browser zeigt HTTP 500.
Was bedeutet das?
Antwort anzeigen
HTTP 500 bedeutet:
interner Serverfehler
Das Problem liegt eher auf Serverseite.
Prüfen:
Anwendungslogs
Webserverlogs
Backend
Datenbank
Konfiguration
Berechtigungen
Merksatz:
500 = Server,
Anwendung
oder Backend prüfen.
---
**Aufgabe 9**
Ein Browser zeigt HTTP 502.
Was bedeutet das häufig?
Antwort anzeigen
HTTP 502 bedeutet:
Bad Gateway
Typisch bei:
Reverse Proxy
Load Balancer
Gateway
Mögliche Ursachen:
Backend nicht erreichbar
Backend-Port falsch
Backend-Dienst läuft nicht
DNS intern falsch
Proxy-Konfiguration falsch
Merksatz:
502:
Proxy oder Gateway erreicht Backend nicht korrekt.
---
**Aufgabe 10**
Ein Benutzer kann sich anmelden,
aber nicht auf eine Datei zugreifen.
Was ist wahrscheinlich?
Antwort anzeigen
Wahrscheinlich:
Autorisierungs- oder Berechtigungsproblem
Begründung:
Die Anmeldung funktioniert.
Der Zugriff auf die Ressource ist aber nicht erlaubt.
Prüfen:
Gruppenmitgliedschaft
ACLs
Freigaberechte
Dateisystemrechte
Rollen
Merksatz:
Login ja,
Zugriff nein:
Rechte prüfen.
---
**Aufgabe 11**
Ein Benutzer kann sich gar nicht anmelden.
Was ist wahrscheinlich?
Antwort anzeigen
Wahrscheinlich:
Authentifizierungsproblem
Mögliche Ursachen:
falsches Passwort
Konto gesperrt
MFA-Problem
Verzeichnisdienst nicht erreichbar
Zertifikat abgelaufen
Zeitproblem
Merksatz:
Anmeldung scheitert:
Authentifizierung prüfen.
---
**Aufgabe 12**
Ein Client bekommt eine IP-Adresse aus dem falschen Netz.
Was ist wahrscheinlich?
Antwort anzeigen
Wahrscheinlich:
falsches VLAN
Begründung:
Wenn ein Client im falschen VLAN landet,
erhält er eventuell eine Adresse aus dem falschen DHCP-Scope.
Prüfen:
Access-VLAN am Switchport
Trunk-Konfiguration
DHCP-Scope
Dokumentation
Merksatz:
Falsches Netz:
VLAN prüfen.
---
**Aufgabe 13**
Mehrere VLANs funktionieren über eine Switch-Verbindung nicht.
Was sollte geprüft werden?
Antwort anzeigen
Prüfen:
Trunk-Port aktiv?
VLANs erlaubt?
VLANs auf beiden Switches vorhanden?
802.1Q-Tagging korrekt?
Native VLAN passend?
Gegenstelle korrekt konfiguriert?
Merksatz:
Mehrere VLANs betroffen:
Trunk prüfen.
---
**Aufgabe 14**
Ein einzelner Client kann keine Verbindung herstellen,
andere Clients im gleichen Raum funktionieren.
Was ist wahrscheinlich?
Antwort anzeigen
Mögliche Ursachen:
Patchkabel defekt
Netzwerkdose defekt
Switchport deaktiviert
falsches Access-VLAN
Netzwerkkarte deaktiviert
Port Security blockiert
Client-Konfiguration falsch
Merksatz:
Nur ein Gerät betroffen:
lokal am Gerät,
Kabel
oder Port suchen.
---
**Aufgabe 15**
Alle Clients in einem VLAN haben kein Internet.
Was ist wahrscheinlicher als ein einzelnes defektes Patchkabel?
Antwort anzeigen
Wahrscheinlicher sind zentrale Ursachen:
Gateway des VLANs
Firewall-Regel
Routing
NAT
DHCP-Konfiguration
VLAN-Trunk
DNS,
falls nur Namen betroffen sind
Merksatz:
Viele Geräte betroffen:
zentrale Komponente prüfen.
---
**Aufgabe 16**
Ein Client kann externe IP-Adressen erreichen,
aber keine Webseiten per Domain.
Was ist wahrscheinlich?
Antwort anzeigen
Wahrscheinlich:
DNS-Problem
Begründung:
Der Weg ins Internet funktioniert.
Nur die Namensauflösung funktioniert nicht.
Prüfen:
DNS-Server
DNS-Erreichbarkeit
DNS-Einträge
DNS-Cache
Merksatz:
Externe IP ja,
Domain nein:
DNS.
---
**Aufgabe 17**
Ein Dienst funktioniert intern,
aber nicht von außen über das Internet.
Was sollte geprüft werden?
Antwort anzeigen
Prüfen:
öffentliche IP
DNS
Portweiterleitung
Router-Firewall
lokale Firewall
Dienststatus
Dienstport
doppeltes NAT
CGNAT
Provider-Portblockade
Merksatz:
Intern ja,
extern nein:
NAT,
Firewall,
DNS
und öffentliche IP prüfen.
---
**Aufgabe 18**
Ein Dienst funktioniert von außen,
aber intern nicht über die öffentliche Domain.
Was ist wahrscheinlich?
Antwort anzeigen
Mögliche Ursachen:
Hairpin NAT fehlt
Split-DNS fehlt
interne DNS-Auflösung falsch
Firewall-Regel für internen Zugriff fehlt
Merksatz:
Externe Domain intern:
Hairpin NAT oder Split-DNS prüfen.
---
**Aufgabe 19**
VPN ist verbunden,
aber interne Namen funktionieren nicht.
Was ist wahrscheinlich?
Antwort anzeigen
Wahrscheinlich:
VPN-DNS-Problem
Prüfen:
interner DNS-Server gesetzt?
DNS-Server über VPN erreichbar?
DNS-Suffix vorhanden?
Split-DNS korrekt?
DNS-Cache veraltet?
Merksatz:
VPN-IP ja,
VPN-Name nein:
VPN-DNS prüfen.
---
**Aufgabe 20**
VPN ist verbunden,
aber interne IP-Ziele sind nicht erreichbar.
Was ist wahrscheinlich?
Antwort anzeigen
Mögliche Ursachen:
VPN-Route fehlt
Zielnetz nicht erlaubt
Firewall blockiert
Rückroute fehlt
IP-Adresskonflikt
Berechtigung fehlt
Merksatz:
VPN verbunden heißt nicht automatisch:
Routen und Regeln stimmen.
---
**Aufgabe 21**
Ein Heimnetz und Firmennetz nutzen beide 192.168.1.0/24.
Warum ist das bei VPN problematisch?
Antwort anzeigen
Problem:
Der Client kann nicht eindeutig entscheiden,
ob 192.168.1.x lokal
oder über VPN erreichbar sein soll.
Folge:
Routingprobleme
interne Dienste nicht erreichbar
Merksatz:
Gleiche Netze lokal und remote verursachen VPN-Probleme.
---
**Aufgabe 22**
Ein Zertifikat ist abgelaufen.
Welches typische Fehlerbild entsteht?
Antwort anzeigen
Typisches Fehlerbild:
Browser oder Client zeigt Zertifikatswarnung.
Mögliche Folgen:
HTTPS-Verbindung wird blockiert
Benutzer erhält Sicherheitswarnung
API-Clients lehnen Verbindung ab
Prüfen:
Ablaufdatum
Hostname
Zertifikatskette
Systemzeit
Merksatz:
Zertifikatswarnung:
Ablauf,
Name,
Kette
und Zeit prüfen.
---
**Aufgabe 23**
Ein HTTPS-Zertifikat passt nicht zum Hostnamen.
Was ist die Ursache?
Antwort anzeigen
Ursache:
Der aufgerufene Name steht nicht passend im Zertifikat.
Prüfen:
Common Name
Subject Alternative Name
verwendete Domain
Reverse Proxy
falsches Zertifikat
Merksatz:
Zertifikat muss zum aufgerufenen Namen passen.
---
**Aufgabe 24**
Ein Dienst startet nach einem Restore nicht.
Was sollte geprüft werden?
Antwort anzeigen
Prüfen:
Abhängigkeiten
Datenbank erreichbar?
Rechte korrekt?
Konfiguration vorhanden?
Zertifikate vorhanden?
DNS korrekt?
Ports frei?
Logs auswerten
Restore-Reihenfolge eingehalten?
Merksatz:
Restore braucht Abhängigkeiten und Reihenfolge.
---
**Aufgabe 25**
Nach einem Update funktioniert ein Dienst nicht mehr.
Was sollte geprüft werden?
Antwort anzeigen
Prüfen:
Änderungsprotokoll
Konfigurationsänderungen
Dienststatus
Logs
Ports
Abhängigkeiten
Berechtigungen
Kompatibilität
Rollback-Möglichkeit
Merksatz:
Nach Änderung:
Change,
Logs
und Rollback prüfen.
---
**Aufgabe 26**
Ein Backup ist vorhanden,
aber die Wiederherstellung schlägt fehl.
Was wurde wahrscheinlich versäumt?
Antwort anzeigen
Wahrscheinlich:
Restore-Test
Weitere mögliche Ursachen:
Backup beschädigt
Schlüssel fehlt
Rechte fehlen
Datenbank nicht konsistent gesichert
Backup-Kette unvollständig
Dokumentation fehlt
Merksatz:
Backup ohne Restore-Test ist unsicher.
---
**Aufgabe 27**
Ein Server ist sehr langsam,
aber nicht komplett ausgefallen.
Was sollte geprüft werden?
Antwort anzeigen
Prüfen:
CPU-Auslastung
RAM
Festplatten-I/O
Speicherplatz
Netzwerkfehler
Paketverluste
Latenz
Logs
laufende Prozesse
Datenbanklast
Merksatz:
Langsamkeit braucht Messwerte,
nicht nur Vermutung.
---
**Aufgabe 28**
Ein Dienst ist nicht erreichbar.
Der Port lauscht aber lokal auf 127.0.0.1.
Warum kann das ein Problem sein?
Antwort anzeigen
127.0.0.1 ist localhost.
Wenn ein Dienst nur auf 127.0.0.1 lauscht,
ist er nur lokal auf dem Server erreichbar,
nicht von anderen Systemen.
Prüfen:
Bind-Adresse
Dienstkonfiguration
Firewall
Merksatz:
127.0.0.1 heißt:
nur lokal erreichbar.
---
**Aufgabe 29**
Ein Dienst lauscht auf 0.0.0.0.
Was bedeutet das?
Antwort anzeigen
0.0.0.0 bedeutet bei einem lauschenden Dienst:
Der Dienst lauscht auf allen IPv4-Schnittstellen des Systems.
Wichtig:
Ob er wirklich erreichbar ist,
hängt zusätzlich von Firewall,
Routing
und Netzwerk ab.
Merksatz:
0.0.0.0 heißt:
alle IPv4-Interfaces.
---
**Aufgabe 30**
Ein Porttest schlägt fehl,
obwohl der Dienst läuft.
Was kann die Ursache sein?
Antwort anzeigen
Mögliche Ursachen:
Dienst lauscht nur auf localhost
lokale Firewall blockiert
Netzwerkfirewall blockiert
falscher Port
falsches Protokoll TCP/UDP
NAT-Regel fehlt
Routingproblem
Ziel-IP falsch
Merksatz:
Dienst läuft heißt nicht automatisch:
Dienst ist von außen erreichbar.
---
**Aufgabe 31**
Ein DNS-Eintrag wurde geändert,
aber Clients nutzen noch die alte IP.
Was ist wahrscheinlich?
Antwort anzeigen
Wahrscheinlich:
DNS-Cache oder TTL
Prüfen:
Client-DNS-Cache
DNS-Server-Cache
TTL des Eintrags
welcher DNS-Server gefragt wird
Merksatz:
DNS-Änderungen wirken nicht immer sofort.
---
**Aufgabe 32**
Ein Client erhält keine IP-Adresse,
aber nur in einem bestimmten VLAN.
Was sollte geprüft werden?
Antwort anzeigen
Prüfen:
DHCP-Scope für dieses VLAN
DHCP-Relay
Gateway im VLAN
VLAN-Trunk
Firewall-Regeln
DHCP-Server erreichbar?
Merksatz:
DHCP pro VLAN braucht passenden Scope und Weg zum Server.
---
**Aufgabe 33**
Ein Client kann den DNS-Server nicht erreichen.
Welche Folgen kann das haben?
Antwort anzeigen
Folgen:
Namen werden nicht aufgelöst
Webseiten per Domain funktionieren nicht
interne Dienste per Name funktionieren nicht
Anmeldung oder Dienste können verzögert sein
Anwendungen finden Backend-Systeme nicht
Merksatz:
Ohne DNS funktionieren viele Dienste scheinbar nicht,
obwohl IP-Kommunikation möglich sein kann.
---
**Aufgabe 34**
Ein Benutzer meldet:
„Das Internet geht nicht.“
Welche Rückfragen oder Prüfungen sind sinnvoll?
Antwort anzeigen
Sinnvoll prüfen:
Betrifft es nur eine Webseite oder alle?
Geht Zugriff per IP?
Geht DNS-Auflösung?
IP-Adresse korrekt?
Gateway erreichbar?
andere Clients betroffen?
WLAN oder Kabel?
Proxy oder VPN aktiv?
Firewall oder Filter?
Merksatz:
„Internet geht nicht“ erst in konkrete Symptome zerlegen.
---
**Aufgabe 35**
Ein Benutzer meldet:
„Der Server ist nicht erreichbar.“
Welche Eingrenzung ist sinnvoll?
Antwort anzeigen
Sinnvoll prüfen:
Welcher Server?
per Name oder IP?
ping erreichbar?
Port erreichbar?
Dienst läuft?
nur ein Benutzer betroffen?
Rechteproblem?
DNS korrekt?
Firewall-Regel geändert?
Logs vorhanden?
Merksatz:
Server nicht erreichbar kann DNS,
Routing,
Port,
Dienst
oder Rechte bedeuten.
---
**Aufgabe 36**
Ordne Fehlerbilder den Themen zu.
| Fehlerbild | Thema |
|---|---|
| keine Link-LED | ? |
| 169.254.x.x | ? |
| IP geht, Name nicht | ? |
| ping geht, HTTPS nicht | ? |
| HTTP 500 | ? |
| Login geht, Zugriff nicht | ? |
Antwort anzeigen
| Fehlerbild | Thema |
|---|---|
| keine Link-LED | Schicht 1 / physische Verbindung |
| 169.254.x.x | DHCP |
| IP geht, Name nicht | DNS |
| ping geht, HTTPS nicht | TCP 443, Webdienst, Firewall, TLS |
| HTTP 500 | Server, Anwendung, Backend |
| Login geht, Zugriff nicht | Autorisierung / Rechte |
Merksatz:
Fehlerbild zuerst genau einordnen.
---
**Aufgabe 37**
Welche Antwort ist besser?
Aufgabe:
Ein Client erreicht externe IP-Adressen,
aber keine Domains.
Nennen Sie eine wahrscheinliche Ursache.
Antwort A:
Internet ist kaputt.
Antwort B:
Wahrscheinlich liegt ein DNS-Problem vor,
da externe IP-Adressen erreichbar sind,
aber Namen nicht aufgelöst werden.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort leitet die Ursache aus dem Fehlerbild ab
und nennt DNS als konkrete Prüfung.
Merksatz:
Ursache aus Symptom ableiten.
---
**Aufgabe 38**
Welche Antwort ist besser?
Aufgabe:
Ein Dienst ist per ping erreichbar,
aber der Port 443 ist nicht erreichbar.
Was prüfen Sie?
Antwort A:
Den Monitor.
Antwort B:
Ich prüfe,
ob der Webdienst läuft,
ob er auf TCP 443 lauscht,
ob lokale oder zentrale Firewalls TCP 443 blockieren
und ob NAT oder Portweiterleitung korrekt eingerichtet sind.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort trennt Host-Erreichbarkeit von Dienst-Erreichbarkeit
und nennt konkrete Prüfungen.
Merksatz:
ping ist kein Porttest.
---
**Aufgabe 39**
Welche Antwort ist besser?
Aufgabe:
Nach einem Update funktioniert ein Dienst nicht mehr.
Was tun Sie?
Antwort A:
Alles neu installieren.
Antwort B:
Ich prüfe Dienststatus,
Logs,
geänderte Konfigurationen,
Abhängigkeiten,
Ports
und Berechtigungen.
Falls nötig,
nutze ich den vorbereiteten Rollback-Plan.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort ist systematisch
und berücksichtigt Change Management.
Merksatz:
Nach Änderung:
gezielt prüfen,
nicht blind neu installieren.
---
**Aufgabe 40**
Welche Antwort ist besser?
Aufgabe:
Warum ist systematische Fehlersuche besser als Raten?
Antwort A:
Weil das professioneller klingt.
Antwort B:
Systematische Fehlersuche grenzt den Fehler anhand von Schichten,
Symptomen
und Messwerten ein.
Dadurch werden Ursachen schneller gefunden
und unnötige Änderungen vermieden.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort erklärt den Nutzen:
Eingrenzung,
Messbarkeit
und Vermeidung unnötiger Änderungen.
Merksatz:
Fehlersuche braucht Struktur.
---
**Mini-Prüfung: typische Fehlerbilder**
| Fehlerbild | Wahrscheinlichstes Thema |
|---|---|
| keine Link-LED | Kabel, Port, Schicht 1 |
| Link ja, aber falsches Netz | VLAN oder DHCP |
| 169.254.x.x | DHCP nicht erreicht |
| lokale Kommunikation ja, Internet nein | Gateway, Routing, NAT, Firewall |
| externe IP ja, Name nein | DNS |
| ping ja, SSH nein | TCP 22, SSH-Dienst, Firewall |
| ping ja, HTTPS nein | TCP 443, Webdienst, Firewall, TLS |
| HTTP 401 | Authentifizierung |
| HTTP 403 | Autorisierung |
| HTTP 404 | Ressource nicht gefunden |
| HTTP 500 | Anwendung oder Server |
| HTTP 502 | Proxy, Gateway oder Backend |
| VPN verbunden, IP ja, Name nein | VPN-DNS |
| Restore schlägt fehl | Restore-Test, Backup, Schlüssel, Rechte |
---
**Mini-Prüfung: passende Werkzeuge**
| Prüfung | Werkzeug oder Ort |
|---|---|
| IP-Konfiguration prüfen | ipconfig, ip addr |
| Gateway prüfen | route print, ip route |
| Erreichbarkeit per ICMP | ping |
| Weg zum Ziel prüfen | tracert, traceroute |
| DNS prüfen | nslookup, dig |
| offene Ports prüfen | ss, netstat, Porttest |
| HTTP prüfen | Browser, curl |
| Dienststatus prüfen | systemctl, Diensteverwaltung |
| Logs prüfen | journalctl, Event Viewer, Anwendungslogs |
| Firewall prüfen | Firewall-Regeln und Logs |
| Rechte prüfen | Gruppen, ACLs, Rollen |
| Backup prüfen | Backup-Job, Restore-Test |
---
**IHK-sichere Kurzformulierung**
Systematische Fehlersuche bedeutet, ein Problem anhand von Symptomen, Schichten und Messwerten einzugrenzen. Zuerst wird geprüft, ob eine physische Verbindung besteht. Danach folgen lokale Kommunikation, IP-Konfiguration, Gateway, Routing, DNS, Ports, Dienste, Anwendung und Berechtigungen. Typische Fehlerbilder helfen bei der Einordnung: 169.254.x.x deutet auf DHCP hin, IP erreichbar aber Name nicht deutet auf DNS hin, lokale Kommunikation aber kein Internet deutet auf Gateway, Routing, NAT oder Firewall hin. ping prüft nur ICMP und ersetzt keinen Port- oder Diensttest. Gute Prüfungsantworten nennen eine wahrscheinliche Ursache, begründen sie mit dem Fehlerbild und nennen eine passende Prüfung.
---
**Merksätze**
Fehlersuche beginnt mit Eingrenzung.
Erst Schicht 1,
dann höhere Schichten.
Kein Link:
Kabel,
Port,
Gegenstelle prüfen.
Falsches Netz:
VLAN oder DHCP prüfen.
169.254.x.x:
DHCP nicht erreicht.
Lokal ja,
extern nein:
Gateway,
Routing,
NAT
oder Firewall.
IP ja,
Name nein:
DNS.
ping ja,
Dienst nein:
Port,
Dienst
und Firewall.
ping ist kein Porttest.
HTTP 401:
nicht authentifiziert.
HTTP 403:
verboten.
HTTP 404:
nicht gefunden.
HTTP 500:
interner Serverfehler.
HTTP 502:
Gateway,
Proxy
oder Backend.
VPN verbunden heißt nicht:
Routen,
DNS
und Rechte stimmen.
Login ja,
Zugriff nein:
Rechte.
Anmeldung scheitert:
Authentifizierung.
Nach Änderung:
Change,
Logs
und Rollback prüfen.
Backup ohne Restore-Test ist unsicher.
Viele Geräte betroffen:
zentrale Komponente prüfen.
Ein Gerät betroffen:
lokales Problem prüfen.
Gute Antwort:
Ursache,
Begründung,
Prüfung.
Nicht raten,
sondern messen.
# 20.14 Trainer – Gemischte Prüfungsaufgaben AP1/AP2 Netzwerktechnik
Diese Trainer-Seite ist eine gemischte Wiederholung über die wichtigsten Themen der Netzwerktechnik.
Sie verbindet:
- OSI-Modell
- TCP/IP
- IPv4 und Subnetting
- DNS und DHCP
- Switching und VLAN
- Routing und Gateway
- TCP, UDP und Ports
- Firewall, NAT und DMZ
- VPN und Cloud
- Sicherheit
- Backup und Fehlersuche
Ziel ist,
prüfungsnah zu üben und Themen nicht isoliert,
sondern im Zusammenhang zu erkennen.
Merksatz:
In der Prüfung steht selten nur ein Fachbegriff.
Meist musst du aus einem Fehlerbild das richtige Thema ableiten.
---
**Lernziele**
Nach dieser Seite solltest du sicher können:
- gemischte Netzwerkaufgaben einordnen
- Fehlerbilder fachlich erkennen
- passende Begriffe verwenden
- kurze IHK-sichere Antworten formulieren
- typische Prüfungsfallen vermeiden
- technische Ursache und passende Maßnahme verbinden
---
**Aufgabe 1**
Ein Client hat folgende Konfiguration:
IPv4-Adresse:
192.168.10.50
Subnetzmaske:
255.255.255.0
Gateway:
192.168.20.1
Der Client erreicht lokale Geräte,
aber keine externen Netze.
Was ist falsch?
Antwort anzeigen
Das Gateway ist falsch.
Begründung:
Der Client liegt im Netz:
192.168.10.0/24
Das Gateway liegt im Netz:
192.168.20.0/24
Das Standardgateway muss im lokalen Subnetz des Clients liegen.
IHK-sichere Antwort:
Das Gateway befindet sich nicht im gleichen Subnetz wie der Client.
Dadurch kann der Client das Gateway lokal nicht erreichen
und keine Pakete in andere Netze senden.
---
**Aufgabe 2**
Ein Client hat die Adresse:
169.254.44.12
Was bedeutet das?
Antwort anzeigen
Das ist eine APIPA-Adresse.
Bedeutung:
Der Client hat wahrscheinlich keine gültige IP-Adresse per DHCP erhalten.
Mögliche Ursachen:
DHCP-Server nicht erreichbar
falsches VLAN
DHCP-Scope erschöpft
DHCP-Relay fehlt
Netzwerkverbindung fehlerhaft
Merksatz:
169.254.x.x deutet auf DHCP-Problem hin.
---
**Aufgabe 3**
Ein Benutzer kann eine interne Webseite per IP-Adresse öffnen,
aber nicht über den Namen.
Welches Thema ist wahrscheinlich betroffen?
Antwort anzeigen
Wahrscheinlich betroffen:
DNS
Begründung:
Die IP-Kommunikation funktioniert.
Nur die Namensauflösung funktioniert nicht.
IHK-sichere Antwort:
Da der Zugriff per IP-Adresse funktioniert,
aber der Name nicht aufgelöst wird,
sollte die DNS-Konfiguration geprüft werden.
---
**Aufgabe 4**
Ein Server ist per ping erreichbar,
aber HTTPS funktioniert nicht.
Nenne drei mögliche Ursachen.
Antwort anzeigen
Mögliche Ursachen:
TCP 443 wird durch eine Firewall blockiert
Webserver-Dienst läuft nicht
Dienst lauscht nicht auf TCP 443
TLS-Zertifikat fehlerhaft
Reverse Proxy falsch konfiguriert
Anwendung fehlerhaft
Merksatz:
ping prüft ICMP,
nicht HTTPS.
---
**Aufgabe 5**
Ein Switchport ist als Access-Port im falschen VLAN konfiguriert.
Welche Folge kann das haben?
Antwort anzeigen
Mögliche Folgen:
Client landet im falschen Netz
Client erhält falsche DHCP-Adresse
lokale Dienste sind nicht erreichbar
Gateway passt nicht
Sicherheitszonen werden umgangen
IHK-sichere Antwort:
Der Client wird logisch dem falschen Layer-2-Netz zugeordnet.
Dadurch kann er eine falsche IP-Konfiguration erhalten
oder nicht mit den vorgesehenen Systemen kommunizieren.
---
**Aufgabe 6**
Was ist der Unterschied zwischen VLAN und Subnetz?
Antwort anzeigen
VLAN:
logische Trennung auf OSI-Schicht 2
Subnetz:
logische IP-Aufteilung auf OSI-Schicht 3
Wichtig:
In der Praxis bekommt ein VLAN oft ein eigenes Subnetz.
Fachlich sind VLAN und Subnetz aber nicht dasselbe.
Merksatz:
VLAN = Layer 2.
Subnetz = Layer 3.
---
**Aufgabe 7**
Warum braucht Kommunikation zwischen VLANs Routing?
Antwort anzeigen
VLANs sind getrennte Layer-2-Bereiche.
Damit Geräte aus unterschiedlichen VLANs miteinander kommunizieren können,
muss Verkehr zwischen den jeweiligen IP-Netzen geroutet werden.
Möglich über:
Router
Layer-3-Switch
Firewall
Merksatz:
VLANs trennen.
Routing verbindet gezielt.
---
**Aufgabe 8**
Ein Client möchte ein Ziel außerhalb seines Subnetzes erreichen.
Welche MAC-Adresse wird im Ethernet-Frame verwendet?
Antwort anzeigen
Verwendet wird:
die MAC-Adresse des Standardgateways
Begründung:
Das IP-Ziel bleibt der entfernte Zielhost.
Lokal wird das Frame aber an den nächsten Hop gesendet,
also an das Gateway.
Merksatz:
IP zeigt zum Endziel.
MAC zeigt zum nächsten lokalen Hop.
---
**Aufgabe 9**
Was macht ARP?
Antwort anzeigen
ARP löst im lokalen IPv4-Netz eine IP-Adresse in eine MAC-Adresse auf.
Beispiel:
Der Client kennt die IP-Adresse des Gateways,
braucht aber die MAC-Adresse,
um ein Ethernet-Frame senden zu können.
Merksatz:
ARP findet MAC-Adressen im lokalen IPv4-Netz.
---
**Aufgabe 10**
Bestimme für:
192.168.5.130/25
| Wert | Ergebnis |
|---|---|
| Netzadresse | ? |
| erste nutzbare Adresse | ? |
| letzte nutzbare Adresse | ? |
| Broadcastadresse | ? |
| nutzbare Hosts | ? |
Antwort anzeigen
Bei /25 gilt:
Blockgröße 128
Bereiche:
192.168.5.0 bis 192.168.5.127
192.168.5.128 bis 192.168.5.255
192.168.5.130 liegt im zweiten Bereich.
| Wert | Ergebnis |
|---|---|
| Netzadresse | 192.168.5.128 |
| erste nutzbare Adresse | 192.168.5.129 |
| letzte nutzbare Adresse | 192.168.5.254 |
| Broadcastadresse | 192.168.5.255 |
| nutzbare Hosts | 126 |
---
**Aufgabe 11**
Bestimme für:
10.10.10.77/26
| Wert | Ergebnis |
|---|---|
| Netzadresse | ? |
| erste nutzbare Adresse | ? |
| letzte nutzbare Adresse | ? |
| Broadcastadresse | ? |
Antwort anzeigen
Bei /26 gilt:
Blockgröße 64
Bereiche:
0 bis 63
64 bis 127
128 bis 191
192 bis 255
77 liegt im Bereich 64 bis 127.
| Wert | Ergebnis |
|---|---|
| Netzadresse | 10.10.10.64 |
| erste nutzbare Adresse | 10.10.10.65 |
| letzte nutzbare Adresse | 10.10.10.126 |
| Broadcastadresse | 10.10.10.127 |
---
**Aufgabe 12**
Welche kleinste Netzgröße reicht für mindestens 60 Hosts?
Antwort anzeigen
Benötigt:
mindestens 60 nutzbare Hosts
Prüfung:
/27 = 30 nutzbare Hosts
/26 = 62 nutzbare Hosts
Antwort:
/26
Begründung:
/26 ist das kleinste der genannten passenden Netze,
weil es 62 nutzbare Hostadressen bietet.
---
**Aufgabe 13**
Welche kleinste Netzgröße reicht für mindestens 120 Hosts?
Antwort anzeigen
Prüfung:
/26 = 62 nutzbare Hosts
/25 = 126 nutzbare Hosts
Antwort:
/25
Merksatz:
Bedarf prüfen,
dann kleinstes passendes Netz wählen.
---
**Aufgabe 14**
Warum ist die Broadcastadresse nicht als Hostadresse nutzbar?
Antwort anzeigen
Die Broadcastadresse ist die letzte Adresse eines IPv4-Subnetzes.
Sie adressiert alle Hosts in diesem Subnetz
und wird daher nicht einem einzelnen Host zugewiesen.
Merksatz:
Erste Adresse = Netz.
Letzte Adresse = Broadcast.
---
**Aufgabe 15**
Was ist der Unterschied zwischen TCP und UDP?
Antwort anzeigen
TCP:
verbindungsorientiert
zuverlässig
bestätigt Daten
stellt Reihenfolge sicher
UDP:
verbindungslos
schlank
schnell
keine eingebaute Zustellgarantie
Merksatz:
TCP = zuverlässig.
UDP = schnell und schlank.
---
**Aufgabe 16**
Ordne Ports zu.
| Dienst | Protokoll und Port |
|---|---|
| SSH | ? |
| HTTP | ? |
| HTTPS | ? |
| DNS | ? |
| DHCP | ? |
| SMB | ? |
| RDP | ? |
Antwort anzeigen
| Dienst | Protokoll und Port |
|---|---|
| SSH | TCP 22 |
| HTTP | TCP 80 |
| HTTPS | TCP 443 |
| DNS | UDP/TCP 53 |
| DHCP | UDP 67/68 |
| SMB | TCP 445 |
| RDP | TCP 3389 |
Merksatz:
Portnummer immer mit TCP oder UDP lernen.
---
**Aufgabe 17**
Warum ist die Aussage „Port 53 freigeben“ ungenau?
Antwort anzeigen
Die Aussage ist ungenau,
weil nicht klar ist,
ob TCP 53,
UDP 53
oder beides gemeint ist.
DNS nutzt meistens UDP 53,
kann aber auch TCP 53 verwenden.
IHK-sichere Antwort:
Bei Firewall-Regeln müssen Port und Transportprotokoll angegeben werden,
da TCP und UDP getrennte Protokolle sind.
---
**Aufgabe 18**
Was bedeutet LISTEN bei TCP?
Antwort anzeigen
LISTEN bedeutet:
Ein Dienst wartet auf eingehende Verbindungen.
Beispiel:
Ein Webserver lauscht auf TCP 443.
Merksatz:
LISTEN = Dienst wartet.
---
**Aufgabe 19**
Was bedeutet ESTABLISHED bei TCP?
Antwort anzeigen
ESTABLISHED bedeutet:
Eine TCP-Verbindung besteht.
Merksatz:
ESTABLISHED = Verbindung aktiv.
---
**Aufgabe 20**
Was ist der Unterschied zwischen NAT und Firewall?
Antwort anzeigen
NAT:
übersetzt IP-Adressen
Firewall:
erlaubt oder blockiert Verkehr anhand von Regeln
Wichtig:
Viele Geräte kombinieren beide Funktionen.
Fachlich bleiben sie aber unterschiedlich.
Merksatz:
NAT übersetzt.
Firewall filtert.
---
**Aufgabe 21**
Was ist PAT?
Antwort anzeigen
PAT steht für:
Port Address Translation
PAT ist eine Form von NAT,
bei der zusätzlich Ports genutzt werden,
um mehrere interne Verbindungen über eine öffentliche IP-Adresse zu unterscheiden.
Merksatz:
PAT nutzt Ports zur Zuordnung mehrerer Verbindungen.
---
**Aufgabe 22**
Was ist Portweiterleitung?
Antwort anzeigen
Portweiterleitung bedeutet:
Eingehender Verkehr auf einem externen Port
wird an einen internen Dienst weitergeleitet.
Beispiel:
öffentliche IP TCP 443
zu
interner Webserver 192.168.10.20 TCP 443
Merksatz:
Portweiterleitung veröffentlicht einen internen Dienst.
---
**Aufgabe 23**
Warum ist eine Any-to-Any-Firewall-Regel kritisch?
Antwort anzeigen
Any-to-Any erlaubt Verkehr von jeder Quelle zu jedem Ziel.
Risiken:
große Angriffsfläche
schlechte Nachvollziehbarkeit
Sicherheitszonen werden umgangen
unnötige Freigaben
Besser:
genaue Regeln mit Quelle,
Ziel,
Port,
Protokoll
und Zweck.
Merksatz:
Je genauer die Regel,
desto sicherer und nachvollziehbarer.
---
**Aufgabe 24**
Was ist eine DMZ?
Antwort anzeigen
Eine DMZ ist ein getrenntes Netzwerk für Dienste,
die von außen erreichbar sein müssen.
Beispiele:
Webserver
Reverse Proxy
Mail-Gateway
VPN-Gateway
Ziel:
öffentliche Dienste vom internen Netz trennen.
Merksatz:
DMZ begrenzt Schaden bei öffentlichen Diensten.
---
**Aufgabe 25**
Warum sollte eine Datenbank nicht direkt aus dem Internet erreichbar sein?
Antwort anzeigen
Eine Datenbank enthält oft sensible Daten
und ist ein attraktives Angriffsziel.
Risiken:
Brute Force
Exploits
Datenabfluss
Manipulation
Besser:
Zugriff nur vom Anwendungsserver
Firewall-Beschränkung
privates Netz oder DMZ-Konzept
starke Authentifizierung
Monitoring
Merksatz:
Datenbankports gehören nicht offen ins Internet.
---
**Aufgabe 26**
Was ist der Unterschied zwischen Remote-Access-VPN und Site-to-Site-VPN?
Antwort anzeigen
Remote-Access-VPN:
einzelner Benutzer verbindet sich ins Firmennetz
Site-to-Site-VPN:
zwei Netze oder Standorte werden verbunden
Merksatz:
Remote Access = Benutzer.
Site-to-Site = Standort oder Netz.
---
**Aufgabe 27**
VPN ist verbunden,
aber interne Namen funktionieren nicht.
Was ist wahrscheinlich?
Antwort anzeigen
Wahrscheinlich:
VPN-DNS-Problem
Prüfen:
interner DNS-Server
DNS-Suffix
Split-DNS
Erreichbarkeit des DNS-Servers
DNS-Cache
Merksatz:
VPN-IP ja,
VPN-Name nein:
VPN-DNS prüfen.
---
**Aufgabe 28**
VPN ist verbunden,
aber interne IP-Ziele sind nicht erreichbar.
Was ist wahrscheinlich?
Antwort anzeigen
Mögliche Ursachen:
VPN-Route fehlt
Zielnetz nicht erlaubt
Firewall blockiert
Rückroute fehlt
IP-Adresskonflikt
Benutzergruppe hat keine Berechtigung
Merksatz:
VPN verbunden heißt nicht automatisch:
Routing und Regeln stimmen.
---
**Aufgabe 29**
Was bedeutet Shared Responsibility in der Cloud?
Antwort anzeigen
Shared Responsibility bedeutet:
Cloud-Anbieter und Kunde teilen sich die Verantwortung.
Anbieter:
schützt Infrastruktur,
Rechenzentrum
und Plattform je nach Modell.
Kunde:
bleibt verantwortlich für Daten,
Benutzer,
Rechte,
Konfigurationen
und Anwendungen je nach Modell.
Merksatz:
Anbieter schützt die Cloud.
Kunde schützt seine Nutzung der Cloud.
---
**Aufgabe 30**
Ordne Cloud-Modelle zu.
| Modell | Bedeutung |
|---|---|
| IaaS | ? |
| PaaS | ? |
| SaaS | ? |
Antwort anzeigen
| Modell | Bedeutung |
|---|---|
| IaaS | virtuelle Infrastruktur |
| PaaS | verwaltete Plattform |
| SaaS | fertige Anwendung |
Merksatz:
IaaS = Infrastruktur.
PaaS = Plattform.
SaaS = Software.
---
**Aufgabe 31**
Was ist der Unterschied zwischen Hybrid Cloud und Multi Cloud?
Antwort anzeigen
Hybrid Cloud:
Kombination aus lokaler oder privater IT und Public Cloud
Multi Cloud:
Nutzung mehrerer Cloud-Anbieter
Merksatz:
Hybrid beschreibt Kombination von Umgebungen.
Multi beschreibt mehrere Anbieter.
---
**Aufgabe 32**
Warum ist IAM in der Cloud besonders wichtig?
Antwort anzeigen
Cloud-Ressourcen sind oft schnell erreichbar,
skalierbar
und über Netzwerke zugänglich.
Fehlerhafte Rechte können führen zu:
Datenabfluss
unberechtigtem Zugriff
Manipulation
Kostenexplosion
Löschung von Ressourcen
Merksatz:
In der Cloud sind Identitäten oft der wichtigste Sicherheitsperimeter.
---
**Aufgabe 33**
Ordne Schutzziele zu.
| Ereignis | Schutzziel |
|---|---|
| Daten werden gelesen | ? |
| Datei wird manipuliert | ? |
| Dienst fällt aus | ? |
| Absender wird gefälscht | ? |
Antwort anzeigen
| Ereignis | Schutzziel |
|---|---|
| Daten werden gelesen | Vertraulichkeit |
| Datei wird manipuliert | Integrität |
| Dienst fällt aus | Verfügbarkeit |
| Absender wird gefälscht | Authentizität |
Merksatz:
Lesen = Vertraulichkeit.
Verändern = Integrität.
Ausfall = Verfügbarkeit.
Echtheit = Authentizität.
---
**Aufgabe 34**
Was ist der Unterschied zwischen Brute Force,
Password Spraying
und Credential Stuffing?
Antwort anzeigen
Brute Force:
viele Passwortversuche
Password Spraying:
ein häufiges Passwort gegen viele Konten
Credential Stuffing:
geleakte Zugangsdaten werden bei anderen Diensten getestet
Merksatz:
Brute Force = viele Versuche.
Spraying = ein Passwort gegen viele Konten.
Stuffing = geleakte Zugangsdaten.
---
**Aufgabe 35**
Ordne Webangriffe zu.
| Angriff | Beschreibung |
|---|---|
| SQL Injection | ? |
| XSS | ? |
| CSRF | ? |
Antwort anzeigen
| Angriff | Beschreibung |
|---|---|
| SQL Injection | SQL-Code in Eingaben einschleusen |
| XSS | Skriptcode im Browser anderer Benutzer ausführen |
| CSRF | gültige Sitzung für ungewollte Aktion missbrauchen |
Merksatz:
SQLi betrifft Datenbankabfragen.
XSS betrifft Browser.
CSRF betrifft Sitzungen.
---
**Aufgabe 36**
Welche Maßnahme passt zu welchem Risiko?
| Risiko | Maßnahme |
|---|---|
| gestohlenes Passwort | ? |
| ungepatchter Server | ? |
| zu viele Rechte | ? |
| unnötige Dienste | ? |
| Ransomware | ? |
Antwort anzeigen
| Risiko | Maßnahme |
|---|---|
| gestohlenes Passwort | MFA |
| ungepatchter Server | Patchmanagement |
| zu viele Rechte | Least Privilege |
| unnötige Dienste | Hardening |
| Ransomware | Offline- oder Immutable-Backups und Restore-Test |
Merksatz:
Maßnahme muss zum Risiko passen.
---
**Aufgabe 37**
Was ist der Unterschied zwischen IDS und IPS?
Antwort anzeigen
IDS:
erkennt und meldet Angriffe
IPS:
erkennt und blockiert Angriffe zusätzlich
Merksatz:
IDS meldet.
IPS blockiert.
---
**Aufgabe 38**
Was ist der Unterschied zwischen Backup,
Replikation
und Synchronisation?
Antwort anzeigen
Backup:
sichert Daten zur Wiederherstellung alter Zustände
Replikation:
erzeugt eine möglichst aktuelle Kopie auf anderem System
Synchronisation:
gleicht Daten zwischen Speicherorten ab
Wichtig:
Replikation und Synchronisation ersetzen kein Backup,
weil Fehler,
Löschungen
oder Ransomware mit übertragen werden können.
Merksatz:
Backup stellt wieder her.
Replikation hält aktuell.
Synchronisation gleicht ab.
---
**Aufgabe 39**
Was bedeuten RPO und RTO?
Antwort anzeigen
RPO:
Recovery Point Objective
maximal akzeptabler Datenverlust
RTO:
Recovery Time Objective
maximal akzeptable Wiederherstellungszeit
Merksatz:
RPO = Datenverlust.
RTO = Zeit bis Wiederherstellung.
---
**Aufgabe 40**
Warum ist ein Restore-Test wichtig?
Antwort anzeigen
Ein Restore-Test prüft,
ob Backups wirklich wiederherstellbar sind.
Ohne Restore-Test ist unklar:
ob Daten vollständig sind
ob Daten lesbar sind
ob Schlüssel vorhanden sind
ob Rechte stimmen
ob die Wiederherstellungszeit passt
Merksatz:
Backup ohne Restore-Test ist unsicher.
---
**Aufgabe 41**
Welche Antwort ist besser?
Aufgabe:
Ein Benutzer kann sich anmelden,
aber nicht auf eine Datei zugreifen.
Was ist wahrscheinlich?
Antwort A:
Das Netzwerk ist kaputt.
Antwort B:
Wahrscheinlich liegt ein Berechtigungsproblem vor,
da die Authentifizierung funktioniert,
der Zugriff auf die Ressource aber verweigert wird.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort trennt Authentifizierung und Autorisierung.
Merksatz:
Login ja,
Zugriff nein:
Rechte prüfen.
---
**Aufgabe 42**
Welche Antwort ist besser?
Aufgabe:
Warum ist MFA sinnvoll?
Antwort A:
Weil es sicherer ist.
Antwort B:
MFA verlangt zusätzlich zum Passwort einen weiteren Faktor.
Dadurch reicht ein gestohlenes Passwort allein nicht aus,
um Zugriff zu erhalten.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort erklärt die konkrete Schutzwirkung.
Merksatz:
Maßnahme mit Wirkung erklären.
---
**Aufgabe 43**
Welche Antwort ist besser?
Aufgabe:
Warum ersetzt ein Snapshot kein Backup?
Antwort A:
Weil Snapshot und Backup verschiedene Wörter sind.
Antwort B:
Snapshots liegen oft auf demselben System oder Speicher.
Bei Speicherdefekt,
Löschung
oder Ransomware können sie ebenfalls betroffen sein.
Ein Backup muss getrennt,
geschützt
und wiederherstellbar sein.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort nennt die fachliche Ursache
und Anforderungen an ein Backup.
Merksatz:
Fachbegriff plus Begründung.
---
**Aufgabe 44**
Welche Antwort ist besser?
Aufgabe:
Warum ist eine öffentlich erreichbare Datenbank kritisch?
Antwort A:
Weil Datenbanken wichtig sind.
Antwort B:
Eine öffentlich erreichbare Datenbank erhöht die Angriffsfläche.
Es drohen Brute-Force-Angriffe,
Ausnutzung von Schwachstellen,
Datenabfluss
und Manipulation.
Besser ist Zugriff nur aus benötigten Netzen oder vom Anwendungsserver.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort nennt Risiko,
Folgen
und bessere Maßnahme.
Merksatz:
Sicherheitsantwort:
Risiko,
Maßnahme,
Wirkung.
---
**Aufgabe 45**
Welche Antwort ist besser?
Aufgabe:
Warum ist systematische Fehlersuche wichtig?
Antwort A:
Weil man dann professionell wirkt.
Antwort B:
Systematische Fehlersuche grenzt den Fehler anhand von Symptomen,
Schichten
und Messwerten ein.
Dadurch werden Ursachen schneller gefunden
und unnötige Änderungen vermieden.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort erklärt den Nutzen der systematischen Vorgehensweise.
Merksatz:
Nicht raten,
sondern eingrenzen.
---
**Mini-Prüfung: Gesamtzuordnung**
| Fehlerbild oder Begriff | Thema |
|---|---|
| keine Link-LED | Schicht 1 |
| MAC-Adresse | Schicht 2 |
| IP-Adresse | Schicht 3 |
| TCP-Port | Schicht 4 |
| TLS-Zertifikat | Schicht 6 |
| HTTP | Schicht 7 |
| 169.254.x.x | DHCP |
| IP ja, Name nein | DNS |
| ping ja, HTTPS nein | Port, Dienst, Firewall, TLS |
| falsches Netz nach DHCP | VLAN oder DHCP |
| RDP aus Internet offen | Sicherheitsrisiko |
| Datenbank öffentlich erreichbar | Sicherheitsrisiko |
| Backup nicht wiederherstellbar | Restore-Test fehlt |
| Dienst nach Update defekt | Change, Logs, Rollback |
| VPN verbunden, Name geht nicht | VPN-DNS |
---
**Mini-Prüfung: Begriffe kurz erklären**
| Begriff | Kurzantwort |
|---|---|
| VLAN | logische Trennung auf Schicht 2 |
| Subnetz | logische IP-Aufteilung auf Schicht 3 |
| Gateway | Router in andere Netze |
| DNS | Namensauflösung |
| DHCP | automatische IP-Konfiguration |
| NAT | Adressübersetzung |
| PAT | Adress- und Portübersetzung |
| DMZ | getrennte Zone für öffentliche Dienste |
| VPN | verschlüsselter Tunnel |
| IAM | Identitäts- und Rechteverwaltung |
| MFA | Anmeldung mit mehreren Faktoren |
| Least Privilege | nur nötige Rechte vergeben |
| Hardening | Angriffsfläche reduzieren |
| RPO | maximaler Datenverlust |
| RTO | maximale Wiederherstellungszeit |
---
**Mini-Prüfung: typische Prüfungsfallen**
| Falle | Richtig denken |
|---|---|
| ping geht, also Dienst geht | falsch, ping prüft nur ICMP |
| VLAN ist dasselbe wie Subnetz | falsch, VLAN Layer 2, Subnetz Layer 3 |
| NAT ist Firewall | falsch, NAT übersetzt, Firewall filtert |
| Cloud-Anbieter ist für alles verantwortlich | falsch, Shared Responsibility |
| Snapshot ist Backup | falsch, Snapshot ersetzt kein Backup |
| Sync ist Backup | falsch, Sync gleicht nur ab |
| Portnummer ohne TCP/UDP reicht | ungenau |
| Loginproblem und Rechteproblem sind gleich | falsch, Authentifizierung und Autorisierung unterscheiden |
| Any-to-Any ist praktisch | kritisch, zu breite Freigabe |
| Mehr Rechte lösen Probleme | unsicher, Least Privilege beachten |
---
**IHK-sichere Kurzformulierung**
Bei gemischten Netzwerkaufgaben ist entscheidend, das Fehlerbild systematisch einzuordnen. Keine Link-Anzeige deutet auf Schicht 1 hin, MAC-Adressen und VLANs auf Schicht 2, IP-Adressen und Routing auf Schicht 3, TCP, UDP und Ports auf Schicht 4. DNS-Probleme zeigen sich häufig dadurch, dass eine IP-Adresse erreichbar ist, ein Name aber nicht. DHCP-Probleme erkennt man oft an APIPA-Adressen aus 169.254.0.0/16. Firewall-Regeln müssen Quelle, Ziel, Port, Protokoll und Zweck enthalten. NAT übersetzt Adressen, während Firewalls Verkehr filtern. VPN-Verbindungen benötigen neben dem Tunnel auch passende Routen, DNS und Berechtigungen. Sicherheitsantworten sollten Risiko, Maßnahme und Wirkung enthalten. Backup-Fragen müssen Restore, RPO, RTO und Restore-Tests berücksichtigen.
---
**Merksätze**
Erst Fehlerbild lesen,
dann Thema zuordnen.
Kein Link:
Schicht 1.
MAC:
Schicht 2.
IP:
Schicht 3.
TCP und UDP:
Schicht 4.
TLS:
Schicht 6.
HTTP und DNS:
Schicht 7.
VLAN ist Layer 2.
Subnetz ist Layer 3.
Switch arbeitet mit MAC-Adressen.
Router arbeitet mit IP-Adressen.
Gateway führt in andere Netze.
DNS löst Namen auf.
DHCP verteilt IP-Konfiguration.
169.254.x.x:
DHCP nicht erreicht.
ping ist kein Diensttest.
IP ja,
Name nein:
DNS.
Lokal ja,
extern nein:
Gateway,
Routing,
NAT
oder Firewall.
ping ja,
Port nein:
Dienst,
Port
oder Firewall.
NAT übersetzt.
Firewall filtert.
PAT nutzt Ports.
DMZ trennt öffentliche Dienste.
VPN braucht Tunnel,
Route,
DNS
und Rechte.
Cloud bedeutet geteilte Verantwortung.
IAM entscheidet,
wer was darf.
MFA schützt gegen Passwortmissbrauch.
Least Privilege begrenzt Schaden.
Patchmanagement schließt bekannte Lücken.
Hardening reduziert Angriffsfläche.
Backup ist Wiederherstellungsvorsorge.
Restore-Test beweist,
dass Backup nutzbar ist.
RPO = Datenverlust.
RTO = Wiederherstellungszeit.
Gute Prüfungsantwort:
Ursache,
Begründung,
passende Prüfung
oder Maßnahme.
Nicht raten,
sondern fachlich eingrenzen.
# 20.15 Trainer – Abschlussprüfung Netzwerktechnik Gesamtwiederholung
Diese Seite ist die Abschlussseite des Netzwerktechnik-Trainers.
Sie dient als letzte Gesamtwiederholung vor einer Klassenarbeit,
AP1,
AP2
oder vor dem Eintragen eigener Lernnotizen.
Ziel ist,
alle Kernbereiche noch einmal kompakt,
prüfungsnah
und mit typischen Antwortmustern zu wiederholen.
Merksatz:
Am Ende zählt nicht,
ob man Begriffe kennt,
sondern ob man sie im Fehlerbild richtig anwendet.
---
**Lernziele**
Nach dieser Abschlussseite solltest du sicher können:
- Netzwerkprobleme nach OSI-Schichten einordnen
- Standardbegriffe kurz erklären
- typische Fehlerbilder erkennen
- passende Prüfungen nennen
- Sicherheitsrisiken bewerten
- technische Maßnahmen begründen
- kurze prüfungssichere Antworten formulieren
---
**Abschluss-Checkliste: OSI-Modell**
| Schicht | Name | Kernthema | Typische Begriffe |
|---|---|---|---|
| 7 | Anwendung | Netzwerkdienste | HTTP, DNS, DHCP, SMTP, SMB |
| 6 | Darstellung | Format und Verschlüsselung | TLS, Zertifikate, Codierung |
| 5 | Sitzung | Sitzungen | Session, Cookie, Token, Timeout |
| 4 | Transport | Ports und Transport | TCP, UDP, Port |
| 3 | Vermittlung | IP und Routing | IP, Subnetz, Gateway, ICMP |
| 2 | Sicherung | lokale Zustellung | MAC, Ethernet, VLAN, Switch |
| 1 | Bitübertragung | physische Übertragung | Kabel, Funk, Link, Signal |
Merksatz:
1 Kabel.
2 MAC.
3 IP.
4 Port.
5 Sitzung.
6 TLS.
7 Anwendung.
---
**Abschluss-Checkliste: Fehlerbilder**
| Fehlerbild | Wahrscheinlichstes Thema |
|---|---|
| keine Link-LED | Kabel, Port, Schicht 1 |
| falsches Netz | VLAN oder DHCP |
| 169.254.x.x | DHCP nicht erreicht |
| lokal erreichbar, extern nicht | Gateway, Routing, NAT, Firewall |
| IP erreichbar, Name nicht | DNS |
| ping funktioniert, Dienst nicht | Port, Dienst oder Firewall |
| HTTPS-Warnung | TLS-Zertifikat |
| HTTP 401 | Authentifizierung |
| HTTP 403 | Autorisierung |
| HTTP 404 | Ressource nicht gefunden |
| HTTP 500 | Server oder Anwendung |
| HTTP 502 | Proxy, Gateway oder Backend |
| VPN verbunden, Name geht nicht | VPN-DNS |
| Login geht, Datei nicht | Rechteproblem |
| Backup vorhanden, Restore geht nicht | Restore-Test oder Backup defekt |
---
**Abschluss-Checkliste: Standardports**
| Dienst | Protokoll und Port |
|---|---|
| FTP | TCP 21 |
| SSH | TCP 22 |
| SFTP | TCP 22 |
| SMTP | TCP 25 |
| DNS | UDP/TCP 53 |
| DHCP Server | UDP 67 |
| DHCP Client | UDP 68 |
| HTTP | TCP 80 |
| POP3 | TCP 110 |
| NTP | UDP 123 |
| IMAP | TCP 143 |
| SNMP | UDP 161 |
| HTTPS | TCP 443 |
| SMB | TCP 445 |
| SMTPS | TCP 465 |
| IMAPS | TCP 993 |
| POP3S | TCP 995 |
| RDP | TCP 3389 |
Merksatz:
Portnummer immer mit TCP oder UDP lernen.
---
**Abschluss-Checkliste: IPv4 und Subnetting**
| Präfix | Subnetzmaske | nutzbare Hosts |
|---|---|---:|
| /24 | 255.255.255.0 | 254 |
| /25 | 255.255.255.128 | 126 |
| /26 | 255.255.255.192 | 62 |
| /27 | 255.255.255.224 | 30 |
| /28 | 255.255.255.240 | 14 |
| /29 | 255.255.255.248 | 6 |
| /30 | 255.255.255.252 | 2 |
Merksätze:
Hostbits = 32 minus Präfix.
Nutzbare Hosts = 2 hoch Hostbits minus 2.
Netzadresse = erste Adresse.
Broadcastadresse = letzte Adresse.
Erste und letzte Adresse sind im normalen IPv4-Subnetz nicht für Hosts.
---
**Abschluss-Checkliste: private IPv4-Bereiche**
| Bereich | CIDR |
|---|---|
| 10.0.0.0 bis 10.255.255.255 | 10.0.0.0/8 |
| 172.16.0.0 bis 172.31.255.255 | 172.16.0.0/12 |
| 192.168.0.0 bis 192.168.255.255 | 192.168.0.0/16 |
Merksatz:
Private IPv4-Adressen werden im Internet nicht direkt geroutet.
---
**Abschluss-Checkliste: Begriffe kurz erklären**
| Begriff | Kurzantwort |
|---|---|
| MAC-Adresse | lokale Adresse einer Netzwerkschnittstelle |
| IP-Adresse | logische Adresse eines Hosts |
| Port | Dienst- oder Prozesszuordnung |
| Gateway | Router in andere Netze |
| DNS | löst Namen in IP-Adressen auf |
| DHCP | verteilt IP-Konfiguration automatisch |
| ARP | löst IPv4-Adresse in MAC-Adresse auf |
| VLAN | logische Trennung auf Schicht 2 |
| Subnetz | logische IP-Aufteilung auf Schicht 3 |
| NAT | übersetzt IP-Adressen |
| PAT | übersetzt IP-Adressen und Ports |
| DMZ | getrennte Zone für öffentliche Dienste |
| VPN | verschlüsselter Tunnel über unsicheres Netz |
| IAM | Identitäts- und Rechteverwaltung |
| MFA | Authentifizierung mit mehreren Faktoren |
| Backup | Sicherung |
| Restore | Wiederherstellung |
---
**Abschluss-Checkliste: Sicherheit**
| Risiko | passende Maßnahme |
|---|---|
| gestohlenes Passwort | MFA |
| zu viele Rechte | Least Privilege |
| bekannte Sicherheitslücke | Patchmanagement |
| unnötige Dienste | Hardening |
| Ransomware | Offline- oder Immutable-Backup |
| Phishing | Awareness, Mailfilter, MFA |
| SQL Injection | Prepared Statements |
| XSS | Output Encoding, CSP, HttpOnly |
| CSRF | CSRF-Token, SameSite-Cookies |
| Man-in-the-Middle | TLS, Zertifikatsprüfung, VPN |
| DDoS | DDoS-Schutz, Rate Limiting, CDN |
| unklare Vorfälle | Logging, SIEM, Monitoring |
Merksatz:
Risiko,
Maßnahme,
Wirkung.
---
**Abschluss-Checkliste: Backup**
| Begriff | Bedeutung |
|---|---|
| Backup | Sicherung |
| Restore | Wiederherstellung |
| RPO | maximal akzeptabler Datenverlust |
| RTO | maximal akzeptable Wiederherstellungszeit |
| Retention | Aufbewahrungsregel |
| Vollbackup | sichert alle ausgewählten Daten |
| inkrementelles Backup | Änderungen seit letztem Backup |
| differenzielles Backup | Änderungen seit letztem Vollbackup |
| Snapshot | Momentaufnahme |
| Offline-Backup | nicht dauerhaft verbunden |
| Immutable Backup | unveränderliches Backup |
| Restore-Test | Prüfung der Wiederherstellung |
Merksatz:
Backup ohne Restore-Test ist unsicher.
---
**Prüfungssimulation 1**
Ein Client meldet:
„Ich komme nicht ins Internet.“
Du stellst fest:
- IP-Adresse ist 192.168.10.55/24
- Gateway ist 192.168.10.1
- Ping auf 192.168.10.1 funktioniert
- Ping auf 8.8.8.8 funktioniert
- Aufruf von Webseiten per Domain funktioniert nicht
Was ist wahrscheinlich?
Antwort anzeigen
Wahrscheinlich:
DNS-Problem
Begründung:
Gateway und externe IP-Adresse sind erreichbar.
Der Weg ins Internet funktioniert also grundsätzlich.
Wenn nur Domains nicht funktionieren,
ist die Namensauflösung wahrscheinlich gestört.
IHK-sichere Antwort:
Da externe IP-Adressen erreichbar sind,
aber Domainnamen nicht funktionieren,
sollte die DNS-Konfiguration geprüft werden,
insbesondere DNS-Server,
DNS-Erreichbarkeit
und DNS-Cache.
---
**Prüfungssimulation 2**
Ein Client meldet:
„Ich bekomme keine Netzwerkverbindung.“
Du stellst fest:
- keine Link-LED
- keine IP-Adresse
- andere Clients am Switch funktionieren
Was prüfst du zuerst?
Antwort anzeigen
Zuerst prüfen:
Schicht 1
Konkret:
Kabel
Stecker
Netzwerkdose
Switchport
Netzwerkkarte
anderes Patchkabel
anderen Port
Begründung:
Keine Link-LED deutet zuerst auf ein physisches Problem hin.
IHK-sichere Antwort:
Zuerst wird die physische Verbindung geprüft,
weil ohne Link keine höhere Netzwerkschicht zuverlässig funktionieren kann.
---
**Prüfungssimulation 3**
Ein Benutzer kann sich anmelden,
aber nicht auf eine Freigabe zugreifen.
Was ist wahrscheinlich?
Antwort anzeigen
Wahrscheinlich:
Autorisierungs- oder Berechtigungsproblem
Begründung:
Die Authentifizierung funktioniert,
weil die Anmeldung erfolgreich ist.
Der Zugriff auf die Ressource wird aber verweigert.
Prüfen:
Gruppenmitgliedschaft
Freigaberechte
Dateisystemrechte
ACLs
Rollen
Merksatz:
Login ja,
Zugriff nein:
Rechte prüfen.
---
**Prüfungssimulation 4**
Ein Webserver ist per ping erreichbar,
aber die Webseite öffnet nicht.
Was ist wichtig?
Antwort anzeigen
Wichtig:
ping prüft nur ICMP.
Zu prüfen:
TCP 80 oder TCP 443 erreichbar?
Webserver-Dienst läuft?
Dienst lauscht auf richtigem Port?
Firewall blockiert?
TLS-Zertifikat korrekt?
Reverse Proxy oder Anwendung fehlerhaft?
IHK-sichere Antwort:
Die ICMP-Erreichbarkeit zeigt nur,
dass der Host erreichbar ist.
Für die Webseite müssen zusätzlich Port,
Dienst,
Firewall
und Anwendung geprüft werden.
---
**Prüfungssimulation 5**
Ein Server steht in der DMZ.
Er soll aus dem Internet per HTTPS erreichbar sein
und auf eine interne Datenbank zugreifen.
Welche Regeln sind sinnvoll?
Antwort anzeigen
Sinnvolle Regeln:
| Quelle | Ziel | Protokoll | Port | Aktion | Zweck |
|---|---|---|---:|---|---|
| Internet | Webserver-DMZ | TCP | 443 | erlauben | HTTPS-Zugriff |
| Webserver-DMZ | interne Datenbank | TCP | Datenbankport | erlauben | Anwendung benötigt Datenbank |
| Internet | interne Datenbank | TCP | Datenbankport | blockieren | Datenbank schützen |
| DMZ | internes Netz | any | any | blockieren, außer benötigte Regeln | Schutz des internen Netzes |
IHK-sichere Antwort:
Nur der benötigte HTTPS-Zugriff auf den Webserver wird aus dem Internet erlaubt.
Der Zugriff vom Webserver zur internen Datenbank wird gezielt auf den notwendigen Port beschränkt.
Direkter Zugriff aus dem Internet auf die Datenbank wird blockiert.
---
**Prüfungssimulation 6**
Ein VPN verbindet sich erfolgreich,
aber interne Server sind nur per IP-Adresse erreichbar,
nicht per Namen.
Was ist wahrscheinlich?
Antwort anzeigen
Wahrscheinlich:
VPN-DNS-Problem
Prüfen:
interner DNS-Server wird per VPN gesetzt?
DNS-Server ist über VPN erreichbar?
DNS-Suffix ist korrekt?
Split-DNS funktioniert?
DNS-Cache veraltet?
IHK-sichere Antwort:
Da interne IP-Adressen erreichbar sind,
aber Namen nicht aufgelöst werden,
sollte die DNS-Konfiguration des VPN geprüft werden.
---
**Prüfungssimulation 7**
Ein Unternehmen nutzt Cloud-Speicher.
Ein Benutzer teilt versehentlich einen Ordner öffentlich.
Welches Thema ist betroffen?
Antwort anzeigen
Betroffen:
Vertraulichkeit
Ursache:
falsche Freigabe oder zu breite Berechtigung
Maßnahmen:
Berechtigungen einschränken
Freigaben regelmäßig prüfen
Least Privilege
MFA
DLP
Audit-Logs
Sensibilisierung
IHK-sichere Antwort:
Durch die öffentliche Freigabe können unberechtigte Personen Daten lesen.
Damit ist die Vertraulichkeit betroffen.
Die Freigabe sollte entfernt,
die Berechtigungen geprüft
und die Zugriffe protokolliert ausgewertet werden.
---
**Prüfungssimulation 8**
Ein Server wurde durch Ransomware verschlüsselt.
Die Backups liegen dauerhaft erreichbar auf einer Netzfreigabe
und wurden ebenfalls verschlüsselt.
Was war das Problem?
Antwort anzeigen
Problem:
Backups waren dauerhaft online und beschreibbar erreichbar.
Dadurch konnte Ransomware auch die Backups verschlüsseln.
Bessere Maßnahmen:
Offline-Backup
Immutable Backup
getrennte Backup-Rechte
MFA für Backup-Administration
Restore-Tests
Monitoring
IHK-sichere Antwort:
Backups müssen gegen Manipulation und Verschlüsselung geschützt werden.
Offline- oder Immutable-Backups verhindern,
dass Ransomware alle Sicherungen gleichzeitig zerstört.
---
**Prüfungssimulation 9**
Ein Administrator soll erklären,
warum ein Snapshot kein vollständiges Backup ersetzt.
Formuliere eine gute Antwort.
Antwort anzeigen
Gute Antwort:
Ein Snapshot ist eine Momentaufnahme,
liegt aber häufig auf demselben System oder Speicher wie die Produktivdaten.
Bei Speicherdefekt,
Löschung,
Ransomware
oder beschädigter Snapshot-Kette kann er ebenfalls betroffen sein.
Ein Backup muss getrennt,
geschützt
wiederherstellbar
und regelmäßig getestet sein.
Merksatz:
Snapshot ist hilfreich,
aber kein vollständiges Backup-Konzept.
---
**Prüfungssimulation 10**
Ein Cloud-Anbieter stellt eine SaaS-Anwendung bereit.
Ein Kunde vergibt allen Benutzern Adminrechte.
Wer ist für dieses Problem verantwortlich?
Antwort anzeigen
Verantwortlich ist typischerweise:
der Kunde
Begründung:
Bei SaaS betreibt der Anbieter die Anwendung.
Der Kunde bleibt aber für Benutzer,
Rollen,
Daten,
Berechtigungen
und Konfigurationen verantwortlich.
IHK-sichere Antwort:
Nach dem Shared-Responsibility-Modell ist der Kunde für die korrekte Rechtevergabe verantwortlich.
Der Anbieter stellt die SaaS-Anwendung bereit,
aber Benutzer- und Berechtigungsverwaltung bleiben Aufgabe des Kunden.
---
**Prüfungssimulation 11**
Ein Dienstleister benötigt Zugriff auf einen Server.
Er bekommt VPN-Zugriff auf das gesamte interne Netz.
Bewerte das.
Antwort anzeigen
Bewertung:
Das ist kritisch.
Grund:
Der Dienstleister erhält mehr Zugriff als notwendig.
Besser:
Least Privilege
Zugriff nur auf benötigten Server
nur benötigte Ports
zeitlich begrenzter Zugriff
MFA
Logging
separate Rolle oder Gruppe
IHK-sichere Antwort:
Der Zugriff sollte nach dem Least-Privilege-Prinzip eingeschränkt werden.
Ein Dienstleister sollte nur auf die Systeme und Dienste zugreifen können,
die er für seine Aufgabe benötigt.
Dadurch wird das Risiko bei Missbrauch oder kompromittierten Zugangsdaten reduziert.
---
**Prüfungssimulation 12**
Ein Unternehmen öffnet RDP direkt ins Internet,
damit Administratoren leichter zugreifen können.
Bewerte das.
Antwort anzeigen
Bewertung:
Das ist ein hohes Sicherheitsrisiko.
Risiken:
Brute Force
Credential Stuffing
Exploits
unberechtigter Fernzugriff
Besser:
VPN
RDP-Gateway
MFA
Firewall-Beschränkung auf bekannte Quellnetze
Logging
IHK-sichere Antwort:
RDP sollte nicht direkt aus dem Internet erreichbar sein.
Sicherer ist ein Zugriff über VPN oder RDP-Gateway mit MFA,
Zugriffsbeschränkung und Protokollierung.
---
**Abschluss: typische IHK-Antwortmuster**
**Fehlersuche**
Wahrscheinlich liegt ein Problem bei [Thema] vor,
weil [Symptom] funktioniert,
aber [Symptom] nicht funktioniert.
Daher sollte [konkrete Prüfung] geprüft werden.
Beispiel:
Wahrscheinlich liegt ein DNS-Problem vor,
weil die IP-Adresse erreichbar ist,
der Name aber nicht aufgelöst wird.
Daher sollten DNS-Server,
DNS-Eintrag
und DNS-Cache geprüft werden.
---
**Sicherheitsbewertung**
Das ist kritisch,
weil [Risiko].
Eine geeignete Maßnahme ist [Maßnahme],
weil dadurch [Wirkung] erreicht wird.
Beispiel:
Eine öffentlich erreichbare Datenbank ist kritisch,
weil sie direkt aus dem Internet angegriffen werden kann.
Besser ist,
den Zugriff nur aus dem Anwendungsserver-Netz zu erlauben
und die Datenbank in einem privaten Netz zu betreiben.
---
**Vergleich**
[Begriff A] bedeutet [Erklärung].
[Begriff B] bedeutet [Erklärung].
Der wesentliche Unterschied ist [Unterschied].
Beispiel:
NAT übersetzt IP-Adressen.
Eine Firewall erlaubt oder blockiert Verkehr anhand von Regeln.
Der wesentliche Unterschied ist,
dass NAT Adressen übersetzt,
während die Firewall Verkehr filtert.
---
**Backup-Frage**
RPO beschreibt den maximal akzeptablen Datenverlust.
RTO beschreibt die maximal akzeptable Wiederherstellungszeit.
Die Backup-Frequenz muss zum RPO passen,
der Restore-Prozess zum RTO.
Zusätzlich müssen Restore-Tests durchgeführt werden.
---
**Cloud-Frage**
Beim Shared-Responsibility-Modell teilen sich Anbieter und Kunde die Verantwortung.
Der Anbieter schützt die Cloud-Infrastruktur.
Der Kunde bleibt je nach Modell für Daten,
Benutzer,
Rechte,
Konfigurationen
und Anwendungen verantwortlich.
---
**Letzte Wiederholung: 30 Sekunden**
OSI 1:
Kabel,
Link,
Signal.
OSI 2:
MAC,
Switch,
VLAN.
OSI 3:
IP,
Gateway,
Routing.
OSI 4:
TCP,
UDP,
Ports.
OSI 5:
Session,
Cookie,
Token.
OSI 6:
TLS,
Zertifikat,
Verschlüsselung.
OSI 7:
HTTP,
DNS,
DHCP,
SMB.
DNS:
Name zu IP.
DHCP:
IP-Konfiguration automatisch.
ARP:
IPv4 zu MAC.
NAT:
Adresse übersetzen.
Firewall:
Verkehr filtern.
VPN:
verschlüsselter Tunnel.
Backup:
Sicherung.
Restore:
Wiederherstellung.
RPO:
Datenverlust.
RTO:
Wiederherstellungszeit.
MFA:
Passwort allein reicht nicht.
Least Privilege:
nur nötige Rechte.
Hardening:
Angriffsfläche reduzieren.
Patchmanagement:
bekannte Lücken schließen.
---
**Abschluss-Merksätze**
Fehlerbild zuerst lesen.
Nicht raten,
sondern eingrenzen.
IP ja,
Name nein:
DNS.
Lokal ja,
extern nein:
Gateway,
Routing,
NAT
oder Firewall.
ping ja,
Dienst nein:
Port,
Dienst
oder Firewall.
Login ja,
Zugriff nein:
Rechte.
Anmeldung scheitert:
Authentifizierung.
169.254.x.x:
DHCP nicht erreicht.
VLAN ist Layer 2.
Subnetz ist Layer 3.
NAT ist nicht Firewall.
Snapshot ist nicht Backup.
Sync ist nicht Backup.
Cloud ist geteilte Verantwortung.
Portnummer ohne TCP oder UDP ist unvollständig.
Sicherheitsantworten brauchen Risiko,
Maßnahme
und Wirkung.
Gute Prüfungsantworten sind kurz,
fachlich
und begründet.
---
**Stand dieses Trainers**
Mit dieser Seite ist der gemischte Netzwerktechnik-Trainer inhaltlich abgeschlossen.
Weitere sinnvolle Ergänzungen wären nur noch separate Spezialtrainer,
zum Beispiel:
- reiner Subnetting-Rechentrainer
- reiner Ports-Trainer
- reiner Firewall-Regel-Trainer
- reiner Fehlersuche-Trainer mit Fällen
- reiner Sicherheitsmaßnahmen-Trainer
- AP1-Simulation mit Zeitdruck
- AP2-Simulation mit komplexem Szenario
Diese wären eigene zusätzliche Trainerseiten
und keine notwendige Fortsetzung dieses Kapitels.
# 20.16 Spezialtrainer – Subnetting-Rechentrainer
Dieser Spezialtrainer ist eine zusätzliche Übungsseite.
Der allgemeine Netzwerktechnik-Trainer ist bereits abgeschlossen.
Diese Seite dient nur als vertiefender Rechentrainer für IPv4-Subnetting.
Ziel ist,
Subnetting-Aufgaben schneller,
sicherer
und prüfungsnah zu lösen.
Merksatz:
Subnetting ist Übungssache.
Immer zuerst Präfix,
Hostbits,
Blockgröße
und Adressbereich bestimmen.
---
**Lernziele**
Nach dieser Seite solltest du sicher können:
- Präfix und Subnetzmaske zuordnen
- Hostbits bestimmen
- nutzbare Hosts berechnen
- Netzadresse bestimmen
- Broadcastadresse bestimmen
- ersten und letzten Host bestimmen
- kleinste passende Netzgröße auswählen
- typische Subnetting-Fallen vermeiden
---
**Subnetting-Grundformeln**
| Gesucht | Formel oder Regel |
|---|---|
| Hostbits | 32 minus Präfix |
| Gesamtadressen | 2 hoch Hostbits |
| nutzbare Hosts | Gesamtadressen minus 2 |
| Netzadresse | erste Adresse im Subnetz |
| Broadcastadresse | letzte Adresse im Subnetz |
| erster Host | Netzadresse plus 1 |
| letzter Host | Broadcastadresse minus 1 |
Merksatz:
Erste Adresse ist Netzadresse.
Letzte Adresse ist Broadcastadresse.
---
**Wichtige Präfixe**
| Präfix | Subnetzmaske | Blockgröße | nutzbare Hosts |
|---|---|---:|---:|
| /24 | 255.255.255.0 | 256 | 254 |
| /25 | 255.255.255.128 | 128 | 126 |
| /26 | 255.255.255.192 | 64 | 62 |
| /27 | 255.255.255.224 | 32 | 30 |
| /28 | 255.255.255.240 | 16 | 14 |
| /29 | 255.255.255.248 | 8 | 6 |
| /30 | 255.255.255.252 | 4 | 2 |
Merksatz:
Je größer der Präfix,
desto kleiner das Netz.
---
**Aufgabe 1**
Bestimme für:
192.168.1.45/24
| Wert | Ergebnis |
|---|---|
| Netzadresse | ? |
| erste nutzbare Adresse | ? |
| letzte nutzbare Adresse | ? |
| Broadcastadresse | ? |
| nutzbare Hosts | ? |
Antwort anzeigen
Bei /24 gilt:
Subnetzmaske:
255.255.255.0
Blockgröße:
256
| Wert | Ergebnis |
|---|---|
| Netzadresse | 192.168.1.0 |
| erste nutzbare Adresse | 192.168.1.1 |
| letzte nutzbare Adresse | 192.168.1.254 |
| Broadcastadresse | 192.168.1.255 |
| nutzbare Hosts | 254 |
---
**Aufgabe 2**
Bestimme für:
192.168.1.130/25
| Wert | Ergebnis |
|---|---|
| Netzadresse | ? |
| erste nutzbare Adresse | ? |
| letzte nutzbare Adresse | ? |
| Broadcastadresse | ? |
| nutzbare Hosts | ? |
Antwort anzeigen
Bei /25 gilt:
Blockgröße:
128
Bereiche:
192.168.1.0 bis 192.168.1.127
192.168.1.128 bis 192.168.1.255
192.168.1.130 liegt im zweiten Bereich.
| Wert | Ergebnis |
|---|---|
| Netzadresse | 192.168.1.128 |
| erste nutzbare Adresse | 192.168.1.129 |
| letzte nutzbare Adresse | 192.168.1.254 |
| Broadcastadresse | 192.168.1.255 |
| nutzbare Hosts | 126 |
---
**Aufgabe 3**
Bestimme für:
192.168.1.70/26
| Wert | Ergebnis |
|---|---|
| Netzadresse | ? |
| erste nutzbare Adresse | ? |
| letzte nutzbare Adresse | ? |
| Broadcastadresse | ? |
| nutzbare Hosts | ? |
Antwort anzeigen
Bei /26 gilt:
Blockgröße:
64
Bereiche:
0 bis 63
64 bis 127
128 bis 191
192 bis 255
192.168.1.70 liegt im Bereich 64 bis 127.
| Wert | Ergebnis |
|---|---|
| Netzadresse | 192.168.1.64 |
| erste nutzbare Adresse | 192.168.1.65 |
| letzte nutzbare Adresse | 192.168.1.126 |
| Broadcastadresse | 192.168.1.127 |
| nutzbare Hosts | 62 |
---
**Aufgabe 4**
Bestimme für:
192.168.1.190/26
| Wert | Ergebnis |
|---|---|
| Netzadresse | ? |
| erste nutzbare Adresse | ? |
| letzte nutzbare Adresse | ? |
| Broadcastadresse | ? |
Antwort anzeigen
Bei /26 gilt:
Blockgröße:
64
Bereiche:
0 bis 63
64 bis 127
128 bis 191
192 bis 255
192.168.1.190 liegt im Bereich 128 bis 191.
| Wert | Ergebnis |
|---|---|
| Netzadresse | 192.168.1.128 |
| erste nutzbare Adresse | 192.168.1.129 |
| letzte nutzbare Adresse | 192.168.1.190 |
| Broadcastadresse | 192.168.1.191 |
Wichtig:
192.168.1.190 ist hier die letzte nutzbare Hostadresse,
nicht die Broadcastadresse.
---
**Aufgabe 5**
Bestimme für:
10.0.0.33/27
| Wert | Ergebnis |
|---|---|
| Netzadresse | ? |
| erste nutzbare Adresse | ? |
| letzte nutzbare Adresse | ? |
| Broadcastadresse | ? |
| nutzbare Hosts | ? |
Antwort anzeigen
Bei /27 gilt:
Blockgröße:
32
Bereiche:
0 bis 31
32 bis 63
64 bis 95
96 bis 127
10.0.0.33 liegt im Bereich 32 bis 63.
| Wert | Ergebnis |
|---|---|
| Netzadresse | 10.0.0.32 |
| erste nutzbare Adresse | 10.0.0.33 |
| letzte nutzbare Adresse | 10.0.0.62 |
| Broadcastadresse | 10.0.0.63 |
| nutzbare Hosts | 30 |
---
**Aufgabe 6**
Bestimme für:
10.0.0.95/27
| Wert | Ergebnis |
|---|---|
| Netzadresse | ? |
| erste nutzbare Adresse | ? |
| letzte nutzbare Adresse | ? |
| Broadcastadresse | ? |
Antwort anzeigen
Bei /27 gilt:
Blockgröße:
32
Bereiche:
0 bis 31
32 bis 63
64 bis 95
96 bis 127
10.0.0.95 liegt im Bereich 64 bis 95.
| Wert | Ergebnis |
|---|---|
| Netzadresse | 10.0.0.64 |
| erste nutzbare Adresse | 10.0.0.65 |
| letzte nutzbare Adresse | 10.0.0.94 |
| Broadcastadresse | 10.0.0.95 |
Wichtig:
10.0.0.95 ist hier die Broadcastadresse
und nicht als Hostadresse nutzbar.
---
**Aufgabe 7**
Bestimme für:
172.16.5.17/28
| Wert | Ergebnis |
|---|---|
| Netzadresse | ? |
| erste nutzbare Adresse | ? |
| letzte nutzbare Adresse | ? |
| Broadcastadresse | ? |
| nutzbare Hosts | ? |
Antwort anzeigen
Bei /28 gilt:
Blockgröße:
16
Bereiche:
0 bis 15
16 bis 31
32 bis 47
172.16.5.17 liegt im Bereich 16 bis 31.
| Wert | Ergebnis |
|---|---|
| Netzadresse | 172.16.5.16 |
| erste nutzbare Adresse | 172.16.5.17 |
| letzte nutzbare Adresse | 172.16.5.30 |
| Broadcastadresse | 172.16.5.31 |
| nutzbare Hosts | 14 |
---
**Aufgabe 8**
Bestimme für:
172.16.5.31/28
| Wert | Ergebnis |
|---|---|
| Netzadresse | ? |
| erste nutzbare Adresse | ? |
| letzte nutzbare Adresse | ? |
| Broadcastadresse | ? |
Antwort anzeigen
Bei /28 gilt:
Blockgröße:
16
172.16.5.31 liegt im Bereich 16 bis 31.
| Wert | Ergebnis |
|---|---|
| Netzadresse | 172.16.5.16 |
| erste nutzbare Adresse | 172.16.5.17 |
| letzte nutzbare Adresse | 172.16.5.30 |
| Broadcastadresse | 172.16.5.31 |
Wichtig:
172.16.5.31 ist die Broadcastadresse
und nicht als Hostadresse nutzbar.
---
**Aufgabe 9**
Bestimme für:
192.168.20.200/29
| Wert | Ergebnis |
|---|---|
| Netzadresse | ? |
| erste nutzbare Adresse | ? |
| letzte nutzbare Adresse | ? |
| Broadcastadresse | ? |
| nutzbare Hosts | ? |
Antwort anzeigen
Bei /29 gilt:
Blockgröße:
8
Bereiche um 200:
192 bis 199
200 bis 207
192.168.20.200 liegt im Bereich 200 bis 207.
| Wert | Ergebnis |
|---|---|
| Netzadresse | 192.168.20.200 |
| erste nutzbare Adresse | 192.168.20.201 |
| letzte nutzbare Adresse | 192.168.20.206 |
| Broadcastadresse | 192.168.20.207 |
| nutzbare Hosts | 6 |
Wichtig:
192.168.20.200 ist hier die Netzadresse
und nicht als Hostadresse nutzbar.
---
**Aufgabe 10**
Bestimme für:
192.168.20.206/29
| Wert | Ergebnis |
|---|---|
| Netzadresse | ? |
| erste nutzbare Adresse | ? |
| letzte nutzbare Adresse | ? |
| Broadcastadresse | ? |
Antwort anzeigen
Bei /29 gilt:
Blockgröße:
8
192.168.20.206 liegt im Bereich 200 bis 207.
| Wert | Ergebnis |
|---|---|
| Netzadresse | 192.168.20.200 |
| erste nutzbare Adresse | 192.168.20.201 |
| letzte nutzbare Adresse | 192.168.20.206 |
| Broadcastadresse | 192.168.20.207 |
---
**Aufgabe 11**
Bestimme für:
10.10.10.10/30
| Wert | Ergebnis |
|---|---|
| Netzadresse | ? |
| erste nutzbare Adresse | ? |
| letzte nutzbare Adresse | ? |
| Broadcastadresse | ? |
| nutzbare Hosts | ? |
Antwort anzeigen
Bei /30 gilt:
Blockgröße:
4
Bereiche:
0 bis 3
4 bis 7
8 bis 11
12 bis 15
10.10.10.10 liegt im Bereich 8 bis 11.
| Wert | Ergebnis |
|---|---|
| Netzadresse | 10.10.10.8 |
| erste nutzbare Adresse | 10.10.10.9 |
| letzte nutzbare Adresse | 10.10.10.10 |
| Broadcastadresse | 10.10.10.11 |
| nutzbare Hosts | 2 |
Merksatz:
/30 wird klassisch oft für Punkt-zu-Punkt-Verbindungen genutzt.
---
**Aufgabe 12**
Welche kleinste Netzgröße reicht für mindestens 12 Hosts?
Antwort anzeigen
Prüfung:
/29 = 6 nutzbare Hosts
/28 = 14 nutzbare Hosts
Antwort:
/28
Begründung:
/29 reicht nicht.
/28 bietet 14 nutzbare Hostadressen.
---
**Aufgabe 13**
Welche kleinste Netzgröße reicht für mindestens 25 Hosts?
Antwort anzeigen
Prüfung:
/28 = 14 nutzbare Hosts
/27 = 30 nutzbare Hosts
Antwort:
/27
---
**Aufgabe 14**
Welche kleinste Netzgröße reicht für mindestens 55 Hosts?
Antwort anzeigen
Prüfung:
/27 = 30 nutzbare Hosts
/26 = 62 nutzbare Hosts
Antwort:
/26
---
**Aufgabe 15**
Welche kleinste Netzgröße reicht für mindestens 100 Hosts?
Antwort anzeigen
Prüfung:
/26 = 62 nutzbare Hosts
/25 = 126 nutzbare Hosts
Antwort:
/25
---
**Aufgabe 16**
Welche kleinste Netzgröße reicht für mindestens 200 Hosts?
Antwort anzeigen
Prüfung:
/25 = 126 nutzbare Hosts
/24 = 254 nutzbare Hosts
Antwort:
/24
---
**Aufgabe 17**
Liegen diese Hosts im gleichen Netz?
192.168.1.10/24
192.168.1.200/24
Antwort anzeigen
Ja.
Beide liegen im Netz:
192.168.1.0/24
Bereich:
192.168.1.0 bis 192.168.1.255
Nutzbare Hosts:
192.168.1.1 bis 192.168.1.254
---
**Aufgabe 18**
Liegen diese Hosts im gleichen Netz?
192.168.1.10/24
192.168.2.10/24
Antwort anzeigen
Nein.
192.168.1.10/24 liegt im Netz:
192.168.1.0/24
192.168.2.10/24 liegt im Netz:
192.168.2.0/24
Für Kommunikation zwischen diesen Netzen wird Routing benötigt.
---
**Aufgabe 19**
Liegen diese Hosts im gleichen Netz?
192.168.1.70/26
192.168.1.100/26
Antwort anzeigen
Ja.
Bei /26 gilt Blockgröße 64.
Beide liegen im Bereich:
192.168.1.64 bis 192.168.1.127
---
**Aufgabe 20**
Liegen diese Hosts im gleichen Netz?
192.168.1.70/26
192.168.1.130/26
Antwort anzeigen
Nein.
192.168.1.70 liegt im Bereich:
192.168.1.64 bis 192.168.1.127
192.168.1.130 liegt im Bereich:
192.168.1.128 bis 192.168.1.191
Für Kommunikation zwischen diesen Netzen wird Routing benötigt.
---
**Aufgabe 21**
Liegen diese Hosts im gleichen Netz?
10.0.0.33/27
10.0.0.62/27
Antwort anzeigen
Ja.
Bei /27 gilt Blockgröße 32.
Beide liegen im Bereich:
10.0.0.32 bis 10.0.0.63
Nutzbare Hosts:
10.0.0.33 bis 10.0.0.62
---
**Aufgabe 22**
Liegen diese Hosts im gleichen Netz?
10.0.0.33/27
10.0.0.64/27
Antwort anzeigen
Nein.
10.0.0.33 liegt im Bereich:
10.0.0.32 bis 10.0.0.63
10.0.0.64 liegt im Bereich:
10.0.0.64 bis 10.0.0.95
Wichtig:
10.0.0.64 ist in diesem zweiten Bereich sogar die Netzadresse.
---
**Aufgabe 23**
Prüfe die Hostadresse:
192.168.5.0/24
Ist diese Adresse als Hostadresse nutzbar?
Antwort anzeigen
Nein.
Bei /24 ist:
192.168.5.0
die Netzadresse.
Sie ist nicht als normale Hostadresse nutzbar.
---
**Aufgabe 24**
Prüfe die Hostadresse:
192.168.5.255/24
Ist diese Adresse als Hostadresse nutzbar?
Antwort anzeigen
Nein.
Bei /24 ist:
192.168.5.255
die Broadcastadresse.
Sie ist nicht als normale Hostadresse nutzbar.
---
**Aufgabe 25**
Prüfe die Hostadresse:
192.168.5.254/24
Ist diese Adresse als Hostadresse nutzbar?
Antwort anzeigen
Ja.
Bei 192.168.5.0/24 ist der nutzbare Bereich:
192.168.5.1 bis 192.168.5.254
Die Adresse 192.168.5.254 ist die letzte nutzbare Hostadresse.
---
**Aufgabe 26**
Prüfe die Hostadresse:
192.168.5.128/25
Ist diese Adresse als Hostadresse nutzbar?
Antwort anzeigen
Nein.
Bei /25 gibt es zwei Bereiche:
192.168.5.0 bis 192.168.5.127
192.168.5.128 bis 192.168.5.255
Die Adresse 192.168.5.128 ist die Netzadresse des zweiten Bereichs.
---
**Aufgabe 27**
Prüfe die Hostadresse:
192.168.5.129/25
Ist diese Adresse als Hostadresse nutzbar?
Antwort anzeigen
Ja.
192.168.5.129 liegt im zweiten /25-Netz:
Netzadresse:
192.168.5.128
Broadcast:
192.168.5.255
nutzbarer Bereich:
192.168.5.129 bis 192.168.5.254
---
**Aufgabe 28**
Prüfe die Hostadresse:
10.0.0.63/26
Ist diese Adresse als Hostadresse nutzbar?
Antwort anzeigen
Nein.
Bei /26 gilt Blockgröße 64.
Der Bereich 0 bis 63 hat:
Netzadresse:
10.0.0.0
Broadcastadresse:
10.0.0.63
Die Adresse 10.0.0.63 ist die Broadcastadresse.
---
**Aufgabe 29**
Prüfe die Hostadresse:
10.0.0.64/26
Ist diese Adresse als Hostadresse nutzbar?
Antwort anzeigen
Nein.
Bei /26 gilt Blockgröße 64.
Der zweite Bereich beginnt bei:
10.0.0.64
Das ist die Netzadresse dieses Subnetzes.
---
**Aufgabe 30**
Prüfe die Hostadresse:
10.0.0.65/26
Ist diese Adresse als Hostadresse nutzbar?
Antwort anzeigen
Ja.
Bei /26 und Bereich 64 bis 127 gilt:
Netzadresse:
10.0.0.64
Broadcastadresse:
10.0.0.127
nutzbarer Bereich:
10.0.0.65 bis 10.0.0.126
---
**Aufgabe 31**
Eine Abteilung benötigt 5 nutzbare IP-Adressen.
Welche kleinste Netzgröße reicht?
Antwort anzeigen
Prüfung:
/30 = 2 nutzbare Hosts
/29 = 6 nutzbare Hosts
Antwort:
/29
---
**Aufgabe 32**
Eine Abteilung benötigt 14 nutzbare IP-Adressen.
Welche kleinste Netzgröße reicht?
Antwort anzeigen
Antwort:
/28
Begründung:
/28 bietet 14 nutzbare Hostadressen.
---
**Aufgabe 33**
Eine Abteilung benötigt 15 nutzbare IP-Adressen.
Welche kleinste Netzgröße reicht?
Antwort anzeigen
Prüfung:
/28 = 14 nutzbare Hosts
/27 = 30 nutzbare Hosts
Antwort:
/27
Merksatz:
15 passt nicht mehr in /28.
---
**Aufgabe 34**
Eine Abteilung benötigt 62 nutzbare IP-Adressen.
Welche kleinste Netzgröße reicht?
Antwort anzeigen
Antwort:
/26
Begründung:
/26 bietet genau 62 nutzbare Hostadressen.
---
**Aufgabe 35**
Eine Abteilung benötigt 63 nutzbare IP-Adressen.
Welche kleinste Netzgröße reicht?
Antwort anzeigen
Prüfung:
/26 = 62 nutzbare Hosts
/25 = 126 nutzbare Hosts
Antwort:
/25
Merksatz:
63 passt nicht mehr in /26.
---
**Aufgabe 36**
Warum wird bei der Hostanzahl meistens minus 2 gerechnet?
Antwort anzeigen
In normalen IPv4-Subnetzen sind zwei Adressen reserviert:
Netzadresse
Broadcastadresse
Deshalb gilt:
nutzbare Hosts = Gesamtadressen minus 2
Beispiel /26:
64 Gesamtadressen
64 - 2 = 62 nutzbare Hosts
---
**Aufgabe 37**
Welche Subnetzmaske gehört zu /27?
Antwort anzeigen
Zu /27 gehört:
255.255.255.224
Begründung:
Im letzten Oktett sind 3 zusätzliche Netzbits gesetzt:
11100000 = 224
---
**Aufgabe 38**
Welche Subnetzmaske gehört zu /28?
Antwort anzeigen
Zu /28 gehört:
255.255.255.240
Begründung:
Im letzten Oktett sind 4 zusätzliche Netzbits gesetzt:
11110000 = 240
---
**Aufgabe 39**
Welche Subnetzmaske gehört zu /29?
Antwort anzeigen
Zu /29 gehört:
255.255.255.248
Begründung:
Im letzten Oktett sind 5 zusätzliche Netzbits gesetzt:
11111000 = 248
---
**Aufgabe 40**
Welche Subnetzmaske gehört zu /30?
Antwort anzeigen
Zu /30 gehört:
255.255.255.252
Begründung:
Im letzten Oktett sind 6 zusätzliche Netzbits gesetzt:
11111100 = 252
---
**Mini-Prüfung: Präfixe**
| Präfix | Maske | nutzbare Hosts |
|---|---|---:|
| /24 | 255.255.255.0 | 254 |
| /25 | 255.255.255.128 | 126 |
| /26 | 255.255.255.192 | 62 |
| /27 | 255.255.255.224 | 30 |
| /28 | 255.255.255.240 | 14 |
| /29 | 255.255.255.248 | 6 |
| /30 | 255.255.255.252 | 2 |
---
**Mini-Prüfung: Blockgrößen**
| Präfix | Blockgröße im letzten Oktett |
|---|---:|
| /25 | 128 |
| /26 | 64 |
| /27 | 32 |
| /28 | 16 |
| /29 | 8 |
| /30 | 4 |
Merksatz:
Blockgröße = 256 minus interessanter Maskenwert.
---
**Typische Subnetting-Fallen**
| Falle | Richtige Denkweise |
|---|---|
| Netzadresse als Host verwenden | erste Adresse ist reserviert |
| Broadcastadresse als Host verwenden | letzte Adresse ist reserviert |
| /27 größer als /24 denken | größerer Präfix bedeutet kleineres Netz |
| Hostanzahl ohne minus 2 | Netz- und Broadcastadresse abziehen |
| VLAN mit Subnetz gleichsetzen | VLAN Layer 2, Subnetz Layer 3 |
| Gateway außerhalb des Subnetzes | Gateway muss lokal erreichbar sein |
| falsche Blockgröße | 256 minus Maskenwert rechnen |
| IP nur grob ansehen | immer Subnetzbereich bestimmen |
---
**IHK-sichere Kurzformulierung**
Beim Subnetting wird eine IPv4-Adresse mit einer Subnetzmaske oder einem Präfix in Netzanteil und Hostanteil aufgeteilt. Der Präfix gibt an, wie viele Bits zum Netzanteil gehören. Die Hostbits ergeben sich aus 32 minus Präfix. Die Anzahl der nutzbaren Hosts beträgt 2 hoch Hostbits minus 2, weil Netzadresse und Broadcastadresse nicht als normale Hostadressen verwendet werden. Die Netzadresse ist die erste Adresse im Subnetz, die Broadcastadresse die letzte Adresse. Um den richtigen Adressbereich zu finden, wird die Blockgröße bestimmt und geprüft, in welchem Bereich die gegebene IP-Adresse liegt.
---
**Merksätze**
Präfix = Netzbits.
Hostbits = 32 minus Präfix.
Nutzbare Hosts = 2 hoch Hostbits minus 2.
Netzadresse = erste Adresse.
Broadcastadresse = letzte Adresse.
Erste nutzbare Adresse = Netzadresse plus 1.
Letzte nutzbare Adresse = Broadcastadresse minus 1.
Größerer Präfix bedeutet kleineres Netz.
Kleinerer Präfix bedeutet größeres Netz.
/24 hat 254 Hosts.
/25 hat 126 Hosts.
/26 hat 62 Hosts.
/27 hat 30 Hosts.
/28 hat 14 Hosts.
/29 hat 6 Hosts.
/30 hat 2 Hosts.
/25 springt in 128er-Schritten.
/26 springt in 64er-Schritten.
/27 springt in 32er-Schritten.
/28 springt in 16er-Schritten.
/29 springt in 8er-Schritten.
/30 springt in 4er-Schritten.
Gateway muss im lokalen Subnetz liegen.
VLAN ist nicht Subnetz.
Subnetting wird sicher durch Wiederholung.
# 20.17 Spezialtrainer – Standardports und Dienste
Dieser Spezialtrainer ist eine zusätzliche Übungsseite.
Der allgemeine Netzwerktechnik-Trainer ist bereits abgeschlossen.
Diese Seite dient nur als vertiefender Trainer für Standardports,
Dienste,
TCP,
UDP
und typische Port-Fehlerbilder.
Ziel ist,
Portnummern nicht nur auswendig zu lernen,
sondern in Prüfungsaufgaben richtig anzuwenden.
Merksatz:
IP findet den Host.
Port findet den Dienst.
Protokoll sagt,
ob TCP oder UDP gemeint ist.
---
**Lernziele**
Nach dieser Seite solltest du sicher können:
- wichtige Standardports nennen
- TCP und UDP bei Ports unterscheiden
- typische Dienste zuordnen
- Firewall-Regeln genauer formulieren
- Port-Fehlerbilder erkennen
- erklären,
warum ping keinen Porttest ersetzt
- unsichere Dienste erkennen
- sichere Alternativen nennen
---
**Kurzüberblick: wichtigste Ports**
| Dienst | Protokoll und Port | Zweck |
|---|---|---|
| FTP | TCP 21 | Dateiübertragung, unverschlüsselt |
| SSH | TCP 22 | sichere Fernadministration |
| SFTP | TCP 22 | Dateiübertragung über SSH |
| SMTP | TCP 25 | E-Mail-Übertragung |
| DNS | UDP/TCP 53 | Namensauflösung |
| DHCP Server | UDP 67 | DHCP-Server |
| DHCP Client | UDP 68 | DHCP-Client |
| HTTP | TCP 80 | Web unverschlüsselt |
| POP3 | TCP 110 | E-Mail-Abruf |
| NTP | UDP 123 | Zeitsynchronisation |
| IMAP | TCP 143 | E-Mail-Abruf und Synchronisation |
| SNMP | UDP 161 | Netzwerkmanagement |
| HTTPS | TCP 443 | Web verschlüsselt |
| SMB | TCP 445 | Datei- und Druckfreigaben |
| SMTPS | TCP 465 | SMTP über TLS |
| IMAPS | TCP 993 | IMAP über TLS |
| POP3S | TCP 995 | POP3 über TLS |
| RDP | TCP 3389 | Remote Desktop |
Merksatz:
Portnummer immer zusammen mit TCP oder UDP lernen.
---
**Aufgabe 1**
Welchen Port nutzt SSH typischerweise?
Antwort anzeigen
SSH nutzt typischerweise:
TCP 22
SSH steht für:
Secure Shell
Nutzung:
sichere Fernadministration
verschlüsselte Kommandozeile
SFTP
Merksatz:
SSH = TCP 22.
---
**Aufgabe 2**
Welchen Port nutzt HTTPS typischerweise?
Antwort anzeigen
HTTPS nutzt typischerweise:
TCP 443
HTTPS bedeutet:
HTTP über TLS
Nutzung:
verschlüsselte Webkommunikation
Merksatz:
HTTPS = TCP 443.
---
**Aufgabe 3**
Welchen Port nutzt HTTP typischerweise?
Antwort anzeigen
HTTP nutzt typischerweise:
TCP 80
Wichtig:
HTTP ist unverschlüsselt.
Besser für sensible Daten:
HTTPS über TCP 443
Merksatz:
HTTP = TCP 80.
HTTPS = TCP 443.
---
**Aufgabe 4**
Welchen Port nutzt DNS?
Antwort anzeigen
DNS nutzt:
UDP 53
und bei Bedarf auch:
TCP 53
Typisch:
normale DNS-Abfragen häufig UDP 53
größere Antworten,
Zonentransfers
oder bestimmte Fälle TCP 53
Merksatz:
DNS = UDP/TCP 53.
---
**Aufgabe 5**
Welche Ports nutzt DHCP?
Antwort anzeigen
DHCP nutzt:
UDP 67 für den DHCP-Server
UDP 68 für den DHCP-Client
Merksatz:
DHCP = UDP 67 und UDP 68.
---
**Aufgabe 6**
Welchen Port nutzt SMB typischerweise?
Antwort anzeigen
SMB nutzt typischerweise:
TCP 445
Nutzung:
Datei- und Druckfreigaben
Netzlaufwerke
Windows-Freigaben
Merksatz:
SMB = TCP 445.
---
**Aufgabe 7**
Welchen Port nutzt RDP typischerweise?
Antwort anzeigen
RDP nutzt typischerweise:
TCP 3389
RDP steht für:
Remote Desktop Protocol
Merksatz:
RDP = TCP 3389.
---
**Aufgabe 8**
Welchen Port nutzt NTP?
Antwort anzeigen
NTP nutzt typischerweise:
UDP 123
NTP steht für:
Network Time Protocol
Aufgabe:
Zeitsynchronisation
Merksatz:
NTP = UDP 123.
---
**Aufgabe 9**
Welchen Port nutzt SNMP?
Antwort anzeigen
SNMP nutzt typischerweise:
UDP 161
SNMP steht für:
Simple Network Management Protocol
Aufgabe:
Netzwerkgeräte überwachen und verwalten
Merksatz:
SNMP = UDP 161.
---
**Aufgabe 10**
Ordne die Webports zu.
| Dienst | Protokoll und Port |
|---|---|
| HTTP | ? |
| HTTPS | ? |
Antwort anzeigen
| Dienst | Protokoll und Port |
|---|---|
| HTTP | TCP 80 |
| HTTPS | TCP 443 |
Merksatz:
HTTP unverschlüsselt.
HTTPS verschlüsselt mit TLS.
---
**Aufgabe 11**
Ordne die E-Mail-Protokolle zu.
| Dienst | Protokoll und Port |
|---|---|
| SMTP | ? |
| POP3 | ? |
| IMAP | ? |
| SMTPS | ? |
| POP3S | ? |
| IMAPS | ? |
Antwort anzeigen
| Dienst | Protokoll und Port |
|---|---|
| SMTP | TCP 25 |
| POP3 | TCP 110 |
| IMAP | TCP 143 |
| SMTPS | TCP 465 |
| POP3S | TCP 995 |
| IMAPS | TCP 993 |
Merksatz:
SMTP sendet.
POP3 und IMAP empfangen.
S am Ende bedeutet verschlüsselte Variante.
---
**Aufgabe 12**
Was macht SMTP?
Antwort anzeigen
SMTP steht für:
Simple Mail Transfer Protocol
Aufgabe:
E-Mails senden und zwischen Mailservern übertragen.
Typischer Port:
TCP 25
Merksatz:
SMTP sendet E-Mails.
---
**Aufgabe 13**
Was macht POP3?
Antwort anzeigen
POP3 steht für:
Post Office Protocol Version 3
Aufgabe:
E-Mails vom Server abrufen.
Typischer Port:
TCP 110
Verschlüsselte Variante:
POP3S über TCP 995
Merksatz:
POP3 ruft E-Mails ab.
---
**Aufgabe 14**
Was macht IMAP?
Antwort anzeigen
IMAP steht für:
Internet Message Access Protocol
Aufgabe:
E-Mails auf dem Server abrufen und synchron verwalten.
Typischer Port:
TCP 143
Verschlüsselte Variante:
IMAPS über TCP 993
Merksatz:
IMAP synchronisiert E-Mails.
---
**Aufgabe 15**
Was ist der Unterschied zwischen POP3 und IMAP?
Antwort anzeigen
POP3:
einfacher E-Mail-Abruf
traditionell eher Herunterladen vom Server
IMAP:
serverseitige Verwaltung
Synchronisation über mehrere Geräte
Ordnerstruktur bleibt serverseitig erhalten
Merksatz:
POP3 ruft ab.
IMAP synchronisiert.
---
**Aufgabe 16**
Ordne Dateiübertragungsprotokolle zu.
| Dienst | Protokoll und Port | Sicherheit |
|---|---|---|
| FTP | ? | ? |
| SFTP | ? | ? |
| FTPS | ? | ? |
Antwort anzeigen
| Dienst | Protokoll und Port | Sicherheit |
|---|---|---|
| FTP | TCP 21 | unverschlüsselt |
| SFTP | TCP 22 | über SSH verschlüsselt |
| FTPS | TCP 21 oder weitere Ports je nach Modus | FTP mit TLS |
Merksatz:
FTP ist unverschlüsselt.
SFTP nutzt SSH.
FTPS ist FTP mit TLS.
---
**Aufgabe 17**
Warum ist FTP unsicher?
Antwort anzeigen
FTP ist unsicher,
weil es klassisch unverschlüsselt überträgt.
Risiken:
Zugangsdaten können mitgelesen werden
Daten können mitgelesen werden
Man-in-the-Middle möglich
Bessere Alternativen:
SFTP
FTPS
HTTPS-basierter Upload
Merksatz:
FTP nicht für sensible Daten verwenden.
---
**Aufgabe 18**
Was ist der Unterschied zwischen SFTP und FTPS?
Antwort anzeigen
SFTP:
Dateiübertragung über SSH
typischerweise TCP 22
FTPS:
FTP mit TLS-Verschlüsselung
basiert auf FTP
Wichtig:
SFTP und FTPS sind nicht dasselbe.
Merksatz:
SFTP = SSH.
FTPS = FTP mit TLS.
---
**Aufgabe 19**
Warum ist „Port 53 freigeben“ ungenau?
Antwort anzeigen
Die Angabe ist ungenau,
weil nicht klar ist,
ob TCP 53,
UDP 53
oder beides gemeint ist.
Bei Firewall-Regeln müssen angegeben werden:
Quelle
Ziel
Protokoll
Port
Aktion
Merksatz:
Portnummer ohne TCP oder UDP ist unvollständig.
---
**Aufgabe 20**
Warum ist „Port 443 erlauben“ in einer Firewall-Regel noch nicht vollständig?
Antwort anzeigen
Es fehlen wichtige Angaben:
Quelle
Ziel
Protokoll
Richtung
Aktion
Zweck
Besser:
Quelle:
Internet
Ziel:
Webserver-DMZ
Protokoll:
TCP
Port:
443
Aktion:
erlauben
Zweck:
HTTPS-Zugriff
Merksatz:
Firewall-Regeln brauchen mehr als nur eine Portnummer.
---
**Aufgabe 21**
Was bedeutet LISTEN bei einem TCP-Port?
Antwort anzeigen
LISTEN bedeutet:
Ein Dienst wartet auf eingehende Verbindungen.
Beispiel:
Webserver lauscht auf TCP 443.
Merksatz:
LISTEN = Dienst wartet auf Verbindung.
---
**Aufgabe 22**
Was bedeutet ESTABLISHED bei TCP?
Antwort anzeigen
ESTABLISHED bedeutet:
Eine TCP-Verbindung besteht aktiv.
Beispiel:
Client hat eine HTTPS-Verbindung zum Server aufgebaut.
Merksatz:
ESTABLISHED = Verbindung besteht.
---
**Aufgabe 23**
Was bedeutet SYN_SENT?
Antwort anzeigen
SYN_SENT bedeutet:
Der Client hat einen TCP-Verbindungsaufbau gestartet
und wartet auf Antwort.
Wenn es hängen bleibt,
sind möglich:
Ziel nicht erreichbar
Port blockiert
Dienst antwortet nicht
Firewall blockiert
Routingproblem
Merksatz:
SYN_SENT zeigt:
Anfrage raus,
Antwort fehlt.
---
**Aufgabe 24**
Was bedeutet TIME_WAIT?
Antwort anzeigen
TIME_WAIT ist ein TCP-Zustand nach dem Schließen einer Verbindung.
Er sorgt dafür,
dass verspätete Pakete einer alten Verbindung nicht mit neuen Verbindungen verwechselt werden.
Merksatz:
TIME_WAIT nach Verbindungsende ist normal.
---
**Aufgabe 25**
Ein Server ist per ping erreichbar,
aber TCP 22 ist nicht erreichbar.
Was ist wahrscheinlich?
Antwort anzeigen
Ping prüft ICMP.
TCP 22 ist SSH.
Mögliche Ursachen:
SSH-Dienst läuft nicht
SSH lauscht auf anderem Port
lokale Firewall blockiert
Netzwerkfirewall blockiert
Zugriff nur aus bestimmten Netzen erlaubt
Dienst lauscht nur auf localhost
Merksatz:
Host erreichbar heißt nicht:
Dienst erreichbar.
---
**Aufgabe 26**
Ein Webserver ist intern auf TCP 443 erreichbar,
aber nicht von außen.
Was sollte geprüft werden?
Antwort anzeigen
Prüfen:
öffentliche IP
DNS
Portweiterleitung
Router-Firewall
lokale Firewall
Dienststatus
doppeltes NAT
CGNAT
Provider blockiert Port
Merksatz:
Intern ja,
extern nein:
NAT,
Firewall,
DNS
und öffentliche IP prüfen.
---
**Aufgabe 27**
Ein Dienst läuft,
lauscht aber nur auf 127.0.0.1.
Was bedeutet das?
Antwort anzeigen
127.0.0.1 ist localhost.
Wenn ein Dienst nur auf 127.0.0.1 lauscht,
ist er nur lokal auf dem Server erreichbar.
Andere Geräte können ihn nicht direkt erreichen.
Prüfen:
Bind-Adresse
Dienstkonfiguration
Firewall
Merksatz:
127.0.0.1 = nur lokal.
---
**Aufgabe 28**
Ein Dienst lauscht auf 0.0.0.0.
Was bedeutet das?
Antwort anzeigen
0.0.0.0 bedeutet bei einem lauschenden Dienst:
Der Dienst lauscht auf allen IPv4-Schnittstellen des Systems.
Wichtig:
Ob der Dienst erreichbar ist,
hängt zusätzlich von Firewall,
Routing,
NAT
und Berechtigungen ab.
Merksatz:
0.0.0.0 = alle IPv4-Interfaces.
---
**Aufgabe 29**
Warum ersetzt ping keinen Porttest?
Antwort anzeigen
ping prüft ICMP-Erreichbarkeit.
ping prüft nicht:
TCP-Port
UDP-Port
Dienststatus
Anwendung
Anmeldung
Berechtigungen
Beispiel:
Ein Server kann auf ping antworten,
obwohl TCP 443 blockiert ist.
Merksatz:
ping prüft den Host,
nicht den Dienst.
---
**Aufgabe 30**
Welche Werkzeuge oder Methoden eignen sich zur Portprüfung?
Antwort anzeigen
Mögliche Prüfungen:
Dienststatus prüfen
Firewall-Logs prüfen
Porttest vom Client aus
ss oder netstat auf dem Server
curl für HTTP/HTTPS
Verbindungsprüfung mit geeigneten Tools
Logs des Dienstes prüfen
Wichtig:
Immer TCP oder UDP beachten.
Merksatz:
Portprüfung braucht Richtung,
Ziel,
Protokoll
und Dienststatus.
---
**Aufgabe 31**
Warum sollte RDP nicht direkt aus dem Internet erreichbar sein?
Antwort anzeigen
RDP ist ein häufiges Angriffsziel.
Risiken:
Brute Force
Credential Stuffing
Exploits
unberechtigter Fernzugriff
Besser:
VPN
RDP-Gateway
MFA
Zugriff nur von bekannten Quellnetzen
Logging
Merksatz:
RDP nicht offen ins Internet stellen.
---
**Aufgabe 32**
Warum sollte SMB nicht direkt aus dem Internet erreichbar sein?
Antwort anzeigen
SMB ist für Datei- und Druckfreigaben gedacht
und sollte nicht öffentlich erreichbar sein.
Risiken:
Datenabfluss
Malware-Ausbreitung
Brute Force
Ausnutzung von Schwachstellen
Zugriff auf interne Freigaben
Merksatz:
SMB gehört nicht offen ins Internet.
---
**Aufgabe 33**
Warum sollte Telnet nicht verwendet werden?
Antwort anzeigen
Telnet überträgt unverschlüsselt.
Risiken:
Zugangsdaten können mitgelesen werden
Sitzungen können mitgelesen werden
Man-in-the-Middle-Angriffe möglich
Sichere Alternative:
SSH
Merksatz:
Telnet unsicher,
SSH sicherer.
---
**Aufgabe 34**
Ordne sichere und unsichere Varianten zu.
| Unsicherer Dienst | Sicherere Alternative |
|---|---|
| Telnet | ? |
| FTP | ? |
| HTTP | ? |
| POP3 | ? |
| IMAP | ? |
Antwort anzeigen
| Unsicherer Dienst | Sicherere Alternative |
|---|---|
| Telnet | SSH |
| FTP | SFTP oder FTPS |
| HTTP | HTTPS |
| POP3 | POP3S |
| IMAP | IMAPS |
Merksatz:
Unverschlüsselte Dienste vermeiden,
wenn sensible Daten übertragen werden.
---
**Aufgabe 35**
Welcher Port passt zu welchem Dienst?
| Port | Dienst |
|---:|---|
| 22 | ? |
| 53 | ? |
| 67/68 | ? |
| 80 | ? |
| 123 | ? |
| 443 | ? |
| 445 | ? |
| 3389 | ? |
Antwort anzeigen
| Port | Dienst |
|---:|---|
| 22 | SSH / SFTP |
| 53 | DNS |
| 67/68 | DHCP |
| 80 | HTTP |
| 123 | NTP |
| 443 | HTTPS |
| 445 | SMB |
| 3389 | RDP |
---
**Aufgabe 36**
Welcher Dienst passt zu welchem Port?
| Dienst | Port |
|---|---|
| SSH | ? |
| DNS | ? |
| DHCP | ? |
| HTTP | ? |
| HTTPS | ? |
| SMB | ? |
| RDP | ? |
| NTP | ? |
Antwort anzeigen
| Dienst | Port |
|---|---|
| SSH | TCP 22 |
| DNS | UDP/TCP 53 |
| DHCP | UDP 67/68 |
| HTTP | TCP 80 |
| HTTPS | TCP 443 |
| SMB | TCP 445 |
| RDP | TCP 3389 |
| NTP | UDP 123 |
---
**Aufgabe 37**
Ein DNS-Server ist nicht erreichbar.
Welche Firewall-Regel könnte fehlen?
Antwort anzeigen
Möglicherweise fehlt:
UDP 53
und je nach Fall auch:
TCP 53
Saubere Regel:
Quelle:
Clientnetz
Ziel:
DNS-Server
Protokoll:
UDP und TCP
Port:
53
Aktion:
erlauben
Merksatz:
DNS braucht meistens UDP 53,
TCP 53 mitdenken.
---
**Aufgabe 38**
Ein Client erhält keine DHCP-Adresse.
Welche Ports sind relevant?
Antwort anzeigen
Relevant sind:
UDP 67
UDP 68
Zusätzlich prüfen:
DHCP-Server
VLAN
DHCP-Relay
DHCP-Scope
Firewall-Regeln
Merksatz:
DHCP = UDP 67 und 68.
---
**Aufgabe 39**
Welche Antwort ist besser?
Aufgabe:
Ein Server ist pingbar,
aber die Webseite funktioniert nicht.
Was prüfen Sie?
Antwort A:
Der Server ist erreichbar,
also ist alles gut.
Antwort B:
ping prüft nur ICMP.
Für die Webseite müssen TCP 80 oder TCP 443,
Webdienst,
Firewall,
TLS
und Anwendung geprüft werden.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort unterscheidet Host-Erreichbarkeit
und Dienst-Erreichbarkeit.
Merksatz:
ping ist kein Diensttest.
---
**Aufgabe 40**
Welche Antwort ist besser?
Aufgabe:
Warum ist eine Firewall-Regel mit „Port 443 erlauben“ unvollständig?
Antwort A:
Weil man noch mehr schreiben kann.
Antwort B:
Für eine saubere Firewall-Regel fehlen Quelle,
Ziel,
Protokoll,
Richtung,
Aktion
und Zweck.
Außerdem muss TCP 443 genannt werden,
weil Portnummern ohne Transportprotokoll ungenau sind.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort erklärt fachlich,
welche Angaben in einer Regel fehlen.
Merksatz:
Firewall-Regel vollständig formulieren.
---
**Mini-Prüfung: Ports auswendig**
| Dienst | Protokoll und Port |
|---|---|
| FTP | TCP 21 |
| SSH | TCP 22 |
| SFTP | TCP 22 |
| SMTP | TCP 25 |
| DNS | UDP/TCP 53 |
| DHCP Server | UDP 67 |
| DHCP Client | UDP 68 |
| HTTP | TCP 80 |
| POP3 | TCP 110 |
| NTP | UDP 123 |
| IMAP | TCP 143 |
| SNMP | UDP 161 |
| HTTPS | TCP 443 |
| SMB | TCP 445 |
| SMTPS | TCP 465 |
| IMAPS | TCP 993 |
| POP3S | TCP 995 |
| RDP | TCP 3389 |
---
**Mini-Prüfung: Fehlerbilder**
| Fehlerbild | Wahrscheinlichstes Thema |
|---|---|
| ping geht, SSH nicht | TCP 22, SSH-Dienst, Firewall |
| ping geht, HTTPS nicht | TCP 443, Webdienst, Firewall, TLS |
| DNS antwortet nicht | UDP/TCP 53 |
| DHCP funktioniert nicht | UDP 67/68, DHCP, VLAN, Relay |
| SMB-Freigabe nicht erreichbar | TCP 445, Firewall, SMB-Dienst |
| RDP geht nicht | TCP 3389, RDP-Dienst, Firewall |
| Dienst nur lokal erreichbar | bindet nur an 127.0.0.1 |
| Port offen, Login scheitert | Authentifizierung |
| Port offen, Zugriff verweigert | Autorisierung |
| SYN_SENT bleibt stehen | Antwort fehlt, Firewall, Routing oder Dienst |
---
**Typische Prüfungsfallen**
| Falle | Richtig denken |
|---|---|
| Portnummer ohne TCP/UDP | unvollständig |
| ping ersetzt Porttest | falsch |
| DNS nur UDP | meistens UDP, aber TCP mitdenken |
| SFTP und FTPS gleichsetzen | falsch |
| HTTP und HTTPS gleichsetzen | falsch |
| RDP ins Internet öffnen | Sicherheitsrisiko |
| SMB ins Internet öffnen | Sicherheitsrisiko |
| Dienst läuft = Dienst erreichbar | nicht automatisch |
| 127.0.0.1 als Bind-Adresse übersehen | nur lokal erreichbar |
| Firewall-Regel ohne Quelle und Ziel | unvollständig |
---
**IHK-sichere Kurzformulierung**
Ports gehören zur OSI-Schicht 4 und werden von TCP oder UDP genutzt, um Daten dem richtigen Dienst oder Prozess zuzuordnen. Eine IP-Adresse identifiziert den Host, der Port den Dienst. Standardports sollten immer zusammen mit dem Transportprotokoll gelernt werden, zum Beispiel SSH TCP 22, DNS UDP/TCP 53, HTTP TCP 80, HTTPS TCP 443, SMB TCP 445 und RDP TCP 3389. ping prüft nur ICMP-Erreichbarkeit und ersetzt keinen Port- oder Diensttest. Für Firewall-Regeln reicht eine Portnummer allein nicht aus; benötigt werden Quelle, Ziel, Protokoll, Port, Richtung, Aktion und Zweck.
---
**Merksätze**
IP findet den Host.
Port findet den Dienst.
Ports gehören zu Schicht 4.
TCP und UDP unterscheiden.
Portnummer ohne TCP oder UDP ist unvollständig.
SSH = TCP 22.
SFTP = TCP 22.
DNS = UDP/TCP 53.
DHCP = UDP 67 und 68.
HTTP = TCP 80.
HTTPS = TCP 443.
SMB = TCP 445.
RDP = TCP 3389.
NTP = UDP 123.
SMTP sendet E-Mails.
IMAP synchronisiert E-Mails.
POP3 ruft E-Mails ab.
FTP ist unverschlüsselt.
SFTP nutzt SSH.
FTPS ist FTP mit TLS.
Telnet vermeiden,
SSH nutzen.
HTTP vermeiden,
HTTPS nutzen.
ping ist kein Porttest.
Host erreichbar heißt nicht:
Dienst erreichbar.
LISTEN heißt:
Dienst wartet.
ESTABLISHED heißt:
Verbindung besteht.
SYN_SENT heißt:
Anfrage raus,
Antwort fehlt.
127.0.0.1 heißt:
nur lokal.
0.0.0.0 heißt:
alle IPv4-Interfaces.
RDP nicht offen ins Internet stellen.
SMB nicht offen ins Internet stellen.
Firewall-Regeln brauchen Quelle,
Ziel,
Protokoll,
Port,
Richtung,
Aktion
und Zweck.
# 20.18 Spezialtrainer – Firewall-Regeln und Sicherheitszonen
Dieser Spezialtrainer ist eine zusätzliche Übungsseite.
Der allgemeine Netzwerktechnik-Trainer ist bereits abgeschlossen.
Diese Seite dient nur als vertiefender Trainer für Firewall-Regeln,
Sicherheitszonen,
DMZ,
VLAN-Trennung
und typische Prüfungsformulierungen.
Ziel ist,
Firewall-Aufgaben sauber,
vollständig
und prüfungssicher zu beantworten.
Merksatz:
Eine Firewall-Regel ohne Quelle,
Ziel,
Protokoll,
Port,
Aktion
und Zweck ist unvollständig.
---
**Lernziele**
Nach dieser Seite solltest du sicher können:
- Firewall-Regeln vollständig formulieren
- Quelle,
Ziel,
Port
und Protokoll unterscheiden
- Sicherheitszonen erklären
- DMZ-Regeln bewerten
- Any-to-Any-Regeln kritisch einordnen
- Default Deny erklären
- typische Fehlkonfigurationen erkennen
- sichere Alternativen zu breiten Freigaben nennen
---
**Grundaufbau einer Firewall-Regel**
Eine saubere Firewall-Regel enthält mindestens:
| Bestandteil | Bedeutung |
|---|---|
| Quelle | Von wo kommt der Verkehr? |
| Ziel | Wohin geht der Verkehr? |
| Protokoll | TCP, UDP, ICMP oder anderes |
| Port | Welcher Dienst ist gemeint? |
| Richtung | Eingehend oder ausgehend |
| Aktion | Erlauben oder blockieren |
| Zweck | Warum gibt es diese Regel? |
Merksatz:
Quelle,
Ziel,
Protokoll,
Port,
Aktion,
Zweck.
---
**Typische Sicherheitszonen**
| Zone | Bedeutung |
|---|---|
| Internet | unsicheres externes Netz |
| DMZ | Zone für öffentlich erreichbare Dienste |
| internes Netz | interne Clients und Systeme |
| Servernetz | interne Server |
| Managementnetz | Administration von Systemen |
| Gastnetz | Netz für Gäste oder fremde Geräte |
| VPN-Netz | Netz für entfernte Benutzer |
| Backup-Netz | Netz für Sicherungen und Wiederherstellung |
Merksatz:
Zonen trennen Systeme nach Schutzbedarf.
---
**Aufgabe 1**
Was ist eine Firewall?
Antwort anzeigen
Eine Firewall ist ein System,
das Netzwerkverkehr anhand von Regeln erlaubt oder blockiert.
Typische Kriterien:
Quelle
Ziel
Protokoll
Port
Richtung
Zone
Benutzer
Anwendung
Verbindungszustand
Merksatz:
Firewall = kontrollierter Netzwerkverkehr.
---
**Aufgabe 2**
Warum reicht die Regel „Port 443 erlauben“ nicht aus?
Antwort anzeigen
Die Regel ist unvollständig.
Es fehlen:
Quelle
Ziel
Protokoll
Richtung
Aktion
Zweck
Besser:
Quelle:
Internet
Ziel:
Webserver-DMZ
Protokoll:
TCP
Port:
443
Aktion:
erlauben
Zweck:
HTTPS-Zugriff auf Webserver
Merksatz:
Port allein ist keine vollständige Firewall-Regel.
---
**Aufgabe 3**
Warum ist „Port 53 erlauben“ ungenau?
Antwort anzeigen
Es fehlt das Transportprotokoll.
DNS nutzt:
UDP 53
und bei Bedarf:
TCP 53
Eine Regel für TCP 53 erlaubt nicht automatisch UDP 53.
Merksatz:
Portnummer immer mit TCP oder UDP nennen.
---
**Aufgabe 4**
Was bedeutet Default Deny?
Antwort anzeigen
Default Deny bedeutet:
Standardmäßig ist Verkehr blockiert.
Nur ausdrücklich erlaubter Verkehr wird zugelassen.
Vorteile:
kleinere Angriffsfläche
bessere Kontrolle
weniger unbeabsichtigte Freigaben
klare Sicherheitsstruktur
Merksatz:
Erst blockieren,
dann gezielt erlauben.
---
**Aufgabe 5**
Was ist eine Any-to-Any-Regel?
Antwort anzeigen
Any-to-Any bedeutet:
jede Quelle
zu
jedem Ziel
Meist zusätzlich:
alle Ports
alle Protokolle
erlauben
Das ist kritisch,
weil sehr viel Verkehr ungeprüft zugelassen wird.
Merksatz:
Any-to-Any ist eine sehr breite Freigabe.
---
**Aufgabe 6**
Warum ist Any-to-Any kritisch?
Antwort anzeigen
Risiken:
große Angriffsfläche
schlechte Nachvollziehbarkeit
Sicherheitszonen werden umgangen
unnötige Freigaben
laterale Bewegung wird erleichtert
Fehler schwerer erkennbar
Besser:
gezielte Regeln mit Quelle,
Ziel,
Port,
Protokoll
und Zweck.
Merksatz:
Je breiter die Regel,
desto größer das Risiko.
---
**Aufgabe 7**
Welche Regel ist besser?
A:
Quelle: internes Netz
Ziel: any
Port: any
Aktion: erlauben
B:
Quelle: Clientnetz
Ziel: DNS-Server
Protokoll: UDP/TCP
Port: 53
Aktion: erlauben
Zweck: DNS-Auflösung
Antwort anzeigen
B ist besser.
Begründung:
Die Regel ist genauer.
Sie erlaubt nur den benötigten DNS-Verkehr
zum vorgesehenen DNS-Server.
Regel A ist zu breit,
weil sie jeden Verkehr zu jedem Ziel erlaubt.
Merksatz:
Genau erlauben,
nicht pauschal freigeben.
---
**Aufgabe 8**
Ein Webserver in der DMZ soll öffentlich per HTTPS erreichbar sein.
Formuliere eine passende Regel.
Antwort anzeigen
Passende Regel:
| Quelle | Ziel | Protokoll | Port | Aktion | Zweck |
|---|---|---|---:|---|---|
| Internet | Webserver-DMZ | TCP | 443 | erlauben | HTTPS-Zugriff |
Wichtig:
Keine pauschale Freigabe vom Internet ins interne Netz.
Merksatz:
Öffentlich nur den benötigten Dienst freigeben.
---
**Aufgabe 9**
Ein Webserver in der DMZ braucht Zugriff auf eine interne Datenbank.
Formuliere eine möglichst sichere Regel.
Antwort anzeigen
Beispielregel:
| Quelle | Ziel | Protokoll | Port | Aktion | Zweck |
|---|---|---|---:|---|---|
| Webserver-DMZ | interner Datenbankserver | TCP | 5432 | erlauben | Anwendung benötigt Datenbank |
Wichtig:
Nur der konkrete Webserver darf auf den konkreten Datenbankserver zugreifen.
Nur der benötigte Datenbankport wird erlaubt.
Kein Any-to-Any zwischen DMZ und internem Netz.
Merksatz:
DMZ zu intern nur minimal und gezielt erlauben.
---
**Aufgabe 10**
Warum sollte eine Datenbank nicht direkt aus dem Internet erreichbar sein?
Antwort anzeigen
Eine Datenbank enthält oft sensible Daten
und ist ein attraktives Angriffsziel.
Risiken:
Brute Force
Exploits
Datenabfluss
Manipulation
DoS
Besser:
Zugriff nur vom Anwendungsserver
privates Netz
Firewall-Beschränkung
starke Authentifizierung
Logging
Merksatz:
Datenbankports gehören nicht offen ins Internet.
---
**Aufgabe 11**
Ein Gastnetz soll eingerichtet werden.
Welche Regeln sind sinnvoll?
Antwort anzeigen
Typische Regeln:
| Quelle | Ziel | Aktion | Zweck |
|---|---|---|---|
| Gastnetz | Internet | erlauben | Internetzugriff für Gäste |
| Gastnetz | internes Netz | blockieren | interne Systeme schützen |
| Gastnetz | Servernetz | blockieren | Server schützen |
| Gastnetz | Managementnetz | blockieren | Administration schützen |
Merksatz:
Gastnetz nur ins Internet,
nicht ins interne Netz.
---
**Aufgabe 12**
Ein Managementnetz soll geschützt werden.
Welche Regeln sind sinnvoll?
Antwort anzeigen
Sinnvolle Regeln:
Adminnetz zu Servern:
benötigte Adminports erlauben
Adminnetz zu Switches:
SSH oder HTTPS erlauben
Clientnetz zu Managementnetz:
blockieren
Gastnetz zu Managementnetz:
blockieren
Internet zu Managementnetz:
blockieren
Zusätzlich:
MFA
Logging
getrennte Admin-Konten
Least Privilege
Merksatz:
Managementzugänge besonders schützen.
---
**Aufgabe 13**
Ein Clientnetz soll nur DNS zum internen DNS-Server nutzen dürfen.
Formuliere die Regel.
Antwort anzeigen
Regel:
| Quelle | Ziel | Protokoll | Port | Aktion | Zweck |
|---|---|---|---:|---|---|
| Clientnetz | interner DNS-Server | UDP/TCP | 53 | erlauben | DNS-Auflösung |
Optional zusätzlich:
Clientnetz zu externen DNS-Servern blockieren,
wenn DNS zentral kontrolliert werden soll.
Merksatz:
DNS-Regeln brauchen UDP 53,
TCP 53 mitdenken.
---
**Aufgabe 14**
Ein Clientnetz soll per HTTPS ins Internet.
Formuliere eine sinnvolle Regel.
Antwort anzeigen
Regel:
| Quelle | Ziel | Protokoll | Port | Aktion | Zweck |
|---|---|---|---:|---|---|
| Clientnetz | Internet | TCP | 443 | erlauben | HTTPS-Webzugriff |
Je nach Umgebung zusätzlich:
HTTP TCP 80 erlauben oder blockieren
Proxy verwenden
Webfilter einsetzen
Logging aktivieren
Merksatz:
Webzugriff gezielt und protokolliert erlauben.
---
**Aufgabe 15**
Ein Clientnetz soll nicht direkt auf Server-Managementports zugreifen.
Welche Regel ist sinnvoll?
Antwort anzeigen
Sinnvolle Block-Regel:
| Quelle | Ziel | Protokoll | Port | Aktion | Zweck |
|---|---|---|---:|---|---|
| Clientnetz | Servernetz | TCP | 22, 3389 | blockieren | direkte Administration verhindern |
Besser:
Administration nur aus Adminnetz erlauben.
Merksatz:
Normale Clients sollen keine Adminports erreichen.
---
**Aufgabe 16**
Warum sollte SSH nur aus dem Adminnetz erlaubt sein?
Antwort anzeigen
SSH ist ein Administrationszugang.
Wenn SSH aus allen Netzen erreichbar ist,
steigt das Risiko für:
Brute Force
Missbrauch gestohlener Zugangsdaten
laterale Bewegung
unautorisierte Administration
Besser:
Quelle auf Adminnetz beschränken
MFA oder Schlüssel nutzen
Logging aktivieren
Merksatz:
Adminzugänge nur aus Adminnetzen erlauben.
---
**Aufgabe 17**
Warum sollte RDP nicht direkt aus dem Internet erreichbar sein?
Antwort anzeigen
RDP ist ein häufiges Angriffsziel.
Risiken:
Brute Force
Credential Stuffing
Exploits
unberechtigter Zugriff
Sicherer:
VPN
RDP-Gateway
MFA
Zugriff nur von bekannten Quellnetzen
Logging
Merksatz:
RDP nicht offen ins Internet stellen.
---
**Aufgabe 18**
Warum sollte SMB nicht zwischen allen Netzen erlaubt sein?
Antwort anzeigen
SMB ermöglicht Datei- und Druckfreigaben.
Risiken bei breiter Freigabe:
Datenabfluss
Malware-Ausbreitung
laterale Bewegung
Zugriff auf interne Freigaben
Ausnutzung von Schwachstellen
Besser:
SMB nur gezielt zwischen benötigten Systemen erlauben.
Merksatz:
SMB breit freigeben ist riskant.
---
**Aufgabe 19**
Was bedeutet Regelreihenfolge bei Firewalls?
Antwort anzeigen
Viele Firewalls verarbeiten Regeln von oben nach unten.
Die erste passende Regel entscheidet.
Problem:
Eine breite Erlauben-Regel kann spätere Block-Regeln wirkungslos machen.
Oder:
Eine frühe Block-Regel kann spätere Erlauben-Regeln überdecken.
Merksatz:
Firewall-Regeln auch in der richtigen Reihenfolge prüfen.
---
**Aufgabe 20**
Eine Erlauben-Regel existiert,
aber der Zugriff funktioniert nicht.
Was sollte geprüft werden?
Antwort anzeigen
Prüfen:
Regelreihenfolge
Quelle korrekt?
Ziel korrekt?
Protokoll korrekt?
Port korrekt?
Richtung korrekt?
Zone korrekt?
NAT-Regel nötig?
Rückverkehr erlaubt oder stateful?
lokale Firewall auf Zielsystem
Dienst läuft?
Logs prüfen
Merksatz:
Eine Regel allein beweist noch nicht,
dass der Zugriff funktioniert.
---
**Aufgabe 21**
Was ist eine Stateful Firewall?
Antwort anzeigen
Eine Stateful Firewall merkt sich den Zustand von Verbindungen.
Wenn ein Client eine Verbindung nach außen startet,
kann die Firewall passende Antwortpakete automatisch erlauben.
Vorteil:
Rückverkehr muss nicht immer manuell als eigene Regel definiert werden.
Merksatz:
Stateful Firewall kennt Verbindungszustände.
---
**Aufgabe 22**
Was ist eine Stateless Firewall?
Antwort anzeigen
Eine Stateless Firewall prüft Pakete einzeln.
Sie merkt sich keinen Verbindungszustand.
Folge:
Regeln für Hin-
und Rückrichtung müssen genauer berücksichtigt werden.
Merksatz:
Stateless Firewall kennt keine Verbindungshistorie.
---
**Aufgabe 23**
Was ist der Unterschied zwischen Firewall und ACL?
Antwort anzeigen
ACL steht für:
Access Control List
Eine ACL ist eine Liste von Regeln,
die Zugriff erlaubt oder blockiert.
Eine Firewall kann ACL-ähnliche Regeln nutzen,
bietet aber je nach System weitere Funktionen:
Zustandsprüfung
Logging
NAT
Anwendungskontrolle
Benutzerbezug
IDS/IPS-Funktionen
Merksatz:
ACL ist Regelliste.
Firewall ist oft umfassenderes Schutzsystem.
---
**Aufgabe 24**
Was ist eine Security Group in der Cloud?
Antwort anzeigen
Eine Security Group ist eine ressourcennahe Zugriffskontrolle in Cloud-Umgebungen.
Sie steuert typischerweise:
eingehenden Verkehr
ausgehenden Verkehr
Ports
Protokolle
Quellen
Ziele
Merksatz:
Security Group ist wie eine Cloud-nahe Firewall-Regelgruppe.
---
**Aufgabe 25**
Eine Cloud-VM ist nicht per SSH erreichbar.
Was sollte geprüft werden?
Antwort anzeigen
Prüfen:
Security Group erlaubt TCP 22?
Quelle korrekt eingeschränkt?
VM hat richtige IP?
Route ins Subnetz korrekt?
Network ACL korrekt?
lokale Firewall der VM?
SSH-Dienst läuft?
SSH lauscht auf TCP 22?
Benutzer oder Schlüssel korrekt?
Merksatz:
Cloud-Zugriff braucht Security Group,
Route,
lokale Firewall
und Dienst.
---
**Aufgabe 26**
Eine Webanwendung in der Cloud soll öffentlich erreichbar sein,
die Datenbank aber nicht.
Welche Grundidee ist richtig?
Antwort anzeigen
Richtig:
Webserver oder Load Balancer öffentlich erreichbar machen.
Datenbank in privatem Subnetz betreiben.
Zugriff auf Datenbank nur vom Anwendungsserver erlauben.
Security Group der Datenbank eng einschränken.
Merksatz:
Web nach außen,
Datenbank privat.
---
**Aufgabe 27**
Ein VPN-Benutzer soll nur einen Server erreichen dürfen.
Welche Regel ist sinnvoll?
Antwort anzeigen
Beispielregel:
| Quelle | Ziel | Protokoll | Port | Aktion | Zweck |
|---|---|---|---:|---|---|
| VPN-Benutzergruppe Dienstleister | Zielserver | TCP | 22 | erlauben | Wartung durch Dienstleister |
Zusätzlich blockieren:
VPN-Dienstleister zu restlichem internen Netz
Merksatz:
VPN-Zugriff nach Least Privilege begrenzen.
---
**Aufgabe 28**
Warum ist „VPN-Benutzer dürfen alles im internen Netz“ kritisch?
Antwort anzeigen
Risiken:
kompromittierte VPN-Zugangsdaten führen zu großem Schaden
laterale Bewegung im Netz möglich
Dienstleister sehen zu viele Systeme
Angriffe können sich leichter ausbreiten
Besser:
Zugriff nach Gruppen
nur benötigte Zielsysteme
nur benötigte Ports
Logging
MFA
Merksatz:
VPN ist ein Eingang ins Netz,
kein Freifahrtschein.
---
**Aufgabe 29**
Ein Backup-Server soll besonders geschützt werden.
Welche Regeln sind sinnvoll?
Antwort anzeigen
Sinnvolle Grundidee:
Nur Backup-Clients oder Backup-Agenten dürfen zum Backup-Server kommunizieren.
Normale Benutzer dürfen nicht direkt auf Backup-Speicher zugreifen.
Administration nur aus Adminnetz.
Löschrechte stark begrenzen.
Backup-Logs und Monitoring erlauben.
Beispiel:
| Quelle | Ziel | Aktion | Zweck |
|---|---|---|---|
| Backup-Clients | Backup-Server | erlauben | Sicherung durchführen |
| Clientnetz | Backup-Speicher | blockieren | Schutz vor Manipulation |
| Adminnetz | Backup-Server | erlauben | Administration |
| Internet | Backup-Server | blockieren | Schutz vor Angriffen |
Merksatz:
Backups brauchen besonders strenge Zugriffskontrolle.
---
**Aufgabe 30**
Warum ist eine Firewall-Regel ohne Zweck problematisch?
Antwort anzeigen
Ohne Zweck ist später unklar:
warum die Regel existiert
ob sie noch benötigt wird
wer verantwortlich ist
ob sie entfernt werden kann
welches Risiko sie abdeckt
Folge:
Regelwerke werden unübersichtlich
und unsichere Altregeln bleiben bestehen.
Merksatz:
Jede Firewall-Regel braucht eine Begründung.
---
**Aufgabe 31**
Was ist eine Regelwerksprüfung?
Antwort anzeigen
Eine Regelwerksprüfung kontrolliert bestehende Firewall-Regeln.
Geprüft wird:
Ist die Regel noch nötig?
Ist Quelle und Ziel genau genug?
Ist der Port korrekt?
Ist Any-to-Any vorhanden?
Gibt es doppelte Regeln?
Gibt es ungenutzte Regeln?
Ist der Zweck dokumentiert?
Gibt es Ablaufdaten für temporäre Regeln?
Merksatz:
Firewall-Regeln müssen regelmäßig aufgeräumt werden.
---
**Aufgabe 32**
Was ist eine temporäre Firewall-Regel?
Antwort anzeigen
Eine temporäre Regel ist nur für begrenzte Zeit gedacht.
Beispiele:
Wartung
Migration
Test
Fehleranalyse
Wichtig:
Ablaufdatum dokumentieren
Verantwortlichen nennen
nach Nutzung entfernen
Merksatz:
Temporäre Regeln dürfen nicht dauerhaft vergessen werden.
---
**Aufgabe 33**
Was ist Logging bei Firewall-Regeln?
Antwort anzeigen
Logging bedeutet:
Erlaubter oder blockierter Verkehr wird protokolliert.
Nutzen:
Fehlersuche
Sicherheitsanalyse
Nachvollziehbarkeit
Erkennen von Angriffen
Regelwerksprüfung
Merksatz:
Firewall-Logs zeigen,
was wirklich passiert.
---
**Aufgabe 34**
Ein Zugriff funktioniert nicht.
Im Firewall-Log steht „Deny TCP 443“.
Was bedeutet das?
Antwort anzeigen
Bedeutung:
Verkehr zu TCP 443 wurde blockiert.
Prüfen:
Ist der Zugriff gewollt?
Quelle korrekt?
Ziel korrekt?
Regel fehlt?
Regelreihenfolge falsch?
falsche Zone?
falscher Port?
Merksatz:
Deny im Log ist ein konkreter Hinweis,
keine Vermutung.
---
**Aufgabe 35**
Ein Zugriff soll blockiert sein,
aber er funktioniert trotzdem.
Was sollte geprüft werden?
Antwort anzeigen
Prüfen:
Gibt es eine frühere Allow-Regel?
Regelreihenfolge korrekt?
falsche Quelle oder falsches Ziel?
falsche Zone?
anderer Port oder anderes Protokoll?
NAT verändert Ziel oder Quelle?
Verbindung bereits bestehend bei Stateful Firewall?
Logs prüfen
Merksatz:
Wenn Block nicht wirkt,
Regelreihenfolge und Matching prüfen.
---
**Aufgabe 36**
Welche Antwort ist besser?
Aufgabe:
Warum ist eine Any-to-Any-Regel unsicher?
Antwort A:
Weil sie zu offen ist.
Antwort B:
Eine Any-to-Any-Regel erlaubt Verkehr von jeder Quelle zu jedem Ziel.
Dadurch werden Sicherheitszonen umgangen,
die Angriffsfläche wird stark vergrößert
und laterale Bewegung im Netzwerk wird erleichtert.
Besser sind gezielte Regeln mit Quelle,
Ziel,
Protokoll,
Port
und Zweck.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort nennt Risiko,
Wirkung
und bessere Maßnahme.
Merksatz:
Sicherheitsbewertung braucht Begründung.
---
**Aufgabe 37**
Welche Antwort ist besser?
Aufgabe:
Warum soll ein Gastnetz nicht auf interne Server zugreifen?
Antwort A:
Weil Gäste fremd sind.
Antwort B:
Geräte im Gastnetz sind nicht vertrauenswürdig.
Zugriff auf interne Server würde das Risiko für Datenabfluss,
Malware-Ausbreitung
und unberechtigten Zugriff erhöhen.
Deshalb sollte das Gastnetz nur ins Internet dürfen
und vom internen Netz getrennt werden.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort nennt konkrete Risiken und eine passende Maßnahme.
Merksatz:
Risiko und Maßnahme verbinden.
---
**Aufgabe 38**
Welche Antwort ist besser?
Aufgabe:
Eine Datenbank soll aus dem Internet erreichbar sein.
Bewerten Sie das.
Antwort A:
Datenbank ist wichtig,
also geht das.
Antwort B:
Das ist kritisch,
weil eine öffentlich erreichbare Datenbank direkt Angriffen wie Brute Force,
Exploits,
Datenabfluss
und Manipulation ausgesetzt ist.
Besser ist,
die Datenbank in einem privaten Netz zu betreiben
und nur Zugriff vom Anwendungsserver auf den benötigten Port zu erlauben.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort bewertet fachlich
und nennt eine sichere Alternative.
Merksatz:
Öffentlich erreichbare Datenbanken vermeiden.
---
**Aufgabe 39**
Welche Antwort ist besser?
Aufgabe:
Warum sollten Firewall-Regeln dokumentiert werden?
Antwort A:
Damit man mehr Unterlagen hat.
Antwort B:
Dokumentation macht nachvollziehbar,
warum eine Regel existiert,
wer verantwortlich ist,
welchen Zweck sie erfüllt
und ob sie noch benötigt wird.
Dadurch können unsichere oder veraltete Regeln später entfernt werden.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort erklärt den betrieblichen und sicherheitstechnischen Nutzen.
Merksatz:
Dokumentation hilft Sicherheit und Betrieb.
---
**Aufgabe 40**
Welche Antwort ist besser?
Aufgabe:
Ein Dienst funktioniert nicht.
Was prüfen Sie an der Firewall?
Antwort A:
Firewall an oder aus.
Antwort B:
Ich prüfe Quelle,
Ziel,
Protokoll,
Port,
Richtung,
Zone,
Regelreihenfolge
und Firewall-Logs.
Zusätzlich prüfe ich,
ob NAT oder eine lokale Firewall auf dem Zielsystem beteiligt ist.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort nennt konkrete Prüfpunkte
und ist damit prüfungssicher.
Merksatz:
Firewall prüfen heißt:
Regel-Matching konkret prüfen.
---
**Mini-Prüfung: vollständige Regelangaben**
| Fehlende Angabe | Warum wichtig? |
|---|---|
| Quelle | bestimmt, wer senden darf |
| Ziel | bestimmt, wohin gesendet wird |
| Protokoll | TCP, UDP, ICMP unterscheiden |
| Port | Dienst genau bestimmen |
| Richtung | eingehend oder ausgehend |
| Aktion | erlauben oder blockieren |
| Zweck | spätere Nachvollziehbarkeit |
| Zone | Sicherheitsbereich erkennen |
---
**Mini-Prüfung: sichere Grundregeln**
| Situation | Sichere Grundidee |
|---|---|
| Webserver öffentlich | nur TCP 443 zur DMZ erlauben |
| Datenbank | nicht öffentlich, nur Appserver erlauben |
| Gastnetz | Internet erlauben, intern blockieren |
| Managementnetz | nur Adminnetz darf zugreifen |
| VPN-Dienstleister | nur benötigte Ziele und Ports |
| Backup-Server | kein normaler Benutzerzugriff |
| DNS | Clientnetz zu DNS-Server UDP/TCP 53 |
| RDP | nicht direkt aus Internet |
| SMB | nicht breit zwischen allen Netzen |
| temporäre Regel | Ablaufdatum und Verantwortlichen dokumentieren |
---
**Mini-Prüfung: typische Fehlerbilder**
| Fehlerbild | Wahrscheinliches Thema |
|---|---|
| Zugriff trotz Block-Regel möglich | Regelreihenfolge, falsches Matching |
| Zugriff trotz Allow-Regel nicht möglich | Regelreihenfolge, Zone, Port, NAT, lokale Firewall |
| nur ein Port funktioniert nicht | Firewall-Regel oder Dienst |
| DMZ-Server erreicht internes Ziel nicht | DMZ-zu-intern-Regel fehlt |
| Gastnetz erreicht interne Server | Zonentrennung fehlerhaft |
| VPN-Benutzer sieht alles | Least Privilege fehlt |
| Datenbank aus Internet erreichbar | kritische Fehlkonfiguration |
| Backup-Speicher für Clients offen | Ransomware-Risiko |
| Firewall-Regel unbekannter Zweck | Dokumentationsproblem |
| Deny im Log | Firewall blockiert konkret |
---
**Typische Prüfungsfallen**
| Falle | Richtig denken |
|---|---|
| Portnummer ohne TCP/UDP | unvollständig |
| Quelle und Ziel vergessen | Regel nicht prüfungssicher |
| Any-to-Any als einfache Lösung | Sicherheitsrisiko |
| DMZ mit internem Netz gleichsetzen | falsch, DMZ ist getrennte Zone |
| VLAN ersetzt Firewall | falsch, VLAN trennt nur Layer 2 |
| NAT ersetzt Firewall | falsch, NAT übersetzt |
| RDP direkt ins Internet | hohes Risiko |
| Datenbank öffentlich | hohes Risiko |
| Gastnetz darf intern zugreifen | falsch |
| temporäre Regel bleibt dauerhaft | Regelwerksrisiko |
---
**IHK-sichere Kurzformulierung**
Eine Firewall filtert Netzwerkverkehr anhand von Regeln. Eine vollständige Regel enthält Quelle, Ziel, Protokoll, Port, Richtung, Aktion und Zweck. Nach dem Default-Deny-Prinzip wird Verkehr standardmäßig blockiert und nur gezielt erlaubt. Any-to-Any-Regeln sind kritisch, weil sie Verkehr von jeder Quelle zu jedem Ziel erlauben, Sicherheitszonen umgehen und die Angriffsfläche erhöhen. Öffentlich erreichbare Dienste sollten in einer DMZ betrieben werden. Zugriffe aus der DMZ ins interne Netz müssen minimal und zweckgebunden erlaubt werden. Management-, Gast-, VPN- und Backup-Netze benötigen besonders klare Zugriffsbeschränkungen. Firewall-Logs, Regelreihenfolge und Dokumentation sind wichtig für Fehlersuche und Sicherheit.
---
**Merksätze**
Firewall filtert Verkehr.
NAT übersetzt Adressen.
VLAN trennt Layer 2.
Firewall kontrolliert Verkehr zwischen Zonen.
Default Deny ist sicherer als Default Allow.
Erst blockieren,
dann gezielt erlauben.
Any-to-Any ist kritisch.
Jede Regel braucht Quelle.
Jede Regel braucht Ziel.
Jede Regel braucht Protokoll.
Jede Regel braucht Port.
Jede Regel braucht Aktion.
Jede Regel braucht Zweck.
Portnummer ohne TCP oder UDP ist unvollständig.
DMZ trennt öffentliche Dienste vom internen Netz.
DMZ zu intern nur minimal erlauben.
Gastnetz nicht ins interne Netz lassen.
Managementnetz besonders schützen.
VPN-Zugriff nach Least Privilege.
Backup-Systeme besonders schützen.
RDP nicht direkt ins Internet.
SMB nicht breit freigeben.
Datenbanken nicht öffentlich erreichbar machen.
Regelreihenfolge beachten.
Firewall-Logs auswerten.
Temporäre Regeln mit Ablaufdatum dokumentieren.
Unbenutzte Regeln entfernen.
Gute Firewall-Antwort:
Risiko,
Regel,
Wirkung.
# 21. INTERAKTIVER TRAINER – Netzwerktechnik
Interaktive Übungen und Rechner zur Netzwerktechnik – passend für IHK-Vorbereitung, Wiederholung und praktisches Verständnis.
# 21.1 Trainer – Datenübertragung und Bandbreite
Trainer im Vollbild öffnen
# 21.2 Trainer – Routing, Subnetting und Fehlersuche
Trainer im Vollbild öffnen
# 21.2 Trainer – Routing, Subnetting und Fehlersuche
Trainer im Vollbild öffnen