Netzwerktechnik
1. Grundlagen der Netzwerktechnik
Netzwerk
Ziel dieser Zusammenfassung
Diese Zusammenfassung führt Schritt für Schritt durch zentrale Themen der Netzwerktechnik.
Behandelte Themen:
Grundlagen von Netzwerken
OSI-Schichtenmodell
Schicht 0: Übertragungsmedien
Ethernet-Frame
Sniffer
Schicht 1: Netzwerkkarte und Hub
Schicht 2: MAC-Adresse, Switch, VLAN
Schicht 3: IPv4, IPv6, DHCP, DNS, Routing
Schicht 4: Ports, TCP, UDP, NAT
Firewall-Grundlagen
SPI-Firewall
DMZ
1. Grundlagen der Netzwerktechnik
Ein Netzwerk verbindet mehrere Geräte miteinander, damit diese Daten austauschen und gemeinsame Ressourcen verwenden können.
Typische Geräte in einem Netzwerk:
PC
Notebook
Smartphone
Server
Drucker
NAS
Switch
Router
Firewall
Access Point
Ein Netzwerk besteht also nicht nur aus Computern, sondern aus allen Geräten, die miteinander kommunizieren können.
1.1 Vorteile von Netzwerken
Netzwerke werden eingesetzt, weil sie viele praktische Vorteile bieten:
schneller Datenaustausch
gemeinsame Nutzung von Druckern und Servern
zentrale Datenspeicherung
zentrale Benutzerverwaltung
gemeinsame Internetnutzung
einfachere Sicherung von Daten
bessere Zusammenarbeit im Unternehmen
Beispiel:
In einem Unternehmen müssen nicht alle Mitarbeiter eigene Drucker besitzen. Alle können über das Netzwerk denselben Netzwerkdrucker verwenden.
1.2 Nachteile und Risiken von Netzwerken
Netzwerke bringen auch Risiken mit sich:
Schadsoftware kann sich schneller verbreiten
Angriffe von innen und außen sind möglich
falsche Konfiguration kann Sicherheitslücken erzeugen
Ausfall zentraler Systeme kann viele Benutzer betreffen
Wartung und Administration verursachen Kosten
Deshalb sind Schutzmaßnahmen wie Firewalls, VLANs, Benutzerrechte, Updates und Backups wichtig.
1.3 Netzwerkgrößen
Netzwerke werden oft nach ihrer räumlichen Ausdehnung unterschieden.
Begriff
Bedeutung
Beispiel
LAN
Local Area Network
Netzwerk in einem Büro, Schule oder Zuhause
MAN
Metropolitan Area Network
Netzwerk innerhalb einer Stadt
WAN
Wide Area Network
Netzwerk über große Entfernungen, z. B. Internet
1.4 Topologien
Eine Topologie beschreibt, wie Geräte in einem Netzwerk miteinander verbunden sind.
Topologie
Erklärung
Bus
Alle Geräte hängen an einer gemeinsamen Leitung. Heute veraltet.
Ring
Geräte sind ringförmig verbunden. Daten laufen im Kreis.
Stern
Alle Geräte sind mit einem zentralen Gerät verbunden, meistens einem Switch.
Mesh
Geräte sind mehrfach miteinander verbunden. Dadurch entsteht Redundanz.
Grafik: Sterntopologie
flowchart TD
SW[Switch]
PC1[PC 1]
PC2[PC 2]
PC3[PC 3]
PR[Drucker]
NAS[NAS / Server]
SW --- PC1
SW --- PC2
SW --- PC3
SW --- PR
SW --- NAS
Die Sterntopologie ist heute im LAN am häufigsten. Fällt ein einzelnes Kabel aus, ist meist nur ein Gerät betroffen. Fällt aber der zentrale Switch aus, sind alle daran angeschlossenen Geräte betroffen.
1.5 Simplex, Halbduplex und Vollduplex
Begriff
Bedeutung
Beispiel
Simplex
Kommunikation nur in eine Richtung
Radio, Fernsehsendung
Halbduplex
Kommunikation in beide Richtungen, aber nicht gleichzeitig
Funkgerät
Vollduplex
Kommunikation gleichzeitig in beide Richtungen
modernes Ethernet mit Switch
Merksatz:
Hub = meistens Halbduplex
Switch = Vollduplex möglich
2. OSI-Schichtenmodell
Das OSI-Modell teilt Netzwerkkommunikation in 7 Schichten ein. Jede Schicht hat eine bestimmte Aufgabe.
Der Vorteil: Netzwerkprobleme lassen sich besser eingrenzen.
Beispiel:
Wenn ein PC keine Webseite öffnen kann, kann man schrittweise prüfen:
Ist das Kabel verbunden?
Hat der PC eine IP-Adresse?
Funktioniert DNS?
Ist der Webserver erreichbar?
Blockiert eine Firewall?
2.1 Die 7 OSI-Schichten
Schicht
Name
Aufgabe
Beispiele
7
Anwendung
Dienste für Anwendungen
HTTP, HTTPS, DNS, SMTP
6
Darstellung
Datenformat, Codierung, Verschlüsselung
TLS, Zeichencodierung
5
Sitzung
Verbindungen zwischen Anwendungen verwalten
Sitzungen, Logins
4
Transport
Ende-zu-Ende-Kommunikation
TCP, UDP, Ports
3
Vermittlung
logische Adressierung und Routing
IP, Router
2
Sicherung
lokale Zustellung im LAN
MAC-Adresse, Switch, Ethernet
1
Bitübertragung
elektrische, optische oder Funk-Signale
Netzwerkkarte, Kabel
0
Übertragungsmedium
physisches Medium selbst
Kupfer, Glasfaser, Funk
Hinweis:
Schicht 0 gehört nicht offiziell zum OSI-Modell, wird im Unterricht aber oft als praktische Ergänzung verwendet.
2.2 Merksatz für das OSI-Modell
Von oben nach unten:
Alle Deutschen Schüler Trinken Verschiedene Sorten Brause
Wort
Schicht
Alle
Anwendung
Deutschen
Darstellung
Schüler
Sitzung
Trinken
Transport
Verschiedene
Vermittlung
Sorten
Sicherung
Brause
Bitübertragung
2.3 OSI-Modell als Grafik
flowchart TB
L7["7 Anwendung
HTTP, HTTPS, DNS"]
L6["6 Darstellung
Format, Verschlüsselung"]
L5["5 Sitzung
Sitzungen, Verbindungen"]
L4["4 Transport
TCP, UDP, Ports"]
L3["3 Vermittlung
IP, Routing"]
L2["2 Sicherung
MAC, Switch, Ethernet"]
L1["1 Bitübertragung
Signale, Netzwerkkarte"]
L0["0 Medium
Kabel, Glasfaser, Funk"]
L7 --> L6 --> L5 --> L4 --> L3 --> L2 --> L1 --> L0
2.4 TCP/IP-Modell
In der Praxis wird häufig das TCP/IP-Modell verwendet. Es ist weniger theoretisch als das OSI-Modell und orientiert sich stärker an realen Netzwerken.
TCP/IP-Schicht
Entspricht ungefähr OSI
Beispiele
Anwendung
OSI 5–7
HTTP, HTTPS, DNS, SMTP
Transport
OSI 4
TCP, UDP
Internet
OSI 3
IPv4, IPv6, ICMP
Netzzugang
OSI 1–2
Ethernet, WLAN, MAC
2.5 Datenkapselung
Beim Senden werden Daten auf jeder Schicht verpackt. Jede Schicht fügt eigene Steuerinformationen hinzu.
Beispiel beim Aufruf einer Webseite:
flowchart TD
A["HTTP-Daten
Webseiteninhalt"]
B["TCP-Header + HTTP-Daten
Port 80/443"]
C["IP-Header + TCP + Daten
Quell-IP / Ziel-IP"]
D["Ethernet-Header + IP + TCP + Daten
Quell-MAC / Ziel-MAC"]
E["Bits auf Kabel / Glasfaser / Funk"]
A --> B --> C --> D --> E
Wichtig für die IHK:
MAC-Adresse arbeitet auf Schicht 2
IP-Adresse arbeitet auf Schicht 3
Ports arbeiten auf Schicht 4
Anwendungen wie HTTP oder DNS liegen oben im Modell
3. Schicht 0 – Übertragungsmedien
Schicht 0 beschreibt das Medium, über das Daten übertragen werden.
Typische Medien:
Koaxialkabel
Twisted-Pair-Kabel
Lichtwellenleiter
Funk bei WLAN
3.1 Koaxialkabel
Koaxialkabel wurden früher häufig in Bus-Netzwerken verwendet. Heute sind sie in klassischen LANs veraltet.
Merkmale:
früher für Ethernet verwendet
Bus-Topologie
störanfällig bei schlechter Verkabelung
heute kaum noch relevant für moderne LANs
3.2 Twisted-Pair-Kabel
Twisted-Pair-Kabel sind die typischen Netzwerkkabel mit RJ45-Stecker.
Die Adernpaare sind verdrillt. Dadurch werden Störungen reduziert.
Kategorie
Typische Verwendung
Cat 5e
bis 1 Gbit/s
Cat 6
1 Gbit/s, teilweise 2,5/5 Gbit/s
Cat 6A
bis 10 Gbit/s
Cat 7
hochwertige Gebäudeverkabelung
Cat 8
sehr hohe Datenraten im kurzen Bereich
Faustregel:
Für normale Büro- und Heimnetzwerke ist Cat 6 oder Cat 6A meistens ausreichend.
3.3 Lichtwellenleiter
Lichtwellenleiter übertragen Daten mit Licht statt mit elektrischen Signalen.
Vorteile:
hohe Reichweite
hohe Geschwindigkeit
unempfindlicher gegen elektromagnetische Störungen
gut für Gebäudeverbindungen und Rechenzentren
Nachteile:
empfindlicher gegen Knicken
teurer in Installation und Technik
Spleißen und Messung benötigen Fachwissen
3.4 Multimode und Singlemode
Typ
Erklärung
Einsatz
Multimode
Licht läuft auf mehreren Wegen durch die Faser
kurze bis mittlere Strecken
Singlemode
Licht läuft auf einem sehr engen Weg
lange Strecken
Merksatz:
Multimode = kürzere Strecken
Singlemode = lange Strecken
3.5 Verkabelungsregel
Eine einfache praktische Regel:
Entfernung
Medium
bis ca. 100 m
Twisted-Pair-Kupferkabel
bis mehrere hundert Meter
Multimode-LWL
größere Entfernungen
Singlemode-LWL
3.6 WLAN
WLAN überträgt Daten per Funk.
Wichtige Frequenzbereiche:
Frequenz
Eigenschaften
2,4 GHz
hohe Reichweite, aber oft stärker belegt
5 GHz
schneller, weniger Reichweite
6 GHz
modern, hohe Geschwindigkeit, kürzere Reichweite
Wichtige WLAN-Generationen:
Name
Standard
Wi-Fi 4
IEEE 802.11n
Wi-Fi 5
IEEE 802.11ac
Wi-Fi 6
IEEE 802.11ax
Wi-Fi 6E
IEEE 802.11ax mit 6 GHz
Wi-Fi 7
IEEE 802.11be
3.7 WLAN-Sicherheit
Für die IHK wichtig:
WLAN sollte verschlüsselt sein
WPA2 ist Mindeststandard
WPA3 ist empfohlen
Gastnetz getrennt vom internen Netz betreiben
unsichere alte Standards vermeiden
starke Passwörter verwenden
4. Ethernet-Frame
Ethernet arbeitet auf Schicht 2. Die Daten werden in Frames übertragen.
Ein Ethernet-Frame enthält unter anderem:
Ziel-MAC-Adresse
Quell-MAC-Adresse
Typfeld
Nutzdaten
Prüfsumme
4.1 Ethernet-Frame als Grafik
flowchart LR
A["Präambel"]
B["Ziel-MAC"]
C["Quell-MAC"]
D["Typ"]
E["Daten
z. B. IP + TCP + HTTP"]
F["FCS / Prüfsumme"]
A --> B --> C --> D --> E --> F
4.2 MAC-Adresse
Eine MAC-Adresse ist die Hardwareadresse einer Netzwerkschnittstelle.
Eigenschaften:
48 Bit lang
hexadezimale Schreibweise
Beispiel: 00:1A:2B:3C:4D:5E
arbeitet auf OSI-Schicht 2
wird im lokalen Netzwerk verwendet
Wichtig:
Eine MAC-Adresse wird nur im lokalen Netzwerksegment verwendet. Sobald ein Paket über einen Router weitergeleitet wird, ändern sich die MAC-Adressen auf dem Weg. Die IP-Adressen bleiben dagegen im Normalfall gleich.
4.3 FCS / CRC
Die Prüfsumme dient zur Fehlererkennung.
Wenn ein Frame beschädigt ist, kann dies erkannt werden. Der Frame wird dann verworfen.
Wichtig:
Ethernet korrigiert Fehler nicht selbst. Fehlerhafte Frames werden verworfen. Höhere Schichten, zum Beispiel TCP, können dann eine erneute Übertragung auslösen.
4.4 MTU und Nutzdaten
Die übliche MTU bei Ethernet beträgt 1500 Byte.
Das bedeutet:
Ein Ethernet-Frame kann typischerweise 1500 Byte Nutzdaten für die nächsthöhere Schicht transportieren.
Da IP- und TCP-Header ebenfalls Platz benötigen, bleiben für reine Anwendungsdaten weniger als 1500 Byte übrig.
5. Sniffer
Ein Sniffer ist ein Werkzeug zur Analyse von Netzwerkverkehr.
Beispiele:
Wireshark
tcpdump
Windump
Sniffer werden zur Fehlersuche eingesetzt.
Beispiele:
Warum bekommt ein Client keine IP-Adresse?
Wird DNS korrekt aufgelöst?
Sendet ein Gerät ARP-Anfragen?
Kommt eine TCP-Verbindung zustande?
5.1 Rechtlicher Hinweis
Sniffing darf nur erlaubt und kontrolliert eingesetzt werden.
In Unternehmen gilt:
Vorgesetzte informieren
Datenschutz beachten
Betriebsrat einbeziehen, falls vorhanden
nicht heimlich fremde Daten mitschneiden
Für Ausbildung und Laborumgebungen ist Sniffing sinnvoll, solange keine fremden Daten ausspioniert werden.
6. Schicht 1 – Bitübertragung
Schicht 1 beschreibt die technische Übertragung der Bits.
Dazu gehören:
elektrische Signale
optische Signale
Funkwellen
Netzwerkkarten
physische Anschlüsse
6.1 Netzwerkkarte
Die Netzwerkkarte verbindet den Computer mit dem Netzwerk.
Aufgaben:
Daten senden und empfangen
Signale erzeugen
Prüfsummen prüfen
Zugriff auf das Medium steuern
MAC-Adresse bereitstellen
6.2 CSMA/CD und CSMA/CA
Verfahren
Bedeutung
Einsatz
CSMA/CD
Kollisionserkennung
alte kabelgebundene Netze mit Hub
CSMA/CA
Kollisionsvermeidung
WLAN
Merksatz:
CD = Collision Detection = Kollision erkennen
CA = Collision Avoidance = Kollision vermeiden
6.3 Hub
Ein Hub ist ein veraltetes Netzwerkgerät.
Eigenschaften:
verteilt Daten an alle Ports
kennt keine MAC-Adressen
erzeugt unnötigen Datenverkehr
Sniffing ist leicht möglich
nur Halbduplex
praktisch durch Switches ersetzt
7. Schicht 2 – Sicherungsschicht
Schicht 2 ist für die lokale Kommunikation im gleichen Netzwerk zuständig.
Wichtige Begriffe:
MAC-Adresse
Ethernet-Frame
Switch
VLAN
ARP
Broadcast
7.1 Switch
Ein Switch verbindet Geräte in einem LAN.
Er arbeitet hauptsächlich auf Schicht 2 und leitet Frames anhand der MAC-Adresse weiter.
Vorteile gegenüber einem Hub:
sendet Frames gezielt an den richtigen Port
weniger unnötiger Datenverkehr
Vollduplex möglich
höhere Geschwindigkeit
bessere Sicherheit
7.2 Switch-Tabelle
Ein Switch merkt sich, welche MAC-Adresse an welchem Port erreichbar ist.
Diese Tabelle wird oft MAC Address Table, SAT-Tabelle oder Forwarding Table genannt.
Ablauf:
Ein Frame kommt am Switch an.
Der Switch liest die Quell-MAC-Adresse.
Er merkt sich: Diese MAC-Adresse befindet sich an diesem Port.
Bei späteren Frames zur gleichen MAC-Adresse kann der Switch gezielt weiterleiten.
7.3 ARP
ARP bedeutet Address Resolution Protocol.
ARP wird bei IPv4 verwendet, um zu einer IP-Adresse die passende MAC-Adresse zu finden.
Beispiel:
Ein PC möchte an 192.168.1.20 senden, kennt aber nur die IP-Adresse.
Dann fragt er per Broadcast:
„Wer hat 192.168.1.20?“
Das Zielgerät antwortet:
„Ich habe 192.168.1.20, meine MAC-Adresse ist ...“
7.4 ARP als Grafik
sequenceDiagram
participant PC1 as PC 1
participant LAN as LAN / Switch
participant PC2 as PC 2
PC1->>LAN: ARP Request: Wer hat 192.168.1.20?
LAN->>PC2: Broadcast wird weitergeleitet
PC2->>PC1: ARP Reply: Ich habe die IP, meine MAC ist AA:BB:CC...
7.5 Managed und unmanaged Switch
Typ
Erklärung
Unmanaged Switch
keine Konfiguration nötig, einfache Nutzung
Managed Switch
konfigurierbar, z. B. VLAN, Port-Mirroring, STP, PoE
Für Unternehmen sind managed Switches wichtig, weil sie mehr Kontrolle und Sicherheit bieten.
7.6 Port-Mirroring
Beim Port-Mirroring wird der Datenverkehr eines Ports auf einen anderen Port kopiert.
Einsatz:
Analyse mit Wireshark
Fehlersuche
Sicherheitsanalyse
7.7 Link Aggregation
Bei Link Aggregation werden mehrere physische Netzwerkverbindungen zu einer logischen Verbindung zusammengefasst.
Vorteile:
höhere Gesamtbandbreite
Redundanz
bessere Auslastung
Wichtig:
Eine einzelne Verbindung wird nicht automatisch doppelt so schnell. Die Last wird meistens auf mehrere Verbindungen verteilt.
7.8 Power over Ethernet
Power over Ethernet, kurz PoE, überträgt Daten und Strom über dasselbe Netzwerkkabel.
Typische Geräte:
IP-Telefone
Access Points
Überwachungskameras
kleine Netzwerkgeräte
Vorteil:
Man braucht nicht an jedem Gerät eine eigene Steckdose.
7.9 Spanning Tree Protocol
Das Spanning Tree Protocol verhindert Schleifen zwischen Switches.
Warum ist das wichtig?
Wenn Switches mehrfach miteinander verbunden sind, kann ein Broadcast endlos im Kreis laufen. Dadurch kann das Netzwerk stark überlastet werden.
STP blockiert bestimmte Verbindungen logisch und aktiviert sie bei Bedarf wieder, wenn eine andere Verbindung ausfällt.
7.10 Spanning Tree als Grafik
flowchart TD
SW1[Switch 1]
SW2[Switch 2]
SW3[Switch 3]
SW4[Switch 4]
SW1 --- SW2
SW2 --- SW3
SW3 -. blockiert durch STP .- SW4
SW4 --- SW1
Die gestrichelte Verbindung ist vorhanden, wird aber logisch blockiert. Fällt eine andere Verbindung aus, kann STP neu berechnen und die blockierte Verbindung wieder aktivieren.
7.11 VLAN
VLAN bedeutet Virtual Local Area Network.
Ein VLAN teilt ein physisches Netzwerk in mehrere logische Netzwerke auf.
Beispiel:
Ein Switch kann gleichzeitig mehrere getrennte Netze bereitstellen:
VLAN 10 = Verwaltung
VLAN 20 = Schüler / Mitarbeiter
VLAN 30 = Gäste
VLAN 40 = Server
Vorteile:
bessere Sicherheit
weniger Broadcast-Verkehr
klare Trennung von Bereichen
einfachere Netzwerkstruktur
7.12 VLAN als Grafik
flowchart TD
SW[Managed Switch]
PC1[PC Verwaltung
VLAN 10]
PC2[PC Verwaltung
VLAN 10]
PC3[Gastgerät
VLAN 30]
PC4[Server
VLAN 40]
SW --- PC1
SW --- PC2
SW --- PC3
SW --- PC4
Geräte im gleichen VLAN können direkt miteinander kommunizieren. Geräte in unterschiedlichen VLANs benötigen Routing, meist über einen Router, Layer-3-Switch oder eine Firewall.
7.13 Tagged und Untagged VLAN
Begriff
Erklärung
Untagged Port
Port gehört fest zu einem VLAN, z. B. Endgerät
Tagged Port
VLAN-Information wird im Frame mitgesendet, z. B. Verbindung zwischen Switches
Trunk
Verbindung, die mehrere VLANs transportiert
Beispiel:
Ein PC-Port ist meistens untagged. Eine Verbindung zwischen zwei Switches ist meistens tagged.
8. Schicht 3 – Vermittlungsschicht
Schicht 3 ist für logische Adressierung und Routing zuständig.
Wichtige Themen:
IPv4
IPv6
Subnetzmaske
Routing
DHCP
DNS
Router
Layer-3-Switch
8.1 IPv4-Adresse
Eine IPv4-Adresse ist 32 Bit lang.
Sie wird in vier Oktette aufgeteilt.
Beispiel:
192.168.1.10
Binär:
11000000.10101000.00000001.00001010
Jedes Oktett hat 8 Bit und kann Werte von 0 bis 255 enthalten.
8.2 Subnetzmaske
Die Subnetzmaske trennt eine IP-Adresse in Netzanteil und Hostanteil.
Beispiel:
IP-Adresse:
192.168.1.10
Subnetzmaske:
255.255.255.0
CIDR-Schreibweise:
/24
Das bedeutet:
die ersten 24 Bit gehören zum Netzanteil
die restlichen 8 Bit gehören zum Hostanteil
Netz:
192.168.1.0/24
Hostbereich:
192.168.1.1 bis 192.168.1.254
Broadcast:
192.168.1.255
8.3 IPv4-Netz als Grafik
flowchart LR
A["192.168.1.0
Netzadresse"]
B["192.168.1.1
erster Host"]
C["192.168.1.10
Host"]
D["192.168.1.254
letzter Host"]
E["192.168.1.255
Broadcast"]
A --> B --> C --> D --> E
8.4 Netzadresse und Broadcast
In jedem IPv4-Netz gibt es zwei besondere Adressen:
Adresse
Bedeutung
erste Adresse
Netzadresse
letzte Adresse
Broadcast-Adresse
Diese beiden Adressen können nicht als normale Hostadresse verwendet werden.
Beispiel bei 192.168.1.0/24 :
Typ
Adresse
Netzadresse
192.168.1.0
erster Host
192.168.1.1
letzter Host
192.168.1.254
Broadcast
192.168.1.255
8.5 Private IPv4-Adressbereiche
Private IP-Adressen werden in lokalen Netzwerken verwendet und nicht direkt im Internet geroutet.
Bereich
CIDR
10.0.0.0 bis 10.255.255.255
10.0.0.0/8
172.16.0.0 bis 172.31.255.255
172.16.0.0/12
192.168.0.0 bis 192.168.255.255
192.168.0.0/16
Diese Bereiche sind besonders wichtig für Heimnetzwerke, Firmennetze, Labore und virtuelle Umgebungen.
8.6 Besondere IPv4-Adressen
Adresse
Bedeutung
0.0.0.0
unspezifizierte Adresse
127.0.0.1
localhost / Loopback
169.254.0.0/16
APIPA / Link Local
255.255.255.255
lokaler Broadcast
APIPA sieht man häufig, wenn ein Client keine Adresse vom DHCP-Server bekommt.
8.7 Subnetting
Subnetting bedeutet, ein größeres Netzwerk in kleinere Teilnetze aufzuteilen.
Warum macht man Subnetting?
bessere Struktur
weniger Broadcast-Verkehr
bessere Sicherheit
Trennung von Abteilungen
effizientere Adressvergabe
Beispiel:
Aus 192.168.1.0/24 werden zwei Subnetze:
Subnetz
Bereich
192.168.1.0/25
192.168.1.0 bis 192.168.1.127
192.168.1.128/25
192.168.1.128 bis 192.168.1.255
Nutzbare Hosts:
Subnetz
nutzbare Hosts
192.168.1.0/25
192.168.1.1 bis 192.168.1.126
192.168.1.128/25
192.168.1.129 bis 192.168.1.254
8.8 Subnetting-Regel
Formel:
Anzahl Adressen = 2^(Hostbits)
nutzbare Hosts = 2^(Hostbits) - 2
Beispiel /24 :
32 Bit insgesamt
24 Bit Netzanteil
8 Bit Hostanteil
2⁸ = 256 Adressen
256 - 2 = 254 nutzbare Hosts
8.9 Häufige CIDR-Werte
CIDR
Subnetzmaske
Adressen
nutzbare Hosts
/24
255.255.255.0
256
254
/25
255.255.255.128
128
126
/26
255.255.255.192
64
62
/27
255.255.255.224
32
30
/28
255.255.255.240
16
14
/29
255.255.255.248
8
6
/30
255.255.255.252
4
2
Für IHK-Aufgaben sind diese Werte sehr wichtig.
8.10 IPv6
IPv6 ist der Nachfolger von IPv4.
Eigenschaften:
128 Bit lang
hexadezimale Schreibweise
sehr großer Adressraum
kein klassisches Broadcast wie bei IPv4
nutzt Multicast und Neighbor Discovery
Beispiel:
2001:0db8:0000:0000:0000:ff00:0042:8329
Gekürzt:
2001:db8::ff00:42:8329
8.11 IPv6 kürzen
Regeln:
führende Nullen in einem Block dürfen weggelassen werden
eine zusammenhängende Folge von Null-Blöcken darf einmal durch :: ersetzt werden
Beispiel:
Lang:
2001:0db8:0000:0000:0000:0000:0000:0001
Kurz:
2001:db8::1
Wichtig:
:: darf nur einmal in einer IPv6-Adresse verwendet werden, sonst wäre die Adresse nicht eindeutig.
8.12 Besondere IPv6-Adressen
Adresse / Bereich
Bedeutung
::
unspezifizierte Adresse
::1
Loopback
fe80::/10
Link Local
fc00::/7
Unique Local Address
ff00::/8
Multicast
8.13 DHCP
DHCP vergibt automatisch Netzwerkkonfigurationen an Clients.
Typische DHCP-Informationen:
IP-Adresse
Subnetzmaske
Standardgateway
DNS-Server
Lease-Zeit
8.14 DHCP-Ablauf
Der typische DHCP-Ablauf besteht aus vier Schritten:
Schritt
Bedeutung
Discover
Client sucht DHCP-Server
Offer
Server bietet Adresse an
Request
Client fordert Adresse an
Acknowledge
Server bestätigt die Vergabe
Merksatz:
DORA
Discover
Offer
Request
Acknowledge
8.15 DHCP als Grafik
sequenceDiagram
participant C as Client
participant S as DHCP-Server
C->>S: DHCP Discover
S->>C: DHCP Offer
C->>S: DHCP Request
S->>C: DHCP Acknowledge
8.16 DNS
DNS bedeutet Domain Name System.
DNS übersetzt Namen in IP-Adressen.
Beispiel:
www.example.com
wird zu einer IP-Adresse aufgelöst.
Warum ist DNS wichtig?
Menschen merken sich Namen leichter als IP-Adressen.
8.17 FQDN
FQDN bedeutet Fully Qualified Domain Name.
Beispiel:
server01.firma.local
Bestandteile:
Teil
Bedeutung
server01
Hostname
firma
Domain
local
Top-Level oder interner Namensraum
8.18 Routing
Routing bedeutet, Datenpakete zwischen verschiedenen Netzwerken weiterzuleiten.
Ein Router verbindet mehrere IP-Netze.
Beispiel:
Netz A: 192.168.1.0/24
Netz B: 192.168.2.0/24
Damit Geräte aus beiden Netzen kommunizieren können, braucht man einen Router oder Layer-3-Switch.
8.19 Routing als Grafik
flowchart LR
A["PC A
192.168.1.10/24"]
R["Router
192.168.1.1 / 192.168.2.1"]
B["PC B
192.168.2.10/24"]
A --- R --- B
Wenn PC A mit PC B kommunizieren möchte, erkennt PC A:
PC B liegt nicht im eigenen Netz. Deshalb sendet PC A das Paket an sein Standardgateway.
8.20 Statisches und dynamisches Routing
Art
Erklärung
statisches Routing
Routen werden manuell eingetragen
dynamisches Routing
Router tauschen Routen automatisch aus
Für kleinere Netze reichen statische Routen oft aus. In größeren Netzen verwendet man dynamische Routing-Protokolle.
8.21 Layer-3-Switch
Ein Layer-3-Switch kann zusätzlich zum Switching auch Routing übernehmen.
Typischer Einsatz:
VLANs miteinander verbinden
schnelles Routing im LAN
Entlastung eines Routers
Beispiel:
VLAN 10 und VLAN 20 können über einen Layer-3-Switch miteinander kommunizieren, wenn Routing erlaubt ist.
9. Schicht 4 – Transportschicht
Schicht 4 ist für die Kommunikation zwischen Anwendungen zuständig.
Wichtige Themen:
TCP
UDP
Ports
Verbindungsaufbau
Verbindungsabbau
NAT
Portweiterleitung
9.1 Ports
Ports dienen dazu, Anwendungen auf einem Gerät zu unterscheiden.
Ein Gerät kann eine IP-Adresse haben, aber viele Dienste gleichzeitig anbieten.
Beispiel:
Dienst
Port
HTTP
80
HTTPS
443
DNS
53
SSH
22
SMTP
25
IMAP
143
RDP
3389
Die IP-Adresse sagt, welches Gerät gemeint ist. Der Port sagt, welche Anwendung auf dem Gerät gemeint ist.
9.2 Schreibweise IP-Adresse mit Port
Beispiele:
192.168.1.10:80
10.0.0.5:22
https://example.com:443
9.3 Portbereiche
Bereich
Name
Bedeutung
0–1023
System Ports / Well-known Ports
bekannte Standarddienste
1024–49151
User Ports
registrierte Anwendungen
49152–65535
Dynamic / Private Ports
temporäre Client-Ports
9.4 TCP
TCP ist verbindungsorientiert.
Eigenschaften:
zuverlässige Übertragung
Reihenfolge der Daten wird sichergestellt
verlorene Daten werden erneut gesendet
Verbindung wird aufgebaut und beendet
mehr Verwaltungsaufwand als UDP
Typische TCP-Dienste:
HTTP
HTTPS
SSH
SMTP
IMAP
FTP
9.5 TCP-Verbindungsaufbau
TCP nutzt den Three-Way-Handshake.
sequenceDiagram
participant C as Client
participant S as Server
C->>S: SYN
S->>C: SYN/ACK
C->>S: ACK
Danach ist die Verbindung aufgebaut.
9.6 TCP-Verbindungsabbau
Eine TCP-Verbindung wird kontrolliert beendet.
Vereinfacht:
sequenceDiagram
participant C as Client
participant S as Server
C->>S: FIN
S->>C: ACK
S->>C: FIN
C->>S: ACK
9.7 UDP
UDP ist verbindungslos.
Eigenschaften:
kein Verbindungsaufbau
keine Garantie für Zustellung
keine automatische Wiederholung
schneller und schlanker als TCP
Typische UDP-Dienste:
DNS
DHCP
VoIP
Streaming
Gaming
9.8 TCP und UDP Vergleich
Merkmal
TCP
UDP
Verbindung
verbindungsorientiert
verbindungslos
Zuverlässigkeit
hoch
keine Garantie
Reihenfolge
wird sichergestellt
nicht garantiert
Geschwindigkeit
mehr Overhead
weniger Overhead
Beispiele
HTTPS, SSH, SMTP
DNS, DHCP, VoIP
9.9 NAT
NAT bedeutet Network Address Translation.
NAT übersetzt IP-Adressen.
Typischer Fall:
Viele private Geräte im LAN nutzen eine gemeinsame öffentliche IP-Adresse für den Zugriff ins Internet.
Beispiel:
PC intern: 192.168.1.10
Router öffentlich: 84.x.x.x
Der Router ersetzt beim Senden ins Internet die private Quelladresse durch seine öffentliche Adresse.
9.10 NAT als Grafik
flowchart LR
PC["PC
192.168.1.10"]
R["Router / NAT
innen: 192.168.1.1
außen: öffentliche IP"]
INET["Internet
Webserver"]
PC --> R --> INET
INET --> R --> PC
9.11 PAT
PAT bedeutet Port Address Translation.
PAT ist eine Form von NAT, bei der zusätzlich Ports genutzt werden.
Dadurch können viele interne Geräte gleichzeitig über eine öffentliche IP-Adresse kommunizieren.
Beispiel:
Intern
Extern
192.168.1.10:50001
öffentliche-IP:61001
192.168.1.11:50002
öffentliche-IP:61002
Der Router merkt sich diese Zuordnung in einer NAT-Tabelle.
9.12 Portforwarding
Portforwarding wird auch Destination NAT genannt.
Dabei wird eine Anfrage von außen an ein internes Gerät weitergeleitet.
Beispiel:
Anfrage aus dem Internet an:
öffentliche-IP:443
wird weitergeleitet an:
192.168.1.20:443
Typische Verwendung:
Webserver im internen Netzwerk
VPN-Server
Spieleserver
Remote-Zugriff
Sicherheitswarnung:
Portforwarding öffnet Dienste nach außen. Deshalb sollte man nur notwendige Ports freigeben und Dienste aktuell halten.
9.13 Portforwarding als Grafik
flowchart LR
I["Client im Internet"]
R["Router / Firewall
Port 443 offen"]
S["Interner Webserver
192.168.1.20:443"]
I --> R --> S
9.14 Allowlist und Blocklist
Begriff
Bedeutung
Allowlist
Nur ausdrücklich erlaubte Dinge sind erlaubt
Blocklist
Nur ausdrücklich verbotene Dinge sind blockiert
Sicherer ist meistens das Allowlist-Prinzip:
Alles ist verboten, außer es wurde ausdrücklich erlaubt.
10. Firewalls
Eine Firewall kontrolliert Netzwerkverkehr anhand von Regeln.
Sie entscheidet:
Wer darf wohin?
Von welcher Quelle?
Zu welchem Ziel?
Über welches Protokoll?
Über welchen Port?
In welche Richtung?
Eine Firewall schützt nicht automatisch vor allem. Sie ist nur so gut wie ihre Regeln und ihre Platzierung im Netzwerk.
10.1 Aufgaben einer Firewall
Eine Firewall kann:
unerwünschten Datenverkehr blockieren
erlaubte Kommunikation zulassen
Netze voneinander trennen
Server in einer DMZ schützen
Zugriffe protokollieren
Angriffsfläche reduzieren
Regeln für ein- und ausgehenden Verkehr erzwingen
10.2 Personal Firewall und Unternehmens-Firewall
Typ
Erklärung
Personal Firewall
läuft direkt auf einem einzelnen PC oder Server
Unternehmens-Firewall
schützt ein gesamtes Netzwerk oder mehrere Netzbereiche
Beispiel:
Die Windows Defender Firewall ist eine Personal Firewall.
Eine Firewall zwischen LAN und Internet ist eine Unternehmens-Firewall.
10.3 Paketfilter-Firewall
Eine einfache Paketfilter-Firewall prüft einzelne Pakete anhand von Regeln.
Sie betrachtet zum Beispiel:
Quell-IP
Ziel-IP
Protokoll
Port
Nachteil:
Klassische Paketfilter kennen oft keinen Verbindungszustand. Hin- und Rückweg müssen dann separat erlaubt werden.
Für die IHK wichtig:
Paketfilter-Firewalls sind weiterhin prüfungsrelevant, auch wenn moderne Firewalls meist zustandsorientiert arbeiten.
10.4 Stateful Packet Inspection Firewall
Eine SPI-Firewall ist zustandsorientiert.
SPI bedeutet Stateful Packet Inspection.
Das bedeutet:
Die Firewall merkt sich bestehende Verbindungen.
Vorteil:
Wenn ein Client aus dem LAN eine Verbindung nach außen aufbaut, kann die Antwort automatisch wieder zurückgelassen werden.
Der Rückweg muss nicht extra als neue Regel eingerichtet werden.
10.5 Paketfilter vs. SPI-Firewall
Merkmal
Paketfilter
SPI-Firewall
prüft einzelne Pakete
ja
ja
kennt Verbindungszustand
nein oder begrenzt
ja
Rückweg automatisch erlaubt
nein
ja, wenn Verbindung gültig
Sicherheit
geringer
höher
heutige Praxis
eher veraltet
üblich
10.6 Firewall-Regeln nach OSI-Schichten
Eine Firewall kann je nach Typ verschiedene Informationen prüfen.
OSI-Schicht
Prüfkriterium
Beispiel
Schicht 2
MAC-Adresse
Nur Gerät mit bestimmter MAC erlauben
Schicht 3
IP-Adresse
Quelle 192.168.1.10 erlauben
Schicht 4
TCP / UDP und Ports
TCP 443 erlauben
Schicht 7
Anwendung
HTTP, DNS, bestimmte URLs
Wichtig:
Je höher die Schicht, desto genauer kann geprüft werden. Dafür braucht die Firewall aber mehr Leistung und mehr Verständnis des Datenverkehrs.
10.7 Grundprinzip: Default Deny
Ein sicheres Firewall-Konzept arbeitet häufig nach diesem Prinzip:
Alles ist verboten, außer es wurde ausdrücklich erlaubt.
Das nennt man Default Deny.
Beispiel:
Erlaubt:
LAN → Internet: HTTPS
LAN → DNS-Server: DNS
Admin-PC → Server: SSH oder RDP
Verboten:
Internet → LAN
Gäste-WLAN → internes Servernetz
unbekannte Ports
unnötige Dienste
10.8 Firewall als Grenze zwischen Netzen
flowchart LR
LAN["Internes LAN
vertrauenswürdiger Bereich"]
FW["Firewall
Regelprüfung"]
WAN["Internet
nicht vertrauenswürdiger Bereich"]
LAN --> FW --> WAN
WAN --> FW --> LAN
Die Firewall steht zwischen verschiedenen Sicherheitszonen.
10.9 Typische Firewall-Zonen
Zone
Bedeutung
LAN
internes vertrauenswürdiges Netz
WAN
Internet / externes Netz
DMZ
separates Netz für öffentlich erreichbare Server
Gäste-Netz
getrenntes Netz für Besucher
Servernetz
separates Netz für wichtige Server
10.10 DMZ
DMZ bedeutet Demilitarisierte Zone.
Eine DMZ ist ein separates Netzwerk für Server, die aus dem Internet erreichbar sein müssen.
Beispiele:
Webserver
Mailserver
VPN-Gateway
Reverse Proxy
Warum DMZ?
Wenn ein öffentlich erreichbarer Server kompromittiert wird, soll der Angreifer nicht direkt im internen LAN stehen.
10.11 DMZ als Grafik
flowchart LR
WAN["Internet"]
FW["Firewall"]
LAN["Internes LAN
Clients, Dateien, interne Server"]
DMZ["DMZ
Webserver / Reverse Proxy"]
WAN --- FW
FW --- LAN
FW --- DMZ
Regelbeispiel:
Richtung
Regel
Internet → DMZ
Nur HTTPS zum Webserver erlauben
Internet → LAN
blockieren
DMZ → LAN
nur absolut notwendige Verbindungen
LAN → DMZ
Administration nur von Admin-PCs
LAN → Internet
notwendige Dienste erlauben
10.12 Einstufige und zweistufige DMZ
Einstufige DMZ
Eine Firewall trennt Internet, LAN und DMZ.
Vorteil:
einfacher Aufbau
weniger Geräte
günstiger
Nachteil:
die Sicherheit hängt stark an einer Firewall
Zweistufige DMZ
Zwei Firewalls trennen Internet, DMZ und LAN.
Vorteil:
bessere Trennung
höheres Sicherheitsniveau
Nachteil:
mehr Aufwand
höhere Kosten
komplexere Administration
10.13 Einstufige DMZ
flowchart LR
I["Internet"]
FW["Firewall mit 3 Schnittstellen"]
LAN["LAN"]
DMZ["DMZ"]
I --- FW
FW --- LAN
FW --- DMZ
10.14 Zweistufige DMZ
flowchart LR
I["Internet"]
FW1["Firewall 1"]
DMZ["DMZ"]
FW2["Firewall 2"]
LAN["Internes LAN"]
I --- FW1 --- DMZ --- FW2 --- LAN
10.15 Firewall-Regeln verstehen
Eine Firewall-Regel besteht typischerweise aus:
Bestandteil
Beispiel
Quelle
192.168.10.0/24
Ziel
8.8.8.8
Protokoll
TCP oder UDP
Port
53, 80, 443
Aktion
erlauben oder blockieren
Richtung
eingehend, ausgehend, weitergeleitet
Beispielregel:
LAN darf per TCP Port 443 ins Internet.
Das bedeutet:
Quelle: LAN
Ziel: Internet
Protokoll: TCP
Port: 443
Aktion: erlauben
10.16 INPUT, OUTPUT und FORWARD
Bei Linux-Firewalls mit iptables sind drei Richtungen besonders wichtig.
Chain
Bedeutung
INPUT
Verkehr zur Firewall selbst
OUTPUT
Verkehr von der Firewall selbst nach außen
FORWARD
Verkehr durch die Firewall hindurch
Beispiele:
Situation
Chain
Admin greift per SSH auf Firewall zu
INPUT
Firewall macht selbst DNS-Abfrage
OUTPUT
PC im LAN geht über Firewall ins Internet
FORWARD
10.17 INPUT, OUTPUT und FORWARD als Grafik
flowchart LR
LAN["LAN-Client"]
FW["Firewall-System"]
NET["Internet"]
LAN -- "FORWARD
durch die Firewall" --> FW
FW -- "FORWARD" --> NET
LAN -- "INPUT
zur Firewall selbst" --> FW
FW -- "OUTPUT
von der Firewall selbst" --> NET
10.18 Beispiel für einfache Firewall-Logik
Ziel:
LAN darf ins Internet
Antworten aus dem Internet dürfen zurück
Internet darf keine neuen Verbindungen ins LAN starten
Regellogik:
Erlaube bestehende und zugehörige Verbindungen.
Erlaube LAN → Internet für notwendige Dienste.
Blockiere neue Verbindungen von Internet → LAN.
Protokolliere unerwünschte Zugriffe.
Standardregel: blockieren.
10.19 Beispiel-Regelkonzept
Nr.
Quelle
Ziel
Dienst
Aktion
1
LAN
Internet
DNS
erlauben
2
LAN
Internet
HTTP/HTTPS
erlauben
3
LAN
Internet
NTP
erlauben
4
Internet
LAN
alle
blockieren
5
Admin-PC
Server
SSH/RDP
erlauben
6
Gäste-WLAN
LAN
alle
blockieren
10.20 Firewall und VLAN
VLANs trennen Netze logisch. Eine Firewall kann anschließend regeln, welche VLANs miteinander kommunizieren dürfen.
Beispiel:
flowchart TD
FW["Firewall / Layer-3-Gateway"]
V10["VLAN 10
Verwaltung"]
V20["VLAN 20
Mitarbeiter"]
V30["VLAN 30
Gäste"]
V40["VLAN 40
Server"]
V10 --- FW
V20 --- FW
V30 --- FW
V40 --- FW
Beispielregeln:
Richtung
Erlaubt?
Verwaltung → Server
ja
Mitarbeiter → Server
teilweise
Gäste → Internet
ja
Gäste → Server
nein
Gäste → Verwaltung
nein
10.21 Typische Prüfungsfragen zur Firewall
Was macht eine Firewall?
Eine Firewall kontrolliert Netzwerkverkehr anhand von Regeln. Sie erlaubt oder blockiert Verbindungen abhängig von Quelle, Ziel, Protokoll, Port und Richtung.
Was ist der Unterschied zwischen Paketfilter und SPI-Firewall?
Ein Paketfilter prüft einzelne Pakete. Eine SPI-Firewall merkt sich zusätzlich den Zustand einer Verbindung und kann Rückverkehr automatisch zuordnen.
Was bedeutet Default Deny?
Alles ist standardmäßig verboten. Nur ausdrücklich erlaubte Verbindungen sind zugelassen.
Warum verwendet man eine DMZ?
Eine DMZ trennt öffentlich erreichbare Server vom internen LAN. Dadurch wird das interne Netzwerk besser geschützt, falls ein öffentlicher Server kompromittiert wird.
Auf welcher OSI-Schicht arbeiten Firewalls?
Einfache Firewalls arbeiten vor allem auf Schicht 3 und 4. Moderne Firewalls können zusätzlich höhere Schichten prüfen, zum Beispiel Anwendungen auf Schicht 7.
11. IHK-Merkliste
MAC-Adresse
Schicht 2
lokale Zustellung im LAN
wird vom Switch verwendet
IP-Adresse
Schicht 3
logische Adresse
wird vom Router verwendet
Port
Schicht 4
unterscheidet Anwendungen und Dienste
Switch
arbeitet hauptsächlich auf Schicht 2
leitet anhand von MAC-Adressen weiter
Router
arbeitet auf Schicht 3
verbindet verschiedene IP-Netze
Firewall
kontrolliert Verkehr zwischen Netzen
prüft Regeln
kann auf mehreren Schichten arbeiten
NAT
übersetzt Adressen
private Geräte nutzen öffentliche IP
Portforwarding
leitet externe Anfragen an interne Server weiter
Sicherheitsrisiko, wenn falsch konfiguriert
VLAN
logische Trennung in einem physischen Netzwerk
braucht Routing oder Firewall für Kommunikation zwischen VLANs
DMZ
separates Netz für öffentlich erreichbare Server
schützt das interne LAN
12. Kurzer Gesamtüberblick als Grafik
flowchart TB
A["Schicht 0
Kabel, Glasfaser, Funk"]
B["Schicht 1
Signale, Netzwerkkarte"]
C["Schicht 2
MAC, Switch, Ethernet, VLAN"]
D["Schicht 3
IP, Routing, DHCP, DNS"]
E["Schicht 4
TCP, UDP, Ports, NAT"]
F["Firewall
Regeln zwischen Netzen"]
G["Anwendungen
HTTP, HTTPS, Mail, DNS"]
A --> B --> C --> D --> E --> F --> G
13. Beispiel: Webseitenaufruf im Netzwerk
Ein Client ruft eine Webseite auf.
Ablauf vereinfacht:
Client prüft seine IP-Konfiguration.
Client fragt DNS nach der IP-Adresse der Webseite.
Client baut per TCP eine Verbindung zum Webserver auf.
Bei HTTPS wird Port 443 verwendet.
Daten werden in TCP-Segmente verpackt.
TCP wird in IP-Pakete verpackt.
IP wird in Ethernet-Frames verpackt.
Switch leitet Frames anhand der MAC-Adresse weiter.
Router oder Firewall leitet Pakete ins Internet weiter.
NAT übersetzt private Adresse in öffentliche Adresse.
Antwortpakete kommen zurück.
SPI-Firewall erkennt die bestehende Verbindung und lässt die Antwort passieren.
14. Webseitenaufruf als Grafik
sequenceDiagram
participant PC as Client-PC
participant DNS as DNS-Server
participant FW as Router / Firewall / NAT
participant WEB as Webserver
PC->>DNS: Wie lautet die IP von example.com?
DNS->>PC: Antwort: IP-Adresse
PC->>FW: TCP SYN an Webserver Port 443
FW->>WEB: Weiterleitung mit NAT
WEB->>FW: SYN/ACK zurück
FW->>PC: Antwort wird wegen SPI erlaubt
PC->>WEB: HTTPS-Datenübertragung
15. Prüfungsorientierte Zusammenfassung
Für die IHK solltest du besonders sicher beherrschen:
OSI-Schichten und typische Geräte/Protokolle
Unterschied zwischen MAC-Adresse, IP-Adresse und Port
IPv4-Subnetting
private IP-Bereiche
DHCP-Ablauf DORA
DNS-Grundprinzip
Unterschied TCP und UDP
NAT und Portforwarding
VLAN-Grundprinzip
Firewall-Regeln
Unterschied Paketfilter und SPI-Firewall
Zweck einer DMZ
Merksatz:
MAC findet Geräte im lokalen Netz. IP findet Netze. Ports finden Anwendungen. Firewalls entscheiden, was erlaubt ist.
OSI-Modell
OSI-Modell – Geräte & Firewall-Bezug
IHK-sichere Hauptzuordnung der Schichten, Geräte und Firewall-Arten
Schicht
Name
Worum geht es?
Typische Geräte / Komponenten
Firewall-Bezug
Layer
7
Anwendungs-
schicht
Anwendungen
und Dienste
Proxy, Application Gateway,
Webserver, DNS-Server
▣ ◉ ▤ ◌
Proxy-Firewall,
Application-Level Gateway,
WAF, NGFW-Anwendungsfilter
Layer
6
Darstellungs-
schicht
Datenformat,
Verschlüsselung,
Komprimierung
meist keine klassischen
Netzwerkgeräte;
ggf. TLS-/SSL-Proxy
Prüfung hier meist nur
bei TLS-Inspection
Layer
5
Sitzungs-
schicht
Aufbau, Verwaltung
und Abbau von
Sitzungen
meist keine klassischen
Netzwerkgeräte;
teilweise Proxy/Gateway
für die IHK eher
Zusatzwissen, nicht
Haupt-Firewall-Schicht
Layer
4
Transport-
schicht
Ports, Ende-zu-Ende-
Verbindungen,
TCP/UDP
Firewall, Load Balancer
▦ ⚖
Stateful Firewall,
Portfilter,
TCP-/UDP-Regeln
Layer
3
Vermittlungs-
schicht
IP-Adressierung
und Routing
zwischen Netzen
Router, Layer-3-Switch,
Firewall
◎ ⇄ ▦
Paketfilter-Firewall,
ACLs, IP-Filter
Layer
2
Sicherungs-
schicht
Kommunikation im
lokalen Netz über
MAC-Adressen
Switch, Bridge,
Access Point, Netzwerkkarte
▤ ≋ ◖
VLAN-Trennung, MAC-Filter,
transparente/Bridge-Firewall
als Sonderfall
Layer
1
Bitübertragungs-
schicht
Physische
Übertragung
von Bits
Kabel, Hub, Repeater,
Medienkonverter
⌁ ▭ ↻
Keine klassische
Firewall-Funktion
Wichtige IHK-Merksätze
✓ Layer 2 = MAC / Switch
✓ Layer 3 = IP / Router / Paketfilter
✓ Layer 4 = TCP/UDP / Ports / Stateful Firewall
✓ Layer 7 = Anwendung / Proxy / WAF
Wichtiger Hinweis
Reale Geräte können mehrere
OSI-Schichten abdecken.
Für die IHK ist meistens die
Hauptzuordnung entscheidend.
Kurz merken: Switch = Layer 2 · Router = Layer 3 · Stateful Firewall = Layer 3/4 · Proxy/WAF = Layer 7 · NGFW = Layer 3 bis 7
OSI-Modell – Geräte und Firewall-Bezug (IHK-sicher)
Das OSI-Modell teilt Netzwerkkommunikation in 7 Schichten ein. Für die IHK ist wichtig, dass du nicht nur die Namen der Schichten kennst, sondern auch verstehst, welche Aufgabe die jeweilige Schicht hat , welche Geräte dort typischerweise arbeiten und welche Firewall-Art dazu passt .
Wichtig: Das OSI-Modell ist ein theoretisches Referenzmodell . Reale Geräte arbeiten oft auf mehreren Schichten gleichzeitig. Für Prüfungsaufgaben zählt meistens die Hauptzuordnung .
OSI-Schicht
Name
Worum geht es?
Typische Geräte / Komponenten
Firewall-Bezug
7
Anwendungsschicht
Anwendungen und Dienste
Proxy, Application Gateway, Webserver, DNS-Server
Proxy-Firewall, Application-Level Gateway, WAF, NGFW-Anwendungsfilter
6
Darstellungsschicht
Datenformat, Verschlüsselung, Komprimierung
meist keine klassischen Netzwerkgeräte; ggf. TLS-/SSL-Proxy
Prüfung hier meist nur bei TLS-Inspection
5
Sitzungsschicht
Aufbau, Verwaltung und Abbau von Sitzungen
meist keine klassischen Netzwerkgeräte; teilweise Proxy-/Gateway-Funktionen
Für die IHK eher Zusatzwissen, nicht die Haupt-Firewall-Schicht
4
Transportschicht
Ports, Ende-zu-Ende-Verbindungen, TCP/UDP
Firewall, Load Balancer
Stateful Firewall, Portfilter, TCP-/UDP-Regeln
3
Vermittlungsschicht
IP-Adressierung und Routing zwischen Netzen
Router, Layer-3-Switch, Firewall
Paketfilter-Firewall, ACLs, IP-Filter
2
Sicherungsschicht
Kommunikation im lokalen Netz über MAC-Adressen
Switch, Bridge, Access Point, Netzwerkkarte
VLAN-Trennung, MAC-Filter, transparente/Bridge-Firewall als Sonderfall
1
Bitübertragungsschicht
Physische Übertragung von Bits
Kabel, Hub, Repeater, Medienkonverter
Keine klassische Firewall-Funktion
Layer 7 – Anwendungsschicht
Die Anwendungsschicht ist die oberste Schicht des OSI-Modells. Hier befinden sich Netzwerkdienste und Anwendungen, mit denen Benutzer oder Programme arbeiten.
Typische Beispiele sind:
HTTP
HTTPS
DNS
SMTP
FTP
IMAP
SSH
Auf dieser Schicht geht es nicht mehr nur darum, welche IP-Adresse oder welcher Port verwendet wird, sondern darum, welche Anwendung oder welcher Dienst tatsächlich kommuniziert.
Beispiel:
Wenn ein Benutzer eine Webseite aufruft, findet die eigentliche Webkommunikation über HTTP oder HTTPS auf der Anwendungsschicht statt.
Typische Komponenten:
Proxy
Application Gateway
Webserver
DNS-Server
Web Application Firewall (WAF)
Firewall-Bezug:
Eine Proxy-Firewall oder ein Application-Level Gateway arbeitet auf Anwendungsebene. Sie betrachtet nicht nur IP-Adressen und Ports, sondern kann anwendungsbezogene Inhalte prüfen.
Eine WAF schützt speziell Webanwendungen. Sie prüft HTTP- und HTTPS-Anfragen zum Beispiel auf Angriffe wie SQL-Injection oder Cross-Site-Scripting.
Eine NGFW kann ebenfalls Anwendungen erkennen und filtern, zum Beispiel Webmail, Streaming, Messenger oder andere Dienste.
IHK-Merksatz:
Layer 7 = Anwendung, Inhalte, Proxy, WAF
Layer 6 – Darstellungsschicht
Die Darstellungsschicht kümmert sich darum, wie Daten dargestellt, codiert, verschlüsselt oder komprimiert werden.
Typische Aufgaben:
Datenformate umwandeln
Zeichencodierung festlegen
Daten komprimieren
Daten verschlüsseln oder entschlüsseln
Typische Beispiele:
TLS/SSL
UTF-8
JPEG
PNG
Komprimierung
Für die IHK ist wichtig: Layer 6 ist eher eine theoretische Schicht. In vielen praktischen Netzwerkaufgaben stehen Layer 2, 3, 4 und 7 stärker im Vordergrund.
Firewall-Bezug:
Eine Firewall kann verschlüsselten HTTPS-Verkehr nicht vollständig inhaltlich prüfen, solange sie den Verkehr nicht entschlüsselt. Eine tiefere Inhaltsprüfung ist nur mit TLS-Inspection beziehungsweise SSL-Inspection möglich.
Wichtig: TLS/SSL wird in Lernunterlagen oft der Darstellungsschicht zugeordnet, in der Praxis liegt es technisch zwischen Anwendung und Transport. Für IHK-Lernzwecke reicht: Layer 6 = Verschlüsselung, Darstellung, Datenformat .
IHK-Merksatz:
Layer 6 = Darstellung, Format, Verschlüsselung, Komprimierung
Layer 5 – Sitzungsschicht
Die Sitzungsschicht ist für den Aufbau, die Verwaltung und den Abbau von Sitzungen zuständig.
Eine Sitzung ist ein logischer Kommunikationszusammenhang zwischen zwei Systemen. Dabei geht es zum Beispiel darum, eine Verbindung beziehungsweise einen Dialog zu starten, aufrechtzuerhalten und sauber zu beenden.
Typische Aufgaben:
Sitzung aufbauen
Sitzung verwalten
Sitzung beenden
Dialogsteuerung
Wiederaufnahme von Kommunikationsabläufen
Für die IHK ist wichtig: Layer 5 ist meistens weniger praxisnah als Layer 2, 3, 4 und 7. In Firewall-Fragen wird Layer 5 normalerweise nicht als wichtigste Schicht abgefragt.
Firewall-Bezug:
Manche Gateway- oder Proxy-Funktionen können sitzungsbezogene Informationen berücksichtigen. Für die Prüfung solltest du aber vor allem diese klare Zuordnung lernen:
Paketfilter-Firewall = Layer 3/4
Stateful Firewall = Layer 3/4
Proxy-Firewall = Layer 7
WAF = Layer 7
NGFW = Layer 3 bis 7
IHK-Merksatz:
Layer 5 = Sitzung aufbauen, verwalten und beenden
Layer 4 – Transportschicht
Die Transportschicht regelt die Kommunikation zwischen Anwendungen auf zwei Systemen. Hier sind vor allem TCP , UDP und Ports wichtig.
Wichtige Begriffe:
TCP
UDP
Portnummern
Verbindungen
Verbindungsstatus
Ende-zu-Ende-Kommunikation
TCP ist verbindungsorientiert. Das bedeutet: Es wird eine Verbindung aufgebaut, Daten werden geordnet übertragen und der Empfang kann bestätigt werden.
UDP ist verbindungslos. Das bedeutet: Es ist einfacher und schneller, bietet aber keine gleiche zuverlässige Verbindungssteuerung wie TCP.
Typische Ports:
Dienst
Protokoll / Port
HTTP
TCP 80
HTTPS
TCP 443
DNS
UDP/TCP 53
SSH
TCP 22
RDP
TCP 3389
SMTP
TCP 25
Typische Geräte / Komponenten:
Firewall
Layer-4-Load-Balancer
Firewall-Bezug:
Eine Firewall kann auf Layer 4 prüfen, welche Ports und Transportprotokolle verwendet werden.
Eine Stateful Firewall prüft zusätzlich, ob ein Paket zu einer bereits erlaubten Verbindung gehört. Sie führt dafür eine Verbindungstabelle.
Beispiel:
Ein Client aus dem internen Netzwerk baut eine HTTPS-Verbindung zu einem Webserver auf. Die Antwortpakete aus dem Internet werden erlaubt, weil sie zu dieser bestehenden Verbindung gehören.
IHK-Merksatz:
Layer 4 = TCP/UDP, Ports, Verbindungen, Stateful Firewall
Layer 3 – Vermittlungsschicht
Die Vermittlungsschicht ist für IP-Adressierung und Routing zuständig. Hier wird entschieden, wie Datenpakete von einem Netzwerk in ein anderes Netzwerk gelangen.
Wichtige Themen:
IPv4
IPv6
Routing
Subnetze
Standardgateway
ICMP
IPsec
Paketweiterleitung
Typische Geräte:
Router
Layer-3-Switch
Firewall
Ein Router verbindet unterschiedliche Netzwerke miteinander. Er entscheidet anhand der Ziel-IP-Adresse, wohin ein Paket weitergeleitet wird.
Ein Layer-3-Switch kann zusätzlich zu klassischen Switch-Funktionen auch Routing-Funktionen übernehmen, zum Beispiel zwischen VLANs.
Firewall-Bezug:
Eine Paketfilter-Firewall prüft auf Layer 3 zum Beispiel:
Quell-IP-Adresse
Ziel-IP-Adresse
Protokoll
Netzbereich
Richtung des Datenverkehrs
Sobald zusätzlich Ports geprüft werden, ist auch Layer 4 beteiligt. Deshalb ist die IHK-sichere Formulierung:
Paketfilter-Firewall = Layer 3/4
Beispielregel:
Ein internes Netz 192.168.10.0/24 darf per TCP-Port 443 ins Internet, aber nicht per TCP-Port 23 .
IHK-Merksatz:
Layer 3 = IP-Adresse, Routing, Router, Paketfilter
Layer 2 – Sicherungsschicht
Die Sicherungsschicht ist für die Kommunikation im lokalen Netzwerk zuständig. Hier geht es vor allem um MAC-Adressen , Ethernet-Frames , Switching und VLANs .
Wichtige Themen:
MAC-Adressen
Ethernet-Frames
Switches
Bridges
VLANs
ARP
WLAN im lokalen Netz
Fehlererkennung auf Frame-Ebene
Typische Geräte:
Switch
Bridge
Access Point
Netzwerkkarte
Ein Switch arbeitet hauptsächlich auf Layer 2. Er lernt MAC-Adressen und leitet Frames an den passenden Port weiter.
Für die IHK ist sehr wichtig:
Switch = MAC-Adresse = Layer 2
Ein Switch verwendet also normalerweise MAC-Adressen, während ein Router IP-Adressen verwendet.
Firewall-Bezug:
Layer 2 ist nicht die klassische Firewall-Schicht. Trotzdem gibt es sicherheitsrelevante Funktionen auf Layer 2:
VLAN-Trennung
MAC-Filter
Port-Security
transparente Firewall / Bridge-Firewall als Sonderfall
Wichtig: MAC-Filter allein sind kein starker Schutz, weil MAC-Adressen gefälscht werden können. Für IHK-Grundlagen reicht aber die Einordnung: MAC-Adressen gehören zu Layer 2.
IHK-Merksatz:
Layer 2 = MAC-Adresse, Switch, lokales Netzwerk
Layer 1 – Bitübertragungsschicht
Die Bitübertragungsschicht ist die unterste Schicht des OSI-Modells. Hier geht es um die physische Übertragung von Bits.
Wichtige Themen:
elektrische Signale
optische Signale
Funkübertragung
Kabel
Stecker
Netzwerkkarte auf physischer Ebene
Repeater
Hub
Medienkonverter
Typische Geräte und Komponenten:
Netzwerkkabel
Glasfaserkabel
Hub
Repeater
Medienkonverter
Stecker und Ports
Ein Hub arbeitet auf Layer 1. Er verteilt Signale, trifft aber keine intelligenten Weiterleitungsentscheidungen wie ein Switch.
Ein Repeater arbeitet ebenfalls auf Layer 1. Er verstärkt oder erneuert ein Signal.
Firewall-Bezug:
Auf Layer 1 gibt es keine klassische Firewall-Funktion. Eine Firewall entscheidet nicht anhand von reinen elektrischen oder optischen Signalen, sondern anhand von Informationen höherer Schichten.
IHK-Merksatz:
Layer 1 = Kabel, Signal, Bits, physische Übertragung
Firewall-Arten und OSI-Zuordnung
Firewall-Art
OSI-Zuordnung
Prüft hauptsächlich
Wichtig für die IHK
Paketfilter-Firewall
Layer 3/4
IP-Adressen, Protokolle, Ports
einfache Filterregeln
Stateful Firewall
Layer 3/4
IPs, Ports und Verbindungsstatus
merkt sich erlaubte Verbindungen
Proxy-Firewall
Layer 7
Anwendungsdaten und Inhalte
arbeitet stellvertretend für den Client
Application-Level Gateway
Layer 7
anwendungsspezifische Protokolle
prüft Inhalte auf Anwendungsebene
WAF
Layer 7
HTTP-/HTTPS-Anfragen an Webanwendungen
Schutz für Webanwendungen
NGFW
Layer 3 bis 7
IPs, Ports, Anwendungen, Inhalte
kombiniert mehrere Sicherheitsfunktionen
Hardware-Firewall
keine eigene OSI-Schicht
abhängig von Funktion
Bauform, nicht OSI-Schicht
Software-Firewall
keine eigene OSI-Schicht
abhängig von Funktion
Installationsart, nicht OSI-Schicht
Wichtige IHK-Merksätze
Thema
Merksatz
Switch
arbeitet hauptsächlich auf Layer 2
Router
arbeitet hauptsächlich auf Layer 3
Hub
arbeitet auf Layer 1
Repeater
arbeitet auf Layer 1
Bridge
arbeitet hauptsächlich auf Layer 2
Portfilter
arbeitet hauptsächlich auf Layer 4
Paketfilter
arbeitet auf Layer 3/4
Stateful Firewall
arbeitet auf Layer 3/4 und merkt sich Verbindungen
Proxy-Firewall
arbeitet auf Layer 7
WAF
arbeitet auf Layer 7
NGFW
kann Layer 3 bis Layer 7 auswerten
Layer 6 und 5
eher theoretisch, bei Firewall-Zuordnung meist Zusatzwissen
Ganz kurzer Prüfungs-Merksatz
Layer 2 = MAC / Switch
Layer 3 = IP / Router / Paketfilter
Layer 4 = TCP/UDP / Ports / Stateful Firewall
Layer 7 = Anwendung / Proxy / WAF
Beispiel zur Einordnung
Ein Benutzer öffnet eine Webseite über HTTPS.
Schritt
OSI-Schicht
Erklärung
Kabel oder WLAN überträgt Signale
Layer 1
Bits werden physisch übertragen
Der Switch leitet Frames im lokalen Netz weiter
Layer 2
Weiterleitung anhand von MAC-Adressen
Der Router leitet Pakete ins Internet
Layer 3
Weiterleitung anhand von IP-Adressen
Die Verbindung nutzt TCP-Port 443
Layer 4
Kommunikation über TCP und Portnummer
TLS verschlüsselt die Verbindung
Layer 6
Verschlüsselung und Darstellung
Der Browser ruft eine Webseite per HTTPS auf
Layer 7
Anwendungsebene
Eine Stateful Firewall erlaubt Antwortpakete
Layer 3/4
Verbindung wurde vorher erlaubt
Eine WAF prüft HTTP-/HTTPS-Anfragen
Layer 7
Schutz der Webanwendung
Typische Prüfungsfallen
Falsche oder ungenaue Aussage
Besser / IHK-sicher
Eine Firewall arbeitet immer nur auf Layer 3
Kommt auf die Firewall-Art an
Paketfilter arbeitet nur auf Layer 3
Besser: Paketfilter arbeitet Layer 3/4
Eine WAF schützt das ganze Netzwerk vollständig
Eine WAF schützt vor allem Webanwendungen auf Layer 7
Hardware-Firewall ist eine eigene OSI-Schicht
Nein, Hardware beschreibt nur die Bauform
Switch und Router machen dasselbe
Nein, Switch = Layer 2 / MAC, Router = Layer 3 / IP
Layer 6 und 5 sind die wichtigsten Firewall-Schichten
Nein, für Firewalls sind meist Layer 3/4 und Layer 7 wichtig
OSI Testfragen
Testfragen Netzwerktechnik bis Firewall
1. Was ist der Hauptzweck eines Netzwerks?
Antwort anzeigen
Ein Netzwerk verbindet mehrere Geräte miteinander, damit sie Daten austauschen und gemeinsame Ressourcen nutzen können, zum Beispiel Drucker, Server, Internetzugang oder zentrale Datenspeicher.
2. Nenne drei Vorteile von Netzwerken.
Antwort anzeigen
Drei Vorteile sind:
schneller Datenaustausch
gemeinsame Nutzung von Ressourcen, zum Beispiel Drucker oder Server
zentrale Datenspeicherung und einfachere Datensicherung
3. Nenne drei Nachteile oder Risiken von Netzwerken.
Antwort anzeigen
Drei Nachteile oder Risiken sind:
Schadsoftware kann sich schneller verbreiten
Angriffe oder Spionage von innen und außen sind möglich
Aufbau, Wartung und Administration verursachen Kosten
4. Was bedeutet LAN?
Antwort anzeigen
LAN bedeutet Local Area Network. Es beschreibt ein lokales Netzwerk, zum Beispiel in einer Wohnung, Schule, Firma oder einem Büro.
5. Was ist der Unterschied zwischen LAN, MAN und WAN?
Antwort anzeigen
LAN ist ein lokales Netzwerk in einem begrenzten Bereich.
MAN verbindet Netzwerke innerhalb einer Stadt oder Region.
WAN verbindet Netzwerke über große Entfernungen, zum Beispiel über Länder oder Kontinente hinweg. Das Internet ist ein Beispiel für ein WAN.
6. Welche Topologie wird heute in LANs meistens verwendet?
Antwort anzeigen
Meistens wird die Sterntopologie verwendet. Dabei sind die Endgeräte zentral mit einem Switch verbunden.
7. Was bedeutet Vollduplex?
Antwort anzeigen
Vollduplex bedeutet, dass Daten gleichzeitig in beide Richtungen übertragen werden können.
Beispiel: Ein PC kann gleichzeitig Daten senden und empfangen.
8. Was bedeutet Halbduplex?
Antwort anzeigen
Halbduplex bedeutet, dass Daten in beide Richtungen übertragen werden können, aber nicht gleichzeitig.
Beispiel: Erst sendet Gerät A, danach Gerät B.
9. Wozu dient das OSI-Schichtenmodell?
Antwort anzeigen
Das OSI-Schichtenmodell teilt Netzwerkkommunikation in einzelne Schichten auf. Dadurch kann man besser verstehen, welche Aufgabe auf welcher Ebene passiert, und Fehler systematisch eingrenzen.
10. Wie heißen die 7 OSI-Schichten von oben nach unten?
Antwort anzeigen
Von oben nach unten:
Anwendung
Darstellung
Sitzung
Transport
Vermittlung
Sicherung
Bitübertragung
11. Auf welcher OSI-Schicht arbeitet die MAC-Adresse?
Antwort anzeigen
Die MAC-Adresse arbeitet auf Schicht 2, der Sicherungsschicht.
12. Auf welcher OSI-Schicht arbeitet die IP-Adresse?
Antwort anzeigen
Die IP-Adresse arbeitet auf Schicht 3, der Vermittlungsschicht.
13. Auf welcher OSI-Schicht arbeiten TCP und UDP?
Antwort anzeigen
TCP und UDP arbeiten auf Schicht 4, der Transportschicht.
14. Was ist der Unterschied zwischen OSI-Modell und TCP/IP-Modell?
Antwort anzeigen
Das OSI-Modell hat 7 Schichten und ist eher ein theoretisches Referenzmodell.
Das TCP/IP-Modell ist praxisnäher und wird im echten Netzwerkbetrieb häufiger verwendet. Es fasst mehrere OSI-Schichten zusammen.
15. Was bedeutet Datenkapselung?
Antwort anzeigen
Datenkapselung bedeutet, dass jede Netzwerkschicht eigene Steuerinformationen zu den Daten hinzufügt.
Beispiel:
Anwendungsdaten werden in TCP verpackt, TCP wird in IP verpackt, IP wird in Ethernet verpackt.
16. Was gehört zur Schicht 0 im Unterrichtskontext?
Antwort anzeigen
Zur Schicht 0 gehören die eigentlichen Übertragungsmedien, zum Beispiel:
Kupferkabel
Glasfaser
Funk bei WLAN
Schicht 0 gehört nicht offiziell zum OSI-Modell, wird aber oft zur Erklärung genutzt.
17. Was ist ein Twisted-Pair-Kabel?
Antwort anzeigen
Ein Twisted-Pair-Kabel ist ein Netzwerkkabel mit verdrillten Adernpaaren. Die Verdrillung reduziert Störungen. Es wird häufig mit RJ45-Steckern im LAN verwendet.
18. Wie weit darf ein normales Twisted-Pair-Ethernet-Kabel ungefähr sein?
Antwort anzeigen
In der Praxis gilt meistens eine maximale Länge von ungefähr 100 Metern.
19. Was ist der Unterschied zwischen Multimode- und Singlemode-LWL?
Antwort anzeigen
Multimode-LWL wird eher für kürzere bis mittlere Strecken verwendet.
Singlemode-LWL wird für lange Strecken verwendet und hat einen kleineren Faserkern.
20. Warum darf man nicht direkt in eine Glasfaser schauen?
Antwort anzeigen
Weil dort unsichtbares Laserlicht austreten kann. Dieses Licht kann die Augen schädigen, auch wenn man es nicht sieht.
21. Welche WLAN-Verschlüsselung sollte mindestens verwendet werden?
Antwort anzeigen
Mindestens WPA2 sollte verwendet werden. Besser ist WPA3, wenn alle Geräte es unterstützen.
22. Warum ist ein Gäste-WLAN sinnvoll?
Antwort anzeigen
Ein Gäste-WLAN trennt fremde oder private Geräte vom internen Netzwerk. Gäste sollen zum Beispiel ins Internet kommen, aber nicht auf interne Server, Drucker oder NAS-Systeme zugreifen können.
23. Was ist ein Ethernet-Frame?
Antwort anzeigen
Ein Ethernet-Frame ist die Datenübertragungseinheit auf Schicht 2. Er enthält unter anderem Ziel-MAC-Adresse, Quell-MAC-Adresse, Nutzdaten und eine Prüfsumme.
24. Was ist die Aufgabe der FCS oder CRC im Ethernet-Frame?
Antwort anzeigen
FCS beziehungsweise CRC dient zur Fehlererkennung. Damit kann erkannt werden, ob ein Ethernet-Frame beschädigt wurde.
Fehlerhafte Frames werden verworfen.
25. Was ist eine MAC-Adresse?
Antwort anzeigen
Eine MAC-Adresse ist die Hardwareadresse einer Netzwerkschnittstelle. Sie ist normalerweise 48 Bit lang und wird hexadezimal dargestellt.
Beispiel:
00:1A:2B:3C:4D:5E
26. Was macht ein Switch?
Antwort anzeigen
Ein Switch verbindet Geräte in einem LAN und leitet Ethernet-Frames anhand der MAC-Adresse gezielt an den richtigen Port weiter.
27. Was ist der Unterschied zwischen einem Hub und einem Switch?
Antwort anzeigen
Ein Hub sendet empfangene Daten an alle Ports weiter.
Ein Switch lernt MAC-Adressen und sendet Frames gezielt nur an den passenden Port.
Ein Switch ist dadurch effizienter und sicherer als ein Hub.
28. Was ist eine SAT-Tabelle oder MAC Address Table?
Antwort anzeigen
Das ist die Tabelle eines Switches, in der gespeichert wird, welche MAC-Adresse an welchem Port erreichbar ist.
Dadurch kann der Switch Frames gezielt weiterleiten.
29. Was macht ARP?
Antwort anzeigen
ARP bedeutet Address Resolution Protocol.
ARP ermittelt zu einer IPv4-Adresse die passende MAC-Adresse im lokalen Netzwerk.
30. Was ist ein ARP-Request?
Antwort anzeigen
Ein ARP-Request ist eine Anfrage im lokalen Netzwerk:
„Wer hat diese IP-Adresse? Bitte sende mir deine MAC-Adresse.“
Diese Anfrage wird als Broadcast gesendet.
31. Was ist ein ARP-Reply?
Antwort anzeigen
Ein ARP-Reply ist die Antwort auf einen ARP-Request.
Das Zielgerät antwortet mit seiner MAC-Adresse.
32. Was ist ein Managed Switch?
Antwort anzeigen
Ein Managed Switch ist ein konfigurierbarer Switch. Man kann zum Beispiel VLANs, Port-Mirroring, Spanning Tree, Link Aggregation oder Port-Sicherheit einrichten.
33. Was ist Port-Mirroring?
Antwort anzeigen
Beim Port-Mirroring wird der Datenverkehr eines Ports auf einen anderen Port gespiegelt. Dadurch kann man den Verkehr zum Beispiel mit Wireshark analysieren.
34. Was ist Link Aggregation?
Antwort anzeigen
Link Aggregation fasst mehrere physische Netzwerkverbindungen zu einer logischen Verbindung zusammen.
Vorteile:
höhere Gesamtbandbreite
bessere Ausfallsicherheit
Lastverteilung
35. Was ist Power over Ethernet?
Antwort anzeigen
Power over Ethernet, kurz PoE, bedeutet, dass Strom und Daten über dasselbe Netzwerkkabel übertragen werden.
Typische Geräte sind Access Points, IP-Telefone und Überwachungskameras.
36. Wozu dient das Spanning Tree Protocol?
Antwort anzeigen
Das Spanning Tree Protocol verhindert Netzwerkschleifen zwischen Switches.
Es blockiert bestimmte redundante Verbindungen logisch und kann sie bei Ausfall einer anderen Verbindung wieder aktivieren.
37. Was ist ein VLAN?
Antwort anzeigen
Ein VLAN ist ein Virtual Local Area Network.
Damit kann ein physisches Netzwerk in mehrere logisch getrennte Netzwerke aufgeteilt werden.
38. Warum setzt man VLANs ein?
Antwort anzeigen
VLANs werden eingesetzt, um Netzbereiche logisch zu trennen.
Vorteile:
mehr Sicherheit
bessere Struktur
weniger Broadcast-Verkehr
Trennung von Abteilungen, Gästen oder Servern
39. Was ist ein Tagged Port?
Antwort anzeigen
Ein Tagged Port überträgt VLAN-Informationen im Ethernet-Frame mit.
Er wird häufig für Verbindungen zwischen Switches oder zwischen Switch und Router/Firewall verwendet.
40. Was ist ein Untagged Port?
Antwort anzeigen
Ein Untagged Port gehört fest zu einem VLAN. Endgeräte wie PCs oder Drucker werden meistens an untagged Ports angeschlossen.
41. Was ist eine IPv4-Adresse?
Antwort anzeigen
Eine IPv4-Adresse ist eine 32-Bit-Adresse zur logischen Adressierung von Geräten in einem Netzwerk.
Beispiel:
192.168.1.10
42. Was macht die Subnetzmaske?
Antwort anzeigen
Die Subnetzmaske trennt eine IP-Adresse in Netzanteil und Hostanteil.
Beispiel:
192.168.1.10/24
Hier gehören die ersten 24 Bit zum Netzanteil.
43. Was ist die Netzadresse bei 192.168.1.10/24?
Antwort anzeigen
Die Netzadresse ist:
192.168.1.0
Bei /24 gehören die ersten drei Oktette zum Netz. Das letzte Oktett ist der Hostanteil.
44. Was ist die Broadcast-Adresse bei 192.168.1.10/24?
Antwort anzeigen
Die Broadcast-Adresse ist:
192.168.1.255
Sie ist die letzte Adresse im Netz 192.168.1.0/24 .
45. Wie viele nutzbare Hosts gibt es in einem /24-Netz?
Antwort anzeigen
Ein /24 -Netz hat 256 Adressen.
Davon sind 2 nicht nutzbar:
Netzadresse
Broadcast-Adresse
Also gibt es 254 nutzbare Hostadressen.
46. Welche privaten IPv4-Adressbereiche gibt es?
Antwort anzeigen
Private IPv4-Adressbereiche sind:
10.0.0.0/8
172.16.0.0/12
192.168.0.0/16
Diese Adressen werden in privaten Netzwerken verwendet und nicht direkt im Internet geroutet.
47. Was bedeutet APIPA?
Antwort anzeigen
APIPA ist ein automatischer IPv4-Adressbereich, den ein Gerät verwenden kann, wenn kein DHCP-Server erreichbar ist.
Der Bereich lautet:
169.254.0.0/16
48. Was ist DHCP?
Antwort anzeigen
DHCP bedeutet Dynamic Host Configuration Protocol.
DHCP vergibt automatisch Netzwerkkonfigurationen an Clients, zum Beispiel:
IP-Adresse
Subnetzmaske
Standardgateway
DNS-Server
49. Wie lautet der DHCP-Ablauf?
Antwort anzeigen
Der DHCP-Ablauf lautet DORA:
Discover
Offer
Request
Acknowledge
Der Client sucht einen DHCP-Server, bekommt ein Angebot, fordert die Adresse an und erhält eine Bestätigung.
50. Was macht DNS?
Antwort anzeigen
DNS bedeutet Domain Name System.
DNS übersetzt Namen in IP-Adressen.
Beispiel:
www.example.com
wird in eine passende IP-Adresse aufgelöst.
51. Was ist Routing?
Antwort anzeigen
Routing bedeutet, Datenpakete zwischen verschiedenen Netzwerken weiterzuleiten.
Ein Router verbindet zum Beispiel zwei unterschiedliche IP-Netze miteinander.
52. Was ist ein Standardgateway?
Antwort anzeigen
Das Standardgateway ist der Router, an den ein Gerät Pakete sendet, wenn das Ziel nicht im eigenen lokalen Netzwerk liegt.
53. Was ist der Unterschied zwischen statischem und dynamischem Routing?
Antwort anzeigen
Beim statischen Routing werden Routen manuell eingetragen.
Beim dynamischen Routing tauschen Router Informationen automatisch über Routing-Protokolle aus.
54. Was ist ein Layer-3-Switch?
Antwort anzeigen
Ein Layer-3-Switch kann nicht nur auf Schicht 2 switchen, sondern auch auf Schicht 3 routen.
Er wird häufig eingesetzt, um VLANs im LAN miteinander zu verbinden.
55. Was ist ein Port in der Netzwerktechnik?
Antwort anzeigen
Ein Port ist eine Nummer auf Schicht 4, mit der Anwendungen oder Dienste auf einem Gerät unterschieden werden.
Beispiel:
HTTP: Port 80
HTTPS: Port 443
SSH: Port 22
56. Was ist der Unterschied zwischen IP-Adresse und Port?
Antwort anzeigen
Die IP-Adresse sagt, welches Gerät gemeint ist.
Der Port sagt, welcher Dienst oder welche Anwendung auf diesem Gerät gemeint ist.
Beispiel:
192.168.1.10:443
Gerät: 192.168.1.10
Dienst: Port 443
57. Was ist TCP?
Antwort anzeigen
TCP ist ein verbindungsorientiertes Transportprotokoll.
Es sorgt für zuverlässige Datenübertragung, richtige Reihenfolge und erneute Übertragung bei Verlust.
58. Was ist UDP?
Antwort anzeigen
UDP ist ein verbindungsloses Transportprotokoll.
Es ist schneller und schlanker als TCP, garantiert aber keine Zustellung und keine richtige Reihenfolge.
59. Was ist der TCP-Three-Way-Handshake?
Antwort anzeigen
Der TCP-Three-Way-Handshake baut eine TCP-Verbindung auf.
Ablauf:
Client sendet SYN
Server antwortet mit SYN/ACK
Client bestätigt mit ACK
Danach ist die Verbindung aufgebaut.
60. Nenne je zwei typische Dienste für TCP und UDP.
Antwort anzeigen
Typische TCP-Dienste:
HTTPS
SSH
Typische UDP-Dienste:
DNS
DHCP
61. Was ist NAT?
Antwort anzeigen
NAT bedeutet Network Address Translation.
Dabei werden IP-Adressen übersetzt, zum Beispiel private interne IP-Adressen in eine öffentliche IP-Adresse für den Internetzugang.
62. Was ist PAT?
Antwort anzeigen
PAT bedeutet Port Address Translation.
Dabei werden zusätzlich Ports verwendet, damit mehrere interne Geräte gleichzeitig über eine öffentliche IP-Adresse ins Internet kommunizieren können.
63. Was ist Portforwarding?
Antwort anzeigen
Portforwarding leitet Anfragen von außen an ein internes Gerät weiter.
Beispiel:
Eine Anfrage an die öffentliche IP auf Port 443 wird an einen internen Webserver weitergeleitet.
64. Warum kann Portforwarding ein Sicherheitsrisiko sein?
Antwort anzeigen
Portforwarding macht interne Dienste von außen erreichbar.
Wenn der Dienst schlecht abgesichert, veraltet oder falsch konfiguriert ist, kann er angegriffen werden.
65. Was ist eine Allowlist?
Antwort anzeigen
Eine Allowlist erlaubt nur ausdrücklich freigegebene Verbindungen, Programme, Geräte oder Benutzer.
Alles andere wird blockiert.
66. Was ist eine Blocklist?
Antwort anzeigen
Eine Blocklist blockiert ausdrücklich verbotene Verbindungen, Programme, Geräte oder Benutzer.
Alles, was nicht auf der Blocklist steht, kann erlaubt sein.
67. Was ist sicherer: Allowlist oder Blocklist?
Antwort anzeigen
Eine Allowlist ist meistens sicherer, weil nur ausdrücklich erlaubte Dinge zugelassen werden.
Das Prinzip lautet:
Alles ist verboten, außer es wurde erlaubt.
68. Was macht eine Firewall?
Antwort anzeigen
Eine Firewall kontrolliert Netzwerkverkehr anhand von Regeln.
Sie entscheidet, welche Verbindungen erlaubt oder blockiert werden.
69. Welche Kriterien kann eine Firewall prüfen?
Antwort anzeigen
Eine Firewall kann zum Beispiel prüfen:
Quell-IP-Adresse
Ziel-IP-Adresse
Protokoll
Port
Richtung
Verbindungszustand
teilweise auch Anwendung oder Inhalt
70. Was bedeutet Default Deny?
Antwort anzeigen
Default Deny bedeutet:
Alles ist standardmäßig verboten. Nur ausdrücklich erlaubte Verbindungen werden zugelassen.
Das ist ein sicheres Grundprinzip für Firewall-Regeln.
71. Was ist eine Paketfilter-Firewall?
Antwort anzeigen
Eine Paketfilter-Firewall prüft einzelne Pakete anhand von Informationen wie Quell-IP, Ziel-IP, Protokoll und Port.
Sie betrachtet normalerweise nicht den vollständigen Verbindungszustand.
72. Was ist eine SPI-Firewall?
Antwort anzeigen
SPI bedeutet Stateful Packet Inspection.
Eine SPI-Firewall merkt sich bestehende Verbindungen und kann Antworten automatisch einer erlaubten Verbindung zuordnen.
73. Was ist der Unterschied zwischen Paketfilter und SPI-Firewall?
Antwort anzeigen
Ein Paketfilter prüft einzelne Pakete anhand fester Regeln.
Eine SPI-Firewall prüft zusätzlich den Zustand der Verbindung. Dadurch kann sie erkennen, ob ein Paket zu einer bereits erlaubten Verbindung gehört.
74. Was ist eine DMZ?
Antwort anzeigen
DMZ bedeutet Demilitarisierte Zone.
Eine DMZ ist ein separates Netzwerk für Server, die von außen erreichbar sein müssen, zum Beispiel Webserver oder Reverse Proxy.
75. Warum verwendet man eine DMZ?
Antwort anzeigen
Eine DMZ schützt das interne LAN.
Wenn ein öffentlich erreichbarer Server in der DMZ angegriffen oder kompromittiert wird, soll der Angreifer nicht direkt Zugriff auf das interne Netzwerk bekommen.
76. Was ist der Unterschied zwischen einstufiger und zweistufiger DMZ?
Antwort anzeigen
Bei einer einstufigen DMZ trennt eine Firewall Internet, DMZ und LAN.
Bei einer zweistufigen DMZ gibt es zwei Firewalls: eine zwischen Internet und DMZ und eine zwischen DMZ und LAN.
Die zweistufige DMZ ist sicherer, aber aufwendiger.
77. Was ist die INPUT-Chain bei einer Linux-Firewall?
Antwort anzeigen
INPUT betrifft Datenverkehr, der direkt an die Firewall selbst gerichtet ist.
Beispiel:
Ein Administrator verbindet sich per SSH mit der Firewall.
78. Was ist die OUTPUT-Chain bei einer Linux-Firewall?
Antwort anzeigen
OUTPUT betrifft Datenverkehr, der von der Firewall selbst ausgeht.
Beispiel:
Die Firewall stellt selbst eine DNS-Anfrage oder lädt Updates herunter.
79. Was ist die FORWARD-Chain bei einer Linux-Firewall?
Antwort anzeigen
FORWARD betrifft Datenverkehr, der durch die Firewall hindurchgeleitet wird.
Beispiel:
Ein Client aus dem LAN geht über die Firewall ins Internet.
80. Warum ist eine Firewall allein kein vollständiger Schutz?
Antwort anzeigen
Eine Firewall schützt nur nach ihren Regeln und an der Stelle, an der sie eingesetzt wird.
Zusätzlich braucht man:
Updates
sichere Passwörter
Benutzerrechte
Backups
Monitoring
Virenschutz
sichere Konfiguration
Schulung der Benutzer
2. Grundlagen der Schichtenmodelle: OSI und TCP/IP
2.1 Warum gibt es Schichtenmodelle?
Ein Schichtenmodell hilft dabei, Netzwerktechnik verständlich und übersichtlich zu erklären.
Netzwerkkommunikation besteht aus vielen einzelnen Aufgaben. Zum Beispiel müssen Daten erzeugt, adressiert, verpackt, weitergeleitet, übertragen und beim Empfänger wieder zusammengesetzt werden.
Damit diese vielen Aufgaben nicht durcheinander geraten, werden sie in einzelne Schichten aufgeteilt.
Jede Schicht hat eine bestimmte Aufgabe.
Grundidee
Ein Schichtenmodell zerlegt die Netzwerkkommunikation in mehrere Ebenen.
Jede Ebene kümmert sich um einen bestimmten Teil der Kommunikation.
Beispiel:
Die Anwendung erzeugt Daten.
TCP oder UDP sorgt für den Transport zwischen Anwendungen.
IP sorgt für die Adressierung zwischen Netzwerken.
Ethernet sorgt für die Übertragung im lokalen Netzwerk.
Das Kabel oder WLAN überträgt die Signale.
Dadurch kann man besser verstehen, welche Technik an welcher Stelle gebraucht wird.
Warum ist das sinnvoll?
Schichtenmodelle sind sinnvoll, weil sie komplexe Netzwerktechnik in kleinere und verständlichere Bereiche aufteilen.
Wichtige Vorteile:
- Netzwerkkommunikation wird übersichtlicher.
- Fehler lassen sich besser einer Schicht zuordnen.
- Protokolle und Geräte können fachlich eingeordnet werden.
- Einzelne Schichten können verändert werden, ohne alles neu zu bauen.
- Hersteller können Geräte und Protokolle nach gemeinsamen Regeln entwickeln.
Ein wichtiger Gedanke ist:
Eine Schicht kann ausgetauscht werden,
ohne dass alle anderen Schichten komplett verändert werden müssen.
Beispiel:
IPv4 kann durch IPv6 ersetzt werden.
Die Anwendung darüber muss deshalb nicht komplett neu erfunden werden.
Begriff: Schicht
Eine Schicht ist eine Ebene innerhalb eines Kommunikationsmodells.
Jede Schicht übernimmt bestimmte Aufgaben.
Beispiele:
Schicht
Aufgabe
Schicht 1
Bits über ein Medium übertragen
Schicht 2
Daten im lokalen Netzwerk als Frames übertragen
Schicht 3
Pakete zwischen Netzwerken weiterleiten
Schicht 4
Kommunikation zwischen Anwendungen transportieren
Schicht 7
Dienste für Anwendungen bereitstellen
Merksatz:
Eine Schicht hat eine bestimmte Aufgabe
und arbeitet mit der Schicht darüber und darunter zusammen.
Begriff: Protokoll
Ein Protokoll ist eine Sammlung von Regeln für die Kommunikation.
Ein Netzwerkprotokoll legt fest:
- wie Daten aufgebaut sind
- wie Daten gesendet werden
- wie Daten empfangen werden
- wie Fehler erkannt werden
- wie Geräte miteinander kommunizieren
Beispiele für Protokolle:
Protokoll
Aufgabe
Ethernet
Übertragung im lokalen Netzwerk
IP
Adressierung und Weiterleitung zwischen Netzwerken
TCP
zuverlässige Datenübertragung
UDP
verbindungslose Datenübertragung
HTTP
Übertragung von Webseiten
DNS
Namensauflösung
Kurz gesagt:
Ein Protokoll ist eine gemeinsame Sprache zwischen Netzwerkgeräten oder Anwendungen.
Begriff: Modell
Ein Modell ist eine vereinfachte Darstellung der Wirklichkeit.
Das OSI-Modell beschreibt nicht jedes technische Detail eines echten Netzwerks. Es hilft aber dabei, Netzwerktechnik zu strukturieren und besser zu verstehen.
Das TCP/IP-Modell ist praxisnäher, weil es sich stärker an der realen Internetkommunikation orientiert.
Wichtig:
OSI-Modell = gutes Lern- und Einordnungsmodell
TCP/IP-Modell = praxisnahes Modell für reale Netzwerke und das Internet
Warum braucht man das in der Praxis?
In der Praxis hilft das Schichtenmodell besonders bei der Fehlersuche.
Wenn ein Netzwerkproblem auftritt, kann man schrittweise prüfen, auf welcher Ebene der Fehler liegt.
Beispiel:
Kein Link-Licht am Switch
→ Problem wahrscheinlich bei Kabel, Netzwerkkarte oder Port
→ Schicht 1
MAC-Adresse wird nicht gelernt
→ Problem wahrscheinlich im lokalen Ethernet-Bereich
→ Schicht 2
IP-Adresse oder Gateway falsch
→ Problem wahrscheinlich bei IP-Konfiguration oder Routing
→ Schicht 3
Dienst auf Port 443 nicht erreichbar
→ Problem wahrscheinlich bei TCP, Port, Firewall oder Dienst
→ Schicht 4 oder höher
Das Schichtenmodell hilft also, Fehler systematisch einzugrenzen.
Einfaches Beispiel: Webseite aufrufen
Wenn ein Client eine Webseite aufruft, arbeiten mehrere Schichten zusammen.
Vereinfacht:
Der Browser möchte eine Webseite laden.
HTTP oder HTTPS beschreibt die Anfrage.
TCP sorgt für eine zuverlässige Verbindung.
IP sorgt für die Adressierung zum Zielsystem.
Ethernet oder WLAN überträgt die Daten im lokalen Netzwerk.
Kabel, Glasfaser oder Funk übertragen die Signale.
Jede Schicht erfüllt dabei ihre eigene Aufgabe.
Austauschbarkeit der Schichten
Ein wichtiger Vorteil von Schichtenmodellen ist die Austauschbarkeit.
Das bedeutet:
Eine Technik auf einer Schicht kann ersetzt werden,
ohne dass alle anderen Schichten komplett geändert werden müssen.
Beispiele:
Änderung
Betroffene Schicht
Kupferkabel wird durch Glasfaser ersetzt
Schicht 0 / Schicht 1
Hub wird durch Switch ersetzt
Schicht 1 / Schicht 2
IPv4 wird durch IPv6 ersetzt
Schicht 3
TCP wird durch UDP ersetzt
Schicht 4
HTTP wird durch HTTPS ergänzt
Schicht 7 / Sicherheit
Das ist einer der wichtigsten Gründe, warum Schichtenmodelle in der Netzwerktechnik so nützlich sind.
OSI-Modell und TCP/IP-Modell
In der Netzwerktechnik begegnen dir besonders zwei Modelle:
Modell
Bedeutung
OSI-Modell
theoretisches Referenzmodell mit 7 Schichten
TCP/IP-Modell
praxisnahes Modell für Internet und reale Netzwerke
Das OSI-Modell wird häufig zum Lernen und zur Prüfungsvorbereitung verwendet.
Das TCP/IP-Modell beschreibt eher, wie Netzwerke in der Praxis aufgebaut sind.
Wichtig für die IHK:
Du solltest beide Modelle grundsätzlich kennen.
Du solltest typische Protokolle und Geräte den passenden Schichten zuordnen können.
Du solltest erklären können, warum Schichtenmodelle bei Fehlersuche und Strukturierung helfen.
Typische IHK-Fragen zu diesem Thema
In Prüfungen kann zum Beispiel gefragt werden:
- Warum verwendet man Schichtenmodelle?
- Welche Vorteile hat die Aufteilung in Schichten?
- Welche Aufgabe hat eine bestimmte Schicht?
- Welches Protokoll gehört zu welcher Schicht?
- Auf welcher Schicht arbeitet ein bestimmtes Gerät?
- Auf welcher Schicht liegt ein bestimmter Fehler?
- Was ist der Unterschied zwischen OSI-Modell und TCP/IP-Modell?
Du musst dabei meistens nicht alles extrem tief erklären, aber du solltest die Grundidee sicher beherrschen.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Schicht
Ebene mit einer bestimmten Aufgabe im Netzwerkmodell
Protokoll
Regelwerk für Kommunikation
OSI-Modell
7-Schichten-Modell zur Einordnung von Netzwerktechnik
TCP/IP-Modell
praxisnahes Modell für Internetkommunikation
Kapselung
Daten werden von Schicht zu Schicht mit zusätzlichen Informationen verpackt
Schnittstelle
Übergang zwischen zwei Schichten oder Systemen
Austauschbarkeit
Technik einer Schicht kann ersetzt werden, ohne alles neu zu bauen
Fehlersuche
systematisches Eingrenzen eines Problems nach Schichten
Prüfungswissen
Für AP1 und AP2 solltest du besonders können:
- den Zweck von Schichtenmodellen erklären
- die OSI-Schichten grob benennen
- TCP/IP und OSI grob vergleichen
- typische Protokolle den Schichten zuordnen
- typische Geräte den Schichten zuordnen
- Fehler anhand der Schichten eingrenzen
- den Begriff Kapselung verstehen
Besonders wichtig ist nicht nur das Auswendiglernen der Schichten, sondern das Verstehen der Aufgaben.
Merksätze
Schichtenmodelle machen Netzwerktechnik übersichtlicher.
Jede Schicht hat eine bestimmte Aufgabe.
Eine Schicht nutzt die Dienste der darunterliegenden Schicht.
Eine Schicht stellt der darüberliegenden Schicht eigene Dienste bereit.
Das OSI-Modell hilft beim Lernen und bei der Fehlersuche.
Das TCP/IP-Modell ist näher an der Praxis und am Internet.
Fehler lassen sich leichter finden,
wenn man weiß,
auf welcher Schicht man suchen muss.
Die wichtigste Idee ist:
Komplexe Kommunikation wird in kleinere Aufgaben zerlegt.
2.2 OSI-Modell Überblick
Das OSI-Modell ist ein Referenzmodell für Netzwerkkommunikation.
OSI steht für:
Open Systems Interconnection
Auf Deutsch bedeutet das sinngemäß:
Kommunikation zwischen offenen Systemen
Das OSI-Modell teilt Netzwerkkommunikation in 7 Schichten ein. Jede Schicht hat eine eigene Aufgabe.
Das Modell hilft dabei, Netzwerktechnik besser zu verstehen, Protokolle einzuordnen und Fehler systematisch zu suchen.
Warum ist das OSI-Modell wichtig?
Das OSI-Modell ist besonders wichtig, weil es Netzwerkkommunikation in einzelne Aufgabenbereiche zerlegt.
Dadurch kann man besser erkennen:
- welche Aufgabe eine bestimmte Technik hat
- auf welcher Schicht ein Gerät arbeitet
- zu welcher Schicht ein Protokoll gehört
- wo ein Netzwerkfehler liegen könnte
- wie Daten Schritt für Schritt übertragen werden
Für die IHK ist das OSI-Modell wichtig, weil viele Netzwerkthemen darüber eingeordnet werden können.
Beispiele:
MAC-Adresse → Schicht 2
IP-Adresse → Schicht 3
TCP und UDP → Schicht 4
HTTP, DNS, SMTP → Schicht 7
Die 7 OSI-Schichten
Schicht
Deutscher Name
Englischer Name
Hauptaufgabe
7
Anwendungsschicht
Application Layer
Dienste für Anwendungen bereitstellen
6
Darstellungsschicht
Presentation Layer
Daten darstellen, codieren, komprimieren oder verschlüsseln
5
Sitzungsschicht
Session Layer
Sitzungen zwischen Kommunikationspartnern verwalten
4
Transportschicht
Transport Layer
Ende-zu-Ende-Kommunikation zwischen Anwendungen
3
Vermittlungsschicht / Netzwerkschicht
Network Layer
logische Adressierung und Routing
2
Sicherungsschicht
Data Link Layer
lokale Übertragung mit MAC-Adressen und Frames
1
Bitübertragungsschicht
Physical Layer
Bits als elektrische, optische oder Funk-Signale übertragen
OSI-Schicht 1 – Bitübertragungsschicht
Die Bitübertragungsschicht ist die unterste offizielle OSI-Schicht.
Sie beschreibt, wie Bits physisch übertragen werden.
Typische Themen:
- elektrische Signale
- Lichtsignale
- Funksignale
- Netzwerkkarte
- Kabelanschluss
- Hub
- Übertragungsgeschwindigkeit
- Steckertypen und physische Verbindung
Wichtig:
Schicht 1 interessiert sich nicht dafür,
welche Bedeutung die Daten haben.
Sie überträgt nur Bits.
Merksatz:
Schicht 1 = Bits und Signale
OSI-Schicht 2 – Sicherungsschicht
Die Sicherungsschicht kümmert sich um die Übertragung im lokalen Netzwerk.
Hier spielen MAC-Adressen und Ethernet-Frames eine wichtige Rolle.
Typische Themen:
- MAC-Adresse
- Ethernet-Frame
- Switch
- VLAN
- ARP im LAN-Bezug
- CRC/FCS
- Port Mirroring
- Spanning Tree
- Link Aggregation
Ein Switch arbeitet typischerweise auf Schicht 2, weil er anhand von MAC-Adressen entscheidet, an welchen Port ein Frame weitergeleitet wird.
Merksatz:
Schicht 2 = MAC-Adresse, Frame und Switch
OSI-Schicht 3 – Vermittlungsschicht / Netzwerkschicht
Die Vermittlungsschicht kümmert sich um die logische Adressierung und Weiterleitung zwischen Netzwerken.
Hier geht es vor allem um IP-Adressen und Routing.
Typische Themen:
- IPv4
- IPv6
- IP-Adresse
- Subnetzmaske
- CIDR
- Routing
- Router
- Layer-3-Switch
- ICMP
- Ping
- Traceroute
Ein Router arbeitet typischerweise auf Schicht 3, weil er Pakete zwischen verschiedenen Netzwerken weiterleitet.
Merksatz:
Schicht 3 = IP-Adresse und Routing
OSI-Schicht 4 – Transportschicht
Die Transportschicht kümmert sich um die Kommunikation zwischen Anwendungen auf verschiedenen Geräten.
Hier spielen Ports, TCP und UDP eine wichtige Rolle.
Typische Themen:
- TCP
- UDP
- Ports
- Sockets
- TCP-Handshake
- Sequenznummern
- ACKs
- Portbereiche
- QUIC mit UDP-Bezug
TCP sorgt für eine zuverlässige Verbindung.
UDP sendet verbindungslos und mit weniger Verwaltungsaufwand.
Merksatz:
Schicht 4 = Ports, TCP und UDP
OSI-Schicht 5 – Sitzungsschicht
Die Sitzungsschicht kümmert sich um Sitzungen zwischen Kommunikationspartnern.
Eine Sitzung ist eine logisch zusammengehörende Kommunikation zwischen zwei Systemen oder Anwendungen.
Typische Aufgaben:
- Sitzung aufbauen
- Sitzung verwalten
- Sitzung beenden
- Dialogsteuerung
- Wiederaufnahme einer Verbindung auf Anwendungsebene
In modernen Netzwerken sind die Aufgaben von Schicht 5 oft in Anwendungsprotokollen oder Bibliotheken integriert.
Wichtig für die Prüfung:
Schicht 5 muss man kennen,
auch wenn sie in der Praxis nicht immer klar getrennt sichtbar ist.
Merksatz:
Schicht 5 = Sitzung verwalten
OSI-Schicht 6 – Darstellungsschicht
Die Darstellungsschicht kümmert sich darum, wie Daten dargestellt oder umgewandelt werden.
Typische Aufgaben:
- Zeichencodierung
- Datenformatierung
- Kompression
- Verschlüsselung
- Umwandlung von Datenformaten
Beispiele für Schicht-6-Bezug:
- UTF-8
- ASCII
- JPEG
- PNG
- MP3
- Kompression
- TLS/SSL im Darstellungs- und Sicherheitsbezug
Wichtig:
Schicht 6 sorgt dafür,
dass Daten in einer verständlichen Form verarbeitet werden können.
Merksatz:
Schicht 6 = Darstellung, Codierung und Umwandlung
OSI-Schicht 7 – Anwendungsschicht
Die Anwendungsschicht ist die oberste OSI-Schicht.
Sie stellt Netzwerkdienste für Anwendungen bereit.
Typische Protokolle und Dienste:
- HTTP
- HTTPS
- DNS
- DHCP
- SMTP
- POP3
- IMAP
- FTP
- SSH im Anwendungsbezug
Wichtig:
Schicht 7 ist nicht das Programm selbst,
sondern die Netzwerkschnittstelle bzw. der Netzwerkdienst,
den eine Anwendung nutzt.
Beispiel:
Der Browser ist eine Anwendung.
HTTP oder HTTPS ist das Protokoll auf Schicht 7.
Merksatz:
Schicht 7 = Dienste für Anwendungen
OSI-Modell von unten nach oben
Wenn Daten gesendet werden, kann man die Schichten von oben nach unten betrachten.
Beispiel beim Senden:
Schicht 7: Anwendung erzeugt Daten
Schicht 6: Daten werden dargestellt oder verschlüsselt
Schicht 5: Sitzung wird verwaltet
Schicht 4: TCP oder UDP transportiert die Daten
Schicht 3: IP adressiert und routet die Daten
Schicht 2: Ethernet verpackt die Daten in Frames
Schicht 1: Bits werden als Signale übertragen
Beim Empfangen läuft der Vorgang wieder umgekehrt.
OSI-Modell von oben nach unten merken
Ein bekannter Merksatz von oben nach unten lautet:
Alle Deutschen Schüler Trinken Verschiedene Sorten Brause
Das steht für:
Wort
Schicht
Alle
Anwendung
Deutschen
Darstellung
Schüler
Sitzung
Trinken
Transport
Verschiedene
Vermittlung
Sorten
Sicherung
Brause
Bitübertragung
Also:
Anwendung
Darstellung
Sitzung
Transport
Vermittlung
Sicherung
Bitübertragung
OSI-Modell von unten nach oben merken
Von unten nach oben kann man sich merken:
Bits
Frames
Pakete
Segmente
Sitzungen
Darstellung
Anwendung
Etwas fachlicher:
Schicht
typische Dateneinheit
7
Daten
6
Daten
5
Daten
4
Segment oder Datagramm
3
Paket
2
Frame
1
Bits
Wichtig:
Bei TCP spricht man auf Schicht 4 oft von Segmenten.
Bei UDP spricht man auf Schicht 4 oft von Datagrammen.
Bei IP spricht man auf Schicht 3 von Paketen.
Bei Ethernet spricht man auf Schicht 2 von Frames.
Auf Schicht 1 werden Bits übertragen.
Typische Geräte und ihre Schichten
Gerät
Typische Schicht
Begründung
Hub
Schicht 1
verteilt Signale ohne MAC- oder IP-Auswertung
Switch
Schicht 2
leitet anhand von MAC-Adressen weiter
Router
Schicht 3
leitet anhand von IP-Adressen zwischen Netzen weiter
Layer-3-Switch
Schicht 3
kombiniert Switching mit Routing
Firewall
mehrere Schichten
kann je nach Typ IPs, Ports, Zustände oder Anwendungen prüfen
Access Point
Schicht 1/2
Funkübertragung und WLAN-Zugriff
Wichtig:
Manche Geräte arbeiten nicht nur auf genau einer Schicht.
Eine Firewall kann zum Beispiel auf mehreren Schichten prüfen.
Typische Protokolle und ihre Schichten
Protokoll / Technik
Typische Einordnung
Ethernet
Schicht 2
MAC
Schicht 2
VLAN
Schicht 2
IP
Schicht 3
ICMP
Schicht 3
TCP
Schicht 4
UDP
Schicht 4
HTTP
Schicht 7
DNS
Schicht 7 mit starkem Schicht-3-Bezug
DHCP
Schicht 7 mit starkem Schicht-3-Bezug
SMTP
Schicht 7
IMAP
Schicht 7
POP3
Schicht 7
Prüfungshinweis:
DNS und DHCP werden oft im Zusammenhang mit IP-Konfiguration und Namensauflösung gelernt.
Fachlich sind es aber Anwendungsprotokolle,
die TCP oder UDP verwenden.
Beispiel: Fehler nach OSI-Schichten einordnen
Das OSI-Modell hilft bei der Fehlersuche.
Beispiele:
Fehlerbild
mögliche Schicht
Kein Link-Licht am Switch
Schicht 1
falsches oder defektes Kabel
Schicht 1
MAC-Adresse wird nicht gelernt
Schicht 2
VLAN falsch zugeordnet
Schicht 2
falsche IP-Adresse
Schicht 3
falsches Gateway
Schicht 3
Routing fehlt
Schicht 3
Port 443 ist blockiert
Schicht 4 / Firewall
DNS-Name wird nicht aufgelöst
Schicht 7 mit Schicht-3-Bezug
Webseite lädt nicht
Schicht 4 bis 7 möglich
Wichtig:
Ein Fehler auf einer unteren Schicht kann alle oberen Schichten beeinflussen.
Beispiel:
Wenn das Netzwerkkabel defekt ist,
funktionieren IP, TCP, DNS und HTTP auch nicht.
IHK-Prüfungswissen
Für AP1 und AP2 solltest du können:
- die 7 OSI-Schichten benennen
- die Reihenfolge der Schichten kennen
- typische Geräte den Schichten zuordnen
- typische Protokolle den Schichten zuordnen
- einfache Fehlerbilder einer Schicht zuordnen
- den Unterschied zwischen MAC-Adresse, IP-Adresse und Port erklären
- verstehen, dass Firewalls mehrere Schichten prüfen können
- wissen, dass ICMP nicht zu TCP oder UDP gehört
- wissen, dass TCP und UDP Schicht-4-Protokolle sind
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
OSI
Open Systems Interconnection
Schicht
Ebene mit bestimmter Aufgabe im Netzwerkmodell
Bit
kleinste Informationseinheit, 0 oder 1
Frame
Dateneinheit auf Schicht 2
Paket
Dateneinheit auf Schicht 3
Segment
TCP-Dateneinheit auf Schicht 4
Datagramm
UDP-Dateneinheit auf Schicht 4
MAC-Adresse
Hardwareadresse im lokalen Netzwerk
IP-Adresse
logische Adresse für Netzwerke
Port
Dienstadresse auf einem Host
Protokoll
Regelwerk für Kommunikation
Routing
Weiterleitung zwischen Netzwerken
Kapselung
Verpacken von Daten durch mehrere Schichten
Typische Prüfungsfallen
ICMP ist kein Transportprotokoll wie TCP oder UDP.
ICMP gehört in den IP-/Netzwerkbereich.
Ein Switch arbeitet normalerweise auf Schicht 2.
Ein Router arbeitet normalerweise auf Schicht 3.
Ein Port ist keine IP-Adresse.
Ein Port zeigt auf einen Dienst oder eine Anwendung.
Eine MAC-Adresse ist nicht dasselbe wie eine IP-Adresse.
MAC-Adresse = lokale Zustellung im LAN.
IP-Adresse = logische Adressierung zwischen Netzen.
Schicht 7 ist nicht einfach "der Benutzer",
sondern die Anwendungsschicht mit Netzwerkdiensten.
Firewalls können je nach Art auf mehreren Schichten arbeiten.
Merksätze
Schicht 1 = Bits und Signale
Schicht 2 = MAC-Adresse und Frame
Schicht 3 = IP-Adresse und Routing
Schicht 4 = Ports, TCP und UDP
Schicht 5 = Sitzung verwalten
Schicht 6 = Daten darstellen, codieren oder verschlüsseln
Schicht 7 = Dienste für Anwendungen
MAC-Adresse = lokales Netzwerk
IP-Adresse = Netzwerkübergreifende Adressierung
Port = Dienst auf einem Host
TCP = zuverlässig und verbindungsorientiert
UDP = verbindungslos und schlank
ICMP = Kontroll- und Fehlermeldungen im IP-Netz
Das OSI-Modell ist eine Landkarte für Netzwerktechnik.
2.3 TCP/IP-Modell Überblick
Das TCP/IP-Modell ist ein praxisnahes Schichtenmodell für Netzwerke und das Internet.
TCP/IP steht für:
Transmission Control Protocol / Internet Protocol
Der Name kommt von zwei besonders wichtigen Protokollen:
TCP = Transmission Control Protocol
IP = Internet Protocol
Wichtig:
TCP/IP bezeichnet nicht nur TCP und IP allein,
sondern eine ganze Protokollfamilie.
Deshalb spricht man auch von der:
Internetprotokollfamilie
Warum ist das TCP/IP-Modell wichtig?
Das TCP/IP-Modell ist besonders wichtig, weil es die Grundlage moderner Netzwerke und des Internets bildet.
Während das OSI-Modell vor allem als theoretisches Referenzmodell zum Lernen und Einordnen verwendet wird, ist das TCP/IP-Modell näher an der praktischen Umsetzung.
Vereinfacht gesagt:
OSI-Modell = Lern- und Referenzmodell
TCP/IP-Modell = praxisnahes Modell für reale Netzwerke und das Internet
Für die IHK ist wichtig:
Du solltest das OSI-Modell kennen,
aber auch verstehen,
wie TCP/IP praktisch dazu passt.
Begriff: TCP/IP-Modell
Das TCP/IP-Modell beschreibt, wie Daten in IP-basierten Netzwerken übertragen werden.
Es ordnet Netzwerkaufgaben in mehrere Schichten ein.
Typische Aufgaben sind:
- Daten von Anwendungen bereitstellen
- Transport zwischen Anwendungen ermöglichen
- IP-Adressierung und Routing durchführen
- Daten im lokalen Netzwerk übertragen
- Bits über ein Medium senden
Die Schichten des TCP/IP-Modells
Das TCP/IP-Modell wird häufig mit vier Schichten dargestellt.
TCP/IP-Schicht
Aufgabe
Beispiele
Anwendungsschicht
Dienste für Anwendungen bereitstellen
HTTP, DNS, DHCP, SMTP, IMAP
Transportschicht
Kommunikation zwischen Anwendungen transportieren
TCP, UDP
Internetschicht
logische Adressierung und Routing
IP, ICMP
Netzzugangsschicht
Zugriff auf das lokale Netzwerk und Übertragung
Ethernet, WLAN, MAC
Wichtig:
Das TCP/IP-Modell hat weniger Schichten als das OSI-Modell.
Das bedeutet aber nicht, dass Aufgaben fehlen. Mehrere OSI-Schichten werden im TCP/IP-Modell zusammengefasst.
TCP/IP-Schicht 1: Netzzugangsschicht
Die Netzzugangsschicht beschreibt, wie Daten im lokalen Netzwerk übertragen werden.
Sie umfasst im TCP/IP-Modell Aufgaben, die im OSI-Modell hauptsächlich zu Schicht 1 und Schicht 2 gehören.
Typische Themen:
- Netzwerkkarte
- Ethernet
- WLAN
- MAC-Adresse
- Switch
- Ethernet-Frame
- Übertragungsmedium
- Zugriff auf das Netzwerk
Fachlich genauer:
Die Netzzugangsschicht fasst Aufgaben der Bitübertragungsschicht
und der Sicherungsschicht zusammen.
Bezug zum OSI-Modell:
TCP/IP
OSI-Bezug
Netzzugangsschicht
OSI-Schicht 1 und OSI-Schicht 2
Merksatz:
Netzzugangsschicht = lokales Netzwerk, MAC-Adresse, Ethernet, WLAN
TCP/IP-Schicht 2: Internetschicht
Die Internetschicht kümmert sich um die logische Adressierung und die Weiterleitung zwischen Netzwerken.
Das wichtigste Protokoll dieser Schicht ist IP.
Typische Themen:
- IPv4
- IPv6
- IP-Adresse
- Subnetzmaske
- Routing
- Router
- ICMP
- Ping
- Traceroute
Die Internetschicht sorgt dafür, dass Datenpakete über Netzwerkgrenzen hinweg zum Ziel gelangen können.
Bezug zum OSI-Modell:
TCP/IP
OSI-Bezug
Internetschicht
OSI-Schicht 3
Merksatz:
Internetschicht = IP-Adresse und Routing
Begriff: IP
IP steht für:
Internet Protocol
IP ist für die logische Adressierung und Weiterleitung von Paketen zuständig.
Das bedeutet:
IP legt fest,
von welcher IP-Adresse ein Paket kommt
und zu welcher IP-Adresse es gesendet werden soll.
Wichtig:
IP stellt keine zuverlässige Zustellung sicher.
IP kümmert sich hauptsächlich um Adressierung und Weiterleitung.
Die zuverlässige Übertragung übernimmt bei Bedarf eine höhere Schicht, zum Beispiel TCP.
TCP/IP-Schicht 3: Transportschicht
Die Transportschicht sorgt für die Kommunikation zwischen Anwendungen auf verschiedenen Geräten.
Die wichtigsten Protokolle dieser Schicht sind:
TCP
UDP
TCP ist verbindungsorientiert und zuverlässig.
UDP ist verbindungslos und hat weniger Verwaltungsaufwand.
Typische Themen:
- Ports
- Sockets
- TCP
- UDP
- TCP-Handshake
- Sequenznummern
- ACK-Bestätigungen
- Datagramme
- Verbindungsaufbau
- Verbindungsabbau
Bezug zum OSI-Modell:
TCP/IP
OSI-Bezug
Transportschicht
OSI-Schicht 4
Merksatz:
Transportschicht = TCP, UDP und Ports
Begriff: TCP
TCP steht für:
Transmission Control Protocol
TCP ist ein verbindungsorientiertes und zuverlässiges Transportprotokoll.
TCP sorgt unter anderem für:
- Verbindungsaufbau
- geordnete Datenübertragung
- Bestätigungen
- erneute Übertragung verlorener Daten
- Verbindungsabbau
Typisches Beispiel:
HTTPS über TCP-Port 443
Merksatz:
TCP = zuverlässig und verbindungsorientiert
Begriff: UDP
UDP steht für:
User Datagram Protocol
UDP ist ein verbindungsloses Transportprotokoll.
UDP sendet Daten ohne vorherigen Verbindungsaufbau.
UDP bietet keine eingebaute Garantie für:
- Zustellung
- Reihenfolge
- erneute Übertragung verlorener Daten
Typische Beispiele:
DNS
DHCP
VoIP
Streaming
Online-Gaming
Merksatz:
UDP = verbindungslos und mit wenig Verwaltungsaufwand
TCP/IP-Schicht 4: Anwendungsschicht
Die Anwendungsschicht stellt Netzwerkdienste für Programme bereit.
Sie fasst im TCP/IP-Modell Aufgaben zusammen, die im OSI-Modell den Schichten 5, 6 und 7 zugeordnet werden.
Typische Protokolle und Dienste:
- HTTP
- HTTPS
- DNS
- DHCP
- SMTP
- POP3
- IMAP
- FTP
- SSH
Bezug zum OSI-Modell:
TCP/IP
OSI-Bezug
Anwendungsschicht
OSI-Schicht 5, 6 und 7
Wichtig:
Im TCP/IP-Modell werden Sitzungsschicht,
Darstellungsschicht und Anwendungsschicht
meistens zur Anwendungsschicht zusammengefasst.
Merksatz:
Anwendungsschicht = Netzwerkdienste für Anwendungen
TCP/IP-Modell und OSI-Modell grob zugeordnet
TCP/IP-Modell
OSI-Modell
Beispiele
Anwendungsschicht
Schicht 5 bis 7
HTTP, DNS, DHCP, SMTP
Transportschicht
Schicht 4
TCP, UDP, Ports
Internetschicht
Schicht 3
IP, ICMP, Routing
Netzzugangsschicht
Schicht 1 bis 2
Ethernet, WLAN, MAC, Switch
Wichtig:
Die Zuordnung ist eine fachliche Orientierung.
In der Praxis sind die Grenzen nicht immer so sauber sichtbar wie im Modell.
Begriff: Protokollfamilie
Eine Protokollfamilie ist eine Gruppe von Protokollen, die zusammenarbeiten.
TCP/IP ist eine Protokollfamilie.
Beispiele aus der TCP/IP-Protokollfamilie:
Protokoll
Aufgabe
IP
Adressierung und Routing
ICMP
Kontroll- und Fehlermeldungen
TCP
zuverlässiger Transport
UDP
verbindungsloser Transport
HTTP
Webseitenübertragung
DNS
Namensauflösung
DHCP
automatische IP-Konfiguration
SMTP
E-Mail-Versand
IMAP
E-Mail-Abruf
Merksatz:
TCP/IP ist nicht nur TCP und IP,
sondern eine ganze Familie zusammenarbeitender Netzwerkprotokolle.
Begriff: Host
Ein Host ist ein Gerät in einem Netzwerk, das eine eigene Netzwerkadresse besitzt und kommunizieren kann.
Beispiele:
- PC
- Notebook
- Server
- Smartphone
- Drucker
- NAS
- virtuelle Maschine
Im TCP/IP-Kontext bedeutet das:
Ein Host hat normalerweise eine IP-Adresse
und kann Daten senden oder empfangen.
Begriff: Router
Ein Router verbindet verschiedene Netzwerke miteinander.
Er entscheidet anhand der Ziel-IP-Adresse, wohin ein Paket weitergeleitet werden soll.
Typischer Bezug:
TCP/IP-Internetschicht
OSI-Schicht 3
Merksatz:
Router verbinden Netze.
Switches verbinden Geräte im lokalen Netz.
Begriff: Paket
Ein Paket ist eine Dateneinheit auf der IP-Ebene.
Bei IPv4 oder IPv6 spricht man von IP-Paketen.
Ein IP-Paket enthält unter anderem:
- Quell-IP-Adresse
- Ziel-IP-Adresse
- Steuerinformationen
- Nutzdaten
Merksatz:
Paket = Dateneinheit der IP-Schicht
Begriff: Frame
Ein Frame ist eine Dateneinheit im lokalen Netzwerk, zum Beispiel bei Ethernet.
Ein Ethernet-Frame enthält unter anderem:
- Ziel-MAC-Adresse
- Quell-MAC-Adresse
- Typfeld
- Nutzdaten
- Prüfsumme
Merksatz:
Frame = Dateneinheit im lokalen Netzwerk
Begriff: Segment und Datagramm
Auf der Transportschicht unterscheidet man häufig:
TCP-Segment
UDP-Datagramm
Ein TCP-Segment gehört zu TCP.
Ein UDP-Datagramm gehört zu UDP.
Merksatz:
TCP arbeitet mit Segmenten.
UDP arbeitet mit Datagrammen.
Warum hat TCP/IP weniger Schichten als OSI?
Das OSI-Modell beschreibt die Kommunikation sehr genau in sieben Schichten.
Das TCP/IP-Modell ist stärker an der praktischen Umsetzung orientiert und fasst bestimmte Aufgaben zusammen.
Beispiel:
OSI-Schicht 5 = Sitzungsschicht
OSI-Schicht 6 = Darstellungsschicht
OSI-Schicht 7 = Anwendungsschicht
Im TCP/IP-Modell werden diese Aufgaben meistens zusammengefasst zur:
Anwendungsschicht
Auch OSI-Schicht 1 und OSI-Schicht 2 werden im TCP/IP-Modell häufig zusammengefasst zur:
Netzzugangsschicht
Beispiel: Webseite aufrufen im TCP/IP-Modell
Wenn ein Client eine Webseite aufruft, arbeiten mehrere TCP/IP-Schichten zusammen.
Beispiel:
Anwendungsschicht:
Der Browser verwendet HTTP oder HTTPS.
Transportschicht:
TCP stellt eine Verbindung zum Server her.
Internetschicht:
IP adressiert das Paket zum Zielserver.
Netzzugangsschicht:
Ethernet oder WLAN überträgt die Daten im lokalen Netzwerk.
Vereinfacht:
HTTP/HTTPS → TCP → IP → Ethernet/WLAN
Oder als Ablauf:
Browser erzeugt HTTP-Anfrage.
TCP transportiert die Anfrage zuverlässig.
IP sorgt für die Adressierung zum Webserver.
Ethernet oder WLAN überträgt die Daten im lokalen Netz.
Beispiel: DNS-Anfrage im TCP/IP-Modell
DNS wird häufig verwendet, um einen Namen in eine IP-Adresse aufzulösen.
Beispiel:
www.example.org → passende IP-Adresse
Ablauf vereinfacht:
Anwendungsschicht:
DNS-Anfrage wird erzeugt.
Transportschicht:
UDP wird häufig für DNS-Anfragen verwendet.
Internetschicht:
IP adressiert die Anfrage zum DNS-Server.
Netzzugangsschicht:
Ethernet oder WLAN überträgt die Daten im lokalen Netzwerk.
Vereinfacht:
DNS → UDP → IP → Ethernet/WLAN
Wichtig:
DNS ist ein Anwendungsprotokoll,
nutzt aber häufig UDP auf der Transportschicht
und IP auf der Internetschicht.
IHK-Prüfungswissen
Für AP1 und AP2 solltest du zum TCP/IP-Modell besonders können:
- erklären, dass TCP/IP ein praxisnahes Schichtenmodell ist
- TCP/IP als Protokollfamilie verstehen
- die wichtigsten TCP/IP-Schichten benennen
- TCP/IP grob dem OSI-Modell zuordnen
- TCP und UDP der Transportschicht zuordnen
- IP und ICMP der Internetschicht zuordnen
- Ethernet und WLAN der Netzzugangsschicht zuordnen
- HTTP, DNS, DHCP und E-Mail-Protokolle der Anwendungsschicht zuordnen
- erklären, warum TCP/IP weniger Schichten als OSI hat
Typische Prüfungsfallen
TCP/IP ist nicht nur TCP und IP.
TCP/IP bezeichnet eine Protokollfamilie.
IP ist nicht zuverlässig im Sinne von TCP.
IP adressiert und routet Pakete.
TCP und UDP gehören zur Transportschicht.
ICMP gehört nicht zu TCP oder UDP.
ICMP gehört in den IP-/Internetschicht-Bereich.
DNS ist kein Schicht-3-Protokoll,
auch wenn es für IP-Adressen wichtig ist.
DHCP ist kein reines Schicht-3-Protokoll,
auch wenn es IP-Konfiguration bereitstellt.
Das TCP/IP-Modell ist praxisnäher als das OSI-Modell.
Das OSI-Modell hat sieben Schichten.
Das TCP/IP-Modell wird häufig mit vier Schichten dargestellt.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
TCP/IP
Protokollfamilie für IP-basierte Netzwerke
TCP
zuverlässiges, verbindungsorientiertes Transportprotokoll
UDP
verbindungsloses Transportprotokoll mit wenig Verwaltungsaufwand
IP
Protokoll für logische Adressierung und Routing
ICMP
Kontroll- und Fehlermeldeprotokoll im IP-Netz
HTTP
Protokoll zur Übertragung von Webseiten
DNS
Namensauflösung von Namen zu IP-Adressen
DHCP
automatische Vergabe von IP-Konfiguration
Ethernet
Technik für lokale Netzwerke
WLAN
drahtloses lokales Netzwerk
Host
Gerät mit Netzwerkadresse
Router
Gerät zur Verbindung verschiedener Netzwerke
Frame
Dateneinheit im lokalen Netzwerk
Paket
Dateneinheit auf IP-Ebene
Segment
TCP-Dateneinheit
Datagramm
UDP-Dateneinheit
Merksätze
TCP/IP ist die Grundlage moderner IP-Netzwerke.
TCP/IP ist eine Protokollfamilie,
nicht nur TCP und IP.
Das TCP/IP-Modell ist praxisnäher als das OSI-Modell.
OSI hat 7 Schichten.
TCP/IP wird häufig mit 4 Schichten dargestellt.
Anwendungsschicht = HTTP, DNS, DHCP, SMTP
Transportschicht = TCP, UDP, Ports
Internetschicht = IP, ICMP, Routing
Netzzugangsschicht = Ethernet, WLAN, MAC
TCP = zuverlässiger Transport
UDP = verbindungsloser Transport
IP = Adressierung und Routing
ICMP = Kontroll- und Fehlermeldungen
Ethernet = lokale Übertragung im LAN
DNS → UDP/TCP → IP → Ethernet
HTTP/HTTPS → TCP → IP → Ethernet
2.4 OSI-Modell versus TCP/IP-Modell
Das OSI-Modell und das TCP/IP-Modell sind Schichtenmodelle für Netzwerkkommunikation.
Beide Modelle helfen dabei, Netzwerktechnik in einzelne Aufgabenbereiche aufzuteilen.
Der wichtigste Unterschied ist:
Das OSI-Modell ist ein theoretisches Referenzmodell mit 7 Schichten.
Das TCP/IP-Modell ist ein praxisnahes Modell für reale IP-Netzwerke und das Internet.
Grundidee
Netzwerkkommunikation besteht aus mehreren Aufgaben.
Zum Beispiel:
- Daten werden von einer Anwendung erzeugt.
- Daten werden für den Transport vorbereitet.
- Daten werden adressiert.
- Daten werden über ein Netzwerk weitergeleitet.
- Daten werden über ein Medium übertragen.
- Daten werden beim Empfänger wieder zusammengesetzt.
Schichtenmodelle helfen dabei, diese Aufgaben fachlich einzuordnen.
OSI-Modell kurz erklärt
OSI steht für:
Open Systems Interconnection
Das OSI-Modell besteht aus 7 Schichten.
OSI-Schicht
Deutscher Name
Englischer Name
Hauptaufgabe
7
Anwendungsschicht
Application Layer
Netzwerkdienste für Anwendungen
6
Darstellungsschicht
Presentation Layer
Darstellung, Codierung, Kompression, Verschlüsselung
5
Sitzungsschicht
Session Layer
Sitzungen aufbauen, verwalten und beenden
4
Transportschicht
Transport Layer
Transport zwischen Anwendungen
3
Vermittlungsschicht / Netzwerkschicht
Network Layer
logische Adressierung und Routing
2
Sicherungsschicht
Data Link Layer
lokale Übertragung mit Frames und MAC-Adressen
1
Bitübertragungsschicht
Physical Layer
Übertragung von Bits als Signale
Merksatz:
OSI = 7 Schichten zur fachlichen Einordnung von Netzwerkkommunikation
TCP/IP-Modell kurz erklärt
TCP/IP steht für:
Transmission Control Protocol / Internet Protocol
Der Begriff TCP/IP bezeichnet nicht nur TCP und IP, sondern eine ganze Protokollfamilie.
Das TCP/IP-Modell wird häufig mit 4 Schichten dargestellt.
TCP/IP-Schicht
Hauptaufgabe
Beispiele
Anwendungsschicht
Dienste für Anwendungen bereitstellen
HTTP, DNS, DHCP, SMTP, IMAP
Transportschicht
Kommunikation zwischen Anwendungen transportieren
TCP, UDP
Internetschicht
logische Adressierung und Routing
IP, ICMP
Netzzugangsschicht
Zugriff auf das lokale Netzwerk und Übertragung
Ethernet, WLAN, MAC
Merksatz:
TCP/IP = praxisnahes Modell für IP-Netzwerke und das Internet
Direkter Vergleich
Merkmal
OSI-Modell
TCP/IP-Modell
Art des Modells
Referenzmodell
praxisnahes Protokollmodell
Anzahl der Schichten
7 Schichten
häufig 4 Schichten
Zweck
Lernen, Einordnen, Fehlersuche
Beschreibung realer IP-Kommunikation
Praxisbezug
eher theoretisch
sehr praxisnah
Anwendung
Prüfung, Dokumentation, Analyse
reale Netzwerke und Internet
Beispiele
Schicht 1 bis 7
Anwendung, Transport, Internet, Netzzugang
Wichtig:
Das OSI-Modell ist genauer unterteilt.
Das TCP/IP-Modell fasst mehrere OSI-Schichten zusammen.
Zuordnung OSI-Modell zu TCP/IP-Modell
TCP/IP-Modell
Entsprechende OSI-Schichten
Beispiele
Anwendungsschicht
OSI-Schicht 5, 6 und 7
HTTP, DNS, DHCP, SMTP, IMAP
Transportschicht
OSI-Schicht 4
TCP, UDP, Ports
Internetschicht
OSI-Schicht 3
IP, ICMP, Routing
Netzzugangsschicht
OSI-Schicht 1 und 2
Ethernet, WLAN, MAC, Switch
Diese Zuordnung ist besonders wichtig für die IHK.
Man muss nicht jedes Detail auswendig lernen, aber man sollte verstehen, welche Aufgaben zusammengehören.
Warum hat das TCP/IP-Modell weniger Schichten?
Das TCP/IP-Modell fasst mehrere Aufgabenbereiche zusammen.
Beispiel 1:
OSI-Schicht 5 = Sitzungsschicht
OSI-Schicht 6 = Darstellungsschicht
OSI-Schicht 7 = Anwendungsschicht
Diese drei Schichten werden im TCP/IP-Modell meist zusammengefasst zur:
Anwendungsschicht
Beispiel 2:
OSI-Schicht 1 = Bitübertragungsschicht
OSI-Schicht 2 = Sicherungsschicht
Diese beiden Schichten werden im TCP/IP-Modell häufig zusammengefasst zur:
Netzzugangsschicht
Merksatz:
TCP/IP fasst mehrere OSI-Schichten zusammen,
weil es stärker an der praktischen Internetkommunikation orientiert ist.
Anwendungsschicht im Vergleich
Im OSI-Modell gibt es oben drei getrennte Schichten:
Schicht 7 = Anwendungsschicht
Schicht 6 = Darstellungsschicht
Schicht 5 = Sitzungsschicht
Im TCP/IP-Modell werden diese Aufgaben meistens zusammengefasst.
OSI-Schicht
Aufgabe
TCP/IP-Zuordnung
7
Netzwerkdienste für Anwendungen
Anwendungsschicht
6
Daten darstellen, codieren, komprimieren oder verschlüsseln
Anwendungsschicht
5
Sitzungen verwalten
Anwendungsschicht
Beispiele:
HTTP
HTTPS
DNS
DHCP
SMTP
IMAP
POP3
Wichtig:
Im TCP/IP-Modell sind Sitzung, Darstellung und Anwendung meist nicht getrennt sichtbar.
Transportschicht im Vergleich
Die Transportschicht ist in beiden Modellen gut vergleichbar.
Modell
Schicht
Beispiele
OSI-Modell
Schicht 4 – Transportschicht
TCP, UDP
TCP/IP-Modell
Transportschicht
TCP, UDP
Typische Begriffe:
Port
Socket
TCP
UDP
Segment
Datagramm
Verbindungsaufbau
Zuverlässigkeit
Reihenfolgekontrolle
Merksatz:
Schicht 4 = TCP, UDP und Ports
Internetschicht und Vermittlungsschicht im Vergleich
Die Internetschicht des TCP/IP-Modells entspricht grob der OSI-Schicht 3.
Modell
Schicht
Beispiele
OSI-Modell
Schicht 3 – Vermittlungsschicht / Netzwerkschicht
IP, ICMP, Routing
TCP/IP-Modell
Internetschicht
IP, ICMP, Routing
Typische Begriffe:
IP-Adresse
IPv4
IPv6
Subnetzmaske
CIDR
Routing
Router
ICMP
Ping
Traceroute
Merksatz:
Schicht 3 = IP-Adresse und Routing
Netzzugangsschicht im Vergleich
Die Netzzugangsschicht des TCP/IP-Modells fasst OSI-Schicht 1 und OSI-Schicht 2 zusammen.
OSI-Schicht
Aufgabe
TCP/IP-Zuordnung
2
lokale Übertragung mit MAC-Adressen und Frames
Netzzugangsschicht
1
Übertragung von Bits als Signale
Netzzugangsschicht
Typische Begriffe:
Ethernet
WLAN
MAC-Adresse
Ethernet-Frame
Switch
Netzwerkkarte
Kabel
Glasfaser
Funk
Bits
Signale
Merksatz:
Netzzugangsschicht = lokale Übertragung im Netzwerk
Beispiel: Webseitenaufruf im OSI-Modell
Wenn ein Client eine Webseite aufruft, kann man den Vorgang im OSI-Modell einordnen.
Vereinfacht:
Schicht 7:
HTTP oder HTTPS stellt den Webdienst bereit.
Schicht 6:
Daten können dargestellt, codiert oder verschlüsselt werden.
Schicht 5:
Eine Sitzung oder Kommunikationsbeziehung kann verwaltet werden.
Schicht 4:
TCP transportiert die Daten zuverlässig über Ports.
Schicht 3:
IP adressiert die Pakete zum Zielserver.
Schicht 2:
Ethernet oder WLAN überträgt Frames im lokalen Netzwerk.
Schicht 1:
Bits werden als elektrische, optische oder Funk-Signale übertragen.
Beispiel: Webseitenaufruf im TCP/IP-Modell
Der gleiche Vorgang im TCP/IP-Modell ist kompakter.
Anwendungsschicht:
HTTP oder HTTPS
Transportschicht:
TCP
Internetschicht:
IP
Netzzugangsschicht:
Ethernet oder WLAN
Vereinfacht:
HTTP/HTTPS → TCP → IP → Ethernet/WLAN
Das zeigt:
Das TCP/IP-Modell beschreibt den gleichen Vorgang,
aber mit weniger Schichten.
Begriff: Referenzmodell
Ein Referenzmodell ist ein Modell, das als Orientierung und Vergleichsgrundlage dient.
Das OSI-Modell ist ein Referenzmodell.
Es hilft dabei:
- Netzwerkaufgaben zu ordnen
- Protokolle einzuordnen
- Geräte einzuordnen
- Fehler systematisch zu suchen
- Fachbegriffe eindeutig zu verwenden
Merksatz:
Das OSI-Modell ist eine fachliche Landkarte für Netzwerktechnik.
Begriff: Protokollmodell
Ein Protokollmodell beschreibt, wie Protokolle in der Praxis zusammenarbeiten.
Das TCP/IP-Modell ist praxisnäher, weil es direkt aus der realen Internetkommunikation stammt.
Es zeigt zum Beispiel:
Anwendung nutzt TCP oder UDP.
TCP oder UDP nutzt IP.
IP nutzt Ethernet oder WLAN.
Beispiel:
DNS → UDP → IP → Ethernet
Oder:
HTTPS → TCP → IP → Ethernet
Merksatz:
Das TCP/IP-Modell zeigt besonders gut,
wie reale Internetprotokolle zusammenarbeiten.
Typische Protokolle im Vergleich
Protokoll / Technik
OSI-Einordnung
TCP/IP-Einordnung
HTTP
Schicht 7
Anwendungsschicht
HTTPS
Schicht 7 mit Sicherheitsbezug
Anwendungsschicht
DNS
Schicht 7
Anwendungsschicht
DHCP
Schicht 7
Anwendungsschicht
SMTP
Schicht 7
Anwendungsschicht
IMAP
Schicht 7
Anwendungsschicht
TCP
Schicht 4
Transportschicht
UDP
Schicht 4
Transportschicht
IP
Schicht 3
Internetschicht
ICMP
Schicht 3
Internetschicht
Ethernet
Schicht 2
Netzzugangsschicht
WLAN
Schicht 1/2
Netzzugangsschicht
MAC-Adresse
Schicht 2
Netzzugangsschicht
Wichtig:
Manche Techniken haben Bezüge zu mehreren Schichten.
Für die Prüfung ist meistens die typische Hauptzuordnung entscheidend.
Typische Geräte im Vergleich
Gerät
Typische OSI-Schicht
Begründung
Hub
Schicht 1
verteilt Signale ohne Auswertung von MAC- oder IP-Adressen
Switch
Schicht 2
leitet Frames anhand von MAC-Adressen weiter
Router
Schicht 3
leitet Pakete anhand von IP-Adressen zwischen Netzen weiter
Layer-3-Switch
Schicht 3
verbindet Switching mit Routing
Firewall
mehrere Schichten
kann IP-Adressen, Ports, Zustände oder Anwendungen prüfen
Access Point
Schicht 1/2
Funkübertragung und Zugriff auf WLAN
Prüfungshinweis:
Bei Geräten wird meist nach der typischen Hauptfunktion gefragt.
Warum braucht man beide Modelle?
Das OSI-Modell ist wichtig, weil es sehr genau zwischen den Aufgaben unterscheidet.
Das TCP/IP-Modell ist wichtig, weil es näher an realen Netzwerken und dem Internet liegt.
Man braucht beide Modelle, weil sie unterschiedliche Stärken haben.
Modell
Stärke
OSI-Modell
genaue fachliche Einordnung
TCP/IP-Modell
praktische Internetkommunikation
Ein guter Netzwerktechniker sollte beide Modelle grob verstehen und miteinander verbinden können.
Typische IHK-Aufgaben
In AP1 und AP2 können Aufgaben zum Beispiel so aussehen:
- Ordnen Sie Protokolle den OSI-Schichten zu.
- Ordnen Sie Geräte den OSI-Schichten zu.
- Nennen Sie die Aufgabe der Transportschicht.
- Erklären Sie den Unterschied zwischen TCP und IP.
- Vergleichen Sie OSI-Modell und TCP/IP-Modell.
- Erklären Sie, warum das TCP/IP-Modell weniger Schichten hat.
- Ordnen Sie HTTP, TCP, IP und Ethernet den passenden Schichten zu.
- Bestimmen Sie, auf welcher Schicht ein Fehler liegt.
Typische Prüfungsfallen
TCP/IP ist nicht nur TCP und IP.
TCP/IP bezeichnet eine ganze Protokollfamilie.
OSI-Schicht 7 ist nicht das Benutzerprogramm selbst,
sondern die Anwendungsschicht mit Netzwerkdiensten.
DNS und DHCP sind Anwendungsprotokolle,
auch wenn sie eng mit IP-Konfiguration und IP-Adressen zusammenhängen.
ICMP ist kein Transportprotokoll.
ICMP gehört in den IP-/Internetschicht-Bereich.
TCP und UDP gehören zur Transportschicht.
IP gehört zur Vermittlungsschicht bzw. Internetschicht.
Ethernet gehört zur Sicherungsschicht bzw. Netzzugangsschicht.
Ein Switch ist normalerweise Schicht 2.
Ein Router ist normalerweise Schicht 3.
Eine Firewall kann je nach Funktion mehrere Schichten betreffen.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
OSI-Modell
Referenzmodell mit 7 Schichten zur Einordnung von Netzwerkkommunikation
TCP/IP-Modell
praxisnahes Modell für IP-basierte Netzwerke
Referenzmodell
Modell zur fachlichen Orientierung und Einordnung
Protokollfamilie
Gruppe zusammenarbeitender Protokolle
Anwendungsschicht
stellt Netzwerkdienste für Anwendungen bereit
Transportschicht
transportiert Daten zwischen Anwendungen
Internetschicht
sorgt für IP-Adressierung und Routing
Netzzugangsschicht
beschreibt Zugriff und Übertragung im lokalen Netzwerk
Kapselung
Daten werden beim Durchlaufen der Schichten mit Steuerinformationen ergänzt
Protokoll
Regelwerk für Kommunikation
Host
Gerät mit Netzwerkadresse
Router
Gerät zur Verbindung verschiedener Netzwerke
Switch
Gerät zur Weiterleitung im lokalen Netzwerk anhand von MAC-Adressen
IHK-sichere Kurzformulierung
Das OSI-Modell ist ein theoretisches Referenzmodell mit sieben Schichten. Es dient der fachlichen Einordnung von Netzwerkkommunikation, Protokollen, Geräten und Fehlern.
Das TCP/IP-Modell ist ein praxisnahes Modell für IP-basierte Netzwerke und das Internet. Es wird häufig mit vier Schichten dargestellt: Anwendungsschicht, Transportschicht, Internetschicht und Netzzugangsschicht.
Die TCP/IP-Anwendungsschicht umfasst grob die OSI-Schichten 5 bis 7. Die TCP/IP-Transportschicht entspricht grob der OSI-Schicht 4. Die TCP/IP-Internetschicht entspricht grob der OSI-Schicht 3. Die TCP/IP-Netzzugangsschicht umfasst grob die OSI-Schichten 1 und 2.
Merksätze
OSI = 7 Schichten zur fachlichen Einordnung
TCP/IP = praxisnahes Modell für Internetkommunikation
OSI ist genauer unterteilt.
TCP/IP fasst mehrere OSI-Schichten zusammen.
OSI-Schicht 1 und 2 entsprechen grob der TCP/IP-Netzzugangsschicht.
OSI-Schicht 3 entspricht grob der TCP/IP-Internetschicht.
OSI-Schicht 4 entspricht grob der TCP/IP-Transportschicht.
OSI-Schicht 5 bis 7 entsprechen grob der TCP/IP-Anwendungsschicht.
TCP und UDP gehören zur Transportschicht.
IP und ICMP gehören zur Internetschicht.
Ethernet, WLAN und MAC gehören zur Netzzugangsschicht.
HTTP, DNS, DHCP und E-Mail-Protokolle gehören zur Anwendungsschicht.
Das OSI-Modell hilft beim Lernen und bei der Fehlersuche.
Das TCP/IP-Modell beschreibt die Praxis moderner IP-Netzwerke.
2.5 Kapselung einfach erklärt
Kapselung ist ein Grundprinzip der Netzwerkkommunikation.
Wenn Daten über ein Netzwerk gesendet werden, laufen sie durch mehrere Schichten. Jede Schicht fügt eigene Steuerinformationen hinzu, damit die Daten auf dieser Schicht verarbeitet werden können.
Fachlich gesagt:
Kapselung bedeutet,
dass Nutzdaten beim Durchlaufen der Schichten
jeweils um Protokollinformationen der jeweiligen Schicht ergänzt werden.
Vereinfacht gesagt:
Jede Schicht verpackt die Daten weiter,
damit sie ihre Aufgabe erfüllen kann.
Warum ist Kapselung wichtig?
Netzwerkkommunikation besteht nicht nur aus den eigentlichen Nutzdaten.
Damit Daten ihr Ziel erreichen, werden zusätzliche Informationen benötigt.
Beispiele:
- Welche Anwendung ist gemeint?
- Welcher Dienst oder Port ist gemeint?
- Welche IP-Adresse ist das Ziel?
- Welche MAC-Adresse ist im lokalen Netzwerk das nächste Ziel?
- Über welches Medium werden die Bits übertragen?
Diese Informationen werden nicht alle auf einmal hinzugefügt, sondern schrittweise durch die einzelnen Schichten.
Begriff: Nutzdaten
Nutzdaten sind die eigentlichen Inhalte, die übertragen werden sollen.
Beispiele:
- Inhalt einer Webseite
- E-Mail-Text
- Dateiinhalt
- DNS-Anfrage
- Bilddaten
- Audio- oder Videodaten
Wichtig:
Nutzdaten sind das,
was die Anwendung eigentlich senden oder empfangen möchte.
Die Protokollinformationen außen herum dienen dazu, diese Nutzdaten korrekt zu übertragen.
Begriff: Header
Ein Header ist ein Kopfbereich mit Steuerinformationen.
Ein Header steht vor den eigentlichen Nutzdaten einer bestimmten Schicht.
Beispiele für Informationen in Headern:
- Quelladresse
- Zieladresse
- Portnummern
- Protokollinformationen
- Längenangaben
- Prüfinformationen
- Steuerbits
Merksatz:
Header = Steuerinformationen vor den Daten
Begriff: Trailer
Ein Trailer ist ein Abschlussbereich hinter den Nutzdaten.
Nicht jede Schicht nutzt einen Trailer.
Ein bekanntes Beispiel ist der Ethernet-Frame auf Schicht 2. Dort gibt es am Ende eine Prüfsumme.
Diese Prüfsumme heißt:
FCS = Frame Check Sequence
Sie dient der Fehlererkennung bei der Übertragung im lokalen Netzwerk.
Merksatz:
Trailer = Zusatzinformationen hinter den Daten
Kapselung beim Senden
Beim Senden laufen die Daten im OSI-Modell von oben nach unten.
Vereinfacht:
Schicht 7: Anwendung erzeugt Nutzdaten
Schicht 4: TCP oder UDP fügt Transportinformationen hinzu
Schicht 3: IP fügt IP-Adressen hinzu
Schicht 2: Ethernet fügt MAC-Adressen hinzu
Schicht 1: Bits werden als Signale übertragen
Jede Schicht nimmt die Daten der höheren Schicht und fügt eigene Informationen hinzu.
Beispiel: Webseite aufrufen
Ein Browser möchte eine Webseite aufrufen.
Die ursprünglichen Nutzdaten sind zum Beispiel eine HTTP-Anfrage.
Vereinfacht:
HTTP-Anfrage
Dann fügt die Transportschicht Informationen hinzu:
TCP-Header + HTTP-Anfrage
Dann fügt die Vermittlungsschicht Informationen hinzu:
IP-Header + TCP-Header + HTTP-Anfrage
Dann fügt die Sicherungsschicht Informationen hinzu:
Ethernet-Header + IP-Header + TCP-Header + HTTP-Anfrage + Ethernet-Trailer
Dann wird alles auf Schicht 1 als Bits übertragen.
Kapselung im TCP/IP-Beispiel
Typische Reihenfolge bei einer HTTPS-Verbindung:
HTTPS
TCP
IP
Ethernet
Bits / Signale
Als Verpackung kann man sich das so vorstellen:
Nutzdaten
TCP-Segment
IP-Paket
Ethernet-Frame
Bits auf dem Medium
Fachlich genauer:
Schritt
Schicht
Ergebnis
1
Anwendungsschicht
Daten
2
Transportschicht
TCP-Segment oder UDP-Datagramm
3
Vermittlungsschicht / Internetschicht
IP-Paket
4
Sicherungsschicht / Netzzugang
Ethernet-Frame
5
Bitübertragungsschicht
Bits / Signale
Dateneinheiten der Schichten
In der Netzwerktechnik haben die Daten je nach Schicht unterschiedliche Bezeichnungen.
Schicht
typische Dateneinheit
OSI-Schicht 7
Daten
OSI-Schicht 6
Daten
OSI-Schicht 5
Daten
OSI-Schicht 4
Segment oder Datagramm
OSI-Schicht 3
Paket
OSI-Schicht 2
Frame
OSI-Schicht 1
Bits
Wichtig:
Bei TCP spricht man häufig von Segmenten.
Bei UDP spricht man häufig von Datagrammen.
Bei IP spricht man von Paketen.
Bei Ethernet spricht man von Frames.
Auf Schicht 1 werden Bits übertragen.
TCP-Segment
Ein TCP-Segment ist die Dateneinheit von TCP auf der Transportschicht.
Ein TCP-Segment enthält unter anderem:
- Quellport
- Zielport
- Sequenznummer
- ACK-Informationen
- Steuerbits
- Nutzdaten
TCP nutzt diese Informationen, um Daten zuverlässig und in richtiger Reihenfolge zu übertragen.
Merksatz:
TCP-Segment = TCP-Header + Daten
UDP-Datagramm
Ein UDP-Datagramm ist die Dateneinheit von UDP auf der Transportschicht.
Ein UDP-Datagramm enthält unter anderem:
- Quellport
- Zielport
- Länge
- Prüfsumme
- Nutzdaten
UDP hat weniger Verwaltungsaufwand als TCP.
Merksatz:
UDP-Datagramm = UDP-Header + Daten
IP-Paket
Ein IP-Paket ist die Dateneinheit der Vermittlungsschicht bzw. Internetschicht.
Ein IP-Paket enthält unter anderem:
- Quell-IP-Adresse
- Ziel-IP-Adresse
- Protokollangabe
- TTL
- Nutzdaten
Die Nutzdaten des IP-Pakets sind meist ein TCP-Segment oder ein UDP-Datagramm.
Merksatz:
IP-Paket = IP-Header + TCP-Segment oder UDP-Datagramm
Ethernet-Frame
Ein Ethernet-Frame ist die Dateneinheit der Sicherungsschicht im lokalen Netzwerk.
Ein Ethernet-Frame enthält unter anderem:
- Ziel-MAC-Adresse
- Quell-MAC-Adresse
- Typfeld
- Nutzdaten
- FCS-Prüfsumme
Die Nutzdaten des Ethernet-Frames sind meistens ein IP-Paket.
Merksatz:
Ethernet-Frame = Ethernet-Header + IP-Paket + Ethernet-Trailer
Bits und Signale
Auf der Bitübertragungsschicht werden die Daten als Bits übertragen.
Bits sind die kleinste Informationseinheit.
Ein Bit kann zwei Zustände haben:
0
1
Diese Bits werden je nach Medium übertragen als:
- elektrische Signale über Kupferkabel
- Lichtsignale über Glasfaser
- Funksignale über WLAN
Merksatz:
Schicht 1 überträgt Bits als Signale.
Kapselung als Verpackung
Man kann Kapselung wie mehrere Verpackungen verstehen.
Beispiel:
Inhalt:
HTTP-Daten
erste Verpackung:
TCP-Header
zweite Verpackung:
IP-Header
dritte Verpackung:
Ethernet-Header und Ethernet-Trailer
Transport:
Bits über Kabel, Glasfaser oder Funk
Vereinfacht:
Ethernet verpackt IP.
IP verpackt TCP oder UDP.
TCP oder UDP verpackt Anwendungsdaten.
Kapselung mit Schokoladen-Metapher
Man kann sich das TCP/IP-Modell auch wie eine verpackte Schokolade vorstellen.
Ganz innen:
Die Schokolade = die eigentlichen Daten
Darum herum:
Silberpapier = TCP oder UDP
Darum herum:
buntes Papier = IP
Darum herum:
Tüte = Ethernet / MAC-Adresse
Transport:
Einkaufswagen / Weg = Übertragungsmedium
Diese Metapher zeigt:
Die eigentlichen Daten werden nicht alleine übertragen.
Sie werden auf mehreren Ebenen verpackt.
Entkapselung beim Empfangen
Beim Empfänger passiert der Vorgang umgekehrt.
Das nennt man Entkapselung.
Fachlich gesagt:
Entkapselung bedeutet,
dass die hinzugefügten Protokollinformationen
beim Empfänger schrittweise wieder ausgewertet und entfernt werden.
Vereinfacht:
Der Empfänger packt die Daten Schicht für Schicht wieder aus.
Ablauf:
Schicht 1:
Signale werden als Bits empfangen.
Schicht 2:
Ethernet prüft den Frame und entfernt Ethernet-Informationen.
Schicht 3:
IP prüft die Ziel-IP-Adresse und entfernt IP-Informationen.
Schicht 4:
TCP oder UDP prüft Ports und Transportinformationen.
Schicht 7:
Die Anwendung erhält die eigentlichen Nutzdaten.
Kapselung und Entkapselung im Vergleich
Richtung
Vorgang
Bedeutung
Senden
Kapselung
Daten werden Schicht für Schicht verpackt
Empfangen
Entkapselung
Daten werden Schicht für Schicht ausgepackt
Merksatz:
Sender kapselt ein.
Empfänger kapselt aus.
Warum braucht jede Schicht eigene Informationen?
Jede Schicht hat eine andere Aufgabe.
Darum braucht jede Schicht eigene Steuerinformationen.
Beispiele:
Schicht
Steuerinformation
Zweck
4
Portnummern
richtige Anwendung finden
3
IP-Adressen
Zielhost bzw. Zielnetz finden
2
MAC-Adressen
nächstes Gerät im lokalen Netzwerk erreichen
1
Signale
Bits physisch übertragen
Wichtig:
Portnummer, IP-Adresse und MAC-Adresse haben unterschiedliche Aufgaben.
Portnummer, IP-Adresse und MAC-Adresse
Diese drei Begriffe werden in Prüfungen häufig verwechselt.
Begriff
Schicht
Aufgabe
Portnummer
Schicht 4
Dienst oder Anwendung auf einem Host
IP-Adresse
Schicht 3
logische Adresse eines Hosts oder Netzes
MAC-Adresse
Schicht 2
lokale Hardwareadresse im LAN
Merksatz:
Port = welcher Dienst?
IP-Adresse = welcher Host oder welches Netz?
MAC-Adresse = welches Gerät im lokalen Netzwerk?
Wichtig: MAC-Adresse ändert sich auf dem Weg
Die IP-Adresse bleibt auf dem Weg zum Ziel grundsätzlich erhalten.
Die MAC-Adresse kann sich aber bei jedem Netzwerkabschnitt ändern.
Warum?
MAC-Adressen gelten nur im lokalen Netzwerkabschnitt.
Wenn ein Router ein Paket weiterleitet,
wird ein neuer Ethernet-Frame für das nächste Netz erstellt.
Beispiel:
PC → Router:
Ziel-MAC = MAC-Adresse des Routers
Router → nächster Router:
Ziel-MAC = MAC-Adresse des nächsten Geräts
letzter Router → Server:
Ziel-MAC = MAC-Adresse des Servers
Wichtig:
Die IP-Adressen bleiben für die Ende-zu-Ende-Kommunikation wichtig.
Die MAC-Adressen werden pro lokalem Abschnitt neu verwendet.
Wichtig: Portnummer bleibt für den Dienst wichtig
Die Portnummer gehört zur Transportschicht.
Sie zeigt, welcher Dienst oder welche Anwendung auf einem Host gemeint ist.
Beispiel:
Ziel-IP-Adresse:
93.184.216.34
Ziel-Port:
443
Bedeutung:
Sende die Daten an den Host mit dieser IP-Adresse.
Dort ist der Dienst auf Port 443 gemeint.
Typischer Dienst:
TCP 443 = HTTPS
Beispiel: DNS-Anfrage
Eine DNS-Anfrage zeigt gut, wie Kapselung funktioniert.
Vereinfacht:
DNS-Anfrage
UDP-Header + DNS-Anfrage
IP-Header + UDP-Header + DNS-Anfrage
Ethernet-Header + IP-Header + UDP-Header + DNS-Anfrage + FCS
Bits auf dem Medium
Schichtbezug:
Bestandteil
Schicht
DNS
Schicht 7
UDP
Schicht 4
IP
Schicht 3
Ethernet
Schicht 2
Bits
Schicht 1
Merksatz:
DNS nutzt häufig UDP.
UDP nutzt IP.
IP nutzt Ethernet oder WLAN.
Beispiel: HTTPS-Webseite
Eine HTTPS-Verbindung zeigt ebenfalls die Kapselung.
Vereinfacht:
HTTPS-Daten
TCP-Header + HTTPS-Daten
IP-Header + TCP-Header + HTTPS-Daten
Ethernet-Header + IP-Header + TCP-Header + HTTPS-Daten + FCS
Bits auf dem Medium
Schichtbezug:
Bestandteil
Schicht
HTTPS
Schicht 7 mit Sicherheitsbezug
TCP
Schicht 4
IP
Schicht 3
Ethernet
Schicht 2
Bits
Schicht 1
Merksatz:
HTTPS nutzt meistens TCP.
TCP nutzt IP.
IP nutzt Ethernet oder WLAN.
Kapselung und MTU
MTU steht für:
Maximum Transmission Unit
Die MTU beschreibt, wie groß die Nutzdaten eines Frames auf einem Netzwerkabschnitt maximal sein dürfen.
Bei Ethernet beträgt die häufige Standard-MTU:
1500 Byte
Wichtig:
In diesen 1500 Byte steckt nicht nur die Anwendung,
sondern auch IP- und TCP- oder UDP-Informationen.
Dadurch bleibt für die eigentlichen Anwendungsdaten weniger Platz.
Merksatz:
Header brauchen Platz.
Deshalb ist nicht jedes Byte im Frame reine Nutzlast.
Kapselung und Fehlersuche
Kapselung hilft auch bei der Fehlersuche.
Wenn man weiß, welche Schicht welche Informationen hinzufügt, kann man Fehler besser eingrenzen.
Beispiele:
Fehlerbild
mögliche Schicht
kein Link am Switch
Schicht 1
falsche MAC-Adresse oder VLAN-Problem
Schicht 2
falsche IP-Adresse oder Subnetzmaske
Schicht 3
Port nicht erreichbar
Schicht 4
DNS-Name wird nicht aufgelöst
Schicht 7 mit Schicht-3-Bezug
Webseite lädt nicht
mehrere Schichten möglich
Wichtig:
Ein Fehler auf einer unteren Schicht kann alle oberen Schichten beeinflussen.
Typische Prüfungsfragen
In AP1 oder AP2 kann zum Beispiel gefragt werden:
- Was bedeutet Kapselung?
- Was passiert beim Senden von Daten durch die Schichten?
- Was passiert beim Empfangen?
- Welche Dateneinheit gehört zu welcher Schicht?
- Was ist der Unterschied zwischen Frame, Paket und Segment?
- Welche Aufgabe hat ein Header?
- Welche Aufgabe hat ein Trailer?
- Warum braucht TCP einen Header?
- Warum braucht IP einen Header?
- Warum braucht Ethernet MAC-Adressen?
- Welche Adresse gehört zu welcher Schicht?
Typische Prüfungsfallen
Ein Frame ist nicht dasselbe wie ein Paket.
Ein Paket ist nicht dasselbe wie ein Segment.
Eine MAC-Adresse ist nicht dasselbe wie eine IP-Adresse.
Eine Portnummer ist keine IP-Adresse.
TCP und UDP gehören zur Transportschicht.
IP gehört zur Vermittlungsschicht bzw. Internetschicht.
Ethernet gehört zur Sicherungsschicht bzw. Netzzugangsschicht.
Die MAC-Adresse gilt nur für den lokalen Netzwerkabschnitt.
Die IP-Adresse ist für die logische Ende-zu-Ende-Adressierung wichtig.
Die Portnummer zeigt auf den Dienst oder die Anwendung.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Kapselung
Daten werden beim Senden von Schicht zu Schicht mit Protokollinformationen ergänzt
Entkapselung
Protokollinformationen werden beim Empfangen schrittweise ausgewertet und entfernt
Nutzdaten
eigentliche Daten der Anwendung
Header
Steuerinformationen vor den Nutzdaten
Trailer
Steuerinformationen nach den Nutzdaten
Segment
typische TCP-Dateneinheit auf Schicht 4
Datagramm
typische UDP-Dateneinheit auf Schicht 4
Paket
Dateneinheit auf IP-Ebene
Frame
Dateneinheit im lokalen Netzwerk
Bit
kleinste Informationseinheit
MAC-Adresse
lokale Hardwareadresse im LAN
IP-Adresse
logische Adresse für Netzwerkkommunikation
Port
Dienstadresse auf einem Host
MTU
maximale Größe der Nutzdaten auf einem Netzwerkabschnitt
IHK-sichere Kurzformulierung
Kapselung bedeutet, dass Daten beim Senden durch die Schichten eines Netzwerkmodells laufen und dabei von jeder Schicht um eigene Protokollinformationen ergänzt werden. Auf der Transportschicht entstehen zum Beispiel TCP-Segmente oder UDP-Datagramme, auf der Vermittlungsschicht IP-Pakete und auf der Sicherungsschicht Ethernet-Frames. Beim Empfänger werden diese Informationen in umgekehrter Reihenfolge wieder ausgewertet und entfernt. Dieser Vorgang heißt Entkapselung.
Merksätze
Kapselung = Daten werden verpackt.
Entkapselung = Daten werden ausgepackt.
Jede Schicht fügt eigene Steuerinformationen hinzu.
Header stehen vor den Daten.
Trailer stehen hinter den Daten.
TCP-Segment oder UDP-Datagramm gehört zu Schicht 4.
IP-Paket gehört zu Schicht 3.
Ethernet-Frame gehört zu Schicht 2.
Bits gehören zu Schicht 1.
Portnummer = Dienst oder Anwendung.
IP-Adresse = logische Adresse.
MAC-Adresse = lokale Adresse im LAN.
Sender kapselt ein.
Empfänger kapselt aus.
HTTP → TCP → IP → Ethernet → Bits
DNS → UDP → IP → Ethernet → Bits
2.6 Datenweg durch die Schichten
Beim Senden und Empfangen von Daten arbeiten mehrere Netzwerkschichten zusammen.
Ein einzelner Webseitenaufruf besteht nicht nur aus „Browser fragt Server“. Technisch laufen viele Schritte ab:
- Anwendung erzeugt Daten
- Transportprotokoll bereitet die Übertragung vor
- IP sorgt für Adressierung und Weiterleitung
- Ethernet oder WLAN überträgt im lokalen Netzwerk
- Bits werden über Kabel, Glasfaser oder Funk gesendet
- beim Empfänger wird alles wieder entpackt
Das nennt man auch:
Kapselung beim Sender
Entkapselung beim Empfänger
Grundidee
Beim Sender laufen die Daten im OSI-Modell von oben nach unten.
Beim Empfänger laufen die Daten wieder von unten nach oben.
Vereinfacht:
Sender:
Anwendung → Transport → Vermittlung → Sicherung → Bitübertragung
Empfänger:
Bitübertragung → Sicherung → Vermittlung → Transport → Anwendung
Das bedeutet:
Beim Senden werden Daten verpackt.
Beim Empfangen werden Daten wieder ausgepackt.
Begriff: Datenweg
Der Datenweg beschreibt, welchen Weg Daten durch die einzelnen Schichten nehmen.
Dabei kann man zwei Arten von Wegen unterscheiden:
Begriff
Bedeutung
logischer Datenweg
Kommunikation zwischen den passenden Schichten von Sender und Empfänger
physischer Datenweg
tatsächliche Übertragung über Kabel, Glasfaser oder Funk
Vereinfacht:
Logisch spricht Schicht 4 mit Schicht 4.
Physisch laufen die Daten aber durch alle unteren Schichten und über das Medium.
Beispiel: Webseite aufrufen
Ein Client ruft eine Webseite auf.
Beispiel:
Der Benutzer öffnet im Browser eine Webseite.
Dafür arbeiten mehrere Protokolle und Schichten zusammen.
Vereinfacht:
Browser
HTTPS
TCP
IP
Ethernet oder WLAN
Bits / Signale
Als Schichtenfolge:
Schritt
Schicht
Aufgabe
1
Anwendungsschicht
Browser erzeugt eine Anfrage
2
Transportschicht
TCP transportiert die Daten zuverlässig
3
Vermittlungsschicht
IP adressiert das Ziel
4
Sicherungsschicht
Ethernet oder WLAN überträgt lokal
5
Bitübertragungsschicht
Bits werden als Signale übertragen
Schritt 1: Anwendung erzeugt Daten
Der Browser erzeugt eine Anfrage an den Webserver.
Beispiel:
Der Browser möchte eine Webseite laden.
Auf Anwendungsebene wird dafür ein Anwendungsprotokoll genutzt.
Typische Beispiele:
HTTP
HTTPS
DNS
SMTP
IMAP
Bei einer Webseite ist es meistens:
HTTP oder HTTPS
Wichtig:
Der Browser ist das Programm.
HTTP oder HTTPS ist das Anwendungsprotokoll.
Merksatz:
Anwendungsschicht = Netzwerkdienste für Anwendungen
Schritt 2: Namensauflösung durch DNS
Bevor der Client eine Webseite aufrufen kann, muss oft zuerst der Name in eine IP-Adresse aufgelöst werden.
Beispiel:
www.example.org
Der Computer braucht aber eine IP-Adresse, um das Ziel im Netzwerk zu erreichen.
Dafür wird DNS verwendet.
DNS steht für:
Domain Name System
DNS löst Namen in IP-Adressen auf.
Beispiel:
www.example.org → 93.184.216.34
Wichtig:
DNS ist ein Anwendungsprotokoll,
hat aber einen starken Bezug zur IP-Kommunikation,
weil am Ende eine IP-Adresse benötigt wird.
DNS-Anfrage als eigener Datenweg
Auch die DNS-Anfrage läuft durch die Schichten.
Vereinfacht:
DNS → UDP → IP → Ethernet/WLAN → Bits
Typischer Ablauf:
1. Client fragt den DNS-Server nach der IP-Adresse.
2. DNS-Anfrage wird häufig über UDP gesendet.
3. IP adressiert die Anfrage zum DNS-Server.
4. Ethernet oder WLAN überträgt die Daten im lokalen Netzwerk.
5. DNS-Server antwortet mit der passenden IP-Adresse.
Merksatz:
Vor vielen Verbindungen kommt zuerst die Namensauflösung.
Schritt 3: Transportschicht bereitet die Verbindung vor
Wenn die Ziel-IP-Adresse bekannt ist, kann die eigentliche Verbindung zum Webserver vorbereitet werden.
Bei HTTPS wird meistens TCP verwendet.
TCP steht für:
Transmission Control Protocol
TCP ist verbindungsorientiert und zuverlässig.
Bei TCP wird vor der eigentlichen Nutzdatenübertragung eine Verbindung aufgebaut.
Das nennt man:
3-Wege-Handshake
Ablauf:
Client Server
1. SYN ---------------------> Verbindungswunsch
2. SYN-ACK <------------------ Bestätigung + eigene Start-Sequenznummer
3. ACK ---------------------> Bestätigung
Danach ist die TCP-Verbindung aufgebaut.
Wichtig:
Erst nach dem TCP-Verbindungsaufbau werden die eigentlichen Nutzdaten übertragen.
Merksatz:
TCP = erst Verbindung aufbauen, dann Nutzdaten senden
Schritt 4: Ports bestimmen den Dienst
Auf Schicht 4 werden Ports verwendet.
Ein Port zeigt, welcher Dienst oder welche Anwendung auf einem Host gemeint ist.
Beispiel:
Ziel-IP-Adresse: 93.184.216.34
Ziel-Port: 443
Bedeutung:
Sende die Daten an den Host 93.184.216.34
und dort an den Dienst HTTPS auf Port 443.
Typische Ports:
Port
Protokoll / Dienst
80
HTTP
443
HTTPS
53
DNS
22
SSH
25
SMTP
110
POP3
143
IMAP
Merksatz:
IP-Adresse = welcher Host?
Port = welcher Dienst?
Schritt 5: IP adressiert das Ziel
Auf Schicht 3 wird IP verwendet.
IP steht für:
Internet Protocol
IP sorgt für die logische Adressierung und Weiterleitung von Paketen.
Ein IP-Paket enthält unter anderem:
- Quell-IP-Adresse
- Ziel-IP-Adresse
- Steuerinformationen
- Nutzdaten
Beispiel:
Quell-IP-Adresse: 192.168.1.20
Ziel-IP-Adresse: 93.184.216.34
Die IP-Adresse sagt:
Von welchem Host kommt das Paket?
Zu welchem Host soll das Paket?
Merksatz:
IP-Adresse = logische Adresse für Netzwerkkommunikation
Schritt 6: Routing entscheidet den Weg
Wenn Ziel und Quelle nicht im selben lokalen Netzwerk liegen, muss ein Router das Paket weiterleiten.
Routing bedeutet:
Weiterleitung von Paketen zwischen Netzwerken
Ein Router betrachtet die Ziel-IP-Adresse und entscheidet, wohin das Paket als Nächstes gesendet wird.
Beispiel:
Client → Standard-Gateway → Internet → Zielserver
Das Standard-Gateway ist meistens der Router im lokalen Netzwerk.
Merksatz:
Router verbinden Netzwerke.
Switches verbinden Geräte im lokalen Netzwerk.
Schritt 7: Ethernet oder WLAN überträgt lokal
Auf Schicht 2 wird das IP-Paket in einen Frame verpackt.
Bei kabelgebundenem LAN ist das häufig ein Ethernet-Frame.
Ein Ethernet-Frame enthält unter anderem:
- Ziel-MAC-Adresse
- Quell-MAC-Adresse
- Typfeld
- Nutzdaten
- FCS-Prüfsumme
Die MAC-Adresse wird für die lokale Zustellung im aktuellen Netzwerkabschnitt verwendet.
Wichtig:
MAC-Adressen gelten nur im lokalen Netzwerkabschnitt.
IP-Adressen sind für die logische Kommunikation über Netzwerke hinweg wichtig.
Merksatz:
MAC-Adresse = lokale Zustellung im LAN
Schritt 8: ARP findet die passende MAC-Adresse
Wenn ein Gerät eine IP-Adresse im lokalen Netzwerk erreichen möchte, braucht es die passende MAC-Adresse.
Dafür wird bei IPv4 ARP verwendet.
ARP steht für:
Address Resolution Protocol
ARP fragt sinngemäß:
Wer hat diese IP-Adresse?
Ich brauche die passende MAC-Adresse.
Beispiel:
Wer hat 192.168.1.1?
Antwort: 192.168.1.1 hat die MAC-Adresse aa:bb:cc:dd:ee:ff
Wichtig:
ARP löst IPv4-Adressen zu MAC-Adressen auf.
ARP ist für die lokale Kommunikation im LAN wichtig.
Merksatz:
ARP verbindet IP-Adresse und MAC-Adresse im lokalen Netzwerk.
Schritt 9: Schicht 1 überträgt Bits
Auf Schicht 1 werden die Daten als Bits übertragen.
Ein Bit kann zwei Zustände haben:
0
1
Je nach Übertragungsmedium werden diese Bits übertragen als:
- elektrische Signale über Kupferkabel
- Lichtsignale über Glasfaser
- Funksignale über WLAN
Wichtig:
Schicht 1 interessiert sich nicht für IP-Adressen, Ports oder Anwendungen.
Schicht 1 überträgt nur Bits als Signale.
Merksatz:
Schicht 1 = Bits und Signale
Der Datenweg beim Sender
Beim Sender werden die Daten schrittweise verpackt.
Vereinfacht:
Anwendung:
HTTPS-Daten
Transportschicht:
TCP-Header + HTTPS-Daten
Vermittlungsschicht:
IP-Header + TCP-Header + HTTPS-Daten
Sicherungsschicht:
Ethernet-Header + IP-Header + TCP-Header + HTTPS-Daten + Ethernet-Trailer
Bitübertragungsschicht:
Bits werden als Signale übertragen
Fachbegriffe:
Schicht
Ergebnis
Anwendungsschicht
Daten
Transportschicht
TCP-Segment
Vermittlungsschicht
IP-Paket
Sicherungsschicht
Ethernet-Frame
Bitübertragungsschicht
Bits
Der Datenweg beim Empfänger
Beim Empfänger passiert der Vorgang umgekehrt.
Die Daten werden Schicht für Schicht entpackt.
Vereinfacht:
Schicht 1:
Signale werden als Bits empfangen.
Schicht 2:
Ethernet-Frame wird geprüft.
Ethernet-Header und Trailer werden ausgewertet.
Schicht 3:
IP-Paket wird ausgewertet.
Ziel-IP-Adresse wird geprüft.
Schicht 4:
TCP-Segment wird ausgewertet.
Port und Sequenzinformationen werden geprüft.
Schicht 7:
Die Anwendung erhält die Nutzdaten.
Das nennt man:
Entkapselung
Merksatz:
Sender kapselt ein.
Empfänger kapselt aus.
Beispiel mit TCP/IP-Modell
Im TCP/IP-Modell sieht der gleiche Ablauf kompakter aus.
Beispiel HTTPS:
TCP/IP-Schicht
Beispiel
Anwendungsschicht
HTTPS
Transportschicht
TCP
Internetschicht
IP
Netzzugangsschicht
Ethernet oder WLAN
Vereinfacht:
HTTPS → TCP → IP → Ethernet/WLAN
Oder allgemein:
Anwendung → Transport → Internet → Netzzugang
Beispiel mit DNS
Eine DNS-Anfrage hat einen ähnlichen Weg, nutzt aber häufig UDP statt TCP.
Vereinfacht:
DNS → UDP → IP → Ethernet/WLAN
Schichtbezug:
Bestandteil
Schicht
DNS
OSI-Schicht 7
UDP
OSI-Schicht 4
IP
OSI-Schicht 3
Ethernet/WLAN
OSI-Schicht 1/2
Wichtig:
DNS ist ein Anwendungsprotokoll.
UDP ist das Transportprotokoll.
IP sorgt für Adressierung und Routing.
Ethernet oder WLAN sorgt für lokale Übertragung.
Beispiel mit Ping
Ping nutzt klassisch ICMP.
ICMP steht für:
Internet Control Message Protocol
Ping verwendet normalerweise:
ICMP Echo Request
ICMP Echo Reply
Schichtbezug:
Bestandteil
Schicht
ICMP
OSI-Schicht 3
IP
OSI-Schicht 3
Ethernet/WLAN
OSI-Schicht 1/2
Wichtig:
ICMP nutzt keine Ports.
ICMP gehört nicht zu TCP oder UDP.
ICMP verwendet Typen und Codes.
Merksatz:
Ping prüft Erreichbarkeit.
ICMP meldet, prüft und diagnostiziert.
Was passiert beim Weg über einen Router?
Wenn ein Paket über einen Router weitergeleitet wird, ändert sich der Ethernet-Frame.
Wichtig:
Das IP-Paket bleibt grundsätzlich erhalten.
Der Ethernet-Frame wird pro Netzwerkabschnitt neu erstellt.
Beispiel:
PC → Router:
Ethernet-Frame mit Ziel-MAC des Routers
Router → nächster Router:
neuer Ethernet-Frame mit neuer Ziel-MAC
letzter Router → Server:
Ethernet-Frame mit Ziel-MAC des Servers
Das bedeutet:
MAC-Adressen ändern sich pro Netzwerkabschnitt.
IP-Adressen bleiben für die Ende-zu-Ende-Kommunikation wichtig.
Merksatz:
MAC-Adresse = nächster lokaler Schritt
IP-Adresse = logisches Ziel über Netzwerke hinweg
Was bleibt gleich und was ändert sich?
Information
Bleibt auf dem Weg grundsätzlich gleich?
Erklärung
Ziel-IP-Adresse
ja
Zielhost bleibt derselbe
Quell-IP-Adresse
meistens ja
außer bei NAT/PAT
Ziel-Port
ja
Dienst bleibt derselbe
Quell-Port
ja
Client-Verbindung bleibt zuordenbar
Ziel-MAC-Adresse
nein
ändert sich je Netzwerkabschnitt
Quell-MAC-Adresse
nein
ändert sich je Netzwerkabschnitt
Wichtig:
NAT/PAT kann IP-Adressen und Ports verändern.
Ohne NAT bleiben Quell- und Ziel-IP grundsätzlich erhalten.
NAT/PAT als Sonderfall
Bei NAT/PAT kann sich die Quell-IP-Adresse verändern.
NAT steht für:
Network Address Translation
PAT steht für:
Port Address Translation
Typischer Fall:
Ein interner Client nutzt eine private IP-Adresse.
Der Router ersetzt diese private Quell-IP durch seine öffentliche IP-Adresse.
Beispiel:
intern:
192.168.1.20:51544
extern:
84.10.20.30:40001
Dadurch können mehrere interne Geräte über eine gemeinsame öffentliche IP-Adresse ins Internet.
Merksatz:
NAT/PAT verändert Adressen oder Ports an der Router-/Firewall-Grenze.
Datenweg und Firewall
Eine Firewall kann den Datenweg kontrollieren.
Sie kann zum Beispiel prüfen:
- Quell-IP-Adresse
- Ziel-IP-Adresse
- Quell-Port
- Ziel-Port
- Protokoll
- Verbindungszustand
- teilweise auch Anwendungsdaten
Beispiel:
Port 443 erlaubt
Port 22 blockiert
Wichtig:
Eine Firewall kann je nach Art auf mehreren OSI-Schichten arbeiten.
Merksatz:
Firewall = kontrolliert erlaubte und verbotene Kommunikation
Warum ist der Datenweg für die Fehlersuche wichtig?
Wenn man den Datenweg versteht, kann man Netzwerkfehler systematisch eingrenzen.
Man prüft am besten von unten nach oben.
Beispiel:
1. Gibt es eine physische Verbindung?
2. Funktioniert die lokale Verbindung?
3. Stimmt die IP-Konfiguration?
4. Ist das Gateway erreichbar?
5. Funktioniert DNS?
6. Ist der Zielhost erreichbar?
7. Ist der Zielport erreichbar?
8. Antwortet die Anwendung?
Das nennt man häufig:
schichtweise Fehlersuche
Beispielhafte Fehlersuche nach Schichten
Fehlerbild
mögliche Schicht
Beispiel
kein Link-Licht
Schicht 1
Kabel, Port, Netzwerkkarte
falsches VLAN
Schicht 2
Client im falschen Netz
falsche IP-Adresse
Schicht 3
kein Routing möglich
falsches Gateway
Schicht 3
Internet nicht erreichbar
DNS funktioniert nicht
Schicht 7 mit Schicht-3-Bezug
Name wird nicht aufgelöst
Port blockiert
Schicht 4 / Firewall
Dienst nicht erreichbar
Webserver antwortet nicht
Schicht 7
Anwendung oder Dienstproblem
Wichtig:
Ein Fehler auf einer unteren Schicht kann alle höheren Schichten beeinflussen.
Beispiel:
Wenn das Kabel defekt ist,
funktionieren IP, TCP, DNS und HTTP ebenfalls nicht.
Typischer Ablauf: Webseite funktioniert nicht
Wenn eine Webseite nicht funktioniert, kann man prüfen:
1. Link vorhanden?
2. IP-Adresse vorhanden?
3. Standard-Gateway vorhanden?
4. DNS-Auflösung möglich?
5. Ziel-IP erreichbar?
6. Zielport erreichbar?
7. Webserver antwortet?
Beispiele für Werkzeuge:
Prüfung
Werkzeug
IP-Konfiguration
ipconfig, ip addr
Erreichbarkeit
ping
Weg zum Ziel
tracert, traceroute
DNS-Auflösung
nslookup, dig
Port erreichbar
Test-NetConnection, nc
Paketanalyse
Wireshark, tcpdump
Begriff: Standard-Gateway
Das Standard-Gateway ist der Router, an den ein Host Pakete sendet, wenn das Ziel nicht im eigenen lokalen Netzwerk liegt.
Beispiel:
Client: 192.168.1.20
Gateway: 192.168.1.1
Wenn der Client eine externe IP-Adresse erreichen möchte, sendet er das Paket an das Standard-Gateway.
Merksatz:
Standard-Gateway = Ausgang aus dem eigenen Netzwerk
Begriff: Ende-zu-Ende-Kommunikation
Ende-zu-Ende-Kommunikation beschreibt die logische Kommunikation zwischen Sender und Empfänger.
Beispiel:
Client-Anwendung ↔ Server-Anwendung
Bei TCP bedeutet das:
Die TCP-Verbindung besteht logisch zwischen Client und Server.
Dazwischen können aber mehrere Router liegen.
Merksatz:
Ende-zu-Ende = vom ursprünglichen Sender bis zum endgültigen Empfänger
Begriff: Hop
Ein Hop ist ein Zwischenschritt auf dem Weg durch ein Netzwerk.
Meist ist damit ein Router gemeint.
Beispiel:
Client → Router 1 → Router 2 → Zielserver
Hier gibt es mehrere Hops.
Traceroute zeigt solche Zwischenschritte an.
Merksatz:
Hop = ein Netzwerksprung über ein Zwischengerät
Typische Prüfungsfragen
In AP1 oder AP2 kann zum Beispiel gefragt werden:
- Beschreiben Sie den Weg eines Datenpakets durch die Schichten.
- Welche Schicht fügt welche Informationen hinzu?
- Was passiert beim Empfänger?
- Was ist Kapselung?
- Was ist Entkapselung?
- Welche Dateneinheit gehört zu welcher Schicht?
- Warum ändert sich die MAC-Adresse auf dem Weg?
- Warum bleibt die IP-Adresse grundsätzlich erhalten?
- Welche Rolle spielt das Standard-Gateway?
- Auf welcher Schicht liegt ein bestimmter Fehler?
Typische Prüfungsfallen
Ein Switch leitet normalerweise anhand von MAC-Adressen weiter.
Das ist Schicht 2.
Ein Router leitet anhand von IP-Adressen weiter.
Das ist Schicht 3.
TCP und UDP nutzen Ports.
Das ist Schicht 4.
ICMP nutzt keine Ports.
ICMP gehört in den IP-/Netzwerkbereich.
DNS ist ein Anwendungsprotokoll,
auch wenn es für IP-Adressen wichtig ist.
Die MAC-Adresse gilt nur im lokalen Netzwerkabschnitt.
Die IP-Adresse beschreibt das logische Ziel.
Ein Port beschreibt den Dienst auf einem Host.
NAT/PAT kann IP-Adressen und Ports verändern.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Datenweg
Weg der Daten durch Schichten und Netzwerkgeräte
Kapselung
Daten werden beim Senden Schicht für Schicht verpackt
Entkapselung
Daten werden beim Empfangen Schicht für Schicht ausgepackt
Nutzdaten
eigentlicher Inhalt der Anwendung
Header
Steuerinformationen vor den Nutzdaten
Frame
Dateneinheit auf Schicht 2
Paket
Dateneinheit auf Schicht 3
Segment
TCP-Dateneinheit auf Schicht 4
Datagramm
UDP-Dateneinheit auf Schicht 4
MAC-Adresse
lokale Hardwareadresse im LAN
IP-Adresse
logische Adresse für Netzwerkkommunikation
Port
Dienstadresse auf einem Host
Router
Gerät zur Verbindung verschiedener Netzwerke
Switch
Gerät zur Weiterleitung im lokalen Netzwerk anhand von MAC-Adressen
Standard-Gateway
Router für Ziele außerhalb des eigenen Netzes
Hop
Zwischenschritt über ein Netzwerkgerät
Routing
Weiterleitung von Paketen zwischen Netzwerken
ARP
Auflösung von IPv4-Adresse zu MAC-Adresse
DNS
Namensauflösung von Namen zu IP-Adressen
IHK-sichere Kurzformulierung
Beim Senden von Daten werden die Nutzdaten durch die Schichten eines Netzwerkmodells verarbeitet und jeweils um Steuerinformationen ergänzt. Dieser Vorgang heißt Kapselung. Auf der Transportschicht entstehen zum Beispiel TCP-Segmente oder UDP-Datagramme, auf der Vermittlungsschicht IP-Pakete und auf der Sicherungsschicht Ethernet-Frames. Auf der Bitübertragungsschicht werden die Daten als Bits über ein Medium übertragen. Beim Empfänger werden die Informationen in umgekehrter Reihenfolge ausgewertet und entfernt. Dieser Vorgang heißt Entkapselung.
Merksätze
Sender kapselt ein.
Empfänger kapselt aus.
Anwendung erzeugt Daten.
TCP oder UDP transportiert zwischen Anwendungen.
IP adressiert und routet zwischen Netzwerken.
Ethernet oder WLAN überträgt im lokalen Netzwerk.
Schicht 1 überträgt Bits als Signale.
Port = welcher Dienst?
IP-Adresse = welcher Host oder welches Netz?
MAC-Adresse = welches Gerät im lokalen Netzwerkabschnitt?
Switch = Schicht 2
Router = Schicht 3
TCP und UDP = Schicht 4
ICMP = Schicht 3
DNS = Anwendungsschicht mit starkem IP-Bezug
MAC-Adressen können sich auf dem Weg ändern.
IP-Adressen bleiben grundsätzlich für die Ende-zu-Ende-Kommunikation erhalten.
NAT/PAT ist ein Sonderfall,
weil dabei IP-Adressen oder Ports verändert werden können.
Bei der Fehlersuche zuerst die unteren Schichten prüfen.
2.7 Schichtenmodelle: Merksätze und Prüfungswissen
Diese Seite fasst die wichtigsten Punkte zu OSI-Modell, TCP/IP-Modell, Kapselung und Datenweg zusammen.
Sie dient als Wiederholungsseite für AP1 und AP2.
Ziel ist nicht, jeden Sonderfall auswendig zu lernen, sondern die Grundstruktur sicher zu beherrschen.
Wichtig für die Prüfung:
Schichtenmodelle helfen,
Netzwerkkommunikation fachlich einzuordnen,
Protokolle und Geräte zuzuordnen
und Fehler systematisch zu suchen.
Grundidee von Schichtenmodellen
Ein Schichtenmodell teilt Netzwerkkommunikation in mehrere Ebenen ein.
Jede Schicht hat eine bestimmte Aufgabe.
Fachlich wichtig:
Eine Schicht nutzt die Dienste der darunterliegenden Schicht
und stellt der darüberliegenden Schicht eigene Dienste bereit.
Vereinfacht gesagt:
Jede Schicht kümmert sich um einen bestimmten Teil der Kommunikation.
Beispiele:
Aufgabe
typische Schicht
Bits übertragen
Schicht 1
Frames im LAN übertragen
Schicht 2
IP-Pakete routen
Schicht 3
Daten zwischen Anwendungen transportieren
Schicht 4
Netzwerkdienste für Anwendungen bereitstellen
Schicht 7
Merksatz:
Schichtenmodelle machen Netzwerktechnik übersichtlicher.
OSI-Modell: die 7 Schichten
Das OSI-Modell ist ein Referenzmodell mit 7 Schichten.
Schicht
Deutscher Name
Englischer Name
Kurzaufgabe
7
Anwendungsschicht
Application Layer
Netzwerkdienste für Anwendungen
6
Darstellungsschicht
Presentation Layer
Darstellung, Codierung, Kompression, Verschlüsselung
5
Sitzungsschicht
Session Layer
Sitzungen aufbauen, verwalten und beenden
4
Transportschicht
Transport Layer
Transport zwischen Anwendungen
3
Vermittlungsschicht / Netzwerkschicht
Network Layer
logische Adressierung und Routing
2
Sicherungsschicht
Data Link Layer
lokale Übertragung mit Frames und MAC-Adressen
1
Bitübertragungsschicht
Physical Layer
Übertragung von Bits als Signale
IHK-sichere Kurzformulierung:
Das OSI-Modell ist ein Referenzmodell,
das Netzwerkkommunikation in sieben Schichten einteilt.
Merksatz für das OSI-Modell
Von oben nach unten:
Alle Deutschen Schüler Trinken Verschiedene Sorten Brause
Das bedeutet:
Wort
OSI-Schicht
Alle
Anwendungsschicht
Deutschen
Darstellungsschicht
Schüler
Sitzungsschicht
Trinken
Transportschicht
Verschiedene
Vermittlungsschicht
Sorten
Sicherungsschicht
Brause
Bitübertragungsschicht
Fachlich ausgeschrieben:
Anwendung
Darstellung
Sitzung
Transport
Vermittlung
Sicherung
Bitübertragung
OSI-Schichten von unten nach oben
Von unten nach oben merkt man sich besonders gut die technische Verarbeitung:
Schicht
Name
typische Begriffe
1
Bitübertragungsschicht
Bits, Signale, Kabel, Glasfaser, Funk
2
Sicherungsschicht
MAC-Adresse, Frame, Switch, VLAN
3
Vermittlungsschicht
IP-Adresse, Routing, Router, ICMP
4
Transportschicht
TCP, UDP, Ports, Segment, Datagramm
5
Sitzungsschicht
Sitzung, Dialogsteuerung
6
Darstellungsschicht
Codierung, Kompression, Verschlüsselung
7
Anwendungsschicht
HTTP, DNS, DHCP, SMTP, IMAP
Merksatz:
Unten wird übertragen.
In der Mitte wird adressiert und transportiert.
Oben arbeiten die Netzwerkdienste.
TCP/IP-Modell: die wichtigsten Schichten
Das TCP/IP-Modell ist praxisnah und wird häufig mit 4 Schichten dargestellt.
TCP/IP-Schicht
Aufgabe
Beispiele
Anwendungsschicht
Netzwerkdienste für Anwendungen
HTTP, DNS, DHCP, SMTP, IMAP
Transportschicht
Transport zwischen Anwendungen
TCP, UDP, Ports
Internetschicht
IP-Adressierung und Routing
IP, ICMP
Netzzugangsschicht
Zugriff auf das lokale Netzwerk
Ethernet, WLAN, MAC
Wichtig:
TCP/IP ist nicht nur TCP und IP.
TCP/IP bezeichnet eine Protokollfamilie.
Merksatz:
TCP/IP ist das praxisnahe Modell für IP-Netzwerke und das Internet.
OSI-Modell und TCP/IP-Modell vergleichen
OSI-Modell
TCP/IP-Modell
Beispiele
Schicht 7, 6, 5
Anwendungsschicht
HTTP, DNS, DHCP, SMTP
Schicht 4
Transportschicht
TCP, UDP, Ports
Schicht 3
Internetschicht
IP, ICMP, Routing
Schicht 2, 1
Netzzugangsschicht
Ethernet, WLAN, MAC
IHK-sichere Kurzformulierung:
Das OSI-Modell ist ein theoretisches Referenzmodell mit sieben Schichten.
Das TCP/IP-Modell ist praxisnäher und wird häufig mit vier Schichten dargestellt.
Dabei fasst TCP/IP mehrere OSI-Schichten zusammen.
Die wichtigsten Begriffe pro Schicht
Begriff
Schicht
Erklärung
Bit
1
kleinste Informationseinheit, 0 oder 1
Signal
1
physische Darstellung von Bits
Frame
2
Dateneinheit im lokalen Netzwerk
MAC-Adresse
2
Hardwareadresse im lokalen Netzwerk
Paket
3
Dateneinheit auf IP-Ebene
IP-Adresse
3
logische Adresse eines Hosts oder Netzes
Segment
4
TCP-Dateneinheit
Datagramm
4
UDP-Dateneinheit
Port
4
Dienstadresse auf einem Host
Protokoll
allgemein
Regelwerk für Kommunikation
Merksatz:
Bit → Frame → Paket → Segment/Datagramm → Daten
Dateneinheiten der Schichten
In Prüfungen wird häufig gefragt, welche Dateneinheit zu welcher Schicht gehört.
OSI-Schicht
typische Dateneinheit
7
Daten
6
Daten
5
Daten
4
Segment oder Datagramm
3
Paket
2
Frame
1
Bits
Wichtig:
TCP arbeitet mit Segmenten.
UDP arbeitet mit Datagrammen.
IP arbeitet mit Paketen.
Ethernet arbeitet mit Frames.
Schicht 1 überträgt Bits.
Adressen und ihre Aufgaben
In der Netzwerktechnik werden MAC-Adresse, IP-Adresse und Portnummer häufig verwechselt.
Begriff
Schicht
Aufgabe
MAC-Adresse
Schicht 2
lokale Zustellung im LAN
IP-Adresse
Schicht 3
logische Adressierung über Netzwerke hinweg
Portnummer
Schicht 4
Zuordnung zu Dienst oder Anwendung
Merksätze:
MAC-Adresse = welches Gerät im lokalen Netzwerkabschnitt?
IP-Adresse = welcher Host oder welches Netz?
Portnummer = welcher Dienst auf dem Host?
Geräte den Schichten zuordnen
Gerät
typische Schicht
Begründung
Hub
Schicht 1
verteilt Signale ohne Auswertung
Switch
Schicht 2
leitet anhand von MAC-Adressen weiter
Router
Schicht 3
leitet anhand von IP-Adressen zwischen Netzen weiter
Layer-3-Switch
Schicht 3
verbindet Switching mit Routing
Firewall
mehrere Schichten
prüft je nach Art IP, Ports, Zustände oder Anwendungen
Access Point
Schicht 1/2
Funkübertragung und WLAN-Zugriff
Prüfungshinweis:
Bei Geräten ist meistens die Hauptfunktion entscheidend.
Beispiel:
Ein Switch arbeitet typischerweise auf Schicht 2,
auch wenn moderne Switches Zusatzfunktionen besitzen können.
Protokolle den Schichten zuordnen
Protokoll / Technik
typische OSI-Schicht
typische TCP/IP-Schicht
Ethernet
Schicht 2
Netzzugangsschicht
WLAN
Schicht 1/2
Netzzugangsschicht
ARP
Schicht 2 / Schicht-3-Bezug
Netzzugangsschicht
IP
Schicht 3
Internetschicht
ICMP
Schicht 3
Internetschicht
TCP
Schicht 4
Transportschicht
UDP
Schicht 4
Transportschicht
HTTP
Schicht 7
Anwendungsschicht
HTTPS
Schicht 7
Anwendungsschicht
DNS
Schicht 7
Anwendungsschicht
DHCP
Schicht 7
Anwendungsschicht
SMTP
Schicht 7
Anwendungsschicht
POP3
Schicht 7
Anwendungsschicht
IMAP
Schicht 7
Anwendungsschicht
SSH
Schicht 7
Anwendungsschicht
Wichtig:
Manche Protokolle haben Bezüge zu mehreren Schichten.
Für die IHK ist meistens die typische Hauptzuordnung entscheidend.
Kapselung kurz erklärt
Kapselung bedeutet, dass Daten beim Senden von Schicht zu Schicht mit zusätzlichen Protokollinformationen ergänzt werden.
Vereinfacht:
Jede Schicht verpackt die Daten für ihre Aufgabe weiter.
Beispiel:
Anwendungsdaten
TCP-Header + Anwendungsdaten
IP-Header + TCP-Header + Anwendungsdaten
Ethernet-Header + IP-Header + TCP-Header + Anwendungsdaten + Ethernet-Trailer
Bits auf dem Medium
Fachlich wichtig:
Beim Sender findet Kapselung statt.
Beim Empfänger findet Entkapselung statt.
Merksatz:
Sender kapselt ein.
Empfänger kapselt aus.
Entkapselung kurz erklärt
Entkapselung bedeutet, dass die hinzugefügten Protokollinformationen beim Empfänger schrittweise ausgewertet und entfernt werden.
Vereinfacht:
Der Empfänger packt die Daten Schicht für Schicht wieder aus.
Ablauf:
Bits werden empfangen.
Ethernet-Frame wird ausgewertet.
IP-Paket wird ausgewertet.
TCP-Segment oder UDP-Datagramm wird ausgewertet.
Anwendung erhält die Nutzdaten.
Merksatz:
Entkapselung ist der umgekehrte Vorgang der Kapselung.
Typischer Datenweg bei HTTPS
Ein typischer Webseitenaufruf mit HTTPS kann vereinfacht so dargestellt werden:
HTTPS → TCP → IP → Ethernet/WLAN → Bits
Schichtbezug:
Bestandteil
OSI-Schicht
HTTPS
Schicht 7
TCP
Schicht 4
IP
Schicht 3
Ethernet/WLAN
Schicht 1/2
Bits
Schicht 1
Wichtig:
HTTPS nutzt typischerweise TCP.
TCP nutzt IP.
IP nutzt Ethernet oder WLAN.
Typischer Datenweg bei DNS
Eine typische DNS-Anfrage kann vereinfacht so dargestellt werden:
DNS → UDP → IP → Ethernet/WLAN → Bits
Schichtbezug:
Bestandteil
OSI-Schicht
DNS
Schicht 7
UDP
Schicht 4
IP
Schicht 3
Ethernet/WLAN
Schicht 1/2
Bits
Schicht 1
Wichtig:
DNS ist ein Anwendungsprotokoll.
DNS nutzt häufig UDP.
DNS kann aber auch TCP verwenden.
Typischer Datenweg bei Ping
Ping nutzt klassisch ICMP.
ICMP steht für:
Internet Control Message Protocol
Schichtbezug:
Bestandteil
OSI-Schicht
ICMP
Schicht 3
IP
Schicht 3
Ethernet/WLAN
Schicht 1/2
Wichtig:
ICMP nutzt keine Ports.
ICMP gehört nicht zu TCP oder UDP.
Merksatz:
ICMP = Kontroll- und Fehlermeldungen im IP-Netz
TCP kurz erklärt
TCP steht für:
Transmission Control Protocol
TCP ist ein verbindungsorientiertes und zuverlässiges Transportprotokoll.
TCP sorgt unter anderem für:
- Verbindungsaufbau
- Bestätigungen
- Reihenfolgekontrolle
- erneute Übertragung verlorener Daten
- Verbindungsabbau
Merksatz:
TCP = zuverlässig und verbindungsorientiert
UDP kurz erklärt
UDP steht für:
User Datagram Protocol
UDP ist ein verbindungsloses Transportprotokoll.
UDP sendet Daten ohne vorherigen Verbindungsaufbau.
UDP bietet keine eingebaute Garantie für:
- Zustellung
- Reihenfolge
- erneute Übertragung verlorener Daten
Merksatz:
UDP = verbindungslos und mit wenig Verwaltungsaufwand
IP kurz erklärt
IP steht für:
Internet Protocol
IP ist für logische Adressierung und Routing zuständig.
IP sorgt dafür, dass Pakete anhand von IP-Adressen zum Ziel gelangen können.
Wichtig:
IP garantiert keine zuverlässige Zustellung wie TCP.
IP kümmert sich vor allem um Adressierung und Weiterleitung.
Merksatz:
IP = Adressierung und Routing
ICMP kurz erklärt
ICMP steht für:
Internet Control Message Protocol
ICMP wird für Kontroll- und Fehlermeldungen im IP-Netz verwendet.
Typische Beispiele:
- Echo Request
- Echo Reply
- Destination Unreachable
- Time Exceeded
Wichtig:
ICMP ist kein Transportprotokoll wie TCP oder UDP.
ICMP verwendet keine Ports.
Merksatz:
ICMP = Diagnose, Kontrolle und Fehlermeldungen im IP-Netz
DNS kurz erklärt
DNS steht für:
Domain Name System
DNS löst Namen in IP-Adressen auf.
Beispiel:
www.example.org → IP-Adresse
Wichtig:
DNS ist ein Anwendungsprotokoll.
DNS hat aber einen starken Bezug zur IP-Kommunikation,
weil am Ende eine IP-Adresse benötigt wird.
Merksatz:
DNS = Namensauflösung
DHCP kurz erklärt
DHCP steht für:
Dynamic Host Configuration Protocol
DHCP weist einem Client automatisch Netzwerkkonfiguration zu.
Typische Informationen:
- IP-Adresse
- Subnetzmaske
- Standard-Gateway
- DNS-Server
Wichtig:
DHCP ist ein Anwendungsprotokoll,
auch wenn es IP-Konfiguration bereitstellt.
Merksatz:
DHCP = automatische IP-Konfiguration
ARP kurz erklärt
ARP steht für:
Address Resolution Protocol
ARP wird bei IPv4 verwendet, um zu einer IP-Adresse die passende MAC-Adresse im lokalen Netzwerk zu ermitteln.
Vereinfacht fragt ARP:
Wer hat diese IP-Adresse?
Ich brauche die passende MAC-Adresse.
Wichtig:
ARP funktioniert im lokalen Netzwerk.
ARP verbindet IP-Adresse und MAC-Adresse im LAN.
Merksatz:
ARP = IPv4-Adresse zu MAC-Adresse im lokalen Netzwerk
Wichtige Unterschiede
Vergleich
Unterschied
MAC-Adresse vs. IP-Adresse
MAC lokal im LAN, IP logisch über Netzwerke
IP-Adresse vs. Port
IP = Host oder Netz, Port = Dienst
TCP vs. UDP
TCP zuverlässig, UDP verbindungslos
Frame vs. Paket
Frame Schicht 2, Paket Schicht 3
Paket vs. Segment
Paket IP-Ebene, Segment TCP-Ebene
Switch vs. Router
Switch MAC-basiert, Router IP-basiert
OSI vs. TCP/IP
OSI 7 Schichten, TCP/IP häufig 4 Schichten
Fehlersuche nach Schichten
Das OSI-Modell hilft bei der systematischen Fehlersuche.
Man prüft häufig von unten nach oben.
Prüfung
mögliche Schicht
Kabel angeschlossen?
Schicht 1
Link-Licht vorhanden?
Schicht 1
MAC-Adresse sichtbar?
Schicht 2
VLAN korrekt?
Schicht 2
IP-Adresse korrekt?
Schicht 3
Subnetzmaske korrekt?
Schicht 3
Standard-Gateway korrekt?
Schicht 3
Ziel-IP erreichbar?
Schicht 3
Zielport erreichbar?
Schicht 4
DNS-Auflösung möglich?
Schicht 7
Anwendung antwortet?
Schicht 7
Merksatz:
Ein Fehler auf einer unteren Schicht kann alle oberen Schichten beeinflussen.
Typische Werkzeuge zur Fehlersuche
Werkzeug
Zweck
ipconfig
IP-Konfiguration unter Windows anzeigen
ip addr
IP-Konfiguration unter Linux anzeigen
ping
Erreichbarkeit testen
tracert
Weg zum Ziel unter Windows anzeigen
traceroute
Weg zum Ziel unter Linux anzeigen
nslookup
DNS-Auflösung prüfen
dig
DNS-Auflösung detailliert prüfen
netstat
Netzwerkverbindungen anzeigen
ss
Netzwerkverbindungen unter Linux anzeigen
Test-NetConnection
Verbindung und Port unter Windows prüfen
nc
Verbindung und Port testen
Wireshark
Pakete grafisch analysieren
tcpdump
Pakete auf der Konsole analysieren
Wichtig:
Das Werkzeug muss zur vermuteten Schicht passen.
Typische IHK-Fragen
In AP1 oder AP2 können Aufgaben zum Beispiel so aussehen:
- Nennen Sie die 7 Schichten des OSI-Modells.
- Ordnen Sie Protokolle den OSI-Schichten zu.
- Ordnen Sie Geräte den OSI-Schichten zu.
- Erklären Sie den Unterschied zwischen OSI-Modell und TCP/IP-Modell.
- Beschreiben Sie den Vorgang der Kapselung.
- Unterscheiden Sie Frame, Paket und Segment.
- Erklären Sie den Unterschied zwischen MAC-Adresse, IP-Adresse und Port.
- Erklären Sie die Aufgabe von TCP.
- Erklären Sie die Aufgabe von UDP.
- Erklären Sie die Aufgabe von IP.
- Beschreiben Sie den Weg eines Datenpakets durch die Schichten.
- Grenzen Sie einen Fehler anhand der Schichten ein.
Typische Prüfungsfallen
TCP/IP ist nicht nur TCP und IP.
TCP/IP bezeichnet eine Protokollfamilie.
DNS ist ein Anwendungsprotokoll,
auch wenn es IP-Adressen liefert.
DHCP ist ein Anwendungsprotokoll,
auch wenn es IP-Konfiguration vergibt.
ICMP gehört nicht zu TCP oder UDP.
ICMP nutzt keine Ports.
Ein Switch arbeitet typischerweise auf Schicht 2.
Ein Router arbeitet typischerweise auf Schicht 3.
Eine Firewall kann je nach Art mehrere Schichten betreffen.
Eine MAC-Adresse ist keine IP-Adresse.
Eine Portnummer ist keine IP-Adresse.
Ein Frame ist nicht dasselbe wie ein Paket.
Ein Paket ist nicht dasselbe wie ein Segment.
Schicht 7 ist nicht einfach der Benutzer,
sondern die Anwendungsschicht mit Netzwerkdiensten.
Prüfungstabelle: sehr wichtige Zuordnungen
Thema
richtige Zuordnung
Kabel, Glasfaser, Funk
Schicht 1
Bit
Schicht 1
MAC-Adresse
Schicht 2
Ethernet-Frame
Schicht 2
Switch
Schicht 2
VLAN
Schicht 2
IP-Adresse
Schicht 3
Router
Schicht 3
Routing
Schicht 3
ICMP
Schicht 3
Port
Schicht 4
TCP
Schicht 4
UDP
Schicht 4
HTTP
Schicht 7
DNS
Schicht 7
DHCP
Schicht 7
SMTP
Schicht 7
IMAP
Schicht 7
SSH
Schicht 7
Prüfungstabelle: Kurzdefinitionen
Begriff
IHK-taugliche Kurzdefinition
OSI-Modell
Referenzmodell zur Einordnung von Netzwerkkommunikation in sieben Schichten
TCP/IP-Modell
praxisnahes Schichtenmodell für IP-basierte Netzwerke
Protokoll
Regelwerk für die Kommunikation zwischen Systemen
Kapselung
Ergänzen von Daten um Protokollinformationen beim Durchlaufen der Schichten
Entkapselung
Auswerten und Entfernen von Protokollinformationen beim Empfänger
Frame
Dateneinheit der Sicherungsschicht
Paket
Dateneinheit der Vermittlungsschicht
Segment
Dateneinheit bei TCP auf der Transportschicht
Datagramm
Dateneinheit bei UDP
MAC-Adresse
Adresse zur lokalen Zustellung im LAN
IP-Adresse
logische Adresse zur Kommunikation über Netzwerke
Port
Nummer zur Zuordnung eines Dienstes oder einer Anwendung
Routing
Weiterleitung von Paketen zwischen Netzwerken
Mini-Wiederholung
Frage
Antwort
Welche Schicht überträgt Bits?
Schicht 1
Welche Schicht nutzt MAC-Adressen?
Schicht 2
Welche Schicht nutzt IP-Adressen?
Schicht 3
Welche Schicht nutzt Ports?
Schicht 4
Welche Schicht enthält HTTP?
Schicht 7
Welche Schicht enthält TCP?
Schicht 4
Welche Schicht enthält UDP?
Schicht 4
Welche Schicht enthält ICMP?
Schicht 3
Welche Schicht enthält Ethernet?
Schicht 2
Welche Schicht enthält DNS?
Schicht 7
Welche Schicht enthält DHCP?
Schicht 7
Welche Schicht ist ein Switch?
Schicht 2
Welche Schicht ist ein Router?
Schicht 3
IHK-sichere Gesamtformulierung
Das OSI-Modell ist ein Referenzmodell, das Netzwerkkommunikation in sieben Schichten einteilt. Jede Schicht übernimmt bestimmte Aufgaben und stellt der darüberliegenden Schicht Dienste bereit. Die unteren Schichten kümmern sich vor allem um Übertragung, lokale Zustellung und Adressierung. Die mittleren Schichten kümmern sich um Routing und Transport. Die oberen Schichten stellen Netzwerkdienste für Anwendungen bereit.
Das TCP/IP-Modell ist ein praxisnahes Modell für IP-basierte Netzwerke und das Internet. Es wird häufig mit vier Schichten dargestellt: Anwendungsschicht, Transportschicht, Internetschicht und Netzzugangsschicht. Dabei fasst das TCP/IP-Modell mehrere OSI-Schichten zusammen.
Beim Senden werden Daten durch die Schichten von oben nach unten verarbeitet und mit Protokollinformationen ergänzt. Dieser Vorgang heißt Kapselung. Beim Empfänger werden diese Informationen in umgekehrter Reihenfolge ausgewertet und entfernt. Dieser Vorgang heißt Entkapselung.
Wichtigste Merksätze
OSI = 7 Schichten.
TCP/IP = häufig 4 Schichten.
OSI ist ein Referenzmodell.
TCP/IP ist praxisnah und internetbezogen.
Schicht 1 = Bits und Signale.
Schicht 2 = MAC-Adresse und Frame.
Schicht 3 = IP-Adresse und Routing.
Schicht 4 = TCP, UDP und Ports.
Schicht 5 = Sitzung.
Schicht 6 = Darstellung, Codierung, Kompression, Verschlüsselung.
Schicht 7 = Netzwerkdienste für Anwendungen.
Switch = Schicht 2.
Router = Schicht 3.
TCP und UDP = Schicht 4.
IP und ICMP = Schicht 3.
HTTP, DNS, DHCP, SMTP, IMAP = Schicht 7.
MAC-Adresse = lokaler Netzwerkabschnitt.
IP-Adresse = logische Netzwerkadresse.
Port = Dienst oder Anwendung.
Frame = Schicht 2.
Paket = Schicht 3.
Segment oder Datagramm = Schicht 4.
Sender kapselt ein.
Empfänger kapselt aus.
Bei der Fehlersuche zuerst die unteren Schichten prüfen.
3. OSI-Schicht 0 – Übertragungsmedien und Verkabelung
3.1 Schicht 0 – Übertragungsmedien und Verkabelung
Schicht 0 ist keine offizielle Schicht des OSI-Modells.
Sie wird hier als didaktische Ergänzung verwendet, um die physische Grundlage eines Netzwerks verständlich einzuordnen.
Gemeint sind vor allem:
- Kabel
- Glasfaser
- Funkstrecken
- Steckverbindungen
- Patchfelder
- Gebäudeverkabelung
- physische Wege der Datenübertragung
Wichtig für die IHK:
Das offizielle OSI-Modell beginnt mit Schicht 1,
der Bitübertragungsschicht.
Schicht 0 hilft aber dabei, die Infrastruktur unterhalb der eigentlichen Signalübertragung zu verstehen.
Warum Schicht 0?
Bevor Bits übertragen werden können, braucht man ein geeignetes Übertragungsmedium.
Beispiele:
- Kupferkabel
- Lichtwellenleiter
- WLAN-Funk
- Patchkabel
- Netzwerkdosen
- Verlegekabel
- Rangierfelder
- SFP-Module
- Medienkonverter
Diese Dinge bilden die physische Grundlage eines Netzwerks.
Vereinfacht gesagt:
Schicht 0 beschreibt die Wege,
über die Schicht 1 später Bits als Signale übertragen kann.
Abgrenzung zu OSI-Schicht 1
OSI-Schicht 1 heißt:
Bitübertragungsschicht
Die Bitübertragungsschicht beschreibt die Übertragung von Bits als elektrische, optische oder elektromagnetische Signale.
Schicht 0 betrachtet eher die darunterliegende Infrastruktur.
Bereich
Bedeutung
Schicht 0
Kabel, Glasfaser, Funkstrecke, Dosen, Patchfelder, physischer Weg
Schicht 1
Bits, Signale, Pegel, Übertragungsgeschwindigkeit, physische Schnittstelle
Wichtig:
Schicht 0 ist eine Lernhilfe.
Schicht 1 ist Teil des offiziellen OSI-Modells.
Begriff: Übertragungsmedium
Ein Übertragungsmedium ist der physische Weg, über den Daten übertragen werden.
Typische Übertragungsmedien sind:
Medium
Beschreibung
Kupferkabel
elektrische Signalübertragung
Lichtwellenleiter
optische Signalübertragung mit Licht
Funk
drahtlose Übertragung über elektromagnetische Wellen
Merksatz:
Das Übertragungsmedium ist der physische Weg der Daten.
Kupferkabel
Kupferkabel übertragen Daten über elektrische Signale.
In modernen Netzwerken sind vor allem Twisted-Pair-Kabel wichtig.
Typische Beispiele:
- Patchkabel
- Verlegekabel
- Netzwerkkabel mit RJ45-Stecker
- strukturierte Gebäudeverkabelung
Kupferkabel werden häufig im LAN eingesetzt.
LAN steht für:
Local Area Network
Auf Deutsch:
lokales Netzwerk
Typischer Einsatz:
PC → Netzwerkdose → Patchfeld → Switch
Merksatz:
Kupferkabel übertragen Daten elektrisch.
Twisted-Pair-Kabel
Twisted Pair bedeutet:
verdrilltes Adernpaar
Bei Twisted-Pair-Kabeln sind die Adern paarweise miteinander verdrillt.
Das hilft gegen elektromagnetische Störungen.
Typische Kategorien:
Kategorie
typischer Einsatz
CAT 5e
Gigabit-Ethernet möglich
CAT 6
Gigabit-Ethernet und teilweise höhere Datenraten
CAT 6A
10-Gigabit-Ethernet bis 100 m
CAT 7 / CAT 8
höhere Anforderungen und Datenraten, je nach Einsatzbereich
Wichtig:
Die Kategorie beschreibt die Leistungsfähigkeit des Kabels,
nicht automatisch die tatsächliche Geschwindigkeit der Verbindung.
Die tatsächliche Verbindung hängt auch ab von:
- Netzwerkkarte
- Switch-Port
- Kabelqualität
- Kabellänge
- Steckverbindungen
- Störeinflüssen
Merksatz:
Twisted Pair = verdrillte Adernpaare für elektrische Datenübertragung.
RJ45
RJ45 wird im Alltag häufig als Bezeichnung für den typischen Netzwerkstecker verwendet.
Gemeint ist der Stecker, der bei vielen Ethernet-Patchkabeln verwendet wird.
Typischer Einsatz:
Patchkabel zwischen PC und Netzwerkdose
Patchkabel zwischen Patchfeld und Switch
Wichtig:
In der Praxis sagt man oft „RJ45-Netzwerkkabel“,
auch wenn die genaue Normbezeichnung fachlich etwas genauer betrachtet werden kann.
Für die Prüfung reicht meist:
RJ45 = typischer Stecker für Ethernet über Twisted-Pair-Kabel
Koaxialkabel
Koaxialkabel wurden früher in Ethernet-Netzwerken eingesetzt.
Heute sind sie für klassische LAN-Verkabelung weitgehend veraltet.
Typischer historischer Bezug:
Bus-Topologie
10BASE2
10BASE2 bedeutet vereinfacht:
Bestandteil
Bedeutung
10
10 Mbit/s
BASE
Basisbandübertragung
2
ungefähr 200 Yard maximale Segmentlänge
Wichtig:
Koaxialkabel sind für moderne strukturierte LAN-Verkabelung nicht mehr üblich.
Merksatz:
Koaxialkabel = ältere Ethernet-Technik, früher bei Bus-Topologien.
Lichtwellenleiter
Lichtwellenleiter werden häufig mit LWL abgekürzt.
LWL übertragen Daten mit Licht.
Andere Bezeichnungen:
Glasfaser
Fiber
Lichtleiter
Typische Vorteile:
- hohe Reichweiten
- hohe Datenraten
- unempfindlich gegenüber elektromagnetischen Störungen
- geeignet für Gebäudeverbindungen
- geeignet für Backbone-Verbindungen
Typische Nachteile:
- empfindlicher bei falscher Handhabung
- aufwendigere Stecktechnik
- spezielle Module oder Medienkonverter nötig
- nicht so einfach zu reparieren wie Kupferkabel
Merksatz:
LWL überträgt Daten optisch mit Licht.
Multimode-LWL
Multimode-LWL wird häufig für kürzere Strecken eingesetzt.
Multimode bedeutet:
Mehrere Lichtwege beziehungsweise Moden breiten sich in der Faser aus.
Typische Eigenschaften:
- größerer Kerndurchmesser als Singlemode
- häufig für Gebäude- oder Campusverkabelung
- kürzere Reichweite als Singlemode
- oft günstiger in der aktiven Technik
Merksatz:
Multimode = mehrere Lichtwege, eher kürzere Strecken.
Singlemode-LWL
Singlemode-LWL wird häufig für längere Strecken eingesetzt.
Singlemode bedeutet:
Das Licht breitet sich überwiegend in einem einzelnen Modus aus.
Typische Eigenschaften:
- kleinerer Kerndurchmesser als Multimode
- sehr hohe Reichweiten möglich
- häufig bei Provider-, WAN- und Backbone-Verbindungen
- oft für lange Glasfaserstrecken geeignet
Singlemode wird auch Monomode genannt.
Merksatz:
Singlemode = ein Lichtweg, eher lange Strecken.
WLAN als Übertragungsmedium
WLAN steht für:
Wireless Local Area Network
WLAN ist ein drahtloses lokales Netzwerk.
Die Übertragung erfolgt über Funk.
Typische Frequenzbereiche:
- 2,4 GHz
- 5 GHz
- 6 GHz
WLAN nutzt Standards aus der IEEE-802.11-Familie.
Beispiele:
Bezeichnung
technischer Standard
Wi-Fi 4
IEEE 802.11n
Wi-Fi 5
IEEE 802.11ac
Wi-Fi 6
IEEE 802.11ax
Wi-Fi 6E
IEEE 802.11ax mit zusätzlichem 6-GHz-Band
Wi-Fi 7
IEEE 802.11be
Wichtig:
WLAN ist flexibel,
aber stärker abhängig von Entfernung,
Hindernissen,
Störungen
und anderen Funknetzen.
Merksatz:
WLAN = drahtlose Übertragung im lokalen Netzwerk.
Strukturierte Verkabelung
Strukturierte Verkabelung beschreibt eine geplante, einheitliche Gebäudeverkabelung.
Ziel ist eine übersichtliche und wartbare Netzwerk-Infrastruktur.
Typische Bestandteile:
- Gebäudeverteiler
- Etagenverteiler
- Patchfelder
- Netzwerkdosen
- Verlegekabel
- Patchkabel
- Switches
- Rangierbereiche
Vorteile:
- bessere Übersicht
- einfachere Fehlersuche
- bessere Erweiterbarkeit
- klare Dokumentation
- saubere Trennung von Verlegekabel und Patchkabel
Merksatz:
Strukturierte Verkabelung macht Netzwerke planbar und wartbar.
Patchkabel und Verlegekabel
Patchkabel und Verlegekabel haben unterschiedliche Aufgaben.
Kabelart
Aufgabe
Patchkabel
flexible Verbindung zwischen Gerät und Dose oder Patchfeld und Switch
Verlegekabel
feste Installation in Wand, Decke, Kabelkanal oder Gebäudeinfrastruktur
Patchkabel sind flexibel.
Verlegekabel sind für feste Installation gedacht.
Typischer Aufbau:
PC
→ Patchkabel
→ Netzwerkdose
→ Verlegekabel
→ Patchfeld
→ Patchkabel
→ Switch
Merksatz:
Patchkabel verbindet flexibel.
Verlegekabel bleibt fest installiert.
Patchfeld
Ein Patchfeld ist ein Anschlussfeld im Netzwerkschrank.
Dort enden die fest verlegten Netzwerkkabel.
Von dort aus werden Verbindungen mit Patchkabeln zum Switch hergestellt.
Typischer Zweck:
- saubere Verkabelung
- flexible Zuordnung von Netzwerkdosen zu Switch-Ports
- bessere Übersicht im Netzwerkschrank
- einfachere Wartung
Merksatz:
Patchfeld = Sammel- und Anschlussstelle für Verlegekabel.
Switch im Zusammenhang mit Verkabelung
Der Switch gehört fachlich zur OSI-Schicht 2.
Im Zusammenhang mit Schicht 0 ist er aber wichtig, weil alle Kabelverbindungen häufig am Switch zusammenlaufen.
Typischer Aufbau im LAN:
Endgerät
→ Netzwerkdose
→ Patchfeld
→ Switch
Wichtig:
Die Verkabelung schafft die physische Verbindung.
Der Switch leitet Frames anhand von MAC-Adressen weiter.
Merksatz:
Kabel verbinden physisch.
Switches leiten logisch im lokalen Netzwerk weiter.
Medienkonverter
Ein Medienkonverter verbindet unterschiedliche Übertragungsmedien.
Beispiel:
Kupfer Ethernet ↔ Glasfaser
Typischer Einsatz:
Ein Gerät besitzt nur einen Kupferanschluss,
die Strecke soll aber über Glasfaser geführt werden.
Wichtig:
Medienkonverter ändern das Übertragungsmedium,
nicht automatisch das Netzwerkprotokoll.
Merksatz:
Medienkonverter = Übergang zwischen unterschiedlichen Medien.
SFP-Modul
SFP steht für:
Small Form-factor Pluggable
Ein SFP-Modul ist ein steckbares Transceiver-Modul.
Es wird häufig in Switches, Routern oder Medienkonvertern eingesetzt.
Typische Varianten:
- SFP für 1 Gbit/s
- SFP+ für 10 Gbit/s
- Module für Multimode-LWL
- Module für Singlemode-LWL
- teilweise auch Kupfer-SFP-Module
Wichtig:
SFP-Module müssen zur Strecke und zum Gerät passen.
Beispiel:
Multimode-Modul zu Multimode-Faser
Singlemode-Modul zu Singlemode-Faser
Merksatz:
SFP = steckbares Modul für Netzwerkverbindungen.
Dämpfung
Dämpfung bedeutet, dass ein Signal auf dem Übertragungsweg schwächer wird.
Dämpfung gibt es bei:
- Kupferkabeln
- Glasfaser
- Funkverbindungen
Je länger oder schlechter die Strecke ist, desto stärker kann das Signal gedämpft werden.
Bei Lichtwellenleitern hängt die Dämpfung unter anderem von der Wellenlänge, der Faserart, Steckverbindungen und der Strecke ab.
Merksatz:
Dämpfung = Signal wird schwächer.
Störungen
Störungen können die Datenübertragung beeinträchtigen.
Typische Ursachen:
- elektromagnetische Einflüsse
- schlechte Steckverbindungen
- defekte Kabel
- zu lange Leitungen
- falsche Kabelkategorie
- beschädigte Glasfaser
- Funkstörungen bei WLAN
- Hindernisse bei WLAN
Wichtig:
Viele Netzwerkprobleme beginnen auf der physischen Ebene.
Merksatz:
Schlechte Verkabelung verursacht oft schwer zu findende Fehler.
Typische Kabellängen als Orientierung
Medium
typische Orientierung
Twisted-Pair-Kupfer
häufig bis 100 m
Multimode-LWL
für kürzere bis mittlere Glasfaserstrecken
Singlemode-LWL
für lange Glasfaserstrecken
WLAN
stark abhängig von Umgebung, Hindernissen und Funkstörungen
Wichtig:
Die tatsächlich mögliche Entfernung hängt von Standard,
Kabelqualität,
aktiver Technik
und Umgebung ab.
Merksatz:
Kupfer für kurze LAN-Strecken.
Glasfaser für hohe Datenraten und längere Strecken.
Schicht 0 und Fehlersuche
Viele Netzwerkfehler entstehen durch einfache physische Ursachen.
Beispiele:
- Kabel nicht gesteckt
- Kabel defekt
- falscher Port
- falsches Patchfeld
- beschädigte Netzwerkdose
- defektes SFP-Modul
- falscher Fasertyp
- verschmutzter Glasfaserstecker
- zu schwaches WLAN-Signal
Typische Prüfung:
Link-LED am Gerät oder Switch-Port prüfen.
Wenn kein Link vorhanden ist, liegt das Problem oft bei:
- Kabel
- Port
- Netzwerkkarte
- SFP-Modul
- Gegenstelle
- Stromversorgung des Geräts
Merksatz:
Ohne physische Verbindung funktionieren die höheren Schichten nicht.
Begriff: Link
Ein Link ist eine aktive Verbindung zwischen zwei Netzwerkkomponenten auf der physischen Ebene.
Beispiel:
PC ↔ Switch
Wenn die Link-LED leuchtet, besteht grundsätzlich eine physische Verbindung.
Wichtig:
Ein Link bedeutet nicht automatisch,
dass IP, DNS oder Internet funktionieren.
Merksatz:
Link vorhanden = physische Verbindung grundsätzlich aktiv.
Begriff: Bandbreite
Bandbreite beschreibt im Netzwerkbereich häufig die theoretisch mögliche Übertragungsrate.
Beispiele:
100 Mbit/s
1 Gbit/s
10 Gbit/s
Wichtig:
Die nutzbare Datenrate kann geringer sein,
weil Protokoll-Overhead,
Geräte,
Auslastung
und Störungen eine Rolle spielen.
Merksatz:
Bandbreite = mögliche Übertragungskapazität.
Begriff: Latenz
Latenz ist die Verzögerungszeit bei der Datenübertragung.
Sie beschreibt, wie lange ein Signal oder Datenpaket bis zum Ziel benötigt.
Typische Einflussfaktoren:
- Entfernung
- Übertragungsmedium
- Netzwerkgeräte
- Auslastung
- Verarbeitung durch Router oder Firewalls
- Funkqualität bei WLAN
Merksatz:
Latenz = Verzögerung auf dem Übertragungsweg.
Begriff: Durchsatz
Durchsatz beschreibt, wie viele Daten tatsächlich pro Zeit übertragen werden.
Der Durchsatz ist oft niedriger als die theoretische Bandbreite.
Gründe:
- Protokoll-Overhead
- Kollisionen oder Wiederholungen
- Störungen
- langsame Geräte
- volle Leitungen
- CPU- oder Speicherbegrenzungen
- WLAN-Signalqualität
Merksatz:
Durchsatz = tatsächlich erreichte Datenrate.
Abgrenzung: Bandbreite, Latenz und Durchsatz
Begriff
Bedeutung
Bandbreite
theoretische Übertragungskapazität
Latenz
Verzögerungszeit
Durchsatz
tatsächlich erreichte Datenrate
Beispiel:
Eine Verbindung kann 1 Gbit/s Bandbreite haben,
aber trotzdem hohe Latenz oder geringen Durchsatz zeigen.
Prüfungshinweis:
Bandbreite und Durchsatz sind nicht dasselbe.
Typische IHK-Fragen
In AP1 und AP2 können Aufgaben zum Beispiel so aussehen:
- Welche Übertragungsmedien gibt es?
- Wofür wird Twisted-Pair-Kabel verwendet?
- Was ist der Unterschied zwischen Multimode- und Singlemode-LWL?
- Warum wird Glasfaser für längere Strecken eingesetzt?
- Was bedeutet strukturierte Verkabelung?
- Was ist ein Patchfeld?
- Was ist der Unterschied zwischen Patchkabel und Verlegekabel?
- Welche Ursachen kann ein fehlender Link haben?
- Was bedeutet Dämpfung?
- Was ist der Unterschied zwischen Bandbreite, Durchsatz und Latenz?
Typische Prüfungsfallen
Schicht 0 ist keine offizielle OSI-Schicht.
Das offizielle OSI-Modell beginnt mit Schicht 1.
Twisted-Pair-Kabel übertragen elektrisch.
Lichtwellenleiter übertragen optisch.
WLAN überträgt per Funk.
Die Kabelkategorie allein garantiert nicht automatisch die Verbindungsgeschwindigkeit.
Ein leuchtender Link bedeutet nicht automatisch,
dass IP oder DNS funktionieren.
Bandbreite ist nicht dasselbe wie Durchsatz.
Multimode und Singlemode dürfen nicht beliebig gemischt werden.
SFP-Module müssen zur Faserart und zur Gegenstelle passen.
Bei Glasfaser niemals in die Faser oder in optische Ports schauen.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Schicht 0
didaktische Ergänzung für Verkabelung und Übertragungsmedien
Übertragungsmedium
physischer Weg der Datenübertragung
Twisted Pair
Kupferkabel mit verdrillten Adernpaaren
Koaxialkabel
älteres Kabelmedium, früher bei Ethernet-Bus-Topologien
LWL
Lichtwellenleiter, optische Datenübertragung
Multimode
Glasfaser für eher kürzere Strecken mit mehreren Lichtwegen
Singlemode
Glasfaser für lange Strecken mit einem Lichtweg
WLAN
drahtloses lokales Netzwerk
strukturierte Verkabelung
geplante und einheitliche Gebäudeverkabelung
Patchkabel
flexibles Verbindungskabel
Verlegekabel
fest installiertes Kabel
Patchfeld
Anschlussfeld für fest verlegte Netzwerkkabel
Medienkonverter
verbindet unterschiedliche Übertragungsmedien
SFP
steckbares Modul für Netzwerkverbindungen
Dämpfung
Abschwächung eines Signals
Link
aktive physische Verbindung
Bandbreite
theoretische Übertragungskapazität
Latenz
Verzögerungszeit
Durchsatz
tatsächlich erreichte Datenrate
IHK-sichere Kurzformulierung
Schicht 0 ist keine offizielle Schicht des OSI-Modells, sondern eine didaktische Ergänzung zur Einordnung von Übertragungsmedien und Verkabelung. Dazu gehören zum Beispiel Kupferkabel, Lichtwellenleiter, WLAN-Funkstrecken, Patchfelder, Netzwerkdosen und strukturierte Gebäudeverkabelung. Die offizielle OSI-Schicht 1 ist die Bitübertragungsschicht. Sie beschreibt die Übertragung von Bits als elektrische, optische oder elektromagnetische Signale. Eine fehlerhafte physische Infrastruktur kann alle höheren Netzwerkschichten beeinträchtigen.
Merksätze
Schicht 0 ist eine Lernhilfe,
keine offizielle OSI-Schicht.
Das OSI-Modell beginnt offiziell mit Schicht 1.
Schicht 0 = Verkabelung und Übertragungsmedien.
Schicht 1 = Bits und Signale.
Kupfer überträgt elektrisch.
Glasfaser überträgt optisch.
WLAN überträgt per Funk.
Twisted Pair = verdrillte Adernpaare.
LWL = Lichtwellenleiter.
Multimode = eher kürzere Glasfaserstrecken.
Singlemode = eher lange Glasfaserstrecken.
Patchkabel = flexibel.
Verlegekabel = fest installiert.
Patchfeld = Anschlussstelle für Gebäudeverkabelung.
Dämpfung = Signal wird schwächer.
Bandbreite = mögliche Datenrate.
Durchsatz = tatsächlich erreichte Datenrate.
Latenz = Verzögerung.
Kein Link bedeutet:
zuerst Kabel, Port, Netzwerkkarte, SFP oder Gegenstelle prüfen.
Ohne funktionierende physische Verbindung funktionieren die höheren Schichten nicht.
3.2 Koaxialkabel
Koaxialkabel sind ältere Übertragungsmedien, die früher auch in Ethernet-Netzwerken eingesetzt wurden.
Heute werden Koaxialkabel in klassischen LAN-Installationen kaum noch verwendet. Moderne lokale Netzwerke nutzen meistens Twisted-Pair-Kabel oder Lichtwellenleiter.
Wichtig für die Einordnung:
Koaxialkabel gehören zum Bereich der Übertragungsmedien.
Sie sind damit fachlich im Bereich Schicht 0 / Schicht 1 einzuordnen.
Begriff: Koaxialkabel
Ein Koaxialkabel ist ein Kabel mit einem zentralen Innenleiter und einem äußeren Schirm.
Der Aufbau ist vereinfacht:
Innenleiter
Isolierung
Abschirmung
Außenmantel
Die Abschirmung schützt das Signal vor äußeren elektromagnetischen Störungen.
Merksatz:
Koaxialkabel = Kabel mit Innenleiter und Abschirmung.
Historische Bedeutung im Netzwerk
Koaxialkabel wurden früher in Ethernet-Netzwerken eingesetzt.
Typischer Einsatz:
- ältere LAN-Technik
- Bus-Topologie
- 10BASE2
- 10BASE5
Heute sind sie im normalen Büro-LAN weitgehend durch Twisted-Pair-Kabel ersetzt worden.
Wichtig:
Für moderne Netzwerke ist Koaxialkabel historisch interessant,
aber nicht mehr die übliche Standardverkabelung im LAN.
Begriff: Bus-Topologie
Eine Bus-Topologie ist eine Netzwerktopologie, bei der mehrere Geräte an einem gemeinsamen Übertragungsmedium angeschlossen sind.
Vereinfacht:
Alle Geräte hängen an einer gemeinsamen Leitung.
Beispielhafte Darstellung:
PC 1 ─ PC 2 ─ PC 3 ─ PC 4
Bei alten Koaxial-Ethernet-Netzen wurde diese Struktur verwendet.
Nachteil:
Wenn das gemeinsame Kabel oder ein Abschluss fehlerhaft ist,
kann das gesamte Netzwerksegment gestört sein.
Merksatz:
Bus-Topologie = alle Geräte teilen sich eine gemeinsame Leitung.
Begriff: Ethernet
Ethernet ist eine weit verbreitete Netzwerktechnik für lokale Netzwerke.
Ethernet beschreibt unter anderem:
- Rahmenformat
- Zugriff auf das Medium
- Übertragung im LAN
- technische Varianten mit verschiedenen Medien
Heute denkt man bei Ethernet meistens an Twisted-Pair-Kabel mit RJ45-Steckern.
Historisch gab es Ethernet aber auch über Koaxialkabel.
Merksatz:
Ethernet = wichtige LAN-Technik für lokale Netzwerke.
10BASE2
10BASE2 war eine frühere Ethernet-Variante über Koaxialkabel.
Die Bezeichnung kann man zerlegen:
Bestandteil
Bedeutung
10
10 Mbit/s Übertragungsgeschwindigkeit
BASE
Basisbandübertragung
2
ungefähr 200 Yard maximale Segmentlänge
Wichtig:
10BASE2 wurde auch als Thin Ethernet bezeichnet.
Typischer Einsatz:
ältere Netzwerke mit Koaxialkabel und Bus-Topologie
Merksatz:
10BASE2 = altes Ethernet über dünnes Koaxialkabel mit 10 Mbit/s.
Begriff: Basisbandübertragung
Basisbandübertragung bedeutet, dass das gesamte Übertragungsmedium für ein digitales Signal genutzt wird.
Im Zusammenhang mit Ethernet bedeutet BASE:
Basisband
Beispiele:
10BASE2
10BASE-T
100BASE-TX
1000BASE-T
Merksatz:
BASE steht bei Ethernet-Bezeichnungen für Basisbandübertragung.
10BASE5
10BASE5 war ebenfalls eine ältere Ethernet-Variante über Koaxialkabel.
Sie wurde auch als Thick Ethernet bezeichnet.
Die Bezeichnung kann man zerlegen:
Bestandteil
Bedeutung
10
10 Mbit/s Übertragungsgeschwindigkeit
BASE
Basisbandübertragung
5
ungefähr 500 m maximale Segmentlänge
10BASE5 nutzte ein dickeres Koaxialkabel als 10BASE2.
Wichtig:
10BASE5 ist heute veraltet,
kann aber in Prüfungs- oder Grundlagenzusammenhängen als historische Ethernet-Technik vorkommen.
Merksatz:
10BASE5 = altes Ethernet über dickes Koaxialkabel.
Warum ist Koaxial-Ethernet veraltet?
Koaxial-Ethernet wird heute kaum noch eingesetzt, weil moderne LAN-Techniken viele Vorteile bieten.
Nachteile alter Koaxialnetze:
- gemeinsame Leitung für mehrere Geräte
- Störungen können viele Geräte gleichzeitig betreffen
- aufwendigere Fehlersuche
- geringere Flexibilität
- geringere Datenrate
- Bus-Topologie ist störanfälliger als moderne Sternverkabelung
Moderne Netzwerke verwenden meistens:
- Twisted-Pair-Kabel
- Switches
- sternförmige Verkabelung
- strukturierte Gebäudeverkabelung
Merksatz:
Koaxial-Ethernet wurde durch geswitchte Ethernet-Netze mit Twisted Pair weitgehend ersetzt.
Vergleich: Koaxialkabel und Twisted Pair
Merkmal
Koaxialkabel
Twisted-Pair-Kabel
Einsatz im modernen LAN
kaum noch üblich
sehr üblich
historische Bedeutung
hoch
heute Standard im LAN
typische Topologie früher
Bus
Stern
typische aktive Komponente
keine zentrale Switch-Struktur
Switch
Fehlersuche
oft schwieriger
meist einfacher
Flexibilität
geringer
höher
heutige Relevanz für LAN
eher historisch
sehr hoch
Wichtig:
Twisted Pair ist heute im Büro-LAN wesentlich wichtiger als Koaxialkabel.
Begriff: Stern-Topologie
Bei einer Stern-Topologie sind alle Endgeräte mit einem zentralen Gerät verbunden.
Typisch ist heute:
PC → Switch
Notebook → Switch
Drucker → Switch
Server → Switch
Vorteil:
Wenn ein einzelnes Kabel ausfällt,
ist meistens nur ein Gerät betroffen.
Das ist ein wichtiger Unterschied zur alten Bus-Topologie.
Merksatz:
Stern-Topologie = jedes Gerät hat eine eigene Verbindung zum zentralen Gerät.
Koaxialkabel außerhalb klassischer LANs
Auch wenn Koaxialkabel im modernen LAN kaum noch verwendet werden, gibt es weiterhin Einsatzbereiche.
Beispiele:
- Kabelfernsehen
- Antennentechnik
- Breitbandkabelanschlüsse
- Messtechnik
- teilweise Spezialtechnik
Wichtig:
Koaxialkabel sind nicht generell verschwunden.
Sie sind nur für moderne klassische Ethernet-LANs nicht mehr üblich.
Merksatz:
Koaxialkabel gibt es noch,
aber im modernen Büro-LAN ist Twisted Pair typischer.
Typische Fehler bei Koaxialnetzen
Bei alten Koaxialnetzen konnten schon kleine physische Probleme große Auswirkungen haben.
Mögliche Fehler:
- Kabelbruch
- lockerer Stecker
- fehlender Abschlusswiderstand
- beschädigte Leitung
- schlechte Abschirmung
- fehlerhafte Verbindung an einem Gerät
Besonders problematisch:
Bei einer Bus-Topologie kann ein Fehler auf der gemeinsamen Leitung das gesamte Segment betreffen.
Merksatz:
Bei Bus-Topologie kann ein Fehler viele Teilnehmer gleichzeitig stören.
Begriff: Abschlusswiderstand
Ein Abschlusswiderstand beendet eine Leitung elektrisch korrekt.
Bei alten Koaxial-Ethernet-Netzen waren Abschlusswiderstände wichtig, damit Signale nicht am Leitungsende reflektiert werden.
Fehlt der Abschluss, kann die Kommunikation gestört werden.
Merksatz:
Abschlusswiderstand = korrekter elektrischer Abschluss einer Leitung.
Einordnung in das Schichtenmodell
Koaxialkabel gehört nicht zu einer höheren Protokollschicht.
Es betrifft die physische Übertragung.
Thema
Einordnung
Koaxialkabel
Schicht 0 / Schicht 1
elektrische Signalübertragung
Schicht 1
Ethernet-Frame
Schicht 2
IP-Adresse
Schicht 3
TCP / UDP
Schicht 4
Wichtig:
Das Kabel selbst überträgt keine IP-Adressen oder Ports.
Es transportiert physische Signale.
Merksatz:
Kabel übertragen Signale,
nicht logisch selbst IP oder TCP.
Prüfungswissen
Für AP1 und AP2 solltest du zu Koaxialkabeln vor allem wissen:
- Koaxialkabel sind ältere Übertragungsmedien.
- Sie wurden früher für Ethernet in Bus-Topologien verwendet.
- 10BASE2 ist eine alte Ethernet-Variante mit 10 Mbit/s.
- Koaxialkabel sind im modernen LAN weitgehend veraltet.
- Moderne LANs nutzen meistens Twisted-Pair-Kabel oder Lichtwellenleiter.
- Koaxialkabel gehören fachlich zur physischen Übertragung.
- Bus-Topologien sind störanfälliger als moderne Stern-Topologien mit Switches.
Typische IHK-Fragen
In Prüfungen kann zum Beispiel gefragt werden:
- Welches Übertragungsmedium wurde früher bei Bus-Topologien eingesetzt?
- Was bedeutet 10BASE2?
- Warum sind Koaxialnetze heute weitgehend veraltet?
- Welche Topologie wurde bei alten Koaxial-Ethernet-Netzen verwendet?
- Welche Nachteile hat eine Bus-Topologie?
- Welche Verkabelung ist heute im LAN üblich?
- Auf welcher Ebene ist ein Koaxialkabel einzuordnen?
Typische Prüfungsfallen
Koaxialkabel sind nicht die heutige Standardverkabelung im LAN.
Koaxialkabel wurden historisch häufig mit Bus-Topologien verwendet.
Moderne Ethernet-LANs verwenden meist Twisted Pair und Switches.
10BASE2 bedeutet nicht 2 Mbit/s.
Die 10 steht für 10 Mbit/s.
BASE steht für Basisbandübertragung.
Koaxialkabel gehören zur physischen Übertragung,
nicht zu IP, TCP oder UDP.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Koaxialkabel
Kabel mit Innenleiter und Abschirmung
Bus-Topologie
mehrere Geräte teilen sich eine gemeinsame Leitung
Ethernet
LAN-Technik für lokale Netzwerke
10BASE2
alte Ethernet-Variante über dünnes Koaxialkabel mit 10 Mbit/s
10BASE5
alte Ethernet-Variante über dickes Koaxialkabel mit 10 Mbit/s
Basisband
Übertragungsverfahren, bei dem das Medium für ein digitales Signal genutzt wird
Abschlusswiderstand
elektrischer Abschluss einer Leitung
Twisted Pair
modernes Kupferkabel mit verdrillten Adernpaaren
Stern-Topologie
jedes Gerät ist mit einem zentralen Gerät verbunden
Switch
zentrales Gerät zur Weiterleitung im LAN anhand von MAC-Adressen
IHK-sichere Kurzformulierung
Koaxialkabel sind ältere Übertragungsmedien, die früher in Ethernet-Netzwerken mit Bus-Topologie eingesetzt wurden. Ein bekanntes Beispiel ist 10BASE2 mit 10 Mbit/s Übertragungsgeschwindigkeit. In modernen lokalen Netzwerken werden Koaxialkabel weitgehend nicht mehr verwendet. Stattdessen nutzt man meist Twisted-Pair-Kabel mit Switches in Stern-Topologie oder Lichtwellenleiter für höhere Reichweiten und Datenraten.
Merksätze
Koaxialkabel = ältere Ethernet-Verkabelung.
Koaxialkabel wurden früher bei Bus-Topologien genutzt.
10BASE2 = 10 Mbit/s, Basisband, altes Koaxial-Ethernet.
10BASE2 bedeutet nicht 2 Mbit/s.
BASE = Basisbandübertragung.
Bus-Topologie = gemeinsame Leitung.
Stern-Topologie = zentrale Verbindung über Switch.
Moderne LANs nutzen meistens Twisted Pair.
Koaxialkabel gehören zur physischen Übertragung.
Kabel übertragen Signale,
nicht selbst IP-Adressen oder Ports.
3.3 Twisted-Pair-Kabel
Twisted-Pair-Kabel
Twisted-Pair-Kabel sind heute die typische Kupferverkabelung in lokalen Netzwerken.
Sie werden häufig für Ethernet-Verbindungen im LAN eingesetzt.
Typische Beispiele:
PC → Netzwerkdose
Netzwerkdose → Patchfeld
Patchfeld → Switch
Server → Switch
Access Point → Switch
Twisted Pair bedeutet:
verdrilltes Adernpaar
Die Adern sind paarweise miteinander verdrillt, um Störungen zu verringern.
Begriff: Twisted Pair
Twisted Pair bedeutet auf Deutsch:
verdrilltes Adernpaar
Bei einem Twisted-Pair-Kabel sind jeweils zwei Adern miteinander verdrillt.
Ein typisches Netzwerkkabel besitzt:
8 Adern
4 Adernpaare
Diese verdrillten Adernpaare helfen dabei, elektromagnetische Störungen zu reduzieren.
Merksatz:
Twisted Pair = verdrillte Adernpaare zur störungsärmeren Datenübertragung.
Warum werden die Adern verdrillt?
Bei elektrischer Datenübertragung können Störungen entstehen.
Beispiele für Störquellen:
- Stromleitungen
- Netzteile
- Leuchtstofflampen
- Motoren
- andere Datenleitungen
- elektromagnetische Felder
Durch die Verdrillung der Adern wirken Störungen auf beide Adern eines Paares ähnlich ein.
Dadurch können Störeinflüsse besser unterdrückt werden.
Vereinfacht gesagt:
Die Verdrillung macht das Signal unempfindlicher gegen äußere Störungen.
Merksatz:
Verdrillung reduziert elektromagnetische Störeinflüsse.
Einsatz im LAN
Twisted-Pair-Kabel werden in modernen Ethernet-Netzwerken sehr häufig eingesetzt.
Typische Verwendung:
- Büroarbeitsplätze
- Schulungsräume
- Serverräume
- Netzwerkschränke
- Patchfelder
- Access Points
- Drucker
- VoIP-Telefone
- Kameras
- Heimnetzwerke
In der Praxis ist Twisted Pair die Standardverkabelung für viele kabelgebundene LAN-Verbindungen.
LAN steht für:
Local Area Network
Auf Deutsch:
lokales Netzwerk
Merksatz:
Twisted Pair ist die typische Kupferverkabelung im LAN.
Begriff: Ethernet über Twisted Pair
Ethernet ist eine weit verbreitete Netzwerktechnik für lokale Netzwerke.
Bei Ethernet über Twisted Pair werden Daten elektrisch über Kupferadern übertragen.
Typische Ethernet-Bezeichnungen:
Bezeichnung
Bedeutung
10BASE-T
10 Mbit/s über Twisted Pair
100BASE-TX
100 Mbit/s über Twisted Pair
1000BASE-T
1 Gbit/s über Twisted Pair
2.5GBASE-T
2,5 Gbit/s über Twisted Pair
5GBASE-T
5 Gbit/s über Twisted Pair
10GBASE-T
10 Gbit/s über Twisted Pair
Merksatz:
BASE-T steht bei Ethernet für Basisbandübertragung über Twisted Pair.
Aufbau eines typischen Netzwerkkabels
Ein typisches Twisted-Pair-Netzwerkkabel besteht aus:
- Außenmantel
- 4 verdrillten Adernpaaren
- insgesamt 8 Adern
- je nach Kabeltyp zusätzlicher Schirmung
- Stecker oder Anschlussmodul
Die 8 Adern werden je nach Ethernet-Standard unterschiedlich genutzt.
Wichtig:
Für moderne Gigabit-Verbindungen werden normalerweise alle 8 Adern genutzt.
Adernpaare
Ein Twisted-Pair-Kabel besitzt typischerweise vier Adernpaare.
Vereinfacht:
Adernpaar
Bedeutung
Paar 1
Datenübertragung
Paar 2
Datenübertragung
Paar 3
Datenübertragung
Paar 4
Datenübertragung
Bei älteren Ethernet-Varianten wurden nicht immer alle Adern genutzt.
Beispiel:
10BASE-T und 100BASE-TX nutzen typischerweise nur 4 Adern.
Bei 1000BASE-T werden alle 8 Adern verwendet.
Merksatz:
Gigabit-Ethernet über Kupfer nutzt alle 8 Adern.
Kabelkategorien
Twisted-Pair-Kabel werden in Kategorien eingeteilt.
Die Kategorie beschreibt die Leistungsfähigkeit des Kabels.
Typische Kategorien:
Kategorie
typische Einordnung
CAT 3
ältere Technik, zum Beispiel 10 Mbit/s
CAT 5
ältere Fast-Ethernet-Verkabelung
CAT 5e
Gigabit-Ethernet möglich
CAT 6
Gigabit-Ethernet und teilweise höhere Datenraten
CAT 6A
10-Gigabit-Ethernet bis 100 m
CAT 7
hochwertige geschirmte Verkabelung, häufig für 10-Gigabit-Umgebungen
CAT 8
sehr hohe Datenraten auf kurzen Strecken
Wichtig:
Die Kabelkategorie allein garantiert nicht automatisch die tatsächliche Verbindungsgeschwindigkeit.
Auch diese Komponenten müssen passen:
- Netzwerkkarte
- Switch-Port
- Patchkabel
- Verlegekabel
- Anschlussdose
- Patchfeld
- Kabellänge
- Qualität der Installation
Merksatz:
Die Verbindung ist nur so gut wie die gesamte Übertragungsstrecke.
CAT 3
CAT 3 ist eine ältere Kabelkategorie.
Typischer Bezug:
10BASE-T
Das bedeutet:
10 Mbit/s
Basisbandübertragung
Twisted Pair
Bei 10BASE-T werden typischerweise die Adern 1, 2, 3 und 6 genutzt.
Wichtig:
CAT 3 ist für moderne LAN-Installationen nicht mehr zeitgemäß.
Merksatz:
CAT 3 = alte Twisted-Pair-Verkabelung für niedrige Datenraten.
CAT 5
CAT 5 wurde häufig für Fast Ethernet eingesetzt.
Typischer Bezug:
100BASE-TX
Das bedeutet:
100 Mbit/s
Basisbandübertragung
Twisted Pair
Bei 100BASE-TX werden typischerweise die Adern 1, 2, 3 und 6 genutzt.
Wichtig:
CAT 5 ist heute weitgehend durch CAT 5e, CAT 6 oder höher ersetzt.
Merksatz:
CAT 5 = ältere Verkabelung für 100 Mbit/s.
CAT 5e
CAT 5e ist eine verbesserte Variante von CAT 5.
Das e steht für:
enhanced
Also:
verbessert
Typischer Bezug:
1000BASE-T
Das bedeutet:
1000 Mbit/s
1 Gbit/s
Basisbandübertragung
Twisted Pair
Bei 1000BASE-T werden alle 8 Adern genutzt.
Merksatz:
CAT 5e = Gigabit-Ethernet über Kupfer möglich.
CAT 6
CAT 6 ist eine häufige Kabelkategorie für moderne LAN-Verkabelung.
Typische Einsatzbereiche:
- 1 Gbit/s
- 2,5 Gbit/s
- 5 Gbit/s
- je nach Strecke und Installation auch höhere Anforderungen
CAT 6 bietet bessere Übertragungseigenschaften als CAT 5e.
Wichtig:
Die tatsächlich erreichbare Geschwindigkeit hängt von der gesamten Strecke und den eingesetzten Geräten ab.
Merksatz:
CAT 6 = moderne Kupferverkabelung mit Reserven gegenüber CAT 5e.
CAT 6A
CAT 6A ist für 10-Gigabit-Ethernet über Kupfer besonders wichtig.
Das A steht für:
augmented
Also:
erweitert
Typischer Bezug:
10GBASE-T
Das bedeutet:
10 Gbit/s
Basisbandübertragung
Twisted Pair
CAT 6A ist für 10GBASE-T bis 100 m vorgesehen, wenn die gesamte Strecke entsprechend ausgelegt ist.
Merksatz:
CAT 6A = wichtige Kategorie für 10-Gigabit-Ethernet bis 100 m.
CAT 7 und CAT 8
CAT 7 und CAT 8 sind Kategorien mit hohen Anforderungen an Schirmung und Übertragungseigenschaften.
CAT 7 wird in der Praxis häufig in hochwertiger Gebäudeverkabelung eingesetzt.
CAT 8 ist für sehr hohe Datenraten auf kurzen Strecken vorgesehen.
Wichtig fachlich:
Für die tatsächliche Nutzung hoher Datenraten müssen Kabel,
Stecker,
Patchfeld,
Dosen,
Switches
und Netzwerkkarten zusammenpassen.
Bei sehr hohen Datenraten wie 25 Gbit/s oder 40 Gbit/s über Kupfer sind die Strecken deutlich kürzer als bei klassischem 1-Gbit/s- oder 10-Gbit/s-Ethernet.
Merksatz:
CAT 7 / CAT 8 = hohe Anforderungen, aber die gesamte Strecke entscheidet.
RJ45-Stecker
RJ45 wird im Alltag häufig als Bezeichnung für den typischen Netzwerkstecker verwendet.
Typischer Einsatz:
- Patchkabel
- Netzwerkdosen
- Switch-Ports
- Netzwerkkarten
Wichtig:
Im Alltag sagt man meistens RJ45,
wenn der typische Ethernet-Stecker gemeint ist.
Für die Prüfung reicht in der Regel:
RJ45 = typischer Stecker für Ethernet über Twisted Pair
Merksatz:
RJ45 = typischer Netzwerkstecker im LAN.
Patchkabel
Ein Patchkabel ist ein flexibles Netzwerkkabel.
Es wird für kurze Verbindungen eingesetzt.
Beispiele:
PC → Netzwerkdose
Patchfeld → Switch
Server → Switch
Access Point → Netzwerkdose
Patchkabel sind beweglich und für häufigeres Umstecken geeignet.
Merksatz:
Patchkabel = flexible Netzwerkverbindung.
Verlegekabel
Ein Verlegekabel ist für die feste Installation vorgesehen.
Es liegt zum Beispiel:
- in Wänden
- in Decken
- in Kabelkanälen
- zwischen Netzwerkdose und Patchfeld
Verlegekabel sind normalerweise nicht dafür gedacht, ständig bewegt oder umgesteckt zu werden.
Merksatz:
Verlegekabel = fest installierte Gebäudeverkabelung.
Patchkabel und Verlegekabel im Vergleich
Kabelart
Aufgabe
Patchkabel
flexible Verbindung zwischen Gerät und Anschluss
Verlegekabel
feste Verbindung innerhalb der Gebäudeverkabelung
Typischer Datenweg im Büro:
PC
→ Patchkabel
→ Netzwerkdose
→ Verlegekabel
→ Patchfeld
→ Patchkabel
→ Switch
Merksatz:
Patchkabel verbindet flexibel.
Verlegekabel verbindet dauerhaft.
Schirmung bei Twisted-Pair-Kabeln
Twisted-Pair-Kabel können unterschiedlich geschirmt sein.
Schirmung schützt vor elektromagnetischen Störungen.
Typische Bezeichnungen:
Bezeichnung
Bedeutung
U/UTP
keine Gesamtschirmung, keine Paarschirmung
F/UTP
Folienschirm um alle Paare
U/FTP
Folienschirm um die einzelnen Paare
S/FTP
Geflechtschirm außen und Folienschirm um die Paare
Wichtig:
Je nach Umgebung kann geschirmtes Kabel sinnvoll oder notwendig sein.
Beispiele für störanfällige Umgebungen:
- Industrie
- Nähe zu starken Stromleitungen
- Maschinen
- lange Kabelwege
- viele parallel verlegte Leitungen
Merksatz:
Schirmung schützt vor elektromagnetischen Störungen.
Begriff: elektromagnetische Störung
Eine elektromagnetische Störung ist eine Beeinflussung eines Signals durch elektrische oder magnetische Felder.
Mögliche Ursachen:
- Stromkabel
- Motoren
- Netzteile
- Funkquellen
- Maschinen
- schlechte Abschirmung
Folge:
Das Signal kann gestört werden.
Es kann zu Fehlern, Wiederholungen oder schlechter Datenrate kommen.
Merksatz:
Störungen können den Durchsatz und die Stabilität verschlechtern.
Maximale Länge bei Kupfer-Ethernet
Für klassische Ethernet-Verbindungen über Twisted Pair gilt häufig als Orientierung:
maximal 100 m
Diese 100 m beziehen sich typischerweise auf die gesamte Strecke.
Beispiel:
Patchkabel
+ Verlegekabel
+ Patchkabel
= gesamte Verbindung
Wichtig:
Zu lange Kabelstrecken können zu Signalproblemen führen.
Merksatz:
Twisted Pair im LAN: häufig maximal 100 m.
Auto-Negotiation
Auto-Negotiation bedeutet, dass zwei Netzwerkgeräte automatisch aushandeln, mit welcher Geschwindigkeit und welchem Duplexmodus sie arbeiten.
Dabei können zum Beispiel ausgehandelt werden:
- 100 Mbit/s
- 1 Gbit/s
- 2,5 Gbit/s
- 5 Gbit/s
- 10 Gbit/s
- Halbduplex oder Vollduplex
Wichtig:
Wenn Kabel, Port oder Gegenstelle eine Geschwindigkeit nicht unterstützen,
wird eine niedrigere Geschwindigkeit ausgehandelt
oder es kommt keine stabile Verbindung zustande.
Merksatz:
Auto-Negotiation = automatische Aushandlung der Verbindungseigenschaften.
Duplexmodus
Der Duplexmodus beschreibt, in welche Richtung gleichzeitig übertragen werden kann.
Modus
Bedeutung
Halbduplex
Senden oder Empfangen, aber nicht gleichzeitig
Vollduplex
Senden und Empfangen gleichzeitig
Moderne geswitchte Ethernet-Verbindungen arbeiten normalerweise mit Vollduplex.
Merksatz:
Vollduplex = gleichzeitig senden und empfangen.
PoE über Twisted Pair
PoE steht für:
Power over Ethernet
PoE bedeutet, dass über ein Netzwerkkabel nicht nur Daten, sondern auch Strom übertragen werden.
Typische Geräte mit PoE:
- Access Points
- IP-Kameras
- VoIP-Telefone
- kleine Switches
- Sensoren
Wichtig:
Switch oder PoE-Injektor muss PoE unterstützen.
Das Endgerät muss PoE unterstützen.
Die Leistung muss zur Anforderung des Geräts passen.
Merksatz:
PoE = Stromversorgung über Netzwerkkabel.
Typische Fehler bei Twisted-Pair-Verbindungen
Mögliche Fehler:
- Kabel defekt
- falsche oder schlechte Crimpung
- Ader vertauscht
- zu lange Strecke
- falsche Kabelkategorie
- beschädigte Netzwerkdose
- defektes Patchfeld
- defekter Switch-Port
- schlechte Schirmung
- elektromagnetische Störungen
- nur 100 Mbit/s statt 1 Gbit/s wegen Aderproblem
Wichtig:
Wenn bei einer Verbindung nur 100 Mbit/s statt 1 Gbit/s ausgehandelt werden,
kann ein Problem mit einzelnen Adern oder der Verkabelung vorliegen.
Merksatz:
Gigabit benötigt alle 8 Adern.
Twisted Pair und Fehlersuche
Bei Problemen mit Twisted-Pair-Verkabelung prüft man zuerst die physische Verbindung.
Typische Fragen:
- Leuchtet die Link-LED?
- Wird die richtige Geschwindigkeit angezeigt?
- Ist das Kabel richtig gesteckt?
- Ist das Kabel beschädigt?
- Ist die Netzwerkdose korrekt aufgelegt?
- Ist das Patchfeld korrekt verbunden?
- Ist der richtige Switch-Port gepatcht?
- Unterstützen beide Geräte die gewünschte Geschwindigkeit?
Mögliche Werkzeuge:
- Kabeltester
- Netzwerktester
- Switch-Port-Anzeige
- Betriebssystemanzeige der Link-Geschwindigkeit
- Dokumentation der Patchfelder
Merksatz:
Bei Verkabelungsproblemen zuerst Link, Kabel, Dose, Patchfeld und Port prüfen.
Einordnung in das Schichtenmodell
Twisted-Pair-Kabel gehört zur physischen Infrastruktur.
Thema
Einordnung
Twisted-Pair-Kabel
Schicht 0 / Schicht 1
elektrische Signalübertragung
OSI-Schicht 1
Ethernet-Frame
OSI-Schicht 2
IP-Adresse
OSI-Schicht 3
TCP / UDP
OSI-Schicht 4
Wichtig:
Das Kabel selbst verarbeitet keine MAC-Adressen,
IP-Adressen oder Ports.
Es stellt nur den physischen Übertragungsweg bereit.
Merksatz:
Twisted Pair transportiert elektrische Signale.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was bedeutet Twisted Pair?
- Warum sind die Adern verdrillt?
- Wie viele Adern hat ein typisches Netzwerkkabel?
- Welche Kabelkategorien gibt es?
- Welche Kategorie eignet sich für 10GBASE-T?
- Warum garantiert die Kabelkategorie allein nicht die Geschwindigkeit?
- Was ist der Unterschied zwischen Patchkabel und Verlegekabel?
- Was bedeutet RJ45?
- Welche maximale Länge ist bei Twisted Pair im LAN typisch?
- Was bedeutet PoE?
- Warum kann eine Verbindung nur mit 100 Mbit/s statt 1 Gbit/s laufen?
Typische Prüfungsfallen
Twisted Pair bedeutet verdrilltes Adernpaar,
nicht einfach nur Netzwerkkabel.
Ein typisches Ethernet-Kupferkabel hat 8 Adern.
10BASE-T und 100BASE-TX nutzen typischerweise 4 Adern.
1000BASE-T nutzt alle 8 Adern.
CAT 6A ist wichtig für 10GBASE-T bis 100 m.
Die Kabelkategorie allein garantiert nicht die Geschwindigkeit.
Patchkabel und Verlegekabel sind nicht dasselbe.
RJ45 bezeichnet im Alltag den typischen Ethernet-Stecker.
Twisted Pair gehört zur physischen Übertragung,
nicht zu IP oder TCP.
PoE bedeutet Stromversorgung über das Netzwerkkabel.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Twisted Pair
verdrilltes Adernpaar
Adernpaar
zwei miteinander verdrillte Adern
CAT
Kategorie eines Netzwerkkabels
CAT 5e
Kategorie, die Gigabit-Ethernet ermöglicht
CAT 6
moderne LAN-Verkabelung mit besseren Eigenschaften als CAT 5e
CAT 6A
Kategorie für 10GBASE-T bis 100 m
RJ45
typischer Stecker für Ethernet über Twisted Pair
Patchkabel
flexibles Verbindungskabel
Verlegekabel
fest installiertes Kabel
Schirmung
Schutz gegen elektromagnetische Störungen
UTP
ungeschirmtes Twisted-Pair-Kabel
S/FTP
geschirmtes Kabel mit Geflecht- und Paarschirmung
Auto-Negotiation
automatische Aushandlung von Geschwindigkeit und Duplexmodus
Duplex
Übertragungsrichtung einer Verbindung
Vollduplex
gleichzeitiges Senden und Empfangen
PoE
Power over Ethernet, Stromversorgung über Netzwerkkabel
IHK-sichere Kurzformulierung
Twisted-Pair-Kabel sind Kupferkabel mit paarweise verdrillten Adern. Sie werden in modernen lokalen Netzwerken häufig für Ethernet-Verbindungen eingesetzt. Ein typisches Netzwerkkabel besitzt acht Adern beziehungsweise vier Adernpaare. Die Verdrillung reduziert elektromagnetische Störeinflüsse. Die Leistungsfähigkeit wird unter anderem durch die Kabelkategorie bestimmt, zum Beispiel CAT 5e, CAT 6 oder CAT 6A. Für Gigabit-Ethernet werden alle acht Adern genutzt. Für 10GBASE-T bis 100 m ist CAT 6A eine wichtige Kategorie. Die tatsächliche Verbindungsgeschwindigkeit hängt jedoch von der gesamten Übertragungsstrecke und den eingesetzten Geräten ab.
Merksätze
Twisted Pair = verdrillte Adernpaare.
Typisches Netzwerkkabel = 8 Adern = 4 Adernpaare.
Verdrillung reduziert elektromagnetische Störungen.
Twisted Pair überträgt elektrisch.
Twisted Pair ist die typische Kupferverkabelung im LAN.
10BASE-T = 10 Mbit/s über Twisted Pair.
100BASE-TX = 100 Mbit/s über Twisted Pair.
1000BASE-T = 1 Gbit/s über Twisted Pair.
10GBASE-T = 10 Gbit/s über Twisted Pair.
Gigabit-Ethernet nutzt alle 8 Adern.
CAT 5e = Gigabit möglich.
CAT 6 = moderne LAN-Verkabelung.
CAT 6A = wichtig für 10GBASE-T bis 100 m.
Patchkabel = flexibel.
Verlegekabel = fest installiert.
RJ45 = typischer Ethernet-Stecker.
PoE = Strom über Netzwerkkabel.
Die gesamte Strecke entscheidet über die erreichbare Verbindung.
3.4 Lichtwellenleiter LWL
Lichtwellenleiter werden in der Netzwerktechnik häufig mit LWL abgekürzt.
Andere Bezeichnungen sind:
Glasfaser
Glasfaserkabel
Fiber
Lichtwellenleiter übertragen Daten nicht elektrisch, sondern optisch.
Das bedeutet:
Die Daten werden mit Licht übertragen.
LWL wird besonders dort eingesetzt, wo hohe Datenraten, große Entfernungen oder eine störungsarme Übertragung wichtig sind.
Begriff: Lichtwellenleiter
Ein Lichtwellenleiter ist ein Übertragungsmedium, das Licht zur Datenübertragung verwendet.
Fachlich vereinfacht:
Ein Lichtwellenleiter führt Lichtsignale durch eine Faser.
Die Lichtsignale stehen dabei für digitale Informationen.
Wichtig:
LWL überträgt keine elektrischen Signale,
sondern optische Signale.
Merksatz:
LWL = Datenübertragung mit Licht.
Einordnung in das Schichtenmodell
Lichtwellenleiter gehören zur physischen Übertragung.
Thema
Einordnung
LWL-Kabel
Schicht 0 / Schicht 1
Lichtsignal
OSI-Schicht 1
Ethernet-Frame
OSI-Schicht 2
IP-Adresse
OSI-Schicht 3
TCP / UDP
OSI-Schicht 4
Wichtig:
Das Glasfaserkabel selbst verarbeitet keine IP-Adressen,
keine MAC-Adressen
und keine Ports.
Es stellt den physischen Übertragungsweg bereit.
Merksatz:
LWL gehört zur physischen Datenübertragung.
Warum verwendet man LWL?
Lichtwellenleiter haben gegenüber Kupferkabeln mehrere Vorteile.
Typische Vorteile:
- hohe Datenraten
- große Entfernungen
- geringe elektromagnetische Störempfindlichkeit
- keine elektrische Verbindung zwischen den Geräten
- gut geeignet für Backbone-Verbindungen
- gut geeignet für Gebäudeverbindungen
- gut geeignet für Provider- und WAN-Strecken
Besonders wichtig:
LWL ist unempfindlich gegenüber elektromagnetischen Störungen.
Das ist ein großer Vorteil gegenüber Kupferleitungen in störungsreichen Umgebungen.
Merksatz:
Glasfaser ist schnell, weitreichend und störungsarm.
Elektrisch versus optisch
Kupferkabel und LWL unterscheiden sich grundsätzlich in der Signalübertragung.
Medium
Signalart
Twisted-Pair-Kabel
elektrische Signale
Koaxialkabel
elektrische Signale
Lichtwellenleiter
Lichtsignale
WLAN
Funkwellen
Wichtig:
Kupfer = elektrisch
LWL = optisch
WLAN = Funk
Merksatz:
Kupfer sendet Stromsignale.
Glasfaser sendet Lichtsignale.
Aufbau eines Lichtwellenleiters
Ein Lichtwellenleiter besteht vereinfacht aus mehreren Bereichen.
Typischer Aufbau:
Kern
Mantel
Schutzschichten
Außenmantel
Der Kern führt das Licht.
Der Mantel sorgt dafür, dass das Licht in der Faser geführt wird.
Die Schutzschichten schützen die empfindliche Faser mechanisch.
Merksatz:
Der Kern führt das Licht.
Der Mantel hilft, das Licht in der Faser zu halten.
Begriff: Kern
Der Kern ist der innere Bereich der Glasfaser.
In diesem Bereich wird das Licht geführt.
Je nach Fasertyp ist der Kern unterschiedlich groß.
Typische Einordnung:
Fasertyp
Kerndurchmesser
Multimode
größerer Kern
Singlemode
kleinerer Kern
Merksatz:
Der Kern ist der Lichtweg in der Glasfaser.
Begriff: Mantel
Der Mantel umgibt den Kern.
Er sorgt durch seine optischen Eigenschaften dafür, dass das Licht im Kern geführt wird.
Vereinfacht gesagt:
Der Mantel verhindert,
dass das Licht einfach aus der Faser austritt.
Merksatz:
Der Mantel hält das Licht im Kern.
Multimode-LWL
Multimode-LWL ist ein Lichtwellenleiter mit größerem Kerndurchmesser.
Multimode bedeutet:
mehrere Lichtwege
Fachlich spricht man auch von:
Moden
Bei Multimode können sich mehrere Lichtwege gleichzeitig in der Faser ausbreiten.
Typische Eigenschaften:
- größerer Kerndurchmesser
- für kürzere bis mittlere Strecken
- häufig innerhalb von Gebäuden
- häufig im Campus- oder Rechenzentrumsumfeld
- aktive Technik oft günstiger als bei Singlemode
Merksatz:
Multimode = mehrere Lichtwege, eher kürzere Strecken.
Singlemode-LWL
Singlemode-LWL ist ein Lichtwellenleiter mit kleinerem Kerndurchmesser.
Singlemode bedeutet:
ein Lichtweg
Singlemode wird auch genannt:
Monomode
Typische Eigenschaften:
- kleinerer Kerndurchmesser
- für lange Strecken geeignet
- hohe Reichweiten möglich
- häufig bei Providerstrecken
- häufig bei WAN- und Backbone-Verbindungen
- sehr gute Übertragungseigenschaften über große Entfernungen
Merksatz:
Singlemode = ein Lichtweg, eher lange Strecken.
Multimode und Singlemode im Vergleich
Merkmal
Multimode
Singlemode
Lichtwege
mehrere Moden
eine Mode
Kerndurchmesser
größer
kleiner
typische Strecke
kürzer bis mittel
lang
Einsatz
Gebäude, Campus, Rechenzentrum
Provider, WAN, Backbone
aktive Technik
oft günstiger
oft teurer, aber sehr leistungsfähig
andere Bezeichnung
Mehrmodenfaser
Einmodenfaser / Monomode
IHK-tauglich vereinfacht:
Multimode wird eher für kürzere Strecken verwendet.
Singlemode wird eher für längere Strecken verwendet.
Begriff: Mode
Eine Mode beschreibt vereinfacht einen möglichen Lichtweg in der Glasfaser.
Bei Multimode gibt es mehrere Lichtwege.
Bei Singlemode gibt es im Idealfall nur einen hauptsächlichen Lichtweg.
Merksatz:
Mode = Lichtweg in der Glasfaser.
Warum ist Singlemode für längere Strecken geeignet?
Bei Multimode laufen mehrere Lichtwege durch die Faser.
Diese Lichtwege können unterschiedlich lange Wege nehmen.
Dadurch können Signale über längere Strecken stärker auseinanderlaufen.
Bei Singlemode gibt es im Wesentlichen nur einen Lichtweg.
Dadurch bleibt das Signal über größere Entfernungen besser erhalten.
Vereinfacht gesagt:
Weniger unterschiedliche Lichtwege bedeuten weniger Signalverzerrung.
Merksatz:
Singlemode ist für lange Strecken besser geeignet.
Begriff: Dämpfung
Dämpfung bedeutet, dass ein Signal auf dem Weg schwächer wird.
Bei LWL bedeutet das:
Das Lichtsignal wird über die Strecke schwächer.
Ursachen können sein:
- Länge der Glasfaser
- Steckverbindungen
- Spleiße
- Verschmutzung
- Biegeradius unterschritten
- falsche Faser
- falsches Modul
- beschädigte Faser
Merksatz:
Dämpfung = Signal wird schwächer.
Dämpfung bei LWL
Bei Lichtwellenleitern ist Dämpfung besonders wichtig, weil optische Signale eine bestimmte Mindeststärke haben müssen.
Wenn das Signal zu stark gedämpft wird, kann die Gegenstelle es nicht mehr sauber auswerten.
Typische Folgen:
- keine Verbindung
- instabile Verbindung
- Paketverluste
- niedriger Durchsatz
- Verbindungsabbrüche
Wichtig:
Auch Glasfaser ist nicht unbegrenzt lang nutzbar.
Die zulässige Strecke hängt von Faser, Modul, Wellenlänge und Dämpfungsbudget ab.
Merksatz:
Auch Licht wird auf dem Weg schwächer.
Begriff: Wellenlänge
Licht hat eine Wellenlänge.
In der Netzwerktechnik werden bei LWL bestimmte Wellenlängen verwendet.
Typische Bereiche sind zum Beispiel:
850 nm
1310 nm
1550 nm
nm steht für:
Nanometer
Diese Wellenlängen liegen im nicht sichtbaren Bereich.
Wichtig:
Man kann gefährliches Laserlicht nicht unbedingt sehen.
Merksatz:
LWL arbeitet mit bestimmten Lichtwellenlängen.
Sicherheitsregel bei LWL
Bei Glasfaser gilt eine sehr wichtige Sicherheitsregel:
Niemals direkt in eine Glasfaser oder in einen optischen Port schauen.
Grund:
Es kann unsichtbares Laserlicht austreten.
Auch wenn man kein Licht sieht, kann es gefährlich für die Augen sein.
Merksatz:
Niemals in Glasfaser oder optische Ports schauen.
Begriff: SX, LX und ZX
Bei Glasfaserverbindungen tauchen häufig Bezeichnungen wie SX, LX und ZX auf.
Sie stehen vereinfacht für unterschiedliche optische Varianten beziehungsweise Reichweitenbereiche.
Typische Zuordnung:
Bezeichnung
typischer Bezug
SX
eher kurze Strecken, häufig 850 nm
LX
längere Strecken, häufig um 1310 nm
ZX
sehr lange Strecken, häufig um 1550 nm
Wichtig:
Modul, Faserart und Gegenstelle müssen zusammenpassen.
Merksatz:
SX, LX und ZX beschreiben typische optische Varianten und Reichweitenbereiche.
SFP-Module bei LWL
Für Glasfaserverbindungen werden häufig SFP-Module verwendet.
SFP steht für:
Small Form-factor Pluggable
Ein SFP-Modul ist ein steckbares Transceiver-Modul.
Transceiver bedeutet:
Sender und Empfänger in einem Modul
Typische Varianten:
- SFP für 1 Gbit/s
- SFP+ für 10 Gbit/s
- SFP28 für 25 Gbit/s
- QSFP-Varianten für noch höhere Datenraten
Wichtig:
Das SFP-Modul muss zur Glasfaserstrecke passen.
Merksatz:
SFP = steckbares Modul für Netzwerkverbindungen.
LWL-Steckertypen
Bei Lichtwellenleitern gibt es verschiedene Steckertypen.
Häufige Beispiele:
- LC
- SC
- ST
In modernen Netzwerken ist LC sehr häufig, besonders bei SFP-Modulen.
Wichtig:
Stecker und Modul müssen zusammenpassen.
Verschmutzte Glasfaserstecker können starke Probleme verursachen.
Merksatz:
Glasfaserstecker müssen sauber und passend sein.
Begriff: Duplex bei LWL
Viele Glasfaserverbindungen verwenden zwei Fasern.
Eine Faser sendet in eine Richtung.
Die andere Faser sendet in die Gegenrichtung.
Das nennt man häufig Duplex-Verbindung.
Vereinfacht:
Faser 1: Senden
Faser 2: Empfangen
Wichtig:
TX und RX müssen richtig verbunden sein.
TX bedeutet:
Transmit
Also:
Senden
RX bedeutet:
Receive
Also:
Empfangen
Merksatz:
TX muss auf RX der Gegenstelle treffen.
Simplex und Duplex
Bei Glasfaser können die Begriffe Simplex und Duplex vorkommen.
Begriff
Bedeutung
Simplex
eine Faser oder eine Richtung
Duplex
zwei Richtungen beziehungsweise Senden und Empfangen
In der Praxis meint Duplex bei Glasfaser häufig:
zwei Fasern für eine Verbindung
Merksatz:
Duplex-LWL nutzt häufig zwei Fasern.
Medienkonverter
Ein Medienkonverter verbindet unterschiedliche Übertragungsmedien.
Typisches Beispiel:
Kupfer Ethernet ↔ Glasfaser
Einsatz:
Wenn ein Gerät nur RJ45-Kupfer hat,
die Strecke aber über LWL geführt werden soll.
Wichtig:
Der Medienkonverter ersetzt nicht IP, TCP oder Ethernet als Protokollstruktur.
Er wandelt das Übertragungsmedium.
Merksatz:
Medienkonverter = Übergang zwischen Kupfer und Glasfaser.
LWL im Vergleich zu Twisted Pair
Merkmal
Twisted Pair
LWL
Signalart
elektrisch
optisch
Medium
Kupfer
Glasfaser
typische LAN-Strecke
häufig bis 100 m
deutlich längere Strecken möglich
Störempfindlichkeit
anfällig für elektromagnetische Störungen
sehr unempfindlich gegen elektromagnetische Störungen
Stromübertragung
PoE möglich
keine Stromversorgung über die Faser
Installation
einfacher
empfindlicher und aufwendiger
Einsatz
Arbeitsplatzverkabelung
Backbone, Gebäudeverbindung, lange Strecken
Merksatz:
Kupfer ist einfach und praktisch.
Glasfaser ist schnell, weitreichend und störungsarm.
Wann nimmt man LWL statt Kupfer?
LWL ist besonders sinnvoll, wenn:
- die Strecke länger als typische Kupfergrenzen ist
- hohe Datenraten benötigt werden
- starke elektromagnetische Störungen auftreten können
- Gebäude miteinander verbunden werden
- ein Backbone aufgebaut wird
- elektrische Trennung gewünscht ist
- viele Daten über zentrale Strecken laufen
Typische Beispiele:
Serverraum ↔ Etagenverteiler
Gebäude A ↔ Gebäude B
Core-Switch ↔ Distribution-Switch
Provider ↔ Kundenanschluss
Rechenzentrum ↔ Rechenzentrum
Merksatz:
LWL wird oft für Backbone und längere Strecken eingesetzt.
Begriff: Backbone
Ein Backbone ist ein leistungsfähiger Hauptübertragungsweg in einem Netzwerk.
Er verbindet wichtige Netzbereiche miteinander.
Beispiele:
- mehrere Etagenverteiler
- mehrere Gebäude
- zentrale Switches
- Rechenzentrumsbereiche
Backbone-Verbindungen müssen oft besonders leistungsfähig und zuverlässig sein.
Merksatz:
Backbone = leistungsfähiges Rückgrat des Netzwerks.
Begriff: Biegeradius
Der Biegeradius beschreibt, wie stark ein Kabel gebogen werden darf.
Bei LWL ist das besonders wichtig.
Wenn Glasfaser zu stark gebogen wird, kann das Licht schlechter geführt werden.
Folgen:
- höhere Dämpfung
- instabile Verbindung
- Signalverlust
- beschädigte Faser
Merksatz:
Glasfaser nicht zu stark knicken oder biegen.
Begriff: Spleiß
Ein Spleiß ist eine dauerhafte Verbindung von zwei Glasfasern.
Spleiße werden häufig mit speziellen Geräten hergestellt.
Ziel:
zwei Faserenden möglichst verlustarm verbinden
Wichtig:
Ein schlechter Spleiß kann zusätzliche Dämpfung verursachen.
Merksatz:
Spleiß = feste Verbindung zweier Glasfasern.
Typische Fehler bei LWL-Verbindungen
Mögliche Fehler:
- falsches SFP-Modul
- falscher Fasertyp
- Multimode und Singlemode verwechselt
- TX und RX vertauscht
- verschmutzte Stecker
- beschädigte Faser
- zu enger Biegeradius
- zu hohe Dämpfung
- falsche Wellenlänge
- Gegenstelle unterstützt Modul nicht
Wichtig:
Bei LWL-Problemen müssen Modul, Faser, Stecker, Dämpfung und Gegenstelle zusammen betrachtet werden.
Merksatz:
Bei Glasfaser muss die gesamte optische Strecke zusammenpassen.
Fehlersuche bei LWL
Bei Problemen mit LWL-Verbindungen prüft man zum Beispiel:
- Ist das richtige Modul eingesetzt?
- Passen Multimode oder Singlemode?
- Passen Wellenlänge und Reichweite?
- Sind TX und RX richtig gesteckt?
- Sind die Stecker sauber?
- Ist der Biegeradius eingehalten?
- Ist die Strecke zu lang?
- Wird am Switch ein Link angezeigt?
- Unterstützt die Gegenstelle das Modul?
Mögliche Werkzeuge:
- optischer Leistungsmesser
- LWL-Tester
- Sichtprüfung der Patchung
- Switch-Status
- Dokumentation der Strecke
Wichtig:
Nicht mit dem Auge prüfen, ob Licht aus der Faser kommt.
Merksatz:
LWL prüfen ja,
aber niemals in die Faser schauen.
LWL und PoE
Über Glasfaser wird kein Strom für Endgeräte übertragen.
Das bedeutet:
PoE funktioniert über LWL nicht direkt.
PoE steht für:
Power over Ethernet
PoE ist typisch bei Twisted-Pair-Kupferverkabelung.
Wenn ein Gerät über Glasfaser angebunden wird, braucht es eine eigene Stromversorgung oder zusätzliche Technik.
Merksatz:
Glasfaser überträgt Licht,
aber keinen PoE-Strom.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was bedeutet LWL?
- Welche Signalart nutzt LWL?
- Was ist der Unterschied zwischen Multimode und Singlemode?
- Wann verwendet man Singlemode?
- Wann verwendet man Multimode?
- Warum ist LWL unempfindlich gegen elektromagnetische Störungen?
- Was bedeutet Dämpfung?
- Warum darf man nicht in eine Glasfaser schauen?
- Was ist ein SFP-Modul?
- Was macht ein Medienkonverter?
- Warum ist LWL für lange Strecken geeignet?
- Warum funktioniert PoE nicht direkt über Glasfaser?
Typische Prüfungsfallen
LWL überträgt optisch,
nicht elektrisch.
LWL ist Glasfaser,
nicht Kupfer.
Multimode und Singlemode sind nicht beliebig austauschbar.
Multimode ist eher für kürzere Strecken.
Singlemode ist eher für längere Strecken.
SFP-Modul, Faserart und Gegenstelle müssen zusammenpassen.
Über Glasfaser funktioniert PoE nicht direkt.
Niemals direkt in Glasfaser oder optische Ports schauen.
Ein Link-Problem bei LWL kann durch TX/RX-Vertauschung entstehen.
Verschmutzte Stecker können starke Dämpfung verursachen.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
LWL
Lichtwellenleiter, optische Datenübertragung
Glasfaser
Übertragungsmedium aus lichtleitender Faser
optisches Signal
Signalübertragung mit Licht
Multimode
Glasfaser mit mehreren Lichtwegen, eher kürzere Strecken
Singlemode
Glasfaser mit einem Lichtweg, eher lange Strecken
Monomode
andere Bezeichnung für Singlemode
Mode
Lichtweg in einer Glasfaser
Dämpfung
Abschwächung eines Signals
Wellenlänge
Eigenschaft des verwendeten Lichts, z. B. 850 nm oder 1310 nm
SFP
steckbares Transceiver-Modul
Transceiver
Sender und Empfänger in einem Gerät oder Modul
Medienkonverter
verbindet unterschiedliche Übertragungsmedien
TX
Senden
RX
Empfangen
Duplex
Senden und Empfangen, bei LWL oft über zwei Fasern
Backbone
leistungsfähiger Hauptübertragungsweg im Netzwerk
Biegeradius
zulässige Biegung eines Kabels
Spleiß
feste Verbindung zweier Glasfasern
IHK-sichere Kurzformulierung
Lichtwellenleiter, kurz LWL, übertragen Daten optisch mit Licht. Sie werden besonders für hohe Datenraten, lange Strecken und störungsarme Verbindungen eingesetzt. Man unterscheidet vor allem Multimode- und Singlemode-Fasern. Multimode-Fasern werden eher für kürzere Strecken eingesetzt, Singlemode-Fasern eher für längere Strecken. LWL ist unempfindlich gegenüber elektromagnetischen Störungen, erfordert aber passende Module, passende Faserarten und saubere Steckverbindungen. Bei Glasfaser darf niemals direkt in die Faser oder in optische Ports geschaut werden.
Merksätze
LWL = Lichtwellenleiter.
Glasfaser überträgt optisch.
Kupfer überträgt elektrisch.
WLAN überträgt per Funk.
Multimode = mehrere Lichtwege.
Singlemode = ein Lichtweg.
Multimode = eher kürzere Strecken.
Singlemode = eher lange Strecken.
Monomode = andere Bezeichnung für Singlemode.
Dämpfung = Signal wird schwächer.
SFP = steckbares Transceiver-Modul.
TX = Senden.
RX = Empfangen.
TX muss auf RX der Gegenstelle treffen.
Medienkonverter = Übergang zwischen Kupfer und Glasfaser.
LWL ist gut für Backbone und Gebäudeverbindungen.
PoE funktioniert nicht direkt über Glasfaser.
Niemals in Glasfaser oder optische Ports schauen.
Bei LWL muss die gesamte optische Strecke zusammenpassen.
3.5 Dämpfung und Signalqualität
Dämpfung beschreibt die Abschwächung eines Signals auf dem Übertragungsweg.
Fachlich gesagt:
Dämpfung bedeutet,
dass die Signalstärke zwischen Sender und Empfänger abnimmt.
Vereinfacht gesagt:
Das Signal wird auf dem Weg schwächer.
Dämpfung gibt es bei verschiedenen Übertragungsmedien:
- Kupferkabel
- Lichtwellenleiter
- WLAN-Funkstrecken
Besonders wichtig ist der Begriff bei Lichtwellenleitern, weil dort das Lichtsignal über die Strecke schwächer wird.
Begriff: Dämpfung
Dämpfung ist das Gegenteil von Verstärkung.
Verstärkung bedeutet:
Ein Signal wird stärker.
Dämpfung bedeutet:
Ein Signal wird schwächer.
Je stärker die Dämpfung ist, desto schwächer kommt das Signal beim Empfänger an.
Merksatz:
Dämpfung = Signalverlust auf dem Übertragungsweg.
Warum ist Dämpfung wichtig?
Ein Empfänger kann ein Signal nur korrekt auswerten, wenn es stark genug und sauber genug ankommt.
Wenn die Dämpfung zu hoch ist, kann es zu Problemen kommen.
Typische Folgen:
- keine Verbindung
- instabile Verbindung
- Paketverluste
- Verbindungsabbrüche
- niedriger Durchsatz
- häufige Wiederholungen
- Fehler bei der Datenübertragung
Wichtig:
Eine Verbindung kann physisch vorhanden sein,
aber trotzdem schlecht funktionieren,
wenn die Signalqualität nicht ausreicht.
Merksatz:
Link vorhanden bedeutet nicht automatisch gute Signalqualität.
Signalqualität
Signalqualität beschreibt, wie gut ein Signal beim Empfänger ankommt.
Dabei geht es nicht nur darum, ob überhaupt ein Signal vorhanden ist.
Wichtig sind auch:
- Signalstärke
- Störungen
- Dämpfung
- Rauschen
- Reflexionen
- saubere Steckverbindungen
- passende Übertragungsstrecke
Eine schlechte Signalqualität kann dazu führen, dass Daten erneut übertragen werden müssen oder Verbindungen abbrechen.
Merksatz:
Signalqualität = wie sauber und nutzbar ein Signal ankommt.
Dämpfung bei Kupferkabeln
Bei Kupferkabeln werden Daten elektrisch übertragen.
Das elektrische Signal wird mit zunehmender Kabellänge schwächer.
Typische Ursachen für Dämpfung oder schlechte Signalqualität bei Kupfer:
- zu lange Kabelstrecke
- schlechte Kabelqualität
- falsche Kabelkategorie
- beschädigte Adern
- schlechte Steckverbindungen
- schlechte Crimpung
- elektromagnetische Störungen
- zu enge Biegeradien
- falsche oder beschädigte Netzwerkdosen
Wichtig:
Bei Twisted-Pair-Ethernet ist die typische maximale Streckenlänge häufig 100 m.
Merksatz:
Bei Kupfer wird das elektrische Signal über die Strecke schwächer.
Dämpfung bei Lichtwellenleitern
Bei Lichtwellenleitern werden Daten optisch übertragen.
Das Lichtsignal wird auf dem Weg durch die Faser schwächer.
Typische Ursachen für Dämpfung bei LWL:
- Länge der Glasfaser
- Steckverbindungen
- Spleiße
- verschmutzte Stecker
- beschädigte Faser
- zu enger Biegeradius
- falsche Faserart
- falsches SFP-Modul
- falsche Wellenlänge
Wichtig:
Glasfaser ist sehr leistungsfähig,
aber empfindlich gegenüber Verschmutzung,
Knicken und falscher Komponentenwahl.
Merksatz:
Bei LWL wird das Lichtsignal über die Strecke schwächer.
Dämpfung bei WLAN
Bei WLAN werden Daten per Funk übertragen.
Das Funksignal wird durch Entfernung, Hindernisse und Störungen schwächer.
Typische Ursachen für schlechte WLAN-Signalqualität:
- große Entfernung zum Access Point
- Wände und Decken
- Metallflächen
- andere WLAN-Netze
- Bluetooth-Geräte
- Mikrowellen
- ungünstige Antennenposition
- zu viele Clients
- falsche Kanalwahl
Wichtig:
WLAN ist flexibler als Kabel,
aber stärker von der Umgebung abhängig.
Merksatz:
WLAN-Signalqualität hängt stark von Umgebung und Entfernung ab.
Begriff: Störung
Eine Störung ist eine unerwünschte Beeinflussung eines Signals.
Störungen können dazu führen, dass Daten fehlerhaft oder unvollständig übertragen werden.
Beispiele für Störquellen:
- Stromleitungen
- Motoren
- Netzteile
- Maschinen
- Funkquellen
- andere Netzwerkkabel
- defekte Komponenten
- schlechte Abschirmung
Merksatz:
Störungen verschlechtern die Signalqualität.
Begriff: Rauschen
Rauschen ist ein unerwünschtes Signal, das die eigentliche Datenübertragung überlagern kann.
Vereinfacht gesagt:
Das Nutzsignal wird durch unerwünschte Signale gestört.
Je stärker das Rauschen im Verhältnis zum Nutzsignal ist, desto schwieriger ist die Auswertung.
Merksatz:
Rauschen macht das Nutzsignal schwerer erkennbar.
Begriff: Reflexion
Reflexion bedeutet, dass ein Teil des Signals zurückgeworfen wird.
Reflexionen können bei elektrischen, optischen und Funk-Signalen auftreten.
Mögliche Ursachen:
- schlechte Steckverbindungen
- beschädigte Kabel
- falsche Abschlussbedingungen
- Knicke oder Fehler in der Glasfaser
- Hindernisse bei Funkverbindungen
Reflexionen können die Signalqualität verschlechtern.
Merksatz:
Reflexion = Signalanteile werden zurückgeworfen.
Begriff: Biegeradius
Der Biegeradius beschreibt, wie stark ein Kabel gebogen werden darf.
Besonders wichtig ist das bei Lichtwellenleitern.
Wenn ein Kabel zu stark gebogen wird, kann das Signal schlechter übertragen werden.
Folgen:
- höhere Dämpfung
- instabile Verbindung
- Signalverlust
- beschädigtes Kabel
Merksatz:
Kabel nicht zu stark knicken oder biegen.
Begriff: Spleiß
Ein Spleiß ist eine feste Verbindung zwischen zwei Glasfasern.
Spleiße werden verwendet, um Glasfaserstrecken dauerhaft miteinander zu verbinden.
Ein schlechter Spleiß kann zusätzliche Dämpfung verursachen.
Merksatz:
Spleiß = feste Verbindung zweier Glasfasern.
Begriff: Steckverbindung
Eine Steckverbindung verbindet zwei Netzwerkkomponenten oder Kabelabschnitte miteinander.
Beispiele:
- RJ45-Stecker
- Netzwerkdose
- Patchfeld
- LC-Stecker
- SC-Stecker
- SFP-Modul
Schlechte oder verschmutzte Steckverbindungen können die Signalqualität verschlechtern.
Besonders bei LWL gilt:
Glasfaserstecker müssen sauber sein.
Merksatz:
Schlechte Steckverbindungen verursachen oft Signalprobleme.
Dämpfung und Dezibel
Dämpfung wird häufig in Dezibel angegeben.
Die Abkürzung lautet:
dB
Dezibel beschreibt ein Verhältnis.
Im Netzwerkbereich wird dB zum Beispiel verwendet, um Signalverluste oder Signalverhältnisse zu beschreiben.
Wichtig:
Ein höherer Dämpfungswert bedeutet mehr Signalverlust.
Merksatz:
dB beschreibt ein Verhältnis,
nicht einfach eine normale Längeneinheit.
Dämpfung bei LWL und Wellenlänge
Bei Lichtwellenleitern hängt die Dämpfung auch von der verwendeten Wellenlänge ab.
Typische Wellenlängenbereiche in der Netzwerktechnik sind:
850 nm
1310 nm
1550 nm
nm steht für:
Nanometer
Wichtig:
Die passende Wellenlänge hängt von Modul,
Faserart
und Strecke ab.
Merksatz:
LWL-Komponenten müssen zur Wellenlänge und Faserart passen.
Begriff: Dämpfungsbudget
Das Dämpfungsbudget beschreibt, wie viel Signalverlust eine optische Verbindung insgesamt maximal verträgt.
Dabei werden alle Verluste zusammengerechnet.
Dazu gehören zum Beispiel:
- Faserlänge
- Steckverbindungen
- Spleiße
- Patchkabel
- Verschmutzung
- Sicherheitsreserve
Wenn die tatsächliche Dämpfung größer ist als erlaubt, funktioniert die Verbindung nicht zuverlässig.
Merksatz:
Dämpfungsbudget = maximal zulässiger Signalverlust einer Strecke.
Begriff: Signalstärke
Signalstärke beschreibt, wie stark ein Signal beim Empfänger ankommt.
Bei guter Signalstärke kann der Empfänger die Daten sauber erkennen.
Bei zu geringer Signalstärke entstehen Fehler.
Merksatz:
Signalstärke = wie kräftig das Signal ankommt.
Begriff: Signal-Rausch-Abstand
Der Signal-Rausch-Abstand beschreibt das Verhältnis zwischen Nutzsignal und Störsignal.
Fachlich wird häufig auch die Abkürzung verwendet:
SNR
SNR steht für:
Signal-to-Noise Ratio
Je größer der Abstand zwischen Nutzsignal und Rauschen ist, desto besser kann der Empfänger das Signal auswerten.
Merksatz:
Hoher Signal-Rausch-Abstand = bessere Signalqualität.
Dämpfung und Datenrate
Hohe Datenraten stellen höhere Anforderungen an die Übertragungsstrecke.
Beispiel:
1 Gbit/s ist oft weniger anspruchsvoll als 10 Gbit/s.
Je höher die Datenrate, desto wichtiger werden:
- Kabelqualität
- Kategorie
- Schirmung
- Länge
- Steckverbindungen
- saubere Installation
Wichtig:
Eine Strecke kann für 1 Gbit/s funktionieren,
aber für 10 Gbit/s ungeeignet sein.
Merksatz:
Höhere Datenrate = höhere Anforderungen an die Strecke.
Dämpfung und Kabellänge
Je länger eine Übertragungsstrecke ist, desto stärker kann die Dämpfung werden.
Das gilt für:
- Kupferkabel
- Glasfaser
- Funkstrecken
Beispiele:
Bei Kupfer-Ethernet ist häufig 100 m eine wichtige Orientierung.
Bei LWL hängt die Reichweite stark von Faserart und Modul ab.
Bei WLAN nimmt die Signalqualität mit Entfernung und Hindernissen ab.
Merksatz:
Länge erhöht meist die Dämpfung.
Dämpfung und Fehlersuche
Dämpfungsprobleme erkennt man nicht immer sofort.
Manchmal ist ein Link vorhanden, aber die Verbindung ist instabil.
Typische Hinweise:
- Verbindung bricht ab
- Geschwindigkeit wird niedriger ausgehandelt
- viele Fehler am Switch-Port
- Paketverluste
- hohe Latenz
- schlechter Durchsatz
- nur 100 Mbit/s statt 1 Gbit/s
- kein Link bei LWL
- Link nur auf einer Seite sichtbar
Merksatz:
Instabile Verbindung kann ein Hinweis auf schlechte Signalqualität sein.
Fehlersuche bei Kupfer
Bei Kupferverbindungen prüft man zum Beispiel:
- Kabel richtig gesteckt?
- Link-LED vorhanden?
- richtige Geschwindigkeit ausgehandelt?
- Kabel beschädigt?
- richtige Kabelkategorie?
- Kabellänge eingehalten?
- Dose korrekt aufgelegt?
- Patchfeld korrekt verbunden?
- Switch-Port in Ordnung?
- starke Störquellen in der Nähe?
Mögliche Werkzeuge:
- Kabeltester
- Netzwerktester
- Switch-Port-Statistik
- Betriebssystemanzeige der Link-Geschwindigkeit
Merksatz:
Bei Kupfer zuerst Kabel, Dose, Patchfeld und Port prüfen.
Fehlersuche bei LWL
Bei Glasfaserverbindungen prüft man zum Beispiel:
- richtiges SFP-Modul?
- richtige Faserart?
- Multimode oder Singlemode passend?
- TX und RX richtig gesteckt?
- Stecker sauber?
- Biegeradius eingehalten?
- Strecke zu lang?
- Dämpfungsbudget eingehalten?
- Gegenstelle kompatibel?
- Link am Switch sichtbar?
Wichtig:
Niemals direkt in eine Glasfaser oder in einen optischen Port schauen.
Merksatz:
Bei LWL müssen Modul, Faser, Stecker und Strecke zusammenpassen.
Fehlersuche bei WLAN
Bei WLAN-Problemen prüft man zum Beispiel:
- Signalstärke ausreichend?
- Entfernung zum Access Point zu groß?
- Hindernisse vorhanden?
- richtiger WLAN-Standard?
- richtiger Frequenzbereich?
- Kanal überlastet?
- zu viele Clients?
- Störungen durch andere Geräte?
- Access Point richtig positioniert?
Mögliche Werkzeuge:
- WLAN-Analyse-App
- Controller-Ansicht
- Access-Point-Statistik
- Speedtest im lokalen Netzwerk
- Ping und Paketverlustmessung
Merksatz:
WLAN-Probleme sind oft Umgebungsprobleme.
Signalqualität und Fehlereingrenzung nach Schichten
Dämpfung und Signalqualität betreffen vor allem die unteren Schichten.
Problem
typische Einordnung
Kabel defekt
Schicht 0 / 1
schlechte Steckverbindung
Schicht 0 / 1
Glasfaser verschmutzt
Schicht 0 / 1
WLAN-Signal zu schwach
Schicht 1 / 2
Link vorhanden, aber viele Fehler
Schicht 1 / 2
IP-Adresse falsch
Schicht 3
Port blockiert
Schicht 4
Anwendung antwortet nicht
Schicht 7
Wichtig:
Fehler auf den unteren Schichten können alle oberen Schichten beeinflussen.
Merksatz:
Bei Signalproblemen zuerst unten im Schichtenmodell suchen.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was bedeutet Dämpfung?
- Warum ist Dämpfung bei LWL wichtig?
- Was bedeutet dB?
- Welche Ursachen kann schlechte Signalqualität haben?
- Warum darf eine Glasfaser nicht zu stark gebogen werden?
- Was ist ein Dämpfungsbudget?
- Warum können verschmutzte LWL-Stecker Probleme verursachen?
- Warum ist WLAN stärker von der Umgebung abhängig?
- Warum ist Bandbreite nicht dasselbe wie Durchsatz?
- Wie kann man eine instabile Verbindung systematisch prüfen?
Typische Prüfungsfallen
Dämpfung bedeutet nicht Verstärkung,
sondern Abschwächung.
Ein vorhandener Link bedeutet nicht automatisch gute Signalqualität.
Dämpfung gibt es nicht nur bei LWL,
sondern auch bei Kupfer und Funk.
Bei LWL können verschmutzte Stecker starke Probleme verursachen.
Bei Glasfaser niemals direkt in die Faser oder in optische Ports schauen.
Höhere Datenraten stellen höhere Anforderungen an die Strecke.
Eine Verbindung kann für 1 Gbit/s funktionieren,
aber für 10 Gbit/s ungeeignet sein.
WLAN-Probleme liegen oft an Umgebung,
Entfernung,
Störungen
oder Auslastung.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Dämpfung
Abschwächung eines Signals
Verstärkung
Erhöhung der Signalstärke
Signalqualität
Güte eines empfangenen Signals
Signalstärke
Stärke des Signals beim Empfänger
Störung
unerwünschte Beeinflussung eines Signals
Rauschen
unerwünschtes Signal, das das Nutzsignal überlagert
Reflexion
Zurückwerfen von Signalanteilen
dB
Dezibel, Angabe eines Verhältnisses
Wellenlänge
Eigenschaft des verwendeten Lichts bei LWL
Dämpfungsbudget
maximal zulässiger Signalverlust einer Strecke
Biegeradius
zulässige Biegung eines Kabels
Spleiß
feste Verbindung zweier Glasfasern
SNR
Signal-Rausch-Abstand
Link
aktive physische Verbindung
Durchsatz
tatsächlich erreichte Datenrate
IHK-sichere Kurzformulierung
Dämpfung bezeichnet die Abschwächung eines Signals auf dem Übertragungsweg. Sie kann bei Kupferkabeln, Lichtwellenleitern und Funkverbindungen auftreten. Bei Lichtwellenleitern bedeutet Dämpfung, dass das Lichtsignal über die Strecke schwächer wird. Ursachen können zum Beispiel Leitungslänge, Steckverbindungen, Spleiße, Verschmutzung oder ein zu enger Biegeradius sein. Eine zu hohe Dämpfung oder schlechte Signalqualität kann zu Verbindungsabbrüchen, Paketverlusten oder geringem Durchsatz führen.
Merksätze
Dämpfung = Signal wird schwächer.
Verstärkung = Signal wird stärker.
Signalqualität = wie gut das Signal ankommt.
Link vorhanden bedeutet nicht automatisch gute Signalqualität.
Dämpfung gibt es bei Kupfer, Glasfaser und Funk.
Bei LWL wird das Lichtsignal schwächer.
Bei Kupfer wird das elektrische Signal schwächer.
Bei WLAN wird das Funksignal schwächer.
dB beschreibt ein Verhältnis.
Dämpfungsbudget = maximal zulässiger Signalverlust.
Schlechte Steckverbindungen verursachen oft Signalprobleme.
Verschmutzte LWL-Stecker können starke Dämpfung verursachen.
Glasfaser nicht knicken.
Niemals in Glasfaser oder optische Ports schauen.
Höhere Datenraten brauchen bessere Strecken.
Bei Signalproblemen zuerst die unteren Schichten prüfen.
3.6 Strukturierte Verkabelung
Strukturierte Verkabelung bezeichnet eine geplante, einheitliche und dauerhaft nutzbare Netzwerkverkabelung innerhalb eines Gebäudes oder Standorts.
Ziel ist:
Netzwerkanschlüsse übersichtlich,
erweiterbar,
wartbar
und dokumentierbar aufzubauen.
Eine strukturierte Verkabelung ist besonders wichtig in:
- Bürogebäuden
- Schulen
- Rechenzentren
- Werkstätten
- Industrieumgebungen
- größeren Heim- oder Homelab-Netzwerken
Begriff: strukturierte Verkabelung
Strukturierte Verkabelung bedeutet, dass Netzwerkleitungen nicht zufällig verlegt werden, sondern nach einem festen Konzept.
Dabei werden Netzwerkdosen, Verlegekabel, Patchfelder und Switches systematisch miteinander verbunden.
Vereinfacht gesagt:
Jede Netzwerkdose im Raum führt über ein fest verlegtes Kabel
zu einem Patchfeld im Netzwerkschrank.
Von dort wird die Verbindung mit Patchkabeln zum Switch hergestellt.
Merksatz:
Strukturierte Verkabelung = geplante und übersichtliche Gebäudeverkabelung.
Warum braucht man strukturierte Verkabelung?
Ohne strukturierte Verkabelung entsteht schnell Chaos.
Beispiele:
- Kabel liegen ungeordnet herum.
- Anschlüsse sind nicht dokumentiert.
- Fehler sind schwer zu finden.
- Erweiterungen werden unübersichtlich.
- Räume können nicht flexibel genutzt werden.
- Switch-Ports und Netzwerkdosen sind schwer zuzuordnen.
Strukturierte Verkabelung sorgt dafür, dass Netzwerkanschlüsse sauber geplant und verwaltet werden können.
Vorteile:
- bessere Übersicht
- einfachere Fehlersuche
- saubere Dokumentation
- leichtere Erweiterung
- flexible Nutzung von Anschlüssen
- bessere Wartbarkeit
- klare Trennung von fester Verkabelung und flexibler Patchung
Merksatz:
Strukturierte Verkabelung macht Netzwerke planbar und wartbar.
Grundaufbau
Ein typischer Aufbau sieht vereinfacht so aus:
Endgerät
→ Patchkabel
→ Netzwerkdose
→ Verlegekabel
→ Patchfeld
→ Patchkabel
→ Switch
Beispiel:
PC im Büro
→ Patchkabel
→ Netzwerkdose im Raum
→ festes Verlegekabel in der Wand
→ Patchfeld im Netzwerkschrank
→ Patchkabel zum Switch
→ Netzwerk
Wichtig:
Die feste Gebäudeverkabelung endet meistens am Patchfeld.
Die flexible Zuordnung erfolgt mit Patchkabeln.
Begriff: Netzwerkdose
Eine Netzwerkdose ist der Anschluss im Raum, an den ein Endgerät angeschlossen wird.
Typische Geräte an einer Netzwerkdose:
- PC
- Notebook-Dockingstation
- Drucker
- VoIP-Telefon
- Access Point
- IP-Kamera
Die Netzwerkdose ist mit einem fest verlegten Kabel mit dem Patchfeld verbunden.
Merksatz:
Netzwerkdose = Netzwerkanschluss im Raum.
Begriff: Verlegekabel
Ein Verlegekabel ist ein fest installiertes Netzwerkkabel.
Es liegt zum Beispiel:
- in Wänden
- in Decken
- in Kabelkanälen
- unter Doppelböden
- zwischen Etagenverteiler und Netzwerkdose
Verlegekabel sind nicht dafür gedacht, ständig bewegt oder umgesteckt zu werden.
Sie verbinden meist:
Netzwerkdose ↔ Patchfeld
Merksatz:
Verlegekabel = fest installierte Leitung in der Gebäudeverkabelung.
Begriff: Patchfeld
Ein Patchfeld ist ein Anschlussfeld im Netzwerkschrank.
Dort enden die fest verlegten Netzwerkkabel.
Auf der Vorderseite des Patchfelds befinden sich Anschlüsse, die mit Patchkabeln zum Switch verbunden werden können.
Aufgabe des Patchfelds:
- Abschluss der Verlegekabel
- übersichtliche Zuordnung der Netzwerkdosen
- flexible Verbindung zum Switch
- einfache Wartung und Fehlersuche
- saubere Dokumentation
Merksatz:
Patchfeld = Anschluss- und Verteilerfeld für fest verlegte Netzwerkkabel.
Begriff: Patchkabel
Ein Patchkabel ist ein flexibles Netzwerkkabel.
Es wird verwendet für Verbindungen wie:
PC → Netzwerkdose
Patchfeld → Switch
Server → Switch
Access Point → Netzwerkdose
Patchkabel sind für bewegliche und flexible Verbindungen gedacht.
Merksatz:
Patchkabel = flexibles Verbindungskabel.
Patchkabel und Verlegekabel im Vergleich
Kabelart
Aufgabe
Typischer Einsatz
Patchkabel
flexible Verbindung
Gerät zu Dose, Patchfeld zu Switch
Verlegekabel
feste Installation
Netzwerkdose zu Patchfeld
Wichtig:
Patchkabel und Verlegekabel erfüllen unterschiedliche Aufgaben.
Ein Verlegekabel sollte nicht wie ein Patchkabel ständig bewegt werden.
Ein Patchkabel ist dagegen für flexibles Stecken gedacht.
Merksatz:
Verlegekabel bleibt fest.
Patchkabel wird flexibel gesteckt.
Begriff: Netzwerkschrank
Ein Netzwerkschrank ist ein Schrank zur Aufnahme von Netzwerkkomponenten.
Typische Komponenten im Netzwerkschrank:
- Patchfelder
- Switches
- Router
- Firewalls
- USV
- Kabelmanagement
- Glasfaserabschluss
- Server oder NAS
Der Netzwerkschrank sorgt für Ordnung, Schutz und zentrale Verwaltung der Netzwerkverkabelung.
Merksatz:
Netzwerkschrank = zentraler Ort für Netzwerkkomponenten und Verkabelung.
Begriff: Rangieren
Rangieren bedeutet, Verbindungen im Netzwerkschrank mit Patchkabeln herzustellen oder zu ändern.
Beispiel:
Eine Netzwerkdose soll mit einem bestimmten Switch-Port verbunden werden.
Dann wird ein Patchkabel vom passenden Patchfeld-Port zum gewünschten Switch-Port gesteckt.
Merksatz:
Rangieren = flexible Verbindung im Netzwerkschrank herstellen.
Begriff: Port
Ein Port ist in diesem Zusammenhang ein physischer Anschluss.
Beispiele:
- Port am Switch
- Port am Patchfeld
- Port an der Netzwerkdose
Wichtig:
Hier ist mit Port der physische Anschluss gemeint.
Nicht verwechseln mit:
TCP- oder UDP-Port auf Schicht 4
Merksatz:
Physischer Port = Anschluss am Gerät.
TCP-/UDP-Port = Dienstadresse auf Schicht 4.
Typischer Aufbau im Büro
Ein Büroarbeitsplatz ist häufig so angebunden:
PC
→ Patchkabel
→ Netzwerkdose
→ Verlegekabel
→ Patchfeld
→ Patchkabel
→ Switch
→ Router / Firewall / Server / Internet
Dadurch kann der Arbeitsplatz flexibel genutzt werden.
Wenn der Arbeitsplatz umzieht, muss nicht die Wandverkabelung geändert werden.
Es reicht oft, im Netzwerkschrank anders zu patchen.
Merksatz:
Die feste Verkabelung bleibt.
Die Zuordnung wird über Patchkabel geändert.
Horizontale Verkabelung
Horizontale Verkabelung bezeichnet die Verkabelung innerhalb einer Etage.
Typischer Weg:
Etagenverteiler
→ Verlegekabel
→ Netzwerkdose im Raum
Beispiele:
Netzwerkschrank auf der Etage
zu den Netzwerkdosen in Büros oder Klassenräumen
Merksatz:
Horizontale Verkabelung = Verkabelung innerhalb einer Etage.
Vertikale Verkabelung
Vertikale Verkabelung bezeichnet die Verbindung zwischen Etagen oder Gebäudebereichen.
Sie wird auch häufig als Steigbereich bezeichnet.
Typischer Einsatz:
Hauptverteiler
→ Etagenverteiler
Oder:
zentraler Serverraum
→ Netzwerkschrank auf anderer Etage
Für vertikale Verkabelung wird häufig Lichtwellenleiter eingesetzt, besonders bei längeren Strecken oder höheren Datenraten.
Merksatz:
Vertikale Verkabelung = Verbindung zwischen Etagen oder Verteilern.
Begriff: Hauptverteiler
Der Hauptverteiler ist ein zentraler Verteilerpunkt im Netzwerk.
Dort laufen wichtige Verbindungen zusammen.
Typische Aufgaben:
- Verbindung zu Etagenverteilern
- Verbindung zu zentralen Netzwerkkomponenten
- Verbindung zu Serverraum oder Core-Switch
- eventuell Verbindung zum Provideranschluss
Merksatz:
Hauptverteiler = zentraler Verteilerpunkt des Netzwerks.
Begriff: Etagenverteiler
Ein Etagenverteiler ist ein Verteilerpunkt für eine Etage oder einen Gebäudebereich.
Typischer Aufbau:
Etagenverteiler
→ Patchfelder
→ Switches
→ Verbindungen zu Netzwerkdosen der Etage
Der Etagenverteiler ist meist mit dem Hauptverteiler verbunden.
Merksatz:
Etagenverteiler = Verteilerpunkt für eine Etage.
Kupfer oder Glasfaser in der strukturierten Verkabelung
In der strukturierten Verkabelung werden häufig verschiedene Medien kombiniert.
Typisch:
Bereich
häufiges Medium
Arbeitsplatz bis Etagenverteiler
Twisted-Pair-Kupfer
Etagenverteiler bis Hauptverteiler
oft Lichtwellenleiter
Gebäudeverbindung
häufig Lichtwellenleiter
Server- und Backbone-Strecken
häufig Lichtwellenleiter
Warum?
Kupfer ist praktisch für Arbeitsplätze.
Glasfaser ist gut für längere Strecken und hohe Datenraten.
Merksatz:
Kupfer zum Arbeitsplatz,
Glasfaser für längere und zentrale Strecken.
Maximale Länge bei Twisted Pair
Bei Twisted-Pair-Ethernet gilt häufig als Orientierung:
maximal 100 m
Diese Strecke umfasst die gesamte Verbindung.
Beispiel:
Patchkabel
+ Verlegekabel
+ Patchkabel
= gesamte Übertragungsstrecke
Wichtig:
Die tatsächliche Eignung hängt von Kabelkategorie,
Installation,
Steckverbindungen
und gewünschter Datenrate ab.
Merksatz:
Bei Kupfer-Ethernet sind 100 m eine wichtige Orientierung.
Kabelmanagement
Kabelmanagement bedeutet, Kabel geordnet zu führen und zu befestigen.
Ziele:
- bessere Übersicht
- weniger Kabelsalat
- bessere Luftzirkulation im Schrank
- einfachere Fehlersuche
- geringere Gefahr beschädigter Kabel
- saubere Dokumentation
Typische Hilfsmittel:
- Rangierleisten
- Klettbänder
- Kabelführungen
- Beschriftungen
- Farbcodierung
Merksatz:
Gutes Kabelmanagement spart Zeit bei Wartung und Fehlersuche.
Beschriftung und Dokumentation
Eine strukturierte Verkabelung ist nur dann wirklich hilfreich, wenn sie dokumentiert ist.
Wichtig sind zum Beispiel:
- Nummer der Netzwerkdose
- Raum
- Patchfeld-Port
- Switch-Port
- VLAN
- Nutzung
- zuständige Abteilung
- Datum der Änderung
Beispiel:
Raum
Dose
Patchfeld
Switch-Port
VLAN
101
D01
PF1-01
SW1-05
VLAN 10
101
D02
PF1-02
SW1-06
VLAN 20
205
D01
PF2-12
SW2-03
VLAN 10
Merksatz:
Ohne Dokumentation wird auch strukturierte Verkabelung schnell unübersichtlich.
VLAN-Bezug
VLANs gehören fachlich zur Sicherungsschicht.
VLAN steht für:
Virtual Local Area Network
Bei strukturierter Verkabelung ist wichtig:
Die physische Dose entscheidet nicht allein,
in welchem Netz ein Gerät ist.
Das VLAN wird meist am Switch-Port konfiguriert.
Beispiel:
Dose 101-D01
→ Patchfeld PF1-01
→ Switch-Port SW1-05
→ VLAN 10
Wenn anders gepatcht oder konfiguriert wird, kann derselbe physische Anschluss einem anderen logischen Netz zugeordnet werden.
Merksatz:
Verkabelung ist physisch.
VLAN-Zuordnung ist logisch.
PoE in der strukturierten Verkabelung
PoE steht für:
Power over Ethernet
PoE bedeutet, dass über ein Twisted-Pair-Netzwerkkabel zusätzlich Strom übertragen wird.
Typische PoE-Geräte:
- Access Points
- IP-Kameras
- VoIP-Telefone
- kleine Switches
- Sensoren
Wichtig:
Der Switch oder PoE-Injektor muss PoE liefern können.
Das Endgerät muss PoE unterstützen.
Die verfügbare Leistung muss ausreichen.
Merksatz:
PoE = Stromversorgung über Netzwerkkabel.
Typische Fehler in der strukturierten Verkabelung
Mögliche Fehler:
- falscher Patchfeld-Port
- falscher Switch-Port
- Kabel nicht gesteckt
- defektes Patchkabel
- defekte Netzwerkdose
- falsch aufgelegtes Verlegekabel
- beschädigtes Kabel
- falsche Dokumentation
- falsches VLAN am Switch-Port
- PoE-Leistung reicht nicht aus
- Verbindung länger als zulässig
Wichtig:
Viele Fehler wirken wie IP- oder Anwendungsprobleme,
beginnen aber bei der Verkabelung.
Merksatz:
Erst Verkabelung prüfen,
dann höhere Schichten untersuchen.
Fehlersuche bei strukturierter Verkabelung
Sinnvolle Prüfschritte:
1. Ist das Endgerät richtig angeschlossen?
2. Leuchtet die Link-LED?
3. Ist das richtige Patchkabel verwendet?
4. Ist die richtige Netzwerkdose dokumentiert?
5. Ist der passende Patchfeld-Port gepatcht?
6. Ist der richtige Switch-Port verbunden?
7. Ist der Switch-Port aktiv?
8. Ist das richtige VLAN konfiguriert?
9. Wird die erwartete Geschwindigkeit ausgehandelt?
10. Funktioniert PoE, falls benötigt?
Mögliche Werkzeuge:
- Kabeltester
- Netzwerktester
- Switch-Port-Status
- Patchplan
- Dokumentation
- Beschriftung
- Link-LED
- Betriebssystemanzeige der Verbindung
Merksatz:
Bei Verkabelungsproblemen systematisch von Gerät zu Switch prüfen.
Einordnung in das Schichtenmodell
Strukturierte Verkabelung betrifft vor allem die physische Infrastruktur.
Thema
Einordnung
Netzwerkdose
Schicht 0 / Schicht 1
Verlegekabel
Schicht 0 / Schicht 1
Patchfeld
Schicht 0 / Schicht 1
Patchkabel
Schicht 0 / Schicht 1
elektrische Signalübertragung
OSI-Schicht 1
Switch-Weiterleitung anhand MAC
OSI-Schicht 2
VLAN
OSI-Schicht 2
IP-Adresse
OSI-Schicht 3
Wichtig:
Die Verkabelung stellt den physischen Weg bereit.
Die logische Kommunikation erfolgt über höhere Schichten.
Merksatz:
Verkabelung = physisch.
Switching, Routing und Dienste = höhere Schichten.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was versteht man unter strukturierter Verkabelung?
- Welche Bestandteile gehören zu einer strukturierten Verkabelung?
- Was ist ein Patchfeld?
- Was ist der Unterschied zwischen Patchkabel und Verlegekabel?
- Was ist eine Netzwerkdose?
- Was ist ein Etagenverteiler?
- Was ist ein Hauptverteiler?
- Warum ist Dokumentation wichtig?
- Welche Fehler können durch falsche Patchung entstehen?
- Warum ist Glasfaser für Backbone-Strecken geeignet?
- Wie geht man bei der Fehlersuche in der Verkabelung vor?
Typische Prüfungsfallen
Patchkabel und Verlegekabel sind nicht dasselbe.
Ein Patchfeld ist kein Switch.
Eine Netzwerkdose entscheidet nicht automatisch über das VLAN.
VLANs werden logisch am Switch-Port konfiguriert.
Ein Link bedeutet nicht automatisch,
dass IP-Konfiguration und Dienste funktionieren.
Ohne Dokumentation ist Fehlersuche deutlich schwieriger.
Kupfer-Ethernet hat typische Längengrenzen.
Glasfaser wird häufig für längere und zentrale Strecken eingesetzt.
Ein physischer Port ist nicht dasselbe wie ein TCP- oder UDP-Port.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
strukturierte Verkabelung
geplante und einheitliche Gebäudeverkabelung
Netzwerkdose
Anschluss im Raum für Endgeräte
Verlegekabel
fest installiertes Kabel zwischen Dose und Patchfeld
Patchkabel
flexibles Verbindungskabel
Patchfeld
Anschlussfeld für fest verlegte Netzwerkkabel
Netzwerkschrank
zentraler Ort für Netzwerkkomponenten
Rangieren
Herstellen oder Ändern von Verbindungen mit Patchkabeln
physischer Port
Anschluss an Gerät, Dose oder Patchfeld
TCP-/UDP-Port
Dienstadresse auf Schicht 4
Hauptverteiler
zentraler Verteilerpunkt eines Netzwerks
Etagenverteiler
Verteilerpunkt für eine Etage
horizontale Verkabelung
Verkabelung innerhalb einer Etage
vertikale Verkabelung
Verbindung zwischen Etagen oder Verteilern
Kabelmanagement
geordnete Führung und Beschriftung von Kabeln
VLAN
logisches Teilnetz auf Schicht 2
PoE
Stromversorgung über Netzwerkkabel
IHK-sichere Kurzformulierung
Strukturierte Verkabelung bezeichnet eine geplante und einheitliche Gebäudeverkabelung. Sie besteht typischerweise aus Netzwerkdosen, Verlegekabeln, Patchfeldern, Patchkabeln, Netzwerkschränken und Switches. Verlegekabel verbinden Netzwerkdosen dauerhaft mit Patchfeldern. Patchkabel stellen flexible Verbindungen zwischen Endgerät und Dose oder zwischen Patchfeld und Switch her. Eine strukturierte Verkabelung erleichtert Wartung, Erweiterung, Dokumentation und Fehlersuche im Netzwerk.
Merksätze
Strukturierte Verkabelung = geplante Gebäudeverkabelung.
Netzwerkdose = Anschluss im Raum.
Verlegekabel = fest installiert.
Patchkabel = flexibel gesteckt.
Patchfeld = Anschlussfeld für Verlegekabel.
Patchfeld ist kein Switch.
Netzwerkschrank = zentraler Ort für Netzwerkkomponenten.
Rangieren = Patchkabel gezielt stecken.
Kupfer häufig bis 100 m.
Glasfaser häufig für Backbone und längere Strecken.
Verkabelung ist physisch.
VLAN ist logisch.
Physischer Port ist nicht TCP-/UDP-Port.
Gute Dokumentation erleichtert Fehlersuche.
Ohne saubere Verkabelung funktionieren höhere Schichten nicht zuverlässig.
3.7 Bindeglied zwischen Kupfer und LWL
In Netzwerken werden oft unterschiedliche Übertragungsmedien miteinander verbunden.
Beispiele:
Kupferkabel
Lichtwellenleiter
WLAN-Funkstrecken
Besonders häufig ist die Verbindung zwischen:
Twisted-Pair-Kupfer
und
Lichtwellenleiter
Dafür benötigt man passende Komponenten.
Typische Komponenten sind:
- Medienkonverter
- SFP-Module
- Switches mit SFP-Ports
- Glasfaser-Patchkabel
- Kupfer-Patchkabel
Warum braucht man ein Bindeglied?
Kupfer und Glasfaser übertragen Daten auf unterschiedliche Weise.
Medium
Signalart
Twisted-Pair-Kupfer
elektrische Signale
Lichtwellenleiter
optische Signale
Ein normales RJ45-Kupferkabel kann nicht direkt mit einer Glasfaserstrecke verbunden werden.
Der Grund:
Kupfer arbeitet elektrisch.
Glasfaser arbeitet optisch.
Deshalb braucht man eine Komponente, die zwischen elektrischer und optischer Übertragung vermittelt.
Merksatz:
Kupfer und LWL brauchen passende Übergangstechnik.
Begriff: Medienkonverter
Ein Medienkonverter verbindet unterschiedliche Übertragungsmedien miteinander.
Typisches Beispiel:
Kupfer Ethernet ↔ Glasfaser Ethernet
Ein Medienkonverter nimmt auf der einen Seite ein elektrisches Signal entgegen und gibt auf der anderen Seite ein optisches Signal aus.
Oder umgekehrt:
optisch → elektrisch
Typischer Aufbau:
Switch mit RJ45-Port
→ Kupfer-Patchkabel
→ Medienkonverter
→ Glasfaser
→ Medienkonverter
→ Kupfer-Patchkabel
→ Endgerät oder Switch
Merksatz:
Medienkonverter = Übergang zwischen Kupfer und Glasfaser.
Was macht ein Medienkonverter genau?
Ein Medienkonverter wandelt das Übertragungsmedium.
Er verbindet zum Beispiel:
RJ45-Kupferanschluss
mit
Glasfaseranschluss
Wichtig:
Ein Medienkonverter ist normalerweise kein Router.
Ein Medienkonverter ist normalerweise kein Layer-3-Gerät.
Ein Medienkonverter ändert nicht die IP-Adresse.
Ein Medienkonverter ändert nicht den TCP-Port.
Er sorgt nur dafür, dass die Daten über ein anderes physisches Medium weiter übertragen werden können.
Merksatz:
Medienkonverter wandeln das Medium,
nicht die logische Netzwerkadresse.
Einordnung in das Schichtenmodell
Medienkonverter gehören hauptsächlich in den Bereich der physischen Übertragung.
Thema
Einordnung
Kupferkabel
Schicht 0 / Schicht 1
Lichtwellenleiter
Schicht 0 / Schicht 1
elektrische Signalübertragung
OSI-Schicht 1
optische Signalübertragung
OSI-Schicht 1
Ethernet-Frame
OSI-Schicht 2
IP-Adresse
OSI-Schicht 3
TCP / UDP
OSI-Schicht 4
Wichtig:
Der Medienkonverter ermöglicht die Weiterleitung über ein anderes Medium.
Die höheren Schichten bleiben dabei grundsätzlich unverändert.
Merksatz:
Medienkonverter arbeiten im Bereich der physischen Übertragung.
Begriff: SFP
SFP steht für:
Small Form-factor Pluggable
Ein SFP ist ein kleines steckbares Modul für Netzwerkgeräte.
Es wird zum Beispiel eingesetzt in:
- Switches
- Routern
- Firewalls
- Medienkonvertern
- Netzwerkkarten
Ein SFP-Modul stellt die passende physische Schnittstelle bereit.
Beispiele:
- Glasfaser über Multimode
- Glasfaser über Singlemode
- Kupfer über RJ45
Merksatz:
SFP = steckbares Netzwerkmodul für unterschiedliche Verbindungstypen.
Begriff: Mini-GBIC
Mini-GBIC ist eine ältere Bezeichnung für SFP.
GBIC steht für:
Gigabit Interface Converter
Mini-GBIC meint in der Praxis meist ein SFP-Modul.
Wichtig:
SFP und Mini-GBIC werden oft im gleichen Zusammenhang verwendet.
Merksatz:
Mini-GBIC = ältere Bezeichnung für SFP.
Begriff: Transceiver
Ein Transceiver ist eine Kombination aus Sender und Empfänger.
Das Wort setzt sich zusammen aus:
Transmitter = Sender
Receiver = Empfänger
Ein SFP-Modul ist ein Transceiver-Modul.
Es kann Daten senden und empfangen.
Merksatz:
Transceiver = Sender und Empfänger in einem Modul.
SFP-Port
Ein SFP-Port ist ein Steckplatz für ein SFP-Modul.
Ohne SFP-Modul ist der Port noch keine vollständige Netzwerkverbindung.
Beispiel:
Switch besitzt SFP-Port
→ SFP-Modul wird eingesteckt
→ Glasfaser-Patchkabel wird angeschlossen
Wichtig:
Der SFP-Port allein reicht nicht.
Das passende Modul wird benötigt.
Merksatz:
SFP-Port = Steckplatz.
SFP-Modul = eigentliche Schnittstelle.
SFP und SFP+
Es gibt verschiedene Modularten für unterschiedliche Datenraten.
Modulart
typische Datenrate
SFP
1 Gbit/s
SFP+
10 Gbit/s
SFP28
25 Gbit/s
QSFP+
40 Gbit/s
QSFP28
100 Gbit/s
Für viele IHK-Grundlagen ist vor allem wichtig:
SFP = häufig 1 Gbit/s
SFP+ = häufig 10 Gbit/s
Merksatz:
Das Plus bei SFP+ steht in der Praxis häufig für 10-Gigabit-Verbindungen.
Glasfaser-SFP
Ein Glasfaser-SFP stellt eine optische Verbindung bereit.
Es sendet und empfängt Lichtsignale.
Dabei muss das Modul zur Glasfaser passen.
Wichtig sind:
- Multimode oder Singlemode
- Wellenlänge
- Reichweite
- Steckertyp
- Datenrate
- Kompatibilität zum Gerät
Beispiele:
SFP SX für Multimode
SFP LX für Singlemode oder bestimmte längere Strecken
SFP ZX für sehr lange Strecken
Merksatz:
Glasfaser-SFP muss zur Faser und Strecke passen.
Kupfer-SFP
Es gibt auch SFP-Module mit RJ45-Anschluss.
Diese ermöglichen Kupfer-Ethernet über einen SFP-Port.
Typisches Beispiel:
Switch hat nur SFP-Port frei.
Man steckt ein RJ45-SFP-Modul ein.
Danach kann ein normales Twisted-Pair-Kabel angeschlossen werden.
Wichtig:
RJ45-SFP-Module können wärmer werden
und sind nicht in jedem Gerät oder jeder Geschwindigkeit problemlos einsetzbar.
Merksatz:
Kupfer-SFP = RJ45-Anschluss über SFP-Steckplatz.
SX, LX und ZX
Bei Glasfaser-Modulen tauchen häufig Bezeichnungen wie SX, LX und ZX auf.
Sie beschreiben vereinfacht unterschiedliche optische Varianten und Reichweitenbereiche.
Bezeichnung
typische Einordnung
SX
kurze Strecken, häufig Multimode
LX
längere Strecken, häufig Singlemode
ZX
sehr lange Strecken, häufig Singlemode
Wichtig:
Diese Begriffe müssen immer zusammen mit Modul,
Faserart,
Wellenlänge
und Reichweite betrachtet werden.
Merksatz:
SX kurz,
LX länger,
ZX sehr lang.
Multimode-SFP
Ein Multimode-SFP ist für Multimode-Glasfaser vorgesehen.
Typische Merkmale:
- eher kürzere Strecken
- häufig 850 nm
- oft Bezeichnung SX
- häufig in Gebäuden oder Rechenzentren
Wichtig:
Multimode-SFP und Multimode-Faser müssen zusammenpassen.
Merksatz:
Multimode-SFP = eher kurze Glasfaserstrecken.
Singlemode-SFP
Ein Singlemode-SFP ist für Singlemode-Glasfaser vorgesehen.
Typische Merkmale:
- längere Strecken
- häufig 1310 nm oder 1550 nm
- oft Bezeichnung LX, EX oder ZX
- häufig bei Gebäudeverbindungen, WAN- oder Providerstrecken
Wichtig:
Singlemode-SFP und Singlemode-Faser müssen zusammenpassen.
Merksatz:
Singlemode-SFP = eher lange Glasfaserstrecken.
LC-Stecker
LC ist ein sehr häufiger Glasfaserstecker bei SFP-Modulen.
Viele moderne SFP-Module verwenden LC-Duplex-Anschlüsse.
Typischer Aufbau:
zwei kleine LC-Stecker
einer für Senden
einer für Empfangen
Wichtig:
Der Steckertyp des Patchkabels muss zum Modul passen.
Merksatz:
LC ist ein häufiger Stecker bei SFP-Glasfaserverbindungen.
TX und RX
Bei Glasfaserverbindungen sind TX und RX wichtig.
TX steht für:
Transmit
Das bedeutet:
Senden
RX steht für:
Receive
Das bedeutet:
Empfangen
Bei einer Verbindung muss gelten:
TX der einen Seite → RX der anderen Seite
RX der einen Seite ← TX der anderen Seite
Wenn TX und RX vertauscht sind, kommt meistens kein Link zustande.
Merksatz:
TX muss auf RX der Gegenstelle treffen.
Duplex-LWL
Viele Glasfaserverbindungen nutzen zwei Fasern.
Eine Faser ist für das Senden.
Die andere Faser ist für das Empfangen.
Vereinfacht:
Faser 1: Gerät A sendet zu Gerät B
Faser 2: Gerät B sendet zu Gerät A
Das nennt man häufig Duplex-Verbindung.
Merksatz:
Duplex-LWL nutzt häufig zwei Fasern:
eine zum Senden,
eine zum Empfangen.
BiDi-SFP
BiDi steht für:
Bidirectional
Ein BiDi-SFP kann Senden und Empfangen über eine einzige Glasfaser ermöglichen.
Dabei werden unterschiedliche Wellenlängen für Senden und Empfangen verwendet.
Wichtig:
BiDi-Module müssen als passendes Paar eingesetzt werden.
Beispiel:
Seite A sendet mit Wellenlänge 1310 nm und empfängt 1550 nm.
Seite B sendet mit Wellenlänge 1550 nm und empfängt 1310 nm.
Merksatz:
BiDi = bidirektionale Übertragung über eine einzelne Faser.
DAC-Kabel
DAC steht für:
Direct Attach Copper
Ein DAC-Kabel ist ein direktes Kupferkabel mit fest verbundenen Steckmodulen.
Es wird häufig für kurze Verbindungen im Serverschrank verwendet.
Typische Einsatzbereiche:
- Switch zu Switch
- Server zu Switch
- kurze 10G-Verbindungen
- Rechenzentrum
- Rack-interne Verbindungen
Wichtig:
DAC ist kein Glasfaser-Patchkabel,
sondern eine Kupfer-Direktverbindung.
Merksatz:
DAC = kurze direkte Kupferverbindung zwischen SFP-/SFP+-Ports.
AOC-Kabel
AOC steht für:
Active Optical Cable
Ein AOC-Kabel ist ein aktives optisches Kabel mit fest verbundenen Transceiver-Enden.
Es wird ähnlich wie DAC eingesetzt, aber optisch übertragen.
Typische Einsatzbereiche:
- kurze bis mittlere Verbindungen im Rechenzentrum
- Switch zu Switch
- Server zu Switch
Merksatz:
AOC = aktives optisches Kabel mit festen Modulen.
Medienkonverter oder Switch mit SFP-Port?
Es gibt zwei typische Möglichkeiten, Kupfer und Glasfaser zu verbinden.
Variante 1:
Medienkonverter verwenden
Variante 2:
Switch mit SFP-Port verwenden
Vergleich:
Lösung
Vorteil
Nachteil
Medienkonverter
einfach nachrüstbar
zusätzliches Gerät und Netzteil
Switch mit SFP-Port
sauberer und zentraler
Gerät muss passende Ports haben
In professionellen Netzwerken ist ein Switch mit SFP- oder SFP+-Port oft die sauberere Lösung.
Ein Medienkonverter ist praktisch, wenn vorhandene Geräte keine Glasfaseranschlüsse besitzen.
Merksatz:
Medienkonverter sind praktisch.
SFP-Ports im Switch sind oft sauberer.
Typischer Einsatz: Gebäudeverbindung
Ein häufiger Einsatz für LWL-Übergangstechnik ist die Verbindung zwischen Gebäuden.
Beispiel:
Gebäude A:
Switch mit SFP-Modul
Glasfaserstrecke:
Singlemode oder Multimode
Gebäude B:
Switch mit SFP-Modul
Vorteile von Glasfaser zwischen Gebäuden:
- größere Reichweite
- hohe Datenrate
- unempfindlich gegen elektromagnetische Störungen
- elektrische Trennung zwischen Gebäuden
Merksatz:
Für Gebäudeverbindungen ist Glasfaser oft sinnvoller als Kupfer.
Typischer Einsatz: Etagenverteiler
Auch zwischen Hauptverteiler und Etagenverteiler wird häufig Glasfaser verwendet.
Beispiel:
Hauptverteiler
→ Glasfaser
→ Etagenverteiler
Dort werden dann Endgeräte meist wieder über Kupfer angebunden.
Typisch:
Backbone über LWL
Arbeitsplatz über Twisted Pair
Merksatz:
Glasfaser für zentrale Strecken,
Kupfer für Arbeitsplätze.
Kompatibilität
Bei SFP- und LWL-Verbindungen müssen mehrere Dinge zusammenpassen.
Wichtige Punkte:
- Datenrate
- SFP-Typ
- Multimode oder Singlemode
- Wellenlänge
- Reichweite
- Steckertyp
- Gegenstelle
- Herstellerkompatibilität
- Switch-Unterstützung
Wenn eine dieser Eigenschaften nicht passt, kommt eventuell kein Link zustande.
Merksatz:
Bei SFP-Verbindungen muss die gesamte Strecke zusammenpassen.
Typische Fehler
Häufige Fehler bei Kupfer-LWL-Übergängen:
- falsches SFP-Modul
- falsche Faserart
- Multimode und Singlemode verwechselt
- falsche Wellenlänge
- TX und RX vertauscht
- SFP vom Switch nicht unterstützt
- Stecker verschmutzt
- Glasfaser beschädigt
- Medienkonverter ohne Strom
- falsche Geschwindigkeit
- falscher Port verwendet
- DAC/AOC mit Gerät nicht kompatibel
Merksatz:
Kein Link bei LWL heißt oft:
Modul, Faser, TX/RX und Kompatibilität prüfen.
Fehlersuche
Bei Problemen mit Medienkonvertern oder SFP-Verbindungen prüft man systematisch:
1. Ist das richtige Modul eingesetzt?
2. Passt die Datenrate?
3. Passt Multimode oder Singlemode?
4. Passt die Wellenlänge?
5. Passt der Steckertyp?
6. Sind TX und RX richtig gesteckt?
7. Sind die Stecker sauber?
8. Unterstützt der Switch das Modul?
9. Hat der Medienkonverter Strom?
10. Zeigt der Switch einen Link?
11. Wird die richtige Geschwindigkeit ausgehandelt?
Wichtig:
Niemals direkt in Glasfaser oder optische Ports schauen.
Merksatz:
Bei LWL-Fehlern immer zuerst Modul, Faser und Link prüfen.
Einordnung: Medienkonverter, SFP und OSI
Komponente
typische Einordnung
Begründung
Medienkonverter
Schicht 1
wandelt elektrische und optische Übertragung
SFP-Modul
Schicht 1
stellt physische Schnittstelle bereit
Glasfaser-Patchkabel
Schicht 0 / 1
physisches Medium
Kupfer-Patchkabel
Schicht 0 / 1
physisches Medium
Switch mit SFP-Port
Schicht 2
leitet Frames anhand von MAC-Adressen weiter
Router mit SFP-Port
Schicht 3
leitet Pakete anhand von IP-Adressen weiter
Wichtig:
Ein SFP-Port macht einen Switch nicht automatisch zum Router.
Die Funktion des Gerätes entscheidet über die höhere Schicht.
Merksatz:
Modul = physische Schnittstelle.
Gerät = bestimmt die logische Funktion.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was macht ein Medienkonverter?
- Wofür wird ein SFP-Modul verwendet?
- Was bedeutet SFP?
- Was bedeutet Mini-GBIC?
- Was ist ein Transceiver?
- Warum braucht man bei Kupfer und LWL eine Übergangstechnik?
- Was ist der Unterschied zwischen Multimode- und Singlemode-SFP?
- Warum müssen TX und RX richtig verbunden sein?
- Welche Ursachen kann ein fehlender LWL-Link haben?
- Was ist der Unterschied zwischen Medienkonverter und Switch mit SFP-Port?
- Warum eignet sich Glasfaser für Gebäudeverbindungen?
Typische Prüfungsfallen
Ein Medienkonverter ist normalerweise kein Router.
Ein Medienkonverter ändert nicht die IP-Adresse.
SFP-Port und SFP-Modul sind nicht dasselbe.
Mini-GBIC ist eine ältere Bezeichnung für SFP.
SFP-Module müssen zur Faserart passen.
Multimode und Singlemode dürfen nicht beliebig gemischt werden.
TX muss auf RX der Gegenstelle treffen.
Glasfaser überträgt optisch,
Kupfer überträgt elektrisch.
RJ45-SFP ist Kupfer,
nicht Glasfaser.
DAC ist Kupfer,
AOC ist optisch.
Niemals direkt in Glasfaser oder optische Ports schauen.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Medienkonverter
verbindet unterschiedliche Übertragungsmedien, z. B. Kupfer und LWL
SFP
Small Form-factor Pluggable, steckbares Netzwerkmodul
Mini-GBIC
ältere Bezeichnung für SFP
Transceiver
Sender und Empfänger in einem Modul
SFP-Port
Steckplatz für ein SFP-Modul
SFP+
SFP-Variante für häufig 10 Gbit/s
Multimode-SFP
Modul für Multimode-Glasfaser
Singlemode-SFP
Modul für Singlemode-Glasfaser
LC-Stecker
häufiger Glasfaserstecker bei SFP-Modulen
TX
Transmit, Senden
RX
Receive, Empfangen
Duplex-LWL
Glasfaserverbindung mit Senden und Empfangen
BiDi
bidirektionale Übertragung über eine einzelne Faser
DAC
Direct Attach Copper, direktes Kupferkabel für SFP-Ports
AOC
Active Optical Cable, aktives optisches Kabel
SX
kurze optische Strecke, häufig Multimode
LX
längere optische Strecke
ZX
sehr lange optische Strecke
IHK-sichere Kurzformulierung
Ein Medienkonverter verbindet unterschiedliche Übertragungsmedien, zum Beispiel Twisted-Pair-Kupfer und Lichtwellenleiter. Dabei wird die elektrische Übertragung auf Kupfer in eine optische Übertragung über Glasfaser umgesetzt oder umgekehrt. SFP-Module sind steckbare Transceiver-Module, die in Switches, Routern, Firewalls, Netzwerkkarten oder Medienkonvertern eingesetzt werden. Sie müssen zur Datenrate, Faserart, Wellenlänge, Reichweite und Gegenstelle passen. Ein Medienkonverter arbeitet hauptsächlich im Bereich der physischen Übertragung und ändert normalerweise keine IP-Adressen oder Ports.
Merksätze
Kupfer überträgt elektrisch.
Glasfaser überträgt optisch.
Medienkonverter verbindet unterschiedliche Medien.
Medienkonverter ist normalerweise kein Router.
Medienkonverter ändert nicht die IP-Adresse.
SFP = steckbares Netzwerkmodul.
Mini-GBIC = ältere Bezeichnung für SFP.
Transceiver = Sender und Empfänger.
SFP-Port = Steckplatz.
SFP-Modul = physische Schnittstelle.
SFP häufig 1 Gbit/s.
SFP+ häufig 10 Gbit/s.
Multimode = eher kurze Strecken.
Singlemode = eher lange Strecken.
TX muss auf RX.
LC ist ein häufiger Stecker bei SFP-Modulen.
DAC = direkte Kupferverbindung.
AOC = aktives optisches Kabel.
Bei SFP-Verbindungen muss die gesamte Strecke zusammenpassen.
Niemals in Glasfaser oder optische Ports schauen.
3.8 Einfache Regel für die Verkabelung
Bei der Auswahl eines Übertragungsmediums ist die Entfernung ein sehr wichtiger Faktor.
Für die Praxis kann man sich eine einfache Grundregel merken:
kurze Strecken:
Twisted-Pair-Kupfer
mittlere Strecken:
Multimode-LWL
lange Strecken:
Singlemode-LWL
Diese Regel hilft bei der schnellen Einordnung, welches Medium für welche Strecke sinnvoll ist.
Warum braucht man eine Verkabelungsregel?
Nicht jedes Kabel ist für jede Entfernung geeignet.
Die Wahl des Übertragungsmediums hängt unter anderem ab von:
- Entfernung
- gewünschter Datenrate
- Störanfälligkeit der Umgebung
- Kosten
- vorhandener Infrastruktur
- benötigter Stromversorgung
- aktiver Netzwerktechnik
- Zukunftssicherheit
In der Prüfung geht es oft nicht darum, jedes Detail einer Norm auswendig zu kennen.
Wichtig ist:
Du sollst erkennen,
welches Medium für welchen Einsatzzweck sinnvoll ist.
Grundregel
Als einfache Orientierung gilt:
Entfernung / Einsatz
sinnvolles Medium
bis ca. 100 m
Twisted-Pair-Kupfer
mittlere Strecken
Multimode-LWL
lange Strecken
Singlemode-LWL
Vereinfacht gesagt:
Kupfer für kurze LAN-Strecken.
Multimode für kürzere bis mittlere Glasfaserstrecken.
Singlemode für lange Glasfaserstrecken.
Merksatz:
kurz = Kupfer
mittel = Multimode
lang = Singlemode
Twisted Pair bis ca. 100 m
Twisted-Pair-Kabel sind typische Kupferkabel im LAN.
Sie werden häufig für Arbeitsplatzverkabelung verwendet.
Beispiele:
PC → Netzwerkdose
Netzwerkdose → Patchfeld
Patchfeld → Switch
Access Point → Netzwerkdose
Drucker → Netzwerkdose
Als wichtige Orientierung gilt:
Twisted-Pair-Ethernet häufig bis 100 m
Diese Strecke umfasst die gesamte Verbindung.
Beispiel:
Patchkabel
+ Verlegekabel
+ Patchkabel
= gesamte Übertragungsstrecke
Merksatz:
Twisted Pair ist typisch für Arbeitsplatzverkabelung bis ca. 100 m.
Warum ist Kupfer für kurze Strecken praktisch?
Twisted-Pair-Kupfer hat mehrere Vorteile.
Typische Vorteile:
- günstig
- weit verbreitet
- einfach zu installieren
- RJ45-Anschlüsse sind üblich
- Endgeräte haben häufig Kupferanschlüsse
- PoE ist möglich
- ideal für Arbeitsplatzverkabelung
PoE steht für:
Power over Ethernet
Das bedeutet:
Stromversorgung über das Netzwerkkabel
Typische PoE-Geräte:
- Access Points
- IP-Kameras
- VoIP-Telefone
Merksatz:
Kupfer ist praktisch, günstig und PoE-fähig.
Grenzen von Kupfer
Kupferkabel haben auch Grenzen.
Typische Einschränkungen:
- begrenzte Reichweite
- anfällig für elektromagnetische Störungen
- höhere Datenraten stellen höhere Anforderungen an Kabel und Installation
- Potentialunterschiede zwischen Gebäuden können problematisch sein
- bei langen Strecken ungeeignet
Wichtig:
Kupfer ist nicht die beste Wahl für lange Gebäudeverbindungen.
Merksatz:
Kupfer ist gut für kurze Strecken,
aber nicht ideal für lange Verbindungen.
Multimode-LWL für mittlere Strecken
Multimode-LWL ist eine Glasfaserart für eher kürzere bis mittlere Strecken.
Multimode bedeutet:
mehrere Lichtwege
Fachlich werden diese Lichtwege auch Moden genannt.
Typische Einsatzbereiche:
- innerhalb eines Gebäudes
- zwischen Etagenverteilern
- im Serverraum
- im Rechenzentrum
- Campusverbindungen mit überschaubarer Entfernung
Multimode wird häufig eingesetzt, wenn Kupfer nicht mehr ausreicht, aber Singlemode nicht zwingend erforderlich ist.
Merksatz:
Multimode = Glasfaser für kürzere bis mittlere Strecken.
Warum Multimode?
Multimode-LWL hat mehrere Vorteile.
Typische Vorteile:
- höhere Reichweite als Kupfer
- hohe Datenraten möglich
- unempfindlich gegen elektromagnetische Störungen
- gut für Gebäudebereiche und Serverräume
- aktive Technik kann günstiger sein als bei Singlemode
Wichtig:
Multimode ist nicht für beliebig lange Strecken gedacht.
Die mögliche Entfernung hängt von Faserklasse, Datenrate und Modul ab.
Merksatz:
Multimode ist ein guter Mittelweg zwischen Kupfer und Singlemode.
Singlemode-LWL für lange Strecken
Singlemode-LWL ist eine Glasfaserart für lange Strecken.
Singlemode bedeutet:
ein Lichtweg
Singlemode wird auch genannt:
Monomode
Typische Einsatzbereiche:
- Gebäudeverbindungen
- Providerstrecken
- WAN-Verbindungen
- Backbone-Strecken
- lange Campusverbindungen
- Verbindungen zwischen Rechenzentren
Singlemode eignet sich besonders, wenn große Entfernungen oder hohe Anforderungen an Reichweite und Übertragungsqualität bestehen.
Merksatz:
Singlemode = Glasfaser für lange Strecken.
Warum Singlemode für lange Strecken?
Bei Singlemode gibt es im Wesentlichen nur einen hauptsächlichen Lichtweg.
Dadurch entstehen weniger Laufzeitunterschiede zwischen verschiedenen Lichtwegen.
Das Signal bleibt über längere Strecken besser nutzbar.
Vereinfacht gesagt:
Singlemode führt das Licht besonders präzise
und ist deshalb für große Entfernungen geeignet.
Merksatz:
Weniger Lichtwege bedeuten bessere Eignung für lange Strecken.
Vergleich der Medien
Medium
Signalart
typischer Einsatz
Merksatz
Twisted Pair
elektrisch
Arbeitsplatz, kurze LAN-Strecken
kurz und praktisch
Multimode-LWL
optisch
mittlere Glasfaserstrecken
mittlere Entfernung
Singlemode-LWL
optisch
lange Strecken, Backbone, Provider
große Entfernung
Wichtig:
Die tatsächliche Reichweite hängt immer von Standard,
Datenrate,
Kabelqualität,
Modulen
und Installation ab.
Beispiel 1: Arbeitsplatz im Büro
Ein PC steht in einem Büro und soll mit dem Netzwerk verbunden werden.
Typischer Aufbau:
PC
→ Patchkabel
→ Netzwerkdose
→ Verlegekabel
→ Patchfeld
→ Patchkabel
→ Switch
Sinnvolles Medium:
Twisted-Pair-Kupfer
Warum?
- kurze Strecke
- RJ45 üblich
- kostengünstig
- einfach zu warten
- PoE wäre bei passenden Geräten möglich
Merksatz:
Arbeitsplatzverkabelung meist über Twisted Pair.
Beispiel 2: Etagenverteiler zum Hauptverteiler
Ein Etagenverteiler soll mit dem Hauptverteiler verbunden werden.
Typischer Aufbau:
Etagenverteiler
→ Glasfaser
→ Hauptverteiler
Sinnvolles Medium:
häufig Lichtwellenleiter
Je nach Strecke:
Multimode bei kürzeren bis mittleren Strecken
Singlemode bei längeren Strecken
Warum?
- höhere Reichweite
- hohe Datenraten
- störungsarm
- gut für zentrale Verbindungen
Merksatz:
Verteilerverbindungen häufig über Glasfaser.
Beispiel 3: Verbindung zwischen Gebäuden
Zwei Gebäude sollen miteinander verbunden werden.
Sinnvolles Medium:
meist Singlemode-LWL
Warum?
- längere Entfernung
- elektrische Trennung zwischen Gebäuden
- hohe Datenraten
- unempfindlich gegen elektromagnetische Störungen
- gut für Backbone-Strecken
Kupfer wäre hier oft ungünstig oder nicht zulässig beziehungsweise technisch problematisch.
Merksatz:
Gebäudeverbindungen besser mit Glasfaser,
oft mit Singlemode.
Begriff: elektrische Trennung
Elektrische Trennung bedeutet, dass zwischen zwei Geräten keine leitende elektrische Verbindung besteht.
Bei Glasfaser ist das der Fall, weil Licht statt Strom übertragen wird.
Das ist besonders nützlich zwischen Gebäuden.
Vorteile:
- keine Ausgleichsströme über Netzwerkkabel
- weniger Probleme durch Potentialunterschiede
- keine direkte elektrische Verbindung
- unempfindlich gegen viele elektromagnetische Einflüsse
Merksatz:
Glasfaser verbindet optisch,
aber nicht elektrisch leitend.
Begriff: Backbone
Ein Backbone ist ein leistungsfähiger Hauptübertragungsweg in einem Netzwerk.
Er verbindet wichtige Netzbereiche miteinander.
Beispiele:
- Hauptverteiler mit Etagenverteilern
- zentrale Switches miteinander
- Gebäude miteinander
- Rechenzentrumsbereiche miteinander
Für Backbone-Verbindungen wird häufig LWL eingesetzt.
Merksatz:
Backbone = Rückgrat des Netzwerks.
Begriff: Campusverkabelung
Campusverkabelung bezeichnet die Vernetzung mehrerer Gebäude oder Gebäudeteile an einem Standort.
Beispiel:
Gebäude A
Gebäude B
Werkstatt
Verwaltung
Schulungsgebäude
Für solche Verbindungen wird häufig Glasfaser verwendet.
Merksatz:
Campusverkabelung verbindet mehrere Gebäudebereiche an einem Standort.
Entscheidungskriterien
Bei der Wahl des Mediums sollte man mehrere Kriterien betrachten.
Kriterium
Bedeutung
Entfernung
Wie weit ist die Strecke?
Datenrate
Welche Geschwindigkeit wird benötigt?
Störungen
Gibt es elektromagnetische Störquellen?
Kosten
Welche Lösung ist wirtschaftlich?
PoE
Muss Strom über das Kabel übertragen werden?
Zukunftssicherheit
Soll die Strecke später höhere Datenraten unterstützen?
vorhandene Technik
Welche Ports und Module sind vorhanden?
Installationsumgebung
Büro, Industrie, Rechenzentrum, Außenbereich
Wichtig:
Die beste Lösung ist nicht immer die technisch stärkste,
sondern die passende Lösung für den Einsatzfall.
Merksatz:
Medium nach Strecke, Datenrate und Umgebung auswählen.
Kupfer oder Glasfaser?
Frage
eher Kupfer
eher Glasfaser
kurze Arbeitsplatzstrecke?
ja
eher nicht nötig
PoE benötigt?
ja
nein
lange Strecke?
eher nein
ja
starke elektromagnetische Störungen?
eher nein
ja
Gebäudeverbindung?
eher nein
ja
Backbone-Verbindung?
selten
häufig
günstige Standardverkabelung im Büro?
ja
nicht immer nötig
Merksatz:
Kupfer für Endgeräte.
Glasfaser für lange und zentrale Strecken.
Multimode oder Singlemode?
Frage
eher Multimode
eher Singlemode
kürzere Glasfaserstrecke?
ja
möglich, aber nicht immer nötig
lange Glasfaserstrecke?
eher nein
ja
Provider- oder WAN-Strecke?
eher nein
ja
Gebäudeverbindung mit großer Entfernung?
möglich, aber abhängig
oft sinnvoll
Rechenzentrum / kurze Glasfaserstrecke?
häufig
auch möglich
maximale Zukunftssicherheit bei Reichweite?
begrenzt
hoch
Merksatz:
Multimode für kürzer.
Singlemode für länger.
Wichtig: Standards und reale Reichweiten
Die einfache Regel hilft beim Lernen, ersetzt aber keine technische Prüfung.
Die echte Reichweite hängt ab von:
- Ethernet-Standard
- Datenrate
- Kabeltyp
- Faserart
- SFP-Modul
- Wellenlänge
- Dämpfung
- Steckverbindungen
- Spleißen
- Installationsqualität
Beispiel:
1 Gbit/s, 10 Gbit/s, 25 Gbit/s oder 40 Gbit/s
können unterschiedliche Anforderungen an Kabel und Strecke stellen.
Merksatz:
Die Faustregel hilft,
aber die konkrete Technik muss passen.
PoE als Entscheidungspunkt
PoE steht für:
Power over Ethernet
PoE funktioniert über Twisted-Pair-Kupfer.
Typische PoE-Geräte:
- Access Points
- IP-Kameras
- VoIP-Telefone
Über Glasfaser funktioniert PoE nicht direkt.
Wenn ein entferntes Gerät über Glasfaser angebunden wird, braucht es:
- eigene Stromversorgung
- oder zusätzliche Technik am Zielort
Merksatz:
PoE spricht für Kupfer,
lange Strecken sprechen für Glasfaser.
Störungen als Entscheidungspunkt
Kupferkabel übertragen elektrisch.
Darum können elektromagnetische Störungen eine Rolle spielen.
Glasfaser überträgt optisch.
Darum ist Glasfaser unempfindlich gegenüber elektromagnetischen Störungen.
Beispiele für störungsreiche Umgebungen:
- Industriehallen
- Maschinen
- Motoren
- starke Stromleitungen
- Aufzüge
- Produktionsanlagen
Merksatz:
Bei starken Störungen ist Glasfaser oft die bessere Wahl.
Außenbereich und Gebäudeverbindung
Zwischen Gebäuden ist Glasfaser häufig sinnvoll.
Gründe:
- längere Strecken möglich
- elektrische Trennung
- keine Ausgleichsströme über Kupfer
- weniger Probleme durch Blitz- oder Potentialunterschiede
- hohe Datenraten möglich
Kupfer zwischen Gebäuden kann problematisch sein.
Merksatz:
Zwischen Gebäuden möglichst Glasfaser einplanen.
Typische Fehlentscheidungen
Fehlerhafte Planung kann später Probleme verursachen.
Beispiele:
- Kupferstrecke länger als sinnvoll
- falsche Kabelkategorie
- Multimode für zu lange Strecke gewählt
- Singlemode-Modul mit Multimode-Faser kombiniert
- PoE benötigt, aber Glasfaser ohne Stromversorgung geplant
- SFP-Modul passt nicht zur Faser
- Datenrate später höher als ursprünglich geplant
- keine Reserven im Backbone
Merksatz:
Verkabelung immer mit Reserve und passend zum Einsatz planen.
Fehlersuche bei falscher Medienwahl
Typische Hinweise auf ungeeignete oder fehlerhafte Verkabelung:
- kein Link
- instabiler Link
- niedrige ausgehandelte Geschwindigkeit
- Paketverluste
- hoher Fehlerzähler am Switch-Port
- Verbindung funktioniert nur zeitweise
- hohe Latenz
- niedriger Durchsatz
Mögliche Ursachen:
- Strecke zu lang
- falsches Medium
- falsches Modul
- zu hohe Dämpfung
- schlechte Steckverbindung
- Störungen
- falsche Portgeschwindigkeit
Merksatz:
Schlechte Medienwahl zeigt sich oft als instabile Verbindung.
Einordnung in das Schichtenmodell
Die Auswahl des Übertragungsmediums betrifft vor allem die unteren Schichten.
Thema
Einordnung
Kabelart
Schicht 0 / Schicht 1
Glasfaserart
Schicht 0 / Schicht 1
elektrische Signalübertragung
Schicht 1
optische Signalübertragung
Schicht 1
Funkübertragung
Schicht 1
Ethernet-Frame
Schicht 2
IP-Adresse
Schicht 3
Wichtig:
Das Medium entscheidet nicht über IP oder Port,
sondern über den physischen Übertragungsweg.
Merksatz:
Medium = physischer Weg,
IP und Ports = höhere Schichten.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Welches Medium eignet sich für kurze LAN-Strecken?
- Wann verwendet man Twisted-Pair-Kupfer?
- Wann verwendet man Multimode-LWL?
- Wann verwendet man Singlemode-LWL?
- Warum ist Glasfaser für Gebäudeverbindungen geeignet?
- Warum ist Kupfer für PoE wichtig?
- Warum ist Glasfaser unempfindlich gegen elektromagnetische Störungen?
- Welche Faktoren beeinflussen die Auswahl eines Übertragungsmediums?
- Warum ist die Kabelkategorie allein nicht ausreichend?
- Warum muss das SFP-Modul zur Faser passen?
Typische Prüfungsfallen
Kupfer ist nicht für beliebig lange Strecken geeignet.
Die 100-m-Regel bei Twisted Pair bezieht sich auf die gesamte Verbindung.
Glasfaser überträgt kein PoE.
Multimode und Singlemode sind nicht beliebig austauschbar.
Singlemode ist typischer für lange Strecken.
Multimode ist typischer für kürzere Glasfaserstrecken.
SFP-Modul, Faserart und Wellenlänge müssen zusammenpassen.
Die einfache Regel ersetzt keine technische Detailprüfung.
Höhere Datenraten stellen höhere Anforderungen an die Strecke.
Medium und IP-Adresse sind unterschiedliche Ebenen.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Übertragungsmedium
physischer Weg der Datenübertragung
Twisted Pair
Kupferkabel mit verdrillten Adernpaaren
Multimode-LWL
Glasfaser mit mehreren Lichtwegen, eher kürzere Strecken
Singlemode-LWL
Glasfaser mit einem Lichtweg, eher lange Strecken
Monomode
andere Bezeichnung für Singlemode
Backbone
leistungsfähiger Hauptübertragungsweg im Netzwerk
Campusverkabelung
Vernetzung mehrerer Gebäude oder Gebäudeteile
elektrische Trennung
keine leitende elektrische Verbindung zwischen Geräten
PoE
Stromversorgung über Netzwerkkabel
SFP
steckbares Netzwerkmodul
Dämpfung
Abschwächung eines Signals
Datenrate
Geschwindigkeit der Datenübertragung
Durchsatz
tatsächlich erreichte Datenmenge pro Zeit
Link
aktive physische Verbindung
IHK-sichere Kurzformulierung
Für die Verkabelung gilt als einfache Orientierung: Twisted-Pair-Kupfer wird typischerweise für kurze LAN-Strecken bis etwa 100 m eingesetzt. Multimode-Lichtwellenleiter eignen sich eher für kürzere bis mittlere Glasfaserstrecken, zum Beispiel innerhalb von Gebäuden oder Rechenzentren. Singlemode-Lichtwellenleiter eignen sich eher für lange Strecken, Gebäudeverbindungen, Backbone- und Providerstrecken. Die konkrete Auswahl hängt von Entfernung, Datenrate, Störeinflüssen, Kosten, vorhandener Technik und benötigter Stromversorgung ab.
Merksätze
Kurz = Twisted-Pair-Kupfer.
Mittel = Multimode-LWL.
Lang = Singlemode-LWL.
Kupfer überträgt elektrisch.
Glasfaser überträgt optisch.
Kupfer ist typisch für Arbeitsplatzverkabelung.
Glasfaser ist typisch für Backbone und Gebäudeverbindungen.
Multimode = eher kürzere Glasfaserstrecken.
Singlemode = eher lange Glasfaserstrecken.
PoE funktioniert über Kupfer,
nicht direkt über Glasfaser.
Glasfaser ist unempfindlich gegen elektromagnetische Störungen.
Zwischen Gebäuden ist Glasfaser oft sinnvoller als Kupfer.
Die gesamte Strecke muss zur gewünschten Datenrate passen.
Die Faustregel hilft,
aber Modul, Kabel, Standard und Strecke müssen technisch zusammenpassen.
3.9 WLAN als Übertragungsmedium
WLAN ist ein drahtloses lokales Netzwerk.
WLAN steht für:
Wireless Local Area Network
Auf Deutsch:
drahtloses lokales Netzwerk
Bei WLAN werden Daten nicht über ein Kabel übertragen, sondern per Funk.
Damit gehört WLAN fachlich zur drahtlosen Datenübertragung und betrifft vor allem die unteren Netzwerkschichten.
Wichtig:
WLAN ersetzt auf der Zugangsstrecke das Netzwerkkabel,
aber nicht IP, TCP, UDP oder Anwendungen.
Begriff: WLAN
WLAN bezeichnet ein lokales Netzwerk, bei dem Endgeräte drahtlos über Funk mit dem Netzwerk verbunden werden.
Typische WLAN-Geräte:
- Notebook
- Smartphone
- Tablet
- Access Point
- WLAN-Router
- Drucker
- Smart-TV
- IoT-Gerät
- IP-Kamera
Merksatz:
WLAN = lokales Netzwerk über Funk.
Begriff: Wi-Fi
Wi-Fi ist eine Vermarktungs- und Zertifizierungsbezeichnung für WLAN-Technik nach IEEE 802.11.
Im Alltag werden WLAN und Wi-Fi oft gleich verwendet.
Fachlich genauer:
WLAN beschreibt das drahtlose lokale Netzwerk.
Wi-Fi bezeichnet zertifizierte WLAN-Technik nach bestimmten Standards.
Für die Prüfung reicht meist:
WLAN / Wi-Fi = drahtlose Netzwerkverbindung im lokalen Netzwerk.
Begriff: IEEE 802.11
IEEE 802.11 ist die Normfamilie für WLAN.
IEEE steht für:
Institute of Electrical and Electronics Engineers
IEEE 802.11 beschreibt technische WLAN-Standards.
Beispiele:
IEEE 802.11n
IEEE 802.11ac
IEEE 802.11ax
IEEE 802.11be
Merksatz:
IEEE 802.11 = technische Normfamilie für WLAN.
WLAN als Funkübertragung
WLAN überträgt Daten über elektromagnetische Wellen.
Diese Funkübertragung ist abhängig von:
- Entfernung
- Hindernissen
- Wänden
- Decken
- anderen WLAN-Netzen
- Funkstörungen
- Antennen
- Sendeleistung
- Frequenzband
- Anzahl der Clients
Wichtig:
WLAN ist flexibler als Kabel,
aber meist weniger stabil und planbarer als eine feste Kabelverbindung.
Merksatz:
WLAN ist praktisch,
aber stärker von der Umgebung abhängig.
Einordnung in das Schichtenmodell
WLAN betrifft vor allem OSI-Schicht 1 und OSI-Schicht 2.
Thema
Einordnung
Funkwellen
OSI-Schicht 1
Frequenz, Kanal, Signalstärke
OSI-Schicht 1
WLAN-Zugriff
OSI-Schicht 2
MAC-Adresse
OSI-Schicht 2
Verschlüsselung im WLAN-Zugang
OSI-Schicht 2 / Sicherheitsbezug
IP-Adresse
OSI-Schicht 3
TCP / UDP
OSI-Schicht 4
HTTP / DNS / DHCP
OSI-Schicht 7
Wichtig:
WLAN selbst ist nicht IP.
IP läuft über WLAN.
Merksatz:
WLAN stellt den drahtlosen Zugang zum Netzwerk bereit.
WLAN im Vergleich zu LAN-Kabel
Merkmal
WLAN
LAN-Kabel
Übertragungsmedium
Funk
Kupfer oder Glasfaser
Beweglichkeit
hoch
gering
Stabilität
abhängig von Umgebung
meist stabiler
Störungen
häufiger möglich
weniger abhängig von Funkumgebung
Bandbreite
geteilt und schwankend
meist planbarer
Sicherheit
Verschlüsselung besonders wichtig
physischer Zugriff schwieriger
Einsatz
mobile Geräte
feste Arbeitsplätze, Server, Drucker
Merksatz:
WLAN ist flexibel.
Kabel ist meist stabiler.
Frequenzbereiche
WLAN nutzt verschiedene Frequenzbereiche.
Typische Bereiche sind:
2,4 GHz
5 GHz
6 GHz
GHz steht für:
Gigahertz
Ein Hertz beschreibt eine Schwingung pro Sekunde.
Gigahertz bedeutet:
Milliarden Schwingungen pro Sekunde
Merksatz:
WLAN funkt typischerweise im 2,4-GHz-, 5-GHz- und 6-GHz-Bereich.
2,4 GHz
Das 2,4-GHz-Band hat eine größere Reichweite als höhere Frequenzbereiche.
Typische Eigenschaften:
- größere Reichweite
- bessere Durchdringung von Wänden
- geringere maximale Datenrate als moderne 5-GHz- oder 6-GHz-Verbindungen
- stärker belegt
- häufiger Störungen durch andere Geräte
Typische Störquellen:
- andere WLAN-Netze
- Bluetooth
- Mikrowellen
- Funkgeräte
- IoT-Geräte
Merksatz:
2,4 GHz = größere Reichweite,
aber oft stärker überlastet.
5 GHz
Das 5-GHz-Band bietet meist höhere Datenraten und mehr nutzbare Kanäle als 2,4 GHz.
Typische Eigenschaften:
- höhere Datenraten möglich
- mehr Kanäle
- weniger überlaufen als 2,4 GHz
- geringere Reichweite als 2,4 GHz
- schlechtere Wanddurchdringung
Merksatz:
5 GHz = schneller,
aber geringere Reichweite als 2,4 GHz.
6 GHz
Das 6-GHz-Band wird bei neueren WLAN-Standards genutzt.
Typischer Bezug:
Wi-Fi 6E
Wi-Fi 7
Typische Eigenschaften:
- zusätzliche Kanäle
- hohe Datenraten möglich
- weniger Altgeräte
- geringere Reichweite als 2,4 GHz
- hohe Anforderungen an Endgeräte und Access Points
Merksatz:
6 GHz = moderne Erweiterung mit viel Kapazität,
aber geringerer Reichweite.
WLAN-Standards
WLAN-Standards gehören zur IEEE-802.11-Familie.
Wi-Fi-Bezeichnung
technischer Standard
typische Frequenzbereiche
Wi-Fi 4
IEEE 802.11n
2,4 GHz und 5 GHz
Wi-Fi 5
IEEE 802.11ac
5 GHz
Wi-Fi 6
IEEE 802.11ax
2,4 GHz und 5 GHz
Wi-Fi 6E
IEEE 802.11ax
2,4 GHz, 5 GHz und 6 GHz
Wi-Fi 7
IEEE 802.11be
2,4 GHz, 5 GHz und 6 GHz
Wichtig:
Die Wi-Fi-Bezeichnung ist einfacher zu merken.
Die IEEE-Bezeichnung ist die technische Normbezeichnung.
Merksatz:
Wi-Fi 6 = IEEE 802.11ax.
Wi-Fi 7 = IEEE 802.11be.
Ältere WLAN-Standards
Historisch sind auch ältere Standards wichtig.
Standard
typischer Frequenzbereich
IEEE 802.11a
5 GHz
IEEE 802.11b
2,4 GHz
IEEE 802.11g
2,4 GHz
IEEE 802.11n
2,4 GHz und 5 GHz
IEEE 802.11ac
5 GHz
IEEE 802.11ax
2,4 GHz, 5 GHz und bei Wi-Fi 6E zusätzlich 6 GHz
IEEE 802.11be
2,4 GHz, 5 GHz und 6 GHz
Prüfungshinweis:
Alte Standards können in Vergleichsfragen auftauchen,
moderne Praxis nutzt aber meist Wi-Fi 5, Wi-Fi 6, Wi-Fi 6E oder Wi-Fi 7.
Begriff: Access Point
Ein Access Point ist ein WLAN-Zugangspunkt.
Er verbindet WLAN-Clients mit dem kabelgebundenen Netzwerk.
Typischer Aufbau:
WLAN-Client
→ Funkverbindung
→ Access Point
→ Switch
→ Router / Server / Internet
Ein Access Point arbeitet vor allem im Bereich Schicht 1 und Schicht 2.
Merksatz:
Access Point = Zugangspunkt vom WLAN ins LAN.
Begriff: WLAN-Router
Ein WLAN-Router kombiniert mehrere Funktionen in einem Gerät.
Typische Funktionen:
- Router
- Access Point
- Switch
- Firewall
- DHCP-Server
- NAT/PAT
- Internetzugang
Wichtig:
Ein WLAN-Router ist nicht nur ein Access Point.
Er vereint mehrere Netzwerkfunktionen.
Merksatz:
WLAN-Router = Kombigerät mit WLAN und Routing-Funktionen.
Begriff: SSID
SSID steht für:
Service Set Identifier
Die SSID ist der Name eines WLANs.
Beispiel:
Firma-Mitarbeiter
Firma-Gast
Schule-WLAN
Heimnetz
Wichtig:
Die SSID ist nicht das Passwort.
Die SSID ist der sichtbare oder konfigurierte Netzwerkname.
Merksatz:
SSID = WLAN-Name.
Begriff: BSSID
BSSID bezeichnet die MAC-Adresse eines Access Points für ein bestimmtes WLAN.
In größeren WLAN-Umgebungen kann es mehrere Access Points mit gleicher SSID geben.
Beispiel:
SSID: Firma-WLAN
Access Point 1: eigene BSSID
Access Point 2: eigene BSSID
Access Point 3: eigene BSSID
Merksatz:
SSID = WLAN-Name.
BSSID = MAC-Adresse eines konkreten Access Points.
Begriff: Kanal
Ein WLAN-Kanal ist ein Teilbereich eines Frequenzbandes.
Mehrere WLANs können sich gegenseitig stören, wenn sie gleiche oder überlappende Kanäle nutzen.
Besonders im 2,4-GHz-Band ist das wichtig, weil dort nur wenige überlappungsfreie Kanäle zur Verfügung stehen.
Merksatz:
Kanal = genutzter Frequenzbereich innerhalb eines WLAN-Bandes.
Kanalbreite
Die Kanalbreite beschreibt, wie breit ein WLAN-Kanal genutzt wird.
Typische Kanalbreiten:
20 MHz
40 MHz
80 MHz
160 MHz
320 MHz
Größere Kanalbreite kann höhere Datenraten ermöglichen.
Aber:
Größere Kanalbreite benötigt mehr freien Frequenzbereich
und kann eher zu Störungen mit anderen Netzen führen.
Merksatz:
Größere Kanalbreite kann schneller sein,
braucht aber mehr sauberen Funkraum.
Begriff: Roaming
Roaming bedeutet, dass ein WLAN-Client zwischen Access Points wechselt.
Beispiel:
Ein Notebook bewegt sich durch ein Gebäude.
Es wechselt vom Access Point im Raum 101
zum Access Point im Flur.
Wichtig:
Roaming funktioniert nur gut,
wenn WLAN-Abdeckung,
SSID,
Sicherheitseinstellungen
und Access-Point-Planung passen.
Merksatz:
Roaming = Wechsel zwischen Access Points.
Begriff: Funkzelle
Eine Funkzelle ist der Bereich, den ein Access Point mit WLAN-Signal versorgt.
Die Größe der Funkzelle hängt ab von:
- Sendeleistung
- Antennen
- Frequenzband
- Wänden
- Decken
- Störungen
- Umgebung
Merksatz:
Funkzelle = Abdeckungsbereich eines Access Points.
Begriff: Reichweite
Reichweite beschreibt, wie weit ein WLAN-Signal nutzbar ist.
Die Reichweite hängt ab von:
- Frequenzband
- Sendeleistung
- Antennen
- Hindernissen
- Störungen
- Endgerät
- Access Point
Wichtig:
Eine hohe Signalreichweite bedeutet nicht automatisch hohe Datenrate.
Merksatz:
WLAN-Reichweite und WLAN-Geschwindigkeit sind nicht dasselbe.
Signalstärke und Datenrate
Je schlechter das WLAN-Signal ist, desto niedriger kann die nutzbare Datenrate werden.
Gründe:
- niedrigere Modulationsverfahren
- Wiederholungen
- Paketverluste
- Störungen
- größere Entfernung
- Hindernisse
Wichtig:
WLAN passt die Verbindung häufig dynamisch an die Funkqualität an.
Merksatz:
Schlechteres Signal bedeutet oft weniger Durchsatz.
Bandbreite und Durchsatz bei WLAN
Die beworbene WLAN-Geschwindigkeit ist meist eine theoretische Bruttodatenrate.
Der tatsächliche Durchsatz ist oft geringer.
Gründe:
- Protokoll-Overhead
- geteiltes Medium
- Funkstörungen
- Entfernung
- andere Clients
- Wanddurchdringung
- Kanalbelegung
- Gerätefähigkeiten
Merksatz:
WLAN-Bruttodatenrate ist nicht gleich tatsächlicher Durchsatz.
WLAN als geteiltes Medium
WLAN ist ein geteiltes Übertragungsmedium.
Das bedeutet:
Mehrere Clients teilen sich den verfügbaren Funkbereich.
Wenn viele Clients gleichzeitig aktiv sind, kann die Leistung pro Client sinken.
Beispiel:
30 Clients an einem Access Point
teilen sich die verfügbare Funkkapazität.
Merksatz:
WLAN-Kapazität wird zwischen Clients geteilt.
Halbduplex bei WLAN
WLAN arbeitet grundsätzlich nicht wie eine voll-duplexfähige Kabelverbindung.
WLAN ist typischerweise halbduplexartig.
Das bedeutet vereinfacht:
Ein Gerät sendet,
während andere warten müssen.
Der Zugriff auf das Funkmedium muss koordiniert werden.
Merksatz:
WLAN ist ein geteiltes Funkmedium und nicht wie ein Vollduplex-Kabel.
CSMA/CA
CSMA/CA steht für:
Carrier Sense Multiple Access / Collision Avoidance
Auf Deutsch sinngemäß:
Mehrfachzugriff mit Trägerprüfung und Kollisionsvermeidung
WLAN nutzt Kollisionsvermeidung, weil Kollisionen im Funk möglichst vermieden werden sollen.
Merksatz:
CSMA/CA = Kollisionsvermeidung bei WLAN.
CSMA/CD im Vergleich
CSMA/CD steht für:
Carrier Sense Multiple Access / Collision Detection
Das bedeutet:
Kollisionserkennung
CSMA/CD ist historisch mit klassischen Ethernet-Umgebungen verbunden.
Wichtig für den Vergleich:
Verfahren
Bedeutung
typischer Bezug
CSMA/CD
Kollisionserkennung
ältere drahtgebundene Ethernet-Umgebungen
CSMA/CA
Kollisionsvermeidung
WLAN
Merksatz:
CD = Collision Detection
CA = Collision Avoidance
WLAN-Sicherheit kurz eingeordnet
Da WLAN per Funk übertragen wird, kann das Signal grundsätzlich auch außerhalb eines Raumes oder Gebäudes empfangbar sein.
Deshalb ist Verschlüsselung besonders wichtig.
Typische Sicherheitsstandards:
- WPA2
- WPA3
Nicht mehr zeitgemäß:
- WEP
Wichtig:
WLAN sollte mindestens mit WPA2,
besser mit WPA3 abgesichert werden.
Merksatz:
WLAN braucht starke Verschlüsselung,
weil Funk nicht an der Wand endet.
Gast-WLAN
Ein Gast-WLAN ist ein eigenes WLAN für Besucher oder private Geräte.
Ziel:
Gäste sollen Internetzugang erhalten,
aber keinen direkten Zugriff auf interne Systeme bekommen.
Typische Trennung:
Mitarbeiter-WLAN
Gäste-WLAN
IoT-WLAN
Technisch kann die Trennung zum Beispiel über VLANs und Firewall-Regeln erfolgen.
Merksatz:
Gäste-WLAN vom internen Netzwerk trennen.
WLAN und VLAN
Ein Access Point kann mehrere SSIDs bereitstellen.
Jede SSID kann einem anderen VLAN zugeordnet werden.
Beispiel:
SSID
VLAN
Zweck
Firma-Mitarbeiter
VLAN 10
internes Netzwerk
Firma-Gast
VLAN 20
Gastzugang
Firma-IoT
VLAN 30
Geräte-Netz
Wichtig:
SSID ist der WLAN-Name.
VLAN ist die logische Netztrennung.
Merksatz:
SSID sichtbar für Nutzer,
VLAN logisch für Netztrennung.
Typische WLAN-Probleme
Mögliche Ursachen für WLAN-Probleme:
- zu große Entfernung
- schwaches Signal
- falsche Access-Point-Position
- zu viele Clients
- Kanalüberlappung
- Störungen durch andere Funkquellen
- veralteter WLAN-Standard
- falsches Passwort
- falsche Verschlüsselung
- DHCP-Probleme
- DNS-Probleme
- Roaming-Probleme
- falsches VLAN
Wichtig:
Nicht jedes WLAN-Problem ist ein Funkproblem.
Es kann auch an IP, DHCP, DNS oder Firewall-Regeln liegen.
Fehlersuche bei WLAN
Sinnvolle Prüfschritte:
1. Ist WLAN am Client aktiviert?
2. Ist die richtige SSID ausgewählt?
3. Stimmt das Passwort?
4. Ist die Signalstärke ausreichend?
5. Hat der Client eine IP-Adresse erhalten?
6. Stimmt das Standard-Gateway?
7. Funktioniert DNS?
8. Ist das Ziel per IP erreichbar?
9. Funktioniert der gewünschte Dienst?
10. Gibt es VLAN- oder Firewall-Regeln?
Merksatz:
Bei WLAN zuerst Funkverbindung prüfen,
danach IP, DNS und Dienste.
Einordnung häufiger WLAN-Fehler nach Schichten
Fehlerbild
mögliche Schicht
kein WLAN-Signal
Schicht 1
schwaches Signal
Schicht 1
falsches Passwort / Authentifizierung
Schicht 2 / Sicherheit
falsches VLAN
Schicht 2
keine IP-Adresse
Schicht 3 / DHCP-Bezug
falsches Gateway
Schicht 3
DNS funktioniert nicht
Schicht 7 mit Schicht-3-Bezug
Webseite lädt nicht
Schicht 4 bis 7 möglich
Merksatz:
WLAN-Probleme können Funk,
Sicherheit,
IP-Konfiguration
oder Anwendungen betreffen.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was bedeutet WLAN?
- Was bedeutet IEEE 802.11?
- Welche Frequenzbereiche werden bei WLAN genutzt?
- Was ist der Unterschied zwischen 2,4 GHz und 5 GHz?
- Was ist eine SSID?
- Was ist ein Access Point?
- Warum ist WLAN-Sicherheit besonders wichtig?
- Warum ist WLAN ein geteiltes Medium?
- Was bedeutet CSMA/CA?
- Warum ist der tatsächliche WLAN-Durchsatz geringer als die Bruttodatenrate?
- Warum kann ein Gast-WLAN sinnvoll sein?
- Wie kann man WLAN logisch vom internen Netz trennen?
Typische Prüfungsfallen
WLAN ist nicht dasselbe wie Internet.
WLAN ist der drahtlose Zugang zum lokalen Netzwerk.
Wi-Fi ist die Vermarktungs- bzw. Zertifizierungsbezeichnung.
SSID ist der WLAN-Name,
nicht das Passwort.
WLAN nutzt Funk und ist deshalb störanfällig.
2,4 GHz hat meist mehr Reichweite,
aber oft mehr Störungen.
5 GHz ermöglicht meist höhere Datenraten,
hat aber geringere Reichweite.
6 GHz bietet zusätzliche Kapazität,
aber benötigt passende Geräte.
WLAN-Bruttodatenrate ist nicht gleich tatsächlicher Durchsatz.
WLAN ist ein geteiltes Medium.
WLAN sollte mindestens mit WPA2,
besser mit WPA3 abgesichert werden.
Ein Access Point ist nicht automatisch ein Router.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
WLAN
Wireless Local Area Network, drahtloses lokales Netzwerk
Wi-Fi
Zertifizierungs- und Vermarktungsbezeichnung für WLAN-Technik
IEEE 802.11
Normfamilie für WLAN
Access Point
WLAN-Zugangspunkt zum lokalen Netzwerk
WLAN-Router
Kombigerät mit Router- und WLAN-Funktionen
SSID
Name eines WLANs
BSSID
MAC-Adresse eines konkreten Access Points
Kanal
Frequenzbereich innerhalb eines WLAN-Bandes
Kanalbreite
Breite des genutzten Funkkanals
Roaming
Wechsel eines Clients zwischen Access Points
Funkzelle
Versorgungsbereich eines Access Points
Signalstärke
Stärke des empfangenen WLAN-Signals
Durchsatz
tatsächlich erreichte Datenrate
CSMA/CA
Zugriffsverfahren mit Kollisionsvermeidung
WPA2
moderner WLAN-Sicherheitsstandard
WPA3
neuerer WLAN-Sicherheitsstandard
Gast-WLAN
separates WLAN für Gäste
VLAN
logisches Netz zur Trennung von Datenverkehr
IHK-sichere Kurzformulierung
WLAN steht für Wireless Local Area Network und bezeichnet ein drahtloses lokales Netzwerk. Die Datenübertragung erfolgt per Funk nach Standards der IEEE-802.11-Familie. WLAN nutzt typischerweise Frequenzbereiche wie 2,4 GHz, 5 GHz und 6 GHz. Ein Access Point stellt den drahtlosen Zugang zum lokalen Netzwerk bereit. Da WLAN ein geteiltes und störanfälliges Funkmedium ist, hängen Reichweite und Durchsatz stark von Umgebung, Kanalwahl, Frequenzband, Anzahl der Clients und Signalqualität ab. WLAN sollte mindestens mit WPA2, besser mit WPA3 abgesichert werden.
Merksätze
WLAN = drahtloses lokales Netzwerk.
Wi-Fi = Zertifizierungs- und Vermarktungsbezeichnung.
IEEE 802.11 = WLAN-Normfamilie.
Access Point = WLAN-Zugangspunkt.
SSID = WLAN-Name.
WLAN ist nicht dasselbe wie Internet.
WLAN ersetzt das Kabel auf der Zugangsstrecke.
WLAN nutzt Funk.
2,4 GHz = größere Reichweite,
aber oft mehr Störungen.
5 GHz = höhere Datenraten,
aber geringere Reichweite.
6 GHz = moderne zusätzliche Kapazität.
WLAN ist ein geteiltes Medium.
WLAN-Bruttodatenrate ist nicht echter Durchsatz.
CSMA/CA = Kollisionsvermeidung bei WLAN.
WLAN braucht Verschlüsselung.
WPA2 ist Mindeststandard,
WPA3 ist besser.
Gast-WLAN vom internen Netzwerk trennen.
SSID ist sichtbar,
VLAN trennt logisch.
3.10 MIMO und MU-MIMO
MIMO und MU-MIMO sind Verfahren in modernen WLAN-Systemen.
Sie sollen die Datenübertragung über Funk leistungsfähiger machen.
Die Grundidee ist:
Mehrere Antennen können mehrere Datenströme übertragen.
Dadurch kann WLAN schneller und effizienter arbeiten.
Wichtig:
MIMO und MU-MIMO betreffen vor allem WLAN-Funktechnik
und damit die unteren Schichten des Netzwerks.
Begriff: MIMO
MIMO steht für:
Multiple Input Multiple Output
Auf Deutsch sinngemäß:
mehrere Eingänge und mehrere Ausgänge
Gemeint ist:
Ein Gerät verwendet mehrere Antennen,
um mehrere Funkdatenströme zu senden oder zu empfangen.
Vereinfacht gesagt:
Statt nur über eine Antenne zu senden,
werden mehrere Antennen genutzt.
Merksatz:
MIMO = mehrere Antennen für mehrere Datenströme.
Warum gibt es MIMO?
WLAN ist ein Funkmedium.
Funk ist abhängig von:
- Entfernung
- Hindernissen
- Reflexionen
- Störungen
- Signalqualität
- Anzahl der Clients
- genutztem Frequenzband
MIMO nutzt mehrere Antennen, um die Funkübertragung zu verbessern.
Ziele von MIMO:
- höhere Datenrate
- bessere Funkabdeckung
- stabilere Verbindung
- bessere Nutzung von Reflexionen
- effizientere Übertragung
Merksatz:
MIMO verbessert die Funkübertragung durch mehrere Antennen.
Begriff: Antenne
Eine Antenne sendet oder empfängt elektromagnetische Wellen.
Bei WLAN bedeutet das:
Die Antenne überträgt oder empfängt Funksignale.
Ein Access Point kann mehrere Antennen besitzen.
Auch viele Notebooks, Smartphones oder Tablets besitzen mehrere interne Antennen.
Merksatz:
Antenne = Bauteil zum Senden und Empfangen von Funkwellen.
Begriff: Datenstrom
Ein Datenstrom ist ein Strom von Daten, der übertragen wird.
Bei MIMO spricht man häufig von räumlichen Datenströmen.
Fachlich wird auch der Begriff verwendet:
Spatial Stream
Ein Spatial Stream ist ein räumlich getrennter Datenstrom über Funk.
Merksatz:
Spatial Stream = räumlicher Datenstrom bei MIMO.
Einfaches Beispiel für MIMO
Ein Access Point hat 4 Antennen.
Ein Notebook hat 2 Antennen.
Dann kann das Notebook maximal so viele Datenströme nutzen, wie beide Seiten gemeinsam unterstützen.
Vereinfacht:
Access Point: 4 Antennen
Notebook: 2 Antennen
Dann kann die Verbindung zum Notebook zum Beispiel mit 2 Datenströmen arbeiten.
Wichtig:
Nicht nur der Access Point ist entscheidend.
Auch der Client muss MIMO unterstützen.
Merksatz:
Die schwächere Seite begrenzt die Verbindung.
MIMO als Alltagsvergleich
Man kann MIMO vereinfacht mit mehreren Fahrspuren vergleichen.
Eine Fahrspur:
Weniger gleichzeitiger Verkehr möglich.
Mehrere Fahrspuren:
Mehr Verkehr kann parallel fließen.
Übertragen auf WLAN:
Eine Antenne / ein Datenstrom = weniger parallele Übertragung.
Mehrere Antennen / Datenströme = mehr parallele Übertragung möglich.
Wichtig:
Der Vergleich ist vereinfacht.
Funktechnik ist technisch komplexer.
Merksatz:
MIMO nutzt mehrere „Funkwege“ gleichzeitig.
MIMO und Reflexionen
In Innenräumen werden Funksignale oft reflektiert.
Reflexionen entstehen zum Beispiel an:
- Wänden
- Decken
- Möbeln
- Metallflächen
- Türen
- Menschen
Früher waren Reflexionen vor allem ein Problem.
MIMO kann Reflexionen teilweise nutzen, um mehrere räumliche Signalwege zu verwenden.
Vereinfacht:
Funkwellen kommen über mehrere Wege beim Empfänger an.
MIMO kann daraus zusätzliche Übertragungsmöglichkeiten gewinnen.
Merksatz:
MIMO kann mehrere Funkwege besser ausnutzen.
Begriff: SU-MIMO
SU-MIMO steht für:
Single User MIMO
Das bedeutet:
MIMO für einen einzelnen Client zur gleichen Zeit.
Bei SU-MIMO kann ein Access Point mehrere Antennen für die Verbindung zu einem Client verwenden.
Wenn mehrere Clients vorhanden sind, bedient der Access Point sie nacheinander.
Merksatz:
SU-MIMO = mehrere Antennen für einen Client zur gleichen Zeit.
Begriff: MU-MIMO
MU-MIMO steht für:
Multi User MIMO
Das bedeutet:
MIMO für mehrere Clients.
Bei MU-MIMO kann ein Access Point mehrere Clients gleichzeitig mit getrennten Datenströmen bedienen.
Vereinfacht gesagt:
Der Access Point kann seine Antennen besser auf mehrere Geräte aufteilen.
Merksatz:
MU-MIMO = mehrere Clients gleichzeitig über mehrere Datenströme.
MIMO und MU-MIMO im Vergleich
Begriff
Bedeutung
Grundidee
MIMO
Multiple Input Multiple Output
mehrere Antennen und Datenströme
SU-MIMO
Single User MIMO
mehrere Datenströme für einen Client
MU-MIMO
Multi User MIMO
mehrere Clients gleichzeitig bedienen
Wichtig:
MIMO ist der Oberbegriff.
MU-MIMO ist eine Weiterentwicklung für mehrere Nutzer.
Beispiel: MIMO ohne MU-MIMO
Ein Access Point hat 4 Antennen.
Zwei Notebooks haben jeweils 2 Antennen.
Ohne MU-MIMO kann der Access Point die Clients vereinfacht nacheinander bedienen.
Ablauf vereinfacht:
Access Point kommuniziert mit Notebook A.
Danach kommuniziert er mit Notebook B.
Danach wieder mit Notebook A.
Die Clients teilen sich die verfügbare Funkzeit.
Merksatz:
Ohne MU-MIMO werden mehrere Clients eher nacheinander bedient.
Beispiel: MU-MIMO
Ein Access Point hat 4 Antennen.
Zwei Notebooks haben jeweils 2 Antennen.
Mit MU-MIMO kann der Access Point vereinfacht beide Notebooks gleichzeitig bedienen.
Beispiel:
2 Datenströme zu Notebook A
2 Datenströme zu Notebook B
Dadurch kann die verfügbare Funkkapazität besser genutzt werden.
Merksatz:
MU-MIMO kann mehrere Clients gleichzeitig versorgen.
Warum ist MU-MIMO sinnvoll?
In modernen Netzwerken gibt es oft viele WLAN-Geräte.
Beispiele:
- Notebooks
- Smartphones
- Tablets
- Drucker
- Kameras
- IoT-Geräte
- Smart-TVs
- VoIP-Geräte
Wenn viele Geräte gleichzeitig aktiv sind, wird WLAN stärker belastet.
MU-MIMO kann helfen, die verfügbare Funkkapazität effizienter zu nutzen.
Merksatz:
MU-MIMO ist besonders bei mehreren Clients sinnvoll.
Wichtig: MU-MIMO erhöht nicht automatisch alles
MU-MIMO bedeutet nicht automatisch, dass jedes Gerät immer schneller wird.
Die Wirkung hängt ab von:
- Access Point
- WLAN-Standard
- Client-Unterstützung
- Anzahl der Antennen
- Signalqualität
- Entfernung
- Kanalbreite
- Frequenzband
- Anzahl der aktiven Clients
- Umgebung
Wichtig:
Access Point und Client müssen die Technik unterstützen.
Merksatz:
MU-MIMO funktioniert nur sinnvoll,
wenn Geräte und Funkumgebung passen.
Begriff: Client
Ein Client ist ein Endgerät, das einen Dienst nutzt.
Im WLAN ist ein Client zum Beispiel:
- Notebook
- Smartphone
- Tablet
- Drucker
- IP-Kamera
Der Client verbindet sich mit einem Access Point.
Merksatz:
WLAN-Client = Endgerät im WLAN.
Begriff: Access Point
Ein Access Point ist ein WLAN-Zugangspunkt.
Er verbindet WLAN-Clients mit dem lokalen Netzwerk.
Typischer Aufbau:
WLAN-Client
→ Funkverbindung
→ Access Point
→ Switch
→ Router / Server / Internet
Merksatz:
Access Point = Zugangspunkt vom WLAN ins LAN.
Begriff: Spatial Stream
Spatial Stream bedeutet:
räumlicher Datenstrom
Ein Spatial Stream ist ein eigener Datenstrom innerhalb einer MIMO-Verbindung.
Beispiel:
2x2 MIMO kann bis zu zwei räumliche Datenströme verwenden.
Wichtig:
Mehr Spatial Streams können höhere Datenraten ermöglichen,
wenn beide Seiten und die Funkumgebung es unterstützen.
Merksatz:
Spatial Streams sind parallele Datenströme bei MIMO.
MIMO-Bezeichnungen wie 2x2 oder 4x4
Bei WLAN-Geräten sieht man manchmal Angaben wie:
2x2 MIMO
3x3 MIMO
4x4 MIMO
Vereinfacht bedeutet das:
Anzahl der Sende- und Empfangsantennen beziehungsweise Datenströme.
Beispiel:
Bezeichnung
vereinfachte Bedeutung
1x1
ein Datenstrom
2x2
bis zu zwei Datenströme
3x3
bis zu drei Datenströme
4x4
bis zu vier Datenströme
Wichtig:
Die tatsächliche Leistung hängt auch vom Client ab.
Merksatz:
4x4 bringt wenig,
wenn der Client nur 1x1 unterstützt.
MIMO und Datenrate
Mehr räumliche Datenströme können die theoretische Datenrate erhöhen.
Beispiel vereinfacht:
1 Datenstrom = bestimmte Grunddatenrate
2 Datenströme = höhere mögliche Datenrate
4 Datenströme = noch höhere mögliche Datenrate
Aber:
Das ist eine theoretische Betrachtung.
In der Praxis wirken zusätzlich:
- Signalqualität
- Entfernung
- Störungen
- Kanalbreite
- WLAN-Standard
- Endgerät
- Access Point
- Anzahl der Clients
Merksatz:
Mehr Datenströme können schneller sein,
garantieren aber nicht automatisch hohen Durchsatz.
MIMO und Durchsatz
Durchsatz bedeutet:
tatsächlich erreichte Datenmenge pro Zeit
Der Durchsatz ist meist niedriger als die theoretische Bruttodatenrate.
Gründe:
- Protokoll-Overhead
- geteiltes Funkmedium
- Störungen
- Wiederholungen
- schwaches Signal
- viele Clients
- geringere Client-Fähigkeiten
Merksatz:
Bruttodatenrate ist nicht gleich echter Durchsatz.
MIMO und WLAN-Standards
MIMO ist besonders mit modernen WLAN-Standards wichtig geworden.
Typische Einordnung:
Standard
Bezug zu MIMO
IEEE 802.11n / Wi-Fi 4
MIMO wurde wichtig
IEEE 802.11ac / Wi-Fi 5
MU-MIMO wurde stärker relevant
IEEE 802.11ax / Wi-Fi 6
effizientere Mehrbenutzer-Techniken
IEEE 802.11be / Wi-Fi 7
weitere Verbesserungen bei hoher WLAN-Leistung
Wichtig:
Die genaue Unterstützung hängt vom Gerät ab,
nicht nur vom Namen des Standards.
Merksatz:
Moderne WLAN-Standards nutzen MIMO-Techniken zur Leistungssteigerung.
MU-MIMO und OFDMA
Bei Wi-Fi 6 kommt zusätzlich häufig OFDMA vor.
OFDMA steht für:
Orthogonal Frequency Division Multiple Access
OFDMA ist ein Verfahren, um Funkressourcen effizient auf mehrere Clients aufzuteilen.
Wichtig:
MU-MIMO und OFDMA sind nicht dasselbe.
Vereinfacht:
MU-MIMO nutzt räumliche Trennung über mehrere Antennen.
OFDMA teilt den Funkkanal in kleinere Ressourceneinheiten auf.
Merksatz:
MU-MIMO = mehrere räumliche Datenströme.
OFDMA = bessere Aufteilung des Funkkanals.
MIMO und Antennenanzahl
Mehr Antennen können mehr Möglichkeiten bieten.
Aber:
Mehr Antennen bedeuten nicht automatisch bessere Verbindung für jedes Gerät.
Entscheidend ist:
- wie viele Antennen der Access Point hat
- wie viele Antennen der Client hat
- wie viele Spatial Streams unterstützt werden
- wie gut die Funkbedingungen sind
Beispiel:
Access Point: 4x4 MIMO
Smartphone: 2x2 MIMO
Dann kann das Smartphone nicht automatisch alle 4 Streams nutzen.
Merksatz:
Client-Fähigkeiten begrenzen die nutzbare MIMO-Leistung.
MIMO und Reichweite
MIMO kann die Verbindung stabiler machen.
Aber:
MIMO ersetzt keine gute WLAN-Planung.
Für gute WLAN-Abdeckung bleiben wichtig:
- passende Access-Point-Position
- geeignete Kanalplanung
- ausreichend Signalstärke
- nicht zu viele Clients pro Access Point
- passende Frequenzbänder
- wenig Störungen
Merksatz:
MIMO hilft,
aber ersetzt keine saubere WLAN-Planung.
MIMO und Beamforming
Beamforming ist ein Verfahren, bei dem die Funkübertragung gezielter in Richtung eines Clients ausgerichtet wird.
Vereinfacht:
Der Access Point versucht,
das Signal besser zum Client zu lenken.
Beamforming wird oft zusammen mit modernen MIMO-Techniken eingesetzt.
Wichtig:
Beamforming ist nicht dasselbe wie MIMO,
kann aber mit MIMO zusammenarbeiten.
Merksatz:
Beamforming = gezieltere Funkabstrahlung zum Client.
MIMO und geteiltes Medium
Auch mit MIMO bleibt WLAN ein geteiltes Funkmedium.
Das bedeutet:
Mehrere Clients teilen sich die verfügbare Funkkapazität.
MIMO und MU-MIMO können die Nutzung verbessern.
Aber:
Sie machen WLAN nicht zu einer festen Vollduplex-Kabelverbindung.
Merksatz:
WLAN bleibt ein geteiltes Medium,
auch mit MIMO.
Einordnung in das Schichtenmodell
MIMO und MU-MIMO gehören zur WLAN-Funktechnik.
Thema
Einordnung
Funkwellen
OSI-Schicht 1
Antennen
OSI-Schicht 1
MIMO
OSI-Schicht 1 / WLAN-Technik
MU-MIMO
OSI-Schicht 1 / WLAN-Technik
WLAN-Zugriff
OSI-Schicht 2
MAC-Adresse
OSI-Schicht 2
IP-Adresse
OSI-Schicht 3
TCP / UDP
OSI-Schicht 4
Wichtig:
MIMO verändert nicht die IP-Adresse.
MIMO verändert nicht TCP oder UDP.
MIMO verbessert die Funkübertragung.
Merksatz:
MIMO gehört zur Funktechnik,
nicht zu IP oder TCP.
Typische Fehler oder Missverständnisse
Häufige Missverständnisse:
- Mehr Antennen bedeuten automatisch mehr Internetgeschwindigkeit.
- MU-MIMO hilft jedem Client immer gleich stark.
- Ein 4x4-Access-Point macht jedes Smartphone zu 4x4.
- WLAN-Bruttodatenrate entspricht dem echten Durchsatz.
- MIMO ersetzt gute Access-Point-Planung.
- MU-MIMO löst alle Probleme bei vielen Clients.
Fachlich richtig:
Die tatsächliche Leistung hängt immer von Access Point,
Client,
Funkumgebung
und Netzwerkauslastung ab.
Merksatz:
WLAN-Leistung ist immer eine Kombination aus Technik und Umgebung.
Fehlersuche bei MIMO/MU-MIMO-WLAN
Wenn WLAN trotz moderner Technik schlecht funktioniert, prüft man:
- Unterstützt der Client den Standard?
- Unterstützt der Client MIMO oder MU-MIMO?
- Wie viele Spatial Streams unterstützt der Client?
- Ist das Signal stark genug?
- Ist der Access Point passend positioniert?
- Gibt es Kanalstörungen?
- Sind zu viele Clients verbunden?
- Wird das passende Frequenzband genutzt?
- Ist die Firmware aktuell?
- Sind Access Points richtig geplant?
Wichtig:
Ein moderner Access Point allein garantiert kein gutes WLAN.
Merksatz:
Bei WLAN immer Access Point, Client und Funkumgebung gemeinsam betrachten.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was bedeutet MIMO?
- Was bedeutet MU-MIMO?
- Warum verwenden moderne WLAN-Systeme mehrere Antennen?
- Was ist ein Spatial Stream?
- Was ist der Unterschied zwischen SU-MIMO und MU-MIMO?
- Warum erhöht MIMO nicht automatisch den echten Durchsatz?
- Warum müssen Access Point und Client die Technik unterstützen?
- Warum bleibt WLAN trotz MIMO ein geteiltes Medium?
- Was ist der Unterschied zwischen MIMO und OFDMA?
- Warum ist WLAN-Planung trotz MIMO wichtig?
Typische Prüfungsfallen
MIMO bedeutet Multiple Input Multiple Output.
MU-MIMO bedeutet Multi User MIMO.
MIMO ist nicht dasselbe wie MU-MIMO.
MU-MIMO bedient mehrere Clients effizienter.
MIMO erhöht nicht automatisch den echten Durchsatz.
Access Point und Client müssen die Technik unterstützen.
Ein 4x4-Access-Point bringt einem 1x1-Client keine 4 Datenströme.
WLAN bleibt ein geteiltes Medium.
Bruttodatenrate ist nicht gleich tatsächlicher Durchsatz.
MIMO gehört zur WLAN-Funktechnik,
nicht zu IP oder TCP.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
MIMO
Multiple Input Multiple Output, mehrere Antennen und Datenströme
MU-MIMO
Multi User MIMO, mehrere Clients gleichzeitig bedienen
SU-MIMO
Single User MIMO, mehrere Datenströme für einen Client
Antenne
Bauteil zum Senden und Empfangen von Funkwellen
Datenstrom
übertragener Datenfluss
Spatial Stream
räumlicher Datenstrom bei MIMO
Client
Endgerät im Netzwerk
Access Point
WLAN-Zugangspunkt
Beamforming
gezieltere Funkabstrahlung zum Client
OFDMA
Verfahren zur effizienteren Aufteilung des Funkkanals
Durchsatz
tatsächlich erreichte Datenrate
Bruttodatenrate
theoretische maximale Datenrate
Funkmedium
drahtloser Übertragungsbereich
Signalqualität
Güte des empfangenen Funksignals
IHK-sichere Kurzformulierung
MIMO steht für Multiple Input Multiple Output und bezeichnet ein Verfahren, bei dem mehrere Antennen und räumliche Datenströme zur WLAN-Übertragung genutzt werden. Dadurch können Datenrate und Stabilität einer Funkverbindung verbessert werden. MU-MIMO steht für Multi User MIMO und ermöglicht es einem Access Point, mehrere Clients gleichzeitig effizienter zu bedienen. Die tatsächliche Leistung hängt jedoch von Access Point, Client, Anzahl der Antennen, unterstützten Spatial Streams, WLAN-Standard und Funkumgebung ab.
Merksätze
MIMO = Multiple Input Multiple Output.
MIMO nutzt mehrere Antennen.
Spatial Stream = räumlicher Datenstrom.
SU-MIMO = ein Client zur gleichen Zeit.
MU-MIMO = mehrere Clients gleichzeitig.
MU-MIMO ist besonders bei mehreren Clients sinnvoll.
Access Point und Client müssen die Technik unterstützen.
Die schwächere Seite begrenzt die Verbindung.
Mehr Antennen bedeuten nicht automatisch mehr Durchsatz.
Bruttodatenrate ist nicht gleich echter Durchsatz.
WLAN bleibt ein geteiltes Medium.
MIMO verbessert Funktechnik,
aber ersetzt keine WLAN-Planung.
MU-MIMO ist nicht dasselbe wie OFDMA.
Beamforming kann MIMO ergänzen.
MIMO gehört zur WLAN-Funktechnik,
nicht zu IP oder TCP.
3.11 Sicherheit im WLAN
WLAN muss besonders gut abgesichert werden, weil die Datenübertragung per Funk erfolgt.
Bei einem kabelgebundenen Netzwerk muss man meistens physischen Zugang zu einer Netzwerkdose oder einem Kabel haben.
Bei WLAN kann das Funksignal je nach Reichweite auch außerhalb des Gebäudes empfangbar sein.
Deshalb gilt:
WLAN ohne ausreichende Verschlüsselung ist ein Sicherheitsrisiko.
Warum ist WLAN-Sicherheit wichtig?
WLAN ist ein Funknetz.
Das bedeutet:
Die Daten werden über elektromagnetische Wellen übertragen.
Diese Funkwellen können sich über Räume, Wände und teilweise auch über Gebäudegrenzen hinaus ausbreiten.
Mögliche Risiken:
- unbefugter Zugriff auf das Netzwerk
- Mitlesen unverschlüsselter Daten
- Nutzung des Internetanschlusses durch Fremde
- Zugriff auf interne Systeme
- Angriffe auf Clients oder Server
- Missbrauch des Netzwerks für illegale Aktivitäten
Merksatz:
WLAN endet nicht automatisch an der Wand.
Begriff: WLAN-Verschlüsselung
WLAN-Verschlüsselung schützt die Funkverbindung zwischen Client und Access Point.
Ziel:
Daten sollen nicht im Klartext über Funk übertragen werden.
Vereinfacht gesagt:
Nur berechtigte Geräte mit passenden Zugangsdaten sollen das WLAN nutzen können.
Wichtig:
WLAN-Verschlüsselung schützt die Funkstrecke.
Sie ersetzt keine Firewall,
keine Benutzerrechte
und keine sichere Anwendungskommunikation.
Merksatz:
WLAN-Verschlüsselung schützt die drahtlose Verbindung.
WEP
WEP steht für:
Wired Equivalent Privacy
WEP ist ein alter WLAN-Sicherheitsstandard.
WEP gilt heute als unsicher und sollte nicht mehr verwendet werden.
Problem:
WEP kann mit heutigen Mitteln relativ leicht angegriffen werden.
Für die Prüfung wichtig:
WEP ist veraltet und unsicher.
Merksatz:
WEP nicht mehr verwenden.
WPA
WPA steht für:
Wi-Fi Protected Access
WPA wurde als Nachfolger von WEP eingeführt.
WPA war sicherer als WEP, gilt heute aber ebenfalls als veraltet.
Für moderne WLANs sollte WPA nicht mehr als bevorzugter Sicherheitsstandard verwendet werden.
Merksatz:
WPA war ein Zwischenschritt,
ist heute aber nicht mehr Stand der Technik.
WPA2
WPA2 steht für:
Wi-Fi Protected Access 2
WPA2 ist lange Zeit der wichtigste Sicherheitsstandard für WLAN gewesen.
WPA2 verwendet in der Praxis meistens AES zur Verschlüsselung.
AES steht für:
Advanced Encryption Standard
Wichtig:
WPA2 gilt deutlich sicherer als WEP und WPA.
Für viele Netze ist WPA2 weiterhin verbreitet.
Wenn möglich, sollte WPA3 verwendet werden.
Merksatz:
WPA2 ist der ältere moderne Mindeststandard.
WPA3
WPA3 steht für:
Wi-Fi Protected Access 3
WPA3 ist der neuere WLAN-Sicherheitsstandard.
Er verbessert die Sicherheit gegenüber WPA2.
Vorteile:
- besserer Schutz bei schwachen Passwörtern
- moderneres Authentifizierungsverfahren
- verbesserte Sicherheit in offenen Netzen
- stärkerer Schutz gegen bestimmte Angriffe
Wichtig:
Access Point und Client müssen WPA3 unterstützen.
Merksatz:
WPA3 ist aktueller und sicherer als WPA2.
WPA2 versus WPA3
Merkmal
WPA2
WPA3
Alter
älter
neuer
Sicherheit
gut, wenn korrekt konfiguriert
besser
Geräteunterstützung
sehr weit verbreitet
abhängig von Gerät und Betriebssystem
Passwortschutz
abhängig von Passwortstärke
besser gegen bestimmte Angriffe
Empfehlung
Mindeststandard
bevorzugt, wenn verfügbar
Prüfungstauglich:
WLAN sollte mindestens mit WPA2,
besser mit WPA3 abgesichert werden.
Begriff: Pre-Shared Key
Pre-Shared Key bedeutet:
vorab geteilter Schlüssel
Abkürzung:
PSK
Bei WPA2-Personal oder WPA3-Personal verwenden alle berechtigten Nutzer dasselbe WLAN-Passwort.
Beispiel:
SSID: Firma-Gast
Passwort: gemeinsames WLAN-Passwort
Vorteil:
einfach einzurichten
Nachteil:
Das Passwort wird mit mehreren Personen geteilt.
Merksatz:
PSK = gemeinsames WLAN-Passwort.
WPA-Personal
WPA-Personal wird häufig in kleinen Netzen oder Heimnetzen verwendet.
Dabei wird ein gemeinsames WLAN-Passwort verwendet.
Typische Einsatzbereiche:
- Heimnetz
- kleines Büro
- Gast-WLAN
- einfache WLAN-Umgebung
Wichtig:
Das Passwort muss ausreichend lang und sicher sein.
Merksatz:
WPA-Personal = WLAN-Zugang mit gemeinsamem Passwort.
WPA-Enterprise
WPA-Enterprise wird häufig in Unternehmen, Schulen und größeren Organisationen verwendet.
Dabei meldet sich jeder Benutzer oder jedes Gerät individuell an.
Häufige Technik:
802.1X
RADIUS-Server
Vorteile:
- individuelle Benutzerkonten
- zentrale Verwaltung
- einzelne Benutzer können gesperrt werden
- besser für größere Umgebungen
- keine gemeinsame Passwortweitergabe nötig
Merksatz:
WPA-Enterprise = individuelle Anmeldung statt gemeinsamem WLAN-Passwort.
Begriff: 802.1X
802.1X ist ein Standard für portbasierte Netzwerkzugangskontrolle.
Er wird bei kabelgebundenen und drahtlosen Netzwerken eingesetzt.
Im WLAN-Kontext ermöglicht 802.1X eine Anmeldung mit individuellen Benutzerdaten oder Zertifikaten.
Typischer Zusammenhang:
Client
Access Point
RADIUS-Server
Merksatz:
802.1X = kontrollierter Netzwerkzugang mit Authentifizierung.
Begriff: RADIUS
RADIUS steht für:
Remote Authentication Dial-In User Service
RADIUS ist ein Dienst zur zentralen Authentifizierung.
Im WLAN kann ein RADIUS-Server prüfen, ob ein Benutzer oder Gerät Zugang erhalten darf.
Typische Aufgabe:
Benutzername und Passwort oder Zertifikat prüfen.
Merksatz:
RADIUS = zentrale Prüfung von Zugangsdaten.
Begriff: Authentifizierung
Authentifizierung bedeutet:
Nachweis der Identität
Beispiel:
Ein Benutzer meldet sich mit Benutzername und Passwort an.
Ein Gerät weist sich mit einem Zertifikat aus.
Im WLAN bedeutet Authentifizierung:
Der Client muss nachweisen,
dass er das WLAN nutzen darf.
Merksatz:
Authentifizierung = Wer bist du?
Begriff: Autorisierung
Autorisierung bedeutet:
Festlegen, was ein Benutzer oder Gerät darf.
Beispiel:
Ein Mitarbeiter darf ins interne WLAN.
Ein Gast darf nur ins Internet.
Ein IoT-Gerät darf nur bestimmte Server erreichen.
Merksatz:
Authentifizierung = Wer bist du?
Autorisierung = Was darfst du?
Begriff: SSID
SSID steht für:
Service Set Identifier
Die SSID ist der Name eines WLANs.
Beispiele:
Firma-Mitarbeiter
Firma-Gast
Firma-IoT
Wichtig:
Die SSID ist nicht das Passwort.
Die SSID ist nur der Name des WLANs.
Merksatz:
SSID = WLAN-Name.
SSID-Trennung
Es ist sinnvoll, verschiedene WLANs für verschiedene Zwecke zu verwenden.
Beispiele:
SSID
Zweck
Firma-Mitarbeiter
interne Geräte und Benutzer
Firma-Gast
Besucher und private Geräte
Firma-IoT
Kameras, Sensoren, Smart-Geräte
Firma-Admin
administrative Geräte
Vorteil:
Unterschiedliche Nutzergruppen können voneinander getrennt werden.
Wichtig:
Die Trennung erfolgt nicht nur durch verschiedene Namen,
sondern technisch durch VLANs und Firewall-Regeln.
Merksatz:
Mehrere SSIDs helfen bei der Trennung von Nutzergruppen.
Gast-WLAN
Ein Gast-WLAN ist ein separates WLAN für Besucher.
Ziel:
Gäste erhalten Internetzugang,
aber keinen Zugriff auf interne Systeme.
Typische Eigenschaften:
- eigene SSID
- eigenes VLAN
- getrennte Firewall-Regeln
- kein Zugriff auf Server oder Clients im internen Netz
- häufig zeitlich begrenzter Zugang
- oft mit Captive Portal
Merksatz:
Gast-WLAN vom internen Netzwerk trennen.
Begriff: VLAN
VLAN steht für:
Virtual Local Area Network
Ein VLAN ist ein logisch getrenntes Netzwerk innerhalb einer physischen Netzwerkinfrastruktur.
Im WLAN kann jede SSID einem VLAN zugeordnet werden.
Beispiel:
SSID
VLAN
Zweck
Firma-Mitarbeiter
VLAN 10
internes Netzwerk
Firma-Gast
VLAN 20
Gastzugang
Firma-IoT
VLAN 30
Geräte-Netz
Merksatz:
SSID = WLAN-Name.
VLAN = logische Netztrennung.
Firewall-Regeln für WLAN
Eine Firewall kann festlegen, welche Kommunikation erlaubt oder blockiert wird.
Beispiele:
Mitarbeiter-WLAN darf auf interne Server zugreifen.
Gast-WLAN darf nur ins Internet.
IoT-WLAN darf nur zu bestimmten Diensten.
Admin-WLAN darf auf Netzwerkgeräte zugreifen.
Wichtig:
Ein separates WLAN ohne passende Firewall-Regeln ist keine vollständige Sicherheitslösung.
Merksatz:
VLAN trennt logisch.
Firewall regelt den Zugriff.
Begriff: Captive Portal
Ein Captive Portal ist eine Anmeldeseite für Netzwerke.
Es wird häufig bei Gast-WLANs eingesetzt.
Beispiel:
Ein Gast verbindet sich mit dem WLAN.
Danach öffnet sich eine Webseite.
Dort muss er Nutzungsbedingungen akzeptieren oder Zugangsdaten eingeben.
Merksatz:
Captive Portal = Anmeldeseite für Netzwerkzugang.
Sichere WLAN-Passwörter
Bei WPA-Personal ist ein sicheres Passwort sehr wichtig.
Ein gutes WLAN-Passwort sollte:
- lang sein
- nicht leicht zu erraten sein
- keine Wörterbuchbegriffe enthalten
- nicht mehrfach verwendet werden
- regelmäßig überprüft werden
- bei Verdacht geändert werden
Wichtig:
Ein kurzer oder einfacher Schlüssel schwächt auch moderne Verschlüsselung.
Merksatz:
Starkes WLAN-Passwort = wichtiger Sicherheitsfaktor.
MAC-Filter
Ein MAC-Filter erlaubt oder blockiert Geräte anhand ihrer MAC-Adresse.
Problem:
MAC-Adressen können gefälscht werden.
Deshalb gilt:
MAC-Filter können eine kleine Zusatzhürde sein,
ersetzen aber keine echte WLAN-Sicherheit.
Wichtig für die Prüfung:
MAC-Filter sind kein ausreichender Schutz.
Merksatz:
MAC-Filter ist Zusatz,
aber keine starke Sicherheit.
SSID verstecken
Manche WLANs verstecken ihre SSID.
Das bedeutet:
Der WLAN-Name wird nicht aktiv sichtbar ausgesendet.
Problem:
Versteckte SSIDs können trotzdem erkannt werden.
Deshalb gilt:
SSID verstecken ist keine echte Sicherheitsmaßnahme.
Merksatz:
Versteckte SSID ersetzt keine Verschlüsselung.
WPS
WPS steht für:
Wi-Fi Protected Setup
WPS soll das Verbinden von Geräten erleichtern.
Beispiele:
Verbindung per Taste
Verbindung per PIN
Problem:
Besonders WPS-PIN kann ein Sicherheitsrisiko sein.
Empfehlung:
WPS deaktivieren,
wenn es nicht benötigt wird.
Merksatz:
WPS ist bequem,
kann aber ein Sicherheitsrisiko sein.
WLAN und Updates
Access Points, WLAN-Router und Controller sollten aktuell gehalten werden.
Gründe:
- Sicherheitslücken schließen
- Stabilität verbessern
- Kompatibilität verbessern
- neue Funktionen erhalten
- bekannte Angriffe erschweren
Wichtig:
Auch Netzwerkgeräte benötigen regelmäßige Sicherheitsupdates.
Merksatz:
WLAN-Sicherheit braucht auch aktuelle Firmware.
WLAN und Gerätesicherheit
Nicht nur der Access Point ist wichtig.
Auch die Endgeräte müssen sicher sein.
Dazu gehören:
- aktuelles Betriebssystem
- aktuelle Treiber
- aktuelle Sicherheitsupdates
- sichere Benutzerkonten
- Virenschutz bzw. Endpoint-Schutz
- keine unsicheren gespeicherten WLANs
Merksatz:
WLAN-Sicherheit betrifft Access Point und Clients.
Offene WLANs
Ein offenes WLAN hat keine Verschlüsselung auf der Funkstrecke.
Risiken:
- Daten können leichter mitgelesen werden
- fremde Geräte können sich verbinden
- höhere Missbrauchsgefahr
- Nutzer verlassen sich eventuell fälschlich auf Sicherheit
Wichtig:
Auch wenn Anwendungen HTTPS nutzen,
sollte das WLAN selbst trotzdem sicher konfiguriert werden.
Merksatz:
Offenes WLAN ist nur mit zusätzlicher Absicherung sinnvoll.
WLAN und HTTPS
HTTPS verschlüsselt die Verbindung zwischen Browser und Webserver.
Das ist wichtig, aber:
HTTPS ersetzt keine WLAN-Verschlüsselung.
Warum?
WLAN-Verschlüsselung schützt die Funkstrecke.
HTTPS schützt die Anwendungskommunikation zwischen Client und Server.
Beide schützen unterschiedliche Bereiche.
Merksatz:
WPA schützt WLAN.
HTTPS schützt Webkommunikation.
Rogue Access Point
Ein Rogue Access Point ist ein unerlaubter oder nicht autorisierter Access Point im Netzwerk.
Beispiele:
- Mitarbeiter steckt privaten WLAN-Router ins Firmennetz
- Angreifer stellt ein gefälschtes WLAN bereit
- falsch konfigurierte WLAN-Hardware wird angeschlossen
Risiko:
Sicherheitsregeln können umgangen werden.
Benutzer können sich mit falschen WLANs verbinden.
Merksatz:
Rogue Access Point = unerlaubter Access Point.
Evil Twin
Ein Evil Twin ist ein gefälschter Access Point, der eine bekannte SSID nachahmt.
Ziel:
Benutzer sollen sich versehentlich mit dem falschen WLAN verbinden.
Beispiel:
echtes WLAN: Firma-WLAN
gefälschtes WLAN: Firma-WLAN
Schutz:
- WPA-Enterprise mit Zertifikatsprüfung
- Benutzer sensibilisieren
- WLAN-Monitoring
- keine automatischen Verbindungen zu unbekannten Netzen
Merksatz:
Evil Twin = gefälschtes WLAN mit bekanntem Namen.
Client-Isolation
Client-Isolation bedeutet, dass WLAN-Clients nicht direkt miteinander kommunizieren dürfen.
Das ist besonders sinnvoll bei Gast-WLANs.
Beispiel:
Gast A kann nicht auf Gerät von Gast B zugreifen.
Vorteil:
weniger Risiko durch Angriffe zwischen verbundenen Clients
Merksatz:
Client-Isolation trennt WLAN-Clients voneinander.
WLAN-Sicherheit in Unternehmen
In Unternehmen sollte WLAN-Sicherheit geplant und dokumentiert werden.
Wichtige Punkte:
- WPA2 oder besser WPA3
- bei größeren Umgebungen WPA-Enterprise
- getrennte SSIDs
- VLAN-Trennung
- Firewall-Regeln
- Gast-WLAN getrennt vom internen Netz
- regelmäßige Updates
- sichere Passwörter oder Zertifikate
- Monitoring
- Dokumentation
- Deaktivierung unsicherer Altstandards
Merksatz:
WLAN-Sicherheit besteht aus Verschlüsselung, Trennung und Kontrolle.
Einordnung in das Schichtenmodell
WLAN-Sicherheit betrifft mehrere Ebenen.
Thema
Einordnung
Funkübertragung
OSI-Schicht 1
WLAN-Zugriff und MAC
OSI-Schicht 2
WPA2 / WPA3
WLAN-Sicherheitsverfahren im Zugangsbereich
VLAN
OSI-Schicht 2
IP-Netztrennung
OSI-Schicht 3
Firewall mit Ports
OSI-Schicht 3 / 4
HTTPS
OSI-Schicht 7 mit Sicherheitsbezug
Wichtig:
WLAN-Sicherheit ist nicht nur ein Passwort.
Sie besteht aus mehreren technischen Maßnahmen.
Merksatz:
WLAN-Sicherheit betrifft Funk, Zugang, Netztrennung und Dienste.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Warum muss WLAN verschlüsselt werden?
- Warum ist WEP unsicher?
- Was ist der Unterschied zwischen WPA2 und WPA3?
- Was bedeutet WPA-Personal?
- Was bedeutet WPA-Enterprise?
- Was ist ein Pre-Shared Key?
- Was ist eine SSID?
- Warum ist ein Gast-WLAN sinnvoll?
- Warum sollte ein Gast-WLAN vom internen Netz getrennt werden?
- Was ist der Unterschied zwischen SSID und VLAN?
- Warum ist MAC-Filter kein ausreichender Schutz?
- Warum ersetzt HTTPS keine WLAN-Verschlüsselung?
- Was ist ein Rogue Access Point?
- Was ist ein Evil Twin?
Typische Prüfungsfallen
WLAN ohne Verschlüsselung ist unsicher.
WEP gilt als veraltet und unsicher.
WPA ist ebenfalls nicht mehr Stand der Technik.
WPA2 ist Mindeststandard,
WPA3 ist besser.
SSID ist der WLAN-Name,
nicht das Passwort.
Eine versteckte SSID ist keine echte Sicherheitsmaßnahme.
MAC-Filter ersetzt keine Verschlüsselung.
HTTPS ersetzt keine WLAN-Verschlüsselung.
Ein Gast-WLAN braucht Trennung vom internen Netz.
Mehrere SSIDs allein reichen nicht,
wenn VLANs und Firewall-Regeln fehlen.
WPA-Enterprise ist für größere Umgebungen besser geeignet als ein gemeinsames Passwort.
WPS kann ein Sicherheitsrisiko sein.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
WLAN-Verschlüsselung
Schutz der Funkverbindung zwischen Client und Access Point
WEP
alter und unsicherer WLAN-Sicherheitsstandard
WPA
älterer Nachfolger von WEP
WPA2
moderner verbreiteter WLAN-Sicherheitsstandard
WPA3
neuerer WLAN-Sicherheitsstandard
PSK
Pre-Shared Key, gemeinsames WLAN-Passwort
WPA-Personal
WLAN-Zugang mit gemeinsamem Passwort
WPA-Enterprise
WLAN-Zugang mit individueller Authentifizierung
802.1X
Standard für Netzwerkzugangskontrolle
RADIUS
zentraler Dienst zur Authentifizierung
Authentifizierung
Nachweis der Identität
Autorisierung
Festlegung erlaubter Zugriffe
SSID
Name eines WLANs
VLAN
logische Netztrennung
Gast-WLAN
separates WLAN für Gäste
Captive Portal
Anmeldeseite für Netzwerkzugang
MAC-Filter
Zugriffskontrolle anhand von MAC-Adressen
WPS
vereinfachtes WLAN-Verbinden, kann Sicherheitsrisiko sein
Rogue Access Point
unerlaubter Access Point
Evil Twin
gefälschtes WLAN mit bekanntem Namen
Client-Isolation
Trennung von WLAN-Clients untereinander
IHK-sichere Kurzformulierung
WLAN muss abgesichert werden, weil die Datenübertragung per Funk erfolgt und das Signal auch außerhalb des direkten Raumes empfangbar sein kann. Veraltete Verfahren wie WEP gelten als unsicher und sollten nicht mehr verwendet werden. WLAN sollte mindestens mit WPA2, besser mit WPA3 verschlüsselt werden. In größeren Umgebungen ist WPA-Enterprise mit 802.1X und RADIUS sinnvoll. Gast-WLANs sollten vom internen Netzwerk getrennt werden, zum Beispiel durch eigene SSIDs, VLANs und Firewall-Regeln. MAC-Filter oder versteckte SSIDs sind keine ausreichenden Sicherheitsmaßnahmen.
Merksätze
WLAN braucht Verschlüsselung.
WEP ist unsicher.
WPA ist veraltet.
WPA2 ist Mindeststandard.
WPA3 ist besser.
PSK = gemeinsames WLAN-Passwort.
WPA-Personal = gemeinsames Passwort.
WPA-Enterprise = individuelle Anmeldung.
802.1X = Netzwerkzugangskontrolle.
RADIUS = zentrale Authentifizierung.
SSID = WLAN-Name.
VLAN = logische Netztrennung.
Gast-WLAN vom internen Netz trennen.
MAC-Filter ist kein ausreichender Schutz.
Versteckte SSID ist keine echte Sicherheit.
WPS kann ein Risiko sein.
HTTPS ersetzt keine WLAN-Verschlüsselung.
WPA schützt die Funkstrecke.
Firewall-Regeln steuern den Zugriff.
WLAN-Sicherheit besteht aus Verschlüsselung, Trennung und Kontrolle.
3.12 Dezibel, Antennengewinn, EIRP und ERP
In der Funktechnik und Netzwerktechnik begegnen dir häufig Begriffe wie:
dB
dBm
dBi
Antennengewinn
EIRP
ERP
Diese Begriffe sind wichtig, wenn es um WLAN, Funkleistung, Antennen und erlaubte Sendeleistung geht.
Wichtig:
Eine Antenne erzeugt keine zusätzliche Energie.
Sie kann Energie nur in bestimmte Richtungen stärker bündeln.
Begriff: Dezibel
Dezibel wird mit dB abgekürzt.
dB beschreibt ein Verhältnis.
Das bedeutet:
dB gibt an,
wie viel stärker oder schwächer ein Signal im Vergleich zu einem anderen Signal ist.
Wichtig:
dB ist keine normale Längeneinheit.
dB beschreibt ein logarithmisches Verhältnis.
Vereinfacht gesagt:
dB zeigt,
um welchen Faktor sich eine Leistung verändert.
Merksatz:
dB = Verhältniswert.
Warum verwendet man dB?
In der Funk- und Netzwerktechnik können Unterschiede sehr groß sein.
Beispiele:
- ein Signal wird 10-mal stärker
- ein Signal wird 100-mal stärker
- ein Signal wird 1000-mal stärker
- ein Signal wird auf einer Strecke schwächer
Mit normalen Zahlen werden solche Unterschiede schnell unübersichtlich.
Dezibel macht große Verhältnisse kompakter darstellbar.
Merksatz:
dB macht große Signalverhältnisse übersichtlicher.
dB bei Leistung
Bei Leistungswerten gilt vereinfacht:
dB-Wert
Faktor
3 dB
ungefähr Faktor 2
10 dB
Faktor 10
13 dB
ungefähr Faktor 20
20 dB
Faktor 100
30 dB
Faktor 1000
40 dB
Faktor 10000
Wichtig:
+10 dB bedeutet bei Leistung:
zehnfache Leistung.
-10 dB bedeutet bei Leistung:
ein Zehntel der Leistung.
Merksatz:
10 dB = Faktor 10 bei Leistung.
Positive und negative dB-Werte
dB-Werte können positiv oder negativ sein.
dB-Wert
Bedeutung
positiver dB-Wert
Verstärkung oder Gewinn
negativer dB-Wert
Dämpfung oder Verlust
Beispiele:
+10 dB = Signal wird stärker
-10 dB = Signal wird schwächer
In der Praxis:
Antennengewinn wird oft positiv angegeben.
Kabelverluste oder Dämpfung werden oft als Verlust angegeben.
Merksatz:
Plus-dB = mehr.
Minus-dB = weniger.
Begriff: Dämpfung
Dämpfung bedeutet:
Ein Signal wird schwächer.
Dämpfung kann entstehen durch:
- Kabellänge
- Steckverbindungen
- Wände
- Luftstrecke
- Störungen
- schlechte Kabel
- schlechte Antennenposition
- verschmutzte Glasfaserstecker
Bei Funk und WLAN bedeutet Dämpfung:
Das Funksignal kommt schwächer beim Empfänger an.
Merksatz:
Dämpfung = Signalverlust.
Begriff: Verstärkung
Verstärkung bedeutet:
Ein Signal wird stärker.
In der Funktechnik muss man genau unterscheiden:
Ein Verstärker kann ein Signal aktiv stärker machen.
Eine Antenne verstärkt nicht aktiv,
sondern bündelt die vorhandene Energie.
Wichtig:
Antennengewinn ist keine Energieerzeugung.
Merksatz:
Verstärker erhöht aktiv.
Antenne bündelt passiv.
Antennengewinn
Antennengewinn beschreibt, wie stark eine Antenne die abgestrahlte Energie in eine bestimmte Richtung bündelt.
Eine Antenne kann keine Leistung erzeugen.
Sie kann nur die vorhandene Leistung anders verteilen.
Vereinfacht gesagt:
In eine Richtung wird mehr abgestrahlt.
In andere Richtungen wird dafür weniger abgestrahlt.
Merksatz:
Antennengewinn = Bündelung der Funkenergie.
Taschenlampen-Vergleich
Eine Antenne kann man vereinfacht mit einer Taschenlampe vergleichen.
Ohne Reflektor:
Das Licht verteilt sich in viele Richtungen.
Es ist überall etwas hell,
aber nirgends besonders stark.
Mit Reflektor:
Das Licht wird in eine Richtung gebündelt.
In diese Richtung ist es deutlich heller.
Übertragen auf Antennen:
Eine Antenne erzeugt keine neue Energie.
Sie bündelt die vorhandene Energie in bestimmte Richtungen.
Merksatz:
Antenne = kein zusätzlicher Strom,
sondern gezieltere Abstrahlung.
Rundstrahlantenne
Eine Rundstrahlantenne strahlt vereinfacht in alle horizontalen Richtungen ab.
Typischer Einsatz:
- WLAN-Access-Point
- Heimrouter
- allgemeine Funkabdeckung
- Räume oder kleinere Bereiche
Vorteil:
mehrere Richtungen werden abgedeckt
Nachteil:
weniger gezielte Reichweite in eine bestimmte Richtung
Merksatz:
Rundstrahlantenne = breite Abdeckung.
Richtantenne
Eine Richtantenne bündelt die Funkenergie stärker in eine bestimmte Richtung.
Typischer Einsatz:
- Punkt-zu-Punkt-Verbindung
- Gebäudeverbindung
- gezielte Funkstrecke
- Außenbereich
- Richtfunk
Vorteil:
höhere Reichweite in eine Richtung
Nachteil:
andere Richtungen werden weniger gut versorgt
Merksatz:
Richtantenne = gezielte Funkstrecke.
dBi
dBi beschreibt den Antennengewinn bezogen auf einen idealen isotropen Strahler.
Ein isotroper Strahler ist ein theoretischer Bezugspunkt.
Er strahlt ideal gleichmäßig in alle Richtungen.
Wichtig:
dBi ist eine Angabe für Antennengewinn.
Beispiel:
Antennengewinn: 5 dBi
Das bedeutet:
Die Antenne bündelt im Vergleich zu einem idealen Rundumstrahler stärker in bestimmte Richtungen.
Merksatz:
dBi = Antennengewinn bezogen auf isotropen Strahler.
dBd
dBd beschreibt den Antennengewinn bezogen auf einen Halbwellendipol.
Ein Dipol ist eine reale Antennenform, die als Bezugspunkt verwendet werden kann.
Wichtig:
dBi und dBd sind nicht dasselbe.
Näherungsweise gilt:
0 dBd ≈ 2,15 dBi
Oder anders gesagt:
dBi-Wert ≈ dBd-Wert + 2,15 dB
Merksatz:
dBi und dBd haben unterschiedliche Bezugspunkte.
dBm
dBm ist eine Leistungsangabe.
dBm bezieht sich auf:
1 Milliwatt
Wichtig:
dB beschreibt ein Verhältnis.
dBm beschreibt eine absolute Leistung bezogen auf 1 mW.
Typische Werte:
Leistung
dBm
1 mW
0 dBm
10 mW
10 dBm
100 mW
20 dBm
1000 mW
30 dBm
Merksatz:
dBm = absolute Leistung bezogen auf 1 mW.
dB, dBi und dBm unterscheiden
Diese Begriffe werden häufig verwechselt.
Begriff
Bedeutung
dB
Verhältniswert
dBi
Antennengewinn bezogen auf isotropen Strahler
dBd
Antennengewinn bezogen auf Dipol
dBm
absolute Leistung bezogen auf 1 mW
Prüfungshinweis:
dB ist ein Verhältnis.
dBm ist eine Leistung.
dBi ist ein Antennengewinn.
Merksatz:
dB ≠ dBm ≠ dBi.
EIRP
EIRP steht für:
Equivalent Isotropically Radiated Power
Auf Deutsch sinngemäß:
äquivalente isotrope Strahlungsleistung
EIRP beschreibt die abgestrahlte Leistung bezogen auf einen idealen isotropen Strahler.
EIRP berücksichtigt:
- Sendeleistung
- Antennengewinn
- Leitungs- und Steckerverluste
Fachlich wichtig:
EIRP ist entscheidend,
wenn es um gesetzlich erlaubte Sendeleistung bei Funk geht.
Merksatz:
EIRP = wirksame abgestrahlte Leistung bezogen auf isotropen Strahler.
ERP
ERP steht für:
Effective Radiated Power
Auf Deutsch sinngemäß:
effektive Strahlungsleistung
ERP ist ähnlich wie EIRP, verwendet aber einen anderen Bezugspunkt.
ERP bezieht sich auf einen Halbwellendipol.
Wichtig:
EIRP und ERP sind nicht identisch.
Näherungsweise gilt:
EIRP = ERP + 2,15 dB
Oder:
ERP = EIRP - 2,15 dB
Merksatz:
EIRP bezieht sich auf isotrop.
ERP bezieht sich auf Dipol.
Warum sind EIRP und ERP wichtig?
Bei Funk darf nicht beliebig stark gesendet werden.
Der Gesetzgeber begrenzt die maximal erlaubte abgestrahlte Leistung.
Grund:
Andere Funkdienste sollen nicht gestört werden.
WLANs sollen sich gegenseitig nicht unnötig stark stören.
Funkbereiche müssen gemeinsam nutzbar bleiben.
Wichtig:
Nicht nur die Sendeleistung des Geräts zählt.
Auch der Antennengewinn zählt mit.
Merksatz:
Starke Antenne kann bedeuten:
Sendeleistung muss reduziert werden.
Vereinfachte Berechnung von EIRP
In dB-Werten kann man vereinfacht rechnen:
EIRP = Sendeleistung + Antennengewinn - Verluste
Fachlich als dB-Rechnung:
EIRP in dBm
=
Sendeleistung in dBm
+
Antennengewinn in dBi
-
Kabelverluste in dB
Beispiel:
Sendeleistung: 10 dBm
Antennengewinn: 5 dBi
Kabelverlust: 1 dB
Rechnung:
10 dBm + 5 dBi - 1 dB = 14 dBm EIRP
Merksatz:
Leistung plus Gewinn minus Verlust ergibt EIRP.
Beispiel mit 100 mW und 13 dB Antennengewinn
Angenommen:
maximal erlaubte EIRP: 100 mW
Antennengewinn: 13 dB
13 dB entsprechen ungefähr:
Faktor 20
Wenn die Antenne das Signal ungefähr um Faktor 20 bündelt, darf die zugeführte Sendeleistung entsprechend kleiner sein.
Vereinfacht:
100 mW / 20 = 5 mW
Das bedeutet:
Bei 13 dB Antennengewinn dürfte der Sender vereinfacht nur etwa 5 mW an die Antenne liefern,
wenn maximal 100 mW EIRP erlaubt sind
und keine weiteren Verluste berücksichtigt werden.
Wichtig:
In der Praxis müssen zusätzlich Kabelverluste,
genaue Antennenangaben,
Frequenzbereich
und gesetzliche Vorgaben berücksichtigt werden.
Merksatz:
Je höher der Antennengewinn,
desto niedriger muss oft die Sendeleistung eingestellt werden.
Einfache Faktor-Tabelle
dB
ungefährer Leistungsfaktor
3 dB
2
6 dB
4
10 dB
10
13 dB
20
16 dB
40
20 dB
100
30 dB
1000
Wichtig:
Diese Werte dienen als Orientierung.
Für genaue Berechnungen nutzt man logarithmische Formeln.
Merksatz:
3 dB ungefähr doppelt,
10 dB zehnfach.
Antennengewinn und Abstrahlrichtung
Eine Antenne mit höherem Gewinn strahlt nicht automatisch überall stärker.
Sie bündelt die Energie stärker in bestimmte Richtungen.
Das bedeutet:
In Hauptrichtung stärker.
In andere Richtungen schwächer.
Beispiel:
Eine Richtantenne kann weit in eine Richtung senden,
versorgt aber seitlich oder nach hinten schlechter.
Merksatz:
Antennengewinn verändert die Verteilung der Energie.
Antennengewinn und WLAN-Abdeckung
Ein hoher Antennengewinn ist nicht immer besser.
Bei WLAN im Gebäude kann eine zu stark gerichtete oder ungünstig ausgerichtete Antenne sogar Probleme verursachen.
Mögliche Probleme:
- ungleichmäßige Abdeckung
- Funklöcher
- Störungen in entfernten Bereichen
- schlechte Versorgung direkt unter oder neben der Antenne
- Überschneidungen mit anderen Funkzellen
Wichtig:
Gute WLAN-Abdeckung entsteht durch Planung,
nicht nur durch hohe Sendeleistung.
Merksatz:
Mehr Antennengewinn ist nicht automatisch besseres WLAN.
Sendeleistung
Sendeleistung ist die Leistung, mit der ein Funkgerät ein Signal erzeugt.
Beispiele:
Access Point
WLAN-Router
Funkmodul
Die Sendeleistung allein sagt aber noch nicht, wie stark das Signal in eine Richtung abgestrahlt wird.
Dafür müssen zusätzlich betrachtet werden:
- Antennengewinn
- Kabelverluste
- Stecker
- Frequenzband
- Umgebung
Merksatz:
Sendeleistung ist nur ein Teil der Funkstrecke.
Kabelverlust
Zwischen Funkgerät und Antenne kann ein Kabel liegen.
Dieses Kabel verursacht Verluste.
Diese Verluste werden meist in dB angegeben.
Beispiel:
Sendeleistung: 20 dBm
Kabelverlust: 2 dB
Antennengewinn: 5 dBi
EIRP:
20 dBm - 2 dB + 5 dBi = 23 dBm EIRP
Merksatz:
Kabelverluste verringern die wirksame abgestrahlte Leistung.
Freiraumdämpfung
Freiraumdämpfung beschreibt die Abschwächung eines Funksignals über Entfernung im freien Raum.
Je weiter der Empfänger entfernt ist, desto schwächer wird das Signal.
Wichtig:
Höhere Frequenzen haben bei gleicher Entfernung oft andere Ausbreitungseigenschaften als niedrigere Frequenzen.
Für WLAN bedeutet das vereinfacht:
2,4 GHz hat meist größere Reichweite.
5 GHz und 6 GHz haben meist geringere Reichweite,
können aber höhere Datenraten ermöglichen.
Merksatz:
Entfernung schwächt Funk signal deutlich.
Signalstärke bei WLAN
WLAN-Signalstärke wird häufig in dBm angezeigt.
Typische Anzeige:
-40 dBm
-60 dBm
-80 dBm
Wichtig:
Diese Werte sind negativ,
weil die empfangene Leistung sehr klein ist.
Grob vereinfacht:
Signalwert
grobe Einordnung
-40 dBm
sehr stark
-60 dBm
gut
-70 dBm
noch brauchbar
-80 dBm
schwach
-90 dBm
sehr schwach
Wichtig:
Die genaue Bewertung hängt von Anwendung,
Störungen,
Datenrate
und Gerät ab.
Merksatz:
Bei WLAN ist -50 dBm stärker als -80 dBm.
SNR bei WLAN
SNR steht für:
Signal-to-Noise Ratio
Auf Deutsch:
Signal-Rausch-Abstand
SNR beschreibt das Verhältnis zwischen Nutzsignal und Störrauschen.
Je höher der SNR-Wert, desto besser kann das Signal ausgewertet werden.
Wichtig:
Gute Signalstärke allein reicht nicht,
wenn gleichzeitig viel Rauschen oder Störung vorhanden ist.
Merksatz:
SNR = Abstand zwischen Nutzsignal und Störung.
Antennengewinn und gesetzliche Grenzen
Bei WLAN gelten je nach Land und Frequenzbereich gesetzliche Grenzwerte.
Diese Grenzwerte beziehen sich häufig auf die maximal erlaubte EIRP.
Das bedeutet:
Gerät,
Antenne
und Verluste
müssen zusammen betrachtet werden.
Wichtig:
Eine stärkere Antenne kann dazu führen,
dass die Sendeleistung reduziert werden muss.
Merksatz:
Gesetzliche Grenzen beziehen sich auf die wirksame abgestrahlte Leistung.
Warum darf man nicht einfach stärker senden?
Zu hohe Sendeleistung kann Probleme verursachen.
Mögliche Folgen:
- Störung anderer WLANs
- Störung anderer Funkdienste
- größere Funkzellen als geplant
- mehr Überschneidungen
- schlechteres Roaming
- rechtliche Probleme
- asymmetrische Verbindung
Asymmetrisch bedeutet hier:
Der Access Point sendet stark,
aber der Client kann nicht stark genug zurücksenden.
Dann sieht der Client zwar das WLAN,
aber die Verbindung funktioniert schlecht.
Merksatz:
Stark senden allein löst WLAN-Probleme nicht.
Asymmetrische WLAN-Verbindung
Bei WLAN müssen beide Seiten senden und empfangen können.
Beispiel:
Access Point hat hohe Sendeleistung.
Smartphone hat geringe Sendeleistung.
Dann kann es passieren:
Das Smartphone sieht den Access Point.
Der Access Point empfängt das Smartphone aber schlecht.
Ergebnis:
instabile Verbindung
niedriger Durchsatz
Verbindungsabbrüche
Merksatz:
WLAN ist Kommunikation in beide Richtungen.
Einordnung in das Schichtenmodell
Dezibel, Antennengewinn, EIRP und ERP gehören vor allem zur Funktechnik.
Thema
Einordnung
Funkwellen
OSI-Schicht 1
Sendeleistung
OSI-Schicht 1
Antenne
OSI-Schicht 1
dB, dBi, dBm
physikalische Funkgrößen
EIRP / ERP
wirksame abgestrahlte Leistung
WLAN-Zugriff
OSI-Schicht 2
IP-Adresse
OSI-Schicht 3
TCP / UDP
OSI-Schicht 4
Wichtig:
Antennengewinn verändert nicht IP-Adressen,
MAC-Adressen
oder Ports.
Merksatz:
Antennentechnik gehört zur Funkübertragung,
nicht zu IP oder TCP.
Typische Rechenaufgaben
In Prüfungen oder Übungen kann zum Beispiel gefragt werden:
- Welcher Faktor gehört zu einem dB-Wert?
- Wie wirkt sich Antennengewinn auf die erlaubte Sendeleistung aus?
- Was bedeutet 10 dB?
- Was bedeutet 20 dB?
- Wie berechnet man vereinfacht EIRP?
- Warum darf man bei hoher Antennenverstärkung die Sendeleistung nicht beliebig lassen?
Beispiel:
erlaubte EIRP: 100 mW
Antennengewinn: 10 dB
10 dB entspricht Faktor 10.
Vereinfachte Rechnung:
100 mW / 10 = 10 mW
Ergebnis:
Der Sender dürfte vereinfacht 10 mW an die Antenne liefern,
wenn keine weiteren Verluste berücksichtigt werden.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was bedeutet dB?
- Was beschreibt Antennengewinn?
- Warum erzeugt eine Antenne keine zusätzliche Energie?
- Was ist EIRP?
- Was ist ERP?
- Warum ist die gesetzlich erlaubte Sendeleistung begrenzt?
- Warum muss bei hohem Antennengewinn die Sendeleistung reduziert werden?
- Was bedeutet dBm?
- Was ist der Unterschied zwischen dB, dBi und dBm?
- Warum ist mehr Sendeleistung nicht automatisch besseres WLAN?
- Was bedeutet asymmetrische WLAN-Verbindung?
Typische Prüfungsfallen
dB ist ein Verhältnis,
keine absolute Leistung.
dBm ist eine absolute Leistung bezogen auf 1 mW.
dBi ist Antennengewinn bezogen auf einen isotropen Strahler.
Eine Antenne erzeugt keine zusätzliche Energie.
Antennengewinn bedeutet Bündelung.
Höherer Antennengewinn kann eine geringere erlaubte Sendeleistung bedeuten.
EIRP berücksichtigt Sendeleistung, Antennengewinn und Verluste.
Mehr Sendeleistung bedeutet nicht automatisch besseres WLAN.
WLAN braucht Kommunikation in beide Richtungen.
Ein Client muss auch zurücksenden können.
EIRP und ERP haben unterschiedliche Bezugspunkte.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
dB
Dezibel, Verhältniswert
dBm
Leistungswert bezogen auf 1 mW
dBi
Antennengewinn bezogen auf isotropen Strahler
dBd
Antennengewinn bezogen auf Dipol
Dämpfung
Abschwächung eines Signals
Verstärkung
Erhöhung einer Signalstärke
Antennengewinn
Bündelung der abgestrahlten Energie
Rundstrahlantenne
Antenne mit breiter horizontaler Abstrahlung
Richtantenne
Antenne mit gezielter Abstrahlung in eine Richtung
EIRP
wirksame abgestrahlte Leistung bezogen auf isotropen Strahler
ERP
wirksame abgestrahlte Leistung bezogen auf Dipol
Sendeleistung
Leistung, mit der ein Funkgerät sendet
Kabelverlust
Leistungsverlust zwischen Sender und Antenne
Freiraumdämpfung
Abschwächung eines Funksignals über Entfernung
SNR
Signal-Rausch-Abstand
asymmetrische Verbindung
eine Seite sendet deutlich stärker als die andere
IHK-sichere Kurzformulierung
Dezibel, kurz dB, beschreibt ein logarithmisches Verhältnis, zum Beispiel eine Dämpfung oder einen Gewinn. Bei Leistungswerten entspricht 10 dB dem Faktor 10 und 20 dB dem Faktor 100. Antennengewinn bedeutet nicht, dass eine Antenne zusätzliche Energie erzeugt, sondern dass vorhandene Energie stärker in bestimmte Richtungen gebündelt wird. EIRP beschreibt die wirksame abgestrahlte Leistung bezogen auf einen idealen isotropen Strahler. Dabei werden Sendeleistung, Antennengewinn und Leitungsverluste berücksichtigt. Bei WLAN und anderen Funktechniken müssen gesetzliche Grenzwerte eingehalten werden.
Merksätze
dB = Verhältniswert.
dBm = Leistung bezogen auf 1 mW.
dBi = Antennengewinn bezogen auf isotropen Strahler.
dBd = Antennengewinn bezogen auf Dipol.
3 dB ≈ Faktor 2.
10 dB = Faktor 10.
20 dB = Faktor 100.
Dämpfung = Signal wird schwächer.
Antennengewinn = Bündelung,
nicht Energieerzeugung.
Eine Antenne kann nichts „gewinnen“,
sie verteilt Energie nur anders.
EIRP = Sendeleistung + Antennengewinn - Verluste.
Hoher Antennengewinn kann geringere Sendeleistung erfordern.
Mehr Sendeleistung ist nicht automatisch besseres WLAN.
WLAN muss in beide Richtungen funktionieren.
Antennentechnik gehört zur Funkübertragung,
nicht zu IP oder TCP.
3.13 Merksätze und Prüfungswissen zu Schicht 0
Diese Seite fasst die wichtigsten Inhalte zu Schicht 0 zusammen.
Schicht 0 ist keine offizielle Schicht des OSI-Modells.
Sie wird hier als Lernhilfe verwendet, um Übertragungsmedien, Verkabelung und physische Infrastruktur besser einzuordnen.
Wichtig:
Das offizielle OSI-Modell beginnt mit Schicht 1,
der Bitübertragungsschicht.
Schicht 0 hilft beim Verständnis der physischen Grundlage eines Netzwerks.
Grundidee von Schicht 0
Schicht 0 beschreibt die physische Grundlage der Datenübertragung.
Dazu gehören zum Beispiel:
- Kupferkabel
- Koaxialkabel
- Twisted-Pair-Kabel
- Lichtwellenleiter
- WLAN-Funkstrecken
- Patchkabel
- Verlegekabel
- Netzwerkdosen
- Patchfelder
- Netzwerkschränke
- SFP-Module
- Medienkonverter
- Antennen
Merksatz:
Schicht 0 = physische Infrastruktur unterhalb der eigentlichen Bitübertragung.
Abgrenzung zu OSI-Schicht 1
Schicht 0 ist eine didaktische Ergänzung.
OSI-Schicht 1 ist offiziell Teil des OSI-Modells.
Bereich
Bedeutung
Schicht 0
Verkabelung, Übertragungsmedien, physische Infrastruktur
OSI-Schicht 1
Bitübertragungsschicht, Signale, Pegel, physische Übertragung
Wichtig:
Schicht 0 betrachtet eher das Medium und die Infrastruktur.
Schicht 1 betrachtet die Übertragung von Bits als Signale.
Merksatz:
Schicht 0 = worüber übertragen wird.
Schicht 1 = wie Bits als Signale übertragen werden.
Wichtige Übertragungsmedien
Medium
Signalart
typischer Einsatz
Koaxialkabel
elektrisch
alte Ethernet-Bus-Topologien, heute im LAN veraltet
Twisted Pair
elektrisch
moderne LAN-Arbeitsplatzverkabelung
Lichtwellenleiter
optisch
Backbone, Gebäudeverbindung, lange Strecken
WLAN
Funk
drahtlose lokale Netzwerke
Merksätze:
Kupfer überträgt elektrisch.
Glasfaser überträgt optisch.
WLAN überträgt per Funk.
Koaxialkabel kurz wiederholt
Koaxialkabel wurden früher in Ethernet-Netzwerken eingesetzt.
Typischer historischer Bezug:
10BASE2
Bus-Topologie
10BASE2 bedeutet:
Bestandteil
Bedeutung
10
10 Mbit/s
BASE
Basisbandübertragung
2
ungefähr 200 Yard Segmentlänge
Wichtig:
Koaxialkabel sind im modernen LAN weitgehend veraltet.
Merksatz:
Koaxialkabel = alte Ethernet-Technik mit Bus-Topologie.
Twisted-Pair-Kabel kurz wiederholt
Twisted Pair bedeutet:
verdrilltes Adernpaar
Ein typisches Netzwerkkabel besitzt:
8 Adern
4 Adernpaare
Die Verdrillung reduziert elektromagnetische Störeinflüsse.
Typischer Einsatz:
Arbeitsplatzverkabelung im LAN
Merksatz:
Twisted Pair = typische Kupferverkabelung im modernen LAN.
Kabelkategorien kurz wiederholt
Kategorie
typische Einordnung
CAT 3
ältere Technik, niedrige Datenraten
CAT 5
ältere Fast-Ethernet-Verkabelung
CAT 5e
Gigabit-Ethernet möglich
CAT 6
moderne LAN-Verkabelung
CAT 6A
wichtig für 10GBASE-T bis 100 m
CAT 7 / CAT 8
hohe Anforderungen und hohe Datenraten, abhängig von Strecke und Technik
Wichtig:
Die Kabelkategorie allein garantiert nicht automatisch die tatsächliche Verbindungsgeschwindigkeit.
Auch Switch, Netzwerkkarte, Patchfeld, Netzwerkdose, Kabellänge und Installation müssen passen.
Merksatz:
Die gesamte Strecke entscheidet.
Wichtige Ethernet-Bezeichnungen
Bezeichnung
Bedeutung
10BASE-T
10 Mbit/s über Twisted Pair
100BASE-TX
100 Mbit/s über Twisted Pair
1000BASE-T
1 Gbit/s über Twisted Pair
2.5GBASE-T
2,5 Gbit/s über Twisted Pair
5GBASE-T
5 Gbit/s über Twisted Pair
10GBASE-T
10 Gbit/s über Twisted Pair
Merksatz:
BASE-T = Ethernet über Twisted Pair.
Adern bei Twisted Pair
Bei Twisted-Pair-Ethernet ist wichtig:
Standard
typische Nutzung
10BASE-T
4 Adern
100BASE-TX
4 Adern
1000BASE-T
8 Adern
10GBASE-T
8 Adern
Prüfungsfalle:
Wenn eine Verbindung nur 100 Mbit/s statt 1 Gbit/s erreicht,
kann ein Problem mit einzelnen Adern oder der Verkabelung vorliegen.
Merksatz:
Gigabit-Ethernet nutzt alle 8 Adern.
Patchkabel und Verlegekabel
Kabelart
Aufgabe
Patchkabel
flexible Verbindung
Verlegekabel
feste Installation
Typischer Aufbau:
PC
→ Patchkabel
→ Netzwerkdose
→ Verlegekabel
→ Patchfeld
→ Patchkabel
→ Switch
Merksätze:
Patchkabel = flexibel.
Verlegekabel = fest installiert.
Strukturierte Verkabelung
Strukturierte Verkabelung bedeutet:
geplante,
einheitliche,
dokumentierte
und wartbare Gebäudeverkabelung.
Typische Bestandteile:
- Netzwerkdose
- Verlegekabel
- Patchfeld
- Patchkabel
- Netzwerkschrank
- Switch
- Dokumentation
Vorteile:
- bessere Übersicht
- einfachere Fehlersuche
- leichtere Erweiterung
- saubere Dokumentation
- flexible Nutzung von Anschlüssen
Merksatz:
Strukturierte Verkabelung macht Netzwerke planbar und wartbar.
Patchfeld kurz erklärt
Ein Patchfeld ist ein Anschlussfeld im Netzwerkschrank.
Dort enden die fest verlegten Netzwerkkabel.
Von dort werden Verbindungen mit Patchkabeln zum Switch hergestellt.
Wichtig:
Ein Patchfeld ist kein Switch.
Merksatz:
Patchfeld = Anschlussfeld für Verlegekabel.
Physischer Port und TCP-/UDP-Port
Der Begriff Port kann Unterschiedliches bedeuten.
Begriff
Bedeutung
physischer Port
Anschluss an Switch, Patchfeld, Netzwerkdose oder Gerät
TCP-/UDP-Port
Dienstadresse auf Schicht 4
Beispiele:
Switch-Port 5 = physischer Anschluss
TCP-Port 443 = HTTPS-Dienst
Prüfungsfalle:
Physischer Port und TCP-/UDP-Port nicht verwechseln.
Merksatz:
Physischer Port = Anschluss.
TCP-/UDP-Port = Dienst.
Lichtwellenleiter kurz wiederholt
Lichtwellenleiter werden mit LWL abgekürzt.
Andere Bezeichnungen:
Glasfaser
Fiber
LWL überträgt Daten optisch mit Licht.
Vorteile:
- hohe Datenraten
- lange Strecken
- störungsarm
- elektrische Trennung
- gut für Backbone und Gebäudeverbindungen
Merksatz:
LWL = Datenübertragung mit Licht.
Multimode und Singlemode
Fasertyp
Bedeutung
typischer Einsatz
Multimode
mehrere Lichtwege
kürzere bis mittlere Strecken
Singlemode
ein Lichtweg
lange Strecken
Singlemode wird auch genannt:
Monomode
Merksätze:
Multimode = eher kürzer.
Singlemode = eher länger.
LWL-Sicherheit
Bei Glasfaser gilt:
Niemals direkt in eine Glasfaser oder in einen optischen Port schauen.
Grund:
Es kann unsichtbares Laserlicht austreten.
Auch wenn man kein Licht sieht, kann es gefährlich für die Augen sein.
Merksatz:
Niemals in Glasfaser oder optische Ports schauen.
SFP und Medienkonverter
SFP steht für:
Small Form-factor Pluggable
Ein SFP ist ein steckbares Netzwerkmodul.
Mini-GBIC ist eine ältere Bezeichnung für SFP.
Ein Medienkonverter verbindet unterschiedliche Übertragungsmedien.
Typisches Beispiel:
Kupfer Ethernet ↔ Glasfaser Ethernet
Wichtig:
Ein Medienkonverter ändert normalerweise keine IP-Adresse.
Ein Medienkonverter ist normalerweise kein Router.
Merksätze:
SFP = steckbares Netzwerkmodul.
Medienkonverter = Übergang zwischen Kupfer und Glasfaser.
TX und RX
Bei Glasfaserverbindungen sind TX und RX wichtig.
TX steht für:
Transmit
Also:
Senden
RX steht für:
Receive
Also:
Empfangen
Wichtig:
TX der einen Seite muss auf RX der anderen Seite treffen.
Merksatz:
TX muss auf RX.
Einfache Regel für die Verkabelung
Als einfache Orientierung gilt:
Strecke / Einsatz
sinnvolles Medium
kurze LAN-Strecke
Twisted-Pair-Kupfer
mittlere Glasfaserstrecke
Multimode-LWL
lange Strecke
Singlemode-LWL
Noch kürzer:
kurz = Kupfer
mittel = Multimode
lang = Singlemode
Wichtig:
Die konkrete Auswahl hängt von Datenrate,
Entfernung,
Störungen,
Kosten,
vorhandener Technik
und Stromversorgung ab.
100-m-Regel bei Twisted Pair
Bei Twisted-Pair-Ethernet gilt häufig als Orientierung:
maximal 100 m
Diese Strecke umfasst die gesamte Verbindung.
Beispiel:
Patchkabel
+ Verlegekabel
+ Patchkabel
= gesamte Strecke
Merksatz:
Twisted Pair im LAN: häufig bis ca. 100 m.
PoE kurz erklärt
PoE steht für:
Power over Ethernet
PoE bedeutet:
Stromversorgung über das Netzwerkkabel.
Typische PoE-Geräte:
- Access Points
- IP-Kameras
- VoIP-Telefone
- Sensoren
Wichtig:
PoE funktioniert über Twisted-Pair-Kupfer,
aber nicht direkt über Glasfaser.
Merksatz:
PoE = Strom über Netzwerkkabel.
Dämpfung kurz wiederholt
Dämpfung bedeutet:
Ein Signal wird schwächer.
Dämpfung gibt es bei:
- Kupfer
- Glasfaser
- WLAN-Funk
Typische Ursachen:
- Kabellänge
- schlechte Steckverbindungen
- Verschmutzung
- falsches Medium
- Biegeradius unterschritten
- Störungen
- zu hohe Entfernung
Merksatz:
Dämpfung = Signalverlust.
Signalqualität
Signalqualität beschreibt, wie gut ein Signal beim Empfänger ankommt.
Eine schlechte Signalqualität kann verursachen:
- instabile Verbindung
- Paketverluste
- niedrigen Durchsatz
- Verbindungsabbrüche
- niedrig ausgehandelte Geschwindigkeit
Wichtig:
Link vorhanden bedeutet nicht automatisch gute Signalqualität.
Merksatz:
Signalqualität = wie sauber und nutzbar ein Signal ankommt.
Bandbreite, Durchsatz und Latenz
Begriff
Bedeutung
Bandbreite
theoretische Übertragungskapazität
Durchsatz
tatsächlich erreichte Datenrate
Latenz
Verzögerungszeit
Prüfungsfalle:
Bandbreite und Durchsatz sind nicht dasselbe.
Merksätze:
Bandbreite = möglich.
Durchsatz = tatsächlich erreicht.
Latenz = Verzögerung.
WLAN kurz wiederholt
WLAN steht für:
Wireless Local Area Network
WLAN ist ein drahtloses lokales Netzwerk.
Die Datenübertragung erfolgt per Funk.
Typische Frequenzbereiche:
2,4 GHz
5 GHz
6 GHz
Merksatz:
WLAN = lokales Netzwerk über Funk.
WLAN-Standards
Wi-Fi-Bezeichnung
technischer Standard
Wi-Fi 4
IEEE 802.11n
Wi-Fi 5
IEEE 802.11ac
Wi-Fi 6
IEEE 802.11ax
Wi-Fi 6E
IEEE 802.11ax mit 6-GHz-Erweiterung
Wi-Fi 7
IEEE 802.11be
Wichtig:
IEEE 802.11 ist die Normfamilie für WLAN.
Merksatz:
Wi-Fi 6 = IEEE 802.11ax.
Wi-Fi 7 = IEEE 802.11be.
2,4 GHz, 5 GHz und 6 GHz
Frequenzbereich
typische Eigenschaft
2,4 GHz
größere Reichweite, oft stärker belegt
5 GHz
höhere Datenraten, geringere Reichweite
6 GHz
moderne zusätzliche Kapazität, passende Geräte nötig
Merksatz:
2,4 GHz reicht weiter.
5 GHz ist oft schneller.
6 GHz bietet zusätzliche Kapazität.
SSID, BSSID und VLAN
Begriff
Bedeutung
SSID
Name eines WLANs
BSSID
MAC-Adresse eines konkreten Access Points
VLAN
logische Netztrennung
Beispiel:
SSID
VLAN
Zweck
Firma-Mitarbeiter
VLAN 10
internes Netzwerk
Firma-Gast
VLAN 20
Gastzugang
Firma-IoT
VLAN 30
Geräte-Netz
Merksatz:
SSID = WLAN-Name.
VLAN = logische Trennung.
WLAN-Sicherheit
WLAN muss abgesichert werden, weil Funk nicht an der Wand endet.
Wichtige Sicherheitsstandards:
Standard
Einordnung
WEP
veraltet und unsicher
WPA
veraltet
WPA2
Mindeststandard
WPA3
besser und moderner
Wichtig:
WLAN sollte mindestens mit WPA2,
besser mit WPA3 abgesichert werden.
Merksatz:
WLAN braucht Verschlüsselung.
WPA-Personal und WPA-Enterprise
Verfahren
Bedeutung
WPA-Personal
gemeinsames WLAN-Passwort
WPA-Enterprise
individuelle Anmeldung über 802.1X / RADIUS
WPA-Personal nutzt häufig einen PSK.
PSK steht für:
Pre-Shared Key
WPA-Enterprise ist besonders für größere Umgebungen sinnvoll.
Merksatz:
Personal = gemeinsames Passwort.
Enterprise = individuelle Anmeldung.
Gast-WLAN
Ein Gast-WLAN sollte vom internen Netzwerk getrennt sein.
Typische Umsetzung:
eigene SSID
eigenes VLAN
Firewall-Regeln
Client-Isolation
eventuell Captive Portal
Ziel:
Gäste dürfen ins Internet,
aber nicht auf interne Systeme.
Merksatz:
Gast-WLAN vom internen Netz trennen.
MIMO und MU-MIMO
MIMO steht für:
Multiple Input Multiple Output
MU-MIMO steht für:
Multi User MIMO
Kurz erklärt:
Begriff
Bedeutung
MIMO
mehrere Antennen und Datenströme
MU-MIMO
mehrere Clients gleichzeitig effizienter bedienen
Wichtig:
Access Point und Client müssen die Technik unterstützen.
Merksatz:
MIMO verbessert Funkübertragung,
ersetzt aber keine WLAN-Planung.
CSMA/CA
CSMA/CA steht für:
Carrier Sense Multiple Access / Collision Avoidance
WLAN nutzt Kollisionsvermeidung.
Merksatz:
CSMA/CA = Kollisionsvermeidung bei WLAN.
Nicht verwechseln mit:
CSMA/CD = Kollisionserkennung bei älteren drahtgebundenen Ethernet-Umgebungen.
Dezibel und Antennengewinn
dB beschreibt ein Verhältnis.
dBm beschreibt eine absolute Leistung bezogen auf 1 mW.
dBi beschreibt Antennengewinn bezogen auf einen isotropen Strahler.
Begriff
Bedeutung
dB
Verhältniswert
dBm
Leistung bezogen auf 1 mW
dBi
Antennengewinn
EIRP
wirksame abgestrahlte Leistung
ERP
effektive Strahlungsleistung bezogen auf Dipol
Merksatz:
dB ≠ dBm ≠ dBi.
Antennengewinn
Antennengewinn bedeutet:
Die Antenne bündelt die vorhandene Energie stärker in bestimmte Richtungen.
Wichtig:
Eine Antenne erzeugt keine zusätzliche Energie.
Merksatz:
Antennengewinn = Bündelung,
nicht Energieerzeugung.
EIRP kurz erklärt
EIRP steht für:
Equivalent Isotropically Radiated Power
EIRP beschreibt die wirksame abgestrahlte Leistung bezogen auf einen idealen isotropen Strahler.
Vereinfacht:
EIRP = Sendeleistung + Antennengewinn - Verluste
Wichtig:
Gesetzliche Grenzwerte beziehen sich häufig auf die wirksame abgestrahlte Leistung.
Merksatz:
Hoher Antennengewinn kann geringere Sendeleistung erfordern.
Wichtige Prüfungszuordnungen
Thema
richtige Einordnung
Koaxialkabel
ältere Ethernet-Verkabelung
Twisted Pair
typische Kupferverkabelung im LAN
LWL
optische Datenübertragung
Multimode
eher kürzere Glasfaserstrecken
Singlemode
eher lange Glasfaserstrecken
Patchfeld
Anschlussfeld für Verlegekabel
Medienkonverter
Übergang zwischen Medien
SFP
steckbares Netzwerkmodul
WLAN
drahtloses lokales Netzwerk
SSID
WLAN-Name
VLAN
logische Netztrennung
WPA2 / WPA3
WLAN-Sicherheit
MIMO
mehrere Antennen und Datenströme
dB
Verhältniswert
EIRP
wirksame abgestrahlte Leistung
Typische Prüfungsfragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Warum ist Schicht 0 keine offizielle OSI-Schicht?
- Welche Übertragungsmedien gibt es?
- Was bedeutet Twisted Pair?
- Warum sind Adernpaare verdrillt?
- Was ist der Unterschied zwischen Patchkabel und Verlegekabel?
- Was ist ein Patchfeld?
- Was ist strukturierte Verkabelung?
- Was ist der Unterschied zwischen Multimode und Singlemode?
- Warum verwendet man LWL für lange Strecken?
- Was bedeutet Dämpfung?
- Was ist ein SFP-Modul?
- Was macht ein Medienkonverter?
- Was bedeutet WLAN?
- Was ist eine SSID?
- Warum muss WLAN verschlüsselt werden?
- Was bedeutet MIMO?
- Was bedeutet dB?
- Was ist EIRP?
Typische Prüfungsfallen
Schicht 0 ist keine offizielle OSI-Schicht.
Das OSI-Modell beginnt offiziell mit Schicht 1.
Koaxialkabel ist im modernen LAN weitgehend veraltet.
10BASE2 bedeutet nicht 2 Mbit/s.
Twisted Pair bedeutet verdrilltes Adernpaar.
Gigabit-Ethernet nutzt alle 8 Adern.
Kabelkategorie allein garantiert nicht die Geschwindigkeit.
Patchfeld ist kein Switch.
Physischer Port ist nicht TCP-/UDP-Port.
Multimode und Singlemode sind nicht beliebig austauschbar.
Glasfaser überträgt kein PoE.
SFP-Port und SFP-Modul sind nicht dasselbe.
TX muss auf RX.
WLAN ist nicht dasselbe wie Internet.
SSID ist nicht das Passwort.
WPA2 ist Mindeststandard,
WPA3 ist besser.
MAC-Filter ersetzt keine WLAN-Verschlüsselung.
dB ist kein absoluter Leistungswert.
Eine Antenne erzeugt keine zusätzliche Energie.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Schicht 0
didaktische Ergänzung für Übertragungsmedien und Infrastruktur
Übertragungsmedium
physischer Weg der Datenübertragung
Koaxialkabel
ältere Ethernet-Verkabelung mit Innenleiter und Schirmung
Twisted Pair
Kupferkabel mit verdrillten Adernpaaren
LWL
Lichtwellenleiter, optische Datenübertragung
Multimode
Glasfaser mit mehreren Lichtwegen
Singlemode
Glasfaser mit einem Lichtweg
Patchkabel
flexibles Verbindungskabel
Verlegekabel
fest installiertes Kabel
Patchfeld
Anschlussfeld für fest verlegte Kabel
strukturierte Verkabelung
geplante und dokumentierte Gebäudeverkabelung
Medienkonverter
verbindet unterschiedliche Übertragungsmedien
SFP
steckbares Netzwerkmodul
Dämpfung
Abschwächung eines Signals
WLAN
drahtloses lokales Netzwerk
SSID
Name eines WLANs
VLAN
logisches Teilnetz
WPA2
verbreiteter WLAN-Sicherheitsstandard
WPA3
neuerer WLAN-Sicherheitsstandard
MIMO
mehrere Antennen und Datenströme
dB
Verhältniswert
dBm
Leistung bezogen auf 1 mW
dBi
Antennengewinn
EIRP
wirksame abgestrahlte Leistung
IHK-sichere Gesamtformulierung
Schicht 0 ist keine offizielle Schicht des OSI-Modells, sondern eine didaktische Ergänzung zur Einordnung von Übertragungsmedien und physischer Infrastruktur. Dazu gehören Koaxialkabel, Twisted-Pair-Kabel, Lichtwellenleiter, WLAN-Funkstrecken, Patchkabel, Verlegekabel, Netzwerkdosen, Patchfelder und Netzwerkschränke. Twisted Pair ist die typische Kupferverkabelung im LAN. Lichtwellenleiter übertragen Daten optisch und eignen sich besonders für lange Strecken, Backbone-Verbindungen und störungsarme Übertragung. WLAN überträgt Daten per Funk und muss wegen der drahtlosen Ausbreitung besonders abgesichert werden. Eine fehlerhafte physische Infrastruktur kann alle höheren Netzwerkschichten beeinträchtigen.
Wichtigste Merksätze
Schicht 0 ist eine Lernhilfe.
OSI beginnt offiziell mit Schicht 1.
Schicht 0 = Übertragungsmedien und Verkabelung.
Schicht 1 = Bits und Signale.
Kupfer = elektrisch.
Glasfaser = optisch.
WLAN = Funk.
Koaxialkabel = ältere Ethernet-Technik.
Twisted Pair = verdrillte Adernpaare.
Typisches Netzwerkkabel = 8 Adern.
Gigabit nutzt alle 8 Adern.
Patchkabel = flexibel.
Verlegekabel = fest installiert.
Patchfeld = kein Switch.
LWL = Lichtwellenleiter.
Multimode = eher kürzere Strecken.
Singlemode = eher lange Strecken.
Medienkonverter = Kupfer zu Glasfaser.
SFP = steckbares Netzwerkmodul.
TX muss auf RX.
Dämpfung = Signal wird schwächer.
Bandbreite ist nicht Durchsatz.
WLAN = drahtloses lokales Netzwerk.
SSID = WLAN-Name.
VLAN = logische Trennung.
WPA2 mindestens,
WPA3 besser.
MIMO = mehrere Antennen und Datenströme.
dB = Verhältniswert.
Antennengewinn = Bündelung,
nicht Energieerzeugung.
EIRP = wirksame abgestrahlte Leistung.
Ohne funktionierende physische Infrastruktur
funktionieren die höheren Schichten nicht zuverlässig.
4. OSI-Schicht 1 – Bitübertragungsschicht
4.1 OSI-Schicht 1 – Bitübertragungsschicht
Die Bitübertragungsschicht ist die unterste offizielle Schicht des OSI-Modells.
Sie beschreibt, wie einzelne Bits physisch übertragen werden.
Das bedeutet:
Daten werden auf Schicht 1 nicht als Webseite,
Datei,
IP-Adresse
oder TCP-Verbindung betrachtet,
sondern nur als Folge von Bits.
Ein Bit kann zwei Zustände haben:
0
1
Diese Bits werden je nach Medium als Signale übertragen.
Grundaufgabe der Bitübertragungsschicht
Die Hauptaufgabe der Bitübertragungsschicht ist:
Bits über ein physisches Medium übertragen.
Dabei geht es vor allem um:
- elektrische Signale
- optische Signale
- Funksignale
- Stecker
- Schnittstellen
- Übertragungsgeschwindigkeit
- Signalpegel
- Taktung
- physische Verbindung
- Netzwerkkarte
- Hub
Merksatz:
Schicht 1 = Bits und Signale.
Einordnung im OSI-Modell
OSI-Schicht
Name
Aufgabe
7
Anwendungsschicht
Netzwerkdienste für Anwendungen
6
Darstellungsschicht
Darstellung, Codierung, Kompression, Verschlüsselung
5
Sitzungsschicht
Sitzungen verwalten
4
Transportschicht
Transport zwischen Anwendungen
3
Vermittlungsschicht
IP-Adressierung und Routing
2
Sicherungsschicht
lokale Übertragung mit Frames und MAC-Adressen
1
Bitübertragungsschicht
Bits als Signale übertragen
Wichtig:
Schicht 1 ist die unterste offizielle OSI-Schicht.
Abgrenzung zu Schicht 0
In unserem Lernsystem gibt es vorher das Kapitel Schicht 0.
Schicht 0 ist aber keine offizielle OSI-Schicht.
Bereich
Bedeutung
Schicht 0
Verkabelung, Übertragungsmedien, physische Infrastruktur
OSI-Schicht 1
Bitübertragung, Signale, Pegel, Schnittstellen
Vereinfacht:
Schicht 0 = worüber übertragen wird.
Schicht 1 = wie Bits als Signale übertragen werden.
Beispiel:
Twisted-Pair-Kabel = Schicht 0 / Medium
elektrische Signalübertragung über das Kabel = Schicht 1
Merksatz:
Schicht 0 ist die physische Grundlage.
Schicht 1 überträgt Bits als Signale.
Begriff: Bit
Ein Bit ist die kleinste Informationseinheit in der digitalen Datenverarbeitung.
Ein Bit kann zwei Zustände haben:
0
1
Auf Schicht 1 werden Bits physisch übertragen.
Je nach Technik können diese Zustände dargestellt werden durch:
- elektrische Spannungszustände
- Lichtimpulse
- Funksignale
- Signaländerungen
Merksatz:
Bit = kleinste Informationseinheit.
Begriff: Signal
Ein Signal ist die physische Darstellung von Information.
Auf Schicht 1 werden Bits als Signale übertragen.
Beispiele:
Medium
Signalart
Kupferkabel
elektrische Signale
Lichtwellenleiter
optische Signale
WLAN
elektromagnetische Funksignale
Wichtig:
Schicht 1 kennt keine IP-Adressen,
keine MAC-Adressen
und keine Ports.
Schicht 1 überträgt nur Signale.
Merksatz:
Signal = physische Darstellung von Bits.
Elektrische Signalübertragung
Bei Kupferkabeln werden Bits als elektrische Signale übertragen.
Typische Medien:
- Twisted-Pair-Kabel
- Koaxialkabel
Beispiel:
Bei Ethernet über Twisted Pair werden elektrische Signale über Kupferadern übertragen.
Wichtig:
Die Qualität der elektrischen Übertragung hängt unter anderem von Kabellänge,
Kabelqualität,
Störungen
und Steckverbindungen ab.
Merksatz:
Kupfer überträgt elektrisch.
Optische Signalübertragung
Bei Lichtwellenleitern werden Bits als Lichtsignale übertragen.
Typisches Medium:
Lichtwellenleiter
Andere Bezeichnungen:
Glasfaser
LWL
Fiber
Vorteile:
- hohe Datenraten
- lange Strecken
- geringe Störempfindlichkeit gegenüber elektromagnetischen Einflüssen
Wichtig:
Niemals direkt in eine Glasfaser oder in optische Ports schauen.
Merksatz:
Glasfaser überträgt optisch.
Funkübertragung
Bei WLAN werden Bits über Funk übertragen.
Typische Technik:
IEEE 802.11
Typische Frequenzbereiche:
2,4 GHz
5 GHz
6 GHz
Bei Funkübertragung ist die Signalqualität stark abhängig von:
- Entfernung
- Hindernissen
- Störungen
- Kanalbelegung
- Antennen
- Sendeleistung
- Anzahl der Clients
Merksatz:
WLAN überträgt per Funk.
Begriff: Physische Schnittstelle
Eine physische Schnittstelle ist der konkrete Anschluss oder Übergang zur Übertragung.
Beispiele:
- RJ45-Anschluss
- Glasfaseranschluss
- SFP-Port mit SFP-Modul
- WLAN-Funkschnittstelle
- Netzwerkkarte
Wichtig:
Die physische Schnittstelle stellt die Verbindung zur Übertragungstechnik bereit.
Merksatz:
Physische Schnittstelle = Anschluss zur Datenübertragung.
Netzwerkkarte
Die Netzwerkkarte ist das Bindeglied zwischen Rechner und Netzwerk.
Andere Bezeichnungen:
Netzwerkadapter
NIC
Network Interface Card
Eine Netzwerkkarte kann zum Beispiel sein:
- Ethernet-Netzwerkkarte
- WLAN-Adapter
- Glasfaser-Netzwerkkarte
- Onboard-Netzwerkanschluss
- USB-Netzwerkadapter
Merksatz:
Netzwerkkarte = Schnittstelle zwischen Computer und Netzwerk.
Aufgaben der Netzwerkkarte auf Schicht 1
Auf Schicht 1 ist die Netzwerkkarte für die physische Signalübertragung wichtig.
Typische Aufgaben im Schicht-1-Bezug:
- Bits senden
- Bits empfangen
- Signale erzeugen
- Signale auswerten
- Verbindungsgeschwindigkeit aushandeln
- physische Verbindung herstellen
- Link-Status erkennen
Wichtig:
Moderne Netzwerkkarten haben auch Funktionen,
die Schicht 2 betreffen,
zum Beispiel MAC-Adresse und Frame-Verarbeitung.
Für Schicht 1 ist aber besonders die physische Übertragung entscheidend.
Merksatz:
Netzwerkkarte überträgt Bits zwischen Computer und Netzwerk.
Begriff: Link
Ein Link ist eine aktive physische Verbindung zwischen zwei Netzwerkkomponenten.
Beispiel:
PC ↔ Switch
Wenn die Link-LED leuchtet, besteht grundsätzlich eine physische Verbindung.
Wichtig:
Link vorhanden bedeutet nicht automatisch,
dass IP,
DNS
oder Internet funktionieren.
Ein Link zeigt zuerst nur:
Die physische Verbindung ist grundsätzlich aktiv.
Merksatz:
Link = aktive physische Verbindung.
Link-LED
Viele Netzwerkgeräte besitzen eine Link-LED.
Diese LED zeigt an, ob eine physische Verbindung erkannt wurde.
Typische Anzeigen:
LED aus:
keine physische Verbindung
LED an:
physische Verbindung vorhanden
LED blinkt:
Datenübertragung oder Aktivität
Wichtig:
Die genaue Bedeutung hängt vom Gerät ab.
Merksatz:
Link-LED hilft bei der Prüfung von Schicht 1.
Übertragungsgeschwindigkeit
Die Übertragungsgeschwindigkeit beschreibt, mit welcher Datenrate eine Verbindung arbeiten kann.
Beispiele:
100 Mbit/s
1 Gbit/s
2,5 Gbit/s
10 Gbit/s
Die mögliche Geschwindigkeit hängt ab von:
- Netzwerkkarte
- Switch-Port
- Kabel
- Stecker
- Patchfeld
- Standard
- Konfiguration
- Signalqualität
Merksatz:
Die langsamste oder ungeeignete Komponente kann die Verbindung begrenzen.
Auto-Negotiation
Auto-Negotiation bedeutet:
Zwei Netzwerkgeräte handeln automatisch aus,
mit welcher Geschwindigkeit und welchem Duplexmodus sie arbeiten.
Dabei wird zum Beispiel ausgehandelt:
- 100 Mbit/s
- 1 Gbit/s
- 2,5 Gbit/s
- 10 Gbit/s
- Halbduplex
- Vollduplex
Wichtig:
Wenn Kabel,
Port
oder Gegenstelle eine Geschwindigkeit nicht unterstützen,
wird eventuell eine niedrigere Geschwindigkeit genutzt
oder es kommt kein stabiler Link zustande.
Merksatz:
Auto-Negotiation = automatische Aushandlung der Verbindungseigenschaften.
Duplexmodus
Der Duplexmodus beschreibt, ob gleichzeitig gesendet und empfangen werden kann.
Modus
Bedeutung
Halbduplex
Senden oder Empfangen, aber nicht gleichzeitig
Vollduplex
Senden und Empfangen gleichzeitig
Moderne geswitchte Ethernet-Verbindungen arbeiten normalerweise mit Vollduplex.
Historisch war Halbduplex besonders bei Hubs wichtig.
Merksatz:
Vollduplex = gleichzeitig senden und empfangen.
Simplex, Halbduplex und Vollduplex
Begriff
Bedeutung
Vergleich
Simplex
nur eine Richtung
Einbahnstraße
Halbduplex
abwechselnd in beide Richtungen
Baustellenampel
Vollduplex
gleichzeitig in beide Richtungen
zweispurige Straße
Prüfungshinweis:
Bei modernen Switch-Verbindungen ist Vollduplex üblich.
Bei alten Hub-Umgebungen war Halbduplex typisch.
Hub
Ein Hub ist ein älteres Netzwerkgerät.
Ein Hub arbeitet auf Schicht 1.
Er verteilt eingehende Signale an alle angeschlossenen Ports.
Das bedeutet:
Ein Signal, das an einem Port eingeht,
wird an alle anderen Ports weitergegeben.
Ein Hub wertet keine MAC-Adressen aus.
Ein Hub wertet keine IP-Adressen aus.
Merksatz:
Hub = Schicht 1, verteilt Signale an alle Ports.
Hub im Vergleich zum Switch
Gerät
typische Schicht
Arbeitsweise
Hub
Schicht 1
verteilt Signale an alle Ports
Switch
Schicht 2
leitet Frames anhand von MAC-Adressen weiter
Wichtig:
Ein Hub ist kein Switch.
Ein Hub ist deutlich einfacher und älter.
Ein Switch ist heute die übliche Komponente im LAN.
Merksatz:
Hub verteilt blind.
Switch entscheidet anhand von MAC-Adressen.
Warum sind Hubs veraltet?
Hubs werden in modernen LANs praktisch nicht mehr eingesetzt.
Nachteile:
- alle Daten werden an alle Ports verteilt
- unnötiger Datenverkehr
- schlechte Netzwerkeffizienz
- nur Halbduplex
- höhere Kollisionsgefahr
- Sniffing einfacher möglich
- keine gezielte Weiterleitung anhand von MAC-Adressen
Moderne Netzwerke verwenden stattdessen Switches.
Merksatz:
Hubs sind durch Switches ersetzt worden.
Kollisionen
Eine Kollision entsteht, wenn mehrere Geräte gleichzeitig auf demselben Übertragungsmedium senden und sich die Signale stören.
Historisch war das besonders bei gemeinsam genutzten Ethernet-Medien und Hubs wichtig.
Bei modernen Switch-Verbindungen mit Vollduplex spielen Kollisionen praktisch keine Rolle mehr.
Merksatz:
Kollision = gleichzeitiges Senden auf gemeinsamem Medium.
Kollisionsdomäne
Eine Kollisionsdomäne ist ein Netzwerkbereich, in dem Kollisionen auftreten können.
Bei einem Hub gehören alle angeschlossenen Geräte zur gleichen Kollisionsdomäne.
Bei einem Switch ist normalerweise jeder Port eine eigene Kollisionsdomäne.
Merksatz:
Hub = eine große Kollisionsdomäne.
Switch = Portweise getrennte Kollisionsbereiche.
CSMA/CD
CSMA/CD steht für:
Carrier Sense Multiple Access / Collision Detection
Auf Deutsch sinngemäß:
Mehrfachzugriff mit Trägerprüfung und Kollisionserkennung
CSMA/CD wurde bei älteren Ethernet-Umgebungen verwendet, um mit Kollisionen umzugehen.
Grundidee:
Vor dem Senden wird geprüft,
ob das Medium frei ist.
Wenn es trotzdem zu einer Kollision kommt,
wird diese erkannt.
Danach wird später erneut gesendet.
Merksatz:
CSMA/CD = Kollisionserkennung bei älteren drahtgebundenen Ethernet-Umgebungen.
CSMA/CA
CSMA/CA steht für:
Carrier Sense Multiple Access / Collision Avoidance
Auf Deutsch sinngemäß:
Mehrfachzugriff mit Trägerprüfung und Kollisionsvermeidung
CSMA/CA wird bei WLAN verwendet.
Grundidee:
Kollisionen sollen möglichst vermieden werden,
weil sie bei Funk schwerer direkt erkannt werden können.
Merksatz:
CSMA/CA = Kollisionsvermeidung bei WLAN.
CSMA/CD und CSMA/CA im Vergleich
Verfahren
Bedeutung
typischer Bezug
CSMA/CD
Collision Detection
ältere drahtgebundene Ethernet-Umgebungen
CSMA/CA
Collision Avoidance
WLAN
Merksätze:
CD = Collision Detection = Kollisionserkennung.
CA = Collision Avoidance = Kollisionsvermeidung.
Schicht 1 und Fehlersuche
Viele Netzwerkprobleme beginnen auf Schicht 1.
Typische Schicht-1-Probleme:
- Kabel nicht gesteckt
- Kabel defekt
- falsches Kabel
- Port defekt
- Netzwerkkarte deaktiviert
- falsches SFP-Modul
- TX/RX bei Glasfaser vertauscht
- zu lange Kabelstrecke
- schlechte Signalqualität
- WLAN-Signal zu schwach
- Stromversorgung fehlt
- Hub oder Medienkonverter defekt
Merksatz:
Bei Netzwerkproblemen zuerst Schicht 1 prüfen.
Typische Prüfungen auf Schicht 1
Sinnvolle Prüfschritte:
1. Ist das Kabel eingesteckt?
2. Leuchtet die Link-LED?
3. Ist der richtige Port verwendet?
4. Ist das Kabel beschädigt?
5. Ist die Netzwerkkarte aktiv?
6. Wird eine Geschwindigkeit ausgehandelt?
7. Unterstützen beide Seiten dieselbe Geschwindigkeit?
8. Ist das SFP-Modul passend?
9. Sind TX und RX richtig verbunden?
10. Ist das WLAN-Signal ausreichend?
Mögliche Werkzeuge:
- Sichtprüfung
- Kabeltester
- Link-LED
- Switch-Port-Status
- Betriebssystemanzeige
- WLAN-Signalstärke
- LWL-Tester
Merksatz:
Schicht 1 prüft man zuerst physisch und elektrisch/optisch/funktechnisch.
Schicht 1 und höhere Schichten
Ein Fehler auf Schicht 1 kann alle höheren Schichten beeinflussen.
Beispiel:
Wenn kein Link vorhanden ist,
funktionieren auch IP,
TCP,
DNS
und HTTP nicht.
Das bedeutet:
Ohne funktionierende physische Übertragung
kann keine höhere Netzwerkkommunikation stattfinden.
Merksatz:
Ohne Schicht 1 keine höheren Schichten.
Was gehört nicht zu Schicht 1?
Nicht alles, was mit Netzwerk zu tun hat, gehört zu Schicht 1.
Thema
typische Schicht
MAC-Adresse
Schicht 2
Ethernet-Frame
Schicht 2
VLAN
Schicht 2
IP-Adresse
Schicht 3
Routing
Schicht 3
TCP / UDP
Schicht 4
Portnummer
Schicht 4
DNS
Schicht 7
HTTP
Schicht 7
Wichtig:
Schicht 1 überträgt Bits.
Sie wertet keine MAC-Adressen,
IP-Adressen
oder Ports aus.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Welche Aufgabe hat die Bitübertragungsschicht?
- Was wird auf Schicht 1 übertragen?
- Welche Signalarten gibt es?
- Welche Geräte arbeiten auf Schicht 1?
- Was ist ein Hub?
- Warum ist ein Hub kein Switch?
- Was bedeutet Halbduplex?
- Was bedeutet Vollduplex?
- Was bedeutet Auto-Negotiation?
- Was ist CSMA/CD?
- Was ist CSMA/CA?
- Welche Fehler liegen typischerweise auf Schicht 1?
- Warum beeinflusst ein Fehler auf Schicht 1 alle höheren Schichten?
Typische Prüfungsfallen
Schicht 1 überträgt Bits,
keine IP-Pakete im fachlichen Sinne.
Ein Hub arbeitet auf Schicht 1.
Ein Switch arbeitet typischerweise auf Schicht 2.
Ein Router arbeitet typischerweise auf Schicht 3.
Link vorhanden bedeutet nicht automatisch,
dass IP oder DNS funktionieren.
Ein Kabelproblem kann wie ein IP-Problem wirken.
CSMA/CD gehört zu älteren drahtgebundenen Ethernet-Umgebungen.
CSMA/CA gehört zu WLAN.
Halbduplex und Vollduplex nicht verwechseln.
Auto-Negotiation kann durch Kabel- oder Portprobleme beeinflusst werden.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Bitübertragungsschicht
OSI-Schicht 1, überträgt Bits als Signale
Bit
kleinste Informationseinheit, 0 oder 1
Signal
physische Darstellung von Information
elektrische Signale
Signalübertragung über Kupfer
optische Signale
Signalübertragung über Lichtwellenleiter
Funksignale
drahtlose Signalübertragung
physische Schnittstelle
Anschluss zur Datenübertragung
Netzwerkkarte
Schnittstelle zwischen Computer und Netzwerk
NIC
Network Interface Card, Netzwerkkarte
Link
aktive physische Verbindung
Link-LED
Anzeige für physische Verbindung
Auto-Negotiation
automatische Aushandlung von Geschwindigkeit und Duplex
Halbduplex
abwechselnd senden oder empfangen
Vollduplex
gleichzeitig senden und empfangen
Hub
Schicht-1-Gerät, verteilt Signale an alle Ports
Kollision
gleichzeitiges Senden auf gemeinsamem Medium
Kollisionsdomäne
Bereich, in dem Kollisionen auftreten können
CSMA/CD
Kollisionserkennung bei älteren Ethernet-Umgebungen
CSMA/CA
Kollisionsvermeidung bei WLAN
IHK-sichere Kurzformulierung
Die Bitübertragungsschicht ist Schicht 1 des OSI-Modells. Sie ist für die Übertragung einzelner Bits über ein physisches Medium zuständig. Die Bits werden je nach Medium als elektrische, optische oder elektromagnetische Signale übertragen. Typische Themen sind Netzwerkkarte, physische Schnittstellen, Link, Übertragungsgeschwindigkeit, Duplexmodus, Auto-Negotiation und Hub. Ein Hub arbeitet auf Schicht 1 und verteilt Signale an alle Ports, während ein Switch auf Schicht 2 anhand von MAC-Adressen weiterleitet. Fehler auf Schicht 1 können alle höheren Schichten beeinflussen.
Merksätze
Schicht 1 = Bitübertragungsschicht.
Schicht 1 überträgt Bits als Signale.
Bit = 0 oder 1.
Kupfer = elektrische Signale.
Glasfaser = optische Signale.
WLAN = Funksignale.
Netzwerkkarte = Schnittstelle zwischen Computer und Netzwerk.
Link = aktive physische Verbindung.
Link vorhanden bedeutet nicht automatisch,
dass IP funktioniert.
Auto-Negotiation = automatische Aushandlung.
Halbduplex = abwechselnd.
Vollduplex = gleichzeitig.
Hub = Schicht 1.
Switch = Schicht 2.
Router = Schicht 3.
Hub verteilt Signale an alle Ports.
CSMA/CD = Kollisionserkennung.
CSMA/CA = Kollisionsvermeidung.
Ohne funktionierende Schicht 1
funktionieren die höheren Schichten nicht zuverlässig.
4.2 Bits, Signale und Übertragungsarten
Auf OSI-Schicht 1 werden Daten als Bits übertragen.
Ein Bit ist entweder:
0
oder
1
Damit diese Bits über ein Medium übertragen werden können, müssen sie physisch dargestellt werden.
Das geschieht durch Signale.
Je nach Übertragungsmedium können das sein:
- elektrische Signale
- optische Signale
- Funksignale
Merksatz:
Bits sind logisch.
Signale sind physisch.
Vom Bit zum Signal
Ein Computer verarbeitet digitale Daten als Bits.
Damit diese Bits über ein Netzwerk übertragen werden können, müssen sie in Signale umgesetzt werden.
Beispiel:
Bitfolge:
1 0 1 1 0 0 1
Diese Bitfolge wird auf dem Übertragungsmedium als Signalfolge dargestellt.
Je nach Technik kann das zum Beispiel bedeuten:
- unterschiedliche Spannungszustände
- Lichtimpulse
- Frequenzänderungen
- Phasenänderungen
- Signalpegeländerungen
Wichtig:
Schicht 1 beschäftigt sich nicht mit der Bedeutung der Daten.
Sie überträgt nur Bits als Signale.
Merksatz:
Schicht 1 fragt nicht „Was bedeuten die Daten?“,
sondern „Wie werden die Bits übertragen?“
Digitale Daten
Digitale Daten bestehen aus diskreten Werten.
In Computern sind das normalerweise Bits.
Ein Bit kann zwei Zustände annehmen:
Bit
Bedeutung
0
Zustand 0
1
Zustand 1
Mehrere Bits ergeben größere Informationseinheiten.
Beispiele:
Einheit
Größe
1 Bit
kleinste Informationseinheit
1 Byte
8 Bit
1 Kilobyte
ungefähr 1000 Byte
1 Megabyte
ungefähr 1 Million Byte
Merksatz:
Digitale Daten bestehen aus Bits.
Analoge Signale
Ein analoges Signal kann kontinuierliche Werte annehmen.
Beispiel:
Spannung kann stufenlos steigen oder fallen.
Analoge Signale kennt man zum Beispiel aus:
- klassischer Telefontechnik
- Radio
- Audio
- Funktechnik
- Sensorik
In der Netzwerktechnik werden digitale Daten oft über physische Signale übertragen, die technisch als elektrische, optische oder elektromagnetische Signalverläufe auftreten.
Wichtig:
Die Daten sind digital.
Die physische Übertragung erfolgt über reale Signale.
Merksatz:
Digitale Information wird physisch als Signal übertragen.
Elektrische Signale
Elektrische Signale werden über Kupfer übertragen.
Typische Medien:
- Twisted-Pair-Kabel
- Koaxialkabel
Bei elektrischen Signalen können Bits zum Beispiel durch verschiedene Spannungszustände oder Signalverläufe dargestellt werden.
Typische Einflussfaktoren:
- Kabellänge
- Kabelqualität
- Schirmung
- Dämpfung
- Störungen
- Steckverbindungen
- elektromagnetische Einflüsse
Merksatz:
Kupfer überträgt Bits elektrisch.
Optische Signale
Optische Signale werden über Lichtwellenleiter übertragen.
Typisches Medium:
LWL
Andere Bezeichnungen:
Glasfaser
Fiber
Bei optischen Signalen werden Bits durch Lichtsignale übertragen.
Typische Einflussfaktoren:
- Faserart
- Wellenlänge
- Dämpfung
- Steckverbindungen
- Spleiße
- Verschmutzung
- Biegeradius
- passendes SFP-Modul
Wichtig:
Niemals direkt in Glasfaser oder optische Ports schauen.
Merksatz:
Glasfaser überträgt Bits optisch.
Funksignale
Funksignale werden drahtlos übertragen.
Typisches Beispiel:
WLAN
WLAN nutzt elektromagnetische Wellen.
Typische Einflussfaktoren:
- Entfernung
- Wände
- Decken
- andere WLAN-Netze
- Kanalbelegung
- Frequenzband
- Sendeleistung
- Antennen
- Anzahl der Clients
Merksatz:
WLAN überträgt Bits per Funk.
Signalpegel
Ein Signalpegel beschreibt die Stärke eines Signals.
Je nach Technik kann ein Signalpegel zum Beispiel eine elektrische Spannung, eine optische Leistung oder eine Funk-Signalstärke beschreiben.
Ein zu schwaches Signal kann dazu führen, dass der Empfänger die Bits nicht mehr sicher erkennt.
Mögliche Folgen:
- Übertragungsfehler
- Paketverluste
- niedriger Durchsatz
- Verbindungsabbrüche
- keine Verbindung
Merksatz:
Signalpegel = Stärke eines Signals.
Dämpfung
Dämpfung bedeutet:
Ein Signal wird schwächer.
Dämpfung kann auftreten bei:
- Kupferkabeln
- Glasfaser
- WLAN-Funkstrecken
Typische Ursachen:
- lange Strecke
- schlechte Steckverbindung
- beschädigtes Kabel
- zu enger Biegeradius
- Verschmutzung
- Störungen
- falsches Medium
Merksatz:
Dämpfung = Signalverlust.
Störung
Eine Störung ist eine unerwünschte Beeinflussung eines Signals.
Beispiele:
- elektromagnetische Störung
- Funkstörung
- Rauschen
- schlechte Abschirmung
- Übersprechen zwischen Adern
- Reflexionen
- defekte Komponenten
Störungen können dazu führen, dass Bits falsch erkannt werden.
Merksatz:
Störung = unerwünschte Beeinflussung der Signalübertragung.
Rauschen
Rauschen ist ein unerwünschtes Signal, das das eigentliche Nutzsignal überlagern kann.
Je stärker das Rauschen ist, desto schwieriger kann der Empfänger das Nutzsignal korrekt erkennen.
Wichtig:
Nicht nur die Signalstärke ist entscheidend.
Auch das Verhältnis zwischen Nutzsignal und Störung ist wichtig.
Merksatz:
Rauschen erschwert die sichere Erkennung von Bits.
Signal-Rausch-Abstand
Der Signal-Rausch-Abstand beschreibt das Verhältnis zwischen Nutzsignal und Störsignal.
Abkürzung:
SNR
SNR steht für:
Signal-to-Noise Ratio
Je größer der Signal-Rausch-Abstand ist, desto besser kann der Empfänger das Signal auswerten.
Merksatz:
Hoher SNR = bessere Signalqualität.
Codierung auf Schicht 1
Damit Bits übertragen werden können, müssen sie in eine Signalform gebracht werden.
Das nennt man Codierung.
Codierung bedeutet hier:
Bits werden nach einer festgelegten Regel als Signale dargestellt.
Beispiel vereinfacht:
Bit 1 = bestimmter Signalzustand
Bit 0 = anderer Signalzustand
In echten Netzwerken sind die Codierungsverfahren deutlich komplexer.
Wichtig für die Prüfung:
Die Bitübertragungsschicht legt fest,
wie Bits physisch als Signale übertragen werden.
Merksatz:
Codierung = Regel zur Darstellung von Bits als Signale.
Leitungscodierung
Leitungscodierung beschreibt, wie digitale Bits auf einer Leitung als Signal dargestellt werden.
Dabei geht es zum Beispiel um:
- Signalwechsel
- Spannungszustände
- Taktrückgewinnung
- Störsicherheit
- Synchronisation
Die genaue technische Umsetzung hängt vom jeweiligen Standard ab.
Beispiele für Ethernet-Standards:
- 100BASE-TX
- 1000BASE-T
- 10GBASE-T
Wichtig:
Verschiedene Ethernet-Standards können unterschiedliche Codierungsverfahren nutzen.
Merksatz:
Leitungscodierung macht Bits auf dem Medium übertragbar.
Modulation
Modulation bedeutet:
Ein Trägersignal wird verändert,
um Informationen zu übertragen.
Das ist besonders bei Funktechnik wichtig.
Bei WLAN können Informationen zum Beispiel durch Änderungen von Eigenschaften eines Funksignals übertragen werden.
Solche Eigenschaften können sein:
- Amplitude
- Frequenz
- Phase
Wichtig:
Für AP1/AP2 reicht meistens das Grundverständnis:
Modulation verändert ein Signal,
damit Daten übertragen werden können.
Merksatz:
Modulation = Information auf ein Signal aufprägen.
Amplitude
Amplitude beschreibt vereinfacht die Stärke oder Auslenkung eines Signals.
Bei einem elektrischen Signal kann das mit der Spannung zusammenhängen.
Bei einem Funksignal kann es mit der Signalstärke zusammenhängen.
Merksatz:
Amplitude = Stärke beziehungsweise Auslenkung eines Signals.
Frequenz
Frequenz beschreibt, wie oft sich ein Signal pro Sekunde wiederholt.
Einheit:
Hertz
Abkürzung:
Hz
Beispiele:
2,4 GHz
5 GHz
6 GHz
GHz bedeutet:
Gigahertz
Also:
Milliarden Schwingungen pro Sekunde
Merksatz:
Frequenz = Schwingungen pro Sekunde.
Phase
Phase beschreibt die Lage einer Schwingung zu einem bestimmten Zeitpunkt.
In der Funktechnik kann auch die Phase genutzt werden, um Informationen zu übertragen.
Für die Prüfung reicht meistens:
Phase ist eine Eigenschaft eines Signals.
Merksatz:
Phase = Lage einer Schwingung.
Taktung
Damit Sender und Empfänger Bits richtig verstehen, müssen sie zeitlich zusammenarbeiten.
Der Empfänger muss wissen:
Wann beginnt ein Bit?
Wann endet ein Bit?
Wann soll das Signal ausgewertet werden?
Diese zeitliche Abstimmung nennt man Taktung oder Synchronisation.
Merksatz:
Taktung hilft dem Empfänger,
die Bits zum richtigen Zeitpunkt zu erkennen.
Synchronisation
Synchronisation bedeutet:
Sender und Empfänger stimmen sich zeitlich aufeinander ab.
Ohne Synchronisation könnte der Empfänger die Bitfolge falsch interpretieren.
Beispiel:
Sender sendet eine Folge von Bits.
Empfänger muss erkennen,
wo die einzelnen Bits beginnen und enden.
Merksatz:
Synchronisation = zeitliche Abstimmung zwischen Sender und Empfänger.
Bitrate
Die Bitrate beschreibt, wie viele Bits pro Sekunde übertragen werden.
Einheit:
bit/s
Typische Angaben:
Mbit/s
Gbit/s
Beispiele:
Angabe
Bedeutung
100 Mbit/s
100 Millionen Bit pro Sekunde
1 Gbit/s
1 Milliarde Bit pro Sekunde
10 Gbit/s
10 Milliarden Bit pro Sekunde
Merksatz:
Bitrate = Bits pro Sekunde.
Baudrate
Baudrate beschreibt die Anzahl der Signalzustandswechsel oder Symbole pro Sekunde.
Wichtig:
Bitrate und Baudrate sind nicht immer dasselbe.
Ein Symbol kann je nach Codierung oder Modulation mehr als ein Bit enthalten.
Für die Prüfung reicht meistens:
Bitrate = Datenmenge in Bit pro Sekunde.
Baudrate = Symbolrate.
Merksatz:
Bitrate ≠ Baudrate.
Symbol
Ein Symbol ist ein übertragener Signalzustand.
Je nach Verfahren kann ein Symbol ein oder mehrere Bits darstellen.
Beispiel vereinfacht:
einfaches Verfahren:
1 Symbol = 1 Bit
komplexeres Verfahren:
1 Symbol = mehrere Bits
Dadurch können höhere Datenraten erreicht werden.
Merksatz:
Symbol = Signalzustand zur Informationsübertragung.
Bandbreite
Bandbreite kann je nach Zusammenhang unterschiedlich verwendet werden.
In der Netzwerktechnik meint man im Alltag oft:
maximale Übertragungskapazität
Beispiel:
1 Gbit/s Ethernet
Fachlich kann Bandbreite auch einen Frequenzbereich beschreiben.
Wichtig für die Prüfung:
Bandbreite ist nicht automatisch gleich tatsächlicher Durchsatz.
Merksatz:
Bandbreite = mögliche Kapazität,
Durchsatz = tatsächlich erreicht.
Durchsatz
Durchsatz beschreibt die tatsächlich übertragene Datenmenge pro Zeit.
Der Durchsatz ist oft niedriger als die theoretische Bandbreite.
Gründe:
- Protokoll-Overhead
- Störungen
- Wiederholungen
- schwache Signalqualität
- viele Clients
- langsame Gegenstelle
- Engpässe im Netzwerk
Merksatz:
Durchsatz = reale Nutzdatenrate.
Latenz
Latenz beschreibt die Verzögerung bei der Übertragung.
Beispiel:
Wie lange dauert es,
bis ein Signal oder Paket beim Ziel ankommt?
Latenz ist besonders wichtig bei:
- VoIP
- Videokonferenzen
- Gaming
- Echtzeitanwendungen
- industrieller Steuerung
Merksatz:
Latenz = Verzögerungszeit.
Jitter
Jitter beschreibt Schwankungen der Latenz.
Beispiel:
Ein Paket braucht 20 ms.
Das nächste Paket braucht 80 ms.
Das nächste wieder 30 ms.
Solche Schwankungen können Probleme verursachen.
Besonders kritisch bei:
- Sprache
- Video
- Echtzeitkommunikation
Merksatz:
Jitter = schwankende Verzögerung.
Bitfehler
Ein Bitfehler entsteht, wenn ein Bit falsch erkannt wird.
Beispiel:
gesendet: 1
empfangen: 0
Ursachen können sein:
- Störungen
- Dämpfung
- schlechte Signalqualität
- defektes Kabel
- falsche Übertragungsstrecke
- schlechte Funkverbindung
Merksatz:
Bitfehler = Bit wird falsch übertragen oder erkannt.
Bitfehlerrate
Die Bitfehlerrate beschreibt, wie viele Bits fehlerhaft übertragen werden.
Abkürzung:
BER
BER steht für:
Bit Error Rate
Eine hohe Bitfehlerrate weist auf schlechte Übertragungsqualität hin.
Merksatz:
BER = Anteil fehlerhafter Bits.
Schicht 1 und Fehlererkennung
Schicht 1 überträgt Bits als Signale.
Die eigentliche Erkennung fehlerhafter Frames erfolgt häufig auf Schicht 2, zum Beispiel durch Prüfsummen im Ethernet-Frame.
Wichtig:
Schicht 1 kann Ursache für Fehler sein.
Schicht 2 erkennt viele Übertragungsfehler in Frames.
Merksatz:
Schicht 1 verursacht oft Signalprobleme.
Schicht 2 erkennt viele Framefehler.
Typische Schicht-1-Fehlerbilder
Typische Fehlerbilder bei Problemen mit Bits und Signalen:
- kein Link
- instabiler Link
- niedrige ausgehandelte Geschwindigkeit
- viele CRC- oder FCS-Fehler am Switch-Port
- Paketverluste
- niedriger Durchsatz
- hohe Wiederholungsrate
- schlechtes WLAN-Signal
- Glasfaser-Link kommt nicht hoch
Wichtig:
CRC- oder FCS-Fehler werden auf Schicht 2 erkannt,
können aber durch Schicht-1-Probleme verursacht werden.
Merksatz:
Schicht-1-Probleme zeigen sich oft als Fehler auf höheren Schichten.
Beispiele für Schicht-1-Prüfung
Bei Kupfer:
- Kabel steckt richtig?
- Link-LED leuchtet?
- Kabel beschädigt?
- richtige Kabelkategorie?
- richtige Geschwindigkeit?
- Port aktiv?
- Adern korrekt aufgelegt?
Bei LWL:
- passendes SFP-Modul?
- richtige Faserart?
- TX und RX korrekt?
- Stecker sauber?
- Strecke zu lang?
- Dämpfungsbudget eingehalten?
Bei WLAN:
- Signal stark genug?
- richtiger Frequenzbereich?
- Kanal überlastet?
- Störungen vorhanden?
- Access Point richtig positioniert?
Merksatz:
Schicht 1 prüft man immer am Übertragungsmedium und an der Signalqualität.
Was Schicht 1 nicht macht
Schicht 1 überträgt nur Bits.
Schicht 1 entscheidet nicht über:
- MAC-Adressen
- IP-Adressen
- VLANs
- Routing
- TCP-Ports
- UDP-Ports
- DNS-Namen
- HTTP-Anfragen
- Benutzeranmeldungen
Diese Themen gehören zu höheren Schichten.
Merksatz:
Schicht 1 kennt keine Adressen und keine Dienste.
Einordnung wichtiger Begriffe
Begriff
Einordnung
Bit
Schicht 1
Signal
Schicht 1
Spannung
Schicht 1
Lichtimpuls
Schicht 1
Funksignal
Schicht 1
Frequenz
Schicht 1
Taktung
Schicht 1
Codierung
Schicht 1
MAC-Adresse
Schicht 2
IP-Adresse
Schicht 3
TCP-Port
Schicht 4
DNS
Schicht 7
Merksatz:
Bit, Signal, Frequenz und Taktung gehören zu Schicht 1.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Wie werden Bits auf Schicht 1 übertragen?
- Was ist ein Signal?
- Was ist der Unterschied zwischen Bit und Signal?
- Welche Signalarten gibt es?
- Was bedeutet Dämpfung?
- Was bedeutet Signal-Rausch-Abstand?
- Was ist Codierung?
- Was ist Modulation?
- Was ist der Unterschied zwischen Bitrate und Baudrate?
- Was ist ein Bitfehler?
- Was bedeutet Bitfehlerrate?
- Warum ist Bandbreite nicht gleich Durchsatz?
- Warum können Schicht-1-Probleme zu Fehlern auf höheren Schichten führen?
Typische Prüfungsfallen
Bits sind nicht dasselbe wie Signale.
Schicht 1 kennt keine IP-Adressen.
Schicht 1 kennt keine MAC-Adressen.
Schicht 1 kennt keine TCP- oder UDP-Ports.
Dämpfung bedeutet Signalverlust.
Signalstärke allein reicht nicht,
auch Störungen sind wichtig.
Bitrate und Baudrate sind nicht immer gleich.
Bandbreite und Durchsatz sind nicht dasselbe.
CRC-Fehler werden auf Schicht 2 erkannt,
können aber durch Schicht-1-Probleme verursacht werden.
WLAN-Probleme können Funkprobleme sein,
aber auch IP-, DNS- oder Sicherheitsprobleme.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Bit
kleinste Informationseinheit, 0 oder 1
Signal
physische Darstellung von Information
elektrisches Signal
Signal über Kupfer
optisches Signal
Signal über Lichtwellenleiter
Funksignal
drahtloses elektromagnetisches Signal
Signalpegel
Stärke eines Signals
Dämpfung
Abschwächung eines Signals
Störung
unerwünschte Beeinflussung eines Signals
Rauschen
unerwünschtes Signal neben dem Nutzsignal
SNR
Signal-Rausch-Abstand
Codierung
Darstellung von Bits als Signale
Leitungscodierung
Codierung für die Übertragung auf Leitungen
Modulation
Aufprägen von Information auf ein Signal
Amplitude
Stärke beziehungsweise Auslenkung eines Signals
Frequenz
Schwingungen pro Sekunde
Phase
Lage einer Schwingung
Taktung
zeitliche Einteilung der Signalübertragung
Synchronisation
zeitliche Abstimmung zwischen Sender und Empfänger
Bitrate
Bits pro Sekunde
Baudrate
Symbole pro Sekunde
Symbol
Signalzustand zur Informationsübertragung
Bandbreite
mögliche Kapazität oder Frequenzbereich
Durchsatz
tatsächlich erreichte Datenrate
Latenz
Verzögerung
Jitter
Schwankung der Verzögerung
Bitfehler
falsch übertragenes oder falsch erkanntes Bit
BER
Bit Error Rate, Bitfehlerrate
IHK-sichere Kurzformulierung
Auf OSI-Schicht 1 werden Bits als physische Signale übertragen. Digitale Daten bestehen aus Bits, die je nach Medium als elektrische, optische oder elektromagnetische Signale dargestellt werden. Damit Sender und Empfänger die Bits korrekt verstehen, sind Codierung, Taktung, Synchronisation, Signalpegel und Signalqualität wichtig. Störungen, Dämpfung oder Rauschen können zu Bitfehlern führen. Schicht 1 kennt keine MAC-Adressen, IP-Adressen oder Ports, sondern ist ausschließlich für die physische Bitübertragung zuständig.
Merksätze
Bits sind logisch.
Signale sind physisch.
Schicht 1 überträgt Bits als Signale.
Kupfer = elektrische Signale.
Glasfaser = optische Signale.
WLAN = Funksignale.
Dämpfung = Signalverlust.
Störung = unerwünschte Beeinflussung.
SNR = Signal-Rausch-Abstand.
Codierung = Bits als Signale darstellen.
Modulation = Information auf ein Signal aufprägen.
Frequenz = Schwingungen pro Sekunde.
Bitrate = Bits pro Sekunde.
Baudrate = Symbole pro Sekunde.
Bitrate und Baudrate sind nicht immer dasselbe.
Bandbreite ist nicht Durchsatz.
Latenz = Verzögerung.
Jitter = schwankende Verzögerung.
Bitfehler = Bit wird falsch erkannt.
Schicht 1 kennt keine MAC-Adresse.
Schicht 1 kennt keine IP-Adresse.
Schicht 1 kennt keine Ports.
Schicht-1-Probleme können höhere Schichten beeinflussen.
4.3 Übertragungsrichtungen, Duplex und Auto-Negotiation
Auf OSI-Schicht 1 ist nicht nur wichtig, dass Bits übertragen werden.
Wichtig ist auch:
In welche Richtung können Daten übertragen werden?
Können beide Seiten gleichzeitig senden?
Welche Geschwindigkeit wird genutzt?
Wie einigen sich zwei Geräte auf die Verbindung?
Diese Themen gehören zur physischen Verbindung und sind besonders wichtig bei Ethernet, Switches, Netzwerkkarten und älterer Hub-Technik.
Grundidee
Wenn zwei Netzwerkgeräte miteinander verbunden sind, müssen sie bestimmte Eigenschaften der Verbindung festlegen.
Dazu gehören zum Beispiel:
- Übertragungsgeschwindigkeit
- Duplexmodus
- Signalart
- physische Verbindung
- unterstützter Standard
- Link-Status
Beispiel:
PC
↔
Switch
Beide Seiten müssen technisch zusammenarbeiten können.
Merksatz:
Eine Netzwerkverbindung funktioniert nur,
wenn beide Seiten kompatible Verbindungseigenschaften nutzen.
Begriff: Übertragungsrichtung
Die Übertragungsrichtung beschreibt, in welche Richtung Daten übertragen werden können.
Es gibt drei wichtige Grundformen:
- Simplex
- Halbduplex
- Vollduplex
Diese Begriffe beschreiben, ob Kommunikation nur in eine Richtung, abwechselnd oder gleichzeitig in beide Richtungen möglich ist.
Merksatz:
Übertragungsrichtung beschreibt,
wie Geräte miteinander senden und empfangen können.
Simplex
Simplex bedeutet:
Datenübertragung nur in eine Richtung.
Ein Gerät sendet.
Das andere Gerät empfängt.
Eine Rückübertragung ist über denselben Kanal nicht vorgesehen.
Alltagsvergleich:
Radio
Lautsprecheranlage
Einbahnstraße
Beispiel:
Sender → Empfänger
Merksatz:
Simplex = nur eine Richtung.
Halbduplex
Halbduplex bedeutet:
Datenübertragung in beide Richtungen,
aber nicht gleichzeitig.
Beide Seiten können senden und empfangen.
Aber:
Wenn eine Seite sendet,
muss die andere Seite warten.
Alltagsvergleich:
Walkie-Talkie
Baustellenampel
einspurige Straße mit wechselnder Fahrtrichtung
Beispiel:
Gerät A sendet → Gerät B empfängt
Danach:
Gerät B sendet → Gerät A empfängt
Merksatz:
Halbduplex = beide Richtungen,
aber nur abwechselnd.
Vollduplex
Vollduplex bedeutet:
Datenübertragung in beide Richtungen gleichzeitig.
Beide Geräte können zur gleichen Zeit senden und empfangen.
Alltagsvergleich:
Telefonat
zweispurige Straße
gleichzeitiges Sprechen und Hören
Beispiel:
Gerät A sendet gleichzeitig zu Gerät B.
Gerät B sendet gleichzeitig zu Gerät A.
Merksatz:
Vollduplex = senden und empfangen gleichzeitig.
Simplex, Halbduplex und Vollduplex im Vergleich
Modus
Richtung
Gleichzeitig?
Beispiel
Simplex
nur eine Richtung
nein
Radio
Halbduplex
beide Richtungen
nein, nur abwechselnd
Walkie-Talkie
Vollduplex
beide Richtungen
ja
Telefonat
Prüfungstauglich:
Simplex = eine Richtung.
Halbduplex = abwechselnd.
Vollduplex = gleichzeitig.
Duplex bei Ethernet
Moderne Ethernet-Verbindungen über Switches arbeiten normalerweise mit Vollduplex.
Beispiel:
PC ↔ Switch
Der PC kann gleichzeitig Daten senden und empfangen.
Der Switch kann ebenfalls gleichzeitig senden und empfangen.
Das ist effizienter als Halbduplex.
Merksatz:
Moderne Switch-Verbindungen arbeiten normalerweise mit Vollduplex.
Halbduplex bei älterer Technik
Halbduplex war besonders bei älteren Ethernet-Umgebungen wichtig.
Typisches Gerät:
Hub
Ein Hub arbeitet auf OSI-Schicht 1.
Er verteilt Signale an alle Ports.
Da alle Geräte sich das gleiche Übertragungsmedium teilen, konnte nicht jedes Gerät gleichzeitig störungsfrei senden.
Dadurch waren Kollisionen möglich.
Merksatz:
Halbduplex gehört vor allem zu älterer Hub-Technik.
Hub und Halbduplex
Ein Hub verteilt eingehende Signale an alle angeschlossenen Ports.
Er entscheidet nicht anhand von MAC-Adressen.
Er versteht keine Frames.
Er kennt keine IP-Adressen.
Dadurch teilen sich alle angeschlossenen Geräte denselben Übertragungsbereich.
Folgen:
- nur abwechselndes Senden sinnvoll
- Kollisionen möglich
- geringere Effizienz
- alle Geräte teilen sich die Bandbreite
Merksatz:
Hub = Schicht 1 und typisch Halbduplex.
Switch und Vollduplex
Ein Switch arbeitet typischerweise auf OSI-Schicht 2.
Er leitet Ethernet-Frames anhand von MAC-Adressen gezielt weiter.
Bei modernen Switch-Verbindungen hat jeder Port eine eigene Verbindung zum angeschlossenen Gerät.
Dadurch ist Vollduplex möglich.
Vorteile:
- gleichzeitiges Senden und Empfangen
- keine klassischen Kollisionen pro Vollduplex-Link
- bessere Leistung
- gezielte Weiterleitung
- weniger unnötiger Datenverkehr
Merksatz:
Switch = Schicht 2 und typisch Vollduplex.
Kollisionen
Eine Kollision entsteht, wenn mehrere Geräte gleichzeitig auf einem gemeinsam genutzten Medium senden.
Die Signale überlagern sich.
Dadurch können Daten nicht korrekt übertragen werden.
Kollisionen waren vor allem wichtig bei:
- Koaxial-Ethernet
- Hub-Netzwerken
- Halbduplex-Ethernet
Bei modernen geswitchten Vollduplex-Verbindungen spielen klassische Kollisionen praktisch keine Rolle mehr.
Merksatz:
Kollision = gleichzeitiges Senden auf gemeinsamem Medium.
Kollisionsdomäne
Eine Kollisionsdomäne ist ein Netzwerkbereich, in dem Kollisionen auftreten können.
Bei einem Hub:
Alle angeschlossenen Geräte befinden sich in einer gemeinsamen Kollisionsdomäne.
Bei einem Switch:
Jeder Port ist normalerweise eine eigene Kollisionsdomäne.
Wichtig:
Vollduplex-Verbindungen vermeiden klassische Kollisionen.
Merksatz:
Hub = eine gemeinsame Kollisionsdomäne.
Switch = getrennte Kollisionsbereiche pro Port.
CSMA/CD
CSMA/CD steht für:
Carrier Sense Multiple Access / Collision Detection
Auf Deutsch sinngemäß:
Mehrfachzugriff mit Trägerprüfung und Kollisionserkennung
Dieses Verfahren wurde bei älteren Ethernet-Umgebungen verwendet.
Grundidee:
Gerät prüft, ob das Medium frei ist.
Wenn frei, wird gesendet.
Wenn trotzdem eine Kollision entsteht, wird sie erkannt.
Danach wird später erneut gesendet.
Merksatz:
CSMA/CD = Kollisionserkennung bei älterem Ethernet.
Warum CSMA/CD heute weniger wichtig ist
In modernen LANs werden fast immer Switches verwendet.
Switch-Verbindungen arbeiten meist mit Vollduplex.
Dadurch gibt es keine klassische gemeinsame Kollisionsdomäne mehr wie bei Hubs.
Deshalb ist CSMA/CD heute vor allem historisch und prüfungsbezogen wichtig.
Merksatz:
CSMA/CD ist wichtig zum Verständnis alter Ethernet-Technik.
CSMA/CA im Vergleich
CSMA/CA steht für:
Carrier Sense Multiple Access / Collision Avoidance
Das bedeutet:
Kollisionsvermeidung
CSMA/CA wird bei WLAN verwendet.
Warum?
Bei Funk können Kollisionen schwieriger direkt erkannt werden.
Deshalb versucht WLAN, Kollisionen vorher zu vermeiden.
Vergleich:
Verfahren
Bedeutung
typischer Einsatz
CSMA/CD
Collision Detection
älteres kabelgebundenes Ethernet
CSMA/CA
Collision Avoidance
WLAN
Merksatz:
CD = Detection = Erkennung.
CA = Avoidance = Vermeidung.
Übertragungsgeschwindigkeit
Die Übertragungsgeschwindigkeit beschreibt, mit welcher Datenrate eine Verbindung arbeitet.
Typische Ethernet-Geschwindigkeiten:
Bezeichnung
Datenrate
Fast Ethernet
100 Mbit/s
Gigabit Ethernet
1 Gbit/s
2.5 Gigabit Ethernet
2,5 Gbit/s
5 Gigabit Ethernet
5 Gbit/s
10 Gigabit Ethernet
10 Gbit/s
Wichtig:
Die tatsächlich nutzbare Geschwindigkeit hängt von allen beteiligten Komponenten ab.
Merksatz:
Die langsamste oder ungeeignete Komponente begrenzt die Verbindung.
Was beeinflusst die Geschwindigkeit?
Die ausgehandelte oder mögliche Verbindungsgeschwindigkeit hängt ab von:
- Netzwerkkarte
- Switch-Port
- Kabelkategorie
- Kabellänge
- Patchfeld
- Netzwerkdose
- Patchkabel
- SFP-Modul
- Glasfaserart
- Treiber
- Konfiguration
- Signalqualität
Beispiel:
Eine 10-Gbit/s-Netzwerkkarte bringt nichts,
wenn der Switch-Port nur 1 Gbit/s unterstützt.
Merksatz:
Die gesamte Strecke muss zur gewünschten Geschwindigkeit passen.
Auto-Negotiation
Auto-Negotiation bedeutet:
Zwei Netzwerkgeräte handeln automatisch die Verbindungseigenschaften aus.
Dabei geht es zum Beispiel um:
- Geschwindigkeit
- Duplexmodus
- teilweise weitere Fähigkeiten
Beispiel:
PC unterstützt 1 Gbit/s.
Switch unterstützt 1 Gbit/s.
Kabel ist geeignet.
Dann können beide Seiten 1 Gbit/s Vollduplex aushandeln.
Merksatz:
Auto-Negotiation = automatische Aushandlung der Verbindung.
Was wird bei Auto-Negotiation ausgehandelt?
Typische Eigenschaften:
- 10 Mbit/s
- 100 Mbit/s
- 1 Gbit/s
- 2,5 Gbit/s
- 5 Gbit/s
- 10 Gbit/s
- Halbduplex
- Vollduplex
Wichtig:
Beide Seiten müssen die jeweilige Betriebsart unterstützen.
Wenn eine Seite etwas nicht unterstützt, wird eine andere gemeinsame Möglichkeit gewählt.
Merksatz:
Es wird eine gemeinsame Betriebsart gesucht.
Beispiel Auto-Negotiation
Gerät A unterstützt:
10 Mbit/s
100 Mbit/s
1 Gbit/s
Gerät B unterstützt:
10 Mbit/s
100 Mbit/s
Gemeinsam möglich ist maximal:
100 Mbit/s
Ergebnis:
Die Verbindung arbeitet mit 100 Mbit/s,
obwohl Gerät A 1 Gbit/s könnte.
Merksatz:
Beide Seiten bestimmen gemeinsam die Verbindung.
Warum wird manchmal nur 100 Mbit/s ausgehandelt?
Eine Verbindung kann auf 100 Mbit/s zurückfallen, obwohl eigentlich 1 Gbit/s erwartet wird.
Mögliche Ursachen:
- defektes Kabel
- nur vier Adern verbunden
- schlechte Netzwerkdose
- falsch aufgelegtes Verlegekabel
- defekter Switch-Port
- alte Netzwerkkarte
- alter Switch
- falsche Konfiguration
- schlechte Signalqualität
Wichtig:
Gigabit-Ethernet benötigt bei Twisted Pair alle 8 Adern.
Merksatz:
Nur 100 Mbit/s statt 1 Gbit/s kann ein Verkabelungsproblem sein.
Duplex-Mismatch
Ein Duplex-Mismatch entsteht, wenn zwei Geräte unterschiedliche Duplexmodi verwenden.
Beispiel:
Gerät A: Vollduplex
Gerät B: Halbduplex
Mögliche Folgen:
- schlechte Leistung
- Paketverluste
- viele Fehler
- langsame Verbindung
- Verbindungsprobleme
Duplex-Mismatch war früher häufiger, wenn Auto-Negotiation deaktiviert oder falsch konfiguriert wurde.
Merksatz:
Duplex-Mismatch = beide Seiten nutzen nicht denselben Duplexmodus.
Warum ist Duplex-Mismatch problematisch?
Wenn eine Seite Vollduplex nutzt, erwartet sie gleichzeitiges Senden und Empfangen.
Wenn die andere Seite Halbduplex nutzt, erwartet sie abwechselnde Übertragung und mögliche Kollisionen.
Dadurch interpretieren beide Seiten die Verbindung unterschiedlich.
Das kann zu Fehlern und schlechter Leistung führen.
Merksatz:
Beide Seiten müssen beim Duplexmodus zusammenpassen.
Manuelle Konfiguration
Manchmal kann Geschwindigkeit oder Duplexmodus manuell eingestellt werden.
Beispiel:
Switch-Port fest auf 100 Mbit/s Vollduplex
Das kann in Sonderfällen sinnvoll sein.
Aber:
Wenn nur eine Seite manuell eingestellt wird
und die andere Seite Auto-Negotiation nutzt,
können Probleme entstehen.
Prüfungstauglich:
Auto-Negotiation sollte konsistent auf beiden Seiten betrachtet werden.
Merksatz:
Manuelle Einstellungen müssen auf beiden Seiten passen.
Link-Speed
Link-Speed bedeutet:
die aktuell ausgehandelte Verbindungsgeschwindigkeit.
Beispiele:
100 Mbit/s
1 Gbit/s
10 Gbit/s
Den Link-Speed sieht man zum Beispiel:
- im Betriebssystem
- im Switch-Interface
- in der Router- oder Firewall-Oberfläche
- über Monitoring
- teilweise über LED-Farben am Port
Merksatz:
Link-Speed = aktuell genutzte Verbindungsgeschwindigkeit.
Link-Status
Der Link-Status zeigt, ob eine physische Verbindung besteht.
Typische Zustände:
Zustand
Bedeutung
Link up
physische Verbindung aktiv
Link down
keine physische Verbindung
Link flapping
Verbindung geht ständig hoch und runter
Link flapping kann ein Hinweis sein auf:
- defektes Kabel
- schlechten Stecker
- defekten Port
- falsches SFP-Modul
- schlechte Signalqualität
- Stromproblem
- Treiberproblem
Merksatz:
Link flapping = instabile physische Verbindung.
Link-LED und Geschwindigkeit
Viele Netzwerkgeräte zeigen über LEDs den Zustand der Verbindung an.
Mögliche Anzeigen:
- LED aus: kein Link
- LED an: Link vorhanden
- LED blinkt: Aktivität
- verschiedene Farben: unterschiedliche Geschwindigkeiten
Wichtig:
Die genaue Bedeutung hängt vom Gerät ab.
Merksatz:
LEDs helfen,
ersetzen aber keine genaue Prüfung.
Speed und Duplex in der Fehlersuche
Bei Netzwerkproblemen sollte man prüfen:
- Ist der Link aktiv?
- Welche Geschwindigkeit wurde ausgehandelt?
- Welcher Duplexmodus wird genutzt?
- Gibt es Fehlerzähler am Port?
- Gibt es CRC- oder FCS-Fehler?
- Gibt es Link-Flapping?
- Sind beide Seiten korrekt konfiguriert?
- Passt das Kabel zur Geschwindigkeit?
Merksatz:
Link-Speed und Duplex gehören zur Basisprüfung.
Typische Fehlerbilder
Fehlerbild
mögliche Ursache
kein Link
Kabel, Port, Netzwerkkarte, SFP, Gegenstelle
nur 100 Mbit/s statt 1 Gbit/s
Aderproblem, altes Gerät, schlechte Strecke
schlechter Durchsatz
Duplex-Mismatch, Fehler, Störungen
Link flapping
instabile physische Verbindung
viele CRC-Fehler
Signalproblem, Kabelproblem
WLAN langsam
Signal, Kanal, Störung, viele Clients
Wichtig:
Ein Schicht-1-Problem kann sich wie ein höheres Netzwerkproblem anfühlen.
Merksatz:
Physische Fehler zeigen sich oft als Performance-Probleme.
Halbduplex, Vollduplex und WLAN
WLAN arbeitet nicht wie eine klassische Vollduplex-Kabelverbindung.
WLAN ist ein geteiltes Funkmedium.
Mehrere Clients teilen sich die Funkzeit.
Vereinfacht:
Ein Gerät sendet,
andere warten.
Darum wird WLAN oft halbduplexartig beschrieben.
Merksatz:
WLAN ist ein geteiltes Medium,
nicht wie eine Vollduplex-Switch-Verbindung.
Vollduplex bedeutet nicht doppelte Internetgeschwindigkeit
Vollduplex bedeutet:
gleichzeitig senden und empfangen.
Es bedeutet nicht automatisch:
doppelte Internetgeschwindigkeit
Die tatsächliche Internetgeschwindigkeit hängt unter anderem ab von:
- Internetanschluss
- Router
- Switch
- Server
- Gegenstelle
- Auslastung
- Protokoll-Overhead
Merksatz:
Vollduplex beschreibt die Richtung,
nicht allein die Internetgeschwindigkeit.
Einordnung in das Schichtenmodell
Thema
typische Schicht
Simplex
Schicht 1
Halbduplex
Schicht 1
Vollduplex
Schicht 1
Auto-Negotiation
Schicht 1
Link-Speed
Schicht 1
Hub
Schicht 1
Switch-Weiterleitung
Schicht 2
MAC-Adresse
Schicht 2
IP-Adresse
Schicht 3
TCP-/UDP-Port
Schicht 4
Wichtig:
Duplex und Geschwindigkeit gehören zur physischen Verbindung.
MAC-Adressierung und Frames gehören zur Schicht 2.
Was gehört nicht zu Duplex?
Duplex beschreibt nur die Übertragungsrichtung.
Duplex beschreibt nicht:
- IP-Adresse
- Subnetzmaske
- Gateway
- DNS-Server
- TCP-Port
- Anwendung
- Benutzerrechte
- Verschlüsselung auf Anwendungsebene
Merksatz:
Duplex ist eine Eigenschaft der Verbindung,
nicht der IP-Konfiguration.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was bedeutet Simplex?
- Was bedeutet Halbduplex?
- Was bedeutet Vollduplex?
- Welcher Duplexmodus ist bei modernen Switch-Verbindungen üblich?
- Warum waren Hubs problematisch?
- Was ist eine Kollision?
- Was ist eine Kollisionsdomäne?
- Was bedeutet CSMA/CD?
- Was bedeutet CSMA/CA?
- Was ist Auto-Negotiation?
- Warum kann eine Verbindung nur 100 Mbit/s statt 1 Gbit/s aushandeln?
- Was ist ein Duplex-Mismatch?
- Warum ist WLAN nicht wie eine Vollduplex-Kabelverbindung?
Typische Prüfungsfallen
Simplex bedeutet nur eine Richtung.
Halbduplex bedeutet abwechselnd.
Vollduplex bedeutet gleichzeitig.
Vollduplex bedeutet nicht automatisch doppelte Internetgeschwindigkeit.
Hubs arbeiten auf Schicht 1.
Switches arbeiten typischerweise auf Schicht 2.
Hubs teilen eine Kollisionsdomäne.
Moderne Switch-Verbindungen haben normalerweise keine klassischen Kollisionen.
Auto-Negotiation muss auf beiden Seiten sinnvoll zusammenpassen.
Nur 100 Mbit/s statt 1 Gbit/s kann an der Verkabelung liegen.
Gigabit über Twisted Pair benötigt alle 8 Adern.
WLAN ist ein geteiltes Funkmedium.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Simplex
Übertragung nur in eine Richtung
Halbduplex
Übertragung in beide Richtungen, aber abwechselnd
Vollduplex
Übertragung in beide Richtungen gleichzeitig
Duplexmodus
Art der Übertragungsrichtung
Hub
Schicht-1-Gerät, verteilt Signale an alle Ports
Switch
Schicht-2-Gerät, leitet Frames anhand von MAC-Adressen weiter
Kollision
gleichzeitiges Senden auf gemeinsamem Medium
Kollisionsdomäne
Bereich, in dem Kollisionen auftreten können
CSMA/CD
Kollisionserkennung bei älterem Ethernet
CSMA/CA
Kollisionsvermeidung bei WLAN
Auto-Negotiation
automatische Aushandlung von Geschwindigkeit und Duplex
Link-Speed
aktuell ausgehandelte Verbindungsgeschwindigkeit
Link-Status
Zustand der physischen Verbindung
Link flapping
Verbindung geht ständig hoch und runter
Duplex-Mismatch
unterschiedliche Duplexmodi auf beiden Seiten
CRC-Fehler
erkannter Übertragungsfehler auf Frame-Ebene
FCS-Fehler
Fehler bei der Frame-Prüfsumme
IHK-sichere Kurzformulierung
Simplex, Halbduplex und Vollduplex beschreiben die Richtung der Datenübertragung. Simplex bedeutet Übertragung nur in eine Richtung. Halbduplex bedeutet Übertragung in beide Richtungen, aber nur abwechselnd. Vollduplex bedeutet gleichzeitiges Senden und Empfangen. Moderne Ethernet-Verbindungen über Switches arbeiten normalerweise mit Vollduplex. Hubs arbeiten auf Schicht 1, verteilen Signale an alle Ports und bilden eine gemeinsame Kollisionsdomäne. Auto-Negotiation dient dazu, Verbindungseigenschaften wie Geschwindigkeit und Duplexmodus automatisch zwischen zwei Geräten auszuhandeln.
Merksätze
Simplex = eine Richtung.
Halbduplex = abwechselnd.
Vollduplex = gleichzeitig.
Moderne Switch-Verbindungen sind meist Vollduplex.
Hub = Schicht 1.
Switch = Schicht 2.
Hub verteilt Signale an alle Ports.
Hub = gemeinsame Kollisionsdomäne.
Switch = gezielte Weiterleitung anhand von MAC-Adressen.
Kollision = gleichzeitiges Senden auf gemeinsamem Medium.
CSMA/CD = Kollisionserkennung.
CSMA/CA = Kollisionsvermeidung.
Auto-Negotiation = automatische Aushandlung.
Link-Speed = ausgehandelte Geschwindigkeit.
Duplex-Mismatch = beide Seiten passen nicht zusammen.
Nur 100 Mbit/s statt 1 Gbit/s kann ein Verkabelungsproblem sein.
Gigabit über Twisted Pair braucht alle 8 Adern.
WLAN ist ein geteiltes Medium.
Duplex beschreibt die Übertragungsrichtung,
nicht die IP-Konfiguration.
4.4 Geräte und Komponenten auf Schicht 1
Auf OSI-Schicht 1 geht es um die physische Übertragung von Bits.
Deshalb gehören zu Schicht 1 vor allem Geräte und Komponenten, die Signale senden, empfangen, verstärken, umsetzen oder weiterleiten.
Typische Schicht-1-Komponenten sind:
- Netzwerkkarte
- Hub
- Repeater
- Medienkonverter
- SFP-Modul
- Kabel
- Stecker
- Antennen
- physische Schnittstellen
Wichtig:
Schicht-1-Geräte verstehen keine IP-Adressen.
Schicht-1-Geräte treffen keine Routing-Entscheidungen.
Schicht-1-Geräte werten keine TCP- oder UDP-Ports aus.
Grundidee von Schicht-1-Komponenten
Schicht-1-Komponenten arbeiten mit Signalen.
Sie beschäftigen sich mit Fragen wie:
Kommt ein Signal an?
Ist das Signal stark genug?
Wird das Signal korrekt übertragen?
Passt das Medium?
Passt die Schnittstelle?
Besteht ein Link?
Welche Geschwindigkeit ist möglich?
Merksatz:
Schicht-1-Komponenten arbeiten mit Bits und Signalen.
Netzwerkkarte
Eine Netzwerkkarte verbindet ein Endgerät mit dem Netzwerk.
Andere Bezeichnungen:
Netzwerkadapter
NIC
Network Interface Card
Beispiele:
- Ethernet-Port am PC
- WLAN-Adapter im Notebook
- USB-LAN-Adapter
- Glasfaser-Netzwerkkarte
- Onboard-LAN-Port
Auf Schicht 1 ist die Netzwerkkarte zuständig für:
- Signale senden
- Signale empfangen
- Link erkennen
- Geschwindigkeit aushandeln
- physische Verbindung bereitstellen
Merksatz:
Netzwerkkarte = physische Schnittstelle zwischen Gerät und Netzwerk.
Netzwerkkarte und Schicht 2
Eine Netzwerkkarte hat auch Aufgaben auf Schicht 2.
Dazu gehört zum Beispiel:
- MAC-Adresse
- Ethernet-Frame-Verarbeitung
- Zugriff auf das lokale Netz
Wichtig:
Die Netzwerkkarte kann Schicht 1 und Schicht 2 betreffen.
Für Schicht 1 ist besonders wichtig:
Wie werden Bits als Signale übertragen?
Für Schicht 2 ist besonders wichtig:
Wie werden Frames mit MAC-Adressen übertragen?
Merksatz:
NIC ist physisch Schicht 1,
arbeitet aber auch mit Schicht-2-Funktionen.
Begriff: Hub
Ein Hub ist ein altes Netzwerkgerät auf OSI-Schicht 1.
Ein Hub verbindet mehrere Geräte miteinander.
Er arbeitet sehr einfach:
Ein Signal kommt an einem Port an.
Der Hub gibt dieses Signal an alle anderen Ports weiter.
Ein Hub prüft nicht:
- Ziel-MAC-Adresse
- IP-Adresse
- TCP-Port
- VLAN
- Anwendung
Merksatz:
Hub = Schicht-1-Gerät, verteilt Signale an alle Ports.
Hub-Arbeitsweise
Beispiel:
PC A sendet Daten an PC B.
Bei einem Hub passiert vereinfacht:
PC A sendet ein Signal an den Hub.
Der Hub verteilt das Signal an alle Ports.
PC B bekommt das Signal.
PC C und PC D bekommen das Signal ebenfalls.
Der Hub weiß nicht, für wen die Daten bestimmt sind.
Er verteilt nur das Signal.
Merksatz:
Hub leitet nicht gezielt weiter,
sondern verteilt an alle.
Warum ist ein Hub veraltet?
Hubs sind heute praktisch veraltet.
Nachteile:
- alle Geräte teilen sich die Bandbreite
- alle Signale werden an alle Ports verteilt
- Kollisionen sind möglich
- nur Halbduplex
- schlechte Effizienz
- einfache Mithörbarkeit im Netz
- keine MAC-Adress-Tabelle
- keine VLAN-Unterstützung
Heute werden im LAN fast immer Switches eingesetzt.
Merksatz:
Hubs wurden durch Switches ersetzt.
Hub und Kollisionsdomäne
Bei einem Hub teilen sich alle angeschlossenen Geräte dasselbe Übertragungsmedium.
Das bedeutet:
Alle Geräte befinden sich in einer gemeinsamen Kollisionsdomäne.
Wenn zwei Geräte gleichzeitig senden, kann es zu Kollisionen kommen.
Merksatz:
Hub = eine gemeinsame Kollisionsdomäne.
Hub und Broadcast-Domäne
Ein Hub trennt keine Broadcast-Domänen.
Da ein Hub nur Signale verteilt, bleiben alle angeschlossenen Geräte im selben lokalen Netzwerkbereich.
Wichtig:
Broadcast-Domänen werden typischerweise durch Router oder Layer-3-Grenzen getrennt.
VLANs können Broadcast-Domänen logisch trennen.
Ein Hub kann das nicht.
Merksatz:
Hub trennt weder Kollisionsdomänen noch Broadcast-Domänen.
Begriff: Repeater
Ein Repeater ist ein Gerät, das Signale erneut aufbereitet und weiterleitet.
Aufgabe:
Ein schwächer gewordenes Signal wird aufgenommen,
regeneriert
und weitergegeben.
Ein Repeater arbeitet auf Schicht 1.
Er versteht keine IP-Adressen.
Er versteht keine MAC-Adressen.
Merksatz:
Repeater = Signal auffrischen und weiterleiten.
Warum braucht man Repeater?
Signale werden über eine Strecke schwächer.
Das nennt man:
Dämpfung
Wenn ein Signal zu schwach wird, kann der Empfänger es nicht mehr korrekt erkennen.
Ein Repeater kann helfen, eine physische Strecke zu verlängern, indem er das Signal neu erzeugt.
Wichtig:
Ein Repeater verbessert nicht die logische Netzstruktur.
Er arbeitet nur auf Signalebene.
Merksatz:
Repeater bekämpft Signalverlust,
aber ersetzt keine saubere Netzplanung.
Repeater im Vergleich zum Hub
Ein Hub kann vereinfacht als Mehrport-Repeater betrachtet werden.
Gerät
Aufgabe
Schicht
Repeater
Signal auffrischen und weitergeben
1
Hub
Signal an mehrere Ports verteilen
1
Beide arbeiten auf Schicht 1.
Beide werten keine MAC-Adressen oder IP-Adressen aus.
Merksatz:
Hub = Repeater mit mehreren Ports.
Begriff: Medienkonverter
Ein Medienkonverter verbindet unterschiedliche Übertragungsmedien miteinander.
Typisches Beispiel:
Kupfer Ethernet
↔
Lichtwellenleiter Ethernet
Dabei wird zum Beispiel ein elektrisches Signal in ein optisches Signal umgesetzt.
Oder umgekehrt:
optisch
↔
elektrisch
Merksatz:
Medienkonverter = Übergang zwischen unterschiedlichen Medien.
Medienkonverter und Schicht 1
Ein Medienkonverter arbeitet hauptsächlich auf Schicht 1.
Er verändert normalerweise nicht:
- IP-Adresse
- MAC-Adresse
- TCP-Port
- UDP-Port
- Anwendung
Er sorgt dafür, dass die physische Übertragung über ein anderes Medium möglich wird.
Beispiel:
Switch mit RJ45-Port
→ Kupferkabel
→ Medienkonverter
→ Glasfaser
→ Medienkonverter
→ Kupferkabel
→ anderes Gerät
Merksatz:
Medienkonverter wandelt das Medium,
nicht die Netzwerkadresse.
Begriff: SFP-Modul
SFP steht für:
Small Form-factor Pluggable
Ein SFP-Modul ist ein steckbares Netzwerkmodul.
Es wird eingesetzt in:
- Switches
- Routern
- Firewalls
- Server-Netzwerkkarten
- Medienkonvertern
Ein SFP-Modul stellt die passende physische Schnittstelle bereit.
Beispiele:
- Glasfaser-Multimode
- Glasfaser-Singlemode
- RJ45-Kupfer
- DAC-Kabel
- AOC-Kabel
Merksatz:
SFP = steckbare physische Netzwerkschnittstelle.
SFP-Port und SFP-Modul
Ein SFP-Port ist nur der Steckplatz.
Das SFP-Modul ist die eigentliche Schnittstelle.
Beispiel:
Switch hat SFP-Port.
Glasfaser-SFP wird eingesteckt.
LC-Glasfaser-Patchkabel wird angeschlossen.
Wichtig:
Ohne passendes SFP-Modul ist der SFP-Port nicht nutzbar.
Merksatz:
SFP-Port = Steckplatz.
SFP-Modul = Schnittstelle.
SFP und Datenrate
Verschiedene Modularten unterstützen unterschiedliche Datenraten.
Modulart
typische Datenrate
SFP
1 Gbit/s
SFP+
10 Gbit/s
SFP28
25 Gbit/s
QSFP+
40 Gbit/s
QSFP28
100 Gbit/s
Für AP1/AP2 ist besonders wichtig:
SFP häufig 1 Gbit/s.
SFP+ häufig 10 Gbit/s.
Merksatz:
Modul und Port müssen zur Datenrate passen.
SFP und Kompatibilität
Bei SFP-Verbindungen müssen mehrere Dinge zusammenpassen.
Wichtige Punkte:
- Datenrate
- Faserart
- Wellenlänge
- Reichweite
- Steckertyp
- Gegenstelle
- Herstellerkompatibilität
- Switch-Unterstützung
Wenn etwas nicht passt, entsteht oft kein Link.
Typische Fehler:
falsches Modul
falsche Faser
falsche Wellenlänge
TX/RX vertauscht
Modul wird vom Switch nicht unterstützt
Merksatz:
Bei SFP muss die gesamte Verbindung passen.
Kabel als Schicht-1-Komponente
Kabel gehören zur physischen Übertragung.
Beispiele:
- Twisted-Pair-Kabel
- Koaxialkabel
- Lichtwellenleiter
- Patchkabel
- Verlegekabel
- DAC-Kabel
Kabel beeinflussen:
- Signalqualität
- maximale Entfernung
- mögliche Datenrate
- Störanfälligkeit
- Dämpfung
- Link-Stabilität
Merksatz:
Kabel sind Grundlage der physischen Übertragung.
Stecker und Anschlüsse
Stecker und Anschlüsse sind ebenfalls wichtig für Schicht 1.
Beispiele:
- RJ45
- LC
- SC
- ST
- SFP-Port
- Netzwerkdose
- Patchfeld-Port
Schlechte oder verschmutzte Steckverbindungen können zu Fehlern führen.
Mögliche Folgen:
- kein Link
- instabiler Link
- viele Fehler
- niedrige Geschwindigkeit
- Paketverluste
Merksatz:
Schlechte Steckverbindungen verursachen oft Schicht-1-Probleme.
Antennen als Schicht-1-Komponente
Bei WLAN sind Antennen Teil der physischen Übertragung.
Antennen senden und empfangen elektromagnetische Wellen.
Sie beeinflussen:
- Reichweite
- Abstrahlrichtung
- Signalqualität
- Funkzellen
- Verbindungsstabilität
Wichtig:
Eine Antenne erzeugt keine zusätzliche Energie.
Sie verteilt vorhandene Energie anders.
Merksatz:
Antenne = Schicht-1-Komponente für Funkübertragung.
Access Point und Schicht 1
Ein Access Point hat Schicht-1-Funktionen.
Dazu gehören:
- Funksignale senden
- Funksignale empfangen
- Frequenzband nutzen
- Kanäle verwenden
- Signalstärke beeinflussen
- Antennen nutzen
Aber ein Access Point arbeitet nicht nur auf Schicht 1.
Er hat auch Schicht-2-Funktionen.
Zum Beispiel:
- WLAN-Frames
- MAC-Adressen
- SSID
- Authentifizierung
- Verbindung zum LAN
Merksatz:
Access Point betrifft Schicht 1 und Schicht 2.
Switch und Schicht 1
Ein Switch hat physische Ports.
Diese Ports gehören aus Sicht der Signalübertragung zu Schicht 1.
Beispiele:
- RJ45-Port
- SFP-Port
- Link-Speed
- Auto-Negotiation
- Link-Status
Die eigentliche Switch-Funktion ist aber Schicht 2.
Ein Switch leitet Ethernet-Frames anhand von MAC-Adressen weiter.
Merksatz:
Switch-Port hat Schicht-1-Anteil.
Switch-Weiterleitung ist Schicht 2.
Router und Schicht 1
Ein Router hat ebenfalls physische Schnittstellen.
Beispiele:
- Ethernet-Port
- SFP-Port
- WAN-Port
- WLAN-Funkschnittstelle
Diese physischen Anschlüsse gehören zur Übertragung auf Schicht 1.
Die eigentliche Routing-Funktion gehört aber zu Schicht 3.
Ein Router leitet IP-Pakete zwischen Netzen weiter.
Merksatz:
Router-Port hat Schicht-1-Anteil.
Routing ist Schicht 3.
Firewall und Schicht 1
Auch eine Firewall besitzt physische Schnittstellen.
Beispiele:
- LAN-Port
- WAN-Port
- DMZ-Port
- SFP-Port
Diese Ports ermöglichen die physische Verbindung.
Die eigentliche Firewall-Funktion arbeitet aber auf höheren Schichten.
Zum Beispiel:
- IP-Adressen
- Ports
- Protokolle
- Regeln
- Sitzungen
- Anwendungen
Merksatz:
Firewall-Port ist physisch.
Firewall-Regeln sind höhere Schichten.
Gerät versus Funktion
Ein Gerät kann mehrere Schichten betreffen.
Beispiel Switch:
Schicht 1:
physischer Port,
Link,
Geschwindigkeit,
Signalübertragung
Schicht 2:
MAC-Adressen,
Frames,
Switching,
VLANs
Beispiel Router:
Schicht 1:
physische Schnittstelle
Schicht 3:
IP-Adresse,
Routing,
Weiterleitung zwischen Netzen
Wichtig:
Die Schicht hängt von der betrachteten Funktion ab.
Merksatz:
Nicht nur das Gerät zählt,
sondern welche Funktion gemeint ist.
Typische Gerätezuordnung
Gerät / Komponente
typische Schicht
Begründung
Kabel
0 / 1
physisches Medium
Stecker
0 / 1
physische Verbindung
Netzwerkkarte
1 / 2
Signalübertragung und MAC-Funktion
Hub
1
verteilt Signale
Repeater
1
regeneriert Signale
Medienkonverter
1
wandelt Übertragungsmedium
SFP-Modul
1
physische Schnittstelle
Access Point
1 / 2
Funk und WLAN-Zugriff
Switch
2
leitet Frames anhand von MAC-Adressen
Router
3
leitet IP-Pakete zwischen Netzen
Firewall
3 / 4 / 7
filtert je nach Funktion auf mehreren Schichten
Merksatz:
Die Funktion entscheidet über die Schicht.
Schicht-1-Geräte erkennen
Ein Gerät oder eine Komponente ist Schicht 1, wenn es hauptsächlich um Folgendes geht:
- Signal
- Bitübertragung
- Medium
- Link
- Pegel
- elektrische Übertragung
- optische Übertragung
- Funkübertragung
- Geschwindigkeit
- Duplex
- physische Verbindung
Ein Gerät ist nicht nur deshalb Schicht 1, weil es einen Anschluss hat.
Beispiel:
Ein Router hat physische Anschlüsse,
aber seine Hauptfunktion ist Routing auf Schicht 3.
Merksatz:
Schicht 1 erkennt man an Signal und physischer Übertragung.
Was Schicht-1-Geräte nicht auswerten
Reine Schicht-1-Geräte werten nicht aus:
- MAC-Adressen
- IP-Adressen
- VLAN-Tags
- TCP-Ports
- UDP-Ports
- DNS-Namen
- HTTP-Inhalte
- Benutzerkonten
Beispiel Hub:
Er verteilt Signale,
ohne die Zieladresse zu beachten.
Merksatz:
Schicht 1 kennt keine logischen Adressen.
Typische Schicht-1-Fehler durch Komponenten
Fehlerbild
mögliche Schicht-1-Ursache
kein Link
Kabel, Port, Netzwerkkarte, SFP, Strom
Link flapping
defektes Kabel, Wackelkontakt, SFP-Problem
nur 100 Mbit/s
Aderproblem, alte Komponente, schlechte Strecke
viele CRC-Fehler
Signalqualität, Kabel, Störung
LWL-Link down
TX/RX vertauscht, falsches Modul, verschmutzter Stecker
WLAN schwach
Antenne, Entfernung, Hindernisse, Störung
Medienkonverter ohne Verbindung
Strom, falsches Medium, falsche Geschwindigkeit
Merksatz:
Physische Komponenten sind häufig Ursache für instabile Verbindungen.
Fehlersuche bei Schicht-1-Komponenten
Sinnvolle Prüffragen:
1. Ist das Gerät eingeschaltet?
2. Ist das Kabel korrekt gesteckt?
3. Leuchtet die Link-LED?
4. Ist der richtige Port verwendet?
5. Ist das Kabel beschädigt?
6. Passt das SFP-Modul?
7. Passt die Geschwindigkeit?
8. Ist TX/RX bei LWL korrekt?
9. Ist die WLAN-Signalstärke ausreichend?
10. Gibt es Fehlerzähler am Switch-Port?
Merksatz:
Bei Schicht 1 zuerst physisch prüfen,
dann logisch weitergehen.
Beispiel: Kein Link am PC
Fehlerbild:
PC hat keine Netzwerkverbindung.
Mögliche Schicht-1-Ursachen:
- Netzwerkkabel nicht gesteckt
- Patchkabel defekt
- Netzwerkdose nicht gepatcht
- Switch-Port deaktiviert
- Netzwerkkarte deaktiviert
- falscher Port
- Kabelbruch
- keine Stromversorgung beim Switch
Erst danach prüft man höhere Schichten wie:
IP-Adresse
Gateway
DNS
Firewall
Merksatz:
Ohne Link zuerst Schicht 1 prüfen.
Beispiel: Glasfaser-Link kommt nicht hoch
Fehlerbild:
Zwei Switches sind über LWL verbunden,
aber es entsteht kein Link.
Mögliche Schicht-1-Ursachen:
- falsches SFP-Modul
- SFP nicht unterstützt
- Multimode und Singlemode verwechselt
- falsche Wellenlänge
- TX und RX vertauscht
- Glasfaser defekt
- Stecker verschmutzt
- Strecke zu lang
- Dämpfung zu hoch
Merksatz:
Bei LWL zuerst Modul, Faser, TX/RX und Stecker prüfen.
Beispiel: WLAN-Verbindung instabil
Fehlerbild:
WLAN verbindet sich,
bricht aber immer wieder ab.
Mögliche Schicht-1-Ursachen:
- schwaches Signal
- große Entfernung
- ungünstige Access-Point-Position
- Störungen
- falsches Frequenzband
- überlasteter Kanal
- schlechte Antennenposition
- Hindernisse
Mögliche höhere Ursachen:
- falsches Passwort
- DHCP-Problem
- VLAN-Fehler
- Firewall-Regeln
- DNS-Problem
Merksatz:
WLAN-Fehler können Schicht 1,
Schicht 2
oder höhere Schichten betreffen.
Praktische Reihenfolge bei Netzwerkfehlern
Eine einfache Reihenfolge:
1. Stromversorgung prüfen
2. Kabel und Stecker prüfen
3. Link-LED prüfen
4. Portstatus prüfen
5. Geschwindigkeit und Duplex prüfen
6. Fehlerzähler prüfen
7. IP-Adresse prüfen
8. Gateway prüfen
9. DNS prüfen
10. Anwendung prüfen
Warum?
Wenn die physische Verbindung nicht funktioniert,
können die höheren Schichten nicht zuverlässig arbeiten.
Merksatz:
Von unten nach oben prüfen.
Einordnung nach OSI-Schichten
Prüfung
typische Schicht
Kabel gesteckt?
1
Link-LED an?
1
Geschwindigkeit ausgehandelt?
1
MAC-Adresse sichtbar?
2
VLAN korrekt?
2
IP-Adresse vorhanden?
3
Gateway erreichbar?
3
TCP-Port offen?
4
DNS-Auflösung funktioniert?
7
Webseite lädt?
7
Merksatz:
Erst Link,
dann MAC,
dann IP,
dann Dienst.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Welche Geräte arbeiten auf Schicht 1?
- Warum arbeitet ein Hub auf Schicht 1?
- Was macht ein Repeater?
- Was macht ein Medienkonverter?
- Was ist ein SFP-Modul?
- Warum ist ein Switch nicht einfach ein Schicht-1-Gerät?
- Warum kann ein Gerät mehrere Schichten betreffen?
- Welche Schicht hat ein Router?
- Welche Schicht hat ein Hub?
- Warum entscheidet die Funktion über die Schicht?
- Welche Schicht prüft man bei fehlendem Link zuerst?
Typische Prüfungsfallen
Ein Hub ist kein Switch.
Ein Hub arbeitet auf Schicht 1.
Ein Switch arbeitet typischerweise auf Schicht 2.
Ein Router arbeitet typischerweise auf Schicht 3.
Ein Medienkonverter arbeitet hauptsächlich auf Schicht 1.
Ein SFP-Port ist nicht dasselbe wie ein SFP-Modul.
Ein Gerät kann mehrere Schichten betreffen.
Die betrachtete Funktion entscheidet über die Schicht.
Reine Schicht-1-Geräte kennen keine MAC-Adressen.
Reine Schicht-1-Geräte kennen keine IP-Adressen.
Kein Link ist zuerst ein Schicht-1-Problem.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Schicht-1-Komponente
Komponente für physische Bit- und Signalübertragung
Netzwerkkarte
Schnittstelle zwischen Endgerät und Netzwerk
NIC
Network Interface Card
Hub
verteilt Signale an alle Ports
Repeater
regeneriert und verstärkt Signale
Medienkonverter
wandelt zwischen Übertragungsmedien
SFP
steckbares Netzwerkmodul
SFP-Port
Steckplatz für ein SFP-Modul
SFP-Modul
physische Schnittstelle für Kupfer oder Glasfaser
Kabel
physisches Übertragungsmedium
Stecker
physische Verbindung zwischen Komponenten
Antenne
sendet und empfängt Funkwellen
Access Point
WLAN-Zugangspunkt, betrifft Schicht 1 und 2
Switch
leitet Frames anhand von MAC-Adressen weiter
Router
leitet IP-Pakete zwischen Netzen weiter
Firewall
filtert Datenverkehr je nach Funktion auf mehreren Schichten
Link
aktive physische Verbindung
Link flapping
instabile physische Verbindung
Kollisionsdomäne
Bereich, in dem Kollisionen auftreten können
IHK-sichere Kurzformulierung
Zu OSI-Schicht 1 gehören Geräte und Komponenten, die für die physische Übertragung von Bits als Signale zuständig sind. Dazu zählen zum Beispiel Netzwerkkarten, Hubs, Repeater, Medienkonverter, SFP-Module, Kabel, Stecker und Antennen. Ein Hub arbeitet auf Schicht 1, weil er eingehende Signale an alle Ports weitergibt, ohne MAC- oder IP-Adressen auszuwerten. Ein Switch besitzt zwar physische Ports, seine eigentliche Weiterleitungsfunktion arbeitet aber auf Schicht 2 anhand von MAC-Adressen. Bei der Schichtzuordnung ist deshalb immer die betrachtete Funktion entscheidend.
Merksätze
Schicht 1 = Bits und Signale.
Schicht-1-Geräte arbeiten mit physischer Übertragung.
Hub = Schicht 1.
Repeater = Schicht 1.
Medienkonverter = hauptsächlich Schicht 1.
SFP-Modul = physische Schnittstelle.
Kabel und Stecker sind physische Komponenten.
Antennen gehören zur Funkübertragung.
Access Point betrifft Schicht 1 und 2.
Switch-Port hat Schicht-1-Anteil.
Switch-Weiterleitung ist Schicht 2.
Router-Port hat Schicht-1-Anteil.
Routing ist Schicht 3.
Die Funktion entscheidet über die Schicht.
Reine Schicht-1-Geräte kennen keine MAC-Adressen.
Reine Schicht-1-Geräte kennen keine IP-Adressen.
Kein Link bedeutet zuerst Schicht 1 prüfen.
Erst physisch prüfen,
dann logisch weitergehen.
4.5 Fehlersuche auf Schicht 1
Fehler auf OSI-Schicht 1 betreffen die physische Übertragung.
Das bedeutet:
Es gibt ein Problem mit Kabel,
Stecker,
Port,
Signal,
Funk,
Glasfaser,
SFP-Modul
oder Netzwerkkarte.
Schicht 1 ist bei der Fehlersuche besonders wichtig, weil ohne funktionierende physische Verbindung keine höheren Schichten zuverlässig arbeiten können.
Merksatz:
Ohne Schicht 1 keine Netzwerkkommunikation.
Grundidee der Schicht-1-Fehlersuche
Auf Schicht 1 prüft man zuerst, ob überhaupt eine physische Verbindung besteht.
Typische Fragen:
Ist das Kabel eingesteckt?
Leuchtet die Link-LED?
Ist der richtige Port verwendet?
Ist das Kabel beschädigt?
Ist die Netzwerkkarte aktiv?
Ist das SFP-Modul passend?
Ist das WLAN-Signal stark genug?
Erst wenn die physische Verbindung funktioniert, prüft man höhere Schichten wie MAC, IP, DNS oder Anwendung.
Merksatz:
Erst physisch prüfen,
dann logisch weitergehen.
Typische Schicht-1-Fehler
Typische Fehler auf Schicht 1 sind:
- Kabel nicht eingesteckt
- Kabel defekt
- falsches Kabel
- beschädigter Stecker
- defekte Netzwerkdose
- falsch aufgelegtes Verlegekabel
- defekter Switch-Port
- Netzwerkkarte deaktiviert
- falsches SFP-Modul
- TX und RX bei LWL vertauscht
- zu hohe Dämpfung
- WLAN-Signal zu schwach
- Stromversorgung fehlt
- Medienkonverter defekt
- falsche Geschwindigkeit ausgehandelt
Merksatz:
Schicht-1-Fehler sind oft einfache physische Ursachen.
Fehlerbild: Kein Link
Kein Link bedeutet:
Die physische Verbindung wird nicht erkannt.
Typische Hinweise:
- Link-LED ist aus
- Betriebssystem zeigt „Netzwerkkabel wurde entfernt“
- Switch-Port ist down
- kein Link am Medienkonverter
- kein Link am SFP-Port
Mögliche Ursachen:
- Kabel nicht gesteckt
- falscher Port
- defektes Kabel
- defekte Netzwerkdose
- defekter Switch-Port
- Netzwerkkarte deaktiviert
- falsches oder inkompatibles SFP-Modul
- kein Strom am Gerät
- TX/RX bei Glasfaser vertauscht
Merksatz:
Kein Link ist zuerst ein Schicht-1-Problem.
Fehlerbild: Link flapping
Link flapping bedeutet:
Die Verbindung geht ständig hoch und runter.
Typische Anzeige:
Link up
Link down
Link up
Link down
Mögliche Ursachen:
- Wackelkontakt
- defektes Patchkabel
- beschädigte Netzwerkdose
- schlechter Stecker
- defekter Port
- falsches SFP-Modul
- schlechte Glasfaserverbindung
- zu hohe Dämpfung
- Stromproblem
- Treiberproblem
Merksatz:
Link flapping weist auf eine instabile physische Verbindung hin.
Fehlerbild: Nur 100 Mbit/s statt 1 Gbit/s
Wenn eine Verbindung nur 100 Mbit/s statt 1 Gbit/s aushandelt, kann das ein Hinweis auf ein Verkabelungsproblem sein.
Mögliche Ursachen:
- nicht alle 8 Adern verbunden
- defektes Patchkabel
- falsch aufgelegte Netzwerkdose
- defektes Verlegekabel
- altes Gerät unterstützt nur 100 Mbit/s
- Switch-Port unterstützt nur 100 Mbit/s
- schlechte Signalqualität
- falsche Auto-Negotiation
Wichtig:
100BASE-TX nutzt bei Twisted Pair typischerweise 4 Adern.
1000BASE-T nutzt alle 8 Adern.
Merksatz:
Nur 100 Mbit/s statt 1 Gbit/s kann an fehlenden oder fehlerhaften Adern liegen.
Fehlerbild: Schlechter Durchsatz
Schlechter Durchsatz bedeutet:
Die tatsächlich erreichte Datenrate ist niedriger als erwartet.
Mögliche Schicht-1-Ursachen:
- schlechte Signalqualität
- beschädigtes Kabel
- zu lange Strecke
- falsche Kabelkategorie
- elektromagnetische Störungen
- schlechte Steckverbindung
- Duplex-Mismatch
- viele Übertragungsfehler
- schwaches WLAN-Signal
- überlasteter Funkkanal
Wichtig:
Schlechter Durchsatz kann auch durch höhere Schichten verursacht werden.
Man muss deshalb systematisch prüfen.
Merksatz:
Schlechter Durchsatz kann physische Ursachen haben,
muss aber nicht.
Fehlerbild: Paketverluste
Paketverluste bedeuten:
Daten erreichen ihr Ziel nicht zuverlässig.
Mögliche Schicht-1-Ursachen:
- instabile Verbindung
- schlechte Signalqualität
- defektes Kabel
- schlechte Funkverbindung
- Dämpfung
- Störungen
- Fehler auf der Glasfaserstrecke
- Link flapping
Wichtig:
Paketverluste werden auf höheren Schichten sichtbar,
können aber auf Schicht 1 verursacht werden.
Merksatz:
Physische Probleme können sich als Paketverluste zeigen.
Fehlerbild: Viele CRC- oder FCS-Fehler
CRC- oder FCS-Fehler werden bei Ethernet-Frames erkannt.
Das gehört fachlich zur Schicht 2.
Die Ursache liegt aber häufig auf Schicht 1.
Mögliche Schicht-1-Ursachen:
- defektes Kabel
- schlechte Steckverbindung
- elektromagnetische Störungen
- zu lange Kabelstrecke
- beschädigtes Patchfeld
- defekter Port
- schlechte Glasfaserverbindung
- Duplex-Probleme
Wichtig:
Schicht 2 erkennt den Fehler.
Schicht 1 verursacht ihn oft.
Merksatz:
CRC/FCS-Fehler sind ein Hinweis auf mögliche Signalprobleme.
Fehlerbild: WLAN langsam oder instabil
Bei WLAN können Schicht-1-Probleme durch die Funkübertragung entstehen.
Mögliche Ursachen:
- Signal zu schwach
- zu große Entfernung
- Wände oder Decken
- Störungen durch andere Funkquellen
- überlasteter Kanal
- falsches Frequenzband
- ungünstige Access-Point-Position
- zu viele Clients
- schlechte Antennenposition
Wichtig:
WLAN-Probleme können auch durch Authentifizierung,
VLAN,
DHCP,
DNS
oder Firewall-Regeln entstehen.
Merksatz:
WLAN-Fehlersuche beginnt mit Signal und Funkumgebung.
Fehlerbild: Glasfaser-Link kommt nicht hoch
Bei LWL-Verbindungen gibt es typische Schicht-1-Fehler.
Mögliche Ursachen:
- falsches SFP-Modul
- SFP nicht vom Switch unterstützt
- Multimode und Singlemode verwechselt
- falsche Wellenlänge
- falscher Steckertyp
- TX und RX vertauscht
- Glasfaser beschädigt
- Stecker verschmutzt
- Strecke zu lang
- Dämpfung zu hoch
- Gegenstelle nicht aktiv
Wichtig:
Niemals direkt in Glasfaser oder optische Ports schauen.
Merksatz:
Bei LWL zuerst Modul, Faser, TX/RX und Sauberkeit prüfen.
Fehlerbild: PoE-Gerät startet nicht
PoE steht für:
Power over Ethernet
Wenn ein PoE-Gerät nicht startet, kann auch das ein physisches Problem sein.
Typische PoE-Geräte:
- Access Point
- IP-Kamera
- VoIP-Telefon
Mögliche Ursachen:
- Switch liefert kein PoE
- PoE am Port deaktiviert
- PoE-Budget überschritten
- Kabel defekt
- zu lange Strecke
- Endgerät benötigt mehr Leistung
- falscher PoE-Standard
- defektes Endgerät
Merksatz:
Bei PoE immer Datenverbindung und Stromversorgung prüfen.
Schicht-1-Prüfung bei Kupfer
Bei Twisted-Pair-Kupfer prüft man:
1. Ist das Kabel eingesteckt?
2. Ist das Patchkabel intakt?
3. Leuchtet die Link-LED?
4. Ist die Netzwerkdose richtig gepatcht?
5. Ist das Verlegekabel korrekt aufgelegt?
6. Ist die richtige Kabelkategorie vorhanden?
7. Ist die maximale Länge eingehalten?
8. Wird die erwartete Geschwindigkeit ausgehandelt?
9. Gibt es Fehlerzähler am Switch-Port?
10. Gibt es Störquellen in der Nähe?
Merksatz:
Bei Kupfer zuerst Kabel, Dose, Patchfeld und Port prüfen.
Schicht-1-Prüfung bei LWL
Bei Lichtwellenleitern prüft man:
1. Passt das SFP-Modul?
2. Passt die Datenrate?
3. Passt Multimode oder Singlemode?
4. Passt die Wellenlänge?
5. Passt der Steckertyp?
6. Sind TX und RX richtig verbunden?
7. Sind die Stecker sauber?
8. Ist die Strecke zu lang?
9. Ist die Dämpfung zu hoch?
10. Ist die Gegenstelle aktiv?
Wichtig:
Glasfaserstecker sind empfindlich gegenüber Schmutz.
Merksatz:
Bei LWL müssen Modul, Faser und Strecke zusammenpassen.
Schicht-1-Prüfung bei WLAN
Bei WLAN prüft man:
1. Ist WLAN am Client aktiviert?
2. Ist der Access Point aktiv?
3. Ist die Signalstärke ausreichend?
4. Ist das passende Frequenzband gewählt?
5. Ist der Kanal überlastet?
6. Gibt es Störungen?
7. Ist die Entfernung zu groß?
8. Sind Hindernisse vorhanden?
9. Ist die Antennenposition sinnvoll?
10. Sind zu viele Clients verbunden?
Danach prüft man höhere Themen wie:
- Passwort
- Authentifizierung
- VLAN
- DHCP
- DNS
- Firewall
Merksatz:
Bei WLAN zuerst Funkqualität,
dann Netzwerkkonfiguration prüfen.
Werkzeuge für Schicht-1-Fehlersuche
Typische Werkzeuge:
Werkzeug
Einsatz
Sichtprüfung
Kabel, Stecker, LEDs prüfen
Link-LED
physische Verbindung erkennen
Kabeltester
Adern und Durchgang prüfen
Netzwerktester
Verkabelung und Link prüfen
Switch-Port-Status
Link, Speed, Duplex, Fehlerzähler prüfen
LWL-Reinigungswerkzeug
Glasfaserstecker reinigen
optischer Leistungsmesser
LWL-Signalstärke messen
WLAN-Analyzer
Signalstärke, Kanäle und Störungen prüfen
Betriebssystemanzeige
Link-Speed und Adapterstatus prüfen
Merksatz:
Gute Fehlersuche nutzt Beobachtung,
Messung
und systematische Eingrenzung.
Switch-Port-Status
Ein Switch kann wichtige Informationen zur Verbindung anzeigen.
Typische Werte:
- Link up / down
- Geschwindigkeit
- Duplexmodus
- Fehlerzähler
- CRC-Fehler
- FCS-Fehler
- Paketanzahl
- Port deaktiviert oder aktiv
- PoE-Status
Diese Informationen helfen, physische Probleme zu erkennen.
Merksatz:
Switch-Port-Statistiken sind sehr hilfreich bei Schicht-1-Fehlern.
Betriebssystemanzeige
Auch das Betriebssystem zeigt oft Informationen zur Verbindung.
Beispiele:
- Netzwerkadapter aktiv oder deaktiviert
- Verbindungsgeschwindigkeit
- WLAN-Signalstärke
- verbundene SSID
- kein Netzwerkkabel erkannt
- IP-Adresse vorhanden oder nicht
Wichtig:
Die Betriebssystemanzeige zeigt nicht immer die Ursache,
aber oft den ersten Hinweis.
Merksatz:
Adapterstatus und Link-Speed im Betriebssystem prüfen.
Ping und Schicht 1
Ping prüft nicht direkt Schicht 1.
Ping nutzt ICMP und gehört damit zu höheren Schichten.
Trotzdem kann Ping bei der Fehlersuche helfen.
Beispiel:
Kein Ping möglich
Das kann viele Ursachen haben:
- kein Link
- falsche IP-Adresse
- falsches Gateway
- Firewall blockiert ICMP
- Zielgerät aus
- Routing-Problem
Wichtig:
Wenn kein Link vorhanden ist,
kann Ping nicht funktionieren.
Merksatz:
Ping ist hilfreich,
aber kein reiner Schicht-1-Test.
ipconfig, ifconfig und ip addr
Befehle wie ipconfig, ifconfig oder ip addr zeigen Netzwerkinformationen an.
Sie zeigen zum Beispiel:
- IP-Adresse
- Netzmaske
- Gateway
- Adapterstatus
- MAC-Adresse
Wichtig:
Diese Befehle prüfen nicht nur Schicht 1,
sondern auch höhere Schichten.
Trotzdem sieht man oft Hinweise auf:
- Adapter deaktiviert
- kein Link
- keine IP-Adresse
- falsche Schnittstelle
Merksatz:
Betriebssystembefehle helfen,
aber Schicht 1 muss physisch geprüft werden.
Systematische Fehlersuche von unten nach oben
Eine gute Reihenfolge:
1. Stromversorgung prüfen
2. Kabel und Stecker prüfen
3. Link-LED prüfen
4. Portstatus prüfen
5. Geschwindigkeit und Duplex prüfen
6. Fehlerzähler prüfen
7. MAC/VLAN prüfen
8. IP-Adresse prüfen
9. Gateway prüfen
10. DNS prüfen
11. Anwendung prüfen
Diese Reihenfolge orientiert sich am Schichtenmodell.
Merksatz:
Erst Schicht 1,
dann Schicht 2,
dann Schicht 3,
dann höhere Schichten.
Beispiel: Internet funktioniert nicht
Fehlerbild:
Ein PC kommt nicht ins Internet.
Nicht sofort mit DNS oder Router beginnen.
Zuerst prüfen:
- Netzwerkkabel steckt?
- Link-LED leuchtet?
- Adapter aktiv?
- richtige Geschwindigkeit?
- Switch-Port aktiv?
Danach:
- IP-Adresse vorhanden?
- Gateway erreichbar?
- DNS funktioniert?
- Firewall blockiert?
- Internetanschluss aktiv?
Merksatz:
Internetproblem kann bei Schicht 1 beginnen.
Beispiel: Server nicht erreichbar
Fehlerbild:
Ein Server ist nicht erreichbar.
Mögliche Schicht-1-Prüfung:
- Server eingeschaltet?
- Netzwerkkarte aktiv?
- Kabel gesteckt?
- Link am Serverport?
- Link am Switchport?
- richtige Geschwindigkeit?
- Fehler am Port?
- SFP korrekt?
- Stromversorgung vorhanden?
Danach prüft man:
- VLAN
- IP-Adresse
- Routing
- Firewall
- Dienst läuft?
Merksatz:
Server nicht erreichbar heißt nicht automatisch Anwendungsfehler.
Beispiel: Drucker im Netzwerk nicht erreichbar
Fehlerbild:
Netzwerkdrucker antwortet nicht.
Schicht-1-Prüfung:
- Drucker eingeschaltet?
- Netzwerkkabel gesteckt?
- Link-LED am Drucker?
- Netzwerkdose gepatcht?
- Switch-Port aktiv?
- PoE relevant?
- WLAN-Signal ausreichend, falls WLAN-Drucker?
Danach:
- IP-Adresse korrekt?
- Drucker im richtigen VLAN?
- DNS-Name korrekt?
- Druckdienst erreichbar?
Merksatz:
Auch Druckerprobleme zuerst physisch eingrenzen.
Schicht-1-Fehler und höhere Symptome
Ein physischer Fehler kann sich auf höheren Schichten zeigen.
sichtbares Problem
mögliche physische Ursache
Webseite lädt langsam
schlechte Verbindung, Paketverluste
VPN bricht ab
instabiler Link
VoIP klingt schlecht
Jitter durch Verbindungsprobleme
Dateiübertragung langsam
schlechte Signalqualität
DNS wirkt langsam
Paketverluste oder instabile Verbindung
Server nicht erreichbar
kein Link oder Port down
Merksatz:
Höhere Symptome können durch untere Schichten verursacht werden.
Was Schicht 1 nicht löst
Nicht jedes Problem ist Schicht 1.
Wenn Schicht 1 funktioniert, können Probleme trotzdem entstehen durch:
- falsches VLAN
- falsche IP-Adresse
- falsche Subnetzmaske
- falsches Gateway
- DHCP-Problem
- DNS-Problem
- Firewall-Regel
- Dienst läuft nicht
- falscher Benutzerzugriff
- Zertifikatsproblem
Merksatz:
Schicht 1 ist die Basis,
aber nicht die einzige Fehlerquelle.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Welche Fehler gehören typischerweise zu Schicht 1?
- Warum prüft man bei Netzwerkproblemen zuerst die physische Verbindung?
- Was bedeutet kein Link?
- Was bedeutet Link flapping?
- Warum kann nur 100 Mbit/s statt 1 Gbit/s ausgehandelt werden?
- Warum können CRC-Fehler auf ein Schicht-1-Problem hinweisen?
- Welche Ursachen kann ein nicht funktionierender LWL-Link haben?
- Welche Werkzeuge helfen bei der Schicht-1-Fehlersuche?
- Warum ist Ping kein reiner Schicht-1-Test?
- Wie geht man bei einer Netzwerkstörung systematisch vor?
Typische Prüfungsfallen
Kein Link ist zuerst ein Schicht-1-Thema.
Ping prüft nicht direkt Schicht 1.
Eine leuchtende Link-LED bedeutet nicht automatisch,
dass IP korrekt ist.
CRC- oder FCS-Fehler werden auf Schicht 2 erkannt,
können aber durch Schicht 1 verursacht werden.
Nur 100 Mbit/s statt 1 Gbit/s kann ein Aderproblem sein.
Gigabit über Twisted Pair benötigt alle 8 Adern.
WLAN-Probleme sind nicht immer nur Passwortprobleme.
LWL-Probleme liegen häufig an Modul,
Faser,
TX/RX,
Dämpfung
oder Verschmutzung.
Erst physische Verbindung prüfen,
dann IP und Dienste.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Schicht-1-Fehler
Fehler bei physischer Übertragung
kein Link
keine aktive physische Verbindung
Link flapping
Verbindung geht ständig hoch und runter
Link-Speed
ausgehandelte Verbindungsgeschwindigkeit
Duplex
Übertragungsrichtung der Verbindung
CRC-Fehler
erkannter Fehler bei Frame-Prüfung
FCS-Fehler
Fehler bei der Frame-Prüfsumme
Dämpfung
Abschwächung eines Signals
Signalqualität
Güte des empfangenen Signals
Kabeltester
Werkzeug zur Prüfung von Kabeln
WLAN-Analyzer
Werkzeug zur Prüfung von Funkumgebung
optischer Leistungsmesser
Messgerät für LWL-Signalstärke
Switch-Port-Status
Anzeige von Link, Speed, Duplex und Fehlern
Ping
ICMP-Test für Erreichbarkeit auf höheren Schichten
PoE
Stromversorgung über Netzwerkkabel
IHK-sichere Kurzformulierung
Fehlersuche auf OSI-Schicht 1 bedeutet, die physische Verbindung und Signalübertragung zu prüfen. Typische Schicht-1-Fehler sind nicht gesteckte oder defekte Kabel, fehlender Link, falsche Geschwindigkeit, Link flapping, defekte Ports, falsche SFP-Module, vertauschte TX/RX-Fasern, schlechte Signalqualität oder schwaches WLAN-Signal. Werkzeuge wie Link-LED, Kabeltester, Switch-Port-Status, Fehlerzähler, WLAN-Analyzer oder LWL-Messgeräte helfen bei der Eingrenzung. Bei Netzwerkproblemen sollte zuerst die physische Verbindung geprüft werden, bevor höhere Schichten wie IP, DNS oder Anwendungen untersucht werden.
Merksätze
Schicht-1-Fehlersuche = physische Verbindung prüfen.
Kein Link = zuerst Schicht 1 prüfen.
Link-LED hilft,
ist aber kein vollständiger Test.
Link vorhanden bedeutet nicht automatisch IP korrekt.
Link flapping = instabile physische Verbindung.
Nur 100 Mbit/s statt 1 Gbit/s kann ein Kabelproblem sein.
Gigabit über Twisted Pair braucht alle 8 Adern.
CRC/FCS-Fehler können durch Schicht-1-Probleme entstehen.
Bei Kupfer: Kabel, Dose, Patchfeld, Port prüfen.
Bei LWL: Modul, Faser, TX/RX, Stecker prüfen.
Bei WLAN: Signal, Kanal, Störung, Entfernung prüfen.
Ping ist kein reiner Schicht-1-Test.
Erst physisch,
dann logisch.
Von unten nach oben prüfen.
Schicht 1 ist die Grundlage für alle höheren Schichten.
4.6 Merksätze und Prüfungswissen zu OSI-Schicht 1
Diese Seite fasst die wichtigsten Inhalte zur OSI-Schicht 1 zusammen.
OSI-Schicht 1 heißt:
Bitübertragungsschicht
Sie ist die unterste offizielle Schicht des OSI-Modells.
Ihre Hauptaufgabe ist:
Bits als physische Signale übertragen.
Wichtig:
Schicht 1 kennt keine IP-Adressen,
keine MAC-Adressen,
keine Ports
und keine Anwendungen.
Grundidee von Schicht 1
Schicht 1 beschäftigt sich mit der physischen Übertragung.
Dabei geht es um:
- Bits
- Signale
- elektrische Übertragung
- optische Übertragung
- Funkübertragung
- Signalpegel
- Taktung
- Synchronisation
- Geschwindigkeit
- Duplex
- physische Schnittstellen
- Link-Status
Merksatz:
Schicht 1 = Bits und Signale.
Offizielle Einordnung im OSI-Modell
OSI-Schicht
Name
Kurzaufgabe
7
Anwendungsschicht
Netzwerkdienste für Anwendungen
6
Darstellungsschicht
Daten darstellen, codieren, verschlüsseln
5
Sitzungsschicht
Sitzungen verwalten
4
Transportschicht
Ende-zu-Ende-Transport
3
Vermittlungsschicht
IP-Adressierung und Routing
2
Sicherungsschicht
Frames und MAC-Adressen
1
Bitübertragungsschicht
Bits als Signale übertragen
Wichtig:
Schicht 1 ist die unterste offizielle OSI-Schicht.
Schicht 0 und Schicht 1 unterscheiden
In unserem Lernsystem wurde vorher Schicht 0 als Lernhilfe verwendet.
Schicht 0 ist nicht offiziell im OSI-Modell.
Bereich
Bedeutung
Schicht 0
Übertragungsmedien und Verkabelung
Schicht 1
Bitübertragung über Signale
Beispiel:
Twisted-Pair-Kabel = Schicht 0 / Medium
elektrische Signalübertragung = Schicht 1
Glasfaser = Schicht 0 / Medium
Lichtsignal = Schicht 1
Merksatz:
Schicht 0 = worüber übertragen wird.
Schicht 1 = wie Bits übertragen werden.
Bit und Signal
Begriff
Bedeutung
Bit
kleinste Informationseinheit, 0 oder 1
Signal
physische Darstellung eines Bits oder einer Bitfolge
Ein Bit ist logisch.
Ein Signal ist physisch.
Beispiel:
Bitfolge:
1 0 1 1
Diese Bitfolge muss auf dem Medium als Signal dargestellt werden.
Merksatz:
Bits sind logisch.
Signale sind physisch.
Signalarten
Je nach Medium gibt es unterschiedliche Signalarten.
Medium
Signalart
Kupferkabel
elektrische Signale
Lichtwellenleiter
optische Signale
WLAN
elektromagnetische Funksignale
Merksätze:
Kupfer = elektrisch.
Glasfaser = optisch.
WLAN = Funk.
Elektrische Übertragung
Elektrische Übertragung findet über Kupfer statt.
Typische Medien:
- Twisted-Pair-Kabel
- Koaxialkabel
Typische Einflussfaktoren:
- Kabellänge
- Kabelqualität
- Schirmung
- Steckverbindungen
- elektromagnetische Störungen
- Dämpfung
Merksatz:
Kupfer überträgt Bits als elektrische Signale.
Optische Übertragung
Optische Übertragung findet über Lichtwellenleiter statt.
Andere Bezeichnungen:
- LWL
- Glasfaser
- Fiber
Typische Einflussfaktoren:
- Faserart
- Wellenlänge
- SFP-Modul
- Steckverbindungen
- Verschmutzung
- Dämpfung
- Biegeradius
- TX/RX
Wichtig:
Niemals direkt in Glasfaser oder optische Ports schauen.
Merksatz:
Glasfaser überträgt Bits als Lichtsignale.
Funkübertragung
Funkübertragung findet bei WLAN statt.
Typische Frequenzbereiche:
- 2,4 GHz
- 5 GHz
- 6 GHz
Typische Einflussfaktoren:
- Entfernung
- Wände
- Decken
- Störungen
- Kanalbelegung
- Signalstärke
- Access-Point-Position
- Anzahl der Clients
Merksatz:
WLAN überträgt Bits per Funk.
Codierung
Codierung bedeutet:
Bits werden nach einer festgelegten Regel als Signale dargestellt.
Vereinfacht:
Bit 0 = bestimmter Signalzustand
Bit 1 = anderer Signalzustand
In echten Netzwerken sind die Verfahren komplexer.
Für die Prüfung reicht:
Schicht 1 legt fest,
wie Bits physisch übertragen werden.
Merksatz:
Codierung macht Bits auf dem Medium übertragbar.
Modulation
Modulation bedeutet:
Information wird auf ein Signal aufgeprägt.
Besonders wichtig ist Modulation bei Funktechnik.
Eigenschaften eines Signals können verändert werden, zum Beispiel:
- Amplitude
- Frequenz
- Phase
Merksatz:
Modulation = Information auf ein Signal aufprägen.
Taktung und Synchronisation
Sender und Empfänger müssen zeitlich zusammenpassen.
Der Empfänger muss erkennen:
Wann beginnt ein Bit?
Wann endet ein Bit?
Wann soll das Signal ausgewertet werden?
Dazu dienen:
- Taktung
- Synchronisation
Merksatz:
Synchronisation sorgt dafür,
dass Sender und Empfänger die Bitfolge gleich verstehen.
Bitrate und Baudrate
Begriff
Bedeutung
Bitrate
übertragene Bits pro Sekunde
Baudrate
übertragene Symbole pro Sekunde
Wichtig:
Bitrate und Baudrate sind nicht immer dasselbe.
Ein Symbol kann je nach Verfahren ein oder mehrere Bits darstellen.
Merksatz:
Bitrate = Bits pro Sekunde.
Baudrate = Symbole pro Sekunde.
Bandbreite, Durchsatz und Latenz
Diese Begriffe werden oft verwechselt.
Begriff
Bedeutung
Bandbreite
theoretische oder mögliche Übertragungskapazität
Durchsatz
tatsächlich erreichte Datenrate
Latenz
Verzögerungszeit
Jitter
Schwankung der Verzögerung
Prüfungsfalle:
Bandbreite ist nicht automatisch Durchsatz.
Merksätze:
Bandbreite = möglich.
Durchsatz = tatsächlich erreicht.
Latenz = Verzögerung.
Jitter = schwankende Verzögerung.
Dämpfung und Signalqualität
Dämpfung bedeutet:
Ein Signal wird schwächer.
Signalqualität beschreibt:
wie gut ein Signal beim Empfänger ankommt.
Typische Ursachen schlechter Signalqualität:
- zu lange Strecke
- defektes Kabel
- schlechte Steckverbindung
- Störungen
- Rauschen
- Verschmutzung bei LWL
- falsches SFP-Modul
- schwaches WLAN-Signal
Merksatz:
Dämpfung = Signalverlust.
SNR
SNR steht für:
Signal-to-Noise Ratio
Auf Deutsch:
Signal-Rausch-Abstand
Ein hoher SNR-Wert bedeutet:
Das Nutzsignal ist deutlich stärker als das Störsignal.
Ein niedriger SNR-Wert bedeutet:
Das Nutzsignal ist schwerer vom Rauschen zu unterscheiden.
Merksatz:
Hoher SNR = bessere Signalqualität.
Bitfehler und Bitfehlerrate
Ein Bitfehler entsteht, wenn ein Bit falsch erkannt wird.
Beispiel:
gesendet: 1
empfangen: 0
Die Bitfehlerrate beschreibt, wie viele Bits fehlerhaft übertragen werden.
Abkürzung:
BER
BER steht für:
Bit Error Rate
Merksatz:
BER = Anteil fehlerhafter Bits.
Simplex, Halbduplex und Vollduplex
Modus
Bedeutung
Beispiel
Simplex
nur eine Richtung
Radio
Halbduplex
beide Richtungen, aber abwechselnd
Walkie-Talkie
Vollduplex
beide Richtungen gleichzeitig
Telefonat
Prüfungstauglich:
Simplex = eine Richtung.
Halbduplex = abwechselnd.
Vollduplex = gleichzeitig.
Merksatz:
Vollduplex ist bei modernen Switch-Verbindungen üblich.
Auto-Negotiation
Auto-Negotiation bedeutet:
Zwei Netzwerkgeräte handeln automatisch Verbindungseigenschaften aus.
Dazu gehören zum Beispiel:
- Geschwindigkeit
- Duplexmodus
- unterstützte Betriebsarten
Beispiel:
PC und Switch einigen sich auf 1 Gbit/s Vollduplex.
Wichtig:
Beide Seiten müssen die Betriebsart unterstützen.
Merksatz:
Auto-Negotiation = automatische Aushandlung der Verbindung.
Link und Link-LED
Ein Link ist eine aktive physische Verbindung.
Die Link-LED zeigt häufig an, ob eine Verbindung erkannt wurde.
Typische Bedeutung:
Anzeige
Bedeutung
LED aus
kein Link
LED an
Link vorhanden
LED blinkt
Aktivität
andere Farbe
oft andere Geschwindigkeit
Wichtig:
Link vorhanden bedeutet nicht automatisch,
dass IP oder DNS funktionieren.
Merksatz:
Link = physische Verbindung,
nicht vollständige Netzwerkfunktion.
Hub
Ein Hub ist ein altes Schicht-1-Gerät.
Ein Hub arbeitet so:
Signal kommt an einem Port an.
Hub verteilt das Signal an alle anderen Ports.
Ein Hub prüft nicht:
- MAC-Adresse
- IP-Adresse
- VLAN
- TCP-Port
- Anwendung
Merksatz:
Hub = Schicht 1,
verteilt Signale an alle Ports.
Repeater
Ein Repeater arbeitet auf Schicht 1.
Aufgabe:
Signal aufnehmen,
neu aufbereiten,
weitergeben.
Ein Repeater hilft gegen Signalabschwächung.
Er trifft aber keine logischen Weiterleitungsentscheidungen.
Merksatz:
Repeater = Signal regenerieren.
Medienkonverter
Ein Medienkonverter verbindet unterschiedliche Übertragungsmedien.
Typisches Beispiel:
Kupfer Ethernet
↔
Glasfaser Ethernet
Er wandelt zum Beispiel:
elektrisches Signal
↔
optisches Signal
Wichtig:
Ein Medienkonverter ändert normalerweise keine IP-Adresse.
Merksatz:
Medienkonverter = Medium wandeln,
nicht IP-Adresse ändern.
SFP-Modul
SFP steht für:
Small Form-factor Pluggable
Ein SFP-Modul ist ein steckbares Netzwerkmodul.
Es stellt eine physische Schnittstelle bereit.
Beispiele:
- Multimode-LWL
- Singlemode-LWL
- RJ45-Kupfer
- DAC
- AOC
Merksatz:
SFP = steckbare physische Netzwerkschnittstelle.
SFP-Port und SFP-Modul
Nicht verwechseln:
Begriff
Bedeutung
SFP-Port
Steckplatz am Gerät
SFP-Modul
eingesteckte physische Schnittstelle
Prüfungsfalle:
Ein SFP-Port allein ist noch keine Glasfaserverbindung.
Merksatz:
SFP-Port = Steckplatz.
SFP-Modul = Schnittstelle.
Kollisionen
Eine Kollision entsteht, wenn mehrere Geräte gleichzeitig auf einem gemeinsamen Medium senden.
Das war besonders relevant bei:
- Koaxial-Ethernet
- Hubs
- Halbduplex-Ethernet
Bei modernen Switch-Verbindungen mit Vollduplex spielen klassische Kollisionen praktisch keine Rolle mehr.
Merksatz:
Kollision = gleichzeitiges Senden auf gemeinsamem Medium.
Kollisionsdomäne
Eine Kollisionsdomäne ist ein Bereich, in dem Kollisionen auftreten können.
Bei einem Hub:
alle Ports in einer gemeinsamen Kollisionsdomäne
Bei einem Switch:
normalerweise jeder Port eigene Kollisionsdomäne
Merksatz:
Hub = eine Kollisionsdomäne.
Switch = getrennte Kollisionsbereiche pro Port.
CSMA/CD und CSMA/CA
Verfahren
Bedeutung
Einsatz
CSMA/CD
Collision Detection
älteres kabelgebundenes Ethernet
CSMA/CA
Collision Avoidance
WLAN
CSMA/CD bedeutet:
Kollisionserkennung
CSMA/CA bedeutet:
Kollisionsvermeidung
Merksatz:
CD = Detection.
CA = Avoidance.
Typische Schicht-1-Geräte und Komponenten
Gerät / Komponente
Schicht-1-Bezug
Netzwerkkarte
sendet und empfängt Signale
Hub
verteilt Signale
Repeater
regeneriert Signale
Medienkonverter
wandelt Übertragungsmedium
SFP-Modul
stellt physische Schnittstelle bereit
Kabel
physisches Medium
Stecker
physische Verbindung
Antenne
Funkübertragung
Access Point
Funk auf Schicht 1, WLAN-Zugriff auf Schicht 2
Switch-Port
physischer Anschluss auf Schicht 1
Wichtig:
Ein Gerät kann mehrere Schichten betreffen.
Die betrachtete Funktion entscheidet über die Schicht.
Gerätezuordnung für die Prüfung
Gerät
typische Hauptschicht
Hub
Schicht 1
Repeater
Schicht 1
Medienkonverter
Schicht 1
Switch
Schicht 2
Bridge
Schicht 2
Router
Schicht 3
Layer-3-Switch
Schicht 2 und 3
Firewall
je nach Funktion Schicht 3, 4 oder 7
Access Point
Schicht 1 und 2
Merksatz:
Hub = Schicht 1.
Switch = Schicht 2.
Router = Schicht 3.
Was Schicht 1 nicht macht
Schicht 1 macht nicht:
- MAC-Adressen auswerten
- Ethernet-Frames gezielt weiterleiten
- VLANs trennen
- IP-Adressen verwalten
- Routing durchführen
- TCP- oder UDP-Ports auswerten
- DNS-Namen auflösen
- Webseiten bereitstellen
- Benutzer authentifizieren
Merksatz:
Schicht 1 kennt keine logischen Adressen und keine Dienste.
Typische Schicht-1-Fehler
Typische Fehler:
- kein Link
- Link flapping
- Kabel defekt
- Stecker beschädigt
- falsches SFP-Modul
- TX/RX bei LWL vertauscht
- WLAN-Signal zu schwach
- falsche Geschwindigkeit
- Duplex-Mismatch
- zu hohe Dämpfung
- schlechte Signalqualität
- Stromversorgung fehlt
Merksatz:
Schicht-1-Fehler sind physische Verbindungsfehler.
Fehlerbild: Kein Link
Kein Link bedeutet:
keine aktive physische Verbindung.
Mögliche Ursachen:
- Kabel nicht gesteckt
- falscher Port
- defektes Kabel
- defekter Switch-Port
- Netzwerkkarte deaktiviert
- falsches SFP-Modul
- TX/RX vertauscht
- kein Strom
Merksatz:
Kein Link = zuerst Schicht 1 prüfen.
Fehlerbild: Nur 100 Mbit/s statt 1 Gbit/s
Mögliche Ursachen:
- nur 4 Adern verbunden
- Kabel defekt
- Dose falsch aufgelegt
- Patchfeldproblem
- altes Gerät
- schlechter Port
- schlechte Signalqualität
Wichtig:
1000BASE-T benötigt alle 8 Adern.
Merksatz:
Gigabit über Twisted Pair braucht alle 8 Adern.
Fehlerbild: CRC- oder FCS-Fehler
CRC- und FCS-Fehler werden auf Schicht 2 erkannt.
Die Ursache liegt aber oft auf Schicht 1.
Mögliche Ursachen:
- schlechtes Kabel
- Störungen
- schlechte Steckverbindung
- zu lange Strecke
- Duplex-Probleme
- schlechte Glasfaserstrecke
Merksatz:
Schicht 2 erkennt den Fehler,
Schicht 1 verursacht ihn oft.
Schicht-1-Fehlersuche
Sinnvolle Reihenfolge:
1. Strom prüfen
2. Kabel prüfen
3. Stecker prüfen
4. Link-LED prüfen
5. Port prüfen
6. Geschwindigkeit prüfen
7. Duplex prüfen
8. Fehlerzähler prüfen
9. SFP / LWL prüfen
10. WLAN-Signal prüfen
Danach:
MAC,
VLAN,
IP,
DNS,
Anwendung
Merksatz:
Erst physisch,
dann logisch.
Typische Werkzeuge
Werkzeug
Einsatz
Sichtprüfung
Kabel, Stecker, LEDs prüfen
Kabeltester
Adern und Durchgang prüfen
Switch-Port-Status
Link, Speed, Duplex, Fehler prüfen
Betriebssystemanzeige
Adapterstatus und Link-Speed prüfen
WLAN-Analyzer
Signal, Kanal und Störungen prüfen
optischer Leistungsmesser
LWL-Signal prüfen
LWL-Reinigungswerkzeug
Glasfaserstecker reinigen
Merksatz:
Gute Fehlersuche kombiniert Prüfen, Messen und Eingrenzen.
Schicht-1-Fehler und höhere Symptome
Schicht-1-Fehler können sich wie höhere Netzwerkprobleme anfühlen.
Symptom
mögliche Schicht-1-Ursache
Webseite langsam
Paketverluste durch schlechte Verbindung
VPN bricht ab
Link flapping
VoIP klingt schlecht
Jitter durch instabile Verbindung
Dateiübertragung langsam
schlechte Signalqualität
Server nicht erreichbar
kein Link
WLAN langsam
schwaches Signal oder Störungen
Merksatz:
Probleme oben können unten verursacht werden.
Prüfungswissen: wichtigste Zuordnungen
Begriff
richtige Einordnung
Bit
Schicht 1
Signal
Schicht 1
Link
Schicht 1
Hub
Schicht 1
Repeater
Schicht 1
Medienkonverter
Schicht 1
SFP-Modul
Schicht 1
MAC-Adresse
Schicht 2
Ethernet-Frame
Schicht 2
VLAN
Schicht 2
IP-Adresse
Schicht 3
Routing
Schicht 3
TCP-Port
Schicht 4
DNS
Schicht 7
Merksatz:
Signal = Schicht 1.
MAC = Schicht 2.
IP = Schicht 3.
Port = Schicht 4.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Welche Aufgabe hat die Bitübertragungsschicht?
- Was wird auf Schicht 1 übertragen?
- Was ist der Unterschied zwischen Bit und Signal?
- Welche Signalarten gibt es?
- Was macht ein Hub?
- Was macht ein Repeater?
- Was macht ein Medienkonverter?
- Was ist ein SFP-Modul?
- Was bedeutet Auto-Negotiation?
- Was bedeutet Simplex, Halbduplex und Vollduplex?
- Was ist eine Kollision?
- Was ist eine Kollisionsdomäne?
- Was bedeutet CSMA/CD?
- Was bedeutet CSMA/CA?
- Welche Fehler gehören zu Schicht 1?
- Warum prüft man bei Netzwerkfehlern zuerst Schicht 1?
Typische Prüfungsfallen
Schicht 1 ist die unterste offizielle OSI-Schicht.
Schicht 1 überträgt Bits,
keine IP-Pakete im fachlichen Sinne.
Bits und Signale sind nicht dasselbe.
Schicht 1 kennt keine MAC-Adressen.
Schicht 1 kennt keine IP-Adressen.
Schicht 1 kennt keine TCP- oder UDP-Ports.
Hub ist Schicht 1.
Switch ist typischerweise Schicht 2.
Router ist typischerweise Schicht 3.
Link vorhanden bedeutet nicht automatisch,
dass IP korrekt ist.
Kein Link ist zuerst ein Schicht-1-Problem.
CRC/FCS-Fehler werden auf Schicht 2 erkannt,
können aber durch Schicht 1 verursacht werden.
Gigabit über Twisted Pair braucht alle 8 Adern.
WLAN ist ein geteiltes Funkmedium.
Auto-Negotiation kann durch Kabelprobleme beeinflusst werden.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Bitübertragungsschicht
OSI-Schicht 1
Bit
kleinste Informationseinheit
Signal
physische Darstellung von Information
elektrische Signale
Übertragung über Kupfer
optische Signale
Übertragung über Licht
Funksignale
drahtlose Übertragung
Codierung
Darstellung von Bits als Signale
Modulation
Information auf ein Signal aufprägen
Taktung
zeitliche Einteilung der Übertragung
Synchronisation
zeitliche Abstimmung
Bitrate
Bits pro Sekunde
Baudrate
Symbole pro Sekunde
Dämpfung
Signalverlust
SNR
Signal-Rausch-Abstand
BER
Bitfehlerrate
Link
aktive physische Verbindung
Auto-Negotiation
automatische Aushandlung
Simplex
eine Richtung
Halbduplex
abwechselnd
Vollduplex
gleichzeitig
Hub
Schicht-1-Gerät
Repeater
Signalregenerator
Medienkonverter
wandelt Übertragungsmedien
SFP
steckbares Netzwerkmodul
IHK-sichere Gesamtformulierung
Die Bitübertragungsschicht ist Schicht 1 des OSI-Modells. Sie ist für die physische Übertragung einzelner Bits über ein Übertragungsmedium zuständig. Bits werden je nach Medium als elektrische, optische oder elektromagnetische Signale übertragen. Zur Schicht 1 gehören Themen wie Signalpegel, Codierung, Modulation, Taktung, Synchronisation, Link, Übertragungsgeschwindigkeit, Duplexmodus, Auto-Negotiation, Hub, Repeater, Medienkonverter und SFP-Module. Schicht 1 kennt keine MAC-Adressen, IP-Adressen oder TCP-/UDP-Ports. Fehler auf Schicht 1 können alle höheren Schichten beeinflussen und sollten bei der Fehlersuche zuerst geprüft werden.
Wichtigste Merksätze
Schicht 1 = Bitübertragungsschicht.
Schicht 1 ist die unterste offizielle OSI-Schicht.
Schicht 1 überträgt Bits als Signale.
Bits sind logisch.
Signale sind physisch.
Kupfer = elektrische Signale.
Glasfaser = optische Signale.
WLAN = Funksignale.
Codierung = Bits als Signale darstellen.
Modulation = Information auf ein Signal aufprägen.
Dämpfung = Signalverlust.
SNR = Signal-Rausch-Abstand.
Bitrate = Bits pro Sekunde.
Baudrate = Symbole pro Sekunde.
Bandbreite ist nicht Durchsatz.
Simplex = eine Richtung.
Halbduplex = abwechselnd.
Vollduplex = gleichzeitig.
Auto-Negotiation = automatische Aushandlung.
Link = aktive physische Verbindung.
Link vorhanden bedeutet nicht automatisch IP korrekt.
Hub = Schicht 1.
Switch = Schicht 2.
Router = Schicht 3.
Medienkonverter = hauptsächlich Schicht 1.
SFP-Modul = physische Schnittstelle.
Schicht 1 kennt keine MAC-Adressen.
Schicht 1 kennt keine IP-Adressen.
Schicht 1 kennt keine Ports.
Kein Link = zuerst Schicht 1 prüfen.
Erst physisch,
dann logisch.
Ohne funktionierende Schicht 1
funktionieren höhere Schichten nicht zuverlässig.
5. OSI-Schicht 2 – Sicherungsschicht
5.1 OSI-Schicht 2 – Sicherungsschicht
Die Sicherungsschicht ist Schicht 2 des OSI-Modells.
Sie liegt direkt über der Bitübertragungsschicht.
Während Schicht 1 nur Bits als Signale überträgt, organisiert Schicht 2 diese Bits zu sinnvollen Übertragungseinheiten im lokalen Netzwerk.
Diese Übertragungseinheiten heißen:
Frames
Bei Ethernet spricht man deshalb auch von:
Ethernet-Frames
Merksatz:
Schicht 2 = Frames und MAC-Adressen.
Grundaufgabe der Sicherungsschicht
Die Hauptaufgabe der Sicherungsschicht ist:
Daten im lokalen Netzwerk zuverlässig von einem Gerät zum nächsten übertragen.
Dabei geht es besonders um:
- Frames
- MAC-Adressen
- lokale Zustellung
- Zugriff auf das Übertragungsmedium
- Fehlererkennung
- Switches
- VLANs
- Broadcasts
- Kollisions- und Broadcast-Domänen
Wichtig:
Schicht 2 arbeitet innerhalb eines lokalen Netzwerks.
Schicht 3 ist für IP und Routing zwischen Netzwerken zuständig.
Merksatz:
Schicht 2 kümmert sich um die lokale Übertragung im LAN.
Einordnung im OSI-Modell
OSI-Schicht
Name
Aufgabe
7
Anwendungsschicht
Netzwerkdienste für Anwendungen
6
Darstellungsschicht
Darstellung, Codierung, Verschlüsselung
5
Sitzungsschicht
Sitzungen verwalten
4
Transportschicht
Transport zwischen Anwendungen
3
Vermittlungsschicht
IP-Adressierung und Routing
2
Sicherungsschicht
Frames, MAC-Adressen, lokale Übertragung
1
Bitübertragungsschicht
Bits als Signale übertragen
Merksatz:
Schicht 1 = Bits.
Schicht 2 = Frames.
Schicht 3 = IP-Pakete.
Warum braucht man Schicht 2?
Schicht 1 überträgt nur einzelne Bits.
Aber ein Netzwerkgerät muss wissen:
Wo beginnt eine Datenübertragung?
Wo endet sie?
Für welches Gerät ist sie bestimmt?
Von welchem Gerät kommt sie?
Ist der Frame beschädigt?
Soll der Frame weitergeleitet werden?
Diese Aufgaben übernimmt Schicht 2.
Merksatz:
Schicht 2 macht aus reiner Bitübertragung eine lokale Datenübertragung.
Begriff: Frame
Ein Frame ist die Datenübertragungseinheit auf Schicht 2.
Bei Ethernet spricht man von:
Ethernet-Frame
Ein Frame enthält unter anderem:
- Ziel-MAC-Adresse
- Quell-MAC-Adresse
- Nutzdaten
- Prüfinformationen
Vereinfacht:
Ein Frame ist ein Datenpaket für das lokale Netzwerk.
Fachlich genauer:
Ein Frame ist die Protocol Data Unit der Sicherungsschicht.
Merksatz:
Frame = Datenrahmen auf Schicht 2.
Frame und Paket unterscheiden
Die Begriffe Frame und Paket werden im Alltag oft vermischt.
Fachlich sollte man unterscheiden:
Begriff
Schicht
Bedeutung
Frame
Schicht 2
lokale Übertragung mit MAC-Adressen
Paket
Schicht 3
IP-Übertragung zwischen Netzwerken
Segment
Schicht 4
TCP-Datenübertragung
Datagramm
Schicht 4
UDP-Datenübertragung
Prüfungsfalle:
Ethernet arbeitet mit Frames,
IP arbeitet mit Paketen.
Merksatz:
Schicht 2 = Frame.
Schicht 3 = Paket.
Begriff: MAC-Adresse
MAC steht für:
Media Access Control
Eine MAC-Adresse ist eine Hardwareadresse einer Netzwerkschnittstelle.
Beispiele für Netzwerkschnittstellen:
- Ethernet-Netzwerkkarte
- WLAN-Adapter
- Switch-Port mit eigener Management-Schnittstelle
- virtuelle Netzwerkkarte
Eine MAC-Adresse dient zur lokalen Adressierung im Netzwerk.
Merksatz:
MAC-Adresse = lokale Hardwareadresse einer Netzwerkschnittstelle.
Aufbau einer MAC-Adresse
Eine MAC-Adresse besteht aus 48 Bit.
Sie wird häufig hexadezimal dargestellt.
Beispiel:
00:1A:2B:3C:4D:5E
Oder auch:
00-1A-2B-3C-4D-5E
Hexadezimal bedeutet:
Darstellung mit den Zeichen 0 bis 9 und A bis F.
Merksatz:
MAC-Adresse = 48 Bit, meist hexadezimal dargestellt.
Quell-MAC-Adresse und Ziel-MAC-Adresse
Ein Ethernet-Frame enthält normalerweise:
- Ziel-MAC-Adresse
- Quell-MAC-Adresse
Die Ziel-MAC-Adresse gibt an:
An welches Gerät im lokalen Netzwerk soll der Frame gehen?
Die Quell-MAC-Adresse gibt an:
Von welchem Gerät kommt der Frame?
Beispiel:
PC A sendet an PC B.
Dann enthält der Frame:
Quell-MAC-Adresse: MAC von PC A
Ziel-MAC-Adresse: MAC von PC B
Merksatz:
Ziel-MAC = wohin im lokalen Netz.
Quell-MAC = woher im lokalen Netz.
Lokale Bedeutung der MAC-Adresse
MAC-Adressen gelten für die lokale Übertragung im gleichen Netzwerksegment.
Wichtig:
MAC-Adressen werden nicht über Router hinweg unverändert für die gesamte Strecke verwendet.
Wenn ein IP-Paket über mehrere Router läuft, ändern sich auf jedem lokalen Abschnitt die Schicht-2-Adressen.
Die IP-Adressen bleiben dagegen grundsätzlich Ende-zu-Ende erhalten, außer bei NAT.
Merksatz:
MAC-Adressen gelten lokal.
IP-Adressen gelten netzübergreifend.
Beispiel: MAC und IP
Ein PC möchte eine Webseite im Internet öffnen.
Dabei gibt es mehrere Ebenen:
Schicht 2:
lokale Zustellung zum nächsten Gerät, zum Beispiel Router
Schicht 3:
IP-Zustellung zum Zielnetz
Vereinfacht:
Der PC sendet den Ethernet-Frame lokal an die MAC-Adresse des Routers.
Im IP-Paket steht aber die IP-Adresse des Webservers.
Merksatz:
MAC bringt den Frame zum nächsten lokalen Ziel.
IP bringt das Paket zum Zielnetz.
Schicht 2 im lokalen Netzwerk
Schicht 2 ist besonders wichtig im LAN.
LAN steht für:
Local Area Network
Typische Schicht-2-Techniken im LAN:
- Ethernet
- WLAN
- Switches
- MAC-Adressen
- VLANs
- ARP im Zusammenspiel mit IP
- Broadcasts
Merksatz:
Schicht 2 ist die lokale Ebene im LAN.
Ethernet
Ethernet ist die wichtigste LAN-Technik in kabelgebundenen Netzwerken.
Ethernet beschreibt unter anderem:
- Frame-Aufbau
- MAC-Adressen
- Zugriff auf das Medium
- Übertragungsstandards
- Zusammenarbeit mit Schicht 1
Ethernet betrifft Schicht 1 und Schicht 2.
Schicht 1:
physische Übertragung
Schicht 2:
Frames und MAC-Adressen
Merksatz:
Ethernet verbindet Schicht 1 und Schicht 2.
WLAN und Schicht 2
Auch WLAN arbeitet mit Schicht-2-Konzepten.
Bei WLAN gibt es ebenfalls:
- MAC-Adressen
- Frames
- Zugriff auf das Medium
- Authentifizierung und Assoziierung
- SSID
- Access Points
WLAN unterscheidet sich technisch von Ethernet, erfüllt aber ebenfalls Aufgaben der Sicherungsschicht.
Merksatz:
WLAN hat ebenfalls Schicht-2-Funktionen.
Begriff: Switch
Ein Switch ist ein Netzwerkgerät, das auf Schicht 2 arbeitet.
Ein Switch leitet Ethernet-Frames anhand von MAC-Adressen weiter.
Er merkt sich, an welchem Port welche MAC-Adresse erreichbar ist.
Diese Informationen speichert er in einer Tabelle.
Diese Tabelle nennt man häufig:
MAC-Adresstabelle
Oder:
Switching-Tabelle
Merksatz:
Switch = Schicht-2-Gerät für gezielte Frame-Weiterleitung.
Hub und Switch unterscheiden
Ein Hub arbeitet auf Schicht 1.
Ein Switch arbeitet typischerweise auf Schicht 2.
Gerät
Schicht
Arbeitsweise
Hub
1
verteilt Signale an alle Ports
Switch
2
leitet Frames anhand von MAC-Adressen weiter
Wichtig:
Ein Switch ist intelligenter als ein Hub,
weil er MAC-Adressen auswertet.
Merksatz:
Hub verteilt blind.
Switch entscheidet anhand von MAC-Adressen.
MAC-Adresstabelle
Ein Switch lernt MAC-Adressen automatisch.
Wenn ein Frame an einem Switch-Port eingeht, merkt sich der Switch:
Diese Quell-MAC-Adresse ist an diesem Port erreichbar.
Beispiel:
Frame kommt an Port 3 an.
Quell-MAC-Adresse ist AA:BB:CC:11:22:33.
Der Switch merkt sich:
AA:BB:CC:11:22:33 → Port 3
Merksatz:
Switch lernt MAC-Adressen über die Quell-MAC-Adresse.
Frame-Weiterleitung durch den Switch
Wenn ein Switch einen Frame erhält, prüft er die Ziel-MAC-Adresse.
Dann gibt es drei typische Fälle:
Fall
Verhalten
Ziel-MAC bekannt
Frame wird gezielt an passenden Port weitergeleitet
Ziel-MAC unbekannt
Frame wird an mehrere Ports geflutet
Ziel-MAC ist Broadcast
Frame wird an alle relevanten Ports gesendet
Dieses Fluten nennt man:
Flooding
Merksatz:
Bekannte MAC = gezielt.
Unbekannte MAC = Flooding.
Broadcast
Ein Broadcast ist eine Nachricht an alle Geräte im lokalen Netz.
Die Broadcast-MAC-Adresse lautet:
FF:FF:FF:FF:FF:FF
Broadcasts werden zum Beispiel verwendet bei:
- ARP-Anfragen
- DHCP-Anfragen
- bestimmten lokalen Such- und Steuerdiensten
Wichtig:
Broadcasts bleiben normalerweise innerhalb einer Broadcast-Domäne.
Merksatz:
Broadcast = Nachricht an alle im lokalen Netz.
Broadcast-Domäne
Eine Broadcast-Domäne ist ein Bereich, in dem Broadcasts verteilt werden.
Alle Geräte in derselben Broadcast-Domäne können Broadcasts voneinander empfangen.
Typisch:
Ein VLAN bildet eine eigene Broadcast-Domäne.
Router trennen Broadcast-Domänen.
Merksatz:
Broadcast-Domäne = Bereich, in dem Broadcasts weitergegeben werden.
Kollisionsdomäne
Eine Kollisionsdomäne ist ein Bereich, in dem Kollisionen auftreten können.
Bei einem Hub:
alle Ports gehören zu einer gemeinsamen Kollisionsdomäne.
Bei einem Switch:
jeder Port ist normalerweise eine eigene Kollisionsdomäne.
In modernen Vollduplex-Switch-Netzen spielen klassische Kollisionen praktisch keine Rolle mehr.
Merksatz:
Hub = eine Kollisionsdomäne.
Switch = getrennte Kollisionsbereiche pro Port.
Fehlererkennung auf Schicht 2
Schicht 2 kann Übertragungsfehler erkennen.
Dazu enthält ein Ethernet-Frame eine Prüfinformation.
Diese nennt man:
FCS
FCS steht für:
Frame Check Sequence
Die FCS basiert auf einer Prüfsumme.
Häufig wird dabei der Begriff CRC verwendet.
CRC steht für:
Cyclic Redundancy Check
Merksatz:
FCS/CRC erkennt beschädigte Frames.
Wichtig: Fehlererkennung ist nicht Fehlerkorrektur
Schicht 2 kann beschädigte Frames erkennen.
Aber:
Ethernet korrigiert fehlerhafte Frames normalerweise nicht.
Wenn ein Frame fehlerhaft ist, wird er verworfen.
Eine erneute Übertragung erfolgt dann gegebenenfalls durch höhere Schichten, zum Beispiel durch TCP.
Merksatz:
Schicht 2 erkennt viele Fehler,
korrigiert sie aber normalerweise nicht selbst.
VLAN kurz eingeordnet
VLAN steht für:
Virtual Local Area Network
Ein VLAN ist ein logisch getrenntes Netzwerk auf Schicht 2.
VLANs ermöglichen es, mehrere logische Netze über dieselbe physische Switch-Infrastruktur zu betreiben.
Beispiel:
VLAN
Zweck
VLAN 10
Mitarbeiter
VLAN 20
Gäste
VLAN 30
Server
VLAN 40
VoIP
Merksatz:
VLAN = logische Netztrennung auf Schicht 2.
Schicht 2 und ARP
ARP steht für:
Address Resolution Protocol
ARP verbindet Schicht 3 und Schicht 2.
Aufgabe:
Zu einer bekannten IP-Adresse wird die passende MAC-Adresse im lokalen Netzwerk gesucht.
Beispiel:
PC kennt IP-Adresse des Routers.
PC braucht MAC-Adresse des Routers.
ARP fragt im lokalen Netz nach der passenden MAC-Adresse.
Merksatz:
ARP findet zur IP-Adresse die passende MAC-Adresse im lokalen Netz.
Schicht 2 und IP unterscheiden
Thema
Schicht
MAC-Adresse
Schicht 2
Ethernet-Frame
Schicht 2
Switch
Schicht 2
VLAN
Schicht 2
IP-Adresse
Schicht 3
IP-Paket
Schicht 3
Router
Schicht 3
Routing
Schicht 3
Merksatz:
MAC = lokal.
IP = netzübergreifend.
Was Schicht 2 nicht macht
Schicht 2 macht nicht:
- Routing zwischen IP-Netzen
- Auswahl des besten IP-Wegs
- TCP-Verbindungsaufbau
- UDP-Port-Auswertung
- DNS-Auflösung
- HTTP-Anfragen
- Benutzeranmeldung in Anwendungen
Diese Aufgaben gehören zu höheren Schichten.
Merksatz:
Schicht 2 leitet lokal weiter,
aber routet nicht zwischen IP-Netzen.
Typische Schicht-2-Fehler
Typische Fehler auf Schicht 2 sind:
- falsches VLAN
- MAC-Adresse nicht gelernt
- Broadcast-Stürme
- Schleifen im Switch-Netz
- STP-Probleme
- Port im falschen Modus
- fehlerhafte Trunk-Konfiguration
- doppelte MAC-Adressen
- falsche Access-Point- oder SSID-VLAN-Zuordnung
Wichtig:
Schicht-2-Probleme können so wirken,
als wäre IP falsch,
obwohl die Ursache im lokalen Netz liegt.
Merksatz:
Schicht-2-Fehler betreffen Frames, MACs, VLANs und lokale Weiterleitung.
Einordnung bei der Fehlersuche
Eine sinnvolle Reihenfolge:
1. Schicht 1 prüfen:
Link, Kabel, Signal, Port
2. Schicht 2 prüfen:
MAC-Adresse, VLAN, Switch-Port, Frames
3. Schicht 3 prüfen:
IP-Adresse, Gateway, Routing
4. höhere Schichten prüfen:
DNS, Ports, Anwendung
Merksatz:
Erst Link,
dann MAC/VLAN,
dann IP.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Welche Aufgabe hat die Sicherungsschicht?
- Was ist ein Frame?
- Was ist eine MAC-Adresse?
- Wofür wird eine MAC-Adresse verwendet?
- Was macht ein Switch?
- Wie lernt ein Switch MAC-Adressen?
- Was ist eine MAC-Adresstabelle?
- Was ist ein Broadcast?
- Was ist eine Broadcast-Domäne?
- Was ist der Unterschied zwischen Hub und Switch?
- Was ist ein VLAN?
- Was ist der Unterschied zwischen MAC-Adresse und IP-Adresse?
- Was macht ARP?
- Was bedeutet FCS oder CRC?
Typische Prüfungsfallen
Schicht 2 arbeitet mit Frames,
nicht mit IP-Paketen.
MAC-Adressen sind Schicht 2.
IP-Adressen sind Schicht 3.
Ein Switch arbeitet typischerweise auf Schicht 2.
Ein Router arbeitet typischerweise auf Schicht 3.
Ein Hub arbeitet auf Schicht 1.
Ein Switch lernt MAC-Adressen über die Quell-MAC-Adresse.
Broadcast-MAC-Adresse ist FF:FF:FF:FF:FF:FF.
VLANs trennen logisch auf Schicht 2.
Ein VLAN ist nicht dasselbe wie ein IP-Subnetz,
wird aber häufig zusammen damit geplant.
ARP fragt nach der MAC-Adresse zu einer IP-Adresse im lokalen Netz.
FCS/CRC erkennt beschädigte Frames,
korrigiert sie aber normalerweise nicht.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Sicherungsschicht
OSI-Schicht 2
Frame
Datenrahmen auf Schicht 2
Ethernet-Frame
Frame im Ethernet-LAN
MAC-Adresse
lokale Hardwareadresse einer Netzwerkschnittstelle
Ziel-MAC
Empfängeradresse im lokalen Netz
Quell-MAC
Absenderadresse im lokalen Netz
Switch
Schicht-2-Gerät für Frame-Weiterleitung
MAC-Adresstabelle
Tabelle mit MAC-Adresse und Switch-Port
Flooding
Weiterleitung an mehrere Ports bei unbekannter Ziel-MAC
Broadcast
Nachricht an alle Geräte im lokalen Netz
Broadcast-Domäne
Bereich, in dem Broadcasts verteilt werden
Kollisionsdomäne
Bereich, in dem Kollisionen auftreten können
VLAN
logisches LAN auf Schicht 2
ARP
sucht MAC-Adresse zu einer IP-Adresse im lokalen Netz
FCS
Frame Check Sequence
CRC
Prüfsummenverfahren zur Fehlererkennung
IHK-sichere Kurzformulierung
Die Sicherungsschicht ist Schicht 2 des OSI-Modells. Sie ist für die lokale Übertragung von Daten in Form von Frames zuständig. Im Ethernet-LAN werden dafür MAC-Adressen verwendet. Ein Ethernet-Frame enthält unter anderem eine Quell-MAC-Adresse und eine Ziel-MAC-Adresse. Switches arbeiten typischerweise auf Schicht 2 und leiten Frames anhand von MAC-Adressen weiter. Sie lernen MAC-Adressen über die Quelladresse eingehender Frames und speichern diese in einer MAC-Adresstabelle. VLANs ermöglichen eine logische Trennung von Netzbereichen auf Schicht 2. Fehlerhafte Frames können über FCS/CRC erkannt und verworfen werden.
Merksätze
Schicht 2 = Sicherungsschicht.
Schicht 2 arbeitet mit Frames.
Ethernet-Frame = Datenrahmen im LAN.
MAC-Adresse = lokale Hardwareadresse.
Ziel-MAC = wohin lokal.
Quell-MAC = woher lokal.
MAC ist Schicht 2.
IP ist Schicht 3.
Switch = Schicht 2.
Hub = Schicht 1.
Router = Schicht 3.
Switch lernt über Quell-MAC-Adressen.
Bekannte Ziel-MAC = gezielte Weiterleitung.
Unbekannte Ziel-MAC = Flooding.
Broadcast = an alle.
Broadcast-MAC = FF:FF:FF:FF:FF:FF.
VLAN = logische Trennung auf Schicht 2.
ARP verbindet IP-Adresse mit MAC-Adresse im lokalen Netz.
FCS/CRC erkennt beschädigte Frames.
Schicht 2 routet nicht zwischen IP-Netzen.
5.2 Ethernet-Frame und MAC-Adressen
Auf OSI-Schicht 2 werden Daten in sogenannten Frames übertragen.
Bei Ethernet heißen diese Datenrahmen:
Ethernet-Frames
Ein Ethernet-Frame enthält alle Informationen, die für die lokale Übertragung im LAN notwendig sind.
Besonders wichtig sind:
- Ziel-MAC-Adresse
- Quell-MAC-Adresse
- Nutzdaten
- Prüfsumme
Merksatz:
Ethernet-Frame = Datenrahmen für die lokale Übertragung im Ethernet-LAN.
Warum gibt es Frames?
Schicht 1 überträgt nur Bits als Signale.
Schicht 2 muss daraus geordnete Einheiten bilden.
Ein Empfänger muss erkennen können:
Wo beginnt die Übertragung?
Wo endet die Übertragung?
Von wem kommt sie?
Für wen ist sie bestimmt?
Sind die Daten beschädigt?
Diese geordnete Einheit ist der Frame.
Merksatz:
Frames machen aus einzelnen Bits eine nutzbare lokale Datenübertragung.
Begriff: Frame
Ein Frame ist die Protocol Data Unit der OSI-Schicht 2.
PDU steht für:
Protocol Data Unit
Auf Deutsch sinngemäß:
Protokolldateneinheit
Ein Frame ist also die typische Datenform auf der Sicherungsschicht.
Vergleich:
Schicht
typische Datenform
Schicht 1
Bits
Schicht 2
Frame
Schicht 3
Paket
Schicht 4
Segment oder Datagramm
Merksatz:
Schicht 2 arbeitet mit Frames.
Ethernet-Frame vereinfacht
Ein Ethernet-Frame besteht vereinfacht aus mehreren Teilen.
Bestandteil
Aufgabe
Ziel-MAC-Adresse
Empfänger im lokalen Netzwerk
Quell-MAC-Adresse
Absender im lokalen Netzwerk
Typ / Länge
gibt an, welches Protokoll oder welche Länge folgt
Nutzdaten
transportierte Daten höherer Schichten
FCS
Prüfinformation zur Fehlererkennung
Vereinfacht:
Ziel
Absender
Inhalt
Prüfung
Merksatz:
Ein Ethernet-Frame enthält Ziel, Absender, Inhalt und Prüfinformation.
Ziel-MAC-Adresse
Die Ziel-MAC-Adresse gibt an, an welches Gerät der Frame im lokalen Netzwerk gesendet werden soll.
Beispiel:
PC A sendet an PC B.
Dann steht im Ethernet-Frame:
Ziel-MAC-Adresse = MAC-Adresse von PC B
Die Ziel-MAC-Adresse ist für Switches besonders wichtig.
Ein Switch prüft die Ziel-MAC-Adresse und entscheidet dann, an welchen Port der Frame weitergeleitet wird.
Merksatz:
Ziel-MAC = lokaler Empfänger des Frames.
Quell-MAC-Adresse
Die Quell-MAC-Adresse gibt an, von welchem Gerät der Frame stammt.
Beispiel:
PC A sendet an PC B.
Dann steht im Ethernet-Frame:
Quell-MAC-Adresse = MAC-Adresse von PC A
Switches lernen MAC-Adressen über die Quell-MAC-Adresse.
Wenn ein Frame an einem Switch-Port eingeht, merkt sich der Switch:
Diese MAC-Adresse ist über diesen Port erreichbar.
Merksatz:
Quell-MAC = lokaler Absender des Frames.
MAC-Adresse
MAC steht für:
Media Access Control
Eine MAC-Adresse ist eine lokale Hardwareadresse einer Netzwerkschnittstelle.
Typische Netzwerkschnittstellen:
- Ethernet-Port
- WLAN-Adapter
- virtuelle Netzwerkkarte
- Server-Netzwerkkarte
- USB-LAN-Adapter
Eine MAC-Adresse identifiziert eine Schnittstelle im lokalen Netzwerk.
Merksatz:
MAC-Adresse = lokale Adresse einer Netzwerkschnittstelle.
Aufbau einer MAC-Adresse
Eine klassische MAC-Adresse hat:
48 Bit
Sie wird meist hexadezimal dargestellt.
Beispiel:
00:1A:2B:3C:4D:5E
Oder:
00-1A-2B-3C-4D-5E
Hexadezimal bedeutet:
Ziffern 0 bis 9
und Buchstaben A bis F
Ein Byte wird dabei durch zwei Hex-Zeichen dargestellt.
Merksatz:
MAC-Adresse = 48 Bit, meist hexadezimal geschrieben.
OUI und Geräteanteil
Eine MAC-Adresse kann in zwei Bereiche unterteilt werden.
Bereich
Bedeutung
OUI
Herstellerkennung
Geräteanteil
eindeutiger Teil für das Gerät
OUI steht für:
Organizationally Unique Identifier
Der OUI-Bereich zeigt, welchem Hersteller ein MAC-Adressbereich zugeordnet wurde.
Wichtig:
In der Praxis können MAC-Adressen auch virtuell erzeugt oder geändert werden.
Deshalb ist die MAC-Adresse nicht immer ein absolut sicherer Gerätenachweis.
Merksatz:
OUI = Herstellerkennung in der MAC-Adresse.
Unicast-MAC-Adresse
Unicast bedeutet:
ein Absender an einen bestimmten Empfänger
Eine Unicast-MAC-Adresse gehört zu einer einzelnen Netzwerkschnittstelle.
Beispiel:
PC A sendet einen Frame direkt an PC B.
Dann verwendet PC A die Ziel-MAC-Adresse von PC B.
Merksatz:
Unicast = einer an einen.
Broadcast-MAC-Adresse
Broadcast bedeutet:
ein Absender an alle Geräte im lokalen Netzwerk
Die Ethernet-Broadcast-MAC-Adresse lautet:
FF:FF:FF:FF:FF:FF
Ein Broadcast wird an alle Geräte innerhalb der Broadcast-Domäne gesendet.
Typische Beispiele:
- ARP-Anfrage
- DHCP-Anfrage
Merksatz:
Broadcast = einer an alle.
Multicast-MAC-Adresse
Multicast bedeutet:
ein Absender an eine bestimmte Gruppe von Empfängern
Nicht alle Geräte sollen den Frame erhalten, sondern nur Mitglieder einer bestimmten Gruppe.
Multicast wird zum Beispiel verwendet bei:
- Streaming
- IPTV
- bestimmten Protokollen
- Gruppenkommunikation
Merksatz:
Multicast = einer an eine Gruppe.
Unicast, Broadcast und Multicast im Vergleich
Art
Bedeutung
Beispiel
Unicast
einer an einen
PC an Server
Broadcast
einer an alle
ARP-Anfrage
Multicast
einer an eine Gruppe
Streaming-Gruppe
Prüfungstauglich:
Unicast = gezielt.
Broadcast = alle.
Multicast = Gruppe.
EtherType
Im Ethernet-Frame gibt es ein Feld, das häufig angibt, welches Protokoll in den Nutzdaten enthalten ist.
Dieses Feld nennt man:
EtherType
Beispiele:
EtherType
Bedeutung
0x0800
IPv4
0x86DD
IPv6
0x0806
ARP
Wichtig:
Der Ethernet-Frame kann Daten verschiedener höherer Protokolle transportieren.
Merksatz:
EtherType zeigt, welches Protokoll im Frame transportiert wird.
Nutzdaten im Ethernet-Frame
Die Nutzdaten sind der Inhalt, den der Ethernet-Frame transportiert.
Das können zum Beispiel sein:
- ein IPv4-Paket
- ein IPv6-Paket
- eine ARP-Nachricht
- andere Protokolldaten
Wichtig:
Der Ethernet-Frame transportiert Daten höherer Schichten.
Schicht 2 interessiert sich dabei nicht für die vollständige Bedeutung der Anwendung.
Merksatz:
Ethernet transportiert Nutzdaten höherer Schichten lokal weiter.
FCS
FCS steht für:
Frame Check Sequence
Die FCS ist eine Prüfinformation am Ende des Ethernet-Frames.
Sie dient zur Fehlererkennung.
Der Empfänger kann damit prüfen, ob der Frame während der Übertragung beschädigt wurde.
Merksatz:
FCS = Prüfinformation zur Fehlererkennung im Frame.
CRC
CRC steht für:
Cyclic Redundancy Check
CRC ist ein Verfahren zur Fehlererkennung.
Die FCS im Ethernet-Frame basiert auf einem CRC-Verfahren.
Wenn die Prüfung fehlschlägt, gilt der Frame als beschädigt.
Dann wird er verworfen.
Merksatz:
CRC erkennt Übertragungsfehler.
Fehlererkennung, aber keine Fehlerkorrektur
Ethernet kann über FCS/CRC beschädigte Frames erkennen.
Aber:
Ethernet korrigiert den beschädigten Frame normalerweise nicht selbst.
Ein fehlerhafter Frame wird verworfen.
Wenn eine erneute Übertragung nötig ist, passiert das durch höhere Schichten.
Beispiel:
TCP kann fehlende Daten erneut übertragen lassen.
Merksatz:
Schicht 2 erkennt viele Fehler,
korrigiert sie aber normalerweise nicht selbst.
Präambel und SFD
Vor dem eigentlichen Ethernet-Frame gibt es technische Felder zur Synchronisation.
Dazu gehören:
Präambel
SFD
SFD steht für:
Start Frame Delimiter
Aufgabe:
Der Empfänger soll erkennen,
dass ein Frame beginnt.
Für die Prüfung ist meist nur wichtig:
Ethernet braucht eine Möglichkeit,
den Beginn eines Frames zu erkennen.
Merksatz:
Präambel und SFD helfen beim Erkennen des Frame-Beginns.
Ethernet-Frame grob dargestellt
Vereinfacht sieht ein Ethernet-Frame so aus:
Bereich
Aufgabe
Präambel / SFD
Synchronisation und Frame-Beginn
Ziel-MAC
lokaler Empfänger
Quell-MAC
lokaler Absender
Typ / Länge
Protokoll oder Längenangabe
Nutzdaten
Inhalt höherer Schichten
FCS
Fehlererkennung
Wichtig:
Für AP1/AP2 sind vor allem Ziel-MAC,
Quell-MAC,
Nutzdaten
und FCS wichtig.
Frame-Größe
Ein normaler Ethernet-Frame hat eine begrenzte Größe.
Typisch ist eine maximale Nutzlast von:
1500 Byte
Diese Nutzlast nennt man oft:
MTU
MTU steht für:
Maximum Transmission Unit
Wichtig:
MTU beschreibt die maximale Größe der Nutzdaten,
die auf einer Verbindung ohne Fragmentierung übertragen werden können.
Merksatz:
MTU = maximale Nutzdaten-Größe einer Verbindung.
Jumbo Frames
Jumbo Frames sind Ethernet-Frames mit größerer Nutzlast als der Standardwert.
Sie werden manchmal in Rechenzentren oder Speichernetzwerken verwendet.
Vorteil:
weniger Overhead bei großen Datenübertragungen
Nachteil:
alle beteiligten Geräte müssen Jumbo Frames unterstützen und passend konfiguriert sein
Wichtig:
In normalen LANs sind Standard-Frames üblich.
Merksatz:
Jumbo Frames brauchen durchgängige Unterstützung auf der Strecke.
Frame, Paket und Segment im Ablauf
Wenn eine Anwendung Daten sendet, werden diese durch die Schichten gekapselt.
Vereinfacht:
Anwendung erzeugt Daten.
TCP macht daraus Segmente.
IP macht daraus Pakete.
Ethernet macht daraus Frames.
Schicht 1 überträgt Bits als Signale.
Beim Empfänger läuft der Prozess umgekehrt.
Merksatz:
Segment in Paket,
Paket in Frame,
Frame in Bits.
Kapselung im Ethernet-Frame
Ein Ethernet-Frame kann ein IP-Paket transportieren.
Vereinfacht:
Ethernet-Frame
enthält
IP-Paket
enthält
TCP-Segment
enthält
Anwendungsdaten
Das nennt man:
Kapselung
Merksatz:
Schicht 2 kapselt Schicht-3-Daten in Frames.
Lokale Zustellung mit MAC-Adressen
MAC-Adressen werden für die lokale Zustellung verwendet.
Beispiel im gleichen LAN:
PC A will PC B erreichen.
Dann benötigt PC A die MAC-Adresse von PC B.
Der Ethernet-Frame wird lokal an diese Ziel-MAC-Adresse gesendet.
Merksatz:
Im gleichen LAN wird direkt an die Ziel-MAC gesendet.
Zustellung zu einem anderen Netzwerk
Wenn das Ziel in einem anderen IP-Netz liegt, sendet der PC den Frame nicht direkt an die MAC-Adresse des entfernten Servers.
Stattdessen sendet er den Frame lokal an die MAC-Adresse des Standard-Gateways.
Beispiel:
PC will Webserver im Internet erreichen.
Dann gilt:
Ziel-IP im IP-Paket = Webserver
Ziel-MAC im Ethernet-Frame = Router / Standard-Gateway
Merksatz:
Entferntes Netz:
Ziel-MAC ist das Gateway,
Ziel-IP bleibt das eigentliche Ziel.
MAC-Adresse ändert sich pro Abschnitt
Bei einer Übertragung über mehrere Router ändert sich der Ethernet-Frame auf jedem lokalen Abschnitt.
Das bedeutet:
Quell-MAC und Ziel-MAC ändern sich von Link zu Link.
Die IP-Adressen bleiben grundsätzlich erhalten, außer bei NAT.
Beispiel:
PC → Router 1
Router 1 → Router 2
Router 2 → Server
Jeder Abschnitt hat eigene MAC-Adressen.
Merksatz:
MAC-Adressen gelten nur lokal bis zum nächsten Router.
IP-Adresse bleibt netzübergreifend
Im Gegensatz zur MAC-Adresse wird die IP-Adresse für die netzübergreifende Zustellung verwendet.
Das IP-Paket enthält:
Quell-IP
Ziel-IP
Diese IP-Adressen bleiben über Router hinweg grundsätzlich erhalten.
Ausnahme:
NAT oder PAT kann IP-Adressen verändern.
Merksatz:
MAC = lokal.
IP = netzübergreifend.
ARP und MAC-Adresse
ARP wird verwendet, um zu einer IP-Adresse die passende MAC-Adresse im lokalen Netz zu finden.
ARP steht für:
Address Resolution Protocol
Beispiel:
PC kennt die IP-Adresse des Gateways.
PC braucht die MAC-Adresse des Gateways.
Dann sendet der PC eine ARP-Anfrage.
Merksatz:
ARP findet MAC-Adresse zu IP-Adresse im lokalen Netz.
ARP-Anfrage als Broadcast
Eine ARP-Anfrage wird als Broadcast gesendet.
Grund:
Der Absender kennt die MAC-Adresse des Zielgeräts noch nicht.
Deshalb fragt er alle Geräte im lokalen Netz:
Wer hat diese IP-Adresse?
Die Broadcast-MAC-Adresse lautet:
FF:FF:FF:FF:FF:FF
Merksatz:
ARP-Anfrage = Broadcast.
ARP-Antwort als Unicast
Die ARP-Antwort kommt normalerweise als Unicast zurück.
Das Gerät mit der gesuchten IP-Adresse antwortet:
Diese IP-Adresse gehört zu dieser MAC-Adresse.
Danach kann der Absender den Frame gezielt an diese MAC-Adresse senden.
Merksatz:
ARP-Antwort = meistens Unicast.
MAC-Adresstabelle und Ethernet-Frames
Ein Switch verwendet Ethernet-Frames, um seine MAC-Adresstabelle zu füllen.
Er schaut auf die Quell-MAC-Adresse eingehender Frames.
Beispiel:
Frame kommt an Port 5 an.
Quell-MAC ist 00:11:22:33:44:55.
Der Switch lernt:
00:11:22:33:44:55 ist an Port 5 erreichbar.
Merksatz:
Switch lernt über die Quell-MAC.
Weiterleitung bekannter Ziel-MAC
Wenn der Switch die Ziel-MAC-Adresse kennt, leitet er den Frame gezielt weiter.
Beispiel:
Ziel-MAC ist an Port 8 bekannt.
Dann sendet der Switch den Frame nur an Port 8.
Vorteil:
weniger unnötiger Datenverkehr
bessere Effizienz
mehr Sicherheit als Hub
Merksatz:
Bekannte Ziel-MAC = gezielte Weiterleitung.
Unbekannte Ziel-MAC und Flooding
Wenn der Switch die Ziel-MAC-Adresse nicht kennt, muss er den Frame verteilen.
Er sendet den Frame an alle passenden Ports außer dem Eingangsport.
Das nennt man:
Flooding
Wenn die Zielstation antwortet, lernt der Switch deren MAC-Adresse.
Merksatz:
Unbekannte Ziel-MAC = Flooding.
Broadcast und Flooding unterscheiden
Broadcast und Flooding werden manchmal verwechselt.
Begriff
Bedeutung
Broadcast
Frame ist ausdrücklich an alle adressiert
Flooding
Switch verteilt Frame, weil Ziel-MAC unbekannt ist
Beide können dazu führen, dass Frames an mehrere Ports gehen.
Aber der Grund ist unterschiedlich.
Merksatz:
Broadcast = Ziel ist alle.
Flooding = Ziel ist unbekannt.
Frame-Fehler und Switch-Port-Statistiken
Switches können Fehler zählen.
Typische Hinweise:
- CRC-Fehler
- FCS-Fehler
- zu kurze Frames
- zu lange Frames
- verworfene Frames
- Kollisionen bei alten Halbduplex-Links
Solche Fehler können auf Schicht-1- oder Schicht-2-Probleme hinweisen.
Merksatz:
Frame-Fehler helfen bei der Fehlersuche.
Schicht 2 und Schicht 1 zusammen
Schicht 2 ist auf Schicht 1 angewiesen.
Beispiel:
Wenn das Kabel defekt ist,
kommen Bits fehlerhaft an.
Dann können Frames beschädigt werden.
Schicht 2 erkennt den Fehler über FCS/CRC und verwirft den Frame.
Merksatz:
Schlechte Signale können beschädigte Frames verursachen.
Was ein Ethernet-Frame nicht enthält
Ein Ethernet-Frame enthält keine vollständige Information über den gesamten Weg durch das Internet.
Er enthält nur Informationen für den lokalen Abschnitt.
Ein Ethernet-Frame enthält nicht als Hauptaufgabe:
- Routingentscheidung über mehrere Netze
- DNS-Name
- HTTP-URL
- Benutzername
- TCP-Sitzungsverwaltung
Diese Themen gehören zu höheren Schichten.
Merksatz:
Ethernet-Frame = lokale Zustellung,
nicht kompletter Internetweg.
Typische Fehler mit Frames und MAC-Adressen
Mögliche Fehler:
- falsches VLAN
- MAC-Adresse wird nicht gelernt
- MAC-Adresstabelle veraltet
- Broadcast-Sturm
- Schleife im Switch-Netz
- falsche Port-Konfiguration
- beschädigte Frames durch Signalprobleme
- doppelte MAC-Adresse
- ARP-Probleme
Merksatz:
Schicht-2-Probleme betreffen lokale Zustellung und Frames.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist ein Ethernet-Frame?
- Welche wichtigen Felder enthält ein Ethernet-Frame?
- Was ist eine Ziel-MAC-Adresse?
- Was ist eine Quell-MAC-Adresse?
- Wie ist eine MAC-Adresse aufgebaut?
- Was ist die Broadcast-MAC-Adresse?
- Was ist der Unterschied zwischen Unicast, Broadcast und Multicast?
- Was macht die FCS?
- Was bedeutet CRC?
- Was ist die MTU?
- Warum ändern sich MAC-Adressen auf dem Weg über Router?
- Warum bleibt die IP-Adresse grundsätzlich erhalten?
- Was macht ARP?
- Was ist der Unterschied zwischen Broadcast und Flooding?
Typische Prüfungsfallen
Frame ist Schicht 2.
Paket ist Schicht 3.
Segment ist Schicht 4 bei TCP.
MAC-Adressen gelten lokal.
IP-Adressen gelten netzübergreifend.
Ziel-MAC ist nicht immer die MAC-Adresse des endgültigen Internetservers.
Bei Ziel in anderem Netz ist Ziel-MAC die MAC-Adresse des Gateways.
Switches lernen über Quell-MAC-Adressen.
Broadcast-MAC-Adresse ist FF:FF:FF:FF:FF:FF.
ARP-Anfragen sind Broadcasts.
ARP-Antworten sind meistens Unicast.
Broadcast und Flooding sind nicht dasselbe.
FCS/CRC erkennt Fehler,
korrigiert sie aber nicht automatisch.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Ethernet-Frame
Datenrahmen auf Schicht 2
Frame
Protocol Data Unit der Sicherungsschicht
Ziel-MAC-Adresse
lokaler Empfänger des Frames
Quell-MAC-Adresse
lokaler Absender des Frames
MAC-Adresse
lokale Hardwareadresse einer Netzwerkschnittstelle
OUI
Herstellerkennung in einer MAC-Adresse
Unicast
einer an einen
Broadcast
einer an alle
Multicast
einer an eine Gruppe
Broadcast-MAC
FF:FF:FF:FF:FF:FF
EtherType
Feld zur Angabe des enthaltenen Protokolls
Nutzdaten
transportierter Inhalt höherer Schichten
FCS
Frame Check Sequence
CRC
Prüfsummenverfahren zur Fehlererkennung
MTU
Maximum Transmission Unit
Jumbo Frame
Frame mit größerer Nutzlast
ARP
sucht MAC-Adresse zu IP-Adresse
Flooding
Weiterleitung an mehrere Ports bei unbekannter Ziel-MAC
IHK-sichere Kurzformulierung
Ein Ethernet-Frame ist die Datenübertragungseinheit auf OSI-Schicht 2. Er enthält unter anderem eine Ziel-MAC-Adresse, eine Quell-MAC-Adresse, Nutzdaten und eine Prüfinformation zur Fehlererkennung. MAC-Adressen dienen der lokalen Zustellung innerhalb eines Netzwerks. Switches leiten Frames anhand der Ziel-MAC-Adresse weiter und lernen MAC-Adressen über die Quell-MAC-Adresse eingehender Frames. Wenn das Ziel in einem anderen IP-Netz liegt, wird der Frame lokal an die MAC-Adresse des Standard-Gateways gesendet, während die Ziel-IP-Adresse im IP-Paket das eigentliche entfernte Ziel bleibt. Über FCS/CRC können beschädigte Frames erkannt und verworfen werden.
Merksätze
Ethernet-Frame = Schicht 2.
IP-Paket = Schicht 3.
TCP-Segment = Schicht 4.
Frame = lokaler Datenrahmen.
Ziel-MAC = lokaler Empfänger.
Quell-MAC = lokaler Absender.
MAC-Adresse = 48 Bit.
MAC-Adressen werden meist hexadezimal geschrieben.
Unicast = einer an einen.
Broadcast = einer an alle.
Multicast = einer an Gruppe.
Broadcast-MAC = FF:FF:FF:FF:FF:FF.
EtherType zeigt das enthaltene Protokoll.
FCS/CRC erkennt beschädigte Frames.
Ethernet korrigiert beschädigte Frames normalerweise nicht selbst.
MTU = maximale Nutzdaten-Größe.
MAC gilt lokal.
IP gilt netzübergreifend.
Entferntes Ziel:
Ziel-MAC = Gateway.
ARP findet MAC zu IP im lokalen Netz.
ARP-Anfrage = Broadcast.
ARP-Antwort = meistens Unicast.
Switch lernt über Quell-MAC.
Bekannte Ziel-MAC = gezielt.
Unbekannte Ziel-MAC = Flooding.
Broadcast und Flooding sind nicht dasselbe.
5.3 Switching, MAC-Adresstabelle und Flooding
Ein Switch ist eines der wichtigsten Geräte auf OSI-Schicht 2.
Er verbindet Geräte in einem lokalen Netzwerk und leitet Ethernet-Frames weiter.
Dabei arbeitet ein Switch nicht mit IP-Adressen, sondern mit MAC-Adressen.
Merksatz:
Switch = Schicht-2-Gerät für lokale Frame-Weiterleitung.
Grundaufgabe eines Switches
Ein Switch soll Frames möglichst gezielt an den richtigen Port weiterleiten.
Beispiel:
PC A sendet Daten an PC B.
Der Switch soll den Frame nicht unnötig an alle Geräte senden, sondern möglichst nur an den Port, an dem PC B angeschlossen ist.
Dafür nutzt der Switch:
- Ziel-MAC-Adresse
- Quell-MAC-Adresse
- MAC-Adresstabelle
- Ports
Merksatz:
Ein Switch leitet Frames anhand von MAC-Adressen weiter.
Switch im OSI-Modell
Ein Switch arbeitet typischerweise auf:
OSI-Schicht 2
Diese Schicht heißt:
Sicherungsschicht
Warum?
Ein Switch wertet Ethernet-Frames aus.
Ethernet-Frames gehören zu Schicht 2.
MAC-Adressen gehören zu Schicht 2.
Wichtig:
Ein normaler Switch routet nicht zwischen IP-Netzen.
Routing gehört zu Schicht 3.
Merksatz:
Switch = Schicht 2.
Router = Schicht 3.
Switch und physische Ports
Ein Switch besitzt mehrere physische Anschlüsse.
Diese Anschlüsse nennt man:
Ports
Beispiele:
Port 1
Port 2
Port 3
Port 4
An diesen Ports können angeschlossen sein:
- PCs
- Server
- Drucker
- Access Points
- andere Switches
- Router
- Firewalls
Wichtig:
Hier ist mit Port der physische Anschluss gemeint,
nicht ein TCP- oder UDP-Port.
Merksatz:
Switch-Port = physischer Anschluss.
TCP-/UDP-Port = Dienstadresse auf Schicht 4.
MAC-Adresstabelle
Ein Switch speichert, welche MAC-Adresse an welchem Port erreichbar ist.
Diese Tabelle nennt man:
MAC-Adresstabelle
Oder auch:
Switching-Tabelle
Beispiel:
MAC-Adresse
Switch-Port
AA:AA:AA:AA:AA:01
Port 1
BB:BB:BB:BB:BB:02
Port 2
CC:CC:CC:CC:CC:03
Port 3
Mit dieser Tabelle kann der Switch Frames gezielt weiterleiten.
Merksatz:
MAC-Adresstabelle = Zuordnung MAC-Adresse zu Switch-Port.
Wie lernt ein Switch MAC-Adressen?
Ein Switch lernt MAC-Adressen automatisch.
Dafür schaut er auf die Quell-MAC-Adresse eingehender Frames.
Beispiel:
Ein Frame kommt an Port 1 an.
Die Quell-MAC-Adresse lautet AA:AA:AA:AA:AA:01.
Dann lernt der Switch:
AA:AA:AA:AA:AA:01 ist an Port 1 erreichbar.
Wichtig:
Der Switch lernt über die Quell-MAC-Adresse,
nicht über die Ziel-MAC-Adresse.
Merksatz:
Switch lernt MAC-Adressen über die Quell-MAC.
Warum lernt der Switch über die Quell-MAC?
Die Quell-MAC-Adresse zeigt, von welchem Gerät ein Frame kommt.
Wenn ein Frame an einem bestimmten Port eingeht, weiß der Switch:
Der Absender dieses Frames befindet sich hinter diesem Port.
Dadurch kann der Switch seine MAC-Adresstabelle aufbauen.
Beispiel:
Frame kommt von PC A an Port 1.
Also ist PC A über Port 1 erreichbar.
Merksatz:
Eingangsport + Quell-MAC = Lerninformation für den Switch.
Weiterleitung anhand der Ziel-MAC
Wenn ein Switch einen Frame erhält, prüft er die Ziel-MAC-Adresse.
Dann entscheidet er:
Kenne ich diese Ziel-MAC-Adresse?
Wenn ja, an welchem Port ist sie erreichbar?
Wenn nein, muss ich den Frame fluten?
Merksatz:
Ziel-MAC entscheidet über die Weiterleitung.
Fall 1: Ziel-MAC ist bekannt
Wenn die Ziel-MAC-Adresse in der MAC-Adresstabelle steht, leitet der Switch den Frame gezielt an den passenden Port weiter.
Beispiel:
MAC-Adresse
Switch-Port
AA:AA:AA:AA:AA:01
Port 1
BB:BB:BB:BB:BB:02
Port 2
PC A sendet an PC B.
Frame:
Quell-MAC: AA:AA:AA:AA:AA:01
Ziel-MAC: BB:BB:BB:BB:BB:02
Der Switch sieht:
BB:BB:BB:BB:BB:02 ist an Port 2.
Er leitet den Frame nur an Port 2 weiter.
Merksatz:
Bekannte Ziel-MAC = gezielte Weiterleitung.
Fall 2: Ziel-MAC ist unbekannt
Wenn die Ziel-MAC-Adresse nicht in der MAC-Adresstabelle steht, kennt der Switch den passenden Port noch nicht.
Dann sendet er den Frame an alle passenden Ports außer dem Eingangsport.
Das nennt man:
Flooding
Beispiel:
Frame kommt an Port 1 an.
Ziel-MAC ist unbekannt.
Der Switch sendet den Frame an:
Port 2
Port 3
Port 4
Aber nicht zurück an Port 1.
Merksatz:
Unbekannte Ziel-MAC = Flooding.
Begriff: Flooding
Flooding bedeutet:
Ein Switch verteilt einen Frame an mehrere Ports,
weil er die Ziel-MAC-Adresse nicht kennt.
Flooding ist kein Fehler.
Es ist ein normales Verhalten eines Switches, wenn ihm eine Ziel-MAC-Adresse unbekannt ist.
Sobald die Zielstation antwortet, kann der Switch deren MAC-Adresse lernen.
Merksatz:
Flooding hilft dem Switch,
unbekannte Ziele trotzdem zu erreichen.
Fall 3: Broadcast
Ein Broadcast ist ein Frame an alle Geräte im lokalen Netz.
Die Broadcast-MAC-Adresse lautet:
FF:FF:FF:FF:FF:FF
Wenn ein Switch einen Broadcast empfängt, leitet er ihn an alle passenden Ports weiter, außer an den Eingangsport.
Typische Broadcasts:
- ARP-Anfragen
- DHCP-Anfragen
Merksatz:
Broadcast = absichtlich an alle.
Broadcast und Flooding unterscheiden
Broadcast und Flooding sehen ähnlich aus, weil Frames an mehrere Ports gesendet werden.
Der Unterschied liegt im Grund.
Begriff
Warum wird an mehrere Ports gesendet?
Broadcast
Zieladresse ist ausdrücklich „alle“
Flooding
Ziel-MAC ist dem Switch unbekannt
Wichtig:
Broadcast ist eine Adressierungsart.
Flooding ist ein Verhalten des Switches.
Merksatz:
Broadcast = Ziel ist alle.
Flooding = Ziel ist unbekannt.
Fall 4: Frame geht an denselben Port zurück
Ein Switch leitet einen Frame normalerweise nicht an denselben Port zurück, über den er gekommen ist.
Beispiel:
Frame kommt an Port 1 an.
Ziel-MAC ist ebenfalls über Port 1 bekannt.
Dann verwirft der Switch den Frame für die Weiterleitung.
Warum?
Ziel und Quelle liegen aus Sicht des Switches hinter demselben Port.
Eine Weiterleitung ist nicht nötig.
Merksatz:
Ein Switch sendet einen Frame nicht zurück auf den Eingangsport.
Aging der MAC-Adresstabelle
Einträge in der MAC-Adresstabelle bleiben nicht für immer gespeichert.
Nach einer gewissen Zeit ohne neue Frames können Einträge gelöscht werden.
Das nennt man:
Aging
Warum ist das sinnvoll?
Geräte können umgesteckt werden.
Geräte können ausgeschaltet werden.
Netzwerke können sich verändern.
Der Switch muss seine Tabelle aktuell halten.
Merksatz:
Aging entfernt alte MAC-Einträge aus der Tabelle.
MAC-Adresse wandert auf einen anderen Port
Wenn ein Gerät umgesteckt wird, kann seine MAC-Adresse an einem anderen Port auftauchen.
Beispiel:
PC war vorher an Port 1.
PC wird an Port 5 gesteckt.
Sobald der Switch einen Frame von diesem PC an Port 5 sieht, aktualisiert er die MAC-Adresstabelle.
Merksatz:
Der Switch aktualisiert MAC-Einträge durch neue Quell-MAC-Informationen.
MAC-Adresstabelle und Sicherheit
Die MAC-Adresstabelle hilft beim gezielten Weiterleiten.
Sie ist aber kein starker Sicherheitsmechanismus.
Warum?
MAC-Adressen können gefälscht werden.
Geräte können umgesteckt werden.
Ein Angreifer kann viele gefälschte MAC-Adressen erzeugen.
Für zusätzliche Sicherheit nutzt man zum Beispiel:
- Port Security
- 802.1X
- VLANs
- Firewall-Regeln
- Monitoring
Merksatz:
MAC-Adresstabelle dient der Weiterleitung,
nicht als alleiniger Sicherheitsnachweis.
MAC-Flooding als Angriff
MAC-Flooding ist ein Angriff auf die MAC-Adresstabelle eines Switches.
Dabei sendet ein Angreifer sehr viele Frames mit verschiedenen gefälschten Quell-MAC-Adressen.
Ziel:
Die MAC-Adresstabelle des Switches soll überfüllt werden.
Mögliche Folge:
Der Switch kennt viele Ziel-MAC-Adressen nicht mehr zuverlässig
und flutet mehr Frames.
Schutzmaßnahmen:
- Port Security
- Begrenzung erlaubter MAC-Adressen pro Port
- Monitoring
- 802.1X
Merksatz:
MAC-Flooding versucht,
die MAC-Adresstabelle zu überlasten.
Port Security
Port Security ist eine Sicherheitsfunktion auf Switches.
Damit kann festgelegt werden, welche oder wie viele MAC-Adressen an einem Port erlaubt sind.
Beispiel:
An Port 5 ist nur eine MAC-Adresse erlaubt.
Wenn dort plötzlich mehrere MAC-Adressen auftauchen, kann der Switch reagieren.
Mögliche Reaktionen:
- Port sperren
- Frames verwerfen
- Warnung erzeugen
- Ereignis protokollieren
Merksatz:
Port Security begrenzt MAC-Adressen pro Switch-Port.
Switching und Broadcast-Domäne
Ein normaler Switch trennt Kollisionsdomänen, aber nicht automatisch Broadcast-Domänen.
Das bedeutet:
Broadcasts werden innerhalb desselben VLANs weitergeleitet.
Alle Ports im gleichen VLAN gehören zur gleichen Broadcast-Domäne.
Router oder Layer-3-Grenzen trennen Broadcast-Domänen.
Merksatz:
Switch trennt Kollisionsdomänen.
VLAN oder Router trennen Broadcast-Domänen.
Switching und Kollisionsdomäne
Bei modernen Switches ist jeder Port normalerweise eine eigene Kollisionsdomäne.
Das ist ein wichtiger Unterschied zum Hub.
Gerät
Kollisionsdomäne
Hub
alle Ports gemeinsam
Switch
jeder Port separat
Bei Vollduplex-Verbindungen treten klassische Kollisionen praktisch nicht mehr auf.
Merksatz:
Switch reduziert Kollisionsprobleme durch getrennte Ports.
Store-and-Forward
Store-and-Forward ist eine typische Weiterleitungsmethode bei Switches.
Dabei empfängt der Switch den gesamten Frame.
Dann prüft er den Frame, zum Beispiel anhand der FCS.
Erst danach leitet er den Frame weiter.
Vorteil:
Fehlerhafte Frames können erkannt und verworfen werden.
Nachteil:
etwas mehr Verzögerung als bei sofortiger Weiterleitung.
Merksatz:
Store-and-Forward prüft den Frame vor der Weiterleitung.
Cut-Through
Cut-Through ist eine andere Weiterleitungsmethode.
Dabei beginnt der Switch mit der Weiterleitung, sobald er die Ziel-MAC-Adresse gelesen hat.
Vorteil:
geringere Verzögerung
Nachteil:
Fehlerhafte Frames können eventuell weitergeleitet werden,
bevor der gesamte Frame geprüft wurde.
Merksatz:
Cut-Through ist schneller,
prüft aber weniger vollständig vor der Weiterleitung.
Store-and-Forward und Cut-Through im Vergleich
Methode
Arbeitsweise
Vorteil
Nachteil
Store-and-Forward
ganzer Frame wird empfangen und geprüft
Fehlererkennung vor Weiterleitung
etwas mehr Latenz
Cut-Through
Weiterleitung beginnt früh
geringe Latenz
fehlerhafte Frames können weitergehen
Für die Prüfung ist vor allem wichtig:
Store-and-Forward prüft vollständiger.
Cut-Through ist schneller.
Switching und VLANs
Ein Switch kann Ports verschiedenen VLANs zuordnen.
Beispiel:
Port
VLAN
Gerät
1
VLAN 10
Mitarbeiter-PC
2
VLAN 10
Mitarbeiter-PC
3
VLAN 20
Gastgerät
4
VLAN 30
Server
Frames werden normalerweise nur innerhalb desselben VLANs weitergeleitet.
Dadurch entstehen getrennte logische Netze.
Merksatz:
VLANs trennen Switching-Bereiche logisch.
Access-Port
Ein Access-Port gehört normalerweise zu genau einem VLAN.
Typischer Einsatz:
- PC
- Drucker
- IP-Telefon
- Access Point mit einfacher Konfiguration
Beispiel:
Port 1 ist Access-Port in VLAN 10.
Ein Gerät an diesem Port gehört dann logisch zu VLAN 10.
Merksatz:
Access-Port = ein VLAN für ein Endgerät.
Trunk-Port
Ein Trunk-Port kann mehrere VLANs transportieren.
Typischer Einsatz:
- Switch zu Switch
- Switch zu Router
- Switch zu Firewall
- Switch zu Access Point mit mehreren SSIDs
Bei Ethernet wird dafür häufig VLAN-Tagging verwendet.
Merksatz:
Trunk-Port = mehrere VLANs über eine Verbindung.
Switching-Schleifen
Eine Switching-Schleife entsteht, wenn Frames im Netzwerk endlos im Kreis laufen können.
Das kann passieren, wenn Switches mehrfach miteinander verbunden sind und keine Schutzmechanismen aktiv sind.
Folgen:
- Broadcast-Sturm
- hohe Switch-Last
- Netzwerk wird langsam oder fällt aus
- MAC-Adresstabelle wird instabil
Merksatz:
Schleifen im Layer-2-Netz können sehr gefährlich sein.
Spanning Tree Protocol
STP steht für:
Spanning Tree Protocol
STP verhindert Schleifen in Layer-2-Netzen.
Es blockiert bestimmte redundante Wege, damit keine Schleife entsteht.
Wenn eine Verbindung ausfällt, kann STP einen anderen Weg aktivieren.
Merksatz:
STP schützt vor Switching-Schleifen.
Broadcast-Sturm
Ein Broadcast-Sturm entsteht, wenn sehr viele Broadcasts im Netzwerk unterwegs sind.
Mögliche Ursachen:
- Layer-2-Schleife
- fehlerhafte Geräte
- falsch konfigurierte Switches
- Angriffe
- sehr viele Broadcast-Anfragen
Folgen:
- hohe Netzwerklast
- hohe CPU-Last auf Geräten
- Verbindungsprobleme
- Netzwerkausfall
Merksatz:
Broadcast-Sturm = zu viele Broadcasts im lokalen Netz.
Switching und Fehlersuche
Bei Schicht-2-Problemen prüft man zum Beispiel:
- Ist der richtige Switch-Port verwendet?
- Ist der Port aktiv?
- Wird die MAC-Adresse gelernt?
- Ist das richtige VLAN konfiguriert?
- Ist der Port Access oder Trunk?
- Gibt es Fehler am Port?
- Gibt es STP-Blockierungen?
- Gibt es Broadcast-Stürme?
- Gibt es doppelte MAC-Adressen?
- Wurde das Gerät umgesteckt?
Merksatz:
Bei Schicht 2 prüft man MAC-Adressen, VLANs und Switch-Ports.
Beispiel: MAC-Adresse wird nicht gelernt
Fehlerbild:
Ein Gerät ist physisch verbunden,
aber der Switch lernt keine MAC-Adresse.
Mögliche Ursachen:
- Gerät sendet keine Frames
- falscher Port
- Port deaktiviert
- Link ist doch nicht aktiv
- VLAN falsch
- Netzwerkkarte deaktiviert
- Kabelproblem
- Port Security blockiert
- Gerät hängt an falscher Stelle
Merksatz:
Keine gelernte MAC kann auf Schicht 1 oder Schicht 2 hinweisen.
Beispiel: Gerät im falschen VLAN
Fehlerbild:
Ein PC bekommt keine passende IP-Adresse
oder erreicht die erwarteten Server nicht.
Mögliche Ursache:
Der Switch-Port ist im falschen VLAN.
Beispiel:
PC soll in VLAN 10 sein.
Port ist aber in VLAN 20.
Folge:
Der PC befindet sich logisch im falschen Netz.
Merksatz:
Falsches VLAN kann wie ein IP-Problem aussehen.
Beispiel: Trunk falsch konfiguriert
Fehlerbild:
Mehrere VLANs funktionieren über eine Switch-Verbindung nicht.
Mögliche Ursachen:
- Port ist kein Trunk
- VLAN nicht auf dem Trunk erlaubt
- falsches Native VLAN
- Gegenstelle anders konfiguriert
- Tagging stimmt nicht
- STP blockiert den Port
Merksatz:
Trunk-Probleme betreffen oft mehrere VLANs gleichzeitig.
Was ein Switch nicht macht
Ein normaler Layer-2-Switch macht nicht:
- Routing zwischen IP-Netzen
- NAT oder PAT
- DNS-Auflösung
- TCP-Verbindungsaufbau
- Anwendungsschutz
- Internetzugang allein
- Firewall-Regeln auf Anwendungsebene
Dafür braucht man andere Funktionen oder Geräte, zum Beispiel:
- Router
- Layer-3-Switch
- Firewall
- DNS-Server
Merksatz:
Ein Layer-2-Switch verbindet lokal,
routet aber nicht zwischen Netzen.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was macht ein Switch?
- Auf welcher OSI-Schicht arbeitet ein Switch?
- Wie lernt ein Switch MAC-Adressen?
- Was ist eine MAC-Adresstabelle?
- Was passiert bei bekannter Ziel-MAC?
- Was passiert bei unbekannter Ziel-MAC?
- Was bedeutet Flooding?
- Was ist der Unterschied zwischen Broadcast und Flooding?
- Was ist Port Security?
- Was ist eine Kollisionsdomäne?
- Was ist eine Broadcast-Domäne?
- Was ist der Unterschied zwischen Access-Port und Trunk-Port?
- Was ist STP?
- Warum sind Layer-2-Schleifen gefährlich?
Typische Prüfungsfallen
Ein Switch lernt über die Quell-MAC-Adresse.
Die Ziel-MAC entscheidet über die Weiterleitung.
Bekannte Ziel-MAC = gezielte Weiterleitung.
Unbekannte Ziel-MAC = Flooding.
Broadcast und Flooding sind nicht dasselbe.
Ein normaler Switch arbeitet auf Schicht 2.
Ein Hub arbeitet auf Schicht 1.
Ein Router arbeitet auf Schicht 3.
Ein Switch trennt Kollisionsdomänen.
Ein Switch trennt Broadcast-Domänen nur durch VLANs.
Ein Access-Port gehört normalerweise zu einem VLAN.
Ein Trunk-Port transportiert mehrere VLANs.
STP schützt vor Layer-2-Schleifen.
Falsches VLAN kann wie ein IP-Problem aussehen.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Switch
Schicht-2-Gerät zur Frame-Weiterleitung
Switch-Port
physischer Anschluss am Switch
MAC-Adresstabelle
Zuordnung von MAC-Adresse zu Switch-Port
Quell-MAC
Absenderadresse im Frame
Ziel-MAC
Empfängeradresse im Frame
Learning
Lernen von MAC-Adressen über Quell-MAC
Forwarding
gezielte Weiterleitung an bekannten Port
Flooding
Weiterleitung an mehrere Ports bei unbekannter Ziel-MAC
Broadcast
Nachricht an alle Geräte im lokalen Netz
Aging
automatisches Entfernen alter MAC-Einträge
Port Security
Begrenzung erlaubter MAC-Adressen pro Port
MAC-Flooding
Angriff auf die MAC-Adresstabelle
Kollisionsdomäne
Bereich möglicher Kollisionen
Broadcast-Domäne
Bereich, in dem Broadcasts verteilt werden
Access-Port
Switch-Port für ein VLAN
Trunk-Port
Switch-Port für mehrere VLANs
STP
Spanning Tree Protocol zur Schleifenvermeidung
Broadcast-Sturm
übermäßige Broadcast-Last im Netz
IHK-sichere Kurzformulierung
Ein Switch arbeitet typischerweise auf OSI-Schicht 2 und leitet Ethernet-Frames anhand von MAC-Adressen weiter. Er lernt MAC-Adressen über die Quell-MAC-Adresse eingehender Frames und speichert die Zuordnung von MAC-Adresse zu Switch-Port in einer MAC-Adresstabelle. Ist die Ziel-MAC-Adresse bekannt, wird der Frame gezielt an den passenden Port weitergeleitet. Ist die Ziel-MAC-Adresse unbekannt, wird der Frame an mehrere Ports geflutet. Broadcasts werden innerhalb der Broadcast-Domäne verteilt. VLANs können Broadcast-Domänen logisch trennen. STP verhindert Schleifen in Layer-2-Netzen.
Merksätze
Switch = Schicht 2.
Switch arbeitet mit Frames.
Switch arbeitet mit MAC-Adressen.
Switch lernt über Quell-MAC.
Ziel-MAC entscheidet über Weiterleitung.
MAC-Adresstabelle = MAC zu Port.
Bekannte Ziel-MAC = gezielte Weiterleitung.
Unbekannte Ziel-MAC = Flooding.
Broadcast = an alle.
Flooding = Ziel unbekannt.
Broadcast und Flooding sind nicht dasselbe.
Hub = Schicht 1.
Switch = Schicht 2.
Router = Schicht 3.
Switch trennt Kollisionsdomänen.
VLAN trennt Broadcast-Domänen.
Access-Port = ein VLAN.
Trunk-Port = mehrere VLANs.
STP schützt vor Schleifen.
Layer-2-Schleifen können Broadcast-Stürme verursachen.
Falsches VLAN kann wie ein IP-Problem aussehen.
5.4 VLANs und Broadcast-Domänen
VLANs gehören zu OSI-Schicht 2.
VLAN steht für:
Virtual Local Area Network
Auf Deutsch sinngemäß:
virtuelles lokales Netzwerk
Mit VLANs kann man ein physisches Switch-Netz in mehrere logisch getrennte Netzbereiche aufteilen.
Merksatz:
VLAN = logische Netztrennung auf Schicht 2.
Grundidee eines VLANs
Ohne VLAN befinden sich viele Geräte im gleichen lokalen Netzwerkbereich.
Das bedeutet:
Sie befinden sich in derselben Broadcast-Domäne.
Mit VLANs kann ein Switch mehrere getrennte logische Netze bereitstellen.
Beispiel:
ein Switch
aber mehrere getrennte Netze
Typische VLANs:
- Mitarbeiter
- Gäste
- Server
- VoIP
- Drucker
- Management
- IoT
Merksatz:
Ein physischer Switch kann mehrere logische Netze enthalten.
Warum nutzt man VLANs?
VLANs helfen dabei, Netzwerke sauber zu strukturieren.
Vorteile:
- logische Trennung von Geräten
- bessere Übersicht
- weniger Broadcast-Verkehr pro Netz
- mehr Sicherheit
- einfachere Verwaltung
- Trennung von Abteilungen oder Gerätetypen
- bessere Netzplanung
- Grundlage für Firewall-Regeln
Beispiel:
Gäste sollen ins Internet,
aber nicht auf interne Server.
Dafür kann man ein eigenes Gast-VLAN verwenden.
Merksatz:
VLANs trennen Geräte logisch,
auch wenn sie am gleichen Switch hängen.
VLAN und physische Verkabelung
Ohne VLAN müsste man für getrennte Netze oft getrennte Switches verwenden.
Beispiel ohne VLAN:
Switch 1 für Mitarbeiter
Switch 2 für Gäste
Switch 3 für Server
Mit VLANs kann ein einzelner Switch mehrere logische Netze bereitstellen.
Beispiel mit VLAN:
VLAN 10 = Mitarbeiter
VLAN 20 = Gäste
VLAN 30 = Server
Alle VLANs können auf demselben physischen Switch existieren.
Merksatz:
VLANs sparen physische Trennung durch logische Trennung.
Begriff: Broadcast
Ein Broadcast ist eine Nachricht an alle Geräte im lokalen Netzwerkbereich.
Die Broadcast-MAC-Adresse lautet:
FF:FF:FF:FF:FF:FF
Broadcasts werden zum Beispiel verwendet bei:
- ARP-Anfragen
- DHCP-Anfragen
- bestimmten lokalen Suchdiensten
Merksatz:
Broadcast = Nachricht an alle Geräte im lokalen Netz.
Begriff: Broadcast-Domäne
Eine Broadcast-Domäne ist ein Bereich, in dem Broadcasts verteilt werden.
Alle Geräte innerhalb derselben Broadcast-Domäne erhalten Broadcasts.
Ein VLAN bildet normalerweise eine eigene Broadcast-Domäne.
Beispiel:
VLAN 10 = eigene Broadcast-Domäne
VLAN 20 = eigene Broadcast-Domäne
VLAN 30 = eigene Broadcast-Domäne
Broadcasts aus VLAN 10 werden nicht automatisch an VLAN 20 weitergegeben.
Merksatz:
Ein VLAN = eine Broadcast-Domäne.
Warum Broadcast-Domänen begrenzen?
Zu viele Broadcasts können ein Netzwerk belasten.
Broadcasts werden an alle Geräte im gleichen lokalen Netz gesendet.
Wenn sehr viele Geräte in einer Broadcast-Domäne sind, kann unnötiger Datenverkehr entstehen.
VLANs helfen dabei, Broadcast-Verkehr zu begrenzen.
Beispiel:
ARP-Broadcast aus dem Gäste-Netz
erreicht nicht automatisch das Server-Netz.
Merksatz:
VLANs begrenzen Broadcasts auf einen logischen Bereich.
VLAN-ID
Ein VLAN wird durch eine Nummer gekennzeichnet.
Diese Nummer heißt:
VLAN-ID
Beispiele:
VLAN-ID
Zweck
10
Mitarbeiter
20
Gäste
30
Server
40
VoIP
99
Management
Die VLAN-ID dient zur eindeutigen Zuordnung eines Frames zu einem VLAN.
Merksatz:
VLAN-ID = Nummer eines VLANs.
VLAN und Name
Neben der VLAN-ID kann ein VLAN auch einen Namen haben.
Beispiel:
VLAN-ID
VLAN-Name
10
Mitarbeiter
20
Gast
30
Server
40
VoIP
99
Management
Der Name dient der Übersicht.
Technisch entscheidend ist aber die VLAN-ID.
Merksatz:
VLAN-Name hilft Menschen.
VLAN-ID ist technisch entscheidend.
VLAN und IP-Subnetz
Ein VLAN ist nicht dasselbe wie ein IP-Subnetz.
VLAN gehört zu:
OSI-Schicht 2
IP-Subnetz gehört zu:
OSI-Schicht 3
In der Praxis wird aber häufig jedem VLAN ein eigenes IP-Subnetz zugeordnet.
Beispiel:
VLAN
Zweck
IP-Subnetz
VLAN 10
Mitarbeiter
192.168.10.0/24
VLAN 20
Gäste
192.168.20.0/24
VLAN 30
Server
192.168.30.0/24
Merksatz:
VLAN = Schicht 2.
IP-Subnetz = Schicht 3.
Warum VLAN und Subnetz oft zusammengehören
Wenn zwei VLANs getrennte Broadcast-Domänen sind, können Geräte darin nicht einfach direkt auf Schicht 2 miteinander kommunizieren.
Damit Kommunikation zwischen VLANs möglich ist, braucht man Routing.
Routing arbeitet auf Schicht 3.
Deshalb plant man meistens:
ein VLAN
=
ein eigenes IP-Subnetz
Beispiel:
VLAN 10 → 192.168.10.0/24
VLAN 20 → 192.168.20.0/24
Merksatz:
Pro VLAN häufig ein eigenes IP-Subnetz.
Access-Port
Ein Access-Port ist ein Switch-Port, der normalerweise zu genau einem VLAN gehört.
Typischer Einsatz:
- PC
- Drucker
- IP-Kamera
- einzelnes Endgerät
- einfacher Access Point
- VoIP-Telefon mit bestimmter Konfiguration
Beispiel:
Port 1 ist Access-Port in VLAN 10.
Ein Gerät an Port 1 gehört dann logisch zu VLAN 10.
Merksatz:
Access-Port = ein VLAN für ein Endgerät.
Access-Port-Beispiel
Beispiel-Switch:
Port
Modus
VLAN
Gerät
1
Access
10
Mitarbeiter-PC
2
Access
10
Mitarbeiter-PC
3
Access
20
Gäste-PC
4
Access
30
Server
Wichtig:
Geräte an Access-Ports müssen normalerweise nichts von VLANs wissen.
Der Switch ordnet den Port intern dem VLAN zu.
Merksatz:
Beim Access-Port übernimmt der Switch die VLAN-Zuordnung.
Trunk-Port
Ein Trunk-Port kann mehrere VLANs über eine einzige Verbindung transportieren.
Typischer Einsatz:
- Switch zu Switch
- Switch zu Router
- Switch zu Firewall
- Switch zu Access Point mit mehreren SSIDs
- Switch zu Virtualisierungshost
Beispiel:
VLAN 10
VLAN 20
VLAN 30
laufen gemeinsam über einen Trunk-Port.
Merksatz:
Trunk-Port = mehrere VLANs über eine Verbindung.
Warum braucht man Trunk-Ports?
Trunk-Ports werden benötigt, wenn mehrere VLANs über eine gemeinsame Verbindung transportiert werden sollen.
Beispiel:
Switch A hat VLAN 10, 20 und 30.
Switch B soll diese VLANs ebenfalls nutzen.
Dann braucht die Verbindung zwischen beiden Switches einen Trunk.
Ohne Trunk müsste man für jedes VLAN eine eigene physische Verbindung verwenden.
Merksatz:
Trunk spart Kabel,
indem mehrere VLANs über eine Verbindung laufen.
VLAN-Tagging
Damit ein Trunk mehrere VLANs unterscheiden kann, müssen Frames markiert werden.
Diese Markierung nennt man:
VLAN-Tag
Der VLAN-Tag enthält die VLAN-ID.
Dadurch weiß die Gegenstelle:
Dieser Frame gehört zu VLAN 10.
Dieser Frame gehört zu VLAN 20.
Dieser Frame gehört zu VLAN 30.
Merksatz:
VLAN-Tag = Markierung eines Frames mit der VLAN-ID.
IEEE 802.1Q
IEEE 802.1Q ist der Standard für VLAN-Tagging bei Ethernet.
802.1Q fügt einem Ethernet-Frame eine VLAN-Information hinzu.
Diese Information enthält unter anderem:
- VLAN-ID
- Prioritätsinformationen
Für AP1/AP2 ist besonders wichtig:
802.1Q = VLAN-Tagging bei Ethernet
Merksatz:
IEEE 802.1Q = VLAN-Tagging-Standard.
Tagged und Untagged
Bei VLANs unterscheidet man häufig:
tagged
untagged
Tagged bedeutet:
Der Ethernet-Frame enthält einen VLAN-Tag.
Untagged bedeutet:
Der Ethernet-Frame enthält keinen VLAN-Tag.
Typisch:
Access-Port:
meist untagged zum Endgerät
Trunk-Port:
mehrere VLANs tagged
Merksatz:
tagged = mit VLAN-Markierung.
untagged = ohne VLAN-Markierung.
Access-Port und untagged Frames
Ein normales Endgerät an einem Access-Port sendet meist untagged Frames.
Das bedeutet:
Der PC sendet normale Ethernet-Frames ohne VLAN-Tag.
Der Switch weiß aber:
Dieser Port gehört zu VLAN 10.
Also ordnet der Switch die Frames intern VLAN 10 zu.
Merksatz:
Access-Port: Endgerät sendet meist untagged,
Switch ordnet VLAN zu.
Trunk-Port und tagged Frames
Auf einem Trunk-Port laufen mehrere VLANs.
Damit die Gegenstelle die VLANs unterscheiden kann, werden Frames meistens tagged übertragen.
Beispiel:
Frame mit Tag VLAN 10
Frame mit Tag VLAN 20
Frame mit Tag VLAN 30
Die Gegenstelle liest den VLAN-Tag und ordnet den Frame dem richtigen VLAN zu.
Merksatz:
Trunk-Port: mehrere VLANs werden durch Tags unterschieden.
Native VLAN
Bei manchen Switch-Konzepten gibt es auf Trunk-Ports ein sogenanntes Native VLAN.
Das Native VLAN ist das VLAN, dessen Frames auf einem Trunk untagged übertragen werden können.
Wichtig:
Falsch konfigurierte Native VLANs können Sicherheits- oder Verbindungsprobleme verursachen.
Für die Prüfung reicht meistens:
Native VLAN = untagged VLAN auf einem Trunk
Merksatz:
Native VLAN auf beiden Seiten eines Trunks korrekt konfigurieren.
Allowed VLANs
Auf einem Trunk kann festgelegt werden, welche VLANs erlaubt sind.
Beispiel:
erlaubt:
VLAN 10
VLAN 20
VLAN 30
nicht erlaubt:
VLAN 40
Wenn ein VLAN auf dem Trunk nicht erlaubt ist, wird es darüber nicht transportiert.
Merksatz:
Allowed VLANs bestimmen,
welche VLANs über einen Trunk laufen dürfen.
VLANs und WLAN
Access Points können mehrere WLAN-Namen bereitstellen.
Diese WLAN-Namen heißen:
SSIDs
Jede SSID kann einem eigenen VLAN zugeordnet werden.
Beispiel:
SSID
VLAN
Zweck
Firma-Mitarbeiter
VLAN 10
internes Netzwerk
Firma-Gast
VLAN 20
Gastzugang
Firma-IoT
VLAN 30
Geräte-Netz
Der Switch-Port zum Access Point ist dann oft ein Trunk-Port.
Merksatz:
Mehrere SSIDs nutzen häufig VLANs über einen Trunk.
VLANs und VoIP
VoIP steht für:
Voice over IP
In Unternehmen gibt es häufig ein eigenes VLAN für Telefone.
Beispiel:
VLAN 10 = PCs
VLAN 40 = VoIP-Telefone
Warum?
- Sprachverkehr kann getrennt behandelt werden
- Priorisierung ist einfacher
- Sicherheit und Übersicht werden besser
- eigene DHCP-Optionen können genutzt werden
Merksatz:
VoIP wird oft in einem eigenen VLAN betrieben.
Management-VLAN
Ein Management-VLAN wird zur Verwaltung von Netzwerkgeräten verwendet.
Darin befinden sich zum Beispiel:
- Switch-Management
- Access-Point-Management
- Controller
- Monitoring-Systeme
- Administrationszugänge
Ziel:
Management-Zugriffe sollen vom normalen Benutzerverkehr getrennt werden.
Merksatz:
Management-VLAN = separates Netz für Verwaltung.
Gast-VLAN
Ein Gast-VLAN ist ein separates Netz für Besucher oder private Geräte.
Ziel:
Gäste sollen Internetzugang haben,
aber keinen Zugriff auf interne Systeme.
Typische Regeln:
Gast-VLAN → Internet erlaubt
Gast-VLAN → interne Server blockiert
Gast-VLAN → andere Gäste eventuell blockiert
Merksatz:
Gast-VLAN vom internen Netzwerk trennen.
IoT-VLAN
IoT steht für:
Internet of Things
In einem IoT-VLAN können Geräte gesammelt werden wie:
- Kameras
- Sensoren
- Smart-TVs
- Drucker
- Steuergeräte
- andere eingebettete Geräte
Warum?
IoT-Geräte sind oft schlechter wartbar oder unsicherer als normale Clients.
Ein eigenes VLAN erleichtert Kontrolle und Firewall-Regeln.
Merksatz:
IoT-Geräte sinnvoll vom normalen Client-Netz trennen.
Inter-VLAN-Routing
Geräte in unterschiedlichen VLANs können nicht direkt nur über Schicht 2 miteinander kommunizieren.
Wenn VLAN 10 mit VLAN 20 kommunizieren soll, braucht man Routing.
Das nennt man:
Inter-VLAN-Routing
Dafür nutzt man zum Beispiel:
- Router
- Layer-3-Switch
- Firewall
Merksatz:
Kommunikation zwischen VLANs braucht Schicht-3-Routing.
Router-on-a-Stick
Router-on-a-Stick ist eine Methode für Inter-VLAN-Routing.
Dabei verbindet ein einzelner physischer Router-Port mehrere VLANs über einen Trunk.
Der Router besitzt dafür logische Unterinterfaces.
Beispiel:
Router-Port
mit VLAN 10
VLAN 20
VLAN 30
über eine Trunk-Verbindung zum Switch.
Merksatz:
Router-on-a-Stick = Inter-VLAN-Routing über einen Trunk zum Router.
Layer-3-Switch
Ein Layer-3-Switch kann Switching und Routing kombinieren.
Er kann:
- auf Schicht 2 Frames switchen
- auf Schicht 3 zwischen VLANs routen
In größeren Netzwerken ist Inter-VLAN-Routing häufig auf einem Layer-3-Switch umgesetzt.
Merksatz:
Layer-3-Switch = Switch mit Routing-Funktion.
Firewall zwischen VLANs
In vielen Netzwerken wird die Kommunikation zwischen VLANs über eine Firewall geregelt.
Beispiel:
Mitarbeiter-VLAN darf auf Server-VLAN zugreifen.
Gast-VLAN darf nur ins Internet.
IoT-VLAN darf nur bestimmte Dienste erreichen.
Vorteil:
Zugriffe können kontrolliert und protokolliert werden.
Merksatz:
VLAN-Trennung wird durch Firewall-Regeln wirksam abgesichert.
VLANs und Sicherheit
VLANs erhöhen die Sicherheit, weil sie Netzbereiche logisch trennen.
Aber:
VLANs allein sind keine vollständige Sicherheitslösung.
Zusätzlich braucht man je nach Umgebung:
- Firewall-Regeln
- Zugriffskontrolle
- sichere Switch-Konfiguration
- 802.1X
- Port Security
- Monitoring
- saubere Dokumentation
Merksatz:
VLAN trennt logisch,
Firewall regelt den Zugriff.
VLANs und DHCP
DHCP stellt IP-Adressen automatisch bereit.
Da VLANs meist eigene IP-Subnetze haben, benötigt jedes VLAN eine passende DHCP-Konfiguration.
Beispiel:
VLAN
Subnetz
DHCP-Bereich
10
192.168.10.0/24
192.168.10.100–192.168.10.200
20
192.168.20.0/24
192.168.20.100–192.168.20.200
30
192.168.30.0/24
192.168.30.100–192.168.30.200
Wenn ein Client im falschen VLAN ist, bekommt er eventuell eine falsche oder keine IP-Adresse.
Merksatz:
VLAN und DHCP-Bereich müssen zusammenpassen.
DHCP-Relay
Ein DHCP-Server steht nicht immer direkt in jedem VLAN.
Wenn Clients in mehreren VLANs IP-Adressen erhalten sollen, kann ein DHCP-Relay eingesetzt werden.
Aufgabe:
DHCP-Anfragen aus einem VLAN an einen zentralen DHCP-Server weiterleiten.
DHCP-Relay arbeitet im Zusammenspiel mit Schicht 3.
Merksatz:
DHCP-Relay hilft,
DHCP über VLAN-Grenzen hinweg zu nutzen.
VLANs und Fehlersuche
Typische VLAN-Fehler:
- Port im falschen VLAN
- Access-Port statt Trunk
- Trunk statt Access-Port
- VLAN auf Trunk nicht erlaubt
- falsches Native VLAN
- VLAN auf Switch nicht angelegt
- falsche SSID-VLAN-Zuordnung
- falscher DHCP-Bereich
- fehlendes Inter-VLAN-Routing
- Firewall blockiert Kommunikation
Merksatz:
VLAN-Fehler wirken oft wie IP- oder DHCP-Probleme.
Fehlerbild: Client bekommt falsche IP-Adresse
Mögliche Ursache:
Der Switch-Port ist im falschen VLAN.
Beispiel:
Client soll in VLAN 10 sein.
Port ist aber in VLAN 20.
Folge:
Client erhält eine IP-Adresse aus dem falschen Subnetz
oder erreicht nicht die erwarteten Dienste.
Merksatz:
Falsches VLAN kann falsche IP-Adresse verursachen.
Fehlerbild: Access Point mit mehreren SSIDs funktioniert nicht richtig
Mögliche Ursachen:
- Switch-Port ist kein Trunk
- VLANs sind auf dem Trunk nicht erlaubt
- SSID ist falschem VLAN zugeordnet
- Native VLAN falsch
- DHCP fehlt für ein VLAN
- Firewall blockiert Gastnetz
- Access Point unterstützt Konfiguration nicht
Merksatz:
Mehrere SSIDs brauchen meist korrektes VLAN-Tagging.
Fehlerbild: Zwei VLANs erreichen sich nicht
Mögliche Ursachen:
- kein Inter-VLAN-Routing
- falsches Gateway
- Firewall blockiert
- falsche Subnetzmaske
- VLAN nicht korrekt angelegt
- Trunk transportiert VLAN nicht
- Routing-Schnittstelle fehlt
Wichtig:
Wenn zwei VLANs kommunizieren sollen,
braucht man eine Schicht-3-Komponente.
Merksatz:
VLAN zu VLAN braucht Routing.
Einordnung in das OSI-Modell
Thema
Schicht
VLAN
Schicht 2
VLAN-Tag
Schicht 2
Access-Port
Schicht 2
Trunk-Port
Schicht 2
MAC-Adresse
Schicht 2
Broadcast-Domäne
Schicht 2
IP-Subnetz
Schicht 3
Inter-VLAN-Routing
Schicht 3
DHCP
Anwendungsschicht mit Netzwerkbezug
Firewall-Regeln nach IP/Port
Schicht 3 / 4
Merksatz:
VLAN ist Schicht 2.
Routing zwischen VLANs ist Schicht 3.
VLAN und Subnetz nicht verwechseln
Begriff
Schicht
Aufgabe
VLAN
2
logische Trennung im LAN
Subnetz
3
logischer IP-Adressbereich
Router / Layer-3-Switch
3
Verbindung zwischen Netzen
Firewall
3 / 4 / 7
Zugriff kontrollieren
Wichtig:
In der Praxis werden VLAN und Subnetz oft gemeinsam geplant,
bleiben aber unterschiedliche Konzepte.
Merksatz:
VLAN trennt Frames.
Subnetz trennt IP-Bereiche.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist ein VLAN?
- Auf welcher OSI-Schicht arbeitet ein VLAN?
- Was ist eine Broadcast-Domäne?
- Warum nutzt man VLANs?
- Was ist eine VLAN-ID?
- Was ist der Unterschied zwischen Access-Port und Trunk-Port?
- Was bedeutet VLAN-Tagging?
- Was ist IEEE 802.1Q?
- Was bedeutet tagged und untagged?
- Warum braucht man Inter-VLAN-Routing?
- Was ist Router-on-a-Stick?
- Warum ist ein VLAN nicht dasselbe wie ein IP-Subnetz?
- Warum kann ein falsches VLAN zu DHCP-Problemen führen?
- Warum reichen VLANs allein nicht als vollständige Sicherheitslösung?
Typische Prüfungsfallen
VLANs gehören zu Schicht 2.
IP-Subnetze gehören zu Schicht 3.
VLAN und Subnetz sind nicht dasselbe.
Ein VLAN bildet normalerweise eine Broadcast-Domäne.
Access-Port = normalerweise ein VLAN.
Trunk-Port = mehrere VLANs.
Tagged = mit VLAN-Tag.
Untagged = ohne VLAN-Tag.
IEEE 802.1Q = VLAN-Tagging.
Kommunikation zwischen VLANs braucht Routing.
VLANs allein ersetzen keine Firewall-Regeln.
Falsches VLAN kann wie ein IP- oder DHCP-Problem aussehen.
Mehrere SSIDs auf einem Access Point nutzen häufig VLANs.
Native VLAN muss auf Trunk-Verbindungen korrekt passen.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
VLAN
Virtual Local Area Network, logisches LAN
VLAN-ID
Nummer eines VLANs
VLAN-Name
lesbarer Name eines VLANs
Broadcast
Nachricht an alle im lokalen Netz
Broadcast-Domäne
Bereich, in dem Broadcasts verteilt werden
Access-Port
Switch-Port für ein einzelnes VLAN
Trunk-Port
Switch-Port für mehrere VLANs
VLAN-Tag
Markierung eines Frames mit VLAN-ID
IEEE 802.1Q
Standard für VLAN-Tagging
tagged
Frame mit VLAN-Tag
untagged
Frame ohne VLAN-Tag
Native VLAN
untagged VLAN auf einem Trunk
Allowed VLANs
VLANs, die über einen Trunk erlaubt sind
Inter-VLAN-Routing
Routing zwischen VLANs
Router-on-a-Stick
Inter-VLAN-Routing über Router-Trunk
Layer-3-Switch
Switch mit Routing-Funktion
Management-VLAN
VLAN zur Verwaltung von Netzwerkgeräten
Gast-VLAN
separates VLAN für Gäste
IoT-VLAN
separates VLAN für IoT-Geräte
DHCP-Relay
Weiterleitung von DHCP-Anfragen zu zentralem DHCP-Server
IHK-sichere Kurzformulierung
Ein VLAN ist ein virtuelles lokales Netzwerk auf OSI-Schicht 2. Mit VLANs können Geräte logisch getrennt werden, auch wenn sie an derselben physischen Switch-Infrastruktur angeschlossen sind. Ein VLAN bildet normalerweise eine eigene Broadcast-Domäne. Access-Ports gehören meist zu genau einem VLAN und werden für Endgeräte verwendet. Trunk-Ports können mehrere VLANs transportieren und nutzen dafür VLAN-Tagging nach IEEE 802.1Q. VLANs sind nicht dasselbe wie IP-Subnetze, werden in der Praxis aber häufig gemeinsam geplant. Kommunikation zwischen VLANs benötigt Routing, zum Beispiel über einen Router, eine Firewall oder einen Layer-3-Switch.
Merksätze
VLAN = Virtual Local Area Network.
VLAN = logische Netztrennung auf Schicht 2.
Ein VLAN bildet eine Broadcast-Domäne.
VLAN-ID = Nummer des VLANs.
VLAN-Name = lesbare Bezeichnung.
VLAN ist nicht IP-Subnetz.
VLAN = Schicht 2.
IP-Subnetz = Schicht 3.
Pro VLAN häufig ein eigenes Subnetz.
Access-Port = ein VLAN.
Trunk-Port = mehrere VLANs.
Tagged = mit VLAN-Tag.
Untagged = ohne VLAN-Tag.
IEEE 802.1Q = VLAN-Tagging.
Native VLAN = untagged VLAN auf einem Trunk.
Allowed VLANs bestimmen,
welche VLANs über einen Trunk laufen.
Mehrere SSIDs nutzen häufig VLANs.
Gast-VLAN vom internen Netz trennen.
IoT-VLAN für unsichere Geräte sinnvoll.
VLAN zu VLAN braucht Routing.
Router-on-a-Stick = Inter-VLAN-Routing über Trunk.
Layer-3-Switch kann zwischen VLANs routen.
VLAN trennt logisch,
Firewall regelt den Zugriff.
Falsches VLAN kann DHCP- und IP-Probleme verursachen.
5.5 ARP – IP-Adresse zur MAC-Adresse auflösen
ARP gehört zu den wichtigsten Grundlagen im lokalen Netzwerk.
ARP steht für:
Address Resolution Protocol
Auf Deutsch sinngemäß:
Adressauflösungsprotokoll
ARP wird benötigt, damit ein Gerät zu einer bekannten IP-Adresse die passende MAC-Adresse im lokalen Netzwerk herausfinden kann.
Merksatz:
ARP findet die MAC-Adresse zu einer IP-Adresse im lokalen Netz.
Warum braucht man ARP?
IP-Adressen gehören zu OSI-Schicht 3.
MAC-Adressen gehören zu OSI-Schicht 2.
Ein Ethernet-Frame braucht für die lokale Zustellung eine Ziel-MAC-Adresse.
Wenn ein PC nur die Ziel-IP-Adresse kennt, muss er herausfinden:
Welche MAC-Adresse gehört zu dieser IP-Adresse?
Genau dafür wird ARP verwendet.
Merksatz:
IP allein reicht im Ethernet-LAN nicht aus,
der Frame braucht eine Ziel-MAC-Adresse.
Schicht 2 und Schicht 3 zusammengedacht
Ein Gerät arbeitet beim Senden im LAN mit mehreren Schichten gleichzeitig.
Beispiel:
Ziel-IP-Adresse:
192.168.10.20
Damit der Frame im lokalen Ethernet gesendet werden kann, braucht der PC zusätzlich:
Ziel-MAC-Adresse:
zum Beispiel AA:BB:CC:11:22:33
ARP verbindet diese beiden Ebenen.
Adresse
Schicht
Aufgabe
MAC-Adresse
2
lokale Zustellung im LAN
IP-Adresse
3
logische Adressierung im IP-Netz
Merksatz:
ARP verbindet IP-Adresse und MAC-Adresse im lokalen Netz.
Grundprinzip von ARP
ARP arbeitet nach dem Prinzip:
Wer hat diese IP-Adresse?
Bitte melde deine MAC-Adresse.
Ein Gerät sendet also eine Anfrage ins lokale Netzwerk.
Das Gerät mit der gesuchten IP-Adresse antwortet mit seiner MAC-Adresse.
Merksatz:
ARP fragt:
Wer hat diese IP?
ARP-Anfrage
Eine ARP-Anfrage wird verwendet, wenn ein Gerät die MAC-Adresse zu einer IP-Adresse noch nicht kennt.
Beispiel:
PC A möchte PC B erreichen.
PC A kennt die IP-Adresse von PC B.
PC A kennt aber noch nicht die MAC-Adresse von PC B.
Dann sendet PC A eine ARP-Anfrage.
Sinngemäß:
Wer hat 192.168.10.20?
Bitte 192.168.10.10 antworten.
Merksatz:
ARP-Anfrage = Suche nach der MAC-Adresse zu einer IP-Adresse.
ARP-Anfrage als Broadcast
Eine ARP-Anfrage wird als Broadcast gesendet.
Warum?
Der Absender kennt die Ziel-MAC-Adresse noch nicht.
Deshalb wird die Anfrage an alle Geräte im lokalen Netz geschickt.
Die Broadcast-MAC-Adresse lautet:
FF:FF:FF:FF:FF:FF
Alle Geräte im lokalen Netz empfangen die ARP-Anfrage.
Aber nur das Gerät mit der gesuchten IP-Adresse antwortet.
Merksatz:
ARP-Anfrage = Broadcast.
ARP-Antwort
Die ARP-Antwort kommt von dem Gerät, das die gesuchte IP-Adresse besitzt.
Die Antwort enthält die passende MAC-Adresse.
Beispiel:
PC B antwortet:
192.168.10.20 gehört zu AA:BB:CC:11:22:33
Danach kann PC A Ethernet-Frames gezielt an die MAC-Adresse von PC B senden.
Merksatz:
ARP-Antwort liefert die gesuchte MAC-Adresse.
ARP-Antwort als Unicast
Eine ARP-Antwort wird normalerweise als Unicast gesendet.
Das bedeutet:
Die Antwort geht gezielt an den Absender der ARP-Anfrage.
Beispiel:
PC B antwortet direkt an PC A.
Warum?
PC B kennt aus der ARP-Anfrage bereits die MAC-Adresse von PC A.
Merksatz:
ARP-Antwort = meistens Unicast.
ARP im gleichen IP-Netz
ARP funktioniert für Ziele im gleichen lokalen IP-Netz.
Beispiel:
Gerät
IP-Adresse
PC A
192.168.10.10/24
PC B
192.168.10.20/24
Beide Geräte befinden sich im gleichen Subnetz:
192.168.10.0/24
Wenn PC A PC B erreichen möchte, sucht PC A per ARP die MAC-Adresse von PC B.
Merksatz:
Gleiches Subnetz:
ARP sucht die MAC-Adresse des Zielgeräts.
ARP bei Ziel in anderem Netz
Wenn das Ziel in einem anderen IP-Netz liegt, sucht der PC nicht die MAC-Adresse des entfernten Zielservers.
Stattdessen sucht er die MAC-Adresse seines Standard-Gateways.
Beispiel:
PC:
192.168.10.10/24
Ziel:
8.8.8.8
Das Ziel liegt nicht im lokalen Netz.
Der PC sendet deshalb den Ethernet-Frame an die MAC-Adresse des Routers.
Im IP-Paket bleibt als Ziel-IP aber weiterhin:
8.8.8.8
Merksatz:
Anderes Netz:
ARP sucht die MAC-Adresse des Gateways.
Standard-Gateway und ARP
Das Standard-Gateway ist der Router, über den ein Gerät andere Netzwerke erreicht.
Wenn ein Ziel nicht im eigenen Subnetz liegt, sendet der PC an das Standard-Gateway.
Dafür braucht der PC die MAC-Adresse des Gateways.
Diese wird per ARP ermittelt.
Beispiel:
Gateway-IP:
192.168.10.1
ARP fragt:
Wer hat 192.168.10.1?
Merksatz:
Für entfernte Ziele braucht der PC die MAC-Adresse des Gateways.
MAC-Adresse ändert sich pro Netzwerkabschnitt
Wenn Daten über Router übertragen werden, ändern sich die MAC-Adressen auf jedem lokalen Abschnitt.
Beispiel:
PC
→ Router
→ weiterer Router
→ Server
Auf jedem Abschnitt gibt es neue Ethernet-Frames mit neuen Quell- und Ziel-MAC-Adressen.
Die IP-Adressen bleiben grundsätzlich erhalten, außer bei NAT oder PAT.
Merksatz:
MAC-Adressen gelten nur lokal bis zum nächsten Router.
IP-Adresse bleibt grundsätzlich erhalten
Während sich die MAC-Adressen von Abschnitt zu Abschnitt ändern, bleibt die Ziel-IP-Adresse normalerweise gleich.
Beispiel:
PC möchte 8.8.8.8 erreichen.
Auf dem ersten Ethernet-Abschnitt gilt:
Ziel-MAC = Router
Ziel-IP = 8.8.8.8
Der Router entfernt den alten Ethernet-Frame und erstellt für den nächsten Abschnitt einen neuen Frame.
Die Ziel-IP bleibt dabei weiterhin 8.8.8.8.
Merksatz:
MAC ändert sich pro Hop.
IP bleibt grundsätzlich Ende-zu-Ende.
ARP-Tabelle
Ein Gerät speichert bekannte Zuordnungen von IP-Adresse zu MAC-Adresse in einer ARP-Tabelle.
Diese Tabelle wird auch genannt:
ARP-Cache
Beispiel:
IP-Adresse
MAC-Adresse
192.168.10.1
00:11:22:33:44:55
192.168.10.20
AA:BB:CC:11:22:33
Der Vorteil:
Das Gerät muss nicht vor jedem einzelnen Frame erneut eine ARP-Anfrage senden.
Merksatz:
ARP-Cache speichert IP-zu-MAC-Zuordnungen.
ARP-Cache ist zeitlich begrenzt
ARP-Einträge bleiben nicht dauerhaft gespeichert.
Nach einiger Zeit werden sie automatisch gelöscht oder erneuert.
Warum?
Geräte können ausgeschaltet werden.
Geräte können eine andere Netzwerkkarte nutzen.
IP-Adressen können neu vergeben werden.
Netzwerkstrukturen können sich ändern.
Merksatz:
ARP-Einträge altern und werden aktualisiert.
Statische und dynamische ARP-Einträge
ARP-Einträge können dynamisch oder statisch sein.
Art
Bedeutung
dynamischer ARP-Eintrag
automatisch durch ARP gelernt
statischer ARP-Eintrag
manuell fest eingetragen
In normalen Netzwerken werden meistens dynamische ARP-Einträge verwendet.
Statische Einträge sind Sonderfälle und können Wartung erschweren.
Merksatz:
ARP ist normalerweise dynamisch.
ARP und Switches
Ein Switch leitet ARP-Frames wie andere Ethernet-Frames weiter.
Wichtig:
Eine ARP-Anfrage ist ein Broadcast.
Der Switch verteilt sie innerhalb des VLANs.
Eine ARP-Antwort ist meistens Unicast.
Der Switch leitet sie gezielt weiter, wenn die Ziel-MAC bekannt ist.
Dabei lernt der Switch weiterhin MAC-Adressen über die Quell-MAC-Adresse eingehender Frames.
Merksatz:
ARP hilft Endgeräten,
Switches lernen trotzdem über Quell-MACs.
ARP und VLANs
ARP bleibt innerhalb einer Broadcast-Domäne.
Da ein VLAN normalerweise eine eigene Broadcast-Domäne bildet, bleibt eine ARP-Anfrage innerhalb dieses VLANs.
Beispiel:
ARP-Anfrage in VLAN 10
bleibt in VLAN 10.
Sie wird nicht automatisch in VLAN 20 weitergeleitet.
Merksatz:
ARP-Broadcasts bleiben im VLAN.
ARP und Router
Router leiten ARP-Broadcasts normalerweise nicht in andere Netze weiter.
Warum?
Broadcasts sollen auf das lokale Netz begrenzt bleiben.
Wenn ein Router ein IP-Paket weiterleitet, nutzt er auf dem nächsten Netzwerkabschnitt selbst wieder ARP, um die nächste lokale Ziel-MAC zu finden.
Merksatz:
Router trennen ARP-Broadcasts.
ARP und DHCP
ARP und DHCP sind unterschiedliche Protokolle.
DHCP dient dazu, IP-Konfiguration automatisch zu vergeben.
ARP dient dazu, zu einer IP-Adresse die passende MAC-Adresse im lokalen Netz zu finden.
Protokoll
Aufgabe
DHCP
IP-Adresse und Netzwerkkonfiguration vergeben
ARP
MAC-Adresse zu einer IP-Adresse finden
Beide nutzen Broadcasts im lokalen Netz.
Merksatz:
DHCP vergibt IP.
ARP findet MAC zu IP.
ARP und DNS
ARP und DNS werden häufig verwechselt, weil beide etwas „auflösen“.
Aber sie lösen unterschiedliche Dinge auf.
Protokoll
Auflösung
DNS
Name zu IP-Adresse
ARP
IP-Adresse zu MAC-Adresse
Beispiel:
DNS:
www.example.com → 93.184.216.34
ARP:
192.168.10.1 → 00:11:22:33:44:55
Merksatz:
DNS findet IP zu Name.
ARP findet MAC zu IP.
Ablauf: Webseite im Internet öffnen
Beispiel:
PC öffnet eine Webseite im Internet.
Vereinfacht passiert:
1. DNS löst den Namen zur IP-Adresse auf.
2. PC erkennt:
Ziel-IP liegt nicht im eigenen Subnetz.
3. PC braucht das Standard-Gateway.
4. PC sucht per ARP die MAC-Adresse des Gateways.
5. PC sendet Ethernet-Frame an die MAC-Adresse des Gateways.
6. Im IP-Paket steht die Ziel-IP des Webservers.
7. Router leitet das IP-Paket weiter.
Merksatz:
Zum Internetziel geht der erste Frame lokal an das Gateway.
Ablauf: Gerät im gleichen LAN erreichen
Beispiel:
PC A will PC B im gleichen Subnetz erreichen.
Vereinfacht passiert:
1. PC A prüft:
Ziel-IP liegt im eigenen Subnetz.
2. PC A sucht per ARP die MAC-Adresse von PC B.
3. PC B antwortet mit seiner MAC-Adresse.
4. PC A speichert die Zuordnung im ARP-Cache.
5. PC A sendet Ethernet-Frames direkt an die MAC-Adresse von PC B.
Merksatz:
Im gleichen Subnetz wird direkt an die Ziel-MAC gesendet.
Ablauf: Gerät in anderem VLAN erreichen
Beispiel:
PC in VLAN 10 will Server in VLAN 30 erreichen.
VLANs sind getrennte Broadcast-Domänen.
PC kann nicht direkt per ARP die MAC-Adresse des Servers in VLAN 30 ermitteln.
Stattdessen:
PC sendet an das Gateway von VLAN 10.
Das Gateway routet Richtung VLAN 30.
Dort wird für den nächsten lokalen Abschnitt wieder ARP verwendet.
Merksatz:
Zwischen VLANs braucht man Routing,
nicht direkte ARP-Auflösung zum Zielgerät.
Gratuitous ARP
Gratuitous ARP bedeutet:
Ein Gerät sendet eine ARP-Information über sich selbst,
ohne dass vorher jemand danach gefragt hat.
Mögliche Zwecke:
- ARP-Cache anderer Geräte aktualisieren
- IP-Adresskonflikte erkennen
- Failover-Szenarien unterstützen
- neue MAC-Zuordnung bekannt machen
Für AP1/AP2 reicht meist:
Gratuitous ARP informiert das lokale Netz über eine IP-MAC-Zuordnung.
Merksatz:
Gratuitous ARP = ARP-Information ohne direkte Anfrage.
ARP-Probe
Eine ARP-Probe kann verwendet werden, um zu prüfen, ob eine IP-Adresse bereits im lokalen Netz verwendet wird.
Beispiel:
Ein Gerät möchte eine IP-Adresse nutzen.
Vorher fragt es im Netz,
ob jemand diese IP-Adresse bereits verwendet.
Das hilft, IP-Adresskonflikte zu vermeiden.
Merksatz:
ARP kann helfen,
doppelte IP-Adressen zu erkennen.
IP-Adresskonflikt
Ein IP-Adresskonflikt entsteht, wenn zwei Geräte dieselbe IP-Adresse im gleichen Netz verwenden.
Mögliche Folgen:
- Verbindungsabbrüche
- wechselnde Erreichbarkeit
- ARP-Einträge ändern sich ständig
- falsches Gerät antwortet
- Netzwerkprobleme schwer nachvollziehbar
ARP kann Hinweise auf solche Konflikte liefern.
Merksatz:
Doppelte IP-Adressen können ARP-Probleme verursachen.
ARP-Spoofing
ARP-Spoofing ist ein Angriff auf ARP.
Dabei sendet ein Angreifer falsche ARP-Informationen ins Netzwerk.
Ziel:
Andere Geräte sollen eine falsche MAC-Adresse zu einer IP-Adresse speichern.
Beispiel:
Angreifer behauptet:
Ich bin das Gateway.
Dann senden Clients ihre Frames möglicherweise an den Angreifer.
Merksatz:
ARP-Spoofing = falsche IP-MAC-Zuordnung einschleusen.
ARP-Poisoning
ARP-Poisoning ist eng mit ARP-Spoofing verwandt.
Dabei wird der ARP-Cache anderer Geräte mit falschen Informationen „vergiftet“.
Mögliche Folgen:
- Man-in-the-Middle-Angriff
- Datenverkehr wird umgeleitet
- Verbindungsausfall
- Abhören oder Manipulation von Daten
Merksatz:
ARP-Poisoning manipuliert ARP-Caches.
Warum ist ARP angreifbar?
ARP wurde für lokale Netze entwickelt und vertraut Antworten im lokalen Netzwerk relativ stark.
Problem:
Geräte prüfen ARP-Antworten nicht immer ausreichend.
Auch ungefragte ARP-Informationen können übernommen werden.
Angreifer im lokalen Netz können falsche Zuordnungen senden.
Deshalb ist Netztrennung und Zugriffskontrolle wichtig.
Merksatz:
ARP ist im lokalen Netz nützlich,
aber nicht besonders stark gegen Manipulation geschützt.
Schutzmaßnahmen gegen ARP-Angriffe
Mögliche Schutzmaßnahmen:
- VLAN-Trennung
- 802.1X
- Port Security
- Dynamic ARP Inspection
- DHCP Snooping
- statische ARP-Einträge in Sonderfällen
- Monitoring
- sichere Switch-Konfiguration
- keine unnötigen Geräte im internen Netz
Für AP1/AP2 ist besonders wichtig:
ARP-Angriffe werden durch saubere Netztrennung und Switch-Sicherheitsfunktionen erschwert.
Merksatz:
ARP-Schutz beginnt mit sauberer Layer-2-Sicherheit.
Dynamic ARP Inspection
Dynamic ARP Inspection ist eine Switch-Sicherheitsfunktion.
Sie kann ARP-Nachrichten prüfen und gefälschte ARP-Informationen blockieren.
Häufig arbeitet sie zusammen mit DHCP Snooping.
Für AP1/AP2 reicht:
Dynamic ARP Inspection schützt vor gefälschten ARP-Antworten.
Merksatz:
Dynamic ARP Inspection prüft ARP auf dem Switch.
DHCP Snooping
DHCP Snooping ist eine Switch-Sicherheitsfunktion.
Sie unterscheidet vertrauenswürdige und nicht vertrauenswürdige Ports für DHCP.
Ziel:
unerlaubte DHCP-Server verhindern
und Informationen über IP-MAC-Zuordnungen sammeln
Diese Informationen können wiederum für Dynamic ARP Inspection genutzt werden.
Merksatz:
DHCP Snooping hilft gegen falsche DHCP-Server und unterstützt ARP-Schutz.
ARP und IPv6
ARP wird bei IPv4 verwendet.
Bei IPv6 wird ARP nicht mehr verwendet.
IPv6 nutzt stattdessen:
Neighbor Discovery Protocol
Abkürzung:
NDP
NDP übernimmt ähnliche Aufgaben in IPv6-Netzen.
Merksatz:
IPv4 nutzt ARP.
IPv6 nutzt NDP.
ARP in der Fehlersuche
ARP ist sehr hilfreich bei der Fehlersuche im lokalen Netzwerk.
Typische Prüffragen:
Gibt es einen ARP-Eintrag für das Gateway?
Stimmt die MAC-Adresse zum erwarteten Gerät?
Ändert sich ein ARP-Eintrag ständig?
Gibt es doppelte IP-Adressen?
Wird die MAC-Adresse des Ziels gelernt?
Liegt das Ziel im gleichen Subnetz?
Ist das richtige VLAN aktiv?
Merksatz:
ARP zeigt,
ob IP und MAC lokal zusammenfinden.
Typische ARP-Fehlerbilder
Fehlerbild
mögliche Ursache
kein ARP-Eintrag für Gateway
Gateway nicht erreichbar, falsches VLAN, Schicht-1-Problem
wechselnde MAC-Adresse zu einer IP
IP-Konflikt oder ARP-Spoofing
ARP klappt, aber Ping nicht
Firewall, ICMP blockiert, Routing oder Zielproblem
keine ARP-Antwort
Ziel aus, falsches VLAN, falsches Subnetz
falsche MAC im ARP-Cache
ARP-Spoofing oder veralteter Eintrag
Merksatz:
ARP-Fehler können auf VLAN-, IP- oder Sicherheitsprobleme hinweisen.
ARP-Cache anzeigen
Auf vielen Systemen kann man den ARP-Cache anzeigen.
Beispiele:
Windows:
arp -a
Linux:
ip neigh
macOS:
arp -a
Diese Befehle zeigen bekannte IP-MAC-Zuordnungen.
Wichtig:
Die genaue Ausgabe hängt vom Betriebssystem ab.
Merksatz:
ARP-Cache zeigt bekannte lokale IP-MAC-Zuordnungen.
ARP-Cache leeren
Manchmal kann es sinnvoll sein, alte ARP-Einträge zu entfernen.
Beispiele:
Gerät wurde ausgetauscht.
Gateway hat neue MAC-Adresse.
ARP-Eintrag ist veraltet.
IP-Konflikt wurde behoben.
Danach kann das Gerät die MAC-Adresse neu per ARP lernen.
Merksatz:
ARP-Cache leeren erzwingt neue ARP-Auflösung.
Einordnung in das OSI-Modell
ARP liegt zwischen Schicht 2 und Schicht 3.
Warum?
ARP fragt zu einer IP-Adresse die passende MAC-Adresse ab.
Thema
Schicht
MAC-Adresse
2
Ethernet-Frame
2
ARP-Nachricht im LAN
2 / 3-Bezug
IP-Adresse
3
Routing
3
TCP-Port
4
DNS
7
Prüfungstauglich:
ARP wird meist im Zusammenhang mit Schicht 2 und 3 betrachtet.
Merksatz:
ARP verbindet Schicht 3 mit Schicht 2.
Was ARP nicht macht
ARP macht nicht:
- DNS-Namen auflösen
- IP-Adressen vergeben
- zwischen VLANs routen
- TCP-Verbindungen aufbauen
- Internetseiten laden
- Firewall-Regeln prüfen
- Verschlüsselung bereitstellen
ARP hat eine sehr konkrete Aufgabe:
IP-Adresse zu MAC-Adresse im lokalen Netz auflösen.
Merksatz:
ARP ist keine Namensauflösung,
sondern Adressauflösung im LAN.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was bedeutet ARP?
- Welche Aufgabe hat ARP?
- Warum braucht man ARP?
- Was ist eine ARP-Anfrage?
- Warum ist die ARP-Anfrage ein Broadcast?
- Warum ist die ARP-Antwort meist ein Unicast?
- Was steht im ARP-Cache?
- Was passiert, wenn das Ziel in einem anderen Netz liegt?
- Welche MAC-Adresse wird verwendet, wenn das Ziel nicht im eigenen Subnetz liegt?
- Was ist der Unterschied zwischen ARP und DNS?
- Was ist der Unterschied zwischen ARP und DHCP?
- Was ist ARP-Spoofing?
- Warum verwendet IPv6 kein ARP?
Typische Prüfungsfallen
ARP findet MAC-Adresse zu IP-Adresse.
DNS findet IP-Adresse zu Name.
DHCP vergibt IP-Konfiguration.
ARP-Anfrage ist Broadcast.
ARP-Antwort ist meistens Unicast.
ARP funktioniert lokal innerhalb der Broadcast-Domäne.
ARP-Broadcasts werden normalerweise nicht über Router weitergeleitet.
Bei Ziel im gleichen Subnetz wird die MAC des Zielgeräts gesucht.
Bei Ziel in anderem Subnetz wird die MAC des Gateways gesucht.
MAC-Adresse ändert sich pro Netzwerkabschnitt.
IP-Adresse bleibt grundsätzlich über Router hinweg erhalten.
IPv4 nutzt ARP.
IPv6 nutzt NDP.
ARP kann durch Spoofing manipuliert werden.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
ARP
Address Resolution Protocol
ARP-Anfrage
Anfrage nach der MAC-Adresse zu einer IP-Adresse
ARP-Antwort
Antwort mit IP-MAC-Zuordnung
ARP-Cache
gespeicherte IP-MAC-Zuordnungen
Broadcast
Nachricht an alle Geräte im lokalen Netz
Unicast
Nachricht an ein bestimmtes Gerät
MAC-Adresse
lokale Hardwareadresse
IP-Adresse
logische Adresse auf Schicht 3
Standard-Gateway
Router ins andere Netz
Gratuitous ARP
ungefragte ARP-Information über eigene IP-MAC-Zuordnung
ARP-Probe
Prüfung, ob eine IP-Adresse bereits verwendet wird
IP-Adresskonflikt
zwei Geräte nutzen gleiche IP-Adresse
ARP-Spoofing
falsche ARP-Informationen senden
ARP-Poisoning
ARP-Cache mit falschen Informationen manipulieren
Dynamic ARP Inspection
Switch-Schutz gegen gefälschte ARP-Informationen
DHCP Snooping
Switch-Schutz gegen unerlaubte DHCP-Server
NDP
Neighbor Discovery Protocol bei IPv6
IHK-sichere Kurzformulierung
ARP steht für Address Resolution Protocol und wird in IPv4-Netzen verwendet, um zu einer bekannten IP-Adresse die passende MAC-Adresse im lokalen Netzwerk zu ermitteln. Eine ARP-Anfrage wird als Broadcast gesendet, weil die Ziel-MAC-Adresse noch unbekannt ist. Das Gerät mit der gesuchten IP-Adresse antwortet normalerweise per Unicast mit seiner MAC-Adresse. Wenn sich das Ziel im gleichen Subnetz befindet, wird die MAC-Adresse des Zielgeräts gesucht. Befindet sich das Ziel in einem anderen Netz, wird die MAC-Adresse des Standard-Gateways ermittelt. ARP arbeitet lokal innerhalb einer Broadcast-Domäne und verbindet die IP-Adressierung auf Schicht 3 mit der MAC-Adressierung auf Schicht 2.
Merksätze
ARP = Address Resolution Protocol.
ARP findet MAC-Adresse zu IP-Adresse.
ARP gehört zu IPv4.
IPv6 nutzt NDP statt ARP.
ARP verbindet Schicht 3 mit Schicht 2.
IP-Adresse = Schicht 3.
MAC-Adresse = Schicht 2.
ARP-Anfrage = Broadcast.
ARP-Antwort = meistens Unicast.
Broadcast-MAC = FF:FF:FF:FF:FF:FF.
ARP bleibt im lokalen Netz.
Router leiten ARP-Broadcasts nicht weiter.
Gleiches Subnetz:
ARP sucht Ziel-MAC.
Anderes Subnetz:
ARP sucht Gateway-MAC.
MAC-Adresse ändert sich pro Netzwerkabschnitt.
IP-Adresse bleibt grundsätzlich erhalten.
ARP-Cache speichert IP-MAC-Zuordnungen.
DNS ist nicht ARP.
DHCP ist nicht ARP.
ARP-Spoofing manipuliert IP-MAC-Zuordnungen.
Erst ARP verstehen,
dann Switching und Routing wirklich verstehen.
5.6 STP, Schleifen und Broadcast-Stürme
Auf OSI-Schicht 2 können Schleifen besonders gefährlich sein.
Eine Schleife entsteht, wenn es in einem Switch-Netz mehrere aktive Wege gibt, über die Frames endlos im Kreis laufen können.
Das kann dazu führen, dass ein Netzwerk sehr schnell überlastet wird.
Merksatz:
Layer-2-Schleifen können ein Netzwerk lahmlegen.
Warum sind Schleifen auf Schicht 2 gefährlich?
Auf Schicht 3 gibt es bei IP-Paketen ein Feld, das die Lebensdauer begrenzt.
Dieses Feld heißt:
TTL
TTL steht für:
Time To Live
Bei Ethernet-Frames auf Schicht 2 gibt es so eine Begrenzung nicht in gleicher Weise.
Das bedeutet:
Ein Frame kann bei einer Schleife immer wieder weitergeleitet werden.
Dadurch kann ein Netzwerk überlastet werden.
Merksatz:
Ethernet-Frames haben keine TTL wie IP-Pakete.
Begriff: Schleife
Eine Schleife im Netzwerk bedeutet:
Es gibt einen Kreisweg,
über den Frames immer wieder weitergeleitet werden können.
Beispiel:
Switch A
→ Switch B
→ Switch C
→ zurück zu Switch A
Wenn alle Verbindungen aktiv sind und keine Schutzmechanismen greifen, können Frames im Kreis laufen.
Merksatz:
Schleife = Frames können im Kreis laufen.
Wie entsteht eine Layer-2-Schleife?
Eine Schleife kann entstehen durch:
- doppelte Switch-Verbindungen
- falsch gesteckte Kabel
- redundante Leitungen ohne STP
- falsch konfigurierte Switches
- falsche Trunk-Konfiguration
- versehentlich verbundenes Patchkabel
- mehrere Wege zwischen denselben Switches
Beispiel:
Ein Mitarbeiter steckt versehentlich zwei Netzwerkdosen mit einem Patchkabel zusammen.
Oder:
Zwei Switches werden mehrfach verbunden,
ohne dass STP aktiv ist.
Merksatz:
Schleifen entstehen oft durch redundante oder falsch gesteckte Verbindungen.
Warum baut man überhaupt redundante Verbindungen?
Redundanz bedeutet:
Es gibt einen zusätzlichen Ersatzweg.
Das ist grundsätzlich sinnvoll.
Wenn eine Verbindung ausfällt, kann eine andere Verbindung übernehmen.
Beispiel:
Switch A ist über zwei Wege mit Switch B verbunden.
Vorteil:
höhere Ausfallsicherheit
Problem:
Ohne Schutzmechanismus kann daraus eine Schleife entstehen.
Merksatz:
Redundanz ist gut,
aber auf Schicht 2 muss sie kontrolliert werden.
Folgen einer Layer-2-Schleife
Eine Layer-2-Schleife kann schwere Folgen haben.
Typische Auswirkungen:
- Broadcast-Sturm
- sehr hohe Switch-Last
- volle Netzwerkbandbreite
- instabile MAC-Adresstabelle
- Paketverluste
- hohe Latenz
- Verbindungsabbrüche
- Netzwerk kaum noch nutzbar
- Dienste nicht erreichbar
Merksatz:
Eine kleine Schleife kann ein ganzes LAN stören.
Broadcast-Sturm
Ein Broadcast-Sturm entsteht, wenn sehr viele Broadcast-Frames im Netzwerk unterwegs sind.
Bei einer Schleife können Broadcasts immer wieder weitergeleitet werden.
Da Broadcasts an alle Ports im VLAN gesendet werden, vervielfachen sie sich sehr schnell.
Typische Broadcasts sind zum Beispiel:
- ARP-Anfragen
- DHCP-Anfragen
- bestimmte lokale Suchdienste
Merksatz:
Broadcast-Sturm = zu viele Broadcasts im lokalen Netz.
Warum vervielfachen sich Broadcasts?
Ein Switch leitet Broadcasts innerhalb eines VLANs an alle passenden Ports weiter.
Wenn eine Schleife vorhanden ist, kann derselbe Broadcast über mehrere Wege zurückkommen.
Dann wird er erneut verteilt.
Das kann sich schnell aufschaukeln.
Vereinfacht:
Broadcast kommt rein.
Switch verteilt ihn.
Broadcast kommt über anderen Weg zurück.
Switch verteilt ihn wieder.
Merksatz:
In einer Schleife können Broadcasts immer wieder neu verteilt werden.
Unicast-Flooding durch Schleifen
Nicht nur Broadcasts können problematisch sein.
Auch unbekannte Unicast-Frames können geflutet werden.
Unbekannter Unicast bedeutet:
Ziel-MAC ist dem Switch nicht bekannt.
Dann sendet der Switch den Frame an mehrere Ports.
Wenn zusätzlich eine Schleife besteht, kann auch dieser Verkehr stark zunehmen.
Merksatz:
Schleifen verstärken Broadcasts und unbekannten Unicast-Verkehr.
MAC-Adresstabelle wird instabil
Switches lernen MAC-Adressen über die Quell-MAC-Adresse eingehender Frames.
Bei einer Schleife kann derselbe Frame über verschiedene Ports wieder auftauchen.
Dadurch kann der Switch glauben:
dieselbe MAC-Adresse ist plötzlich an einem anderen Port erreichbar.
Die MAC-Adresse „wandert“ dann ständig in der Tabelle.
Das nennt man häufig:
MAC Flapping
Merksatz:
MAC Flapping = dieselbe MAC-Adresse erscheint ständig an wechselnden Ports.
Begriff: MAC Flapping
MAC Flapping bedeutet:
Eine MAC-Adresse wird vom Switch immer wieder an unterschiedlichen Ports gelernt.
Mögliche Ursachen:
- Layer-2-Schleife
- falsch verkabelte Switches
- fehlerhafte Redundanz
- falsch konfigurierte Link Aggregation
- virtuelle Systeme mit wechselnden Pfaden
In vielen Fällen ist MAC Flapping ein ernstes Warnsignal.
Merksatz:
MAC Flapping kann auf eine Schleife hinweisen.
STP
STP steht für:
Spanning Tree Protocol
STP ist ein Protokoll, das Schleifen in Layer-2-Netzen verhindern soll.
Die Grundidee:
Es darf nur ein schleifenfreier aktiver Pfad bestehen.
Redundante Pfade werden nicht entfernt, sondern blockiert.
Wenn eine aktive Verbindung ausfällt, kann ein blockierter Ersatzweg freigeschaltet werden.
Merksatz:
STP verhindert Layer-2-Schleifen.
Warum heißt es Spanning Tree?
Spanning Tree bedeutet sinngemäß:
aufspannender Baum
Ein Baum hat in der Netzwerktopologie keine Schleifen.
STP berechnet aus einem vermaschten Switch-Netz eine schleifenfreie Baumstruktur.
Vereinfacht:
Viele mögliche Wege
werden auf
einen schleifenfreien aktiven Weg reduziert.
Merksatz:
STP macht aus einem vermaschten Netz einen schleifenfreien Baum.
Grundprinzip von STP
STP arbeitet vereinfacht so:
1. Switches tauschen STP-Informationen aus.
2. Eine Root Bridge wird bestimmt.
3. Jeder Switch berechnet seinen besten Weg zur Root Bridge.
4. Bestimmte Ports bleiben aktiv.
5. Andere Ports werden blockiert, um Schleifen zu verhindern.
Merksatz:
STP entscheidet,
welche Ports weiterleiten und welche blockieren.
Root Bridge
Die Root Bridge ist der zentrale Bezugspunkt im STP-Netz.
Alle Switches berechnen ihre Wege zur Root Bridge.
Die Root Bridge wird anhand einer Priorität und der Bridge-ID bestimmt.
In der Praxis sollte man die Root Bridge gezielt planen.
Warum?
Sonst kann ein ungeeigneter Switch Root Bridge werden.
Merksatz:
Root Bridge = zentraler Bezugspunkt für STP.
Bridge-ID
Die Bridge-ID dient zur Auswahl der Root Bridge.
Sie besteht vereinfacht aus:
- Bridge-Priorität
- MAC-Adresse des Switches
Der Switch mit der niedrigsten Bridge-ID wird Root Bridge.
Wenn die Priorität gleich ist, entscheidet die MAC-Adresse.
Merksatz:
Niedrigste Bridge-ID gewinnt die Root-Bridge-Wahl.
STP-Priorität
Die STP-Priorität beeinflusst, welcher Switch Root Bridge wird.
Ein niedrigerer Prioritätswert ist besser.
Beispiel:
Switch A Priorität 4096
Switch B Priorität 32768
Switch A hat die bessere Priorität und wird eher Root Bridge.
Merksatz:
Niedrigere STP-Priorität = bevorzugte Root Bridge.
BPDU
BPDU steht für:
Bridge Protocol Data Unit
BPDUs sind STP-Nachrichten zwischen Switches.
Über BPDUs tauschen Switches Informationen aus, zum Beispiel:
- Bridge-ID
- Root-Bridge-Information
- Pfadkosten
- Portinformationen
Merksatz:
BPDU = STP-Nachricht zwischen Switches.
Root Port
Ein Root Port ist der Port eines Switches mit dem besten Weg zur Root Bridge.
Jeder Nicht-Root-Switch hat normalerweise genau einen Root Port.
Dieser Port zeigt aus Sicht des Switches in Richtung Root Bridge.
Merksatz:
Root Port = bester Weg zur Root Bridge.
Designated Port
Ein Designated Port ist ein Port, der in einem Netzwerksegment Frames weiterleiten darf.
Für jedes Segment wird ein Port ausgewählt, der den Verkehr Richtung Root Bridge beziehungsweise in das Segment weiterleitet.
Merksatz:
Designated Port = aktiver Weiterleitungsport für ein Segment.
Blocked Port
Ein Blocked Port ist ein Port, der durch STP blockiert wird, um eine Schleife zu verhindern.
Ein blockierter Port leitet keine normalen Datenframes weiter.
Er kann aber weiterhin STP-Informationen empfangen.
Wenn eine aktive Verbindung ausfällt, kann ein blockierter Port später aktiv werden.
Merksatz:
Blocked Port = verhindert Schleifen.
STP-Portrollen kurz zusammengefasst
Rolle
Bedeutung
Root Port
bester Weg zur Root Bridge
Designated Port
aktiver Port für ein Segment
Blocked Port
blockierter Port zur Schleifenvermeidung
Merksatz:
Root und Designated leiten weiter.
Blocked verhindert Schleifen.
STP-Portzustände
Klassisches STP kennt verschiedene Portzustände.
Wichtige Zustände sind:
Zustand
Bedeutung
Blocking
keine Nutzdatenweiterleitung
Listening
hört STP-Informationen
Learning
lernt MAC-Adressen
Forwarding
leitet Frames weiter
Disabled
administrativ oder technisch deaktiviert
Für die Prüfung reicht oft:
Forwarding = leitet Frames.
Blocking = blockiert zur Schleifenvermeidung.
Merksatz:
STP-Ports leiten nicht sofort weiter,
sondern durchlaufen Zustände.
RSTP
RSTP steht für:
Rapid Spanning Tree Protocol
RSTP ist eine schnellere Weiterentwicklung von STP.
Es reagiert schneller auf Änderungen im Netzwerk.
Technische Bezeichnung:
IEEE 802.1w
Vorteil:
schnellere Umschaltung bei Ausfall einer Verbindung
Merksatz:
RSTP = schnelleres STP.
MSTP
MSTP steht für:
Multiple Spanning Tree Protocol
MSTP ermöglicht mehrere Spanning-Tree-Instanzen.
Das ist besonders nützlich bei VLANs.
Technische Bezeichnung:
IEEE 802.1s
Für AP1/AP2 reicht meistens:
MSTP ist eine Erweiterung für mehrere VLAN- oder Instanz-Bereiche.
Merksatz:
MSTP = mehrere Spanning Trees für größere VLAN-Umgebungen.
STP, RSTP und MSTP im Vergleich
Protokoll
Bedeutung
Grundidee
STP
Spanning Tree Protocol
Schleifen verhindern
RSTP
Rapid Spanning Tree Protocol
schneller reagieren
MSTP
Multiple Spanning Tree Protocol
mehrere Instanzen unterstützen
Merksatz:
STP verhindert Schleifen.
RSTP ist schneller.
MSTP ist flexibler für VLAN-Umgebungen.
STP und Redundanz
STP ermöglicht Redundanz ohne Schleifen.
Beispiel:
Switch A ist über zwei Wege mit Switch B verbunden.
STP blockiert einen Weg.
Wenn der aktive Weg ausfällt, kann STP den blockierten Weg aktivieren.
Vorteil:
Ausfallsicherheit
Nachteil:
nicht alle redundanten Wege werden gleichzeitig genutzt
Merksatz:
STP blockiert Reservewege,
bis sie gebraucht werden.
STP und Link Aggregation unterscheiden
STP und Link Aggregation werden manchmal verwechselt.
Link Aggregation bündelt mehrere physische Verbindungen zu einer logischen Verbindung.
STP blockiert dagegen redundante Schleifenwege.
Technik
Aufgabe
STP
Schleifen verhindern
Link Aggregation
mehrere Links logisch bündeln
Wichtig:
Werden mehrere Kabel zwischen zwei Switches genutzt,
sollte klar sein,
ob sie als Link Aggregation konfiguriert sind
oder ob STP eingreifen muss.
Merksatz:
Link Aggregation bündelt.
STP blockiert Schleifen.
Link Aggregation kurz erklärt
Link Aggregation bedeutet:
mehrere physische Verbindungen werden zu einer logischen Verbindung zusammengefasst.
Vorteile:
- mehr Gesamtkapazität
- Redundanz
- weniger STP-Blockierung zwischen denselben Geräten
Häufige Begriffe:
- LAG
- Port Channel
- EtherChannel
- Bündelung
Merksatz:
Link Aggregation = mehrere Kabel als ein logischer Link.
LACP
LACP steht für:
Link Aggregation Control Protocol
LACP ist ein Protokoll zur automatischen Aushandlung von Link Aggregation.
Technische Bezeichnung:
IEEE 802.3ad
Für AP1/AP2 reicht:
LACP hilft,
mehrere physische Links zu einem logischen Link zusammenzufassen.
Merksatz:
LACP = Protokoll für Link Aggregation.
STP und VLANs
STP wirkt in Layer-2-Netzen und hängt oft mit VLANs zusammen.
Je nach Switch-System gibt es verschiedene Varianten:
ein Spanning Tree für alle VLANs
oder mehrere Instanzen für verschiedene VLANs
Wichtig für die Prüfung:
VLANs trennen Broadcast-Domänen.
STP verhindert Schleifen innerhalb der Layer-2-Struktur.
Merksatz:
VLAN trennt logisch.
STP verhindert Schleifen.
Broadcast-Sturm erkennen
Typische Hinweise auf einen Broadcast-Sturm:
- Netzwerk extrem langsam
- Switch-LEDs blinken ungewöhnlich stark
- hohe Auslastung auf vielen Ports
- Geräte verlieren Verbindung
- viele Broadcasts im Mitschnitt
- CPU-Last auf Switches steigt
- MAC-Adressen wechseln ständig Ports
- DHCP oder ARP funktioniert unzuverlässig
Merksatz:
Broadcast-Sturm zeigt sich oft als plötzliches Netzwerkausfall-Problem.
Layer-2-Schleife erkennen
Hinweise auf eine Layer-2-Schleife:
- MAC Flapping
- Broadcast-Sturm
- hohe Switch-Auslastung
- Ports laufen voll
- Netzwerk bricht plötzlich ein
- STP-Logs zeigen Änderungen
- gleiche MAC-Adresse an mehreren Ports
- nach Entfernen eines Kabels stabilisiert sich das Netz
Merksatz:
MAC Flapping und Broadcast-Sturm sind starke Schleifen-Hinweise.
Fehlersuche bei Layer-2-Schleifen
Sinnvolle Schritte:
1. Symptome prüfen:
Broadcast-Sturm, MAC Flapping, hohe Last
2. Switch-Logs prüfen:
STP-Meldungen, Port-Changes
3. Topologie prüfen:
Welche Switches sind mehrfach verbunden?
4. Kabelwege prüfen:
versehentliche Schleifen suchen
5. STP-Status prüfen:
Root Bridge, blockierte Ports
6. Testweise verdächtige Verbindung trennen
7. Ursache sauber dokumentieren und korrigieren
Merksatz:
Bei Schleifenproblemen Topologie und STP prüfen.
Typische Ursachen in der Praxis
Häufige Praxisursachen:
- jemand steckt beide Enden eines Patchkabels in zwei Netzwerkdosen
- zwei kleine Switches werden mehrfach miteinander verbunden
- unmanaged Switch ohne STP wird angeschlossen
- Access Point oder Bridge ist falsch verkabelt
- Trunk-Ports sind falsch konfiguriert
- Link Aggregation wurde nicht korrekt eingerichtet
- STP wurde deaktiviert
- Root Bridge ist ungünstig gewählt
Merksatz:
Kleine Verkabelungsfehler können große Layer-2-Probleme auslösen.
Unmanaged Switches und STP
Ein unmanaged Switch hat oft keine oder nur sehr eingeschränkte Konfigurationsmöglichkeiten.
Problem:
STP ist eventuell nicht vorhanden
oder nicht kontrollierbar.
Wenn ein unmanaged Switch falsch angeschlossen wird, kann er Schleifen verursachen.
In professionellen Netzen sollte man daher vorsichtig sein, wenn zusätzliche kleine Switches angeschlossen werden.
Merksatz:
Unmanaged Switches können in Firmen-LANs ein Risiko sein.
BPDU Guard
BPDU Guard ist eine Schutzfunktion auf Switches.
Sie kann Ports deaktivieren, wenn dort unerwartet STP-BPDUs empfangen werden.
Typischer Einsatz:
Access-Ports für Endgeräte
Warum?
An einem normalen PC-Port sollte normalerweise kein weiterer Switch hängen.
Wenn dort BPDUs auftauchen, könnte ein nicht autorisierter Switch angeschlossen worden sein.
Merksatz:
BPDU Guard schützt Access-Ports vor unerwarteten Switch-Verbindungen.
Root Guard
Root Guard verhindert, dass ein unerwünschter Switch Root Bridge wird.
Das ist wichtig, damit die geplante STP-Topologie erhalten bleibt.
Typischer Einsatz:
Ports zu weniger vertrauenswürdigen Switches oder Bereichen
Merksatz:
Root Guard schützt die geplante Root Bridge.
Storm Control
Storm Control ist eine Schutzfunktion gegen übermäßigen Broadcast-, Multicast- oder Unicast-Verkehr.
Ein Switch kann begrenzen, wie viel solcher Verkehr pro Port erlaubt ist.
Wenn ein Grenzwert überschritten wird, kann der Switch reagieren.
Mögliche Reaktionen:
- Verkehr begrenzen
- Frames verwerfen
- Port sperren
- Ereignis protokollieren
Merksatz:
Storm Control begrenzt übermäßigen Layer-2-Verkehr.
Schutzmaßnahmen gegen Layer-2-Schleifen
Sinnvolle Maßnahmen:
- STP oder RSTP aktivieren
- Root Bridge gezielt planen
- BPDU Guard auf Access-Ports nutzen
- Root Guard an passenden Stellen nutzen
- Storm Control konfigurieren
- Link Aggregation korrekt einrichten
- unmanaged Switches vermeiden oder kontrollieren
- Netzwerkdosen dokumentieren
- Ports für Endgeräte klar konfigurieren
- Monitoring und Logs prüfen
Merksatz:
Schleifenschutz besteht aus STP, sauberer Konfiguration und Kontrolle.
STP und Fehlersuche nicht verwechseln
Wenn ein Port durch STP blockiert wird, ist das nicht automatisch ein Fehler.
Es kann genau das gewünschte Verhalten sein.
STP blockiert Ports, um Schleifen zu verhindern.
Problematisch ist es erst, wenn:
ein wichtiger Weg unerwartet blockiert wird
oder
STP falsch geplant ist
oder
eine Schleife nicht verhindert wird.
Merksatz:
STP-Blocking kann normal und gewollt sein.
Einordnung in das OSI-Modell
Thema
Schicht
Ethernet-Frame
2
Switch
2
MAC-Adresse
2
VLAN
2
Broadcast-Domäne
2
STP
2
RSTP
2
LACP / Link Aggregation
2
IP-Adresse
3
Routing
3
TTL
3
Merksatz:
STP schützt Layer 2.
TTL gehört zu Layer 3.
Was STP nicht macht
STP macht nicht:
- IP-Routing
- Firewall-Regeln
- VLAN-Erstellung
- DHCP-Vergabe
- DNS-Auflösung
- Verschlüsselung
- Benutzerverwaltung
- Anwendungsschutz
STP hat eine klare Aufgabe:
Schleifen auf Schicht 2 verhindern.
Merksatz:
STP ist Schleifenschutz,
kein Routing- oder Sicherheitskonzept für alles.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Warum sind Schleifen auf Schicht 2 gefährlich?
- Was ist ein Broadcast-Sturm?
- Warum gibt es bei Ethernet-Frames keine TTL wie bei IP?
- Was bedeutet STP?
- Welche Aufgabe hat STP?
- Was ist eine Root Bridge?
- Was ist eine BPDU?
- Was ist ein Root Port?
- Was ist ein Designated Port?
- Was ist ein blockierter Port?
- Was ist RSTP?
- Was ist der Unterschied zwischen STP und Link Aggregation?
- Was ist MAC Flapping?
- Welche Schutzmaßnahmen gibt es gegen Layer-2-Schleifen?
Typische Prüfungsfallen
Layer-2-Schleifen sind gefährlich,
weil Frames im Kreis laufen können.
Ethernet-Frames haben keine TTL wie IP-Pakete.
Broadcasts können sich bei Schleifen stark vervielfachen.
STP verhindert Schleifen.
STP entfernt keine Kabel,
sondern blockiert Ports logisch.
Root Bridge ist der zentrale Bezugspunkt für STP.
Niedrigste Bridge-ID gewinnt die Root-Bridge-Wahl.
BPDU = STP-Nachricht.
RSTP ist schneller als klassisches STP.
Link Aggregation ist nicht dasselbe wie STP.
MAC Flapping kann auf eine Schleife hinweisen.
Ein blockierter STP-Port ist nicht automatisch ein Fehler.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Layer-2-Schleife
Kreis im Switch-Netz, über den Frames immer wieder laufen
Broadcast-Sturm
sehr viele Broadcasts überlasten das Netz
MAC Flapping
MAC-Adresse erscheint ständig an unterschiedlichen Ports
STP
Spanning Tree Protocol, verhindert Schleifen
Root Bridge
zentraler Bezugspunkt im STP
Bridge-ID
Kennung zur Wahl der Root Bridge
STP-Priorität
Wert zur Beeinflussung der Root-Bridge-Wahl
BPDU
Bridge Protocol Data Unit, STP-Nachricht
Root Port
bester Port Richtung Root Bridge
Designated Port
aktiver Port für ein Segment
Blocked Port
blockierter Port zur Schleifenvermeidung
RSTP
Rapid Spanning Tree Protocol
MSTP
Multiple Spanning Tree Protocol
Link Aggregation
mehrere physische Links als ein logischer Link
LACP
Protokoll für Link Aggregation
BPDU Guard
Schutz vor unerwarteten BPDUs auf Access-Ports
Root Guard
Schutz der geplanten Root Bridge
Storm Control
Begrenzung übermäßigen Layer-2-Verkehrs
IHK-sichere Kurzformulierung
Layer-2-Schleifen entstehen, wenn es in einem Switch-Netz mehrere aktive Kreiswege gibt, über die Ethernet-Frames endlos weitergeleitet werden können. Da Ethernet-Frames keine TTL wie IP-Pakete besitzen, können sich Broadcasts und unbekannte Unicast-Frames stark vervielfachen. Die Folge kann ein Broadcast-Sturm mit hoher Netzwerklast und Verbindungsproblemen sein. STP, das Spanning Tree Protocol, verhindert solche Schleifen, indem es eine schleifenfreie Baumstruktur berechnet und redundante Ports logisch blockiert. RSTP ist eine schnellere Weiterentwicklung von STP. Link Aggregation ist davon zu unterscheiden, da sie mehrere physische Verbindungen zu einer logischen Verbindung bündelt.
Merksätze
Layer-2-Schleifen sind gefährlich.
Ethernet-Frames haben keine TTL.
Broadcast-Sturm = zu viele Broadcasts.
Schleifen können ein LAN lahmlegen.
MAC Flapping kann auf Schleifen hinweisen.
STP = Spanning Tree Protocol.
STP verhindert Layer-2-Schleifen.
STP blockiert Ports logisch.
Root Bridge = zentraler Bezugspunkt.
Niedrigste Bridge-ID gewinnt.
BPDU = STP-Nachricht.
Root Port = bester Weg zur Root Bridge.
Designated Port = aktiver Port im Segment.
Blocked Port = blockiert zur Schleifenvermeidung.
RSTP = schnelleres STP.
MSTP = mehrere Spanning-Tree-Instanzen.
Link Aggregation ist nicht STP.
LACP bündelt mehrere Links.
BPDU Guard schützt Access-Ports.
Root Guard schützt die Root-Bridge-Planung.
Storm Control begrenzt übermäßigen Verkehr.
STP-Blocking ist nicht automatisch ein Fehler.
5.7 Fehlersuche auf Schicht 2
Fehler auf OSI-Schicht 2 betreffen die lokale Datenübertragung im Netzwerk.
Dabei geht es vor allem um:
- Ethernet-Frames
- MAC-Adressen
- Switches
- VLANs
- Access-Ports
- Trunk-Ports
- ARP
- Broadcasts
- STP
- Layer-2-Schleifen
Schicht 2 liegt zwischen der physischen Verbindung auf Schicht 1 und der IP-Kommunikation auf Schicht 3.
Merksatz:
Schicht 2 = lokale Übertragung mit Frames, MAC-Adressen und VLANs.
Grundidee der Schicht-2-Fehlersuche
Bei der Fehlersuche auf Schicht 2 prüft man, ob Frames im lokalen Netzwerk korrekt weitergeleitet werden.
Typische Fragen:
Wird die MAC-Adresse gelernt?
Ist das richtige VLAN aktiv?
Ist der Switch-Port korrekt konfiguriert?
Ist der Port Access oder Trunk?
Wird das VLAN über den Trunk transportiert?
Gibt es Schleifen?
Gibt es Broadcast-Stürme?
Funktioniert ARP?
Blockiert STP einen Port?
Merksatz:
Auf Schicht 2 prüft man lokale Weiterleitung,
MAC-Adressen und VLANs.
Reihenfolge bei der Fehlersuche
Eine sinnvolle Reihenfolge ist:
1. Schicht 1 prüfen:
Link, Kabel, Port, Signal
2. Schicht 2 prüfen:
MAC-Adresse, VLAN, Switch-Port, ARP, STP
3. Schicht 3 prüfen:
IP-Adresse, Subnetzmaske, Gateway, Routing
4. höhere Schichten prüfen:
DNS, TCP/UDP-Port, Anwendung
Wichtig:
Wenn Schicht 1 nicht funktioniert,
kann Schicht 2 nicht zuverlässig funktionieren.
Merksatz:
Erst Link,
dann MAC/VLAN,
dann IP.
Typische Schicht-2-Fehler
Typische Fehler auf Schicht 2 sind:
- falsches VLAN
- Port im falschen Modus
- Access-Port statt Trunk
- Trunk statt Access-Port
- VLAN auf Trunk nicht erlaubt
- falsches Native VLAN
- MAC-Adresse wird nicht gelernt
- MAC-Adresse erscheint auf falschem Port
- MAC Flapping
- Broadcast-Sturm
- Layer-2-Schleife
- STP blockiert unerwartet
- ARP funktioniert nicht
- doppelte MAC-Adresse
- Port Security blockiert Gerät
Merksatz:
Schicht-2-Fehler betreffen Frames,
MACs,
VLANs
und Switch-Weiterleitung.
Fehlerbild: MAC-Adresse wird nicht gelernt
Ein Switch lernt MAC-Adressen über die Quell-MAC-Adresse eingehender Frames.
Wenn eine MAC-Adresse nicht gelernt wird, kann der Switch das Gerät nicht korrekt in seiner MAC-Adresstabelle eintragen.
Mögliche Ursachen:
- Gerät sendet keine Frames
- Gerät ist ausgeschaltet
- falscher Switch-Port
- Port deaktiviert
- Link ist nicht aktiv
- falsches VLAN
- Port Security blockiert
- Netzwerkkarte deaktiviert
- Kabelproblem auf Schicht 1
Merksatz:
Keine gelernte MAC-Adresse kann Schicht 1 oder Schicht 2 betreffen.
Fehlerbild: MAC-Adresse auf falschem Port
Ein Switch kann eine MAC-Adresse an einem Port lernen, an dem man sie nicht erwartet.
Mögliche Ursachen:
- Gerät wurde umgesteckt
- Dokumentation ist veraltet
- Patchfeld falsch gepatcht
- Gerät hängt hinter einem anderen Switch
- virtuelle Maschine nutzt diese MAC-Adresse
- falsche Verkabelung
- Layer-2-Schleife
Merksatz:
Unerwartete MAC-Port-Zuordnung kann auf falsche Patchung oder Topologieprobleme hinweisen.
Fehlerbild: MAC Flapping
MAC Flapping bedeutet:
dieselbe MAC-Adresse wird ständig an unterschiedlichen Switch-Ports gelernt.
Das ist ein Warnsignal.
Mögliche Ursachen:
- Layer-2-Schleife
- falsch konfigurierte Link Aggregation
- Gerät ist über mehrere Wege angeschlossen
- virtuelle Umgebung sendet über wechselnde Ports
- falsche Switch-Verkabelung
- redundante Links ohne funktionierendes STP
Merksatz:
MAC Flapping kann auf eine Layer-2-Schleife hinweisen.
Fehlerbild: Falsches VLAN
Ein Gerät kann physisch korrekt verbunden sein, sich aber logisch im falschen Netz befinden.
Beispiel:
PC soll in VLAN 10 sein.
Switch-Port ist aber in VLAN 20.
Mögliche Folgen:
- falsche IP-Adresse
- keine IP-Adresse
- falsches Gateway
- Server nicht erreichbar
- Drucker nicht erreichbar
- Internet funktioniert nicht
- Zugriff auf falsche Netzwerkressourcen
Merksatz:
Falsches VLAN kann wie ein IP-Problem aussehen.
Fehlerbild: Client bekommt keine IP-Adresse
Wenn ein Client keine IP-Adresse erhält, denkt man oft zuerst an DHCP.
Die Ursache kann aber auf Schicht 2 liegen.
Mögliche Ursachen:
- Port im falschen VLAN
- VLAN auf Trunk nicht erlaubt
- DHCP-Server nicht im VLAN erreichbar
- DHCP-Relay fehlt
- Access-Port falsch konfiguriert
- Trunk zum Router oder zur Firewall falsch
- STP blockiert den Pfad
- Port Security blockiert Frames
Merksatz:
DHCP-Probleme können durch VLAN-Fehler entstehen.
Fehlerbild: Client bekommt falsche IP-Adresse
Wenn ein Client eine IP-Adresse aus dem falschen Netz bekommt, ist häufig das VLAN falsch.
Beispiel:
Erwartet:
VLAN 10
192.168.10.0/24
Tatsächlich:
VLAN 20
192.168.20.0/24
Mögliche Ursachen:
- Switch-Port im falschen VLAN
- falsche SSID-VLAN-Zuordnung
- Trunk falsch konfiguriert
- falsches Native VLAN
- falscher DHCP-Bereich
Merksatz:
Falsche IP-Adresse kann falsche VLAN-Zuordnung bedeuten.
Fehlerbild: Trunk transportiert VLAN nicht
Ein Trunk-Port soll mehrere VLANs transportieren.
Wenn ein VLAN über den Trunk nicht funktioniert, können Geräte in diesem VLAN nicht kommunizieren.
Mögliche Ursachen:
- VLAN ist auf dem Trunk nicht erlaubt
- VLAN existiert auf einem Switch nicht
- Gegenstelle ist kein Trunk
- Native VLAN passt nicht
- Tagging stimmt nicht
- STP blockiert für dieses VLAN
- falsche Port-Konfiguration
Merksatz:
Trunk-Fehler betreffen oft mehrere Geräte oder ganze VLANs.
Fehlerbild: Access-Port statt Trunk
Ein Port ist als Access-Port konfiguriert, obwohl mehrere VLANs darüber laufen sollen.
Typisches Beispiel:
Access Point mit mehreren SSIDs
soll VLAN 10, 20 und 30 nutzen.
Der Switch-Port ist aber nur Access-Port in VLAN 10.
Folge:
Nur ein VLAN funktioniert.
Andere SSIDs bekommen keine passende Verbindung.
Merksatz:
Mehrere VLANs brauchen normalerweise einen Trunk.
Fehlerbild: Trunk statt Access-Port
Ein Port ist als Trunk konfiguriert, obwohl ein normales Endgerät angeschlossen ist.
Mögliche Folgen:
- Endgerät versteht VLAN-Tags nicht
- Gerät landet im falschen VLAN
- Sicherheitsrisiko
- unerwartetes Netzwerkverhalten
- DHCP-Probleme
Typische Endgeräte an Access-Ports:
- PC
- Drucker
- Kamera
- einzelnes Telefon
- einfaches Endgerät
Merksatz:
Normale Endgeräte gehören meistens an Access-Ports.
Fehlerbild: Falsches Native VLAN
Bei Trunk-Ports kann ein Native VLAN für untagged Frames verwendet werden.
Wenn das Native VLAN auf beiden Seiten unterschiedlich ist, kann es zu Problemen kommen.
Mögliche Folgen:
- Frames landen im falschen VLAN
- Sicherheitsproblem
- Verbindungsprobleme
- schwer erkennbare Fehlleitung
Merksatz:
Native VLAN muss auf beiden Seiten eines Trunks passen.
Fehlerbild: ARP funktioniert nicht
ARP wird benötigt, um zu einer IP-Adresse die passende MAC-Adresse im lokalen Netz zu finden.
Wenn ARP nicht funktioniert, kann lokale Kommunikation scheitern.
Mögliche Ursachen:
- Zielgerät ist aus
- Zielgerät ist im falschen VLAN
- Absender ist im falschen VLAN
- falsche Subnetzmaske
- falsches Gateway
- ARP wird durch Sicherheitsfunktion blockiert
- IP-Adresskonflikt
- ARP-Spoofing
- Schicht-1-Problem
Merksatz:
ARP-Probleme zeigen,
dass IP und MAC lokal nicht zusammenfinden.
Fehlerbild: ARP-Eintrag ändert sich ständig
Wenn sich die MAC-Adresse zu einer IP-Adresse ständig ändert, ist das auffällig.
Mögliche Ursachen:
- IP-Adresskonflikt
- ARP-Spoofing
- Gateway-Failover
- Cluster oder Hochverfügbarkeit
- falsche Konfiguration
- virtuelle Systeme
Wichtig:
Nicht jede Änderung ist automatisch ein Angriff.
In Failover- oder Cluster-Umgebungen kann das gewollt sein.
Merksatz:
Wechselnde ARP-Zuordnungen immer prüfen und einordnen.
Fehlerbild: Broadcast-Sturm
Ein Broadcast-Sturm entsteht, wenn sehr viele Broadcast-Frames das Netzwerk belasten.
Mögliche Ursachen:
- Layer-2-Schleife
- fehlerhaftes Gerät
- falsche Switch-Verkabelung
- Broadcast-lastige Anwendung
- Angriff
- STP deaktiviert oder falsch konfiguriert
Typische Symptome:
- Netzwerk extrem langsam
- viele Switch-LEDs blinken stark
- hohe Port-Auslastung
- Geräte verlieren Verbindung
- DHCP oder ARP funktioniert unzuverlässig
Merksatz:
Broadcast-Sturm kann ein Layer-2-Netz lahmlegen.
Fehlerbild: STP blockiert einen Port
Wenn STP einen Port blockiert, ist das nicht automatisch ein Fehler.
STP blockiert Ports, um Schleifen zu verhindern.
Problematisch wird es, wenn:
- der falsche Port blockiert wird
- die Root Bridge ungünstig gewählt ist
- ein wichtiger Pfad unerwartet ausfällt
- STP auf manchen Switches deaktiviert ist
- eine Schleife trotzdem entsteht
Merksatz:
STP-Blocking kann normal sein,
muss aber zur geplanten Topologie passen.
Fehlerbild: Layer-2-Schleife
Eine Layer-2-Schleife kann durch falsche Verkabelung oder falsche Redundanz entstehen.
Typische Hinweise:
- MAC Flapping
- Broadcast-Sturm
- hohe Switch-Auslastung
- Netzwerk wird plötzlich sehr langsam
- viele Frames auf vielen Ports
- STP-Logs zeigen Änderungen
- nach Entfernen eines Kabels wird das Netz stabil
Merksatz:
MAC Flapping und Broadcast-Sturm sind starke Hinweise auf Schleifen.
Fehlerbild: Port Security blockiert Gerät
Port Security kann festlegen, welche oder wie viele MAC-Adressen an einem Port erlaubt sind.
Wenn ein anderes Gerät angeschlossen wird, kann der Switch reagieren.
Mögliche Reaktionen:
- Frames verwerfen
- Warnung erzeugen
- Port deaktivieren
- Ereignis protokollieren
Mögliche Ursachen:
- Gerät wurde getauscht
- anderer PC angeschlossen
- kleiner Switch angeschlossen
- virtuelle Maschinen erzeugen mehrere MAC-Adressen
- falsche Port-Security-Konfiguration
Merksatz:
Port Security schützt,
kann aber bei Gerätewechseln Verbindungen blockieren.
Fehlerbild: Doppelte MAC-Adresse
MAC-Adressen sollten eindeutig sein.
In der Praxis können doppelte MAC-Adressen trotzdem auftreten.
Mögliche Ursachen:
- falsch konfigurierte virtuelle Maschinen
- manuell gesetzte MAC-Adresse
- geklonte Systeme
- fehlerhafte Geräte
- absichtliches MAC-Spoofing
Mögliche Folgen:
- instabile Verbindung
- MAC-Flapping
- falsche Weiterleitung
- schwer nachvollziehbare Netzwerkprobleme
Merksatz:
Doppelte MAC-Adressen stören die Switch-Weiterleitung.
Werkzeuge für Schicht-2-Fehlersuche
Typische Werkzeuge und Informationsquellen:
Werkzeug / Anzeige
Nutzen
MAC-Adresstabelle
zeigt MAC-Adresse zu Switch-Port
Switch-Port-Konfiguration
zeigt Access, Trunk, VLAN
VLAN-Liste
zeigt vorhandene VLANs
Trunk-Status
zeigt erlaubte und aktive VLANs
STP-Status
zeigt Root Bridge und blockierte Ports
Port-Security-Status
zeigt erlaubte oder blockierte MAC-Adressen
ARP-Tabelle
zeigt IP-zu-MAC-Zuordnung
Switch-Logs
zeigen STP, Port-Changes, Security-Events
Packet Capture
zeigt Frames und ARP-Verkehr
Dokumentation
zeigt Soll-Zustand
Merksatz:
Schicht-2-Fehlersuche braucht Switch-Informationen und saubere Dokumentation.
Wichtige Switch-Informationen
Bei Schicht-2-Problemen sind diese Informationen besonders nützlich:
- Port aktiv oder deaktiviert?
- Access-Port oder Trunk-Port?
- welches VLAN?
- welche MAC-Adressen gelernt?
- welche VLANs auf dem Trunk erlaubt?
- STP-Status?
- Port Security aktiv?
- Fehlerzähler?
- Broadcast- oder Multicast-Last?
- Logs zu Port-Änderungen?
Merksatz:
Der Switch zeigt oft,
wo Schicht-2-Probleme entstehen.
Schicht-2-Prüfung bei einem Client
Wenn ein Client Probleme hat, prüft man:
1. Link vorhanden?
2. richtiger Switch-Port?
3. Port aktiv?
4. richtiges VLAN?
5. MAC-Adresse gelernt?
6. Port Security aktiv?
7. DHCP aus richtigem Netz?
8. ARP zum Gateway vorhanden?
9. Gateway erreichbar?
10. Firewall oder Routing prüfen
Merksatz:
Beim Client erst Port und VLAN prüfen,
dann IP und Gateway.
Schicht-2-Prüfung bei einem Access Point
Bei einem Access Point mit mehreren SSIDs prüft man:
- Switch-Port als Trunk konfiguriert?
- richtige VLANs erlaubt?
- Native VLAN korrekt?
- SSID-VLAN-Zuordnung korrekt?
- Management-VLAN erreichbar?
- DHCP pro VLAN vorhanden?
- Firewall-Regeln passend?
- Client landet im richtigen VLAN?
Merksatz:
Mehrere SSIDs bedeuten oft mehrere VLANs über einen Trunk.
Schicht-2-Prüfung bei Switch-zu-Switch-Verbindung
Bei einer Verbindung zwischen Switches prüft man:
- Link aktiv?
- Trunk oder Access korrekt?
- gleiche VLANs vorhanden?
- allowed VLANs korrekt?
- Native VLAN korrekt?
- STP-Status korrekt?
- Link Aggregation korrekt?
- MAC-Adressen werden über erwarteten Port gelernt?
- keine Schleife vorhanden?
Merksatz:
Switch-zu-Switch-Verbindungen sind häufig Trunks und müssen sauber passen.
Schicht-2-Prüfung bei Server oder Virtualisierung
Bei Servern und Virtualisierung können mehrere MAC-Adressen über einen Port erscheinen.
Mögliche Gründe:
- virtuelle Maschinen
- Container
- Bridges
- VLAN-Trunks
- Bonding oder Teaming
- Hypervisor-Netzwerke
Wichtig:
Port Security oder falsche VLAN-Konfiguration kann hier Probleme verursachen.
Merksatz:
Virtualisierung kann mehrere MAC-Adressen hinter einem Port erzeugen.
Schicht-2-Fehler und höhere Symptome
Schicht-2-Fehler können wie Schicht-3- oder Anwendungsprobleme aussehen.
sichtbares Problem
mögliche Schicht-2-Ursache
keine IP-Adresse
falsches VLAN, Trunk-Fehler
falsche IP-Adresse
falsches VLAN
Gateway nicht erreichbar
ARP/VLAN-Problem
nur manche Server erreichbar
VLAN- oder Firewall-Zuordnung
WLAN-Gäste im internen Netz
falsche SSID-VLAN-Zuordnung
Netzwerk plötzlich langsam
Broadcast-Sturm oder Schleife
Verbindung instabil
MAC Flapping oder Port Security
Merksatz:
Viele IP-Probleme beginnen mit falscher Schicht-2-Zuordnung.
Schicht 2 oder Schicht 3?
Eine einfache Unterscheidung:
Frage
eher Schicht
Wird die MAC-Adresse gelernt?
2
Ist das richtige VLAN aktiv?
2
Ist der Port Access oder Trunk?
2
Funktioniert ARP zum Gateway?
2 / 3
Hat der Client eine passende IP-Adresse?
3
Ist das Gateway korrekt?
3
Gibt es eine Route zum Ziel?
3
Ist ein TCP-Port erreichbar?
4
Merksatz:
MAC und VLAN = Schicht 2.
IP und Routing = Schicht 3.
Wichtige Befehle und Anzeigen
Je nach System oder Hersteller unterscheiden sich die Befehle.
Typische Informationen, die man sucht:
MAC-Adresstabelle anzeigen
VLAN-Zuordnung anzeigen
Port-Konfiguration anzeigen
Trunk-Status anzeigen
STP-Status anzeigen
ARP-Tabelle anzeigen
Port-Security-Status anzeigen
Logs anzeigen
Wichtig:
Nicht der konkrete Befehl ist immer prüfungsentscheidend,
sondern welche Information du damit prüfen willst.
Merksatz:
Bei Fehlersuche zählt:
Welche Information brauche ich?
Beispiel: Falsches VLAN
Fehlerbild:
Ein PC bekommt eine IP-Adresse aus dem Gastnetz,
obwohl er im Mitarbeiter-Netz sein soll.
Wahrscheinliche Schicht-2-Ursache:
Der Switch-Port ist im falschen VLAN.
Prüfung:
Port-Konfiguration prüfen.
VLAN-Zuordnung prüfen.
Dokumentation prüfen.
DHCP-Bereich vergleichen.
Lösung:
Port dem richtigen VLAN zuordnen.
Merksatz:
IP-Bereich verrät oft,
in welchem VLAN ein Client wirklich gelandet ist.
Beispiel: Access Point Gast-WLAN funktioniert nicht
Fehlerbild:
Mitarbeiter-WLAN funktioniert.
Gast-WLAN funktioniert nicht.
Mögliche Ursache:
VLAN für Gastnetz wird nicht über den Trunk transportiert.
Prüfung:
SSID-VLAN-Zuordnung prüfen.
Switch-Port zum Access Point prüfen.
Trunk-Konfiguration prüfen.
Allowed VLANs prüfen.
DHCP im Gast-VLAN prüfen.
Firewall-Regeln prüfen.
Merksatz:
Wenn nur eine SSID nicht funktioniert,
oft VLAN-Zuordnung oder Trunk prüfen.
Beispiel: Netzwerk plötzlich extrem langsam
Fehlerbild:
Das ganze lokale Netz ist plötzlich sehr langsam.
Mögliche Schicht-2-Ursachen:
- Broadcast-Sturm
- Layer-2-Schleife
- MAC Flapping
- defektes Gerät sendet massenhaft Frames
- STP falsch konfiguriert
- unmanaged Switch verursacht Schleife
Prüfung:
Switch-Auslastung prüfen.
Port-Statistiken prüfen.
MAC-Flapping-Meldungen prüfen.
STP-Status prüfen.
auffällige Ports isolieren.
Merksatz:
Plötzliche starke LAN-Probleme können Layer-2-Schleifen sein.
Was Schicht-2-Fehlersuche nicht löst
Nicht jedes Problem liegt auf Schicht 2.
Wenn MAC, VLAN, ARP und Switching korrekt sind, prüft man weiter:
- IP-Adresse
- Subnetzmaske
- Gateway
- Routing
- Firewall
- DNS
- TCP-/UDP-Port
- Anwendung
- Benutzerrechte
Merksatz:
Schicht 2 ist wichtig,
aber nicht jede Störung ist ein VLAN- oder Switch-Problem.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Welche Fehler gehören typischerweise zu Schicht 2?
- Warum kann ein falsches VLAN wie ein IP-Problem aussehen?
- Wie prüft man, ob ein Switch eine MAC-Adresse gelernt hat?
- Was bedeutet MAC Flapping?
- Was kann ein Broadcast-Sturm verursachen?
- Warum ist ein Trunk-Port wichtig?
- Was passiert, wenn ein VLAN auf einem Trunk nicht erlaubt ist?
- Warum kann Port Security ein Gerät blockieren?
- Was prüft man bei ARP-Problemen?
- Warum sollte man bei Netzwerkfehlern erst Schicht 1 und dann Schicht 2 prüfen?
Typische Prüfungsfallen
Falsches VLAN kann DHCP-Probleme verursachen.
Falsches VLAN kann wie falsche IP-Konfiguration wirken.
Ein Access-Port transportiert normalerweise ein VLAN.
Ein Trunk-Port transportiert mehrere VLANs.
VLAN auf Trunk nicht erlaubt = VLAN funktioniert über diese Verbindung nicht.
MAC-Adresse nicht gelernt kann auch Schicht 1 bedeuten.
MAC Flapping kann auf Schleifen hinweisen.
Broadcast-Sturm kann ein ganzes LAN stören.
STP-Blocking ist nicht automatisch ein Fehler.
Port Security kann legitime Geräte nach einem Wechsel blockieren.
ARP-Probleme können VLAN-, IP- oder Sicherheitsursachen haben.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Schicht-2-Fehler
Fehler bei lokaler Frame-Weiterleitung
MAC-Adresstabelle
Zuordnung von MAC-Adresse zu Switch-Port
MAC Flapping
MAC-Adresse erscheint wechselnd an verschiedenen Ports
VLAN-Fehler
falsche logische Netzzuordnung
Access-Port
Port für ein VLAN
Trunk-Port
Port für mehrere VLANs
Allowed VLANs
VLANs, die über einen Trunk erlaubt sind
Native VLAN
untagged VLAN auf einem Trunk
ARP-Problem
IP-MAC-Auflösung funktioniert nicht korrekt
Broadcast-Sturm
übermäßige Broadcast-Last
Layer-2-Schleife
Kreis im Switch-Netz
STP-Blocking
Port wird zur Schleifenvermeidung blockiert
Port Security
Begrenzung erlaubter MAC-Adressen
doppelte MAC-Adresse
gleiche MAC-Adresse mehrfach im Netz
Packet Capture
Mitschnitt von Netzwerkverkehr
Switch-Logs
Ereignisprotokolle des Switches
IHK-sichere Kurzformulierung
Fehlersuche auf OSI-Schicht 2 bedeutet, die lokale Weiterleitung von Ethernet-Frames zu prüfen. Dabei betrachtet man MAC-Adressen, MAC-Adresstabellen, Switch-Ports, VLANs, Access- und Trunk-Ports, ARP, STP und Broadcast-Domänen. Typische Schicht-2-Fehler sind falsche VLAN-Zuordnungen, nicht erlaubte VLANs auf Trunks, MAC Flapping, Broadcast-Stürme, Layer-2-Schleifen, ARP-Probleme oder blockierte Ports durch Port Security oder STP. Viele dieser Fehler wirken wie IP- oder DHCP-Probleme, obwohl die Ursache auf der lokalen Sicherungsschicht liegt.
Merksätze
Schicht-2-Fehlersuche = MAC, VLAN, Switch und ARP prüfen.
Erst Schicht 1,
dann Schicht 2.
MAC-Adresse gelernt?
VLAN richtig?
Port korrekt?
Falsches VLAN kann wie ein IP-Problem aussehen.
Keine IP-Adresse kann ein VLAN-Problem sein.
Falsche IP-Adresse kann falsches VLAN bedeuten.
Access-Port = ein VLAN.
Trunk-Port = mehrere VLANs.
VLAN auf Trunk nicht erlaubt = VLAN kommt nicht durch.
Native VLAN muss passen.
ARP zeigt,
ob IP und MAC lokal zusammenfinden.
MAC Flapping kann auf Schleifen hinweisen.
Broadcast-Sturm kann ein LAN lahmlegen.
STP blockiert Ports zur Schleifenvermeidung.
STP-Blocking ist nicht automatisch falsch.
Port Security kann Geräte blockieren.
Viele DHCP-Probleme beginnen auf Schicht 2.
MAC und VLAN = Schicht 2.
IP und Routing = Schicht 3.
Erst Link,
dann MAC/VLAN,
dann IP.
5.8 Merksätze und Prüfungswissen zu OSI-Schicht 2
Diese Seite fasst die wichtigsten Inhalte zur OSI-Schicht 2 zusammen.
OSI-Schicht 2 heißt:
Sicherungsschicht
Sie liegt zwischen:
Schicht 1: Bitübertragungsschicht
und
Schicht 3: Vermittlungsschicht / Netzwerkschicht
Die Hauptaufgabe von Schicht 2 ist:
lokale Datenübertragung im Netzwerk mit Frames und MAC-Adressen.
Merksatz:
Schicht 2 = Frames, MAC-Adressen, Switches und VLANs.
Grundidee von Schicht 2
Schicht 1 überträgt nur Bits als Signale.
Schicht 2 organisiert diese Bits zu Frames.
Ein Frame enthält Informationen für die lokale Übertragung.
Wichtig sind vor allem:
- Ziel-MAC-Adresse
- Quell-MAC-Adresse
- Nutzdaten
- Prüfinformation
Merksatz:
Schicht 2 macht aus Bits nutzbare lokale Datenrahmen.
Schicht 1, 2 und 3 unterscheiden
Schicht
Name
Datenform
wichtige Begriffe
1
Bitübertragungsschicht
Bits
Signal, Kabel, Link, Hub
2
Sicherungsschicht
Frame
MAC, Switch, VLAN, ARP
3
Vermittlungsschicht
Paket
IP, Router, Subnetz, Routing
Merksatz:
Schicht 1 = Bits.
Schicht 2 = Frames.
Schicht 3 = Pakete.
Frame
Ein Frame ist die Datenübertragungseinheit auf Schicht 2.
Bei Ethernet spricht man von:
Ethernet-Frame
Ein Ethernet-Frame enthält unter anderem:
- Ziel-MAC-Adresse
- Quell-MAC-Adresse
- EtherType oder Länge
- Nutzdaten
- FCS
Merksatz:
Frame = Datenrahmen auf Schicht 2.
Frame, Paket und Segment
Diese Begriffe dürfen nicht verwechselt werden.
Begriff
Schicht
Bedeutung
Bit
1
einzelne Informationseinheit
Frame
2
lokale Übertragung
Paket
3
IP-Übertragung zwischen Netzen
Segment
4
TCP-Datenübertragung
Datagramm
4
UDP-Datenübertragung
Prüfungsfalle:
Ethernet arbeitet mit Frames.
IP arbeitet mit Paketen.
TCP arbeitet mit Segmenten.
Merksatz:
Frame ist nicht Paket.
MAC-Adresse
MAC steht für:
Media Access Control
Eine MAC-Adresse ist die lokale Hardwareadresse einer Netzwerkschnittstelle.
Typische Netzwerkschnittstellen:
- Ethernet-Port
- WLAN-Adapter
- virtuelle Netzwerkkarte
- Server-Netzwerkkarte
- USB-LAN-Adapter
Merksatz:
MAC-Adresse = lokale Adresse einer Netzwerkschnittstelle.
Aufbau einer MAC-Adresse
Eine klassische MAC-Adresse hat:
48 Bit
Sie wird meist hexadezimal dargestellt.
Beispiel:
00:1A:2B:3C:4D:5E
Oder:
00-1A-2B-3C-4D-5E
Merksatz:
MAC-Adresse = 48 Bit, hexadezimal dargestellt.
Quell-MAC und Ziel-MAC
Ein Ethernet-Frame enthält normalerweise:
Quell-MAC-Adresse
Ziel-MAC-Adresse
Die Quell-MAC-Adresse sagt:
Von welchem Gerät kommt der Frame?
Die Ziel-MAC-Adresse sagt:
Zu welchem lokalen Gerät soll der Frame?
Merksatz:
Quell-MAC = woher.
Ziel-MAC = wohin.
MAC-Adresse und IP-Adresse unterscheiden
Adresse
Schicht
Aufgabe
MAC-Adresse
2
lokale Zustellung im LAN
IP-Adresse
3
netzübergreifende Adressierung
Wichtig:
MAC-Adressen gelten nur lokal im jeweiligen Netzwerkabschnitt.
IP-Adressen dienen der Kommunikation über Netzgrenzen hinweg.
Merksatz:
MAC = lokal.
IP = netzübergreifend.
MAC-Adresse auf dem Weg durch Router
Wenn Daten über Router laufen, ändern sich die MAC-Adressen auf jedem Abschnitt.
Beispiel:
PC → Router → weiterer Router → Server
Auf jedem lokalen Abschnitt gibt es neue Frames mit neuen MAC-Adressen.
Die IP-Adressen bleiben grundsätzlich erhalten.
Ausnahme:
NAT oder PAT kann IP-Adressen verändern.
Merksatz:
MAC ändert sich pro Hop.
IP bleibt grundsätzlich erhalten.
Unicast, Broadcast und Multicast
Art
Bedeutung
Beispiel
Unicast
einer an einen
PC an Server
Broadcast
einer an alle
ARP-Anfrage
Multicast
einer an eine Gruppe
Streaming-Gruppe
Die Broadcast-MAC-Adresse lautet:
FF:FF:FF:FF:FF:FF
Merksatz:
Unicast = einer.
Broadcast = alle.
Multicast = Gruppe.
FCS und CRC
FCS steht für:
Frame Check Sequence
CRC steht für:
Cyclic Redundancy Check
Die FCS dient zur Fehlererkennung im Ethernet-Frame.
Wenn ein Frame beschädigt ist, kann das erkannt werden.
Wichtig:
Ethernet korrigiert beschädigte Frames normalerweise nicht selbst.
Fehlerhafte Frames werden verworfen.
Merksatz:
FCS/CRC erkennt beschädigte Frames.
MTU
MTU steht für:
Maximum Transmission Unit
Die MTU beschreibt die maximale Nutzdaten-Größe einer Verbindung.
Bei Ethernet ist häufig relevant:
1500 Byte Nutzlast
Wichtig:
Zu große Pakete können Fragmentierung oder Verbindungsprobleme verursachen,
wenn die Strecke sie nicht unterstützt.
Merksatz:
MTU = maximale Nutzdaten-Größe.
Switch
Ein Switch ist ein typisches Gerät auf Schicht 2.
Er leitet Ethernet-Frames anhand von MAC-Adressen weiter.
Ein Switch nutzt dazu eine Tabelle.
Diese nennt man:
MAC-Adresstabelle
Oder:
Switching-Tabelle
Merksatz:
Switch = Schicht-2-Gerät für Frame-Weiterleitung.
Hub, Switch und Router unterscheiden
Gerät
typische Schicht
Aufgabe
Hub
1
verteilt Signale an alle Ports
Switch
2
leitet Frames anhand von MAC-Adressen weiter
Router
3
leitet IP-Pakete zwischen Netzen weiter
Prüfungsfalle:
Ein Switch ist kein Router.
Ein Hub ist kein Switch.
Merksatz:
Hub = Signal.
Switch = MAC.
Router = IP.
MAC-Adresstabelle
Die MAC-Adresstabelle enthält Zuordnungen wie:
MAC-Adresse
Switch-Port
AA:AA:AA:AA:AA:01
Port 1
BB:BB:BB:BB:BB:02
Port 2
CC:CC:CC:CC:CC:03
Port 3
Damit kann ein Switch Frames gezielt weiterleiten.
Merksatz:
MAC-Adresstabelle = MAC-Adresse zu Port.
Wie lernt ein Switch MAC-Adressen?
Ein Switch lernt MAC-Adressen über die Quell-MAC-Adresse eingehender Frames.
Beispiel:
Frame kommt an Port 4 an.
Quell-MAC ist AA:BB:CC:11:22:33.
Der Switch lernt:
AA:BB:CC:11:22:33 ist über Port 4 erreichbar.
Merksatz:
Switch lernt über Quell-MAC.
Weiterleitung durch den Switch
Ein Switch prüft die Ziel-MAC-Adresse.
Dann gibt es drei typische Fälle:
Situation
Verhalten
Ziel-MAC bekannt
gezielte Weiterleitung
Ziel-MAC unbekannt
Flooding
Broadcast
Weiterleitung an alle passenden Ports
Merksatz:
Ziel-MAC entscheidet über die Weiterleitung.
Flooding
Flooding bedeutet:
Der Switch verteilt einen Frame an mehrere Ports,
weil die Ziel-MAC-Adresse unbekannt ist.
Flooding ist normales Switch-Verhalten bei unbekanntem Ziel.
Nicht verwechseln mit Broadcast.
Merksatz:
Flooding = Ziel-MAC unbekannt.
Broadcast
Broadcast bedeutet:
Der Frame ist ausdrücklich an alle Geräte im lokalen Netz adressiert.
Broadcast-MAC:
FF:FF:FF:FF:FF:FF
Typische Beispiele:
- ARP-Anfrage
- DHCP-Anfrage
Merksatz:
Broadcast = Ziel ist alle.
Broadcast und Flooding unterscheiden
Begriff
Grund
Broadcast
Zieladresse ist „alle“
Flooding
Ziel-MAC ist unbekannt
Beide können dazu führen, dass Frames an mehrere Ports gehen.
Aber:
Der Grund ist unterschiedlich.
Merksatz:
Broadcast ist eine Adresse.
Flooding ist ein Switch-Verhalten.
Broadcast-Domäne
Eine Broadcast-Domäne ist ein Bereich, in dem Broadcasts verteilt werden.
Ein VLAN bildet normalerweise eine eigene Broadcast-Domäne.
Router trennen Broadcast-Domänen.
Merksatz:
Broadcast-Domäne = Bereich für Broadcasts.
Kollisionsdomäne
Eine Kollisionsdomäne ist ein Bereich, in dem Kollisionen auftreten können.
Bei einem Hub:
alle Ports in einer Kollisionsdomäne
Bei einem Switch:
normalerweise jeder Port eigene Kollisionsdomäne
In modernen Vollduplex-Switch-Netzen spielen klassische Kollisionen praktisch keine Rolle mehr.
Merksatz:
Hub = eine Kollisionsdomäne.
Switch = getrennte Kollisionsbereiche.
VLAN
VLAN steht für:
Virtual Local Area Network
Ein VLAN ist ein logisch getrenntes LAN auf Schicht 2.
VLANs ermöglichen mehrere logische Netze auf derselben physischen Switch-Infrastruktur.
Beispiel:
VLAN
Zweck
10
Mitarbeiter
20
Gäste
30
Server
40
VoIP
99
Management
Merksatz:
VLAN = logische Netztrennung auf Schicht 2.
VLAN und Subnetz unterscheiden
Begriff
Schicht
Aufgabe
VLAN
2
logische Trennung im LAN
IP-Subnetz
3
logischer IP-Adressbereich
In der Praxis wird häufig pro VLAN ein eigenes IP-Subnetz verwendet.
Beispiel:
VLAN
Subnetz
VLAN 10
192.168.10.0/24
VLAN 20
192.168.20.0/24
Merksatz:
VLAN ist nicht Subnetz.
VLAN = Schicht 2.
Subnetz = Schicht 3.
Access-Port
Ein Access-Port gehört normalerweise zu genau einem VLAN.
Typischer Einsatz:
- PC
- Drucker
- Kamera
- einzelnes Endgerät
Das Endgerät sendet meist untagged Frames.
Der Switch ordnet diese Frames dem VLAN des Ports zu.
Merksatz:
Access-Port = ein VLAN für ein Endgerät.
Trunk-Port
Ein Trunk-Port kann mehrere VLANs über eine Verbindung transportieren.
Typischer Einsatz:
- Switch zu Switch
- Switch zu Router
- Switch zu Firewall
- Switch zu Access Point mit mehreren SSIDs
- Switch zu Virtualisierungshost
Merksatz:
Trunk-Port = mehrere VLANs über eine Verbindung.
VLAN-Tagging
VLAN-Tagging markiert Frames mit einer VLAN-ID.
Der Standard dafür heißt:
IEEE 802.1Q
Tagged bedeutet:
Frame enthält VLAN-Tag.
Untagged bedeutet:
Frame enthält keinen VLAN-Tag.
Merksatz:
802.1Q = VLAN-Tagging.
Native VLAN
Das Native VLAN ist bei bestimmten Trunk-Konzepten das untagged VLAN auf einem Trunk.
Wichtig:
Das Native VLAN muss auf beiden Seiten korrekt zusammenpassen.
Falsche Native-VLAN-Konfiguration kann zu Problemen und Sicherheitsrisiken führen.
Merksatz:
Native VLAN = untagged VLAN auf dem Trunk.
Inter-VLAN-Routing
Geräte in unterschiedlichen VLANs können nicht nur über Schicht 2 miteinander kommunizieren.
Für Kommunikation zwischen VLANs braucht man Routing.
Das nennt man:
Inter-VLAN-Routing
Dafür nutzt man zum Beispiel:
- Router
- Layer-3-Switch
- Firewall
Merksatz:
VLAN zu VLAN braucht Routing.
ARP
ARP steht für:
Address Resolution Protocol
ARP wird in IPv4-Netzen verwendet, um zu einer IP-Adresse die passende MAC-Adresse im lokalen Netz zu finden.
ARP-Anfrage:
Broadcast
ARP-Antwort:
meistens Unicast
Merksatz:
ARP findet MAC zu IP im lokalen Netz.
ARP im gleichen Subnetz
Wenn sich das Ziel im gleichen Subnetz befindet, sucht ARP die MAC-Adresse des Zielgeräts.
Beispiel:
PC A sucht MAC von PC B.
Dann sendet PC A eine ARP-Anfrage ins lokale Netz.
Merksatz:
Gleiches Subnetz:
ARP sucht Ziel-MAC.
ARP bei anderem Subnetz
Wenn das Ziel in einem anderen Netz liegt, sucht ARP nicht die MAC-Adresse des entfernten Servers.
Stattdessen sucht ARP die MAC-Adresse des Standard-Gateways.
Beispiel:
Ziel-IP ist im Internet.
Ziel-MAC im lokalen Frame ist das Gateway.
Merksatz:
Anderes Netz:
ARP sucht Gateway-MAC.
ARP, DNS und DHCP unterscheiden
Protokoll
Aufgabe
ARP
IP-Adresse zu MAC-Adresse
DNS
Name zu IP-Adresse
DHCP
IP-Konfiguration automatisch vergeben
Prüfungsfalle:
ARP ist keine Namensauflösung.
DNS ist keine MAC-Auflösung.
Merksatz:
ARP = MAC zu IP.
DNS = IP zu Name.
DHCP = IP vergeben.
IPv4 und IPv6
ARP wird bei IPv4 verwendet.
IPv6 nutzt nicht ARP.
IPv6 verwendet stattdessen:
NDP
NDP steht für:
Neighbor Discovery Protocol
Merksatz:
IPv4 nutzt ARP.
IPv6 nutzt NDP.
STP
STP steht für:
Spanning Tree Protocol
STP verhindert Schleifen in Layer-2-Netzen.
Warum ist das wichtig?
Ethernet-Frames haben keine TTL wie IP-Pakete.
Frames können bei einer Schleife immer weiterlaufen.
Broadcasts können sich stark vervielfachen.
Merksatz:
STP schützt vor Layer-2-Schleifen.
Root Bridge
Die Root Bridge ist der zentrale Bezugspunkt im STP-Netz.
Switches berechnen ihre besten Wege zur Root Bridge.
Die Root Bridge wird über die Bridge-ID bestimmt.
Merksatz:
Root Bridge = zentraler STP-Bezugspunkt.
BPDU
BPDU steht für:
Bridge Protocol Data Unit
BPDUs sind STP-Nachrichten zwischen Switches.
Damit tauschen Switches Informationen über die STP-Topologie aus.
Merksatz:
BPDU = STP-Nachricht.
STP-Portrollen
Rolle
Bedeutung
Root Port
bester Weg zur Root Bridge
Designated Port
aktiver Port für ein Segment
Blocked Port
blockierter Port zur Schleifenvermeidung
Merksatz:
Root und Designated leiten weiter.
Blocked verhindert Schleifen.
RSTP und MSTP
Protokoll
Bedeutung
STP
verhindert Schleifen
RSTP
schnellere Weiterentwicklung von STP
MSTP
mehrere Spanning-Tree-Instanzen
Merksatz:
STP verhindert Schleifen.
RSTP ist schneller.
MSTP ist flexibler für VLAN-Umgebungen.
Layer-2-Schleife
Eine Layer-2-Schleife entsteht, wenn Frames in einem Switch-Netz im Kreis laufen können.
Typische Ursachen:
- falsch gesteckte Kabel
- redundante Verbindungen ohne STP
- unmanaged Switches
- falsch konfigurierte Link Aggregation
- STP deaktiviert
Mögliche Folgen:
- Broadcast-Sturm
- MAC Flapping
- hohe Switch-Last
- Netzwerkausfall
Merksatz:
Layer-2-Schleifen können ein LAN lahmlegen.
Broadcast-Sturm
Ein Broadcast-Sturm entsteht, wenn sehr viele Broadcasts das Netzwerk belasten.
Eine Layer-2-Schleife kann Broadcasts stark vervielfachen.
Typische Symptome:
- Netzwerk plötzlich extrem langsam
- Switch-LEDs blinken stark
- viele Broadcasts im Mitschnitt
- Geräte verlieren Verbindung
- MAC-Adressen wechseln Ports
Merksatz:
Broadcast-Sturm = zu viele Broadcasts im LAN.
MAC Flapping
MAC Flapping bedeutet:
dieselbe MAC-Adresse wird ständig an unterschiedlichen Switch-Ports gelernt.
Mögliche Ursachen:
- Layer-2-Schleife
- falsche Link Aggregation
- falsche Verkabelung
- virtuelle Umgebung
- doppelte MAC-Adresse
Merksatz:
MAC Flapping ist ein Warnsignal.
Port Security
Port Security ist eine Switch-Sicherheitsfunktion.
Damit kann man festlegen:
welche MAC-Adressen
oder wie viele MAC-Adressen
an einem Port erlaubt sind.
Mögliche Reaktionen bei Verstoß:
- Frames verwerfen
- Port sperren
- Warnung erzeugen
- Ereignis protokollieren
Merksatz:
Port Security begrenzt MAC-Adressen pro Port.
ARP-Spoofing und ARP-Poisoning
ARP-Spoofing bedeutet:
Ein Angreifer sendet falsche ARP-Informationen.
ARP-Poisoning bedeutet:
ARP-Caches werden mit falschen Zuordnungen manipuliert.
Mögliche Folge:
Datenverkehr wird zum Angreifer umgeleitet.
Schutzmaßnahmen:
- VLAN-Trennung
- 802.1X
- Port Security
- DHCP Snooping
- Dynamic ARP Inspection
- Monitoring
Merksatz:
ARP-Spoofing manipuliert IP-MAC-Zuordnungen.
DHCP Snooping
DHCP Snooping ist eine Switch-Sicherheitsfunktion.
Ziele:
- unerlaubte DHCP-Server verhindern
- IP-MAC-Zuordnungen erfassen
- Dynamic ARP Inspection unterstützen
Merksatz:
DHCP Snooping schützt vor falschen DHCP-Servern.
Dynamic ARP Inspection
Dynamic ARP Inspection prüft ARP-Nachrichten auf dem Switch.
Ziel:
gefälschte ARP-Informationen erkennen und blockieren.
Häufig arbeitet diese Funktion mit DHCP Snooping zusammen.
Merksatz:
Dynamic ARP Inspection schützt vor ARP-Manipulation.
BPDU Guard
BPDU Guard schützt Access-Ports vor unerwarteten STP-Nachrichten.
Wenn an einem Endgeräte-Port plötzlich BPDUs auftauchen, könnte dort ein unerlaubter Switch angeschlossen sein.
Mögliche Reaktion:
Port wird deaktiviert.
Merksatz:
BPDU Guard schützt Access-Ports.
Root Guard
Root Guard verhindert, dass ein unerwünschter Switch Root Bridge wird.
Dadurch bleibt die geplante STP-Struktur erhalten.
Merksatz:
Root Guard schützt die geplante Root Bridge.
Storm Control
Storm Control begrenzt übermäßigen Broadcast-, Multicast- oder unbekannten Unicast-Verkehr.
Ziel:
Schutz vor Überlastung durch zu viel Layer-2-Verkehr.
Merksatz:
Storm Control begrenzt Broadcast-Stürme.
Schicht-2-Fehlersuche
Typische Prüfpunkte:
- MAC-Adresse gelernt?
- richtiger Switch-Port?
- richtiges VLAN?
- Access oder Trunk?
- VLAN auf Trunk erlaubt?
- Native VLAN korrekt?
- ARP zum Gateway vorhanden?
- STP blockiert Port?
- MAC Flapping sichtbar?
- Broadcast-Sturm vorhanden?
- Port Security aktiv?
Merksatz:
Schicht-2-Fehlersuche = MAC, VLAN, ARP, STP und Switch-Port prüfen.
Typische Schicht-2-Fehler
Fehlerbild
mögliche Ursache
keine IP-Adresse
falsches VLAN, Trunk-Fehler
falsche IP-Adresse
falsches VLAN
Gateway nicht per ARP erreichbar
VLAN- oder ARP-Problem
Netzwerk plötzlich langsam
Broadcast-Sturm oder Schleife
MAC wechselt ständig Port
MAC Flapping
einzelne SSID funktioniert nicht
falsche SSID-VLAN-Zuordnung
Gerät nach Tausch blockiert
Port Security
VLAN kommt nicht durch
Trunk erlaubt VLAN nicht
Merksatz:
Viele IP-Probleme beginnen auf Schicht 2.
Was Schicht 2 nicht macht
Schicht 2 macht nicht:
- Routing zwischen IP-Netzen
- NAT oder PAT
- TCP-Verbindungen aufbauen
- UDP-Ports auswerten
- DNS-Namen auflösen
- Webseiten bereitstellen
- Benutzer authentifizieren
- Internetzugang allein herstellen
Diese Aufgaben liegen auf höheren Schichten.
Merksatz:
Schicht 2 leitet lokal weiter,
routet aber nicht zwischen IP-Netzen.
Prüfungswissen: wichtigste Zuordnungen
Begriff
richtige Einordnung
Ethernet-Frame
Schicht 2
MAC-Adresse
Schicht 2
Switch
Schicht 2
VLAN
Schicht 2
Access-Port
Schicht 2
Trunk-Port
Schicht 2
ARP
Schicht 2 / 3-Bezug
STP
Schicht 2
Broadcast-Domäne
Schicht 2
IP-Adresse
Schicht 3
Router
Schicht 3
TCP-Port
Schicht 4
DNS
Schicht 7
Merksatz:
Frame, MAC, Switch, VLAN = Schicht 2.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Welche Aufgabe hat die Sicherungsschicht?
- Was ist ein Ethernet-Frame?
- Was ist eine MAC-Adresse?
- Wie lernt ein Switch MAC-Adressen?
- Was passiert bei unbekannter Ziel-MAC?
- Was ist Flooding?
- Was ist ein Broadcast?
- Was ist eine Broadcast-Domäne?
- Was ist ein VLAN?
- Was ist der Unterschied zwischen Access-Port und Trunk-Port?
- Was bedeutet IEEE 802.1Q?
- Was macht ARP?
- Warum wird eine ARP-Anfrage als Broadcast gesendet?
- Was ist STP?
- Warum sind Layer-2-Schleifen gefährlich?
- Was bedeutet MAC Flapping?
- Wie grenzt man Schicht-2-Fehler ein?
Typische Prüfungsfallen
Schicht 2 arbeitet mit Frames.
IP-Pakete gehören zu Schicht 3.
MAC-Adressen gehören zu Schicht 2.
IP-Adressen gehören zu Schicht 3.
Switches lernen über Quell-MAC-Adressen.
Die Ziel-MAC entscheidet über die Weiterleitung.
Unbekannte Ziel-MAC führt zu Flooding.
Broadcast und Flooding sind nicht dasselbe.
Ein VLAN ist kein IP-Subnetz.
VLAN gehört zu Schicht 2.
Subnetz gehört zu Schicht 3.
Access-Port = ein VLAN.
Trunk-Port = mehrere VLANs.
IEEE 802.1Q = VLAN-Tagging.
ARP ist nicht DNS.
ARP ist nicht DHCP.
IPv4 nutzt ARP.
IPv6 nutzt NDP.
STP verhindert Layer-2-Schleifen.
Ethernet-Frames haben keine TTL.
Falsches VLAN kann wie ein IP-Problem aussehen.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Sicherungsschicht
OSI-Schicht 2
Frame
Datenrahmen auf Schicht 2
Ethernet-Frame
Frame im Ethernet-LAN
MAC-Adresse
lokale Hardwareadresse
Quell-MAC
Absenderadresse im Frame
Ziel-MAC
Empfängeradresse im Frame
Switch
Schicht-2-Gerät
MAC-Adresstabelle
Zuordnung MAC-Adresse zu Port
Learning
Lernen über Quell-MAC
Forwarding
gezielte Weiterleitung
Flooding
Weiterleitung bei unbekannter Ziel-MAC
Broadcast
Nachricht an alle
Broadcast-Domäne
Bereich, in dem Broadcasts verteilt werden
Kollisionsdomäne
Bereich möglicher Kollisionen
VLAN
logisches LAN auf Schicht 2
Access-Port
Port für ein VLAN
Trunk-Port
Port für mehrere VLANs
802.1Q
VLAN-Tagging
ARP
IP-Adresse zu MAC-Adresse
STP
Schleifenvermeidung auf Schicht 2
BPDU
STP-Nachricht
Broadcast-Sturm
sehr viele Broadcasts im LAN
MAC Flapping
MAC-Adresse wechselt ständig Ports
Port Security
Begrenzung erlaubter MAC-Adressen
DHCP Snooping
Schutz vor unerlaubten DHCP-Servern
Dynamic ARP Inspection
Schutz vor ARP-Manipulation
IHK-sichere Gesamtformulierung
Die Sicherungsschicht ist Schicht 2 des OSI-Modells. Sie ist für die lokale Datenübertragung in Form von Frames zuständig. Im Ethernet-LAN werden MAC-Adressen verwendet, um Frames lokal zuzustellen. Switches arbeiten typischerweise auf Schicht 2, lernen MAC-Adressen über die Quell-MAC-Adresse eingehender Frames und leiten Frames anhand der Ziel-MAC-Adresse weiter. VLANs ermöglichen eine logische Trennung von Broadcast-Domänen auf Schicht 2. ARP wird in IPv4-Netzen verwendet, um zu einer IP-Adresse die passende MAC-Adresse im lokalen Netz zu ermitteln. STP verhindert Layer-2-Schleifen, die sonst Broadcast-Stürme und Netzwerkausfälle verursachen können.
Wichtigste Merksätze
Schicht 2 = Sicherungsschicht.
Schicht 2 arbeitet mit Frames.
Ethernet-Frame = lokaler Datenrahmen.
MAC-Adresse = lokale Hardwareadresse.
MAC = Schicht 2.
IP = Schicht 3.
MAC gilt lokal.
IP gilt netzübergreifend.
Switch = Schicht 2.
Router = Schicht 3.
Hub = Schicht 1.
Switch lernt über Quell-MAC.
Ziel-MAC entscheidet über Weiterleitung.
Bekannte Ziel-MAC = gezielte Weiterleitung.
Unbekannte Ziel-MAC = Flooding.
Broadcast = an alle.
Broadcast-MAC = FF:FF:FF:FF:FF:FF.
Broadcast und Flooding sind nicht dasselbe.
VLAN = logische Trennung auf Schicht 2.
VLAN ist nicht Subnetz.
Access-Port = ein VLAN.
Trunk-Port = mehrere VLANs.
802.1Q = VLAN-Tagging.
VLAN zu VLAN braucht Routing.
ARP findet MAC zu IP.
ARP-Anfrage = Broadcast.
ARP-Antwort = meistens Unicast.
IPv4 nutzt ARP.
IPv6 nutzt NDP.
STP verhindert Layer-2-Schleifen.
Ethernet-Frames haben keine TTL.
Broadcast-Sturm kann ein LAN lahmlegen.
MAC Flapping kann auf eine Schleife hinweisen.
Falsches VLAN kann wie ein IP-Problem aussehen.
Erst Link,
dann MAC/VLAN,
dann IP.
6. OSI-Schicht 3 – Vermittlungsschicht / Netzwerkschicht
ICMP (Internet Control Message Protocol)
ICMP einfach erklärt
ICMP steht für Internet Control Message Protocol .
ICMP ist ein Kontroll- und Fehlerprotokoll der Internetprotokollfamilie. Es wird nicht wie TCP oder UDP verwendet, um normale Nutzdaten zwischen Anwendungen zu übertragen, sondern um Statusinformationen, Fehlermeldungen und Diagnoseinformationen im IP-Netzwerk zu senden.
Kurz gesagt:
TCP = zuverlässige Datenübertragung zwischen Anwendungen
UDP = schnelle, verbindungslose Datenübertragung zwischen Anwendungen
ICMP = Kontroll- und Fehlermeldungen im IP-Netzwerk
Wofür wird ICMP verwendet?
ICMP wird verwendet, um Netzwerkprobleme zu melden oder die Erreichbarkeit von Geräten zu prüfen.
Typische Einsatzbereiche:
- Erreichbarkeit eines Hosts prüfen
- Netzwerkfehler melden
- Routing-Probleme anzeigen
- Zeitüberschreitungen melden
- Paketgrößenprobleme melden
- Diagnosewerkzeuge wie ping und traceroute ermöglichen
ICMP ist also eher ein Hilfsprotokoll für IP-Netzwerke.
ICMP ist kein normales Transportprotokoll wie TCP oder UDP
TCP und UDP transportieren Daten zwischen Anwendungen.
Beispiele:
- HTTPS
- SSH
- DNS
- VoIP
- Streaming
- Online-Gaming
ICMP macht das normalerweise nicht.
ICMP wird eher verwendet, damit Geräte im Netzwerk melden können:
- Ziel nicht erreichbar.
- Paket konnte nicht zugestellt werden.
- Zeit wurde überschritten.
- Paket ist zu groß.
- Host antwortet auf Ping.
Merksatz:
TCP und UDP übertragen Anwendungsdaten.
ICMP meldet Netzwerkzustände und Fehler.
Beispiel: Ping mit ICMP
Das bekannteste Beispiel für ICMP ist ping .
Mit ping prüft man, ob ein Gerät im Netzwerk erreichbar ist.
Beim klassischen ping wird ICMP verwendet.
Bei IPv4:
ICMP Echo Request
ICMP Echo Reply
Bei IPv6:
ICMPv6 Echo Request
ICMPv6 Echo Reply
Ablauf vereinfacht:
Dein PC Zielhost
ICMP Echo Request --------->
ICMP Echo Reply <---------
Das bedeutet:
Echo Request = Bist du erreichbar?
Echo Reply = Ja, ich bin erreichbar.
Wenn eine Antwort zurückkommt, weiß man:
Der Zielhost ist grundsätzlich erreichbar.
Wenn keine Antwort zurückkommt, kann das verschiedene Gründe haben:
- Zielhost ist ausgeschaltet
- Netzwerkweg ist unterbrochen
- Firewall blockiert ICMP
- Zielhost antwortet nicht auf Ping
- Routing-Problem liegt vor
Wichtig:
Wenn ping nicht funktioniert, heißt das nicht automatisch,
dass der Host komplett offline ist.
Ein Gerät kann erreichbar sein, aber ICMP blockieren.
Nutzt Ping immer ICMP?
Das klassische Betriebssystem-Tool ping nutzt normalerweise ICMP.
Also zum Beispiel:
Windows ping
Linux ping
macOS ping
Diese klassischen ping-Befehle senden ICMP Echo Requests und erwarten ICMP Echo Replies.
Prüfungssicher gesagt:
Klassisches ping = ICMP Echo Request und ICMP Echo Reply
Aber:
Der Begriff "Ping" wird im Alltag nicht immer ausschließlich für ICMP verwendet.
Manchmal sagen Menschen auch "Ping", wenn sie allgemein eine Erreichbarkeit oder Antwortzeit testen.
Beispiele:
- TCP-Ping
- UDP-Ping
- HTTP-Ping
- Game-Ping
Das ist dann oft kein echtes ICMP-Ping, sondern ein anderer Latenz- oder Erreichbarkeitstest.
Beispiele:
TCP-Ping prüft, ob ein bestimmter TCP-Port erreichbar ist.
HTTP-Ping prüft, ob ein Webserver antwortet.
Game-Ping zeigt oft die Antwortzeit zum Spielserver.
UDP-Ping kann mit eigenen UDP-Anfragen und Antworten arbeiten.
Wichtige Unterscheidung:
Klassisches ping-Tool = ICMP
Umgangssprachlicher Ping = manchmal auch anderer Verbindungstest
Ist ICMP nur für Ping da?
Nein.
ICMP wird nicht nur für Ping verwendet.
Ping ist nur eine bekannte Anwendung von ICMP.
ICMP kann auch viele andere Kontroll- und Fehlermeldungen übertragen.
Beispiele:
- Destination Unreachable
- Time Exceeded
- Fragmentation Needed
- Redirect
Also:
Ping nutzt ICMP.
Aber ICMP ist nicht nur Ping.
Merksatz:
Klassisches ping nutzt ICMP.
ICMP wird aber nicht ausschließlich für ping verwendet.
ICMP arbeitet nicht mit Ports
Ein wichtiger Unterschied zu TCP und UDP ist:
TCP und UDP verwenden Ports.
ICMP verwendet keine Ports.
Beispiele für TCP und UDP:
TCP 443 = HTTPS
TCP 22 = SSH
UDP 53 = DNS
UDP 123 = NTP
ICMP hat keine Portnummern.
Stattdessen arbeitet ICMP mit Typen und Codes .
Merksatz:
TCP/UDP = Ports
ICMP = Typen und Codes
ICMP-Typen und Codes
ICMP verwendet Typen und Codes, um verschiedene Meldungen zu unterscheiden.
ICMP-Meldung
Bedeutung
Echo Request
Anfrage bei ping
Echo Reply
Antwort auf ping
Destination Unreachable
Ziel nicht erreichbar
Time Exceeded
Zeit überschritten
Redirect
Hinweis auf besseren Weg
Fragmentation Needed
Paket ist zu groß und müsste fragmentiert werden
Die genaue Bedeutung wird über ICMP-Typ und ICMP-Code festgelegt.
Beispiel:
Echo Request = Ping-Anfrage
Echo Reply = Ping-Antwort
Merksatz:
TCP/UDP nutzen Ports.
ICMP nutzt Typen und Codes.
Beispiel: Destination Unreachable
Eine typische ICMP-Fehlermeldung ist:
Destination Unreachable
Auf Deutsch:
Ziel nicht erreichbar
Das kann passieren, wenn ein Paket nicht zugestellt werden kann.
Mögliche Gründe:
- Zielnetz ist nicht erreichbar
- Zielhost ist nicht erreichbar
- Port oder Dienst ist nicht erreichbar
- Firewall blockiert den Verkehr
- Routing fehlt oder ist falsch
Vereinfacht gesagt meldet ein Router oder Zielsystem:
Ich kann dieses Paket nicht zustellen.
Beispiel: Time Exceeded
Eine weitere wichtige ICMP-Meldung ist:
Time Exceeded
Auf Deutsch:
Zeit überschritten
Das hängt mit dem TTL-Wert zusammen.
TTL steht für:
Time To Live
Jedes IP-Paket hat einen TTL-Wert. Dieser Wert wird bei jedem Router um 1 verringert.
Wenn der TTL-Wert bei 0 angekommen ist, wird das Paket verworfen.
Dann kann eine ICMP-Meldung zurückgesendet werden:
Time Exceeded
Das bedeutet:
Das Paket hat sein Ziel nicht rechtzeitig erreicht.
Es wurde unterwegs verworfen.
Diese Funktion wird zum Beispiel bei traceroute genutzt.
ICMP und traceroute
Traceroute zeigt, über welche Router ein Paket zum Ziel läuft.
Dafür nutzt traceroute unter anderem ICMP-Time-Exceeded-Meldungen.
Vereinfacht:
1. Das erste Paket bekommt TTL 1.
2. Der erste Router verringert TTL auf 0.
3. Der Router verwirft das Paket.
4. Der Router sendet ICMP Time Exceeded zurück.
5. Dadurch erkennt traceroute den ersten Router.
6. Danach wird TTL erhöht.
7. So werden die nächsten Router sichtbar.
Dadurch kann man den Weg durch das Netzwerk nachvollziehen.
Merksatz:
Ping prüft, ob ein Ziel antwortet.
Traceroute zeigt den Weg zum Ziel.
ICMP und Paketgröße
ICMP kann auch melden, dass ein Paket zu groß ist.
Das ist wichtig für die sogenannte Path MTU Discovery.
MTU steht für:
Maximum Transmission Unit
Die MTU beschreibt, wie groß ein Paket auf einem Netzwerkabschnitt maximal sein darf.
Wenn ein Paket zu groß ist und nicht fragmentiert werden darf, kann eine ICMP-Meldung zurückkommen:
Fragmentation Needed
Das bedeutet:
Das Paket ist für diesen Netzwerkweg zu groß.
Der Absender soll kleinere Pakete senden.
Wichtig:
Wenn solche ICMP-Meldungen blockiert werden,
kann es zu Verbindungsproblemen kommen.
Zum Beispiel können Webseiten teilweise laden oder VPN-Verbindungen Probleme machen.
ICMP im Vergleich zu TCP und UDP
Merkmal
TCP
UDP
ICMP
Voller Name
Transmission Control Protocol
User Datagram Protocol
Internet Control Message Protocol
Hauptaufgabe
zuverlässige Datenübertragung
schnelle Datagramm-Übertragung
Kontroll- und Fehlermeldungen
Verbindungsaufbau
Ja, 3-Wege-Handshake
Nein
Nein
Ports
Ja
Ja
Nein
Arbeitet mit
Ports, Sequenznummern, ACKs
Ports, Datagrammen
Typen und Codes
Zustellgarantie
Ja, eingebaut
Nein
Nein
Reihenfolgekontrolle
Ja
Nein
Nein
Typische Nutzung
HTTPS, SSH, E-Mail
DNS, VoIP, Streaming
ping, traceroute, Fehlermeldungen
Nutzdaten von Anwendungen
Ja
Ja
Normalerweise nein
TCP, UDP und ICMP einfach unterschieden
TCP:
TCP baut zuerst eine Verbindung auf.
TCP überträgt Daten zuverlässig.
TCP bestätigt empfangene Daten.
TCP sendet verlorene Daten erneut.
TCP nutzt Ports.
UDP:
UDP baut keine Verbindung auf.
UDP sendet Daten direkt los.
UDP hat weniger Verwaltungsaufwand.
UDP garantiert keine Zustellung.
UDP nutzt Ports.
ICMP:
ICMP überträgt normalerweise keine Anwendungsdaten.
ICMP meldet Fehler und Zustände im Netzwerk.
ICMP wird für Diagnose genutzt.
ICMP nutzt keine Ports.
ICMP arbeitet mit Typen und Codes.
ICMP und Firewall
Firewalls können ICMP erlauben oder blockieren.
Beispiele:
- Ping erlauben
- Ping blockieren
- bestimmte ICMP-Fehlermeldungen erlauben
- bestimmte ICMP-Typen blockieren
Wichtig:
ICMP komplett zu blockieren ist nicht immer sinnvoll.
Warum?
Bestimmte ICMP-Meldungen sind wichtig für die korrekte Funktion von Netzwerken.
Beispiele:
- Destination Unreachable
- Time Exceeded
- Fragmentation Needed
Wenn diese Meldungen blockiert werden, kann die Fehlersuche schwieriger werden oder bestimmte Verbindungen können Probleme machen.
Prüfungssicherer Gedanke:
ICMP sollte nicht blind komplett blockiert werden.
Besser ist es, gezielt festzulegen, welche ICMP-Typen erlaubt oder blockiert werden.
Ist ICMP gefährlich?
ICMP ist nicht automatisch gefährlich.
Es kann aber für Angriffe oder Informationsgewinnung missbraucht werden.
Beispiele:
- Ping-Scans zur Erkennung erreichbarer Hosts
- ICMP-Flooding als DoS-Angriff
- Netzwerkaufklärung durch traceroute
Deshalb wird ICMP in vielen Netzwerken eingeschränkt.
Aber:
ICMP hat auch wichtige Diagnose- und Fehlerfunktionen.
Deshalb ist die beste Lösung meistens nicht:
Alles blockieren.
Sondern besser:
Nur benötigte ICMP-Typen erlauben.
Unnötige oder gefährliche ICMP-Nutzung einschränken.
Wichtige ICMP-Begriffe
Begriff
Bedeutung
ICMP
Internet Control Message Protocol
ICMPv6
ICMP für IPv6
Echo Request
Ping-Anfrage
Echo Reply
Ping-Antwort
Destination Unreachable
Ziel nicht erreichbar
Time Exceeded
Zeit überschritten
TTL
Time To Live
MTU
Maximum Transmission Unit
Typ
Art der ICMP-Meldung
Code
genauere Beschreibung der ICMP-Meldung
Beispielhafte Einordnung im Netzwerk
Normale Datenübertragung mit TCP:
Client → TCP-Verbindung → Server
Beispiel: HTTPS-Webseite über TCP-Port 443
Normale Datenübertragung mit UDP:
Client → UDP-Datagramm → Server
Beispiel: DNS-Anfrage über UDP-Port 53
Kontrollmeldung mit ICMP:
Router oder Zielhost → ICMP-Meldung → Absender
Beispiel: Ziel nicht erreichbar oder Zeit überschritten
IHK-sichere Kurzformulierung
ICMP ist ein Kontrollprotokoll der Internetprotokollfamilie. Es dient nicht der normalen Datenübertragung zwischen Anwendungen, sondern wird für Fehler- und Statusmeldungen im IP-Netzwerk verwendet. Typische Beispiele sind das klassische ping mit ICMP Echo Request und ICMP Echo Reply sowie Fehlermeldungen wie Destination Unreachable oder Time Exceeded. Im Gegensatz zu TCP und UDP verwendet ICMP keine Ports, sondern Typen und Codes. Wichtig ist: Klassisches ping nutzt ICMP, aber ICMP wird nicht ausschließlich für ping verwendet. Außerdem wird der Begriff "Ping" umgangssprachlich manchmal auch für andere Latenz- oder Erreichbarkeitstests genutzt, zum Beispiel TCP-Ping, HTTP-Ping oder Game-Ping.
Merksätze
TCP transportiert zuverlässig.
UDP transportiert schnell und einfach.
ICMP meldet, prüft und diagnostiziert.
TCP und UDP verwenden Ports.
ICMP verwendet keine Ports.
TCP = Verbindung und Zuverlässigkeit
UDP = keine Verbindung und wenig Verwaltungsaufwand
ICMP = Kontroll- und Fehlermeldungen
Klassisches ping nutzt ICMP Echo Request und ICMP Echo Reply.
ICMP ist aber nicht nur für ping da.
Der Begriff "Ping" wird umgangssprachlich manchmal auch für andere Antwortzeit-Tests verwendet.
Traceroute nutzt unter anderem ICMP Time Exceeded.
Wenn ping nicht funktioniert,
heißt das nicht automatisch,
dass der Zielhost komplett offline ist.
ICMP sollte nicht pauschal komplett blockiert werden,
weil einige ICMP-Meldungen für Diagnose und Netzwerkfunktion wichtig sind.
6.1 OSI-Schicht 3 – Vermittlungsschicht / Netzwerkschicht
Die Vermittlungsschicht ist Schicht 3 des OSI-Modells.
Sie wird auch genannt:
Netzwerkschicht
Die wichtigste Aufgabe von Schicht 3 ist:
Daten zwischen verschiedenen Netzwerken weiterleiten.
Dabei geht es vor allem um:
- IP-Adressen
- IP-Pakete
- Subnetze
- Routing
- Router
- Standard-Gateway
- Netzmaske
- IPv4
- IPv6
- ICMP
Merksatz:
Schicht 3 = IP-Adressen, Pakete und Routing.
Grundidee von Schicht 3
Schicht 2 ist für die lokale Übertragung im LAN zuständig.
Schicht 3 geht darüber hinaus.
Schicht 3 ermöglicht Kommunikation zwischen unterschiedlichen Netzwerken.
Beispiel:
PC im LAN
→ Router
→ Internet
→ Webserver
Dabei wird nicht mehr nur lokal mit MAC-Adressen gearbeitet, sondern mit IP-Adressen.
Merksatz:
Schicht 2 verbindet lokal.
Schicht 3 verbindet Netze.
Einordnung im OSI-Modell
OSI-Schicht
Name
Aufgabe
7
Anwendungsschicht
Netzwerkdienste für Anwendungen
6
Darstellungsschicht
Darstellung, Codierung, Verschlüsselung
5
Sitzungsschicht
Sitzungen verwalten
4
Transportschicht
Transport zwischen Anwendungen
3
Vermittlungsschicht / Netzwerkschicht
IP-Adressierung und Routing
2
Sicherungsschicht
Frames, MAC-Adressen, lokale Übertragung
1
Bitübertragungsschicht
Bits als Signale übertragen
Merksatz:
Schicht 3 liegt zwischen lokaler Übertragung und Transport.
Warum braucht man Schicht 3?
Ein lokales Netzwerk allein reicht nicht aus, wenn Geräte in unterschiedlichen Netzen kommunizieren sollen.
Beispiel:
PC A:
192.168.10.20
Server B:
192.168.30.50
Diese Geräte liegen in unterschiedlichen IP-Netzen.
Damit sie kommunizieren können, braucht man Routing.
Routing gehört zu Schicht 3.
Merksatz:
Unterschiedliche IP-Netze brauchen Schicht-3-Vermittlung.
Begriff: IP-Adresse
Eine IP-Adresse ist eine logische Adresse auf Schicht 3.
Sie dient dazu, Geräte in IP-Netzen erreichbar zu machen.
Beispiele:
IPv4:
192.168.10.20
IPv6:
2001:db8::10
IP-Adressen werden für die netzübergreifende Kommunikation verwendet.
Merksatz:
IP-Adresse = logische Adresse auf Schicht 3.
MAC-Adresse und IP-Adresse unterscheiden
Adresse
Schicht
Aufgabe
MAC-Adresse
2
lokale Zustellung im LAN
IP-Adresse
3
logische Adressierung zwischen Netzen
Wichtig:
MAC-Adressen gelten nur lokal auf einem Netzwerkabschnitt.
IP-Adressen dienen der Zustellung über Netzgrenzen hinweg.
Merksatz:
MAC = lokal.
IP = netzübergreifend.
Begriff: IP-Paket
Ein IP-Paket ist die Datenübertragungseinheit auf Schicht 3.
Ein IP-Paket enthält unter anderem:
- Quell-IP-Adresse
- Ziel-IP-Adresse
- Nutzdaten
- Steuerinformationen
Vereinfacht:
Ein IP-Paket ist der Datenbehälter für die Zustellung zwischen IP-Netzen.
Merksatz:
IP-Paket = Datenform auf Schicht 3.
Frame, Paket und Segment unterscheiden
Begriff
Schicht
Bedeutung
Frame
2
lokale Übertragung mit MAC-Adressen
Paket
3
IP-Übertragung zwischen Netzen
Segment
4
TCP-Datenübertragung
Datagramm
4
UDP-Datenübertragung
Prüfungsfalle:
Ethernet arbeitet mit Frames.
IP arbeitet mit Paketen.
TCP arbeitet mit Segmenten.
Merksatz:
Schicht 2 = Frame.
Schicht 3 = Paket.
Schicht 4 = Segment oder Datagramm.
Quell-IP und Ziel-IP
Ein IP-Paket enthält normalerweise:
- Quell-IP-Adresse
- Ziel-IP-Adresse
Die Quell-IP-Adresse gibt an:
Von welchem Gerät stammt das Paket?
Die Ziel-IP-Adresse gibt an:
Zu welchem Gerät soll das Paket?
Beispiel:
PC sendet an Webserver.
Quell-IP:
IP-Adresse des PCs
Ziel-IP:
IP-Adresse des Webservers
Merksatz:
Quell-IP = woher.
Ziel-IP = wohin.
IP-Adresse bleibt über Router hinweg erhalten
Wenn ein IP-Paket über mehrere Router läuft, bleibt die Ziel-IP-Adresse grundsätzlich gleich.
Beispiel:
PC → Router 1 → Router 2 → Server
Die Ethernet-Frames ändern sich auf jedem Abschnitt.
Die IP-Adressen im IP-Paket bleiben grundsätzlich erhalten.
Ausnahme:
NAT oder PAT kann IP-Adressen verändern.
Merksatz:
MAC ändert sich pro Abschnitt.
IP bleibt grundsätzlich Ende-zu-Ende erhalten.
Router
Ein Router ist ein typisches Gerät auf Schicht 3.
Aufgabe:
IP-Pakete zwischen unterschiedlichen Netzwerken weiterleiten.
Ein Router entscheidet anhand der Ziel-IP-Adresse, wohin ein Paket weitergeleitet werden soll.
Dafür nutzt er eine Routing-Tabelle.
Merksatz:
Router = Schicht-3-Gerät für IP-Weiterleitung.
Switch und Router unterscheiden
Gerät
typische Schicht
Arbeitsweise
Switch
2
leitet Frames anhand von MAC-Adressen weiter
Router
3
leitet IP-Pakete anhand von IP-Adressen weiter
Wichtig:
Ein Switch verbindet Geräte im lokalen Netz.
Ein Router verbindet verschiedene IP-Netze.
Merksatz:
Switch = MAC.
Router = IP.
Standard-Gateway
Das Standard-Gateway ist der Router, den ein Gerät verwendet, wenn das Ziel nicht im eigenen IP-Netz liegt.
Beispiel:
PC:
192.168.10.20/24
Gateway:
192.168.10.1
Wenn der PC ein Ziel außerhalb von 192.168.10.0/24 erreichen möchte, sendet er das Paket an das Standard-Gateway.
Merksatz:
Standard-Gateway = Ausgang in andere Netze.
Wann braucht ein Gerät das Gateway?
Ein Gerät braucht das Gateway, wenn die Ziel-IP-Adresse nicht im eigenen Subnetz liegt.
Beispiel:
PC:
192.168.10.20/24
Ziel:
192.168.10.30
Das Ziel liegt im gleichen Netz.
Kein Gateway nötig.
Beispiel:
PC:
192.168.10.20/24
Ziel:
8.8.8.8
Das Ziel liegt nicht im gleichen Netz.
Gateway nötig.
Merksatz:
Gleiches Subnetz = direkt.
Anderes Subnetz = über Gateway.
Subnetz
Ein Subnetz ist ein Teilbereich eines IP-Netzes.
Beispiel:
192.168.10.0/24
Dieses Subnetz enthält IP-Adressen von:
192.168.10.1
bis
192.168.10.254
Die Netzadresse ist:
192.168.10.0
Die Broadcast-Adresse ist:
192.168.10.255
Merksatz:
Subnetz = logischer IP-Adressbereich.
Netzadresse
Die Netzadresse bezeichnet das Netzwerk selbst.
Beispiel:
192.168.10.0/24
Die Netzadresse ist:
192.168.10.0
Diese Adresse wird normalerweise nicht einem Endgerät zugewiesen.
Merksatz:
Netzadresse = Adresse des Netzes.
Broadcast-Adresse
Die Broadcast-Adresse ist die Adresse für alle Geräte im Subnetz.
Beispiel:
192.168.10.0/24
Broadcast-Adresse:
192.168.10.255
Diese Adresse wird normalerweise nicht einem einzelnen Endgerät zugewiesen.
Merksatz:
Broadcast-Adresse = alle Geräte im Subnetz.
Host-Adresse
Host-Adressen sind die nutzbaren Adressen für Geräte im Subnetz.
Beispiel:
192.168.10.0/24
Nutzbare Host-Adressen:
192.168.10.1
bis
192.168.10.254
Diese Adressen können Geräten zugewiesen werden.
Beispiele:
PC
Server
Drucker
Router-Interface
Access Point
Merksatz:
Host-Adresse = nutzbare Adresse für ein Gerät.
Subnetzmaske
Die Subnetzmaske legt fest, welcher Teil einer IP-Adresse zum Netz gehört und welcher Teil zum Host gehört.
Beispiel:
IP-Adresse:
192.168.10.20
Subnetzmaske:
255.255.255.0
Das entspricht:
/24
Merksatz:
Subnetzmaske trennt Netzanteil und Hostanteil.
CIDR-Schreibweise
CIDR steht für:
Classless Inter-Domain Routing
Die CIDR-Schreibweise gibt an, wie viele Bits zur Netzadresse gehören.
Beispiel:
192.168.10.20/24
Das bedeutet:
Die ersten 24 Bit gehören zum Netzanteil.
Häufige Beispiele:
CIDR
Subnetzmaske
/24
255.255.255.0
/25
255.255.255.128
/26
255.255.255.192
/27
255.255.255.224
/28
255.255.255.240
/30
255.255.255.252
Merksatz:
/24 bedeutet:
24 Bit Netzanteil.
Netzanteil und Hostanteil
Eine IP-Adresse besteht aus:
Netzanteil
und
Hostanteil
Beispiel:
192.168.10.20/24
Bei /24 ist vereinfacht:
Netzanteil:
192.168.10
Hostanteil:
20
Das Netz ist:
192.168.10.0/24
Merksatz:
Netzanteil bestimmt das Netzwerk.
Hostanteil bestimmt das Gerät im Netzwerk.
Routing
Routing bedeutet:
IP-Pakete zwischen Netzwerken weiterleiten.
Ein Router prüft die Ziel-IP-Adresse und entscheidet anhand seiner Routing-Tabelle, wohin das Paket weitergeleitet wird.
Dabei interessiert ihn nicht die Ziel-MAC-Adresse des ursprünglichen Frames.
Der Router arbeitet auf Schicht 3.
Merksatz:
Routing = Wegentscheidung für IP-Pakete.
Routing-Tabelle
Eine Routing-Tabelle enthält Informationen darüber, welche Netze über welchen Weg erreichbar sind.
Vereinfacht enthält sie:
- Zielnetz
- Netzmaske oder Präfix
- nächster Hop
- Ausgangsschnittstelle
- Metrik
Beispiel:
Zielnetz
Nächster Hop
Schnittstelle
192.168.10.0/24
direkt verbunden
LAN
192.168.20.0/24
192.168.10.1
LAN
0.0.0.0/0
Provider-Router
WAN
Merksatz:
Routing-Tabelle = Wegweiser für IP-Pakete.
Nächster Hop
Der nächste Hop ist das nächste Gerät, an das ein Router ein Paket weitergibt.
Meist ist das ein anderer Router.
Beispiel:
Zielnetz:
10.20.30.0/24
nächster Hop:
192.168.1.1
Der Router sendet das Paket an den nächsten Hop, damit es dem Ziel näherkommt.
Merksatz:
Nächster Hop = nächster Router auf dem Weg zum Ziel.
Direkt verbundenes Netz
Ein Router kennt Netze, die direkt an seinen Schnittstellen angeschlossen sind.
Beispiel:
Router-Interface:
192.168.10.1/24
Dann kennt der Router direkt:
192.168.10.0/24
Für direkt verbundene Netze braucht der Router keinen weiteren Router als nächsten Hop.
Merksatz:
Direkt verbunden = Netz liegt an eigener Schnittstelle.
Default Route
Eine Default Route ist eine Standardroute für alle Ziele, für die keine genauere Route vorhanden ist.
IPv4-Schreibweise:
0.0.0.0/0
Bedeutung:
alle IPv4-Ziele
Beispiel:
Alles Unbekannte geht zum Provider-Router.
Merksatz:
Default Route = Route für alles, was nicht genauer bekannt ist.
Longest Prefix Match
Ein Router wählt bei mehreren passenden Routen die genaueste Route.
Das nennt man:
Longest Prefix Match
Beispiel:
Route A:
192.168.0.0/16
Route B:
192.168.10.0/24
Ziel:
192.168.10.50
Beide Routen passen.
Die /24-Route ist genauer und wird gewählt.
Merksatz:
Genaueste passende Route gewinnt.
Statisches Routing
Beim statischen Routing werden Routen manuell eingetragen.
Vorteile:
- einfach bei kleinen Netzen
- gut kontrollierbar
- wenig Protokoll-Overhead
Nachteile:
- hoher Aufwand bei großen Netzen
- Änderungen müssen manuell gepflegt werden
- Ausfälle werden nicht automatisch umgangen
Merksatz:
Statische Route = manuell eingetragener Weg.
Dynamisches Routing
Beim dynamischen Routing tauschen Router automatisch Routing-Informationen aus.
Dafür werden Routing-Protokolle verwendet.
Beispiele:
- OSPF
- RIP
- BGP
Vorteile:
- automatische Anpassung
- besser für größere Netze
- alternative Wege möglich
Nachteile:
- komplexer
- muss geplant und abgesichert werden
Merksatz:
Dynamisches Routing = Router lernen Wege automatisch.
Routing-Protokolle kurz eingeordnet
Protokoll
typischer Einsatz
RIP
einfach, älter, kleine Netze
OSPF
interne Unternehmensnetze
BGP
Internet und Provider-Routing
Für AP1/AP2 ist besonders wichtig:
OSPF wird häufig in internen Netzen verwendet.
BGP ist zentral für das Routing im Internet.
Merksatz:
OSPF intern.
BGP zwischen großen Netzen im Internet.
ICMP
ICMP steht für:
Internet Control Message Protocol
ICMP gehört zum IP-Umfeld und wird für Kontroll- und Fehlermeldungen verwendet.
Typische Nutzung:
- Ping
- Traceroute
- Fehlermeldungen im IP-Netz
Wichtig:
ICMP nutzt keine TCP- oder UDP-Ports.
Merksatz:
ICMP = Kontrollmeldungen für IP.
Ping
Ping prüft, ob ein Ziel grundsätzlich per IP erreichbar ist.
Dazu wird häufig ICMP Echo Request und Echo Reply verwendet.
Vereinfacht:
Echo Request:
Bist du erreichbar?
Echo Reply:
Ja, ich antworte.
Wichtig:
Wenn Ping nicht funktioniert,
heißt das nicht automatisch,
dass das Ziel komplett unerreichbar ist.
ICMP kann durch Firewalls blockiert werden.
Merksatz:
Ping prüft IP-Erreichbarkeit,
aber ist kein vollständiger Diensttest.
Traceroute
Traceroute zeigt den Weg zu einem Ziel über mehrere Router.
Je nach Betriebssystem heißt der Befehl zum Beispiel:
tracert
traceroute
tracepath
Traceroute hilft zu erkennen:
über welche Router ein Paket läuft
und
wo die Verbindung möglicherweise stoppt.
Merksatz:
Traceroute zeigt den Weg durch das IP-Netz.
TTL
TTL steht für:
Time To Live
TTL begrenzt die Lebensdauer eines IP-Pakets.
Jeder Router verringert den TTL-Wert.
Wenn TTL 0 erreicht, wird das Paket verworfen.
Zweck:
Pakete sollen nicht endlos im Netz kreisen.
Merksatz:
TTL verhindert endloses Kreisen von IP-Paketen.
IPv4 und IPv6
Schicht 3 kann mit IPv4 oder IPv6 arbeiten.
Version
Beispiel
IPv4
192.168.10.20
IPv6
2001:db8::10
IPv4 verwendet 32-Bit-Adressen.
IPv6 verwendet 128-Bit-Adressen.
Merksatz:
IPv4 = 32 Bit.
IPv6 = 128 Bit.
Private IPv4-Adressen
Private IPv4-Adressen werden in lokalen Netzwerken verwendet.
Wichtige Bereiche:
Bereich
CIDR
10.0.0.0 – 10.255.255.255
10.0.0.0/8
172.16.0.0 – 172.31.255.255
172.16.0.0/12
192.168.0.0 – 192.168.255.255
192.168.0.0/16
Private Adressen sind im öffentlichen Internet nicht direkt geroutet.
Merksatz:
Private IPv4-Adressen werden im LAN genutzt.
NAT kurz eingeordnet
NAT steht für:
Network Address Translation
NAT verändert IP-Adressen beim Übergang zwischen Netzen.
Typisches Beispiel:
viele private Geräte im LAN
teilen sich eine öffentliche IPv4-Adresse
NAT wird besonders häufig am Internet-Router eingesetzt.
Merksatz:
NAT übersetzt IP-Adressen.
PAT kurz eingeordnet
PAT steht für:
Port Address Translation
PAT ist eine Form von NAT.
Dabei teilen sich mehrere interne Geräte eine öffentliche IP-Adresse und werden über Port-Zuordnungen unterschieden.
Typisch im Heimnetz:
viele Geräte
eine öffentliche IPv4-Adresse
Merksatz:
PAT = viele interne Geräte über eine öffentliche IP mit Ports unterscheiden.
Schicht 3 und VLANs
VLANs gehören zu Schicht 2.
Wenn Geräte in unterschiedlichen VLANs kommunizieren sollen, braucht man Routing auf Schicht 3.
Das nennt man:
Inter-VLAN-Routing
Dafür nutzt man:
- Router
- Layer-3-Switch
- Firewall
Merksatz:
VLAN trennt auf Schicht 2.
Routing verbindet auf Schicht 3.
Was Schicht 3 nicht macht
Schicht 3 macht nicht:
- Ethernet-Frames lokal anhand von MAC-Adressen switchen
- TCP-Verbindungen aufbauen
- UDP-Ports auswerten
- DNS-Namen auflösen
- Webseiten bereitstellen
- Benutzer anmelden
- Dateifreigaben bereitstellen
Diese Aufgaben liegen auf anderen Schichten.
Merksatz:
Schicht 3 routet IP-Pakete,
aber stellt keine Anwendung bereit.
Typische Schicht-3-Fehler
Typische Fehler auf Schicht 3 sind:
- falsche IP-Adresse
- falsche Subnetzmaske
- falsches Standard-Gateway
- fehlende Route
- falsche Route
- doppelte IP-Adresse
- NAT-Problem
- Routing-Schleife
- Firewall-Regel auf IP-Ebene
- falsches VLAN-Subnetz-Zusammenspiel
Merksatz:
Schicht-3-Fehler betreffen IP, Subnetze, Gateway und Routing.
Einordnung bei der Fehlersuche
Eine sinnvolle Reihenfolge:
1. Schicht 1:
Link, Kabel, Signal
2. Schicht 2:
MAC, VLAN, ARP
3. Schicht 3:
IP-Adresse, Subnetzmaske, Gateway, Route
4. Schicht 4:
TCP-/UDP-Port
5. Schicht 7:
Anwendung, DNS, Dienst
Merksatz:
Erst Link,
dann MAC/VLAN,
dann IP/Routing.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Welche Aufgabe hat die Vermittlungsschicht?
- Was ist eine IP-Adresse?
- Was ist ein IP-Paket?
- Was macht ein Router?
- Was ist ein Standard-Gateway?
- Wann wird ein Gateway benötigt?
- Was ist ein Subnetz?
- Was bedeutet CIDR?
- Was ist eine Routing-Tabelle?
- Was bedeutet Default Route?
- Was bedeutet Longest Prefix Match?
- Was ist der Unterschied zwischen statischem und dynamischem Routing?
- Was ist ICMP?
- Wofür wird Ping verwendet?
- Was zeigt Traceroute?
- Was ist TTL?
- Was ist der Unterschied zwischen MAC-Adresse und IP-Adresse?
Typische Prüfungsfallen
Schicht 3 arbeitet mit IP-Paketen.
Schicht 2 arbeitet mit Frames.
MAC-Adressen gehören zu Schicht 2.
IP-Adressen gehören zu Schicht 3.
Switch = Schicht 2.
Router = Schicht 3.
Gateway wird benötigt,
wenn das Ziel nicht im eigenen Subnetz liegt.
Gleiches Subnetz = direkte lokale Zustellung.
Anderes Subnetz = über Gateway.
Default Route = 0.0.0.0/0.
Genaueste passende Route gewinnt.
Ping nutzt ICMP,
nicht TCP oder UDP.
ICMP hat keine TCP- oder UDP-Ports.
IPv4 hat 32 Bit.
IPv6 hat 128 Bit.
VLAN ist Schicht 2.
Inter-VLAN-Routing ist Schicht 3.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Vermittlungsschicht
OSI-Schicht 3
Netzwerkschicht
anderer Begriff für Schicht 3
IP-Adresse
logische Adresse auf Schicht 3
IP-Paket
Datenform auf Schicht 3
Quell-IP
Absender-IP-Adresse
Ziel-IP
Empfänger-IP-Adresse
Router
Gerät zur Weiterleitung zwischen Netzen
Standard-Gateway
Router für Ziele außerhalb des eigenen Netzes
Subnetz
logischer IP-Adressbereich
Netzadresse
Adresse des Netzes
Broadcast-Adresse
Adresse für alle Hosts im Subnetz
Host-Adresse
nutzbare Adresse für ein Gerät
Subnetzmaske
trennt Netzanteil und Hostanteil
CIDR
Schreibweise für Präfixlänge
Routing
Weiterleitung zwischen IP-Netzen
Routing-Tabelle
Tabelle mit Wegen zu Zielnetzen
Nächster Hop
nächster Router auf dem Weg
Default Route
Standardroute für unbekannte Ziele
Longest Prefix Match
genaueste passende Route gewinnt
ICMP
Kontroll- und Fehlermeldungen für IP
Ping
ICMP-Erreichbarkeitstest
Traceroute
zeigt Weg über Router
TTL
begrenzt Lebensdauer eines IP-Pakets
NAT
Übersetzung von IP-Adressen
PAT
Übersetzung mit Port-Zuordnung
IHK-sichere Kurzformulierung
Die Vermittlungsschicht beziehungsweise Netzwerkschicht ist Schicht 3 des OSI-Modells. Sie ist für die logische Adressierung und Weiterleitung von IP-Paketen zwischen verschiedenen Netzwerken zuständig. Dafür werden IP-Adressen, Subnetzmasken, Gateways und Routing-Tabellen verwendet. Ein Router arbeitet typischerweise auf Schicht 3 und entscheidet anhand der Ziel-IP-Adresse, wohin ein Paket weitergeleitet wird. Befindet sich ein Ziel nicht im eigenen Subnetz, wird das Paket an das Standard-Gateway gesendet. ICMP gehört zum IP-Umfeld und wird unter anderem für Ping und Traceroute verwendet.
Merksätze
Schicht 3 = Vermittlungsschicht / Netzwerkschicht.
Schicht 3 = IP-Adressen, Pakete und Routing.
IP-Adresse = logische Adresse.
IP-Paket = Datenform auf Schicht 3.
MAC = Schicht 2.
IP = Schicht 3.
MAC gilt lokal.
IP gilt netzübergreifend.
Switch = MAC.
Router = IP.
Gateway = Ausgang in andere Netze.
Gleiches Subnetz = direkt.
Anderes Subnetz = über Gateway.
Subnetzmaske trennt Netzanteil und Hostanteil.
CIDR gibt die Präfixlänge an.
Routing = Weiterleitung zwischen IP-Netzen.
Routing-Tabelle = Wegweiser für Pakete.
Default Route = 0.0.0.0/0.
Genaueste passende Route gewinnt.
ICMP = Kontrollmeldungen für IP.
Ping nutzt ICMP.
ICMP nutzt keine TCP- oder UDP-Ports.
Traceroute zeigt den Weg durch das IP-Netz.
TTL verhindert endloses Kreisen von IP-Paketen.
IPv4 = 32 Bit.
IPv6 = 128 Bit.
VLAN = Schicht 2.
Inter-VLAN-Routing = Schicht 3.
Erst Link,
dann MAC/VLAN,
dann IP/Routing.
6.2 IPv4-Adressen, Subnetze und Netzmasken
IPv4 ist eine der wichtigsten Grundlagen auf OSI-Schicht 3.
IPv4-Adressen werden verwendet, um Geräte in IP-Netzen logisch zu adressieren.
Beispiel:
192.168.10.20
Eine IPv4-Adresse allein reicht aber nicht aus.
Man muss zusätzlich wissen:
Welcher Teil gehört zum Netzwerk?
Welcher Teil gehört zum Gerät?
Welche Adressen sind nutzbar?
Welche Adresse ist die Netzadresse?
Welche Adresse ist die Broadcast-Adresse?
Dafür braucht man die Subnetzmaske oder CIDR-Schreibweise.
Merksatz:
IPv4-Adresse + Subnetzmaske = vollständige Netzzuordnung.
IPv4 kurz erklärt
IPv4 steht für:
Internet Protocol Version 4
Eine IPv4-Adresse besteht aus:
32 Bit
Sie wird meistens dezimal in vier Blöcken dargestellt.
Beispiel:
192.168.10.20
Diese vier Blöcke nennt man oft:
Oktette
Warum Oktette?
Jeder Block entspricht 8 Bit.
4 Oktette ergeben:
4 × 8 Bit = 32 Bit
Merksatz:
IPv4 = 32 Bit = 4 Oktette.
Aufbau einer IPv4-Adresse
Beispiel:
192.168.10.20
Die Adresse besteht aus vier Oktetten:
Oktett
Wert
1
192
2
168
3
10
4
20
Jedes Oktett kann Werte von 0 bis 255 enthalten.
Warum?
8 Bit können 256 verschiedene Werte darstellen.
Von:
0
bis:
255
Merksatz:
Ein IPv4-Oktett hat Werte von 0 bis 255.
Binäre Darstellung
Computer arbeiten intern mit Bits.
Eine IPv4-Adresse kann deshalb auch binär dargestellt werden.
Beispiel:
192.168.10.20
Binär:
Dezimal
Binär
192
11000000
168
10101000
10
00001010
20
00010100
Gesamt:
11000000.10101000.00001010.00010100
Merksatz:
IPv4 sieht dezimal aus,
besteht technisch aber aus 32 Bits.
Netzanteil und Hostanteil
Eine IPv4-Adresse besteht aus zwei Teilen:
Netzanteil
und
Hostanteil
Der Netzanteil sagt:
Zu welchem Netzwerk gehört die Adresse?
Der Hostanteil sagt:
Welches Gerät ist es in diesem Netzwerk?
Beispiel:
192.168.10.20/24
Bei /24 gehören die ersten 24 Bit zum Netzanteil.
Vereinfacht:
Netzanteil:
192.168.10
Hostanteil:
20
Merksatz:
Netzanteil = Netzwerk.
Hostanteil = Gerät im Netzwerk.
Subnetzmaske
Die Subnetzmaske legt fest, welcher Teil der IP-Adresse zum Netz gehört und welcher Teil zum Host gehört.
Beispiel:
IP-Adresse:
192.168.10.20
Subnetzmaske:
255.255.255.0
Das bedeutet:
192.168.10 = Netzanteil
20 = Hostanteil
Die Subnetzmaske trennt also Netz und Host.
Merksatz:
Subnetzmaske trennt Netzanteil und Hostanteil.
CIDR-Schreibweise
CIDR steht für:
Classless Inter-Domain Routing
Die CIDR-Schreibweise gibt an, wie viele Bits zur Netzadresse gehören.
Beispiel:
192.168.10.20/24
Das bedeutet:
Die ersten 24 Bit gehören zum Netzanteil.
Die Subnetzmaske dazu lautet:
255.255.255.0
Merksatz:
/24 bedeutet:
24 Bit Netzanteil.
CIDR und Subnetzmaske
Wichtige CIDR-Schreibweisen:
CIDR
Subnetzmaske
Anzahl Host-Bits
/8
255.0.0.0
24
/16
255.255.0.0
16
/24
255.255.255.0
8
/25
255.255.255.128
7
/26
255.255.255.192
6
/27
255.255.255.224
5
/28
255.255.255.240
4
/29
255.255.255.248
3
/30
255.255.255.252
2
/32
255.255.255.255
0
Merksatz:
Je größer die CIDR-Zahl,
desto kleiner das Netz.
Host-Bits
Host-Bits sind die Bits, die für Geräteadressen im Subnetz übrig bleiben.
IPv4 hat insgesamt:
32 Bit
Wenn ein Netz /24 ist, dann gilt:
24 Bit Netzanteil
8 Bit Hostanteil
Wenn ein Netz /26 ist, dann gilt:
26 Bit Netzanteil
6 Bit Hostanteil
Merksatz:
Host-Bits = 32 minus CIDR-Präfix.
Anzahl der Adressen berechnen
Die Anzahl aller Adressen in einem Subnetz berechnet man mit:
2 hoch Anzahl der Host-Bits
Beispiel /24:
Host-Bits:
8
2 hoch 8 = 256 Adressen
Beispiel /26:
Host-Bits:
6
2 hoch 6 = 64 Adressen
Merksatz:
Anzahl Adressen = 2 hoch Host-Bits.
Nutzbare Host-Adressen
In klassischen IPv4-Subnetzen sind normalerweise zwei Adressen nicht für Endgeräte nutzbar:
Netzadresse
Broadcast-Adresse
Deshalb gilt meistens:
nutzbare Hosts = 2 hoch Host-Bits minus 2
Beispiel /24:
2 hoch 8 = 256
256 - 2 = 254 nutzbare Hosts
Beispiel /26:
2 hoch 6 = 64
64 - 2 = 62 nutzbare Hosts
Merksatz:
Nutzbare Hosts = alle Adressen minus Netzadresse und Broadcast-Adresse.
Netzadresse
Die Netzadresse bezeichnet das Subnetz selbst.
Beispiel:
192.168.10.0/24
Die Netzadresse ist:
192.168.10.0
Diese Adresse wird normalerweise keinem Endgerät zugewiesen.
Merksatz:
Netzadresse = Adresse des Netzes.
Broadcast-Adresse
Die Broadcast-Adresse ist die letzte Adresse im Subnetz.
Sie steht für:
alle Geräte in diesem Subnetz
Beispiel:
192.168.10.0/24
Broadcast-Adresse:
192.168.10.255
Diese Adresse wird normalerweise keinem einzelnen Gerät zugewiesen.
Merksatz:
Broadcast-Adresse = letzte Adresse im Subnetz.
Hostbereich
Der Hostbereich umfasst die nutzbaren Adressen für Geräte.
Beispiel:
Netz:
192.168.10.0/24
Netzadresse:
192.168.10.0
Hostbereich:
192.168.10.1 bis 192.168.10.254
Broadcast-Adresse:
192.168.10.255
Merksatz:
Hostbereich = nutzbare Geräteadressen zwischen Netzadresse und Broadcast-Adresse.
Beispiel /24
Netz:
192.168.10.0/24
Subnetzmaske:
255.255.255.0
Bereich
Adresse
Netzadresse
192.168.10.0
erster Host
192.168.10.1
letzter Host
192.168.10.254
Broadcast-Adresse
192.168.10.255
alle Adressen
256
nutzbare Hosts
254
Merksatz:
/24 ist ein häufiges Standard-LAN mit 254 nutzbaren Host-Adressen.
Beispiel /25
Netz:
192.168.10.0/25
Subnetzmaske:
255.255.255.128
Host-Bits:
7
Alle Adressen:
2 hoch 7 = 128
Nutzbare Hosts:
128 - 2 = 126
Bereich
Adresse
Netzadresse
192.168.10.0
erster Host
192.168.10.1
letzter Host
192.168.10.126
Broadcast-Adresse
192.168.10.127
alle Adressen
128
nutzbare Hosts
126
Merksatz:
/25 halbiert ein /24 in zwei gleich große Netze.
Zweites /25 im gleichen /24-Bereich
Wenn ein /24 in zwei /25-Netze geteilt wird, entstehen:
Netz
Bereich
192.168.10.0/25
192.168.10.0 – 192.168.10.127
192.168.10.128/25
192.168.10.128 – 192.168.10.255
Zweites Netz:
192.168.10.128/25
Bereich
Adresse
Netzadresse
192.168.10.128
erster Host
192.168.10.129
letzter Host
192.168.10.254
Broadcast-Adresse
192.168.10.255
Merksatz:
/25-Netze springen in 128er-Schritten.
Beispiel /26
Netz:
192.168.10.0/26
Subnetzmaske:
255.255.255.192
Host-Bits:
6
Alle Adressen:
2 hoch 6 = 64
Nutzbare Hosts:
64 - 2 = 62
Bereich
Adresse
Netzadresse
192.168.10.0
erster Host
192.168.10.1
letzter Host
192.168.10.62
Broadcast-Adresse
192.168.10.63
Merksatz:
/26-Netze haben 64 Adressen und 62 nutzbare Hosts.
/26-Netze innerhalb eines /24
Ein /24 kann in vier /26-Netze geteilt werden.
Netz
Bereich
192.168.10.0/26
192.168.10.0 – 192.168.10.63
192.168.10.64/26
192.168.10.64 – 192.168.10.127
192.168.10.128/26
192.168.10.128 – 192.168.10.191
192.168.10.192/26
192.168.10.192 – 192.168.10.255
Merksatz:
/26-Netze springen in 64er-Schritten.
Beispiel /27
Netz:
192.168.10.0/27
Subnetzmaske:
255.255.255.224
Host-Bits:
5
Alle Adressen:
2 hoch 5 = 32
Nutzbare Hosts:
32 - 2 = 30
Bereich
Adresse
Netzadresse
192.168.10.0
erster Host
192.168.10.1
letzter Host
192.168.10.30
Broadcast-Adresse
192.168.10.31
Merksatz:
/27-Netze haben 32 Adressen und 30 nutzbare Hosts.
/27-Netze innerhalb eines /24
Ein /24 kann in acht /27-Netze geteilt werden.
Die Schrittweite beträgt:
32
Netz
Bereich
192.168.10.0/27
192.168.10.0 – 192.168.10.31
192.168.10.32/27
192.168.10.32 – 192.168.10.63
192.168.10.64/27
192.168.10.64 – 192.168.10.95
192.168.10.96/27
192.168.10.96 – 192.168.10.127
192.168.10.128/27
192.168.10.128 – 192.168.10.159
192.168.10.160/27
192.168.10.160 – 192.168.10.191
192.168.10.192/27
192.168.10.192 – 192.168.10.223
192.168.10.224/27
192.168.10.224 – 192.168.10.255
Merksatz:
/27-Netze springen in 32er-Schritten.
Schrittweite
Die Schrittweite zeigt, in welchen Abständen neue Subnetze beginnen.
Beispiele im vierten Oktett:
CIDR
Subnetzmaske
Schrittweite
/25
255.255.255.128
128
/26
255.255.255.192
64
/27
255.255.255.224
32
/28
255.255.255.240
16
/29
255.255.255.248
8
/30
255.255.255.252
4
Merksatz:
Schrittweite = Größe eines Subnetzes im betroffenen Oktett.
Schnelle Regel zur Schrittweite
Bei Subnetzen im vierten Oktett kann man die Schrittweite schnell berechnen:
256 minus Maskenwert im vierten Oktett
Beispiel /26:
Subnetzmaske:
255.255.255.192
256 - 192 = 64
Schrittweite:
64
Beispiel /28:
Subnetzmaske:
255.255.255.240
256 - 240 = 16
Schrittweite:
16
Merksatz:
Schrittweite = 256 minus Maskenwert im interessanten Oktett.
Beispiel: In welchem Subnetz liegt eine IP?
IP-Adresse:
192.168.10.70/26
/26 bedeutet:
Schrittweite 64
Subnetze:
192.168.10.0 – 192.168.10.63
192.168.10.64 – 192.168.10.127
192.168.10.128 – 192.168.10.191
192.168.10.192 – 192.168.10.255
Die IP 192.168.10.70 liegt im Bereich:
192.168.10.64 – 192.168.10.127
Also:
Bereich
Adresse
Netzadresse
192.168.10.64
erster Host
192.168.10.65
letzter Host
192.168.10.126
Broadcast-Adresse
192.168.10.127
Merksatz:
IP in den passenden Schrittweitenbereich einordnen.
Beispiel: 192.168.10.200/27
/27 bedeutet:
Schrittweite 32
Subnetze:
0 – 31
32 – 63
64 – 95
96 – 127
128 – 159
160 – 191
192 – 223
224 – 255
Die IP 192.168.10.200 liegt im Bereich:
192.168.10.192 – 192.168.10.223
Also:
Bereich
Adresse
Netzadresse
192.168.10.192
erster Host
192.168.10.193
letzter Host
192.168.10.222
Broadcast-Adresse
192.168.10.223
Merksatz:
Bei /27 beginnt jedes neue Netz alle 32 Adressen.
Private IPv4-Adressen
Private IPv4-Adressen werden in lokalen Netzwerken verwendet.
Sie sind im öffentlichen Internet nicht direkt geroutet.
Wichtige private Bereiche:
Bereich
CIDR
10.0.0.0 – 10.255.255.255
10.0.0.0/8
172.16.0.0 – 172.31.255.255
172.16.0.0/12
192.168.0.0 – 192.168.255.255
192.168.0.0/16
Typisch im Heimnetz:
192.168.x.x
Typisch in größeren Netzen:
10.x.x.x
Merksatz:
Private IPv4-Adressen sind für interne Netze gedacht.
Öffentliche IPv4-Adressen
Öffentliche IPv4-Adressen sind im Internet eindeutig geroutet.
Sie werden zum Beispiel verwendet für:
- Webserver
- Mailserver
- öffentliche DNS-Server
- Internetanschlüsse
- Cloud-Systeme
Da IPv4-Adressen knapp sind, nutzen viele private Netze NAT oder PAT.
Merksatz:
Öffentliche IPv4-Adressen sind im Internet routbar.
APIPA
APIPA steht für:
Automatic Private IP Addressing
APIPA-Adressen liegen im Bereich:
169.254.0.0/16
Ein Gerät kann eine APIPA-Adresse erhalten, wenn es keine Adresse per DHCP bekommt.
Beispiel:
169.254.23.80
Typischer Hinweis:
DHCP funktioniert nicht
oder
DHCP-Server ist nicht erreichbar.
Merksatz:
169.254.x.x weist oft auf DHCP-Probleme hin.
Loopback-Adresse
Die IPv4-Loopback-Adresse ist:
127.0.0.1
Sie zeigt auf das eigene Gerät.
Der Bereich:
127.0.0.0/8
ist für Loopback reserviert.
Typischer Test:
ping 127.0.0.1
Damit prüft man den lokalen IP-Stack des eigenen Systems.
Merksatz:
127.0.0.1 = eigenes Gerät.
0.0.0.0
Die Adresse 0.0.0.0 kann verschiedene Bedeutungen haben.
Typische Bedeutungen:
- keine konkrete Adresse
- alle IPv4-Adressen
- Default Route als 0.0.0.0/0
- Dienst lauscht auf allen Schnittstellen
Beispiel Routing:
0.0.0.0/0
bedeutet:
alle Ziele,
für die keine genauere Route existiert.
Merksatz:
0.0.0.0/0 = Default Route für alle IPv4-Ziele.
255.255.255.255
Die Adresse:
255.255.255.255
ist ein begrenzter Broadcast.
Sie wird verwendet, um alle Geräte im lokalen Netzwerksegment anzusprechen.
Beispiel:
DHCP-Anfragen können diesen Broadcast verwenden.
Merksatz:
255.255.255.255 = lokaler IPv4-Broadcast.
IPv4 und VLANs
VLANs gehören zu Schicht 2.
IP-Subnetze gehören zu Schicht 3.
In der Praxis wird häufig jedem VLAN ein eigenes IPv4-Subnetz zugeordnet.
Beispiel:
VLAN
Zweck
Subnetz
10
Mitarbeiter
192.168.10.0/24
20
Gäste
192.168.20.0/24
30
Server
192.168.30.0/24
Merksatz:
VLAN trennt auf Schicht 2.
Subnetz trennt auf Schicht 3.
Warum pro VLAN oft ein eigenes Subnetz?
Ein VLAN ist eine eigene Broadcast-Domäne.
Wenn Geräte in unterschiedlichen VLANs kommunizieren sollen, braucht man Routing.
Damit Routing sauber funktioniert, bekommt jedes VLAN normalerweise ein eigenes IP-Subnetz.
Beispiel:
VLAN 10:
192.168.10.0/24
VLAN 20:
192.168.20.0/24
Merksatz:
Ein VLAN und ein Subnetz werden oft zusammen geplant,
sind aber nicht dasselbe.
Typische IPv4-Konfigurationsfehler
Typische Fehler sind:
- falsche IP-Adresse
- falsche Subnetzmaske
- falsches Gateway
- doppelte IP-Adresse
- IP aus falschem Netz
- APIPA-Adresse
- falscher DHCP-Bereich
- falsches VLAN zur IP-Adresse
- fehlende Route
Merksatz:
Viele Schicht-3-Probleme beginnen mit falscher IP-Konfiguration.
Beispiel: falsche Subnetzmaske
PC A:
192.168.10.20/24
PC B:
192.168.10.30/25
Beide IP-Adressen sehen ähnlich aus.
Aber durch unterschiedliche Subnetzmasken kann ein Gerät anders entscheiden, ob ein Ziel lokal oder über das Gateway erreichbar ist.
Folge:
Kommunikation kann unzuverlässig oder einseitig wirken.
Merksatz:
IP-Adresse und Subnetzmaske müssen zusammenpassen.
Beispiel: falsches Gateway
PC:
IP-Adresse:
192.168.10.20/24
Gateway:
192.168.20.1
Problem:
Das Gateway liegt nicht im eigenen Subnetz.
Der PC kann dieses Gateway normalerweise nicht direkt erreichen.
Richtig wäre zum Beispiel:
192.168.10.1
Merksatz:
Das Standard-Gateway muss im eigenen lokalen Subnetz erreichbar sein.
Beispiel: IP aus falschem VLAN
Ein PC hängt im Mitarbeiter-VLAN, bekommt aber eine IP-Adresse aus dem Gastnetz.
Beispiel:
Soll:
VLAN 10
192.168.10.0/24
Ist:
VLAN 20
192.168.20.0/24
Mögliche Ursachen:
- Switch-Port im falschen VLAN
- falsche SSID-VLAN-Zuordnung
- DHCP-Bereich falsch zugeordnet
- Trunk falsch konfiguriert
Merksatz:
Falsche IP-Adresse kann auf falsches VLAN hinweisen.
Einordnung in das OSI-Modell
Thema
Schicht
Ethernet-Frame
2
MAC-Adresse
2
VLAN
2
IPv4-Adresse
3
Subnetzmaske
3
Gateway
3
Routing
3
NAT
3 / 4-Bezug
TCP-Port
4
DNS
7
Merksatz:
VLAN = Schicht 2.
IPv4-Subnetz = Schicht 3.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Wie viele Bit hat eine IPv4-Adresse?
- Was ist ein Oktett?
- Was macht die Subnetzmaske?
- Was bedeutet CIDR?
- Was bedeutet /24?
- Wie viele nutzbare Hosts hat ein /24?
- Was ist die Netzadresse?
- Was ist die Broadcast-Adresse?
- Was ist der Hostbereich?
- Wie berechnet man die Schrittweite?
- In welchem Subnetz liegt eine bestimmte IP-Adresse?
- Was sind private IPv4-Adressen?
- Was bedeutet 169.254.x.x?
- Was ist die Loopback-Adresse?
- Warum braucht jedes VLAN häufig ein eigenes Subnetz?
Typische Prüfungsfallen
IPv4 hat 32 Bit.
Ein Oktett hat 8 Bit.
Ein Oktett geht von 0 bis 255.
/24 bedeutet 24 Bit Netzanteil.
Host-Bits = 32 minus CIDR-Präfix.
Alle Adressen = 2 hoch Host-Bits.
Nutzbare Hosts = alle Adressen minus 2.
Netzadresse ist nicht für ein Endgerät.
Broadcast-Adresse ist nicht für ein Endgerät.
Je größer die CIDR-Zahl,
desto kleiner das Netz.
VLAN ist nicht Subnetz.
Gateway muss im eigenen Subnetz erreichbar sein.
169.254.x.x weist oft auf DHCP-Probleme hin.
127.0.0.1 ist Loopback.
0.0.0.0/0 ist die Default Route.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
IPv4
Internet Protocol Version 4
IPv4-Adresse
32-Bit-Adresse auf Schicht 3
Oktett
8-Bit-Block einer IPv4-Adresse
Netzanteil
Teil der Adresse für das Netzwerk
Hostanteil
Teil der Adresse für das Gerät
Subnetzmaske
trennt Netzanteil und Hostanteil
CIDR
Schreibweise mit Präfixlänge
Präfix
Anzahl der Netz-Bits
Host-Bits
Bits für Geräteadressen
Netzadresse
Adresse des Subnetzes
Broadcast-Adresse
Adresse für alle Hosts im Subnetz
Hostbereich
nutzbare Geräteadressen
Schrittweite
Abstand zwischen Subnetzen
private IPv4-Adresse
interne, nicht öffentlich geroutete Adresse
öffentliche IPv4-Adresse
im Internet routbare Adresse
APIPA
automatische Adresse bei DHCP-Problem
Loopback
Adresse des eigenen Geräts
Default Route
Route für unbekannte Ziele
IHK-sichere Kurzformulierung
Eine IPv4-Adresse besteht aus 32 Bit und wird meist in vier Oktetten dargestellt. Die Subnetzmaske oder CIDR-Schreibweise legt fest, welcher Teil der Adresse zum Netzanteil und welcher Teil zum Hostanteil gehört. Aus dem Netzanteil ergibt sich die Netzadresse, aus dem Hostanteil der nutzbare Adressbereich und die Broadcast-Adresse. Die Anzahl der Adressen in einem Subnetz ergibt sich aus 2 hoch Anzahl der Host-Bits. In klassischen IPv4-Subnetzen sind Netzadresse und Broadcast-Adresse nicht für Endgeräte nutzbar. VLANs gehören zu Schicht 2, IP-Subnetze zu Schicht 3, werden in der Praxis aber häufig gemeinsam geplant.
Merksätze
IPv4 = 32 Bit.
IPv4 besteht aus 4 Oktetten.
Ein Oktett = 8 Bit.
Ein Oktett geht von 0 bis 255.
IP-Adresse + Subnetzmaske = Netzzuordnung.
Subnetzmaske trennt Netzanteil und Hostanteil.
CIDR zeigt die Anzahl der Netz-Bits.
/24 = 24 Bit Netzanteil.
Host-Bits = 32 minus CIDR-Präfix.
Alle Adressen = 2 hoch Host-Bits.
Nutzbare Hosts = alle Adressen minus 2.
Netzadresse = Adresse des Netzes.
Broadcast-Adresse = letzte Adresse im Subnetz.
Hostbereich = nutzbare Geräteadressen.
Je größer das Präfix,
desto kleiner das Netz.
/25 springt in 128er-Schritten.
/26 springt in 64er-Schritten.
/27 springt in 32er-Schritten.
/28 springt in 16er-Schritten.
Private IPv4-Adressen sind nicht direkt im Internet geroutet.
169.254.x.x weist oft auf DHCP-Probleme hin.
127.0.0.1 = Loopback.
0.0.0.0/0 = Default Route.
VLAN = Schicht 2.
IPv4-Subnetz = Schicht 3.
Gateway muss im eigenen Subnetz erreichbar sein.
6.3 Routing, Gateway und Routing-Tabelle
Routing gehört zu OSI-Schicht 3.
Routing bedeutet:
IP-Pakete zwischen verschiedenen Netzwerken weiterleiten.
Ein Router entscheidet anhand der Ziel-IP-Adresse, wohin ein IP-Paket als Nächstes gesendet wird.
Dafür verwendet er eine Routing-Tabelle.
Merksatz:
Routing = Wegentscheidung für IP-Pakete.
Warum braucht man Routing?
Geräte im gleichen IP-Subnetz können direkt miteinander kommunizieren.
Geräte in unterschiedlichen IP-Subnetzen brauchen einen Router.
Beispiel:
PC A:
192.168.10.20/24
Server B:
192.168.30.50/24
Diese Geräte liegen in unterschiedlichen Netzen:
192.168.10.0/24
192.168.30.0/24
Damit die Kommunikation funktioniert, braucht man Routing.
Merksatz:
Unterschiedliche IP-Netze brauchen Routing.
Gleiches Subnetz oder anderes Subnetz?
Ein Gerät entscheidet zuerst:
Liegt das Ziel im eigenen Subnetz?
Oder liegt das Ziel in einem anderen Subnetz?
Beispiel 1:
PC:
192.168.10.20/24
Ziel:
192.168.10.50
Das Ziel liegt im gleichen Subnetz.
Direkte lokale Zustellung möglich.
Beispiel 2:
PC:
192.168.10.20/24
Ziel:
192.168.20.50
Das Ziel liegt in einem anderen Subnetz.
Standard-Gateway nötig.
Merksatz:
Gleiches Subnetz = direkt.
Anderes Subnetz = Gateway.
Standard-Gateway
Das Standard-Gateway ist der Router, den ein Gerät für Ziele außerhalb des eigenen Subnetzes verwendet.
Beispiel:
PC:
192.168.10.20/24
Standard-Gateway:
192.168.10.1
Wenn der PC ein Ziel außerhalb von 192.168.10.0/24 erreichen möchte, sendet er das Paket an das Gateway.
Merksatz:
Standard-Gateway = Ausgang in andere Netze.
Gateway muss im eigenen Subnetz liegen
Das Standard-Gateway muss für den Client lokal erreichbar sein.
Beispiel korrekt:
PC:
192.168.10.20/24
Gateway:
192.168.10.1
Beide liegen im Netz:
192.168.10.0/24
Beispiel falsch:
PC:
192.168.10.20/24
Gateway:
192.168.20.1
Das Gateway liegt nicht im eigenen Subnetz und ist für den PC nicht direkt erreichbar.
Merksatz:
Das Gateway muss im eigenen lokalen Subnetz erreichbar sein.
Router
Ein Router verbindet verschiedene IP-Netze miteinander.
Er besitzt meistens mehrere Schnittstellen.
Jede Schnittstelle gehört zu einem bestimmten Netz.
Beispiel:
Router-Schnittstelle
IP-Adresse
Netz
LAN 1
192.168.10.1/24
192.168.10.0/24
LAN 2
192.168.20.1/24
192.168.20.0/24
WAN
öffentliche IP
Internet
Der Router kann Pakete zwischen diesen Netzen weiterleiten.
Merksatz:
Router haben Schnittstellen in verschiedenen IP-Netzen.
Router und Switch unterscheiden
Gerät
typische Schicht
Aufgabe
Switch
2
leitet Frames anhand von MAC-Adressen weiter
Router
3
leitet IP-Pakete zwischen Netzen weiter
Ein Switch entscheidet anhand von:
MAC-Adressen
Ein Router entscheidet anhand von:
IP-Adressen
Merksatz:
Switch = MAC.
Router = IP.
Routing-Tabelle
Eine Routing-Tabelle enthält Wege zu Zielnetzen.
Ein Router nutzt diese Tabelle, um zu entscheiden, wohin ein Paket weitergeleitet wird.
Eine Routing-Tabelle enthält typischerweise:
- Zielnetz
- Subnetzmaske oder Präfix
- nächster Hop
- Ausgangsschnittstelle
- Metrik
Merksatz:
Routing-Tabelle = Wegweiser für IP-Pakete.
Beispiel einer Routing-Tabelle
Vereinfachte Routing-Tabelle:
Zielnetz
Präfix
Nächster Hop
Schnittstelle
192.168.10.0
/24
direkt verbunden
LAN 1
192.168.20.0
/24
direkt verbunden
LAN 2
10.10.0.0
/16
192.168.20.254
LAN 2
0.0.0.0
/0
Provider-Router
WAN
Bedeutung:
192.168.10.0/24 liegt direkt an LAN 1.
192.168.20.0/24 liegt direkt an LAN 2.
10.10.0.0/16 ist über 192.168.20.254 erreichbar.
Alles andere geht über die Default Route.
Merksatz:
Jede Route beschreibt einen Weg zu einem Zielnetz.
Direkt verbundene Route
Eine direkt verbundene Route entsteht, wenn eine Router-Schnittstelle eine IP-Adresse aus diesem Netz hat.
Beispiel:
Router-Interface:
192.168.10.1/24
Dann kennt der Router direkt:
192.168.10.0/24
Für dieses Netz braucht der Router keinen nächsten Router.
Merksatz:
Direkt verbunden = Netz liegt an eigener Schnittstelle.
Statische Route
Eine statische Route wird manuell eingetragen.
Beispiel:
Zielnetz:
10.20.30.0/24
nächster Hop:
192.168.10.254
Der Administrator legt also fest:
Pakete zu 10.20.30.0/24 gehen über 192.168.10.254.
Vorteile:
- einfach bei kleinen Netzen
- gut kontrollierbar
- kein Routing-Protokoll nötig
Nachteile:
- manuelle Pflege
- fehleranfällig bei Änderungen
- keine automatische Anpassung bei Ausfällen
Merksatz:
Statische Route = manuell eingetragener Weg.
Dynamische Route
Dynamische Routen werden automatisch über Routing-Protokolle gelernt.
Beispiele für Routing-Protokolle:
- RIP
- OSPF
- BGP
Router tauschen dabei Informationen über erreichbare Netze aus.
Vorteile:
- automatische Anpassung
- besser für größere Netze
- alternative Wege möglich
Nachteile:
- komplexer
- muss richtig geplant werden
- braucht Absicherung
Merksatz:
Dynamische Route = automatisch gelernter Weg.
Default Route
Eine Default Route wird verwendet, wenn keine genauere Route passt.
IPv4-Schreibweise:
0.0.0.0/0
Bedeutung:
alle IPv4-Ziele
Beispiel:
Wenn der Router das Zielnetz nicht genauer kennt,
sendet er das Paket an den Provider-Router.
Merksatz:
Default Route = Route für alles Unbekannte.
Warum ist die Default Route wichtig?
Ohne Default Route kennt ein Router oder Client nur bestimmte Netze.
Ein normaler Client kennt meistens:
eigenes Subnetz
Standard-Gateway
Für Internetziele braucht der Client sein Gateway.
Der Router braucht wiederum oft eine Default Route Richtung Internet.
Merksatz:
Ohne Default Route funktionieren unbekannte externe Ziele nicht.
Nächster Hop
Der nächste Hop ist das nächste Gerät auf dem Weg zum Ziel.
Meistens ist das ein Router.
Beispiel:
Zielnetz:
10.10.0.0/16
nächster Hop:
192.168.20.254
Der Router sendet das Paket an 192.168.20.254, damit es von dort weitergeleitet wird.
Merksatz:
Nächster Hop = nächster Router auf dem Weg.
Ausgangsschnittstelle
Die Ausgangsschnittstelle ist die Schnittstelle, über die ein Paket den Router verlässt.
Beispiele:
LAN
WAN
VLAN 10
VLAN 20
SFP-Port
Tunnel-Interface
Bei direkt verbundenen Netzen reicht oft die Ausgangsschnittstelle.
Bei entfernten Netzen wird häufig ein nächster Hop angegeben.
Merksatz:
Ausgangsschnittstelle = Port oder Interface, über das das Paket weitergeht.
Metrik
Die Metrik ist ein Wert zur Bewertung einer Route.
Wenn mehrere Wege zum gleichen Ziel vorhanden sind, kann die Metrik bei der Auswahl helfen.
Eine kleinere Metrik bedeutet häufig:
bevorzugter Weg
Die genaue Bedeutung hängt vom Routing-Verfahren ab.
Merksatz:
Metrik = Bewertung eines Weges.
Longest Prefix Match
Wenn mehrere Routen passen, wählt der Router die genaueste Route.
Das nennt man:
Longest Prefix Match
Beispiel:
Route
passt für Ziel 192.168.10.50?
192.168.0.0/16
ja
192.168.10.0/24
ja
192.168.10.48/28
ja
0.0.0.0/0
ja
Die genaueste Route ist:
192.168.10.48/28
Warum?
/28 hat den längsten passenden Präfix.
Merksatz:
Genaueste passende Route gewinnt.
Default Route und Longest Prefix Match
Die Default Route passt immer.
Aber sie ist am wenigsten genau.
Beispiel:
Route
Präfix
192.168.10.0/24
/24
192.168.0.0/16
/16
0.0.0.0/0
/0
Für das Ziel:
192.168.10.20
wird die /24-Route gewählt.
Die Default Route wird nur verwendet, wenn keine genauere Route passt.
Merksatz:
Default Route ist der letzte Ausweg.
Routing-Entscheidung Schritt für Schritt
Ein Router arbeitet vereinfacht so:
1. IP-Paket kommt an.
2. Router liest die Ziel-IP-Adresse.
3. Router sucht passende Route in der Routing-Tabelle.
4. Genaueste passende Route wird gewählt.
5. Router bestimmt nächsten Hop oder Ausgangsschnittstelle.
6. Router erstellt einen neuen lokalen Frame.
7. Paket wird weitergeleitet.
Merksatz:
Router entscheidet nach Ziel-IP,
nicht nach Ziel-MAC des alten Frames.
Was passiert mit dem Ethernet-Frame am Router?
Ein Router trennt Schicht-2-Abschnitte.
Wenn ein Frame beim Router ankommt, passiert vereinfacht:
Der Router entfernt den alten Ethernet-Frame.
Das IP-Paket wird geprüft.
Der Router entscheidet den nächsten Weg.
Für den nächsten Abschnitt wird ein neuer Ethernet-Frame erstellt.
Dabei ändern sich:
Quell-MAC-Adresse
Ziel-MAC-Adresse
Grundsätzlich gleich bleiben:
Quell-IP-Adresse
Ziel-IP-Adresse
Ausnahme:
NAT oder PAT kann IP-Adressen verändern.
Merksatz:
Router erneuert den Frame,
aber routet das IP-Paket weiter.
ARP beim Routing
Auch Router brauchen lokale MAC-Adressen.
Wenn ein Router ein Paket zum nächsten Hop senden soll, muss er die MAC-Adresse des nächsten Hops kennen.
Dafür verwendet er bei IPv4 ARP.
Beispiel:
nächster Hop:
192.168.20.254
Der Router fragt per ARP:
Wer hat 192.168.20.254?
Merksatz:
Routing entscheidet den Weg,
ARP findet die lokale MAC für den nächsten Abschnitt.
Routing zwischen VLANs
VLANs trennen auf Schicht 2.
Wenn Geräte in unterschiedlichen VLANs kommunizieren sollen, braucht man Routing.
Das nennt man:
Inter-VLAN-Routing
Beispiel:
VLAN 10:
192.168.10.0/24
VLAN 20:
192.168.20.0/24
Kommunikation zwischen VLAN 10 und VLAN 20 benötigt eine Schicht-3-Komponente.
Merksatz:
VLAN zu VLAN braucht Routing.
Router-on-a-Stick
Router-on-a-Stick ist eine Methode für Inter-VLAN-Routing.
Dabei gibt es eine Trunk-Verbindung zwischen Switch und Router.
Über diesen Trunk laufen mehrere VLANs.
Der Router nutzt logische Unterinterfaces.
Beispiel:
Unterinterface
VLAN
Gateway-IP
G0/0.10
VLAN 10
192.168.10.1
G0/0.20
VLAN 20
192.168.20.1
G0/0.30
VLAN 30
192.168.30.1
Merksatz:
Router-on-a-Stick = Routing mehrerer VLANs über einen Router-Trunk.
Layer-3-Switch
Ein Layer-3-Switch kann Switching und Routing kombinieren.
Er arbeitet:
auf Schicht 2 als Switch
und
auf Schicht 3 als Router
Er kann zwischen VLANs routen, ohne dass ein separater Router nötig ist.
Dafür nutzt er oft virtuelle Schnittstellen.
Diese heißen je nach System zum Beispiel:
SVI
VLAN-Interface
Routing-Interface
Merksatz:
Layer-3-Switch = Switch mit Routing-Funktion.
Firewall als Gateway
In vielen Netzwerken ist eine Firewall das Standard-Gateway für VLANs.
Beispiel:
VLAN
Gateway auf Firewall
VLAN 10
192.168.10.1
VLAN 20
192.168.20.1
VLAN 30
192.168.30.1
Vorteil:
Die Firewall kann den Verkehr zwischen VLANs kontrollieren.
Beispiel:
Gäste dürfen ins Internet.
Gäste dürfen nicht auf Server.
Mitarbeiter dürfen auf bestimmte Serverdienste.
Merksatz:
Firewall als Gateway verbindet Routing mit Zugriffskontrolle.
Routing und Firewall unterscheiden
Routing entscheidet:
Wohin soll ein Paket weitergeleitet werden?
Firewall entscheidet:
Darf dieses Paket weitergeleitet werden?
Beide Funktionen können im gleichen Gerät sitzen.
Beispiel:
Eine Firewall routet zwischen VLANs
und prüft dabei Regeln.
Merksatz:
Routing findet den Weg.
Firewall erlaubt oder blockiert.
NAT und Routing unterscheiden
Routing leitet Pakete zwischen Netzen weiter.
NAT verändert IP-Adressen.
Beispiel Routing:
Paket wird von VLAN 10 ins Internet weitergeleitet.
Beispiel NAT:
private Quell-IP 192.168.10.20 wird zur öffentlichen IP des Routers übersetzt.
Merksatz:
Routing leitet weiter.
NAT übersetzt Adressen.
PAT und Internetzugang
PAT ist eine häufige Form von NAT.
PAT steht für:
Port Address Translation
Viele interne Geräte teilen sich eine öffentliche IPv4-Adresse.
Beispiel:
PC 1:
192.168.10.20
PC 2:
192.168.10.30
Beide nutzen nach außen dieselbe öffentliche IP-Adresse.
Der Router unterscheidet die Verbindungen über Port-Zuordnungen.
Merksatz:
PAT ermöglicht vielen privaten Geräten gemeinsamen Internetzugang über eine öffentliche IP.
Routing-Schleife
Eine Routing-Schleife entsteht, wenn Router Pakete im Kreis weiterleiten.
Beispiel:
Router A sendet zu Router B.
Router B sendet zurück zu Router A.
Folge:
Das Paket kreist im Netz,
bis die TTL abläuft.
Merksatz:
Routing-Schleife = Paket läuft auf Schicht 3 im Kreis.
TTL bei Routing-Schleifen
TTL steht für:
Time To Live
Jeder Router verringert die TTL eines IP-Pakets.
Wenn TTL 0 erreicht, wird das Paket verworfen.
Zweck:
IP-Pakete sollen nicht endlos im Netz kreisen.
Merksatz:
TTL begrenzt Routing-Schleifen.
Traceroute und Routing
Traceroute nutzt TTL-Verhalten, um den Weg zu einem Ziel sichtbar zu machen.
Je nach Betriebssystem heißt der Befehl:
tracert
traceroute
tracepath
Traceroute zeigt:
welche Router auf dem Weg liegen
und
wo die Verbindung möglicherweise stoppt.
Merksatz:
Traceroute hilft beim Prüfen des Routing-Wegs.
Ping und Routing
Ping kann helfen zu prüfen, ob ein Ziel per IP erreichbar ist.
Ping nutzt typischerweise ICMP Echo Request und Echo Reply.
Wenn Ping nicht funktioniert, kann das viele Ursachen haben:
- Ziel aus
- falsche IP-Adresse
- falsches Gateway
- fehlende Route
- Firewall blockiert ICMP
- Routing-Problem
- Schicht-1- oder Schicht-2-Problem
Merksatz:
Ping prüft Erreichbarkeit,
aber erklärt nicht allein die Ursache.
Typische Routing-Fehler
Typische Fehler sind:
- falsches Standard-Gateway
- fehlende Default Route
- fehlende Route zum Zielnetz
- falscher nächster Hop
- Gateway nicht erreichbar
- falsche Subnetzmaske
- Routing-Schleife
- asymmetrisches Routing
- Firewall blockiert Verkehr
- NAT falsch konfiguriert
Merksatz:
Routing-Fehler betreffen Wege zwischen IP-Netzen.
Fehlerbild: Gateway nicht erreichbar
Mögliche Ursachen:
- Gateway-IP falsch eingetragen
- Gateway liegt nicht im eigenen Subnetz
- falsches VLAN
- Router-Interface down
- ARP zum Gateway funktioniert nicht
- Schicht-1-Problem
- Schicht-2-Problem
Prüfung:
IP-Adresse prüfen.
Subnetzmaske prüfen.
Gateway prüfen.
ARP-Eintrag prüfen.
VLAN prüfen.
Link prüfen.
Merksatz:
Gateway-Probleme können Schicht 2 oder Schicht 3 betreffen.
Fehlerbild: Internet funktioniert nicht
Wenn ein Client das Internet nicht erreicht, kann ein Routing-Problem vorliegen.
Mögliche Ursachen:
- falsches Gateway
- Gateway nicht erreichbar
- DNS funktioniert nicht
- Default Route fehlt
- NAT fehlt
- Firewall blockiert
- Provider-Verbindung gestört
- IP-Konfiguration falsch
Wichtig:
DNS-Problem und Routing-Problem unterscheiden.
Beispiel:
Ping auf 8.8.8.8 funktioniert,
aber www.example.com nicht.
Dann ist Routing wahrscheinlich grundsätzlich möglich,
aber DNS könnte das Problem sein.
Merksatz:
IP-Ziel testen,
danach DNS prüfen.
Fehlerbild: Ein Netz erreicht anderes Netz nicht
Beispiel:
VLAN 10 erreicht VLAN 20 nicht.
Mögliche Ursachen:
- Inter-VLAN-Routing fehlt
- Gateway-IP fehlt
- falsche Firewall-Regel
- falsche Route
- VLAN nicht korrekt angebunden
- Subnetzmaske falsch
- Rückroute fehlt
Merksatz:
Kommunikation zwischen Netzen braucht Hin- und Rückweg.
Rückroute
Eine Rückroute ist der Weg zurück zum Absendernetz.
Kommunikation braucht nicht nur einen Hinweg, sondern auch einen Rückweg.
Beispiel:
Netz A sendet zu Netz B.
Netz B muss Antwortpakete zurück zu Netz A senden können.
Wenn die Rückroute fehlt, sieht es so aus, als ob das Ziel nicht antwortet.
Merksatz:
Ohne Rückroute keine funktionierende Antwort.
Asymmetrisches Routing
Asymmetrisches Routing bedeutet:
Hinweg und Rückweg nehmen unterschiedliche Pfade.
Das ist nicht immer ein Fehler.
Aber es kann problematisch sein, wenn Firewalls oder zustandsbehaftete Prüfungen beteiligt sind.
Warum?
Eine Firewall erwartet oft,
dass sie beide Richtungen einer Verbindung sieht.
Merksatz:
Asymmetrisches Routing kann Firewalls stören.
Routing und Dokumentation
Routing sollte sauber dokumentiert werden.
Wichtige Informationen:
- Netze
- Subnetze
- Gateways
- Routing-Tabellen
- Default Routes
- Firewall-Zonen
- VLAN-Zuordnung
- NAT-Regeln
- WAN-Verbindungen
Merksatz:
Ohne Dokumentation wird Routing-Fehlersuche schnell unübersichtlich.
Einordnung in das OSI-Modell
Thema
Schicht
Ethernet-Frame
2
MAC-Adresse
2
VLAN
2
IP-Adresse
3
IP-Paket
3
Routing
3
Router
3
Gateway
3
Routing-Tabelle
3
ICMP
3
TCP-Port
4
DNS
7
Merksatz:
MAC/VLAN = Schicht 2.
IP/Routing = Schicht 3.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was bedeutet Routing?
- Welche Aufgabe hat ein Router?
- Was ist eine Routing-Tabelle?
- Was ist eine Default Route?
- Was bedeutet 0.0.0.0/0?
- Was ist ein Standard-Gateway?
- Wann wird ein Gateway benötigt?
- Was ist ein nächster Hop?
- Was bedeutet Longest Prefix Match?
- Was ist der Unterschied zwischen statischem und dynamischem Routing?
- Was ist Inter-VLAN-Routing?
- Was ist Router-on-a-Stick?
- Was ist ein Layer-3-Switch?
- Was ist eine Routing-Schleife?
- Warum ist TTL wichtig?
- Warum braucht Kommunikation auch eine Rückroute?
Typische Prüfungsfallen
Routing gehört zu Schicht 3.
Router leiten IP-Pakete weiter,
keine Ethernet-Frames über mehrere Netze.
Switches leiten Frames anhand von MAC-Adressen weiter.
Router entscheiden anhand von IP-Adressen.
Gateway wird nur für Ziele außerhalb des eigenen Subnetzes benötigt.
Das Standard-Gateway muss im eigenen Subnetz liegen.
Default Route = 0.0.0.0/0.
Genaueste passende Route gewinnt.
Direkt verbundene Netze brauchen keinen nächsten Hop.
Kommunikation braucht Hinweg und Rückweg.
Fehlende Rückroute kann wie ein Zielproblem aussehen.
Routing ist nicht NAT.
Routing ist nicht Firewall.
VLAN zu VLAN braucht Routing.
TTL begrenzt Routing-Schleifen.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Routing
Weiterleitung von IP-Paketen zwischen Netzen
Router
Gerät zur Verbindung verschiedener IP-Netze
Routing-Tabelle
Tabelle mit Wegen zu Zielnetzen
Zielnetz
Netz, zu dem ein Paket geleitet werden soll
Nächster Hop
nächster Router auf dem Weg
Ausgangsschnittstelle
Interface, über das das Paket weitergeht
Metrik
Bewertung eines Weges
Direkt verbunden
Netz liegt an eigener Schnittstelle
Statische Route
manuell eingetragene Route
Dynamische Route
automatisch gelernte Route
Default Route
Route für unbekannte Ziele
Longest Prefix Match
genaueste passende Route gewinnt
Standard-Gateway
Router für Ziele außerhalb des eigenen Netzes
Inter-VLAN-Routing
Routing zwischen VLANs
Router-on-a-Stick
Inter-VLAN-Routing über Router-Trunk
Layer-3-Switch
Switch mit Routing-Funktion
NAT
Übersetzung von IP-Adressen
PAT
NAT mit Port-Zuordnung
Routing-Schleife
Paket läuft auf Schicht 3 im Kreis
TTL
begrenzt Lebensdauer eines IP-Pakets
Rückroute
Weg zurück zum Absendernetz
asymmetrisches Routing
Hin- und Rückweg sind unterschiedlich
IHK-sichere Kurzformulierung
Routing ist die Weiterleitung von IP-Paketen zwischen unterschiedlichen IP-Netzen und gehört zu OSI-Schicht 3. Ein Router entscheidet anhand der Ziel-IP-Adresse und seiner Routing-Tabelle, wohin ein Paket weitergeleitet wird. Befindet sich ein Ziel nicht im eigenen Subnetz, sendet ein Client das Paket an sein Standard-Gateway. Die Default Route 0.0.0.0/0 wird verwendet, wenn keine genauere Route vorhanden ist. Bei mehreren passenden Routen gilt das Longest Prefix Match, also die genaueste passende Route gewinnt. Für funktionierende Kommunikation müssen Hinweg und Rückweg vorhanden sein.
Merksätze
Routing = Schicht 3.
Routing = IP-Pakete zwischen Netzen weiterleiten.
Router entscheidet anhand der Ziel-IP.
Switch entscheidet anhand der Ziel-MAC.
Routing-Tabelle = Wegweiser für IP-Pakete.
Gateway = Ausgang in andere Netze.
Gleiches Subnetz = direkt.
Anderes Subnetz = Gateway.
Gateway muss im eigenen Subnetz liegen.
Direkt verbunden = eigene Schnittstelle im Zielnetz.
Statische Route = manuell.
Dynamische Route = automatisch gelernt.
Default Route = 0.0.0.0/0.
Default Route = letzter Ausweg.
Longest Prefix Match = genaueste Route gewinnt.
Nächster Hop = nächster Router.
Router erneuert den Ethernet-Frame.
IP-Paket wird weitergeroutet.
MAC ändert sich pro Abschnitt.
IP bleibt grundsätzlich erhalten.
VLAN zu VLAN braucht Routing.
Routing findet den Weg.
Firewall entscheidet erlaubt oder blockiert.
NAT übersetzt Adressen.
TTL begrenzt Routing-Schleifen.
Kommunikation braucht Hinweg und Rückweg.
6.4 ICMP, Ping und Traceroute
ICMP gehört zu den wichtigsten Protokollen im Umfeld von OSI-Schicht 3.
ICMP steht für:
Internet Control Message Protocol
Auf Deutsch sinngemäß:
Internet-Kontrollnachrichten-Protokoll
ICMP wird verwendet, um Kontroll- und Fehlermeldungen im IP-Netz zu übertragen.
Merksatz:
ICMP = Kontroll- und Fehlermeldungen für IP.
Warum gibt es ICMP?
IP selbst ist ein verbindungsloses Protokoll.
Das bedeutet:
IP sendet Pakete weiter,
baut aber keine Verbindung wie TCP auf.
Wenn im IP-Netz etwas nicht funktioniert, braucht man trotzdem Rückmeldungen.
Beispiele:
Ziel nicht erreichbar
Paket zu groß
TTL abgelaufen
Echo-Anfrage
Echo-Antwort
Diese Meldungen werden über ICMP übertragen.
Merksatz:
ICMP ergänzt IP um Kontroll- und Fehlermeldungen.
ICMP im OSI-Modell
ICMP gehört fachlich zum IP-Umfeld.
Es wird meistens bei Schicht 3 eingeordnet.
Warum?
ICMP arbeitet mit IP.
ICMP wird für IP-Kontrollmeldungen verwendet.
ICMP nutzt keine TCP- oder UDP-Ports.
Wichtig:
ICMP ist nicht TCP.
ICMP ist nicht UDP.
Merksatz:
ICMP gehört zum IP-Umfeld auf Schicht 3.
ICMP und Ports
ICMP nutzt keine TCP- oder UDP-Ports.
Das ist eine wichtige Prüfungsfalle.
TCP und UDP arbeiten mit Ports.
Beispiele:
TCP 80 = HTTP
TCP 443 = HTTPS
UDP 53 = DNS
ICMP arbeitet anders.
ICMP verwendet:
Typ
und
Code
Merksatz:
ICMP hat keine Ports,
sondern Typ und Code.
ICMP-Typ und ICMP-Code
ICMP-Nachrichten werden durch Typ und Code genauer beschrieben.
Der Typ sagt grob, welche Art von Nachricht es ist.
Der Code beschreibt die Nachricht genauer.
Beispiel:
ICMP-Nachricht
Bedeutung
Echo Request
Anfrage bei Ping
Echo Reply
Antwort bei Ping
Destination Unreachable
Ziel nicht erreichbar
Time Exceeded
Zeit / TTL abgelaufen
Für AP1/AP2 reicht meistens:
ICMP nutzt Typ und Code,
nicht TCP- oder UDP-Ports.
Merksatz:
Typ = Art der ICMP-Nachricht.
Code = genauere Ursache.
Ping
Ping ist ein Werkzeug zur Prüfung der IP-Erreichbarkeit.
Ping verwendet klassisch ICMP Echo Request und ICMP Echo Reply.
Vereinfacht:
Echo Request:
Bist du erreichbar?
Echo Reply:
Ja, ich bin erreichbar.
Wenn eine Antwort kommt, weiß man:
Das Ziel ist grundsätzlich per IP erreichbar.
Der Rückweg funktioniert ebenfalls.
ICMP wird nicht blockiert.
Merksatz:
Ping prüft grundlegende IP-Erreichbarkeit.
Ping-Ablauf
Beispiel:
PC pingt 192.168.10.1
Vereinfacht passiert:
1. PC erstellt ICMP Echo Request.
2. ICMP wird in ein IP-Paket verpackt.
3. IP-Paket wird lokal als Ethernet-Frame gesendet.
4. Zielgerät empfängt die Anfrage.
5. Zielgerät sendet ICMP Echo Reply zurück.
6. PC misst Antwortzeit und Paketverlust.
Merksatz:
Ping sendet ICMP-Anfrage und erwartet ICMP-Antwort.
Was Ping anzeigen kann
Ping kann zeigen:
- Ziel antwortet oder antwortet nicht
- ungefähre Antwortzeit
- Paketverlust
- Namensauflösung, wenn ein Name verwendet wird
- ob grundsätzlich IP-Kommunikation möglich ist
Beispiel:
ping 192.168.10.1
prüft direkt eine IP-Adresse.
Beispiel:
ping www.example.com
prüft zusätzlich, ob der Name aufgelöst werden kann.
Merksatz:
Ping auf IP prüft IP-Erreichbarkeit.
Ping auf Name prüft zusätzlich DNS-Auflösung.
Was Ping nicht sicher beweist
Ein erfolgreicher Ping bedeutet nicht automatisch:
Webseite funktioniert.
TCP-Port ist offen.
Anwendung läuft.
Benutzer kann sich anmelden.
Firewall erlaubt alle Dienste.
DNS ist vollständig korrekt.
Netzwerk ist fehlerfrei.
Ping prüft nur eine bestimmte Art von Erreichbarkeit.
Ein Gerät kann Ping beantworten, aber trotzdem keinen Webdienst bereitstellen.
Merksatz:
Ping erreichbar heißt nicht:
Anwendung funktioniert.
Wenn Ping nicht funktioniert
Wenn Ping nicht funktioniert, kann das viele Ursachen haben.
Mögliche Ursachen:
- Zielgerät ausgeschaltet
- falsche IP-Adresse
- falsche Subnetzmaske
- falsches Gateway
- fehlende Route
- Firewall blockiert ICMP
- ICMP am Ziel deaktiviert
- VLAN-Problem
- ARP-Problem
- Schicht-1-Problem
- Schicht-2-Problem
Wichtig:
Kein Ping bedeutet nicht automatisch,
dass das Ziel komplett unerreichbar ist.
Merksatz:
Ping-Fehler ist ein Hinweis,
aber noch keine eindeutige Ursache.
Ping und Firewall
Firewalls können ICMP blockieren.
Das bedeutet:
Ein Ziel kann erreichbar sein,
aber auf Ping nicht antworten.
Beispiel:
HTTPS funktioniert.
Ping funktioniert nicht.
Mögliche Erklärung:
TCP 443 ist erlaubt,
ICMP Echo ist blockiert.
Merksatz:
Geblockter Ping bedeutet nicht automatisch:
Ziel ist offline.
Ping und DNS unterscheiden
Wenn man einen Namen pingt, wird zuerst DNS benötigt.
Beispiel:
ping www.example.com
Vor dem eigentlichen Ping muss das System herausfinden:
Welche IP-Adresse gehört zu www.example.com?
Wenn DNS nicht funktioniert, kann der Ping auf den Namen scheitern.
Ein Ping auf die IP-Adresse kann trotzdem funktionieren.
Merksatz:
Ping auf Namen prüft auch DNS.
Ping auf IP prüft DNS nicht.
Beispiel: DNS oder Routing?
Fehlerbild:
ping 8.8.8.8 funktioniert.
ping www.example.com funktioniert nicht.
Wahrscheinliche Ursache:
DNS-Problem
Warum?
Die IP-Kommunikation ins Internet funktioniert grundsätzlich.
Aber der Name kann nicht aufgelöst werden.
Merksatz:
IP funktioniert,
Name nicht:
DNS prüfen.
Beispiel: Gateway prüfen
Ein sinnvoller erster Ping-Test im LAN ist oft das Standard-Gateway.
Beispiel:
Client:
192.168.10.20/24
Gateway:
192.168.10.1
Test:
ping 192.168.10.1
Wenn das Gateway nicht erreichbar ist, prüft man:
- IP-Adresse des Clients
- Subnetzmaske
- Gateway-Adresse
- VLAN
- ARP
- Switch-Port
- Link
Merksatz:
Gateway-Ping prüft die lokale Verbindung zum Router.
Beispiel: Internet-IP prüfen
Nach dem Gateway kann man eine externe IP-Adresse testen.
Beispiel:
ping 8.8.8.8
Wenn Gateway erreichbar ist, aber externe IP nicht, prüft man:
- Default Route
- Router
- Firewall
- NAT
- Provider-Verbindung
- Rückroute
- Internetanschluss
Merksatz:
Externe IP prüft Routing Richtung Internet,
aber nicht DNS.
Beispiel: Namen prüfen
Danach kann man einen Namen testen.
Beispiel:
ping www.example.com
Wenn externe IP erreichbar ist, aber Name nicht, prüft man:
- DNS-Server
- DNS-Konfiguration
- DNS-Erreichbarkeit
- Firewall-Regeln für DNS
- falsche Suchdomäne
- lokale Hosts-Datei
Merksatz:
Name funktioniert nicht:
DNS prüfen.
Ping-Reihenfolge bei Fehlersuche
Eine einfache Reihenfolge:
1. eigene IP-Konfiguration prüfen
2. eigenes Gateway pingen
3. anderes Gerät im gleichen Netz pingen
4. externe IP-Adresse pingen
5. DNS-Namen pingen
6. Dienst gezielt prüfen
Beispiel:
ping 192.168.10.1
ping 8.8.8.8
ping www.example.com
Merksatz:
Erst lokal,
dann extern,
dann Name.
Traceroute
Traceroute ist ein Werkzeug, um den Weg zu einem Ziel sichtbar zu machen.
Je nach Betriebssystem heißt der Befehl:
Windows:
tracert
Linux:
traceroute
Linux teilweise:
tracepath
macOS:
traceroute
Traceroute zeigt die Router auf dem Weg zum Ziel.
Merksatz:
Traceroute zeigt den Weg durch das IP-Netz.
Wofür nutzt man Traceroute?
Traceroute hilft bei Fragen wie:
Über welche Router läuft die Verbindung?
Wo stoppt die Verbindung?
Wie viele Hops gibt es?
Gibt es hohe Verzögerungen auf einem Abschnitt?
Gibt es Routing-Probleme?
Gibt es ungewöhnliche Wege?
Traceroute ist besonders hilfreich bei Problemen zwischen Netzen.
Merksatz:
Traceroute hilft bei der Routing-Fehlersuche.
Begriff: Hop
Ein Hop ist ein Schritt über einen Router.
Beispiel:
PC
→ Router 1
→ Router 2
→ Router 3
→ Ziel
Hier gibt es mehrere Hops.
Jeder Router auf dem Weg zählt als Hop.
Merksatz:
Hop = ein Router-Schritt auf dem Weg.
TTL
TTL steht für:
Time To Live
TTL ist ein Feld im IP-Paket.
Es begrenzt, wie lange ein Paket im Netz weitergeleitet werden darf.
Jeder Router verringert die TTL um 1.
Wenn TTL 0 erreicht, wird das Paket verworfen.
Merksatz:
TTL begrenzt die Lebensdauer eines IP-Pakets.
Warum ist TTL wichtig?
TTL verhindert, dass IP-Pakete endlos im Netz kreisen.
Das kann zum Beispiel bei einer Routing-Schleife passieren.
Ohne TTL könnten Pakete dauerhaft im Kreis laufen.
Mit TTL gilt:
Jeder Router verringert den Wert.
Bei 0 wird das Paket verworfen.
Merksatz:
TTL schützt vor endlosen Routing-Schleifen.
Traceroute und TTL
Traceroute nutzt das TTL-Verhalten aus.
Vereinfacht:
1. Erstes Paket wird mit TTL 1 gesendet.
2. Erster Router verringert TTL auf 0.
3. Erster Router verwirft das Paket.
4. Erster Router sendet eine ICMP-Time-Exceeded-Meldung zurück.
5. Traceroute kennt dadurch den ersten Router.
Dann:
Paket mit TTL 2
Paket mit TTL 3
Paket mit TTL 4
So wird Schritt für Schritt der Weg sichtbar.
Merksatz:
Traceroute findet Router,
indem TTL schrittweise erhöht wird.
ICMP Time Exceeded
Wenn TTL 0 erreicht, verwirft ein Router das Paket.
Oft sendet er dann eine ICMP-Meldung zurück.
Diese Meldung heißt:
Time Exceeded
Auf Deutsch sinngemäß:
Zeit überschritten
Traceroute nutzt diese Meldungen, um Router auf dem Weg zu erkennen.
Merksatz:
Time Exceeded zeigt:
TTL ist abgelaufen.
Traceroute-Ausgabe verstehen
Eine typische Traceroute-Ausgabe zeigt pro Zeile einen Hop.
Beispiel vereinfacht:
Hop
Gerät
Bedeutung
1
192.168.10.1
eigenes Gateway
2
Provider-Router
erster Router beim Provider
3
weiterer Router
Weg durchs Netz
4
Ziel
Ziel erreicht
Zusätzlich werden Antwortzeiten angezeigt.
Merksatz:
Jede Zeile bei Traceroute zeigt meist einen Router-Hop.
Sterne in Traceroute
In Traceroute-Ausgaben sieht man manchmal Sterne.
Beispiel:
* * *
Das bedeutet häufig:
keine Antwort auf diese Messung
Mögliche Ursachen:
- Router antwortet nicht auf ICMP
- Firewall blockiert
- Paket wurde verworfen
- Antwortweg funktioniert nicht
- Router priorisiert solche Antworten niedrig
Wichtig:
Sterne bedeuten nicht automatisch,
dass dort ein echter Ausfall ist.
Merksatz:
Sterne bei Traceroute können Blockierung oder fehlende Antwort bedeuten.
Hohe Zeiten in Traceroute
Hohe Antwortzeiten bei einem Hop können auf Verzögerung hinweisen.
Aber Vorsicht:
Router priorisieren Weiterleitung oft höher als Antworten an Traceroute.
Das bedeutet:
Ein Hop kann langsam antworten,
aber normalen Datenverkehr trotzdem schnell weiterleiten.
Wichtig ist besonders:
Steigen die Zeiten ab einem Hop dauerhaft?
Oder ist nur ein einzelner Hop auffällig?
Merksatz:
Traceroute-Zeiten immer vorsichtig interpretieren.
Traceroute und Firewall
Firewalls können Traceroute beeinflussen.
Mögliche Effekte:
- einzelne Hops antworten nicht
- Ziel antwortet nicht
- ICMP wird blockiert
- UDP-Traceroute wird blockiert
- Pfad wirkt unvollständig
Trotzdem kann die Anwendung funktionieren.
Merksatz:
Traceroute kann durch Firewalls unvollständig aussehen.
Traceroute ist nicht immer symmetrisch
Traceroute zeigt normalerweise den Hinweg aus Sicht des Absenders.
Der Rückweg kann anders verlaufen.
Das nennt man:
asymmetrisches Routing
Bei Internetverbindungen ist das nicht ungewöhnlich.
Merksatz:
Traceroute zeigt meist nur den Hinweg,
nicht sicher den Rückweg.
Pathping
Unter Windows gibt es zusätzlich:
pathping
Pathping kombiniert Eigenschaften von Ping und Traceroute.
Es zeigt den Weg und misst Paketverluste über längere Zeit.
Typischer Nutzen:
Paketverlust auf bestimmten Wegabschnitten erkennen
Merksatz:
Pathping kombiniert Weganzeige und Verlustmessung.
MTR
Unter Linux und macOS wird häufig MTR genutzt.
MTR kombiniert ebenfalls Ping und Traceroute.
Es zeigt laufend:
- Hops
- Antwortzeiten
- Paketverluste
- Schwankungen
MTR ist besonders hilfreich bei instabilen Netzwerkproblemen.
Merksatz:
MTR = laufende Traceroute- und Ping-Analyse.
ICMP Destination Unreachable
Destination Unreachable bedeutet:
Ziel nicht erreichbar
Das kann verschiedene Gründe haben.
Beispiele:
- Zielnetz nicht erreichbar
- Zielhost nicht erreichbar
- Protokoll nicht erreichbar
- Port nicht erreichbar
- Fragmentierung nötig, aber nicht möglich
Für AP1/AP2 reicht meist:
ICMP kann melden,
dass ein Ziel oder Weg nicht erreichbar ist.
Merksatz:
Destination Unreachable = Ziel oder Weg nicht erreichbar.
Paket zu groß und MTU
ICMP kann auch helfen, MTU-Probleme zu melden.
Wenn ein Paket zu groß ist und nicht fragmentiert werden darf, kann eine ICMP-Meldung zurückkommen.
Das ist wichtig für:
Path MTU Discovery
Dabei wird herausgefunden, welche maximale Paketgröße auf dem Weg möglich ist.
Merksatz:
ICMP kann bei MTU-Problemen wichtige Hinweise liefern.
Path MTU Discovery
Path MTU Discovery versucht herauszufinden, wie groß Pakete auf dem gesamten Weg maximal sein dürfen.
Wenn ICMP-Meldungen blockiert werden, kann es zu schwer erkennbaren Problemen kommen.
Mögliche Symptome:
kleine Daten funktionieren
große Datenübertragungen hängen
Webseiten laden teilweise
VPN macht Probleme
Merksatz:
ICMP komplett zu blockieren kann MTU-Probleme verschleiern.
ICMPv4 und ICMPv6
IPv4 verwendet:
ICMPv4
IPv6 verwendet:
ICMPv6
ICMPv6 ist bei IPv6 besonders wichtig.
Warum?
IPv6 nutzt ICMPv6 unter anderem für Neighbor Discovery.
Wichtig:
ICMPv6 sollte nicht pauschal blockiert werden,
weil IPv6 sonst gestört werden kann.
Merksatz:
IPv6 braucht ICMPv6 für wichtige Grundfunktionen.
ICMP und Sicherheit
ICMP kann für Diagnose sehr nützlich sein.
Aber ICMP kann auch missbraucht werden.
Mögliche Risiken:
- Netzwerkerkundung
- Ping-Flood
- Informationsgewinn über erreichbare Systeme
- bestimmte Angriffsmuster
Deshalb blockieren oder begrenzen manche Firewalls ICMP.
Wichtig:
Nicht blind alles blockieren.
Sinnvoll filtern und begrenzen.
Merksatz:
ICMP ist nützlich,
sollte aber kontrolliert erlaubt werden.
Ping-Flood
Ein Ping-Flood ist ein Angriff oder Störungsszenario, bei dem sehr viele ICMP Echo Requests gesendet werden.
Ziel:
System oder Netzwerk überlasten
Schutzmaßnahmen:
- Rate Limiting
- Firewall-Regeln
- Monitoring
- DDoS-Schutz
- ICMP begrenzen
Merksatz:
Ping-Flood = viele ICMP-Anfragen zur Überlastung.
ICMP in der Fehlersuche
ICMP ist besonders hilfreich für:
- Erreichbarkeit prüfen
- Routing-Probleme erkennen
- TTL-Probleme verstehen
- Traceroute nutzen
- Paketverluste sehen
- Latenz messen
- MTU-Probleme erkennen
Aber:
ICMP-Ergebnisse müssen richtig interpretiert werden.
Merksatz:
ICMP ist Diagnosewerkzeug,
aber kein vollständiger Anwendungstest.
Systematische Prüfung mit Ping
Eine einfache Prüf-Reihenfolge:
1. eigene IP-Konfiguration prüfen
2. Loopback testen
3. eigene IP testen
4. Gateway testen
5. anderes Gerät im LAN testen
6. externe IP testen
7. DNS-Namen testen
8. Anwendung oder Dienst testen
Beispiele:
ping 127.0.0.1
ping eigene IP
ping Gateway
ping externe IP
ping DNS-Name
Merksatz:
Ping systematisch von nah nach fern einsetzen.
Loopback-Ping
Ein Ping auf die Loopback-Adresse prüft den lokalen IP-Stack.
IPv4-Loopback:
127.0.0.1
Beispiel:
ping 127.0.0.1
Wenn das funktioniert, arbeitet der lokale IP-Stack grundsätzlich.
Wenn es nicht funktioniert, liegt das Problem lokal am System.
Merksatz:
127.0.0.1 prüft das eigene System.
Eigene IP pingen
Nach dem Loopback kann man die eigene IP-Adresse testen.
Beispiel:
ping 192.168.10.20
Das prüft, ob die IP-Adresse am eigenen Adapter aktiv ist.
Wenn Loopback funktioniert, aber eigene IP nicht, prüft man:
- Netzwerkkarte
- IP-Konfiguration
- Adapterstatus
- Firewall
- Betriebssystem
Merksatz:
Eigene IP prüft lokale IP-Konfiguration am Adapter.
Gateway pingen
Danach prüft man das Standard-Gateway.
Beispiel:
ping 192.168.10.1
Wenn das Gateway nicht erreichbar ist, prüft man:
- Link
- VLAN
- ARP
- IP-Adresse
- Subnetzmaske
- Gateway-Adresse
- Switch-Port
- Router-Interface
Merksatz:
Gateway-Ping prüft lokale Netz- und Router-Erreichbarkeit.
Externe IP pingen
Wenn das Gateway erreichbar ist, kann man eine externe IP testen.
Beispiel:
ping 8.8.8.8
Wenn das nicht funktioniert, prüft man:
- Default Route
- NAT
- Firewall
- Provider
- Router
- Rückroute
- Internetverbindung
Merksatz:
Externe IP prüft Routing über das lokale Netz hinaus.
DNS-Namen pingen
Wenn externe IP funktioniert, aber ein Name nicht, liegt der Fehler häufig bei DNS.
Beispiel:
ping www.example.com
Mögliche Ursachen:
- falscher DNS-Server
- DNS-Server nicht erreichbar
- Firewall blockiert DNS
- falsche Suchdomäne
- lokale Namensauflösung fehlerhaft
Merksatz:
IP erreichbar,
Name nicht:
DNS prüfen.
Ping und Anwendungstest unterscheiden
Ping zeigt nicht, ob ein bestimmter Dienst funktioniert.
Beispiel:
ping server funktioniert
Aber:
Webseite lädt nicht.
Mögliche Ursachen:
- Webserver läuft nicht
- TCP-Port 80 oder 443 blockiert
- Zertifikatsproblem
- DNS zeigt auf falsche IP
- Reverse Proxy falsch
- Anwendung abgestürzt
Merksatz:
Ping prüft Erreichbarkeit,
nicht den Dienst.
Einordnung in das OSI-Modell
Thema
Schicht
Ethernet-Link
1
MAC-Adresse
2
VLAN
2
ARP
2 / 3-Bezug
IP-Adresse
3
Routing
3
ICMP
3
Ping
3
Traceroute
3
TTL
3
TCP-Port
4
DNS
7
HTTP / HTTPS
7
Merksatz:
Ping und Traceroute prüfen vor allem Schicht 3.
Was ICMP nicht macht
ICMP macht nicht:
- TCP-Verbindung aufbauen
- UDP-Datenstrom verwalten
- Webseiten ausliefern
- DNS-Namen auflösen
- Benutzer authentifizieren
- Dateien übertragen
- Verschlüsselung bereitstellen
ICMP ist hauptsächlich für Kontroll- und Diagnosemeldungen im IP-Netz zuständig.
Merksatz:
ICMP ist Kontrolle und Diagnose,
nicht Anwendungstransport.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was bedeutet ICMP?
- Wofür wird ICMP verwendet?
- Nutzt ICMP TCP- oder UDP-Ports?
- Was ist der Unterschied zwischen ICMP-Typ und Port?
- Was macht Ping?
- Was ist ein Echo Request?
- Was ist ein Echo Reply?
- Warum kann Ping blockiert sein?
- Was zeigt Traceroute?
- Was ist ein Hop?
- Was bedeutet TTL?
- Warum verhindert TTL endlose Routing-Schleifen?
- Wie nutzt Traceroute TTL?
- Was bedeutet Destination Unreachable?
- Warum ist ICMPv6 wichtig?
Typische Prüfungsfallen
ICMP ist nicht TCP.
ICMP ist nicht UDP.
ICMP nutzt keine TCP- oder UDP-Ports.
ICMP nutzt Typ und Code.
Ping nutzt typischerweise ICMP Echo Request und Echo Reply.
Ping-Erfolg bedeutet nicht,
dass eine Anwendung funktioniert.
Ping-Fehler bedeutet nicht automatisch,
dass ein Ziel offline ist.
Firewalls können ICMP blockieren.
Ping auf Namen prüft auch DNS.
Ping auf IP prüft DNS nicht.
Traceroute zeigt den Weg über Router.
TTL gehört zu IP auf Schicht 3.
TTL verhindert endloses Kreisen von IP-Paketen.
Sterne bei Traceroute bedeuten nicht automatisch Ausfall.
ICMPv6 ist für IPv6 besonders wichtig.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
ICMP
Internet Control Message Protocol
ICMPv4
ICMP für IPv4
ICMPv6
ICMP für IPv6
Echo Request
Ping-Anfrage
Echo Reply
Ping-Antwort
Destination Unreachable
Ziel oder Weg nicht erreichbar
Time Exceeded
TTL abgelaufen
Typ
Art der ICMP-Nachricht
Code
genauere Beschreibung der ICMP-Nachricht
Ping
Werkzeug zur Erreichbarkeitsprüfung
Traceroute
Werkzeug zur Wegverfolgung
tracert
Windows-Variante von Traceroute
Hop
Router-Schritt auf dem Weg
TTL
Time To Live, Lebensdauerbegrenzung für IP-Pakete
Pathping
Windows-Werkzeug aus Ping und Traceroute
MTR
laufende Ping- und Traceroute-Analyse
Path MTU Discovery
Ermittlung der maximalen Paketgröße auf dem Weg
Ping-Flood
Überlastung durch viele ICMP-Anfragen
IHK-sichere Kurzformulierung
ICMP steht für Internet Control Message Protocol und gehört zum IP-Umfeld auf OSI-Schicht 3. Es wird für Kontroll- und Fehlermeldungen in IP-Netzen verwendet und nutzt keine TCP- oder UDP-Ports, sondern Typen und Codes. Ping verwendet typischerweise ICMP Echo Request und Echo Reply, um die grundlegende IP-Erreichbarkeit eines Ziels zu prüfen. Traceroute zeigt den Weg zu einem Ziel über mehrere Router und nutzt dabei das TTL-Verhalten von IP-Paketen. Ein erfolgreicher Ping beweist nicht, dass ein bestimmter Dienst funktioniert, und ein fehlgeschlagener Ping bedeutet nicht automatisch, dass das Ziel offline ist, da ICMP durch Firewalls blockiert werden kann.
Merksätze
ICMP = Internet Control Message Protocol.
ICMP gehört zum IP-Umfeld.
ICMP wird meist Schicht 3 zugeordnet.
ICMP ist nicht TCP.
ICMP ist nicht UDP.
ICMP nutzt keine Ports.
ICMP nutzt Typ und Code.
Ping nutzt Echo Request und Echo Reply.
Ping prüft IP-Erreichbarkeit.
Ping auf IP prüft kein DNS.
Ping auf Namen prüft auch DNS.
Ping-Erfolg heißt nicht:
Anwendung funktioniert.
Ping-Fehler heißt nicht automatisch:
Ziel offline.
Firewall kann ICMP blockieren.
Traceroute zeigt Router-Hops.
Hop = Router-Schritt.
TTL = Time To Live.
Jeder Router verringert TTL.
TTL 0 = Paket wird verworfen.
TTL verhindert Routing-Endlosschleifen.
Traceroute nutzt TTL.
Time Exceeded = TTL abgelaufen.
Sterne bei Traceroute vorsichtig interpretieren.
ICMPv6 ist für IPv6 wichtig.
ICMP ist Diagnose,
kein Anwendungstest.
6.5 IPv6-Grundlagen
IPv6 steht für:
Internet Protocol Version 6
IPv6 wurde entwickelt, weil IPv4-Adressen knapp geworden sind und moderne Netzwerke mehr Adressen benötigen.
Der wichtigste Unterschied:
IPv4 hat 32 Bit.
IPv6 hat 128 Bit.
Merksatz:
IPv6 = IP-Adressierung auf Schicht 3 mit 128 Bit.
Warum gibt es IPv6?
IPv4 bietet ungefähr 4,3 Milliarden Adressen.
Das klingt viel, reicht aber für die heutige Anzahl an Geräten weltweit nicht mehr aus.
Gründe für IPv6:
- deutlich größerer Adressraum
- sehr viele Geräte weltweit
- weniger Abhängigkeit von NAT
- moderne Autokonfiguration
- bessere Unterstützung für große Netze
- feste Struktur für heutige Netzwerkanforderungen
Merksatz:
IPv6 löst vor allem das Adressmangelproblem von IPv4.
IPv4 und IPv6 im Vergleich
Merkmal
IPv4
IPv6
Adresslänge
32 Bit
128 Bit
Schreibweise
dezimal
hexadezimal
Beispiel
192.168.10.20
2001:db8::10
Broadcast
ja
nein
Multicast
ja
ja
ARP
ja
nein
NDP
nein
ja
NAT häufig nötig
ja
normalerweise nicht notwendig
Merksatz:
IPv4 = 32 Bit.
IPv6 = 128 Bit.
IPv6-Adresse
Eine IPv6-Adresse besteht aus 128 Bit.
Sie wird hexadezimal geschrieben.
Beispiel:
2001:0db8:0000:0000:0000:0000:0000:0010
Eine IPv6-Adresse besteht aus 8 Blöcken.
Jeder Block hat 16 Bit.
8 Blöcke × 16 Bit ergeben:
128 Bit
Merksatz:
IPv6-Adresse = 8 Blöcke mit je 16 Bit.
Hexadezimale Schreibweise
IPv6 nutzt hexadezimale Zeichen.
Erlaubte Zeichen sind:
0 1 2 3 4 5 6 7 8 9
A B C D E F
Beispiel:
2001:db8:abcd:0012:0000:0000:0000:0001
Groß- und Kleinschreibung ist bei IPv6-Adressen nicht entscheidend.
Beispiel:
db8
und
DB8
meinen denselben Wert.
Merksatz:
IPv6 wird hexadezimal geschrieben.
Blöcke in IPv6
Eine vollständige IPv6-Adresse hat 8 Blöcke.
Beispiel:
2001:0db8:0000:0000:0000:0000:0000:0010
Die Blöcke sind:
Block
Wert
1
2001
2
0db8
3
0000
4
0000
5
0000
6
0000
7
0000
8
0010
Merksatz:
IPv6 hat 8 hexadezimale Blöcke.
IPv6 kürzen
IPv6-Adressen können verkürzt geschrieben werden.
Regel 1:
Führende Nullen in einem Block dürfen weggelassen werden.
Beispiel:
0db8
wird zu:
db8
Beispiel:
0010
wird zu:
10
Merksatz:
Führende Nullen pro Block dürfen wegfallen.
Nullblöcke zusammenfassen
Mehrere aufeinanderfolgende Nullblöcke dürfen durch zwei Doppelpunkte ersetzt werden.
Das Zeichen dafür ist:
::
Beispiel vollständig:
2001:0db8:0000:0000:0000:0000:0000:0010
Gekürzt:
2001:db8::10
Merksatz:
:: ersetzt zusammenhängende Nullblöcke.
Wichtige Regel zu ::
Die Abkürzung mit zwei Doppelpunkten darf in einer IPv6-Adresse nur einmal verwendet werden.
Warum?
Sonst wäre nicht eindeutig,
wie viele Nullblöcke ersetzt wurden.
Richtig:
2001:db8::10
Falsch:
2001::db8::10
Merksatz:
:: darf pro IPv6-Adresse nur einmal vorkommen.
Beispiel: IPv6 richtig kürzen
Vollständig:
2001:0db8:0000:0000:0000:0000:0000:0001
Schritt 1: führende Nullen entfernen
2001:db8:0:0:0:0:0:1
Schritt 2: zusammenhängende Nullblöcke mit :: ersetzen
2001:db8::1
Merksatz:
Erst führende Nullen entfernen,
dann längste Nullfolge mit :: kürzen.
Beispiel: IPv6 ausschreiben
Gekürzt:
2001:db8::10
Ausschreiben auf 8 Blöcke:
2001:0db8:0000:0000:0000:0000:0000:0010
Warum?
Es müssen insgesamt 8 Blöcke entstehen.
Merksatz:
Beim Ausschreiben muss IPv6 wieder 8 Blöcke haben.
IPv6-Präfix
Wie bei IPv4 gibt es auch bei IPv6 eine Präfixlänge.
Beispiel:
2001:db8:1234:10::1/64
Das /64 bedeutet:
Die ersten 64 Bit gehören zum Netzanteil.
Der Rest gehört zum Interface-Anteil.
Merksatz:
IPv6 nutzt Präfixlängen wie IPv4.
Typisches IPv6-/64-Netz
In IPv6 ist /64 für viele lokale Netze besonders typisch.
Beispiel:
2001:db8:1234:10::/64
Ein Gerät in diesem Netz könnte zum Beispiel haben:
2001:db8:1234:10::20
Wichtig:
In normalen LANs ist /64 sehr häufig.
Merksatz:
IPv6-LANs nutzen häufig /64.
IPv6-Netzanteil und Interface-Anteil
Eine IPv6-Adresse besteht vereinfacht aus:
Netzanteil
und
Interface-Anteil
Beispiel:
2001:db8:1234:10::20/64
Netzanteil:
2001:db8:1234:10::/64
Interface-Anteil:
::20
Merksatz:
Präfix = Netz.
Interface-Anteil = Adresse des Geräts im Netz.
IPv6 hat keine klassische Broadcast-Adresse
IPv4 kennt Broadcasts.
IPv6 verwendet keinen Broadcast.
Stattdessen nutzt IPv6:
Multicast
Beispiele:
alle Router
alle Nodes
bestimmte Gruppen
Das ist effizienter als klassische Broadcasts.
Merksatz:
IPv6 hat keinen Broadcast,
sondern nutzt Multicast.
IPv6 und Multicast
Multicast bedeutet:
Nachricht an eine bestimmte Gruppe von Geräten.
IPv6 nutzt Multicast für viele grundlegende Funktionen.
Beispiel:
Router finden
Nachbarn finden
bestimmte Gerätegruppen ansprechen
IPv6-Multicast-Adressen beginnen mit:
ff
Beispiel:
ff02::1
steht für alle Nodes im lokalen Link.
Merksatz:
IPv6 nutzt Multicast für lokale Gruppenkommunikation.
Link-Local-Adresse
Eine Link-Local-Adresse gilt nur im lokalen Netzwerkabschnitt.
IPv6-Link-Local-Adressen beginnen mit:
fe80::
Beispiel:
fe80::1
Jede IPv6-fähige Schnittstelle hat normalerweise eine Link-Local-Adresse.
Wofür wird sie genutzt?
- lokale Kommunikation
- Neighbor Discovery
- Router Discovery
- Standard-Gateway bei IPv6
Merksatz:
fe80::/10 = Link-Local-Bereich.
Wichtig: Link-Local ist nicht routbar
Link-Local-Adressen gelten nur auf dem lokalen Link.
Sie werden nicht über Router hinweg weitergeleitet.
Beispiel:
fe80::1
kann auf mehreren Netzwerkabschnitten vorkommen.
Deshalb braucht man bei manchen Befehlen zusätzlich die Schnittstelle.
Beispiel sinngemäß:
fe80::1%eth0
Merksatz:
Link-Local bleibt lokal.
Global Unicast Address
Global Unicast Addresses sind weltweit eindeutige IPv6-Adressen.
Sie sind für die Kommunikation über Netzgrenzen hinweg gedacht.
Typischer Bereich:
2000::/3
Beispiel:
2001:db8:1234:10::20
Wichtig:
2001:db8::/32 ist ein Dokumentationsbereich und wird für Beispiele verwendet.
Merksatz:
Global Unicast = weltweit routbare IPv6-Adresse.
Unique Local Address
Unique Local Addresses sind private IPv6-Adressen für interne Netze.
Sie beginnen typischerweise mit:
fc00::/7
In der Praxis häufig:
fd00::/8
Beispiel:
fd12:3456:789a::1
Sie sind ungefähr vergleichbar mit privaten IPv4-Adressen, aber technisch nicht identisch.
Merksatz:
ULA = interne IPv6-Adresse.
IPv6-Adressarten im Überblick
Adressart
Bereich / Beispiel
Bedeutung
Link-Local
fe80::/10
nur lokaler Link
Global Unicast
2000::/3
weltweit routbar
Unique Local
fc00::/7
intern genutzt
Multicast
ff00::/8
Gruppe von Empfängern
Loopback
::1
eigenes Gerät
Unspecified
::
keine konkrete Adresse
Merksatz:
fe80 lokal.
2000 global.
fd intern.
ff Multicast.
IPv6-Loopback
Die IPv6-Loopback-Adresse lautet:
::1
Sie zeigt auf das eigene Gerät.
Vergleich:
Protokoll
Loopback
IPv4
127.0.0.1
IPv6
::1
Typischer Test:
ping ::1
Merksatz:
::1 = eigenes Gerät bei IPv6.
Unspecified Address
Die unspecified IPv6-Adresse lautet:
::
Sie bedeutet:
keine konkrete Adresse
Sie wird zum Beispiel verwendet, wenn ein Gerät noch keine eigene IPv6-Adresse hat.
Nicht verwechseln mit:
::1
Merksatz:
:: = keine Adresse.
::1 = Loopback.
NDP statt ARP
IPv4 verwendet ARP.
IPv6 verwendet kein ARP.
IPv6 nutzt stattdessen:
NDP
NDP steht für:
Neighbor Discovery Protocol
NDP übernimmt unter anderem:
- Nachbarn im lokalen Netz finden
- MAC-Adresse zu IPv6-Adresse ermitteln
- Router finden
- Adresskonflikte erkennen
Merksatz:
IPv6 nutzt NDP statt ARP.
NDP und ICMPv6
NDP basiert auf ICMPv6.
Das ist wichtig.
Wenn ICMPv6 zu stark blockiert wird, können grundlegende IPv6-Funktionen gestört werden.
Beispiele:
Router finden
Nachbarn finden
Adresskonflikte erkennen
Merksatz:
IPv6 braucht ICMPv6 für wichtige Grundfunktionen.
Neighbor Solicitation
Neighbor Solicitation ist eine NDP-Nachricht.
Sie ähnelt vom Zweck her einer ARP-Anfrage bei IPv4.
Aufgabe:
Zu einer IPv6-Adresse die passende Layer-2-Adresse finden.
Vereinfacht:
Wer hat diese IPv6-Adresse?
Merksatz:
Neighbor Solicitation sucht den Nachbarn.
Neighbor Advertisement
Neighbor Advertisement ist die Antwort auf eine Neighbor Solicitation.
Sie enthält Informationen über den Nachbarn.
Vereinfacht:
Diese IPv6-Adresse gehört zu dieser Schnittstelle.
Merksatz:
Neighbor Advertisement antwortet auf Neighbor Solicitation.
Router Solicitation
Router Solicitation ist eine Anfrage eines Clients an Router im lokalen Netz.
Vereinfacht:
Gibt es hier einen Router?
Damit kann ein Gerät Routerinformationen anfordern.
Merksatz:
Router Solicitation fragt nach Routern im lokalen Netz.
Router Advertisement
Router Advertisement ist eine Nachricht eines Routers an Clients.
Sie enthält wichtige Informationen, zum Beispiel:
- Präfix
- Router-Information
- Autokonfiguration
- Hinweise zu DNS oder DHCPv6 je nach Umgebung
Router Advertisements sind wichtig für IPv6-Autokonfiguration.
Merksatz:
Router Advertisement liefert IPv6-Netzinformationen.
SLAAC
SLAAC steht für:
Stateless Address Autoconfiguration
Mit SLAAC kann ein IPv6-Gerät selbstständig eine Adresse bilden.
Dazu nutzt es Informationen aus Router Advertisements.
Vereinfacht:
Router teilt das Präfix mit.
Client bildet daraus seine IPv6-Adresse.
Merksatz:
SLAAC = automatische IPv6-Adresse ohne klassischen DHCP-Adressserver.
DHCPv6
DHCPv6 ist die IPv6-Variante von DHCP.
Es kann IPv6-Konfigurationsinformationen bereitstellen.
Je nach Netzwerk kann DHCPv6 genutzt werden für:
- IPv6-Adressen
- DNS-Server
- weitere Optionen
Wichtig:
IPv6 kann SLAAC,
DHCPv6
oder eine Kombination nutzen.
Merksatz:
DHCPv6 ergänzt oder übernimmt IPv6-Konfiguration.
SLAAC und DHCPv6 unterscheiden
Verfahren
Grundidee
SLAAC
Client bildet Adresse selbst anhand Router Advertisement
DHCPv6
Server liefert Konfigurationsinformationen
SLAAC + DHCPv6
Kombination aus automatischer Adresse und Zusatzinfos
Merksatz:
SLAAC kommt vom Router Advertisement.
DHCPv6 kommt vom DHCPv6-Server.
IPv6 und Standard-Gateway
Bei IPv6 wird das Standard-Gateway häufig über Router Advertisements gelernt.
Interessant:
Das Gateway ist oft eine Link-Local-Adresse.
Beispiel:
Gateway:
fe80::1
Das ist normal, weil das Gateway nur auf dem lokalen Link erreichbar sein muss.
Merksatz:
IPv6-Gateway ist häufig eine Link-Local-Adresse.
IPv6 und NAT
Bei IPv4 wird NAT sehr häufig verwendet, weil öffentliche IPv4-Adressen knapp sind.
Bei IPv6 ist NAT normalerweise nicht notwendig.
Warum?
IPv6 hat einen sehr großen Adressraum.
Das bedeutet nicht:
alles ist automatisch ungeschützt.
Sicherheit erfolgt weiterhin über:
- Firewall-Regeln
- Netztrennung
- Zugriffskontrolle
- saubere Adressplanung
Merksatz:
IPv6 braucht normalerweise kein NAT,
aber trotzdem Firewall-Schutz.
IPv6 und Firewall
IPv6-Adressen können global erreichbar sein.
Deshalb ist eine Firewall besonders wichtig.
Wichtige Regel:
Nicht auf NAT als Schutz verlassen.
Bei IPv6 sollte man gezielt regeln:
- welche eingehenden Verbindungen erlaubt sind
- welche ausgehenden Verbindungen erlaubt sind
- welche Netze miteinander sprechen dürfen
- welche ICMPv6-Typen nötig sind
Merksatz:
IPv6-Sicherheit bedeutet Firewall-Regeln,
nicht NAT-Versteck.
IPv6 und DNS
DNS kann auch IPv6-Adressen auflösen.
Dafür gibt es sogenannte AAAA-Records.
Vergleich:
DNS-Record
Bedeutung
A
Name zu IPv4-Adresse
AAAA
Name zu IPv6-Adresse
Beispiel:
www.example.com
→ IPv6-Adresse über AAAA-Record
Merksatz:
A = IPv4.
AAAA = IPv6.
Dual Stack
Dual Stack bedeutet:
IPv4 und IPv6 laufen gleichzeitig.
Ein Gerät kann dann beide Protokolle nutzen.
Beispiel:
IPv4-Adresse:
192.168.10.20
IPv6-Adresse:
2001:db8:1234:10::20
Vorteil:
IPv4-Kompatibilität bleibt erhalten.
IPv6 kann zusätzlich genutzt werden.
Merksatz:
Dual Stack = IPv4 und IPv6 gleichzeitig.
IPv6-only
IPv6-only bedeutet:
Ein Netzwerk arbeitet nur mit IPv6.
IPv4 wird dabei nicht direkt verwendet.
Damit IPv4-Dienste trotzdem erreichbar sein können, braucht man Übergangstechniken.
Beispiele:
NAT64
DNS64
Für AP1/AP2 reicht meistens:
IPv6-only braucht Mechanismen,
wenn IPv4-Ziele erreicht werden sollen.
Merksatz:
IPv6-only = nur IPv6,
IPv4 nur über Übergangstechniken.
Dual Stack und Namensauflösung
Wenn ein Name sowohl IPv4 als auch IPv6 hat, kann ein Client beide Adressen erhalten.
Beispiel:
A-Record:
IPv4-Adresse
AAAA-Record:
IPv6-Adresse
Viele Systeme bevorzugen IPv6, wenn es funktioniert.
Wenn IPv6 falsch konfiguriert ist, kann das zu schwer erkennbaren Verbindungsproblemen führen.
Merksatz:
Bei Dual Stack immer IPv4 und IPv6 prüfen.
IPv6 in der Fehlersuche
Typische Prüffragen:
Hat das Gerät eine IPv6-Adresse?
Hat es eine Link-Local-Adresse?
Gibt es ein passendes Präfix?
Gibt es ein Gateway?
Kommen Router Advertisements an?
Funktioniert DNS mit AAAA-Records?
Wird ICMPv6 blockiert?
Gibt es Firewall-Regeln für IPv6?
Funktioniert IPv4, aber IPv6 nicht?
Merksatz:
IPv6-Fehlersuche braucht Adressen, RA, NDP, DNS und Firewall.
Typische IPv6-Fehler
Typische Fehler sind:
- keine globale IPv6-Adresse
- nur Link-Local-Adresse vorhanden
- Router Advertisements fehlen
- ICMPv6 wird blockiert
- falsches Präfix
- falsche Firewall-Regeln
- DNS liefert IPv6, aber IPv6 funktioniert nicht
- DHCPv6 falsch konfiguriert
- Gateway nicht erreichbar
- NDP-Probleme
Merksatz:
Viele IPv6-Probleme entstehen durch RA-, NDP-, DNS- oder Firewall-Fehler.
IPv6-Befehle und Tests
Je nach Betriebssystem gibt es unterschiedliche Befehle.
Typische Prüfungen:
IPv6-Adresse anzeigen
Gateway prüfen
Nachbarn anzeigen
DNS-Auflösung prüfen
Ping auf IPv6-Adresse
Ping auf ::1
Traceroute mit IPv6
Firewall-Regeln prüfen
Beispiele:
ping ::1
ping 2001:db8::1
Wichtig:
Beispieladressen aus 2001:db8::/32 sind nur für Dokumentation gedacht.
Merksatz:
Bei IPv6 gezielt IPv6-Adressen und IPv6-DNS prüfen.
IPv6 und private Adressen nicht verwechseln
Bei IPv4 sind private Adressen sehr bekannt:
192.168.0.0/16
10.0.0.0/8
172.16.0.0/12
Bei IPv6 gibt es Unique Local Addresses:
fc00::/7
häufig praktisch:
fd00::/8
Aber:
IPv6 ist nicht einfach IPv4 mit längeren Adressen.
Merksatz:
IPv6 hat eigene Adresstypen und eigene Mechanismen.
IPv6 und Broadcast nicht verwechseln
IPv4 nutzt Broadcast.
IPv6 nutzt keinen Broadcast.
IPv6 verwendet stattdessen:
Multicast
Prüfungsfalle:
Eine IPv6-Broadcast-Adresse gibt es nicht wie bei IPv4.
Merksatz:
IPv6 hat keinen Broadcast.
Einordnung in das OSI-Modell
Thema
Schicht
MAC-Adresse
2
Ethernet-Frame
2
IPv6-Adresse
3
IPv6-Paket
3
NDP
3 mit Schicht-2-Bezug
ICMPv6
3
Router Advertisement
3
SLAAC
3
DHCPv6
Anwendungsschicht mit Netzwerkbezug
TCP-Port
4
DNS AAAA
7
Merksatz:
IPv6 = Schicht 3.
NDP verbindet IPv6 mit lokaler Zustellung.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Wie viele Bit hat eine IPv6-Adresse?
- Wie wird eine IPv6-Adresse geschrieben?
- Wie kann man IPv6-Adressen kürzen?
- Wie oft darf :: in einer IPv6-Adresse vorkommen?
- Was bedeutet /64 bei IPv6?
- Was ist eine Link-Local-Adresse?
- Was ist eine Global Unicast Address?
- Was ist eine Unique Local Address?
- Warum nutzt IPv6 kein ARP?
- Was ist NDP?
- Warum ist ICMPv6 wichtig?
- Was ist SLAAC?
- Was ist ein Router Advertisement?
- Was ist Dual Stack?
- Warum braucht IPv6 normalerweise kein NAT?
- Was ist ein AAAA-Record?
Typische Prüfungsfallen
IPv6 hat 128 Bit.
IPv4 hat 32 Bit.
IPv6 wird hexadezimal geschrieben.
IPv6 hat 8 Blöcke.
Führende Nullen dürfen weggelassen werden.
:: darf nur einmal verwendet werden.
IPv6-LANs nutzen häufig /64.
fe80::/10 ist Link-Local.
Link-Local ist nicht routbar.
::1 ist Loopback.
:: ist keine konkrete Adresse.
IPv6 hat keinen Broadcast.
IPv6 nutzt Multicast.
IPv6 nutzt kein ARP.
IPv6 nutzt NDP.
NDP basiert auf ICMPv6.
ICMPv6 nicht pauschal blockieren.
A-Record = IPv4.
AAAA-Record = IPv6.
Dual Stack = IPv4 und IPv6 gleichzeitig.
IPv6 braucht normalerweise kein NAT,
aber trotzdem Firewall-Regeln.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
IPv6
Internet Protocol Version 6
IPv6-Adresse
128-Bit-Adresse auf Schicht 3
Hexadezimal
Zahlensystem mit 0–9 und A–F
Präfix
Netzanteil einer IPv6-Adresse
/64
häufiges IPv6-LAN-Präfix
Interface-Anteil
gerätespezifischer Teil der IPv6-Adresse
Link-Local
nur lokaler Netzwerkabschnitt
Global Unicast
weltweit routbare IPv6-Adresse
Unique Local Address
interne IPv6-Adresse
Multicast
Nachricht an eine Gruppe
Loopback
Adresse des eigenen Geräts
::1
IPv6-Loopback
::
unspecified address
NDP
Neighbor Discovery Protocol
ICMPv6
ICMP für IPv6
Neighbor Solicitation
Nachbar-Anfrage
Neighbor Advertisement
Nachbar-Antwort
Router Solicitation
Router-Anfrage
Router Advertisement
Router-Information
SLAAC
automatische IPv6-Adressbildung
DHCPv6
DHCP für IPv6
Dual Stack
IPv4 und IPv6 gleichzeitig
AAAA-Record
DNS-Record für IPv6
IHK-sichere Kurzformulierung
IPv6 ist die Version 6 des Internet Protocols und gehört zu OSI-Schicht 3. Eine IPv6-Adresse ist 128 Bit lang und wird hexadezimal in acht Blöcken dargestellt. Führende Nullen können weggelassen werden, und eine zusammenhängende Folge von Nullblöcken darf einmalig mit :: abgekürzt werden. IPv6 verwendet keinen Broadcast und kein ARP, sondern Multicast und das Neighbor Discovery Protocol. NDP basiert auf ICMPv6 und ist für grundlegende Funktionen wie Nachbarerkennung, Router Discovery und Autokonfiguration wichtig. In lokalen IPv6-Netzen ist /64 häufig, und Link-Local-Adressen aus fe80::/10 werden für lokale Kommunikation verwendet.
Merksätze
IPv6 = Internet Protocol Version 6.
IPv6 gehört zu Schicht 3.
IPv6 hat 128 Bit.
IPv4 hat 32 Bit.
IPv6 wird hexadezimal geschrieben.
IPv6 hat 8 Blöcke.
Führende Nullen dürfen wegfallen.
:: ersetzt Nullblöcke.
:: darf nur einmal vorkommen.
/64 ist typisch im IPv6-LAN.
fe80::/10 = Link-Local.
Link-Local ist nicht routbar.
2000::/3 = Global Unicast.
fc00::/7 = Unique Local.
ff00::/8 = Multicast.
::1 = Loopback.
:: = unspecified.
IPv6 hat keinen Broadcast.
IPv6 nutzt Multicast.
IPv6 nutzt kein ARP.
IPv6 nutzt NDP.
NDP basiert auf ICMPv6.
ICMPv6 ist für IPv6 wichtig.
SLAAC = automatische IPv6-Adresse.
Router Advertisement liefert Netzinfos.
A-Record = IPv4.
AAAA-Record = IPv6.
Dual Stack = IPv4 und IPv6 gleichzeitig.
IPv6 braucht normalerweise kein NAT.
IPv6 braucht trotzdem Firewall-Regeln.
6.6 NAT, PAT und private IP-Adressen
NAT gehört zum Umfeld von OSI-Schicht 3.
NAT steht für:
Network Address Translation
Auf Deutsch sinngemäß:
Netzwerkadressübersetzung
NAT wird verwendet, um IP-Adressen beim Übergang zwischen Netzwerken zu ändern.
Typisches Beispiel:
Ein privates Heim- oder Firmennetz nutzt interne IPv4-Adressen.
Beim Zugriff ins Internet werden diese in eine öffentliche IPv4-Adresse übersetzt.
Merksatz:
NAT = Übersetzung von IP-Adressen.
Warum braucht man NAT?
IPv4-Adressen sind knapp.
Deshalb verwenden viele lokale Netzwerke private IPv4-Adressen.
Private IPv4-Adressen sind im öffentlichen Internet nicht direkt erreichbar.
Damit Geräte mit privaten Adressen trotzdem ins Internet können, wird NAT verwendet.
Beispiel:
PC intern:
192.168.10.20
öffentliche Adresse des Routers:
93.184.100.10
Nach außen sieht die Verbindung so aus, als käme sie von der öffentlichen Adresse des Routers.
Merksatz:
NAT ermöglicht Internetzugang für private IPv4-Adressen.
Private IPv4-Adressen
Private IPv4-Adressen sind für interne Netzwerke reserviert.
Wichtige private Bereiche:
Bereich
CIDR
10.0.0.0 – 10.255.255.255
10.0.0.0/8
172.16.0.0 – 172.31.255.255
172.16.0.0/12
192.168.0.0 – 192.168.255.255
192.168.0.0/16
Diese Adressen werden im Internet nicht direkt geroutet.
Merksatz:
Private IPv4-Adressen sind für interne Netze gedacht.
Öffentliche IPv4-Adressen
Öffentliche IPv4-Adressen sind im Internet eindeutig erreichbar und routbar.
Sie werden zum Beispiel verwendet für:
- Internetanschlüsse
- Webserver
- Mailserver
- öffentliche DNS-Server
- Cloud-Systeme
- VPN-Gateways
Ein Gerät mit privater IPv4-Adresse braucht für direkte Internetkommunikation normalerweise NAT über ein Gerät mit öffentlicher Adresse.
Merksatz:
Öffentliche IPv4-Adressen sind im Internet routbar.
Private und öffentliche IP-Adressen unterscheiden
Merkmal
private IPv4-Adresse
öffentliche IPv4-Adresse
Einsatz
internes Netz
Internet
direkt im Internet routbar
nein
ja
Beispiel
192.168.10.20
93.184.216.34
häufig mit NAT
ja
nein
weltweit eindeutig
nur im eigenen Netz
ja
Merksatz:
Privat = intern.
Öffentlich = im Internet routbar.
Grundprinzip von NAT
Ein internes Gerät sendet ein Paket ins Internet.
Beispiel:
Quell-IP intern:
192.168.10.20
Ziel-IP:
8.8.8.8
Der Router übersetzt die Quell-IP.
Nach außen sieht das Paket zum Beispiel so aus:
Quell-IP öffentlich:
93.184.100.10
Ziel-IP:
8.8.8.8
Die Antwort aus dem Internet geht zurück an die öffentliche IP des Routers.
Der Router ordnet die Antwort wieder dem internen Gerät zu.
Merksatz:
NAT ersetzt private Adressen durch öffentliche Adressen.
NAT-Tabelle
Ein NAT-Gerät merkt sich, welche interne Verbindung zu welcher externen Verbindung gehört.
Dafür nutzt es eine NAT-Tabelle.
Vereinfacht:
Intern
Extern
192.168.10.20
93.184.100.10
192.168.10.30
93.184.100.10
Bei PAT kommen zusätzlich Ports dazu.
Merksatz:
NAT-Tabelle merkt sich Übersetzungen.
PAT
PAT steht für:
Port Address Translation
PAT ist eine besondere Form von NAT.
Dabei teilen sich viele interne Geräte eine öffentliche IP-Adresse.
Die Unterscheidung erfolgt über Port-Zuordnungen.
Typisches Heimnetz:
viele interne Geräte
eine öffentliche IPv4-Adresse
Merksatz:
PAT = viele interne Geräte über eine öffentliche IP mit Port-Zuordnung.
Warum braucht man PAT?
Ohne PAT könnte ein Router bei vielen internen Geräten schwer unterscheiden, zu welchem Gerät eine Antwort gehört.
PAT nutzt deshalb zusätzlich Ports.
Beispiel:
Internes Gerät
interner Port
öffentliche IP
externer Port
192.168.10.20
51520
93.184.100.10
40001
192.168.10.30
51520
93.184.100.10
40002
192.168.10.40
51520
93.184.100.10
40003
Nach außen nutzen alle dieselbe öffentliche IP.
Die Ports unterscheiden die Verbindungen.
Merksatz:
PAT unterscheidet Verbindungen über Ports.
NAT und PAT im Vergleich
Begriff
Bedeutung
Typischer Einsatz
NAT
Übersetzung von IP-Adressen
private IP zu öffentlicher IP
PAT
Übersetzung mit Port-Zuordnung
viele Geräte teilen eine öffentliche IP
In der Praxis meint man mit „NAT im Heimrouter“ oft PAT.
Merksatz:
NAT übersetzt Adressen.
PAT nutzt zusätzlich Ports.
Source NAT
Source NAT verändert die Quelladresse eines Pakets.
Typischer Fall:
internes Gerät → Internet
Beispiel vorher:
Quell-IP:
192.168.10.20
Nach NAT:
Quell-IP:
93.184.100.10
Ziel:
Das Paket kann mit einer öffentlichen Adresse ins Internet gesendet werden.
Merksatz:
Source NAT verändert die Quell-IP.
Destination NAT
Destination NAT verändert die Zieladresse eines Pakets.
Typischer Fall:
Zugriff von außen auf internen Server
Beispiel:
öffentlich:
93.184.100.10:443
wird weitergeleitet an:
intern:
192.168.10.50:443
Das wird häufig bei Portweiterleitungen verwendet.
Merksatz:
Destination NAT verändert die Ziel-IP.
Portweiterleitung
Portweiterleitung bedeutet:
Ein bestimmter Port an der öffentlichen IP wird an ein internes Gerät weitergeleitet.
Beispiel:
öffentliche IP:
93.184.100.10
öffentlicher Port:
443
interner Server:
192.168.10.50
interner Port:
443
Anfragen von außen an 93.184.100.10:443 werden zum internen Server weitergeleitet.
Merksatz:
Portweiterleitung macht einen internen Dienst von außen erreichbar.
Portweiterleitung und Sicherheit
Portweiterleitungen müssen vorsichtig geplant werden.
Warum?
Ein interner Dienst wird von außen erreichbar.
Mögliche Risiken:
- Angriffe aus dem Internet
- unsichere Dienste
- schwache Passwörter
- veraltete Software
- falsche Firewall-Regeln
- versehentlich freigegebene Systeme
Sinnvolle Schutzmaßnahmen:
- nur notwendige Ports freigeben
- Dienste aktuell halten
- starke Authentifizierung nutzen
- Firewall-Regeln einschränken
- VPN bevorzugen
- Logs und Monitoring prüfen
Merksatz:
Jeder freigegebene Port ist eine Angriffsfläche.
NAT und Firewall unterscheiden
NAT und Firewall werden oft verwechselt.
NAT macht:
Adressen übersetzen.
Firewall macht:
Verkehr erlauben oder blockieren.
Beide Funktionen können im gleichen Gerät sitzen.
Beispiel:
Ein Internet-Router macht NAT
und
filtert gleichzeitig eingehende Verbindungen.
Merksatz:
NAT ist Übersetzung.
Firewall ist Filterung.
NAT und Routing unterscheiden
Routing entscheidet:
Wohin wird ein Paket weitergeleitet?
NAT verändert:
Welche IP-Adresse im Paket steht?
Beispiel:
Routing:
Paket wird Richtung Internet geschickt.
NAT:
private Quell-IP wird zur öffentlichen Quell-IP.
Merksatz:
Routing findet den Weg.
NAT ändert Adressen.
NAT und Schichtenmodell
NAT wird meistens Schicht 3 zugeordnet, weil IP-Adressen verändert werden.
PAT hat zusätzlich Bezug zu Schicht 4, weil Ports verwendet werden.
Technik
Bezug
NAT
Schicht 3
PAT
Schicht 3 mit Schicht-4-Bezug
Firewall nach IP
Schicht 3
Firewall nach TCP-/UDP-Port
Schicht 4
Anwendungsschutz
Schicht 7
Merksatz:
NAT = Schicht 3.
PAT = Schicht 3 mit Ports aus Schicht 4.
Beispiel: Heimnetz mit PAT
Ein Heimnetz hat mehrere Geräte:
Gerät
private IP
Notebook
192.168.0.10
Smartphone
192.168.0.20
Smart-TV
192.168.0.30
NAS
192.168.0.40
Der Router hat nach außen eine öffentliche IPv4-Adresse:
93.184.100.10
Alle Geräte gehen über diese eine öffentliche Adresse ins Internet.
Der Router unterscheidet die Verbindungen über PAT.
Merksatz:
PAT ist typisch für Heimrouter und kleine Firmennetze.
Beispiel: Zugriff von innen nach außen
Ein PC öffnet eine Webseite.
Intern:
PC:
192.168.10.20
Ziel:
93.184.216.34:443
Am Router passiert:
Quell-IP wird übersetzt.
Quell-Port wird zugeordnet.
Verbindung wird in NAT-Tabelle gespeichert.
Nach außen:
öffentliche IP des Routers
mit einem zugeordneten Port
Antworten kommen zurück zum Router.
Der Router ordnet sie dem PC zu.
Merksatz:
Von innen nach außen funktioniert NAT meist automatisch.
Beispiel: Zugriff von außen nach innen
Ein externer Client möchte auf einen internen Server zugreifen.
Problem:
Der interne Server hat eine private IP-Adresse.
Diese ist aus dem Internet nicht direkt erreichbar.
Lösung:
Portweiterleitung oder VPN.
Beispiel Portweiterleitung:
Extern:
93.184.100.10:443
Intern:
192.168.10.50:443
Merksatz:
Von außen nach innen braucht man gezielte Freigabe oder VPN.
Statisches NAT
Statisches NAT bedeutet:
Eine interne IP-Adresse wird fest einer externen IP-Adresse zugeordnet.
Beispiel:
intern:
192.168.10.50
extern:
93.184.100.50
Diese Zuordnung bleibt gleich.
Typischer Einsatz:
Server,
die dauerhaft von außen erreichbar sein sollen.
Merksatz:
Statisches NAT = feste 1:1-Adressübersetzung.
Dynamisches NAT
Dynamisches NAT bedeutet:
Interne Geräte bekommen bei Bedarf eine externe Adresse aus einem Pool.
Beispiel:
interner Adressbereich:
192.168.10.0/24
öffentlicher Pool:
93.184.100.10 bis 93.184.100.20
Die Zuordnung kann sich ändern.
Merksatz:
Dynamisches NAT nutzt einen Adresspool.
NAT Overload
NAT Overload ist ein anderer Begriff für PAT.
Dabei teilen sich viele interne Geräte eine öffentliche IP-Adresse.
Die Unterscheidung erfolgt über Ports.
Typischer Einsatz:
Internetzugang für viele Clients über eine öffentliche IPv4-Adresse.
Merksatz:
NAT Overload = PAT.
CGNAT
CGNAT steht für:
Carrier-Grade NAT
Dabei verwendet der Internetanbieter selbst NAT.
Das bedeutet:
Der Kunde bekommt keine eigene öffentliche IPv4-Adresse direkt am Router,
sondern eine Adresse hinter dem NAT des Providers.
Mögliche Folge:
Eingehende Verbindungen von außen sind schwer oder nicht direkt möglich.
Typische Probleme:
- Portweiterleitung funktioniert nicht wie erwartet
- eigener Server von außen nicht erreichbar
- VPN von außen schwieriger
- Online-Dienste können Einschränkungen haben
Merksatz:
CGNAT bedeutet:
NAT findet schon beim Provider statt.
CGNAT erkennen
Hinweise auf CGNAT:
WAN-IP am Router ist nicht die gleiche wie die öffentliche IP,
die Webseiten anzeigen.
Oder:
WAN-IP liegt in einem privaten oder speziellen Provider-NAT-Bereich.
Ein häufiger CGNAT-Bereich ist:
100.64.0.0/10
Wichtig:
CGNAT hängt vom Anbieter und Anschluss ab.
Merksatz:
Bei CGNAT hat der Router oft keine eigene echte öffentliche IPv4-Adresse.
100.64.0.0/10
Der Bereich:
100.64.0.0/10
wird häufig für Carrier-Grade NAT verwendet.
Er ist nicht normaler privater RFC1918-Bereich wie:
10.0.0.0/8
172.16.0.0/12
192.168.0.0/16
Er ist speziell für Provider-NAT vorgesehen.
Merksatz:
100.64.0.0/10 weist oft auf CGNAT hin.
NAT und Serverbetrieb
Wenn ein interner Server von außen erreichbar sein soll, müssen mehrere Dinge passen.
Prüfpunkte:
- öffentliche IP vorhanden?
- kein CGNAT?
- Portweiterleitung korrekt?
- Firewall-Regel erlaubt?
- Server hört auf richtigem Port?
- Ziel-IP intern korrekt?
- DNS zeigt auf richtige öffentliche IP?
- Zertifikat korrekt?
- Dienst sicher konfiguriert?
Merksatz:
Server hinter NAT braucht Portweiterleitung,
Firewall-Regel
und erreichbare öffentliche Adresse.
NAT und VPN
VPN kann helfen, interne Dienste sicher erreichbar zu machen.
Statt einzelne Ports ins Internet zu öffnen, baut man eine verschlüsselte Verbindung ins interne Netz auf.
Vorteile:
- weniger offene Ports
- Zugriff nur für berechtigte Benutzer
- bessere Kontrolle
- interne Dienste bleiben geschützt
Beispiele:
- Standort-VPN
- Remote-Access-VPN
- WireGuard
- IPsec
- OpenVPN
Merksatz:
VPN ist oft sicherer als viele Portweiterleitungen.
NAT und IPv6
Bei IPv6 ist NAT normalerweise nicht notwendig.
Warum?
IPv6 hat einen sehr großen Adressraum.
Geräte können global eindeutige IPv6-Adressen haben.
Aber:
Das bedeutet nicht,
dass sie ungeschützt sein sollen.
Statt NAT braucht man bei IPv6:
- Firewall-Regeln
- Netztrennung
- saubere Adressplanung
- Zugriffskontrolle
Merksatz:
IPv6 braucht normalerweise kein NAT,
aber trotzdem Firewall-Schutz.
NAT ist kein vollständiges Sicherheitskonzept
NAT wird manchmal als Sicherheitsfunktion verstanden.
Das ist nur teilweise richtig.
NAT verhindert oft unbeabsichtigte direkte eingehende Verbindungen, weil keine Zuordnung existiert.
Aber:
NAT ersetzt keine Firewall.
NAT prüft keine Anwendungssicherheit.
NAT erkennt keine Angriffe zuverlässig.
NAT schützt nicht vor unsicheren ausgehenden Verbindungen.
Merksatz:
NAT kann abschirmen,
ist aber keine vollständige Sicherheitslösung.
NAT und Protokollprobleme
Manche Protokolle kommen mit NAT schlechter zurecht.
Warum?
NAT verändert Adressen und manchmal Ports.
Probleme können entstehen bei:
- VoIP
- SIP
- bestimmten VPNs
- Peer-to-Peer-Anwendungen
- Spielen
- Protokollen mit IP-Adressen in den Nutzdaten
Mögliche Lösungen:
- spezielle NAT-Hilfsfunktionen
- STUN / TURN
- VPN
- Portweiterleitung
- Protokollanpassung
Merksatz:
NAT kann Protokolle stören,
wenn Adressen oder Ports wichtig sind.
Hairpin NAT
Hairpin NAT bedeutet:
Ein internes Gerät greift über die öffentliche Adresse auf einen internen Dienst zu.
Beispiel:
Internes Notebook öffnet:
https://meinedomain.de
DNS zeigt auf:
öffentliche IP des Routers
Der Dienst liegt aber intern auf:
192.168.10.50
Damit das funktioniert, muss der Router Hairpin NAT unterstützen.
Merksatz:
Hairpin NAT erlaubt internen Zugriff über die öffentliche Adresse auf interne Dienste.
Split DNS als Alternative
Split DNS bedeutet:
Interne Clients bekommen für einen Namen eine interne IP-Adresse.
Externe Clients bekommen für denselben Namen eine öffentliche IP-Adresse.
Beispiel:
intern:
wiki.firma.de → 192.168.10.50
extern:
wiki.firma.de → 93.184.100.10
Vorteil:
Interne Clients müssen nicht über Hairpin NAT gehen.
Merksatz:
Split DNS gibt intern und extern unterschiedliche Antworten.
NAT und Logs
Bei NAT ist Logging wichtig.
Warum?
Viele interne Geräte können nach außen dieselbe öffentliche IP-Adresse nutzen.
Ohne Logs ist später schwer nachvollziehbar:
welches interne Gerät
zu welcher Zeit
welche externe Verbindung genutzt hat.
Wichtige Informationen:
- interne IP
- interner Port
- öffentliche IP
- externer Port
- Zieladresse
- Zeitstempel
Merksatz:
Bei NAT braucht man Logs,
um Verbindungen nachvollziehen zu können.
Typische NAT-Fehler
Typische Fehler sind:
- NAT-Regel fehlt
- falsche interne Ziel-IP
- falscher Port
- Firewall blockiert
- Dienst läuft nicht
- CGNAT beim Provider
- DNS zeigt auf falsche IP
- doppelte Portweiterleitung
- falsches Interface
- NAT-Regel in falscher Reihenfolge
- Rückroute fehlt
- Hairpin NAT fehlt
Merksatz:
NAT-Fehler können wie Routing-, Firewall- oder DNS-Probleme aussehen.
Fehlerbild: Internet geht nicht
Mögliche NAT-bezogene Ursachen:
- Source NAT fehlt
- PAT falsch konfiguriert
- Default Route fehlt
- Firewall blockiert ausgehend
- Provider-Verbindung gestört
- DNS-Problem
- falsches Gateway
- Rückweg fehlt
Prüfung:
Client-IP prüfen.
Gateway prüfen.
Ping auf externe IP testen.
NAT-Regel prüfen.
Firewall prüfen.
DNS prüfen.
Merksatz:
Internetproblem kann Routing, NAT, Firewall oder DNS sein.
Fehlerbild: Portweiterleitung funktioniert nicht
Mögliche Ursachen:
- keine öffentliche IPv4-Adresse
- CGNAT
- falscher externer Port
- falsche interne IP
- interner Dienst läuft nicht
- Firewall blockiert am Router
- Firewall blockiert am Server
- DNS zeigt falsch
- Test aus internem Netz ohne Hairpin NAT
- ISP blockiert Ports
Merksatz:
Portweiterleitung braucht öffentliche Erreichbarkeit,
NAT-Regel,
Firewall-Freigabe
und laufenden Dienst.
Fehlerbild: Von innen geht es, von außen nicht
Wenn ein Dienst intern funktioniert, aber extern nicht, prüft man:
- öffentliche IP vorhanden?
- CGNAT?
- DNS zeigt auf richtige IP?
- Portweiterleitung korrekt?
- Firewall-Regeln korrekt?
- Dienst hört auf richtiger Schnittstelle?
- Zertifikat oder Reverse Proxy korrekt?
- Provider blockiert Port?
Merksatz:
Intern erreichbar heißt nicht automatisch extern erreichbar.
NAT und Rückweg
NAT funktioniert nur, wenn Antworten zurück zum NAT-Gerät gelangen.
Wenn der Rückweg falsch ist, kann die Verbindung scheitern.
Beispiel:
Paket geht über Router A hinaus.
Antwort kommt über Router B zurück.
Wenn Router B die NAT-Zuordnung nicht kennt, kann er die Antwort nicht korrekt zuordnen.
Merksatz:
NAT braucht passenden Hin- und Rückweg über dasselbe NAT-Gerät.
Asymmetrisches Routing und NAT
Asymmetrisches Routing bedeutet:
Hinweg und Rückweg nehmen unterschiedliche Pfade.
Bei NAT kann das problematisch sein.
Warum?
Das NAT-Gerät muss die Verbindung kennen,
um Antworten zurückübersetzen zu können.
Wenn die Antwort an einem anderen Gerät ankommt, fehlt dort die passende NAT-Tabelle.
Merksatz:
NAT und asymmetrisches Routing passen oft schlecht zusammen.
Einordnung in das OSI-Modell
Thema
Schicht
MAC-Adresse
2
VLAN
2
IP-Adresse
3
Routing
3
NAT
3
PAT
3 / 4
TCP-Port
4
UDP-Port
4
Firewall nach IP
3
Firewall nach Port
4
DNS
7
Merksatz:
NAT verändert IP-Adressen.
PAT nutzt zusätzlich Ports.
Was NAT nicht macht
NAT macht nicht:
- DNS-Namen auflösen
- Dienste starten
- Benutzer authentifizieren
- Verschlüsselung bereitstellen
- automatisch Firewall-Regeln sicher machen
- Schwachstellen beseitigen
- Routing ersetzen
- VLANs trennen
NAT hat eine klare Aufgabe:
Adressen übersetzen.
Merksatz:
NAT ist Adressübersetzung,
keine komplette Sicherheits- oder Netzwerklösung.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was bedeutet NAT?
- Warum wird NAT bei IPv4 häufig verwendet?
- Was sind private IPv4-Adressen?
- Was ist der Unterschied zwischen privater und öffentlicher IP-Adresse?
- Was bedeutet PAT?
- Warum können viele interne Geräte eine öffentliche IP-Adresse nutzen?
- Was ist Source NAT?
- Was ist Destination NAT?
- Was ist eine Portweiterleitung?
- Was ist CGNAT?
- Warum funktioniert eine Portweiterleitung bei CGNAT oft nicht?
- Was ist der Unterschied zwischen NAT und Firewall?
- Was ist der Unterschied zwischen NAT und Routing?
- Warum braucht IPv6 normalerweise kein NAT?
Typische Prüfungsfallen
NAT = Network Address Translation.
PAT = Port Address Translation.
NAT übersetzt IP-Adressen.
PAT nutzt zusätzlich Ports.
Private IPv4-Adressen sind im Internet nicht direkt geroutet.
Öffentliche IPv4-Adressen sind im Internet routbar.
10.0.0.0/8 ist privat.
172.16.0.0/12 ist privat.
192.168.0.0/16 ist privat.
100.64.0.0/10 weist oft auf CGNAT hin.
Source NAT verändert die Quell-IP.
Destination NAT verändert die Ziel-IP.
Portweiterleitung macht interne Dienste von außen erreichbar.
NAT ist nicht dasselbe wie Firewall.
NAT ist nicht dasselbe wie Routing.
NAT ersetzt keine Sicherheitsplanung.
IPv6 braucht normalerweise kein NAT.
NAT kann Protokolle stören.
NAT braucht passenden Rückweg.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
NAT
Network Address Translation
PAT
Port Address Translation
Source NAT
Übersetzung der Quelladresse
Destination NAT
Übersetzung der Zieladresse
Portweiterleitung
Weiterleitung eines externen Ports an internes Ziel
private IPv4-Adresse
interne IPv4-Adresse, nicht öffentlich geroutet
öffentliche IPv4-Adresse
im Internet routbare IPv4-Adresse
NAT-Tabelle
Zuordnung übersetzter Verbindungen
NAT Overload
anderer Begriff für PAT
CGNAT
Provider-NAT beim Internetanbieter
100.64.0.0/10
häufiger Bereich für CGNAT
Hairpin NAT
interner Zugriff über öffentliche Adresse auf internen Dienst
Split DNS
interne und externe DNS-Antworten unterscheiden sich
Rückroute
Weg zurück zum Absendernetz
asymmetrisches Routing
Hin- und Rückweg sind unterschiedlich
IHK-sichere Kurzformulierung
NAT steht für Network Address Translation und bezeichnet die Übersetzung von IP-Adressen beim Übergang zwischen Netzwerken. Es wird bei IPv4 häufig verwendet, damit Geräte mit privaten IP-Adressen über eine öffentliche IPv4-Adresse ins Internet kommunizieren können. PAT ist eine Form von NAT, bei der zusätzlich Ports verwendet werden, damit viele interne Geräte dieselbe öffentliche IP-Adresse nutzen können. Source NAT verändert die Quelladresse, Destination NAT verändert die Zieladresse und wird häufig bei Portweiterleitungen genutzt. NAT ist nicht dasselbe wie Routing oder Firewall und ersetzt keine Sicherheitsplanung.
Merksätze
NAT = Network Address Translation.
NAT = IP-Adressen übersetzen.
PAT = Port Address Translation.
PAT = NAT mit Port-Zuordnung.
Private IPv4-Adressen sind intern.
Öffentliche IPv4-Adressen sind im Internet routbar.
NAT ermöglicht privaten IPv4-Geräten Internetzugang.
Source NAT verändert die Quell-IP.
Destination NAT verändert die Ziel-IP.
Portweiterleitung macht interne Dienste von außen erreichbar.
NAT-Tabelle merkt sich Übersetzungen.
Heimrouter nutzen meist PAT.
NAT Overload = PAT.
CGNAT = NAT beim Provider.
100.64.0.0/10 weist oft auf CGNAT hin.
NAT ist nicht Firewall.
NAT ist nicht Routing.
Routing findet den Weg.
Firewall erlaubt oder blockiert.
NAT übersetzt Adressen.
IPv6 braucht normalerweise kein NAT.
IPv6 braucht trotzdem Firewall-Regeln.
NAT kann Protokolle stören.
NAT braucht passenden Rückweg.
Portweiterleitung braucht öffentliche Erreichbarkeit,
NAT-Regel,
Firewall-Freigabe
und laufenden Dienst.
6.7 Fehlersuche auf Schicht 3
Fehler auf OSI-Schicht 3 betreffen die logische IP-Kommunikation.
Dabei geht es vor allem um:
- IP-Adresse
- Subnetzmaske
- Standard-Gateway
- Routing
- Routing-Tabelle
- ICMP
- NAT
- IPv4
- IPv6
- Firewall-Regeln auf IP-Ebene
Schicht 3 liegt zwischen der lokalen Frame-Weiterleitung auf Schicht 2 und der Transportkommunikation auf Schicht 4.
Merksatz:
Schicht-3-Fehlersuche = IP, Subnetz, Gateway und Routing prüfen.
Grundidee der Schicht-3-Fehlersuche
Auf Schicht 3 prüft man, ob IP-Pakete den richtigen Weg finden.
Typische Fragen:
Hat das Gerät eine passende IP-Adresse?
Passt die Subnetzmaske?
Liegt das Gateway im eigenen Subnetz?
Gibt es eine Route zum Ziel?
Gibt es eine Rückroute?
Wird NAT benötigt?
Blockiert eine Firewall?
Funktioniert ICMP?
Ist IPv4 oder IPv6 betroffen?
Merksatz:
Auf Schicht 3 wird geprüft,
ob IP-Pakete korrekt weitergeleitet werden.
Reihenfolge bei der Fehlersuche
Eine sinnvolle Reihenfolge ist:
1. Schicht 1 prüfen:
Link, Kabel, Signal, Port
2. Schicht 2 prüfen:
MAC-Adresse, VLAN, ARP, Switch-Port
3. Schicht 3 prüfen:
IP-Adresse, Subnetzmaske, Gateway, Routing
4. Schicht 4 prüfen:
TCP-/UDP-Port
5. Schicht 7 prüfen:
DNS, Anwendung, Dienst
Wichtig:
Schicht 3 kann nur funktionieren,
wenn Schicht 1 und Schicht 2 grundsätzlich funktionieren.
Merksatz:
Erst Link,
dann MAC/VLAN,
dann IP/Routing.
Typische Schicht-3-Fehler
Typische Fehler auf Schicht 3 sind:
- falsche IP-Adresse
- falsche Subnetzmaske
- falsches Standard-Gateway
- Gateway nicht erreichbar
- fehlende Route
- falsche Route
- fehlende Default Route
- doppelte IP-Adresse
- falsches VLAN-Subnetz-Zusammenspiel
- NAT fehlt oder ist falsch
- Rückroute fehlt
- Firewall blockiert IP-Verkehr
- Routing-Schleife
- IPv6 falsch konfiguriert
Merksatz:
Schicht-3-Fehler betreffen IP-Konfiguration und Wege zwischen Netzen.
Fehlerbild: Keine IP-Adresse
Wenn ein Gerät keine IP-Adresse hat, kann es nicht sinnvoll auf Schicht 3 kommunizieren.
Mögliche Ursachen:
- DHCP-Server nicht erreichbar
- DHCP-Server ausgeschaltet
- falsches VLAN
- Trunk-Fehler
- DHCP-Relay fehlt
- Netzwerkkarte deaktiviert
- Schicht-1-Problem
- Schicht-2-Problem
- manuelle IP-Konfiguration fehlt
Wichtig:
Keine IP-Adresse ist nicht immer ein reines Schicht-3-Problem.
Die Ursache kann auch auf Schicht 1 oder Schicht 2 liegen.
Merksatz:
Keine IP-Adresse:
DHCP, VLAN und Link prüfen.
Fehlerbild: APIPA-Adresse
APIPA-Adressen liegen im Bereich:
169.254.0.0/16
Beispiel:
169.254.23.80
Eine APIPA-Adresse bedeutet häufig:
Das Gerät konnte keine IP-Adresse per DHCP erhalten.
Mögliche Ursachen:
- DHCP-Server nicht erreichbar
- falsches VLAN
- DHCP-Relay fehlt
- Switch-Port falsch konfiguriert
- Netzwerkverbindung gestört
Merksatz:
169.254.x.x weist oft auf DHCP-Probleme hin.
Fehlerbild: Falsche IP-Adresse
Eine falsche IP-Adresse kann dazu führen, dass ein Gerät im falschen Netz landet.
Beispiel:
erwartet:
192.168.10.20/24
tatsächlich:
192.168.20.20/24
Mögliche Ursachen:
- falsches VLAN
- falscher DHCP-Bereich
- falsche manuelle Konfiguration
- falsche SSID-VLAN-Zuordnung
- falscher Standort oder Switch-Port
Merksatz:
Falsche IP-Adresse kann auf falsches VLAN oder falschen DHCP-Bereich hinweisen.
Fehlerbild: Falsche Subnetzmaske
Eine falsche Subnetzmaske kann dazu führen, dass ein Gerät falsch entscheidet:
Ziel ist lokal
oder
Ziel muss über das Gateway erreicht werden
Beispiel:
PC A:
192.168.10.20/24
PC B:
192.168.10.130/25
Diese Geräte können unterschiedlich bewerten, ob sie im gleichen Netz liegen.
Mögliche Folgen:
- einseitige Kommunikation
- Gateway wird falsch genutzt
- ARP-Anfragen laufen ins Leere
- Ziele wirken unerreichbar
Merksatz:
IP-Adresse und Subnetzmaske müssen zusammenpassen.
Fehlerbild: Falsches Standard-Gateway
Das Standard-Gateway ist der Weg in andere Netze.
Wenn es falsch eingetragen ist, funktionieren Ziele außerhalb des eigenen Subnetzes nicht.
Beispiel falsch:
Client:
192.168.10.20/24
Gateway:
192.168.20.1
Problem:
Das Gateway liegt nicht im eigenen Subnetz.
Richtig wäre zum Beispiel:
192.168.10.1
Merksatz:
Gateway muss im eigenen Subnetz erreichbar sein.
Fehlerbild: Gateway nicht erreichbar
Wenn das Gateway nicht erreichbar ist, kann der Client keine anderen Netze erreichen.
Mögliche Ursachen:
- falsche Gateway-IP
- Router-Interface down
- falsches VLAN
- ARP zum Gateway funktioniert nicht
- Schicht-1-Problem
- Schicht-2-Problem
- Firewall blockiert ICMP
- Gateway antwortet nicht auf Ping
Prüfung:
IP-Konfiguration prüfen.
Subnetzmaske prüfen.
VLAN prüfen.
ARP-Eintrag prüfen.
Ping zum Gateway testen.
Switch-Port prüfen.
Merksatz:
Gateway-Probleme können Schicht 2 und Schicht 3 betreffen.
Fehlerbild: Gleiches Netz funktioniert, anderes Netz nicht
Wenn Geräte im gleichen Subnetz erreichbar sind, aber andere Netze nicht, liegt das Problem häufig bei Gateway oder Routing.
Beispiel:
PC erreicht Drucker im gleichen VLAN.
PC erreicht Server in anderem VLAN nicht.
Mögliche Ursachen:
- Standard-Gateway fehlt
- falsches Gateway
- Inter-VLAN-Routing fehlt
- Firewall blockiert
- Route fehlt
- Rückroute fehlt
Merksatz:
Gleiches Netz geht,
anderes Netz nicht:
Gateway und Routing prüfen.
Fehlerbild: Ein Zielnetz ist nicht erreichbar
Wenn nur ein bestimmtes Zielnetz nicht erreichbar ist, kann eine Route fehlen.
Beispiel:
192.168.10.0/24 erreicht 192.168.20.0/24.
192.168.10.0/24 erreicht 10.10.30.0/24 nicht.
Mögliche Ursachen:
- Route zum Zielnetz fehlt
- falscher nächster Hop
- Rückroute fehlt
- Firewall-Regel blockiert
- Zielnetz existiert nicht
- Router-Interface down
- falsche Subnetzmaske
Merksatz:
Einzelnes Netz nicht erreichbar:
Routing-Tabelle und Rückroute prüfen.
Fehlerbild: Internet funktioniert nicht
Wenn ein Client nicht ins Internet kommt, können mehrere Schichten beteiligt sein.
Mögliche Schicht-3-Ursachen:
- falsches Gateway
- Gateway nicht erreichbar
- Default Route fehlt
- NAT fehlt
- Firewall blockiert
- Provider-Routing gestört
- falsche IP-Adresse
- falsche Subnetzmaske
Prüfidee:
Gateway testen.
externe IP testen.
DNS-Namen testen.
Merksatz:
Internetproblem:
erst Gateway,
dann externe IP,
dann DNS prüfen.
Fehlerbild: IP funktioniert, Name funktioniert nicht
Beispiel:
ping 8.8.8.8 funktioniert.
ping www.example.com funktioniert nicht.
Dann ist IP-Kommunikation grundsätzlich möglich.
Wahrscheinliche Ursache:
DNS-Problem
Mögliche DNS-Ursachen:
- falscher DNS-Server
- DNS-Server nicht erreichbar
- Firewall blockiert DNS
- falsche Suchdomäne
- lokaler DNS-Cache fehlerhaft
Merksatz:
IP geht,
Name nicht:
DNS prüfen.
Fehlerbild: Ping funktioniert, Anwendung nicht
Beispiel:
ping server funktioniert.
Webseite lädt nicht.
Dann ist Schicht 3 wahrscheinlich grundsätzlich erreichbar.
Mögliche Ursachen auf höheren Schichten:
- TCP-Port blockiert
- Webserver läuft nicht
- Firewall blockiert Port 80 oder 443
- Zertifikatsproblem
- Reverse Proxy falsch
- Anwendung abgestürzt
Merksatz:
Ping-Erfolg beweist nicht,
dass der Dienst funktioniert.
Fehlerbild: Ping funktioniert nicht, Dienst funktioniert aber
Beispiel:
Webseite funktioniert.
Ping funktioniert nicht.
Mögliche Ursache:
ICMP wird blockiert.
Viele Firewalls erlauben TCP 443, blockieren aber ICMP Echo.
Deshalb bedeutet ein fehlgeschlagener Ping nicht automatisch, dass das Ziel nicht erreichbar ist.
Merksatz:
Kein Ping heißt nicht automatisch:
Ziel offline.
Fehlerbild: Rückroute fehlt
Kommunikation braucht Hinweg und Rückweg.
Beispiel:
Netz A kann Paket zu Netz B senden.
Netz B kennt aber keinen Weg zurück zu Netz A.
Dann kommt keine Antwort an.
Mögliche Ursachen:
- Rückroute fehlt
- falsche Default Route
- NAT fehlt oder falsch
- asymmetrisches Routing
- Firewall blockiert Antwortverkehr
Merksatz:
Ohne Rückroute keine Antwort.
Fehlerbild: Asymmetrisches Routing
Asymmetrisches Routing bedeutet:
Hinweg und Rückweg nehmen unterschiedliche Pfade.
Das ist nicht immer falsch.
Problematisch wird es oft bei:
- Firewalls
- NAT
- zustandsbehafteter Paketprüfung
- VPN-Verbindungen
- mehreren Internetanschlüssen
Warum?
Eine Firewall erwartet häufig,
beide Richtungen einer Verbindung zu sehen.
Merksatz:
Asymmetrisches Routing kann Firewalls und NAT stören.
Fehlerbild: NAT funktioniert nicht
Wenn NAT nicht funktioniert, können interne Geräte eventuell keine externen Ziele erreichen.
Mögliche Ursachen:
- NAT-Regel fehlt
- falsches Interface
- falsches Quellnetz
- Firewall blockiert
- Default Route fehlt
- Rückroute fehlt
- Provider-Verbindung gestört
Prüfung:
interne IP prüfen.
Gateway prüfen.
NAT-Regel prüfen.
Firewall-Regel prüfen.
externe IP testen.
Merksatz:
NAT-Fehler wirken oft wie Internet- oder Routing-Probleme.
Fehlerbild: Portweiterleitung funktioniert nicht
Wenn ein interner Dienst von außen nicht erreichbar ist, kann das mehrere Ursachen haben.
Mögliche Ursachen:
- keine öffentliche IPv4-Adresse
- CGNAT beim Provider
- falscher externer Port
- falsche interne Ziel-IP
- Dienst läuft nicht
- Firewall blockiert am Router
- Firewall blockiert am Server
- DNS zeigt auf falsche IP
- Hairpin NAT fehlt bei internem Test
Merksatz:
Portweiterleitung braucht öffentliche Erreichbarkeit,
NAT-Regel,
Firewall-Freigabe
und laufenden Dienst.
Fehlerbild: IPv6 funktioniert nicht
IPv6-Fehler können andere Ursachen haben als IPv4-Fehler.
Mögliche Ursachen:
- keine globale IPv6-Adresse
- nur Link-Local-Adresse vorhanden
- Router Advertisements fehlen
- ICMPv6 wird blockiert
- NDP funktioniert nicht
- falsches Präfix
- falsche Firewall-Regeln
- DNS liefert AAAA-Record, aber IPv6 funktioniert nicht
Merksatz:
IPv6-Fehlersuche:
Adresse, Präfix, Gateway, NDP, ICMPv6 und DNS prüfen.
Fehlerbild: IPv4 geht, IPv6 nicht
Wenn IPv4 funktioniert, aber IPv6 nicht, prüft man gezielt IPv6.
Mögliche Ursachen:
- kein IPv6-Präfix
- Router Advertisement fehlt
- Firewall blockiert ICMPv6
- DHCPv6 oder SLAAC falsch
- kein IPv6-Gateway
- Provider liefert kein IPv6
- DNS bevorzugt IPv6, aber Verbindung scheitert
Merksatz:
Bei Dual Stack IPv4 und IPv6 getrennt prüfen.
Fehlerbild: IPv6 geht, IPv4 nicht
Auch der umgekehrte Fall ist möglich.
Mögliche Ursachen:
- keine IPv4-Adresse
- DHCPv4 funktioniert nicht
- NAT fehlt
- IPv4-Gateway falsch
- IPv4-Route fehlt
- Firewall blockiert IPv4
- DNS liefert nur IPv6 oder falsche IPv4-Daten
Merksatz:
Dual Stack bedeutet:
beide Protokolle separat kontrollieren.
Werkzeuge für Schicht-3-Fehlersuche
Typische Werkzeuge und Informationen:
Werkzeug / Anzeige
Nutzen
IP-Konfiguration
IP, Maske, Gateway, DNS prüfen
Routing-Tabelle
Wege zu Zielnetzen prüfen
Ping
grundlegende IP-Erreichbarkeit prüfen
Traceroute
Weg über Router prüfen
ARP-Tabelle
lokale IP-MAC-Zuordnung prüfen
Neighbor Table
IPv6-Nachbarn prüfen
Firewall-Logs
erlaubte und blockierte Pakete prüfen
NAT-Tabelle
NAT-Zuordnungen prüfen
DNS-Test
Namensauflösung prüfen
Packet Capture
Pakete genauer analysieren
Merksatz:
Schicht-3-Fehlersuche nutzt IP-Konfiguration,
Routing-Tabelle,
Ping
und Traceroute.
IP-Konfiguration prüfen
Bei einem Client prüft man zuerst:
- IP-Adresse
- Subnetzmaske
- Standard-Gateway
- DNS-Server
- DHCP oder statisch
- IPv4 und IPv6
- richtige Schnittstelle
Typische Hinweise:
169.254.x.x = häufig DHCP-Problem
falsches Netz = VLAN oder DHCP prüfen
kein Gateway = nur lokales Netz erreichbar
Merksatz:
IP-Konfiguration ist der erste Schicht-3-Prüfpunkt.
Routing-Tabelle prüfen
In der Routing-Tabelle prüft man:
- gibt es eine Route zum Zielnetz?
- gibt es eine Default Route?
- ist der nächste Hop korrekt?
- ist die Ausgangsschnittstelle korrekt?
- gibt es eine genauere Route?
- ist die Metrik sinnvoll?
Wichtig:
Bei mehreren passenden Routen gewinnt die genaueste Route.
Merksatz:
Routing-Tabelle zeigt,
welchen Weg Pakete nehmen sollen.
Ping gezielt verwenden
Ping kann gezielt eingesetzt werden.
Sinnvolle Reihenfolge:
1. Loopback testen
2. eigene IP testen
3. Gateway testen
4. anderes Gerät im gleichen Netz testen
5. Ziel in anderem Netz testen
6. externe IP testen
7. DNS-Namen testen
Merksatz:
Ping von nah nach fern einsetzen.
Traceroute gezielt verwenden
Traceroute hilft, den Weg zum Ziel zu prüfen.
Damit kann man erkennen:
- wie weit Pakete kommen
- bei welchem Hop es stoppt
- ob der Weg ungewöhnlich ist
- ob Routing-Schleifen sichtbar sind
- ob Firewalls Antworten blockieren
Wichtig:
Traceroute-Ausgaben müssen vorsichtig interpretiert werden.
Merksatz:
Traceroute zeigt Hinweise auf den Routing-Weg.
ARP und Schicht 3
ARP gehört zu IPv4 und verbindet Schicht 3 mit Schicht 2.
Bei IPv4 prüft man:
Gibt es einen ARP-Eintrag für das Gateway?
Stimmt die MAC-Adresse?
Ändert sich der Eintrag ständig?
Gibt es doppelte IP-Adressen?
Wenn ARP zum Gateway nicht funktioniert, kann der Client andere Netze nicht erreichen.
Merksatz:
Ohne ARP zum Gateway kein IPv4-Weg ins andere Netz.
NDP und Schicht 3
Bei IPv6 übernimmt NDP ähnliche Aufgaben wie ARP bei IPv4.
NDP basiert auf ICMPv6.
Bei IPv6 prüft man:
- Neighbor Table
- Link-Local-Adresse
- Router Advertisement
- Default Gateway
- ICMPv6-Filterung
- Präfixinformationen
Merksatz:
IPv6 braucht NDP und ICMPv6 für Grundfunktionen.
Firewall als Schicht-3-Fehlerquelle
Eine Firewall kann IP-Verkehr blockieren.
Beispiele:
- bestimmtes Quellnetz blockiert
- bestimmtes Zielnetz blockiert
- ICMP blockiert
- ausgehender Verkehr blockiert
- eingehender Verkehr blockiert
- NAT-Regel fehlt
- falsche Zone
Wichtig:
Firewall-Problem ist nicht immer Schicht 3.
Bei Port- oder Anwendungskontrolle können auch Schicht 4 oder 7 beteiligt sein.
Merksatz:
Firewall kann Routing erlauben oder verhindern.
Schicht 3 oder Schicht 4?
Eine einfache Unterscheidung:
Frage
eher Schicht
Hat der Client eine passende IP-Adresse?
3
Ist das Gateway erreichbar?
3
Gibt es eine Route zum Zielnetz?
3
Funktioniert Ping auf eine IP?
3
Ist TCP-Port 443 offen?
4
Ist UDP-Port 53 erreichbar?
4
Läuft der Webdienst?
7
Löst der DNS-Name korrekt auf?
7
Merksatz:
IP-Erreichbarkeit = Schicht 3.
Port-Erreichbarkeit = Schicht 4.
Schicht 3 oder DNS?
DNS gehört zur Anwendungsschicht, wird aber oft bei IP-Problemen vermutet.
Unterscheidung:
Test
Bedeutung
IP-Adresse erreichbar, Name nicht
DNS prüfen
IP-Adresse nicht erreichbar
Routing, Gateway, Firewall, Link prüfen
Name zeigt auf falsche IP
DNS-Zone oder DNS-Cache prüfen
interner Name geht extern nicht
Split DNS oder öffentliche DNS-Zone prüfen
Merksatz:
Erst IP testen,
dann Namen testen.
Schicht 3 oder VLAN?
VLAN gehört zu Schicht 2.
Subnetz gehört zu Schicht 3.
Beide hängen in der Praxis eng zusammen.
Beispiel:
Client bekommt IP aus falschem Subnetz.
Mögliche Ursache:
Switch-Port im falschen VLAN.
Deshalb gilt:
Bei falscher IP-Adresse auch VLAN prüfen.
Merksatz:
VLAN-Fehler können wie Schicht-3-Fehler aussehen.
Schicht 3 oder NAT?
Wenn interne Kommunikation funktioniert, aber Internet nicht, kann NAT beteiligt sein.
Unterscheidung:
Beobachtung
mögliche Ursache
Gateway erreichbar, externe IP nicht
Routing, NAT, Firewall, Provider
externe IP erreichbar, Name nicht
DNS
intern erreichbar, extern nicht
Portweiterleitung, CGNAT, Firewall
nur Rückverkehr fehlt
NAT oder Rückroute
Merksatz:
NAT-Probleme zeigen sich oft beim Übergang ins Internet.
Beispiel: Client erreicht Gateway nicht
Fehlerbild:
Client kann Gateway nicht pingen.
Prüfung:
1. Link vorhanden?
2. Client im richtigen VLAN?
3. IP-Adresse korrekt?
4. Subnetzmaske korrekt?
5. Gateway-IP korrekt?
6. ARP-Eintrag vorhanden?
7. Router-Interface aktiv?
8. Firewall blockiert ICMP?
Wahrscheinliche Bereiche:
Schicht 1
Schicht 2
Schicht 3
Merksatz:
Gateway nicht erreichbar:
lokal prüfen.
Beispiel: Client erreicht Internet-IP nicht
Fehlerbild:
Gateway erreichbar,
aber externe IP nicht.
Prüfung:
1. Default Route auf Gateway prüfen
2. NAT/PAT prüfen
3. Firewall-Regeln prüfen
4. WAN-Verbindung prüfen
5. Provider-Gateway prüfen
6. Rückweg prüfen
Merksatz:
Gateway geht,
Internet-IP nicht:
Routing, NAT und Firewall prüfen.
Beispiel: Client erreicht Server in anderem VLAN nicht
Fehlerbild:
Client in VLAN 10 erreicht Server in VLAN 30 nicht.
Mögliche Ursachen:
- Inter-VLAN-Routing fehlt
- Firewall blockiert zwischen VLANs
- falsches Gateway im VLAN 10
- falsches Gateway im VLAN 30
- Rückroute fehlt
- Server-Firewall blockiert
- Server im falschen VLAN
- falsche Subnetzmaske
Merksatz:
Zwischen VLANs braucht man Routing und erlaubte Regeln.
Beispiel: VPN erreicht internes Netz nicht
Fehlerbild:
VPN-Verbindung steht,
aber interne Systeme sind nicht erreichbar.
Mögliche Ursachen:
- Route ins interne Netz fehlt
- Rückroute zum VPN-Netz fehlt
- Firewall blockiert VPN-Netz
- Split-Tunnel falsch
- NAT-Regel fehlt oder stört
- DNS liefert falsche interne Adresse
- VPN-Client bekommt falsches Netz
Merksatz:
VPN-Probleme sind oft Routing-, Firewall- oder DNS-Probleme.
Typische Prüf-Reihenfolge bei IP-Problemen
Eine einfache Reihenfolge:
1. IP-Adresse prüfen
2. Subnetzmaske prüfen
3. Gateway prüfen
4. eigenes Subnetz testen
5. Gateway pingen
6. ARP oder NDP prüfen
7. Routing-Tabelle prüfen
8. Zielnetzroute prüfen
9. Rückroute prüfen
10. Firewall und NAT prüfen
11. DNS prüfen
12. Dienst prüfen
Merksatz:
IP-Probleme systematisch von lokal nach entfernt prüfen.
Einordnung in das OSI-Modell
Thema
Schicht
Kabel, Link, Signal
1
MAC, VLAN, ARP
2 / 3-Bezug
IP-Adresse
3
Subnetzmaske
3
Gateway
3
Routing-Tabelle
3
ICMP, Ping, Traceroute
3
NAT
3
PAT
3 / 4
TCP-/UDP-Port
4
DNS
7
Anwendung
7
Merksatz:
Schicht 3 prüft IP-Erreichbarkeit,
nicht automatisch den Dienst.
Was Schicht-3-Fehlersuche nicht löst
Wenn IP und Routing korrekt funktionieren, können trotzdem Probleme bestehen.
Dann prüft man höhere Schichten:
- TCP-Port offen?
- UDP-Port erreichbar?
- DNS korrekt?
- Zertifikat gültig?
- Anwendung läuft?
- Benutzerrechte korrekt?
- Proxy oder Reverse Proxy korrekt?
- Dienst lauscht auf richtiger Schnittstelle?
Merksatz:
IP erreichbar heißt nicht:
Anwendung funktioniert.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Welche Fehler gehören typischerweise zu Schicht 3?
- Wie prüft man eine IP-Konfiguration?
- Warum muss das Gateway im eigenen Subnetz liegen?
- Was bedeutet 169.254.x.x?
- Was prüft man, wenn das Internet nicht funktioniert?
- Wie unterscheidet man DNS- und Routing-Probleme?
- Was bedeutet fehlende Rückroute?
- Warum kann falsches VLAN wie ein IP-Problem wirken?
- Warum beweist Ping keinen funktionierenden Dienst?
- Was prüft Traceroute?
- Warum kann ICMP blockiert sein?
- Welche Rolle spielt NAT bei Internetproblemen?
Typische Prüfungsfallen
Keine IP-Adresse kann ein DHCP- oder VLAN-Problem sein.
169.254.x.x weist oft auf DHCP-Probleme hin.
Gateway muss im eigenen Subnetz liegen.
Gleiches Subnetz erreichbar,
anderes nicht:
Gateway und Routing prüfen.
IP geht,
Name nicht:
DNS prüfen.
Ping geht,
Anwendung nicht:
Schicht 4 oder 7 prüfen.
Ping geht nicht,
Dienst kann trotzdem funktionieren.
ICMP kann blockiert sein.
Fehlende Rückroute verhindert Antworten.
NAT braucht passenden Hin- und Rückweg.
Falsches VLAN kann falsche IP-Adresse verursachen.
IPv4 und IPv6 getrennt prüfen.
ICMPv6 nicht pauschal blockieren.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Schicht-3-Fehler
Fehler bei IP, Subnetz, Gateway oder Routing
IP-Konfiguration
IP-Adresse, Maske, Gateway, DNS
APIPA
169.254.0.0/16 bei DHCP-Problem
Gateway-Problem
Router ins andere Netz nicht erreichbar
Routing-Problem
Weg zum Zielnetz fehlt oder ist falsch
Rückroute
Weg zurück zum Absendernetz
asymmetrisches Routing
Hin- und Rückweg sind unterschiedlich
NAT-Problem
Adressübersetzung fehlt oder ist falsch
ICMP
Kontrollmeldungen für IP
Ping
Test auf IP-Erreichbarkeit
Traceroute
Wegprüfung über Router
ARP
IPv4-IP-zu-MAC-Auflösung
NDP
IPv6-Nachbarerkennung
DNS-Problem
Name wird nicht korrekt aufgelöst
Dual Stack
IPv4 und IPv6 gleichzeitig
IHK-sichere Kurzformulierung
Fehlersuche auf OSI-Schicht 3 bedeutet, die IP-Kommunikation zu prüfen. Dazu gehören IP-Adresse, Subnetzmaske, Standard-Gateway, Routing-Tabelle, ICMP, NAT und bei IPv6 auch NDP und ICMPv6. Typische Schicht-3-Fehler sind falsche IP-Konfiguration, falsches Gateway, fehlende Routen, fehlende Rückrouten, NAT-Probleme oder falsche Firewall-Regeln. Bei der Fehlersuche prüft man zuerst die lokale IP-Konfiguration, dann das Gateway, anschließend Routing zu externen oder entfernten Netzen und danach DNS oder Dienste auf höheren Schichten.
Merksätze
Schicht-3-Fehlersuche = IP, Gateway und Routing prüfen.
Erst Schicht 1,
dann Schicht 2,
dann Schicht 3.
Keine IP = DHCP, VLAN oder Link prüfen.
169.254.x.x = häufig DHCP-Problem.
Falsche IP kann falsches VLAN bedeuten.
Subnetzmaske muss passen.
Gateway muss im eigenen Subnetz liegen.
Gateway nicht erreichbar = lokal prüfen.
Gleiches Netz geht,
anderes Netz nicht:
Gateway prüfen.
Zielnetz nicht erreichbar:
Route prüfen.
Kommunikation braucht Hinweg und Rückweg.
Ohne Rückroute keine Antwort.
NAT braucht passenden Rückweg.
IP erreichbar,
Name nicht:
DNS prüfen.
Ping erreichbar heißt nicht:
Dienst funktioniert.
Ping nicht erreichbar heißt nicht automatisch:
Ziel offline.
Traceroute zeigt den Routing-Weg.
IPv4 und IPv6 getrennt prüfen.
ICMPv6 ist für IPv6 wichtig.
VLAN-Fehler können wie IP-Probleme aussehen.
Erst lokal,
dann entfernt,
dann DNS,
dann Dienst.
6.8 Merksätze und Prüfungswissen zu OSI-Schicht 3
Diese Seite fasst die wichtigsten Inhalte zur OSI-Schicht 3 zusammen.
OSI-Schicht 3 heißt:
Vermittlungsschicht
Sie wird auch genannt:
Netzwerkschicht
Die Hauptaufgabe von Schicht 3 ist:
IP-Pakete zwischen verschiedenen Netzwerken weiterleiten.
Merksatz:
Schicht 3 = IP-Adressen, Pakete und Routing.
Grundidee von Schicht 3
Schicht 2 arbeitet lokal im LAN.
Schicht 3 verbindet unterschiedliche IP-Netze.
Beispiel:
Client im LAN
→ Router
→ anderes Netz
→ Server
Dafür werden IP-Adressen und Routing verwendet.
Merksatz:
Schicht 2 bringt Frames lokal weiter.
Schicht 3 bringt IP-Pakete in andere Netze.
Schicht 1, 2, 3 und 4 unterscheiden
Schicht
Name
Datenform
wichtige Begriffe
1
Bitübertragungsschicht
Bits
Signal, Link, Kabel
2
Sicherungsschicht
Frame
MAC, Switch, VLAN
3
Vermittlungsschicht / Netzwerkschicht
Paket
IP, Router, Routing
4
Transportschicht
Segment / Datagramm
TCP, UDP, Port
Merksatz:
Bit = Schicht 1.
Frame = Schicht 2.
Paket = Schicht 3.
Segment oder Datagramm = Schicht 4.
IP-Adresse
Eine IP-Adresse ist eine logische Adresse auf Schicht 3.
Sie dient dazu, Geräte in IP-Netzen zu adressieren.
Beispiele:
IPv4:
192.168.10.20
IPv6:
2001:db8::20
Merksatz:
IP-Adresse = logische Adresse auf Schicht 3.
MAC-Adresse und IP-Adresse unterscheiden
Adresse
Schicht
Aufgabe
MAC-Adresse
2
lokale Zustellung im LAN
IP-Adresse
3
netzübergreifende Adressierung
Wichtig:
MAC-Adressen gelten lokal.
IP-Adressen gelten netzübergreifend.
Merksatz:
MAC = lokal.
IP = netzübergreifend.
IP-Paket
Ein IP-Paket ist die Datenform auf Schicht 3.
Ein IP-Paket enthält unter anderem:
- Quell-IP-Adresse
- Ziel-IP-Adresse
- Steuerinformationen
- Nutzdaten höherer Schichten
Merksatz:
IP-Paket = Datenbehälter auf Schicht 3.
Quell-IP und Ziel-IP
Ein IP-Paket enthält normalerweise:
Quell-IP-Adresse
Ziel-IP-Adresse
Die Quell-IP sagt:
Von welchem Gerät stammt das Paket?
Die Ziel-IP sagt:
Zu welchem Gerät soll das Paket?
Merksatz:
Quell-IP = woher.
Ziel-IP = wohin.
MAC ändert sich, IP bleibt grundsätzlich erhalten
Wenn ein IP-Paket über Router läuft, wird auf jedem Netzwerkabschnitt ein neuer Schicht-2-Frame erstellt.
Dabei ändern sich:
- Quell-MAC-Adresse
- Ziel-MAC-Adresse
Grundsätzlich gleich bleiben:
- Quell-IP-Adresse
- Ziel-IP-Adresse
Ausnahme:
NAT oder PAT kann IP-Adressen verändern.
Merksatz:
MAC ändert sich pro Abschnitt.
IP bleibt grundsätzlich Ende-zu-Ende.
Router
Ein Router ist ein typisches Gerät auf Schicht 3.
Ein Router verbindet verschiedene IP-Netze.
Er entscheidet anhand der Ziel-IP-Adresse, wohin ein IP-Paket weitergeleitet wird.
Dafür verwendet er eine Routing-Tabelle.
Merksatz:
Router = Schicht-3-Gerät für IP-Weiterleitung.
Switch und Router unterscheiden
Gerät
typische Schicht
Entscheidung nach
Hub
1
Signal
Switch
2
MAC-Adresse
Router
3
IP-Adresse
Merksatz:
Hub = Signal.
Switch = MAC.
Router = IP.
Subnetz
Ein Subnetz ist ein logischer IP-Adressbereich.
Beispiel:
192.168.10.0/24
Zu einem Subnetz gehören:
- Netzadresse
- nutzbare Host-Adressen
- Broadcast-Adresse bei IPv4
- Subnetzmaske oder Präfix
Merksatz:
Subnetz = IP-Adressbereich auf Schicht 3.
Netzadresse
Die Netzadresse bezeichnet das Netzwerk selbst.
Beispiel:
192.168.10.0/24
Netzadresse:
192.168.10.0
Sie wird normalerweise nicht einem Endgerät zugewiesen.
Merksatz:
Netzadresse = Adresse des Netzes.
Broadcast-Adresse bei IPv4
Die Broadcast-Adresse ist die letzte Adresse im IPv4-Subnetz.
Beispiel:
192.168.10.0/24
Broadcast-Adresse:
192.168.10.255
Sie adressiert alle Geräte im Subnetz.
Merksatz:
Broadcast-Adresse = letzte Adresse im IPv4-Subnetz.
Hostbereich
Der Hostbereich enthält die nutzbaren Adressen für Geräte.
Beispiel:
Netz:
192.168.10.0/24
Netzadresse:
192.168.10.0
Hostbereich:
192.168.10.1 bis 192.168.10.254
Broadcast-Adresse:
192.168.10.255
Merksatz:
Hostbereich = nutzbare Geräteadressen.
Subnetzmaske
Die Subnetzmaske trennt Netzanteil und Hostanteil.
Beispiel:
IP-Adresse:
192.168.10.20
Subnetzmaske:
255.255.255.0
Das entspricht:
/24
Merksatz:
Subnetzmaske trennt Netz und Host.
CIDR
CIDR steht für:
Classless Inter-Domain Routing
CIDR gibt an, wie viele Bits zum Netzanteil gehören.
Beispiel:
192.168.10.20/24
Bedeutung:
24 Bit Netzanteil
Merksatz:
CIDR-Präfix = Anzahl der Netz-Bits.
Host-Bits und nutzbare Hosts
IPv4 hat insgesamt:
32 Bit
Host-Bits berechnet man mit:
32 minus CIDR-Präfix
Beispiel /24:
32 - 24 = 8 Host-Bits
Alle Adressen:
2 hoch 8 = 256
Nutzbare Hosts:
256 - 2 = 254
Merksatz:
Nutzbare Hosts = 2 hoch Host-Bits minus 2.
Wichtige IPv4-Präfixe
CIDR
Subnetzmaske
alle Adressen
nutzbare Hosts
/24
255.255.255.0
256
254
/25
255.255.255.128
128
126
/26
255.255.255.192
64
62
/27
255.255.255.224
32
30
/28
255.255.255.240
16
14
/29
255.255.255.248
8
6
/30
255.255.255.252
4
2
Merksatz:
Je größer die CIDR-Zahl,
desto kleiner das Netz.
Schrittweite
Die Schrittweite zeigt, in welchen Abständen neue Subnetze beginnen.
Beispiele:
CIDR
Schrittweite
/25
128
/26
64
/27
32
/28
16
/29
8
/30
4
Schnelle Regel:
Schrittweite = 256 minus Maskenwert im interessanten Oktett
Merksatz:
Schrittweite = Größe des Subnetzes im betroffenen Oktett.
Private IPv4-Adressen
Private IPv4-Adressen werden in internen Netzen verwendet.
Wichtige Bereiche:
Bereich
CIDR
10.0.0.0 – 10.255.255.255
10.0.0.0/8
172.16.0.0 – 172.31.255.255
172.16.0.0/12
192.168.0.0 – 192.168.255.255
192.168.0.0/16
Private IPv4-Adressen sind im öffentlichen Internet nicht direkt geroutet.
Merksatz:
Private IPv4-Adressen = interne Adressen.
Besondere IPv4-Adressen
Adresse / Bereich
Bedeutung
127.0.0.1
Loopback, eigenes Gerät
127.0.0.0/8
Loopback-Bereich
169.254.0.0/16
APIPA, häufig DHCP-Problem
0.0.0.0/0
Default Route
255.255.255.255
lokaler Broadcast
100.64.0.0/10
häufig Carrier-Grade NAT
Merksatz:
127.0.0.1 = eigenes Gerät.
169.254.x.x = oft DHCP-Problem.
0.0.0.0/0 = Default Route.
Standard-Gateway
Das Standard-Gateway ist der Router für Ziele außerhalb des eigenen Subnetzes.
Beispiel:
Client:
192.168.10.20/24
Gateway:
192.168.10.1
Wenn das Ziel nicht in 192.168.10.0/24 liegt, sendet der Client an das Gateway.
Merksatz:
Standard-Gateway = Ausgang in andere Netze.
Gateway muss erreichbar sein
Das Standard-Gateway muss im eigenen lokalen Subnetz liegen.
Falsch:
Client:
192.168.10.20/24
Gateway:
192.168.20.1
Warum falsch?
Das Gateway liegt nicht im Netz 192.168.10.0/24.
Merksatz:
Gateway muss im eigenen Subnetz erreichbar sein.
Gleiches oder anderes Subnetz
Ein Gerät entscheidet:
Ziel im eigenen Subnetz?
Dann direkt lokal senden.
Ziel in anderem Subnetz?
Dann zum Gateway senden.
Beispiel:
192.168.10.20/24 zu 192.168.10.50
= gleiches Subnetz
192.168.10.20/24 zu 192.168.20.50
= anderes Subnetz
Merksatz:
Gleiches Subnetz = direkt.
Anderes Subnetz = Gateway.
Routing
Routing bedeutet:
IP-Pakete zwischen Netzwerken weiterleiten.
Ein Router prüft die Ziel-IP-Adresse und sucht eine passende Route.
Merksatz:
Routing = Wegentscheidung für IP-Pakete.
Routing-Tabelle
Eine Routing-Tabelle enthält Wege zu Zielnetzen.
Typische Bestandteile:
- Zielnetz
- Präfix
- nächster Hop
- Ausgangsschnittstelle
- Metrik
Merksatz:
Routing-Tabelle = Wegweiser für IP-Pakete.
Direkt verbundene Route
Eine direkt verbundene Route entsteht, wenn ein Router mit einer Schnittstelle direkt in einem Netz hängt.
Beispiel:
Router-Interface:
192.168.10.1/24
Direkt verbundenes Netz:
192.168.10.0/24
Merksatz:
Direkt verbunden = Netz liegt an eigener Schnittstelle.
Statische Route
Eine statische Route wird manuell eingetragen.
Vorteile:
- einfach bei kleinen Netzen
- gut kontrollierbar
Nachteile:
- manuelle Pflege
- keine automatische Anpassung bei Ausfällen
Merksatz:
Statische Route = manuell eingetragener Weg.
Dynamische Route
Dynamische Routen werden automatisch über Routing-Protokolle gelernt.
Beispiele:
- RIP
- OSPF
- BGP
Merksatz:
Dynamische Route = automatisch gelernter Weg.
Routing-Protokolle
Protokoll
typische Einordnung
RIP
älter, einfach, kleine Netze
OSPF
interne Unternehmensnetze
BGP
Internet und Provider-Routing
Merksatz:
OSPF intern.
BGP im Internet zwischen großen Netzen.
Default Route
Die Default Route wird verwendet, wenn keine genauere Route vorhanden ist.
IPv4:
0.0.0.0/0
Bedeutung:
alle IPv4-Ziele
Merksatz:
Default Route = Route für alles Unbekannte.
Longest Prefix Match
Wenn mehrere Routen passen, gewinnt die genaueste Route.
Beispiel:
Route
Präfix
192.168.0.0/16
/16
192.168.10.0/24
/24
0.0.0.0/0
/0
Ziel:
192.168.10.50
Gewählt wird:
192.168.10.0/24
Merksatz:
Genaueste passende Route gewinnt.
Nächster Hop
Der nächste Hop ist der nächste Router auf dem Weg zum Ziel.
Beispiel:
Zielnetz:
10.10.0.0/16
nächster Hop:
192.168.20.254
Merksatz:
Nächster Hop = nächster Router.
Rückroute
Kommunikation braucht Hinweg und Rückweg.
Wenn der Rückweg fehlt, kommt keine Antwort zurück.
Beispiel:
Netz A erreicht Netz B.
Netz B kennt aber keinen Weg zurück zu Netz A.
Folge:
Verbindung funktioniert nicht.
Merksatz:
Ohne Rückroute keine Antwort.
Asymmetrisches Routing
Asymmetrisches Routing bedeutet:
Hinweg und Rückweg nehmen unterschiedliche Pfade.
Das kann funktionieren, aber bei Firewalls oder NAT problematisch sein.
Warum?
Stateful Firewalls und NAT-Geräte müssen die Verbindung kennen.
Merksatz:
Asymmetrisches Routing kann Firewalls und NAT stören.
TTL
TTL steht für:
Time To Live
TTL begrenzt die Lebensdauer eines IP-Pakets.
Jeder Router verringert den TTL-Wert.
Wenn TTL 0 erreicht, wird das Paket verworfen.
Merksatz:
TTL verhindert endloses Kreisen von IP-Paketen.
ICMP
ICMP steht für:
Internet Control Message Protocol
ICMP wird für Kontroll- und Fehlermeldungen im IP-Netz verwendet.
Wichtig:
ICMP nutzt keine TCP- oder UDP-Ports.
ICMP nutzt Typ und Code.
Merksatz:
ICMP = Kontrollmeldungen für IP.
Ping
Ping nutzt typischerweise ICMP Echo Request und Echo Reply.
Ping prüft:
grundlegende IP-Erreichbarkeit
Aber Ping beweist nicht:
dass ein bestimmter Dienst funktioniert.
Merksatz:
Ping prüft IP-Erreichbarkeit,
nicht die Anwendung.
Traceroute
Traceroute zeigt den Weg zu einem Ziel über mehrere Router.
Je nach System heißt der Befehl:
tracert
traceroute
tracepath
Traceroute nutzt das TTL-Verhalten von IP-Paketen.
Merksatz:
Traceroute zeigt Router-Hops.
NAT
NAT steht für:
Network Address Translation
NAT verändert IP-Adressen beim Übergang zwischen Netzen.
Typischer Einsatz:
private IPv4-Adresse
→ öffentliche IPv4-Adresse
Merksatz:
NAT = IP-Adressen übersetzen.
PAT
PAT steht für:
Port Address Translation
PAT ist eine Form von NAT mit Port-Zuordnung.
Dadurch können viele interne Geräte eine öffentliche IPv4-Adresse gemeinsam nutzen.
Merksatz:
PAT = NAT mit Ports.
Source NAT und Destination NAT
Art
Bedeutung
typischer Einsatz
Source NAT
Quell-IP wird verändert
internes Gerät ins Internet
Destination NAT
Ziel-IP wird verändert
Portweiterleitung nach innen
Merksatz:
Source NAT verändert Quelle.
Destination NAT verändert Ziel.
Portweiterleitung
Portweiterleitung bedeutet:
Ein externer Port wird an einen internen Dienst weitergeleitet.
Beispiel:
öffentlich:
93.184.100.10:443
intern:
192.168.10.50:443
Merksatz:
Portweiterleitung macht interne Dienste von außen erreichbar.
CGNAT
CGNAT steht für:
Carrier-Grade NAT
Dabei macht der Provider NAT.
Mögliche Folge:
Der eigene Router hat keine echte öffentliche IPv4-Adresse.
Typischer Hinweis:
WAN-Adresse am Router liegt im Bereich 100.64.0.0/10
oder unterscheidet sich von der öffentlich angezeigten Adresse.
Merksatz:
CGNAT erschwert eingehende Verbindungen von außen.
IPv6
IPv6 ist ebenfalls Schicht 3.
Eine IPv6-Adresse hat:
128 Bit
Beispiel:
2001:db8::10
Merksatz:
IPv6 = 128 Bit.
IPv6-Adressarten
Art
Bereich / Beispiel
Bedeutung
Link-Local
fe80::/10
nur lokaler Link
Global Unicast
2000::/3
weltweit routbar
Unique Local
fc00::/7
interne Nutzung
Multicast
ff00::/8
Gruppe von Empfängern
Loopback
::1
eigenes Gerät
Unspecified
::
keine konkrete Adresse
Merksatz:
fe80 lokal.
2000 global.
fd intern.
ff Multicast.
IPv6-Abkürzungen
Bei IPv6 gilt:
Führende Nullen dürfen weggelassen werden.
Zusammenhängende Nullblöcke dürfen mit :: ersetzt werden.
:: darf nur einmal pro Adresse vorkommen.
Beispiel:
2001:0db8:0000:0000:0000:0000:0000:0010
wird zu:
2001:db8::10
Merksatz:
:: darf nur einmal vorkommen.
IPv6 nutzt kein ARP
IPv4 nutzt ARP.
IPv6 nutzt kein ARP.
IPv6 nutzt stattdessen:
NDP
NDP steht für:
Neighbor Discovery Protocol
NDP basiert auf ICMPv6.
Merksatz:
IPv6 nutzt NDP statt ARP.
ICMPv6
ICMPv6 ist für IPv6 besonders wichtig.
Es wird benötigt für:
- Neighbor Discovery
- Router Discovery
- Router Advertisements
- Fehler- und Kontrollmeldungen
Wichtig:
ICMPv6 nicht pauschal blockieren.
Merksatz:
IPv6 braucht ICMPv6 für Grundfunktionen.
SLAAC und DHCPv6
SLAAC steht für:
Stateless Address Autoconfiguration
Der Client bildet seine IPv6-Adresse anhand von Router Advertisements.
DHCPv6 kann zusätzlich oder alternativ Konfigurationsinformationen liefern.
Merksatz:
SLAAC = automatische IPv6-Adresse.
DHCPv6 = IPv6-Konfigurationsdienst.
Dual Stack
Dual Stack bedeutet:
IPv4 und IPv6 laufen gleichzeitig.
Ein Gerät kann dann beide Protokolle nutzen.
Wichtig:
Bei Problemen IPv4 und IPv6 getrennt prüfen.
Merksatz:
Dual Stack = IPv4 und IPv6 gleichzeitig.
DNS bei IPv4 und IPv6
DNS kann IPv4- und IPv6-Adressen liefern.
DNS-Record
Bedeutung
A
Name zu IPv4-Adresse
AAAA
Name zu IPv6-Adresse
Merksatz:
A = IPv4.
AAAA = IPv6.
Schicht 3 und VLANs
VLANs gehören zu Schicht 2.
IP-Subnetze gehören zu Schicht 3.
In der Praxis wird häufig pro VLAN ein eigenes Subnetz verwendet.
Beispiel:
VLAN
Subnetz
VLAN 10
192.168.10.0/24
VLAN 20
192.168.20.0/24
Merksatz:
VLAN = Schicht 2.
Subnetz = Schicht 3.
Inter-VLAN-Routing
Wenn Geräte in unterschiedlichen VLANs kommunizieren sollen, braucht man Routing.
Dafür nutzt man zum Beispiel:
- Router
- Layer-3-Switch
- Firewall
Merksatz:
VLAN zu VLAN braucht Routing.
Schicht-3-Fehlersuche
Typische Prüfpunkte:
- IP-Adresse korrekt?
- Subnetzmaske korrekt?
- Gateway korrekt?
- Gateway erreichbar?
- Routing-Tabelle korrekt?
- Default Route vorhanden?
- Rückroute vorhanden?
- NAT korrekt?
- Firewall-Regel passend?
- IPv4 und IPv6 getrennt geprüft?
Merksatz:
Schicht-3-Fehlersuche = IP, Gateway, Routing und NAT prüfen.
Typische Schicht-3-Fehler
Fehlerbild
mögliche Ursache
keine IP-Adresse
DHCP, VLAN, Link
169.254.x.x
DHCP nicht erreichbar
falsche IP-Adresse
falsches VLAN oder falscher DHCP-Bereich
Gateway nicht erreichbar
falsches Gateway, VLAN, ARP
Internet geht nicht
Gateway, Default Route, NAT, DNS
IP geht, Name nicht
DNS-Problem
Ping geht, Dienst nicht
Schicht 4 oder 7 prüfen
VLAN zu VLAN geht nicht
Inter-VLAN-Routing oder Firewall
extern nicht erreichbar
NAT, Firewall, CGNAT, DNS
IPv6 geht nicht
RA, NDP, ICMPv6, Firewall
Merksatz:
Viele sichtbare IP-Probleme haben Ursachen in Gateway, VLAN, Routing oder DNS.
Was Schicht 3 nicht macht
Schicht 3 macht nicht:
- Ethernet-Frames anhand von MAC-Adressen switchen
- VLAN-Tags setzen
- TCP-Verbindungen aufbauen
- UDP-Ports auswerten
- DNS-Namen auflösen
- Webseiten bereitstellen
- Benutzer authentifizieren
- Zertifikate prüfen
Merksatz:
Schicht 3 routet IP-Pakete,
stellt aber keine Anwendung bereit.
Prüfungswissen: wichtigste Zuordnungen
Begriff
richtige Einordnung
IP-Adresse
Schicht 3
IP-Paket
Schicht 3
Router
Schicht 3
Routing
Schicht 3
Standard-Gateway
Schicht 3
Subnetzmaske
Schicht 3
ICMP
Schicht 3
Ping
Schicht 3
Traceroute
Schicht 3
TTL
Schicht 3
NAT
Schicht 3
PAT
Schicht 3 / 4
VLAN
Schicht 2
MAC-Adresse
Schicht 2
TCP-Port
Schicht 4
DNS
Schicht 7
Merksatz:
IP, Router, Routing, ICMP = Schicht 3.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Welche Aufgabe hat OSI-Schicht 3?
- Was ist eine IP-Adresse?
- Was ist ein IP-Paket?
- Was ist der Unterschied zwischen MAC und IP?
- Was macht ein Router?
- Was ist ein Standard-Gateway?
- Wann wird ein Gateway benötigt?
- Was ist ein Subnetz?
- Was bedeutet CIDR?
- Wie berechnet man nutzbare Hosts?
- Was ist eine Routing-Tabelle?
- Was ist eine Default Route?
- Was bedeutet Longest Prefix Match?
- Was macht ICMP?
- Warum nutzt ICMP keine Ports?
- Was prüfen Ping und Traceroute?
- Was ist NAT?
- Was ist PAT?
- Was ist der Unterschied zwischen IPv4 und IPv6?
- Warum nutzt IPv6 kein ARP?
Typische Prüfungsfallen
Schicht 3 arbeitet mit IP-Paketen.
Schicht 2 arbeitet mit Frames.
MAC-Adresse gehört zu Schicht 2.
IP-Adresse gehört zu Schicht 3.
Switch = Schicht 2.
Router = Schicht 3.
Gleiches Subnetz = direkt.
Anderes Subnetz = Gateway.
Gateway muss im eigenen Subnetz liegen.
Default Route = 0.0.0.0/0.
Genaueste passende Route gewinnt.
Kommunikation braucht Hinweg und Rückweg.
Ping nutzt ICMP.
ICMP nutzt keine TCP- oder UDP-Ports.
Ping-Erfolg bedeutet nicht,
dass eine Anwendung funktioniert.
NAT ist nicht Routing.
NAT ist nicht Firewall.
PAT nutzt Ports.
IPv4 hat 32 Bit.
IPv6 hat 128 Bit.
IPv6 hat keinen Broadcast.
IPv6 nutzt NDP statt ARP.
ICMPv6 ist für IPv6 wichtig.
VLAN ist nicht Subnetz.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Vermittlungsschicht
OSI-Schicht 3
Netzwerkschicht
anderer Begriff für Schicht 3
IP-Adresse
logische Adresse auf Schicht 3
IP-Paket
Datenform auf Schicht 3
Subnetz
logischer IP-Adressbereich
Subnetzmaske
trennt Netzanteil und Hostanteil
CIDR
Schreibweise mit Präfixlänge
Standard-Gateway
Router für Ziele außerhalb des eigenen Subnetzes
Router
Gerät zur Weiterleitung zwischen IP-Netzen
Routing
Weiterleitung von IP-Paketen
Routing-Tabelle
Tabelle mit Wegen zu Zielnetzen
Default Route
Route für unbekannte Ziele
Longest Prefix Match
genaueste passende Route gewinnt
Nächster Hop
nächster Router auf dem Weg
Rückroute
Weg zurück zum Absender
TTL
Lebensdauerbegrenzung von IP-Paketen
ICMP
Kontrollmeldungen für IP
Ping
ICMP-Erreichbarkeitstest
Traceroute
Weganzeige über Router
NAT
Übersetzung von IP-Adressen
PAT
NAT mit Port-Zuordnung
IPv6
Internet Protocol Version 6
NDP
Neighbor Discovery Protocol
SLAAC
automatische IPv6-Adressbildung
Dual Stack
IPv4 und IPv6 gleichzeitig
IHK-sichere Gesamtformulierung
Die Vermittlungsschicht beziehungsweise Netzwerkschicht ist Schicht 3 des OSI-Modells. Sie ist für die logische Adressierung und Weiterleitung von IP-Paketen zwischen verschiedenen Netzwerken zuständig. Dazu werden IP-Adressen, Subnetzmasken, Standard-Gateways, Routing-Tabellen und Router verwendet. Ein Router entscheidet anhand der Ziel-IP-Adresse, wohin ein Paket weitergeleitet wird. Befindet sich ein Ziel nicht im eigenen Subnetz, wird das Paket an das Standard-Gateway gesendet. ICMP wird für Kontroll- und Fehlermeldungen verwendet, NAT übersetzt IP-Adressen und IPv6 erweitert den Adressraum auf 128 Bit.
Wichtigste Merksätze
Schicht 3 = Vermittlungsschicht / Netzwerkschicht.
Schicht 3 = IP, Pakete und Routing.
IP-Adresse = logische Adresse.
IP-Paket = Datenform auf Schicht 3.
MAC = lokal.
IP = netzübergreifend.
MAC-Adresse = Schicht 2.
IP-Adresse = Schicht 3.
Switch = Schicht 2.
Router = Schicht 3.
Router entscheidet anhand der Ziel-IP.
Routing = Wegentscheidung für IP-Pakete.
Gleiches Subnetz = direkt.
Anderes Subnetz = Gateway.
Gateway muss im eigenen Subnetz liegen.
Subnetzmaske trennt Netz und Host.
CIDR gibt Netz-Bits an.
Host-Bits = 32 minus Präfix.
Nutzbare Hosts = 2 hoch Host-Bits minus 2.
Default Route = 0.0.0.0/0.
Longest Prefix Match = genaueste Route gewinnt.
Kommunikation braucht Hinweg und Rückweg.
TTL verhindert endloses Kreisen von IP-Paketen.
ICMP = Kontrollmeldungen für IP.
ICMP nutzt Typ und Code,
keine Ports.
Ping prüft IP-Erreichbarkeit.
Traceroute zeigt Router-Hops.
NAT übersetzt IP-Adressen.
PAT nutzt zusätzlich Ports.
IPv4 = 32 Bit.
IPv6 = 128 Bit.
IPv6 nutzt NDP statt ARP.
ICMPv6 ist für IPv6 wichtig.
VLAN = Schicht 2.
Subnetz = Schicht 3.
Inter-VLAN-Routing = Schicht 3.
Erst Link,
dann MAC/VLAN,
dann IP/Routing.
7. OSI-Schicht 4 – Transportschicht
TCP (Transmission Control Protocol) Erklärung
TCP einfach erklärt
TCP steht für Transmission Control Protocol .
TCP ist ein verbindungsorientiertes und zuverlässiges Transportprotokoll. Es arbeitet auf der Transportschicht des TCP/IP-Modells und sorgt dafür, dass Daten möglichst vollständig, geordnet und fehlerfrei beim Empfänger ankommen.
Typische Anwendungen mit TCP sind zum Beispiel:
HTTP/HTTPS
SSH
E-Mail
Dateiübertragung
Remote Desktop
Grundidee von TCP
TCP wird verwendet, wenn Daten zuverlässig übertragen werden sollen.
Das bedeutet:
- vor der Datenübertragung wird eine Verbindung aufgebaut
- Daten werden nummeriert
- empfangene Daten werden bestätigt
- fehlende Daten können erneut übertragen werden
- Daten werden in der richtigen Reihenfolge an die Anwendung weitergegeben
TCP ist dadurch zuverlässiger als UDP, hat aber mehr Verwaltungsaufwand.
Merksatz:
TCP = verbindungsorientiert, zuverlässig und geordnet
UDP = verbindungslos, schnell und mit weniger Kontrolle
TCP arbeitet mit Ports
Eine IP-Adresse zeigt auf einen Host im Netzwerk.
Beispiel:
192.168.0.50
Ein Port zeigt auf einen bestimmten Dienst oder eine Anwendung auf diesem Host.
Beispiel:
192.168.0.50:443
Das bedeutet:
192.168.0.50 = Host / Gerät
443 = Dienst / Anwendung, hier HTTPS
Typische TCP-Ports:
80 = HTTP
443 = HTTPS
22 = SSH
25 = SMTP
110 = POP3
143 = IMAP
3389 = Remote Desktop
Merksatz:
IP-Adresse = welcher Host?
Port = welcher Dienst?
Socket = IP-Adresse + Port
Socket bei TCP
Ein Socket ist die Kombination aus IP-Adresse und Port.
Beispiel:
192.168.0.50:443
Bei einer TCP-Verbindung gibt es immer zwei Seiten:
Client-Socket: 192.168.0.20:51544
Server-Socket: 93.184.216.34:443
Der Client verwendet oft einen zufälligen hohen Quellport. Der Server verwendet meistens einen bekannten festen Zielport.
Eine vollständige TCP-Verbindung wird also durch diese Informationen beschrieben:
Quell-IP
Quell-Port
Ziel-IP
Ziel-Port
Protokoll TCP
TCP-Verbindungsaufbau: 3-Wege-Handshake
Bevor TCP Daten überträgt, wird eine Verbindung aufgebaut. Dieser Verbindungsaufbau heißt 3-Wege-Handshake .
Dabei tauschen Client und Server Kontrollinformationen aus.
Ablauf:
Client Server
1. SYN --------------------->
Verbindungswunsch
2. SYN-ACK <------------------
Verbindungswunsch bestätigt
3. ACK --------------------->
Bestätigung zurück
Verbindung steht
Was bedeutet SYN?
SYN ist die Abkürzung für:
Synchronize
Auf Deutsch:
synchronisieren
Beim TCP-Verbindungsaufbau bedeutet SYN:
Der Client möchte eine neue TCP-Verbindung starten
und seine Start-Sequenznummer mit dem Server synchronisieren.
SYN ist also nicht einfach nur „Hallo“, sondern enthält auch technische Informationen für den Start der Verbindung.
Was bedeutet SYN-ACK?
SYN-ACK besteht aus zwei Teilen:
SYN = Server möchte ebenfalls seine Start-Sequenznummer synchronisieren
ACK = Server bestätigt den SYN des Clients
Der Server sagt damit vereinfacht:
Ich habe deinen Verbindungswunsch erhalten.
Ich bin bereit.
Hier ist meine eigene Start-Sequenznummer.
Was bedeutet ACK?
ACK steht für:
Acknowledgement
Auf Deutsch:
Bestätigung
Beim dritten Schritt bestätigt der Client die Antwort des Servers.
Danach gilt:
Die TCP-Verbindung ist aufgebaut.
Daten können übertragen werden.
Merksatz:
SYN = Verbindungswunsch + Start-Sequenznummer synchronisieren
SYN-ACK = Verbindungswunsch bestätigen + eigene Start-Sequenznummer senden
ACK = Bestätigung zurücksenden
Sequenznummer ist keine Portnummer
Eine Sequenznummer ist nicht dasselbe wie eine Portnummer.
Eine Portnummer sagt:
Welcher Dienst oder welches Programm ist gemeint?
Eine Sequenznummer sagt:
An welcher Stelle im TCP-Datenstrom befinden sich diese Daten?
Merksatz:
Portnummer = welcher Dienst?
Sequenznummer = welche Stelle im Datenstrom?
Oder einfacher:
Portnummer ist wie die Türnummer eines Dienstes.
Sequenznummer ist wie die Position der Daten im Datenstrom.
Was macht die Sequenznummer bei TCP?
TCP nummeriert nicht einfach nur einzelne Pakete wie „Paket 1, Paket 2, Paket 3“.
Technisch genauer:
TCP nummeriert die Bytes im Datenstrom.
Dadurch weiß der Empfänger:
- wo ein empfangenes TCP-Segment im Datenstrom beginnt
- ob Daten in der richtigen Reihenfolge angekommen sind
- ob Daten fehlen
- ob Daten doppelt angekommen sind
Ein TCP-Segment enthält eine Sequenznummer. Diese Sequenznummer zeigt, an welcher Position im Datenstrom die enthaltenen Daten beginnen.
Einfaches Beispiel für Sequenznummern
Segment 1: Sequenznummer 1000, enthält 500 Byte
Segment 2: Sequenznummer 1500, enthält 500 Byte
Segment 3: Sequenznummer 2000, enthält 500 Byte
Das bedeutet:
Segment 1 beginnt bei Byte 1000.
Segment 2 beginnt bei Byte 1500.
Segment 3 beginnt bei Byte 2000.
Wenn alles korrekt ankommt, kann der Empfänger die Daten in der richtigen Reihenfolge zusammensetzen.
Was passiert, wenn Daten verloren gehen?
Angenommen, Segment 2 geht verloren:
Segment 1 kommt an: Sequenznummer 1000
Segment 2 fehlt: Sequenznummer 1500
Segment 3 kommt an: Sequenznummer 2000
Der Empfänger merkt:
Ich habe Daten ab 1000 bekommen.
Danach müsste eigentlich 1500 kommen.
Jetzt kommt aber schon 2000.
Also fehlt der Bereich ab 1500.
TCP erkennt dadurch, dass ein Teil der Daten fehlt.
Die fehlenden Daten können dann erneut übertragen werden.
ACK = Bestätigung empfangener Daten
Mit einem ACK bestätigt der Empfänger, welche Daten korrekt angekommen sind.
Vereinfacht gesagt:
ACK 1500 = Ich habe alles bis vor 1500 korrekt erhalten.
Bitte sende als Nächstes die Daten ab 1500.
Wenn Daten fehlen, bestätigt der Empfänger nicht einfach alles als vollständig.
Stattdessen signalisiert er sinngemäß:
Ich erwarte weiterhin die Daten ab dieser Sequenznummer.
Dadurch erkennt der Sender, dass Daten erneut übertragen werden müssen.
Muss TCP komplett warten, wenn ein Segment fehlt?
Nicht unbedingt.
Später angekommene Daten können zwischengespeichert werden.
Beispiel:
Segment 1 kommt an.
Segment 2 fehlt.
Segment 3 kommt schon an.
TCP kann Segment 3 intern speichern.
Wichtig ist aber:
An die Anwendung werden die Daten erst in der richtigen Reihenfolge weitergegeben.
Das bedeutet:
Die Anwendung bekommt Segment 3 nicht vor Segment 2.
Erst wenn die fehlenden Daten angekommen sind,
werden die Daten geordnet weitergegeben.
Dadurch sieht die Anwendung einen zuverlässigen und geordneten Datenstrom.
Warum ist TCP zuverlässig?
TCP gilt als zuverlässig, weil es mehrere Kontrollmechanismen verwendet.
Dazu gehören:
- Verbindungsaufbau durch 3-Wege-Handshake
- Sequenznummern
- ACK-Bestätigungen
- erneute Übertragung verlorener Daten
- Reihenfolgekontrolle
- Erkennung doppelt empfangener Daten
- Flusskontrolle
Dadurch kann TCP sicherstellen, dass Daten vollständig und in der richtigen Reihenfolge beim Empfänger ankommen.
Flusskontrolle bei TCP
TCP verwendet Flusskontrolle, damit ein schneller Sender einen langsameren Empfänger nicht überfordert.
Der Empfänger kann dem Sender mitteilen, wie viele Daten er aktuell aufnehmen kann.
Das nennt man vereinfacht:
Empfangsfenster
Wenn der Empfänger nur wenig Speicher frei hat, kann er dem Sender signalisieren:
Sende langsamer oder warte kurz.
Dadurch wird verhindert, dass der Empfänger mit zu vielen Daten überlastet wird.
TCP-Verbindungsabbau
Eine TCP-Verbindung wird nicht einfach abrupt beendet, sondern kontrolliert geschlossen.
Dafür werden unter anderem FIN- und ACK-Nachrichten verwendet.
Vereinfacht:
Eine Seite sagt: Ich möchte die Verbindung beenden.
Die andere Seite bestätigt das.
Danach kann auch die andere Seite ihre Richtung schließen.
Typische Steuerbits beim Verbindungsabbau:
FIN = Verbindung geordnet beenden
ACK = Bestätigung
Merksatz:
SYN = Verbindung aufbauen
FIN = Verbindung beenden
ACK = bestätigen
TCP im Vergleich zu UDP
TCP:
- verbindungsorientiert
- zuverlässig
- geordnete Datenübertragung
- Bestätigungen durch ACKs
- erneute Übertragung verlorener Daten
- mehr Verwaltungsaufwand
UDP:
- verbindungslos
- geringer Verwaltungsaufwand
- keine eingebaute Zustellgarantie
- keine eingebaute Reihenfolgekontrolle
- keine eingebaute erneute Übertragung
- oft latenzärmer als TCP
TCP wird verwendet, wenn Zuverlässigkeit wichtig ist.
UDP wird häufig verwendet, wenn geringe Verzögerung wichtiger ist als vollständige Kontrolle.
Beispiel: TCP beim Webseitenaufruf
Wenn ein Client eine HTTPS-Webseite aufruft, passiert vereinfacht Folgendes:
1. Client möchte Website aufrufen.
2. Client baut TCP-Verbindung zum Server-Port 443 auf.
3. TCP führt den 3-Wege-Handshake aus.
4. Danach werden Daten übertragen.
5. TCP nummeriert die Daten mit Sequenznummern.
6. Der Empfänger bestätigt empfangene Daten mit ACKs.
7. Fehlende Daten werden erneut übertragen.
8. Die Anwendung erhält die Daten in der richtigen Reihenfolge.
Beispiel:
Client: 192.168.0.20:51544
Server: 93.184.216.34:443
Protokoll: TCP
Wichtige TCP-Begriffe
TCP = Transmission Control Protocol
SYN = Synchronize
ACK = Acknowledgement
FIN = Finish
Port = Dienstadresse auf einem Host
Socket = IP-Adresse + Port
Sequenznummer = Position der Daten im TCP-Datenstrom
3-Wege-Handshake = Verbindungsaufbau bei TCP
IHK-sichere Kurzformulierung
TCP ist ein verbindungsorientiertes und zuverlässiges Transportprotokoll. Vor der Datenübertragung wird durch den 3-Wege-Handshake eine Verbindung aufgebaut. TCP verwendet Sequenznummern, um die Reihenfolge der übertragenen Daten im Datenstrom festzulegen. Mit ACKs bestätigt der Empfänger korrekt erhaltene Daten. Fehlende Daten können erkannt und erneut übertragen werden. Dadurch stellt TCP eine geordnete und zuverlässige Datenübertragung bereit.
Merksätze
TCP = verbindungsorientiert, zuverlässig und geordnet
SYN = Verbindung starten
SYN-ACK = Verbindung bestätigen und eigene Startnummer senden
ACK = Bestätigung
Portnummer = welcher Dienst?
Sequenznummer = welche Stelle im Datenstrom?
Sequenznummern helfen TCP zu erkennen,
ob Daten fehlen, doppelt angekommen sind
oder in falscher Reihenfolge eintreffen.
ACK bestätigt,
bis wohin Daten korrekt empfangen wurden.
Fehlende Daten werden erneut übertragen.
Später angekommene Daten können zwischengespeichert werden.
An die Anwendung geht alles erst in der richtigen Reihenfolge.
SYN = Verbindung aufbauen
FIN = Verbindung beenden
ACK = bestätigen
UDP (User Datagram Protocol) Erklärung
UDP einfach erklärt
UDP steht für User Datagram Protocol .
UDP ist ein verbindungsloses Transportprotokoll. Es arbeitet auf der Transportschicht des TCP/IP-Modells und wird verwendet, wenn Daten schnell und mit möglichst wenig Verwaltungsaufwand übertragen werden sollen.
UDP ist einfacher aufgebaut als TCP. Dafür bietet UDP aber keine eingebaute Garantie, dass Daten ankommen, vollständig sind oder in der richtigen Reihenfolge eintreffen.
Typische Anwendungen mit UDP sind zum Beispiel:
DNS
DHCP
VoIP
Video-Streaming
Audio-Streaming
Online-Gaming
QUIC / HTTP/3
Grundidee von UDP
UDP wird verwendet, wenn eine schnelle und einfache Datenübertragung wichtiger ist als vollständige Kontrolle.
Das bedeutet:
- keine feste Verbindung vor der Datenübertragung
- kein 3-Wege-Handshake
- keine eingebaute Zustellgarantie
- keine eingebaute Reihenfolgekontrolle
- keine automatische erneute Übertragung verlorener Daten
- geringer Verwaltungsaufwand
UDP sendet Daten einfach los. Ob die Gegenseite erreichbar ist oder ob die Daten vollständig ankommen, wird von UDP selbst nicht zuverlässig kontrolliert.
Merksatz:
UDP = verbindungslos, einfach und schnell
TCP = verbindungsorientiert, zuverlässig und geordnet
UDP arbeitet mit Ports
Auch UDP verwendet Ports, genau wie TCP.
Eine IP-Adresse zeigt auf einen Host im Netzwerk.
Beispiel:
192.168.0.50
Ein Port zeigt auf einen bestimmten Dienst oder eine Anwendung auf diesem Host.
Beispiel:
192.168.0.50:53
Das bedeutet:
192.168.0.50 = Host / Gerät
53 = Dienst / Anwendung, hier DNS
Typische UDP-Ports:
53 = DNS
67 = DHCP Server
68 = DHCP Client
123 = NTP
500 = IKE / IPsec
1194 = OpenVPN
51820 = WireGuard
443 = QUIC / HTTP/3
Wichtig:
Ein Port kann bei TCP und UDP unterschiedlich verwendet werden.
Beispiel:
TCP 443 = HTTPS über TCP
UDP 443 = QUIC / HTTP/3
Merksatz:
IP-Adresse = welcher Host?
Port = welcher Dienst?
Socket = IP-Adresse + Port
Socket bei UDP
Ein Socket ist die Kombination aus IP-Adresse und Port.
Beispiel:
192.168.0.50:53
Bei UDP kann ein Datenpaket von einem Quell-Socket zu einem Ziel-Socket gesendet werden.
Beispiel:
Client-Socket: 192.168.0.20:53000
Server-Socket: 192.168.0.1:53
Das bedeutet:
Client fragt von Port 53000 aus einen DNS-Server auf Port 53 an.
Eine UDP-Kommunikation wird also durch diese Informationen beschrieben:
Quell-IP
Quell-Port
Ziel-IP
Ziel-Port
Protokoll UDP
UDP hat keinen Verbindungsaufbau
Bei TCP gibt es vor der Datenübertragung einen 3-Wege-Handshake.
Bei UDP gibt es diesen Verbindungsaufbau nicht.
TCP:
Client Server
1. SYN --------------------->
2. SYN-ACK <------------------
3. ACK --------------------->
Verbindung steht
UDP:
Client Server
Datenpaket ------------------>
Keine vorherige Verbindung
Keine SYN-Nachricht
Kein SYN-ACK
Kein ACK durch UDP selbst
UDP sendet also direkt ein Datagramm an den Empfänger.
Merksatz:
TCP fragt vorher: Darf ich eine Verbindung aufbauen?
UDP sendet direkt los.
Was ist ein UDP-Datagramm?
Die Dateneinheit bei UDP nennt man Datagramm .
Ein UDP-Datagramm enthält unter anderem:
- Quellport
- Zielport
- Länge
- Prüfsumme
- Nutzdaten
UDP ist dadurch sehr schlank aufgebaut.
Wichtig:
UDP nummeriert die Daten nicht wie TCP mit Sequenznummern.
Deshalb kann UDP selbst nicht zuverlässig erkennen, ob ein Datagramm fehlt oder in falscher Reihenfolge angekommen ist.
UDP hat keine Sequenznummern wie TCP
TCP verwendet Sequenznummern, um die Position der Daten im Datenstrom festzulegen.
UDP macht das nicht.
TCP:
Segment 1: Sequenznummer 1000
Segment 2: Sequenznummer 1500
Segment 3: Sequenznummer 2000
UDP:
Datagramm 1 wird gesendet.
Datagramm 2 wird gesendet.
Datagramm 3 wird gesendet.
UDP selbst merkt sich keine Reihenfolge.
Wenn ein UDP-Datagramm verloren geht, wird es von UDP nicht automatisch erneut angefordert.
Wenn UDP-Datagramme in falscher Reihenfolge ankommen, sortiert UDP sie nicht automatisch.
Merksatz:
TCP kontrolliert die Reihenfolge.
UDP sendet einzelne Datagramme ohne Reihenfolgegarantie.
UDP hat keine eingebaute Zustellgarantie
UDP garantiert nicht, dass ein Datagramm beim Empfänger ankommt.
Ein UDP-Datagramm kann unterwegs verloren gehen, zum Beispiel durch:
- Netzwerküberlastung
- Paketverlust
- Routing-Probleme
- Firewall-Regeln
- fehlerhafte Übertragung
UDP selbst sendet verlorene Datagramme nicht automatisch erneut.
Das bedeutet:
Wenn ein UDP-Datagramm verloren geht,
merkt UDP selbst das nicht zuverlässig
und fordert es nicht automatisch erneut an.
Wenn eine Anwendung trotzdem Zuverlässigkeit braucht, muss sie diese selbst oberhalb von UDP einbauen.
Beispiele dafür sind:
- eigene Bestätigungen
- eigene Sequenznummern
- eigene Wiederholungen
- Fehlerkorrektur auf Anwendungsebene
UDP hat keine eingebaute Reihenfolgekontrolle
UDP garantiert nicht, dass Datagramme in der gesendeten Reihenfolge ankommen.
Beispiel:
Gesendet:
Datagramm 1
Datagramm 2
Datagramm 3
Angekommen:
Datagramm 1
Datagramm 3
Datagramm 2
UDP sortiert diese Datagramme nicht automatisch.
Wenn die Reihenfolge wichtig ist, muss die Anwendung selbst dafür sorgen.
Beispiel:
Eine Anwendung kann eigene Nummern in die Nutzdaten schreiben,
um die Reihenfolge später selbst zu prüfen.
Merksatz:
UDP liefert Datagramme so ab, wie sie ankommen.
UDP sortiert nicht automatisch.
UDP hat weniger Verwaltungsaufwand als TCP
UDP hat weniger Verwaltungsaufwand, weil es keinen Verbindungsaufbau, keine Sequenznummern, keine ACKs und keine automatische Wiederholung verlorener Daten gibt.
Dadurch ist UDP oft:
- einfacher
- schneller beim Start
- latenzärmer
- ressourcenschonender
Wichtig:
UDP ist nicht automatisch immer schneller im Sinne von höherer Datenrate.
Besser formuliert:
UDP hat weniger Verwaltungsaufwand als TCP und kann dadurch schneller bzw. latenzärmer sein.
Das ist besonders bei Anwendungen wichtig, bei denen Echtzeit wichtiger ist als perfekte Vollständigkeit.
Warum nutzt man UDP trotz fehlender Garantie?
UDP wird genutzt, weil bei manchen Anwendungen verlorene Daten weniger schlimm sind als Verzögerungen.
Beispiel VoIP:
Bei einem Telefonat ist es besser,
wenn ein kleines Audiostück kurz fehlt,
als wenn die Sprache stark verzögert ankommt.
Beispiel Online-Gaming:
Bei schnellen Positionsdaten ist es oft besser,
aktuelle Daten zu bekommen,
als alte verlorene Daten nachträglich zu übertragen.
Beispiel Streaming:
Bei Live-Video ist geringe Verzögerung wichtiger
als jedes einzelne Paket nachträglich zu retten.
Merksatz:
UDP wird häufig verwendet,
wenn Aktualität wichtiger ist als vollständige Nachlieferung.
Beispiel: DNS mit UDP
DNS verwendet sehr häufig UDP auf Port 53.
Ablauf vereinfacht:
1. Client möchte wissen, welche IP-Adresse zu einer Domain gehört.
2. Client sendet eine DNS-Anfrage per UDP an Port 53.
3. DNS-Server antwortet per UDP.
4. Die Antwort enthält die passende IP-Adresse.
Beispiel:
Client: 192.168.0.20:53000
DNS-Server: 192.168.0.1:53
Protokoll: UDP
Warum UDP hier sinnvoll ist:
- DNS-Anfragen sind meist klein
- eine Verbindung vorher aufzubauen wäre zusätzlicher Aufwand
- bei Verlust kann die Anfrage einfach erneut gestellt werden
Wichtig:
DNS kann auch TCP verwenden,
zum Beispiel bei größeren Antworten oder Zonentransfers.
Beispiel: VoIP mit UDP
Bei VoIP werden Sprachdaten in kleinen Paketen übertragen.
UDP eignet sich hier gut, weil geringe Verzögerung besonders wichtig ist.
Beispiel:
Sprecher → Sprachpakete → Netzwerk → Empfänger
Wenn ein kleines Sprachpaket verloren geht, ist das meist weniger schlimm als eine große Verzögerung.
Deshalb ist bei VoIP oft wichtiger:
geringe Latenz statt vollständige Nachlieferung
Beispiel: Online-Gaming mit UDP
Online-Spiele übertragen häufig Positionsdaten, Bewegungen und Zustände.
Beispiel:
Spielerposition
Blickrichtung
Bewegung
Aktionen
Wenn ein altes Positionspaket verloren geht, ist es oft nicht sinnvoll, es später noch nachzuliefern.
Wichtiger ist:
Der aktuelle Zustand soll möglichst schnell ankommen.
Deshalb wird für solche Echtzeitdaten häufig UDP genutzt.
QUIC und HTTP/3 nutzen UDP
QUIC ist ein modernes Transportprotokoll, das auf UDP basiert.
HTTP/3 verwendet QUIC.
Vereinfacht:
HTTP/3 läuft über QUIC.
QUIC läuft über UDP.
UDP läuft über IP.
Wichtig:
QUIC nutzt UDP als Grundlage,
baut aber eigene Funktionen für Zuverlässigkeit,
Verschlüsselung und Verbindungssteuerung ein.
Das bedeutet:
UDP selbst ist einfach und verbindungslos.
QUIC ergänzt darauf zusätzliche moderne Funktionen.
UDP und Firewall
Firewalls können UDP-Verkehr filtern, genau wie TCP-Verkehr.
Dabei werden zum Beispiel geprüft:
- Quell-IP
- Ziel-IP
- Quellport
- Zielport
- Protokoll UDP
Da UDP keine feste Verbindung wie TCP aufbaut, ist die Zustandsverfolgung schwieriger.
Eine Stateful Firewall kann sich aber trotzdem merken, dass ein interner Client ein UDP-Datagramm nach außen gesendet hat.
Beispiel:
Client sendet DNS-Anfrage an DNS-Server.
Firewall merkt sich diese Anfrage kurzzeitig.
DNS-Antwort darf zurück.
Unerwartete UDP-Pakete von außen werden blockiert.
Merksatz:
Auch UDP kann von einer Stateful Firewall verfolgt werden,
aber ohne echten TCP-Verbindungszustand.
UDP und NAT/PAT
Auch UDP kann über NAT/PAT ins Internet gehen.
Beispiel:
Interner Client: 192.168.0.20:53000
Öffentliche IP: 84.10.20.30:40001
DNS-Server: 1.1.1.1:53
Die Firewall bzw. der Router merkt sich die Zuordnung:
192.168.0.20:53000 → 84.10.20.30:40001
Wenn die Antwort vom DNS-Server zurückkommt, weiß der Router:
Diese Antwort gehört zurück an 192.168.0.20:53000.
Wichtig:
Bei UDP sind solche NAT-Zuordnungen meist zeitlich begrenzt,
weil es keine dauerhaft aufgebaute Verbindung wie bei TCP gibt.
UDP im Vergleich zu TCP
TCP:
- verbindungsorientiert
- 3-Wege-Handshake
- zuverlässig
- Sequenznummern
- ACK-Bestätigungen
- erneute Übertragung verlorener Daten
- Reihenfolgekontrolle
- mehr Verwaltungsaufwand
UDP:
- verbindungslos
- kein 3-Wege-Handshake
- keine eingebaute Zustellgarantie
- keine eingebaute Reihenfolgekontrolle
- keine automatische erneute Übertragung
- weniger Verwaltungsaufwand
- oft latenzärmer
Merksatz:
TCP kontrolliert stärker.
UDP ist schlanker und direkter.
Wann verwendet man TCP?
TCP verwendet man, wenn Daten zuverlässig und vollständig ankommen müssen.
Beispiele:
- Webseiten über HTTP/HTTPS
- Dateiübertragung
- SSH
- E-Mail
- Remote Desktop
Hier wäre es schlecht, wenn Daten fehlen oder in falscher Reihenfolge bei der Anwendung ankommen.
Wann verwendet man UDP?
UDP verwendet man häufig, wenn geringe Verzögerung wichtiger ist als vollständige Kontrolle.
Beispiele:
- DNS
- DHCP
- VoIP
- Live-Streaming
- Online-Gaming
- NTP
- VPN-Protokolle wie WireGuard
- QUIC / HTTP/3
Hier ist es oft besser, schnell weiterzumachen, statt verlorene alte Daten nachzuliefern.
Ist UDP unsicherer als TCP?
UDP ist nicht automatisch „unsicherer“ als TCP.
UDP hat nur weniger eingebaute Kontrollfunktionen.
Sicherheit hängt vor allem davon ab:
- welches Anwendungsprotokoll verwendet wird
- ob Verschlüsselung eingesetzt wird
- wie die Firewall konfiguriert ist
- ob der Dienst korrekt abgesichert ist
Beispiel:
QUIC nutzt UDP,
kann aber trotzdem verschlüsselte Kommunikation ermöglichen.
UDP bedeutet also nicht automatisch unsicher. Es bedeutet nur:
UDP selbst garantiert weniger als TCP.
Wichtige UDP-Begriffe
UDP = User Datagram Protocol
Datagramm = einzelne UDP-Dateneinheit
Port = Dienstadresse auf einem Host
Socket = IP-Adresse + Port
Quellport = Port des sendenden Systems
Zielport = Port des empfangenden Dienstes
Prüfsumme = einfache Fehlererkennung im UDP-Datagramm
IHK-sichere Kurzformulierung
UDP ist ein verbindungsloses Transportprotokoll mit geringem Verwaltungsaufwand. Im Gegensatz zu TCP baut UDP vor der Datenübertragung keine Verbindung auf und bietet keine eingebaute Garantie für Zustellung, Reihenfolge oder erneute Übertragung verlorener Daten. Dadurch ist UDP besonders für Anwendungen geeignet, bei denen geringe Verzögerung wichtiger ist als vollständige Kontrolle, zum Beispiel DNS, VoIP, Streaming oder Online-Gaming.
Merksätze
UDP = verbindungslos, einfach und mit wenig Verwaltungsaufwand
UDP sendet direkt los.
TCP baut vorher eine Verbindung auf.
UDP garantiert nicht,
dass Datagramme ankommen,
in richtiger Reihenfolge ankommen
oder erneut übertragen werden.
UDP ist oft latenzärmer als TCP,
aber nicht automatisch immer schneller in jeder Situation.
TCP = Zuverlässigkeit und Kontrolle
UDP = Geschwindigkeit und geringer Verwaltungsaufwand
Wenn UDP Zuverlässigkeit braucht,
muss die Anwendung diese selbst einbauen.
DNS, VoIP, Streaming und Online-Gaming
sind typische Beispiele für UDP.
TCP versus UDP
TCP und UDP sind beide Transportprotokolle. Sie arbeiten auf der Transportschicht und sorgen dafür, dass Daten zwischen Anwendungen auf verschiedenen Geräten übertragen werden können.
Der wichtigste Unterschied ist:
TCP baut vor der Datenübertragung eine Verbindung auf.
UDP sendet Daten ohne vorherigen Verbindungsaufbau direkt los.
TCP kurz erklärt
TCP steht für Transmission Control Protocol .
TCP ist:
- verbindungsorientiert
- zuverlässig
- geordnet
- kontrolliert
- mit mehr Verwaltungsaufwand verbunden
Bei TCP wird vor der Übertragung der eigentlichen Nutzdaten zuerst eine Verbindung aufgebaut. Dieser Verbindungsaufbau heißt 3-Wege-Handshake .
Client Server
1. SYN ---------------------> Verbindungswunsch
2. SYN-ACK <------------------ Bestätigung + eigene Start-Sequenznummer
3. ACK ---------------------> Bestätigung
Danach ist die TCP-Verbindung aufgebaut.
Erst danach werden die eigentlichen Nutzdaten übertragen.
Wichtig:
Nicht ACK ist der erste Schritt.
Der erste Schritt ist SYN.
ACK ist die Bestätigung im dritten Schritt.
Was bedeutet SYN bei TCP?
SYN steht für:
Synchronize
Auf Deutsch:
synchronisieren
SYN bedeutet beim TCP-Verbindungsaufbau:
Der Client möchte eine neue TCP-Verbindung starten
und seine Start-Sequenznummer mit dem Server synchronisieren.
SYN ist also der Verbindungswunsch und gleichzeitig der Start der Synchronisation der Sequenznummern.
Was bedeutet SYN-ACK bei TCP?
SYN-ACK besteht aus zwei Teilen:
SYN = Server möchte ebenfalls seine Start-Sequenznummer synchronisieren
ACK = Server bestätigt den SYN des Clients
Der Server sagt damit vereinfacht:
Ich habe deinen Verbindungswunsch erhalten.
Ich bin bereit.
Hier ist meine eigene Start-Sequenznummer.
Was bedeutet ACK bei TCP?
ACK steht für:
Acknowledgement
Auf Deutsch:
Bestätigung
Mit ACK bestätigt eine Seite, dass bestimmte Daten oder Steuerinformationen angekommen sind.
Beim 3-Wege-Handshake bestätigt der Client mit ACK die Antwort des Servers.
Merksatz:
SYN = Verbindung starten und Sequenznummer synchronisieren
SYN-ACK = Verbindung bestätigen und eigene Startnummer senden
ACK = Bestätigung zurücksenden
UDP kurz erklärt
UDP steht für User Datagram Protocol .
UDP ist:
- verbindungslos
- einfach
- schnell bzw. oft latenzärmer
- mit wenig Verwaltungsaufwand verbunden
- ohne eingebaute Zustellgarantie
- ohne eingebaute Reihenfolgekontrolle
- ohne automatische erneute Übertragung verlorener Daten
Bei UDP gibt es keinen 3-Wege-Handshake.
Client Server
Daten ----------------------->
Kein SYN
Kein SYN-ACK
Kein verbindungsaufbauendes ACK
UDP sendet Datagramme direkt los. UDP selbst prüft nicht zuverlässig, ob die Gegenseite bereit ist oder ob die Daten vollständig angekommen sind.
Nutzdaten bei TCP und UDP
Nutzdaten sind die eigentlichen Inhalte, die eine Anwendung übertragen möchte.
Beispiele:
- Webseiteninhalte
- Dateien
- Sprache
- Videodaten
- DNS-Anfragen
- Spielinformationen
Bei TCP gilt:
Erst Verbindungsaufbau,
dann Nutzdaten.
Bei UDP gilt:
Kein Verbindungsaufbau,
Nutzdaten werden direkt als Datagramm gesendet.
Sequenznummern bei TCP
TCP verwendet Sequenznummern.
Eine Sequenznummer ist keine Portnummer.
Portnummer = welcher Dienst?
Sequenznummer = welche Stelle im Datenstrom?
TCP nummeriert technisch gesehen die Bytes im Datenstrom. Dadurch kann der Empfänger erkennen:
- welche Daten angekommen sind
- ob Daten fehlen
- ob Daten doppelt angekommen sind
- ob Daten in falscher Reihenfolge angekommen sind
Beispiel:
Segment 1: Sequenznummer 1000, enthält 500 Byte
Segment 2: Sequenznummer 1500, enthält 500 Byte
Segment 3: Sequenznummer 2000, enthält 500 Byte
Wenn Segment 2 fehlt, merkt TCP:
Nach 1000 müsste 1500 kommen.
Wenn schon 2000 kommt, fehlt der Bereich ab 1500.
Fehlende Daten können dann erneut übertragen werden.
UDP hat keine TCP-Sequenznummern
UDP nummeriert die Daten nicht wie TCP mit Sequenznummern.
UDP sendet einzelne Datagramme.
Datagramm 1 wird gesendet.
Datagramm 2 wird gesendet.
Datagramm 3 wird gesendet.
UDP selbst merkt sich dabei keine Reihenfolge.
Wenn ein Datagramm verloren geht, fordert UDP es nicht automatisch erneut an.
Wenn Datagramme in falscher Reihenfolge ankommen, sortiert UDP sie nicht automatisch.
Zuverlässigkeit
TCP ist zuverlässig, weil es mehrere Kontrollmechanismen verwendet:
- Verbindungsaufbau durch 3-Wege-Handshake
- Sequenznummern
- ACK-Bestätigungen
- erneute Übertragung verlorener Daten
- Reihenfolgekontrolle
- Erkennung doppelt empfangener Daten
- Flusskontrolle
UDP hat diese Zuverlässigkeit nicht eingebaut.
UDP garantiert nicht:
- dass Daten ankommen
- dass Daten vollständig ankommen
- dass Daten in der richtigen Reihenfolge ankommen
- dass verlorene Daten erneut übertragen werden
Wenn eine Anwendung über UDP trotzdem Zuverlässigkeit benötigt, muss sie diese selbst einbauen.
Beispiele:
- eigene Bestätigungen
- eigene Sequenznummern
- eigene Wiederholungen
- Fehlerkorrektur auf Anwendungsebene
Geschwindigkeit und Verwaltungsaufwand
TCP hat mehr Verwaltungsaufwand, weil es Verbindungen aufbaut, Daten bestätigt, Reihenfolgen prüft und verlorene Daten erneut überträgt.
UDP hat weniger Verwaltungsaufwand, weil es diese Funktionen nicht eingebaut hat.
Deshalb ist UDP oft latenzärmer.
Wichtig:
UDP ist nicht automatisch immer schneller im Sinne von höherer Datenrate.
UDP hat aber weniger Verwaltungsaufwand und kann dadurch schneller reagieren.
Besser formuliert:
UDP ist oft latenzärmer als TCP,
weil es keinen Verbindungsaufbau und weniger Kontrollmechanismen hat.
Typische Anwendungen für TCP
TCP wird verwendet, wenn Daten zuverlässig und vollständig ankommen müssen.
Beispiele:
- HTTP/HTTPS über TCP
- SSH
- E-Mail
- Dateiübertragung
- Remote Desktop
- Datenbankverbindungen
Hier wäre es problematisch, wenn Daten fehlen oder in falscher Reihenfolge bei der Anwendung ankommen.
Beispiel:
Bei einer Dateiübertragung darf kein Teil der Datei fehlen.
Bei SSH müssen Befehle korrekt und in richtiger Reihenfolge ankommen.
Bei Webseiten sollen Inhalte vollständig übertragen werden.
Typische Anwendungen für UDP
UDP wird häufig verwendet, wenn geringe Verzögerung wichtiger ist als vollständige Kontrolle.
Beispiele:
- DNS
- DHCP
- VoIP
- Live-Streaming
- Online-Gaming
- NTP
- WireGuard
- QUIC / HTTP/3
Beispiel VoIP:
Bei einem Telefonat ist es besser,
wenn ein kleines Audiostück kurz fehlt,
als wenn die Sprache stark verzögert ankommt.
Beispiel Online-Gaming:
Bei schnellen Positionsdaten ist der aktuelle Zustand wichtiger
als ein altes verlorenes Paket nachträglich zu übertragen.
DNS als Beispiel für UDP
DNS nutzt sehr häufig UDP auf Port 53.
Ablauf vereinfacht:
1. Client fragt per UDP beim DNS-Server an.
2. DNS-Server antwortet per UDP.
3. Die Antwort enthält die passende IP-Adresse zur Domain.
Beispiel:
Client: 192.168.0.20:53000
DNS-Server: 192.168.0.1:53
Protokoll: UDP
Warum UDP hier sinnvoll ist:
- DNS-Anfragen sind meist klein.
- Ein TCP-Verbindungsaufbau wäre zusätzlicher Aufwand.
- Bei Verlust kann die Anfrage einfach erneut gestellt werden.
Wichtig:
DNS kann auch TCP verwenden,
zum Beispiel bei größeren Antworten oder Zonentransfers.
QUIC und HTTP/3
QUIC ist ein modernes Transportprotokoll, das auf UDP basiert.
HTTP/3 läuft über QUIC.
QUIC läuft über UDP.
UDP läuft über IP.
Wichtig:
UDP selbst ist einfach und verbindungslos.
QUIC baut darauf eigene Funktionen für Verbindung, Zuverlässigkeit und Verschlüsselung auf.
Das bedeutet:
Nur weil UDP selbst keine TCP-Zuverlässigkeit bietet,
kann ein Protokoll oberhalb von UDP trotzdem eigene Kontrollmechanismen einbauen.
TCP und UDP mit Ports
Sowohl TCP als auch UDP verwenden Ports.
IP-Adresse = welcher Host?
Port = welcher Dienst?
Socket = IP-Adresse + Port
Wichtig:
TCP-Port 443 und UDP-Port 443 sind technisch getrennt.
Beispiel:
TCP 443 = HTTPS über TCP
UDP 443 = QUIC / HTTP/3
Ein Dienst kann also denselben Port bei TCP und UDP unterschiedlich verwenden.
Firewall-Bezug
Firewalls können sowohl TCP als auch UDP filtern.
Dabei prüfen sie zum Beispiel:
- Quell-IP
- Ziel-IP
- Quellport
- Zielport
- Protokoll TCP oder UDP
Bei TCP kann eine Stateful Firewall den Verbindungszustand gut erkennen:
SYN → SYN-ACK → ACK → Verbindung steht
Bei UDP gibt es keinen echten Verbindungszustand wie bei TCP. Eine Stateful Firewall kann sich aber trotzdem kurzzeitig merken, dass ein internes Gerät ein UDP-Datagramm nach außen gesendet hat.
Beispiel:
Client sendet DNS-Anfrage per UDP nach außen.
Firewall merkt sich diese Anfrage kurzzeitig.
DNS-Antwort darf zurück.
Unerwartete UDP-Pakete von außen werden blockiert.
TCP versus UDP als Tabelle
Merkmal
TCP
UDP
Voller Name
Transmission Control Protocol
User Datagram Protocol
Verbindungsaufbau
Ja, 3-Wege-Handshake
Nein
Erste Nachricht
SYN
Direkt Datagramm/Nutzdaten
Zuverlässigkeit
Eingebaut
Nicht eingebaut
Reihenfolgekontrolle
Ja
Nein
Sequenznummern
Ja
Nicht wie TCP
ACK-Bestätigungen
Ja
Nicht durch UDP selbst
Erneute Übertragung
Ja
Nein
Verwaltungsaufwand
Höher
Geringer
Latenz
Oft höher
Oft geringer
Typische Nutzung
Zuverlässige Datenübertragung
Echtzeit oder kleine schnelle Anfragen
Beispiele
HTTPS, SSH, E-Mail, Dateiübertragung
DNS, VoIP, Streaming, Gaming, QUIC
Einfacher Vergleich
TCP ist wie ein Einschreiben:
Es wird geprüft, bestätigt und bei Problemen erneut gesendet.
UDP ist wie eine Postkarte:
Sie wird direkt abgeschickt, aber es gibt keine eingebaute Garantie,
dass sie ankommt oder in welcher Reihenfolge sie ankommt.
IHK-sichere Kurzformulierung
TCP ist ein verbindungsorientiertes und zuverlässiges Transportprotokoll. Vor der Datenübertragung wird über den 3-Wege-Handshake eine Verbindung aufgebaut. TCP verwendet Sequenznummern, ACK-Bestätigungen, Reihenfolgekontrolle und erneute Übertragung verlorener Daten. Dadurch eignet sich TCP für Anwendungen, bei denen Daten vollständig und korrekt ankommen müssen.
UDP ist ein verbindungsloses Transportprotokoll mit geringem Verwaltungsaufwand. UDP baut vor dem Senden keine Verbindung auf und bietet keine eingebaute Garantie für Zustellung, Reihenfolge oder erneute Übertragung verlorener Daten. Dadurch eignet sich UDP besonders für Anwendungen, bei denen geringe Verzögerung wichtiger ist als vollständige Kontrolle.
Merksätze
TCP = erst Verbindung aufbauen, dann Nutzdaten senden
UDP = keine Verbindung aufbauen, Daten direkt senden
TCP = zuverlässig, geordnet und kontrolliert
UDP = verbindungslos, schlank und oft latenzärmer
TCP fragt vorher:
"Darf ich eine Verbindung aufbauen?"
UDP sendet direkt:
"Hier sind die Daten."
TCP nutzt SYN, SYN-ACK und ACK für den Verbindungsaufbau.
UDP hat keinen 3-Wege-Handshake.
TCP erkennt fehlende Daten und überträgt sie erneut.
UDP macht das nicht automatisch.
TCP eignet sich für vollständige Daten.
UDP eignet sich für schnelle oder zeitkritische Daten.
7.1 OSI-Schicht 4 – Transportschicht
Die Transportschicht ist Schicht 4 des OSI-Modells.
Sie liegt zwischen:
Schicht 3: Vermittlungsschicht / Netzwerkschicht
und
Schicht 5: Sitzungsschicht
Die Hauptaufgabe von Schicht 4 ist:
Daten zwischen Anwendungen auf Endgeräten transportieren.
Dabei geht es besonders um:
- TCP
- UDP
- Ports
- Verbindungen
- Zuverlässigkeit
- Reihenfolge
- Flusskontrolle
- Fehlerbehandlung
- Segmentierung
Merksatz:
Schicht 4 = Transport zwischen Anwendungen mit TCP, UDP und Ports.
Grundidee von Schicht 4
Schicht 3 bringt IP-Pakete von einem Gerät zu einem anderen Gerät.
Schicht 4 sorgt dafür, dass die Daten zur richtigen Anwendung auf diesem Gerät gelangen.
Beispiel:
Ein Server hat eine IP-Adresse.
Auf dem Server laufen mehrere Dienste.
Zum Beispiel:
Webserver
SSH
Mailserver
Datenbank
Damit klar ist, welcher Dienst gemeint ist, nutzt Schicht 4 Ports.
Merksatz:
IP bringt zum Gerät.
Port bringt zur Anwendung.
Einordnung im OSI-Modell
OSI-Schicht
Name
Aufgabe
7
Anwendungsschicht
Netzwerkdienste für Anwendungen
6
Darstellungsschicht
Darstellung, Codierung, Verschlüsselung
5
Sitzungsschicht
Sitzungen verwalten
4
Transportschicht
Transport zwischen Anwendungen
3
Vermittlungsschicht / Netzwerkschicht
IP-Adressierung und Routing
2
Sicherungsschicht
Frames, MAC-Adressen, lokale Übertragung
1
Bitübertragungsschicht
Bits als Signale übertragen
Merksatz:
Schicht 4 sitzt über IP
und unter den Anwendungsschichten.
Warum braucht man Schicht 4?
Schicht 3 kennt IP-Adressen.
Eine IP-Adresse sagt:
welches Gerät?
Aber ein Gerät kann viele Dienste gleichzeitig anbieten.
Beispiel Server:
Dienst
typischer Port
HTTP
80
HTTPS
443
SSH
22
DNS
53
SMTP
25
IMAP
143
RDP
3389
Schicht 4 sorgt dafür, dass Daten beim richtigen Dienst landen.
Merksatz:
Ohne Ports wüsste ein Gerät nicht,
für welchen Dienst die Daten bestimmt sind.
Ports
Ein Port ist eine logische Nummer auf Schicht 4.
Ports werden verwendet, um Anwendungen oder Dienste auf einem Gerät zu unterscheiden.
Beispiel:
IP-Adresse:
192.168.10.50
Port:
443
Zusammen:
192.168.10.50:443
Das bedeutet:
Dienst auf Port 443
auf dem Gerät 192.168.10.50
Merksatz:
Port = logische Dienstnummer auf Schicht 4.
Port ist nicht gleich Switch-Port
Der Begriff Port kann verwirrend sein.
Begriff
Bedeutung
Schicht
Switch-Port
physischer Anschluss am Switch
1 / 2
TCP-Port
logische Dienstnummer
4
UDP-Port
logische Dienstnummer
4
Beispiel:
Switch-Port 5:
Kabel steckt am Switch.
TCP-Port 443:
HTTPS-Dienst auf einem Server.
Merksatz:
Switch-Port = physisch.
TCP-/UDP-Port = logisch.
TCP
TCP steht für:
Transmission Control Protocol
TCP ist ein verbindungsorientiertes Transportprotokoll.
Das bedeutet:
Vor der eigentlichen Datenübertragung wird eine Verbindung aufgebaut.
TCP bietet unter anderem:
- Verbindungsaufbau
- zuverlässige Übertragung
- Reihenfolge der Daten
- Bestätigungen
- erneute Übertragung bei Verlust
- Flusskontrolle
- Staukontrolle
Merksatz:
TCP = zuverlässig und verbindungsorientiert.
UDP
UDP steht für:
User Datagram Protocol
UDP ist ein verbindungsloses Transportprotokoll.
Das bedeutet:
Es wird keine Verbindung wie bei TCP aufgebaut.
UDP sendet Datagramme ohne eingebaute Garantie für:
- Zustellung
- Reihenfolge
- erneute Übertragung
- Bestätigung
UDP ist dadurch einfacher und schneller, aber weniger zuverlässig.
Merksatz:
UDP = schnell und verbindungslos.
TCP und UDP im Vergleich
Merkmal
TCP
UDP
Verbindungsaufbau
ja
nein
Zuverlässigkeit
hoch
keine eingebaute Garantie
Reihenfolge
wird sichergestellt
keine eingebaute Garantie
Bestätigung
ja
nein
erneute Übertragung
ja
nein
Overhead
höher
geringer
typische Nutzung
Web, Mail, SSH
DNS, VoIP, Streaming, Gaming
Merksatz:
TCP = sicherer Transport.
UDP = schlanker Transport.
Verbindungsorientiert
Verbindungsorientiert bedeutet:
Vor der Datenübertragung wird eine Verbindung aufgebaut.
TCP arbeitet verbindungsorientiert.
Dabei wird geprüft:
Ist die Gegenstelle erreichbar?
Können beide Seiten kommunizieren?
Welche Anfangswerte werden verwendet?
Erst danach werden Nutzdaten übertragen.
Merksatz:
Verbindungsorientiert = Verbindung vor Datenübertragung.
Verbindungslos
Verbindungslos bedeutet:
Es wird keine feste Verbindung aufgebaut.
UDP arbeitet verbindungslos.
Ein UDP-Datagramm wird einfach gesendet.
Der Sender weiß durch UDP allein nicht sicher:
ob es angekommen ist
ob es in richtiger Reihenfolge angekommen ist
ob es mehrfach angekommen ist
Wenn eine Anwendung Zuverlässigkeit braucht, muss sie das selbst lösen.
Merksatz:
Verbindungslos = senden ohne vorherigen Verbindungsaufbau.
TCP-Handshake
TCP baut eine Verbindung mit dem sogenannten Drei-Wege-Handshake auf.
Die drei Schritte sind:
1. SYN
2. SYN-ACK
3. ACK
Vereinfacht:
Client:
Ich möchte eine Verbindung aufbauen.
Server:
Einverstanden, ich bestätige.
Client:
Bestätigung erhalten.
Danach beginnt die eigentliche Datenübertragung.
Merksatz:
TCP-Verbindung startet mit SYN, SYN-ACK, ACK.
Drei-Wege-Handshake
Schritt
Richtung
Bedeutung
1
Client → Server
SYN
2
Server → Client
SYN-ACK
3
Client → Server
ACK
SYN bedeutet:
Synchronize
ACK bedeutet:
Acknowledgement
Nach dem dritten Schritt gilt die TCP-Verbindung als aufgebaut.
Merksatz:
Drei-Wege-Handshake = SYN, SYN-ACK, ACK.
TCP-Bestätigungen
TCP arbeitet mit Bestätigungen.
Wenn Daten ankommen, bestätigt der Empfänger den Empfang.
Wenn Daten verloren gehen, können sie erneut übertragen werden.
Dadurch erreicht TCP eine zuverlässige Datenübertragung.
Beispiel:
Sender sendet Daten.
Empfänger bestätigt Empfang.
Sender weiß:
Daten sind angekommen.
Merksatz:
TCP nutzt ACKs zur Bestätigung.
Reihenfolge bei TCP
TCP sorgt dafür, dass Daten in der richtigen Reihenfolge an die Anwendung übergeben werden.
Wenn Datenpakete unterwegs vertauscht ankommen, kann TCP sie wieder sortieren.
Beispiel:
gesendet:
Teil 1, Teil 2, Teil 3
angekommen:
Teil 1, Teil 3, Teil 2
TCP kann die Reihenfolge für die Anwendung wieder herstellen.
Merksatz:
TCP stellt die Reihenfolge der Daten sicher.
Sequenznummern
TCP nutzt Sequenznummern.
Sie helfen dabei:
- Daten in Reihenfolge zu bringen
- fehlende Daten zu erkennen
- Daten korrekt zu bestätigen
Wichtig:
Sequenznummern sind keine Ports.
Ports zeigen den Dienst.
Sequenznummern zeigen die Position von Daten im TCP-Datenstrom.
Merksatz:
Port = Dienst.
Sequenznummer = Position im TCP-Datenstrom.
TCP-Segment
Die Datenform bei TCP auf Schicht 4 heißt:
Segment
Ein TCP-Segment enthält unter anderem:
- Quell-Port
- Ziel-Port
- Sequenznummer
- Bestätigungsnummer
- Steuerbits
- Nutzdaten
Merksatz:
TCP arbeitet mit Segmenten.
UDP-Datagramm
Die Datenform bei UDP auf Schicht 4 heißt:
Datagramm
Ein UDP-Datagramm enthält unter anderem:
- Quell-Port
- Ziel-Port
- Länge
- Prüfsumme
- Nutzdaten
UDP ist einfacher aufgebaut als TCP.
Merksatz:
UDP arbeitet mit Datagrammen.
Segment und Datagramm unterscheiden
Protokoll
Datenform auf Schicht 4
TCP
Segment
UDP
Datagramm
Wichtig:
In der Praxis wird oft allgemein von Paketen gesprochen.
Fachlich genauer sollte man unterscheiden.
Merksatz:
TCP = Segment.
UDP = Datagramm.
Portnummern
Portnummern liegen im Bereich:
0 bis 65535
Warum?
Ports sind 16 Bit groß.
16 Bit ermöglichen:
65536 verschiedene Werte
Von:
0
bis:
65535
Merksatz:
Portnummern gehen von 0 bis 65535.
Well-Known Ports
Well-Known Ports sind bekannte, standardisierte Ports.
Sie liegen im Bereich:
0 bis 1023
Beispiele:
Dienst
Protokoll
Port
FTP
TCP
21
SSH
TCP
22
SMTP
TCP
25
DNS
TCP / UDP
53
HTTP
TCP
80
HTTPS
TCP
443
Merksatz:
Well-Known Ports = 0 bis 1023.
Registered Ports
Registered Ports liegen im Bereich:
1024 bis 49151
Sie werden häufig von Anwendungen, Herstellern oder Diensten genutzt.
Beispiele können je nach Anwendung unterschiedlich sein.
Für die Prüfung ist meistens wichtiger:
Well-Known Ports kennen
und
Portbereiche grob einordnen.
Merksatz:
Registered Ports = 1024 bis 49151.
Dynamic oder Ephemeral Ports
Dynamic Ports werden auch genannt:
Ephemeral Ports
Sie liegen im Bereich:
49152 bis 65535
Clients nutzen solche Ports oft als temporäre Quell-Ports.
Beispiel:
Client öffnet Webseite.
Quell-Port:
52344
Ziel-Port:
443
Der Quell-Port wird temporär für diese Verbindung genutzt.
Merksatz:
Ephemeral Port = temporärer Client-Port.
Quell-Port und Ziel-Port
Ein TCP- oder UDP-Paket enthält:
- Quell-Port
- Ziel-Port
Beispiel HTTPS-Aufruf:
Client:
192.168.10.20:52344
Server:
93.184.216.34:443
Der Ziel-Port 443 zeigt:
Der Client möchte HTTPS erreichen.
Der Quell-Port 52344 hilft dem Client,
die Antwort der richtigen Verbindung zuzuordnen.
Merksatz:
Ziel-Port = gewünschter Dienst.
Quell-Port = Rückzuordnung beim Absender.
Socket
Ein Socket beschreibt eine Kombination aus:
IP-Adresse
und
Port
Beispiel:
192.168.10.20:52344
Oder:
93.184.216.34:443
Bei TCP-Verbindungen betrachtet man oft die Kombination aus:
Quell-IP
Quell-Port
Ziel-IP
Ziel-Port
Protokoll
Diese Kombination macht eine Verbindung eindeutig.
Merksatz:
Socket = IP-Adresse plus Port.
Typische Dienste und Ports
Dienst
Protokoll
Port
FTP Steuerverbindung
TCP
21
SSH
TCP
22
Telnet
TCP
23
SMTP
TCP
25
DNS
TCP / UDP
53
DHCP Server
UDP
67
DHCP Client
UDP
68
HTTP
TCP
80
POP3
TCP
110
IMAP
TCP
143
HTTPS
TCP
443
RDP
TCP
3389
Merksatz:
Die wichtigsten Standardports sollte man sicher kennen.
DNS und TCP/UDP
DNS nutzt häufig UDP Port 53.
Warum?
Normale DNS-Anfragen sind meist klein und schnell.
DNS kann aber auch TCP Port 53 verwenden.
Zum Beispiel:
- Zonentransfers
- große Antworten
- bestimmte DNS-Sicherheits- oder Sonderfälle
Prüfungsfalle:
DNS ist nicht nur UDP,
sondern kann TCP und UDP 53 nutzen.
Merksatz:
DNS = UDP 53 häufig,
TCP 53 ebenfalls möglich.
DHCP und UDP
DHCP nutzt UDP.
Wichtige Ports:
Richtung
Port
DHCP Server
UDP 67
DHCP Client
UDP 68
DHCP wird genutzt, um IP-Konfiguration automatisch zu vergeben.
Merksatz:
DHCP nutzt UDP 67 und 68.
HTTP und HTTPS
HTTP nutzt typischerweise:
TCP 80
HTTPS nutzt typischerweise:
TCP 443
HTTPS ist HTTP über TLS-Verschlüsselung.
Wichtig:
HTTPS ist nicht einfach nur ein anderer Port,
sondern nutzt Verschlüsselung über TLS.
Merksatz:
HTTP = TCP 80.
HTTPS = TCP 443.
SSH und Telnet
SSH nutzt typischerweise:
TCP 22
Telnet nutzt typischerweise:
TCP 23
Wichtiger Unterschied:
SSH ist verschlüsselt.
Telnet ist unverschlüsselt.
In modernen Netzen sollte SSH verwendet werden, nicht Telnet.
Merksatz:
SSH sicherer als Telnet.
Transport und Anwendung
Schicht 4 transportiert Daten zwischen Anwendungen.
Die Anwendung selbst liegt höher.
Beispiel:
HTTPS nutzt TCP 443.
Dabei ist:
TCP = Schicht 4
HTTPS = Anwendungsschicht mit TLS-Bezug
Merksatz:
Port gehört zu Schicht 4.
Dienst gehört zu höheren Schichten.
TCP und Firewall
Firewalls nutzen häufig Schicht-4-Informationen.
Beispiel-Regel:
Erlaube TCP 443 von Client-Netz zum Internet.
Das bedeutet:
HTTPS-Verbindungen nach außen sind erlaubt.
Andere Ports können blockiert werden.
Merksatz:
Firewall-Regeln nutzen oft IP-Adressen und Ports.
UDP und Firewall
Auch UDP kann durch Firewalls erlaubt oder blockiert werden.
Beispiele:
DNS über UDP 53
DHCP über UDP 67/68
VoIP über UDP
VPN über UDP
NTP über UDP 123
Da UDP verbindungslos ist, muss eine Firewall den Verkehr anders verfolgen als bei TCP.
Merksatz:
UDP braucht passende Firewall-Regeln,
auch ohne TCP-Verbindung.
TCP-Verbindungszustände
TCP kennt verschiedene Verbindungszustände.
Beispiele:
LISTEN
SYN-SENT
ESTABLISHED
FIN-WAIT
TIME-WAIT
CLOSED
Für AP1/AP2 ist besonders wichtig:
LISTEN bedeutet:
Dienst wartet auf eingehende Verbindungen.
ESTABLISHED bedeutet:
Verbindung besteht.
Merksatz:
LISTEN = Dienst wartet.
ESTABLISHED = Verbindung steht.
Port offen oder geschlossen
Ein Port kann aus Sicht eines Clients unterschiedlich wirken.
Zustand
Bedeutung
offen
Dienst nimmt Verbindungen an
geschlossen
kein Dienst hört auf diesem Port
gefiltert
Firewall blockiert oder verwirft
Wichtig:
Ein offener Port bedeutet,
dass ein Dienst erreichbar ist.
Ein geschlossener Port bedeutet nicht zwingend,
dass das Gerät offline ist.
Merksatz:
Portstatus sagt etwas über den Dienst,
nicht nur über das Gerät.
Typische Schicht-4-Fehler
Typische Fehler auf Schicht 4 sind:
- falscher Port
- Dienst hört nicht auf erwartetem Port
- Firewall blockiert TCP oder UDP
- TCP-Verbindung wird nicht aufgebaut
- UDP-Antwort kommt nicht zurück
- Portweiterleitung auf falschen Port
- NAT/PAT-Portzuordnung falsch
- Anwendung nutzt anderes Protokoll als erwartet
- TCP-Handshake scheitert
Merksatz:
Schicht-4-Fehler betreffen TCP, UDP und Ports.
Schicht 3 oder Schicht 4 unterscheiden
Frage
eher Schicht
Ist die IP-Adresse erreichbar?
3
Funktioniert Ping auf IP?
3
Gibt es eine Route?
3
Ist TCP-Port 443 erreichbar?
4
Ist UDP-Port 53 erreichbar?
4
Baut TCP eine Verbindung auf?
4
Antwortet der Webdienst korrekt?
7
Merksatz:
IP erreichbar = Schicht 3.
Port erreichbar = Schicht 4.
Beispiel: Ping geht, Webseite geht nicht
Fehlerbild:
ping server funktioniert.
Webseite funktioniert nicht.
Dann ist Schicht 3 wahrscheinlich grundsätzlich erreichbar.
Mögliche Ursachen:
- TCP-Port 80 oder 443 blockiert
- Webserver läuft nicht
- Dienst hört auf anderer IP
- Dienst hört auf anderem Port
- Firewall blockiert
- Reverse Proxy falsch
- TLS-Problem
Merksatz:
Ping geht,
Dienst nicht:
Schicht 4 und 7 prüfen.
Beispiel: Port 443 blockiert
Ein Client möchte HTTPS nutzen.
Ziel:
server.example.local:443
Mögliche Fehler:
- Server ist erreichbar,
aber TCP 443 ist geschlossen
- Firewall blockiert TCP 443
- Dienst läuft nur auf TCP 8443
- Portweiterleitung zeigt auf falschen Port
Merksatz:
HTTPS braucht erreichbaren TCP-Port 443.
Beispiel: DNS funktioniert nicht
DNS nutzt häufig UDP 53 und teilweise TCP 53.
Wenn DNS nicht funktioniert, prüft man:
- DNS-Server-IP korrekt?
- DNS-Server erreichbar?
- UDP 53 erlaubt?
- TCP 53 erlaubt?
- Firewall blockiert?
- DNS-Dienst läuft?
- Antwort kommt zurück?
Merksatz:
DNS-Probleme können Schicht 3, 4 oder 7 betreffen.
Beispiel: UDP-Dienst antwortet nicht
Bei UDP gibt es keinen TCP-Handshake.
Wenn ein UDP-Dienst nicht antwortet, kann das viele Ursachen haben:
- Dienst läuft nicht
- Firewall blockiert
- Antwortweg fehlt
- NAT/PAT-Problem
- Anwendung antwortet nur auf gültige Anfragen
- Paketverlust
- falscher Port
Merksatz:
UDP-Fehler sind oft schwerer eindeutig zu erkennen als TCP-Fehler.
Einordnung in das OSI-Modell
Thema
Schicht
IP-Adresse
3
Routing
3
ICMP
3
TCP
4
UDP
4
Port
4
Socket
4 mit IP-Bezug
TCP-Handshake
4
DNS-Protokoll
7, nutzt TCP/UDP 53
HTTP
7, nutzt TCP 80
HTTPS
7, nutzt TCP 443 und TLS
DHCP
7, nutzt UDP 67/68
Merksatz:
TCP, UDP und Ports = Schicht 4.
Was Schicht 4 nicht macht
Schicht 4 macht nicht:
- IP-Routing zwischen Netzen
- MAC-Adressen im LAN auflösen
- DNS-Namen in IP-Adressen auflösen
- Webseiten darstellen
- Benutzer authentifizieren
- Zertifikate prüfen
- Inhalte interpretieren
- Dateien speichern
Diese Aufgaben liegen auf anderen Schichten.
Merksatz:
Schicht 4 transportiert,
interpretiert aber keine Anwendung.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Welche Aufgabe hat die Transportschicht?
- Was ist ein Port?
- Was ist der Unterschied zwischen Switch-Port und TCP-Port?
- Was ist TCP?
- Was ist UDP?
- Was ist der Unterschied zwischen TCP und UDP?
- Was bedeutet verbindungsorientiert?
- Was bedeutet verbindungslos?
- Wie funktioniert der TCP-Handshake?
- Welche Ports haben HTTP, HTTPS, SSH, DNS und DHCP?
- Warum nutzt DNS TCP und UDP?
- Was bedeutet Socket?
- Was ist ein Ephemeral Port?
- Warum kann Ping funktionieren, aber HTTPS nicht?
- Warum nutzt ICMP keine Ports?
Typische Prüfungsfallen
TCP gehört zu Schicht 4.
UDP gehört zu Schicht 4.
Ports gehören zu Schicht 4.
ICMP nutzt keine TCP- oder UDP-Ports.
Switch-Port ist nicht TCP-Port.
TCP ist verbindungsorientiert.
UDP ist verbindungslos.
TCP ist zuverlässiger als UDP.
UDP ist schlanker als TCP.
TCP-Handshake = SYN, SYN-ACK, ACK.
HTTP nutzt TCP 80.
HTTPS nutzt TCP 443.
SSH nutzt TCP 22.
DNS nutzt UDP 53 und auch TCP 53.
DHCP nutzt UDP 67 und 68.
Ping funktioniert heißt nicht,
dass ein TCP-Port offen ist.
Port offen heißt nicht automatisch,
dass die Anwendung korrekt funktioniert.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Transportschicht
OSI-Schicht 4
TCP
verbindungsorientiertes Transportprotokoll
UDP
verbindungsloses Transportprotokoll
Port
logische Dienstnummer
TCP-Port
Port für TCP-Dienst
UDP-Port
Port für UDP-Dienst
Socket
IP-Adresse plus Port
Segment
TCP-Datenform auf Schicht 4
Datagramm
UDP-Datenform auf Schicht 4
SYN
TCP-Verbindungsaufbau-Anfrage
ACK
Bestätigung bei TCP
Drei-Wege-Handshake
SYN, SYN-ACK, ACK
Sequenznummer
Position im TCP-Datenstrom
Well-Known Port
Port 0 bis 1023
Registered Port
Port 1024 bis 49151
Ephemeral Port
temporärer Client-Port
LISTEN
Dienst wartet auf Verbindung
ESTABLISHED
TCP-Verbindung besteht
IHK-sichere Kurzformulierung
Die Transportschicht ist Schicht 4 des OSI-Modells. Sie ist für den Transport von Daten zwischen Anwendungen auf Endgeräten zuständig. Dafür werden vor allem TCP, UDP und Ports verwendet. TCP ist verbindungsorientiert und bietet zuverlässige Übertragung mit Verbindungsaufbau, Bestätigungen, Reihenfolge und erneuter Übertragung. UDP ist verbindungslos, schlanker und bietet keine eingebaute Garantie für Zustellung oder Reihenfolge. Ports dienen dazu, Dienste auf einem Gerät zu unterscheiden. Ein Socket besteht aus IP-Adresse und Port. Der TCP-Verbindungsaufbau erfolgt über den Drei-Wege-Handshake mit SYN, SYN-ACK und ACK.
Merksätze
Schicht 4 = Transportschicht.
Schicht 4 = TCP, UDP und Ports.
IP bringt zum Gerät.
Port bringt zur Anwendung.
Port = logische Dienstnummer.
Switch-Port ist physisch.
TCP-Port ist logisch.
TCP = verbindungsorientiert.
UDP = verbindungslos.
TCP = zuverlässig.
UDP = schlank und schnell.
TCP-Handshake = SYN, SYN-ACK, ACK.
TCP nutzt Segmente.
UDP nutzt Datagramme.
Portnummern gehen von 0 bis 65535.
Well-Known Ports = 0 bis 1023.
Ephemeral Ports = temporäre Client-Ports.
HTTP = TCP 80.
HTTPS = TCP 443.
SSH = TCP 22.
DNS = UDP 53 und TCP 53.
DHCP = UDP 67 und 68.
ICMP nutzt keine Ports.
Ping prüft nicht,
ob ein TCP-Port offen ist.
IP erreichbar = Schicht 3.
Port erreichbar = Schicht 4.
Anwendung korrekt = höhere Schicht.
7.2 TCP und UDP im Detail
TCP und UDP sind die wichtigsten Transportprotokolle auf OSI-Schicht 4.
Beide haben dieselbe Grundaufgabe:
Daten zwischen Anwendungen auf Endgeräten transportieren.
Der große Unterschied liegt darin, wie sie das machen.
TCP arbeitet:
verbindungsorientiert
zuverlässig
mit Bestätigungen
UDP arbeitet:
verbindungslos
schlanker
ohne eingebaute Zustellgarantie
Merksatz:
TCP = zuverlässig.
UDP = schnell und einfach.
Warum gibt es TCP und UDP?
Nicht jede Anwendung hat dieselben Anforderungen.
Manche Anwendungen brauchen sichere und vollständige Datenübertragung.
Beispiele:
- Webseite laden
- Datei übertragen
- E-Mail senden
- SSH-Verbindung
- Datenbankzugriff
Andere Anwendungen brauchen vor allem geringe Verzögerung.
Beispiele:
- VoIP
- Livestreaming
- Online-Gaming
- DNS-Anfragen
- Video-Konferenzen
Deshalb gibt es unterschiedliche Transportprotokolle.
Merksatz:
Unterschiedliche Anwendungen brauchen unterschiedliche Transportarten.
TCP-Grundidee
TCP steht für:
Transmission Control Protocol
TCP stellt eine Verbindung zwischen zwei Anwendungen her.
Dabei sorgt TCP dafür, dass Daten:
- vollständig ankommen
- in der richtigen Reihenfolge ankommen
- bestätigt werden
- bei Verlust erneut gesendet werden
- kontrolliert übertragen werden
Merksatz:
TCP kümmert sich um zuverlässige Datenübertragung.
UDP-Grundidee
UDP steht für:
User Datagram Protocol
UDP sendet einzelne Datagramme ohne vorherigen Verbindungsaufbau.
UDP kümmert sich nicht selbst darum, ob Daten:
- angekommen sind
- vollständig angekommen sind
- in richtiger Reihenfolge angekommen sind
- erneut gesendet werden müssen
Dafür ist UDP sehr schlank.
Merksatz:
UDP sendet einfach,
ohne Verbindung aufzubauen.
TCP und UDP direkt vergleichen
Merkmal
TCP
UDP
Verbindungsaufbau
ja
nein
Verbindung
verbindungsorientiert
verbindungslos
Zustellgarantie
ja, durch Mechanismen
nein
Reihenfolge
wird sichergestellt
nicht sichergestellt
Bestätigungen
ja
nein
erneute Übertragung
ja
nein
Geschwindigkeit
mehr Overhead
weniger Overhead
Datenform
Segment
Datagramm
typische Nutzung
HTTP, HTTPS, SSH, Mail
DNS, DHCP, VoIP, Streaming
Merksatz:
TCP kontrolliert mehr.
UDP ist einfacher.
Verbindungsorientiert bei TCP
Verbindungsorientiert bedeutet:
Vor der eigentlichen Datenübertragung wird eine Verbindung aufgebaut.
TCP prüft dabei, ob beide Seiten bereit sind.
Der Verbindungsaufbau erfolgt durch den Drei-Wege-Handshake:
SYN
SYN-ACK
ACK
Erst danach werden Nutzdaten übertragen.
Merksatz:
TCP baut vor der Datenübertragung eine Verbindung auf.
Verbindungslos bei UDP
Verbindungslos bedeutet:
Es gibt keinen Verbindungsaufbau wie bei TCP.
UDP sendet ein Datagramm direkt an Ziel-IP und Ziel-Port.
Der Sender erhält durch UDP selbst keine sichere Information darüber:
ob das Datagramm angekommen ist
ob es verworfen wurde
ob mehrere Datagramme in richtiger Reihenfolge ankamen
Merksatz:
UDP hat keinen Drei-Wege-Handshake.
TCP-Drei-Wege-Handshake
Der TCP-Verbindungsaufbau besteht aus drei Schritten.
Schritt
Richtung
Bedeutung
1
Client → Server
SYN
2
Server → Client
SYN-ACK
3
Client → Server
ACK
Vereinfacht:
Client fragt an.
Server bestätigt und fragt zurück.
Client bestätigt.
Danach ist die Verbindung aufgebaut.
Merksatz:
TCP-Handshake = SYN, SYN-ACK, ACK.
SYN
SYN steht für:
Synchronize
Ein SYN wird beim TCP-Verbindungsaufbau gesendet.
Der Client sagt damit vereinfacht:
Ich möchte eine TCP-Verbindung aufbauen.
Das SYN enthält unter anderem Startinformationen für die TCP-Kommunikation.
Merksatz:
SYN startet den TCP-Verbindungsaufbau.
SYN-ACK
SYN-ACK ist die Antwort des Servers auf das SYN des Clients.
Der Server sagt damit vereinfacht:
Ich habe deine Anfrage erhalten
und bin bereit für die Verbindung.
SYN-ACK enthält:
SYN des Servers
ACK als Bestätigung des Client-SYN
Merksatz:
SYN-ACK bestätigt die Anfrage und synchronisiert zurück.
ACK
ACK steht für:
Acknowledgement
ACK bedeutet:
Bestätigung
Im dritten Schritt bestätigt der Client das SYN-ACK des Servers.
Danach gilt die TCP-Verbindung als aufgebaut.
Merksatz:
ACK bestätigt empfangene TCP-Informationen.
TCP-Datenübertragung nach dem Handshake
Nach dem Drei-Wege-Handshake können Nutzdaten übertragen werden.
TCP nutzt dafür:
- Sequenznummern
- Bestätigungsnummern
- Prüfsummen
- Fenstergröße
- erneute Übertragung bei Verlust
Dadurch wird die Übertragung zuverlässiger.
Merksatz:
Nach dem Handshake sorgt TCP für geordnete Datenübertragung.
Sequenznummern
TCP nutzt Sequenznummern, um Daten zu ordnen.
Sie helfen dabei:
- Reihenfolge wiederherzustellen
- fehlende Daten zu erkennen
- Daten korrekt zu bestätigen
Beispiel:
Teil 1 kommt an.
Teil 3 kommt an.
Teil 2 fehlt.
TCP erkennt:
Es fehlt etwas.
Dann kann die fehlende Information erneut übertragen werden.
Merksatz:
Sequenznummern helfen TCP,
Daten richtig zu sortieren.
Bestätigungsnummern
Bestätigungsnummern zeigen dem Sender, welche Daten angekommen sind.
Der Empfänger bestätigt nicht nur:
Ich habe etwas bekommen.
Sondern sinngemäß:
Ich habe alles bis zu dieser Stelle bekommen
und erwarte als Nächstes diese Nummer.
Merksatz:
TCP bestätigt empfangene Daten mit ACKs.
Erneute Übertragung bei TCP
Wenn TCP erkennt, dass Daten fehlen, können sie erneut übertragen werden.
Mögliche Gründe für erneute Übertragung:
- Paketverlust
- beschädigte Daten
- keine Bestätigung erhalten
- Timeout
- Überlastung im Netz
Dadurch ist TCP zuverlässiger als UDP.
Merksatz:
TCP kann verlorene Daten erneut senden.
Reihenfolge bei TCP
IP-Pakete können im Netzwerk unterschiedliche Wege nehmen.
Dadurch können Daten in anderer Reihenfolge ankommen.
TCP kann sie wieder richtig zusammensetzen.
Beispiel:
Gesendet:
1, 2, 3, 4
Angekommen:
1, 3, 2, 4
TCP übergibt der Anwendung die Daten wieder in korrekter Reihenfolge.
Merksatz:
TCP sorgt für richtige Reihenfolge.
Flusskontrolle
Flusskontrolle bedeutet:
Der Sender soll den Empfänger nicht überfordern.
TCP nutzt dafür unter anderem die Fenstergröße.
Die Fenstergröße gibt an, wie viele Daten gesendet werden dürfen, bevor weitere Bestätigungen nötig sind.
Vereinfacht:
Empfänger sagt:
So viel kann ich gerade aufnehmen.
Merksatz:
Flusskontrolle schützt den Empfänger vor Überlastung.
Staukontrolle
Staukontrolle bedeutet:
TCP versucht, Überlastung im Netzwerk zu vermeiden.
Wenn Paketverlust oder Verzögerung auftritt, kann TCP die Sendeleistung anpassen.
Ziel:
Das Netzwerk soll nicht weiter überlastet werden.
Merksatz:
Staukontrolle schützt das Netzwerk vor Überlastung.
TCP-Verbindungsabbau
TCP-Verbindungen werden geordnet beendet.
Dabei kommen häufig FIN- und ACK-Nachrichten vor.
Vereinfacht:
Eine Seite sagt:
Ich möchte die Verbindung beenden.
Die andere Seite bestätigt.
Es gibt auch RST.
RST bedeutet:
Verbindung sofort abbrechen.
Merksatz:
FIN beendet geordnet.
RST bricht ab.
TCP-Zustände
TCP kennt verschiedene Zustände.
Wichtige Beispiele:
Zustand
Bedeutung
LISTEN
Dienst wartet auf eingehende Verbindung
SYN-SENT
Client hat SYN gesendet
SYN-RECEIVED
Server hat SYN erhalten und SYN-ACK gesendet
ESTABLISHED
Verbindung besteht
FIN-WAIT
Verbindung wird beendet
TIME-WAIT
Wartephase nach Verbindungsende
CLOSED
Verbindung geschlossen
Merksatz:
ESTABLISHED bedeutet:
TCP-Verbindung steht.
UDP-Datagramm
UDP nutzt Datagramme.
Ein UDP-Datagramm enthält unter anderem:
- Quell-Port
- Ziel-Port
- Länge
- Prüfsumme
- Nutzdaten
UDP hat deutlich weniger Steuerinformationen als TCP.
Merksatz:
UDP-Datagramm = einfache Transport-Dateneinheit.
Warum UDP trotz fehlender Garantie sinnvoll ist
UDP ist sinnvoll, wenn Geschwindigkeit oder geringe Verzögerung wichtiger ist als perfekte Vollständigkeit.
Beispiel VoIP:
Wenn ein kleines Audiopaket verloren geht,
ist es oft besser,
einfach weiterzumachen.
Eine spätere erneute Übertragung wäre zu spät und würde nur stören.
Merksatz:
Bei Echtzeitdiensten ist spät manchmal schlimmer als verloren.
UDP bei DNS
DNS nutzt häufig UDP Port 53.
Warum?
DNS-Anfragen sind oft kurz.
DNS-Antworten sind oft klein.
Es soll schnell gehen.
DNS kann aber auch TCP Port 53 verwenden.
Beispiele:
- große Antworten
- Zonentransfers
- bestimmte DNSSEC-Fälle
Merksatz:
DNS nutzt häufig UDP 53,
kann aber auch TCP 53 nutzen.
UDP bei DHCP
DHCP nutzt UDP.
Wichtige Ports:
Richtung
Port
DHCP-Server
UDP 67
DHCP-Client
UDP 68
Warum UDP?
Ein Client hat am Anfang oft noch keine vollständige IP-Konfiguration.
DHCP muss früh im Netzwerkprozess funktionieren.
Merksatz:
DHCP nutzt UDP 67 und 68.
UDP bei VoIP und Streaming
VoIP, Videokonferenzen und Streaming nutzen häufig UDP.
Grund:
geringe Verzögerung ist wichtig.
Wenn ein Paket verloren geht, ist eine spätere Wiederholung oft nicht sinnvoll.
Beispiel:
Ein verlorener Tonfetzen bei Telefonie ist kurz störend.
Eine verspätete Wiederholung würde das Gespräch stärker stören.
Merksatz:
Echtzeitkommunikation nutzt häufig UDP.
TCP bei Web und Dateiübertragung
Webseiten, Dateiübertragungen und viele Verwaltungsdienste nutzen TCP.
Beispiele:
- HTTP
- HTTPS
- SSH
- FTP
- SMTP
- IMAP
- POP3
Warum?
Daten sollen vollständig und korrekt ankommen.
Bei einer Datei wäre es schlecht, wenn Teile fehlen oder vertauscht sind.
Merksatz:
Wenn Vollständigkeit wichtig ist,
ist TCP häufig geeignet.
TCP und HTTPS
HTTPS nutzt typischerweise TCP Port 443.
Dabei kommen mehrere Dinge zusammen:
IP-Adresse für das Zielgerät
TCP-Port 443 für den Dienst
TCP-Verbindung für Transport
TLS für Verschlüsselung
HTTP für die Webanwendung
Merksatz:
HTTPS nutzt TCP,
ist aber selbst eine höhere Anwendung mit TLS.
UDP und QUIC
QUIC ist ein modernes Transportprotokoll, das auf UDP basiert.
HTTP/3 nutzt QUIC.
Warum UDP als Grundlage?
QUIC bringt eigene Mechanismen für Verbindungen, Sicherheit und Zuverlässigkeit mit,
nutzt aber UDP als Transportbasis.
Für AP1/AP2 reicht meistens:
HTTP/3 nutzt QUIC über UDP.
Merksatz:
UDP bedeutet nicht automatisch,
dass keine Zuverlässigkeit möglich ist;
sie kann in höheren Protokollen umgesetzt werden.
TCP-Overhead
TCP hat mehr Overhead als UDP.
Warum?
- Verbindungsaufbau
- Bestätigungen
- Sequenznummern
- erneute Übertragung
- Flusskontrolle
- Staukontrolle
- Verbindungsabbau
Dieser Overhead lohnt sich, wenn zuverlässige Übertragung wichtig ist.
Merksatz:
TCP hat mehr Kontrolle,
aber auch mehr Aufwand.
UDP-Overhead
UDP hat wenig Overhead.
Warum?
- kein Handshake
- keine TCP-Bestätigungen
- keine TCP-Sequenzsteuerung
- kein TCP-Verbindungszustand
Das macht UDP schlank und schnell.
Aber:
Die Anwendung muss selbst entscheiden,
ob sie zusätzliche Zuverlässigkeit braucht.
Merksatz:
UDP ist schlank,
aber einfacher.
Ports bei TCP und UDP
TCP und UDP haben jeweils eigene Portbereiche.
Das bedeutet:
TCP 53 und UDP 53 sind nicht derselbe Kommunikationskanal.
Beispiel DNS:
UDP 53 für typische Abfragen
TCP 53 für bestimmte Fälle
Eine Firewall-Regel für TCP 53 erlaubt nicht automatisch UDP 53.
Merksatz:
TCP-Port und UDP-Port sind getrennt zu betrachten.
Gleiche Portnummer, anderes Protokoll
Die gleiche Portnummer kann bei TCP und UDP unterschiedliche Bedeutung haben.
Beispiel:
TCP 53
UDP 53
Beide gehören zu DNS,
aber technisch sind es verschiedene Transportprotokolle.
Beispiel:
TCP 443
UDP 443
TCP 443 ist klassisches HTTPS.
UDP 443 kann bei QUIC / HTTP/3 relevant sein.
Merksatz:
Portnummer immer zusammen mit TCP oder UDP betrachten.
Quell-Port und Ziel-Port bei TCP
Beispiel HTTPS:
Client:
192.168.10.20:52344
Server:
93.184.216.34:443
Dabei ist:
52344 = temporärer Quell-Port des Clients
443 = Ziel-Port des HTTPS-Dienstes
Die Antwort kommt zurück an:
192.168.10.20:52344
Merksatz:
Ziel-Port zeigt den Dienst.
Quell-Port hilft beim Rückweg zur Verbindung.
Quell-Port und Ziel-Port bei UDP
Auch UDP nutzt Quell-Port und Ziel-Port.
Beispiel DNS:
Client:
192.168.10.20:54001
DNS-Server:
192.168.10.1:53
Der Client sendet von einem temporären Port an UDP 53.
Die Antwort kommt zurück an den temporären Client-Port.
Merksatz:
Auch UDP nutzt Ports für Dienst und Rückzuordnung.
Ephemeral Ports
Ephemeral Ports sind temporäre Client-Ports.
Sie werden für ausgehende Verbindungen genutzt.
Typischer Bereich:
49152 bis 65535
Beispiel:
Client nutzt 53210 als Quell-Port
für Verbindung zu Server TCP 443.
Nach Ende der Verbindung kann der Port später wiederverwendet werden.
Merksatz:
Ephemeral Port = temporärer Quell-Port eines Clients.
Well-Known Ports
Well-Known Ports liegen im Bereich:
0 bis 1023
Sie sind bekannten Standarddiensten zugeordnet.
Beispiele:
Dienst
Protokoll
Port
FTP
TCP
21
SSH
TCP
22
Telnet
TCP
23
SMTP
TCP
25
DNS
TCP / UDP
53
HTTP
TCP
80
HTTPS
TCP
443
Merksatz:
Well-Known Ports sollte man für die Prüfung sicher kennen.
TCP-Fehlersuche
Typische TCP-Fragen:
Ist der Zielhost erreichbar?
Ist der Ziel-Port offen?
Lauscht der Dienst auf dem Port?
Kommt ein SYN beim Server an?
Antwortet der Server mit SYN-ACK?
Blockiert eine Firewall?
Wird die Verbindung zurückgesetzt?
Gibt es NAT- oder Portweiterleitungsfehler?
Merksatz:
Bei TCP prüft man besonders den Verbindungsaufbau.
UDP-Fehlersuche
UDP-Fehlersuche ist oft schwieriger.
Warum?
Es gibt keinen Handshake.
Wenn keine Antwort kommt, ist nicht sofort klar:
Paket verloren?
Dienst nicht erreichbar?
Firewall blockiert?
Anfrage ungültig?
Antwortweg gestört?
NAT-Problem?
Deshalb braucht man oft Logs, Mitschnitte oder passende Testwerkzeuge.
Merksatz:
UDP-Fehler sind schwerer eindeutig zu erkennen als TCP-Fehler.
TCP-Handshake scheitert
Wenn ein TCP-Handshake scheitert, kann die Verbindung nicht aufgebaut werden.
Mögliche Ursachen:
- Server nicht erreichbar
- Dienst hört nicht auf dem Port
- Firewall blockiert SYN
- Firewall blockiert SYN-ACK
- NAT oder Portweiterleitung falsch
- Server lehnt Verbindung ab
- Rückroute fehlt
Merksatz:
Kein TCP-Handshake = keine TCP-Verbindung.
TCP Reset
Ein TCP Reset wird mit RST gekennzeichnet.
RST bedeutet:
Verbindung sofort abbrechen.
Mögliche Ursachen:
- Port geschlossen
- Dienst lehnt Verbindung ab
- Anwendung beendet Verbindung
- Firewall sendet Reset
- fehlerhafte Verbindung
Merksatz:
RST = TCP-Verbindung wird sofort zurückgesetzt.
TCP Timeout
Ein Timeout bedeutet:
Eine erwartete Antwort kommt nicht rechtzeitig.
Mögliche Ursachen:
- Paket geht verloren
- Firewall verwirft still
- Server antwortet nicht
- Rückweg fehlt
- Routing-Problem
- NAT-Problem
Merksatz:
Timeout bedeutet:
keine rechtzeitige Antwort.
Gefilterter Port
Ein Port wirkt gefiltert, wenn eine Firewall Pakete blockiert oder verwirft.
Unterschied:
geschlossen:
Ziel antwortet aktiv, dass kein Dienst vorhanden ist.
gefiltert:
keine oder keine klare Antwort.
Merksatz:
Gefiltert bedeutet oft:
Firewall im Weg.
Offener Port
Ein Port ist offen, wenn ein Dienst auf diesem Port Verbindungen annimmt oder Anfragen beantwortet.
Beispiel:
TCP 443 offen
bedeutet:
Ein Dienst akzeptiert HTTPS-Verbindungen oder zumindest TCP-Verbindungen auf Port 443.
Aber:
Das sagt noch nicht,
dass die Webanwendung korrekt funktioniert.
Merksatz:
Offener Port bedeutet:
Dienst ist grundsätzlich erreichbar.
Geschlossener Port
Ein Port ist geschlossen, wenn kein Dienst auf diesem Port lauscht.
Beispiel:
Server erreichbar,
aber TCP 22 geschlossen
Das bedeutet:
Der Server antwortet,
aber SSH läuft dort nicht oder nicht auf Port 22.
Merksatz:
Geschlossener Port heißt:
Host kann erreichbar sein,
Dienst aber nicht.
TCP und Paketmitschnitt
In einem Mitschnitt kann man TCP gut erkennen.
Wichtige Hinweise:
SYN
SYN-ACK
ACK
RST
FIN
Retransmission
Window Size
Duplicate ACK
Damit kann man sehen:
Wird die Verbindung aufgebaut?
Wo bleibt die Antwort aus?
Wird zurückgesetzt?
Gibt es Paketverlust?
Merksatz:
TCP lässt sich im Mitschnitt gut analysieren.
UDP und Paketmitschnitt
Bei UDP sieht man im Mitschnitt:
Quell-Port
Ziel-Port
Länge
Prüfsumme
Nutzdaten
Aber man sieht keinen Handshake.
Deshalb muss man prüfen:
Geht die Anfrage raus?
Kommt eine Antwort zurück?
Ist die Antwort korrekt?
Wird etwas blockiert?
Ist der Port richtig?
Merksatz:
Bei UDP vergleicht man Anfrage und Antwort.
TCP oder UDP bei Firewall-Regeln
Firewall-Regeln müssen das richtige Protokoll berücksichtigen.
Beispiel:
DNS erlauben
Nicht ausreichend, wenn nur steht:
Port 53 erlauben
Genauer:
UDP 53 erlauben
TCP 53 bei Bedarf ebenfalls erlauben
Beispiel HTTPS:
TCP 443 erlauben
Bei HTTP/3 kann zusätzlich relevant sein:
UDP 443 erlauben
Merksatz:
Firewall-Regeln brauchen Protokoll und Port.
TCP oder UDP bei Portweiterleitungen
Auch Portweiterleitungen müssen das richtige Protokoll nutzen.
Beispiel:
Webserver klassisch:
TCP 80
TCP 443
Beispiel DNS-Server:
UDP 53
TCP 53
Beispiel Spielserver:
je nach Spiel oft UDP oder TCP unterschiedlich
Prüfungsfalle:
TCP-Portweiterleitung hilft nicht,
wenn der Dienst UDP nutzt.
Merksatz:
Portweiterleitung muss TCP oder UDP richtig treffen.
NAT/PAT und TCP/UDP
PAT nutzt Port-Zuordnungen.
Bei TCP kann ein NAT-Gerät Verbindungszustände gut verfolgen.
Bei UDP gibt es keinen echten Verbindungszustand.
Deshalb nutzt NAT bei UDP Zeitfenster und Zuordnungstabellen.
Wenn die Zuordnung abläuft, können Antworten verloren gehen.
Merksatz:
NAT verfolgt TCP leichter als UDP.
Typische Anwendungen und Transportprotokolle
Anwendung / Dienst
typisches Transportprotokoll
HTTP
TCP
HTTPS
TCP
HTTP/3
UDP
SSH
TCP
Telnet
TCP
SMTP
TCP
IMAP
TCP
POP3
TCP
DNS
UDP und TCP
DHCP
UDP
NTP
UDP
VoIP
häufig UDP
Streaming
häufig UDP oder TCP je nach Technik
VPN
je nach Lösung TCP oder UDP
Merksatz:
Dienst immer mit Protokoll und Port betrachten.
TCP und UDP in der Praxisentscheidung
TCP ist sinnvoll, wenn wichtig ist:
- Vollständigkeit
- Reihenfolge
- Zuverlässigkeit
- fehlerfreie Dateiübertragung
- stabile Verbindung
UDP ist sinnvoll, wenn wichtig ist:
- geringe Latenz
- wenig Overhead
- Echtzeitverhalten
- kurze Anfragen
- Anwendung übernimmt eigene Steuerung
Merksatz:
TCP für Genauigkeit.
UDP für Geschwindigkeit und Echtzeit.
Einordnung in das OSI-Modell
Thema
Schicht
IP-Adresse
3
Routing
3
ICMP
3
TCP
4
UDP
4
Port
4
TCP-Handshake
4
Sequenznummer
4
ACK
4
DNS-Dienst
7, nutzt TCP/UDP 53
HTTP
7, nutzt TCP
HTTPS
7, nutzt TCP und TLS
HTTP/3
7, nutzt QUIC über UDP
Merksatz:
TCP und UDP gehören zur Transportschicht.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist TCP?
- Was ist UDP?
- Worin unterscheiden sich TCP und UDP?
- Was bedeutet verbindungsorientiert?
- Was bedeutet verbindungslos?
- Wie funktioniert der TCP-Drei-Wege-Handshake?
- Was bedeuten SYN, SYN-ACK und ACK?
- Warum ist TCP zuverlässig?
- Warum ist UDP schneller beziehungsweise schlanker?
- Wann eignet sich TCP?
- Wann eignet sich UDP?
- Warum nutzt DNS UDP und TCP?
- Warum nutzt DHCP UDP?
- Warum nutzen Echtzeitdienste häufig UDP?
- Warum kann Ping funktionieren, aber TCP 443 nicht?
- Warum muss eine Firewall zwischen TCP und UDP unterscheiden?
Typische Prüfungsfallen
TCP ist verbindungsorientiert.
UDP ist verbindungslos.
TCP nutzt den Drei-Wege-Handshake.
UDP nutzt keinen Drei-Wege-Handshake.
TCP bietet Zuverlässigkeit durch Bestätigungen und erneute Übertragung.
UDP bietet keine eingebaute Zustellgarantie.
TCP stellt Reihenfolge sicher.
UDP stellt Reihenfolge nicht selbst sicher.
TCP nutzt Segmente.
UDP nutzt Datagramme.
DNS nutzt UDP 53 und TCP 53.
DHCP nutzt UDP 67 und 68.
HTTP/3 nutzt QUIC über UDP.
Gleiche Portnummer bei TCP und UDP ist technisch nicht dasselbe.
Firewall-Regeln müssen TCP oder UDP korrekt angeben.
Portweiterleitungen müssen TCP oder UDP korrekt treffen.
Ping nutzt ICMP,
nicht TCP oder UDP.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
TCP
Transmission Control Protocol
UDP
User Datagram Protocol
verbindungsorientiert
Verbindung wird vor Datenübertragung aufgebaut
verbindungslos
Daten werden ohne vorherige Verbindung gesendet
SYN
Start einer TCP-Verbindung
SYN-ACK
Antwort auf SYN mit Bestätigung
ACK
Bestätigung
Drei-Wege-Handshake
TCP-Verbindungsaufbau mit SYN, SYN-ACK, ACK
Sequenznummer
Position von Daten im TCP-Strom
Bestätigungsnummer
bestätigt empfangene Daten
Retransmission
erneute Übertragung
Flusskontrolle
schützt Empfänger vor Überlastung
Staukontrolle
schützt Netzwerk vor Überlastung
FIN
geordneter TCP-Verbindungsabbau
RST
sofortiger TCP-Abbruch
Timeout
erwartete Antwort bleibt zu lange aus
Segment
TCP-Dateneinheit
Datagramm
UDP-Dateneinheit
IHK-sichere Kurzformulierung
TCP und UDP sind Transportprotokolle auf OSI-Schicht 4. TCP ist verbindungsorientiert und baut vor der Datenübertragung mit SYN, SYN-ACK und ACK eine Verbindung auf. Es bietet Zuverlässigkeit durch Bestätigungen, Sequenznummern, erneute Übertragung und Reihenfolgesicherung. UDP ist verbindungslos und sendet Datagramme ohne Verbindungsaufbau und ohne eingebaute Garantie für Zustellung oder Reihenfolge. Dadurch ist UDP schlanker und eignet sich gut für Echtzeitdienste oder kurze Anfragen. TCP- und UDP-Ports sind getrennt zu betrachten, auch wenn dieselbe Portnummer verwendet wird.
Merksätze
TCP = Transmission Control Protocol.
UDP = User Datagram Protocol.
Beide gehören zu Schicht 4.
TCP ist verbindungsorientiert.
UDP ist verbindungslos.
TCP baut Verbindung auf.
UDP sendet ohne Handshake.
TCP-Handshake = SYN, SYN-ACK, ACK.
TCP nutzt ACKs.
TCP nutzt Sequenznummern.
TCP kann erneut übertragen.
TCP stellt Reihenfolge sicher.
UDP bietet keine eingebaute Zustellgarantie.
UDP ist schlanker als TCP.
TCP = Segment.
UDP = Datagramm.
DNS nutzt UDP und TCP 53.
DHCP nutzt UDP 67 und 68.
HTTP/3 nutzt QUIC über UDP.
Gleiche Portnummer bei TCP und UDP ist nicht dasselbe.
Firewall-Regel braucht Protokoll und Port.
TCP-Portweiterleitung hilft nicht bei UDP-Dienst.
Ping ist ICMP,
nicht TCP oder UDP.
TCP für Zuverlässigkeit.
UDP für geringe Verzögerung.
7.3 Ports, Dienste und typische Standardports
Ports gehören zu OSI-Schicht 4.
Sie dienen dazu, Daten auf einem Gerät der richtigen Anwendung oder dem richtigen Dienst zuzuordnen.
Eine IP-Adresse zeigt:
zu welchem Gerät?
Ein Port zeigt:
zu welchem Dienst auf diesem Gerät?
Beispiel:
192.168.10.50:443
Bedeutung:
Gerät:
192.168.10.50
Dienst:
Port 443
Merksatz:
IP bringt zum Gerät.
Port bringt zum Dienst.
Warum braucht man Ports?
Ein Server kann viele Dienste gleichzeitig anbieten.
Beispiel:
Dienst
Port
SSH
22
DNS
53
HTTP
80
HTTPS
443
RDP
3389
Alle Dienste können auf derselben IP-Adresse laufen.
Die Portnummer entscheidet, welcher Dienst angesprochen wird.
Merksatz:
Mehrere Dienste auf einer IP-Adresse werden durch Ports unterschieden.
Portnummern
Portnummern sind 16 Bit groß.
Deshalb gibt es Portnummern von:
0
bis:
65535
Insgesamt sind das:
65536 mögliche Werte
Wichtig:
TCP und UDP haben jeweils eigene Portbereiche.
Das bedeutet:
TCP 53
und
UDP 53
sind technisch getrennte Kommunikationsmöglichkeiten.
Merksatz:
Portnummern gehen von 0 bis 65535.
TCP-Port und UDP-Port unterscheiden
Ein Port muss immer zusammen mit dem Transportprotokoll betrachtet werden.
Beispiel:
TCP 53
UDP 53
Beide können DNS betreffen, aber technisch sind sie nicht dasselbe.
Eine Firewall-Regel für TCP 53 erlaubt nicht automatisch UDP 53.
Eine Portweiterleitung für UDP 53 leitet nicht automatisch TCP 53 weiter.
Merksatz:
Portnummer immer mit TCP oder UDP nennen.
Portbereiche
Portnummern werden grob in drei Bereiche eingeteilt.
Bereich
Portnummern
Bedeutung
Well-Known Ports
0 – 1023
bekannte Standarddienste
Registered Ports
1024 – 49151
registrierte Anwendungsports
Dynamic / Ephemeral Ports
49152 – 65535
temporäre Client-Ports
Merksatz:
0–1023 bekannt,
1024–49151 registriert,
49152–65535 temporär.
Well-Known Ports
Well-Known Ports sind bekannte Standardports.
Sie werden für häufig genutzte Netzwerkdienste verwendet.
Beispiele:
Dienst
Protokoll
Port
FTP Steuerverbindung
TCP
21
SSH
TCP
22
Telnet
TCP
23
SMTP
TCP
25
DNS
TCP / UDP
53
DHCP Server
UDP
67
DHCP Client
UDP
68
HTTP
TCP
80
POP3
TCP
110
IMAP
TCP
143
NTP
UDP
123
HTTPS
TCP
443
Merksatz:
Well-Known Ports sind prüfungsrelevant.
Registered Ports
Registered Ports liegen im Bereich:
1024 bis 49151
Sie werden häufig von Anwendungen, Herstellern oder Diensten genutzt.
Beispiele:
Dienst / Anwendung
Protokoll
Port
MySQL / MariaDB
TCP
3306
RDP
TCP
3389
PostgreSQL
TCP
5432
VNC
TCP
5900
HTTP-Alternative
TCP
8080
HTTPS-Alternative
TCP
8443
Wichtig:
Nicht jeder Port in diesem Bereich ist automatisch sicher oder unsicher.
Entscheidend ist, welcher Dienst dort tatsächlich läuft.
Merksatz:
Registered Ports werden häufig von Anwendungen genutzt.
Dynamic oder Ephemeral Ports
Dynamic Ports werden auch Ephemeral Ports genannt.
Sie liegen häufig im Bereich:
49152 bis 65535
Clients nutzen diese Ports meistens als temporäre Quell-Ports.
Beispiel:
Client:
192.168.10.20:52344
Server:
93.184.216.34:443
Der Client nutzt Port 52344 nur vorübergehend für diese Verbindung.
Merksatz:
Ephemeral Port = temporärer Client-Port.
Quell-Port und Ziel-Port
Ein TCP- oder UDP-Header enthält:
Quell-Port
Ziel-Port
Beispiel HTTPS:
Client:
192.168.10.20:52344
Server:
93.184.216.34:443
Dabei ist:
52344 = Quell-Port des Clients
443 = Ziel-Port des Servers
Merksatz:
Ziel-Port zeigt den gewünschten Dienst.
Quell-Port hilft bei der Rückzuordnung.
Warum ist der Quell-Port wichtig?
Ein Client kann mehrere Verbindungen gleichzeitig öffnen.
Beispiel:
Browser-Tab 1 zu HTTPS
Browser-Tab 2 zu HTTPS
Update-Dienst zu HTTPS
Cloud-Sync zu HTTPS
Alle können zu Port 443 gehen.
Der Client nutzt unterschiedliche Quell-Ports, damit Antworten korrekt zugeordnet werden.
Merksatz:
Quell-Ports unterscheiden gleichzeitige Verbindungen eines Clients.
Socket
Ein Socket besteht aus:
IP-Adresse
und
Port
Beispiel:
192.168.10.20:52344
Bei TCP-Verbindungen ist die Verbindung eindeutig über:
Quell-IP
Quell-Port
Ziel-IP
Ziel-Port
Protokoll
Beispiel:
192.168.10.20:52344
→ 93.184.216.34:443
TCP
Merksatz:
Socket = IP-Adresse plus Port.
Dienst hört auf einem Port
Ein Dienst muss auf einem Port lauschen, damit Verbindungen oder Anfragen angenommen werden können.
Beispiel:
Webserver hört auf TCP 443.
Das bedeutet:
Der Dienst wartet auf HTTPS-Verbindungen.
Wenn kein Dienst auf einem Port lauscht, ist der Port aus Sicht des Clients geschlossen.
Merksatz:
Dienst muss auf dem Port lauschen.
LISTEN und ESTABLISHED
Bei TCP sind zwei Zustände besonders wichtig.
Zustand
Bedeutung
LISTEN
Dienst wartet auf eingehende Verbindungen
ESTABLISHED
Verbindung besteht
Beispiel:
Webserver im Zustand LISTEN auf TCP 443
bedeutet:
Der Webserver wartet auf HTTPS-Verbindungen.
Merksatz:
LISTEN = Dienst wartet.
ESTABLISHED = Verbindung steht.
Offener Port
Ein Port ist offen, wenn ein Dienst dort erreichbar ist.
Beispiel:
TCP 443 offen
Bedeutung:
Ein Dienst nimmt TCP-Verbindungen auf Port 443 an.
Aber:
Ein offener Port beweist nicht automatisch,
dass die Anwendung korrekt funktioniert.
Merksatz:
Offener Port = Dienst grundsätzlich erreichbar.
Geschlossener Port
Ein Port ist geschlossen, wenn kein Dienst auf diesem Port lauscht.
Beispiel:
Server ist per Ping erreichbar.
TCP 22 ist geschlossen.
Bedeutung:
Der Host ist erreichbar,
aber SSH läuft dort nicht oder nicht auf Port 22.
Merksatz:
Geschlossener Port heißt nicht:
Gerät ist offline.
Gefilterter Port
Ein Port wirkt gefiltert, wenn eine Firewall Pakete blockiert oder verwirft.
Typisch:
keine klare Antwort
Timeout
Verbindung bleibt hängen
Mögliche Ursachen:
- Firewall blockiert
- Paketfilter verwirft still
- NAT-Regel fehlt
- Rückweg fehlt
- Security-Gruppe blockiert
Merksatz:
Gefiltert bedeutet häufig:
Firewall oder Paketfilter im Weg.
Portstatus im Vergleich
Status
Bedeutung
offen
Dienst antwortet oder nimmt Verbindung an
geschlossen
Host erreichbar, aber kein Dienst auf diesem Port
gefiltert
keine klare Antwort, oft Firewall
offen, aber Anwendung fehlerhaft
Port erreichbar, Dienstproblem auf höherer Schicht
Merksatz:
Portstatus hilft,
Schicht 4 von höheren Schichten zu trennen.
Wichtige Standardports
Dienst
Protokoll
Port
Zweck
FTP
TCP
21
Dateiübertragung Steuerverbindung
SSH
TCP
22
sicherer Fernzugriff
Telnet
TCP
23
unsicherer Fernzugriff
SMTP
TCP
25
E-Mail-Versand zwischen Servern
DNS
TCP / UDP
53
Namensauflösung
DHCP Server
UDP
67
IP-Konfiguration anbieten
DHCP Client
UDP
68
IP-Konfiguration empfangen
HTTP
TCP
80
unverschlüsselte Webübertragung
POP3
TCP
110
E-Mail-Abruf
NTP
UDP
123
Zeitsynchronisation
IMAP
TCP
143
E-Mail-Abruf und Verwaltung
HTTPS
TCP
443
verschlüsselte Webübertragung
RDP
TCP
3389
Windows-Remote-Desktop
Merksatz:
HTTP 80,
HTTPS 443,
SSH 22,
DNS 53,
DHCP 67/68.
FTP
FTP steht für:
File Transfer Protocol
Typischer Port:
TCP 21
FTP dient der Dateiübertragung.
Wichtig:
Klassisches FTP ist unverschlüsselt.
Benutzername, Passwort und Daten können ohne Schutz übertragen werden.
Sichere Alternativen sind zum Beispiel:
SFTP
FTPS
Merksatz:
FTP = TCP 21,
klassisch unverschlüsselt.
SSH
SSH steht für:
Secure Shell
Typischer Port:
TCP 22
SSH wird genutzt für:
- sicheren Fernzugriff
- Administration von Servern
- sichere Kommandozeile
- Tunnel
- Dateiübertragung über SFTP
Merksatz:
SSH = TCP 22,
verschlüsselter Fernzugriff.
Telnet
Telnet nutzt typischerweise:
TCP 23
Telnet ist ein älteres Fernzugriffsprotokoll.
Problem:
Telnet ist unverschlüsselt.
Deshalb sollte Telnet in modernen Netzwerken nicht für administrative Zugriffe verwendet werden.
Merksatz:
Telnet = TCP 23,
unsicher und unverschlüsselt.
SMTP
SMTP steht für:
Simple Mail Transfer Protocol
Typischer Port:
TCP 25
SMTP wird für den E-Mail-Transport verwendet, besonders zwischen Mailservern.
Weitere Mailports können sein:
587 für Mail Submission
465 für SMTPS
Für AP1/AP2 ist besonders wichtig:
SMTP = Mailversand
Merksatz:
SMTP = E-Mail-Versand.
POP3
POP3 steht für:
Post Office Protocol Version 3
Typischer Port:
TCP 110
POP3 dient dem Abruf von E-Mails.
Häufig werden Mails dabei vom Server heruntergeladen.
Verschlüsselte Variante:
POP3S über TCP 995
Merksatz:
POP3 = E-Mail-Abruf.
IMAP
IMAP steht für:
Internet Message Access Protocol
Typischer Port:
TCP 143
IMAP dient ebenfalls dem Abruf und der Verwaltung von E-Mails.
Im Unterschied zu POP3 bleiben Mails häufig auf dem Server und werden zwischen Geräten synchronisiert.
Verschlüsselte Variante:
IMAPS über TCP 993
Merksatz:
IMAP = E-Mail-Verwaltung auf dem Server.
SMTP, POP3 und IMAP unterscheiden
Protokoll
Richtung / Zweck
typischer Port
SMTP
E-Mail senden / transportieren
TCP 25
POP3
E-Mail abrufen
TCP 110
IMAP
E-Mail abrufen und verwalten
TCP 143
Merksatz:
SMTP sendet.
POP3 und IMAP holen ab.
DNS
DNS steht für:
Domain Name System
DNS ordnet Namen IP-Adressen zu.
Typischer Port:
UDP 53
DNS kann auch nutzen:
TCP 53
Beispiele für TCP bei DNS:
- große Antworten
- Zonentransfers
- bestimmte DNSSEC-Fälle
Merksatz:
DNS = UDP 53 häufig,
TCP 53 ebenfalls möglich.
DHCP
DHCP steht für:
Dynamic Host Configuration Protocol
DHCP vergibt automatisch IP-Konfigurationen.
Wichtige Ports:
Rolle
Protokoll
Port
DHCP-Server
UDP
67
DHCP-Client
UDP
68
DHCP vergibt zum Beispiel:
- IP-Adresse
- Subnetzmaske
- Gateway
- DNS-Server
Merksatz:
DHCP = UDP 67 und 68.
HTTP
HTTP steht für:
Hypertext Transfer Protocol
Typischer Port:
TCP 80
HTTP wird für Webseiten und Webdienste verwendet.
Wichtig:
HTTP ist unverschlüsselt.
Heute wird für Webseiten meist HTTPS bevorzugt.
Merksatz:
HTTP = TCP 80,
unverschlüsselt.
HTTPS
HTTPS steht für:
Hypertext Transfer Protocol Secure
Typischer Port:
TCP 443
HTTPS nutzt Verschlüsselung über TLS.
HTTPS schützt unter anderem:
- Vertraulichkeit
- Integrität
- Serverauthentizität über Zertifikate
Merksatz:
HTTPS = TCP 443,
HTTP mit TLS-Verschlüsselung.
NTP
NTP steht für:
Network Time Protocol
Typischer Port:
UDP 123
NTP dient zur Zeitsynchronisation.
Warum wichtig?
Viele IT-Funktionen benötigen korrekte Zeit.
Beispiele:
- Zertifikate
- Kerberos
- Logs
- Monitoring
- Dateisynchronisation
Merksatz:
NTP = UDP 123,
Zeitsynchronisation.
RDP
RDP steht für:
Remote Desktop Protocol
Typischer Port:
TCP 3389
RDP wird häufig für grafischen Fernzugriff auf Windows-Systeme genutzt.
Wichtig:
RDP sollte nicht ungeschützt direkt ins Internet geöffnet werden.
Besser:
VPN
Zugriffsbeschränkung
Multi-Faktor-Authentifizierung
sichere Gateway-Lösungen
Merksatz:
RDP = TCP 3389,
Fernzugriff sorgfältig absichern.
Sichere und unsichere Protokolle
Einige ältere Protokolle übertragen Daten unverschlüsselt.
eher unsicher / unverschlüsselt
sicherere Alternative
Telnet
SSH
FTP
SFTP oder FTPS
HTTP
HTTPS
POP3
POP3S
IMAP
IMAPS
SMTP ohne TLS
SMTP mit STARTTLS oder SMTPS
Merksatz:
Für Administration und sensible Daten verschlüsselte Protokolle nutzen.
Ports und Firewall-Regeln
Firewalls arbeiten häufig mit IP-Adressen und Ports.
Beispiel-Regel:
Erlaube TCP 443
von Client-Netz
zum Internet
Bedeutung:
HTTPS-Verbindungen nach außen sind erlaubt.
Andere Ports können weiterhin blockiert sein.
Merksatz:
Firewall-Regel = Quelle, Ziel, Protokoll, Port, Aktion.
Firewall-Regel vollständig denken
Eine sinnvolle Firewall-Regel enthält:
- Quelle
- Ziel
- Protokoll
- Port
- Richtung
- Aktion
- Kommentar oder Zweck
Beispiel:
Quelle:
Mitarbeiter-VLAN
Ziel:
Internet
Protokoll:
TCP
Port:
443
Aktion:
erlauben
Merksatz:
Nicht nur Port nennen,
sondern Quelle, Ziel und Protokoll.
TCP und UDP bei Firewall-Regeln
Ports müssen bei Firewalls mit TCP oder UDP angegeben werden.
Beispiel DNS:
UDP 53 erlauben
TCP 53 erlauben, wenn benötigt
Beispiel HTTPS:
TCP 443 erlauben
Beispiel HTTP/3:
UDP 443 kann zusätzlich relevant sein
Prüfungsfalle:
TCP 53 erlaubt nicht automatisch UDP 53.
Merksatz:
Firewall-Regeln brauchen Protokoll und Port.
Ports und Portweiterleitung
Bei Portweiterleitungen muss ebenfalls das richtige Protokoll gewählt werden.
Beispiel Webserver:
TCP 80
TCP 443
Beispiel DNS-Server:
UDP 53
TCP 53
Beispiel Spielserver:
je nach Anwendung TCP oder UDP
Merksatz:
Portweiterleitung muss TCP oder UDP korrekt treffen.
Portweiterleitung und Dienst
Eine Portweiterleitung funktioniert nur, wenn mehrere Dinge passen.
Prüfpunkte:
- öffentliche Erreichbarkeit vorhanden?
- kein CGNAT?
- externer Port korrekt?
- internes Ziel korrekt?
- internes Ziel hört auf dem Port?
- Firewall erlaubt?
- Dienst läuft?
- DNS zeigt auf richtige IP?
Merksatz:
Portweiterleitung reicht nicht,
wenn der Dienst nicht läuft oder blockiert wird.
Ports und NAT/PAT
PAT nutzt Port-Zuordnungen.
Beispiel:
Intern
Extern
192.168.10.20:52344
93.184.100.10:40001
192.168.10.30:52344
93.184.100.10:40002
Dadurch können mehrere interne Geräte dieselbe öffentliche IP-Adresse nutzen.
Merksatz:
PAT unterscheidet Verbindungen über Ports.
Ports und Dienste prüfen
Typische Fragen bei der Prüfung eines Dienstes:
Ist der Host per IP erreichbar?
Ist der richtige Port offen?
Nutzt der Dienst TCP oder UDP?
Läuft der Dienst wirklich?
Hört der Dienst auf der richtigen Schnittstelle?
Blockiert eine Firewall?
Gibt es NAT oder Portweiterleitung?
Ist die Anwendung korrekt konfiguriert?
Merksatz:
Dienstproblem = IP, Port, Protokoll, Firewall und Anwendung prüfen.
Ping und Porttest unterscheiden
Ping nutzt ICMP.
Ping prüft keine TCP- oder UDP-Ports.
Beispiel:
ping server funktioniert
Das bedeutet nicht automatisch:
TCP 443 ist offen.
Um Ports zu prüfen, braucht man andere Tests.
Beispiele sinngemäß:
Verbindung zu TCP-Port testen
Dienstabfrage durchführen
Portscan kontrolliert einsetzen
Logs prüfen
Merksatz:
Ping prüft IP.
Porttest prüft Schicht 4.
Portscan
Ein Portscan prüft, welche Ports auf einem Ziel erreichbar sind.
Er kann nützlich sein für:
- Administration
- Fehlersuche
- Sicherheitsprüfung
- Inventarisierung
Aber:
Portscans dürfen nur in erlaubten Netzen durchgeführt werden.
Unberechtigte Scans können als Angriff gewertet werden.
Merksatz:
Portscan nur mit Berechtigung durchführen.
Port offen heißt nicht automatisch sicher
Ein offener Port bedeutet:
Dort ist ein Dienst erreichbar.
Das sagt noch nicht:
ob der Dienst sicher konfiguriert ist
ob er aktuell ist
ob die Authentifizierung stark ist
ob Schwachstellen vorhanden sind
Beispiel:
SSH offen kann normal sein.
SSH mit schwachem Passwort ist gefährlich.
Merksatz:
Sicherheit hängt nicht nur vom Port,
sondern vom Dienst ab.
Port geschlossen heißt nicht automatisch geschützt
Ein geschlossener Port bedeutet:
Auf diesem Port lauscht aktuell kein Dienst.
Aber:
andere Ports können offen sein.
Dienste können später gestartet werden.
Firewall-Regeln können sich ändern.
interne Angriffe können andere Wege nutzen.
Merksatz:
Geschlossene Ports sind gut,
ersetzen aber kein Sicherheitskonzept.
Prinzip: Nur notwendige Ports öffnen
Ein wichtiges Sicherheitsprinzip lautet:
Nur notwendige Dienste und Ports freigeben.
Das reduziert die Angriffsfläche.
Beispiele:
SSH nur für Admin-Netz erlauben.
Datenbank nicht direkt ins Internet öffnen.
RDP nur über VPN bereitstellen.
Webserver nur mit benötigten Ports freigeben.
Gastnetz von internen Diensten trennen.
Merksatz:
Weniger offene Ports = kleinere Angriffsfläche.
Typische Port-Fehler
Typische Fehler sind:
- falscher Port
- falsches Protokoll TCP statt UDP
- falsches Protokoll UDP statt TCP
- Dienst läuft nicht
- Dienst hört nur auf localhost
- Firewall blockiert
- NAT-Regel fehlt
- Portweiterleitung falsch
- DNS zeigt auf falschen Server
- Reverse Proxy nutzt falschen Zielport
- Client nutzt alten Port
Merksatz:
Portprobleme sind oft Konfigurationsfehler zwischen Dienst, Firewall und NAT.
Beispiel: HTTPS funktioniert nicht
Fehlerbild:
Server ist per Ping erreichbar.
Webseite öffnet nicht über HTTPS.
Mögliche Ursachen:
- TCP 443 geschlossen
- Firewall blockiert TCP 443
- Webserver läuft nicht
- Webserver hört auf anderem Port
- TLS-Zertifikat fehlerhaft
- Reverse Proxy falsch
- DNS zeigt auf falsche IP
- NAT-Portweiterleitung falsch
Merksatz:
Ping geht,
HTTPS nicht:
TCP 443 und Anwendung prüfen.
Beispiel: DNS funktioniert nicht
Fehlerbild:
Internet-IP ist erreichbar.
Namen werden nicht aufgelöst.
Mögliche Ursachen:
- DNS-Server falsch
- UDP 53 blockiert
- TCP 53 blockiert bei großen Antworten
- DNS-Dienst läuft nicht
- Firewall blockiert
- falsche DNS-Zone
- DNS-Cache fehlerhaft
Merksatz:
DNS braucht Namensdienst und passende Ports.
Beispiel: DHCP funktioniert nicht
Fehlerbild:
Client bekommt keine IP-Adresse.
Mögliche Ursachen:
- DHCP-Server nicht erreichbar
- UDP 67/68 blockiert
- falsches VLAN
- DHCP-Relay fehlt
- DHCP-Bereich erschöpft
- DHCP-Dienst läuft nicht
- Trunk transportiert VLAN nicht
Merksatz:
DHCP-Probleme können Schicht 2, 3, 4 und 7 berühren.
Beispiel: SSH funktioniert nicht
Fehlerbild:
Server ist erreichbar,
aber SSH-Verbindung klappt nicht.
Mögliche Ursachen:
- TCP 22 geschlossen
- SSH-Dienst läuft nicht
- Firewall blockiert
- SSH hört auf anderem Port
- Zugriff nur aus bestimmten Netzen erlaubt
- Benutzer oder Schlüssel falsch
- Fail2ban oder Schutzsystem blockiert
Merksatz:
SSH braucht TCP-Port,
laufenden Dienst
und gültige Anmeldung.
Einordnung in das OSI-Modell
Thema
Schicht
IP-Adresse
3
Routing
3
TCP
4
UDP
4
Port
4
Socket
4 mit IP-Bezug
DNS-Dienst
7, nutzt TCP/UDP 53
DHCP-Dienst
7, nutzt UDP 67/68
HTTP
7, nutzt TCP 80
HTTPS
7, nutzt TCP 443
SSH
7, nutzt TCP 22
Firewall nach Port
3 / 4
NAT/PAT
3 / 4
Merksatz:
Port = Schicht 4.
Dienst = höhere Schicht.
Was Ports nicht leisten
Ports lösen nicht automatisch:
- Namensauflösung
- Authentifizierung
- Verschlüsselung
- Benutzerrechte
- Dienstkonfiguration
- Zertifikatsprüfung
- Anwendungslogik
- Routing
- VLAN-Zuordnung
Ports sagen nur:
welcher Dienst angesprochen werden soll.
Merksatz:
Port erreichbar heißt nicht:
Anwendung korrekt.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist ein Port?
- Warum braucht man Ports?
- Was ist der Unterschied zwischen IP-Adresse und Port?
- Was ist der Unterschied zwischen Switch-Port und TCP-Port?
- In welchem Bereich liegen Portnummern?
- Was sind Well-Known Ports?
- Was sind Ephemeral Ports?
- Welche Ports nutzen HTTP, HTTPS, SSH, DNS und DHCP?
- Warum muss man bei Portfreigaben TCP und UDP unterscheiden?
- Was bedeutet offener, geschlossener oder gefilterter Port?
- Warum kann Ping funktionieren, aber ein Dienst nicht?
- Warum sollte man nur notwendige Ports öffnen?
Typische Prüfungsfallen
Port gehört zu Schicht 4.
Dienst gehört zu höheren Schichten.
IP-Adresse zeigt zum Gerät.
Port zeigt zum Dienst.
Switch-Port ist nicht TCP-Port.
TCP-Port und UDP-Port sind getrennt.
Portnummern gehen von 0 bis 65535.
Well-Known Ports = 0 bis 1023.
Ephemeral Ports = temporäre Client-Ports.
HTTP = TCP 80.
HTTPS = TCP 443.
SSH = TCP 22.
DNS = UDP 53 und TCP 53.
DHCP = UDP 67 und 68.
NTP = UDP 123.
RDP = TCP 3389.
Ping nutzt ICMP und prüft keine Ports.
Firewall-Regeln brauchen Protokoll und Port.
Portweiterleitung braucht richtiges Protokoll.
Offener Port bedeutet nicht automatisch sichere Anwendung.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Port
logische Dienstnummer auf Schicht 4
TCP-Port
Port für TCP-Kommunikation
UDP-Port
Port für UDP-Kommunikation
Switch-Port
physischer Anschluss am Switch
Quell-Port
Port des Absenders
Ziel-Port
Port des gewünschten Dienstes
Socket
IP-Adresse plus Port
Well-Known Port
Port 0 bis 1023
Registered Port
Port 1024 bis 49151
Ephemeral Port
temporärer Client-Port
LISTEN
Dienst wartet auf Verbindung
ESTABLISHED
Verbindung besteht
offener Port
Dienst erreichbar
geschlossener Port
kein Dienst lauscht
gefilterter Port
Firewall oder Filter blockiert
Portweiterleitung
externer Port wird intern weitergeleitet
Portscan
Prüfung erreichbarer Ports
IHK-sichere Kurzformulierung
Ports sind logische Dienstnummern auf OSI-Schicht 4. Sie werden zusammen mit TCP oder UDP verwendet, um Daten auf einem Gerät dem richtigen Dienst zuzuordnen. Eine IP-Adresse identifiziert das Gerät, der Port identifiziert den Dienst auf diesem Gerät. Portnummern reichen von 0 bis 65535 und werden in Well-Known Ports, Registered Ports und Dynamic beziehungsweise Ephemeral Ports eingeteilt. TCP- und UDP-Ports sind getrennt zu betrachten. Firewall-Regeln und Portweiterleitungen müssen deshalb immer das richtige Protokoll und den richtigen Port berücksichtigen.
Merksätze
Port = logische Dienstnummer.
Port gehört zu Schicht 4.
IP bringt zum Gerät.
Port bringt zum Dienst.
Switch-Port ist physisch.
TCP-/UDP-Port ist logisch.
TCP-Port und UDP-Port sind nicht dasselbe.
Portnummern gehen von 0 bis 65535.
Well-Known Ports = 0 bis 1023.
Registered Ports = 1024 bis 49151.
Ephemeral Ports = 49152 bis 65535.
Ziel-Port zeigt den Dienst.
Quell-Port hilft bei der Rückzuordnung.
Socket = IP-Adresse plus Port.
LISTEN = Dienst wartet.
ESTABLISHED = Verbindung steht.
HTTP = TCP 80.
HTTPS = TCP 443.
SSH = TCP 22.
DNS = UDP 53 und TCP 53.
DHCP = UDP 67 und 68.
NTP = UDP 123.
RDP = TCP 3389.
Ping prüft keine Ports.
Firewall-Regel braucht Quelle, Ziel, Protokoll und Port.
Portweiterleitung braucht richtiges Protokoll.
Nur notwendige Ports öffnen.
Offener Port heißt nicht automatisch sicher.
Port erreichbar heißt nicht automatisch:
Anwendung funktioniert.
7.4 Fehlersuche auf Schicht 4
Fehler auf OSI-Schicht 4 betreffen den Transport zwischen Anwendungen.
Dabei geht es vor allem um:
- TCP
- UDP
- Ports
- Verbindungsaufbau
- Verbindungszustände
- Firewall-Regeln
- Portweiterleitungen
- NAT/PAT
- Timeouts
- Resets
- Dienst-Erreichbarkeit
Schicht 4 liegt zwischen:
Schicht 3:
IP, Routing, Gateway
und
Schicht 5 bis 7:
Sitzung, Darstellung, Anwendung
Merksatz:
Schicht-4-Fehlersuche = TCP, UDP und Ports prüfen.
Grundidee der Schicht-4-Fehlersuche
Auf Schicht 3 prüft man:
Ist das Zielgerät per IP erreichbar?
Auf Schicht 4 prüft man:
Ist der gewünschte Dienst-Port erreichbar?
Beispiel:
Server per Ping erreichbar:
ja
HTTPS auf TCP 443 erreichbar:
nein
Dann ist die reine IP-Erreichbarkeit nicht das Problem.
Man muss TCP-Port, Firewall, Dienst oder Portweiterleitung prüfen.
Merksatz:
IP erreichbar heißt nicht automatisch:
Port erreichbar.
Schicht 3 und Schicht 4 unterscheiden
Frage
Schicht
Hat der Client eine IP-Adresse?
3
Ist das Gateway erreichbar?
3
Gibt es eine Route zum Ziel?
3
Funktioniert Ping auf die IP?
3
Ist TCP 443 offen?
4
Ist UDP 53 erreichbar?
4
Kommt der TCP-Handshake zustande?
4
Läuft der Webdienst korrekt?
7
Merksatz:
IP = Schicht 3.
Port = Schicht 4.
Dienstinhalt = Schicht 7.
Typische Schicht-4-Fehler
Typische Fehler auf Schicht 4 sind:
- falscher Ziel-Port
- falsches Protokoll TCP statt UDP
- falsches Protokoll UDP statt TCP
- Dienst lauscht nicht
- Dienst lauscht auf anderer IP-Adresse
- Dienst lauscht auf anderem Port
- Firewall blockiert TCP oder UDP
- TCP-Handshake scheitert
- TCP Reset
- Timeout
- NAT/PAT-Zuordnung falsch
- Portweiterleitung falsch
- Rückweg fehlt
- UDP-Antwort kommt nicht zurück
Merksatz:
Schicht-4-Fehler betreffen Erreichbarkeit von TCP- oder UDP-Diensten.
Reihenfolge bei der Fehlersuche
Eine sinnvolle Reihenfolge ist:
1. Schicht 1 prüfen:
Link, Kabel, Signal
2. Schicht 2 prüfen:
MAC, VLAN, ARP
3. Schicht 3 prüfen:
IP, Gateway, Routing
4. Schicht 4 prüfen:
TCP, UDP, Port
5. Schicht 7 prüfen:
Anwendung, DNS, Authentifizierung, Zertifikat
Merksatz:
Erst IP-Erreichbarkeit prüfen,
dann Port-Erreichbarkeit prüfen.
Fehlerbild: Ping funktioniert, Dienst funktioniert nicht
Beispiel:
ping server funktioniert
Aber:
Webseite über HTTPS funktioniert nicht.
Dann ist das Zielgerät grundsätzlich per IP erreichbar.
Mögliche Ursachen:
- TCP 443 geschlossen
- Firewall blockiert TCP 443
- Webserver läuft nicht
- Webserver hört auf anderem Port
- Dienst hört nur auf localhost
- Reverse Proxy falsch
- TLS-Zertifikat fehlerhaft
- Anwendung abgestürzt
Merksatz:
Ping geht,
Dienst nicht:
Schicht 4 und Schicht 7 prüfen.
Fehlerbild: Port geschlossen
Ein Port ist geschlossen, wenn kein Dienst auf diesem Port lauscht.
Beispiel:
Server erreichbar,
aber TCP 22 geschlossen.
Bedeutung:
Der Host ist erreichbar,
aber SSH läuft dort nicht
oder SSH nutzt einen anderen Port.
Mögliche Ursachen:
- Dienst nicht gestartet
- Dienst deaktiviert
- falscher Port
- Dienst hört nur auf anderer Schnittstelle
- Konfigurationsfehler
- Dienst abgestürzt
Merksatz:
Geschlossener Port heißt:
Host kann erreichbar sein,
Dienst aber nicht.
Fehlerbild: Port gefiltert
Ein Port wirkt gefiltert, wenn keine klare Antwort kommt.
Typisches Verhalten:
Timeout
keine Rückmeldung
Verbindung bleibt hängen
Mögliche Ursachen:
- Firewall verwirft Pakete
- Paketfilter blockiert
- Security-Gruppe blockiert
- NAT-Regel fehlt
- Rückroute fehlt
- Provider blockiert Port
Merksatz:
Gefilterter Port bedeutet oft:
Firewall oder Filter im Weg.
Fehlerbild: Port offen, Anwendung funktioniert trotzdem nicht
Ein offener Port bedeutet nur:
Ein Dienst nimmt Verbindungen an
oder antwortet auf Anfragen.
Das bedeutet nicht automatisch:
Anwendung ist korrekt konfiguriert.
Anmeldung funktioniert.
Zertifikat ist gültig.
Datenbank ist erreichbar.
Webanwendung läuft fehlerfrei.
Beispiel:
TCP 443 offen,
aber Webseite zeigt Fehler 500.
Dann ist Schicht 4 grundsätzlich erreichbar,
aber die Anwendung auf höherer Schicht hat ein Problem.
Merksatz:
Port offen heißt nicht:
Anwendung korrekt.
Fehlerbild: TCP-Handshake scheitert
Der TCP-Verbindungsaufbau besteht aus:
SYN
SYN-ACK
ACK
Wenn dieser Handshake nicht vollständig zustande kommt, kann keine TCP-Verbindung aufgebaut werden.
Mögliche Ursachen:
- SYN kommt nicht beim Server an
- Server antwortet nicht mit SYN-ACK
- SYN-ACK kommt nicht zum Client zurück
- Firewall blockiert eine Richtung
- NAT oder Portweiterleitung falsch
- Dienst lauscht nicht
- Rückroute fehlt
Merksatz:
Kein vollständiger TCP-Handshake = keine TCP-Verbindung.
Fehlerbild: SYN ohne SYN-ACK
Wenn der Client SYN sendet, aber kein SYN-ACK zurückkommt, gibt es mehrere Möglichkeiten.
Mögliche Ursachen:
- Server nicht erreichbar
- Firewall blockiert SYN
- Firewall blockiert SYN-ACK
- Dienst lauscht nicht
- Paket geht auf dem Weg verloren
- NAT-Regel fehlt
- Rückroute fehlt
Wichtig:
Ohne Mitschnitt oder Logs sieht man oft nur einen Timeout.
Merksatz:
SYN ohne Antwort deutet oft auf Filter, Routing oder Dienstproblem hin.
Fehlerbild: TCP Reset
TCP Reset wird mit RST gekennzeichnet.
RST bedeutet:
Verbindung sofort abbrechen.
Mögliche Ursachen:
- Port geschlossen
- Dienst lehnt Verbindung ab
- Anwendung beendet Verbindung
- Firewall sendet Reset
- falsches Protokoll auf richtigem Port
- Server akzeptiert Verbindung nicht
Merksatz:
RST = Verbindung wird aktiv zurückgesetzt.
Fehlerbild: TCP Timeout
Timeout bedeutet:
Eine erwartete Antwort kommt nicht rechtzeitig.
Mögliche Ursachen:
- Firewall verwirft still
- Server antwortet nicht
- Rückweg fehlt
- NAT-Zuordnung fehlt
- Netzwerkverlust
- Dienst überlastet
- falsche Zieladresse
- falscher Port
Merksatz:
Timeout = keine rechtzeitige Antwort.
Fehlerbild: Verbindung wird langsam
Eine TCP-Verbindung kann funktionieren, aber sehr langsam sein.
Mögliche Ursachen:
- Paketverlust
- viele Retransmissions
- hohe Latenz
- MTU-Probleme
- Überlastung
- zu kleine TCP-Fenstergröße
- Staukontrolle greift
- Firewall oder Proxy bremst
Merksatz:
Langsame TCP-Verbindung kann Paketverlust oder MTU-Problem bedeuten.
Fehlerbild: TCP Retransmissions
Retransmission bedeutet:
TCP sendet Daten erneut.
Das passiert, wenn TCP annimmt, dass Daten verloren gegangen sind.
Mögliche Ursachen:
- Paketverlust
- Überlastung
- schlechte Verbindung
- fehlerhafte Netzkomponente
- MTU-Probleme
- Funkprobleme
- Duplex- oder Linkproblem
Merksatz:
Viele Retransmissions deuten auf Übertragungsprobleme hin.
Fehlerbild: UDP-Dienst antwortet nicht
UDP hat keinen Verbindungsaufbau.
Wenn ein UDP-Dienst nicht antwortet, ist die Ursache oft schwerer zu erkennen.
Mögliche Ursachen:
- falscher UDP-Port
- Dienst läuft nicht
- Firewall blockiert UDP
- Antwortweg fehlt
- NAT-Zuordnung abgelaufen
- Anfrage ist ungültig
- Dienst antwortet nur auf bestimmte Quellen
- Paketverlust
Merksatz:
UDP-Probleme brauchen oft Logs oder Mitschnitt.
TCP und UDP bei Firewalls
Firewalls unterscheiden zwischen TCP und UDP.
Beispiel DNS:
UDP 53
TCP 53
Wenn nur TCP 53 erlaubt ist, funktionieren normale DNS-Anfragen über UDP möglicherweise nicht.
Wenn nur UDP 53 erlaubt ist, können große DNS-Antworten oder Zonentransfers scheitern.
Merksatz:
Firewall-Regel muss Protokoll und Port korrekt enthalten.
Fehlerbild: Falsches Protokoll
Ein häufiger Fehler ist:
TCP erlaubt,
aber Dienst nutzt UDP
Oder:
UDP weitergeleitet,
aber Dienst nutzt TCP
Beispiel:
DNS benötigt häufig UDP 53.
Nur TCP 53 wurde freigegeben.
Folge:
DNS funktioniert nicht oder nur teilweise.
Merksatz:
Richtige Portnummer reicht nicht,
TCP oder UDP muss ebenfalls stimmen.
Fehlerbild: Portweiterleitung funktioniert nicht
Eine Portweiterleitung leitet einen externen Port an ein internes Ziel weiter.
Mögliche Fehler:
- falscher externer Port
- falscher interner Port
- falsche interne IP-Adresse
- falsches Protokoll TCP/UDP
- Dienst läuft intern nicht
- Firewall blockiert am Router
- Firewall blockiert am Server
- CGNAT beim Provider
- DNS zeigt auf falsche öffentliche IP
- Hairpin NAT fehlt bei internem Test
Merksatz:
Portweiterleitung braucht richtige IP,
richtigen Port,
richtiges Protokoll
und laufenden Dienst.
Fehlerbild: Dienst hört nur auf localhost
Ein Dienst kann so konfiguriert sein, dass er nur lokal erreichbar ist.
Beispiel:
Dienst hört auf:
127.0.0.1:8080
Dann ist er nur vom eigenen Gerät aus erreichbar.
Von anderen Geräten im Netzwerk funktioniert der Zugriff nicht.
Richtig wäre je nach Bedarf zum Beispiel:
0.0.0.0:8080
oder
konkrete Server-IP:8080
Merksatz:
localhost bedeutet:
nur lokal auf dem eigenen Gerät.
Fehlerbild: Dienst hört auf falscher Schnittstelle
Ein Server kann mehrere IP-Adressen haben.
Beispiel:
192.168.10.50
10.0.0.50
Ein Dienst kann nur auf einer dieser Adressen lauschen.
Wenn Clients die andere IP-Adresse nutzen, ist der Dienst dort nicht erreichbar.
Merksatz:
Dienst muss auf der richtigen IP-Adresse lauschen.
Fehlerbild: Dienst nutzt anderen Port
Ein Dienst kann auf einem anderen Port konfiguriert sein als erwartet.
Beispiele:
Weboberfläche auf TCP 8080 statt TCP 80
HTTPS auf TCP 8443 statt TCP 443
SSH auf TCP 2222 statt TCP 22
Dann schlägt der Zugriff auf den Standardport fehl.
Merksatz:
Standardport prüfen,
aber tatsächliche Dienstkonfiguration beachten.
Fehlerbild: Firewall auf dem Server blockiert
Auch wenn Netzwerk und Router korrekt sind, kann die lokale Firewall auf dem Server blockieren.
Mögliche Systeme:
Windows Defender Firewall
Linux-Firewall
Host-Firewall
Sicherheitssoftware
Cloud-Security-Groups
Typische Prüfung:
Ist der Dienst lokal erreichbar?
Ist der Port auf dem Server erlaubt?
Darf die Client-Quelle zugreifen?
Merksatz:
Nicht nur Netzwerk-Firewall prüfen,
auch Host-Firewall prüfen.
Fehlerbild: Stateful Firewall blockiert
Eine Stateful Firewall merkt sich Verbindungszustände.
Bei TCP kann sie den Handshake und bestehende Verbindungen verfolgen.
Probleme entstehen bei:
- asymmetrischem Routing
- fehlender Rückroute
- NAT über anderen Weg
- ungültigen TCP-Zuständen
- Verbindung läuft über andere Firewall zurück
Merksatz:
Stateful Firewall muss Hin- und Rückrichtung richtig sehen.
Fehlerbild: NAT/PAT-Zuordnung fehlt
Bei PAT werden Verbindungen über Ports zugeordnet.
Wenn die Zuordnung fehlt oder abläuft, kann Rückverkehr nicht richtig zugestellt werden.
Besonders bei UDP kann das auftreten, weil UDP keinen echten Verbindungszustand hat.
Mögliche Folgen:
- Antwort kommt nicht an
- Verbindung bricht ab
- Dienst wirkt instabil
Merksatz:
PAT braucht passende Port-Zuordnung für den Rückverkehr.
Fehlerbild: MTU-Problem wirkt wie Schicht-4-Problem
Manchmal funktionieren kleine Verbindungen, aber größere Datenübertragungen hängen.
Mögliche Ursache:
MTU-Problem
Symptome:
Ping mit kleiner Größe funktioniert.
Webseite lädt teilweise.
VPN funktioniert instabil.
Dateiübertragung bleibt hängen.
TLS-Verbindung hängt beim Aufbau.
Obwohl die Ursache tiefer liegen kann, sieht es oft wie ein TCP- oder Anwendungsproblem aus.
Merksatz:
Teilweise funktionierende Verbindungen können auf MTU-Probleme hinweisen.
Werkzeuge für Schicht-4-Fehlersuche
Typische Werkzeuge und Informationen:
Werkzeug / Anzeige
Nutzen
Porttest
prüft TCP- oder UDP-Port
netstat / ss
zeigt lauschende Dienste und Verbindungen
Firewall-Logs
zeigt erlaubte oder blockierte Verbindungen
Dienststatus
zeigt, ob Dienst läuft
Packet Capture
zeigt SYN, ACK, RST, UDP-Anfragen
NAT-Tabelle
zeigt Port-Zuordnungen
Portscan
zeigt offene Ports, nur mit Berechtigung
Anwendungslog
zeigt Fehler des Dienstes
Merksatz:
Schicht 4 prüft man mit Porttests, Logs und Mitschnitten.
Porttest
Ein Porttest prüft, ob ein bestimmter TCP- oder UDP-Port erreichbar ist.
Beispielhafte Prüffragen:
Ist TCP 443 erreichbar?
Ist TCP 22 erreichbar?
Ist UDP 53 erreichbar?
Antwortet der Dienst?
Kommt ein Timeout?
Kommt ein Reset?
Wichtig:
Ping ist kein Porttest.
Merksatz:
Porttest prüft Schicht 4,
Ping prüft ICMP auf Schicht 3.
Lauschende Dienste prüfen
Auf einem Server sollte man prüfen:
Lauscht der Dienst?
Auf welchem Port lauscht er?
Auf welcher IP-Adresse lauscht er?
Nutzt er TCP oder UDP?
Ist er nur lokal erreichbar?
Ist der Dienst wirklich gestartet?
Typische Zustände:
LISTEN
ESTABLISHED
Merksatz:
Dienst muss laufen und auf der richtigen Adresse lauschen.
Packet Capture bei TCP
In einem Mitschnitt kann man erkennen:
- SYN
- SYN-ACK
- ACK
- RST
- FIN
- Retransmissions
- Timeouts
- Quell-Port
- Ziel-Port
Typische Interpretation:
SYN geht raus,
keine Antwort:
Filter, Routing oder Dienstproblem.
SYN, SYN-ACK, ACK:
Verbindung aufgebaut.
RST:
Verbindung wird zurückgesetzt.
Merksatz:
TCP-Mitschnitt zeigt den Verbindungsaufbau sehr gut.
Packet Capture bei UDP
Bei UDP sieht man keinen Handshake.
Man prüft:
- geht Anfrage raus?
- ist Ziel-Port korrekt?
- kommt Antwort zurück?
- ist Quell-Port passend?
- blockiert Firewall?
- antwortet Dienst überhaupt?
Beispiel DNS:
Anfrage an UDP 53
Antwort von UDP 53 zurück
Merksatz:
Bei UDP vergleicht man Anfrage und Antwort.
Firewall-Logs prüfen
Firewall-Logs können zeigen:
- Quelle
- Ziel
- Protokoll
- Port
- Aktion
- Zeit
- Regelname
- Interface oder Zone
Wichtige Fragen:
Wird die Verbindung erlaubt?
Wird sie blockiert?
Welche Regel greift?
Ist TCP oder UDP betroffen?
Gibt es Rückverkehr?
Merksatz:
Firewall-Logs zeigen oft,
ob Schicht 4 blockiert wird.
NAT- und Portweiterleitungsprüfung
Bei NAT oder Portweiterleitung prüft man:
- externe IP korrekt?
- kein CGNAT?
- externer Port korrekt?
- internes Ziel korrekt?
- internes Ziel erreichbar?
- TCP oder UDP korrekt?
- Firewall erlaubt?
- Dienst läuft?
- Rückweg vorhanden?
- Hairpin NAT nötig?
Merksatz:
NAT-Fehlersuche braucht Port,
Protokoll,
Ziel-IP
und Rückweg.
Typische Prüf-Reihenfolge bei Dienstproblemen
Eine einfache Reihenfolge:
1. Ziel-IP erreichbar?
2. Route und Gateway korrekt?
3. richtiger Port?
4. richtiges Protokoll TCP oder UDP?
5. Dienst läuft?
6. Dienst lauscht auf richtiger IP?
7. lokale Server-Firewall erlaubt?
8. Netzwerk-Firewall erlaubt?
9. NAT oder Portweiterleitung korrekt?
10. Anwendung selbst prüfen
Merksatz:
Erst IP,
dann Port,
dann Dienst.
Beispiel: HTTPS intern nicht erreichbar
Fehlerbild:
Client erreicht Server-IP per Ping.
HTTPS auf TCP 443 funktioniert nicht.
Prüfung:
1. Hört der Webserver auf TCP 443?
2. Ist TCP 443 auf der Server-Firewall erlaubt?
3. Ist Netzwerk-Firewall im Weg?
4. Nutzt der Dienst vielleicht TCP 8443?
5. Gibt es TLS- oder Anwendungsfehler?
6. Funktioniert Zugriff lokal auf dem Server?
Merksatz:
Ping geht,
HTTPS nicht:
TCP 443 und Dienst prüfen.
Beispiel: DNS antwortet nicht
Fehlerbild:
Client kann externe IPs erreichen,
aber Namen werden nicht aufgelöst.
Prüfung:
1. DNS-Server-IP korrekt?
2. DNS-Server per IP erreichbar?
3. UDP 53 erlaubt?
4. TCP 53 bei Bedarf erlaubt?
5. DNS-Dienst läuft?
6. DNS-Zone korrekt?
7. Firewall-Logs prüfen.
Merksatz:
DNS-Fehler können Port- und Dienstfehler sein.
Beispiel: SSH von außen nicht erreichbar
Fehlerbild:
SSH funktioniert intern,
aber nicht von außen.
Mögliche Ursachen:
- Portweiterleitung fehlt
- falscher externer Port
- falsches Ziel intern
- CGNAT
- Firewall blockiert
- SSH hört nur intern
- Zugriff nur von bestimmten IPs erlaubt
- Provider blockiert
- DNS zeigt falsch
Merksatz:
Von außen braucht man öffentliche Erreichbarkeit,
NAT-Regel,
Firewall
und laufenden Dienst.
Beispiel: UDP-VPN instabil
Fehlerbild:
VPN verbindet manchmal,
bricht aber ab oder bleibt instabil.
Mögliche Ursachen:
- UDP wird gefiltert
- NAT-Zuordnung läuft ab
- MTU-Problem
- Paketverlust
- Firewall-Zeitlimit
- falscher Port
- Provider filtert
- asymmetrisches Routing
Merksatz:
UDP-VPN-Probleme können NAT-, Firewall- oder MTU-Ursachen haben.
Schicht 4 oder Schicht 7?
Nicht jedes Dienstproblem ist ein Portproblem.
Beobachtung
eher Ursache
TCP-Verbindung kommt nicht zustande
Schicht 4 / Firewall
TCP 443 offen, aber Zertifikatsfehler
Schicht 6 / 7
TCP 443 offen, aber HTTP 500
Anwendung
DNS-Port erreichbar, aber falsche Antwort
DNS-Konfiguration
SSH-Port offen, aber Login scheitert
Benutzer, Schlüssel, Rechte
Datenbank-Port offen, aber Anmeldung scheitert
Anwendung / Rechte
Merksatz:
Port erreichbar bedeutet nur:
Transportweg zum Dienst ist möglich.
Schicht 4 oder Firewall?
Firewalls können auf Schicht 3 und 4 filtern.
Typische Regelbestandteile:
Quelle
Ziel
Protokoll
Port
Richtung
Aktion
Beispiel:
Quelle:
Mitarbeiter-Netz
Ziel:
Server-Netz
Protokoll:
TCP
Port:
443
Aktion:
erlauben
Merksatz:
Firewall-Regeln müssen Quelle, Ziel, Protokoll und Port passend erlauben.
Schicht 4 oder NAT?
Wenn ein Dienst intern funktioniert, aber extern nicht, ist NAT oder Portweiterleitung ein häufiger Prüfpunkte.
Typische Unterscheidung:
Beobachtung
mögliche Ursache
intern geht, extern nicht
NAT, Firewall, CGNAT, DNS
extern kommt falscher Dienst
falsche Portweiterleitung
nur TCP geht, UDP nicht
falsches Protokoll freigegeben
Rückverkehr fehlt
NAT oder Rückroute
Test intern über Domain geht nicht
Hairpin NAT oder Split DNS
Merksatz:
Externe Dienstprobleme oft mit NAT und Firewall prüfen.
Was Schicht-4-Fehlersuche nicht löst
Wenn TCP oder UDP korrekt funktioniert, können trotzdem Anwendungsfehler bestehen.
Dann prüft man:
- Anwendungskonfiguration
- Benutzerrechte
- Zertifikate
- TLS-Version
- Datenbankverbindung
- Reverse Proxy
- DNS-Inhalte
- API-Endpunkte
- Logs der Anwendung
Merksatz:
Schicht 4 transportiert,
Schicht 7 verarbeitet.
Einordnung in das OSI-Modell
Thema
Schicht
Kabel und Link
1
MAC und VLAN
2
IP und Routing
3
TCP und UDP
4
Ports
4
TCP-Handshake
4
Firewall nach IP
3
Firewall nach Port
4
TLS-Zertifikat
6 / 7
DNS-Dienst
7
Webanwendung
7
Merksatz:
Schicht 4 sagt:
Kommt der Transport zum Dienst zustande?
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was prüft man auf Schicht 4?
- Warum reicht Ping nicht als Diensttest?
- Was bedeutet offener Port?
- Was bedeutet geschlossener Port?
- Was bedeutet gefilterter Port?
- Warum muss man TCP und UDP unterscheiden?
- Warum kann TCP 443 blockiert sein, obwohl Ping funktioniert?
- Was passiert beim TCP-Handshake?
- Was bedeutet RST?
- Was bedeutet Timeout?
- Warum ist UDP-Fehlersuche schwieriger als TCP-Fehlersuche?
- Welche Rolle spielen Firewall-Regeln bei Schicht 4?
- Welche Rolle spielen NAT und Portweiterleitung?
Typische Prüfungsfallen
Ping prüft keine TCP- oder UDP-Ports.
ICMP hat keine Ports.
IP erreichbar heißt nicht:
Dienst erreichbar.
Port erreichbar heißt nicht:
Anwendung korrekt.
TCP und UDP sind getrennt zu betrachten.
Gleiche Portnummer bei TCP und UDP ist nicht dasselbe.
TCP-Handshake = SYN, SYN-ACK, ACK.
Kein SYN-ACK kann Firewall-, Routing- oder Dienstproblem sein.
RST bedeutet aktiver Abbruch.
Timeout bedeutet keine rechtzeitige Antwort.
UDP hat keinen Handshake.
UDP-Fehler sind oft schwerer zu erkennen.
Firewall-Regel braucht Protokoll und Port.
Portweiterleitung braucht richtiges Protokoll.
Dienst muss auf richtiger IP und richtigem Port lauschen.
localhost ist nur lokal.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Schicht-4-Fehler
Fehler bei TCP, UDP oder Ports
Porttest
Prüfung eines TCP- oder UDP-Ports
offener Port
Dienst ist grundsätzlich erreichbar
geschlossener Port
kein Dienst lauscht
gefilterter Port
Firewall oder Filter blockiert
TCP-Handshake
Verbindungsaufbau mit SYN, SYN-ACK, ACK
SYN
TCP-Verbindungsanfrage
SYN-ACK
Antwort und Bestätigung auf SYN
ACK
Bestätigung
RST
sofortiger TCP-Abbruch
Timeout
Antwort kommt nicht rechtzeitig
Retransmission
erneute Übertragung
LISTEN
Dienst wartet auf Verbindung
ESTABLISHED
Verbindung besteht
localhost
eigenes Gerät, 127.0.0.1
Host-Firewall
Firewall direkt auf dem Server
Portweiterleitung
externer Port wird intern weitergeleitet
NAT-Tabelle
Zuordnung übersetzter Verbindungen
IHK-sichere Kurzformulierung
Fehlersuche auf OSI-Schicht 4 bedeutet, TCP, UDP und Ports zu prüfen. Während Schicht 3 die IP-Erreichbarkeit eines Zielgeräts betrachtet, prüft Schicht 4, ob der gewünschte Dienst-Port erreichbar ist. Typische Schicht-4-Probleme sind geschlossene oder gefilterte Ports, fehlgeschlagene TCP-Handshakes, Timeouts, TCP-Resets, falsche TCP-/UDP-Freigaben, blockierende Firewalls oder fehlerhafte NAT- und Portweiterleitungen. Ein erfolgreicher Ping beweist nicht, dass ein TCP- oder UDP-Dienst erreichbar ist, und ein erreichbarer Port beweist nicht automatisch, dass die Anwendung korrekt funktioniert.
Merksätze
Schicht-4-Fehlersuche = TCP, UDP und Ports prüfen.
IP erreichbar heißt nicht:
Port erreichbar.
Ping prüft ICMP,
nicht TCP oder UDP.
Porttest prüft Schicht 4.
Dienstproblem = IP, Port, Protokoll, Firewall und Anwendung prüfen.
TCP und UDP getrennt betrachten.
Gleiche Portnummer bei TCP und UDP ist nicht dasselbe.
TCP-Handshake = SYN, SYN-ACK, ACK.
Kein Handshake = keine TCP-Verbindung.
RST = aktiver Abbruch.
Timeout = keine rechtzeitige Antwort.
Offener Port = Dienst grundsätzlich erreichbar.
Geschlossener Port = kein Dienst lauscht.
Gefilterter Port = Firewall oder Filter im Weg.
UDP hat keinen Handshake.
UDP braucht Anfrage-Antwort-Prüfung.
Firewall-Regel braucht Quelle, Ziel, Protokoll und Port.
Portweiterleitung braucht richtige IP,
richtigen Port
und richtiges Protokoll.
Dienst muss auf richtiger Schnittstelle lauschen.
localhost ist nur lokal.
Erst IP,
dann Port,
dann Dienst.
7.5 Merksätze und Prüfungswissen zu OSI-Schicht 4
Diese Seite fasst die wichtigsten Inhalte zur OSI-Schicht 4 zusammen.
OSI-Schicht 4 heißt:
Transportschicht
Die Hauptaufgabe von Schicht 4 ist:
Daten zwischen Anwendungen auf Endgeräten transportieren.
Dabei sind besonders wichtig:
- TCP
- UDP
- Ports
- Verbindungsaufbau
- Zuverlässigkeit
- Dienst-Erreichbarkeit
- Firewall-Regeln nach Port
- NAT/PAT mit Port-Zuordnung
Merksatz:
Schicht 4 = TCP, UDP und Ports.
Grundidee von Schicht 4
Schicht 3 bringt Daten zum richtigen Gerät.
Schicht 4 bringt Daten zur richtigen Anwendung auf diesem Gerät.
Beispiel:
IP-Adresse:
192.168.10.50
Port:
443
Zusammen:
192.168.10.50:443
Das bedeutet:
Gerät 192.168.10.50
Dienst auf Port 443
Merksatz:
IP bringt zum Gerät.
Port bringt zum Dienst.
Schicht 3 und Schicht 4 unterscheiden
Frage
Schicht
Welche IP-Adresse hat das Ziel?
3
Gibt es eine Route zum Ziel?
3
Ist das Gateway erreichbar?
3
Funktioniert Ping auf die IP?
3
Ist TCP 443 erreichbar?
4
Ist UDP 53 erreichbar?
4
Kommt der TCP-Handshake zustande?
4
Läuft die Webanwendung korrekt?
7
Merksatz:
IP-Erreichbarkeit = Schicht 3.
Port-Erreichbarkeit = Schicht 4.
TCP
TCP steht für:
Transmission Control Protocol
TCP ist:
verbindungsorientiert
zuverlässig
reihenfolgetreu
bestätigungsbasiert
TCP sorgt dafür, dass Daten vollständig und in richtiger Reihenfolge bei der Anwendung ankommen.
Merksatz:
TCP = zuverlässig und verbindungsorientiert.
UDP
UDP steht für:
User Datagram Protocol
UDP ist:
verbindungslos
schlank
schnell
ohne eingebaute Zustellgarantie
UDP sendet Datagramme ohne vorherigen Verbindungsaufbau.
Merksatz:
UDP = schnell und verbindungslos.
TCP und UDP vergleichen
Merkmal
TCP
UDP
Verbindungsaufbau
ja
nein
Verbindung
verbindungsorientiert
verbindungslos
Zustellgarantie
ja
nein
Reihenfolge
wird sichergestellt
nicht sichergestellt
Bestätigungen
ja
nein
erneute Übertragung
ja
nein
Overhead
höher
geringer
Datenform
Segment
Datagramm
Merksatz:
TCP kontrolliert.
UDP sendet schlank.
Verbindungsorientiert
Verbindungsorientiert bedeutet:
Vor der Datenübertragung wird eine Verbindung aufgebaut.
TCP arbeitet verbindungsorientiert.
Der Verbindungsaufbau erfolgt mit:
SYN
SYN-ACK
ACK
Merksatz:
Verbindungsorientiert = Verbindung vor Datenübertragung.
Verbindungslos
Verbindungslos bedeutet:
Es wird keine feste Verbindung aufgebaut.
UDP sendet direkt ein Datagramm an Ziel-IP und Ziel-Port.
UDP prüft nicht selbst:
ob das Datagramm angekommen ist
ob die Reihenfolge stimmt
ob eine erneute Übertragung nötig ist
Merksatz:
Verbindungslos = senden ohne Handshake.
TCP-Drei-Wege-Handshake
Der TCP-Verbindungsaufbau besteht aus drei Schritten.
Schritt
Richtung
Bedeutung
1
Client → Server
SYN
2
Server → Client
SYN-ACK
3
Client → Server
ACK
Nach dem dritten Schritt ist die TCP-Verbindung aufgebaut.
Merksatz:
TCP-Handshake = SYN, SYN-ACK, ACK.
SYN
SYN steht für:
Synchronize
SYN startet den TCP-Verbindungsaufbau.
Vereinfacht sagt der Client:
Ich möchte eine Verbindung aufbauen.
Merksatz:
SYN = Start der TCP-Verbindung.
SYN-ACK
SYN-ACK ist die Antwort des Servers auf das SYN.
Der Server sagt vereinfacht:
Ich habe deine Anfrage erhalten
und bin bereit.
Merksatz:
SYN-ACK = Antwort und Bestätigung.
ACK
ACK steht für:
Acknowledgement
ACK bedeutet:
Bestätigung
Der Client bestätigt damit das SYN-ACK des Servers.
Merksatz:
ACK = Bestätigung.
TCP-Zuverlässigkeit
TCP bietet Zuverlässigkeit durch:
- Sequenznummern
- Bestätigungsnummern
- ACKs
- erneute Übertragung
- Reihenfolgesicherung
- Flusskontrolle
- Staukontrolle
Dadurch eignet sich TCP gut für Daten, die vollständig und korrekt ankommen müssen.
Merksatz:
TCP nutzt mehrere Mechanismen für zuverlässigen Transport.
Sequenznummern
Sequenznummern helfen TCP, Daten in die richtige Reihenfolge zu bringen.
Sie zeigen:
an welcher Stelle im Datenstrom ein Teil gehört.
Damit kann TCP erkennen:
Daten fehlen.
Daten kamen doppelt.
Daten kamen in falscher Reihenfolge.
Merksatz:
Sequenznummer = Position im TCP-Datenstrom.
Bestätigungen
TCP bestätigt empfangene Daten mit ACKs.
Der Empfänger teilt dem Sender mit:
welche Daten angekommen sind
und
welche Daten als Nächstes erwartet werden.
Wenn eine Bestätigung fehlt, können Daten erneut gesendet werden.
Merksatz:
TCP bestätigt empfangene Daten.
Retransmission
Retransmission bedeutet:
erneute Übertragung
TCP sendet Daten erneut, wenn sie vermutlich verloren gegangen sind.
Mögliche Ursachen:
- Paketverlust
- Timeout
- beschädigte Daten
- Überlastung
- schlechte Verbindung
Merksatz:
Retransmission = TCP sendet erneut.
Flusskontrolle
Flusskontrolle schützt den Empfänger.
Der Empfänger signalisiert, wie viele Daten er aufnehmen kann.
Dadurch soll der Sender den Empfänger nicht überlasten.
Merksatz:
Flusskontrolle schützt den Empfänger.
Staukontrolle
Staukontrolle schützt das Netzwerk.
TCP kann die Sendeleistung anpassen, wenn Paketverlust oder Überlastung erkannt wird.
Ziel:
Das Netzwerk soll nicht weiter überlastet werden.
Merksatz:
Staukontrolle schützt das Netzwerk.
TCP-Verbindungsabbau
TCP-Verbindungen können geordnet beendet werden.
Wichtige Steuerbits:
FIN
ACK
FIN bedeutet:
Verbindung geordnet beenden.
RST bedeutet:
Verbindung sofort abbrechen.
Merksatz:
FIN beendet geordnet.
RST bricht sofort ab.
TCP-Zustände
Wichtige TCP-Zustände:
Zustand
Bedeutung
LISTEN
Dienst wartet auf eingehende Verbindung
SYN-SENT
Client hat SYN gesendet
SYN-RECEIVED
Server hat SYN erhalten und SYN-ACK gesendet
ESTABLISHED
Verbindung besteht
FIN-WAIT
Verbindung wird beendet
TIME-WAIT
Wartephase nach Verbindungsende
CLOSED
Verbindung ist geschlossen
Merksatz:
LISTEN = Dienst wartet.
ESTABLISHED = Verbindung steht.
TCP-Segment
Die Datenform von TCP auf Schicht 4 heißt:
Segment
Ein TCP-Segment enthält unter anderem:
- Quell-Port
- Ziel-Port
- Sequenznummer
- Bestätigungsnummer
- Steuerbits
- Prüfsumme
- Nutzdaten
Merksatz:
TCP arbeitet mit Segmenten.
UDP-Datagramm
Die Datenform von UDP auf Schicht 4 heißt:
Datagramm
Ein UDP-Datagramm enthält unter anderem:
- Quell-Port
- Ziel-Port
- Länge
- Prüfsumme
- Nutzdaten
Merksatz:
UDP arbeitet mit Datagrammen.
Segment und Datagramm unterscheiden
Protokoll
Datenform
TCP
Segment
UDP
Datagramm
Prüfungsfalle:
In der Umgangssprache sagt man oft „Paket“.
Fachlich ist TCP auf Schicht 4 ein Segment.
UDP auf Schicht 4 ist ein Datagramm.
Merksatz:
TCP = Segment.
UDP = Datagramm.
Ports
Ein Port ist eine logische Dienstnummer auf Schicht 4.
Ports unterscheiden Dienste auf einem Gerät.
Beispiel:
192.168.10.50:22
192.168.10.50:80
192.168.10.50:443
Gleiche IP-Adresse,
aber unterschiedliche Dienste.
Merksatz:
Port = Dienstnummer.
Port ist nicht gleich Switch-Port
Begriff
Bedeutung
Schicht
Switch-Port
physischer Anschluss
1 / 2
TCP-Port
logische Dienstnummer
4
UDP-Port
logische Dienstnummer
4
Merksatz:
Switch-Port = physisch.
TCP-/UDP-Port = logisch.
Portnummern
Portnummern gehen von:
0
bis:
65535
Grund:
Ports sind 16 Bit groß.
16 Bit ermöglichen:
65536 Werte
Merksatz:
Portnummern = 0 bis 65535.
Portbereiche
Bereich
Portnummern
Bedeutung
Well-Known Ports
0 – 1023
bekannte Standarddienste
Registered Ports
1024 – 49151
registrierte Anwendungsports
Dynamic / Ephemeral Ports
49152 – 65535
temporäre Client-Ports
Merksatz:
Well-Known = bekannt.
Ephemeral = temporär.
Quell-Port und Ziel-Port
Ein TCP- oder UDP-Header enthält:
Quell-Port
Ziel-Port
Beispiel HTTPS:
Client:
192.168.10.20:52344
Server:
93.184.216.34:443
Dabei gilt:
Ziel-Port 443 = HTTPS-Dienst
Quell-Port 52344 = temporärer Client-Port
Merksatz:
Ziel-Port zeigt den Dienst.
Quell-Port hilft bei der Rückzuordnung.
Socket
Ein Socket besteht aus:
IP-Adresse
und
Port
Beispiel:
192.168.10.20:52344
Eine TCP-Verbindung wird eindeutig durch folgende Kombination:
Quell-IP
Quell-Port
Ziel-IP
Ziel-Port
Protokoll
Merksatz:
Socket = IP-Adresse plus Port.
TCP-Port und UDP-Port getrennt betrachten
Die gleiche Portnummer kann bei TCP und UDP getrennt existieren.
Beispiel:
TCP 53
UDP 53
Beide können DNS betreffen,
sind aber technisch unterschiedliche Transportwege.
Eine Firewall-Regel für TCP 53 erlaubt nicht automatisch UDP 53.
Merksatz:
Portnummer immer mit TCP oder UDP nennen.
Wichtige Standardports
Dienst
Protokoll
Port
FTP Steuerverbindung
TCP
21
SSH
TCP
22
Telnet
TCP
23
SMTP
TCP
25
DNS
TCP / UDP
53
DHCP Server
UDP
67
DHCP Client
UDP
68
HTTP
TCP
80
POP3
TCP
110
NTP
UDP
123
IMAP
TCP
143
HTTPS
TCP
443
IMAPS
TCP
993
POP3S
TCP
995
RDP
TCP
3389
Merksatz:
HTTP 80,
HTTPS 443,
SSH 22,
DNS 53,
DHCP 67/68.
DNS
DNS nutzt häufig:
UDP 53
DNS kann aber auch nutzen:
TCP 53
Beispiele für TCP bei DNS:
- große Antworten
- Zonentransfers
- bestimmte DNSSEC-Fälle
Merksatz:
DNS = UDP 53 häufig,
TCP 53 ebenfalls möglich.
DHCP
DHCP nutzt UDP.
Wichtige Ports:
Rolle
Protokoll
Port
DHCP-Server
UDP
67
DHCP-Client
UDP
68
Merksatz:
DHCP = UDP 67 und 68.
HTTP und HTTPS
HTTP nutzt typischerweise:
TCP 80
HTTPS nutzt typischerweise:
TCP 443
HTTPS nutzt zusätzlich TLS für Verschlüsselung.
Merksatz:
HTTP = TCP 80.
HTTPS = TCP 443.
SSH und Telnet
SSH nutzt:
TCP 22
Telnet nutzt:
TCP 23
Wichtiger Unterschied:
SSH ist verschlüsselt.
Telnet ist unverschlüsselt.
Merksatz:
SSH statt Telnet verwenden.
E-Mail-Protokolle
Protokoll
Zweck
typischer Port
SMTP
E-Mail senden / transportieren
TCP 25
POP3
E-Mail abrufen
TCP 110
IMAP
E-Mail abrufen und verwalten
TCP 143
IMAPS
IMAP verschlüsselt
TCP 993
POP3S
POP3 verschlüsselt
TCP 995
Merksatz:
SMTP sendet.
POP3 und IMAP holen ab.
NTP
NTP steht für:
Network Time Protocol
Typischer Port:
UDP 123
NTP dient der Zeitsynchronisation.
Wichtig für:
- Zertifikate
- Kerberos
- Logs
- Monitoring
- Fehlersuche
Merksatz:
NTP = UDP 123.
RDP
RDP steht für:
Remote Desktop Protocol
Typischer Port:
TCP 3389
RDP dient dem grafischen Fernzugriff auf Windows-Systeme.
Wichtig:
RDP nicht ungeschützt direkt ins Internet öffnen.
Merksatz:
RDP = TCP 3389,
sorgfältig absichern.
Portstatus
Ein Port kann aus Sicht eines Clients unterschiedlich wirken.
Status
Bedeutung
offen
Dienst nimmt Verbindung an oder antwortet
geschlossen
kein Dienst lauscht auf diesem Port
gefiltert
Firewall oder Paketfilter blockiert
offen, aber Anwendung fehlerhaft
Schicht 4 erreichbar, höhere Schicht fehlerhaft
Merksatz:
Portstatus hilft bei der Eingrenzung.
Offener Port
Ein offener Port bedeutet:
Ein Dienst ist grundsätzlich erreichbar.
Aber ein offener Port beweist nicht:
dass die Anwendung korrekt funktioniert
dass Login klappt
dass Zertifikate stimmen
dass keine Fehler in der Anwendung bestehen
Merksatz:
Offener Port = Transport zum Dienst möglich.
Geschlossener Port
Ein geschlossener Port bedeutet:
Kein Dienst lauscht auf diesem Port.
Der Host kann trotzdem erreichbar sein.
Beispiel:
Ping funktioniert.
TCP 22 geschlossen.
Dann ist der Host erreichbar,
aber SSH läuft dort nicht oder nicht auf Port 22.
Merksatz:
Geschlossener Port heißt nicht:
Gerät offline.
Gefilterter Port
Ein gefilterter Port bedeutet häufig:
Firewall oder Paketfilter blockiert.
Typisches Verhalten:
Timeout
keine klare Antwort
Verbindung hängt
Merksatz:
Gefiltert = oft Firewall im Weg.
Firewall-Regeln auf Schicht 4
Firewalls nutzen häufig Ports.
Eine vollständige Regel enthält idealerweise:
- Quelle
- Ziel
- Protokoll
- Port
- Richtung
- Aktion
- Kommentar oder Zweck
Beispiel:
Quelle:
Mitarbeiter-Netz
Ziel:
Internet
Protokoll:
TCP
Port:
443
Aktion:
erlauben
Merksatz:
Firewall-Regel = Quelle, Ziel, Protokoll, Port, Aktion.
Portweiterleitung
Portweiterleitung bedeutet:
Ein externer Port wird an ein internes Ziel weitergeleitet.
Beispiel:
öffentlich:
93.184.100.10:443
intern:
192.168.10.50:443
Wichtig:
Protokoll muss stimmen.
Ziel-IP muss stimmen.
Dienst muss laufen.
Firewall muss erlauben.
Merksatz:
Portweiterleitung braucht richtige IP,
richtigen Port,
richtiges Protokoll
und laufenden Dienst.
NAT/PAT und Ports
PAT nutzt Ports, um Verbindungen zu unterscheiden.
Beispiel:
Intern
Extern
192.168.10.20:52344
93.184.100.10:40001
192.168.10.30:52344
93.184.100.10:40002
Dadurch können mehrere interne Geräte dieselbe öffentliche IP-Adresse nutzen.
Merksatz:
PAT unterscheidet Verbindungen über Ports.
TCP und UDP bei NAT/PAT
Bei TCP kann ein NAT-Gerät Verbindungszustände gut verfolgen.
Bei UDP gibt es keinen echten Verbindungsaufbau.
Deshalb arbeitet NAT bei UDP häufig mit Zeitfenstern und Zuordnungstabellen.
Wenn eine Zuordnung abläuft, können Antworten verloren gehen.
Merksatz:
NAT verfolgt TCP leichter als UDP.
Ping und Porttest unterscheiden
Ping nutzt ICMP.
ICMP nutzt keine TCP- oder UDP-Ports.
Deshalb gilt:
Ping prüft IP-Erreichbarkeit,
aber keinen Dienst-Port.
Beispiel:
Ping funktioniert.
Das beweist nicht:
TCP 443 ist offen.
Merksatz:
Ping prüft Schicht 3.
Porttest prüft Schicht 4.
Typische Schicht-4-Fehler
Typische Fehler sind:
- falscher Port
- falsches Protokoll TCP oder UDP
- Dienst läuft nicht
- Dienst lauscht auf falscher IP
- Dienst lauscht nur auf localhost
- Firewall blockiert
- TCP-Handshake scheitert
- RST
- Timeout
- Portweiterleitung falsch
- NAT/PAT-Zuordnung fehlt
- Rückweg fehlt
- UDP-Antwort kommt nicht zurück
Merksatz:
Schicht-4-Fehler betreffen Transport zum Dienst.
Fehlerbild: Ping geht, Dienst nicht
Beispiel:
ping server funktioniert.
HTTPS funktioniert nicht.
Mögliche Ursachen:
- TCP 443 geschlossen
- Firewall blockiert TCP 443
- Webserver läuft nicht
- Webserver hört auf anderem Port
- TLS- oder Anwendungsproblem
- Reverse Proxy falsch
Merksatz:
Ping geht,
Dienst nicht:
Schicht 4 und 7 prüfen.
Fehlerbild: TCP-Handshake scheitert
Der TCP-Handshake lautet:
SYN
SYN-ACK
ACK
Wenn der Handshake nicht vollständig ist, entsteht keine TCP-Verbindung.
Mögliche Ursachen:
- Dienst lauscht nicht
- Firewall blockiert
- Rückroute fehlt
- NAT falsch
- Server lehnt ab
- Netzwerkverlust
Merksatz:
Kein vollständiger Handshake = keine TCP-Verbindung.
Fehlerbild: RST
RST bedeutet:
Reset
Ein RST bricht eine TCP-Verbindung sofort ab.
Mögliche Ursachen:
- Port geschlossen
- Dienst lehnt Verbindung ab
- Firewall sendet Reset
- Anwendung bricht ab
- falsches Protokoll
Merksatz:
RST = aktiver TCP-Abbruch.
Fehlerbild: Timeout
Timeout bedeutet:
Eine erwartete Antwort kommt nicht rechtzeitig.
Mögliche Ursachen:
- Firewall verwirft still
- Server antwortet nicht
- Rückweg fehlt
- NAT-Zuordnung fehlt
- falsches Ziel
- Paketverlust
Merksatz:
Timeout = keine rechtzeitige Antwort.
Fehlerbild: UDP antwortet nicht
UDP hat keinen Handshake.
Wenn keine Antwort kommt, kann das bedeuten:
- Dienst läuft nicht
- UDP-Port falsch
- Firewall blockiert
- Anfrage ungültig
- Antwortweg fehlt
- NAT-Zuordnung abgelaufen
- Paketverlust
Merksatz:
UDP braucht Anfrage-Antwort-Prüfung.
Schicht 4 oder Schicht 7?
Beobachtung
eher Ursache
TCP-Verbindung kommt nicht zustande
Schicht 4 / Firewall
TCP-Port offen, aber Login scheitert
Anwendung / Authentifizierung
TCP 443 offen, aber Zertifikatsfehler
Darstellung / Anwendung
DNS-Port erreichbar, aber falsche Antwort
DNS-Konfiguration
Webserver antwortet mit Fehler 500
Anwendung
SSH-Port offen, aber Schlüssel abgelehnt
Benutzer / Schlüssel / Rechte
Merksatz:
Port erreichbar bedeutet:
Transport ist möglich,
Anwendung muss trotzdem geprüft werden.
Was Schicht 4 nicht macht
Schicht 4 macht nicht:
- IP-Adressen vergeben
- Routing zwischen Netzen durchführen
- MAC-Adressen auflösen
- DNS-Namen auflösen
- Webseiten bereitstellen
- Benutzer authentifizieren
- Zertifikate prüfen
- Inhalte interpretieren
- Dateirechte verwalten
Merksatz:
Schicht 4 transportiert,
interpretiert aber keine Anwendung.
Prüfungswissen: wichtigste Zuordnungen
Begriff
richtige Einordnung
TCP
Schicht 4
UDP
Schicht 4
Port
Schicht 4
TCP-Handshake
Schicht 4
Segment
TCP auf Schicht 4
Datagramm
UDP auf Schicht 4
Socket
Schicht 4 mit IP-Bezug
ICMP
Schicht 3
IP-Adresse
Schicht 3
Routing
Schicht 3
DNS
Schicht 7, nutzt TCP/UDP 53
HTTP
Schicht 7, nutzt TCP 80
HTTPS
Schicht 7, nutzt TCP 443
DHCP
Schicht 7, nutzt UDP 67/68
Merksatz:
TCP, UDP und Ports = Schicht 4.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Welche Aufgabe hat die Transportschicht?
- Was ist TCP?
- Was ist UDP?
- Was ist der Unterschied zwischen TCP und UDP?
- Was bedeutet verbindungsorientiert?
- Was bedeutet verbindungslos?
- Wie funktioniert der TCP-Drei-Wege-Handshake?
- Was ist ein Port?
- Warum braucht man Ports?
- Was ist ein Socket?
- Welche Portbereiche gibt es?
- Welche Standardports sollte man kennen?
- Warum nutzt DNS TCP und UDP?
- Warum nutzt DHCP UDP?
- Warum reicht Ping nicht als Diensttest?
- Was bedeutet offener, geschlossener oder gefilterter Port?
- Warum muss eine Firewall TCP und UDP unterscheiden?
Typische Prüfungsfallen
TCP gehört zu Schicht 4.
UDP gehört zu Schicht 4.
Ports gehören zu Schicht 4.
ICMP nutzt keine Ports.
Ping ist kein Porttest.
TCP ist verbindungsorientiert.
UDP ist verbindungslos.
TCP-Handshake = SYN, SYN-ACK, ACK.
TCP nutzt Segmente.
UDP nutzt Datagramme.
TCP-Port und UDP-Port sind getrennt.
Gleiche Portnummer bedeutet nicht gleiches Protokoll.
DNS nutzt UDP 53 und TCP 53.
DHCP nutzt UDP 67 und 68.
HTTP nutzt TCP 80.
HTTPS nutzt TCP 443.
SSH nutzt TCP 22.
RDP nutzt TCP 3389.
Offener Port heißt nicht automatisch:
Anwendung funktioniert.
Geschlossener Port heißt nicht:
Gerät offline.
Gefilterter Port heißt oft:
Firewall im Weg.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Transportschicht
OSI-Schicht 4
TCP
zuverlässiges, verbindungsorientiertes Transportprotokoll
UDP
verbindungsloses Transportprotokoll
Port
logische Dienstnummer
TCP-Port
Dienstnummer für TCP
UDP-Port
Dienstnummer für UDP
Socket
IP-Adresse plus Port
Segment
TCP-Dateneinheit
Datagramm
UDP-Dateneinheit
SYN
Start des TCP-Verbindungsaufbaus
SYN-ACK
Antwort und Bestätigung auf SYN
ACK
Bestätigung
RST
sofortiger TCP-Abbruch
FIN
geordneter TCP-Abbau
Timeout
Antwort bleibt zu lange aus
Retransmission
erneute Übertragung
LISTEN
Dienst wartet auf Verbindung
ESTABLISHED
Verbindung besteht
Well-Known Port
Port 0 bis 1023
Ephemeral Port
temporärer Client-Port
Portweiterleitung
externer Port wird intern weitergeleitet
gefilterter Port
Firewall oder Paketfilter blockiert
IHK-sichere Gesamtformulierung
Die Transportschicht ist Schicht 4 des OSI-Modells. Sie sorgt für den Transport von Daten zwischen Anwendungen auf Endgeräten. Dafür werden vor allem TCP, UDP und Ports verwendet. TCP ist verbindungsorientiert und zuverlässig, baut eine Verbindung über SYN, SYN-ACK und ACK auf und nutzt Bestätigungen, Sequenznummern und erneute Übertragung. UDP ist verbindungslos, schlanker und bietet keine eingebaute Zustellgarantie. Ports dienen dazu, Dienste auf einem Gerät zu unterscheiden. Eine IP-Adresse zeigt zum Gerät, der Port zeigt zum Dienst. TCP- und UDP-Ports sind getrennt zu betrachten.
Wichtigste Merksätze
Schicht 4 = Transportschicht.
Schicht 4 = TCP, UDP und Ports.
IP bringt zum Gerät.
Port bringt zum Dienst.
Port = logische Dienstnummer.
Switch-Port ist physisch.
TCP-Port ist logisch.
TCP = verbindungsorientiert.
UDP = verbindungslos.
TCP = zuverlässig.
UDP = schlank und schnell.
TCP-Handshake = SYN, SYN-ACK, ACK.
TCP nutzt ACKs.
TCP nutzt Sequenznummern.
TCP kann erneut übertragen.
TCP stellt Reihenfolge sicher.
UDP hat keinen Handshake.
UDP bietet keine eingebaute Zustellgarantie.
TCP = Segment.
UDP = Datagramm.
Portnummern gehen von 0 bis 65535.
Well-Known Ports = 0 bis 1023.
Ephemeral Ports = temporäre Client-Ports.
Ziel-Port zeigt den Dienst.
Quell-Port hilft bei der Rückzuordnung.
Socket = IP-Adresse plus Port.
HTTP = TCP 80.
HTTPS = TCP 443.
SSH = TCP 22.
DNS = UDP 53 und TCP 53.
DHCP = UDP 67 und 68.
NTP = UDP 123.
RDP = TCP 3389.
Ping nutzt ICMP,
nicht TCP oder UDP.
Ping ist kein Porttest.
IP erreichbar = Schicht 3.
Port erreichbar = Schicht 4.
Anwendung korrekt = höhere Schicht.
Offener Port heißt nicht automatisch sicher.
Firewall-Regel braucht Quelle, Ziel, Protokoll und Port.
Portweiterleitung braucht richtige IP,
richtigen Port
und richtiges Protokoll.
8. OSI-Schicht 5 – Sitzungsschicht
8.1 OSI-Schicht 5 – Sitzungsschicht
Die Sitzungsschicht ist Schicht 5 des OSI-Modells.
Sie liegt zwischen:
Schicht 4: Transportschicht
und
Schicht 6: Darstellungsschicht
Die Hauptaufgabe von Schicht 5 ist:
Sitzungen zwischen Kommunikationspartnern aufbauen, verwalten und beenden.
Dabei geht es vor allem um:
- Sitzungen
- Dialogsteuerung
- Verbindungsverwaltung auf Sitzungsebene
- Wiederaufnahme von Sitzungen
- Synchronisationspunkte
- geordnete Kommunikation zwischen Anwendungen
Merksatz:
Schicht 5 = Sitzungen zwischen Anwendungen verwalten.
Grundidee von Schicht 5
Schicht 4 transportiert Daten mit TCP oder UDP.
Schicht 5 organisiert die logische Sitzung zwischen Anwendungen.
Eine Sitzung ist dabei eine zusammenhängende Kommunikationsbeziehung.
Beispiel:
Benutzer meldet sich an einem Dienst an.
Der Dienst merkt sich:
Dieser Benutzer gehört zu dieser Sitzung.
Solange die Sitzung besteht, kann der Benutzer weiterarbeiten.
Merksatz:
Schicht 4 transportiert.
Schicht 5 verwaltet die Sitzung.
Was ist eine Sitzung?
Eine Sitzung ist ein zusammenhängender Kommunikationsabschnitt zwischen zwei Systemen oder Anwendungen.
Beispiele:
- Benutzer ist an einer Webanwendung angemeldet
- Remote-Verbindung ist aktiv
- Dateiübertragung läuft
- Datenbankverbindung besteht
- Videokonferenz ist verbunden
- Anwendung merkt sich den Zustand eines Benutzers
Merksatz:
Sitzung = zusammenhängende Kommunikationsbeziehung.
Warum braucht man Sitzungen?
Viele Anwendungen müssen wissen:
Wer kommuniziert gerade?
Ist der Benutzer angemeldet?
Welche Aktion gehört zu welcher Verbindung?
Welche Daten gehören zusammen?
Wo wurde eine Übertragung unterbrochen?
Kann eine Sitzung wieder aufgenommen werden?
Ohne Sitzungsverwaltung müsste jede Anfrage komplett unabhängig betrachtet werden.
Merksatz:
Sitzungen helfen,
zusammengehörige Kommunikation zu verwalten.
Einordnung im OSI-Modell
OSI-Schicht
Name
Aufgabe
7
Anwendungsschicht
Netzwerkdienste für Anwendungen
6
Darstellungsschicht
Darstellung, Codierung, Verschlüsselung
5
Sitzungsschicht
Sitzungen aufbauen, verwalten und beenden
4
Transportschicht
TCP, UDP, Ports
3
Vermittlungsschicht / Netzwerkschicht
IP, Routing
2
Sicherungsschicht
Frames, MAC, VLAN
1
Bitübertragungsschicht
Bits, Signale
Merksatz:
Schicht 5 liegt über TCP/UDP
und unter Darstellung und Anwendung.
Sitzungsschicht im Prüfungsverständnis
Die Sitzungsschicht ist in modernen Netzwerken nicht immer klar als eigenes Protokoll sichtbar.
Viele Aufgaben der Sitzungsschicht werden heute durch Anwendungen, Bibliotheken oder Protokolle höherer Schichten übernommen.
Trotzdem ist die Grundidee wichtig:
Sitzungen starten,
Sitzungen steuern,
Sitzungen aufrechterhalten,
Sitzungen beenden.
Merksatz:
Schicht 5 ist im Alltag oft weniger sichtbar,
aber für das OSI-Verständnis wichtig.
Schicht 4 und Schicht 5 unterscheiden
Thema
Schicht
TCP-Verbindung
4
UDP-Datagramm
4
Portnummer
4
Verbindungsaufbau mit SYN, SYN-ACK, ACK
4
Benutzer-Sitzung
5 / 7-Bezug
Session-ID
5 / 7-Bezug
Anmeldung bleibt erhalten
5 / 7-Bezug
Sitzungswiederaufnahme
5 / 6 / 7-Bezug
Merksatz:
TCP-Verbindung ist nicht automatisch dasselbe wie Benutzersitzung.
TCP-Verbindung ist nicht gleich Sitzung
Eine TCP-Verbindung ist eine Transportverbindung auf Schicht 4.
Eine Sitzung ist eine logische Kommunikationsbeziehung auf Schicht 5 oder höher.
Beispiel Webanwendung:
TCP-Verbindung wird aufgebaut.
HTTPS-Anfrage wird gesendet.
Benutzer bleibt durch Session-Cookie angemeldet.
Die Benutzersitzung kann länger bestehen als eine einzelne TCP-Verbindung.
Merksatz:
TCP verbindet technisch.
Sitzung hält den logischen Zusammenhang.
Beispiel: Webanmeldung
Ein Benutzer meldet sich an einer Webseite an.
Ablauf vereinfacht:
1. Benutzer öffnet Webseite.
2. Verbindung wird aufgebaut.
3. Benutzer gibt Zugangsdaten ein.
4. Server prüft Anmeldung.
5. Server erstellt eine Sitzung.
6. Browser erhält eine Session-ID oder ein Token.
7. Weitere Anfragen werden der Sitzung zugeordnet.
Dadurch bleibt der Benutzer angemeldet.
Merksatz:
Websitzungen sorgen dafür,
dass ein Benutzer wiedererkannt wird.
Session-ID
Eine Session-ID ist eine Kennung für eine Sitzung.
Sie hilft dem Server, Anfragen einer bestimmten Sitzung zuzuordnen.
Beispiel:
Anfrage 1:
Benutzer meldet sich an.
Anfrage 2:
Benutzer öffnet eine geschützte Seite.
Der Server erkennt anhand der Session-ID:
Diese Anfrage gehört zur angemeldeten Sitzung.
Merksatz:
Session-ID = Kennung einer Sitzung.
Session-Cookie
Bei Webanwendungen wird eine Session-ID häufig in einem Cookie gespeichert.
Der Browser sendet dieses Cookie bei weiteren Anfragen mit.
Dadurch erkennt der Server die Sitzung wieder.
Wichtig:
Cookies gehören fachlich eher zur Anwendungsschicht,
erfüllen aber eine typische Sitzungsfunktion.
Merksatz:
Session-Cookie hilft,
eine Websitzung wiederzuerkennen.
Token
Ein Token kann ebenfalls zur Sitzungs- oder Zugriffserkennung genutzt werden.
Beispiele:
- Session-Token
- Access Token
- Refresh Token
- API-Token
Ein Token kann dem Server zeigen:
Wer fragt an?
Welche Rechte hat diese Anfrage?
Ist die Sitzung noch gültig?
Merksatz:
Token können Sitzungs- und Zugriffsinformationen tragen.
Sitzung aufbauen
Eine Sitzung wird aufgebaut, wenn zwei Kommunikationspartner eine zusammenhängende Kommunikation beginnen.
Beispiele:
- Benutzer meldet sich an
- Remote-Sitzung wird gestartet
- Datenbankclient verbindet sich
- Dateiübertragung beginnt
- Videokonferenz wird betreten
Merksatz:
Sitzungsaufbau = Beginn einer logischen Kommunikation.
Sitzung verwalten
Während einer Sitzung müssen Zustände verwaltet werden.
Beispiele:
- Benutzer ist angemeldet
- Warenkorb enthält Artikel
- Dateiübertragung ist bei 60 Prozent
- Remote-Desktop-Sitzung ist aktiv
- Datenbanktransaktion läuft
- Videokonferenzteilnehmer sind verbunden
Merksatz:
Sitzungsverwaltung merkt sich den Zustand einer Kommunikation.
Sitzung beenden
Eine Sitzung kann geordnet beendet werden.
Beispiele:
- Benutzer meldet sich ab
- Remote-Verbindung wird geschlossen
- Dateiübertragung ist abgeschlossen
- Anwendung beendet Verbindung
- Sitzung läuft wegen Inaktivität ab
Merksatz:
Sitzungsende = Kommunikation wird logisch abgeschlossen.
Timeout
Ein Timeout beendet eine Sitzung nach einer bestimmten Zeit ohne Aktivität.
Beispiel:
Benutzer ist 30 Minuten inaktiv.
Webanwendung meldet den Benutzer automatisch ab.
Warum ist das sinnvoll?
- Sicherheit
- Ressourcenschonung
- Schutz vor vergessenen Anmeldungen
Merksatz:
Timeout beendet inaktive Sitzungen automatisch.
Sitzungswiederaufnahme
Manche Systeme können eine Sitzung nach einer Unterbrechung wieder aufnehmen.
Beispiele:
- Remote-Desktop-Sitzung reconnect
- VPN-Verbindung stellt Sitzung wieder her
- Dateiübertragung wird fortgesetzt
- TLS-Sitzung wird wiederverwendet
- Webanwendung nutzt gespeichertes Token
Merksatz:
Sitzungswiederaufnahme spart Zeit und erhält Zustand.
Synchronisationspunkte
Synchronisationspunkte helfen, eine Übertragung an bestimmten Stellen abzusichern.
Wenn eine Unterbrechung passiert, muss nicht immer von vorne begonnen werden.
Beispiel:
Eine große Datei wird übertragen.
Nach einer Unterbrechung wird ab einem bestimmten Punkt fortgesetzt.
Im OSI-Modell wird diese Idee der Sitzungsschicht zugeordnet.
Merksatz:
Synchronisationspunkte helfen bei Wiederaufnahme nach Unterbrechung.
Dialogsteuerung
Dialogsteuerung bedeutet:
Wer darf wann senden?
Wie wird die Kommunikation koordiniert?
Gibt es einen geordneten Ablauf?
Beispiele:
- Anfrage und Antwort
- abwechselnde Kommunikation
- gleichzeitiger Austausch
- Steuerung einer Remote-Sitzung
Merksatz:
Dialogsteuerung organisiert den Ablauf einer Kommunikation.
Halbduplex und Vollduplex als Denkmodell
Bei der Dialogsteuerung kann man sich vereinfacht vorstellen:
Halbduplex:
Kommunikation abwechselnd
Vollduplex:
Kommunikation gleichzeitig in beide Richtungen
Diese Begriffe wurden schon bei unteren Schichten verwendet,
können aber auch als Denkmodell für Dialogabläufe helfen.
Merksatz:
Dialogsteuerung regelt,
wie Kommunikationspartner miteinander sprechen.
Sitzungen bei Remote Desktop
Bei Remote Desktop gibt es eine Benutzersitzung.
Beispiel:
Benutzer verbindet sich per RDP.
Desktop-Sitzung wird gestartet.
Programme laufen innerhalb dieser Sitzung.
Verbindung kann getrennt werden.
Sitzung kann später wieder verbunden werden.
Wichtig:
Die Benutzersitzung kann weiter bestehen,
obwohl die Netzwerkverbindung kurz getrennt wurde.
Merksatz:
Remote-Sitzung kann länger leben als die einzelne Verbindung.
Sitzungen bei SSH
Bei SSH gibt es ebenfalls eine Sitzung.
Beispiele:
- Shell-Sitzung
- Kommandoausführung
- SFTP-Sitzung
- Tunnel
Wenn die SSH-Verbindung beendet wird, endet normalerweise auch die Sitzung.
Mit zusätzlichen Werkzeugen können Sitzungen erhalten bleiben.
Beispiele:
- tmux
- screen
Merksatz:
SSH-Verbindung und Arbeitssitzung hängen oft eng zusammen.
Sitzungen bei Datenbanken
Datenbankverbindungen nutzen Sitzungszustände.
Beispiele:
- angemeldeter Benutzer
- aktive Transaktion
- temporäre Tabellen
- gesetzte Rollen
- aktuelle Datenbank
- Session-Variablen
Wenn die Sitzung endet, gehen manche sitzungsbezogenen Zustände verloren.
Merksatz:
Datenbanksitzungen speichern Kontext für die Verbindung.
Sitzungen bei Webanwendungen
Webanwendungen nutzen Sitzungen, obwohl HTTP ursprünglich zustandslos ist.
Zustandslos bedeutet:
Jede Anfrage ist zunächst unabhängig.
Damit ein Benutzer angemeldet bleiben kann, nutzt man zum Beispiel:
- Cookies
- Session-IDs
- Tokens
- serverseitige Sitzungsdaten
Merksatz:
Websitzungen machen zustandslose Anfragen zusammenhängend.
HTTP ist zustandslos
HTTP behandelt einzelne Anfragen grundsätzlich unabhängig.
Beispiel:
Anfrage 1:
Login-Seite öffnen
Anfrage 2:
Passwort senden
Anfrage 3:
Dashboard öffnen
Ohne Sitzungsmechanismus wüsste der Server bei Anfrage 3 nicht automatisch,
dass der Benutzer bereits angemeldet ist.
Merksatz:
HTTP ist zustandslos,
Sitzungen schaffen Zusammenhang.
Session-State
Session-State bedeutet:
Zustand einer Sitzung
Beispiele:
- Benutzer-ID
- Rollen und Rechte
- Warenkorb
- Spracheinstellung
- Login-Status
- letzter Zugriff
- CSRF-Token
Session-State kann serverseitig oder clientseitig unterstützt werden.
Merksatz:
Session-State = gespeicherter Zustand einer Sitzung.
Sitzung und Authentifizierung
Sitzungen hängen oft mit Authentifizierung zusammen.
Authentifizierung bedeutet:
Wer bist du?
Nach erfolgreicher Anmeldung wird häufig eine Sitzung erstellt.
Danach muss der Benutzer nicht bei jeder Anfrage Benutzername und Passwort neu senden.
Merksatz:
Anmeldung startet oft eine Sitzung.
Sitzung und Autorisierung
Autorisierung bedeutet:
Was darfst du?
Eine Sitzung kann Informationen enthalten oder referenzieren wie:
- Benutzerrolle
- Berechtigungen
- Gruppenmitgliedschaft
- Zugriffsebene
Beispiel:
Benutzer ist angemeldet,
darf aber nicht in den Adminbereich.
Merksatz:
Authentifizierung prüft Identität.
Autorisierung prüft Rechte.
Sitzung und Sicherheit
Sitzungen müssen geschützt werden.
Wichtige Risiken:
- Session-Hijacking
- Session-Fixation
- gestohlene Cookies
- zu lange Sitzungsdauer
- fehlender Logout
- unsichere Tokens
- fehlende HTTPS-Verschlüsselung
Merksatz:
Wer eine Sitzung übernimmt,
kann oft wie der Benutzer handeln.
Session-Hijacking
Session-Hijacking bedeutet:
Ein Angreifer übernimmt eine gültige Sitzung.
Mögliche Ursachen:
- gestohlenes Session-Cookie
- unsichere Verbindung
- Schadsoftware
- XSS-Angriff
- unsichere Token-Speicherung
Schutzmaßnahmen:
- HTTPS verwenden
- sichere Cookie-Attribute
- kurze Lebensdauer sensibler Sitzungen
- erneute Anmeldung bei kritischen Aktionen
- Logout ermöglichen
- Schutz vor XSS
Merksatz:
Session-Hijacking = Übernahme einer gültigen Sitzung.
Session-Fixation
Session-Fixation bedeutet:
Ein Angreifer bringt einen Benutzer dazu,
eine vorher bekannte Session-ID zu verwenden.
Wenn sich der Benutzer dann anmeldet,
kennt der Angreifer die Sitzung bereits.
Schutzmaßnahme:
Session-ID nach erfolgreichem Login erneuern.
Merksatz:
Nach Login sollte eine neue Session-ID vergeben werden.
Sichere Cookies
Bei Websitzungen sind sichere Cookie-Einstellungen wichtig.
Beispiele:
Secure:
Cookie nur über HTTPS senden.
HttpOnly:
JavaScript soll Cookie nicht auslesen können.
SameSite:
Schutz gegen bestimmte Cross-Site-Angriffe.
Merksatz:
Sichere Cookies schützen Websitzungen.
Logout
Ein Logout beendet eine Sitzung bewusst.
Dabei sollte die Sitzung auf dem Server ungültig gemacht werden.
Nur das Browserfenster zu schließen reicht nicht immer.
Wichtig:
Nach Logout sollte die Session-ID nicht mehr gültig sein.
Merksatz:
Logout sollte die Sitzung serverseitig beenden.
Session-Timeout und Sicherheit
Ein Session-Timeout reduziert Risiken durch vergessene Sitzungen.
Beispiel:
Benutzer bleibt an einem öffentlichen PC angemeldet.
Nach Inaktivität wird die Sitzung automatisch beendet.
Für kritische Systeme sind kürzere Timeouts sinnvoll.
Merksatz:
Timeout schützt vor dauerhaft offenen Sitzungen.
Keepalive
Keepalive-Mechanismen können Verbindungen oder Sitzungen aktiv halten.
Beispiele:
- Anwendung sendet regelmäßig kleine Nachrichten
- Server prüft, ob Client noch verbunden ist
- Verbindung wird nicht wegen Inaktivität geschlossen
Wichtig:
Keepalive kann sinnvoll sein,
aber auch Ressourcen verbrauchen.
Merksatz:
Keepalive hält Kommunikation aktiv.
Sitzung und TLS
TLS gehört eher zu Schicht 6 beziehungsweise zwischen Transport und Anwendung.
Trotzdem gibt es bei TLS Sitzungsmechanismen.
Beispiele:
- TLS Session Resumption
- Wiederverwendung von Schlüsselinformationen
- schnellerer erneuter Verbindungsaufbau
Merksatz:
TLS kann Sitzungen wieder aufnehmen,
gehört aber nicht rein zu Schicht 5.
Warum Schicht 5 oft schwer abzugrenzen ist
In der Praxis werden die OSI-Schichten 5, 6 und 7 oft gemeinsam betrachtet.
Viele moderne Protokolle und Anwendungen übernehmen mehrere Aufgaben gleichzeitig.
Beispiel HTTPS:
TCP:
Transport auf Schicht 4
TLS:
Verschlüsselung und Darstellungsschutz
HTTP:
Anwendung
Cookies / Tokens:
Sitzungsverwaltung
Merksatz:
Schicht 5 ist in modernen Protokollen oft in Anwendungen integriert.
Typische Protokolle mit Sitzungsbezug
Beispiel
Sitzungsbezug
NetBIOS Session Service
klassische Sitzungskommunikation
RPC
entfernte Funktionsaufrufe mit Kommunikationskontext
SMB
Datei- und Freigabesitzungen
RDP
Remote-Desktop-Sitzung
SSH
Shell- oder SFTP-Sitzung
Datenbankverbindung
angemeldeter Datenbankkontext
Webanwendung
Session-ID, Cookie oder Token
Merksatz:
Sitzungsfunktionen können in vielen Protokollen stecken.
SMB und Sitzungen
SMB wird für Datei- und Druckerfreigaben verwendet.
Dabei gibt es sitzungsähnliche Zustände.
Beispiele:
- Benutzer authentifiziert sich
- Zugriff auf Freigabe wird aufgebaut
- Dateien werden geöffnet
- Berechtigungen werden geprüft
- Sitzung wird beendet
Merksatz:
Dateifreigaben brauchen Sitzungs- und Zugriffskontext.
RPC und Sitzungen
RPC steht für:
Remote Procedure Call
Damit kann ein Programm Funktionen auf einem entfernten System aufrufen.
Dabei kann ein Kommunikationskontext entstehen.
Beispiele:
- Windows-Dienste
- Verwaltungsfunktionen
- verteilte Anwendungen
Merksatz:
RPC ermöglicht entfernte Funktionsaufrufe mit Kommunikationskontext.
Schicht 5 und Fehlersuche
Typische Fragen bei Sitzungsproblemen:
Wird die Sitzung aufgebaut?
Bleibt die Sitzung bestehen?
Wird der Benutzer abgemeldet?
Läuft die Sitzung wegen Timeout ab?
Wird die Session-ID korrekt übertragen?
Werden Cookies blockiert?
Wird ein Token ungültig?
Geht die Sitzung nach Verbindungswechsel verloren?
Gibt es Load-Balancer-Probleme?
Wird die Sitzung auf dem richtigen Server gespeichert?
Merksatz:
Sitzungsprobleme zeigen sich oft als unerwartete Abmeldung oder verlorener Zustand.
Fehlerbild: Benutzer wird ständig abgemeldet
Mögliche Ursachen:
- Session-Cookie wird nicht gespeichert
- Cookie wird blockiert
- Session-Timeout zu kurz
- Server verliert Session-State
- Load Balancer verteilt ohne Session-Stickiness
- falsche Domain oder falscher Pfad im Cookie
- Zeitproblem zwischen Systemen
- Anwendung invalidiert Sitzung
Merksatz:
Ständige Abmeldung deutet oft auf Sitzungs- oder Cookie-Probleme hin.
Fehlerbild: Warenkorb ist plötzlich leer
Bei Webshops kann der Warenkorb Teil der Sitzung sein.
Mögliche Ursachen:
- Session-ID verloren
- Cookie gelöscht
- serverseitige Sitzung abgelaufen
- Benutzer wechselt Gerät oder Browser
- Load-Balancer-Problem
- Anwendung speichert Zustand falsch
Merksatz:
Verlorener Warenkorb kann verlorene Sitzung bedeuten.
Fehlerbild: Nach Login wieder auf Login-Seite
Mögliche Ursachen:
- Session-Cookie wird nicht gesetzt
- Cookie wird nicht zurückgesendet
- HTTPS/HTTP-Wechsel stört Cookie
- falsche Domain im Cookie
- SameSite-Problem
- Server speichert Sitzung nicht
- Uhrzeit oder Token-Gültigkeit falsch
Merksatz:
Login-Schleife ist oft ein Sitzungsproblem.
Fehlerbild: Remote-Sitzung bricht ab
Mögliche Ursachen:
- Netzwerkunterbrechung
- Timeout
- Server beendet Sitzung
- Lizenz- oder Ressourcenproblem
- Firewall trennt inaktive Verbindung
- VPN verliert Verbindung
- Keepalive fehlt
Merksatz:
Remote-Sitzungsabbrüche können Netzwerk- oder Sitzungsursachen haben.
Fehlerbild: Load Balancer und Sitzungen
Bei mehreren Webservern kann ein Load Balancer Anfragen verteilen.
Problem:
Anfrage 1 geht an Server A.
Anfrage 2 geht an Server B.
Wenn die Sitzung nur auf Server A gespeichert ist,
kennt Server B den Benutzer nicht.
Lösungen:
- Session-Stickiness
- zentrale Session-Datenbank
- verteiltes Cache-System
- stateless Token
Merksatz:
Bei mehreren Servern muss der Session-State sauber geplant sein.
Session-Stickiness
Session-Stickiness bedeutet:
Ein Benutzer wird während einer Sitzung möglichst immer zum gleichen Server geleitet.
Das hilft, wenn Sitzungsdaten lokal auf einem Server gespeichert sind.
Nachteil:
Lastverteilung wird weniger flexibel.
Serverausfall kann Sitzungen betreffen.
Merksatz:
Session-Stickiness bindet eine Sitzung an einen Server.
Stateful und Stateless
Stateful bedeutet:
Ein System merkt sich Zustand.
Stateless bedeutet:
Jede Anfrage enthält alle nötigen Informationen
oder wird unabhängig verarbeitet.
Beispiel stateful:
Server speichert Session-Daten.
Beispiel stateless:
Token enthält relevante Informationen,
Server muss keine klassische Sitzung speichern.
Merksatz:
Stateful speichert Zustand.
Stateless vermeidet serverseitigen Sitzungszustand.
Sitzungsschicht und Datenschutz
Sitzungen können sensible Informationen enthalten.
Beispiele:
- Benutzerkennung
- Rollen
- Anmeldestatus
- Zugriffstoken
- Kundendaten
- Warenkorb
- Arbeitsstand
Deshalb müssen Sitzungsdaten geschützt werden.
Merksatz:
Sitzungsdaten können sicherheits- und datenschutzrelevant sein.
Was Schicht 5 nicht macht
Schicht 5 macht nicht:
- Bits über Kabel übertragen
- MAC-Adressen im LAN verwenden
- IP-Pakete routen
- TCP-Ports öffnen
- Daten verschlüsseln
- Zeichencodierung umwandeln
- konkrete Anwendungslogik vollständig bereitstellen
Diese Aufgaben liegen auf anderen Schichten.
Merksatz:
Schicht 5 verwaltet Sitzungen,
aber transportiert nicht selbst wie TCP.
Einordnung in das OSI-Modell
Thema
Schicht
Kabel, Signal
1
MAC-Adresse, Frame
2
IP-Adresse, Routing
3
TCP, UDP, Port
4
Sitzung, Session-ID, Dialogsteuerung
5
Codierung, Verschlüsselung, Kompression
6
HTTP, DNS, SMTP, Anwendung
7
Merksatz:
Sitzung = Schicht 5.
Port = Schicht 4.
Anwendung = Schicht 7.
Schicht 5, 6 und 7 gemeinsam verstehen
Die oberen OSI-Schichten sind in der Praxis oft eng miteinander verbunden.
Schicht
Grundidee
5
Sitzung verwalten
6
Daten darstellen, codieren, verschlüsseln
7
Anwendung und Netzwerkdienst
Beispiel Web:
Sitzung:
Login-Status und Session-Cookie
Darstellung:
TLS, Zeichencodierung, Datenformat
Anwendung:
HTTP, Webseite, API
Merksatz:
Schicht 5 bis 7 arbeiten in modernen Anwendungen oft zusammen.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Welche Aufgabe hat die Sitzungsschicht?
- Was ist eine Sitzung?
- Warum sind Sitzungen für Anwendungen wichtig?
- Was ist eine Session-ID?
- Was ist ein Session-Cookie?
- Was bedeutet Timeout?
- Was ist Sitzungswiederaufnahme?
- Was bedeutet Dialogsteuerung?
- Warum ist HTTP ohne Zusatzmechanismen zustandslos?
- Warum kann ein Benutzer ständig abgemeldet werden?
- Warum ist Sitzungsverwaltung sicherheitsrelevant?
- Was ist der Unterschied zwischen TCP-Verbindung und Anwendungssitzung?
Typische Prüfungsfallen
Schicht 5 heißt Sitzungsschicht.
Schicht 5 verwaltet Sitzungen.
Eine TCP-Verbindung ist Schicht 4.
Eine Benutzersitzung ist nicht automatisch dasselbe wie eine TCP-Verbindung.
HTTP ist grundsätzlich zustandslos.
Websitzungen nutzen oft Cookies oder Tokens.
Session-ID muss geschützt werden.
Session-Hijacking bedeutet Übernahme einer Sitzung.
Session-Fixation wird durch neue Session-ID nach Login verhindert.
Timeout kann Sitzungen automatisch beenden.
Load Balancer können Sitzungsprobleme verursachen.
Schicht 5 ist in modernen Protokollen oft schwer getrennt sichtbar.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Sitzungsschicht
OSI-Schicht 5
Sitzung
zusammenhängende Kommunikationsbeziehung
Session
englischer Begriff für Sitzung
Session-ID
Kennung einer Sitzung
Session-Cookie
Cookie zur Wiedererkennung einer Websitzung
Token
Kennung oder Nachweis für Zugriff oder Sitzung
Dialogsteuerung
Steuerung des Kommunikationsablaufs
Synchronisationspunkt
Wiederaufnahmepunkt in einer Kommunikation
Timeout
automatische Beendigung nach Inaktivität
Keepalive
Mechanismus zum Aktivhalten
Session-State
gespeicherter Zustand einer Sitzung
Session-Hijacking
Übernahme einer gültigen Sitzung
Session-Fixation
Ausnutzung einer vorher bekannten Session-ID
Session-Stickiness
Bindung einer Sitzung an einen Server
Stateful
System speichert Zustand
Stateless
Anfragen werden ohne gespeicherten Zustand verarbeitet
IHK-sichere Kurzformulierung
Die Sitzungsschicht ist Schicht 5 des OSI-Modells. Sie ist für den Aufbau, die Verwaltung und das Beenden von Sitzungen zwischen Kommunikationspartnern zuständig. Eine Sitzung ist eine zusammenhängende Kommunikationsbeziehung, zum Beispiel eine angemeldete Websitzung, eine Remote-Desktop-Sitzung oder eine Datenbanksitzung. Die Sitzungsschicht kann Dialogsteuerung, Sitzungswiederaufnahme und Synchronisationspunkte unterstützen. In modernen Netzwerken sind Aufgaben der Sitzungsschicht oft in Anwendungen oder Protokolle höherer Schichten integriert, zum Beispiel durch Session-IDs, Cookies oder Tokens.
Merksätze
Schicht 5 = Sitzungsschicht.
Sitzung = zusammenhängende Kommunikationsbeziehung.
Schicht 4 transportiert.
Schicht 5 verwaltet Sitzungen.
TCP-Verbindung ist nicht automatisch Benutzersitzung.
Session-ID = Kennung einer Sitzung.
Session-Cookie erkennt Websitzung wieder.
HTTP ist grundsätzlich zustandslos.
Sitzungen schaffen Zusammenhang zwischen Anfragen.
Timeout beendet inaktive Sitzungen.
Keepalive hält Kommunikation aktiv.
Synchronisationspunkte helfen bei Wiederaufnahme.
Dialogsteuerung organisiert Kommunikation.
Session-Hijacking = Sitzung übernommen.
Session-Fixation = bekannte Session-ID wird missbraucht.
Nach Login Session-ID erneuern.
Logout sollte Sitzung serverseitig beenden.
Load Balancer können Sitzungsprobleme verursachen.
Stateful = Zustand wird gespeichert.
Stateless = kein serverseitiger Sitzungszustand.
Schicht 5 ist in modernen Protokollen oft in Anwendungen integriert.
9. OSI-Schicht 6 – Darstellungsschicht
9.1 OSI-Schicht 6 – Darstellungsschicht
Die Darstellungsschicht ist Schicht 6 des OSI-Modells.
Sie liegt zwischen:
Schicht 5: Sitzungsschicht
und
Schicht 7: Anwendungsschicht
Die Hauptaufgabe von Schicht 6 ist:
Daten so darzustellen, umzuwandeln oder zu schützen,
dass Anwendungen sie korrekt verstehen können.
Dabei geht es vor allem um:
- Datenformate
- Zeichencodierung
- Kompression
- Verschlüsselung
- Entschlüsselung
- Datenumwandlung
- Darstellung von Informationen
Merksatz:
Schicht 6 = Darstellung, Codierung, Kompression und Verschlüsselung.
Grundidee von Schicht 6
Schicht 6 sorgt dafür, dass Daten in einer passenden Form vorliegen.
Ein Sender kann Daten in einem bestimmten Format erzeugen.
Der Empfänger muss diese Daten richtig interpretieren können.
Beispiele:
Text muss mit der richtigen Zeichencodierung gelesen werden.
Bilder müssen im richtigen Dateiformat verstanden werden.
Verschlüsselte Daten müssen entschlüsselt werden.
Komprimierte Daten müssen entpackt werden.
Merksatz:
Schicht 6 kümmert sich darum,
wie Daten dargestellt und interpretiert werden.
Warum braucht man die Darstellungsschicht?
Unterschiedliche Systeme können Daten unterschiedlich speichern oder darstellen.
Beispiele:
- Textcodierung
- Zahlenformat
- Dateiformat
- Bildformat
- Audioformat
- Verschlüsselung
- Kompression
Damit Sender und Empfänger dieselben Daten gleich verstehen, braucht man Regeln für die Darstellung.
Merksatz:
Gleiche Daten müssen auf beiden Seiten gleich verstanden werden.
Einordnung im OSI-Modell
OSI-Schicht
Name
Aufgabe
7
Anwendungsschicht
Netzwerkdienste für Anwendungen
6
Darstellungsschicht
Darstellung, Codierung, Verschlüsselung
5
Sitzungsschicht
Sitzungen aufbauen, verwalten und beenden
4
Transportschicht
TCP, UDP, Ports
3
Vermittlungsschicht / Netzwerkschicht
IP, Routing
2
Sicherungsschicht
Frames, MAC, VLAN
1
Bitübertragungsschicht
Bits, Signale
Merksatz:
Schicht 6 liegt zwischen Sitzung und Anwendung.
Schicht 5, 6 und 7 unterscheiden
Schicht
Grundidee
Beispiel
5
Sitzung verwalten
Benutzer bleibt angemeldet
6
Daten darstellen oder umwandeln
UTF-8, TLS, Kompression
7
Anwendung und Dienst
HTTP, DNS, SMTP
Merksatz:
Schicht 5 = Sitzung.
Schicht 6 = Darstellung.
Schicht 7 = Anwendung.
Darstellung bedeutet nicht Bildschirmdarstellung
Der Begriff Darstellungsschicht wird manchmal falsch verstanden.
Es geht nicht nur darum:
was auf dem Bildschirm angezeigt wird.
Es geht fachlich darum:
wie Daten codiert,
formatiert,
komprimiert,
verschlüsselt
oder interpretiert werden.
Beispiel:
Ein Text kann gleich aussehen,
aber intern unterschiedlich codiert sein.
Merksatz:
Darstellungsschicht meint Datenrepräsentation,
nicht nur grafische Anzeige.
Datenformate
Ein Datenformat legt fest, wie Informationen aufgebaut sind.
Beispiele:
Datenart
Beispiele
Text
TXT, HTML, XML, JSON
Bild
JPEG, PNG, GIF, SVG
Audio
WAV, MP3, AAC
Video
MP4, H.264, H.265
Dokument
PDF, DOCX
Archiv
ZIP, 7z
Wenn ein Empfänger das Format nicht versteht, kann er die Daten nicht korrekt verarbeiten.
Merksatz:
Datenformat = Regel,
wie Daten aufgebaut sind.
Beispiel: JSON
JSON steht für:
JavaScript Object Notation
JSON wird häufig verwendet, um strukturierte Daten zwischen Anwendungen auszutauschen.
Beispiel:
{
"name": "Felix",
"rolle": "FISI",
"aktiv": true
}
JSON ist besonders häufig bei:
- APIs
- Webanwendungen
- Konfigurationsdaten
- Datenaustausch zwischen Diensten
Merksatz:
JSON ist ein häufiges Datenformat für strukturierte Daten.
Beispiel: XML
XML steht für:
Extensible Markup Language
XML ist ein textbasiertes Format zur strukturierten Darstellung von Daten.
Beispiel:
Felix
FISI
XML wird unter anderem genutzt bei:
- Schnittstellen
- Konfigurationen
- Dokumentenformaten
- älteren Webservices
Merksatz:
XML ist ein strukturiertes Textformat.
JSON und XML vergleichen
Merkmal
JSON
XML
Schreibweise
kompakter
ausführlicher
Struktur
Objekte und Arrays
Tags und Elemente
häufig bei
Web-APIs
ältere Schnittstellen, Dokumente
Lesbarkeit
meist einfach
oft länger
Datenaustausch
sehr verbreitet
weiterhin verbreitet
Merksatz:
JSON und XML sind Formate für strukturierten Datenaustausch.
Zeichencodierung
Zeichencodierung legt fest, wie Zeichen als Zahlen oder Bits gespeichert werden.
Beispiele für Zeichen:
A
ä
ß
€
中
😊
Damit ein Computer diese Zeichen speichern kann, braucht er eine Codierung.
Merksatz:
Zeichencodierung übersetzt Zeichen in digitale Werte.
ASCII
ASCII ist eine ältere Zeichencodierung.
ASCII umfasst grundlegende Zeichen wie:
- englische Buchstaben
- Ziffern
- Satzzeichen
- Steuerzeichen
ASCII ist auf einfache englische Zeichen beschränkt.
Deutsche Umlaute wie:
ä
ö
ü
ß
sind in klassischem ASCII nicht enthalten.
Merksatz:
ASCII ist einfach,
aber für viele Sprachen zu begrenzt.
Unicode
Unicode ist ein Standard, der Zeichen vieler Schriftsysteme abbilden kann.
Dazu gehören zum Beispiel:
- lateinische Zeichen
- Umlaute
- griechische Zeichen
- kyrillische Zeichen
- asiatische Schriftzeichen
- Symbole
- Emojis
Unicode beschreibt, welche Zeichen es gibt und welche Nummer sie haben.
Merksatz:
Unicode ist ein großer Zeichensatz für viele Sprachen und Symbole.
UTF-8
UTF-8 ist eine sehr verbreitete Codierung für Unicode-Zeichen.
UTF-8 ist wichtig für:
- Webseiten
- Linux-Systeme
- Konfigurationsdateien
- APIs
- Datenbanken
- E-Mails
Vorteil:
UTF-8 kann sehr viele Zeichen darstellen
und ist mit einfachem ASCII weitgehend kompatibel.
Merksatz:
UTF-8 ist die wichtigste moderne Zeichencodierung.
Typisches Problem: falsche Zeichencodierung
Wenn Text mit falscher Codierung interpretiert wird, entstehen fehlerhafte Zeichen.
Beispiel:
ä
wird falsch angezeigt als:
ä
Mögliche Ursachen:
- falsche Zeichencodierung
- falscher HTTP-Header
- falsche Datenbankcodierung
- falsche Dateicodierung
- falsche Import- oder Exporteinstellung
Merksatz:
Falsche Codierung führt zu Zeichenfehlern.
Beispiel: Umlaute falsch dargestellt
Fehlerbild:
Müller
wird angezeigt als:
Müller
Das deutet häufig auf ein Codierungsproblem hin.
Mögliche Ursache:
UTF-8-Daten werden als eine andere Codierung interpretiert.
Prüfung:
Dateicodierung prüfen.
Datenbankcodierung prüfen.
HTTP-Header prüfen.
Anwendungseinstellung prüfen.
Merksatz:
Kaputte Umlaute sind oft ein Schicht-6-Thema.
Kompression
Kompression bedeutet:
Daten werden verkleinert.
Ziel:
weniger Speicherplatz
weniger Übertragungsvolumen
schnellere Übertragung
Beispiele:
- ZIP
- gzip
- Brotli
- JPEG
- MP3
- H.264
Merksatz:
Kompression reduziert Datenmenge.
Verlustfreie Kompression
Verlustfreie Kompression bedeutet:
Die Originaldaten können vollständig wiederhergestellt werden.
Beispiele:
- ZIP
- gzip
- PNG
- FLAC
Typisch für:
- Textdateien
- Programme
- Dokumente
- Datenbanken
- Quellcode
Merksatz:
Verlustfrei = nach dem Entpacken exakt wiederherstellbar.
Verlustbehaftete Kompression
Verlustbehaftete Kompression bedeutet:
Daten werden verkleinert,
aber ein Teil der ursprünglichen Informationen geht verloren.
Beispiele:
- JPEG
- MP3
- AAC
- H.264
- H.265
Typisch für:
- Fotos
- Musik
- Videos
Merksatz:
Verlustbehaftet = kleiner,
aber nicht mehr exakt original.
Kompression im Web
Webserver können Inhalte komprimiert senden.
Beispiele:
gzip
Brotli
Das reduziert die Datenmenge bei:
- HTML
- CSS
- JavaScript
- JSON
- XML
Der Browser entpackt die Daten wieder.
Merksatz:
Web-Kompression spart Bandbreite.
Verschlüsselung
Verschlüsselung bedeutet:
Daten werden so umgewandelt,
dass sie ohne passenden Schlüssel nicht lesbar sind.
Ziele:
- Vertraulichkeit
- Schutz vor Mitlesen
- Schutz sensibler Informationen
Beispiele:
- HTTPS
- VPN
- E-Mail-Verschlüsselung
- Festplattenverschlüsselung
Merksatz:
Verschlüsselung schützt die Vertraulichkeit von Daten.
Entschlüsselung
Entschlüsselung bedeutet:
Verschlüsselte Daten werden mit dem passenden Schlüssel wieder lesbar gemacht.
Ohne passenden Schlüssel bleiben die Daten unverständlich.
Merksatz:
Entschlüsselung macht verschlüsselte Daten wieder lesbar.
TLS
TLS steht für:
Transport Layer Security
TLS wird unter anderem bei HTTPS verwendet.
HTTPS bedeutet:
HTTP über TLS
TLS schützt unter anderem:
- Vertraulichkeit
- Integrität
- Authentizität des Servers
Typisches Beispiel:
https://example.com
Merksatz:
HTTPS = HTTP mit TLS-Schutz.
TLS und OSI-Schicht 6
TLS wird im OSI-Modell oft der Darstellungsschicht zugeordnet,
weil es Daten verschlüsselt und entschlüsselt.
In der Praxis liegt TLS zwischen Anwendung und Transport.
Beispiel:
HTTP
→ TLS
→ TCP
→ IP
Wichtig für die Prüfung:
TLS hat starken Bezug zu Schicht 6,
weil Verschlüsselung und Darstellung betroffen sind.
Merksatz:
TLS schützt Daten zwischen Anwendung und Transport.
TLS-Zertifikat
Ein TLS-Zertifikat hilft dem Client zu prüfen,
ob er mit dem richtigen Server spricht.
Ein Zertifikat enthält unter anderem:
- Domainname
- öffentlicher Schlüssel
- Aussteller
- Gültigkeitszeitraum
- Signatur der Zertifizierungsstelle
Merksatz:
Zertifikat hilft bei der Vertrauensprüfung des Servers.
Typische Zertifikatsfehler
Typische Fehler sind:
- Zertifikat abgelaufen
- Zertifikat gilt für falschen Namen
- Zertifikat nicht vertrauenswürdig
- Zwischenzertifikat fehlt
- Uhrzeit am Client falsch
- selbstsigniertes Zertifikat ohne Vertrauen
- falsches Zertifikat auf dem Server
Merksatz:
Zertifikatsfehler sind oft Darstellungs- oder Anwendungsschicht-Themen.
Beispiel: Name passt nicht zum Zertifikat
Fehlerbild:
Browser warnt vor Zertifikat.
Mögliche Ursache:
Zertifikat wurde ausgestellt für:
server.local
Aufgerufen wurde aber:
wiki.firma.de
Dann passt der Name nicht.
Merksatz:
Der aufgerufene Name muss zum Zertifikat passen.
Beispiel: Zertifikat abgelaufen
Ein Zertifikat hat einen Gültigkeitszeitraum.
Wenn dieser überschritten ist, warnen Clients.
Mögliche Ursache:
Zertifikat wurde nicht rechtzeitig erneuert.
Folge:
Browser zeigt Warnung.
API-Verbindungen können scheitern.
Anwendungen verweigern Verbindung.
Merksatz:
Zertifikate müssen gültig und aktuell sein.
Datenintegrität
Integrität bedeutet:
Daten wurden nicht unbemerkt verändert.
TLS schützt nicht nur vor Mitlesen,
sondern auch vor unbemerkter Manipulation während der Übertragung.
Merksatz:
Integrität = Daten bleiben unverändert.
Authentizität
Authentizität bedeutet:
Die Gegenstelle ist die,
für die sie sich ausgibt.
Bei HTTPS prüft der Browser:
Passt das Zertifikat zur Domain?
Ist das Zertifikat vertrauenswürdig?
Ist es gültig?
Merksatz:
Authentizität = Echtheit der Gegenstelle.
Codierung und Verschlüsselung unterscheiden
Codierung und Verschlüsselung werden oft verwechselt.
Begriff
Ziel
Schutz?
Codierung
Daten in anderes Format bringen
nein
Kompression
Datenmenge reduzieren
nein
Verschlüsselung
Daten vor unbefugtem Lesen schützen
ja
Beispiel:
Base64 ist Codierung,
aber keine Verschlüsselung.
Merksatz:
Codierung ist nicht automatisch Sicherheit.
Base64
Base64 ist eine Codierung.
Sie wandelt Binärdaten in Textzeichen um.
Typische Nutzung:
- E-Mail-Anhänge
- Tokens
- Zertifikatsdaten
- API-Daten
- Binärdaten in Textformaten
Wichtig:
Base64 ist leicht rückgängig zu machen.
Es ist keine Verschlüsselung.
Merksatz:
Base64 ist Codierung,
keine Verschlüsselung.
Hashing kurz eingeordnet
Hashing ist keine Verschlüsselung.
Ein Hash bildet Daten auf einen festen Prüfwert ab.
Beispiele:
- SHA-256
- SHA-512
Eigenschaften:
- Einwegfunktion
- gleiche Eingabe ergibt gleichen Hash
- kleine Änderung ergibt anderen Hash
- Originaldaten sollen nicht aus dem Hash zurückgerechnet werden
Merksatz:
Hashing prüft Integrität,
verschlüsselt aber nicht.
Hash und Passwortspeicherung
Passwörter sollten nicht im Klartext gespeichert werden.
Stattdessen werden Passwort-Hashes gespeichert.
Wichtig:
Für Passwörter nutzt man spezielle Verfahren,
zum Beispiel mit Salt und langsamen Hashfunktionen.
Beispiele:
bcrypt
Argon2
PBKDF2
Merksatz:
Passwörter nicht verschlüsseln,
sondern sicher hashen.
Datenumwandlung
Schicht 6 kann Daten zwischen Formaten umwandeln.
Beispiele:
- Textcodierung ändern
- Bildformat konvertieren
- Dateiformat umwandeln
- Daten serialisieren
- Daten deserialisieren
- Zahlenformat anpassen
Merksatz:
Datenumwandlung sorgt dafür,
dass Empfänger Daten verstehen.
Serialisierung
Serialisierung bedeutet:
Datenstrukturen werden in ein übertragbares oder speicherbares Format umgewandelt.
Beispiel:
Objekt in Anwendung
→ JSON
→ Übertragung über Netzwerk
Empfänger:
JSON
→ Objekt in Anwendung
Merksatz:
Serialisierung macht Daten übertragbar.
Deserialisierung
Deserialisierung ist die Rückumwandlung.
Beispiel:
JSON-Text wird in ein Objekt der Anwendung umgewandelt.
Wichtig:
Unsichere Deserialisierung kann Sicherheitsrisiken erzeugen.
Merksatz:
Deserialisierung macht übertragene Daten wieder nutzbar.
Endianness kurz erklärt
Endianness beschreibt die Reihenfolge von Bytes bei mehrbyteigen Zahlen.
Begriffe:
Big Endian
Little Endian
In Netzwerken ist oft die sogenannte Netzwerk-Byte-Reihenfolge wichtig.
Für AP1/AP2 reicht meistens:
Unterschiedliche Systeme können Zahlen intern unterschiedlich darstellen.
Merksatz:
Darstellung betrifft auch die interne Reihenfolge von Daten.
Schicht 6 und Webanwendungen
Bei Webanwendungen sieht man Schicht-6-Themen häufig bei:
- TLS
- Zertifikaten
- Zeichencodierung
- JSON
- XML
- gzip-Kompression
- Datenformaten
- Dateiformaten
- MIME-Typen
Merksatz:
Webprobleme können Darstellungsprobleme sein.
MIME-Type
Ein MIME-Type beschreibt den Medientyp von Daten.
Beispiele:
MIME-Type
Bedeutung
text/html
HTML-Dokument
application/json
JSON-Daten
image/png
PNG-Bild
image/jpeg
JPEG-Bild
text/css
CSS-Datei
application/pdf
PDF-Dokument
Der MIME-Type hilft dem Client,
Daten richtig zu interpretieren.
Merksatz:
MIME-Type sagt,
was für Daten übertragen werden.
Fehlerbild: Datei wird falsch angezeigt
Mögliche Ursachen:
- falscher MIME-Type
- falsche Dateiendung
- falsches Dateiformat
- beschädigte Datei
- fehlende Anwendung zum Öffnen
- falsche Codierung
Beispiel:
JSON wird als Text angezeigt,
statt als application/json verarbeitet zu werden.
Merksatz:
Falsche Darstellung kann am Format oder MIME-Type liegen.
Fehlerbild: Webseite zeigt komische Zeichen
Mögliche Ursachen:
- falsche Zeichencodierung
- fehlende UTF-8-Angabe
- Datenbank speichert andere Codierung
- Import falsch durchgeführt
- Datei in falscher Codierung gespeichert
Merksatz:
Komische Zeichen sind oft Codierungsprobleme.
Fehlerbild: HTTPS-Warnung
Mögliche Ursachen:
- Zertifikat abgelaufen
- Domainname passt nicht
- Zertifizierungsstelle nicht vertraut
- Zertifikatskette unvollständig
- Uhrzeit am Client falsch
- selbstsigniertes Zertifikat
Merksatz:
HTTPS-Warnungen oft durch Zertifikatsprobleme.
Fehlerbild: API versteht Daten nicht
Eine API kann Daten ablehnen, wenn Format oder Codierung nicht stimmen.
Mögliche Ursachen:
- ungültiges JSON
- falscher Content-Type
- falsche Zeichencodierung
- fehlende Pflichtfelder
- falsche Datentypen
- falsches Datumsformat
Merksatz:
API-Fehler können Darstellungs- oder Formatprobleme sein.
Fehlerbild: Komprimierte Daten können nicht gelesen werden
Mögliche Ursachen:
- falsches Kompressionsverfahren
- beschädigte Datei
- falsche Dateiendung
- Empfänger unterstützt Verfahren nicht
- Header gibt falsche Kompression an
Merksatz:
Kompression muss vom Empfänger unterstützt werden.
Darstellungsschicht und Sicherheit
Viele Sicherheitsfunktionen haben Bezug zur Darstellungsschicht.
Beispiele:
- TLS-Verschlüsselung
- Zertifikate
- sichere Codierung
- sichere Deserialisierung
- Integritätsprüfung
- Schutz vor Datenmanipulation
Wichtig:
Falsche Darstellung oder unsichere Verarbeitung kann Sicherheitslücken erzeugen.
Merksatz:
Schicht 6 ist auch für Sicherheit wichtig.
Typische Angriffsbezüge
Darstellung und Datenverarbeitung können Angriffsflächen sein.
Beispiele:
- unsichere Deserialisierung
- fehlerhafte Parser
- manipulierte Dateiformate
- falsche Zertifikatsprüfung
- schwache Verschlüsselung
- XSS durch falsche Ausgabe-Codierung
Merksatz:
Daten müssen sicher interpretiert und verarbeitet werden.
Was Schicht 6 nicht macht
Schicht 6 macht nicht:
- Bits über Kabel übertragen
- MAC-Adressen verwenden
- IP-Pakete routen
- TCP-Verbindungen aufbauen
- Ports bereitstellen
- Sitzungen verwalten
- konkrete Netzwerkdienste vollständig bereitstellen
Diese Aufgaben liegen auf anderen Schichten.
Merksatz:
Schicht 6 stellt Daten dar,
transportiert sie aber nicht selbst.
Einordnung in das OSI-Modell
Thema
Schicht
Kabel, Signal
1
MAC-Adresse, Frame
2
IP-Adresse, Routing
3
TCP, UDP, Port
4
Sitzung, Session-ID
5
UTF-8, JSON, TLS, Kompression
6
HTTP, DNS, SMTP, Anwendung
7
Merksatz:
Codierung, Kompression und Verschlüsselung = Schicht 6.
Schicht 6 und Schicht 7 unterscheiden
Thema
eher Schicht
HTTP-Anfrage
7
DNS-Abfrage
7
JSON-Datenformat
6 / 7-Bezug
UTF-8-Codierung
6
TLS-Verschlüsselung
6
Zertifikat
6 / 7-Bezug
gzip-Kompression
6
Anwendung verarbeitet Formular
7
Merksatz:
Schicht 6 beschreibt die Form der Daten.
Schicht 7 beschreibt den Dienst.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Welche Aufgabe hat die Darstellungsschicht?
- Was bedeutet Zeichencodierung?
- Was ist UTF-8?
- Was ist der Unterschied zwischen Codierung und Verschlüsselung?
- Was ist Kompression?
- Was ist der Unterschied zwischen verlustfrei und verlustbehaftet?
- Was macht TLS?
- Warum gibt es Zertifikatswarnungen?
- Was ist ein MIME-Type?
- Warum kann eine Webseite falsche Zeichen anzeigen?
- Warum ist Base64 keine Verschlüsselung?
- Was ist Serialisierung?
- Warum können Formatfehler bei APIs auftreten?
Typische Prüfungsfallen
Schicht 6 heißt Darstellungsschicht.
Darstellung bedeutet Datenrepräsentation,
nicht nur Bildschirmdarstellung.
UTF-8 ist eine Zeichencodierung.
ASCII ist begrenzt.
Unicode ist ein Zeichensatzstandard.
JSON und XML sind Datenformate.
Kompression ist keine Verschlüsselung.
Codierung ist keine Verschlüsselung.
Base64 ist keine Verschlüsselung.
Hashing ist keine Verschlüsselung.
TLS verschlüsselt und schützt Daten.
HTTPS nutzt TLS.
Zertifikat muss gültig und passend sein.
MIME-Type hilft beim richtigen Interpretieren von Daten.
Falsche Codierung führt zu Zeichenfehlern.
Schicht 6 ist in der Praxis oft mit Schicht 7 verbunden.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Darstellungsschicht
OSI-Schicht 6
Datenformat
Struktur und Aufbau von Daten
Zeichencodierung
Zuordnung von Zeichen zu digitalen Werten
ASCII
ältere einfache Zeichencodierung
Unicode
Standard für viele Zeichen weltweit
UTF-8
verbreitete Unicode-Codierung
Kompression
Verkleinerung von Daten
verlustfrei
Original vollständig wiederherstellbar
verlustbehaftet
Datenverlust zugunsten kleinerer Größe
Verschlüsselung
Daten für Unbefugte unlesbar machen
Entschlüsselung
verschlüsselte Daten wieder lesbar machen
TLS
Verschlüsselung und Schutz zwischen Anwendung und Transport
Zertifikat
Vertrauensnachweis für Serveridentität
MIME-Type
Angabe des Medientyps von Daten
Base64
Codierung von Binärdaten als Text
Hashing
Einweg-Prüfwertbildung
Serialisierung
Umwandlung in übertragbares Format
Deserialisierung
Rückumwandlung aus übertragbarem Format
IHK-sichere Kurzformulierung
Die Darstellungsschicht ist Schicht 6 des OSI-Modells. Sie sorgt dafür, dass Daten in einer Form vorliegen, die vom Empfänger korrekt interpretiert werden kann. Dazu gehören Datenformate, Zeichencodierung, Kompression, Verschlüsselung und Datenumwandlung. Beispiele sind UTF-8 für Zeichencodierung, JSON oder XML als Datenformate, gzip als Kompression und TLS für verschlüsselte Kommunikation. Codierung und Kompression sind nicht dasselbe wie Verschlüsselung. In modernen Netzwerken sind Aufgaben der Darstellungsschicht oft eng mit der Anwendungsschicht verbunden.
Merksätze
Schicht 6 = Darstellungsschicht.
Schicht 6 = Daten darstellen und umwandeln.
Darstellung bedeutet Datenrepräsentation.
Datenformat legt Aufbau von Daten fest.
Zeichencodierung übersetzt Zeichen in digitale Werte.
ASCII ist begrenzt.
Unicode umfasst viele Zeichen.
UTF-8 ist sehr verbreitet.
Falsche Codierung erzeugt Zeichenfehler.
Kompression reduziert Datenmenge.
Verlustfrei = exakt wiederherstellbar.
Verlustbehaftet = kleiner,
aber nicht exakt original.
Verschlüsselung schützt Vertraulichkeit.
Entschlüsselung macht Daten wieder lesbar.
TLS schützt Daten bei HTTPS.
Zertifikat prüft Serververtrauen.
Codierung ist keine Verschlüsselung.
Base64 ist keine Verschlüsselung.
Hashing ist keine Verschlüsselung.
MIME-Type beschreibt den Datentyp.
JSON und XML sind Datenformate.
Serialisierung macht Daten übertragbar.
Schicht 6 ist oft eng mit Schicht 7 verbunden.
9.2 TLS, Zertifikate und Verschlüsselung
TLS gehört zu den wichtigsten Sicherheitsgrundlagen moderner Netzwerke.
TLS steht für:
Transport Layer Security
TLS wird genutzt, um Daten bei der Übertragung zu schützen.
Das bekannteste Beispiel ist:
HTTPS
HTTPS bedeutet:
HTTP über TLS
Merksatz:
TLS schützt Daten zwischen Client und Server.
Warum braucht man TLS?
Ohne Verschlüsselung können Daten auf dem Übertragungsweg mitgelesen oder manipuliert werden.
Beispiele für sensible Daten:
- Passwörter
- Session-Cookies
- Kundendaten
- Zahlungsdaten
- persönliche Daten
- API-Tokens
- interne Verwaltungsdaten
TLS schützt diese Daten während der Übertragung.
Merksatz:
TLS schützt Daten unterwegs.
Welche Schutzziele hat TLS?
TLS schützt vor allem drei Dinge:
Schutzziel
Bedeutung
Vertraulichkeit
Daten können nicht einfach mitgelesen werden
Integrität
Daten können nicht unbemerkt verändert werden
Authentizität
Gegenstelle kann überprüft werden
Merksatz:
TLS schützt Vertraulichkeit,
Integrität
und Authentizität.
Vertraulichkeit
Vertraulichkeit bedeutet:
Nur berechtigte Kommunikationspartner können die Daten lesen.
Beispiel:
Ein Benutzer meldet sich auf einer Webseite an.
Ohne TLS könnten Zugangsdaten im Netzwerk mitgelesen werden.
Mit TLS werden die Daten verschlüsselt übertragen.
Merksatz:
Vertraulichkeit = Schutz vor Mitlesen.
Integrität
Integrität bedeutet:
Daten werden nicht unbemerkt verändert.
Beispiel:
Ein Angreifer verändert unterwegs eine Antwort des Servers.
TLS soll solche Manipulationen erkennbar machen.
Wenn die Daten verändert wurden, wird die Verbindung als ungültig erkannt.
Merksatz:
Integrität = Schutz vor unbemerkter Veränderung.
Authentizität
Authentizität bedeutet:
Der Kommunikationspartner ist wirklich der,
für den er sich ausgibt.
Beispiel:
Browser verbindet sich mit:
https://bank.example
Der Browser prüft über das Zertifikat:
Passt das Zertifikat zum Namen?
Ist es gültig?
Ist es vertrauenswürdig?
Merksatz:
Authentizität = Echtheit der Gegenstelle.
TLS und HTTPS
HTTP ist unverschlüsselt.
HTTPS ist HTTP über TLS.
Vergleich:
Protokoll
Verschlüsselung
typischer Port
HTTP
nein
TCP 80
HTTPS
ja, TLS
TCP 443
Bei HTTPS werden HTTP-Daten innerhalb einer TLS-geschützten Verbindung übertragen.
Merksatz:
HTTPS = HTTP + TLS.
TLS im OSI-Modell
TLS wird oft der Darstellungsschicht zugeordnet.
Warum?
TLS verschlüsselt,
entschlüsselt
und schützt die Darstellung der übertragenen Daten.
In der Praxis liegt TLS zwischen Anwendung und Transport.
Vereinfacht:
HTTP
TLS
TCP
IP
Ethernet
Merksatz:
TLS liegt praktisch zwischen Anwendung und TCP.
TLS ist nicht TCP
TLS und TCP dürfen nicht verwechselt werden.
Thema
Einordnung
TCP
Transportprotokoll auf Schicht 4
TLS
Verschlüsselungs- und Schutzschicht
HTTPS
HTTP über TLS
Port 443
typischer HTTPS-Port
TCP baut die Transportverbindung auf.
TLS schützt die darüber übertragenen Daten.
Merksatz:
TCP transportiert.
TLS schützt.
TLS ist nicht HTTPS
TLS ist die Schutzschicht.
HTTPS ist ein Anwendungsprotokoll, das TLS nutzt.
Beispiel:
HTTPS = HTTP über TLS
TLS kann aber auch bei anderen Protokollen verwendet werden.
Beispiele:
- SMTPS
- IMAPS
- POP3S
- LDAPS
- FTPS
Merksatz:
HTTPS nutzt TLS,
aber TLS ist nicht nur HTTPS.
Zertifikat
Ein Zertifikat ist ein digitaler Nachweis.
Es hilft dem Client zu prüfen:
Spreche ich wirklich mit dem richtigen Server?
Ein TLS-Zertifikat enthält unter anderem:
- Domainname
- öffentlicher Schlüssel
- Aussteller
- Gültigkeitszeitraum
- Signatur
- alternative Namen
Merksatz:
Zertifikat = digitaler Vertrauensnachweis.
Domainname im Zertifikat
Ein Zertifikat muss zum aufgerufenen Namen passen.
Beispiel:
Aufgerufen:
wiki.firma.de
Das Zertifikat muss für diesen Namen gültig sein.
Wenn das Zertifikat nur für einen anderen Namen gilt, warnt der Browser.
Beispiel Fehler:
Zertifikat gilt für:
server.local
Aufgerufen wird:
wiki.firma.de
Merksatz:
Der Name im Browser muss zum Zertifikat passen.
Subject Alternative Name
Moderne Zertifikate nutzen häufig sogenannte alternative Namen.
Diese heißen:
Subject Alternative Name
Kurz:
SAN
Dort stehen die Namen, für die das Zertifikat gültig ist.
Beispiele:
wiki.firma.de
cloud.firma.de
www.firma.de
Merksatz:
SAN enthält gültige Namen eines Zertifikats.
Wildcard-Zertifikat
Ein Wildcard-Zertifikat gilt für mehrere Subdomains einer Domain.
Beispiel:
*.firma.de
Das kann gelten für:
wiki.firma.de
cloud.firma.de
mail.firma.de
Aber normalerweise nicht automatisch für:
firma.de
intern.wiki.firma.de
Merksatz:
Wildcard-Zertifikat gilt für viele Subdomains einer Ebene.
Zertifizierungsstelle
Eine Zertifizierungsstelle wird auch genannt:
Certificate Authority
Kurz:
CA
Die CA stellt Zertifikate aus und signiert sie.
Der Client vertraut dem Zertifikat,
wenn er der ausstellenden CA vertraut.
Merksatz:
CA = vertrauenswürdige Stelle für Zertifikate.
Zertifikatskette
Ein Serverzertifikat steht meistens nicht allein.
Es gehört zu einer Zertifikatskette.
Typische Bestandteile:
- Serverzertifikat
- Zwischenzertifikat
- Root-Zertifikat
Der Client prüft die Kette bis zu einer vertrauenswürdigen Root-CA.
Merksatz:
Zertifikatskette verbindet Serverzertifikat mit vertrauenswürdiger CA.
Root-Zertifikat
Ein Root-Zertifikat ist ein besonders vertrauenswürdiges Zertifikat einer CA.
Betriebssysteme und Browser bringen viele Root-Zertifikate bereits mit.
Wenn ein Root-Zertifikat vertraut wird,
können daraus abgeleitete Zertifikatsketten ebenfalls vertraut werden.
Merksatz:
Root-Zertifikat = Vertrauensanker.
Zwischenzertifikat
Zwischenzertifikate liegen zwischen Root-CA und Serverzertifikat.
Sie werden auch genannt:
Intermediate Certificates
Wenn ein Zwischenzertifikat fehlt,
kann die Vertrauenskette unvollständig sein.
Folge:
Browser oder Client zeigt Zertifikatswarnung.
Merksatz:
Fehlendes Zwischenzertifikat kann TLS-Warnungen verursachen.
Selbstsigniertes Zertifikat
Ein selbstsigniertes Zertifikat wurde nicht von einer allgemein vertrauenswürdigen CA ausgestellt.
Es kann technisch verschlüsseln,
aber der Client vertraut ihm normalerweise nicht automatisch.
Typische Nutzung:
- Testumgebung
- internes Labor
- Homelab
- Entwicklung
Für produktive öffentliche Dienste nutzt man normalerweise ein Zertifikat einer vertrauenswürdigen CA.
Merksatz:
Selbstsigniert kann verschlüsseln,
ist aber nicht automatisch vertrauenswürdig.
Gültigkeitszeitraum
Zertifikate sind zeitlich begrenzt gültig.
Ein Zertifikat hat:
gültig ab
gültig bis
Wenn ein Zertifikat abgelaufen ist, zeigen Clients Warnungen.
Auch eine falsche Systemzeit kann Zertifikatsfehler auslösen.
Merksatz:
Zertifikat und Systemzeit müssen gültig sein.
Öffentlicher und privater Schlüssel
TLS verwendet asymmetrische Kryptografie.
Dabei gibt es:
öffentlichen Schlüssel
privaten Schlüssel
Der öffentliche Schlüssel steckt im Zertifikat.
Der private Schlüssel bleibt geheim auf dem Server.
Wichtig:
Der private Schlüssel darf nicht weitergegeben werden.
Merksatz:
Öffentlicher Schlüssel darf bekannt sein.
Privater Schlüssel muss geheim bleiben.
Warum darf der private Schlüssel nicht verloren gehen?
Wenn ein Angreifer den privaten Schlüssel besitzt,
kann er sich unter Umständen als der Server ausgeben
oder geschützte Kommunikation gefährden.
Deshalb muss der private Schlüssel geschützt werden.
Schutzmaßnahmen:
- Dateirechte
- sichere Speicherung
- Zugriffsbeschränkung
- keine Weitergabe
- regelmäßige Erneuerung bei Verdacht
Merksatz:
Privater Schlüssel ist kritisch.
TLS-Handshake
Beim TLS-Handshake einigen sich Client und Server auf die geschützte Kommunikation.
Vereinfacht passiert:
1. Client kontaktiert Server.
2. Server sendet Zertifikat.
3. Client prüft Zertifikat.
4. Beide einigen sich auf Verschlüsselungsverfahren.
5. Sitzungsschlüssel werden gebildet.
6. Danach werden Daten verschlüsselt übertragen.
Merksatz:
TLS-Handshake bereitet die sichere Verbindung vor.
TCP-Handshake und TLS-Handshake unterscheiden
Bei HTTPS passieren mehrere Schritte.
Vereinfacht:
1. TCP-Verbindung wird aufgebaut.
2. TLS-Handshake wird durchgeführt.
3. HTTP-Daten werden verschlüsselt übertragen.
Unterschied:
Vorgang
Zweck
TCP-Handshake
Transportverbindung aufbauen
TLS-Handshake
sichere Verschlüsselung aushandeln
HTTP-Anfrage
Anwendungskommunikation
Merksatz:
Erst TCP,
dann TLS,
dann HTTP.
Symmetrische und asymmetrische Verschlüsselung
TLS nutzt Konzepte aus beiden Bereichen.
Asymmetrisch:
öffentlicher und privater Schlüssel
Symmetrisch:
gemeinsamer Sitzungsschlüssel
Warum?
Asymmetrische Verfahren helfen beim sicheren Aushandeln.
Symmetrische Verfahren sind schneller für die Datenübertragung.
Merksatz:
Asymmetrisch für Aushandlung,
symmetrisch für schnelle Datenübertragung.
Sitzungsschlüssel
Ein Sitzungsschlüssel ist ein temporärer Schlüssel für eine konkrete Verbindung.
Er wird während des TLS-Handshakes ausgehandelt.
Danach werden die Nutzdaten mit diesem Sitzungsschlüssel verschlüsselt.
Merksatz:
Sitzungsschlüssel schützt die konkrete TLS-Verbindung.
TLS-Versionen
TLS hat verschiedene Versionen.
Wichtige Versionen:
TLS 1.2
TLS 1.3
Ältere Versionen wie SSL oder TLS 1.0 und TLS 1.1 gelten heute als veraltet.
Für moderne Systeme gilt:
aktuelle TLS-Versionen verwenden
alte unsichere Verfahren deaktivieren
Merksatz:
SSL ist veraltet.
TLS 1.2 und TLS 1.3 sind heute wichtig.
SSL und TLS
SSL steht für:
Secure Sockets Layer
SSL ist der ältere Vorgänger von TLS.
Im Alltag sagen manche noch „SSL-Zertifikat“.
Technisch korrekt ist heute meistens:
TLS-Zertifikat
oder einfach:
Zertifikat für HTTPS
Merksatz:
SSL ist alt,
TLS ist der moderne Begriff.
Cipher Suite
Eine Cipher Suite beschreibt,
welche kryptografischen Verfahren für eine TLS-Verbindung genutzt werden.
Dazu gehören zum Beispiel:
- Schlüsselaustausch
- Verschlüsselung
- Integritätsschutz
Moderne Systeme sollten sichere Cipher Suites verwenden.
Merksatz:
Cipher Suite = Kombination kryptografischer Verfahren.
Perfect Forward Secrecy
Perfect Forward Secrecy bedeutet:
Selbst wenn später ein langfristiger Schlüssel kompromittiert wird,
sollen alte aufgezeichnete Verbindungen nicht nachträglich entschlüsselt werden können.
Dafür werden kurzlebige Sitzungsschlüssel verwendet.
Für AP1/AP2 reicht meistens:
Moderne TLS-Konfigurationen sollen alte Verbindungen besser schützen.
Merksatz:
Forward Secrecy schützt alte Sitzungen besser.
Zertifikatsprüfung durch den Client
Ein Client prüft bei TLS unter anderem:
- Ist das Zertifikat noch gültig?
- Passt der Name zur aufgerufenen Adresse?
- Ist die Zertifikatskette vollständig?
- Ist die ausstellende CA vertrauenswürdig?
- Wurde das Zertifikat widerrufen?
- Ist die Signatur korrekt?
Wenn eine Prüfung fehlschlägt, erscheint eine Warnung oder die Verbindung wird blockiert.
Merksatz:
TLS-Vertrauen entsteht durch mehrere Prüfungen.
Zertifikatswiderruf
Ein Zertifikat kann vor Ablauf ungültig werden.
Gründe:
- privater Schlüssel kompromittiert
- Zertifikat falsch ausgestellt
- Domain nicht mehr berechtigt
- Sicherheitsvorfall
Möglichkeiten zur Prüfung:
- CRL
- OCSP
Merksatz:
Zertifikate können vor Ablauf widerrufen werden.
Häufige Zertifikatsfehler
Typische Zertifikatsfehler sind:
- Zertifikat abgelaufen
- Zertifikat noch nicht gültig
- falscher Domainname
- Zertifikat nicht vertrauenswürdig
- Zwischenzertifikat fehlt
- selbstsigniertes Zertifikat
- Zertifikat wurde widerrufen
- Systemzeit falsch
- falsches Zertifikat auf dem Server
Merksatz:
Zertifikatsfehler sind häufig Namens-, Zeit- oder Vertrauensprobleme.
Fehlerbild: Zertifikat abgelaufen
Symptom:
Browser meldet abgelaufenes Zertifikat.
Mögliche Ursachen:
- Zertifikat nicht erneuert
- automatische Erneuerung fehlgeschlagen
- falsches Zertifikat aktiv
- Server lädt alte Zertifikatsdatei
- Systemzeit falsch
Lösungsidee:
Zertifikat erneuern,
Dienst neu laden,
Zertifikatskette prüfen.
Merksatz:
Abgelaufenes Zertifikat muss erneuert werden.
Fehlerbild: Name passt nicht
Symptom:
Browser meldet,
dass das Zertifikat nicht zum Namen passt.
Beispiel:
Aufruf:
https://wiki.firma.de
Zertifikat gültig für:
cloud.firma.de
Mögliche Ursachen:
- falsches Zertifikat installiert
- falscher virtueller Host
- DNS zeigt auf falschen Server
- Reverse Proxy liefert falsches Zertifikat
- SAN-Eintrag fehlt
Merksatz:
Aufgerufener Name muss im Zertifikat enthalten sein.
Fehlerbild: Zertifikat nicht vertrauenswürdig
Symptom:
Client vertraut dem Zertifikat nicht.
Mögliche Ursachen:
- selbstsigniertes Zertifikat
- interne CA nicht installiert
- Zertifikatskette unvollständig
- unbekannte CA
- manipuliertes Zertifikat
- Proxy mit eigener CA
Merksatz:
Client muss der ausstellenden CA vertrauen.
Fehlerbild: Zwischenzertifikat fehlt
Symptom:
Manche Clients akzeptieren Zertifikat,
andere zeigen Warnungen.
Mögliche Ursache:
Server liefert die Zertifikatskette nicht vollständig aus.
Besonders ältere oder strengere Clients können dann nicht bis zur Root-CA prüfen.
Merksatz:
Server muss vollständige Zertifikatskette liefern.
Fehlerbild: Falsche Systemzeit
Symptom:
Viele Zertifikate wirken plötzlich ungültig.
Mögliche Ursache:
Datum oder Uhrzeit des Clients ist falsch.
Warum?
Zertifikate haben einen Gültigkeitszeitraum.
Wenn die Systemzeit falsch ist,
kann ein gültiges Zertifikat als ungültig bewertet werden.
Merksatz:
Falsche Uhrzeit kann TLS-Probleme verursachen.
Fehlerbild: TLS-Version zu alt
Symptom:
Verbindung zu einem Dienst schlägt fehl,
obwohl IP und Port erreichbar sind.
Mögliche Ursache:
Client oder Server unterstützt nur veraltete TLS-Versionen.
Beispiele:
TLS 1.0
TLS 1.1
alte SSL-Versionen
Moderne Systeme blockieren solche Verbindungen oft.
Merksatz:
Alte TLS-Versionen können Verbindungen verhindern.
Fehlerbild: Cipher Suite passt nicht
Symptom:
TLS-Verbindung kommt nicht zustande.
Mögliche Ursache:
Client und Server finden kein gemeinsames sicheres Verfahren.
Das kann passieren bei:
- alten Clients
- alten Servern
- zu strenger TLS-Konfiguration
- veralteten Verschlüsselungsverfahren
- fehlenden Updates
Merksatz:
Client und Server brauchen gemeinsame TLS-Verfahren.
Fehlerbild: HTTPS geht intern, extern nicht
Mögliche Ursachen:
- DNS intern und extern unterschiedlich
- Reverse Proxy liefert extern anderes Zertifikat
- Portweiterleitung falsch
- Firewall blockiert TCP 443
- Zertifikat gilt nicht für externen Namen
- CGNAT oder Providerproblem
- interne CA wird extern nicht vertraut
Merksatz:
HTTPS-Probleme können DNS, TLS, Firewall und NAT betreffen.
Fehlerbild: HTTPS geht, aber Browser warnt
Wenn eine Webseite erreichbar ist, aber der Browser warnt,
ist meist der Transportweg bis zum Server möglich.
Das Problem liegt dann häufig bei:
- Zertifikat
- Name
- Vertrauenskette
- Gültigkeit
- TLS-Konfiguration
Merksatz:
Erreichbar mit Warnung bedeutet oft:
TLS-Vertrauen stimmt nicht.
Verschlüsselung ist nicht gleich Authentifizierung
Verschlüsselung bedeutet:
Daten sind nicht lesbar für Unbefugte.
Authentifizierung bedeutet:
Identität wird geprüft.
TLS kann beides unterstützen:
Verschlüsselung der Daten
Prüfung des Serverzertifikats
Aber:
Ein verschlüsselter Kanal allein sagt nicht,
dass der Benutzer berechtigt ist.
Merksatz:
Verschlüsselung schützt Daten.
Authentifizierung prüft Identität.
Serverauthentifizierung
Bei HTTPS authentifiziert sich normalerweise der Server gegenüber dem Client.
Der Browser prüft das Serverzertifikat.
Ziel:
Der Client soll wissen,
dass er mit dem richtigen Server spricht.
Merksatz:
Serverzertifikat bestätigt die Serveridentität.
Clientzertifikat
TLS kann auch Clientzertifikate verwenden.
Dann authentifiziert sich nicht nur der Server,
sondern auch der Client mit einem Zertifikat.
Das nennt man häufig:
mTLS
mTLS steht für:
mutual TLS
Typische Nutzung:
- interne APIs
- Zero-Trust-Umgebungen
- besonders geschützte Systeme
- Maschinen-zu-Maschinen-Kommunikation
Merksatz:
mTLS = beide Seiten weisen sich mit Zertifikat aus.
TLS und E-Mail-Protokolle
Auch E-Mail-Protokolle können TLS nutzen.
Beispiele:
Protokoll
unverschlüsselt
verschlüsselte Variante
SMTP
TCP 25
STARTTLS oder SMTPS
IMAP
TCP 143
IMAPS TCP 993
POP3
TCP 110
POP3S TCP 995
Merksatz:
Viele klassische Protokolle haben TLS-geschützte Varianten.
STARTTLS
STARTTLS bedeutet:
Eine Verbindung beginnt zunächst unverschlüsselt
und wird dann auf TLS umgestellt.
Typisch bei:
SMTP
IMAP
POP3
Wichtig:
STARTTLS ist nicht dasselbe wie von Anfang an verschlüsselte Verbindung auf eigenem TLS-Port.
Merksatz:
STARTTLS schaltet innerhalb einer bestehenden Verbindung auf TLS um.
Ende-zu-Ende-Verschlüsselung und Transportverschlüsselung
TLS ist normalerweise Transportverschlüsselung.
Das bedeutet:
Die Verbindung zwischen zwei Kommunikationspunkten ist geschützt.
Ende-zu-Ende-Verschlüsselung bedeutet:
Daten bleiben vom Absender bis zum endgültigen Empfänger geschützt,
auch wenn Zwischenserver beteiligt sind.
Beispiel:
TLS schützt Verbindung zum Mailserver.
E-Mail-Ende-zu-Ende-Verschlüsselung schützt den Inhalt bis zum Empfänger.
Merksatz:
TLS ist meist Transportverschlüsselung,
nicht automatisch Ende-zu-Ende-Verschlüsselung.
TLS und Reverse Proxy
Ein Reverse Proxy kann TLS beenden.
Das nennt man:
TLS Termination
Ablauf:
Client → HTTPS → Reverse Proxy
Reverse Proxy → HTTP oder HTTPS → interner Server
Vorteile:
- zentrale Zertifikatsverwaltung
- einheitliche TLS-Konfiguration
- Lastverteilung
- Schutz interner Dienste
Risiko:
Interne Strecke muss ebenfalls passend geschützt werden,
wenn dort sensible Daten laufen.
Merksatz:
TLS Termination beendet TLS am Reverse Proxy.
TLS Passthrough
TLS Passthrough bedeutet:
Der Reverse Proxy leitet die TLS-Verbindung weiter,
ohne sie selbst zu entschlüsseln.
Der interne Server verarbeitet dann TLS selbst.
Vorteil:
TLS bleibt bis zum Zielserver bestehen.
Nachteil:
Proxy kann Inhalte nicht so einfach auswerten oder steuern.
Merksatz:
TLS Passthrough leitet verschlüsselt weiter.
HSTS
HSTS steht für:
HTTP Strict Transport Security
HSTS teilt dem Browser mit:
Diese Webseite soll nur noch über HTTPS aufgerufen werden.
Dadurch wird verhindert,
dass der Browser versehentlich unverschlüsselt über HTTP verbindet.
Merksatz:
HSTS erzwingt HTTPS im Browser.
Mixed Content
Mixed Content bedeutet:
Eine HTTPS-Seite lädt unsichere HTTP-Inhalte nach.
Beispiel:
Seite selbst:
https://wiki.firma.de
eingebundenes Bild oder Script:
http://example.com/script.js
Das kann Sicherheitswarnungen verursachen oder blockiert werden.
Merksatz:
HTTPS-Seite sollte keine HTTP-Inhalte nachladen.
TLS und Performance
TLS braucht Rechenleistung,
besonders beim Verbindungsaufbau.
Moderne TLS-Versionen sind aber effizient.
Möglichkeiten zur Optimierung:
- TLS 1.3
- Session Resumption
- moderne Cipher Suites
- HTTP/2 oder HTTP/3
- saubere Zertifikatskette
Merksatz:
TLS kostet etwas Aufwand,
ist aber für Sicherheit unverzichtbar.
TLS-Fehlersuche systematisch
Eine sinnvolle Reihenfolge:
1. IP-Erreichbarkeit prüfen
2. TCP-Port 443 prüfen
3. Zertifikat prüfen
4. Domainname prüfen
5. Zertifikatskette prüfen
6. Gültigkeitszeitraum prüfen
7. Systemzeit prüfen
8. TLS-Version und Cipher Suites prüfen
9. Reverse Proxy prüfen
10. Anwendungslogs prüfen
Merksatz:
Erst Verbindung,
dann TLS-Vertrauen,
dann Anwendung.
TLS oder DNS?
Viele TLS-Fehler hängen mit DNS zusammen.
Beispiel:
DNS zeigt auf falschen Server.
Folge:
Man erreicht einen Server,
aber dieser liefert ein Zertifikat für eine andere Domain.
Prüfung:
Welche IP liefert DNS?
Welcher Server antwortet?
Welches Zertifikat wird geliefert?
Passt der Name?
Merksatz:
Falsches DNS kann falsches Zertifikat verursachen.
TLS oder Firewall?
Wenn der TCP-Port 443 nicht erreichbar ist,
kommt TLS gar nicht richtig zum Einsatz.
Dann prüft man zuerst:
- Routing
- Firewall
- NAT
- Portweiterleitung
- Dienst lauscht auf TCP 443
Wenn TCP 443 erreichbar ist,
aber eine Zertifikatswarnung erscheint,
prüft man TLS und Zertifikat.
Merksatz:
Kein TCP 443 = Schicht 4 prüfen.
Zertifikatswarnung = TLS prüfen.
TLS oder Anwendung?
Wenn TLS erfolgreich ist,
kann die Anwendung trotzdem Fehler haben.
Beispiele:
- HTTP 404
- HTTP 500
- Loginfehler
- Berechtigungsfehler
- API-Fehler
- falscher Reverse-Proxy-Pfad
Dann ist nicht TLS das Hauptproblem,
sondern die Anwendung auf höherer Schicht.
Merksatz:
TLS erfolgreich heißt nicht:
Anwendung korrekt.
Was TLS nicht macht
TLS macht nicht:
- IP-Adresse vergeben
- Routing übernehmen
- TCP-Port öffnen
- DNS-Namen auflösen
- Benutzerrechte festlegen
- Webanwendung fehlerfrei machen
- Server automatisch sicher konfigurieren
- Schadsoftware verhindern
TLS schützt nur einen wichtigen Teil:
die Verbindung und Vertrauensprüfung.
Merksatz:
TLS schützt die Übertragung,
ersetzt aber kein Sicherheitskonzept.
Einordnung in das OSI-Modell
Thema
Schicht
IP-Adresse
3
Routing
3
TCP 443
4
TLS-Handshake
6 mit Schicht-4-/7-Bezug
Zertifikat
6 / 7
HTTPS
7 über TLS
HTTP-Inhalt
7
DNS-Name
7
Cookie
7 mit Sitzungsbezug
Merksatz:
TCP 443 ist Schicht 4.
TLS schützt darüber.
HTTPS ist die Anwendung darüber.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist TLS?
- Wofür wird TLS verwendet?
- Was ist der Unterschied zwischen HTTP und HTTPS?
- Welche Schutzziele bietet TLS?
- Was ist ein Zertifikat?
- Was prüft ein Client bei einem Zertifikat?
- Warum erscheint eine Zertifikatswarnung?
- Was ist eine Zertifizierungsstelle?
- Was ist eine Zertifikatskette?
- Was ist ein selbstsigniertes Zertifikat?
- Warum muss der Domainname zum Zertifikat passen?
- Was ist der Unterschied zwischen Verschlüsselung und Authentifizierung?
- Was ist STARTTLS?
- Was bedeutet TLS Termination?
- Warum ist TLS allein kein vollständiges Sicherheitskonzept?
Typische Prüfungsfallen
TLS ist nicht TCP.
TLS ist nicht HTTPS.
HTTPS nutzt TLS.
HTTP ist unverschlüsselt.
HTTPS nutzt typischerweise TCP 443.
TCP-Handshake kommt vor TLS-Handshake.
Zertifikat muss zum Namen passen.
Zertifikat muss gültig sein.
Client muss der CA vertrauen.
Zertifikatskette muss vollständig sein.
Selbstsigniert heißt nicht automatisch vertrauenswürdig.
Falsche Systemzeit kann Zertifikatsfehler verursachen.
SSL ist veraltet.
TLS ist der moderne Begriff.
Verschlüsselung ist nicht dasselbe wie Authentifizierung.
TLS schützt die Übertragung,
aber nicht automatisch die Anwendung.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
TLS
Transport Layer Security
SSL
älterer Vorgänger von TLS
HTTPS
HTTP über TLS
Zertifikat
digitaler Vertrauensnachweis
CA
Zertifizierungsstelle
Root-Zertifikat
Vertrauensanker
Zwischenzertifikat
Verbindung zwischen Root und Serverzertifikat
Zertifikatskette
Kette von Serverzertifikat bis Root-CA
SAN
alternative Namen im Zertifikat
Wildcard-Zertifikat
Zertifikat für mehrere Subdomains
öffentlicher Schlüssel
Schlüssel im Zertifikat
privater Schlüssel
geheimer Schlüssel des Servers
TLS-Handshake
Aushandlung sicherer Kommunikation
Cipher Suite
Kombination kryptografischer Verfahren
Session Key
temporärer Schlüssel für eine Verbindung
STARTTLS
Umschalten einer Verbindung auf TLS
mTLS
gegenseitige Zertifikatsauthentifizierung
TLS Termination
TLS endet am Proxy
TLS Passthrough
TLS wird verschlüsselt weitergeleitet
HSTS
Browser soll HTTPS erzwingen
Mixed Content
HTTPS-Seite lädt HTTP-Inhalte
IHK-sichere Kurzformulierung
TLS steht für Transport Layer Security und schützt Daten bei der Übertragung zwischen Client und Server. Es bietet Vertraulichkeit, Integrität und Authentizität. Bei HTTPS wird HTTP über TLS übertragen, typischerweise über TCP-Port 443. Ein TLS-Zertifikat hilft dem Client zu prüfen, ob er mit dem richtigen Server spricht. Dazu prüft der Client unter anderem den Domainnamen, den Gültigkeitszeitraum, die Zertifikatskette und die Vertrauenswürdigkeit der Zertifizierungsstelle. TLS ist nicht dasselbe wie TCP und nicht dasselbe wie HTTPS: TCP stellt den Transport bereit, TLS schützt die Verbindung und HTTPS nutzt TLS für Webkommunikation.
Merksätze
TLS = Transport Layer Security.
TLS schützt Daten bei der Übertragung.
HTTPS = HTTP über TLS.
HTTP = unverschlüsselt.
HTTPS = verschlüsselt.
HTTPS nutzt typischerweise TCP 443.
TCP transportiert.
TLS schützt.
HTTP ist Anwendung.
TLS bietet Vertraulichkeit.
TLS bietet Integrität.
TLS bietet Authentizität.
Zertifikat = Vertrauensnachweis.
CA = Zertifizierungsstelle.
Root-Zertifikat = Vertrauensanker.
Zertifikatskette muss vollständig sein.
Domainname muss zum Zertifikat passen.
Zertifikat darf nicht abgelaufen sein.
Client muss der CA vertrauen.
Selbstsigniert ist nicht automatisch vertrauenswürdig.
Privater Schlüssel muss geheim bleiben.
Erst TCP-Handshake,
dann TLS-Handshake,
dann HTTP.
SSL ist veraltet.
TLS ist modern.
STARTTLS schaltet auf TLS um.
TLS Termination beendet TLS am Proxy.
TLS Passthrough leitet TLS verschlüsselt weiter.
HSTS erzwingt HTTPS.
Mixed Content vermeiden.
TLS schützt die Verbindung,
ersetzt aber kein vollständiges Sicherheitskonzept.
9.3 Merksätze und Prüfungswissen zu OSI-Schicht 6
Diese Seite fasst die wichtigsten Inhalte zur OSI-Schicht 6 zusammen.
OSI-Schicht 6 heißt:
Darstellungsschicht
Die Hauptaufgabe von Schicht 6 ist:
Daten so darstellen, codieren, komprimieren oder verschlüsseln,
dass sie vom Empfänger korrekt verstanden werden können.
Dabei sind besonders wichtig:
- Datenformate
- Zeichencodierung
- Kompression
- Verschlüsselung
- Entschlüsselung
- Zertifikate
- TLS
- Datenumwandlung
- Serialisierung
- MIME-Typen
Merksatz:
Schicht 6 = Darstellung, Codierung, Kompression und Verschlüsselung.
Grundidee von Schicht 6
Schicht 6 beschreibt, in welcher Form Daten vorliegen.
Beispiele:
Text als UTF-8
Bild als JPEG
Daten als JSON
Webseite über TLS verschlüsselt
Datei als ZIP komprimiert
Damit Kommunikation funktioniert, müssen Sender und Empfänger die Daten gleich interpretieren.
Merksatz:
Schicht 6 sorgt dafür,
dass Daten richtig verstanden werden.
Schicht 5, 6 und 7 unterscheiden
Schicht
Name
Grundidee
5
Sitzungsschicht
Sitzungen verwalten
6
Darstellungsschicht
Daten darstellen, codieren, schützen
7
Anwendungsschicht
Netzwerkdienste für Anwendungen
Beispiel Webanwendung:
Schicht 5:
Benutzer bleibt angemeldet.
Schicht 6:
Daten sind UTF-8-codiert und per TLS geschützt.
Schicht 7:
HTTP liefert Webseite oder API.
Merksatz:
Schicht 5 = Sitzung.
Schicht 6 = Darstellung.
Schicht 7 = Anwendung.
Darstellung bedeutet Datenrepräsentation
Darstellungsschicht bedeutet nicht nur:
Anzeige auf dem Bildschirm
Sondern fachlich:
Wie sind Daten codiert?
In welchem Format liegen sie vor?
Sind sie komprimiert?
Sind sie verschlüsselt?
Wie werden sie interpretiert?
Merksatz:
Darstellungsschicht meint Datenrepräsentation,
nicht nur optische Anzeige.
Datenformat
Ein Datenformat legt fest, wie Daten aufgebaut sind.
Beispiele:
Datenart
Beispiele
Text / Struktur
JSON, XML, HTML
Bild
JPEG, PNG, GIF, SVG
Audio
WAV, MP3, AAC, FLAC
Video
MP4, H.264, H.265
Dokument
PDF, DOCX
Archiv
ZIP, 7z
Wenn der Empfänger das Format nicht versteht,
kann er die Daten nicht korrekt verarbeiten.
Merksatz:
Datenformat = Aufbau und Struktur von Daten.
JSON
JSON steht für:
JavaScript Object Notation
JSON ist ein häufiges Format für strukturierte Daten.
Typisch bei:
- APIs
- Webanwendungen
- Konfigurationsdateien
- Datenaustausch zwischen Systemen
Beispiel:
{
"name": "Felix",
"rolle": "FISI",
"aktiv": true
}
Merksatz:
JSON ist ein kompaktes Format für strukturierte Daten.
XML
XML steht für:
Extensible Markup Language
XML ist ein strukturiertes Textformat mit Tags.
Typisch bei:
- älteren Schnittstellen
- Konfigurationsdateien
- Dokumentenformaten
- Webservices
- Datenaustausch
Beispiel:
Felix
FISI
Merksatz:
XML nutzt Tags zur Strukturierung von Daten.
JSON und XML vergleichen
Merkmal
JSON
XML
Schreibweise
kompakter
ausführlicher
Struktur
Objekte und Arrays
Tags und Elemente
häufig bei
moderne Web-APIs
ältere Schnittstellen, Dokumente
Lesbarkeit
meist kürzer
oft länger
Datenaustausch
sehr verbreitet
weiterhin wichtig
Merksatz:
JSON und XML sind Formate für strukturierten Datenaustausch.
Zeichencodierung
Zeichencodierung legt fest,
wie Zeichen als digitale Werte gespeichert werden.
Beispiele für Zeichen:
A
ä
ß
€
中
😊
Ohne passende Codierung können Zeichen falsch dargestellt werden.
Merksatz:
Zeichencodierung übersetzt Zeichen in digitale Werte.
ASCII
ASCII ist eine ältere Zeichencodierung.
ASCII enthält vor allem:
- englische Buchstaben
- Ziffern
- Satzzeichen
- Steuerzeichen
Klassisches ASCII enthält keine deutschen Umlaute wie:
ä
ö
ü
ß
Merksatz:
ASCII ist einfach,
aber für viele Sprachen zu begrenzt.
Unicode
Unicode ist ein Standard für sehr viele Zeichen.
Dazu gehören:
- lateinische Zeichen
- deutsche Umlaute
- griechische Zeichen
- kyrillische Zeichen
- asiatische Schriftzeichen
- Symbole
- Emojis
Unicode beschreibt, welche Zeichen es gibt.
Merksatz:
Unicode ist ein großer Zeichensatzstandard.
UTF-8
UTF-8 ist eine sehr verbreitete Codierung für Unicode.
UTF-8 wird häufig verwendet bei:
- Webseiten
- Linux-Systemen
- APIs
- Datenbanken
- Konfigurationsdateien
- E-Mails
Vorteil:
UTF-8 kann sehr viele Zeichen darstellen
und ist mit einfachem ASCII gut kompatibel.
Merksatz:
UTF-8 ist die wichtigste moderne Zeichencodierung.
Typischer Codierungsfehler
Ein typischer Fehler ist:
Müller
wird angezeigt als:
Müller
Das deutet häufig darauf hin,
dass UTF-8-Daten mit falscher Codierung interpretiert wurden.
Mögliche Ursachen:
- falsche Dateicodierung
- falsche Datenbankcodierung
- falscher HTTP-Header
- falscher Import
- falsche Anwendungseinstellung
Merksatz:
Kaputte Umlaute sind oft Codierungsprobleme.
Kompression
Kompression bedeutet:
Daten werden verkleinert.
Ziele:
- weniger Speicherplatz
- weniger Datenverkehr
- schnellere Übertragung
- geringere Bandbreitennutzung
Beispiele:
ZIP
gzip
Brotli
JPEG
MP3
H.264
Merksatz:
Kompression reduziert die Datenmenge.
Verlustfreie Kompression
Verlustfreie Kompression bedeutet:
Die Originaldaten können vollständig wiederhergestellt werden.
Beispiele:
- ZIP
- gzip
- PNG
- FLAC
Typisch für:
- Text
- Dokumente
- Programme
- Datenbanken
- Quellcode
Merksatz:
Verlustfrei = exakt wiederherstellbar.
Verlustbehaftete Kompression
Verlustbehaftete Kompression bedeutet:
Daten werden verkleinert,
aber ein Teil der ursprünglichen Information geht verloren.
Beispiele:
- JPEG
- MP3
- AAC
- H.264
- H.265
Typisch für:
- Fotos
- Musik
- Videos
Merksatz:
Verlustbehaftet = kleiner,
aber nicht exakt original.
Codierung, Kompression und Verschlüsselung unterscheiden
Begriff
Ziel
Sicherheitsfunktion
Codierung
Daten in anderes Format bringen
nein
Kompression
Datenmenge reduzieren
nein
Verschlüsselung
Daten vor unbefugtem Lesen schützen
ja
Wichtig:
Base64 ist Codierung,
aber keine Verschlüsselung.
ZIP ist Kompression,
aber ohne Passwort keine Verschlüsselung.
Merksatz:
Codierung ist nicht automatisch Sicherheit.
Verschlüsselung
Verschlüsselung bedeutet:
Daten werden so umgewandelt,
dass sie ohne passenden Schlüssel nicht lesbar sind.
Ziel:
Schutz der Vertraulichkeit
Beispiele:
- HTTPS
- TLS
- VPN
- E-Mail-Verschlüsselung
- Festplattenverschlüsselung
Merksatz:
Verschlüsselung schützt vor unbefugtem Lesen.
Entschlüsselung
Entschlüsselung bedeutet:
Verschlüsselte Daten werden mit dem passenden Schlüssel wieder lesbar gemacht.
Ohne passenden Schlüssel bleiben die Daten unverständlich.
Merksatz:
Entschlüsselung macht verschlüsselte Daten wieder lesbar.
TLS
TLS steht für:
Transport Layer Security
TLS schützt Daten bei der Übertragung.
Wichtige Schutzziele:
- Vertraulichkeit
- Integrität
- Authentizität
Das bekannteste Beispiel ist:
HTTPS
Merksatz:
TLS schützt Daten zwischen Client und Server.
HTTPS
HTTPS bedeutet:
HTTP über TLS
Vergleich:
Protokoll
Verschlüsselung
typischer Port
HTTP
nein
TCP 80
HTTPS
ja, TLS
TCP 443
Merksatz:
HTTPS = HTTP mit TLS-Schutz.
TLS im OSI-Modell
TLS wird häufig der Darstellungsschicht zugeordnet,
weil es Daten verschlüsselt, entschlüsselt und schützt.
In der Praxis liegt TLS zwischen Anwendung und Transport.
Vereinfacht:
HTTP
TLS
TCP
IP
Ethernet
Merksatz:
TLS wird oft Schicht 6 zugeordnet,
hat aber praktischen Bezug zu Schicht 4 und 7.
TLS ist nicht TCP
TCP ist ein Transportprotokoll.
TLS ist eine Schutzschicht für die übertragenen Daten.
Unterschied:
Thema
Einordnung
TCP
Transport auf Schicht 4
TLS
Verschlüsselung und Schutz
HTTP
Anwendung auf Schicht 7
HTTPS
HTTP über TLS
Merksatz:
TCP transportiert.
TLS schützt.
HTTP verwendet.
Zertifikat
Ein Zertifikat ist ein digitaler Vertrauensnachweis.
Es hilft dem Client zu prüfen:
Spreche ich mit dem richtigen Server?
Ein Zertifikat enthält unter anderem:
- Domainname
- öffentlicher Schlüssel
- Aussteller
- Gültigkeitszeitraum
- Signatur
- alternative Namen
Merksatz:
Zertifikat = digitaler Vertrauensnachweis.
Zertifizierungsstelle
Eine Zertifizierungsstelle wird genannt:
Certificate Authority
Kurz:
CA
Die CA stellt Zertifikate aus und signiert sie.
Der Client vertraut einem Zertifikat,
wenn er der ausstellenden CA oder der Zertifikatskette vertraut.
Merksatz:
CA = vertrauenswürdige Stelle für Zertifikate.
Zertifikatskette
Eine Zertifikatskette verbindet das Serverzertifikat mit einer vertrauenswürdigen Root-CA.
Typische Bestandteile:
- Serverzertifikat
- Zwischenzertifikat
- Root-Zertifikat
Wenn ein Zwischenzertifikat fehlt,
kann es zu Zertifikatswarnungen kommen.
Merksatz:
Zertifikatskette muss vollständig und vertrauenswürdig sein.
Domainname im Zertifikat
Das Zertifikat muss zum aufgerufenen Namen passen.
Beispiel:
Aufgerufen:
wiki.firma.de
Das Zertifikat muss für diesen Namen gültig sein.
Wenn das Zertifikat für einen anderen Namen gilt,
zeigt der Browser eine Warnung.
Merksatz:
Aufgerufener Name muss im Zertifikat enthalten sein.
Gültigkeitszeitraum
Zertifikate sind nur für einen bestimmten Zeitraum gültig.
Wenn ein Zertifikat abgelaufen ist,
zeigen Clients Warnungen oder blockieren die Verbindung.
Auch falsche Systemzeit kann Zertifikatsfehler erzeugen.
Merksatz:
Zertifikat und Systemzeit müssen gültig sein.
Selbstsigniertes Zertifikat
Ein selbstsigniertes Zertifikat wurde nicht von einer allgemein vertrauenswürdigen CA signiert.
Es kann technisch verschlüsseln,
ist aber für Clients nicht automatisch vertrauenswürdig.
Typische Nutzung:
- Testumgebung
- Labor
- Homelab
- interne Systeme
Merksatz:
Selbstsigniert kann verschlüsseln,
ist aber nicht automatisch vertrauenswürdig.
Öffentlicher und privater Schlüssel
Bei asymmetrischer Kryptografie gibt es:
öffentlichen Schlüssel
privaten Schlüssel
Der öffentliche Schlüssel darf bekannt sein.
Der private Schlüssel muss geheim bleiben.
Bei TLS steckt der öffentliche Schlüssel im Zertifikat.
Merksatz:
Öffentlicher Schlüssel darf öffentlich sein.
Privater Schlüssel muss geheim bleiben.
TLS-Handshake
Beim TLS-Handshake wird die sichere Verbindung vorbereitet.
Vereinfacht:
1. Client verbindet sich mit Server.
2. Server sendet Zertifikat.
3. Client prüft Zertifikat.
4. Verfahren werden ausgehandelt.
5. Sitzungsschlüssel werden gebildet.
6. Nutzdaten werden verschlüsselt übertragen.
Merksatz:
TLS-Handshake bereitet verschlüsselte Kommunikation vor.
TCP-Handshake und TLS-Handshake unterscheiden
Bei HTTPS passiert vereinfacht:
1. TCP-Handshake
2. TLS-Handshake
3. HTTP-Kommunikation
Unterschied:
Vorgang
Zweck
TCP-Handshake
Transportverbindung aufbauen
TLS-Handshake
sichere Verbindung aushandeln
HTTP-Kommunikation
Anwendungskommunikation
Merksatz:
Erst TCP,
dann TLS,
dann HTTP.
Schutzziele von TLS
Schutzziel
Bedeutung
Vertraulichkeit
Schutz vor Mitlesen
Integrität
Schutz vor unbemerkter Veränderung
Authentizität
Prüfung der Gegenstelle
Merksatz:
TLS schützt Vertraulichkeit,
Integrität
und Authentizität.
Base64
Base64 ist eine Codierung.
Sie wandelt Binärdaten in Textzeichen um.
Typische Nutzung:
- E-Mail-Anhänge
- Tokens
- Zertifikatsdaten
- API-Daten
Wichtig:
Base64 ist leicht rückgängig zu machen.
Base64 ist keine Verschlüsselung.
Merksatz:
Base64 = Codierung,
nicht Verschlüsselung.
Hashing
Hashing ist keine Verschlüsselung.
Ein Hash ist ein Prüfwert.
Beispiele:
- SHA-256
- SHA-512
Eigenschaften:
- gleiche Eingabe ergibt gleichen Hash
- kleine Änderung ergibt anderen Hash
- Einwegfunktion
- Original soll nicht aus Hash zurückgerechnet werden
Merksatz:
Hashing prüft Integrität,
verschlüsselt aber nicht.
Passwort-Hashing
Passwörter sollten nicht im Klartext gespeichert werden.
Auch normale schnelle Hashfunktionen sind für Passwörter oft nicht ideal.
Für Passwörter nutzt man spezielle Verfahren mit Salt und Arbeitsfaktor.
Beispiele:
- bcrypt
- Argon2
- PBKDF2
Merksatz:
Passwörter sicher hashen,
nicht im Klartext speichern.
Serialisierung
Serialisierung bedeutet:
Datenstrukturen werden in ein übertragbares oder speicherbares Format umgewandelt.
Beispiel:
Objekt in Anwendung
→ JSON
→ Übertragung
→ JSON wird beim Empfänger wieder verarbeitet
Merksatz:
Serialisierung macht Daten übertragbar.
Deserialisierung
Deserialisierung ist die Rückumwandlung aus einem übertragenen Format.
Beispiel:
JSON
→ Objekt in Anwendung
Wichtig:
Unsichere Deserialisierung kann gefährlich sein,
wenn fremde Daten ungeprüft verarbeitet werden.
Merksatz:
Deserialisierung macht Daten wieder nutzbar.
MIME-Type
Ein MIME-Type beschreibt,
welche Art von Daten übertragen wird.
Beispiele:
MIME-Type
Bedeutung
text/html
HTML-Dokument
application/json
JSON-Daten
image/png
PNG-Bild
image/jpeg
JPEG-Bild
text/css
CSS-Datei
application/pdf
PDF-Dokument
Merksatz:
MIME-Type sagt dem Client,
wie Daten zu interpretieren sind.
Typische Schicht-6-Fehler
Typische Fehler auf Schicht 6 sind:
- falsche Zeichencodierung
- falscher MIME-Type
- ungültiges JSON
- ungültiges XML
- falsches Dateiformat
- defekte Kompression
- nicht unterstütztes Kompressionsverfahren
- Zertifikat abgelaufen
- Zertifikat passt nicht zum Namen
- Zertifikatskette unvollständig
- TLS-Version zu alt
- Cipher Suite nicht kompatibel
- Base64 mit Verschlüsselung verwechselt
Merksatz:
Schicht-6-Fehler betreffen Darstellung,
Format,
Codierung
oder Schutz der Daten.
Fehlerbild: Komische Zeichen
Beispiel:
Müller
wird angezeigt als:
Müller
Mögliche Ursachen:
- falsche Zeichencodierung
- falsche Datenbankcodierung
- falscher HTTP-Header
- falscher Import
- Datei falsch gespeichert
Merksatz:
Komische Zeichen = oft Codierungsproblem.
Fehlerbild: HTTPS-Warnung
Mögliche Ursachen:
- Zertifikat abgelaufen
- Domainname passt nicht
- CA nicht vertrauenswürdig
- Zwischenzertifikat fehlt
- selbstsigniertes Zertifikat
- Systemzeit falsch
- Zertifikat wurde widerrufen
Merksatz:
HTTPS-Warnung = Zertifikat und TLS prüfen.
Fehlerbild: API versteht Daten nicht
Mögliche Ursachen:
- ungültiges JSON
- falscher Content-Type
- falsche Zeichencodierung
- falsche Datentypen
- fehlende Pflichtfelder
- falsches Datumsformat
- ungültige Serialisierung
Merksatz:
API-Fehler können Format- oder Darstellungsprobleme sein.
Fehlerbild: Datei lässt sich nicht öffnen
Mögliche Ursachen:
- falsches Dateiformat
- falsche Dateiendung
- beschädigte Datei
- falscher MIME-Type
- fehlender Codec
- nicht unterstützte Kompression
- Datei unvollständig übertragen
Merksatz:
Datei-Probleme können Format- oder Codierungsprobleme sein.
Schicht 6 und Sicherheit
Schicht 6 hat starken Sicherheitsbezug.
Wichtige Themen:
- TLS
- Zertifikate
- Verschlüsselung
- Integrität
- sichere Codierung
- sichere Deserialisierung
- Hashing
- Schutz vor unsicherer Datenverarbeitung
Merksatz:
Falsche Datenverarbeitung kann Sicherheitslücken erzeugen.
Was Schicht 6 nicht macht
Schicht 6 macht nicht:
- Bits über Kabel übertragen
- MAC-Adressen verwenden
- IP-Pakete routen
- TCP-Verbindungen aufbauen
- Ports öffnen
- Sitzungen verwalten
- DNS-Namen auflösen
- konkrete Anwendung bereitstellen
Diese Aufgaben liegen auf anderen Schichten.
Merksatz:
Schicht 6 stellt Daten dar,
transportiert sie aber nicht selbst.
Prüfungswissen: wichtigste Zuordnungen
Begriff
richtige Einordnung
UTF-8
Schicht 6
ASCII
Schicht 6
Unicode
Schicht 6
JSON
Schicht 6 / 7-Bezug
XML
Schicht 6 / 7-Bezug
Kompression
Schicht 6
Verschlüsselung
Schicht 6
TLS
häufig Schicht 6, praktisch zwischen 4 und 7
Zertifikat
Schicht 6 / 7-Bezug
MIME-Type
Schicht 6 / 7-Bezug
Base64
Codierung, Schicht 6
Hashing
Sicherheits-/Integritätsbezug
TCP
Schicht 4
HTTP
Schicht 7
DNS
Schicht 7
Merksatz:
Codierung,
Kompression
und Verschlüsselung
sind typische Schicht-6-Themen.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Welche Aufgabe hat die Darstellungsschicht?
- Was bedeutet Datenformat?
- Was ist Zeichencodierung?
- Was ist UTF-8?
- Warum werden Umlaute manchmal falsch angezeigt?
- Was ist Kompression?
- Was ist der Unterschied zwischen verlustfrei und verlustbehaftet?
- Was ist Verschlüsselung?
- Was ist TLS?
- Was ist HTTPS?
- Warum ist Base64 keine Verschlüsselung?
- Was ist ein Zertifikat?
- Warum muss der Name zum Zertifikat passen?
- Was ist eine Zertifizierungsstelle?
- Was ist eine Zertifikatskette?
- Warum kann eine HTTPS-Warnung erscheinen?
- Was ist ein MIME-Type?
- Was ist Serialisierung?
Typische Prüfungsfallen
Schicht 6 heißt Darstellungsschicht.
Darstellung bedeutet Datenrepräsentation.
Schicht 6 ist nicht nur Bildschirmdarstellung.
UTF-8 ist eine Zeichencodierung.
ASCII ist begrenzt.
Unicode ist der Zeichensatzstandard.
JSON und XML sind Datenformate.
Kompression ist keine Verschlüsselung.
Codierung ist keine Verschlüsselung.
Base64 ist keine Verschlüsselung.
Hashing ist keine Verschlüsselung.
TLS schützt Daten bei der Übertragung.
HTTPS nutzt TLS.
TLS ist nicht TCP.
TLS ist nicht HTTPS.
Zertifikat muss zum Domainnamen passen.
Zertifikat muss gültig sein.
Client muss der CA vertrauen.
Fehlende Zwischenzertifikate können Warnungen verursachen.
Falsche Systemzeit kann Zertifikatsfehler verursachen.
MIME-Type hilft bei der Interpretation von Daten.
Schicht 6 ist in der Praxis oft eng mit Schicht 7 verbunden.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Darstellungsschicht
OSI-Schicht 6
Datenformat
Aufbau und Struktur von Daten
Zeichencodierung
Zuordnung von Zeichen zu digitalen Werten
ASCII
ältere einfache Zeichencodierung
Unicode
Standard für viele Zeichen weltweit
UTF-8
verbreitete Unicode-Codierung
Kompression
Verkleinerung von Daten
verlustfrei
Original exakt wiederherstellbar
verlustbehaftet
Datenverlust zugunsten kleinerer Größe
Verschlüsselung
Daten unlesbar für Unbefugte machen
Entschlüsselung
verschlüsselte Daten wieder lesbar machen
TLS
Schutzschicht für Übertragung
HTTPS
HTTP über TLS
Zertifikat
digitaler Vertrauensnachweis
CA
Zertifizierungsstelle
Zertifikatskette
Vertrauenskette von Serverzertifikat zu Root-CA
MIME-Type
Angabe des Medientyps
Base64
Codierung von Binärdaten als Text
Hashing
Bildung eines Einweg-Prüfwerts
Serialisierung
Umwandlung in übertragbares Format
Deserialisierung
Rückumwandlung aus übertragbarem Format
IHK-sichere Gesamtformulierung
Die Darstellungsschicht ist Schicht 6 des OSI-Modells. Sie sorgt dafür, dass Daten in einer geeigneten Form dargestellt, codiert, komprimiert, verschlüsselt oder umgewandelt werden, damit der Empfänger sie korrekt interpretieren kann. Typische Themen sind Zeichencodierung wie UTF-8, Datenformate wie JSON oder XML, Kompression wie gzip oder ZIP, Verschlüsselung mit TLS sowie Zertifikate bei HTTPS. TLS wird häufig der Darstellungsschicht zugeordnet, liegt in der Praxis aber zwischen Anwendung und Transport. Codierung, Kompression und Verschlüsselung sind voneinander zu unterscheiden.
Wichtigste Merksätze
Schicht 6 = Darstellungsschicht.
Schicht 6 = Daten darstellen,
codieren,
komprimieren
und verschlüsseln.
Darstellung bedeutet Datenrepräsentation.
Datenformat legt den Aufbau von Daten fest.
JSON und XML sind Datenformate.
Zeichencodierung übersetzt Zeichen in digitale Werte.
ASCII ist begrenzt.
Unicode umfasst viele Zeichen.
UTF-8 ist sehr verbreitet.
Falsche Codierung erzeugt Zeichenfehler.
Kompression reduziert Datenmenge.
Verlustfrei = exakt wiederherstellbar.
Verlustbehaftet = kleiner,
aber nicht exakt original.
Verschlüsselung schützt Vertraulichkeit.
Entschlüsselung macht Daten wieder lesbar.
TLS schützt Daten bei der Übertragung.
HTTPS = HTTP über TLS.
TLS ist nicht TCP.
TLS ist nicht HTTPS.
TCP transportiert.
TLS schützt.
HTTP verwendet.
Zertifikat = Vertrauensnachweis.
CA = Zertifizierungsstelle.
Zertifikatskette muss vollständig sein.
Domainname muss zum Zertifikat passen.
Zertifikat muss gültig sein.
Base64 ist Codierung,
keine Verschlüsselung.
Hashing ist keine Verschlüsselung.
MIME-Type beschreibt den Datentyp.
Serialisierung macht Daten übertragbar.
Schicht 6 ist oft eng mit Schicht 7 verbunden.
10. OSI-Schicht 7 – Anwendungsschicht
10.1 OSI-Schicht 7 – Anwendungsschicht
Die Anwendungsschicht ist Schicht 7 des OSI-Modells.
Sie ist die oberste Schicht.
Die Hauptaufgabe von Schicht 7 ist:
Netzwerkdienste für Anwendungen bereitstellen.
Dabei geht es vor allem um Protokolle und Dienste, die direkt von Anwendungen genutzt werden.
Typische Beispiele:
- HTTP
- HTTPS
- DNS
- DHCP
- SMTP
- IMAP
- POP3
- FTP
- SSH
- SMB
- LDAP
- SNMP
- NTP
Merksatz:
Schicht 7 = Netzwerkdienste für Anwendungen.
Grundidee von Schicht 7
Schicht 7 ist die Schicht, mit der Anwendungen direkt arbeiten.
Beispiele:
Webbrowser nutzt HTTP oder HTTPS.
Mailprogramm nutzt SMTP, IMAP oder POP3.
Betriebssystem nutzt DNS zur Namensauflösung.
Client nutzt DHCP zur automatischen IP-Konfiguration.
Administrator nutzt SSH zur Fernverwaltung.
Wichtig:
Die Anwendungsschicht ist nicht die Anwendung selbst,
sondern die Netzwerkschnittstelle beziehungsweise das Protokoll,
das die Anwendung nutzt.
Merksatz:
Schicht 7 beschreibt Dienste und Protokolle,
die Anwendungen für Netzwerkkommunikation verwenden.
Einordnung im OSI-Modell
OSI-Schicht
Name
Aufgabe
7
Anwendungsschicht
Netzwerkdienste für Anwendungen
6
Darstellungsschicht
Darstellung, Codierung, Verschlüsselung
5
Sitzungsschicht
Sitzungen aufbauen, verwalten und beenden
4
Transportschicht
TCP, UDP, Ports
3
Vermittlungsschicht / Netzwerkschicht
IP, Routing
2
Sicherungsschicht
Frames, MAC, VLAN
1
Bitübertragungsschicht
Bits, Signale
Merksatz:
Schicht 7 ist die oberste OSI-Schicht.
Schicht 7 ist nicht einfach „das Programm“
Ein häufiger Fehler ist:
Browser = Schicht 7
Besser formuliert:
Der Browser ist eine Anwendung.
Der Browser nutzt Protokolle der Anwendungsschicht,
zum Beispiel HTTP oder HTTPS.
Beispiel:
Firefox, Chrome oder Safari
= Anwendung
HTTP, HTTPS
= Protokolle der Anwendungsschicht
Merksatz:
Programm nutzt Schicht 7,
ist aber nicht automatisch selbst die Schicht.
Was macht die Anwendungsschicht?
Die Anwendungsschicht stellt Funktionen bereit wie:
- Webseiten abrufen
- Namen in IP-Adressen auflösen
- E-Mails senden und empfangen
- Dateien übertragen
- Zeit synchronisieren
- Netzwerkgeräte überwachen
- Verzeichnisdienste abfragen
- automatische IP-Konfiguration anstoßen
- entfernte Systeme verwalten
Merksatz:
Schicht 7 stellt konkrete Netzwerkdienste bereit.
Schicht 7 und Ports
Viele Anwendungsschicht-Protokolle nutzen Ports auf Schicht 4.
Beispiele:
Anwendungsschicht-Protokoll
Transport
typischer Port
HTTP
TCP
80
HTTPS
TCP
443
DNS
UDP / TCP
53
DHCP
UDP
67 / 68
SSH
TCP
22
SMTP
TCP
25
IMAP
TCP
143
POP3
TCP
110
NTP
UDP
123
Wichtig:
Port gehört zu Schicht 4.
Dienstprotokoll gehört zu Schicht 7.
Merksatz:
Port = Schicht 4.
Protokoll/Dienst = Schicht 7.
HTTP
HTTP steht für:
Hypertext Transfer Protocol
HTTP wird verwendet, um Webseiten und Webdaten zu übertragen.
Typischer Port:
TCP 80
HTTP ist unverschlüsselt.
Beispiele für HTTP-Kommunikation:
Browser ruft Webseite ab.
Webanwendung liefert HTML.
API sendet Daten.
Client lädt Dateien von einem Webserver.
Merksatz:
HTTP = Webprotokoll ohne TLS-Verschlüsselung.
HTTPS
HTTPS steht für:
Hypertext Transfer Protocol Secure
HTTPS ist:
HTTP über TLS
Typischer Port:
TCP 443
HTTPS schützt die Übertragung durch TLS.
Schutzziele:
- Vertraulichkeit
- Integrität
- Authentizität
Merksatz:
HTTPS = HTTP mit TLS-Schutz.
HTTP und HTTPS unterscheiden
Merkmal
HTTP
HTTPS
Verschlüsselung
nein
ja, TLS
typischer Port
TCP 80
TCP 443
Zertifikat nötig
nein
ja
Schutz vor Mitlesen
nein
ja
Schutz vor Manipulation
nein
ja
Merksatz:
HTTP ist unverschlüsselt.
HTTPS ist verschlüsselt.
DNS
DNS steht für:
Domain Name System
DNS löst Namen in IP-Adressen auf.
Beispiel:
www.example.com
→ 93.184.216.34
DNS wird benötigt, damit Benutzer und Anwendungen mit Namen arbeiten können,
statt sich IP-Adressen merken zu müssen.
Typischer Port:
UDP 53
TCP 53
Merksatz:
DNS = Name zu IP-Adresse.
A-Record und AAAA-Record
DNS kann verschiedene Einträge liefern.
Wichtige Einträge:
DNS-Record
Bedeutung
A
Name zu IPv4-Adresse
AAAA
Name zu IPv6-Adresse
CNAME
Alias auf anderen Namen
MX
Mailserver einer Domain
TXT
Textinformationen, oft für Prüfungen
NS
zuständiger Nameserver
Merksatz:
A = IPv4.
AAAA = IPv6.
MX = Mailserver.
DNS und Schicht 7
DNS ist ein Anwendungsschicht-Protokoll,
obwohl es UDP oder TCP auf Schicht 4 nutzt.
Wichtig:
DNS-Port 53 gehört zu Schicht 4.
DNS-Protokoll gehört zu Schicht 7.
Merksatz:
DNS nutzt Ports,
ist aber ein Dienst der Anwendungsschicht.
DHCP
DHCP steht für:
Dynamic Host Configuration Protocol
DHCP vergibt automatisch Netzwerkkonfigurationen.
Ein Client kann per DHCP erhalten:
- IP-Adresse
- Subnetzmaske
- Standard-Gateway
- DNS-Server
- Lease-Zeit
- weitere Optionen
Typische Ports:
DHCP-Server:
UDP 67
DHCP-Client:
UDP 68
Merksatz:
DHCP = automatische IP-Konfiguration.
DHCP und Schicht 7
DHCP ist ein Anwendungsschicht-Protokoll,
auch wenn es IP-Konfigurationen für Schicht 3 bereitstellt.
Das ist wichtig:
DHCP vergibt IP-Daten,
aber das DHCP-Protokoll selbst gehört zur Anwendungsschicht.
Merksatz:
DHCP liefert Schicht-3-Konfiguration,
ist aber ein Schicht-7-Protokoll.
SMTP
SMTP steht für:
Simple Mail Transfer Protocol
SMTP wird für das Senden und Weiterleiten von E-Mails verwendet.
Typischer Port:
TCP 25
Weitere häufige Ports:
TCP 587 für Mail Submission
TCP 465 für SMTPS
Merksatz:
SMTP = E-Mail senden und transportieren.
POP3
POP3 steht für:
Post Office Protocol Version 3
POP3 wird zum Abrufen von E-Mails verwendet.
Typischer Port:
TCP 110
Verschlüsselte Variante:
POP3S über TCP 995
POP3 lädt E-Mails häufig vom Server herunter.
Merksatz:
POP3 = E-Mail abrufen.
IMAP
IMAP steht für:
Internet Message Access Protocol
IMAP wird zum Abrufen und Verwalten von E-Mails verwendet.
Typischer Port:
TCP 143
Verschlüsselte Variante:
IMAPS über TCP 993
IMAP lässt E-Mails häufig auf dem Server und synchronisiert sie zwischen Geräten.
Merksatz:
IMAP = E-Mail verwalten und synchronisieren.
SMTP, POP3 und IMAP unterscheiden
Protokoll
Hauptaufgabe
typischer Port
SMTP
E-Mail senden / transportieren
TCP 25
POP3
E-Mail abrufen
TCP 110
IMAP
E-Mail abrufen und verwalten
TCP 143
Merksatz:
SMTP sendet.
POP3 und IMAP empfangen.
FTP
FTP steht für:
File Transfer Protocol
FTP dient zur Dateiübertragung.
Typischer Port:
TCP 21
Wichtig:
Klassisches FTP ist unverschlüsselt.
Sicherere Alternativen sind zum Beispiel:
- SFTP
- FTPS
Merksatz:
FTP = Dateiübertragung,
klassisch unverschlüsselt.
SFTP und FTPS unterscheiden
SFTP und FTPS werden oft verwechselt.
Begriff
Bedeutung
SFTP
Dateiübertragung über SSH
FTPS
FTP mit TLS-Schutz
Typische Einordnung:
SFTP nutzt SSH.
FTPS nutzt TLS.
Merksatz:
SFTP ist nicht dasselbe wie FTPS.
SSH
SSH steht für:
Secure Shell
SSH dient zur sicheren Fernverwaltung.
Typischer Port:
TCP 22
SSH wird genutzt für:
- sichere Shell
- Serveradministration
- SFTP
- Tunnel
- sichere Befehlsausführung
Merksatz:
SSH = sicherer Fernzugriff.
Telnet
Telnet ist ein älteres Fernzugriffsprotokoll.
Typischer Port:
TCP 23
Problem:
Telnet ist unverschlüsselt.
Benutzernamen, Passwörter und Eingaben können mitgelesen werden.
Heute sollte man für Administration SSH verwenden.
Merksatz:
Telnet ist unsicher,
SSH ist die sichere Alternative.
SMB
SMB steht für:
Server Message Block
SMB wird häufig für Datei- und Druckerfreigaben verwendet.
Typischer Port:
TCP 445
Typische Nutzung:
- Windows-Dateifreigaben
- Netzlaufwerke
- Druckerfreigaben
- Dateiablage im LAN
Merksatz:
SMB = Datei- und Freigabedienst.
LDAP
LDAP steht für:
Lightweight Directory Access Protocol
LDAP dient zur Abfrage und Verwaltung von Verzeichnisdiensten.
Typische Nutzung:
- Benutzerverzeichnisse
- Gruppen
- Authentifizierungsinformationen
- zentrale Identitätsverwaltung
Typische Ports:
LDAP:
TCP/UDP 389
LDAPS:
TCP 636
Merksatz:
LDAP = Zugriff auf Verzeichnisdienste.
SNMP
SNMP steht für:
Simple Network Management Protocol
SNMP wird für Überwachung und Verwaltung von Netzwerkgeräten genutzt.
Typische Nutzung:
- Switches überwachen
- Router überwachen
- Drucker überwachen
- Serverwerte abfragen
- Monitoring-Systeme anbinden
Typische Ports:
UDP 161 für Abfragen
UDP 162 für Traps
Merksatz:
SNMP = Netzwerkgeräte überwachen.
NTP
NTP steht für:
Network Time Protocol
NTP synchronisiert die Uhrzeit von Systemen.
Typischer Port:
UDP 123
Korrekte Zeit ist wichtig für:
- Zertifikate
- Kerberos
- Logs
- Monitoring
- Fehlersuche
- Authentifizierung
Merksatz:
NTP = Zeitsynchronisation.
RDP
RDP steht für:
Remote Desktop Protocol
RDP wird für grafischen Fernzugriff verwendet,
besonders bei Windows-Systemen.
Typischer Port:
TCP 3389
Wichtig:
RDP sollte nicht ungeschützt direkt ins Internet geöffnet werden.
Besser:
- VPN
- Zugriffsbeschränkung
- Multi-Faktor-Authentifizierung
- Remote Desktop Gateway
- starke Passwörter
Merksatz:
RDP = grafischer Fernzugriff,
sorgfältig absichern.
Anwendungsschicht und Benutzer
Schicht 7 ist die OSI-Schicht,
die am nächsten an der Benutzeranwendung liegt.
Beispiele:
Browser lädt Webseite.
Mailprogramm ruft E-Mails ab.
Datei-Explorer öffnet Netzfreigabe.
Monitoring fragt Gerätedaten ab.
Admin verbindet sich per SSH.
Wichtig:
Der Benutzer sieht oft nur die Anwendung.
Technisch arbeitet die Anwendung mit Schicht-7-Protokollen.
Merksatz:
Schicht 7 ist die benutzernahe Netzwerkschicht.
Client und Server
Viele Anwendungsschicht-Protokolle arbeiten nach dem Client-Server-Prinzip.
Client:
stellt Anfrage
Server:
liefert Antwort oder Dienst
Beispiel HTTP:
Browser = Client
Webserver = Server
Beispiel DNS:
DNS-Resolver = Client
DNS-Server = Server
Merksatz:
Client fragt an,
Server antwortet.
Request und Response
Viele Anwendungsschicht-Protokolle arbeiten mit Anfrage und Antwort.
Beispiel HTTP:
Request:
Client fordert eine Webseite an.
Response:
Server liefert die Webseite zurück.
Beispiel DNS:
Request:
Client fragt nach IP-Adresse.
Response:
DNS-Server liefert Adresse zurück.
Merksatz:
Request = Anfrage.
Response = Antwort.
HTTP-Methoden
HTTP nutzt Methoden, um die Art einer Anfrage zu beschreiben.
Wichtige Methoden:
Methode
Bedeutung
GET
Daten abrufen
POST
Daten senden / erstellen
PUT
Daten ersetzen
PATCH
Daten teilweise ändern
DELETE
Daten löschen
HEAD
nur Kopfzeilen abrufen
Merksatz:
GET liest.
POST sendet.
DELETE löscht.
HTTP-Statuscodes
HTTP-Statuscodes zeigen das Ergebnis einer Anfrage.
Wichtige Bereiche:
Bereich
Bedeutung
1xx
Information
2xx
Erfolg
3xx
Weiterleitung
4xx
Clientfehler
5xx
Serverfehler
Beispiele:
Statuscode
Bedeutung
200
OK
301
dauerhaft weitergeleitet
302
vorübergehend weitergeleitet
400
fehlerhafte Anfrage
401
nicht authentifiziert
403
verboten
404
nicht gefunden
500
interner Serverfehler
502
Bad Gateway
503
Dienst nicht verfügbar
Merksatz:
2xx gut,
4xx Clientproblem,
5xx Serverproblem.
API
API steht für:
Application Programming Interface
Eine API ist eine Schnittstelle,
über die Anwendungen miteinander kommunizieren.
Im Netzwerkumfeld sind Web-APIs häufig.
Sie nutzen oft:
- HTTP oder HTTPS
- JSON
- XML
- Tokens
- Statuscodes
Merksatz:
API = Schnittstelle zwischen Anwendungen.
REST kurz erklärt
REST ist ein Architekturstil für Web-APIs.
Typisch:
Ressourcen werden über URLs angesprochen.
HTTP-Methoden beschreiben die Aktion.
Daten werden häufig als JSON übertragen.
Beispiel:
GET /users
bedeutet sinngemäß:
Benutzerliste abrufen.
Merksatz:
REST nutzt HTTP-Ideen für APIs.
Anwendungsschicht und Authentifizierung
Viele Dienste müssen prüfen:
Wer bist du?
Das nennt man:
Authentifizierung
Beispiele:
- Benutzername und Passwort
- SSH-Schlüssel
- Zertifikat
- Token
- Multi-Faktor-Authentifizierung
Merksatz:
Authentifizierung prüft Identität.
Anwendungsschicht und Autorisierung
Autorisierung bedeutet:
Was darfst du?
Beispiel:
Benutzer ist angemeldet,
darf aber keine Adminseite öffnen.
Authentifizierung und Autorisierung unterscheiden:
Authentifizierung:
Wer bist du?
Autorisierung:
Was darfst du?
Merksatz:
Authentifizierung = Identität.
Autorisierung = Rechte.
Cookies und Sessions
Webanwendungen nutzen oft Cookies,
um Sitzungen wiederzuerkennen.
Beispiel:
Benutzer meldet sich an.
Server setzt Session-Cookie.
Browser sendet Cookie bei weiteren Anfragen mit.
Server erkennt Benutzer wieder.
Schichtbezug:
Session = Schicht 5 / 7-Bezug
Cookie = Anwendungsschicht
HTTP = Anwendungsschicht
Merksatz:
Cookies helfen Webanwendungen,
Sitzungen wiederzuerkennen.
Anwendungsschicht und Datenformate
Schicht 7 arbeitet oft mit Datenformaten aus Schicht 6.
Beispiele:
HTTP überträgt HTML.
API überträgt JSON.
Mail enthält MIME-Strukturen.
Webserver liefert CSS, JavaScript, Bilder.
Darum sind Schicht 6 und 7 in der Praxis eng verbunden.
Merksatz:
Schicht 7 nutzt häufig Datenformate aus Schicht 6.
Anwendungsschicht und DNS-Probleme
DNS-Probleme wirken oft wie Internetprobleme.
Beispiel:
ping 8.8.8.8 funktioniert.
ping www.example.com funktioniert nicht.
Dann ist IP-Kommunikation grundsätzlich möglich,
aber Namensauflösung funktioniert nicht.
Mögliche Ursachen:
- falscher DNS-Server
- DNS-Server nicht erreichbar
- falscher DNS-Eintrag
- DNS-Cache fehlerhaft
- Firewall blockiert DNS
- Domain nicht vorhanden
Merksatz:
IP geht,
Name nicht:
DNS prüfen.
Anwendungsschicht und HTTP-Fehler
Wenn TCP 443 erreichbar ist,
aber die Webseite Fehler zeigt,
liegt das Problem oft höher als Schicht 4.
Beispiele:
404 Not Found:
Ressource nicht gefunden.
500 Internal Server Error:
Anwendung oder Serverfehler.
502 Bad Gateway:
Proxy oder Gateway bekommt keine passende Antwort.
503 Service Unavailable:
Dienst nicht verfügbar.
Merksatz:
HTTP-Statuscodes helfen bei Schicht-7-Fehlersuche.
Anwendungsschicht und E-Mail-Fehler
E-Mail-Probleme können viele Ursachen haben.
Mögliche Prüfpunkte:
- SMTP-Server erreichbar?
- IMAP/POP3 erreichbar?
- Benutzer angemeldet?
- DNS MX-Record korrekt?
- Spamfilter blockiert?
- TLS korrekt?
- Authentifizierung korrekt?
- Mailbox voll?
- Sender oder Empfänger falsch?
Merksatz:
E-Mail-Fehler betreffen oft DNS, Authentifizierung, TLS und Mailprotokolle.
Anwendungsschicht und DHCP-Fehler
Wenn ein Client keine IP-Adresse erhält,
denkt man oft zuerst an Schicht 3.
Aber DHCP selbst ist ein Anwendungsschicht-Protokoll.
Mögliche Ursachen:
- DHCP-Server nicht aktiv
- DHCP-Bereich erschöpft
- DHCP-Relay fehlt
- falsches VLAN
- Firewall blockiert UDP 67/68
- falsche DHCP-Optionen
- Dienstfehler am DHCP-Server
Merksatz:
DHCP vergibt IP-Daten,
ist aber ein Dienstprotokoll.
Anwendungsschicht und Sicherheit
Schicht 7 ist besonders wichtig für Sicherheit,
weil dort konkrete Dienste und Benutzerinteraktion stattfinden.
Typische Risiken:
- schwache Passwörter
- fehlende MFA
- unsichere Webanwendungen
- fehlerhafte API-Berechtigungen
- unsichere Dateifreigaben
- veraltete Dienste
- Standardpasswörter
- offene Verwaltungsdienste
Merksatz:
Viele Angriffe zielen direkt auf Anwendungsschicht-Dienste.
Typische Schutzmaßnahmen auf Schicht 7
Beispiele:
- starke Authentifizierung
- Multi-Faktor-Authentifizierung
- sichere Passwörter
- Rechte nach Minimalprinzip
- Updates
- sichere Konfiguration
- Protokollierung
- Eingabevalidierung
- Web Application Firewall
- sichere API-Tokens
- nicht benötigte Dienste deaktivieren
Merksatz:
Schicht-7-Sicherheit schützt konkrete Dienste und Anwendungen.
Was Schicht 7 nicht macht
Schicht 7 macht nicht:
- Bits als elektrische oder optische Signale übertragen
- MAC-Adressen im LAN verwenden
- IP-Pakete routen
- TCP-Verbindungen aufbauen
- Ports bereitstellen
- reine Verschlüsselungsschicht ersetzen
Diese Aufgaben liegen auf unteren Schichten.
Merksatz:
Schicht 7 nutzt die unteren Schichten,
ersetzt sie aber nicht.
Einordnung typischer Begriffe
Begriff
Schicht
HTTP
7
HTTPS
7 mit TLS-Bezug
DNS
7
DHCP
7
SMTP
7
IMAP
7
POP3
7
FTP
7
SSH
7
SMB
7
LDAP
7
SNMP
7
NTP
7
TCP-Port
4
IP-Adresse
3
MAC-Adresse
2
Merksatz:
Dienstprotokolle wie HTTP, DNS und SMTP gehören zu Schicht 7.
Schicht 7 und Fehlersuche
Typische Fragen bei Schicht-7-Problemen:
Funktioniert IP-Erreichbarkeit?
Ist der Port erreichbar?
Läuft der Dienst?
Stimmt der DNS-Name?
Antwortet die Anwendung?
Gibt es HTTP-Statuscodes?
Funktioniert die Anmeldung?
Sind Rechte korrekt?
Ist TLS gültig?
Stimmen Datenformat und API-Anfrage?
Gibt es Fehlermeldungen in Logs?
Merksatz:
Bei Schicht 7 prüft man Dienst, Inhalt, Anmeldung und Anwendung.
Fehlerbild: Webseite öffnet nicht
Mögliche Ursachen auf verschiedenen Schichten:
Schicht 3:
keine Route, falsches Gateway
Schicht 4:
TCP 80 oder 443 blockiert
Schicht 6:
TLS-Zertifikat fehlerhaft
Schicht 7:
Webserverfehler, falscher Pfad, HTTP 500
Merksatz:
Webfehler können mehrere Schichten betreffen.
Fehlerbild: Login funktioniert nicht
Mögliche Ursachen:
- falscher Benutzername
- falsches Passwort
- Konto gesperrt
- MFA fehlt
- Session-Cookie blockiert
- Zeitproblem bei Tokens
- Berechtigung fehlt
- Authentifizierungsdienst nicht erreichbar
- LDAP oder Verzeichnisdienst gestört
Merksatz:
Loginfehler sind meist Anwendung, Authentifizierung oder Sitzung.
Fehlerbild: API antwortet mit Fehler
Mögliche Ursachen:
- falsche URL
- falsche HTTP-Methode
- fehlender Token
- falsche Berechtigung
- ungültiges JSON
- falscher Content-Type
- Serverfehler
- Rate Limit
- falsche API-Version
Merksatz:
API-Fehler betreffen oft Methode, Datenformat, Token oder Rechte.
Fehlerbild: DNS löst falsch auf
Mögliche Ursachen:
- falscher A-Record
- falscher AAAA-Record
- alter DNS-Cache
- falscher DNS-Server
- Split-DNS-Konfiguration
- Tippfehler im Namen
- Zone nicht aktualisiert
- TTL noch nicht abgelaufen
Merksatz:
Falscher DNS-Eintrag kann zum falschen Server führen.
Fehlerbild: E-Mail kommt nicht an
Mögliche Ursachen:
- falscher MX-Record
- SMTP blockiert
- Spamfilter
- SPF, DKIM oder DMARC fehlerhaft
- Mailbox voll
- Empfängeradresse falsch
- TLS-Problem
- Authentifizierung fehlerhaft
- Blacklisting
Merksatz:
Mailzustellung hängt stark von DNS, SMTP und Sicherheitsprüfungen ab.
Schicht 7 und Logs
Logs sind bei Schicht-7-Fehlern besonders wichtig.
Typische Logs:
- Webserver-Log
- Anwendungslog
- Authentifizierungslog
- Mailserver-Log
- DNS-Log
- Proxy-Log
- API-Log
- Firewall-Log
Logs zeigen oft:
- konkrete Fehlermeldungen
- Statuscodes
- Benutzer
- Zeitpunkt
- Quelle
- Anfragepfad
- Antwortcode
Merksatz:
Schicht-7-Fehler findet man oft in Anwendungs- und Dienstlogs.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Welche Aufgabe hat die Anwendungsschicht?
- Welche Protokolle gehören zur Anwendungsschicht?
- Was ist der Unterschied zwischen HTTP und HTTPS?
- Was macht DNS?
- Was ist der Unterschied zwischen A- und AAAA-Record?
- Was macht DHCP?
- Warum ist DHCP trotz IP-Bezug ein Anwendungsschicht-Protokoll?
- Welche Mailprotokolle gibt es?
- Was ist der Unterschied zwischen SMTP, POP3 und IMAP?
- Was macht SMB?
- Was macht LDAP?
- Was macht SNMP?
- Was bedeuten HTTP-Statuscodes?
- Warum reicht ein erfolgreicher Ping nicht für einen funktionierenden Dienst?
- Warum können Schicht-7-Fehler trotz offener Ports auftreten?
Typische Prüfungsfallen
Schicht 7 heißt Anwendungsschicht.
Schicht 7 ist nicht einfach das Programm selbst.
Anwendungen nutzen Schicht-7-Protokolle.
HTTP gehört zu Schicht 7.
HTTPS gehört zu Schicht 7,
nutzt aber TLS.
DNS gehört zu Schicht 7.
DHCP gehört zu Schicht 7,
obwohl es IP-Konfiguration vergibt.
Port gehört zu Schicht 4.
Dienstprotokoll gehört zu Schicht 7.
TCP 443 offen bedeutet nicht automatisch,
dass die Webseite funktioniert.
HTTP-Statuscode 404 ist ein Anwendungsschicht-Hinweis.
HTTP-Statuscode 500 deutet auf Server- oder Anwendungsproblem hin.
SMTP sendet E-Mails.
POP3 und IMAP empfangen E-Mails.
SFTP ist nicht FTPS.
Telnet ist unverschlüsselt.
SSH ist sicherer als Telnet.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Anwendungsschicht
OSI-Schicht 7
HTTP
Webprotokoll
HTTPS
HTTP über TLS
DNS
Namensauflösung
DHCP
automatische IP-Konfiguration
SMTP
E-Mail senden
POP3
E-Mail abrufen
IMAP
E-Mail abrufen und verwalten
FTP
Dateiübertragung
SFTP
Dateiübertragung über SSH
FTPS
FTP mit TLS
SSH
sicherer Fernzugriff
SMB
Datei- und Druckerfreigaben
LDAP
Verzeichnisdienstzugriff
SNMP
Netzwerkmanagement
NTP
Zeitsynchronisation
API
Schnittstelle zwischen Anwendungen
REST
Architekturstil für Web-APIs
Request
Anfrage
Response
Antwort
Statuscode
Ergebnis einer HTTP-Anfrage
Authentifizierung
Identität prüfen
Autorisierung
Rechte prüfen
IHK-sichere Kurzformulierung
Die Anwendungsschicht ist Schicht 7 des OSI-Modells. Sie stellt Netzwerkdienste für Anwendungen bereit. Typische Protokolle der Anwendungsschicht sind HTTP, HTTPS, DNS, DHCP, SMTP, POP3, IMAP, FTP, SSH, SMB, LDAP, SNMP und NTP. Die Anwendungsschicht ist nicht einfach das Programm selbst, sondern umfasst die Protokolle und Dienste, die Anwendungen für die Netzwerkkommunikation verwenden. Ports gehören zur Transportschicht, während die eigentlichen Dienstprotokolle zur Anwendungsschicht gehören. Fehler auf Schicht 7 betreffen häufig Dienste, Anmeldungen, DNS, HTTP-Statuscodes, APIs, Datenformate oder Berechtigungen.
Merksätze
Schicht 7 = Anwendungsschicht.
Schicht 7 = Netzwerkdienste für Anwendungen.
Anwendung nutzt Schicht-7-Protokoll.
Browser ist Anwendung,
HTTP ist Protokoll.
Port gehört zu Schicht 4.
Dienstprotokoll gehört zu Schicht 7.
HTTP = Webprotokoll.
HTTPS = HTTP über TLS.
DNS = Name zu IP-Adresse.
A-Record = IPv4.
AAAA-Record = IPv6.
MX = Mailserver.
DHCP = automatische IP-Konfiguration.
DHCP ist trotz IP-Bezug Schicht 7.
SMTP sendet E-Mails.
POP3 ruft E-Mails ab.
IMAP verwaltet E-Mails auf dem Server.
FTP ist klassische Dateiübertragung.
SFTP ist Dateiübertragung über SSH.
FTPS ist FTP mit TLS.
SSH = sicherer Fernzugriff.
SMB = Datei- und Druckerfreigaben.
LDAP = Verzeichnisdienst.
SNMP = Netzwerküberwachung.
NTP = Zeitsynchronisation.
2xx = Erfolg.
4xx = Clientfehler.
5xx = Serverfehler.
Offener Port heißt nicht automatisch:
Anwendung funktioniert.
Schicht 7 prüft Dienst,
Inhalt,
Anmeldung
und Berechtigung.
10.2 HTTP, HTTPS und Webkommunikation
HTTP und HTTPS gehören zu den wichtigsten Protokollen der Anwendungsschicht.
Sie werden vor allem für Webseiten, Webanwendungen und APIs verwendet.
HTTP steht für:
Hypertext Transfer Protocol
HTTPS steht für:
Hypertext Transfer Protocol Secure
Der wichtigste Unterschied:
HTTP ist unverschlüsselt.
HTTPS nutzt TLS-Verschlüsselung.
Merksatz:
HTTP = Webkommunikation ohne TLS.
HTTPS = Webkommunikation mit TLS.
Grundidee von HTTP
HTTP ist ein Protokoll zur Übertragung von Webinhalten.
Ein Client stellt eine Anfrage.
Ein Server liefert eine Antwort.
Beispiel:
Browser fordert Webseite an.
Webserver liefert HTML, CSS, JavaScript, Bilder oder Daten zurück.
Typische Inhalte:
- Webseiten
- Bilder
- CSS-Dateien
- JavaScript-Dateien
- JSON-Daten
- API-Antworten
- Downloads
Merksatz:
HTTP arbeitet mit Anfrage und Antwort.
Client und Server bei HTTP
Bei HTTP gibt es meistens:
Client
Server
Client:
stellt Anfrage
Server:
verarbeitet Anfrage
und sendet Antwort
Beispiel:
Browser = Client
Webserver = Server
Merksatz:
Client fragt an,
Server antwortet.
Request und Response
Eine HTTP-Kommunikation besteht aus:
Request
Response
Request bedeutet:
Anfrage des Clients
Response bedeutet:
Antwort des Servers
Beispiel:
Request:
Browser fordert /index.html an.
Response:
Server liefert die Datei index.html zurück.
Merksatz:
Request = Anfrage.
Response = Antwort.
HTTP-Request
Ein HTTP-Request enthält unter anderem:
- Methode
- Pfad oder URL
- Header
- optionalen Body
Beispiel vereinfacht:
GET /index.html HTTP/1.1
Host: example.com
Bedeutung:
Client möchte die Datei /index.html vom Host example.com abrufen.
Merksatz:
HTTP-Request beschreibt,
was der Client vom Server möchte.
HTTP-Response
Eine HTTP-Response enthält unter anderem:
- Statuscode
- Header
- optionalen Body
Beispiel vereinfacht:
HTTP/1.1 200 OK
Content-Type: text/html
...
Bedeutung:
Server antwortet erfolgreich mit HTML-Inhalt.
Merksatz:
HTTP-Response enthält Ergebnis und Inhalt.
URL
URL steht für:
Uniform Resource Locator
Eine URL beschreibt,
wo eine Ressource erreichbar ist.
Beispiel:
https://www.example.com:443/docs/index.html?seite=1
Bestandteile:
Bestandteil
Beispiel
Bedeutung
Schema
https
Protokoll
Hostname
www.example.com
Servername
Port
443
Dienst-Port
Pfad
/docs/index.html
Ressource
Query
?seite=1
zusätzliche Parameter
Merksatz:
URL = Adresse einer Ressource.
Schema
Das Schema steht am Anfang einer URL.
Beispiele:
http://
https://
Das Schema sagt dem Client,
welches Protokoll verwendet werden soll.
Beispiel:
http://example.com
nutzt HTTP.
https://example.com
nutzt HTTPS.
Merksatz:
Schema zeigt das verwendete Protokoll.
Hostname
Der Hostname ist der Name des Servers.
Beispiel:
www.example.com
Der Hostname muss meist per DNS in eine IP-Adresse aufgelöst werden.
Ablauf vereinfacht:
Browser kennt Namen.
DNS liefert IP-Adresse.
Browser verbindet sich zur IP-Adresse.
Merksatz:
Hostname wird über DNS zur IP-Adresse.
Port bei HTTP und HTTPS
HTTP nutzt typischerweise:
TCP 80
HTTPS nutzt typischerweise:
TCP 443
Wenn kein Port angegeben wird,
nutzt der Client den Standardport des Schemas.
Beispiele:
http://example.com
→ TCP 80
https://example.com
→ TCP 443
Merksatz:
HTTP = TCP 80.
HTTPS = TCP 443.
Pfad
Der Pfad zeigt,
welche Ressource auf dem Server angefordert wird.
Beispiele:
/
/index.html
/produkte
/api/users
/bilder/logo.png
Der Server entscheidet,
welcher Inhalt zu diesem Pfad geliefert wird.
Merksatz:
Pfad zeigt die gewünschte Ressource auf dem Server.
Query-Parameter
Query-Parameter stehen nach einem Fragezeichen.
Beispiel:
/suche?q=netzwerk&page=2
Bedeutung:
q=netzwerk
page=2
Query-Parameter übergeben zusätzliche Informationen an den Server.
Typisch bei:
- Suchfunktionen
- Filtern
- Seitennummern
- API-Abfragen
Merksatz:
Query-Parameter geben Zusatzinformationen mit.
HTTP-Methoden
HTTP-Methoden beschreiben,
was der Client tun möchte.
Wichtige Methoden:
Methode
Bedeutung
GET
Daten abrufen
POST
Daten senden oder erstellen
PUT
Ressource vollständig ersetzen
PATCH
Ressource teilweise ändern
DELETE
Ressource löschen
HEAD
nur Kopfzeilen abrufen
OPTIONS
unterstützte Möglichkeiten abfragen
Merksatz:
GET liest.
POST sendet.
PUT ersetzt.
PATCH ändert teilweise.
DELETE löscht.
GET
GET wird verwendet,
um Daten abzurufen.
Beispiele:
Webseite laden
Bild abrufen
API-Daten lesen
GET sollte normalerweise keine Daten verändern.
Beispiel:
GET /artikel/10
Bedeutung:
Artikel 10 abrufen.
Merksatz:
GET = Daten abrufen.
POST
POST wird verwendet,
um Daten an den Server zu senden.
Beispiele:
Formular absenden
Benutzer erstellen
Datei hochladen
API-Daten senden
Beispiel:
POST /login
Bedeutung:
Login-Daten werden an den Server gesendet.
Merksatz:
POST = Daten an Server senden.
PUT
PUT ersetzt eine Ressource vollständig.
Beispiel:
PUT /users/5
Bedeutung:
Benutzer 5 wird vollständig mit den gesendeten Daten ersetzt.
Merksatz:
PUT = vollständig ersetzen.
PATCH
PATCH ändert eine Ressource teilweise.
Beispiel:
PATCH /users/5
Bedeutung:
Bei Benutzer 5 wird nur ein Teil geändert,
zum Beispiel die E-Mail-Adresse.
Merksatz:
PATCH = teilweise ändern.
DELETE
DELETE löscht eine Ressource.
Beispiel:
DELETE /users/5
Bedeutung:
Benutzer 5 löschen.
Merksatz:
DELETE = Ressource löschen.
HTTP-Header
HTTP-Header enthalten Zusatzinformationen zur Anfrage oder Antwort.
Beispiele:
Header
Bedeutung
Host
angefragter Hostname
User-Agent
Client-Information
Accept
gewünschte Antwortformate
Content-Type
Format des gesendeten Inhalts
Authorization
Authentifizierungsdaten
Cookie
Cookie-Daten
Set-Cookie
Server setzt Cookie
Cache-Control
Cache-Verhalten
Location
Weiterleitungsziel
Merksatz:
Header enthalten Zusatzinformationen.
Content-Type
Content-Type beschreibt,
welches Datenformat im Body enthalten ist.
Beispiele:
Content-Type
Bedeutung
text/html
HTML-Webseite
application/json
JSON-Daten
application/xml
XML-Daten
text/plain
einfacher Text
image/png
PNG-Bild
application/pdf
PDF-Dokument
Merksatz:
Content-Type sagt,
welches Format der Inhalt hat.
Accept-Header
Der Accept-Header sagt dem Server,
welche Antwortformate der Client akzeptiert.
Beispiel:
Accept: application/json
Bedeutung:
Client möchte JSON als Antwort erhalten.
Merksatz:
Accept sagt,
was der Client empfangen möchte.
Authorization-Header
Der Authorization-Header wird für Authentifizierung verwendet.
Beispiele:
Bearer Token
Basic Authentication
API-Key-Verfahren
Beispiel vereinfacht:
Authorization: Bearer eyJ...
Wichtig:
Solche Daten müssen geschützt übertragen werden.
Deshalb sollte dafür HTTPS genutzt werden.
Merksatz:
Authorization-Header enthält Zugriffsinformationen.
Cookies
Cookies sind kleine Daten,
die der Server im Browser speichern lassen kann.
Der Server sendet:
Set-Cookie
Der Browser sendet später:
Cookie
Typische Nutzung:
- Sitzung wiedererkennen
- Login-Status
- Spracheinstellung
- Warenkorb
- Tracking
Merksatz:
Cookies helfen,
Zustand über mehrere HTTP-Anfragen zu merken.
HTTP ist zustandslos
HTTP ist grundsätzlich zustandslos.
Das bedeutet:
Jede Anfrage ist zunächst unabhängig.
Ohne Cookies, Tokens oder andere Mechanismen wüsste der Server nicht automatisch,
dass mehrere Anfragen zum gleichen Benutzer gehören.
Beispiel:
Anfrage 1:
Login
Anfrage 2:
Dashboard öffnen
Der Server braucht einen Mechanismus,
um die Sitzung wiederzuerkennen.
Merksatz:
HTTP ist zustandslos,
Sitzungen schaffen Zusammenhang.
Session-Cookie
Ein Session-Cookie kann eine Session-ID enthalten.
Damit erkennt der Server:
Diese Anfrage gehört zu einer bestimmten Sitzung.
Beispiel:
Benutzer meldet sich an.
Server setzt Session-Cookie.
Browser sendet Cookie bei weiteren Anfragen mit.
Server erkennt Benutzer wieder.
Merksatz:
Session-Cookie verbindet mehrere HTTP-Anfragen zu einer Sitzung.
HTTPS
HTTPS ist HTTP über TLS.
Dabei werden HTTP-Daten verschlüsselt übertragen.
Schutz durch TLS:
- Schutz vor Mitlesen
- Schutz vor unbemerkter Veränderung
- Prüfung der Serveridentität über Zertifikat
Merksatz:
HTTPS schützt HTTP-Kommunikation mit TLS.
Ablauf bei HTTPS vereinfacht
Bei HTTPS passiert vereinfacht:
1. DNS löst den Namen auf.
2. TCP-Verbindung zu Port 443 wird aufgebaut.
3. TLS-Handshake findet statt.
4. Zertifikat wird geprüft.
5. HTTP-Anfrage wird verschlüsselt gesendet.
6. HTTP-Antwort wird verschlüsselt empfangen.
Merksatz:
Bei HTTPS kommt vor HTTP zuerst TCP und TLS.
HTTP und TLS unterscheiden
Thema
Einordnung
HTTP
Anwendungsschicht-Protokoll
HTTPS
HTTP über TLS
TLS
Verschlüsselungs- und Schutzschicht
TCP 443
Transportverbindung
Zertifikat
Vertrauensnachweis bei TLS
Merksatz:
HTTP spricht die Anwendung.
TLS schützt die Verbindung.
TCP transportiert.
HTTP-Versionen
Es gibt verschiedene HTTP-Versionen.
Wichtige Versionen:
Version
Kurzidee
HTTP/1.1
klassisch, weit verbreitet
HTTP/2
effizientere Übertragung über eine Verbindung
HTTP/3
nutzt QUIC über UDP
Wichtig für die Prüfung:
HTTP/3 nutzt QUIC über UDP.
Klassisches HTTPS nutzt häufig TCP 443.
Merksatz:
HTTP/3 nutzt QUIC über UDP.
HTTP/1.1
HTTP/1.1 ist eine klassische und weit verbreitete Version.
Typische Merkmale:
- Request/Response
- Header
- Host-Header wichtig für virtuelle Hosts
- mehrere Anfragen möglich
- sehr verbreitet
Merksatz:
HTTP/1.1 ist die klassische Webkommunikation.
HTTP/2
HTTP/2 verbessert die Effizienz der Webkommunikation.
Vorteile:
- mehrere Streams über eine Verbindung
- bessere Nutzung einer Verbindung
- Header-Kompression
- geringere Ladezeiten möglich
Für die Prüfung reicht meist:
HTTP/2 ist moderner und effizienter als HTTP/1.1.
Merksatz:
HTTP/2 kann mehrere Übertragungen effizienter bündeln.
HTTP/3
HTTP/3 basiert auf QUIC.
QUIC nutzt UDP.
Typisch:
UDP 443
Vorteile:
- schnellerer Verbindungsaufbau
- bessere Leistung bei Paketverlust
- moderne Webkommunikation
Prüfungsfalle:
HTTPS bedeutet nicht immer nur TCP 443,
bei HTTP/3 kann UDP 443 relevant sein.
Merksatz:
HTTP/3 = HTTP über QUIC über UDP.
Statuscodes
HTTP-Statuscodes zeigen das Ergebnis einer Anfrage.
Sie stehen in der HTTP-Antwort.
Beispiel:
200 OK
Bedeutung:
Anfrage erfolgreich.
Merksatz:
Statuscode zeigt,
wie der Server die Anfrage beantwortet hat.
Statuscode-Bereiche
Bereich
Bedeutung
1xx
Information
2xx
Erfolg
3xx
Weiterleitung
4xx
Clientfehler
5xx
Serverfehler
Merksatz:
2xx = Erfolg.
3xx = Weiterleitung.
4xx = Clientfehler.
5xx = Serverfehler.
Wichtige HTTP-Statuscodes
Statuscode
Bedeutung
200
OK
201
Created
301
dauerhaft weitergeleitet
302
vorübergehend weitergeleitet
304
nicht verändert
400
fehlerhafte Anfrage
401
nicht authentifiziert
403
verboten
404
nicht gefunden
405
Methode nicht erlaubt
429
zu viele Anfragen
500
interner Serverfehler
502
Bad Gateway
503
Dienst nicht verfügbar
504
Gateway Timeout
Merksatz:
404 = nicht gefunden.
500 = Serverfehler.
502 = Gateway-Problem.
503 = Dienst nicht verfügbar.
401 und 403 unterscheiden
401 bedeutet:
nicht authentifiziert
Der Benutzer ist nicht oder nicht gültig angemeldet.
403 bedeutet:
verboten
Der Benutzer ist zwar eventuell bekannt,
hat aber keine Berechtigung.
Merksatz:
401 = wer bist du?
403 = du darfst das nicht.
404 Not Found
404 bedeutet:
Ressource nicht gefunden
Mögliche Ursachen:
- falscher Pfad
- Datei fehlt
- Route in Anwendung fehlt
- Link falsch
- Ressource wurde gelöscht
- Rewrite-Regel falsch
Merksatz:
404 = angeforderte Ressource existiert dort nicht.
500 Internal Server Error
500 bedeutet:
interner Serverfehler
Mögliche Ursachen:
- Fehler in Anwendung
- Datenbankfehler
- Programmierfehler
- falsche Konfiguration
- fehlende Rechte
- Dienstproblem
Merksatz:
500 = Server oder Anwendung hat intern ein Problem.
502 Bad Gateway
502 tritt häufig bei Proxys oder Gateways auf.
Bedeutung:
Ein Gateway oder Proxy hat keine gültige Antwort vom Backend erhalten.
Mögliche Ursachen:
- Backend-Dienst down
- falscher Backend-Port
- Reverse Proxy falsch konfiguriert
- Verbindung zum Backend scheitert
- Backend antwortet ungültig
Merksatz:
502 = Proxy erreicht Backend nicht sauber.
503 Service Unavailable
503 bedeutet:
Dienst nicht verfügbar
Mögliche Ursachen:
- Server überlastet
- Wartungsmodus
- Anwendung nicht gestartet
- Backend nicht verfügbar
- Ressourcenmangel
Merksatz:
503 = Dienst aktuell nicht verfügbar.
504 Gateway Timeout
504 bedeutet:
Gateway Timeout
Ein Proxy oder Gateway wartet zu lange auf Antwort vom Backend.
Mögliche Ursachen:
- Backend langsam
- Backend hängt
- Netzwerkproblem zum Backend
- Timeout zu kurz eingestellt
- Datenbankantwort dauert zu lange
Merksatz:
504 = Gateway wartet zu lange auf Backend.
Weiterleitungen
Weiterleitungen gehören zu den 3xx-Statuscodes.
Beispiele:
301
302
301 bedeutet:
dauerhaft weitergeleitet
302 bedeutet:
vorübergehend weitergeleitet
Der neue Ort steht häufig im Header:
Location
Merksatz:
3xx bedeutet:
Client soll woanders hin.
Cache
Caching bedeutet:
Inhalte werden zwischengespeichert.
Ziel:
schnellere Ladezeiten
weniger Serverlast
weniger Datenverkehr
Caches können existieren bei:
- Browser
- Proxy
- CDN
- Anwendung
- DNS
Merksatz:
Cache speichert Daten,
um spätere Anfragen schneller zu beantworten.
Cache-Control
Cache-Control ist ein HTTP-Header.
Er steuert,
wie Inhalte zwischengespeichert werden dürfen.
Beispiele:
Cache-Control: no-cache
Cache-Control: no-store
Cache-Control: max-age=3600
Merksatz:
Cache-Control steuert HTTP-Caching.
API und HTTP
Viele APIs nutzen HTTP oder HTTPS.
Typisch:
URL beschreibt Ressource.
HTTP-Methode beschreibt Aktion.
Header enthalten Zusatzinformationen.
Body enthält Daten.
Statuscode zeigt Ergebnis.
Beispiel:
GET /api/users
Bedeutung:
Benutzer abrufen.
Merksatz:
Web-APIs nutzen HTTP als Kommunikationsgrundlage.
REST und HTTP
REST nutzt HTTP-Ideen für APIs.
Typisch:
Aktion
HTTP-Methode
Beispiel
lesen
GET
GET /users
erstellen
POST
POST /users
ersetzen
PUT
PUT /users/5
teilweise ändern
PATCH
PATCH /users/5
löschen
DELETE
DELETE /users/5
Merksatz:
REST ordnet Aktionen oft HTTP-Methoden zu.
JSON bei APIs
Viele APIs nutzen JSON als Datenformat.
Beispiel:
{
"id": 5,
"name": "Felix",
"rolle": "admin"
}
Wichtig:
JSON gehört als Datenformat eher zu Schicht 6,
wird aber häufig in Schicht-7-APIs genutzt.
Merksatz:
APIs nutzen oft JSON für strukturierte Daten.
Content-Type bei APIs
Bei APIs ist Content-Type besonders wichtig.
Beispiel:
Content-Type: application/json
Bedeutung:
Der Body enthält JSON.
Wenn Content-Type falsch ist,
kann der Server die Daten falsch interpretieren oder ablehnen.
Merksatz:
Falscher Content-Type kann API-Fehler verursachen.
Authentifizierung bei Webdiensten
Webdienste können unterschiedliche Authentifizierungsarten nutzen.
Beispiele:
- Benutzername und Passwort
- Session-Cookie
- Bearer Token
- API-Key
- Client-Zertifikat
- OAuth
- OpenID Connect
- Multi-Faktor-Authentifizierung
Merksatz:
Webdienste müssen oft Benutzer oder Clients prüfen.
Bearer Token
Ein Bearer Token ist ein Zugriffstoken.
Es wird häufig im Authorization-Header gesendet.
Beispiel:
Authorization: Bearer
Wichtig:
Wer den Token besitzt,
kann ihn oft verwenden.
Deshalb muss er geschützt werden.
Merksatz:
Bearer Token wie ein Passwort schützen.
CORS kurz erklärt
CORS steht für:
Cross-Origin Resource Sharing
CORS regelt,
ob ein Browser eine Webseite von einer Herkunft auf Ressourcen einer anderen Herkunft zugreifen lässt.
Beispiel:
Webseite von app.firma.de
ruft API von api.firma.de auf
Wenn CORS nicht passend konfiguriert ist,
blockiert der Browser die Anfrage.
Merksatz:
CORS ist eine Browser-Sicherheitsregel für Webanfragen.
Same-Origin Policy
Die Same-Origin Policy ist eine wichtige Browser-Sicherheitsregel.
Sie begrenzt,
wie Webseiten auf Daten anderer Herkunft zugreifen dürfen.
Herkunft besteht aus:
- Schema
- Host
- Port
Beispiel:
https://app.firma.de:443
Merksatz:
Gleiche Herkunft = Schema, Host und Port passen.
Mixed Content
Mixed Content bedeutet:
Eine HTTPS-Seite lädt Inhalte über HTTP nach.
Beispiel:
Hauptseite:
https://wiki.firma.de
eingebundenes Script:
http://example.com/script.js
Browser blockieren solche Inhalte oft oder warnen.
Merksatz:
HTTPS-Seiten sollten keine HTTP-Inhalte nachladen.
Reverse Proxy
Ein Reverse Proxy steht vor einem oder mehreren internen Diensten.
Ablauf:
Client
→ Reverse Proxy
→ Backend-Server
Typische Aufgaben:
- TLS beenden
- Anfragen weiterleiten
- mehrere Dienste über eine Domainstruktur bereitstellen
- Lastverteilung
- Zugriffsschutz
- Header setzen
- Weiterleitungen durchführen
Merksatz:
Reverse Proxy nimmt Anfragen an und leitet sie intern weiter.
Backend
Backend bezeichnet den Dienst,
der hinter einem Reverse Proxy arbeitet.
Beispiel:
Client ruft https://wiki.firma.de auf.
Reverse Proxy nimmt Anfrage an.
Backend ist der interne Webdienst.
Mögliche Fehler:
- Backend läuft nicht
- falscher Backend-Port
- falsches Protokoll HTTP/HTTPS
- Firewall blockiert intern
- falscher Pfad
Merksatz:
Backend = eigentlicher Dienst hinter Proxy oder Anwendung.
Host-Header
Der Host-Header sagt dem Webserver,
welcher Hostname angefragt wurde.
Beispiel:
Host: wiki.firma.de
Das ist wichtig,
wenn mehrere Webseiten auf derselben IP-Adresse laufen.
Der Server entscheidet anhand des Host-Headers,
welche Webseite ausgeliefert wird.
Merksatz:
Host-Header ermöglicht mehrere Webseiten auf einer IP.
Virtueller Host
Ein virtueller Host erlaubt,
mehrere Webseiten oder Dienste auf einem Server zu betreiben.
Beispiel:
wiki.firma.de
cloud.firma.de
shop.firma.de
Alle können auf dieselbe IP zeigen,
aber unterschiedliche Inhalte liefern.
Merksatz:
Virtuelle Hosts unterscheiden Webseiten über Hostnamen.
Fehlerbild: Webseite nicht erreichbar
Mögliche Ursachen nach Schichten:
Schicht 3:
IP, Gateway oder Routing falsch
Schicht 4:
TCP 80 oder 443 nicht erreichbar
Schicht 6:
TLS-Zertifikat fehlerhaft
Schicht 7:
HTTP-Fehler, Anwendung, Pfad oder Backend
Merksatz:
Webfehler systematisch nach Schichten prüfen.
Fehlerbild: HTTP 404
Mögliche Ursachen:
- falscher Pfad
- Datei existiert nicht
- Route in Anwendung fehlt
- Reverse Proxy leitet falsch weiter
- falsche Base-URL
- Anwendung erwartet anderen Pfad
Merksatz:
404 = Ressource unter diesem Pfad nicht gefunden.
Fehlerbild: HTTP 500
Mögliche Ursachen:
- Fehler in Anwendung
- Datenbank nicht erreichbar
- falsche Rechte
- Konfigurationsfehler
- Abhängigkeit fehlt
- Programmfehler
- Speicher- oder Ressourcenproblem
Merksatz:
500 = Anwendung oder Server hat intern ein Problem.
Fehlerbild: HTTP 502
Mögliche Ursachen:
- Reverse Proxy erreicht Backend nicht
- Backend-Port falsch
- Backend-Protokoll falsch
- Backend abgestürzt
- Firewall blockiert intern
- falscher Container-Name oder DNS-Name
- Timeout oder ungültige Backend-Antwort
Merksatz:
502 = Proxy-zu-Backend prüfen.
Fehlerbild: Login-Schleife
Eine Login-Schleife bedeutet:
Benutzer meldet sich an,
landet aber wieder auf Login-Seite.
Mögliche Ursachen:
- Session-Cookie wird nicht gespeichert
- Cookie-Domain falsch
- Cookie-Pfad falsch
- HTTP/HTTPS-Wechsel
- SameSite-Problem
- Server verliert Session-State
- falsche Systemzeit
- Token ungültig
Merksatz:
Login-Schleifen sind oft Cookie-, Session- oder Token-Probleme.
Fehlerbild: API lehnt Anfrage ab
Mögliche Ursachen:
- falsche HTTP-Methode
- falsche URL
- fehlender Authorization-Header
- Token ungültig
- falscher Content-Type
- ungültiges JSON
- fehlende Pflichtfelder
- fehlende Berechtigung
- Rate Limit erreicht
Merksatz:
API-Fehler mit Methode, URL, Header, Body und Statuscode prüfen.
Fehlersuche bei Webkommunikation
Eine sinnvolle Reihenfolge:
1. DNS-Name wird korrekt aufgelöst?
2. Ziel-IP erreichbar?
3. TCP-Port 80 oder 443 erreichbar?
4. TLS-Zertifikat gültig?
5. HTTP-Statuscode prüfen.
6. Weiterleitungen prüfen.
7. Header prüfen.
8. Cookies und Session prüfen.
9. Reverse Proxy prüfen.
10. Backend und Anwendungslogs prüfen.
Merksatz:
Bei Webfehlern erst Verbindung,
dann TLS,
dann HTTP,
dann Anwendung prüfen.
HTTP-Logs
HTTP-Logs helfen bei der Fehlersuche.
Typische Informationen:
- Client-IP
- Zeit
- Methode
- Pfad
- Statuscode
- Antwortgröße
- User-Agent
- Referer
- Bearbeitungszeit
Beispiele für wichtige Fragen:
Kommt die Anfrage beim Server an?
Welcher Pfad wird aufgerufen?
Welcher Statuscode wird geliefert?
Ist der Fehler nur bei bestimmten Clients?
Merksatz:
HTTP-Logs zeigen,
was der Webserver tatsächlich beantwortet.
Reverse-Proxy-Logs
Reverse-Proxy-Logs sind wichtig,
wenn ein Proxy zwischen Client und Backend steht.
Sie zeigen oft:
- eingehende Anfrage
- gewähltes Backend
- Statuscode
- Upstream-Fehler
- Timeout
- TLS-Informationen
- Weiterleitungsprobleme
Merksatz:
Bei 502, 503 und 504 zuerst Proxy und Backend prüfen.
Sicherheit bei HTTP und HTTPS
Wichtige Sicherheitsregeln:
- HTTPS statt HTTP verwenden
- Zertifikate aktuell halten
- sichere Cookies setzen
- sensible Daten nicht in URLs schreiben
- Eingaben prüfen
- Authentifizierung schützen
- Rechte sauber prüfen
- unnötige Header vermeiden
- nicht benötigte Dienste abschalten
- Logs datenschutzbewusst behandeln
Merksatz:
Websicherheit betrifft Transport,
Anwendung
und Benutzerzugriff.
Sensible Daten nicht in URLs
Sensible Daten sollten nicht in Query-Parametern stehen.
Problem:
URLs können in Logs,
Browserhistorie,
Proxys
oder Referer-Headern auftauchen.
Schlecht:
/login?password=geheim
Besser:
sensible Daten im Body übertragen
und HTTPS verwenden.
Merksatz:
Passwörter und Tokens gehören nicht in URLs.
HTTP und Datenschutz
HTTP-Logs können personenbezogene Daten enthalten.
Beispiele:
- IP-Adressen
- Benutzerkennungen
- Pfade
- Suchbegriffe
- Tokens in URLs
- Zeitstempel
Deshalb wichtig:
Logs schützen,
Aufbewahrung begrenzen,
sensible Daten vermeiden.
Merksatz:
Weblogs können sensible Informationen enthalten.
Einordnung in das OSI-Modell
Thema
Schicht
IP-Adresse
3
TCP 80 / TCP 443
4
TLS
6 mit Bezug zu 4 und 7
HTTP
7
HTTPS
7 über TLS
URL
7
HTTP-Header
7
HTTP-Methode
7
HTTP-Statuscode
7
Cookie
7 mit Sitzungsbezug
JSON-Format
6 / 7-Bezug
Reverse Proxy
7 mit Bezug zu 4 und 6
Merksatz:
HTTP ist Schicht 7.
TLS schützt darunter.
TCP transportiert darunter.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist HTTP?
- Was ist HTTPS?
- Was ist der Unterschied zwischen HTTP und HTTPS?
- Welche Ports nutzen HTTP und HTTPS?
- Was ist ein HTTP-Request?
- Was ist eine HTTP-Response?
- Was ist eine URL?
- Was bedeuten GET, POST, PUT, PATCH und DELETE?
- Was ist ein HTTP-Header?
- Was bedeutet Content-Type?
- Was ist ein Cookie?
- Warum ist HTTP zustandslos?
- Was bedeuten HTTP-Statuscodes?
- Was ist der Unterschied zwischen 401 und 403?
- Was bedeuten 404, 500, 502, 503 und 504?
- Was ist ein Reverse Proxy?
- Warum kann eine Webseite trotz offenem Port Fehler anzeigen?
Typische Prüfungsfallen
HTTP gehört zu Schicht 7.
HTTPS gehört zu Schicht 7,
nutzt aber TLS.
HTTP nutzt typischerweise TCP 80.
HTTPS nutzt typischerweise TCP 443.
HTTP/3 nutzt QUIC über UDP.
Port gehört zu Schicht 4.
HTTP-Methode gehört zu Schicht 7.
HTTP-Statuscode gehört zu Schicht 7.
TLS-Zertifikatsfehler sind nicht einfach HTTP-Fehler.
HTTP ist grundsätzlich zustandslos.
Cookies helfen bei Sitzungen.
GET sollte Daten abrufen.
POST sendet Daten an den Server.
401 bedeutet nicht authentifiziert.
403 bedeutet verboten.
404 bedeutet nicht gefunden.
500 bedeutet interner Serverfehler.
502 deutet häufig auf Proxy-Backend-Problem.
503 bedeutet Dienst nicht verfügbar.
504 bedeutet Gateway Timeout.
Offener TCP-Port 443 heißt nicht,
dass die Webanwendung korrekt funktioniert.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
HTTP
Webprotokoll
HTTPS
HTTP über TLS
Request
Anfrage des Clients
Response
Antwort des Servers
URL
Adresse einer Ressource
Schema
Protokollteil einer URL
Hostname
Name des Servers
Pfad
angeforderte Ressource
Query
Zusatzparameter in URL
Methode
Aktion einer HTTP-Anfrage
Header
Zusatzinformationen
Body
Nutzdaten einer Anfrage oder Antwort
Content-Type
Format des Inhalts
Cookie
gespeicherte Webinformation
Session-Cookie
Cookie zur Sitzungszuordnung
Statuscode
Ergebnis einer HTTP-Anfrage
Redirect
Weiterleitung
Cache
Zwischenspeicher
API
Anwendungsschnittstelle
REST
API-Architekturstil
Bearer Token
Zugriffstoken
CORS
Browser-Regel für fremde Herkunft
Reverse Proxy
vorgelagerter Webserver
Backend
interner Ziel-Dienst
IHK-sichere Kurzformulierung
HTTP ist ein Anwendungsschicht-Protokoll zur Übertragung von Webinhalten. Es arbeitet mit Requests und Responses. Ein Client fordert eine Ressource über eine URL an, der Server antwortet mit Headern, einem Statuscode und optionalem Inhalt. HTTPS ist HTTP über TLS und schützt die Übertragung durch Verschlüsselung, Integrität und Serverauthentifizierung. HTTP nutzt typischerweise TCP-Port 80, HTTPS typischerweise TCP-Port 443. HTTP-Methoden wie GET, POST, PUT, PATCH und DELETE beschreiben die gewünschte Aktion. HTTP-Statuscodes zeigen das Ergebnis einer Anfrage an. Fehler wie 404, 500, 502, 503 oder 504 helfen bei der Fehlersuche auf Anwendungsschicht.
Merksätze
HTTP = Hypertext Transfer Protocol.
HTTPS = HTTP über TLS.
HTTP gehört zu Schicht 7.
HTTPS gehört zu Schicht 7 mit TLS-Bezug.
HTTP nutzt typischerweise TCP 80.
HTTPS nutzt typischerweise TCP 443.
HTTP/3 nutzt QUIC über UDP.
Client stellt Request.
Server sendet Response.
URL zeigt Ressource.
Hostname wird per DNS aufgelöst.
GET ruft Daten ab.
POST sendet Daten.
PUT ersetzt vollständig.
PATCH ändert teilweise.
DELETE löscht.
Header enthalten Zusatzinformationen.
Content-Type beschreibt das Datenformat.
Cookie hilft bei Sitzungen.
HTTP ist zustandslos.
HTTPS schützt HTTP mit TLS.
Erst TCP,
dann TLS,
dann HTTP.
2xx = Erfolg.
3xx = Weiterleitung.
4xx = Clientfehler.
5xx = Serverfehler.
401 = nicht authentifiziert.
403 = verboten.
404 = nicht gefunden.
500 = interner Serverfehler.
502 = Bad Gateway.
503 = Dienst nicht verfügbar.
504 = Gateway Timeout.
Offener Port heißt nicht:
Webanwendung funktioniert.
Bei Webfehlern DNS,
IP,
Port,
TLS,
HTTP
und Anwendung prüfen.
10.3 DNS und Namensauflösung
DNS gehört zur OSI-Schicht 7.
DNS steht für:
Domain Name System
Die Hauptaufgabe von DNS ist:
Namen in IP-Adressen auflösen.
Beispiel:
www.example.com
→ 93.184.216.34
Menschen merken sich Namen leichter als IP-Adressen.
Computer benötigen aber IP-Adressen, um über das Netzwerk zu kommunizieren.
Merksatz:
DNS = Name zu IP-Adresse.
Warum braucht man DNS?
Ohne DNS müsste man sich IP-Adressen merken.
Beispiel ohne DNS:
93.184.216.34
Beispiel mit DNS:
www.example.com
DNS macht Netzwerke benutzerfreundlicher und flexibler.
Wenn sich die IP-Adresse eines Servers ändert,
kann der DNS-Eintrag angepasst werden,
ohne dass sich der Name ändern muss.
Merksatz:
DNS trennt Namen von IP-Adressen.
DNS im OSI-Modell
DNS ist ein Anwendungsschicht-Protokoll.
Es nutzt Transportprotokolle aus Schicht 4.
Typisch:
UDP 53
TCP 53
Wichtig:
DNS-Port 53 gehört zu Schicht 4.
DNS-Protokoll gehört zu Schicht 7.
Merksatz:
DNS nutzt Ports,
ist aber ein Dienst der Anwendungsschicht.
DNS und IP-Kommunikation
DNS ist nicht nötig,
wenn direkt mit einer IP-Adresse kommuniziert wird.
Beispiel:
ping 8.8.8.8
Hier wird kein DNS-Name benötigt.
DNS wird benötigt bei:
ping www.example.com
Denn der Name muss zuerst in eine IP-Adresse aufgelöst werden.
Merksatz:
IP-Adresse direkt = kein DNS nötig.
Name verwenden = DNS nötig.
Typischer Ablauf einer Namensauflösung
Vereinfacht:
1. Benutzer gibt Namen ein.
2. Client prüft lokalen Cache.
3. Client fragt DNS-Resolver.
4. Resolver sucht die passende Antwort.
5. Resolver liefert IP-Adresse zurück.
6. Client verbindet sich zur IP-Adresse.
Beispiel:
Browser:
www.example.com öffnen
DNS:
www.example.com = 93.184.216.34
Browser:
Verbindung zu 93.184.216.34 aufbauen
Merksatz:
Erst Name auflösen,
dann Verbindung zur IP-Adresse aufbauen.
DNS-Client
Der DNS-Client ist das System,
das eine DNS-Anfrage stellt.
Beispiele:
- PC
- Smartphone
- Server
- Browser
- Anwendung
- Betriebssystem
Der Client fragt normalerweise nicht direkt alle DNS-Server im Internet,
sondern nutzt einen eingetragenen DNS-Resolver.
Merksatz:
DNS-Client stellt die Anfrage.
DNS-Resolver
Ein DNS-Resolver beantwortet DNS-Anfragen für Clients.
Er kann:
- Antworten aus Cache liefern
- andere DNS-Server fragen
- rekursive Auflösung durchführen
- lokale DNS-Zonen kennen
Beispiele für Resolver:
- Router im Heimnetz
- interner DNS-Server
- Provider-DNS
- öffentlicher DNS-Dienst
Merksatz:
Resolver sucht die Antwort für den Client.
Rekursive DNS-Abfrage
Bei einer rekursiven Abfrage erwartet der Client vom Resolver eine fertige Antwort.
Der Client fragt:
Welche IP hat www.example.com?
Der Resolver kümmert sich darum,
die Antwort zu finden.
Der Client erhält am Ende:
IP-Adresse
oder
Fehler
Merksatz:
Rekursiv = Resolver erledigt die Suche für den Client.
Iterative DNS-Abfrage
Bei einer iterativen Abfrage liefert ein DNS-Server nicht unbedingt die endgültige Antwort.
Er kann stattdessen sagen:
Frag den nächsten zuständigen Server.
Das passiert typischerweise zwischen DNS-Servern bei der Auflösung.
Merksatz:
Iterativ = Server verweist auf nächsten zuständigen Server.
DNS-Hierarchie
DNS ist hierarchisch aufgebaut.
Vereinfacht:
Root
Top-Level-Domain
Domain
Subdomain
Hostname
Beispiel:
www.example.com
Aufteilung:
Teil
Bedeutung
.
Root
com
Top-Level-Domain
example
Domain
www
Hostname oder Subdomain
Merksatz:
DNS ist wie ein Baum aufgebaut.
Root-DNS-Server
Root-DNS-Server stehen ganz oben in der DNS-Hierarchie.
Sie kennen nicht jede einzelne Domain,
aber sie wissen,
welche Nameserver für Top-Level-Domains zuständig sind.
Beispiel:
Für .de frage diese Nameserver.
Für .com frage diese Nameserver.
Merksatz:
Root-Server verweisen auf TLD-Nameserver.
Top-Level-Domain
Eine Top-Level-Domain ist der rechte Teil eines Domainnamens.
Beispiele:
.de
.com
.org
.net
.edu
Bei:
www.example.com
ist:
.com
die Top-Level-Domain.
Merksatz:
TLD = oberster Domainbereich wie .de oder .com.
Authoritative DNS-Server
Ein authoritative DNS-Server ist für eine DNS-Zone zuständig.
Er enthält verbindliche Informationen für eine Domain.
Beispiel:
Der authoritative DNS-Server für example.com kennt Einträge wie:
www.example.com
mail.example.com
api.example.com
Merksatz:
Authoritative DNS-Server liefern verbindliche Antworten für eine Zone.
DNS-Zone
Eine DNS-Zone ist ein verwalteter Bereich im DNS.
Beispiel:
example.com
In dieser Zone können Einträge liegen wie:
www.example.com
mail.example.com
api.example.com
Eine Zone wird von zuständigen DNS-Servern verwaltet.
Merksatz:
DNS-Zone = verwalteter Namensbereich.
Forward Lookup
Forward Lookup bedeutet:
Name zu IP-Adresse
Beispiel:
www.example.com
→ 93.184.216.34
Das ist die häufigste DNS-Nutzung.
Merksatz:
Forward Lookup = Name zu IP.
Reverse Lookup
Reverse Lookup bedeutet:
IP-Adresse zu Name
Beispiel:
93.184.216.34
→ www.example.com
Dafür werden spezielle DNS-Zonen verwendet.
Bei IPv4:
in-addr.arpa
Bei IPv6:
ip6.arpa
Merksatz:
Reverse Lookup = IP zu Name.
DNS-Records
DNS speichert Informationen in Records.
Ein Record ist ein DNS-Eintrag.
Wichtige Record-Typen:
Record
Bedeutung
A
Name zu IPv4-Adresse
AAAA
Name zu IPv6-Adresse
CNAME
Alias auf anderen Namen
MX
Mailserver einer Domain
NS
zuständiger Nameserver
TXT
Textinformationen
PTR
Reverse-DNS-Eintrag
SRV
Dienststandort
SOA
Start of Authority
Merksatz:
DNS-Records speichern verschiedene Namensinformationen.
A-Record
Ein A-Record ordnet einen Namen einer IPv4-Adresse zu.
Beispiel:
www.example.com
→ 93.184.216.34
A steht für:
Address
Merksatz:
A-Record = Name zu IPv4.
AAAA-Record
Ein AAAA-Record ordnet einen Namen einer IPv6-Adresse zu.
Beispiel:
www.example.com
→ 2001:db8::10
Warum AAAA?
IPv6-Adressen sind 128 Bit groß.
IPv4-Adressen sind 32 Bit groß.
128 Bit sind viermal so groß wie 32 Bit.
Merksatz:
AAAA-Record = Name zu IPv6.
CNAME-Record
Ein CNAME ist ein Alias.
CNAME steht für:
Canonical Name
Beispiel:
shop.example.com
→ webserver.example.com
Der Name shop.example.com zeigt also auf einen anderen Namen.
Wichtig:
Ein CNAME zeigt auf einen Namen,
nicht direkt auf eine IP-Adresse.
Merksatz:
CNAME = Alias auf anderen DNS-Namen.
MX-Record
MX steht für:
Mail Exchanger
Ein MX-Record gibt an,
welche Mailserver für eine Domain zuständig sind.
Beispiel:
example.com
MX 10 mail.example.com
Die Zahl ist die Priorität.
Kleinere Zahl bedeutet:
höhere Priorität
Merksatz:
MX = zuständiger Mailserver einer Domain.
NS-Record
NS steht für:
Name Server
Ein NS-Record gibt an,
welche Nameserver für eine Zone zuständig sind.
Beispiel:
example.com
NS ns1.example.com
example.com
NS ns2.example.com
Merksatz:
NS = zuständiger Nameserver.
TXT-Record
TXT-Records speichern Textinformationen.
Typische Nutzung:
- SPF
- DKIM
- DMARC
- Domain-Verifizierung
- Sicherheitsinformationen
- Dienstnachweise
Beispiel:
v=spf1 include:example.net -all
Merksatz:
TXT-Record = Textinformationen im DNS.
PTR-Record
PTR steht für:
Pointer
Ein PTR-Record wird für Reverse Lookup verwendet.
Er ordnet eine IP-Adresse einem Namen zu.
Beispiel:
93.184.216.34
→ server.example.com
PTR-Records sind besonders bei Mailservern relevant.
Merksatz:
PTR = Reverse-DNS-Eintrag.
SRV-Record
SRV steht für:
Service
Ein SRV-Record beschreibt,
wo ein bestimmter Dienst erreichbar ist.
Er kann enthalten:
- Dienst
- Protokoll
- Zielhost
- Port
- Priorität
- Gewichtung
Typische Nutzung:
- Verzeichnisdienste
- VoIP
- Microsoft-Dienste
- XMPP
Merksatz:
SRV zeigt,
wo ein Dienst erreichbar ist.
SOA-Record
SOA steht für:
Start of Authority
Der SOA-Record enthält Verwaltungsinformationen einer DNS-Zone.
Dazu gehören zum Beispiel:
- primärer Nameserver
- verantwortliche Kontaktadresse
- Seriennummer
- Aktualisierungszeiten
- Ablaufzeiten
Merksatz:
SOA enthält Verwaltungsdaten einer DNS-Zone.
TTL
TTL steht bei DNS für:
Time To Live
Die TTL gibt an,
wie lange ein DNS-Eintrag zwischengespeichert werden darf.
Beispiel:
TTL 3600
Bedeutung:
Eintrag darf 3600 Sekunden,
also eine Stunde,
gecacht werden.
Merksatz:
DNS-TTL bestimmt,
wie lange eine Antwort im Cache bleiben darf.
DNS-Cache
Ein DNS-Cache speichert Antworten vorübergehend.
Caches gibt es zum Beispiel bei:
- Betriebssystem
- Browser
- DNS-Resolver
- Router
- Provider
- Anwendungen
Vorteil:
schnellere Antworten
weniger Last auf DNS-Servern
Nachteil:
Änderungen werden nicht sofort überall sichtbar.
Merksatz:
DNS-Cache macht DNS schneller,
kann Änderungen aber verzögern.
Warum DNS-Änderungen dauern können
DNS-Änderungen sind nicht immer sofort überall sichtbar.
Grund:
alte Antworten können noch in Caches liegen.
Die Dauer hängt stark von der TTL ab.
Beispiel:
TTL 86400
bedeutet:
Antwort darf bis zu 24 Stunden gecacht werden.
Merksatz:
DNS-Änderungen brauchen wegen Caching Zeit.
DNS und DHCP
Clients erhalten DNS-Server häufig per DHCP.
DHCP kann dem Client mitteilen:
- IP-Adresse
- Subnetzmaske
- Gateway
- DNS-Server
- Domain-Suffix
Wenn der falsche DNS-Server per DHCP verteilt wird,
funktioniert Namensauflösung möglicherweise falsch.
Merksatz:
DHCP verteilt oft die DNS-Serveradresse.
DNS-Suffix
Ein DNS-Suffix kann bei unvollständigen Namen ergänzt werden.
Beispiel:
eingegeben:
server01
DNS-Suffix:
firma.local
Abfrage wird zu:
server01.firma.local
Typisch in Unternehmensnetzen.
Merksatz:
DNS-Suffix ergänzt kurze Namen.
FQDN
FQDN steht für:
Fully Qualified Domain Name
Ein FQDN ist ein vollständiger DNS-Name.
Beispiel:
server01.firma.local
Er beschreibt den Namen eindeutig innerhalb der DNS-Hierarchie.
Merksatz:
FQDN = vollständiger DNS-Name.
Hostname und Domainname
Hostname:
Name eines Geräts oder Dienstes
Domainname:
Namensbereich
Beispiel:
server01.firma.local
Dabei ist:
server01 = Hostname
firma.local = Domain
Merksatz:
Hostname ist der einzelne Name,
Domain ist der Namensbereich.
Split DNS
Split DNS bedeutet:
Ein Name kann intern und extern unterschiedlich aufgelöst werden.
Beispiel:
wiki.firma.de
intern:
192.168.10.50
extern:
93.184.100.10
Das ist häufig sinnvoll,
wenn interne Clients interne Adressen verwenden sollen.
Merksatz:
Split DNS liefert je nach Standort unterschiedliche Antworten.
Interne und externe DNS-Zonen
Unternehmen nutzen oft interne und externe DNS-Zonen.
Extern sichtbar:
www.firma.de
mail.firma.de
Intern zusätzlich:
server01.firma.local
db01.intern.firma.de
printer01.firma.local
Wichtig:
Interne Namen sollten nicht unkontrolliert öffentlich sichtbar sein.
Merksatz:
Interne DNS-Zonen dienen interner Namensauflösung.
DNS und Active Directory
In Windows-Domänen ist DNS besonders wichtig.
Active Directory nutzt DNS für:
- Domänencontroller finden
- Dienste finden
- LDAP finden
- Kerberos finden
- Anmeldung unterstützen
Dafür werden unter anderem SRV-Records verwendet.
Merksatz:
Active Directory braucht funktionierendes DNS.
DNS und E-Mail
DNS ist für E-Mail sehr wichtig.
Wichtige Records:
Record
Zweck
MX
zuständiger Mailserver
A / AAAA
IP-Adresse des Mailservers
PTR
Reverse-DNS für Mailserver
TXT
SPF, DKIM, DMARC
Ohne korrekte DNS-Einträge kann E-Mail-Zustellung scheitern.
Merksatz:
Mailzustellung hängt stark von DNS ab.
SPF
SPF steht für:
Sender Policy Framework
SPF wird über TXT-Records im DNS veröffentlicht.
SPF legt fest,
welche Server für eine Domain E-Mails senden dürfen.
Merksatz:
SPF sagt,
welche Server für eine Domain senden dürfen.
DKIM
DKIM steht für:
DomainKeys Identified Mail
DKIM nutzt digitale Signaturen,
um E-Mails einer Domain zuzuordnen und Manipulationen erkennbar zu machen.
Der öffentliche Schlüssel steht im DNS als TXT-Record.
Merksatz:
DKIM signiert E-Mails kryptografisch.
DMARC
DMARC steht für:
Domain-based Message Authentication, Reporting and Conformance
DMARC baut auf SPF und DKIM auf.
Es legt fest,
wie Empfänger mit verdächtigen E-Mails umgehen sollen.
Beispiele:
- nur berichten
- in Quarantäne verschieben
- ablehnen
Merksatz:
DMARC sagt,
wie mit SPF-/DKIM-Fehlern umzugehen ist.
DNS und Webseiten
Für Webseiten sind häufig wichtig:
A-Record
AAAA-Record
CNAME
TXT für Domainprüfung
Beispiel:
www.firma.de
→ A-Record oder CNAME
Wenn DNS auf die falsche IP zeigt,
landet der Browser auf dem falschen Server.
Merksatz:
Falsches DNS kann falsche Webseite oder falsches Zertifikat bedeuten.
DNS und Zertifikate
TLS-Zertifikate müssen zum aufgerufenen Namen passen.
Wenn DNS auf einen falschen Server zeigt,
kann dieser ein falsches Zertifikat ausliefern.
Beispiel:
DNS für wiki.firma.de zeigt auf Server A.
Server A liefert Zertifikat für cloud.firma.de.
Folge:
Browser zeigt Zertifikatswarnung.
Merksatz:
DNS und Zertifikate müssen zusammenpassen.
DNS und Reverse Proxy
Bei einem Reverse Proxy zeigen DNS-Einträge häufig auf den Proxy.
Beispiel:
wiki.firma.de
cloud.firma.de
git.firma.de
zeigen alle auf:
Reverse Proxy
Der Proxy entscheidet anhand des Hostnamens,
an welches interne Backend weitergeleitet wird.
Merksatz:
DNS zeigt oft zum Proxy,
der Proxy leitet zum Backend.
DNS-Fehlersuche
Typische Fragen:
Welcher DNS-Server wird verwendet?
Wird der Name korrekt aufgelöst?
Gibt es A- oder AAAA-Records?
Gibt es einen falschen CNAME?
Ist der Cache veraltet?
Ist die TTL noch aktiv?
Wird intern anders aufgelöst als extern?
Stimmt der MX-Record?
Stimmt der PTR-Record?
Gibt es Tippfehler im Namen?
Merksatz:
DNS-Fehlersuche prüft Server,
Record,
Cache
und Sichtweise.
Fehlerbild: IP funktioniert, Name nicht
Beispiel:
ping 8.8.8.8 funktioniert.
ping www.example.com funktioniert nicht.
Dann ist IP-Kommunikation grundsätzlich möglich.
Mögliche Ursachen:
- DNS-Server falsch
- DNS-Server nicht erreichbar
- DNS-Dienst gestört
- Firewall blockiert DNS
- falscher Domainname
- DNS-Cache fehlerhaft
Merksatz:
IP geht,
Name nicht:
DNS prüfen.
Fehlerbild: Name zeigt auf falsche IP
Mögliche Ursachen:
- falscher A-Record
- falscher AAAA-Record
- falscher CNAME
- alter Cache
- falsche DNS-Zone
- Split-DNS falsch
- falscher DNS-Server wird gefragt
Merksatz:
Falsche IP bei DNS:
Record und verwendeten DNS-Server prüfen.
Fehlerbild: Intern geht, extern nicht
Mögliche Ursachen:
- interne DNS-Zone anders als externe
- externer DNS-Eintrag fehlt
- Firewall blockiert extern
- NAT oder Portweiterleitung fehlt
- Zertifikat gilt nur intern
- öffentliche IP falsch
- Split DNS falsch geplant
Merksatz:
Intern und extern getrennt prüfen.
Fehlerbild: Extern geht, intern nicht
Mögliche Ursachen:
- interner DNS-Server liefert falsche Adresse
- Hairpin NAT fehlt
- Split DNS fehlt
- interne Firewall blockiert
- interner Proxy falsch
- interne Zone überschreibt externe Zone
Merksatz:
Extern erreichbar heißt nicht automatisch intern erreichbar.
Fehlerbild: DNS-Änderung greift nicht
Mögliche Ursachen:
- DNS-Cache noch aktiv
- TTL noch nicht abgelaufen
- falscher DNS-Server wird gefragt
- Änderung in falscher Zone gemacht
- autoritativer Nameserver nicht aktualisiert
- Browser oder Betriebssystem cachet noch
Merksatz:
DNS-Änderungen brauchen Zeit wegen TTL und Cache.
Fehlerbild: Webseite zeigt falsches Zertifikat
Mögliche Ursachen:
- DNS zeigt auf falsche IP
- Reverse Proxy liefert falsches Zertifikat
- Host-Header passt nicht
- falscher virtueller Host
- CNAME zeigt unerwartet weiter
- interne und externe DNS-Antwort unterscheiden sich
Merksatz:
Falsches Zertifikat kann DNS- oder Proxy-Ursache haben.
DNS-Tools
Typische Werkzeuge zur DNS-Prüfung:
Werkzeug
Zweck
nslookup
DNS-Abfragen durchführen
dig
detaillierte DNS-Abfragen
host
einfache DNS-Abfrage
ping
zeigt oft aufgelöste IP, prüft aber ICMP
ipconfig /displaydns
DNS-Cache unter Windows anzeigen
ipconfig /flushdns
DNS-Cache unter Windows leeren
resolvectl
DNS-Informationen unter vielen Linux-Systemen
scutil --dns
DNS-Informationen unter macOS
Merksatz:
DNS prüft man mit DNS-Werkzeugen,
nicht nur mit Ping.
Ping ist kein DNS-Test allein
Ping kann einen Namen auflösen,
aber Ping prüft zusätzlich ICMP.
Beispiel:
ping www.example.com
Dabei passieren zwei Dinge:
1. DNS-Auflösung
2. ICMP-Test
Wenn Ping fehlschlägt,
muss man unterscheiden:
DNS-Auflösung fehlgeschlagen?
Oder ICMP blockiert?
Merksatz:
Ping mit Name vermischt DNS und ICMP.
DNS und UDP/TCP 53
DNS nutzt häufig UDP 53.
DNS kann aber auch TCP 53 verwenden.
TCP 53 ist wichtig bei:
- großen Antworten
- Zonentransfers
- bestimmten DNSSEC-Fällen
Prüfungsfalle:
DNS ist nicht nur UDP.
Merksatz:
DNS nutzt UDP 53 häufig,
TCP 53 ebenfalls möglich.
Zonentransfer
Ein Zonentransfer überträgt DNS-Zonendaten zwischen DNS-Servern.
Typisch:
primärer DNS-Server
→ sekundärer DNS-Server
Zonentransfers sollten nicht öffentlich für jeden erlaubt sein.
Warum?
Sonst könnten interne DNS-Strukturen sichtbar werden.
Merksatz:
Zonentransfer nur für berechtigte DNS-Server erlauben.
DNSSEC kurz erklärt
DNSSEC steht für:
Domain Name System Security Extensions
DNSSEC schützt DNS-Antworten durch digitale Signaturen.
Ziel:
Manipulation von DNS-Antworten erkennbar machen.
Wichtig:
DNSSEC verschlüsselt DNS-Anfragen nicht automatisch.
Es schützt vor allem die Integrität und Authentizität der DNS-Daten.
Merksatz:
DNSSEC signiert DNS-Daten,
verschlüsselt sie aber nicht.
DNS over HTTPS und DNS over TLS
Es gibt auch verschlüsselte DNS-Varianten.
Beispiele:
DoH = DNS over HTTPS
DoT = DNS over TLS
Ziel:
DNS-Anfragen besser vor Mitlesen oder Manipulation auf dem Transportweg schützen.
Wichtig:
In Unternehmensnetzen kann das Auswirkungen auf Filterung und Monitoring haben.
Merksatz:
DoH und DoT verschlüsseln DNS-Transport.
Was DNS nicht macht
DNS macht nicht:
- Webseiten ausliefern
- TCP-Verbindungen aufbauen
- IP-Pakete routen
- Zertifikate ausstellen
- Dienste automatisch starten
- Firewall-Regeln setzen
- Benutzer authentifizieren
DNS liefert Namen und zugehörige Informationen.
Merksatz:
DNS sagt,
wohin ein Name zeigt,
nicht ob der Dienst funktioniert.
Einordnung in das OSI-Modell
Thema
Schicht
DNS-Protokoll
7
DNS-Record
7
A / AAAA / MX / TXT
7
UDP 53 / TCP 53
4
IP-Adresse
3
Reverse Lookup
7
DNSSEC
7 mit Sicherheitsbezug
DoH / DoT
7 über TLS/HTTPS
DHCP verteilt DNS-Server
7 mit Schicht-3-Bezug
Merksatz:
DNS gehört zu Schicht 7,
nutzt aber Schicht 4 und Schicht 3 darunter.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was macht DNS?
- Wofür steht DNS?
- Warum braucht man DNS?
- Was ist ein DNS-Resolver?
- Was ist ein authoritative DNS-Server?
- Was ist eine DNS-Zone?
- Was ist der Unterschied zwischen Forward und Reverse Lookup?
- Was ist ein A-Record?
- Was ist ein AAAA-Record?
- Was ist ein CNAME?
- Was ist ein MX-Record?
- Was ist ein TXT-Record?
- Was ist ein PTR-Record?
- Was bedeutet TTL?
- Warum dauern DNS-Änderungen manchmal?
- Warum funktioniert IP, aber Name nicht?
- Warum kann falsches DNS ein Zertifikatsproblem verursachen?
- Warum nutzt DNS UDP und TCP 53?
Typische Prüfungsfallen
DNS gehört zu Schicht 7.
DNS-Port 53 gehört zu Schicht 4.
DNS löst Namen in IP-Adressen auf.
A-Record = IPv4.
AAAA-Record = IPv6.
CNAME = Alias auf anderen Namen.
MX = Mailserver.
TXT = Textinformationen.
PTR = Reverse Lookup.
NS = zuständiger Nameserver.
TTL steuert DNS-Caching.
DNS-Änderungen können wegen Cache dauern.
IP geht,
Name nicht:
DNS prüfen.
Ping mit Name ist nicht nur DNS-Test,
sondern auch ICMP-Test.
DNS ist nicht nur UDP,
sondern kann auch TCP 53 nutzen.
DNSSEC verschlüsselt DNS nicht automatisch.
DNS sagt nicht,
ob der Dienst läuft.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
DNS
Domain Name System
Namensauflösung
Name wird zu IP-Adresse aufgelöst
Resolver
DNS-Server, der Antworten für Clients sucht
authoritative DNS
zuständiger DNS-Server einer Zone
DNS-Zone
verwalteter Namensbereich
Record
DNS-Eintrag
A
Name zu IPv4
AAAA
Name zu IPv6
CNAME
Alias auf anderen Namen
MX
Mailserver
NS
Nameserver
TXT
Textinformation
PTR
Reverse-DNS-Eintrag
SRV
Dienststandort
SOA
Verwaltungsdaten einer Zone
TTL
Cache-Lebensdauer
FQDN
vollständiger DNS-Name
Split DNS
unterschiedliche interne und externe Antworten
Reverse Lookup
IP-Adresse zu Name
DNSSEC
signierte DNS-Daten
DoH
DNS über HTTPS
DoT
DNS über TLS
IHK-sichere Kurzformulierung
DNS steht für Domain Name System und gehört zur Anwendungsschicht des OSI-Modells. DNS löst Namen in IP-Adressen auf, damit Anwendungen mit verständlichen Namen arbeiten können. Ein Client fragt einen DNS-Resolver, der die passende Antwort liefert oder weitere DNS-Server abfragt. DNS ist hierarchisch aufgebaut und arbeitet mit Records wie A für IPv4, AAAA für IPv6, CNAME für Aliase, MX für Mailserver, NS für Nameserver, TXT für Textinformationen und PTR für Reverse Lookup. DNS nutzt typischerweise UDP-Port 53, kann aber auch TCP-Port 53 verwenden. DNS-Caching wird durch die TTL gesteuert.
Merksätze
DNS = Domain Name System.
DNS gehört zu Schicht 7.
DNS löst Namen in IP-Adressen auf.
Name zu IP = Forward Lookup.
IP zu Name = Reverse Lookup.
Resolver sucht Antwort für Client.
Authoritative DNS liefert verbindliche Antwort.
DNS-Zone = verwalteter Namensbereich.
A = IPv4.
AAAA = IPv6.
CNAME = Alias.
MX = Mailserver.
NS = Nameserver.
TXT = Textinformation.
PTR = Reverse Lookup.
SRV = Dienststandort.
SOA = Zonendaten.
TTL = Cache-Zeit.
DNS-Cache beschleunigt,
verzögert aber Änderungen.
FQDN = vollständiger DNS-Name.
Split DNS = intern und extern unterschiedliche Antworten.
DNS-Port = UDP/TCP 53.
DNS ist nicht nur UDP.
IP geht,
Name nicht:
DNS prüfen.
Ping mit Name vermischt DNS und ICMP.
DNSSEC signiert,
verschlüsselt aber nicht automatisch.
DoH und DoT verschlüsseln DNS-Transport.
DNS sagt,
wohin ein Name zeigt,
nicht ob der Dienst funktioniert.
10.4 DHCP und automatische IP-Konfiguration*
DHCP gehört zur OSI-Schicht 7.
DHCP steht für:
Dynamic Host Configuration Protocol
Die Hauptaufgabe von DHCP ist:
Netzwerkkonfiguration automatisch an Clients verteilen.
Ein Client kann per DHCP zum Beispiel erhalten:
- IP-Adresse
- Subnetzmaske
- Standard-Gateway
- DNS-Server
- Domain-Suffix
- Lease-Zeit
- weitere DHCP-Optionen
Merksatz:
DHCP = automatische IP-Konfiguration.
Warum braucht man DHCP?
Ohne DHCP müsste jedes Gerät manuell konfiguriert werden.
Das wäre aufwendig und fehleranfällig.
Man müsste manuell eintragen:
- IP-Adresse
- Subnetzmaske
- Gateway
- DNS-Server
- weitere Einstellungen
DHCP automatisiert diese Vergabe.
Vorteile:
- weniger manuelle Arbeit
- weniger Tippfehler
- zentrale Verwaltung
- flexible Adressvergabe
- einfache Änderung von DNS oder Gateway
- bessere Übersicht über vergebene Adressen
Merksatz:
DHCP verhindert viele manuelle IP-Konfigurationsfehler.
DHCP im OSI-Modell
DHCP ist ein Anwendungsschicht-Protokoll.
Es gehört zu:
OSI-Schicht 7
Aber DHCP verteilt Informationen,
die für Schicht 3 wichtig sind.
Beispiel:
IP-Adresse
Subnetzmaske
Gateway
Wichtig:
DHCP-Protokoll = Schicht 7
IP-Adresse und Gateway = Schicht 3
Merksatz:
DHCP ist Schicht 7,
liefert aber Schicht-3-Konfiguration.
DHCP und Ports
DHCP nutzt UDP.
Wichtige Ports:
Rolle
Protokoll
Port
DHCP-Server
UDP
67
DHCP-Client
UDP
68
Warum UDP?
Ein Client hat am Anfang oft noch keine vollständige IP-Konfiguration.
DHCP muss bereits funktionieren,
bevor der Client normal im IP-Netz arbeiten kann.
Merksatz:
DHCP nutzt UDP 67 und UDP 68.
DHCP-Client
Ein DHCP-Client ist ein Gerät,
das automatisch eine Netzwerkkonfiguration anfordert.
Beispiele:
- PC
- Notebook
- Smartphone
- Drucker
- IP-Telefon
- Server
- virtuelle Maschine
- IoT-Gerät
Der Client fragt:
Gibt es einen DHCP-Server,
der mir eine IP-Konfiguration geben kann?
Merksatz:
DHCP-Client fordert IP-Konfiguration an.
DHCP-Server
Ein DHCP-Server vergibt IP-Konfigurationen an Clients.
Er verwaltet unter anderem:
- Adressbereiche
- Leases
- Reservierungen
- DHCP-Optionen
- verfügbare und vergebene IP-Adressen
Beispiele für DHCP-Server:
- Router
- Windows Server
- Linux-Server
- Firewall
- Netzwerk-Appliance
Merksatz:
DHCP-Server verteilt Netzwerkkonfiguration.
DHCP-Bereich
Ein DHCP-Bereich wird auch genannt:
DHCP-Scope
Er beschreibt,
welche IP-Adressen ein DHCP-Server vergeben darf.
Beispiel:
Netz:
192.168.10.0/24
DHCP-Bereich:
192.168.10.100 bis 192.168.10.200
Der DHCP-Server vergibt dann Adressen aus diesem Bereich.
Merksatz:
DHCP-Scope = Adressbereich für automatische Vergabe.
DHCP-Lease
Eine per DHCP vergebene Adresse wird nicht dauerhaft vergeben,
sondern für eine bestimmte Zeit.
Diese Zeit heißt:
Lease-Zeit
Beispiel:
Client erhält 192.168.10.120
für 8 Stunden.
Nach Ablauf muss der Client die Adresse erneuern
oder eine neue Konfiguration erhalten.
Merksatz:
Lease = zeitlich begrenzte Adresszuweisung.
Warum gibt es Leases?
Leases sorgen dafür,
dass IP-Adressen wieder frei werden können.
Beispiel:
Ein Notebook war im WLAN.
Es verlässt das Netzwerk.
Nach Ablauf der Lease kann die Adresse wieder vergeben werden.
Das ist besonders nützlich bei:
- WLANs
- Gastnetzen
- Schulen
- Unternehmen
- wechselnden Geräten
- mobilen Clients
Merksatz:
Lease-Zeit verhindert dauerhaft blockierte IP-Adressen.
DHCP-Ablauf: DORA
Der klassische DHCP-Ablauf wird oft mit DORA beschrieben.
DORA steht für:
Discover
Offer
Request
Acknowledge
Die vier Schritte:
Schritt
Richtung
Bedeutung
1
Client → Netzwerk
Discover
2
Server → Client
Offer
3
Client → Server
Request
4
Server → Client
Acknowledge
Merksatz:
DHCP-Ablauf = DORA.
DHCP Discover
Beim DHCP Discover sucht der Client nach einem DHCP-Server.
Der Client hat zu diesem Zeitpunkt oft noch keine gültige IP-Adresse.
Deshalb wird die Anfrage als Broadcast gesendet.
Vereinfacht sagt der Client:
Gibt es hier einen DHCP-Server?
Merksatz:
Discover = Client sucht DHCP-Server.
DHCP Offer
Beim DHCP Offer bietet der DHCP-Server dem Client eine Konfiguration an.
Das Angebot enthält zum Beispiel:
- IP-Adresse
- Subnetzmaske
- Gateway
- DNS-Server
- Lease-Zeit
Vereinfacht sagt der Server:
Du kannst diese Adresse verwenden.
Merksatz:
Offer = Server bietet Konfiguration an.
DHCP Request
Beim DHCP Request nimmt der Client ein Angebot an.
Vereinfacht sagt der Client:
Ich möchte diese angebotene IP-Adresse verwenden.
Wenn mehrere DHCP-Server geantwortet haben,
wählt der Client normalerweise ein Angebot aus.
Merksatz:
Request = Client fordert angebotene Adresse an.
DHCP Acknowledge
Beim DHCP Acknowledge bestätigt der Server die Vergabe.
Vereinfacht sagt der Server:
Die Adresse ist für dich reserviert.
Danach kann der Client die erhaltene IP-Konfiguration verwenden.
Merksatz:
Acknowledge = Server bestätigt die Vergabe.
DORA als Ablaufbild
Der Ablauf vereinfacht:
Client → Broadcast:
DHCP Discover
Server → Client:
DHCP Offer
Client → Server:
DHCP Request
Server → Client:
DHCP Acknowledge
Merksatz:
Discover, Offer, Request, Acknowledge.
Broadcast bei DHCP
DHCP nutzt am Anfang Broadcast,
weil der Client noch nicht weiß:
welche IP-Adresse er selbst hat
welche IP-Adresse der DHCP-Server hat
welches Gateway zuständig ist
Broadcast bedeutet:
Nachricht an alle Geräte im lokalen Netz.
Wichtig:
Router leiten Broadcasts normalerweise nicht einfach in andere Netze weiter.
Merksatz:
DHCP startet häufig mit Broadcast im lokalen Netz.
DHCP und VLANs
In der Praxis gibt es häufig pro VLAN ein eigenes IP-Subnetz.
Beispiel:
VLAN
Subnetz
DHCP-Bereich
VLAN 10
192.168.10.0/24
192.168.10.100–200
VLAN 20
192.168.20.0/24
192.168.20.100–200
VLAN 30
192.168.30.0/24
192.168.30.100–200
Ein Client im VLAN 20 soll eine Adresse aus dem VLAN-20-Bereich bekommen.
Merksatz:
Jedes VLAN braucht passende DHCP-Konfiguration.
DHCP-Relay
Ein DHCP-Relay wird benötigt,
wenn DHCP-Client und DHCP-Server in unterschiedlichen Netzen liegen.
Problem:
DHCP Discover ist Broadcast.
Router leiten Broadcasts normalerweise nicht weiter.
Lösung:
DHCP-Relay nimmt die Anfrage entgegen
und leitet sie gezielt an den DHCP-Server weiter.
Bei Cisco wird dafür oft der Begriff verwendet:
IP Helper Address
Merksatz:
DHCP-Relay bringt DHCP-Anfragen über Router-Grenzen.
Beispiel DHCP-Relay
Situation:
Client im VLAN 20
DHCP-Server im Servernetz VLAN 100
Ohne DHCP-Relay:
DHCP Discover bleibt im VLAN 20.
DHCP-Server sieht die Anfrage nicht.
Mit DHCP-Relay:
Router oder Layer-3-Switch leitet die Anfrage an den DHCP-Server weiter.
Merksatz:
DHCP-Server muss nicht in jedem VLAN stehen,
wenn DHCP-Relay korrekt eingerichtet ist.
DHCP-Optionen
DHCP kann neben der IP-Adresse weitere Informationen liefern.
Wichtige Optionen:
Option
Bedeutung
Subnetzmaske
Netzgröße
Router / Gateway
Standard-Gateway
DNS-Server
Server für Namensauflösung
Domainname
DNS-Suffix
NTP-Server
Zeitserver
Lease-Zeit
Gültigkeitsdauer
PXE-Boot-Optionen
Netzwerkstart
Merksatz:
DHCP liefert mehr als nur IP-Adressen.
Standard-Gateway per DHCP
DHCP kann das Standard-Gateway an den Client verteilen.
Das Gateway wird benötigt,
wenn der Client andere Netze erreichen soll.
Beispiel:
Client:
192.168.10.120/24
Gateway:
192.168.10.1
Wichtig:
Das Gateway muss zum Subnetz des Clients passen.
Merksatz:
Falsches Gateway per DHCP erzeugt Routing-Probleme.
DNS-Server per DHCP
DHCP verteilt oft auch DNS-Server.
Beispiel:
DNS-Server:
192.168.10.10
Wenn hier ein falscher DNS-Server eingetragen ist,
funktioniert IP-Kommunikation möglicherweise,
aber Namensauflösung nicht.
Fehlerbild:
ping 8.8.8.8 funktioniert
ping www.example.com funktioniert nicht
Merksatz:
Falscher DNS per DHCP verursacht Namensprobleme.
DHCP-Reservierung
Eine DHCP-Reservierung ordnet einem bestimmten Gerät immer dieselbe IP-Adresse zu.
Typische Grundlage:
MAC-Adresse des Clients
Beispiel:
Drucker-MAC:
AA:BB:CC:11:22:33
reservierte IP:
192.168.10.50
Der Drucker bekommt dann per DHCP immer dieselbe Adresse.
Merksatz:
DHCP-Reservierung = gleiche IP für bestimmtes Gerät.
Reservierung und statische IP unterscheiden
Variante
Bedeutung
statische IP
direkt am Gerät manuell eingetragen
DHCP-Reservierung
zentral am DHCP-Server festgelegt
Vorteil der Reservierung:
zentrale Verwaltung
weniger Fehler am Gerät
DNS und Optionen bleiben konsistent
Typisch für:
- Drucker
- Server
- Netzwerkgeräte
- Kameras
- Spezialgeräte
Merksatz:
Reservierung ist zentraler als manuelle statische IP.
Ausschlussbereich
Ein Ausschlussbereich enthält IP-Adressen,
die der DHCP-Server nicht automatisch vergeben soll.
Beispiel:
Netz:
192.168.10.0/24
DHCP-Bereich:
192.168.10.10 bis 192.168.10.250
ausgeschlossen:
192.168.10.1 bis 192.168.10.20
Warum?
Diese Adressen sind vielleicht für Gateway, Server oder Drucker reserviert.
Merksatz:
Ausschlussbereiche verhindern doppelte Vergabe wichtiger Adressen.
Adresskonflikt
Ein Adresskonflikt entsteht,
wenn zwei Geräte dieselbe IP-Adresse verwenden.
Mögliche Ursachen:
- statische IP liegt im DHCP-Bereich
- DHCP-Reservierung doppelt
- zwei DHCP-Server vergeben gleiche Bereiche
- manuelle Fehlkonfiguration
- Gerät verwendet alte Adresse weiter
Folgen:
- instabile Verbindung
- wechselnde Erreichbarkeit
- ARP-Probleme
- Verbindungsabbrüche
Merksatz:
Doppelte IP-Adressen verursachen instabile Netzprobleme.
DHCP und APIPA
Wenn ein Windows-Client keine DHCP-Adresse erhält,
kann er sich selbst eine APIPA-Adresse geben.
APIPA-Bereich:
169.254.0.0/16
Beispiel:
169.254.23.80
Das bedeutet häufig:
DHCP-Server nicht erreichbar
oder
DHCP-Vergabe fehlgeschlagen
Merksatz:
169.254.x.x weist oft auf DHCP-Probleme hin.
DHCP und DNS-Dynamik
In manchen Netzwerken werden DNS-Einträge automatisch mit DHCP aktualisiert.
Beispiel:
Client erhält per DHCP:
192.168.10.120
DNS wird aktualisiert:
client01.firma.local
→ 192.168.10.120
Das ist besonders in Windows- und Active-Directory-Umgebungen verbreitet.
Merksatz:
DHCP kann mit DNS zusammenarbeiten.
DHCP und Active Directory
In Windows-Umgebungen ist DHCP oft eng mit DNS und Active Directory verbunden.
Wichtig:
Clients brauchen richtigen DNS-Server,
um Domänencontroller zu finden.
Wenn per DHCP ein externer DNS-Server verteilt wird,
kann die Domänenanmeldung fehlschlagen.
Merksatz:
In AD-Netzen muss DHCP den internen DNS-Server verteilen.
DHCP-Snooping
DHCP-Snooping ist eine Sicherheitsfunktion auf Switches.
Ziel:
Schutz vor unerlaubten DHCP-Servern.
Der Switch unterscheidet:
vertrauenswürdige Ports
nicht vertrauenswürdige Ports
DHCP-Antworten dürfen nur von vertrauenswürdigen Ports kommen.
Merksatz:
DHCP-Snooping schützt vor Rogue-DHCP-Servern.
Rogue-DHCP-Server
Ein Rogue-DHCP-Server ist ein unerlaubter DHCP-Server im Netzwerk.
Er kann falsche Informationen verteilen:
- falsches Gateway
- falscher DNS-Server
- falsche IP-Adressen
- falsches Subnetz
Folgen:
- Clients verlieren Netzwerkzugriff
- Datenverkehr wird umgeleitet
- Namensauflösung wird manipuliert
- Sicherheitsrisiko
Merksatz:
Unerlaubter DHCP-Server kann ein ganzes Netz stören.
DHCP-Starvation
DHCP-Starvation ist ein Angriff,
bei dem sehr viele DHCP-Anfragen gestellt werden.
Ziel:
DHCP-Adressbereich erschöpfen.
Folge:
echte Clients bekommen keine IP-Adresse mehr.
Schutzmaßnahmen:
- Port Security
- DHCP-Snooping
- Netzwerkzugangskontrolle
- Monitoring
- ausreichend Segmentierung
Merksatz:
DHCP-Starvation leert den DHCP-Adresspool.
DHCP und IPv6
Bei IPv6 gibt es mehrere Möglichkeiten zur Adresskonfiguration.
Wichtige Begriffe:
- SLAAC
- DHCPv6
- Router Advertisements
SLAAC bedeutet:
Client bildet IPv6-Adresse selbst anhand von Router Advertisements.
DHCPv6 kann zusätzliche Informationen liefern,
zum Beispiel DNS-Server.
Merksatz:
IPv6 nutzt nicht einfach DHCPv4,
sondern SLAAC, RA und DHCPv6.
DHCPv4 und DHCPv6 unterscheiden
Thema
DHCPv4
DHCPv6
Protokollfamilie
IPv4
IPv6
Adressvergabe
häufig zentral per DHCP
möglich, aber auch SLAAC
Broadcast
ja
nein, IPv6 nutzt Multicast
Gateway-Verteilung
per DHCP möglich
meist über Router Advertisements
DNS-Verteilung
per DHCP
per DHCPv6 oder RA-Optionen
Merksatz:
DHCPv6 funktioniert anders als DHCPv4.
DHCP-Fehlersuche
Typische Fragen:
Hat der Client überhaupt Link?
Ist der Client im richtigen VLAN?
Gibt es einen DHCP-Server?
Ist der DHCP-Bereich aktiv?
Sind noch freie Adressen vorhanden?
Funktioniert DHCP-Relay?
Werden UDP 67 und 68 blockiert?
Gibt es einen Rogue-DHCP-Server?
Ist die erhaltene IP im richtigen Subnetz?
Stimmen Gateway und DNS?
Merksatz:
DHCP-Fehlersuche beginnt bei Link, VLAN und DHCP-Server.
Fehlerbild: Client bekommt keine IP-Adresse
Mögliche Ursachen:
- kein Link
- falsches VLAN
- DHCP-Server nicht erreichbar
- DHCP-Dienst gestoppt
- DHCP-Bereich erschöpft
- DHCP-Relay fehlt
- Firewall blockiert UDP 67/68
- Rogue-DHCP oder Schutzfunktion stört
- Netzwerkkarte deaktiviert
- Clientproblem
Merksatz:
Keine IP-Adresse:
Link, VLAN, DHCP und Relay prüfen.
Fehlerbild: Client bekommt falsche IP-Adresse
Mögliche Ursachen:
- Client ist im falschen VLAN
- falscher DHCP-Bereich aktiv
- Rogue-DHCP-Server
- falsche SSID-VLAN-Zuordnung
- falscher Switch-Port
- fehlerhafte Reservierung
- falscher DHCP-Relay-Kontext
Merksatz:
Falsche DHCP-Adresse deutet oft auf falsches VLAN oder Rogue-DHCP hin.
Fehlerbild: Client bekommt IP, aber kein Internet
Mögliche Ursachen:
- falsches Gateway per DHCP
- Gateway nicht erreichbar
- DNS falsch
- Routing fehlt
- NAT fehlt
- Firewall blockiert
- falsche Subnetzmaske
- Client im falschen VLAN
Merksatz:
DHCP-Erfolg heißt nicht automatisch:
Internet funktioniert.
Fehlerbild: IP funktioniert, Name nicht
Mögliche Ursachen:
- falscher DNS-Server per DHCP verteilt
- DNS-Server nicht erreichbar
- DNS-Dienst gestört
- falsches DNS-Suffix
- Firewall blockiert DNS
- externer DNS statt interner DNS
Merksatz:
DHCP kann DNS-Probleme verursachen,
wenn falsche DNS-Optionen verteilt werden.
Fehlerbild: Manche Clients bekommen IP, andere nicht
Mögliche Ursachen:
- DHCP-Pool fast erschöpft
- bestimmte Switch-Ports in falschem VLAN
- WLAN-SSID falsch zugeordnet
- DHCP-Snooping blockiert bestimmte Ports
- MAC-Filter
- Reservierungen fehlerhaft
- Relay nur für manche VLANs eingerichtet
Merksatz:
Teilweise DHCP-Probleme nach Standort, VLAN und Port eingrenzen.
Fehlerbild: Nach Umzug in anderes VLAN keine IP
Mögliche Ursachen:
- DHCP-Bereich für neues VLAN fehlt
- DHCP-Relay im neuen VLAN fehlt
- VLAN nicht auf Trunk erlaubt
- Access-Port falsch
- Firewall blockiert DHCP-Relay
- Gateway-Schnittstelle im VLAN fehlt
Merksatz:
Neues VLAN braucht passenden DHCP-Bereich und Relay.
DHCP-Tools
Typische Werkzeuge und Prüfungen:
Werkzeug / Prüfung
Nutzen
IP-Konfiguration anzeigen
erhaltene Adresse prüfen
Lease erneuern
neue DHCP-Anfrage auslösen
DHCP-Server-Konsole
Bereich, Leases, Reservierungen prüfen
DHCP-Logs
Vergaben und Fehler prüfen
Switch-Port prüfen
VLAN und Link kontrollieren
Packet Capture
DORA-Ablauf sichtbar machen
Firewall-Logs
UDP 67/68 prüfen
ARP-Tabelle
Adresskonflikte erkennen
Merksatz:
DHCP prüft man am Client,
am Server
und am Netzwerk dazwischen.
DHCP-Ablauf im Mitschnitt
In einem Paketmitschnitt erkennt man den DHCP-Ablauf:
Discover
Offer
Request
Acknowledge
Typische Fragen:
Sendet der Client Discover?
Kommt ein Offer zurück?
Sendet der Client Request?
Kommt ein Acknowledge?
Welche IP wird angeboten?
Welcher Server antwortet?
Merksatz:
Im Mitschnitt sieht man,
an welchem DORA-Schritt es scheitert.
DHCP und Firewall
DHCP kann durch Firewall-Regeln gestört werden.
Besonders relevant:
UDP 67
UDP 68
Bei DHCP-Relay kann auch Verkehr zwischen Relay und DHCP-Server betroffen sein.
Wichtig:
DHCP im gleichen LAN nutzt Broadcast.
DHCP über Relay muss gezielt erlaubt sein.
Merksatz:
Firewall kann DHCP verhindern,
wenn UDP 67/68 blockiert wird.
DHCP und Dokumentation
DHCP sollte sauber dokumentiert werden.
Wichtige Angaben:
- Subnetz
- VLAN
- DHCP-Bereich
- Ausschlüsse
- Reservierungen
- Gateway
- DNS-Server
- Lease-Zeit
- DHCP-Relay-Adresse
- zuständiger Server
Merksatz:
Gute DHCP-Dokumentation verhindert Fehlvergaben.
Was DHCP nicht macht
DHCP macht nicht:
- Kabelverbindung herstellen
- VLAN automatisch richtig setzen
- Routing garantieren
- NAT einrichten
- DNS-Namen zwingend korrekt auflösen
- Dienste starten
- Benutzer authentifizieren
- Firewall-Regeln ersetzen
DHCP liefert Konfigurationsdaten,
aber andere Netzfunktionen müssen trotzdem korrekt eingerichtet sein.
Merksatz:
DHCP vergibt Konfiguration,
garantiert aber keine vollständige Erreichbarkeit.
Einordnung in das OSI-Modell
Thema
Schicht
DHCP-Protokoll
7
DHCP-Optionen
7 mit Schicht-3-Bezug
UDP 67 / 68
4
IP-Adresse
3
Subnetzmaske
3
Standard-Gateway
3
DNS-Server-Adresse
3 / 7-Bezug
VLAN
2
Broadcast
2 / 3-Bezug
DHCP-Relay
3 / 7-Bezug
DHCP-Snooping
2-Sicherheitsfunktion
Merksatz:
DHCP gehört zu Schicht 7,
wirkt aber stark auf Schicht 3.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Wofür steht DHCP?
- Welche Aufgabe hat DHCP?
- Warum ist DHCP sinnvoll?
- Welche Informationen kann DHCP verteilen?
- Welche Ports nutzt DHCP?
- Welches Transportprotokoll nutzt DHCP?
- Was bedeutet DORA?
- Was passiert bei DHCP Discover?
- Was passiert bei DHCP Offer?
- Was passiert bei DHCP Request?
- Was passiert bei DHCP Acknowledge?
- Was ist ein DHCP-Scope?
- Was ist eine Lease?
- Was ist eine DHCP-Reservierung?
- Was ist ein DHCP-Relay?
- Warum braucht man DHCP-Relay bei mehreren VLANs?
- Was bedeutet APIPA?
- Was ist ein Rogue-DHCP-Server?
- Warum kann ein Client eine falsche IP-Adresse bekommen?
Typische Prüfungsfallen
DHCP gehört zu Schicht 7.
DHCP nutzt UDP.
DHCP-Server nutzt UDP 67.
DHCP-Client nutzt UDP 68.
DHCP vergibt nicht nur IP-Adressen.
DHCP kann auch Gateway und DNS verteilen.
DHCP-Ablauf = DORA.
Discover sucht DHCP-Server.
Offer bietet Konfiguration an.
Request fordert Angebot an.
Acknowledge bestätigt Vergabe.
DHCP startet häufig mit Broadcast.
Router leiten Broadcasts normalerweise nicht einfach weiter.
DHCP-Relay ist für DHCP über Netzgrenzen nötig.
Falsches VLAN führt oft zu falscher DHCP-Adresse.
APIPA 169.254.x.x deutet oft auf DHCP-Problem hin.
DHCP-Erfolg heißt nicht automatisch,
dass DNS oder Internet funktionieren.
Rogue-DHCP kann falsche Konfiguration verteilen.
DHCPv6 funktioniert anders als DHCPv4.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
DHCP
Dynamic Host Configuration Protocol
DHCP-Client
Gerät, das Konfiguration anfordert
DHCP-Server
Server, der Konfiguration vergibt
DHCP-Scope
Adressbereich für DHCP
Lease
zeitlich begrenzte Adressvergabe
DORA
Discover, Offer, Request, Acknowledge
Discover
Client sucht DHCP-Server
Offer
Server bietet Konfiguration an
Request
Client fordert Angebot an
Acknowledge
Server bestätigt Vergabe
DHCP-Option
zusätzliche Konfigurationsinformation
DHCP-Relay
Weiterleitung von DHCP-Anfragen in andere Netze
IP Helper
Begriff für DHCP-Relay bei manchen Herstellern
Reservierung
feste IP-Zuordnung über DHCP
Ausschlussbereich
Adressen, die nicht automatisch vergeben werden
APIPA
automatische 169.254.x.x-Adresse bei DHCP-Problem
Rogue-DHCP
unerlaubter DHCP-Server
DHCP-Snooping
Schutzfunktion gegen Rogue-DHCP
DHCP-Starvation
Angriff auf DHCP-Adresspool
DHCPv6
DHCP für IPv6
IHK-sichere Kurzformulierung
DHCP steht für Dynamic Host Configuration Protocol und gehört zur Anwendungsschicht des OSI-Modells. Es dient dazu, Clients automatisch mit Netzwerkkonfigurationen zu versorgen. Dazu gehören IP-Adresse, Subnetzmaske, Standard-Gateway, DNS-Server und weitere Optionen. DHCP nutzt UDP, der Server verwendet Port 67 und der Client Port 68. Der klassische DHCP-Ablauf wird mit DORA beschrieben: Discover, Offer, Request und Acknowledge. Befindet sich der DHCP-Server in einem anderen Netz als der Client, wird ein DHCP-Relay benötigt, weil DHCP-Anfragen anfangs häufig als Broadcast gesendet werden und Router Broadcasts nicht einfach weiterleiten.
Merksätze
DHCP = Dynamic Host Configuration Protocol.
DHCP gehört zu Schicht 7.
DHCP vergibt automatische Netzwerkkonfiguration.
DHCP liefert IP-Adresse,
Subnetzmaske,
Gateway
und DNS-Server.
DHCP nutzt UDP.
DHCP-Server = UDP 67.
DHCP-Client = UDP 68.
DHCP-Ablauf = DORA.
Discover = Client sucht Server.
Offer = Server bietet Konfiguration an.
Request = Client fordert Angebot an.
Acknowledge = Server bestätigt.
DHCP startet häufig mit Broadcast.
Router leiten Broadcasts normalerweise nicht weiter.
DHCP-Relay leitet DHCP über Netzgrenzen.
DHCP-Scope = Adressbereich.
Lease = zeitlich begrenzte Vergabe.
Reservierung = feste IP per DHCP.
Ausschlussbereich = nicht automatisch vergeben.
169.254.x.x = häufig DHCP-Problem.
Falsches VLAN kann falsche DHCP-Adresse verursachen.
Rogue-DHCP = unerlaubter DHCP-Server.
DHCP-Snooping schützt vor Rogue-DHCP.
DHCPv6 ist nicht einfach DHCPv4 mit IPv6.
DHCP-Erfolg bedeutet nicht automatisch:
Internet funktioniert.
10.5 E-Mail-Protokolle: SMTP, POP3 und IMAP
E-Mail-Kommunikation gehört zur OSI-Schicht 7.
Dabei arbeiten mehrere Protokolle zusammen.
Die wichtigsten E-Mail-Protokolle sind:
- SMTP
- POP3
- IMAP
Sie haben unterschiedliche Aufgaben.
SMTP wird verwendet für:
E-Mails senden und transportieren.
POP3 und IMAP werden verwendet für:
E-Mails abrufen.
Merksatz:
SMTP sendet.
POP3 und IMAP empfangen.
Grundidee von E-Mail-Kommunikation
E-Mail ist kein einzelner einfacher Vorgang.
Beim Senden und Empfangen arbeiten mehrere Bestandteile zusammen:
- E-Mail-Client
- Mailserver
- DNS
- SMTP
- POP3 oder IMAP
- Authentifizierung
- TLS
- Spam- und Sicherheitsprüfungen
Beispiel:
Benutzer schreibt E-Mail im Mailprogramm.
Mailprogramm sendet E-Mail an Mailserver.
Mailserver transportiert E-Mail weiter.
Empfänger ruft E-Mail vom eigenen Mailserver ab.
Merksatz:
E-Mail nutzt mehrere Protokolle und Dienste zusammen.
E-Mail im OSI-Modell
E-Mail-Protokolle gehören zur Anwendungsschicht.
Thema
Schicht
SMTP
7
POP3
7
IMAP
7
DNS MX-Record
7
TLS
6 mit Schicht-7-Bezug
TCP-Port
4
IP-Adresse
3
Wichtig:
Die Protokolle SMTP, POP3 und IMAP gehören zu Schicht 7.
Die zugehörigen Ports gehören zu Schicht 4.
Merksatz:
Mailprotokoll = Schicht 7.
Mailport = Schicht 4.
SMTP
SMTP steht für:
Simple Mail Transfer Protocol
SMTP wird verwendet für:
- E-Mails senden
- E-Mails zwischen Mailservern transportieren
- E-Mails an den nächsten Mailserver weitergeben
Typischer Port:
TCP 25
Weitere häufige Ports:
TCP 587
TCP 465
Merksatz:
SMTP = E-Mail senden und weiterleiten.
SMTP zwischen Mailservern
Wenn ein Mailserver eine E-Mail an eine andere Domain zustellen möchte,
nutzt er SMTP.
Beispiel:
absender@firma-a.de
sendet an
empfaenger@firma-b.de
Der Mailserver von firma-a.de fragt per DNS,
welcher Mailserver für firma-b.de zuständig ist.
Danach wird die E-Mail per SMTP an diesen Mailserver übertragen.
Merksatz:
Mailserver transportieren E-Mails untereinander mit SMTP.
SMTP Submission
SMTP Submission bedeutet:
Ein Mailclient übergibt eine ausgehende E-Mail an den eigenen Mailserver.
Typischer Port:
TCP 587
Dabei wird normalerweise Authentifizierung verwendet.
Beispiel:
Mailprogramm meldet sich am Mailserver an
und sendet die E-Mail über Port 587.
Merksatz:
Port 587 ist typisch für authentifiziertes Senden durch Clients.
SMTPS
SMTPS bezeichnet SMTP mit direkter TLS-Verschlüsselung.
Typischer Port:
TCP 465
Wichtig:
TCP 465 startet normalerweise direkt mit TLS.
Bei STARTTLS dagegen beginnt die Verbindung zunächst unverschlüsselt
und wird dann auf TLS umgestellt.
Merksatz:
SMTPS = SMTP direkt über TLS.
SMTP-Port 25, 587 und 465 unterscheiden
Port
Zweck
Kurz erklärt
25
SMTP
Mailserver zu Mailserver
587
Submission
Client sendet authentifiziert an Mailserver
465
SMTPS
SMTP direkt über TLS
Prüfungsfalle:
Port 25 ist nicht der typische Port,
über den moderne Mailclients ihre E-Mails authentifiziert einreichen.
Merksatz:
25 Servertransport,
587 Client-Abgabe,
465 SMTP über TLS.
POP3
POP3 steht für:
Post Office Protocol Version 3
POP3 wird verwendet zum:
Abrufen von E-Mails vom Mailserver.
Typischer Port:
TCP 110
Verschlüsselte Variante:
POP3S:
TCP 995
POP3 lädt E-Mails häufig vom Server herunter.
Je nach Einstellung können sie danach vom Server gelöscht werden.
Merksatz:
POP3 = E-Mails einfach abrufen.
POP3-Grundidee
POP3 ist eher einfach aufgebaut.
Typischer Ablauf:
Client verbindet sich mit Mailserver.
Client meldet sich an.
Client ruft E-Mails ab.
E-Mails werden lokal gespeichert.
E-Mails können vom Server gelöscht werden.
POP3 eignet sich weniger gut,
wenn mehrere Geräte dieselbe Mailbox synchron nutzen sollen.
Merksatz:
POP3 ist einfach,
aber weniger gut für moderne Mehrgeräte-Synchronisation.
IMAP
IMAP steht für:
Internet Message Access Protocol
IMAP wird verwendet zum:
Abrufen und Verwalten von E-Mails auf dem Server.
Typischer Port:
TCP 143
Verschlüsselte Variante:
IMAPS:
TCP 993
IMAP lässt E-Mails normalerweise auf dem Server
und synchronisiert den Zustand zwischen mehreren Geräten.
Merksatz:
IMAP = E-Mails auf dem Server verwalten und synchronisieren.
IMAP-Grundidee
Bei IMAP bleiben E-Mails meist auf dem Mailserver.
Der Client synchronisiert:
- Posteingang
- Ordner
- gelesen / ungelesen
- gelöscht
- verschoben
- gesendet
- Markierungen
Das ist praktisch bei mehreren Geräten.
Beispiel:
E-Mail auf dem Smartphone gelesen.
Am Notebook ist sie ebenfalls als gelesen markiert.
Merksatz:
IMAP eignet sich gut für mehrere Geräte.
POP3 und IMAP vergleichen
Merkmal
POP3
IMAP
Hauptzweck
E-Mails abrufen
E-Mails abrufen und verwalten
Speicherort
oft lokal beim Client
meist auf dem Server
Synchronisation
eingeschränkt
gut
mehrere Geräte
weniger geeignet
gut geeignet
Ordnerverwaltung
begrenzt
umfangreicher
typischer Port
TCP 110
TCP 143
verschlüsselt
TCP 995
TCP 993
Merksatz:
POP3 lädt eher herunter.
IMAP synchronisiert mit dem Server.
SMTP, POP3 und IMAP direkt vergleichen
Protokoll
Aufgabe
typischer Port
SMTP
E-Mail senden / transportieren
TCP 25
Submission
E-Mail vom Client einreichen
TCP 587
SMTPS
SMTP direkt über TLS
TCP 465
POP3
E-Mail abrufen
TCP 110
POP3S
POP3 über TLS
TCP 995
IMAP
E-Mail abrufen und verwalten
TCP 143
IMAPS
IMAP über TLS
TCP 993
Merksatz:
SMTP raus.
POP3/IMAP rein.
E-Mail-Client
Ein E-Mail-Client ist ein Programm oder eine App,
mit der Benutzer E-Mails senden und empfangen.
Beispiele:
- Outlook
- Thunderbird
- Apple Mail
- Smartphone-Mail-App
- Webmail im Browser
Der Client nutzt je nach Einrichtung:
SMTP zum Senden
IMAP oder POP3 zum Empfangen
Merksatz:
Mailclient nutzt SMTP zum Senden und IMAP/POP3 zum Empfangen.
Mailserver
Ein Mailserver nimmt E-Mails an,
speichert sie und leitet sie weiter.
Typische Aufgaben:
- E-Mails von Clients annehmen
- E-Mails von anderen Mailservern empfangen
- E-Mails an andere Mailserver weiterleiten
- Postfächer bereitstellen
- Spamprüfung durchführen
- Virenprüfung durchführen
- TLS und Authentifizierung nutzen
Merksatz:
Mailserver transportiert und verwaltet E-Mails.
Webmail
Webmail bedeutet:
E-Mails werden über eine Webseite genutzt.
Beispiel:
Benutzer öffnet Mailbox im Browser.
Dabei nutzt der Browser:
HTTP oder HTTPS
Der Webmail-Server selbst kann intern trotzdem mit Maildiensten,
Datenbanken oder IMAP arbeiten.
Merksatz:
Webmail nutzt im Browser HTTP/HTTPS,
Mailserver dahinter nutzen Mailprotokolle.
DNS und E-Mail
DNS ist für E-Mail sehr wichtig.
Wichtige DNS-Records:
Record
Zweck
MX
zuständiger Mailserver einer Domain
A / AAAA
IP-Adresse des Mailservers
PTR
Reverse-DNS
TXT
SPF, DKIM, DMARC
Ohne korrekte DNS-Einträge kann E-Mail-Zustellung scheitern.
Merksatz:
E-Mail-Zustellung hängt stark von DNS ab.
MX-Record
MX steht für:
Mail Exchanger
Ein MX-Record sagt,
welcher Mailserver für eine Domain zuständig ist.
Beispiel:
firma.de
MX 10 mail.firma.de
Die Zahl ist die Priorität.
Kleinere Zahl bedeutet:
höhere Priorität
Merksatz:
MX zeigt auf zuständigen Mailserver.
Mailzustellung mit MX vereinfacht
Ablauf:
1. Absender-Mailserver erhält E-Mail an benutzer@firma.de.
2. Er fragt DNS nach MX-Record für firma.de.
3. DNS liefert zuständigen Mailserver.
4. Absender-Mailserver verbindet sich per SMTP.
5. Empfänger-Mailserver nimmt E-Mail an.
6. Empfänger ruft E-Mail per IMAP, POP3 oder Webmail ab.
Merksatz:
MX sagt,
wohin E-Mail für eine Domain geliefert werden soll.
PTR und Reverse DNS bei E-Mail
PTR-Records sind bei Mailservern wichtig.
Ein PTR-Record ordnet eine IP-Adresse einem Namen zu.
Viele empfangende Mailserver prüfen,
ob der sendende Mailserver einen sinnvollen Reverse-DNS-Eintrag hat.
Fehlender oder falscher PTR kann die Zustellbarkeit verschlechtern.
Merksatz:
Reverse DNS ist bei Mailservern wichtig für Vertrauenswürdigkeit.
SPF
SPF steht für:
Sender Policy Framework
SPF wird als TXT-Record im DNS veröffentlicht.
SPF legt fest,
welche Server für eine Domain E-Mails senden dürfen.
Beispiel sinngemäß:
Nur diese Mailserver dürfen E-Mails für firma.de senden.
Merksatz:
SPF sagt,
welche Server für eine Domain senden dürfen.
DKIM
DKIM steht für:
DomainKeys Identified Mail
DKIM signiert E-Mails kryptografisch.
Der öffentliche Schlüssel wird im DNS als TXT-Record veröffentlicht.
Empfangende Mailserver können prüfen:
Wurde die E-Mail wirklich passend signiert?
Wurde sie unterwegs verändert?
Merksatz:
DKIM signiert E-Mails und hilft bei Integritätsprüfung.
DMARC
DMARC steht für:
Domain-based Message Authentication, Reporting and Conformance
DMARC baut auf SPF und DKIM auf.
DMARC legt fest,
wie Empfänger mit E-Mails umgehen sollen,
wenn SPF oder DKIM nicht passen.
Mögliche Richtlinien:
- nur berichten
- Quarantäne
- ablehnen
Merksatz:
DMARC steuert den Umgang mit SPF-/DKIM-Fehlern.
SPF, DKIM und DMARC unterscheiden
Verfahren
Hauptaufgabe
SPF
erlaubt sendende Server
DKIM
signiert E-Mails
DMARC
legt Umgang mit Prüfungsfehlern fest
Merksatz:
SPF erlaubt.
DKIM signiert.
DMARC entscheidet.
STARTTLS bei E-Mail
STARTTLS bedeutet:
Eine Verbindung beginnt zunächst unverschlüsselt
und wird dann auf TLS umgestellt.
STARTTLS wird häufig bei Mailprotokollen verwendet.
Beispiele:
- SMTP
- IMAP
- POP3
Wichtig:
STARTTLS ist nicht dasselbe wie ein von Anfang an verschlüsselter eigener TLS-Port.
Merksatz:
STARTTLS startet unverschlüsselt und schaltet dann auf TLS um.
E-Mail und TLS
TLS schützt E-Mail-Verbindungen beim Transport.
Beispiele:
- SMTP mit STARTTLS
- SMTPS
- IMAPS
- POP3S
Wichtig:
TLS schützt die Verbindung zwischen zwei Kommunikationspunkten.
Das ist nicht automatisch Ende-zu-Ende-Verschlüsselung des E-Mail-Inhalts.
Merksatz:
TLS schützt die Mailverbindung,
aber nicht automatisch den Inhalt bis zum endgültigen Empfänger.
Ende-zu-Ende-Verschlüsselung bei E-Mail
Ende-zu-Ende-Verschlüsselung bedeutet:
Der Inhalt bleibt vom Absender bis zum Empfänger geschützt.
Beispiele:
- S/MIME
- OpenPGP
Dabei können Zwischenserver die Inhalte nicht einfach lesen.
Unterschied zu TLS:
TLS schützt die Verbindung.
Ende-zu-Ende-Verschlüsselung schützt den Inhalt selbst.
Merksatz:
TLS ist Transportverschlüsselung.
S/MIME oder OpenPGP schützen den Mailinhalt Ende-zu-Ende.
E-Mail-Adresse
Eine E-Mail-Adresse besteht aus:
lokaler Teil
@
Domain
Beispiel:
felix@firma.de
Dabei ist:
felix = lokaler Teil
firma.de = Domain
Für die Domain wird per DNS der zuständige Mailserver gesucht.
Merksatz:
Rechts vom @ steht die Maildomain.
Postfach und Alias
Ein Postfach ist ein echter Speicherbereich für E-Mails.
Ein Alias ist eine zusätzliche Adresse,
die auf ein Postfach oder eine Gruppe zeigen kann.
Beispiel:
Postfach:
felix@firma.de
Alias:
support@firma.de
E-Mails an support@firma.de landen im Postfach oder bei einer Gruppe.
Merksatz:
Postfach speichert.
Alias leitet zu.
Verteilergruppe
Eine Verteilergruppe sendet eine E-Mail an mehrere Empfänger weiter.
Beispiel:
it-team@firma.de
geht an:
admin1@firma.de
admin2@firma.de
support@firma.de
Merksatz:
Verteilergruppe verteilt an mehrere Empfänger.
Shared Mailbox
Eine Shared Mailbox ist ein gemeinsames Postfach.
Beispiel:
support@firma.de
Mehrere Benutzer können Zugriff haben.
Typische Nutzung:
- Support
- Info-Adresse
- Team-Postfach
- Bewerbungen
- Rechnungen
Merksatz:
Shared Mailbox = gemeinsames Postfach für mehrere Benutzer.
Postfachgröße
Ein Postfach kann eine Größenbegrenzung haben.
Wenn das Postfach voll ist,
können Probleme auftreten.
Mögliche Folgen:
- neue E-Mails werden abgewiesen
- Benutzer kann nicht senden
- Synchronisation schlägt fehl
- Warnungen im Mailclient
Merksatz:
Volles Postfach kann Mailprobleme verursachen.
Spamfilter
Spamfilter prüfen eingehende E-Mails auf unerwünschte oder gefährliche Inhalte.
Kriterien können sein:
- Absenderreputation
- Inhalt
- Links
- Anhänge
- SPF
- DKIM
- DMARC
- bekannte Schadsoftware
- ungewöhnliches Verhalten
Merksatz:
Spamfilter entscheiden,
ob E-Mails zugestellt, markiert oder blockiert werden.
Quarantäne
Quarantäne bedeutet:
Eine E-Mail wird nicht direkt zugestellt,
sondern zurückgehalten.
Gründe:
- Spamverdacht
- Malwareverdacht
- gefährlicher Anhang
- Phishingverdacht
- Richtlinienverstoß
Administrator oder Benutzer können je nach System prüfen,
ob die Mail freigegeben werden soll.
Merksatz:
Quarantäne hält verdächtige Mails zurück.
Phishing
Phishing ist der Versuch,
Benutzer zur Preisgabe sensibler Informationen zu bringen.
Beispiele:
- gefälschte Login-Seite
- angebliche Paketbenachrichtigung
- falsche Rechnung
- gefälschte Bank-Mail
- angeblicher IT-Support
Ziel:
Zugangsdaten,
Zahlungsdaten
oder Zugriff auf Systeme
Merksatz:
Phishing täuscht Benutzer,
um Daten oder Zugriff zu erhalten.
Anhänge und Sicherheit
E-Mail-Anhänge können gefährlich sein.
Risiken:
- Schadsoftware
- Makros
- manipulierte Dokumente
- Archive mit Malware
- ausführbare Dateien
- Phishing-Dokumente
Schutzmaßnahmen:
- Anhänge prüfen
- Makros einschränken
- Antivirus
- Sandboxing
- Schulung der Benutzer
- Dateitypen filtern
Merksatz:
E-Mail-Anhänge sind ein häufiger Angriffsweg.
E-Mail-Header
E-Mail-Header enthalten technische Informationen.
Beispiele:
- Absender
- Empfänger
- Betreff
- Versandzeit
- Mailserver-Wege
- Message-ID
- SPF/DKIM/DMARC-Ergebnisse
- Received-Zeilen
Header helfen bei der Fehlersuche und Sicherheitsanalyse.
Merksatz:
Mail-Header zeigen technische Zustellinformationen.
Received-Header
Received-Header zeigen,
über welche Mailserver eine E-Mail gelaufen ist.
Jeder Mailserver fügt typischerweise eine Received-Zeile hinzu.
Damit kann man den Weg einer E-Mail nachvollziehen.
Merksatz:
Received-Header zeigen den Mailtransportweg.
Bounce-Mail
Eine Bounce-Mail ist eine automatische Fehlermeldung,
wenn eine E-Mail nicht zugestellt werden konnte.
Mögliche Gründe:
- Empfänger existiert nicht
- Postfach voll
- Domain existiert nicht
- Mailserver nicht erreichbar
- Nachricht wurde abgelehnt
- Spamprüfung fehlgeschlagen
Merksatz:
Bounce-Mail informiert über Zustellfehler.
NDR
NDR steht für:
Non-Delivery Report
Das ist eine Nichtzustellbarkeitsmeldung.
Sie enthält häufig:
- Fehlercode
- Grund der Ablehnung
- Zieladresse
- Zeit
- beteiligter Mailserver
Merksatz:
NDR = Meldung über nicht zugestellte E-Mail.
Typische SMTP-Fehlercodes
SMTP nutzt Antwortcodes.
Grobe Einordnung:
Bereich
Bedeutung
2xx
Erfolg
4xx
temporärer Fehler
5xx
dauerhafter Fehler
Beispiele:
Code
Bedeutung
250
OK
421
Dienst nicht verfügbar
450
Mailbox vorübergehend nicht verfügbar
550
Mailbox nicht gefunden oder abgelehnt
554
Nachricht abgelehnt
Merksatz:
4xx kann später erneut versucht werden.
5xx ist meist dauerhaft.
E-Mail-Fehlersuche: Senden
Wenn E-Mail-Senden nicht funktioniert,
prüft man:
- SMTP-Server korrekt?
- richtiger Port?
- Authentifizierung korrekt?
- TLS erforderlich?
- Benutzer darf senden?
- Absenderadresse erlaubt?
- DNS korrekt?
- Firewall blockiert?
- Mailserver-Logs?
- Fehlermeldung oder NDR?
Merksatz:
Beim Senden SMTP, Authentifizierung, TLS und DNS prüfen.
E-Mail-Fehlersuche: Empfangen
Wenn E-Mail-Empfang nicht funktioniert,
prüft man:
- MX-Record korrekt?
- Mailserver erreichbar?
- Postfach vorhanden?
- Postfach voll?
- Spamfilter oder Quarantäne?
- POP3/IMAP erreichbar?
- Client korrekt konfiguriert?
- TLS und Anmeldung korrekt?
- Mailserver-Logs?
Merksatz:
Beim Empfangen MX, Postfach, Spamfilter und Abrufprotokoll prüfen.
Fehlerbild: Mail kommt nicht an
Mögliche Ursachen:
- falsche Empfängeradresse
- MX-Record falsch
- Mailserver nicht erreichbar
- Spamfilter blockiert
- Quarantäne
- Postfach voll
- SPF/DKIM/DMARC-Fehler
- Absender blockiert
- Domain falsch
- NDR beachten
Merksatz:
Nicht zugestellte Mail immer mit NDR und Logs prüfen.
Fehlerbild: Mail landet im Spam
Mögliche Ursachen:
- schlechter Absender-Ruf
- SPF fehlt oder falsch
- DKIM fehlt oder falsch
- DMARC fehlt oder streng
- Inhalt wirkt verdächtig
- Links sind auffällig
- Anhänge sind verdächtig
- fehlender PTR-Record
- neue oder schlecht bewertete Domain
Merksatz:
Spamprobleme oft mit DNS-Authentifizierung und Inhalt prüfen.
Fehlerbild: Mailclient kann nicht senden
Mögliche Ursachen:
- falscher SMTP-Server
- falscher Port
- Authentifizierung falsch
- TLS-Einstellung falsch
- Passwort falsch
- Benutzer darf nicht senden
- Firewall blockiert
- Provider blockiert Port 25
- Konto gesperrt
Merksatz:
Sendeprobleme am Client betreffen oft SMTP, Port, TLS und Login.
Fehlerbild: Mailclient kann nicht empfangen
Mögliche Ursachen:
- falscher IMAP- oder POP3-Server
- falscher Port
- falsches Passwort
- TLS-Einstellung falsch
- Postfach voll
- Konto gesperrt
- Firewall blockiert
- Serverdienst gestört
- Zertifikatsfehler
Merksatz:
Empfangsprobleme am Client betreffen IMAP/POP3, Port, TLS und Login.
Fehlerbild: Zertifikatswarnung im Mailclient
Mögliche Ursachen:
- Zertifikat abgelaufen
- Name passt nicht zum Zertifikat
- falscher Mailserver eingetragen
- interne CA nicht vertraut
- Zwischenzertifikat fehlt
- falsche Systemzeit
- Proxy oder Sicherheitssoftware greift ein
Merksatz:
Mail-Zertifikatsfehler wie HTTPS-Zertifikatsfehler prüfen.
Fehlerbild: E-Mail verzögert
Mögliche Ursachen:
- Greylisting
- temporärer SMTP-Fehler
- überlasteter Mailserver
- DNS-Probleme
- Spamprüfung dauert
- Zielserver nicht erreichbar
- Warteschlange auf Mailserver
- Rate Limits
Merksatz:
Verzögerte Mail kann durch temporäre Fehler oder Warteschlangen entstehen.
Greylisting
Greylisting ist eine Anti-Spam-Technik.
Dabei lehnt der empfangende Server eine Mail zunächst temporär ab.
Ein seriöser Mailserver versucht später erneut zuzustellen.
Viele Spam-Systeme versuchen das nicht.
Merksatz:
Greylisting verzögert E-Mails absichtlich zur Spamabwehr.
Was E-Mail-Protokolle nicht machen
E-Mail-Protokolle machen nicht automatisch:
- DNS korrekt konfigurieren
- Benutzer sicher schulen
- Phishing vollständig verhindern
- Anhänge automatisch ungefährlich machen
- Postfachgrößen unbegrenzt machen
- Ende-zu-Ende-Verschlüsselung erzwingen
- SPF/DKIM/DMARC automatisch korrekt setzen
Merksatz:
E-Mail braucht Protokolle,
DNS,
Sicherheit
und Administration zusammen.
Einordnung in das OSI-Modell
Thema
Schicht
SMTP
7
POP3
7
IMAP
7
DNS MX
7
SPF/DKIM/DMARC
7 mit Sicherheitsbezug
TLS bei Mail
6 mit Schicht-7-Bezug
TCP-Port 25/587/465/110/143/993/995
4
IP-Adresse des Mailservers
3
MAC-Adresse
2
Merksatz:
Mailprotokolle gehören zu Schicht 7,
ihre Ports zu Schicht 4.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Welche Protokolle werden für E-Mail verwendet?
- Wofür wird SMTP genutzt?
- Wofür wird POP3 genutzt?
- Wofür wird IMAP genutzt?
- Was ist der Unterschied zwischen POP3 und IMAP?
- Welche Ports nutzen SMTP, POP3 und IMAP?
- Was ist SMTP Submission?
- Was ist STARTTLS?
- Was ist ein MX-Record?
- Warum ist DNS für E-Mail wichtig?
- Was machen SPF, DKIM und DMARC?
- Was ist ein NDR?
- Warum landet eine Mail im Spam?
- Warum ist TLS bei Mail nicht automatisch Ende-zu-Ende-Verschlüsselung?
Typische Prüfungsfallen
SMTP sendet E-Mails.
POP3 ruft E-Mails ab.
IMAP ruft E-Mails ab und verwaltet sie auf dem Server.
SMTP zwischen Mailservern nutzt häufig TCP 25.
SMTP Submission nutzt häufig TCP 587.
SMTPS nutzt häufig TCP 465.
POP3 nutzt TCP 110.
POP3S nutzt TCP 995.
IMAP nutzt TCP 143.
IMAPS nutzt TCP 993.
SMTP ist nicht zum Abrufen von E-Mails gedacht.
POP3 ist weniger gut für mehrere Geräte.
IMAP ist besser für Synchronisation.
MX-Record zeigt zuständigen Mailserver.
SPF erlaubt sendende Server.
DKIM signiert E-Mails.
DMARC legt Umgang mit Fehlern fest.
TLS schützt Verbindung,
aber nicht automatisch Ende-zu-Ende den Inhalt.
Mailprobleme können DNS-, TLS-, Spamfilter- oder Postfachprobleme sein.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
SMTP
Protokoll zum Senden und Weiterleiten von E-Mails
POP3
Protokoll zum einfachen Abrufen von E-Mails
IMAP
Protokoll zum Abrufen und Verwalten von E-Mails
Submission
authentifiziertes Einreichen von E-Mails
SMTPS
SMTP direkt über TLS
POP3S
POP3 über TLS
IMAPS
IMAP über TLS
MX
DNS-Eintrag für zuständigen Mailserver
PTR
Reverse-DNS-Eintrag
SPF
legt erlaubte sendende Server fest
DKIM
kryptografische Signatur für E-Mails
DMARC
Richtlinie für SPF-/DKIM-Auswertung
STARTTLS
Umschalten auf TLS innerhalb einer Verbindung
S/MIME
Ende-zu-Ende-Verschlüsselung und Signatur für E-Mail
OpenPGP
Ende-zu-Ende-Verschlüsselung für E-Mail
Postfach
Speicherbereich für E-Mails
Alias
zusätzliche Adresse für ein Postfach
Shared Mailbox
gemeinsames Postfach
Spamfilter
Filter gegen unerwünschte E-Mails
Quarantäne
zurückgehaltene verdächtige E-Mail
NDR
Nichtzustellbarkeitsmeldung
Bounce
automatische Fehlermeldung bei Zustellproblem
IHK-sichere Kurzformulierung
E-Mail-Kommunikation gehört zur Anwendungsschicht des OSI-Modells und nutzt mehrere Protokolle. SMTP dient dem Senden und Weiterleiten von E-Mails, POP3 und IMAP dienen dem Abrufen von E-Mails. POP3 lädt E-Mails eher einfach ab, während IMAP E-Mails auf dem Server verwaltet und zwischen mehreren Geräten synchronisiert. DNS ist für E-Mail wichtig, insbesondere durch MX-Records für zuständige Mailserver sowie TXT-Records für SPF, DKIM und DMARC. TLS kann Mailverbindungen schützen, ist aber nicht automatisch Ende-zu-Ende-Verschlüsselung des Mailinhalts.
Merksätze
E-Mail gehört zu Schicht 7.
SMTP sendet E-Mails.
POP3 ruft E-Mails ab.
IMAP ruft E-Mails ab und verwaltet sie.
SMTP = Simple Mail Transfer Protocol.
POP3 = Post Office Protocol Version 3.
IMAP = Internet Message Access Protocol.
SMTP Port 25 = Mailserver zu Mailserver.
Submission Port 587 = Client sendet authentifiziert.
SMTPS Port 465 = SMTP direkt über TLS.
POP3 Port 110 = Abruf unverschlüsselt.
POP3S Port 995 = POP3 über TLS.
IMAP Port 143 = Abruf und Verwaltung.
IMAPS Port 993 = IMAP über TLS.
MX = zuständiger Mailserver.
PTR = Reverse DNS.
SPF sagt,
wer senden darf.
DKIM signiert E-Mails.
DMARC legt Umgang mit Prüfungsfehlern fest.
POP3 lädt eher herunter.
IMAP synchronisiert besser.
STARTTLS schaltet auf TLS um.
TLS schützt Mailverbindung,
aber nicht automatisch Ende-zu-Ende den Inhalt.
S/MIME und OpenPGP schützen Inhalte Ende-zu-Ende.
NDR = Nichtzustellbarkeitsmeldung.
Mailprobleme mit DNS,
Ports,
TLS,
Authentifizierung,
Spamfilter
und Logs prüfen.
10.6 Datei- und Freigabeprotokolle: FTP, SFTP, FTPS und SMB
Datei- und Freigabeprotokolle gehören zur OSI-Schicht 7.
Sie werden genutzt, um Dateien über ein Netzwerk bereitzustellen, zu übertragen oder gemeinsam zu verwenden.
Wichtige Protokolle sind:
- FTP
- SFTP
- FTPS
- SMB
Diese Protokolle haben unterschiedliche Aufgaben und Sicherheitsmerkmale.
Merksatz:
Dateiübertragung und Dateifreigaben gehören zur Anwendungsschicht.
Grundidee von Dateiübertragung
Bei der Dateiübertragung werden Dateien von einem System zu einem anderen übertragen.
Beispiele:
- Datei auf Server hochladen
- Datei von Server herunterladen
- Backup übertragen
- Konfigurationsdatei kopieren
- Webseite auf Webserver hochladen
- Dokumente zwischen Systemen austauschen
Dabei muss geregelt werden:
- wer zugreifen darf
- welche Dateien übertragen werden
- ob verschlüsselt wird
- welcher Port genutzt wird
- ob nur Dateiübertragung oder echte Freigabe gewünscht ist
Merksatz:
Dateiübertragung bedeutet:
Dateien gezielt zwischen Systemen bewegen.
Grundidee von Dateifreigaben
Eine Dateifreigabe stellt Dateien im Netzwerk bereit.
Dabei sieht ein Benutzer oder Client einen Ordner auf einem entfernten System.
Beispiele:
- Netzlaufwerk im Unternehmen
- gemeinsamer Projektordner
- Druckerfreigabe
- zentrale Dateiablage
- Home-Laufwerk eines Benutzers
- NAS-Freigabe
Typisch hierfür ist:
SMB
Merksatz:
Dateifreigabe bedeutet:
Dateien werden im Netzwerk gemeinsam bereitgestellt.
Dateiübertragung und Dateifreigabe unterscheiden
Thema
Dateiübertragung
Dateifreigabe
Grundidee
Datei von A nach B kopieren
Ordner im Netzwerk gemeinsam nutzen
typische Protokolle
FTP, SFTP, FTPS
SMB
Nutzung
Upload, Download, Transfer
Netzlaufwerk, Freigabe, gemeinsames Arbeiten
Zugriff
meist gezielte Übertragung
fortlaufender Zugriff auf entfernte Dateien
Beispiel
Datei auf Server hochladen
Laufwerk \\server\share öffnen
Merksatz:
FTP/SFTP/FTPS übertragen Dateien.
SMB stellt Freigaben bereit.
Einordnung im OSI-Modell
Thema
Schicht
FTP
7
SFTP
7, nutzt SSH
FTPS
7, nutzt TLS
SMB
7
TCP-Port
4
IP-Adresse
3
MAC-Adresse
2
TLS
6 mit Schicht-7-Bezug
SSH
7 mit Sicherheitsbezug
Merksatz:
Protokoll = Schicht 7.
Port = Schicht 4.
FTP
FTP steht für:
File Transfer Protocol
FTP dient zur Dateiübertragung.
Typischer Port:
TCP 21
FTP wird klassisch verwendet für:
- Dateien hochladen
- Dateien herunterladen
- Verzeichnisse auflisten
- Dateien löschen oder umbenennen
- einfache Server-Dateiverwaltung
Wichtig:
Klassisches FTP ist unverschlüsselt.
Merksatz:
FTP = Dateiübertragung über TCP 21,
aber klassisch unverschlüsselt.
FTP ist unverschlüsselt
Klassisches FTP überträgt Daten unverschlüsselt.
Das betrifft besonders:
- Benutzername
- Passwort
- Befehle
- Dateiinhalte
Wenn jemand den Netzwerkverkehr mitlesen kann,
können sensible Informationen sichtbar werden.
Deshalb sollte klassisches FTP heute möglichst vermieden werden.
Merksatz:
FTP ohne Schutz ist unsicher.
FTP-Steuerverbindung und Datenverbindung
FTP arbeitet mit zwei Verbindungsarten:
Steuerverbindung
Datenverbindung
Steuerverbindung:
Befehle und Anmeldung
Datenverbindung:
Dateiinhalt und Verzeichnislisten
Typisch:
TCP 21 für Steuerverbindung
Die Datenverbindung hängt vom Modus ab.
Merksatz:
FTP nutzt Steuerverbindung und Datenverbindung.
Aktiver FTP-Modus
Beim aktiven FTP-Modus baut der Server eine Datenverbindung zurück zum Client auf.
Problem:
Firewalls und NAT können das erschweren,
weil der Server von außen zum Client verbinden möchte.
Typische Schwierigkeit:
Client sitzt hinter NAT oder Firewall.
Merksatz:
Aktives FTP kann mit NAT und Firewalls Probleme machen.
Passiver FTP-Modus
Beim passiven FTP-Modus baut der Client beide Verbindungen zum Server auf.
Das ist heute häufig praktischer,
weil Clients oft hinter NAT oder Firewalls sitzen.
Der Server teilt dem Client einen Datenport mit,
zu dem der Client sich verbindet.
Wichtig:
Die passiven Portbereiche müssen auf Firewall und Server korrekt erlaubt sein.
Merksatz:
Passives FTP ist NAT-freundlicher,
braucht aber passende Firewall-Regeln.
FTP und Firewall-Probleme
FTP kann bei Firewalls schwieriger sein als einfache Protokolle.
Warum?
FTP nutzt nicht nur eine einzelne Verbindung.
Typische Fehler:
- Login funktioniert,
aber Verzeichnisliste lädt nicht
- Verbindung funktioniert,
aber Dateiübertragung schlägt fehl
- passiver Portbereich nicht freigegeben
- NAT übersetzt falsche Adresse
Merksatz:
Bei FTP müssen Steuer- und Datenverbindung funktionieren.
SFTP
SFTP steht für:
SSH File Transfer Protocol
SFTP ist Dateiübertragung über SSH.
Typischer Port:
TCP 22
SFTP ist nicht dasselbe wie FTP.
SFTP nutzt SSH als sichere Grundlage.
Dadurch werden Anmeldung und Daten verschlüsselt übertragen.
Merksatz:
SFTP = Dateiübertragung über SSH.
SFTP und SSH
SFTP läuft über SSH.
SSH bietet:
- Verschlüsselung
- Authentifizierung
- sichere Verbindung
- Zugriff über Benutzerkonto oder Schlüssel
SFTP nutzt diese sichere Verbindung,
um Dateien zu übertragen.
Typische Nutzung:
- Serveradministration
- Datei-Upload auf Server
- sichere Dateiübertragung
- Automatisierung mit Schlüsseln
Merksatz:
Wer SFTP nutzt,
nutzt technisch SSH als Grundlage.
SFTP ist nicht FTP über TLS
Ein häufiger Fehler ist:
SFTP = sicheres FTP
Besser:
SFTP ist ein eigenes Protokoll über SSH.
Es ist nicht:
klassisches FTP mit Verschlüsselung
Das wäre eher:
FTPS
Merksatz:
SFTP ist nicht FTPS.
FTPS
FTPS bedeutet:
FTP mit TLS-Schutz
FTPS basiert auf FTP,
nutzt aber TLS zur Verschlüsselung.
Es gibt zwei typische Varianten:
explizites FTPS
implizites FTPS
Merksatz:
FTPS = FTP mit TLS.
Explizites FTPS
Explizites FTPS startet zunächst auf dem klassischen FTP-Port.
Typischer Port:
TCP 21
Dann wird mit einem Befehl auf TLS umgestellt.
Das ist ähnlich zur Idee von STARTTLS.
Merksatz:
Explizites FTPS startet auf TCP 21
und schaltet auf TLS um.
Implizites FTPS
Implizites FTPS startet direkt mit TLS.
Typischer Port:
TCP 990
Dabei wird von Beginn an verschlüsselt kommuniziert.
Merksatz:
Implizites FTPS nutzt typischerweise TCP 990.
SFTP und FTPS vergleichen
Merkmal
SFTP
FTPS
Grundlage
SSH
FTP + TLS
typischer Port
TCP 22
TCP 21 oder TCP 990
Protokollfamilie
SSH-basiert
FTP-basiert
Verschlüsselung
durch SSH
durch TLS
Firewall-Aufwand
meist einfacher
oft aufwendiger wegen FTP-Datenkanälen
nicht verwechseln mit
FTPS
SFTP
Merksatz:
SFTP = SSH.
FTPS = FTP mit TLS.
FTP, SFTP und FTPS vergleichen
Protokoll
Verschlüsselung
typischer Port
Kurzidee
FTP
nein
TCP 21
klassische Dateiübertragung
SFTP
ja, SSH
TCP 22
Dateiübertragung über SSH
FTPS explizit
ja, TLS
TCP 21
FTP startet und schaltet auf TLS
FTPS implizit
ja, TLS
TCP 990
FTP direkt über TLS
Merksatz:
FTP unverschlüsselt.
SFTP über SSH.
FTPS über TLS.
SMB
SMB steht für:
Server Message Block
SMB wird für Datei- und Druckerfreigaben verwendet.
Typischer Port:
TCP 445
Typische Nutzung:
- Windows-Dateifreigaben
- Netzlaufwerke
- Druckerfreigaben
- zentrale Dateiablagen
- Zugriff auf NAS-Freigaben
- Freigaben in Unternehmensnetzen
Merksatz:
SMB = Datei- und Druckerfreigaben im Netzwerk.
SMB-Freigabe
Eine SMB-Freigabe ist ein freigegebener Ordner im Netzwerk.
Beispiel Windows-Schreibweise:
\\server01\daten
Dabei ist:
server01 = Servername
daten = Freigabename
Benutzer können diese Freigabe als Netzlaufwerk verbinden.
Merksatz:
SMB-Freigabe = Netzwerkordner.
UNC-Pfad
UNC steht für:
Universal Naming Convention
Ein UNC-Pfad beschreibt eine Netzwerkfreigabe.
Beispiel:
\\server01\freigabe\ordner\datei.txt
Bestandteile:
Servername
Freigabename
Pfad innerhalb der Freigabe
Merksatz:
UNC-Pfad zeigt auf eine Netzwerkfreigabe.
Netzlaufwerk
Ein Netzlaufwerk ist eine eingebundene Netzwerkfreigabe.
Beispiel:
Laufwerk Z:
zeigt auf
\\server01\projekte
Vorteil:
Benutzer kann die Freigabe wie ein Laufwerk verwenden.
Merksatz:
Netzlaufwerk = eingebundene SMB-Freigabe.
SMB und Berechtigungen
Bei SMB gibt es meist zwei Berechtigungsebenen:
Freigabeberechtigungen
Dateisystemberechtigungen
In Windows-Umgebungen sind Dateisystemberechtigungen oft NTFS-Berechtigungen.
Wichtig:
Es gilt am Ende die wirksam einschränkendere Berechtigung.
Merksatz:
SMB-Zugriff hängt von Freigabe- und Dateisystemrechten ab.
Freigabeberechtigungen
Freigabeberechtigungen gelten auf Ebene der Netzwerkfreigabe.
Beispiele:
Lesen
Ändern
Vollzugriff
Sie steuern,
was Benutzer über die Freigabe grundsätzlich dürfen.
Merksatz:
Freigaberechte gelten am Netzwerkzugriffspunkt.
Dateisystemberechtigungen
Dateisystemberechtigungen gelten auf dem Dateisystem selbst.
Beispiele:
Lesen
Schreiben
Ändern
Löschen
Ausführen
Vollzugriff
Sie gelten oft auch lokal auf dem Server,
nicht nur über das Netzwerk.
Merksatz:
Dateisystemrechte schützen Dateien und Ordner direkt.
Effektive Berechtigung
Wenn Freigaberechte und Dateisystemrechte zusammenkommen,
zählt die effektiv erlaubte Berechtigung.
Beispiel:
Freigabe:
Vollzugriff
Dateisystem:
Lesen
Ergebnis:
Benutzer kann nur lesen.
Merksatz:
Die strengere Berechtigung begrenzt den Zugriff.
Gruppen statt Einzelbenutzer
In Unternehmensnetzen vergibt man Rechte möglichst über Gruppen.
Beispiel:
Gruppe:
Projekt_A_Lesen
Gruppe:
Projekt_A_Aendern
Benutzer werden in Gruppen aufgenommen,
statt direkt auf einzelne Ordner berechtigt zu werden.
Vorteile:
- bessere Übersicht
- einfachere Verwaltung
- weniger Fehler
- leichteres Entfernen von Rechten
Merksatz:
Berechtigungen über Gruppen vergeben.
Least Privilege
Least Privilege bedeutet:
Benutzer erhalten nur die Rechte,
die sie wirklich benötigen.
Beispiel:
Praktikant braucht Leserechte,
aber keine Löschrechte.
Dieses Prinzip reduziert Sicherheitsrisiken.
Merksatz:
Nur so viele Rechte wie nötig,
so wenige wie möglich.
SMB und Active Directory
In Windows-Umgebungen wird SMB häufig mit Active Directory kombiniert.
Active Directory liefert:
Benutzerkonten
Gruppen
Authentifizierung
Richtlinien
SMB nutzt diese Informationen,
um Freigabezugriffe zu erlauben oder abzulehnen.
Merksatz:
SMB-Freigaben nutzen oft AD-Benutzer und Gruppen.
SMB und DNS
SMB-Zugriff nutzt häufig Servernamen.
Beispiel:
\\fileserver01\projekte
Dafür muss Namensauflösung funktionieren.
Mögliche Namensauflösung:
- DNS
- lokale Namensauflösung
- ältere NetBIOS-Mechanismen
In modernen Netzwerken ist DNS besonders wichtig.
Merksatz:
SMB-Probleme können DNS-Probleme sein.
SMB-Versionen
Es gibt verschiedene SMB-Versionen.
Wichtig:
SMBv1 ist veraltet und unsicher.
Moderne Systeme sollten SMBv2 oder SMBv3 verwenden.
SMBv3 unterstützt unter anderem bessere Sicherheitsfunktionen
und kann Verschlüsselung unterstützen.
Merksatz:
SMBv1 vermeiden.
SMBv2 oder SMBv3 verwenden.
SMB und Sicherheit
SMB sollte sorgfältig abgesichert werden.
Wichtige Punkte:
- SMBv1 deaktivieren
- Zugriff nur intern oder über VPN
- keine SMB-Freigaben direkt ins Internet öffnen
- Berechtigungen sauber setzen
- Gruppen verwenden
- Protokollierung aktivieren
- Updates einspielen
- Gastzugriff vermeiden
- starke Authentifizierung nutzen
Merksatz:
SMB gehört nicht ungeschützt ins Internet.
SMB und Druckerfreigaben
SMB kann auch für Druckerfreigaben verwendet werden.
Beispiel:
\\printserver01\drucker01
Clients verbinden sich mit der Freigabe
und senden Druckaufträge an den Druckserver.
Merksatz:
SMB kann Dateien und Drucker freigeben.
FTP oder SMB?
Anwendungsfall
eher passend
einzelne Datei auf Server hochladen
SFTP oder FTPS
Webseite per Dateiübertragung aktualisieren
SFTP
gemeinsames Netzlaufwerk im Unternehmen
SMB
NAS-Freigabe im LAN
SMB
automatisierter sicherer Dateitransfer
SFTP
klassische unverschlüsselte Übertragung
FTP vermeiden
Merksatz:
SMB für Freigaben.
SFTP/FTPS für Dateiübertragung.
Sicherheit: FTP vermeiden
Klassisches FTP sollte möglichst vermieden werden,
weil es unverschlüsselt ist.
Bessere Alternativen:
- SFTP
- FTPS
- HTTPS-Upload
- VPN plus interne Freigabe
- sichere Cloud- oder Filesharing-Lösung
Merksatz:
FTP ohne Verschlüsselung ist nicht mehr zeitgemäß.
Sicherheit: SFTP bevorzugen
SFTP ist oft eine gute Wahl für sichere Dateiübertragung.
Vorteile:
- nur ein typischer Port
- SSH-Verschlüsselung
- Schlüsselbasierte Anmeldung möglich
- gut automatisierbar
- häufig auf Servern verfügbar
Merksatz:
SFTP ist für sichere Dateiübertragung oft einfacher als FTPS.
Dateiübertragung und Datenschutz
Bei Dateiübertragung können sensible Daten betroffen sein.
Beispiele:
- Kundendaten
- Rechnungen
- Bewerbungen
- personenbezogene Daten
- Zugangsdaten
- interne Dokumente
- Backups
Deshalb wichtig:
- verschlüsselte Übertragung
- Zugriffsschutz
- Protokollierung
- Berechtigungskonzept
- Aufbewahrungsregeln
- sichere Löschung bei Bedarf
Merksatz:
Dateiübertragung muss Datenschutz und Zugriffsschutz beachten.
Fehlerbild: FTP-Login geht, Dateiübertragung nicht
Mögliche Ursachen:
- passiver Portbereich nicht freigegeben
- aktiver Modus scheitert an NAT
- Firewall blockiert Datenverbindung
- Server gibt falsche externe IP aus
- TLS-Modus passt nicht
- Berechtigungen fehlen
Merksatz:
Bei FTP kann Login funktionieren,
obwohl Datenübertragung scheitert.
Fehlerbild: SFTP-Verbindung scheitert
Mögliche Ursachen:
- SSH-Dienst läuft nicht
- TCP 22 blockiert
- falscher Benutzer
- falscher Schlüssel
- Passwortlogin deaktiviert
- Benutzer hat keine SFTP-Berechtigung
- falscher Hostname
- Firewall blockiert
- Host-Key-Warnung
Merksatz:
SFTP-Probleme wie SSH-Probleme prüfen.
Fehlerbild: FTPS-Zertifikatsfehler
Mögliche Ursachen:
- Zertifikat abgelaufen
- Name passt nicht zum Zertifikat
- CA nicht vertrauenswürdig
- Zwischenzertifikat fehlt
- Client unterstützt TLS-Version nicht
- falscher FTPS-Modus
Merksatz:
FTPS-Zertifikatsfehler wie TLS-Probleme prüfen.
Fehlerbild: SMB-Freigabe nicht erreichbar
Mögliche Ursachen:
- Servername wird nicht aufgelöst
- TCP 445 blockiert
- Serverdienst läuft nicht
- Firewall blockiert SMB
- falscher Freigabename
- Benutzer hat keine Rechte
- falsche Domänenanmeldung
- SMB-Version nicht kompatibel
- Netzwerkprofil blockiert Freigaben
Merksatz:
SMB-Probleme mit DNS,
TCP 445,
Dienst
und Berechtigungen prüfen.
Fehlerbild: Zugriff verweigert bei SMB
Mögliche Ursachen:
- Benutzer nicht berechtigt
- Gruppe fehlt
- Freigabeberechtigung zu streng
- NTFS-Berechtigung zu streng
- Vererbung falsch
- falsches Konto verwendet
- gespeicherte alte Anmeldedaten
- Datei durch anderen Prozess gesperrt
Merksatz:
Zugriff verweigert heißt oft:
Berechtigungen oder Anmeldung prüfen.
Fehlerbild: Netzlaufwerk verbindet nicht
Mögliche Ursachen:
- Server nicht erreichbar
- DNS-Name falsch
- Freigabe existiert nicht
- Benutzer nicht berechtigt
- falsche gespeicherte Zugangsdaten
- VPN nicht verbunden
- SMB-Port blockiert
- Offline-Dateien oder Cache-Problem
- Gruppenrichtlinie greift nicht
Merksatz:
Netzlaufwerkprobleme mit Pfad,
DNS,
Port,
Anmeldung
und Rechten prüfen.
Fehlerbild: Datei lässt sich nicht speichern
Mögliche Ursachen:
- keine Schreibrechte
- Speicherplatz voll
- Quota erreicht
- Datei gesperrt
- Pfad zu lang
- Dateiname ungültig
- Netzwerkunterbrechung
- Synchronisationsproblem
- Antivirus blockiert
Merksatz:
Speichern auf Freigaben braucht Rechte,
Platz
und stabile Verbindung.
Fehlerbild: Datei ist gesperrt
Eine Datei kann durch einen Benutzer oder Prozess gesperrt sein.
Mögliche Ursachen:
- Datei ist geöffnet
- Anwendung hält Sperre
- vorherige Sitzung nicht sauber beendet
- Synchronisationsdienst greift zu
- Backup oder Antivirus scannt Datei
Merksatz:
Dateisperren verhindern gleichzeitige unsichere Änderungen.
Fehlersuche bei Datei- und Freigabeproblemen
Eine sinnvolle Reihenfolge:
1. Name oder IP erreichbar?
2. Richtiger Port erreichbar?
3. Richtiger Dienst läuft?
4. Richtiges Protokoll verwendet?
5. Authentifizierung korrekt?
6. Berechtigungen korrekt?
7. Verschlüsselung oder Zertifikat korrekt?
8. Firewall oder NAT im Weg?
9. Serverlogs prüfen.
10. Clientlogs oder Fehlermeldung prüfen.
Merksatz:
Erst Verbindung,
dann Protokoll,
dann Anmeldung,
dann Rechte.
Nützliche Prüfpunkte
Prüffrage
Bedeutung
Ist der Server erreichbar?
Schicht 3 prüfen
Ist der Port erreichbar?
Schicht 4 prüfen
Läuft der Dienst?
Schicht 7 prüfen
Stimmt der Benutzer?
Authentifizierung prüfen
Hat der Benutzer Rechte?
Autorisierung prüfen
Ist die Verbindung verschlüsselt?
Sicherheit prüfen
Gibt es Logs?
Ursache genauer finden
Merksatz:
Datei-Probleme sauber nach Schichten eingrenzen.
Was Datei- und Freigabeprotokolle nicht machen
Sie machen nicht automatisch:
- Benutzer korrekt berechtigen
- Daten verschlüsselt speichern
- Backups erstellen
- Malware verhindern
- Datenschutz automatisch erfüllen
- Versionierung bereitstellen
- Konflikte automatisch sinnvoll lösen
- defekte Dateien reparieren
Merksatz:
Dateiübertragung ersetzt kein Berechtigungs-,
Backup-
oder Sicherheitskonzept.
Typische Ports
Protokoll
Port
Hinweis
FTP
TCP 21
Steuerverbindung
SFTP
TCP 22
über SSH
FTPS explizit
TCP 21
FTP mit TLS-Umschaltung
FTPS implizit
TCP 990
direkt TLS
SMB
TCP 445
Datei- und Druckerfreigaben
Merksatz:
FTP 21,
SFTP 22,
FTPS 990,
SMB 445.
Einordnung in das OSI-Modell
Thema
Schicht
FTP
7
SFTP
7
FTPS
7 mit TLS-Bezug
SMB
7
TLS bei FTPS
6
SSH bei SFTP
7 mit Sicherheitsbezug
TCP-Port 21 / 22 / 445 / 990
4
IP-Adresse des Servers
3
DNS-Name des Servers
7
SMB-Berechtigungen
7 / Betriebssystembezug
Merksatz:
Datei- und Freigabeprotokolle sind Schicht 7,
nutzen aber Schicht 4-Ports.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Wofür wird FTP genutzt?
- Warum ist klassisches FTP unsicher?
- Was ist der Unterschied zwischen FTP, SFTP und FTPS?
- Welcher Port wird typischerweise für SFTP genutzt?
- Was ist SMB?
- Wofür wird SMB verwendet?
- Welcher Port wird für SMB verwendet?
- Was ist eine SMB-Freigabe?
- Was ist ein UNC-Pfad?
- Was ist der Unterschied zwischen Dateiübertragung und Dateifreigabe?
- Warum sollte SMB nicht direkt ins Internet geöffnet werden?
- Warum kann FTP trotz erfolgreichem Login bei der Dateiübertragung scheitern?
- Welche Rolle spielen Berechtigungen bei SMB?
- Warum sollte man Berechtigungen über Gruppen vergeben?
Typische Prüfungsfallen
FTP ist klassisch unverschlüsselt.
FTP nutzt typischerweise TCP 21.
FTP kann Steuer- und Datenverbindung nutzen.
FTP kann mit NAT und Firewall schwierig sein.
SFTP ist Dateiübertragung über SSH.
SFTP nutzt typischerweise TCP 22.
SFTP ist nicht FTPS.
FTPS ist FTP mit TLS.
Implizites FTPS nutzt häufig TCP 990.
SMB nutzt typischerweise TCP 445.
SMB ist für Datei- und Druckerfreigaben.
SMBv1 ist veraltet und unsicher.
UNC-Pfad sieht aus wie `\\server\freigabe`.
Freigaberechte und Dateisystemrechte zusammen beachten.
Strengere Berechtigung begrenzt den Zugriff.
Berechtigungen möglichst über Gruppen vergeben.
SMB gehört nicht ungeschützt ins Internet.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
FTP
klassisches Dateiübertragungsprotokoll
SFTP
Dateiübertragung über SSH
FTPS
FTP mit TLS
SMB
Datei- und Druckerfreigabeprotokoll
Steuerverbindung
FTP-Verbindung für Befehle
Datenverbindung
FTP-Verbindung für Dateiinhalt
aktiver FTP-Modus
Server baut Datenverbindung zum Client auf
passiver FTP-Modus
Client baut Datenverbindung zum Server auf
SMB-Freigabe
freigegebener Netzwerkordner
UNC-Pfad
Pfad zu einer Netzwerkfreigabe
Netzlaufwerk
eingebundene Netzwerkfreigabe
Freigabeberechtigung
Recht auf Netzwerkfreigabeebene
Dateisystemberechtigung
Recht auf Datei- oder Ordnerebene
effektive Berechtigung
tatsächlich wirkendes Recht
Least Privilege
nur notwendige Rechte vergeben
SMBv1
veraltete unsichere SMB-Version
IHK-sichere Kurzformulierung
FTP, SFTP, FTPS und SMB sind Protokolle der Anwendungsschicht. FTP dient der klassischen Dateiübertragung, ist ohne Zusatzschutz jedoch unverschlüsselt und nutzt typischerweise TCP-Port 21. SFTP ist Dateiübertragung über SSH und nutzt typischerweise TCP-Port 22. FTPS ist FTP mit TLS-Schutz und nutzt je nach Variante TCP-Port 21 oder 990. SMB wird für Datei- und Druckerfreigaben verwendet und nutzt typischerweise TCP-Port 445. Bei SMB sind Freigabeberechtigungen und Dateisystemberechtigungen zu unterscheiden. Moderne Systeme sollten SMBv1 vermeiden und SMB-Freigaben nicht ungeschützt aus dem Internet erreichbar machen.
Merksätze
Dateiübertragung und Freigaben gehören zu Schicht 7.
FTP = File Transfer Protocol.
FTP nutzt typischerweise TCP 21.
FTP ist klassisch unverschlüsselt.
FTP nutzt Steuer- und Datenverbindung.
Passives FTP ist NAT-freundlicher.
SFTP = SSH File Transfer Protocol.
SFTP nutzt typischerweise TCP 22.
SFTP ist Dateiübertragung über SSH.
FTPS = FTP mit TLS.
FTPS ist nicht SFTP.
Implizites FTPS nutzt häufig TCP 990.
SMB = Server Message Block.
SMB nutzt typischerweise TCP 445.
SMB = Datei- und Druckerfreigaben.
SMB-Freigabe = Netzwerkordner.
UNC-Pfad = `\\server\freigabe`.
Netzlaufwerk = eingebundene Freigabe.
Freigaberechte und Dateisystemrechte zusammen prüfen.
Die strengere Berechtigung begrenzt den Zugriff.
Rechte möglichst über Gruppen vergeben.
Least Privilege beachten.
SMBv1 vermeiden.
SMB nicht ungeschützt ins Internet öffnen.
Datei-Probleme mit DNS,
Port,
Dienst,
Anmeldung
und Berechtigungen prüfen.
10.7 Verzeichnisdienste, Netzwerkmanagement und Zeitdienste: LDAP, SNMP und NTP
LDAP, SNMP und NTP gehören zur OSI-Schicht 7.
Sie erfüllen unterschiedliche Aufgaben in Netzwerken:
LDAP:
Verzeichnisdienste abfragen und verwalten
SNMP:
Netzwerkgeräte überwachen und verwalten
NTP:
Uhrzeit synchronisieren
Diese Dienste sind besonders in Unternehmensnetzwerken wichtig.
Merksatz:
LDAP verwaltet Verzeichnisinformationen.
SNMP überwacht Geräte.
NTP synchronisiert Zeit.
Grundidee
In Netzwerken müssen nicht nur Daten übertragen werden.
Es müssen auch Dienste bereitstehen für:
- Benutzerinformationen
- Gruppen
- Geräteinformationen
- zentrale Anmeldung
- Monitoring
- Zustandsabfragen
- Zeitabgleich
- Protokollierung
- Authentifizierung
LDAP, SNMP und NTP unterstützen genau solche Verwaltungsaufgaben.
Merksatz:
Schicht 7 enthält viele Verwaltungs- und Infrastrukturprotokolle.
Einordnung im OSI-Modell
Thema
Schicht
LDAP
7
SNMP
7
NTP
7
TCP-/UDP-Port
4
IP-Adresse
3
TLS bei LDAPS
6 mit Schicht-7-Bezug
Benutzer- und Gruppendaten
7 / Verzeichnisdienst
Monitoringdaten
7 / Managementdienst
Merksatz:
Dienstprotokoll = Schicht 7.
Port = Schicht 4.
LDAP
LDAP steht für:
Lightweight Directory Access Protocol
LDAP dient dazu,
Informationen aus einem Verzeichnisdienst abzufragen oder zu verwalten.
Typische Informationen:
- Benutzer
- Gruppen
- Computer
- Organisationseinheiten
- E-Mail-Adressen
- Telefonnummern
- Rollen
- Berechtigungsbezüge
Merksatz:
LDAP = Zugriff auf Verzeichnisdienste.
Was ist ein Verzeichnisdienst?
Ein Verzeichnisdienst speichert strukturierte Informationen über Objekte in einer Organisation.
Beispiele für Objekte:
- Benutzerkonto
- Gruppe
- Computer
- Drucker
- Dienstkonto
- Kontakt
- Organisationseinheit
Der Verzeichnisdienst ermöglicht zentrale Verwaltung.
Merksatz:
Verzeichnisdienst = zentrale Datenbank für Identitäten und Objekte.
Typische Verzeichnisdienste
Typische Verzeichnisdienste sind:
- Microsoft Active Directory
- OpenLDAP
- FreeIPA
- Samba AD
- cloudbasierte Identitätsdienste mit LDAP-Anbindung
Besonders wichtig im FISI-Umfeld ist:
Active Directory
Merksatz:
Active Directory ist ein sehr verbreiteter Verzeichnisdienst.
LDAP und Active Directory
Active Directory nutzt LDAP für viele Abfragen.
Beispiele:
Benutzer anmelden
Gruppenmitgliedschaften prüfen
Benutzerobjekte suchen
Computerobjekte verwalten
Verzeichnisinformationen abfragen
Wichtig:
Active Directory besteht nicht nur aus LDAP.
Es nutzt auch DNS, Kerberos, Gruppenrichtlinien und weitere Dienste.
Merksatz:
LDAP ist ein wichtiger Teil von Active Directory,
aber nicht das ganze Active Directory.
LDAP-Ports
Wichtige LDAP-Ports:
Dienst
Protokoll
Port
LDAP
TCP / UDP
389
LDAPS
TCP
636
LDAP über Port 389 kann zusätzlich mit STARTTLS abgesichert werden.
LDAPS nutzt direkt TLS.
Merksatz:
LDAP = 389.
LDAPS = 636.
LDAP und LDAPS unterscheiden
Begriff
Bedeutung
LDAP
Verzeichniszugriff, klassisch Port 389
LDAPS
LDAP über TLS, klassisch Port 636
LDAP mit STARTTLS
startet auf 389 und schaltet auf TLS um
Wichtig:
Für Anmeldedaten und sensible Informationen sollte verschlüsselte Kommunikation genutzt werden.
Merksatz:
LDAPS schützt LDAP-Kommunikation mit TLS.
LDAP-Baumstruktur
LDAP-Daten sind hierarchisch organisiert.
Man kann sich das wie einen Baum vorstellen.
Beispiel:
Firma
├── Benutzer
├── Gruppen
├── Computer
└── Drucker
Jedes Objekt hat eine Position im Verzeichnisbaum.
Merksatz:
LDAP ist hierarchisch aufgebaut.
Distinguished Name
Ein Distinguished Name beschreibt die eindeutige Position eines Objekts im LDAP-Verzeichnis.
Kurz:
DN
Beispiel:
CN=Felix Ulrich,OU=Benutzer,DC=firma,DC=local
Bedeutung:
CN = Common Name
OU = Organizational Unit
DC = Domain Component
Merksatz:
DN = eindeutiger LDAP-Pfad eines Objekts.
Common Name
CN steht für:
Common Name
CN bezeichnet häufig den Namen eines Objekts.
Beispiel:
CN=Felix Ulrich
Merksatz:
CN = Name eines LDAP-Objekts.
Organizational Unit
OU steht für:
Organizational Unit
Eine OU ist eine Organisationseinheit.
Beispiel:
OU=Benutzer
OU=Computer
OU=Berlin
OU=Ausbildung
OUs helfen, Objekte zu strukturieren und zu verwalten.
Merksatz:
OU = Organisationseinheit im Verzeichnis.
Domain Component
DC steht für:
Domain Component
DC bildet Teile des Domänennamens ab.
Beispiel:
firma.local
wird zu:
DC=firma,DC=local
Merksatz:
DC bildet den Domänennamen im LDAP-Pfad ab.
LDAP-Attribute
LDAP-Objekte haben Attribute.
Beispiele für Benutzerattribute:
- cn
- givenName
- sn
- mail
- telephoneNumber
- memberOf
- userPrincipalName
- sAMAccountName
Diese Attribute beschreiben das Objekt genauer.
Merksatz:
LDAP-Attribute speichern Eigenschaften eines Objekts.
LDAP-Suche
Eine LDAP-Suche fragt Objekte aus dem Verzeichnis ab.
Typische Suchfragen:
Gibt es diesen Benutzer?
Welche Gruppen hat der Benutzer?
Welche E-Mail-Adresse hat der Benutzer?
Welche Computer gehören zu einer OU?
Welche Benutzer sind deaktiviert?
Merksatz:
LDAP-Suche findet Objekte und Attribute im Verzeichnis.
LDAP-Filter
LDAP-Filter grenzen Suchergebnisse ein.
Beispiel sinngemäß:
Suche Benutzer mit bestimmtem Namen.
Oder:
Suche alle Benutzer in einer bestimmten Gruppe.
Filter sind wichtig,
damit Abfragen gezielt und effizient sind.
Merksatz:
LDAP-Filter bestimmen,
welche Objekte gesucht werden.
Bind
Bind bedeutet bei LDAP:
Anmeldung oder Authentifizierung am Verzeichnisdienst.
Ein Client verbindet sich mit dem LDAP-Server und authentifiziert sich.
Mögliche Varianten:
- anonym
- Benutzername und Passwort
- Dienstkonto
- Kerberos in AD-Umgebungen
Merksatz:
LDAP Bind = Anmeldung am Verzeichnisdienst.
LDAP und Authentifizierung
Viele Anwendungen nutzen LDAP,
um Benutzer gegen ein zentrales Verzeichnis zu prüfen.
Beispiel:
Benutzer meldet sich an Anwendung an.
Anwendung prüft Benutzer über LDAP.
LDAP bestätigt oder lehnt ab.
Anwendung prüft zusätzlich Gruppen oder Rollen.
Merksatz:
LDAP kann zentrale Anmeldung und Gruppenprüfung unterstützen.
LDAP und Autorisierung
LDAP kann Gruppeninformationen liefern.
Beispiel:
Benutzer ist Mitglied der Gruppe:
IT-Admins
Eine Anwendung kann daraus ableiten:
Benutzer darf Adminbereich öffnen.
Wichtig:
LDAP liefert Informationen.
Die Anwendung entscheidet oft,
welche Rechte daraus entstehen.
Merksatz:
LDAP liefert Identitäts- und Gruppeninformationen.
Typische LDAP-Fehler
Typische Fehler sind:
- falscher LDAP-Server
- falscher Port
- DNS-Name nicht auflösbar
- falscher Bind-Benutzer
- falsches Passwort
- Benutzer nicht gefunden
- falscher Base-DN
- falscher Suchfilter
- TLS-Zertifikatsfehler bei LDAPS
- Firewall blockiert Port 389 oder 636
Merksatz:
LDAP-Fehler betreffen oft Server,
Port,
Bind,
Base-DN
oder Zertifikat.
Fehlerbild: Anmeldung über LDAP funktioniert nicht
Mögliche Ursachen:
- Benutzername falsch
- Passwort falsch
- Benutzerkonto gesperrt
- LDAP-Server nicht erreichbar
- falscher LDAP-Port
- falscher Base-DN
- falscher Suchfilter
- Gruppe fehlt
- LDAPS-Zertifikat ungültig
- Anwendung nutzt falsches Dienstkonto
Merksatz:
LDAP-Anmeldefehler mit Konto,
Server,
Suche
und Gruppen prüfen.
SNMP
SNMP steht für:
Simple Network Management Protocol
SNMP wird zur Überwachung und Verwaltung von Netzwerkgeräten genutzt.
Typische Geräte:
- Switches
- Router
- Firewalls
- Drucker
- Server
- USV-Anlagen
- Access Points
- NAS-Systeme
Merksatz:
SNMP = Netzwerkgeräte überwachen und verwalten.
Was kann man mit SNMP abfragen?
Mit SNMP kann man viele Geräteinformationen abfragen.
Beispiele:
- Gerätename
- Uptime
- CPU-Auslastung
- RAM-Auslastung
- Interface-Status
- Traffic pro Port
- Fehlerzähler
- Temperatur
- Tonerstand
- Lüfterstatus
- Seriennummer
Merksatz:
SNMP liefert Messwerte und Zustandsinformationen.
SNMP-Manager und SNMP-Agent
Bei SNMP gibt es meist:
SNMP-Manager
SNMP-Agent
SNMP-Manager:
Monitoring-System,
das Werte abfragt.
SNMP-Agent:
Dienst auf dem überwachten Gerät,
der Informationen bereitstellt.
Beispiel:
Monitoring-Server fragt Switch ab.
Switch-Agent liefert Interface-Daten.
Merksatz:
Manager fragt.
Agent antwortet.
SNMP-Ports
Wichtige SNMP-Ports:
Funktion
Protokoll
Port
SNMP-Abfragen
UDP
161
SNMP-Traps
UDP
162
Merksatz:
SNMP-Abfrage = UDP 161.
SNMP-Trap = UDP 162.
SNMP-Abfrage
Bei einer SNMP-Abfrage fragt der Manager gezielt einen Wert ab.
Beispiel:
Wie hoch ist die CPU-Auslastung?
Ist Port 5 am Switch aktiv?
Wie viele Fehler gab es auf Interface 1?
Der Agent antwortet mit dem passenden Wert.
Merksatz:
SNMP-Abfrage = Manager fragt Gerät nach Wert.
SNMP-Trap
Ein SNMP-Trap ist eine Meldung,
die ein Gerät von sich aus an den Manager sendet.
Beispiele:
Link down
Lüfter ausgefallen
Temperatur zu hoch
USV läuft auf Batterie
Gerät startet neu
Merksatz:
Trap = Gerät meldet Ereignis selbstständig.
MIB
MIB steht für:
Management Information Base
Die MIB beschreibt,
welche Informationen ein Gerät per SNMP bereitstellt.
Sie enthält eine strukturierte Sammlung von verwaltbaren Objekten.
Merksatz:
MIB beschreibt verfügbare SNMP-Informationen.
OID
OID steht für:
Object Identifier
Eine OID ist eine eindeutige Nummer für einen bestimmten SNMP-Wert.
Beispiel sinngemäß:
OID für Gerätenamen
OID für Interface-Traffic
OID für CPU-Auslastung
Merksatz:
OID = eindeutige Kennung eines SNMP-Werts.
SNMP-Versionen
Wichtige SNMP-Versionen:
Version
Kurzinfo
SNMPv1
alt, einfach
SNMPv2c
verbreitet, Community-String
SNMPv3
sicherer mit Authentifizierung und Verschlüsselung
Für moderne Umgebungen ist SNMPv3 vorzuziehen.
Merksatz:
SNMPv3 ist sicherer als SNMPv1/v2c.
Community-String
Bei SNMPv1 und SNMPv2c wird ein Community-String verwendet.
Er wirkt wie ein einfaches Passwort.
Beispiele:
public
private
Problem:
Community-Strings werden bei alten SNMP-Versionen nicht sicher geschützt.
Merksatz:
Community-String ist kein starker Schutz.
SNMPv3
SNMPv3 bietet bessere Sicherheitsfunktionen.
Dazu gehören:
- Authentifizierung
- Verschlüsselung
- Benutzerkonzept
- Integritätsschutz
Damit ist SNMPv3 deutlich sicherer als ältere Varianten.
Merksatz:
SNMPv3 für sichere Überwachung bevorzugen.
SNMP und Monitoring
Monitoring-Systeme nutzen SNMP,
um Geräte regelmäßig abzufragen.
Beispiele für Monitoring:
- Ist Gerät erreichbar?
- Ist ein Port down?
- Wie hoch ist die Auslastung?
- Gibt es Fehler auf Interfaces?
- Wird Speicher knapp?
- Gibt es Temperaturprobleme?
Merksatz:
SNMP ist wichtig für Netzwerkmonitoring.
Typische SNMP-Fehler
Typische Fehler sind:
- SNMP-Agent deaktiviert
- falsche SNMP-Version
- falscher Community-String
- falsche SNMPv3-Zugangsdaten
- Firewall blockiert UDP 161 oder 162
- Monitoring-Server nicht erlaubt
- Gerät unterstützt OID nicht
- MIB fehlt im Monitoring-System
- ACL auf Gerät blockiert Zugriff
Merksatz:
SNMP-Fehler betreffen oft Version,
Zugangsdaten,
Firewall
oder OID.
Fehlerbild: Monitoring zeigt Gerät als down
Mögliche Ursachen:
- Gerät wirklich offline
- IP-Adresse falsch
- DNS falsch
- ICMP blockiert
- SNMP-Agent aus
- Firewall blockiert
- falsche SNMP-Zugangsdaten
- falsche SNMP-Version
- Monitoring fragt falsche Schnittstelle
Merksatz:
Monitoring-Fehler erst mit Erreichbarkeit und SNMP prüfen.
NTP
NTP steht für:
Network Time Protocol
NTP dient zur Zeitsynchronisation von Systemen.
Typischer Port:
UDP 123
Korrekte Zeit ist in IT-Systemen sehr wichtig.
Merksatz:
NTP = Zeitsynchronisation über Netzwerk.
Warum ist korrekte Zeit wichtig?
Korrekte Zeit wird benötigt für:
- Zertifikate
- Kerberos
- Active Directory
- Logs
- Fehlersuche
- Backup-Zeitpunkte
- Monitoring
- Dateisynchronisation
- Datenbanktransaktionen
- Sicherheitsereignisse
Schon wenige Minuten Abweichung können Probleme verursachen.
Merksatz:
Falsche Uhrzeit kann viele IT-Probleme verursachen.
NTP-Client und NTP-Server
Bei NTP gibt es:
NTP-Client
NTP-Server
NTP-Client:
fragt Zeit ab.
NTP-Server:
liefert Zeitinformationen.
In Unternehmen synchronisieren Clients oft gegen interne Zeitserver.
Merksatz:
NTP-Client fragt Zeit vom NTP-Server ab.
NTP-Stratum
NTP nutzt sogenannte Stratum-Werte.
Sie beschreiben die Entfernung zur ursprünglichen Zeitquelle.
Beispiel:
Stratum 0:
direkte Zeitquelle, zum Beispiel Atomuhr oder GPS
Stratum 1:
Server direkt an Stratum-0-Quelle
Stratum 2:
Server synchronisiert von Stratum 1
Je kleiner der Stratum-Wert,
desto näher an der ursprünglichen Zeitquelle.
Merksatz:
Stratum beschreibt die Nähe zur Zeitquelle.
NTP und Active Directory
In Active-Directory-Umgebungen ist Zeit besonders wichtig.
Grund:
Kerberos ist empfindlich gegenüber Zeitabweichungen.
Wenn Client und Domänencontroller zu stark unterschiedliche Zeiten haben,
kann Anmeldung fehlschlagen.
Merksatz:
AD und Kerberos brauchen korrekte Zeit.
NTP und Zertifikate
Zertifikate haben Gültigkeitszeiträume.
Wenn die Systemzeit falsch ist,
kann ein eigentlich gültiges Zertifikat als ungültig erscheinen.
Beispiel:
Client-Uhr geht ein Jahr falsch.
Browser meldet Zertifikatsfehler.
Merksatz:
Falsche Uhrzeit kann Zertifikatswarnungen verursachen.
NTP und Logs
Logs sind nur sinnvoll,
wenn Zeitstempel stimmen.
Bei Fehlersuche muss man Ereignisse zeitlich zusammenbringen können.
Beispiele:
Firewall-Log
Server-Log
Anwendungslog
Authentifizierungslog
Wenn Systeme unterschiedliche Uhrzeiten haben,
wird die Analyse erschwert.
Merksatz:
Ohne korrekte Zeit sind Logs schwer auswertbar.
NTP und Sicherheit
NTP sollte sicher und sinnvoll konfiguriert werden.
Wichtige Punkte:
- vertrauenswürdige Zeitquellen nutzen
- interne Zeitserver verwenden
- keine unnötig offenen NTP-Server betreiben
- Firewall-Regeln kontrollieren
- Zeitabweichungen überwachen
- Manipulation vermeiden
Merksatz:
Zeit ist sicherheitsrelevant.
Typische NTP-Fehler
Typische Fehler sind:
- NTP-Server nicht erreichbar
- UDP 123 blockiert
- falscher Zeitserver eingetragen
- große Zeitabweichung
- falsche Zeitzone
- Systemzeit driftet
- virtuelle Maschinen synchronisieren falsch
- mehrere Zeitquellen widersprechen sich
- DNS-Name des Zeitservers nicht auflösbar
Merksatz:
NTP-Fehler betreffen Zeitserver,
UDP 123,
DNS
oder Systemkonfiguration.
Fehlerbild: Zertifikate wirken ungültig
Mögliche Ursache:
Systemzeit ist falsch.
Prüfung:
Datum prüfen.
Uhrzeit prüfen.
Zeitzone prüfen.
NTP-Status prüfen.
Zeitquelle prüfen.
Merksatz:
Bei vielen Zertifikatsfehlern auch Uhrzeit prüfen.
Fehlerbild: Anmeldung an Domäne schlägt fehl
Mögliche Ursache:
Zeitabweichung zwischen Client und Domänencontroller.
Besonders relevant:
Kerberos
Prüfung:
Clientzeit prüfen.
Domänencontrollerzeit prüfen.
NTP-Konfiguration prüfen.
Zeitzone prüfen.
Merksatz:
Domänenanmeldung braucht passende Zeit.
Fehlerbild: Logs passen zeitlich nicht zusammen
Mögliche Ursachen:
- falsche Systemzeit
- falsche Zeitzone
- NTP gestört
- Zeitquelle falsch
- Sommerzeitproblem
- Container oder VM nutzt falsche Zeitbasis
Merksatz:
Log-Auswertung braucht synchronisierte Zeit.
LDAP, SNMP und NTP vergleichen
Protokoll
Hauptaufgabe
typischer Port
LDAP
Verzeichnisdienstzugriff
TCP/UDP 389
LDAPS
LDAP über TLS
TCP 636
SNMP
Netzwerkmanagement
UDP 161
SNMP-Trap
Ereignismeldung
UDP 162
NTP
Zeitsynchronisation
UDP 123
Merksatz:
LDAP 389/636,
SNMP 161/162,
NTP 123.
Sicherheitsvergleich
Protokoll
Sicherheitsaspekt
LDAP
Anmeldedaten schützen, LDAPS oder STARTTLS nutzen
SNMP
SNMPv3 bevorzugen, Community-Strings schützen
NTP
vertrauenswürdige Zeitquellen und Zugriffsbeschränkung
LDAPS
Zertifikate korrekt prüfen
SNMPv1/v2c
möglichst vermeiden oder stark einschränken
Merksatz:
Infrastrukturprotokolle müssen ebenfalls abgesichert werden.
Fehlersuche allgemein
Eine sinnvolle Reihenfolge:
1. Namensauflösung prüfen.
2. IP-Erreichbarkeit prüfen.
3. Port prüfen.
4. Dienst läuft?
5. Zugangsdaten korrekt?
6. Verschlüsselung oder Zertifikat korrekt?
7. Berechtigungen korrekt?
8. Logs prüfen.
Merksatz:
Auch Verwaltungsdienste nach Schichten prüfen.
Was LDAP, SNMP und NTP nicht machen
LDAP macht nicht automatisch:
Berechtigungen in jeder Anwendung korrekt.
SNMP macht nicht automatisch:
Fehlerbehebung,
sondern liefert Informationen.
NTP macht nicht automatisch:
Zeitzonenlogik oder Zertifikatsverwaltung korrekt.
Alle drei Dienste brauchen korrekte Konfiguration und passende Sicherheit.
Merksatz:
Infrastrukturprotokolle unterstützen Administration,
ersetzen aber keine saubere Konfiguration.
Einordnung in typische Unternehmensnetze
In Unternehmen sieht man häufig:
LDAP / AD:
zentrale Benutzer und Gruppen
SNMP:
Monitoring von Switches, Routern und Servern
NTP:
einheitliche Zeit für Clients, Server und Logs
Diese Dienste sind nicht immer sichtbar für Benutzer,
aber wichtig für stabilen Betrieb.
Merksatz:
LDAP, SNMP und NTP sind Grundlagen für Betrieb und Verwaltung.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Wofür steht LDAP?
- Wofür wird LDAP verwendet?
- Was ist ein Verzeichnisdienst?
- Was ist LDAPS?
- Welche Ports nutzen LDAP und LDAPS?
- Was ist ein Distinguished Name?
- Was ist ein LDAP Bind?
- Wofür steht SNMP?
- Wofür wird SNMP verwendet?
- Was sind SNMP-Manager und SNMP-Agent?
- Was ist ein SNMP-Trap?
- Welche Ports nutzt SNMP?
- Warum ist SNMPv3 sicherer?
- Wofür steht NTP?
- Warum ist korrekte Zeit wichtig?
- Welche Probleme können durch falsche Uhrzeit entstehen?
Typische Prüfungsfallen
LDAP gehört zu Schicht 7.
LDAP ist nicht das gesamte Active Directory.
LDAP nutzt typischerweise Port 389.
LDAPS nutzt typischerweise Port 636.
DN ist der eindeutige LDAP-Pfad.
Bind bedeutet LDAP-Anmeldung.
SNMP gehört zu Schicht 7.
SNMP nutzt UDP.
SNMP-Abfragen nutzen UDP 161.
SNMP-Traps nutzen UDP 162.
SNMPv1/v2c mit Community-String sind unsicherer.
SNMPv3 ist sicherer.
NTP gehört zu Schicht 7.
NTP nutzt UDP 123.
Falsche Zeit kann Zertifikatsfehler verursachen.
Falsche Zeit kann Kerberos-Probleme verursachen.
Logs brauchen synchronisierte Zeit.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
LDAP
Protokoll für Verzeichnisdienste
LDAPS
LDAP über TLS
Verzeichnisdienst
zentrale Verwaltung von Identitäten und Objekten
Active Directory
verbreiteter Microsoft-Verzeichnisdienst
DN
eindeutiger LDAP-Pfad
CN
Common Name eines Objekts
OU
Organisationseinheit
DC
Domain Component
Attribut
Eigenschaft eines LDAP-Objekts
Bind
Anmeldung am LDAP-Server
SNMP
Protokoll für Netzwerkmanagement
SNMP-Manager
fragt Gerätewerte ab
SNMP-Agent
liefert Gerätewerte
Trap
Gerät sendet Ereignis selbstständig
MIB
Beschreibung verfügbarer SNMP-Werte
OID
eindeutige Kennung eines SNMP-Werts
Community-String
einfacher Zugriffstext bei SNMPv1/v2c
SNMPv3
sicherere SNMP-Version
NTP
Protokoll zur Zeitsynchronisation
Stratum
Nähe zur Zeitquelle
Zeitserver
Server, der Uhrzeit bereitstellt
IHK-sichere Kurzformulierung
LDAP, SNMP und NTP sind Protokolle der Anwendungsschicht. LDAP steht für Lightweight Directory Access Protocol und dient dem Zugriff auf Verzeichnisdienste wie Active Directory. Es wird zum Suchen und Verwalten von Benutzern, Gruppen und anderen Objekten verwendet. SNMP steht für Simple Network Management Protocol und wird zur Überwachung von Netzwerkgeräten genutzt. Dabei fragt ein SNMP-Manager Werte von einem SNMP-Agenten ab oder empfängt Traps. NTP steht für Network Time Protocol und synchronisiert die Uhrzeit von Systemen. Korrekte Zeit ist wichtig für Zertifikate, Kerberos, Logs und Fehlersuche.
Merksätze
LDAP = Lightweight Directory Access Protocol.
LDAP gehört zu Schicht 7.
LDAP greift auf Verzeichnisdienste zu.
Active Directory nutzt LDAP,
ist aber mehr als LDAP.
LDAP = Port 389.
LDAPS = Port 636.
DN = eindeutiger LDAP-Pfad.
Bind = Anmeldung am LDAP-Server.
SNMP = Simple Network Management Protocol.
SNMP gehört zu Schicht 7.
SNMP überwacht Netzwerkgeräte.
SNMP-Manager fragt.
SNMP-Agent antwortet.
SNMP-Abfrage = UDP 161.
SNMP-Trap = UDP 162.
MIB beschreibt verfügbare Werte.
OID kennzeichnet einen SNMP-Wert.
SNMPv3 ist sicherer als SNMPv1/v2c.
NTP = Network Time Protocol.
NTP gehört zu Schicht 7.
NTP nutzt UDP 123.
NTP synchronisiert Uhrzeit.
Korrekte Zeit ist wichtig für Zertifikate.
Korrekte Zeit ist wichtig für Kerberos.
Korrekte Zeit ist wichtig für Logs.
Infrastrukturprotokolle müssen ebenfalls abgesichert werden.
10.8 Remotezugriff und Fernadministration: SSH, RDP und Telnet
Remotezugriff gehört zur OSI-Schicht 7.
Remotezugriff bedeutet:
Ein Benutzer oder Administrator greift aus der Ferne auf ein anderes System zu.
Typische Protokolle sind:
- SSH
- RDP
- Telnet
Sie dienen dazu,
entfernte Systeme zu bedienen, zu verwalten oder zu konfigurieren.
Merksatz:
Remotezugriff = entfernte Systeme über das Netzwerk bedienen.
Grundidee von Remotezugriff
Bei Remotezugriff sitzt der Benutzer nicht direkt vor dem Zielsystem.
Stattdessen erfolgt der Zugriff über das Netzwerk.
Beispiele:
Administrator verbindet sich per SSH auf einen Linux-Server.
Benutzer verbindet sich per RDP auf einen Windows-Rechner.
Techniker greift auf eine Firewall-Konsole zu.
Support meldet sich auf einem Terminalserver an.
Ein Server wird aus der Ferne konfiguriert.
Merksatz:
Remotezugriff ermöglicht Administration ohne direkten physischen Zugriff.
Remotezugriff im OSI-Modell
Remotezugriffsprotokolle gehören zur Anwendungsschicht.
Thema
Schicht
SSH
7
RDP
7
Telnet
7
TCP-Port
4
IP-Adresse
3
Verschlüsselung
6 / Sicherheitsbezug
Benutzeranmeldung
7 / Authentifizierung
Wichtig:
SSH, RDP und Telnet sind Anwendungsschicht-Protokolle.
Die verwendeten Ports gehören zur Transportschicht.
Merksatz:
Protokoll = Schicht 7.
Port = Schicht 4.
SSH
SSH steht für:
Secure Shell
SSH wird für sicheren Fernzugriff auf Kommandozeilen verwendet.
Typischer Port:
TCP 22
SSH wird häufig genutzt bei:
- Linux-Servern
- Netzwerkgeräten
- Firewalls
- NAS-Systemen
- Routern
- Switches
- Automatisierung
- Dateiübertragung über SFTP
Merksatz:
SSH = sicherer Fernzugriff auf die Shell.
Warum ist SSH wichtig?
SSH ermöglicht sichere Administration über ein Netzwerk.
SSH bietet:
- verschlüsselte Verbindung
- Authentifizierung
- Integritätsschutz
- sichere Befehlsausführung
- sichere Dateiübertragung über SFTP
- Portweiterleitungen und Tunnel
Im Gegensatz zu Telnet überträgt SSH Daten nicht einfach im Klartext.
Merksatz:
SSH schützt Fernadministration durch Verschlüsselung.
SSH-Verbindung vereinfacht
Ablauf vereinfacht:
1. Client verbindet sich mit Server auf TCP 22.
2. Server präsentiert seinen Host-Key.
3. Client prüft den Host-Key.
4. Verschlüsselung wird ausgehandelt.
5. Benutzer authentifiziert sich.
6. Shell oder Dienst wird bereitgestellt.
Merksatz:
SSH prüft Server,
verschlüsselt Verbindung
und authentifiziert Benutzer.
SSH-Client und SSH-Server
SSH-Client:
Programm, das die Verbindung startet.
SSH-Server:
Dienst auf dem Zielsystem,
der SSH-Verbindungen annimmt.
Beispiele:
Client:
Terminal, PuTTY, OpenSSH-Client
Server:
OpenSSH-Server auf Linux,
SSH-Dienst auf Netzwerkgerät
Merksatz:
SSH-Client verbindet sich zum SSH-Server.
SSH-Host-Key
Der SSH-Host-Key identifiziert den SSH-Server.
Beim ersten Verbindungsaufbau speichert der Client häufig den Host-Key.
Bei späteren Verbindungen prüft der Client:
Ist es derselbe Server wie vorher?
Wenn sich der Host-Key plötzlich ändert,
erscheint eine Warnung.
Mögliche Ursachen:
- Server wurde neu installiert
- Host-Key wurde geändert
- DNS zeigt auf anderen Server
- IP-Adresse wurde neu vergeben
- möglicher Man-in-the-Middle-Angriff
Merksatz:
SSH-Host-Key schützt vor unbemerktem Serverwechsel.
SSH-Authentifizierung mit Passwort
Bei Passwortauthentifizierung meldet sich der Benutzer mit Benutzername und Passwort an.
Vorteil:
einfach einzurichten
Nachteile:
- anfällig gegen schwache Passwörter
- Brute-Force-Angriffe möglich
- Passwort kann bei schlechter Verwaltung kompromittiert werden
Merksatz:
Passwortlogin ist einfach,
aber stärker abzusichern.
SSH-Authentifizierung mit Schlüssel
Bei Schlüsselanmeldung wird ein Schlüsselpaar verwendet.
Es besteht aus:
privatem Schlüssel
öffentlichem Schlüssel
Der öffentliche Schlüssel liegt auf dem Server.
Der private Schlüssel bleibt beim Benutzer.
Wichtig:
Der private Schlüssel darf nicht weitergegeben werden.
Merksatz:
SSH-Schlüssel bestehen aus öffentlichem und privatem Schlüssel.
Vorteile von SSH-Schlüsseln
SSH-Schlüssel haben mehrere Vorteile:
- keine Passwortübertragung
- gut für Automatisierung
- stärker als einfache Passwörter
- Zugriff kann pro Schlüssel verwaltet werden
- private Schlüssel können zusätzlich mit Passphrase geschützt werden
Merksatz:
SSH-Schlüssel sind für sichere Administration sehr wichtig.
SSH-Passphrase
Eine Passphrase schützt den privaten SSH-Schlüssel.
Wenn jemand die Schlüsseldatei kopiert,
kann er sie ohne Passphrase nicht sofort verwenden.
Merksatz:
Passphrase schützt den privaten Schlüssel zusätzlich.
SSH-Agent
Ein SSH-Agent kann private Schlüssel temporär im Speicher verwalten.
Vorteil:
Benutzer muss die Passphrase nicht bei jeder Verbindung neu eingeben.
Wichtig:
SSH-Agent-Weiterleitung muss vorsichtig verwendet werden,
weil sie Sicherheitsrisiken erzeugen kann.
Merksatz:
SSH-Agent erleichtert Schlüsselanmeldung,
muss aber sicher genutzt werden.
Root-Login über SSH
Direkter Root-Login über SSH sollte in vielen Umgebungen deaktiviert werden.
Besser:
normaler Benutzer meldet sich an
und nutzt bei Bedarf sudo oder administrative Rechte.
Vorteile:
- bessere Nachvollziehbarkeit
- weniger Risiko bei Brute-Force-Angriffen
- gezieltere Rechtevergabe
Merksatz:
Direktes Root-Login möglichst vermeiden.
SSH und SFTP
SFTP steht für:
SSH File Transfer Protocol
SFTP nutzt SSH als Grundlage.
Typischer Port:
TCP 22
SFTP ist nicht FTP mit Verschlüsselung,
sondern ein eigenes Dateiübertragungsprotokoll über SSH.
Merksatz:
SFTP läuft über SSH.
SSH-Tunnel
Mit SSH können Tunnel aufgebaut werden.
Ein SSH-Tunnel leitet Netzwerkverkehr sicher durch eine SSH-Verbindung.
Typische Nutzung:
- internen Dienst sicher erreichen
- temporäre Portweiterleitung
- Administration über abgesicherte Verbindung
- Zugriff auf Datenbank oder Webdienst über SSH
Merksatz:
SSH-Tunnel leitet Verkehr verschlüsselt weiter.
SSH-Portforwarding
SSH-Portforwarding bedeutet:
Ein lokaler oder entfernter Port wird über SSH weitergeleitet.
Beispiel sinngemäß:
lokaler Port 8080
→ durch SSH
→ interner Webdienst auf Server
Das kann nützlich sein,
muss aber kontrolliert werden,
weil dadurch Sicherheitsgrenzen umgangen werden können.
Merksatz:
SSH-Portforwarding kann hilfreich,
aber sicherheitskritisch sein.
SSH-Sicherheitsmaßnahmen
Wichtige Maßnahmen:
- starke Passwörter oder Schlüssel verwenden
- Root-Login deaktivieren
- Passwortlogin nach Möglichkeit einschränken
- nur notwendige Benutzer erlauben
- Firewall-Regeln setzen
- Zugriff per VPN begrenzen
- Fail2ban oder ähnliche Schutzmechanismen nutzen
- Logs prüfen
- alte Schlüssel entfernen
- Schlüssel mit Passphrase schützen
Merksatz:
SSH muss trotz Verschlüsselung sauber abgesichert werden.
Typische SSH-Fehler
Typische Fehler sind:
- TCP 22 blockiert
- SSH-Dienst läuft nicht
- falscher Hostname
- falsche IP-Adresse
- falscher Benutzername
- falsches Passwort
- falscher privater Schlüssel
- Rechte auf Schlüsseldatei falsch
- Benutzer nicht erlaubt
- Host-Key-Warnung
- Firewall blockiert Zugriff
Merksatz:
SSH-Fehler mit Port,
Dienst,
Benutzer,
Schlüssel
und Firewall prüfen.
Fehlerbild: SSH-Verbindung Timeout
Mögliche Ursachen:
- Zielhost nicht erreichbar
- TCP 22 durch Firewall blockiert
- Routingproblem
- falsche IP-Adresse
- SSH-Dienst lauscht auf anderem Port
- NAT oder Portweiterleitung falsch
- Server offline
Merksatz:
SSH-Timeout deutet oft auf Netzwerk,
Firewall
oder falschen Port hin.
Fehlerbild: SSH Connection Refused
Connection refused bedeutet:
Zielsystem ist erreichbar,
aber der Dienst auf dem Zielport nimmt keine Verbindung an.
Mögliche Ursachen:
- SSH-Dienst läuft nicht
- SSH lauscht nicht auf diesem Port
- Port falsch
- Dienst nur auf bestimmter IP gebunden
- lokale Firewall lehnt aktiv ab
Merksatz:
Connection refused heißt:
Host erreichbar,
Dienst nimmt nicht an.
Fehlerbild: SSH Permission Denied
Permission denied bedeutet:
Anmeldung wurde abgelehnt.
Mögliche Ursachen:
- falscher Benutzer
- falsches Passwort
- falscher Schlüssel
- öffentlicher Schlüssel fehlt auf Server
- Benutzer darf sich nicht anmelden
- Konto gesperrt
- Schlüsselrechte falsch
- Loginmethode deaktiviert
Merksatz:
Permission denied = Authentifizierung oder Berechtigung prüfen.
Fehlerbild: SSH Host-Key-Warnung
Eine Host-Key-Warnung bedeutet:
Der Server-Schlüssel passt nicht zu dem,
was der Client gespeichert hat.
Mögliche Ursachen:
- Server neu installiert
- anderer Server unter gleicher IP
- DNS zeigt auf anderes Ziel
- Load Balancer oder Proxy
- möglicher Angriff
Wichtig:
Warnung nicht blind ignorieren.
Merksatz:
Host-Key-Warnung immer prüfen.
RDP
RDP steht für:
Remote Desktop Protocol
RDP wird für grafischen Fernzugriff verwendet.
Typischer Port:
TCP 3389
RDP ist besonders verbreitet bei Windows-Systemen.
Typische Nutzung:
- Windows-Server administrieren
- Terminalserver nutzen
- Remote-Arbeitsplatz
- grafische Programme aus der Ferne bedienen
Merksatz:
RDP = grafischer Fernzugriff.
RDP-Grundidee
Bei RDP wird eine grafische Sitzung über das Netzwerk übertragen.
Der Benutzer sieht:
Desktop
Fenster
Programme
Mauszeiger
Tastatureingaben
Die Anwendung läuft auf dem entfernten System.
Der Benutzer bedient sie aus der Ferne.
Merksatz:
RDP überträgt eine entfernte Benutzeroberfläche.
RDP-Client und RDP-Server
RDP-Client:
startet die Verbindung
RDP-Server:
nimmt Remote-Desktop-Verbindungen an
Beispiel:
Benutzer startet Remote Desktop Client.
Client verbindet sich zu Windows-Server.
Server zeigt grafische Sitzung.
Merksatz:
RDP-Client verbindet sich zum RDP-Server.
RDP und Benutzeranmeldung
Für RDP wird normalerweise ein Benutzerkonto benötigt.
Dabei können relevant sein:
- Benutzername
- Passwort
- Domänenkonto
- lokale Benutzergruppe
- Remote-Desktop-Berechtigung
- Multi-Faktor-Authentifizierung
- Richtlinien
Nicht jeder Benutzer darf sich automatisch per RDP anmelden.
Merksatz:
RDP braucht Anmeldung und passende Berechtigung.
RDP und Sicherheit
RDP sollte besonders sorgfältig abgesichert werden.
Warum?
RDP ist ein beliebtes Ziel für Angriffe,
besonders wenn es direkt aus dem Internet erreichbar ist.
Risiken:
- Brute-Force-Angriffe
- gestohlene Zugangsdaten
- ungepatchte Schwachstellen
- Ransomware-Angriffe
- unberechtigter Zugriff
Merksatz:
RDP niemals leichtfertig ins Internet öffnen.
RDP sicher betreiben
Sinnvolle Maßnahmen:
- Zugriff nur über VPN
- Remote Desktop Gateway nutzen
- starke Passwörter
- Multi-Faktor-Authentifizierung
- Network Level Authentication aktivieren
- Firewall-Regeln einschränken
- nur notwendige Benutzer erlauben
- Logs überwachen
- Systeme aktuell halten
- Kontosperrungsrichtlinien nutzen
Merksatz:
RDP nur geschützt und kontrolliert bereitstellen.
Network Level Authentication
Network Level Authentication wird kurz genannt:
NLA
NLA verlangt,
dass sich der Benutzer bereits vor dem vollständigen Aufbau der grafischen Sitzung authentifiziert.
Vorteil:
weniger Angriffsfläche
bessere Absicherung vor unerwünschten Sitzungsaufbauten
Merksatz:
NLA verbessert die Sicherheit bei RDP.
Remote Desktop Gateway
Ein Remote Desktop Gateway stellt RDP nicht direkt offen bereit,
sondern vermittelt den Zugriff über einen Gateway-Dienst.
Vorteile:
- zentraler Zugriffspunkt
- bessere Kontrolle
- Authentifizierung
- Protokollierung
- Zugriff über HTTPS möglich
- weniger direkte RDP-Exposition
Merksatz:
RD Gateway schützt und bündelt RDP-Zugriffe.
RDP und VPN
Ein VPN kann verwendet werden,
damit RDP nur intern erreichbar ist.
Ablauf:
Benutzer baut VPN auf.
Benutzer greift per RDP auf internes System zu.
Vorteil:
RDP-Port muss nicht direkt öffentlich erreichbar sein.
Merksatz:
RDP besser über VPN als direkt aus dem Internet.
Typische RDP-Fehler
Typische Fehler sind:
- TCP 3389 blockiert
- Remote Desktop deaktiviert
- Benutzer nicht berechtigt
- falsches Passwort
- Konto gesperrt
- NLA-Problem
- Lizenzproblem bei Terminalserver
- Firewall blockiert
- DNS-Name falsch
- Zielsystem ausgeschaltet
- maximale Sitzungsanzahl erreicht
Merksatz:
RDP-Fehler mit Erreichbarkeit,
Dienst,
Anmeldung
und Berechtigung prüfen.
Fehlerbild: RDP verbindet nicht
Mögliche Ursachen:
- Zielsystem offline
- falscher Hostname
- DNS falsch
- TCP 3389 blockiert
- Remote Desktop nicht aktiviert
- Firewall blockiert
- VPN nicht verbunden
- NAT oder Portweiterleitung falsch
Merksatz:
RDP-Verbindungsfehler zuerst mit Netzwerk und Port prüfen.
Fehlerbild: RDP Anmeldung wird abgelehnt
Mögliche Ursachen:
- Benutzername falsch
- Passwort falsch
- Benutzer nicht in erlaubter Gruppe
- Konto gesperrt
- Passwort abgelaufen
- Anmeldung per RDP verboten
- NLA-Kompatibilitätsproblem
- Domänencontroller nicht erreichbar
Merksatz:
RDP-Anmeldefehler mit Konto und Berechtigung prüfen.
Fehlerbild: RDP ist langsam
Mögliche Ursachen:
- geringe Bandbreite
- hohe Latenz
- Paketverlust
- hohe Bildschirmauflösung
- viele Grafikeffekte
- Drucker- oder Laufwerksumleitung
- Server überlastet
- VPN langsam
Merksatz:
RDP-Leistung hängt von Netzwerk,
Grafik
und Serverlast ab.
Telnet
Telnet ist ein älteres Protokoll für Fernzugriff auf eine Kommandozeile.
Typischer Port:
TCP 23
Problem:
Telnet ist unverschlüsselt.
Das bedeutet:
Benutzername,
Passwort
und Befehle
können im Klartext übertragen werden.
Merksatz:
Telnet ist unsicher,
weil es unverschlüsselt überträgt.
Warum Telnet heute vermeiden?
Telnet sollte für Administration möglichst nicht mehr verwendet werden.
Gründe:
- keine Verschlüsselung
- Passwörter im Klartext
- Befehle im Klartext
- leicht mitzulesen
- keine moderne Sicherheit
- hohes Risiko in unsicheren Netzwerken
Bessere Alternative:
SSH
Merksatz:
Telnet durch SSH ersetzen.
Telnet als Testwerkzeug
Obwohl Telnet als Administrationsprotokoll unsicher ist,
wurde es früher oft als einfaches Testwerkzeug verwendet.
Beispiel:
Kann ich TCP-Port 25 erreichen?
Kann ich TCP-Port 80 erreichen?
Heute nutzt man dafür besser geeignete Werkzeuge.
Beispiele:
- nc
- Test-NetConnection
- openssl s_client
- curl
Merksatz:
Telnet nicht für sichere Administration verwenden.
SSH, RDP und Telnet vergleichen
Protokoll
Zweck
Port
Sicherheit
SSH
sichere Shell / Administration
TCP 22
verschlüsselt
RDP
grafischer Fernzugriff
TCP 3389
absichern, nicht offen ins Internet
Telnet
alte Shell / Fernzugriff
TCP 23
unverschlüsselt, vermeiden
Merksatz:
SSH für sichere Shell.
RDP für grafischen Zugriff.
Telnet vermeiden.
Remotezugriff und Authentifizierung
Remotezugriff braucht sichere Authentifizierung.
Möglichkeiten:
- Benutzername und Passwort
- SSH-Schlüssel
- Zertifikate
- Multi-Faktor-Authentifizierung
- Domänenkonto
- zentrale Identitätsdienste
Wichtig:
Je mächtiger der Zugriff,
desto stärker sollte die Absicherung sein.
Merksatz:
Fernzugriff braucht starke Authentifizierung.
Remotezugriff und Autorisierung
Nicht jeder angemeldete Benutzer darf automatisch alles.
Autorisierung bedeutet:
Welche Rechte hat der Benutzer?
Beispiele:
- darf sich per RDP anmelden
- darf sudo verwenden
- darf Server konfigurieren
- darf Dateien ändern
- darf Dienste neu starten
Merksatz:
Anmeldung ist nicht gleich Berechtigung.
Remotezugriff und Protokollierung
Remotezugriffe sollten protokolliert werden.
Wichtige Informationen:
- wer hat sich angemeldet
- wann wurde zugegriffen
- von welcher IP-Adresse
- welcher Dienst wurde genutzt
- war die Anmeldung erfolgreich
- welche Fehler sind aufgetreten
Logs helfen bei:
- Fehlersuche
- Sicherheitsanalyse
- Nachvollziehbarkeit
- Angriffserkennung
Merksatz:
Remotezugriffe müssen nachvollziehbar sein.
Remotezugriff und Firewall
Remotezugriffe sollten durch Firewalls eingeschränkt werden.
Beispiele:
SSH nur von Admin-Netz erlauben.
RDP nur über VPN erlauben.
Telnet blockieren.
Zugriff auf bestimmte IP-Adressen begrenzen.
Merksatz:
Remotezugriff nur für notwendige Quellen erlauben.
Remotezugriff und VPN
VPN ist eine wichtige Schutzmaßnahme für Remotezugriff.
Ablauf:
Benutzer verbindet sich per VPN ins interne Netz.
Danach nutzt er interne Dienste wie SSH oder RDP.
Vorteil:
Administrative Dienste müssen nicht direkt öffentlich erreichbar sein.
Merksatz:
VPN schützt interne Verwaltungszugänge.
Remotezugriff und Zero Trust
Zero Trust bedeutet vereinfacht:
keinem Zugriff automatisch vertrauen.
Auch interne Zugriffe werden geprüft.
Wichtige Prinzipien:
- Identität prüfen
- Gerät prüfen
- Rechte begrenzen
- Zugriff protokollieren
- nur notwendige Dienste freigeben
- MFA nutzen
Merksatz:
Zero Trust prüft jeden Zugriff bewusst.
Remotezugriff und Least Privilege
Auch beim Remotezugriff gilt:
nur notwendige Rechte vergeben.
Beispiel:
Ein Benutzer darf sich per SSH anmelden,
aber nicht automatisch Root-Rechte haben.
Oder:
Ein Support-Benutzer darf RDP nutzen,
aber keine Serverrollen ändern.
Merksatz:
Fernzugriff nur mit notwendigen Rechten erlauben.
Remotezugriff und Brute Force
Brute Force bedeutet:
Angreifer probiert viele Passwörter aus.
Besonders gefährdet:
öffentlich erreichbare SSH- oder RDP-Dienste.
Schutzmaßnahmen:
- starke Passwörter
- MFA
- Kontosperrung
- Fail2ban
- Rate Limiting
- VPN
- IP-Einschränkungen
- keine Standardbenutzer
Merksatz:
Öffentliche Remotezugänge sind Brute-Force-Ziele.
Remotezugriff und Updates
Remotezugriffsprotokolle und Zielsysteme müssen aktuell gehalten werden.
Warum?
Schwachstellen in Remotezugriffsdiensten können besonders kritisch sein.
Beispiele für Risiken:
- unautorisierter Zugriff
- Rechteausweitung
- Remote Code Execution
- Ransomware-Einstieg
Merksatz:
Remotezugriffsdienste müssen regelmäßig gepatcht werden.
Fehlersuche bei Remotezugriff
Eine sinnvolle Reihenfolge:
1. Zielname richtig?
2. DNS-Auflösung korrekt?
3. Ziel-IP erreichbar?
4. Richtiger Port erreichbar?
5. Dienst läuft?
6. Firewall erlaubt Zugriff?
7. Benutzer darf sich anmelden?
8. Authentifizierung korrekt?
9. Berechtigungen korrekt?
10. Logs prüfen.
Merksatz:
Remotezugriff nach DNS,
IP,
Port,
Dienst,
Anmeldung
und Rechten prüfen.
Typische Prüfpunkte nach Protokoll
Protokoll
Prüfpunkte
SSH
TCP 22, SSH-Dienst, Benutzer, Schlüssel, Host-Key, Firewall
RDP
TCP 3389, Remote Desktop aktiv, Benutzerrechte, NLA, VPN, Firewall
Telnet
TCP 23, Dienst aktiv, aber möglichst vermeiden
SFTP
TCP 22, SSH-Zugang, SFTP-Rechte
RD Gateway
HTTPS-Zugriff, Richtlinien, Zertifikat, Benutzerrechte
Merksatz:
Jedes Remoteprotokoll hat eigene typische Fehlerquellen.
Was Remotezugriffsprotokolle nicht machen
Remotezugriffsprotokolle machen nicht automatisch:
- Benutzer sicher berechtigen
- Angriffe verhindern
- Updates einspielen
- Logs auswerten
- MFA erzwingen
- Firewall korrekt konfigurieren
- unsichere Passwörter verhindern
- Datenschutz automatisch sicherstellen
Remotezugriff braucht immer ein Sicherheitskonzept.
Merksatz:
Remotezugriff ist mächtig
und muss bewusst abgesichert werden.
Einordnung in das OSI-Modell
Thema
Schicht
SSH
7
RDP
7
Telnet
7
SFTP
7 über SSH
TCP 22
4
TCP 23
4
TCP 3389
4
IP-Adresse
3
DNS-Name
7
Verschlüsselung bei SSH
Sicherheits-/Darstellungsbezug
Benutzeranmeldung
7
Merksatz:
SSH, RDP und Telnet sind Schicht-7-Protokolle,
ihre Ports liegen auf Schicht 4.
Typische Ports
Protokoll
Port
Zweck
SSH
TCP 22
sichere Shell / Administration
SFTP
TCP 22
Dateiübertragung über SSH
Telnet
TCP 23
alte unverschlüsselte Shell
RDP
TCP 3389
grafischer Fernzugriff
RD Gateway
TCP 443
RDP über Gateway / HTTPS
Merksatz:
SSH 22,
Telnet 23,
RDP 3389.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Wofür steht SSH?
- Wofür wird SSH verwendet?
- Welchen Port nutzt SSH typischerweise?
- Warum ist SSH sicherer als Telnet?
- Was ist ein SSH-Host-Key?
- Was ist SSH-Schlüsselauthentifizierung?
- Wofür steht RDP?
- Wofür wird RDP genutzt?
- Welchen Port nutzt RDP typischerweise?
- Warum sollte RDP nicht offen im Internet stehen?
- Was ist NLA?
- Wofür steht Telnet?
- Warum gilt Telnet als unsicher?
- Welche Sicherheitsmaßnahmen sind bei Remotezugriff sinnvoll?
- Wie grenzt man Remotezugriffsfehler systematisch ein?
Typische Prüfungsfallen
SSH gehört zu Schicht 7.
SSH nutzt typischerweise TCP 22.
SSH ist verschlüsselt.
SFTP läuft über SSH.
SSH-Host-Key identifiziert den Server.
Privater SSH-Schlüssel muss geheim bleiben.
RDP gehört zu Schicht 7.
RDP nutzt typischerweise TCP 3389.
RDP ist grafischer Fernzugriff.
RDP sollte nicht direkt offen ins Internet.
VPN oder RD Gateway sind bessere Schutzmaßnahmen.
NLA verbessert RDP-Sicherheit.
Telnet gehört zu Schicht 7.
Telnet nutzt typischerweise TCP 23.
Telnet ist unverschlüsselt.
Telnet sollte durch SSH ersetzt werden.
Port erreichbar heißt nicht automatisch:
Anmeldung erlaubt.
Anmeldung erfolgreich heißt nicht automatisch:
ausreichende Rechte vorhanden.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Remotezugriff
Zugriff auf ein entferntes System
Fernadministration
Verwaltung eines Systems aus der Ferne
SSH
Secure Shell
SSH-Client
startet SSH-Verbindung
SSH-Server
nimmt SSH-Verbindung an
Host-Key
identifiziert SSH-Server
SSH-Schlüssel
Schlüsselpaar zur Anmeldung
privater Schlüssel
geheimer Teil des Schlüssels
öffentlicher Schlüssel
Teil, der auf dem Server liegen darf
Passphrase
Schutz für privaten Schlüssel
SSH-Tunnel
verschlüsselte Weiterleitung über SSH
SFTP
Dateiübertragung über SSH
RDP
Remote Desktop Protocol
NLA
Network Level Authentication
RD Gateway
Gateway für RDP-Zugriffe
Telnet
altes unverschlüsseltes Fernzugriffsprotokoll
Brute Force
massenhaftes Ausprobieren von Passwörtern
Least Privilege
nur notwendige Rechte vergeben
MFA
Multi-Faktor-Authentifizierung
IHK-sichere Kurzformulierung
SSH, RDP und Telnet sind Protokolle der Anwendungsschicht für Remotezugriff und Fernadministration. SSH steht für Secure Shell, nutzt typischerweise TCP-Port 22 und ermöglicht verschlüsselten Zugriff auf eine Kommandozeile sowie Dateiübertragung über SFTP. RDP steht für Remote Desktop Protocol, nutzt typischerweise TCP-Port 3389 und ermöglicht grafischen Fernzugriff, besonders auf Windows-Systeme. Telnet nutzt typischerweise TCP-Port 23, überträgt Daten unverschlüsselt und sollte für Administration durch SSH ersetzt werden. Remotezugriffe müssen durch starke Authentifizierung, passende Berechtigungen, Firewall-Regeln, VPN oder Gateway-Lösungen und Protokollierung abgesichert werden.
Merksätze
Remotezugriff gehört zu Schicht 7.
SSH = Secure Shell.
SSH nutzt typischerweise TCP 22.
SSH ist verschlüsselt.
SSH dient sicherer Fernadministration.
SFTP läuft über SSH.
SSH-Host-Key identifiziert den Server.
Privater SSH-Schlüssel bleibt geheim.
RDP = Remote Desktop Protocol.
RDP nutzt typischerweise TCP 3389.
RDP = grafischer Fernzugriff.
RDP nicht direkt ungeschützt ins Internet öffnen.
RDP besser über VPN oder Gateway nutzen.
NLA verbessert RDP-Sicherheit.
Telnet nutzt typischerweise TCP 23.
Telnet ist unverschlüsselt.
Telnet durch SSH ersetzen.
Port offen heißt nicht:
Anmeldung erfolgreich.
Anmeldung erfolgreich heißt nicht:
ausreichende Rechte.
Remotezugriff braucht starke Authentifizierung.
Remotezugriff braucht Least Privilege.
Remotezugriff braucht Logs.
Remotezugriff braucht Firewall-Regeln.
Remotezugriff ist mächtig
und sicherheitskritisch.v
10.9 Authentifizierung, Autorisierung und Anwendungssicherheit
Authentifizierung und Autorisierung gehören zu den wichtigsten Sicherheitsgrundlagen auf der Anwendungsschicht.
Die Anwendungsschicht ist OSI-Schicht 7.
Hier arbeiten viele Dienste direkt mit Benutzern, Anmeldungen, Rollen, Rechten und Anwendungen.
Wichtige Begriffe sind:
- Authentifizierung
- Autorisierung
- Identität
- Benutzerkonto
- Passwort
- Token
- Session
- Rolle
- Rechte
- Multi-Faktor-Authentifizierung
- Single Sign-on
- Least Privilege
Merksatz:
Authentifizierung prüft,
wer jemand ist.
Autorisierung prüft,
was jemand darf.
Warum ist das wichtig?
Viele Netzwerkdienste müssen entscheiden:
Wer greift zu?
und:
Was darf diese Person oder dieses System tun?
Beispiele:
Benutzer meldet sich an einer Webanwendung an.
Administrator verbindet sich per SSH.
Mitarbeiter öffnet eine SMB-Freigabe.
Anwendung ruft eine API mit Token auf.
Benutzer meldet sich an einem E-Mail-Postfach an.
Client greift auf einen Verzeichnisdienst zu.
Ohne saubere Authentifizierung und Autorisierung können unberechtigte Zugriffe entstehen.
Merksatz:
Anmeldung allein reicht nicht.
Rechte müssen ebenfalls geprüft werden.
Authentifizierung
Authentifizierung bedeutet:
Die Identität wird überprüft.
Frage:
Wer bist du?
Beispiele:
- Benutzername und Passwort
- SSH-Schlüssel
- Zertifikat
- Smartcard
- Fingerabdruck
- Einmalcode
- Hardware-Token
- App-Bestätigung
Merksatz:
Authentifizierung = Identität prüfen.
Autorisierung
Autorisierung bedeutet:
Es wird geprüft,
welche Rechte eine authentifizierte Identität hat.
Frage:
Was darfst du?
Beispiele:
- Datei lesen
- Datei ändern
- Benutzer anlegen
- Server verwalten
- Adminbereich öffnen
- API-Daten abrufen
- Bestellung freigeben
- Konfiguration ändern
Merksatz:
Autorisierung = Rechte prüfen.
Authentifizierung und Autorisierung unterscheiden
Begriff
Frage
Beispiel
Authentifizierung
Wer bist du?
Benutzer meldet sich an
Autorisierung
Was darfst du?
Benutzer darf nur bestimmte Ordner öffnen
Beispiel:
Felix meldet sich erfolgreich an.
Das ist:
Authentifizierung
Danach prüft das System:
Darf Felix diese Datei löschen?
Das ist:
Autorisierung
Merksatz:
Erst Identität,
dann Rechte.
Typischer Fehler
Ein häufiger Denkfehler ist:
Wenn ein Benutzer angemeldet ist,
darf er automatisch alles.
Das ist falsch.
Ein Benutzer kann korrekt angemeldet sein,
aber trotzdem keine Berechtigung für eine bestimmte Aktion haben.
Beispiel:
Benutzer ist angemeldet,
darf aber keine Adminseite öffnen.
Merksatz:
Angemeldet bedeutet nicht automatisch berechtigt.
Identität
Eine Identität beschreibt,
wer eine Person, ein Dienst oder ein System ist.
Beispiele:
- Benutzerkonto
- Dienstkonto
- Computerobjekt
- API-Client
- Zertifikat
- SSH-Schlüssel
- Anwendungskonto
Identitäten müssen eindeutig verwaltet werden.
Merksatz:
Identität beschreibt,
wer oder was zugreift.
Benutzerkonto
Ein Benutzerkonto ist eine digitale Identität für eine Person.
Es enthält oft:
- Benutzername
- Kennwort-Hash
- Gruppenmitgliedschaften
- Profilinformationen
- Berechtigungen
- Status des Kontos
- Anmelderichtlinien
Benutzerkonten können lokal oder zentral verwaltet werden.
Beispiele:
- lokales Windows-Konto
- Active-Directory-Konto
- LDAP-Konto
- Cloud-Konto
- Anwendungskonto
Merksatz:
Benutzerkonto = digitale Identität eines Benutzers.
Dienstkonto
Ein Dienstkonto wird nicht direkt von einem normalen Benutzer verwendet,
sondern von einem Dienst oder einer Anwendung.
Beispiele:
- Datenbankzugriff einer Webanwendung
- Backup-Dienst
- Monitoring-Dienst
- LDAP-Abfragekonto
- API-Integration
Wichtig:
Dienstkonten sollten nur die Rechte haben,
die sie wirklich benötigen.
Merksatz:
Dienstkonto = Konto für einen Dienst,
nicht für normale Benutzerarbeit.
Passwort
Ein Passwort ist ein geheimer Nachweis,
mit dem sich ein Benutzer authentifizieren kann.
Sichere Passwörter sollten:
- ausreichend lang sein
- nicht leicht zu erraten sein
- nicht mehrfach verwendet werden
- nicht im Klartext gespeichert werden
- bei Verdacht geändert werden
Wichtig:
Länge ist oft wichtiger als komplizierte Sonderzeichen-Regeln.
Merksatz:
Passwort = geheimer Identitätsnachweis.
Passwort-Hash
Passwörter sollten nicht im Klartext gespeichert werden.
Stattdessen speichert man einen Passwort-Hash.
Ein Hash ist ein Einweg-Prüfwert.
Bei der Anmeldung wird das eingegebene Passwort erneut gehasht
und mit dem gespeicherten Hash verglichen.
Merksatz:
Passwörter nicht im Klartext speichern,
sondern sicher hashen.
Salt
Ein Salt ist ein zusätzlicher zufälliger Wert beim Passwort-Hashing.
Ziel:
gleiche Passwörter sollen nicht automatisch gleiche Hashes erzeugen.
Beispiel:
Zwei Benutzer haben dasselbe Passwort.
Durch unterschiedliche Salts entstehen trotzdem unterschiedliche Hashes.
Merksatz:
Salt schützt gegen einfache Hash-Vergleiche und vorberechnete Tabellen.
Multi-Faktor-Authentifizierung
Multi-Faktor-Authentifizierung wird kurz genannt:
MFA
Dabei werden mehrere Faktoren kombiniert.
Typische Faktoren:
Faktor
Beispiel
Wissen
Passwort
Besitz
Smartphone, Token, Smartcard
Sein
Fingerabdruck, Gesichtserkennung
Beispiel:
Passwort
plus
Einmalcode aus App
Merksatz:
MFA kombiniert mehrere Nachweise.
Warum ist MFA wichtig?
Wenn ein Passwort gestohlen wird,
kann ein Angreifer sich ohne zweiten Faktor nicht so einfach anmelden.
MFA schützt besonders bei:
- Cloud-Konten
- VPN-Zugängen
- Admin-Konten
- E-Mail-Konten
- Remotezugriff
- kritischen Anwendungen
Merksatz:
MFA reduziert das Risiko durch gestohlene Passwörter.
Einmalpasswort
Ein Einmalpasswort wird auch genannt:
OTP
OTP steht für:
One-Time Password
Es ist nur einmal oder nur kurzzeitig gültig.
Beispiele:
- Code aus Authenticator-App
- Hardware-Token
- SMS-Code
- E-Mail-Code
Merksatz:
OTP = zeitlich oder einmalig gültiger Code.
Token
Ein Token ist ein digitaler Nachweis für Zugriff.
Ein Token kann enthalten:
- Benutzerinformationen
- Ablaufzeit
- Berechtigungen
- Aussteller
- Signatur
- Sitzungsbezug
Tokens werden häufig bei Webanwendungen und APIs verwendet.
Merksatz:
Token = digitaler Zugriffsnachweis.
Bearer Token
Ein Bearer Token wird häufig bei APIs genutzt.
Er wird oft im HTTP-Header übertragen:
Authorization: Bearer
Wichtig:
Wer den Bearer Token besitzt,
kann ihn oft verwenden.
Deshalb muss er wie ein Passwort geschützt werden.
Merksatz:
Bearer Token wie ein Passwort behandeln.
Session
Eine Session ist eine Sitzung zwischen Client und Anwendung.
Beispiel:
Benutzer meldet sich an.
Server erstellt Session.
Browser erhält Session-Cookie.
Weitere Anfragen werden dieser Session zugeordnet.
Sessions helfen,
einen Benutzer über mehrere Anfragen hinweg wiederzuerkennen.
Merksatz:
Session verbindet mehrere Anfragen zu einer Sitzung.
Session-Cookie
Ein Session-Cookie enthält häufig eine Session-ID.
Der Browser sendet dieses Cookie bei weiteren Anfragen mit.
Dadurch weiß der Server:
Diese Anfrage gehört zu dieser Sitzung.
Wichtig:
Session-Cookies müssen geschützt werden.
Merksatz:
Session-Cookie hält die Anmeldung über mehrere Anfragen fest.
Sichere Cookie-Eigenschaften
Wichtige Cookie-Sicherheitsattribute:
Attribut
Bedeutung
Secure
Cookie nur über HTTPS senden
HttpOnly
Cookie nicht per JavaScript auslesbar
SameSite
Schutz gegen bestimmte Cross-Site-Angriffe
Expires / Max-Age
Ablaufzeit des Cookies
Merksatz:
Sichere Cookies schützen Sitzungen.
Session Hijacking
Session Hijacking bedeutet:
Ein Angreifer übernimmt eine gültige Sitzung.
Das kann passieren,
wenn ein Session-Cookie gestohlen wird.
Mögliche Ursachen:
- unsichere Verbindung
- XSS-Schwachstelle
- unsichere Cookies
- gestohlener Token
- Malware auf Client
- unsichere Speicherung
Merksatz:
Wer eine Session übernimmt,
kann oft wie der Benutzer handeln.
Session Timeout
Ein Session Timeout beendet eine Sitzung nach einer bestimmten Zeit.
Gründe:
- Schutz bei vergessener Abmeldung
- Begrenzung gestohlener Sessions
- Ressourcen sparen
- Sicherheitsrichtlinie erfüllen
Beispiel:
Benutzer ist 30 Minuten inaktiv.
Anwendung meldet ihn ab.
Merksatz:
Timeout begrenzt die Lebensdauer einer Sitzung.
Single Sign-on
Single Sign-on wird kurz genannt:
SSO
SSO bedeutet:
Ein Benutzer meldet sich einmal an
und kann danach mehrere Dienste nutzen.
Beispiele:
- Anmeldung über Microsoft Entra ID
- Anmeldung über Active Directory
- Anmeldung über Google Workspace
- Anmeldung über zentralen Identitätsanbieter
Vorteil:
weniger separate Passwörter
zentrale Verwaltung
bessere Benutzerfreundlichkeit
Merksatz:
SSO = einmal anmelden,
mehrere Dienste nutzen.
Identity Provider
Ein Identity Provider wird kurz genannt:
IdP
Ein IdP stellt Identitäten bereit und bestätigt Anmeldungen.
Beispiele:
- Active Directory
- Microsoft Entra ID
- Keycloak
- Okta
- Google Workspace
Eine Anwendung kann dem IdP vertrauen,
statt eigene Benutzer vollständig selbst zu verwalten.
Merksatz:
IdP bestätigt die Identität für Anwendungen.
Service Provider
Ein Service Provider ist die Anwendung oder der Dienst,
der Zugriff gewährt.
Beispiel:
Benutzer meldet sich über IdP an.
Webanwendung vertraut dem IdP.
Webanwendung lässt Benutzer hinein.
Merksatz:
Service Provider nutzt Identitätsinformationen vom IdP.
OAuth 2.0
OAuth 2.0 ist ein Autorisierungsframework.
Es wird häufig verwendet,
damit Anwendungen Zugriff auf bestimmte Ressourcen erhalten können,
ohne direkt das Passwort des Benutzers zu kennen.
Beispiel:
Eine App darf auf Kalenderdaten zugreifen,
aber nicht auf das Passwort des Benutzers.
Merksatz:
OAuth 2.0 regelt delegierten Zugriff.
OpenID Connect
OpenID Connect baut auf OAuth 2.0 auf.
Es wird für Authentifizierung verwendet.
Kurz:
OAuth 2.0:
Zugriff erlauben
OpenID Connect:
Identität bestätigen
Merksatz:
OpenID Connect ergänzt OAuth um Anmeldung und Identität.
SAML
SAML steht für:
Security Assertion Markup Language
SAML wird häufig für Single Sign-on in Unternehmen verwendet.
Dabei tauschen Identitätsanbieter und Anwendung Anmeldeinformationen aus.
Typisch bei:
- Unternehmensanwendungen
- Cloud-Diensten
- älteren SSO-Umgebungen
Merksatz:
SAML ist ein verbreiteter SSO-Standard.
Rollen
Rollen bündeln Berechtigungen.
Beispiele:
- Benutzer
- Administrator
- Support
- Prüfer
- Projektleitung
- Gast
Ein Benutzer erhält eine Rolle,
und die Rolle enthält Rechte.
Merksatz:
Rolle = Sammlung von Berechtigungen.
Rechte
Rechte beschreiben konkrete erlaubte Aktionen.
Beispiele:
- lesen
- schreiben
- ändern
- löschen
- ausführen
- freigeben
- verwalten
- Benutzer anlegen
Merksatz:
Recht = konkrete erlaubte Aktion.
Gruppen
Gruppen bündeln Benutzer.
Beispiel:
Gruppe:
IT-Support
Mitglieder:
Felix
Maria
Jonas
Rechte werden häufig Gruppen zugewiesen,
nicht einzelnen Benutzern.
Vorteil:
einfacher zu verwalten
übersichtlicher
weniger Fehler
Merksatz:
Benutzer in Gruppen,
Rechte an Gruppen.
RBAC
RBAC steht für:
Role-Based Access Control
Das bedeutet:
Zugriff wird über Rollen gesteuert.
Beispiel:
Rolle Administrator:
darf Benutzer verwalten
Rolle Leser:
darf Inhalte lesen
Rolle Bearbeiter:
darf Inhalte ändern
Merksatz:
RBAC = Rechte über Rollen verwalten.
Least Privilege
Least Privilege bedeutet:
Benutzer und Dienste erhalten nur die Rechte,
die sie wirklich benötigen.
Beispiel:
Ein Dienst braucht nur Leserechte.
Dann bekommt er keine Schreibrechte.
Ziel:
Schaden begrenzen,
falls ein Konto missbraucht wird.
Merksatz:
Nur so viele Rechte wie nötig,
so wenige wie möglich.
Need-to-know-Prinzip
Need-to-know bedeutet:
Zugriff nur auf Informationen,
die für die Aufgabe benötigt werden.
Beispiel:
Personalabteilung darf Personaldaten sehen.
Andere Abteilungen nicht.
Merksatz:
Zugriff nur,
wenn er fachlich notwendig ist.
Privileged Access
Privileged Access bedeutet:
besonders mächtiger Zugriff.
Beispiele:
- Administratorrechte
- Domain-Admin
- Root-Zugriff
- Datenbankadministrator
- Cloud-Administrator
- Firewall-Administrator
Solche Zugriffe müssen besonders geschützt werden.
Merksatz:
Adminrechte sind besonders kritisch.
Schutz für Admin-Konten
Admin-Konten sollten besonders abgesichert werden.
Maßnahmen:
- MFA
- getrennte Admin-Konten
- kein tägliches Arbeiten mit Admin-Konto
- starke Protokollierung
- Zugriffsbeschränkung
- Least Privilege
- regelmäßige Prüfung
- keine geteilten Konten
Merksatz:
Admin-Konten besonders schützen und überwachen.
Geteilte Konten
Geteilte Konten sind Konten,
die von mehreren Personen genutzt werden.
Problem:
Aktionen sind schwer einer Person zuzuordnen.
Beispiel:
Alle nutzen admin.
Besser:
persönliche Konten
plus
gezielte Adminrechte
Merksatz:
Geteilte Konten vermeiden,
weil Nachvollziehbarkeit fehlt.
Protokollierung
Sicherheitsrelevante Anmeldungen und Zugriffe sollten protokolliert werden.
Wichtige Informationen:
- Benutzer
- Zeitpunkt
- Quelle
- Zielsystem
- erfolgreiche Anmeldung
- fehlgeschlagene Anmeldung
- Rechteänderung
- kritische Aktion
Merksatz:
Ohne Logs keine saubere Nachvollziehbarkeit.
Brute-Force-Angriff
Brute Force bedeutet:
viele Passwörter werden ausprobiert.
Ziel:
ein gültiges Passwort finden.
Gefährdet sind besonders:
- Weblogin
- SSH
- RDP
- VPN
- E-Mail
- Cloud-Konten
Schutzmaßnahmen:
- MFA
- Kontosperrung
- Rate Limiting
- starke Passwörter
- Monitoring
- IP-Beschränkung
- Fail2ban
Merksatz:
Brute Force wird durch Begrenzung und MFA erschwert.
Phishing
Phishing bedeutet:
Benutzer werden getäuscht,
um Zugangsdaten oder Tokens preiszugeben.
Beispiele:
- gefälschte Login-Seite
- angebliche Passwortänderung
- falsche Paketbenachrichtigung
- gefälschte Rechnung
- angeblicher IT-Support
Schutzmaßnahmen:
- Schulung
- MFA
- sichere Mailfilter
- Domainprüfung
- Passwortmanager
- Meldewege für verdächtige Mails
Merksatz:
Phishing greift den Menschen und die Anmeldung an.
Credential Stuffing
Credential Stuffing bedeutet:
Angreifer verwenden bekannte Zugangsdaten aus Datenlecks
bei anderen Diensten erneut.
Problem:
Viele Benutzer verwenden gleiche Passwörter mehrfach.
Schutzmaßnahmen:
- keine Passwortwiederverwendung
- MFA
- Passwortmanager
- Überwachung verdächtiger Logins
Merksatz:
Wiederverwendete Passwörter sind ein großes Risiko.
Passwortspraying
Beim Passwortspraying probiert ein Angreifer ein häufiges Passwort
gegen viele Benutzerkonten.
Beispiel:
Sommer2026!
gegen viele Konten.
Ziel:
Kontosperrungen vermeiden,
aber trotzdem Treffer finden.
Merksatz:
Passwortspraying testet wenige Passwörter gegen viele Konten.
Account Lockout
Account Lockout bedeutet:
Ein Konto wird nach mehreren Fehlversuchen gesperrt.
Ziel:
Brute-Force-Angriffe erschweren.
Wichtig:
Sperrregeln müssen sinnvoll eingestellt sein,
damit Angriffe erschwert werden,
aber Benutzer nicht unnötig blockiert werden.
Merksatz:
Kontosperrung begrenzt Passwortversuche.
Rate Limiting
Rate Limiting begrenzt,
wie viele Anfragen in einer bestimmten Zeit erlaubt sind.
Beispiel:
maximal 5 Loginversuche pro Minute
Ziel:
automatisierte Angriffe erschweren
Merksatz:
Rate Limiting bremst massenhafte Versuche.
CAPTCHA
CAPTCHA soll prüfen,
ob ein Benutzer wahrscheinlich ein Mensch ist.
Typische Nutzung:
- Login
- Registrierung
- Formular
- Passwortzurücksetzung
CAPTCHA kann automatisierte Angriffe erschweren,
ersetzt aber keine starke Authentifizierung.
Merksatz:
CAPTCHA erschwert Bots,
ersetzt aber keine Sicherheit.
Passwortmanager
Ein Passwortmanager speichert Passwörter verschlüsselt.
Vorteile:
- lange zufällige Passwörter
- weniger Passwortwiederverwendung
- einfacheres Verwalten vieler Konten
- Schutz vor Tippfehlern
- teilweise Schutz gegen Phishing durch Domainprüfung
Merksatz:
Passwortmanager helfen bei starken eindeutigen Passwörtern.
Sichere Passwortregeln
Sinnvolle Regeln:
- lange Passwörter erlauben
- Passwortmanager unterstützen
- bekannte kompromittierte Passwörter blockieren
- MFA nutzen
- keine unnötig kurzen Ablaufintervalle ohne Grund
- Passwortwiederverwendung vermeiden
Merksatz:
Lange eindeutige Passwörter plus MFA sind sehr stark.
Anwendungssicherheit
Anwendungssicherheit bedeutet:
Anwendungen so entwickeln,
konfigurieren und betreiben,
dass Missbrauch erschwert wird.
Typische Themen:
- sichere Anmeldung
- Rechteprüfung
- Eingabevalidierung
- Schutz vor SQL-Injection
- Schutz vor XSS
- sichere Sessions
- sichere APIs
- Logging
- Updates
- sichere Konfiguration
Merksatz:
Anwendungssicherheit schützt Dienste auf Schicht 7.
SQL-Injection
SQL-Injection ist ein Angriff,
bei dem schädliche Daten in eine Datenbankabfrage eingeschleust werden.
Beispiel sinngemäß:
Eingabefeld wird nicht geprüft.
Angreifer fügt SQL-Befehl ein.
Datenbank führt unerwünschte Abfrage aus.
Schutzmaßnahmen:
- parametrisierte Abfragen
- Eingabevalidierung
- minimale Datenbankrechte
- Fehlermeldungen nicht offenlegen
Merksatz:
SQL-Injection nutzt unsichere Datenbankeingaben aus.
Cross-Site Scripting
Cross-Site Scripting wird kurz genannt:
XSS
Dabei wird schädlicher Code in eine Webseite eingeschleust.
Ziel:
im Browser anderer Benutzer ausgeführt werden.
Mögliche Folgen:
- Session-Cookie stehlen
- Inhalte manipulieren
- Benutzeraktionen auslösen
- Phishing innerhalb der Anwendung
Schutzmaßnahmen:
- Ausgaben korrekt escapen
- Eingaben prüfen
- Content Security Policy
- HttpOnly-Cookies
- sichere Frameworks nutzen
Merksatz:
XSS greift Benutzer über die Webseite an.
CSRF
CSRF steht für:
Cross-Site Request Forgery
Dabei wird ein angemeldeter Benutzer dazu gebracht,
unbeabsichtigt eine Aktion in einer Webanwendung auszuführen.
Beispiel:
Benutzer ist angemeldet.
Angreifer bringt Browser dazu,
eine unerwünschte Anfrage zu senden.
Schutzmaßnahmen:
- CSRF-Token
- SameSite-Cookies
- Prüfung von Origin oder Referer
- kritische Aktionen bestätigen lassen
Merksatz:
CSRF missbraucht eine bestehende Anmeldung.
Unsichere direkte Objektreferenz
Eine unsichere direkte Objektreferenz entsteht,
wenn eine Anwendung nur eine ID prüft,
aber nicht die Berechtigung.
Beispiel:
/rechnung/1001
Benutzer ändert URL zu:
/rechnung/1002
Wenn die Anwendung nicht prüft,
ob Benutzer Rechnung 1002 sehen darf,
entsteht ein Sicherheitsproblem.
Merksatz:
Jede Ressource braucht Berechtigungsprüfung.
Sichere APIs
APIs müssen besonders sauber geschützt werden.
Wichtige Punkte:
- Authentifizierung
- Autorisierung
- sichere Tokens
- HTTPS
- Rate Limiting
- Eingabevalidierung
- saubere Fehlercodes
- keine geheimen Daten in Antworten
- Logging
- Versionierung
Merksatz:
API-Sicherheit ist Anwendungssicherheit auf Schnittstellenebene.
Fehlermeldungen
Fehlermeldungen sollten hilfreich,
aber nicht zu verräterisch sein.
Schlecht:
Datenbankfehler mit Tabellenname und SQL-Abfrage wird angezeigt.
Besser:
Allgemeine Fehlermeldung für Benutzer.
Details nur im geschützten Serverlog.
Merksatz:
Interne Details gehören in Logs,
nicht in öffentliche Fehlermeldungen.
Updates und Patches
Anwendungen und Abhängigkeiten müssen aktuell gehalten werden.
Risiken bei veralteter Software:
- bekannte Schwachstellen
- unsichere Bibliotheken
- veraltete Authentifizierungsverfahren
- fehlende Sicherheitsupdates
- Angriffe über bekannte Exploits
Merksatz:
Veraltete Anwendungen sind ein Sicherheitsrisiko.
Sichere Konfiguration
Auch sichere Software kann unsicher betrieben werden,
wenn sie falsch konfiguriert ist.
Beispiele:
- Standardpasswörter
- Debug-Modus aktiv
- offene Adminbereiche
- zu viele Rechte
- unsichere CORS-Regeln
- veraltete TLS-Versionen
- unnötige Dienste aktiv
- Verzeichnislisting aktiv
Merksatz:
Falsche Konfiguration kann sichere Software unsicher machen.
Fehlersuche bei Anmeldung und Rechten
Eine sinnvolle Reihenfolge:
1. Benutzer existiert?
2. Passwort oder Schlüssel korrekt?
3. Konto aktiv?
4. MFA korrekt?
5. Gruppe oder Rolle vorhanden?
6. Rechte korrekt?
7. Session oder Token gültig?
8. Zeit korrekt?
9. Dienst erreichbar?
10. Logs prüfen.
Merksatz:
Bei Loginproblemen Identität,
Faktor,
Rolle
und Logs prüfen.
Fehlerbild: Anmeldung schlägt fehl
Mögliche Ursachen:
- falsches Passwort
- Benutzername falsch
- Konto gesperrt
- Konto deaktiviert
- Passwort abgelaufen
- MFA fehlt
- falscher Identity Provider
- LDAP oder AD nicht erreichbar
- Zeitabweichung
- Token ungültig
Merksatz:
Loginfehler sind nicht immer nur Passwortfehler.
Fehlerbild: Zugriff verweigert
Mögliche Ursachen:
- Benutzer ist nicht in richtiger Gruppe
- Rolle fehlt
- Berechtigung fehlt
- Ressource gehört anderem Benutzer
- Richtlinie blockiert
- Token enthält falsche Rechte
- Anwendung prüft Rechte fehlerhaft
- alte Session enthält alte Rechte
Merksatz:
Zugriff verweigert = Autorisierung prüfen.
Fehlerbild: Benutzer ist angemeldet, sieht aber nichts
Mögliche Ursachen:
- keine Gruppenmitgliedschaft
- falsche Rolle
- fehlende Lizenz
- falscher Mandant
- Berechtigungen nicht synchronisiert
- Anwendung filtert Daten nach Rechten
- Session muss erneuert werden
Merksatz:
Erfolgreiche Anmeldung bedeutet noch keine sichtbaren Berechtigungen.
Fehlerbild: MFA funktioniert nicht
Mögliche Ursachen:
- falsches Gerät registriert
- Uhrzeit falsch
- Token abgelaufen
- Benutzer hat neues Smartphone
- Push-Benachrichtigung blockiert
- Konto nicht korrekt für MFA registriert
- Netzwerkverbindung fehlt
Merksatz:
MFA-Probleme mit Gerät,
Zeit,
Registrierung
und Konto prüfen.
Fehlerbild: Token abgelaufen
Mögliche Ursachen:
- Ablaufzeit erreicht
- Benutzer wurde abgemeldet
- Refresh Token ungültig
- Systemzeit falsch
- Token wurde widerrufen
- Session wurde beendet
Merksatz:
Tokens haben Lebensdauer und können widerrufen werden.
Einordnung in das OSI-Modell
Thema
Schicht
Loginformular
7
API-Token
7
Session-Cookie
7 mit Schicht-5-Bezug
LDAP-Anmeldung
7
OAuth / OpenID Connect
7
SAML
7
TLS-Schutz
6 mit Schicht-7-Bezug
TCP-Port
4
IP-Adresse
3
Benutzerrechte
7 / Anwendungsebene
Merksatz:
Anmeldung und Rechte sind typische Schicht-7-Themen.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was bedeutet Authentifizierung?
- Was bedeutet Autorisierung?
- Was ist der Unterschied zwischen Authentifizierung und Autorisierung?
- Was ist MFA?
- Warum ist MFA sinnvoll?
- Was ist ein Token?
- Was ist eine Session?
- Was ist ein Session-Cookie?
- Was bedeutet Single Sign-on?
- Was ist ein Identity Provider?
- Was ist Least Privilege?
- Warum sollten Rechte über Gruppen vergeben werden?
- Warum sind geteilte Admin-Konten problematisch?
- Was ist Brute Force?
- Was ist Phishing?
- Was ist SQL-Injection?
- Was ist XSS?
- Warum sind sichere Fehlermeldungen wichtig?
Typische Prüfungsfallen
Authentifizierung ist nicht Autorisierung.
Anmeldung bedeutet nicht automatisch Zugriff.
Rechte müssen pro Ressource geprüft werden.
MFA erhöht die Sicherheit deutlich.
Token müssen wie Passwörter geschützt werden.
Session-Cookies müssen sicher gesetzt werden.
HTTPS ist wichtig für Login und Tokens.
Bearer Token kann von jedem genutzt werden,
der ihn besitzt.
Geteilte Konten erschweren Nachvollziehbarkeit.
Adminrechte besonders schützen.
Least Privilege immer beachten.
Gruppen erleichtern Rechteverwaltung.
Phishing greift oft Zugangsdaten an.
SQL-Injection betrifft unsichere Datenbankeingaben.
XSS betrifft unsichere Ausgaben im Browser.
CSRF missbraucht bestehende Sitzungen.
Fehlermeldungen dürfen keine internen Details verraten.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Authentifizierung
Identität prüfen
Autorisierung
Rechte prüfen
Identität
Benutzer, Dienst oder System
Benutzerkonto
digitale Identität eines Benutzers
Dienstkonto
Konto für Anwendungen oder Dienste
Passwort
geheimer Identitätsnachweis
Passwort-Hash
Einweg-Prüfwert eines Passworts
Salt
zusätzlicher Zufallswert beim Hashing
MFA
Multi-Faktor-Authentifizierung
OTP
Einmalpasswort
Token
digitaler Zugriffsnachweis
Bearer Token
nutzbarer Zugriffstoken
Session
Sitzung zwischen Client und Anwendung
Session-Cookie
Cookie zur Sitzungszuordnung
SSO
Single Sign-on
IdP
Identity Provider
RBAC
rollenbasierte Zugriffskontrolle
Least Privilege
nur notwendige Rechte
Brute Force
massenhaftes Passwortprobieren
Phishing
Täuschung zur Datenerbeutung
SQL-Injection
Einschleusen von SQL-Befehlen
XSS
Einschleusen von Code in Webseiten
CSRF
Missbrauch bestehender Anmeldung
IHK-sichere Kurzformulierung
Authentifizierung und Autorisierung sind zentrale Sicherheitskonzepte auf der Anwendungsschicht. Authentifizierung prüft die Identität eines Benutzers, Dienstes oder Systems. Autorisierung prüft anschließend, welche Rechte diese Identität besitzt. Eine erfolgreiche Anmeldung bedeutet daher nicht automatisch, dass ein Benutzer alle Aktionen durchführen darf. Multi-Faktor-Authentifizierung erhöht die Sicherheit, weil neben dem Passwort ein weiterer Faktor benötigt wird. Rechte sollten möglichst über Gruppen oder Rollen vergeben werden und dem Least-Privilege-Prinzip folgen. Tokens, Session-Cookies und Passwörter müssen geschützt werden, da sie Zugriff auf Anwendungen und Dienste ermöglichen können.
Merksätze
Authentifizierung = Wer bist du?
Autorisierung = Was darfst du?
Erst Identität,
dann Rechte.
Anmeldung ist nicht gleich Berechtigung.
Benutzerkonto = digitale Identität.
Dienstkonto = Konto für Dienste.
Passwörter nicht im Klartext speichern.
Passwort-Hash schützt gespeicherte Passwörter.
Salt macht Hashes robuster.
MFA kombiniert mehrere Faktoren.
OTP = Einmalpasswort.
Token = digitaler Zugriffsnachweis.
Bearer Token wie Passwort schützen.
Session verbindet mehrere Anfragen.
Session-Cookie schützt Anmeldung.
Secure,
HttpOnly
und SameSite schützen Cookies.
SSO = einmal anmelden,
mehrere Dienste nutzen.
IdP bestätigt Identität.
OAuth regelt delegierten Zugriff.
OpenID Connect ergänzt Anmeldung.
RBAC verwaltet Rechte über Rollen.
Least Privilege = nur notwendige Rechte.
Admin-Konten besonders schützen.
Geteilte Konten vermeiden.
Brute Force probiert Passwörter.
Phishing täuscht Benutzer.
SQL-Injection nutzt unsichere Eingaben.
XSS greift Benutzer im Browser an.
CSRF missbraucht bestehende Sitzungen.
Anwendungssicherheit ist Schicht-7-Sicherheit.
10.10 Fehlersuche auf OSI-Schicht 7
OSI-Schicht 7 ist die Anwendungsschicht.
Auf dieser Schicht prüft man nicht mehr nur:
Kommt eine Verbindung zustande?
Sondern zusätzlich:
Funktioniert der konkrete Dienst?
Antwortet die Anwendung korrekt?
Stimmen Anmeldung, Rechte, Daten und Protokoll?
Typische Schicht-7-Dienste sind:
- HTTP / HTTPS
- DNS
- DHCP
- SMTP
- IMAP
- POP3
- FTP
- SFTP
- SMB
- LDAP
- SNMP
- NTP
- SSH
- RDP
- APIs
Merksatz:
Schicht 7 prüft den Dienst,
nicht nur die Verbindung.
Grundidee der Schicht-7-Fehlersuche
Bei Schicht 7 geht es um die konkrete Anwendungskommunikation.
Ein Port kann erreichbar sein,
aber der Dienst kann trotzdem nicht richtig funktionieren.
Beispiel:
TCP 443 ist offen,
aber die Webseite zeigt HTTP 500.
Oder:
DNS-Server ist erreichbar,
aber der Name wird falsch aufgelöst.
Oder:
SMB-Port 445 ist erreichbar,
aber der Benutzer hat keine Berechtigung.
Merksatz:
Offener Port bedeutet nicht automatisch:
Anwendung funktioniert.
Schicht 7 erst prüfen, wenn die unteren Schichten passen
Vor der Schicht-7-Fehlersuche sollte man prüfen:
Schicht 1:
physische Verbindung vorhanden?
Schicht 2:
richtige MAC-Kommunikation, VLAN, Switch?
Schicht 3:
IP-Adresse, Subnetz, Gateway, Routing?
Schicht 4:
TCP- oder UDP-Port erreichbar?
Erst danach prüft man genauer:
Dienst,
Protokoll,
Anmeldung,
Antwort,
Daten,
Rechte,
Logs.
Merksatz:
Erst unten prüfen,
dann oben analysieren.
Typische Abgrenzung nach Schichten
Fehlerbild
wahrscheinliche Schicht
Kein Link
1
Falsches VLAN
2
Kein Gateway erreichbar
3
Port nicht erreichbar
4
Zertifikatswarnung
6
HTTP 404 oder 500
7
Login funktioniert nicht
7
Zugriff verweigert
7
DNS löst falsch auf
7
Mail landet im Spam
7
API lehnt Anfrage ab
7
Merksatz:
Schicht-7-Fehler betreffen Inhalt,
Dienst,
Anmeldung
oder Berechtigung.
Wichtige Prüffragen auf Schicht 7
Bei Anwendungsschichtproblemen stellt man Fragen wie:
Läuft der Dienst?
Antwortet der Dienst korrekt?
Wird das richtige Protokoll verwendet?
Wird der richtige Hostname verwendet?
Ist die URL korrekt?
Ist die Anmeldung korrekt?
Hat der Benutzer die nötigen Rechte?
Sind Zertifikate gültig?
Stimmen Header, Methode und Datenformat?
Gibt es Logs?
Gibt es eine Fehlermeldung?
Betrifft es alle Benutzer oder nur einzelne?
Merksatz:
Schicht 7 fragt:
Was macht der Dienst genau?
Dienst läuft oder läuft nicht
Ein häufiger Fehler ist:
Netzwerk funktioniert,
aber Dienst läuft nicht.
Beispiele:
Webserver gestoppt
Datenbank nicht erreichbar
SSH-Dienst deaktiviert
Maildienst gestört
DNS-Dienst nicht gestartet
Backend-Container nicht aktiv
Anwendung abgestürzt
Typisches Fehlerbild:
Host erreichbar,
aber Dienst antwortet nicht richtig.
Merksatz:
Erreichbarer Server heißt nicht:
Dienst läuft.
Falsches Protokoll
Manchmal wird das falsche Protokoll verwendet.
Beispiele:
http:// statt https://
FTP statt SFTP
LDAP statt LDAPS
IMAP statt POP3
SMB-Pfad statt SFTP-Zugriff
HTTPS zum Backend,
obwohl Backend nur HTTP spricht
Merksatz:
Falsches Protokoll kann wie ein Verbindungsfehler aussehen.
Falscher Port
Ein Dienst kann auf einem anderen Port laufen als erwartet.
Beispiele:
Webserver läuft auf TCP 8080 statt TCP 80.
Adminoberfläche läuft auf TCP 8443 statt TCP 443.
SSH läuft auf anderem Port als TCP 22.
Anwendung läuft intern auf Port 3000,
extern aber über Reverse Proxy auf 443.
Merksatz:
Immer prüfen:
Welcher Dienst lauscht auf welchem Port?
Falscher Hostname
Bei vielen Diensten ist der Hostname wichtig.
Beispiele:
HTTPS-Zertifikat muss zum Hostnamen passen.
Reverse Proxy entscheidet über Host-Header.
Virtuelle Hosts liefern je nach Hostname andere Inhalte.
DNS kann intern und extern unterschiedlich auflösen.
Fehlerbild:
IP ist erreichbar,
aber falsche Webseite oder falsches Zertifikat erscheint.
Merksatz:
Hostname ist auf Schicht 7 oft entscheidend.
DNS-Fehler auf Schicht 7
DNS-Probleme sind typische Schicht-7-Probleme.
Fehlerbilder:
Name löst nicht auf.
Name löst auf falsche IP auf.
Interne und externe Antwort unterscheiden sich.
DNS-Cache ist veraltet.
MX-Record fehlt.
CNAME zeigt falsch.
AAAA-Record zeigt auf nicht erreichbares IPv6-Ziel.
Prüffragen:
Welcher DNS-Server wird gefragt?
Welche Antwort liefert er?
Ist die Antwort intern und extern gleich?
Ist der Cache noch aktiv?
Stimmt die TTL?
Merksatz:
IP geht,
Name nicht:
DNS prüfen.
HTTP-Fehler auf Schicht 7
Bei Webdiensten sind HTTP-Statuscodes sehr hilfreich.
Wichtige Beispiele:
Statuscode
Bedeutung
200
OK
301 / 302
Weiterleitung
400
fehlerhafte Anfrage
401
nicht authentifiziert
403
verboten
404
nicht gefunden
405
Methode nicht erlaubt
429
zu viele Anfragen
500
interner Serverfehler
502
Bad Gateway
503
Dienst nicht verfügbar
504
Gateway Timeout
Merksatz:
HTTP-Statuscodes sind wichtige Schicht-7-Hinweise.
401 und 403 bei der Fehlersuche
401 bedeutet:
Benutzer ist nicht authentifiziert.
Typische Ursachen:
- nicht angemeldet
- Token fehlt
- Token ungültig
- Session abgelaufen
- falsche Zugangsdaten
403 bedeutet:
Benutzer ist bekannt,
aber nicht berechtigt.
Typische Ursachen:
- Rolle fehlt
- Gruppe fehlt
- Zugriff verboten
- Richtlinie blockiert
- Ressource nicht erlaubt
Merksatz:
401 = Anmeldung fehlt.
403 = Rechte fehlen.
404 bei der Fehlersuche
404 bedeutet:
Ressource nicht gefunden.
Mögliche Ursachen:
- falscher Pfad
- falsche URL
- Route fehlt
- Datei existiert nicht
- Reverse Proxy leitet falsch weiter
- Anwendung erwartet anderen Basis-Pfad
- Tippfehler im Link
Merksatz:
404 heißt:
Unter diesem Pfad wurde nichts gefunden.
500 bei der Fehlersuche
500 bedeutet:
interner Serverfehler.
Mögliche Ursachen:
- Fehler in der Anwendung
- Datenbank nicht erreichbar
- Konfigurationsfehler
- fehlende Rechte
- Programmfehler
- Speicherproblem
- Abhängigkeit nicht verfügbar
Merksatz:
500 ist meist ein Problem der Anwendung oder des Servers.
502, 503 und 504 bei Reverse Proxys
Diese Fehler treten häufig bei Reverse Proxys auf.
Statuscode
typische Bedeutung
502
Proxy bekommt keine gültige Antwort vom Backend
503
Dienst aktuell nicht verfügbar
504
Gateway wartet zu lange auf Backend
Typische Ursachen:
- Backend läuft nicht
- falscher Backend-Port
- falsches Protokoll zum Backend
- Backend überlastet
- Timeout
- falscher Container-Name
- internes DNS-Problem
- Firewall blockiert intern
Merksatz:
Bei 502, 503 und 504 Proxy und Backend prüfen.
API-Fehler auf Schicht 7
APIs haben typische Fehlerquellen.
Prüfpunkte:
- richtige URL?
- richtige HTTP-Methode?
- richtiger Content-Type?
- gültiges JSON?
- Authorization-Header vorhanden?
- Token gültig?
- Berechtigung vorhanden?
- API-Version korrekt?
- Rate Limit erreicht?
- Pflichtfelder vorhanden?
Typische Fehler:
400 Bad Request
401 Unauthorized
403 Forbidden
404 Not Found
405 Method Not Allowed
429 Too Many Requests
500 Internal Server Error
Merksatz:
API-Fehler mit Methode,
Header,
Body,
Token
und Statuscode prüfen.
Datenformatfehler
Schicht 7 ist oft eng mit Schicht 6 verbunden.
Fehler können entstehen durch:
- ungültiges JSON
- ungültiges XML
- falscher Content-Type
- falsche Zeichencodierung
- fehlende Pflichtfelder
- falsches Datumsformat
- falscher Dezimaltrenner
- falsche Groß- und Kleinschreibung
- unerwartete Sonderzeichen
Merksatz:
Anwendung versteht Daten nur,
wenn Format und Inhalt passen.
Authentifizierungsfehler
Authentifizierung prüft:
Wer bist du?
Typische Fehler:
- falscher Benutzername
- falsches Passwort
- Konto gesperrt
- Konto deaktiviert
- Passwort abgelaufen
- MFA fehlt
- Token ungültig
- Zertifikat ungültig
- falscher Identity Provider
- Zeitabweichung
Merksatz:
Loginfehler sind nicht immer nur Passwortfehler.
Autorisierungsfehler
Autorisierung prüft:
Was darfst du?
Typische Fehler:
- Benutzer nicht in richtiger Gruppe
- Rolle fehlt
- Berechtigung fehlt
- Freigaberecht fehlt
- Dateisystemrecht fehlt
- API-Scope fehlt
- Richtlinie blockiert
- Mandant falsch
- alte Session enthält alte Rechte
Merksatz:
Zugriff verweigert bedeutet:
Rechte prüfen.
Session-Fehler
Sessions verbinden mehrere Anfragen zu einer Sitzung.
Typische Fehlerbilder:
Benutzer wird ständig ausgeloggt.
Login-Schleife.
Warenkorb wird vergessen.
Session läuft sofort ab.
Benutzer sieht falschen Zustand.
Zugriff funktioniert nur in einem Browser.
Mögliche Ursachen:
- Cookie wird blockiert
- Cookie-Domain falsch
- Cookie-Pfad falsch
- SameSite-Problem
- Secure-Flag fehlt oder passt nicht
- Zeitabweichung
- Session-Speicher gestört
- Load Balancer ohne Session-Stickiness
Merksatz:
Login-Schleifen sind oft Cookie- oder Session-Probleme.
TLS- und Zertifikatsfehler
Auch wenn TLS eher Schicht 6 zugeordnet wird,
wirkt es stark auf Schicht 7.
Typische Fehler:
- Zertifikat abgelaufen
- Name passt nicht
- CA nicht vertrauenswürdig
- Zwischenzertifikat fehlt
- falsche Systemzeit
- TLS-Version zu alt
- Cipher Suite passt nicht
- Reverse Proxy liefert falsches Zertifikat
Merksatz:
HTTPS-Probleme immer mit Zertifikat,
Name
und Zeit prüfen.
Mailprobleme auf Schicht 7
E-Mail nutzt mehrere Anwendungsschichtprotokolle.
Typische Fehlerbilder:
Mail kann nicht gesendet werden.
Mail kann nicht empfangen werden.
Mail landet im Spam.
Mail kommt verzögert an.
Mailclient kann sich nicht anmelden.
Zertifikatswarnung im Mailclient.
NDR wird erzeugt.
Prüfpunkte:
SMTP
IMAP
POP3
MX
SPF
DKIM
DMARC
TLS
Authentifizierung
Spamfilter
Postfachgröße
Mailserver-Logs
Merksatz:
Mailfehler mit Protokoll,
DNS,
Authentifizierung
und Logs prüfen.
SMB-Fehler auf Schicht 7
SMB wird für Datei- und Druckerfreigaben genutzt.
Typische Fehler:
Freigabe nicht erreichbar.
Zugriff verweigert.
Netzlaufwerk verbindet nicht.
Datei kann nicht gespeichert werden.
Datei ist gesperrt.
Benutzer sieht Freigabe nicht.
Prüfpunkte:
DNS-Name
TCP 445
SMB-Dienst
Freigabename
Benutzerkonto
Gruppe
Freigaberecht
Dateisystemrecht
gespeicherte Anmeldedaten
SMB-Version
Merksatz:
SMB-Fehler oft mit Name,
Port,
Anmeldung
und Rechten prüfen.
LDAP-Fehler auf Schicht 7
LDAP wird für Verzeichnisdienste genutzt.
Typische Fehler:
Benutzer wird nicht gefunden.
Anmeldung schlägt fehl.
Gruppen werden nicht erkannt.
Anwendung kann LDAP nicht verbinden.
LDAPS-Zertifikat wird abgelehnt.
Prüfpunkte:
LDAP-Server
Port 389 oder 636
Base-DN
Bind-Benutzer
Passwort
Suchfilter
Gruppenpfad
Zertifikat bei LDAPS
Firewall
DNS
Merksatz:
LDAP-Fehler mit Bind,
Base-DN,
Filter
und Zertifikat prüfen.
SNMP-Fehler auf Schicht 7
SNMP wird für Monitoring genutzt.
Typische Fehler:
Gerät wird als down angezeigt.
Werte werden nicht gelesen.
Interface-Daten fehlen.
Traps kommen nicht an.
Monitoring zeigt falsche Werte.
Prüfpunkte:
SNMP-Agent aktiv?
richtige SNMP-Version?
Community-String korrekt?
SNMPv3-Benutzer korrekt?
UDP 161 erlaubt?
UDP 162 für Traps erlaubt?
OID vorhanden?
MIB korrekt?
Zugriff vom Monitoring-Server erlaubt?
Merksatz:
SNMP-Fehler mit Version,
Zugangsdaten,
Port
und OID prüfen.
NTP-Fehler auf Schicht 7
NTP synchronisiert Zeit.
Typische Fehlerbilder:
Systemzeit falsch.
Zertifikate wirken ungültig.
Kerberos-Anmeldung schlägt fehl.
Logs passen zeitlich nicht zusammen.
Monitoring-Zeitstempel stimmen nicht.
Prüfpunkte:
NTP-Server erreichbar?
UDP 123 erlaubt?
DNS-Name des Zeitservers korrekt?
Zeitzone korrekt?
Zeitquelle vertrauenswürdig?
Zeitabweichung zu groß?
VM-Zeitquelle korrekt?
Merksatz:
Falsche Zeit kann viele scheinbar andere Fehler verursachen.
SSH-Fehler auf Schicht 7
SSH dient sicherem Fernzugriff.
Typische Fehler:
Timeout
Connection refused
Permission denied
Host-Key-Warnung
falscher Schlüssel
Benutzer darf nicht anmelden
Dienst läuft nicht
Prüfpunkte:
TCP 22 erreichbar?
SSH-Dienst aktiv?
richtiger Benutzer?
richtiger Schlüssel?
richtige Dateirechte?
Host-Key plausibel?
Firewall erlaubt Zugriff?
Loginmethode erlaubt?
Merksatz:
SSH-Fehler mit Port,
Dienst,
Benutzer,
Schlüssel
und Host-Key prüfen.
RDP-Fehler auf Schicht 7
RDP dient grafischem Fernzugriff.
Typische Fehler:
Verbindung nicht möglich.
Anmeldung abgelehnt.
RDP ist langsam.
Sitzung wird getrennt.
NLA-Fehler.
Benutzer hat keine Berechtigung.
Prüfpunkte:
TCP 3389 erreichbar?
Remote Desktop aktiviert?
Benutzer berechtigt?
NLA kompatibel?
VPN verbunden?
Firewall erlaubt Zugriff?
Konto gesperrt?
Server überlastet?
Merksatz:
RDP-Fehler mit Verbindung,
Anmeldung,
Berechtigung
und Richtlinien prüfen.
DHCP-Fehler auf Schicht 7
DHCP ist ein Anwendungsschichtprotokoll,
liefert aber Schicht-3-Konfiguration.
Typische Fehler:
Client bekommt keine IP.
Client bekommt falsche IP.
Client bekommt 169.254.x.x.
Gateway ist falsch.
DNS ist falsch.
Manche VLANs funktionieren nicht.
Prüfpunkte:
DHCP-Server aktiv?
DHCP-Scope vorhanden?
Adressen frei?
DHCP-Relay korrekt?
VLAN korrekt?
UDP 67/68 erlaubt?
Rogue-DHCP vorhanden?
DHCP-Optionen korrekt?
Merksatz:
DHCP-Fehler mit VLAN,
Scope,
Relay
und Optionen prüfen.
Logs sind auf Schicht 7 besonders wichtig
Auf Schicht 7 liefern Logs oft die beste Information.
Wichtige Logs:
- Webserver-Logs
- Anwendungslogs
- Authentifizierungslogs
- Mailserver-Logs
- DNS-Logs
- DHCP-Logs
- LDAP-Logs
- Reverse-Proxy-Logs
- Firewall-Logs
- Monitoring-Logs
- Systemlogs
Logs zeigen oft:
- Statuscode
- Fehlermeldung
- Benutzer
- Zeit
- Quelle
- Ziel
- Pfad
- angefragte Ressource
- Authentifizierungsgrund
- Backend-Fehler
Merksatz:
Ohne Logs bleibt Schicht-7-Fehlersuche oft ungenau.
Fehlermeldungen richtig lesen
Fehlermeldungen liefern wichtige Hinweise.
Beispiele:
Meldung
mögliche Bedeutung
Unauthorized
nicht angemeldet oder Token ungültig
Forbidden
keine Berechtigung
Not Found
Ressource oder Pfad fehlt
Bad Gateway
Proxy erreicht Backend nicht sauber
Connection refused
Dienst nimmt Verbindung nicht an
Timeout
keine Antwort innerhalb der Zeit
Invalid credentials
Zugangsdaten falsch
Certificate expired
Zertifikat abgelaufen
Name mismatch
Zertifikat passt nicht zum Namen
Merksatz:
Fehlermeldung nicht ignorieren,
sondern technisch einordnen.
Fehler nur bei einem Benutzer
Wenn ein Problem nur bei einem Benutzer auftritt,
prüft man eher:
- Benutzerkonto
- Passwort
- MFA
- Gruppenmitgliedschaften
- Rollen
- Berechtigungen
- Session
- gespeicherte Anmeldedaten
- Clientprofil
- Browsercache
- lokale Einstellungen
Merksatz:
Einzelner Benutzer betroffen:
Konto und Rechte prüfen.
Fehler bei allen Benutzern
Wenn alle Benutzer betroffen sind,
prüft man eher:
- Dienst läuft?
- Server erreichbar?
- DNS korrekt?
- Zertifikat gültig?
- Datenbank erreichbar?
- Backend verfügbar?
- zentrale Authentifizierung erreichbar?
- Reverse Proxy korrekt?
- Lizenz oder Ressourcenproblem?
- allgemeine Störung?
Merksatz:
Alle betroffen:
Dienst, Server oder zentrale Infrastruktur prüfen.
Fehler nur intern oder nur extern
Wenn ein Dienst intern funktioniert,
extern aber nicht,
prüft man:
- externes DNS
- Firewall
- NAT
- Reverse Proxy
- Zertifikat
- öffentliche IP
- Portweiterleitung
- Geo- oder Zugriffsbeschränkung
Wenn ein Dienst extern funktioniert,
intern aber nicht,
prüft man:
- internes DNS
- Split DNS
- Hairpin NAT
- interne Firewall
- Proxy-Einstellungen
- Routing intern
- Zertifikat und Hostname intern
Merksatz:
Intern und extern getrennt prüfen.
Fehler nur in einem Browser
Mögliche Ursachen:
- Browsercache
- Cookies
- gespeicherte Zugangsdaten
- Erweiterungen
- CORS-Verhalten
- alte Session
- Zertifikatsspeicher
- Proxy-Einstellungen
- HSTS-Eintrag
Merksatz:
Browserabhängige Fehler oft mit Cache,
Cookies
und Erweiterungen prüfen.
Fehler nur auf einem Client
Mögliche Ursachen:
- falsche DNS-Einstellung
- falsche Systemzeit
- veraltetes Zertifikat
- lokale Firewall
- Proxy-Einstellung
- VPN aktiv oder inaktiv
- falsche gespeicherte Anmeldedaten
- veraltete Anwendung
- defektes Profil
Merksatz:
Einzelner Client betroffen:
lokale Einstellungen prüfen.
Fehler nach Änderung
Nach Änderungen prüft man zuerst,
was geändert wurde.
Beispiele:
DNS geändert
Zertifikat erneuert
Passwort geändert
Gruppe geändert
Firewall angepasst
Anwendung aktualisiert
Reverse Proxy geändert
Datenbank verschoben
Container neu gestartet
Port geändert
Lizenz geändert
Merksatz:
Nach Änderung zuerst Änderung prüfen.
Systematische Schicht-7-Fehlersuche
Eine sinnvolle Reihenfolge:
1. Fehlermeldung genau lesen.
2. Betroffene Benutzer und Systeme eingrenzen.
3. Dienst und Protokoll bestimmen.
4. DNS und Hostname prüfen.
5. IP-Erreichbarkeit prüfen.
6. Port prüfen.
7. TLS oder Zertifikat prüfen.
8. Anwendung oder Dienst prüfen.
9. Anmeldung prüfen.
10. Berechtigung prüfen.
11. Datenformat oder Anfrage prüfen.
12. Logs prüfen.
13. letzte Änderungen prüfen.
Merksatz:
Erst eingrenzen,
dann Schicht für Schicht prüfen.
Typische Werkzeuge
Werkzeug
Zweck
Browser-Entwicklertools
HTTP-Status, Header, Cookies, Netzwerk
curl
HTTP/API testen
nslookup
DNS einfach prüfen
dig
DNS detailliert prüfen
ping
IP-Erreichbarkeit grob prüfen
traceroute / tracert
Weg zum Ziel prüfen
telnet / nc
TCP-Port testen
openssl s_client
TLS-Zertifikat prüfen
ssh -v
SSH-Verbindung detailliert prüfen
Ereignisanzeige
Windows-Logs prüfen
journalctl
Linux-Systemlogs prüfen
Webserver-Logs
HTTP-Anfragen prüfen
Mailserver-Logs
E-Mail-Zustellung prüfen
Merksatz:
Das richtige Werkzeug hängt vom Dienst ab.
curl für Webfehler
curl kann HTTP-Antworten prüfen.
Typische Prüfpunkte:
- Statuscode
- Header
- Weiterleitung
- TLS-Fehler
- Antwortinhalt
- API-Antwort
Beispielgedanke:
Was antwortet der Server wirklich?
Merksatz:
curl zeigt,
was ein Webdienst tatsächlich zurückgibt.
Browser-Entwicklertools
Browser-Entwicklertools helfen bei Webproblemen.
Sie zeigen unter anderem:
- HTTP-Requests
- HTTP-Responses
- Statuscodes
- Header
- Cookies
- Ladezeiten
- CORS-Fehler
- JavaScript-Fehler
- blockierte Inhalte
Merksatz:
Browser-Entwicklertools sind wichtig für Web-Schicht-7-Fehler.
openssl s_client
Mit openssl s_client kann man TLS-Verbindungen prüfen.
Typische Informationen:
- Zertifikat
- Zertifikatskette
- TLS-Version
- Cipher
- Name und Zertifikat
- Ablaufdatum
Besonders hilfreich bei:
- HTTPS
- LDAPS
- IMAPS
- SMTPS
- POP3S
Merksatz:
TLS-Probleme mit Zertifikat und Kette prüfen.
Paketmitschnitt auf Schicht 7
Ein Paketmitschnitt kann helfen,
wenn Logs nicht ausreichen.
Man kann sehen:
- DNS-Anfragen
- DHCP-DORA
- TCP-Verbindungsaufbau
- TLS-Handshake
- unverschlüsselte Protokollinhalte
- Fehlercodes
- Wiederholungen
- Timeouts
Wichtig:
Bei verschlüsselten Verbindungen sieht man Inhalte nicht einfach im Klartext.
Merksatz:
Mitschnitt zeigt Verkehr,
aber TLS schützt Inhalte.
Schicht-7-Fehler und Sicherheit
Viele Schicht-7-Fehler haben Sicherheitsbezug.
Beispiele:
- falsche Rechte
- schwache Authentifizierung
- unsichere Cookies
- offene Adminbereiche
- veraltete Webanwendung
- unsicheres FTP
- Telnet statt SSH
- fehlende MFA
- falsche CORS-Konfiguration
- Tokens in URLs
- zu genaue Fehlermeldungen
Merksatz:
Anwendungsschicht ist häufig Angriffsziel.
Was Schicht-7-Fehlersuche nicht ersetzt
Schicht-7-Fehlersuche ersetzt nicht:
- Prüfung der Verkabelung
- VLAN-Prüfung
- Routing-Prüfung
- Firewall-Prüfung
- Portprüfung
- Zertifikatsprüfung
- Berechtigungskonzept
- Sicherheitskonzept
- Backup-Konzept
- Monitoring
Sie ergänzt diese Prüfungen.
Merksatz:
Schicht 7 ist nur ein Teil der gesamten Fehlersuche.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Warum reicht ein erfolgreicher Ping nicht aus?
- Warum reicht ein offener Port nicht aus?
- Was prüft man bei HTTP 404?
- Was prüft man bei HTTP 500?
- Was bedeutet HTTP 401?
- Was bedeutet HTTP 403?
- Warum kann ein DNS-Fehler wie ein Internetproblem wirken?
- Warum kann ein falsches Zertifikat durch DNS entstehen?
- Wie grenzt man Anmeldeprobleme ein?
- Wie grenzt man Berechtigungsprobleme ein?
- Warum sind Logs bei Schicht-7-Problemen wichtig?
- Welche Rolle spielt der Reverse Proxy bei Webfehlern?
- Warum kann ein Dienst trotz erreichbarem Server nicht funktionieren?
Typische Prüfungsfallen
Ping prüft nicht die Anwendung.
Offener Port heißt nicht,
dass der Dienst korrekt funktioniert.
HTTP-Statuscodes gehören zur Anwendungsschicht.
401 bedeutet nicht authentifiziert.
403 bedeutet nicht berechtigt.
404 bedeutet Ressource nicht gefunden.
500 bedeutet interner Serverfehler.
502 deutet oft auf Proxy-Backend-Problem.
DNS gehört zu Schicht 7.
DHCP gehört zu Schicht 7,
auch wenn es IP-Konfiguration verteilt.
Mailprobleme sind oft DNS-, TLS- oder Spamfilterprobleme.
SMB-Probleme sind oft Rechte- oder Anmeldeprobleme.
LDAP-Probleme sind oft Base-DN-, Bind- oder Filterprobleme.
NTP-Probleme können Zertifikats- und Loginfehler verursachen.
Schicht 7 braucht Logs.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Schicht-7-Fehler
Fehler im Dienst oder Anwendungsprotokoll
Dienst
bereitgestellte Netzwerkfunktion
Statuscode
Antwortcode eines Protokolls
HTTP 401
nicht authentifiziert
HTTP 403
nicht berechtigt
HTTP 404
Ressource nicht gefunden
HTTP 500
interner Serverfehler
HTTP 502
Bad Gateway
Backend
interner Ziel-Dienst
Reverse Proxy
vorgelagerter Webserver
Authentifizierung
Identität prüfen
Autorisierung
Rechte prüfen
Session
Sitzung zwischen Client und Anwendung
Token
digitaler Zugriffsnachweis
Log
Protokolldatei mit Ereignissen
API
Schnittstelle zwischen Anwendungen
Content-Type
Datenformat im HTTP-Body
DNS-Cache
zwischengespeicherte DNS-Antwort
IHK-sichere Kurzformulierung
Fehlersuche auf OSI-Schicht 7 betrifft die Anwendungsschicht und damit konkrete Dienste und Protokolle wie HTTP, DNS, DHCP, SMTP, SMB, LDAP, SNMP, NTP, SSH, RDP und APIs. Dabei reicht es nicht aus, nur IP-Erreichbarkeit oder offene Ports zu prüfen. Ein Dienst kann trotz erreichbarem Server und offenem Port fehlerhaft antworten. Deshalb prüft man auf Schicht 7 insbesondere Dienststatus, Protokoll, Hostname, URL, HTTP-Statuscodes, Anmeldung, Berechtigungen, Datenformat, Zertifikate, Reverse Proxy, Backend und Logs. Schicht-7-Fehler zeigen sich häufig als falsche DNS-Antworten, HTTP-Fehler, Loginprobleme, Zugriff verweigert, Mailprobleme oder fehlerhafte API-Antworten.
Merksätze
Schicht 7 = Anwendungsschicht.
Schicht 7 prüft den konkreten Dienst.
Ping prüft nicht die Anwendung.
Offener Port heißt nicht:
Anwendung funktioniert.
Dienst läuft nicht immer,
nur weil Server erreichbar ist.
Falsches Protokoll erzeugt Fehler.
Falscher Hostname kann falsches Zertifikat liefern.
DNS-Probleme sind Schicht-7-Probleme.
HTTP-Statuscodes helfen bei Webfehlern.
401 = nicht authentifiziert.
403 = nicht berechtigt.
404 = nicht gefunden.
500 = interner Serverfehler.
502 = Proxy-Backend-Problem.
503 = Dienst nicht verfügbar.
504 = Gateway Timeout.
API-Fehler mit Methode,
Header,
Body
und Token prüfen.
Loginfehler = Authentifizierung prüfen.
Zugriff verweigert = Autorisierung prüfen.
Login-Schleife = Session und Cookies prüfen.
Mailfehler mit DNS,
SMTP,
IMAP,
TLS
und Spamfilter prüfen.
SMB-Fehler mit Name,
Port,
Anmeldung
und Rechten prüfen.
LDAP-Fehler mit Bind,
Base-DN
und Filter prüfen.
SNMP-Fehler mit Version,
Zugangsdaten
und OID prüfen.
NTP-Fehler können viele Folgefehler erzeugen.
Logs sind bei Schicht 7 besonders wichtig.
Erst eingrenzen,
dann Schicht für Schicht prüfen.
10.11 Merksätze und Prüfungswissen zu OSI-Schicht 7
Diese Seite fasst die wichtigsten Inhalte zur OSI-Schicht 7 zusammen.
OSI-Schicht 7 heißt:
Anwendungsschicht
Die Hauptaufgabe von Schicht 7 ist:
Netzwerkdienste für Anwendungen bereitstellen.
Typische Protokolle und Dienste sind:
- HTTP
- HTTPS
- DNS
- DHCP
- SMTP
- POP3
- IMAP
- FTP
- SFTP
- FTPS
- SMB
- LDAP
- SNMP
- NTP
- SSH
- RDP
- Telnet
- APIs
Merksatz:
Schicht 7 = Netzwerkdienste für Anwendungen.
Grundidee von Schicht 7
Schicht 7 ist die oberste Schicht des OSI-Modells.
Sie ist die Schicht,
die Anwendungen am nächsten ist.
Wichtig:
Die Anwendungsschicht ist nicht einfach das Programm selbst.
Besser:
Anwendungen nutzen Protokolle der Anwendungsschicht.
Beispiel:
Browser = Anwendung
HTTP / HTTPS = Protokolle der Anwendungsschicht
Merksatz:
Schicht 7 beschreibt Protokolle und Dienste,
die Anwendungen für Netzwerkkommunikation verwenden.
Schicht 7 im OSI-Modell
Schicht
Name
Kerngedanke
7
Anwendungsschicht
Netzwerkdienste für Anwendungen
6
Darstellungsschicht
Daten darstellen, codieren, komprimieren, verschlüsseln
5
Sitzungsschicht
Sitzungen aufbauen, verwalten und beenden
4
Transportschicht
TCP, UDP, Ports
3
Vermittlungsschicht / Netzwerkschicht
IP, Routing
2
Sicherungsschicht
Frames, MAC-Adressen, VLAN
1
Bitübertragungsschicht
Bits, Signale, Medien
Merksatz:
Schicht 7 nutzt alle darunterliegenden Schichten.
Schicht 7 und Schicht 4 unterscheiden
Ein häufiger Prüfungsfehler ist,
Ports und Protokolle zu vermischen.
Beispiel:
TCP 443 = Schicht 4
HTTPS = Schicht 7 mit TLS-Bezug
Oder:
UDP 53 / TCP 53 = Schicht 4
DNS = Schicht 7
Merksatz:
Port = Schicht 4.
Dienstprotokoll = Schicht 7.
Wichtige Standardports
Dienst
Protokoll
typischer Port
HTTP
TCP
80
HTTPS
TCP
443
DNS
UDP / TCP
53
DHCP-Server
UDP
67
DHCP-Client
UDP
68
SMTP
TCP
25
Submission
TCP
587
SMTPS
TCP
465
POP3
TCP
110
POP3S
TCP
995
IMAP
TCP
143
IMAPS
TCP
993
FTP
TCP
21
SFTP
TCP
22
SSH
TCP
22
Telnet
TCP
23
SMB
TCP
445
LDAP
TCP / UDP
389
LDAPS
TCP
636
SNMP
UDP
161
SNMP-Trap
UDP
162
NTP
UDP
123
RDP
TCP
3389
Merksatz:
Standardports helfen bei Prüfung und Fehlersuche,
gehören aber zur Transportschicht.
HTTP und HTTPS
HTTP steht für:
Hypertext Transfer Protocol
HTTPS steht für:
Hypertext Transfer Protocol Secure
HTTP wird für Webkommunikation genutzt.
HTTPS ist:
HTTP über TLS
Typische Ports:
HTTP:
TCP 80
HTTPS:
TCP 443
Merksatz:
HTTP = Web ohne TLS.
HTTPS = Web mit TLS.
HTTP-Request und HTTP-Response
HTTP arbeitet mit:
Request
Response
Request:
Anfrage des Clients
Response:
Antwort des Servers
Beispiel:
Browser fordert Webseite an.
Webserver liefert Antwort.
Merksatz:
HTTP arbeitet mit Anfrage und Antwort.
HTTP-Methoden
Wichtige HTTP-Methoden:
Methode
Bedeutung
GET
Daten abrufen
POST
Daten senden oder erstellen
PUT
Ressource vollständig ersetzen
PATCH
Ressource teilweise ändern
DELETE
Ressource löschen
HEAD
nur Kopfzeilen abrufen
OPTIONS
Möglichkeiten abfragen
Merksatz:
GET liest.
POST sendet.
PUT ersetzt.
PATCH ändert teilweise.
DELETE löscht.
HTTP-Statuscodes
HTTP-Statuscodes zeigen das Ergebnis einer Anfrage.
Bereich
Bedeutung
1xx
Information
2xx
Erfolg
3xx
Weiterleitung
4xx
Clientfehler
5xx
Serverfehler
Wichtige Beispiele:
Statuscode
Bedeutung
200
OK
301
dauerhaft weitergeleitet
302
vorübergehend weitergeleitet
400
fehlerhafte Anfrage
401
nicht authentifiziert
403
verboten
404
nicht gefunden
500
interner Serverfehler
502
Bad Gateway
503
Dienst nicht verfügbar
504
Gateway Timeout
Merksatz:
2xx = Erfolg.
4xx = Clientproblem.
5xx = Serverproblem.
401 und 403 unterscheiden
401 bedeutet:
nicht authentifiziert
Der Benutzer ist nicht angemeldet
oder die Anmeldung ist ungültig.
403 bedeutet:
verboten
Der Benutzer ist möglicherweise angemeldet,
hat aber keine Berechtigung.
Merksatz:
401 = Wer bist du?
403 = Du darfst das nicht.
DNS
DNS steht für:
Domain Name System
DNS löst Namen in IP-Adressen auf.
Beispiel:
www.example.com
→ IP-Adresse
DNS gehört zur Anwendungsschicht,
nutzt aber UDP oder TCP auf Port 53.
Merksatz:
DNS = Name zu IP-Adresse.
Wichtige DNS-Records
Record
Bedeutung
A
Name zu IPv4-Adresse
AAAA
Name zu IPv6-Adresse
CNAME
Alias auf anderen Namen
MX
Mailserver einer Domain
NS
zuständiger Nameserver
TXT
Textinformationen
PTR
Reverse-DNS-Eintrag
SRV
Dienststandort
SOA
Verwaltungsdaten einer Zone
Merksatz:
A = IPv4.
AAAA = IPv6.
MX = Mailserver.
PTR = Reverse Lookup.
Forward Lookup und Reverse Lookup
Forward Lookup bedeutet:
Name zu IP-Adresse
Beispiel:
server01.firma.local
→ 192.168.10.20
Reverse Lookup bedeutet:
IP-Adresse zu Name
Beispiel:
192.168.10.20
→ server01.firma.local
Merksatz:
Forward = Name zu IP.
Reverse = IP zu Name.
DNS-TTL
TTL steht für:
Time To Live
Die TTL gibt an,
wie lange ein DNS-Eintrag zwischengespeichert werden darf.
Folge:
DNS-Änderungen sind nicht immer sofort überall sichtbar.
Merksatz:
TTL steuert DNS-Caching.
DHCP
DHCP steht für:
Dynamic Host Configuration Protocol
DHCP verteilt automatisch Netzwerkkonfigurationen.
Ein Client kann erhalten:
- IP-Adresse
- Subnetzmaske
- Standard-Gateway
- DNS-Server
- Domain-Suffix
- Lease-Zeit
DHCP gehört zur Anwendungsschicht,
liefert aber wichtige Schicht-3-Konfiguration.
Merksatz:
DHCP = automatische IP-Konfiguration.
DHCP-DORA
Der klassische DHCP-Ablauf heißt:
DORA
DORA steht für:
Discover
Offer
Request
Acknowledge
Ablauf:
Client sucht DHCP-Server.
Server bietet Konfiguration an.
Client fordert Angebot an.
Server bestätigt Vergabe.
Merksatz:
DHCP-Ablauf = DORA.
DHCP-Relay
DHCP startet häufig mit Broadcast.
Router leiten Broadcasts normalerweise nicht einfach weiter.
Wenn DHCP-Client und DHCP-Server in verschiedenen Netzen liegen,
braucht man:
DHCP-Relay
Bei manchen Herstellern heißt das:
IP Helper Address
Merksatz:
DHCP-Relay bringt DHCP-Anfragen über Netzgrenzen.
APIPA
Wenn ein Windows-Client keine DHCP-Adresse erhält,
kann er sich selbst eine Adresse aus diesem Bereich geben:
169.254.0.0/16
Das nennt man:
APIPA
Typisches Fehlerbild:
Client hat 169.254.x.x
Mögliche Ursache:
DHCP fehlgeschlagen
Merksatz:
169.254.x.x deutet oft auf DHCP-Probleme hin.
E-Mail-Protokolle
Die wichtigsten E-Mail-Protokolle sind:
SMTP
POP3
IMAP
Grundregel:
SMTP sendet.
POP3 und IMAP empfangen.
Merksatz:
SMTP raus.
POP3/IMAP rein.
SMTP
SMTP steht für:
Simple Mail Transfer Protocol
SMTP wird verwendet für:
- E-Mail senden
- E-Mail zwischen Mailservern weiterleiten
Typische Ports:
TCP 25:
Mailserver zu Mailserver
TCP 587:
Submission, also authentifiziertes Einreichen durch Clients
TCP 465:
SMTPS, also SMTP direkt über TLS
Merksatz:
SMTP = E-Mail senden und transportieren.
POP3
POP3 steht für:
Post Office Protocol Version 3
POP3 dient zum Abrufen von E-Mails.
Typische Ports:
POP3:
TCP 110
POP3S:
TCP 995
POP3 lädt E-Mails eher einfach ab
und ist weniger gut für mehrere Geräte geeignet.
Merksatz:
POP3 = E-Mail abrufen.
IMAP
IMAP steht für:
Internet Message Access Protocol
IMAP dient zum Abrufen und Verwalten von E-Mails auf dem Server.
Typische Ports:
IMAP:
TCP 143
IMAPS:
TCP 993
IMAP eignet sich gut für mehrere Geräte,
weil E-Mails und Ordner synchronisiert werden.
Merksatz:
IMAP = E-Mails auf dem Server verwalten und synchronisieren.
SPF, DKIM und DMARC
Diese Verfahren helfen bei E-Mail-Sicherheit.
Verfahren
Hauptaufgabe
SPF
legt erlaubte sendende Server fest
DKIM
signiert E-Mails kryptografisch
DMARC
legt Umgang mit SPF-/DKIM-Fehlern fest
Merksatz:
SPF erlaubt.
DKIM signiert.
DMARC entscheidet.
FTP, SFTP und FTPS
Diese Protokolle dienen der Dateiübertragung.
Protokoll
Bedeutung
Sicherheit
FTP
File Transfer Protocol
klassisch unverschlüsselt
SFTP
SSH File Transfer Protocol
über SSH verschlüsselt
FTPS
FTP mit TLS
über TLS geschützt
Typische Ports:
FTP:
TCP 21
SFTP:
TCP 22
FTPS implizit:
TCP 990
Merksatz:
FTP unverschlüsselt.
SFTP über SSH.
FTPS über TLS.
SFTP und FTPS nicht verwechseln
SFTP ist:
Dateiübertragung über SSH
FTPS ist:
FTP mit TLS
Das sind unterschiedliche Protokolle.
Merksatz:
SFTP ist nicht FTPS.
SMB
SMB steht für:
Server Message Block
SMB dient für:
- Datei-Freigaben
- Drucker-Freigaben
- Netzlaufwerke
- NAS-Freigaben
- Windows-Freigaben
Typischer Port:
TCP 445
Beispiel für einen UNC-Pfad:
\\server01\freigabe
Merksatz:
SMB = Datei- und Druckerfreigaben.
SMB-Berechtigungen
Bei SMB sind meist zwei Ebenen wichtig:
Freigabeberechtigungen
Dateisystemberechtigungen
Beispiel:
Freigabe erlaubt Vollzugriff.
Dateisystem erlaubt nur Lesen.
Ergebnis:
Benutzer kann nur lesen.
Merksatz:
Die strengere Berechtigung begrenzt den Zugriff.
LDAP
LDAP steht für:
Lightweight Directory Access Protocol
LDAP dient dem Zugriff auf Verzeichnisdienste.
Typische Nutzung:
- Benutzer suchen
- Gruppen prüfen
- Anmeldungen unterstützen
- zentrale Identitätsinformationen abfragen
Wichtige Ports:
LDAP:
TCP/UDP 389
LDAPS:
TCP 636
Merksatz:
LDAP = Zugriff auf Verzeichnisdienste.
Active Directory und LDAP
Active Directory nutzt LDAP,
ist aber nicht nur LDAP.
Active Directory nutzt außerdem unter anderem:
- DNS
- Kerberos
- Gruppenrichtlinien
- Verzeichnisdatenbank
- Replikation
Merksatz:
LDAP ist ein wichtiger Teil von Active Directory,
aber nicht das ganze Active Directory.
SNMP
SNMP steht für:
Simple Network Management Protocol
SNMP dient zur Überwachung und Verwaltung von Netzwerkgeräten.
Typische Geräte:
- Switches
- Router
- Firewalls
- Drucker
- Server
- USV
- Access Points
Wichtige Ports:
SNMP-Abfrage:
UDP 161
SNMP-Trap:
UDP 162
Merksatz:
SNMP = Netzwerkgeräte überwachen.
SNMPv3
SNMPv3 ist sicherer als ältere SNMP-Versionen.
SNMPv3 kann bieten:
- Authentifizierung
- Verschlüsselung
- Integritätsschutz
- Benutzerkonzept
Ältere Varianten mit Community-String sind weniger sicher.
Merksatz:
SNMPv3 bevorzugen.
NTP
NTP steht für:
Network Time Protocol
NTP synchronisiert die Uhrzeit von Systemen.
Typischer Port:
UDP 123
Korrekte Zeit ist wichtig für:
- Zertifikate
- Kerberos
- Logs
- Monitoring
- Fehlersuche
- Backups
- Authentifizierung
Merksatz:
NTP = Zeitsynchronisation.
SSH
SSH steht für:
Secure Shell
SSH dient sicherer Fernadministration über eine Kommandozeile.
Typischer Port:
TCP 22
SSH wird häufig genutzt für:
- Linux-Server
- Netzwerkgeräte
- Firewalls
- NAS-Systeme
- SFTP
- Automatisierung
Merksatz:
SSH = sicherer Fernzugriff auf die Shell.
RDP
RDP steht für:
Remote Desktop Protocol
RDP dient grafischem Fernzugriff.
Typischer Port:
TCP 3389
RDP ist besonders bei Windows-Systemen verbreitet.
Wichtig:
RDP sollte nicht ungeschützt direkt aus dem Internet erreichbar sein.
Merksatz:
RDP = grafischer Fernzugriff.
Telnet
Telnet ist ein älteres Fernzugriffsprotokoll.
Typischer Port:
TCP 23
Problem:
Telnet ist unverschlüsselt.
Benutzername,
Passwort
und Befehle können im Klartext übertragen werden.
Merksatz:
Telnet vermeiden.
SSH verwenden.
Authentifizierung
Authentifizierung bedeutet:
Identität prüfen.
Frage:
Wer bist du?
Beispiele:
- Benutzername und Passwort
- SSH-Schlüssel
- Zertifikat
- Smartcard
- MFA-Code
- Token
Merksatz:
Authentifizierung = Identität prüfen.
Autorisierung
Autorisierung bedeutet:
Rechte prüfen.
Frage:
Was darfst du?
Beispiele:
- Datei lesen
- Datei ändern
- Adminbereich öffnen
- API verwenden
- Benutzer anlegen
- Server verwalten
Merksatz:
Autorisierung = Rechte prüfen.
Authentifizierung und Autorisierung unterscheiden
Begriff
Frage
Beispiel
Authentifizierung
Wer bist du?
Benutzer meldet sich an
Autorisierung
Was darfst du?
Benutzer darf bestimmten Ordner öffnen
Merksatz:
Angemeldet bedeutet nicht automatisch berechtigt.
MFA
MFA steht für:
Multi-Faktor-Authentifizierung
Dabei werden mehrere Faktoren kombiniert.
Beispiele:
- Passwort
- Smartphone-App
- Hardware-Token
- Fingerabdruck
- Smartcard
Merksatz:
MFA schützt zusätzlich,
wenn ein Passwort gestohlen wurde.
SSO
SSO steht für:
Single Sign-on
SSO bedeutet:
Einmal anmelden,
mehrere Dienste nutzen.
Typische Bestandteile:
- Identity Provider
- Service Provider
- Token
- zentrale Identität
Merksatz:
SSO = einmal anmelden,
mehrere Dienste nutzen.
Token und Session
Token:
digitaler Zugriffsnachweis
Session:
Sitzung zwischen Client und Anwendung
Session-Cookie:
Cookie zur Zuordnung einer Sitzung
Wichtig:
Tokens und Session-Cookies müssen geschützt werden,
weil sie Zugriff ermöglichen können.
Merksatz:
Token und Session-Cookie wie Zugangsdaten schützen.
Least Privilege
Least Privilege bedeutet:
Benutzer und Dienste erhalten nur die Rechte,
die sie wirklich benötigen.
Beispiel:
Dienst braucht nur Leserechte.
Dann bekommt er keine Schreibrechte.
Merksatz:
Nur so viele Rechte wie nötig,
so wenige wie möglich.
Typische Schicht-7-Fehler
Typische Fehler auf Schicht 7 sind:
- DNS löst falsch auf
- HTTP 404
- HTTP 500
- HTTP 502
- Login funktioniert nicht
- Zugriff verweigert
- API lehnt Anfrage ab
- falscher Content-Type
- ungültiges JSON
- Mail kommt nicht an
- Mail landet im Spam
- SMB-Freigabe verweigert Zugriff
- LDAP-Bind schlägt fehl
- SNMP-Werte fehlen
- NTP synchronisiert nicht
- SSH Permission Denied
- RDP-Anmeldung abgelehnt
Merksatz:
Schicht-7-Fehler betreffen Dienst,
Inhalt,
Anmeldung
oder Rechte.
Fehlersuche auf Schicht 7
Eine sinnvolle Reihenfolge:
1. Fehlermeldung genau lesen.
2. Betroffene Benutzer und Systeme eingrenzen.
3. Dienst und Protokoll bestimmen.
4. DNS und Hostname prüfen.
5. IP-Erreichbarkeit prüfen.
6. Port prüfen.
7. TLS oder Zertifikat prüfen.
8. Dienststatus prüfen.
9. Anmeldung prüfen.
10. Berechtigung prüfen.
11. Datenformat prüfen.
12. Logs prüfen.
13. letzte Änderungen prüfen.
Merksatz:
Erst eingrenzen,
dann Schicht für Schicht prüfen.
Wichtigste Abgrenzung zu unteren Schichten
Aussage
Einordnung
Kabel steckt nicht
Schicht 1
VLAN falsch
Schicht 2
Gateway falsch
Schicht 3
Port blockiert
Schicht 4
TLS-Zertifikat ungültig
Schicht 6
HTTP 404
Schicht 7
Login falsch
Schicht 7
Rechte fehlen
Schicht 7
DNS-Record falsch
Schicht 7
Merksatz:
Schicht 7 beginnt dort,
wo der konkrete Dienstinhalt geprüft wird.
Typische Prüfungsfallen
Schicht 7 heißt Anwendungsschicht.
Schicht 7 ist nicht einfach das Programm selbst.
Anwendungen nutzen Schicht-7-Protokolle.
Port gehört zu Schicht 4.
Dienstprotokoll gehört zu Schicht 7.
DNS gehört zu Schicht 7.
DHCP gehört zu Schicht 7,
obwohl es IP-Konfiguration verteilt.
HTTP gehört zu Schicht 7.
HTTPS ist HTTP über TLS.
SMTP sendet E-Mails.
POP3 und IMAP empfangen E-Mails.
POP3 lädt eher herunter.
IMAP synchronisiert besser.
FTP ist klassisch unverschlüsselt.
SFTP ist nicht FTPS.
SMB nutzt TCP 445.
LDAP ist nicht das ganze Active Directory.
SNMPv3 ist sicherer als SNMPv1/v2c.
NTP-Probleme können Zertifikats- und Loginprobleme verursachen.
SSH ist sicherer als Telnet.
RDP nicht ungeschützt ins Internet öffnen.
Authentifizierung ist nicht Autorisierung.
Anmeldung bedeutet nicht automatisch Berechtigung.
Offener Port bedeutet nicht automatisch,
dass die Anwendung funktioniert.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Anwendungsschicht
OSI-Schicht 7
Dienst
Netzwerkfunktion für Anwendungen
Protokoll
Regelwerk für Kommunikation
HTTP
Webprotokoll
HTTPS
HTTP über TLS
DNS
Namensauflösung
DHCP
automatische IP-Konfiguration
SMTP
E-Mail senden
POP3
E-Mail abrufen
IMAP
E-Mail abrufen und verwalten
FTP
klassische Dateiübertragung
SFTP
Dateiübertragung über SSH
FTPS
FTP mit TLS
SMB
Datei- und Druckerfreigaben
LDAP
Verzeichnisdienstzugriff
SNMP
Netzwerkmanagement
NTP
Zeitsynchronisation
SSH
sicherer Shell-Zugriff
RDP
grafischer Fernzugriff
Telnet
altes unverschlüsseltes Fernzugriffsprotokoll
API
Schnittstelle zwischen Anwendungen
Authentifizierung
Identität prüfen
Autorisierung
Rechte prüfen
MFA
Multi-Faktor-Authentifizierung
SSO
Single Sign-on
Token
digitaler Zugriffsnachweis
Session
Sitzung zwischen Client und Anwendung
Least Privilege
nur notwendige Rechte vergeben
IHK-sichere Gesamtformulierung
Die Anwendungsschicht ist Schicht 7 des OSI-Modells. Sie stellt Netzwerkdienste für Anwendungen bereit. Typische Protokolle sind HTTP, HTTPS, DNS, DHCP, SMTP, POP3, IMAP, FTP, SFTP, FTPS, SMB, LDAP, SNMP, NTP, SSH, RDP und Telnet. Die Anwendungsschicht ist nicht das Programm selbst, sondern beschreibt die Protokolle und Dienste, die Anwendungen zur Kommunikation verwenden. Ports gehören zur Transportschicht, während die eigentlichen Dienstprotokolle zur Anwendungsschicht gehören. Fehler auf Schicht 7 betreffen häufig DNS, HTTP-Statuscodes, Anmeldungen, Berechtigungen, APIs, Datenformate, Maildienste, Dateifreigaben oder Dienstlogs.
Wichtigste Merksätze
Schicht 7 = Anwendungsschicht.
Schicht 7 = Netzwerkdienste für Anwendungen.
Anwendung nutzt Protokoll.
Protokoll gehört zu Schicht 7.
Port gehört zu Schicht 4.
HTTP = Webprotokoll.
HTTPS = HTTP über TLS.
DNS = Name zu IP-Adresse.
DHCP = automatische IP-Konfiguration.
SMTP sendet.
POP3 ruft ab.
IMAP synchronisiert.
FTP ist klassisch unverschlüsselt.
SFTP läuft über SSH.
FTPS nutzt TLS.
SMB = Datei- und Druckerfreigaben.
LDAP = Verzeichnisdienstzugriff.
SNMP = Netzwerküberwachung.
NTP = Zeitsynchronisation.
SSH = sicherer Fernzugriff.
RDP = grafischer Fernzugriff.
Telnet ist unsicher.
Authentifizierung = Wer bist du?
Autorisierung = Was darfst du?
Anmeldung ist nicht gleich Berechtigung.
MFA erhöht die Sicherheit.
Least Privilege immer beachten.
Offener Port heißt nicht:
Anwendung funktioniert.
Schicht-7-Fehler mit Dienst,
Protokoll,
Anmeldung,
Rechten,
Daten
und Logs prüfen.
11. Firewalls, NAT und DMZ
11.1 Firewalls, NAT und DMZ
Firewalls, NAT und DMZ gehören zu den wichtigsten Themen der Netzwerksicherheit.
Sie werden verwendet, um Netzwerke zu schützen, Zugriffe zu steuern und interne Systeme vom Internet zu trennen.
Wichtige Begriffe:
- Firewall
- Paketfilter
- Stateful Inspection
- Firewall-Regel
- Allow
- Deny
- NAT
- PAT
- Portweiterleitung
- DMZ
- interne Zone
- externe Zone
- Sicherheitszone
Merksatz:
Firewall kontrolliert Zugriffe.
NAT übersetzt Adressen.
DMZ trennt öffentliche Dienste vom internen Netz.
Grundidee einer Firewall
Eine Firewall kontrolliert Netzwerkverkehr.
Sie entscheidet:
Darf dieser Datenverkehr durch?
Oder wird er blockiert?
Dabei prüft sie je nach Art und Konfiguration zum Beispiel:
- Quell-IP-Adresse
- Ziel-IP-Adresse
- Protokoll
- Quellport
- Zielport
- Verbindungsstatus
- Richtung
- Benutzer
- Anwendung
- Sicherheitszone
Merksatz:
Firewall = kontrollierter Übergang zwischen Netzen.
Warum braucht man Firewalls?
Ohne Firewall könnten Systeme oft zu viele Verbindungen annehmen.
Eine Firewall reduziert die Angriffsfläche.
Sie schützt vor:
- unerwünschten Zugriffen
- offenen Diensten
- unkontrolliertem Datenverkehr
- Angriffen aus fremden Netzen
- ungewollter Kommunikation zwischen Netzbereichen
- direktem Zugriff auf interne Systeme
Merksatz:
Firewall-Regeln begrenzen,
wer mit wem sprechen darf.
Firewall ist nicht gleich Virenschutz
Eine Firewall kontrolliert Netzwerkverkehr.
Ein Virenschutz prüft Dateien, Programme oder Verhalten auf Schadsoftware.
Unterschied:
Schutz
Hauptaufgabe
Firewall
Netzwerkverkehr erlauben oder blockieren
Virenschutz
Schadsoftware erkennen und blockieren
EDR
Verhalten auf Endgeräten überwachen
IDS/IPS
Angriffe im Netzwerk erkennen oder blockieren
Merksatz:
Firewall schützt Netzwerkzugriffe,
ersetzt aber keinen Virenschutz.
Firewall im OSI-Modell
Firewalls können auf verschiedenen Schichten arbeiten.
Firewall-Art
typische Schicht
Prüft vor allem
Paketfilter
3 / 4
IP-Adressen, Protokoll, Ports
Stateful Firewall
3 / 4
Verbindungsstatus zusätzlich
Application Firewall
7
Anwendungsdaten und Protokolle
Web Application Firewall
7
HTTP/HTTPS-Anfragen
Merksatz:
Firewalls können je nach Art auf mehreren Schichten arbeiten.
Paketfilter
Ein Paketfilter entscheidet anhand einzelner Pakete.
Typische Kriterien:
- Quell-IP
- Ziel-IP
- Protokoll
- Quellport
- Zielport
- Richtung
- Interface
Beispiel:
Erlaube TCP von 192.168.10.0/24 nach 10.0.0.5 auf Port 443.
Merksatz:
Paketfilter prüft IP-Adressen und Ports.
Stateful Firewall
Eine Stateful Firewall merkt sich den Zustand von Verbindungen.
Sie erkennt:
Gehört dieses Paket zu einer bestehenden Verbindung?
Beispiel:
Client aus internem Netz baut HTTPS-Verbindung nach außen auf.
Antwortpakete vom Webserver werden erlaubt,
weil sie zu dieser bestehenden Verbindung gehören.
Vorteil:
Rückverkehr muss nicht immer als komplett neue Verbindung erlaubt werden.
Merksatz:
Stateful Firewall kennt bestehende Verbindungen.
Stateful Inspection
Stateful Inspection bedeutet:
Die Firewall prüft den Verbindungszustand.
Sie unterscheidet zum Beispiel:
neue Verbindung
bestehende Verbindung
zugehörige Antwort
ungültiges Paket
Das ist besonders wichtig bei TCP.
Merksatz:
Stateful Inspection prüft,
ob Verkehr zu einer erlaubten Verbindung gehört.
Stateless Firewall
Eine Stateless Firewall merkt sich keine Verbindungen.
Sie betrachtet Pakete einzeln.
Nachteil:
Rückverkehr muss oft explizit geregelt werden.
Vorteil:
einfacher,
schneller,
aber weniger intelligent.
Merksatz:
Stateless = jedes Paket einzeln betrachten.
Firewall-Regel
Eine Firewall-Regel beschreibt,
welcher Verkehr erlaubt oder blockiert wird.
Typische Bestandteile:
- Aktion
- Quelle
- Ziel
- Dienst oder Port
- Protokoll
- Richtung
- Interface oder Zone
- Kommentar oder Beschreibung
Beispiel:
Erlaube
Quelle: Internes Netz
Ziel: Webserver in DMZ
Dienst: HTTPS TCP 443
Merksatz:
Firewall-Regel = Bedingung plus Aktion.
Allow und Deny
Firewall-Regeln haben meist eine Aktion.
Wichtige Aktionen:
Allow
Deny
Drop
Reject
Allow bedeutet:
Verkehr erlauben.
Deny, Drop oder Reject bedeuten:
Verkehr blockieren.
Merksatz:
Allow erlaubt.
Deny blockiert.
Drop und Reject unterscheiden
Drop bedeutet:
Paket wird verworfen,
ohne Antwort.
Reject bedeutet:
Paket wird abgelehnt,
mit Antwort an den Absender.
Unterschied:
Aktion
Verhalten
Drop
still verwerfen
Reject
aktiv ablehnen
Allow
erlauben
Merksatz:
Drop schweigt.
Reject antwortet.
Default Deny
Default Deny bedeutet:
Alles ist verboten,
was nicht ausdrücklich erlaubt ist.
Das ist ein wichtiges Sicherheitsprinzip.
Beispiel:
Alle Verbindungen blockieren.
Nur notwendige Dienste erlauben.
Vorteil:
unbekannter oder unnötiger Verkehr wird nicht automatisch erlaubt.
Merksatz:
Erst alles verbieten,
dann gezielt erlauben.
Default Allow
Default Allow bedeutet:
Alles ist erlaubt,
was nicht ausdrücklich verboten ist.
Das ist oft riskanter,
weil neue oder vergessene Dienste automatisch erreichbar sein können.
Merksatz:
Default Allow ist bequem,
aber oft unsicherer.
Regelreihenfolge
Viele Firewalls arbeiten Regeln von oben nach unten ab.
Die erste passende Regel entscheidet.
Beispiel:
Regel 1:
Blockiere Ziel TCP 443
Regel 2:
Erlaube Ziel TCP 443
Ergebnis:
Wenn Regel 1 zuerst passt,
wird blockiert.
Merksatz:
Reihenfolge der Firewall-Regeln ist entscheidend.
Spezifische Regeln vor allgemeinen Regeln
Spezifische Regeln sollten vor allgemeinen Regeln stehen.
Beispiel:
Erlaube Admin-PC zu Server auf SSH.
Danach:
Blockiere restliches SSH.
Wenn die allgemeine Blockregel zuerst steht,
kommt die spezifische Erlaubnis nie zum Tragen.
Merksatz:
Spezifisch vor allgemein.
Firewall-Zonen
Viele Firewalls arbeiten mit Zonen.
Typische Zonen:
- LAN
- WAN
- DMZ
- Gastnetz
- Servernetz
- Managementnetz
- VPN
- IoT-Netz
Zonen helfen,
Netzbereiche logisch zu trennen.
Merksatz:
Zone = Sicherheitsbereich im Netzwerk.
LAN und WAN
LAN steht für:
Local Area Network
WAN steht für:
Wide Area Network
Vereinfacht:
LAN = internes Netz
WAN = externes Netz oder Internetseite
Merksatz:
LAN innen,
WAN außen.
Interne Zone
Die interne Zone enthält normalerweise vertrauenswürdigere Systeme.
Beispiele:
- Clients
- interne Server
- Drucker
- Verwaltungsgeräte
- interne Anwendungen
Trotzdem gilt:
Auch intern sollte nicht alles blind erlaubt sein.
Merksatz:
Intern ist nicht automatisch sicher.
Externe Zone
Die externe Zone ist meist das Internet oder ein fremdes Netz.
Von dort kommen potenziell untrusted Verbindungen.
Deshalb werden eingehende Verbindungen besonders streng kontrolliert.
Merksatz:
Extern = nicht vertrauenswürdig.
DMZ
DMZ steht für:
Demilitarized Zone
Eine DMZ ist ein separates Netz,
in dem Dienste stehen,
die von außen erreichbar sein müssen.
Beispiele:
- Webserver
- Reverse Proxy
- Mailgateway
- VPN-Gateway
- öffentliche API
- DNS-Server für externe Anfragen
Merksatz:
DMZ = eigenes Netz für öffentlich erreichbare Dienste.
Warum gibt es eine DMZ?
Eine DMZ schützt das interne Netz.
Idee:
Öffentliche Dienste sollen nicht direkt im internen LAN stehen.
Wenn ein Server in der DMZ kompromittiert wird,
soll der Angreifer nicht automatisch Zugriff auf das interne Netz erhalten.
Merksatz:
DMZ begrenzt Schaden bei öffentlichen Diensten.
DMZ-Grundaufbau
Typischer Aufbau:
Internet
→ Firewall
→ DMZ
→ Firewall-Regeln
→ internes LAN
Oder mit drei Zonen:
WAN
DMZ
LAN
Regeln werden gezielt zwischen diesen Zonen erstellt.
Merksatz:
DMZ liegt kontrolliert zwischen Internet und internem Netz.
Regeln für eine DMZ
Typische Regelidee:
Internet darf nur bestimmte Dienste in der DMZ erreichen.
Beispiel:
Internet → DMZ-Webserver:
TCP 443 erlaubt
Internet → internes LAN:
blockiert
DMZ → internes LAN:
nur notwendige Verbindungen erlaubt
internes LAN → DMZ:
Administration nur von Admin-Systemen
Merksatz:
DMZ darf nicht freie Brücke ins LAN sein.
DMZ und internes Netz
Ein häufiger Fehler ist:
DMZ-Server dürfen alles im internen Netz erreichen.
Das ist gefährlich.
Besser:
Nur notwendige Verbindungen erlauben.
Beispiel:
Webserver in DMZ darf nur zur Datenbank auf TCP 5432.
Oder:
Reverse Proxy in DMZ darf nur zu bestimmten internen Webdiensten.
Merksatz:
Von DMZ ins LAN nur gezielt erlauben.
DMZ und Administration
Administrationszugriff auf DMZ-Systeme sollte eingeschränkt sein.
Beispiele:
Admin-Netz → DMZ-Server SSH erlauben
normale Clients → DMZ-Server SSH blockieren
Internet → DMZ-Server SSH blockieren
Sinnvoll:
Administration über VPN,
Managementnetz
oder Bastion Host.
Merksatz:
DMZ-Administration nur kontrolliert erlauben.
Bastion Host
Ein Bastion Host ist ein besonders abgesicherter Sprungserver.
Er wird genutzt,
um administrative Zugriffe zu bündeln.
Beispiel:
Admin verbindet sich zum Bastion Host.
Von dort aus erfolgt Zugriff auf Server in der DMZ.
Vorteile:
- zentrale Kontrolle
- Protokollierung
- weniger direkte Zugriffe
- bessere Absicherung
Merksatz:
Bastion Host = abgesicherter Zugangspunkt für Administration.
NAT
NAT steht für:
Network Address Translation
NAT übersetzt IP-Adressen.
Typische Nutzung:
private interne IP-Adressen
werden beim Zugriff ins Internet
in eine öffentliche IP-Adresse übersetzt.
Beispiel:
intern:
192.168.10.50
extern sichtbar:
öffentliche Router-IP
Merksatz:
NAT übersetzt IP-Adressen.
Warum braucht man NAT?
IPv4-Adressen sind knapp.
Private IPv4-Adressen werden intern verwendet
und sind im Internet nicht direkt geroutet.
NAT ermöglicht,
dass viele interne Geräte über eine oder wenige öffentliche IPv4-Adressen ins Internet gehen.
Merksatz:
NAT spart öffentliche IPv4-Adressen.
Private IPv4-Adressbereiche
Private IPv4-Adressbereiche sind:
Bereich
CIDR
10.0.0.0 bis 10.255.255.255
10.0.0.0/8
172.16.0.0 bis 172.31.255.255
172.16.0.0/12
192.168.0.0 bis 192.168.255.255
192.168.0.0/16
Diese Adressen werden im Internet nicht direkt geroutet.
Merksatz:
Private IPv4-Adressen sind für interne Netze gedacht.
Öffentliche IP-Adresse
Eine öffentliche IP-Adresse ist im Internet routbar.
Sie wird zum Beispiel vom Provider vergeben.
Beispiel:
Router hat öffentliche IP-Adresse am WAN.
Interne Clients verwenden private Adressen
und werden per NAT nach außen übersetzt.
Merksatz:
Öffentliche IP ist im Internet erreichbar,
private IP normalerweise nicht.
Source NAT
Source NAT ändert die Quelladresse eines Pakets.
Typischer Fall:
interner Client geht ins Internet.
Vor NAT:
Quelle: 192.168.10.50
Ziel: 93.184.216.34
Nach NAT:
Quelle: öffentliche Router-IP
Ziel: 93.184.216.34
Merksatz:
Source NAT ändert die Quelle.
Destination NAT
Destination NAT ändert die Zieladresse eines Pakets.
Typischer Fall:
Portweiterleitung von außen nach innen.
Vor NAT:
Ziel: öffentliche IP TCP 443
Nach NAT:
Ziel: interner Webserver 192.168.10.20 TCP 443
Merksatz:
Destination NAT ändert das Ziel.
PAT
PAT steht für:
Port Address Translation
PAT übersetzt zusätzlich Ports.
Dadurch können viele interne Clients gleichzeitig eine öffentliche IP-Adresse nutzen.
Beispiel:
Client A intern:
192.168.10.10:50001
Client B intern:
192.168.10.11:50002
Extern sichtbar über dieselbe öffentliche IP,
aber mit unterschiedlichen Ports.
Merksatz:
PAT = viele interne Geräte über eine öffentliche IP mit Portübersetzung.
NAT und PAT unterscheiden
Begriff
Bedeutung
NAT
Übersetzung von IP-Adressen
PAT
Übersetzung von IP-Adressen und Ports
Source NAT
Quelladresse wird geändert
Destination NAT
Zieladresse wird geändert
Portweiterleitung
eingehender Port wird intern weitergeleitet
Merksatz:
NAT übersetzt Adressen.
PAT übersetzt zusätzlich Ports.
Portweiterleitung
Portweiterleitung bedeutet:
Eine Verbindung von außen auf einen bestimmten Port
wird an ein internes Ziel weitergeleitet.
Beispiel:
öffentliche IP TCP 443
→ interner Server 192.168.10.20 TCP 443
Typische Nutzung:
- Webserver
- Reverse Proxy
- VPN-Gateway
- Mailserver
- Spielserver
- Testsysteme
Merksatz:
Portweiterleitung macht internen Dienst von außen erreichbar.
Portweiterleitung und Sicherheit
Portweiterleitung erhöht die Angriffsfläche.
Warum?
Ein interner Dienst wird von außen erreichbar.
Deshalb wichtig:
- nur notwendige Ports öffnen
- Dienste aktuell halten
- starke Authentifizierung
- TLS verwenden
- Logs prüfen
- Zugriff einschränken
- nach Möglichkeit DMZ nutzen
- keine Admin-Dienste offen ins Internet
Merksatz:
Jeder geöffnete Port ist ein potenzielles Risiko.
Firewall-Regel und NAT-Regel unterscheiden
Eine NAT-Regel übersetzt Adressen oder Ports.
Eine Firewall-Regel erlaubt oder blockiert Verkehr.
Beides ist nicht dasselbe.
Beispiel:
NAT-Regel:
öffentliche IP TCP 443 → interner Webserver TCP 443
Firewall-Regel:
Erlaube Internet → Webserver TCP 443
Wenn NAT gesetzt ist,
aber Firewall blockiert,
funktioniert der Zugriff trotzdem nicht.
Merksatz:
NAT leitet um.
Firewall erlaubt oder blockiert.
Inbound und Outbound
Inbound bedeutet:
eingehender Verkehr in Richtung eines Netzes oder Systems.
Outbound bedeutet:
ausgehender Verkehr aus einem Netz oder System.
Beispiel:
Client im LAN ruft Webseite im Internet auf:
outbound aus LAN
Internet greift auf Webserver in DMZ zu:
inbound zur DMZ
Merksatz:
Inbound hinein,
outbound hinaus.
East-West und North-South Traffic
North-South Traffic bedeutet:
Verkehr zwischen internem Netz und externen Netzen.
Beispiel:
Client ins Internet
East-West Traffic bedeutet:
Verkehr innerhalb eines Rechenzentrums oder interner Netze.
Beispiel:
Webserver spricht mit Datenbankserver.
Merksatz:
North-South = nach außen oder innen.
East-West = intern zwischen Systemen.
Firewall und Routing
Firewall und Routing sind nicht dasselbe.
Routing entscheidet:
Wohin wird ein Paket weitergeleitet?
Firewall entscheidet:
Darf das Paket weiter?
Beides muss passen.
Beispiel:
Route vorhanden,
aber Firewall blockiert:
Verbindung geht nicht.
Firewall erlaubt,
aber Route fehlt:
Verbindung geht nicht.
Merksatz:
Routing findet Weg.
Firewall erlaubt Weg.
Firewall und DNS
DNS-Probleme können wie Firewall-Probleme aussehen.
Beispiel:
Benutzer ruft service.firma.de auf.
DNS zeigt auf falsche IP.
Dann erreicht der Client vielleicht den falschen Server
oder bekommt gar keine Verbindung.
Merksatz:
Vor Firewall-Fehlersuche auch DNS prüfen.
Firewall und TLS
Eine Firewall kann TCP 443 erlauben,
aber HTTPS kann trotzdem fehlschlagen.
Mögliche Ursachen:
- Zertifikat ungültig
- falscher Hostname
- falsches Backend
- Reverse Proxy falsch
- TLS-Version inkompatibel
- Anwendung antwortet falsch
Merksatz:
Port 443 offen heißt nicht:
HTTPS funktioniert korrekt.
Firewall und Protokolle
Ein Port allein beschreibt nicht immer alles.
Beispiele:
DNS nutzt UDP und TCP 53.
FTP nutzt Steuer- und Datenverbindungen.
SIP oder VoIP können zusätzliche Ports nutzen.
HTTP/3 nutzt UDP 443.
VPN-Protokolle nutzen unterschiedliche Ports und Protokolle.
Merksatz:
Immer Protokoll,
Port
und Verbindungsverhalten beachten.
Firewall-Logs
Firewall-Logs sind wichtig für Fehlersuche und Sicherheit.
Sie zeigen zum Beispiel:
- erlaubte Verbindungen
- blockierte Verbindungen
- Quell-IP
- Ziel-IP
- Port
- Protokoll
- Regelname
- Zeitstempel
- Interface oder Zone
Merksatz:
Firewall-Logs zeigen,
ob Verkehr erlaubt oder blockiert wurde.
Typische Firewall-Fehler
Typische Fehler sind:
- falsche Regelreihenfolge
- falsche Quelle
- falsches Ziel
- falscher Port
- falsches Protokoll
- Regel in falscher Richtung
- falsche Zone
- NAT fehlt
- Rückweg fehlt
- DNS zeigt auf falsches Ziel
- Dienst läuft nicht
- asymmetrisches Routing
Merksatz:
Firewall-Fehler sind oft Regel-, Richtungs- oder Zonenfehler.
Fehlerbild: Dienst von außen nicht erreichbar
Mögliche Ursachen:
- Portweiterleitung fehlt
- Firewall-Regel fehlt
- falscher Zielserver
- falscher Zielport
- Dienst läuft nicht
- öffentliche IP falsch
- DNS zeigt falsch
- Provider blockiert Port
- CGNAT
- Reverse Proxy falsch
- Zertifikat fehlerhaft
Merksatz:
Externer Zugriff braucht DNS,
NAT,
Firewall,
Dienst
und Rückweg.
Fehlerbild: Intern funktioniert, extern nicht
Mögliche Ursachen:
- externe Firewall blockiert
- NAT oder Portweiterleitung fehlt
- externer DNS-Eintrag falsch
- öffentliche IP falsch
- CGNAT
- Zertifikat nur intern passend
- Dienst nur auf interner Adresse gebunden
- Reverse Proxy nur intern konfiguriert
Merksatz:
Intern und extern getrennt prüfen.
Fehlerbild: Extern funktioniert, intern nicht
Mögliche Ursachen:
- internes DNS zeigt falsch
- Split DNS fehlt
- Hairpin NAT fehlt
- interne Firewall blockiert
- interne Route fehlt
- Zertifikatname passt intern nicht
- Proxy- oder Gatewayproblem
Merksatz:
Extern erreichbar heißt nicht automatisch intern erreichbar.
Hairpin NAT
Hairpin NAT wird gebraucht,
wenn interne Clients über die öffentliche Adresse auf einen internen Dienst zugreifen sollen.
Beispiel:
interner Client ruft öffentliche Domain auf.
DNS liefert öffentliche IP.
Router muss Verbindung wieder nach innen leiten.
Wenn Hairpin NAT fehlt,
funktioniert der Dienst extern,
aber intern über den öffentlichen Namen nicht.
Merksatz:
Hairpin NAT ermöglicht internen Zugriff über öffentliche Adresse.
Split DNS als Alternative
Split DNS kann Hairpin NAT vermeiden.
Dabei liefert DNS intern und extern unterschiedliche Antworten.
Beispiel:
service.firma.de extern:
öffentliche IP
service.firma.de intern:
interne IP
Vorteil:
interne Clients gehen direkt zur internen Adresse.
Merksatz:
Split DNS liefert intern passende interne Adressen.
CGNAT
CGNAT steht für:
Carrier Grade NAT
Dabei hat der Anschluss keine eigene echte öffentliche IPv4-Adresse.
Der Provider nutzt NAT für viele Kunden.
Folge:
eingehende Portweiterleitungen funktionieren oft nicht direkt.
Mögliche Lösungen:
- echte öffentliche IPv4 buchen
- IPv6 nutzen
- VPN-Tunnel
- Cloud-Tunnel
- Reverse Proxy über externen Server
Merksatz:
CGNAT verhindert oft direkte eingehende IPv4-Verbindungen.
Asymmetrisches Routing
Asymmetrisches Routing bedeutet:
Hinweg und Rückweg laufen über unterschiedliche Wege.
Das kann Firewalls stören,
weil eine Stateful Firewall den Verbindungszustand auf einem Weg sieht,
aber die Antwort über einen anderen Weg zurückkommt.
Folge:
Verbindung wird möglicherweise blockiert.
Merksatz:
Stateful Firewalls brauchen passenden Hin- und Rückweg.
Any-Any-Regel
Eine Any-Any-Regel erlaubt sehr viel.
Beispiel:
Quelle: any
Ziel: any
Dienst: any
Aktion: allow
Das ist gefährlich,
weil fast jeder Verkehr erlaubt wird.
Any-Any-Regeln sollten vermieden oder sehr gut begründet werden.
Merksatz:
Any-Any ist bequem,
aber riskant.
Least Privilege bei Firewall-Regeln
Auch bei Firewall-Regeln gilt:
nur erlauben,
was wirklich benötigt wird.
Beispiel schlecht:
Erlaube gesamtes LAN zur DMZ auf alle Ports.
Besser:
Erlaube Admin-PC zur DMZ auf TCP 22.
Erlaube Webserver zur Datenbank auf TCP 5432.
Merksatz:
Firewall-Regeln so eng wie möglich setzen.
Dokumentation von Firewall-Regeln
Firewall-Regeln sollten dokumentiert werden.
Wichtige Angaben:
- Zweck
- Quelle
- Ziel
- Dienst
- Verantwortlicher
- Erstellungsdatum
- Ablaufdatum bei temporären Regeln
- Ticket oder Änderungsgrund
- Risiko
- Kommentar
Merksatz:
Undokumentierte Firewall-Regeln werden schnell zum Sicherheitsproblem.
Temporäre Firewall-Regeln
Temporäre Regeln sollten ein Ablaufdatum haben.
Problem:
Testregel wird erstellt.
Niemand entfernt sie.
Dienst bleibt unnötig offen.
Besser:
temporäre Regel mit Ablaufdatum,
Kommentar
und Review.
Merksatz:
Temporär darf nicht dauerhaft vergessen werden.
Firewall-Review
Firewall-Regeln sollten regelmäßig überprüft werden.
Ziel:
- alte Regeln entfernen
- unnötige Freigaben schließen
- Any-Any-Regeln vermeiden
- Dokumentation aktualisieren
- Sicherheitsrisiken reduzieren
- Regelreihenfolge prüfen
Merksatz:
Firewall-Regeln brauchen regelmäßige Pflege.
Typische Sicherheitszonen
Zone
Zweck
WAN
externes Netz / Internet
LAN
internes Clientnetz
DMZ
öffentlich erreichbare Dienste
Servernetz
interne Server
Managementnetz
Administration
Gastnetz
Gäste ohne Zugriff auf intern
IoT-Netz
Geräte mit eingeschränktem Vertrauen
VPN-Zone
entfernte Benutzer nach VPN-Einwahl
Merksatz:
Zonen trennen Systeme nach Schutzbedarf.
Gastnetz
Ein Gastnetz ist ein separates Netz für Besucher oder private Geräte.
Ziel:
Internetzugang ermöglichen,
aber internes Netz schützen.
Typische Regeln:
Gastnetz → Internet erlaubt
Gastnetz → internes LAN blockiert
Gastnetz → Managementnetz blockiert
Merksatz:
Gastnetz darf nicht ins interne Netz führen.
Managementnetz
Ein Managementnetz dient zur Administration von Systemen.
Dort können liegen:
- Switch-Management
- Firewall-Management
- Server-Management
- Hypervisor-Management
- Storage-Management
- IPMI / iLO / iDRAC
Dieses Netz sollte besonders geschützt sein.
Merksatz:
Managementzugänge besonders abschotten.
IoT-Netz
Ein IoT-Netz trennt Geräte mit höherem Risiko vom restlichen Netz.
Beispiele:
- Kameras
- smarte Sensoren
- Türsysteme
- Mediengeräte
- Smart-Home-Geräte
- Drucker je nach Umgebung
Regelidee:
IoT darf nur notwendige Ziele erreichen.
Merksatz:
IoT-Geräte nicht blind ins Hauptnetz lassen.
Firewall und VPN
VPN-Zugänge sollten in Firewall-Regeln berücksichtigt werden.
Beispiel:
VPN-Benutzer dürfen nur bestimmte interne Dienste erreichen.
Nicht automatisch:
VPN darf alles im LAN.
Besser:
VPN-Zone mit gezielten Regeln.
Merksatz:
VPN-Zugriff ebenfalls nach Least Privilege regeln.
Firewall und Monitoring
Firewalls sollten überwacht werden.
Wichtige Punkte:
- CPU und RAM
- Verbindungsanzahl
- blockierte Angriffe
- VPN-Verbindungen
- Regel-Treffer
- ungewöhnlicher Traffic
- Interface-Auslastung
- Lizenzstatus
- Updates
- Log-Speicher
Merksatz:
Firewall ist kritische Infrastruktur und muss überwacht werden.
Firewall-Fehlersuche systematisch
Eine sinnvolle Reihenfolge:
1. Quelle bestimmen.
2. Ziel bestimmen.
3. Protokoll bestimmen.
4. Port bestimmen.
5. Richtung bestimmen.
6. Zone oder Interface bestimmen.
7. DNS-Auflösung prüfen.
8. Routing prüfen.
9. NAT-Regeln prüfen.
10. Firewall-Regeln prüfen.
11. Logs prüfen.
12. Dienst auf Zielsystem prüfen.
13. Rückweg prüfen.
Merksatz:
Quelle,
Ziel,
Port,
Richtung
und Logs sind entscheidend.
Was Firewalls nicht machen
Firewalls machen nicht automatisch:
- Anwendungen fehlerfrei
- Benutzer sicher
- Passwörter stark
- Systeme gepatcht
- Malware unmöglich
- Daten verschlüsselt
- Berechtigungen korrekt
- Backups vorhanden
- Logs automatisch ausgewertet
Merksatz:
Firewall ist wichtig,
aber nur ein Teil des Sicherheitskonzepts.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was macht eine Firewall?
- Was ist der Unterschied zwischen Firewall und NAT?
- Was bedeutet Stateful Inspection?
- Was ist eine DMZ?
- Warum stellt man öffentliche Server in eine DMZ?
- Was ist NAT?
- Was ist PAT?
- Was ist eine Portweiterleitung?
- Was ist der Unterschied zwischen Source NAT und Destination NAT?
- Warum ist Default Deny sicherer?
- Warum ist die Regelreihenfolge wichtig?
- Warum sollte man Any-Any-Regeln vermeiden?
- Warum funktioniert ein Dienst trotz NAT-Regel nicht?
- Was ist der Unterschied zwischen Routing und Firewall?
- Warum können interne und externe Zugriffe unterschiedlich funktionieren?
- Was ist Hairpin NAT?
- Was ist Split DNS?
- Was bedeutet CGNAT?
Typische Prüfungsfallen
Firewall ist nicht NAT.
NAT ist nicht automatisch Firewall.
NAT übersetzt Adressen.
Firewall erlaubt oder blockiert Verkehr.
PAT übersetzt zusätzlich Ports.
Portweiterleitung macht interne Dienste von außen erreichbar.
NAT-Regel allein reicht nicht,
wenn Firewall blockiert.
Firewall-Regeln haben eine Richtung.
Regelreihenfolge ist wichtig.
Spezifische Regeln vor allgemeine Regeln.
Default Deny ist sicherer als Default Allow.
Any-Any-Regeln vermeiden.
DMZ ist nicht das interne LAN.
DMZ-Server dürfen nicht automatisch alles im LAN erreichen.
Öffentliche Dienste gehören besser in die DMZ.
Routing entscheidet den Weg.
Firewall entscheidet die Erlaubnis.
Port 443 offen heißt nicht,
dass HTTPS korrekt funktioniert.
CGNAT kann eingehende Portweiterleitungen verhindern.
Hairpin NAT betrifft internen Zugriff über öffentliche Adresse.
Split DNS kann Hairpin NAT vermeiden.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Firewall
kontrolliert Netzwerkverkehr
Paketfilter
prüft IP-Adressen, Ports und Protokolle
Stateful Firewall
merkt sich Verbindungszustände
Stateful Inspection
Prüfung, ob Verkehr zu bestehender Verbindung gehört
Regel
Bedingung mit Aktion
Allow
erlauben
Deny
blockieren
Drop
still verwerfen
Reject
aktiv ablehnen
Default Deny
alles blockieren außer ausdrücklich erlaubt
Zone
Sicherheitsbereich im Netzwerk
DMZ
separates Netz für öffentliche Dienste
NAT
Übersetzung von IP-Adressen
PAT
Übersetzung von IP-Adressen und Ports
Source NAT
Quelladresse wird geändert
Destination NAT
Zieladresse wird geändert
Portweiterleitung
externer Port wird intern weitergeleitet
Hairpin NAT
interner Zugriff über öffentliche Adresse
Split DNS
intern und extern unterschiedliche DNS-Antworten
CGNAT
Provider-NAT für mehrere Kunden
Any-Any
sehr weit gefasste Regel
Bastion Host
abgesicherter Sprungserver
Managementnetz
Netz für Administration
IHK-sichere Kurzformulierung
Eine Firewall kontrolliert Netzwerkverkehr zwischen Systemen oder Netzbereichen und entscheidet anhand von Regeln, ob Verbindungen erlaubt oder blockiert werden. Typische Kriterien sind Quelle, Ziel, Protokoll, Port, Richtung und Zone. Eine Stateful Firewall berücksichtigt zusätzlich den Zustand bestehender Verbindungen. NAT übersetzt IP-Adressen, während PAT zusätzlich Ports übersetzt. Eine Portweiterleitung ist eine Form von Destination NAT, bei der ein externer Port an ein internes Ziel weitergeleitet wird. Eine DMZ ist ein separates Netz für Dienste, die von außen erreichbar sein müssen, damit diese nicht direkt im internen LAN stehen. Firewall, NAT, Routing und DNS müssen gemeinsam korrekt konfiguriert sein, damit ein Dienst erreichbar ist.
Merksätze
Firewall kontrolliert Verkehr.
NAT übersetzt Adressen.
PAT übersetzt Adressen und Ports.
Firewall ist nicht NAT.
NAT ist nicht automatisch Firewall.
Routing findet den Weg.
Firewall erlaubt den Weg.
Default Deny ist sicherer.
Regelreihenfolge ist wichtig.
Spezifisch vor allgemein.
Any-Any vermeiden.
Drop schweigt.
Reject antwortet.
Stateful Firewall kennt Verbindungen.
DMZ = separates Netz für öffentliche Dienste.
DMZ schützt internes LAN.
DMZ darf keine freie Brücke ins LAN sein.
Portweiterleitung macht internen Dienst extern erreichbar.
NAT-Regel plus Firewall-Regel müssen passen.
Source NAT ändert Quelle.
Destination NAT ändert Ziel.
Private IPv4-Adressen sind intern gedacht.
Öffentliche IP-Adressen sind im Internet routbar.
CGNAT erschwert eingehende Verbindungen.
Hairpin NAT = intern über öffentliche Adresse.
Split DNS = intern andere Antwort als extern.
Jeder offene Port ist ein Risiko.
Firewall-Regeln dokumentieren und regelmäßig prüfen.
11.2 Firewall-Regeln und Regelwerke
Firewall-Regeln bestimmen,
welcher Netzwerkverkehr erlaubt oder blockiert wird.
Eine Firewall-Regel beantwortet im Kern diese Fragen:
Wer möchte kommunizieren?
Mit wem?
Über welches Protokoll?
Über welchen Port?
In welche Richtung?
Aus welcher Zone?
In welche Zone?
Soll der Verkehr erlaubt oder blockiert werden?
Merksatz:
Firewall-Regeln steuern,
wer mit wem über welchen Dienst kommunizieren darf.
Warum sind Firewall-Regeln so wichtig?
Eine Firewall ist nur so gut wie ihr Regelwerk.
Wenn Regeln zu offen sind,
entsteht ein Sicherheitsrisiko.
Wenn Regeln zu streng oder falsch sind,
funktionieren Dienste nicht.
Beispiele:
Webserver ist nicht erreichbar,
weil TCP 443 blockiert wird.
Datenbank ist zu offen erreichbar,
weil zu viele Quellen erlaubt sind.
Adminzugang ist aus dem Internet erreichbar,
weil eine alte Testregel vergessen wurde.
Merksatz:
Firewall-Regeln müssen sicher und funktionsfähig sein.
Bestandteile einer Firewall-Regel
Eine typische Firewall-Regel enthält:
- Aktion
- Quelle
- Ziel
- Dienst
- Protokoll
- Port
- Richtung
- Zone oder Interface
- Kommentar
- Logging
- Zeitplan
- Priorität oder Reihenfolge
Beispiel:
Aktion:
Erlauben
Quelle:
Admin-Netz
Ziel:
Webserver in DMZ
Dienst:
SSH TCP 22
Richtung:
LAN → DMZ
Merksatz:
Eine Firewall-Regel braucht Quelle,
Ziel,
Dienst
und Aktion.
Aktion
Die Aktion sagt,
was mit passendem Verkehr passieren soll.
Typische Aktionen:
Aktion
Bedeutung
Allow
erlauben
Deny
blockieren
Drop
still verwerfen
Reject
aktiv ablehnen
Log
protokollieren
NAT
übersetzen oder weiterleiten
Merksatz:
Aktion = Was macht die Firewall mit dem Verkehr?
Quelle
Die Quelle beschreibt,
woher der Verkehr kommt.
Beispiele:
- einzelne IP-Adresse
- Subnetz
- Sicherheitszone
- Interface
- Benutzergruppe
- VPN-Gruppe
- Hostobjekt
Beispiel:
Quelle:
192.168.10.0/24
bedeutet:
alle Geräte aus diesem Subnetz.
Merksatz:
Quelle = Wer startet die Verbindung?
Ziel
Das Ziel beschreibt,
wohin der Verkehr gehen soll.
Beispiele:
- einzelner Server
- Subnetz
- DMZ-Zone
- Internet
- Servergruppe
- Datenbankserver
- Reverse Proxy
Beispiel:
Ziel:
192.168.20.10
bedeutet:
genau dieser Zielhost.
Merksatz:
Ziel = Welches System soll erreicht werden?
Dienst
Der Dienst beschreibt,
welche Anwendung oder welcher Port verwendet wird.
Beispiele:
HTTP
HTTPS
DNS
SSH
RDP
SMB
SMTP
LDAP
NTP
Ein Dienstobjekt besteht meist aus:
Protokoll
plus
Port
Beispiel:
HTTPS:
TCP 443
Merksatz:
Dienst = Protokoll und Port des gewünschten Verkehrs.
Protokoll
Das Protokoll beschreibt,
ob zum Beispiel TCP, UDP oder ICMP verwendet wird.
Beispiele:
Protokoll
Beispiel
TCP
HTTP, HTTPS, SSH, SMB
UDP
DNS, DHCP, NTP, SNMP
ICMP
Ping, Fehlermeldungen
ESP
IPsec
GRE
bestimmte Tunnel
Merksatz:
Port allein reicht nicht,
das Transportprotokoll muss auch stimmen.
Port
Der Port gehört zur Transportschicht.
Beispiele:
Dienst
Port
HTTP
TCP 80
HTTPS
TCP 443
SSH
TCP 22
RDP
TCP 3389
DNS
UDP/TCP 53
NTP
UDP 123
SMB
TCP 445
Wichtig:
TCP 53 und UDP 53 sind nicht dasselbe.
TCP 443 und UDP 443 sind nicht dasselbe.
Merksatz:
Port immer zusammen mit TCP oder UDP betrachten.
Richtung
Die Richtung beschreibt,
von welcher Zone oder welchem Interface der Verkehr wohin geht.
Beispiele:
LAN → WAN
WAN → DMZ
DMZ → LAN
VPN → Servernetz
Gastnetz → Internet
Managementnetz → Switches
Viele Fehler entstehen,
weil Regeln in der falschen Richtung erstellt werden.
Merksatz:
Firewall-Regeln sind richtungsabhängig.
Zone
Eine Zone ist ein Sicherheitsbereich.
Beispiele:
- LAN
- WAN
- DMZ
- Gastnetz
- Servernetz
- Managementnetz
- VPN
- IoT-Netz
Regeln werden häufig von Zone zu Zone definiert.
Beispiel:
LAN → WAN:
HTTPS erlauben
WAN → LAN:
blockieren
Merksatz:
Zonen helfen,
Netzbereiche mit unterschiedlichem Schutzbedarf zu trennen.
Interface
Ein Interface ist eine konkrete Netzwerkschnittstelle der Firewall.
Beispiele:
WAN-Port
LAN-Port
DMZ-Port
VLAN-Interface
VPN-Interface
Manche Firewalls arbeiten stärker mit Interfaces,
andere stärker mit Zonen.
Merksatz:
Interface = konkrete Schnittstelle,
Zone = logischer Sicherheitsbereich.
Regelreihenfolge
Viele Firewalls prüfen Regeln von oben nach unten.
Die erste passende Regel entscheidet.
Beispiel:
Regel 1:
Blockiere LAN → Server TCP 443
Regel 2:
Erlaube LAN → Server TCP 443
Ergebnis:
Verkehr wird blockiert,
weil Regel 1 zuerst passt.
Merksatz:
Die erste passende Regel gewinnt.
Spezifisch vor allgemein
Spezifische Regeln sollten vor allgemeinen Regeln stehen.
Beispiel richtig:
Regel 1:
Erlaube Admin-PC → Server SSH
Regel 2:
Blockiere restliches SSH
Beispiel falsch:
Regel 1:
Blockiere restliches SSH
Regel 2:
Erlaube Admin-PC → Server SSH
Im falschen Beispiel wird die Erlaubnis nie erreicht.
Merksatz:
Spezifische Regeln vor allgemeine Regeln setzen.
Explizite Regeln
Explizite Regeln sind bewusst angelegte Regeln.
Beispiel:
Erlaube Webserver → Datenbank TCP 5432
Diese Regel beschreibt genau:
wer
wohin
über welchen Dienst
kommunizieren darf.
Merksatz:
Explizite Regeln sind gezielte Erlaubnisse oder Verbote.
Implizite Regel
Viele Firewalls haben am Ende eine implizite Regel.
Diese lautet häufig sinngemäß:
Alles blockieren,
was nicht vorher erlaubt wurde.
Das nennt man oft:
implicit deny
Diese Regel ist nicht immer sichtbar,
wirkt aber trotzdem.
Merksatz:
Am Ende steht oft ein unsichtbares „alles blockieren“.
Default Deny
Default Deny bedeutet:
Standardmäßig ist alles verboten,
außer es wurde ausdrücklich erlaubt.
Das ist sicherer,
weil neue oder vergessene Dienste nicht automatisch erreichbar sind.
Beispiel:
LAN → WAN nur HTTP, HTTPS und DNS erlauben.
Alles andere blockieren.
Merksatz:
Default Deny ist ein wichtiges Sicherheitsprinzip.
Default Allow
Default Allow bedeutet:
Standardmäßig ist alles erlaubt,
außer es wurde ausdrücklich blockiert.
Das ist einfacher,
aber riskanter.
Problem:
Unbekannte Dienste können unbeabsichtigt erreichbar sein.
Merksatz:
Default Allow ist bequem,
aber oft unsicherer.
Allow-Regel
Eine Allow-Regel erlaubt bestimmten Verkehr.
Beispiel:
Erlaube
Quelle: LAN
Ziel: Internet
Dienst: HTTPS TCP 443
Bedeutung:
Clients im LAN dürfen HTTPS-Verbindungen ins Internet aufbauen.
Merksatz:
Allow-Regel öffnet gezielt Kommunikation.
Deny-Regel
Eine Deny-Regel blockiert bestimmten Verkehr.
Beispiel:
Blockiere
Quelle: Gastnetz
Ziel: LAN
Dienst: any
Bedeutung:
Gäste dürfen nicht auf interne Systeme zugreifen.
Merksatz:
Deny-Regel verhindert bestimmte Kommunikation.
Drop-Regel
Drop bedeutet:
Paket wird still verworfen.
Der Absender bekommt keine direkte Antwort.
Vorteil:
weniger Informationen für Angreifer
Nachteil:
Fehlersuche kann schwieriger sein,
weil Verbindungen einfach timeouten.
Merksatz:
Drop = still verwerfen.
Reject-Regel
Reject bedeutet:
Paket wird aktiv abgelehnt.
Der Absender erhält eine Rückmeldung.
Vorteil:
Fehlersuche oft klarer
Nachteil:
Absender erfährt,
dass ein System oder Filter aktiv antwortet.
Merksatz:
Reject = aktiv ablehnen.
Logging bei Firewall-Regeln
Logging bedeutet:
Treffer einer Regel werden protokolliert.
Logs können zeigen:
- Quelle
- Ziel
- Port
- Protokoll
- Zeit
- Aktion
- Regelname
- Zone
- Interface
Logging ist wichtig für:
- Fehlersuche
- Sicherheitsanalyse
- Nachvollziehbarkeit
- Angriffserkennung
Merksatz:
Ohne Firewall-Logs ist Fehlersuche oft blind.
Nicht jede Regel sollte alles loggen
Zu viel Logging kann problematisch sein.
Nachteile:
- sehr große Logmengen
- wichtige Ereignisse gehen unter
- Speicherverbrauch
- Performancebelastung
- unübersichtliche Analyse
Sinnvoll:
wichtige erlaubte Zugriffe loggen
wichtige Blockierungen loggen
Standardrauschen begrenzen
Merksatz:
Logging gezielt einsetzen.
Objekte in Firewall-Regeln
Viele Firewalls nutzen Objekte.
Beispiele:
Hostobjekt:
webserver01 = 192.168.20.10
Netzwerkobjekt:
LAN = 192.168.10.0/24
Dienstobjekt:
HTTPS = TCP 443
Vorteil:
Regeln werden lesbarer und leichter pflegbar.
Merksatz:
Objekte machen Firewall-Regeln übersichtlicher.
Adressobjekte
Adressobjekte beschreiben IP-Adressen oder Netze.
Beispiele:
Admin-PC = 192.168.10.50
Webserver = 192.168.20.10
Servernetz = 192.168.20.0/24
Gastnetz = 192.168.50.0/24
Merksatz:
Adressobjekte benennen IP-Adressen und Netze.
Dienstobjekte
Dienstobjekte beschreiben Ports und Protokolle.
Beispiele:
HTTPS = TCP 443
DNS = UDP/TCP 53
SSH = TCP 22
NTP = UDP 123
Merksatz:
Dienstobjekte benennen Protokoll-Port-Kombinationen.
Gruppenobjekte
Objekte können zu Gruppen zusammengefasst werden.
Beispiel:
Webdienste:
HTTP
HTTPS
Oder:
Admin-Hosts:
Admin-PC-1
Admin-PC-2
Bastion-Host
Vorteil:
weniger doppelte Regeln
bessere Übersicht
Merksatz:
Gruppenobjekte vereinfachen Regelwerke.
Any
Any bedeutet:
beliebig
Beispiele:
Quelle: any
Ziel: any
Dienst: any
Any kann sinnvoll sein,
ist aber gefährlich,
wenn es zu großzügig verwendet wird.
Besonders riskant:
Quelle any
Ziel any
Dienst any
Aktion allow
Merksatz:
Any sparsam verwenden.
Any-Any-Regel
Eine Any-Any-Regel erlaubt sehr viel.
Beispiel:
Quelle: any
Ziel: any
Dienst: any
Aktion: allow
Das ist meistens ein Sicherheitsproblem.
Solche Regeln sollten vermieden,
dokumentiert oder zeitlich begrenzt werden.
Merksatz:
Any-Any ist fast immer zu offen.
Temporäre Regeln
Temporäre Firewall-Regeln entstehen oft für Tests oder Störungen.
Problem:
Sie werden später vergessen.
Deshalb sollten temporäre Regeln enthalten:
- Zweck
- Verantwortlicher
- Ablaufdatum
- Ticketnummer
- Kommentar
- Review-Datum
Merksatz:
Temporäre Regeln brauchen Ablaufdatum.
Kommentare in Firewall-Regeln
Kommentare helfen,
den Zweck einer Regel zu verstehen.
Ein guter Kommentar enthält:
- Warum existiert die Regel?
- Wer hat sie angefordert?
- Welcher Dienst wird benötigt?
- Gibt es ein Ticket?
- Ist sie dauerhaft oder temporär?
Schlecht:
Test
Besser:
Ticket 1234: Webserver DMZ darf Datenbank TCP 5432 erreichen.
Merksatz:
Firewall-Regeln ohne Kommentar werden später unklar.
Regeln nach Diensten planen
Regeln sollten vom benötigten Dienst aus geplant werden.
Beispiel:
Anwendung braucht Datenbankzugriff.
Dann fragt man:
Welche Quelle?
Welches Ziel?
Welcher Port?
Welches Protokoll?
Welche Richtung?
Dauerhaft oder temporär?
Muss es geloggt werden?
Merksatz:
Erst Bedarf klären,
dann Regel erstellen.
Regel zu breit
Eine zu breite Regel erlaubt mehr als nötig.
Beispiel schlecht:
LAN → Servernetz any erlauben
Besser:
Anwendungsserver → Datenbank TCP 5432 erlauben
Warum?
Wenn ein Client kompromittiert wird,
kann er bei breiten Regeln mehr Ziele erreichen.
Merksatz:
Breite Regeln erhöhen die Angriffsfläche.
Regel zu eng
Eine zu enge oder falsche Regel kann Dienste stören.
Beispiel:
DNS nur UDP 53 erlaubt,
aber TCP 53 wird für bestimmte Antworten benötigt.
Oder:
FTP-Port 21 erlaubt,
aber passive Datenports fehlen.
Merksatz:
Regeln müssen sicher,
aber technisch vollständig sein.
Rückverkehr
Bei Stateful Firewalls wird Rückverkehr oft automatisch erlaubt,
wenn er zu einer bestehenden Verbindung gehört.
Beispiel:
Client → Webserver TCP 443 erlaubt
Antwort:
Webserver → Client gehört zur bestehenden Verbindung
und wird erlaubt.
Bei stateless Regeln muss Rückverkehr oft separat betrachtet werden.
Merksatz:
Stateful Firewalls erleichtern Rückverkehr.
Asymmetrischer Rückweg
Eine Stateful Firewall erwartet,
dass Hin- und Rückverkehr über dieselbe Firewall laufen.
Wenn der Rückweg anders läuft,
kennt die Firewall die Verbindung nicht.
Folge:
Antwortverkehr kann blockiert werden.
Merksatz:
Stateful Firewalls brauchen passenden Hin- und Rückweg.
Regelrichtung bei Client-Server-Kommunikation
Bei Client-Server-Kommunikation startet meistens der Client die Verbindung.
Beispiel:
Client im LAN ruft Webserver in DMZ auf.
Regel:
Quelle: LAN-Client
Ziel: DMZ-Webserver
Dienst: HTTPS TCP 443
Nicht umgekehrt.
Merksatz:
Regelrichtung nach Verbindungsaufbau bestimmen.
Quellport und Zielport
Bei Client-Server-Verbindungen ist der Zielport meist der bekannte Dienstport.
Beispiel:
Client-Quellport:
zufällig hoher Port
Server-Zielport:
TCP 443
Firewall-Regeln beziehen sich meist auf den Zielport des Dienstes.
Merksatz:
Standardport ist meistens Zielport beim Server.
Ephemeral Ports
Ephemeral Ports sind kurzlebige hohe Ports,
die Clients für ausgehende Verbindungen verwenden.
Beispiel:
Client 192.168.10.50:53124
→ Webserver 203.0.113.10:443
Der Quellport 53124 ist ein temporärer Clientport.
Merksatz:
Clients nutzen temporäre Quellports.
ICMP in Firewall-Regeln
ICMP ist wichtig für Diagnose und Netzwerkfunktion.
Beispiele:
- Ping
- Ziel nicht erreichbar
- Fragmentierung nötig
- Time Exceeded bei Traceroute
ICMP komplett zu blockieren kann Fehlersuche erschweren
und bestimmte Netzwerkfunktionen stören.
Merksatz:
ICMP ist mehr als nur Ping.
Ping erlauben oder blockieren?
Ping kann bei Fehlersuche helfen.
Aber:
Ping offen zeigt,
dass ein System erreichbar ist.
In vielen Umgebungen wird Ping intern erlaubt,
extern aber eingeschränkt.
Wichtig ist eine bewusste Entscheidung.
Merksatz:
ICMP bewusst regeln,
nicht blind alles blockieren.
DNS-Regeln
DNS braucht je nach Fall UDP und TCP 53.
Typische Regel:
Clients → interner DNS-Server UDP/TCP 53 erlauben
Nicht ideal:
Alle Clients → beliebige externe DNS-Server erlauben
Warum?
Interne DNS-Kontrolle,
Filterung
und Protokollierung können umgangen werden.
Merksatz:
DNS gezielt zu erlaubten Resolvern steuern.
HTTP- und HTTPS-Regeln
Typische ausgehende Webregel:
Clients → Internet TCP 80 und TCP 443 erlauben
Sicherer:
über Proxy steuern
oder
Zielkategorien beschränken
Wichtig:
TCP 443 erlaubt nicht automatisch sichere Anwendung,
weil auch unerwünschter Verkehr über 443 laufen kann.
Merksatz:
HTTPS-Port offen heißt nicht automatisch sicherer Inhalt.
Administrationsregeln
Administrative Zugriffe sollten besonders eingeschränkt werden.
Beispiele:
SSH nur aus Managementnetz
RDP nur über VPN
Firewall-Webinterface nur von Admin-PCs
Datenbankport nicht für Clients öffnen
Hypervisor-Management getrennt halten
Merksatz:
Adminzugriffe nur aus Managementbereichen erlauben.
Datenbankregeln
Datenbanken sollten nicht allgemein erreichbar sein.
Beispiel:
Webserver → Datenbank TCP 5432 erlauben
Aber nicht:
gesamtes LAN → Datenbank any erlauben
Datenbankzugriff ist besonders sensibel.
Merksatz:
Datenbanken nur für notwendige Systeme öffnen.
DMZ-Regeln
In einer DMZ gilt:
Internet → DMZ:
nur öffentliche Dienste erlauben
DMZ → LAN:
nur zwingend notwendige Verbindungen erlauben
LAN → DMZ:
Administration nur gezielt erlauben
Beispiel:
Internet → Reverse Proxy TCP 443 erlauben
Reverse Proxy → interner Webdienst TCP 8080 erlauben
Reverse Proxy → gesamtes LAN any blockieren
Merksatz:
DMZ-Regeln müssen besonders eng sein.
Gastnetz-Regeln
Typische Gastnetzregeln:
Gastnetz → Internet:
HTTP/HTTPS/DNS erlauben
Gastnetz → LAN:
blockieren
Gastnetz → Managementnetz:
blockieren
Gastnetz → Servernetz:
blockieren
Merksatz:
Gäste bekommen Internet,
aber keinen internen Zugriff.
IoT-Regeln
IoT-Geräte sollten eingeschränkt werden.
Beispiele:
IoT → Internet nur notwendige Dienste
IoT → LAN blockieren
Admin-Netz → IoT-Verwaltung erlauben
IoT → DNS nur zu internem Resolver
IoT → NTP nur zu freigegebenem Zeitserver
Merksatz:
IoT-Geräte nur kontrolliert kommunizieren lassen.
VPN-Regeln
VPN-Zugriff sollte nicht automatisch alles erlauben.
Besser:
VPN-Gruppe Support → bestimmte Server RDP
VPN-Gruppe Admin → Managementnetz SSH
VPN-Gruppe Extern → nur benötigte Anwendung
Merksatz:
VPN-Zugriff nach Rolle und Bedarf einschränken.
Regelprüfung bei Störung
Wenn ein Dienst nicht funktioniert,
prüft man bei der Firewall:
- kommt Verkehr an?
- welche Regel greift?
- wird erlaubt oder blockiert?
- stimmt Quelle?
- stimmt Ziel?
- stimmt Port?
- stimmt Protokoll?
- stimmt Richtung?
- greift vorher eine Blockregel?
- ist NAT zusätzlich nötig?
- gibt es Rückverkehr?
Merksatz:
Bei Störung immer die tatsächlich getroffene Regel prüfen.
Hit Count
Viele Firewalls zeigen,
wie oft eine Regel getroffen wurde.
Das nennt man oft:
Hit Count
Nützlich für:
- aktive Regeln erkennen
- ungenutzte Regeln finden
- Regelprüfung
- Aufräumen
- Fehlersuche
Aber:
Kein Hit Count heißt nicht immer,
dass Regel sicher gelöscht werden kann.
Merksatz:
Hit Count hilft,
ersetzt aber keine fachliche Prüfung.
Shadowed Rule
Eine shadowed rule ist eine Regel,
die nie erreicht wird,
weil eine vorherige Regel den Verkehr bereits behandelt.
Beispiel:
Regel 1:
Blockiere LAN → Server any
Regel 2:
Erlaube LAN → Server HTTPS
Regel 2 wird nie wirken,
wenn Regel 1 vorher greift.
Merksatz:
Shadowed Rule = Regel wird durch frühere Regel verdeckt.
Redundante Regel
Eine redundante Regel ist überflüssig,
weil eine andere Regel denselben Verkehr bereits behandelt.
Problem:
Regelwerk wird unübersichtlich.
Merksatz:
Redundante Regeln erschweren Wartung und Fehlersuche.
Regelkonflikt
Ein Regelkonflikt entsteht,
wenn Regeln widersprüchlich oder unklar wirken.
Beispiel:
Eine Regel erlaubt Zugriff.
Eine andere blockiert scheinbar denselben Zugriff.
Entscheidend ist dann:
Reihenfolge
Genauigkeit
Zonen
Objekte
tatsächlicher Treffer
Merksatz:
Bei Konflikten zählt die Regel,
die tatsächlich zuerst passt.
Firewall-Änderungsprozess
Firewall-Änderungen sollten kontrolliert ablaufen.
Typischer Ablauf:
1. Anforderung stellen.
2. Zweck beschreiben.
3. Quelle, Ziel und Dienst angeben.
4. Risiko bewerten.
5. Änderung genehmigen.
6. Regel umsetzen.
7. Funktion testen.
8. Dokumentation aktualisieren.
9. Regel später überprüfen.
Merksatz:
Firewall-Änderungen brauchen Kontrolle und Dokumentation.
Vor einer Regeländerung klären
Vor einer Firewall-Regeländerung sollte klar sein:
Wer braucht Zugriff?
Von wo nach wo?
Welcher Dienst?
Welcher Port?
TCP oder UDP?
Dauerhaft oder temporär?
Muss NAT eingerichtet werden?
Gibt es Sicherheitsrisiken?
Gibt es eine bessere Alternative?
Wer ist verantwortlich?
Merksatz:
Keine Firewall-Regel ohne klaren Zweck.
Nach einer Regeländerung testen
Nach Änderung testet man:
funktioniert der Dienst?
ist nur gewünschter Zugriff möglich?
sind unerwünschte Zugriffe blockiert?
erscheinen Logs korrekt?
greift die richtige Regel?
ist NAT korrekt?
funktioniert Rückverkehr?
ist Dokumentation aktualisiert?
Merksatz:
Firewall-Regel nach Änderung immer testen.
Regelbereinigung
Regelwerke sollten regelmäßig bereinigt werden.
Dabei prüft man:
- alte Regeln
- temporäre Regeln
- ungenutzte Regeln
- Any-Any-Regeln
- redundante Regeln
- shadowed rules
- fehlende Kommentare
- zu breite Freigaben
- nicht mehr benötigte Dienste
Merksatz:
Firewall-Regelwerke altern und müssen gepflegt werden.
Typische Fehler bei Firewall-Regeln
Typische Fehler sind:
- falsche Richtung
- falsche Quelle
- falsches Ziel
- falscher Port
- TCP statt UDP oder umgekehrt
- falsche Zone
- falsche Regelreihenfolge
- NAT vergessen
- Rückweg vergessen
- DNS-Name zeigt auf anderes Ziel
- Objekt falsch gepflegt
- temporäre Regel vergessen
- zu breite Any-Regel
Merksatz:
Firewall-Fehler sind oft Detailfehler.
Beispiel: Webserver in DMZ freigeben
Anforderung:
Externe Benutzer sollen Webserver in DMZ per HTTPS erreichen.
Benötigt:
Quelle:
Internet
Ziel:
Webserver oder Reverse Proxy in DMZ
Dienst:
HTTPS TCP 443
Richtung:
WAN → DMZ
NAT:
öffentliche IP auf DMZ-Ziel weiterleiten
Firewall:
TCP 443 erlauben
Merksatz:
Externer Webdienst braucht NAT und passende Firewall-Regel.
Beispiel: Adminzugriff auf DMZ-Server
Anforderung:
Administrator soll per SSH auf DMZ-Server zugreifen.
Besser:
Quelle:
Admin-Netz oder Bastion Host
Ziel:
DMZ-Server
Dienst:
SSH TCP 22
Richtung:
Management → DMZ
Nicht gut:
Internet → DMZ-Server SSH erlauben
Merksatz:
Administration nicht aus beliebigen Quellen erlauben.
Beispiel: Webserver zur Datenbank
Anforderung:
Webserver braucht Datenbankzugriff.
Regel:
Quelle:
Webserver
Ziel:
Datenbankserver
Dienst:
passender Datenbankport
Richtung:
DMZ oder App-Netz → DB-Netz
Wichtig:
Nicht gesamtes Netz zur Datenbank erlauben.
Merksatz:
Datenbankzugriff nur von notwendigen Systemen erlauben.
Beispiel: DNS im Clientnetz
Anforderung:
Clients sollen Namen auflösen.
Regel:
Quelle:
Clientnetz
Ziel:
interner DNS-Server
Dienst:
DNS UDP/TCP 53
Optional:
externe DNS-Server für Clients blockieren,
damit DNS zentral kontrolliert bleibt.
Merksatz:
Clients sollten definierte DNS-Resolver nutzen.
Beispiel: Gastnetz
Anforderung:
Gäste brauchen Internet,
aber keinen Zugriff ins LAN.
Regeln:
Gastnetz → Internet HTTPS erlauben
Gastnetz → Internet DNS erlauben
Gastnetz → LAN blockieren
Gastnetz → Managementnetz blockieren
Gastnetz → Servernetz blockieren
Merksatz:
Gastnetz strikt vom internen Netz trennen.
Was Firewall-Regelwerke nicht lösen
Firewall-Regeln lösen nicht automatisch:
- falsche Anwendungskonfiguration
- schwache Passwörter
- fehlende Updates
- unsichere Dienste
- fehlerhafte DNS-Einträge
- falsche Zertifikate
- schlechte Berechtigungen
- fehlendes Monitoring
- fehlende Backups
Merksatz:
Firewall-Regeln sind wichtig,
ersetzen aber kein Gesamtsicherheitskonzept.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Welche Bestandteile hat eine Firewall-Regel?
- Warum ist die Regelreihenfolge wichtig?
- Was bedeutet Default Deny?
- Was ist der Unterschied zwischen Allow, Drop und Reject?
- Warum sind Any-Any-Regeln gefährlich?
- Warum sollten spezifische Regeln vor allgemeinen Regeln stehen?
- Was ist eine implizite Deny-Regel?
- Was ist ein Dienstobjekt?
- Was ist ein Adressobjekt?
- Was ist eine shadowed rule?
- Warum müssen Firewall-Regeln dokumentiert werden?
- Warum sind temporäre Regeln riskant?
- Wie prüft man eine Firewall-Regel bei einer Störung?
- Warum reicht eine NAT-Regel allein nicht aus?
- Warum sollte VPN-Zugriff nicht automatisch alles erlauben?
Typische Prüfungsfallen
Firewall-Regeln sind richtungsabhängig.
Die erste passende Regel entscheidet.
Spezifisch vor allgemein.
Port immer mit Protokoll betrachten.
TCP 53 ist nicht UDP 53.
TCP 443 ist nicht UDP 443.
Any bedeutet beliebig.
Any-Any ist meist zu offen.
Default Deny ist sicherer als Default Allow.
Drop und Reject sind nicht dasselbe.
Logging ist wichtig,
aber zu viel Logging kann unübersichtlich werden.
NAT ersetzt keine Firewall-Regel.
Firewall-Regel ersetzt keine NAT-Regel.
Rückverkehr bei Stateful Firewalls beachten.
Asymmetrisches Routing kann Stateful Firewalls stören.
Temporäre Regeln brauchen Ablaufdatum.
Regeln ohne Kommentar werden später problematisch.
VPN-Zugriff muss ebenfalls eingeschränkt werden.
DNS-Regeln sollten UDP und TCP beachten.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Firewall-Regel
Bedingung mit Aktion für Netzwerkverkehr
Aktion
erlauben, blockieren, verwerfen oder ablehnen
Quelle
System oder Netz, von dem Verkehr ausgeht
Ziel
System oder Netz, das erreicht werden soll
Dienst
Protokoll-Port-Kombination
Richtung
Verkehrsrichtung zwischen Zonen oder Interfaces
Zone
logischer Sicherheitsbereich
Interface
konkrete Netzwerkschnittstelle
Allow
Verkehr erlauben
Deny
Verkehr blockieren
Drop
Paket still verwerfen
Reject
Paket aktiv ablehnen
Default Deny
alles blockieren, außer erlaubt
Any
beliebige Quelle, beliebiges Ziel oder beliebiger Dienst
Any-Any
sehr breite Regel mit beliebig zu beliebig
Hit Count
Anzahl der Regel-Treffer
Shadowed Rule
verdeckte Regel, die nie erreicht wird
Redundante Regel
überflüssige doppelte Regel
Dienstobjekt
benannter Port mit Protokoll
Adressobjekt
benannte IP-Adresse oder Netz
Regelreview
regelmäßige Prüfung des Regelwerks
IHK-sichere Kurzformulierung
Firewall-Regeln legen fest, welcher Netzwerkverkehr erlaubt oder blockiert wird. Eine Regel besteht typischerweise aus Aktion, Quelle, Ziel, Dienst, Protokoll, Port, Richtung und Zone. Viele Firewalls arbeiten Regeln von oben nach unten ab, sodass die erste passende Regel entscheidet. Deshalb müssen spezifische Regeln vor allgemeinen Regeln stehen. Das Prinzip Default Deny bedeutet, dass alles blockiert wird, was nicht ausdrücklich erlaubt wurde. Firewall-Regeln sollten möglichst eng gefasst, dokumentiert, regelmäßig überprüft und nach Änderungen getestet werden. NAT-Regeln und Firewall-Regeln sind zu unterscheiden: NAT übersetzt Adressen oder Ports, die Firewall erlaubt oder blockiert den Verkehr.
Merksätze
Firewall-Regel = Quelle,
Ziel,
Dienst
und Aktion.
Aktion entscheidet,
was mit Verkehr passiert.
Quelle = wer startet Verbindung.
Ziel = wer soll erreicht werden.
Dienst = Protokoll plus Port.
Port immer mit TCP oder UDP betrachten.
Richtung ist entscheidend.
Zone = Sicherheitsbereich.
Interface = konkrete Schnittstelle.
Die erste passende Regel gewinnt.
Spezifisch vor allgemein.
Default Deny ist sicherer.
Allow erlaubt.
Deny blockiert.
Drop schweigt.
Reject antwortet.
Any sparsam verwenden.
Any-Any vermeiden.
NAT ersetzt keine Firewall-Regel.
Firewall-Regel ersetzt keine NAT-Regel.
Stateful Firewall kennt Rückverkehr.
Asymmetrischer Rückweg kann stören.
DNS braucht oft UDP und TCP 53.
Adminzugriffe nur aus Managementnetzen erlauben.
Datenbanken nur für notwendige Systeme öffnen.
VPN-Zugriff nicht automatisch alles erlauben.
Temporäre Regeln brauchen Ablaufdatum.
Kommentare erklären den Zweck.
Hit Count hilft beim Prüfen.
Shadowed Rules finden und bereinigen.
Firewall-Regeln regelmäßig überprüfen.
11.3 NAT, PAT und Portweiterleitung im Detail
NAT und PAT werden in IPv4-Netzwerken sehr häufig eingesetzt.
Sie ermöglichen,
dass interne private IP-Adressen mit externen Netzen kommunizieren können.
NAT steht für:
Network Address Translation
PAT steht für:
Port Address Translation
Portweiterleitung wird genutzt,
um einen internen Dienst von außen erreichbar zu machen.
Merksatz:
NAT übersetzt IP-Adressen.
PAT übersetzt IP-Adressen und Ports.
Portweiterleitung macht interne Dienste erreichbar.
Warum gibt es NAT?
IPv4-Adressen sind begrenzt.
Deshalb werden in lokalen Netzwerken häufig private IPv4-Adressen verwendet.
Diese privaten Adressen sind im Internet nicht direkt geroutet.
Beispiele:
192.168.1.10
10.0.0.20
172.16.5.30
Damit solche Geräte trotzdem ins Internet können,
übersetzt ein Router oder eine Firewall die privaten Adressen in eine öffentliche Adresse.
Merksatz:
NAT ermöglicht Internetzugang mit privaten IPv4-Adressen.
Private IPv4-Adressen
Private IPv4-Adressbereiche sind für interne Netze vorgesehen.
Bereich
CIDR
typische Nutzung
10.0.0.0 bis 10.255.255.255
10.0.0.0/8
große interne Netze
172.16.0.0 bis 172.31.255.255
172.16.0.0/12
mittlere interne Netze
192.168.0.0 bis 192.168.255.255
192.168.0.0/16
Heimnetze und kleine Netze
Diese Adressen sind im öffentlichen Internet nicht direkt erreichbar.
Merksatz:
Private IPv4-Adressen sind intern nutzbar,
aber nicht öffentlich geroutet.
Öffentliche IPv4-Adresse
Eine öffentliche IPv4-Adresse ist im Internet routbar.
Sie wird zum Beispiel vom Internetanbieter zugewiesen.
Beispiel:
Router WAN-Adresse:
öffentliche IPv4-Adresse
Client im LAN:
private IPv4-Adresse
Der Router übersetzt beim Internetzugriff die private Adresse in die öffentliche Adresse.
Merksatz:
Öffentliche IP-Adresse ist im Internet sichtbar.
NAT-Grundprinzip
Ein interner Client baut eine Verbindung ins Internet auf.
Vor NAT:
Quelle:
192.168.10.50
Ziel:
93.184.216.34
Nach NAT:
Quelle:
öffentliche IP des Routers
Ziel:
93.184.216.34
Der externe Server sieht nicht die private IP des Clients,
sondern die öffentliche IP der Firewall oder des Routers.
Merksatz:
NAT versteckt private Quelladressen hinter einer öffentlichen Adresse.
NAT-Tabelle
Damit Antworten wieder zum richtigen internen Client zurückkommen,
führt das NAT-Gerät eine Zuordnungstabelle.
Dort steht vereinfacht:
Interner Client mit internem Port
gehört zu
externer Verbindung mit übersetztem Port.
Beispiel:
intern
extern sichtbar
Ziel
192.168.10.50:50123
203.0.113.10:61001
93.184.216.34:443
192.168.10.51:50200
203.0.113.10:61002
93.184.216.34:443
Merksatz:
NAT merkt sich,
welche interne Verbindung zu welcher externen Verbindung gehört.
Source NAT
Source NAT ändert die Quelladresse.
Typischer Fall:
interner Client geht ins Internet.
Vor Source NAT:
Quelle:
192.168.10.50
Ziel:
93.184.216.34
Nach Source NAT:
Quelle:
öffentliche IP
Ziel:
93.184.216.34
Merksatz:
Source NAT ändert die Quelle.
Destination NAT
Destination NAT ändert die Zieladresse.
Typischer Fall:
externer Zugriff auf internen Dienst.
Beispiel:
öffentliche IP TCP 443
wird weitergeleitet an
interner Webserver TCP 443
Vor Destination NAT:
Ziel:
öffentliche IP:443
Nach Destination NAT:
Ziel:
192.168.10.20:443
Merksatz:
Destination NAT ändert das Ziel.
PAT
PAT steht für:
Port Address Translation
PAT übersetzt zusätzlich Ports.
Das ist besonders wichtig,
wenn viele interne Geräte dieselbe öffentliche IPv4-Adresse verwenden.
Beispiel:
Client A:
192.168.10.10:50001
Client B:
192.168.10.11:50001
Extern kann beides über dieselbe öffentliche IP laufen,
weil unterschiedliche übersetzte Ports genutzt werden.
Merksatz:
PAT macht viele interne Verbindungen über eine öffentliche IP möglich.
NAT und PAT vergleichen
Begriff
Bedeutung
Beispiel
NAT
IP-Adresse wird übersetzt
192.168.10.50 → öffentliche IP
PAT
IP-Adresse und Port werden übersetzt
192.168.10.50:50123 → öffentliche IP:61001
Source NAT
Quelle wird geändert
LAN → Internet
Destination NAT
Ziel wird geändert
Internet → interner Server
Portweiterleitung
externer Port wird intern weitergeleitet
WAN:443 → Server:443
Merksatz:
NAT = Adresse.
PAT = Adresse plus Port.
Warum PAT so häufig ist
In Heimnetzen und kleinen Unternehmensnetzen gibt es oft nur eine öffentliche IPv4-Adresse.
Trotzdem sollen viele Geräte gleichzeitig ins Internet.
Beispiele:
Notebook
Smartphone
Server
Drucker
Smart-TV
NAS
virtuelle Maschinen
PAT unterscheidet diese Verbindungen über Ports.
Merksatz:
PAT löst das Problem,
dass viele interne Geräte eine öffentliche IPv4-Adresse teilen.
Portweiterleitung
Portweiterleitung bedeutet:
Ein Port auf der öffentlichen Adresse wird an ein internes Ziel weitergeleitet.
Beispiel:
öffentliche IP:443
→ 192.168.10.20:443
Oder:
öffentliche IP:8443
→ 192.168.10.20:443
Portweiterleitung ist eine Form von Destination NAT.
Merksatz:
Portweiterleitung leitet externe Anfragen an interne Dienste weiter.
Beispiel: Webserver intern veröffentlichen
Situation:
Interner Webserver:
192.168.10.20
Dienst:
HTTPS TCP 443
Ziel:
Benutzer aus dem Internet sollen den Webserver erreichen.
Benötigt:
DNS zeigt auf öffentliche IP.
Portweiterleitung WAN:443 → 192.168.10.20:443.
Firewall-Regel erlaubt TCP 443.
Webserver hört auf TCP 443.
Zertifikat passt zum Hostnamen.
Merksatz:
Externer Webzugriff braucht DNS,
NAT,
Firewall,
Dienst
und Zertifikat.
Portweiterleitung und Firewall-Regel
Eine Portweiterleitung allein reicht nicht immer.
Man braucht oft zusätzlich eine Firewall-Regel.
NAT-Regel:
Wohin soll der Verkehr übersetzt werden?
Firewall-Regel:
Darf der Verkehr überhaupt durch?
Beispiel:
NAT:
WAN:443 → Webserver:443
Firewall:
Erlaube WAN → Webserver TCP 443
Wenn die Firewall blockiert,
funktioniert der Zugriff trotz NAT nicht.
Merksatz:
NAT leitet um.
Firewall erlaubt oder blockiert.
Portweiterleitung und DNS
Damit Benutzer einen Dienst bequem erreichen,
wird meist ein DNS-Name genutzt.
Beispiel:
cloud.firma.de
→ öffentliche IP
Dann leitet die Firewall weiter:
öffentliche IP:443
→ interner Server:443
Wenn DNS auf die falsche IP zeigt,
erreicht der Benutzer den falschen Anschluss oder Server.
Merksatz:
DNS muss zur öffentlichen Adresse der Portweiterleitung passen.
Portweiterleitung und Zertifikate
Bei HTTPS muss das Zertifikat zum aufgerufenen Namen passen.
Beispiel:
Benutzer ruft auf:
https://cloud.firma.de
Zertifikat muss gültig sein für:
cloud.firma.de
Wenn DNS oder Portweiterleitung auf den falschen Server zeigt,
kann ein falsches Zertifikat ausgeliefert werden.
Merksatz:
HTTPS-Veröffentlichung braucht passenden DNS-Namen und passendes Zertifikat.
Portweiterleitung und Reverse Proxy
Oft wird nicht jeder interne Dienst direkt veröffentlicht.
Stattdessen zeigt die Portweiterleitung auf einen Reverse Proxy.
Beispiel:
öffentliche IP:443
→ Reverse Proxy in DMZ
Der Reverse Proxy leitet dann nach Hostname weiter:
wiki.firma.de → interner Wiki-Server
cloud.firma.de → interner Cloud-Server
git.firma.de → interner Git-Server
Merksatz:
Reverse Proxy kann mehrere interne Webdienste über HTTPS bündeln.
Portweiterleitung und mehrere Dienste
Ein öffentlicher Port kann auf einer öffentlichen IP nur einmal eindeutig belegt werden.
Beispiel:
öffentliche IP:443
kann nicht gleichzeitig direkt auf drei verschiedene Server zeigen.
Lösung:
Reverse Proxy mit Hostnamen
oder
unterschiedliche externe Ports
oder
mehrere öffentliche IP-Adressen
Merksatz:
Ein Port auf einer IP kann nur eindeutig einem Ziel zugeordnet werden.
Externer Port und interner Port
Bei Portweiterleitung können externer und interner Port gleich oder unterschiedlich sein.
Beispiel gleich:
WAN:443 → Server:443
Beispiel unterschiedlich:
WAN:8443 → Server:443
Das kann für Tests nützlich sein,
sollte aber sauber dokumentiert werden.
Merksatz:
Externer Port und interner Port müssen nicht identisch sein.
Sicherheitsrisiko Portweiterleitung
Eine Portweiterleitung macht einen internen Dienst von außen erreichbar.
Das erhöht die Angriffsfläche.
Risiken:
- Brute-Force-Angriffe
- Ausnutzung von Schwachstellen
- Fehlkonfiguration
- veraltete Software
- offene Adminoberflächen
- schwache Passwörter
- unnötige Dienste im Internet
Merksatz:
Jeder veröffentlichte Port ist ein potenzieller Angriffspunkt.
Was sollte man nicht direkt veröffentlichen?
Nicht direkt ins Internet gehören normalerweise:
- SMB TCP 445
- RDP TCP 3389
- Datenbankports
- Drucker
- interne Adminoberflächen
- Hypervisor-Management
- NAS-Adminoberflächen
- unsichere Webinterfaces
- Telnet TCP 23
- unverschlüsseltes FTP
Besser:
VPN,
Reverse Proxy,
Zero-Trust-Zugriff,
Bastion Host
oder
gezielte Zugriffsbeschränkung.
Merksatz:
Administrative und interne Dienste nicht direkt ins Internet öffnen.
Portweiterleitung und Quellbeschränkung
Eine Portweiterleitung kann sicherer werden,
wenn nur bestimmte Quellen erlaubt sind.
Beispiel:
Nur Admin-IP darf SSH erreichen.
Oder:
Nur Partnernetz darf API erreichen.
Vorteil:
nicht jeder im Internet kann den Dienst erreichen.
Merksatz:
Wenn möglich,
Zugriff auf bekannte Quellen beschränken.
Portweiterleitung und VPN
Oft ist VPN sicherer als direkte Portweiterleitung.
Beispiel:
Kein RDP direkt aus dem Internet.
Stattdessen:
Benutzer verbindet sich per VPN.
Danach RDP intern nutzen.
Vorteil:
RDP-Port ist nicht öffentlich sichtbar.
Merksatz:
Für Administration lieber VPN statt direkter Portweiterleitung.
NAT ist keine echte Sicherheitsfunktion
NAT verhindert zwar,
dass interne private Adressen direkt aus dem Internet erreichbar sind.
Aber NAT ist nicht dasselbe wie eine Firewall.
Eine Firewall prüft und steuert Verkehr bewusst.
NAT übersetzt Adressen.
Merksatz:
NAT ist nicht automatisch Sicherheit.
NAT und IPv6
Bei IPv6 ist NAT normalerweise nicht in derselben Form nötig,
weil es sehr viele öffentliche IPv6-Adressen gibt.
IPv6-Netze arbeiten eher mit:
- Routing
- Firewall-Regeln
- global eindeutigen Adressen
- Prefix Delegation
Wichtig:
Ohne NAT sind Systeme nicht automatisch ungeschützt.
Die Firewall bleibt entscheidend.
Merksatz:
IPv6 braucht meist weniger NAT,
aber weiterhin Firewall-Regeln.
NAT und Protokollprobleme
Manche Protokolle sind schwierig mit NAT.
Gründe:
- IP-Adressen stehen im Protokollinhalt
- mehrere Verbindungen werden verwendet
- dynamische Ports werden genutzt
- eingehende Rückverbindungen sind nötig
Beispiele:
FTP
SIP
bestimmte VPN-Protokolle
ältere Anwendungen
Merksatz:
NAT kann Protokolle stören,
die zusätzliche Verbindungsinformationen enthalten.
FTP und NAT
FTP kann mit NAT kompliziert sein,
weil FTP Steuer- und Datenverbindungen verwendet.
Typische Fehler:
Login funktioniert,
aber Dateiliste nicht.
Dateiübertragung startet nicht.
Passiver Portbereich ist nicht freigegeben.
Server gibt falsche externe IP aus.
Merksatz:
FTP braucht bei NAT besondere Beachtung.
SIP und NAT
SIP wird häufig bei VoIP verwendet.
SIP kann durch NAT Probleme bekommen,
weil Adressen und Ports im Signalisierungsverkehr eine Rolle spielen.
Mögliche Fehler:
kein Audio
nur einseitiges Audio
Anrufaufbau scheitert
Registrierung bricht ab
Merksatz:
VoIP-Protokolle können durch NAT besondere Probleme bekommen.
NAT Loopback
NAT Loopback ist ein anderer Begriff für Hairpin NAT.
Es beschreibt,
dass interne Clients über die öffentliche Adresse auf einen internen Dienst zugreifen.
Beispiel:
Client im LAN ruft cloud.firma.de auf.
DNS liefert öffentliche IP.
Router leitet Verbindung wieder zurück nach innen.
Merksatz:
NAT Loopback = Hairpin NAT.
Hairpin NAT
Hairpin NAT bedeutet:
Ein interner Client nutzt die öffentliche Adresse,
um einen internen Dienst zu erreichen.
Ohne Hairpin NAT kann passieren:
Dienst funktioniert extern,
aber intern über denselben Namen nicht.
Alternative:
Split DNS
Merksatz:
Hairpin NAT hilft,
wenn interne Clients öffentliche Namen verwenden.
Split DNS
Split DNS liefert intern und extern unterschiedliche DNS-Antworten.
Beispiel:
cloud.firma.de extern:
öffentliche IP
cloud.firma.de intern:
interne IP
Vorteil:
interne Clients gehen direkt zum internen Ziel,
ohne Hairpin NAT zu brauchen.
Merksatz:
Split DNS ist oft sauberer als Hairpin NAT.
CGNAT
CGNAT steht für:
Carrier Grade NAT
Dabei teilt der Provider eine öffentliche IPv4-Adresse auf mehrere Kunden auf.
Der eigene Router bekommt dann keine echte öffentliche IPv4-Adresse.
Folge:
klassische eingehende Portweiterleitungen funktionieren oft nicht.
Erkennbar oft daran:
WAN-IP am Router ist privat oder aus speziellem Providerbereich,
aber öffentliche IP im Internet ist eine andere.
Merksatz:
CGNAT verhindert häufig direkte eingehende IPv4-Verbindungen.
Lösungen bei CGNAT
Wenn eingehende Verbindungen wegen CGNAT nicht funktionieren,
gibt es mögliche Alternativen:
- echte öffentliche IPv4-Adresse beim Provider buchen
- IPv6 verwenden
- VPN zu einem externen Server
- Cloud-Tunnel
- Reverse SSH Tunnel
- Zero-Trust-Tunnel
- Hosting eines öffentlichen Einstiegspunkts
Merksatz:
Bei CGNAT braucht man oft Tunnel,
IPv6
oder eine echte öffentliche IPv4-Adresse.
Double NAT
Double NAT bedeutet:
Es gibt zwei NAT-Geräte hintereinander.
Beispiel:
Provider-Router macht NAT.
Eigener Router macht ebenfalls NAT.
Folgen:
- Portweiterleitungen müssen auf beiden Geräten passen
- Fehlersuche wird schwieriger
- manche Protokolle machen Probleme
- Gaming, VPN oder VoIP können gestört sein
Merksatz:
Double NAT erschwert eingehende Verbindungen.
NAT und Rückweg
Damit NAT funktioniert,
muss der Rückverkehr wieder über dasselbe NAT-Gerät laufen.
Wenn Rückwege anders laufen,
kann die Zuordnung fehlen.
Das betrifft besonders:
- mehrere Router
- mehrere Firewalls
- asymmetrisches Routing
- mehrere Internetanschlüsse
- komplexe VPN-Setups
Merksatz:
NAT braucht passenden Rückweg.
Portweiterleitung testen
Beim Testen einer Portweiterleitung sollte man prüfen:
DNS zeigt auf richtige öffentliche IP?
öffentliche IP ist wirklich am Anschluss?
CGNAT ausgeschlossen?
NAT-Regel korrekt?
Firewall-Regel korrekt?
Zielserver erreichbar?
Dienst läuft auf Zielport?
Zielserver-Firewall erlaubt Zugriff?
Zertifikat passt?
Logs zeigen Verbindungsversuch?
Merksatz:
Portweiterleitung braucht mehrere passende Bausteine.
Typisches Fehlerbild: Portweiterleitung funktioniert nicht
Mögliche Ursachen:
- falsche öffentliche IP
- CGNAT
- Double NAT
- Portweiterleitung auf falsches Ziel
- falscher interner Port
- Firewall-Regel fehlt
- Dienst läuft nicht
- Host-Firewall blockiert
- DNS zeigt falsch
- Provider blockiert Port
- Test aus internem Netz ohne Hairpin NAT
- Zertifikatsproblem bei HTTPS
Merksatz:
Portweiterleitungsfehler sind oft NAT-,
Firewall-,
DNS-
oder Dienstprobleme.
Fehlerbild: Von außen geht es, von innen nicht
Mögliche Ursachen:
- Hairpin NAT fehlt
- internes DNS zeigt falsch
- Split DNS fehlt
- interne Firewall blockiert
- Zertifikat passt intern nicht
- interner Client nutzt anderen Pfad
Lösungsideen:
Split DNS einrichten
oder
Hairpin NAT aktivieren
Merksatz:
Extern funktioniert,
intern nicht:
Hairpin NAT oder Split DNS prüfen.
Fehlerbild: Von innen geht es, von außen nicht
Mögliche Ursachen:
- NAT-Regel fehlt
- Firewall-Regel fehlt
- externe DNS-Antwort falsch
- Dienst nur intern gebunden
- öffentliche IP falsch
- Provider blockiert
- CGNAT
- Zertifikat oder Reverse Proxy falsch
- Zielserver-Firewall blockiert
Merksatz:
Intern funktioniert,
extern nicht:
öffentliche Erreichbarkeit prüfen.
Fehlerbild: Falscher interner Dienst antwortet
Mögliche Ursachen:
- Portweiterleitung zeigt auf falschen Host
- Reverse Proxy leitet falsch weiter
- DNS zeigt auf falsche IP
- Host-Header passt nicht
- falscher virtueller Host
- alte NAT-Regel greift vorher
- Regelreihenfolge falsch
Merksatz:
Falscher Dienst bedeutet oft:
DNS,
NAT
oder Reverse Proxy falsch.
Fehlerbild: HTTPS zeigt falsches Zertifikat
Mögliche Ursachen:
- DNS zeigt auf falsche öffentliche IP
- Portweiterleitung zeigt auf falschen Server
- Reverse Proxy liefert falsches Zertifikat
- Hostname passt nicht
- falscher virtueller Host
- internes und externes DNS unterscheiden sich falsch
Merksatz:
Falsches Zertifikat kann durch falsches NAT oder DNS entstehen.
NAT und Dokumentation
NAT-Regeln sollten dokumentiert werden.
Wichtige Angaben:
- öffentliche IP
- externer Port
- internes Ziel
- interner Port
- Protokoll
- Zweck
- Verantwortlicher
- Datum
- Sicherheitsbewertung
- zugehörige Firewall-Regel
- DNS-Name
- Zertifikat
Merksatz:
NAT-Regeln ohne Dokumentation werden schnell unübersichtlich.
Typische NAT-Dokumentation
Beispiel:
DNS-Name
extern
intern
Zweck
wiki.firma.de
WAN TCP 443
192.168.10.20 TCP 443
Wiki
vpn.firma.de
WAN UDP 51820
192.168.10.5 UDP 51820
VPN
mail.firma.de
WAN TCP 25
192.168.20.10 TCP 25
Mail
Merksatz:
DNS,
externer Port,
internes Ziel
und Zweck zusammen dokumentieren.
NAT und Sicherheit prüfen
Regelmäßige Prüfung:
Welche Ports sind öffentlich offen?
Werden alle Weiterleitungen noch benötigt?
Sind die Zielsysteme aktuell?
Gibt es alte Testregeln?
Sind Adminoberflächen öffentlich?
Sind Quellbeschränkungen möglich?
Wird TLS genutzt?
Gibt es Logs?
Gibt es Monitoring?
Ist ein VPN besser?
Merksatz:
Öffentlich erreichbare Dienste regelmäßig prüfen.
Was NAT nicht macht
NAT macht nicht automatisch:
- Dienst sicher
- Benutzer authentifizieren
- Schwachstellen schließen
- TLS einrichten
- Firewall-Regeln ersetzen
- DNS korrekt setzen
- Zertifikate passend machen
- Logs auswerten
- Angriffe verhindern
Merksatz:
NAT ist Adressübersetzung,
kein vollständiger Schutz.
Einordnung in das OSI-Modell
Thema
Schicht
NAT
3 / 4
PAT
3 / 4
Source NAT
3 / 4
Destination NAT
3 / 4
Portweiterleitung
3 / 4
IP-Adresse
3
Port
4
Firewall-Regel
3 / 4 / je nach Firewall auch 7
DNS-Name
7
HTTPS-Zertifikat
6 / 7
Reverse Proxy
7
Merksatz:
NAT betrifft IP-Adressen und Ports,
also vor allem Schicht 3 und 4.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was bedeutet NAT?
- Warum wird NAT bei IPv4 verwendet?
- Was ist PAT?
- Was ist der Unterschied zwischen NAT und PAT?
- Was ist Source NAT?
- Was ist Destination NAT?
- Was ist eine Portweiterleitung?
- Warum reicht NAT allein nicht als Firewall?
- Warum braucht man zusätzlich Firewall-Regeln?
- Was ist Hairpin NAT?
- Was ist Split DNS?
- Was ist CGNAT?
- Warum funktioniert eine Portweiterleitung bei CGNAT oft nicht?
- Warum kann Double NAT Probleme verursachen?
- Warum sollte man RDP oder SMB nicht direkt weiterleiten?
- Wie prüft man eine nicht funktionierende Portweiterleitung?
Typische Prüfungsfallen
NAT ist nicht Firewall.
Firewall ist nicht NAT.
NAT übersetzt IP-Adressen.
PAT übersetzt IP-Adressen und Ports.
Source NAT ändert die Quelle.
Destination NAT ändert das Ziel.
Portweiterleitung ist Destination NAT.
Private IPv4-Adressen sind nicht direkt im Internet geroutet.
Portweiterleitung macht interne Dienste extern erreichbar.
NAT-Regel allein reicht nicht,
wenn Firewall blockiert.
Firewall-Regel allein reicht nicht,
wenn NAT fehlt.
DNS muss auf die richtige öffentliche IP zeigen.
HTTPS braucht passendes Zertifikat.
Ein öffentlicher Port auf einer IP kann nur eindeutig weitergeleitet werden.
Reverse Proxy kann mehrere Webdienste über einen Port bündeln.
CGNAT verhindert oft eingehende IPv4-Verbindungen.
Double NAT erschwert Portweiterleitungen.
Hairpin NAT betrifft interne Clients mit öffentlicher Adresse.
Split DNS kann Hairpin NAT vermeiden.
NAT ist keine vollständige Sicherheitsmaßnahme.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
NAT
Network Address Translation
PAT
Port Address Translation
Source NAT
Quelladresse wird übersetzt
Destination NAT
Zieladresse wird übersetzt
Portweiterleitung
externer Port wird an internes Ziel weitergeleitet
private IP-Adresse
interne nicht öffentlich geroutete Adresse
öffentliche IP-Adresse
im Internet routbare Adresse
NAT-Tabelle
Zuordnung interner und externer Verbindungen
Hairpin NAT
interner Zugriff über öffentliche Adresse
NAT Loopback
anderer Begriff für Hairpin NAT
Split DNS
intern und extern unterschiedliche DNS-Antwort
CGNAT
Provider-NAT für mehrere Kunden
Double NAT
zwei NAT-Geräte hintereinander
Reverse Proxy
leitet Anfragen anhand von Hostnamen weiter
WAN-Port
externer Port auf öffentlicher Seite
interner Port
Port auf dem internen Zielsystem
Quellport
Port des sendenden Systems
Zielport
Port des Ziel-Dienstes
IHK-sichere Kurzformulierung
NAT steht für Network Address Translation und übersetzt IP-Adressen, häufig private IPv4-Adressen in eine öffentliche IPv4-Adresse. PAT steht für Port Address Translation und übersetzt zusätzlich Ports, damit mehrere interne Geräte gleichzeitig eine öffentliche Adresse nutzen können. Source NAT ändert die Quelladresse und wird typischerweise für ausgehenden Internetverkehr verwendet. Destination NAT ändert die Zieladresse und wird häufig für Portweiterleitungen genutzt. Eine Portweiterleitung macht einen internen Dienst von außen erreichbar, benötigt aber neben der NAT-Regel auch passende Firewall-Regeln, einen laufenden Dienst, korrekte DNS-Einträge und bei HTTPS ein passendes Zertifikat. NAT ist keine vollständige Sicherheitsmaßnahme und ersetzt keine Firewall.
Merksätze
NAT = Network Address Translation.
PAT = Port Address Translation.
NAT übersetzt IP-Adressen.
PAT übersetzt IP-Adressen und Ports.
Source NAT ändert Quelle.
Destination NAT ändert Ziel.
Portweiterleitung ist Destination NAT.
Private IPv4-Adressen sind intern.
Öffentliche IPv4-Adressen sind im Internet routbar.
NAT ermöglicht Internetzugang mit privaten IPv4-Adressen.
PAT ermöglicht viele Clients über eine öffentliche IP.
NAT-Tabelle merkt sich Zuordnungen.
NAT ist keine Firewall.
Firewall ist kein NAT.
NAT-Regel und Firewall-Regel müssen zusammenpassen.
Portweiterleitung erhöht die Angriffsfläche.
Admin-Dienste nicht direkt ins Internet öffnen.
RDP nicht direkt weiterleiten.
SMB nicht direkt weiterleiten.
SFTP oder VPN sicherer als unverschlüsseltes FTP.
Reverse Proxy bündelt Webdienste.
DNS muss zur öffentlichen IP passen.
Zertifikat muss zum Hostnamen passen.
CGNAT verhindert oft eingehende IPv4-Verbindungen.
Double NAT erschwert Portweiterleitungen.
Hairpin NAT = intern über öffentliche Adresse.
Split DNS liefert intern andere Antworten.
NAT braucht passenden Rückweg.
NAT ersetzt kein Sicherheitskonzept.
11.4 DMZ und Sicherheitszonen im Detail
DMZ steht für:
Demilitarized Zone
Eine DMZ ist ein separates Netzwerksegment für Dienste,
die von außen erreichbar sein müssen.
Typische Dienste in einer DMZ:
- Webserver
- Reverse Proxy
- Mailgateway
- VPN-Gateway
- öffentlicher DNS-Server
- öffentliche API
- Proxyserver
- Bastion Host
Merksatz:
DMZ = eigenes Netz für öffentlich erreichbare Dienste.
Warum braucht man eine DMZ?
Öffentlich erreichbare Dienste sind stärker gefährdet als rein interne Dienste.
Beispiel:
Ein Webserver ist aus dem Internet erreichbar.
Wenn dieser Webserver kompromittiert wird,
soll der Angreifer nicht direkt Zugriff auf das interne LAN bekommen.
Die DMZ trennt deshalb öffentliche Dienste vom internen Netz.
Merksatz:
Eine DMZ begrenzt den Schaden,
wenn ein öffentlich erreichbarer Dienst angegriffen wird.
Grundidee einer DMZ
Eine DMZ liegt logisch zwischen:
externem Netz
und
internem Netz
Vereinfacht:
Internet
→ Firewall
→ DMZ
→ Firewall-Regeln
→ internes LAN
Die DMZ ist nicht so vertrauenswürdig wie das interne LAN.
Aber sie ist kontrollierter als das Internet.
Merksatz:
DMZ liegt kontrolliert zwischen außen und innen.
DMZ ist nicht das interne LAN
Ein häufiger Fehler ist:
Ein öffentlich erreichbarer Server steht direkt im internen LAN.
Das ist riskant.
Besser:
öffentliche Dienste in DMZ stellen
und Zugriffe ins LAN stark einschränken.
Warum?
Wird ein DMZ-System kompromittiert,
soll der Angreifer nicht automatisch interne Clients,
Server oder Verwaltungsdienste erreichen.
Merksatz:
Öffentliche Dienste gehören nicht ungefiltert ins interne LAN.
DMZ als Sicherheitszone
Eine DMZ ist eine Sicherheitszone.
Eine Sicherheitszone ist ein Netzbereich mit eigenem Schutzbedarf.
Typische Zonen:
- WAN
- LAN
- DMZ
- Servernetz
- Managementnetz
- Gastnetz
- IoT-Netz
- VPN-Zone
Zwischen diesen Zonen gelten Firewall-Regeln.
Merksatz:
Sicherheitszonen trennen Netze nach Vertrauensniveau.
Vertrauensniveau von Zonen
Nicht jedes Netz ist gleich vertrauenswürdig.
Beispiel:
Zone
Vertrauensniveau
Beispiel
WAN
sehr gering
Internet
Gastnetz
gering
Besuchergeräte
IoT-Netz
gering bis mittel
Kameras, Sensoren
DMZ
mittel / eingeschränkt
öffentliche Dienste
LAN
höher
interne Clients
Servernetz
hoch
interne Server
Managementnetz
sehr hoch
Adminzugänge
Merksatz:
Je kritischer eine Zone ist,
desto strenger müssen Zugriffe kontrolliert werden.
Typischer Drei-Zonen-Aufbau
Ein klassischer Aufbau besteht aus drei Zonen:
WAN
DMZ
LAN
WAN:
externes Netz oder Internet
DMZ:
öffentliche Dienste
LAN:
internes Unternehmensnetz
Merksatz:
Drei-Zonen-Aufbau = WAN, DMZ, LAN.
Beispielaufbau
Vereinfacht:
Internet
|
Firewall
/ \
DMZ LAN
Web Clients
Mail interne Server
Die Firewall kontrolliert,
welche Zone mit welcher Zone kommunizieren darf.
Merksatz:
Die Firewall ist der kontrollierte Übergang zwischen den Zonen.
Regelidee Internet zur DMZ
Vom Internet zur DMZ sollte nur erlaubt sein,
was wirklich öffentlich erreichbar sein muss.
Beispiele:
Quelle
Ziel
Dienst
Aktion
Internet
Reverse Proxy DMZ
HTTPS TCP 443
erlauben
Internet
Mailgateway DMZ
SMTP TCP 25
erlauben
Internet
VPN-Gateway DMZ
VPN-Port
erlauben
Internet
DMZ-Server
SSH TCP 22
blockieren
Internet
interne Server
any
blockieren
Merksatz:
Internet darf nur notwendige öffentliche Dienste in der DMZ erreichen.
Regelidee DMZ zum LAN
Von der DMZ ins LAN sollte sehr wenig erlaubt sein.
Beispiele:
Quelle
Ziel
Dienst
Aktion
Reverse Proxy DMZ
interner Webdienst
TCP 8080
erlauben
Webserver DMZ
Datenbankserver
TCP 5432
nur wenn nötig
Mailgateway DMZ
interner Mailserver
SMTP
nur gezielt
DMZ allgemein
LAN allgemein
any
blockieren
Wichtig:
DMZ darf keine freie Brücke ins interne Netz sein.
Merksatz:
Von DMZ ins LAN nur das zwingend Notwendige erlauben.
Regelidee LAN zur DMZ
Das interne LAN darf je nach Bedarf Dienste in der DMZ erreichen.
Beispiele:
interne Clients → DMZ-Webserver HTTPS
Admin-Netz → DMZ-Server SSH
Monitoring → DMZ-Systeme SNMP
Aber auch hier gilt:
nicht alles für jeden erlauben.
Merksatz:
Auch LAN zur DMZ sollte gezielt geregelt werden.
Regelidee Management zur DMZ
Administration sollte nicht aus beliebigen Netzen erlaubt sein.
Besser:
Managementnetz
oder
Bastion Host
oder
VPN-Adminzugang
Beispiel:
Managementnetz → DMZ-Server SSH TCP 22 erlauben
Aber nicht:
gesamtes LAN → DMZ-Server SSH erlauben
Und erst recht nicht:
Internet → DMZ-Server SSH erlauben
Merksatz:
Administration nur aus kontrollierten Managementbereichen erlauben.
DMZ und Reverse Proxy
Ein Reverse Proxy steht häufig in der DMZ.
Er nimmt externe HTTPS-Anfragen entgegen
und leitet sie an interne Dienste weiter.
Beispiel:
Internet → Reverse Proxy DMZ → interner Wiki-Server
Vorteile:
- zentrale TLS-Verwaltung
- weniger direkte Veröffentlichung interner Server
- mehrere Dienste über eine öffentliche IP
- Zugriffskontrolle
- bessere Protokollierung
- Trennung zwischen extern und intern
Merksatz:
Reverse Proxy in der DMZ schützt interne Webdienste besser als direkte Freigabe.
DMZ und Webserver
Ein Webserver in der DMZ kann öffentliche Webseiten bereitstellen.
Wichtig:
Der Webserver sollte nur die internen Systeme erreichen,
die er wirklich braucht.
Beispiel:
Webserver braucht Datenbankzugriff.
Dann gilt:
Webserver DMZ → Datenbankserver TCP 5432 erlauben
Aber nicht:
Webserver DMZ → gesamtes LAN any erlauben
Merksatz:
Webserver in DMZ nur mit notwendigen Backend-Zugriffen ausstatten.
DMZ und Mailgateway
Ein Mailgateway in der DMZ kann E-Mails aus dem Internet annehmen.
Typische Aufgabe:
Internet → Mailgateway DMZ
Mailgateway prüft Spam und Malware
Mailgateway leitet an internen Mailserver weiter
Vorteil:
Der interne Mailserver steht nicht direkt im Internet.
Merksatz:
Mailgateway in der DMZ schützt interne Mailserver.
DMZ und VPN-Gateway
Ein VPN-Gateway kann in der DMZ stehen.
Ablauf:
externer Benutzer verbindet sich zum VPN-Gateway
nach erfolgreicher Anmeldung erhält er Zugriff auf erlaubte interne Ressourcen
Wichtig:
VPN-Zugriff darf nicht automatisch das gesamte LAN erlauben.
Besser:
VPN-Benutzer in eigene Zone einordnen
und gezielte Regeln setzen.
Merksatz:
VPN-Gateway kann in der DMZ stehen,
aber VPN-Rechte müssen begrenzt werden.
DMZ und öffentlicher DNS
Ein öffentlicher DNS-Server kann in einer DMZ stehen,
wenn eine Organisation eigene öffentliche DNS-Zonen bereitstellt.
Wichtig:
öffentlicher DNS sollte nur öffentliche Informationen enthalten.
Interne Servernamen sollten nicht öffentlich sichtbar sein.
Merksatz:
Öffentlicher DNS darf keine internen Strukturen verraten.
DMZ und Bastion Host
Ein Bastion Host ist ein besonders abgesicherter Sprungserver.
Er kann genutzt werden,
um administrative Zugriffe auf DMZ-Systeme zu bündeln.
Ablauf:
Admin → VPN oder Managementnetz → Bastion Host → DMZ-System
Vorteile:
- zentrale Kontrolle
- bessere Protokollierung
- weniger direkte Adminzugänge
- zusätzliche Sicherheitsprüfung
Merksatz:
Bastion Host bündelt und kontrolliert Adminzugriffe.
Bastion Host ist besonders kritisch
Ein Bastion Host hat oft Zugriff auf wichtige Systeme.
Deshalb muss er besonders geschützt werden.
Maßnahmen:
- MFA
- starke Authentifizierung
- nur Admins erlauben
- Protokollierung
- regelmäßige Updates
- keine unnötigen Dienste
- harte Firewall-Regeln
- Monitoring
- getrennte Admin-Konten
Merksatz:
Bastion Host stark absichern,
weil er ein zentraler Zugangspunkt ist.
DMZ und Datenbankserver
Datenbankserver sollten normalerweise nicht direkt in der öffentlichen DMZ stehen.
Besser:
Datenbank im internen Servernetz
und nur gezielter Zugriff vom Webserver oder Anwendungsserver
Beispiel:
Webserver DMZ → Datenbankserver TCP 5432
Wichtig:
kein allgemeiner Zugriff von Internet oder DMZ auf Datenbank.
Merksatz:
Datenbanken nicht öffentlich platzieren.
DMZ und interne Daten
DMZ-Systeme sollten möglichst wenig interne Daten enthalten.
Warum?
Sie sind stärker exponiert.
Wenn sensible Daten in der DMZ liegen,
ist das Risiko bei einem Angriff höher.
Besser:
DMZ-Systeme nur mit notwendigen Daten ausstatten
und interne Datenbanken geschützt halten.
Merksatz:
In der DMZ nur Daten,
die dort wirklich benötigt werden.
DMZ und Protokollierung
DMZ-Systeme sollten gut protokolliert werden.
Wichtige Logs:
- Firewall-Logs
- Webserver-Logs
- Reverse-Proxy-Logs
- Authentifizierungslogs
- Systemlogs
- IDS/IPS-Logs
- VPN-Logs
- Mailgateway-Logs
Logs helfen bei:
- Angriffserkennung
- Fehlersuche
- Nachvollziehbarkeit
- Sicherheitsanalyse
Merksatz:
DMZ-Systeme brauchen gute Logs.
DMZ und Monitoring
DMZ-Systeme sollten überwacht werden.
Typische Prüfwerte:
- Erreichbarkeit
- CPU
- RAM
- Speicherplatz
- Dienste
- Zertifikate
- Loggröße
- ungewöhnliche Verbindungen
- fehlgeschlagene Logins
- Updates
- offene Ports
Merksatz:
DMZ-Systeme müssen aktiv überwacht werden.
DMZ und IDS/IPS
IDS steht für:
Intrusion Detection System
IPS steht für:
Intrusion Prevention System
IDS erkennt verdächtigen Verkehr.
IPS kann verdächtigen Verkehr zusätzlich blockieren.
In einer DMZ können IDS/IPS-Systeme helfen,
Angriffe auf öffentliche Dienste zu erkennen.
Merksatz:
IDS erkennt.
IPS blockiert zusätzlich.
DMZ und WAF
WAF steht für:
Web Application Firewall
Eine WAF schützt Webanwendungen auf Anwendungsebene.
Sie prüft zum Beispiel HTTP-Anfragen auf:
- SQL-Injection
- Cross-Site Scripting
- ungewöhnliche Muster
- bekannte Angriffsversuche
- fehlerhafte Requests
Eine WAF ersetzt keine sichere Anwendung,
kann aber zusätzlichen Schutz bieten.
Merksatz:
WAF schützt Webanwendungen auf Schicht 7.
DMZ und TLS
Öffentliche Dienste in der DMZ nutzen häufig TLS.
Beispiele:
HTTPS
SMTPS
IMAPS
LDAPS
VPN mit Zertifikaten
Wichtig:
Zertifikate aktuell halten
private Schlüssel schützen
TLS-Versionen sicher konfigurieren
Zertifikatskette vollständig liefern
Merksatz:
Öffentliche Dienste brauchen saubere TLS-Konfiguration.
TLS-Terminierung in der DMZ
TLS-Terminierung bedeutet:
TLS endet am Reverse Proxy oder Load Balancer.
Ablauf:
Client → HTTPS → Reverse Proxy DMZ
Reverse Proxy → HTTP oder HTTPS → Backend
Vorteile:
- zentrale Zertifikatsverwaltung
- Entlastung der Backendserver
- bessere Kontrolle
- einheitliche Sicherheitsrichtlinien
Wichtig:
Die interne Verbindung sollte je nach Schutzbedarf ebenfalls gesichert werden.
Merksatz:
TLS-Terminierung beendet TLS an einem zentralen Punkt.
TLS Passthrough
TLS Passthrough bedeutet:
Die TLS-Verbindung wird durchgereicht,
ohne am Proxy entschlüsselt zu werden.
Ablauf:
Client → TLS → Proxy → TLS → Backend
Vorteil:
Ende der TLS-Verbindung liegt am Backend.
Nachteil:
Proxy kann Inhalte weniger gut prüfen oder steuern.
Merksatz:
TLS Passthrough reicht verschlüsselten Verkehr weiter.
DMZ und Updates
DMZ-Systeme sind oft exponiert.
Deshalb sind Updates besonders wichtig.
Betroffen sind:
- Betriebssystem
- Webserver
- Reverse Proxy
- Anwendung
- Frameworks
- Bibliotheken
- VPN-Software
- Mailgateway
- TLS-Komponenten
Merksatz:
Exponierte Systeme müssen besonders konsequent aktualisiert werden.
DMZ und Härtung
Härtung bedeutet:
Systeme sicher konfigurieren und unnötige Angriffsflächen reduzieren.
Maßnahmen:
- unnötige Dienste deaktivieren
- Standardpasswörter ändern
- Adminzugänge beschränken
- Updates einspielen
- Dateirechte prüfen
- sichere TLS-Konfiguration
- Logging aktivieren
- nur notwendige Ports öffnen
- Dienstkonten begrenzen
Merksatz:
Härtung reduziert Angriffsfläche.
DMZ und Least Privilege
Auch in der DMZ gilt:
nur notwendige Rechte vergeben.
Beispiele:
Webdienstkonto braucht keinen Domain-Admin.
Reverse Proxy braucht nur Zugriff auf definierte Backends.
Monitoring braucht nur Leserechte.
Adminzugriff nur für Admins.
Merksatz:
Least Privilege gilt auch für Dienste und Server.
DMZ und Netzwerksegmentierung
Netzwerksegmentierung bedeutet:
Netzbereiche werden getrennt,
damit nicht alle Systeme frei miteinander kommunizieren können.
Die DMZ ist ein Beispiel für Segmentierung.
Weitere Segmentierung:
- Servernetz
- Datenbanknetz
- Managementnetz
- Backupnetz
- Gastnetz
- IoT-Netz
Merksatz:
Segmentierung begrenzt Bewegungsfreiheit bei Angriffen.
Laterale Bewegung
Laterale Bewegung bedeutet:
Ein Angreifer bewegt sich nach einem ersten Einbruch weiter im Netzwerk.
Beispiel:
Angriff auf Webserver in DMZ.
Danach Versuch,
interne Server oder Datenbanken zu erreichen.
Segmentierung und Firewall-Regeln sollen das erschweren.
Merksatz:
DMZ soll laterale Bewegung ins LAN erschweren.
DMZ und Zero Trust
Zero Trust bedeutet vereinfacht:
keinem Zugriff automatisch vertrauen.
Auch DMZ-Systeme werden nicht automatisch als sicher betrachtet.
Prinzipien:
- Identität prüfen
- Zugriff begrenzen
- Verbindungen protokollieren
- nur notwendige Dienste erlauben
- Systeme überwachen
- Rechte regelmäßig prüfen
Merksatz:
Auch innerhalb des Netzes nicht blind vertrauen.
DMZ und Hochverfügbarkeit
Öffentliche Dienste sollen oft zuverlässig erreichbar sein.
Möglichkeiten:
- zwei Firewalls
- zwei Reverse Proxys
- Load Balancer
- redundante Internetanschlüsse
- mehrere Server
- Monitoring
- automatischer Failover
- regelmäßige Backups
Merksatz:
DMZ-Dienste brauchen je nach Kritikalität Verfügbarkeit und Redundanz.
DMZ und Backup
DMZ-Systeme brauchen Backups,
aber Backups dürfen nicht unsicher erreichbar sein.
Wichtig:
- Backupzugriff einschränken
- Backupdaten schützen
- keine Schreibrechte aus DMZ auf zentrale Backups ohne Kontrolle
- Wiederherstellung testen
- Ransomware-Risiko beachten
Merksatz:
DMZ-Systeme sichern,
aber Backup-Infrastruktur schützen.
DMZ und Datenfluss
Bei einer DMZ muss man Datenflüsse genau kennen.
Fragen:
Wer spricht mit wem?
Welche Anwendung?
Welcher Port?
Welche Richtung?
Welche Daten?
Wie sensibel sind die Daten?
Wird verschlüsselt?
Wird protokolliert?
Ist der Zugriff notwendig?
Merksatz:
DMZ-Regeln entstehen aus klaren Datenflüssen.
Datenflussdiagramm für DMZ
Ein einfaches Datenflussdiagramm kann zeigen:
Internet → Reverse Proxy TCP 443
Reverse Proxy → interner Webdienst TCP 8080
interner Webdienst → Datenbank TCP 5432
Monitoring → Reverse Proxy SNMP oder Agent-Port
Admin-Netz → Reverse Proxy SSH
So erkennt man,
welche Regeln wirklich nötig sind.
Merksatz:
Datenflüsse sichtbar machen,
bevor Regeln erstellt werden.
DMZ und Richtung der Verbindungen
Die Richtung der Verbindung ist wichtig.
Beispiel:
Internet startet Verbindung zum Reverse Proxy.
Reverse Proxy startet Verbindung zum Backend.
Backend sollte normalerweise nicht beliebig Verbindungen ins Internet starten.
Firewall-Regeln müssen nach der tatsächlichen Verbindungsrichtung erstellt werden.
Merksatz:
Regeln nach Verbindungsstart planen.
DMZ und ausgehender Verkehr
Auch ausgehender Verkehr aus der DMZ sollte kontrolliert werden.
Warum?
Ein kompromittiertes DMZ-System könnte versuchen:
- Schadsoftware nachzuladen
- Daten abzuziehen
- Verbindung zu Command-and-Control-Servern aufzubauen
- interne Systeme zu scannen
- Spam zu versenden
Merksatz:
DMZ outbound nicht blind erlauben.
DMZ und DNS
DMZ-Systeme brauchen oft DNS.
Aber:
Sie sollten möglichst definierte DNS-Resolver nutzen.
Regelidee:
DMZ-Systeme → interner oder DMZ-DNS UDP/TCP 53 erlauben
Nicht ideal:
DMZ-Systeme → beliebige externe DNS-Server erlauben
Merksatz:
DNS aus der DMZ kontrollieren.
DMZ und NTP
DMZ-Systeme brauchen korrekte Uhrzeit.
NTP ist wichtig für:
- Zertifikate
- Logs
- Authentifizierung
- Monitoring
- Fehlersuche
Regelidee:
DMZ-Systeme → freigegebener NTP-Server UDP 123
Merksatz:
DMZ-Systeme brauchen kontrollierte Zeitsynchronisation.
DMZ und Namenskonzept
Ein sauberes Namenskonzept hilft bei DMZ-Diensten.
Beispiele:
extern:
www.firma.de
vpn.firma.de
mail.firma.de
intern:
reverseproxy01.dmz.firma.local
mailgw01.dmz.firma.local
Wichtig:
öffentliche Namen,
interne Namen
und Zertifikate müssen zusammenpassen.
Merksatz:
DNS-Namen und Zertifikate sauber planen.
DMZ und interne Authentifizierung
Manchmal müssen DMZ-Dienste Benutzer gegen interne Verzeichnisdienste prüfen.
Beispiel:
Webanwendung in DMZ nutzt LDAP oder SSO.
Problem:
Direkter Zugriff aus DMZ auf interne Domain Controller kann riskant sein.
Mögliche Lösungen:
- gezielte LDAPS-Regeln
- Reverse Proxy mit Authentifizierung
- Federation / SSO
- getrennte Identitätsdienste
- Proxy-Dienst für Authentifizierung
Merksatz:
Authentifizierung aus der DMZ ins LAN nur gezielt und sicher erlauben.
DMZ und Datenbankzugriff
Wenn DMZ-Systeme Datenbankzugriff brauchen,
sollte dieser stark begrenzt werden.
Prüfen:
Muss die Datenbank wirklich intern stehen?
Welche Quelle darf zugreifen?
Welcher Port?
Welches Konto?
Welche Rechte?
Ist TLS nötig?
Gibt es Protokollierung?
Gibt es Eingabevalidierung in der Anwendung?
Merksatz:
Datenbankzugriff aus der DMZ ist kritisch.
DMZ und direkte Internetzugriffe
Nicht jedes DMZ-System braucht freien Internetzugang.
Beispiele für notwendige ausgehende Verbindungen:
Updateserver
Zertifikatsprüfung
Paketquellen
Monitoring
externe API
Besser:
gezielte Ziele erlauben
oder
Proxy nutzen
Merksatz:
DMZ-Systeme nicht beliebig ins Internet lassen.
DMZ und öffentliche APIs
Öffentliche APIs sollten besonders geschützt werden.
Maßnahmen:
- HTTPS
- Authentifizierung
- Autorisierung
- Rate Limiting
- Eingabevalidierung
- Logging
- Monitoring
- WAF
- API-Gateway
- keine unnötigen Daten ausgeben
Merksatz:
Öffentliche API = stark exponierter Schicht-7-Dienst.
DMZ und Fehlersuche
Bei DMZ-Problemen prüft man systematisch:
1. DNS zeigt richtig?
2. öffentliche IP korrekt?
3. NAT oder Portweiterleitung korrekt?
4. Firewall-Regel WAN → DMZ korrekt?
5. Dienst in DMZ läuft?
6. Host-Firewall erlaubt Zugriff?
7. Zertifikat passt?
8. Proxy leitet korrekt weiter?
9. Regel DMZ → Backend korrekt?
10. Backend läuft?
11. Logs prüfen.
Merksatz:
DMZ-Fehlersuche braucht DNS,
NAT,
Firewall,
Dienst
und Backend.
Fehlerbild: Öffentlicher Webdienst nicht erreichbar
Mögliche Ursachen:
- DNS zeigt auf falsche öffentliche IP
- NAT-Regel fehlt
- Firewall-Regel fehlt
- Reverse Proxy down
- Webserver hört nicht auf Port
- Host-Firewall blockiert
- Zertifikatfehler
- falscher virtueller Host
- Backend nicht erreichbar
- Provider oder CGNAT-Problem
Merksatz:
Öffentlicher Webdienst braucht komplette Kette von DNS bis Backend.
Fehlerbild: Reverse Proxy zeigt 502
Mögliche Ursachen:
- Backend läuft nicht
- falscher Backend-Port
- falsches Protokoll HTTP/HTTPS
- Firewall DMZ → Backend blockiert
- Backend-DNS falsch
- Container-Name oder interner Hostname falsch
- Backend antwortet ungültig
- Timeout
Merksatz:
502 bedeutet oft:
Proxy erreicht Backend nicht sauber.
Fehlerbild: DMZ-Server erreicht LAN nicht
Mögliche Ursachen:
- Firewall-Regel fehlt
- falsche Richtung
- falsches Ziel
- falscher Port
- Route fehlt
- Rückweg fehlt
- Zielserver-Firewall blockiert
- DNS löst intern falsch auf
- Regel durch frühere Blockregel verdeckt
Merksatz:
DMZ zu LAN nur gezielt erlauben und sauber prüfen.
Fehlerbild: DMZ-Server kann Updates nicht laden
Mögliche Ursachen:
- kein ausgehender Internetzugang erlaubt
- DNS nicht erlaubt
- Proxy erforderlich
- Zertifikatsprüfung schlägt fehl
- NTP falsch und Zertifikat wirkt ungültig
- Paketquelle blockiert
- Firewall-Regel zu eng
Merksatz:
Auch ausgehender DMZ-Verkehr braucht passende Regeln.
Fehlerbild: Zertifikat passt intern, extern aber nicht
Mögliche Ursachen:
- extern anderer Hostname
- Reverse Proxy liefert falsches Zertifikat
- DNS zeigt auf falsche IP
- Split DNS falsch
- Zertifikat enthält externen Namen nicht
- SNI-Konfiguration falsch
Merksatz:
Zertifikat muss zum tatsächlich aufgerufenen Namen passen.
SNI kurz erklärt
SNI steht für:
Server Name Indication
SNI ermöglicht,
dass ein Server mehrere TLS-Zertifikate für verschiedene Hostnamen auf derselben IP anbieten kann.
Beispiel:
wiki.firma.de
cloud.firma.de
git.firma.de
alle über:
dieselbe öffentliche IP und TCP 443
Der Client teilt beim TLS-Aufbau den gewünschten Hostnamen mit.
Merksatz:
SNI hilft bei mehreren HTTPS-Diensten auf einer IP.
DMZ und Prüfungsdenken
In Prüfungsaufgaben wird oft erwartet,
dass man erkennt:
Öffentliche Dienste gehören in die DMZ.
Interne Systeme gehören nicht direkt ins Internet.
DMZ-Systeme dürfen nur notwendige Verbindungen ins LAN aufbauen.
Firewall-Regeln müssen Quelle,
Ziel,
Dienst
und Richtung enthalten.
NAT und Firewall-Regeln müssen zusammenpassen.
Merksatz:
DMZ-Aufgaben immer mit Zonen und Datenflüssen lösen.
Was eine DMZ nicht macht
Eine DMZ macht nicht automatisch:
- Webserver sicher
- Software aktuell
- Passwörter stark
- TLS korrekt
- Anwendung fehlerfrei
- Datenbank geschützt
- Angriffe unmöglich
- Logs ausgewertet
- Backups vorhanden
Eine DMZ reduziert Risiken,
ersetzt aber keine weiteren Sicherheitsmaßnahmen.
Merksatz:
DMZ ist Netztrennung,
kein vollständiges Sicherheitskonzept.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Wofür steht DMZ?
- Was ist der Zweck einer DMZ?
- Welche Systeme gehören typischerweise in eine DMZ?
- Warum stehen öffentliche Server besser in der DMZ als im LAN?
- Welche Regeln braucht ein Webserver in der DMZ?
- Warum sollte die DMZ nicht frei ins LAN dürfen?
- Was ist ein Reverse Proxy in der DMZ?
- Was ist ein Bastion Host?
- Was ist der Unterschied zwischen LAN, WAN und DMZ?
- Warum sind Sicherheitszonen sinnvoll?
- Was bedeutet Netzwerksegmentierung?
- Was ist laterale Bewegung?
- Welche Rolle spielen Firewall-Regeln zwischen Zonen?
- Warum muss auch ausgehender Verkehr aus der DMZ kontrolliert werden?
- Warum ist Monitoring in der DMZ wichtig?
Typische Prüfungsfallen
DMZ steht für Demilitarized Zone.
DMZ ist ein separates Netz.
DMZ ist nicht das interne LAN.
Öffentliche Dienste gehören besser in die DMZ.
DMZ schützt das LAN durch Trennung.
DMZ darf nicht ungefiltert ins LAN.
Internet darf nur notwendige DMZ-Dienste erreichen.
Adminzugriff auf DMZ nicht aus dem gesamten Internet erlauben.
Reverse Proxy kann in der DMZ stehen.
Mailgateway kann in der DMZ stehen.
VPN-Gateway kann in der DMZ stehen.
Datenbankserver normalerweise nicht öffentlich in die DMZ stellen.
DMZ-Systeme brauchen Updates und Härtung.
DMZ-Systeme brauchen Monitoring und Logs.
Firewall-Regeln zwischen Zonen müssen Richtung beachten.
DMZ outbound ebenfalls kontrollieren.
NAT-Regeln und Firewall-Regeln müssen zusammenpassen.
DMZ ersetzt keine sichere Anwendung.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
DMZ
separates Netz für öffentlich erreichbare Dienste
Sicherheitszone
Netzbereich mit eigenem Schutzbedarf
WAN
externes Netz oder Internet
LAN
internes Netz
Managementnetz
Netz für Administration
Gastnetz
separates Netz für Gäste
Reverse Proxy
nimmt Anfragen an und leitet an Backends weiter
Mailgateway
Mailserver-Schutz- oder Weiterleitungssystem
VPN-Gateway
Einstiegspunkt für VPN-Verbindungen
Bastion Host
abgesicherter Sprungserver
Segmentierung
Aufteilung in getrennte Netzbereiche
laterale Bewegung
Bewegung eines Angreifers innerhalb des Netzes
IDS
erkennt Angriffe
IPS
erkennt und blockiert Angriffe
WAF
Web Application Firewall
TLS-Terminierung
TLS endet am Proxy oder Load Balancer
TLS Passthrough
TLS wird verschlüsselt weitergereicht
SNI
Hostname-Anzeige beim TLS-Aufbau
Härtung
sichere Konfiguration eines Systems
IHK-sichere Kurzformulierung
Eine DMZ, also Demilitarized Zone, ist ein separates Netzwerksegment für Dienste, die aus dem Internet erreichbar sein müssen. Typische Systeme in einer DMZ sind Webserver, Reverse Proxys, Mailgateways oder VPN-Gateways. Der Zweck einer DMZ besteht darin, öffentliche Dienste vom internen LAN zu trennen und dadurch das interne Netz besser zu schützen. Zwischen WAN, DMZ und LAN werden gezielte Firewall-Regeln eingerichtet. Aus dem Internet sollten nur notwendige Dienste in der DMZ erreichbar sein, und von der DMZ ins interne LAN sollten nur zwingend erforderliche Verbindungen erlaubt werden. Eine DMZ reduziert Risiken, ersetzt aber keine Updates, Härtung, sichere Anwendungen, Monitoring oder Protokollierung.
Merksätze
DMZ = Demilitarized Zone.
DMZ = separates Netz für öffentliche Dienste.
DMZ ist nicht LAN.
DMZ liegt zwischen Internet und internem Netz.
Öffentliche Dienste gehören besser in die DMZ.
DMZ schützt internes LAN durch Trennung.
Internet → DMZ nur notwendige Dienste erlauben.
Internet → LAN blockieren.
DMZ → LAN nur zwingend notwendige Verbindungen erlauben.
LAN → DMZ gezielt erlauben.
Adminzugriff nur aus Managementnetz oder über Bastion Host.
Reverse Proxy kann in der DMZ stehen.
Mailgateway kann in der DMZ stehen.
VPN-Gateway kann in der DMZ stehen.
Datenbanken nicht direkt öffentlich platzieren.
DMZ outbound kontrollieren.
DNS und NTP für DMZ gezielt erlauben.
DMZ-Systeme brauchen Updates.
DMZ-Systeme brauchen Härtung.
DMZ-Systeme brauchen Monitoring.
DMZ-Systeme brauchen Logs.
IDS erkennt Angriffe.
IPS blockiert zusätzlich.
WAF schützt Webanwendungen.
TLS-Terminierung endet am Proxy.
TLS Passthrough reicht TLS weiter.
SNI ermöglicht mehrere HTTPS-Namen auf einer IP.
Segmentierung begrenzt laterale Bewegung.
DMZ ersetzt kein vollständiges Sicherheitskonzept.
11.5 Fehlersuche bei Firewalls, NAT und DMZ
Bei Problemen mit Firewalls, NAT und DMZ reicht es nicht,
nur zu prüfen, ob ein Server grundsätzlich erreichbar ist.
Man muss die komplette Verbindungskette prüfen:
Client
DNS
Routing
Firewall-Regel
NAT-Regel
Zielsystem
Dienst
Rückweg
Logs
Merksatz:
Firewall-Fehlersuche bedeutet:
Quelle, Ziel, Port, Richtung, NAT und Logs prüfen.
Grundidee der Fehlersuche
Bei Firewall- und NAT-Problemen ist die wichtigste Frage:
Wo wird der Verkehr unterbrochen?
Dazu prüft man Schritt für Schritt:
Kommt die Anfrage beim richtigen Ziel an?
Wird sie erlaubt oder blockiert?
Wird sie richtig übersetzt?
Antwortet der Dienst?
Kommt die Antwort zurück?
Merksatz:
Nicht raten,
sondern den Weg der Verbindung nachvollziehen.
Die wichtigsten Angaben vor der Fehlersuche
Vor der Fehlersuche braucht man genaue Informationen.
Wichtige Fragen:
Wer ist die Quelle?
Was ist das Ziel?
Welcher Dienst wird genutzt?
Welcher Port wird genutzt?
TCP oder UDP?
In welche Richtung geht die Verbindung?
Intern oder extern?
Gibt es NAT?
Gibt es eine DMZ?
Gibt es einen Reverse Proxy?
Welche Fehlermeldung erscheint?
Merksatz:
Ohne Quelle,
Ziel,
Port
und Richtung ist Firewall-Fehlersuche ungenau.
Quelle bestimmen
Die Quelle ist das System,
das die Verbindung startet.
Beispiele:
Client im LAN
externer Benutzer im Internet
Server in der DMZ
VPN-Client
Monitoring-Server
Admin-PC
Anwendungssystem
Wichtig:
Die tatsächliche Quell-IP kann durch NAT verändert werden.
Merksatz:
Quelle = wer startet die Verbindung?
Ziel bestimmen
Das Ziel ist das System oder der Dienst,
der erreicht werden soll.
Beispiele:
Webserver
Datenbankserver
Reverse Proxy
Mailgateway
DNS-Server
SMB-Freigabe
VPN-Gateway
RDP-Server
Wichtig:
Bei DNS-Namen muss geprüft werden,
auf welche IP-Adresse der Name wirklich zeigt.
Merksatz:
Ziel = welches System soll erreicht werden?
Port und Protokoll bestimmen
Ein Port allein reicht nicht.
Man muss auch wissen:
TCP oder UDP?
Beispiele:
Dienst
Protokoll
HTTPS
TCP 443
DNS
UDP/TCP 53
NTP
UDP 123
SMB
TCP 445
SSH
TCP 22
RDP
TCP 3389
SNMP
UDP 161
HTTP/3
UDP 443
Merksatz:
TCP 443 und UDP 443 sind unterschiedliche Dinge.
Richtung bestimmen
Firewall-Regeln sind richtungsabhängig.
Beispiele:
LAN → WAN
WAN → DMZ
DMZ → LAN
VPN → Servernetz
Managementnetz → DMZ
Gastnetz → Internet
Ein häufiger Fehler ist,
eine Regel in der falschen Richtung anzulegen.
Merksatz:
Regelrichtung nach dem Verbindungsaufbau bestimmen.
Zonen bestimmen
Viele Firewalls arbeiten mit Zonen.
Beispiele:
LAN
WAN
DMZ
VPN
Gastnetz
IoT-Netz
Servernetz
Managementnetz
Eine Regel muss zur richtigen Zone passen.
Beispiel:
WAN → DMZ ist nicht dasselbe wie DMZ → WAN.
Merksatz:
Firewall-Regeln gelten zwischen Zonen oder Interfaces.
DNS zuerst prüfen
Viele vermeintliche Firewall-Probleme sind eigentlich DNS-Probleme.
Beispiele:
Domain zeigt auf falsche öffentliche IP.
Interner DNS zeigt auf externe IP.
Split DNS ist falsch.
DNS-Cache enthält alten Eintrag.
AAAA-Record zeigt auf nicht erreichbare IPv6-Adresse.
CNAME zeigt auf falschen Namen.
Merksatz:
Falsche DNS-Auflösung führt zur falschen Zieladresse.
Routing prüfen
Firewall-Regeln helfen nicht,
wenn kein gültiger Weg zum Ziel existiert.
Zu prüfen:
Gibt es eine Route zum Zielnetz?
Gibt es einen Rückweg?
Ist das richtige Gateway eingetragen?
Geht der Rückverkehr über dieselbe Firewall?
Gibt es asymmetrisches Routing?
Ist ein VPN-Routing beteiligt?
Merksatz:
Routing bestimmt den Weg,
Firewall erlaubt oder blockiert ihn.
NAT prüfen
Wenn NAT beteiligt ist,
muss geprüft werden:
Wird die richtige Quelladresse übersetzt?
Wird die richtige Zieladresse übersetzt?
Stimmt der externe Port?
Stimmt der interne Port?
Stimmt TCP oder UDP?
Zeigt NAT auf das richtige interne Ziel?
Gibt es mehrere NAT-Regeln?
Greift eine alte Regel vorher?
Merksatz:
NAT-Fehler entstehen oft durch falsches Ziel,
falschen Port
oder falsche Reihenfolge.
Firewall-Regel prüfen
Bei der Firewall-Regel prüft man:
Quelle korrekt?
Ziel korrekt?
Dienst korrekt?
Protokoll korrekt?
Port korrekt?
Richtung korrekt?
Zone korrekt?
Regel aktiv?
Regel an richtiger Position?
Logging aktiv?
Wird die Regel überhaupt getroffen?
Merksatz:
Die tatsächlich getroffene Regel ist wichtiger als die gedachte Regel.
Regelreihenfolge prüfen
Viele Firewalls arbeiten von oben nach unten.
Die erste passende Regel entscheidet.
Problem:
Eine allgemeine Blockregel kann eine spätere Erlaubnisregel verdecken.
Beispiel:
Regel 1:
DMZ → LAN any blockieren
Regel 2:
DMZ-Webserver → DB-Server TCP 5432 erlauben
Wenn Regel 1 zuerst greift,
funktioniert Regel 2 nicht.
Merksatz:
Spezifische Erlaubnis vor allgemeine Blockregel setzen.
Logs prüfen
Firewall-Logs sind bei der Fehlersuche besonders wichtig.
Sie zeigen:
Quelle
Ziel
Port
Protokoll
Aktion
Regelname
Zeit
Interface
Zone
NAT-Übersetzung
Typische Aktionen im Log:
allowed
denied
dropped
rejected
Merksatz:
Logs zeigen,
ob die Firewall erlaubt oder blockiert.
Keine Logs sichtbar
Wenn keine Logs sichtbar sind,
kann das bedeuten:
Verkehr kommt gar nicht bei der Firewall an.
Falsche Firewall wird geprüft.
Falsches Interface wird geprüft.
Logging ist für Regel deaktiviert.
DNS zeigt auf anderes Ziel.
Routing geht anderen Weg.
Client sendet gar keine Anfrage.
Provider oder vorgeschaltetes Gerät blockiert.
Merksatz:
Kein Logeintrag heißt nicht automatisch:
Firewall ist nicht beteiligt.
Dienst auf Zielsystem prüfen
Wenn Firewall und NAT korrekt aussehen,
muss der Dienst selbst geprüft werden.
Fragen:
Läuft der Dienst?
Lauscht der Dienst auf dem richtigen Port?
Lauscht der Dienst auf der richtigen IP-Adresse?
Blockiert die Host-Firewall?
Gibt es Anwendungslogs?
Antwortet der Dienst korrekt?
Ist das Zertifikat passend?
Ist die Anwendung richtig konfiguriert?
Merksatz:
Erlaubter Port heißt nicht,
dass der Dienst funktioniert.
Host-Firewall prüfen
Neben der zentralen Firewall kann auch das Zielsystem selbst blockieren.
Beispiele:
Windows Defender Firewall
Linux nftables
iptables
ufw
firewalld
lokale Sicherheitssoftware
Cloud Security Group
Typisches Fehlerbild:
Netzwerkfirewall erlaubt,
aber Zielsystem lehnt ab oder antwortet nicht.
Merksatz:
Auch die lokale Firewall des Zielsystems prüfen.
Rückweg prüfen
Eine Verbindung braucht Hinweg und Rückweg.
Wenn der Rückweg fehlt,
funktioniert die Verbindung nicht.
Mögliche Ursachen:
falsches Gateway
falsche Route
asymmetrisches Routing
NAT-Zuordnung fehlt
Antwort geht an falsche Firewall
Zielsystem antwortet über anderes Interface
Merksatz:
Verbindung funktioniert nur,
wenn Anfrage und Antwort den passenden Weg haben.
Asymmetrisches Routing
Asymmetrisches Routing bedeutet:
Hinweg und Rückweg laufen über unterschiedliche Wege.
Bei Stateful Firewalls ist das problematisch,
weil die Firewall den Verbindungszustand nur auf einem Weg sieht.
Folge:
Antwortpakete können als ungültig blockiert werden.
Merksatz:
Stateful Firewalls brauchen zusammenpassenden Hin- und Rückweg.
Typisches Szenario: Externer Webdienst nicht erreichbar
Beispiel:
Benutzer im Internet kann https://wiki.firma.de nicht öffnen.
Prüfreihenfolge:
1. DNS zeigt auf richtige öffentliche IP?
2. Öffentliche IP gehört wirklich zum Anschluss?
3. Kein CGNAT?
4. Portweiterleitung TCP 443 korrekt?
5. Firewall-Regel WAN → DMZ oder WAN → Reverse Proxy korrekt?
6. Reverse Proxy erreichbar?
7. Backend erreichbar?
8. Zertifikat gültig?
9. Webserver-Logs prüfen.
10. Firewall-Logs prüfen.
Merksatz:
Öffentlicher Webdienst braucht DNS,
NAT,
Firewall,
Proxy,
Backend
und Zertifikat.
Typisches Szenario: Intern funktioniert, extern nicht
Wenn ein Dienst intern funktioniert,
aber extern nicht,
liegen Ursachen oft bei:
externem DNS
öffentlicher IP
Portweiterleitung
Firewall-Regel WAN → DMZ
CGNAT
Providerblockade
Reverse Proxy
Zertifikat
Dienstbindung nur auf interne IP
Merksatz:
Intern funktioniert,
extern nicht:
externe Erreichbarkeit prüfen.
Typisches Szenario: Extern funktioniert, intern nicht
Wenn ein Dienst extern funktioniert,
aber intern über denselben Namen nicht,
liegen Ursachen oft bei:
Hairpin NAT fehlt
Split DNS fehlt
internes DNS zeigt falsch
interne Firewall blockiert
Zertifikat passt intern nicht
interner Client geht falschen Weg
Merksatz:
Extern funktioniert,
intern nicht:
Hairpin NAT oder Split DNS prüfen.
Typisches Szenario: Portweiterleitung funktioniert nicht
Mögliche Ursachen:
- falsche öffentliche IP
- CGNAT
- Double NAT
- NAT-Regel fehlt
- NAT-Regel zeigt auf falschen Host
- falscher externer Port
- falscher interner Port
- TCP/UDP verwechselt
- Firewall-Regel fehlt
- Host-Firewall blockiert
- Dienst läuft nicht
- DNS zeigt falsch
- Test aus internem Netz ohne Hairpin NAT
Merksatz:
Portweiterleitung braucht korrekte öffentliche IP,
NAT,
Firewall
und Dienst.
Typisches Szenario: 502 Bad Gateway
Ein 502-Fehler tritt häufig bei Reverse Proxys auf.
Mögliche Ursachen:
Backend läuft nicht.
Backend-Port falsch.
Backend-Protokoll falsch.
DNS-Name des Backends falsch.
Container oder Server nicht erreichbar.
Firewall blockiert Proxy → Backend.
Backend antwortet ungültig.
TLS zum Backend falsch konfiguriert.
Merksatz:
502 bedeutet oft:
Proxy erreicht Backend nicht korrekt.
Typisches Szenario: Zugriff auf Datenbank aus DMZ geht nicht
Beispiel:
Webserver in DMZ soll Datenbank im Servernetz erreichen.
Prüfen:
Quelle:
Webserver in DMZ
Ziel:
Datenbankserver im Servernetz
Dienst:
Datenbankport
Richtung:
DMZ → Servernetz
Zusätzlich:
Datenbankdienst läuft?
Datenbank lauscht auf richtiger IP?
Host-Firewall erlaubt?
Benutzerrechte in Datenbank korrekt?
Rückweg vorhanden?
Merksatz:
Datenbankzugriff aus DMZ braucht enge,
gezielte Regeln.
Typisches Szenario: VPN-Benutzer erreicht internen Server nicht
Mögliche Ursachen:
- VPN-Verbindung nicht korrekt aufgebaut
- VPN-Client bekommt falsche IP
- Route zum internen Netz fehlt
- Firewall-Regel VPN → Servernetz fehlt
- DNS für interne Namen fehlt
- Split Tunnel falsch
- Zielserver-Firewall blockiert
- Benutzergruppe nicht berechtigt
- NAT im VPN falsch
Merksatz:
VPN-Probleme mit Adresse,
Route,
DNS,
Firewall
und Berechtigung prüfen.
Typisches Szenario: Gastnetz erreicht LAN
Das ist ein Sicherheitsproblem.
Mögliche Ursachen:
- Firewall-Regel zu offen
- falsche Zonen-Zuordnung
- VLAN falsch konfiguriert
- Gastnetz und LAN im selben Netz
- Any-Any-Regel
- Routing ohne Filter
- alte Testregel vergessen
Merksatz:
Gastnetz darf nicht ins interne LAN führen.
Typisches Szenario: IoT-Geräte erreichen interne Server
Auch das kann ein Risiko sein.
Mögliche Ursachen:
- IoT-Netz nicht getrennt
- Firewall-Regel zu breit
- Geräte im falschen VLAN
- mDNS oder Broadcast-Freigaben unkontrolliert
- Any-Regel aktiv
- fehlende Segmentierung
Besser:
IoT → Internet nur nötig
IoT → LAN blockieren
Admin-Netz → IoT gezielt erlauben
Merksatz:
IoT-Geräte nur kontrolliert kommunizieren lassen.
Typisches Szenario: DNS funktioniert nicht
Mögliche Ursachen:
- UDP 53 blockiert
- TCP 53 blockiert
- falscher DNS-Server
- DNS-Server nicht erreichbar
- Firewall erlaubt nur externe DNS
- interne DNS-Zone fehlt
- Split DNS falsch
- DNS-Cache veraltet
- DHCP verteilt falschen DNS
Merksatz:
DNS braucht je nach Fall UDP und TCP 53.
Typisches Szenario: NTP funktioniert nicht
Mögliche Ursachen:
- UDP 123 blockiert
- falscher Zeitserver
- DNS zum Zeitserver fehlerhaft
- Zeitabweichung zu groß
- NTP-Dienst läuft nicht
- Firewall erlaubt nur TCP statt UDP
- VM-Zeitquelle widerspricht NTP
Folgeprobleme:
Zertifikatsfehler
Kerberos-Probleme
falsche Logs
Monitoringfehler
Merksatz:
NTP-Probleme können viele Folgefehler erzeugen.
Typisches Szenario: RDP funktioniert nicht
Mögliche Ursachen:
- TCP 3389 blockiert
- RDP am Zielsystem deaktiviert
- Benutzer nicht berechtigt
- Zielsystem ausgeschaltet
- VPN nicht verbunden
- Firewall-Regel fehlt
- Host-Firewall blockiert
- NLA-Problem
- DNS zeigt falsch
Sicherheit:
RDP nicht direkt aus dem Internet veröffentlichen.
Merksatz:
RDP besser über VPN oder Gateway nutzen.
Typisches Szenario: SSH funktioniert nicht
Mögliche Ursachen:
- TCP 22 blockiert
- SSH-Dienst läuft nicht
- SSH läuft auf anderem Port
- falscher Benutzer
- falscher Schlüssel
- Passwortlogin deaktiviert
- Host-Firewall blockiert
- Zugriff nur aus Managementnetz erlaubt
- Fail2ban blockiert Quelle
Merksatz:
SSH mit Port,
Dienst,
Benutzer,
Schlüssel
und Firewall prüfen.
Typisches Szenario: Mailserver empfängt keine Mails
Mögliche Ursachen:
- MX-Record falsch
- DNS zeigt falsch
- TCP 25 blockiert
- NAT-Regel fehlt
- Firewall-Regel fehlt
- Mailgateway down
- Spamfilter lehnt ab
- Zertifikat oder TLS-Problem
- Provider blockiert Port 25
- Mailserver nicht zuständig für Domain
Merksatz:
Mail-Empfang braucht MX,
DNS,
SMTP,
Firewall
und Mailserverkonfiguration.
Typisches Szenario: Anwendung funktioniert nur teilweise
Mögliche Ursachen:
- Hauptport erlaubt,
Zusatzport fehlt
- API erreichbar,
Datenbank nicht erreichbar
- Weboberfläche erreichbar,
WebSocket blockiert
- DNS erlaubt,
NTP blockiert
- FTP-Login geht,
Datenports fehlen
- Authentifizierung geht,
LDAP-Gruppenabfrage blockiert
Merksatz:
Manche Anwendungen brauchen mehr als nur einen Port.
TCP und UDP nicht verwechseln
Ein häufiger Fehler ist,
nur den Port zu betrachten.
Beispiele:
DNS kann UDP 53 und TCP 53 brauchen.
NTP nutzt UDP 123,
nicht TCP 123.
SNMP nutzt UDP 161,
nicht TCP 161.
HTTP/3 nutzt UDP 443,
während HTTPS klassisch TCP 443 nutzt.
Merksatz:
Portnummer ohne Protokoll ist unvollständig.
ICMP bei Fehlersuche
ICMP wird oft für Diagnose genutzt.
Beispiele:
Ping
Traceroute
Ziel nicht erreichbar
Time Exceeded
Fragmentierung nötig
ICMP komplett zu blockieren,
kann Fehlersuche erschweren
und Netzwerkprobleme verdecken.
Merksatz:
ICMP ist mehr als Ping.
Ping reicht nicht aus
Ping zeigt nur,
ob ICMP-Echo funktioniert.
Ping sagt nicht:
ob TCP 443 offen ist
ob HTTP funktioniert
ob Anmeldung klappt
ob DNS korrekt ist
ob Zertifikat passt
ob Anwendung gesund ist
Merksatz:
Ping ist nur ein erster Hinweis,
kein vollständiger Diensttest.
Porttest reicht nicht aus
Ein erfolgreicher Porttest zeigt:
Zielport ist erreichbar.
Er zeigt nicht automatisch:
Anwendung antwortet korrekt
Authentifizierung klappt
Datenformat stimmt
Zertifikat passt
Reverse Proxy leitet richtig weiter
Benutzer hat Rechte
Merksatz:
Offener Port heißt nicht:
Anwendung funktioniert.
Typische Testwerkzeuge
Werkzeug
Zweck
ping
einfache Erreichbarkeit prüfen
traceroute / tracert
Weg zum Ziel prüfen
nslookup
DNS prüfen
dig
DNS detaillierter prüfen
curl
HTTP/HTTPS/API testen
nc
TCP/UDP-Port testen
Test-NetConnection
Windows-Porttest
openssl s_client
TLS-Zertifikat prüfen
tcpdump
Paketmitschnitt
Wireshark
Paketmitschnitt analysieren
Firewall-Log
erlaubten oder blockierten Verkehr prüfen
Serverlog
Dienstfehler prüfen
Merksatz:
Werkzeug nach Fragestellung auswählen.
Paketmitschnitt
Ein Paketmitschnitt kann zeigen,
ob Verkehr wirklich ankommt.
Man sieht zum Beispiel:
ARP
DNS
TCP-Handshake
TLS-Handshake
ICMP
DHCP
Wiederholungen
Timeouts
Reset-Pakete
Wichtig:
Bei TLS sieht man den Inhalt nicht einfach im Klartext.
Merksatz:
Paketmitschnitt zeigt den echten Verkehr.
TCP-Handshake prüfen
Bei TCP ist der Verbindungsaufbau wichtig.
Vereinfacht:
SYN
SYN-ACK
ACK
Fehlerbilder:
Nur SYN:
Ziel antwortet nicht oder Firewall blockiert.
SYN und RST:
Ziel lehnt aktiv ab oder Dienst nicht offen.
SYN, SYN-ACK, ACK:
TCP-Verbindung wurde aufgebaut.
Merksatz:
TCP-Handshake zeigt,
ob eine TCP-Verbindung entsteht.
Timeout
Timeout bedeutet:
Es kommt keine Antwort innerhalb der erwarteten Zeit.
Mögliche Ursachen:
- Firewall droppt Pakete
- Routingproblem
- Ziel nicht erreichbar
- Dienst antwortet nicht
- Rückweg fehlt
- Paket geht an falsches Ziel
- Provider blockiert
Merksatz:
Timeout bedeutet oft:
keine oder keine passende Antwort.
Connection Refused
Connection refused bedeutet:
Zielsystem ist erreichbar,
aber der Dienst nimmt auf dem Port keine Verbindung an.
Mögliche Ursachen:
- Dienst läuft nicht
- falscher Port
- Dienst lauscht nur lokal
- Host-Firewall lehnt aktiv ab
- Anwendung nicht gestartet
Merksatz:
Connection refused deutet auf Zielsystem oder Dienst hin.
Reset
Ein TCP Reset beendet oder verweigert eine Verbindung aktiv.
Mögliche Ursachen:
- Dienst lehnt Verbindung ab
- Firewall sendet Reset
- Anwendung beendet Verbindung
- falsches Protokoll auf Port
- Sicherheitsregel greift
Merksatz:
Reset ist eine aktive Ablehnung oder Beendigung.
Fehlersuche mit Logs kombinieren
Am besten kombiniert man:
Client-Fehler
DNS-Ergebnis
Porttest
Firewall-Log
NAT-Log
Serverlog
Anwendungstest
Beispiel:
Client meldet Timeout.
Firewall-Log zeigt Drop.
Ursache:
Firewall-Regel fehlt oder blockiert.
Oder:
Client meldet 502.
Firewall erlaubt.
Reverse-Proxy-Log zeigt Backend nicht erreichbar.
Ursache:
Backend oder interne Regel prüfen.
Merksatz:
Mehrere Hinweise zusammen ergeben die Ursache.
Fehler nach Änderung
Wenn ein Problem direkt nach einer Änderung auftritt,
prüft man zuerst diese Änderung.
Beispiele:
neue Firewall-Regel
NAT geändert
DNS geändert
Zertifikat erneuert
Reverse Proxy angepasst
Dienst neu gestartet
Server-IP geändert
VLAN geändert
VPN-Gruppe geändert
Update installiert
Merksatz:
Nach Änderung zuerst Änderung prüfen.
Änderungen dokumentieren
Firewall- und NAT-Änderungen sollten dokumentiert werden.
Wichtige Angaben:
- Datum
- Zweck
- Quelle
- Ziel
- Port
- Protokoll
- Richtung
- NAT-Ziel
- Verantwortlicher
- Ticket
- Testergebnis
- Rollback-Möglichkeit
Merksatz:
Gute Dokumentation verkürzt spätere Fehlersuche.
Rollback
Rollback bedeutet:
Änderung zurücknehmen,
wenn sie Probleme verursacht.
Bei Firewall-Änderungen wichtig:
vorherigen Zustand kennen
Backup der Konfiguration haben
Wartungsfenster beachten
Zugriff auf Firewall nicht selbst aussperren
Notfallzugang sichern
Merksatz:
Vor kritischen Änderungen Rückweg planen.
Sich nicht selbst aussperren
Bei Firewall-Änderungen kann man sich selbst den Zugriff nehmen.
Beispiele:
Admin-Regel gelöscht.
Managementnetz blockiert.
VPN-Regel falsch gesetzt.
Weboberfläche der Firewall nicht mehr erreichbar.
Vorbeugung:
Konfiguration sichern.
lokalen Zugriff bereithalten.
Änderung mit Zeitplan oder Rollback absichern.
Managementzugriff nicht ungetestet ändern.
Merksatz:
Managementzugriff besonders vorsichtig ändern.
Checkliste: Firewall-Fehlersuche
1. Fehlerbild genau aufnehmen.
2. Quelle bestimmen.
3. Ziel bestimmen.
4. Port und Protokoll bestimmen.
5. Richtung und Zone bestimmen.
6. DNS prüfen.
7. Routing prüfen.
8. NAT prüfen.
9. Firewall-Regel prüfen.
10. Regelreihenfolge prüfen.
11. Firewall-Logs prüfen.
12. Zielsystem-Firewall prüfen.
13. Dienststatus prüfen.
14. Anwendung testen.
15. Rückweg prüfen.
16. letzte Änderungen prüfen.
17. Ergebnis dokumentieren.
Merksatz:
Firewall-Fehlersuche ist eine Kette,
kein einzelner Test.
Was man nicht vorschnell tun sollte
Nicht sofort:
Any-Any-Regel erstellen.
Firewall komplett deaktivieren.
alle Ports öffnen.
DMZ ins LAN freigeben.
Adminport ins Internet öffnen.
Logs ignorieren.
DNS ungeprüft lassen.
NAT und Firewall verwechseln.
Warum?
Solche Maßnahmen können Sicherheitslücken erzeugen
und die eigentliche Ursache verdecken.
Merksatz:
Nicht Sicherheit opfern,
nur um schnell einen Test zu machen.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Wie geht man bei Firewall-Fehlersuche systematisch vor?
- Warum reichen Ping und Porttest nicht aus?
- Warum muss man Quelle, Ziel, Port und Richtung kennen?
- Warum ist DNS bei Firewallproblemen relevant?
- Warum muss NAT zusätzlich zur Firewall geprüft werden?
- Warum kann eine Portweiterleitung trotz NAT-Regel nicht funktionieren?
- Was bedeutet Timeout?
- Was bedeutet Connection Refused?
- Was ist asymmetrisches Routing?
- Warum sind Firewall-Logs wichtig?
- Warum können interne und externe Tests unterschiedliche Ergebnisse liefern?
- Warum sollte man nicht einfach Any-Any erlauben?
- Warum ist Dokumentation bei Firewall-Regeln wichtig?
Typische Prüfungsfallen
Ping prüft nicht den Dienst.
Porttest prüft nicht die Anwendung.
DNS kann wie ein Firewallproblem wirken.
NAT-Regel ist nicht Firewall-Regel.
Firewall-Regel ist nicht NAT-Regel.
TCP und UDP nicht verwechseln.
Regelrichtung beachten.
Zone beachten.
Regelreihenfolge beachten.
Rückweg beachten.
Stateful Firewalls brauchen Verbindungszustand.
Asymmetrisches Routing kann Verbindungen stören.
Timeout und Connection Refused bedeuten nicht dasselbe.
Host-Firewall zusätzlich prüfen.
Dienst muss wirklich laufen.
Logs sind zentrale Hinweise.
Keine Any-Any-Regel als Dauerlösung.
Änderungen dokumentieren.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Quelle
System, das Verbindung startet
Ziel
System, das erreicht werden soll
Richtung
Weg zwischen Zonen oder Interfaces
Zone
Sicherheitsbereich der Firewall
NAT
Adressübersetzung
PAT
Port- und Adressübersetzung
Portweiterleitung
externer Port wird intern weitergeleitet
Rückweg
Antwortweg zurück zur Quelle
asymmetrisches Routing
Hin- und Rückweg sind unterschiedlich
Timeout
keine Antwort innerhalb der Zeit
Connection Refused
Ziel lehnt Verbindung aktiv ab
TCP Reset
aktive Verbindungsbeendigung
Firewall-Log
Protokoll erlaubter oder blockierter Verbindungen
Host-Firewall
Firewall auf dem Zielsystem
Hairpin NAT
interner Zugriff über öffentliche Adresse
Split DNS
intern und extern unterschiedliche DNS-Antwort
CGNAT
Provider-NAT, oft ohne eingehende Ports
Rollback
Änderung zurücknehmen
Any-Any
sehr breite Erlaubnisregel
IHK-sichere Kurzformulierung
Bei der Fehlersuche an Firewalls, NAT und DMZ müssen Quelle, Ziel, Port, Protokoll, Richtung und Zone genau bestimmt werden. Zusätzlich sind DNS, Routing, NAT-Regeln, Firewall-Regeln, Regelreihenfolge, Host-Firewall, Dienststatus, Rückweg und Logs zu prüfen. Eine NAT-Regel übersetzt Adressen oder Ports, ersetzt aber keine Firewall-Regel. Ein erfolgreicher Ping oder ein offener Port beweist nicht, dass der Anwendungdienst korrekt funktioniert. Typische Ursachen für Fehler sind falsche DNS-Einträge, fehlende Portweiterleitungen, blockierende Firewall-Regeln, falsche Richtung, TCP/UDP-Verwechslung, fehlender Rückweg, CGNAT, Double NAT oder ein nicht laufender Dienst.
Merksätze
Erst Quelle bestimmen.
Dann Ziel bestimmen.
Dann Port und Protokoll bestimmen.
Dann Richtung und Zone prüfen.
DNS zuerst nicht vergessen.
Routing findet den Weg.
Firewall erlaubt oder blockiert den Weg.
NAT übersetzt Adressen oder Ports.
NAT ersetzt keine Firewall-Regel.
Firewall-Regel ersetzt keine NAT-Regel.
TCP und UDP nicht verwechseln.
Regelreihenfolge beachten.
Spezifisch vor allgemein.
Logs zeigen,
welche Regel greift.
Kein Log kann bedeuten,
dass Verkehr gar nicht ankommt.
Host-Firewall zusätzlich prüfen.
Dienst muss wirklich laufen.
Rückweg muss stimmen.
Timeout bedeutet:
keine passende Antwort.
Connection Refused bedeutet:
Ziel lehnt aktiv ab.
Ping reicht nicht aus.
Porttest reicht nicht aus.
Offener Port heißt nicht:
Anwendung funktioniert.
Intern und extern getrennt testen.
Hairpin NAT oder Split DNS bei internen Tests beachten.
CGNAT kann Portweiterleitungen verhindern.
Any-Any nicht als schnelle Dauerlösung verwenden.
Änderungen dokumentieren.
Vor kritischen Änderungen Rollback planen.
11.6 Merksätze und Prüfungswissen zu Firewalls, NAT und DMZ
Diese Seite fasst die wichtigsten Inhalte zu Firewalls, NAT, PAT, Portweiterleitung und DMZ zusammen.
Diese Themen gehören zu den wichtigsten Grundlagen der Netzwerksicherheit.
Wichtige Begriffe:
- Firewall
- Regelwerk
- Paketfilter
- Stateful Inspection
- NAT
- PAT
- Portweiterleitung
- DMZ
- Sicherheitszone
- Default Deny
- Allow
- Drop
- Reject
- Source NAT
- Destination NAT
- Hairpin NAT
- Split DNS
- CGNAT
Merksatz:
Firewall kontrolliert Verkehr.
NAT übersetzt Adressen.
DMZ trennt öffentliche Dienste vom internen Netz.
Grundidee
Firewalls, NAT und DMZ haben unterschiedliche Aufgaben.
Firewall:
entscheidet,
ob Verkehr erlaubt oder blockiert wird.
NAT:
übersetzt IP-Adressen.
PAT:
übersetzt IP-Adressen und Ports.
DMZ:
trennt öffentlich erreichbare Dienste vom internen LAN.
Merksatz:
Firewall,
NAT
und DMZ nicht miteinander verwechseln.
Firewall
Eine Firewall kontrolliert Netzwerkverkehr.
Sie prüft je nach Art zum Beispiel:
- Quell-IP-Adresse
- Ziel-IP-Adresse
- Protokoll
- Quellport
- Zielport
- Richtung
- Interface
- Zone
- Verbindungsstatus
- Anwendung
Merksatz:
Firewall = kontrollierter Übergang zwischen Netzen.
Firewall-Regel
Eine Firewall-Regel beschreibt,
welcher Verkehr erlaubt oder blockiert wird.
Typische Bestandteile:
- Aktion
- Quelle
- Ziel
- Dienst
- Protokoll
- Port
- Richtung
- Zone
- Kommentar
- Logging
Merksatz:
Firewall-Regel = Quelle,
Ziel,
Dienst
und Aktion.
Aktionen einer Firewall
Aktion
Bedeutung
Allow
Verkehr erlauben
Deny
Verkehr blockieren
Drop
Paket still verwerfen
Reject
Paket aktiv ablehnen
Log
Treffer protokollieren
Merksatz:
Allow erlaubt.
Drop schweigt.
Reject antwortet.
Drop und Reject
Drop bedeutet:
Paket wird ohne Antwort verworfen.
Reject bedeutet:
Paket wird aktiv abgelehnt,
und der Absender erhält eine Antwort.
Typische Wirkung:
Drop führt oft zu Timeout.
Reject führt oft zu schneller Fehlermeldung.
Merksatz:
Drop = keine Antwort.
Reject = aktive Ablehnung.
Paketfilter
Ein Paketfilter prüft vor allem:
- IP-Adressen
- Protokoll
- Ports
- Richtung
- Interface
Er arbeitet hauptsächlich auf Schicht 3 und 4.
Merksatz:
Paketfilter prüft IP und Port.
Stateful Firewall
Eine Stateful Firewall merkt sich Verbindungen.
Sie erkennt:
neues Paket
bestehende Verbindung
zugehörige Antwort
ungültiges Paket
Vorteil:
Rückverkehr zu erlaubten Verbindungen kann automatisch zugelassen werden.
Merksatz:
Stateful Firewall kennt den Verbindungszustand.
Stateful Inspection
Stateful Inspection bedeutet:
Die Firewall prüft,
ob Pakete zu einer bekannten Verbindung gehören.
Besonders wichtig bei TCP:
SYN
SYN-ACK
ACK
Merksatz:
Stateful Inspection prüft Verbindungszusammenhang.
Stateless Firewall
Eine Stateless Firewall betrachtet Pakete einzeln.
Sie merkt sich keinen Verbindungszustand.
Folge:
Hin- und Rückverkehr müssen genauer einzeln geregelt werden.
Merksatz:
Stateless = jedes Paket einzeln.
Default Deny
Default Deny bedeutet:
Alles ist verboten,
was nicht ausdrücklich erlaubt wurde.
Das ist ein wichtiges Sicherheitsprinzip.
Vorteil:
unbekannter oder unnötiger Verkehr wird nicht automatisch erlaubt.
Merksatz:
Erst alles blockieren,
dann gezielt erlauben.
Default Allow
Default Allow bedeutet:
Alles ist erlaubt,
was nicht ausdrücklich verboten wurde.
Das ist oft unsicherer,
weil vergessene oder neue Dienste automatisch erreichbar sein können.
Merksatz:
Default Allow ist bequem,
aber riskant.
Regelreihenfolge
Viele Firewalls prüfen Regeln von oben nach unten.
Die erste passende Regel entscheidet.
Deshalb ist wichtig:
spezifische Regeln vor allgemeine Regeln
Beispiel:
Erlaube Admin-PC → Server SSH
vor:
Blockiere restliches SSH
Merksatz:
Die erste passende Regel gewinnt.
Spezifisch vor allgemein
Spezifische Regeln beschreiben einen engen Fall.
Allgemeine Regeln beschreiben einen breiten Fall.
Richtig:
erst Ausnahme erlauben,
dann allgemein blockieren.
Falsch:
zuerst allgemein blockieren,
dann Ausnahme erlauben.
Merksatz:
Spezifisch vor allgemein.
Any und Any-Any
Any bedeutet:
beliebig
Any-Any bedeutet meistens:
Quelle beliebig
Ziel beliebig
Dienst beliebig
Das ist sehr weit geöffnet und meist gefährlich.
Merksatz:
Any-Any vermeiden.
Firewall-Zonen
Eine Zone ist ein Sicherheitsbereich.
Typische Zonen:
Zone
Zweck
WAN
Internet oder externes Netz
LAN
internes Clientnetz
DMZ
öffentliche Dienste
Servernetz
interne Server
Managementnetz
Administration
Gastnetz
Gäste
IoT-Netz
Geräte mit eingeschränktem Vertrauen
VPN-Zone
entfernte Benutzer nach VPN-Einwahl
Merksatz:
Zonen trennen Netze nach Schutzbedarf.
LAN, WAN und DMZ
LAN:
internes Netz
WAN:
externes Netz oder Internet
DMZ:
eigenes Netz für öffentlich erreichbare Dienste
Merksatz:
LAN innen.
WAN außen.
DMZ dazwischen.
DMZ
DMZ steht für:
Demilitarized Zone
Eine DMZ enthält Dienste,
die von außen erreichbar sein müssen.
Beispiele:
- Webserver
- Reverse Proxy
- Mailgateway
- VPN-Gateway
- öffentlicher DNS-Server
- Bastion Host
Merksatz:
DMZ = separates Netz für öffentliche Dienste.
Zweck einer DMZ
Eine DMZ schützt das interne LAN.
Wenn ein öffentlich erreichbarer Server kompromittiert wird,
soll der Angreifer nicht direkt ins interne Netz gelangen.
Merksatz:
DMZ begrenzt Schaden bei öffentlichen Diensten.
DMZ-Regelprinzip
Typische Regelidee:
Internet → DMZ:
nur notwendige öffentliche Dienste erlauben
Internet → LAN:
blockieren
DMZ → LAN:
nur zwingend notwendige Verbindungen erlauben
Managementnetz → DMZ:
Administration gezielt erlauben
Merksatz:
DMZ darf keine freie Brücke ins LAN sein.
Reverse Proxy in der DMZ
Ein Reverse Proxy nimmt externe Anfragen an
und leitet sie an interne Dienste weiter.
Vorteile:
- zentrale TLS-Verwaltung
- mehrere Webdienste über eine öffentliche IP
- weniger direkte Veröffentlichung interner Server
- bessere Kontrolle
- bessere Protokollierung
Merksatz:
Reverse Proxy bündelt und schützt Webzugriffe.
Bastion Host
Ein Bastion Host ist ein besonders abgesicherter Sprungserver.
Er dient dazu,
administrative Zugriffe zu bündeln und zu kontrollieren.
Typisch:
Admin → Bastion Host → Zielsystem
Merksatz:
Bastion Host = abgesicherter Zugangspunkt für Administration.
NAT
NAT steht für:
Network Address Translation
NAT übersetzt IP-Adressen.
Typischer Einsatz:
private IPv4-Adresse
wird beim Zugriff ins Internet
in öffentliche IPv4-Adresse übersetzt.
Merksatz:
NAT übersetzt IP-Adressen.
Warum NAT bei IPv4 wichtig ist
Private IPv4-Adressen sind im Internet nicht direkt geroutet.
NAT ermöglicht,
dass interne Geräte mit privaten Adressen trotzdem ins Internet können.
Außerdem spart NAT öffentliche IPv4-Adressen.
Merksatz:
NAT ermöglicht Internetzugriff mit privaten IPv4-Adressen.
Private IPv4-Adressbereiche
Bereich
CIDR
10.0.0.0 bis 10.255.255.255
10.0.0.0/8
172.16.0.0 bis 172.31.255.255
172.16.0.0/12
192.168.0.0 bis 192.168.255.255
192.168.0.0/16
Diese Bereiche sind für interne Netze vorgesehen.
Merksatz:
Private IPv4-Adressen werden im Internet nicht direkt geroutet.
Öffentliche IP-Adresse
Eine öffentliche IP-Adresse ist im Internet routbar.
Sie wird zum Beispiel vom Provider zugewiesen.
Interne Geräte sind meist über NAT hinter dieser öffentlichen Adresse sichtbar.
Merksatz:
Öffentliche IP-Adresse ist im Internet erreichbar.
Source NAT
Source NAT ändert die Quelladresse.
Typischer Fall:
Client im LAN baut Verbindung ins Internet auf.
Vorher:
Quelle:
private IP
Nachher:
Quelle:
öffentliche IP des Routers oder der Firewall
Merksatz:
Source NAT ändert die Quelle.
Destination NAT
Destination NAT ändert die Zieladresse.
Typischer Fall:
externer Zugriff wird an internes Ziel weitergeleitet.
Beispiel:
öffentliche IP:443
→ interner Webserver:443
Merksatz:
Destination NAT ändert das Ziel.
PAT
PAT steht für:
Port Address Translation
PAT übersetzt zusätzlich Ports.
Dadurch können viele interne Geräte gleichzeitig über eine öffentliche IP-Adresse kommunizieren.
Merksatz:
PAT = NAT mit Portübersetzung.
NAT und PAT unterscheiden
Begriff
Bedeutung
NAT
IP-Adressen werden übersetzt
PAT
IP-Adressen und Ports werden übersetzt
Source NAT
Quelladresse wird geändert
Destination NAT
Zieladresse wird geändert
Portweiterleitung
externer Port wird intern weitergeleitet
Merksatz:
NAT = Adresse.
PAT = Adresse plus Port.
Portweiterleitung
Portweiterleitung bedeutet:
Ein externer Port wird an ein internes Ziel weitergeleitet.
Beispiel:
WAN TCP 443
→ 192.168.10.20 TCP 443
Portweiterleitung ist eine Form von Destination NAT.
Merksatz:
Portweiterleitung macht interne Dienste extern erreichbar.
Portweiterleitung und Sicherheit
Eine Portweiterleitung erhöht die Angriffsfläche.
Warum?
Ein interner Dienst wird von außen erreichbar.
Deshalb wichtig:
- nur notwendige Ports öffnen
- Dienste aktuell halten
- starke Authentifizierung
- TLS nutzen
- Logs prüfen
- Zugriff einschränken
- keine Admin-Dienste direkt veröffentlichen
Merksatz:
Jeder veröffentlichte Port ist ein Risiko.
Was man nicht direkt veröffentlichen sollte
Normalerweise nicht direkt ins Internet:
- SMB TCP 445
- RDP TCP 3389
- Telnet TCP 23
- Datenbankports
- NAS-Adminoberflächen
- Hypervisor-Management
- Drucker
- interne Adminoberflächen
Besser:
VPN,
Reverse Proxy,
Bastion Host,
Zero-Trust-Zugriff
oder
kontrollierte Quellbeschränkung.
Merksatz:
Interne Admin-Dienste nicht direkt ins Internet öffnen.
NAT-Regel und Firewall-Regel unterscheiden
NAT-Regel:
Wohin wird Verkehr übersetzt oder weitergeleitet?
Firewall-Regel:
Darf dieser Verkehr passieren?
Beide müssen passen.
Beispiel:
NAT leitet WAN:443 an Server weiter.
Firewall blockiert WAN → Server TCP 443.
Ergebnis:
Zugriff funktioniert nicht.
Merksatz:
NAT leitet um.
Firewall erlaubt oder blockiert.
Routing und Firewall unterscheiden
Routing entscheidet:
welchen Weg ein Paket nimmt.
Firewall entscheidet:
ob ein Paket erlaubt wird.
Beides muss stimmen.
Merksatz:
Routing findet den Weg.
Firewall erlaubt den Weg.
Hairpin NAT
Hairpin NAT bedeutet:
Ein interner Client greift über die öffentliche Adresse auf einen internen Dienst zu.
Beispiel:
Client im LAN ruft cloud.firma.de auf.
DNS liefert öffentliche IP.
Router leitet Verbindung wieder nach innen.
Merksatz:
Hairpin NAT = intern über öffentliche Adresse.
Split DNS
Split DNS liefert intern und extern unterschiedliche DNS-Antworten.
Beispiel:
cloud.firma.de extern:
öffentliche IP
cloud.firma.de intern:
interne IP
Vorteil:
interne Clients erreichen den Dienst direkt intern.
Merksatz:
Split DNS kann Hairpin NAT vermeiden.
CGNAT
CGNAT steht für:
Carrier Grade NAT
Dabei teilt der Provider eine öffentliche IPv4-Adresse auf mehrere Kunden auf.
Folge:
eingehende Portweiterleitungen funktionieren oft nicht direkt.
Merksatz:
CGNAT verhindert oft direkte eingehende IPv4-Verbindungen.
Double NAT
Double NAT bedeutet:
Zwei NAT-Geräte sind hintereinander aktiv.
Beispiel:
Provider-Router macht NAT.
Eigener Router macht NAT.
Folge:
Portweiterleitungen müssen auf beiden Geräten passen.
Merksatz:
Double NAT erschwert Portweiterleitungen.
Firewall und DNS
DNS ist bei Firewall- und NAT-Themen sehr wichtig.
Beispiel:
DNS zeigt auf falsche öffentliche IP.
Dann erreicht der Client nicht das richtige Ziel.
Oder:
intern wird ein anderer DNS-Eintrag benötigt als extern.
Merksatz:
Falsches DNS kann wie ein Firewallproblem aussehen.
Firewall und TLS
Ein offener Port 443 bedeutet nicht automatisch,
dass HTTPS korrekt funktioniert.
Mögliche zusätzliche Probleme:
- falsches Zertifikat
- Zertifikat abgelaufen
- Hostname passt nicht
- Reverse Proxy falsch
- Backend nicht erreichbar
- TLS-Version passt nicht
Merksatz:
Port 443 offen heißt nicht:
HTTPS funktioniert korrekt.
Firewall und Rückweg
Eine Verbindung braucht Hinweg und Rückweg.
Wenn der Rückweg fehlt,
funktioniert die Verbindung nicht.
Mögliche Ursachen:
- falsches Gateway
- fehlende Route
- asymmetrisches Routing
- NAT-Zuordnung fehlt
- Antwort geht über falsches Interface
Merksatz:
Ohne Rückweg keine funktionierende Verbindung.
Asymmetrisches Routing
Asymmetrisches Routing bedeutet:
Hinweg und Rückweg laufen über unterschiedliche Wege.
Das kann Stateful Firewalls stören,
weil sie den Verbindungszustand nur auf einem Weg sehen.
Merksatz:
Stateful Firewalls brauchen passenden Hin- und Rückweg.
Firewall-Logs
Firewall-Logs zeigen,
was mit Verkehr passiert.
Wichtige Angaben:
- Quelle
- Ziel
- Port
- Protokoll
- Aktion
- Zeit
- Regelname
- Zone
- Interface
- NAT-Übersetzung
Merksatz:
Logs zeigen,
ob Verkehr erlaubt oder blockiert wurde.
Typische Fehler bei Firewalls
Typische Fehler:
- falsche Quelle
- falsches Ziel
- falscher Port
- TCP und UDP verwechselt
- falsche Richtung
- falsche Zone
- falsche Regelreihenfolge
- Regel deaktiviert
- Host-Firewall blockiert
- Dienst läuft nicht
- Rückweg fehlt
- DNS zeigt falsch
Merksatz:
Firewall-Fehler sind oft Detailfehler.
Typische Fehler bei NAT
Typische Fehler:
- NAT-Regel fehlt
- falsche öffentliche IP
- falsches internes Ziel
- falscher interner Port
- falscher externer Port
- TCP und UDP verwechselt
- CGNAT
- Double NAT
- alte NAT-Regel greift
- DNS zeigt auf falsche IP
- Hairpin NAT fehlt
Merksatz:
NAT-Fehler betreffen oft Adresse,
Port
oder Ziel.
Typische Fehler bei DMZ
Typische Fehler:
- öffentliche Dienste im LAN statt in DMZ
- DMZ darf zu viel ins LAN
- Adminzugang aus Internet erlaubt
- Firewall-Regel zu breit
- Reverse Proxy erreicht Backend nicht
- DNS falsch
- Zertifikat falsch
- ausgehender DMZ-Verkehr ungefiltert
- Monitoring fehlt
- Logs fehlen
Merksatz:
DMZ-Fehler sind oft Zonen- oder Regelprobleme.
Systematische Fehlersuche
Eine sinnvolle Reihenfolge:
1. Quelle bestimmen.
2. Ziel bestimmen.
3. Port und Protokoll bestimmen.
4. Richtung und Zone bestimmen.
5. DNS prüfen.
6. Routing prüfen.
7. NAT prüfen.
8. Firewall-Regel prüfen.
9. Regelreihenfolge prüfen.
10. Firewall-Logs prüfen.
11. Host-Firewall prüfen.
12. Dienststatus prüfen.
13. Rückweg prüfen.
14. Anwendung testen.
15. Änderungen prüfen.
Merksatz:
Firewall-Fehlersuche ist eine Verbindungskette.
Ping reicht nicht aus
Ping prüft nur ICMP-Erreichbarkeit.
Ping sagt nicht:
ob TCP 443 offen ist
ob HTTPS korrekt funktioniert
ob NAT stimmt
ob Zertifikat passt
ob Anmeldung funktioniert
ob Anwendung antwortet
Merksatz:
Ping ist kein vollständiger Diensttest.
Porttest reicht nicht aus
Ein Porttest zeigt nur:
Port erreichbar oder nicht erreichbar.
Er zeigt nicht automatisch:
Anwendung korrekt
Zertifikat korrekt
Anmeldung korrekt
Rechte korrekt
Datenformat korrekt
Backend korrekt
Merksatz:
Offener Port heißt nicht:
Dienst funktioniert.
Timeout
Timeout bedeutet:
Es kommt keine Antwort innerhalb der erwarteten Zeit.
Mögliche Ursachen:
- Firewall droppt
- Routingproblem
- Dienst antwortet nicht
- Rückweg fehlt
- falsches Ziel
- Provider blockiert
Merksatz:
Timeout bedeutet oft:
keine passende Antwort.
Connection Refused
Connection refused bedeutet:
Zielsystem ist erreichbar,
aber der Dienst nimmt auf dem Port keine Verbindung an.
Mögliche Ursachen:
- Dienst läuft nicht
- falscher Port
- Dienst lauscht nur lokal
- Host-Firewall lehnt ab
Merksatz:
Connection refused deutet eher auf Zielsystem oder Dienst hin.
Wichtige Testwerkzeuge
Werkzeug
Zweck
ping
grobe Erreichbarkeit
traceroute / tracert
Weg zum Ziel
nslookup
DNS prüfen
dig
DNS detailliert prüfen
curl
HTTP/HTTPS testen
nc
TCP-/UDP-Port testen
Test-NetConnection
Windows-Porttest
openssl s_client
TLS prüfen
tcpdump
Verkehr mitschneiden
Wireshark
Pakete analysieren
Firewall-Logs
Regeltreffer prüfen
Serverlogs
Dienstfehler prüfen
Merksatz:
Werkzeug nach Fehlerbild auswählen.
Sicherheitsprinzipien
Wichtige Prinzipien:
- Default Deny
- Least Privilege
- nur notwendige Ports öffnen
- Adminzugänge nicht öffentlich machen
- Zonen trennen
- DMZ verwenden
- Regeln dokumentieren
- temporäre Regeln befristen
- Logs aktivieren
- Updates einspielen
- Monitoring einsetzen
Merksatz:
Sicherheit entsteht durch mehrere Maßnahmen zusammen.
Least Privilege bei Firewall-Regeln
Least Privilege bedeutet:
Nur erlauben,
was wirklich benötigt wird.
Beispiel schlecht:
DMZ → LAN any erlauben
Beispiel besser:
Reverse Proxy → interner Webdienst TCP 8080 erlauben
Merksatz:
Firewall-Regeln so eng wie möglich setzen.
Dokumentation
Firewall- und NAT-Regeln sollten dokumentiert werden.
Wichtige Angaben:
- Zweck
- Quelle
- Ziel
- Port
- Protokoll
- Richtung
- NAT-Ziel
- Verantwortlicher
- Ticket
- Datum
- Ablaufdatum bei temporären Regeln
Merksatz:
Undokumentierte Regeln werden später zum Risiko.
Regelreview
Firewall-Regelwerke sollten regelmäßig geprüft werden.
Dabei sucht man:
- alte Regeln
- ungenutzte Regeln
- temporäre Regeln ohne Ablauf
- Any-Any-Regeln
- zu breite Freigaben
- fehlende Kommentare
- shadowed rules
- redundante Regeln
Merksatz:
Firewall-Regeln altern und müssen gepflegt werden.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist die Aufgabe einer Firewall?
- Was ist der Unterschied zwischen Firewall und NAT?
- Was ist eine Stateful Firewall?
- Was bedeutet Stateful Inspection?
- Was bedeutet Default Deny?
- Warum ist die Regelreihenfolge wichtig?
- Warum sind Any-Any-Regeln gefährlich?
- Was ist NAT?
- Was ist PAT?
- Was ist Source NAT?
- Was ist Destination NAT?
- Was ist eine Portweiterleitung?
- Warum reicht eine NAT-Regel allein nicht aus?
- Was ist eine DMZ?
- Warum stellt man öffentliche Dienste in eine DMZ?
- Warum darf die DMZ nicht frei ins LAN?
- Was ist Hairpin NAT?
- Was ist Split DNS?
- Was ist CGNAT?
- Wie geht man bei Firewall-Fehlersuche vor?
Typische Prüfungsfallen
Firewall ist nicht NAT.
NAT ist nicht Firewall.
NAT übersetzt Adressen.
PAT übersetzt Adressen und Ports.
Portweiterleitung ist Destination NAT.
NAT-Regel ersetzt keine Firewall-Regel.
Firewall-Regel ersetzt keine NAT-Regel.
Routing entscheidet den Weg.
Firewall entscheidet die Erlaubnis.
DNS kann wie ein Firewallproblem wirken.
Port offen heißt nicht:
Anwendung funktioniert.
TCP und UDP nicht verwechseln.
Regelrichtung beachten.
Regelreihenfolge beachten.
Spezifisch vor allgemein.
Default Deny ist sicherer.
Any-Any vermeiden.
Drop und Reject unterscheiden.
DMZ ist nicht LAN.
DMZ darf nicht frei ins LAN.
Öffentliche Dienste gehören besser in die DMZ.
RDP nicht direkt ins Internet öffnen.
SMB nicht direkt ins Internet öffnen.
CGNAT kann Portweiterleitung verhindern.
Hairpin NAT betrifft interne Zugriffe über öffentliche Adresse.
Split DNS kann Hairpin NAT vermeiden.
Rückweg prüfen.
Logs prüfen.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Firewall
kontrolliert Netzwerkverkehr
Firewall-Regel
Bedingung mit Aktion
Paketfilter
prüft IP-Adressen und Ports
Stateful Firewall
kennt Verbindungszustände
Stateful Inspection
Prüfung des Verbindungsstatus
Default Deny
alles blockieren, außer erlaubt
Allow
erlauben
Deny
blockieren
Drop
still verwerfen
Reject
aktiv ablehnen
Zone
Sicherheitsbereich
LAN
internes Netz
WAN
externes Netz
DMZ
Netz für öffentliche Dienste
NAT
Adressübersetzung
PAT
Adress- und Portübersetzung
Source NAT
Quelladresse wird geändert
Destination NAT
Zieladresse wird geändert
Portweiterleitung
externer Port wird intern weitergeleitet
Hairpin NAT
interner Zugriff über öffentliche Adresse
Split DNS
intern und extern unterschiedliche DNS-Antwort
CGNAT
Provider-NAT für mehrere Kunden
Double NAT
zwei NAT-Geräte hintereinander
Reverse Proxy
leitet Webanfragen an Backends
Bastion Host
abgesicherter Sprungserver
Any-Any
sehr breite Regel
Rückweg
Antwortweg zurück zur Quelle
asymmetrisches Routing
Hin- und Rückweg unterschiedlich
IHK-sichere Gesamtformulierung
Eine Firewall kontrolliert Netzwerkverkehr zwischen Systemen oder Netzbereichen und entscheidet anhand von Regeln, ob Verbindungen erlaubt oder blockiert werden. Typische Kriterien sind Quelle, Ziel, Port, Protokoll, Richtung und Zone. NAT übersetzt IP-Adressen, während PAT zusätzlich Ports übersetzt. Eine Portweiterleitung ist eine Form von Destination NAT und macht einen internen Dienst von außen erreichbar. NAT-Regeln und Firewall-Regeln sind zu unterscheiden und müssen zusammenpassen. Eine DMZ ist ein separates Netz für Dienste, die von außen erreichbar sein müssen. Sie schützt das interne LAN, indem öffentliche Dienste getrennt platziert und Zugriffe zwischen WAN, DMZ und LAN gezielt geregelt werden.
Wichtigste Merksätze
Firewall kontrolliert Verkehr.
NAT übersetzt Adressen.
PAT übersetzt Adressen und Ports.
DMZ trennt öffentliche Dienste vom LAN.
Firewall ist nicht NAT.
NAT ist nicht Firewall.
Routing findet den Weg.
Firewall erlaubt den Weg.
NAT-Regel leitet um.
Firewall-Regel erlaubt oder blockiert.
Source NAT ändert Quelle.
Destination NAT ändert Ziel.
Portweiterleitung ist Destination NAT.
Private IPv4-Adressen sind intern.
Öffentliche IP-Adressen sind im Internet routbar.
Default Deny ist sicherer.
Die erste passende Regel gewinnt.
Spezifisch vor allgemein.
Any-Any vermeiden.
Drop schweigt.
Reject antwortet.
Stateful Firewall kennt Verbindungen.
Rückweg muss passen.
Asymmetrisches Routing kann stören.
DMZ ist nicht LAN.
DMZ darf nicht frei ins LAN.
Öffentliche Dienste gehören besser in die DMZ.
Reverse Proxy kann Dienste bündeln.
RDP nicht direkt ins Internet öffnen.
SMB nicht direkt ins Internet öffnen.
CGNAT kann Portweiterleitungen verhindern.
Hairpin NAT = intern über öffentliche Adresse.
Split DNS = intern andere DNS-Antwort.
DNS,
NAT,
Firewall,
Dienst
und Logs gemeinsam prüfen.
12. Sniffing, Analyse und Fehlersuche
12.1 Sniffing, Paketmitschnitt und Netzwerkanalyse
Sniffing bedeutet:
Netzwerkverkehr mitschneiden und analysieren.
Dabei werden Datenpakete sichtbar gemacht,
damit man verstehen kann,
was im Netzwerk wirklich passiert.
Typische Werkzeuge sind:
- Wireshark
- tcpdump
- tshark
- Packet Capture auf Firewalls
- Switch-Port-Mirroring
- Browser-Entwicklertools
- Logdateien als Ergänzung
Merksatz:
Sniffing zeigt den tatsächlichen Netzwerkverkehr.
Warum nutzt man Paketmitschnitte?
Ein Paketmitschnitt hilft,
wenn normale Fehlermeldungen nicht ausreichen.
Man kann damit prüfen:
Kommt ein Paket überhaupt an?
Antwortet das Zielsystem?
Wird DNS korrekt gefragt?
Findet ein TCP-Handshake statt?
Gibt es Wiederholungen?
Gibt es Timeouts?
Wird die Verbindung aktiv abgelehnt?
Wird TLS aufgebaut?
Werden DHCP-Pakete gesendet?
Gibt es ARP-Probleme?
Merksatz:
Paketmitschnitt hilft,
Vermutungen durch echte Daten zu ersetzen.
Sniffing ist nicht immer erlaubt
Netzwerkverkehr kann sensible Informationen enthalten.
Beispiele:
- Benutzernamen
- Passwörter
- Cookies
- Tokens
- E-Mail-Inhalte
- interne IP-Adressen
- Kundendaten
- personenbezogene Daten
- vertrauliche Kommunikation
Deshalb gilt:
Paketmitschnitte nur mit Erlaubnis,
Zweckbindung
und möglichst begrenztem Umfang durchführen.
Merksatz:
Sniffing ist technisch hilfreich,
aber datenschutz- und sicherheitsrelevant.
Was sieht man in einem Paketmitschnitt?
In einem Paketmitschnitt sieht man je nach Protokoll:
- Quell-MAC-Adresse
- Ziel-MAC-Adresse
- Quell-IP-Adresse
- Ziel-IP-Adresse
- Protokoll
- Quellport
- Zielport
- Flags
- Paketgröße
- Zeitstempel
- DNS-Anfragen
- TCP-Handshake
- TLS-Handshake
- unverschlüsselte Nutzdaten
Bei verschlüsselten Verbindungen sieht man den Inhalt nicht einfach im Klartext.
Merksatz:
Metadaten sind oft sichtbar,
Inhalte bei TLS meist nicht.
OSI-Schichten im Paketmitschnitt
Ein Paketmitschnitt zeigt mehrere OSI-Schichten gleichzeitig.
Sichtbarer Bereich
OSI-Schicht
MAC-Adressen
2
VLAN-Tags
2
IP-Adressen
3
ICMP
3
TCP / UDP
4
Ports
4
TLS-Handshake
6 / 7-Bezug
DNS, HTTP, DHCP, SMTP
7
Merksatz:
Paketmitschnitt verbindet die Schichten sichtbar miteinander.
Wireshark
Wireshark ist ein grafisches Werkzeug zur Analyse von Netzwerkpaketen.
Es zeigt Pakete übersichtlich mit:
- Paketliste
- Paketdetails
- Rohdaten
- Protokollauswertung
- Filtern
- Zeitinformationen
- Verbindungsübersichten
Wireshark eignet sich besonders gut,
um Protokolle Schritt für Schritt zu verstehen.
Merksatz:
Wireshark macht Netzwerkverkehr sichtbar und lesbar.
tcpdump
tcpdump ist ein Kommandozeilenwerkzeug für Paketmitschnitte.
Es wird häufig auf Linux,
Unix,
Firewalls,
Servern
oder Netzwerkgeräten verwendet.
Vorteile:
- schnell
- leicht auf Servern nutzbar
- gut für SSH-Sitzungen
- kann Mitschnitte als Datei speichern
- gut für gezielte Filter
Merksatz:
tcpdump ist Paketmitschnitt auf der Kommandozeile.
tshark
tshark ist die Kommandozeilenversion von Wireshark.
Es kann Pakete aufzeichnen,
filtern
und Protokolldaten ausgeben.
Typische Nutzung:
- Analyse auf Servern
- automatisierte Auswertung
- schnelle Suche in Mitschnitten
- Export bestimmter Felder
Merksatz:
tshark bringt Wireshark-Funktionen auf die Kommandozeile.
Packet Capture auf Firewalls
Viele Firewalls bieten eine eingebaute Paketmitschnittfunktion.
Vorteil:
Man sieht,
ob Pakete an der Firewall ankommen
und auf welchem Interface sie erscheinen.
Das ist hilfreich bei:
- NAT-Problemen
- Routingproblemen
- DMZ-Verkehr
- VPN-Problemen
- Firewall-Regelprüfung
- asymmetrischem Routing
Merksatz:
Mitschnitt auf der Firewall zeigt,
was die Firewall wirklich sieht.
Switch-Port-Mirroring
Ein Switch leitet normalerweise nur relevante Frames an den passenden Port weiter.
Damit ein Analysegerät trotzdem Verkehr anderer Ports sehen kann,
nutzt man:
Port Mirroring
oder:
SPAN-Port
Dabei wird Verkehr von einem oder mehreren Ports
auf einen Analyseport kopiert.
Merksatz:
Port Mirroring kopiert Verkehr zu einem Analyseport.
Warum sieht man nicht automatisch alles?
In geswitchten Netzwerken sieht ein normaler Client nicht den gesamten Verkehr.
Er sieht hauptsächlich:
- eigenen Verkehr
- Broadcasts
- Multicasts
- bestimmte lokale Pakete
Er sieht normalerweise nicht:
den gesamten Verkehr anderer Clients
Dafür braucht man Port Mirroring,
Mitschnitt am Zielsystem
oder Mitschnitt an einer Firewall.
Merksatz:
In geswitchten Netzen sieht man ohne Mirror nicht alles.
Promiscuous Mode
Promiscuous Mode bedeutet:
Die Netzwerkkarte nimmt auch Frames an,
die nicht direkt an ihre eigene MAC-Adresse gerichtet sind.
Das ist für Sniffing hilfreich.
Aber:
In geswitchten Netzwerken reicht Promiscuous Mode allein nicht,
um fremden Verkehr zu sehen.
Merksatz:
Promiscuous Mode hilft,
ersetzt aber kein Port Mirroring.
Capture Filter und Display Filter
Bei Wireshark und tcpdump gibt es unterschiedliche Filterarten.
Capture Filter:
bestimmen,
was überhaupt aufgezeichnet wird.
Display Filter:
bestimmen,
was nachträglich angezeigt wird.
Beispiel:
Capture Filter:
nur Verkehr zu Host 192.168.10.20 mitschneiden
Display Filter:
im vorhandenen Mitschnitt nur DNS anzeigen
Merksatz:
Capture Filter begrenzt Aufnahme.
Display Filter begrenzt Anzeige.
Capture Filter
Capture Filter werden vor oder während der Aufnahme angewendet.
Vorteil:
kleinere Dateien
weniger Daten
bessere Übersicht
weniger sensible Daten
Nachteil:
was nicht aufgezeichnet wurde,
kann man später nicht analysieren.
Merksatz:
Capture Filter nur setzen,
wenn klar ist,
was benötigt wird.
Display Filter
Display Filter werden nach der Aufnahme angewendet.
Vorteil:
alle Daten bleiben erhalten
Ansicht kann beliebig eingegrenzt werden
ideal für Analyse
Beispiele für Filterideen:
nur eine IP-Adresse
nur DNS
nur TCP-Fehler
nur HTTP
nur Pakete mit Reset
Merksatz:
Display Filter sind sicherer für Analyse,
weil die Rohdaten erhalten bleiben.
Wichtige Filtergedanken
Typische Fragen:
Welche IP-Adresse interessiert mich?
Welcher Port interessiert mich?
Welches Protokoll interessiert mich?
Welche Richtung interessiert mich?
Welche Fehlermeldung sehe ich?
Welche Zeitspanne ist relevant?
Beispiele:
Verkehr eines bestimmten Hosts
DNS-Anfragen
TCP-Verbindungen zu Port 443
ICMP-Pakete
DHCP-DORA
ARP-Anfragen
Merksatz:
Gute Filter entstehen aus einer klaren Fragestellung.
MAC-Adressen im Mitschnitt
MAC-Adressen gehören zu OSI-Schicht 2.
Sie zeigen,
welche Geräte im lokalen Netzwerksegment miteinander kommunizieren.
Wichtig:
MAC-Adressen ändern sich bei jedem Routing-Hop.
Ein Paket zum Internet hat im LAN als Ziel-MAC nicht den Webserver im Internet,
sondern die MAC-Adresse des Standard-Gateways.
Merksatz:
Im lokalen Netz ist die Ziel-MAC oft das Gateway.
IP-Adressen im Mitschnitt
IP-Adressen gehören zu OSI-Schicht 3.
Sie zeigen:
Quell-IP
Ziel-IP
Bei NAT können sich IP-Adressen ändern.
Beispiel:
vor NAT:
private Client-IP
nach NAT:
öffentliche Firewall-IP
Merksatz:
IP-Adressen zeigen logische Endpunkte,
können durch NAT geändert werden.
Ports im Mitschnitt
Ports gehören zu OSI-Schicht 4.
Sie zeigen,
welcher Dienst angesprochen wird.
Beispiel:
Zielport TCP 443:
typischerweise HTTPS
Zielport TCP 22:
typischerweise SSH
Zielport UDP 53:
typischerweise DNS
Merksatz:
Ports helfen,
Dienste zu erkennen.
Quellport und Zielport
Bei Client-Server-Verbindungen nutzt der Client meist einen temporären Quellport.
Beispiel:
Client:
192.168.10.50:53124
Server:
203.0.113.10:443
Dabei ist:
53124 = temporärer Quellport
443 = Zielport des Dienstes
Merksatz:
Der bekannte Dienstport ist meistens der Zielport beim Server.
TCP-Handshake im Mitschnitt
TCP baut eine Verbindung mit drei Schritten auf:
SYN
SYN-ACK
ACK
Im Mitschnitt sieht man dadurch,
ob eine TCP-Verbindung zustande kommt.
Beobachtung
mögliche Bedeutung
SYN, SYN-ACK, ACK
Verbindung aufgebaut
nur SYN-Wiederholungen
keine Antwort, Firewall oder Routingproblem
SYN, RST
Ziel lehnt aktiv ab
SYN, SYN-ACK, danach kein ACK
Rückweg oder Clientproblem
viele Retransmissions
Paketverlust oder Blockierung
Merksatz:
TCP-Handshake ist einer der wichtigsten Hinweise im Mitschnitt.
TCP SYN
SYN bedeutet:
Client möchte eine TCP-Verbindung starten.
Wenn man nur SYN-Pakete sieht,
aber keine Antwort,
kann das bedeuten:
Ziel antwortet nicht.
Firewall blockiert.
Rückweg fehlt.
Ziel-IP ist falsch.
Dienst ist nicht erreichbar.
Routing stimmt nicht.
Merksatz:
Nur SYN ohne Antwort deutet auf keine erreichbare Antwort hin.
TCP SYN-ACK
SYN-ACK bedeutet:
Server akzeptiert den Verbindungsaufbau grundsätzlich
und antwortet.
Wenn SYN-ACK ankommt,
ist der Zielport grundsätzlich erreichbar.
Danach muss der Client mit ACK bestätigen.
Merksatz:
SYN-ACK zeigt:
Ziel hat auf TCP-Verbindungsversuch geantwortet.
TCP ACK
ACK bestätigt empfangene Daten oder Verbindungsaufbau.
ACKs sind normaler Bestandteil von TCP.
Sie zeigen,
dass Pakete angekommen sind
und die Verbindung fortgesetzt werden kann.
Merksatz:
ACK bestätigt Empfang.
TCP RST
RST steht für:
Reset
Ein RST beendet oder verweigert eine Verbindung aktiv.
Mögliche Ursachen:
- Dienst läuft nicht
- Port geschlossen
- Anwendung lehnt ab
- Firewall sendet Reset
- falsches Protokoll auf Port
- Verbindung wird abgebrochen
Merksatz:
RST = aktive Ablehnung oder Abbruch.
TCP Retransmission
Retransmission bedeutet:
TCP sendet ein Paket erneut.
Grund:
keine Bestätigung erhalten
Mögliche Ursachen:
- Paketverlust
- Firewall blockiert Pakete
- Überlastung
- schlechter Link
- Rückwegproblem
- Ziel antwortet nicht
Merksatz:
Retransmissions deuten auf verlorene oder unbeantwortete Pakete hin.
TCP Window
TCP Window beschreibt,
wie viele Daten empfangen werden können,
bevor eine Bestätigung nötig ist.
Wenn das Fenster sehr klein oder null wird,
kann das auf Leistungsprobleme hindeuten.
Beispiel:
Empfänger kann nicht schnell genug verarbeiten.
Merksatz:
TCP Window betrifft Flusskontrolle und Leistung.
UDP im Mitschnitt
UDP hat keinen Verbindungsaufbau wie TCP.
Es gibt keinen SYN,
kein SYN-ACK
und kein ACK für den Verbindungsaufbau.
Bei UDP prüft man:
Wird Anfrage gesendet?
Kommt Antwort zurück?
Gibt es ICMP-Fehler?
Wird der richtige Port genutzt?
Merksatz:
UDP ist verbindungslos,
deshalb sieht man keinen Handshake.
ICMP im Mitschnitt
ICMP gehört zu Schicht 3.
Es wird genutzt für:
- Ping
- Ziel nicht erreichbar
- Time Exceeded
- Fragmentierung nötig
- Diagnosemeldungen
ICMP-Meldungen können wichtige Hinweise geben.
Beispiel:
Destination Unreachable
Merksatz:
ICMP liefert oft Hinweise auf Netzwerkprobleme.
ARP im Mitschnitt
ARP gehört zur lokalen IPv4-Kommunikation.
ARP fragt:
Welche MAC-Adresse gehört zu dieser IPv4-Adresse?
Beispiel:
Wer hat 192.168.10.1?
Antwort:
192.168.10.1 ist bei MAC-Adresse xx:xx:xx:xx:xx:xx
Merksatz:
ARP löst IPv4-Adresse zu MAC-Adresse im lokalen Netz auf.
ARP-Probleme erkennen
Typische Hinweise:
viele ARP-Anfragen ohne Antwort
falsche MAC-Adresse
doppelte IP-Adresse
Gateway antwortet nicht
Client fragt falsches Ziel direkt
Mögliche Ursachen:
- Ziel nicht im lokalen Netz
- falsche Netzmaske
- falsches Gateway
- VLAN falsch
- IP-Konflikt
- Gerät offline
Merksatz:
ARP-Probleme zeigen oft lokale Layer-2- oder Layer-3-Fehler.
DNS im Mitschnitt
DNS ist häufig sehr gut im Mitschnitt erkennbar.
Man sieht:
welche Namen gefragt werden
welcher DNS-Server gefragt wird
welche Antwort zurückkommt
ob A- oder AAAA-Records angefragt werden
ob NXDOMAIN zurückkommt
ob Antwort verzögert ist
Merksatz:
DNS-Mitschnitt zeigt,
welcher Name wirklich wohin aufgelöst wird.
DHCP im Mitschnitt
DHCP kann man im Mitschnitt gut erkennen.
Der klassische Ablauf:
Discover
Offer
Request
Acknowledge
Fehlerbilder:
Discover ohne Offer:
DHCP-Server oder Relay antwortet nicht.
Offer kommt,
aber kein Ack:
Anfrage oder Serverbestätigung gestört.
falsche Optionen:
Gateway oder DNS falsch verteilt.
Merksatz:
DHCP-DORA ist im Mitschnitt gut nachvollziehbar.
TLS im Mitschnitt
Bei TLS sieht man normalerweise nicht den verschlüsselten Inhalt.
Man sieht aber oft:
TLS-Version
Server Name Indication
Zertifikatsinformationen
Cipher-Aushandlung
Handshake-Fehler
Verbindungsabbrüche
Wichtig:
Der Inhalt von HTTPS bleibt ohne Entschlüsselung geschützt.
Merksatz:
TLS versteckt Inhalte,
aber der Handshake liefert Hinweise.
SNI im Mitschnitt
SNI steht für:
Server Name Indication
Der Client teilt beim TLS-Aufbau mit,
welchen Hostnamen er erreichen möchte.
Das ist wichtig,
wenn mehrere HTTPS-Dienste auf derselben IP laufen.
Beispiel:
wiki.firma.de
cloud.firma.de
git.firma.de
alle über:
dieselbe IP und TCP 443
Merksatz:
SNI zeigt den gewünschten TLS-Hostnamen.
HTTP im Mitschnitt
Unverschlüsseltes HTTP kann im Mitschnitt direkt gelesen werden.
Man sieht zum Beispiel:
Methode
Pfad
Host-Header
Statuscode
Header
teilweise Inhalte
Bei HTTPS sieht man diese Inhalte normalerweise nicht,
weil sie verschlüsselt sind.
Merksatz:
HTTP ist lesbar,
HTTPS schützt den Inhalt.
FTP und Telnet im Mitschnitt
FTP und Telnet können unverschlüsselte Inhalte übertragen.
Bei klassischem FTP können sichtbar sein:
Benutzername
Passwort
Befehle
Dateiinhalte
Bei Telnet können sichtbar sein:
Login
Passwort
Befehle
Merksatz:
Unverschlüsselte Protokolle sind im Mitschnitt gefährlich sichtbar.
SMB im Mitschnitt
SMB-Verkehr kann Hinweise liefern bei:
Zugriff verweigert
Verbindungsproblemen
Namensproblemen
Protokollversionsproblemen
Dateioperationen
Authentifizierungsproblemen
Wichtig:
Moderne SMB-Kommunikation kann teilweise signiert oder verschlüsselt sein.
Merksatz:
SMB-Mitschnitte helfen bei Freigabe- und Rechteproblemen.
Zeitstempel im Mitschnitt
Zeitstempel zeigen,
wann Pakete gesendet oder empfangen wurden.
Sie helfen bei:
Timeouts
Verzögerungen
Wiederholungen
langsamen Antworten
Reihenfolge von Ereignissen
Wichtig:
Systemzeit des Analysegeräts sollte korrekt sein.
Merksatz:
Ohne korrekte Zeit sind Mitschnitte schwerer auszuwerten.
Paketgröße
Die Paketgröße kann Hinweise geben.
Beispiele:
sehr kleine Pakete:
Steuerinformationen, ACKs, Handshake
große Pakete:
Datenübertragung
fragmentierte Pakete:
MTU- oder Fragmentierungsthemen möglich
Merksatz:
Paketgrößen können Leistungs- oder MTU-Probleme sichtbar machen.
MTU-Probleme im Mitschnitt
MTU steht für:
Maximum Transmission Unit
MTU-Probleme können auftreten,
wenn Pakete zu groß sind
und Fragmentierung nicht richtig funktioniert.
Typische Hinweise:
Verbindungen bauen auf,
aber größere Datenübertragungen hängen.
Webseiten laden teilweise.
VPN-Verbindungen haben Probleme.
ICMP Fragmentation Needed fehlt oder wird blockiert.
Merksatz:
MTU-Probleme zeigen sich oft erst bei größeren Paketen.
Wo sollte man mitschneiden?
Der Ort des Mitschnitts ist entscheidend.
Mögliche Stellen:
Client
Server
Firewall WAN
Firewall LAN
Firewall DMZ
Switch Mirror Port
Router
VPN-Gateway
Reverse Proxy
Je nach Stelle sieht man unterschiedliche Informationen.
Merksatz:
Der Mitschnittort entscheidet,
was man sehen kann.
Clientseitiger Mitschnitt
Ein Mitschnitt am Client zeigt:
was der Client wirklich sendet
welche DNS-Anfragen gestellt werden
welche IP erreicht wird
ob Antwort zurückkommt
welche Fehlversuche entstehen
Gut bei:
Einzelclient-Problemen
DNS-Problemen
Browserproblemen
VPN-Clientproblemen
Merksatz:
Client-Mitschnitt zeigt die Sicht des Clients.
Serverseitiger Mitschnitt
Ein Mitschnitt am Server zeigt:
ob Anfragen beim Server ankommen
von welcher IP sie ankommen
auf welchem Port sie ankommen
ob der Server antwortet
ob die Host-Firewall beteiligt sein könnte
Gut bei:
Dienstproblemen
Firewallverdacht
NAT-Fragen
Rückwegproblemen
Merksatz:
Server-Mitschnitt zeigt,
ob der Dienst wirklich erreicht wird.
Firewall-Mitschnitt
Ein Mitschnitt auf der Firewall zeigt:
kommt Verkehr auf WAN an?
wird Verkehr nach NAT weitergeleitet?
kommt Antwort zurück?
auf welchem Interface erscheint Verkehr?
wird Rückverkehr sichtbar?
Gut bei:
NAT
DMZ
VPN
Routing
Portweiterleitung
asymmetrischem Routing
Merksatz:
Firewall-Mitschnitt zeigt den Übergang zwischen Zonen.
Mehrere Mitschnitte vergleichen
Manchmal braucht man Mitschnitte an mehreren Stellen.
Beispiel:
Client sendet SYN.
Firewall WAN sieht SYN.
Firewall DMZ sieht weitergeleitetes SYN.
Server sieht kein SYN.
Dann liegt das Problem zwischen Firewall und Server.
Oder:
Server antwortet.
Firewall sieht Antwort.
Client sieht Antwort nicht.
Dann Rückweg oder Filter prüfen.
Merksatz:
Mehrere Mitschnitte zeigen,
wo Pakete verschwinden.
Paketmitschnitt und Logs kombinieren
Paketmitschnitte zeigen Verkehr.
Logs zeigen Entscheidungen und Anwendungszustände.
Beispiele:
Firewall-Log:
Paket wurde blockiert.
Webserver-Log:
Anfrage kam an und erzeugte 500.
Auth-Log:
Anmeldung wurde abgelehnt.
Paketmitschnitt:
TCP-Verbindung wurde aufgebaut.
Merksatz:
Mitschnitt und Logs ergänzen sich.
Typische Analysefragen
Bei einem Paketmitschnitt fragt man:
Sehe ich überhaupt Pakete?
Sehe ich die richtige Quelle?
Sehe ich das richtige Ziel?
Sehe ich den richtigen Port?
Sehe ich DNS vorher?
Sehe ich einen TCP-Handshake?
Sehe ich Reset oder Timeout?
Sehe ich TLS-Handshake?
Sehe ich Antwortpakete?
Sehe ich Wiederholungen?
Sehe ich ICMP-Fehler?
Passt die Richtung?
Merksatz:
Mitschnitt immer mit konkreter Frage auswerten.
Typisches Fehlerbild: Nur SYN-Wiederholungen
Wenn man nur SYN-Pakete sieht,
aber keine SYN-ACK-Antwort,
kann das bedeuten:
Ziel nicht erreichbar
Firewall droppt
falsche Ziel-IP
Routingproblem
Rückweg fehlt
Dienst oder Host antwortet nicht
NAT falsch
Merksatz:
Nur SYN-Wiederholungen deuten auf fehlende Antwort hin.
Typisches Fehlerbild: RST nach SYN
Wenn auf ein SYN direkt ein RST kommt,
kann das bedeuten:
Port geschlossen
Dienst läuft nicht
Host lehnt Verbindung ab
Firewall lehnt aktiv ab
falscher Zielport
Merksatz:
RST nach SYN heißt:
Verbindung wird aktiv abgelehnt.
Typisches Fehlerbild: DNS NXDOMAIN
NXDOMAIN bedeutet:
Name existiert nicht.
Mögliche Ursachen:
falscher Name
DNS-Zone fehlt
Tippfehler
interner DNS nicht genutzt
falscher Suchsuffix
Split DNS falsch
Merksatz:
NXDOMAIN heißt:
DNS kennt diesen Namen nicht.
Typisches Fehlerbild: DHCP Discover ohne Offer
Wenn ein Client DHCP Discover sendet,
aber kein Offer erhält,
kann das bedeuten:
DHCP-Server nicht erreichbar
DHCP-Relay fehlt
VLAN falsch
DHCP-Server down
Firewall blockiert
Scope voll
falsches Netzwerk
Merksatz:
Discover ohne Offer:
Client findet keinen antwortenden DHCP-Server.
Typisches Fehlerbild: TLS Alert
Ein TLS Alert zeigt,
dass der TLS-Aufbau ein Problem hat.
Mögliche Ursachen:
Zertifikatproblem
falscher Hostname
inkompatible TLS-Version
inkompatible Cipher Suite
Client oder Server bricht ab
mTLS-Zertifikat fehlt
Merksatz:
TLS Alert deutet auf Problem im TLS-Handshake hin.
Typisches Fehlerbild: Viele Retransmissions
Viele Retransmissions können bedeuten:
Paketverlust
Überlastung
Firewall blockiert einzelne Pakete
Rückwegproblem
WLAN-Probleme
MTU-Probleme
schlechte Verbindung
Merksatz:
Viele Wiederholungen zeigen,
dass Bestätigungen fehlen.
Typisches Fehlerbild: ARP ohne Antwort
ARP-Anfragen ohne Antwort können bedeuten:
Ziel ist nicht im lokalen Netz
Ziel ist offline
VLAN falsch
falsche IP-Adresse
falsche Netzmaske
Gateway nicht erreichbar
IP-Konflikt
Merksatz:
ARP ohne Antwort zeigt lokale Erreichbarkeitsprobleme.
Sicherheit beim Speichern von Mitschnitten
Paketmitschnitte können sensible Daten enthalten.
Deshalb:
nur notwendige Dauer mitschneiden
Filter nutzen
Dateien sicher speichern
Zugriff beschränken
Mitschnitte nach Zweck löschen
keine Mitschnitte unnötig weitergeben
personenbezogene Daten beachten
Merksatz:
Mitschnittdateien wie sensible Daten behandeln.
PCAP-Dateien
Paketmitschnitte werden häufig als PCAP oder PCAPNG gespeichert.
Diese Dateien können später geöffnet und analysiert werden.
Vorteile:
- spätere Analyse möglich
- Weitergabe an Fachabteilung möglich
- Vergleich mit Logs möglich
- Dokumentation eines Fehlerfalls
Achtung:
PCAP-Dateien können vertrauliche Informationen enthalten.
Merksatz:
PCAP ist praktisch,
aber sensibel.
Was ein Paketmitschnitt nicht automatisch liefert
Ein Paketmitschnitt zeigt nicht automatisch:
warum ein Benutzer keine Berechtigung hat
warum eine Anwendung intern Fehler wirft
warum ein Passwort falsch ist
warum ein Serverprozess abgestürzt ist
welche Firewall-Regel intern entschieden hat
ob ein Zertifikat fachlich richtig beantragt wurde
Dafür braucht man zusätzlich:
Logs
Konfiguration
Berechtigungsprüfung
Dienststatus
Fachwissen
Merksatz:
Paketmitschnitt zeigt Verkehr,
aber nicht jede Ursache.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was versteht man unter Sniffing?
- Wofür nutzt man einen Paketmitschnitt?
- Was ist Wireshark?
- Was ist tcpdump?
- Was ist Port Mirroring?
- Warum sieht man in einem geswitchten Netzwerk nicht automatisch allen Verkehr?
- Was ist der Unterschied zwischen Capture Filter und Display Filter?
- Was sieht man bei einem TCP-Handshake?
- Was bedeuten SYN, SYN-ACK und ACK?
- Was bedeutet TCP Reset?
- Was bedeuten Retransmissions?
- Warum sieht man bei HTTPS den Inhalt nicht einfach im Klartext?
- Was kann man bei DNS im Mitschnitt erkennen?
- Was zeigt DHCP-DORA im Mitschnitt?
- Warum sind Paketmitschnitte sensibel?
Typische Prüfungsfallen
Sniffing zeigt echten Netzwerkverkehr.
Sniffing ist datenschutzrelevant.
Wireshark ist grafisch.
tcpdump ist Kommandozeile.
In geswitchten Netzen sieht man nicht automatisch alles.
Port Mirroring kopiert Verkehr auf Analyseport.
Promiscuous Mode allein reicht im Switch-Netz oft nicht.
Capture Filter begrenzt Aufnahme.
Display Filter begrenzt Anzeige.
Was nicht aufgezeichnet wurde,
kann später nicht analysiert werden.
TCP hat Handshake.
UDP hat keinen Handshake.
SYN startet TCP-Verbindung.
SYN-ACK ist Serverantwort.
ACK bestätigt.
RST lehnt ab oder beendet.
Retransmission bedeutet erneutes Senden.
TLS schützt Inhalte.
HTTP ist lesbar,
HTTPS normalerweise nicht.
FTP und Telnet sind im Mitschnitt gefährlich sichtbar.
Mitschnittort ist entscheidend.
Logs und Mitschnitt ergänzen sich.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Sniffing
Mitschneiden von Netzwerkverkehr
Paketmitschnitt
Aufzeichnung von Paketen
Wireshark
grafisches Analysewerkzeug
tcpdump
Kommandozeilenwerkzeug für Mitschnitte
tshark
Wireshark auf Kommandozeile
PCAP
Datei mit Paketmitschnitt
Port Mirroring
Kopieren von Switch-Verkehr auf Analyseport
SPAN
Port-Mirroring-Begriff bei Switches
Promiscuous Mode
Netzwerkkarte nimmt fremde Frames an
Capture Filter
Filter vor der Aufnahme
Display Filter
Filter für Anzeige nach Aufnahme
SYN
TCP-Verbindungsstart
SYN-ACK
TCP-Antwort des Servers
ACK
Bestätigung
RST
Reset, aktive Ablehnung oder Abbruch
Retransmission
erneutes Senden eines Pakets
ARP
IPv4-Adresse zu MAC-Adresse
ICMP
Diagnose- und Fehlermeldungsprotokoll
SNI
Hostname im TLS-Handshake
TLS Alert
Fehlermeldung im TLS-Handshake
NXDOMAIN
DNS-Name existiert nicht
DORA
DHCP Discover, Offer, Request, Acknowledge
IHK-sichere Kurzformulierung
Sniffing bezeichnet das Mitschneiden und Analysieren von Netzwerkverkehr. Mit Werkzeugen wie Wireshark, tcpdump oder Paketmitschnitten auf Firewalls kann geprüft werden, welche Pakete tatsächlich gesendet und empfangen werden. Dabei lassen sich unter anderem MAC-Adressen, IP-Adressen, Ports, Protokolle, TCP-Handshakes, DNS-Anfragen, DHCP-Abläufe, ICMP-Meldungen, TLS-Handshakes und Wiederholungen erkennen. In geswitchten Netzwerken sieht ein Client nicht automatisch den gesamten Verkehr; dafür ist häufig Port Mirroring oder ein Mitschnitt an der richtigen Stelle nötig. Paketmitschnitte können sensible Daten enthalten und müssen deshalb sorgfältig und nur mit berechtigtem Zweck eingesetzt werden.
Merksätze
Sniffing = Netzwerkverkehr mitschneiden.
Paketmitschnitt zeigt echten Verkehr.
Wireshark ist grafisch.
tcpdump ist Kommandozeile.
tshark ist Wireshark für die Kommandozeile.
PCAP-Dateien enthalten Mitschnitte.
Mitschnitte können sensible Daten enthalten.
In geswitchten Netzen sieht man nicht automatisch alles.
Port Mirroring kopiert Verkehr.
Promiscuous Mode reicht allein oft nicht.
Capture Filter begrenzt Aufnahme.
Display Filter begrenzt Anzeige.
Mitschnittort ist entscheidend.
MAC-Adressen gehören zu Schicht 2.
IP-Adressen gehören zu Schicht 3.
Ports gehören zu Schicht 4.
DNS gehört zu Schicht 7.
TCP hat Handshake.
UDP hat keinen Handshake.
SYN startet TCP-Verbindung.
SYN-ACK antwortet.
ACK bestätigt.
RST lehnt ab oder beendet.
Retransmission bedeutet erneutes Senden.
ARP löst IPv4 zu MAC auf.
ICMP liefert Diagnosehinweise.
DHCP-DORA ist im Mitschnitt sichtbar.
TLS schützt Inhalte.
HTTP ist lesbar.
HTTPS ist normalerweise nicht lesbar.
FTP und Telnet sind unsicher,
weil Inhalte sichtbar sein können.
Logs und Paketmitschnitt zusammen auswerten.
12.2 Wireshark-Analyse: Filter, Protokolle und typische Fehlerbilder
Wireshark ist ein grafisches Werkzeug zur Analyse von Netzwerkverkehr.
Mit Wireshark kann man Paketmitschnitte öffnen,
filtern und auswerten.
Ziel ist nicht nur:
Pakete sehen
Sondern:
Verstehen,
was im Netzwerk wirklich passiert.
Merksatz:
Wireshark zeigt Pakete,
aber die Analyse entsteht durch gezielte Fragen.
Grundidee der Wireshark-Analyse
Ein Paketmitschnitt kann sehr viele Daten enthalten.
Ohne Filter ist die Analyse schnell unübersichtlich.
Deshalb arbeitet man mit Fragen:
Welche IP-Adresse interessiert mich?
Welcher Dienst funktioniert nicht?
Welcher Port wird genutzt?
Gibt es DNS-Anfragen?
Gibt es einen TCP-Handshake?
Gibt es Timeouts?
Gibt es Reset-Pakete?
Gibt es TLS-Fehler?
Kommt eine Antwort zurück?
Merksatz:
Erst Fragestellung,
dann Filter.
Wireshark-Oberfläche
Wireshark zeigt typischerweise drei Bereiche:
Bereich
Bedeutung
Paketliste
alle aufgezeichneten Pakete als Übersicht
Paketdetails
aufgeschlüsselte Protokollinformationen
Paketbytes
Rohdaten des Pakets
Die Paketliste zeigt zum Beispiel:
Zeit
Quelle
Ziel
Protokoll
Länge
Information
Merksatz:
Paketliste zeigt Überblick,
Paketdetails zeigen Inhalt.
Paketliste
In der Paketliste sieht man jedes Paket als Zeile.
Wichtige Spalten:
No.
Time
Source
Destination
Protocol
Length
Info
Diese Spalten helfen,
den Ablauf der Kommunikation zu verstehen.
Merksatz:
Die Paketliste zeigt die zeitliche Reihenfolge der Pakete.
Paketdetails
Die Paketdetails zeigen,
welche Protokollschichten im Paket enthalten sind.
Beispiele:
Frame
Ethernet
IPv4 oder IPv6
TCP oder UDP
TLS
HTTP
DNS
DHCP
Damit kann man sehen,
welche Schichten beteiligt sind.
Merksatz:
Paketdetails zeigen die Protokolle Schicht für Schicht.
Paketbytes
Die Paketbytes zeigen die Rohdaten des Pakets.
Das ist besonders wichtig,
wenn man sehr genau prüfen möchte,
welche Daten wirklich übertragen wurden.
Für die IHK reicht meist:
verstehen,
dass dies die Rohdaten sind.
Merksatz:
Paketbytes sind die technische Rohansicht.
Display Filter
Display Filter bestimmen,
welche Pakete angezeigt werden.
Sie ändern nicht die gespeicherte Aufzeichnung.
Beispielgedanke:
Zeige nur DNS.
Zeige nur Pakete zu dieser IP.
Zeige nur TCP-Resets.
Zeige nur HTTP.
Merksatz:
Display Filter blenden aus,
löschen aber nichts aus der Aufnahme.
Capture Filter
Capture Filter bestimmen,
was überhaupt aufgezeichnet wird.
Vorteil:
weniger Daten
kleinere Datei
bessere Übersicht
weniger sensible Informationen
Nachteil:
nicht aufgezeichnete Pakete sind später verloren.
Merksatz:
Capture Filter vor Aufnahme,
Display Filter nach Aufnahme.
Capture Filter und Display Filter vergleichen
Filterart
Zeitpunkt
Wirkung
Capture Filter
vor oder während Aufnahme
begrenzt, was aufgezeichnet wird
Display Filter
nach Aufnahme
begrenzt nur die Anzeige
Merksatz:
Capture Filter spart Daten.
Display Filter hilft bei Analyse.
Wichtige Wireshark-Display-Filter
Ziel
Filteridee
bestimmte IP anzeigen
ip.addr == 192.168.10.20
nur Quelle
ip.src == 192.168.10.20
nur Ziel
ip.dst == 192.168.10.20
bestimmter TCP-Port
tcp.port == 443
bestimmter UDP-Port
udp.port == 53
nur DNS
dns
nur HTTP
http
nur TLS
tls
nur ARP
arp
nur ICMP
icmp
nur DHCP
dhcp
nur TCP Reset
tcp.flags.reset == 1
nur TCP SYN
tcp.flags.syn == 1
TCP Retransmissions
tcp.analysis.retransmission
Merksatz:
Display Filter müssen zur Fragestellung passen.
IP-Adresse filtern
Wenn ein bestimmter Host untersucht wird,
filtert man nach dessen IP-Adresse.
Beispiel:
ip.addr == 192.168.10.20
Das zeigt Pakete,
bei denen diese IP-Adresse Quelle oder Ziel ist.
Merksatz:
ip.addr zeigt Verkehr mit einer bestimmten IP.
Quelle und Ziel unterscheiden
Manchmal muss man genauer unterscheiden.
Quelle:
ip.src == 192.168.10.20
Ziel:
ip.dst == 192.168.10.20
Das ist hilfreich,
wenn man wissen will:
Wer startet die Verbindung?
Wer antwortet?
Merksatz:
ip.src = Quelle.
ip.dst = Ziel.
Port filtern
Ports helfen,
Dienste zu erkennen.
Beispiel:
tcp.port == 443
zeigt TCP-Verkehr,
bei dem Port 443 als Quell- oder Zielport vorkommt.
Genauer:
tcp.dstport == 443
zeigt Pakete,
die zu einem Dienst auf Port 443 gehen.
Merksatz:
Zielport zeigt meist den angesprochenen Dienst.
TCP und UDP getrennt betrachten
Portnummern allein reichen nicht.
Beispiele:
tcp.port == 443
ist nicht dasselbe wie:
udp.port == 443
Das ist wichtig bei:
HTTPS klassisch über TCP 443
HTTP/3 über UDP 443
DNS über UDP/TCP 53
Merksatz:
Port immer mit TCP oder UDP betrachten.
DNS analysieren
DNS ist häufig der erste Schritt vor einer Verbindung.
Mit Filter:
dns
sieht man DNS-Anfragen und Antworten.
Wichtige Fragen:
Welcher Name wird gefragt?
Welcher DNS-Server wird gefragt?
Welche IP-Adresse wird zurückgegeben?
Kommt NXDOMAIN?
Wird IPv4 oder IPv6 angefragt?
Gibt es lange Antwortzeiten?
Merksatz:
DNS zeigt,
wohin ein Name wirklich aufgelöst wird.
DNS A und AAAA
A-Record:
Name zu IPv4-Adresse
AAAA-Record:
Name zu IPv6-Adresse
Im Mitschnitt kann man sehen,
ob ein Client IPv4,
IPv6
oder beides anfragt.
Fehlerfall:
AAAA zeigt auf nicht erreichbare IPv6-Adresse,
obwohl IPv4 funktionieren würde.
Merksatz:
DNS-Antworten können IPv4 und IPv6 betreffen.
DNS NXDOMAIN
NXDOMAIN bedeutet:
Name existiert nicht.
Mögliche Ursachen:
- Tippfehler
- falscher DNS-Suffix
- falscher DNS-Server
- interne Zone fehlt
- Split DNS falsch
- Name wurde nicht angelegt
Merksatz:
NXDOMAIN heißt:
DNS kennt diesen Namen nicht.
TCP-Analyse
TCP-Verbindungen erkennt man am Handshake:
SYN
SYN-ACK
ACK
Mit Wireshark prüft man:
Gibt es SYN?
Kommt SYN-ACK zurück?
Wird ACK gesendet?
Gibt es RST?
Gibt es Retransmissions?
Gibt es Timeouts?
Merksatz:
TCP-Analyse beginnt oft beim Handshake.
TCP SYN filtern
Ein SYN startet eine TCP-Verbindung.
Filteridee:
tcp.flags.syn == 1
Achtung:
SYN-ACK enthält ebenfalls SYN.
Wenn man nur reine SYN-Pakete ohne ACK sehen möchte,
braucht man sinngemäß:
SYN gesetzt,
ACK nicht gesetzt.
Merksatz:
SYN zeigt Verbindungsversuche.
TCP SYN-ACK erkennen
SYN-ACK ist die Antwort des Servers auf ein SYN.
Bedeutung:
Der Zielport antwortet grundsätzlich.
Wenn SYN-ACK zurückkommt,
ist der Weg zum Server und zurück zumindest für diesen Schritt vorhanden.
Merksatz:
SYN-ACK zeigt,
dass der Server auf den TCP-Verbindungsaufbau antwortet.
TCP ACK erkennen
ACK bestätigt den Empfang.
Nach SYN und SYN-ACK bestätigt der Client mit ACK.
Dann ist der TCP-Verbindungsaufbau abgeschlossen.
Merksatz:
SYN,
SYN-ACK,
ACK
= TCP-Verbindung aufgebaut.
TCP Reset erkennen
Ein Reset beendet oder verweigert eine Verbindung.
Filter:
tcp.flags.reset == 1
Mögliche Ursachen:
- Port geschlossen
- Dienst läuft nicht
- Anwendung lehnt ab
- Firewall sendet Reset
- falsches Protokoll
- Verbindung wird aktiv beendet
Merksatz:
RST ist eine aktive Ablehnung oder Beendigung.
TCP Retransmissions erkennen
Retransmissions sind erneute Übertragungen.
Filteridee:
tcp.analysis.retransmission
Mögliche Ursachen:
- Paketverlust
- Firewall blockiert einzelne Pakete
- WLAN-Probleme
- Überlastung
- Rückwegproblem
- MTU-Problem
Merksatz:
Retransmissions bedeuten:
Bestätigung fehlt oder Paket ging verloren.
TCP Zero Window
TCP Zero Window bedeutet:
Empfänger kann aktuell keine weiteren Daten aufnehmen.
Mögliche Ursachen:
- Anwendung verarbeitet Daten zu langsam
- Empfänger überlastet
- Ressourcenproblem
- System hängt
Merksatz:
Zero Window deutet auf Empfänger- oder Leistungsproblem hin.
TCP Dup ACK
Duplicate ACK bedeutet:
Eine Bestätigung wird mehrfach gesendet.
Das kann auf Paketverlust oder fehlende Segmente hinweisen.
In Kombination mit Retransmissions kann es Netzwerkprobleme sichtbar machen.
Merksatz:
Duplicate ACK kann auf verlorene TCP-Segmente hindeuten.
UDP analysieren
UDP hat keinen Verbindungsaufbau.
Bei UDP prüft man:
Wird eine Anfrage gesendet?
Kommt eine Antwort zurück?
Gibt es ICMP-Fehler?
Wird der richtige UDP-Port genutzt?
Ist der Server erreichbar?
Blockiert eine Firewall?
Beispiele:
DNS
DHCP
NTP
SNMP
VoIP
HTTP/3
Merksatz:
UDP hat keinen Handshake,
deshalb muss man Anfrage und Antwort direkt prüfen.
ICMP analysieren
ICMP liefert Diagnoseinformationen.
Wichtige ICMP-Meldungen:
Echo Request
Echo Reply
Destination Unreachable
Time Exceeded
Fragmentation Needed
ICMP kann Hinweise geben auf:
Routingfehler
blockierte Ziele
MTU-Probleme
Traceroute-Ablauf
nicht erreichbare Netze
Merksatz:
ICMP-Fehler sind wichtige Hinweise,
nicht nur Ping.
ARP analysieren
ARP wird im lokalen IPv4-Netz genutzt.
Typische ARP-Frage:
Wer hat diese IPv4-Adresse?
Wenn viele ARP-Anfragen ohne Antwort sichtbar sind,
kann das bedeuten:
Ziel ist offline.
falsches VLAN.
falsche Netzmaske.
Gateway nicht erreichbar.
IP-Konflikt.
falsche Adresse.
Merksatz:
ARP-Probleme sind lokale Netzwerkprobleme.
DHCP analysieren
DHCP erkennt man am Ablauf:
Discover
Offer
Request
Acknowledge
Wichtige Fehlerbilder:
Beobachtung
mögliche Ursache
Discover ohne Offer
Server oder Relay antwortet nicht
Offer kommt, aber kein Request
Client akzeptiert Angebot nicht
Request ohne ACK
Server bestätigt nicht
falsche Optionen
DHCP-Konfiguration falsch
Client bekommt APIPA
DHCP fehlgeschlagen
Merksatz:
DHCP-DORA ist im Mitschnitt gut prüfbar.
HTTP analysieren
Bei unverschlüsseltem HTTP sieht man:
Methode
URL-Pfad
Host-Header
Header
Statuscode
teilweise Inhalt
Wichtige HTTP-Statuscodes:
200 OK
301 / 302 Weiterleitung
400 Bad Request
401 Unauthorized
403 Forbidden
404 Not Found
500 Internal Server Error
502 Bad Gateway
503 Service Unavailable
504 Gateway Timeout
Merksatz:
HTTP-Statuscodes helfen bei Schicht-7-Fehlersuche.
HTTPS analysieren
Bei HTTPS ist der Inhalt verschlüsselt.
Man sieht normalerweise nicht:
Pfad
Formularinhalt
Session-Cookie
HTTP-Header
Nutzdaten
Man sieht aber häufig:
Ziel-IP
Port
TLS-Handshake
SNI
Zertifikatsinformationen
Verbindungsabbrüche
TLS Alerts
Merksatz:
HTTPS schützt Inhalte,
aber Verbindungsmetadaten bleiben sichtbar.
TLS-Handshake prüfen
Beim TLS-Handshake wird eine sichere Verbindung ausgehandelt.
Im Mitschnitt können sichtbar sein:
Client Hello
Server Hello
Zertifikat
Cipher-Auswahl
TLS-Version
SNI
TLS Alert
Typische Fehler:
Zertifikat passt nicht.
TLS-Version passt nicht.
Cipher Suite passt nicht.
Client bricht ab.
Server bricht ab.
Merksatz:
TLS-Handshake zeigt,
ob HTTPS-Sicherheit ausgehandelt werden kann.
SNI prüfen
SNI steht für:
Server Name Indication
SNI zeigt,
welchen Hostnamen der Client beim TLS-Aufbau anfordert.
Das ist wichtig bei mehreren HTTPS-Diensten auf einer IP-Adresse.
Beispiel:
wiki.firma.de
cloud.firma.de
git.firma.de
alle auf derselben IP und TCP 443.
Merksatz:
SNI hilft,
den gewünschten HTTPS-Hostnamen zu erkennen.
Zertifikatsinformationen im Mitschnitt
Je nach TLS-Version und Situation können Zertifikatsinformationen sichtbar sein.
Wichtig zu prüfen:
Ausgestellt für welchen Namen?
Aussteller?
Gültigkeit?
Zertifikatskette?
Passt der Name zum Aufruf?
Achtung:
Bei modernen TLS-Versionen und bestimmten Verfahren sind nicht immer alle Informationen gleich sichtbar.
Merksatz:
Zertifikate geben Hinweise auf HTTPS-Probleme.
Follow TCP Stream
Wireshark kann zusammengehörende TCP-Daten anzeigen.
Funktion:
Follow TCP Stream
Das ist hilfreich bei unverschlüsselten Protokollen.
Beispiele:
HTTP
Telnet
FTP
SMTP ohne TLS
Achtung:
Bei verschlüsseltem HTTPS sieht man den Inhalt nicht im Klartext.
Merksatz:
Follow TCP Stream zeigt zusammenhängende TCP-Kommunikation.
Conversations
Wireshark kann Gespräche anzeigen.
Conversations zeigen zum Beispiel:
welche IPs miteinander gesprochen haben
wie viele Pakete übertragen wurden
wie viele Bytes übertragen wurden
welche TCP-Verbindungen bestanden
Das hilft,
wichtige Verbindungen im Mitschnitt zu finden.
Merksatz:
Conversations zeigen,
welche Systeme miteinander kommunizieren.
Endpoints
Endpoints zeigen beteiligte Kommunikationspartner.
Beispiele:
IP-Adressen
MAC-Adressen
Ports
Das ist nützlich,
um herauszufinden:
welche Systeme im Mitschnitt aktiv sind
wer besonders viel Verkehr erzeugt
welche Ziele angesprochen werden
Merksatz:
Endpoints zeigen beteiligte Systeme.
IO Graphs
IO Graphs zeigen Netzwerkverkehr über Zeit.
Damit erkennt man:
Lastspitzen
Pausen
Übertragungsverlauf
Wiederholungsmuster
Zeitpunkte von Fehlern
Das ist hilfreich bei Performanceproblemen.
Merksatz:
IO Graphs helfen,
Verkehr zeitlich zu verstehen.
Expert Information
Wireshark bietet Expert Information.
Dort werden auffällige Dinge gesammelt,
zum Beispiel:
Retransmissions
Resets
Malformed Packets
Warnings
Fehler
Hinweise auf Protokollprobleme
Wichtig:
Expert Information ist hilfreich,
aber nicht jede Warnung ist automatisch die Ursache.
Merksatz:
Expert Information ist Hinweis,
nicht endgültiger Beweis.
Farben in Wireshark
Wireshark nutzt Farben,
um Protokolle und Auffälligkeiten leichter sichtbar zu machen.
Beispiele:
DNS
TCP
Fehler
Resets
ARP
Die genaue Farbe ist weniger wichtig als die technische Aussage.
Merksatz:
Farben helfen beim Überblick,
ersetzen aber keine Analyse.
Namensauflösung in Wireshark
Wireshark kann IP-Adressen als Namen anzeigen.
Das kann hilfreich sein,
aber auch verwirren.
Problem:
angezeigter Name kann aus Cache,
DNS
oder lokaler Auflösung stammen.
Für genaue Analyse ist oft besser:
echte IP-Adressen anzeigen.
Merksatz:
Namensauflösung in Wireshark kann hilfreich,
aber auch irreführend sein.
Zeitansicht
Wireshark kann Zeit unterschiedlich anzeigen.
Beispiele:
Zeit seit Beginn des Mitschnitts
absolute Uhrzeit
Zeit seit vorherigem Paket
Zeit seit vorherigem angezeigten Paket
Für Fehlersuche wichtig:
Wie lange dauert die Antwort?
Wann beginnt Timeout?
Welche Pakete gehören zeitlich zusammen?
Merksatz:
Zeitdarstellung passend zur Analyse wählen.
Paketverlust erkennen
Hinweise auf Paketverlust:
Retransmissions
Duplicate ACKs
fehlende Antworten
lange Wartezeiten
Verbindungsabbrüche
wiederholte DNS-Anfragen
wiederholte SYN-Pakete
Mögliche Ursachen:
WLAN-Probleme
defekte Kabel
Überlastung
Firewall-Probleme
Routingprobleme
MTU-Probleme
Merksatz:
Paketverlust zeigt sich oft durch Wiederholungen.
MTU-Probleme erkennen
MTU-Probleme sind manchmal schwer zu erkennen.
Typische Hinweise:
kleine Verbindungen funktionieren
große Datenübertragungen hängen
TLS-Verbindungen brechen ab
VPN-Verbindungen sind instabil
Fragmentation Needed erscheint
viele Retransmissions bei größeren Paketen
Merksatz:
Wenn kleine Pakete gehen,
große aber nicht,
an MTU denken.
Falsches Protokoll auf richtigem Port
Manchmal wird ein Dienst mit falschem Protokoll angesprochen.
Beispiele:
HTTPS-Anfrage an HTTP-Port
HTTP-Anfrage an HTTPS-Port
FTP statt SFTP
LDAP statt LDAPS
falsches Backend-Protokoll im Reverse Proxy
Im Mitschnitt sieht man dann oft:
Reset
TLS Alert
ungültige Antwort
sofortiger Abbruch
unerwartete Daten
Merksatz:
Richtiger Port reicht nicht,
das Protokoll muss auch stimmen.
Firewall-Problem erkennen
Mögliche Hinweise auf Firewall-Probleme:
SYN ohne Antwort
ICMP unreachable
keine Antwort trotz korrektem Ziel
Verbindung geht aus einem Netz,
aber nicht aus anderem
Paket kommt an Firewall an,
aber nicht am Ziel
Firewall-Log zeigt Drop oder Deny
Merksatz:
Firewall-Probleme erkennt man am besten mit Mitschnitt plus Logs.
Dienstproblem erkennen
Hinweise auf Dienstproblem:
TCP-Verbindung wird aufgebaut,
danach kommt Fehler.
Server sendet RST.
HTTP 500.
HTTP 503.
Anwendung antwortet falsch.
Login wird abgelehnt.
Backend antwortet nicht.
Dienst lauscht nicht auf erwartetem Port.
Merksatz:
Wenn TCP steht,
aber Anwendung fehlschlägt,
Schicht 7 prüfen.
DNS-Problem erkennen
Hinweise auf DNS-Probleme:
keine DNS-Antwort
falsche IP-Adresse
NXDOMAIN
falscher DNS-Server
AAAA statt A problematisch
interner Name wird extern gefragt
Split DNS falsch
DNS-Timeout
Merksatz:
DNS-Probleme sieht man oft vor dem eigentlichen Verbindungsversuch.
NAT-Problem erkennen
Hinweise auf NAT-Probleme:
externe Anfrage kommt an,
wird aber nicht intern sichtbar
falsche Ziel-IP nach NAT
falscher Port nach NAT
Antwort kommt nicht zurück
Quelladresse unerwartet
interner Zugriff über öffentliche IP scheitert
Firewall-Mitschnitt zeigt Übersetzung nicht
Merksatz:
NAT-Probleme erkennt man durch Vergleich vor und nach der Firewall.
Reverse-Proxy-Problem erkennen
Hinweise:
Client bekommt 502.
Client bekommt 504.
Proxy antwortet,
Backend aber nicht.
TLS am Proxy funktioniert,
interne Verbindung scheitert.
Host-Header falsch.
falsches Backend ausgewählt.
DNS des Backends falsch.
Merksatz:
Reverse-Proxy-Fehler liegen oft zwischen Proxy und Backend.
Mehrere Mitschnittpunkte verwenden
Bei unklaren Problemen hilft ein Vergleich.
Beispiel:
Mitschnitt am Client:
Anfrage wird gesendet.
Mitschnitt an Firewall:
Anfrage kommt an.
Mitschnitt am Server:
Anfrage kommt nicht an.
Dann liegt das Problem zwischen Firewall und Server.
Merksatz:
Mehrere Mitschnittpunkte zeigen,
wo Pakete verloren gehen.
Typische Analyse-Reihenfolge
Eine sinnvolle Reihenfolge:
1. Fehlerzeitpunkt bestimmen.
2. Richtige Schnittstelle wählen.
3. Mitschnitt starten.
4. Fehler reproduzieren.
5. Mitschnitt stoppen.
6. Nach beteiligter IP filtern.
7. DNS prüfen.
8. TCP- oder UDP-Verhalten prüfen.
9. TLS oder Anwendung prüfen.
10. Resets, Retransmissions und ICMP prüfen.
11. Logs vergleichen.
12. Ergebnis dokumentieren.
Merksatz:
Mitschnitt gezielt aufnehmen,
Fehler nachstellen,
dann filtern.
Typische Fehler bei der Analyse
Häufige Fehler sind:
- auf falscher Schnittstelle mitschneiden
- zu früh oder zu spät mitschneiden
- falscher Filter
- wichtigen Verkehr durch Capture Filter ausschließen
- DNS nicht beachten
- NAT nicht beachten
- verschlüsselte Inhalte erwarten
- jedes Wireshark-Warning überbewerten
- Logs ignorieren
- Uhrzeit nicht vergleichen
Merksatz:
Schlechter Mitschnitt kann zu falschen Schlussfolgerungen führen.
Datenschutz bei Wireshark
Wireshark-Mitschnitte können sensible Daten enthalten.
Beispiele:
- IP-Adressen
- MAC-Adressen
- Benutzernamen
- Cookies
- Tokens
- interne Hostnamen
- E-Mail-Inhalte
- unverschlüsselte Passwörter
- personenbezogene Daten
Deshalb:
nur so lange wie nötig mitschneiden
nur relevanten Verkehr erfassen
Zugriff auf PCAP-Dateien beschränken
Mitschnitte sicher speichern
Mitschnitte nach Zweck löschen
Merksatz:
Paketmitschnitte wie vertrauliche Daten behandeln.
Was Wireshark nicht automatisch löst
Wireshark zeigt Verkehr,
aber nicht automatisch die Ursache.
Man braucht zusätzlich:
- Netzwerkwissen
- Protokollverständnis
- Logs
- Konfigurationen
- Dienststatus
- Berechtigungsinformationen
- Firewall-Regeln
- DNS-Informationen
Merksatz:
Wireshark zeigt Hinweise,
die Ursache muss man fachlich einordnen.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist Wireshark?
- Wofür verwendet man Display Filter?
- Wofür verwendet man Capture Filter?
- Was ist der Unterschied zwischen Capture Filter und Display Filter?
- Wie erkennt man einen TCP-Handshake?
- Was bedeutet SYN?
- Was bedeutet SYN-ACK?
- Was bedeutet ACK?
- Was bedeutet RST?
- Was bedeuten Retransmissions?
- Warum sieht man HTTPS-Inhalte nicht im Klartext?
- Was kann man im TLS-Handshake trotzdem erkennen?
- Was bedeutet NXDOMAIN?
- Wie erkennt man DHCP-Probleme im Mitschnitt?
- Warum ist der Mitschnittort wichtig?
- Warum sind Paketmitschnitte datenschutzrelevant?
Typische Prüfungsfallen
Display Filter ändern nicht die Aufnahme.
Capture Filter begrenzen die Aufnahme.
Was nicht aufgezeichnet wurde,
kann später nicht analysiert werden.
ip.addr zeigt Quelle oder Ziel.
ip.src zeigt nur Quelle.
ip.dst zeigt nur Ziel.
tcp.port und udp.port unterscheiden.
TCP 443 ist nicht UDP 443.
DNS kann UDP und TCP 53 nutzen.
TCP hat Handshake.
UDP hat keinen Handshake.
SYN startet Verbindung.
SYN-ACK ist Serverantwort.
ACK bestätigt.
RST ist aktive Ablehnung oder Abbruch.
Retransmission bedeutet erneutes Senden.
HTTPS-Inhalte sind verschlüsselt.
TLS-Handshake kann trotzdem Hinweise geben.
SNI zeigt gewünschten Hostnamen.
Wireshark-Warnungen sind Hinweise,
nicht automatisch Ursache.
Mitschnittort ist entscheidend.
PCAP-Dateien können sensible Daten enthalten.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Wireshark
grafisches Werkzeug zur Paketanalyse
Paketliste
Übersicht aller Pakete
Paketdetails
Protokollinformationen eines Pakets
Paketbytes
Rohdaten eines Pakets
Display Filter
Filter für Anzeige
Capture Filter
Filter für Aufnahme
ip.addr
IP-Adresse als Quelle oder Ziel
ip.src
Quell-IP-Adresse
ip.dst
Ziel-IP-Adresse
tcp.port
TCP-Port als Quelle oder Ziel
udp.port
UDP-Port als Quelle oder Ziel
SYN
TCP-Verbindungsstart
SYN-ACK
TCP-Antwort des Servers
ACK
Bestätigung
RST
Reset
Retransmission
erneutes Senden
Zero Window
Empfänger kann keine Daten aufnehmen
Dup ACK
doppelte Bestätigung
NXDOMAIN
DNS-Name existiert nicht
SNI
Hostname im TLS-Handshake
TLS Alert
TLS-Fehlermeldung
Follow TCP Stream
zusammenhängende TCP-Daten anzeigen
Conversations
Kommunikationsbeziehungen
Endpoints
beteiligte Systeme
Expert Information
Wireshark-Hinweise auf Auffälligkeiten
IHK-sichere Kurzformulierung
Wireshark ist ein grafisches Werkzeug zur Analyse von Netzwerkpaketen. Mit Display Filtern kann man die Anzeige eines vorhandenen Mitschnitts eingrenzen, während Capture Filter bereits vor der Aufnahme festlegen, welche Pakete überhaupt aufgezeichnet werden. In Wireshark lassen sich unter anderem DNS-Anfragen, TCP-Handshakes, UDP-Kommunikation, ICMP-Meldungen, ARP, DHCP-Abläufe, TLS-Handshakes, Resets und Retransmissions erkennen. Bei HTTPS sind die Inhalte normalerweise verschlüsselt, aber Metadaten wie IP-Adressen, Ports, TLS-Handshake und häufig SNI können sichtbar sein. Paketmitschnitte müssen gezielt erstellt und datenschutzbewusst behandelt werden, da sie sensible Informationen enthalten können.
Merksätze
Wireshark zeigt Netzwerkpakete grafisch.
Erst Fragestellung,
dann Filter.
Paketliste zeigt Überblick.
Paketdetails zeigen Protokolle.
Paketbytes zeigen Rohdaten.
Display Filter begrenzen Anzeige.
Capture Filter begrenzen Aufnahme.
Was nicht aufgenommen wurde,
kann später nicht analysiert werden.
ip.addr = Quelle oder Ziel.
ip.src = Quelle.
ip.dst = Ziel.
tcp.port ist nicht udp.port.
TCP hat Handshake.
UDP hat keinen Handshake.
SYN startet Verbindung.
SYN-ACK antwortet.
ACK bestätigt.
RST beendet oder lehnt ab.
Retransmissions zeigen fehlende Bestätigungen.
DNS vor Verbindungsaufbau prüfen.
NXDOMAIN heißt:
Name existiert nicht.
DHCP-DORA ist im Mitschnitt sichtbar.
HTTPS schützt Inhalte.
TLS-Handshake liefert trotzdem Hinweise.
SNI zeigt gewünschten Hostnamen.
Follow TCP Stream hilft bei unverschlüsselten Protokollen.
Expert Information ist Hinweis,
nicht automatisch Ursache.
Mitschnittort entscheidet,
was sichtbar ist.
Mehrere Mitschnitte können Paketverluststellen zeigen.
PCAP-Dateien vertraulich behandeln.
12.3 tcpdump, tshark und Paketmitschnitt auf der Kommandozeile
Neben Wireshark gibt es wichtige Werkzeuge für Paketmitschnitte auf der Kommandozeile.
Besonders wichtig sind:
- tcpdump
- tshark
- netstat / ss
- curl
- nc
- ping
- traceroute / tracert
- nslookup / dig
Diese Werkzeuge sind besonders nützlich,
wenn man auf Servern,
Firewalls,
Routern
oder per SSH arbeitet.
Merksatz:
Wireshark ist grafisch.
tcpdump und tshark arbeiten auf der Kommandozeile.
Warum Kommandozeilenwerkzeuge wichtig sind
In der Praxis hat man nicht immer eine grafische Oberfläche.
Beispiele:
Linux-Server per SSH
Firewall-Konsole
Container-Host
Cloud-Server
NAS-System
Router
Recovery-Umgebung
minimale Serverinstallation
Dort sind Kommandozeilenwerkzeuge oft schneller und direkter.
Merksatz:
Auf Servern ist die Kommandozeile oft das wichtigste Analysewerkzeug.
tcpdump
tcpdump ist ein Werkzeug,
mit dem Netzwerkverkehr auf der Kommandozeile mitgeschnitten werden kann.
Es kann:
- Pakete live anzeigen
- Pakete nach Host filtern
- Pakete nach Port filtern
- Pakete nach Protokoll filtern
- Mitschnitte in Dateien speichern
- PCAP-Dateien erzeugen
Diese PCAP-Dateien kann man später mit Wireshark öffnen.
Merksatz:
tcpdump zeichnet Pakete auf und kann PCAP-Dateien erzeugen.
tcpdump-Grundidee
tcpdump lauscht auf einer Netzwerkschnittstelle.
Beispiele für Schnittstellen:
eth0
ens18
en0
wlan0
br0
docker0
vlan10
Wichtig:
Man muss die richtige Schnittstelle auswählen.
Wenn man auf der falschen Schnittstelle mitschneidet,
sieht man den relevanten Verkehr nicht.
Merksatz:
Richtige Schnittstelle wählen,
sonst ist der Mitschnitt wertlos.
Schnittstellen anzeigen
Vor einem Mitschnitt prüft man,
welche Schnittstellen vorhanden sind.
Typische Idee:
tcpdump -D
Damit werden verfügbare Interfaces angezeigt.
Danach wählt man die passende Schnittstelle aus.
Merksatz:
Erst Schnittstellen anzeigen,
dann Mitschnitt starten.
Einfacher tcpdump-Mitschnitt
Ein einfacher Mitschnitt auf einer Schnittstelle:
tcpdump -i eth0
Bedeutung:
-i eth0:
auf Schnittstelle eth0 mitschneiden
Dieser Mitschnitt zeigt viele Pakete live auf der Konsole.
Merksatz:
tcpdump -i Schnittstelle startet einen Live-Mitschnitt.
Namensauflösung vermeiden
tcpdump kann IP-Adressen und Ports in Namen auflösen.
Das kann die Ausgabe verlangsamen oder verwirren.
Daher nutzt man häufig:
-n
oder:
-nn
Bedeutung:
keine Namensauflösung
keine Portnamenauflösung
Beispiel:
tcpdump -nn -i eth0
Merksatz:
-nn zeigt IPs und Ports unverändert an.
Paketinhalt ausführlicher anzeigen
Mit mehr Ausführlichkeit sieht man mehr Details.
Typisch:
-v
-vv
-vvv
Beispiel:
tcpdump -nn -vv -i eth0
Aber:
mehr Details sind nicht immer übersichtlicher.
Merksatz:
Mehr Ausgabe hilft nur,
wenn man sie auch gezielt auswertet.
In Datei speichern
Für spätere Analyse speichert man Mitschnitte in eine Datei.
Beispiel:
tcpdump -nn -i eth0 -w capture.pcap
Bedeutung:
-w capture.pcap:
Mitschnitt in Datei schreiben
Die Datei kann später mit Wireshark geöffnet werden.
Merksatz:
Mit -w speichert tcpdump einen Mitschnitt als Datei.
Datei wieder lesen
Eine gespeicherte PCAP-Datei kann mit tcpdump gelesen werden.
Beispiel:
tcpdump -nn -r capture.pcap
Bedeutung:
-r:
Datei lesen
Merksatz:
Mit -r liest tcpdump gespeicherte Mitschnitte.
Nur bestimmten Host mitschneiden
Wenn nur ein bestimmter Host interessiert,
filtert man nach IP-Adresse.
Beispiel:
tcpdump -nn -i eth0 host 192.168.10.20
Das zeigt Pakete,
bei denen diese IP Quelle oder Ziel ist.
Merksatz:
host filtert Quelle oder Ziel.
Nur Quelle oder Ziel filtern
Quelle filtern:
tcpdump -nn -i eth0 src host 192.168.10.20
Ziel filtern:
tcpdump -nn -i eth0 dst host 192.168.10.20
Merksatz:
src = Quelle.
dst = Ziel.
Nach Netzwerk filtern
Man kann auch ganze Netze filtern.
Beispiel:
tcpdump -nn -i eth0 net 192.168.10.0/24
Das zeigt Verkehr,
bei dem dieses Netz beteiligt ist.
Merksatz:
net filtert ein ganzes Subnetz.
Nach Port filtern
Beispiel:
tcpdump -nn -i eth0 port 443
Das zeigt Pakete,
bei denen Port 443 als Quell- oder Zielport vorkommt.
Genauer:
tcpdump -nn -i eth0 dst port 443
zeigt Pakete,
die zu Zielport 443 gehen.
Merksatz:
port zeigt Quell- oder Zielport.
dst port zeigt den Zielport.
TCP und UDP filtern
Man kann gezielt TCP oder UDP filtern.
Beispiel TCP:
tcpdump -nn -i eth0 tcp port 443
Beispiel UDP:
tcpdump -nn -i eth0 udp port 53
Wichtig:
TCP 53 und UDP 53 sind unterschiedlich.
Merksatz:
Protokoll und Port zusammen prüfen.
DNS mitschneiden
DNS nutzt häufig UDP 53,
kann aber auch TCP 53 verwenden.
Beispiel:
tcpdump -nn -i eth0 port 53
Oder genauer:
tcpdump -nn -i eth0 udp port 53
Wichtig:
Bei großen Antworten oder Zonentransfers kann TCP 53 relevant sein.
Merksatz:
DNS nicht nur als UDP denken,
auch TCP 53 beachten.
HTTP und HTTPS mitschneiden
HTTP:
tcpdump -nn -i eth0 tcp port 80
HTTPS:
tcpdump -nn -i eth0 tcp port 443
Bei HTTPS sieht man den Inhalt nicht im Klartext,
aber man sieht Verbindungsaufbau,
IP-Adressen,
Ports,
TLS-Handshake
und Fehler.
Merksatz:
HTTPS-Inhalte sind verschlüsselt,
aber Verbindungsdaten sind sichtbar.
SSH mitschneiden
SSH nutzt typischerweise TCP 22.
Beispiel:
tcpdump -nn -i eth0 tcp port 22
Man sieht:
Verbindungsaufbau
Pakete
Abbrüche
Timeouts
Man sieht nicht:
eingegebene Befehle im Klartext,
weil SSH verschlüsselt ist.
Merksatz:
SSH schützt Inhalte,
tcpdump sieht aber Verbindungsmetadaten.
ICMP mitschneiden
ICMP wird für Diagnose genutzt.
Beispiel:
tcpdump -nn -i eth0 icmp
Damit sieht man zum Beispiel:
Ping-Anfragen
Ping-Antworten
Destination Unreachable
Time Exceeded
Merksatz:
ICMP zeigt Diagnose- und Fehlermeldungen.
ARP mitschneiden
ARP ist wichtig im lokalen IPv4-Netz.
Beispiel:
tcpdump -nn -i eth0 arp
Damit sieht man ARP-Anfragen und ARP-Antworten.
Typische Frage:
Wer hat diese IP-Adresse?
Merksatz:
ARP hilft bei lokalen Erreichbarkeitsproblemen.
DHCP mitschneiden
DHCP nutzt UDP 67 und UDP 68.
Beispiel:
tcpdump -nn -i eth0 port 67 or port 68
Damit kann man den DORA-Ablauf sehen:
Discover
Offer
Request
Acknowledge
Merksatz:
DHCP-DORA lässt sich mit tcpdump gut prüfen.
Filter kombinieren
Filter können kombiniert werden.
Beispiel:
tcpdump -nn -i eth0 host 192.168.10.20 and tcp port 443
Bedeutung:
Zeige nur TCP-443-Verkehr mit Host 192.168.10.20.
Weitere logische Verknüpfungen:
and
or
not
Merksatz:
Mit and, or und not werden tcpdump-Filter gezielt.
Beispiel: Alles außer SSH anzeigen
Wenn man per SSH auf einem Server arbeitet,
kann der eigene SSH-Verkehr die Anzeige stören.
Dann kann man SSH ausblenden:
tcpdump -nn -i eth0 not port 22
Merksatz:
Eigenen SSH-Verkehr bei Bedarf ausblenden.
Beispiel: Fehler reproduzieren
Gute Vorgehensweise:
1. Mitschnitt vorbereiten.
2. Mitschnitt starten.
3. Fehler gezielt auslösen.
4. Mitschnitt stoppen.
5. Datei sichern.
6. Mit Wireshark analysieren.
Merksatz:
Mitschnitt immer passend zum Fehlerzeitpunkt erstellen.
Mitschnitt begrenzen
Paketmitschnitte können schnell sehr groß werden.
Möglichkeiten:
nur bestimmte IP mitschneiden
nur bestimmten Port mitschneiden
nur kurze Zeit mitschneiden
Datei begrenzen
Rotation nutzen
nicht unnötig viele Daten erfassen
Merksatz:
So wenig wie möglich,
so viel wie nötig mitschneiden.
Warum PCAP-Dateien sensibel sind
PCAP-Dateien können enthalten:
- interne IP-Adressen
- MAC-Adressen
- Hostnamen
- Benutzernamen
- Cookies
- Tokens
- unverschlüsselte Passwörter
- E-Mail-Inhalte
- interne Protokolle
- Kundendaten
Deshalb:
sicher speichern
Zugriff begrenzen
nicht unnötig weitergeben
nach Zweck löschen
Merksatz:
PCAP-Dateien wie vertrauliche Daten behandeln.
tshark
tshark ist die Kommandozeilenversion von Wireshark.
Es nutzt ähnliche Analysefunktionen,
aber ohne grafische Oberfläche.
tshark kann:
- live mitschneiden
- PCAP-Dateien lesen
- Display Filter verwenden
- Felder ausgeben
- automatisiert auswerten
- Protokolle analysieren
Merksatz:
tshark ist Wireshark für die Kommandozeile.
tshark für vorhandene Dateien
Eine vorhandene PCAP-Datei kann mit tshark gelesen werden.
Beispiel:
tshark -r capture.pcap
Mit Filtern kann man gezielt suchen.
Beispielidee:
nur DNS anzeigen
nur HTTP anzeigen
nur bestimmte IP anzeigen
Merksatz:
tshark eignet sich gut für schnelle PCAP-Auswertung.
tcpdump oder tshark?
Werkzeug
Stärke
tcpdump
schnell mitschneiden, auf vielen Systemen verfügbar
tshark
detailliertere Protokollauswertung auf Kommandozeile
Wireshark
grafische Analyse, sehr übersichtlich
Merksatz:
tcpdump zum Aufnehmen,
Wireshark oder tshark zum Analysieren.
ss
ss zeigt Netzwerk-Sockets auf Linux-Systemen.
Damit prüft man:
welche Dienste lauschen
welche Verbindungen bestehen
welche Ports offen sind
welche Prozesse Ports verwenden
Beispielidee:
Lauscht ein Dienst wirklich auf Port 443?
Merksatz:
ss zeigt lokale Ports und Verbindungen.
netstat
netstat ist ein älteres Werkzeug,
das ähnliche Informationen wie ss anzeigen kann.
Es zeigt unter anderem:
- offene Ports
- aktive Verbindungen
- Routingtabelle
- Schnittstellenstatistiken
Auf modernen Linux-Systemen wird häufig ss bevorzugt.
Merksatz:
netstat ist älter,
ss ist auf Linux oft moderner.
Lauschende Dienste prüfen
Wenn ein Dienst nicht erreichbar ist,
prüft man lokal:
Lauscht der Dienst überhaupt?
Beispielhafte Fragestellung:
Hört der Webserver auf TCP 80 oder TCP 443?
Hört SSH auf TCP 22?
Hört die Datenbank nur auf localhost?
Hört der Dienst auf der richtigen IP-Adresse?
Merksatz:
Dienst muss lokal lauschen,
bevor er extern erreichbar sein kann.
localhost-Falle
Ein Dienst kann nur auf localhost lauschen.
Beispiel:
127.0.0.1:8080
Dann ist er nur lokal auf dem System erreichbar,
aber nicht von anderen Geräten im Netzwerk.
Für externe Erreichbarkeit muss er auf einer passenden Adresse lauschen.
Merksatz:
Dienst auf localhost ist nicht automatisch im Netzwerk erreichbar.
curl
curl ist ein Werkzeug zum Testen von HTTP,
HTTPS
und vielen anderen Protokollen.
Es kann zeigen:
- Statuscode
- Header
- Weiterleitungen
- TLS-Fehler
- Antwortinhalt
- API-Antworten
Merksatz:
curl testet Webdienste und APIs direkt.
curl und HTTP-Status
Mit curl kann man prüfen,
welchen HTTP-Status ein Server zurückgibt.
Wichtige Fragen:
Kommt 200?
Kommt 301 oder 302?
Kommt 401?
Kommt 403?
Kommt 404?
Kommt 500?
Kommt 502?
Merksatz:
curl zeigt,
was ein Webserver tatsächlich antwortet.
curl und Header
HTTP-Header enthalten wichtige Informationen.
Beispiele:
Content-Type
Location
Server
Set-Cookie
Authorization
Cache-Control
Strict-Transport-Security
Mit curl kann man Header gezielt anzeigen.
Merksatz:
Header erklären oft,
warum ein Webdienst sich so verhält.
curl und TLS
curl kann TLS-Probleme sichtbar machen.
Typische Fehler:
Zertifikat abgelaufen
Name passt nicht
CA nicht vertrauenswürdig
TLS-Version nicht kompatibel
Zertifikatskette unvollständig
Merksatz:
curl hilft bei HTTPS- und Zertifikatsproblemen.
nc
nc steht für netcat.
Es kann verwendet werden,
um einfache TCP- oder UDP-Verbindungen zu testen.
Typische Nutzung:
Ist ein TCP-Port erreichbar?
Antwortet ein einfacher Dienst?
Kann ich manuell Daten senden?
Beispielgedanke:
Porttest für TCP 443,
TCP 22
oder TCP 25.
Merksatz:
nc ist ein einfaches Werkzeug für Port- und Verbindungstests.
Porttest richtig einordnen
Ein erfolgreicher Porttest bedeutet:
TCP-Verbindung zum Port ist möglich.
Er bedeutet nicht automatisch:
Anwendung funktioniert korrekt.
Login funktioniert.
Zertifikat passt.
Berechtigung stimmt.
API antwortet richtig.
Merksatz:
Port offen ist nur ein Teil der Diagnose.
ping
ping nutzt ICMP Echo Request und Echo Reply.
Es prüft grob:
Ist ein Ziel per ICMP erreichbar?
Ping sagt nicht:
ob ein TCP-Port offen ist
ob DNS korrekt ist
ob HTTPS funktioniert
ob Anwendung antwortet
ob Anmeldung funktioniert
Merksatz:
Ping prüft nicht den Dienst.
traceroute und tracert
traceroute oder tracert zeigen den Weg zu einem Ziel.
Sie helfen bei:
Routingproblemen
Erreichbarkeitsproblemen
ungewöhnlichen Pfaden
Netzunterbrechungen
hoher Latenz
Wichtig:
Firewalls können traceroute-Ergebnisse beeinflussen.
Merksatz:
traceroute zeigt Hinweise auf den Weg,
aber nicht immer den vollständigen echten Pfad.
nslookup
nslookup prüft DNS-Auflösung.
Damit kann man fragen:
Welche IP liefert DNS für diesen Namen?
Welcher DNS-Server antwortet?
Gibt es überhaupt eine Antwort?
Gut für einfache DNS-Prüfung.
Merksatz:
nslookup prüft Namensauflösung.
dig
dig ist ein detaillierteres DNS-Werkzeug.
Es zeigt unter anderem:
- DNS-Antworten
- Record-Typen
- Antwortzeiten
- Nameserver
- TTL
- Autorität
- zusätzliche Antworten
dig ist besonders hilfreich,
wenn DNS genauer analysiert werden soll.
Merksatz:
dig ist detaillierte DNS-Analyse.
openssl s_client
openssl s_client prüft TLS-Verbindungen.
Damit kann man sehen:
- Zertifikat
- Zertifikatskette
- TLS-Version
- Cipher
- Serverantwort
- SNI-Verhalten
Besonders nützlich bei:
HTTPS
LDAPS
IMAPS
SMTPS
POP3S
Merksatz:
openssl s_client hilft bei TLS- und Zertifikatsproblemen.
journalctl
journalctl zeigt Logs auf Systemen mit systemd.
Damit kann man prüfen:
Dienst gestartet?
Dienst abgestürzt?
Fehler beim Start?
Berechtigungsproblem?
Port bereits belegt?
Konfigurationsfehler?
Merksatz:
journalctl zeigt System- und Dienstlogs auf Linux.
Windows-Ereignisanzeige
Die Windows-Ereignisanzeige zeigt System- und Anwendungsereignisse.
Wichtige Bereiche:
Anwendung
Sicherheit
System
Setup
Dienstspezifische Protokolle
Hilfreich bei:
Anmeldefehlern
Dienstfehlern
RDP-Problemen
DNS- oder DHCP-Problemen
Zertifikatsproblemen
Merksatz:
Ereignisanzeige ist wichtig für Windows-Fehlersuche.
PowerShell Test-NetConnection
Unter Windows kann Test-NetConnection helfen.
Es prüft zum Beispiel:
Namensauflösung
TCP-Verbindung zu einem Port
Ziel-IP
grundlegende Erreichbarkeit
Beispielhafte Fragestellung:
Ist TCP 443 erreichbar?
Ist TCP 3389 erreichbar?
Merksatz:
Test-NetConnection ist ein Windows-Werkzeug für Porttests.
Werkzeuge richtig kombinieren
Kein Werkzeug beantwortet alles.
Beispiel Webdienst funktioniert nicht:
nslookup:
DNS prüfen
ping:
grobe Erreichbarkeit prüfen
Test-NetConnection oder nc:
Port prüfen
curl:
HTTP-Antwort prüfen
tcpdump:
Verkehr prüfen
Logs:
Dienstfehler prüfen
Merksatz:
Diagnose entsteht durch Kombination mehrerer Werkzeuge.
Beispiel: HTTPS funktioniert nicht
Sinnvolle Prüfung:
1. DNS mit nslookup oder dig prüfen.
2. Port TCP 443 mit nc oder Test-NetConnection prüfen.
3. HTTP-Antwort mit curl prüfen.
4. Zertifikat mit curl oder openssl s_client prüfen.
5. tcpdump oder Wireshark bei Verbindungsproblemen nutzen.
6. Webserver- oder Reverse-Proxy-Logs prüfen.
Merksatz:
HTTPS-Probleme mit DNS,
Port,
TLS,
Anwendung
und Logs prüfen.
Beispiel: SSH funktioniert nicht
Sinnvolle Prüfung:
1. Ziel-IP oder Hostname prüfen.
2. TCP 22 prüfen.
3. Lokalen SSH-Dienst prüfen.
4. Firewall und Host-Firewall prüfen.
5. Benutzer und Schlüssel prüfen.
6. SSH-Logs prüfen.
7. tcpdump bei Timeout oder unklarer Verbindung nutzen.
Merksatz:
SSH-Probleme mit Port,
Dienst,
Benutzer,
Schlüssel
und Logs prüfen.
Beispiel: DNS funktioniert nicht
Sinnvolle Prüfung:
1. Welcher DNS-Server ist eingetragen?
2. Ist DNS-Server erreichbar?
3. Antwortet UDP 53?
4. Antwortet bei Bedarf TCP 53?
5. Liefert DNS richtige Antwort?
6. Gibt es NXDOMAIN?
7. Gibt es falschen Cache?
8. tcpdump zeigt echte DNS-Anfrage?
Merksatz:
DNS-Fehler mit Server,
Port,
Antwort
und Cache prüfen.
Beispiel: DHCP funktioniert nicht
Sinnvolle Prüfung:
1. Client sendet Discover?
2. DHCP-Server antwortet mit Offer?
3. Client sendet Request?
4. Server sendet Acknowledge?
5. Scope hat freie Adressen?
6. DHCP-Relay korrekt?
7. VLAN korrekt?
8. Firewall blockiert UDP 67/68?
Merksatz:
DHCP mit DORA analysieren.
Beispiel: RDP funktioniert nicht
Sinnvolle Prüfung:
1. Hostname oder IP prüfen.
2. TCP 3389 prüfen.
3. Remote Desktop aktiviert?
4. Host-Firewall erlaubt?
5. Benutzer berechtigt?
6. VPN oder Gateway nötig?
7. Windows-Ereignisanzeige prüfen.
8. Nicht direkt aus Internet veröffentlichen.
Merksatz:
RDP-Probleme mit Port,
Dienst,
Berechtigung
und Sicherheit prüfen.
Typische Fehler bei Werkzeugnutzung
Häufige Fehler:
- nur ping testen und Dienstproblem übersehen
- DNS nicht prüfen
- TCP und UDP verwechseln
- falsche Schnittstelle mitschneiden
- falschen Port prüfen
- internen und externen Test verwechseln
- NAT nicht berücksichtigen
- Logs ignorieren
- verschlüsselte Inhalte im Klartext erwarten
Merksatz:
Werkzeugergebnisse immer fachlich einordnen.
Diagnose nach Schichten
Schicht
typische Werkzeuge
1
Link-Status, Kabeltest, Switchport
2
ARP, MAC-Tabelle, VLAN-Prüfung
3
ping, traceroute, Routingtabelle
4
nc, Test-NetConnection, ss, tcpdump
5–6
TLS-Prüfung, openssl s_client
7
curl, nslookup, dig, Logs, Anwendungstest
Merksatz:
Das Werkzeug richtet sich nach der vermuteten Schicht.
Was Kommandozeilenwerkzeuge nicht ersetzen
Sie ersetzen nicht:
- saubere Dokumentation
- Verständnis der Netzstruktur
- Firewall-Regelprüfung
- Berechtigungsprüfung
- Dienstkonfiguration
- Monitoring
- Sicherheitskonzept
- Datenschutz beim Mitschnitt
Merksatz:
Werkzeuge liefern Hinweise,
Fachwissen macht daraus eine Diagnose.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Wofür nutzt man tcpdump?
- Was ist eine PCAP-Datei?
- Wofür steht tshark?
- Was ist der Unterschied zwischen tcpdump und Wireshark?
- Warum muss man die richtige Schnittstelle wählen?
- Wie filtert man nach Host, Port oder Protokoll?
- Warum ist tcpdump mit -w nützlich?
- Warum sind Mitschnittdateien sensibel?
- Wofür nutzt man curl?
- Wofür nutzt man nc?
- Was prüft ping?
- Warum reicht ping nicht aus?
- Wofür nutzt man nslookup oder dig?
- Wofür nutzt man openssl s_client?
- Wie kombiniert man Werkzeuge bei der Fehlersuche?
Typische Prüfungsfallen
tcpdump ist Kommandozeile.
Wireshark ist grafisch.
tshark ist Wireshark auf Kommandozeile.
tcpdump kann PCAP-Dateien speichern.
PCAP-Dateien können sensible Daten enthalten.
Falsche Schnittstelle bedeutet falsche Sicht.
-nn verhindert Namensauflösung.
host filtert Quelle oder Ziel.
src ist Quelle.
dst ist Ziel.
port filtert Quell- oder Zielport.
TCP und UDP getrennt betrachten.
DNS kann UDP und TCP 53 nutzen.
DHCP nutzt UDP 67 und 68.
Ping prüft ICMP,
nicht den Dienst.
Porttest beweist nicht,
dass Anwendung funktioniert.
curl prüft Webdienste besser als ping.
openssl s_client hilft bei TLS.
Logs und Mitschnitt ergänzen sich.
Werkzeuge ersetzen keine fachliche Analyse.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
tcpdump
Kommandozeilenwerkzeug für Paketmitschnitte
tshark
Wireshark-Funktion auf Kommandozeile
PCAP
Datei mit aufgezeichneten Paketen
Interface
Netzwerkschnittstelle
Capture
Aufnahme von Paketen
-i
Schnittstelle auswählen
-w
Mitschnitt in Datei schreiben
-r
Mitschnitt aus Datei lesen
-n / -nn
Namensauflösung abschalten
host
Quelle oder Ziel filtern
src
Quelle
dst
Ziel
port
Port filtern
ss
lokale Sockets und Ports anzeigen
netstat
älteres Werkzeug für Netzwerkstatus
curl
Web- und API-Anfragen testen
nc
einfache Port- und Verbindungstests
ping
ICMP-Erreichbarkeit prüfen
traceroute
Weg zum Ziel prüfen
nslookup
DNS einfach prüfen
dig
DNS detailliert prüfen
openssl s_client
TLS-Verbindungen prüfen
journalctl
Linux-Systemlogs anzeigen
Ereignisanzeige
Windows-Logs anzeigen
Test-NetConnection
Windows-Porttest
IHK-sichere Kurzformulierung
tcpdump ist ein Kommandozeilenwerkzeug zum Mitschneiden von Netzwerkverkehr und kann Mitschnitte als PCAP-Datei speichern, die später mit Wireshark analysiert werden kann. tshark ist die Kommandozeilenversion von Wireshark und eignet sich für detaillierte Auswertungen ohne grafische Oberfläche. Bei der Analyse muss die richtige Netzwerkschnittstelle gewählt und gezielt nach Host, Port, Protokoll oder Netz gefiltert werden. Ergänzende Werkzeuge wie curl, nc, ping, traceroute, nslookup, dig, openssl s_client, ss, netstat und Logdateien helfen, DNS, Ports, TLS, Dienste und Verbindungen systematisch zu prüfen. Ein einzelnes Werkzeug reicht selten aus; eine zuverlässige Diagnose entsteht durch die Kombination mehrerer Hinweise.
Merksätze
tcpdump = Paketmitschnitt auf Kommandozeile.
tshark = Wireshark auf Kommandozeile.
Wireshark = grafische Analyse.
PCAP = gespeicherter Paketmitschnitt.
Richtige Schnittstelle ist entscheidend.
-nn verhindert Namensauflösung.
-w schreibt Mitschnitt in Datei.
-r liest Mitschnitt aus Datei.
host filtert Quelle oder Ziel.
src filtert Quelle.
dst filtert Ziel.
port filtert Quell- oder Zielport.
TCP und UDP nicht verwechseln.
DNS kann UDP und TCP nutzen.
DHCP nutzt UDP 67 und 68.
SSH nutzt typischerweise TCP 22.
HTTPS nutzt typischerweise TCP 443.
Ping prüft ICMP,
nicht Anwendung.
Porttest prüft Erreichbarkeit,
nicht Anwendungserfolg.
curl prüft HTTP und HTTPS.
nc testet einfache Verbindungen.
nslookup und dig prüfen DNS.
openssl s_client prüft TLS.
ss zeigt lokale Ports.
Logs zeigen Dienstfehler.
Mitschnitt und Logs gemeinsam auswerten.
PCAP-Dateien vertraulich behandeln.
Werkzeuge liefern Hinweise,
Fachwissen liefert die Diagnose.
12.4 Systematische Netzwerkfehlersuche nach dem OSI-Modell
Netzwerkfehlersuche sollte nicht zufällig erfolgen.
Besser ist ein systematisches Vorgehen nach Schichten.
Das OSI-Modell hilft dabei,
Fehler Schritt für Schritt einzugrenzen.
Grundidee:
erst einfache Grundlagen prüfen
dann höhere Schichten prüfen
Fehler sauber eingrenzen
Messergebnisse dokumentieren
nicht vorschnell raten
Merksatz:
Systematische Fehlersuche spart Zeit und verhindert falsche Vermutungen.
Warum nach Schichten prüfen?
Viele Fehler sehen ähnlich aus.
Beispiel:
Webseite öffnet nicht.
Mögliche Ursachen können sein:
Kabel defekt
WLAN getrennt
falsches VLAN
falsche IP-Adresse
Gateway fehlt
DNS falsch
Port blockiert
Zertifikat ungültig
Webserver down
Benutzer nicht berechtigt
Ohne Struktur sucht man schnell an der falschen Stelle.
Merksatz:
Ein Symptom kann viele Ursachen auf verschiedenen Schichten haben.
Top-Down und Bottom-Up
Es gibt zwei typische Vorgehensweisen:
Bottom-Up
Top-Down
Bottom-Up bedeutet:
Man beginnt unten bei Schicht 1
und arbeitet sich nach oben.
Top-Down bedeutet:
Man beginnt bei der Anwendung
und arbeitet sich nach unten.
Beide Methoden sind sinnvoll,
je nach Fehlerbild.
Merksatz:
Bottom-Up beginnt beim Kabel.
Top-Down beginnt bei der Anwendung.
Bottom-Up-Methode
Bottom-Up prüft von unten nach oben:
Schicht 1:
Kabel, Link, Signal
Schicht 2:
MAC, Switch, VLAN
Schicht 3:
IP, Subnetz, Gateway, Routing
Schicht 4:
TCP, UDP, Ports
Schicht 5–7:
Sitzung, Darstellung, Anwendung
Vorteil:
grundlegende Fehler werden früh erkannt.
Merksatz:
Bottom-Up ist gut,
wenn unklar ist,
ob überhaupt Netzverbindung besteht.
Top-Down-Methode
Top-Down beginnt bei der Anwendung.
Beispiel:
Benutzer sagt:
E-Mail funktioniert nicht.
Dann prüft man zuerst:
Mailclient
Anmeldung
Fehlermeldung
Servername
Protokoll
Port
DNS
Netzwerk
Vorteil:
schneller,
wenn der Fehler klar an einem Dienst hängt.
Merksatz:
Top-Down ist gut,
wenn ein bestimmter Dienst betroffen ist.
Divide-and-Conquer-Methode
Divide and Conquer bedeutet:
Problem in der Mitte eingrenzen.
Man prüft zuerst eine mittlere Schicht,
zum Beispiel IP-Erreichbarkeit oder Port-Erreichbarkeit.
Beispiel:
Ping zum Server funktioniert.
Dann weiß man:
Schicht 1 bis 3 sind wahrscheinlich grundsätzlich ok.
Dann prüft man weiter:
Port
Dienst
Anmeldung
Anwendung
Merksatz:
Divide and Conquer halbiert den Suchbereich.
Vergleichsmethode
Bei der Vergleichsmethode vergleicht man:
funktionierendes System
mit
fehlerhaftem System
Beispiele:
anderer Client funktioniert
anderer Benutzer funktioniert
anderes VLAN funktioniert
anderer Browser funktioniert
anderer DNS-Server liefert andere Antwort
Dadurch erkennt man Unterschiede.
Merksatz:
Vergleich zeigt,
was beim fehlerhaften Fall anders ist.
Fehler reproduzieren
Ein Fehler sollte möglichst reproduzierbar gemacht werden.
Fragen:
Wann tritt der Fehler auf?
Bei welchem Benutzer?
Bei welchem Client?
Bei welchem Dienst?
Seit wann?
Nach welcher Änderung?
Immer oder nur manchmal?
Intern oder extern?
Mit WLAN oder LAN?
Mit VPN oder ohne VPN?
Merksatz:
Nur reproduzierbare Fehler lassen sich sauber messen.
Fehlerbild genau aufnehmen
Vor der Analyse sollte man das Fehlerbild genau aufnehmen.
Nicht ausreichend:
Internet geht nicht.
Besser:
Benutzer kann https://intranet.firma.local öffnen,
aber https://portal.firma.de nicht.
Fehler im Browser:
DNS_PROBE_FINISHED_NXDOMAIN.
Noch besser:
Zeitpunkt,
Client-IP,
Benutzer,
DNS-Server,
Fehlermeldung,
betroffener Dienst.
Merksatz:
Genaue Fehlerbeschreibung ist Teil der Diagnose.
W-Fragen bei Netzwerkfehlern
Wichtige Fragen:
Wer ist betroffen?
Was funktioniert nicht?
Wann tritt der Fehler auf?
Wo tritt der Fehler auf?
Wie äußert sich der Fehler?
Seit wann besteht der Fehler?
Was wurde zuletzt geändert?
Welche Systeme funktionieren noch?
Merksatz:
Gute Fragen grenzen den Fehler ein.
Einzelner Benutzer oder alle Benutzer?
Wenn nur ein Benutzer betroffen ist,
prüft man eher:
Benutzerkonto
Berechtigungen
Passwort
MFA
Clientprofil
lokale Einstellungen
Browsercache
gespeicherte Zugangsdaten
Wenn alle Benutzer betroffen sind,
prüft man eher:
Dienst
Server
DNS
Netzwerk
Firewall
Zertifikat
zentrale Authentifizierung
Provider
Infrastruktur
Merksatz:
Einzelner Benutzer = Konto oder Client.
Alle Benutzer = Dienst oder Infrastruktur.
Ein Client oder mehrere Clients?
Wenn nur ein Client betroffen ist,
prüft man:
Netzwerkkabel
WLAN
IP-Konfiguration
DNS-Einstellungen
lokale Firewall
Proxy
VPN
Zertifikatsspeicher
lokale Software
Wenn mehrere Clients betroffen sind,
prüft man:
Switch
VLAN
DHCP
DNS
Gateway
Firewall
Server
zentrale Dienste
Merksatz:
Ein Client betroffen:
lokal prüfen.
Viele Clients betroffen:
Infrastruktur prüfen.
Intern oder extern betroffen?
Wenn intern alles funktioniert,
extern aber nicht,
prüft man:
externe DNS-Auflösung
öffentliche IP
NAT
Firewall WAN → DMZ
Provider
CGNAT
Zertifikat
Reverse Proxy
Wenn extern funktioniert,
intern aber nicht,
prüft man:
internes DNS
Split DNS
Hairpin NAT
interne Firewall
interne Route
Proxy-Einstellungen
Merksatz:
Interne und externe Sicht getrennt prüfen.
Nur WLAN oder auch LAN?
Wenn nur WLAN betroffen ist,
prüft man:
WLAN-Signal
SSID
WLAN-Passwort
VLAN-Zuordnung am Access Point
DHCP im WLAN-Netz
Roaming
Störungen
Access Point
Client-Treiber
Wenn LAN auch betroffen ist,
liegt die Ursache eher bei:
IP-Konfiguration
Gateway
DNS
Firewall
Dienst
zentraler Infrastruktur
Merksatz:
WLAN-Fehler nicht automatisch als Internetfehler behandeln.
Nur ein VLAN betroffen?
Wenn nur ein VLAN betroffen ist,
prüft man:
VLAN-ID
Switchport-Modus
Tagged oder Untagged
Trunk
Access-Port
DHCP-Scope
Gateway für VLAN
Firewall-Regeln
Routing
ACLs
Merksatz:
VLAN-bezogene Fehler sind oft Schicht 2 und 3.
Nur ein Dienst betroffen?
Wenn nur ein Dienst betroffen ist,
prüft man eher:
DNS-Name des Dienstes
Ziel-IP
Port
Protokoll
Firewall-Regel
Dienststatus
Zertifikat
Authentifizierung
Berechtigung
Anwendungslogs
Beispiel:
Internet funktioniert,
aber SMB-Freigabe nicht.
Dann ist nicht das ganze Netzwerk down,
sondern ein Dienst oder Zugriffspfad gestört.
Merksatz:
Ein Dienst betroffen:
Dienstkette prüfen.
Schicht 1 prüfen
Schicht 1 ist die Bitübertragungsschicht.
Prüfpunkte:
Kabel steckt?
Link-LED aktiv?
richtiger Port?
Netzteil aktiv?
SFP-Modul korrekt?
Glasfaser richtig gesteckt?
WLAN-Signal vorhanden?
keine physische Beschädigung?
Duplex oder Speed auffällig?
Werkzeuge:
Sichtprüfung
Linkstatus
Kabeltester
Switchport-Status
WLAN-Signalprüfung
Merksatz:
Ohne funktionierende Schicht 1 funktioniert darüber nichts.
Schicht 2 prüfen
Schicht 2 ist die Sicherungsschicht.
Prüfpunkte:
MAC-Adresse sichtbar?
Switchport aktiv?
VLAN korrekt?
Access oder Trunk richtig?
MAC-Adresstabelle passend?
STP blockiert?
Broadcast-Sturm?
ARP funktioniert?
keine doppelte IP im lokalen Netz?
Werkzeuge:
Switch-MAC-Tabelle
ARP-Tabelle
VLAN-Konfiguration
Wireshark
Switch-Logs
Merksatz:
Schicht 2 betrifft lokale Kommunikation im richtigen Netzsegment.
Schicht 3 prüfen
Schicht 3 ist die Vermittlungs- oder Netzwerkschicht.
Prüfpunkte:
IP-Adresse korrekt?
Subnetzmaske korrekt?
Gateway korrekt?
Routing korrekt?
Zielnetz erreichbar?
keine APIPA-Adresse?
keine doppelte IP?
IPv4 oder IPv6 korrekt?
Rückweg vorhanden?
Werkzeuge:
ipconfig
ifconfig
ip addr
ping
traceroute / tracert
route print
ip route
Routingtabelle
Merksatz:
Schicht 3 beantwortet:
Komme ich zum richtigen Netz?
Schicht 4 prüfen
Schicht 4 ist die Transportschicht.
Prüfpunkte:
TCP oder UDP?
richtiger Port?
Port offen?
Dienst lauscht?
Firewall blockiert?
TCP-Handshake vollständig?
UDP-Antwort vorhanden?
NAT oder PAT beteiligt?
Rückweg korrekt?
Werkzeuge:
nc
Test-NetConnection
ss
netstat
tcpdump
Wireshark
Firewall-Logs
Merksatz:
Schicht 4 beantwortet:
Ist der Dienstport erreichbar?
Schicht 5 prüfen
Schicht 5 ist die Sitzungsschicht.
Prüfpunkte:
Session wird aufgebaut?
Session bleibt bestehen?
Benutzer wird ständig ausgeloggt?
Cookie korrekt?
Session Timeout?
Load Balancer mit Session-Stickiness?
Session-Speicher erreichbar?
Typische Fehler:
Login-Schleife
Session läuft sofort ab
Warenkorb wird vergessen
Remote-Sitzung bricht ab
Merksatz:
Schicht 5 betrifft Sitzungen und deren Verwaltung.
Schicht 6 prüfen
Schicht 6 ist die Darstellungsschicht.
Prüfpunkte:
TLS korrekt?
Zertifikat gültig?
Name passt zum Zertifikat?
CA vertrauenswürdig?
Datenformat korrekt?
Zeichencodierung korrekt?
Kompression korrekt?
JSON oder XML gültig?
Typische Fehler:
Zertifikatswarnung
falsche Umlaute
ungültiges JSON
TLS-Handshake-Fehler
falscher Content-Type
Merksatz:
Schicht 6 betrifft Darstellung,
Codierung,
Kompression
und Verschlüsselung.
Schicht 7 prüfen
Schicht 7 ist die Anwendungsschicht.
Prüfpunkte:
Dienst läuft?
richtige URL?
richtiger Hostname?
richtige Methode?
richtiger Statuscode?
Anmeldung korrekt?
Berechtigung vorhanden?
Anwendung antwortet?
API korrekt?
Logs vorhanden?
Backend erreichbar?
Typische Fehler:
HTTP 404
HTTP 500
Login fehlgeschlagen
Zugriff verweigert
DNS falsch
Mail kommt nicht an
API antwortet mit Fehler
Merksatz:
Schicht 7 betrifft den konkreten Dienst und seine Antwort.
DNS als häufiger Sonderfall
DNS gehört zur Anwendungsschicht,
wirkt aber auf fast alle anderen Dienste.
Wenn DNS falsch ist,
sucht man oft am falschen Ziel.
Typische DNS-Fehler:
falsche IP-Adresse
NXDOMAIN
falscher DNS-Server
Split DNS falsch
veralteter Cache
IPv6-Antwort nicht erreichbar
MX-Record falsch
Merksatz:
DNS immer früh prüfen,
wenn Namen verwendet werden.
DHCP als häufiger Sonderfall
DHCP gehört zur Anwendungsschicht,
liefert aber Schicht-3-Konfiguration.
DHCP-Fehler führen zu:
keiner IP-Adresse
APIPA 169.254.x.x
falschem Gateway
falschem DNS
falschem VLAN
falscher Lease
Merksatz:
DHCP-Fehler wirken wie IP- oder Internetprobleme.
Firewall als häufiger Sonderfall
Firewalls können mehrere Schichten betreffen.
Je nach Firewall prüft sie:
IP-Adressen
Ports
Protokolle
Zustand
Anwendung
Benutzer
Zonen
Bei Firewall-Verdacht prüfen:
Quelle
Ziel
Port
Protokoll
Richtung
Zone
Regel
Logs
NAT
Rückweg
Merksatz:
Firewall-Fehler mit Quelle,
Ziel,
Port,
Richtung
und Logs prüfen.
NAT als häufiger Sonderfall
NAT kann IP-Adressen und Ports verändern.
Deshalb muss man wissen:
Welche Adresse sieht der Client?
Welche Adresse sieht der Server?
Gibt es Source NAT?
Gibt es Destination NAT?
Gibt es PAT?
Gibt es Portweiterleitung?
Stimmt der Rückweg?
Merksatz:
Bei NAT immer vor und nach der Übersetzung denken.
Logs immer einbeziehen
Logs liefern oft die entscheidenden Hinweise.
Wichtige Logs:
Client-Logs
Server-Logs
Firewall-Logs
DNS-Logs
DHCP-Logs
Webserver-Logs
Reverse-Proxy-Logs
Authentifizierungslogs
VPN-Logs
Ereignisanzeige
journalctl
Merksatz:
Logs zeigen Entscheidungen,
Mitschnitte zeigen Verkehr.
Paketmitschnitt gezielt einsetzen
Ein Paketmitschnitt ist besonders hilfreich,
wenn unklar ist:
ob Pakete ankommen
ob Antworten zurückkommen
ob DNS korrekt gefragt wird
ob TCP-Handshake klappt
ob UDP-Antworten kommen
ob NAT richtig arbeitet
ob Retransmissions auftreten
ob Reset oder Timeout entsteht
Merksatz:
Mitschnitt nutzen,
wenn der echte Verkehr unklar ist.
Fehler nach Änderung
Viele Störungen entstehen nach Änderungen.
Beispiele:
Firewall-Regel geändert
DNS-Eintrag geändert
DHCP-Scope geändert
VLAN geändert
Zertifikat erneuert
Server-IP geändert
Dienst aktualisiert
Reverse Proxy angepasst
Passwort oder Rechte geändert
VPN-Konfiguration geändert
Merksatz:
Nach Änderung zuerst die Änderung prüfen.
Change und Rollback
Bei Änderungen sollte vorher klar sein:
Was wird geändert?
Warum wird es geändert?
Wer ist verantwortlich?
Wann wird getestet?
Wie wird zurückgerollt?
Welche Systeme sind betroffen?
Gibt es ein Backup?
Gibt es Dokumentation?
Rollback bedeutet:
Änderung zurücknehmen,
wenn sie Probleme verursacht.
Merksatz:
Keine kritische Änderung ohne Rückweg.
Dokumentation während der Fehlersuche
Während der Fehlersuche sollte man dokumentieren:
Fehlerbild
Zeitpunkt
betroffene Systeme
betroffene Benutzer
getestete Schritte
Messergebnisse
Logs
Änderungen
gefundene Ursache
Lösung
offene Punkte
Merksatz:
Gute Dokumentation verhindert doppelte Arbeit.
Hypothesen bilden
Eine Hypothese ist eine fachliche Vermutung,
die getestet wird.
Beispiel:
Hypothese:
DNS zeigt auf falsche IP.
Test:
nslookup oder dig ausführen.
Ergebnis:
Wenn DNS falsch ist,
Hypothese bestätigt.
Wenn nicht:
Hypothese verwerfen
und nächste Ursache prüfen.
Merksatz:
Hypothesen müssen getestet,
nicht geglaubt werden.
Nicht mehrere Dinge gleichzeitig ändern
Wenn man mehrere Dinge gleichzeitig ändert,
weiß man später nicht,
welche Änderung geholfen oder geschadet hat.
Besser:
eine Änderung durchführen
testen
Ergebnis dokumentieren
nächste Änderung durchführen
Merksatz:
Eine Änderung pro Testschritt.
Workaround und Ursachenbehebung unterscheiden
Ein Workaround umgeht ein Problem vorübergehend.
Eine Ursachenbehebung beseitigt die Ursache.
Beispiel:
Workaround:
Benutzer nutzt IP-Adresse statt DNS-Namen.
Ursache:
DNS-Eintrag ist falsch.
Die Ursache muss trotzdem behoben werden.
Merksatz:
Workaround ist nicht automatisch Lösung.
Typische Fehlerbilder und erste Einordnung
Fehlerbild
erste Vermutung
Kein Link
Schicht 1
IP 169.254.x.x
DHCP-Problem
Gateway nicht erreichbar
Schicht 2 / 3
Name löst nicht auf
DNS
Ping geht, Port nicht
Schicht 4 / Firewall / Dienst
Port offen, HTTP 500
Anwendung / Backend
Zertifikatswarnung
TLS / Zeit / Name
Zugriff verweigert
Autorisierung
Login schlägt fehl
Authentifizierung
Nur extern gestört
NAT / Firewall / DNS extern
Nur intern gestört
DNS intern / Hairpin NAT / Routing
Merksatz:
Fehlerbild gibt Hinweis,
aber noch keinen Beweis.
Beispiel: Webseite öffnet nicht
Systematische Prüfung:
1. URL korrekt?
2. DNS löst korrekt auf?
3. Ziel-IP erreichbar?
4. TCP 443 erreichbar?
5. TLS-Zertifikat gültig?
6. HTTP-Statuscode prüfen.
7. Reverse Proxy prüfen.
8. Backend prüfen.
9. Webserver-Logs prüfen.
10. Firewall-Logs prüfen.
Merksatz:
Webfehler mit DNS,
Port,
TLS,
HTTP
und Logs prüfen.
Beispiel: Client bekommt keine IP-Adresse
Systematische Prüfung:
1. Link vorhanden?
2. VLAN korrekt?
3. DHCP Discover sichtbar?
4. DHCP Offer sichtbar?
5. DHCP-Scope frei?
6. DHCP-Relay korrekt?
7. Firewall erlaubt UDP 67/68?
8. Richtiger DHCP-Server?
9. Keine Rogue-DHCP-Antwort?
10. Client erhält Lease?
Merksatz:
DHCP-Fehler mit DORA eingrenzen.
Beispiel: Server per SSH nicht erreichbar
Systematische Prüfung:
1. Ziel-IP oder DNS prüfen.
2. Routing prüfen.
3. TCP 22 erreichbar?
4. SSH-Dienst läuft?
5. Host-Firewall erlaubt?
6. zentrale Firewall erlaubt?
7. Benutzer oder Schlüssel korrekt?
8. SSH-Logs prüfen.
9. Fail2ban oder Sperre prüfen.
10. Host-Key-Warnung prüfen.
Merksatz:
SSH-Fehler mit Netz,
Port,
Dienst,
Benutzer
und Logs prüfen.
Beispiel: SMB-Freigabe Zugriff verweigert
Systematische Prüfung:
1. Servername löst korrekt auf?
2. TCP 445 erreichbar?
3. SMB-Dienst läuft?
4. Benutzer korrekt angemeldet?
5. Freigabeberechtigung korrekt?
6. Dateisystemberechtigung korrekt?
7. Gruppenmitgliedschaft korrekt?
8. gespeicherte Anmeldedaten falsch?
9. Datei gesperrt?
10. Logs prüfen.
Merksatz:
SMB-Zugriff braucht Verbindung,
Anmeldung
und Rechte.
Beispiel: E-Mail kommt nicht an
Systematische Prüfung:
1. Absender erhält Fehlermeldung?
2. MX-Record korrekt?
3. DNS korrekt?
4. SMTP TCP 25 erreichbar?
5. Mailserver zuständig?
6. Spamfilter oder Quarantäne?
7. SPF, DKIM, DMARC korrekt?
8. Postfach voll?
9. TLS-Problem?
10. Mailserver-Logs prüfen.
Merksatz:
Mailfehler mit DNS,
SMTP,
Authentifizierung,
Spamfilter
und Logs prüfen.
Beispiel: VPN verbunden, aber interne Systeme nicht erreichbar
Systematische Prüfung:
1. VPN-Verbindung wirklich aktiv?
2. VPN-IP erhalten?
3. Route ins interne Netz vorhanden?
4. DNS für interne Namen korrekt?
5. Firewall-Regel VPN → Zielnetz korrekt?
6. Benutzergruppe berechtigt?
7. Split Tunnel korrekt?
8. Zielsystem-Firewall erlaubt?
9. Rückweg korrekt?
10. Logs prüfen.
Merksatz:
VPN braucht Tunnel,
Adresse,
Route,
DNS,
Firewall
und Rechte.
Beispiel: Nur langsam, nicht komplett kaputt
Bei Performanceproblemen prüft man zusätzlich:
Latenz
Paketverlust
Bandbreite
Duplex
WLAN-Signal
Retransmissions
Serverlast
DNS-Verzögerungen
MTU
Proxy
VPN
Speicher und CPU
Festplatten-I/O
Merksatz:
Langsam ist nicht dasselbe wie nicht erreichbar.
Latenz
Latenz ist die Verzögerung,
bis Daten ihr Ziel erreichen und eine Antwort zurückkommt.
Hohe Latenz stört besonders:
VoIP
Videokonferenzen
Remote Desktop
Online-Anwendungen
Datenbankzugriffe
interaktive Anwendungen
Merksatz:
Latenz = Verzögerung.
Paketverlust
Paketverlust bedeutet:
Pakete gehen unterwegs verloren.
Folgen:
Verbindungen werden langsam.
TCP sendet erneut.
Audio oder Video stottert.
VPN wird instabil.
Webseiten laden unvollständig.
Hinweise:
Retransmissions
verlorene Ping-Antworten
Abbrüche
Timeouts
Merksatz:
Paketverlust erzeugt Wiederholungen und Instabilität.
Bandbreite
Bandbreite beschreibt,
wie viele Daten pro Zeit übertragen werden können.
Geringe Bandbreite führt zu:
langsamen Downloads
ruckelnden Streams
langen Backups
langsamer Dateiübertragung
Engpässen bei vielen Benutzern
Merksatz:
Bandbreite = maximale Datenmenge pro Zeit.
Jitter
Jitter ist die Schwankung der Verzögerung.
Besonders störend bei:
VoIP
Videokonferenzen
Echtzeitanwendungen
Streaming
Remote-Zugriff
Merksatz:
Jitter = schwankende Latenz.
MTU
MTU steht für:
Maximum Transmission Unit
MTU beschreibt,
wie groß ein Paket auf einem Übertragungsweg maximal sein darf.
MTU-Probleme können verursachen:
Webseiten laden teilweise.
VPN ist instabil.
große Downloads brechen ab.
kleine Pings funktionieren,
große Pakete nicht.
Merksatz:
MTU-Probleme zeigen sich oft erst bei größeren Paketen.
Fehlerklasse: Erreichbarkeit
Erreichbarkeitsfehler bedeuten:
Ziel ist gar nicht oder nur teilweise erreichbar.
Prüfen:
Link
IP
Gateway
Routing
Firewall
NAT
Port
Dienst
Merksatz:
Erreichbarkeit zuerst technisch eingrenzen.
Fehlerklasse: Namensauflösung
Namensauflösungsfehler bedeuten:
Name wird nicht oder falsch aufgelöst.
Prüfen:
DNS-Server
DNS-Record
DNS-Suffix
Split DNS
Cache
A/AAAA
CNAME
MX
interne und externe Antwort
Merksatz:
Name falsch bedeutet oft Ziel falsch.
Fehlerklasse: Authentifizierung
Authentifizierungsfehler bedeuten:
Identität wird nicht akzeptiert.
Prüfen:
Benutzername
Passwort
MFA
Konto gesperrt
Konto deaktiviert
Zertifikat
Token
Zeit
LDAP/AD/IdP
Merksatz:
Authentifizierung = Wer bist du?
Fehlerklasse: Autorisierung
Autorisierungsfehler bedeuten:
Identität ist bekannt,
aber Rechte fehlen.
Prüfen:
Gruppen
Rollen
Freigaberechte
Dateisystemrechte
API-Scopes
Richtlinien
Mandant
alte Session
Merksatz:
Autorisierung = Was darfst du?
Fehlerklasse: Anwendung
Anwendungsfehler bedeuten:
Netzwerkverbindung besteht,
aber der Dienst funktioniert nicht korrekt.
Prüfen:
Logs
Statuscodes
Backend
Datenbank
Konfiguration
Version
Abhängigkeiten
Speicher
CPU
Berechtigungen
Datenformat
Merksatz:
Wenn Netzwerk steht,
aber Dienst fehlerhaft antwortet,
Anwendung prüfen.
Fehlerklasse: Sicherheit
Sicherheitsmechanismen können Verkehr bewusst blockieren.
Beispiele:
Firewall
IDS/IPS
WAF
Antivirus
EDR
Spamfilter
Proxy
MFA
Conditional Access
Geoblocking
Rate Limiting
Merksatz:
Nicht jede Blockierung ist ein Fehler,
manchmal ist sie gewollt.
Abschluss einer Fehlersuche
Am Ende sollte klar sein:
Was war die Ursache?
Wie wurde sie nachgewiesen?
Was wurde geändert?
Welche Systeme waren betroffen?
Wie wurde getestet?
Ist die Lösung dauerhaft?
Muss dokumentiert werden?
Muss Monitoring angepasst werden?
Muss Prävention verbessert werden?
Merksatz:
Eine Fehlersuche endet mit Ursache,
Lösung
und Dokumentation.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Warum hilft das OSI-Modell bei der Fehlersuche?
- Was bedeutet Bottom-Up-Fehlersuche?
- Was bedeutet Top-Down-Fehlersuche?
- Was ist Divide and Conquer bei der Fehlersuche?
- Warum muss man Fehler genau eingrenzen?
- Warum reicht „Internet geht nicht“ nicht als Fehlerbeschreibung?
- Welche Schichten prüft man bei fehlender Verbindung?
- Warum prüft man DNS frühzeitig?
- Warum sind Logs wichtig?
- Warum sollte man nicht mehrere Dinge gleichzeitig ändern?
- Was ist ein Workaround?
- Was ist der Unterschied zwischen Authentifizierung und Autorisierung?
- Wie geht man bei einem Webfehler systematisch vor?
- Wie geht man bei DHCP-Problemen systematisch vor?
- Wie geht man bei VPN-Problemen systematisch vor?
Typische Prüfungsfallen
Nicht sofort die Firewall beschuldigen.
Nicht nur ping testen.
Nicht nur Port testen.
DNS kann viele Fehler verursachen.
DHCP gehört zu Schicht 7,
wirkt aber auf Schicht 3.
Firewall kann mehrere Schichten betreffen.
NAT verändert Adressen und Ports.
Ein einzelner Benutzer deutet oft auf Konto oder Client.
Alle Benutzer deuten eher auf zentrale Infrastruktur.
Intern und extern getrennt prüfen.
WLAN und LAN getrennt prüfen.
Authentifizierung ist nicht Autorisierung.
Workaround ist nicht Ursachenbehebung.
Eine Änderung pro Testschritt.
Nach Änderung zuerst Änderung prüfen.
Logs und Mitschnitt ergänzen sich.
Langsam ist ein anderes Fehlerbild als nicht erreichbar.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Fehlersuche
systematisches Finden einer Ursache
Bottom-Up
von Schicht 1 nach oben prüfen
Top-Down
von Anwendung nach unten prüfen
Divide and Conquer
Suchbereich durch mittlere Prüfung eingrenzen
Vergleichsmethode
funktionierenden und fehlerhaften Fall vergleichen
Fehlerbild
beobachtetes Problem
Reproduzierbarkeit
Fehler lässt sich gezielt erneut auslösen
Hypothese
testbare Vermutung
Workaround
vorübergehende Umgehung
Ursachenbehebung
eigentliche Ursache beseitigen
Rollback
Änderung zurücknehmen
Latenz
Verzögerung
Paketverlust
Pakete gehen verloren
Bandbreite
Datenmenge pro Zeit
Jitter
Schwankung der Verzögerung
MTU
maximale Paketgröße
Authentifizierung
Identität prüfen
Autorisierung
Rechte prüfen
Log
Ereignisprotokoll
Paketmitschnitt
aufgezeichneter Netzwerkverkehr
IHK-sichere Kurzformulierung
Das OSI-Modell hilft bei der Netzwerkfehlersuche, weil Fehler systematisch nach Schichten eingegrenzt werden können. Bei der Bottom-Up-Methode beginnt man bei Schicht 1 mit physischer Verbindung und arbeitet sich bis zur Anwendungsschicht hoch. Bei der Top-Down-Methode beginnt man bei der Anwendung und prüft dann nach unten. Wichtig sind eine genaue Fehlerbeschreibung, die Eingrenzung betroffener Benutzer und Systeme, die Prüfung von DNS, DHCP, IP-Konfiguration, Routing, Firewall, NAT, Ports, Diensten, Authentifizierung, Autorisierung und Logs. Messergebnisse sollten dokumentiert werden, und Änderungen sollten einzeln getestet werden. Ein Workaround kann kurzfristig helfen, ersetzt aber nicht die Beseitigung der eigentlichen Ursache.
Merksätze
OSI-Modell hilft bei Fehlersuche.
Nicht raten,
sondern schrittweise prüfen.
Bottom-Up beginnt bei Schicht 1.
Top-Down beginnt bei der Anwendung.
Divide and Conquer grenzt den Fehlerbereich ein.
Fehlerbild genau aufnehmen.
Einzelner Benutzer:
Konto oder Client prüfen.
Alle Benutzer:
Dienst oder Infrastruktur prüfen.
Intern und extern getrennt prüfen.
WLAN und LAN getrennt prüfen.
DNS früh prüfen.
DHCP mit DORA prüfen.
Firewall mit Quelle,
Ziel,
Port,
Richtung
und Logs prüfen.
NAT vor und nach Übersetzung denken.
Logs zeigen Entscheidungen.
Mitschnitte zeigen Verkehr.
Nach Änderung zuerst Änderung prüfen.
Eine Änderung pro Test.
Workaround ist nicht Ursache.
Langsam ist nicht gleich nicht erreichbar.
Latenz = Verzögerung.
Paketverlust = verlorene Pakete.
Jitter = schwankende Verzögerung.
MTU = maximale Paketgröße.
Authentifizierung = Wer bist du?
Autorisierung = Was darfst du?
Fehlersuche endet mit Ursache,
Lösung
und Dokumentation.
12.5 Typische Netzwerkfehler und ihre Ursachen
Netzwerkfehler können auf vielen verschiedenen Schichten entstehen.
Ein sichtbares Problem ist oft nur ein Symptom.
Beispiel:
Webseite öffnet nicht.
Das kann viele Ursachen haben:
- DNS falsch
- Server nicht erreichbar
- Port blockiert
- Zertifikat ungültig
- Webserver down
- Reverse Proxy falsch
- Benutzer nicht berechtigt
Merksatz:
Ein Fehlerbild zeigt nur das Symptom,
nicht automatisch die Ursache.
Warum Fehlerbilder wichtig sind
Fehlerbilder helfen,
die Suche einzugrenzen.
Man fragt:
Was genau funktioniert nicht?
Was funktioniert noch?
Wer ist betroffen?
Seit wann?
Wurde etwas geändert?
Ist der Fehler dauerhaft oder sporadisch?
Gibt es eine Fehlermeldung?
Je genauer das Fehlerbild,
desto schneller findet man die Ursache.
Merksatz:
Gute Fehlerbeschreibung ist der erste Diagnoseschritt.
Fehlerbild: Kein Netzwerklink
Typische Anzeichen:
- keine Link-LED
- Netzwerkadapter zeigt getrennt
- Switchport down
- keine Verbindung über Kabel
- keine Pakete sichtbar
- kein DHCP Discover
Mögliche Ursachen:
- Kabel defekt
- Kabel nicht richtig gesteckt
- falscher Port
- Switchport deaktiviert
- Netzwerkkarte deaktiviert
- SFP-Modul defekt
- falsches Glasfasermodul
- Stromversorgung fehlt
Wahrscheinliche Schicht:
Schicht 1
Merksatz:
Kein Link ist meistens ein physisches Problem.
Fehlerbild: Link vorhanden, aber keine IP-Adresse
Typische Anzeichen:
- Netzwerk verbunden
- aber keine gültige IP-Adresse
- Windows zeigt 169.254.x.x
- DHCP schlägt fehl
- keine Verbindung zum Gateway
- Client meldet eingeschränkte Konnektivität
Mögliche Ursachen:
- DHCP-Server nicht erreichbar
- DHCP-Scope voll
- DHCP-Relay fehlt
- falsches VLAN
- Firewall blockiert UDP 67/68
- Switchport falsch konfiguriert
- Client im falschen Netz
- DHCP-Dienst gestoppt
Wahrscheinliche Schichten:
Schicht 2
Schicht 3
Schicht 7 wegen DHCP
Merksatz:
169.254.x.x deutet häufig auf DHCP-Probleme hin.
Fehlerbild: Falsche IP-Adresse
Typische Anzeichen:
- Client hat IP aus falschem Netz
- Gateway passt nicht
- DNS passt nicht
- Zugriff auf interne Dienste funktioniert nicht
- nur manche Dienste erreichbar
Mögliche Ursachen:
- falsches VLAN
- falscher DHCP-Scope
- Rogue-DHCP-Server
- statische IP falsch gesetzt
- falsches WLAN
- falsche Netzwerkdose
- DHCP-Reservierung falsch
Wahrscheinliche Schichten:
Schicht 2
Schicht 3
Schicht 7 wegen DHCP
Merksatz:
Falsche IP bedeutet oft:
falsches Netz oder falsche DHCP-Konfiguration.
Fehlerbild: Gateway nicht erreichbar
Typische Anzeichen:
- lokale IP vorhanden
- andere Geräte im Netz eventuell erreichbar
- Internet nicht erreichbar
- Ping zum Gateway schlägt fehl
- Routing funktioniert nicht
Mögliche Ursachen:
- falsches Gateway eingetragen
- Gateway offline
- VLAN falsch
- falsche Netzmaske
- ARP funktioniert nicht
- Firewall blockiert ICMP
- Switchport im falschen VLAN
- IP-Konflikt
Wahrscheinliche Schichten:
Schicht 2
Schicht 3
Merksatz:
Ohne Gateway keine Kommunikation in andere Netze.
Fehlerbild: Lokales Netz funktioniert, Internet nicht
Typische Anzeichen:
- interne Server erreichbar
- Gateway erreichbar
- externe Webseiten nicht erreichbar
- DNS oder Routing auffällig
- nur Internetzugriff betroffen
Mögliche Ursachen:
- Standardroute fehlt
- Internetrouter down
- Firewall blockiert WAN
- DNS falsch
- NAT funktioniert nicht
- Providerstörung
- Proxy falsch
- VPN verändert Routing
- öffentliche Verbindung gestört
Wahrscheinliche Schichten:
Schicht 3
Schicht 4
Schicht 7
Merksatz:
Intern geht,
extern nicht:
Gateway,
DNS,
NAT
und Provider prüfen.
Fehlerbild: IP funktioniert, Name nicht
Typische Anzeichen:
- Zugriff per IP funktioniert
- Zugriff per DNS-Name funktioniert nicht
- Browser meldet DNS-Fehler
- nslookup liefert keine oder falsche Antwort
- nur bestimmte Namen betroffen
Mögliche Ursachen:
- falscher DNS-Server
- DNS-Eintrag fehlt
- DNS-Eintrag zeigt falsch
- DNS-Cache veraltet
- Split DNS falsch
- Suchsuffix falsch
- interne Zone fehlt
- IPv6-Record zeigt auf falsches Ziel
Wahrscheinliche Schicht:
Schicht 7 wegen DNS
Merksatz:
IP geht,
Name nicht:
DNS prüfen.
Fehlerbild: Name löst auf falsche IP auf
Typische Anzeichen:
- DNS liefert Antwort
- aber falscher Server wird erreicht
- falsches Zertifikat erscheint
- falsche Webseite wird angezeigt
- intern und extern unterschiedliche Ergebnisse
Mögliche Ursachen:
- falscher A-Record
- falscher AAAA-Record
- falscher CNAME
- Split DNS falsch
- DNS-Cache alt
- falscher DNS-Server
- alte öffentliche IP
- interne Zone überschreibt externe Zone
Wahrscheinliche Schicht:
Schicht 7
Merksatz:
Falsche DNS-Antwort führt zum falschen Ziel.
Fehlerbild: Ping funktioniert, Dienst nicht
Typische Anzeichen:
- Ziel antwortet auf Ping
- aber Webseite, SSH, SMB oder RDP funktioniert nicht
- Porttest schlägt fehl
- Anwendung meldet Verbindungsfehler
Mögliche Ursachen:
- Dienst läuft nicht
- Port blockiert
- Host-Firewall blockiert
- zentrale Firewall blockiert
- Dienst lauscht auf falscher IP
- falscher Port
- falsches Protokoll
- Anwendung falsch konfiguriert
Wahrscheinliche Schichten:
Schicht 4
Schicht 7
Merksatz:
Ping beweist nicht,
dass ein Dienst funktioniert.
Fehlerbild: Port offen, Anwendung funktioniert nicht
Typische Anzeichen:
- Porttest erfolgreich
- TCP-Verbindung möglich
- aber Anwendung liefert Fehler
- HTTP 500 oder 502
- Login schlägt fehl
- API antwortet mit Fehler
- Dienst bricht Verbindung ab
Mögliche Ursachen:
- Anwendung defekt
- Backend nicht erreichbar
- Datenbankfehler
- falsche Konfiguration
- Authentifizierungsproblem
- Berechtigung fehlt
- falsches Datenformat
- Zertifikatsproblem
- Reverse Proxy falsch
Wahrscheinliche Schichten:
Schicht 5
Schicht 6
Schicht 7
Merksatz:
Offener Port ist nur Verbindung,
nicht Anwendungserfolg.
Fehlerbild: Timeout
Timeout bedeutet:
Es kommt keine Antwort innerhalb der erwarteten Zeit.
Typische Anzeichen:
- Verbindung hängt
- Browser lädt lange
- SSH wartet und bricht ab
- Porttest läuft ins Timeout
- SYN-Wiederholungen im Mitschnitt
Mögliche Ursachen:
- Firewall droppt Pakete
- Ziel nicht erreichbar
- Routingproblem
- Rückweg fehlt
- Dienst antwortet nicht
- falsche IP
- NAT falsch
- Provider blockiert
Wahrscheinliche Schichten:
Schicht 3
Schicht 4
Schicht 7
Merksatz:
Timeout bedeutet meistens:
keine passende Antwort kommt zurück.
Fehlerbild: Connection Refused
Connection Refused bedeutet:
Das Zielsystem lehnt die Verbindung aktiv ab.
Typische Anzeichen:
- schnelle Fehlermeldung
- TCP RST im Mitschnitt
- Host erreichbar
- Port nimmt keine Verbindung an
Mögliche Ursachen:
- Dienst läuft nicht
- falscher Port
- Dienst lauscht nur auf localhost
- Host-Firewall lehnt aktiv ab
- Anwendung nimmt keine Verbindung an
- Dienst wurde gestoppt
Wahrscheinliche Schichten:
Schicht 4
Schicht 7
Merksatz:
Connection Refused heißt:
Ziel erreichbar,
aber Dienst nimmt nicht an.
Fehlerbild: Zugriff verweigert
Typische Anzeichen:
- Anmeldung möglich
- aber Ressource nicht zugänglich
- HTTP 403
- SMB Zugriff verweigert
- API meldet Forbidden
- Anwendung zeigt keine Daten
Mögliche Ursachen:
- Gruppe fehlt
- Rolle fehlt
- Freigaberecht fehlt
- Dateisystemrecht fehlt
- API-Scope fehlt
- falscher Mandant
- Richtlinie blockiert
- alte Session
- Benutzer nicht autorisiert
Wahrscheinliche Schicht:
Schicht 7
Merksatz:
Zugriff verweigert ist meistens ein Autorisierungsproblem.
Fehlerbild: Anmeldung schlägt fehl
Typische Anzeichen:
- Login nicht möglich
- HTTP 401
- falsche Zugangsdaten
- MFA schlägt fehl
- LDAP-Bind schlägt fehl
- Kerberos-Fehler
- Konto gesperrt
Mögliche Ursachen:
- Benutzername falsch
- Passwort falsch
- Konto gesperrt
- Konto deaktiviert
- Passwort abgelaufen
- MFA nicht eingerichtet
- Zeitabweichung
- LDAP oder AD nicht erreichbar
- falscher Identity Provider
Wahrscheinliche Schicht:
Schicht 7
Merksatz:
Anmeldung fehlgeschlagen:
Authentifizierung prüfen.
Fehlerbild: Zertifikatswarnung
Typische Anzeichen:
- Browser warnt vor Zertifikat
- Mailclient meldet Zertifikatsfehler
- LDAPS oder HTTPS funktioniert nicht
- Name passt nicht
- Zertifikat abgelaufen
- CA nicht vertrauenswürdig
Mögliche Ursachen:
- Zertifikat abgelaufen
- falscher Hostname
- falsches Zertifikat
- Zwischenzertifikat fehlt
- Systemzeit falsch
- interne CA nicht vertraut
- DNS zeigt auf falschen Server
- Reverse Proxy liefert falsches Zertifikat
Wahrscheinliche Schichten:
Schicht 6
Schicht 7
Merksatz:
Zertifikatsfehler mit Name,
Zeit,
CA
und DNS prüfen.
Fehlerbild: Webseite zeigt 404
404 bedeutet:
Ressource nicht gefunden.
Typische Ursachen:
- falsche URL
- falscher Pfad
- Route fehlt
- Datei fehlt
- Reverse Proxy leitet falsch
- Anwendung erwartet anderen Basis-Pfad
- falscher virtueller Host
Wahrscheinliche Schicht:
Schicht 7
Merksatz:
404 bedeutet:
Unter diesem Pfad wurde nichts gefunden.
Fehlerbild: Webseite zeigt 500
500 bedeutet:
interner Serverfehler.
Typische Ursachen:
- Fehler in Anwendung
- Datenbank nicht erreichbar
- Konfiguration falsch
- fehlende Rechte
- Anwendung abgestürzt
- Speicherproblem
- Backendfehler
- Abhängigkeit fehlt
Wahrscheinliche Schicht:
Schicht 7
Merksatz:
500 ist meist ein Problem der Anwendung oder des Servers.
Fehlerbild: Webseite zeigt 502
502 bedeutet:
Bad Gateway
Typisch bei Reverse Proxys.
Mögliche Ursachen:
- Backend nicht erreichbar
- Backend läuft nicht
- falscher Backend-Port
- falsches Backend-Protokoll
- DNS zum Backend falsch
- Firewall blockiert Proxy zu Backend
- Backend antwortet ungültig
Wahrscheinliche Schicht:
Schicht 7
Merksatz:
502 bedeutet oft:
Proxy erreicht Backend nicht korrekt.
Fehlerbild: Webseite zeigt 503
503 bedeutet:
Dienst nicht verfügbar.
Mögliche Ursachen:
- Dienst gestoppt
- Wartungsmodus
- Server überlastet
- Backend nicht verfügbar
- Ressourcenmangel
- Anwendung startet gerade
- Load Balancer hat keine gesunden Backends
Wahrscheinliche Schicht:
Schicht 7
Merksatz:
503 bedeutet:
Dienst ist aktuell nicht verfügbar.
Fehlerbild: Webseite zeigt 504
504 bedeutet:
Gateway Timeout
Typisch:
Proxy oder Gateway wartet zu lange auf Antwort vom Backend.
Mögliche Ursachen:
- Backend zu langsam
- Backend hängt
- Firewall blockiert Rückweg
- Datenbank langsam
- Timeout zu kurz
- Netzwerkproblem zwischen Proxy und Backend
Wahrscheinliche Schichten:
Schicht 4
Schicht 7
Merksatz:
504 bedeutet:
Gateway wartet vergeblich auf Backend-Antwort.
Fehlerbild: Mail kommt nicht an
Typische Anzeichen:
- Absender erhält Bounce
- Empfänger sieht keine Mail
- Mail landet im Spam
- Mail verzögert sich
- SMTP-Fehler
- NDR wird erzeugt
Mögliche Ursachen:
- MX-Record falsch
- SMTP-Port blockiert
- Mailserver nicht zuständig
- Spamfilter blockiert
- SPF, DKIM oder DMARC falsch
- Postfach voll
- Domain falsch
- TLS-Problem
- Blacklisting
Wahrscheinliche Schicht:
Schicht 7
Merksatz:
Mailfehler mit DNS,
SMTP,
Spamfilter
und Logs prüfen.
Fehlerbild: SMB-Freigabe nicht erreichbar
Typische Anzeichen:
- Netzlaufwerk verbindet nicht
- `\\server\freigabe` funktioniert nicht
- Zugriff verweigert
- Freigabe nicht gefunden
- Benutzer sieht Netzlaufwerk nicht
Mögliche Ursachen:
- DNS-Name falsch
- TCP 445 blockiert
- SMB-Dienst läuft nicht
- Freigabe existiert nicht
- Benutzer nicht berechtigt
- Freigabe- oder Dateisystemrechte falsch
- gespeicherte Zugangsdaten falsch
- SMB-Version inkompatibel
Wahrscheinliche Schichten:
Schicht 4
Schicht 7
Merksatz:
SMB-Probleme mit Name,
Port,
Dienst
und Rechten prüfen.
Fehlerbild: VPN verbunden, aber keine internen Dienste
Typische Anzeichen:
- VPN zeigt verbunden
- interne Server nicht erreichbar
- DNS intern funktioniert nicht
- nur Internet geht
- bestimmte Netze fehlen
Mögliche Ursachen:
- Route fehlt
- Split Tunnel falsch
- interne DNS-Server fehlen
- Firewall-Regel VPN → LAN fehlt
- Benutzergruppe nicht berechtigt
- Rückweg fehlt
- Zielserver-Firewall blockiert
- falscher VPN-Adresspool
Wahrscheinliche Schichten:
Schicht 3
Schicht 4
Schicht 7
Merksatz:
VPN verbunden heißt nicht automatisch:
interne Ressourcen erlaubt.
Fehlerbild: Nur manche Webseiten gehen nicht
Typische Anzeichen:
- viele Webseiten funktionieren
- einzelne Seiten nicht
- bestimmte Domains nicht erreichbar
- Zertifikatsfehler nur bei bestimmten Seiten
- DNS oder Proxy auffällig
Mögliche Ursachen:
- DNS-Problem für bestimmte Domain
- Proxy blockiert
- Firewall-Kategorie blockiert
- Zertifikatsproblem
- IPv6-Problem
- MTU-Problem
- CDN-Störung
- Geoblocking
- Browsercache
- HSTS-Problem
Wahrscheinliche Schichten:
Schicht 3
Schicht 6
Schicht 7
Merksatz:
Einzelne Webseiten betroffen:
DNS,
Proxy,
Zertifikat
und IPv6 prüfen.
Fehlerbild: Verbindung ist langsam
Typische Anzeichen:
- Webseiten laden langsam
- Downloads langsam
- RDP verzögert
- VoIP stockt
- Dateiübertragung langsam
- Anwendungen reagieren träge
Mögliche Ursachen:
- hohe Latenz
- Paketverlust
- geringe Bandbreite
- WLAN-Störung
- Duplexproblem
- überlasteter Server
- überlastete Firewall
- DNS-Verzögerung
- VPN-Overhead
- MTU-Problem
Wahrscheinliche Schichten:
alle Schichten möglich
Merksatz:
Langsam ist ein eigenes Fehlerbild,
nicht einfach „geht nicht“.
Fehlerbild: Verbindung bricht sporadisch ab
Typische Anzeichen:
- Verbindung funktioniert zeitweise
- SSH bricht ab
- VPN trennt sich
- WLAN verliert Verbindung
- RDP friert ein
- Downloads brechen ab
Mögliche Ursachen:
- WLAN-Störungen
- Paketverlust
- DHCP-Lease-Probleme
- instabile Leitung
- MTU-Problem
- Firewall-Timeout
- NAT-Timeout
- Serverüberlastung
- Energieoptionen am Client
- Roaming-Probleme
Wahrscheinliche Schichten:
Schicht 1 bis 7 möglich
Merksatz:
Sporadische Fehler brauchen Zeitbezug,
Logs
und Monitoring.
Fehlerbild: Nur große Dateien oder große Webseiten brechen ab
Typische Anzeichen:
- kleine Webseiten gehen
- große Downloads brechen ab
- VPN instabil
- Uploads hängen
- TLS-Verbindung startet,
hängt aber später
Mögliche Ursachen:
- MTU-Problem
- Fragmentierung blockiert
- Paketverlust
- Proxy-Timeout
- Firewall-Timeout
- Upload-Limit
- Speicherproblem
- schlechte Verbindung
Wahrscheinliche Schichten:
Schicht 3
Schicht 4
Schicht 6
Schicht 7
Merksatz:
Kleine Daten gehen,
große nicht:
MTU und Paketverlust prüfen.
Fehlerbild: Nur ein VLAN hat Probleme
Typische Anzeichen:
- andere Netze funktionieren
- ein Standort oder Netzsegment betroffen
- DHCP nur dort gestört
- Gateway nur dort nicht erreichbar
- bestimmtes WLAN betroffen
Mögliche Ursachen:
- VLAN-ID falsch
- Trunk lässt VLAN nicht durch
- Access-Port falsch
- DHCP-Scope falsch
- DHCP-Relay fehlt
- Gateway des VLANs down
- Firewall-Regel für VLAN fehlt
- Routing für VLAN fehlt
Wahrscheinliche Schichten:
Schicht 2
Schicht 3
Merksatz:
Ein VLAN betroffen:
VLAN,
Gateway,
DHCP
und Routing prüfen.
Fehlerbild: Nur ein Standort hat Probleme
Typische Anzeichen:
- andere Standorte funktionieren
- WAN-Verbindung langsam oder down
- lokale Dienste funktionieren,
zentrale Dienste nicht
- VPN oder MPLS gestört
Mögliche Ursachen:
- Standortleitung gestört
- Router down
- VPN-Tunnel down
- Routingproblem
- DNS lokal falsch
- lokale Firewall blockiert
- Bandbreite ausgelastet
- Providerstörung
Wahrscheinliche Schichten:
Schicht 1 bis 4
Merksatz:
Ein Standort betroffen:
WAN,
Router,
VPN,
DNS
und lokale Infrastruktur prüfen.
Fehlerbild: Nur ein Benutzer hat Probleme
Typische Anzeichen:
- andere Benutzer am gleichen Gerät funktionieren
- Benutzer kann sich nicht anmelden
- bestimmte Berechtigungen fehlen
- Benutzer sieht Daten nicht
- MFA funktioniert nicht
Mögliche Ursachen:
- Passwort falsch
- Konto gesperrt
- Gruppenmitgliedschaft fehlt
- Rolle fehlt
- Profilproblem
- MFA falsch eingerichtet
- Lizenz fehlt
- gespeicherte Zugangsdaten falsch
- Session alt
Wahrscheinliche Schicht:
Schicht 7
Merksatz:
Einzelner Benutzer:
Konto,
Rechte
und Profil prüfen.
Fehlerbild: Nur ein Client hat Probleme
Typische Anzeichen:
- andere Clients funktionieren
- gleicher Benutzer auf anderem Gerät funktioniert
- lokaler Browserfehler
- lokales Netzwerkproblem
- falsche IP oder DNS nur auf diesem Client
Mögliche Ursachen:
- falsche IP-Konfiguration
- falscher DNS
- lokale Firewall
- Proxy-Einstellungen
- VPN aktiv oder falsch
- Zertifikatsspeicher
- Browsercache
- Malware oder Sicherheitssoftware
- Treiberproblem
- defektes Kabel oder WLAN
Wahrscheinliche Schichten:
Schicht 1 bis 7
Merksatz:
Einzelner Client:
lokale Konfiguration prüfen.
Fehlerbild: Alle Benutzer haben Probleme
Typische Anzeichen:
- mehrere Clients betroffen
- Dienst generell nicht erreichbar
- zentrale Anwendung gestört
- viele Tickets gleichzeitig
- Monitoring schlägt an
Mögliche Ursachen:
- Server down
- DNS-Störung
- DHCP-Störung
- Firewall-Änderung
- Zertifikat abgelaufen
- Datenbank down
- Providerstörung
- zentrales Update fehlerhaft
- Authentifizierungsdienst gestört
Wahrscheinliche Schichten:
zentrale Infrastruktur oder Dienst
Merksatz:
Alle betroffen:
zentralen Dienst und Infrastruktur prüfen.
Fehlerbild: Nach Update funktioniert Dienst nicht
Typische Anzeichen:
- Fehler begann direkt nach Update
- Anwendung startet nicht
- neue Fehlermeldung
- alte Konfiguration nicht kompatibel
- Abhängigkeiten fehlen
Mögliche Ursachen:
- Versionskonflikt
- geänderte Konfigurationsoption
- Dienst startet nicht
- Rechte geändert
- Datenbankmigration fehlgeschlagen
- Zertifikat oder TLS geändert
- Firewall- oder Portänderung
- Cacheproblem
Wahrscheinliche Schicht:
meist Schicht 7,
teilweise Schicht 4 bis 6
Merksatz:
Nach Update zuerst Update,
Logs
und Kompatibilität prüfen.
Fehlerbild: Nach Firewall-Änderung funktioniert Dienst nicht
Typische Anzeichen:
- Fehler direkt nach Regeländerung
- bestimmte Verbindungen blockiert
- nur bestimmte Richtung betroffen
- Firewall-Logs zeigen Drops
Mögliche Ursachen:
- falsche Regelreihenfolge
- falsche Quelle
- falsches Ziel
- falscher Port
- TCP/UDP verwechselt
- falsche Zone
- NAT vergessen
- Rückweg blockiert
- temporäre Regel entfernt
Wahrscheinliche Schicht:
Schicht 3 / 4,
je nach Firewall auch Schicht 7
Merksatz:
Nach Firewall-Änderung:
Regel,
Richtung,
NAT
und Logs prüfen.
Fehlerbild: Nach DNS-Änderung falsches Ziel
Typische Anzeichen:
- einige Clients erreichen neues Ziel
- andere noch altes Ziel
- Zertifikat passt nicht
- falscher Server antwortet
- interne und externe Antwort unterschiedlich
Mögliche Ursachen:
- DNS-Cache
- TTL noch aktiv
- falscher Record geändert
- Split DNS vergessen
- CNAME zeigt falsch
- alter Record existiert noch
- Client nutzt anderen DNS-Server
Wahrscheinliche Schicht:
Schicht 7
Merksatz:
Nach DNS-Änderung:
Cache,
TTL
und richtigen DNS-Server prüfen.
Fehlerbild: Nach Zertifikatserneuerung Fehler
Typische Anzeichen:
- Browser warnt
- TLS-Handshake scheitert
- App verbindet nicht mehr
- Reverse Proxy liefert altes Zertifikat
- Zwischenzertifikat fehlt
Mögliche Ursachen:
- falsches Zertifikat installiert
- Zertifikatskette unvollständig
- privater Schlüssel passt nicht
- Dienst nicht neu geladen
- SNI falsch
- Zertifikat enthält Namen nicht
- Client vertraut CA nicht
Wahrscheinliche Schichten:
Schicht 6
Schicht 7
Merksatz:
Zertifikatserneuerung braucht richtigen Namen,
Schlüssel,
Kette
und Dienstreload.
Fehlerbild: Nach VLAN-Änderung keine Verbindung
Typische Anzeichen:
- Client bekommt falsche oder keine IP
- Gateway nicht erreichbar
- bestimmter Switchport betroffen
- WLAN-SSID betroffen
- nur ein Netzsegment betroffen
Mögliche Ursachen:
- Access-Port falsches VLAN
- Trunk erlaubt VLAN nicht
- Native VLAN falsch
- DHCP-Relay fehlt
- Gateway für VLAN fehlt
- Firewall-Regel für neues VLAN fehlt
- Routing fehlt
Wahrscheinliche Schichten:
Schicht 2
Schicht 3
Merksatz:
Nach VLAN-Änderung:
VLAN-Zuordnung,
Trunk,
Gateway
und DHCP prüfen.
Fehlerbild: Nach Passwortänderung Anwendung kaputt
Typische Anzeichen:
- Dienst startet nicht
- Anwendung kann Datenbank nicht erreichen
- LDAP-Bind schlägt fehl
- API-Zugriff schlägt fehl
- wiederholte Loginfehler im Log
Mögliche Ursachen:
- Dienstkonto-Passwort geändert
- Passwort nicht in Anwendung aktualisiert
- Konto gesperrt
- Secret falsch hinterlegt
- Token abgelaufen
- alte Session ungültig
- gespeicherte Zugangsdaten falsch
Wahrscheinliche Schicht:
Schicht 7
Merksatz:
Dienstkonten und gespeicherte Secrets bei Passwortänderungen beachten.
Erste Einordnung nach Fehlermeldung
Fehlermeldung
erste Richtung
Kein Netzwerk
Schicht 1 bis 3
DNS-Name nicht gefunden
DNS
Zeitüberschreitung
Routing, Firewall, Rückweg, Dienst
Verbindung abgelehnt
Dienst oder Host-Firewall
401 Unauthorized
Authentifizierung
403 Forbidden
Autorisierung
404 Not Found
falscher Pfad oder Ressource fehlt
500 Internal Server Error
Anwendung oder Backend
502 Bad Gateway
Reverse Proxy oder Backend
Zertifikat ungültig
TLS, DNS, Zeit oder CA
Zugriff verweigert
Rechte
Merksatz:
Fehlermeldung gibt Richtung,
aber ersetzt keine Prüfung.
Erste Einordnung nach betroffener Menge
Betroffen
wahrscheinliche Richtung
ein Benutzer
Konto, Rechte, MFA, Profil
ein Client
lokale Konfiguration
ein Raum
Switch, WLAN, VLAN
ein VLAN
VLAN, DHCP, Gateway, Firewall
ein Standort
WAN, Router, Provider, VPN
alle Benutzer
zentraler Dienst oder Infrastruktur
nur extern
DNS extern, NAT, Firewall, Provider
nur intern
DNS intern, Routing, Hairpin NAT, Firewall
Merksatz:
Betroffene Menge hilft,
die Fehlerstelle einzugrenzen.
Erste Einordnung nach Änderung
Letzte Änderung
zuerst prüfen
Firewall-Regel
Quelle, Ziel, Port, Richtung, Logs
NAT-Regel
öffentliche IP, Ziel, Port, Protokoll
DNS-Eintrag
Record, TTL, Cache, interner/externer DNS
Zertifikat
Name, Kette, Schlüssel, Dienstreload
VLAN
Access, Trunk, Gateway, DHCP
Update
Logs, Version, Konfiguration, Abhängigkeiten
Passwort
Dienstkonto, Secret, Sperrung
VPN
Route, DNS, Benutzergruppe, Firewall
Rechte
Gruppen, Rollen, ACLs, Session
Merksatz:
Die letzte Änderung ist oft der wichtigste Hinweis.
Was man vermeiden sollte
Nicht vorschnell:
Firewall ausschalten
alle Ports öffnen
Any-Any erlauben
Rechte auf Vollzugriff setzen
Zertifikatswarnungen ignorieren
DNS wild ändern
mehrere Dinge gleichzeitig ändern
Logs ignorieren
Fehlermeldung nur überfliegen
Workaround als Lösung stehen lassen
Merksatz:
Schnelle unsaubere Änderungen erzeugen neue Probleme.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Warum ist ein Fehlerbild nur ein Symptom?
- Was deutet auf ein DHCP-Problem hin?
- Was bedeutet 169.254.x.x?
- Warum reicht Ping nicht als Dienstprüfung?
- Was bedeutet Timeout?
- Was bedeutet Connection Refused?
- Was bedeutet HTTP 401?
- Was bedeutet HTTP 403?
- Was bedeutet HTTP 404?
- Was bedeutet HTTP 500?
- Was bedeutet HTTP 502?
- Warum kann DNS wie ein Firewallproblem wirken?
- Warum kann ein Zertifikatsfehler durch DNS entstehen?
- Wie grenzt man Fehler nach betroffenen Benutzern ein?
- Warum ist die letzte Änderung wichtig?
Typische Prüfungsfallen
Symptom ist nicht Ursache.
169.254.x.x deutet auf DHCP-Problem.
Ping reicht nicht für Dienstprüfung.
Port offen reicht nicht für Anwendungserfolg.
Timeout und Connection Refused unterscheiden.
401 ist Authentifizierung.
403 ist Autorisierung.
404 ist Ressource oder Pfad.
500 ist Anwendung oder Server.
502 ist häufig Proxy zu Backend.
DNS früh prüfen.
Zertifikat hängt mit Name,
Zeit
und Vertrauen zusammen.
Einzelner Benutzer bedeutet oft Konto oder Rechte.
Alle Benutzer bedeutet eher Infrastruktur.
Nur intern oder nur extern getrennt prüfen.
Letzte Änderung zuerst prüfen.
Nicht mehrere Dinge gleichzeitig ändern.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Fehlerbild
sichtbares Symptom eines Problems
Ursache
eigentlicher technischer Grund
Symptom
beobachtbare Auswirkung
Timeout
keine Antwort innerhalb der Zeit
Connection Refused
Ziel lehnt aktiv ab
APIPA
automatische 169.254.x.x-Adresse
NXDOMAIN
DNS-Name existiert nicht
HTTP 401
nicht authentifiziert
HTTP 403
nicht berechtigt
HTTP 404
nicht gefunden
HTTP 500
interner Serverfehler
HTTP 502
Bad Gateway
Rückweg
Antwortweg zurück zur Quelle
Split DNS
intern und extern unterschiedliche DNS-Antwort
Hairpin NAT
interner Zugriff über öffentliche Adresse
Rogue DHCP
unerwünschter DHCP-Server
Dienstkonto
Konto für Anwendung oder Dienst
Workaround
vorübergehende Umgehung
Root Cause
eigentliche Ursache
IHK-sichere Kurzformulierung
Typische Netzwerkfehler müssen anhand ihres Fehlerbildes systematisch eingeordnet werden. Ein Symptom wie „Webseite öffnet nicht“ kann Ursachen auf verschiedenen OSI-Schichten haben, zum Beispiel DNS, Routing, Firewall, Port, TLS, Anwendung oder Berechtigung. Eine Adresse aus dem Bereich 169.254.0.0/16 deutet häufig auf ein DHCP-Problem hin. Ein erfolgreicher Ping beweist nicht, dass ein Dienst funktioniert, und ein offener Port beweist nicht, dass die Anwendung korrekt arbeitet. Timeout, Connection Refused, HTTP-Statuscodes, Zertifikatswarnungen und Zugriff-verweigert-Meldungen geben Hinweise auf die Fehlerursache, müssen aber durch Tests, Logs und Konfigurationsprüfung bestätigt werden.
Merksätze
Fehlerbild ist Symptom,
nicht Ursache.
Gute Fehlerbeschreibung spart Zeit.
Kein Link:
Schicht 1 prüfen.
169.254.x.x:
DHCP prüfen.
Gateway nicht erreichbar:
Schicht 2 und 3 prüfen.
IP geht,
Name nicht:
DNS prüfen.
Ping geht,
Dienst nicht:
Port,
Firewall
und Dienst prüfen.
Port offen,
Anwendung kaputt:
Schicht 7 prüfen.
Timeout:
keine passende Antwort.
Connection Refused:
Ziel lehnt aktiv ab.
Zugriff verweigert:
Autorisierung prüfen.
Login fehlgeschlagen:
Authentifizierung prüfen.
Zertifikatsfehler:
Name,
Zeit,
CA
und DNS prüfen.
404:
Pfad oder Ressource fehlt.
500:
Anwendung oder Serverproblem.
502:
Proxy erreicht Backend nicht sauber.
503:
Dienst nicht verfügbar.
504:
Gateway wartet zu lange.
Mailfehler:
DNS,
SMTP
und Logs prüfen.
SMB-Fehler:
TCP 445,
Anmeldung
und Rechte prüfen.
VPN verbunden heißt nicht:
Zugriff erlaubt.
Langsam ist nicht gleich nicht erreichbar.
Kleine Daten gehen,
große nicht:
MTU prüfen.
Ein Benutzer:
Konto und Rechte prüfen.
Ein Client:
lokale Konfiguration prüfen.
Alle Benutzer:
zentrale Infrastruktur prüfen.
Letzte Änderung zuerst prüfen.
12.6 Logauswertung, Monitoring und Dokumentation bei Netzwerkfehlern
Logs und Monitoring sind wichtige Hilfsmittel bei der Fehlersuche.
Ein Paketmitschnitt zeigt,
welche Pakete übertragen werden.
Logs zeigen,
was Systeme,
Dienste,
Firewalls
und Anwendungen entschieden oder gemeldet haben.
Monitoring zeigt,
ob Systeme und Dienste dauerhaft verfügbar und leistungsfähig sind.
Merksatz:
Mitschnitt zeigt Verkehr.
Logs zeigen Ereignisse.
Monitoring zeigt Zustand über Zeit.
Warum Logs wichtig sind
Viele Fehler sind ohne Logs schwer zu verstehen.
Beispiele:
Benutzer kann sich nicht anmelden.
Firewall blockiert Verbindung.
Webserver liefert HTTP 500.
Datenbank lehnt Verbindung ab.
Zertifikat wird abgelehnt.
VPN-Verbindung wird getrennt.
DHCP vergibt keine Adresse.
DNS liefert falsche Antwort.
Ohne Logs sieht man oft nur das Symptom.
Merksatz:
Logs liefern Hinweise auf die Ursache.
Was ist ein Log?
Ein Log ist ein Ereignisprotokoll.
Darin steht,
was ein System oder Dienst festgestellt hat.
Typische Angaben:
- Zeitpunkt
- Quelle
- Ziel
- Benutzer
- Dienst
- Aktion
- Fehlercode
- Meldung
- Schweregrad
- betroffene Komponente
Merksatz:
Ein Log ist ein technisches Ereignistagebuch.
Typische Logquellen
Wichtige Logquellen in Netzwerken:
- Firewall-Logs
- Router-Logs
- Switch-Logs
- DNS-Logs
- DHCP-Logs
- VPN-Logs
- Webserver-Logs
- Reverse-Proxy-Logs
- Authentifizierungslogs
- Mailserver-Logs
- Datenbank-Logs
- Betriebssystem-Logs
- Anwendungslogs
- Cloud-Logs
- Monitoring-Alarme
Merksatz:
Die richtige Logquelle hängt vom Fehlerbild ab.
Firewall-Logs
Firewall-Logs zeigen,
ob Verkehr erlaubt oder blockiert wurde.
Wichtige Informationen:
- Quelle
- Ziel
- Quellport
- Zielport
- Protokoll
- Aktion
- Regelname
- Interface
- Zone
- NAT-Übersetzung
- Zeit
Beispiele für Aktionen:
allow
deny
drop
reject
Merksatz:
Firewall-Logs zeigen,
welche Regel wirklich gegriffen hat.
Firewall-Log richtig lesen
Bei Firewall-Logs prüft man:
Kommt der Verkehr an der Firewall an?
Welche Quelle sieht die Firewall?
Welches Ziel sieht die Firewall?
Welcher Port wird genutzt?
TCP oder UDP?
Wird erlaubt oder blockiert?
Welche Regel trifft?
Ist NAT sichtbar?
Gibt es Rückverkehr?
Merksatz:
Nicht die gedachte Regel zählt,
sondern die tatsächlich getroffene Regel.
Keine Firewall-Logs sichtbar
Wenn kein passender Logeintrag sichtbar ist,
kann das bedeuten:
Verkehr kommt gar nicht bei der Firewall an.
falsche Firewall wird geprüft.
falsches Interface wird geprüft.
Logging ist deaktiviert.
DNS zeigt auf ein anderes Ziel.
Route geht anderen Weg.
Client sendet keine Anfrage.
vorgeschaltetes Gerät blockiert.
Zeitfilter ist falsch gesetzt.
Merksatz:
Kein Log heißt nicht automatisch:
Firewall ist unschuldig.
Router-Logs
Router-Logs helfen bei:
Routingproblemen
Verbindungsabbrüchen
WAN-Störungen
VPN-Tunneln
Interface-Fehlern
Nachbarschaftsproblemen
Routing-Protokollen
Typische Hinweise:
Interface up/down
Route geändert
Tunnel down
Paket verworfen
Gateway nicht erreichbar
Merksatz:
Router-Logs zeigen Wege und Verbindungszustände.
Switch-Logs
Switch-Logs sind wichtig für Schicht 2.
Sie zeigen zum Beispiel:
Port up/down
VLAN-Fehler
STP-Änderungen
Loop-Erkennung
Port-Security-Verletzungen
Duplex- oder Speed-Probleme
MAC-Flapping
PoE-Probleme
Trunk-Probleme
Merksatz:
Switch-Logs helfen bei lokalen Netz- und VLAN-Problemen.
MAC-Flapping
MAC-Flapping bedeutet:
dieselbe MAC-Adresse erscheint schnell wechselnd an verschiedenen Switchports.
Mögliche Ursachen:
- Netzwerkschleife
- falsch angeschlossener Switch
- falsche Link Aggregation
- virtuelle Umgebung
- fehlerhafte Redundanz
- Loop über Patchkabel
Merksatz:
MAC-Flapping ist ein Warnzeichen für Schicht-2-Probleme.
STP-Logs
STP steht für:
Spanning Tree Protocol
STP verhindert Schleifen in Layer-2-Netzen.
STP-Logs zeigen zum Beispiel:
Topology Change
Port Blocking
Port Forwarding
Root Bridge Wechsel
Loop erkannt
Merksatz:
STP-Logs sind wichtig bei Schleifen und Broadcast-Stürmen.
DNS-Logs
DNS-Logs zeigen Namensauflösungen.
Wichtige Fragen:
Welcher Client fragt?
Welcher Name wird gefragt?
Welche Antwort wird geliefert?
Gibt es NXDOMAIN?
Gibt es SERVFAIL?
Wird intern oder extern gefragt?
Gibt es ungewöhnlich viele Anfragen?
Merksatz:
DNS-Logs zeigen,
welche Namen tatsächlich aufgelöst werden.
DHCP-Logs
DHCP-Logs zeigen,
wie IP-Adressen vergeben werden.
Wichtige Informationen:
- Client-MAC-Adresse
- angebotene IP-Adresse
- vergebene IP-Adresse
- Lease-Zeit
- Scope
- DHCP-Optionen
- Konflikte
- Fehlermeldungen
Typische Fehler:
Scope voll
falscher Scope
DHCP-Relay fehlt
Lease-Konflikt
unbekannter Client
Merksatz:
DHCP-Logs erklären,
warum ein Client welche IP bekommt oder nicht bekommt.
VPN-Logs
VPN-Logs zeigen,
ob ein Tunnel aufgebaut wird
und warum er scheitert.
Wichtige Hinweise:
Benutzername
Client-IP
VPN-IP
Authentifizierung erfolgreich oder fehlgeschlagen
Zertifikatsfehler
MFA-Fehler
Gruppenrichtlinie
zugewiesene Routen
Tunnel aufgebaut oder getrennt
Fehlercode
Merksatz:
VPN verbunden heißt nicht automatisch:
Zugriff auf interne Systeme erlaubt.
Webserver-Logs
Webserver-Logs zeigen HTTP-Anfragen und Antworten.
Typische Angaben:
- Client-IP
- Zeitpunkt
- Methode
- Pfad
- Statuscode
- User-Agent
- Antwortgröße
- Bearbeitungszeit
Beispiele:
GET /index.html 200
POST /login 401
GET /admin 403
GET /missing 404
GET /app 500
Merksatz:
Webserver-Logs zeigen,
was die Anwendung oder der Webserver geantwortet hat.
Reverse-Proxy-Logs
Reverse-Proxy-Logs sind besonders wichtig bei veröffentlichten Webdiensten.
Sie zeigen:
- externer Client
- Hostname
- Pfad
- Backend-Ziel
- HTTP-Status
- TLS-Informationen
- Weiterleitungsfehler
- Timeout
- 502 oder 504
- ausgewähltes Backend
Merksatz:
Reverse-Proxy-Logs zeigen den Übergang vom Client zum Backend.
Authentifizierungslogs
Authentifizierungslogs zeigen,
ob eine Anmeldung erfolgreich war oder nicht.
Typische Hinweise:
- Benutzername
- Quelle
- Zeitpunkt
- Erfolg oder Fehler
- falsches Passwort
- Konto gesperrt
- MFA erforderlich
- Token ungültig
- Gruppenmitgliedschaft
- Kerberos- oder LDAP-Fehler
Merksatz:
Authentifizierungslogs beantworten:
Wer wollte sich anmelden,
und warum ging es nicht?
Autorisierungsfehler in Logs
Autorisierung bedeutet:
Ein Benutzer ist bekannt,
hat aber nicht die nötigen Rechte.
Typische Hinweise:
Access denied
Forbidden
Permission denied
Insufficient privileges
Missing role
Group required
Scope missing
Merksatz:
Authentifizierung prüft Identität.
Autorisierung prüft Rechte.
Mailserver-Logs
Mailserver-Logs helfen bei E-Mail-Problemen.
Sie zeigen:
- eingehende Verbindung
- ausgehende Verbindung
- Absender
- Empfänger
- SMTP-Statuscode
- Spamfilter-Entscheidung
- TLS-Fehler
- Zustellversuch
- Bounce
- Queue-Status
Merksatz:
Mailserver-Logs zeigen,
wo eine E-Mail hängen bleibt oder abgelehnt wird.
Datenbank-Logs
Datenbank-Logs helfen bei Anwendungsfehlern.
Typische Hinweise:
- Verbindung fehlgeschlagen
- Benutzer nicht berechtigt
- Passwort falsch
- Datenbank nicht erreichbar
- SQL-Fehler
- langsame Abfragen
- Locking-Probleme
- Speicher- oder Verbindungsgrenze erreicht
Merksatz:
HTTP 500 kann seine Ursache in der Datenbank haben.
Betriebssystem-Logs
Betriebssystem-Logs zeigen Systemereignisse.
Beispiele:
Dienst gestartet
Dienst gestoppt
Dienst abgestürzt
Speicher voll
Festplatte voll
Netzwerkinterface down
Treiberfehler
Berechtigungsfehler
Zeitproblem
Zertifikatproblem
Merksatz:
Systemlogs zeigen,
ob das Betriebssystem selbst Probleme meldet.
Anwendungslogs
Anwendungslogs sind oft die wichtigste Quelle bei Schicht-7-Problemen.
Sie zeigen zum Beispiel:
Konfigurationsfehler
fehlende Datei
Datenbankfehler
API-Fehler
Berechtigungsfehler
ungültiges Datenformat
ungültige Session
Fehler beim Start
Stacktrace
Timeout zu Backend
Merksatz:
Wenn Netzwerk steht,
aber Anwendung fehlschlägt,
Anwendungslogs prüfen.
Cloud-Logs
In Cloud-Umgebungen gibt es zusätzliche Logquellen.
Beispiele:
- Security Groups
- Network Security Groups
- Load Balancer Logs
- Cloud Firewall Logs
- IAM Logs
- Audit Logs
- DNS Logs
- API Gateway Logs
- Container Logs
- Kubernetes Events
Merksatz:
In Cloud-Umgebungen liegen Netzwerkentscheidungen oft in mehreren Diensten.
Container-Logs
Container-Logs zeigen Ausgaben der Anwendung im Container.
Typische Hinweise:
Dienst startet nicht.
Port ist belegt.
Datenbank nicht erreichbar.
Umgebungsvariable fehlt.
Berechtigung fehlt.
Volume fehlt.
DNS-Name im Docker-Netz falsch.
Backend nicht erreichbar.
Zertifikat fehlt.
Merksatz:
Container-Logs zeigen,
was die Anwendung im Container meldet.
Zeitstempel in Logs
Zeitstempel sind entscheidend.
Man muss prüfen:
Stimmen Uhrzeiten der Systeme?
Welche Zeitzone wird verwendet?
Ist NTP korrekt?
Passt der Fehlerzeitpunkt?
Sind Logs in UTC oder lokaler Zeit?
Sind Client,
Server
und Firewall zeitlich vergleichbar?
Merksatz:
Ohne korrekte Zeit sind Logs schwer vergleichbar.
NTP und Logs
NTP sorgt für korrekte Zeitsynchronisation.
Falsche Uhrzeiten verursachen Probleme bei:
Logvergleich
Zertifikaten
Kerberos
MFA
Tokens
Monitoring
Vorfallanalyse
Merksatz:
Korrekte Zeit ist Grundlage für sinnvolle Logauswertung.
Schweregrade in Logs
Logs haben oft Schweregrade.
Typische Stufen:
Stufe
Bedeutung
Debug
sehr detaillierte Diagnoseinformationen
Info
normale Information
Warning
Warnung, mögliches Problem
Error
Fehler
Critical
schwerer Fehler
Alert
sofortige Aufmerksamkeit nötig
Emergency
System praktisch nicht mehr nutzbar
Merksatz:
Nicht jede Warnung ist die Ursache,
aber jede Warnung ist ein Hinweis.
Debug-Logs
Debug-Logs sind sehr detailliert.
Vorteil:
liefern viele Informationen
Nachteil:
erzeugen große Datenmengen
können sensible Informationen enthalten
können Leistung beeinflussen
sind schwerer zu lesen
Debug sollte oft nur gezielt und zeitlich begrenzt aktiviert werden.
Merksatz:
Debug nur gezielt und vorübergehend nutzen.
Logrotation
Logrotation bedeutet:
alte Logdateien werden archiviert,
komprimiert
oder gelöscht,
damit Speicherplatz nicht voll läuft.
Wichtig:
Logs dürfen nicht unkontrolliert wachsen.
Problem:
Wenn Speicher voll läuft,
können Dienste ausfallen.
Merksatz:
Logrotation schützt vor volllaufenden Systemen.
Logaufbewahrung
Logaufbewahrung beschreibt,
wie lange Logs gespeichert werden.
Dabei spielen eine Rolle:
- gesetzliche Vorgaben
- Datenschutz
- Sicherheitsanforderungen
- Speicherplatz
- Vorfallanalyse
- Unternehmensrichtlinien
Merksatz:
Logs so lange wie nötig,
aber nicht unnötig lange speichern.
Datenschutz bei Logs
Logs können personenbezogene oder sensible Daten enthalten.
Beispiele:
Benutzername
IP-Adresse
E-Mail-Adresse
Standort
Login-Zeit
Gerät
Fehlerdetails
Tokens
Session-Informationen
Deshalb:
Zugriff beschränken
Zweck beachten
Aufbewahrung regeln
sensible Daten vermeiden
Logs sicher speichern
Merksatz:
Logs sind oft personenbezogen und müssen geschützt werden.
Zentrale Logsammlung
In größeren Umgebungen werden Logs zentral gesammelt.
Vorteile:
- einheitliche Suche
- bessere Korrelation
- langfristige Auswertung
- Alarmierung
- Schutz vor Manipulation auf Einzelsystem
- bessere Vorfallanalyse
Beispiele für Konzepte:
Syslog
SIEM
Logserver
zentraler Monitoring-Stack
Merksatz:
Zentrale Logs erleichtern Analyse und Sicherheit.
Syslog
Syslog ist ein verbreitetes Verfahren,
um Logs von Netzwerkgeräten und Servern zentral zu sammeln.
Typische Quellen:
Router
Switches
Firewalls
Linux-Systeme
Appliances
Merksatz:
Syslog sammelt Ereignisse zentral.
SIEM
SIEM steht für:
Security Information and Event Management
Ein SIEM sammelt,
korreliert
und bewertet sicherheitsrelevante Ereignisse.
Es kann helfen bei:
Angriffserkennung
Compliance
Vorfallanalyse
Alarmierung
Korrelation von Ereignissen
ungewöhnlichem Verhalten
Merksatz:
SIEM verbindet Logs zu sicherheitsrelevanten Erkenntnissen.
Korrelation
Korrelation bedeutet:
Ereignisse aus mehreren Quellen werden zusammen betrachtet.
Beispiel:
Firewall meldet blockierte Verbindung.
Webserver meldet viele 404.
Auth-Log meldet viele Loginfehler.
IDS meldet Angriffsmuster.
Zusammen kann daraus ein Angriff erkennbar werden.
Merksatz:
Einzelne Logs sind Hinweise,
korrelierte Logs ergeben Zusammenhang.
Monitoring
Monitoring überwacht Systeme und Dienste dauerhaft.
Es beantwortet Fragen wie:
Ist der Dienst erreichbar?
Ist der Server ausgelastet?
Ist Speicherplatz knapp?
Läuft der Prozess?
Ist das Zertifikat bald abgelaufen?
Ist die Latenz erhöht?
Gibt es Paketverlust?
Ist ein Standort offline?
Merksatz:
Monitoring erkennt Probleme,
bevor Benutzer sie melden.
Monitoring-Arten
Typische Monitoring-Arten:
- Verfügbarkeitsmonitoring
- Performance-Monitoring
- Netzwerkmonitoring
- Dienstmonitoring
- Logmonitoring
- Sicherheitsmonitoring
- Zertifikatsmonitoring
- Kapazitätsmonitoring
Merksatz:
Monitoring kann Verfügbarkeit,
Leistung,
Sicherheit
und Kapazität prüfen.
Verfügbarkeitsmonitoring
Verfügbarkeitsmonitoring prüft,
ob ein System oder Dienst erreichbar ist.
Beispiele:
Ping erfolgreich?
TCP-Port offen?
HTTP-Status 200?
DNS antwortet?
VPN-Tunnel up?
Datenbank erreichbar?
Merksatz:
Verfügbarkeit bedeutet:
Dienst antwortet grundsätzlich.
Performance-Monitoring
Performance-Monitoring prüft Leistungswerte.
Beispiele:
CPU-Auslastung
RAM-Auslastung
Festplatten-I/O
Netzwerklast
Latenz
Paketverlust
Antwortzeit
Datenbankabfragezeit
Merksatz:
Performance-Monitoring zeigt,
ob ein Dienst langsam oder überlastet ist.
Netzwerkmonitoring
Netzwerkmonitoring prüft Netzwerkkomponenten.
Beispiele:
Switchports
Router
Firewalls
Access Points
VPN-Tunnel
WAN-Leitungen
Bandbreite
Interface-Fehler
Paketverlust
Latenz
Merksatz:
Netzwerkmonitoring zeigt Zustand der Infrastruktur.
Dienstmonitoring
Dienstmonitoring prüft konkrete Dienste.
Beispiele:
Webserver läuft?
Datenbank erreichbar?
DNS antwortet?
DHCP verfügbar?
Mailqueue wächst?
Reverse Proxy antwortet?
API liefert erwarteten Status?
Merksatz:
Dienstmonitoring prüft,
ob ein Dienst fachlich nutzbar ist.
Zertifikatsmonitoring
Zertifikatsmonitoring prüft TLS-Zertifikate.
Wichtige Fragen:
Wann läuft das Zertifikat ab?
Passt der Hostname?
Ist die Zertifikatskette gültig?
Wird das richtige Zertifikat ausgeliefert?
Ist die CA vertrauenswürdig?
Merksatz:
Zertifikate sollten überwacht werden,
bevor sie ablaufen.
Kapazitätsmonitoring
Kapazitätsmonitoring prüft,
ob Ressourcen knapp werden.
Beispiele:
Speicherplatz
RAM
CPU
Bandbreite
Datenbankgröße
Loggröße
Anzahl Verbindungen
DHCP-Leases
Lizenzgrenzen
Merksatz:
Kapazitätsprobleme kündigen sich oft vorher an.
Alarmierung
Monitoring ist nur hilfreich,
wenn wichtige Probleme auch gemeldet werden.
Alarmierung kann erfolgen über:
E-Mail
SMS
App
Dashboard
Ticket
Chat
Pager
Wichtig:
Nicht zu viele unnötige Alarme,
sonst werden wichtige Alarme ignoriert.
Merksatz:
Gute Alarmierung ist relevant,
verständlich
und handlungsfähig.
False Positive und False Negative
False Positive:
Alarm,
obwohl kein echtes Problem vorliegt.
False Negative:
Kein Alarm,
obwohl ein echtes Problem vorliegt.
Beides ist problematisch.
Merksatz:
Monitoring muss sinnvoll eingestellt und regelmäßig geprüft werden.
Schwellwerte
Schwellwerte legen fest,
wann ein Alarm ausgelöst wird.
Beispiele:
CPU über 90 Prozent
Speicherplatz unter 10 Prozent frei
Zertifikat läuft in 14 Tagen ab
Ping-Verlust über 5 Prozent
Antwortzeit über 2 Sekunden
HTTP-Status nicht 200
Merksatz:
Schwellwerte müssen zum Dienst passen.
Trends
Monitoring zeigt nicht nur aktuelle Werte,
sondern auch Entwicklungen.
Beispiele:
Speicherplatz wird jede Woche knapper.
Antwortzeiten steigen langsam.
Bandbreite ist montags überlastet.
Logdateien wachsen ungewöhnlich stark.
DHCP-Leases reichen bald nicht mehr.
Merksatz:
Trends helfen,
Probleme vor dem Ausfall zu erkennen.
Baseline
Eine Baseline beschreibt,
was für ein System normal ist.
Beispiel:
normale CPU-Auslastung
normale Antwortzeit
normale Anzahl Verbindungen
normale DNS-Anfragen
normale Bandbreite
Ohne Baseline weiß man schwer,
ob ein Wert auffällig ist.
Merksatz:
Baseline = normales Verhalten als Vergleichswert.
Dokumentation
Dokumentation beschreibt,
wie ein System aufgebaut ist
und wie es betrieben wird.
Wichtige Inhalte:
- Netzplan
- IP-Adressplan
- VLAN-Plan
- Firewall-Regeln
- NAT-Regeln
- DNS-Zonen
- DHCP-Scopes
- Serverrollen
- Dienste
- Zugangspfade
- Ansprechpartner
- Änderungen
- Notfallverfahren
Merksatz:
Gute Dokumentation beschleunigt Fehlersuche.
Netzplan
Ein Netzplan zeigt,
wie Netzbereiche und Geräte verbunden sind.
Er enthält zum Beispiel:
Router
Switches
Firewalls
Server
VLANs
Standorte
VPNs
DMZ
Internetanschluss
IP-Netze
Merksatz:
Netzplan zeigt,
wie das Netzwerk aufgebaut ist.
IP-Adressplan
Ein IP-Adressplan zeigt,
welche Netze und Adressen verwendet werden.
Beispiele:
192.168.10.0/24 Clients
192.168.20.0/24 Server
192.168.30.0/24 DMZ
192.168.40.0/24 Management
192.168.50.0/24 Gäste
Merksatz:
IP-Adressplan verhindert Verwechslungen und Doppelvergaben.
VLAN-Dokumentation
Eine VLAN-Dokumentation enthält:
VLAN-ID
Name
Subnetz
Gateway
DHCP-Scope
Zweck
zugehörige Switchports
Trunks
Firewall-Zone
Merksatz:
VLANs ohne Dokumentation führen schnell zu Fehlkonfigurationen.
Firewall- und NAT-Dokumentation
Dokumentiert werden sollten:
Quelle
Ziel
Dienst
Port
Protokoll
Richtung
Zone
NAT-Ziel
Zweck
Verantwortlicher
Ticket
Ablaufdatum bei temporären Regeln
Merksatz:
Firewall-Regeln ohne Zweck sind später schwer bewertbar.
DNS-Dokumentation
DNS-Dokumentation enthält:
Zonen
A-Records
AAAA-Records
CNAMEs
MX-Records
TXT-Records
interne und externe Namen
Split-DNS-Regeln
TTL
zuständige Systeme
Merksatz:
DNS-Dokumentation verhindert falsche Zielauflösungen.
DHCP-Dokumentation
DHCP-Dokumentation enthält:
Scope
Adressbereich
Ausschlüsse
Reservierungen
Lease-Zeit
Gateway-Option
DNS-Option
Relay-Adresse
VLAN-Zuordnung
Merksatz:
DHCP-Dokumentation erklärt,
warum Clients welche Konfiguration bekommen.
Änderungsdokumentation
Änderungen sollten nachvollziehbar sein.
Wichtige Angaben:
Was wurde geändert?
Warum wurde es geändert?
Wann wurde es geändert?
Wer hat es geändert?
Welche Systeme sind betroffen?
Wie wurde getestet?
Gibt es Rollback?
Gibt es ein Ticket?
Merksatz:
Ohne Änderungsdokumentation ist Fehlersuche nach Änderungen schwer.
Incident-Dokumentation
Bei Störungen sollte dokumentiert werden:
Startzeit
Endezeit
betroffene Systeme
betroffene Benutzer
Fehlerbild
Ursache
Maßnahmen
Lösung
Workaround
Kommunikation
Nacharbeiten
Merksatz:
Incident-Dokumentation hilft,
aus Fehlern zu lernen.
Root Cause Analysis
Root Cause Analysis bedeutet:
die eigentliche Ursache eines Problems finden.
Nicht nur:
Dienst neu starten
Sondern fragen:
Warum ist der Dienst abgestürzt?
Warum war Speicher voll?
Warum gab es keinen Alarm?
Warum wurde die Logrotation nicht eingerichtet?
Merksatz:
Root Cause Analysis sucht die Ursache hinter dem Symptom.
Post-Mortem
Ein Post-Mortem ist eine Nachbesprechung nach einer Störung.
Ziele:
Ursache verstehen
Ablauf rekonstruieren
Verbesserungen finden
Schuldzuweisungen vermeiden
Maßnahmen ableiten
Wiederholung verhindern
Merksatz:
Post-Mortem soll Systeme verbessern,
nicht Personen beschuldigen.
Lessons Learned
Lessons Learned sind Erkenntnisse aus einer Störung.
Beispiele:
Monitoring muss erweitert werden.
Zertifikate müssen überwacht werden.
Firewall-Regeln müssen dokumentiert werden.
Backups müssen getestet werden.
Change-Prozess muss angepasst werden.
Runbook muss erstellt werden.
Merksatz:
Lessons Learned machen aus Störungen Verbesserungen.
Runbook
Ein Runbook ist eine Schritt-für-Schritt-Anleitung für wiederkehrende Aufgaben oder Störungen.
Beispiele:
Webdienst neu starten
Zertifikat erneuern
VPN-Tunnel prüfen
DHCP-Scope erweitern
Firewall-Regel prüfen
Backup wiederherstellen
Merksatz:
Runbooks machen wiederkehrende Arbeiten sicherer und schneller.
Checkliste für Logauswertung
1. Fehlerzeitpunkt bestimmen.
2. Betroffene Systeme bestimmen.
3. Passende Logquelle auswählen.
4. Zeitfilter setzen.
5. Fehlermeldungen suchen.
6. Schweregrad beachten.
7. Ereignisse vor und nach dem Fehler prüfen.
8. Logs mehrerer Systeme vergleichen.
9. Zeitabweichungen beachten.
10. Ergebnis dokumentieren.
Merksatz:
Logs immer zeitlich und fachlich einordnen.
Checkliste für Monitoring
1. Wird der Dienst überwacht?
2. Wird der richtige Port geprüft?
3. Wird die Anwendung geprüft oder nur Ping?
4. Gibt es sinnvolle Schwellwerte?
5. Gibt es Alarmierung?
6. Werden Zertifikate überwacht?
7. Werden Ressourcen überwacht?
8. Werden Trends betrachtet?
9. Gibt es zu viele Fehlalarme?
10. Werden Alarme bearbeitet?
Merksatz:
Monitoring muss den Dienst wirklich abbilden.
Checkliste für Dokumentation
1. Netzplan aktuell?
2. IP-Adressplan aktuell?
3. VLANs dokumentiert?
4. Firewall-Regeln dokumentiert?
5. NAT-Regeln dokumentiert?
6. DNS-Einträge dokumentiert?
7. DHCP-Scopes dokumentiert?
8. Verantwortliche bekannt?
9. Änderungen dokumentiert?
10. Notfallverfahren vorhanden?
Merksatz:
Dokumentation ist ein Werkzeug,
nicht nur Verwaltung.
Typische Fehler bei Logs und Monitoring
Häufige Fehler:
Logs werden nicht aktiviert.
Logs werden zu kurz gespeichert.
Logs laufen voll.
Zeitstempel stimmen nicht.
falsche Zeitzone wird übersehen.
Monitoring prüft nur Ping.
Zertifikate werden nicht überwacht.
Alarme gehen an niemanden.
zu viele Fehlalarme entstehen.
Dokumentation ist veraltet.
Änderungen werden nicht dokumentiert.
Root Cause wird nicht gesucht.
Merksatz:
Logs und Monitoring müssen gepflegt werden.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Warum sind Logs bei der Fehlersuche wichtig?
- Welche Informationen enthält ein Firewall-Log?
- Warum ist die Uhrzeit bei Logs wichtig?
- Warum ist NTP für Logauswertung wichtig?
- Was ist Monitoring?
- Was ist der Unterschied zwischen Verfügbarkeits- und Performance-Monitoring?
- Warum reicht Ping-Monitoring nicht immer aus?
- Was ist ein Schwellwert?
- Was ist eine Baseline?
- Warum müssen Zertifikate überwacht werden?
- Was gehört in eine Netzwer dokumentation?
- Warum ist Änderungsdokumentation wichtig?
- Was ist eine Root Cause Analysis?
- Was ist ein Runbook?
- Warum können Logs personenbezogene Daten enthalten?
Typische Prüfungsfallen
Logs zeigen Ereignisse,
nicht automatisch die Ursache.
Monitoring zeigt Zustand über Zeit.
Ping-Monitoring reicht nicht für Anwendungserfolg.
Firewall-Logs zeigen getroffene Regeln.
Kein Log kann auch falschen Weg bedeuten.
Zeitstempel müssen vergleichbar sein.
NTP ist wichtig für Logs,
Zertifikate
und Authentifizierung.
Debug-Logs nur gezielt aktivieren.
Logs können sensible Daten enthalten.
Logrotation verhindert volle Datenträger.
Zentrale Logsammlung erleichtert Analyse.
SIEM korreliert sicherheitsrelevante Ereignisse.
Monitoring braucht sinnvolle Schwellwerte.
Zu viele Fehlalarme führen zu Alarmmüdigkeit.
Baseline zeigt normales Verhalten.
Dokumentation muss aktuell sein.
Änderung ohne Dokumentation erschwert Fehlersuche.
Root Cause ist wichtiger als nur Neustart.
Runbooks helfen bei wiederkehrenden Aufgaben.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Log
Ereignisprotokoll
Logquelle
System oder Dienst, der Logs erzeugt
Firewall-Log
Protokoll von erlaubtem oder blockiertem Verkehr
Systemlog
Betriebssystemereignisse
Anwendungslog
Meldungen einer Anwendung
Debug-Log
sehr detaillierte Diagnoseausgabe
Logrotation
Archivieren oder Löschen alter Logs
Logaufbewahrung
Zeitraum der Speicherung
Syslog
Verfahren zur zentralen Logsammlung
SIEM
System zur Sicherheitsauswertung von Logs
Korrelation
Zusammenführen mehrerer Ereignisse
Monitoring
dauerhafte Überwachung
Schwellwert
Grenze für Alarmierung
False Positive
Fehlalarm
False Negative
fehlender Alarm trotz Problem
Baseline
normales Verhalten als Vergleich
Netzplan
grafische Netzdokumentation
IP-Adressplan
Übersicht verwendeter Netze und Adressen
Änderungsdokumentation
Nachweis von Änderungen
Incident
Störung oder Sicherheitsvorfall
Root Cause Analysis
Suche nach eigentlicher Ursache
Post-Mortem
Nachbesprechung nach Störung
Lessons Learned
Erkenntnisse zur Verbesserung
Runbook
Schritt-für-Schritt-Anleitung
IHK-sichere Kurzformulierung
Logs, Monitoring und Dokumentation sind zentrale Bestandteile der Netzwerkfehlersuche. Logs zeigen Ereignisse und Entscheidungen von Systemen, Diensten, Firewalls, Anwendungen und Betriebssystemen. Monitoring überwacht Verfügbarkeit, Leistung, Kapazität und Sicherheit über einen längeren Zeitraum und kann Probleme frühzeitig melden. Wichtig sind korrekte Zeitstempel, NTP, sinnvolle Schwellwerte, Logrotation, Datenschutz und zentrale Logsammlung. Dokumentation wie Netzplan, IP-Adressplan, VLAN-Plan, Firewall-Regeln, NAT-Regeln, DNS-Einträge und DHCP-Scopes hilft, Fehler schneller einzugrenzen. Nach Störungen sollten Ursache, Maßnahmen und Verbesserungen dokumentiert werden.
Merksätze
Mitschnitt zeigt Verkehr.
Logs zeigen Ereignisse.
Monitoring zeigt Zustand über Zeit.
Dokumentation zeigt Aufbau und Änderungen.
Firewall-Logs zeigen getroffene Regeln.
DNS-Logs zeigen Namensauflösung.
DHCP-Logs zeigen Adressvergabe.
VPN-Logs zeigen Tunnel und Anmeldung.
Webserver-Logs zeigen HTTP-Antworten.
Reverse-Proxy-Logs zeigen Backend-Probleme.
Authentifizierungslogs zeigen Loginprobleme.
Anwendungslogs zeigen Schicht-7-Fehler.
Zeitstempel müssen stimmen.
NTP ist wichtig für Logvergleich.
Debug nur gezielt aktivieren.
Logs können sensible Daten enthalten.
Logrotation verhindert volle Datenträger.
Zentrale Logs erleichtern Analyse.
SIEM korreliert Sicherheitsereignisse.
Monitoring erkennt Probleme früh.
Ping-Monitoring reicht oft nicht.
Schwellwerte müssen sinnvoll sein.
Baseline zeigt normales Verhalten.
Zertifikate überwachen.
Netzplan aktuell halten.
IP-Adressplan aktuell halten.
Firewall- und NAT-Regeln dokumentieren.
Änderungen dokumentieren.
Root Cause suchen,
nicht nur Symptom beheben.
Runbooks helfen bei wiederkehrender Fehlersuche.
12.7 Merksätze und Prüfungswissen zu Sniffing, Analyse und Fehlersuche
Diese Seite fasst die wichtigsten Inhalte zu Sniffing,
Paketmitschnitt,
Wireshark,
tcpdump,
systematischer Fehlersuche,
Logs,
Monitoring
und Dokumentation zusammen.
Diese Themen sind besonders wichtig,
weil sie in der Praxis und in Prüfungsaufgaben häufig miteinander verbunden werden.
Merksatz:
Netzwerkanalyse bedeutet:
messen,
prüfen,
vergleichen
und fachlich einordnen.
Grundidee der Netzwerkanalyse
Netzwerkanalyse soll klären,
was wirklich passiert.
Dabei nutzt man:
- Fehlerbeschreibung
- OSI-Modell
- Paketmitschnitt
- Logs
- Monitoring
- Konfigurationsprüfung
- Vergleich mit funktionierenden Systemen
Ziel ist nicht,
blind etwas zu ändern.
Ziel ist:
Ursache finden
Ursache nachweisen
Ursache beheben
Ergebnis dokumentieren
Merksatz:
Nicht raten,
sondern prüfen.
Sniffing
Sniffing bedeutet:
Netzwerkverkehr mitschneiden und analysieren.
Dabei werden Pakete sichtbar gemacht.
Man erkennt zum Beispiel:
- Quell- und Ziel-MAC
- Quell- und Ziel-IP
- Protokoll
- Port
- DNS-Anfragen
- TCP-Handshake
- TLS-Handshake
- DHCP-Ablauf
- ICMP-Meldungen
- Wiederholungen
- Resets
- Timeouts
Merksatz:
Sniffing zeigt den tatsächlichen Netzwerkverkehr.
Paketmitschnitt
Ein Paketmitschnitt ist eine Aufzeichnung von Netzwerkpaketen.
Er hilft bei Fragen wie:
Kommt das Paket an?
Antwortet das Ziel?
Wird DNS richtig gefragt?
Findet ein TCP-Handshake statt?
Gibt es Retransmissions?
Gibt es Resets?
Gibt es TLS-Fehler?
Gibt es ICMP-Fehler?
Kommt DHCP-DORA zustande?
Merksatz:
Paketmitschnitt ersetzt Vermutungen durch Messdaten.
PCAP-Datei
Paketmitschnitte werden häufig als PCAP oder PCAPNG gespeichert.
Vorteile:
- spätere Analyse möglich
- Analyse mit Wireshark möglich
- Weitergabe an Fachabteilung möglich
- Beweissicherung bei Störungen
- Vergleich mit Logs möglich
Achtung:
PCAP-Dateien können sensible Daten enthalten.
Merksatz:
PCAP-Dateien wie vertrauliche Daten behandeln.
Datenschutz bei Paketmitschnitten
Paketmitschnitte können enthalten:
- IP-Adressen
- MAC-Adressen
- Hostnamen
- Benutzernamen
- Cookies
- Tokens
- unverschlüsselte Passwörter
- E-Mail-Inhalte
- personenbezogene Daten
- interne Strukturen
Deshalb:
nur mit berechtigtem Zweck
nur so lange wie nötig
nur relevanten Verkehr
sicher speichern
Zugriff begrenzen
nach Zweck löschen
Merksatz:
Sniffing ist technisch nützlich,
aber datenschutzrelevant.
Wireshark
Wireshark ist ein grafisches Werkzeug zur Paketanalyse.
Es zeigt:
- Paketliste
- Paketdetails
- Paketbytes
- Protokolle
- Filtermöglichkeiten
- Conversations
- Endpoints
- Expert Information
Wireshark eignet sich besonders gut,
um Protokollabläufe sichtbar zu machen.
Merksatz:
Wireshark macht Netzwerkverkehr lesbar.
tcpdump
tcpdump ist ein Kommandozeilenwerkzeug für Paketmitschnitte.
Typische Nutzung:
auf Servern
auf Firewalls
auf Routern
per SSH
in minimalen Linux-Umgebungen
tcpdump kann Mitschnitte live anzeigen
oder als PCAP-Datei speichern.
Merksatz:
tcpdump ist Paketmitschnitt auf der Kommandozeile.
tshark
tshark ist die Kommandozeilenversion von Wireshark.
Es eignet sich für:
- PCAP-Auswertung ohne GUI
- automatisierte Analyse
- Protokollauswertung
- Filterung
- Ausgabe bestimmter Felder
Merksatz:
tshark bringt Wireshark-Funktionen auf die Kommandozeile.
Capture Filter und Display Filter
Capture Filter:
bestimmen,
was überhaupt aufgezeichnet wird.
Display Filter:
bestimmen,
was nachträglich angezeigt wird.
Filterart
Zeitpunkt
Wirkung
Capture Filter
vor oder während Aufnahme
begrenzt Aufzeichnung
Display Filter
nach Aufnahme
begrenzt Anzeige
Merksatz:
Capture Filter spart Daten.
Display Filter hilft bei Analyse.
Wichtige Wireshark-Filter
Fragestellung
Filteridee
bestimmte IP
ip.addr == 192.168.10.20
Quell-IP
ip.src == 192.168.10.20
Ziel-IP
ip.dst == 192.168.10.20
TCP-Port
tcp.port == 443
UDP-Port
udp.port == 53
DNS
dns
ARP
arp
ICMP
icmp
HTTP
http
TLS
tls
TCP Reset
tcp.flags.reset == 1
Retransmission
tcp.analysis.retransmission
Merksatz:
Filter müssen zur Frage passen.
Wichtige tcpdump-Filter
Ziel
Beispiel
Interface mitschneiden
tcpdump -i eth0
keine Namensauflösung
tcpdump -nn -i eth0
Host filtern
tcpdump -nn -i eth0 host 192.168.10.20
Quelle filtern
tcpdump -nn -i eth0 src host 192.168.10.20
Ziel filtern
tcpdump -nn -i eth0 dst host 192.168.10.20
Port filtern
tcpdump -nn -i eth0 port 443
TCP-Port
tcpdump -nn -i eth0 tcp port 443
UDP-Port
tcpdump -nn -i eth0 udp port 53
ICMP
tcpdump -nn -i eth0 icmp
ARP
tcpdump -nn -i eth0 arp
Datei schreiben
tcpdump -nn -i eth0 -w capture.pcap
Datei lesen
tcpdump -nn -r capture.pcap
Merksatz:
tcpdump-Filter möglichst gezielt setzen.
Mitschnittort
Der Ort des Mitschnitts ist entscheidend.
Mögliche Stellen:
- Client
- Server
- Firewall
- Router
- Switch Mirror Port
- Reverse Proxy
- VPN-Gateway
- Container-Host
Je nach Ort sieht man andere Pakete.
Merksatz:
Der Mitschnittort entscheidet,
was sichtbar ist.
Port Mirroring
In geswitchten Netzwerken sieht ein Client nicht automatisch den gesamten Verkehr.
Port Mirroring kopiert Verkehr von einem oder mehreren Switchports
auf einen Analyseport.
Auch genannt:
SPAN
Merksatz:
Port Mirroring macht fremden Switch-Verkehr für Analyse sichtbar.
Promiscuous Mode
Promiscuous Mode bedeutet:
Die Netzwerkkarte nimmt auch Frames an,
die nicht direkt an ihre eigene MAC-Adresse gerichtet sind.
Wichtig:
In geswitchten Netzen reicht das allein oft nicht,
weil der Switch fremden Verkehr gar nicht an diesen Port sendet.
Merksatz:
Promiscuous Mode ersetzt kein Port Mirroring.
TCP-Handshake
TCP baut eine Verbindung mit drei Schritten auf:
SYN
SYN-ACK
ACK
Bedeutung:
SYN:
Client möchte Verbindung starten.
SYN-ACK:
Server antwortet und akzeptiert grundsätzlich.
ACK:
Client bestätigt.
Merksatz:
SYN,
SYN-ACK,
ACK
= TCP-Verbindung aufgebaut.
TCP-Fehlerbilder
Beobachtung
mögliche Bedeutung
nur SYN-Wiederholungen
keine Antwort, Firewall, Routing oder Rückweg
SYN und RST
Port geschlossen oder Verbindung aktiv abgelehnt
viele Retransmissions
Paketverlust oder fehlende Bestätigung
Zero Window
Empfänger kann keine Daten aufnehmen
SYN, SYN-ACK, kein ACK
Rückweg oder Clientproblem
Handshake klappt, Anwendung fehlerhaft
höhere Schicht prüfen
Merksatz:
TCP-Analyse beginnt beim Handshake.
UDP-Analyse
UDP hat keinen Verbindungsaufbau.
Es gibt keinen TCP-Handshake.
Bei UDP prüft man:
Anfrage gesendet?
Antwort zurück?
richtiger Port?
ICMP-Fehler?
Firewall blockiert?
Dienst antwortet?
Beispiele für UDP:
DNS
DHCP
NTP
SNMP
VoIP
Merksatz:
UDP hat keinen Handshake,
deshalb Anfrage und Antwort direkt prüfen.
DNS-Analyse
DNS ist häufig der erste Schritt vor einer Verbindung.
Prüfen:
Welcher DNS-Server wird gefragt?
Welcher Name wird gefragt?
Welche Antwort kommt zurück?
A oder AAAA?
NXDOMAIN?
falscher DNS-Server?
Split DNS?
Cache?
TTL?
Merksatz:
DNS-Probleme sieht man oft vor dem eigentlichen Verbindungsversuch.
DHCP-Analyse
Der klassische DHCP-Ablauf lautet:
Discover
Offer
Request
Acknowledge
Kurz:
DORA
Fehlerbilder:
Discover ohne Offer:
DHCP-Server oder Relay antwortet nicht.
Offer ohne Request:
Client akzeptiert Angebot nicht.
Request ohne Acknowledge:
Server bestätigt nicht.
Merksatz:
DHCP mit DORA prüfen.
ARP-Analyse
ARP löst im lokalen IPv4-Netz auf:
IPv4-Adresse zu MAC-Adresse
Typische ARP-Fehler:
viele ARP-Anfragen ohne Antwort
falsche MAC-Adresse
doppelte IP-Adresse
Gateway antwortet nicht
VLAN falsch
falsche Netzmaske
Merksatz:
ARP-Probleme sind lokale Schicht-2- oder Schicht-3-Probleme.
ICMP-Analyse
ICMP liefert Diagnose- und Fehlermeldungen.
Beispiele:
Echo Request
Echo Reply
Destination Unreachable
Time Exceeded
Fragmentation Needed
Wichtig:
ICMP ist mehr als Ping.
Merksatz:
ICMP-Meldungen können Ursachen sichtbar machen.
TLS-Analyse
Bei TLS sieht man normalerweise nicht den verschlüsselten Inhalt.
Man sieht aber häufig:
Client Hello
Server Hello
SNI
Zertifikatsinformationen
TLS-Version
Cipher-Auswahl
TLS Alert
Typische Probleme:
falscher Hostname
abgelaufenes Zertifikat
nicht vertrauenswürdige CA
inkompatible TLS-Version
unvollständige Zertifikatskette
Merksatz:
TLS schützt Inhalte,
aber der Handshake liefert Hinweise.
SNI
SNI steht für:
Server Name Indication
SNI zeigt beim TLS-Aufbau,
welchen Hostnamen der Client erreichen möchte.
Wichtig bei:
mehreren HTTPS-Diensten auf einer IP-Adresse
Merksatz:
SNI zeigt den gewünschten HTTPS-Hostnamen.
HTTP-Analyse
Bei HTTP prüft man:
Methode
Host-Header
Pfad
Statuscode
Header
Weiterleitung
Antwortzeit
Anwendungsmeldung
Wichtige Statuscodes:
Code
Bedeutung
200
OK
301 / 302
Weiterleitung
400
Bad Request
401
nicht authentifiziert
403
nicht berechtigt
404
nicht gefunden
500
interner Serverfehler
502
Bad Gateway
503
Dienst nicht verfügbar
504
Gateway Timeout
Merksatz:
HTTP-Statuscodes helfen bei Schicht-7-Fehlern.
Ping richtig einordnen
Ping prüft ICMP-Erreichbarkeit.
Ping zeigt nicht:
ob TCP 443 offen ist
ob HTTPS funktioniert
ob DNS korrekt ist
ob Anmeldung klappt
ob Berechtigung besteht
ob Anwendung gesund ist
Merksatz:
Ping ist kein vollständiger Diensttest.
Porttest richtig einordnen
Ein Porttest zeigt:
Verbindung zum Port möglich oder nicht.
Er zeigt nicht automatisch:
Anwendung funktioniert
Login funktioniert
Zertifikat passt
Berechtigung stimmt
Datenbank erreichbar
API antwortet fachlich korrekt
Merksatz:
Offener Port heißt nicht:
Anwendung funktioniert.
Wichtige Analysewerkzeuge
Werkzeug
Zweck
ping
ICMP-Erreichbarkeit
traceroute / tracert
Weg zum Ziel
nslookup
einfache DNS-Prüfung
dig
detaillierte DNS-Prüfung
curl
HTTP/HTTPS/API-Test
nc
Port- und Verbindungstest
Test-NetConnection
Windows-Porttest
ss
lokale Ports und Verbindungen
netstat
Netzwerkstatus, älter
openssl s_client
TLS- und Zertifikatsprüfung
tcpdump
Paketmitschnitt CLI
tshark
PCAP-Analyse CLI
Wireshark
grafische Paketanalyse
journalctl
Linux-Logs
Ereignisanzeige
Windows-Logs
Merksatz:
Kein Werkzeug beantwortet alles.
Systematische Fehlersuche nach OSI
Schicht
Prüfung
1
Kabel, Link, Signal, WLAN
2
MAC, VLAN, Switch, ARP
3
IP, Subnetz, Gateway, Routing
4
TCP, UDP, Ports, Firewall
5
Sitzung, Session, Timeout
6
TLS, Zertifikat, Codierung
7
Anwendung, DNS, DHCP, HTTP, Authentifizierung
Merksatz:
OSI-Modell hilft,
den Fehlerbereich einzugrenzen.
Bottom-Up
Bottom-Up bedeutet:
von Schicht 1 nach oben prüfen.
Beispiel:
Kabel
Link
VLAN
IP
Gateway
Port
Dienst
Anwendung
Merksatz:
Bottom-Up beginnt beim Fundament.
Top-Down
Top-Down bedeutet:
bei der Anwendung beginnen
und nach unten prüfen.
Beispiel:
Webseite
HTTP-Status
TLS
Port
DNS
Routing
Link
Merksatz:
Top-Down beginnt beim sichtbaren Dienst.
Divide and Conquer
Divide and Conquer bedeutet:
Man prüft eine mittlere Ebene,
um den Suchbereich zu verkleinern.
Beispiel:
Ping geht,
aber Webdienst nicht.
Dann ist grob klar:
IP-Erreichbarkeit ist wahrscheinlich vorhanden,
aber Port,
Firewall,
TLS
oder Anwendung müssen weiter geprüft werden.
Merksatz:
Divide and Conquer halbiert den Suchbereich.
Fehlerbild sauber aufnehmen
Wichtige Fragen:
Wer ist betroffen?
Was funktioniert nicht?
Was funktioniert noch?
Seit wann?
Wo tritt der Fehler auf?
Intern oder extern?
LAN oder WLAN?
VPN oder lokal?
Nur ein Benutzer oder alle?
Welche Fehlermeldung?
Was wurde zuletzt geändert?
Merksatz:
Gute Fehlerbeschreibung ist Diagnosearbeit.
Typische Fehlerbilder
Fehlerbild
erste Richtung
kein Link
Schicht 1
169.254.x.x
DHCP
Gateway nicht erreichbar
Schicht 2 / 3
IP geht, Name nicht
DNS
Ping geht, Port nicht
Schicht 4 / Firewall / Dienst
Port offen, Anwendung fehlerhaft
Schicht 7
Timeout
keine passende Antwort
Connection Refused
Dienst lehnt aktiv ab
401
Authentifizierung
403
Autorisierung
404
Pfad oder Ressource fehlt
500
Anwendung oder Server
502
Proxy zu Backend
Zertifikatswarnung
TLS, DNS, Zeit oder CA
Merksatz:
Fehlerbild gibt Richtung,
aber noch keinen Beweis.
Authentifizierung und Autorisierung
Authentifizierung bedeutet:
Wer bist du?
Beispiele:
Benutzername
Passwort
MFA
Zertifikat
Token
Autorisierung bedeutet:
Was darfst du?
Beispiele:
Rolle
Gruppe
Rechte
Freigabe
API-Scope
Merksatz:
401 ist oft Authentifizierung.
403 ist oft Autorisierung.
Timeout und Connection Refused
Timeout:
Keine Antwort kommt zurück.
Mögliche Ursachen:
Firewall droppt
Routing fehlt
Rückweg fehlt
Ziel antwortet nicht
Connection Refused:
Ziel lehnt aktiv ab.
Mögliche Ursachen:
Dienst läuft nicht
falscher Port
Dienst lauscht nicht
Host lehnt ab
Merksatz:
Timeout = keine Antwort.
Refused = aktive Ablehnung.
MTU-Probleme
MTU steht für:
Maximum Transmission Unit
Typische Hinweise:
kleine Pakete funktionieren
große Übertragungen hängen
VPN instabil
Webseiten laden teilweise
Downloads brechen ab
viele Retransmissions
Fragmentation Needed fehlt oder wird blockiert
Merksatz:
Kleine Daten gehen,
große nicht:
MTU prüfen.
Logs
Logs zeigen Ereignisse und Entscheidungen.
Wichtige Logquellen:
- Firewall-Logs
- DNS-Logs
- DHCP-Logs
- VPN-Logs
- Webserver-Logs
- Reverse-Proxy-Logs
- Authentifizierungslogs
- Systemlogs
- Anwendungslogs
- Mailserver-Logs
- Datenbank-Logs
Merksatz:
Logs zeigen,
was Systeme entschieden oder gemeldet haben.
Monitoring
Monitoring überwacht Systeme und Dienste dauerhaft.
Es prüft zum Beispiel:
Erreichbarkeit
Antwortzeiten
CPU
RAM
Speicherplatz
Bandbreite
Paketverlust
Zertifikate
Dienste
Logs
Verbindungen
Merksatz:
Monitoring erkennt Probleme über Zeit.
Dokumentation
Gute Dokumentation enthält:
- Netzplan
- IP-Adressplan
- VLAN-Plan
- Firewall-Regeln
- NAT-Regeln
- DNS-Einträge
- DHCP-Scopes
- Serverrollen
- Dienste
- Ansprechpartner
- Änderungen
- Notfallverfahren
Merksatz:
Dokumentation ist ein Werkzeug für Fehlersuche.
Root Cause Analysis
Root Cause Analysis bedeutet:
die eigentliche Ursache finden.
Nicht nur:
Dienst neu starten
Sondern:
Warum ist der Dienst abgestürzt?
Warum war Speicher voll?
Warum gab es keinen Alarm?
Warum wurde die Änderung nicht getestet?
Merksatz:
Ursache beheben,
nicht nur Symptom beseitigen.
Workaround und Lösung
Workaround:
vorübergehende Umgehung
Lösung:
eigentliche Ursache wird beseitigt
Beispiel:
Workaround:
IP-Adresse statt DNS-Namen verwenden.
Ursache:
DNS-Eintrag falsch.
Lösung:
DNS-Eintrag korrigieren.
Merksatz:
Workaround ist nicht automatisch Lösung.
Eine Änderung pro Test
Bei Fehlersuche sollte man nicht viele Dinge gleichzeitig ändern.
Besser:
eine Hypothese bilden
einen Test durchführen
Ergebnis prüfen
dokumentieren
nächste Hypothese testen
Merksatz:
Mehrere Änderungen gleichzeitig verschleiern die Ursache.
Nach Änderung zuerst Änderung prüfen
Wenn ein Fehler nach einer Änderung auftritt,
prüft man zuerst diese Änderung.
Beispiele:
Firewall-Regel geändert
DNS geändert
Zertifikat erneuert
VLAN geändert
Update installiert
Passwort geändert
Reverse Proxy angepasst
VPN geändert
Merksatz:
Die letzte Änderung ist oft der wichtigste Hinweis.
Sicherheitsbewusstsein bei Analyse
Analysewerkzeuge können sensible Informationen offenlegen.
Beispiele:
unverschlüsselte Passwörter
Tokens
Cookies
interne Hostnamen
IP-Adressbereiche
Benutzerinformationen
Fehlermeldungen
Konfigurationsdetails
Deshalb:
Zugriff beschränken
Dateien schützen
keine unnötigen Mitschnitte
Logs nicht ungeschützt teilen
Datenschutz beachten
Merksatz:
Diagnose darf keine neue Sicherheitslücke erzeugen.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was versteht man unter Sniffing?
- Wofür nutzt man Wireshark?
- Wofür nutzt man tcpdump?
- Was ist eine PCAP-Datei?
- Was ist Port Mirroring?
- Warum sieht man im Switch-Netz nicht automatisch allen Verkehr?
- Was ist der Unterschied zwischen Capture Filter und Display Filter?
- Wie erkennt man einen TCP-Handshake?
- Was bedeuten SYN, SYN-ACK und ACK?
- Was bedeutet RST?
- Was bedeutet Retransmission?
- Warum sieht man HTTPS-Inhalte nicht im Klartext?
- Was kann man bei DNS im Mitschnitt erkennen?
- Wie analysiert man DHCP?
- Warum reicht Ping nicht aus?
- Warum reicht ein Porttest nicht aus?
- Wie hilft das OSI-Modell bei der Fehlersuche?
- Was ist Bottom-Up?
- Was ist Top-Down?
- Was ist Divide and Conquer?
- Warum sind Logs wichtig?
- Warum ist Monitoring wichtig?
- Warum ist Dokumentation wichtig?
Typische Prüfungsfallen
Sniffing zeigt echten Verkehr.
Sniffing ist datenschutzrelevant.
Wireshark ist grafisch.
tcpdump ist Kommandozeile.
tshark ist Wireshark auf Kommandozeile.
PCAP-Dateien können sensible Daten enthalten.
In geswitchten Netzen sieht man nicht automatisch alles.
Port Mirroring kopiert Verkehr.
Promiscuous Mode reicht allein oft nicht.
Capture Filter begrenzen Aufnahme.
Display Filter begrenzen Anzeige.
TCP hat Handshake.
UDP hat keinen Handshake.
SYN startet TCP-Verbindung.
SYN-ACK ist Serverantwort.
ACK bestätigt.
RST lehnt ab oder beendet.
Retransmission bedeutet erneutes Senden.
DNS früh prüfen.
DHCP-DORA kennen.
ICMP ist mehr als Ping.
HTTPS-Inhalte sind verschlüsselt.
TLS-Handshake kann trotzdem Hinweise liefern.
SNI zeigt gewünschten Hostnamen.
Ping prüft nicht den Dienst.
Port offen heißt nicht Anwendung funktioniert.
Timeout und Connection Refused unterscheiden.
401 ist Authentifizierung.
403 ist Autorisierung.
OSI-Modell hilft beim Eingrenzen.
Logs und Mitschnitt ergänzen sich.
Monitoring zeigt Zustand über Zeit.
Dokumentation beschleunigt Fehlersuche.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Sniffing
Mitschneiden von Netzwerkverkehr
Paketmitschnitt
Aufzeichnung von Paketen
PCAP
Datei mit Paketmitschnitt
Wireshark
grafisches Analysewerkzeug
tcpdump
Kommandozeilenwerkzeug für Mitschnitt
tshark
Wireshark auf Kommandozeile
Port Mirroring
Verkehr auf Analyseport kopieren
Promiscuous Mode
Netzwerkkarte nimmt fremde Frames an
Capture Filter
Filter vor der Aufnahme
Display Filter
Filter nach der Aufnahme
SYN
TCP-Verbindungsstart
SYN-ACK
TCP-Antwort des Servers
ACK
Bestätigung
RST
Reset, aktive Ablehnung oder Abbruch
Retransmission
erneutes Senden
ARP
IPv4-Adresse zu MAC-Adresse
ICMP
Diagnose- und Fehlermeldungsprotokoll
DNS
Namensauflösung
DHCP-DORA
Discover, Offer, Request, Acknowledge
SNI
Hostname im TLS-Handshake
TLS Alert
TLS-Fehlermeldung
Bottom-Up
von Schicht 1 nach oben prüfen
Top-Down
von Anwendung nach unten prüfen
Divide and Conquer
Suchbereich in der Mitte eingrenzen
Timeout
keine Antwort
Connection Refused
aktive Ablehnung
Authentifizierung
Identität prüfen
Autorisierung
Rechte prüfen
Log
Ereignisprotokoll
Monitoring
dauerhafte Überwachung
Root Cause
eigentliche Ursache
Workaround
vorübergehende Umgehung
Runbook
Schritt-für-Schritt-Anleitung
IHK-sichere Gesamtformulierung
Sniffing bezeichnet das Mitschneiden und Analysieren von Netzwerkverkehr. Mit Werkzeugen wie Wireshark, tcpdump oder tshark können Pakete untersucht werden, um DNS-Anfragen, ARP, ICMP, TCP-Handshakes, UDP-Kommunikation, DHCP-DORA, TLS-Handshakes, Resets, Retransmissions und Timeouts zu erkennen. In geswitchten Netzwerken sieht ein Client nicht automatisch den gesamten Verkehr; dafür wird häufig Port Mirroring benötigt. Das OSI-Modell hilft bei der Fehlersuche, indem Fehler schichtweise eingegrenzt werden. Ping und Porttests liefern nur Teilinformationen und ersetzen keine vollständige Prüfung von DNS, Routing, Firewall, NAT, Dienst, TLS, Anwendung, Logs und Berechtigungen. Logs, Monitoring und Dokumentation ergänzen Paketmitschnitte und sind wichtig, um Ursachen nachzuweisen und dauerhaft zu beheben.
Wichtigste Merksätze
Nicht raten,
sondern messen.
Sniffing zeigt echten Verkehr.
Paketmitschnitt zeigt Pakete.
Logs zeigen Ereignisse.
Monitoring zeigt Zustand über Zeit.
Dokumentation zeigt Aufbau und Änderungen.
Wireshark ist grafisch.
tcpdump ist Kommandozeile.
tshark ist Wireshark auf Kommandozeile.
PCAP-Dateien sind sensibel.
Mitschnittort ist entscheidend.
Port Mirroring kopiert Switch-Verkehr.
Capture Filter vor Aufnahme.
Display Filter nach Aufnahme.
TCP hat Handshake.
UDP hat keinen Handshake.
SYN,
SYN-ACK,
ACK
= TCP-Verbindung aufgebaut.
RST bedeutet aktive Ablehnung oder Abbruch.
Retransmission bedeutet erneutes Senden.
DNS immer früh prüfen.
DHCP mit DORA prüfen.
ARP ist lokal wichtig.
ICMP ist mehr als Ping.
TLS schützt Inhalte.
SNI zeigt Hostnamen.
HTTP-Statuscodes helfen bei Schicht 7.
Ping reicht nicht aus.
Port offen reicht nicht aus.
Timeout ist keine Antwort.
Connection Refused ist aktive Ablehnung.
401 ist Authentifizierung.
403 ist Autorisierung.
OSI-Modell grenzt Fehler ein.
Bottom-Up beginnt unten.
Top-Down beginnt oben.
Divide and Conquer grenzt mittig ein.
Eine Änderung pro Test.
Letzte Änderung zuerst prüfen.
Workaround ist nicht automatisch Lösung.
Root Cause suchen.
Ergebnisse dokumentieren.
13. Verschlüsselung und Sicherheitsgrundlagen
Grundlagen zu Verschlüsselung, Schlüsseln, Zertifikaten, Hashwerten, Signaturen und sicheren Protokollen – mit Fokus auf Vertraulichkeit, Integrität, Authentizität und Verfügbarkeit.https://ulrich-wiki.com/uploads/images/gallery/2026-06/crop-y220-660-1920x320.png
13.0 Grundlagen der Verschlüsselung
Kurzüberblick
Verschlüsselung bedeutet, dass lesbare Daten so umgewandelt werden, dass sie ohne passenden Schlüssel nicht mehr verständlich sind.
Aus einer lesbaren Nachricht wird ein unlesbarer Geheimtext.
Beispiel:
Klartext: Hallo Bob
Geheimtext: A4$h!7k9%Lz@8mQ
Erst mit dem passenden Schlüssel kann daraus wieder der ursprüngliche Inhalt entstehen.
IHK-Merksatz:
Verschlüsselung schützt Inhalte vor unbefugtem Mitlesen.
Quelle und Einordnung
Diese Seite gehört zu:
13. Verschlüsselung und Sicherheitsgrundlagen
In unserer BookStack-Struktur steht dieses Kapitel nach:
11. Firewalls, NAT und DMZ
12. Sniffing, Analyse und Fehlersuche
und vor:
14. VPN, Intranet und Extranet
Warum?
Firewalls regeln, wer wohin kommunizieren darf.
Sniffing zeigt, dass Datenverkehr mitgelesen werden kann.
Verschlüsselung schützt den Inhalt der übertragenen oder gespeicherten Daten.
VPN nutzt Verschlüsselung, um sichere Verbindungen über unsichere Netze aufzubauen.
Warum braucht man Verschlüsselung?
Daten werden in Netzwerken oft über Wege übertragen, die man nicht vollständig kontrolliert.
Beispiele:
Internet
WLAN
öffentliche Netze
Cloud-Dienste
VPN-Verbindungen
E-Mail-Kommunikation
Webzugriffe über HTTPS
Ohne Verschlüsselung könnten Daten leichter mitgelesen oder missbraucht werden.
Typische schützenswerte Daten sind:
Passwörter
Zugangsdaten
persönliche Daten
Bankdaten
Kundendaten
Firmendaten
Backups
private Nachrichten
Kurz gesagt:
Verschlüsselung sorgt dafür, dass abgefangene Daten ohne Schlüssel nicht sinnvoll gelesen werden können.
Grundbegriffe
Begriff
Bedeutung
Klartext
ursprüngliche lesbare Nachricht
Geheimtext / Chiffrat
verschlüsselte Nachricht
Schlüssel
Wert zum Ver- oder Entschlüsseln
Verschlüsseln
Klartext wird in Geheimtext umgewandelt
Entschlüsseln
Geheimtext wird wieder in Klartext umgewandelt
Algorithmus
mathematisches Verfahren der Verschlüsselung
Alice
typische Senderin in Kryptografie-Beispielen
Bob
typischer Empfänger in Kryptografie-Beispielen
Eve
Angreiferin, Lauscherin oder Manipulatorin
Einfaches Ablaufmodell
Schritt
Erklärung
1
Alice hat eine lesbare Nachricht.
2
Alice verschlüsselt die Nachricht mit einem Schlüssel.
3
Über das Netzwerk wird nur der Geheimtext übertragen.
4
Bob entschlüsselt den Geheimtext mit dem passenden Schlüssel.
5
Bob kann die ursprüngliche Nachricht lesen.
Vereinfacht:
Klartext + Schlüssel -> Verschlüsselung -> Geheimtext
Geheimtext + passender Schlüssel -> Entschlüsselung -> Klartext
Die drei wichtigsten Sicherheitsziele
Bei Verschlüsselung und IT-Sicherheit tauchen immer wieder drei Begriffe auf:
Sicherheitsziel
Leitfrage
Beispiel
Vertraulichkeit
Können Unbefugte die Daten lesen?
Verschlüsselung, VPN, HTTPS
Integrität
Wurden die Daten verändert?
Hash, digitale Signatur
Authentizität
Ist der Absender oder die Identität echt?
Zertifikat, digitale Signatur, Login
IHK-Merksatz:
Vertraulichkeit = nur Berechtigte können lesen
Integrität = Daten wurden nicht verändert
Authentizität = Identität oder Absender ist echt
Vertraulichkeit
Vertraulichkeit bedeutet:
Nur berechtigte Personen oder Systeme können den Inhalt lesen.
Beispiele:
HTTPS schützt Webdaten.
VPN schützt Daten über unsichere Netze.
WPA2 / WPA3 schützt WLAN-Datenverkehr.
Festplattenverschlüsselung schützt gespeicherte Daten.
Merksatz:
Vertraulichkeit schützt vor Mitlesen.
Integrität
Integrität bedeutet:
Daten wurden nicht verändert.
Man möchte erkennen können, ob eine Nachricht, Datei oder Übertragung manipuliert wurde.
Beispiele:
Hashwert einer Datei prüfen
digitale Signatur prüfen
Prüfsumme vergleichen
Merksatz:
Integrität schützt nicht unbedingt vor Mitlesen, sondern erkennt Veränderungen.
Authentizität
Authentizität bedeutet:
Die Identität ist echt.
Die Leitfrage lautet:
Bist du wirklich derjenige, für den du dich ausgibst?
Beispiele:
Benutzer meldet sich mit Passwort an.
Webseite weist sich mit Zertifikat aus.
Absender signiert eine Nachricht digital.
Zwei-Faktor-Authentifizierung bestätigt zusätzlich die Identität.
Merksatz:
Authentizität prüft Echtheit.
Was Verschlüsselung leisten kann
Verschlüsselung kann helfen bei:
Ziel
Erklärung
Schutz vor Mitlesen
Geheimtext ist ohne Schlüssel nicht verständlich
Schutz gespeicherter Daten
Daten auf Datenträgern oder in der Cloud werden geschützt
sichere Übertragung
Daten können über unsichere Netze übertragen werden
Grundlage für VPN
VPNs nutzen Verschlüsselung für sichere Tunnel
Grundlage für HTTPS
Webseitenverbindungen werden geschützt
Was Verschlüsselung allein nicht automatisch leistet
Verschlüsselung ist wichtig, aber sie löst nicht jedes Sicherheitsproblem automatisch.
Problem
Warum Verschlüsselung allein nicht reicht
falscher Empfänger
Daten können an die falsche Person gesendet werden
gestohlener Schlüssel
Angreifer kann entschlüsseln
unsicheres Passwort
Schlüssel oder Zugang kann erraten werden
manipulierte Software
Daten können vor oder nach der Verschlüsselung abgegriffen werden
unsicheres Endgerät
Klartext kann direkt am Gerät gelesen werden
fehlende Authentizität
Man weiß nicht sicher, mit wem man spricht
Achtung Prüfungsfalle:
Verschlüsselung schützt den Inhalt, aber nicht automatisch vor allen Angriffen.
Wichtige Verfahren im Überblick
Verfahren
Grundidee
symmetrische Verschlüsselung
gleicher geheimer Schlüssel auf beiden Seiten
asymmetrische Verschlüsselung
öffentlicher und privater Schlüssel
hybride Verschlüsselung
asymmetrisch für Schlüsselaustausch, symmetrisch für Daten
digitale Signatur
Absender und Unverändertheit prüfen
Hashfunktion
Prüfwert zur Integritätsprüfung
Zertifikat
Identität mit öffentlichem Schlüssel verbinden
Diffie-Hellman
gemeinsames Schlüsselmaterial aushandeln
One-Time-Pad
theoretisch sicher bei perfekten Bedingungen
Steganographie
Nachricht in unauffälligen Daten verstecken
Symmetrisch, asymmetrisch und hybrid im Kurzvergleich
Merkmal
Symmetrisch
Asymmetrisch
Hybrid
Schlüsselprinzip
ein gemeinsamer geheimer Schlüssel
öffentlicher + privater Schlüssel
Kombination aus beiden
Geschwindigkeit
schnell
langsamer
praktisch schnell
Hauptvorteil
gut für große Datenmengen
löst Schlüsselübergabe
kombiniert beide Vorteile
Hauptproblem
sichere Schlüsselübergabe
höherer Rechenaufwand
komplexerer Ablauf
typischer Einsatz
Nutzdaten
Schlüssel, Signatur, Zertifikate
HTTPS, TLS, VPN
Kurzform:
Symmetrisch = schnell
Asymmetrisch = Schlüsselübergabe lösen
Hybrid = Praxislösung
Beispiel aus dem Alltag: HTTPS
Wenn du eine Webseite über HTTPS aufrufst, spielen mehrere Sicherheitsbausteine zusammen.
Vereinfacht:
Baustein
Aufgabe
Zertifikat
Browser prüft die Identität der Webseite
asymmetrische Verfahren
helfen beim sicheren Verbindungsaufbau
Sitzungsschlüssel
wird für diese Verbindung genutzt
symmetrische Verschlüsselung
schützt danach die eigentlichen Nutzdaten
Hash / Signatur
helfen bei Prüfung von Integrität und Vertrauen
Das genaue Verfahren ist technisch komplexer, aber für die Grundlagen reicht:
HTTPS nutzt mehrere Sicherheitsbausteine zusammen.
Typische Prüfungsfragen zu den Grundlagen
Was bedeutet Verschlüsselung?
Verschlüsselung bedeutet, dass lesbare Daten mit einem Schlüssel in eine unlesbare Form umgewandelt werden.
Was ist Klartext?
Klartext ist die lesbare ursprüngliche Nachricht.
Was ist Geheimtext?
Geheimtext ist die verschlüsselte Form einer Nachricht.
Was ist ein Schlüssel?
Ein Schlüssel ist ein Wert, mit dem Daten ver- oder entschlüsselt werden.
Was bedeutet Vertraulichkeit?
Nur Berechtigte können die Daten lesen.
Was bedeutet Integrität?
Daten wurden nicht verändert.
Was bedeutet Authentizität?
Identität oder Absender ist echt.
Warum ist Verschlüsselung im Netzwerk wichtig?
Weil Daten über unsichere Netze übertragen werden können und vor Mitlesen geschützt werden sollen.
Prüfungsfalle: Verschlüsselung, Hash und Signatur nicht verwechseln
Begriff
Aufgabe
Verschlüsselung
Inhalt unlesbar machen
Hash
Veränderung an Daten erkennen
digitale Signatur
Absender und Integrität prüfen
Zertifikat
Identität und öffentlichen Schlüssel verbinden
Steganographie
Existenz einer Nachricht verstecken
Merksatz:
Verschlüsselung schützt den Inhalt.
Hash prüft Daten.
Signatur prüft Absender und Daten.
Zertifikat prüft Identität.
Steganographie versteckt Nachrichten.
Zusammenfassung
Verschlüsselung ist ein Grundbaustein der Netzwerksicherheit.
Sie wandelt lesbare Daten in eine unlesbare Form um.
Nur mit dem passenden Schlüssel können die Daten wieder entschlüsselt werden.
Für die IHK sind besonders wichtig:
Vertraulichkeit
Integrität
Authentizität
symmetrische Verschlüsselung
asymmetrische Verschlüsselung
hybride Verschlüsselung
Hashfunktion
digitale Signatur
Zertifikate
Diffie-Hellman
Perfect Forward Secrecy
Brute Force
Zufallszahlen
One-Time-Pad
Steganographie
IHK-Spickzettel:
Verschlüsselung = Inhalt schützen
Vertraulichkeit = nur Berechtigte lesen
Integrität = Daten unverändert
Authentizität = Identität echt
Symmetrisch = gleicher Schlüssel
Asymmetrisch = öffentlicher + privater Schlüssel
Hybrid = asymmetrisch für Schlüssel, symmetrisch für Daten
13.1 Symmetrische Verschlüsselung
Kurzüberblick
Bei der symmetrischen Verschlüsselung verwenden Sender und Empfänger denselben geheimen Schlüssel .
Das bedeutet:
Alice hat den geheimen Schlüssel.
Bob hat denselben geheimen Schlüssel.
Eve darf diesen Schlüssel nicht besitzen.
Mit demselben Schlüssel wird verschlüsselt und entschlüsselt.
IHK-Merksatz:
Symmetrisch bedeutet: ein gemeinsamer geheimer Schlüssel auf beiden Seiten .
Grundidee
Alice möchte Bob eine geheime Nachricht schicken.
Dafür passiert Folgendes:
Schritt
Erklärung
1
Alice schreibt eine Nachricht im Klartext.
2
Alice verschlüsselt die Nachricht mit dem gemeinsamen geheimen Schlüssel.
3
Über das Netzwerk wird nur der Geheimtext übertragen.
4
Bob entschlüsselt den Geheimtext mit demselben geheimen Schlüssel.
5
Bob erhält wieder den ursprünglichen Klartext.
Einfaches Beispiel
Zustand
Beispiel
Klartext
Passwort: geheim123
gemeinsamer Schlüssel
blauer geheimer Schlüssel
Geheimtext / Chiffrat
A4$h!7k9%Lz@8mQ
entschlüsselter Klartext
Passwort: geheim123
Wichtig ist nicht der Beispieltext selbst, sondern das Prinzip:
Nur wer den gemeinsamen geheimen Schlüssel besitzt, kann die Nachricht wieder lesen.
Eigenschaften der symmetrischen Verschlüsselung
Punkt
Erklärung
Schlüsselanzahl
ein gemeinsamer geheimer Schlüssel
Schlüsselart
beide Seiten nutzen denselben Schlüssel
Geschwindigkeit
sehr schnell
Eignung
gut für große Datenmengen
Hauptproblem
sichere Übergabe des Schlüssels
Gefahr
Wenn Eve den Schlüssel bekommt, kann sie entschlüsseln
typische Beispiele
AES, ChaCha20
Sonderfall
One-Time-Pad
Warum ist symmetrische Verschlüsselung schnell?
Symmetrische Verfahren sind für große Datenmengen gut geeignet, weil sie rechnerisch deutlich effizienter sind als asymmetrische Verfahren.
Darum wird symmetrische Verschlüsselung in der Praxis häufig genutzt für:
große Dateien
Datenströme
VPN-Datenverkehr
HTTPS-Nutzdaten
WLAN-Verschlüsselung
verschlüsselte Backups
Festplattenverschlüsselung
Kurz gesagt:
Symmetrische Verschlüsselung ist die schnelle Methode für die eigentlichen Nutzdaten.
Das Hauptproblem: Schlüsselübergabe
Der größte Nachteil ist nicht die eigentliche Verschlüsselung, sondern die Frage:
Wie bekommt Bob den geheimen Schlüssel, ohne dass Eve ihn kopieren kann?
Alice und Bob brauchen denselben Schlüssel.
Dieser Schlüssel muss also irgendwie zu Bob gelangen.
Wenn Alice den Schlüssel einfach ungeschützt über das Netzwerk sendet, kann Eve ihn abfangen.
Ablauf des Schlüsselübergabe-Problems
Schritt
Was passiert?
Risiko
1
Alice erzeugt einen geheimen Schlüssel.
noch sicher
2
Bob braucht eine Kopie dieses Schlüssels.
Übergabe nötig
3
Alice sendet den Schlüssel an Bob.
Eve könnte mithören
4
Eve kopiert den Schlüssel.
Sicherheit verloren
5
Eve kann spätere Nachrichten entschlüsseln.
Game Over
Achtung Prüfungsfalle:
Die Verschlüsselung kann mathematisch stark sein.
Wenn der Schlüssel aber in falsche Hände kommt, ist die Kommunikation trotzdem unsicher.
Was passiert, wenn Eve den Schlüssel bekommt?
Wenn Eve den gemeinsamen geheimen Schlüssel besitzt, kann sie:
verschlüsselte Nachrichten entschlüsseln
mitlesen
eigene Nachrichten verschlüsseln
sich eventuell als Teilnehmer ausgeben
die Sicherheit der Verbindung zerstören
Deshalb gilt:
Der Schlüssel ist das eigentliche Geheimnis.
Vorteil und Nachteil auf einen Blick
Vorteil
Nachteil
sehr schnell
sichere Schlüsselübergabe ist schwierig
gut für große Datenmengen
beide Seiten brauchen denselben geheimen Schlüssel
technisch effizient
Schlüsselverlust macht alles unsicher
in der Praxis sehr wichtig
skaliert schlecht bei vielen Kommunikationspartnern
Warum skaliert das schlecht?
Wenn nur Alice und Bob miteinander kommunizieren, reicht ein gemeinsamer Schlüssel.
Bei vielen Personen wird es schwieriger.
Situation
Problem
Alice und Bob
ein gemeinsamer Schlüssel reicht
Alice, Bob und Carla
mehrere Schlüssel nötig
viele Benutzer
sehr viele Schlüssel zwischen den Beteiligten nötig
Unternehmen oder Internet
reine symmetrische Schlüsselverteilung wird unpraktisch
Darum nutzt man in der Praxis oft ein hybrides Verfahren :
asymmetrisch für den sicheren Schlüsselaustausch
symmetrisch für die schnelle Datenverschlüsselung
Das wird später bei 13.6 Hybride Verschlüsselung wichtig.
Typische Praxisbeispiele
Bereich
Rolle der symmetrischen Verschlüsselung
WLAN
Nutzdaten werden verschlüsselt übertragen
VPN
Daten im Tunnel werden verschlüsselt
HTTPS / TLS
Nutzdaten werden nach dem Schlüsselaustausch symmetrisch verschlüsselt
Festplattenverschlüsselung
Daten auf dem Datenträger werden symmetrisch geschützt
Backups
Sicherungskopien können symmetrisch verschlüsselt werden
Typische IHK-Fragen zu symmetrischer Verschlüsselung
Was ist symmetrische Verschlüsselung?
Bei der symmetrischen Verschlüsselung verwenden Sender und Empfänger denselben geheimen Schlüssel zum Ver- und Entschlüsseln.
Was ist der wichtigste Vorteil?
Sie ist schnell und eignet sich gut für große Datenmengen .
Was ist der wichtigste Nachteil?
Der gemeinsame geheime Schlüssel muss sicher an beide Kommunikationspartner verteilt werden.
Was passiert, wenn ein Angreifer den Schlüssel bekommt?
Dann kann der Angreifer die verschlüsselten Daten entschlüsseln. Die Sicherheit ist dann verloren.
Warum verwendet man trotzdem symmetrische Verschlüsselung?
Weil sie sehr effizient ist und deshalb in der Praxis für die eigentlichen Nutzdaten verwendet wird.
Prüfungsfalle: symmetrisch vs. asymmetrisch
Merkmal
Symmetrisch
Asymmetrisch
Schlüsselanzahl
ein gemeinsamer Schlüssel
zwei Schlüssel
Schlüsselarten
geheimer Schlüssel
öffentlicher und privater Schlüssel
Geschwindigkeit
schnell
langsamer
Problem
sichere Schlüsselübergabe
mehr Rechenaufwand
typischer Einsatz
große Datenmengen
Schlüsselaustausch, Signatur, Zertifikate
Merksatz:
Symmetrisch ist schnell, aber die Schlüsselübergabe ist das Problem.
Asymmetrisch hilft bei der Schlüsselübergabe, ist aber langsamer.
Zusammenfassung
Die symmetrische Verschlüsselung nutzt einen gemeinsamen geheimen Schlüssel .
Dieser Schlüssel wird für beide Richtungen verwendet:
Alice verschlüsselt mit dem Schlüssel.
Bob entschlüsselt mit demselben Schlüssel.
Bob kann auch mit demselben Schlüssel verschlüsseln.
Alice kann mit demselben Schlüssel entschlüsseln.
Der große Vorteil ist die hohe Geschwindigkeit.
Der große Nachteil ist die sichere Übergabe des Schlüssels.
IHK-Spickzettel:
Symmetrisch = gleicher geheimer Schlüssel
Vorteil = schnell
Nachteil = Schlüsselübergabe
Gefahr = Schlüsselverlust
Praxis = Nutzdatenverschlüsselung bei WLAN, VPN, HTTPS/TLS, Backups und Festplatten
13.2 Asymmetrische Verschlüsselung
Kurzüberblick
Bei der asymmetrischen Verschlüsselung gibt es nicht nur einen gemeinsamen Schlüssel, sondern ein Schlüsselpaar .
Dieses Schlüsselpaar besteht aus:
einem öffentlichen Schlüssel
einem privaten Schlüssel
Der öffentliche Schlüssel darf verteilt werden.
Der private Schlüssel bleibt geheim.
IHK-Merksatz:
Asymmetrisch bedeutet: zwei unterschiedliche Schlüssel .
Einer ist öffentlich, einer bleibt privat.
Grundidee
Wenn Alice eine geheime Nachricht an Bob senden möchte, muss Bob zuerst ein Schlüsselpaar erzeugen.
Das ist wichtig:
Der Empfänger des Geheimnisses erzeugt das Schlüsselpaar.
In unserem Beispiel ist Bob der Empfänger.
Bob erzeugt also:
Schlüssel
Bedeutung
öffentlicher Schlüssel
darf an Alice und andere Personen weitergegeben werden
privater Schlüssel
bleibt geheim bei Bob
Alice nutzt dann Bobs öffentlichen Schlüssel , um die Nachricht zu verschlüsseln.
Bob nutzt seinen privaten Schlüssel , um die Nachricht zu entschlüsseln.
Warum braucht man zwei Schlüssel?
Bei der symmetrischen Verschlüsselung gibt es ein Problem:
Alice und Bob brauchen denselben geheimen Schlüssel.
Dieser Schlüssel muss sicher übertragen werden.
Bei der asymmetrischen Verschlüsselung ist das anders:
Der öffentliche Schlüssel darf offen verteilt werden.
Dadurch muss kein geheimer Schlüssel ungeschützt verschickt werden.
Kurz gesagt:
Asymmetrische Verschlüsselung hilft beim Problem der sicheren Schlüsselübergabe.
Ablauf: Alice sendet ein Geheimnis an Bob
Schritt
Erklärung
1
Bob erzeugt ein Schlüsselpaar.
2
Bob behält den privaten Schlüssel geheim.
3
Bob veröffentlicht seinen öffentlichen Schlüssel.
4
Alice nimmt Bobs öffentlichen Schlüssel.
5
Alice verschlüsselt damit ihre Nachricht.
6
Die verschlüsselte Nachricht wird über das Netzwerk übertragen.
7
Bob entschlüsselt mit seinem privaten Schlüssel.
8
Bob kann den Klartext lesen.
Einfaches Beispiel
Rolle
Was passiert?
Bob
erzeugt öffentlichen und privaten Schlüssel
Bob
gibt den öffentlichen Schlüssel frei
Alice
verschlüsselt mit Bobs öffentlichem Schlüssel
Eve
kann den öffentlichen Schlüssel ebenfalls sehen
Bob
entschlüsselt mit seinem privaten Schlüssel
Eve
kann nicht entschlüsseln, weil ihr der private Schlüssel fehlt
Wichtiger Grundsatz
Was mit dem einen Schlüssel verschlüsselt wird, kann nur mit dem anderen passenden Schlüssel entschlüsselt werden.
Das bedeutet hier:
Aktion
Schlüssel
Verschlüsseln für Bob
Bobs öffentlicher Schlüssel
Entschlüsseln durch Bob
Bobs privater Schlüssel
Merksatz:
Zum geheimen Senden an Bob nutzt Alice Bobs öffentlichen Schlüssel .
Zum Lesen nutzt Bob seinen privaten Schlüssel .
Öffentlicher Schlüssel
Der öffentliche Schlüssel darf verteilt werden.
Er kann zum Beispiel:
auf einer Webseite stehen
in einem Zertifikat enthalten sein
an Kommunikationspartner gesendet werden
von Alice verwendet werden
auch von Eve gesehen werden
Das ist nicht schlimm, weil der öffentliche Schlüssel allein nicht zum Entschlüsseln reicht.
Wichtig:
Öffentlich bedeutet nicht unsicher.
Der öffentliche Schlüssel ist dafür gedacht, verteilt zu werden.
Privater Schlüssel
Der private Schlüssel ist das eigentliche Geheimnis.
Er darf nicht weitergegeben werden.
Wenn der private Schlüssel gestohlen wird, ist die Sicherheit gefährdet.
Der private Schlüssel wird genutzt zum Beispiel für:
Entschlüsseln
digitale Signatur
Identitätsnachweis
Zugriff auf geschützte Kommunikation
Achtung Prüfungsfalle:
Der private Schlüssel wird niemals veröffentlicht.
Er bleibt beim Besitzer.
Vorteile der asymmetrischen Verschlüsselung
Vorteil
Erklärung
kein geheimer Schlüssel muss vorher gemeinsam übertragen werden
Der öffentliche Schlüssel darf verteilt werden
geeignet für Schlüsselaustausch
Ein Sitzungsschlüssel kann sicher übertragen werden
ermöglicht digitale Signaturen
Absender und Integrität können geprüft werden
Grundlage für Zertifikate
Identitäten können mit öffentlichen Schlüsseln verbunden werden
Nachteile der asymmetrischen Verschlüsselung
Nachteil
Erklärung
langsamer als symmetrische Verschlüsselung
Rechenaufwand ist höher
nicht ideal für große Datenmengen
Für große Daten nutzt man besser symmetrische Verschlüsselung
private Schlüssel müssen gut geschützt werden
Verlust oder Diebstahl ist kritisch
Zertifikatsprüfung kann nötig sein
Man muss wissen, ob der öffentliche Schlüssel wirklich zur richtigen Person gehört
Warum verschlüsselt man nicht einfach alles asymmetrisch?
Asymmetrische Verschlüsselung ist praktisch, aber langsam.
Für große Datenmengen wäre das ineffizient.
Darum nutzt man in der Praxis meistens ein hybrides Verfahren :
asymmetrisch für den sicheren Schlüsselaustausch
symmetrisch für die schnelle Datenverschlüsselung
Das ist wichtig für:
HTTPS
TLS
VPN
sichere Kommunikation im Internet
Kurz gesagt:
Asymmetrisch löst das Schlüsselübergabe-Problem.
Symmetrisch verschlüsselt danach schnell die eigentlichen Daten.
Vergleich: symmetrisch und asymmetrisch
Merkmal
Symmetrisch
Asymmetrisch
Anzahl der Schlüssel
ein gemeinsamer Schlüssel
zwei Schlüssel
Schlüsselarten
geheimer Schlüssel
öffentlicher und privater Schlüssel
Geschwindigkeit
schnell
langsamer
Hauptproblem
Schlüsselübergabe
höherer Rechenaufwand
typischer Einsatz
große Datenmengen
Schlüsselaustausch, Zertifikate, Signatur
Beispielprinzip
Alice und Bob haben denselben Schlüssel
Alice nutzt Bobs öffentlichen Schlüssel
Bezug zur digitalen Signatur
Asymmetrische Verfahren können nicht nur für Verschlüsselung genutzt werden.
Sie können auch für digitale Signaturen genutzt werden.
Dabei ist die Richtung anders:
Zweck
Verwendeter Schlüssel
Nachricht an Bob verschlüsseln
Bobs öffentlicher Schlüssel
Nachricht von Bob entschlüsseln
Bobs privater Schlüssel
Signatur von Bob erstellen
Bobs privater Schlüssel
Signatur von Bob prüfen
Bobs öffentlicher Schlüssel
Wichtig:
Verschlüsselung schützt die Vertraulichkeit.
Signatur prüft Authentizität und Integrität.
Typische Praxisbeispiele
Bereich
Rolle der asymmetrischen Verschlüsselung
HTTPS / TLS
sicherer Schlüsselaustausch und Zertifikate
VPN
Aufbau sicherer Verbindungen
digitale Signatur
Echtheit und Unverändertheit prüfen
Zertifikate
öffentlicher Schlüssel wird einer Identität zugeordnet
E-Mail-Verschlüsselung
öffentliche Schlüssel können zum Verschlüsseln genutzt werden
SSH
Schlüsselpaare können zur Anmeldung genutzt werden
Typische IHK-Fragen zur asymmetrischen Verschlüsselung
Was ist asymmetrische Verschlüsselung?
Bei der asymmetrischen Verschlüsselung gibt es zwei unterschiedliche Schlüssel: einen öffentlichen und einen privaten Schlüssel.
Wer erzeugt das Schlüsselpaar?
Der Empfänger erzeugt das Schlüsselpaar, wenn er verschlüsselte Nachrichten empfangen möchte.
Was passiert mit dem öffentlichen Schlüssel?
Der öffentliche Schlüssel darf verteilt werden.
Was passiert mit dem privaten Schlüssel?
Der private Schlüssel bleibt geheim beim Besitzer.
Welchen Schlüssel nutzt Alice, wenn sie Bob eine geheime Nachricht senden möchte?
Alice nutzt Bobs öffentlichen Schlüssel .
Welchen Schlüssel nutzt Bob zum Entschlüsseln?
Bob nutzt seinen privaten Schlüssel .
Warum ist asymmetrische Verschlüsselung wichtig?
Sie löst das Problem, wie man sicher einen Schlüssel austauschen kann.
Warum nutzt man asymmetrische Verschlüsselung nicht für alle Daten?
Weil sie langsamer ist als symmetrische Verschlüsselung.
Prüfungsfalle: öffentlicher Schlüssel ist nicht geheim
Der öffentliche Schlüssel darf von allen gesehen werden.
Auch Eve darf ihn kennen.
Das ist nicht das Problem.
Das Problem wäre nur, wenn Eve den privaten Schlüssel bekommt.
Schlüssel
Darf Eve ihn sehen?
Sicherheitsproblem?
öffentlicher Schlüssel
ja
nein
privater Schlüssel
nein
ja, sehr kritisch
Achtung:
Öffentlich heißt hier wirklich öffentlich.
Geheim bleiben muss nur der private Schlüssel.
Prüfungsfalle: Wer verschlüsselt mit welchem Schlüssel?
Wenn Alice eine Nachricht geheim an Bob senden möchte:
Person
Aktion
Bob
erzeugt Schlüsselpaar
Bob
veröffentlicht öffentlichen Schlüssel
Alice
verschlüsselt mit Bobs öffentlichem Schlüssel
Bob
entschlüsselt mit Bobs privatem Schlüssel
Merksatz:
Immer an den Empfänger denken:
Wer lesen soll, dessen öffentlicher Schlüssel wird zum Verschlüsseln genutzt.
Zusammenfassung
Die asymmetrische Verschlüsselung nutzt ein Schlüsselpaar:
öffentlicher Schlüssel
privater Schlüssel
Der öffentliche Schlüssel darf verteilt werden.
Der private Schlüssel bleibt geheim.
Alice verschlüsselt eine Nachricht für Bob mit Bobs öffentlichem Schlüssel .
Bob entschlüsselt die Nachricht mit Bobs privatem Schlüssel .
Der große Vorteil ist:
Die Schlüsselübergabe wird einfacher.
Der große Nachteil ist:
Das Verfahren ist langsamer als symmetrische Verschlüsselung.
IHK-Spickzettel:
Asymmetrisch = öffentlicher + privater Schlüssel
Öffentlich = darf verteilt werden
Privat = bleibt geheim
Verschlüsseln für Bob = Bobs öffentlicher Schlüssel
Entschlüsseln durch Bob = Bobs privater Schlüssel
Vorteil = löst Schlüsselübergabe
Nachteil = langsamer als symmetrisch
13.3 Digitale Signatur
Kurzüberblick
Eine digitale Signatur ist kein Verfahren, um eine Nachricht geheim zu machen.
Eine digitale Signatur dient vor allem dazu zu prüfen:
Stammt die Nachricht wirklich vom angegebenen Absender?
Wurde die Nachricht unterwegs verändert?
IHK-Merksatz:
Digitale Signatur = Authentizität + Integrität
Nicht das Hauptziel = Vertraulichkeit
Grundidee
Bei der digitalen Signatur wird das asymmetrische Prinzip anders genutzt als bei der Verschlüsselung.
Bei der Verschlüsselung gilt:
Alice verschlüsselt mit Bobs öffentlichem Schlüssel.
Bob entschlüsselt mit Bobs privatem Schlüssel.
Ziel: Nur Bob soll lesen können.
Bei der Signatur gilt:
Bob signiert mit seinem privaten Schlüssel.
Alice prüft mit Bobs öffentlichem Schlüssel.
Ziel: Alice soll prüfen können, ob es wirklich von Bob stammt.
Wichtigster Unterschied
Thema
Ziel
Verschlüsselung
Inhalt vor Mitlesen schützen
digitale Signatur
Absender-Echtheit und Unverändertheit prüfen
Kurz gesagt:
Verschlüsselung schützt den Inhalt .
Signatur prüft Echtheit und Unverändertheit .
Welche Schlüssel werden benutzt?
Vorgang
Schlüssel
Signatur erstellen
privater Schlüssel des Absenders
Signatur prüfen
öffentlicher Schlüssel des Absenders
Wenn Bob eine Nachricht signiert:
Bob benutzt seinen privaten Schlüssel .
Alice prüft mit Bobs öffentlichem Schlüssel .
Eve kann Bobs öffentlichen Schlüssel auch besitzen.
Eve kann damit die Signatur prüfen, aber keine gültige Signatur von Bob erzeugen.
Merksatz:
Signieren = privater Schlüssel
Prüfen = öffentlicher Schlüssel
Ablauf einer digitalen Signatur
Schritt
Erklärung
1
Bob erstellt eine Nachricht.
2
Aus der Nachricht wird ein Hashwert gebildet.
3
Bob signiert diesen Hash mit seinem privaten Schlüssel.
4
Bob sendet Nachricht und Signatur an Alice.
5
Alice berechnet selbst den Hash der empfangenen Nachricht.
6
Alice prüft die Signatur mit Bobs öffentlichem Schlüssel.
7
Wenn die Prüfung passt, sind Absender und Inhalt vertrauenswürdig.
Was prüft Alice dadurch?
Wenn die Signaturprüfung erfolgreich ist, weiß Alice:
Prüfung
Bedeutung
Authentizität
Die Nachricht stammt wirklich von Bob.
Integrität
Die Nachricht wurde unterwegs nicht verändert.
Wenn die Prüfung fehlschlägt, kann das bedeuten:
Die Nachricht wurde verändert.
Die Signatur passt nicht zur Nachricht.
Die Signatur stammt nicht von Bob.
Der falsche öffentliche Schlüssel wurde verwendet.
Der private Schlüssel wurde möglicherweise missbraucht.
Warum wird ein Hash verwendet?
In der Praxis wird normalerweise nicht die komplette Nachricht direkt signiert.
Stattdessen wird zuerst ein Hashwert der Nachricht gebildet.
Ein Hash ist ein Prüfwert fester Länge.
Beispiel:
Eingabe
Hashwert
Nachricht A
a1b2c3d4...
Nachricht A mit kleiner Änderung
9f8e7d6c...
Schon eine kleine Änderung an der Nachricht verändert den Hashwert stark.
Darum eignet sich ein Hash gut, um Veränderungen an Daten zu erkennen.
Wichtig:
Ein Hash ist keine Verschlüsselung .
Ein Hash wird normalerweise nicht entschlüsselt, sondern verglichen.
Signatur mit Hash – vereinfacht
Bob macht:
Schritt
Vorgang
1
Nachricht schreiben
2
Hash der Nachricht berechnen
3
Hash mit privatem Schlüssel signieren
4
Nachricht + Signatur senden
Alice macht:
Schritt
Vorgang
1
Nachricht empfangen
2
Hash der empfangenen Nachricht neu berechnen
3
Signatur mit Bobs öffentlichem Schlüssel prüfen
4
Ergebnis bewerten
Warum kann Eve die Signatur nicht einfach fälschen?
Eve kann die Nachricht und die Signatur möglicherweise sehen.
Aber Eve besitzt nicht Bobs privaten Schlüssel.
Deshalb kann Eve keine gültige Signatur erzeugen, die wie eine echte Signatur von Bob geprüft werden kann.
Person
Hat Bobs privaten Schlüssel?
Kann gültig als Bob signieren?
Bob
ja
ja
Alice
nein
nein
Eve
nein
nein
Achtung Prüfungsfalle:
Der öffentliche Schlüssel darf bekannt sein.
Gefährlich wäre der Verlust des privaten Schlüssels.
Was passiert bei Manipulation?
Angenommen Bob sendet eine signierte Nachricht an Alice.
Eve verändert unterwegs den Inhalt.
Dann passiert bei Alice:
Alice berechnet den Hash der veränderten Nachricht.
Alice prüft die Signatur.
Der neu berechnete Hash passt nicht mehr zur Signatur.
Alice erkennt: Die Nachricht wurde verändert.
Damit ist die Integrität verletzt.
Was eine digitale Signatur leistet
Sicherheitsziel
Wird durch Signatur unterstützt?
Erklärung
Authentizität
ja
Absender kann geprüft werden
Integrität
ja
Veränderung der Daten kann erkannt werden
Vertraulichkeit
nein, nicht automatisch
Inhalt ist dadurch nicht geheim
Was eine digitale Signatur nicht automatisch leistet
Eine digitale Signatur macht den Inhalt nicht automatisch geheim.
Wenn Bob eine Nachricht nur signiert, aber nicht verschlüsselt, kann Eve den Inhalt eventuell mitlesen.
Eve kann die Nachricht zwar nicht unbemerkt verändern, aber sie kann den Inhalt sehen.
Darum gilt:
Ziel
Benötigte Technik
Inhalt geheim halten
Verschlüsselung
Absender prüfen
digitale Signatur
Veränderung erkennen
Hash / digitale Signatur
Kombination aus Verschlüsselung und Signatur
In der Praxis kann man Signatur und Verschlüsselung kombinieren.
Beispiel:
Bob möchte Alice eine Nachricht senden.
Dafür kann Bob:
die Nachricht signieren
die Nachricht für Alice verschlüsseln
beides an Alice senden
Alice kann dann:
die Nachricht entschlüsseln
die Signatur prüfen
Dadurch werden mehrere Sicherheitsziele kombiniert.
Ziel
Technik
Vertraulichkeit
Verschlüsselung
Authentizität
digitale Signatur
Integrität
digitale Signatur / Hash
Vergleich: Verschlüsselung und Signatur
Merkmal
Verschlüsselung
Digitale Signatur
Hauptziel
Vertraulichkeit
Authentizität und Integrität
schützt vor Mitlesen
ja
nein, nicht automatisch
erkennt Veränderung
nicht Hauptzweck
ja
beweist Absender
nicht Hauptzweck
ja
Sender nutzt
öffentlichen Schlüssel des Empfängers
privaten Schlüssel des Senders
Empfänger nutzt
privaten Schlüssel des Empfängers
öffentlichen Schlüssel des Senders
Beispiel aus dem Alltag
Eine digitale Signatur kann man sich ähnlich wie eine Unterschrift vorstellen.
Aber technisch ist sie stärker, weil sie nicht nur sagt:
„Das kommt von Bob.“
Sondern auch:
„Der Inhalt wurde seit der Signatur nicht verändert.“
Allerdings gilt:
Eine normale Unterschrift steht sichtbar auf einem Dokument.
Eine digitale Signatur ist ein technischer Prüfwert.
Typische Praxisbeispiele
Bereich
Rolle der digitalen Signatur
Software-Downloads
prüfen, ob Software vom echten Hersteller stammt
Zertifikate
Identität und öffentlicher Schlüssel werden abgesichert
E-Mail-Sicherheit
Absender und Unverändertheit prüfen
Dokumente
digitale Unterschrift
Updates
Schutz vor manipulierten Aktualisierungen
TLS / HTTPS
Zertifikatsprüfung und Vertrauensketten
Typische IHK-Fragen zur digitalen Signatur
Was ist eine digitale Signatur?
Eine digitale Signatur ist ein Verfahren, mit dem man die Echtheit des Absenders und die Unverändertheit der Daten prüfen kann.
Welche Sicherheitsziele erfüllt eine digitale Signatur hauptsächlich?
Authentizität und Integrität.
Bietet eine digitale Signatur automatisch Vertraulichkeit?
Nein. Eine digitale Signatur macht den Inhalt nicht automatisch geheim.
Welchen Schlüssel nutzt der Absender zum Signieren?
Der Absender nutzt seinen privaten Schlüssel.
Welchen Schlüssel nutzt der Empfänger zum Prüfen?
Der Empfänger nutzt den öffentlichen Schlüssel des Absenders.
Warum wird häufig ein Hash verwendet?
Weil ein Hash ein kompakter Prüfwert der Nachricht ist und Veränderungen an der Nachricht erkennbar macht.
Was passiert, wenn die Nachricht nachträglich verändert wird?
Die Signaturprüfung schlägt fehl, weil der Hash nicht mehr passt.
Prüfungsfalle: Signatur ist nicht Verschlüsselung
Eine digitale Signatur bedeutet nicht automatisch, dass niemand die Nachricht lesen kann.
Beispiel:
Bob sendet eine signierte, aber unverschlüsselte Nachricht.
Dann kann Alice prüfen:
Nachricht stammt von Bob.
Nachricht wurde nicht verändert.
Aber Eve könnte den Inhalt trotzdem lesen, wenn sie die Übertragung sieht.
Merksatz:
Signatur schützt nicht automatisch vor Mitlesen.
Dafür braucht man Verschlüsselung.
Prüfungsfalle: Wer benutzt welchen Schlüssel?
Ziel
Schlüssel beim Sender
Schlüssel beim Empfänger
Verschlüsseln für Bob
Bobs öffentlicher Schlüssel
Bobs privater Schlüssel
Signatur von Bob
Bobs privater Schlüssel
Bobs öffentlicher Schlüssel
Kurzform:
Geheim an Bob senden: Bobs öffentlicher Schlüssel
Bob unterschreibt digital: Bobs privater Schlüssel
Alice prüft Bob: Bobs öffentlicher Schlüssel
Zusammenfassung
Die digitale Signatur nutzt asymmetrische Kryptografie.
Der Absender signiert mit seinem privaten Schlüssel.
Der Empfänger prüft mit dem öffentlichen Schlüssel des Absenders.
Dadurch kann geprüft werden:
Ist der Absender echt?
Wurde die Nachricht verändert?
Die digitale Signatur schützt aber nicht automatisch die Vertraulichkeit.
IHK-Spickzettel:
Digitale Signatur = Authentizität + Integrität
Signieren = privater Schlüssel des Absenders
Prüfen = öffentlicher Schlüssel des Absenders
Hash = Prüfwert der Nachricht
Vertraulichkeit = nur mit Verschlüsselung
13.4 Hybride Verschlüsselung
Kurzüberblick
Die hybride Verschlüsselung kombiniert zwei Verfahren:
asymmetrische Verschlüsselung für den sicheren Schlüsselaustausch
symmetrische Verschlüsselung für die schnelle Verschlüsselung der eigentlichen Daten
IHK-Merksatz:
Hybrid = asymmetrisch für den sicheren Schlüsselaustausch,
symmetrisch für die schnelle Datenverschlüsselung.
Quelle 11.3.5 – Lösung: Übergabe des symmetrischen Schlüssels
Das Problem aus der symmetrischen Verschlüsselung war:
Alice und Bob brauchen denselben geheimen Schlüssel.
Aber wie bekommt Bob diesen Schlüssel sicher?
Die Lösung:
Man überträgt nicht direkt ein Geheimnis mit asymmetrischer Verschlüsselung, sondern nutzt asymmetrische Verschlüsselung, um den symmetrischen Schlüssel sicher zu übergeben .
Danach wird mit diesem symmetrischen Schlüssel die eigentliche Nachricht schnell verschlüsselt.
Warum braucht man ein hybrides Verfahren?
Symmetrische Verschlüsselung ist schnell, hat aber ein Problem bei der Schlüsselübergabe.
Asymmetrische Verschlüsselung löst die Schlüsselübergabe, ist aber langsamer.
Hybrid kombiniert beide Vorteile.
Verfahren
Vorteil
Nachteil
symmetrisch
sehr schnell
Schlüssel muss sicher übergeben werden
asymmetrisch
Schlüsselübergabe ist einfacher
langsamer
hybrid
sicherer Schlüsselaustausch + schnelle Datenverschlüsselung
etwas komplexerer Ablauf
Kurz gesagt:
Hybrid nutzt asymmetrisch nur für den Schlüssel.
Die Nutzdaten werden danach symmetrisch verschlüsselt.
Grundidee
Alice möchte Bob Daten sicher senden.
Dafür passiert Folgendes:
Alice erzeugt einen zufälligen symmetrischen Sitzungsschlüssel.
Alice verschlüsselt die eigentlichen Daten mit diesem Sitzungsschlüssel.
Alice verschlüsselt den Sitzungsschlüssel mit Bobs öffentlichem Schlüssel.
Alice sendet die verschlüsselten Daten und den verschlüsselten Sitzungsschlüssel an Bob.
Bob entschlüsselt den Sitzungsschlüssel mit seinem privaten Schlüssel.
Bob entschlüsselt die Daten mit dem Sitzungsschlüssel.
Begriffe
Begriff
Bedeutung
Sitzungsschlüssel
einmaliger oder zeitlich begrenzter symmetrischer Schlüssel
Nutzdaten
die eigentlichen Daten, zum Beispiel Datei, Text, Login-Daten
öffentlicher Schlüssel
wird genutzt, um den Sitzungsschlüssel für Bob zu verschlüsseln
privater Schlüssel
wird von Bob genutzt, um den Sitzungsschlüssel zu entschlüsseln
hybride Verschlüsselung
Kombination aus asymmetrischem Schlüsselaustausch und symmetrischer Datenverschlüsselung
Ablauf Schritt für Schritt
Schritt
Was passiert?
Genutztes Verfahren
1
Alice erzeugt einen zufälligen Sitzungsschlüssel.
symmetrisch
2
Alice verschlüsselt die Nutzdaten mit dem Sitzungsschlüssel.
symmetrisch
3
Alice verschlüsselt den Sitzungsschlüssel mit Bobs öffentlichem Schlüssel.
asymmetrisch
4
Alice sendet verschlüsselte Nutzdaten und verschlüsselten Sitzungsschlüssel.
Übertragung
5
Bob entschlüsselt den Sitzungsschlüssel mit seinem privaten Schlüssel.
asymmetrisch
6
Bob entschlüsselt die Nutzdaten mit dem Sitzungsschlüssel.
symmetrisch
Beispiel
Alice möchte Bob WLAN-Anmeldedaten senden.
Die eigentlichen Daten sind:
SSID: Firma-WLAN
Passwort: geheim123
13.5 Hashfunktion und Zertifikate
Kurzüberblick
Hashfunktionen und Zertifikate gehören zu den wichtigsten Grundlagen der IT-Sicherheit.
Sie lösen unterschiedliche Aufgaben:
Thema
Hauptaufgabe
Hashfunktion
prüfen, ob Daten verändert wurden
Zertifikat
prüfen, ob ein öffentlicher Schlüssel zu einer bestimmten Identität gehört
IHK-Merksatz:
Hash = Integrität prüfen
Zertifikat = Identität mit öffentlichem Schlüssel verbinden
Quelle 11.4 – Einordnung in die Sicherheitsziele
In der Quelle werden drei Sicherheitsziele besonders hervorgehoben:
Sicherheitsziel
Leitfrage
Typische Technik
Authentizität
Ist die Identität echt?
Zertifikat, digitale Signatur, Login
Integrität
Wurden Daten verändert?
Hashfunktion, digitale Signatur, Prüfsumme
Vertraulichkeit
Können Dritte mitlesen?
Verschlüsselung, VPN, HTTPS
Diese Seite konzentriert sich auf:
Hashfunktion
Zertifikate
Zusammenhang mit Signatur und HTTPS
Hashfunktion
Eine Hashfunktion erzeugt aus Daten einen Prüfwert.
Dieser Prüfwert heißt:
Hash
Hashwert
Fingerabdruck
Prüfsumme im weiteren Sinn
Beispiel:
Eingabe
Hashwert
Hallo
a1b2c3d4...
Halla
9f8e7d6c...
Schon eine kleine Änderung an der Eingabe verändert den Hashwert stark.
Kurz gesagt:
Ein Hash ist wie ein digitaler Fingerabdruck von Daten.
Wofür braucht man Hashwerte?
Hashwerte werden genutzt, um Veränderungen zu erkennen.
Beispiele:
Datei wurde verändert
Download ist beschädigt
Nachricht wurde manipuliert
Passwort wird nicht direkt im Klartext gespeichert
digitale Signatur prüft den Hash einer Nachricht
Einsatz
Erklärung
Dateiprüfung
Ist die Datei noch unverändert?
Downloadprüfung
Wurde die Datei korrekt übertragen?
digitale Signatur
Der Hash der Nachricht wird signiert
Passwortspeicherung
Es wird normalerweise nicht das Passwort selbst gespeichert
Integritätsprüfung
Veränderungen an Daten können erkannt werden
Eigenschaften einer Hashfunktion
Eigenschaft
Bedeutung
feste Länge
Der Hashwert hat immer eine feste Länge
empfindlich gegen Änderungen
kleine Änderung an Daten verändert den Hash stark
nicht sinnvoll rückrechenbar
aus dem Hash soll man den ursprünglichen Inhalt nicht berechnen können
schnell berechenbar
der Hash soll effizient erzeugt werden können
möglichst kollisionsarm
zwei verschiedene Eingaben sollen nicht denselben Hash ergeben
Hash ist keine Verschlüsselung
Ein häufiger Fehler ist:
Hash mit Verschlüsselung zu verwechseln.
Das ist falsch.
Thema
Verschlüsselung
Hashfunktion
Ziel
Inhalt geheim halten
Veränderung erkennen
Rückweg möglich?
ja, mit Schlüssel entschlüsselbar
nein, normalerweise nicht rückrechenbar
Ergebnis
Geheimtext
Hashwert
braucht Schlüssel?
meistens ja
klassische Hashfunktion nicht
Sicherheitsziel
Vertraulichkeit
Integrität
Achtung Prüfungsfalle:
Ein Hash wird nicht entschlüsselt.
Ein Hash wird neu berechnet und verglichen.
Beispiel: Datei mit Hash prüfen
Angenommen, Alice lädt eine Datei herunter.
Der Hersteller gibt zusätzlich einen Hashwert an.
Alice kann dann selbst den Hash der heruntergeladenen Datei berechnen.
Schritt
Erklärung
1
Hersteller veröffentlicht Datei und Hashwert.
2
Alice lädt die Datei herunter.
3
Alice berechnet den Hash der Datei selbst.
4
Alice vergleicht den berechneten Hash mit dem veröffentlichten Hash.
5
Stimmen beide überein, wurde die Datei wahrscheinlich nicht verändert.
Beispiel mit kleiner Änderung
Originaltext:
Hallo
Hashwert:
a1b2c3d4...
Geänderter Text:
Halla
Neuer Hashwert:
9f8e7d6c...
Obwohl nur ein Buchstabe anders ist, sieht der Hash komplett anders aus.
Merksatz:
Kleine Änderung an den Daten = großer Unterschied beim Hash.
Hash und Integrität
Hashfunktionen gehören zum Sicherheitsziel:
Integrität
Integrität bedeutet:
Daten wurden nicht verändert.
Mit einem Hash kann man prüfen:
Ist die Datei noch dieselbe?
Wurde die Nachricht verändert?
Ist der Download beschädigt?
Passt die Signatur noch zur Nachricht?
Frage
Antwort durch Hash möglich?
Wurde etwas verändert?
ja
Wer hat die Daten gesendet?
nein, dafür braucht man Signatur oder Zertifikat
Können Dritte den Inhalt lesen?
nein, dafür braucht man Verschlüsselung
Ist der Inhalt geheim?
nein
Hash und digitale Signatur
Bei digitalen Signaturen wird häufig nicht die komplette Nachricht direkt signiert.
Stattdessen wird ein Hashwert der Nachricht gebildet.
Ablauf:
Schritt
Erklärung
1
Bob erstellt eine Nachricht.
2
Aus der Nachricht wird ein Hash gebildet.
3
Bob signiert diesen Hash mit seinem privaten Schlüssel.
4
Alice berechnet den Hash der empfangenen Nachricht neu.
5
Alice prüft die Signatur mit Bobs öffentlichem Schlüssel.
6
Wenn alles passt, sind Authentizität und Integrität erfüllt.
Kurz gesagt:
Der Hash prüft die Daten.
Die Signatur prüft, ob der Hash wirklich vom Absender stammt.
Was ist ein Zertifikat?
Ein Zertifikat ist ein digitaler Nachweis.
Es verbindet:
eine Identität
mit einem öffentlichen Schlüssel
Beispiel:
Eine Webseite behauptet:
Ich bin www.beispiel.de
Das Zertifikat hilft dem Browser zu prüfen:
Gehört dieser öffentliche Schlüssel wirklich zu dieser Webseite?
Warum braucht man Zertifikate?
Bei asymmetrischer Verschlüsselung ist der öffentliche Schlüssel frei verteilbar.
Das Problem ist aber:
Woher weiß Alice, dass der öffentliche Schlüssel wirklich zu Bob gehört?
Genau hier helfen Zertifikate.
Problem
Lösung durch Zertifikat
öffentlicher Schlüssel ist sichtbar
ist grundsätzlich erlaubt
aber Identität muss geprüft werden
Zertifikat verbindet Identität und öffentlichen Schlüssel
Angreifer könnte falschen Schlüssel anbieten
Zertifikatsprüfung soll das erkennen
Browser muss Webseite prüfen
Zertifikat hilft bei HTTPS
Zertifikat als digitaler Ausweis
Ein Zertifikat kann man sich wie einen digitalen Ausweis vorstellen.
Es sagt vereinfacht:
Inhalt
Bedeutung
Name / Domain
Für wen gilt das Zertifikat?
öffentlicher Schlüssel
Welcher öffentliche Schlüssel gehört dazu?
Aussteller
Wer hat das Zertifikat bestätigt?
Gültigkeitszeitraum
Von wann bis wann gilt es?
Signatur des Ausstellers
Wurde das Zertifikat bestätigt und nicht verändert?
Merksatz:
Zertifikat = digitaler Ausweis für einen öffentlichen Schlüssel.
Zertifikate und Authentizität
Zertifikate gehören besonders zum Sicherheitsziel:
Authentizität
Authentizität bedeutet:
Ist die Identität echt?
Bei HTTPS fragt der Browser zum Beispiel:
Ist diese Webseite wirklich die angeforderte Webseite?
Gehört der öffentliche Schlüssel wirklich zu dieser Domain?
Ist das Zertifikat gültig?
Ist das Zertifikat von einer vertrauenswürdigen Stelle ausgestellt?
Ist das Zertifikat abgelaufen oder widerrufen?
Zertifikate bei HTTPS
Bei HTTPS nutzt der Browser Zertifikate, um die Identität des Servers zu prüfen.
Vereinfacht:
Schritt
Erklärung
1
Browser ruft eine HTTPS-Webseite auf.
2
Server sendet sein Zertifikat.
3
Browser prüft das Zertifikat.
4
Browser prüft, ob die Domain passt.
5
Browser prüft, ob das Zertifikat gültig ist.
6
Danach kann eine sichere Verbindung aufgebaut werden.
Was prüft der Browser beim Zertifikat?
Typische Prüfungen:
Passt der Domainname?
Ist das Zertifikat noch gültig?
Ist das Zertifikat von einer vertrauenswürdigen Zertifizierungsstelle ausgestellt?
Wurde das Zertifikat widerrufen?
Passt der öffentliche Schlüssel zum Zertifikat?
Ist die Zertifikatskette vertrauenswürdig?
Achtung Prüfungsfalle:
Ein Zertifikat verschlüsselt nicht selbst die Daten.
Es hilft dabei, die Identität und den öffentlichen Schlüssel zu prüfen.
Public-Key-Zertifikat
Ein Public-Key-Zertifikat bestätigt, dass ein bestimmter öffentlicher Schlüssel zu einer bestimmten Identität gehört.
Das ist besonders wichtig bei:
HTTPS
TLS
VPN
digitalen Signaturen
E-Mail-Sicherheit
Serveridentifikation
Begriff
Bedeutung
Public Key
öffentlicher Schlüssel
Zertifikat
bestätigte Zuordnung zu einer Identität
Zertifizierungsstelle
Stelle, die Zertifikate ausstellt
Zertifikatskette
Vertrauenskette bis zu einer vertrauenswürdigen Stelle
Hash, Signatur und Zertifikat im Zusammenspiel
Diese Begriffe hängen eng zusammen.
Baustein
Aufgabe
Hash
prüft, ob Daten verändert wurden
Signatur
bestätigt Absender und Integrität
Zertifikat
bestätigt, wem ein öffentlicher Schlüssel gehört
öffentlicher Schlüssel
wird zum Prüfen oder Verschlüsseln genutzt
privater Schlüssel
wird zum Signieren oder Entschlüsseln genutzt
Beispiel HTTPS:
Bestandteil
Rolle
Zertifikat
Browser prüft Identität des Servers
öffentlicher Schlüssel
ist im Zertifikat enthalten
private Schlüssel
bleibt beim Server
Hash / Signatur
hilft bei Prüfung und Vertrauensaufbau
symmetrischer Sitzungsschlüssel
schützt später die Nutzdaten
Typische Praxisbeispiele
Bereich
Hashfunktion
Zertifikat
HTTPS
Integrität und Prüfmechanismen
Serveridentität prüfen
Software-Download
Datei-Hash prüfen
Herstellerzertifikat möglich
digitale Signatur
Hash der Nachricht wird signiert
öffentlicher Schlüssel wird zugeordnet
VPN
Integrität und Schlüsselmaterial
Identität von Gegenstellen prüfen
Passwortspeicherung
Passwort-Hash speichern
nicht Hauptaufgabe
Typische IHK-Fragen zu Hashfunktionen
Was ist eine Hashfunktion?
Eine Hashfunktion erzeugt aus Daten einen Hashwert fester Länge.
Wozu dient ein Hash?
Ein Hash dient vor allem zur Integritätsprüfung.
Ist ein Hash Verschlüsselung?
Nein. Ein Hash wird normalerweise nicht entschlüsselt, sondern neu berechnet und verglichen.
Was passiert, wenn Daten verändert werden?
Der Hashwert verändert sich deutlich.
Welches Sicherheitsziel passt zur Hashfunktion?
Integrität.
Typische IHK-Fragen zu Zertifikaten
Was ist ein Zertifikat?
Ein Zertifikat verbindet eine Identität mit einem öffentlichen Schlüssel.
Wozu braucht man Zertifikate?
Damit geprüft werden kann, ob ein öffentlicher Schlüssel wirklich zu einer bestimmten Person, Organisation oder Webseite gehört.
Welches Sicherheitsziel passt besonders zu Zertifikaten?
Authentizität.
Wo werden Zertifikate häufig verwendet?
Bei HTTPS, TLS, VPN, digitalen Signaturen und sicherer Serveridentifikation.
Verschlüsselt ein Zertifikat selbst die Daten?
Nein. Ein Zertifikat bestätigt vor allem Identität und öffentlichen Schlüssel.
Prüfungsfalle: Hash, Signatur und Zertifikat nicht verwechseln
Begriff
Nicht verwechseln mit
Richtige Bedeutung
Hash
Verschlüsselung
Prüfwert zur Integritätskontrolle
Signatur
reine Verschlüsselung
prüft Authentizität und Integrität
Zertifikat
Datenverschlüsselung selbst
verbindet Identität mit öffentlichem Schlüssel
öffentlicher Schlüssel
geheimer Schlüssel
darf verteilt werden
privater Schlüssel
öffentlicher Schlüssel
muss geheim bleiben
Kurzform:
Hash prüft Daten.
Signatur prüft Absender und Daten.
Zertifikat prüft Identität und öffentlichen Schlüssel.
Zusammenfassung
Hashfunktionen und Zertifikate sind wichtige Bausteine der Netzwerksicherheit.
Eine Hashfunktion erzeugt einen Prüfwert für Daten.
Damit kann man erkennen, ob Daten verändert wurden.
Ein Zertifikat verbindet eine Identität mit einem öffentlichen Schlüssel.
Damit kann man prüfen, ob ein öffentlicher Schlüssel wirklich zur angegebenen Person, Organisation oder Webseite gehört.
IHK-Spickzettel:
Hash = Prüfwert
Hash ist keine Verschlüsselung
Hash gehört zu Integrität
Zertifikat = digitaler Ausweis
Zertifikat verbindet Identität mit öffentlichem Schlüssel
Zertifikat gehört zu Authentizität
HTTPS nutzt Zertifikate zur Prüfung der Serveridentität
13.6 Diffie-Hellman und Perfect Forward Secrecy
Kurzüberblick
Diffie-Hellman ist ein Verfahren zum Schlüsselaustausch .
Es wird nicht dafür genutzt, große Datenmengen direkt zu verschlüsseln.
Die Grundidee ist:
Alice und Bob können über ein unsicheres Netzwerk ein gemeinsames Geheimnis erzeugen, ohne dieses Geheimnis direkt zu übertragen.
IHK-Merksatz:
Diffie-Hellman = Schlüsselaustausch
Nicht: direkte Verschlüsselung großer Datenmengen
Quelle 11.1 – Einordnung
In der Quelle wird Diffie-Hellman bei den Unterscheidungsmerkmalen der Verschlüsselungsverfahren genannt.
Es gehört in den Bereich:
Schlüsselaustausch
asymmetrische Kryptografie
sichere Verbindungsaufnahme
Grundlage für sichere Protokolle
Perfect Forward Secrecy
Wichtig ist:
Diffie-Hellman ist kein Ersatz für symmetrische Verschlüsselung.
Es hilft dabei, einen gemeinsamen Schlüssel zu erzeugen oder auszuhandeln.
Warum braucht man Diffie-Hellman?
Bei der symmetrischen Verschlüsselung gab es ein Problem:
Alice und Bob brauchen denselben geheimen Schlüssel.
Aber:
Wie bekommen beide denselben Schlüssel, ohne dass Eve ihn einfach kopiert?
Diffie-Hellman löst genau dieses Problem.
Kurz gesagt:
Alice und Bob einigen sich auf ein gemeinsames Geheimnis, ohne dieses Geheimnis direkt über das Netzwerk zu senden.
Grundidee ohne Mathematik
Alice und Bob wollen einen gemeinsamen Sitzungsschlüssel erhalten.
Eve kann den Netzwerkverkehr mithören.
Trotzdem soll Eve den fertigen Sitzungsschlüssel nicht kennen.
Vereinfacht passiert Folgendes:
Schritt
Erklärung
1
Alice und Bob tauschen öffentliche Informationen aus.
2
Alice kombiniert diese Informationen mit ihrem privaten Geheimnis.
3
Bob kombiniert diese Informationen mit seinem privaten Geheimnis.
4
Beide kommen dadurch auf dasselbe gemeinsame Geheimnis.
5
Eve sieht nur die öffentlichen Informationen, aber nicht die privaten Geheimnisse.
Was sieht Eve?
Eve kann den Datenverkehr beobachten.
Sie sieht zum Beispiel:
öffentliche Austauschwerte
Protokollinformationen
eventuell Zertifikate
verschlüsselte Daten
Eve sieht aber nicht:
Alices privaten Anteil
Bobs privaten Anteil
den fertigen gemeinsamen Sitzungsschlüssel
Bestandteil
Sichtbar für Eve?
Kritisch?
öffentliche Austauschwerte
ja
normalerweise nein
privater Anteil von Alice
nein
ja, muss geheim bleiben
privater Anteil von Bob
nein
ja, muss geheim bleiben
fertiger Sitzungsschlüssel
nein
ja, muss geheim bleiben
Wichtig: Diffie-Hellman verschlüsselt nicht die Nutzdaten
Ein häufiger Fehler ist:
Diffie-Hellman mit normaler Verschlüsselung zu verwechseln.
Das ist falsch.
Thema
Aufgabe
Diffie-Hellman
gemeinsamen Schlüssel aushandeln
symmetrische Verschlüsselung
Nutzdaten verschlüsseln
asymmetrische Verschlüsselung
Schlüssel schützen, Signaturen, Zertifikate
Hashfunktion
Integrität prüfen
Zertifikat
Identität prüfen
Achtung Prüfungsfalle:
Diffie-Hellman ist ein Verfahren zum Schlüsselaustausch, nicht die eigentliche Datenverschlüsselung.
Bezug zur hybriden Verschlüsselung
Diffie-Hellman passt gut zum hybriden Prinzip.
Bei der hybriden Verschlüsselung gilt:
asymmetrische Technik hilft beim sicheren Schlüsselaustausch
symmetrische Technik verschlüsselt danach die Nutzdaten
Diffie-Hellman kann dabei helfen, den gemeinsamen Sitzungsschlüssel sicher auszuhandeln.
Danach wird dieser Sitzungsschlüssel für symmetrische Verschlüsselung genutzt.
Phase
Technik
Verbindungsaufbau
Schlüsselaustausch, zum Beispiel Diffie-Hellman
danach
symmetrische Verschlüsselung der Nutzdaten
zusätzlich
Zertifikate / Signaturen zur Identitätsprüfung
Einfaches Beispiel
Alice und Bob wollen sicher kommunizieren.
Sie nutzen Diffie-Hellman, um einen gemeinsamen Sitzungsschlüssel zu erzeugen.
Danach verwenden sie diesen Sitzungsschlüssel für die symmetrische Verschlüsselung.
Ablauf:
Schritt
Erklärung
1
Alice und Bob starten den Schlüsselaustausch.
2
Beide tauschen öffentliche Werte aus.
3
Beide nutzen zusätzlich ihr eigenes privates Geheimnis.
4
Beide berechnen denselben Sitzungsschlüssel.
5
Die Nutzdaten werden mit diesem Sitzungsschlüssel symmetrisch verschlüsselt.
Warum ist das sicherer als einfaches Senden des Schlüssels?
Beim einfachen Senden würde Alice den Schlüssel direkt an Bob übertragen.
Dann könnte Eve ihn kopieren.
Bei Diffie-Hellman wird der fertige Schlüssel nicht direkt gesendet.
Stattdessen wird er auf beiden Seiten berechnet.
Direkte Schlüsselübergabe
Diffie-Hellman
Schlüssel wird übertragen
Schlüssel wird auf beiden Seiten berechnet
Eve könnte den Schlüssel kopieren
Eve sieht nur öffentliche Austauschwerte
riskant bei unsicherem Netzwerk
besser für unsichere Netzwerke
einfach zu verstehen
mathematisch komplexer
Perfect Forward Secrecy
Perfect Forward Secrecy bedeutet:
Alte Verbindungen sollen auch dann geschützt bleiben, wenn ein langfristiger privater Schlüssel später kompromittiert wird.
Anders gesagt:
Wenn ein Angreifer heute einen privaten Schlüssel stiehlt, soll er damit nicht automatisch alte aufgezeichnete Sitzungen entschlüsseln können.
IHK-Merksatz:
Perfect Forward Secrecy schützt alte Sitzungen besser, weil Sitzungsschlüssel nicht dauerhaft gleich bleiben.
Warum ist Perfect Forward Secrecy wichtig?
Eve könnte Datenverkehr heute mitschneiden und speichern.
Später könnte Eve versuchen, einen privaten Schlüssel zu stehlen.
Ohne Perfect Forward Secrecy wäre das gefährlicher.
Mit Perfect Forward Secrecy soll gelten:
alte Sitzungsschlüssel waren nur kurzzeitig gültig
alte Sitzungsschlüssel wurden nicht dauerhaft gespeichert
ein später gestohlener Langzeitschlüssel reicht nicht aus, um alte Sitzungen zu entschlüsseln
Beispiel ohne Perfect Forward Secrecy
Eve macht Folgendes:
Eve zeichnet heute verschlüsselten Datenverkehr auf.
Eve stiehlt später den privaten Schlüssel eines Servers.
Eve versucht, alte Verbindungen nachträglich zu entschlüsseln.
Wenn alte Sitzungen vom langfristigen Schlüssel abhängig waren, wäre das problematisch.
Beispiel mit Perfect Forward Secrecy
Bei Perfect Forward Secrecy wird für Sitzungen eigenes, kurzlebiges Schlüsselmaterial verwendet.
Das bedeutet:
Jede Sitzung bekommt eigene Schlüssel.
Die Sitzungsschlüssel werden später verworfen.
Ein später gestohlener Langzeitschlüssel reicht nicht aus, um alte Sitzungen zu entschlüsseln.
Ohne PFS
Mit PFS
alte Sitzungen können stärker vom Langzeitschlüssel abhängen
jede Sitzung nutzt kurzlebige Schlüssel
späterer Schlüsselverlust kann alte Daten gefährden
alte Sitzungen bleiben besser geschützt
weniger Schutz bei aufgezeichnetem Datenverkehr
besserer Schutz gegen nachträgliches Entschlüsseln
Ephemeral Diffie-Hellman
Im Zusammenhang mit Perfect Forward Secrecy taucht häufig der Begriff ephemeral auf.
Ephemeral bedeutet:
kurzlebig oder nur vorübergehend.
Bei ephemeral Diffie-Hellman werden für einzelne Sitzungen kurzlebige Schlüsselwerte verwendet.
Diese werden nach der Sitzung verworfen.
Kurz gesagt:
Ephemeral = nur für diese Sitzung gedacht.
Dadurch werden alte Sitzungen besser geschützt.
Bezug zu HTTPS / TLS
Bei HTTPS beziehungsweise TLS ist das wichtig.
Vereinfacht:
Schritt
Erklärung
1
Browser verbindet sich mit einem Server.
2
Zertifikat hilft bei der Prüfung der Serveridentität.
3
Ein Schlüsselaustauschverfahren hilft beim Erzeugen eines Sitzungsschlüssels.
4
Danach werden die Nutzdaten symmetrisch verschlüsselt.
5
Bei PFS werden alte Sitzungen besser gegen späteren Schlüsselverlust geschützt.
Bezug zu VPN
Auch bei VPNs ist die Idee wichtig.
Ein VPN braucht:
sichere Identitätsprüfung
sicheren Schlüsselaustausch
symmetrische Verschlüsselung der Nutzdaten
möglichst kurzlebige Sitzungsschlüssel
Schutz gegen nachträgliches Entschlüsseln alter Sitzungen
Darum passt dieses Thema gut vor das spätere Kapitel:
14. VPN, Intranet und Extranet
Diffie-Hellman, PFS und Sitzungsschlüssel
Begriff
Bedeutung
Diffie-Hellman
Verfahren zum Schlüsselaustausch
Sitzungsschlüssel
symmetrischer Schlüssel für eine bestimmte Verbindung
PFS
Schutz alter Sitzungen bei späterem Schlüsselverlust
ephemeral
kurzlebig, nur für eine Sitzung
symmetrische Verschlüsselung
verschlüsselt danach die eigentlichen Daten
Typische IHK-Fragen
Was ist Diffie-Hellman?
Diffie-Hellman ist ein Verfahren zum Schlüsselaustausch.
Wozu dient Diffie-Hellman?
Es dient dazu, über ein unsicheres Netzwerk ein gemeinsames Geheimnis beziehungsweise Schlüsselmaterial auszuhandeln.
Verschlüsselt Diffie-Hellman große Datenmengen direkt?
Nein. Es dient dem Schlüsselaustausch. Die eigentlichen Daten werden danach meist symmetrisch verschlüsselt.
Was ist Perfect Forward Secrecy?
Perfect Forward Secrecy bedeutet, dass alte Sitzungen auch dann besser geschützt bleiben sollen, wenn ein langfristiger privater Schlüssel später kompromittiert wird.
Warum sind Sitzungsschlüssel wichtig?
Sie schützen eine konkrete Verbindung oder Sitzung und können danach verworfen werden.
Was bedeutet ephemeral?
Ephemeral bedeutet kurzlebig oder nur für eine Sitzung gültig.
Prüfungsfalle: Diffie-Hellman ist nicht dasselbe wie Verschlüsselung der Nutzdaten
Aussage
Richtig oder falsch?
Diffie-Hellman verschlüsselt große Dateien direkt.
falsch
Diffie-Hellman hilft beim Schlüsselaustausch.
richtig
Danach kann symmetrisch verschlüsselt werden.
richtig
PFS schützt alte Sitzungen besser.
richtig
Der öffentliche Schlüssel muss geheim bleiben.
falsch
Merksatz:
Diffie-Hellman erzeugt oder vereinbart Schlüsselmaterial.
Die Datenverschlüsselung passiert danach mit einem symmetrischen Verfahren.
Zusammenfassung
Diffie-Hellman ist ein Verfahren zum sicheren Schlüsselaustausch.
Alice und Bob können damit über ein unsicheres Netzwerk ein gemeinsames Geheimnis erzeugen, ohne dieses Geheimnis direkt zu übertragen.
Dieses gemeinsame Geheimnis kann anschließend als Grundlage für einen symmetrischen Sitzungsschlüssel dienen.
Perfect Forward Secrecy sorgt dafür, dass alte Sitzungen besser geschützt bleiben, selbst wenn später ein langfristiger privater Schlüssel kompromittiert wird.
IHK-Spickzettel:
Diffie-Hellman = Schlüsselaustausch
nicht direkte Nutzdatenverschlüsselung
Sitzungsschlüssel = symmetrischer Schlüssel für eine Verbindung
PFS = schützt alte Sitzungen besser
ephemeral = kurzlebig / nur für diese Sitzung
Praxis = HTTPS / TLS / VPN
13.7 Brute Force, Zufallszahlen und One-Time-Pad
Kurzüberblick
In dieser Seite geht es um die Frage:
Ist Verschlüsselung wirklich nicht zu knacken?
Die ehrliche Antwort ist:
Es kommt darauf an.
Eine Verschlüsselung kann theoretisch sehr stark sein, aber in der Praxis trotzdem unsicher werden.
Gründe dafür können sein:
zu kurze Schlüssel
schlechte Passwörter
schlechte Zufallszahlen
gestohlene Schlüssel
Fehler in der Software
Hintertüren im Algorithmus
falsch konfigurierte Systeme
unsichere Endgeräte
Benutzerfehler
IHK-Merksatz:
Starke Verschlüsselung braucht nicht nur einen guten Algorithmus, sondern auch starke Schlüssel, gute Zufallszahlen und eine sichere Umsetzung.
Quelle 11.5 – Zusammenfassung Verschlüsselung
Die Quelle stellt sinngemäß die Frage:
Ist Verschlüsselung nicht zu knacken?
Dabei werden mehrere wichtige Punkte genannt:
mögliche Hintertüren in Algorithmen
fehlerhafte Implementierung in Software
echte Zufallszahlen
Brute Force
steigende Rechenleistung
ASICs
One-Time-Pad als besonderer Sonderfall
Diese Punkte sind wichtig, weil sie zeigen:
Verschlüsselung ist nicht automatisch sicher, nur weil irgendwo „verschlüsselt“ steht.
Warum Verschlüsselung trotzdem scheitern kann
Problem
Erklärung
schwacher Schlüssel
zu kurz oder leicht erratbar
schlechtes Passwort
kann durch Ausprobieren gefunden werden
schlechte Zufallszahlen
Schlüssel können vorhersagbar werden
gestohlener Schlüssel
Angreifer kann entschlüsseln
Softwarefehler
Algorithmus wird falsch umgesetzt
Hintertür
absichtlich eingebaute Schwachstelle
unsicheres Gerät
Klartext oder Schlüssel können direkt abgegriffen werden
Benutzerfehler
Schlüssel oder Passwörter werden falsch behandelt
Kurz gesagt:
Der beste Algorithmus hilft wenig, wenn Schlüssel, Software oder Benutzerverhalten unsicher sind.
Brute Force
Brute Force bedeutet:
Ein Angreifer probiert systematisch sehr viele Möglichkeiten aus, bis etwas passt.
Zum Beispiel:
Passwörter ausprobieren
PINs ausprobieren
Schlüssel ausprobieren
Hashes gegen Wörterbücher testen
Zugangsdaten erraten
Merksatz:
Brute Force = ausprobieren, bis es passt.
Einfaches Beispiel
Angenommen, ein Passwort besteht nur aus vier Ziffern.
Dann gibt es:
0000 bis 9999
Also 10.000 Möglichkeiten.
Ein Computer kann solche Kombinationen sehr schnell ausprobieren.
Bei einem langen, zufälligen Passwort wird das viel schwieriger.
Was beeinflusst Brute Force?
Faktor
Auswirkung
Länge des Passworts
längere Passwörter sind schwerer zu knacken
Zeichenvorrat
mehr mögliche Zeichen erhöhen die Anzahl der Kombinationen
Zufälligkeit
zufällige Passwörter sind schwerer zu erraten
Rechenleistung
schnellere Hardware kann mehr Versuche pro Sekunde machen
Schutzmechanismen
Sperren und Wartezeiten bremsen Angriffe
Passwort-Wiederverwendung
erhöht das Risiko bei Datenlecks
Beispiel: Warum Länge wichtig ist
Ein Passwort wie:
haus
ist viel schwächer als:
T7!mQ9#vL2pR
Warum?
Das zweite Passwort ist:
länger
zufälliger
schwerer zu erraten
schwerer per Brute Force zu finden
Achtung Prüfungsfalle:
Ein langes, zufälliges Passwort ist meistens besser als ein kurzes, kompliziert wirkendes Passwort.
Rechenleistung und Brute Force
Je mehr Rechenleistung ein Angreifer hat, desto schneller kann er Möglichkeiten ausprobieren.
Die Quelle nennt dazu sinngemäß unterschiedliche Leistungsstufen:
Hardware
Bedeutung
normaler PC
vergleichsweise langsam
Grafikkarte
schneller für viele parallele Berechnungen
Spezialhardware
für bestimmte Aufgaben optimiert
ASIC
sehr spezialisierte Hardware
ASIC bedeutet:
anwendungsspezifische integrierte Schaltung
Das heißt:
Ein Chip wird speziell für eine bestimmte Aufgabe gebaut.
Kurz gesagt:
Mehr spezialisierte Hardware = mehr Versuche pro Sekunde.
Gegenmaßnahmen gegen Brute Force
Maßnahme
Wirkung
lange Passwörter
erhöhen die Anzahl möglicher Kombinationen
zufällige Passwörter
verhindern leichtes Erraten
Passwortmanager
ermöglicht lange, einzigartige Passwörter
Multi-Faktor-Authentifizierung
Passwort allein reicht nicht aus
Rate Limiting
begrenzt Versuche pro Zeit
Account-Sperre
stoppt viele Fehlversuche
starke Schlüssel
erschweren vollständiges Durchprobieren
moderne Algorithmen
vermeiden bekannte Schwächen
IHK-Merksatz:
Gegen Brute Force helfen vor allem Länge, Zufall, Begrenzung der Versuche und zusätzliche Faktoren.
Zufallszahlen
Zufallszahlen sind in der Kryptografie extrem wichtig.
Warum?
Schlüssel sollen nicht erratbar sein.
Wenn ein Schlüssel vorhersehbar ist, kann ein Angreifer ihn leichter finden.
Das Problem:
Ein Computer ist grundsätzlich eine Maschine.
Er erzeugt oft nur scheinbaren Zufall, wenn kein guter Zufallszahlengenerator verwendet wird.
Warum schlechte Zufallszahlen gefährlich sind
Angenommen, ein System erzeugt Schlüssel nicht wirklich zufällig.
Dann könnten Schlüssel zum Beispiel:
wiederholt auftreten
nach einem Muster entstehen
aus der Uhrzeit ableitbar sein
aus wenigen Startwerten berechenbar sein
für Angreifer vorhersagbar werden
Dann kann ein eigentlich starker Algorithmus unsicher werden.
Merksatz:
Starker Algorithmus + schlechter Zufall = unsicheres System.
Beispiel: Zufall bei Schlüsseln
Ein guter Schlüssel sollte für einen Angreifer nicht vorhersehbar sein.
Schlecht:
1234567890
Besser:
K7!qP4#zL9@vX2
Noch besser ist ein Schlüssel, der von einem sicheren kryptografischen Zufallszahlengenerator erzeugt wurde.
Was muss bei Schlüsseln stimmen?
Eigenschaft
Warum wichtig?
ausreichend lang
erschwert Brute Force
zufällig
verhindert Vorhersagbarkeit
geheim
sonst kann entschlüsselt werden
einmalig oder passend genutzt
Wiederverwendung kann gefährlich sein
sicher gespeichert
verhindert Diebstahl
sicher übertragen
verhindert Abfangen
One-Time-Pad
Das One-Time-Pad ist ein besonderer Fall der Verschlüsselung.
Es gilt theoretisch als nicht knackbar, wenn alle Bedingungen erfüllt sind.
Diese Bedingungen sind aber sehr streng.
Bedingungen für ein sicheres One-Time-Pad
Bedingung
Erklärung
Schlüssel ist wirklich zufällig
keine Muster, nicht vorhersagbar
Schlüssel ist mindestens so lang wie die Nachricht
jeder Teil der Nachricht braucht Schlüsselmaterial
Schlüssel wird nur einmal verwendet
Wiederverwendung zerstört die Sicherheit
Schlüssel bleibt geheim
sonst kann entschlüsselt werden
Schlüssel wird sicher übertragen
Schlüssel darf nicht abgefangen werden
IHK-Merksatz:
One-Time-Pad ist theoretisch extrem sicher, aber praktisch schwer sauber umzusetzen.
Warum ist One-Time-Pad praktisch schwierig?
Das größte Problem ist die Schlüsselverteilung.
Wenn der Schlüssel genauso lang sein muss wie die Nachricht, muss dieser lange Schlüssel vorher sicher zu Bob gelangen.
Das ist unpraktisch.
Nachricht
benötigter Schlüssel
1 MB Datei
mindestens 1 MB Schlüssel
100 MB Datei
mindestens 100 MB Schlüssel
1 GB Datei
mindestens 1 GB Schlüssel
Und dieser Schlüssel muss:
vorher sicher erzeugt werden
sicher an Bob übertragen werden
geheim bleiben
nach einmaliger Nutzung vernichtet werden
niemals wiederverwendet werden
Warum darf ein One-Time-Pad-Schlüssel nur einmal verwendet werden?
Wenn derselbe Schlüssel mehrfach verwendet wird, können Angreifer aus mehreren verschlüsselten Nachrichten Muster ableiten.
Dann ist die theoretische Sicherheit verloren.
Deshalb heißt es:
One-Time Pad
Also:
nur einmal verwenden
Achtung Prüfungsfalle:
One-Time-Pad ist nur sicher, wenn alle Bedingungen wirklich erfüllt sind.
Vergleich: normale Verschlüsselung und One-Time-Pad
Merkmal
Moderne Verschlüsselung
One-Time-Pad
Schlüssel kürzer als Daten möglich
ja
nein
praktisch gut nutzbar
ja
schwierig
theoretisch nicht knackbar
abhängig vom Verfahren
ja, wenn Bedingungen erfüllt
Schlüsselverteilung
handhabbar
sehr schwierig
Wiederverwendung des Schlüssels
abhängig vom Verfahren geregelt
verboten
wichtig für IHK
Grundidee verstehen
Sonderfall kennen
Zusammenhang: Brute Force, Zufall und One-Time-Pad
Diese drei Themen hängen zusammen.
Thema
Kerngedanke
Brute Force
Angreifer probiert Möglichkeiten aus
Zufallszahlen
Schlüssel sollen nicht vorhersagbar sein
One-Time-Pad
theoretisch sicher bei perfektem Zufall und einmaliger Nutzung
Kurz gesagt:
Brute Force greift schwache oder zu kurze Schlüssel an.
Gute Zufallszahlen machen Schlüssel schwerer vorhersagbar.
One-Time-Pad zeigt, wie wichtig echter Zufall und einmalige Nutzung sind.
Typische IHK-Fragen
Was bedeutet Brute Force?
Brute Force bedeutet, dass ein Angreifer systematisch viele Möglichkeiten ausprobiert.
Was wird bei Brute Force ausprobiert?
Zum Beispiel Passwörter, PINs, Schlüssel oder Hashwerte.
Was schützt gegen Brute Force?
Lange und zufällige Passwörter, starke Schlüssel, Begrenzung von Fehlversuchen und Multi-Faktor-Authentifizierung.
Warum sind Zufallszahlen in der Kryptografie wichtig?
Weil Schlüssel nicht vorhersagbar sein dürfen.
Was passiert bei schlechten Zufallszahlen?
Schlüssel können leichter erraten oder berechnet werden.
Was ist das One-Time-Pad?
Ein theoretisch extrem sicheres Verfahren, wenn der Schlüssel wirklich zufällig, mindestens so lang wie die Nachricht, geheim und nur einmal verwendet wird.
Warum ist One-Time-Pad praktisch schwierig?
Weil der Schlüssel sehr lang sein muss und sicher verteilt werden muss.
Prüfungsfalle: „verschlüsselt“ heißt nicht automatisch sicher
Nur weil Daten verschlüsselt sind, heißt das nicht automatisch, dass alles sicher ist.
Man muss fragen:
Frage
Warum wichtig?
Ist der Algorithmus sicher?
schwache Verfahren können gebrochen werden
Ist der Schlüssel lang genug?
kurze Schlüssel sind leichter durchprobierbar
Ist der Schlüssel zufällig?
vorhersehbare Schlüssel sind gefährlich
Ist der Schlüssel geheim geblieben?
gestohlene Schlüssel zerstören Sicherheit
Ist die Software korrekt umgesetzt?
Implementierungsfehler können alles schwächen
Ist das Endgerät sicher?
Klartext kann dort abgegriffen werden
Prüfungsfalle: One-Time-Pad nicht mit normalem Passwort verwechseln
Ein One-Time-Pad ist nicht einfach ein normales Passwort.
Ein One-Time-Pad-Schlüssel muss:
wirklich zufällig sein
mindestens so lang wie die Nachricht sein
nur einmal verwendet werden
geheim bleiben
sicher übertragen werden
Wenn eine dieser Bedingungen verletzt wird, ist die besondere Sicherheit nicht mehr gegeben.
Zusammenfassung
Brute Force ist das systematische Ausprobieren vieler Möglichkeiten.
Je kürzer oder vorhersehbarer ein Passwort oder Schlüssel ist, desto leichter wird ein Brute-Force-Angriff.
Gute Zufallszahlen sind wichtig, damit Schlüssel nicht erratbar oder berechenbar sind.
Das One-Time-Pad ist theoretisch extrem sicher, aber praktisch schwer umzusetzen, weil der Schlüssel wirklich zufällig, mindestens so lang wie die Nachricht, geheim und nur einmalig verwendbar sein muss.
IHK-Spickzettel:
Brute Force = systematisches Ausprobieren
Schutz = lange, zufällige Passwörter und starke Schlüssel
Zufallszahlen = wichtig für sichere Schlüssel
schlechter Zufall = unsicheres System
One-Time-Pad = theoretisch nicht knackbar bei perfekten Bedingungen
Problem beim One-Time-Pad = sichere Schlüsselverteilung
13.8 Steganographie
Kurzüberblick
Steganographie bedeutet:
Informationen werden in unauffälligen Daten versteckt.
Das Ziel ist nicht nur, den Inhalt zu schützen, sondern vor allem zu verbergen, dass überhaupt eine geheime Nachricht vorhanden ist.
IHK-Merksatz:
Verschlüsselung macht den Inhalt unlesbar.
Steganographie versteckt die Existenz der Nachricht.
Quelle 11.6 – Steganographie
In der Quelle wird Steganographie als das Verstecken von Informationen in alltäglichen, unauffälligen Daten beschrieben.
Als Beispiel wird ein Bild verwendet.
Ein Bild besteht aus vielen Bildpunkten.
Jeder Bildpunkt kann Farbinformationen enthalten, zum Beispiel:
Rot
Grün
Blau
Bei einem RGB-Bild besteht ein Bildpunkt also aus drei Farbanteilen.
Jeder Farbanteil hat typischerweise 8 Bit.
Grundidee
Ein Bildpunkt kann vereinfacht so aufgebaut sein:
Farbanteil
Größe
Rot
8 Bit
Grün
8 Bit
Blau
8 Bit
Zusammen ergibt das:
Bestandteil
Rechnung
Rot
8 Bit
Grün
8 Bit
Blau
8 Bit
Gesamt pro Bildpunkt
24 Bit
Das bedeutet:
Ein Bildpunkt enthält viele kleine Binärinformationen.
Wenn man nur sehr kleine Teile davon verändert, sieht das menschliche Auge oft kaum einen Unterschied.
Least Significant Bit
Das unbedeutendste Bit nennt man:
Least Significant Bit
Abkürzung:
LSB
Dieses Bit hat den kleinsten Einfluss auf den Zahlenwert.
Wenn man nur dieses letzte Bit ändert, verändert sich die Farbe nur minimal.
Beispiel:
Wert vorher
Wert nachher
Änderung
10101100
10101101
nur das letzte Bit geändert
01100101
01100100
nur das letzte Bit geändert
10011010
10011011
nur das letzte Bit geändert
Der Farbwert ändert sich dadurch nur sehr wenig.
Kurz gesagt:
Beim LSB-Verfahren wird Information in den kleinsten, kaum sichtbaren Änderungen versteckt.
Beispiel mit einem RGB-Bildpunkt
Ein RGB-Bildpunkt besteht aus:
Farbe
Beispielwert
Rot
10101101
Grün
01100101
Blau
10011010
In jedem dieser drei Farbwerte kann man das letzte Bit verändern.
Dadurch kann ein einzelner Bildpunkt ungefähr 3 Bit verstecken:
Farbe
versteckbares Bit
Rot
1 Bit
Grün
1 Bit
Blau
1 Bit
Gesamt
3 Bit pro Bildpunkt
Merksatz:
Ein RGB-Bildpunkt kann bei einfacher LSB-Steganographie ungefähr 3 Bit verstecken.
Warum sieht man die Veränderung kaum?
Wenn nur das letzte Bit eines Farbwertes verändert wird, ändert sich der Farbwert nur um 1.
Bei 8 Bit gibt es 256 mögliche Werte.
Das heißt:
Eine Änderung um 1 ist sehr klein.
Beispiel
Bedeutung
Farbwert 120
ursprünglicher Farbwert
Farbwert 121
nach Änderung des letzten Bits
Unterschied
kaum sichtbar
Für das menschliche Auge ist so eine minimale Änderung meistens nicht erkennbar.
Steganographie ist nicht dasselbe wie Verschlüsselung
Steganographie und Verschlüsselung werden oft verwechselt.
Sie haben aber unterschiedliche Ziele.
Technik
Ziel
Verschlüsselung
Inhalt unlesbar machen
Steganographie
Existenz der Nachricht verstecken
Beispiel:
Situation
Bedeutung
verschlüsselte Datei
Jeder sieht, dass etwas Verschlüsseltes vorhanden ist
steganographisches Bild
Es sieht wie ein normales Bild aus
verschlüsselte Nachricht im Bild
Inhalt ist geschützt und zusätzlich versteckt
Achtung Prüfungsfalle:
Steganographie macht den Inhalt nicht automatisch sicher.
Sie versteckt zunächst nur, dass eine Nachricht vorhanden ist.
Vergleich: Verschlüsselung und Steganographie
Merkmal
Verschlüsselung
Steganographie
Hauptziel
Inhalt schützen
Nachricht verstecken
Sichtbarkeit
Geheimtext ist sichtbar
Nachricht soll unauffällig bleiben
Wenn entdeckt
Inhalt ist hoffentlich noch unlesbar
Inhalt könnte lesbar sein
Typisches Beispiel
AES, RSA, ChaCha20
Nachricht in Bild verstecken
Sicherheitsziel
Vertraulichkeit
Verbergen der Existenz
Ideale Nutzung
allein möglich
besser mit Verschlüsselung kombinieren
Ideale Kombination
Die beste Vorgehensweise ist oft:
Nachricht zuerst verschlüsseln.
Verschlüsselte Nachricht anschließend verstecken.
Warum?
Wenn die versteckte Nachricht entdeckt wird, ist sie immer noch verschlüsselt.
Schritt
Wirkung
Verschlüsseln
Inhalt wird unlesbar
Verstecken
Existenz der Nachricht wird verborgen
Kombination
Inhalt ist geschützt und schwerer zu finden
IHK-Merksatz:
Erst verschlüsseln, dann verstecken.
So erhält man Vertraulichkeit und Unauffälligkeit.
Einfaches Beispiel
Alice möchte Bob eine geheime Nachricht schicken.
Die Nachricht lautet:
Treffen um 18 Uhr
Alice verschlüsselt die Nachricht zuerst.
Daraus wird zum Beispiel:
A7x!9LmQ2#
Danach versteckt Alice diesen Geheimtext in einem Bild.
Bob erhält ein scheinbar normales Bild.
Mit dem passenden Verfahren kann Bob die versteckte Nachricht auslesen und danach entschlüsseln.
Was sieht Eve?
Wenn Eve das Bild sieht, erkennt sie im besten Fall nicht, dass darin eine Nachricht versteckt ist.
Fall
Was passiert?
Eve erkennt nichts
Nachricht bleibt unentdeckt
Eve findet versteckte Daten
ohne Verschlüsselung könnte der Inhalt lesbar sein
Eve findet verschlüsselte versteckte Daten
Inhalt bleibt trotzdem geschützt
Darum ist die Kombination aus Verschlüsselung und Steganographie sinnvoll.
Typische Trägerdaten
Steganographie kann Informationen in verschiedenen Dateitypen verstecken.
Beispiele:
Trägerdatei
Möglichkeit
Bilddatei
Bits in Farbwerten verstecken
Audiodatei
kleine Änderungen im Audiosignal
Videodatei
Bild- und Audiodaten nutzen
Textdatei
Leerzeichen, Formatierung oder Zeichenmuster
Netzwerkverkehr
versteckte Informationen in Protokollfeldern
Für die IHK ist meistens die Grundidee wichtiger als ein spezielles Werkzeug.
Vorteile der Steganographie
Vorteil
Erklärung
unauffällig
Nachricht soll nicht erkennbar sein
kombinierbar
kann mit Verschlüsselung kombiniert werden
viele Träger möglich
Bilder, Audio, Video oder andere Daten
zusätzlicher Schutz
Angreifer muss zuerst erkennen, dass etwas versteckt ist
Nachteile und Risiken
Nachteil
Erklärung
nicht automatisch verschlüsselt
Inhalt kann lesbar sein, wenn entdeckt
Datei kann verändert werden
Kompression oder Bearbeitung kann versteckte Daten zerstören
begrenzter Speicherplatz
nicht beliebig viel Information passt unauffällig hinein
Analyse möglich
Spezialwerkzeuge können Auffälligkeiten erkennen
falsche Nutzung
kann auch für schädliche Zwecke missbraucht werden
Problem: Bildkompression
Ein wichtiges Problem ist Kompression.
Wenn ein Bild nachträglich verändert oder stark komprimiert wird, können versteckte Informationen beschädigt oder zerstört werden.
Beispiel:
Aktion
Risiko
Bild verkleinern
versteckte Bits können verloren gehen
Bild stark komprimieren
Farbwerte ändern sich
Bildformat wechseln
versteckte Daten können zerstört werden
Bild bearbeiten
versteckte Nachricht kann beschädigt werden
Kurz gesagt:
Steganographie ist empfindlich gegenüber Veränderungen an der Trägerdatei.
Steganographie und Sicherheit
Steganographie allein ist keine vollständige Sicherheitslösung.
Sie schützt vor allem gegen Aufmerksamkeit.
Das heißt:
Eve soll möglichst gar nicht merken, dass eine geheime Nachricht existiert.
Aber wenn Eve die versteckte Nachricht findet, braucht man zusätzlich Verschlüsselung.
Ziel
Technik
Inhalt unlesbar machen
Verschlüsselung
Existenz verbergen
Steganographie
Absender prüfen
digitale Signatur
Veränderung erkennen
Hash / Signatur
Typische IHK-Fragen zur Steganographie
Was ist Steganographie?
Steganographie ist das Verstecken von Informationen in unauffälligen Daten.
Was ist das Ziel der Steganographie?
Das Ziel ist, die Existenz einer Nachricht zu verbergen.
Was ist der Unterschied zur Verschlüsselung?
Verschlüsselung macht den Inhalt unlesbar.
Steganographie versteckt, dass eine Nachricht vorhanden ist.
Warum sollte man Steganographie mit Verschlüsselung kombinieren?
Wenn die versteckte Nachricht entdeckt wird, bleibt der Inhalt trotzdem geschützt.
Was bedeutet LSB?
LSB bedeutet Least Significant Bit, also das unbedeutendste Bit.
Warum eignet sich das LSB für Steganographie?
Weil eine Änderung am letzten Bit den Farbwert nur minimal verändert und oft kaum sichtbar ist.
Wie viele Bit kann ein RGB-Bildpunkt bei einfacher LSB-Steganographie ungefähr verstecken?
Ungefähr 3 Bit, also je 1 Bit in Rot, Grün und Blau.
Prüfungsfalle: Steganographie schützt nicht automatisch den Inhalt
Wenn eine Nachricht nur versteckt, aber nicht verschlüsselt wurde, kann sie bei Entdeckung lesbar sein.
Darum gilt:
Aussage
Bewertung
Steganographie versteckt die Nachricht.
richtig
Steganographie verschlüsselt automatisch den Inhalt.
falsch
Verschlüsselung macht den Inhalt unlesbar.
richtig
Kombination aus beidem ist sinnvoll.
richtig
Achtung:
Versteckt ist nicht automatisch verschlüsselt.
Prüfungsfalle: Steganographie ist kein Ersatz für Verschlüsselung
Steganographie und Verschlüsselung haben unterschiedliche Aufgaben.
Aufgabe
Besser passende Technik
Inhalt geheim halten
Verschlüsselung
Nachricht unauffällig verstecken
Steganographie
Absender prüfen
digitale Signatur
Dateiänderung erkennen
Hashfunktion
Merksatz:
Steganographie ersetzt keine Verschlüsselung.
Sie ergänzt Verschlüsselung.
Zusammenfassung
Steganographie bedeutet, Informationen in unauffälligen Daten zu verstecken.
Ein typisches Beispiel ist das Verstecken von Daten in Bildpunkten.
Bei RGB-Bildern bestehen Bildpunkte aus Rot, Grün und Blau.
Wenn jeweils das letzte Bit verändert wird, kann man Informationen verstecken, ohne dass das Bild sichtbar stark verändert wirkt.
Steganographie versteckt aber nur die Existenz der Nachricht.
Für echten Schutz des Inhalts sollte die Nachricht vorher verschlüsselt werden.
IHK-Spickzettel:
Steganographie = Nachricht verstecken
Verschlüsselung = Inhalt unlesbar machen
LSB = Least Significant Bit
RGB-Bildpunkt = Rot + Grün + Blau
ungefähr 3 Bit pro Bildpunkt versteckbar
beste Kombination = erst verschlüsseln, dann verstecken
Prüfungsfalle = versteckt ist nicht automatisch verschlüsselt
FRAGEN – Verschlüsselung und Sicherheitsgrundlagen
50 Fragen und Antworten zum Ausklappen
Diese Fragen beziehen sich auf die behandelten Themen aus 13. Verschlüsselung und Sicherheitsgrundlagen :
symmetrische Verschlüsselung
asymmetrische Verschlüsselung
hybride Verschlüsselung
digitale Signatur
Hashfunktion
Zertifikate
Authentizität, Integrität und Vertraulichkeit
Diffie-Hellman
Perfect Forward Secrecy
Brute Force
Zufallszahlen
One-Time-Pad
Steganographie
1. Was bedeutet Verschlüsselung?
Verschlüsselung bedeutet, dass lesbare Daten so umgewandelt werden, dass sie ohne passenden Schlüssel nicht mehr verständlich sind.
Aus Klartext wird Geheimtext beziehungsweise Chiffrat.
Beispiel:
Klartext: Hallo Bob
Geheimtext: A4$h!7k9%Lz@8mQ
Erst mit dem passenden Schlüssel kann der ursprüngliche Inhalt wiederhergestellt werden.
2. Was ist Klartext?
Klartext ist die ursprüngliche, lesbare Nachricht.
Beispiel:
Passwort: geheim123
Klartext ist also der Inhalt, bevor er verschlüsselt wurde oder nachdem er wieder entschlüsselt wurde.
3. Was ist Geheimtext oder Chiffrat?
Geheimtext oder Chiffrat ist die verschlüsselte Form einer Nachricht.
Der Inhalt ist ohne passenden Schlüssel nicht sinnvoll lesbar.
Beispiel:
A4$h!7k9%Lz@8mQ
4. Welche drei Sicherheitsziele sind besonders wichtig?
Die drei besonders wichtigen Sicherheitsziele sind:
Vertraulichkeit
Integrität
Authentizität
Merksatz:
Vertraulichkeit = nur Berechtigte können lesen
Integrität = Daten wurden nicht verändert
Authentizität = Identität oder Absender ist echt
5. Was bedeutet Vertraulichkeit?
Vertraulichkeit bedeutet:
Nur berechtigte Personen oder Systeme können den Inhalt lesen.
Beispiele:
Verschlüsselung
HTTPS
VPN
WPA2 / WPA3
verschlüsselte Festplatten
verschlüsselte Backups
6. Was bedeutet Integrität?
Integrität bedeutet:
Daten wurden nicht verändert.
Man möchte erkennen können, ob eine Nachricht, Datei oder Übertragung manipuliert wurde.
Beispiele für Techniken zur Integritätsprüfung:
Hashfunktion
digitale Signatur
Prüfsumme
Message Authentication Code
7. Was bedeutet Authentizität?
Authentizität bedeutet:
Die Identität ist echt.
Die Leitfrage lautet:
Bist du wirklich derjenige, für den du dich ausgibst?
Beispiele:
Login mit Benutzername und Passwort
Zertifikat
digitale Signatur
Zwei-Faktor-Authentifizierung
Shared Secret
8. Was ist symmetrische Verschlüsselung?
Bei der symmetrischen Verschlüsselung verwenden Sender und Empfänger denselben geheimen Schlüssel.
Alice verschlüsselt mit diesem Schlüssel.
Bob entschlüsselt mit demselben Schlüssel.
Merksatz:
Symmetrisch = gleicher geheimer Schlüssel auf beiden Seiten.
9. Was ist der größte Vorteil symmetrischer Verschlüsselung?
Der größte Vorteil ist die Geschwindigkeit.
Symmetrische Verschlüsselung ist sehr schnell und eignet sich gut für große Datenmengen.
Beispiele:
Dateien
Datenströme
VPN-Datenverkehr
HTTPS-Nutzdaten
WLAN-Datenverkehr
Festplattenverschlüsselung
10. Was ist der größte Nachteil symmetrischer Verschlüsselung?
Der größte Nachteil ist die Schlüsselübergabe.
Alice und Bob brauchen denselben geheimen Schlüssel.
Die wichtige Frage lautet:
Wie bekommt Bob den geheimen Schlüssel, ohne dass Eve ihn kopieren kann?
11. Was passiert, wenn Eve den symmetrischen Schlüssel bekommt?
Wenn Eve den gemeinsamen geheimen Schlüssel besitzt, kann sie die verschlüsselten Nachrichten entschlüsseln.
Dann ist die Sicherheit verloren.
Merksatz:
Der Schlüssel ist das eigentliche Geheimnis.
12. Warum ist symmetrische Verschlüsselung bei vielen Teilnehmern unpraktisch?
Weil viele Teilnehmer viele gemeinsame Schlüssel benötigen.
Bei Alice und Bob reicht ein Schlüssel.
Bei vielen Benutzern müssen aber sehr viele sichere Schlüsselbeziehungen verwaltet werden.
Das skaliert schlecht.
13. Was ist asymmetrische Verschlüsselung?
Bei der asymmetrischen Verschlüsselung gibt es zwei verschiedene Schlüssel:
öffentlicher Schlüssel
privater Schlüssel
Der öffentliche Schlüssel darf verteilt werden.
Der private Schlüssel bleibt geheim.
Merksatz:
Asymmetrisch = öffentlicher + privater Schlüssel.
14. Wer erzeugt bei asymmetrischer Verschlüsselung das Schlüsselpaar?
Der Empfänger erzeugt das Schlüsselpaar, wenn er verschlüsselte Nachrichten empfangen möchte.
Beispiel:
Bob möchte geheime Nachrichten empfangen.
Also erzeugt Bob einen öffentlichen und einen privaten Schlüssel.
15. Welchen Schlüssel nutzt Alice, wenn sie Bob eine geheime Nachricht senden möchte?
Alice nutzt Bobs öffentlichen Schlüssel.
Nur Bob kann die Nachricht anschließend mit seinem privaten Schlüssel entschlüsseln.
Merksatz:
Geheim an Bob senden = Bobs öffentlichen Schlüssel verwenden.
16. Welchen Schlüssel nutzt Bob zum Entschlüsseln?
Bob nutzt seinen privaten Schlüssel.
Der private Schlüssel darf nicht weitergegeben werden.
Wenn der private Schlüssel gestohlen wird, ist die Sicherheit gefährdet.
17. Warum darf der öffentliche Schlüssel öffentlich sein?
Der öffentliche Schlüssel ist dafür gedacht, verteilt zu werden.
Auch Eve darf ihn sehen.
Mit dem öffentlichen Schlüssel allein kann Eve aber nicht entschlüsseln.
Geheim bleiben muss der private Schlüssel.
18. Was ist der Vorteil asymmetrischer Verschlüsselung?
Der Vorteil ist, dass kein gemeinsamer geheimer Schlüssel vorher sicher übertragen werden muss.
Der öffentliche Schlüssel darf offen verteilt werden.
Dadurch hilft asymmetrische Verschlüsselung beim Problem der Schlüsselübergabe.
19. Was ist der Nachteil asymmetrischer Verschlüsselung?
Asymmetrische Verschlüsselung ist langsamer und rechenaufwendiger als symmetrische Verschlüsselung.
Deshalb verschlüsselt man große Datenmengen in der Praxis meistens nicht komplett asymmetrisch.
20. Was ist hybride Verschlüsselung?
Hybride Verschlüsselung kombiniert asymmetrische und symmetrische Verschlüsselung.
Asymmetrisch wird für den sicheren Schlüsselaustausch genutzt.
Symmetrisch wird für die schnelle Verschlüsselung der Nutzdaten genutzt.
Merksatz:
Hybrid = asymmetrisch für den Schlüssel, symmetrisch für die Daten.
21. Warum nutzt man hybride Verschlüsselung?
Man nutzt hybride Verschlüsselung, weil beide Verfahren unterschiedliche Vorteile haben.
Symmetrisch:
schnell
gut für große Datenmengen
Problem: Schlüsselübergabe
Asymmetrisch:
löst Schlüsselübergabe
aber langsamer
Hybrid kombiniert beide Vorteile.
22. Was wird bei hybrider Verschlüsselung asymmetrisch verschlüsselt?
Der symmetrische Sitzungsschlüssel wird asymmetrisch geschützt oder übertragen.
Die eigentlichen Nutzdaten werden danach symmetrisch verschlüsselt.
23. Was wird bei hybrider Verschlüsselung symmetrisch verschlüsselt?
Die eigentlichen Nutzdaten werden symmetrisch verschlüsselt.
Beispiele:
Dateien
Webseiteninhalte
VPN-Daten
Login-Daten innerhalb einer sicheren Verbindung
24. Was ist ein Sitzungsschlüssel?
Ein Sitzungsschlüssel ist ein symmetrischer Schlüssel für eine bestimmte Verbindung oder Sitzung.
Er sollte:
zufällig erzeugt werden
nur für diese Sitzung gelten
geheim bleiben
nach der Nutzung verworfen werden
25. Wo wird hybride Verschlüsselung praktisch genutzt?
Hybride Verschlüsselung wird zum Beispiel genutzt bei:
HTTPS
TLS
VPN
sicherer Datenübertragung im Internet
sicherer E-Mail-Kommunikation
26. Was ist eine digitale Signatur?
Eine digitale Signatur ist ein Verfahren, mit dem geprüft werden kann:
ob der Absender echt ist
ob die Daten unverändert sind
Eine digitale Signatur dient hauptsächlich Authentizität und Integrität.
27. Bietet eine digitale Signatur automatisch Vertraulichkeit?
Nein.
Eine digitale Signatur macht den Inhalt nicht automatisch geheim.
Sie prüft vor allem:
Absender-Echtheit
Unverändertheit der Daten
Für Vertraulichkeit braucht man Verschlüsselung.
28. Welchen Schlüssel nutzt der Absender zum Signieren?
Der Absender nutzt seinen privaten Schlüssel.
Beispiel:
Bob signiert mit Bobs privatem Schlüssel.
29. Welchen Schlüssel nutzt der Empfänger zum Prüfen einer Signatur?
Der Empfänger nutzt den öffentlichen Schlüssel des Absenders.
Beispiel:
Alice prüft Bobs Signatur mit Bobs öffentlichem Schlüssel.
30. Was ist der Unterschied zwischen Verschlüsselung und Signatur?
Verschlüsselung schützt den Inhalt vor Mitlesen.
Digitale Signatur prüft Absender und Unverändertheit.
Vergleich:
Verschlüsselung = Vertraulichkeit
Signatur = Authentizität + Integrität
31. Was ist eine Hashfunktion?
Eine Hashfunktion erzeugt aus Daten einen Prüfwert fester Länge.
Dieser Prüfwert heißt Hash oder Hashwert.
Ein Hash ist wie ein digitaler Fingerabdruck von Daten.
32. Ist ein Hash eine Verschlüsselung?
Nein.
Ein Hash ist keine Verschlüsselung.
Ein Hash wird normalerweise nicht entschlüsselt.
Stattdessen berechnet man den Hash neu und vergleicht ihn mit einem bekannten Hashwert.
33. Wozu dient ein Hash?
Ein Hash dient vor allem zur Integritätsprüfung.
Man kann damit erkennen, ob Daten verändert wurden.
Beispiele:
Datei prüfen
Download prüfen
Nachricht prüfen
Grundlage für digitale Signaturen
34. Was passiert mit dem Hash, wenn sich eine Datei leicht ändert?
Schon eine kleine Änderung an der Datei verändert den Hashwert stark.
Beispiel:
Hallo → a1b2c3d4...
Halla → 9f8e7d6c...
Merksatz:
Kleine Änderung an den Daten = großer Unterschied beim Hash.
35. Was ist ein Zertifikat?
Ein Zertifikat ist ein digitaler Nachweis.
Es verbindet eine Identität mit einem öffentlichen Schlüssel.
Beispiel:
Ein Zertifikat kann bestätigen, dass ein öffentlicher Schlüssel wirklich zu www.beispiel.de gehört.
36. Wozu braucht man Zertifikate?
Zertifikate helfen dabei, die Identität zu prüfen.
Sie beantworten zum Beispiel die Frage:
Gehört dieser öffentliche Schlüssel wirklich zu dieser Webseite oder Person?
Typische Nutzung:
HTTPS
TLS
VPN
digitale Signaturen
sichere Serveridentifikation
37. Welches Sicherheitsziel passt besonders zu Zertifikaten?
Zertifikate gehören besonders zur Authentizität.
Sie helfen zu prüfen, ob eine Identität echt ist.
Merksatz:
Zertifikat = Identität + öffentlicher Schlüssel.
38. Was ist Diffie-Hellman?
Diffie-Hellman ist ein Verfahren zum Schlüsselaustausch.
Alice und Bob können damit über ein unsicheres Netzwerk ein gemeinsames Geheimnis erzeugen, ohne dieses Geheimnis direkt zu übertragen.
39. Verschlüsselt Diffie-Hellman direkt große Datenmengen?
Nein.
Diffie-Hellman dient dem Schlüsselaustausch.
Die eigentlichen Daten werden danach meistens symmetrisch verschlüsselt.
Merksatz:
Diffie-Hellman = Schlüsselaustausch, nicht Nutzdatenverschlüsselung.
40. Was sieht Eve bei Diffie-Hellman?
Eve kann öffentliche Austauschwerte sehen.
Eve sieht aber nicht:
Alices privaten Anteil
Bobs privaten Anteil
den fertigen Sitzungsschlüssel
Dadurch kann Eve den gemeinsamen Schlüssel nicht einfach berechnen.
41. Was bedeutet Perfect Forward Secrecy?
Perfect Forward Secrecy bedeutet:
Alte Sitzungen sollen besser geschützt bleiben, auch wenn später ein langfristiger privater Schlüssel kompromittiert wird.
Merksatz:
PFS schützt alte Sitzungen besser.
42. Was bedeutet ephemeral?
Ephemeral bedeutet kurzlebig.
Im Zusammenhang mit Kryptografie bedeutet es:
Schlüsselmaterial wird nur für eine bestimmte Sitzung genutzt und danach verworfen.
Das hilft bei Perfect Forward Secrecy.
43. Was ist Brute Force?
Brute Force bedeutet:
Ein Angreifer probiert systematisch viele Möglichkeiten aus, bis etwas passt.
Beispiele:
Passwörter ausprobieren
PINs ausprobieren
Schlüssel ausprobieren
Hashes testen
Merksatz:
Brute Force = ausprobieren, bis es passt.
44. Was schützt gegen Brute Force?
Gegen Brute Force helfen:
lange Passwörter
zufällige Passwörter
Passwortmanager
Multi-Faktor-Authentifizierung
Rate Limiting
Account-Sperren
starke Schlüssel
moderne Algorithmen
45. Warum sind Zufallszahlen in der Kryptografie wichtig?
Zufallszahlen sind wichtig, weil Schlüssel nicht vorhersehbar sein dürfen.
Wenn ein Schlüssel aus schlechtem Zufall entsteht, kann er leichter erraten oder berechnet werden.
Merksatz:
Starker Algorithmus + schlechter Zufall = unsicheres System.
46. Was ist ein One-Time-Pad?
Das One-Time-Pad ist ein besonderer Fall der Verschlüsselung.
Es gilt theoretisch als nicht knackbar, wenn alle Bedingungen erfüllt sind.
47. Welche Bedingungen braucht ein sicheres One-Time-Pad?
Ein sicheres One-Time-Pad braucht:
Schlüssel ist wirklich zufällig
Schlüssel ist mindestens so lang wie die Nachricht
Schlüssel wird nur einmal verwendet
Schlüssel bleibt geheim
Schlüssel wird sicher übertragen
Wenn eine Bedingung verletzt wird, ist die besondere Sicherheit nicht mehr gegeben.
48. Warum ist One-Time-Pad praktisch schwierig?
Das größte Problem ist die Schlüsselverteilung.
Der Schlüssel muss mindestens so lang wie die Nachricht sein und vorher sicher an den Empfänger übertragen werden.
Das ist in der Praxis oft unpraktisch.
49. Was ist Steganographie?
Steganographie bedeutet:
Informationen werden in unauffälligen Daten versteckt.
Das Ziel ist, zu verbergen, dass überhaupt eine geheime Nachricht existiert.
Beispiel:
Eine Nachricht wird in einem Bild versteckt.
50. Was ist der Unterschied zwischen Verschlüsselung und Steganographie?
Verschlüsselung macht den Inhalt unlesbar.
Steganographie versteckt die Existenz der Nachricht.
Beste Kombination:
Erst verschlüsseln, dann verstecken.
Dann ist der Inhalt geschützt und zusätzlich unauffälliger.
Abschluss-Spickzettel
Thema
Kurzantwort
symmetrisch
gleicher geheimer Schlüssel
asymmetrisch
öffentlicher + privater Schlüssel
hybrid
asymmetrisch für Schlüssel, symmetrisch für Daten
Signatur
Authentizität + Integrität
Hash
Integrität prüfen
Zertifikat
Identität + öffentlicher Schlüssel
Diffie-Hellman
Schlüsselaustausch
PFS
alte Sitzungen besser geschützt
Brute Force
systematisches Ausprobieren
Zufallszahlen
wichtig für sichere Schlüssel
One-Time-Pad
theoretisch sicher bei perfekten Bedingungen
Steganographie
Nachricht verstecken
Vertraulichkeit
nur Berechtigte können lesen
Integrität
Daten unverändert
Authentizität
Identität echt
EXTRA: Reticulum Network Stack (RNS) im Vergleich zum OSI- und TCP/IP-Modell
Hinweis: Diese Seite ist ein Zukunfts-/Zusatzthema und gehört nicht zum klassischen IHK-Grundlagenstoff. Sie dient nur als technischer Blick darauf, wie moderne, dezentrale Netzwerk-Stacks wie Reticulum anders aufgebaut sein können als klassische Internet-Kommunikation.
1. Grundidee
Das klassische OSI-Modell erklärt Netzwerkkommunikation in 7 Schichten:
Bitübertragungsschicht
Sicherungsschicht
Vermittlungsschicht
Transportschicht
Sitzungsschicht
Darstellungsschicht
Anwendungsschicht
Das TCP/IP-Modell ist praxisnäher und beschreibt grob, wie das heutige Internet funktioniert:
Netzzugang / Physical + Link
Internet Layer
Transport Layer
Application Layer
Das RNS-Modell von Reticulum denkt anders:
Reticulum ist kein einzelnes Protokoll wie TCP, IP oder TLS, sondern ein eigener Netzwerk-Stack, bei dem Identität, Routing, Transport und Verschlüsselung eng miteinander verbunden sind.
Reticulum kann über verschiedene darunterliegende Medien laufen, zum Beispiel:
normales Internet
TCP
UDP
WLAN
Ethernet
LoRa
Packet Radio
serielle Verbindungen
I2P
Das vorhandene Medium ist dabei nur der Transportweg. Die eigentliche Reticulum-Kommunikation läuft darüber als eigenes kryptografisches Netzwerk.
2. Vergleich: OSI-Modell, TCP/IP-Modell und RNS-Modell
Bereich
OSI-Modell
TCP/IP-Modell
RNS / Reticulum
Anwendung
Application Layer
Application Layer
Application Layer Extensions
Darstellung
Presentation Layer
meist Teil der Anwendung
in Reticulum-Anwendungen integriert
Sitzung
Session Layer
meist Teil der Anwendung
durch Reticulum-Links und Sitzungslogik abgedeckt
Sicherheit
im OSI-Modell keine eigene Pflichtschicht
oft zusätzlich durch TLS, VPN oder App-Verschlüsselung
fest in Reticulum eingebaut
Transport
Transport Layer, z. B. TCP/UDP
Transport Layer, z. B. TCP/UDP
Reticulum übernimmt eigene Transport-/Link-Logik
Vermittlung / Routing
Network Layer, z. B. IP
Internet Layer, z. B. IP
kryptografisch gestützte Ziele, Pfade und Transport
Sicherung
Data Link Layer
Network Access / Link
abhängig vom verwendeten Medium
Physik
Physical Layer
Physical Layer / Network Access
Physical Layer / beliebiges Trägermedium
3. Was ist bei RNS anders?
Bei normalem Internetverkehr sieht der Ablauf stark vereinfacht so aus:
Schritt
Klassisches Internet
1
Eine Anwendung erzeugt Daten, z. B. Browser oder Messenger
2
TLS kann die Verbindung verschlüsseln
3
TCP sorgt für Transport und Reihenfolge
4
IP sorgt für Adressierung und Routing
5
Ethernet, WLAN oder Mobilfunk übertragen die Daten physisch
Bei Reticulum sieht die Denkweise anders aus:
Schritt
Reticulum / RNS
1
Eine Reticulum-Anwendung erzeugt Daten
2
Reticulum adressiert nicht klassisch nur über IP-Adressen, sondern über kryptografische Ziele
3
Reticulum verschlüsselt Inhalte standardmäßig Ende-zu-Ende
4
Reticulum kann temporäre Schlüssel pro Paket oder pro Link verwenden
5
Reticulum verpackt seine Daten in ein verfügbares Trägermedium
6
Dieses Trägermedium kann TCP, UDP, LoRa, Funk, seriell oder etwas anderes sein
4. Gegenüberstellung: Wie wird es bei RNS gemacht?
Aufgabe
Klassisch im OSI-/TCP/IP-Modell
Bei RNS / Reticulum
Adresse finden
IP-Adresse, DNS, Routingtabellen
kryptografische Identitäten und Destinations
Daten transportieren
TCP oder UDP
Reticulum-Pakete, Links und Transportlogik
Verbindung absichern
häufig TLS, VPN, IPsec oder App-Verschlüsselung
Verschlüsselung ist direkt Teil des Reticulum-Stacks
Identität prüfen
Zertifikate, DNS, CA, Login-Systeme
kryptografische Identität des Ziels
Daten über Internet senden
IP-Paket über Router
Reticulum-Paket wird in TCP/UDP/IP eingepackt
Daten über Funk senden
meist Spezialprotokoll nötig
Reticulum kann auch über LoRa, Packet Radio oder serielle Interfaces laufen
Zwischenstationen
Router sehen IP-Adressen und leiten weiter
Reticulum-Knoten leiten Pakete weiter, ohne den Inhalt lesen zu können
Anwendungsschicht
HTTP, SMTP, DNS, Messenger-Protokolle
Reticulum-Anwendungen oder Erweiterungen, z. B. Messaging über LXMF
Verschlüsselung
oft Zusatzschicht über TCP/IP
eingebauter Bestandteil des Netzwerks
Abhängigkeit vom Internet
meist stark abhängig von IP-Infrastruktur
kann IP nutzen, ist aber nicht grundsätzlich davon abhängig
5. Erklärung anhand der Grafik
Die Grafik vergleicht drei Modelle:
Modell
Bedeutung
OSI-Modell
theoretisches 7-Schichten-Modell zur Erklärung von Netzwerkkommunikation
TCP/IP-Modell
praxisnahes Modell des heutigen Internets
RNS-Modell
Reticulum Network Stack als kryptografiebasierter Netzwerk-Stack
Im OSI-Modell sind die Aufgaben stark aufgeteilt:
Anwendung
Darstellung
Sitzung
Transport
Netzwerk
Sicherung
Physik
Im TCP/IP-Modell werden mehrere OSI-Schichten zusammengefasst:
Anwendung
Transport
Netzwerk
Physik/Link
Im RNS-Modell wird vieles noch stärker zusammengeführt:
Application Layer Extensions
Secure Extensible Application Layer
Physical Layer
Das bedeutet:
Reticulum legt sehr viele Funktionen, die sonst auf mehrere Schichten verteilt sind, in eine sichere und erweiterbare Reticulum-Schicht.
Diese Reticulum-Schicht übernimmt dann unter anderem:
kryptografische Identität
sichere Ziele
Paketverschlüsselung
Link-Aufbau
Weiterleitung über mehrere Knoten
Transport über unterschiedliche Medien
Nutzung von TCP/UDP/IP als möglicher Träger
Nutzung von Funk, LoRa oder seriellen Verbindungen als möglicher Träger
6. Beispiel: Reticulum über normales Internet
Reticulum kann über das bestehende Internet laufen.
Dabei wird nicht das normale IP-Paketformat verändert. Stattdessen wird ein Reticulum-Paket in ein normales TCP- oder UDP-Paket eingepackt.
Zusatz: Welche Rolle spielt DNS bei Reticulum?
Wenn Reticulum über das normale Internet läuft, kann DNS trotzdem vorkommen. DNS ist dann aber nicht dafür zuständig, den eigentlichen Reticulum-Empfänger zu finden.
DNS macht nur das, was DNS im klassischen Internet immer macht:
Domainname
↓
IP-Adresse
Beispiel:
reticulum-node.example.org
↓
203.0.113.10
Damit findet der Rechner zunächst nur einen bekannten Reticulum-Knoten im normalen Internet.
Der eigentliche Reticulum-Weg sieht vereinfacht so aus:
Alice / Reticulum-App
↓
DNS löst eventuell einen Einstiegsknoten auf
↓
normales Internet bringt das Paket zu diesem Reticulum-Knoten
↓
ab dort übernimmt Reticulum selbst
↓
Reticulum sucht das Ziel über Destinations und Announcements
↓
Paket wird über Reticulum-Knoten weitergeleitet
↓
Bob / Reticulum-Ziel empfängt und entschlüsselt
Wichtig ist also:
DNS kennt höchstens den Einstiegspunkt ins Reticulum-Netz, aber nicht automatisch den endgültigen Reticulum-Empfänger.
Der normale Internet-Router sieht nur:
IP A sendet TCP-/UDP-Daten an IP B
Er sieht aber nicht:
Dieses Reticulum-Paket ist für Bob.
Das ist Bobs Reticulum-Destination.
Das ist der Inhalt der Nachricht.
Reticulum selbst arbeitet nicht hauptsächlich mit Domains oder klassischen IP-Zieladressen, sondern mit kryptografischen Zielen, sogenannten Destinations .
Vereinfacht:
Aufgabe
Klassisches Internet
Reticulum
Namen auflösen
DNS macht aus Domain eine IP-Adresse
DNS höchstens für Einstiegsknoten nötig
Ziel finden
IP-Adresse / Domain
Reticulum-Destination
Weiterleitung
IP-Router leiten anhand der Ziel-IP weiter
Reticulum-Knoten leiten anhand bekannter Pfade zu Destinations weiter
Herkunft im Paket
IP-Pakete enthalten normalerweise eine Quell-IP
Reticulum-Pakete enthalten keine klassische Quelladresse
Inhalt lesen
nur geschützt, wenn z. B. TLS genutzt wird
Reticulum-Inhalt ist Ende-zu-Ende verschlüsselt
Reticulum-Knoten lernen erreichbare Ziele über sogenannte Announcements . Wenn ein Ziel im Reticulum-Netz angekündigt wird, merken sich andere Reticulum-Knoten, über welchen Nachbarn dieses Ziel erreichbar ist. Später können sie Pakete in diese Richtung weiterleiten.
Merksatz:
DNS bringt dich bei Reticulum über das Internet höchstens bis zu einem bekannten Reticulum-Knoten. Danach übernimmt Reticulum selbst mit kryptografischen Destinations, Announcements und eigener Weiterleitung. Normale Internet-Router transportieren dabei nur TCP-/UDP-/IP-Pakete, verstehen aber den Reticulum-Inhalt nicht.
Ablauf:
Schritt
Beschreibung
1
Eine Reticulum-Anwendung erstellt eine Nachricht
2
Reticulum verschlüsselt die Nachricht
3
Reticulum erzeugt ein eigenes Reticulum-Paket
4
Dieses Paket wird in TCP oder UDP eingepackt
5
TCP/UDP läuft wie gewohnt über IP
6
Normale Router leiten das Paket weiter
7
Der Empfänger entpackt das Reticulum-Paket
8
Reticulum entschlüsselt die Nachricht beim richtigen Empfänger
Vereinfacht:
Reticulum-Nachricht
↓
Reticulum-Verschlüsselung
↓
Reticulum-Paket
↓
TCP/UDP-Paket
↓
IP-Paket
↓
Internet
↓
Empfänger entschlüsselt Reticulum-Nachricht
7. Warum braucht RNS nicht zwingend IP?
Im klassischen Internet ist IP die zentrale Vermittlungsschicht.
Bei Reticulum ist das anders:
Reticulum kann IP benutzen, muss es aber nicht.
Das heißt:
Situation
Reticulum-Nutzung
normales Heimnetz
Reticulum kann über TCP/UDP/IP laufen
Internet
Reticulum kann über TCP/UDP/IP getunnelt werden
LoRa-Funk
Reticulum kann direkt über LoRa laufen
Packet Radio
Reticulum kann über Funkmodems laufen
serielle Verbindung
Reticulum kann über serielle Schnittstellen laufen
I2P
Reticulum kann über ein anonymisierendes Overlay laufen
Deshalb ist Reticulum besonders interessant für Netze, die nicht immer wie normales Internet funktionieren.
Zum Beispiel:
Notfallkommunikation
Mesh-Netze
Funknetze
LoRa-Kommunikation
dezentrale Kommunikation
Kommunikation mit sehr niedriger Bandbreite
Kommunikation bei hoher Latenz
Netze ohne zentrale Infrastruktur
8. Was bedeutet „Secure Extensible Application Layer“?
In der Grafik ist beim RNS-Modell eine große grüne Schicht zu sehen:
Secure Extensible Application Layer
Das bedeutet vereinfacht:
Reticulum stellt eine sichere, erweiterbare Kommunikationsschicht bereit, auf der Anwendungen aufbauen können.
Diese Schicht ersetzt nicht einfach nur eine einzelne OSI-Schicht. Sie übernimmt mehrere Aufgaben gleichzeitig.
Klassische Aufgabe
Bei RNS ungefähr enthalten in
Adressierung
Secure Extensible Application Layer
Routing / Weiterleitung
Secure Extensible Application Layer
Verschlüsselung
Secure Extensible Application Layer
Sitzungs-/Link-Aufbau
Secure Extensible Application Layer
Pakettransport
Secure Extensible Application Layer
Anwendungserweiterungen
Application Layer Extensions
Dadurch wirkt RNS im Vergleich zum OSI-Modell viel kompakter.
9. Wichtiger Unterschied zu TLS/HTTPS
TLS/HTTPS funktioniert normalerweise so:
Ebene
Klassisches HTTPS
Anwendung
Browser / Webserver
Sicherheit
TLS
Transport
TCP
Netzwerk
IP
Physik
Ethernet, WLAN, Mobilfunk
Reticulum funktioniert eher so:
Ebene
Reticulum
Anwendung
Reticulum-App
Sicherheit
direkt in Reticulum
Transportlogik
direkt in Reticulum
Routing/Ziele
direkt in Reticulum
Trägermedium
TCP, UDP, LoRa, Funk, seriell, WLAN usw.
Merksatz:
TLS schützt eine bestehende TCP/IP-Verbindung. Reticulum baut ein eigenes kryptografisches Netzwerk, das TCP/IP nur als eine mögliche Transportmöglichkeit verwenden kann.
10. Kurze Lernzusammenfassung
Reticulum / RNS unterscheidet sich vom OSI- und TCP/IP-Modell vor allem dadurch, dass es nicht einfach eine weitere Verschlüsselungsschicht über das Internet legt.
Stattdessen ist Reticulum ein eigener Netzwerk-Stack.
Er verbindet:
Identität
Adressierung
Verschlüsselung
Transport
Routing
Anwendungserweiterungen
in einem kryptografisch aufgebauten System.
Das normale Internet kann dabei weiterhin benutzt werden, ist aber nur ein möglicher Transportweg.
Reticulum kann deshalb über TCP/UDP/IP laufen, aber auch über LoRa, Funk, serielle Verbindungen oder andere Medien.
11. Merksatz
Das OSI-Modell trennt Netzwerkkommunikation in viele einzelne Schichten. TCP/IP setzt diese Idee praxisnah für das Internet um. RNS/Reticulum geht einen anderen Weg: Es baut ein eigenes kryptografisches Netzwerk, in dem Sicherheit, Identität, Routing und Transport direkt zusammengehören. Das darunterliegende Medium kann normales Internet sein, muss es aber nicht.
12. Mini-Vergleich für den Kopf
Frage
OSI / TCP/IP
RNS / Reticulum
Braucht es IP?
meistens ja
nein, aber IP kann genutzt werden
Ist Verschlüsselung automatisch Teil des Modells?
nein, meist Zusatz wie TLS/VPN
ja, zentraler Bestandteil
Für normales Web geeignet?
ja
nicht als direkter Ersatz für normales Web gedacht
Für Mesh/Funk/LoRa geeignet?
nur mit Zusatzlösungen
genau dafür interessant
Müssen Router Reticulum verstehen?
nur Reticulum-Knoten müssen es verstehen
normale IP-Router leiten nur TCP/UDP weiter
Können Zwischenstationen Inhalte lesen?
abhängig von Verschlüsselung
bei verschlüsselter Reticulum-Kommunikation nein
Hauptidee
standardisierte Schichten
kryptografisches dezentrales Netzwerk
13. Abschluss-Merksatz
Reticulum kann das bestehende Internet als Transportweg nutzen, ersetzt es aber nicht einfach. Das klassische Internet bleibt für Web, Browser, Streaming, Cloud und Apps praktischer. Reticulum ist dagegen besonders stark bei dezentraler, sicherer und robuster Kommunikation – vor allem bei Mesh, Funk, LoRa, hoher Latenz, wenig Bandbreite und autonomen Netzen.
Quellen / weiterführende Links
Reticulum Manual: https://reticulum.network/manual/
What is Reticulum?: https://reticulum.network/manual/whatis.html
Understanding Reticulum: https://reticulum.network/manual/understanding.html
Cryptographic Primitives: https://reticulum.network/crypto.html
GitHub-Projekt: https://github.com/markqvist/Reticulum
14. VPN, Intranet und Extranet
14.1 VPN, Intranet und Extranet
VPN, Intranet und Extranet beschreiben verschiedene Möglichkeiten,
wie Benutzer und Systeme auf interne oder geschützte Ressourcen zugreifen können.
Diese Begriffe hängen eng zusammen,
werden aber nicht gleich verwendet.
Grundidee:
Intranet:
internes Netzwerk einer Organisation
Extranet:
kontrollierter Zugriff für externe Partner
VPN:
verschlüsselter Tunnel für Zugriff über ein unsicheres Netz
Merksatz:
Intranet ist intern.
Extranet ist kontrolliert extern erweitert.
VPN ist ein sicherer Tunnel.
Warum ist dieses Kapitel wichtig?
In Unternehmen arbeiten Benutzer nicht immer direkt im Firmennetz.
Beispiele:
- Homeoffice
- Außendienst
- externe Dienstleister
- Partnerunternehmen
- mehrere Standorte
- Cloud-Dienste
- mobile Geräte
- Fernwartung
- Zugriff auf interne Anwendungen
Dafür braucht man sichere Zugriffskonzepte.
Merksatz:
Moderne Netzwerke enden nicht mehr nur am Bürogebäude.
Intranet
Ein Intranet ist ein internes Netzwerk oder internes Informationssystem einer Organisation.
Es ist normalerweise nur für berechtigte interne Benutzer erreichbar.
Typische Inhalte:
- interne Webseiten
- Dokumentationen
- Mitarbeiterinformationen
- interne Anwendungen
- Ticketsystem
- Zeiterfassung
- Dateifreigaben
- interne Wikis
- interne Portale
Merksatz:
Intranet = internes Netz oder internes Portal für die Organisation.
Intranet ist nicht automatisch das Internet
Das Internet ist öffentlich.
Das Intranet ist intern.
Beispiel:
Internet:
öffentlich erreichbare Webseite einer Firma
Intranet:
internes Mitarbeiterportal derselben Firma
Ein Intranet kann Webtechnik nutzen,
ist aber nicht automatisch öffentlich erreichbar.
Merksatz:
Intranet nutzt oft Internet-Technik,
ist aber intern beschränkt.
Typische Intranet-Dienste
Typische Dienste im Intranet:
Dienst
Beispiel
internes Wiki
Dokumentation
Dateiablage
SMB, SharePoint, Nextcloud
interne Webanwendung
Zeiterfassung
Ticketsystem
Helpdesk
Monitoring
Systemstatus
Telefonbuch
Mitarbeiterdaten
Authentifizierung
AD, LDAP, SSO
interne APIs
Anwendungskommunikation
Merksatz:
Intranet enthält interne Dienste,
die nicht öffentlich sein sollen.
Schutzbedarf im Intranet
Auch interne Dienste brauchen Schutz.
Warum?
Nicht jeder interne Benutzer darf alles sehen.
Ein kompromittierter Client kann Schaden verursachen.
Gastgeräte dürfen nicht auf interne Systeme.
IoT-Geräte sind nicht automatisch vertrauenswürdig.
Malware kann sich intern ausbreiten.
Merksatz:
Intern heißt nicht automatisch sicher.
Extranet
Ein Extranet erweitert das Intranet kontrolliert für externe Parteien.
Externe Parteien können sein:
- Kunden
- Lieferanten
- Partnerunternehmen
- Dienstleister
- externe Techniker
- Projektpartner
Dabei erhalten sie nur Zugriff auf ausgewählte Ressourcen.
Merksatz:
Extranet = kontrollierter Zugriff für externe Berechtigte.
Beispiel für ein Extranet
Ein Unternehmen stellt einem Lieferanten ein Portal bereit.
Der Lieferant darf dort:
Bestellungen einsehen
Liefertermine bestätigen
Dokumente hochladen
Rechnungen abrufen
Der Lieferant darf aber nicht:
interne Personalakten sehen
interne Server verwalten
alle Kundendaten abrufen
auf das gesamte LAN zugreifen
Merksatz:
Extranet gibt gezielten Zugriff,
nicht vollständigen internen Zugriff.
Intranet und Extranet vergleichen
Begriff
Zugriff
Zielgruppe
Intranet
intern
Mitarbeitende und interne Systeme
Extranet
kontrolliert extern
Partner, Kunden, Lieferanten
Internet
öffentlich
grundsätzlich jeder
VPN
Tunnelzugriff
berechtigte entfernte Benutzer oder Standorte
Merksatz:
Intranet intern,
Extranet ausgewählt extern,
Internet öffentlich.
VPN
VPN steht für:
Virtual Private Network
Ein VPN baut über ein unsicheres oder fremdes Netz einen geschützten Tunnel auf.
Beispiel:
Benutzer im Homeoffice
→ Internet
→ VPN-Tunnel
→ Firmennetz
Der Verkehr wird dabei verschlüsselt übertragen.
Merksatz:
VPN verbindet entfernte Teilnehmer sicher mit einem Netzwerk.
Warum nutzt man VPN?
VPN wird genutzt,
wenn sichere Kommunikation über unsichere Netze benötigt wird.
Typische Gründe:
- Homeoffice-Zugriff
- Standortvernetzung
- Fernwartung
- Zugriff auf interne Server
- verschlüsselte Verbindung über Internet
- Schutz in öffentlichen Netzen
- Zugriff auf interne Anwendungen
- sichere Administration
Merksatz:
VPN schützt den Übertragungsweg durch einen verschlüsselten Tunnel.
VPN-Tunnel
Ein VPN-Tunnel ist eine logische verschlüsselte Verbindung.
Die Daten werden eingepackt,
verschlüsselt
und über ein anderes Netz transportiert.
Man spricht dabei oft von:
Tunneling
Merksatz:
VPN-Tunnel transportiert geschützte Daten durch ein fremdes Netz.
Tunneling einfach erklärt
Beim Tunneling wird ein Paket in ein anderes Paket verpackt.
Vereinfacht:
internes Paket
wird verschlüsselt
und in äußeres Transportpaket eingepackt
Das äußere Paket wird über das Internet übertragen.
Am Ziel wird es wieder ausgepackt.
Merksatz:
Tunneling bedeutet:
ein Paket wird durch ein anderes Netz getragen.
Verschlüsselung beim VPN
VPNs nutzen Verschlüsselung,
damit Dritte den Inhalt nicht mitlesen können.
Geschützt werden soll:
- Dateninhalt
- Zugangsdaten
- interne Kommunikation
- Dateiübertragungen
- Administrationszugriffe
- Anwendungsdaten
Wichtig:
Ein VPN schützt den Tunnel,
aber nicht automatisch jedes Zielsystem.
Merksatz:
VPN verschlüsselt den Transportweg,
ersetzt aber keine Zugriffskontrolle.
Authentifizierung beim VPN
Vor dem VPN-Zugriff muss geprüft werden,
wer sich verbindet.
Mögliche Verfahren:
- Benutzername und Passwort
- Zertifikat
- MFA
- Token
- Smartcard
- Geräteprüfung
- SSO
- Gruppenmitgliedschaft
Merksatz:
VPN braucht starke Authentifizierung.
Autorisierung beim VPN
Nach erfolgreicher Anmeldung muss geprüft werden,
was der Benutzer darf.
Beispiele:
Support darf auf bestimmte Server.
Externe Dienstleister dürfen nur auf Wartungssysteme.
Mitarbeitende dürfen auf interne Anwendungen.
Admins dürfen ins Managementnetz.
Merksatz:
VPN verbunden heißt nicht automatisch:
Zugriff auf alles erlaubt.
Remote-Access-VPN
Remote-Access-VPN verbindet einzelne Benutzer mit dem Unternehmensnetz.
Beispiele:
Homeoffice
Außendienst
Notebook unterwegs
Administrator von extern
mobiler Benutzer
Ablauf:
Benutzer startet VPN-Client.
Benutzer authentifiziert sich.
VPN-Tunnel wird aufgebaut.
Benutzer erhält Zugriff auf erlaubte interne Ressourcen.
Merksatz:
Remote-Access-VPN verbindet einzelne Benutzer.
Site-to-Site-VPN
Site-to-Site-VPN verbindet ganze Standorte miteinander.
Beispiele:
Hauptstandort ↔ Niederlassung
Firma ↔ Rechenzentrum
Firma ↔ Cloud-Netzwerk
zwei Firewalls miteinander
Dabei baut nicht jeder Benutzer einzeln einen VPN-Client auf.
Die Gateways verbinden die Netze.
Merksatz:
Site-to-Site-VPN verbindet Netzwerke.
Remote-Access und Site-to-Site vergleichen
Merkmal
Remote-Access-VPN
Site-to-Site-VPN
verbindet
einzelner Benutzer
ganze Netze
typischer Einsatz
Homeoffice
Standortvernetzung
Client nötig
meistens ja
auf Endgerät meist nein
Endpunkt
Benutzergerät zu Gateway
Gateway zu Gateway
Zugriff
benutzerbezogen
netzbezogen
Merksatz:
Remote-Access = Benutzer.
Site-to-Site = Standort.
VPN-Gateway
Ein VPN-Gateway ist der zentrale Gegenpunkt für VPN-Verbindungen.
Es kann sein:
- Firewall
- Router
- VPN-Appliance
- Cloud-Gateway
- Server
- Zero-Trust-Gateway
Aufgaben:
VPN-Verbindungen annehmen
Benutzer prüfen
Tunnel aufbauen
Verschlüsselung aushandeln
Routen verteilen
Zugriff kontrollieren
Merksatz:
VPN-Gateway ist der Zugangspunkt zum geschützten Netz.
VPN-Client
Der VPN-Client läuft auf dem Endgerät des Benutzers.
Beispiele:
Notebook
Smartphone
Tablet
Admin-PC
Aufgaben:
Verbindung zum VPN-Gateway aufbauen
Benutzer anmelden
Tunnel erzeugen
Routen setzen
DNS übernehmen
Verkehr durch Tunnel leiten
Merksatz:
VPN-Client baut den Tunnel vom Endgerät aus auf.
VPN-Protokolle
Häufige VPN-Techniken und Protokolle:
- IPsec
- IKEv2
- SSL-VPN / TLS-VPN
- OpenVPN
- WireGuard
- L2TP/IPsec
Je nach Umgebung unterscheiden sich:
Sicherheit
Geschwindigkeit
Einrichtung
Portnutzung
Betriebssystemunterstützung
Firewall-Freundlichkeit
Merksatz:
VPN ist ein Oberbegriff,
dahinter können verschiedene Protokolle stehen.
IPsec
IPsec ist eine Protokollfamilie zur sicheren Kommunikation auf IP-Ebene.
IPsec kann genutzt werden für:
- Site-to-Site-VPN
- Remote-Access-VPN
- verschlüsselte Kommunikation zwischen Netzen
IPsec arbeitet besonders nah an Schicht 3.
Merksatz:
IPsec schützt IP-Kommunikation.
IKE
IKE steht für:
Internet Key Exchange
IKE dient dazu,
bei IPsec die Sicherheitsparameter und Schlüssel auszuhandeln.
IKEv2 ist eine moderne Version.
Merksatz:
IKE handelt Schlüssel und Sicherheitsparameter für IPsec aus.
SSL-VPN / TLS-VPN
SSL-VPN ist ein älterer Begriff.
Fachlich geht es meist um TLS-VPN.
Dabei wird TLS genutzt,
ähnlich wie bei HTTPS.
Vorteile:
oft firewallfreundlich
häufig über TCP 443 möglich
gut für Remote-Zugriff
teilweise browserbasiert oder clientbasiert
Merksatz:
SSL-VPN meint meist TLS-basiertes VPN.
OpenVPN
OpenVPN ist eine verbreitete VPN-Lösung.
Eigenschaften:
nutzt TLS
kann TCP oder UDP verwenden
flexibel konfigurierbar
oft für Remote-Access und Site-to-Site nutzbar
benötigt meist Clientsoftware
Merksatz:
OpenVPN ist flexibel und TLS-basiert.
WireGuard
WireGuard ist ein modernes VPN-Protokoll.
Eigenschaften:
schlank
schnell
vergleichsweise einfache Konfiguration
nutzt moderne Kryptografie
arbeitet meist über UDP
Wichtig:
Sicherheit hängt trotzdem von richtiger Schlüsselverwaltung,
Routen
Firewall-Regeln
und Zugriffskonzept ab.
Merksatz:
WireGuard ist modernes,
schlankes VPN über UDP.
L2TP/IPsec
L2TP steht für:
Layer 2 Tunneling Protocol
L2TP selbst verschlüsselt nicht stark genug,
deshalb wird es häufig mit IPsec kombiniert.
Merksatz:
L2TP wird für Sicherheit typischerweise mit IPsec kombiniert.
Split Tunneling
Split Tunneling bedeutet:
Nur bestimmter Verkehr geht durch den VPN-Tunnel.
Anderer Verkehr,
zum Beispiel normales Internet,
geht direkt über den lokalen Anschluss.
Beispiel:
Zugriff auf Firmennetz:
durch VPN
YouTube oder private Webseiten:
direkt über lokalen Internetanschluss
Merksatz:
Split Tunneling leitet nur ausgewählten Verkehr durch VPN.
Full Tunnel
Full Tunnel bedeutet:
Der gesamte Verkehr des Clients läuft durch den VPN-Tunnel.
Auch Internetzugriffe gehen zuerst ins Firmennetz
und von dort weiter ins Internet.
Vorteile:
zentrale Kontrolle
zentrale Filterung
einheitliche Sicherheitsrichtlinien
Nachteile:
mehr Last auf VPN und Internetanschluss der Firma
höhere Latenz
mehr Bandbreitenbedarf
Merksatz:
Full Tunnel leitet den gesamten Clientverkehr durch VPN.
Split Tunnel und Full Tunnel vergleichen
Merkmal
Split Tunnel
Full Tunnel
Internetverkehr
direkt lokal
durch Firma
Last auf VPN
geringer
höher
zentrale Kontrolle
geringer
höher
Latenz
oft niedriger
oft höher
Sicherheitspolitik
schwieriger einheitlich
zentraler steuerbar
Merksatz:
Split Tunnel spart Last.
Full Tunnel bietet mehr zentrale Kontrolle.
VPN-Routing
Damit ein VPN funktioniert,
müssen passende Routen vorhanden sein.
Der Client muss wissen:
Welche Netze sind über VPN erreichbar?
Beispiele:
192.168.10.0/24 über VPN
10.10.0.0/16 über VPN
nur bestimmte Server über VPN
Fehlt eine Route,
geht der Verkehr nicht durch den Tunnel.
Merksatz:
VPN braucht passende Routen.
VPN-DNS
VPN-Benutzer müssen oft interne Namen auflösen können.
Beispiele:
intranet.firma.local
fileserver.firma.local
wiki.intern
dc01.firma.local
Dafür kann der VPN-Client interne DNS-Server bekommen.
Typische Fehler:
VPN verbunden,
aber interne Namen lösen nicht auf.
Merksatz:
VPN braucht oft interne DNS-Einstellungen.
Split DNS bei VPN
Split DNS bedeutet:
bestimmte Namen werden über interne DNS-Server aufgelöst,
andere Namen über normale DNS-Server.
Beispiel:
firma.local
→ interner DNS über VPN
öffentliche Webseiten
→ normaler DNS
Merksatz:
Split DNS sorgt dafür,
dass interne Namen über VPN korrekt aufgelöst werden.
VPN-Adresspool
Ein VPN-Adresspool ist der IP-Adressbereich,
aus dem VPN-Clients eine Adresse bekommen.
Beispiel:
VPN-Clients:
10.8.0.0/24
Wichtig:
Der VPN-Adressbereich darf nicht mit bestehenden Netzen kollidieren.
Problem:
Wenn das Heimnetz des Benutzers denselben Bereich nutzt,
kann Routing fehlschlagen.
Merksatz:
VPN-Adresspool muss eindeutig und konfliktfrei sein.
Adresskonflikt bei VPN
Ein häufiger Fehler:
Heimnetz des Benutzers:
192.168.1.0/24
Firmennetz:
192.168.1.0/24
Dann weiß der Client nicht eindeutig,
ob 192.168.1.50 lokal oder über VPN erreichbar ist.
Folge:
interne Server sind nicht erreichbar.
Merksatz:
Gleiche Netze auf beiden Seiten verursachen VPN-Routingprobleme.
Firewall-Regeln für VPN
VPN-Zugriff muss durch Firewall-Regeln gesteuert werden.
Nicht gut:
VPN → LAN any erlauben
Besser:
VPN-Gruppe Support → bestimmte Server TCP 3389
VPN-Gruppe Admin → Managementnetz SSH/RDP
VPN-Gruppe Mitarbeiter → Intranet HTTPS
VPN-Gruppe Dienstleister → nur Wartungssystem
Merksatz:
VPN-Zugriff nach Rolle und Bedarf begrenzen.
VPN und Least Privilege
Auch beim VPN gilt:
nur notwendige Rechte erlauben.
Ein VPN-Benutzer sollte nicht automatisch Zugriff auf das gesamte interne Netz erhalten.
Warum?
kompromittierter VPN-Client
gestohlene Zugangsdaten
Malware auf Heimgerät
externe Dienstleister
zu breite Angriffsfläche
Merksatz:
VPN ist Zugang,
aber kein Freifahrtschein.
VPN und MFA
VPN-Zugänge sollten nach Möglichkeit mit MFA geschützt werden.
Warum?
Passwörter können gestohlen werden.
Phishing kann Zugangsdaten abgreifen.
Passwort-Wiederverwendung ist häufig.
VPN-Zugang ist ein direkter Einstieg ins Netz.
MFA erhöht die Sicherheit deutlich.
Merksatz:
VPN ohne MFA ist deutlich riskanter.
VPN und Zertifikate
VPNs können Zertifikate nutzen für:
Serverauthentifizierung
Clientauthentifizierung
Gerätezulassung
starke Identitätsprüfung
Vorteil:
nicht nur Passwort,
sondern zusätzlich kryptografischer Nachweis.
Wichtig:
Zertifikate müssen verwaltet,
erneuert
und bei Verlust widerrufen werden.
Merksatz:
Zertifikate erhöhen VPN-Sicherheit,
brauchen aber gutes Management.
VPN und Gerätesicherheit
Ein VPN-Client bringt ein entferntes Gerät näher an interne Systeme.
Deshalb ist wichtig:
aktuelles Betriebssystem
aktuelle Schutzsoftware
Festplattenverschlüsselung
Bildschirmsperre
sichere Konfiguration
kein kompromittiertes Gerät
Gerätezertifikat oder Geräteprüfung
Patchstand prüfen
Merksatz:
Unsicheres Endgerät plus VPN ist ein Risiko.
VPN und öffentliche WLANs
VPN kann in öffentlichen WLANs schützen,
weil der Verkehr im Tunnel verschlüsselt wird.
Aber:
VPN schützt nicht vor allem.
Weiterhin wichtig:
HTTPS prüfen
Phishing vermeiden
Gerät aktuell halten
keine fremden Zertifikate akzeptieren
keine Warnungen ignorieren
Merksatz:
VPN hilft im öffentlichen WLAN,
ersetzt aber kein sicheres Verhalten.
VPN und Performance
VPN kann die Leistung beeinflussen.
Mögliche Ursachen:
Verschlüsselungsaufwand
längerer Weg
zentrale Internetleitung
Full Tunnel
schwacher VPN-Gateway
schlechte Clientverbindung
MTU-Probleme
Paketverlust
hohe Latenz
Merksatz:
VPN kann sicher sein,
aber Geschwindigkeit und Latenz beeinflussen.
VPN und MTU
VPN fügt zusätzliche Header hinzu.
Dadurch kann die effektive Nutzlast kleiner werden.
MTU-Probleme zeigen sich oft so:
kleine Pakete funktionieren
große Übertragungen hängen
Webseiten laden teilweise
VPN-Verbindung instabil
RDP oder SSH bricht sporadisch ab
Merksatz:
Bei VPN-Problemen mit großen Daten an MTU denken.
VPN und Logging
VPN-Logs sind wichtig für Sicherheit und Fehlersuche.
Sie zeigen:
wer sich verbunden hat
wann Verbindung aufgebaut wurde
von welcher IP
mit welchem Gerät
ob MFA erfolgreich war
welche VPN-IP vergeben wurde
warum Verbindung getrennt wurde
ob Fehler auftraten
Merksatz:
VPN-Zugriffe müssen nachvollziehbar sein.
VPN und Monitoring
VPN-Infrastruktur sollte überwacht werden.
Wichtige Werte:
Anzahl aktiver Verbindungen
CPU-Auslastung
RAM
Bandbreite
Tunnelstatus
Fehlversuche
Zertifikatsablauf
Latenz
Paketverlust
Authentifizierungsfehler
Merksatz:
VPN ist kritische Infrastruktur und muss überwacht werden.
Typische VPN-Fehler
Häufige Fehler:
- VPN baut nicht auf
- Anmeldung schlägt fehl
- MFA funktioniert nicht
- Zertifikat ungültig
- Client bekommt keine VPN-IP
- Route fehlt
- DNS fehlt
- interne Dienste nicht erreichbar
- nur manche Netze erreichbar
- Adresskonflikt mit Heimnetz
- Firewall blockiert
- Split Tunnel falsch
- Full Tunnel überlastet
- MTU-Problem
- Verbindung bricht ab
Merksatz:
VPN-Fehler können Authentifizierung,
Routing,
DNS,
Firewall
oder MTU betreffen.
Fehlerbild: VPN verbindet nicht
Mögliche Ursachen:
- falscher Servername
- Internetverbindung gestört
- VPN-Gateway nicht erreichbar
- falscher Port blockiert
- Benutzername oder Passwort falsch
- MFA schlägt fehl
- Zertifikat ungültig
- Clientversion inkompatibel
- Konto gesperrt
- Lizenz oder Berechtigung fehlt
Merksatz:
Wenn VPN nicht verbindet,
zuerst Erreichbarkeit,
Anmeldung
und Zertifikate prüfen.
Fehlerbild: VPN verbunden, aber kein interner Zugriff
Mögliche Ursachen:
- Route fehlt
- DNS fehlt
- Firewall-Regel fehlt
- Benutzergruppe nicht berechtigt
- falscher VPN-Adresspool
- Adresskonflikt mit Heimnetz
- Split Tunnel falsch
- Zielsystem-Firewall blockiert
- Rückweg fehlt
Merksatz:
VPN verbunden heißt nicht automatisch:
interne Ressourcen erreichbar.
Fehlerbild: Interne Namen gehen nicht
Mögliche Ursachen:
- interner DNS wird nicht verteilt
- Split DNS falsch
- DNS-Suffix fehlt
- DNS-Anfragen gehen lokal statt durch VPN
- interne Zone fehlt
- Firewall blockiert DNS
- falscher DNS-Server antwortet
Merksatz:
Bei VPN-Namensproblemen DNS und Split DNS prüfen.
Fehlerbild: Nur manche internen Netze erreichbar
Mögliche Ursachen:
- Route für bestimmtes Netz fehlt
- Firewall-Regel fehlt
- Benutzergruppe darf nur bestimmte Netze
- Rückroute fehlt
- Zielnetz überschneidet sich mit lokalem Netz
- ACL blockiert
Merksatz:
Teilweise Erreichbarkeit deutet oft auf Routing oder Berechtigung hin.
Fehlerbild: VPN langsam
Mögliche Ursachen:
- Full Tunnel überlastet
- hohe Latenz
- schwache Internetleitung
- VPN-Gateway ausgelastet
- Paketverlust
- MTU-Problem
- WLAN instabil
- Verschlüsselungsleistung begrenzt
- zentraler Proxy langsam
Merksatz:
VPN-Langsamkeit mit Latenz,
Paketverlust,
MTU
und Auslastung prüfen.
Fehlerbild: VPN bricht ab
Mögliche Ursachen:
- instabile Internetverbindung
- WLAN-Roaming
- NAT-Timeout
- Firewall-Timeout
- Mobilfunkwechsel
- Energiesparmodus
- Clientproblem
- Zertifikat oder Token läuft ab
- Gateway überlastet
- MTU-Problem
Merksatz:
VPN-Abbrüche brauchen Zeitbezug,
Logs
und Verbindungsmessung.
VPN und Extranet unterscheiden
Ein Extranet kann über VPN bereitgestellt werden,
muss aber nicht.
Beispiele:
Extranet über Webportal:
Partner meldet sich im Browser an.
Extranet über VPN:
Partner bekommt VPN-Zugang zu bestimmten Systemen.
Wichtig:
Extranet ist das Zugriffskonzept.
VPN ist eine mögliche technische Umsetzung.
Merksatz:
Extranet beschreibt Zielgruppe und Zugriff.
VPN beschreibt den Tunnel.
Extranet-Sicherheit
Extranet-Zugänge brauchen klare Begrenzung.
Wichtig:
- eigene Benutzerkonten
- MFA
- Rollen und Rechte
- Protokollierung
- Vertrags- und Zweckbindung
- zeitliche Begrenzung
- Zugriff nur auf benötigte Daten
- keine gemeinsamen Konten
- regelmäßige Prüfung
- Sperrung nach Projektende
Merksatz:
Externe Zugänge müssen besonders sauber kontrolliert werden.
Partnerzugriff
Partnerzugriff sollte nicht ungefiltert ins interne Netz führen.
Besser:
Partnerportal
API-Gateway
Reverse Proxy
dedizierte Extranet-Zone
VPN mit begrenzten Regeln
Bastion Host
getrennte Benutzerrollen
Merksatz:
Partner nur auf das zugreifen lassen,
was sie wirklich benötigen.
Intranet über VPN
Im Homeoffice greifen Benutzer oft per VPN auf das Intranet zu.
Beispiel:
Benutzer verbindet VPN.
Danach öffnet er internes Wiki.
DNS löst internen Namen auf.
Firewall erlaubt VPN → Intranet HTTPS.
Webserver prüft Anmeldung.
Merksatz:
Intranet-Zugriff über VPN braucht Tunnel,
DNS,
Firewall
und Berechtigung.
Intranet über Zero Trust
Moderne Umgebungen nutzen teilweise Zero-Trust-Zugriffe statt klassischem Voll-VPN.
Grundidee:
Benutzer bekommt nicht Zugriff auf das ganze Netz,
sondern nur auf einzelne Anwendungen.
Prüfung:
Identität
Gerät
Standort
Risiko
MFA
Anwendung
Richtlinie
Merksatz:
Zero Trust ersetzt oft breiten Netzwerkzugriff durch gezielten Anwendungszugriff.
VPN und Zero Trust vergleichen
Merkmal
klassisches VPN
Zero-Trust-Zugriff
Zugriffsebene
oft Netzwerkzugriff
meist Anwendungszugriff
Risiko
breiter Zugriff möglich
stärker begrenzter Zugriff
Prüfung
häufig beim Verbindungsaufbau
kontinuierlicher und kontextbezogener
Nutzung
interne Netze
einzelne Anwendungen
Vorteil
bewährt und flexibel
feiner steuerbar
Merksatz:
VPN verbindet oft Netze.
Zero Trust gibt gezielt Anwendungen frei.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist ein VPN?
- Wofür steht VPN?
- Was ist ein VPN-Tunnel?
- Was ist der Unterschied zwischen Remote-Access-VPN und Site-to-Site-VPN?
- Was ist ein VPN-Gateway?
- Was ist Split Tunneling?
- Was ist Full Tunnel?
- Warum braucht VPN Routing?
- Warum ist DNS bei VPN wichtig?
- Warum können gleiche IP-Netze bei VPN Probleme verursachen?
- Warum sollte VPN-Zugriff nicht automatisch das ganze LAN erlauben?
- Warum ist MFA bei VPN sinnvoll?
- Was ist ein Intranet?
- Was ist ein Extranet?
- Was ist der Unterschied zwischen Intranet, Extranet und Internet?
- Warum ist ein Extranet besonders zu schützen?
Typische Prüfungsfallen
VPN bedeutet Virtual Private Network.
VPN ist ein Tunnel,
nicht automatisch ein komplettes Sicherheitskonzept.
VPN schützt den Transportweg.
VPN ersetzt keine Firewall-Regeln.
VPN ersetzt keine Berechtigungen.
Remote-Access-VPN verbindet einzelne Benutzer.
Site-to-Site-VPN verbindet Standorte oder Netze.
Split Tunnel leitet nur ausgewählten Verkehr durch VPN.
Full Tunnel leitet gesamten Verkehr durch VPN.
VPN braucht passende Routen.
VPN braucht oft interne DNS-Einstellungen.
VPN verbunden heißt nicht:
Zugriff auf alles erlaubt.
Gleiche IP-Netze auf beiden Seiten erzeugen Routingprobleme.
MFA erhöht VPN-Sicherheit.
Externe Dienstleister nur begrenzt berechtigen.
Intranet ist intern.
Extranet ist kontrolliert für externe Berechtigte.
Internet ist öffentlich.
Extranet ist nicht automatisch VPN.
VPN kann durch MTU-Probleme langsam oder instabil wirken.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
VPN
Virtual Private Network
VPN-Tunnel
geschützte logische Verbindung
Tunneling
Einpacken von Daten in eine Tunnelverbindung
Remote-Access-VPN
VPN für einzelne Benutzer
Site-to-Site-VPN
VPN zwischen Netzwerken
VPN-Gateway
Gegenstelle für VPN-Verbindungen
VPN-Client
Software oder Gerät des Benutzers
IPsec
VPN-Technik auf IP-Ebene
IKE
Schlüsselaushandlung bei IPsec
TLS-VPN
VPN auf Basis von TLS
OpenVPN
verbreitete TLS-basierte VPN-Lösung
WireGuard
modernes schlankes VPN-Protokoll
Split Tunnel
nur ausgewählter Verkehr durch VPN
Full Tunnel
gesamter Verkehr durch VPN
VPN-Adresspool
IP-Bereich für VPN-Clients
Split DNS
getrennte DNS-Auflösung je nach Ziel
Intranet
internes Netzwerk oder internes Portal
Extranet
kontrollierter Zugriff für externe Berechtigte
MFA
Multi-Faktor-Authentifizierung
Least Privilege
nur notwendige Rechte
Zero Trust
kein automatisches Vertrauen
IHK-sichere Kurzformulierung
Ein VPN, also Virtual Private Network, stellt über ein unsicheres oder fremdes Netz einen geschützten Tunnel bereit. Es wird genutzt, um einzelne Benutzer per Remote-Access-VPN oder ganze Standorte per Site-to-Site-VPN sicher mit internen Ressourcen zu verbinden. Für den VPN-Betrieb sind Authentifizierung, Verschlüsselung, Routing, DNS, Firewall-Regeln und Berechtigungen wichtig. Split Tunneling leitet nur ausgewählten Verkehr durch das VPN, während Full Tunnel den gesamten Clientverkehr durch den Tunnel führt. Ein Intranet ist ein internes Netzwerk oder internes Portal einer Organisation. Ein Extranet stellt ausgewählten externen Partnern kontrollierten Zugriff auf bestimmte Ressourcen bereit. VPN-Zugriff sollte durch MFA, Rollen, Firewall-Regeln und Least Privilege abgesichert werden.
Merksätze
Intranet = intern.
Extranet = kontrolliert extern erweitert.
Internet = öffentlich.
VPN = Virtual Private Network.
VPN baut einen verschlüsselten Tunnel.
VPN schützt den Transportweg.
VPN ersetzt keine Rechteprüfung.
VPN ersetzt keine Firewall-Regeln.
Remote-Access-VPN verbindet Benutzer.
Site-to-Site-VPN verbindet Netze.
VPN-Gateway ist der Zugangspunkt.
VPN-Client baut den Tunnel auf.
IPsec schützt IP-Kommunikation.
IKE handelt Schlüssel aus.
TLS-VPN nutzt TLS.
OpenVPN ist flexibel.
WireGuard ist schlank und modern.
Split Tunnel leitet nur ausgewählten Verkehr.
Full Tunnel leitet alles durch VPN.
VPN braucht passende Routen.
VPN braucht oft internes DNS.
Split DNS hilft bei internen Namen.
VPN-Adresspool darf sich nicht überschneiden.
Gleiche Netze verursachen Routingprobleme.
VPN-Zugriff nach Rolle begrenzen.
MFA für VPN ist wichtig.
Unsichere Endgeräte sind trotz VPN riskant.
VPN kann durch MTU-Probleme instabil werden.
VPN verbunden heißt nicht:
alles erreichbar.
Extranet ist Zugriffskonzept,
VPN ist Tunneltechnik.
Zero Trust gibt gezielter Zugriff auf Anwendungen.
14.2
VPN-Arten und VPN-Einsatzszenarien
VPN ist nicht immer gleich VPN.
Je nach Zweck,
Benutzergruppe
und Netzwerkaufbau gibt es unterschiedliche VPN-Arten.
Die wichtigsten Einsatzszenarien sind:
- Remote-Access-VPN
- Site-to-Site-VPN
- Client-to-Site-VPN
- Host-to-Host-VPN
- Extranet-VPN
- Cloud-VPN
- Admin-VPN
- Fernwartungs-VPN
Merksatz:
Die VPN-Art richtet sich danach,
wer oder was sicher verbunden werden soll.
Warum unterscheidet man VPN-Arten?
Nicht jede VPN-Verbindung hat denselben Zweck.
Beispiele:
Ein Mitarbeiter im Homeoffice braucht Zugriff auf interne Anwendungen.
Zwei Firmenstandorte sollen dauerhaft verbunden werden.
Ein externer Dienstleister soll nur einen Wartungsserver erreichen.
Ein Unternehmen verbindet sein lokales Netz mit einem Cloud-Netz.
Ein Administrator braucht sicheren Zugriff auf Managementsysteme.
Diese Fälle haben unterschiedliche Anforderungen.
Merksatz:
Unterschiedliche VPN-Zwecke brauchen unterschiedliche Konzepte.
Remote-Access-VPN
Remote-Access-VPN verbindet einzelne Benutzer mit dem Unternehmensnetz.
Typische Benutzer:
- Homeoffice-Mitarbeiter
- Außendienst
- Administratoren
- mobile Benutzer
- Support-Mitarbeiter
- externe Dienstleister
Der Benutzer startet meist einen VPN-Client auf seinem Endgerät.
Merksatz:
Remote-Access-VPN verbindet einzelne Benutzer mit internen Ressourcen.
Typischer Ablauf bei Remote-Access-VPN
Ein typischer Ablauf:
1. Benutzer startet VPN-Client.
2. VPN-Client verbindet sich mit VPN-Gateway.
3. Benutzer authentifiziert sich.
4. MFA oder Zertifikat wird geprüft.
5. Tunnel wird aufgebaut.
6. Client erhält VPN-IP-Adresse.
7. Routen und DNS-Einstellungen werden gesetzt.
8. Zugriff auf erlaubte Ressourcen ist möglich.
Merksatz:
Remote-Access braucht Authentifizierung,
Tunnel,
IP,
Routen
und DNS.
Remote-Access-VPN: Vorteile
Vorteile:
- sicherer Zugriff aus dem Homeoffice
- Zugriff auf interne Dienste
- zentrale Kontrolle
- verschlüsselte Verbindung
- flexibel für mobile Benutzer
- oft schnell einrichtbar
- gute Integration mit MFA möglich
Merksatz:
Remote-Access-VPN macht mobile Arbeit mit internen Diensten möglich.
Remote-Access-VPN: Risiken
Risiken:
- gestohlene Zugangsdaten
- unsichere private Endgeräte
- Malware auf Client
- zu breite Zugriffsrechte
- fehlende MFA
- unsichere Split-Tunnel-Regeln
- verlorene Geräte
- veraltete VPN-Clients
Merksatz:
Remote-Access ist nur sicher,
wenn Endgerät,
Benutzer
und Rechte kontrolliert werden.
Client-to-Site-VPN
Client-to-Site-VPN ist im Grunde eine andere Bezeichnung für Remote-Access-VPN.
Dabei verbindet sich ein einzelner Client mit einem Standort oder Unternehmensnetz.
Beispiel:
Notebook im Homeoffice
→ VPN-Gateway der Firma
→ internes Netz
Merksatz:
Client-to-Site = einzelner Client zum Firmennetz.
Site-to-Site-VPN
Site-to-Site-VPN verbindet ganze Netzwerke miteinander.
Beispiele:
Hauptstandort ↔ Niederlassung
Firma ↔ Rechenzentrum
Firma ↔ Cloud-Netz
Unternehmen ↔ Partnernetz
Hier verbinden meist Router,
Firewalls
oder VPN-Gateways die Standorte.
Merksatz:
Site-to-Site-VPN verbindet Netze,
nicht einzelne Benutzer.
Typischer Ablauf bei Site-to-Site-VPN
Ein typischer Ablauf:
1. Gateway A baut Tunnel zu Gateway B auf.
2. Beide Gateways authentifizieren sich.
3. Verschlüsselung und Schlüssel werden ausgehandelt.
4. Netzbereiche werden definiert.
5. Routing wird eingerichtet.
6. Firewall-Regeln erlauben gewünschte Verbindungen.
7. Systeme beider Standorte kommunizieren über den Tunnel.
Merksatz:
Site-to-Site braucht Gateways,
Netze,
Routen
und Firewall-Regeln.
Site-to-Site-VPN: Vorteile
Vorteile:
- dauerhafte Standortverbindung
- keine VPN-Clientsoftware auf jedem Endgerät nötig
- zentrale Netz-zu-Netz-Kommunikation
- gut für Niederlassungen
- gut für Cloud-Anbindung
- transparent für Benutzer
Merksatz:
Site-to-Site verbindet Standorte dauerhaft und zentral.
Site-to-Site-VPN: Risiken
Risiken:
- zu große Netzfreigaben
- falsches Routing
- Überschneidung von IP-Netzen
- kompromittierter Standort erreicht andere Netze
- fehlende Segmentierung
- schwache Schlüssel oder PSKs
- fehlendes Monitoring
- unklare Verantwortlichkeiten zwischen Organisationen
Merksatz:
Site-to-Site darf nicht automatisch alle Netze gegenseitig öffnen.
Remote-Access und Site-to-Site im Vergleich
Merkmal
Remote-Access-VPN
Site-to-Site-VPN
verbindet
Benutzergerät mit Netz
Netz mit Netz
typischer Zweck
Homeoffice, mobiler Zugriff
Standortvernetzung
Endpunkt
Client und Gateway
Gateway und Gateway
Benutzeranmeldung
häufig benutzerbezogen
häufig gatewaybezogen
Clientsoftware
meist notwendig
für Endgeräte meist nicht
Zugriffskontrolle
Benutzer und Gruppen
Netze und Firewall-Regeln
Fehlerquellen
Client, DNS, Routen, MFA
Routing, IP-Überschneidung, Tunnel
Merksatz:
Remote-Access ist benutzerbezogen.
Site-to-Site ist netzbezogen.
Host-to-Host-VPN
Host-to-Host-VPN verbindet zwei einzelne Systeme direkt miteinander.
Beispiel:
Server A
↔
Server B
Einsatz:
besonders schützenswerte Verbindung
Kommunikation zwischen zwei Servern
sichere Verbindung über unsicheres Netz
spezielle Administrationsstrecken
Merksatz:
Host-to-Host-VPN verbindet einzelne Rechner direkt.
Extranet-VPN
Ein Extranet-VPN ermöglicht externen Partnern kontrollierten Zugriff.
Beispiele:
Lieferant greift auf Bestellportal zu.
Dienstleister greift auf Wartungsserver zu.
Partnerunternehmen greift auf gemeinsame Projektdaten zu.
Wichtig:
Zugriff stark begrenzen
eigene Benutzerkonten
MFA
Protokollierung
zeitliche Begrenzung
keine pauschale LAN-Freigabe
Merksatz:
Extranet-VPN ist VPN-Zugriff für externe Berechtigte.
Cloud-VPN
Cloud-VPN verbindet ein lokales Netzwerk mit einem Cloud-Netzwerk.
Beispiel:
Unternehmensstandort
↔
Cloud-VPC oder Cloud-VNet
Typischer Zweck:
Zugriff auf Cloud-Server
Hybrid-Cloud
Datenbankverbindungen
private Cloud-Dienste
Migration
Backup
Standort-zu-Cloud-Kommunikation
Merksatz:
Cloud-VPN verbindet lokale Infrastruktur mit Cloud-Netzen.
Admin-VPN
Ein Admin-VPN ist ein besonders geschützter Zugang für Administratoren.
Ziel:
Managementsysteme sicher erreichen
Beispiele:
Firewall-Verwaltung
Switch-Management
Serveradministration
Hypervisor
Backup-Systeme
Monitoring
Managementnetz
Wichtig:
MFA
separate Admin-Konten
starke Protokollierung
Zugriff nur auf Managementnetze
keine Nutzung für Alltagsarbeit
Merksatz:
Admin-VPN sollte besonders stark abgesichert sein.
Fernwartungs-VPN
Fernwartungs-VPN wird für Support oder Wartung genutzt.
Beispiele:
Hersteller wartet Anlage.
IT-Dienstleister wartet Server.
externer Techniker greift auf Spezialgerät zu.
Wichtig:
zeitlich begrenzen
nur benötigte Ziele erlauben
Zugriff protokollieren
Benutzer eindeutig zuordnen
nach Wartung deaktivieren
keine gemeinsamen Dauerzugänge
Merksatz:
Fernwartung braucht zeitlich und technisch begrenzten Zugriff.
VPN für mobile Geräte
Mobile Geräte können ebenfalls VPN nutzen.
Beispiele:
Smartphone
Tablet
Außendienstgerät
mobiles Kassensystem
MDM-verwaltetes Gerät
Wichtig:
Geräteverwaltung
Gerätesperre
Verschlüsselung
Zertifikate
MDM-Richtlinien
App-Schutz
Verlustfall beachten
Merksatz:
Mobile VPN-Zugänge brauchen Gerätekontrolle.
Always-On-VPN
Always-On-VPN bedeutet:
Das Gerät baut automatisch eine VPN-Verbindung auf,
sobald es Netzwerkzugang hat.
Ziel:
Benutzer muss VPN nicht manuell starten.
Unternehmensrichtlinien greifen dauerhaft.
interne Dienste sind automatisch erreichbar.
Datenverkehr kann zentral kontrolliert werden.
Merksatz:
Always-On-VPN verbindet Geräte automatisch mit dem Unternehmensnetz.
On-Demand-VPN
On-Demand-VPN baut sich nur bei Bedarf auf.
Beispiel:
Benutzer ruft interne Domain auf.
Gerät startet VPN automatisch.
Vorteil:
weniger dauerhafte Verbindung
komfortabel für Benutzer
gezielter Tunnelaufbau
Merksatz:
On-Demand-VPN startet,
wenn eine bestimmte Ressource benötigt wird.
Per-App-VPN
Per-App-VPN bedeutet:
Nur bestimmte Anwendungen nutzen den VPN-Tunnel.
Beispiel:
Unternehmens-App nutzt VPN.
private Apps nutzen normales Internet.
Vorteil:
bessere Trennung zwischen privater und geschäftlicher Nutzung
weniger Tunnelverkehr
gezieltere Kontrolle
Merksatz:
Per-App-VPN leitet nur ausgewählte Apps durch VPN.
VPN für BYOD
BYOD steht für:
Bring Your Own Device
Dabei nutzen Benutzer private Geräte für berufliche Zwecke.
VPN bei BYOD ist besonders kritisch.
Wichtige Fragen:
Ist das Gerät sicher?
Ist es verwaltet?
Gibt es MDM?
Sind Firmendaten getrennt?
Gibt es MFA?
Kann Zugriff bei Verlust entfernt werden?
Darf das private Gerät interne Netze erreichen?
Merksatz:
BYOD plus VPN braucht klare Sicherheitsregeln.
VPN für Dienstleister
Dienstleisterzugang sollte besonders eng geregelt werden.
Besser:
eigener VPN-Benutzer
keine Sammelkonten
MFA
nur definierte Ziele
zeitliche Freigabe
Protokollierung
Freigabeprozess
regelmäßige Prüfung
Deaktivierung nach Projektende
Merksatz:
Externe Dienstleister niemals pauschal ins interne Netz lassen.
VPN für Standortvernetzung
Bei Standortvernetzung sind wichtige Punkte:
eindeutige IP-Netze
stabile Internetanschlüsse
passende Bandbreite
Routing
Firewall-Regeln
Monitoring
Redundanz
Namensauflösung
Zeitsynchronisation
Dokumentation
Merksatz:
Standort-VPN braucht saubere Netzplanung.
VPN für Cloud-Anbindung
Bei Cloud-VPN sind wichtig:
Cloud-Netzbereich
lokaler Netzbereich
Routingtabellen
Security Groups
Network Security Groups
Cloud-Firewall
DNS
Bandbreite
Latenz
Hochverfügbarkeit
Kosten
Monitoring
Merksatz:
Cloud-VPN braucht Routing und Sicherheitsregeln auf beiden Seiten.
VPN und IP-Adressplanung
VPN funktioniert nur sauber,
wenn Netze eindeutig sind.
Problematisch:
Heimnetz 192.168.1.0/24
und Firmennetz 192.168.1.0/24
Oder:
Standort A 10.0.0.0/24
und Standort B 10.0.0.0/24
Folge:
Routing wird uneindeutig.
Merksatz:
Überlappende Netze verursachen VPN-Probleme.
VPN und Namensauflösung
VPN-Benutzer brauchen oft interne DNS-Auflösung.
Beispiele:
intranet.firma.local
fileserver.intern
dc01.firma.local
app01.servernetz.local
Typische Fehler:
VPN ist verbunden,
aber Namen funktionieren nicht.
Ursache häufig:
interner DNS wird nicht verteilt
DNS-Suffix fehlt
Split DNS falsch
Firewall blockiert DNS
Merksatz:
VPN braucht oft internes DNS.
VPN und Routingtabellen
Der VPN-Client oder das VPN-Gateway braucht passende Routen.
Beispiel:
Zielnetz 10.20.0.0/16
soll über VPN erreichbar sein.
Dann muss eine Route existieren:
10.20.0.0/16 über VPN-Tunnel
Fehlt diese Route,
geht Verkehr eventuell ins lokale Netz oder ins Internet.
Merksatz:
Ohne Route kein Weg durch den Tunnel.
VPN und Firewall-Zonen
VPN-Verbindungen sollten in eigene Firewall-Zonen eingeordnet werden.
Beispiele:
VPN-Mitarbeiter
VPN-Admin
VPN-Dienstleister
Site-to-Site-Partner
Cloud-VPN
Extranet-VPN
Vorteil:
Regeln können gezielt nach Rolle oder Zweck erstellt werden.
Merksatz:
VPN-Zonen helfen,
Zugriff sauber zu begrenzen.
VPN und Gruppen
VPN-Zugriff wird häufig über Gruppen gesteuert.
Beispiele:
Gruppe Mitarbeiter:
Zugriff auf Intranet
Gruppe Support:
Zugriff auf Helpdesk-Systeme
Gruppe Admin:
Zugriff auf Managementnetz
Gruppe Dienstleister:
Zugriff nur auf Wartungsserver
Merksatz:
Gruppen helfen,
VPN-Berechtigungen übersichtlich zu steuern.
VPN und Rollenmodell
Ein Rollenmodell beschreibt,
welche Rolle welche Zugriffe bekommt.
Beispiel:
Rolle
Zugriff
Mitarbeiter
Intranet, Dateiablage
Support
Ticketsystem, bestimmte Clients
Admin
Managementnetz
Dienstleister
definierter Wartungsserver
Partner
Extranet-Portal
Merksatz:
Rollenmodell verhindert pauschale VPN-Freigaben.
VPN und MFA nach Risiko
MFA sollte besonders bei externem Zugriff eingesetzt werden.
Bei VPN ist MFA wichtig,
weil der Zugang aus unsicheren Netzen kommt.
Besonders kritisch:
Admin-VPN
Dienstleister-VPN
Extranet-Zugänge
Zugriff auf Servernetze
Zugriff auf Managementsysteme
Merksatz:
Je kritischer der Zugriff,
desto stärker die Authentifizierung.
VPN und Zertifikatsbasierte Authentifizierung
VPN kann neben Benutzerpasswort auch Zertifikate nutzen.
Vorteile:
Gerät kann eindeutig identifiziert werden.
Passwort allein reicht nicht.
verlorene Geräte können durch Zertifikatswiderruf gesperrt werden.
Clientzugriff kann stärker kontrolliert werden.
Wichtig:
Zertifikate müssen erneuert,
geschützt
und bei Verlust widerrufen werden.
Merksatz:
Zertifikate binden VPN-Zugriff stärker an Geräte oder Identitäten.
VPN und Pre-Shared Key
Ein Pre-Shared Key ist ein vorher gemeinsam vereinbarter geheimer Schlüssel.
Abkürzung:
PSK
PSK wird häufig bei Site-to-Site-VPNs genutzt.
Risiken:
schwacher PSK
PSK wird selten gewechselt
PSK ist mehreren Personen bekannt
PSK wird unsicher dokumentiert
Merksatz:
PSK muss stark,
geheim
und kontrolliert verwaltet werden.
VPN und Hochverfügbarkeit
VPN kann kritisch für den Betrieb sein.
Deshalb können sinnvoll sein:
zwei VPN-Gateways
redundante Internetanschlüsse
automatische Umschaltung
mehrere Standorte
Monitoring
Backup-Konfiguration
dokumentierter Notfallzugang
Merksatz:
Kritische VPN-Zugänge brauchen Redundanz.
VPN und Bandbreite
VPN benötigt Bandbreite.
Besonders relevant bei:
Full Tunnel
vielen Homeoffice-Benutzern
Standortkopplung
Dateiübertragung
Backups
Videokonferenzen
Cloud-Zugriff über Zentrale
Merksatz:
VPN-Leistung hängt auch von Bandbreite und Gateway-Kapazität ab.
VPN und Latenz
Latenz ist die Verzögerung.
VPN kann Latenz erhöhen,
weil der Verkehr einen längeren Weg nimmt
oder verschlüsselt verarbeitet wird.
Besonders betroffen:
Remote Desktop
VoIP
Datenbankanwendungen
Echtzeitanwendungen
interaktive Webanwendungen
Merksatz:
VPN kann Wege verlängern und Latenz erhöhen.
VPN und Protokollwahl
Die Protokollwahl beeinflusst Betrieb und Leistung.
Beispiele:
UDP ist oft besser für VPN-Performance.
TCP über TCP kann bei manchen VPNs ungünstig sein.
TCP 443 ist oft firewallfreundlich.
UDP kann in manchen Netzen blockiert sein.
IPsec braucht passende Ports und Protokolle.
Merksatz:
VPN-Protokoll muss zu Netzwerk,
Sicherheit
und Betrieb passen.
TCP-over-TCP-Problem
Wenn ein VPN über TCP läuft
und darin wiederum TCP-Verkehr transportiert wird,
können Leistungseinbußen entstehen.
Grundidee:
Zwei TCP-Schichten versuchen gleichzeitig,
Verluste und Stau zu regeln.
Das kann bei Paketverlust zu schlechter Performance führen.
Merksatz:
TCP im TCP-Tunnel kann Performanceprobleme verstärken.
VPN und NAT-Traversal
VPN-Verbindungen müssen oft durch NAT-Geräte.
NAT-Traversal hilft,
VPN-Verkehr durch NAT zu transportieren.
Besonders relevant bei:
IPsec hinter Routern
Heimnetzen
Mobilfunk
Hotel-WLAN
Provider-NAT
Merksatz:
NAT-Traversal hilft VPNs durch NAT-Umgebungen.
VPN und CGNAT
CGNAT kann eingehende Verbindungen erschweren.
Für Remote-Access-VPN ist das oft weniger problematisch,
wenn der Client nach außen zum VPN-Gateway verbindet.
Für eigenes VPN-Gateway zuhause oder am kleinen Standort kann CGNAT problematisch sein,
weil eingehende Verbindungen nicht direkt möglich sind.
Merksatz:
CGNAT stört vor allem,
wenn ein VPN-Gateway von außen erreichbar sein muss.
VPN und Logs nach Art unterscheiden
Je nach VPN-Art sind andere Logs wichtig.
Remote-Access:
Benutzer
Gerät
MFA
VPN-IP
Gruppen
Routen
Site-to-Site:
Tunnelstatus
Peer-Adresse
Phase 1 / Phase 2
Schlüssel
Routen
Security Associations
Extranet:
Partner
Zugriffszeiten
Zielsysteme
Rollen
Ablaufdatum
Merksatz:
VPN-Logs nach VPN-Art auswerten.
Typische Fehler bei Remote-Access-VPN
Häufige Fehler:
- Benutzer kann sich nicht anmelden
- MFA schlägt fehl
- Zertifikat fehlt
- VPN-Client veraltet
- Client bekommt keine IP
- interne Namen lösen nicht auf
- Route fehlt
- Zugriff wird durch Gruppe nicht erlaubt
- lokales Heimnetz überschneidet sich
- Endgerät unsicher oder nicht compliant
Merksatz:
Remote-Access-Fehler betreffen oft Benutzer,
Client,
DNS
und Routen.
Typische Fehler bei Site-to-Site-VPN
Häufige Fehler:
- Tunnel kommt nicht hoch
- PSK stimmt nicht
- Peer-Adresse falsch
- Phase-1-Parameter falsch
- Phase-2-Parameter falsch
- Netze falsch definiert
- Routing fehlt
- Firewall-Regeln fehlen
- IP-Netze überschneiden sich
- einseitige Erreichbarkeit
- NAT-Regeln stören
Merksatz:
Site-to-Site-Fehler betreffen oft Parameter,
Netze,
Routing
und Firewall.
Phase 1 und Phase 2 bei IPsec
Bei IPsec spricht man häufig von Phase 1 und Phase 2.
Vereinfacht:
Phase 1:
sichere Verbindung zwischen den VPN-Gateways aufbauen
Phase 2:
festlegen,
welche Netze oder Daten über den Tunnel geschützt werden
Typische Fehler:
Parameter stimmen nicht überein.
PSK falsch.
Netze falsch definiert.
Verschlüsselungsalgorithmen passen nicht.
Merksatz:
Phase 1 verbindet Gateways.
Phase 2 schützt die eigentlichen Netze.
Security Association
Security Association wird oft abgekürzt:
SA
Eine SA beschreibt ausgehandelte Sicherheitsparameter einer VPN-Verbindung.
Dazu gehören zum Beispiel:
Verschlüsselung
Integritätsschutz
Schlüssel
Lebensdauer
beteiligte Gegenstellen
geschützte Netze
Merksatz:
SA beschreibt ausgehandelte VPN-Sicherheitsparameter.
VPN-Fehlersuche nach Art
VPN-Art
zuerst prüfen
Remote-Access
Benutzer, MFA, Client, IP, DNS, Route
Site-to-Site
Tunnelstatus, Peer, PSK, Phase 1/2, Routen
Cloud-VPN
Cloud-Routing, Security Groups, lokale Firewall
Extranet-VPN
Partnerkonto, Rollen, Zielsysteme, Ablaufdatum
Admin-VPN
MFA, Adminrolle, Managementnetz, Logs
Fernwartungs-VPN
Zeitfenster, Zielsystem, Protokollierung
Merksatz:
Die VPN-Art bestimmt die Fehlersuche.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Welche VPN-Arten gibt es?
- Was ist Remote-Access-VPN?
- Was ist Client-to-Site-VPN?
- Was ist Site-to-Site-VPN?
- Wofür nutzt man Extranet-VPN?
- Wofür nutzt man Cloud-VPN?
- Was ist ein Admin-VPN?
- Warum braucht Fernwartungs-VPN besondere Kontrolle?
- Was ist Always-On-VPN?
- Was ist Per-App-VPN?
- Warum sind überlappende IP-Netze bei VPN problematisch?
- Warum sind VPN-Zonen sinnvoll?
- Warum ist ein Rollenmodell für VPN wichtig?
- Was ist ein Pre-Shared Key?
- Was bedeutet Phase 1 und Phase 2 bei IPsec?
- Was ist eine Security Association?
Typische Prüfungsfallen
VPN ist ein Oberbegriff.
Remote-Access-VPN verbindet Benutzer.
Client-to-Site ist praktisch Remote-Access.
Site-to-Site-VPN verbindet Netze.
Extranet-VPN ist für externe Berechtigte.
Cloud-VPN verbindet lokale und Cloud-Netze.
Admin-VPN besonders schützen.
Fernwartungs-VPN zeitlich begrenzen.
Always-On-VPN startet automatisch.
On-Demand-VPN startet bei Bedarf.
Per-App-VPN gilt nur für bestimmte Apps.
BYOD braucht besondere Gerätekontrolle.
VPN-Zugriff nicht pauschal erlauben.
IP-Netze dürfen sich nicht überschneiden.
VPN braucht DNS und Routing.
VPN-Gruppen steuern Zugriff.
PSK muss stark und geheim sein.
Phase 1 und Phase 2 nicht verwechseln.
VPN-Logs je nach VPN-Art auswerten.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Remote-Access-VPN
Benutzer verbindet sich aus der Ferne
Client-to-Site-VPN
einzelner Client verbindet sich mit Firmennetz
Site-to-Site-VPN
zwei Netze werden verbunden
Host-to-Host-VPN
zwei einzelne Systeme werden verbunden
Extranet-VPN
VPN-Zugriff für externe Berechtigte
Cloud-VPN
Verbindung zwischen lokalem Netz und Cloud-Netz
Admin-VPN
besonders geschützter Adminzugang
Fernwartungs-VPN
Wartungszugang für Support oder Hersteller
Always-On-VPN
VPN startet automatisch dauerhaft
On-Demand-VPN
VPN startet nur bei Bedarf
Per-App-VPN
nur bestimmte Apps nutzen VPN
BYOD
private Geräte im beruflichen Einsatz
VPN-Zone
eigene Firewall-Zone für VPN-Verkehr
VPN-Gruppe
Gruppe zur Steuerung von VPN-Rechten
PSK
Pre-Shared Key
NAT-Traversal
VPN durch NAT ermöglichen
Phase 1
IPsec-Aufbau zwischen Gateways
Phase 2
IPsec-Schutz der eigentlichen Netze
Security Association
ausgehandelte Sicherheitsparameter
Peer
VPN-Gegenstelle
Tunnelstatus
Zustand einer VPN-Verbindung
IHK-sichere Kurzformulierung
VPNs können je nach Einsatzzweck unterschiedlich aufgebaut sein. Remote-Access-VPN oder Client-to-Site-VPN verbindet einzelne Benutzer mit internen Ressourcen, während Site-to-Site-VPN ganze Netzwerke oder Standorte miteinander verbindet. Extranet-VPN ermöglicht externen Partnern kontrollierten Zugriff, Cloud-VPN verbindet lokale Netze mit Cloud-Netzen, und Admin- oder Fernwartungs-VPNs dienen besonders geschützten Administrations- oder Wartungszugängen. Für alle VPN-Arten sind eindeutige IP-Netze, passende Routen, DNS, Firewall-Regeln, starke Authentifizierung, Rollenmodelle, Protokollierung und Monitoring wichtig. Bei IPsec sind Phase 1 und Phase 2 zu unterscheiden: Phase 1 baut die sichere Verbindung zwischen Gateways auf, Phase 2 definiert die geschützten Netze oder Datenströme.
Merksätze
VPN ist ein Oberbegriff.
VPN-Art richtet sich nach Einsatzzweck.
Remote-Access verbindet Benutzer.
Client-to-Site verbindet Client mit Netz.
Site-to-Site verbindet Netze.
Host-to-Host verbindet einzelne Systeme.
Extranet-VPN ist für externe Berechtigte.
Cloud-VPN verbindet lokal mit Cloud.
Admin-VPN besonders absichern.
Fernwartungs-VPN zeitlich begrenzen.
Always-On-VPN startet automatisch.
On-Demand-VPN startet bei Bedarf.
Per-App-VPN gilt nur für bestimmte Apps.
BYOD braucht klare Sicherheitsregeln.
Dienstleisterzugriff nie pauschal erlauben.
Standort-VPN braucht Netzplanung.
Cloud-VPN braucht Regeln auf beiden Seiten.
Überlappende Netze vermeiden.
VPN braucht Routen.
VPN braucht oft internes DNS.
VPN-Zonen trennen Zugriffe.
Gruppen steuern Berechtigungen.
Rollenmodell verhindert Pauschalzugriff.
MFA schützt externe Zugänge.
Zertifikate brauchen Verwaltung.
PSK stark und geheim halten.
Kritische VPNs überwachen.
VPN kann Latenz erhöhen.
TCP-over-TCP kann bremsen.
NAT-Traversal hilft durch NAT.
Phase 1 verbindet Gateways.
Phase 2 schützt Netze.
Security Association beschreibt VPN-Sicherheitsparameter.
14.3
VPN-Protokolle: IPsec, IKEv2, OpenVPN, WireGuard und TLS-VPN
VPN ist ein Oberbegriff.
Dahinter können unterschiedliche Protokolle und Techniken stehen.
Die wichtigsten VPN-Protokolle und VPN-Techniken sind:
- IPsec
- IKEv2
- OpenVPN
- WireGuard
- TLS-VPN
- L2TP/IPsec
- PPTP als veraltetes Beispiel
Merksatz:
VPN beschreibt den Zweck.
Das VPN-Protokoll beschreibt die technische Umsetzung.
Warum gibt es verschiedene VPN-Protokolle?
Nicht jedes VPN-Protokoll ist für denselben Zweck ideal.
Unterschiede gibt es bei:
- Sicherheit
- Geschwindigkeit
- Einrichtung
- Firewall-Freundlichkeit
- Betriebssystemunterstützung
- Schlüsselaustausch
- Authentifizierung
- Ports und Protokollen
- Wartbarkeit
- Kompatibilität
Merksatz:
Das passende VPN-Protokoll hängt vom Einsatzfall ab.
Wichtige Auswahlkriterien
Bei der Auswahl eines VPN-Protokolls fragt man:
Soll ein Benutzer oder ein Standort verbunden werden?
Welche Betriebssysteme werden genutzt?
Wird NAT verwendet?
Gibt es Firewalls dazwischen?
Ist hohe Geschwindigkeit wichtig?
Wird MFA benötigt?
Werden Zertifikate genutzt?
Muss das VPN besonders einfach wartbar sein?
Gibt es Unternehmensvorgaben?
Gibt es Compliance-Anforderungen?
Merksatz:
VPN-Auswahl ist immer eine Kombination aus Sicherheit,
Betrieb
und Kompatibilität.
IPsec
IPsec steht für:
Internet Protocol Security
IPsec ist eine Protokollfamilie,
die IP-Kommunikation absichern kann.
IPsec wird häufig verwendet für:
- Site-to-Site-VPN
- Standortvernetzung
- Cloud-VPN
- Remote-Access-VPN
- sichere Kommunikation zwischen Netzen
Merksatz:
IPsec schützt IP-Kommunikation auf Netzwerkebene.
IPsec im OSI-Modell
IPsec arbeitet besonders nah an Schicht 3.
Warum?
Es schützt IP-Pakete.
Dadurch eignet sich IPsec gut,
um ganze Netze miteinander zu verbinden.
Beispiel:
Standort A 192.168.10.0/24
↔
Standort B 192.168.20.0/24
Merksatz:
IPsec passt gut zu Netz-zu-Netz-Verbindungen.
IPsec-Grundidee
IPsec kann IP-Pakete schützen durch:
- Verschlüsselung
- Integritätsschutz
- Authentifizierung
- Schutz vor Manipulation
- Schutz vor Wiederholungsangriffen
Dabei werden Sicherheitsparameter zwischen den VPN-Gegenstellen ausgehandelt.
Merksatz:
IPsec schützt nicht nur vor Mitlesen,
sondern auch vor Manipulation.
IPsec Tunnel Mode
Beim Tunnel Mode wird das ursprüngliche IP-Paket komplett eingepackt.
Dabei entsteht ein neues äußeres IP-Paket.
Typischer Einsatz:
Site-to-Site-VPN
Beispiel:
internes Paket:
192.168.10.50 → 192.168.20.60
äußeres Paket:
öffentliche IP Standort A → öffentliche IP Standort B
Merksatz:
Tunnel Mode schützt ganze IP-Pakete zwischen VPN-Gateways.
IPsec Transport Mode
Beim Transport Mode wird hauptsächlich die Nutzlast des IP-Pakets geschützt.
Die ursprünglichen IP-Adressen bleiben Teil des äußeren Pakets.
Typischer Einsatz:
Host-zu-Host-Kommunikation
In der Praxis ist für Standort-VPNs meist der Tunnel Mode wichtiger.
Merksatz:
Transport Mode schützt eher direkte Host-Kommunikation.
ESP
ESP steht für:
Encapsulating Security Payload
ESP ist ein wichtiger Bestandteil von IPsec.
ESP kann bieten:
- Verschlüsselung
- Integritätsschutz
- Authentifizierung
ESP ist für viele IPsec-VPNs zentral.
Merksatz:
ESP schützt die Daten bei IPsec.
AH
AH steht für:
Authentication Header
AH bietet Authentifizierung und Integrität,
aber keine Verschlüsselung des Inhalts.
In vielen modernen IPsec-VPNs wird häufiger ESP verwendet.
Merksatz:
AH schützt Integrität,
aber verschlüsselt nicht den Inhalt.
IKE
IKE steht für:
Internet Key Exchange
IKE wird genutzt,
um bei IPsec Schlüssel und Sicherheitsparameter auszuhandeln.
IKE regelt unter anderem:
- Authentifizierung der Gegenstellen
- Aushandlung von Verschlüsselung
- Aushandlung von Integritätsschutz
- Schlüsselerzeugung
- Lebensdauer von Sicherheitsbeziehungen
Merksatz:
IKE handelt aus,
wie IPsec gesichert wird.
IKEv1 und IKEv2
IKEv1 ist älter.
IKEv2 ist moderner und wird häufig bevorzugt.
IKEv2 bietet Vorteile wie:
stabilere Verbindungen
bessere Unterstützung für Mobilität
bessere Wiederverbindung
einfachere Aushandlung
gute Eignung für Remote-Access
Merksatz:
IKEv2 ist die modernere Variante von IKE.
IPsec Phase 1
Bei IPsec wird häufig von Phase 1 gesprochen.
Phase 1 bedeutet vereinfacht:
Die VPN-Gegenstellen bauen eine sichere Steuerverbindung auf.
Dabei wird geprüft:
Wer ist die Gegenstelle?
Welcher Schlüssel oder welches Zertifikat wird genutzt?
Welche Verschlüsselung wird verwendet?
Welche Integritätsprüfung wird verwendet?
Wie lange gilt die Verbindung?
Merksatz:
Phase 1 sichert die Verbindung zwischen den VPN-Gateways.
IPsec Phase 2
Phase 2 bedeutet vereinfacht:
Es wird festgelegt,
welche eigentlichen Daten oder Netze geschützt werden.
Beispiele:
192.168.10.0/24 ↔ 192.168.20.0/24
Oder:
bestimmter Host ↔ bestimmter Host
Dabei werden Sicherheitsparameter für den eigentlichen Datenverkehr ausgehandelt.
Merksatz:
Phase 2 schützt die eigentlichen Nutzdaten oder Netze.
Phase 1 und Phase 2 vergleichen
Phase
Aufgabe
Phase 1
sichere Verbindung zwischen VPN-Gegenstellen aufbauen
Phase 2
geschützte Netze oder Datenströme festlegen
Phase 1 Fehler
Tunnel kommt oft gar nicht hoch
Phase 2 Fehler
Tunnel steht teilweise, aber Daten fließen nicht korrekt
Merksatz:
Phase 1 verbindet Gateways.
Phase 2 schützt Netze.
Security Association
Security Association wird abgekürzt:
SA
Eine SA beschreibt ausgehandelte Sicherheitsparameter.
Dazu gehören zum Beispiel:
- Verschlüsselungsverfahren
- Integritätsverfahren
- Schlüssel
- Lebensdauer
- Gegenstellen
- geschützte Netze
- Richtung der Verbindung
Merksatz:
SA beschreibt,
wie VPN-Verkehr geschützt wird.
Pre-Shared Key
Ein Pre-Shared Key wird abgekürzt:
PSK
Ein PSK ist ein vorher gemeinsam vereinbarter geheimer Schlüssel.
Er wird häufig bei Site-to-Site-VPNs verwendet.
Risiken:
PSK ist zu kurz.
PSK wird mehrfach verwendet.
PSK wird unsicher gespeichert.
PSK wird selten gewechselt.
PSK ist zu vielen Personen bekannt.
Merksatz:
PSK muss stark,
geheim
und kontrolliert verwaltet werden.
Zertifikate bei IPsec
Statt PSK können VPNs Zertifikate verwenden.
Vorteile:
bessere Skalierbarkeit
bessere Identitätsprüfung
einzelne Zertifikate können widerrufen werden
keine gemeinsamen Geheimnisse für alle Verbindungen
gut für größere Umgebungen
Wichtig:
Zertifikate brauchen eine saubere PKI und Verwaltung.
Merksatz:
Zertifikate sind oft besser skalierbar als gemeinsame PSKs.
NAT-Traversal bei IPsec
IPsec kann Probleme mit NAT haben.
Grund:
NAT verändert IP-Adressen und manchmal Ports.
NAT-Traversal hilft,
IPsec durch NAT-Geräte zu transportieren.
Typischer Begriff:
NAT-T
NAT-T kapselt IPsec-Verkehr so,
dass er besser durch NAT-Umgebungen kommt.
Merksatz:
NAT-Traversal hilft IPsec durch NAT.
Typische Ports und Protokolle bei IPsec
Typisch relevant sind:
Zweck
Port / Protokoll
IKE
UDP 500
NAT-Traversal
UDP 4500
ESP
IP-Protokoll 50
AH
IP-Protokoll 51
Wichtig:
ESP und AH sind keine TCP- oder UDP-Ports,
sondern eigene IP-Protokolle.
Merksatz:
IPsec ist nicht nur ein einzelner TCP-Port.
OpenVPN
OpenVPN ist eine verbreitete VPN-Lösung.
Eigenschaften:
- nutzt TLS
- kann mit Zertifikaten arbeiten
- kann UDP oder TCP verwenden
- flexibel konfigurierbar
- geeignet für Remote-Access und Site-to-Site
- benötigt meist Clientsoftware
Merksatz:
OpenVPN ist flexibel und TLS-basiert.
OpenVPN über UDP
OpenVPN wird häufig über UDP betrieben.
Vorteile:
gute Performance
weniger TCP-over-TCP-Probleme
geeignet für VPN-Verkehr
oft stabil bei Paketverlust
Merksatz:
OpenVPN über UDP ist häufig performanter.
OpenVPN über TCP
OpenVPN kann auch über TCP betrieben werden.
Vorteile:
kann in manchen Netzen leichter durch Firewalls
TCP 443 wirkt ähnlich wie HTTPS-Verkehr
manchmal nützlich in restriktiven Netzwerken
Nachteile:
TCP-over-TCP kann Performanceprobleme verursachen
Merksatz:
OpenVPN über TCP kann firewallfreundlich,
aber langsamer sein.
TCP-over-TCP-Problem
Wenn ein VPN über TCP läuft
und darin TCP-Verkehr transportiert wird,
entstehen zwei TCP-Steuerungen übereinander.
Beide versuchen:
Paketverlust zu erkennen
erneut zu senden
Stau zu kontrollieren
Das kann bei Paketverlust zu schlechter Leistung führen.
Merksatz:
TCP im TCP-Tunnel kann bremsen.
WireGuard
WireGuard ist ein modernes VPN-Protokoll.
Eigenschaften:
- schlank
- schnell
- vergleichsweise einfache Konfiguration
- moderne Kryptografie
- arbeitet typischerweise über UDP
- gut für Remote-Access und Site-to-Site
- Schlüssel stehen im Mittelpunkt
Merksatz:
WireGuard ist ein schlankes,
modernes VPN-Protokoll über UDP.
WireGuard-Grundidee
WireGuard arbeitet mit öffentlichen und privaten Schlüsseln.
Jeder Peer besitzt:
privaten Schlüssel
öffentlichen Schlüssel
Die Gegenstelle kennt den öffentlichen Schlüssel.
Zusätzlich werden Allowed IPs definiert.
Allowed IPs bestimmen,
welche IP-Adressen über den jeweiligen Peer geroutet werden.
Merksatz:
WireGuard arbeitet mit Peers,
Schlüsseln
und Allowed IPs.
WireGuard Peer
Ein Peer ist eine VPN-Gegenstelle.
Beispiele:
Notebook eines Benutzers
Server
Firewall
Router
Standort-Gateway
Jeder Peer braucht passende Schlüssel
und passende Routing-Angaben.
Merksatz:
Peer = WireGuard-Gegenstelle.
Allowed IPs bei WireGuard
Allowed IPs haben bei WireGuard zwei wichtige Bedeutungen:
Welche Zielnetze gehen über diesen Peer?
Welche Quell-IP-Adressen werden von diesem Peer akzeptiert?
Beispiel:
AllowedIPs = 10.8.0.2/32
für einen einzelnen Client.
Oder:
AllowedIPs = 192.168.20.0/24
für ein Standortnetz.
Merksatz:
Allowed IPs sind bei WireGuard Routing und Zugriffskontrolle zugleich.
TLS-VPN
TLS-VPN nutzt TLS als Grundlage für den sicheren Tunnel.
Es wird oft auch SSL-VPN genannt,
obwohl TLS fachlich der modernere Begriff ist.
Einsatz:
Remote-Access
Webportale
Clientbasierter Zugriff
Zugriff über TCP 443
manchmal browserbasierter Zugriff
Merksatz:
SSL-VPN meint in der Praxis meistens TLS-VPN.
TLS-VPN und HTTPS
TLS-VPN kann firewallfreundlich sein,
weil es häufig über TCP 443 läuft.
Das ist derselbe Port,
der auch für HTTPS genutzt wird.
Vorteil:
funktioniert oft in restriktiven Netzen besser
Nachteil:
Port 443 allein sagt nicht,
ob es normaler Webverkehr oder VPN ist.
Merksatz:
TLS-VPN nutzt häufig Mechanismen ähnlich wie HTTPS.
Clientless VPN
Clientless VPN bedeutet:
Benutzer greift über Browser auf ein Portal zu,
ohne klassischen vollständigen VPN-Client.
Beispiel:
Webportal stellt interne Webanwendung bereit.
Vorteile:
einfacher Zugriff
weniger Clientinstallation
gut für einzelne Webanwendungen
Nachteile:
nicht für alle Protokolle geeignet
weniger flexibel als vollständiger Tunnel
Merksatz:
Clientless VPN ist eher Portalzugriff als kompletter Netzwerktunnel.
L2TP/IPsec
L2TP steht für:
Layer 2 Tunneling Protocol
L2TP selbst bietet keine ausreichende Verschlüsselung.
Deshalb wird es häufig mit IPsec kombiniert.
Einsatz:
ältere oder kompatible VPN-Setups
bestimmte Betriebssystem-Clients
Remote-Access
Merksatz:
L2TP braucht IPsec,
wenn es sicher sein soll.
PPTP
PPTP steht für:
Point-to-Point Tunneling Protocol
PPTP ist veraltet
und gilt nicht mehr als sicher.
Es sollte in modernen Umgebungen nicht mehr verwendet werden.
Merksatz:
PPTP kennen,
aber nicht mehr einsetzen.
VPN-Protokolle vergleichen
Protokoll
Typischer Einsatz
Kurzbewertung
IPsec / IKEv2
Site-to-Site, Remote-Access
etabliert, stark, komplexer
OpenVPN
Remote-Access, Site-to-Site
flexibel, weit verbreitet
WireGuard
Remote-Access, Site-to-Site
modern, schnell, schlank
TLS-VPN
Remote-Access
oft firewallfreundlich
L2TP/IPsec
ältere Setups
kompatibel, aber weniger modern
PPTP
veraltet
nicht mehr sicher
Merksatz:
Moderne VPNs bevorzugen IPsec/IKEv2,
OpenVPN,
WireGuard
oder TLS-VPN.
VPN und Ports vergleichen
Technik
typische Ports / Protokolle
IPsec IKE
UDP 500
IPsec NAT-T
UDP 4500
IPsec ESP
IP-Protokoll 50
OpenVPN
oft UDP 1194 oder TCP/UDP konfigurierbar
WireGuard
oft UDP 51820
TLS-VPN
häufig TCP 443
L2TP
UDP 1701 plus IPsec
PPTP
TCP 1723 plus GRE
Wichtig:
Ports können je nach Konfiguration abweichen.
Merksatz:
VPN-Fehlersuche braucht Wissen über verwendete Ports und Protokolle.
VPN und Verschlüsselung
VPN-Protokolle nutzen kryptografische Verfahren für:
Vertraulichkeit
Integrität
Authentizität
Schlüsselaustausch
Wichtig:
Nicht nur das VPN-Protokoll zählt,
sondern auch die konkrete Konfiguration.
Beispiele:
alte Algorithmen vermeiden
schwache Schlüssel vermeiden
unsichere Protokolle abschalten
Zertifikate korrekt prüfen
aktuelle Software nutzen
Merksatz:
Sicheres VPN braucht sicheres Protokoll und sichere Konfiguration.
VPN und Perfect Forward Secrecy
Perfect Forward Secrecy wird oft abgekürzt:
PFS
PFS bedeutet vereinfacht:
Selbst wenn ein langfristiger Schlüssel später kompromittiert wird,
sollen alte Sitzungen nicht einfach nachträglich entschlüsselt werden können.
PFS wird durch geeignete Schlüsselaustauschverfahren erreicht.
Merksatz:
PFS schützt alte Sitzungen besser bei späterem Schlüsselverlust.
VPN und Schlüssel-Lebensdauer
Viele VPNs arbeiten mit Schlüssel- oder SA-Lebensdauern.
Nach Ablauf werden Schlüssel neu ausgehandelt.
Zweck:
Sicherheitsverbesserung
Begrenzung der Datenmenge pro Schlüssel
regelmäßige Erneuerung der Sicherheitsparameter
Typischer Fehler:
Gegenstellen haben stark unterschiedliche Lebensdauern
oder inkompatible Einstellungen.
Merksatz:
VPN-Gegenstellen müssen bei Sicherheitsparametern zusammenpassen.
VPN und Kompatibilität
VPN-Probleme entstehen oft,
wenn Gegenstellen unterschiedliche Einstellungen erwarten.
Beispiele:
Verschlüsselungsalgorithmus passt nicht.
Hashverfahren passt nicht.
DH-Gruppe passt nicht.
PSK stimmt nicht.
Zertifikat wird nicht vertraut.
Phase-2-Netze passen nicht.
Lebensdauer passt nicht.
NAT-T ist unterschiedlich eingestellt.
Merksatz:
VPN-Gegenstellen müssen dieselbe Sprache sprechen.
Typische IPsec-Fehler
Häufige Fehler:
- falscher Pre-Shared Key
- falsche Peer-Adresse
- Phase 1 passt nicht
- Phase 2 passt nicht
- falsche Netze definiert
- Routing fehlt
- Firewall blockiert UDP 500 oder UDP 4500
- ESP wird blockiert
- NAT-T fehlt
- Zertifikat ungültig
- Uhrzeit falsch
Merksatz:
IPsec-Fehler liegen oft an Parametern,
Routing
oder Firewall.
Typische OpenVPN-Fehler
Häufige Fehler:
- falsche Serveradresse
- falscher Port
- UDP blockiert
- Zertifikat ungültig
- Clientprofil falsch
- Benutzer nicht berechtigt
- Route fehlt
- DNS fehlt
- TLS-Handshake schlägt fehl
- MTU-Problem
Merksatz:
OpenVPN-Fehler mit Profil,
Zertifikat,
Port,
Route
und DNS prüfen.
Typische WireGuard-Fehler
Häufige Fehler:
- falscher öffentlicher Schlüssel
- falscher privater Schlüssel
- Allowed IPs falsch
- Endpoint falsch
- UDP-Port blockiert
- Route fehlt
- NAT oder Firewall blockiert
- kein Persistent Keepalive bei NAT-Szenario
- IP-Adresskonflikt
- Gegenstelle antwortet nicht
Merksatz:
WireGuard-Fehler liegen oft an Schlüsseln,
Allowed IPs,
Endpoint
oder Routing.
Persistent Keepalive bei WireGuard
Persistent Keepalive kann helfen,
wenn ein WireGuard-Peer hinter NAT sitzt.
Grund:
NAT-Zuordnungen können nach einiger Zeit ablaufen.
Mit Keepalive sendet der Peer regelmäßig kleine Pakete,
damit die NAT-Zuordnung bestehen bleibt.
Merksatz:
Persistent Keepalive hilft WireGuard hinter NAT.
Typische TLS-VPN-Fehler
Häufige Fehler:
- Portal nicht erreichbar
- Zertifikat ungültig
- MFA schlägt fehl
- Benutzer nicht berechtigt
- Clientplugin oder Clientsoftware fehlt
- Richtlinie erlaubt Ziel nicht
- DNS über VPN fehlt
- Session läuft ab
- Browser blockiert Inhalt
Merksatz:
TLS-VPN-Fehler betreffen oft Portal,
Zertifikat,
MFA
oder Richtlinie.
VPN-Protokoll und Firewall
Für VPN-Verbindungen müssen Firewalls den passenden Verkehr erlauben.
Zu prüfen:
Welcher Port?
TCP oder UDP?
Eigenes IP-Protokoll?
NAT beteiligt?
Verbindung von innen nach außen oder von außen nach innen?
Rückverkehr erlaubt?
Provider blockiert etwas?
Merksatz:
VPN funktioniert nur,
wenn Firewall und Protokoll zusammenpassen.
VPN-Protokoll und NAT
Manche VPN-Protokolle kommen besser mit NAT zurecht als andere.
Wichtige Punkte:
NAT verändert Adressen.
Manche Protokolle verwenden eigene IP-Protokolle.
UDP-basierte Protokolle brauchen NAT-Zuordnung.
NAT-Traversal kann nötig sein.
CGNAT kann eingehende Verbindungen verhindern.
Merksatz:
NAT ist bei VPN oft ein wichtiger Fehlerfaktor.
VPN-Protokoll und Betriebssysteme
Nicht jedes Betriebssystem unterstützt jedes VPN gleich gut.
Zu prüfen:
nativer Client vorhanden?
Zusatzsoftware nötig?
MDM-Unterstützung?
Zertifikatsverwaltung möglich?
MFA integrierbar?
Always-On möglich?
Per-App-VPN möglich?
Benutzerfreundlichkeit?
Merksatz:
VPN-Protokoll muss auch zu den Endgeräten passen.
VPN-Protokoll und Sicherheitspolitik
Ein Unternehmen sollte festlegen:
Welche VPN-Protokolle sind erlaubt?
Welche sind verboten?
Welche Algorithmen sind erlaubt?
Wie werden Schlüssel verwaltet?
Ist MFA Pflicht?
Wie werden Zertifikate erneuert?
Wie werden Logs gespeichert?
Wer darf VPN nutzen?
Welche Zugriffe sind erlaubt?
Merksatz:
VPN-Sicherheit braucht technische und organisatorische Vorgaben.
Veraltete VPN-Verfahren vermeiden
Veraltete oder schwache Verfahren sollten nicht mehr genutzt werden.
Beispiele:
PPTP vermeiden
schwache PSKs vermeiden
alte TLS-Versionen vermeiden
unsichere Algorithmen vermeiden
unsichere Hashverfahren vermeiden
gemeinsame Konten vermeiden
fehlende MFA vermeiden
Merksatz:
Veraltete VPN-Verfahren sind ein Sicherheitsrisiko.
VPN-Protokolle in der Fehlersuche
Bei VPN-Problemen zuerst klären:
Welches VPN-Protokoll wird genutzt?
Welcher Port wird genutzt?
TCP oder UDP?
Welche Gegenstellen?
Remote-Access oder Site-to-Site?
PSK oder Zertifikat?
Welche Netze sollen durch den Tunnel?
Welche Logs gibt es?
Merksatz:
Ohne Protokollwissen ist VPN-Fehlersuche ungenau.
Checkliste: VPN-Protokoll prüfen
1. VPN-Art bestimmen.
2. VPN-Protokoll bestimmen.
3. Ports und Protokolle prüfen.
4. Firewall-Freigaben prüfen.
5. NAT oder CGNAT prüfen.
6. Authentifizierung prüfen.
7. Schlüssel oder Zertifikate prüfen.
8. Routen prüfen.
9. DNS prüfen.
10. Logs prüfen.
11. Sicherheitsparameter vergleichen.
12. Gegenstelle prüfen.
Merksatz:
VPN-Protokoll,
Ports,
Schlüssel,
Routen
und Logs gemeinsam prüfen.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist IPsec?
- Was ist IKE?
- Wofür wird IKEv2 genutzt?
- Was ist der Unterschied zwischen IPsec Tunnel Mode und Transport Mode?
- Was ist ESP?
- Was ist AH?
- Was bedeutet Phase 1 bei IPsec?
- Was bedeutet Phase 2 bei IPsec?
- Was ist eine Security Association?
- Was ist ein Pre-Shared Key?
- Warum ist NAT-Traversal bei IPsec wichtig?
- Was ist OpenVPN?
- Was ist WireGuard?
- Was bedeutet Allowed IPs bei WireGuard?
- Was ist TLS-VPN?
- Warum ist PPTP veraltet?
- Warum kann TCP-over-TCP problematisch sein?
Typische Prüfungsfallen
VPN ist Oberbegriff,
nicht ein einzelnes Protokoll.
IPsec arbeitet nah an Schicht 3.
IKE handelt Schlüssel aus.
IKEv2 ist moderner als IKEv1.
ESP schützt Daten bei IPsec.
AH verschlüsselt nicht.
Tunnel Mode ist wichtig für Site-to-Site.
Transport Mode eher für Host-to-Host.
Phase 1 verbindet Gateways.
Phase 2 schützt Netze.
SA beschreibt Sicherheitsparameter.
PSK muss stark und geheim sein.
UDP 500 und UDP 4500 bei IPsec kennen.
ESP ist kein TCP- oder UDP-Port.
OpenVPN kann UDP oder TCP nutzen.
OpenVPN über UDP ist oft performanter.
TCP-over-TCP kann bremsen.
WireGuard nutzt Peers und Schlüssel.
Allowed IPs bei WireGuard sind wichtig.
TLS-VPN wird oft SSL-VPN genannt.
L2TP braucht IPsec für Sicherheit.
PPTP ist veraltet und unsicher.
VPN-Sicherheit hängt auch von Konfiguration ab.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
VPN-Protokoll
technische Umsetzung eines VPN
IPsec
Absicherung von IP-Kommunikation
IKE
Schlüsselaushandlung für IPsec
IKEv2
moderne IKE-Version
Tunnel Mode
gesamtes IP-Paket wird geschützt eingepackt
Transport Mode
Nutzlast wird geschützt
ESP
IPsec-Bestandteil für Verschlüsselung und Integrität
AH
IPsec-Bestandteil für Authentizität und Integrität ohne Verschlüsselung
Phase 1
sichere Verbindung zwischen VPN-Gegenstellen
Phase 2
Schutz der eigentlichen Netze oder Datenströme
SA
Security Association
PSK
Pre-Shared Key
NAT-T
NAT-Traversal
OpenVPN
flexible TLS-basierte VPN-Lösung
WireGuard
modernes schlankes VPN-Protokoll
Peer
VPN-Gegenstelle bei WireGuard
Allowed IPs
Routing- und Zuordnungsangabe bei WireGuard
TLS-VPN
VPN auf Basis von TLS
SSL-VPN
ältere Bezeichnung für TLS-VPN
Clientless VPN
browserbasierter Portalzugriff
L2TP/IPsec
L2TP kombiniert mit IPsec
PPTP
veraltetes VPN-Protokoll
TCP-over-TCP
TCP-Verkehr in TCP-Tunnel
Persistent Keepalive
Keepalive für WireGuard hinter NAT
IHK-sichere Kurzformulierung
VPN ist ein Oberbegriff für verschlüsselte Tunnelverbindungen. Technisch können verschiedene Protokolle eingesetzt werden, zum Beispiel IPsec/IKEv2, OpenVPN, WireGuard oder TLS-VPN. IPsec arbeitet nah an der IP-Schicht und wird häufig für Site-to-Site-VPNs genutzt. IKE handelt dabei Schlüssel und Sicherheitsparameter aus. Bei IPsec beschreibt Phase 1 den Aufbau einer sicheren Verbindung zwischen den VPN-Gegenstellen, während Phase 2 die geschützten Netze oder Datenströme festlegt. OpenVPN ist TLS-basiert und kann über UDP oder TCP betrieben werden. WireGuard arbeitet mit Peers, öffentlichen und privaten Schlüsseln sowie Allowed IPs. TLS-VPN nutzt TLS und wird häufig für Remote-Access eingesetzt. Veraltete Verfahren wie PPTP sollten nicht mehr verwendet werden.
Merksätze
VPN ist ein Oberbegriff.
VPN-Protokoll ist die technische Umsetzung.
IPsec schützt IP-Kommunikation.
IPsec arbeitet nah an Schicht 3.
Tunnel Mode schützt ganze IP-Pakete.
Transport Mode schützt eher Host-Kommunikation.
ESP schützt Daten.
AH verschlüsselt nicht.
IKE handelt Schlüssel aus.
IKEv2 ist moderner als IKEv1.
Phase 1 verbindet Gateways.
Phase 2 schützt Netze.
SA beschreibt Sicherheitsparameter.
PSK muss stark und geheim sein.
Zertifikate sind gut für größere Umgebungen.
NAT-T hilft IPsec durch NAT.
UDP 500 gehört zu IKE.
UDP 4500 gehört zu NAT-T.
ESP ist IP-Protokoll 50.
OpenVPN ist TLS-basiert.
OpenVPN über UDP ist oft performanter.
OpenVPN über TCP kann firewallfreundlich sein.
TCP-over-TCP kann bremsen.
WireGuard ist schlank und modern.
WireGuard arbeitet mit Peers.
Allowed IPs sind bei WireGuard sehr wichtig.
Persistent Keepalive hilft hinter NAT.
TLS-VPN nutzt TLS.
SSL-VPN meint meist TLS-VPN.
Clientless VPN ist Portalzugriff.
L2TP braucht IPsec für Sicherheit.
PPTP ist veraltet.
Sicheres VPN braucht sichere Konfiguration.
VPN-Fehler immer mit Protokoll,
Ports,
Schlüsseln,
Routen
und Logs prüfen.
14.4
VPN-Routing, DNS und Firewall-Regeln
Ein VPN-Tunnel allein reicht nicht aus,
damit interne Dienste erreichbar sind.
Zusätzlich müssen passen:
- IP-Adressbereiche
- Routing
- DNS
- Firewall-Regeln
- NAT-Regeln
- Berechtigungen
- Rückwege
- Client-Konfiguration
Merksatz:
VPN verbunden heißt nicht automatisch:
Ziel erreichbar.
Warum Routing bei VPN wichtig ist
Routing entscheidet,
über welchen Weg ein Paket geschickt wird.
Wenn ein Client per VPN verbunden ist,
muss sein System wissen:
Welche Ziele liegen im VPN?
Welche Ziele liegen im lokalen Netz?
Welche Ziele gehen direkt ins Internet?
Fehlt eine passende Route,
geht der Verkehr nicht durch den VPN-Tunnel.
Merksatz:
Ohne Route kein Weg durch den Tunnel.
VPN-Routing einfach erklärt
Beispiel:
VPN-Client:
10.8.0.20
Firmennetz:
192.168.10.0/24
Damit der Client das Firmennetz erreicht,
braucht er eine Route:
Zielnetz 192.168.10.0/24
über VPN-Tunnel
Wenn diese Route fehlt,
sendet der Client die Pakete eventuell an sein lokales Gateway.
Merksatz:
Der Client muss wissen,
welche Netze über VPN erreichbar sind.
Routingtabelle
Eine Routingtabelle enthält Wege zu Netzwerken.
Sie beantwortet:
Wohin schicke ich Pakete für dieses Zielnetz?
Typische Einträge:
Standardroute
lokale Netzroute
VPN-Route
Hostroute
spezifische Netzroute
Merksatz:
Routingtabelle = Wegweiser für IP-Pakete.
Standardroute
Die Standardroute wird genutzt,
wenn keine spezifischere Route passt.
Sie zeigt meist zum lokalen Internetrouter.
Beispiel:
0.0.0.0/0
über lokales Gateway
Bei Full Tunnel kann die Standardroute über VPN gesetzt werden.
Merksatz:
Standardroute ist der Weg für alles,
was nicht genauer bekannt ist.
Spezifischere Route gewinnt
Routing arbeitet nach dem Prinzip:
die genaueste passende Route gewinnt.
Beispiel:
0.0.0.0/0
über lokales Gateway
192.168.10.0/24
über VPN
Wenn Ziel 192.168.10.50 ist,
gewinnt die spezifische VPN-Route.
Merksatz:
Genauere Route gewinnt vor allgemeiner Route.
Split Tunnel
Split Tunnel bedeutet:
Nur bestimmte Netze gehen durch VPN.
Beispiel:
Firmennetze:
durch VPN
normales Internet:
direkt lokal
Vorteile:
weniger Last auf VPN
weniger Bandbreitenbedarf in der Firma
oft bessere Performance für normale Internetdienste
Nachteile:
weniger zentrale Kontrolle
Sicherheitsrichtlinien schwieriger einheitlich durchsetzbar
Merksatz:
Split Tunnel leitet nur ausgewählten Verkehr durch VPN.
Full Tunnel
Full Tunnel bedeutet:
Der gesamte Verkehr läuft durch VPN.
Auch Internetverkehr geht zuerst zum Unternehmen.
Vorteile:
zentrale Kontrolle
zentrale Filterung
einheitliche Sicherheitsrichtlinien
bessere Protokollierung
Nachteile:
mehr Last
höhere Latenz
mehr Bandbreite nötig
VPN-Gateway wird kritischer
Merksatz:
Full Tunnel leitet alles durch VPN.
Split Tunnel und Full Tunnel vergleichen
Merkmal
Split Tunnel
Full Tunnel
Firmennetze
über VPN
über VPN
Internetverkehr
direkt lokal
über VPN
Last auf VPN
geringer
höher
zentrale Kontrolle
geringer
höher
Performance
oft besser
abhängig vom VPN
Sicherheitspolitik
schwieriger
zentraler
Merksatz:
Split Tunnel spart Last.
Full Tunnel gibt mehr Kontrolle.
VPN-Adresspool
Der VPN-Adresspool ist der IP-Bereich,
aus dem VPN-Clients ihre VPN-Adresse bekommen.
Beispiel:
10.8.0.0/24
Ein Client erhält dann zum Beispiel:
10.8.0.20
Diese Adresse wird in Firewall-Regeln,
Routing
und Logs verwendet.
Merksatz:
VPN-Adresspool bestimmt,
aus welchem Netz VPN-Clients kommen.
VPN-Adresspool darf sich nicht überschneiden
Der VPN-Adresspool darf sich nicht mit anderen Netzen überschneiden.
Problematisch:
VPN-Pool:
192.168.1.0/24
Heimnetz des Benutzers:
192.168.1.0/24
Dann ist unklar,
ob 192.168.1.50 lokal oder über VPN erreichbar ist.
Merksatz:
Überlappende Netze verursachen VPN-Routingprobleme.
Adresskonflikt mit Heimnetz
Ein sehr häufiger VPN-Fehler:
Firmennetz:
192.168.1.0/24
Heimnetz:
192.168.1.0/24
Der Client denkt dann oft:
192.168.1.x ist lokal
und sendet Pakete nicht durch den VPN-Tunnel.
Folge:
interne Systeme sind nicht erreichbar.
Merksatz:
Häufige Heimnetzbereiche im Firmennetz vermeiden.
Typische problematische Heimnetzbereiche
Viele Heimrouter nutzen Standardnetze wie:
192.168.0.0/24
192.168.1.0/24
192.168.2.0/24
192.168.178.0/24
Wenn Unternehmen dieselben Netze intern nutzen,
kann VPN-Zugriff aus dem Homeoffice Probleme machen.
Merksatz:
Für Firmennetze möglichst eindeutige,
weniger typische Adressbereiche planen.
Route fehlt
Fehlt eine VPN-Route,
kann der Tunnel verbunden sein,
aber interne Netze sind trotzdem nicht erreichbar.
Typisches Fehlerbild:
VPN zeigt verbunden.
Internet geht.
interne IPs gehen nicht.
interne Namen gehen nicht.
nur VPN-Gateway erreichbar.
Mögliche Ursache:
Route zu internem Netz wurde nicht verteilt.
Merksatz:
VPN-Status grün heißt nicht:
Routen stimmen.
Route zum Zielnetz fehlt
Beispiel:
Ziel:
10.20.30.50
Benötigte Route:
10.20.30.0/24
über VPN
Wenn nur 192.168.10.0/24 über VPN geroutet wird,
ist 10.20.30.50 nicht erreichbar.
Merksatz:
Jedes gewünschte Zielnetz braucht eine passende Route.
Rückroute fehlt
Nicht nur der Client braucht eine Route zum Ziel.
Auch das Zielnetz muss wissen,
wie es zum VPN-Client zurückkommt.
Beispiel:
VPN-Client:
10.8.0.20
Server:
192.168.10.50
Der Server oder sein Gateway braucht einen Rückweg zu:
10.8.0.0/24
Merksatz:
VPN braucht Hinweg und Rückweg.
Asymmetrisches Routing bei VPN
Asymmetrisches Routing bedeutet:
Hinweg und Rückweg laufen über unterschiedliche Wege.
Bei Firewalls kann das problematisch sein,
weil Stateful Firewalls den Verbindungszustand verfolgen.
Wenn die Antwort einen anderen Weg nimmt,
kann sie blockiert werden.
Merksatz:
Stateful Firewalls brauchen passenden Hin- und Rückweg.
VPN und NAT
Manchmal wird NAT auch bei VPN genutzt.
Beispiele:
überlappende Netze müssen übersetzt werden
VPN-Clients sollen mit bestimmter Quell-IP erscheinen
Partnernetz darf interne echte Adressen nicht sehen
Cloud-Netz erwartet bestimmte Adressbereiche
Aber:
NAT macht Fehlersuche komplizierter.
Merksatz:
NAT im VPN kann helfen,
aber erschwert Analyse und Dokumentation.
NAT bei überlappenden Netzen
Wenn zwei Seiten dasselbe Netz verwenden,
kann NAT eine technische Umgehung sein.
Beispiel:
Standort A:
192.168.1.0/24
Standort B:
192.168.1.0/24
Eine Seite wird für den Tunnel in ein anderes Netz übersetzt.
Aber:
Das ist meist komplizierter als saubere IP-Planung.
Merksatz:
NAT kann Adresskonflikte umgehen,
ersetzt aber keine gute Netzplanung.
VPN-DNS
VPN-DNS sorgt dafür,
dass interne Namen korrekt aufgelöst werden.
Beispiele:
intranet.firma.local
fileserver.firma.local
wiki.intern
dc01.firma.local
Dafür erhält der VPN-Client meist:
interne DNS-Server
DNS-Suffix
Suchdomäne
Split-DNS-Regeln
Merksatz:
VPN braucht oft interne DNS-Konfiguration.
DNS-Server über VPN
Der VPN-Client kann interne DNS-Server zugewiesen bekommen.
Beispiel:
DNS-Server:
192.168.10.10
Damit kann er interne Namen auflösen.
Wenn der interne DNS-Server nicht erreichbar ist,
funktioniert Namensauflösung trotz VPN nicht.
Merksatz:
Interner DNS muss über VPN erreichbar und erlaubt sein.
DNS-Suffix
Ein DNS-Suffix ergänzt kurze Namen.
Beispiel:
Benutzer gibt ein:
fileserver
Mit DNS-Suffix wird daraus:
fileserver.firma.local
Fehlt das DNS-Suffix,
funktionieren kurze interne Namen eventuell nicht.
Merksatz:
DNS-Suffix hilft bei kurzen internen Namen.
Split DNS
Split DNS bedeutet:
interne Namen werden über interne DNS-Server aufgelöst
externe Namen werden normal oder öffentlich aufgelöst
Beispiel:
firma.local
über VPN-DNS
öffentliche Webseiten
über normalen DNS
Merksatz:
Split DNS trennt interne und externe Namensauflösung.
Fehlerbild: Interne Namen gehen nicht
Mögliche Ursachen:
- interner DNS wird nicht verteilt
- DNS-Suffix fehlt
- DNS-Anfragen gehen nicht durch VPN
- DNS-Server über VPN nicht erreichbar
- Firewall blockiert UDP/TCP 53
- Split DNS falsch
- falscher DNS-Server antwortet
- lokale DNS-Cache-Einträge sind alt
Merksatz:
VPN-Namensprobleme sind oft DNS- oder Split-DNS-Probleme.
Fehlerbild: IP geht, Name nicht
Wenn interne IP-Adresse funktioniert,
aber interner Name nicht,
liegt der Fehler meist bei DNS.
Beispiel:
192.168.10.50 funktioniert.
fileserver.firma.local funktioniert nicht.
Prüfen:
DNS-Server
DNS-Suffix
DNS-Record
Firewall für DNS
Split DNS
Cache
Merksatz:
IP geht,
Name nicht:
DNS prüfen.
VPN und Firewall-Regeln
Ein VPN-Tunnel bedeutet nicht automatisch,
dass alle Ziele erlaubt sind.
Die Firewall muss regeln:
Welche VPN-Gruppe darf wohin?
Welche Ports sind erlaubt?
Welche Protokolle sind erlaubt?
Welche Richtung gilt?
Welche Zone ist beteiligt?
Wird der Zugriff protokolliert?
Merksatz:
VPN braucht gezielte Firewall-Regeln.
VPN-Zone
VPN-Verkehr sollte in eigene Firewall-Zonen eingeordnet werden.
Beispiele:
VPN-Mitarbeiter
VPN-Admin
VPN-Dienstleister
VPN-Partner
Site-to-Site-Partner
Cloud-VPN
Vorteil:
Regeln können gezielt und übersichtlich erstellt werden.
Merksatz:
VPN-Zonen verhindern pauschale Vermischung mit LAN.
Regelprinzip für VPN
Nicht gut:
VPN → LAN any allow
Besser:
VPN-Mitarbeiter → Intranet HTTPS erlauben
VPN-Support → bestimmte Clients RDP erlauben
VPN-Admin → Managementnetz SSH/RDP erlauben
VPN-Dienstleister → Wartungsserver erlauben
Merksatz:
VPN-Zugriff nach Rolle,
Ziel
und Dienst begrenzen.
VPN und Least Privilege
Least Privilege bedeutet:
nur notwendige Rechte und Zugriffe erlauben.
Bei VPN heißt das:
nicht alle Netze
nicht alle Ports
nicht alle Benutzer
nicht dauerhaft
nicht ohne Protokollierung
Merksatz:
VPN-Zugang so eng wie möglich freigeben.
VPN und Gruppen
VPN-Zugriffe werden oft über Gruppen gesteuert.
Beispiele:
VPN-Mitarbeiter
VPN-Support
VPN-Admins
VPN-Externe
VPN-Cloud-Admins
Gruppen steuern:
Routen
Firewall-Regeln
DNS
Zugriff auf Anwendungen
MFA-Anforderungen
Merksatz:
Gruppen machen VPN-Zugriff verwaltbar.
VPN und Benutzerrechte
VPN-Zugang allein gibt noch keine Anwendungsrechte.
Beispiel:
Benutzer erreicht Dateiserver per VPN.
Trotzdem braucht er:
gültige Anmeldung
Freigaberecht
Dateisystemrecht
Gruppenmitgliedschaft
Merksatz:
Netzwerkzugang ist nicht dasselbe wie Anwendungsberechtigung.
VPN und Host-Firewall
Auch wenn die zentrale Firewall Zugriff erlaubt,
kann die lokale Firewall des Zielsystems blockieren.
Beispiele:
Windows Defender Firewall blockiert RDP.
Linux-Firewall blockiert SSH.
Server erlaubt nur internes LAN,
aber nicht VPN-Pool.
Merksatz:
Zielsystem-Firewall muss VPN-Quellen ebenfalls erlauben.
VPN und Serverdienste
Der Zielserver muss auf dem richtigen Port lauschen.
Prüfen:
Dienst läuft?
Dienst lauscht auf richtiger IP?
Dienst lauscht auf richtigem Port?
Dienst erlaubt VPN-Quellen?
Anwendung erlaubt Benutzer?
Logs zeigen Fehler?
Merksatz:
VPN erreicht nur Dienste,
die auch wirklich laufen und erreichbar sind.
VPN und Rückweg über Gateway
Ein Server antwortet meist über sein Standardgateway.
Wenn das Gateway keine Route zum VPN-Adresspool kennt,
geht die Antwort falsch.
Beispiel:
Server will zu 10.8.0.20 antworten.
Gateway kennt 10.8.0.0/24 nicht.
Folge:
Antwort kommt nicht zurück.
Merksatz:
Zielnetz muss den VPN-Pool zurückrouten können.
VPN und interne Firewalls
In größeren Netzen gibt es oft mehrere Firewalls.
Beispiel:
VPN-Gateway
→ Core-Firewall
→ Servernetz-Firewall
→ Host-Firewall
Jede dieser Stellen kann blockieren.
Merksatz:
Bei VPN-Zugriff alle Filterstellen auf dem Weg prüfen.
VPN und VLANs
VPN-Benutzer können Zugriff auf bestimmte VLANs erhalten.
Beispiele:
Client-VLAN
Server-VLAN
Management-VLAN
DMZ-VLAN
Wichtig:
VPN-Zugriff auf Management-VLAN besonders stark begrenzen.
Merksatz:
VLAN-Zugriff über VPN bewusst steuern.
VPN und DMZ
VPN-Gateways können in einer DMZ stehen.
Warum?
Sie sind von außen erreichbar
und sollten vom internen LAN getrennt sein.
Nach erfolgreichem VPN-Aufbau dürfen Benutzer nur über definierte Regeln weiter ins interne Netz.
Merksatz:
VPN-Gateway in DMZ,
Zugriff ins LAN nur geregelt.
VPN und Extranet
Bei Extranet-Zugängen gilt besonders:
externe Benutzer nur auf benötigte Systeme
keine pauschale LAN-Freigabe
eigene Benutzerkonten
MFA
Ablaufdatum
Protokollierung
regelmäßige Prüfung
Merksatz:
Extranet-VPN braucht besonders enge Regeln.
VPN und Cloud-Netze
Bei Cloud-VPN müssen beide Seiten passen.
Lokale Seite:
Routen
Firewall
NAT
DNS
Cloud-Seite:
Routing Table
Security Group
Network Security Group
Cloud Firewall
Subnetze
DNS
Merksatz:
Cloud-VPN braucht Regeln und Routen auf beiden Seiten.
VPN und IPv6
VPN kann IPv4,
IPv6
oder beides transportieren.
Wichtig:
Wenn IPv6 aktiv ist,
müssen auch IPv6-Routen und IPv6-Firewall-Regeln stimmen.
Problem:
IPv4 funktioniert über VPN,
aber IPv6 nimmt anderen Weg.
Merksatz:
Dual Stack bedeutet:
IPv4 und IPv6 prüfen.
VPN-Leak
Ein VPN-Leak bedeutet:
Verkehr geht unerwartet außerhalb des VPN-Tunnels.
Beispiele:
DNS-Leak:
DNS-Anfragen gehen an lokalen Provider statt internen DNS.
IPv6-Leak:
IPv6-Verkehr geht direkt ins Internet statt durch VPN.
Split-Tunnel-Fehlkonfiguration:
sensible Ziele gehen nicht durch VPN.
Merksatz:
VPN-Leak bedeutet:
Verkehr nimmt unerwartet den falschen Weg.
DNS-Leak
Ein DNS-Leak liegt vor,
wenn DNS-Anfragen nicht wie vorgesehen über den VPN-DNS laufen.
Folgen:
interne Namen funktionieren nicht
Provider sieht DNS-Anfragen
Sicherheitsrichtlinien werden umgangen
falsche Antworten werden genutzt
Merksatz:
DNS-Leak betrifft Namensauflösung außerhalb des gewünschten Weges.
IPv6-Leak
Ein IPv6-Leak kann entstehen,
wenn VPN nur IPv4 tunnelt,
aber der Client weiterhin IPv6 direkt nutzt.
Folge:
Verkehr kann außerhalb des VPNs laufen.
Lösung:
IPv6 korrekt tunneln
oder
IPv6 bewusst regeln
Merksatz:
IPv6 bei VPN nicht vergessen.
VPN und Proxy
Manche Unternehmen kombinieren VPN mit Proxy.
Beispiele:
Full Tunnel plus Webproxy
Split Tunnel plus Cloudproxy
Proxy nur für bestimmte Anwendungen
PAC-Datei für Browser
Fehlerquellen:
falsche Proxy-Einstellungen
Proxy nicht über VPN erreichbar
Authentifizierung am Proxy schlägt fehl
falsche Ausnahmen
Merksatz:
VPN und Proxy müssen zusammenpassen.
VPN und Zertifikate
Zertifikate können für VPN wichtig sein.
Beispiele:
Serverzertifikat des VPN-Gateways
Clientzertifikat auf Endgerät
Zertifikatskette
interne CA
Zertifikatswiderruf
Ablaufdatum
Fehler:
Zertifikat abgelaufen
Name passt nicht
CA nicht vertraut
Clientzertifikat fehlt
CRL oder OCSP nicht erreichbar
Merksatz:
VPN-Zertifikate mit Name,
Vertrauen,
Gültigkeit
und Widerruf prüfen.
VPN und Zeit
Korrekte Zeit ist wichtig für:
Zertifikate
Kerberos
MFA
Tokens
Logs
Sicherheitsprüfungen
Wenn die Uhrzeit stark abweicht,
können Anmeldungen oder Zertifikate fehlschlagen.
Merksatz:
VPN-Fehler können durch falsche Uhrzeit entstehen.
VPN-Fehlersuche: Grundreihenfolge
Eine sinnvolle Reihenfolge:
1. VPN-Art bestimmen.
2. VPN-Protokoll bestimmen.
3. Verbindungsstatus prüfen.
4. Authentifizierung prüfen.
5. VPN-IP prüfen.
6. Routen prüfen.
7. DNS prüfen.
8. Firewall-Regeln prüfen.
9. Zielsystem prüfen.
10. Rückweg prüfen.
11. Logs prüfen.
12. MTU und Performance prüfen.
Merksatz:
VPN-Fehlersuche braucht Tunnel,
Route,
DNS,
Firewall
und Zielsystem.
Fehlerbild: VPN verbunden, aber Ziel-IP nicht erreichbar
Mögliche Ursachen:
- Route fehlt
- Firewall blockiert
- Zielsystem offline
- Rückroute fehlt
- Host-Firewall blockiert
- VPN-Gruppe darf Ziel nicht erreichen
- Adresskonflikt
- NAT falsch
- falsches Zielnetz
Prüfen:
VPN-IP
Routingtabelle
Firewall-Logs
Zielsystem
Rückweg
Merksatz:
Ziel-IP nicht erreichbar:
Route,
Firewall
und Rückweg prüfen.
Fehlerbild: VPN verbunden, interner Name nicht erreichbar
Mögliche Ursachen:
- DNS-Server nicht gesetzt
- DNS-Suffix fehlt
- Split DNS falsch
- DNS-Server nicht erreichbar
- Firewall blockiert DNS
- falscher Record
- Cache veraltet
Prüfen:
DNS-Server
DNS-Antwort
DNS-Suffix
UDP/TCP 53
Split DNS
Merksatz:
Interner Name nicht erreichbar:
DNS prüfen.
Fehlerbild: Nur ein Dienst nicht erreichbar
Mögliche Ursachen:
- Port blockiert
- Dienst läuft nicht
- Host-Firewall blockiert
- Benutzer nicht berechtigt
- Anwendung lehnt VPN-Quelle ab
- falscher Port
- falsches Protokoll
- Zertifikat oder TLS-Problem
Prüfen:
Porttest
Dienststatus
Firewall-Log
Serverlog
Berechtigungen
Merksatz:
Ein Dienst betroffen:
Port,
Dienst
und Anwendung prüfen.
Fehlerbild: Zugriff geht nur für manche Benutzer
Mögliche Ursachen:
- unterschiedliche VPN-Gruppen
- unterschiedliche Routen
- unterschiedliche Firewall-Regeln
- Benutzerrechte fehlen
- MFA-Richtlinie unterschiedlich
- Clientprofil unterschiedlich
- Gerätestatus unterschiedlich
- Rolle fehlt
Prüfen:
Gruppenmitgliedschaft
VPN-Profil
Routen
Rechte
Logs
Merksatz:
Unterschiedliche Benutzer:
Gruppen,
Rollen
und Profile prüfen.
Fehlerbild: Zugriff geht nur von manchen Heimnetzen nicht
Mögliche Ursachen:
- Adresskonflikt mit Heimnetz
- lokaler Router blockiert VPN
- restriktives WLAN
- Provider blockiert
- CGNAT oder NAT-Probleme
- IPv6 nimmt anderen Weg
- DNS des Heimnetzes stört
Merksatz:
Manche Heimnetze betroffen:
lokale Netze,
NAT,
DNS
und IPv6 prüfen.
Fehlerbild: VPN langsam oder instabil
Mögliche Ursachen:
- hohe Latenz
- Paketverlust
- MTU-Problem
- WLAN-Probleme
- Full Tunnel überlastet
- VPN-Gateway ausgelastet
- TCP-over-TCP
- schwache Clientleistung
- Providerproblem
- Sicherheitsprüfung oder Proxy langsam
Merksatz:
VPN-Performance mit Latenz,
Paketverlust,
MTU
und Auslastung prüfen.
Checkliste: VPN-Routing
VPN-IP erhalten?
Route zum Zielnetz vorhanden?
genaueste Route korrekt?
Standardroute verändert?
Split Tunnel oder Full Tunnel?
Zielnetz überschneidet sich?
Rückroute vorhanden?
mehrere Gateways beteiligt?
Routing auf Cloud-Seite korrekt?
Routing auf Servernetz-Seite korrekt?
Merksatz:
VPN-Routing immer auf Client,
Gateway
und Zielnetz prüfen.
Checkliste: VPN-DNS
interner DNS gesetzt?
DNS-Suffix gesetzt?
Split DNS korrekt?
UDP 53 erlaubt?
TCP 53 erlaubt?
interner DNS über VPN erreichbar?
liefert DNS richtige IP?
A und AAAA prüfen?
Cache geleert oder geprüft?
interner und externer DNS verglichen?
Merksatz:
DNS bei VPN immer aus Sicht des VPN-Clients prüfen.
Checkliste: VPN-Firewall
VPN-Zone korrekt?
Quelle VPN-Pool korrekt?
Benutzergruppe korrekt?
Zielnetz korrekt?
Zielhost korrekt?
Port korrekt?
TCP oder UDP korrekt?
Richtung korrekt?
Host-Firewall korrekt?
Rückverkehr erlaubt?
Logs zeigen Treffer?
Merksatz:
Firewall-Regeln für VPN genau wie andere Regeln prüfen.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Warum reicht ein aufgebauter VPN-Tunnel allein nicht aus?
- Warum ist Routing bei VPN wichtig?
- Was ist ein VPN-Adresspool?
- Warum sind überlappende Netze problematisch?
- Was ist Split Tunneling?
- Was ist Full Tunnel?
- Warum ist DNS bei VPN wichtig?
- Was ist Split DNS?
- Was ist ein DNS-Leak?
- Was ist ein IPv6-Leak?
- Warum braucht VPN Firewall-Regeln?
- Warum sollte VPN-Zugriff nach Rollen begrenzt werden?
- Warum kann eine Host-Firewall VPN-Zugriffe blockieren?
- Warum ist der Rückweg wichtig?
- Wie geht man bei VPN-Fehlersuche systematisch vor?
Typische Prüfungsfallen
VPN verbunden heißt nicht:
alles erreichbar.
Route fehlt:
Ziel nicht erreichbar.
Rückroute fehlt:
Antwort kommt nicht zurück.
Genaueste Route gewinnt.
Split Tunnel leitet nur ausgewählten Verkehr.
Full Tunnel leitet alles durch VPN.
VPN-Adresspool muss eindeutig sein.
Heimnetz und Firmennetz dürfen sich nicht überschneiden.
DNS ist bei VPN häufige Fehlerquelle.
IP geht,
Name nicht:
DNS prüfen.
Interner DNS muss über VPN erreichbar sein.
DNS-Suffix kann für kurze Namen nötig sein.
Split DNS trennt interne und externe Namensauflösung.
DNS-Leak bedeutet DNS außerhalb des gewünschten Weges.
IPv6-Leak nicht vergessen.
VPN braucht Firewall-Regeln.
VPN-Zugriff nicht pauschal ins LAN erlauben.
Host-Firewall auf Zielsystem prüfen.
VPN-Gruppe beeinflusst Zugriff.
Netzwerkzugang ist nicht Anwendungsberechtigung.
Cloud-VPN braucht Regeln auf beiden Seiten.
Zertifikate,
Zeit
und Logs bei VPN prüfen.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
VPN-Routing
Wege für Netze über VPN
Routingtabelle
Tabelle mit Wegen zu Zielnetzen
Standardroute
Route für alle nicht genauer bekannten Ziele
spezifische Route
genauere Route zu bestimmtem Netz
Split Tunnel
nur ausgewählter Verkehr über VPN
Full Tunnel
gesamter Verkehr über VPN
VPN-Adresspool
IP-Bereich für VPN-Clients
Adresskonflikt
gleiche Netze auf beiden Seiten
Rückroute
Antwortweg zurück zum VPN-Client
asymmetrisches Routing
Hin- und Rückweg unterschiedlich
VPN-DNS
DNS-Einstellungen für VPN-Clients
DNS-Suffix
Ergänzung für kurze Namen
Split DNS
getrennte DNS-Auflösung
DNS-Leak
DNS-Anfrage geht falschen Weg
IPv6-Leak
IPv6-Verkehr geht außerhalb VPN
VPN-Zone
Firewall-Zone für VPN-Verkehr
VPN-Gruppe
Gruppe zur Steuerung von VPN-Rechten
Host-Firewall
Firewall auf dem Zielsystem
Cloud-VPN
Verbindung zu Cloud-Netz
Rückweg
Antwortpfad zum Absender
IHK-sichere Kurzformulierung
Ein aufgebauter VPN-Tunnel allein reicht nicht aus, damit interne Ressourcen erreichbar sind. Zusätzlich müssen Routing, DNS, Firewall-Regeln, Rückwege und Berechtigungen stimmen. Der VPN-Client benötigt passende Routen zu den internen Zielnetzen. Bei Split Tunneling wird nur ausgewählter Verkehr durch das VPN geleitet, während bei Full Tunnel der gesamte Verkehr durch den VPN-Tunnel läuft. Der VPN-Adresspool darf sich nicht mit lokalen oder internen Netzen überschneiden, da sonst Routingprobleme entstehen. Für interne Namen müssen interne DNS-Server, DNS-Suffixe oder Split-DNS-Regeln korrekt gesetzt sein. VPN-Zugriffe sollten über eigene Firewall-Zonen, Gruppen und Least-Privilege-Regeln gesteuert werden.
Merksätze
VPN verbunden heißt nicht:
Zugriff funktioniert.
Ohne Route kein Weg.
Ohne Rückroute keine Antwort.
Genaueste Route gewinnt.
Standardroute gilt nur,
wenn nichts Spezifischeres passt.
Split Tunnel leitet ausgewählten Verkehr.
Full Tunnel leitet gesamten Verkehr.
VPN-Adresspool muss eindeutig sein.
Überlappende Netze vermeiden.
Heimnetzkonflikte sind häufig.
Jede Zielroute muss bekannt sein.
NAT im VPN macht Analyse schwieriger.
VPN-DNS ist wichtig für interne Namen.
DNS-Suffix hilft bei Kurznamen.
Split DNS trennt interne und externe Auflösung.
IP geht,
Name nicht:
DNS prüfen.
VPN braucht Firewall-Regeln.
VPN-Zonen schaffen Übersicht.
VPN-Zugriff nach Rollen begrenzen.
Least Privilege gilt auch im VPN.
Netzwerkzugang ist nicht Anwendungsrecht.
Host-Firewall mitprüfen.
Zielsystem muss Dienst bereitstellen.
Rückweg über Gateway prüfen.
Cloud-VPN braucht Regeln beidseitig.
IPv6 bei VPN nicht vergessen.
DNS-Leak bedeutet falscher DNS-Weg.
IPv6-Leak bedeutet falscher IPv6-Weg.
Zertifikate und Zeit können VPN beeinflussen.
VPN-Fehlersuche braucht Tunnel,
Route,
DNS,
Firewall,
Zielsystem
und Logs.
14.5
VPN-Sicherheit, Zugriffskontrolle und typische Risiken
Ein VPN stellt einen sicheren Tunnel bereit.
Aber:
Ein VPN allein macht ein Netzwerk nicht automatisch sicher.
Wichtig sind zusätzlich:
- starke Authentifizierung
- klare Berechtigungen
- Firewall-Regeln
- Protokollierung
- Gerätesicherheit
- Rollenmodell
- regelmäßige Prüfung
- Monitoring
- saubere Dokumentation
Merksatz:
VPN ist ein Zugang ins Netz.
Deshalb muss dieser Zugang besonders geschützt werden.
Warum VPN-Sicherheit wichtig ist
Ein VPN-Zugang kann sehr mächtig sein.
Wenn ein Angreifer VPN-Zugang erhält,
kann er je nach Konfiguration interne Systeme erreichen.
Mögliche Folgen:
- Zugriff auf interne Server
- Zugriff auf Dateifreigaben
- Ausbreitung von Malware
- Angriff auf Managementsysteme
- Datenabfluss
- Manipulation interner Dienste
- Umgehung äußerer Schutzmaßnahmen
Merksatz:
Ein schlecht abgesicherter VPN-Zugang ist ein großes Risiko.
VPN ist kein Freifahrtschein
Ein häufiger Fehler ist:
Benutzer ist per VPN verbunden.
Also darf er alles im internen Netz erreichen.
Das ist unsicher.
Besser:
Benutzer bekommt nur Zugriff auf die Systeme,
die er für seine Aufgabe braucht.
Beispiele:
Mitarbeiter:
Intranet und Dateiablage
Support:
Ticketsystem und bestimmte Clients
Administrator:
Managementsysteme
Dienstleister:
nur definierter Wartungsserver
Merksatz:
VPN verbunden heißt nicht:
Zugriff auf alles erlaubt.
Authentifizierung
Authentifizierung bedeutet:
Wer bist du?
Beim VPN wird geprüft,
ob der Benutzer oder das Gerät wirklich berechtigt ist.
Mögliche Faktoren:
Benutzername
Passwort
Zertifikat
MFA
Token
Smartcard
Gerätezertifikat
SSO
biometrischer Faktor
Merksatz:
Authentifizierung prüft die Identität.
Autorisierung
Autorisierung bedeutet:
Was darfst du?
Nach erfolgreicher Anmeldung entscheidet das System,
welche Ziele,
Dienste
und Anwendungen erlaubt sind.
Beispiele:
Zugriff auf Servernetz erlaubt?
Zugriff auf Managementnetz erlaubt?
Zugriff auf RDP erlaubt?
Zugriff auf Datenbank verboten?
Zugriff nur auf HTTPS erlaubt?
Merksatz:
Authentifizierung ist Anmeldung.
Autorisierung ist Berechtigung.
MFA bei VPN
MFA steht für:
Multi-Faktor-Authentifizierung
Dabei werden mehrere Faktoren kombiniert.
Beispiele:
Passwort + Authenticator-App
Passwort + Hardwaretoken
Zertifikat + PIN
Smartcard + PIN
Warum wichtig?
Passwörter können gestohlen werden.
Phishing kann Zugangsdaten abgreifen.
VPN ist aus dem Internet erreichbar.
VPN-Zugang führt oft in interne Netze.
Merksatz:
VPN-Zugänge sollten möglichst mit MFA geschützt werden.
MFA ist nicht unfehlbar
MFA erhöht die Sicherheit deutlich,
ist aber kein vollständiger Schutz.
Risiken bleiben:
Phishing
MFA-Push-Fatigue
gestohlene Session-Tokens
unsicheres Endgerät
Social Engineering
schlecht konfigurierte Ausnahmen
fehlende Gerätekontrolle
Merksatz:
MFA ist stark,
aber kein Ersatz für weitere Schutzmaßnahmen.
MFA-Push-Fatigue
MFA-Push-Fatigue bedeutet:
Ein Angreifer löst viele MFA-Anfragen aus,
bis der Benutzer genervt oder aus Versehen bestätigt.
Schutz:
Number Matching
kurze Hinweise zur Anfrage
Schulung
verdächtige Anfragen melden
Rate Limiting
keine blinde Bestätigung
Merksatz:
MFA-Anfragen niemals automatisch bestätigen.
Zertifikatsbasierte VPN-Authentifizierung
VPN kann Zertifikate verwenden.
Dabei kann geprüft werden:
Ist das Gerät zugelassen?
Ist der Benutzer zugelassen?
Ist das Zertifikat gültig?
Wurde das Zertifikat widerrufen?
Vertraut der Client dem VPN-Gateway?
Vorteile:
stärker als Passwort allein
Gerätebindung möglich
Widerruf einzelner Zertifikate möglich
gut für verwaltete Geräte
Merksatz:
Zertifikate können VPN-Zugriffe stärker an Geräte oder Identitäten binden.
Clientzertifikat
Ein Clientzertifikat liegt auf dem Endgerät oder in einem sicheren Speicher.
Es kann beweisen:
Dieses Gerät oder dieser Benutzer ist berechtigt,
sich am VPN anzumelden.
Wichtig:
privater Schlüssel schützen
Zertifikat nicht kopieren
verlorene Geräte sperren
Zertifikat bei Austritt widerrufen
Ablaufdatum überwachen
Merksatz:
Clientzertifikat ist nur sicher,
wenn der private Schlüssel geschützt ist.
Serverzertifikat
Das Serverzertifikat des VPN-Gateways hilft dem Client zu prüfen:
Verbinde ich mich wirklich mit dem richtigen VPN-Server?
Fehler können sein:
Zertifikat abgelaufen
Name passt nicht
CA nicht vertrauenswürdig
Zertifikatskette unvollständig
falsches Zertifikat auf Gateway
Merksatz:
Serverzertifikat schützt vor Verbindung zur falschen Gegenstelle.
Zertifikatswiderruf
Wenn ein Zertifikat nicht mehr vertrauenswürdig ist,
muss es widerrufen werden.
Gründe:
Gerät verloren
privater Schlüssel kompromittiert
Benutzer ausgeschieden
Dienstleisterzugang beendet
Zertifikat falsch ausgestellt
Widerruf kann geprüft werden über:
CRL
OCSP
Merksatz:
Zertifikate müssen widerrufen werden können.
Benutzergruppen
VPN-Zugriffe sollten über Gruppen gesteuert werden.
Beispiele:
VPN-Mitarbeiter
VPN-Support
VPN-Admins
VPN-Dienstleister
VPN-Partner
Vorteil:
Regeln bleiben übersichtlich.
Rechte lassen sich zentral verwalten.
Austritte und Rollenwechsel sind einfacher.
Zugriff kann nach Aufgabe getrennt werden.
Merksatz:
Gruppen machen VPN-Berechtigungen verwaltbar.
Rollenmodell
Ein Rollenmodell beschreibt,
welche Rolle welche Zugriffe bekommt.
Beispiel:
Rolle
erlaubter Zugriff
Mitarbeiter
Intranet, Dateiablage
Support
Ticketsystem, bestimmte Clients
Administrator
Managementnetz, Serververwaltung
Dienstleister
definierter Wartungsserver
Partner
Extranet-Portal
Cloud-Admin
Cloud-Managementzugänge
Merksatz:
Rollenmodell verhindert pauschale Freigaben.
Least Privilege beim VPN
Least Privilege bedeutet:
nur die Rechte,
die wirklich benötigt werden.
Beim VPN heißt das:
keine pauschale LAN-Freigabe
keine unnötigen Ports
keine unnötigen Zielnetze
keine Dauerzugänge für Externe
keine gemeinsamen Konten
keine Adminrechte für normale Benutzer
Merksatz:
VPN-Zugriff so eng wie möglich,
so weit wie nötig.
Need to Know beim VPN
Need to Know bedeutet:
Zugriff nur auf Informationen oder Systeme,
die für die Aufgabe notwendig sind.
Beispiel:
Ein Lieferant braucht Zugriff auf Bestelldaten,
aber nicht auf Personalakten.
Ein Wartungsdienstleister braucht Zugriff auf eine Anlage,
aber nicht auf das gesamte Servernetz.
Merksatz:
VPN-Zugriff nach Aufgabe begrenzen,
nicht nach Bequemlichkeit.
Zero Trust und VPN
Zero Trust bedeutet:
kein Zugriff wird automatisch vertraut.
Auch nach VPN-Verbindung wird weiter geprüft:
Wer ist der Benutzer?
Welches Gerät wird genutzt?
Ist MFA erfüllt?
Ist das Gerät aktuell?
Welche Anwendung wird aufgerufen?
Welche Rolle hat der Benutzer?
Ist der Zugriff ungewöhnlich?
Merksatz:
Zero Trust prüft Zugriff fortlaufend und kontextbezogen.
Klassisches VPN und Zero Trust vergleichen
Merkmal
klassisches VPN
Zero-Trust-Zugriff
Zugriff
oft Netzwerkzugriff
meist Anwendungszugriff
Prüfung
häufig beim Tunnelaufbau
kontinuierlicher
Reichweite
kann breit sein
stärker begrenzt
Risiko
laterale Bewegung möglich
weniger pauschaler Netzblick
Vorteil
bewährt, flexibel
feiner steuerbar
Merksatz:
VPN verbindet oft ins Netz.
Zero Trust gibt gezielt Anwendungen frei.
Laterale Bewegung
Laterale Bewegung bedeutet:
Ein Angreifer bewegt sich nach dem ersten Zugriff weiter im internen Netz.
Beispiel:
Angreifer erhält VPN-Zugang.
Danach scannt er interne Server.
Anschließend greift er weitere Systeme an.
Schutz:
Segmentierung
Firewall-Regeln
Least Privilege
Monitoring
EDR
getrennte Adminzugänge
keine pauschale VPN-Freigabe
Merksatz:
VPN darf keine einfache Bewegung durchs ganze Netz ermöglichen.
Netzsegmentierung
Netzsegmentierung bedeutet:
Das Netzwerk wird in getrennte Bereiche aufgeteilt.
Beispiele:
Clientnetz
Servernetz
Managementnetz
DMZ
Gastnetz
IoT-Netz
VPN-Zone
Extranet-Zone
Vorteil:
Ein kompromittierter Bereich kann nicht automatisch alles erreichen.
Merksatz:
Segmentierung begrenzt Schäden.
VPN-Zone
Eine VPN-Zone ist eine eigene Sicherheitszone für VPN-Verkehr.
Beispiele:
VPN-Mitarbeiter-Zone
VPN-Admin-Zone
VPN-Dienstleister-Zone
VPN-Partner-Zone
Dadurch kann man Firewall-Regeln gezielt definieren.
Merksatz:
VPN-Zonen verhindern,
dass VPN-Verkehr wie normales LAN behandelt wird.
Admin-VPN besonders schützen
Admin-Zugänge sind besonders kritisch.
Admin-VPN sollte streng geschützt werden:
separate Admin-Konten
MFA
Zertifikat
Zugriff nur von verwalteten Geräten
keine private Nutzung
Zugriff nur auf Managementnetze
Protokollierung
Alarmierung bei Fehlversuchen
regelmäßige Prüfung
Merksatz:
Admin-VPN ist Hochrisiko-Zugang.
Dienstleister-VPN besonders begrenzen
Externe Dienstleister sollten keinen breiten VPN-Zugriff erhalten.
Sicherer ist:
eigenes Konto pro Person
keine Sammelkonten
MFA
zeitliche Begrenzung
Zugriff nur auf Zielsystem
Protokollierung
Freigabeprozess
Deaktivierung nach Wartung
regelmäßige Prüfung
Merksatz:
Dienstleisterzugang muss eng,
nachvollziehbar
und zeitlich begrenzt sein.
Sammelkonten vermeiden
Sammelkonten sind gemeinsame Benutzerkonten,
die mehrere Personen nutzen.
Problem:
keine eindeutige Zuordnung
schwierige Nachvollziehbarkeit
Passwort wird weitergegeben
Sperrung einzelner Personen schwer
Sicherheitsvorfälle schwer aufklärbar
Merksatz:
Jeder VPN-Benutzer braucht ein eigenes Konto.
Zeitlich begrenzter Zugriff
Manche VPN-Zugänge sollten nur für ein Zeitfenster aktiv sein.
Beispiele:
Wartung am Samstag
Projektzugang für zwei Wochen
externer Support während Störung
temporäre Migration
Nach Ende:
Zugriff deaktivieren
Regel entfernen
Konto sperren
Logs prüfen
Dokumentation aktualisieren
Merksatz:
Temporärer Zugriff darf nicht dauerhaft bleiben.
Offboarding
Offboarding bedeutet:
Zugriffe bei Austritt oder Rollenwechsel entfernen.
Beim VPN wichtig:
Konto deaktivieren
Gruppenmitgliedschaft entfernen
Zertifikate widerrufen
Tokens sperren
Gerätezugriff entziehen
Dienstleisterzugänge prüfen
Dokumentation aktualisieren
Merksatz:
Wer nicht mehr berechtigt ist,
darf keinen VPN-Zugang behalten.
Gerätesicherheit beim VPN
Ein VPN-Client ist ein Einstiegspunkt ins interne Netz.
Deshalb sollte das Gerät sicher sein.
Wichtige Anforderungen:
aktuelles Betriebssystem
aktuelle Sicherheitsupdates
Schutzsoftware
Festplattenverschlüsselung
Bildschirmsperre
kein lokaler Admin für Alltagsnutzer
sichere Konfiguration
MDM oder Gerätemanagement
keine Malware
Merksatz:
Unsicheres Gerät plus VPN ist gefährlich.
Managed Device
Ein Managed Device ist ein verwaltetes Gerät.
Das Unternehmen kann Vorgaben prüfen und durchsetzen.
Beispiele:
Updates
Verschlüsselung
Gerätesperre
Zertifikate
VPN-Profil
Sicherheitsrichtlinien
Softwarestand
Remote Wipe bei Verlust
Merksatz:
Verwaltete Geräte sind für VPN-Zugänge besser kontrollierbar.
BYOD und VPN
BYOD steht für:
Bring Your Own Device
Dabei nutzt ein Benutzer ein privates Gerät beruflich.
Bei VPN ist das riskant,
wenn das private Gerät nicht kontrolliert wird.
Fragen:
Ist das Gerät aktuell?
Ist es verschlüsselt?
Ist es kompromittiert?
Gibt es MDM?
Sind Firmen- und Privatdaten getrennt?
Kann Zugriff bei Verlust entzogen werden?
Merksatz:
BYOD-VPN braucht klare Regeln und technische Kontrolle.
Geräteprüfung vor VPN-Zugang
Manche Umgebungen prüfen Geräte vor dem Zugriff.
Prüfkriterien:
aktueller Patchstand
aktivierte Festplattenverschlüsselung
aktive Schutzsoftware
Gerätezertifikat vorhanden
nicht gerootet oder jailbroken
MDM-konform
sichere Bildschirmperre
Merksatz:
Nicht jedes Gerät sollte automatisch VPN-Zugang bekommen.
Posture Check
Posture Check bedeutet:
Der Sicherheitszustand eines Geräts wird geprüft.
Beispiele:
Ist Antivirus aktiv?
Ist das Betriebssystem aktuell?
Ist die Festplatte verschlüsselt?
Ist das Gerät verwaltet?
Ist ein Zertifikat vorhanden?
Merksatz:
Posture Check prüft,
ob ein Gerät sicher genug für Zugriff ist.
VPN und Malware
Wenn ein Gerät mit Malware infiziert ist,
kann VPN gefährlich werden.
Risiken:
Malware erreicht interne Systeme.
Zugangsdaten werden abgegriffen.
interne Server werden gescannt.
Daten werden exfiltriert.
Ransomware breitet sich aus.
Schutz:
Endgeräteschutz
EDR
Segmentierung
Least Privilege
Monitoring
keine pauschalen Freigaben
Merksatz:
VPN kann Malware einen Weg ins interne Netz geben,
wenn Zugriffe zu breit sind.
VPN und Phishing
Angreifer versuchen oft,
VPN-Zugangsdaten zu stehlen.
Typische Methoden:
gefälschte Loginseiten
gefälschte Support-Mails
MFA-Abfragen auslösen
Passwort-Wiederverwendung ausnutzen
Schadsoftware auf Endgerät
Schutz:
MFA
Schulung
Passwortmanager
Zertifikate
verdächtige Logins erkennen
klare Meldewege
Merksatz:
VPN-Zugangsdaten sind ein attraktives Angriffsziel.
VPN und Brute Force
Brute Force bedeutet:
Angreifer probieren viele Zugangsdaten aus.
Schutzmaßnahmen:
MFA
Account Lockout
Rate Limiting
starke Passwörter
keine Standardkonten
Geoblocking bei Bedarf
Monitoring
Alarmierung
Merksatz:
VPN-Loginversuche müssen überwacht und begrenzt werden.
VPN und Passwort-Wiederverwendung
Wenn Benutzer dasselbe Passwort bei mehreren Diensten verwenden,
kann ein fremder Datenabfluss zum VPN-Risiko werden.
Beispiel:
Passwort aus privatem Dienst wird geleakt.
Angreifer probiert es am VPN-Portal.
Login funktioniert.
Schutz:
Passwortmanager
eindeutige Passwörter
MFA
Leak-Erkennung
Schulung
Merksatz:
Wiederverwendete Passwörter gefährden VPN-Zugänge.
VPN und Logging
VPN-Zugriffe sollten protokolliert werden.
Wichtige Informationen:
Benutzer
Gerät
Quell-IP
Zeitpunkt
VPN-IP
Verbindungsdauer
MFA-Ergebnis
zugewiesene Gruppe
Fehlergrund
getrennte Verbindung
Zielzugriffe je nach System
Merksatz:
VPN-Logs ermöglichen Nachvollziehbarkeit.
VPN und Alarmierung
Bestimmte VPN-Ereignisse sollten Alarm auslösen.
Beispiele:
viele fehlgeschlagene Logins
Login aus ungewöhnlichem Land
Admin-VPN außerhalb Arbeitszeit
neues Gerät
abgelaufenes Zertifikat
Dienstleisterzugang außerhalb Zeitfenster
ungewöhnlich lange Verbindung
ungewöhnlich hoher Datenverkehr
Merksatz:
Kritische VPN-Ereignisse sollten nicht unbemerkt bleiben.
VPN und Monitoring
VPN-Infrastruktur sollte überwacht werden.
Wichtige Werte:
Tunnelstatus
aktive Benutzer
CPU des Gateways
RAM
Bandbreite
Paketverlust
Latenz
Fehlversuche
Zertifikatsablauf
Lizenzgrenzen
Verbindungsabbrüche
Merksatz:
VPN ist kritische Infrastruktur und gehört ins Monitoring.
VPN und Protokollierung von Adminaktionen
Bei Admin-VPN reicht oft nicht nur der Login.
Zusätzlich wichtig:
Welche Systeme wurden verwaltet?
Welche Änderungen wurden durchgeführt?
Welche Befehle wurden ausgeführt?
Welche Tickets gehören dazu?
Wer hat die Änderung freigegeben?
Je nach Umgebung werden dafür Bastion Hosts,
Jump Server
oder Session Recording genutzt.
Merksatz:
Adminzugriffe müssen besonders nachvollziehbar sein.
Bastion Host
Ein Bastion Host ist ein besonders gehärteter Zwischenserver für administrative Zugriffe.
Ablauf:
Admin verbindet sich per VPN.
Admin verbindet sich auf Bastion Host.
Von dort geht es zu Zielsystemen.
Vorteile:
zentraler Kontrollpunkt
bessere Protokollierung
weniger direkte Zugriffe
klare Zugriffspfade
Merksatz:
Bastion Host bündelt und kontrolliert Adminzugriffe.
Jump Server
Jump Server ist ein ähnlicher Begriff wie Bastion Host.
Er dient als Sprungpunkt in geschützte Netze.
Beispiele:
Zugriff auf Servernetz
Zugriff auf Managementnetz
Zugriff auf OT-Netz
Zugriff auf Cloud-Adminsysteme
Merksatz:
Jump Server verhindert direkte Adminzugriffe von beliebigen Clients.
VPN und Managementnetz
Managementnetze enthalten besonders kritische Systeme.
Beispiele:
Switch-Verwaltung
Firewall-Verwaltung
Hypervisor
Backup-System
Monitoring
Storage-System
Domain Controller
Admin-Portale
VPN-Zugriff auf Managementnetze sollte nur für berechtigte Admins erlaubt sein.
Merksatz:
Managementnetz niemals breit per VPN freigeben.
VPN und DMZ
Ein VPN-Gateway kann in einer DMZ stehen.
Grund:
Es ist von außen erreichbar.
Nach erfolgreicher Anmeldung wird der Verkehr kontrolliert weitergeleitet.
Wichtig:
DMZ vom LAN trennen
nur notwendige Regeln
Gateway härten
Logs prüfen
Updates durchführen
Monitoring aktivieren
Merksatz:
VPN-Gateway von außen erreichbar,
LAN-Zugriff danach streng regeln.
VPN und Patchmanagement
VPN-Systeme müssen aktuell gehalten werden.
Wichtig:
VPN-Gateway patchen
VPN-Client aktualisieren
Betriebssystem aktualisieren
Bibliotheken aktualisieren
alte Protokolle deaktivieren
bekannte Schwachstellen beachten
Merksatz:
VPN-Systeme sind internetnah und müssen aktuell bleiben.
VPN und Hardening
Hardening bedeutet:
System sicher konfigurieren und unnötige Angriffsfläche reduzieren.
Beim VPN:
nur notwendige Protokolle aktivieren
starke Kryptografie
alte Verfahren deaktivieren
Adminzugänge begrenzen
Logs aktivieren
MFA erzwingen
Standardkonten entfernen
sichere TLS-Konfiguration
regelmäßige Prüfung
Merksatz:
Hardening verringert die Angriffsfläche.
VPN und Backup der Konfiguration
VPN-Konfigurationen sollten gesichert werden.
Warum?
Wiederherstellung nach Ausfall
Fehlkonfiguration rückgängig machen
Migration
Vergleich nach Änderungen
Disaster Recovery
Wichtig:
Backups sicher speichern,
weil sie sensible Informationen enthalten können.
Merksatz:
VPN-Konfigurationsbackup sicher aufbewahren.
VPN und Änderungsmanagement
VPN-Änderungen sollten kontrolliert durchgeführt werden.
Beispiele für Änderungen:
neue Firewall-Regel
neue VPN-Gruppe
neuer Dienstleisterzugang
Zertifikat erneuern
Protokoll wechseln
Gateway aktualisieren
neue Route hinzufügen
Wichtig:
Zweck dokumentieren
Test durchführen
Rollback planen
Verantwortlichen nennen
Ticket oder Änderungsnachweis erfassen
Merksatz:
VPN-Änderungen brauchen Dokumentation und Rückweg.
Typische VPN-Sicherheitsfehler
Häufige Fehler:
- VPN ohne MFA
- gemeinsame Konten
- zu breite Firewall-Regeln
- VPN → LAN any allow
- Adminzugriff ohne Trennung
- Dienstleisterzugang dauerhaft aktiv
- alte VPN-Protokolle
- schwache PSKs
- fehlende Logs
- keine Alarmierung
- unsichere Endgeräte
- keine Zertifikatsprüfung
- veraltete VPN-Gateways
- fehlendes Offboarding
Merksatz:
Die meisten VPN-Risiken entstehen durch zu breite oder schlecht kontrollierte Zugriffe.
Sichere VPN-Grundregeln
1. MFA aktivieren.
2. Eigene Konten pro Benutzer nutzen.
3. Keine Sammelkonten verwenden.
4. Rollenmodell erstellen.
5. VPN-Zonen nutzen.
6. Firewall-Regeln eng setzen.
7. Dienstleisterzugriffe zeitlich begrenzen.
8. Adminzugänge trennen.
9. Geräte prüfen.
10. Logs und Monitoring aktivieren.
11. Alte Protokolle deaktivieren.
12. Zertifikate verwalten.
13. Offboarding durchführen.
14. Änderungen dokumentieren.
Merksatz:
VPN-Sicherheit entsteht durch Technik,
Prozesse
und klare Rechte.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Warum ist VPN allein kein vollständiges Sicherheitskonzept?
- Warum sollte VPN mit MFA abgesichert werden?
- Was ist der Unterschied zwischen Authentifizierung und Autorisierung?
- Warum sind Sammelkonten problematisch?
- Warum sollte VPN-Zugriff nach Rollen begrenzt werden?
- Was bedeutet Least Privilege beim VPN?
- Warum sind Dienstleisterzugänge besonders kritisch?
- Was ist ein Bastion Host?
- Was ist ein Jump Server?
- Warum ist Gerätesicherheit beim VPN wichtig?
- Was ist ein Posture Check?
- Warum sind VPN-Logs wichtig?
- Welche Ereignisse sollten bei VPN alarmiert werden?
- Warum muss ein VPN-Gateway gepatcht werden?
- Welche typischen VPN-Sicherheitsfehler gibt es?
Typische Prüfungsfallen
VPN ist nicht automatisch sicher,
nur weil es verschlüsselt.
VPN schützt den Tunnel,
aber nicht automatisch alle Zielsysteme.
VPN ersetzt keine Firewall-Regeln.
VPN ersetzt keine Benutzerrechte.
VPN ohne MFA ist riskant.
Authentifizierung ist nicht Autorisierung.
VPN verbunden heißt nicht:
alles erlaubt.
Sammelkonten sind schlecht nachvollziehbar.
Dienstleisterzugänge zeitlich begrenzen.
Adminzugänge getrennt behandeln.
Managementnetz besonders schützen.
BYOD braucht klare Regeln.
Unsichere Endgeräte sind Risiko.
Zertifikate brauchen Verwaltung und Widerruf.
VPN-Logs sind sicherheitsrelevant.
Monitoring erkennt ungewöhnliche Zugriffe.
Patchmanagement für VPN-Gateways ist kritisch.
Alte VPN-Protokolle vermeiden.
Least Privilege gilt auch im VPN.
Zero Trust kann breiten VPN-Zugriff reduzieren.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Authentifizierung
Identität prüfen
Autorisierung
Rechte prüfen
MFA
Multi-Faktor-Authentifizierung
Clientzertifikat
Zertifikat für Benutzer oder Gerät
Serverzertifikat
Zertifikat des VPN-Gateways
Zertifikatswiderruf
Zertifikat für ungültig erklären
CRL
Zertifikatsperrliste
OCSP
Online-Prüfung von Zertifikatsstatus
Benutzergruppe
Gruppe zur Rechtevergabe
Rollenmodell
Zuordnung von Rollen zu Zugriffsrechten
Least Privilege
nur notwendige Rechte
Need to Know
Zugriff nur bei Bedarf
Zero Trust
kein automatisches Vertrauen
laterale Bewegung
Ausbreitung im internen Netz
Segmentierung
Trennung von Netzbereichen
VPN-Zone
eigene Sicherheitszone für VPN
BYOD
private Geräte im Unternehmenseinsatz
Managed Device
verwaltetes Gerät
Posture Check
Prüfung des Gerätezustands
Bastion Host
gehärteter Zwischenserver
Jump Server
Sprungserver für Adminzugriffe
Hardening
sichere Systemkonfiguration
Offboarding
Entfernen nicht mehr nötiger Zugriffe
Sammelkonto
gemeinsam genutztes Benutzerkonto
IHK-sichere Kurzformulierung
Ein VPN stellt einen geschützten Tunnel bereit, ist aber allein kein vollständiges Sicherheitskonzept. VPN-Zugriffe müssen durch starke Authentifizierung, möglichst MFA, Zertifikate, Benutzergruppen, Rollenmodelle, Firewall-Regeln, Least Privilege, Gerätesicherheit, Logging und Monitoring abgesichert werden. Authentifizierung prüft die Identität eines Benutzers oder Geräts, während Autorisierung festlegt, welche Ressourcen genutzt werden dürfen. Externe Dienstleister und Administratoren benötigen besonders streng begrenzte und nachvollziehbare Zugänge. Sammelkonten, pauschale LAN-Freigaben, fehlende MFA, veraltete VPN-Protokolle und unsichere Endgeräte sind typische Sicherheitsrisiken.
Merksätze
VPN ist ein Zugang ins Netz.
VPN allein ist kein vollständiges Sicherheitskonzept.
VPN schützt den Tunnel,
nicht automatisch alle Ziele.
Authentifizierung = Wer bist du?
Autorisierung = Was darfst du?
MFA schützt VPN-Zugänge deutlich besser.
MFA ist wichtig,
aber nicht unfehlbar.
Zertifikate binden Zugriff an Identität oder Gerät.
Privater Schlüssel muss geschützt werden.
Zertifikate müssen widerrufen werden können.
Gruppen steuern VPN-Zugriff.
Rollenmodell verhindert Pauschalfreigaben.
Least Privilege gilt auch im VPN.
Need to Know begrenzt Informationszugriff.
Zero Trust vertraut nicht automatisch.
Laterale Bewegung verhindern.
Segmentierung begrenzt Schäden.
VPN-Zonen trennen Zugriffe.
Admin-VPN besonders schützen.
Dienstleister-VPN zeitlich begrenzen.
Sammelkonten vermeiden.
Offboarding konsequent durchführen.
Unsichere Endgeräte sind Risiko.
BYOD braucht klare Regeln.
Posture Check prüft Gerätesicherheit.
Malware auf VPN-Client gefährdet interne Systeme.
VPN-Logins überwachen.
Auffällige VPN-Ereignisse alarmieren.
Bastion Host bündelt Adminzugriffe.
Managementnetz niemals breit freigeben.
VPN-Gateway patchen.
Hardening reduziert Angriffsfläche.
VPN-Änderungen dokumentieren.
14.6
VPN-Fehlersuche in der Praxis
VPN-Probleme wirken oft so,
als wäre „das Netzwerk kaputt“.
Tatsächlich können VPN-Fehler an vielen Stellen entstehen:
- Internetverbindung
- VPN-Client
- VPN-Gateway
- Benutzeranmeldung
- MFA
- Zertifikat
- Routing
- DNS
- Firewall
- NAT
- Zielsystem
- Host-Firewall
- Berechtigungen
- MTU
- Performance
Merksatz:
VPN-Fehlersuche ist nie nur Tunnelprüfung.
Grundidee der VPN-Fehlersuche
Ein VPN-Zugriff besteht aus mehreren Schritten.
Vereinfacht:
1. Client erreicht VPN-Gateway.
2. Benutzer oder Gerät authentifiziert sich.
3. Tunnel wird aufgebaut.
4. Client erhält VPN-Konfiguration.
5. Routen werden gesetzt.
6. DNS wird gesetzt.
7. Firewall erlaubt Zugriff.
8. Zielsystem antwortet.
9. Anwendung erlaubt Zugriff.
Wenn ein Schritt fehlschlägt,
funktioniert der Zugriff nicht vollständig.
Merksatz:
VPN funktioniert nur,
wenn alle Schritte der Zugriffskette passen.
VPN-Fehlersuche nach Fehlerbild
Wichtige erste Frage:
Was genau funktioniert nicht?
Typische Fehlerbilder:
VPN verbindet gar nicht.
VPN verbindet,
aber interne IPs gehen nicht.
VPN verbindet,
aber interne Namen gehen nicht.
VPN verbindet,
aber nur bestimmte Dienste gehen nicht.
VPN verbindet,
aber Zugriff ist langsam.
VPN verbindet,
aber bricht ab.
VPN funktioniert nur für manche Benutzer.
VPN funktioniert nur aus manchen Netzen.
Merksatz:
Das Fehlerbild entscheidet,
wo man zuerst sucht.
Fehlerbild 1: VPN verbindet gar nicht
Wenn VPN gar nicht verbindet,
liegt der Fehler vor oder während des Tunnelaufbaus.
Mögliche Ursachen:
falsche VPN-Serveradresse
Internetverbindung gestört
VPN-Gateway nicht erreichbar
Port oder Protokoll blockiert
Benutzername falsch
Passwort falsch
Konto gesperrt
MFA schlägt fehl
Zertifikat ungültig
Clientversion veraltet
Lizenzproblem
VPN-Dienst auf Gateway gestoppt
Merksatz:
Wenn VPN nicht verbindet,
zuerst Erreichbarkeit,
Anmeldung,
MFA
und Zertifikate prüfen.
Prüfung: Ist das VPN-Gateway erreichbar?
Vor der VPN-Anmeldung muss der Client das Gateway erreichen.
Prüfen:
DNS-Name des VPN-Gateways korrekt?
öffentliche IP erreichbar?
richtiger Port offen?
TCP oder UDP korrekt?
Firewall oder Provider blockiert?
Gateway online?
Wartungsfenster aktiv?
Zertifikat gültig?
Typische Fehler:
falscher Hostname
alte öffentliche IP
DNS zeigt auf falsches Ziel
Port am Gateway nicht offen
UDP im fremden Netz blockiert
Merksatz:
Ohne erreichbares Gateway kein VPN-Tunnel.
Prüfung: DNS-Name des VPN-Gateways
Viele VPN-Clients verbinden sich zu einem Namen.
Beispiel:
vpn.firma.de
Wenn dieser Name falsch auflöst,
verbindet sich der Client zum falschen Ziel oder gar nicht.
Prüfen:
liefert DNS die richtige öffentliche IP?
gibt es alte DNS-Einträge?
ist der DNS-Cache veraltet?
funktioniert Auflösung intern und extern gleich?
wird IPv4 oder IPv6 verwendet?
Merksatz:
VPN-Gateway-Namen immer aus Sicht des Clients prüfen.
Prüfung: Port und Protokoll
Je nach VPN-Protokoll müssen andere Ports oder Protokolle erreichbar sein.
Beispiele:
VPN-Technik
häufig relevant
IPsec IKE
UDP 500
IPsec NAT-T
UDP 4500
IPsec ESP
IP-Protokoll 50
OpenVPN
häufig UDP 1194 oder konfiguriert
WireGuard
häufig UDP 51820
TLS-VPN
häufig TCP 443
Wichtig:
UDP und TCP nicht verwechseln.
Merksatz:
VPN-Fehlersuche braucht Kenntnis von Port und Protokoll.
Fehlerbild 2: Anmeldung schlägt fehl
Wenn das Gateway erreichbar ist,
aber die Anmeldung fehlschlägt,
liegt der Fehler eher bei Identität oder Richtlinie.
Mögliche Ursachen:
Benutzername falsch
Passwort falsch
Konto gesperrt
Konto deaktiviert
Passwort abgelaufen
MFA nicht bestätigt
MFA nicht eingerichtet
Benutzer nicht in VPN-Gruppe
Login nur von verwaltetem Gerät erlaubt
Conditional Access blockiert
Zertifikat fehlt oder ungültig
Zeitabweichung
Merksatz:
Anmeldefehler sind meistens Authentifizierung oder Zugriffsrichtlinie.
Authentifizierung und Autorisierung trennen
Authentifizierung:
Wer bist du?
Autorisierung:
Was darfst du?
Beispiel:
Benutzer meldet sich korrekt an,
ist aber nicht in der VPN-Gruppe.
Dann ist die Identität korrekt,
aber der VPN-Zugriff nicht erlaubt.
Merksatz:
Erfolgreiche Anmeldung heißt nicht automatisch:
VPN-Zugriff erlaubt.
Fehlerbild 3: MFA schlägt fehl
Mögliche Ursachen:
Benutzer bestätigt nicht
falsches Gerät registriert
Authenticator-App nicht eingerichtet
Uhrzeit falsch
Push-Anfrage kommt nicht an
Benutzer ist gesperrt
Richtlinie verlangt anderen Faktor
Number Matching falsch
Angreifer löst Push-Fatigue aus
Prüfen:
MFA-Log
Benutzerstatus
registrierte Faktoren
Uhrzeit
Richtlinie
Fehlermeldung
Merksatz:
MFA-Probleme immer mit Authentifizierungslogs prüfen.
Fehlerbild 4: Zertifikatsfehler
VPN-Zertifikate können auf Client- oder Serverseite Probleme verursachen.
Mögliche Ursachen:
Serverzertifikat abgelaufen
Clientzertifikat abgelaufen
Zertifikatskette unvollständig
CA nicht vertrauenswürdig
Name passt nicht
Zertifikat widerrufen
privater Schlüssel fehlt
falsches Zertifikat ausgewählt
Systemzeit falsch
Merksatz:
Zertifikatsfehler mit Name,
Gültigkeit,
CA,
Schlüssel
und Zeit prüfen.
Fehlerbild 5: VPN verbindet, aber interne IPs gehen nicht
Wenn VPN verbunden ist,
aber interne IP-Adressen nicht erreichbar sind,
liegt der Fehler meist nach dem Tunnelaufbau.
Mögliche Ursachen:
Route zum Zielnetz fehlt
Rückroute fehlt
Firewall-Regel fehlt
Zielsystem offline
Host-Firewall blockiert
VPN-Gruppe darf Ziel nicht erreichen
Adresskonflikt mit Heimnetz
NAT falsch
falscher VPN-Adresspool
falsches Zielnetz
Merksatz:
VPN verbunden,
aber IP nicht erreichbar:
Route,
Firewall,
Rückweg
und Zielsystem prüfen.
Prüfung: VPN-IP erhalten?
Ein VPN-Client bekommt häufig eine Adresse aus einem VPN-Adresspool.
Beispiel:
VPN-IP:
10.8.0.25
Prüfen:
Hat der Client eine VPN-IP bekommen?
Liegt sie im richtigen Pool?
Passt der Pool zur Benutzergruppe?
Gibt es doppelte Adressen?
Ist der Pool voll?
Wird die IP in Logs angezeigt?
Merksatz:
Ohne korrekte VPN-IP können Regeln und Routen nicht passen.
Prüfung: Route zum Zielnetz
Der Client braucht eine Route zum internen Zielnetz.
Beispiel:
Zielnetz:
192.168.20.0/24
Route:
über VPN-Tunnel
Fehlt diese Route,
sendet der Client Pakete nicht durch VPN.
Merksatz:
Route zum Zielnetz ist Pflicht.
Prüfung: Rückroute
Das Zielsystem oder dessen Gateway muss wissen,
wie es zum VPN-Client zurückkommt.
Beispiel:
VPN-Pool:
10.8.0.0/24
Servernetz:
192.168.20.0/24
Das Servernetz braucht einen Rückweg zu:
10.8.0.0/24
Merksatz:
Ohne Rückroute sieht der Client keine Antwort.
Prüfung: Firewall zwischen VPN und Ziel
Auf dem Weg können mehrere Firewalls beteiligt sein.
Beispiele:
VPN-Gateway-Firewall
Core-Firewall
Servernetz-Firewall
Host-Firewall auf dem Zielsystem
Prüfen:
Quelle ist VPN-Pool?
Ziel ist korrekt?
Port ist korrekt?
TCP oder UDP korrekt?
Benutzergruppe korrekt?
Richtung korrekt?
Logs zeigen Allow oder Deny?
NAT verändert Quelle oder Ziel?
Merksatz:
Alle Filterstellen auf dem Weg prüfen.
Prüfung: Host-Firewall
Auch wenn das Netz den Zugriff erlaubt,
kann das Zielsystem blockieren.
Beispiele:
Windows Firewall erlaubt RDP nur aus lokalem Subnetz.
Linux-Firewall erlaubt SSH nur aus Adminnetz.
Dienst erlaubt keine VPN-Quelladressen.
Merksatz:
Zielsystem-Firewall ist Teil der VPN-Fehlersuche.
Fehlerbild 6: VPN verbindet, aber interne Namen gehen nicht
Wenn IP-Adressen funktionieren,
aber Namen nicht,
ist DNS sehr wahrscheinlich betroffen.
Mögliche Ursachen:
interner DNS wird nicht gesetzt
DNS-Suffix fehlt
Split DNS falsch
DNS-Anfragen gehen lokal raus
DNS-Server über VPN nicht erreichbar
Firewall blockiert UDP/TCP 53
falscher DNS-Record
DNS-Cache veraltet
IPv6-Antwort zeigt falschen Weg
Merksatz:
IP geht,
Name nicht:
DNS prüfen.
Prüfung: DNS aus Sicht des VPN-Clients
Wichtig ist nicht,
was der Administrator auf dem Server sieht.
Wichtig ist:
Was sieht der VPN-Client?
Prüfen:
Welche DNS-Server nutzt der Client?
Welche Suchdomäne ist gesetzt?
Wird Split DNS verwendet?
Welche Antwort liefert DNS?
Wird A oder AAAA genutzt?
Ist der interne DNS erreichbar?
Gibt es DNS-Leaks?
Merksatz:
DNS immer dort prüfen,
wo der Fehler auftritt.
Fehlerbild 7: Nur bestimmte Dienste gehen nicht
Wenn nur ein Dienst nicht funktioniert,
ist der VPN-Tunnel wahrscheinlich grundsätzlich aktiv.
Beispiele:
Intranet geht,
aber RDP nicht.
DNS geht,
aber SMB nicht.
Ping geht,
aber HTTPS nicht.
Mögliche Ursachen:
Port nicht erlaubt
Dienst läuft nicht
Host-Firewall blockiert
Benutzer nicht berechtigt
Anwendung lehnt VPN-Quelle ab
Zertifikat oder TLS-Problem
falscher Port
falsches Protokoll
Merksatz:
Ein Dienst betroffen:
Port,
Dienst,
Berechtigung
und Anwendung prüfen.
Dienstprüfung über VPN
Bei einem einzelnen Dienst prüft man:
Zielname korrekt?
Ziel-IP korrekt?
Port korrekt?
TCP oder UDP?
Dienst lauscht?
Firewall erlaubt?
Host-Firewall erlaubt?
Anwendung antwortet?
Benutzer berechtigt?
Logs vorhanden?
Merksatz:
Dienstprüfung ist mehr als Ping.
Fehlerbild 8: VPN funktioniert nur für manche Benutzer
Wenn der Zugriff nur bei bestimmten Benutzern funktioniert,
liegt der Fehler häufig bei Gruppen,
Rollen
oder Profilen.
Mögliche Ursachen:
falsche VPN-Gruppe
Benutzer nicht berechtigt
andere Routen
andere DNS-Einstellungen
andere Firewall-Regeln
anderes VPN-Profil
MFA-Richtlinie unterschiedlich
Gerätestatus unterschiedlich
Konto gesperrt
Rolle fehlt
Merksatz:
Manche Benutzer betroffen:
Gruppen,
Profile
und Rechte vergleichen.
Vergleichsmethode bei Benutzerproblemen
Vergleiche:
funktionierender Benutzer
mit
fehlerhaftem Benutzer
Prüfen:
gleiche Gruppe?
gleiches VPN-Profil?
gleiche Routen?
gleiche DNS-Server?
gleiche Firewall-Zone?
gleiche MFA-Richtlinie?
gleiches Endgerät?
gleiche Zielrechte?
Merksatz:
Vergleich zeigt,
was beim fehlerhaften Benutzer anders ist.
Fehlerbild 9: VPN funktioniert nur aus manchen Netzen
Wenn VPN aus einem Heimnetz funktioniert,
aus einem anderen aber nicht,
liegt der Fehler oft außerhalb der Firma.
Mögliche Ursachen:
lokales Heimnetz überschneidet sich
lokaler Router blockiert VPN
Hotel-WLAN blockiert UDP
Mobilfunk nutzt CGNAT
Provider blockiert Ports
DNS im Fremdnetz fehlerhaft
IPv6 nimmt anderen Weg
restriktives Gastnetz
captive portal aktiv
Merksatz:
Fremde Netze können VPN-Protokolle blockieren oder stören.
Adresskonflikt mit Heimnetz erkennen
Typisches Problem:
Heimnetz:
192.168.1.0/24
Firmennetz:
192.168.1.0/24
Symptom:
VPN verbunden,
aber Ziel im Firmennetz nicht erreichbar.
Ursache:
Client hält Ziel für lokal
und sendet nicht durch den Tunnel.
Merksatz:
Gleiche Netze auf beiden Seiten sind ein klassischer VPN-Fehler.
Fehlerbild 10: VPN langsam
VPN-Langsamkeit kann viele Ursachen haben.
Mögliche Ursachen:
hohe Latenz
Paketverlust
schlechte WLAN-Verbindung
Full Tunnel überlastet
VPN-Gateway ausgelastet
zentrale Internetleitung ausgelastet
MTU-Problem
TCP-over-TCP
Proxy langsam
schwacher Client
Server langsam
Datenbank langsam
Merksatz:
Langsam ist nicht gleich nicht erreichbar.
Performance prüfen
Bei VPN-Performance prüft man:
Latenz
Paketverlust
Bandbreite
Auslastung des Gateways
Auslastung des Clients
WLAN-Qualität
MTU
Tunnelart
Full Tunnel oder Split Tunnel
Zielserver
Anwendung
Tageszeit
Merksatz:
VPN-Performance braucht Messwerte,
nicht Bauchgefühl.
Fehlerbild 11: VPN bricht ab
Mögliche Ursachen:
instabile Internetverbindung
WLAN-Roaming
Mobilfunkwechsel
NAT-Timeout
Firewall-Timeout
VPN-Clientfehler
Token läuft ab
Zertifikat läuft ab
Gateway überlastet
Energiesparmodus
MTU-Problem
Keepalive fehlt
Merksatz:
VPN-Abbrüche mit Zeitbezug,
Logs
und Verbindungsmessung prüfen.
MTU-Probleme bei VPN
VPN fügt zusätzliche Header hinzu.
Dadurch kann die effektive Paketgröße sinken.
Typische Symptome:
kleine Webseiten gehen
große Webseiten hängen
Downloads brechen ab
VPN wirkt instabil
RDP friert ein
SSH hängt bei viel Ausgabe
große Dateiübertragung bricht ab
Merksatz:
Kleine Daten gehen,
große nicht:
MTU prüfen.
TCP-over-TCP bei VPN
Wenn ein VPN über TCP läuft
und darin TCP-Verkehr transportiert wird,
kann Performance schlechter werden.
Besonders bei Paketverlust stören sich die Steuerungsmechanismen.
Typisch:
langsame Dateiübertragung
stockende Verbindungen
hohe Latenz
Wiederholungen
Merksatz:
TCP im TCP-Tunnel kann bremsen.
NAT-Timeout
Viele Router und Firewalls löschen inaktive NAT-Zuordnungen nach einiger Zeit.
Folge:
VPN-Verbindung wirkt verbunden,
aber Daten fließen nicht mehr.
Oder:
Tunnel bricht ab.
Lösungsideen:
Keepalive
passende Timeout-Werte
stabile Verbindung
geeignete VPN-Konfiguration
Merksatz:
NAT-Timeout kann VPN-Verbindungen still abbrechen lassen.
VPN-Logs richtig auswerten
VPN-Logs können zeigen:
Verbindungsversuch
Benutzer
Quell-IP
Gateway
Authentifizierung
MFA-Ergebnis
Zertifikatsprüfung
zugewiesene IP
zugewiesene Gruppe
Routen
Trennungsgrund
Fehlercode
Phase-1- oder Phase-2-Fehler bei IPsec
Merksatz:
VPN-Logs zeigen,
an welchem Schritt die Verbindung scheitert.
Client-Logs
VPN-Client-Logs sind wichtig,
weil der Client oft mehr Details zum Fehler sieht.
Sie zeigen zum Beispiel:
DNS-Auflösung des Gateways
Verbindungsversuch
Zertifikatsfehler
Authentifizierungsfehler
gesetzte Routen
gesetzte DNS-Server
Tunnelstatus
Abbruchgrund
Merksatz:
Client-Logs zeigen die Sicht des Endgeräts.
Gateway-Logs
VPN-Gateway-Logs zeigen die Sicht der Gegenstelle.
Sie zeigen zum Beispiel:
kommt der Client an?
wird Benutzer erkannt?
schlägt MFA fehl?
wird Zertifikat akzeptiert?
wird eine VPN-IP vergeben?
welche Gruppe wird angewendet?
welche Richtlinie greift?
warum wird Verbindung getrennt?
Merksatz:
Gateway-Logs zeigen,
was das VPN-System entschieden hat.
Firewall-Logs bei VPN
Firewall-Logs helfen nach dem Tunnelaufbau.
Sie zeigen:
Quelle aus VPN-Pool
Zielsystem
Port
Protokoll
erlaubte Verbindung
blockierte Verbindung
Regelname
Zone
NAT
Rückverkehr
Merksatz:
Firewall-Logs zeigen,
ob VPN-Verkehr wirklich erlaubt wird.
Paketmitschnitt bei VPN
Ein Paketmitschnitt kann helfen,
wenn Logs nicht ausreichen.
Mögliche Mitschnittorte:
VPN-Client
VPN-Gateway außen
VPN-Gateway innen
interne Firewall
Zielserver
Fragen:
sendet der Client?
kommt Verkehr am Gateway an?
verlässt Verkehr das Gateway intern?
kommt Verkehr am Ziel an?
antwortet das Ziel?
kommt Antwort zurück?
Merksatz:
Mehrere Mitschnittpunkte zeigen,
wo Pakete verschwinden.
VPN-Fehlersuche nach OSI-Modell
Schicht
VPN-Prüfung
1
Internetverbindung, WLAN, Kabel
2
lokales Netz, WLAN, VLAN
3
IP, Routing, VPN-Pool, Rückroute
4
TCP/UDP, Ports, Firewall
5
Session, Tunnelstabilität, Timeout
6
TLS, Zertifikate, Verschlüsselung
7
Login, MFA, DNS, Anwendung, Rechte
Merksatz:
Auch VPN-Probleme lassen sich nach OSI eingrenzen.
Praktische Prüfreihenfolge
Eine gute Reihenfolge:
1. Fehlerbild genau aufnehmen.
2. VPN-Art und Protokoll bestimmen.
3. Client-Internet prüfen.
4. VPN-Gateway-Erreichbarkeit prüfen.
5. Authentifizierung und MFA prüfen.
6. Zertifikate prüfen.
7. VPN-IP prüfen.
8. Routen prüfen.
9. DNS prüfen.
10. Firewall-Regeln prüfen.
11. Zielsystem und Host-Firewall prüfen.
12. Logs vergleichen.
13. Performance und MTU prüfen.
14. Ergebnis dokumentieren.
Merksatz:
Erst Tunnel,
dann Route,
dann DNS,
dann Dienst.
Checkliste: VPN verbindet nicht
Gateway-Name korrekt?
Gateway-IP korrekt?
Internetverbindung vorhanden?
Port und Protokoll erreichbar?
VPN-Gateway online?
Benutzerkonto aktiv?
Passwort korrekt?
MFA erfolgreich?
Zertifikat gültig?
Clientversion passend?
Uhrzeit korrekt?
Logs geprüft?
Merksatz:
Bei Verbindungsfehlern vorne in der Kette suchen.
Checkliste: VPN verbunden, aber kein Zugriff
VPN-IP erhalten?
richtige Gruppe?
Route zum Zielnetz vorhanden?
Rückroute vorhanden?
DNS korrekt?
Firewall erlaubt?
Host-Firewall erlaubt?
Zielsystem online?
Dienst läuft?
Berechtigung vorhanden?
Logs geprüft?
Merksatz:
Bei Zugriffproblemen nach dem Tunnel suchen.
Checkliste: VPN langsam
Latenz gemessen?
Paketverlust gemessen?
Bandbreite geprüft?
WLAN geprüft?
Full Tunnel oder Split Tunnel?
Gateway ausgelastet?
Client ausgelastet?
MTU geprüft?
TCP-over-TCP möglich?
Zielserver langsam?
Anwendung langsam?
Tageszeit oder Lastspitzen?
Merksatz:
Langsamkeit mit Messwerten belegen.
Checkliste: VPN bricht ab
Abbruchzeitpunkt bekannt?
Client-Log geprüft?
Gateway-Log geprüft?
Internetverbindung stabil?
WLAN-Wechsel?
Mobilfunkwechsel?
NAT-Timeout?
Keepalive aktiv?
Zertifikat oder Token abgelaufen?
Gateway überlastet?
Energiesparmodus aktiv?
MTU-Problem möglich?
Merksatz:
Abbrüche brauchen Zeitbezug und Logs.
Typische Prüfungsfragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Warum reicht ein verbundener VPN-Tunnel nicht aus?
- Welche Schritte prüft man bei VPN-Fehlersuche?
- Warum sind Routen bei VPN wichtig?
- Warum ist der Rückweg wichtig?
- Warum können interne Namen trotz VPN nicht funktionieren?
- Warum ist DNS bei VPN häufig eine Fehlerquelle?
- Warum kann ein Dienst trotz VPN-Verbindung nicht erreichbar sein?
- Warum können unterschiedliche Benutzer unterschiedliche VPN-Rechte haben?
- Warum verursachen gleiche Netze auf beiden Seiten Probleme?
- Was sind typische Ursachen für langsame VPN-Verbindungen?
- Warum können MTU-Probleme bei VPN auftreten?
- Welche Logs sind bei VPN wichtig?
- Wie hilft ein Paketmitschnitt bei VPN-Fehlern?
Typische Prüfungsfallen
VPN verbunden heißt nicht:
alles funktioniert.
VPN-Status grün heißt nicht:
Routen stimmen.
Login erfolgreich heißt nicht:
Zugriff erlaubt.
Authentifizierung ist nicht Autorisierung.
IP geht,
Name nicht:
DNS prüfen.
Ping geht,
Dienst nicht:
Port und Anwendung prüfen.
Ein Dienst betroffen:
nicht ganzes VPN kaputt.
Manche Benutzer betroffen:
Gruppen und Profile vergleichen.
Manche Heimnetze betroffen:
Adresskonflikt prüfen.
Gleiche Netze auf beiden Seiten sind problematisch.
Route zum Ziel reicht nicht,
Rückroute muss auch stimmen.
Host-Firewall kann blockieren.
DNS-Suffix und Split DNS beachten.
UDP und TCP nicht verwechseln.
MTU bei großen Datenproblemen prüfen.
VPN-Logs und Firewall-Logs gemeinsam auswerten.
Client-Sicht und Gateway-Sicht vergleichen.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
VPN-Fehlersuche
systematische Analyse von VPN-Problemen
VPN-Gateway
Gegenstelle für VPN-Verbindungen
VPN-Client
Endgerät oder Software des Benutzers
VPN-IP
Adresse aus dem VPN-Adresspool
VPN-Profil
Konfiguration für VPN-Zugriff
VPN-Gruppe
Gruppe zur Steuerung von Rechten
Route
Weg zu einem Zielnetz
Rückroute
Antwortweg zurück zum VPN-Client
Split DNS
getrennte DNS-Auflösung
DNS-Leak
DNS-Anfragen gehen falschen Weg
Host-Firewall
Firewall auf Zielsystem
MTU
maximale Paketgröße
NAT-Timeout
Ablauf einer NAT-Zuordnung
Keepalive
regelmäßiges Paket zum Offenhalten
Client-Log
Log aus Sicht des Endgeräts
Gateway-Log
Log aus Sicht des VPN-Systems
Firewall-Log
Log über erlaubten oder blockierten Verkehr
TCP-over-TCP
TCP-Verkehr in TCP-Tunnel
Adresskonflikt
gleiche Netze auf beiden Seiten
IHK-sichere Kurzformulierung
Bei der VPN-Fehlersuche muss zuerst das genaue Fehlerbild bestimmt werden. Ein VPN kann bereits beim Verbindungsaufbau, bei der Authentifizierung, bei MFA, bei Zertifikaten, beim Routing, bei DNS, bei Firewall-Regeln, beim Rückweg, beim Zielsystem oder bei Berechtigungen scheitern. Ein verbundener VPN-Tunnel bedeutet nicht automatisch, dass interne Ressourcen erreichbar sind. Der Client benötigt eine gültige VPN-IP, passende Routen, interne DNS-Einstellungen und die nötigen Firewall- und Benutzerrechte. Bei Performanceproblemen sind Latenz, Paketverlust, Bandbreite, MTU, Full Tunnel, Gateway-Auslastung und Client-Verbindung zu prüfen. Logs auf Client, VPN-Gateway, Firewall und Zielsystem helfen, den Fehler einzugrenzen.
Merksätze
VPN-Fehlersuche ist mehr als Tunnelprüfung.
Erst Fehlerbild klären.
VPN-Art bestimmen.
VPN-Protokoll bestimmen.
Gateway muss erreichbar sein.
Port und Protokoll müssen passen.
UDP und TCP nicht verwechseln.
Authentifizierung prüft Identität.
Autorisierung prüft Rechte.
MFA-Logs bei MFA-Problemen prüfen.
Zertifikate mit Name,
CA,
Gültigkeit
und Zeit prüfen.
VPN-IP muss korrekt sein.
Route zum Zielnetz muss vorhanden sein.
Rückroute muss vorhanden sein.
Firewall-Regeln müssen VPN-Quelle erlauben.
Host-Firewall nicht vergessen.
IP geht,
Name nicht:
DNS prüfen.
Interne Namen brauchen internes DNS.
Nur ein Dienst betroffen:
Port,
Dienst
und Rechte prüfen.
Manche Benutzer betroffen:
Gruppen und Profile prüfen.
Manche Heimnetze betroffen:
Adresskonflikt prüfen.
VPN langsam:
Latenz,
Paketverlust,
MTU
und Auslastung prüfen.
VPN bricht ab:
Logs und Zeitbezug prüfen.
Client-Logs zeigen Endgerätesicht.
Gateway-Logs zeigen VPN-Systemsicht.
Firewall-Logs zeigen Zugriffspfad.
Paketmitschnitt zeigt,
wo Pakete verschwinden.
Erst Tunnel,
dann Route,
dann DNS,
dann Dienst.
Neue Seite
Merksätze und Prüfungswissen zu VPN, Intranet und Extranet
Diese Seite fasst die wichtigsten Inhalte zu VPN,
Intranet,
Extranet,
VPN-Arten,
VPN-Protokollen,
Routing,
DNS,
Firewall-Regeln,
Sicherheit
und Fehlersuche zusammen.
Dieses Kapitel ist besonders prüfungsrelevant,
weil VPN nicht nur Verschlüsselung bedeutet,
sondern auch Routing,
Berechtigungen,
DNS,
Firewall,
Authentifizierung
und Sicherheit betrifft.
Merksatz:
VPN ist nicht nur ein Tunnel.
VPN ist ein Zugriffskonzept mit Technik,
Regeln
und Sicherheit.
Grundbegriffe
Begriff
Bedeutung
Internet
öffentliches weltweites Netzwerk
Intranet
internes Netzwerk oder internes Portal einer Organisation
Extranet
kontrollierter Zugriff für externe Berechtigte
VPN
geschützter Tunnel über ein fremdes oder unsicheres Netz
Merksatz:
Internet öffentlich.
Intranet intern.
Extranet kontrolliert extern.
VPN sicherer Tunnel.
Intranet
Ein Intranet ist ein internes Netzwerk oder internes Informationssystem.
Typische Inhalte:
internes Wiki
Mitarbeiterportal
Ticketsystem
Zeiterfassung
Dateiablage
interne Anwendungen
interne APIs
Monitoring
interne Dokumentation
Wichtig:
Ein Intranet ist nicht automatisch öffentlich erreichbar.
Merksatz:
Intranet nutzt oft Webtechnik,
ist aber intern beschränkt.
Extranet
Ein Extranet stellt ausgewählten externen Personen oder Organisationen kontrollierten Zugriff bereit.
Beispiele:
Lieferantenportal
Kundenportal
Partnerportal
Dienstleisterzugang
gemeinsamer Projektraum
Wartungszugang
Wichtig:
Externe bekommen nur Zugriff auf bestimmte Ressourcen,
nicht auf das ganze interne Netz.
Merksatz:
Extranet = ausgewählter externer Zugriff.
VPN
VPN steht für:
Virtual Private Network
Ein VPN baut über ein fremdes oder unsicheres Netz einen geschützten Tunnel auf.
Typische Zwecke:
Homeoffice
Standortvernetzung
Fernwartung
Zugriff auf interne Dienste
Cloud-Anbindung
Adminzugriff
Extranet-Zugriff
Merksatz:
VPN verbindet entfernte Benutzer oder Netze sicher mit geschützten Ressourcen.
VPN-Tunnel
Ein VPN-Tunnel transportiert Daten geschützt durch ein anderes Netz.
Dabei werden Daten:
eingepackt
verschlüsselt
übertragen
am Ziel wieder ausgepackt
Das nennt man:
Tunneling
Merksatz:
Tunneling bedeutet:
Daten werden in eine geschützte Verbindung eingepackt.
VPN schützt nicht automatisch alles
Ein VPN schützt vor allem den Übertragungsweg.
Es ersetzt nicht:
Firewall-Regeln
Benutzerrechte
MFA
Gerätesicherheit
Protokollierung
Segmentierung
Patchmanagement
Anwendungsberechtigungen
Merksatz:
VPN schützt den Tunnel,
aber nicht automatisch jedes Zielsystem.
Remote-Access-VPN
Remote-Access-VPN verbindet einzelne Benutzer mit internen Ressourcen.
Typische Beispiele:
Homeoffice-Mitarbeiter
Außendienst
Administrator
mobiler Benutzer
Support
Dienstleister
Merksatz:
Remote-Access-VPN = Benutzer verbindet sich aus der Ferne.
Client-to-Site-VPN
Client-to-Site-VPN ist praktisch eine andere Bezeichnung für Remote-Access-VPN.
Beispiel:
Notebook
→ VPN-Gateway
→ Firmennetz
Merksatz:
Client-to-Site verbindet einen einzelnen Client mit einem Netz.
Site-to-Site-VPN
Site-to-Site-VPN verbindet ganze Netzwerke miteinander.
Beispiele:
Hauptstandort ↔ Niederlassung
Firma ↔ Rechenzentrum
Firma ↔ Cloud-Netz
Unternehmen ↔ Partnernetz
Merksatz:
Site-to-Site-VPN = Netz verbindet sich mit Netz.
Remote-Access und Site-to-Site unterscheiden
Merkmal
Remote-Access-VPN
Site-to-Site-VPN
verbindet
einzelner Benutzer
ganze Netze
Endpunkte
Client und Gateway
Gateway und Gateway
typischer Zweck
Homeoffice
Standortvernetzung
Steuerung
Benutzer, Gruppen, Profile
Netze, Routen, Firewall
Fehlerquellen
Client, MFA, DNS, Routen
Phase 1/2, Routing, Netze, Firewall
Merksatz:
Remote-Access ist benutzerbezogen.
Site-to-Site ist netzbezogen.
Weitere VPN-Arten
VPN-Art
Zweck
Host-to-Host-VPN
zwei einzelne Systeme verbinden
Extranet-VPN
externer Partnerzugriff
Cloud-VPN
lokales Netz mit Cloud-Netz verbinden
Admin-VPN
besonders geschützter Adminzugang
Fernwartungs-VPN
zeitlich begrenzter Supportzugang
Always-On-VPN
automatisch dauerhaft verbunden
On-Demand-VPN
startet bei Bedarf
Per-App-VPN
nur bestimmte Apps nutzen VPN
Merksatz:
VPN-Art richtet sich nach Einsatzzweck.
VPN-Protokolle
VPN ist ein Oberbegriff.
Technische Umsetzungen können sein:
IPsec
IKEv2
OpenVPN
WireGuard
TLS-VPN
L2TP/IPsec
Veraltet:
PPTP
Merksatz:
VPN ist der Zweck.
Protokoll ist die technische Umsetzung.
IPsec
IPsec steht für:
Internet Protocol Security
IPsec schützt IP-Kommunikation.
Typische Einsätze:
Site-to-Site-VPN
Cloud-VPN
Standortvernetzung
Remote-Access-VPN
IPsec arbeitet nah an Schicht 3,
weil IP-Pakete geschützt werden.
Merksatz:
IPsec schützt IP-Kommunikation auf Netzwerkebene.
IKE und IKEv2
IKE steht für:
Internet Key Exchange
IKE handelt bei IPsec Schlüssel und Sicherheitsparameter aus.
IKEv2 ist die modernere Variante.
Merksatz:
IKE handelt aus,
wie IPsec abgesichert wird.
IPsec Phase 1 und Phase 2
Phase
Bedeutung
Phase 1
sichere Verbindung zwischen VPN-Gegenstellen aufbauen
Phase 2
geschützte Netze oder Datenströme festlegen
Typische Einordnung:
Phase-1-Fehler:
Tunnel kommt oft gar nicht hoch.
Phase-2-Fehler:
Tunnel steht eventuell,
aber Daten fließen nicht richtig.
Merksatz:
Phase 1 verbindet Gateways.
Phase 2 schützt Netze.
ESP und AH
ESP steht für:
Encapsulating Security Payload
ESP kann bieten:
Verschlüsselung
Integrität
Authentifizierung
AH steht für:
Authentication Header
AH bietet Integrität und Authentifizierung,
aber keine Verschlüsselung des Inhalts.
Merksatz:
ESP schützt Daten.
AH verschlüsselt nicht.
Wichtige IPsec-Ports und Protokolle
Zweck
Port oder Protokoll
IKE
UDP 500
NAT-Traversal
UDP 4500
ESP
IP-Protokoll 50
AH
IP-Protokoll 51
Wichtig:
ESP und AH sind keine TCP- oder UDP-Ports.
Merksatz:
IPsec ist nicht nur ein einzelner Port.
OpenVPN
OpenVPN ist eine flexible TLS-basierte VPN-Lösung.
Eigenschaften:
nutzt TLS
kann UDP oder TCP verwenden
kann Zertifikate nutzen
ist flexibel konfigurierbar
wird für Remote-Access und Site-to-Site genutzt
Merksatz:
OpenVPN ist flexibel und TLS-basiert.
WireGuard
WireGuard ist ein modernes,
schlankes VPN-Protokoll.
Wichtige Begriffe:
Peer
öffentlicher Schlüssel
privater Schlüssel
Allowed IPs
Endpoint
Persistent Keepalive
WireGuard nutzt typischerweise UDP.
Merksatz:
WireGuard arbeitet mit Peers,
Schlüsseln
und Allowed IPs.
Allowed IPs bei WireGuard
Allowed IPs bestimmen bei WireGuard:
welche Zielnetze über einen Peer gehen
und gleichzeitig:
welche Quelladressen von diesem Peer erwartet werden
Merksatz:
Allowed IPs sind bei WireGuard Routing und Zuordnung zugleich.
TLS-VPN
TLS-VPN nutzt TLS als Grundlage.
Es wird oft noch SSL-VPN genannt.
Typische Eigenschaften:
häufig TCP 443
oft firewallfreundlich
häufig für Remote-Access
teilweise portalbasiert
teilweise clientbasiert
Merksatz:
SSL-VPN meint in der Praxis meistens TLS-VPN.
PPTP
PPTP steht für:
Point-to-Point Tunneling Protocol
PPTP ist veraltet
und gilt nicht mehr als sicher.
Merksatz:
PPTP kennen,
aber nicht mehr einsetzen.
Split Tunnel
Split Tunnel bedeutet:
Nur bestimmter Verkehr läuft durch das VPN.
Beispiel:
Firmennetze:
durch VPN
normales Internet:
direkt lokal
Vorteile:
weniger Last
oft bessere Performance
Nachteile:
weniger zentrale Kontrolle
höhere Anforderungen an Sicherheitskonzept
Merksatz:
Split Tunnel leitet nur ausgewählten Verkehr durch VPN.
Full Tunnel
Full Tunnel bedeutet:
Der gesamte Clientverkehr läuft durch das VPN.
Auch Internetverkehr geht dann zuerst durch das Unternehmensnetz.
Vorteile:
zentrale Kontrolle
einheitliche Filterung
zentrale Protokollierung
Nachteile:
mehr Last
höhere Latenz
mehr Bandbreitenbedarf
Merksatz:
Full Tunnel leitet alles durch VPN.
Split Tunnel und Full Tunnel vergleichen
Merkmal
Split Tunnel
Full Tunnel
Firmennetze
über VPN
über VPN
Internetverkehr
lokal direkt
über VPN
VPN-Last
geringer
höher
zentrale Kontrolle
geringer
höher
Performance
oft besser
abhängig von Gateway und Leitung
Merksatz:
Split Tunnel spart Last.
Full Tunnel erhöht zentrale Kontrolle.
VPN-Routing
VPN braucht passende Routen.
Der Client muss wissen:
Welche Netze liegen hinter dem VPN?
Beispiel:
Zielnetz:
192.168.10.0/24
Route:
über VPN-Tunnel
Fehlt die Route,
geht Verkehr eventuell ins lokale Netz oder ins Internet.
Merksatz:
Ohne Route kein Weg durch VPN.
Rückroute
Nicht nur der Client braucht eine Route zum Ziel.
Das Zielnetz braucht auch einen Weg zurück zum VPN-Client.
Beispiel:
VPN-Pool:
10.8.0.0/24
Servernetz:
192.168.10.0/24
Das Servernetz muss wissen,
wie es zu 10.8.0.0/24 zurückkommt.
Merksatz:
VPN braucht Hinweg und Rückweg.
VPN-Adresspool
Der VPN-Adresspool ist der IP-Bereich,
aus dem VPN-Clients ihre VPN-Adresse erhalten.
Beispiel:
10.8.0.0/24
Ein Client bekommt zum Beispiel:
10.8.0.25
Diese Adresse ist wichtig für:
Routing
Firewall-Regeln
Logs
Gruppenregeln
Fehlersuche
Merksatz:
VPN-Adresspool bestimmt,
aus welchem Netz VPN-Clients kommen.
Adresskonflikte
Ein häufiger VPN-Fehler:
Firmennetz:
192.168.1.0/24
Heimnetz:
192.168.1.0/24
Dann weiß der Client nicht eindeutig,
ob eine Adresse lokal oder über VPN erreichbar ist.
Merksatz:
Gleiche Netze auf beiden Seiten verursachen VPN-Routingprobleme.
VPN-DNS
VPN-Benutzer brauchen oft interne Namensauflösung.
Beispiele:
intranet.firma.local
fileserver.firma.local
dc01.firma.local
wiki.intern
Dafür werden benötigt:
interner DNS-Server
DNS-Suffix
Split DNS
Firewall-Regeln für DNS
korrekte DNS-Records
Merksatz:
VPN braucht oft internes DNS.
Split DNS
Split DNS bedeutet:
interne Namen werden über interne DNS-Server aufgelöst
und:
öffentliche Namen werden normal oder extern aufgelöst
Beispiel:
firma.local
→ interner DNS
öffentliche Webseiten
→ normaler DNS
Merksatz:
Split DNS trennt interne und externe Namensauflösung.
DNS-Leak
Ein DNS-Leak bedeutet:
DNS-Anfragen gehen unerwartet außerhalb des VPNs.
Mögliche Folgen:
interne Namen funktionieren nicht
falsche DNS-Antworten
Provider sieht DNS-Anfragen
Sicherheitsrichtlinien werden umgangen
Merksatz:
DNS-Leak = DNS nimmt den falschen Weg.
IPv6-Leak
Ein IPv6-Leak kann entstehen,
wenn VPN nur IPv4 tunnelt,
aber IPv6 direkt am VPN vorbei ins Internet geht.
Wichtig:
IPv6 bewusst tunneln
oder
IPv6 bewusst filtern und regeln
Merksatz:
IPv6 bei VPN nicht vergessen.
VPN-Firewall-Regeln
Ein VPN-Tunnel darf nicht automatisch Zugriff auf alles geben.
Firewall-Regeln sollten festlegen:
Quelle
Ziel
Port
Protokoll
Richtung
Zone
Benutzergruppe
Zweck
Logging
Merksatz:
VPN braucht gezielte Firewall-Regeln.
VPN-Zonen
VPN-Verkehr sollte in eigene Sicherheitszonen eingeordnet werden.
Beispiele:
VPN-Mitarbeiter
VPN-Support
VPN-Admin
VPN-Dienstleister
VPN-Partner
Cloud-VPN
Vorteil:
Zugriffe können sauber getrennt werden.
Merksatz:
VPN-Zonen verhindern pauschale LAN-Freigaben.
Least Privilege beim VPN
Least Privilege bedeutet:
nur die Rechte,
die wirklich nötig sind.
Beim VPN heißt das:
keine pauschale LAN-Freigabe
keine unnötigen Ports
keine unnötigen Zielnetze
keine Dauerzugänge für Externe
keine Sammelkonten
Merksatz:
VPN-Zugriff so eng wie möglich,
so weit wie nötig.
Authentifizierung
Authentifizierung beantwortet:
Wer bist du?
Beim VPN möglich durch:
Benutzername und Passwort
Zertifikat
MFA
Token
Smartcard
Gerätezertifikat
SSO
Merksatz:
Authentifizierung prüft Identität.
Autorisierung
Autorisierung beantwortet:
Was darfst du?
Beispiele:
Darf Benutzer ins VPN?
Darf Benutzer ins Servernetz?
Darf Benutzer RDP nutzen?
Darf Benutzer auf Dateiablage?
Darf Dienstleister Wartungsserver erreichen?
Merksatz:
Autorisierung prüft Berechtigung.
Authentifizierung und Autorisierung unterscheiden
Begriff
Frage
Beispiel
Authentifizierung
Wer bist du?
Login mit Passwort und MFA
Autorisierung
Was darfst du?
Zugriff auf bestimmtes Netz erlaubt
Merksatz:
Anmeldung ist nicht automatisch Berechtigung.
MFA bei VPN
MFA steht für:
Multi-Faktor-Authentifizierung
Warum wichtig?
VPN ist oft aus dem Internet erreichbar.
Passwörter können gestohlen werden.
Phishing ist häufig.
VPN-Zugang führt oft zu internen Ressourcen.
Merksatz:
VPN-Zugänge sollten mit MFA geschützt werden.
Zertifikate bei VPN
VPN kann Zertifikate verwenden für:
Serverauthentifizierung
Clientauthentifizierung
Gerätezulassung
stärkere Identitätsprüfung
Wichtig:
Zertifikate müssen gültig sein,
widerrufen werden können
und zur richtigen CA gehören.
Merksatz:
Zertifikate erhöhen Sicherheit,
brauchen aber Verwaltung.
Gerätesicherheit
Ein VPN-Client bringt ein entferntes Gerät näher an interne Systeme.
Deshalb wichtig:
aktuelles Betriebssystem
Updates
Gerätemanagement
Festplattenverschlüsselung
Schutzsoftware
kein kompromittiertes Gerät
sichere Konfiguration
Posture Check
Merksatz:
Unsicheres Gerät plus VPN ist ein Risiko.
BYOD und VPN
BYOD bedeutet:
Bring Your Own Device
Private Geräte im VPN sind kritisch,
wenn sie nicht verwaltet werden.
Risiken:
unklarer Patchstand
keine Kontrolle
Malware
Datenabfluss
fehlende Trennung privat/geschäftlich
Merksatz:
BYOD-VPN braucht klare Regeln und technische Kontrolle.
Dienstleisterzugang
Dienstleisterzugänge müssen besonders eng geregelt werden.
Wichtig:
eigenes Konto pro Person
keine Sammelkonten
MFA
Zugriff nur auf Zielsystem
zeitliche Begrenzung
Protokollierung
Deaktivierung nach Projektende
Merksatz:
Externe niemals pauschal ins interne Netz lassen.
Admin-VPN
Admin-VPN braucht besonderen Schutz.
Wichtig:
separate Admin-Konten
MFA
Zertifikate
verwaltete Geräte
Zugriff nur auf Managementnetze
Bastion Host oder Jump Server
Protokollierung
Alarmierung
Merksatz:
Admin-VPN ist Hochrisiko-Zugang.
Bastion Host und Jump Server
Ein Bastion Host oder Jump Server ist ein besonders geschützter Zwischenserver.
Zweck:
Adminzugriffe bündeln
direkte Zugriffe vermeiden
Protokollierung verbessern
Zugriffspfade kontrollieren
Merksatz:
Jump Server kontrolliert den Weg zu kritischen Systemen.
VPN-Logging
VPN-Logs sollten zeigen:
Benutzer
Gerät
Quell-IP
Zeitpunkt
VPN-IP
MFA-Ergebnis
Gruppe
Verbindungserfolg
Fehlergrund
Trennungsgrund
Zielzugriffe je nach System
Merksatz:
VPN-Zugriffe müssen nachvollziehbar sein.
VPN-Monitoring
VPN-Infrastruktur sollte überwacht werden.
Wichtige Werte:
Tunnelstatus
aktive Benutzer
CPU
RAM
Bandbreite
Fehlversuche
Zertifikatsablauf
Latenz
Paketverlust
Gateway-Verfügbarkeit
Merksatz:
VPN ist kritische Infrastruktur.
VPN-Fehlersuche Grundreihenfolge
Sinnvolle Reihenfolge:
1. Fehlerbild aufnehmen.
2. VPN-Art bestimmen.
3. VPN-Protokoll bestimmen.
4. Internetverbindung prüfen.
5. VPN-Gateway prüfen.
6. Authentifizierung und MFA prüfen.
7. Zertifikate prüfen.
8. VPN-IP prüfen.
9. Routen prüfen.
10. DNS prüfen.
11. Firewall prüfen.
12. Zielsystem prüfen.
13. Host-Firewall prüfen.
14. Logs prüfen.
15. MTU und Performance prüfen.
Merksatz:
Erst Tunnel,
dann Route,
dann DNS,
dann Dienst.
Typische VPN-Fehlerbilder
Fehlerbild
wahrscheinliche Richtung
VPN verbindet nicht
Gateway, Port, Login, MFA, Zertifikat
VPN verbunden, IP geht nicht
Route, Firewall, Rückweg, Zielsystem
IP geht, Name nicht
DNS, Split DNS, DNS-Suffix
nur ein Dienst geht nicht
Port, Dienst, Host-Firewall, Rechte
nur manche Benutzer betroffen
Gruppen, Profile, Rollen
nur manche Heimnetze betroffen
Adresskonflikt, NAT, Provider, IPv6
VPN langsam
Latenz, Paketverlust, Bandbreite, MTU
VPN bricht ab
NAT-Timeout, WLAN, Keepalive, Token, Gateway
Merksatz:
Fehlerbild gibt die Richtung der Fehlersuche vor.
VPN und MTU
VPN fügt zusätzliche Header hinzu.
Dadurch kann die nutzbare Paketgröße sinken.
Typische Symptome:
kleine Daten funktionieren
große Downloads brechen ab
Webseiten laden teilweise
VPN wirkt instabil
RDP friert ein
SSH hängt bei viel Ausgabe
Merksatz:
Kleine Daten gehen,
große nicht:
MTU prüfen.
TCP-over-TCP
TCP-over-TCP kann entstehen,
wenn ein TCP-basierter VPN-Tunnel TCP-Verkehr transportiert.
Problem:
zwei TCP-Schichten versuchen gleichzeitig,
Paketverlust und Stau zu regeln.
Folge:
schlechtere Performance bei Verlusten oder instabiler Verbindung
Merksatz:
TCP im TCP-Tunnel kann bremsen.
NAT-Traversal
NAT-Traversal hilft VPN-Verbindungen,
durch NAT-Geräte zu funktionieren.
Besonders relevant bei:
IPsec
Heimnetzen
Mobilfunk
Hotel-WLAN
Provider-NAT
Merksatz:
NAT-Traversal hilft VPN durch NAT-Umgebungen.
CGNAT
CGNAT steht für:
Carrier Grade NAT
Dabei teilt der Provider öffentliche IPv4-Adressen zwischen vielen Kunden.
Problem:
eingehende Verbindungen zum eigenen VPN-Gateway sind schwierig oder unmöglich.
Remote-Access vom Client nach außen ist oft weniger problematisch,
wenn das Gateway öffentlich erreichbar ist.
Merksatz:
CGNAT stört besonders,
wenn das VPN-Gateway von außen erreichbar sein muss.
Intranet, Extranet und VPN unterscheiden
Aussage
richtig?
Erklärung
Intranet ist intern
ja
internes Netz oder internes Portal
Extranet ist öffentlich
nein
nur kontrolliert für Externe
Internet ist öffentlich
ja
grundsätzlich öffentlich erreichbar
VPN ist ein Tunnel
ja
geschützte Verbindung
VPN ist dasselbe wie Extranet
nein
Extranet ist Zugriffskonzept, VPN mögliche Technik
VPN ersetzt Firewall
nein
Firewall-Regeln bleiben nötig
VPN ersetzt Rechte
nein
Anwendung und Benutzerrechte bleiben nötig
Merksatz:
Begriffe sauber trennen.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist ein VPN?
- Wofür steht VPN?
- Was ist ein VPN-Tunnel?
- Was ist ein Intranet?
- Was ist ein Extranet?
- Was ist der Unterschied zwischen Intranet, Extranet und Internet?
- Was ist der Unterschied zwischen Remote-Access-VPN und Site-to-Site-VPN?
- Was ist Split Tunneling?
- Was ist Full Tunnel?
- Warum braucht VPN Routing?
- Warum ist DNS bei VPN wichtig?
- Was ist Split DNS?
- Warum sind überlappende Netze problematisch?
- Warum sollte VPN mit MFA geschützt werden?
- Was ist der Unterschied zwischen Authentifizierung und Autorisierung?
- Was ist IPsec?
- Was ist IKE?
- Was bedeuten Phase 1 und Phase 2 bei IPsec?
- Was ist WireGuard?
- Was sind Allowed IPs?
- Warum ist PPTP veraltet?
- Wie geht man bei VPN-Fehlersuche vor?
Typische Prüfungsfallen
VPN heißt Virtual Private Network.
VPN ist nicht automatisch ein vollständiges Sicherheitskonzept.
VPN schützt den Tunnel,
aber nicht automatisch alle Zielsysteme.
VPN ersetzt keine Firewall.
VPN ersetzt keine Berechtigungen.
Remote-Access verbindet Benutzer.
Site-to-Site verbindet Netze.
Client-to-Site ist praktisch Remote-Access.
Intranet ist intern.
Extranet ist kontrolliert extern.
Internet ist öffentlich.
Extranet ist nicht dasselbe wie VPN.
Split Tunnel leitet nur ausgewählten Verkehr.
Full Tunnel leitet alles durch VPN.
VPN braucht Routen.
VPN braucht Rückrouten.
VPN braucht oft internes DNS.
IP geht,
Name nicht:
DNS prüfen.
Überlappende Netze vermeiden.
Heimnetzkonflikte sind häufig.
Authentifizierung ist nicht Autorisierung.
MFA ist bei VPN wichtig.
Dienstleisterzugänge zeitlich begrenzen.
Admin-VPN besonders schützen.
PPTP nicht mehr verwenden.
IPsec Phase 1 und Phase 2 unterscheiden.
ESP ist kein TCP- oder UDP-Port.
WireGuard Allowed IPs genau prüfen.
VPN-Logs und Firewall-Logs gemeinsam auswerten.
VPN verbunden heißt nicht:
alles erreichbar.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Internet
öffentliches weltweites Netzwerk
Intranet
internes Netz oder internes Portal
Extranet
kontrollierter externer Zugriff
VPN
Virtual Private Network
VPN-Tunnel
geschützte logische Verbindung
Tunneling
Daten werden in Tunnelverbindung verpackt
Remote-Access-VPN
Benutzer verbindet sich aus der Ferne
Client-to-Site-VPN
einzelner Client zum Firmennetz
Site-to-Site-VPN
Netz-zu-Netz-Verbindung
VPN-Gateway
Gegenstelle für VPN-Verbindung
VPN-Client
Software oder Gerät des Benutzers
IPsec
Absicherung von IP-Kommunikation
IKE
Schlüsselaushandlung bei IPsec
ESP
IPsec-Bestandteil für Schutz der Daten
AH
IPsec-Bestandteil ohne Inhaltsverschlüsselung
Phase 1
sichere Verbindung zwischen Gateways
Phase 2
Schutz der eigentlichen Netze
OpenVPN
TLS-basierte VPN-Lösung
WireGuard
modernes schlankes VPN-Protokoll
Allowed IPs
Routing- und Peer-Zuordnung bei WireGuard
TLS-VPN
VPN auf TLS-Basis
Split Tunnel
ausgewählter Verkehr durch VPN
Full Tunnel
gesamter Verkehr durch VPN
VPN-Adresspool
IP-Bereich für VPN-Clients
Rückroute
Antwortweg zurück zum VPN-Client
Split DNS
getrennte interne und externe Namensauflösung
DNS-Leak
DNS-Anfragen nehmen falschen Weg
IPv6-Leak
IPv6-Verkehr läuft am VPN vorbei
VPN-Zone
Firewall-Zone für VPN-Verkehr
MFA
Multi-Faktor-Authentifizierung
Least Privilege
minimale notwendige Rechte
Bastion Host
gehärteter Zwischenserver
Jump Server
Sprungserver für Adminzugriffe
MTU
maximale Paketgröße
NAT-Traversal
VPN durch NAT ermöglichen
CGNAT
Provider-NAT für viele Kunden
IHK-sichere Gesamtformulierung
Ein VPN, also Virtual Private Network, stellt über ein unsicheres oder fremdes Netz einen geschützten Tunnel bereit. Es kann einzelne Benutzer per Remote-Access-VPN oder ganze Netzwerke per Site-to-Site-VPN verbinden. Ein Intranet ist ein internes Netzwerk oder internes Portal einer Organisation, während ein Extranet ausgewählten externen Partnern kontrollierten Zugriff auf bestimmte Ressourcen ermöglicht. Für VPN-Zugriffe sind nicht nur Verschlüsselung, sondern auch Authentifizierung, Autorisierung, MFA, Routing, Rückrouten, DNS, Split DNS, Firewall-Regeln, VPN-Zonen, Gerätesicherheit, Logging und Monitoring wichtig. Ein verbundener VPN-Tunnel bedeutet nicht automatisch, dass interne Ressourcen erreichbar oder erlaubt sind. Die Fehlersuche erfolgt systematisch über Gateway-Erreichbarkeit, Anmeldung, Zertifikate, VPN-IP, Routen, DNS, Firewall, Zielsysteme, Host-Firewall, Logs, MTU und Performance.
Wichtigste Merksätze
VPN = Virtual Private Network.
VPN baut einen geschützten Tunnel.
VPN ist nicht automatisch vollständige Sicherheit.
VPN ersetzt keine Firewall-Regeln.
VPN ersetzt keine Benutzerrechte.
VPN verbunden heißt nicht:
Zugriff erlaubt.
Intranet ist intern.
Extranet ist kontrolliert extern.
Internet ist öffentlich.
Remote-Access verbindet Benutzer.
Site-to-Site verbindet Netze.
Client-to-Site entspricht praktisch Remote-Access.
VPN-Protokoll ist die technische Umsetzung.
IPsec schützt IP-Kommunikation.
IKE handelt Schlüssel aus.
Phase 1 verbindet Gateways.
Phase 2 schützt Netze.
ESP schützt Daten.
AH verschlüsselt nicht.
OpenVPN ist TLS-basiert.
WireGuard nutzt Peers und Allowed IPs.
TLS-VPN wird oft SSL-VPN genannt.
PPTP ist veraltet.
Split Tunnel leitet ausgewählten Verkehr.
Full Tunnel leitet alles.
VPN braucht Route.
VPN braucht Rückroute.
VPN braucht oft internes DNS.
Split DNS trennt Namensauflösung.
Überlappende Netze vermeiden.
Heimnetzkonflikte sind klassisch.
VPN-Zugriff nach Rollen begrenzen.
MFA für VPN nutzen.
Dienstleisterzugänge zeitlich begrenzen.
Admin-VPN besonders schützen.
Unsichere Endgeräte sind Risiko.
VPN-Logs sind wichtig.
Monitoring gehört zu VPN.
MTU bei großen Datenproblemen prüfen.
Erst Tunnel,
dann Route,
dann DNS,
dann Dienst.
15. Cloud und moderne Bereitstellungsmodelle
15.1 Cloud und moderne Bereitstellungsmodelle
Cloud beschreibt die Bereitstellung von IT-Ressourcen über ein Netzwerk.
Statt alle Systeme selbst lokal zu betreiben,
können Unternehmen Rechenleistung,
Speicher,
Datenbanken,
Anwendungen
oder Plattformen bei einem Anbieter nutzen.
Typische Cloud-Ressourcen:
- virtuelle Server
- Speicherplatz
- Datenbanken
- Container
- Anwendungen
- Entwicklungsplattformen
- Backup-Dienste
- Identitätsdienste
- Netzwerkdienste
- Sicherheitsdienste
Merksatz:
Cloud bedeutet:
IT-Ressourcen werden als Dienst bereitgestellt.
Warum ist Cloud wichtig?
Cloud-Dienste sind in modernen IT-Umgebungen sehr verbreitet.
Gründe:
- schnelle Bereitstellung
- flexible Skalierung
- weniger eigene Hardware
- weltweite Erreichbarkeit
- nutzungsabhängige Kosten
- viele fertige Dienste
- hohe Automatisierbarkeit
- gute Integration mit modernen Anwendungen
Aber:
Cloud bedeutet nicht automatisch weniger Verantwortung.
Merksatz:
Cloud vereinfacht Bereitstellung,
ersetzt aber kein Sicherheits- und Betriebskonzept.
Cloud einfach erklärt
Klassisch:
Unternehmen kauft Server.
Server steht im eigenen Gebäude.
IT installiert Betriebssystem.
IT betreibt Anwendung.
IT kümmert sich um Hardware,
Strom,
Kühlung,
Backup
und Ausfallsicherheit.
Cloud:
Anbieter stellt Ressourcen bereit.
Unternehmen nutzt diese Ressourcen über Netzwerk oder Portal.
Abrechnung erfolgt häufig nach Nutzung.
Verantwortung wird je nach Modell zwischen Anbieter und Kunde geteilt.
Merksatz:
Cloud verlagert Teile der IT-Bereitstellung zu einem Anbieter.
On-Premises
On-Premises bedeutet:
IT wird lokal im eigenen Unternehmen oder eigenen Rechenzentrum betrieben.
Beispiele:
eigener Serverraum
eigenes Rechenzentrum
eigene Hardware
eigene Storage-Systeme
eigene Netzwerkgeräte
eigene Virtualisierung
Vorteile:
hohe Kontrolle
direkte Verwaltung
Daten bleiben im eigenen Betrieb
individuelle Anpassung möglich
Nachteile:
Hardwarekosten
Wartungsaufwand
Skalierung langsamer
eigene Verantwortung für Ausfallsicherheit
Merksatz:
On-Premises = lokal selbst betrieben.
Cloud
Cloud bedeutet:
IT-Ressourcen werden über ein Netzwerk als Dienst genutzt.
Beispiele:
virtueller Server beim Cloud-Anbieter
Cloud-Speicher
gehostete Datenbank
E-Mail aus der Cloud
Backup in der Cloud
Cloud-Identitätsdienst
Containerplattform
Merksatz:
Cloud = IT-Ressourcen als Dienst.
Hybrid Cloud
Hybrid Cloud kombiniert lokale IT und Cloud.
Beispiel:
interne Server im eigenen Rechenzentrum
plus
Cloud-Dienste für Backup,
Webanwendungen
oder Skalierung
Typische Einsatzfälle:
schrittweise Migration
sensible Systeme lokal
skalierbare Dienste in Cloud
Backup in Cloud
Cloud-Anbindung per VPN
Merksatz:
Hybrid Cloud kombiniert On-Premises und Cloud.
Multi Cloud
Multi Cloud bedeutet:
Ein Unternehmen nutzt mehrere Cloud-Anbieter.
Beispiel:
Anbieter A für virtuelle Server
Anbieter B für E-Mail
Anbieter C für Backup
Anbieter D für KI-Dienste
Vorteile:
weniger Abhängigkeit von einem Anbieter
passende Dienste pro Anbieter
Ausfallsicherheit durch Verteilung
Nachteile:
höhere Komplexität
unterschiedliche Portale
unterschiedliche Sicherheitsmodelle
schwierigeres Monitoring
mehr Know-how nötig
Merksatz:
Multi Cloud = mehrere Cloud-Anbieter gleichzeitig.
Public Cloud
Public Cloud bedeutet:
Cloud-Ressourcen werden von einem Anbieter für viele Kunden bereitgestellt.
Beispiele:
virtuelle Server
Datenbanken
Speicher
Webdienste
Cloud-Anwendungen
Wichtig:
Kunden teilen sich die Anbieterplattform,
sind aber logisch voneinander getrennt.
Merksatz:
Public Cloud = gemeinsam genutzte Anbieterplattform mit logischer Trennung.
Private Cloud
Private Cloud bedeutet:
Cloud-ähnliche Bereitstellung nur für eine Organisation.
Sie kann laufen:
im eigenen Rechenzentrum
bei einem Dienstleister
in einer dedizierten Umgebung
Typische Merkmale:
Selbstbedienung
Automatisierung
Virtualisierung
Ressourcenpools
interne Abrechnung oder Zuordnung
zentrale Verwaltung
Merksatz:
Private Cloud = Cloud-Prinzipien für eine Organisation.
Community Cloud
Community Cloud bedeutet:
Eine Cloud wird von mehreren Organisationen mit ähnlichen Anforderungen genutzt.
Beispiele:
Behörden
Forschungseinrichtungen
Gesundheitswesen
Bildungseinrichtungen
Ziel:
gemeinsame Anforderungen
gemeinsame Sicherheitsvorgaben
gemeinsame Compliance
Merksatz:
Community Cloud wird von einer bestimmten Gemeinschaft genutzt.
Cloud-Bereitstellungsmodelle
Modell
Kurze Erklärung
On-Premises
lokal selbst betrieben
Public Cloud
Cloud beim öffentlichen Anbieter
Private Cloud
Cloud für eine Organisation
Hybrid Cloud
Mischung aus lokal und Cloud
Multi Cloud
Nutzung mehrerer Cloud-Anbieter
Community Cloud
Cloud für bestimmte Organisationengruppe
Merksatz:
Bereitstellungsmodell beschreibt,
wo und für wen Cloud-Ressourcen betrieben werden.
Cloud-Service-Modelle
Die wichtigsten Service-Modelle sind:
- IaaS
- PaaS
- SaaS
Diese Modelle beschreiben,
wie viel Verantwortung der Anbieter übernimmt
und wie viel der Kunde selbst verwaltet.
Merksatz:
Service-Modell beschreibt,
welche Schichten als Dienst bereitgestellt werden.
IaaS
IaaS steht für:
Infrastructure as a Service
Dabei stellt der Anbieter grundlegende Infrastruktur bereit.
Beispiele:
virtuelle Maschinen
virtuelle Netzwerke
Block Storage
Load Balancer
Firewalls
IP-Adressen
Der Kunde verwaltet meist:
Betriebssystem
Updates im Betriebssystem
Anwendungen
Daten
Benutzer
Konfigurationen
Merksatz:
IaaS = virtuelle Infrastruktur statt eigener Hardware.
PaaS
PaaS steht für:
Platform as a Service
Dabei stellt der Anbieter eine Plattform bereit,
auf der Anwendungen betrieben werden können.
Beispiele:
verwaltete Datenbank
App-Plattform
Web-App-Plattform
Containerplattform
Laufzeitumgebung
Entwicklungsplattform
Der Kunde verwaltet meist:
Anwendung
Daten
Konfiguration
Zugriff
Der Anbieter verwaltet mehr vom Betriebssystem,
Runtime
und Infrastruktur.
Merksatz:
PaaS = Plattform für Anwendungen,
ohne alles darunter selbst zu betreiben.
SaaS
SaaS steht für:
Software as a Service
Dabei nutzt der Kunde eine fertige Anwendung.
Beispiele:
E-Mail-Dienst
Online-Office
CRM-System
Ticketsystem
Cloud-Speicher
Videokonferenzdienst
Projektmanagement-Tool
Der Anbieter betreibt:
Anwendung
Plattform
Infrastruktur
Updates
Verfügbarkeit
Der Kunde kümmert sich vor allem um:
Benutzer
Berechtigungen
Daten
Einstellungen
Sicherheitsrichtlinien
Merksatz:
SaaS = fertige Software aus der Cloud.
IaaS, PaaS und SaaS vergleichen
Modell
Anbieter stellt bereit
Kunde verwaltet vor allem
IaaS
virtuelle Infrastruktur
Betriebssystem, Anwendung, Daten
PaaS
Plattform und Laufzeitumgebung
Anwendung, Daten, Konfiguration
SaaS
fertige Anwendung
Benutzer, Daten, Einstellungen
Merksatz:
IaaS gibt viel Kontrolle.
SaaS nimmt viel Betrieb ab.
PaaS liegt dazwischen.
Verantwortung bei Cloud
In der Cloud wird Verantwortung geteilt.
Der Anbieter ist nicht für alles verantwortlich.
Der Kunde bleibt verantwortlich für viele Dinge,
zum Beispiel:
- Benutzerkonten
- Berechtigungen
- Daten
- sichere Konfiguration
- Passwörter und MFA
- Netzfreigaben
- Zugriffskonzepte
- Compliance
- Backup-Strategie je nach Dienst
Merksatz:
Cloud bedeutet geteilte Verantwortung.
Shared Responsibility Model
Shared Responsibility Model bedeutet:
Anbieter und Kunde teilen sich Sicherheits- und Betriebsverantwortung.
Je nach Service-Modell verändert sich die Aufteilung.
Bei IaaS hat der Kunde mehr Verantwortung.
Bei SaaS übernimmt der Anbieter mehr Betrieb,
aber der Kunde bleibt für Benutzer,
Daten
und Berechtigungen verantwortlich.
Merksatz:
Je fertiger der Dienst,
desto mehr Betrieb übernimmt der Anbieter,
aber Kundendaten und Zugriffe bleiben Kundenthema.
Beispiel Shared Responsibility bei IaaS
Bei einer virtuellen Maschine in der Cloud:
Anbieter verantwortet typischerweise:
physische Hardware
Rechenzentrum
Strom
Kühlung
Virtualisierungsplattform
Grundinfrastruktur
Kunde verantwortet typischerweise:
Betriebssystem
Patches
Firewall-Regeln
Benutzerkonten
Anwendung
Daten
Backup
Sicherheitskonfiguration
Merksatz:
Cloud-VM ist nicht automatisch sicher gepatcht.
Beispiel Shared Responsibility bei SaaS
Bei einer SaaS-Anwendung:
Anbieter verantwortet typischerweise:
Betrieb der Anwendung
Infrastruktur
Plattform
Updates
technische Verfügbarkeit
Kunde verantwortet typischerweise:
Benutzerverwaltung
Rollen
MFA
Datenklassifizierung
Freigaben
Aufbewahrung
Konfiguration
Schulung
Merksatz:
SaaS nimmt Betrieb ab,
aber nicht die Verantwortung für Zugriffe und Daten.
Virtualisierung in der Cloud
Cloud basiert häufig auf Virtualisierung.
Virtualisierung bedeutet:
physische Hardware wird in mehrere virtuelle Ressourcen aufgeteilt.
Beispiele:
virtuelle Maschinen
virtuelle Netzwerke
virtuelle Festplatten
virtuelle Firewalls
virtuelle Load Balancer
Merksatz:
Virtualisierung ist eine technische Grundlage vieler Cloud-Dienste.
Container in der Cloud
Container sind eine moderne Form der Anwendungsbereitstellung.
Container enthalten:
Anwendung
Abhängigkeiten
Laufzeitumgebung
Sie teilen sich aber den Kernel des Hosts.
Cloud-Dienste können Container bereitstellen,
orchestrieren
und skalieren.
Merksatz:
Container verpacken Anwendungen portabel und leichtgewichtig.
Orchestrierung
Orchestrierung bedeutet:
automatisierte Verwaltung mehrerer Container oder Dienste.
Aufgaben:
Container starten
Container stoppen
Container verteilen
Skalierung
Updates
Health Checks
Netzwerke
Secrets
Rollbacks
Merksatz:
Orchestrierung verwaltet viele Container automatisch.
Kubernetes
Kubernetes ist eine verbreitete Plattform zur Container-Orchestrierung.
Es verwaltet:
Pods
Services
Deployments
Skalierung
Rollouts
Netzwerke
Konfigurationen
Secrets
Für Prüfungen reicht oft:
Kubernetes orchestriert Container.
Merksatz:
Kubernetes verwaltet Container-Anwendungen in Clustern.
Serverless
Serverless bedeutet nicht,
dass keine Server existieren.
Es bedeutet:
Der Kunde verwaltet keine einzelnen Server.
Der Anbieter betreibt die Infrastruktur.
Der Kunde stellt Funktionen oder Code bereit.
Beispiele:
Funktionen bei Ereignissen ausführen
automatische Skalierung
Abrechnung nach Ausführung oder Nutzung
Merksatz:
Serverless heißt:
keine Serververwaltung durch den Kunden.
Function as a Service
Function as a Service wird abgekürzt:
FaaS
Dabei wird eine Funktion ausgeführt,
wenn ein Ereignis eintritt.
Beispiele:
Datei wird hochgeladen.
Funktion verarbeitet Datei.
API-Aufruf startet Funktion.
Zeitplan löst Funktion aus.
Merksatz:
FaaS führt einzelne Funktionen ereignisgesteuert aus.
Cloud Storage
Cloud Storage ist Speicherplatz aus der Cloud.
Arten:
Objektspeicher
Blockspeicher
Dateispeicher
Typische Nutzung:
Backups
Dateien
Archivierung
Medien
Logs
Daten für Anwendungen
statische Webseiten
Merksatz:
Cloud Storage stellt Speicher als Dienst bereit.
Objektspeicher
Objektspeicher speichert Daten als Objekte.
Ein Objekt besteht typischerweise aus:
Dateiinhalt
Metadaten
eindeutiger Name oder Schlüssel
Typische Nutzung:
Backups
Bilder
Videos
Dokumente
Archivdaten
Logs
Merksatz:
Objektspeicher ist gut für große Mengen unstrukturierter Daten.
Blockspeicher
Blockspeicher stellt Speicherblöcke bereit,
ähnlich wie eine Festplatte für einen Server.
Typische Nutzung:
virtuelle Maschinen
Datenbanken
Betriebssystemplatten
Anwendungen mit Dateisystem
Merksatz:
Blockspeicher verhält sich eher wie eine virtuelle Festplatte.
Dateispeicher
Dateispeicher stellt Dateifreigaben bereit.
Typische Nutzung:
gemeinsame Dateisysteme
Anwendungen mit gemeinsamen Dateien
klassische Freigaben
Benutzerdateien
Merksatz:
Dateispeicher arbeitet mit Ordnern und Dateien.
Cloud-Netzwerke
Cloud-Umgebungen haben eigene Netzwerkstrukturen.
Typische Bestandteile:
virtuelle Netzwerke
Subnetze
Routingtabellen
Security Groups
Network Security Groups
Firewalls
Load Balancer
öffentliche IP-Adressen
private IP-Adressen
NAT-Gateways
VPN-Gateways
Merksatz:
Cloud-Netzwerke müssen genauso geplant werden wie lokale Netzwerke.
Virtuelles Netzwerk
Ein virtuelles Netzwerk ist ein logisch getrenntes Netz in der Cloud.
Es enthält:
Subnetze
virtuelle Maschinen
Dienste
Routing
Sicherheitsregeln
Je nach Anbieter heißt es unterschiedlich,
zum Beispiel VPC oder VNet.
Merksatz:
Virtuelles Netzwerk ist das Cloud-Gegenstück zum eigenen Netzsegment.
Subnetze in der Cloud
Cloud-Netze werden in Subnetze aufgeteilt.
Beispiele:
Web-Subnetz
App-Subnetz
Datenbank-Subnetz
Management-Subnetz
Public Subnet
Private Subnet
Merksatz:
Subnetze trennen Cloud-Ressourcen logisch.
Public Subnet
Ein Public Subnet enthält Ressourcen,
die direkt oder indirekt mit dem Internet verbunden sein können.
Beispiele:
Load Balancer
Bastion Host
öffentlich erreichbarer Webserver
Wichtig:
Nicht jede Ressource sollte öffentlich erreichbar sein.
Merksatz:
Public Subnet nur für wirklich öffentliche Komponenten nutzen.
Private Subnet
Ein Private Subnet enthält interne Ressourcen.
Beispiele:
Datenbankserver
interne Anwendung
Backend
interne APIs
Verarbeitungssysteme
Diese Ressourcen sind normalerweise nicht direkt aus dem Internet erreichbar.
Merksatz:
Private Subnet schützt interne Cloud-Ressourcen vor direktem Internetzugriff.
Security Group
Eine Security Group ist eine virtuelle Firewall-Regelgruppe für Cloud-Ressourcen.
Sie steuert häufig:
eingehenden Verkehr
ausgehenden Verkehr
Ports
Protokolle
Quellen
Ziele
Merksatz:
Security Group ist eine Firewall-Regelgruppe in der Cloud.
Network Security Group
Network Security Group wird oft abgekürzt:
NSG
Sie steuert Netzwerkverkehr auf Subnetz- oder Ressourceneebene,
je nach Cloud-Plattform.
Merksatz:
NSG regelt Netzwerkzugriffe in Cloud-Netzen.
Cloud-Firewall
Eine Cloud-Firewall schützt Cloud-Netze oder Cloud-Dienste.
Sie kann filtern nach:
IP-Adresse
Port
Protokoll
Richtung
Anwendung
Bedrohungssignatur
Zone
Merksatz:
Auch in der Cloud braucht man Firewall-Regeln.
Load Balancer
Ein Load Balancer verteilt Anfragen auf mehrere Ziele.
Ziele können sein:
virtuelle Maschinen
Container
Anwendungen
Backends
Vorteile:
höhere Verfügbarkeit
Lastverteilung
Wartung einzelner Systeme möglich
Skalierung
Merksatz:
Load Balancer verteilt Last auf mehrere Systeme.
Auto Scaling
Auto Scaling bedeutet:
Ressourcen werden automatisch erhöht oder reduziert.
Beispiel:
Bei hoher Last werden mehr Instanzen gestartet.
Bei geringer Last werden Instanzen beendet.
Vorteile:
bessere Anpassung an Last
Kostenkontrolle
höhere Verfügbarkeit
Merksatz:
Auto Scaling passt Ressourcen automatisch an Bedarf an.
Cloud und Hochverfügbarkeit
Cloud kann Hochverfügbarkeit unterstützen.
Möglichkeiten:
mehrere Verfügbarkeitszonen
mehrere Regionen
Load Balancer
Auto Scaling
replizierte Daten
Backup
Monitoring
automatische Wiederherstellung
Aber:
Hochverfügbarkeit muss geplant und konfiguriert werden.
Merksatz:
Cloud ist nicht automatisch hochverfügbar.
Verfügbarkeitszone
Eine Verfügbarkeitszone ist ein getrenntes Rechenzentrumssegment innerhalb einer Region.
Ziel:
Ausfall einer Zone soll nicht automatisch alle Dienste betreffen.
Beispiele:
Zone A
Zone B
Zone C
Merksatz:
Verfügbarkeitszonen helfen,
Ausfälle innerhalb einer Region abzufangen.
Region
Eine Region ist ein geografischer Standort eines Cloud-Anbieters.
Beispiele:
Deutschland
Europa
USA
Asien
Regionen sind wichtig für:
Latenz
Datenschutz
Ausfallsicherheit
Kosten
Compliance
Datenstandort
Merksatz:
Region bestimmt,
wo Cloud-Ressourcen geografisch betrieben werden.
Datenstandort
Datenstandort bedeutet:
In welchem Land oder welcher Region Daten gespeichert und verarbeitet werden.
Wichtig wegen:
Datenschutz
rechtlichen Anforderungen
Compliance
Latenz
Kundenanforderungen
Unternehmensrichtlinien
Merksatz:
Datenstandort ist bei Cloud-Diensten sicherheits- und rechtsrelevant.
Cloud-Kosten
Cloud-Kosten entstehen häufig durch:
Rechenleistung
Speicher
Datenübertragung
Datenbanknutzung
Lizenzen
Load Balancer
Backups
Logs
Monitoring
öffentliche IP-Adressen
Support
Wichtig:
Cloud ist flexibel,
aber nicht automatisch günstiger.
Merksatz:
Cloud-Kosten müssen überwacht und geplant werden.
OPEX und CAPEX
CAPEX bedeutet:
Investitionsausgaben
Beispiel:
Server kaufen
Storage kaufen
Netzwerkhardware kaufen
OPEX bedeutet:
Betriebsausgaben
Beispiel:
monatliche Cloud-Nutzung
Mietmodell
nutzungsabhängige Abrechnung
Cloud verschiebt Kosten häufig von CAPEX zu OPEX.
Merksatz:
Cloud macht aus Kaufkosten häufig laufende Nutzungskosten.
Pay as you go
Pay as you go bedeutet:
Man bezahlt nach Nutzung.
Beispiele:
pro Stunde
pro GB
pro Anfrage
pro Benutzer
pro Ausführung
pro übertragenem Datenvolumen
Vorteil:
flexible Abrechnung
Risiko:
unerwartete Kosten bei Fehlkonfiguration oder hoher Nutzung
Merksatz:
Pay as you go ist flexibel,
braucht aber Kostenkontrolle.
Cloud-Sicherheit
Cloud-Sicherheit umfasst:
Identitätsmanagement
MFA
Rollen und Rechte
Netzwerksicherheit
Verschlüsselung
Logging
Monitoring
Backup
Patchmanagement
sichere Konfiguration
Datenklassifizierung
Compliance
Merksatz:
Cloud-Sicherheit ist mehr als Anbieter auswählen.
Identity and Access Management
Identity and Access Management wird oft abgekürzt:
IAM
IAM regelt:
Benutzer
Gruppen
Rollen
Berechtigungen
Servicekonten
API-Schlüssel
MFA
Zugriff auf Ressourcen
Merksatz:
IAM entscheidet,
wer was in der Cloud darf.
Cloud-Rollen
Cloud-Zugriffe sollten über Rollen gesteuert werden.
Beispiele:
Leser
Administrator
Netzwerkadministrator
Sicherheitsadministrator
Datenbankadministrator
Entwickler
Abrechnungszugriff
Merksatz:
Rollen helfen,
Cloud-Rechte nach Aufgabe zu vergeben.
Least Privilege in der Cloud
Auch in der Cloud gilt:
so wenig Rechte wie möglich,
so viele wie nötig.
Nicht gut:
alle Benutzer sind Administratoren
API-Schlüssel mit Vollzugriff
öffentliche Speichercontainer
Datenbank öffentlich erreichbar
Managementport offen im Internet
Merksatz:
Least Privilege ist in der Cloud besonders wichtig.
Cloud-Fehlkonfigurationen
Viele Cloud-Sicherheitsvorfälle entstehen durch Fehlkonfigurationen.
Beispiele:
Speicher öffentlich lesbar
Datenbank öffentlich erreichbar
zu breite Security Group
Adminrechte für zu viele Benutzer
fehlende MFA
offene Managementports
unverschlüsselte Daten
keine Logs
keine Kostenlimits
Merksatz:
Cloud-Fehler entstehen häufig durch falsche Konfiguration,
nicht durch defekte Technik.
Cloud-Logging
Cloud-Logs zeigen:
Anmeldungen
API-Aufrufe
Änderungen an Ressourcen
Netzwerkzugriffe
Firewall-Entscheidungen
Fehlermeldungen
Sicherheitsereignisse
Abrechnungsereignisse
Wichtig:
Logs aktivieren
Logs schützen
Logs zentral auswerten
Aufbewahrung regeln
Merksatz:
Cloud-Logs zeigen,
wer was wann geändert hat.
Cloud-Monitoring
Cloud-Monitoring überwacht:
Verfügbarkeit
CPU
RAM
Speicher
Datenbanklast
Netzwerkverkehr
Fehlerquoten
Antwortzeiten
Kosten
Zertifikate
Sicherheitsereignisse
Merksatz:
Cloud-Monitoring ist für Betrieb,
Sicherheit
und Kostenkontrolle wichtig.
Backup in der Cloud
Cloud-Dienste brauchen Backup-Konzepte.
Wichtig:
Was wird gesichert?
Wie oft?
Wie lange?
Wo wird gespeichert?
Wer darf wiederherstellen?
Wurde Wiederherstellung getestet?
Ist Backup vor Löschung oder Ransomware geschützt?
Merksatz:
Cloud ersetzt nicht automatisch Backup.
Cloud und Datenschutz
Bei Cloud-Diensten müssen Datenschutzanforderungen beachtet werden.
Wichtige Fragen:
Welche Daten werden verarbeitet?
Wo werden Daten gespeichert?
Wer hat Zugriff?
Gibt es Auftragsverarbeitung?
Sind Daten verschlüsselt?
Gibt es Löschkonzepte?
Werden Logs personenbezogen?
Welche Anbieterbedingungen gelten?
Merksatz:
Cloud-Nutzung braucht Datenschutzprüfung.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was bedeutet Cloud Computing?
- Was ist der Unterschied zwischen On-Premises und Cloud?
- Was ist Public Cloud?
- Was ist Private Cloud?
- Was ist Hybrid Cloud?
- Was ist Multi Cloud?
- Was bedeutet IaaS?
- Was bedeutet PaaS?
- Was bedeutet SaaS?
- Was ist das Shared Responsibility Model?
- Wer ist bei einer Cloud-VM für Betriebssystemupdates verantwortlich?
- Was ist Serverless?
- Was ist Auto Scaling?
- Was ist ein Load Balancer?
- Warum ist IAM in der Cloud wichtig?
- Warum ist Cloud nicht automatisch sicher?
- Warum ist Cloud nicht automatisch günstiger?
- Warum braucht Cloud Backup und Monitoring?
Typische Prüfungsfallen
Cloud bedeutet nicht automatisch Internetseite.
Cloud bedeutet nicht automatisch weniger Verantwortung.
On-Premises ist lokal selbst betrieben.
Public Cloud ist Anbieterplattform für viele Kunden.
Private Cloud ist Cloud-Prinzip für eine Organisation.
Hybrid Cloud kombiniert lokal und Cloud.
Multi Cloud nutzt mehrere Anbieter.
IaaS ist virtuelle Infrastruktur.
PaaS ist Plattform für Anwendungen.
SaaS ist fertige Software.
Shared Responsibility bedeutet geteilte Verantwortung.
Cloud-VM muss der Kunde oft selbst patchen.
SaaS-Benutzerrechte bleiben Kundenthema.
Serverless heißt nicht serverfrei.
Cloud ist nicht automatisch hochverfügbar.
Cloud ist nicht automatisch günstiger.
Pay as you go braucht Kostenkontrolle.
IAM ist zentral für Cloud-Sicherheit.
Öffentliche Speicherfreigaben sind gefährlich.
Cloud braucht Backup,
Logs
und Monitoring.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Cloud
IT-Ressourcen als Dienst
On-Premises
lokal selbst betrieben
Public Cloud
öffentliche Anbieterplattform
Private Cloud
Cloud für eine Organisation
Hybrid Cloud
Mischung aus lokal und Cloud
Multi Cloud
mehrere Cloud-Anbieter
Community Cloud
Cloud für bestimmte Gruppe
IaaS
Infrastructure as a Service
PaaS
Platform as a Service
SaaS
Software as a Service
Shared Responsibility
geteilte Verantwortung
Virtualisierung
Aufteilen physischer Ressourcen
Container
portable Anwendungseinheit
Orchestrierung
automatische Verwaltung vieler Dienste
Kubernetes
Container-Orchestrierung
Serverless
keine Serververwaltung durch Kunden
FaaS
Function as a Service
Cloud Storage
Speicher aus der Cloud
Objektspeicher
Speicher für Objekte mit Metadaten
Blockspeicher
virtuelle Festplatte
Dateispeicher
Dateifreigabe als Dienst
VPC / VNet
virtuelles Cloud-Netz
Public Subnet
öffentlich angebundenes Subnetz
Private Subnet
internes Cloud-Subnetz
Security Group
virtuelle Firewall-Regelgruppe
Load Balancer
verteilt Anfragen
Auto Scaling
automatische Skalierung
Region
geografischer Cloud-Standort
Verfügbarkeitszone
getrennte Zone innerhalb Region
IAM
Identitäts- und Rechteverwaltung
CAPEX
Investitionsausgaben
OPEX
Betriebsausgaben
IHK-sichere Kurzformulierung
Cloud Computing bedeutet, dass IT-Ressourcen wie Rechenleistung, Speicher, Datenbanken, Plattformen oder Anwendungen über ein Netzwerk als Dienst bereitgestellt werden. Bei On-Premises betreibt ein Unternehmen seine IT lokal selbst, während Public Cloud von einem Anbieter für viele Kunden bereitgestellt wird. Private Cloud nutzt Cloud-Prinzipien für eine Organisation, Hybrid Cloud kombiniert lokale IT und Cloud, und Multi Cloud nutzt mehrere Anbieter. Die wichtigsten Service-Modelle sind IaaS, PaaS und SaaS. Beim Shared Responsibility Model teilen sich Anbieter und Kunde die Verantwortung. Der Anbieter betreibt je nach Modell Teile der Infrastruktur, der Kunde bleibt aber für Benutzer, Daten, Berechtigungen, sichere Konfiguration, Backup, Monitoring und Compliance verantwortlich.
Merksätze
Cloud = IT-Ressourcen als Dienst.
On-Premises = lokal selbst betrieben.
Public Cloud = Anbieterplattform für viele Kunden.
Private Cloud = Cloud für eine Organisation.
Hybrid Cloud = lokal plus Cloud.
Multi Cloud = mehrere Anbieter.
IaaS = virtuelle Infrastruktur.
PaaS = Plattform für Anwendungen.
SaaS = fertige Software.
Shared Responsibility = geteilte Verantwortung.
Je fertiger der Dienst,
desto mehr Betrieb übernimmt der Anbieter.
Kundendaten und Zugriffe bleiben Kundenthema.
Cloud-VM ist nicht automatisch gepatcht.
SaaS braucht Benutzer- und Rechteverwaltung.
Virtualisierung ist Grundlage vieler Cloud-Dienste.
Container verpacken Anwendungen.
Kubernetes orchestriert Container.
Serverless heißt nicht serverfrei.
FaaS führt Funktionen ereignisgesteuert aus.
Cloud Storage kann Objekt,
Block
oder Datei sein.
Cloud-Netze müssen geplant werden.
Security Groups sind virtuelle Firewall-Regeln.
Load Balancer verteilt Last.
Auto Scaling passt Ressourcen automatisch an.
Cloud ist nicht automatisch hochverfügbar.
Region bestimmt Datenstandort.
Cloud ist nicht automatisch günstiger.
Pay as you go braucht Kostenkontrolle.
IAM ist zentral für Cloud-Sicherheit.
Least Privilege gilt auch in der Cloud.
Cloud-Fehlkonfigurationen sind häufige Risiken.
Cloud braucht Logs,
Monitoring,
Backup
und Datenschutzprüfung.
15.2 IaaS, PaaS und SaaS im Detail
IaaS,
PaaS
und SaaS sind die wichtigsten Cloud-Service-Modelle.
Sie beschreiben,
welche Teile der IT vom Anbieter bereitgestellt werden
und welche Teile der Kunde selbst verwaltet.
Die drei Begriffe stehen für:
IaaS:
Infrastructure as a Service
PaaS:
Platform as a Service
SaaS:
Software as a Service
Merksatz:
IaaS,
PaaS
und SaaS unterscheiden sich vor allem durch die Verantwortungsverteilung.
Warum sind Service-Modelle wichtig?
In Prüfungen und in der Praxis muss man erkennen können:
Was betreibt der Anbieter?
Was betreibt der Kunde?
Wer ist für Updates verantwortlich?
Wer kümmert sich um Benutzer?
Wer sichert Daten?
Wer konfiguriert die Anwendung?
Wer schützt Zugänge?
Das ist wichtig,
weil Cloud nicht bedeutet,
dass der Anbieter automatisch alles übernimmt.
Merksatz:
Cloud-Nutzung heißt nicht:
keine eigene Verantwortung mehr.
Grundidee der drei Modelle
Vereinfacht:
IaaS:
Der Anbieter liefert die technische Infrastruktur.
PaaS:
Der Anbieter liefert zusätzlich die Plattform für Anwendungen.
SaaS:
Der Anbieter liefert die fertige Anwendung.
Je weiter man von IaaS zu SaaS geht,
desto mehr übernimmt der Anbieter.
Merksatz:
IaaS = viel Kontrolle.
SaaS = viel fertiger Dienst.
PaaS = dazwischen.
Vergleich in Kurzform
Modell
Kunde bekommt
Kunde verwaltet vor allem
IaaS
virtuelle Infrastruktur
Betriebssystem, Anwendung, Daten
PaaS
Plattform für Anwendungen
Anwendung, Daten, Konfiguration
SaaS
fertige Anwendung
Benutzer, Rechte, Daten, Einstellungen
Merksatz:
Je fertiger der Dienst,
desto weniger technische Basis verwaltet der Kunde selbst.
IaaS im Detail
IaaS bedeutet:
Infrastructure as a Service
Der Anbieter stellt grundlegende Infrastruktur bereit.
Dazu gehören zum Beispiel:
- virtuelle Maschinen
- virtuelle Netzwerke
- virtuelle Festplatten
- Firewalls
- Load Balancer
- öffentliche IP-Adressen
- private IP-Adressen
- Snapshots
- Storage
- Routingtabellen
Der Kunde baut darauf seine Systeme auf.
Merksatz:
IaaS ist wie ein gemieteter virtueller Serverraum.
Typische IaaS-Beispiele
Typische IaaS-Ressourcen:
virtuelle Server
virtuelle Router
virtuelle Firewalls
virtuelle Netzwerke
Block Storage
Object Storage
Load Balancer
VPN-Gateway
Backup-Speicher
Typische Nutzung:
eigene Anwendungen betreiben
eigene Server migrieren
Testumgebungen aufbauen
Entwicklungsumgebungen bereitstellen
Disaster Recovery vorbereiten
Merksatz:
IaaS eignet sich,
wenn man viel Kontrolle über Server und Netzwerk braucht.
Was übernimmt der Anbieter bei IaaS?
Der Anbieter übernimmt typischerweise:
Rechenzentrum
physische Server
Stromversorgung
Kühlung
physische Netzwerkanbindung
Hardwarewartung
Virtualisierungsplattform
Grundverfügbarkeit der Infrastruktur
Der Kunde muss sich nicht selbst um physische Hardware kümmern.
Merksatz:
Bei IaaS übernimmt der Anbieter vor allem die physische und virtuelle Basis.
Was übernimmt der Kunde bei IaaS?
Der Kunde übernimmt typischerweise:
Betriebssysteminstallation
Betriebssystemupdates
Benutzerkonten
Firewall-Konfiguration
Anwendungsinstallation
Anwendungskonfiguration
Daten
Backups
Monitoring
Sicherheitskonfiguration
Patches innerhalb der VM
Merksatz:
Eine Cloud-VM muss der Kunde meistens selbst administrieren.
IaaS-Vorteile
Vorteile:
hohe Kontrolle
flexible Servergrößen
schnelle Bereitstellung
keine eigene Hardwarebeschaffung
gut für Migration vorhandener Server
gut für individuelle Anwendungen
skalierbare Infrastruktur
netzwerktechnisch flexibel
Merksatz:
IaaS bietet viel Flexibilität und Kontrolle.
IaaS-Nachteile
Nachteile:
Kunde muss viel selbst verwalten
Betriebssystempflege bleibt notwendig
Sicherheitskonfiguration bleibt Kundenthema
Fehlkonfigurationen möglich
Kosten können steigen
Monitoring und Backup müssen geplant werden
Know-how für Betrieb nötig
Merksatz:
IaaS nimmt Hardware ab,
aber nicht den Serverbetrieb.
IaaS-Prüfungsbeispiel
Aufgabe:
Ein Unternehmen betreibt eine virtuelle Linux-VM in der Cloud.
Darauf läuft eine eigene Webanwendung.
Frage:
Wer ist für Betriebssystemupdates verantwortlich?
Antwort:
In der Regel der Kunde.
Warum?
Der Anbieter stellt die Infrastruktur.
Der Kunde betreibt Betriebssystem und Anwendung.
Merksatz:
Cloud-VM heißt nicht:
Anbieter patcht automatisch das Betriebssystem.
PaaS im Detail
PaaS bedeutet:
Platform as a Service
Der Anbieter stellt eine Plattform bereit,
auf der Anwendungen betrieben werden können.
Der Kunde muss sich nicht direkt um die darunterliegende Infrastruktur kümmern.
Typische Bestandteile:
Laufzeitumgebung
Web-App-Plattform
verwaltete Datenbank
Middleware
Build- und Deployment-Funktionen
Skalierungsfunktionen
Monitoring-Grundfunktionen
Merksatz:
PaaS ist eine fertige Plattform für eigene Anwendungen.
Typische PaaS-Beispiele
Typische PaaS-Angebote:
verwaltete Datenbank
Web-App-Service
App-Plattform
Containerplattform als Dienst
Entwicklungsplattform
API-Plattform
Message Queue als Dienst
Cache-Dienst
Laufzeitumgebung für Code
Typische Nutzung:
eigene Anwendung bereitstellen,
ohne Serverbetrieb im Detail zu übernehmen.
Merksatz:
PaaS ist gut,
wenn man Anwendung betreiben will,
aber weniger Serververwaltung möchte.
Was übernimmt der Anbieter bei PaaS?
Der Anbieter übernimmt typischerweise:
physische Infrastruktur
Virtualisierung
Betriebssystembasis
Laufzeitumgebung
Plattformupdates
Skalierungsmechanismen
Teile des Monitorings
Hochverfügbarkeitsfunktionen je nach Dienst
Merksatz:
Bei PaaS übernimmt der Anbieter mehr als bei IaaS.
Was übernimmt der Kunde bei PaaS?
Der Kunde übernimmt typischerweise:
Anwendungscode
Anwendungskonfiguration
Daten
Benutzer und Rollen
Zugriffsschlüssel
API-Konfiguration
sichere Einstellungen
fachliche Backups je nach Dienst
Berechtigungen
Datenschutz und Compliance
Merksatz:
Bei PaaS bleibt die Anwendung Kundenthema.
PaaS-Vorteile
Vorteile:
weniger Serveradministration
schnellere Entwicklung
einfachere Skalierung
integrierte Plattformfunktionen
weniger Betriebssystempflege
oft automatische Updates der Plattform
gut für moderne Anwendungen
häufig gute Integration in DevOps-Prozesse
Merksatz:
PaaS entlastet vom Betrieb der technischen Basis.
PaaS-Nachteile
Nachteile:
weniger Kontrolle über darunterliegende Systeme
Abhängigkeit von Plattformfunktionen
mögliche Anbieterbindung
Einschränkungen bei Spezialkonfigurationen
Kostenmodell muss verstanden werden
Fehlkonfigurationen weiterhin möglich
Merksatz:
PaaS nimmt Arbeit ab,
kann aber stärker an den Anbieter binden.
PaaS-Prüfungsbeispiel
Aufgabe:
Ein Unternehmen nutzt eine verwaltete Datenbank in der Cloud.
Frage:
Muss das Unternehmen den Datenbankserver selbst installieren?
Antwort:
Nein.
Aber das Unternehmen bleibt verantwortlich für:
Daten
Benutzerrechte
Zugriffskonfiguration
Backup-Einstellungen je nach Dienst
sichere Konfiguration
Merksatz:
Verwaltete Datenbank bedeutet nicht:
keine Datenverantwortung.
SaaS im Detail
SaaS bedeutet:
Software as a Service
Der Kunde nutzt eine fertige Anwendung,
die vom Anbieter betrieben wird.
Typische Beispiele:
E-Mail
Online-Office
CRM
Ticketsystem
Videokonferenzdienst
Projektmanagement
Cloud-Speicher
Buchhaltungssystem
Lernplattform
Merksatz:
SaaS ist fertige Software aus der Cloud.
Was übernimmt der Anbieter bei SaaS?
Der Anbieter übernimmt typischerweise:
Anwendung
Plattform
Infrastruktur
Updates
Wartung
Grundverfügbarkeit
technische Skalierung
technische Sicherheitsmaßnahmen
Betrieb der Datenbank
Betrieb der Server
Merksatz:
Bei SaaS übernimmt der Anbieter den größten Teil des technischen Betriebs.
Was übernimmt der Kunde bei SaaS?
Der Kunde übernimmt typischerweise:
Benutzerkonten
Rollen
Berechtigungen
MFA-Einstellungen
Datenklassifizierung
Freigaben
Aufbewahrungsrichtlinien
Löschkonzepte
Schulung der Benutzer
sichere Konfiguration
Vertrags- und Datenschutzprüfung
Merksatz:
SaaS nimmt Betrieb ab,
aber nicht Benutzer-,
Rechte-
und Datenverantwortung.
SaaS-Vorteile
Vorteile:
schnell nutzbar
keine eigene Serverinstallation
automatische Updates durch Anbieter
ortsunabhängiger Zugriff
einfache Skalierung nach Benutzern
oft geringe Einstiegshürde
gute Zusammenarbeit
weniger technischer Betrieb
Merksatz:
SaaS ist schnell einsatzbereit und reduziert Betriebsaufwand.
SaaS-Nachteile
Nachteile:
weniger technische Kontrolle
Abhängigkeit vom Anbieter
Datenstandort prüfen
Datenschutz prüfen
Lizenzkosten beachten
Internetabhängigkeit
eingeschränkte Anpassbarkeit
falsche Freigaben können Daten offenlegen
Merksatz:
SaaS ist bequem,
braucht aber sorgfältige Rechte- und Datenschutzkontrolle.
SaaS-Prüfungsbeispiel
Aufgabe:
Ein Unternehmen nutzt einen Cloud-E-Mail-Dienst.
Frage:
Wer ist für Benutzerrechte,
MFA
und Postfachfreigaben verantwortlich?
Antwort:
Der Kunde.
Der Anbieter betreibt den Dienst,
aber der Kunde verwaltet Zugriffe und Einstellungen.
Merksatz:
SaaS-Anbieter betreibt die Software,
der Kunde verwaltet Nutzung und Zugriff.
Verantwortungsschichten
Man kann IT grob in Schichten betrachten:
Daten
Anwendung
Laufzeitumgebung
Middleware
Betriebssystem
Virtualisierung
Server
Speicher
Netzwerk
Rechenzentrum
Je nach Service-Modell verschiebt sich Verantwortung.
Merksatz:
Service-Modelle verschieben Verantwortung zwischen Anbieter und Kunde.
Verantwortung grob vergleichen
Schicht
IaaS
PaaS
SaaS
Daten
Kunde
Kunde
Kunde
Benutzer und Rechte
Kunde
Kunde
Kunde
Anwendung
Kunde
Kunde
Anbieter
Laufzeitumgebung
Kunde
Anbieter
Anbieter
Betriebssystem
Kunde
Anbieter
Anbieter
Virtualisierung
Anbieter
Anbieter
Anbieter
Physische Server
Anbieter
Anbieter
Anbieter
Rechenzentrum
Anbieter
Anbieter
Anbieter
Merksatz:
Daten,
Benutzer
und Rechte bleiben fast immer Kundenthema.
Shared Responsibility Model
Das Shared Responsibility Model beschreibt,
wie sich Anbieter und Kunde Verantwortung teilen.
Wichtig:
Es gibt keine pauschale Antwort für alle Dienste.
Die genaue Verantwortung hängt ab von:
Service-Modell
Anbieter
Vertrag
Dienstkonfiguration
Sicherheitsoptionen
Unternehmensrichtlinien
Merksatz:
Shared Responsibility immer konkret für den genutzten Dienst prüfen.
Typischer Denkfehler
Falsch:
Das ist Cloud,
also kümmert sich der Anbieter um Sicherheit.
Richtig:
Der Anbieter kümmert sich je nach Modell um Teile der Sicherheit.
Der Kunde bleibt für sichere Nutzung,
Konfiguration,
Daten,
Identitäten
und Berechtigungen verantwortlich.
Merksatz:
Cloud-Sicherheit ist gemeinsame Verantwortung.
Beispiel: Unsichere IaaS-Konfiguration
Ein Unternehmen betreibt eine VM in der Cloud.
Fehler:
SSH offen für das gesamte Internet
schwaches Passwort
keine Updates
keine Host-Firewall
keine Backups
keine Logs
Obwohl die Cloud-Infrastruktur sicher betrieben wird,
ist die VM unsicher konfiguriert.
Merksatz:
IaaS-Fehlkonfigurationen liegen oft beim Kunden.
Beispiel: Unsichere PaaS-Konfiguration
Ein Unternehmen nutzt eine verwaltete Datenbank.
Fehler:
Datenbank öffentlich erreichbar
zu breite IP-Freigabe
schwache Zugangsdaten
keine Verschlüsselung erzwungen
keine Backups aktiviert
Adminzugang für zu viele Benutzer
Merksatz:
PaaS muss sicher konfiguriert werden.
Beispiel: Unsichere SaaS-Konfiguration
Ein Unternehmen nutzt Cloud-Speicher.
Fehler:
Ordner öffentlich freigegeben
Gastzugriff zu breit erlaubt
MFA nicht aktiviert
alte Benutzerkonten aktiv
externe Freigaben nicht geprüft
keine Aufbewahrungsrichtlinien
Merksatz:
SaaS-Fehler entstehen oft durch falsche Freigaben und Rechte.
Lift and Shift
Lift and Shift bedeutet:
bestehende Server oder Anwendungen werden möglichst unverändert in die Cloud verschoben.
Beispiel:
lokaler Windows-Server
wird als Cloud-VM betrieben.
Vorteil:
schnelle Migration
Nachteil:
Cloud-Vorteile wie PaaS,
Skalierung
und Automatisierung werden oft nur teilweise genutzt.
Merksatz:
Lift and Shift verschiebt Systeme,
modernisiert sie aber nicht automatisch.
Cloud-native
Cloud-native bedeutet:
Anwendungen werden speziell für Cloud-Umgebungen entwickelt oder angepasst.
Typische Merkmale:
Skalierbarkeit
Automatisierung
Container
Microservices
API-orientierte Architektur
Monitoring
schnelle Bereitstellung
Resilienz
Merksatz:
Cloud-native nutzt Cloud-Prinzipien bewusst aus.
Managed Service
Ein Managed Service ist ein Dienst,
bei dem der Anbieter Betrieb und Wartung teilweise übernimmt.
Beispiele:
verwaltete Datenbank
verwalteter Kubernetes-Cluster
verwalteter Cache
verwaltete Firewall
verwaltetes Backup
Merksatz:
Managed Service reduziert Betriebsaufwand,
aber nicht automatisch Kundenverantwortung.
Self-Managed
Self-Managed bedeutet:
Der Kunde betreibt und verwaltet einen Dienst selbst.
Beispiel:
Datenbank selbst auf einer Cloud-VM installieren.
Der Kunde ist dann verantwortlich für:
Installation
Updates
Backup
Sicherheit
Monitoring
Skalierung
Wiederherstellung
Merksatz:
Self-Managed gibt Kontrolle,
aber auch Betriebsverantwortung.
Managed und Self-Managed vergleichen
Merkmal
Managed Service
Self-Managed
Betrieb
Anbieter übernimmt mehr
Kunde übernimmt mehr
Kontrolle
etwas geringer
höher
Wartung
geringer für Kunden
höher
Flexibilität
abhängig vom Dienst
oft höher
Verantwortung
geteilt
stärker beim Kunden
Beispiel
Cloud-Datenbank
Datenbank auf eigener VM
Merksatz:
Managed spart Betrieb.
Self-Managed gibt Kontrolle.
As-a-Service-Prinzip
As a Service bedeutet:
Eine IT-Funktion wird als Dienst bereitgestellt.
Neben IaaS,
PaaS
und SaaS gibt es weitere Begriffe.
Beispiele:
Backup as a Service
Database as a Service
Desktop as a Service
Security as a Service
Function as a Service
Network as a Service
Merksatz:
As a Service bedeutet:
Nutzung als Dienst statt vollständig eigener Betrieb.
DaaS
DaaS kann je nach Kontext bedeuten:
Desktop as a Service
oder:
Database as a Service
In Prüfungen muss man auf den Kontext achten.
Desktop as a Service:
virtuelle Desktops aus der Cloud
Database as a Service:
verwaltete Datenbank als Cloud-Dienst
Merksatz:
DaaS immer im Kontext lesen.
FaaS
FaaS steht für:
Function as a Service
Dabei werden einzelne Funktionen ausgeführt,
wenn ein Ereignis eintritt.
Beispiel:
Datei wird hochgeladen.
Funktion startet automatisch.
Datei wird verarbeitet.
FaaS gehört oft zum Serverless-Bereich.
Merksatz:
FaaS führt Code ereignisgesteuert aus.
BaaS
BaaS kann bedeuten:
Backup as a Service
oder:
Backend as a Service
Backup as a Service:
Backups werden als Cloud-Dienst bereitgestellt.
Backend as a Service:
Backend-Funktionen für Anwendungen werden bereitgestellt,
zum Beispiel Authentifizierung,
Datenbank
oder Push-Benachrichtigungen.
Merksatz:
BaaS ebenfalls immer im Kontext verstehen.
XaaS
XaaS steht für:
Anything as a Service
oder:
Everything as a Service
Es ist ein Sammelbegriff für viele Dienste,
die als Cloud-Service bereitgestellt werden.
Merksatz:
XaaS ist ein Oberbegriff für Dienste aus der Cloud.
Typische Einordnung von Beispielen
Beispiel
Service-Modell
virtuelle Maschine
IaaS
virtueller Datenträger
IaaS
virtuelles Netzwerk
IaaS
verwaltete Datenbank
PaaS
Web-App-Plattform
PaaS
Containerplattform als Dienst
PaaS
fertiges E-Mail-System
SaaS
Online-Office
SaaS
CRM aus der Cloud
SaaS
Ticketsystem aus der Cloud
SaaS
einzelne Funktion bei Ereignis
FaaS / Serverless
Merksatz:
Frage immer:
Nutze ich Infrastruktur,
Plattform
oder fertige Software?
Entscheidungshilfe
Ziel
passendes Modell
maximale Kontrolle über Server
IaaS
eigene Anwendung ohne Serverbetrieb
PaaS
fertige Anwendung schnell nutzen
SaaS
Ereignisgesteuerte kleine Funktionen
FaaS
klassische Servermigration
IaaS / Lift and Shift
moderne skalierbare Anwendung
PaaS / Container / Serverless
Merksatz:
Das Modell richtet sich nach Kontrolle,
Aufwand
und Anwendungszweck.
Kostenunterschiede
IaaS,
PaaS
und SaaS haben unterschiedliche Kostenmodelle.
IaaS:
VM-Laufzeit
Speicher
Netzwerkverkehr
Backups
PaaS:
Dienstgröße
Nutzung
Datenbankleistung
Anfragen
Speicher
SaaS:
Benutzerlizenzen
Funktionspakete
Speicher
Zusatzmodule
Merksatz:
Cloud-Kosten entstehen je nach Service-Modell unterschiedlich.
Sicherheitsunterschiede
IaaS:
Kunde muss Server stark selbst absichern.
PaaS:
Kunde muss Anwendung,
Daten
und Zugriff absichern.
SaaS:
Kunde muss Benutzer,
Rollen,
Freigaben
und Daten absichern.
Merksatz:
Sicherheit verlagert sich,
verschwindet aber nicht.
Betriebsunterschiede
IaaS:
viel Betrieb beim Kunden
PaaS:
mittlerer Betrieb beim Kunden
SaaS:
wenig technischer Betrieb beim Kunden
Aber:
Fachliche Administration bleibt bei allen Modellen wichtig.
Merksatz:
Weniger technischer Betrieb heißt nicht keine Administration.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was bedeutet IaaS?
- Was bedeutet PaaS?
- Was bedeutet SaaS?
- Worin unterscheiden sich IaaS, PaaS und SaaS?
- Wer ist bei IaaS für Betriebssystemupdates verantwortlich?
- Wer verwaltet bei SaaS Benutzer und Rechte?
- Was bedeutet Shared Responsibility?
- Warum ist eine Cloud-VM nicht automatisch sicher?
- Was ist ein Managed Service?
- Was ist Self-Managed?
- Was bedeutet Lift and Shift?
- Was bedeutet Cloud-native?
- Was ist FaaS?
- Warum ist Hashing oder Verschlüsselung allein kein Ersatz für Rechteverwaltung?
- Warum bleibt der Kunde auch bei SaaS für Daten verantwortlich?
Typische Prüfungsfallen
IaaS ist nicht fertige Software.
SaaS ist nicht eigener Server.
PaaS liegt zwischen IaaS und SaaS.
Cloud-VMs muss der Kunde oft selbst patchen.
Verwaltete Datenbank heißt nicht:
Daten sind automatisch korrekt geschützt.
SaaS heißt nicht:
alle Benutzerrechte sind automatisch sicher.
Shared Responsibility gilt immer konkret je Dienst.
Daten bleiben Kundenthema.
Benutzer und Rechte bleiben Kundenthema.
Backup muss geprüft werden.
Cloud ist nicht automatisch sicher.
Cloud ist nicht automatisch günstiger.
Managed Service reduziert Betrieb,
aber nicht Verantwortung.
Lift and Shift modernisiert nicht automatisch.
Serverless heißt nicht,
dass keine Server existieren.
FaaS führt Funktionen ereignisgesteuert aus.
DaaS und BaaS im Kontext lesen.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
IaaS
Infrastructure as a Service
PaaS
Platform as a Service
SaaS
Software as a Service
Shared Responsibility
geteilte Verantwortung zwischen Anbieter und Kunde
Cloud-VM
virtuelle Maschine in der Cloud
Managed Service
Anbieter übernimmt Teile des Betriebs
Self-Managed
Kunde betreibt Dienst selbst
Lift and Shift
bestehendes System in Cloud verschieben
Cloud-native
speziell für Cloud-Prinzipien entwickelt
FaaS
Function as a Service
DaaS
je nach Kontext Desktop oder Database as a Service
BaaS
je nach Kontext Backup oder Backend as a Service
XaaS
Sammelbegriff für Dienste als Service
Plattform
Umgebung zum Ausführen von Anwendungen
Runtime
Laufzeitumgebung für Anwendungscode
Middleware
Software zwischen Betriebssystem und Anwendung
Service-Modell
beschreibt Verantwortungsverteilung
Anbieter
Cloud-Provider oder Dienstleister
Kunde
nutzende Organisation
Rechteverwaltung
Steuerung von Zugriffen
Konfiguration
technische und fachliche Einstellung eines Dienstes
IHK-sichere Kurzformulierung
IaaS, PaaS und SaaS sind Cloud-Service-Modelle, die beschreiben, welche IT-Schichten vom Anbieter bereitgestellt werden und welche der Kunde selbst verwaltet. Bei IaaS stellt der Anbieter virtuelle Infrastruktur wie Server, Speicher und Netzwerke bereit, während der Kunde Betriebssystem, Anwendungen, Daten und Sicherheit innerhalb der Systeme verwaltet. Bei PaaS stellt der Anbieter zusätzlich Plattform und Laufzeitumgebung bereit, sodass der Kunde sich stärker auf Anwendung und Daten konzentriert. Bei SaaS nutzt der Kunde eine fertige Anwendung, bleibt aber für Benutzer, Rollen, Berechtigungen, Daten, Freigaben und sichere Konfiguration verantwortlich. Das Shared Responsibility Model beschreibt diese geteilte Verantwortung.
Merksätze
IaaS = Infrastructure as a Service.
PaaS = Platform as a Service.
SaaS = Software as a Service.
IaaS liefert virtuelle Infrastruktur.
PaaS liefert Plattform für Anwendungen.
SaaS liefert fertige Software.
IaaS gibt viel Kontrolle.
SaaS nimmt viel Betrieb ab.
PaaS liegt dazwischen.
Cloud-VM muss Kunde meist selbst patchen.
PaaS-Anwendung bleibt Kundenthema.
SaaS-Rechte bleiben Kundenthema.
Daten bleiben fast immer Kundenthema.
Benutzer und Rollen bleiben fast immer Kundenthema.
Shared Responsibility konkret prüfen.
Cloud-Sicherheit ist gemeinsame Verantwortung.
Managed Service reduziert Betriebsaufwand.
Self-Managed erhöht Verantwortung.
Lift and Shift verschiebt,
modernisiert aber nicht automatisch.
Cloud-native nutzt Cloud-Prinzipien.
Serverless heißt keine Serververwaltung durch Kunden.
FaaS führt Funktionen bei Ereignissen aus.
XaaS ist Sammelbegriff.
Frage immer:
Infrastruktur,
Plattform
oder fertige Anwendung?
Weniger technischer Betrieb heißt nicht:
keine Administration.
Cloud ist nicht automatisch sicher.
Cloud ist nicht automatisch günstiger.
15.3 Public Cloud, Private Cloud, Hybrid Cloud und Multi Cloud
Cloud kann unterschiedlich bereitgestellt werden.
Die wichtigsten Cloud-Bereitstellungsmodelle sind:
- Public Cloud
- Private Cloud
- Hybrid Cloud
- Multi Cloud
- Community Cloud
Diese Modelle beschreiben,
wo die Cloud betrieben wird,
wer sie nutzt
und wie stark sie vom Unternehmen selbst kontrolliert wird.
Merksatz:
Service-Modelle beschreiben,
was bereitgestellt wird.
Bereitstellungsmodelle beschreiben,
wo und für wen es bereitgestellt wird.
Warum Bereitstellungsmodelle wichtig sind
Nicht jede Cloud ist gleich aufgebaut.
Ein Unternehmen muss entscheiden:
Sollen Dienste beim öffentlichen Anbieter laufen?
Sollen sensible Systeme intern bleiben?
Sollen lokale Systeme mit Cloud verbunden werden?
Sollen mehrere Anbieter genutzt werden?
Gibt es Datenschutz- oder Compliance-Anforderungen?
Wie wichtig sind Kontrolle,
Kosten,
Skalierung
und Verfügbarkeit?
Merksatz:
Das passende Cloud-Modell hängt von Technik,
Sicherheit,
Kosten
und Anforderungen ab.
Public Cloud
Public Cloud bedeutet:
Ein Cloud-Anbieter stellt Ressourcen für viele Kunden bereit.
Die Kunden nutzen dieselbe Anbieterplattform,
sind aber logisch voneinander getrennt.
Typische Ressourcen:
virtuelle Maschinen
Speicher
Datenbanken
Webdienste
Containerdienste
KI-Dienste
Identitätsdienste
Monitoring
Backup
SaaS-Anwendungen
Merksatz:
Public Cloud ist Cloud beim öffentlichen Anbieter für viele Kunden.
Public Cloud einfach erklärt
Beispiel:
Ein Unternehmen mietet virtuelle Server bei einem Cloud-Anbieter.
Die Server laufen nicht im eigenen Serverraum,
sondern im Rechenzentrum des Anbieters.
Das Unternehmen verwaltet seine Ressourcen über:
Webportal
API
Kommandozeile
Automatisierung
Infrastructure as Code
Merksatz:
Public Cloud wird über Anbieterplattformen bereitgestellt und verwaltet.
Typische Public-Cloud-Eigenschaften
Typische Eigenschaften:
schnelle Bereitstellung
hohe Skalierbarkeit
nutzungsabhängige Abrechnung
große Auswahl an Diensten
weltweite Regionen
standardisierte Plattform
Self-Service
API-Steuerung
viele Automatisierungsmöglichkeiten
Merksatz:
Public Cloud ist schnell,
flexibel
und dienstorientiert.
Public Cloud: Vorteile
Vorteile:
keine eigene Hardwarebeschaffung
schnelle Bereitstellung
flexible Skalierung
viele fertige Dienste
weltweite Verfügbarkeit
nutzungsabhängige Kosten
moderne Sicherheitsfunktionen
Automatisierung gut möglich
geeignet für wechselnde Last
Merksatz:
Public Cloud bietet Flexibilität und schnelle Bereitstellung.
Public Cloud: Nachteile
Nachteile:
Abhängigkeit vom Anbieter
laufende Kosten können unübersichtlich werden
Datenschutz und Datenstandort prüfen
Internetabhängigkeit
weniger Kontrolle über physische Infrastruktur
Fehlkonfigurationen möglich
Anbieteränderungen können Auswirkungen haben
Know-how für sichere Nutzung nötig
Merksatz:
Public Cloud braucht Kostenkontrolle,
Sicherheitskonzept
und klare Verantwortlichkeiten.
Public Cloud und Mandantentrennung
In der Public Cloud nutzen viele Kunden dieselbe Plattform.
Damit Kunden getrennt bleiben,
gibt es Mandantentrennung.
Mandantentrennung bedeutet:
Ressourcen eines Kunden sind logisch von anderen Kunden getrennt.
Beispiele:
eigene Benutzerverwaltung
eigene virtuelle Netzwerke
eigene Speicherbereiche
eigene Zugriffsrechte
eigene Abrechnung
Merksatz:
Public Cloud ist gemeinsam genutzt,
aber logisch getrennt.
Private Cloud
Private Cloud bedeutet:
Cloud-Prinzipien werden für eine einzelne Organisation bereitgestellt.
Sie kann betrieben werden:
im eigenen Rechenzentrum
bei einem Dienstleister
in einer dedizierten Umgebung
Wichtig:
Die Plattform wird nicht allgemein von vielen unabhängigen Kunden geteilt,
sondern ist für eine Organisation bestimmt.
Merksatz:
Private Cloud ist Cloud für eine Organisation.
Private Cloud einfach erklärt
Beispiel:
Ein Unternehmen betreibt im eigenen Rechenzentrum eine virtualisierte Plattform.
Fachbereiche können dort selbst Ressourcen anfordern:
virtuelle Maschinen
Speicher
Netzwerke
Datenbanken
Testumgebungen
Die Bereitstellung erfolgt automatisiert und zentral verwaltet.
Merksatz:
Private Cloud nutzt Cloud-Prinzipien,
aber in kontrollierter Umgebung.
Typische Private-Cloud-Eigenschaften
Typische Eigenschaften:
mehr Kontrolle
dedizierte Umgebung
interne Sicherheitsvorgaben
eigene Netzstruktur
eigene Compliance-Vorgaben
Automatisierung
Self-Service
Ressourcenpools
interne Verrechnung möglich
Merksatz:
Private Cloud verbindet Cloud-Funktionen mit stärkerer Kontrolle.
Private Cloud: Vorteile
Vorteile:
hohe Kontrolle über Umgebung
besser an interne Vorgaben anpassbar
Daten können im eigenen Betrieb bleiben
eigene Sicherheitsarchitektur möglich
geeignet für sensible Systeme
Integration in bestehende Infrastruktur
weniger Abhängigkeit von Public-Cloud-Anbieter
Merksatz:
Private Cloud ist interessant,
wenn Kontrolle und Anpassung wichtig sind.
Private Cloud: Nachteile
Nachteile:
eigene Hardware oder Dienstleister nötig
höhere Betriebsverantwortung
Skalierung begrenzter als Public Cloud
Investitionskosten möglich
eigenes Fachwissen nötig
Wartung bleibt stärker beim Unternehmen
Verfügbarkeit muss selbst geplant werden
Merksatz:
Private Cloud gibt Kontrolle,
aber auch mehr Betriebsaufwand.
Private Cloud ist nicht automatisch Cloud
Nur weil Server virtualisiert sind,
ist es noch nicht automatisch eine Private Cloud.
Cloud-typische Merkmale sind zum Beispiel:
Self-Service
Automatisierung
Ressourcenpooling
schnelle Bereitstellung
messbare Nutzung
standardisierte Dienste
zentrale Verwaltung
Merksatz:
Virtualisierung allein ist noch keine vollständige Private Cloud.
Public Cloud und Private Cloud vergleichen
Merkmal
Public Cloud
Private Cloud
Betreiber
öffentlicher Anbieter
Unternehmen oder Dienstleister
Nutzerkreis
viele Kunden
eine Organisation
Kontrolle
geringer über physische Basis
höher
Skalierung
sehr hoch
abhängig von eigener Kapazität
Kostenmodell
oft nutzungsabhängig
oft Investition plus Betrieb
Anpassbarkeit
begrenzt durch Anbieter
höher
Datenstandort
Anbieterregion wählen
stärker selbst bestimmbar
Merksatz:
Public Cloud ist flexibler skalierbar.
Private Cloud ist stärker kontrollierbar.
Hybrid Cloud
Hybrid Cloud bedeutet:
Lokale IT oder Private Cloud wird mit Public Cloud kombiniert.
Beispiele:
internes Rechenzentrum
plus
Public-Cloud-Dienste
Oder:
Private Cloud
plus
Public Cloud
Merksatz:
Hybrid Cloud kombiniert lokale oder private IT mit Public Cloud.
Hybrid Cloud einfach erklärt
Beispiel:
Kundendatenbank läuft lokal.
Webfrontend läuft in der Public Cloud.
Backup wird zusätzlich in der Cloud gespeichert.
Verbindung erfolgt über VPN oder dedizierte Leitung.
So nutzt das Unternehmen lokale Kontrolle
und Cloud-Flexibilität gleichzeitig.
Merksatz:
Hybrid Cloud verbindet zwei Welten.
Typische Hybrid-Cloud-Szenarien
Typische Szenarien:
lokales Active Directory mit Cloud-Diensten verbinden
lokale Server mit Cloud-Backup sichern
Cloud-Webanwendung greift auf lokale Datenbank zu
lokale Anwendung nutzt Cloud-Speicher
Cloud als Ausweichstandort
schrittweise Migration in die Cloud
Lastspitzen in Cloud auslagern
sensible Daten lokal,
skalierbare Dienste in Cloud
Merksatz:
Hybrid Cloud wird oft für schrittweise Migration und flexible Erweiterung genutzt.
Hybrid Cloud: Vorteile
Vorteile:
Kombination aus Kontrolle und Skalierung
schrittweise Migration möglich
sensible Systeme können lokal bleiben
Cloud-Dienste ergänzen lokale IT
Backup und Notfallkonzepte möglich
flexible Lastverteilung
bestehende Investitionen weiter nutzbar
Merksatz:
Hybrid Cloud ermöglicht Übergang und Kombination.
Hybrid Cloud: Nachteile
Nachteile:
höhere Komplexität
Netzwerkanbindung muss stabil sein
VPN oder Direktverbindung nötig
Identitätsmanagement muss zusammenpassen
Monitoring über mehrere Umgebungen nötig
Sicherheitsregeln müssen abgestimmt werden
Datenflüsse müssen dokumentiert werden
Fehlersuche wird komplexer
Merksatz:
Hybrid Cloud ist flexibel,
aber technisch anspruchsvoller.
Hybrid Cloud und Netzwerk
Hybrid Cloud braucht eine sichere Verbindung zwischen Umgebungen.
Möglichkeiten:
Site-to-Site-VPN
dedizierte Leitung
Cloud-VPN
SD-WAN
private Verbindung zum Anbieter
Wichtig:
Routing
DNS
Firewall-Regeln
Latenz
Bandbreite
Verschlüsselung
Redundanz
Merksatz:
Hybrid Cloud steht und fällt mit sauberer Netzwerkanbindung.
Hybrid Cloud und Identitäten
Benutzer sollen oft sowohl lokale als auch Cloud-Dienste nutzen.
Dafür braucht man ein Identitätskonzept.
Beispiele:
lokale Benutzerverwaltung
Cloud-Verzeichnisdienst
Synchronisierung
Single Sign-On
MFA
Rollen
Conditional Access
Merksatz:
Hybrid Cloud braucht einheitliche Identitäten und Zugriffskonzepte.
Hybrid Cloud und Datenflüsse
Bei Hybrid Cloud muss klar sein:
Welche Daten liegen lokal?
Welche Daten liegen in der Cloud?
Welche Daten werden übertragen?
Wer darf zugreifen?
Wo werden Backups gespeichert?
Welche Systeme kommunizieren miteinander?
Welche Schnittstellen gibt es?
Merksatz:
Hybrid Cloud braucht dokumentierte Datenflüsse.
Multi Cloud
Multi Cloud bedeutet:
Ein Unternehmen nutzt mehrere Cloud-Anbieter gleichzeitig.
Beispiel:
Anbieter A für virtuelle Server
Anbieter B für E-Mail und Office
Anbieter C für Backup
Anbieter D für KI- oder Datenanalyse
Merksatz:
Multi Cloud bedeutet mehrere Cloud-Anbieter parallel.
Multi Cloud ist nicht dasselbe wie Hybrid Cloud
Hybrid Cloud:
Kombination aus lokaler IT und Cloud
Multi Cloud:
Nutzung mehrerer Cloud-Anbieter
Beispiel:
Nur Anbieter A und Anbieter B,
ohne lokale Systeme:
Multi Cloud,
aber nicht zwingend Hybrid Cloud.
Merksatz:
Hybrid beschreibt lokal plus Cloud.
Multi Cloud beschreibt mehrere Anbieter.
Multi Cloud: Vorteile
Vorteile:
weniger Abhängigkeit von einem Anbieter
passende Dienste je Anbieter nutzbar
bessere Verhandlungsposition möglich
Ausweichmöglichkeiten
regulatorische oder regionale Anforderungen leichter erfüllbar
Spezialdienste verschiedener Anbieter nutzbar
Merksatz:
Multi Cloud kann Anbieterabhängigkeit verringern.
Multi Cloud: Nachteile
Nachteile:
höhere Komplexität
unterschiedliche Bedienkonzepte
unterschiedliche Sicherheitsmodelle
mehrere IAM-Systeme
schwierigeres Monitoring
höhere Anforderungen an Know-how
Kostenkontrolle komplizierter
Datenübertragung zwischen Anbietern kann teuer sein
Merksatz:
Multi Cloud reduziert Abhängigkeit,
erhöht aber Komplexität.
Multi Cloud und Vendor Lock-in
Vendor Lock-in bedeutet:
Ein Unternehmen wird stark abhängig von einem Anbieter.
Ursachen:
proprietäre Dienste
spezielle APIs
spezielle Datenformate
komplexe Migration
hohe Ausstiegskosten
Mitarbeitende kennen nur eine Plattform
Multi Cloud kann Vendor Lock-in verringern,
aber nicht automatisch verhindern.
Merksatz:
Vendor Lock-in bedeutet starke Anbieterabhängigkeit.
Multi Cloud und Portabilität
Portabilität bedeutet:
Anwendungen oder Daten können leichter zwischen Umgebungen verschoben werden.
Möglichkeiten:
Container
offene Standards
standardisierte APIs
Infrastructure as Code
portable Datenformate
automatisierte Deployments
Aber:
vollständig einfache Portabilität ist selten.
Merksatz:
Portabilität muss geplant werden.
Community Cloud
Community Cloud bedeutet:
Eine Cloud wird von mehreren Organisationen mit ähnlichen Anforderungen genutzt.
Beispiele:
Behörden
Forschung
Bildung
Gesundheitswesen
bestimmte Branchen
Verbände
Gemeinsam sind oft:
Sicherheitsanforderungen
Datenschutzvorgaben
Compliance-Regeln
fachliche Anforderungen
Merksatz:
Community Cloud ist Cloud für eine bestimmte Gemeinschaft.
Community Cloud: Vorteile
Vorteile:
gemeinsame Anforderungen können besser berücksichtigt werden
branchenspezifische Vorgaben möglich
Kosten können geteilt werden
gemeinsame Standards
spezielle Sicherheits- und Compliance-Anforderungen
Merksatz:
Community Cloud bündelt ähnliche Anforderungen mehrerer Organisationen.
Community Cloud: Nachteile
Nachteile:
weniger flexibel als Public Cloud
begrenzter Nutzerkreis
Abstimmung zwischen Organisationen nötig
Governance komplexer
Angebot möglicherweise kleiner
Verantwortlichkeiten müssen klar geregelt sein
Merksatz:
Community Cloud braucht klare gemeinsame Regeln.
Cloud-Modelle im Vergleich
Modell
Kerngedanke
Public Cloud
Anbieterplattform für viele Kunden
Private Cloud
Cloud für eine Organisation
Hybrid Cloud
lokale/private IT plus Public Cloud
Multi Cloud
mehrere Cloud-Anbieter
Community Cloud
Cloud für Organisationen mit gemeinsamen Anforderungen
Merksatz:
Jedes Modell löst andere Anforderungen.
Typische Entscheidungskriterien
Wichtige Kriterien:
Datenschutz
Datenstandort
Kosten
Skalierbarkeit
Kontrolle
Verfügbarkeit
Compliance
Latenz
vorhandene Systeme
Know-how
Sicherheitsanforderungen
Anbieterabhängigkeit
Integrationsaufwand
Merksatz:
Cloud-Modell nach Anforderungen auswählen,
nicht nach Modewort.
Datenstandort
Datenstandort bedeutet:
Wo werden Daten gespeichert und verarbeitet?
Wichtig für:
Datenschutz
rechtliche Anforderungen
Kundenanforderungen
Latenz
Compliance
Vertragsbedingungen
Beispiel:
Daten müssen innerhalb der EU gespeichert werden.
Merksatz:
Datenstandort ist bei Cloud-Auswahl entscheidend.
Compliance
Compliance bedeutet:
Einhaltung von Regeln,
Gesetzen,
Standards
und internen Vorgaben.
Bei Cloud relevant:
Datenschutz
Informationssicherheit
Branchenvorgaben
Auditierbarkeit
Aufbewahrungsfristen
Löschkonzepte
Zugriffsnachweise
Vertragsanforderungen
Merksatz:
Cloud muss zu rechtlichen und organisatorischen Vorgaben passen.
Cloud und Latenz
Latenz ist die Verzögerung bei der Datenübertragung.
Sie ist wichtig bei:
Echtzeitanwendungen
Datenbankzugriffen
Remote Desktop
VoIP
Produktionssystemen
verteilten Anwendungen
Ein weit entfernter Cloud-Standort kann höhere Latenz verursachen.
Merksatz:
Cloud-Region beeinflusst Latenz.
Cloud und Bandbreite
Cloud-Dienste brauchen passende Bandbreite.
Relevant bei:
Backups
Dateiübertragung
Videodaten
Datenbankreplikation
Migration
Synchronisation
Hybrid-Cloud-Anbindung
Merksatz:
Cloud-Nutzung kann viel Netzwerkverkehr erzeugen.
Cloud und Datenübertragungskosten
Bei Cloud können Datenübertragungen Kosten verursachen.
Besonders wichtig:
ausgehender Datenverkehr aus der Cloud
Daten zwischen Regionen
Daten zwischen Anbietern
große Backups
Replikation
Downloads durch Benutzer
Merksatz:
Cloud-Traffic kann Kosten verursachen.
Cloud und Verfügbarkeit
Cloud-Anbieter stellen viele Möglichkeiten für Verfügbarkeit bereit.
Aber:
Der Kunde muss sie nutzen und konfigurieren.
Beispiele:
mehrere Zonen
mehrere Regionen
Load Balancer
Replikation
Backup
Auto Scaling
Monitoring
Merksatz:
Cloud bietet Möglichkeiten für Hochverfügbarkeit,
aber nicht automatisch fertige Hochverfügbarkeit.
Cloud und Ausfallsicherheit
Ausfallsicherheit bedeutet:
Ein Dienst bleibt trotz Störung nutzbar
oder kann schnell wiederhergestellt werden.
Wichtige Konzepte:
Redundanz
Backup
Wiederherstellung
Notfallplan
mehrere Zonen
mehrere Regionen
regelmäßige Tests
Merksatz:
Ausfallsicherheit muss geplant,
umgesetzt
und getestet werden.
Cloud und Verantwortung
Auch beim Bereitstellungsmodell gilt:
Verantwortung verschwindet nicht.
Der Kunde muss prüfen:
Wer betreibt was?
Wer sichert was?
Wer patcht was?
Wer darf zugreifen?
Wer überwacht?
Wer reagiert bei Störung?
Wer ist Ansprechpartner?
Was steht im Vertrag?
Merksatz:
Cloud-Verantwortung muss klar geregelt sein.
Cloud und Verträge
Cloud-Nutzung braucht klare vertragliche Regelungen.
Wichtige Punkte:
Leistungsumfang
Verfügbarkeit
Supportzeiten
Datenschutz
Datenstandort
Auftragsverarbeitung
Kündigung
Datenexport
Wiederherstellung
Sicherheitsmaßnahmen
Haftung
Merksatz:
Cloud ist auch ein organisatorisches und vertragliches Thema.
Service Level Agreement
Service Level Agreement wird abgekürzt:
SLA
Ein SLA beschreibt zugesicherte Serviceleistungen.
Beispiele:
Verfügbarkeit
Reaktionszeit
Wiederherstellungszeit
Supportzeit
Leistungswerte
Wichtig:
SLA genau lesen.
Hohe Prozentwerte bedeuten trotzdem mögliche Ausfallzeit.
Merksatz:
SLA beschreibt zugesicherte Servicequalität.
SLA und Verfügbarkeit
Verfügbarkeit wird oft in Prozent angegeben.
Beispiele:
Verfügbarkeit
grobe Bedeutung
99 %
deutlich mehr mögliche Ausfallzeit als 99,9 %
99,9 %
höher verfügbar
99,99 %
sehr hohe Verfügbarkeit
99,999 %
extrem hohe Verfügbarkeit
Wichtig:
Je höher die Verfügbarkeit,
desto aufwendiger und teurer ist sie meist.
Merksatz:
Mehr Neunen bedeuten weniger erlaubte Ausfallzeit,
aber meist mehr Aufwand.
Cloud und Exit-Strategie
Eine Exit-Strategie beschreibt,
wie man einen Cloud-Dienst wieder verlassen kann.
Fragen:
Wie exportiere ich Daten?
In welchem Format bekomme ich Daten zurück?
Wie lange dauert Migration?
Welche Kosten entstehen?
Welche Abhängigkeiten gibt es?
Wie werden Daten beim Anbieter gelöscht?
Gibt es Alternativen?
Merksatz:
Cloud-Einstieg braucht auch Cloud-Ausstiegsplan.
Cloud und Datenportabilität
Datenportabilität bedeutet:
Daten können in ein anderes System oder zu einem anderen Anbieter übertragen werden.
Wichtig:
offene Formate
Exportfunktionen
dokumentierte Schnittstellen
keine unnötigen proprietären Abhängigkeiten
regelmäßige Exporttests
Merksatz:
Daten sollten nicht in einem Dienst gefangen sein.
Cloud und Schatten-IT
Schatten-IT bedeutet:
Fachbereiche nutzen IT-Dienste ohne Wissen oder Freigabe der IT-Abteilung.
Beispiele:
private Cloud-Speicher
nicht freigegebene SaaS-Tools
eigene KI-Dienste
externe Projektplattformen
private Messenger
Risiken:
Datenschutzprobleme
Datenabfluss
fehlende Backups
keine Rechtekontrolle
keine Löschung bei Austritt
keine Vertragsprüfung
Merksatz:
Schatten-IT entsteht oft,
wenn offizielle Lösungen fehlen oder zu unpraktisch sind.
Cloud Governance
Cloud Governance beschreibt Regeln und Steuerung für Cloud-Nutzung.
Dazu gehören:
wer darf Cloud-Ressourcen erstellen?
welche Dienste sind erlaubt?
welche Regionen sind erlaubt?
welche Sicherheitsstandards gelten?
wie werden Kosten überwacht?
wie werden Daten klassifiziert?
wie werden Zugriffe geprüft?
wie werden Änderungen dokumentiert?
Merksatz:
Cloud Governance sorgt für kontrollierte Cloud-Nutzung.
Tagging
Tagging bedeutet:
Cloud-Ressourcen werden mit Schlagworten oder Metadaten markiert.
Beispiele:
Projekt
Kostenstelle
Verantwortlicher
Umgebung
Kritikalität
Ablaufdatum
Datenschutzklasse
Vorteile:
Kosten zuordnen
Ressourcen finden
Verantwortliche erkennen
Aufräumen erleichtern
Automatisierung ermöglichen
Merksatz:
Tags machen Cloud-Ressourcen verwaltbar.
Cloud-Kostenkontrolle
Kostenkontrolle ist wichtig,
weil Cloud-Ressourcen schnell erstellt werden können.
Maßnahmen:
Budgets
Alarme
Tags
Kostenstellen
Rechtebegrenzung
Abschalten ungenutzter Ressourcen
passende Größen wählen
Reservierungen prüfen
Datenverkehr beobachten
Merksatz:
Cloud-Flexibilität braucht Kostenkontrolle.
Typische Cloud-Fehlentscheidungen
Häufige Fehler:
Cloud-Modell ohne Anforderungen auswählen
Datenschutz nicht prüfen
Kosten nicht überwachen
keine Exit-Strategie planen
kein Backup-Konzept erstellen
keine Rollen definieren
Ressourcen öffentlich freigeben
Multi Cloud ohne Know-how einführen
Hybrid Cloud ohne Netzplanung starten
SLA falsch verstehen
Merksatz:
Cloud muss geplant werden,
nicht nur gebucht.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist Public Cloud?
- Was ist Private Cloud?
- Was ist Hybrid Cloud?
- Was ist Multi Cloud?
- Was ist Community Cloud?
- Was ist der Unterschied zwischen Hybrid Cloud und Multi Cloud?
- Welche Vorteile hat Public Cloud?
- Welche Vorteile hat Private Cloud?
- Warum ist Hybrid Cloud komplexer?
- Was bedeutet Vendor Lock-in?
- Was bedeutet Datenstandort?
- Was ist ein SLA?
- Warum braucht Cloud eine Exit-Strategie?
- Was ist Cloud Governance?
- Warum ist Tagging sinnvoll?
- Warum ist Cloud-Kostenkontrolle wichtig?
Typische Prüfungsfallen
Public Cloud ist nicht automatisch unsicher.
Private Cloud ist nicht automatisch günstiger.
Hybrid Cloud ist nicht einfach nur irgendeine Cloud.
Multi Cloud ist nicht dasselbe wie Hybrid Cloud.
Community Cloud ist für bestimmte Organisationengruppen.
Virtualisierung allein ist noch keine Private Cloud.
Cloud ist nicht automatisch hochverfügbar.
Cloud ist nicht automatisch günstiger.
Datenstandort prüfen.
SLA genau lesen.
Hohe Verfügbarkeit muss konfiguriert werden.
Multi Cloud erhöht Komplexität.
Hybrid Cloud braucht gute Netzplanung.
Vendor Lock-in früh beachten.
Exit-Strategie vor dem Wechsel planen.
Schatten-IT ist ein Sicherheitsrisiko.
Governance verhindert unkontrollierte Cloud-Nutzung.
Tagging hilft bei Kosten und Verwaltung.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Public Cloud
Cloud-Plattform für viele Kunden
Private Cloud
Cloud für eine Organisation
Hybrid Cloud
lokale/private IT plus Public Cloud
Multi Cloud
mehrere Cloud-Anbieter
Community Cloud
Cloud für Organisationen mit gemeinsamen Anforderungen
Mandantentrennung
logische Trennung verschiedener Kunden
Vendor Lock-in
starke Anbieterabhängigkeit
Portabilität
Übertragbarkeit von Daten oder Anwendungen
Datenstandort
Ort der Speicherung und Verarbeitung
Compliance
Einhaltung von Regeln und Vorgaben
SLA
Service Level Agreement
Exit-Strategie
Plan zum Verlassen eines Dienstes
Datenportabilität
Daten in anderes System übertragen können
Schatten-IT
nicht offiziell freigegebene IT-Nutzung
Cloud Governance
Regeln für Cloud-Nutzung
Tagging
Metadaten für Ressourcen
Kostenkontrolle
Überwachung und Steuerung von Cloud-Kosten
Verfügbarkeit
Dienst ist nutzbar
Ausfallsicherheit
Dienst bleibt trotz Störung verfügbar oder wird wiederhergestellt
IHK-sichere Kurzformulierung
Public Cloud bezeichnet Cloud-Dienste eines öffentlichen Anbieters, die von vielen Kunden genutzt werden, wobei die Kunden logisch voneinander getrennt sind. Private Cloud stellt Cloud-Funktionen für eine einzelne Organisation bereit und bietet mehr Kontrolle, aber auch mehr Betriebsverantwortung. Hybrid Cloud kombiniert lokale oder private IT mit Public Cloud, während Multi Cloud die Nutzung mehrerer Cloud-Anbieter beschreibt. Community Cloud wird von Organisationen mit gemeinsamen Anforderungen genutzt. Bei der Auswahl eines Cloud-Modells müssen Datenschutz, Datenstandort, Compliance, Kosten, Skalierbarkeit, Kontrolle, Verfügbarkeit, Latenz, Anbieterabhängigkeit und Exit-Strategie berücksichtigt werden.
Merksätze
Bereitstellungsmodell beschreibt,
wo und für wen Cloud läuft.
Public Cloud = Anbieterplattform für viele Kunden.
Private Cloud = Cloud für eine Organisation.
Hybrid Cloud = lokal oder privat plus Public Cloud.
Multi Cloud = mehrere Anbieter.
Community Cloud = gemeinsame Anforderungen.
Public Cloud ist flexibel.
Private Cloud gibt mehr Kontrolle.
Hybrid Cloud kombiniert Welten.
Multi Cloud reduziert Anbieterabhängigkeit,
erhöht aber Komplexität.
Hybrid ist nicht automatisch Multi Cloud.
Multi Cloud ist nicht automatisch Hybrid.
Virtualisierung allein ist keine Private Cloud.
Mandantentrennung trennt Kunden logisch.
Vendor Lock-in früh beachten.
Portabilität planen.
Datenstandort prüfen.
Compliance beachten.
Cloud-Region beeinflusst Latenz.
Cloud-Traffic kann Kosten verursachen.
Cloud ist nicht automatisch hochverfügbar.
Hochverfügbarkeit muss geplant werden.
SLA genau lesen.
Exit-Strategie vor Nutzung bedenken.
Datenportabilität ist wichtig.
Schatten-IT vermeiden.
Cloud Governance schafft Regeln.
Tagging hilft bei Verwaltung und Kosten.
Cloud-Kosten aktiv überwachen.
Cloud muss geplant werden,
nicht nur gebucht.
15.4 Cloud-Netzwerke, VPC, Subnetze und Security Groups
Cloud-Dienste brauchen genau wie lokale Systeme ein Netzwerk.
In der Cloud werden Netzwerke aber nicht mit physischen Switches und Routern aufgebaut,
sondern überwiegend virtuell.
Typische Bestandteile eines Cloud-Netzwerks:
- virtuelles Netzwerk
- Subnetze
- Routingtabellen
- Security Groups
- Network Security Groups
- virtuelle Firewalls
- Load Balancer
- öffentliche IP-Adressen
- private IP-Adressen
- NAT-Gateways
- VPN-Gateways
- DNS
- Peering
Merksatz:
Cloud-Netzwerke sind virtuell,
müssen aber genauso sauber geplant werden wie lokale Netzwerke.
Warum Cloud-Netzwerke wichtig sind
Viele Cloud-Fehler entstehen nicht durch die Anwendung,
sondern durch Netzwerk- oder Sicherheitskonfiguration.
Beispiele:
virtuelle Maschine nicht erreichbar
Datenbank öffentlich erreichbar
Webserver hat falsche Security Group
Subnetz hat keine passende Route
Cloud-Dienst kann Backend nicht erreichen
VPN zur Cloud funktioniert nicht
DNS zeigt auf falsches Ziel
Load Balancer erreicht keine Instanz
Merksatz:
Cloud-Probleme sind oft Netzwerk-,
Routing-
oder Firewall-Probleme.
Virtuelles Netzwerk
Ein virtuelles Netzwerk ist ein logisch getrenntes Netzwerk in der Cloud.
Je nach Anbieter heißt es zum Beispiel:
VPC
VNet
Virtual Network
Virtual Private Cloud
Es enthält Cloud-Ressourcen wie:
virtuelle Maschinen
Subnetze
Datenbanken
Load Balancer
Container
VPN-Gateways
NAT-Gateways
Merksatz:
Virtuelles Netzwerk = eigenes logisch getrenntes Cloud-Netz.
VPC
VPC steht für:
Virtual Private Cloud
Eine VPC ist ein virtuelles,
logisch isoliertes Netzwerk innerhalb einer Public Cloud.
In einer VPC legt man fest:
IP-Adressbereich
Subnetze
Routing
Sicherheitsregeln
Gateways
Verbindungen zu anderen Netzen
Merksatz:
VPC ist ein privater Netzwerkbereich innerhalb der Cloud.
VNet
VNet steht für:
Virtual Network
Der Begriff wird in manchen Cloud-Plattformen für virtuelle Netzwerke verwendet.
Die Grundidee ist ähnlich wie bei VPC:
eigener IP-Bereich
Subnetze
Routing
Sicherheitsregeln
Cloud-Ressourcen
Verbindungen zu anderen Netzen
Merksatz:
VNet und VPC beschreiben ähnliche Cloud-Netzwerk-Konzepte.
IP-Adressbereich im Cloud-Netz
Beim Anlegen eines Cloud-Netzes wird ein IP-Adressbereich festgelegt.
Beispiel:
10.20.0.0/16
Daraus können mehrere Subnetze gebildet werden.
Beispiele:
10.20.1.0/24 Web-Subnetz
10.20.2.0/24 App-Subnetz
10.20.3.0/24 Datenbank-Subnetz
Wichtig:
Der Adressbereich darf sich nicht ungewollt mit lokalen Netzen überschneiden.
Merksatz:
Cloud-IP-Planung muss zu lokaler Netzplanung passen.
Subnetze in der Cloud
Subnetze teilen ein virtuelles Netzwerk in kleinere Bereiche auf.
Typische Subnetze:
Web-Subnetz
App-Subnetz
Datenbank-Subnetz
Management-Subnetz
Public Subnet
Private Subnet
Gateway-Subnetz
Vorteile:
bessere Struktur
gezielte Sicherheitsregeln
getrennte Routingtabellen
Trennung von öffentlichen und internen Ressourcen
Merksatz:
Subnetze strukturieren Cloud-Netze.
Public Subnet
Ein Public Subnet ist ein Subnetz,
das direkt oder indirekt Zugang zum Internet haben kann.
Typische Ressourcen:
Load Balancer
öffentlich erreichbarer Webserver
Bastion Host
NAT-Gateway
Reverse Proxy
Wichtig:
Nicht jede Ressource in der Cloud gehört in ein Public Subnet.
Merksatz:
Public Subnet nur für Komponenten,
die wirklich öffentlich erreichbar sein müssen.
Private Subnet
Ein Private Subnet enthält interne Ressourcen,
die nicht direkt aus dem Internet erreichbar sein sollen.
Typische Ressourcen:
Datenbanken
interne Backends
interne APIs
Anwendungssysteme
Verarbeitungssysteme
Container-Worker
interne Dienste
Merksatz:
Private Subnet schützt interne Cloud-Ressourcen vor direktem Internetzugriff.
Public und Private Subnet vergleichen
Merkmal
Public Subnet
Private Subnet
Internetzugriff eingehend
möglich
normalerweise nicht direkt
typische Systeme
Load Balancer, Bastion Host
Datenbank, Backend
Schutzbedarf
hoch
sehr hoch
Routing
oft zum Internet Gateway
oft über NAT oder interne Routen
Ziel
öffentliche Erreichbarkeit
interne Verarbeitung
Merksatz:
Öffentlich erreichbare Systeme nach außen,
interne Systeme nach innen trennen.
Internet Gateway
Ein Internet Gateway verbindet ein Cloud-Netz mit dem Internet.
Es ermöglicht:
eingehende Verbindungen aus dem Internet
ausgehende Verbindungen ins Internet
Ob eine Ressource wirklich erreichbar ist,
hängt zusätzlich ab von:
öffentlicher IP-Adresse
Routingtabelle
Security Group
Firewall-Regeln
Dienststatus
Merksatz:
Internet Gateway allein macht eine Ressource nicht automatisch erreichbar.
NAT-Gateway
Ein NAT-Gateway erlaubt internen Ressourcen,
Verbindungen ins Internet aufzubauen,
ohne selbst direkt aus dem Internet erreichbar zu sein.
Beispiel:
Datenbankserver im Private Subnet
lädt Updates herunter
aber:
Internet kann nicht direkt zur Datenbank verbinden
Merksatz:
NAT-Gateway erlaubt ausgehenden Internetzugriff für private Ressourcen.
Internet Gateway und NAT-Gateway vergleichen
Merkmal
Internet Gateway
NAT-Gateway
Zweck
Verbindung Cloud-Netz ↔ Internet
ausgehender Zugriff aus privaten Netzen
eingehend aus Internet
möglich, wenn erlaubt
normalerweise nicht
typischer Einsatz
Public Subnet
Private Subnet
Schutzwirkung
keine alleinige Schutzmaßnahme
versteckt private Ressourcen vor direktem Zugriff
Merksatz:
Internet Gateway verbindet öffentlich.
NAT-Gateway ermöglicht ausgehend.
Routingtabellen in der Cloud
Routingtabellen legen fest,
wohin Pakete gesendet werden.
Typische Ziele:
lokales Cloud-Netz
Internet Gateway
NAT-Gateway
VPN-Gateway
Peering-Verbindung
Firewall-Appliance
andere Subnetze
lokales Unternehmensnetz
Merksatz:
Routingtabellen bestimmen Wege im Cloud-Netz.
Lokale Route
Jedes Cloud-Netz hat normalerweise eine lokale Route.
Diese erlaubt Kommunikation innerhalb des virtuellen Netzwerks.
Beispiel:
10.20.0.0/16
local
Damit können Subnetze innerhalb des Cloud-Netzes grundsätzlich miteinander kommunizieren,
sofern Sicherheitsregeln es erlauben.
Merksatz:
Lokale Route erlaubt Kommunikation innerhalb des Cloud-Netzes.
Route ins Internet
Für Internetzugriff braucht ein Public Subnet typischerweise eine Route wie:
0.0.0.0/0
über Internet Gateway
Für Private Subnets kann die Standardroute über ein NAT-Gateway gehen:
0.0.0.0/0
über NAT-Gateway
Merksatz:
Standardroute entscheidet,
wohin unbekannte Ziele gehen.
Route zum Firmennetz
Bei Hybrid Cloud braucht die Cloud eine Route zum lokalen Unternehmensnetz.
Beispiel:
lokales Firmennetz:
192.168.10.0/24
Route in Cloud:
192.168.10.0/24
über VPN-Gateway
Gleichzeitig braucht das Firmennetz eine Rückroute zum Cloud-Netz.
Merksatz:
Hybrid Cloud braucht Hin- und Rückroute.
Rückroute in Cloud-Szenarien
Viele Fehler entstehen,
weil nur der Hinweg geplant wurde.
Beispiel:
Cloud-Server erreicht lokales System nicht.
Oder:
lokaler Client erreicht Cloud-Server,
aber Antwort kommt nicht zurück.
Mögliche Ursache:
Rückroute fehlt
Firewall blockiert Rückverkehr
NAT verändert Adressen
asymmetrisches Routing
Merksatz:
Auch in der Cloud gilt:
Ohne Rückweg keine funktionierende Verbindung.
Security Group
Eine Security Group ist eine virtuelle Firewall-Regelgruppe für Cloud-Ressourcen.
Sie steuert meist:
eingehenden Verkehr
ausgehenden Verkehr
Protokolle
Ports
Quellen
Ziele
Security Groups werden oft direkt einer Ressource zugeordnet,
zum Beispiel einer virtuellen Maschine.
Merksatz:
Security Group = Firewall-Regeln direkt an der Cloud-Ressource.
Inbound und Outbound
Inbound bedeutet:
eingehender Verkehr zur Ressource
Outbound bedeutet:
ausgehender Verkehr von der Ressource
Beispiel Webserver:
Inbound:
TCP 443 von Internet erlaubt
Outbound:
Verbindung zur Datenbank oder zu Updateservern erlaubt
Merksatz:
Inbound und Outbound getrennt prüfen.
Stateful Security Group
Viele Security Groups arbeiten stateful.
Stateful bedeutet:
Wenn eine Verbindung erlaubt wurde,
ist der Rückverkehr automatisch erlaubt.
Beispiel:
Client verbindet zu Webserver TCP 443.
Antwortpakete des Webservers zurück zum Client
werden automatisch zugeordnet.
Merksatz:
Stateful-Regeln merken sich Verbindungen.
Network ACL
Eine Network ACL ist eine Zugriffsliste auf Netzwerk- oder Subnetzebene.
Je nach Cloud-Plattform kann sie:
eingehende Regeln prüfen
ausgehende Regeln prüfen
stateless arbeiten
Regelreihenfolge beachten
Stateless bedeutet:
Rückverkehr muss separat erlaubt werden.
Merksatz:
Network ACLs wirken oft näher am Subnetz und können stateless sein.
Security Group und Network ACL vergleichen
Merkmal
Security Group
Network ACL
Ebene
Ressource oder Instanz
Subnetz oder Netzwerkebene
Zustand
oft stateful
oft stateless
Rückverkehr
häufig automatisch erlaubt
häufig separat nötig
Einsatz
feine Ressourcenregeln
zusätzliche Netzgrenze
Fehlerquelle
falsche Quelle oder Port
fehlender Rückverkehr oder Regelreihenfolge
Merksatz:
Security Group und Network ACL können beide blockieren.
Network Security Group
Network Security Group wird oft abgekürzt:
NSG
Eine NSG ist eine Regelgruppe,
die Netzwerkverkehr auf Subnetz-
oder Ressourceneebene steuern kann.
Typische Angaben:
Quelle
Ziel
Port
Protokoll
Richtung
Priorität
Aktion
Beschreibung
Merksatz:
NSG ist eine Cloud-Regelgruppe für Netzwerkzugriffe.
Regelreihenfolge und Priorität
Manche Cloud-Regelwerke arbeiten mit Prioritäten.
Dabei gilt:
Regel mit höherer Priorität oder niedrigerer Nummer
wird zuerst geprüft
Je nach Plattform ist die genaue Logik unterschiedlich.
Wichtig:
spezifische Regeln vor allgemeinen Regeln
Deny-Regeln beachten
Standardregeln verstehen
Merksatz:
Regelreihenfolge kann entscheiden,
ob Verkehr erlaubt oder blockiert wird.
Quelle und Ziel in Cloud-Regeln
In Cloud-Regeln können Quellen und Ziele sein:
IP-Adressen
Subnetze
Security Groups
Tags
Service Accounts
Load Balancer
Cloud-Dienste
Internet
Beispiel:
Webserver-Security-Group darf zur Datenbank-Security-Group auf TCP 5432.
Das ist oft besser als:
gesamtes Netz darf zur Datenbank.
Merksatz:
Cloud-Regeln möglichst gezielt formulieren.
Öffentliche IP-Adresse
Eine öffentliche IP-Adresse macht eine Ressource grundsätzlich aus dem Internet adressierbar.
Aber erreichbar ist sie nur,
wenn zusätzlich passen:
Routing
Security Group
Firewall
Dienst
Betriebssystem-Firewall
DNS
Load Balancer
Zertifikat
Merksatz:
Öffentliche IP allein reicht nicht für funktionierenden Zugriff.
Private IP-Adresse
Private IP-Adressen werden innerhalb des Cloud-Netzes genutzt.
Typisch für:
interne Kommunikation
Datenbanken
Backends
interne APIs
Server-zu-Server-Kommunikation
Hybrid-Cloud-Verbindungen
Merksatz:
Private IPs sind für interne Kommunikation im Cloud-Netz.
Öffentliche und private IP vergleichen
Merkmal
öffentliche IP
private IP
Erreichbarkeit
aus Internet möglich
nur intern oder über Verbindung
Einsatz
Webzugriff, Load Balancer
Backend, Datenbank, interne Dienste
Risiko
höher
geringer, aber nicht risikofrei
Schutz
Firewall, Security Group, TLS
Segmentierung, Regeln, IAM
Merksatz:
Öffentlich nur,
wenn es wirklich nötig ist.
Load Balancer in der Cloud
Ein Load Balancer verteilt Anfragen auf mehrere Ziele.
Ziele können sein:
virtuelle Maschinen
Container
App-Instanzen
Backends
Servergruppen
Aufgaben:
Lastverteilung
Health Checks
Hochverfügbarkeit
TLS-Terminierung
Weiterleitung
Skalierung unterstützen
Merksatz:
Load Balancer verteilt Anfragen und erhöht Verfügbarkeit.
Health Check
Ein Health Check prüft,
ob ein Backend gesund ist.
Beispiele:
TCP-Port erreichbar?
HTTP-Status 200?
bestimmter Pfad antwortet?
Anwendung meldet gesund?
Antwortzeit akzeptabel?
Wenn ein Backend ungesund ist,
leitet der Load Balancer keinen Verkehr mehr dorthin.
Merksatz:
Health Check entscheidet,
ob ein Backend Verkehr bekommt.
Typische Load-Balancer-Fehler
Häufige Fehler:
Backend-Port falsch
Health Check falscher Pfad
Security Group blockiert Load Balancer
Backend-Dienst läuft nicht
TLS-Zertifikat falsch
falscher Host-Header
falsches Protokoll
Backend in falschem Subnetz
keine gesunden Ziele
Merksatz:
502 oder 503 in der Cloud hängt oft mit Load Balancer oder Backend zusammen.
Cloud-DNS
Cloud-DNS verwaltet Namen für Cloud-Ressourcen.
Typische Aufgaben:
öffentliche DNS-Zonen
private DNS-Zonen
interne Namen
Load-Balancer-Namen
Service Discovery
Hybrid-DNS
Weiterleitung zu lokalen DNS-Servern
Merksatz:
Cloud-DNS verbindet Namen mit Cloud-Ressourcen.
Private DNS-Zone
Eine Private DNS-Zone ist nur innerhalb bestimmter Netzwerke sichtbar.
Beispiel:
app.internal.cloud
Nur Systeme im Cloud-Netz oder verbundenen Netzen können diesen Namen auflösen.
Merksatz:
Private DNS ist für interne Cloud-Namen.
Public DNS-Zone
Eine Public DNS-Zone ist öffentlich abfragbar.
Beispiel:
www.firma.de
Sie wird für öffentlich erreichbare Dienste genutzt.
Wichtig:
Öffentlicher DNS-Eintrag bedeutet nicht,
dass Zugriff auch erlaubt ist.
Merksatz:
Public DNS ist sichtbar,
Zugriff hängt trotzdem von Routing und Regeln ab.
Cloud Peering
Peering verbindet zwei virtuelle Netzwerke miteinander.
Beispiel:
VPC A
↔
VPC B
Oder:
VNet A
↔
VNet B
Ziel:
private Kommunikation zwischen Cloud-Netzen
Wichtig:
Routen
Security Groups
DNS
Überschneidung von IP-Netzen
Berechtigungen
Merksatz:
Peering verbindet Cloud-Netze privat miteinander.
Peering ist kein Transit automatisch
Ein häufiger Denkfehler:
Wenn Netz A mit B verbunden ist
und B mit C verbunden ist,
kann A automatisch C erreichen.
Das stimmt nicht immer.
Viele Peering-Verbindungen sind nicht automatisch transitiv.
Merksatz:
Peering bedeutet nicht automatisch Durchleitung zu dritten Netzen.
Transit Gateway oder Hub-and-Spoke
In größeren Cloud-Netzen nutzt man oft zentrale Netzwerkarchitekturen.
Beispiel:
Hub-Netz
mit Firewall,
VPN,
Internetzugang
und zentralen Diensten
Spoke-Netze
für Anwendungen,
Abteilungen
oder Umgebungen
Vorteil:
zentrale Kontrolle
einheitliches Routing
bessere Segmentierung
übersichtliche Sicherheitsregeln
Merksatz:
Hub-and-Spoke ordnet viele Cloud-Netze zentral.
Cloud-VPN
Cloud-VPN verbindet Cloud-Netze mit anderen Netzen.
Beispiele:
Cloud ↔ lokales Rechenzentrum
Cloud ↔ Niederlassung
Cloud ↔ andere Cloud
Wichtig:
passende IP-Netze
Routing auf beiden Seiten
Firewall-Regeln
Verschlüsselung
Monitoring
Redundanz
Merksatz:
Cloud-VPN braucht Planung auf Cloud-Seite und lokaler Seite.
Direktverbindung zur Cloud
Neben VPN kann es direkte private Verbindungen zu Cloud-Anbietern geben.
Eigenschaften:
private Verbindung
meist stabilere Leistung
geringere Latenz möglich
höhere Bandbreite möglich
kein normaler Internetweg
oft teurer und aufwendiger
Merksatz:
Direktverbindung kann für kritische Hybrid-Cloud-Szenarien sinnvoll sein.
Bastion Host in der Cloud
Ein Bastion Host ist ein besonders geschützter Sprungserver.
Zweck:
Adminzugriffe auf private Cloud-Ressourcen ermöglichen,
ohne diese direkt ins Internet zu stellen.
Beispiel:
Admin
→ Bastion Host
→ private VM
Wichtig:
MFA
Logging
beschränkte Quellen
regelmäßige Updates
keine Dauerzugänge
starke Härtung
Merksatz:
Bastion Host reduziert direkte öffentliche Adminzugriffe.
Managementports nicht öffentlich öffnen
Kritische Managementports sollten nicht offen im Internet liegen.
Beispiele:
SSH TCP 22
RDP TCP 3389
Datenbankports
Admin-Weboberflächen
Kubernetes-API
Storage-Adminzugänge
Besser:
VPN
Bastion Host
Zero-Trust-Zugang
private Subnetze
eingeschränkte Quell-IP
MFA
Merksatz:
Managementzugänge gehören nicht breit ins Internet.
Cloud-Firewall
Eine Cloud-Firewall kann zentrale Filterung übernehmen.
Sie schützt zum Beispiel:
Internetzugang
Verbindungen zwischen Subnetzen
Verbindung zu lokalen Netzen
Cloud-zu-Cloud-Verkehr
DMZ-ähnliche Bereiche
Funktionen können sein:
Paketfilter
Stateful Inspection
Anwendungskontrolle
IDS/IPS
URL-Filter
Logging
Merksatz:
Cloud-Firewall ergänzt Security Groups und Netzsegmentierung.
Cloud-Netzsegmentierung
Auch in der Cloud sollte man Systeme trennen.
Beispiele:
Web-Schicht
App-Schicht
Datenbank-Schicht
Management-Schicht
Entwicklungsumgebung
Testumgebung
Produktionsumgebung
DMZ-ähnliche Zone
Merksatz:
Cloud braucht Segmentierung wie lokale Netze.
Drei-Schichten-Architektur in der Cloud
Ein typisches Muster:
Web-Schicht:
öffentlich erreichbar über Load Balancer
App-Schicht:
nur intern vom Webserver erreichbar
Datenbank-Schicht:
nur von App-Servern erreichbar
Vorteil:
bessere Sicherheit
klare Kommunikationswege
weniger Angriffsfläche
Merksatz:
Datenbanken gehören normalerweise nicht direkt ins Internet.
Umgebungen trennen
Cloud-Ressourcen sollten nach Umgebung getrennt werden.
Typische Umgebungen:
Entwicklung
Test
Staging
Produktion
Warum?
Testfehler sollen Produktion nicht stören.
Rechte können getrennt werden.
Kosten können getrennt werden.
Änderungen werden kontrollierter.
Sicherheitsregeln sind klarer.
Merksatz:
Entwicklung,
Test
und Produktion sauber trennen.
Cloud-Netzwerk und IAM
Netzwerkregeln allein reichen nicht.
Auch Identitäten und Rechte sind wichtig.
Beispiel:
Benutzer darf Security Group ändern.
Benutzer darf öffentliche IP vergeben.
Benutzer darf Route zum Internet setzen.
Benutzer darf Firewall-Regel öffnen.
Diese Rechte können sicherheitskritisch sein.
Merksatz:
Wer Cloud-Netzwerke ändern darf,
kann Sicherheit stark beeinflussen.
Cloud-Netzwerk-Fehlkonfigurationen
Häufige Fehler:
Datenbank öffentlich erreichbar
SSH offen für das ganze Internet
RDP offen für das ganze Internet
Security Group zu breit
falsche Route ins Internet
Private Subnet versehentlich öffentlich
fehlende Rückroute
falscher Load-Balancer-Health-Check
keine Logs
veraltete Bastion Hosts
Peering ohne Sicherheitsprüfung
Merksatz:
Viele Cloud-Sicherheitsprobleme sind Netzwerk-Fehlkonfigurationen.
Cloud-Netzwerk-Logging
Wichtige Logquellen:
Flow Logs
Firewall-Logs
Load-Balancer-Logs
DNS-Logs
VPN-Logs
IAM-Logs
Routing-Änderungen
Security-Group-Änderungen
WAF-Logs
Merksatz:
Netzwerklogs zeigen,
welcher Verkehr erlaubt oder blockiert wurde.
Flow Logs
Flow Logs zeigen Netzwerkverbindungen auf Ebene von Metadaten.
Sie enthalten typischerweise:
Quelle
Ziel
Port
Protokoll
Aktion
Zeit
Datenmenge
Interface oder Ressource
Sie zeigen normalerweise nicht den vollständigen Paketinhalt.
Merksatz:
Flow Logs zeigen Verbindungsdaten,
aber keinen kompletten Paketmitschnitt.
Cloud-Netzwerk-Monitoring
Überwacht werden sollten:
VPN-Tunnelstatus
Load Balancer
Backend-Gesundheit
Paketverlust
Latenz
Bandbreite
Firewall-Drops
DNS-Fehler
öffentliche IPs
ungewöhnlicher Datenverkehr
Kosten durch Traffic
Merksatz:
Cloud-Netzwerk-Monitoring schützt Betrieb und Kosten.
Cloud-Netzwerk-Fehlersuche
Sinnvolle Reihenfolge:
1. Quelle und Ziel bestimmen.
2. IP-Adressen prüfen.
3. DNS prüfen.
4. Subnetz prüfen.
5. Routingtabelle prüfen.
6. Security Group prüfen.
7. Network ACL oder NSG prüfen.
8. Load Balancer prüfen.
9. Zielsystem und Dienst prüfen.
10. Host-Firewall prüfen.
11. Logs prüfen.
12. Rückweg prüfen.
Merksatz:
Auch in der Cloud gilt:
DNS,
Route,
Firewall,
Dienst
und Rückweg prüfen.
Fehlerbild: Cloud-VM nicht per SSH erreichbar
Mögliche Ursachen:
keine öffentliche IP
DNS zeigt falsch
Routing zum Internet fehlt
Security Group blockiert TCP 22
Network ACL blockiert
SSH-Dienst läuft nicht
Host-Firewall blockiert
falscher Benutzer oder Schlüssel
Bastion Host nötig
Quell-IP nicht erlaubt
Merksatz:
SSH-Fehler in Cloud mit IP,
Route,
Security Group,
Dienst
Schlüssel
und Bastion prüfen.
Fehlerbild: Webdienst in Cloud nicht erreichbar
Mögliche Ursachen:
DNS falsch
Load Balancer falsch
Zertifikat falsch
Security Group blockiert TCP 443
Backend ungesund
Health Check falsch
Anwendung läuft nicht
falscher Port
private Ressource ohne öffentliche Freigabe
WAF blockiert
Merksatz:
Webfehler in Cloud mit DNS,
Load Balancer,
Security Group,
TLS
und Backend prüfen.
Fehlerbild: Cloud-Datenbank öffentlich erreichbar
Das ist meistens ein Sicherheitsproblem.
Mögliche Ursachen:
Datenbank in Public Subnet
öffentliche IP vergeben
Security Group zu breit
Firewall-Regel erlaubt 0.0.0.0/0
Authentifizierung schwach
kein Private Endpoint
falsches Routing
Besser:
Private Subnet
Zugriff nur von App-Schicht
Security Group gezielt
keine öffentliche IP
Verschlüsselung
starke Authentifizierung
Merksatz:
Datenbanken gehören normalerweise nicht öffentlich ins Internet.
Fehlerbild: Cloud und On-Premises erreichen sich nicht
Mögliche Ursachen:
VPN-Tunnel down
Route in Cloud fehlt
Route lokal fehlt
Firewall blockiert
Security Group blockiert
IP-Netze überschneiden sich
DNS falsch
NAT falsch
Rückroute fehlt
Cloud-Gateway falsch konfiguriert
Merksatz:
Hybrid-Verbindungen brauchen Regeln und Routen auf beiden Seiten.
Checkliste: Cloud-Netzwerk sicher planen
IP-Adressbereich eindeutig wählen.
Subnetze sauber trennen.
Public und Private Subnets unterscheiden.
Datenbanken nicht öffentlich bereitstellen.
Managementzugänge nicht breit öffnen.
Security Groups eng setzen.
Rückwege planen.
Hybrid-Routen dokumentieren.
DNS-Konzept erstellen.
Logging aktivieren.
Monitoring einrichten.
Änderungen dokumentieren.
Rechte zur Netzwerkänderung begrenzen.
Merksatz:
Cloud-Netzwerk zuerst planen,
dann Ressourcen bereitstellen.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist ein virtuelles Netzwerk in der Cloud?
- Was bedeutet VPC?
- Was ist ein Subnetz in der Cloud?
- Was ist der Unterschied zwischen Public Subnet und Private Subnet?
- Was ist ein Internet Gateway?
- Was ist ein NAT-Gateway?
- Wofür nutzt man Routingtabellen in der Cloud?
- Was ist eine Security Group?
- Was ist eine Network ACL?
- Was ist eine NSG?
- Was ist der Unterschied zwischen öffentlicher und privater IP?
- Wofür nutzt man einen Load Balancer?
- Was ist ein Health Check?
- Was ist Cloud Peering?
- Warum ist Peering nicht automatisch transitiv?
- Warum sollte eine Datenbank nicht öffentlich erreichbar sein?
- Wie geht man bei Cloud-Netzwerk-Fehlersuche vor?
Typische Prüfungsfallen
Cloud-Netzwerke sind virtuell,
aber echte Netzplanung bleibt nötig.
VPC und VNet beschreiben virtuelle Cloud-Netze.
Public Subnet ist nicht für alle Systeme geeignet.
Private Subnet schützt vor direkter öffentlicher Erreichbarkeit.
Internet Gateway allein reicht nicht für Zugriff.
NAT-Gateway erlaubt typischerweise ausgehende Verbindungen.
Routingtabellen bestimmen Wege.
Rückroute nicht vergessen.
Security Groups wirken wie virtuelle Firewalls.
Network ACLs können zusätzlich blockieren.
Stateful und stateless unterscheiden.
Öffentliche IP bedeutet höheres Risiko.
Datenbanken nicht öffentlich freigeben.
Load Balancer braucht gesunde Backends.
Health Check muss zum Dienst passen.
Peering ist nicht automatisch transitiv.
Cloud-Firewall ersetzt nicht saubere Segmentierung.
Managementports nicht breit ins Internet öffnen.
Cloud-Netzwerkänderungen sind sicherheitskritisch.
Flow Logs zeigen Metadaten,
nicht vollständige Pakete.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
virtuelles Netzwerk
logisch getrenntes Cloud-Netz
VPC
Virtual Private Cloud
VNet
Virtual Network
Subnetz
Teilbereich eines Cloud-Netzes
Public Subnet
öffentlich angebundenes Subnetz
Private Subnet
internes Subnetz ohne direkte öffentliche Erreichbarkeit
Internet Gateway
Verbindung eines Cloud-Netzes zum Internet
NAT-Gateway
ausgehender Internetzugriff für private Ressourcen
Routingtabelle
Wege zu Zielnetzen
lokale Route
Route innerhalb des Cloud-Netzes
Security Group
virtuelle Firewall-Regelgruppe
Network ACL
Zugriffsliste auf Netzwerk- oder Subnetzebene
NSG
Network Security Group
Stateful
Rückverkehr wird automatisch zugeordnet
Stateless
Rückverkehr muss separat erlaubt werden
öffentliche IP
aus dem Internet adressierbare IP
private IP
interne Adresse im Cloud-Netz
Load Balancer
verteilt Anfragen auf Ziele
Health Check
Prüfung der Backend-Gesundheit
Cloud-DNS
Namensauflösung für Cloud-Ressourcen
Private DNS-Zone
interne DNS-Zone
Public DNS-Zone
öffentlich sichtbare DNS-Zone
Peering
Verbindung zwischen Cloud-Netzen
Hub-and-Spoke
zentrale Netzwerkarchitektur
Cloud-VPN
VPN-Verbindung zu Cloud-Netz
Bastion Host
gehärteter Sprungserver
Flow Logs
Metadaten zu Netzwerkverbindungen
IHK-sichere Kurzformulierung
Cloud-Netzwerke bestehen aus virtuellen Netzwerken wie VPC oder VNet, Subnetzen, Routingtabellen, Security Groups, Network ACLs, Gateways, Load Balancern und DNS. Public Subnets sind für öffentlich erreichbare Komponenten wie Load Balancer oder Bastion Hosts gedacht, während Private Subnets interne Ressourcen wie Datenbanken oder Backends schützen. Ein Internet Gateway verbindet ein Cloud-Netz mit dem Internet, während ein NAT-Gateway privaten Ressourcen ausgehenden Internetzugriff ermöglicht. Security Groups und NSGs wirken als virtuelle Firewall-Regeln. Bei Cloud-Netzwerk-Fehlern müssen DNS, IP-Adressen, Routing, Security Groups, Network ACLs, Load Balancer, Zielsysteme, Host-Firewalls und Rückwege geprüft werden.
Merksätze
Cloud-Netzwerke sind virtuell,
aber echte Netzplanung bleibt nötig.
VPC = Virtual Private Cloud.
VNet = Virtual Network.
Virtuelles Netzwerk ist logisch getrennt.
IP-Bereiche sauber planen.
Cloud-Netze dürfen sich nicht ungewollt überschneiden.
Subnetze strukturieren Cloud-Ressourcen.
Public Subnet für öffentliche Komponenten.
Private Subnet für interne Komponenten.
Datenbank nicht öffentlich erreichbar machen.
Internet Gateway verbindet zum Internet.
NAT-Gateway ermöglicht ausgehenden Zugriff.
Routingtabellen bestimmen Wege.
Standardroute entscheidet bei unbekannten Zielen.
Hybrid Cloud braucht Hin- und Rückrouten.
Security Group ist virtuelle Firewall.
Inbound und Outbound getrennt prüfen.
Stateful merkt sich Verbindungen.
Stateless braucht separate Rückregeln.
Network ACL kann zusätzlich blockieren.
NSG steuert Netzwerkzugriffe.
Öffentliche IP nur wenn nötig.
Private IP für interne Kommunikation.
Load Balancer verteilt Anfragen.
Health Check prüft Backend-Gesundheit.
Cloud-DNS kann öffentlich oder privat sein.
Peering verbindet Cloud-Netze.
Peering ist nicht automatisch transitiv.
Hub-and-Spoke schafft zentrale Kontrolle.
Cloud-VPN braucht Routen beidseitig.
Bastion Host schützt Adminzugriffe.
Managementports nicht breit öffnen.
Segmentierung gilt auch in der Cloud.
IAM beeinflusst Netzwerksicherheit.
Flow Logs zeigen Verbindungsmetadaten.
Cloud-Fehlersuche:
DNS,
Route,
Security Group,
Dienst,
Rückweg.
15.5 Cloud-Sicherheit, IAM und Shared Responsibility
Cloud-Sicherheit bedeutet nicht nur,
dass der Cloud-Anbieter sichere Rechenzentren betreibt.
Cloud-Sicherheit umfasst auch:
- Identitäten
- Benutzerkonten
- Rollen
- Berechtigungen
- MFA
- Netzwerksicherheit
- Verschlüsselung
- Logging
- Monitoring
- Backup
- sichere Konfiguration
- Datenschutz
- Compliance
Merksatz:
Cloud-Sicherheit ist gemeinsame Verantwortung von Anbieter und Kunde.
Warum Cloud-Sicherheit wichtig ist
Cloud-Ressourcen sind oft schnell erstellt
und über Netzwerke erreichbar.
Dadurch entstehen typische Risiken:
zu breite Berechtigungen
öffentliche Speicherfreigaben
offene Managementports
fehlende MFA
falsch konfigurierte Security Groups
öffentliche Datenbanken
ungeschützte API-Schlüssel
fehlende Logs
keine Kostenkontrolle
falscher Datenstandort
Merksatz:
In der Cloud entstehen viele Risiken durch Fehlkonfiguration.
Shared Responsibility Model
Shared Responsibility Model bedeutet:
Anbieter und Kunde teilen sich die Verantwortung.
Der Anbieter ist je nach Dienst verantwortlich für:
Rechenzentrum
physische Sicherheit
Hardware
Grundinfrastruktur
Plattformbetrieb
Verfügbarkeit der angebotenen Dienste
Der Kunde bleibt je nach Dienst verantwortlich für:
Benutzer
Rollen
Daten
Berechtigungen
sichere Konfiguration
Netzwerkfreigaben
Anwendungssicherheit
Backup-Konzept
Compliance
Merksatz:
Cloud bedeutet geteilte Verantwortung,
nicht abgegebene Verantwortung.
Verantwortung hängt vom Service-Modell ab
Die Verantwortung ist bei IaaS,
PaaS
und SaaS unterschiedlich verteilt.
Bereich
IaaS
PaaS
SaaS
physisches Rechenzentrum
Anbieter
Anbieter
Anbieter
Hardware
Anbieter
Anbieter
Anbieter
Virtualisierung
Anbieter
Anbieter
Anbieter
Betriebssystem
Kunde
Anbieter
Anbieter
Anwendung
Kunde
Kunde
Anbieter
Daten
Kunde
Kunde
Kunde
Benutzer und Rechte
Kunde
Kunde
Kunde
sichere Konfiguration
Kunde
Kunde
Kunde
Merksatz:
Daten,
Benutzer
und Rechte bleiben fast immer Kundenthema.
Cloud-Irrtum: Anbieter macht alles sicher
Falsch:
Der Anbieter betreibt die Cloud,
also ist automatisch alles sicher.
Richtig:
Der Anbieter schützt die Plattform.
Der Kunde muss seine Nutzung sicher konfigurieren.
Beispiel:
Wenn ein Kunde einen Speicher öffentlich freigibt,
ist das meist ein Konfigurationsfehler des Kunden.
Merksatz:
Sichere Plattform plus falsche Konfiguration bleibt unsicher.
IAM
IAM steht für:
Identity and Access Management
IAM regelt,
wer auf welche Cloud-Ressourcen zugreifen darf.
IAM umfasst:
Benutzer
Gruppen
Rollen
Berechtigungen
Richtlinien
Servicekonten
API-Schlüssel
MFA
Zugriffsprotokolle
Merksatz:
IAM entscheidet,
wer was in der Cloud darf.
Identität
Eine Identität ist ein Konto oder Objekt,
das Zugriff erhalten kann.
Beispiele:
Benutzerkonto
Administrator
Entwickler
Servicekonto
Anwendung
virtuelle Maschine
Containerdienst
Automatisierungsskript
Merksatz:
Nicht nur Menschen,
auch Dienste können Identitäten haben.
Benutzer
Ein Benutzer ist eine menschliche Identität.
Beispiele:
Administrator
Entwickler
Supportmitarbeiter
Fachbereich
externer Dienstleister
Benutzer sollten:
eindeutig zugeordnet sein
keine Sammelkonten nutzen
MFA verwenden
nur notwendige Rechte erhalten
bei Austritt deaktiviert werden
Merksatz:
Jeder Benutzer braucht ein eigenes Konto.
Gruppen
Gruppen fassen Benutzer zusammen.
Beispiel:
Cloud-Admins
Entwickler
Leser
Sicherheitsprüfer
Datenbankadministratoren
Netzwerkadministratoren
Vorteil:
Rechte werden nicht einzeln pro Benutzer vergeben,
sondern über Gruppen verwaltet.
Merksatz:
Gruppen vereinfachen Rechteverwaltung.
Rollen
Eine Rolle beschreibt,
welche Aufgaben und Berechtigungen eine Identität hat.
Beispiele:
Leser
Administrator
Netzwerkadministrator
Sicherheitsadministrator
Datenbankadministrator
Abrechnungsadministrator
Backup-Operator
Merksatz:
Rollen ordnen Rechte nach Aufgabe.
Berechtigungen
Berechtigungen legen fest,
was erlaubt ist.
Beispiele:
virtuelle Maschine starten
virtuelle Maschine löschen
Speicher lesen
Speicher schreiben
Firewall-Regel ändern
Benutzer anlegen
Logs anzeigen
Backup wiederherstellen
Merksatz:
Berechtigungen sind konkrete Erlaubnisse.
Richtlinien
Richtlinien beschreiben,
welche Berechtigungen gelten.
Sie können festlegen:
wer etwas darf
was erlaubt ist
auf welche Ressource es gilt
unter welchen Bedingungen es gilt
was verboten ist
Merksatz:
Richtlinien verbinden Identitäten,
Aktionen
und Ressourcen.
Least Privilege
Least Privilege bedeutet:
nur so viele Rechte wie nötig,
so wenige wie möglich.
In der Cloud ist das besonders wichtig,
weil viele Aktionen große Auswirkungen haben können.
Beispiele für riskante Rechte:
alle Ressourcen löschen
Firewall-Regeln ändern
Speicher öffentlich freigeben
Benutzerrechte vergeben
API-Schlüssel erstellen
Backups löschen
Merksatz:
Cloud-Rechte immer minimal vergeben.
Need to Know
Need to Know bedeutet:
Zugriff nur auf Daten oder Systeme,
die für die Aufgabe benötigt werden.
Beispiel:
Entwickler braucht Zugriff auf Testsysteme,
aber nicht automatisch auf Produktionsdaten.
Abrechnung braucht Kostenübersicht,
aber keine Server-Adminrechte.
Merksatz:
Rechte nach Aufgabe,
nicht nach Bequemlichkeit vergeben.
Administratorrechte
Administratorrechte sind besonders kritisch.
Risiken:
versehentliches Löschen
falsche Firewall-Regeln
öffentliche Freigaben
Zugriff auf sensible Daten
Rechteausweitung
Änderung von Logs
Manipulation von Backups
Merksatz:
Administratorrechte nur gezielt und kontrolliert vergeben.
Privileged Access Management
Privileged Access Management wird oft abgekürzt:
PAM
PAM bedeutet:
besonders privilegierte Zugriffe werden kontrolliert,
begrenzt
überwacht
und dokumentiert.
Beispiele:
zeitlich begrenzte Adminrechte
Genehmigungsprozess
MFA
Session Logging
Notfallkonto
regelmäßige Rechteprüfung
Merksatz:
PAM schützt besonders mächtige Zugriffe.
Just-in-Time-Zugriff
Just-in-Time-Zugriff bedeutet:
Rechte werden nur für einen begrenzten Zeitraum vergeben.
Beispiel:
Admin braucht für 2 Stunden erhöhte Rechte,
um eine Wartung durchzuführen.
Nach Ablauf werden die Rechte automatisch entzogen.
Merksatz:
Just-in-Time reduziert dauerhafte Adminrechte.
Sammelkonten vermeiden
Sammelkonten sind gemeinsame Konten,
die mehrere Personen nutzen.
Problem:
keine eindeutige Zuordnung
schlechte Nachvollziehbarkeit
Passwortweitergabe
schwieriges Offboarding
Sicherheitsvorfälle schwer aufklärbar
Merksatz:
Cloud-Zugriffe müssen personengebunden nachvollziehbar sein.
Servicekonto
Ein Servicekonto ist eine Identität für einen Dienst oder eine Anwendung.
Beispiele:
Backup-Dienst
Automatisierung
CI/CD-Pipeline
Monitoring
Anwendung, die auf Speicher zugreift
Skript, das Ressourcen erstellt
Servicekonten sollten ebenfalls nur minimale Rechte erhalten.
Merksatz:
Servicekonten sind Maschinenidentitäten und brauchen genauso Rechtebegrenzung.
API-Schlüssel
API-Schlüssel erlauben Programmen oder Skripten Zugriff auf Cloud-Dienste.
Risiken:
Schlüssel wird versehentlich veröffentlicht
Schlüssel liegt im Quellcode
Schlüssel hat zu viele Rechte
Schlüssel wird nie rotiert
Schlüssel wird nach Projektende nicht gelöscht
Merksatz:
API-Schlüssel wie Passwörter behandeln.
Secrets
Secrets sind geheime Informationen.
Beispiele:
Passwörter
API-Schlüssel
private Schlüssel
Tokens
Datenbankzugangsdaten
Zertifikate
Secrets sollten nicht liegen in:
Quellcode
öffentlichen Repositories
Klartextdateien
Chatnachrichten
ungeschützten Wikiseiten
unverschlüsselten Backups
Merksatz:
Secrets gehören in geschützte Secret-Verwaltung.
Secret Management
Secret Management bedeutet:
geheime Informationen sicher speichern,
verteilen
rotieren
und widerrufen.
Wichtig:
Zugriff begrenzen
Nutzung protokollieren
Rotation ermöglichen
keine Klartextspeicherung
Notfallzugriff regeln
alte Secrets entfernen
Merksatz:
Secret Management verhindert unkontrollierten Umgang mit Zugangsdaten.
MFA in der Cloud
MFA steht für:
Multi-Faktor-Authentifizierung
MFA sollte besonders gelten für:
Administratoren
externe Benutzer
Zugriff auf sensible Daten
Zugriff auf Abrechnung
Zugriff auf IAM
Zugriff auf Produktion
Zugriff von unbekannten Geräten
Merksatz:
Cloud-Adminzugänge ohne MFA sind ein hohes Risiko.
Conditional Access
Conditional Access bedeutet:
Zugriff wird von Bedingungen abhängig gemacht.
Bedingungen können sein:
Benutzerrolle
Gerätetyp
Gerätezustand
Standort
Risiko des Logins
Anwendung
MFA erfüllt
Uhrzeit
Netzwerk
Beispiel:
Adminzugriff nur mit MFA und verwaltetem Gerät.
Merksatz:
Conditional Access prüft Kontext vor Zugriff.
Zero Trust in der Cloud
Zero Trust bedeutet:
keinem Zugriff automatisch vertrauen.
Auch innerhalb der Cloud wird geprüft:
Wer greift zu?
Von welchem Gerät?
Auf welche Ressource?
Mit welchem Risiko?
Mit welcher Rolle?
Ist MFA erfüllt?
Ist Zugriff ungewöhnlich?
Merksatz:
Zero Trust prüft jeden Zugriff kontextbezogen.
Rollenbasierte Zugriffskontrolle
Rollenbasierte Zugriffskontrolle wird oft abgekürzt:
RBAC
RBAC bedeutet:
Rechte werden über Rollen vergeben.
Beispiel:
Rolle Leser:
darf Ressourcen ansehen
Rolle Netzwerkadministrator:
darf Netzwerke verwalten
Rolle Besitzer:
darf fast alles verwalten
Merksatz:
RBAC macht Rechteverwaltung strukturierter.
Attributbasierte Zugriffskontrolle
Attributbasierte Zugriffskontrolle wird oft abgekürzt:
ABAC
ABAC entscheidet anhand von Attributen.
Beispiele für Attribute:
Abteilung
Projekt
Umgebung
Datenklasse
Standort
Gerätestatus
Tag
Uhrzeit
Merksatz:
ABAC nutzt Eigenschaften für Zugriffsentscheidungen.
RBAC und ABAC vergleichen
Merkmal
RBAC
ABAC
Grundlage
Rollen
Attribute
Beispiel
Admin, Leser, Entwickler
Projekt, Tag, Standort, Datenklasse
Vorteil
übersichtlich
sehr flexibel
Nachteil
Rollen können zu grob werden
komplexer zu planen
Einsatz
klassische Rechtevergabe
feinere Kontextregeln
Merksatz:
RBAC arbeitet mit Rollen.
ABAC arbeitet mit Eigenschaften.
Mandant und Tenant
Ein Tenant ist ein logisch getrennter Bereich in einer Cloud- oder SaaS-Plattform.
Er enthält typischerweise:
Benutzer
Gruppen
Rollen
Richtlinien
Anwendungen
Einstellungen
Ressourcen
Abrechnung
Merksatz:
Tenant = eigener Verwaltungsbereich in einer Cloud-Plattform.
Mandantentrennung
Mandantentrennung bedeutet:
Daten und Ressourcen verschiedener Kunden oder Organisationseinheiten werden logisch getrennt.
Wichtig bei:
Public Cloud
SaaS
Hosting
Multi-Tenant-Anwendungen
Dienstleisterplattformen
Merksatz:
Mandantentrennung verhindert Vermischung fremder Kundenbereiche.
Single Sign-On
Single Sign-On wird abgekürzt:
SSO
SSO bedeutet:
Benutzer melden sich einmal an
und können mehrere Dienste nutzen.
Vorteile:
weniger Passwörter
zentrale Anmeldung
bessere Kontrolle
einfacheres Offboarding
MFA zentral möglich
Merksatz:
SSO vereinfacht Anmeldung und zentrale Zugriffskontrolle.
Identity Provider
Identity Provider wird oft abgekürzt:
IdP
Ein Identity Provider stellt Identitäten und Anmeldungen bereit.
Er prüft zum Beispiel:
Benutzername
Passwort
MFA
Richtlinien
Gruppen
Rollen
Merksatz:
IdP ist die zentrale Stelle für Anmeldung.
Föderation
Föderation bedeutet:
Eine Organisation vertraut der Anmeldung einer anderen Identitätsquelle.
Beispiel:
Benutzer meldet sich mit Unternehmensidentität bei einem Cloud-Dienst an.
Der Cloud-Dienst muss das Passwort nicht selbst verwalten,
sondern vertraut dem Identity Provider.
Merksatz:
Föderation verbindet Identitätswelten.
SAML
SAML steht für:
Security Assertion Markup Language
SAML wird häufig für Single Sign-On genutzt.
Grundidee:
Identity Provider bestätigt dem Dienst,
dass der Benutzer erfolgreich angemeldet ist.
Merksatz:
SAML ermöglicht SSO zwischen Identitätsanbieter und Dienst.
OAuth 2.0
OAuth 2.0 ist ein Autorisierungsstandard.
Er wird genutzt,
damit Anwendungen Zugriff auf Ressourcen erhalten können,
ohne direkt das Benutzerpasswort zu kennen.
Beispiel:
Eine Anwendung darf auf Kalenderdaten zugreifen,
nachdem der Benutzer zugestimmt hat.
Merksatz:
OAuth 2.0 regelt delegierte Autorisierung.
OpenID Connect
OpenID Connect baut auf OAuth 2.0 auf
und ergänzt Authentifizierung.
Es wird häufig für moderne Logins genutzt.
Merksatz:
OpenID Connect ergänzt OAuth 2.0 um Identitätsinformationen.
Authentifizierung und Autorisierung in der Cloud
Authentifizierung:
Wer bist du?
Autorisierung:
Was darfst du?
Beispiele:
Benutzer meldet sich erfolgreich an.
Das ist Authentifizierung.
Benutzer darf eine VM löschen.
Das ist Autorisierung.
Merksatz:
Anmeldung und Berechtigung immer unterscheiden.
Cloud-Netzwerksicherheit
Cloud-Netzwerksicherheit umfasst:
VPC oder VNet
Subnetze
Security Groups
NSGs
Firewalls
private Endpunkte
VPN
Peering
Routing
DNS
WAF
DDoS-Schutz
Merksatz:
Cloud-Sicherheit besteht aus IAM und Netzwerkschutz.
Private Endpoint
Ein Private Endpoint macht einen Cloud-Dienst über eine private IP im eigenen Cloud-Netz erreichbar.
Vorteil:
Zugriff muss nicht über das öffentliche Internet erfolgen.
Beispiel:
Anwendung greift auf Cloud-Datenbank über private Adresse zu.
Merksatz:
Private Endpoint hält Cloud-Dienste intern erreichbar.
Public Endpoint
Ein Public Endpoint ist öffentlich über das Internet erreichbar.
Beispiele:
öffentliche API
Webanwendung
öffentliches SaaS-Portal
Storage-URL mit öffentlichem Zugriff
Wichtig:
Public Endpoints brauchen starke Zugriffskontrolle,
TLS,
Logging
und Schutzregeln.
Merksatz:
Public Endpoint nur bewusst und abgesichert nutzen.
WAF
WAF steht für:
Web Application Firewall
Eine WAF schützt Webanwendungen vor typischen Angriffen.
Beispiele:
SQL Injection
Cross-Site Scripting
bösartige Requests
ungewöhnliche Muster
bekannte Angriffssignaturen
Merksatz:
WAF schützt Webanwendungen auf Anwendungsebene.
DDoS-Schutz
DDoS steht für:
Distributed Denial of Service
Dabei versuchen viele Systeme,
einen Dienst durch massenhafte Anfragen zu überlasten.
Cloud-Anbieter bieten oft Schutzfunktionen gegen DDoS-Angriffe.
Merksatz:
DDoS-Schutz soll Dienste trotz Massenangriffen verfügbar halten.
Verschlüsselung in der Cloud
Verschlüsselung ist wichtig für:
Daten bei Übertragung
Daten im Ruhezustand
Backups
Datenbanken
Speicher
Logs
Schlüsselverwaltung
Merksatz:
Verschlüsselung schützt Daten,
ersetzt aber keine Rechteverwaltung.
Verschlüsselung während der Übertragung
Daten während der Übertragung sollten verschlüsselt werden.
Typische Technik:
TLS
Beispiele:
HTTPS
API-Aufrufe
Datenbankverbindungen
Verwaltungsschnittstellen
SaaS-Zugriffe
Merksatz:
Daten unterwegs mit TLS schützen.
Verschlüsselung im Ruhezustand
Daten im Ruhezustand sind gespeicherte Daten.
Beispiele:
Datenbankdaten
Dateien im Storage
Backups
Snapshots
Logs
virtuelle Festplatten
Diese Daten sollten verschlüsselt gespeichert werden.
Merksatz:
Gespeicherte Daten ebenfalls verschlüsseln.
Schlüsselverwaltung
Verschlüsselung braucht Schlüssel.
Wichtige Fragen:
Wer erstellt Schlüssel?
Wer verwaltet Schlüssel?
Wer darf Schlüssel nutzen?
Werden Schlüssel rotiert?
Wo werden Schlüssel gespeichert?
Was passiert bei Schlüsselverlust?
Wer kann Daten entschlüsseln?
Merksatz:
Verschlüsselung ist nur so sicher wie die Schlüsselverwaltung.
KMS
KMS steht für:
Key Management Service
Ein KMS verwaltet kryptografische Schlüssel.
Aufgaben:
Schlüssel erzeugen
Schlüssel speichern
Schlüssel rotieren
Zugriff auf Schlüssel steuern
Nutzung protokollieren
Schlüssel deaktivieren oder löschen
Merksatz:
KMS verwaltet Schlüssel für Cloud-Verschlüsselung.
Kundenverwaltete Schlüssel
Bei kundenverwalteten Schlüsseln kontrolliert der Kunde stärker,
welche Schlüssel für Verschlüsselung genutzt werden.
Vorteile:
mehr Kontrolle
eigene Richtlinien
Schlüsselrotation steuerbar
Zugriff besser begrenzbar
Risiko:
Schlüsselverlust kann Daten unbrauchbar machen.
Merksatz:
Mehr Schlüsselhoheit bedeutet auch mehr Verantwortung.
Cloud-Logging
Cloud-Logging ist sicherheitskritisch.
Wichtige Logarten:
Anmeldungen
API-Aufrufe
Rechteänderungen
Netzwerkzugriffe
Firewall-Entscheidungen
Datenzugriffe
Adminaktionen
Fehlermeldungen
Sicherheitsereignisse
Kostenereignisse
Merksatz:
Cloud-Logs zeigen,
wer was wann getan hat.
Audit-Logs
Audit-Logs dokumentieren administrative und sicherheitsrelevante Aktionen.
Beispiele:
Benutzer erstellt
Rolle geändert
Firewall geöffnet
VM gelöscht
Speicher öffentlich gemacht
API-Schlüssel erstellt
MFA deaktiviert
Backup gelöscht
Merksatz:
Audit-Logs sind wichtig für Nachvollziehbarkeit.
Cloud-Monitoring
Cloud-Monitoring überwacht Betrieb und Sicherheit.
Wichtige Werte:
Verfügbarkeit
CPU
RAM
Speicher
Datenbanklast
Netzwerkverkehr
Loginfehler
ungewöhnliche Zugriffe
Kosten
Zertifikatsablauf
Backupstatus
Merksatz:
Monitoring erkennt technische und sicherheitsrelevante Probleme.
SIEM
SIEM steht für:
Security Information and Event Management
Ein SIEM sammelt und analysiert Sicherheitslogs aus verschiedenen Quellen.
Ziel:
Angriffe erkennen
Auffälligkeiten korrelieren
Alarmierungen erzeugen
Sicherheitsvorfälle untersuchen
Nachweise bereitstellen
Merksatz:
SIEM hilft,
Sicherheitsereignisse zentral auszuwerten.
Cloud-Backup
Auch Cloud-Dienste brauchen Backup.
Wichtige Fragen:
Welche Daten werden gesichert?
Wie oft?
Wie lange?
Wo werden Backups gespeichert?
Wer darf wiederherstellen?
Sind Backups verschlüsselt?
Sind Backups vor Löschung geschützt?
Wurde Wiederherstellung getestet?
Merksatz:
Cloud ist kein Ersatz für Backup.
Ransomware-Schutz in der Cloud
Auch Cloud-Daten können durch Ransomware betroffen sein.
Risiken:
synchronisierte verschlüsselte Dateien
gelöschte Backups
kompromittierte Adminzugänge
manipulierte Datenbanken
missbrauchte API-Schlüssel
Schutz:
MFA
getrennte Adminrollen
unveränderliche Backups
Versionierung
Least Privilege
Monitoring
schnelles Offboarding
Merksatz:
Ransomware-Schutz braucht Backup,
Rechtebegrenzung
und Monitoring.
Immutable Backup
Immutable bedeutet:
unveränderlich
Ein Immutable Backup kann für einen festgelegten Zeitraum nicht verändert oder gelöscht werden.
Vorteil:
Schutz vor versehentlicher Löschung
Schutz vor Ransomware
bessere Wiederherstellungschancen
Merksatz:
Unveränderliche Backups schützen vor Manipulation und Löschung.
Datenschutz in der Cloud
Cloud-Datenschutz fragt:
Welche Daten werden verarbeitet?
Wo werden Daten gespeichert?
Wer hat Zugriff?
Gibt es Auftragsverarbeitung?
Sind Daten verschlüsselt?
Gibt es Löschkonzepte?
Wie werden Betroffenenrechte erfüllt?
Werden Logs personenbezogen?
Welche Unterauftragnehmer gibt es?
Merksatz:
Cloud-Dienste brauchen Datenschutzprüfung.
Datenklassifizierung
Datenklassifizierung bedeutet:
Daten werden nach Schutzbedarf eingeteilt.
Beispiele:
öffentlich
intern
vertraulich
streng vertraulich
personenbezogen
geschäftskritisch
Je höher der Schutzbedarf,
desto strenger müssen Zugriff,
Verschlüsselung,
Logging
und Speicherort geregelt sein.
Merksatz:
Schutzmaßnahmen richten sich nach Datenklasse.
Compliance in der Cloud
Compliance bedeutet:
Einhaltung von Regeln,
Gesetzen,
Standards
und internen Vorgaben.
Cloud-relevant:
Datenschutz
Informationssicherheit
Aufbewahrung
Löschung
Auditierbarkeit
Zugriffskontrolle
Datenstandort
Vertragsprüfung
Branchenvorgaben
Merksatz:
Cloud muss zu rechtlichen und organisatorischen Vorgaben passen.
Cloud-Sicherheitsrichtlinie
Eine Cloud-Sicherheitsrichtlinie sollte festlegen:
erlaubte Dienste
erlaubte Regionen
Rollenmodell
MFA-Pflicht
Logging-Pflicht
Verschlüsselung
Backup-Vorgaben
Tagging
Kostenkontrolle
Freigabeprozesse
Umgang mit externen Benutzern
Lösch- und Aufbewahrungsregeln
Merksatz:
Cloud-Sicherheit braucht klare Regeln.
Cloud-Governance
Cloud Governance bedeutet:
Steuerung und Kontrolle der Cloud-Nutzung.
Ziele:
Sicherheit
Kostenkontrolle
Compliance
Standardisierung
klare Verantwortlichkeiten
Vermeidung von Schatten-IT
Nachvollziehbarkeit
Ordnung in Ressourcen
Merksatz:
Governance sorgt dafür,
dass Cloud kontrolliert genutzt wird.
Typische Cloud-Sicherheitsfehler
Häufige Fehler:
MFA nicht aktiviert
Adminrechte zu breit
öffentliche Speicherfreigaben
Datenbank öffentlich erreichbar
Security Group erlaubt 0.0.0.0/0 auf Adminport
API-Schlüssel im Quellcode
Servicekonto mit Vollzugriff
Logs deaktiviert
Backups nicht getestet
alte Benutzerkonten aktiv
keine Kostenalarme
kein Offboarding
falsche Region
keine Verschlüsselung
keine Rechteprüfung
Merksatz:
Cloud-Sicherheitsfehler sind oft Konfigurationsfehler.
Checkliste: Cloud-IAM sicher gestalten
MFA für Admins erzwingen.
Keine Sammelkonten nutzen.
Benutzer eindeutig zuordnen.
Gruppen und Rollen verwenden.
Least Privilege umsetzen.
Adminrechte zeitlich begrenzen.
Servicekonten minimal berechtigen.
API-Schlüssel schützen.
Secrets nicht im Quellcode speichern.
Regelmäßige Rechteprüfung durchführen.
Offboarding konsequent umsetzen.
Audit-Logs aktivieren.
Merksatz:
IAM ist die wichtigste Sicherheitsbasis in der Cloud.
Checkliste: Cloud-Ressourcen sicher konfigurieren
Öffentliche Erreichbarkeit prüfen.
Managementports nicht öffentlich öffnen.
Datenbanken privat bereitstellen.
Security Groups eng setzen.
Verschlüsselung aktivieren.
Backups einrichten.
Logs aktivieren.
Monitoring einrichten.
Tags setzen.
Kostenalarme setzen.
Region bewusst auswählen.
Änderungen dokumentieren.
Merksatz:
Cloud-Ressourcen sicher konfigurieren,
bevor sie produktiv genutzt werden.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was bedeutet Shared Responsibility Model?
- Was ist IAM?
- Warum ist IAM in der Cloud wichtig?
- Was ist der Unterschied zwischen Authentifizierung und Autorisierung?
- Was bedeutet Least Privilege?
- Was ist RBAC?
- Was ist ABAC?
- Was ist ein Tenant?
- Was ist Mandantentrennung?
- Warum sollte MFA für Cloud-Admins Pflicht sein?
- Warum sind API-Schlüssel kritisch?
- Was ist Secret Management?
- Was ist ein Private Endpoint?
- Was ist eine WAF?
- Was ist ein KMS?
- Warum ersetzt Verschlüsselung keine Rechteverwaltung?
- Warum braucht Cloud Logging und Monitoring?
- Warum ist Cloud kein Ersatz für Backup?
- Was ist ein Immutable Backup?
- Warum ist Datenklassifizierung wichtig?
Typische Prüfungsfallen
Cloud-Sicherheit ist gemeinsame Verantwortung.
Anbieter ist nicht automatisch für Kundendatenrechte verantwortlich.
Daten,
Benutzer
und Rechte bleiben fast immer Kundenthema.
IAM ist zentral für Cloud-Sicherheit.
Authentifizierung ist nicht Autorisierung.
MFA für Admins ist besonders wichtig.
Adminrechte nicht dauerhaft und breit vergeben.
Servicekonten sind ebenfalls Identitäten.
API-Schlüssel wie Passwörter behandeln.
Secrets nicht im Quellcode speichern.
RBAC arbeitet mit Rollen.
ABAC arbeitet mit Attributen.
Tenant ist ein Verwaltungsbereich.
Mandantentrennung schützt Kundenbereiche.
SSO vereinfacht zentrale Anmeldung.
OAuth 2.0 ist Autorisierung.
OpenID Connect ergänzt Authentifizierung.
Private Endpoint vermeidet öffentlichen Zugriff.
Public Endpoint braucht besonderen Schutz.
WAF schützt Webanwendungen.
Verschlüsselung ersetzt keine Zugriffsrechte.
KMS verwaltet Schlüssel.
Cloud-Logs müssen aktiv sein.
Backup muss auch in der Cloud geplant werden.
Immutable Backup schützt vor Löschung und Manipulation.
Datenschutz und Compliance müssen geprüft werden.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Shared Responsibility
geteilte Verantwortung zwischen Anbieter und Kunde
IAM
Identity and Access Management
Identität
Konto oder Dienst mit Zugriff
Benutzer
menschliche Identität
Gruppe
Zusammenfassung von Benutzern
Rolle
Aufgabenbezogene Rechte
Berechtigung
konkrete Erlaubnis
Richtlinie
Regel für Zugriff
Least Privilege
minimale notwendige Rechte
Need to Know
Zugriff nur bei Bedarf
PAM
Kontrolle privilegierter Zugriffe
Just-in-Time
zeitlich begrenzte Rechte
Servicekonto
Identität für Dienst oder Anwendung
API-Schlüssel
Zugriffsschlüssel für Programme
Secret
geheime Information
Secret Management
Verwaltung geheimer Informationen
MFA
Multi-Faktor-Authentifizierung
Conditional Access
Zugriff abhängig von Bedingungen
Zero Trust
kein automatisches Vertrauen
RBAC
rollenbasierte Zugriffskontrolle
ABAC
attributbasierte Zugriffskontrolle
Tenant
logisch getrennter Verwaltungsbereich
Mandantentrennung
Trennung verschiedener Kundenbereiche
SSO
Single Sign-On
IdP
Identity Provider
Föderation
Vertrauen zwischen Identitätsquellen
SAML
SSO-Standard
OAuth 2.0
delegierte Autorisierung
OpenID Connect
Authentifizierung auf Basis von OAuth 2.0
Private Endpoint
privater Zugriff auf Cloud-Dienst
Public Endpoint
öffentlicher Zugriffspunkt
WAF
Web Application Firewall
DDoS
Überlastungsangriff
KMS
Key Management Service
Audit-Log
Nachweis sicherheitsrelevanter Aktionen
SIEM
zentrale Sicherheitslog-Auswertung
Immutable Backup
unveränderliches Backup
Datenklassifizierung
Einteilung nach Schutzbedarf
Compliance
Einhaltung von Vorgaben
Cloud Governance
Steuerung der Cloud-Nutzung
IHK-sichere Kurzformulierung
Cloud-Sicherheit basiert auf dem Shared Responsibility Model. Der Anbieter schützt je nach Service-Modell die Plattform, Infrastruktur und den Dienstbetrieb, während der Kunde für Benutzer, Rollen, Berechtigungen, Daten, sichere Konfiguration, Zugriffsschutz, Backup, Logging, Monitoring und Compliance verantwortlich bleibt. IAM, also Identity and Access Management, ist ein zentraler Bestandteil der Cloud-Sicherheit, da es regelt, wer welche Ressourcen nutzen oder verändern darf. Wichtige Prinzipien sind MFA, Least Privilege, rollenbasierte Rechtevergabe, sichere Servicekonten, Schutz von API-Schlüsseln, Secret Management, Logging, Verschlüsselung und regelmäßige Rechteprüfung. Cloud-Sicherheit entsteht durch Technik, Prozesse und klare Verantwortlichkeiten.
Merksätze
Cloud-Sicherheit ist gemeinsame Verantwortung.
Anbieter schützt Plattform,
Kunde schützt Nutzung und Daten.
Daten,
Benutzer
und Rechte bleiben fast immer Kundenthema.
IAM entscheidet,
wer was darf.
Nicht nur Menschen haben Identitäten.
Servicekonten brauchen minimale Rechte.
API-Schlüssel wie Passwörter behandeln.
Secrets nicht im Quellcode speichern.
MFA für Admins erzwingen.
Authentifizierung = Wer bist du?
Autorisierung = Was darfst du?
Least Privilege gilt immer.
Adminrechte zeitlich und fachlich begrenzen.
Sammelkonten vermeiden.
RBAC nutzt Rollen.
ABAC nutzt Attribute.
Tenant ist ein Cloud-Verwaltungsbereich.
SSO vereinfacht zentrale Anmeldung.
IdP prüft Identitäten.
OAuth 2.0 ist Autorisierung.
OpenID Connect ergänzt Authentifizierung.
Private Endpoint hält Zugriff intern.
Public Endpoint besonders schützen.
WAF schützt Webanwendungen.
DDoS-Schutz schützt Verfügbarkeit.
Verschlüsselung ersetzt keine Rechte.
KMS verwaltet Schlüssel.
Audit-Logs zeigen Adminaktionen.
SIEM wertet Sicherheitsereignisse zentral aus.
Cloud ist kein Ersatz für Backup.
Immutable Backup schützt vor Manipulation.
Datenklassifizierung bestimmt Schutzbedarf.
Cloud Governance schafft Regeln.
Fehlkonfiguration ist eines der größten Cloud-Risiken.
15.6 Cloud-Speicher, Backup und Datenmanagement
Cloud-Speicher ist Speicherplatz,
der als Dienst über ein Netzwerk bereitgestellt wird.
Er wird genutzt für:
- Dateien
- Backups
- Datenbanken
- Archive
- Logs
- Medien
- virtuelle Festplatten
- Anwendungsdaten
- Dokumente
- Wiederherstellung nach Ausfällen
Merksatz:
Cloud-Speicher ist Speicher als Dienst,
aber kein automatisches Backup-Konzept.
Warum Cloud-Speicher wichtig ist
Daten sind für Unternehmen oft wichtiger als die Systeme selbst.
Ein Server kann neu installiert werden.
Aber verlorene Daten können kritisch sein.
Cloud-Speicher hilft bei:
zentraler Speicherung
Skalierung
weltweiter Verfügbarkeit
Backup
Archivierung
Zusammenarbeit
Datenanalyse
Notfallwiederherstellung
Merksatz:
Cloud-Speicher muss nach Datenart,
Zugriff,
Schutzbedarf
und Kosten geplant werden.
Arten von Cloud-Speicher
Die wichtigsten Speicherarten sind:
- Objektspeicher
- Blockspeicher
- Dateispeicher
- Archivspeicher
- Datenbankspeicher
- Backup-Speicher
Merksatz:
Nicht jeder Cloud-Speicher ist für denselben Zweck geeignet.
Objektspeicher
Objektspeicher speichert Daten als Objekte.
Ein Objekt besteht typischerweise aus:
Dateiinhalt
Metadaten
eindeutigem Namen oder Schlüssel
Typische Nutzung:
Backups
Bilder
Videos
Dokumente
Logs
Archivdaten
statische Webseiten
große unstrukturierte Datenmengen
Merksatz:
Objektspeicher eignet sich gut für viele unstrukturierte Dateien.
Objektspeicher einfach erklärt
Bei Objektspeicher denkt man nicht zuerst an Ordner und Laufwerke,
sondern an Objekte in einem Speicherbereich.
Beispiel:
Objekt:
rechnung-2026-07.pdf
Metadaten:
Dateityp,
Erstellungsdatum,
Besitzer,
Speicherklasse,
Verschlüsselung
Schlüssel:
kunden/2026/rechnung-2026-07.pdf
Merksatz:
Objektspeicher arbeitet mit Objekten,
Schlüsseln
und Metadaten.
Bucket
Ein Bucket ist ein Speicherbehälter im Objektspeicher.
Darin liegen Objekte.
Beispiele:
backup-produktiv
dokumente-intern
logs-archiv
bilder-webseite
Wichtig:
Bucket-Berechtigungen sind sicherheitskritisch.
Merksatz:
Bucket = Speicherbehälter für Objekte.
Bucket-Berechtigungen
Ein häufiger Cloud-Fehler:
Bucket ist öffentlich lesbar.
Mögliche Folgen:
vertrauliche Daten werden öffentlich
personenbezogene Daten werden offengelegt
Backups können heruntergeladen werden
interne Dokumente sind sichtbar
Angreifer finden Zugangsdaten oder Logs
Merksatz:
Öffentliche Buckets sind ein großes Sicherheitsrisiko.
Objektspeicher: Vorteile
Vorteile:
sehr skalierbar
gut für große Datenmengen
Metadaten möglich
oft hohe Haltbarkeit
verschiedene Speicherklassen
gut für Backup und Archiv
Zugriff über APIs
Versionierung möglich
Merksatz:
Objektspeicher ist stark bei Skalierung und unstrukturierten Daten.
Objektspeicher: Nachteile
Nachteile:
nicht wie eine klassische Festplatte
nicht ideal für jede Anwendung
Latenz kann höher sein
Zugriff meist über API
Rechte müssen sauber gesetzt werden
Kosten für Zugriff und Datenübertragung beachten
Merksatz:
Objektspeicher ist kein direkter Ersatz für jedes Dateisystem.
Blockspeicher
Blockspeicher stellt Speicherblöcke bereit,
ähnlich wie eine Festplatte.
Typische Nutzung:
virtuelle Maschinen
Betriebssystemplatten
Datenbankserver
Anwendungen mit Dateisystem
leistungsabhängige Workloads
Beispiele:
virtuelle Systemplatte
virtuelle Datenplatte
Datenbankvolume
Merksatz:
Blockspeicher verhält sich wie eine virtuelle Festplatte.
Blockspeicher: Vorteile
Vorteile:
gut für Betriebssysteme
gut für Datenbanken
geringe Latenz möglich
Dateisystem frei wählbar
an virtuelle Maschinen anbindbar
Leistung oft wählbar
Merksatz:
Blockspeicher eignet sich für VMs und leistungsabhängige Anwendungen.
Blockspeicher: Nachteile
Nachteile:
meist an einzelne Instanzen gebunden
Verwaltung von Dateisystem bleibt nötig
falsche Größe oder Leistung kann Kosten erzeugen
Backup muss geplant werden
nicht ideal für einfache Dateifreigaben zwischen vielen Systemen
Merksatz:
Blockspeicher braucht Administration wie eine Festplatte.
Dateispeicher
Dateispeicher stellt Speicher als Dateifreigabe bereit.
Typische Nutzung:
gemeinsame Dateien
klassische Ordnerstrukturen
Benutzerdateien
Anwendungen mit gemeinsamem Dateisystem
zentrale Ablagen
Typische Protokolle:
SMB
NFS
Merksatz:
Dateispeicher arbeitet mit Ordnern,
Dateien
und Freigaben.
Dateispeicher: Vorteile
Vorteile:
bekannte Ordnerstruktur
gemeinsame Nutzung möglich
geeignet für klassische Anwendungen
SMB oder NFS möglich
einfache Integration in viele Systeme
Merksatz:
Dateispeicher passt gut zu klassischen Freigaben.
Dateispeicher: Nachteile
Nachteile:
Berechtigungen müssen sauber geplant werden
Performance abhängig von Dienst und Netzwerk
nicht immer so skalierbar wie Objektspeicher
Kosten für Kapazität und Leistung beachten
Backup und Versionierung prüfen
Merksatz:
Cloud-Dateifreigaben brauchen Rechtekonzept und Backup.
Objekt-, Block- und Dateispeicher vergleichen
Speicherart
Typischer Einsatz
Vergleich
Objektspeicher
Backups, Medien, Archive, Logs
Objekt mit Metadaten
Blockspeicher
VM-Festplatten, Datenbanken
virtuelle Festplatte
Dateispeicher
gemeinsame Dateien, klassische Freigaben
Ordner und Dateien
Merksatz:
Objekt für große Datenmengen,
Block für VM und Datenbank,
Datei für Freigaben.
Archivspeicher
Archivspeicher ist für Daten gedacht,
die selten benötigt werden.
Beispiele:
alte Backups
Langzeitarchive
gesetzliche Aufbewahrung
abgeschlossene Projekte
alte Logs
historische Dokumente
Vorteil:
oft günstiger für langfristige Speicherung
Nachteil:
Wiederherstellung kann länger dauern
Zugriff kann teurer sein
Mindestaufbewahrungszeiten möglich
Merksatz:
Archivspeicher ist günstig für selten genutzte Daten,
aber langsamer beim Zugriff.
Hot, Cool und Archive Storage
Viele Cloud-Anbieter unterscheiden Speicherklassen.
Typische Idee:
Speicherklasse
Nutzung
Hot
häufig genutzte Daten
Cool
selten genutzte Daten
Archive
sehr selten genutzte Langzeitdaten
Merksatz:
Je seltener der Zugriff,
desto günstiger oft die Speicherung,
aber desto teurer oder langsamer der Zugriff.
Lifecycle Management
Lifecycle Management bedeutet:
Daten werden automatisch nach Regeln verschoben oder gelöscht.
Beispiele:
Logs nach 30 Tagen in günstigere Speicherklasse verschieben.
Backups nach 1 Jahr archivieren.
temporäre Dateien nach 7 Tagen löschen.
alte Versionen nach 90 Tagen entfernen.
Merksatz:
Lifecycle-Regeln steuern den Lebenszyklus von Daten.
Versionierung
Versionierung bedeutet:
ältere Versionen einer Datei oder eines Objekts werden aufbewahrt.
Vorteile:
Wiederherstellung nach versehentlicher Änderung
Schutz vor Überschreiben
Hilfe bei Ransomware
Nachvollziehbarkeit
Aber:
Versionen verbrauchen Speicher
Kosten können steigen
Löschregeln müssen geplant werden
Merksatz:
Versionierung schützt vor Änderungen,
braucht aber Speicher- und Löschkonzept.
Snapshots
Ein Snapshot ist eine Momentaufnahme eines Systems oder Speichers.
Typische Nutzung:
VM-Zustand sichern
Volume-Zustand sichern
vor Update erstellen
schnelle Wiederherstellung
Testumgebung aus Produktivdaten erzeugen
Wichtig:
Snapshots sind nicht immer vollständiger Backup-Ersatz.
Merksatz:
Snapshot ist Momentaufnahme,
aber nicht automatisch Backup-Strategie.
Backup
Backup bedeutet:
Daten werden zusätzlich gesichert,
damit sie bei Verlust wiederhergestellt werden können.
Backup schützt vor:
versehentlichem Löschen
Hardwareausfall
Fehlkonfiguration
Ransomware
Datenkorruption
Benutzerfehler
fehlerhaften Updates
Ausfall eines Dienstes
Merksatz:
Backup ist nur wertvoll,
wenn Wiederherstellung funktioniert.
Cloud ist kein Backup
Ein häufiger Denkfehler:
Die Daten liegen in der Cloud,
also brauche ich kein Backup.
Das ist falsch.
Auch in der Cloud können Daten verloren gehen durch:
Benutzerfehler
falsche Synchronisation
Ransomware
gelöschte Benutzer
kompromittierte Adminzugänge
Fehlkonfiguration
abgelaufene Aufbewahrung
defekte Anwendung
Anbieterproblem
Merksatz:
Cloud-Speicherung ersetzt kein Backup-Konzept.
Backup-Ziele
Ein Backup-Konzept muss klären:
Was wird gesichert?
Wie oft wird gesichert?
Wie lange wird gesichert?
Wo wird gesichert?
Wer darf wiederherstellen?
Wie wird Wiederherstellung getestet?
Wie wird Backup geschützt?
Wie schnell muss Wiederherstellung sein?
Wie viel Datenverlust ist tolerierbar?
Merksatz:
Backup ohne Wiederherstellungsziel ist unvollständig.
RPO
RPO steht für:
Recovery Point Objective
RPO beschreibt,
wie viel Datenverlust maximal akzeptabel ist.
Beispiel:
RPO = 24 Stunden
Bedeutung:
Im schlimmsten Fall dürfen Daten der letzten 24 Stunden verloren gehen.
Merksatz:
RPO fragt:
Wie viel Datenverlust ist erlaubt?
RTO
RTO steht für:
Recovery Time Objective
RTO beschreibt,
wie schnell ein System wiederhergestellt sein muss.
Beispiel:
RTO = 4 Stunden
Bedeutung:
Das System soll innerhalb von 4 Stunden wieder verfügbar sein.
Merksatz:
RTO fragt:
Wie lange darf Wiederherstellung dauern?
RPO und RTO vergleichen
Begriff
Frage
Beispiel
RPO
Wie viel Datenverlust ist erlaubt?
maximal 1 Stunde Datenverlust
RTO
Wie lange darf Ausfall dauern?
Wiederherstellung in 4 Stunden
Merksatz:
RPO betrifft Datenverlust.
RTO betrifft Ausfallzeit.
Backup-Arten
Wichtige Backup-Arten:
Vollbackup
inkrementelles Backup
differentielles Backup
Snapshot
Replikation
Archivierung
Merksatz:
Backup-Art beeinflusst Speicherbedarf,
Dauer
und Wiederherstellung.
Vollbackup
Ein Vollbackup sichert alle ausgewählten Daten vollständig.
Vorteile:
einfache Wiederherstellung
vollständiger Sicherungsstand
unabhängig von vielen Zwischenschritten
Nachteile:
hoher Speicherbedarf
längere Sicherungsdauer
mehr Last
Merksatz:
Vollbackup ist vollständig,
aber aufwendiger.
Inkrementelles Backup
Ein inkrementelles Backup sichert nur Änderungen seit dem letzten Backup.
Vorteile:
weniger Speicherbedarf
schneller als Vollbackup
weniger Datenübertragung
Nachteile:
Wiederherstellung kann mehrere Sicherungen benötigen
Backup-Kette muss intakt sein
Merksatz:
Inkrementell sichert nur neue Änderungen seit dem letzten Backup.
Differentielles Backup
Ein differentielles Backup sichert Änderungen seit dem letzten Vollbackup.
Vorteile:
Wiederherstellung einfacher als bei langen inkrementellen Ketten
weniger aufwendig als tägliches Vollbackup
Nachteile:
wächst bis zum nächsten Vollbackup
braucht mehr Speicher als inkrementell
Merksatz:
Differentiell sichert Änderungen seit dem letzten Vollbackup.
Replikation
Replikation bedeutet:
Daten werden auf ein anderes System oder in eine andere Region kopiert.
Ziel:
höhere Verfügbarkeit
schnellere Umschaltung
Schutz vor Standortausfall
Aber:
Replikation ist nicht automatisch Backup.
Warum?
Fehler,
Löschungen
oder Ransomware können mit repliziert werden.
Merksatz:
Replikation schützt Verfügbarkeit,
Backup schützt Wiederherstellung.
Backup und Replikation vergleichen
Merkmal
Backup
Replikation
Zweck
Wiederherstellung alter Stände
Verfügbarkeit und Kopie
schützt vor Löschen
ja, wenn richtig aufbewahrt
nicht unbedingt
schützt vor Ransomware
ja, wenn isoliert oder unveränderlich
nicht unbedingt
Zugriff
meist Wiederherstellung nötig
oft direkt nutzbar
Risiko
Backup zu alt
Fehler wird mitkopiert
Merksatz:
Replikation ist kein Ersatz für Backup.
3-2-1-Regel
Die 3-2-1-Regel ist eine bekannte Backup-Grundregel.
Sie bedeutet:
3 Kopien der Daten
2 unterschiedliche Speichermedien oder Speicherarten
1 Kopie außer Haus oder getrennt vom Hauptsystem
Für Cloud kann man ergänzen:
eine Kopie unveränderlich oder besonders geschützt
Merksatz:
Mehrere getrennte Kopien schützen besser vor Datenverlust.
Immutable Backup
Immutable bedeutet:
unveränderlich
Ein Immutable Backup kann für eine festgelegte Zeit nicht verändert oder gelöscht werden.
Vorteile:
Schutz vor Ransomware
Schutz vor versehentlicher Löschung
Schutz vor kompromittierten Konten
bessere Wiederherstellungschance
Merksatz:
Immutable Backup schützt vor Manipulation und Löschung.
Air Gap
Air Gap bedeutet:
Eine Sicherung ist vom produktiven System getrennt.
Klassisch:
offline gelagertes Backup
In Cloud-Konzepten:
logisch getrennte Konten
getrennte Berechtigungen
unveränderliche Backups
getrennte Regionen
separate Backup-Tenants
Merksatz:
Air Gap bedeutet Trennung vom normalen Zugriffspfad.
Backup-Verschlüsselung
Backups enthalten oft sehr sensible Daten.
Deshalb sollten Backups verschlüsselt werden.
Wichtig:
Schlüssel sicher verwalten
Zugriff begrenzen
Wiederherstellung testen
Schlüsselverlust vermeiden
Schlüsselrotation planen
Merksatz:
Verschlüsseltes Backup ist nur nutzbar,
wenn Schlüssel verfügbar sind.
Backup-Zugriffsrechte
Nicht jeder Administrator sollte Backups löschen dürfen.
Wichtige Regeln:
getrennte Backup-Adminrolle
Wiederherstellung nur berechtigte Personen
Löschung stark begrenzen
MFA für Backupverwaltung
Protokollierung
Genehmigung bei kritischen Aktionen
Merksatz:
Wer Backups löschen kann,
kann Wiederherstellung verhindern.
Restore
Restore bedeutet:
Daten werden aus einem Backup wiederhergestellt.
Mögliche Arten:
einzelne Datei wiederherstellen
gesamtes Verzeichnis wiederherstellen
Datenbank wiederherstellen
VM wiederherstellen
Anwendung wiederherstellen
System in anderer Region wiederherstellen
Merksatz:
Backup ohne getesteten Restore ist unsicher.
Restore-Test
Ein Restore-Test prüft,
ob eine Wiederherstellung wirklich funktioniert.
Warum wichtig?
Backup könnte unvollständig sein.
Rechte könnten fehlen.
Schlüssel könnten fehlen.
Wiederherstellung dauert zu lange.
Anwendung startet nicht.
Daten sind inkonsistent.
Merksatz:
Erst Restore-Test zeigt,
ob Backup wirklich brauchbar ist.
Datenkonsistenz
Datenkonsistenz bedeutet:
Daten sind logisch korrekt und zusammenpassend.
Problem:
Wenn eine Datenbank während des Backups verändert wird,
kann ein einfaches Dateibackup inkonsistent sein.
Lösung:
anwendungskonsistente Backups
Datenbank-Dumps
Snapshots mit Quiescing
Transaktionslogs
passende Backup-Agenten
Merksatz:
Datenbanken brauchen konsistente Backups.
Datenbank-Backup
Datenbanken brauchen besondere Backup-Verfahren.
Wichtige Punkte:
konsistenter Zustand
Transaktionslogs
Point-in-Time-Recovery
regelmäßige Restore-Tests
Verschlüsselung
Aufbewahrung
Rechtekontrolle
Merksatz:
Datenbankdateien einfach kopieren reicht oft nicht.
Point-in-Time-Recovery
Point-in-Time-Recovery bedeutet:
Wiederherstellung auf einen bestimmten Zeitpunkt.
Beispiel:
Datenbankzustand von gestern 14:35 Uhr wiederherstellen.
Nützlich bei:
versehentlicher Löschung
fehlerhaftem Import
falschem Update
Ransomware
Datenkorruption
Merksatz:
Point-in-Time-Recovery stellt gezielt einen Zeitpunkt wieder her.
Aufbewahrungsfrist
Aufbewahrungsfrist bedeutet:
Wie lange Daten oder Backups gespeichert werden.
Beispiele:
tägliche Backups 30 Tage
monatliche Backups 12 Monate
Jahresarchive 10 Jahre
Wichtig:
technische Anforderungen
rechtliche Vorgaben
Datenschutz
Speicherplatz
Kosten
Merksatz:
Aufbewahrung muss fachlich,
rechtlich
und technisch passen.
Löschkonzept
Ein Löschkonzept beschreibt,
wann Daten gelöscht werden.
Wichtig bei:
personenbezogenen Daten
alten Backups
Projektarchiven
Logs
temporären Dateien
Testdaten
Benutzerkonten
Merksatz:
Daten dürfen nicht unbegrenzt ohne Zweck gespeichert werden.
Datenklassifizierung
Datenklassifizierung bedeutet:
Daten werden nach Schutzbedarf eingeteilt.
Beispiele:
öffentlich
intern
vertraulich
streng vertraulich
personenbezogen
geschäftskritisch
Die Klasse bestimmt:
Speicherort
Verschlüsselung
Zugriff
Backup
Aufbewahrung
Logging
Freigaben
Merksatz:
Datenklasse bestimmt Schutzmaßnahmen.
Personenbezogene Daten
Personenbezogene Daten sind Daten,
die sich auf eine identifizierte oder identifizierbare Person beziehen.
Beispiele:
Name
Adresse
E-Mail-Adresse
Kundennummer
Personalnummer
IP-Adresse je nach Kontext
Gesundheitsdaten
Bewerbungsdaten
Merksatz:
Personenbezogene Daten brauchen besonderen Schutz.
Datenminimierung
Datenminimierung bedeutet:
Nur Daten speichern,
die wirklich benötigt werden.
Cloud-Bezug:
keine unnötigen Kopien
keine unnötigen Exporte
keine unnötigen Logs mit Personendaten
keine ewigen Testdaten
keine Vollkopien für einfache Tests
Merksatz:
Weniger unnötige Daten bedeuten weniger Risiko.
Datenresidenz
Datenresidenz bedeutet:
Daten müssen in einem bestimmten Land oder einer bestimmten Region gespeichert werden.
Beispiel:
Speicherung innerhalb der EU
Wichtig für:
Datenschutz
Compliance
Verträge
Kundenanforderungen
Branchenvorgaben
Merksatz:
Datenresidenz beschreibt,
wo Daten liegen dürfen.
Datenhoheit
Datenhoheit bedeutet:
Wer Kontrolle über Daten hat.
Fragen:
Wer darf Daten lesen?
Wer darf Daten löschen?
Wer darf Daten exportieren?
Wer verwaltet Schlüssel?
Wer kann Zugriff technisch erzwingen?
Was passiert bei Anbieterwechsel?
Merksatz:
Datenhoheit ist Kontrolle über Zugriff,
Nutzung
und Verbleib von Daten.
Datenportabilität
Datenportabilität bedeutet:
Daten können in ein anderes System übertragen werden.
Wichtig:
Exportfunktion
offenes Format
vollständige Daten
Metadaten
Berechtigungen
Dokumentation
Wiederimport möglich
Merksatz:
Datenportabilität ist wichtig für Anbieterwechsel und Exit-Strategie.
Exit-Strategie für Daten
Eine Exit-Strategie beschreibt,
wie Daten aus einem Cloud-Dienst wieder herauskommen.
Fragen:
Wie werden Daten exportiert?
In welchem Format?
Wie lange dauert Export?
Welche Kosten entstehen?
Werden Metadaten mit exportiert?
Werden Berechtigungen mit exportiert?
Wie wird Löschung beim Anbieter bestätigt?
Merksatz:
Cloud-Einstieg braucht auch Daten-Ausstiegsplan.
Cloud-Synchronisation
Cloud-Synchronisation hält Daten zwischen Geräten oder Diensten auf gleichem Stand.
Beispiele:
Datei auf Notebook geändert
Änderung wird in Cloud synchronisiert
andere Geräte erhalten Änderung
Risiko:
versehentliche Löschung wird synchronisiert
Ransomware verschlüsselt Dateien und Änderung wird synchronisiert
falsche Version überschreibt richtige Version
Merksatz:
Synchronisation ist kein Backup.
Cloud-Speicher und Ransomware
Ransomware kann auch Cloud-Speicher betreffen.
Beispiele:
verschlüsselte Dateien werden synchronisiert
Angreifer löscht Backups
kompromittiertes Konto löscht Daten
API-Schlüssel wird missbraucht
Versionen werden entfernt
Schutz:
MFA
Versionierung
Immutable Backup
getrennte Backup-Konten
Least Privilege
Monitoring
Restore-Tests
Merksatz:
Cloud-Speicher braucht Ransomware-Schutz.
Freigaben in Cloud-Speicher
Cloud-Speicher bietet oft einfache Freigaben.
Risiken:
öffentlicher Link
Link ohne Ablaufdatum
Link ohne Passwort
externe Benutzer nicht geprüft
Ordner zu breit freigegeben
alte Freigaben bleiben aktiv
Download nicht eingeschränkt
Merksatz:
Cloud-Freigaben regelmäßig prüfen.
Externe Freigaben
Externe Freigaben erlauben Zugriff außerhalb der Organisation.
Sicherheitsregeln:
nur bei Bedarf
zeitlich begrenzen
Empfänger prüfen
Passwort oder MFA nutzen
Download einschränken
Protokollierung aktivieren
Freigaben regelmäßig entfernen
Merksatz:
Externe Freigaben sind kontrollierter Extranet-Zugriff.
Cloud-Speicher und Berechtigungen
Berechtigungen sollten festlegen:
Wer darf lesen?
Wer darf schreiben?
Wer darf löschen?
Wer darf freigeben?
Wer darf externe Benutzer einladen?
Wer darf Versionen löschen?
Wer darf Aufbewahrung ändern?
Merksatz:
Speicherrechte müssen genauer sein als nur „Zugriff erlaubt“.
Cloud-Speicher und Logs
Wichtige Logs:
Datei gelesen
Datei geändert
Datei gelöscht
Datei geteilt
externer Zugriff
Download
Adminänderung
Berechtigung geändert
Version gelöscht
Aufbewahrung geändert
Merksatz:
Speicherlogs helfen,
Datenzugriffe nachvollziehbar zu machen.
Cloud-Speicher und Kosten
Kosten entstehen durch:
Speichergröße
Speicherklasse
Anzahl der Zugriffe
Datenübertragung
Wiederherstellung aus Archiv
Versionen
Snapshots
Backups
Replikation
Logs
Merksatz:
Cloud-Speicher ist skalierbar,
aber nicht automatisch billig.
Typische Cloud-Speicherfehler
Häufige Fehler:
Bucket öffentlich lesbar
keine Versionierung
keine Backups
keine Restore-Tests
zu lange Aufbewahrung
keine Löschregeln
falsche Speicherklasse
alte Snapshots vergessen
API-Schlüssel im Speicher
externe Freigaben nicht geprüft
Backups im gleichen Konto wie Produktivdaten ungeschützt
keine Verschlüsselung
keine Logs
Merksatz:
Cloud-Speicherfehler entstehen oft durch Rechte,
Freigaben,
Aufbewahrung
und fehlende Tests.
Checkliste: Cloud-Speicher sicher nutzen
Speicherart passend auswählen.
Daten klassifizieren.
Öffentliche Zugriffe vermeiden.
Berechtigungen minimal vergeben.
MFA für Admins erzwingen.
Versionierung prüfen.
Backup einrichten.
Immutable Backup prüfen.
Wiederherstellung testen.
Verschlüsselung aktivieren.
Schlüsselverwaltung klären.
Aufbewahrungsfristen festlegen.
Löschkonzept erstellen.
Lifecycle-Regeln nutzen.
Logs aktivieren.
Kosten überwachen.
Externe Freigaben regelmäßig prüfen.
Merksatz:
Cloud-Speicher braucht Technik,
Rechte,
Backup
und Kostenkontrolle.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist Objektspeicher?
- Was ist Blockspeicher?
- Was ist Dateispeicher?
- Wofür nutzt man Archivspeicher?
- Was ist ein Bucket?
- Warum sind öffentliche Buckets gefährlich?
- Was bedeutet Versionierung?
- Was ist ein Snapshot?
- Warum ist Cloud-Speicher kein automatisches Backup?
- Was ist der Unterschied zwischen Backup und Replikation?
- Was bedeutet RPO?
- Was bedeutet RTO?
- Was ist die 3-2-1-Regel?
- Was ist ein Immutable Backup?
- Warum sind Restore-Tests wichtig?
- Was ist Point-in-Time-Recovery?
- Was bedeutet Datenklassifizierung?
- Was bedeutet Datenresidenz?
- Warum ist Synchronisation kein Backup?
- Warum müssen externe Freigaben geprüft werden?
Typische Prüfungsfallen
Cloud-Speicher ist nicht automatisch Backup.
Synchronisation ist kein Backup.
Replikation ist kein Backup.
Snapshot ist nicht immer vollständiger Backup-Ersatz.
Backup ohne Restore-Test ist unsicher.
Objektspeicher ist nicht dasselbe wie Blockspeicher.
Blockspeicher ist eher virtuelle Festplatte.
Dateispeicher ist eher klassische Freigabe.
Bucket-Berechtigungen sind sicherheitskritisch.
Öffentliche Buckets vermeiden.
RPO betrifft Datenverlust.
RTO betrifft Wiederherstellungszeit.
Immutable Backup schützt vor Löschung und Manipulation.
Backups müssen verschlüsselt und geschützt sein.
Datenbanken brauchen konsistente Backups.
Datenklassifizierung bestimmt Schutzmaßnahmen.
Datenresidenz beschreibt Speicherort.
Datenportabilität ist wichtig für Anbieterwechsel.
Externe Freigaben regelmäßig prüfen.
Cloud-Speicher verursacht auch Zugriffskosten,
Versionierungskosten
und Wiederherstellungskosten.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Cloud-Speicher
Speicher als Dienst
Objektspeicher
Speicher für Objekte mit Metadaten
Blockspeicher
Speicher wie virtuelle Festplatte
Dateispeicher
Speicher als Ordner- und Dateifreigabe
Archivspeicher
Speicher für selten genutzte Langzeitdaten
Bucket
Speicherbehälter für Objekte
Metadaten
beschreibende Zusatzinformationen
Speicherklasse
Kosten- und Zugriffskategorie
Lifecycle Management
automatische Regeln für Verschieben oder Löschen
Versionierung
Aufbewahrung früherer Dateiversionen
Snapshot
Momentaufnahme eines Systems oder Speichers
Backup
zusätzliche Sicherung zur Wiederherstellung
Restore
Wiederherstellung aus Backup
Restore-Test
Prüfung der Wiederherstellung
RPO
maximal akzeptabler Datenverlust
RTO
maximal akzeptable Wiederherstellungszeit
Vollbackup
vollständige Sicherung
inkrementelles Backup
Änderungen seit letztem Backup
differentielles Backup
Änderungen seit letztem Vollbackup
Replikation
Kopie auf anderes System oder Region
3-2-1-Regel
drei Kopien, zwei Medien, eine getrennte Kopie
Immutable Backup
unveränderliches Backup
Air Gap
getrennte Sicherung
Point-in-Time-Recovery
Wiederherstellung auf bestimmten Zeitpunkt
Aufbewahrungsfrist
Speicherdauer von Daten
Löschkonzept
Regelung zur Datenlöschung
Datenklassifizierung
Einteilung nach Schutzbedarf
Datenresidenz
Ort der Datenspeicherung
Datenhoheit
Kontrolle über Daten
Datenportabilität
Übertragbarkeit von Daten
Exit-Strategie
Plan zum Verlassen eines Dienstes
Synchronisation
Abgleich von Datenständen
IHK-sichere Kurzformulierung
Cloud-Speicher stellt Speicherplatz als Dienst bereit. Man unterscheidet vor allem Objektspeicher, Blockspeicher und Dateispeicher. Objektspeicher eignet sich für unstrukturierte Daten wie Backups, Medien, Logs und Archive. Blockspeicher wird häufig wie eine virtuelle Festplatte für virtuelle Maschinen oder Datenbanken genutzt. Dateispeicher stellt klassische Datei- und Ordnerfreigaben bereit. Cloud-Speicher ersetzt kein Backup-Konzept, da Löschungen, Fehlkonfigurationen, Ransomware oder falsche Synchronisation auch Cloud-Daten betreffen können. Wichtige Backup-Kennzahlen sind RPO für maximal tolerierbaren Datenverlust und RTO für maximal tolerierbare Wiederherstellungszeit. Backups müssen geschützt, verschlüsselt, regelmäßig getestet und passend aufbewahrt werden.
Merksätze
Cloud-Speicher = Speicher als Dienst.
Nicht jeder Speicher passt zu jedem Zweck.
Objektspeicher speichert Objekte mit Metadaten.
Bucket = Speicherbehälter.
Öffentliche Buckets sind gefährlich.
Blockspeicher = virtuelle Festplatte.
Dateispeicher = klassische Freigabe.
Archivspeicher für selten genutzte Daten.
Hot Storage für häufige Zugriffe.
Archive Storage für seltene Zugriffe.
Lifecycle-Regeln steuern Datenlebenszyklus.
Versionierung schützt vor Überschreiben.
Snapshot ist Momentaufnahme.
Snapshot ist nicht automatisch Backup-Strategie.
Cloud ist kein Backup.
Synchronisation ist kein Backup.
Replikation ist kein Backup.
Backup schützt Wiederherstellung.
Replikation schützt eher Verfügbarkeit.
RPO = erlaubter Datenverlust.
RTO = erlaubte Wiederherstellungszeit.
Vollbackup sichert alles.
Inkrementell sichert Änderungen seit letztem Backup.
Differentiell sichert Änderungen seit letztem Vollbackup.
3-2-1-Regel schützt besser vor Datenverlust.
Immutable Backup schützt vor Löschung.
Air Gap trennt Backup vom Hauptsystem.
Backup-Schlüssel sicher verwalten.
Restore-Test ist Pflicht.
Datenbanken brauchen konsistente Backups.
Point-in-Time-Recovery stellt Zeitpunkt wieder her.
Aufbewahrung und Löschung planen.
Datenklassifizierung bestimmt Schutz.
Datenresidenz beschreibt Speicherort.
Datenportabilität für Anbieterwechsel beachten.
Cloud-Freigaben regelmäßig prüfen.
Speicherlogs aktivieren.
Cloud-Speicher-Kosten überwachen.
15.7 Cloud-Betrieb, Monitoring, Skalierung und Kostenkontrolle
Cloud-Dienste müssen auch nach der Einrichtung betrieben,
überwacht
und optimiert werden.
Cloud bedeutet nicht:
einmal erstellen
und nie wieder anfassen
Cloud-Betrieb umfasst:
- Monitoring
- Logging
- Alarmierung
- Kostenkontrolle
- Skalierung
- Patchmanagement
- Backup-Prüfung
- Sicherheitsprüfung
- Rechteprüfung
- Dokumentation
- Automatisierung
- Störungsbehandlung
Merksatz:
Cloud-Ressourcen brauchen laufenden Betrieb wie lokale IT-Systeme.
Warum Cloud-Betrieb wichtig ist
Cloud-Ressourcen lassen sich schnell erstellen.
Das ist ein Vorteil,
kann aber auch ein Risiko sein.
Typische Probleme:
Ressourcen werden vergessen.
Kosten steigen unbemerkt.
Logs sind nicht aktiviert.
Backups werden nicht getestet.
Sicherheitsregeln sind zu breit.
Benutzerrechte bleiben zu lange bestehen.
Dienste laufen dauerhaft,
obwohl sie nicht mehr gebraucht werden.
Merksatz:
Cloud-Flexibilität braucht Kontrolle.
Cloud-Betrieb einfach erklärt
Beim Cloud-Betrieb geht es darum,
Cloud-Dienste dauerhaft zuverlässig,
sicher
und wirtschaftlich zu betreiben.
Dazu gehören Fragen wie:
Läuft der Dienst?
Ist der Dienst erreichbar?
Ist die Leistung ausreichend?
Gibt es Sicherheitsereignisse?
Werden Kosten eingehalten?
Funktionieren Backups?
Sind Ressourcen richtig dimensioniert?
Sind Rechte korrekt?
Gibt es unnötige Ressourcen?
Merksatz:
Cloud-Betrieb verbindet Technik,
Sicherheit
und Kosten.
Monitoring
Monitoring bedeutet:
Systeme und Dienste werden laufend überwacht.
Ziel:
Probleme früh erkennen,
bevor Benutzer stark betroffen sind.
Überwacht werden zum Beispiel:
Verfügbarkeit
CPU-Auslastung
RAM-Auslastung
Speicherplatz
Netzwerkverkehr
Antwortzeiten
Fehlerquoten
Datenbanklast
Zertifikatsablauf
Backupstatus
Kosten
Merksatz:
Monitoring zeigt,
ob Systeme gesund laufen.
Metriken
Metriken sind messbare Werte.
Beispiele:
CPU in Prozent
RAM-Verbrauch
freier Speicherplatz
Anfragen pro Sekunde
Antwortzeit in Millisekunden
Fehlerrate
Netzwerkdurchsatz
Anzahl aktiver Benutzer
Datenbankverbindungen
Warteschlangenlänge
Merksatz:
Metriken liefern messbare Zustandswerte.
Logs
Logs sind Ereignisprotokolle.
Sie zeigen,
was in einem System passiert ist.
Beispiele:
Benutzeranmeldung
API-Aufruf
Fehler in Anwendung
Firewall blockiert Verbindung
Admin ändert Rolle
Backup schlägt fehl
Datenbank meldet Fehler
Ressource wird gelöscht
Merksatz:
Logs zeigen Ereignisse und helfen bei Fehlersuche.
Monitoring und Logging unterscheiden
Begriff
Frage
Beispiel
Monitoring
Wie geht es dem System gerade?
CPU 90 %, Dienst nicht erreichbar
Logging
Was ist passiert?
Benutzer hat Firewall-Regel geändert
Merksatz:
Monitoring zeigt Zustand.
Logs zeigen Ereignisse.
Alarmierung
Alarmierung bedeutet:
Bei bestimmten Ereignissen oder Grenzwerten wird automatisch gewarnt.
Beispiele:
CPU über 90 %
Speicher fast voll
Dienst nicht erreichbar
Backup fehlgeschlagen
viele fehlgeschlagene Logins
Kostenlimit fast erreicht
Zertifikat läuft bald ab
ungewöhnlich viel Datenverkehr
Merksatz:
Alarmierung macht Probleme sichtbar,
bevor sie übersehen werden.
Schwellwert
Ein Schwellwert ist ein Grenzwert,
ab dem eine Aktion ausgelöst wird.
Beispiel:
Wenn CPU länger als 10 Minuten über 85 % liegt,
Alarm auslösen.
Oder:
Wenn Monatskosten 80 % des Budgets erreichen,
Warnung senden.
Merksatz:
Schwellwerte steuern,
wann gewarnt oder reagiert wird.
Alert Fatigue
Alert Fatigue bedeutet:
Es gibt so viele Alarme,
dass wichtige Alarme übersehen werden.
Ursachen:
zu niedrige Schwellwerte
zu viele unwichtige Alarme
keine Priorisierung
Alarme ohne Handlungsempfehlung
wiederholte Fehlalarme
Schutz:
Alarme sinnvoll priorisieren
nur relevante Alarme erstellen
klare Zuständigkeiten festlegen
Alarme regelmäßig überprüfen
Merksatz:
Zu viele schlechte Alarme sind selbst ein Problem.
Dashboard
Ein Dashboard zeigt wichtige Betriebswerte übersichtlich an.
Beispiele:
Verfügbarkeit
Auslastung
Fehlerquote
Kosten
offene Alarme
Backupstatus
Zertifikate
Sicherheitsereignisse
aktive Ressourcen
Merksatz:
Dashboard = Überblick über wichtige Zustände.
Cloud-Logging aktivieren
Viele Cloud-Dienste erzeugen Logs nur dann vollständig,
wenn Logging aktiviert oder richtig konfiguriert ist.
Wichtig:
Audit-Logs aktivieren
Netzwerklogs aktivieren
Anwendungslogs aktivieren
Firewall-Logs aktivieren
Load-Balancer-Logs aktivieren
Aufbewahrung festlegen
Zugriff auf Logs schützen
Merksatz:
Nicht vorhandene Logs helfen im Fehlerfall nicht.
Audit-Logs
Audit-Logs dokumentieren administrative Aktionen.
Beispiele:
Benutzer erstellt
Rolle geändert
VM gelöscht
Firewall geöffnet
Speicher öffentlich gemacht
API-Schlüssel erzeugt
MFA deaktiviert
Backup gelöscht
Merksatz:
Audit-Logs zeigen,
wer was wann geändert hat.
Flow Logs
Flow Logs zeigen Netzwerkverbindungen als Metadaten.
Typische Angaben:
Quelle
Ziel
Port
Protokoll
Zeit
Aktion
Datenmenge
Schnittstelle
Wichtig:
Flow Logs zeigen meist nicht den vollständigen Inhalt der Pakete.
Merksatz:
Flow Logs helfen bei Netzwerk- und Firewall-Analyse.
Log-Aufbewahrung
Logs sollten nicht beliebig kurz oder beliebig lange gespeichert werden.
Zu klären:
Wie lange werden Logs benötigt?
Gibt es rechtliche Vorgaben?
Enthalten Logs personenbezogene Daten?
Wer darf Logs lesen?
Wie werden Logs geschützt?
Wann werden Logs gelöscht?
Merksatz:
Log-Aufbewahrung braucht Sicherheits- und Datenschutzkonzept.
Zentrales Logging
Bei mehreren Cloud-Diensten sollten Logs zentral gesammelt werden.
Vorteile:
bessere Übersicht
einfachere Suche
Korrelation von Ereignissen
Sicherheitsanalyse
Nachvollziehbarkeit
Alarmierung
weniger Insellösungen
Merksatz:
Zentrales Logging erleichtert Betrieb und Sicherheitsanalyse.
SIEM
SIEM steht für:
Security Information and Event Management
Ein SIEM sammelt Sicherheitslogs aus verschiedenen Quellen
und wertet sie aus.
Ziel:
Angriffe erkennen
verdächtige Muster finden
Alarme erzeugen
Ereignisse korrelieren
Nachweise liefern
Merksatz:
SIEM hilft bei zentraler Sicherheitsüberwachung.
Cloud-Kostenkontrolle
Cloud-Kosten können schnell steigen,
wenn Ressourcen unkontrolliert genutzt werden.
Kosten entstehen zum Beispiel durch:
laufende virtuelle Maschinen
Speicher
Datenbanken
Backups
Snapshots
Netzwerkverkehr
Load Balancer
öffentliche IP-Adressen
Logs
Monitoring
Lizenzen
Support
Datenübertragung zwischen Regionen
Merksatz:
Cloud-Kosten entstehen nicht nur durch Server.
Pay as you go
Pay as you go bedeutet:
bezahlt wird nach Nutzung.
Beispiele:
pro Stunde
pro Sekunde
pro GB
pro Anfrage
pro Benutzer
pro Datenübertragung
pro Ausführung
Vorteil:
flexibel
Risiko:
Fehlkonfiguration oder Dauerbetrieb kann teuer werden.
Merksatz:
Pay as you go braucht Überwachung.
Budget
Ein Budget legt fest,
wie viel Geld für Cloud-Ressourcen geplant ist.
Beispiele:
Monatsbudget für Projekt
Budget für Testumgebung
Budget für Abteilung
Budget für gesamte Cloud-Plattform
Wichtig:
Budget allein stoppt nicht immer automatisch Kosten.
Oft braucht man zusätzlich Alarme oder Sperren.
Merksatz:
Budget macht Kosten sichtbar und planbar.
Kostenalarm
Ein Kostenalarm warnt,
wenn Kosten einen bestimmten Wert erreichen.
Beispiele:
50 % des Monatsbudgets erreicht
80 % des Monatsbudgets erreicht
ungewöhnlicher Kostenanstieg
unerwarteter Dienst verursacht Kosten
Merksatz:
Kostenalarme verhindern nicht alles,
aber sie machen Kosten früh sichtbar.
Kostenstelle
Eine Kostenstelle ordnet Kosten einem Bereich zu.
Beispiele:
Projekt
Abteilung
Kunde
Umgebung
Team
Anwendung
In der Cloud erfolgt diese Zuordnung oft über:
Tags
Labels
Ressourcengruppen
Abonnements
Accounts
Projekte
Merksatz:
Kosten müssen verursachergerecht zugeordnet werden.
Tagging
Tagging bedeutet:
Ressourcen werden mit Metadaten markiert.
Beispiele:
Projekt = CRM
Umgebung = Produktion
Verantwortlicher = IT-Betrieb
Kostenstelle = 4711
Ablaufdatum = 2026-12-31
Schutzbedarf = vertraulich
Vorteile:
Kosten zuordnen
Ressourcen finden
Verantwortliche erkennen
Automatisierung ermöglichen
Aufräumen erleichtern
Merksatz:
Tags machen Cloud-Ressourcen verwaltbar.
Untagged Resources
Untagged Resources sind Ressourcen ohne Tags.
Problem:
Verantwortlicher unklar
Kostenstelle unklar
Zweck unklar
Aufräumen schwierig
Sicherheitsbewertung schwieriger
Lebenszyklus unklar
Merksatz:
Ressourcen ohne Tags sind im Betrieb schwer kontrollierbar.
Rightsizing
Rightsizing bedeutet:
Ressourcen passend dimensionieren.
Beispiel:
Eine VM hat 16 vCPU und 64 GB RAM,
nutzt aber dauerhaft nur 5 %.
Dann ist sie wahrscheinlich zu groß.
Maßnahmen:
kleinere Instanz wählen
Datenbankklasse anpassen
Speicherklasse ändern
ungenutzte Ressourcen löschen
Lastverhalten prüfen
Merksatz:
Rightsizing senkt Kosten durch passende Größe.
Overprovisioning
Overprovisioning bedeutet:
Ressourcen sind größer bereitgestellt,
als tatsächlich benötigt.
Beispiele:
zu große VM
zu teure Datenbankklasse
zu viel reservierter Speicher
zu viele laufende Instanzen
unnötig hohe Performanceklasse
Merksatz:
Overprovisioning kostet unnötig Geld.
Underprovisioning
Underprovisioning bedeutet:
Ressourcen sind zu klein dimensioniert.
Folgen:
langsame Anwendung
Ausfälle
hohe Antwortzeiten
Datenbankengpässe
Fehler bei Lastspitzen
schlechte Benutzererfahrung
Merksatz:
Zu klein spart kurzfristig Geld,
kann aber Betrieb stören.
Auto Scaling
Auto Scaling bedeutet:
Ressourcen werden automatisch erhöht oder reduziert.
Beispiel:
Bei hoher Last werden zusätzliche Instanzen gestartet.
Bei geringer Last werden Instanzen beendet.
Vorteile:
bessere Anpassung an Last
weniger manuelle Eingriffe
bessere Verfügbarkeit
Kosten können optimiert werden
Merksatz:
Auto Scaling passt Ressourcen automatisch an Last an.
Horizontale Skalierung
Horizontale Skalierung bedeutet:
Es werden mehr Instanzen hinzugefügt.
Beispiel:
statt 1 Webserver
laufen 3 Webserver
Vorteil:
Last kann verteilt werden
Ausfallsicherheit steigt
gut mit Load Balancer kombinierbar
Merksatz:
Horizontal skalieren = mehr Systeme.
Vertikale Skalierung
Vertikale Skalierung bedeutet:
Ein einzelnes System wird größer gemacht.
Beispiel:
VM bekommt mehr CPU
VM bekommt mehr RAM
Datenbank bekommt größere Leistungsklasse
Vorteil:
oft einfacher
Nachteil:
Grenze durch maximale Größe
eventuell Neustart nötig
einzelnes System bleibt kritischer
Merksatz:
Vertikal skalieren = stärkeres System.
Horizontale und vertikale Skalierung vergleichen
Skalierungsart
Bedeutung
Beispiel
horizontal
mehr Instanzen
drei Webserver statt einer
vertikal
größere Instanz
mehr CPU und RAM für eine VM
Merksatz:
Horizontal = mehr.
Vertikal = stärker.
Scale Out und Scale Up
Scale Out bedeutet:
horizontal skalieren
Scale Up bedeutet:
vertikal skalieren
Beispiele:
Scale Out:
mehr App-Instanzen starten
Scale Up:
größere Datenbankklasse wählen
Merksatz:
Scale Out = mehr Instanzen.
Scale Up = größere Instanz.
Scale In und Scale Down
Scale In bedeutet:
Instanzen reduzieren
Scale Down bedeutet:
einzelne Instanz verkleinern
Beispiele:
Scale In:
von 5 Webservern auf 2 Webserver reduzieren
Scale Down:
VM von großer auf kleinere Größe ändern
Merksatz:
Scale In reduziert Anzahl.
Scale Down reduziert Größe.
Skalierungsregel
Eine Skalierungsregel legt fest,
wann skaliert wird.
Beispiele:
Wenn CPU länger als 10 Minuten über 70 %,
dann eine Instanz hinzufügen.
Wenn Warteschlange mehr als 100 Nachrichten hat,
dann Worker erhöhen.
Wenn CPU länger niedrig,
dann Instanz entfernen.
Merksatz:
Skalierung braucht sinnvolle Regeln.
Skalierung ist nicht nur CPU
Skalierung kann abhängig sein von:
CPU
RAM
Anzahl Anfragen
Antwortzeit
Warteschlangenlänge
Datenbankverbindungen
Netzwerkdurchsatz
Fehlerrate
Benutzerzahl
Zeitplan
Merksatz:
CPU ist nur eine mögliche Skalierungsmetrik.
Load Balancer und Skalierung
Bei horizontaler Skalierung verteilt ein Load Balancer den Verkehr.
Ablauf:
neue Instanz startet
Health Check prüft Instanz
Load Balancer nimmt Instanz auf
Verkehr wird verteilt
Wenn Instanz ungesund ist,
wird sie nicht genutzt.
Merksatz:
Auto Scaling und Load Balancer arbeiten oft zusammen.
Health Check im Betrieb
Ein Health Check prüft,
ob ein Dienst gesund ist.
Beispiele:
HTTP 200 auf /health
TCP-Port erreichbar
Datenbankverbindung möglich
Anwendung meldet Status „ok“
Merksatz:
Health Check sollte echte Dienstfähigkeit prüfen,
nicht nur offenen Port.
Hochverfügbarkeit
Hochverfügbarkeit bedeutet:
Ein Dienst bleibt möglichst verfügbar,
auch wenn einzelne Komponenten ausfallen.
Mittel:
mehrere Instanzen
mehrere Zonen
Load Balancer
Replikation
automatischer Neustart
Monitoring
Backup
Notfallplan
Merksatz:
Hochverfügbarkeit muss geplant und getestet werden.
Verfügbarkeitszone
Eine Verfügbarkeitszone ist ein getrenntes Rechenzentrumssegment innerhalb einer Region.
Vorteil:
Fällt eine Zone aus,
können andere Zonen weiterarbeiten.
Cloud-Dienste sollten für hohe Verfügbarkeit oft über mehrere Zonen verteilt werden.
Merksatz:
Mehrere Zonen erhöhen Ausfallsicherheit innerhalb einer Region.
Region
Eine Region ist ein geografischer Standort eines Cloud-Anbieters.
Regionen beeinflussen:
Latenz
Datenstandort
Verfügbarkeit
Kosten
Datenschutz
Compliance
Merksatz:
Region bewusst nach Technik,
Recht
und Kosten auswählen.
Disaster Recovery
Disaster Recovery bedeutet:
Wiederherstellung nach schwerem Ausfall.
Beispiele:
Region fällt aus
Datenbank beschädigt
Ransomware-Angriff
Fehlkonfiguration löscht Ressourcen
kritischer Dienst fällt aus
Dazu braucht man:
Backups
Wiederherstellungsplan
Ersatzumgebung
Dokumentation
Tests
klare Zuständigkeiten
Merksatz:
Disaster Recovery muss vor dem Notfall geplant werden.
RTO im Cloud-Betrieb
RTO steht für:
Recovery Time Objective
Es beschreibt,
wie lange ein Dienst maximal ausfallen darf.
Beispiel:
RTO = 2 Stunden
Dann soll der Dienst innerhalb von 2 Stunden wieder verfügbar sein.
Merksatz:
RTO beschreibt erlaubte Wiederherstellungszeit.
RPO im Cloud-Betrieb
RPO steht für:
Recovery Point Objective
Es beschreibt,
wie viel Datenverlust maximal akzeptiert wird.
Beispiel:
RPO = 15 Minuten
Dann dürfen höchstens Daten der letzten 15 Minuten verloren gehen.
Merksatz:
RPO beschreibt erlaubten Datenverlust.
RTO und RPO im Betrieb vergleichen
Begriff
Frage
RTO
Wie lange darf der Dienst ausfallen?
RPO
Wie viele Daten dürfen verloren gehen?
Merksatz:
RTO = Zeit bis Wiederherstellung.
RPO = Datenverlust bis Wiederherstellungspunkt.
Patchmanagement in der Cloud
Auch Cloud-Systeme brauchen Updates.
Wer verantwortlich ist,
hängt vom Service-Modell ab.
IaaS:
Kunde patcht Betriebssystem und Anwendung.
PaaS:
Anbieter patcht Plattform,
Kunde patcht Anwendung und Abhängigkeiten.
SaaS:
Anbieter patcht Anwendung,
Kunde prüft Einstellungen,
Benutzer
und Sicherheit.
Merksatz:
Patchverantwortung hängt vom Cloud-Modell ab.
Wartungsfenster
Ein Wartungsfenster ist ein geplanter Zeitraum für Änderungen oder Updates.
Ziel:
Änderungen kontrolliert durchführen
Benutzer informieren
Ausfallzeit planen
Rollback vorbereiten
Risiken reduzieren
Merksatz:
Wartungsfenster schaffen planbare Änderungen.
Change Management
Change Management bedeutet:
Änderungen werden geplant,
geprüft,
freigegeben,
umgesetzt
und dokumentiert.
Cloud-Beispiele:
neue Firewall-Regel
größere Datenbankklasse
neue Region
neue Rolle
neue Backup-Regel
neue Skalierungsregel
neues Deployment
Merksatz:
Cloud-Änderungen brauchen Kontrolle und Dokumentation.
Rollback
Rollback bedeutet:
Eine Änderung wird zurückgenommen.
Beispiele:
vorherige Anwendungsversion wiederherstellen
alte Konfiguration laden
Snapshot zurücksetzen
Firewall-Regel zurücknehmen
Deployment rückgängig machen
Merksatz:
Jede kritische Änderung braucht einen Rückweg.
Automatisierung im Cloud-Betrieb
Cloud-Betrieb wird häufig automatisiert.
Beispiele:
Ressourcen automatisch bereitstellen
Backups automatisch erstellen
Skalierung automatisch durchführen
Alarme automatisch auslösen
Tests automatisch starten
Deployments automatisch ausrollen
ungenutzte Ressourcen automatisch stoppen
Merksatz:
Automatisierung reduziert manuelle Fehler,
braucht aber gute Regeln.
Infrastructure as Code
Infrastructure as Code wird oft abgekürzt:
IaC
Dabei wird Infrastruktur nicht manuell im Portal zusammengeklickt,
sondern als Code beschrieben.
Beispiele:
Netzwerke
Subnetze
Firewall-Regeln
virtuelle Maschinen
Datenbanken
Rollen
Speicher
Load Balancer
Vorteile:
wiederholbar
dokumentiert
versionierbar
prüfbar
automatisierbar
Merksatz:
IaC beschreibt Infrastruktur als Code.
Configuration Drift
Configuration Drift bedeutet:
Die tatsächliche Konfiguration weicht von der geplanten Konfiguration ab.
Ursachen:
manuelle Änderungen
Notfalländerungen
unterschiedliche Umgebungen
unvollständige Dokumentation
fehlende Automatisierung
Problem:
Fehlersuche wird schwieriger.
Sicherheit kann unbemerkt schlechter werden.
Merksatz:
Configuration Drift entsteht durch ungeplante Abweichungen.
CI/CD im Cloud-Betrieb
CI/CD steht für:
Continuous Integration
Continuous Delivery
oder
Continuous Deployment
Ziel:
Änderungen werden automatisiert gebaut,
getestet
und bereitgestellt.
Cloud-Bezug:
Anwendungen werden schneller und kontrollierter ausgeliefert.
Rollbacks können einfacher werden.
Tests werden automatisiert.
Infrastruktur kann mitbereitgestellt werden.
Merksatz:
CI/CD automatisiert Entwicklung,
Test
und Bereitstellung.
Blue-Green Deployment
Blue-Green Deployment bedeutet:
Es gibt zwei Umgebungen.
Blue:
aktuelle produktive Version
Green:
neue Version
Nach erfolgreichem Test wird der Verkehr auf die neue Umgebung umgeschaltet.
Vorteil:
schneller Rollback möglich
Merksatz:
Blue-Green reduziert Risiko bei neuen Versionen.
Canary Deployment
Canary Deployment bedeutet:
Eine neue Version wird zuerst nur für einen kleinen Teil der Benutzer freigegeben.
Wenn keine Probleme auftreten,
wird der Anteil erhöht.
Vorteil:
Fehler betreffen zunächst nur wenige Benutzer.
Merksatz:
Canary testet neue Versionen schrittweise im Echtbetrieb.
Cloud-Betriebsdokumentation
Dokumentiert werden sollten:
Zweck der Ressource
Verantwortlicher
Kostenstelle
Umgebung
Datenklasse
Netzverbindungen
Backup-Regeln
Monitoring
Alarme
Wiederherstellungsplan
Sicherheitsregeln
Änderungen
Abhängigkeiten
Merksatz:
Was nicht dokumentiert ist,
ist im Betrieb schwer beherrschbar.
Runbook
Ein Runbook ist eine Schritt-für-Schritt-Anleitung für wiederkehrende Betriebsaufgaben.
Beispiele:
Dienst neu starten
Backup wiederherstellen
Zertifikat erneuern
Alarm bearbeiten
Instanz skalieren
Failover auslösen
Benutzerzugriff prüfen
Merksatz:
Runbooks helfen,
im Betrieb einheitlich zu handeln.
Incident Response
Incident Response bedeutet:
Vorgehen bei Sicherheitsvorfällen oder größeren Störungen.
Schritte:
erkennen
bewerten
eindämmen
beseitigen
wiederherstellen
dokumentieren
verbessern
Cloud-Beispiele:
kompromittierter API-Schlüssel
öffentlich freigegebener Speicher
ungewöhnliche Kosten
Adminzugang missbraucht
Datenabfluss
Ransomware
Merksatz:
Incident Response muss vorbereitet sein,
bevor ein Vorfall passiert.
Service Level Agreement
Service Level Agreement wird abgekürzt:
SLA
Ein SLA beschreibt zugesicherte Servicequalität.
Beispiele:
Verfügbarkeit
Reaktionszeit
Supportzeit
Wiederherstellungszeit
Leistungswerte
Merksatz:
SLA beschreibt,
welche Leistung zugesichert wird.
SLO
SLO steht für:
Service Level Objective
Ein SLO ist ein internes oder technisches Ziel für einen Dienst.
Beispiel:
99,9 % erfolgreiche Anfragen pro Monat
Antwortzeit unter 300 ms für 95 % der Anfragen
Merksatz:
SLO beschreibt ein Ziel für Servicequalität.
SLI
SLI steht für:
Service Level Indicator
Ein SLI ist ein Messwert,
mit dem ein SLO bewertet wird.
Beispiele:
Verfügbarkeit
Fehlerrate
Antwortzeit
Durchsatz
Latenz
Merksatz:
SLI ist der Messwert,
SLO ist das Ziel.
SLA, SLO und SLI vergleichen
Begriff
Bedeutung
SLA
vertragliche Zusage
SLO
Zielwert für Dienstqualität
SLI
Messwert zur Bewertung
Merksatz:
SLI misst.
SLO setzt Ziel.
SLA ist Zusage.
Cloud-Fehlersuche im Betrieb
Bei Cloud-Störungen systematisch prüfen:
Was ist betroffen?
Seit wann?
Wurde etwas geändert?
Welche Region?
Welche Zone?
Welche Ressource?
Welche Logs?
Welche Metriken?
Welche Abhängigkeiten?
Welche Kostenänderung?
Welche Alarme?
Welche Benutzer betroffen?
Merksatz:
Störungen immer mit Zeit,
Änderung
Metriken
Logs
und Abhängigkeiten prüfen.
Typische Betriebsprobleme in der Cloud
Häufige Probleme:
Dienst nicht erreichbar
Zertifikat abgelaufen
Speicher voll
Datenbank überlastet
Kosten steigen plötzlich
Backup fehlgeschlagen
Load Balancer hat keine gesunden Ziele
Security Group falsch geändert
API-Schlüssel kompromittiert
Rechte zu breit vergeben
Region oder Zone gestört
Skalierung greift nicht
Merksatz:
Cloud-Betrieb betrifft Verfügbarkeit,
Sicherheit
Leistung
und Kosten.
Checkliste: Cloud-Betrieb
Monitoring aktivieren.
Logs aktivieren.
Alarme einrichten.
Kostenalarme setzen.
Tags pflegen.
Verantwortliche dokumentieren.
Backups prüfen.
Restore-Tests durchführen.
Rechte regelmäßig prüfen.
Ressourcen richtig dimensionieren.
ungenutzte Ressourcen löschen.
Patchverantwortung klären.
Runbooks erstellen.
Änderungen dokumentieren.
Incident Response vorbereiten.
Merksatz:
Cloud-Betrieb braucht regelmäßige Kontrolle.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Warum braucht Cloud Monitoring?
- Was ist der Unterschied zwischen Monitoring und Logging?
- Was ist ein Kostenalarm?
- Warum ist Tagging sinnvoll?
- Was bedeutet Rightsizing?
- Was ist Overprovisioning?
- Was ist Auto Scaling?
- Was ist horizontale Skalierung?
- Was ist vertikale Skalierung?
- Was ist ein Health Check?
- Was ist der Unterschied zwischen RTO und RPO?
- Was ist Infrastructure as Code?
- Was bedeutet Configuration Drift?
- Was ist ein Runbook?
- Was bedeutet Incident Response?
- Was ist der Unterschied zwischen SLA, SLO und SLI?
- Warum ist Cloud nicht automatisch wartungsfrei?
Typische Prüfungsfallen
Cloud ist nicht wartungsfrei.
Monitoring zeigt Zustand.
Logs zeigen Ereignisse.
Ohne Logs keine gute Fehlersuche.
Zu viele Alarme können schaden.
Kosten entstehen auch durch Speicher,
Traffic,
Logs
und Snapshots.
Pay as you go braucht Kontrolle.
Tags helfen bei Kosten und Verantwortung.
Untagged Resources sind problematisch.
Rightsizing spart Kosten.
Overprovisioning kostet unnötig Geld.
Underprovisioning stört Betrieb.
Auto Scaling braucht sinnvolle Regeln.
Horizontal bedeutet mehr Instanzen.
Vertikal bedeutet größere Instanz.
Hochverfügbarkeit muss geplant werden.
Cloud ist nicht automatisch hochverfügbar.
RTO betrifft Wiederherstellungszeit.
RPO betrifft Datenverlust.
Patchverantwortung hängt vom Service-Modell ab.
Change Management gilt auch in der Cloud.
Rollback vor Änderung planen.
IaC macht Infrastruktur wiederholbar.
Configuration Drift vermeiden.
Runbooks helfen im Betrieb.
SLA,
SLO
und SLI nicht verwechseln.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Cloud-Betrieb
laufende Verwaltung von Cloud-Diensten
Monitoring
Überwachung von Zuständen
Metrik
messbarer Wert
Logging
Protokollierung von Ereignissen
Audit-Log
Protokoll administrativer Aktionen
Flow Log
Netzwerkverbindungsdaten
Alarmierung
automatische Warnung
Schwellwert
Grenzwert für Alarm oder Aktion
Alert Fatigue
Überforderung durch zu viele Alarme
Dashboard
Übersicht wichtiger Werte
SIEM
zentrale Sicherheitslog-Auswertung
Kostenkontrolle
Überwachung und Steuerung von Kosten
Pay as you go
Abrechnung nach Nutzung
Budget
geplanter Kostenrahmen
Kostenalarm
Warnung bei Kostenüberschreitung
Kostenstelle
Zuordnung von Kosten
Tagging
Metadaten an Ressourcen
Rightsizing
passende Ressourcengröße
Overprovisioning
zu große Ressourcen
Underprovisioning
zu kleine Ressourcen
Auto Scaling
automatische Anpassung von Ressourcen
horizontale Skalierung
mehr Instanzen
vertikale Skalierung
größere Instanz
Scale Out
horizontal erweitern
Scale Up
vertikal vergrößern
Health Check
Prüfung der Dienstgesundheit
Hochverfügbarkeit
hohe Verfügbarkeit trotz Fehler
Disaster Recovery
Wiederherstellung nach schwerem Ausfall
RTO
maximale Wiederherstellungszeit
RPO
maximaler Datenverlust
Patchmanagement
Verwaltung von Updates
Change Management
kontrollierte Änderungen
Rollback
Änderung zurücknehmen
IaC
Infrastructure as Code
Configuration Drift
Abweichung von Soll-Konfiguration
CI/CD
automatisierte Bereitstellung
Runbook
Betriebsanleitung
Incident Response
Reaktion auf Vorfälle
SLA
vertragliche Servicezusage
SLO
Zielwert für Servicequalität
SLI
Messwert für Servicequalität
IHK-sichere Kurzformulierung
Cloud-Betrieb umfasst die laufende Überwachung, Protokollierung, Alarmierung, Kostenkontrolle, Skalierung, Wartung, Sicherheitsprüfung und Dokumentation von Cloud-Diensten. Monitoring zeigt den aktuellen Zustand eines Systems, während Logging Ereignisse und Änderungen nachvollziehbar macht. Kostenkontrolle ist wichtig, weil Cloud-Ressourcen nach Nutzung abgerechnet werden und auch Speicher, Netzwerkverkehr, Backups, Logs, Snapshots und Lizenzen Kosten verursachen können. Auto Scaling passt Ressourcen automatisch an Last an. Horizontale Skalierung bedeutet mehr Instanzen, vertikale Skalierung bedeutet größere Instanzen. Für Ausfallsicherheit sind Hochverfügbarkeit, Backups, RTO, RPO, Runbooks, Change Management und Incident Response wichtig.
Merksätze
Cloud ist nicht wartungsfrei.
Cloud-Betrieb braucht Monitoring.
Monitoring zeigt Zustand.
Logs zeigen Ereignisse.
Audit-Logs zeigen Adminaktionen.
Flow Logs zeigen Netzwerkverbindungen.
Alarmierung macht Probleme sichtbar.
Zu viele Alarme können wichtige Alarme verdecken.
Dashboard gibt Überblick.
SIEM wertet Sicherheitslogs zentral aus.
Cloud-Kosten aktiv überwachen.
Pay as you go braucht Kontrolle.
Kosten entstehen auch durch Traffic,
Speicher,
Logs
und Snapshots.
Budget planen.
Kostenalarme setzen.
Tags pflegen.
Untagged Resources vermeiden.
Rightsizing spart Kosten.
Overprovisioning kostet unnötig.
Underprovisioning gefährdet Betrieb.
Auto Scaling passt Ressourcen an.
Horizontal = mehr Instanzen.
Vertikal = stärkere Instanz.
Scale Out = mehr.
Scale Up = größer.
Load Balancer verteilt Last.
Health Check prüft Dienstgesundheit.
Hochverfügbarkeit planen.
Cloud ist nicht automatisch hochverfügbar.
Region und Zone bewusst wählen.
Disaster Recovery vorher planen.
RTO = Wiederherstellungszeit.
RPO = Datenverlust.
Patchverantwortung hängt vom Service-Modell ab.
Änderungen dokumentieren.
Rollback vor Änderung planen.
IaC beschreibt Infrastruktur als Code.
Configuration Drift vermeiden.
CI/CD automatisiert Bereitstellung.
Runbooks helfen im Betrieb.
Incident Response vorbereiten.
SLI misst.
SLO setzt Ziel.
SLA ist Zusage.
15.8 Merksätze und Prüfungswissen zu Cloud und modernen Bereitstellungsmodellen
Diese Seite fasst die wichtigsten Inhalte zu Cloud,
Bereitstellungsmodellen,
Service-Modellen,
Cloud-Netzwerken,
Cloud-Sicherheit,
Cloud-Speicher,
Backup,
Monitoring,
Skalierung
und Kostenkontrolle zusammen.
Cloud ist prüfungsrelevant,
weil sie viele Themen verbindet:
- Netzwerktechnik
- Serverbetrieb
- Virtualisierung
- Sicherheit
- Datenschutz
- Backup
- Kosten
- Rechteverwaltung
- Hochverfügbarkeit
- Monitoring
Merksatz:
Cloud ist kein einzelnes Produkt,
sondern ein Betriebs- und Bereitstellungsmodell für IT-Ressourcen.
Cloud-Grundidee
Cloud bedeutet:
IT-Ressourcen werden über ein Netzwerk als Dienst bereitgestellt.
Beispiele:
virtuelle Server
Speicher
Datenbanken
Anwendungen
Plattformen
Container
Backup
Identitätsdienste
Netzwerkdienste
Sicherheitsdienste
Merksatz:
Cloud = IT-Ressourcen als Dienst.
Cloud ist nicht automatisch weniger Verantwortung
Ein häufiger Denkfehler:
Alles liegt in der Cloud,
also kümmert sich der Anbieter um alles.
Das ist falsch.
Der Anbieter übernimmt je nach Modell bestimmte Aufgaben.
Der Kunde bleibt verantwortlich für:
Benutzer
Rollen
Berechtigungen
Daten
sichere Konfiguration
Datenschutz
Zugriffsschutz
Backup-Konzept
Kostenkontrolle
Monitoring
Compliance
Merksatz:
Cloud verlagert Verantwortung,
sie beseitigt Verantwortung nicht.
On-Premises
On-Premises bedeutet:
IT wird lokal selbst betrieben.
Beispiele:
eigener Serverraum
eigenes Rechenzentrum
eigene Hardware
eigene Virtualisierung
eigene Netzwerkinfrastruktur
Vorteile:
hohe Kontrolle
direkte Verwaltung
eigene Vorgaben
Nachteile:
Hardwarekosten
Wartungsaufwand
eigene Verantwortung für Ausfallsicherheit
Merksatz:
On-Premises = lokal selbst betrieben.
Public Cloud
Public Cloud bedeutet:
Ein Anbieter stellt Cloud-Ressourcen für viele Kunden bereit.
Eigenschaften:
Anbieterplattform
viele Kunden
logische Mandantentrennung
nutzungsabhängige Abrechnung
schnelle Bereitstellung
hohe Skalierbarkeit
Merksatz:
Public Cloud = öffentliche Anbieterplattform für viele Kunden.
Private Cloud
Private Cloud bedeutet:
Cloud-Prinzipien werden für eine einzelne Organisation bereitgestellt.
Sie kann laufen:
im eigenen Rechenzentrum
bei einem Dienstleister
in einer dedizierten Umgebung
Wichtig:
Virtualisierung allein ist noch keine vollständige Private Cloud.
Typische Cloud-Merkmale sind:
Self-Service
Automatisierung
Ressourcenpooling
schnelle Bereitstellung
messbare Nutzung
zentrale Verwaltung
Merksatz:
Private Cloud = Cloud für eine Organisation.
Hybrid Cloud
Hybrid Cloud kombiniert lokale oder private IT mit Public Cloud.
Beispiele:
lokale Datenbank plus Cloud-Webanwendung
lokales Rechenzentrum plus Cloud-Backup
lokale Benutzerverwaltung plus Cloud-SaaS
lokale Systeme plus Cloud-Skalierung
Merksatz:
Hybrid Cloud = lokal oder privat plus Public Cloud.
Multi Cloud
Multi Cloud bedeutet:
Ein Unternehmen nutzt mehrere Cloud-Anbieter gleichzeitig.
Beispiel:
Anbieter A für virtuelle Maschinen
Anbieter B für Office und E-Mail
Anbieter C für Backup
Anbieter D für Datenanalyse
Merksatz:
Multi Cloud = mehrere Cloud-Anbieter parallel.
Hybrid Cloud und Multi Cloud unterscheiden
Begriff
Kerngedanke
Hybrid Cloud
lokale/private IT plus Public Cloud
Multi Cloud
mehrere Cloud-Anbieter
Hybrid und Multi Cloud kombiniert
lokale IT plus mehrere Cloud-Anbieter
Merksatz:
Hybrid beschreibt die Verbindung lokal plus Cloud.
Multi Cloud beschreibt mehrere Anbieter.
Community Cloud
Community Cloud bedeutet:
Eine Cloud wird von mehreren Organisationen mit ähnlichen Anforderungen genutzt.
Beispiele:
Behörden
Bildung
Forschung
Gesundheitswesen
bestimmte Branchen
Merksatz:
Community Cloud = Cloud für eine bestimmte Gemeinschaft.
Bereitstellungsmodelle im Überblick
Modell
Kurze Erklärung
On-Premises
lokal selbst betrieben
Public Cloud
Anbieterplattform für viele Kunden
Private Cloud
Cloud für eine Organisation
Hybrid Cloud
lokale/private IT plus Public Cloud
Multi Cloud
mehrere Cloud-Anbieter
Community Cloud
Cloud für Organisationen mit gemeinsamen Anforderungen
Merksatz:
Bereitstellungsmodell beschreibt,
wo und für wen Cloud betrieben wird.
Service-Modelle
Die wichtigsten Cloud-Service-Modelle sind:
- IaaS
- PaaS
- SaaS
Sie beschreiben,
welche IT-Schichten der Anbieter bereitstellt
und welche der Kunde selbst verwaltet.
Merksatz:
Service-Modell beschreibt,
was als Dienst bereitgestellt wird.
IaaS
IaaS steht für:
Infrastructure as a Service
Der Anbieter stellt virtuelle Infrastruktur bereit.
Beispiele:
virtuelle Maschinen
virtuelle Netzwerke
virtuelle Festplatten
Load Balancer
Firewalls
IP-Adressen
Storage
Der Kunde verwaltet typischerweise:
Betriebssystem
Anwendungen
Daten
Patches innerhalb der VM
Benutzer
Sicherheitskonfiguration
Merksatz:
IaaS = virtuelle Infrastruktur statt eigener Hardware.
PaaS
PaaS steht für:
Platform as a Service
Der Anbieter stellt eine Plattform bereit,
auf der Anwendungen laufen können.
Beispiele:
Web-App-Plattform
verwaltete Datenbank
Laufzeitumgebung
Containerplattform
API-Plattform
Entwicklungsplattform
Der Kunde verwaltet typischerweise:
Anwendung
Daten
Konfiguration
Benutzer
Berechtigungen
Merksatz:
PaaS = Plattform für eigene Anwendungen.
SaaS
SaaS steht für:
Software as a Service
Der Kunde nutzt eine fertige Anwendung.
Beispiele:
E-Mail
Online-Office
CRM
Ticketsystem
Cloud-Speicher
Videokonferenzdienst
Projektmanagement
Der Kunde verwaltet typischerweise:
Benutzer
Rollen
Berechtigungen
Daten
Freigaben
Einstellungen
MFA
Merksatz:
SaaS = fertige Software aus der Cloud.
IaaS, PaaS und SaaS vergleichen
Modell
Anbieter stellt bereit
Kunde verwaltet vor allem
IaaS
virtuelle Infrastruktur
Betriebssystem, Anwendung, Daten
PaaS
Plattform und Laufzeitumgebung
Anwendung, Daten, Konfiguration
SaaS
fertige Anwendung
Benutzer, Rechte, Daten, Einstellungen
Merksatz:
IaaS gibt viel Kontrolle.
SaaS nimmt viel Betrieb ab.
PaaS liegt dazwischen.
Shared Responsibility Model
Shared Responsibility Model bedeutet:
Anbieter und Kunde teilen sich die Verantwortung.
Je nach Service-Modell verschiebt sich diese Verantwortung.
Bei IaaS:
Kunde hat viel technische Verantwortung.
Bei PaaS:
Anbieter übernimmt Plattform,
Kunde bleibt für Anwendung und Daten verantwortlich.
Bei SaaS:
Anbieter betreibt Anwendung,
Kunde bleibt für Nutzung,
Benutzer,
Rechte
und Daten verantwortlich.
Merksatz:
Cloud-Sicherheit ist gemeinsame Verantwortung.
Wichtigste Regel zur Verantwortung
Daten,
Benutzer
und Rechte bleiben fast immer Kundenthema.
Auch bei SaaS muss der Kunde prüfen:
Wer darf zugreifen?
Welche Rollen gibt es?
Ist MFA aktiv?
Welche Daten liegen im Dienst?
Welche Freigaben existieren?
Wie werden Benutzer deaktiviert?
Wie werden Daten gesichert oder exportiert?
Merksatz:
Je fertiger der Dienst,
desto weniger Technikbetrieb,
aber Daten und Zugriffe bleiben wichtig.
Virtualisierung
Virtualisierung bedeutet:
physische Ressourcen werden in virtuelle Ressourcen aufgeteilt.
Beispiele:
virtuelle Maschinen
virtuelle Netzwerke
virtuelle Festplatten
virtuelle Firewalls
virtuelle Load Balancer
Merksatz:
Virtualisierung ist eine technische Grundlage vieler Cloud-Dienste.
Container
Container verpacken Anwendungen mit ihren Abhängigkeiten.
Sie enthalten typischerweise:
Anwendung
Bibliotheken
Laufzeitumgebung
Konfiguration
Sie teilen sich den Kernel des Hosts.
Merksatz:
Container sind leichtgewichtige,
portable Anwendungseinheiten.
Kubernetes
Kubernetes ist eine Plattform zur Container-Orchestrierung.
Es verwaltet:
Container
Pods
Services
Deployments
Skalierung
Rollouts
Netzwerke
Konfigurationen
Merksatz:
Kubernetes orchestriert Container in Clustern.
Serverless
Serverless bedeutet nicht,
dass keine Server existieren.
Es bedeutet:
Der Kunde verwaltet keine einzelnen Server.
Der Anbieter betreibt die Infrastruktur.
Der Kunde stellt Code,
Funktionen
oder Konfiguration bereit.
Merksatz:
Serverless = keine Serververwaltung durch den Kunden.
FaaS
FaaS steht für:
Function as a Service
Dabei werden einzelne Funktionen ereignisgesteuert ausgeführt.
Beispiele:
Datei hochgeladen
API-Aufruf
Zeitplan
Nachricht in Warteschlange
Merksatz:
FaaS führt Funktionen bei Ereignissen aus.
Cloud-Netzwerke
Cloud-Netzwerke bestehen aus virtuellen Netzwerkkomponenten.
Typische Bestandteile:
VPC
VNet
Subnetze
Routingtabellen
Security Groups
Network ACLs
NSGs
Internet Gateway
NAT-Gateway
VPN-Gateway
Load Balancer
DNS
Peering
Merksatz:
Cloud-Netzwerke sind virtuell,
brauchen aber echte Netzplanung.
VPC und VNet
VPC steht für:
Virtual Private Cloud
VNet steht für:
Virtual Network
Beide beschreiben ein logisch getrenntes Cloud-Netzwerk.
Darin werden festgelegt:
IP-Bereich
Subnetze
Routen
Sicherheitsregeln
Gateways
Ressourcen
Merksatz:
VPC oder VNet = eigenes virtuelles Cloud-Netz.
Public Subnet und Private Subnet
Subnetztyp
Zweck
Public Subnet
öffentlich erreichbare Komponenten
Private Subnet
interne Komponenten ohne direkten Internetzugriff
Beispiele:
Public Subnet:
Load Balancer,
Bastion Host,
Reverse Proxy
Private Subnet:
Datenbank,
Backend,
interne API,
Verarbeitungssystem
Merksatz:
Öffentlich nur,
was wirklich öffentlich sein muss.
Internet Gateway und NAT-Gateway
Internet Gateway:
verbindet Cloud-Netz mit dem Internet
NAT-Gateway:
erlaubt privaten Ressourcen ausgehenden Internetzugriff,
ohne direkt eingehend erreichbar zu sein
Merksatz:
Internet Gateway verbindet öffentlich.
NAT-Gateway erlaubt ausgehend für private Ressourcen.
Security Group
Eine Security Group ist eine virtuelle Firewall-Regelgruppe.
Sie steuert:
eingehenden Verkehr
ausgehenden Verkehr
Ports
Protokolle
Quellen
Ziele
Merksatz:
Security Group = Firewall-Regeln an Cloud-Ressourcen.
Network ACL und NSG
Network ACL:
Zugriffsliste auf Netzwerk- oder Subnetzebene
NSG:
Network Security Group,
Regelgruppe für Netzwerkzugriffe
Wichtig:
Je nach Plattform können Regeln stateful oder stateless sein.
Merksatz:
Security Groups,
ACLs
und NSGs können alle Zugriff beeinflussen.
Stateful und Stateless
Stateful bedeutet:
Rückverkehr zu erlaubten Verbindungen wird automatisch zugeordnet.
Stateless bedeutet:
Rückverkehr muss separat erlaubt werden.
Merksatz:
Stateful merkt sich Verbindungen.
Stateless prüft jedes Paket einzeln.
Load Balancer
Ein Load Balancer verteilt Anfragen auf mehrere Ziele.
Vorteile:
Lastverteilung
höhere Verfügbarkeit
Skalierung
Wartung einzelner Backends
Health Checks
Merksatz:
Load Balancer verteilt Verkehr auf gesunde Ziele.
Health Check
Ein Health Check prüft,
ob ein Backend gesund ist.
Beispiele:
TCP-Port erreichbar
HTTP-Status 200
Anwendung meldet gesund
Antwortzeit akzeptabel
Merksatz:
Health Check entscheidet,
ob ein Backend Verkehr erhält.
Peering
Peering verbindet zwei Cloud-Netze privat miteinander.
Wichtig:
IP-Netze dürfen sich nicht überschneiden.
Routen müssen passen.
Sicherheitsregeln müssen passen.
Peering ist nicht automatisch transitiv.
Merksatz:
Peering verbindet Netze,
leitet aber nicht automatisch zu dritten Netzen weiter.
Cloud-VPN
Cloud-VPN verbindet Cloud-Netze mit anderen Netzen.
Beispiele:
Cloud ↔ lokales Rechenzentrum
Cloud ↔ Niederlassung
Cloud ↔ andere Cloud
Wichtig:
IP-Planung
Routing
Firewall-Regeln
Verschlüsselung
Monitoring
Rückrouten
Merksatz:
Cloud-VPN braucht Regeln und Routen auf beiden Seiten.
Cloud-Speicherarten
Die wichtigsten Cloud-Speicherarten sind:
- Objektspeicher
- Blockspeicher
- Dateispeicher
- Archivspeicher
Merksatz:
Speicherart nach Einsatzzweck auswählen.
Objektspeicher
Objektspeicher speichert Daten als Objekte.
Ein Objekt enthält:
Inhalt
Metadaten
eindeutigen Schlüssel
Typische Nutzung:
Backups
Bilder
Videos
Logs
Archive
Dokumente
große unstrukturierte Datenmengen
Merksatz:
Objektspeicher eignet sich für viele unstrukturierte Daten.
Bucket
Ein Bucket ist ein Speicherbehälter für Objekte.
Wichtig:
Bucket-Berechtigungen sind sicherheitskritisch.
Fehler:
Bucket öffentlich lesbar
Folge:
vertrauliche Daten können offenliegen.
Merksatz:
Öffentliche Buckets vermeiden.
Blockspeicher
Blockspeicher verhält sich wie eine virtuelle Festplatte.
Typische Nutzung:
virtuelle Maschinen
Betriebssystemplatten
Datenbanken
Anwendungen mit Dateisystem
Merksatz:
Blockspeicher = virtuelle Festplatte.
Dateispeicher
Dateispeicher stellt klassische Datei- und Ordnerfreigaben bereit.
Typische Protokolle:
SMB
NFS
Typische Nutzung:
gemeinsame Dateien
Benutzerdateien
klassische Anwendungen
zentrale Ablagen
Merksatz:
Dateispeicher = Freigabe mit Dateien und Ordnern.
Backup in der Cloud
Cloud ersetzt kein Backup.
Auch Cloud-Daten können verloren gehen durch:
Benutzerfehler
Ransomware
Fehlkonfiguration
falsche Synchronisation
gelöschte Benutzer
kompromittierte Adminzugänge
Anbieterproblem
fehlerhafte Anwendung
Merksatz:
Cloud ist kein Backup.
RPO und RTO
RPO steht für:
Recovery Point Objective
Frage:
Wie viel Datenverlust ist maximal erlaubt?
RTO steht für:
Recovery Time Objective
Frage:
Wie lange darf Wiederherstellung dauern?
Merksatz:
RPO = Datenverlust.
RTO = Wiederherstellungszeit.
Backup und Replikation
Backup:
dient der Wiederherstellung alter oder gesicherter Zustände
Replikation:
kopiert Daten auf ein anderes System oder in eine andere Region
Wichtig:
Replikation ist kein vollständiger Backup-Ersatz,
weil Fehler und Löschungen mitkopiert werden können.
Merksatz:
Backup schützt Wiederherstellung.
Replikation schützt eher Verfügbarkeit.
3-2-1-Regel
Die 3-2-1-Regel bedeutet:
3 Kopien der Daten
2 unterschiedliche Speichermedien oder Speicherarten
1 Kopie außer Haus oder getrennt vom Hauptsystem
Merksatz:
Mehrere getrennte Kopien schützen besser.
Immutable Backup
Immutable bedeutet:
unveränderlich
Ein Immutable Backup kann für eine festgelegte Zeit nicht verändert oder gelöscht werden.
Vorteile:
Schutz vor Ransomware
Schutz vor versehentlicher Löschung
Schutz vor kompromittierten Konten
Merksatz:
Immutable Backup schützt vor Manipulation und Löschung.
IAM
IAM steht für:
Identity and Access Management
IAM regelt:
Benutzer
Gruppen
Rollen
Berechtigungen
Richtlinien
Servicekonten
API-Schlüssel
MFA
Merksatz:
IAM entscheidet,
wer was in der Cloud darf.
Authentifizierung und Autorisierung
Authentifizierung:
Wer bist du?
Autorisierung:
Was darfst du?
Beispiel:
Benutzer meldet sich an:
Authentifizierung
Benutzer darf eine VM löschen:
Autorisierung
Merksatz:
Anmeldung und Berechtigung unterscheiden.
MFA
MFA steht für:
Multi-Faktor-Authentifizierung
MFA ist besonders wichtig für:
Administratoren
externe Benutzer
Cloud-Portale
IAM
Abrechnung
Produktion
sensible Daten
Merksatz:
Cloud-Adminzugänge ohne MFA sind ein hohes Risiko.
Least Privilege
Least Privilege bedeutet:
nur die Rechte vergeben,
die wirklich benötigt werden.
In der Cloud besonders wichtig,
weil einzelne Rechte große Auswirkungen haben können.
Beispiele:
Speicher öffentlich machen
Firewall öffnen
VM löschen
Backup löschen
Rollen vergeben
API-Schlüssel erstellen
Merksatz:
Cloud-Rechte minimal vergeben.
Servicekonten und API-Schlüssel
Servicekonten sind Identitäten für Dienste oder Anwendungen.
API-Schlüssel erlauben Programmen Zugriff auf Cloud-Dienste.
Risiken:
zu viele Rechte
Schlüssel im Quellcode
keine Rotation
keine Löschung nach Projektende
Veröffentlichung in Repositories
Merksatz:
Servicekonten und API-Schlüssel wie kritische Zugangsdaten behandeln.
Secrets
Secrets sind geheime Informationen.
Beispiele:
Passwörter
Tokens
API-Schlüssel
private Schlüssel
Zertifikate
Datenbankkennwörter
Merksatz:
Secrets gehören nicht in Quellcode,
Tickets,
Chats
oder ungeschützte Dokumente.
RBAC und ABAC
RBAC:
rollenbasierte Zugriffskontrolle
ABAC:
attributbasierte Zugriffskontrolle
Modell
Grundlage
RBAC
Rollen
ABAC
Attribute
Merksatz:
RBAC arbeitet mit Rollen.
ABAC arbeitet mit Eigenschaften.
Tenant und Mandantentrennung
Ein Tenant ist ein logisch getrennter Verwaltungsbereich.
Mandantentrennung bedeutet:
Daten und Ressourcen verschiedener Kunden oder Organisationseinheiten werden logisch getrennt.
Merksatz:
Tenant = eigener Cloud-Verwaltungsbereich.
SSO, SAML, OAuth 2.0 und OpenID Connect
SSO:
einmal anmelden,
mehrere Dienste nutzen
SAML:
häufig für Single Sign-On genutzt
OAuth 2.0:
delegierte Autorisierung
OpenID Connect:
ergänzt OAuth 2.0 um Authentifizierung
Merksatz:
OAuth 2.0 ist Autorisierung.
OpenID Connect ergänzt Authentifizierung.
Verschlüsselung
Cloud-Daten sollten geschützt werden:
bei Übertragung
und
im Ruhezustand
Bei Übertragung:
TLS
Im Ruhezustand:
Speicherverschlüsselung
Datenbankverschlüsselung
Backup-Verschlüsselung
Merksatz:
Verschlüsselung schützt Daten,
ersetzt aber keine Rechteverwaltung.
KMS
KMS steht für:
Key Management Service
Ein KMS verwaltet kryptografische Schlüssel.
Aufgaben:
Schlüssel erzeugen
Schlüssel speichern
Schlüssel rotieren
Zugriff steuern
Nutzung protokollieren
Schlüssel deaktivieren
Merksatz:
KMS verwaltet Schlüssel für Cloud-Verschlüsselung.
Logging und Monitoring
Monitoring:
zeigt aktuelle Zustände und Messwerte
Logging:
zeigt Ereignisse und Änderungen
Beispiele für Logs:
Audit-Logs
Flow Logs
Firewall-Logs
Anwendungslogs
IAM-Logs
Load-Balancer-Logs
Merksatz:
Monitoring zeigt Zustand.
Logging zeigt Ereignisse.
SIEM
SIEM steht für:
Security Information and Event Management
Ein SIEM sammelt und analysiert Sicherheitslogs.
Ziele:
Angriffe erkennen
Alarme erzeugen
Ereignisse korrelieren
Nachweise liefern
Merksatz:
SIEM hilft bei zentraler Sicherheitsüberwachung.
Kostenkontrolle
Cloud-Kosten entstehen durch:
Rechenleistung
Speicher
Datenbanken
Backups
Snapshots
Logs
Monitoring
Netzwerkverkehr
Load Balancer
Lizenzen
öffentliche IP-Adressen
Support
Merksatz:
Cloud-Kosten entstehen nicht nur durch Server.
Pay as you go
Pay as you go bedeutet:
Abrechnung nach Nutzung.
Vorteil:
flexibel
Risiko:
Fehlkonfiguration,
Dauerbetrieb
oder unerwartete Last können teuer werden.
Merksatz:
Pay as you go braucht Kostenüberwachung.
Tagging
Tagging bedeutet:
Cloud-Ressourcen werden mit Metadaten markiert.
Beispiele:
Projekt
Kostenstelle
Verantwortlicher
Umgebung
Ablaufdatum
Schutzbedarf
Merksatz:
Tags helfen bei Kosten,
Verantwortung
Ordnung
und Automatisierung.
Rightsizing
Rightsizing bedeutet:
Ressourcen passend dimensionieren.
Zu groß:
unnötige Kosten
Zu klein:
schlechte Leistung oder Ausfälle
Merksatz:
Rightsizing sucht die passende Ressourcengröße.
Auto Scaling
Auto Scaling passt Ressourcen automatisch an die Last an.
Beispiel:
mehr Instanzen bei hoher Last
weniger Instanzen bei geringer Last
Merksatz:
Auto Scaling skaliert automatisch nach Regeln.
Horizontale und vertikale Skalierung
Skalierung
Bedeutung
horizontal
mehr Instanzen
vertikal
größere Instanz
Merksatz:
Horizontal = mehr Systeme.
Vertikal = stärkeres System.
Hochverfügbarkeit
Hochverfügbarkeit bedeutet:
Dienste bleiben möglichst verfügbar,
auch wenn einzelne Komponenten ausfallen.
Mittel:
mehrere Instanzen
mehrere Verfügbarkeitszonen
Load Balancer
Replikation
Monitoring
Auto Scaling
Backup
Notfallplan
Merksatz:
Cloud ist nicht automatisch hochverfügbar.
Region und Verfügbarkeitszone
Region:
geografischer Standort des Cloud-Anbieters
Verfügbarkeitszone:
getrenntes Rechenzentrumssegment innerhalb einer Region
Merksatz:
Region beeinflusst Datenstandort und Latenz.
Zone beeinflusst Ausfallsicherheit innerhalb einer Region.
SLA, SLO und SLI
Begriff
Bedeutung
SLA
vertragliche Servicezusage
SLO
Zielwert für Servicequalität
SLI
Messwert für Servicequalität
Merksatz:
SLI misst.
SLO setzt Ziel.
SLA ist Zusage.
Infrastructure as Code
Infrastructure as Code wird abgekürzt:
IaC
Dabei wird Infrastruktur als Code beschrieben.
Beispiele:
Netzwerke
Subnetze
Firewalls
Rollen
VMs
Datenbanken
Load Balancer
Speicher
Vorteile:
wiederholbar
versionierbar
dokumentiert
automatisierbar
prüfbar
Merksatz:
IaC beschreibt Infrastruktur als Code.
Configuration Drift
Configuration Drift bedeutet:
Die echte Konfiguration weicht von der geplanten Konfiguration ab.
Ursachen:
manuelle Änderungen
Notfalländerungen
fehlende Dokumentation
unterschiedliche Umgebungen
Merksatz:
Configuration Drift erschwert Betrieb und Sicherheit.
Change Management und Rollback
Change Management bedeutet:
Änderungen werden geplant,
geprüft,
freigegeben,
umgesetzt
und dokumentiert.
Rollback bedeutet:
Änderung zurücknehmen.
Merksatz:
Jede kritische Änderung braucht Dokumentation und Rückweg.
Runbook
Ein Runbook ist eine Schritt-für-Schritt-Anleitung für Betriebsaufgaben.
Beispiele:
Backup wiederherstellen
Alarm bearbeiten
Zertifikat erneuern
Dienst neu starten
Failover auslösen
Benutzerzugriff prüfen
Merksatz:
Runbooks helfen bei wiederholbaren Betriebsabläufen.
Incident Response
Incident Response bedeutet:
Vorgehen bei Sicherheitsvorfällen oder größeren Störungen.
Schritte:
erkennen
bewerten
eindämmen
beseitigen
wiederherstellen
dokumentieren
verbessern
Merksatz:
Incident Response muss vor dem Vorfall vorbereitet sein.
Datenschutz und Compliance
Cloud-Nutzung muss rechtliche und organisatorische Vorgaben beachten.
Wichtige Fragen:
Welche Daten werden verarbeitet?
Wo werden Daten gespeichert?
Wer hat Zugriff?
Gibt es Auftragsverarbeitung?
Sind Daten verschlüsselt?
Gibt es Löschkonzepte?
Werden Logs personenbezogen?
Welche Verträge gelten?
Merksatz:
Cloud braucht Datenschutz- und Compliance-Prüfung.
Datenklassifizierung
Datenklassifizierung bedeutet:
Daten werden nach Schutzbedarf eingeteilt.
Beispiele:
öffentlich
intern
vertraulich
streng vertraulich
personenbezogen
geschäftskritisch
Merksatz:
Datenklasse bestimmt Schutzmaßnahmen.
Datenresidenz
Datenresidenz bedeutet:
Daten müssen in einem bestimmten Land oder einer bestimmten Region gespeichert werden.
Beispiel:
Speicherung innerhalb der EU
Merksatz:
Datenresidenz beschreibt,
wo Daten liegen dürfen.
Vendor Lock-in
Vendor Lock-in bedeutet:
starke Abhängigkeit von einem Anbieter.
Ursachen:
proprietäre Dienste
spezielle APIs
spezielle Datenformate
hohe Migrationskosten
fehlende Portabilität
Mitarbeitende kennen nur eine Plattform
Merksatz:
Vendor Lock-in früh beachten.
Exit-Strategie
Eine Exit-Strategie beschreibt,
wie man einen Cloud-Dienst wieder verlassen kann.
Fragen:
Wie exportiere ich Daten?
In welchem Format?
Wie lange dauert Migration?
Welche Kosten entstehen?
Wie werden Daten beim Anbieter gelöscht?
Gibt es Alternativen?
Merksatz:
Cloud-Einstieg braucht auch Cloud-Ausstiegsplan.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was bedeutet Cloud Computing?
- Was ist On-Premises?
- Was ist Public Cloud?
- Was ist Private Cloud?
- Was ist Hybrid Cloud?
- Was ist Multi Cloud?
- Was ist der Unterschied zwischen Hybrid Cloud und Multi Cloud?
- Was bedeutet IaaS?
- Was bedeutet PaaS?
- Was bedeutet SaaS?
- Was ist das Shared Responsibility Model?
- Wer ist bei IaaS für Betriebssystemupdates verantwortlich?
- Wer verwaltet bei SaaS Benutzer und Rechte?
- Was ist eine VPC?
- Was ist ein Public Subnet?
- Was ist ein Private Subnet?
- Was ist eine Security Group?
- Was ist ein Load Balancer?
- Was ist IAM?
- Was bedeutet Least Privilege?
- Was ist MFA?
- Was ist ein API-Schlüssel?
- Was ist ein Secret?
- Was ist Objektspeicher?
- Was ist Blockspeicher?
- Was ist Dateispeicher?
- Warum ist Cloud-Speicher kein Backup?
- Was bedeutet RPO?
- Was bedeutet RTO?
- Was ist Auto Scaling?
- Was ist horizontale Skalierung?
- Was ist vertikale Skalierung?
- Was ist ein SLA?
- Warum ist Cloud nicht automatisch sicher?
- Warum ist Cloud nicht automatisch günstiger?
Typische Prüfungsfallen
Cloud ist nicht automatisch günstiger.
Cloud ist nicht automatisch sicher.
Cloud ist nicht automatisch hochverfügbar.
Cloud ist nicht automatisch Backup.
Anbieter übernimmt nicht automatisch alles.
Daten,
Benutzer
und Rechte bleiben Kundenthema.
Public Cloud ist nicht automatisch unsicher.
Private Cloud ist nicht automatisch günstiger.
Hybrid Cloud ist nicht Multi Cloud.
Multi Cloud ist nicht automatisch Hybrid.
Virtualisierung allein ist keine Private Cloud.
IaaS ist Infrastruktur.
PaaS ist Plattform.
SaaS ist fertige Software.
Cloud-VM muss Kunde oft selbst patchen.
SaaS-Rechte bleiben Kundenthema.
Serverless heißt nicht serverfrei.
VPC und VNet sind virtuelle Cloud-Netze.
Public Subnet nicht für Datenbanken nutzen.
Private Subnet schützt vor direkter öffentlicher Erreichbarkeit.
Security Group ist virtuelle Firewall.
Öffentliche Buckets vermeiden.
Synchronisation ist kein Backup.
Replikation ist kein Backup.
Snapshot ist nicht immer Backup.
Backup ohne Restore-Test ist unsicher.
RPO und RTO nicht verwechseln.
IAM ist zentral für Cloud-Sicherheit.
Authentifizierung ist nicht Autorisierung.
MFA für Admins ist wichtig.
API-Schlüssel wie Passwörter behandeln.
Secrets nicht im Code speichern.
Verschlüsselung ersetzt keine Rechteverwaltung.
Monitoring und Logging unterscheiden.
Pay as you go braucht Kostenkontrolle.
Tags helfen bei Kosten und Verantwortung.
Horizontal und vertikal unterscheiden.
SLA,
SLO
und SLI nicht verwechseln.
Exit-Strategie früh planen.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Cloud
IT-Ressourcen als Dienst
On-Premises
lokal selbst betrieben
Public Cloud
Anbieterplattform für viele Kunden
Private Cloud
Cloud für eine Organisation
Hybrid Cloud
lokale/private IT plus Cloud
Multi Cloud
mehrere Cloud-Anbieter
Community Cloud
Cloud für bestimmte Gemeinschaft
IaaS
Infrastructure as a Service
PaaS
Platform as a Service
SaaS
Software as a Service
Shared Responsibility
geteilte Verantwortung
Virtualisierung
Aufteilung physischer Ressourcen
Container
portable Anwendungseinheit
Kubernetes
Container-Orchestrierung
Serverless
keine Serververwaltung durch Kunden
FaaS
Function as a Service
VPC
Virtual Private Cloud
VNet
Virtual Network
Public Subnet
öffentlich angebundenes Subnetz
Private Subnet
internes Subnetz
Security Group
virtuelle Firewall-Regelgruppe
Load Balancer
verteilt Anfragen
Health Check
prüft Dienstgesundheit
Peering
Verbindung zwischen Cloud-Netzen
Cloud-VPN
VPN zu Cloud-Netz
Objektspeicher
Speicher für Objekte
Bucket
Speicherbehälter
Blockspeicher
virtuelle Festplatte
Dateispeicher
Datei- und Ordnerfreigabe
Backup
zusätzliche Sicherung
Restore
Wiederherstellung
RPO
maximaler Datenverlust
RTO
maximale Wiederherstellungszeit
Immutable Backup
unveränderliches Backup
IAM
Identity and Access Management
MFA
Multi-Faktor-Authentifizierung
Least Privilege
minimale notwendige Rechte
API-Schlüssel
Zugriffsschlüssel für Programme
Secret
geheime Information
RBAC
rollenbasierte Zugriffskontrolle
ABAC
attributbasierte Zugriffskontrolle
Tenant
Cloud-Verwaltungsbereich
SSO
Single Sign-On
OAuth 2.0
delegierte Autorisierung
OpenID Connect
Authentifizierungserweiterung
KMS
Key Management Service
Monitoring
Zustandsüberwachung
Logging
Ereignisprotokollierung
SIEM
Sicherheitslog-Auswertung
Pay as you go
Abrechnung nach Nutzung
Tagging
Metadaten für Ressourcen
Rightsizing
passende Ressourcengröße
Auto Scaling
automatische Skalierung
SLA
vertragliche Servicezusage
SLO
Serviceziel
SLI
Servicemesswert
IaC
Infrastructure as Code
Configuration Drift
Abweichung von Soll-Konfiguration
Runbook
Betriebsanleitung
Incident Response
Reaktion auf Vorfälle
Compliance
Einhaltung von Vorgaben
Datenresidenz
erlaubter Speicherort
Vendor Lock-in
Anbieterabhängigkeit
Exit-Strategie
Plan zum Verlassen eines Dienstes
IHK-sichere Gesamtformulierung
Cloud Computing bedeutet, dass IT-Ressourcen wie Rechenleistung, Speicher, Netzwerke, Plattformen oder Anwendungen über ein Netzwerk als Dienst bereitgestellt werden. Bei On-Premises betreibt ein Unternehmen seine IT lokal selbst. Public Cloud wird von einem Anbieter für viele Kunden bereitgestellt, Private Cloud für eine einzelne Organisation, Hybrid Cloud kombiniert lokale oder private IT mit Public Cloud, und Multi Cloud nutzt mehrere Cloud-Anbieter. Die wichtigsten Service-Modelle sind IaaS, PaaS und SaaS. Das Shared Responsibility Model beschreibt die geteilte Verantwortung zwischen Anbieter und Kunde. Auch in der Cloud bleiben Benutzer, Rechte, Daten, sichere Konfiguration, Backup, Monitoring, Kostenkontrolle, Datenschutz und Compliance wichtige Aufgaben des Kunden.
Wichtigste Merksätze
Cloud = IT-Ressourcen als Dienst.
Cloud ist kein einzelnes Produkt.
Cloud ist nicht automatisch sicher.
Cloud ist nicht automatisch günstig.
Cloud ist nicht automatisch hochverfügbar.
Cloud ist kein Backup.
On-Premises = lokal selbst betrieben.
Public Cloud = Anbieterplattform für viele Kunden.
Private Cloud = Cloud für eine Organisation.
Hybrid Cloud = lokal plus Cloud.
Multi Cloud = mehrere Anbieter.
IaaS = Infrastruktur.
PaaS = Plattform.
SaaS = fertige Software.
Shared Responsibility = geteilte Verantwortung.
Daten bleiben Kundenthema.
Benutzer bleiben Kundenthema.
Rechte bleiben Kundenthema.
Cloud-VM muss Kunde oft selbst patchen.
SaaS braucht Rechteverwaltung.
Serverless heißt keine Serververwaltung durch Kunden.
VPC und VNet sind virtuelle Cloud-Netze.
Public Subnet nur für öffentliche Komponenten.
Private Subnet für interne Ressourcen.
Datenbanken nicht öffentlich bereitstellen.
Security Groups sind virtuelle Firewall-Regeln.
Cloud-VPN braucht Routen beidseitig.
Objektspeicher für unstrukturierte Daten.
Blockspeicher für VMs und Datenbanken.
Dateispeicher für Freigaben.
Öffentliche Buckets vermeiden.
Backup regelmäßig testen.
RPO = Datenverlust.
RTO = Wiederherstellungszeit.
IAM entscheidet,
wer was darf.
MFA für Admins erzwingen.
Least Privilege immer beachten.
API-Schlüssel schützen.
Secrets sicher verwalten.
Verschlüsselung ersetzt keine Rechte.
Monitoring zeigt Zustand.
Logging zeigt Ereignisse.
Kosten aktiv überwachen.
Tags pflegen.
Auto Scaling braucht Regeln.
Horizontal = mehr Instanzen.
Vertikal = größere Instanz.
IaC macht Infrastruktur wiederholbar.
Configuration Drift vermeiden.
Runbooks helfen im Betrieb.
Incident Response vorbereiten.
Datenschutz und Compliance prüfen.
Exit-Strategie früh planen.
16. Angriffe und Schutzmaßnahmen
16.1 Angriffe und Schutzmaßnahmen
IT-Systeme und Netzwerke sind vielen möglichen Angriffen ausgesetzt.
Ein Angriff kann sich richten gegen:
- Vertraulichkeit
- Integrität
- Verfügbarkeit
- Identitäten
- Daten
- Anwendungen
- Netzwerke
- Endgeräte
- Server
- Cloud-Dienste
Merksatz:
IT-Sicherheit schützt nicht nur Technik,
sondern auch Daten,
Prozesse
und Verfügbarkeit.
Grundziele der Informationssicherheit
Die drei wichtigsten Grundziele sind:
Vertraulichkeit
Integrität
Verfügbarkeit
Diese drei Begriffe werden oft als Schutzziele bezeichnet.
Merksatz:
Vertraulichkeit,
Integrität
und Verfügbarkeit sind die Grundpfeiler der IT-Sicherheit.
Vertraulichkeit
Vertraulichkeit bedeutet:
Informationen dürfen nur von berechtigten Personen gelesen werden.
Beispiele:
Kundendaten
Passwörter
Personalakten
Geschäftsgeheimnisse
medizinische Daten
interne Dokumente
Zugangsdaten
Angriffe auf Vertraulichkeit:
Datenabfluss
unberechtigter Zugriff
Abhören
Phishing
gestohlene Zugangsdaten
öffentlich freigegebene Cloud-Speicher
Merksatz:
Vertraulichkeit schützt vor unberechtigtem Lesen.
Integrität
Integrität bedeutet:
Daten dürfen nicht unbemerkt verändert werden.
Beispiele:
Rechnung darf nicht manipuliert werden.
Konfigurationsdatei darf nicht heimlich geändert werden.
Softwarepaket darf nicht verfälscht werden.
Logdatei darf nicht manipuliert werden.
Angriffe auf Integrität:
Manipulation
Schadsoftware
unberechtigte Änderungen
Datenbankänderungen
Man-in-the-Middle
Supply-Chain-Angriffe
Merksatz:
Integrität schützt vor unbemerkter Veränderung.
Verfügbarkeit
Verfügbarkeit bedeutet:
Systeme,
Dienste
und Daten sind bei Bedarf nutzbar.
Beispiele:
Webserver erreichbar
E-Mail funktioniert
Datenbank antwortet
Backup kann wiederhergestellt werden
Netzwerk ist verfügbar
Cloud-Dienst läuft
Angriffe auf Verfügbarkeit:
DoS
DDoS
Ransomware
Sabotage
Überlastung
Ausfall kritischer Komponenten
Merksatz:
Verfügbarkeit schützt die Nutzbarkeit von Systemen.
CIA-Triade
Die drei Schutzziele werden oft zusammengefasst als:
Confidentiality
Integrity
Availability
Deutsch:
Vertraulichkeit
Integrität
Verfügbarkeit
Merksatz:
CIA-Triade = Vertraulichkeit,
Integrität
Verfügbarkeit.
Authentizität
Authentizität bedeutet:
Die Echtheit einer Person,
eines Systems
oder einer Nachricht ist überprüfbar.
Beispiele:
Ist der Benutzer wirklich der richtige Benutzer?
Ist der Server wirklich der richtige Server?
Stammt die E-Mail wirklich vom angegebenen Absender?
Ist das Zertifikat gültig?
Merksatz:
Authentizität schützt vor falscher Identität.
Nichtabstreitbarkeit
Nichtabstreitbarkeit bedeutet:
Eine Handlung kann später nicht glaubwürdig abgestritten werden.
Beispiel:
Eine digital signierte Bestellung kann einer Person oder Organisation zugeordnet werden.
Mittel:
digitale Signatur
Protokollierung
Zeitstempel
eindeutige Benutzerkonten
Merksatz:
Nichtabstreitbarkeit sorgt für Nachweisbarkeit.
Angriffsarten im Überblick
Typische Angriffsarten:
- Phishing
- Social Engineering
- Malware
- Ransomware
- DoS und DDoS
- Man-in-the-Middle
- Passwortangriffe
- Brute Force
- Credential Stuffing
- Spoofing
- Sniffing
- SQL Injection
- Cross-Site Scripting
- Zero-Day-Angriff
- Supply-Chain-Angriff
- Insider-Bedrohung
Merksatz:
Angriffe können technisch,
organisatorisch
oder menschlich ansetzen.
Angreiferziele
Angreifer verfolgen unterschiedliche Ziele.
Beispiele:
Daten stehlen
Geld erpressen
Systeme verschlüsseln
Zugangsdaten sammeln
Dienste lahmlegen
Systeme übernehmen
Spionage betreiben
Sabotage durchführen
Rechenleistung missbrauchen
interne Bewegung im Netz erreichen
Merksatz:
Angriffe haben ein Ziel,
auch wenn sie zunächst zufällig wirken.
Angriffsfläche
Angriffsfläche bedeutet:
alle Stellen,
an denen ein System angegriffen werden kann.
Beispiele:
offene Ports
Webanwendungen
VPN-Zugänge
Benutzerkonten
E-Mail
Cloud-Portale
APIs
veraltete Software
unsichere Freigaben
mobile Geräte
externe Dienstleister
Merksatz:
Je größer die Angriffsfläche,
desto mehr mögliche Angriffspunkte.
Angriffsfläche reduzieren
Maßnahmen:
unnötige Dienste deaktivieren
offene Ports schließen
alte Software entfernen
Standardkonten deaktivieren
Rechte begrenzen
MFA aktivieren
Netzsegmentierung nutzen
Systeme patchen
öffentliche Zugriffe prüfen
sichere Konfiguration verwenden
Merksatz:
Nicht benötigte Angriffsfläche entfernen.
Schwachstelle
Eine Schwachstelle ist eine Sicherheitslücke oder ein Fehler,
der ausgenutzt werden kann.
Beispiele:
veraltete Software
unsichere Konfiguration
schwaches Passwort
fehlende Zugriffskontrolle
Programmierfehler
offener Adminport
öffentlich freigegebener Speicher
Merksatz:
Schwachstelle = ausnutzbare Sicherheitslücke.
Bedrohung
Eine Bedrohung ist ein mögliches Ereignis,
das Schaden verursachen kann.
Beispiele:
Angreifer
Malware
Feuer
Diebstahl
Stromausfall
Fehlbedienung
Datenverlust
Insider
Merksatz:
Bedrohung = mögliches schädliches Ereignis.
Risiko
Risiko beschreibt,
wie wahrscheinlich ein Schaden ist
und wie groß die Auswirkung wäre.
Vereinfacht:
Risiko = Eintrittswahrscheinlichkeit × Schadenshöhe
Beispiel:
Ein öffentlich erreichbarer Server mit alter Software hat ein hohes Risiko.
Merksatz:
Risiko verbindet Wahrscheinlichkeit und Auswirkung.
Schutzmaßnahme
Eine Schutzmaßnahme reduziert ein Risiko.
Beispiele:
Patch einspielen
MFA aktivieren
Firewall-Regel setzen
Backup erstellen
Benutzer schulen
Rechte begrenzen
Verschlüsselung nutzen
Monitoring aktivieren
Merksatz:
Schutzmaßnahmen senken Eintrittswahrscheinlichkeit oder Auswirkung.
Technische Schutzmaßnahmen
Technische Schutzmaßnahmen sind zum Beispiel:
Firewall
Antivirus
EDR
IDS
IPS
Verschlüsselung
MFA
Patchmanagement
Backup
Netzwerksegmentierung
Logging
Monitoring
Zugriffskontrolle
sichere Konfiguration
Merksatz:
Technische Maßnahmen schützen Systeme direkt.
Organisatorische Schutzmaßnahmen
Organisatorische Schutzmaßnahmen sind zum Beispiel:
Sicherheitsrichtlinien
Schulungen
Berechtigungskonzepte
Notfallpläne
Change Management
Rollenverteilung
Freigabeprozesse
Offboarding
Dokumentation
Verantwortlichkeiten
Merksatz:
Organisation entscheidet,
wie Sicherheit dauerhaft umgesetzt wird.
Personelle Schutzmaßnahmen
Personelle Schutzmaßnahmen betreffen Menschen.
Beispiele:
Schulung gegen Phishing
klare Meldewege
Sensibilisierung
Vier-Augen-Prinzip
sichere Passwortnutzung
Umgang mit vertraulichen Daten
Verhalten bei Sicherheitsvorfällen
Merksatz:
Menschen sind Teil der Sicherheit,
nicht nur Risiko.
Physische Schutzmaßnahmen
Physische Schutzmaßnahmen schützen Räume,
Geräte
und Infrastruktur.
Beispiele:
Zutrittskontrolle
abschließbare Serverräume
Videoüberwachung
Brandschutz
USV
Klimatisierung
Schutz vor Diebstahl
gesicherte Netzwerkschränke
Merksatz:
IT-Sicherheit beginnt auch bei physischem Schutz.
Defense in Depth
Defense in Depth bedeutet:
mehrere Schutzschichten werden kombiniert.
Beispiel:
Firewall
plus
MFA
plus
Patchmanagement
plus
EDR
plus
Backup
plus
Monitoring
Wenn eine Schutzschicht versagt,
sollen andere Schichten weiter schützen.
Merksatz:
Defense in Depth = Sicherheit durch mehrere Schichten.
Least Privilege
Least Privilege bedeutet:
Benutzer,
Dienste
und Systeme bekommen nur die Rechte,
die sie wirklich benötigen.
Beispiele:
normaler Benutzer kein lokaler Administrator
Dienstkonto nur Zugriff auf benötigte Datenbank
VPN-Benutzer nur auf notwendige Systeme
Cloud-Rolle nur mit benötigten Aktionen
Merksatz:
Weniger Rechte bedeuten weniger Schaden bei Missbrauch.
Need to Know
Need to Know bedeutet:
Zugriff nur auf Informationen,
die für die Aufgabe erforderlich sind.
Beispiel:
Personalabteilung sieht Personalakten.
Support sieht technische Tickets.
Praktikant sieht keine vertraulichen Finanzdaten.
Merksatz:
Nicht jeder muss alles wissen.
Zero Trust
Zero Trust bedeutet:
keinem Zugriff automatisch vertrauen.
Es wird geprüft:
Benutzer
Gerät
Standort
Risiko
Anwendung
Berechtigung
MFA
Gerätezustand
Merksatz:
Zero Trust heißt:
immer prüfen,
nie pauschal vertrauen.
Phishing
Phishing ist der Versuch,
Benutzer zur Preisgabe vertraulicher Informationen zu verleiten.
Ziele:
Passwörter
MFA-Codes
Kreditkartendaten
Zugangsdaten
interne Informationen
Typische Mittel:
gefälschte E-Mails
gefälschte Webseiten
gefälschte Loginseiten
angebliche Rechnungen
angebliche Paketmeldungen
angebliche Sicherheitswarnungen
Merksatz:
Phishing greift den Menschen über Täuschung an.
Spear Phishing
Spear Phishing ist gezieltes Phishing gegen bestimmte Personen oder Organisationen.
Beispiel:
Angreifer schreibt eine E-Mail,
die genau zu einer Firma,
einem Projekt
oder einer Rolle passt.
Spear Phishing wirkt oft glaubwürdiger als Massenphishing.
Merksatz:
Spear Phishing ist gezieltes Phishing.
Whaling
Whaling ist Phishing gegen besonders wichtige Personen.
Beispiele:
Geschäftsführung
Administratoren
Finanzleitung
Personalabteilung
Projektleitung
Merksatz:
Whaling richtet sich gegen besonders wertvolle Ziele.
Social Engineering
Social Engineering nutzt menschliches Verhalten aus.
Beispiele:
Vertrauen erschleichen
Zeitdruck erzeugen
Hilfsbereitschaft ausnutzen
Autorität vortäuschen
Angst erzeugen
Neugier ausnutzen
Merksatz:
Social Engineering manipuliert Menschen statt Technik.
Schutz vor Phishing und Social Engineering
Maßnahmen:
Schulungen
klare Meldewege
MFA
E-Mail-Filter
sichere Passwortmanager
keine Links blind anklicken
Absender prüfen
ungewöhnliche Anfragen hinterfragen
Vier-Augen-Prinzip bei Zahlungen
Sensibilisierung für Druck und Täuschung
Merksatz:
Technik und Schulung gemeinsam schützen besser.
Malware
Malware ist Schadsoftware.
Beispiele:
Virus
Wurm
Trojaner
Ransomware
Spyware
Keylogger
Rootkit
Botnet-Client
Cryptominer
Merksatz:
Malware ist Software mit schädlicher Funktion.
Virus
Ein Virus hängt sich an Dateien oder Programme
und verbreitet sich,
wenn diese ausgeführt oder weitergegeben werden.
Merksatz:
Virus braucht meist eine Wirtsdatei oder Benutzeraktion.
Wurm
Ein Wurm verbreitet sich selbstständig über Netzwerke oder Schwachstellen.
Gefahr:
schnelle Ausbreitung
hohe Netzlast
Infektion vieler Systeme
Ausnutzung ungepatchter Systeme
Merksatz:
Wurm verbreitet sich selbstständig.
Trojaner
Ein Trojaner tarnt sich als nützliches oder harmloses Programm,
enthält aber Schadfunktionen.
Beispiele:
angebliches Tool
manipulierte Installationsdatei
Fake-Update
gecrackte Software
Merksatz:
Trojaner täuscht Nützlichkeit vor.
Ransomware
Ransomware verschlüsselt Daten oder sperrt Systeme
und fordert Lösegeld.
Folgen:
Daten nicht verfügbar
Betriebsunterbrechung
Erpressung
Datenabfluss möglich
hohe Wiederherstellungskosten
Merksatz:
Ransomware greift vor allem Verfügbarkeit und oft auch Vertraulichkeit an.
Schutz vor Ransomware
Maßnahmen:
Offline- oder Immutable-Backups
regelmäßige Restore-Tests
Patchmanagement
EDR
Makros einschränken
Least Privilege
Netzwerksegmentierung
MFA
E-Mail-Schutz
keine lokalen Adminrechte
Monitoring
schnelle Isolation infizierter Systeme
Merksatz:
Gegen Ransomware sind Backups,
Rechtebegrenzung
und Segmentierung besonders wichtig.
Spyware
Spyware spioniert Benutzer oder Systeme aus.
Beispiele:
Tastatureingaben aufzeichnen
Bildschirm erfassen
Browserdaten auslesen
Zugangsdaten stehlen
Benutzerverhalten beobachten
Merksatz:
Spyware sammelt heimlich Informationen.
Keylogger
Ein Keylogger zeichnet Tastatureingaben auf.
Ziel:
Passwörter
Zugangsdaten
Nachrichten
vertrauliche Eingaben
Merksatz:
Keylogger stehlen Eingaben.
Rootkit
Ein Rootkit versteckt Schadsoftware oder ermöglicht besonders tiefen Zugriff auf ein System.
Ziel:
Erkennung verhindern
Kontrolle behalten
Sicherheitssoftware umgehen
System manipulieren
Merksatz:
Rootkits verstecken und verankern Angriffe tief im System.
Botnet
Ein Botnet ist ein Netzwerk kompromittierter Systeme,
die von Angreifern gesteuert werden.
Nutzung:
DDoS
Spam
Credential Stuffing
Malware-Verteilung
Cryptomining
Proxy-Missbrauch
Merksatz:
Botnet = viele fremdgesteuerte infizierte Systeme.
DoS
DoS steht für:
Denial of Service
Ziel:
Ein Dienst wird durch Überlastung oder Störung unbenutzbar.
Beispiel:
Ein Server erhält so viele Anfragen,
dass er nicht mehr antwortet.
Merksatz:
DoS greift die Verfügbarkeit an.
DDoS
DDoS steht für:
Distributed Denial of Service
Dabei kommt der Angriff von vielen Systemen gleichzeitig.
Oft werden Botnetze genutzt.
Merksatz:
DDoS ist verteilter DoS-Angriff.
Schutz vor DoS und DDoS
Maßnahmen:
DDoS-Schutzdienst
Rate Limiting
Load Balancer
Content Delivery Network
Firewall-Regeln
Anycast
Skalierung
Monitoring
Notfallplan
Provider-Unterstützung
Merksatz:
DDoS-Schutz braucht Technik,
Skalierung
und Vorbereitung.
Man-in-the-Middle
Man-in-the-Middle wird oft abgekürzt:
MitM
Dabei sitzt ein Angreifer zwischen zwei Kommunikationspartnern.
Ziele:
Daten mitlesen
Daten verändern
Sitzung übernehmen
Zertifikatswarnungen ausnutzen
Zugangsdaten abfangen
Merksatz:
MitM greift Kommunikation zwischen zwei Parteien an.
Schutz vor Man-in-the-Middle
Maßnahmen:
TLS korrekt nutzen
Zertifikate prüfen
keine Zertifikatswarnungen ignorieren
VPN in unsicheren Netzen
HSTS bei Webdiensten
sichere WLANs
Zertifikat-Pinning je nach Anwendung
starke Authentifizierung
Merksatz:
TLS schützt nur,
wenn Zertifikate korrekt geprüft werden.
Sniffing
Sniffing bedeutet:
Netzwerkverkehr wird mitgeschnitten oder beobachtet.
Nützlich für Administratoren:
Fehlersuche
Analyse
Protokollprüfung
Gefährlich durch Angreifer:
Zugangsdaten abfangen
unverschlüsselte Daten lesen
interne Kommunikation beobachten
Merksatz:
Sniffing ist Analysewerkzeug,
kann aber missbraucht werden.
Spoofing
Spoofing bedeutet:
eine falsche Identität oder Adresse wird vorgetäuscht.
Beispiele:
IP-Spoofing
MAC-Spoofing
DNS-Spoofing
E-Mail-Spoofing
ARP-Spoofing
Merksatz:
Spoofing täuscht Herkunft oder Identität vor.
ARP-Spoofing
ARP-Spoofing manipuliert die Zuordnung von IP-Adresse zu MAC-Adresse im lokalen Netz.
Ziel:
Verkehr über Angreifer leiten
Man-in-the-Middle ermöglichen
Kommunikation stören
Merksatz:
ARP-Spoofing greift lokale Layer-2-Kommunikation an.
DNS-Spoofing
DNS-Spoofing manipuliert Namensauflösung.
Beispiel:
Benutzer ruft bank.example auf,
wird aber auf falsche IP geleitet.
Schutz:
DNSSEC
sichere DNS-Server
TLS-Zertifikatsprüfung
Monitoring
keine unsicheren DNS-Quellen
Merksatz:
DNS-Spoofing führt Namen zu falschen Zielen.
Passwortangriffe
Passwortangriffe versuchen,
Zugangsdaten zu erraten,
zu stehlen
oder wiederzuverwenden.
Typen:
Brute Force
Wörterbuchangriff
Credential Stuffing
Password Spraying
Phishing
Keylogger
Merksatz:
Passwortangriffe richten sich gegen Identitäten.
Brute Force
Brute Force bedeutet:
viele mögliche Passwörter werden systematisch ausprobiert.
Schutz:
starke Passwörter
MFA
Sperrmechanismen
Rate Limiting
Monitoring
keine Standardkonten
Passwortmanager
Merksatz:
Brute Force wird durch Begrenzung und starke Authentifizierung erschwert.
Credential Stuffing
Credential Stuffing bedeutet:
Angreifer nutzen bekannte Zugangsdaten aus früheren Datenlecks
und probieren sie bei anderen Diensten aus.
Schutz:
keine Passwortwiederverwendung
MFA
Passwortmanager
Leak-Prüfung
ungewöhnliche Loginversuche erkennen
Merksatz:
Credential Stuffing nutzt wiederverwendete Passwörter.
Password Spraying
Password Spraying bedeutet:
Ein Angreifer probiert wenige häufige Passwörter bei vielen Konten aus.
Beispiel:
Sommer2026!
bei vielen Benutzern
Ziel:
Kontosperren vermeiden,
weil pro Konto nur wenige Versuche auftreten.
Merksatz:
Password Spraying verteilt wenige Passwörter auf viele Konten.
Schutz vor Passwortangriffen
Maßnahmen:
MFA
starke Passwortrichtlinien
Passwortmanager
keine Wiederverwendung
Rate Limiting
Account Lockout mit Bedacht
Monitoring
Risikoanalyse bei Logins
Schulung
Standardkonten deaktivieren
Merksatz:
MFA ist eine der wichtigsten Maßnahmen gegen Passwortmissbrauch.
SQL Injection
SQL Injection ist ein Angriff auf Datenbankabfragen.
Dabei schleust ein Angreifer SQL-Code in Eingaben ein.
Mögliche Folgen:
Daten auslesen
Daten verändern
Login umgehen
Daten löschen
Anwendung manipulieren
Merksatz:
SQL Injection nutzt unsichere Eingaben in Datenbankabfragen aus.
Schutz vor SQL Injection
Maßnahmen:
Prepared Statements
parametrisierte Abfragen
Eingabevalidierung
Rechte der Datenbankbenutzer begrenzen
Fehlerausgaben vermeiden
Web Application Firewall
sichere Programmierung
Code Reviews
Merksatz:
Parametrisierte Abfragen sind zentral gegen SQL Injection.
Cross-Site Scripting
Cross-Site Scripting wird abgekürzt:
XSS
Dabei wird schädlicher Code in Webseiten eingeschleust,
der im Browser anderer Benutzer ausgeführt wird.
Mögliche Folgen:
Sessiondiebstahl
Manipulation von Webseiten
Phishing im Browser
Aktionen im Namen des Benutzers
Merksatz:
XSS greift Benutzer über den Browser an.
Schutz vor XSS
Maßnahmen:
Eingaben validieren
Ausgaben korrekt escapen
Content Security Policy
HttpOnly Cookies
sichere Frameworks nutzen
keine ungeprüften HTML-Ausgaben
Code Reviews
Merksatz:
Gegen XSS müssen Ausgaben korrekt behandelt werden.
Zero-Day-Angriff
Ein Zero-Day-Angriff nutzt eine Schwachstelle,
für die noch kein Patch verfügbar ist
oder die dem Hersteller noch nicht bekannt ist.
Schutz ist schwierig,
aber möglich durch:
Defense in Depth
EDR
Segmentierung
Least Privilege
Monitoring
WAF
Härtung
schnelle Reaktion
Merksatz:
Zero-Day bedeutet:
Schwachstelle wird ausgenutzt,
bevor ein regulärer Patch verfügbar ist.
Supply-Chain-Angriff
Ein Supply-Chain-Angriff richtet sich gegen Lieferkette oder Abhängigkeiten.
Beispiele:
manipuliertes Softwareupdate
kompromittierte Bibliothek
infizierter Installer
unsicherer Dienstleisterzugang
kompromittiertes Repository
Merksatz:
Supply-Chain-Angriff trifft Systeme über vertrauenswürdige Lieferwege.
Schutz vor Supply-Chain-Angriffen
Maßnahmen:
Softwarequellen prüfen
Signaturen prüfen
Abhängigkeiten überwachen
Updates aus vertrauenswürdigen Quellen
Dienstleisterzugriffe begrenzen
Code Reviews
SBOM
Paketquellen absichern
CI/CD schützen
Merksatz:
Lieferkette ist Teil der IT-Sicherheit.
Insider-Bedrohung
Insider sind Personen mit internem Zugriff,
die absichtlich oder unabsichtlich Schaden verursachen.
Beispiele:
unzufriedener Mitarbeiter
Fehler durch Administrator
fahrlässiger Umgang mit Daten
kompromittiertes internes Konto
externer Dienstleister mit zu vielen Rechten
Merksatz:
Nicht jede Bedrohung kommt von außen.
Schutz vor Insider-Risiken
Maßnahmen:
Least Privilege
Vier-Augen-Prinzip
Logging
Rechteprüfung
Offboarding
Aufgabentrennung
Sensibilisierung
klare Prozesse
Monitoring
keine Sammelkonten
Merksatz:
Nachvollziehbarkeit und Rechtebegrenzung senken Insider-Risiken.
Patchmanagement
Patchmanagement bedeutet:
Sicherheitsupdates werden geplant,
getestet,
verteilt
und kontrolliert.
Wichtig für:
Betriebssysteme
Anwendungen
Firmware
Netzwerkgeräte
Firewalls
Cloud-Systeme
Container-Images
Abhängigkeiten
Merksatz:
Ungepatchte Systeme sind häufige Angriffsziele.
Hardening
Hardening bedeutet:
Systeme werden sicher konfiguriert,
indem unnötige Funktionen deaktiviert
und sichere Einstellungen gesetzt werden.
Beispiele:
unnötige Dienste deaktivieren
Standardpasswörter ändern
alte Protokolle abschalten
sichere TLS-Versionen nutzen
Adminzugriffe begrenzen
Logging aktivieren
Rechte minimieren
Merksatz:
Hardening reduziert Angriffsfläche.
Firewall
Eine Firewall filtert Netzwerkverkehr nach Regeln.
Sie kann prüfen:
Quelle
Ziel
Port
Protokoll
Richtung
Zustand
Anwendung je nach Firewalltyp
Merksatz:
Firewall begrenzt Netzwerkzugriffe.
IDS und IPS
IDS steht für:
Intrusion Detection System
Ein IDS erkennt verdächtige Aktivitäten
und meldet sie.
IPS steht für:
Intrusion Prevention System
Ein IPS kann verdächtige Aktivitäten zusätzlich blockieren.
Merksatz:
IDS erkennt.
IPS blockiert zusätzlich.
Antivirus und EDR
Antivirus erkennt bekannte Schadsoftware.
EDR steht für:
Endpoint Detection and Response
EDR überwacht Endgeräte tiefer
und hilft bei Erkennung,
Analyse
und Reaktion auf Angriffe.
Merksatz:
Antivirus erkennt Schadsoftware.
EDR unterstützt Erkennung und Reaktion auf Endgeräten.
Backup als Schutzmaßnahme
Backup schützt nicht vor jedem Angriff,
aber es ermöglicht Wiederherstellung.
Wichtig:
regelmäßige Backups
getrennte Speicherung
Immutable Backup
Restore-Tests
Verschlüsselung
Zugriffsschutz
Dokumentation
Merksatz:
Backup ist eine Schutzmaßnahme gegen Datenverlust und Ransomware-Folgen.
Monitoring und Logging als Schutzmaßnahme
Monitoring und Logging helfen,
Angriffe zu erkennen und aufzuklären.
Wichtige Logs:
Anmeldungen
Adminaktionen
Firewall-Entscheidungen
VPN-Zugriffe
EDR-Meldungen
DNS-Anfragen
Webserver-Logs
Cloud-Audit-Logs
Merksatz:
Was nicht protokolliert wird,
ist später schwer nachvollziehbar.
Incident Response
Incident Response bedeutet:
strukturierte Reaktion auf Sicherheitsvorfälle.
Schritte:
erkennen
bewerten
eindämmen
beseitigen
wiederherstellen
dokumentieren
verbessern
Merksatz:
Sicherheitsvorfälle brauchen vorbereitete Abläufe.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was sind die Schutzziele der Informationssicherheit?
- Was bedeutet Vertraulichkeit?
- Was bedeutet Integrität?
- Was bedeutet Verfügbarkeit?
- Was ist Phishing?
- Was ist Social Engineering?
- Was ist Malware?
- Was ist Ransomware?
- Was ist der Unterschied zwischen DoS und DDoS?
- Was ist Man-in-the-Middle?
- Was ist Spoofing?
- Was ist Brute Force?
- Was ist Credential Stuffing?
- Was ist SQL Injection?
- Was ist Cross-Site Scripting?
- Was ist ein Zero-Day-Angriff?
- Was ist ein Supply-Chain-Angriff?
- Was bedeutet Least Privilege?
- Was ist Defense in Depth?
- Was ist der Unterschied zwischen IDS und IPS?
- Warum sind Backups wichtig gegen Ransomware?
- Warum ist Patchmanagement wichtig?
Typische Prüfungsfallen
Vertraulichkeit,
Integrität
und Verfügbarkeit sauber unterscheiden.
Ransomware betrifft Verfügbarkeit
und oft auch Vertraulichkeit.
Phishing ist Täuschung,
nicht nur eine technische Lücke.
Social Engineering greift Menschen an.
DoS kommt von einer Quelle oder allgemein einem Angriffspunkt.
DDoS ist verteilt.
IDS erkennt,
IPS kann blockieren.
Backup verhindert keinen Angriff,
hilft aber bei Wiederherstellung.
Replikation ersetzt kein Backup.
MFA schützt nicht vor allen Angriffen,
senkt aber Passwortmissbrauch stark.
Firewall ersetzt kein Patchmanagement.
Verschlüsselung ersetzt keine Zugriffskontrolle.
Antivirus ersetzt kein Sicherheitskonzept.
Zero-Day ist nicht durch normales Patchen allein lösbar.
Supply Chain betrifft Lieferwege und Abhängigkeiten.
Least Privilege reduziert Schaden.
Defense in Depth kombiniert mehrere Maßnahmen.
Logs müssen vor dem Vorfall aktiv sein.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Vertraulichkeit
Schutz vor unberechtigtem Lesen
Integrität
Schutz vor unbemerkter Veränderung
Verfügbarkeit
Nutzbarkeit von Systemen und Daten
Authentizität
Echtheit einer Identität oder Nachricht
Nichtabstreitbarkeit
Handlung kann nachgewiesen werden
Angriffsfläche
Summe möglicher Angriffspunkte
Schwachstelle
ausnutzbare Sicherheitslücke
Bedrohung
mögliches schädliches Ereignis
Risiko
Wahrscheinlichkeit mal Auswirkung
Schutzmaßnahme
reduziert Risiko
Defense in Depth
mehrere Schutzschichten
Least Privilege
minimale notwendige Rechte
Need to Know
Zugriff nur bei Bedarf
Zero Trust
kein automatisches Vertrauen
Phishing
Täuschung zur Datenpreisgabe
Spear Phishing
gezieltes Phishing
Whaling
Phishing gegen wichtige Personen
Social Engineering
Manipulation von Menschen
Malware
Schadsoftware
Virus
Schadsoftware mit Wirtsdatei
Wurm
selbstverbreitende Schadsoftware
Trojaner
getarnte Schadsoftware
Ransomware
erpresserische Verschlüsselung oder Sperrung
Spyware
Spionagesoftware
Keylogger
zeichnet Tastatureingaben auf
Rootkit
versteckt und verankert Schadsoftware
Botnet
Netzwerk fremdgesteuerter Systeme
DoS
Dienstverweigerung
DDoS
verteilter DoS
MitM
Man-in-the-Middle
Sniffing
Mitschneiden von Verkehr
Spoofing
Vortäuschen falscher Identität
ARP-Spoofing
Manipulation lokaler IP-MAC-Zuordnung
DNS-Spoofing
Manipulation von Namensauflösung
Brute Force
systematisches Ausprobieren
Credential Stuffing
Nutzung geleakter Zugangsdaten
Password Spraying
wenige Passwörter gegen viele Konten
SQL Injection
Einschleusen von SQL-Code
XSS
Cross-Site Scripting
Zero-Day
ungepatchte oder unbekannte Schwachstelle
Supply Chain
Lieferkette und Abhängigkeiten
Insider
interne Bedrohung
Patchmanagement
Verwaltung von Sicherheitsupdates
Hardening
sichere Systemkonfiguration
IDS
Angriffserkennung
IPS
Angriffserkennung mit Blockierung
EDR
Endgeräteerkennung und Reaktion
Incident Response
Reaktion auf Sicherheitsvorfälle
IHK-sichere Kurzformulierung
Angriffe auf IT-Systeme können die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit beeinträchtigen. Vertraulichkeit schützt vor unberechtigtem Lesen, Integrität vor unbemerkter Veränderung und Verfügbarkeit vor Ausfall oder Nichtnutzbarkeit. Typische Angriffe sind Phishing, Social Engineering, Malware, Ransomware, DoS, DDoS, Man-in-the-Middle, Spoofing, Passwortangriffe, SQL Injection, Cross-Site Scripting, Zero-Day- und Supply-Chain-Angriffe. Schutzmaßnahmen sind unter anderem Patchmanagement, Hardening, Firewalls, MFA, Least Privilege, Netzwerksegmentierung, Backups, Monitoring, Logging, IDS/IPS, EDR, Schulungen und Incident Response. Ein gutes Sicherheitskonzept kombiniert mehrere Maßnahmen nach dem Prinzip Defense in Depth.
Merksätze
Vertraulichkeit schützt vor Mitlesen.
Integrität schützt vor Manipulation.
Verfügbarkeit schützt Nutzbarkeit.
CIA-Triade = Vertraulichkeit,
Integrität,
Verfügbarkeit.
Authentizität prüft Echtheit.
Nichtabstreitbarkeit schafft Nachweisbarkeit.
Angriffsfläche reduzieren.
Schwachstelle ist ausnutzbare Lücke.
Bedrohung ist mögliches Schadereignis.
Risiko = Wahrscheinlichkeit und Auswirkung.
Schutzmaßnahmen senken Risiko.
Defense in Depth kombiniert Schutzschichten.
Least Privilege reduziert Schaden.
Need to Know begrenzt Datenzugriff.
Zero Trust vertraut nicht pauschal.
Phishing täuscht Benutzer.
Social Engineering manipuliert Menschen.
Malware ist Schadsoftware.
Wurm verbreitet sich selbstständig.
Trojaner tarnt sich.
Ransomware verschlüsselt oder sperrt.
DoS greift Verfügbarkeit an.
DDoS ist verteilter DoS.
MitM sitzt zwischen Kommunikationspartnern.
Sniffing kann Analyse oder Angriff sein.
Spoofing täuscht Identität vor.
Brute Force probiert systematisch.
Credential Stuffing nutzt geleakte Zugangsdaten.
SQL Injection greift Datenbankabfragen an.
XSS greift Browserbenutzer an.
Zero-Day ist schwer planbar.
Supply Chain betrifft Lieferwege.
Insider können intern Schaden verursachen.
Patchmanagement schließt bekannte Lücken.
Hardening reduziert Angriffsfläche.
IDS erkennt.
IPS blockiert zusätzlich.
Backup hilft bei Wiederherstellung.
Logs vor dem Vorfall aktivieren.
Incident Response vorbereiten.
16.2 Malware, Ransomware und Schadsoftware im Detail
Malware ist ein Sammelbegriff für Schadsoftware.
Malware kann Systeme beschädigen,
Daten ausspähen,
Zugänge stehlen,
Dateien verschlüsseln,
Systeme fernsteuern
oder Dienste stören.
Typische Malware-Arten:
- Virus
- Wurm
- Trojaner
- Ransomware
- Spyware
- Keylogger
- Rootkit
- Botnet-Client
- Cryptominer
- Adware
- Backdoor
Merksatz:
Malware ist Software mit schädlicher oder unerwünschter Funktion.
Warum Malware gefährlich ist
Malware kann verschiedene Schutzziele verletzen.
Vertraulichkeit:
Daten werden ausgespäht.
Passwörter werden gestohlen.
interne Informationen fließen ab.
Integrität:
Dateien werden verändert.
Systeme werden manipuliert.
Logs werden gelöscht.
Verfügbarkeit:
Systeme werden verschlüsselt.
Dienste fallen aus.
Dateien sind nicht mehr nutzbar.
Merksatz:
Malware kann Vertraulichkeit,
Integrität
und Verfügbarkeit gleichzeitig angreifen.
Typische Infektionswege
Malware gelangt häufig auf Systeme durch:
E-Mail-Anhänge
Phishing-Links
manipulierte Webseiten
unsichere Downloads
gecrackte Software
infizierte USB-Sticks
ungepatchte Schwachstellen
kompromittierte Updates
unsichere Makros
Remote-Zugänge
gestohlene Zugangsdaten
Supply-Chain-Angriffe
Merksatz:
Malware kommt oft über Menschen,
Schwachstellen
oder unsichere Softwarequellen ins System.
Virus
Ein Virus ist Schadsoftware,
die sich an Dateien oder Programme anhängt.
Er wird meist aktiv,
wenn die infizierte Datei ausgeführt wird.
Typische Merkmale:
braucht oft eine Wirtsdatei
verbreitet sich durch Weitergabe infizierter Dateien
kann Dateien verändern oder beschädigen
kann weitere Schadfunktionen nachladen
Merksatz:
Ein Virus hängt sich an Dateien oder Programme.
Wurm
Ein Wurm ist Schadsoftware,
die sich selbstständig verbreiten kann.
Er nutzt häufig:
Netzwerkschwachstellen
unsichere Dienste
offene Ports
ungepatchte Systeme
schwache Zugangsdaten
Gefahr:
sehr schnelle Ausbreitung im Netzwerk
Merksatz:
Ein Wurm verbreitet sich selbstständig über Systeme oder Netzwerke.
Virus und Wurm vergleichen
Merkmal
Virus
Wurm
Verbreitung
meist über infizierte Datei
selbstständig über Netzwerk
braucht Wirtsdatei
häufig ja
nicht zwingend
Tempo
oft langsamer
oft schnell
typisches Risiko
Dateiinfektion
Massenausbreitung
Merksatz:
Virus braucht oft Hilfe.
Wurm verbreitet sich selbst.
Trojaner
Ein Trojaner tarnt sich als nützliches oder harmloses Programm.
Beispiele:
angeblicher Installer
gefälschtes Update
gecrackte Software
scheinbares Tool
manipuliertes Dokument
vermeintlicher Codec
Mögliche Schadfunktionen:
Zugangsdaten stehlen
Backdoor öffnen
weitere Malware nachladen
System fernsteuerbar machen
Daten ausspähen
Merksatz:
Ein Trojaner täuscht Nützlichkeit vor,
enthält aber Schadfunktionen.
Backdoor
Eine Backdoor ist ein versteckter Zugang zu einem System.
Angreifer nutzen Backdoors,
um später erneut Zugriff zu bekommen.
Beispiele:
versteckter Benutzer
geöffneter Port
manipulierte Systemdatei
geheimer Fernzugriff
Schadsoftware mit Steuerkanal
Merksatz:
Backdoor = versteckter Hintereingang.
Ransomware
Ransomware ist Schadsoftware,
die Daten verschlüsselt
oder Systeme sperrt
und anschließend Lösegeld fordert.
Typische Folgen:
Dateien nicht mehr nutzbar
Server nicht verfügbar
Produktionsausfall
Datenabfluss
Erpressung
hohe Wiederherstellungskosten
Vertrauensverlust
Merksatz:
Ransomware greift besonders die Verfügbarkeit an
und oft zusätzlich die Vertraulichkeit.
Ransomware-Ablauf vereinfacht
Ein typischer Ablauf:
1. Erstzugriff über Phishing,
Schwachstelle
oder Zugangsdaten.
2. Angreifer verschafft sich weitere Rechte.
3. Angreifer bewegt sich im Netzwerk.
4. Backups werden gesucht oder gelöscht.
5. Daten werden kopiert.
6. Systeme und Dateien werden verschlüsselt.
7. Lösegeldforderung erscheint.
Merksatz:
Ransomware ist oft kein einzelner Moment,
sondern eine Angriffskette.
Double Extortion
Double Extortion bedeutet:
Angreifer verschlüsseln Daten
und
drohen zusätzlich mit Veröffentlichung gestohlener Daten.
Dadurch wird nicht nur Verfügbarkeit,
sondern auch Vertraulichkeit angegriffen.
Merksatz:
Double Extortion kombiniert Verschlüsselung und Datenabfluss.
Schutz vor Ransomware
Wichtige Schutzmaßnahmen:
regelmäßige Backups
Immutable Backups
Offline-Backups
Restore-Tests
Patchmanagement
EDR
MFA
Least Privilege
Netzwerksegmentierung
Makros einschränken
keine lokalen Adminrechte
E-Mail-Schutz
Monitoring
schnelle Isolation infizierter Systeme
Merksatz:
Gegen Ransomware helfen vor allem Backups,
Rechtebegrenzung,
Segmentierung
und schnelle Reaktion.
Warum Backups gegen Ransomware wichtig sind
Wenn Daten verschlüsselt wurden,
ist Wiederherstellung oft der wichtigste Weg zurück.
Aber Backups helfen nur,
wenn sie:
vorhanden sind
aktuell genug sind
nicht mitverschlüsselt wurden
nicht gelöscht wurden
wiederherstellbar sind
regelmäßig getestet wurden
getrennt geschützt sind
Merksatz:
Backup ist nur dann Schutz,
wenn Restore funktioniert.
Immutable Backup bei Ransomware
Immutable Backup bedeutet:
Backup kann für eine festgelegte Zeit nicht verändert oder gelöscht werden.
Vorteile:
Schutz vor Angreifern mit Adminzugang
Schutz vor versehentlicher Löschung
Schutz vor Ransomware
bessere Wiederherstellungschance
Merksatz:
Immutable Backups erschweren das Löschen oder Manipulieren von Sicherungen.
Spyware
Spyware ist Schadsoftware,
die Informationen heimlich sammelt.
Mögliche Ziele:
Passwörter
Browserdaten
E-Mails
Tastatureingaben
Bildschirmaufnahmen
Dateien
Nutzungsverhalten
Zugangstokens
Merksatz:
Spyware spioniert Daten und Verhalten aus.
Keylogger
Ein Keylogger zeichnet Tastatureingaben auf.
Ziele:
Passwörter
Zugangsdaten
Kreditkartendaten
Nachrichten
interne Informationen
Keylogger können sein:
Software
Hardware
Bestandteil anderer Malware
Merksatz:
Keylogger stehlen Eingaben direkt an der Tastatur.
Rootkit
Ein Rootkit versteckt Schadsoftware oder Angreiferaktivitäten tief im System.
Ziele:
Erkennung verhindern
Kontrolle behalten
Prozesse verstecken
Dateien verstecken
Logs manipulieren
Sicherheitssoftware umgehen
Rootkits sind besonders kritisch,
weil sie schwer zu erkennen und zu entfernen sein können.
Merksatz:
Rootkits verstecken Angriffe tief im System.
Botnet-Client
Ein Botnet-Client ist ein infiziertes System,
das von Angreifern ferngesteuert wird.
Viele solcher Systeme bilden ein Botnet.
Nutzung:
DDoS-Angriffe
Spamversand
Credential Stuffing
Malware-Verteilung
Cryptomining
Proxy-Missbrauch
Merksatz:
Botnet = viele fremdgesteuerte infizierte Systeme.
Cryptominer
Ein Cryptominer missbraucht Rechenleistung,
um Kryptowährung zu berechnen.
Folgen:
hohe CPU- oder GPU-Last
hohe Stromkosten
langsame Systeme
Überhitzung
Cloud-Kostenanstieg
verringerte Systemleistung
Merksatz:
Cryptominer stiehlt Rechenleistung.
Adware
Adware zeigt unerwünschte Werbung an
oder verändert Browser- und Systemeinstellungen.
Mögliche Folgen:
störende Werbung
Browserumleitungen
Tracking
Installation weiterer unerwünschter Software
reduzierte Benutzerfreundlichkeit
Merksatz:
Adware ist oft weniger zerstörerisch,
aber trotzdem unerwünscht und riskant.
Malware-Erkennung
Malware kann erkannt werden durch:
Antivirus
EDR
ungewöhnliche Prozesse
ungewöhnliche Netzwerkverbindungen
hohe CPU-Last
geänderte Dateien
verdächtige Autostarts
Warnungen im SIEM
auffällige DNS-Anfragen
ungewöhnliche Loginversuche
bekannte Signaturen
Verhaltensanalyse
Merksatz:
Malware-Erkennung kombiniert Signaturen,
Verhalten
und Monitoring.
Signaturbasierte Erkennung
Signaturbasierte Erkennung nutzt bekannte Muster.
Beispiel:
bekannte Schadsoftware-Datei
bekannte Hashwerte
bekannte Codebestandteile
bekannte Angriffsmuster
Vorteil:
gut gegen bekannte Malware
Nachteil:
schwächer gegen neue oder veränderte Malware
Merksatz:
Signaturen erkennen Bekanntes.
Verhaltensbasierte Erkennung
Verhaltensbasierte Erkennung achtet auf verdächtiges Verhalten.
Beispiele:
viele Dateien werden schnell verändert
Prozess startet ungewöhnliche Befehle
Programm öffnet unbekannte Netzwerkverbindung
Benutzerkonto greift plötzlich auf viele Systeme zu
Skript lädt ausführbare Datei nach
Vorteil:
kann auch neue oder veränderte Angriffe erkennen
Merksatz:
Verhaltenserkennung erkennt Auffälligkeiten,
auch wenn die Datei noch unbekannt ist.
Antivirus
Antivirus-Software erkennt und blockiert bekannte Schadsoftware.
Typische Funktionen:
Dateiprüfung
Echtzeitschutz
Signaturprüfung
Quarantäne
Scans
Erkennung bekannter Malware
Grenze:
Antivirus allein reicht nicht als Sicherheitskonzept.
Merksatz:
Antivirus ist wichtig,
aber nur eine Schutzschicht.
EDR
EDR steht für:
Endpoint Detection and Response
EDR überwacht Endgeräte stärker als klassischer Antivirus.
Typische Funktionen:
Prozessüberwachung
Verhaltensanalyse
Angriffserkennung
Isolation eines Endgeräts
Untersuchung von Vorfällen
zentrale Auswertung
Reaktionsmaßnahmen
Merksatz:
EDR hilft,
Angriffe auf Endgeräten zu erkennen und darauf zu reagieren.
Quarantäne
Quarantäne bedeutet:
Eine verdächtige oder schädliche Datei wird isoliert.
Ziel:
Datei kann nicht weiter ausgeführt werden.
Schaden wird begrenzt.
Datei kann später untersucht werden.
Merksatz:
Quarantäne isoliert verdächtige Dateien.
Isolation eines Endgeräts
Wenn ein Gerät infiziert ist,
sollte es schnell isoliert werden.
Isolation bedeutet:
vom Netzwerk trennen
WLAN deaktivieren
Netzwerkkabel ziehen
EDR-Isolation nutzen
VPN trennen
Zugriff auf Server sperren
Wichtig:
Nicht unüberlegt ausschalten,
wenn forensische Analyse benötigt wird.
Merksatz:
Infizierte Systeme schnell vom Netz trennen,
aber Vorgehen dokumentieren.
Malware und Rechte
Malware hat oft nur die Rechte des Benutzers,
unter dem sie ausgeführt wird.
Wenn Benutzer lokale Adminrechte haben,
kann Malware mehr Schaden anrichten.
Schutz:
keine lokalen Adminrechte für Alltag
Least Privilege
getrennte Admin-Konten
Applikationskontrolle
Rechteprüfung
Merksatz:
Weniger Benutzerrechte bedeuten weniger Malware-Schaden.
Malware und Netzwerksegmentierung
Wenn ein System infiziert ist,
darf sich Malware nicht frei im Netzwerk bewegen können.
Segmentierung hilft durch Trennung von:
Clientnetz
Servernetz
Managementnetz
Backupnetz
Produktionsnetz
Gastnetz
IoT-Netz
Merksatz:
Segmentierung begrenzt Ausbreitung.
Laterale Bewegung
Laterale Bewegung bedeutet:
Angreifer oder Malware bewegen sich nach dem ersten Zugriff weiter im Netzwerk.
Beispiele:
Zugriff von Client auf Dateiserver
Zugriff auf weitere Clients
Auslesen von Zugangsdaten
Angriff auf Domain Controller
Zugriff auf Backups
Angriff auf Managementsysteme
Merksatz:
Laterale Bewegung ist Ausbreitung nach dem Erstzugriff.
Schutz vor lateraler Bewegung
Maßnahmen:
Netzwerksegmentierung
Firewall zwischen Netzbereichen
Least Privilege
keine lokalen Adminrechte
getrennte Admin-Konten
MFA
EDR
Monitoring
sichere Passworthygiene
Zugriff auf Adminfreigaben begrenzen
Merksatz:
Nach dem ersten kompromittierten System darf nicht das ganze Netz offen sein.
Makros als Risiko
Office-Makros können nützlich sein,
werden aber oft für Malware missbraucht.
Risiken:
Makro lädt Schadsoftware nach
Makro führt Befehle aus
Makro startet Skripte
Benutzer aktiviert Inhalt aus Täuschung
Schutz:
Makros aus dem Internet blockieren
nur signierte Makros erlauben
Benutzer schulen
E-Mail-Anhänge prüfen
Office-Härtung nutzen
Merksatz:
Makros nur erlauben,
wenn sie wirklich benötigt und vertrauenswürdig sind.
Skripte als Risiko
Skripte können für Administration nützlich sein,
aber auch von Angreifern missbraucht werden.
Beispiele:
PowerShell
Bash
JavaScript
VBScript
Python
Batch-Dateien
Risiken:
Malware nachladen
Dateien verschlüsseln
Systeme ausspähen
Befehle automatisieren
Sicherheitssoftware umgehen
Merksatz:
Skripte sind mächtig und brauchen Kontrolle.
Application Control
Application Control bedeutet:
Es wird gesteuert,
welche Programme ausgeführt werden dürfen.
Beispiele:
nur freigegebene Anwendungen
keine Ausführung aus Download-Ordner
keine unbekannten Skripte
keine unsignierten Programme
Blockierung bekannter Risikopfade
Merksatz:
Application Control verhindert,
dass beliebige Programme starten.
Allowlisting
Allowlisting bedeutet:
Nur ausdrücklich erlaubte Programme oder Aktionen sind zugelassen.
Vorteil:
sehr restriktiv
reduziert unbekannte Schadsoftware
Nachteil:
höherer Verwaltungsaufwand
kann Benutzer einschränken
muss gut gepflegt werden
Merksatz:
Allowlisting erlaubt nur Bekanntes und Freigegebenes.
Blocklisting
Blocklisting bedeutet:
Bekannte schädliche Programme oder Aktionen werden verboten.
Vorteil:
einfacher einzuführen
Nachteil:
neue oder unbekannte Malware kann durchkommen
Merksatz:
Blocklisting verbietet Bekanntes,
erlaubt aber Unbekanntes oft weiterhin.
Patchmanagement gegen Malware
Viele Malware-Angriffe nutzen bekannte Sicherheitslücken.
Patchmanagement schützt,
indem Updates geplant und eingespielt werden.
Betroffen sind:
Betriebssysteme
Browser
Office-Programme
Serverdienste
VPN-Gateways
Firewalls
Anwendungen
Firmware
Container-Images
Merksatz:
Ungepatchte Systeme sind leichte Ziele.
E-Mail-Schutz gegen Malware
Viele Malware-Angriffe beginnen per E-Mail.
Schutzmaßnahmen:
Spamfilter
Malware-Scanner
Linkprüfung
Anhangprüfung
Blockierung gefährlicher Dateitypen
Makroregeln
Absenderprüfung
SPF,
DKIM
und DMARC
Benutzerschulung
Merksatz:
E-Mail-Schutz ist eine wichtige erste Verteidigungslinie.
Download-Schutz
Downloads können Malware enthalten.
Schutzmaßnahmen:
nur vertrauenswürdige Quellen
Signaturen prüfen
Hashwerte prüfen
keine gecrackte Software
Browser-Schutz
EDR
Rechtebegrenzung
Softwareverteilung zentral steuern
Merksatz:
Software nur aus vertrauenswürdigen Quellen installieren.
USB-Geräte als Risiko
USB-Geräte können Malware verbreiten oder Daten stehlen.
Risiken:
infizierter USB-Stick
manipuliertes Eingabegerät
Datenabfluss
automatische Ausführung
unbekannte Geräte
Schutz:
USB-Richtlinien
Gerätekontrolle
AutoRun deaktivieren
Schulung
nur freigegebene Geräte
Verschlüsselung
DLP je nach Umgebung
Merksatz:
Unbekannte USB-Geräte nicht vertrauen.
DLP
DLP steht für:
Data Loss Prevention
DLP soll verhindern,
dass sensible Daten unkontrolliert abfließen.
Beispiele:
Blockieren von Uploads
Warnung bei sensiblen Daten in E-Mail
Schutz vor Kopieren auf USB
Kontrolle von Cloud-Freigaben
Erkennung von Kreditkartennummern oder Personaldaten
Merksatz:
DLP schützt vor unerwünschtem Datenabfluss.
Malware und Cloud
Auch Cloud-Umgebungen können von Malware betroffen sein.
Beispiele:
infizierte VM
kompromittierter Container
Malware in Storage
gestohlene API-Schlüssel
Cryptomining in Cloud-Instanzen
Ransomware in synchronisiertem Cloud-Speicher
Schutz:
IAM
MFA
EDR für Cloud-VMs
sichere Images
Container-Scanning
Security Groups
Logging
Kostenalarme
Merksatz:
Cloud schützt nicht automatisch vor Malware.
Malware und Container
Container können Schadsoftware enthalten,
wenn Images unsicher sind.
Risiken:
manipuliertes Image
veraltete Bibliothek
unsichere Registry
eingebettete Secrets
Container läuft mit zu vielen Rechten
unsichere Runtime-Konfiguration
Schutz:
Images scannen
nur vertrauenswürdige Registries
minimale Images
keine Secrets im Image
keine unnötigen Rechte
regelmäßige Updates
Merksatz:
Container-Images müssen wie Software geprüft werden.
Malware und Backups
Backups können ebenfalls Malware enthalten.
Problem:
Wenn ein Backup bereits infizierte Dateien enthält,
kann Malware nach Restore wieder aktiv werden.
Wichtig:
Backup-Zeitpunkt wählen
Infektionszeitpunkt bestimmen
Restore testen
Systeme vor Wiederanbindung prüfen
Backups nicht ungeprüft zurückspielen
Merksatz:
Restore nach Malware braucht sorgfältige Prüfung.
Erste Maßnahmen bei Malware-Verdacht
Sinnvolle Schritte:
1. Ruhe bewahren.
2. System vom Netzwerk isolieren.
3. Zeitpunkt und Symptome dokumentieren.
4. IT-Sicherheit oder Verantwortliche informieren.
5. Keine Beweise unnötig löschen.
6. Logs sichern.
7. Betroffene Konten prüfen.
8. Ausbreitung prüfen.
9. Ursache analysieren.
10. Bereinigung oder Neuaufbau planen.
11. Wiederherstellung testen.
12. Maßnahmen verbessern.
Merksatz:
Bei Malware zählt schnelle Eindämmung und saubere Dokumentation.
Neuinstallation statt Bereinigung
Bei schwerer Kompromittierung ist Neuinstallation oft sicherer als reine Bereinigung.
Gründe:
Rootkits schwer erkennbar
Backdoors möglich
Systemdateien manipuliert
Rechte verändert
Logs gelöscht
Vertrauen ins System verloren
Merksatz:
Ein kompromittiertes System ist oft nicht mehr vollständig vertrauenswürdig.
Typische Malware-Symptome
Mögliche Anzeichen:
System wird sehr langsam
unbekannte Prozesse
hohe CPU-Last
viele Netzwerkverbindungen
Dateien verschwinden
Dateien werden verschlüsselt
Antivirus meldet Fund
ungewöhnliche Popups
Browser leitet um
Benutzerkonto verhält sich auffällig
neue Autostart-Einträge
unerklärliche Cloud-Kosten
Merksatz:
Malware zeigt sich oft durch ungewöhnliches Verhalten.
Typische Schutzmaßnahmen gegen Malware
Wichtige Maßnahmen:
Patchmanagement
Antivirus
EDR
E-Mail-Schutz
MFA
Least Privilege
keine lokalen Adminrechte
Makro-Schutz
Application Control
Netzwerksegmentierung
regelmäßige Backups
Immutable Backups
Restore-Tests
Monitoring
Logging
Benutzerschulung
Incident Response
Merksatz:
Malware-Schutz braucht mehrere Schutzschichten.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist Malware?
- Was ist der Unterschied zwischen Virus und Wurm?
- Was ist ein Trojaner?
- Was ist Ransomware?
- Warum ist Ransomware besonders gefährlich?
- Was bedeutet Double Extortion?
- Wie schützt man sich vor Ransomware?
- Warum sind Backups gegen Ransomware wichtig?
- Was ist Spyware?
- Was ist ein Keylogger?
- Was ist ein Rootkit?
- Was ist ein Botnet?
- Was ist ein Cryptominer?
- Was ist der Unterschied zwischen Antivirus und EDR?
- Was bedeutet Quarantäne?
- Warum ist Netzwerksegmentierung gegen Malware wichtig?
- Was ist laterale Bewegung?
- Warum sind Makros ein Risiko?
- Was ist Application Control?
- Was ist DLP?
- Warum reicht Antivirus allein nicht aus?
Typische Prüfungsfallen
Malware ist ein Oberbegriff.
Virus und Wurm nicht verwechseln.
Wurm verbreitet sich selbstständig.
Trojaner tarnt sich als nützlich.
Ransomware betrifft Verfügbarkeit
und oft Vertraulichkeit.
Double Extortion bedeutet Verschlüsselung plus Datenabfluss.
Backup verhindert Ransomware nicht,
ermöglicht aber Wiederherstellung.
Replikation ersetzt kein Backup.
Backup muss vor Manipulation geschützt sein.
Antivirus allein reicht nicht.
EDR erkennt und reagiert umfassender.
Quarantäne bedeutet Isolation einer Datei.
Infiziertes Gerät schnell isolieren.
Lokale Adminrechte erhöhen Schaden.
Segmentierung begrenzt Ausbreitung.
Laterale Bewegung ist Bewegung im Netzwerk nach Erstzugriff.
Makros und Skripte sind häufige Angriffsmittel.
Allowlisting ist strenger als Blocklisting.
Cloud ist nicht automatisch frei von Malware.
Container-Images müssen geprüft werden.
Restore nach Malware braucht Vorsicht.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Malware
Schadsoftware
Virus
Schadsoftware mit Wirtsdatei
Wurm
selbstverbreitende Schadsoftware
Trojaner
getarnte Schadsoftware
Backdoor
versteckter Zugang
Ransomware
erpresserische Verschlüsselung oder Sperrung
Double Extortion
Verschlüsselung plus Datenabfluss
Spyware
Spionagesoftware
Keylogger
zeichnet Tastatureingaben auf
Rootkit
versteckt und verankert Schadsoftware
Botnet
Netzwerk fremdgesteuerter Systeme
Botnet-Client
infiziertes ferngesteuertes System
Cryptominer
missbraucht Rechenleistung
Adware
unerwünschte Werbesoftware
Antivirus
Schutz gegen bekannte Schadsoftware
EDR
Endpoint Detection and Response
Quarantäne
Isolation verdächtiger Dateien
Isolation
Trennung eines Systems vom Netzwerk
laterale Bewegung
Ausbreitung im Netzwerk
Makro
automatisierte Funktion in Dokumenten
Application Control
Steuerung erlaubter Programme
Allowlisting
nur Erlaubtes zulassen
Blocklisting
Bekanntes verbieten
DLP
Data Loss Prevention
Restore
Wiederherstellung
Immutable Backup
unveränderliches Backup
Incident Response
Reaktion auf Sicherheitsvorfall
IHK-sichere Kurzformulierung
Malware ist ein Oberbegriff für Schadsoftware wie Viren, Würmer, Trojaner, Ransomware, Spyware, Keylogger, Rootkits, Botnet-Clients und Cryptominer. Ein Virus hängt sich häufig an Dateien oder Programme an, während sich ein Wurm selbstständig über Netzwerke verbreiten kann. Ein Trojaner tarnt sich als nützliches Programm, enthält aber Schadfunktionen. Ransomware verschlüsselt Daten oder sperrt Systeme und fordert Lösegeld. Schutzmaßnahmen gegen Malware sind Patchmanagement, Antivirus, EDR, MFA, Least Privilege, Netzwerksegmentierung, Makroschutz, Application Control, E-Mail-Schutz, Backups, Immutable Backups, Restore-Tests, Logging, Monitoring und Benutzerschulung.
Merksätze
Malware ist Schadsoftware.
Virus hängt sich an Dateien.
Wurm verbreitet sich selbstständig.
Trojaner täuscht Nützlichkeit vor.
Backdoor ist versteckter Zugang.
Ransomware verschlüsselt oder sperrt.
Double Extortion = Verschlüsselung plus Datenabfluss.
Spyware spioniert.
Keylogger stehlen Tastatureingaben.
Rootkits verstecken Angriffe.
Botnet besteht aus fremdgesteuerten Systemen.
Cryptominer stiehlt Rechenleistung.
Malware kann alle Schutzziele verletzen.
Infektionswege sind oft E-Mail,
Download,
Schwachstelle
oder Zugangsdaten.
Antivirus erkennt vor allem bekannte Malware.
EDR erkennt und reagiert tiefer.
Signaturen erkennen Bekanntes.
Verhaltenserkennung erkennt Auffälligkeiten.
Quarantäne isoliert verdächtige Dateien.
Infizierte Systeme schnell isolieren.
Weniger Rechte bedeuten weniger Schaden.
Segmentierung begrenzt Ausbreitung.
Laterale Bewegung verhindern.
Makros aus unsicheren Quellen blockieren.
Skripte kontrollieren.
Allowlisting ist strenger als Blocklisting.
Patchmanagement schließt bekannte Lücken.
E-Mail-Schutz ist wichtig.
USB-Geräte nicht blind vertrauen.
DLP schützt vor Datenabfluss.
Cloud braucht ebenfalls Malware-Schutz.
Container-Images prüfen.
Backups können infizierte Daten enthalten.
Restore nach Malware sorgfältig planen.
Neuaufbau kann sicherer sein als Bereinigung.
Malware-Schutz braucht mehrere Schichten.
16.3 Phishing, Social Engineering und Identitätsangriffe
Viele Angriffe beginnen nicht mit einer technischen Schwachstelle,
sondern mit Täuschung.
Angreifer versuchen,
Menschen dazu zu bringen,
- Zugangsdaten einzugeben
- Links anzuklicken
- Anhänge zu öffnen
- MFA-Anfragen zu bestätigen
- Geld zu überweisen
- vertrauliche Informationen preiszugeben
- Schadsoftware auszuführen
- Sicherheitsregeln zu umgehen
Merksatz:
Social Engineering greift Menschen und Prozesse an,
nicht nur Technik.
Warum Phishing so gefährlich ist
Phishing ist gefährlich,
weil es normale Arbeitsabläufe ausnutzt.
Beispiele:
Rechnung prüfen
Paketbenachrichtigung öffnen
Passwort zurücksetzen
Cloud-Datei ansehen
Bewerbung herunterladen
Supportanfrage beantworten
dringende Chef-Anweisung befolgen
Angreifer nutzen dabei:
Zeitdruck
Vertrauen
Neugier
Angst
Hilfsbereitschaft
Autorität
Gewohnheit
Merksatz:
Phishing wirkt,
weil es menschliches Verhalten ausnutzt.
Phishing
Phishing ist der Versuch,
Benutzer durch Täuschung zur Preisgabe vertraulicher Informationen zu bringen.
Ziele:
Passwörter
MFA-Codes
Zugangstokens
Bankdaten
Kundendaten
interne Informationen
Cloud-Zugänge
VPN-Zugänge
E-Mail-Konten
Typische Mittel:
gefälschte E-Mail
gefälschte Webseite
gefälschtes Loginformular
gefälschte Rechnung
gefälschte Sicherheitswarnung
gefälschter Cloud-Link
Merksatz:
Phishing täuscht Benutzer,
damit sie selbst etwas Gefährliches tun.
Typischer Phishing-Ablauf
Ein typischer Ablauf:
1. Benutzer erhält eine täuschend echte Nachricht.
2. Nachricht erzeugt Druck oder Interesse.
3. Benutzer klickt Link oder öffnet Anhang.
4. Gefälschte Webseite fragt Zugangsdaten ab.
5. Benutzer gibt Daten ein.
6. Angreifer nutzt die Zugangsdaten.
7. Konto wird übernommen oder Malware wird ausgeführt.
Merksatz:
Phishing ist oft der Einstieg in größere Angriffe.
Phishing per E-Mail
E-Mail-Phishing ist besonders verbreitet.
Typische Merkmale:
angebliche Rechnung
angebliche Lieferung
angebliche Kontosperrung
angebliche Passwortwarnung
angebliche Cloud-Dateifreigabe
angebliche Bewerbung
angebliche Sicherheitsmeldung
angeblicher Chefauftrag
Merksatz:
E-Mail ist ein häufiger Einstiegspunkt für Angriffe.
Phishing per SMS
Phishing per SMS wird oft genannt:
Smishing
Typische Beispiele:
Paket konnte nicht zugestellt werden.
Konto wurde gesperrt.
Zahlung erforderlich.
Sicherheitsprüfung notwendig.
Link zur Sendungsverfolgung.
Risiko:
Benutzer klicken am Smartphone oft schneller auf Links.
Merksatz:
Smishing ist Phishing über SMS.
Phishing per Telefon
Phishing per Telefon wird oft genannt:
Vishing
Dabei ruft ein Angreifer an
und gibt sich zum Beispiel aus als:
IT-Support
Bankmitarbeiter
Chef
Dienstleister
Behörde
Sicherheitsabteilung
Ziel:
Zugangsdaten erhalten
MFA-Code erhalten
Fernwartung starten
Überweisung auslösen
interne Informationen bekommen
Merksatz:
Vishing ist Phishing per Telefon.
Phishing über Messenger
Angriffe können auch über Messenger laufen.
Beispiele:
angebliche Nachricht von Kollegen
gefälschter Supportkontakt
Link zu Cloud-Datei
dringende Zahlungsanweisung
angebliches Problem mit Benutzerkonto
QR-Code zu Loginseite
Merksatz:
Phishing ist nicht auf E-Mail beschränkt.
QR-Phishing
QR-Phishing wird auch Quishing genannt.
Dabei führt ein QR-Code auf eine gefälschte Webseite.
Risiko:
Link ist vor dem Scannen schwer erkennbar.
Smartphone zeigt Adresse oft nur verkürzt.
Benutzer erwarten bei QR-Codes schnelle Aktion.
Beispiele:
gefälschter Paketaufkleber
falsches WLAN-Portal
falsche Zahlungsseite
gefälschter Microsoft-Login
Plakat oder E-Mail mit QR-Code
Merksatz:
QR-Code nicht automatisch vertrauen.
Spear Phishing
Spear Phishing ist gezieltes Phishing gegen bestimmte Personen,
Teams
oder Organisationen.
Angreifer nutzen oft Informationen wie:
Name
Firma
Rolle
laufendes Projekt
bekannte Kollegen
verwendete Dienste
Signatur
Lieferanten
interne Begriffe
Dadurch wirkt die Nachricht glaubwürdiger.
Merksatz:
Spear Phishing ist gezielter und glaubwürdiger als Massenphishing.
Whaling
Whaling ist Phishing gegen besonders wichtige Personen.
Ziele:
Geschäftsführung
Finanzleitung
Personalabteilung
Administratoren
Projektleitung
Geschäftsbereichsleitung
Warum gefährlich?
Diese Personen haben oft besondere Rechte,
Informationen
oder Entscheidungsbefugnisse.
Merksatz:
Whaling richtet sich gegen besonders wertvolle Ziele.
CEO-Fraud
CEO-Fraud ist eine Betrugsform,
bei der Angreifer sich als Geschäftsführung oder Vorgesetzte ausgeben.
Typisches Ziel:
schnelle Überweisung
Änderung von Bankdaten
Herausgabe vertraulicher Informationen
Einkauf von Gutscheinkarten
Umgehung normaler Freigabeprozesse
Typische Merkmale:
sehr dringend
vertraulich
keine Rückfrage erwünscht
ungewöhnliche Zahlungsdaten
außerhalb normaler Prozesse
Merksatz:
CEO-Fraud nutzt Autorität und Zeitdruck.
Business E-Mail Compromise
Business E-Mail Compromise wird oft abgekürzt:
BEC
Dabei wird ein geschäftliches E-Mail-Konto kompromittiert
oder täuschend echt nachgeahmt.
Ziele:
Rechnungsbetrug
Änderung von Kontodaten
interne Täuschung
Phishing aus echtem Konto
Zugriff auf Geschäftskommunikation
Merksatz:
BEC nutzt geschäftliche E-Mail-Kommunikation für Betrug.
Fake Login
Ein Fake Login ist eine gefälschte Anmeldeseite.
Sie sieht oft aus wie:
Microsoft 365
Google
VPN-Portal
Cloud-Speicher
Bank
Paketdienst
Unternehmensportal
Ziel:
Zugangsdaten abgreifen
Merksatz:
Gefälschte Loginseiten sind ein Kernmittel von Phishing.
Credential Harvesting
Credential Harvesting bedeutet:
Zugangsdaten werden gesammelt.
Beispiele:
gefälschte Loginseite
Keylogger
Phishing-Mail
manipulierte Anwendung
Malware
unsichere Datenbank
abgegriffene Browserdaten
Merksatz:
Credential Harvesting sammelt Zugangsdaten für spätere Angriffe.
Session Hijacking
Session Hijacking bedeutet:
Ein Angreifer übernimmt eine bestehende Sitzung.
Ziel:
Zugriff erhalten,
ohne das Passwort erneut eingeben zu müssen.
Mögliche Mittel:
gestohlene Session-Cookies
gestohlene Tokens
Malware im Browser
unsichere Verbindung
XSS
kompromittiertes Endgerät
Merksatz:
Session Hijacking greift die laufende Anmeldung an.
MFA-Bypass
MFA macht Angriffe schwerer,
aber nicht unmöglich.
Mögliche Angriffe:
MFA-Push-Fatigue
Phishing mit Echtzeit-Weiterleitung
gestohlene Session-Tokens
kompromittiertes Endgerät
Social Engineering beim Support
unsichere Ausnahmen
SIM-Swapping bei SMS-MFA
Merksatz:
MFA ist wichtig,
aber keine alleinige Schutzmaßnahme.
MFA-Push-Fatigue
MFA-Push-Fatigue bedeutet:
Angreifer lösen viele MFA-Push-Anfragen aus.
Ziel:
Benutzer bestätigt aus Versehen,
aus Gewohnheit
oder genervt.
Schutz:
Number Matching
klare Anzeige von Ort und Anwendung
Schulung
Meldeweg für unerwartete MFA-Anfragen
Rate Limiting
verdächtige Anfragen blockieren
Merksatz:
Unerwartete MFA-Anfragen niemals bestätigen.
SIM-Swapping
SIM-Swapping bedeutet:
Angreifer übernehmen die Mobilfunknummer eines Opfers.
Ziel:
SMS-Codes empfangen
Passwortzurücksetzung durchführen
Konten übernehmen
Schutz:
SMS-MFA möglichst vermeiden
App-basierte MFA oder Hardwaretoken nutzen
Mobilfunkkonto schützen
ungewöhnliche Netzverluste beachten
Merksatz:
SMS als MFA-Faktor ist schwächer als sichere Authenticator- oder Hardwarelösungen.
Social Engineering
Social Engineering ist die Manipulation von Menschen,
um Sicherheitsmaßnahmen zu umgehen.
Angreifer nutzen zum Beispiel:
Autorität
Dringlichkeit
Angst
Hilfsbereitschaft
Sympathie
Neugier
Gewohnheit
Vertraulichkeit
Merksatz:
Social Engineering nutzt Psychologie als Angriffsmittel.
Pretexting
Pretexting bedeutet:
Angreifer erfinden eine glaubwürdige Geschichte oder Rolle.
Beispiele:
angeblicher IT-Support
angeblicher neuer Mitarbeiter
angeblicher Dienstleister
angebliche Bank
angebliche Behörde
angeblicher Kunde
Ziel:
Vertrauen erzeugen
Informationen erhalten
Aktionen auslösen
Merksatz:
Pretexting arbeitet mit erfundener glaubwürdiger Rolle.
Baiting
Baiting bedeutet:
Angreifer legen einen Köder aus.
Beispiele:
USB-Stick mit Aufschrift „Gehälter“
kostenloser Download
angebliches Tool
Gutschein
Gewinnspiel
kostenlose Software
Ziel:
Benutzer soll etwas öffnen,
installieren
anschließen
oder Daten eingeben.
Merksatz:
Baiting nutzt Neugier oder Vorteilserwartung.
Tailgating
Tailgating bedeutet:
Eine unberechtigte Person folgt einer berechtigten Person in einen geschützten Bereich.
Beispiele:
Person folgt durch Sicherheitstür.
Person trägt angeblich schwere Kisten.
Person bittet freundlich,
die Tür aufzuhalten.
Merksatz:
Tailgating umgeht physische Zutrittskontrolle.
Shoulder Surfing
Shoulder Surfing bedeutet:
Angreifer beobachten Eingaben oder Bildschirme.
Beispiele:
Passwort beim Tippen ansehen
PIN am Automaten beobachten
Bildschirm im Zug mitlesen
MFA-Code ablesen
Schutz:
Sichtschutzfolie
Bildschirm sperren
Umgebung beachten
keine sensiblen Eingaben in unsicheren Umgebungen
Merksatz:
Shoulder Surfing nutzt Beobachtung.
Dumpster Diving
Dumpster Diving bedeutet:
Angreifer durchsuchen Müll oder entsorgte Unterlagen.
Ziele:
Passwörter
interne Dokumente
Netzwerkpläne
Rechnungen
Kundendaten
alte Datenträger
Notizzettel
Organigramme
Schutz:
Aktenvernichtung
sichere Datenträgervernichtung
Clean-Desk-Regel
Entsorgungsprozesse
Merksatz:
Auch entsorgte Informationen können sicherheitskritisch sein.
Identitätsangriffe
Identitätsangriffe richten sich gegen Benutzerkonten,
Rollen
und Anmeldungen.
Typische Angriffe:
Phishing
Brute Force
Credential Stuffing
Password Spraying
Session Hijacking
MFA-Missbrauch
Kontoübernahme
Rechteausweitung
Merksatz:
Wer Identität kontrolliert,
kontrolliert oft den Zugriff.
Account Takeover
Account Takeover bedeutet:
Ein Angreifer übernimmt ein Benutzerkonto.
Mögliche Folgen:
E-Mails lesen
interne Daten abrufen
Phishing aus echtem Konto senden
Dateien löschen
Rechte ausnutzen
weitere Konten angreifen
Regeln oder Weiterleitungen einrichten
Merksatz:
Kontoübernahme ist oft der Startpunkt für weitere Angriffe.
Brute Force
Brute Force bedeutet:
viele Passwörter werden systematisch ausprobiert.
Schutz:
MFA
Rate Limiting
starke Passwörter
Sperrmechanismen
Monitoring
keine Standardkonten
Passwortmanager
Merksatz:
Brute Force wird durch Begrenzung und MFA erschwert.
Credential Stuffing
Credential Stuffing bedeutet:
Angreifer nutzen geleakte Zugangsdaten aus anderen Diensten.
Beispiel:
Passwort aus altem Webshop-Leak
wird am Firmenportal ausprobiert.
Schutz:
keine Passwortwiederverwendung
MFA
Passwortmanager
Leak-Erkennung
riskante Loginversuche erkennen
Merksatz:
Credential Stuffing nutzt wiederverwendete Passwörter.
Password Spraying
Password Spraying bedeutet:
wenige häufige Passwörter werden gegen viele Konten getestet.
Beispiele:
Willkommen2026!
Sommer2026!
Passwort123!
Ziel:
Kontosperren vermeiden,
weil pro Konto nur wenige Versuche auftreten.
Merksatz:
Password Spraying verteilt wenige Passwörter auf viele Benutzer.
Passwort-Wiederverwendung
Passwort-Wiederverwendung bedeutet:
dasselbe Passwort wird bei mehreren Diensten genutzt.
Problem:
Wird ein Dienst kompromittiert,
können Angreifer das Passwort bei anderen Diensten ausprobieren.
Schutz:
Passwortmanager
eindeutige Passwörter
MFA
Schulung
Passwort-Leak-Prüfung
Merksatz:
Ein Passwort darf nicht mehrfach genutzt werden.
Starke Passwörter
Starke Passwörter sollten:
lang sein
nicht leicht erratbar sein
nicht wiederverwendet werden
nicht aus persönlichen Daten bestehen
nicht in Listen bekannter Passwörter vorkommen
Für viele Konten ist ein Passwortmanager sinnvoll.
Merksatz:
Länge und Einzigartigkeit sind wichtiger als komplizierte Merkhilfen.
Passwortmanager
Ein Passwortmanager hilft,
für jeden Dienst ein eigenes starkes Passwort zu verwenden.
Vorteile:
eindeutige Passwörter
lange Passwörter
weniger Wiederverwendung
Erkennung falscher Webseiten möglich
sicherere Speicherung als Notizzettel
Merksatz:
Passwortmanager unterstützt starke und eindeutige Passwörter.
Account Lockout
Account Lockout bedeutet:
Ein Konto wird nach mehreren fehlgeschlagenen Anmeldeversuchen gesperrt.
Vorteil:
Schutz vor Brute Force
Risiko:
Angreifer können viele Konten absichtlich sperren.
Deshalb sinnvoll kombinieren mit:
Rate Limiting
Risikoanalyse
MFA
Monitoring
differenzierten Sperrregeln
Merksatz:
Kontosperren helfen,
müssen aber sinnvoll eingestellt sein.
Rate Limiting
Rate Limiting begrenzt,
wie viele Anfragen oder Loginversuche in einer Zeit erlaubt sind.
Beispiele:
maximal 5 Loginversuche pro Minute
begrenzte API-Anfragen
Verzögerung nach Fehlversuchen
Merksatz:
Rate Limiting bremst automatisierte Angriffe.
Captcha
Captcha soll prüfen,
ob ein Mensch oder ein automatisiertes Programm handelt.
Einsatz:
Loginformulare
Registrierungen
Passwortzurücksetzung
öffentliche Formulare
Grenze:
Captchas sind keine vollständige Sicherheitsmaßnahme.
Merksatz:
Captcha erschwert Automatisierung,
ersetzt aber keine sichere Authentifizierung.
Phishing-Erkennungsmerkmale
Mögliche Warnzeichen:
ungewöhnlicher Absender
unerwarteter Anhang
dringende Aufforderung
Drohung mit Sperrung
ungewöhnliche Zahlungsaufforderung
Rechtschreib- oder Formatfehler
verkürzte Links
Domain passt nicht
Login wird über Link gefordert
vertrauliche Daten werden verlangt
Absenderadresse und Anzeigename passen nicht zusammen
Merksatz:
Bei Druck,
ungewöhnlichem Link
oder Datenabfrage vorsichtig sein.
Links prüfen
Bei Links prüfen:
passt die Domain?
ist die Verbindung HTTPS?
ist die Adresse ungewöhnlich lang?
gibt es Tippfehler in der Domain?
wird eine bekannte Marke nachgeahmt?
führt der Link über Weiterleitungen?
ist es ein verkürzter Link?
passt der Link zum erwarteten Dienst?
Merksatz:
Nicht der sichtbare Text zählt,
sondern das echte Ziel des Links.
Anhänge prüfen
Gefährliche Anhänge können sein:
ausführbare Dateien
Makro-Dokumente
Archive mit Passwort
angebliche Rechnungen
Skripte
ISO-Dateien
LNK-Dateien
HTML-Dateien
manipulierte PDFs
Merksatz:
Unerwartete Anhänge immer kritisch prüfen.
Absender prüfen
Bei E-Mails ist der Anzeigename leicht fälschbar.
Zu prüfen:
echte Absenderadresse
Domain
Antwortadresse
Signatur
Schreibstil
Kontext
ungewöhnliche Anfrage
SPF,
DKIM
DMARC-Ergebnis je nach System
Merksatz:
Anzeigename allein beweist nichts.
SPF
SPF steht für:
Sender Policy Framework
SPF legt fest,
welche Mailserver für eine Domain E-Mails senden dürfen.
Merksatz:
SPF prüft,
ob ein sendender Mailserver zur Domain passt.
DKIM
DKIM steht für:
DomainKeys Identified Mail
DKIM nutzt digitale Signaturen,
um zu prüfen,
ob eine E-Mail unterwegs verändert wurde
und ob sie zur sendenden Domain passt.
Merksatz:
DKIM signiert E-Mails kryptografisch.
DMARC
DMARC steht für:
Domain-based Message Authentication,
Reporting and Conformance
DMARC baut auf SPF und DKIM auf.
Es legt fest,
wie Empfänger mit E-Mails umgehen sollen,
die SPF oder DKIM nicht bestehen.
Merksatz:
DMARC gibt Richtlinien für den Umgang mit verdächtigen E-Mails.
SPF, DKIM und DMARC einordnen
Technik
Zweck
SPF
prüft erlaubte sendende Mailserver
DKIM
prüft Signatur und Veränderung
DMARC
legt Richtlinie und Berichte fest
Wichtig:
Diese Techniken helfen gegen E-Mail-Spoofing,
verhindern aber nicht jede Phishing-Mail.
Merksatz:
SPF,
DKIM
und DMARC verbessern E-Mail-Authentizität.
Technische Schutzmaßnahmen gegen Phishing
Maßnahmen:
Spamfilter
Malwarefilter
Linkprüfung
Anhangprüfung
Sandboxing
SPF
DKIM
DMARC
MFA
Conditional Access
Passwortmanager
Webfilter
EDR
DNS-Filter
sichere Browserkonfiguration
Merksatz:
Phishing-Schutz braucht mehrere technische Schichten.
Organisatorische Schutzmaßnahmen gegen Phishing
Maßnahmen:
Schulungen
klare Meldewege
Phishing-Simulationen
Vier-Augen-Prinzip
Zahlungsprozesse absichern
Rückruf über bekannte Telefonnummer
Sicherheitsrichtlinien
Freigabeprozesse
Notfallplan bei Kontoübernahme
Merksatz:
Prozesse schützen dort,
wo Technik allein nicht reicht.
Verhalten bei verdächtiger Nachricht
Sinnvolles Vorgehen:
1. Nicht auf Links klicken.
2. Keine Anhänge öffnen.
3. Keine Zugangsdaten eingeben.
4. Absender und Domain prüfen.
5. Bei angeblichen internen Anfragen über bekannten Kanal nachfragen.
6. Nachricht melden.
7. Nicht weiterleiten,
wenn dadurch Risiko entsteht.
8. IT oder Sicherheitsverantwortliche informieren.
Merksatz:
Bei Verdacht zuerst stoppen,
prüfen
und melden.
Wenn Zugangsdaten eingegeben wurden
Sofortmaßnahmen:
Passwort ändern
MFA-Sitzungen prüfen
aktive Sitzungen beenden
IT informieren
Konto-Logs prüfen
Weiterleitungsregeln prüfen
verdächtige Geräte prüfen
Tokens widerrufen
betroffene Dienste prüfen
weitere Benutzer warnen
Merksatz:
Nach Phishing zählt schnelle Reaktion.
Wenn ein Anhang geöffnet wurde
Sofortmaßnahmen:
Gerät vom Netzwerk trennen
IT informieren
Datei nicht weiter öffnen
Zeitpunkt dokumentieren
E-Mail sichern
EDR oder Antivirus prüfen
Logs sichern
betroffene Konten prüfen
keine weiteren Systeme nutzen,
bis Bewertung erfolgt
Merksatz:
Nach verdächtigem Anhang Gerät schnell isolieren.
Kontoübernahme erkennen
Anzeichen:
unbekannte Loginorte
neue Weiterleitungsregeln
gelesene E-Mails ohne Benutzeraktion
gesendete Phishing-Mails
Passwortänderung
MFA-Änderung
neue Geräte
ungewöhnliche Dateienzugriffe
Rollenänderungen
verdächtige API-Aktivität
Merksatz:
Kontoübernahme zeigt sich oft in Logs und ungewöhnlichen Kontoeinstellungen.
E-Mail-Weiterleitungsregel als Risiko
Nach Kontoübernahme legen Angreifer oft Weiterleitungsregeln an.
Zweck:
E-Mails mitlesen
Rechnungen abfangen
Antworten verstecken
weitere Angriffe vorbereiten
Prüfen:
unbekannte Weiterleitungen
versteckte Regeln
Regeln zum Löschen
Regeln zum Verschieben
externe Empfänger
Merksatz:
Nach Kontoübernahme immer Weiterleitungsregeln prüfen.
Schutz durch Conditional Access
Conditional Access kann Logins abhängig machen von:
Standort
Gerät
MFA
Risiko
Benutzergruppe
Anwendung
Netzwerk
Gerätezustand
Beispiele:
Adminzugriff nur mit MFA
Zugriff aus unbekanntem Land blockieren
Zugriff nur von verwalteten Geräten
Merksatz:
Conditional Access erschwert missbräuchliche Logins.
Schutz durch Schulung
Benutzer sollten wissen:
wie Phishing aussieht
wie man Links prüft
wie man Anhänge bewertet
wie man verdächtige Nachrichten meldet
warum MFA-Anfragen nicht blind bestätigt werden
warum Passwörter eindeutig sein müssen
warum Zahlungsprozesse eingehalten werden
Merksatz:
Schulung macht Benutzer zu aktiven Schutzfaktoren.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist Phishing?
- Was ist Spear Phishing?
- Was ist Whaling?
- Was ist Social Engineering?
- Was ist CEO-Fraud?
- Was ist Business E-Mail Compromise?
- Was ist Smishing?
- Was ist Vishing?
- Was ist Credential Harvesting?
- Was ist Session Hijacking?
- Was ist MFA-Push-Fatigue?
- Was ist SIM-Swapping?
- Was ist Pretexting?
- Was ist Tailgating?
- Was ist Shoulder Surfing?
- Was ist Credential Stuffing?
- Was ist Password Spraying?
- Welche Merkmale können auf Phishing hinweisen?
- Was machen SPF, DKIM und DMARC?
- Wie reagiert man auf eine verdächtige Phishing-Mail?
- Warum sind Passwortmanager sinnvoll?
Typische Prüfungsfallen
Phishing ist nicht nur E-Mail.
Social Engineering ist nicht rein technisch.
Spear Phishing ist gezielt.
Whaling betrifft besonders wichtige Personen.
Smishing läuft über SMS.
Vishing läuft über Telefon.
CEO-Fraud nutzt Autorität.
BEC nutzt geschäftliche E-Mail-Kommunikation.
Anzeigename einer E-Mail beweist nichts.
HTTPS allein beweist nicht,
dass die Seite echt ist.
MFA ist wichtig,
aber nicht unfehlbar.
Unerwartete MFA-Anfragen nicht bestätigen.
Credential Stuffing nutzt geleakte Passwörter.
Password Spraying probiert wenige Passwörter bei vielen Konten.
Passwort-Wiederverwendung ist gefährlich.
SPF,
DKIM
und DMARC helfen gegen Spoofing,
verhindern aber nicht jedes Phishing.
Verdächtige Nachrichten melden,
nicht ignorieren.
Nach Kontoübernahme Weiterleitungsregeln prüfen.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Phishing
Täuschung zur Preisgabe vertraulicher Daten
Smishing
Phishing per SMS
Vishing
Phishing per Telefon
Quishing
Phishing über QR-Code
Spear Phishing
gezieltes Phishing
Whaling
Phishing gegen wichtige Personen
CEO-Fraud
Betrug durch angebliche Chef-Anweisung
BEC
Business E-Mail Compromise
Fake Login
gefälschte Anmeldeseite
Credential Harvesting
Sammeln von Zugangsdaten
Session Hijacking
Übernahme einer laufenden Sitzung
MFA-Bypass
Umgehung oder Missbrauch von MFA
MFA-Push-Fatigue
viele MFA-Anfragen zur Ermüdung
SIM-Swapping
Übernahme einer Mobilfunknummer
Social Engineering
Manipulation von Menschen
Pretexting
erfundene glaubwürdige Geschichte
Baiting
Köder zur Täuschung
Tailgating
unberechtigtes Folgen durch Zutritt
Shoulder Surfing
Beobachten von Eingaben
Dumpster Diving
Informationssuche im Müll
Account Takeover
Kontoübernahme
Brute Force
systematisches Ausprobieren
Credential Stuffing
Nutzung geleakter Zugangsdaten
Password Spraying
wenige Passwörter gegen viele Konten
Passwortmanager
Verwaltung starker eindeutiger Passwörter
Account Lockout
Kontosperre nach Fehlversuchen
Rate Limiting
Begrenzung von Anfragen
Captcha
Mensch-Maschine-Prüfung
SPF
Prüfung erlaubter Mailserver
DKIM
kryptografische E-Mail-Signatur
DMARC
Richtlinie für SPF/DKIM-Ergebnisse
Conditional Access
Zugriff abhängig von Bedingungen
IHK-sichere Kurzformulierung
Phishing ist eine Form des Social Engineerings, bei der Angreifer Benutzer durch Täuschung dazu bringen, vertrauliche Informationen preiszugeben, Links anzuklicken, Anhänge zu öffnen oder gefährliche Aktionen auszuführen. Spear Phishing ist gezieltes Phishing, Whaling richtet sich gegen besonders wichtige Personen, Smishing erfolgt per SMS und Vishing per Telefon. Identitätsangriffe wie Credential Stuffing, Password Spraying, Brute Force, Session Hijacking und Kontoübernahmen zielen auf Benutzerkonten und Zugänge. Schutzmaßnahmen sind MFA, starke eindeutige Passwörter, Passwortmanager, Spam- und Malwarefilter, SPF, DKIM, DMARC, Conditional Access, Schulungen, klare Meldewege, Vier-Augen-Prinzip und schnelle Reaktion bei verdächtigen Vorfällen.
Merksätze
Phishing täuscht Benutzer.
Social Engineering manipuliert Menschen.
Phishing ist nicht nur E-Mail.
Smishing = SMS-Phishing.
Vishing = Telefon-Phishing.
Quishing = QR-Code-Phishing.
Spear Phishing ist gezielt.
Whaling trifft wichtige Personen.
CEO-Fraud nutzt Autorität.
BEC nutzt geschäftliche E-Mails.
Fake Login stiehlt Zugangsdaten.
Credential Harvesting sammelt Zugangsdaten.
Session Hijacking übernimmt Sitzungen.
MFA ist wichtig,
aber nicht unfehlbar.
Unerwartete MFA-Anfragen niemals bestätigen.
SIM-Swapping gefährdet SMS-MFA.
Pretexting nutzt erfundene Rollen.
Baiting nutzt Köder.
Tailgating umgeht Zutrittskontrolle.
Shoulder Surfing nutzt Beobachtung.
Dumpster Diving nutzt weggeworfene Informationen.
Identitätsangriffe zielen auf Konten.
Account Takeover ist Kontoübernahme.
Brute Force probiert systematisch.
Credential Stuffing nutzt geleakte Zugangsdaten.
Password Spraying verteilt wenige Passwörter auf viele Konten.
Passwörter nicht wiederverwenden.
Passwortmanager nutzen.
Rate Limiting bremst Angriffe.
Captcha ersetzt keine sichere Anmeldung.
Anzeigename beweist nichts.
Links immer auf echte Domain prüfen.
Anhänge kritisch prüfen.
SPF prüft erlaubte Mailserver.
DKIM signiert E-Mails.
DMARC legt Richtlinien fest.
Technik und Schulung gemeinsam schützen.
Verdächtige Nachrichten melden.
Nach Phishing schnell reagieren.
Nach Kontoübernahme Weiterleitungsregeln prüfen.
16.4 Netzwerkangriffe: DoS, DDoS, Spoofing und Man-in-the-Middle
Netzwerkangriffe richten sich gegen Kommunikation,
Erreichbarkeit,
Identitäten
oder Datenübertragung in Netzwerken.
Sie können auf verschiedenen OSI-Schichten stattfinden.
Typische Netzwerkangriffe sind:
- DoS
- DDoS
- Man-in-the-Middle
- ARP-Spoofing
- DNS-Spoofing
- IP-Spoofing
- MAC-Spoofing
- Sniffing
- Session Hijacking
- Rogue DHCP
- Evil Twin
- WLAN-Angriffe
Merksatz:
Netzwerkangriffe nutzen Schwächen in Kommunikation,
Adressierung,
Namensauflösung
oder Erreichbarkeit aus.
Warum Netzwerkangriffe gefährlich sind
Netzwerke verbinden Systeme miteinander.
Wenn ein Angreifer Netzwerkkommunikation beeinflusst,
kann er unter Umständen:
Daten mitlesen
Daten verändern
Benutzer auf falsche Ziele lenken
Dienste überlasten
Verbindungen unterbrechen
Zugangsdaten abgreifen
Sitzungen übernehmen
interne Systeme erreichen
Kommunikation manipulieren
Merksatz:
Wer Netzwerkverkehr kontrolliert,
kann viele weitere Angriffe vorbereiten.
DoS
DoS steht für:
Denial of Service
Denial of Service bedeutet:
Ein Dienst wird absichtlich so gestört,
dass er nicht mehr nutzbar ist.
Ziel:
Verfügbarkeit angreifen
Beispiele:
Webserver antwortet nicht mehr.
Anwendung ist überlastet.
Netzwerkleitung ist voll.
Firewall ist überfordert.
Datenbank nimmt keine Verbindungen mehr an.
Merksatz:
DoS greift die Verfügbarkeit an.
DoS einfach erklärt
Ein Dienst kann nur eine begrenzte Menge an Anfragen verarbeiten.
Wenn ein Angreifer sehr viele Anfragen sendet,
kann der Dienst überlastet werden.
Folge:
normale Benutzer können den Dienst nicht mehr nutzen.
Merksatz:
DoS bedeutet:
Dienst wird durch Störung oder Überlastung unbenutzbar.
DDoS
DDoS steht für:
Distributed Denial of Service
Distributed bedeutet:
verteilt
Bei DDoS kommt der Angriff von vielen Systemen gleichzeitig.
Häufig werden Botnetze genutzt.
Merksatz:
DDoS ist ein verteilter DoS-Angriff.
DoS und DDoS vergleichen
Merkmal
DoS
DDoS
Angriffsquelle
eine oder wenige Quellen
viele verteilte Quellen
Abwehr
oft einfacher
deutlich schwieriger
typische Technik
Überlastung oder Störung
massenhafte verteilte Überlastung
Ziel
Verfügbarkeit
Verfügbarkeit
Merksatz:
DoS = Dienstverweigerung.
DDoS = verteilte Dienstverweigerung.
Typische DDoS-Ziele
DDoS-Angriffe richten sich häufig gegen:
Webseiten
Online-Shops
DNS-Server
VPN-Gateways
Firewalls
Load Balancer
APIs
Gaming-Server
Cloud-Dienste
Unternehmensanschlüsse
Merksatz:
DDoS trifft oft öffentlich erreichbare Dienste.
DDoS-Angriffsarten
DDoS kann unterschiedliche Ebenen treffen.
Beispiele:
Volumenangriff:
Leitung wird mit Datenverkehr überlastet.
Protokollangriff:
Netzwerk- oder Transportprotokolle werden ausgenutzt.
Anwendungsschichtangriff:
Webanwendung wird mit vielen echten oder scheinbar echten Anfragen belastet.
Merksatz:
DDoS kann Leitung,
Protokoll
oder Anwendung treffen.
Volumenangriff
Ein Volumenangriff versucht,
möglichst viel Datenverkehr zu erzeugen.
Ziel:
Bandbreite überlasten
Beispiele:
sehr viele UDP-Pakete
große Datenmengen
reflektierter Verkehr
Folge:
legitimer Verkehr kommt nicht mehr durch.
Merksatz:
Volumenangriff überlastet die Bandbreite.
Protokollangriff
Ein Protokollangriff nutzt Eigenschaften von Netzwerkprotokollen aus.
Ziel:
Netzwerkgeräte,
Firewalls,
Load Balancer
oder Serverzustände überlasten
Beispiele:
viele halboffene Verbindungen
viele Verbindungsversuche
ausgenutzte Protokollmechanismen
Merksatz:
Protokollangriff belastet Netzwerk- oder Transportmechanismen.
Anwendungsschichtangriff
Ein Anwendungsschichtangriff richtet sich gegen Dienste auf OSI-Schicht 7.
Beispiele:
viele HTTP-Anfragen
teure Suchanfragen
Loginversuche
API-Anfragen
Warenkorbaktionen
Datenbanklast durch Webanfragen
Problem:
Der Angriff kann wie normaler Benutzerverkehr aussehen.
Merksatz:
Anwendungsschichtangriffe sind oft schwerer von echter Nutzung zu unterscheiden.
Reflexionsangriff
Bei einem Reflexionsangriff sendet der Angreifer Anfragen an fremde Server
und fälscht dabei die Absenderadresse des Opfers.
Die fremden Server antworten dann an das Opfer.
Beispiele für missbrauchte Dienste:
DNS
NTP
Memcached
SSDP
andere UDP-basierte Dienste
Merksatz:
Reflexionsangriff lenkt Antworten fremder Systeme auf das Opfer.
Amplification
Amplification bedeutet:
Verstärkung
Der Angreifer sendet eine kleine Anfrage,
die eine deutlich größere Antwort erzeugt.
Wenn die Antwort an das Opfer geht,
wird der Angriff verstärkt.
Merksatz:
Amplification macht aus kleinen Anfragen große Angriffsdatenmengen.
Schutz vor DoS und DDoS
Mögliche Schutzmaßnahmen:
DDoS-Schutzdienst
Provider-Unterstützung
Content Delivery Network
Load Balancer
Rate Limiting
Anycast
Firewall-Regeln
Web Application Firewall
Skalierung
Monitoring
Notfallplan
Blackholing als Notmaßnahme
Merksatz:
DDoS-Schutz braucht Vorbereitung,
weil man im Angriff oft wenig Zeit hat.
Rate Limiting
Rate Limiting begrenzt,
wie viele Anfragen in einer bestimmten Zeit erlaubt sind.
Beispiele:
maximal 100 Anfragen pro Minute pro IP
maximal 5 Loginversuche pro Minute
API-Limit pro Benutzer
Vorteil:
automatisierte Überlastung wird erschwert.
Merksatz:
Rate Limiting begrenzt Anfragehäufigkeit.
Anycast
Anycast bedeutet:
dieselbe IP-Adresse wird an mehreren Standorten angekündigt.
Der Verkehr wird zum nächstgelegenen oder passenden Standort geleitet.
Vorteil bei DDoS:
Angriffslast kann verteilt werden.
Merksatz:
Anycast verteilt Verkehr auf mehrere Standorte.
Blackholing
Blackholing bedeutet:
Verkehr zu einem Ziel wird verworfen.
Das kann bei DDoS als Notmaßnahme genutzt werden.
Nachteil:
Der angegriffene Dienst ist dann ebenfalls nicht erreichbar.
Merksatz:
Blackholing schützt Infrastruktur,
macht den Dienst aber meist unerreichbar.
Man-in-the-Middle
Man-in-the-Middle wird oft abgekürzt:
MitM
Dabei positioniert sich ein Angreifer zwischen zwei Kommunikationspartnern.
Ziele:
Daten mitlesen
Daten verändern
Anmeldedaten abgreifen
Sitzung übernehmen
Zertifikatswarnungen ausnutzen
Benutzer auf falsche Dienste lenken
Merksatz:
MitM bedeutet:
Angreifer sitzt zwischen Sender und Empfänger.
Man-in-the-Middle einfach erklärt
Normale Kommunikation:
Client
↔
Server
Mit Man-in-the-Middle:
Client
↔
Angreifer
↔
Server
Der Benutzer glaubt,
direkt mit dem Server zu kommunizieren.
Tatsächlich läuft die Kommunikation über den Angreifer.
Merksatz:
Bei MitM wird Kommunikation heimlich zwischengeschaltet.
Typische MitM-Szenarien
Beispiele:
unsicheres WLAN
gefälschter Access Point
ARP-Spoofing im lokalen Netz
DNS-Spoofing
manipuliertes Gateway
kompromittierter Router
Proxy-Angriff
gefälschtes Zertifikat
Session-Cookie-Diebstahl
Merksatz:
MitM kann über WLAN,
LAN,
DNS,
Router
oder Zertifikate entstehen.
Schutz vor Man-in-the-Middle
Maßnahmen:
TLS korrekt nutzen
HTTPS erzwingen
Zertifikatswarnungen nicht ignorieren
VPN in unsicheren Netzen
HSTS bei Webseiten
sichere WLAN-Konfiguration
ARP-Schutz in Switches
DNSSEC je nach Einsatz
sichere DNS-Resolver
MFA
Session-Cookies schützen
Merksatz:
TLS schützt nur dann,
wenn Zertifikate korrekt geprüft werden.
Sniffing
Sniffing bedeutet:
Netzwerkverkehr wird mitgeschnitten oder beobachtet.
Legitime Nutzung:
Fehlersuche
Protokollanalyse
Performanceanalyse
Sicherheitsanalyse
Missbrauch:
Passwörter abfangen
Daten mitlesen
interne Kommunikation analysieren
Sitzungen übernehmen
Schwachstellen finden
Merksatz:
Sniffing ist ein Werkzeug,
das für Analyse oder Angriff genutzt werden kann.
Sniffing und Verschlüsselung
Unverschlüsselter Verkehr kann direkt lesbar sein.
Beispiele für riskanten Klartextverkehr:
HTTP
Telnet
FTP
POP3 ohne TLS
IMAP ohne TLS
SMTP ohne TLS
alte Protokolle
Verschlüsselter Verkehr schützt Inhalte besser.
Beispiele:
HTTPS
SSH
SFTP
FTPS
IMAPS
SMTPS
VPN
Merksatz:
Verschlüsselung reduziert den Schaden durch Sniffing.
Spoofing
Spoofing bedeutet:
Eine falsche Identität,
Adresse
oder Herkunft wird vorgetäuscht.
Typische Arten:
IP-Spoofing
MAC-Spoofing
ARP-Spoofing
DNS-Spoofing
E-Mail-Spoofing
Merksatz:
Spoofing täuscht Herkunft oder Identität vor.
IP-Spoofing
IP-Spoofing bedeutet:
Der Angreifer fälscht die Quell-IP-Adresse.
Ziele:
Herkunft verschleiern
Reflexionsangriffe ermöglichen
Filter umgehen
Vertrauen in IP-Adressen ausnutzen
Grenze:
Bei TCP-Verbindungen ist IP-Spoofing schwieriger,
weil Antworten an die gefälschte Adresse gehen.
Merksatz:
IP-Spoofing fälscht die Quell-IP-Adresse.
MAC-Spoofing
MAC-Spoofing bedeutet:
Ein Gerät gibt sich mit einer anderen MAC-Adresse aus.
Mögliche Ziele:
MAC-Filter umgehen
Identität im LAN vortäuschen
Netzwerkzugang erschleichen
Geräteverwechslung erzeugen
Merksatz:
MAC-Adressen können gefälscht werden
und sind kein starker Sicherheitsnachweis.
ARP
ARP steht für:
Address Resolution Protocol
ARP ordnet im lokalen IPv4-Netz eine IP-Adresse einer MAC-Adresse zu.
Beispiel:
Welche MAC-Adresse hat 192.168.1.1?
Antwort:
192.168.1.1 hat MAC-Adresse aa:bb:cc:dd:ee:ff
Merksatz:
ARP verbindet IPv4-Adressen mit MAC-Adressen im lokalen Netz.
ARP-Spoofing
ARP-Spoofing manipuliert ARP-Zuordnungen im lokalen Netz.
Angreifer behauptet zum Beispiel:
Ich bin das Gateway.
Dann senden Clients ihren Verkehr an den Angreifer.
Mögliche Folgen:
Man-in-the-Middle
Sniffing
Sitzungsdiebstahl
Verbindungsstörung
Merksatz:
ARP-Spoofing greift lokale Layer-2-Kommunikation an.
Schutz vor ARP-Spoofing
Maßnahmen:
Dynamic ARP Inspection
DHCP Snooping
statische ARP-Einträge in Sonderfällen
Netzwerksegmentierung
Switch-Sicherheitsfunktionen
Verschlüsselung durch TLS
Monitoring auf ARP-Anomalien
Merksatz:
Gegen ARP-Spoofing helfen Switch-Schutzfunktionen und Verschlüsselung.
DNS
DNS steht für:
Domain Name System
DNS löst Namen in IP-Adressen auf.
Beispiel:
www.example.de
→
203.0.113.10
Merksatz:
DNS übersetzt Namen in IP-Adressen.
DNS-Spoofing
DNS-Spoofing manipuliert die Namensauflösung.
Ziel:
Benutzer wird zu falscher IP-Adresse geleitet.
Beispiel:
Benutzer ruft eine echte Domain auf,
landet aber auf einer gefälschten Webseite.
Mögliche Folgen:
Phishing
Malware-Verteilung
Man-in-the-Middle
Datenabfluss
Merksatz:
DNS-Spoofing führt Namen zu falschen Zielen.
DNS-Cache-Poisoning
DNS-Cache-Poisoning bedeutet:
falsche DNS-Antworten werden in einem DNS-Cache gespeichert.
Folge:
Mehrere Benutzer erhalten falsche DNS-Antworten,
bis der Cache abläuft oder korrigiert wird.
Merksatz:
DNS-Cache-Poisoning vergiftet zwischengespeicherte DNS-Antworten.
Schutz vor DNS-Spoofing
Maßnahmen:
vertrauenswürdige DNS-Resolver
DNSSEC
DNS-over-TLS oder DNS-over-HTTPS je nach Umgebung
Monitoring ungewöhnlicher DNS-Antworten
TLS-Zertifikatsprüfung
keine unbekannten DNS-Server per DHCP erlauben
sichere Router- und DHCP-Konfiguration
Merksatz:
DNS-Schutz und TLS-Prüfung ergänzen sich.
DNSSEC
DNSSEC steht für:
Domain Name System Security Extensions
DNSSEC ermöglicht kryptografische Prüfung von DNS-Antworten.
Ziel:
Manipulation von DNS-Antworten erkennbar machen.
Wichtig:
DNSSEC verschlüsselt DNS-Anfragen nicht automatisch.
Es prüft vor allem Echtheit und Integrität.
Merksatz:
DNSSEC schützt DNS-Integrität,
aber nicht automatisch DNS-Vertraulichkeit.
Rogue DHCP
Rogue DHCP bedeutet:
Ein nicht autorisierter DHCP-Server verteilt Netzwerkeinstellungen.
Mögliche Folgen:
falsches Gateway
falscher DNS-Server
falsche IP-Konfiguration
Man-in-the-Middle
Netzwerkstörungen
Merksatz:
Rogue DHCP verteilt falsche Netzwerkkonfiguration.
Schutz vor Rogue DHCP
Maßnahmen:
DHCP Snooping
Switchports absichern
ungenutzte Ports deaktivieren
Netzwerksegmentierung
Monitoring
physische Zugangskontrolle
nur autorisierte DHCP-Server zulassen
Merksatz:
DHCP Snooping schützt vor unautorisierten DHCP-Servern.
DHCP Snooping
DHCP Snooping ist eine Switch-Sicherheitsfunktion.
Sie unterscheidet:
vertrauenswürdige Ports
und
nicht vertrauenswürdige Ports
DHCP-Antworten sind nur auf vertrauenswürdigen Ports erlaubt.
Merksatz:
DHCP Snooping verhindert DHCP-Antworten von falschen Ports.
Session Hijacking
Session Hijacking bedeutet:
Ein Angreifer übernimmt eine bestehende Sitzung.
Mögliche Wege:
Session-Cookie stehlen
Token stehlen
XSS
Malware
Man-in-the-Middle
unsichere Verbindung
kompromittiertes Endgerät
Merksatz:
Session Hijacking übernimmt eine laufende Anmeldung.
Schutz vor Session Hijacking
Maßnahmen:
HTTPS überall
HttpOnly Cookies
Secure Cookies
SameSite Cookies
kurze Session-Laufzeiten
Session-Rotation nach Login
Schutz vor XSS
MFA
Geräte- und Standortprüfung
Logout-Funktion
Token widerrufen können
Merksatz:
Sitzungen müssen genauso geschützt werden wie Passwörter.
WLAN-Angriffe
WLAN ist besonders angreifbar,
weil Funk nicht an Wände gebunden ist.
Typische Risiken:
schwache Verschlüsselung
unsichere Passwörter
Evil Twin
Rogue Access Point
unsichere Gastnetze
Abhören unverschlüsselter Verbindungen
Deauthentication-Angriffe
falsche Captive Portals
Merksatz:
WLAN braucht starke Verschlüsselung und saubere Trennung.
Evil Twin
Ein Evil Twin ist ein gefälschter WLAN-Access-Point,
der wie ein echtes WLAN aussieht.
Ziel:
Benutzer verbinden sich mit dem falschen WLAN.
Folgen:
Man-in-the-Middle
Phishing
Datenmitschnitt
falsche Loginseiten
Malware-Verteilung
Merksatz:
Evil Twin imitiert ein echtes WLAN.
Rogue Access Point
Ein Rogue Access Point ist ein nicht autorisierter Access Point im Netzwerk.
Beispiele:
Mitarbeiter steckt eigenen WLAN-Router an.
Angreifer platziert Access Point im Gebäude.
falsch konfigurierte Geräte öffnen WLAN.
Risiko:
Sicherheitsregeln werden umgangen.
internes Netz wird unkontrolliert erreichbar.
Merksatz:
Rogue Access Point ist ein unerlaubter WLAN-Zugangspunkt.
Schutz vor WLAN-Angriffen
Maßnahmen:
WPA2-Enterprise oder WPA3 nutzen
starke Passwörter
Gastnetz vom internen Netz trennen
802.1X
Zertifikatsprüfung
Rogue-AP-Erkennung
regelmäßige WLAN-Überprüfung
sichere Captive-Portals
VPN in unsicheren WLANs
keine offenen internen WLANs
Merksatz:
WLAN-Sicherheit braucht Verschlüsselung,
Authentifizierung
und Segmentierung.
802.1X
802.1X ist ein Standard für netzwerkbasierte Zugangskontrolle.
Er wird genutzt bei:
LAN
WLAN
Enterprise-Netzen
Grundidee:
Gerät oder Benutzer muss sich authentifizieren,
bevor Netzwerkzugriff erlaubt wird.
Merksatz:
802.1X kontrolliert Netzwerkzugang vor der Freigabe.
Netzwerksegmentierung gegen Angriffe
Segmentierung trennt Netzbereiche voneinander.
Beispiele:
Clientnetz
Servernetz
Gastnetz
Managementnetz
Produktionsnetz
Backupnetz
WLAN-Gastnetz
IoT-Netz
Vorteil:
Angriffe können sich schlechter ausbreiten.
Zugriffe können gezielter gefiltert werden.
Merksatz:
Segmentierung begrenzt Schaden und Ausbreitung.
Firewall-Regeln gegen Netzwerkangriffe
Firewalls begrenzen,
welche Kommunikation erlaubt ist.
Gute Regeln sind:
so eng wie möglich
dokumentiert
begründet
regelmäßig geprüft
nach Quelle,
Ziel,
Port
und Protokoll definiert
Merksatz:
Firewall-Regeln sollen erlauben,
was nötig ist,
und blockieren,
was nicht nötig ist.
IDS und IPS gegen Netzwerkangriffe
IDS:
erkennt verdächtigen Netzwerkverkehr
und meldet ihn
IPS:
erkennt verdächtigen Netzwerkverkehr
und kann ihn blockieren
Beispiele für Erkennung:
Portscans
bekannte Angriffssignaturen
ungewöhnlicher Datenverkehr
Exploit-Versuche
verdächtige DNS-Anfragen
Merksatz:
IDS erkennt.
IPS blockiert zusätzlich.
Netzwerk-Monitoring
Netzwerk-Monitoring hilft,
Angriffe und Störungen zu erkennen.
Überwacht werden können:
Bandbreite
Paketverlust
Latenz
ungewöhnliche Verbindungen
DNS-Anfragen
Firewall-Drops
VPN-Zugriffe
ARP-Anomalien
DHCP-Anomalien
Portscans
DDoS-Anzeichen
Merksatz:
Netzwerk-Monitoring erkennt Auffälligkeiten im Datenverkehr.
Typische Anzeichen für Netzwerkangriffe
Mögliche Hinweise:
plötzlich sehr hohe Netzwerklast
viele fehlgeschlagene Verbindungen
ungewöhnliche DNS-Antworten
Benutzer landen auf falschen Webseiten
Zertifikatswarnungen
viele Loginversuche
unbekannte DHCP-Server
doppelte IP-Adressen
ungewöhnliche ARP-Einträge
unbekannte Access Points
viele Firewall-Drops
Merksatz:
Netzwerkangriffe zeigen sich oft durch ungewöhnliche Muster.
Fehlersuche bei Verdacht auf Netzwerkangriff
Sinnvolle Reihenfolge:
1. Betroffene Systeme bestimmen.
2. Zeitpunkt eingrenzen.
3. Änderungen prüfen.
4. Netzwerklogs prüfen.
5. Firewall-Logs prüfen.
6. DNS prüfen.
7. DHCP prüfen.
8. ARP-Tabelle prüfen.
9. Routing prüfen.
10. Paketmitschnitt erstellen.
11. Benutzerberichte vergleichen.
12. Angriff eingrenzen.
13. Schutzmaßnahmen aktivieren.
14. Vorfall dokumentieren.
Merksatz:
Netzwerkangriffe systematisch mit Logs,
Tabellen,
Routen
und Mitschnitten untersuchen.
Typische Schutzmaßnahmen gegen Netzwerkangriffe
Wichtige Maßnahmen:
Firewall
IDS
IPS
Netzwerksegmentierung
VLANs
sichere WLAN-Konfiguration
WPA2-Enterprise oder WPA3
802.1X
DHCP Snooping
Dynamic ARP Inspection
DNSSEC je nach Einsatz
TLS
VPN
DDoS-Schutz
Rate Limiting
Monitoring
Logging
Patchmanagement
sichere Router- und Switch-Konfiguration
Merksatz:
Netzwerkangriffsschutz besteht aus Technik,
Konfiguration
Überwachung
und klaren Regeln.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist ein DoS-Angriff?
- Was ist ein DDoS-Angriff?
- Was ist der Unterschied zwischen DoS und DDoS?
- Was ist ein Man-in-the-Middle-Angriff?
- Was bedeutet Sniffing?
- Was bedeutet Spoofing?
- Was ist IP-Spoofing?
- Was ist MAC-Spoofing?
- Was ist ARP-Spoofing?
- Was ist DNS-Spoofing?
- Was ist DNS-Cache-Poisoning?
- Was ist DNSSEC?
- Was ist Rogue DHCP?
- Was ist DHCP Snooping?
- Was ist Session Hijacking?
- Was ist ein Evil Twin?
- Was ist ein Rogue Access Point?
- Wie schützt Netzwerksegmentierung gegen Angriffe?
- Was ist der Unterschied zwischen IDS und IPS?
- Welche Schutzmaßnahmen helfen gegen DDoS?
Typische Prüfungsfallen
DoS und DDoS unterscheiden.
DDoS ist verteilt.
DoS greift Verfügbarkeit an.
MitM sitzt zwischen Kommunikationspartnern.
Sniffing ist nicht automatisch Angriff,
kann aber missbraucht werden.
Spoofing täuscht Identität oder Herkunft vor.
ARP-Spoofing betrifft lokale IPv4-Netze.
DNS-Spoofing führt Namen zu falschen IP-Adressen.
DNSSEC schützt Integrität,
nicht automatisch Vertraulichkeit.
Rogue DHCP verteilt falsche Netzwerkeinstellungen.
DHCP Snooping schützt vor falschen DHCP-Servern.
Session Hijacking betrifft laufende Sitzungen.
WLAN ist wegen Funkreichweite besonders zu schützen.
Evil Twin imitiert ein echtes WLAN.
Rogue Access Point ist ein unerlaubter Access Point.
MAC-Filter allein ist keine starke Sicherheit.
TLS-Zertifikatswarnungen nicht ignorieren.
Segmentierung begrenzt Ausbreitung.
IDS erkennt,
IPS blockiert zusätzlich.
DDoS-Schutz muss vorbereitet sein.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
DoS
Dienstverweigerung
DDoS
verteilte Dienstverweigerung
Botnet
viele fremdgesteuerte Systeme
Volumenangriff
Überlastung durch Datenmenge
Protokollangriff
Ausnutzung von Protokollmechanismen
Anwendungsschichtangriff
Überlastung einer Anwendung
Reflexionsangriff
Antworten fremder Systeme treffen Opfer
Amplification
Verstärkung kleiner Anfragen
Rate Limiting
Begrenzung von Anfragen
Anycast
gleiche IP an mehreren Standorten
Blackholing
Verwerfen von Verkehr
MitM
Man-in-the-Middle
Sniffing
Mitschneiden von Netzwerkverkehr
Spoofing
Vortäuschen falscher Identität
IP-Spoofing
gefälschte Quell-IP
MAC-Spoofing
gefälschte MAC-Adresse
ARP
Zuordnung IPv4 zu MAC im LAN
ARP-Spoofing
Manipulation von ARP-Zuordnungen
DNS
Namensauflösung
DNS-Spoofing
Manipulation von DNS-Antworten
DNS-Cache-Poisoning
falsche DNS-Antwort im Cache
DNSSEC
Schutz der DNS-Integrität
Rogue DHCP
unautorisierter DHCP-Server
DHCP Snooping
Schutz vor falschen DHCP-Servern
Session Hijacking
Übernahme einer laufenden Sitzung
Evil Twin
gefälschter WLAN-Access-Point
Rogue Access Point
unerlaubter Access Point
802.1X
Netzwerkzugangskontrolle
IDS
Angriffserkennung
IPS
Angriffserkennung mit Blockierung
IHK-sichere Kurzformulierung
Netzwerkangriffe richten sich gegen Kommunikation, Erreichbarkeit, Adressierung oder Namensauflösung in Netzwerken. DoS und DDoS greifen die Verfügbarkeit von Diensten an, wobei DDoS von vielen verteilten Quellen ausgeht. Bei einem Man-in-the-Middle-Angriff befindet sich ein Angreifer zwischen zwei Kommunikationspartnern und kann Daten mitlesen oder manipulieren. Spoofing täuscht Identität oder Herkunft vor, zum Beispiel durch gefälschte IP-, MAC-, ARP- oder DNS-Informationen. Schutzmaßnahmen sind Firewalls, IDS/IPS, Netzwerksegmentierung, sichere WLAN-Konfiguration, TLS, VPN, DNSSEC, DHCP Snooping, Dynamic ARP Inspection, DDoS-Schutz, Rate Limiting, Monitoring und Logging.
Merksätze
Netzwerkangriffe treffen Kommunikation und Erreichbarkeit.
DoS greift Verfügbarkeit an.
DDoS ist verteilter DoS.
DDoS-Schutz muss vorbereitet sein.
Volumenangriff überlastet Bandbreite.
Protokollangriff belastet Netzwerkmechanismen.
Anwendungsschichtangriff trifft Dienste auf Schicht 7.
Reflexionsangriff nutzt fremde Systeme.
Amplification verstärkt Angriffsdaten.
Rate Limiting begrenzt Anfragen.
Anycast verteilt Verkehr.
Blackholing verwirft Verkehr.
MitM sitzt zwischen Client und Server.
Sniffing schneidet Verkehr mit.
Verschlüsselung schützt gegen Mitlesen.
Spoofing täuscht Herkunft oder Identität vor.
IP-Spoofing fälscht Quell-IP.
MAC-Spoofing fälscht MAC-Adresse.
ARP verbindet IPv4 und MAC.
ARP-Spoofing manipuliert lokale Zuordnung.
DNS übersetzt Namen in IP-Adressen.
DNS-Spoofing führt zu falschen Zielen.
DNSSEC schützt DNS-Integrität.
Rogue DHCP verteilt falsche Einstellungen.
DHCP Snooping schützt vor Rogue DHCP.
Session Hijacking übernimmt Sitzungen.
WLAN braucht starke Absicherung.
Evil Twin imitiert echtes WLAN.
Rogue Access Point ist unerlaubt.
802.1X kontrolliert Netzwerkzugang.
Segmentierung begrenzt Ausbreitung.
IDS erkennt.
IPS blockiert zusätzlich.
Netzwerk-Monitoring erkennt Auffälligkeiten.
Logs und Mitschnitte helfen bei Analyse.
16.5 Webangriffe: SQL Injection, XSS, CSRF und unsichere Webanwendungen
Webanwendungen sind häufige Angriffsziele,
weil sie oft öffentlich erreichbar sind
und direkt mit Benutzern,
Datenbanken,
APIs
und Backend-Systemen kommunizieren.
Typische Webangriffe sind:
- SQL Injection
- Cross-Site Scripting
- Cross-Site Request Forgery
- Directory Traversal
- File Upload Attack
- Session Hijacking
- Broken Authentication
- Broken Access Control
- unsichere API
- unsichere Fehlerausgaben
- unsichere Konfiguration
Merksatz:
Webangriffe nutzen häufig fehlerhafte Eingaben,
fehlende Zugriffskontrollen
oder unsichere Sitzungen aus.
Warum Webanwendungen gefährdet sind
Webanwendungen sind oft besonders angreifbar,
weil sie:
öffentlich erreichbar sind
Benutzeranfragen verarbeiten
Datenbanken nutzen
Dateien entgegennehmen
Sitzungen verwalten
APIs bereitstellen
externe Dienste anbinden
mit sensiblen Daten arbeiten
Merksatz:
Je mehr Eingaben und Schnittstellen eine Anwendung hat,
desto größer ist die Angriffsfläche.
Eingaben als Risiko
Viele Webangriffe beginnen mit Benutzereingaben.
Beispiele für Eingaben:
Loginformular
Suchfeld
Kontaktformular
URL-Parameter
Cookie
HTTP-Header
Datei-Upload
API-Request
JSON-Daten
Formularfelder
Problem:
Die Anwendung vertraut Eingaben zu stark
oder verarbeitet sie unsicher.
Merksatz:
Benutzereingaben niemals blind vertrauen.
Client und Server unterscheiden
Client:
Browser oder App des Benutzers
Server:
Webserver,
Anwendung,
API
oder Backend-System
Wichtig:
Prüfungen im Browser allein reichen nicht aus.
Warum?
Ein Angreifer kann Browserprüfungen umgehen
und direkt eigene Anfragen an den Server senden.
Merksatz:
Sicherheitsprüfungen müssen serverseitig erfolgen.
Frontend-Validierung
Frontend-Validierung prüft Eingaben im Browser.
Beispiel:
Pflichtfeld prüfen
E-Mail-Format prüfen
Zeichenanzahl begrenzen
Vorteil:
bessere Benutzerführung
Nachteil:
leicht umgehbar
Merksatz:
Frontend-Validierung hilft Benutzern,
ist aber keine Sicherheitsgrenze.
Backend-Validierung
Backend-Validierung prüft Eingaben auf dem Server.
Sie ist sicherheitsrelevant.
Beispiele:
Datentyp prüfen
Wertebereich prüfen
erlaubte Zeichen prüfen
Dateityp prüfen
Berechtigung prüfen
Pflichtfelder prüfen
Länge begrenzen
Merksatz:
Sicherheitsrelevante Prüfung gehört ins Backend.
SQL Injection
SQL Injection ist ein Angriff auf Datenbankabfragen.
Dabei schleust ein Angreifer SQL-Code in Eingaben ein.
Ziel:
Daten auslesen
Daten verändern
Login umgehen
Daten löschen
Datenbankstruktur ausspähen
Rechte ausweiten
Merksatz:
SQL Injection nutzt unsicher zusammengesetzte Datenbankabfragen aus.
SQL Injection einfach erklärt
Eine Anwendung erwartet zum Beispiel:
Benutzername
und
Passwort
Wenn die Anwendung Eingaben unsicher direkt in SQL einfügt,
kann ein Angreifer die Abfrage manipulieren.
Problem:
Eingabe wird nicht mehr nur als Wert behandelt,
sondern als Teil des SQL-Befehls.
Merksatz:
Bei SQL Injection wird Eingabe zu Befehl.
Unsichere SQL-Abfrage als Prinzip
Unsicheres Prinzip:
SQL-Befehl wird aus Text und Benutzereingabe zusammengebaut.
Beispielgedanke:
SELECT ...
WHERE user = Eingabe
AND password = Eingabe
Wenn Eingabe nicht sauber behandelt wird,
kann sie die Logik der Abfrage verändern.
Merksatz:
SQL nicht durch ungeprüftes Zusammenkleben von Text und Eingaben bauen.
Folgen von SQL Injection
Mögliche Folgen:
Login ohne gültiges Passwort
Auslesen von Kundendaten
Auslesen von Passworthashes
Verändern von Datensätzen
Löschen von Tabellen
Manipulation von Bestellungen
Zugriff auf interne Informationen
vollständige Kompromittierung der Anwendung
Merksatz:
SQL Injection kann sehr schwere Datenbankangriffe ermöglichen.
Schutz vor SQL Injection
Wichtige Schutzmaßnahmen:
Prepared Statements
parametrisierte Abfragen
Eingabevalidierung
keine SQL-Verkettung mit Benutzereingaben
Rechte der Datenbankbenutzer begrenzen
Fehlermeldungen nicht detailliert ausgeben
Code Reviews
Web Application Firewall als zusätzliche Schicht
Merksatz:
Parametrisierte Abfragen sind die wichtigste Maßnahme gegen SQL Injection.
Prepared Statements
Prepared Statements trennen SQL-Befehl und Werte.
Die Datenbank erkennt:
Das ist der SQL-Befehl.
Das sind nur Werte.
Dadurch wird verhindert,
dass Benutzereingaben als SQL-Code ausgeführt werden.
Merksatz:
Prepared Statements behandeln Eingaben als Daten,
nicht als Befehl.
Datenbankrechte begrenzen
Die Webanwendung sollte nicht mit einem Datenbankkonto arbeiten,
das mehr Rechte hat als nötig.
Beispiel:
Anwendung muss nur lesen und schreiben,
aber keine Tabellen löschen.
Dann sollte das Datenbankkonto auch keine DROP-Rechte haben.
Merksatz:
Weniger Datenbankrechte begrenzen Schaden bei Angriffen.
Cross-Site Scripting
Cross-Site Scripting wird abgekürzt:
XSS
Bei XSS wird schädlicher Code in eine Webseite eingeschleust,
der im Browser anderer Benutzer ausgeführt wird.
Meist geht es um JavaScript im Browser.
Merksatz:
XSS greift Benutzer über die Webseite und den Browser an.
XSS einfach erklärt
Eine Webseite zeigt Benutzereingaben wieder an.
Beispiel:
Kommentar
Profilname
Suchbegriff
Chatnachricht
Wenn die Eingabe nicht korrekt behandelt wird,
kann ein Angreifer Skriptcode einfügen.
Dieser Code läuft dann im Browser anderer Benutzer.
Merksatz:
XSS entsteht,
wenn Eingaben ungefiltert als aktive Webseite ausgegeben werden.
Folgen von XSS
Mögliche Folgen:
Session-Cookies stehlen
Benutzeraktionen auslösen
Webseiteninhalt manipulieren
Phishing innerhalb echter Webseite
Tokens auslesen
Benutzer umleiten
Schadcode nachladen
Formulardaten abgreifen
Merksatz:
XSS kann echte Webseiten für Angriffe gegen Benutzer missbrauchen.
Stored XSS
Stored XSS bedeutet:
Schadcode wird dauerhaft gespeichert.
Beispiel:
Kommentar mit Schadcode wird in Datenbank gespeichert.
Wenn andere Benutzer die Seite öffnen,
wird der Schadcode ausgeführt.
Merksatz:
Stored XSS bleibt gespeichert und trifft mehrere Benutzer.
Reflected XSS
Reflected XSS bedeutet:
Schadcode wird über eine Anfrage eingeschleust
und direkt in der Antwort zurückgegeben.
Beispiel:
manipulierter Link enthält Schadcode.
Benutzer klickt den Link,
die Webseite gibt den Inhalt zurück,
Browser führt ihn aus.
Merksatz:
Reflected XSS funktioniert oft über manipulierte Links.
DOM-based XSS
DOM-based XSS entsteht,
wenn JavaScript im Browser unsicher mit Daten arbeitet.
Dabei muss der Schadcode nicht unbedingt vom Server direkt eingefügt werden.
Problematisch sind zum Beispiel:
unsichere Verarbeitung von URL-Fragmenten
unsichere DOM-Manipulation
ungeprüftes innerHTML
unsichere Client-Skripte
Merksatz:
DOM-XSS entsteht im Browser durch unsicheren JavaScript-Code.
Schutz vor XSS
Wichtige Schutzmaßnahmen:
Ausgaben korrekt escapen
Eingaben validieren
Content Security Policy
HttpOnly Cookies
Secure Cookies
SameSite Cookies
sichere Frameworks nutzen
keine ungeprüften HTML-Ausgaben
Code Reviews
gefährliche Funktionen vermeiden
Merksatz:
Gegen XSS ist korrektes Escaping bei der Ausgabe besonders wichtig.
Escaping
Escaping bedeutet:
Sonderzeichen werden so umgewandelt,
dass sie nicht als Code ausgeführt werden.
Beispiel:
Ein kleiner-als-Zeichen wird nicht als HTML-Tag interpretiert,
sondern als sichtbares Zeichen ausgegeben.
Merksatz:
Escaping macht aus potenziellem Code normalen Text.
Content Security Policy
Content Security Policy wird abgekürzt:
CSP
Eine CSP ist eine Sicherheitsrichtlinie im Browser.
Sie kann festlegen:
welche Skripte erlaubt sind
von welchen Quellen Inhalte geladen werden dürfen
ob Inline-Skripte erlaubt sind
ob externe Ressourcen erlaubt sind
Merksatz:
CSP begrenzt,
welche Inhalte der Browser ausführen darf.
HttpOnly Cookie
Ein HttpOnly Cookie kann nicht direkt durch JavaScript gelesen werden.
Vorteil:
erschwert Cookie-Diebstahl bei XSS
Wichtig:
HttpOnly schützt nicht vor allen XSS-Folgen,
aber reduziert ein wichtiges Risiko.
Merksatz:
HttpOnly schützt Cookies vor direktem JavaScript-Zugriff.
Secure Cookie
Ein Secure Cookie wird nur über HTTPS übertragen.
Vorteil:
Cookie wird nicht über unverschlüsselte HTTP-Verbindungen gesendet.
Merksatz:
Secure Cookies gehören zu HTTPS-Webanwendungen.
SameSite Cookie
SameSite steuert,
ob Cookies bei seitenübergreifenden Anfragen mitgesendet werden.
Es hilft besonders gegen CSRF.
Mögliche Prinzipien:
streng
teilweise erlaubt
ohne Einschränkung
Merksatz:
SameSite begrenzt Cookie-Versand bei fremden Webseiten.
Cross-Site Request Forgery
Cross-Site Request Forgery wird abgekürzt:
CSRF
Bei CSRF wird ein angemeldeter Benutzer dazu gebracht,
unbewusst eine Aktion in einer Webanwendung auszulösen.
Beispiel:
Benutzer ist im Online-Portal angemeldet.
Benutzer besucht eine bösartige Webseite.
Diese Webseite löst im Hintergrund eine Anfrage an das Online-Portal aus.
Merksatz:
CSRF missbraucht eine bestehende Anmeldung für fremde Aktionen.
CSRF einfach erklärt
CSRF funktioniert,
weil der Browser bei Anfragen an eine Webseite oft automatisch Cookies mitsendet.
Wenn der Benutzer dort angemeldet ist,
kann die Anfrage als gültig erscheinen.
Mögliche Aktionen:
E-Mail-Adresse ändern
Passwortänderung starten
Bestellung auslösen
Einstellung ändern
Benutzer hinzufügen
Überweisung vorbereiten
Merksatz:
CSRF nutzt automatisch mitgesendete Sitzungsinformationen aus.
Schutz vor CSRF
Wichtige Schutzmaßnahmen:
CSRF-Token
SameSite Cookies
Prüfung von Origin oder Referer
erneute Bestätigung sensibler Aktionen
MFA oder Passwortabfrage bei kritischen Aktionen
keine zustandsändernden Aktionen per GET
saubere Sessionverwaltung
Merksatz:
CSRF-Token schützen,
weil fremde Seiten den gültigen Token nicht kennen.
CSRF-Token
Ein CSRF-Token ist ein zufälliger Wert,
der in Formularen oder Anfragen mitgesendet wird.
Die Anwendung prüft:
Stimmt der Token zur Sitzung?
Wenn nicht,
wird die Aktion abgelehnt.
Merksatz:
CSRF-Token beweist,
dass die Anfrage aus der echten Anwendung kommt.
SQL Injection, XSS und CSRF vergleichen
Angriff
Ziel
Kernproblem
SQL Injection
Datenbank
Eingabe wird Teil von SQL
XSS
Browser anderer Benutzer
Eingabe wird als Skript ausgeführt
CSRF
angemeldete Sitzung
fremde Seite löst Aktion aus
Merksatz:
SQL Injection trifft Datenbank.
XSS trifft Browser.
CSRF missbraucht Sitzung.
Directory Traversal
Directory Traversal bedeutet:
Ein Angreifer versucht,
über Pfadangaben auf Dateien außerhalb des erlaubten Bereichs zuzugreifen.
Beispielprinzip:
Statt erlaubter Datei wird versucht,
über Pfadbestandteile in übergeordnete Verzeichnisse zu gelangen.
Mögliche Ziele:
Konfigurationsdateien
Passwortdateien
Quellcode
Logdateien
Systemdateien
Merksatz:
Directory Traversal nutzt unsichere Dateipfade aus.
Schutz vor Directory Traversal
Maßnahmen:
Dateinamen validieren
erlaubte Dateien per ID statt Pfad auswählen
Pfade normalisieren und prüfen
Zugriff auf festes Verzeichnis begrenzen
keine direkten Benutzereingaben als Dateipfad nutzen
Rechte des Webserver-Prozesses begrenzen
Merksatz:
Benutzer sollten keine freien Systempfade bestimmen können.
File Upload Attack
Bei einem File Upload Attack lädt ein Angreifer eine gefährliche Datei hoch.
Beispiele:
ausführbares Skript
Webshell
Malware
manipuliertes Bild
Datei mit falscher Endung
übergroße Datei
Archivbombe
Mögliche Folgen:
Codeausführung
Malware-Verteilung
Speicherüberlastung
Angriff auf andere Benutzer
Datenabfluss
Merksatz:
Datei-Uploads sind gefährlich,
wenn Inhalt,
Typ
und Speicherort nicht geprüft werden.
Schutz bei Datei-Uploads
Maßnahmen:
erlaubte Dateitypen begrenzen
Dateigröße begrenzen
MIME-Type prüfen
Dateiendung prüfen
Inhalt prüfen
Malware-Scan
Dateien außerhalb des Webroots speichern
zufällige Dateinamen verwenden
Ausführrechte verhindern
Uploads getrennt verarbeiten
Merksatz:
Hochgeladene Dateien nie ungeprüft ausführbar speichern.
Webshell
Eine Webshell ist ein hochgeladenes oder eingeschleustes Skript,
mit dem Angreifer Befehle auf einem Server ausführen können.
Risiko:
vollständige Serverübernahme
Datenabfluss
weitere Angriffe
Backdoor
Merksatz:
Webshell = Fernsteuerung über Webskript.
Broken Authentication
Broken Authentication bedeutet:
Die Anmeldung oder Sitzungsverwaltung ist unsicher.
Beispiele:
schwache Passwortrichtlinien
kein MFA
Session läuft zu lange
Session-ID wird nicht erneuert
unsichere Passwortzurücksetzung
Tokens werden unsicher gespeichert
Brute Force nicht begrenzt
Merksatz:
Broken Authentication gefährdet Benutzerkonten und Sitzungen.
Schutz gegen Broken Authentication
Maßnahmen:
MFA
starke Passwortrichtlinien
Passwortmanager unterstützen
Rate Limiting
sichere Passwortzurücksetzung
Session-Rotation nach Login
kurze Sitzungslaufzeiten je nach Risiko
sichere Token-Speicherung
Login-Monitoring
Merksatz:
Anmeldung und Sitzungen müssen besonders geschützt werden.
Broken Access Control
Broken Access Control bedeutet:
Benutzer können auf Funktionen oder Daten zugreifen,
für die sie keine Berechtigung haben.
Beispiele:
Benutzer sieht fremde Rechnung
normaler Benutzer ruft Adminfunktion auf
URL-ID wird geändert und fremde Daten erscheinen
API gibt mehr Daten zurück als erlaubt
versteckte Schaltfläche reicht als Schutz
Merksatz:
Zugriffskontrolle muss serverseitig geprüft werden.
IDOR
IDOR steht für:
Insecure Direct Object Reference
Dabei kann ein Benutzer durch Änderung einer ID auf fremde Objekte zugreifen.
Beispiel:
/rechnung/1001
wird geändert zu:
/rechnung/1002
Wenn die Anwendung nicht prüft,
ob diese Rechnung zum Benutzer gehört,
liegt ein Fehler vor.
Merksatz:
IDOR ist fehlende Zugriffskontrolle bei direkten Objekt-IDs.
Schutz gegen Broken Access Control
Maßnahmen:
serverseitige Berechtigungsprüfung
Rollen- und Rechtekonzept
Zugriff pro Objekt prüfen
keine Sicherheit nur über versteckte Buttons
Standardmäßig Zugriff verweigern
Adminfunktionen getrennt schützen
API-Berechtigungen prüfen
Tests mit verschiedenen Benutzerrollen
Merksatz:
Jeder Zugriff muss auf dem Server autorisiert werden.
Unsichere API
APIs sind Schnittstellen zwischen Anwendungen.
Risiken:
fehlende Authentifizierung
fehlende Autorisierung
zu viele Daten in Antwort
keine Rate Limits
unsichere Tokens
unsichere CORS-Konfiguration
fehlende Eingabeprüfung
detaillierte Fehlermeldungen
Merksatz:
APIs brauchen dieselben Sicherheitsprüfungen wie Weboberflächen.
CORS
CORS steht für:
Cross-Origin Resource Sharing
CORS steuert,
welche fremden Webseiten im Browser auf eine API zugreifen dürfen.
Unsichere CORS-Konfigurationen können gefährlich sein,
wenn zu viele Ursprünge erlaubt werden.
Merksatz:
CORS regelt Browserzugriffe zwischen verschiedenen Ursprüngen.
Rate Limiting bei APIs
APIs sollten Anfragen begrenzen.
Schutz gegen:
Brute Force
Scraping
DDoS auf Anwendungsebene
Missbrauch von API-Schlüsseln
unbeabsichtigte Überlastung
Merksatz:
APIs brauchen Rate Limits gegen Missbrauch und Überlastung.
Unsichere Fehlerausgaben
Fehlermeldungen können Angreifern helfen.
Problematische Informationen:
Datenbankfehler
Pfade
Stacktraces
Versionsnummern
interne IP-Adressen
verwendete Frameworks
SQL-Abfragen
geheime Konfigurationen
Merksatz:
Fehlermeldungen für Benutzer knapp,
Details nur intern loggen.
Security Headers
Security Headers sind HTTP-Header,
die Browser-Sicherheitsfunktionen steuern.
Beispiele:
Content-Security-Policy
Strict-Transport-Security
X-Content-Type-Options
Referrer-Policy
X-Frame-Options oder frame-ancestors
Merksatz:
Security Headers härten Webanwendungen im Browser.
HSTS
HSTS steht für:
HTTP Strict Transport Security
HSTS weist Browser an,
eine Webseite nur per HTTPS aufzurufen.
Vorteil:
Schutz vor Downgrade auf HTTP
Merksatz:
HSTS erzwingt HTTPS im Browser.
Clickjacking
Clickjacking bedeutet:
Benutzer werden dazu gebracht,
auf etwas zu klicken,
ohne zu erkennen,
was sie tatsächlich anklicken.
Oft wird eine echte Webseite unsichtbar oder überlagert eingebettet.
Schutz:
X-Frame-Options
Content-Security-Policy frame-ancestors
Merksatz:
Clickjacking täuscht Benutzer bei Klickaktionen.
Unsichere Konfiguration
Unsichere Webkonfigurationen sind häufig.
Beispiele:
Standardpasswörter
Debug-Modus aktiv
Verzeichnislisting aktiv
unnötige Dienste
alte TLS-Versionen
unsichere Cipher Suites
fehlende Security Headers
Adminoberfläche öffentlich erreichbar
Testdaten in Produktion
Beispielseiten aktiv
Merksatz:
Sichere Webanwendungen brauchen sichere Konfiguration.
Verzeichnislisting
Verzeichnislisting bedeutet:
Webserver zeigt den Inhalt eines Ordners an,
wenn keine Startdatei vorhanden ist.
Risiko:
Dateien werden sichtbar,
die nicht sichtbar sein sollten.
Beispiele:
Backups
alte Versionen
Konfigurationsdateien
Uploads
Skripte
Merksatz:
Verzeichnislisting auf Webservern deaktivieren.
Web Application Firewall
Web Application Firewall wird abgekürzt:
WAF
Eine WAF filtert HTTP- und HTTPS-Anfragen.
Sie kann helfen gegen:
SQL Injection
XSS
bekannte Angriffsmuster
bösartige Bots
verdächtige Parameter
bestimmte Protokollverstöße
Wichtig:
Eine WAF ersetzt keine sichere Programmierung.
Merksatz:
WAF ist zusätzliche Schutzschicht,
kein Ersatz für sicheren Code.
Secure Coding
Secure Coding bedeutet:
Software wird von Anfang an sicher entwickelt.
Dazu gehören:
Eingabevalidierung
Ausgabe-Escaping
parametrisierte Datenbankabfragen
sichere Authentifizierung
Zugriffskontrolle
sichere Fehlerbehandlung
sichere Sessionverwaltung
sichere Dateiverarbeitung
Code Reviews
Sicherheitstests
Merksatz:
Sicherheit muss in der Entwicklung mitgedacht werden.
Code Review
Code Review bedeutet:
Quellcode wird von anderen Personen geprüft.
Ziele:
Fehler finden
Sicherheitsprobleme erkennen
Qualität verbessern
Wissen teilen
Standards einhalten
Merksatz:
Code Reviews helfen,
Sicherheitsfehler früh zu finden.
Penetrationstest
Ein Penetrationstest ist eine geplante Sicherheitsprüfung,
bei der Systeme kontrolliert auf Schwachstellen getestet werden.
Wichtig:
klarer Auftrag
definierter Umfang
erlaubter Zeitraum
Dokumentation
keine unkontrollierte Beschädigung
Bericht mit Maßnahmen
Merksatz:
Penetrationstest ist kontrollierte Angriffssimulation.
Schwachstellenscan
Ein Schwachstellenscan sucht automatisiert nach bekannten Schwachstellen.
Er prüft zum Beispiel:
veraltete Software
offene Ports
bekannte CVEs
unsichere Dienste
fehlende Patches
schwache TLS-Konfiguration
Merksatz:
Schwachstellenscan findet bekannte Probleme,
ersetzt aber keinen vollständigen Penetrationstest.
OWASP
OWASP steht für:
Open Worldwide Application Security Project
OWASP ist bekannt für Sicherheitswissen zu Webanwendungen,
zum Beispiel Listen häufiger Webrisiken.
Für Prüfungen ist wichtig:
Webanwendungen brauchen systematische Sicherheitsmaßnahmen.
Merksatz:
OWASP steht für praxisnahes Webanwendungs-Sicherheitswissen.
Typische Webschutzmaßnahmen
Wichtige Maßnahmen:
Eingaben validieren
Ausgaben escapen
Prepared Statements
CSRF-Token
sichere Cookies
Security Headers
HTTPS
HSTS
MFA
Rate Limiting
Rollen- und Rechteprüfung
sichere Datei-Uploads
sichere Fehlerbehandlung
Logging
Monitoring
Code Reviews
WAF
Patchmanagement
Merksatz:
Websicherheit braucht sichere Entwicklung,
sichere Konfiguration
und Überwachung.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist SQL Injection?
- Wie schützt man sich vor SQL Injection?
- Was sind Prepared Statements?
- Was ist Cross-Site Scripting?
- Was ist der Unterschied zwischen Stored XSS und Reflected XSS?
- Wie schützt man sich vor XSS?
- Was ist Cross-Site Request Forgery?
- Wie schützen CSRF-Token?
- Was ist Directory Traversal?
- Warum sind Datei-Uploads gefährlich?
- Was ist eine Webshell?
- Was bedeutet Broken Authentication?
- Was bedeutet Broken Access Control?
- Was ist IDOR?
- Warum muss Zugriff serverseitig geprüft werden?
- Was ist CORS?
- Warum brauchen APIs Rate Limiting?
- Was ist HSTS?
- Was ist Clickjacking?
- Was ist eine WAF?
- Warum ersetzt eine WAF keine sichere Programmierung?
Typische Prüfungsfallen
Frontend-Validierung ist keine Sicherheitsgrenze.
Sicherheitsprüfung gehört ins Backend.
SQL Injection betrifft Datenbankabfragen.
Prepared Statements schützen gegen SQL Injection.
XSS betrifft Browser anderer Benutzer.
XSS-Schutz braucht korrektes Escaping.
Stored XSS wird gespeichert.
Reflected XSS kommt über Anfrage zurück.
DOM-XSS entsteht im Browser.
CSRF missbraucht bestehende Anmeldung.
CSRF ist nicht dasselbe wie XSS.
SameSite Cookies helfen gegen CSRF.
Directory Traversal nutzt Dateipfade aus.
Datei-Uploads nie ungeprüft ausführbar speichern.
Webshell kann Server fernsteuerbar machen.
Broken Authentication betrifft Anmeldung und Sitzung.
Broken Access Control betrifft Berechtigungen.
Versteckte Buttons sind keine Zugriffskontrolle.
IDOR entsteht durch fehlende Objektprüfung.
APIs brauchen Authentifizierung,
Autorisierung
und Rate Limits.
Fehlerdetails nicht öffentlich anzeigen.
HSTS erzwingt HTTPS.
WAF ersetzt keinen sicheren Code.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Webangriff
Angriff auf Webanwendung oder API
Eingabevalidierung
Prüfung von Benutzereingaben
Frontend
Browser- oder Client-Seite
Backend
Server-Seite
SQL Injection
Einschleusen von SQL-Code
Prepared Statement
getrennte SQL-Abfrage mit Parametern
XSS
Cross-Site Scripting
Stored XSS
dauerhaft gespeichertes XSS
Reflected XSS
XSS über zurückgespiegelte Anfrage
DOM-XSS
XSS durch Browser-DOM-Verarbeitung
Escaping
Umwandeln von Sonderzeichen
CSP
Content Security Policy
HttpOnly
Cookie nicht per JavaScript lesbar
Secure Cookie
Cookie nur über HTTPS
SameSite
Cookie-Regel für fremde Seiten
CSRF
Cross-Site Request Forgery
CSRF-Token
Schutzwert gegen CSRF
Directory Traversal
Zugriff über manipulierte Pfade
File Upload Attack
Angriff über hochgeladene Datei
Webshell
Webskript zur Fernsteuerung
Broken Authentication
unsichere Anmeldung oder Sitzung
Broken Access Control
fehlerhafte Zugriffskontrolle
IDOR
Zugriff über unsichere Objekt-ID
API
Programmierschnittstelle
CORS
Cross-Origin Resource Sharing
Rate Limiting
Begrenzung von Anfragen
Security Headers
HTTP-Sicherheitsheader
HSTS
HTTPS-Erzwingung
Clickjacking
Täuschung bei Klickaktionen
WAF
Web Application Firewall
Secure Coding
sichere Softwareentwicklung
Code Review
Prüfung von Quellcode
Penetrationstest
kontrollierte Angriffssimulation
Schwachstellenscan
automatisierte Suche bekannter Schwachstellen
OWASP
Organisation für Webanwendungssicherheit
IHK-sichere Kurzformulierung
Webangriffe richten sich gegen Webanwendungen, APIs, Sitzungen, Eingaben und Datenbanken. SQL Injection entsteht, wenn Benutzereingaben unsicher in Datenbankabfragen eingebaut werden; Schutz bieten Prepared Statements und parametrisierte Abfragen. Cross-Site Scripting schleust Skriptcode in Webseiten ein, der im Browser anderer Benutzer ausgeführt wird; Schutz bieten korrektes Escaping, sichere Frameworks, Content Security Policy und sichere Cookies. Cross-Site Request Forgery missbraucht eine bestehende Anmeldung, um ungewollte Aktionen auszulösen; Schutz bieten CSRF-Token und SameSite Cookies. Weitere Risiken sind unsichere Datei-Uploads, Directory Traversal, Broken Authentication, Broken Access Control, unsichere APIs und unsichere Konfiguration. Eine WAF kann unterstützen, ersetzt aber keine sichere Programmierung.
Merksätze
Webanwendungen sind häufig öffentlich erreichbar.
Benutzereingaben niemals blind vertrauen.
Frontend-Prüfung ist keine Sicherheitsgrenze.
Sicherheitsprüfung gehört ins Backend.
SQL Injection macht Eingabe zu SQL-Befehl.
Prepared Statements trennen Befehl und Wert.
Datenbankrechte begrenzen.
XSS führt Skript im Browser aus.
Stored XSS wird gespeichert.
Reflected XSS kommt über Anfrage zurück.
DOM-XSS entsteht im Browser.
Escaping macht Code zu Text.
CSP begrenzt ausführbare Inhalte.
HttpOnly schützt Cookies vor JavaScript-Zugriff.
Secure Cookie nur über HTTPS.
SameSite hilft gegen CSRF.
CSRF missbraucht bestehende Anmeldung.
CSRF-Token schützt vor fremden Aktionen.
SQL Injection,
XSS
und CSRF nicht verwechseln.
Directory Traversal nutzt Pfade aus.
Datei-Uploads streng prüfen.
Webshell bedeutet Fernsteuerungsrisiko.
Broken Authentication betrifft Anmeldung.
Broken Access Control betrifft Rechte.
IDOR ist fehlende Objektberechtigung.
APIs brauchen dieselbe Sicherheit wie Weboberflächen.
CORS nicht zu breit erlauben.
Rate Limiting schützt APIs.
Fehlerdetails nicht öffentlich anzeigen.
Security Headers härten Browser-Schutz.
HSTS erzwingt HTTPS.
Clickjacking täuscht Klicks.
WAF ist Zusatzschutz.
WAF ersetzt keinen sicheren Code.
Secure Coding früh einplanen.
Code Reviews finden Fehler früh.
Schwachstellenscan findet bekannte Probleme.
Penetrationstest prüft kontrolliert tiefer.
16.6 Schwachstellen, Patchmanagement und Hardening
Schwachstellen sind Sicherheitslücken,
die von Angreifern ausgenutzt werden können.
Sie können entstehen durch:
- Programmierfehler
- veraltete Software
- unsichere Standardkonfiguration
- schwache Passwörter
- fehlende Zugriffskontrolle
- offene Ports
- unnötige Dienste
- falsche Berechtigungen
- unsichere Protokolle
- fehlende Updates
- menschliche Fehler
Merksatz:
Eine Schwachstelle ist eine ausnutzbare Sicherheitslücke.
Warum Schwachstellen gefährlich sind
Schwachstellen können dazu führen,
dass Angreifer:
Systeme übernehmen
Daten auslesen
Daten verändern
Dienste stören
Malware einschleusen
Rechte ausweiten
interne Systeme erreichen
Sicherheitsfunktionen umgehen
Merksatz:
Schwachstellen sind oft der Einstiegspunkt für Angriffe.
Schwachstelle, Bedrohung und Risiko unterscheiden
Begriff
Bedeutung
Beispiel
Schwachstelle
ausnutzbare Lücke
ungepatchter Server
Bedrohung
mögliches schädliches Ereignis
Angreifer nutzt Lücke aus
Risiko
Wahrscheinlichkeit und Auswirkung
Serverübernahme mit Datenabfluss
Merksatz:
Schwachstelle ist die Lücke.
Bedrohung ist das mögliche Ereignis.
Risiko ist die bewertete Gefahr.
Beispiele für technische Schwachstellen
Typische technische Schwachstellen:
veraltetes Betriebssystem
ungepatchter Webserver
veraltete VPN-Appliance
unsichere TLS-Version
Standardpasswort
offener RDP-Port
öffentlich erreichbare Datenbank
unsichere API
fehlende Eingabeprüfung
fehlerhafte Zugriffskontrolle
veraltete Bibliothek
unsicheres Container-Image
Merksatz:
Technische Schwachstellen entstehen oft durch alte Versionen oder falsche Konfiguration.
Beispiele für organisatorische Schwachstellen
Organisatorische Schwachstellen sind zum Beispiel:
keine Zuständigkeiten
keine regelmäßigen Updates
keine Rechteprüfung
kein Backup-Konzept
keine Restore-Tests
keine Sicherheitsrichtlinie
kein Offboarding-Prozess
keine Dokumentation
keine Notfallplanung
keine Schulung
Merksatz:
Organisation kann genauso Schwachstelle sein wie Technik.
Beispiele für menschliche Schwachstellen
Menschliche Schwachstellen entstehen durch:
fehlendes Sicherheitsbewusstsein
Passwort-Wiederverwendung
unkritisches Öffnen von Anhängen
Bestätigen unbekannter MFA-Anfragen
Weitergabe von Zugangsdaten
Umgehen von Prozessen
fehlende Schulung
Zeitdruck
Gewohnheit
Merksatz:
Menschen brauchen klare Prozesse und Schulung,
nicht nur technische Regeln.
CVE
CVE steht für:
Common Vulnerabilities and Exposures
CVE ist eine standardisierte Kennung für bekannte Schwachstellen.
Beispielprinzip:
CVE-Jahr-Nummer
Eine CVE beschreibt eine bekannte Schwachstelle,
damit Hersteller,
Administratoren
und Sicherheitswerkzeuge eindeutig darüber sprechen können.
Merksatz:
CVE ist eine eindeutige Kennung für bekannte Schwachstellen.
CVSS
CVSS steht für:
Common Vulnerability Scoring System
CVSS bewertet,
wie kritisch eine Schwachstelle ist.
Der Wert liegt üblicherweise zwischen:
0,0
und
10,0
Je höher der Wert,
desto kritischer ist die Schwachstelle.
Merksatz:
CVSS bewertet die Kritikalität einer Schwachstelle.
CVSS richtig einordnen
Ein hoher CVSS-Wert bedeutet:
Schwachstelle ist technisch kritisch.
Aber für die Praxis muss zusätzlich geprüft werden:
Ist das System betroffen?
Ist der Dienst erreichbar?
Gibt es bereits Ausnutzung?
Gibt es Schutzmaßnahmen?
Sind sensible Daten betroffen?
Ist das System geschäftskritisch?
Gibt es einen Patch?
Gibt es einen Workaround?
Merksatz:
CVSS hilft bei Priorisierung,
ersetzt aber keine Risikoanalyse.
Exploit
Ein Exploit ist eine Methode oder ein Code,
mit dem eine Schwachstelle ausgenutzt wird.
Beispiele:
Exploit für veralteten Webserver
Exploit für ungepatchte VPN-Appliance
Exploit für fehlerhafte Bibliothek
Exploit für unsichere Eingabeprüfung
Merksatz:
Exploit = Ausnutzung einer Schwachstelle.
Zero-Day-Schwachstelle
Eine Zero-Day-Schwachstelle ist eine Schwachstelle,
für die noch kein Patch verfügbar ist
oder die dem Hersteller noch nicht bekannt ist.
Ein Zero-Day-Angriff nutzt diese Schwachstelle aus.
Schutz ist schwieriger,
aber möglich durch:
Defense in Depth
Least Privilege
Netzwerksegmentierung
EDR
WAF
Monitoring
Härtung
schnelle Reaktion
Merksatz:
Zero-Day bedeutet:
Angriff vor verfügbarem regulärem Patch.
Patch
Ein Patch ist eine Korrektur oder Aktualisierung.
Ein Patch kann beheben:
Sicherheitslücke
Programmfehler
Stabilitätsproblem
Kompatibilitätsproblem
Merksatz:
Patch = Korrektur oder Sicherheitsupdate.
Update und Upgrade unterscheiden
Update:
kleinere Aktualisierung
Fehlerbehebung
Sicherheitskorrektur
Versionspflege
Upgrade:
größere Versionsänderung
neue Hauptversion
neue Funktionen
größere technische Änderung
Merksatz:
Update ist meist kleiner.
Upgrade ist meist größer.
Patchmanagement
Patchmanagement bedeutet:
Updates werden geplant,
geprüft,
verteilt
und kontrolliert.
Patchmanagement betrifft:
Betriebssysteme
Anwendungen
Browser
Serverdienste
Datenbanken
Firewalls
Router
Switches
VPN-Gateways
Firmware
Container-Images
Bibliotheken
Cloud-Systeme
Merksatz:
Patchmanagement ist die organisierte Verwaltung von Sicherheitsupdates.
Warum Patchmanagement wichtig ist
Viele erfolgreiche Angriffe nutzen bekannte Schwachstellen,
für die bereits Updates existieren.
Ohne Patchmanagement bleiben Systeme unnötig angreifbar.
Typische Folgen:
Malware-Infektion
Ransomware
Datenabfluss
Systemübernahme
Ausfall
laterale Bewegung im Netzwerk
Merksatz:
Ungepatchte Systeme sind leichte Ziele.
Patchmanagement-Ablauf
Ein sinnvoller Ablauf:
1. Systeme inventarisieren.
2. Schwachstelleninformationen prüfen.
3. Betroffenheit bewerten.
4. Kritikalität priorisieren.
5. Patch testen.
6. Wartungsfenster planen.
7. Patch ausrollen.
8. Funktion prüfen.
9. Erfolg dokumentieren.
10. Rest-Risiken bewerten.
Merksatz:
Patchmanagement braucht Überblick,
Priorisierung,
Test
und Dokumentation.
Inventarisierung
Inventarisierung bedeutet:
Es wird erfasst,
welche Systeme,
Software,
Versionen
und Komponenten vorhanden sind.
Ohne Inventar ist unklar:
Welche Systeme sind betroffen?
Welche Version läuft?
Wer ist verantwortlich?
Wo muss gepatcht werden?
Welche Systeme sind kritisch?
Merksatz:
Was nicht bekannt ist,
kann nicht zuverlässig gepatcht werden.
Asset
Ein Asset ist ein Wert oder eine Ressource,
die geschützt werden muss.
Beispiele:
Server
Notebook
Anwendung
Datenbank
Firewall
Switch
Cloud-Ressource
Benutzerkonto
Datenbestand
Zertifikat
API-Schlüssel
Merksatz:
Asset = schützenswerte Ressource.
Asset Management
Asset Management bedeutet:
IT-Ressourcen werden erfasst,
verwaltet
bewertet
und über ihren Lebenszyklus verfolgt.
Wichtig für:
Patchmanagement
Lizenzmanagement
Sicherheitsbewertung
Kostenkontrolle
Verantwortlichkeiten
Notfallplanung
Merksatz:
Asset Management ist Grundlage für geordneten IT-Betrieb.
Priorisierung von Patches
Nicht alle Patches können immer gleichzeitig installiert werden.
Priorisierung nach:
Kritikalität der Schwachstelle
Ausnutzbarkeit
betroffene Systeme
öffentliche Erreichbarkeit
Geschäftskritikalität
vorhandene Schutzmaßnahmen
bekannte Angriffe
Datenklassifizierung
Aufwand und Risiko des Updates
Merksatz:
Kritische,
ausnutzbare
und öffentlich erreichbare Systeme zuerst patchen.
Notfallpatch
Ein Notfallpatch wird schnell eingespielt,
wenn eine Schwachstelle besonders kritisch ist.
Beispiele:
aktive Ausnutzung bekannt
öffentlich erreichbarer Dienst betroffen
Ransomware nutzt Lücke aus
keine ausreichende Schutzmaßnahme vorhanden
Merksatz:
Kritische Schwachstellen können außerplanmäßige Updates erfordern.
Wartungsfenster
Ein Wartungsfenster ist ein geplanter Zeitraum,
in dem Änderungen durchgeführt werden.
Ziele:
Benutzer informieren
Ausfallzeit planen
Risiken reduzieren
Rollback vorbereiten
Verantwortliche erreichbar halten
Merksatz:
Wartungsfenster machen Änderungen planbar.
Rollback
Rollback bedeutet:
Eine Änderung wird zurückgenommen.
Beispiele:
Patch deinstallieren
Snapshot zurückspielen
Konfiguration wiederherstellen
alte Version aktivieren
Backup wiederherstellen
Wichtig:
Rollback muss vor der Änderung geplant sein.
Merksatz:
Jede kritische Änderung braucht einen Rückweg.
Patch testen
Patches sollten geprüft werden,
besonders bei kritischen Systemen.
Zu prüfen:
startet das System?
läuft die Anwendung?
funktionieren Dienste?
gibt es Kompatibilitätsprobleme?
funktionieren Schnittstellen?
sind Performance-Probleme entstanden?
funktioniert Backup weiterhin?
Merksatz:
Patchen ohne Test kann neue Störungen erzeugen.
Patch-Erfolg prüfen
Nach dem Patchen muss geprüft werden:
Version aktualisiert?
Schwachstelle geschlossen?
Dienste laufen?
Logs unauffällig?
Monitoring grün?
Benutzer können arbeiten?
Schwachstellenscan bestätigt Erfolg?
Merksatz:
Patch abgeschlossen heißt:
Wirkung und Betrieb geprüft.
Patchmanagement und Dokumentation
Dokumentiert werden sollten:
betroffene Systeme
alte Version
neue Version
Zeitpunkt
Verantwortlicher
Grund
Testergebnis
Rollback-Plan
bekannte Probleme
offene Rest-Risiken
Merksatz:
Dokumentation macht Änderungen nachvollziehbar.
Firmware-Updates
Firmware ist Software,
die direkt auf Geräten läuft.
Betroffene Geräte:
Router
Switches
Firewalls
Access Points
Drucker
NAS
Serverhardware
SSDs
IoT-Geräte
Firmware-Updates sind wichtig,
weil Netzwerkgeräte oft dauerhaft erreichbar und sicherheitskritisch sind.
Merksatz:
Auch Netzwerkgeräte und Firmware müssen gepatcht werden.
Patchmanagement bei Netzwerkgeräten
Bei Netzwerkgeräten besonders beachten:
Konfiguration sichern
Firmware-Kompatibilität prüfen
Wartungsfenster planen
Redundanz prüfen
Zugriff nach Update testen
Rollback-Möglichkeit prüfen
Monitoring beobachten
Merksatz:
Netzwerkgeräte-Updates brauchen besondere Vorsicht,
weil sie Verbindungen beeinflussen.
Patchmanagement bei Servern
Bei Servern beachten:
Dienste prüfen
Abhängigkeiten prüfen
Backups erstellen
Wartungsfenster planen
Neustarts berücksichtigen
Anwendungskompatibilität prüfen
Monitoring nach Update prüfen
Merksatz:
Serverpatches betreffen oft mehrere Dienste gleichzeitig.
Patchmanagement bei Clients
Bei Clients beachten:
Betriebssystemupdates
Browserupdates
Office-Updates
PDF-Reader
E-Mail-Client
VPN-Client
Sicherheitssoftware
Treiber
lokale Anwendungen
Merksatz:
Clients sind häufige Einstiegspunkte und müssen aktuell bleiben.
Patchmanagement bei Cloud
Cloud-Patchverantwortung hängt vom Service-Modell ab.
IaaS:
Kunde patcht Betriebssystem,
Anwendungen
und eigene Dienste.
PaaS:
Anbieter patcht Plattform,
Kunde patcht Anwendung,
Code
und Abhängigkeiten.
SaaS:
Anbieter patcht Anwendung,
Kunde prüft Einstellungen,
Benutzer,
Rechte
und Sicherheit.
Merksatz:
Cloud nimmt nicht jede Patchverantwortung ab.
Patchmanagement bei Containern
Container müssen ebenfalls gepflegt werden.
Zu prüfen:
Basisimage
Bibliotheken
Laufzeitumgebung
Anwendungscode
Paketabhängigkeiten
Secrets im Image
unsichere Konfiguration
Container-Registry
Maßnahmen:
Images regelmäßig neu bauen
Images scannen
minimale Images nutzen
veraltete Images ersetzen
keine unnötigen Pakete installieren
Merksatz:
Container-Images altern und müssen aktualisiert werden.
Dependency Management
Dependency Management bedeutet:
Abhängigkeiten einer Software werden verwaltet.
Beispiele:
Bibliotheken
Frameworks
Pakete
Module
Container-Basisimages
Plugins
Risiko:
Eine verwundbare Bibliothek kann die ganze Anwendung gefährden.
Merksatz:
Auch Abhängigkeiten sind Teil der Sicherheit.
SBOM
SBOM steht für:
Software Bill of Materials
Eine SBOM listet Softwarebestandteile einer Anwendung auf.
Beispiele:
Bibliotheken
Versionen
Komponenten
Abhängigkeiten
Nutzen:
schneller erkennen,
ob eine bekannte Schwachstelle betroffen ist.
Merksatz:
SBOM ist eine Stückliste für Softwarebestandteile.
Schwachstellenscan
Ein Schwachstellenscan sucht automatisch nach bekannten Schwachstellen.
Er prüft zum Beispiel:
offene Ports
Dienstversionen
bekannte CVEs
fehlende Patches
unsichere TLS-Konfiguration
Standarddienste
schwache Konfigurationen
verwundbare Bibliotheken
Merksatz:
Schwachstellenscan findet bekannte technische Probleme.
Grenzen von Schwachstellenscans
Ein Schwachstellenscan erkennt nicht alles.
Grenzen:
unbekannte Schwachstellen
Logikfehler in Anwendungen
komplexe Rechtefehler
falsch bewertete Ergebnisse
fehlende Zugangsdaten beim Scan
Fehlalarme
nicht erreichbare Systeme
Merksatz:
Schwachstellenscan unterstützt,
ersetzt aber keine Sicherheitsanalyse.
False Positive und False Negative
False Positive:
Ein Problem wird gemeldet,
obwohl es nicht wirklich besteht.
False Negative:
Ein Problem wird nicht gemeldet,
obwohl es besteht.
Merksatz:
Scan-Ergebnisse müssen bewertet werden.
Penetrationstest
Ein Penetrationstest ist eine kontrollierte Sicherheitsprüfung,
bei der Angriffe simuliert werden.
Ziel:
Schwachstellen realistisch prüfen
Angriffspfade erkennen
Auswirkungen bewerten
Maßnahmen ableiten
Wichtig:
schriftlicher Auftrag
definierter Umfang
erlaubter Zeitraum
klare Regeln
Abschlussbericht
Merksatz:
Penetrationstest ist kontrollierte Angriffssimulation.
Schwachstellenscan und Penetrationstest vergleichen
Merkmal
Schwachstellenscan
Penetrationstest
Art
automatisiert
manuell und automatisiert
Ziel
bekannte Schwachstellen finden
Angriffswege bewerten
Tiefe
eher breit
tiefer und kontextbezogener
Ergebnis
Liste möglicher Schwachstellen
bewerteter Sicherheitsbericht
Grenze
Fehlalarme möglich
zeitlich und fachlich begrenzt
Merksatz:
Scan findet Hinweise.
Penetrationstest bewertet Angriffsrealität.
Hardening
Hardening bedeutet:
Systeme werden sicherer konfiguriert,
indem unnötige Funktionen entfernt
und sichere Einstellungen gesetzt werden.
Ziel:
Angriffsfläche reduzieren
Merksatz:
Hardening reduziert unnötige Angriffsmöglichkeiten.
Warum Hardening wichtig ist
Viele Systeme werden mit Standardfunktionen ausgeliefert,
die nicht immer benötigt werden.
Beispiele:
Standardkonten
Beispieldateien
Testseiten
offene Dienste
unnötige Module
alte Protokolle
unsichere Standardwerte
Verzeichnislisting
Merksatz:
Standardkonfiguration ist nicht automatisch sicher.
Hardening-Grundregeln
Wichtige Grundregeln:
unnötige Dienste deaktivieren
offene Ports reduzieren
Standardpasswörter ändern
Standardkonten deaktivieren
sichere Protokolle nutzen
alte Protokolle abschalten
Rechte minimieren
Logging aktivieren
sichere Konfiguration dokumentieren
Zugriff beschränken
Updates einspielen
Merksatz:
Nur aktivieren,
was wirklich benötigt wird.
Betriebssystem-Hardening
Maßnahmen:
unnötige Dienste deaktivieren
lokale Firewall aktivieren
Benutzerrechte begrenzen
sichere Passwortrichtlinien
automatische Updates planen
Protokollierung aktivieren
unsichere Freigaben entfernen
Adminzugriffe begrenzen
Standardkonten prüfen
Systemdateien schützen
Merksatz:
Betriebssysteme brauchen sichere Grundkonfiguration.
Server-Hardening
Maßnahmen:
nur benötigte Rollen installieren
Dienste auf notwendige Ports begrenzen
Adminzugänge beschränken
TLS korrekt konfigurieren
Sicherheitsheader setzen
Fehlerausgaben reduzieren
Logs aktivieren
Dateirechte prüfen
Backup-Zugriff schützen
Monitoring einrichten
Merksatz:
Server sollen nur notwendige Dienste bereitstellen.
Webserver-Hardening
Maßnahmen:
Verzeichnislisting deaktivieren
unnötige Module entfernen
alte TLS-Versionen deaktivieren
Security Headers setzen
Fehlermeldungen begrenzen
Standardseiten entfernen
Upload-Verzeichnisse absichern
Dateirechte begrenzen
Adminoberflächen schützen
Logs aktivieren
Merksatz:
Webserver nicht mit unsicheren Standardfunktionen betreiben.
Datenbank-Hardening
Maßnahmen:
nicht öffentlich erreichbar machen
starke Authentifizierung
Datenbankbenutzerrechte begrenzen
Standardkonten deaktivieren
Verschlüsselung prüfen
Backups schützen
Logging aktivieren
Netzwerkzugriff einschränken
Sicherheitsupdates einspielen
keine Testdaten in Produktion
Merksatz:
Datenbanken gehören besonders geschützt.
Netzwerkgeräte-Hardening
Maßnahmen:
Standardpasswörter ändern
Managementzugang beschränken
unsichere Protokolle deaktivieren
SSH statt Telnet
HTTPS statt HTTP
SNMP sicher konfigurieren
Firmware aktuell halten
ungenutzte Ports deaktivieren
Konfiguration sichern
Logging an zentralen Server senden
Merksatz:
Netzwerkgeräte sind sicherheitskritische Infrastruktur.
Client-Hardening
Maßnahmen:
keine lokalen Adminrechte
automatische Updates
EDR oder Antivirus
Makros einschränken
Application Control
Festplattenverschlüsselung
Bildschirmsperre
sichere Browserkonfiguration
USB-Regeln
Firewall aktivieren
Merksatz:
Clients sind häufige Einstiegspunkte und müssen gehärtet werden.
Cloud-Hardening
Maßnahmen:
MFA erzwingen
IAM minimal berechtigen
öffentliche IPs begrenzen
Security Groups eng setzen
Storage nicht öffentlich freigeben
Audit-Logs aktivieren
Verschlüsselung aktivieren
Schlüsselverwaltung klären
Kostenalarme setzen
ungenutzte Ressourcen löschen
Standardrollen prüfen
Merksatz:
Cloud-Hardening bedeutet sichere Konfiguration von Identitäten,
Netzwerken,
Daten
und Diensten.
Container-Hardening
Maßnahmen:
minimale Images verwenden
keine Root-Ausführung,
wenn nicht nötig
keine Secrets im Image
Images scannen
nur vertrauenswürdige Registries
Schreibrechte begrenzen
Netzwerkzugriffe begrenzen
Ressourcenlimits setzen
unnötige Tools entfernen
Images regelmäßig neu bauen
Merksatz:
Container sollten klein,
aktuell
und rechtearm sein.
Konfigurationsbaseline
Eine Baseline ist eine festgelegte Standardkonfiguration.
Sie beschreibt,
wie ein System sicher eingerichtet sein soll.
Beispiele:
erlaubte Dienste
Passwortregeln
Logging-Einstellungen
Firewall-Grundregeln
Update-Einstellungen
TLS-Vorgaben
Rechtevorgaben
Merksatz:
Baseline = definierter sicherer Grundzustand.
Configuration Drift
Configuration Drift bedeutet:
Die tatsächliche Konfiguration weicht von der geplanten Baseline ab.
Ursachen:
manuelle Änderungen
Notfalländerungen
fehlende Dokumentation
unterschiedliche Installationen
ungeprüfte Anpassungen
Merksatz:
Configuration Drift macht Systeme uneinheitlich und schwerer sicher zu betreiben.
Compliance-Scan
Ein Compliance-Scan prüft,
ob Systeme bestimmte Vorgaben erfüllen.
Beispiele:
Passwortregeln aktiv?
Logging aktiv?
Firewall aktiv?
Verschlüsselung aktiv?
unsichere Dienste deaktiviert?
Standardkonten deaktiviert?
Patchstand korrekt?
Merksatz:
Compliance-Scan prüft Einhaltung definierter Sicherheitsvorgaben.
Change Management bei Sicherheit
Sicherheitsänderungen sollten geplant und dokumentiert werden.
Beispiele:
Firewall-Regel ändern
Adminrolle vergeben
Dienst öffnen
Patch einspielen
Zertifikat erneuern
TLS-Version ändern
neue VPN-Gruppe erstellen
Merksatz:
Auch Sicherheitsänderungen brauchen Kontrolle.
Vier-Augen-Prinzip
Vier-Augen-Prinzip bedeutet:
kritische Aktionen werden von mindestens zwei Personen geprüft oder freigegeben.
Beispiele:
Adminrechte vergeben
Firewall nach außen öffnen
Backup löschen
Produktivsystem ändern
Zahlungsdaten ändern
kritische Sicherheitseinstellung deaktivieren
Merksatz:
Vier-Augen-Prinzip reduziert Fehler und Missbrauch.
Regelmäßige Überprüfung
Sicherheitsmaßnahmen müssen regelmäßig geprüft werden.
Zu prüfen:
Patchstand
offene Ports
Benutzerrechte
Adminrechte
Firewall-Regeln
Backups
Restore-Tests
Logs
Zertifikate
Cloud-Freigaben
externe Zugänge
Merksatz:
Sicherheit ist ein laufender Prozess,
kein einmaliger Zustand.
Typische Fehler bei Patchmanagement
Häufige Fehler:
kein Inventar
keine Zuständigkeit
keine Priorisierung
kritische Systeme werden vergessen
Updates werden nie getestet
kein Wartungsfenster
kein Rollback-Plan
Erfolg wird nicht geprüft
Abhängigkeiten werden übersehen
Firmware wird vergessen
Container-Images bleiben alt
Merksatz:
Patchmanagement scheitert oft an Organisation,
nicht nur an Technik.
Typische Fehler bei Hardening
Häufige Fehler:
Standardpasswörter bleiben aktiv
unnötige Dienste laufen
offene Ports bleiben erreichbar
alte Protokolle bleiben erlaubt
Adminzugänge sind zu breit
Logs sind deaktiviert
Fehlermeldungen zeigen Details
Cloud-Speicher ist öffentlich
Testsysteme sind ungeschützt
Baseline wird nicht kontrolliert
Merksatz:
Hardening muss überprüfbar und dauerhaft gepflegt sein.
Checkliste: Schwachstellen reduzieren
Assets erfassen.
Versionen dokumentieren.
Schwachstellenmeldungen prüfen.
Kritikalität bewerten.
Patches priorisieren.
Updates testen.
Wartungsfenster planen.
Rollback vorbereiten.
Patches ausrollen.
Erfolg prüfen.
Systeme härten.
unnötige Dienste deaktivieren.
Rechte begrenzen.
Logs aktivieren.
regelmäßige Scans durchführen.
Maßnahmen dokumentieren.
Merksatz:
Schwachstellenmanagement verbindet Technik,
Prozesse
und Dokumentation.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist eine Schwachstelle?
- Was ist der Unterschied zwischen Schwachstelle, Bedrohung und Risiko?
- Was ist eine CVE?
- Was ist CVSS?
- Was ist ein Exploit?
- Was ist ein Zero-Day?
- Was ist Patchmanagement?
- Warum ist Patchmanagement wichtig?
- Welche Systeme müssen gepatcht werden?
- Warum braucht man ein Inventar?
- Wie priorisiert man Patches?
- Was ist ein Notfallpatch?
- Warum braucht man ein Wartungsfenster?
- Was bedeutet Rollback?
- Was ist Hardening?
- Warum ist Standardkonfiguration nicht automatisch sicher?
- Was ist eine Baseline?
- Was bedeutet Configuration Drift?
- Was ist ein Schwachstellenscan?
- Was ist der Unterschied zwischen Schwachstellenscan und Penetrationstest?
Typische Prüfungsfallen
Schwachstelle,
Bedrohung
und Risiko nicht verwechseln.
CVE benennt bekannte Schwachstellen.
CVSS bewertet Kritikalität.
Hoher CVSS-Wert ersetzt keine eigene Risikoanalyse.
Exploit nutzt eine Schwachstelle aus.
Zero-Day hat noch keinen regulären Patch.
Patchmanagement ist ein Prozess,
nicht nur ein Klick auf Update.
Ohne Inventar kein gutes Patchmanagement.
Firmware und Netzwerkgeräte nicht vergessen.
Container-Images müssen ebenfalls aktualisiert werden.
Cloud nimmt nicht jede Patchpflicht ab.
Patches priorisieren,
nicht blind alles gleich behandeln.
Kritische Systeme brauchen Test und Rollback.
Hardening reduziert Angriffsfläche.
Standardkonfiguration ist nicht automatisch sicher.
Unnötige Dienste deaktivieren.
Alte Protokolle abschalten.
Baseline definiert sicheren Grundzustand.
Configuration Drift regelmäßig prüfen.
Schwachstellenscan findet bekannte Probleme,
aber nicht alles.
Penetrationstest ist kontrollierte Angriffssimulation.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Schwachstelle
ausnutzbare Sicherheitslücke
Bedrohung
mögliches schädliches Ereignis
Risiko
Wahrscheinlichkeit und Auswirkung eines Schadens
Schutzmaßnahme
reduziert Risiko
CVE
eindeutige Kennung bekannter Schwachstellen
CVSS
Bewertung der Kritikalität einer Schwachstelle
Exploit
Ausnutzung einer Schwachstelle
Zero-Day
Schwachstelle ohne verfügbaren regulären Patch
Patch
Korrektur oder Sicherheitsupdate
Update
kleinere Aktualisierung
Upgrade
größere Versionsänderung
Patchmanagement
organisierte Verwaltung von Updates
Inventarisierung
Erfassung vorhandener Systeme
Asset
schützenswerte Ressource
Asset Management
Verwaltung von IT-Ressourcen
Notfallpatch
schneller Patch bei kritischer Schwachstelle
Wartungsfenster
geplanter Änderungszeitraum
Rollback
Rücknahme einer Änderung
Firmware
Software auf Geräten
Dependency Management
Verwaltung von Softwareabhängigkeiten
SBOM
Stückliste von Softwarebestandteilen
Schwachstellenscan
automatisierte Suche bekannter Schwachstellen
False Positive
fälschlich gemeldetes Problem
False Negative
nicht erkannter echter Fehler
Penetrationstest
kontrollierte Angriffssimulation
Hardening
sichere Systemhärtung
Baseline
definierter sicherer Grundzustand
Configuration Drift
Abweichung von Soll-Konfiguration
Compliance-Scan
Prüfung auf Einhaltung von Vorgaben
Vier-Augen-Prinzip
Prüfung durch mindestens zwei Personen
IHK-sichere Kurzformulierung
Eine Schwachstelle ist eine ausnutzbare Sicherheitslücke in Technik, Konfiguration, Organisation oder Prozessen. Eine Bedrohung ist ein mögliches schädliches Ereignis, während Risiko die Kombination aus Eintrittswahrscheinlichkeit und Schadensauswirkung beschreibt. Bekannte Schwachstellen werden häufig mit CVE-Kennungen beschrieben und mit CVSS nach Kritikalität bewertet. Patchmanagement umfasst das Erfassen betroffener Systeme, Bewerten von Schwachstellen, Priorisieren, Testen, Einspielen und Dokumentieren von Updates. Hardening bedeutet, Systeme sicher zu konfigurieren, unnötige Dienste zu deaktivieren, Rechte zu begrenzen, unsichere Protokolle abzuschalten und sichere Baselines einzuhalten. Schwachstellenscans und Penetrationstests helfen, Sicherheitsprobleme zu erkennen und Maßnahmen abzuleiten.
Merksätze
Schwachstelle = ausnutzbare Lücke.
Bedrohung = mögliches Schadereignis.
Risiko = Wahrscheinlichkeit und Auswirkung.
Schutzmaßnahme senkt Risiko.
CVE benennt bekannte Schwachstellen.
CVSS bewertet Kritikalität.
Exploit nutzt Schwachstelle aus.
Zero-Day hat noch keinen regulären Patch.
Patch = Korrektur oder Sicherheitsupdate.
Update kleiner,
Upgrade größer.
Patchmanagement ist ein Prozess.
Ohne Inventar kein gutes Patchmanagement.
Assets müssen bekannt sein.
Kritische Patches priorisieren.
Öffentlich erreichbare Systeme zuerst prüfen.
Notfallpatch kann außerplanmäßig nötig sein.
Wartungsfenster planen.
Rollback vorbereiten.
Patch-Erfolg prüfen.
Firmware nicht vergessen.
Netzwerkgeräte müssen aktualisiert werden.
Clients sind häufige Einstiegspunkte.
Cloud nimmt nicht jede Patchpflicht ab.
Container-Images altern.
Abhängigkeiten sind Teil der Sicherheit.
SBOM zeigt Softwarebestandteile.
Schwachstellenscan findet bekannte Probleme.
False Positives prüfen.
False Negatives bedenken.
Penetrationstest prüft Angriffswege.
Hardening reduziert Angriffsfläche.
Standardkonfiguration ist nicht automatisch sicher.
Unnötige Dienste deaktivieren.
Rechte minimieren.
Alte Protokolle abschalten.
Baseline definiert sicheren Grundzustand.
Configuration Drift vermeiden.
Sicherheit regelmäßig überprüfen.
Schwachstellenmanagement braucht Technik,
Prozess
und Dokumentation.
16.7 Sicherheitsmaßnahmen: Firewall, IDS, IPS, EDR, SIEM und Backup
Sicherheitsmaßnahmen schützen Systeme,
Netzwerke,
Daten
und Benutzer vor Angriffen.
Es gibt nicht die eine Maßnahme,
die alles schützt.
Stattdessen werden mehrere Schutzmaßnahmen kombiniert.
Typische Sicherheitsmaßnahmen sind:
- Firewall
- Netzwerksegmentierung
- IDS
- IPS
- Antivirus
- EDR
- SIEM
- MFA
- Backup
- Patchmanagement
- Hardening
- Logging
- Monitoring
- Schulung
- Incident Response
Merksatz:
IT-Sicherheit entsteht durch mehrere Schutzschichten.
Warum mehrere Schutzmaßnahmen nötig sind
Einzelne Schutzmaßnahmen können versagen.
Beispiele:
Firewall-Regel ist zu breit.
Benutzer fällt auf Phishing herein.
Antivirus erkennt neue Malware nicht.
Patch ist noch nicht verfügbar.
Backup wurde nicht getestet.
Passwort wurde wiederverwendet.
Adminrechte wurden zu großzügig vergeben.
Deshalb braucht man mehrere Schutzschichten.
Merksatz:
Sicherheit darf nicht von einer einzigen Maßnahme abhängen.
Defense in Depth
Defense in Depth bedeutet:
Sicherheit durch mehrere Schutzschichten.
Beispiel:
Firewall
plus
MFA
plus
Patchmanagement
plus
EDR
plus
Backup
plus
Monitoring
plus
Schulung
Wenn eine Schutzschicht versagt,
sollen andere Schichten den Schaden begrenzen.
Merksatz:
Defense in Depth = mehrschichtige Verteidigung.
Prävention, Erkennung und Reaktion
Sicherheitsmaßnahmen lassen sich grob einteilen in:
Bereich
Ziel
Beispiele
Prävention
Angriff verhindern
Firewall, MFA, Patchmanagement
Erkennung
Angriff erkennen
IDS, EDR, SIEM, Logging
Reaktion
Schaden begrenzen
Incident Response, Isolation, Restore
Merksatz:
Gute Sicherheit verhindert,
erkennt
und reagiert.
Firewall
Eine Firewall filtert Netzwerkverkehr anhand von Regeln.
Sie entscheidet,
ob Verkehr erlaubt oder blockiert wird.
Typische Kriterien:
Quelle
Ziel
Port
Protokoll
Richtung
Zustand der Verbindung
Anwendung je nach Firewalltyp
Benutzer je nach System
Merksatz:
Firewall = kontrollierte Netzwerkgrenze.
Firewall-Aufgaben
Eine Firewall kann:
interne Netze schützen
Internetzugriffe filtern
DMZ absichern
VPN-Zugänge begrenzen
Serverdienste schützen
Netzwerkbereiche trennen
unerwünschten Verkehr blockieren
Verbindungsversuche protokollieren
Merksatz:
Firewalls begrenzen,
welche Kommunikation erlaubt ist.
Paketfilter-Firewall
Eine Paketfilter-Firewall prüft einzelne Pakete anhand einfacher Merkmale.
Beispiele:
Quell-IP
Ziel-IP
Quellport
Zielport
Protokoll
Vorteil:
schnell
grundlegend wirksam
Nachteil:
erkennt nicht immer den Zusammenhang einer Verbindung
versteht Anwendungen nur begrenzt
Merksatz:
Paketfilter prüfen grundlegende Paketinformationen.
Stateful Firewall
Eine Stateful Firewall merkt sich Verbindungszustände.
Sie erkennt,
ob ein Paket zu einer bestehenden erlaubten Verbindung gehört.
Vorteil:
Rückverkehr kann automatisch korrekt zugeordnet werden.
Beispiel:
Client baut Verbindung zu Webserver auf.
Antwortpakete werden als zugehörig erkannt.
Merksatz:
Stateful Firewall kennt den Zustand von Verbindungen.
Application Firewall
Eine Application Firewall prüft Verkehr auf Anwendungsebene.
Beispiele:
HTTP-Anfragen
Webanwendungsangriffe
ungewöhnliche Parameter
SQL-Injection-Muster
XSS-Muster
Protokollverstöße
Eine Web Application Firewall ist eine spezielle Form für Webanwendungen.
Merksatz:
Application Firewall schaut tiefer in Anwendungsverkehr.
Next-Generation Firewall
Eine Next-Generation Firewall kann mehr als einfache Portfilterung.
Typische Funktionen:
Stateful Inspection
Anwendungserkennung
Benutzerbezug
IDS/IPS-Funktionen
URL-Filter
Malware-Erkennung
VPN
Logging
Richtlinien nach Anwendungen
Merksatz:
Next-Generation Firewall kombiniert mehrere Sicherheitsfunktionen.
Firewall-Regeln richtig formulieren
Gute Firewall-Regeln sind:
notwendig
eindeutig
dokumentiert
möglichst eng
nach Quelle,
Ziel,
Port
und Protokoll definiert
regelmäßig geprüft
Schlechte Regel:
Any to Any allow
Bessere Regel:
Webserver darf TCP 5432 zur Datenbank auf bestimmter IP nutzen.
Merksatz:
Erlaube nur,
was wirklich benötigt wird.
Default Deny
Default Deny bedeutet:
standardmäßig ist alles verboten,
nur ausdrücklich erlaubter Verkehr ist erlaubt.
Vorteil:
weniger ungewollte Kommunikation
bessere Kontrolle
geringere Angriffsfläche
Merksatz:
Default Deny ist sicherer als pauschales Erlauben.
Firewall-Logging
Firewall-Logs zeigen,
welcher Verkehr erlaubt oder blockiert wurde.
Typische Inhalte:
Zeit
Quelle
Ziel
Port
Protokoll
Aktion
Regelname
Interface
Benutzer je nach System
Merksatz:
Firewall-Logs helfen bei Fehlersuche und Sicherheitsanalyse.
Netzwerksegmentierung
Netzwerksegmentierung bedeutet:
Netzwerke werden in getrennte Bereiche aufgeteilt.
Beispiele:
Clientnetz
Servernetz
Managementnetz
Gastnetz
IoT-Netz
Produktionsnetz
Backupnetz
DMZ
Vorteil:
Angriffe können sich schlechter ausbreiten.
Zugriffe können gezielter gesteuert werden.
Merksatz:
Segmentierung begrenzt Schaden und Ausbreitung.
VLANs als Segmentierung
VLANs trennen Netzwerke logisch auf Schicht 2.
Beispiele:
VLAN 10 Clients
VLAN 20 Server
VLAN 30 Gäste
VLAN 40 Management
Zwischen VLANs sollte kontrolliert geroutet und gefiltert werden.
Merksatz:
VLAN trennt logisch,
Firewall-Regeln steuern den Verkehr dazwischen.
DMZ als Schutzmaßnahme
Eine DMZ ist ein gesonderter Netzwerkbereich für öffentlich erreichbare Dienste.
Typische Systeme:
Webserver
Reverse Proxy
Mail-Gateway
VPN-Gateway
DNS-Server
Ziel:
öffentliche Dienste vom internen Netz trennen.
Merksatz:
DMZ schützt interne Netze vor direktem Zugriff aus dem Internet.
IDS
IDS steht für:
Intrusion Detection System
Ein IDS erkennt verdächtige Aktivitäten
und meldet sie.
Es blockiert normalerweise nicht selbst,
sondern erzeugt Alarme.
Beispiele für Erkennung:
Portscan
bekannte Angriffssignatur
verdächtiger Netzwerkverkehr
ungewöhnliche Loginversuche
Exploit-Versuch
Merksatz:
IDS erkennt Angriffe,
blockiert aber nicht zwingend.
IPS
IPS steht für:
Intrusion Prevention System
Ein IPS erkennt verdächtige Aktivitäten
und kann sie zusätzlich blockieren.
Beispiele:
Verbindung abbrechen
Paket verwerfen
Quelle blockieren
Angriffsmuster stoppen
Merksatz:
IPS erkennt und verhindert Angriffe aktiv.
IDS und IPS vergleichen
Merkmal
IDS
IPS
Bedeutung
Intrusion Detection System
Intrusion Prevention System
Hauptaufgabe
erkennen und melden
erkennen und blockieren
Wirkung
passiv oder beobachtend
aktiv eingreifend
Risiko
Angriff wird nur gemeldet
Fehlalarm kann legitimen Verkehr blockieren
Merksatz:
IDS meldet.
IPS greift ein.
Signaturbasierte Erkennung
Signaturbasierte Erkennung sucht nach bekannten Mustern.
Beispiele:
bekannte Malware-Signatur
bekannte Exploit-Anfrage
bekannter Angriffspfad
bekannter Hashwert
bekannte Netzwerksequenz
Vorteil:
gut gegen bekannte Angriffe
Nachteil:
schwächer gegen neue oder veränderte Angriffe
Merksatz:
Signaturen erkennen Bekanntes.
Anomaliebasierte Erkennung
Anomaliebasierte Erkennung sucht nach ungewöhnlichem Verhalten.
Beispiele:
Benutzer meldet sich plötzlich aus fremdem Land an
Server sendet ungewöhnlich viel Datenverkehr
Client verbindet sich zu vielen internen Systemen
Konto hat plötzlich viele Fehlversuche
Prozess verschlüsselt viele Dateien
Vorteil:
kann neue Angriffe erkennen
Nachteil:
mehr Fehlalarme möglich
Merksatz:
Anomalieerkennung erkennt Abweichungen vom Normalverhalten.
False Positive und False Negative
False Positive:
Ein Alarm wird ausgelöst,
obwohl kein echter Angriff vorliegt.
False Negative:
Ein echter Angriff wird nicht erkannt.
Beides ist problematisch.
Merksatz:
Sicherheitsalarme müssen bewertet und verbessert werden.
Antivirus
Antivirus-Software erkennt und blockiert bekannte Schadsoftware.
Typische Funktionen:
Dateiscan
Echtzeitschutz
Signaturprüfung
Quarantäne
Malware-Entfernung
einfache Verhaltensprüfung
Grenze:
Antivirus allein reicht nicht gegen moderne Angriffe.
Merksatz:
Antivirus ist eine Schutzschicht,
aber kein vollständiges Sicherheitskonzept.
EDR
EDR steht für:
Endpoint Detection and Response
EDR überwacht Endgeräte tiefer als klassischer Antivirus.
Typische Funktionen:
Prozessüberwachung
Verhaltensanalyse
Angriffserkennung
Isolation eines Endgeräts
Untersuchung von Vorfällen
zentrale Verwaltung
Reaktionsmaßnahmen
Merksatz:
EDR erkennt und untersucht Angriffe auf Endgeräten.
Endpoint
Ein Endpoint ist ein Endgerät oder System,
das im Netzwerk genutzt wird.
Beispiele:
Notebook
Desktop-PC
Server
virtuelle Maschine
mobiles Gerät
Cloud-VM
Merksatz:
Endpoint = Endsystem,
auf dem Benutzer oder Dienste arbeiten.
EDR-Reaktionen
EDR kann bei einem Verdacht reagieren.
Beispiele:
Prozess beenden
Datei isolieren
Gerät vom Netzwerk trennen
Verbindung blockieren
Alarm erzeugen
forensische Daten sammeln
Datei in Quarantäne verschieben
Merksatz:
EDR ist nicht nur Erkennung,
sondern auch Reaktion.
XDR
XDR steht für:
Extended Detection and Response
XDR erweitert Erkennung und Reaktion über mehrere Bereiche.
Beispiele:
Endgeräte
E-Mail
Netzwerk
Cloud
Identitäten
Anwendungen
Ziel:
Ereignisse aus mehreren Quellen zusammenführen.
Merksatz:
XDR verbindet Sicherheitsdaten aus mehreren Bereichen.
SIEM
SIEM steht für:
Security Information and Event Management
Ein SIEM sammelt,
speichert
und analysiert Sicherheitsereignisse aus vielen Quellen.
Quellen können sein:
Firewalls
Server
Clients
Cloud-Dienste
IAM-Systeme
VPN
EDR
IDS
IPS
Webserver
Datenbanken
Merksatz:
SIEM ist zentrale Sicherheitslog-Auswertung.
SIEM-Aufgaben
Ein SIEM hilft bei:
Angriffserkennung
Korrelation von Ereignissen
Alarmierung
Nachvollziehbarkeit
Compliance
forensischer Analyse
Reporting
Incident Response
Beispiel:
Viele fehlgeschlagene Logins
plus
erfolgreicher Login aus fremdem Land
plus
Datenexport
Das SIEM kann diese Ereignisse zusammenführen.
Merksatz:
SIEM erkennt Zusammenhänge,
die einzelne Systeme allein nicht zeigen.
Korrelation
Korrelation bedeutet:
mehrere Ereignisse werden miteinander in Beziehung gesetzt.
Beispiel:
Loginfehler
danach erfolgreicher Login
danach Rollenänderung
danach Datenexport
Ein einzelnes Ereignis wirkt vielleicht harmlos.
Zusammen kann es verdächtig sein.
Merksatz:
Korrelation erkennt Muster über mehrere Logs hinweg.
SOC
SOC steht für:
Security Operations Center
Ein SOC überwacht Sicherheitsereignisse,
bewertet Alarme
und koordiniert Reaktionen.
Aufgaben:
Monitoring
Analyse
Alarmbewertung
Incident Response
Kommunikation
Dokumentation
Verbesserung von Regeln
Merksatz:
SOC ist die organisatorische Stelle für Sicherheitsüberwachung.
SOAR
SOAR steht für:
Security Orchestration,
Automation and Response
SOAR automatisiert Sicherheitsabläufe.
Beispiele:
verdächtiges Konto automatisch sperren
IP-Adresse blockieren
Ticket erstellen
EDR-Isolation auslösen
Logdaten sammeln
Benachrichtigung senden
Merksatz:
SOAR automatisiert Reaktionen auf Sicherheitsereignisse.
MFA als Schutzmaßnahme
MFA steht für:
Multi-Faktor-Authentifizierung
MFA schützt,
weil zusätzlich zum Passwort ein weiterer Faktor nötig ist.
Faktoren können sein:
Wissen:
Passwort oder PIN
Besitz:
Smartphone,
Token,
Smartcard
Sein:
biometrisches Merkmal
Merksatz:
MFA reduziert Schaden durch gestohlene Passwörter.
Starke Authentifizierung
Starke Authentifizierung bedeutet:
Anmeldung wird so abgesichert,
dass ein einzelnes schwaches Passwort nicht ausreicht.
Maßnahmen:
MFA
Hardwaretoken
Zertifikate
Conditional Access
Risikoanalyse
sichere Passwortregeln
Passwortmanager
Merksatz:
Starke Anmeldung schützt Identitäten.
Least Privilege als Schutzmaßnahme
Least Privilege bedeutet:
nur notwendige Rechte vergeben.
Vorteile:
weniger Schaden bei Kontoübernahme
weniger Risiko durch Fehler
weniger Angriffsfläche
bessere Kontrolle
Beispiele:
Benutzer kein lokaler Admin
Dienstkonto nur mit benötigten Rechten
Datenbankkonto ohne unnötige Löschrechte
Cloud-Rolle nur für konkrete Aufgabe
Merksatz:
Weniger Rechte bedeuten weniger möglicher Schaden.
Backup als Schutzmaßnahme
Backup schützt nicht direkt vor jedem Angriff,
aber ermöglicht Wiederherstellung.
Besonders wichtig bei:
Ransomware
versehentlichem Löschen
Datenkorruption
Fehlkonfiguration
Hardwareausfall
Systemkompromittierung
Merksatz:
Backup ist Schutz gegen Datenverlust und Ausfallfolgen.
Gutes Backup-Konzept
Ein gutes Backup-Konzept klärt:
was gesichert wird
wie oft gesichert wird
wie lange gesichert wird
wo gesichert wird
wer Zugriff hat
wie Wiederherstellung getestet wird
wie Backups geschützt werden
wie schnell wiederhergestellt werden muss
wie viel Datenverlust erlaubt ist
Merksatz:
Backup ohne Restore-Test ist unvollständig.
Immutable Backup
Immutable bedeutet:
unveränderlich
Ein Immutable Backup kann für eine festgelegte Zeit nicht gelöscht oder verändert werden.
Vorteile:
Schutz vor Ransomware
Schutz vor kompromittierten Adminzugängen
Schutz vor versehentlicher Löschung
Merksatz:
Immutable Backups schützen Wiederherstellungsmöglichkeiten.
Restore-Test
Ein Restore-Test prüft,
ob Wiederherstellung wirklich funktioniert.
Zu prüfen:
Daten vollständig?
Anwendung startet?
Rechte passen?
Schlüssel vorhanden?
Wiederherstellungszeit akzeptabel?
Daten konsistent?
Dokumentation korrekt?
Merksatz:
Nur getestete Backups sind verlässlich.
Logging als Schutzmaßnahme
Logging bedeutet:
Ereignisse werden protokolliert.
Wichtige Logs:
Anmeldungen
Adminaktionen
Firewall-Entscheidungen
Dateiänderungen
Datenbankzugriffe
VPN-Zugriffe
Cloud-Audit-Logs
EDR-Meldungen
Webserver-Logs
Merksatz:
Logs machen Ereignisse nachvollziehbar.
Monitoring als Schutzmaßnahme
Monitoring überwacht Zustände und Metriken.
Beispiele:
ungewöhnliche Netzlast
viele Loginfehler
CPU-Spitzen
Speicher voll
Dienst nicht erreichbar
Zertifikat läuft ab
Backup fehlgeschlagen
viele Firewall-Drops
Merksatz:
Monitoring erkennt Probleme früh.
Alarmierung
Alarmierung informiert Verantwortliche automatisch,
wenn Grenzwerte oder Sicherheitsereignisse auftreten.
Beispiele:
Malware-Fund
viele fehlgeschlagene Logins
Adminrolle vergeben
Backup fehlgeschlagen
ungewöhnlicher Datenexport
DDoS-Anzeichen
Cloud-Kostenanstieg
Merksatz:
Alarmierung macht kritische Ereignisse sichtbar.
Security Awareness
Security Awareness bedeutet:
Benutzer werden für Sicherheitsrisiken sensibilisiert.
Themen:
Phishing erkennen
Passwörter sicher nutzen
MFA-Anfragen richtig bewerten
vertrauliche Daten schützen
verdächtige Vorfälle melden
sichere Nutzung von Cloud-Diensten
Umgang mit USB-Geräten
Social Engineering erkennen
Merksatz:
Schulung macht Benutzer zu einem Teil der Verteidigung.
Incident Response
Incident Response bedeutet:
geplantes Vorgehen bei Sicherheitsvorfällen.
Typische Schritte:
erkennen
bewerten
eindämmen
beseitigen
wiederherstellen
dokumentieren
verbessern
Merksatz:
Incident Response muss vorbereitet sein,
bevor ein Vorfall passiert.
Containment
Containment bedeutet:
einen Sicherheitsvorfall eindämmen.
Beispiele:
infiziertes Gerät isolieren
Konto sperren
API-Schlüssel widerrufen
Firewall-Regel setzen
VPN-Zugang deaktivieren
kompromittierten Server vom Netz nehmen
Ausbreitung stoppen
Merksatz:
Containment begrenzt Schaden und Ausbreitung.
Eradication
Eradication bedeutet:
Ursache und Schadsoftware werden entfernt.
Beispiele:
Malware entfernen
System neu aufsetzen
Schwachstelle patchen
Backdoor entfernen
unsichere Konfiguration korrigieren
kompromittierte Zugangsdaten ersetzen
Merksatz:
Eradication beseitigt die Ursache des Vorfalls.
Recovery
Recovery bedeutet:
Systeme werden wiederhergestellt und kontrolliert in Betrieb genommen.
Dazu gehören:
Restore aus Backup
Systeme prüfen
Dienste starten
Monitoring beobachten
Benutzer informieren
erneute Kompromittierung ausschließen
Merksatz:
Recovery bringt Systeme sicher zurück in den Betrieb.
Lessons Learned
Lessons Learned bedeutet:
Nach einem Vorfall wird ausgewertet,
was verbessert werden muss.
Fragen:
Wie kam es zum Vorfall?
Was hat gut funktioniert?
Was hat nicht funktioniert?
Welche Maßnahmen fehlen?
Welche Regeln müssen geändert werden?
Welche Schulung ist nötig?
Welche Technik muss verbessert werden?
Merksatz:
Jeder Vorfall sollte zu besserer Sicherheit führen.
Physische Sicherheitsmaßnahmen
IT-Sicherheit umfasst auch physischen Schutz.
Beispiele:
Zutrittskontrolle
abschließbarer Serverraum
Videoüberwachung
Brandschutz
USV
Klimatisierung
gesicherte Netzwerkschränke
sichere Entsorgung von Datenträgern
Merksatz:
Ohne physischen Schutz kann technische Sicherheit umgangen werden.
Organisatorische Sicherheitsmaßnahmen
Organisatorische Maßnahmen regeln,
wie Sicherheit umgesetzt wird.
Beispiele:
Sicherheitsrichtlinien
Rollen und Verantwortlichkeiten
Vier-Augen-Prinzip
Freigabeprozesse
Change Management
Notfallhandbuch
Berechtigungskonzept
Schulungsplan
Offboarding-Prozess
Merksatz:
Sicherheit braucht klare Prozesse und Verantwortlichkeiten.
Technische Sicherheitsmaßnahmen
Technische Maßnahmen schützen Systeme direkt.
Beispiele:
Firewall
MFA
Verschlüsselung
EDR
IDS
IPS
Backup
Patchmanagement
Hardening
Netzwerksegmentierung
Logging
Monitoring
Zugriffskontrolle
Merksatz:
Technische Maßnahmen wirken nur gut,
wenn sie richtig konfiguriert und betrieben werden.
Personelle Sicherheitsmaßnahmen
Personelle Maßnahmen betreffen das Verhalten von Menschen.
Beispiele:
Schulungen
Sensibilisierung
klare Meldewege
sichere Passwortnutzung
Verhalten bei Phishing
Umgang mit vertraulichen Daten
Wissen über Social Engineering
Merksatz:
Menschen müssen wissen,
wie sie sicher handeln sollen.
Sicherheitsmaßnahmen nach Angriffsziel
Angriffsziel
passende Maßnahmen
Passwortdiebstahl
MFA, Passwortmanager, Schulung
Malware
EDR, Patchmanagement, Rechtebegrenzung
Ransomware
Backup, Immutable Backup, Segmentierung
DDoS
DDoS-Schutz, Rate Limiting, CDN
Webangriffe
Secure Coding, WAF, Code Review
Datenabfluss
DLP, Verschlüsselung, Rechtekonzept
Insider-Risiko
Logging, Least Privilege, Vier-Augen-Prinzip
Kontoübernahme
MFA, Conditional Access, Monitoring
Merksatz:
Maßnahme muss zum Risiko passen.
Typische Kombinationen in der Praxis
Beispiel Webserver:
Firewall
WAF
Patchmanagement
TLS
Logging
Monitoring
Backup
Rechtebegrenzung
Beispiel Client:
EDR
Patchmanagement
keine lokalen Adminrechte
E-Mail-Schutz
Makro-Schutz
Schulung
Beispiel Cloud:
MFA
IAM
Security Groups
Audit-Logs
Verschlüsselung
Backup
Kostenalarme
Merksatz:
Unterschiedliche Systeme brauchen unterschiedliche Schutzpakete.
Typische Fehler bei Sicherheitsmaßnahmen
Häufige Fehler:
nur eine Maßnahme einsetzen
Firewall-Regeln nie prüfen
Logs nicht aktivieren
Alarme ignorieren
Backups nicht testen
MFA-Ausnahmen zu breit erlauben
Adminrechte dauerhaft vergeben
EDR nur installieren,
aber nicht überwachen
SIEM ohne klare Regeln betreiben
Schulung vernachlässigen
Incident Response nicht üben
Merksatz:
Sicherheitsmaßnahmen müssen betrieben,
geprüft
und verbessert werden.
Checkliste: Schutzmaßnahmen sinnvoll kombinieren
Risiken bestimmen.
Schutzziele festlegen.
Systeme inventarisieren.
Firewall-Regeln prüfen.
Segmentierung planen.
MFA aktivieren.
Rechte minimieren.
Patchmanagement organisieren.
Hardening durchführen.
EDR einsetzen.
Logs zentral sammeln.
SIEM oder zentrale Auswertung nutzen.
Backups schützen.
Restore testen.
Benutzer schulen.
Incident Response vorbereiten.
Maßnahmen regelmäßig prüfen.
Merksatz:
Sicherheit ist ein Prozess,
kein einmaliger Zustand.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist Defense in Depth?
- Was ist eine Firewall?
- Was ist der Unterschied zwischen Paketfilter und Stateful Firewall?
- Was ist eine Next-Generation Firewall?
- Was bedeutet Default Deny?
- Warum ist Netzwerksegmentierung wichtig?
- Was ist eine DMZ?
- Was ist ein IDS?
- Was ist ein IPS?
- Was ist der Unterschied zwischen IDS und IPS?
- Was ist EDR?
- Was ist SIEM?
- Was bedeutet Korrelation im SIEM?
- Was ist ein SOC?
- Was ist SOAR?
- Warum ist MFA wichtig?
- Warum ist Backup eine Sicherheitsmaßnahme?
- Was ist ein Restore-Test?
- Was ist Incident Response?
- Was bedeutet Containment?
- Warum sind Schulungen wichtig?
Typische Prüfungsfallen
Firewall ersetzt kein Patchmanagement.
Antivirus ersetzt kein Sicherheitskonzept.
IDS und IPS unterscheiden.
IDS erkennt,
IPS blockiert.
EDR ist mehr als klassischer Antivirus.
SIEM sammelt und korreliert Logs.
SOC ist organisatorische Sicherheitsüberwachung.
SOAR automatisiert Reaktionen.
Backup verhindert keinen Angriff,
hilft aber bei Wiederherstellung.
Backup ohne Restore-Test ist unsicher.
Immutable Backup schützt vor Manipulation.
MFA schützt stark gegen Passwortmissbrauch,
aber nicht gegen alles.
Segmentierung begrenzt Ausbreitung.
Default Deny ist sicherer als pauschales Erlauben.
Logs müssen vor dem Vorfall aktiv sein.
Alarme müssen bearbeitet werden.
Schulungen sind Sicherheitsmaßnahme.
Incident Response muss vorbereitet sein.
Sicherheit braucht Technik,
Organisation
und Menschen.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Sicherheitsmaßnahme
Maßnahme zur Risikoreduzierung
Defense in Depth
mehrschichtige Verteidigung
Prävention
Angriff verhindern
Erkennung
Angriff feststellen
Reaktion
auf Angriff reagieren
Firewall
Filter für Netzwerkverkehr
Paketfilter
prüft grundlegende Paketdaten
Stateful Firewall
merkt sich Verbindungszustände
Application Firewall
prüft Anwendungsebene
NGFW
Next-Generation Firewall
Default Deny
standardmäßig alles blockieren
Segmentierung
Trennung von Netzbereichen
VLAN
logische Netztrennung
DMZ
Zone für öffentlich erreichbare Dienste
IDS
Intrusion Detection System
IPS
Intrusion Prevention System
Signatur
bekanntes Angriffsmuster
Anomalie
Abweichung vom Normalverhalten
False Positive
falscher Alarm
False Negative
nicht erkannter Angriff
Antivirus
Schutz gegen bekannte Schadsoftware
EDR
Endpoint Detection and Response
Endpoint
Endgerät oder Endsystem
XDR
erweiterte Erkennung und Reaktion
SIEM
zentrale Sicherheitslog-Auswertung
Korrelation
Verknüpfung mehrerer Ereignisse
SOC
Security Operations Center
SOAR
automatisierte Sicherheitsreaktion
MFA
Multi-Faktor-Authentifizierung
Least Privilege
minimale notwendige Rechte
Backup
zusätzliche Datensicherung
Immutable Backup
unveränderliches Backup
Restore-Test
Prüfung der Wiederherstellung
Logging
Ereignisprotokollierung
Monitoring
Zustandsüberwachung
Alerting
automatische Alarmierung
Awareness
Sicherheitsbewusstsein
Incident Response
Reaktion auf Sicherheitsvorfälle
Containment
Eindämmung
Eradication
Beseitigung der Ursache
Recovery
Wiederherstellung
Lessons Learned
Auswertung und Verbesserung
IHK-sichere Kurzformulierung
Sicherheitsmaßnahmen sollen Risiken für Vertraulichkeit, Integrität und Verfügbarkeit reduzieren. Da einzelne Maßnahmen versagen können, werden mehrere Schutzschichten nach dem Prinzip Defense in Depth kombiniert. Firewalls begrenzen Netzwerkverkehr, Segmentierung trennt Netzbereiche, IDS erkennt Angriffe, IPS kann sie zusätzlich blockieren, EDR überwacht Endgeräte und SIEM sammelt und korreliert Sicherheitslogs. MFA schützt Identitäten, Least Privilege begrenzt Rechte, Backups und Restore-Tests sichern Wiederherstellung, und Incident Response regelt das Vorgehen bei Sicherheitsvorfällen. Gute IT-Sicherheit verbindet technische, organisatorische, personelle und physische Maßnahmen.
Merksätze
Sicherheit braucht mehrere Schutzschichten.
Defense in Depth kombiniert Maßnahmen.
Prävention verhindert.
Erkennung erkennt.
Reaktion begrenzt Schaden.
Firewall filtert Netzwerkverkehr.
Paketfilter prüft Paketdaten.
Stateful Firewall kennt Verbindungen.
Application Firewall prüft Anwendungsebene.
Default Deny ist sicherer.
Segmentierung begrenzt Ausbreitung.
VLAN trennt logisch.
DMZ schützt interne Netze.
IDS erkennt Angriffe.
IPS blockiert zusätzlich.
Signaturen erkennen Bekanntes.
Anomalien erkennen Abweichungen.
False Positive ist falscher Alarm.
False Negative ist verpasster Angriff.
Antivirus ist nur eine Schutzschicht.
EDR erkennt und reagiert auf Endgeräten.
XDR verbindet mehrere Sicherheitsbereiche.
SIEM sammelt und korreliert Logs.
SOC überwacht Sicherheit organisatorisch.
SOAR automatisiert Reaktionen.
MFA schützt Identitäten.
Least Privilege begrenzt Schaden.
Backup hilft bei Wiederherstellung.
Immutable Backup schützt Backups.
Restore-Test beweist Backup-Nutzbarkeit.
Logging macht Ereignisse nachvollziehbar.
Monitoring erkennt Probleme.
Alarmierung muss bearbeitet werden.
Schulung ist Sicherheitsmaßnahme.
Incident Response braucht Vorbereitung.
Containment begrenzt Ausbreitung.
Eradication beseitigt Ursache.
Recovery stellt Betrieb wieder her.
Lessons Learned verbessern Sicherheit.
Sicherheit ist ein Prozess,
kein einmaliger Zustand.
16.8 Merksätze und Prüfungswissen zu Angriffen und Schutzmaßnahmen
Diese Seite fasst die wichtigsten Inhalte zu Angriffen,
Schwachstellen,
Schadsoftware,
Phishing,
Netzwerkangriffen,
Webangriffen
und Schutzmaßnahmen zusammen.
Das Thema ist prüfungsrelevant,
weil es viele Bereiche verbindet:
- Informationssicherheit
- Netzwerktechnik
- Betriebssysteme
- Anwendungen
- Benutzerkonten
- Cloud
- Backup
- Datenschutz
- Monitoring
- Incident Response
Merksatz:
IT-Sicherheit schützt Vertraulichkeit,
Integrität
und Verfügbarkeit.
Die drei wichtigsten Schutzziele
Die wichtigsten Schutzziele der Informationssicherheit sind:
Vertraulichkeit
Integrität
Verfügbarkeit
Diese drei Begriffe bilden die Grundlage vieler Sicherheitsfragen.
Merksatz:
Vertraulichkeit,
Integrität
und Verfügbarkeit immer sauber unterscheiden.
Vertraulichkeit
Vertraulichkeit bedeutet:
Informationen dürfen nur von berechtigten Personen gelesen werden.
Beispiele:
Kundendaten
Passwörter
Personalakten
interne Dokumente
Zugangsdaten
Geschäftsgeheimnisse
Angriffe auf Vertraulichkeit:
Phishing
Sniffing
Spyware
Datenabfluss
unberechtigte Freigaben
gestohlene Zugangsdaten
Merksatz:
Vertraulichkeit schützt vor unberechtigtem Lesen.
Integrität
Integrität bedeutet:
Daten dürfen nicht unbemerkt verändert werden.
Beispiele:
Rechnung wird manipuliert.
Datenbankeintrag wird verändert.
Konfigurationsdatei wird heimlich angepasst.
Softwareupdate wird verfälscht.
Angriffe auf Integrität:
Man-in-the-Middle
Malware
SQL Injection
Supply-Chain-Angriff
unberechtigte Änderung
Merksatz:
Integrität schützt vor unbemerkter Manipulation.
Verfügbarkeit
Verfügbarkeit bedeutet:
Systeme,
Dienste
und Daten sind bei Bedarf nutzbar.
Beispiele:
Webseite erreichbar
Datenbank verfügbar
Netzwerk funktioniert
Dateien sind nutzbar
Backup kann wiederhergestellt werden
Angriffe auf Verfügbarkeit:
DoS
DDoS
Ransomware
Sabotage
Überlastung
Systemausfall
Merksatz:
Verfügbarkeit schützt die Nutzbarkeit von IT-Systemen.
CIA-Triade
CIA steht für:
Confidentiality
Integrity
Availability
Deutsch:
Vertraulichkeit
Integrität
Verfügbarkeit
Merksatz:
CIA-Triade = Vertraulichkeit,
Integrität
Verfügbarkeit.
Authentizität
Authentizität bedeutet:
Die Echtheit einer Person,
eines Systems
oder einer Nachricht ist überprüfbar.
Beispiele:
Ist der Benutzer wirklich der richtige Benutzer?
Ist der Server wirklich der richtige Server?
Stammt die Nachricht wirklich vom angegebenen Absender?
Merksatz:
Authentizität schützt vor falscher Identität.
Nichtabstreitbarkeit
Nichtabstreitbarkeit bedeutet:
Eine Handlung kann später nachgewiesen werden
und nicht glaubwürdig abgestritten werden.
Beispiele:
digitale Signatur
Zeitstempel
Audit-Log
eindeutiges Benutzerkonto
Merksatz:
Nichtabstreitbarkeit sorgt für Nachweisbarkeit.
Schwachstelle, Bedrohung und Risiko
Begriff
Bedeutung
Schwachstelle
ausnutzbare Sicherheitslücke
Bedrohung
mögliches schädliches Ereignis
Risiko
Wahrscheinlichkeit und Auswirkung eines Schadens
Schutzmaßnahme
reduziert ein Risiko
Merksatz:
Schwachstelle ist die Lücke.
Bedrohung ist das Ereignis.
Risiko ist die bewertete Gefahr.
Angriffsfläche
Angriffsfläche bedeutet:
alle Stellen,
an denen ein System angegriffen werden kann.
Beispiele:
offene Ports
Webanwendungen
Benutzerkonten
VPN-Zugänge
E-Mail
APIs
Cloud-Freigaben
veraltete Software
unsichere Dienste
Merksatz:
Je größer die Angriffsfläche,
desto mehr mögliche Angriffspunkte.
Angriffsfläche reduzieren
Maßnahmen:
unnötige Dienste deaktivieren
offene Ports reduzieren
Standardkonten deaktivieren
starke Authentifizierung nutzen
Systeme patchen
Rechte begrenzen
Netzbereiche segmentieren
öffentliche Freigaben prüfen
sichere Konfiguration verwenden
Merksatz:
Nicht benötigte Dienste und Zugänge entfernen.
Malware
Malware ist ein Oberbegriff für Schadsoftware.
Beispiele:
Virus
Wurm
Trojaner
Ransomware
Spyware
Keylogger
Rootkit
Botnet-Client
Cryptominer
Merksatz:
Malware ist Software mit schädlicher Funktion.
Virus
Ein Virus hängt sich häufig an Dateien oder Programme an
und wird aktiv,
wenn diese ausgeführt werden.
Merksatz:
Virus braucht oft eine Wirtsdatei oder Benutzeraktion.
Wurm
Ein Wurm verbreitet sich selbstständig über Netzwerke oder Schwachstellen.
Merksatz:
Wurm verbreitet sich selbstständig.
Trojaner
Ein Trojaner tarnt sich als nützliches Programm,
enthält aber Schadfunktionen.
Merksatz:
Trojaner täuscht Harmlosigkeit oder Nützlichkeit vor.
Ransomware
Ransomware verschlüsselt Daten oder sperrt Systeme
und fordert Lösegeld.
Sie betrifft besonders:
Verfügbarkeit
und oft zusätzlich:
Vertraulichkeit
Merksatz:
Ransomware greift Verfügbarkeit
und bei Datenabfluss auch Vertraulichkeit an.
Double Extortion
Double Extortion bedeutet:
Daten werden verschlüsselt
und
zusätzlich wird mit Veröffentlichung gestohlener Daten gedroht.
Merksatz:
Double Extortion = Verschlüsselung plus Datenabfluss.
Schutz vor Ransomware
Wichtige Maßnahmen:
Immutable Backups
Offline-Backups
regelmäßige Restore-Tests
Patchmanagement
EDR
MFA
Least Privilege
keine lokalen Adminrechte
Netzwerksegmentierung
Monitoring
schnelle Isolation betroffener Systeme
Merksatz:
Gegen Ransomware sind Backup,
Rechtebegrenzung
Segmentierung
und schnelle Reaktion besonders wichtig.
Phishing
Phishing ist Täuschung,
um Benutzer zur Preisgabe vertraulicher Informationen
oder zu gefährlichen Aktionen zu bringen.
Ziele:
Passwörter
MFA-Codes
Zugangstokens
Bankdaten
Cloud-Zugänge
VPN-Zugänge
interne Informationen
Merksatz:
Phishing greift Menschen über Täuschung an.
Social Engineering
Social Engineering manipuliert Menschen,
um Sicherheitsmaßnahmen zu umgehen.
Angreifer nutzen:
Zeitdruck
Angst
Autorität
Hilfsbereitschaft
Vertrauen
Neugier
Gewohnheit
Merksatz:
Social Engineering greift Verhalten und Prozesse an.
Spear Phishing und Whaling
Spear Phishing:
gezieltes Phishing gegen bestimmte Personen oder Organisationen
Whaling:
Phishing gegen besonders wichtige Personen
Beispiele für Whaling-Ziele:
Geschäftsführung
Finanzleitung
Administratoren
Personalabteilung
Merksatz:
Spear Phishing ist gezielt.
Whaling trifft besonders wertvolle Ziele.
Smishing, Vishing und Quishing
Begriff
Bedeutung
Smishing
Phishing per SMS
Vishing
Phishing per Telefon
Quishing
Phishing über QR-Code
Merksatz:
Phishing ist nicht auf E-Mail beschränkt.
CEO-Fraud und BEC
CEO-Fraud:
Angreifer geben sich als Führungskraft aus
und fordern dringende Aktionen.
BEC:
Business E-Mail Compromise,
Missbrauch oder Nachahmung geschäftlicher E-Mail-Kommunikation.
Merksatz:
CEO-Fraud und BEC nutzen Vertrauen,
Autorität
und Geschäftsprozesse.
Identitätsangriffe
Identitätsangriffe richten sich gegen Benutzerkonten und Anmeldungen.
Typische Formen:
Brute Force
Credential Stuffing
Password Spraying
Phishing
Session Hijacking
MFA-Missbrauch
Account Takeover
Merksatz:
Wer Identitäten kontrolliert,
kontrolliert oft den Zugriff.
Brute Force
Brute Force bedeutet:
Passwörter werden systematisch ausprobiert.
Schutz:
starke Passwörter
MFA
Rate Limiting
Sperrmechanismen
Monitoring
Merksatz:
Brute Force wird durch Begrenzung und MFA erschwert.
Credential Stuffing
Credential Stuffing bedeutet:
geleakte Zugangsdaten aus anderen Diensten werden erneut ausprobiert.
Schutz:
eindeutige Passwörter
Passwortmanager
MFA
Leak-Erkennung
Merksatz:
Credential Stuffing nutzt Passwort-Wiederverwendung.
Password Spraying
Password Spraying bedeutet:
wenige häufige Passwörter werden gegen viele Konten getestet.
Merksatz:
Password Spraying verteilt wenige Passwörter auf viele Benutzer.
MFA
MFA steht für:
Multi-Faktor-Authentifizierung
MFA schützt,
weil zusätzlich zum Passwort ein weiterer Faktor nötig ist.
Merksatz:
MFA reduziert Schaden durch gestohlene Passwörter.
MFA ist nicht unfehlbar
Mögliche Angriffe trotz MFA:
MFA-Push-Fatigue
gestohlene Session-Tokens
Phishing mit Echtzeit-Weiterleitung
kompromittiertes Endgerät
Social Engineering beim Support
SIM-Swapping bei SMS-MFA
Merksatz:
MFA ist sehr wichtig,
aber kein vollständiger Ersatz für Sicherheitskonzept.
DoS und DDoS
DoS:
Denial of Service
DDoS:
Distributed Denial of Service
Unterschied:
Angriff
Bedeutung
DoS
Dienst wird gestört oder überlastet
DDoS
verteilter DoS von vielen Quellen
Merksatz:
DoS und DDoS greifen Verfügbarkeit an.
DDoS-Schutz
Maßnahmen:
DDoS-Schutzdienst
Provider-Unterstützung
CDN
Anycast
Load Balancer
Rate Limiting
Firewall-Regeln
WAF
Monitoring
Notfallplan
Merksatz:
DDoS-Schutz muss vorbereitet sein.
Man-in-the-Middle
Bei Man-in-the-Middle befindet sich ein Angreifer zwischen zwei Kommunikationspartnern.
Ziele:
Daten mitlesen
Daten verändern
Zugangsdaten abgreifen
Sitzungen übernehmen
Merksatz:
MitM sitzt zwischen Sender und Empfänger.
Schutz vor Man-in-the-Middle
Maßnahmen:
TLS korrekt nutzen
Zertifikate prüfen
Zertifikatswarnungen nicht ignorieren
VPN in unsicheren Netzen
HSTS
sichere WLAN-Konfiguration
DNS-Schutz
MFA
Merksatz:
TLS schützt nur,
wenn Zertifikate korrekt geprüft werden.
Sniffing
Sniffing bedeutet:
Netzwerkverkehr wird mitgeschnitten oder beobachtet.
Es kann genutzt werden für:
Fehlersuche
oder missbraucht werden für:
Abhören
Passwortdiebstahl
Sitzungsdiebstahl
Merksatz:
Sniffing ist Werkzeug und Risiko zugleich.
Spoofing
Spoofing bedeutet:
Herkunft,
Adresse
oder Identität wird vorgetäuscht.
Beispiele:
IP-Spoofing
MAC-Spoofing
ARP-Spoofing
DNS-Spoofing
E-Mail-Spoofing
Merksatz:
Spoofing täuscht Identität oder Herkunft vor.
ARP-Spoofing
ARP-Spoofing manipuliert die Zuordnung von IPv4-Adresse zu MAC-Adresse im lokalen Netz.
Mögliche Folge:
Man-in-the-Middle
Schutz:
DHCP Snooping
Dynamic ARP Inspection
Segmentierung
TLS
Merksatz:
ARP-Spoofing greift lokale Layer-2-Kommunikation an.
DNS-Spoofing
DNS-Spoofing manipuliert die Namensauflösung.
Folge:
Benutzer wird zu falscher IP-Adresse geleitet.
Schutz:
vertrauenswürdige DNS-Resolver
DNSSEC
TLS-Zertifikatsprüfung
sichere DHCP-Konfiguration
Merksatz:
DNS-Spoofing führt Namen zu falschen Zielen.
Rogue DHCP
Rogue DHCP bedeutet:
ein unautorisierter DHCP-Server verteilt falsche Netzwerkeinstellungen.
Mögliche Folgen:
falsches Gateway
falscher DNS-Server
Man-in-the-Middle
Netzwerkstörung
Schutz:
DHCP Snooping
Switchport-Sicherheit
Monitoring
physische Zugangskontrolle
Merksatz:
Rogue DHCP verteilt falsche Netzwerkkonfiguration.
WLAN-Angriffe
Typische WLAN-Angriffe:
Evil Twin
Rogue Access Point
unsichere Verschlüsselung
falsches Captive Portal
Deauthentication
Mitschneiden unverschlüsselter Kommunikation
Schutz:
WPA2-Enterprise oder WPA3
802.1X
starke Passwörter
Zertifikatsprüfung
Gastnetztrennung
Rogue-AP-Erkennung
Merksatz:
WLAN braucht Verschlüsselung,
Authentifizierung
und Segmentierung.
Webangriffe
Typische Webangriffe:
SQL Injection
Cross-Site Scripting
Cross-Site Request Forgery
Directory Traversal
File Upload Attack
Broken Authentication
Broken Access Control
unsichere APIs
unsichere Fehlerausgaben
Merksatz:
Webangriffe nutzen oft Eingaben,
Sitzungen
oder Berechtigungen aus.
SQL Injection
SQL Injection bedeutet:
Angreifer schleust SQL-Code in Eingaben ein.
Folgen:
Daten auslesen
Daten verändern
Login umgehen
Daten löschen
Schutz:
Prepared Statements
parametrisierte Abfragen
Eingabevalidierung
Datenbankrechte begrenzen
Merksatz:
SQL Injection macht Eingabe zu Datenbankbefehl.
Cross-Site Scripting
Cross-Site Scripting wird abgekürzt:
XSS
Dabei wird Skriptcode in eine Webseite eingeschleust,
der im Browser anderer Benutzer ausgeführt wird.
Schutz:
Ausgabe escapen
Eingaben validieren
Content Security Policy
HttpOnly Cookies
sichere Frameworks
Merksatz:
XSS greift Benutzer über den Browser an.
CSRF
CSRF steht für:
Cross-Site Request Forgery
Dabei wird eine bestehende Anmeldung missbraucht,
um ungewollte Aktionen auszulösen.
Schutz:
CSRF-Token
SameSite Cookies
Origin-Prüfung
erneute Bestätigung kritischer Aktionen
Merksatz:
CSRF missbraucht eine gültige Sitzung.
SQL Injection, XSS und CSRF unterscheiden
Angriff
Ziel
Kernproblem
SQL Injection
Datenbank
Eingabe wird SQL-Befehl
XSS
Browser anderer Benutzer
Eingabe wird Skript
CSRF
bestehende Sitzung
fremde Seite löst Aktion aus
Merksatz:
SQL Injection trifft Datenbank.
XSS trifft Browser.
CSRF missbraucht Sitzung.
Broken Authentication
Broken Authentication bedeutet:
Anmeldung oder Sitzungsverwaltung ist unsicher.
Beispiele:
kein MFA
schwache Passwörter
unsichere Passwortzurücksetzung
zu lange Sessions
Tokens unsicher gespeichert
Merksatz:
Broken Authentication gefährdet Konten und Sitzungen.
Broken Access Control
Broken Access Control bedeutet:
Benutzer können auf Daten oder Funktionen zugreifen,
für die sie keine Berechtigung haben.
Beispiele:
fremde Rechnung über geänderte ID anzeigen
Adminfunktion als normaler Benutzer aufrufen
API gibt fremde Daten zurück
Merksatz:
Zugriffskontrolle muss serverseitig geprüft werden.
IDOR
IDOR steht für:
Insecure Direct Object Reference
Dabei kann ein Benutzer durch Änderung einer ID auf fremde Objekte zugreifen.
Merksatz:
IDOR ist fehlende Objektberechtigung.
Schwachstellenmanagement
Schwachstellenmanagement bedeutet:
Schwachstellen erkennen,
bewerten,
priorisieren,
beheben
und dokumentieren.
Dazu gehören:
Inventarisierung
CVE-Bewertung
CVSS-Einordnung
Patchmanagement
Schwachstellenscans
Penetrationstests
Hardening
Dokumentation
Merksatz:
Schwachstellenmanagement ist ein dauerhafter Prozess.
CVE und CVSS
CVE:
eindeutige Kennung für bekannte Schwachstellen
CVSS:
Bewertung der Kritikalität einer Schwachstelle
Merksatz:
CVE benennt.
CVSS bewertet.
Exploit und Zero-Day
Exploit:
Methode oder Code zur Ausnutzung einer Schwachstelle
Zero-Day:
Schwachstelle,
für die noch kein regulärer Patch verfügbar ist
oder die noch nicht öffentlich bekannt war
Merksatz:
Exploit nutzt eine Lücke.
Zero-Day nutzt eine ungepatchte oder unbekannte Lücke.
Patchmanagement
Patchmanagement bedeutet:
Updates werden geplant,
getestet,
verteilt
geprüft
und dokumentiert.
Betroffen sind:
Betriebssysteme
Anwendungen
Browser
Datenbanken
Firewalls
Router
Switches
Firmware
Container-Images
Bibliotheken
Cloud-Systeme
Merksatz:
Patchmanagement ist organisierte Update-Verwaltung.
Patchmanagement-Ablauf
Typischer Ablauf:
1. Systeme inventarisieren.
2. Schwachstellen prüfen.
3. Betroffenheit bewerten.
4. Kritikalität priorisieren.
5. Patch testen.
6. Wartungsfenster planen.
7. Patch ausrollen.
8. Funktion prüfen.
9. Erfolg dokumentieren.
10. Rest-Risiko bewerten.
Merksatz:
Patchmanagement braucht Inventar,
Priorisierung,
Test,
Rollback
und Dokumentation.
Hardening
Hardening bedeutet:
Systeme werden sicherer konfiguriert,
indem unnötige Funktionen deaktiviert
und sichere Einstellungen gesetzt werden.
Beispiele:
unnötige Dienste deaktivieren
offene Ports reduzieren
Standardpasswörter ändern
alte Protokolle abschalten
Rechte minimieren
Logging aktivieren
Adminzugriffe begrenzen
Merksatz:
Hardening reduziert Angriffsfläche.
Baseline
Eine Baseline ist ein definierter sicherer Grundzustand.
Beispiele:
erlaubte Dienste
Passwortregeln
Update-Einstellungen
Logging-Pflicht
Firewall-Grundregeln
TLS-Vorgaben
Rechtevorgaben
Merksatz:
Baseline = festgelegte sichere Standardkonfiguration.
Configuration Drift
Configuration Drift bedeutet:
Die tatsächliche Konfiguration weicht von der geplanten Baseline ab.
Ursachen:
manuelle Änderungen
Notfalländerungen
fehlende Dokumentation
unterschiedliche Installationen
Merksatz:
Configuration Drift macht Systeme schwerer sicher zu betreiben.
Firewall
Eine Firewall filtert Netzwerkverkehr.
Sie prüft zum Beispiel:
Quelle
Ziel
Port
Protokoll
Richtung
Verbindungszustand
Anwendung je nach Firewalltyp
Merksatz:
Firewall begrenzt Netzwerkzugriffe.
Default Deny
Default Deny bedeutet:
standardmäßig ist alles verboten,
nur ausdrücklich erlaubter Verkehr ist erlaubt.
Merksatz:
Default Deny ist sicherer als pauschales Erlauben.
IDS und IPS
IDS:
Intrusion Detection System
erkennt und meldet Angriffe
IPS:
Intrusion Prevention System
erkennt und blockiert Angriffe zusätzlich
Merksatz:
IDS meldet.
IPS greift ein.
Antivirus, EDR und XDR
Antivirus:
erkennt vor allem bekannte Schadsoftware
EDR:
Endpoint Detection and Response,
erkennt und untersucht Angriffe auf Endgeräten
XDR:
Extended Detection and Response,
verbindet mehrere Sicherheitsbereiche
Merksatz:
EDR ist umfassender als klassischer Antivirus.
SIEM, SOC und SOAR
SIEM:
sammelt und korreliert Sicherheitslogs
SOC:
Security Operations Center,
organisatorische Stelle für Sicherheitsüberwachung
SOAR:
automatisiert Sicherheitsreaktionen
Merksatz:
SIEM sammelt Daten.
SOC bewertet.
SOAR automatisiert Reaktionen.
Backup
Backup ist eine zusätzliche Sicherung zur Wiederherstellung.
Wichtig:
regelmäßig
geschützt
verschlüsselt
getrennt
dokumentiert
getestet
Merksatz:
Backup ohne Restore-Test ist unsicher.
Immutable Backup
Immutable Backup bedeutet:
Backup kann für eine festgelegte Zeit nicht verändert oder gelöscht werden.
Schutz gegen:
Ransomware
versehentliche Löschung
kompromittierte Adminzugänge
Merksatz:
Immutable Backup schützt Wiederherstellungsmöglichkeiten.
Incident Response
Incident Response bedeutet:
strukturierte Reaktion auf Sicherheitsvorfälle.
Typische Schritte:
erkennen
bewerten
eindämmen
beseitigen
wiederherstellen
dokumentieren
verbessern
Merksatz:
Incident Response muss vorbereitet sein,
bevor ein Vorfall passiert.
Containment, Eradication und Recovery
Phase
Bedeutung
Containment
Vorfall eindämmen
Eradication
Ursache beseitigen
Recovery
Systeme wiederherstellen
Merksatz:
Erst eindämmen,
dann Ursache beseitigen,
dann sicher wiederherstellen.
Defense in Depth
Defense in Depth bedeutet:
mehrere Schutzschichten werden kombiniert.
Beispiel:
Firewall
plus
MFA
plus
Patchmanagement
plus
EDR
plus
Backup
plus
Monitoring
plus
Schulung
Merksatz:
Sicherheit darf nicht von einer einzigen Maßnahme abhängen.
Technische, organisatorische, personelle und physische Maßnahmen
Maßnahmenart
Beispiele
technisch
Firewall, MFA, EDR, Backup, Verschlüsselung
organisatorisch
Richtlinien, Prozesse, Verantwortlichkeiten
personell
Schulung, Awareness, klare Meldewege
physisch
Zutrittskontrolle, Serverraum, Brandschutz
Merksatz:
Sicherheit besteht aus Technik,
Organisation,
Menschen
und physischem Schutz.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was sind die drei Schutzziele der Informationssicherheit?
- Was bedeutet Vertraulichkeit?
- Was bedeutet Integrität?
- Was bedeutet Verfügbarkeit?
- Was ist der Unterschied zwischen Schwachstelle,
Bedrohung
und Risiko?
- Was ist Malware?
- Was ist der Unterschied zwischen Virus und Wurm?
- Was ist Ransomware?
- Was ist Phishing?
- Was ist Social Engineering?
- Was ist der Unterschied zwischen DoS und DDoS?
- Was ist Man-in-the-Middle?
- Was ist Spoofing?
- Was ist SQL Injection?
- Was ist XSS?
- Was ist CSRF?
- Was ist CVE?
- Was ist CVSS?
- Was ist Patchmanagement?
- Was ist Hardening?
- Was ist eine Firewall?
- Was ist der Unterschied zwischen IDS und IPS?
- Was ist EDR?
- Was ist SIEM?
- Warum sind Backups wichtig?
- Was ist Incident Response?
- Was bedeutet Defense in Depth?
Typische Prüfungsfallen
Vertraulichkeit,
Integrität
und Verfügbarkeit nicht verwechseln.
Ransomware betrifft nicht nur Verfügbarkeit,
sondern oft auch Vertraulichkeit.
Malware ist ein Oberbegriff.
Virus und Wurm unterscheiden.
Phishing ist nicht nur E-Mail.
Social Engineering ist nicht rein technisch.
DoS und DDoS unterscheiden.
DDoS ist verteilt.
MitM sitzt zwischen Kommunikationspartnern.
Spoofing täuscht Herkunft oder Identität vor.
DNSSEC schützt Integrität,
nicht automatisch Vertraulichkeit.
SQL Injection betrifft Datenbanken.
XSS betrifft Browser.
CSRF missbraucht Sitzungen.
Prepared Statements schützen gegen SQL Injection.
Frontend-Validierung ist keine Sicherheitsgrenze.
Zugriffskontrolle muss serverseitig erfolgen.
CVE benennt Schwachstellen.
CVSS bewertet Kritikalität.
Hoher CVSS-Wert ersetzt keine eigene Risikoanalyse.
Patchmanagement ist ein Prozess.
Hardening ist sichere Konfiguration.
Firewall ersetzt kein Patchmanagement.
Antivirus ersetzt kein Sicherheitskonzept.
IDS erkennt,
IPS blockiert zusätzlich.
EDR ist mehr als Antivirus.
SIEM sammelt und korreliert Logs.
Backup verhindert keinen Angriff,
hilft aber bei Wiederherstellung.
Backup ohne Restore-Test ist unsicher.
Security Awareness ist eine Schutzmaßnahme.
Incident Response muss vorbereitet sein.
Sicherheit ist ein Prozess,
kein einmaliger Zustand.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Vertraulichkeit
Schutz vor unberechtigtem Lesen
Integrität
Schutz vor unbemerkter Veränderung
Verfügbarkeit
Nutzbarkeit von Systemen und Daten
Authentizität
Echtheit einer Identität oder Nachricht
Nichtabstreitbarkeit
Nachweisbarkeit einer Handlung
Schwachstelle
ausnutzbare Sicherheitslücke
Bedrohung
mögliches schädliches Ereignis
Risiko
Wahrscheinlichkeit und Auswirkung
Angriffsfläche
Summe möglicher Angriffspunkte
Malware
Schadsoftware
Virus
Schadsoftware mit Wirtsdatei
Wurm
selbstverbreitende Schadsoftware
Trojaner
getarnte Schadsoftware
Ransomware
erpresserische Verschlüsselung oder Sperrung
Phishing
Täuschung zur Datenpreisgabe
Social Engineering
Manipulation von Menschen
Brute Force
systematisches Ausprobieren
Credential Stuffing
Nutzung geleakter Zugangsdaten
Password Spraying
wenige Passwörter gegen viele Konten
DoS
Dienstverweigerung
DDoS
verteilte Dienstverweigerung
MitM
Man-in-the-Middle
Sniffing
Mitschneiden von Verkehr
Spoofing
Vortäuschen falscher Identität
ARP-Spoofing
Manipulation lokaler IP-MAC-Zuordnung
DNS-Spoofing
Manipulation von DNS-Antworten
Rogue DHCP
unautorisierter DHCP-Server
Evil Twin
gefälschter WLAN-Access-Point
SQL Injection
Einschleusen von SQL-Code
XSS
Cross-Site Scripting
CSRF
Cross-Site Request Forgery
IDOR
unsichere direkte Objekt-ID
CVE
Kennung bekannter Schwachstellen
CVSS
Kritikalitätsbewertung
Exploit
Ausnutzung einer Schwachstelle
Zero-Day
ungepatchte oder unbekannte Schwachstelle
Patchmanagement
organisierte Update-Verwaltung
Hardening
sichere Systemhärtung
Baseline
sicherer Grundzustand
Configuration Drift
Abweichung von Soll-Konfiguration
Firewall
Filter für Netzwerkverkehr
IDS
Angriffserkennung
IPS
Angriffserkennung mit Blockierung
Antivirus
Schutz gegen bekannte Schadsoftware
EDR
Endpoint Detection and Response
XDR
Extended Detection and Response
SIEM
Sicherheitslog-Auswertung
SOC
Security Operations Center
SOAR
automatisierte Sicherheitsreaktion
MFA
Multi-Faktor-Authentifizierung
Least Privilege
minimale notwendige Rechte
Backup
zusätzliche Datensicherung
Immutable Backup
unveränderliches Backup
Restore-Test
Prüfung der Wiederherstellung
Incident Response
Reaktion auf Sicherheitsvorfälle
Defense in Depth
mehrschichtige Verteidigung
IHK-sichere Gesamtformulierung
Angriffe und Schutzmaßnahmen in der IT-Sicherheit beziehen sich auf den Schutz der Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit. Angriffe können technische Schwachstellen, unsichere Konfigurationen, menschliches Verhalten, Identitäten, Netzwerke, Webanwendungen oder Lieferketten ausnutzen. Typische Angriffe sind Malware, Ransomware, Phishing, Social Engineering, DoS, DDoS, Man-in-the-Middle, Spoofing, SQL Injection, Cross-Site Scripting und Cross-Site Request Forgery. Schutzmaßnahmen sind unter anderem Patchmanagement, Hardening, Firewalls, Netzwerksegmentierung, MFA, Least Privilege, IDS/IPS, EDR, SIEM, Backups, Restore-Tests, Monitoring, Logging, Schulungen und Incident Response. Ein wirksames Sicherheitskonzept kombiniert mehrere technische, organisatorische, personelle und physische Maßnahmen nach dem Prinzip Defense in Depth.
Wichtigste Merksätze
IT-Sicherheit schützt Vertraulichkeit,
Integrität
und Verfügbarkeit.
Vertraulichkeit schützt vor Mitlesen.
Integrität schützt vor Manipulation.
Verfügbarkeit schützt Nutzbarkeit.
Schwachstelle ist die Lücke.
Bedrohung ist das mögliche Ereignis.
Risiko ist Wahrscheinlichkeit und Auswirkung.
Angriffsfläche reduzieren.
Malware ist Schadsoftware.
Virus hängt sich an Dateien.
Wurm verbreitet sich selbstständig.
Trojaner tarnt sich.
Ransomware verschlüsselt oder sperrt.
Double Extortion bedeutet Verschlüsselung plus Datenabfluss.
Phishing täuscht Benutzer.
Social Engineering manipuliert Menschen.
Phishing ist nicht nur E-Mail.
MFA schützt stark,
aber nicht gegen alles.
Passwörter nicht wiederverwenden.
DoS und DDoS greifen Verfügbarkeit an.
DDoS ist verteilt.
MitM sitzt zwischen Sender und Empfänger.
Sniffing kann nützlich sein,
aber auch missbraucht werden.
Spoofing täuscht Identität oder Herkunft vor.
ARP-Spoofing betrifft lokale Netze.
DNS-Spoofing führt zu falschen Zielen.
Rogue DHCP verteilt falsche Netzwerkeinstellungen.
WLAN braucht starke Absicherung.
SQL Injection betrifft Datenbanken.
XSS betrifft Browser.
CSRF missbraucht Sitzungen.
Prepared Statements schützen vor SQL Injection.
Escaping schützt vor XSS.
CSRF-Token schützen vor CSRF.
Zugriffskontrolle immer serverseitig prüfen.
CVE benennt Schwachstellen.
CVSS bewertet Kritikalität.
Patchmanagement ist ein Prozess.
Hardening reduziert Angriffsfläche.
Baseline definiert sicheren Grundzustand.
Configuration Drift vermeiden.
Firewall begrenzt Netzwerkzugriffe.
Default Deny ist sicherer.
IDS erkennt.
IPS blockiert zusätzlich.
EDR schützt Endgeräte tiefer als Antivirus.
SIEM korreliert Sicherheitslogs.
Backup verhindert keinen Angriff,
hilft aber bei Wiederherstellung.
Restore-Test ist Pflicht.
Immutable Backup schützt vor Manipulation.
Incident Response vorbereiten.
Defense in Depth kombiniert Schutzschichten.
Sicherheit ist ein dauerhafter Prozess.
16.7 Merksätze und Prüfungswissen zu Angriffen und Schutzmaßnahmen
Diese Seite fasst die wichtigsten Inhalte zu Angriffen,
Schwachstellen,
Schadsoftware,
Phishing,
Netzwerkangriffen,
Webangriffen
und Schutzmaßnahmen zusammen.
Das Thema ist prüfungsrelevant,
weil es viele Bereiche verbindet:
- Informationssicherheit
- Netzwerktechnik
- Betriebssysteme
- Anwendungen
- Benutzerkonten
- Cloud
- Backup
- Datenschutz
- Monitoring
- Incident Response
Merksatz:
IT-Sicherheit schützt Vertraulichkeit,
Integrität
und Verfügbarkeit.
Die drei wichtigsten Schutzziele
Die wichtigsten Schutzziele der Informationssicherheit sind:
Vertraulichkeit
Integrität
Verfügbarkeit
Diese drei Begriffe bilden die Grundlage vieler Sicherheitsfragen.
Merksatz:
Vertraulichkeit,
Integrität
und Verfügbarkeit immer sauber unterscheiden.
Vertraulichkeit
Vertraulichkeit bedeutet:
Informationen dürfen nur von berechtigten Personen gelesen werden.
Beispiele:
Kundendaten
Passwörter
Personalakten
interne Dokumente
Zugangsdaten
Geschäftsgeheimnisse
Angriffe auf Vertraulichkeit:
Phishing
Sniffing
Spyware
Datenabfluss
unberechtigte Freigaben
gestohlene Zugangsdaten
Merksatz:
Vertraulichkeit schützt vor unberechtigtem Lesen.
Integrität
Integrität bedeutet:
Daten dürfen nicht unbemerkt verändert werden.
Beispiele:
Rechnung wird manipuliert.
Datenbankeintrag wird verändert.
Konfigurationsdatei wird heimlich angepasst.
Softwareupdate wird verfälscht.
Angriffe auf Integrität:
Man-in-the-Middle
Malware
SQL Injection
Supply-Chain-Angriff
unberechtigte Änderung
Merksatz:
Integrität schützt vor unbemerkter Manipulation.
Verfügbarkeit
Verfügbarkeit bedeutet:
Systeme,
Dienste
und Daten sind bei Bedarf nutzbar.
Beispiele:
Webseite erreichbar
Datenbank verfügbar
Netzwerk funktioniert
Dateien sind nutzbar
Backup kann wiederhergestellt werden
Angriffe auf Verfügbarkeit:
DoS
DDoS
Ransomware
Sabotage
Überlastung
Systemausfall
Merksatz:
Verfügbarkeit schützt die Nutzbarkeit von IT-Systemen.
CIA-Triade
CIA steht für:
Confidentiality
Integrity
Availability
Deutsch:
Vertraulichkeit
Integrität
Verfügbarkeit
Merksatz:
CIA-Triade = Vertraulichkeit,
Integrität
Verfügbarkeit.
Authentizität
Authentizität bedeutet:
Die Echtheit einer Person,
eines Systems
oder einer Nachricht ist überprüfbar.
Beispiele:
Ist der Benutzer wirklich der richtige Benutzer?
Ist der Server wirklich der richtige Server?
Stammt die Nachricht wirklich vom angegebenen Absender?
Merksatz:
Authentizität schützt vor falscher Identität.
Nichtabstreitbarkeit
Nichtabstreitbarkeit bedeutet:
Eine Handlung kann später nachgewiesen werden
und nicht glaubwürdig abgestritten werden.
Beispiele:
digitale Signatur
Zeitstempel
Audit-Log
eindeutiges Benutzerkonto
Merksatz:
Nichtabstreitbarkeit sorgt für Nachweisbarkeit.
Schwachstelle, Bedrohung und Risiko
Begriff
Bedeutung
Schwachstelle
ausnutzbare Sicherheitslücke
Bedrohung
mögliches schädliches Ereignis
Risiko
Wahrscheinlichkeit und Auswirkung eines Schadens
Schutzmaßnahme
reduziert ein Risiko
Merksatz:
Schwachstelle ist die Lücke.
Bedrohung ist das Ereignis.
Risiko ist die bewertete Gefahr.
Angriffsfläche
Angriffsfläche bedeutet:
alle Stellen,
an denen ein System angegriffen werden kann.
Beispiele:
offene Ports
Webanwendungen
Benutzerkonten
VPN-Zugänge
E-Mail
APIs
Cloud-Freigaben
veraltete Software
unsichere Dienste
Merksatz:
Je größer die Angriffsfläche,
desto mehr mögliche Angriffspunkte.
Angriffsfläche reduzieren
Maßnahmen:
unnötige Dienste deaktivieren
offene Ports reduzieren
Standardkonten deaktivieren
starke Authentifizierung nutzen
Systeme patchen
Rechte begrenzen
Netzbereiche segmentieren
öffentliche Freigaben prüfen
sichere Konfiguration verwenden
Merksatz:
Nicht benötigte Dienste und Zugänge entfernen.
Malware
Malware ist ein Oberbegriff für Schadsoftware.
Beispiele:
Virus
Wurm
Trojaner
Ransomware
Spyware
Keylogger
Rootkit
Botnet-Client
Cryptominer
Merksatz:
Malware ist Software mit schädlicher Funktion.
Virus
Ein Virus hängt sich häufig an Dateien oder Programme an
und wird aktiv,
wenn diese ausgeführt werden.
Merksatz:
Virus braucht oft eine Wirtsdatei oder Benutzeraktion.
Wurm
Ein Wurm verbreitet sich selbstständig über Netzwerke oder Schwachstellen.
Merksatz:
Wurm verbreitet sich selbstständig.
Trojaner
Ein Trojaner tarnt sich als nützliches Programm,
enthält aber Schadfunktionen.
Merksatz:
Trojaner täuscht Harmlosigkeit oder Nützlichkeit vor.
Ransomware
Ransomware verschlüsselt Daten oder sperrt Systeme
und fordert Lösegeld.
Sie betrifft besonders:
Verfügbarkeit
und oft zusätzlich:
Vertraulichkeit
Merksatz:
Ransomware greift Verfügbarkeit
und bei Datenabfluss auch Vertraulichkeit an.
Double Extortion
Double Extortion bedeutet:
Daten werden verschlüsselt
und
zusätzlich wird mit Veröffentlichung gestohlener Daten gedroht.
Merksatz:
Double Extortion = Verschlüsselung plus Datenabfluss.
Schutz vor Ransomware
Wichtige Maßnahmen:
Immutable Backups
Offline-Backups
regelmäßige Restore-Tests
Patchmanagement
EDR
MFA
Least Privilege
keine lokalen Adminrechte
Netzwerksegmentierung
Monitoring
schnelle Isolation betroffener Systeme
Merksatz:
Gegen Ransomware sind Backup,
Rechtebegrenzung
Segmentierung
und schnelle Reaktion besonders wichtig.
Phishing
Phishing ist Täuschung,
um Benutzer zur Preisgabe vertraulicher Informationen
oder zu gefährlichen Aktionen zu bringen.
Ziele:
Passwörter
MFA-Codes
Zugangstokens
Bankdaten
Cloud-Zugänge
VPN-Zugänge
interne Informationen
Merksatz:
Phishing greift Menschen über Täuschung an.
Social Engineering
Social Engineering manipuliert Menschen,
um Sicherheitsmaßnahmen zu umgehen.
Angreifer nutzen:
Zeitdruck
Angst
Autorität
Hilfsbereitschaft
Vertrauen
Neugier
Gewohnheit
Merksatz:
Social Engineering greift Verhalten und Prozesse an.
Spear Phishing und Whaling
Spear Phishing:
gezieltes Phishing gegen bestimmte Personen oder Organisationen
Whaling:
Phishing gegen besonders wichtige Personen
Beispiele für Whaling-Ziele:
Geschäftsführung
Finanzleitung
Administratoren
Personalabteilung
Merksatz:
Spear Phishing ist gezielt.
Whaling trifft besonders wertvolle Ziele.
Smishing, Vishing und Quishing
Begriff
Bedeutung
Smishing
Phishing per SMS
Vishing
Phishing per Telefon
Quishing
Phishing über QR-Code
Merksatz:
Phishing ist nicht auf E-Mail beschränkt.
CEO-Fraud und BEC
CEO-Fraud:
Angreifer geben sich als Führungskraft aus
und fordern dringende Aktionen.
BEC:
Business E-Mail Compromise,
Missbrauch oder Nachahmung geschäftlicher E-Mail-Kommunikation.
Merksatz:
CEO-Fraud und BEC nutzen Vertrauen,
Autorität
und Geschäftsprozesse.
Identitätsangriffe
Identitätsangriffe richten sich gegen Benutzerkonten und Anmeldungen.
Typische Formen:
Brute Force
Credential Stuffing
Password Spraying
Phishing
Session Hijacking
MFA-Missbrauch
Account Takeover
Merksatz:
Wer Identitäten kontrolliert,
kontrolliert oft den Zugriff.
Brute Force
Brute Force bedeutet:
Passwörter werden systematisch ausprobiert.
Schutz:
starke Passwörter
MFA
Rate Limiting
Sperrmechanismen
Monitoring
Merksatz:
Brute Force wird durch Begrenzung und MFA erschwert.
Credential Stuffing
Credential Stuffing bedeutet:
geleakte Zugangsdaten aus anderen Diensten werden erneut ausprobiert.
Schutz:
eindeutige Passwörter
Passwortmanager
MFA
Leak-Erkennung
Merksatz:
Credential Stuffing nutzt Passwort-Wiederverwendung.
Password Spraying
Password Spraying bedeutet:
wenige häufige Passwörter werden gegen viele Konten getestet.
Merksatz:
Password Spraying verteilt wenige Passwörter auf viele Benutzer.
MFA
MFA steht für:
Multi-Faktor-Authentifizierung
MFA schützt,
weil zusätzlich zum Passwort ein weiterer Faktor nötig ist.
Merksatz:
MFA reduziert Schaden durch gestohlene Passwörter.
MFA ist nicht unfehlbar
Mögliche Angriffe trotz MFA:
MFA-Push-Fatigue
gestohlene Session-Tokens
Phishing mit Echtzeit-Weiterleitung
kompromittiertes Endgerät
Social Engineering beim Support
SIM-Swapping bei SMS-MFA
Merksatz:
MFA ist sehr wichtig,
aber kein vollständiger Ersatz für Sicherheitskonzept.
DoS und DDoS
DoS:
Denial of Service
DDoS:
Distributed Denial of Service
Unterschied:
Angriff
Bedeutung
DoS
Dienst wird gestört oder überlastet
DDoS
verteilter DoS von vielen Quellen
Merksatz:
DoS und DDoS greifen Verfügbarkeit an.
DDoS-Schutz
Maßnahmen:
DDoS-Schutzdienst
Provider-Unterstützung
CDN
Anycast
Load Balancer
Rate Limiting
Firewall-Regeln
WAF
Monitoring
Notfallplan
Merksatz:
DDoS-Schutz muss vorbereitet sein.
Man-in-the-Middle
Bei Man-in-the-Middle befindet sich ein Angreifer zwischen zwei Kommunikationspartnern.
Ziele:
Daten mitlesen
Daten verändern
Zugangsdaten abgreifen
Sitzungen übernehmen
Merksatz:
MitM sitzt zwischen Sender und Empfänger.
Schutz vor Man-in-the-Middle
Maßnahmen:
TLS korrekt nutzen
Zertifikate prüfen
Zertifikatswarnungen nicht ignorieren
VPN in unsicheren Netzen
HSTS
sichere WLAN-Konfiguration
DNS-Schutz
MFA
Merksatz:
TLS schützt nur,
wenn Zertifikate korrekt geprüft werden.
Sniffing
Sniffing bedeutet:
Netzwerkverkehr wird mitgeschnitten oder beobachtet.
Es kann genutzt werden für:
Fehlersuche
oder missbraucht werden für:
Abhören
Passwortdiebstahl
Sitzungsdiebstahl
Merksatz:
Sniffing ist Werkzeug und Risiko zugleich.
Spoofing
Spoofing bedeutet:
Herkunft,
Adresse
oder Identität wird vorgetäuscht.
Beispiele:
IP-Spoofing
MAC-Spoofing
ARP-Spoofing
DNS-Spoofing
E-Mail-Spoofing
Merksatz:
Spoofing täuscht Identität oder Herkunft vor.
ARP-Spoofing
ARP-Spoofing manipuliert die Zuordnung von IPv4-Adresse zu MAC-Adresse im lokalen Netz.
Mögliche Folge:
Man-in-the-Middle
Schutz:
DHCP Snooping
Dynamic ARP Inspection
Segmentierung
TLS
Merksatz:
ARP-Spoofing greift lokale Layer-2-Kommunikation an.
DNS-Spoofing
DNS-Spoofing manipuliert die Namensauflösung.
Folge:
Benutzer wird zu falscher IP-Adresse geleitet.
Schutz:
vertrauenswürdige DNS-Resolver
DNSSEC
TLS-Zertifikatsprüfung
sichere DHCP-Konfiguration
Merksatz:
DNS-Spoofing führt Namen zu falschen Zielen.
Rogue DHCP
Rogue DHCP bedeutet:
ein unautorisierter DHCP-Server verteilt falsche Netzwerkeinstellungen.
Mögliche Folgen:
falsches Gateway
falscher DNS-Server
Man-in-the-Middle
Netzwerkstörung
Schutz:
DHCP Snooping
Switchport-Sicherheit
Monitoring
physische Zugangskontrolle
Merksatz:
Rogue DHCP verteilt falsche Netzwerkkonfiguration.
WLAN-Angriffe
Typische WLAN-Angriffe:
Evil Twin
Rogue Access Point
unsichere Verschlüsselung
falsches Captive Portal
Deauthentication
Mitschneiden unverschlüsselter Kommunikation
Schutz:
WPA2-Enterprise oder WPA3
802.1X
starke Passwörter
Zertifikatsprüfung
Gastnetztrennung
Rogue-AP-Erkennung
Merksatz:
WLAN braucht Verschlüsselung,
Authentifizierung
und Segmentierung.
Webangriffe
Typische Webangriffe:
SQL Injection
Cross-Site Scripting
Cross-Site Request Forgery
Directory Traversal
File Upload Attack
Broken Authentication
Broken Access Control
unsichere APIs
unsichere Fehlerausgaben
Merksatz:
Webangriffe nutzen oft Eingaben,
Sitzungen
oder Berechtigungen aus.
SQL Injection
SQL Injection bedeutet:
Angreifer schleust SQL-Code in Eingaben ein.
Folgen:
Daten auslesen
Daten verändern
Login umgehen
Daten löschen
Schutz:
Prepared Statements
parametrisierte Abfragen
Eingabevalidierung
Datenbankrechte begrenzen
Merksatz:
SQL Injection macht Eingabe zu Datenbankbefehl.
Cross-Site Scripting
Cross-Site Scripting wird abgekürzt:
XSS
Dabei wird Skriptcode in eine Webseite eingeschleust,
der im Browser anderer Benutzer ausgeführt wird.
Schutz:
Ausgabe escapen
Eingaben validieren
Content Security Policy
HttpOnly Cookies
sichere Frameworks
Merksatz:
XSS greift Benutzer über den Browser an.
CSRF
CSRF steht für:
Cross-Site Request Forgery
Dabei wird eine bestehende Anmeldung missbraucht,
um ungewollte Aktionen auszulösen.
Schutz:
CSRF-Token
SameSite Cookies
Origin-Prüfung
erneute Bestätigung kritischer Aktionen
Merksatz:
CSRF missbraucht eine gültige Sitzung.
SQL Injection, XSS und CSRF unterscheiden
Angriff
Ziel
Kernproblem
SQL Injection
Datenbank
Eingabe wird SQL-Befehl
XSS
Browser anderer Benutzer
Eingabe wird Skript
CSRF
bestehende Sitzung
fremde Seite löst Aktion aus
Merksatz:
SQL Injection trifft Datenbank.
XSS trifft Browser.
CSRF missbraucht Sitzung.
Broken Authentication
Broken Authentication bedeutet:
Anmeldung oder Sitzungsverwaltung ist unsicher.
Beispiele:
kein MFA
schwache Passwörter
unsichere Passwortzurücksetzung
zu lange Sessions
Tokens unsicher gespeichert
Merksatz:
Broken Authentication gefährdet Konten und Sitzungen.
Broken Access Control
Broken Access Control bedeutet:
Benutzer können auf Daten oder Funktionen zugreifen,
für die sie keine Berechtigung haben.
Beispiele:
fremde Rechnung über geänderte ID anzeigen
Adminfunktion als normaler Benutzer aufrufen
API gibt fremde Daten zurück
Merksatz:
Zugriffskontrolle muss serverseitig geprüft werden.
IDOR
IDOR steht für:
Insecure Direct Object Reference
Dabei kann ein Benutzer durch Änderung einer ID auf fremde Objekte zugreifen.
Merksatz:
IDOR ist fehlende Objektberechtigung.
Schwachstellenmanagement
Schwachstellenmanagement bedeutet:
Schwachstellen erkennen,
bewerten,
priorisieren,
beheben
und dokumentieren.
Dazu gehören:
Inventarisierung
CVE-Bewertung
CVSS-Einordnung
Patchmanagement
Schwachstellenscans
Penetrationstests
Hardening
Dokumentation
Merksatz:
Schwachstellenmanagement ist ein dauerhafter Prozess.
CVE und CVSS
CVE:
eindeutige Kennung für bekannte Schwachstellen
CVSS:
Bewertung der Kritikalität einer Schwachstelle
Merksatz:
CVE benennt.
CVSS bewertet.
Exploit und Zero-Day
Exploit:
Methode oder Code zur Ausnutzung einer Schwachstelle
Zero-Day:
Schwachstelle,
für die noch kein regulärer Patch verfügbar ist
oder die noch nicht öffentlich bekannt war
Merksatz:
Exploit nutzt eine Lücke.
Zero-Day nutzt eine ungepatchte oder unbekannte Lücke.
Patchmanagement
Patchmanagement bedeutet:
Updates werden geplant,
getestet,
verteilt
geprüft
und dokumentiert.
Betroffen sind:
Betriebssysteme
Anwendungen
Browser
Datenbanken
Firewalls
Router
Switches
Firmware
Container-Images
Bibliotheken
Cloud-Systeme
Merksatz:
Patchmanagement ist organisierte Update-Verwaltung.
Patchmanagement-Ablauf
Typischer Ablauf:
1. Systeme inventarisieren.
2. Schwachstellen prüfen.
3. Betroffenheit bewerten.
4. Kritikalität priorisieren.
5. Patch testen.
6. Wartungsfenster planen.
7. Patch ausrollen.
8. Funktion prüfen.
9. Erfolg dokumentieren.
10. Rest-Risiko bewerten.
Merksatz:
Patchmanagement braucht Inventar,
Priorisierung,
Test,
Rollback
und Dokumentation.
Hardening
Hardening bedeutet:
Systeme werden sicherer konfiguriert,
indem unnötige Funktionen deaktiviert
und sichere Einstellungen gesetzt werden.
Beispiele:
unnötige Dienste deaktivieren
offene Ports reduzieren
Standardpasswörter ändern
alte Protokolle abschalten
Rechte minimieren
Logging aktivieren
Adminzugriffe begrenzen
Merksatz:
Hardening reduziert Angriffsfläche.
Baseline
Eine Baseline ist ein definierter sicherer Grundzustand.
Beispiele:
erlaubte Dienste
Passwortregeln
Update-Einstellungen
Logging-Pflicht
Firewall-Grundregeln
TLS-Vorgaben
Rechtevorgaben
Merksatz:
Baseline = festgelegte sichere Standardkonfiguration.
Configuration Drift
Configuration Drift bedeutet:
Die tatsächliche Konfiguration weicht von der geplanten Baseline ab.
Ursachen:
manuelle Änderungen
Notfalländerungen
fehlende Dokumentation
unterschiedliche Installationen
Merksatz:
Configuration Drift macht Systeme schwerer sicher zu betreiben.
Firewall
Eine Firewall filtert Netzwerkverkehr.
Sie prüft zum Beispiel:
Quelle
Ziel
Port
Protokoll
Richtung
Verbindungszustand
Anwendung je nach Firewalltyp
Merksatz:
Firewall begrenzt Netzwerkzugriffe.
Default Deny
Default Deny bedeutet:
standardmäßig ist alles verboten,
nur ausdrücklich erlaubter Verkehr ist erlaubt.
Merksatz:
Default Deny ist sicherer als pauschales Erlauben.
IDS und IPS
IDS:
Intrusion Detection System
erkennt und meldet Angriffe
IPS:
Intrusion Prevention System
erkennt und blockiert Angriffe zusätzlich
Merksatz:
IDS meldet.
IPS greift ein.
Antivirus, EDR und XDR
Antivirus:
erkennt vor allem bekannte Schadsoftware
EDR:
Endpoint Detection and Response,
erkennt und untersucht Angriffe auf Endgeräten
XDR:
Extended Detection and Response,
verbindet mehrere Sicherheitsbereiche
Merksatz:
EDR ist umfassender als klassischer Antivirus.
SIEM, SOC und SOAR
SIEM:
sammelt und korreliert Sicherheitslogs
SOC:
Security Operations Center,
organisatorische Stelle für Sicherheitsüberwachung
SOAR:
automatisiert Sicherheitsreaktionen
Merksatz:
SIEM sammelt Daten.
SOC bewertet.
SOAR automatisiert Reaktionen.
Backup
Backup ist eine zusätzliche Sicherung zur Wiederherstellung.
Wichtig:
regelmäßig
geschützt
verschlüsselt
getrennt
dokumentiert
getestet
Merksatz:
Backup ohne Restore-Test ist unsicher.
Immutable Backup
Immutable Backup bedeutet:
Backup kann für eine festgelegte Zeit nicht verändert oder gelöscht werden.
Schutz gegen:
Ransomware
versehentliche Löschung
kompromittierte Adminzugänge
Merksatz:
Immutable Backup schützt Wiederherstellungsmöglichkeiten.
Incident Response
Incident Response bedeutet:
strukturierte Reaktion auf Sicherheitsvorfälle.
Typische Schritte:
erkennen
bewerten
eindämmen
beseitigen
wiederherstellen
dokumentieren
verbessern
Merksatz:
Incident Response muss vorbereitet sein,
bevor ein Vorfall passiert.
Containment, Eradication und Recovery
Phase
Bedeutung
Containment
Vorfall eindämmen
Eradication
Ursache beseitigen
Recovery
Systeme wiederherstellen
Merksatz:
Erst eindämmen,
dann Ursache beseitigen,
dann sicher wiederherstellen.
Defense in Depth
Defense in Depth bedeutet:
mehrere Schutzschichten werden kombiniert.
Beispiel:
Firewall
plus
MFA
plus
Patchmanagement
plus
EDR
plus
Backup
plus
Monitoring
plus
Schulung
Merksatz:
Sicherheit darf nicht von einer einzigen Maßnahme abhängen.
Technische, organisatorische, personelle und physische Maßnahmen
Maßnahmenart
Beispiele
technisch
Firewall, MFA, EDR, Backup, Verschlüsselung
organisatorisch
Richtlinien, Prozesse, Verantwortlichkeiten
personell
Schulung, Awareness, klare Meldewege
physisch
Zutrittskontrolle, Serverraum, Brandschutz
Merksatz:
Sicherheit besteht aus Technik,
Organisation,
Menschen
und physischem Schutz.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was sind die drei Schutzziele der Informationssicherheit?
- Was bedeutet Vertraulichkeit?
- Was bedeutet Integrität?
- Was bedeutet Verfügbarkeit?
- Was ist der Unterschied zwischen Schwachstelle,
Bedrohung
und Risiko?
- Was ist Malware?
- Was ist der Unterschied zwischen Virus und Wurm?
- Was ist Ransomware?
- Was ist Phishing?
- Was ist Social Engineering?
- Was ist der Unterschied zwischen DoS und DDoS?
- Was ist Man-in-the-Middle?
- Was ist Spoofing?
- Was ist SQL Injection?
- Was ist XSS?
- Was ist CSRF?
- Was ist CVE?
- Was ist CVSS?
- Was ist Patchmanagement?
- Was ist Hardening?
- Was ist eine Firewall?
- Was ist der Unterschied zwischen IDS und IPS?
- Was ist EDR?
- Was ist SIEM?
- Warum sind Backups wichtig?
- Was ist Incident Response?
- Was bedeutet Defense in Depth?
Typische Prüfungsfallen
Vertraulichkeit,
Integrität
und Verfügbarkeit nicht verwechseln.
Ransomware betrifft nicht nur Verfügbarkeit,
sondern oft auch Vertraulichkeit.
Malware ist ein Oberbegriff.
Virus und Wurm unterscheiden.
Phishing ist nicht nur E-Mail.
Social Engineering ist nicht rein technisch.
DoS und DDoS unterscheiden.
DDoS ist verteilt.
MitM sitzt zwischen Kommunikationspartnern.
Spoofing täuscht Herkunft oder Identität vor.
DNSSEC schützt Integrität,
nicht automatisch Vertraulichkeit.
SQL Injection betrifft Datenbanken.
XSS betrifft Browser.
CSRF missbraucht Sitzungen.
Prepared Statements schützen gegen SQL Injection.
Frontend-Validierung ist keine Sicherheitsgrenze.
Zugriffskontrolle muss serverseitig erfolgen.
CVE benennt Schwachstellen.
CVSS bewertet Kritikalität.
Hoher CVSS-Wert ersetzt keine eigene Risikoanalyse.
Patchmanagement ist ein Prozess.
Hardening ist sichere Konfiguration.
Firewall ersetzt kein Patchmanagement.
Antivirus ersetzt kein Sicherheitskonzept.
IDS erkennt,
IPS blockiert zusätzlich.
EDR ist mehr als Antivirus.
SIEM sammelt und korreliert Logs.
Backup verhindert keinen Angriff,
hilft aber bei Wiederherstellung.
Backup ohne Restore-Test ist unsicher.
Security Awareness ist eine Schutzmaßnahme.
Incident Response muss vorbereitet sein.
Sicherheit ist ein Prozess,
kein einmaliger Zustand.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Vertraulichkeit
Schutz vor unberechtigtem Lesen
Integrität
Schutz vor unbemerkter Veränderung
Verfügbarkeit
Nutzbarkeit von Systemen und Daten
Authentizität
Echtheit einer Identität oder Nachricht
Nichtabstreitbarkeit
Nachweisbarkeit einer Handlung
Schwachstelle
ausnutzbare Sicherheitslücke
Bedrohung
mögliches schädliches Ereignis
Risiko
Wahrscheinlichkeit und Auswirkung
Angriffsfläche
Summe möglicher Angriffspunkte
Malware
Schadsoftware
Virus
Schadsoftware mit Wirtsdatei
Wurm
selbstverbreitende Schadsoftware
Trojaner
getarnte Schadsoftware
Ransomware
erpresserische Verschlüsselung oder Sperrung
Phishing
Täuschung zur Datenpreisgabe
Social Engineering
Manipulation von Menschen
Brute Force
systematisches Ausprobieren
Credential Stuffing
Nutzung geleakter Zugangsdaten
Password Spraying
wenige Passwörter gegen viele Konten
DoS
Dienstverweigerung
DDoS
verteilte Dienstverweigerung
MitM
Man-in-the-Middle
Sniffing
Mitschneiden von Verkehr
Spoofing
Vortäuschen falscher Identität
ARP-Spoofing
Manipulation lokaler IP-MAC-Zuordnung
DNS-Spoofing
Manipulation von DNS-Antworten
Rogue DHCP
unautorisierter DHCP-Server
Evil Twin
gefälschter WLAN-Access-Point
SQL Injection
Einschleusen von SQL-Code
XSS
Cross-Site Scripting
CSRF
Cross-Site Request Forgery
IDOR
unsichere direkte Objekt-ID
CVE
Kennung bekannter Schwachstellen
CVSS
Kritikalitätsbewertung
Exploit
Ausnutzung einer Schwachstelle
Zero-Day
ungepatchte oder unbekannte Schwachstelle
Patchmanagement
organisierte Update-Verwaltung
Hardening
sichere Systemhärtung
Baseline
sicherer Grundzustand
Configuration Drift
Abweichung von Soll-Konfiguration
Firewall
Filter für Netzwerkverkehr
IDS
Angriffserkennung
IPS
Angriffserkennung mit Blockierung
Antivirus
Schutz gegen bekannte Schadsoftware
EDR
Endpoint Detection and Response
XDR
Extended Detection and Response
SIEM
Sicherheitslog-Auswertung
SOC
Security Operations Center
SOAR
automatisierte Sicherheitsreaktion
MFA
Multi-Faktor-Authentifizierung
Least Privilege
minimale notwendige Rechte
Backup
zusätzliche Datensicherung
Immutable Backup
unveränderliches Backup
Restore-Test
Prüfung der Wiederherstellung
Incident Response
Reaktion auf Sicherheitsvorfälle
Defense in Depth
mehrschichtige Verteidigung
IHK-sichere Gesamtformulierung
Angriffe und Schutzmaßnahmen in der IT-Sicherheit beziehen sich auf den Schutz der Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit. Angriffe können technische Schwachstellen, unsichere Konfigurationen, menschliches Verhalten, Identitäten, Netzwerke, Webanwendungen oder Lieferketten ausnutzen. Typische Angriffe sind Malware, Ransomware, Phishing, Social Engineering, DoS, DDoS, Man-in-the-Middle, Spoofing, SQL Injection, Cross-Site Scripting und Cross-Site Request Forgery. Schutzmaßnahmen sind unter anderem Patchmanagement, Hardening, Firewalls, Netzwerksegmentierung, MFA, Least Privilege, IDS/IPS, EDR, SIEM, Backups, Restore-Tests, Monitoring, Logging, Schulungen und Incident Response. Ein wirksames Sicherheitskonzept kombiniert mehrere technische, organisatorische, personelle und physische Maßnahmen nach dem Prinzip Defense in Depth.
Wichtigste Merksätze
IT-Sicherheit schützt Vertraulichkeit,
Integrität
und Verfügbarkeit.
Vertraulichkeit schützt vor Mitlesen.
Integrität schützt vor Manipulation.
Verfügbarkeit schützt Nutzbarkeit.
Schwachstelle ist die Lücke.
Bedrohung ist das mögliche Ereignis.
Risiko ist Wahrscheinlichkeit und Auswirkung.
Angriffsfläche reduzieren.
Malware ist Schadsoftware.
Virus hängt sich an Dateien.
Wurm verbreitet sich selbstständig.
Trojaner tarnt sich.
Ransomware verschlüsselt oder sperrt.
Double Extortion bedeutet Verschlüsselung plus Datenabfluss.
Phishing täuscht Benutzer.
Social Engineering manipuliert Menschen.
Phishing ist nicht nur E-Mail.
MFA schützt stark,
aber nicht gegen alles.
Passwörter nicht wiederverwenden.
DoS und DDoS greifen Verfügbarkeit an.
DDoS ist verteilt.
MitM sitzt zwischen Sender und Empfänger.
Sniffing kann nützlich sein,
aber auch missbraucht werden.
Spoofing täuscht Identität oder Herkunft vor.
ARP-Spoofing betrifft lokale Netze.
DNS-Spoofing führt zu falschen Zielen.
Rogue DHCP verteilt falsche Netzwerkeinstellungen.
WLAN braucht starke Absicherung.
SQL Injection betrifft Datenbanken.
XSS betrifft Browser.
CSRF missbraucht Sitzungen.
Prepared Statements schützen vor SQL Injection.
Escaping schützt vor XSS.
CSRF-Token schützen vor CSRF.
Zugriffskontrolle immer serverseitig prüfen.
CVE benennt Schwachstellen.
CVSS bewertet Kritikalität.
Patchmanagement ist ein Prozess.
Hardening reduziert Angriffsfläche.
Baseline definiert sicheren Grundzustand.
Configuration Drift vermeiden.
Firewall begrenzt Netzwerkzugriffe.
Default Deny ist sicherer.
IDS erkennt.
IPS blockiert zusätzlich.
EDR schützt Endgeräte tiefer als Antivirus.
SIEM korreliert Sicherheitslogs.
Backup verhindert keinen Angriff,
hilft aber bei Wiederherstellung.
Restore-Test ist Pflicht.
Immutable Backup schützt vor Manipulation.
Incident Response vorbereiten.
Defense in Depth kombiniert Schutzschichten.
Sicherheit ist ein dauerhafter Prozess.
17. Praxis – Netzwerkadministration und Systemzugriff
Windows --> Linux
SSH-KEY-LOGIN (Windows → Ubuntu)
Key auf Windows erstellen
ssh-keygen -t ed25519
→ Dateien:
C:\Users.ssh\id_ed25519 (PRIVATE)
C:\Users.ssh\id_ed25519.pub (PUBLIC)
Public Key per SCP auf den Server kopieren (in Windows)
scp $env:USERPROFILE.ssh\id_ed25519.pub admini@192.168.33.XXX:~/id_ed25519.pub
Auf dem Server: Key in authorized_keys eintragen (in Linux)
ssh admini@ 192.168.33.XXX
mkdir -p ~/.ssh
cat ~/id_ed25519.pub >> ~/.ssh/authorized_keys
rm ~/id_ed25519.pub
Auf dem Server: Rechte setzen (sonst kann SSH ablehnen)
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys
Test von Windows
ssh admini@ 192.168.33.XXX
17.1 Praxis – Netzwerkadministration und Systemzugriff
In der Netzwerkadministration geht es darum,
IT-Systeme,
Netzwerke,
Benutzer,
Dienste
und Zugriffe sicher zu verwalten.
Dabei werden technische Werkzeuge,
Berechtigungen,
Protokolle
und Sicherheitsregeln kombiniert.
Typische Aufgaben sind:
- Systeme administrieren
- Netzwerkfehler suchen
- Benutzerrechte verwalten
- Remotezugriffe einrichten
- Dienste prüfen
- Logs auswerten
- Konfigurationen dokumentieren
- Sicherheitsregeln kontrollieren
- Backups prüfen
- Updates einspielen
Merksatz:
Netzwerkadministration ist die praktische Verwaltung von Systemen,
Diensten,
Zugriffen
und Verbindungen.
Warum Systemzugriff wichtig ist
Administratoren brauchen Zugriff auf Systeme,
um sie zu verwalten.
Gleichzeitig sind Adminzugänge besonders kritisch.
Ein kompromittierter Adminzugang kann ermöglichen:
Serverübernahme
Datenzugriff
Rechteänderungen
Firewalländerungen
Löschen von Backups
Manipulation von Logs
Installation von Malware
Zugriff auf weitere Systeme
Merksatz:
Adminzugänge sind mächtig
und müssen besonders geschützt werden.
Typische Verwaltungszugriffe
Typische Arten des Systemzugriffs:
SSH
RDP
Weboberfläche
Konsole
VPN
Remote-Support-Tool
Managementnetz
API
Cloud-Portal
Verzeichnisdienst
Merksatz:
Je mächtiger der Zugriff,
desto stärker muss er abgesichert werden.
Lokaler Zugriff
Lokaler Zugriff bedeutet:
Administrator arbeitet direkt am Gerät
oder an einer lokalen Konsole.
Beispiele:
Serverkonsole
Monitor und Tastatur am Gerät
lokale Anmeldung am Notebook
lokale Shell
physische Konsole im Serverraum
Vorteil:
funktioniert oft auch,
wenn Netzwerkdienste gestört sind
Nachteil:
physischer Zugang nötig
Merksatz:
Lokaler Zugriff ist direkter Zugriff am System.
Remotezugriff
Remotezugriff bedeutet:
Ein System wird aus der Ferne administriert.
Beispiele:
SSH auf Linux-Server
RDP auf Windows-Server
Weboberfläche eines Routers
VPN ins Firmennetz
Cloud-Konsole
Remote-Support-Sitzung
Merksatz:
Remotezugriff ermöglicht Verwaltung ohne direkten physischen Zugang.
Remotezugriff als Risiko
Remotezugänge sind attraktive Ziele für Angreifer.
Risiken:
Brute Force
Passwortdiebstahl
Phishing
unsichere Ports
ungepatchte Dienste
fehlende MFA
zu breite Firewall-Regeln
veraltete Remote-Software
öffentlich erreichbare Adminoberflächen
Merksatz:
Remotezugänge niemals unnötig offen ins Internet stellen.
Sichere Grundregeln für Remotezugriff
Wichtige Regeln:
nur notwendige Remotezugänge erlauben
MFA nutzen
starke Authentifizierung verwenden
Zugriff über VPN oder Bastion Host
Adminports nicht breit öffentlich öffnen
Quell-IP einschränken
Logging aktivieren
Benutzer eindeutig zuordnen
keine Sammelkonten nutzen
Rechte minimal vergeben
Zugriffe regelmäßig prüfen
Merksatz:
Remotezugriff braucht Authentifizierung,
Zugriffsbeschränkung
Logging
und Rechtebegrenzung.
SSH
SSH steht für:
Secure Shell
SSH wird vor allem genutzt,
um Linux-,
Unix-
oder Netzwerkgeräte sicher aus der Ferne zu verwalten.
SSH ermöglicht:
verschlüsselte Kommandozeile
sichere Anmeldung
Dateiübertragung je nach Werkzeug
Tunnelung
Verwaltung von Servern
Verwaltung von Netzwerkgeräten
Merksatz:
SSH ist ein verschlüsselter Fernzugriff auf die Kommandozeile.
SSH-Port
Der Standardport für SSH ist:
TCP 22
Wichtig:
Ein offener SSH-Port im Internet ist ein häufiges Angriffsziel.
Schutzmaßnahmen:
Zugriff per VPN
Zugriff über Bastion Host
Quell-IP begrenzen
Schlüssel statt Passwort nutzen
MFA je nach Umgebung
Loginversuche begrenzen
Logs überwachen
Merksatz:
SSH ist sicher verschlüsselt,
aber der Zugang muss trotzdem geschützt werden.
SSH mit Passwort
SSH kann mit Benutzername und Passwort genutzt werden.
Risiko:
Passwörter können erraten,
gestohlen
oder wiederverwendet werden.
Schutz:
starke Passwörter
MFA
Rate Limiting
Fail2ban oder vergleichbare Schutzmechanismen
keine Standardkonten
keine Root-Anmeldung direkt
Merksatz:
SSH-Passwortlogin ist möglich,
aber stärker angreifbar als Schlüsselanmeldung.
SSH mit Schlüssel
Bei SSH-Schlüsseln wird ein Schlüsselpaar verwendet.
Es besteht aus:
privatem Schlüssel
und
öffentlichem Schlüssel
Der öffentliche Schlüssel liegt auf dem Server.
Der private Schlüssel bleibt beim Benutzer.
Merksatz:
SSH-Schlüssel bestehen aus privatem und öffentlichem Schlüssel.
Privater SSH-Schlüssel
Der private Schlüssel ist geheim.
Er darf nicht:
weitergegeben werden
öffentlich gespeichert werden
in Repositories liegen
in Tickets kopiert werden
in Chatnachrichten stehen
unverschlüsselt auf fremden Geräten liegen
Merksatz:
Der private SSH-Schlüssel ist wie ein sehr starkes Passwort zu behandeln.
Öffentlicher SSH-Schlüssel
Der öffentliche Schlüssel darf auf Servern hinterlegt werden.
Er ermöglicht,
dass sich der passende private Schlüssel authentifizieren kann.
Wichtig:
öffentlicher Schlüssel ist nicht geheim,
aber seine Zuordnung muss korrekt verwaltet werden.
Merksatz:
Öffentlicher Schlüssel auf Server,
privater Schlüssel beim Benutzer.
SSH-Schlüssel und Passphrase
Ein privater SSH-Schlüssel sollte mit einer Passphrase geschützt werden.
Vorteil:
Wenn der Schlüssel gestohlen wird,
kann er nicht sofort ohne Passphrase genutzt werden.
Merksatz:
SSH-Schlüssel zusätzlich mit Passphrase schützen.
Root-Login über SSH
Direkter Root-Login über SSH ist riskant.
Besser:
normaler Benutzer meldet sich an
danach
Rechteerhöhung mit sudo
Vorteile:
bessere Nachvollziehbarkeit
weniger direkte Angriffsfläche
Benutzeraktionen besser zuordenbar
Merksatz:
Direkten Root-Login vermeiden.
sudo
sudo erlaubt,
einzelne Befehle mit erhöhten Rechten auszuführen.
Vorteile:
normale Anmeldung ohne dauerhafte Adminrechte
gezielte Rechtevergabe
bessere Protokollierung
weniger Risiko als dauerhafte Root-Sitzung
Merksatz:
sudo ermöglicht kontrollierte Rechteerhöhung.
RDP
RDP steht für:
Remote Desktop Protocol
RDP wird häufig genutzt,
um Windows-Systeme grafisch aus der Ferne zu verwalten.
Der Standardport ist:
TCP 3389
Merksatz:
RDP ist grafischer Remotezugriff auf Windows-Systeme.
RDP als Risiko
RDP ist ein häufiges Angriffsziel,
wenn es direkt aus dem Internet erreichbar ist.
Risiken:
Brute Force
Credential Stuffing
Exploits gegen ungepatchte Dienste
Ransomware-Einstieg
gestohlene Zugangsdaten
fehlende MFA
Merksatz:
RDP sollte nicht direkt und breit aus dem Internet erreichbar sein.
RDP sicher nutzen
Schutzmaßnahmen:
RDP nur über VPN
RDP Gateway verwenden
MFA nutzen
Quell-IP einschränken
starke Passwörter
Account Lockout
Network Level Authentication
Updates einspielen
Logs überwachen
Adminrechte begrenzen
Merksatz:
RDP über VPN oder Gateway absichern.
Weboberflächen
Viele Systeme werden über Weboberflächen verwaltet.
Beispiele:
Router
Firewalls
Switches
NAS
Drucker
Hypervisor
Cloud-Portale
Monitoring-Systeme
Backup-Systeme
Risiken:
Standardpasswörter
fehlende Updates
unsichere TLS-Konfiguration
öffentliche Erreichbarkeit
schwache Rechteverwaltung
fehlende MFA
Merksatz:
Admin-Weboberflächen gehören nicht ungeschützt ins Internet.
Weboberflächen sicher betreiben
Maßnahmen:
nur intern oder über VPN erreichbar machen
starke Passwörter
MFA wenn möglich
HTTPS nutzen
Zertifikate prüfen
Standardkonten deaktivieren
Updates einspielen
Zugriff protokollieren
Rollen und Rechte begrenzen
Merksatz:
Webadministration braucht Zugriffsschutz,
Verschlüsselung
und Updates.
VPN für Administration
VPN ermöglicht,
dass Administratoren sicher in ein internes Netz gelangen.
Vorteile:
Adminports müssen nicht direkt öffentlich sein
Zugriff kann zentral gesteuert werden
MFA kann vorgeschaltet werden
interne Dienste bleiben privat
Logs können zentral ausgewertet werden
Merksatz:
VPN schützt Adminzugänge,
ersetzt aber keine Rechteverwaltung.
Bastion Host
Ein Bastion Host ist ein besonders geschützter Sprungserver.
Ablauf:
Administrator
verbindet sich zum Bastion Host
und von dort
zum Zielsystem
Vorteile:
weniger direkte Adminzugänge
zentrale Protokollierung
Zugriff kontrollierbarer
Zielsysteme bleiben privat
Merksatz:
Bastion Host bündelt und schützt Adminzugriffe.
Jump Server
Jump Server ist ein ähnlicher Begriff wie Bastion Host.
Er dient als Zwischensystem,
um interne Systeme zu administrieren.
Wichtig:
stark härten
MFA nutzen
Zugriff protokollieren
Benutzer eindeutig zuordnen
keine unnötigen Tools installieren
regelmäßig patchen
Merksatz:
Jump Server ist ein kontrollierter Sprungpunkt für Administration.
Managementnetz
Ein Managementnetz ist ein eigenes Netz für administrative Zugriffe.
Darin liegen zum Beispiel:
Verwaltungsinterfaces
Hypervisor-Management
Switch-Management
Firewall-Management
Server-Management
Backup-Management
Storage-Management
Ziel:
Managementzugriffe vom normalen Benutzernetz trennen.
Merksatz:
Managementzugänge gehören in ein getrenntes Managementnetz.
Warum Managementnetz wichtig ist
Wenn Managementschnittstellen im normalen Clientnetz erreichbar sind,
können kompromittierte Clients leichter Adminsysteme angreifen.
Ein getrenntes Managementnetz reduziert:
Angriffsfläche
laterale Bewegung
unkontrollierte Zugriffe
Risiko durch Malware
versehentliche Änderungen
Merksatz:
Managementnetz schützt besonders kritische Verwaltungszugänge.
Out-of-Band-Management
Out-of-Band-Management bedeutet:
Verwaltung erfolgt über einen getrennten Verwaltungsweg,
unabhängig vom normalen Produktionsnetz.
Beispiele:
iLO
iDRAC
IPMI
serielle Konsole
separates Managementinterface
Vorteil:
Zugriff auch bei Störung des normalen Systems möglich
Risiko:
sehr mächtiger Zugriff,
deshalb besonders schützen
Merksatz:
Out-of-Band-Management ist mächtig und muss streng abgesichert werden.
Benutzerkonten
Benutzerkonten sind Grundlage für Zugriff.
Wichtige Regeln:
persönliches Konto pro Benutzer
keine Sammelkonten
starke Passwörter
MFA bei kritischen Zugängen
Rollen und Gruppen nutzen
Rechte regelmäßig prüfen
Konten bei Austritt deaktivieren
Admin- und Benutzerkonto trennen
Merksatz:
Zugriffe müssen eindeutig Personen zugeordnet werden können.
Sammelkonten
Sammelkonten sind Konten,
die mehrere Personen gemeinsam nutzen.
Problem:
keine eindeutige Nachvollziehbarkeit
Passwortweitergabe
schwieriges Offboarding
schlechte Protokollierung
höheres Missbrauchsrisiko
Merksatz:
Sammelkonten vermeiden,
besonders bei Administrationszugängen.
Admin- und Benutzerkonto trennen
Administratoren sollten nicht ständig mit Adminrechten arbeiten.
Besser:
normales Benutzerkonto für Alltag
separates Adminkonto für Administration
Vorteile:
weniger Schaden durch Phishing
weniger Malware-Risiko
bessere Kontrolle
klarere Protokollierung
Merksatz:
Adminrechte nur verwenden,
wenn sie wirklich benötigt werden.
Least Privilege in der Administration
Least Privilege bedeutet:
nur notwendige Rechte vergeben.
Beispiele:
Helpdesk darf Passwörter zurücksetzen,
aber keine Server löschen.
Datenbankadmin darf Datenbank verwalten,
aber keine Firewall ändern.
Netzwerkadmin darf Switches verwalten,
aber keine Personalakten lesen.
Merksatz:
Adminrechte nach Aufgabe trennen.
Rollenbasierte Rechtevergabe
Rollenbasierte Rechtevergabe bedeutet:
Rechte werden über Rollen oder Gruppen vergeben.
Beispiele:
Helpdesk
Serveradministration
Netzwerkadministration
Datenbankadministration
Backup-Operator
Sicherheitsadministrator
Leser
Vorteile:
übersichtlicher
leichter zu prüfen
einfacher beim Onboarding und Offboarding
Merksatz:
Rollen vereinfachen Berechtigungsverwaltung.
Privileged Access Management
Privileged Access Management wird oft abgekürzt:
PAM
PAM kontrolliert besonders mächtige Zugriffe.
Funktionen können sein:
zeitlich begrenzte Adminrechte
Genehmigungspflicht
MFA
Sitzungsaufzeichnung
Passworttresor
Protokollierung
Notfallzugriff
Merksatz:
PAM schützt besonders kritische Adminrechte.
Just-in-Time-Administration
Just-in-Time-Administration bedeutet:
Adminrechte werden nur für einen begrenzten Zeitraum aktiviert.
Beispiel:
Admin erhält für 1 Stunde Rechte zur Wartung.
Danach werden Rechte automatisch entzogen.
Merksatz:
Just-in-Time reduziert dauerhafte Adminrechte.
Protokollierung von Adminzugriffen
Adminaktionen sollten protokolliert werden.
Wichtige Informationen:
Benutzer
Zeitpunkt
Quellsystem
Zielsystem
ausgeführte Aktion
Erfolg oder Fehler
geänderte Konfiguration
verwendetes Konto
Merksatz:
Adminzugriffe müssen nachvollziehbar sein.
Audit-Logs
Audit-Logs dokumentieren sicherheitsrelevante Aktionen.
Beispiele:
Benutzer angelegt
Rolle geändert
Firewall-Regel geändert
Dienst gestoppt
Backup gelöscht
Schlüssel erstellt
Adminrechte vergeben
Systemkonfiguration verändert
Merksatz:
Audit-Logs zeigen,
wer was wann geändert hat.
Logschutz
Logs müssen geschützt werden,
weil Angreifer sie manipulieren oder löschen könnten.
Maßnahmen:
zentrale Logsammlung
eingeschränkte Schreibrechte
getrennte Speicherung
unveränderliche Logs je nach Bedarf
Zeitstempel
Zugriffskontrolle
regelmäßige Prüfung
Merksatz:
Logs sind nur wertvoll,
wenn sie vollständig und vertrauenswürdig sind.
Zeitserver und Logs
Für Logauswertung müssen Systeme die gleiche Zeitbasis haben.
Dafür wird NTP genutzt.
Wenn Zeiten stark abweichen,
wird die Analyse schwieriger.
Beispiel:
Firewall-Log,
Server-Log
und Authentifizierungslog
passen zeitlich nicht zusammen.
Merksatz:
Saubere Zeit synchronisation ist wichtig für Loganalyse.
Dokumentation in der Administration
Dokumentiert werden sollten:
Systeme
IP-Adressen
Hostnamen
Zuständigkeiten
Zugangskonzepte
Rollen
Firewall-Regeln
Dienste
Abhängigkeiten
Backup-Regeln
Wartungsfenster
Änderungen
Notfallzugriffe
Merksatz:
Gute Dokumentation macht Administration nachvollziehbar und wartbar.
Change Management
Change Management bedeutet:
Änderungen werden geplant,
geprüft,
freigegeben,
umgesetzt
und dokumentiert.
Beispiele:
Firewall-Regel ändern
Benutzerrechte erweitern
Serverdienst aktualisieren
VPN-Gruppe anlegen
Zertifikat erneuern
Backup-Plan ändern
Switch-Konfiguration anpassen
Merksatz:
Änderungen brauchen Kontrolle und Dokumentation.
Vier-Augen-Prinzip
Vier-Augen-Prinzip bedeutet:
kritische Aktionen werden von mindestens zwei Personen geprüft oder freigegeben.
Beispiele:
Adminrechte vergeben
Backup löschen
Firewall ins Internet öffnen
Produktivsystem ändern
Daten exportieren
Notfallzugang aktivieren
Merksatz:
Vier-Augen-Prinzip reduziert Fehler und Missbrauch.
Offboarding
Offboarding bedeutet:
Zugriffe werden entfernt,
wenn eine Person das Unternehmen verlässt
oder eine Rolle wechselt.
Zu prüfen:
Benutzerkonto
Gruppenmitgliedschaften
VPN-Zugang
SSH-Schlüssel
Cloud-Zugänge
lokale Adminrechte
API-Schlüssel
geteilte Freigaben
Geräte
E-Mail-Weiterleitungen
Merksatz:
Nicht entfernte Zugänge sind ein Sicherheitsrisiko.
Onboarding
Onboarding bedeutet:
neue Benutzer erhalten benötigte Zugänge.
Wichtig:
nach Rolle vergeben
nur notwendige Rechte
dokumentieren
MFA einrichten
Schulung durchführen
Verantwortlichkeiten klären
Merksatz:
Onboarding sollte geordnet über Rollen und Prozesse laufen.
Break-Glass-Konto
Ein Break-Glass-Konto ist ein Notfallkonto.
Es wird genutzt,
wenn normale Adminwege nicht funktionieren.
Beispiele:
Identitätsdienst gestört
MFA-System ausgefallen
zentrale Anmeldung nicht möglich
Administratoren ausgesperrt
Wichtig:
stark schützen
selten nutzen
Nutzung protokollieren
regelmäßig prüfen
Zugriff begrenzen
Notfallprozess dokumentieren
Merksatz:
Break-Glass-Konto ist Notfallzugang,
kein Alltagskonto.
Sichere Administrationsregeln
Wichtige Regeln:
keine Adminarbeit mit Alltagskonto
keine Sammelkonten
MFA für Adminzugänge
Remotezugriff nur kontrolliert
Adminports nicht offen ins Internet
Zugriffe protokollieren
Rechte regelmäßig prüfen
Änderungen dokumentieren
Notfallzugänge absichern
Offboarding ernst nehmen
Merksatz:
Administration braucht technische und organisatorische Kontrolle.
Typische Praxisfehler
Häufige Fehler:
RDP offen im Internet
SSH mit Passwort und schwachem Passwort
Standardpasswort auf Weboberfläche
gleiche Adminzugänge für mehrere Personen
keine MFA
alte Benutzerkonten aktiv
Adminrechte dauerhaft vergeben
keine Logs
keine Dokumentation
Managementinterfaces im Clientnetz
Backups ohne Zugriffsschutz
Notfallkonto ungeprüft
Merksatz:
Viele Sicherheitsprobleme entstehen durch bequeme,
aber unsichere Administration.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist Remotezugriff?
- Was ist SSH?
- Wofür wird SSH genutzt?
- Was ist der Standardport von SSH?
- Warum ist SSH mit Schlüsseln sicherer als nur Passwort?
- Was ist RDP?
- Was ist der Standardport von RDP?
- Warum sollte RDP nicht offen im Internet stehen?
- Was ist ein Bastion Host?
- Was ist ein Jump Server?
- Was ist ein Managementnetz?
- Was bedeutet Out-of-Band-Management?
- Warum sollten Admin- und Benutzerkonto getrennt werden?
- Warum sind Sammelkonten problematisch?
- Was bedeutet Least Privilege?
- Was ist PAM?
- Was bedeutet Just-in-Time-Administration?
- Warum sind Audit-Logs wichtig?
- Warum ist NTP für Logs wichtig?
- Was ist ein Break-Glass-Konto?
- Was ist Offboarding?
Typische Prüfungsfallen
Remotezugriff ist praktisch,
aber sicherheitskritisch.
SSH ist verschlüsselt,
aber trotzdem angreifbar,
wenn Zugang schlecht geschützt ist.
SSH-Standardport ist TCP 22.
RDP-Standardport ist TCP 3389.
RDP nicht breit öffentlich freigeben.
Admin-Weboberflächen nicht öffentlich bereitstellen.
VPN schützt Transport,
ersetzt aber keine Rechteverwaltung.
Bastion Host ist ein Sprungserver.
Managementnetz vom Clientnetz trennen.
Out-of-Band-Management besonders schützen.
Sammelkonten vermeiden.
Admin- und Alltagskonto trennen.
Least Privilege gilt auch für Administratoren.
PAM schützt privilegierte Zugriffe.
Just-in-Time reduziert dauerhafte Adminrechte.
Audit-Logs müssen vor dem Vorfall aktiv sein.
Logs brauchen korrekte Zeitbasis.
NTP hilft bei zeitlich korrekter Loganalyse.
Offboarding muss alle Zugänge entfernen.
Break-Glass-Konto ist Notfallzugang,
kein normales Admin-Konto.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Netzwerkadministration
Verwaltung von Netzwerken und Systemen
Systemzugriff
Zugriff auf IT-Systeme zur Nutzung oder Verwaltung
lokaler Zugriff
direkter Zugriff am Gerät
Remotezugriff
Zugriff aus der Ferne
SSH
verschlüsselter Kommandozeilenzugriff
privater Schlüssel
geheimer Teil eines SSH-Schlüsselpaares
öffentlicher Schlüssel
Teil des Schlüsselpaares auf dem Server
sudo
kontrollierte Rechteerhöhung
RDP
grafischer Remotezugriff auf Windows-Systeme
Weboberfläche
Verwaltung über Browser
VPN
verschlüsselter Zugang zu internem Netz
Bastion Host
besonders geschützter Sprungserver
Jump Server
Zwischensystem für Administration
Managementnetz
getrenntes Netz für Verwaltung
Out-of-Band-Management
Verwaltung über getrennten Verwaltungsweg
Benutzerkonto
persönliche Identität im System
Sammelkonto
gemeinsam genutztes Konto
Adminkonto
Konto mit erhöhten Rechten
Least Privilege
minimale notwendige Rechte
Rollenmodell
Rechtevergabe über Rollen
PAM
Privileged Access Management
Just-in-Time
zeitlich begrenzte Rechte
Audit-Log
Protokoll sicherheitsrelevanter Aktionen
Logschutz
Schutz vor Manipulation oder Verlust von Logs
NTP
Zeitsynchronisation
Dokumentation
nachvollziehbare Beschreibung von Systemen und Änderungen
Change Management
kontrollierter Änderungsprozess
Vier-Augen-Prinzip
Prüfung durch mindestens zwei Personen
Offboarding
Entfernen nicht mehr benötigter Zugänge
Onboarding
geordnete Vergabe neuer Zugänge
Break-Glass-Konto
Notfallkonto
IHK-sichere Kurzformulierung
Netzwerkadministration umfasst die praktische Verwaltung von Systemen, Diensten, Netzwerken und Zugängen. Remotezugriffe wie SSH, RDP, Weboberflächen, VPN, Bastion Hosts oder Managementnetze ermöglichen Administration aus der Ferne, sind aber sicherheitskritisch. SSH dient dem verschlüsselten Kommandozeilenzugriff, RDP dem grafischen Fernzugriff auf Windows-Systeme. Adminzugänge sollten nicht direkt und breit aus dem Internet erreichbar sein, sondern durch VPN, Bastion Host, MFA, Quell-IP-Beschränkung, Logging und Least Privilege abgesichert werden. Persönliche Benutzerkonten, getrennte Admin- und Alltagskonten, Audit-Logs, Change Management, Offboarding und geschützte Notfallkonten sind wichtige Grundlagen sicherer Administration.
Merksätze
Netzwerkadministration verwaltet Systeme,
Dienste,
Zugriffe
und Verbindungen.
Adminzugänge sind besonders kritisch.
Remotezugriff braucht starke Absicherung.
SSH = verschlüsselter Kommandozeilenzugriff.
SSH nutzt standardmäßig TCP 22.
Privater SSH-Schlüssel bleibt geheim.
Öffentlicher SSH-Schlüssel liegt auf dem Server.
SSH-Schlüssel mit Passphrase schützen.
Direkten Root-Login vermeiden.
sudo kontrolliert Rechteerhöhung.
RDP = grafischer Windows-Remotezugriff.
RDP nutzt standardmäßig TCP 3389.
RDP nicht breit ins Internet öffnen.
Admin-Weboberflächen intern oder über VPN bereitstellen.
VPN schützt Zugang,
ersetzt aber keine Rechteverwaltung.
Bastion Host ist ein geschützter Sprungserver.
Jump Server ist ein Zwischensystem für Administration.
Managementnetz vom normalen Clientnetz trennen.
Out-of-Band-Management besonders schützen.
Persönliche Konten statt Sammelkonten.
Admin- und Alltagskonto trennen.
Least Privilege gilt auch für Admins.
Rollen vereinfachen Rechtevergabe.
PAM schützt privilegierte Zugriffe.
Just-in-Time reduziert dauerhafte Adminrechte.
Adminaktionen protokollieren.
Audit-Logs zeigen sicherheitsrelevante Änderungen.
Logs vor Manipulation schützen.
NTP ist wichtig für Loganalyse.
Dokumentation ist Teil sicherer Administration.
Änderungen kontrolliert durchführen.
Vier-Augen-Prinzip bei kritischen Aktionen nutzen.
Offboarding entfernt alte Zugänge.
Break-Glass-Konto ist nur für Notfälle.
Sichere Administration braucht Technik,
Prozesse
und Nachvollziehbarkeit.
17.2 SSH, RDP und sichere Fernadministration im Detail
Fernadministration bedeutet,
dass Systeme aus der Ferne verwaltet werden.
Dafür werden Protokolle,
Zugriffswege,
Benutzerkonten,
Berechtigungen
und Sicherheitsmaßnahmen kombiniert.
Typische Fernadministration:
- Linux-Server per SSH verwalten
- Windows-Server per RDP verwalten
- Firewall über Weboberfläche konfigurieren
- Switch per SSH administrieren
- NAS oder Router über Managementoberfläche verwalten
- Cloud-Systeme über Portal oder API steuern
- Zugriff über VPN oder Bastion Host absichern
Merksatz:
Fernadministration ist praktisch,
aber sicherheitskritisch.
Warum Fernadministration abgesichert werden muss
Remotezugänge sind besonders interessant für Angreifer,
weil sie direkten Zugriff auf Systeme ermöglichen können.
Risiken:
Passwortangriffe
Brute Force
Credential Stuffing
Phishing
gestohlene SSH-Schlüssel
offene RDP-Ports
veraltete Remote-Dienste
fehlende MFA
schwache Firewall-Regeln
kompromittierte Admin-Konten
Merksatz:
Ein unsicherer Fernzugriff kann zum Einstiegspunkt für einen kompletten Angriff werden.
Grundregel für Fernadministration
Adminzugänge sollten nicht unnötig direkt aus dem Internet erreichbar sein.
Besser:
Zugriff über VPN
oder
Zugriff über Bastion Host
oder
Zugriff nur von festen Quell-IP-Adressen
oder
Zugriff über ein getrenntes Managementnetz
Merksatz:
Adminzugänge nicht breit öffentlich bereitstellen.
SSH
SSH steht für:
Secure Shell
SSH ist ein verschlüsseltes Protokoll für entfernten Zugriff auf eine Kommandozeile.
SSH wird häufig genutzt für:
Linux-Server
Unix-Systeme
Netzwerkgeräte
Firewalls
Switches
Router
NAS-Systeme
Git-Zugriffe
Dateiübertragung mit SFTP oder SCP
Standardport:
TCP 22
Merksatz:
SSH ist sicherer Fernzugriff auf die Kommandozeile.
Was SSH schützt
SSH schützt die Verbindung durch Verschlüsselung.
Dadurch werden geschützt:
Zugangsdaten bei der Übertragung
Befehle
Ausgaben
Dateiübertragungen
Sitzungsdaten
Wichtig:
SSH verschlüsselt die Verbindung,
aber schützt nicht automatisch vor schwachen Passwörtern,
gestohlenen Schlüsseln
oder falsch vergebenen Rechten.
Merksatz:
SSH schützt den Transport,
aber nicht jede Fehlkonfiguration.
SSH-Authentifizierung
SSH kann verschiedene Anmeldearten nutzen.
Typisch sind:
Passwortauthentifizierung
oder
Schlüsselbasierte Authentifizierung
Zusätzlich möglich:
MFA
Zertifikatsbasierte SSH-Anmeldung
zentrale Benutzerverwaltung
Zugriff über Bastion Host
Merksatz:
SSH braucht starke Authentifizierung,
nicht nur Verschlüsselung.
SSH mit Passwort
Bei SSH mit Passwort meldet sich ein Benutzer mit Benutzername und Passwort an.
Vorteil:
einfach einzurichten
Nachteile:
anfällig gegen Brute Force
anfällig gegen gestohlene Passwörter
Risiko durch Passwortwiederverwendung
schwierig bei vielen Servern sicher zu verwalten
Merksatz:
SSH-Passwortlogin ist einfach,
aber sicherheitlich schwächer als Schlüsselanmeldung.
SSH mit Schlüsselpaar
Bei SSH mit Schlüsselpaar gibt es zwei Schlüssel:
privater Schlüssel
und
öffentlicher Schlüssel
Der öffentliche Schlüssel liegt auf dem Server.
Der private Schlüssel bleibt beim Administrator.
Nur wer den passenden privaten Schlüssel besitzt,
kann sich authentifizieren.
Merksatz:
Öffentlicher Schlüssel auf den Server,
privater Schlüssel bleibt geheim beim Benutzer.
Privater Schlüssel
Der private SSH-Schlüssel ist geheim.
Er darf nicht:
weitergegeben werden
in Git-Repositories liegen
in Tickets kopiert werden
in Chatnachrichten stehen
unverschlüsselt auf fremden Systemen liegen
auf gemeinsam genutzten Netzlaufwerken liegen
Merksatz:
Der private SSH-Schlüssel ist wie ein besonders kritisches Passwort.
Öffentlicher Schlüssel
Der öffentliche SSH-Schlüssel ist nicht geheim.
Er wird auf Systemen hinterlegt,
auf die der Benutzer zugreifen darf.
Trotzdem muss er verwaltet werden.
Wichtig:
alte Schlüssel entfernen
Schlüssel Personen zuordnen
Schlüssel bei Austritt löschen
keine unbekannten Schlüssel erlauben
Berechtigungen regelmäßig prüfen
Merksatz:
Öffentliche Schlüssel sind nicht geheim,
aber ihre Zuordnung ist sicherheitsrelevant.
Passphrase für SSH-Schlüssel
Ein privater SSH-Schlüssel sollte mit einer Passphrase geschützt werden.
Vorteil:
Wenn der Schlüssel gestohlen wird,
kann er nicht sofort genutzt werden.
Nachteil:
Benutzer muss Passphrase eingeben
oder sicher mit einem Agent arbeiten.
Merksatz:
Passphrase schützt den privaten Schlüssel zusätzlich.
SSH-Agent
Ein SSH-Agent kann private Schlüssel nach Eingabe der Passphrase temporär bereithalten.
Vorteil:
Benutzer muss Passphrase nicht bei jeder Verbindung neu eingeben.
Risiko:
ein kompromittiertes System kann unter Umständen den Agent missbrauchen.
Merksatz:
SSH-Agent ist praktisch,
muss aber bewusst genutzt werden.
SSH-Agent-Forwarding
SSH-Agent-Forwarding leitet die Authentifizierung über ein Zwischensystem weiter.
Beispiel:
Administrator
→
Bastion Host
→
Zielserver
Risiko:
Wenn der Bastion Host kompromittiert ist,
kann Agent-Forwarding missbraucht werden.
Besser je nach Umgebung:
ProxyJump
kurzlebige Zertifikate
Bastion-Lösung mit Protokollierung
gezielte Schlüsselverwaltung
Merksatz:
Agent-Forwarding nur nutzen,
wenn Risiko und Bedarf klar sind.
SSH über Bastion Host
Ein Bastion Host ist ein geschützter Sprungserver.
Vorteile:
Zielserver müssen nicht öffentlich erreichbar sein.
Zugriff kann zentral protokolliert werden.
Firewall-Regeln werden einfacher.
Adminzugriffe laufen kontrollierter.
Beispielprinzip:
Administrator verbindet sich zuerst zum Bastion Host.
Danach erfolgt der Zugriff auf interne Server.
Merksatz:
Bastion Host schützt interne Systeme vor direktem Adminzugriff aus dem Internet.
SSH ProxyJump
ProxyJump ist eine SSH-Funktion,
um über einen Zwischensystem zu einem Zielserver zu gelangen.
Prinzip:
lokaler Rechner
→
Bastion Host
→
Zielserver
Vorteil:
Zielserver muss nur vom Bastion Host erreichbar sein.
Merksatz:
ProxyJump ermöglicht SSH-Zugriff über einen Sprungserver.
Root-Login per SSH
Direkter Root-Login über SSH ist riskant.
Nachteile:
Angreifer kennt den Benutzernamen root.
Aktionen sind schwerer einzelnen Personen zuzuordnen.
Root hat sofort volle Rechte.
Brute-Force-Ziel ist eindeutig.
Besser:
Anmeldung mit persönlichem Benutzerkonto
danach
Rechteerhöhung mit sudo
Merksatz:
Direkten Root-Login vermeiden,
persönliche Konten und sudo nutzen.
sudo bei Fernadministration
sudo erlaubt,
einzelne Befehle mit erhöhten Rechten auszuführen.
Vorteile:
Adminrechte nur bei Bedarf
bessere Nachvollziehbarkeit
weniger Risiko durch Alltagssitzungen
gezieltere Rechtevergabe
Protokollierung möglich
Merksatz:
sudo trennt normale Anmeldung und administrative Rechte.
SSH sicher konfigurieren
Wichtige Maßnahmen:
Passwortlogin deaktivieren,
wenn Schlüsselbetrieb sauber eingerichtet ist
direkte Root-Anmeldung deaktivieren
nur benötigte Benutzer erlauben
SSH-Zugriff per Firewall begrenzen
MFA prüfen
starke Schlüssel verwenden
alte Schlüssel entfernen
Loginversuche überwachen
Systeme aktuell halten
Logs auswerten
Merksatz:
SSH-Sicherheit entsteht durch Schlüssel,
Rechte,
Regeln
und Überwachung.
SSH-Logs
SSH-Logs zeigen Anmeldeversuche und Fehler.
Typische Hinweise:
erfolgreiche Anmeldung
fehlgeschlagene Anmeldung
ungültiger Benutzer
falscher Schlüssel
falsches Passwort
viele Versuche von einer IP
Verbindungsabbrüche
Merksatz:
SSH-Logs helfen,
Angriffe und Fehlkonfigurationen zu erkennen.
Typische SSH-Fehlerbilder
Häufige Ursachen:
falscher Benutzername
falscher Hostname
falsche IP-Adresse
Firewall blockiert TCP 22
SSH-Dienst läuft nicht
Schlüssel nicht hinterlegt
falsche Dateirechte beim Schlüssel
privater Schlüssel passt nicht
Root-Login deaktiviert
Passwortlogin deaktiviert
Server-Key hat sich geändert
Merksatz:
SSH-Fehler können an Netzwerk,
Dienst,
Benutzer,
Schlüssel
oder Berechtigung liegen.
Host Key bei SSH
Ein SSH-Server besitzt einen Host Key.
Dieser dient dazu,
den Server wiederzuerkennen.
Beim ersten Verbinden wird der Host Key gespeichert.
Wenn sich der Host Key später unerwartet ändert,
erscheint eine Warnung.
Mögliche Ursachen:
Server wurde neu installiert
Host Key wurde erneuert
falscher Server wird erreicht
Man-in-the-Middle-Angriff möglich
Merksatz:
SSH-Host-Key-Warnungen nicht blind ignorieren.
RDP
RDP steht für:
Remote Desktop Protocol
RDP ermöglicht grafischen Fernzugriff auf Windows-Systeme.
Standardport:
TCP 3389
Typische Nutzung:
Windows-Server administrieren
Remote-Desktop-Sitzung
Zugriff auf grafische Anwendungen
Fernwartung interner Systeme
Merksatz:
RDP ist grafischer Fernzugriff auf Windows-Systeme.
RDP-Risiken
RDP ist ein häufiges Angriffsziel.
Risiken:
Brute Force
Credential Stuffing
Exploits gegen ungepatchte Systeme
Ransomware-Einstieg
Passwortdiebstahl
fehlende MFA
unsichere Freigabe ins Internet
schwache Kontosperrregeln
Merksatz:
RDP offen im Internet ist ein hohes Risiko.
RDP sicher betreiben
Schutzmaßnahmen:
RDP nur über VPN
RDP Gateway nutzen
MFA nutzen
Network Level Authentication aktivieren
Quell-IP einschränken
starke Passwörter
Account Lockout
Updates einspielen
Adminrechte begrenzen
Logs überwachen
Merksatz:
RDP gehört hinter VPN,
Gateway
oder andere Zugriffsschutzmaßnahmen.
Network Level Authentication
Network Level Authentication wird abgekürzt:
NLA
NLA verlangt Authentifizierung,
bevor eine vollständige RDP-Sitzung aufgebaut wird.
Vorteile:
reduziert Angriffsfläche
spart Serverressourcen
erschwert bestimmte Angriffe
Anmeldung erfolgt früher im Verbindungsaufbau
Merksatz:
NLA schützt RDP,
bevor die vollständige Sitzung entsteht.
RDP Gateway
Ein RDP Gateway bündelt RDP-Zugriffe.
Statt viele Systeme direkt per RDP erreichbar zu machen,
verbinden sich Benutzer zum Gateway.
Vorteile:
zentraler Zugriffspunkt
bessere Protokollierung
MFA möglich
interne Systeme bleiben privater
Regeln zentral steuerbar
Merksatz:
RDP Gateway reduziert direkte RDP-Erreichbarkeit interner Systeme.
RDP und VPN
RDP sollte häufig nur nach VPN-Verbindung erreichbar sein.
Vorteile:
RDP-Port nicht öffentlich
Benutzer vorher authentifiziert
Zugriff kann auf interne Netze begrenzt werden
MFA kann am VPN greifen
Firewall-Regeln einfacher
Wichtig:
VPN ersetzt keine RDP-Sicherheit.
Benutzerrechte und Logs bleiben wichtig.
Merksatz:
VPN schützt den Zugang,
aber nicht automatisch das Zielsystem.
RDP-Logs
RDP-Zugriffe sollten protokolliert werden.
Zu prüfen:
erfolgreiche Anmeldungen
fehlgeschlagene Anmeldungen
ungewöhnliche Uhrzeiten
unbekannte Quelladressen
viele Fehlversuche
neue Benutzer
Admin-Anmeldungen
Sitzungsabbrüche
Merksatz:
RDP-Logs sind wichtig für Angriffserkennung und Nachvollziehbarkeit.
Webbasierte Administrationsoberflächen
Viele Systeme haben Weboberflächen.
Beispiele:
Firewall
Router
Switch
NAS
Drucker
Hypervisor
Backup-System
Monitoring-System
Cloud-Dienst
Container-Plattform
Merksatz:
Weboberflächen sind bequem,
aber oft sehr mächtig.
Risiken von Admin-Weboberflächen
Typische Risiken:
öffentlich erreichbar
Standardpasswort aktiv
fehlende MFA
veraltete Firmware
unsicheres TLS
schwache Rollenverwaltung
XSS oder CSRF
unsichere Sessionverwaltung
fehlende Logs
Merksatz:
Admin-Weboberflächen nicht ungeschützt bereitstellen.
Admin-Weboberflächen absichern
Maßnahmen:
nur intern erreichbar machen
Zugriff über VPN
Quell-IP beschränken
MFA aktivieren
HTTPS nutzen
gültige Zertifikate einsetzen
Standardkonten deaktivieren
starke Passwörter
Updates einspielen
Rollen begrenzen
Logs aktivieren
Merksatz:
Admin-Weboberflächen brauchen Zugriffsschutz,
Verschlüsselung,
Updates
und Logging.
VPN als Zugriffsschutz
VPN kann Fernzugriff absichern,
indem interne Dienste nicht direkt öffentlich erreichbar sind.
Vorteile:
zentrale Authentifizierung
MFA möglich
verschlüsselter Tunnel
interne Adressen bleiben privat
Zugriff über Gruppen steuerbar
Logs zentral auswertbar
Merksatz:
VPN ist ein sicherer Zugangspfad,
aber kein Ersatz für Berechtigungen.
Bastion Host und Jump Server
Bastion Host oder Jump Server dienen als kontrollierter Sprungpunkt.
Typische Eigenschaften:
besonders gehärtet
stark überwacht
nur für Administration gedacht
MFA geschützt
protokolliert Zugriffe
hat eingeschränkten Zugriff auf Zielsysteme
Merksatz:
Bastion Host und Jump Server bündeln administrative Zugriffe.
Managementnetz
Ein Managementnetz trennt administrative Zugriffe vom normalen Benutzernetz.
Darin liegen:
Switch-Management
Firewall-Management
Server-Management
Hypervisor-Management
Storage-Management
Backup-Management
Out-of-Band-Management
Merksatz:
Managementschnittstellen gehören nicht ins normale Clientnetz.
Out-of-Band-Management
Out-of-Band-Management nutzt einen getrennten Verwaltungsweg.
Beispiele:
iLO
iDRAC
IPMI
serielle Konsole
separates Managementinterface
Vorteil:
Zugriff auch bei Störungen des normalen Systems möglich
Risiko:
extrem mächtiger Zugriff
Merksatz:
Out-of-Band-Management besonders stark schützen.
API-Zugriff für Administration
Viele moderne Systeme werden über APIs verwaltet.
Beispiele:
Cloud-APIs
Firewall-APIs
Monitoring-APIs
Backup-APIs
Container-APIs
Automatisierungsschnittstellen
Risiken:
API-Schlüssel gestohlen
Token zu viele Rechte
fehlendes Rate Limiting
unsichere Speicherung
keine Protokollierung
Schlüssel nicht rotiert
Merksatz:
API-Zugänge sind Adminzugänge und müssen genauso geschützt werden.
API-Schlüssel und Tokens
API-Schlüssel und Tokens erlauben Zugriff auf Systeme.
Sie dürfen nicht:
im Quellcode stehen
in öffentlichen Repositories liegen
in Tickets kopiert werden
in Chatverläufen stehen
unverschlüsselt gespeichert werden
dauerhaft ohne Prüfung aktiv bleiben
Merksatz:
API-Schlüssel wie Passwörter behandeln.
Sichere Speicherung von Zugangsdaten
Zugangsdaten sollten sicher verwaltet werden.
Geeignete Mittel:
Passwortmanager
Secret Manager
PAM-System
verschlüsselte Tresore
zentrale Identitätsverwaltung
Zugriff nach Rollen
regelmäßige Prüfung
Ungeeignet:
Textdateien
Excel-Listen ohne Schutz
Screenshots
Chatnachrichten
Notizzettel
Quellcode
gemeinsam genutzte Klartextdokumente
Merksatz:
Zugangsdaten gehören in sichere Verwaltung,
nicht in Klartextablagen.
Least Privilege bei Fernadministration
Fernzugriffe sollten nur die Rechte erhalten,
die für die Aufgabe nötig sind.
Beispiele:
Support darf Dienste neu starten,
aber keine Firewall löschen.
Backup-Operator darf Sicherungen prüfen,
aber keine Benutzer anlegen.
Netzwerkadmin darf Switches verwalten,
aber keine Personaldaten lesen.
Merksatz:
Remotezugriff immer nach Aufgabe und Rolle begrenzen.
Zeitlich begrenzte Zugriffe
Administrative Zugriffe sollten möglichst nicht dauerhaft bestehen.
Möglichkeiten:
Just-in-Time-Rechte
temporäre VPN-Gruppen
befristete Dienstleisterzugänge
zeitlich begrenzte Adminrollen
Ablaufdatum für Konten
automatische Deaktivierung
Merksatz:
Dauerhafte Adminrechte erhöhen das Risiko.
Dienstleisterzugänge
Externe Dienstleisterzugänge sind besonders kritisch.
Zu beachten:
klare Freigabe
begrenzte Rechte
zeitliche Befristung
MFA
Protokollierung
keine Sammelkonten
Zugriff nur auf benötigte Systeme
Abschaltung nach Auftrag
vertragliche Regelungen
Merksatz:
Dienstleisterzugänge müssen begrenzt,
überwacht
und wieder entfernt werden.
MFA für Fernadministration
MFA sollte besonders für Remotezugriffe genutzt werden.
Wichtig für:
VPN
Cloud-Portal
RDP Gateway
Admin-Weboberflächen
PAM
Bastion Host
Identitätsdienst
kritische APIs
Merksatz:
Fernadministration ohne MFA ist ein erhöhtes Risiko.
Logging bei Fernadministration
Protokolliert werden sollten:
wer sich angemeldet hat
wann Zugriff erfolgte
von welcher Quelle
auf welches Ziel
welche Aktion ausgeführt wurde
ob Zugriff erfolgreich war
ob Fehler auftraten
welche Rechte genutzt wurden
Merksatz:
Fernadministration muss nachvollziehbar sein.
Session Recording
Session Recording bedeutet:
administrative Sitzungen werden aufgezeichnet.
Möglich bei:
Bastion Hosts
PAM-Systemen
RDP Gateways
SSH-Proxies
Remote-Support-Systemen
Nutzen:
Nachvollziehbarkeit
forensische Analyse
Schulung
Missbrauchserkennung
Merksatz:
Session Recording erhöht Nachvollziehbarkeit bei kritischen Zugriffen.
Timeouts und automatische Trennung
Remote-Sitzungen sollten bei Inaktivität getrennt werden.
Vorteile:
weniger Risiko bei vergessenen Sitzungen
geringere Angriffsfläche
weniger Missbrauch offener Sessions
Beispiele:
SSH-Timeout
RDP-Session-Timeout
VPN-Timeout
Websession-Timeout
Adminportal-Timeout
Merksatz:
Offene Admin-Sitzungen nicht unbegrenzt laufen lassen.
Sperren nach Fehlversuchen
Viele fehlgeschlagene Loginversuche können auf Angriffe hinweisen.
Schutz:
Account Lockout
Rate Limiting
IP-Blockierung
Fail2ban oder vergleichbare Mechanismen
MFA
Alarmierung
Wichtig:
Sperrregeln sinnvoll einstellen,
damit kein einfacher Denial-of-Service gegen Benutzerkonten entsteht.
Merksatz:
Fehlversuche begrenzen,
aber Sperrlogik kontrolliert planen.
Fail2ban als Prinzip
Fail2ban ist ein Beispiel für einen Schutzmechanismus,
der Logs auswertet
und bei vielen Fehlversuchen Quellen blockieren kann.
Prinzip:
Log prüfen
Muster erkennen
IP-Adresse temporär sperren
Merksatz:
Logbasierte Sperren können Brute-Force-Angriffe bremsen.
Fernadministration und Change Management
Fernadministration sollte nicht bedeuten,
dass Änderungen unkontrolliert erfolgen.
Auch remote gilt:
Änderung planen
Risiko bewerten
Wartungsfenster prüfen
Backup oder Snapshot prüfen
Rollback vorbereiten
Änderung dokumentieren
Funktion testen
Logs kontrollieren
Merksatz:
Remoteänderungen brauchen denselben Prozess wie lokale Änderungen.
Fernadministration und Notfallzugriff
Für Notfälle braucht es definierte Zugriffswege.
Beispiele:
Break-Glass-Konto
Out-of-Band-Zugang
Ersatz-VPN
lokale Konsole
Notfallpasswort im Tresor
dokumentierte Wiederherstellung
Wichtig:
Notfallzugang stark schützen
Nutzung protokollieren
regelmäßig testen
nicht im Alltag verwenden
Merksatz:
Notfallzugriff vorbereiten,
aber streng kontrollieren.
Typische Fehler bei Fernadministration
Häufige Fehler:
RDP direkt im Internet offen
SSH mit schwachem Passwort
Root-Login erlaubt
private Schlüssel ungeschützt
alte SSH-Schlüssel nicht entfernt
Admin-Weboberfläche öffentlich
keine MFA
keine Logs
Sammelkonten
Adminrechte dauerhaft vergeben
Dienstleisterzugang nicht deaktiviert
Managementnetz fehlt
API-Schlüssel im Code
Merksatz:
Viele Remoteprobleme entstehen durch Bequemlichkeit und fehlende Kontrolle.
Checkliste: sichere Fernadministration
Remotezugänge erfassen.
Öffentliche Erreichbarkeit prüfen.
Nur notwendige Ports freigeben.
VPN oder Bastion Host nutzen.
MFA aktivieren.
Persönliche Konten verwenden.
Sammelkonten vermeiden.
Admin- und Benutzerkonto trennen.
Least Privilege umsetzen.
SSH-Schlüssel verwalten.
Root-Login vermeiden.
RDP nicht direkt öffentlich machen.
Weboberflächen absichern.
Logs aktivieren.
Fehlversuche überwachen.
Notfallzugänge schützen.
Dienstleisterzugänge befristen.
Änderungen dokumentieren.
Zugriffe regelmäßig prüfen.
Merksatz:
Sichere Fernadministration braucht Technik,
Rechtekonzept,
Protokollierung
und klare Prozesse.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist SSH?
- Wofür wird SSH verwendet?
- Welchen Standardport nutzt SSH?
- Warum sind SSH-Schlüssel sicherer als reine Passwortanmeldung?
- Was ist der Unterschied zwischen privatem und öffentlichem SSH-Schlüssel?
- Warum sollte der private SSH-Schlüssel geschützt werden?
- Was ist ein SSH Host Key?
- Warum sollte Root-Login per SSH vermieden werden?
- Was ist sudo?
- Was ist RDP?
- Welchen Standardport nutzt RDP?
- Warum sollte RDP nicht direkt aus dem Internet erreichbar sein?
- Was ist Network Level Authentication?
- Was ist ein RDP Gateway?
- Was ist ein Bastion Host?
- Was ist ein Jump Server?
- Was ist ein Managementnetz?
- Was ist Out-of-Band-Management?
- Warum sind API-Schlüssel wie Passwörter zu behandeln?
- Warum ist MFA bei Fernadministration wichtig?
- Warum ist Logging bei Remotezugriffen wichtig?
Typische Prüfungsfallen
SSH ist verschlüsselt,
aber nicht automatisch sicher konfiguriert.
SSH nutzt standardmäßig TCP 22.
RDP nutzt standardmäßig TCP 3389.
RDP offen im Internet ist riskant.
VPN ersetzt keine Benutzerrechte.
MFA ersetzt kein Rechtekonzept.
SSH-Schlüssel brauchen Schutz.
Privater Schlüssel bleibt geheim.
Öffentlicher Schlüssel gehört auf Zielsysteme.
Host-Key-Warnungen nicht blind ignorieren.
Root-Login vermeiden.
sudo kontrolliert Rechteerhöhung.
Bastion Host ist ein geschützter Sprungserver.
Managementnetz vom Clientnetz trennen.
Out-of-Band-Zugriff ist besonders kritisch.
Admin-Weboberflächen nicht öffentlich bereitstellen.
API-Tokens wie Zugangsdaten behandeln.
Dienstleisterzugänge befristen.
Logs müssen aktiv sein,
bevor ein Vorfall passiert.
Session Recording kann Nachvollziehbarkeit erhöhen.
Notfallzugang ist kein Alltagszugang.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Fernadministration
Verwaltung von Systemen aus der Ferne
SSH
verschlüsselter Kommandozeilenzugriff
SSH-Port
TCP 22
Passwortauthentifizierung
Anmeldung mit Passwort
Schlüsselbasierte Authentifizierung
Anmeldung mit Schlüsselpaar
privater Schlüssel
geheimer Schlüsselteil beim Benutzer
öffentlicher Schlüssel
Schlüsselteil auf dem Server
Passphrase
Schutzwort für privaten Schlüssel
SSH-Agent
hält Schlüssel temporär bereit
Agent-Forwarding
Weiterleitung der SSH-Authentifizierung
Bastion Host
geschützter Sprungserver
ProxyJump
SSH-Verbindung über Zwischensystem
Root-Login
direkte Anmeldung als Root
sudo
kontrollierte Rechteerhöhung
Host Key
Identität des SSH-Servers
RDP
grafischer Windows-Fernzugriff
RDP-Port
TCP 3389
NLA
Network Level Authentication
RDP Gateway
zentraler RDP-Zugriffspunkt
Admin-Weboberfläche
Verwaltungssystem im Browser
VPN
verschlüsselter Zugang ins interne Netz
Jump Server
Zwischensystem für Administration
Managementnetz
getrenntes Verwaltungsnetz
Out-of-Band-Management
Verwaltung über separaten Weg
API-Zugriff
Administration über Programmierschnittstelle
API-Schlüssel
Zugangsschlüssel für API
Token
Zugriffsnachweis für Dienste
Secret Manager
sichere Verwaltung geheimer Werte
PAM
Verwaltung privilegierter Zugriffe
Just-in-Time
zeitlich begrenzte Rechte
Dienstleisterzugang
externer Administrationszugang
Session Recording
Aufzeichnung administrativer Sitzungen
Timeout
automatische Trennung bei Inaktivität
Account Lockout
Kontosperre nach Fehlversuchen
Rate Limiting
Begrenzung von Anfragen
Fail2ban
logbasierte Sperre bei Fehlversuchen
Break-Glass-Konto
Notfallzugang
IHK-sichere Kurzformulierung
Fernadministration ermöglicht die Verwaltung von Systemen aus der Ferne, ist aber sicherheitskritisch. SSH dient dem verschlüsselten Kommandozeilenzugriff und nutzt standardmäßig TCP-Port 22. Eine schlüsselbasierte SSH-Anmeldung ist sicherer als reine Passwortanmeldung, wenn der private Schlüssel geschützt und alte Schlüssel entfernt werden. RDP dient dem grafischen Fernzugriff auf Windows-Systeme und nutzt standardmäßig TCP-Port 3389. RDP sollte nicht direkt aus dem Internet erreichbar sein, sondern über VPN, RDP Gateway oder andere Zugriffsschutzmaßnahmen abgesichert werden. Für sichere Fernadministration sind MFA, Least Privilege, persönliche Konten, Logging, Bastion Hosts, Managementnetze, abgesicherte Weboberflächen, geschützte API-Schlüssel und dokumentierte Notfallzugänge wichtig.
Merksätze
Fernadministration ist praktisch,
aber sicherheitskritisch.
Adminzugänge nicht breit öffentlich bereitstellen.
SSH = Secure Shell.
SSH nutzt TCP 22.
SSH verschlüsselt den Transport.
SSH braucht trotzdem sichere Authentifizierung.
Passwortlogin ist einfacher,
aber schwächer.
SSH-Schlüssel bestehen aus privatem und öffentlichem Schlüssel.
Privater Schlüssel bleibt geheim.
Öffentlicher Schlüssel liegt auf dem Server.
Passphrase schützt privaten Schlüssel.
Agent-Forwarding bewusst nutzen.
Bastion Host schützt interne Systeme.
ProxyJump verbindet über Sprungserver.
Root-Login vermeiden.
sudo für kontrollierte Rechteerhöhung nutzen.
SSH-Logs prüfen.
Host-Key-Warnungen ernst nehmen.
RDP = Remote Desktop Protocol.
RDP nutzt TCP 3389.
RDP nicht direkt ins Internet öffnen.
RDP über VPN oder Gateway absichern.
NLA schützt RDP vor vollständigem Sitzungsaufbau.
Admin-Weboberflächen nicht öffentlich bereitstellen.
VPN schützt Zugang,
aber ersetzt keine Rechte.
Managementnetz trennt Verwaltungszugriffe.
Out-of-Band-Management besonders schützen.
API-Schlüssel wie Passwörter behandeln.
Secrets sicher speichern.
Least Privilege auch remote anwenden.
Dienstleisterzugänge befristen.
MFA für Fernadministration nutzen.
Remotezugriffe protokollieren.
Session Recording kann Nachvollziehbarkeit erhöhen.
Timeouts für Admin-Sitzungen setzen.
Fehlversuche begrenzen.
Notfallzugänge streng kontrollieren.
Sichere Fernadministration braucht Technik,
Prozesse
und Kontrolle.
17.3 Benutzer, Gruppen, Rechte und Zugriffskontrolle in der Praxis
In der Systemadministration müssen Benutzer,
Gruppen,
Rollen
und Berechtigungen sauber verwaltet werden.
Ziel ist:
Benutzer sollen genau die Zugriffe bekommen,
die sie für ihre Arbeit benötigen.
Nicht mehr.
Nicht weniger.
Merksatz:
Rechteverwaltung sorgt dafür,
dass Benutzer nur auf erlaubte Systeme,
Dienste
und Daten zugreifen können.
Warum Rechteverwaltung wichtig ist
Fehlerhafte Rechte können zu schweren Sicherheitsproblemen führen.
Mögliche Folgen:
unberechtigter Datenzugriff
versehentliches Löschen
Manipulation von Daten
Missbrauch von Adminrechten
Datenabfluss
Datenschutzverletzung
Ransomware-Ausbreitung
fehlende Nachvollziehbarkeit
Merksatz:
Falsche Rechte sind ein Sicherheitsrisiko.
Benutzerkonto
Ein Benutzerkonto ist eine digitale Identität in einem System.
Es enthält typischerweise:
Benutzername
Kennwort oder andere Anmeldemethode
Gruppenmitgliedschaften
Rollen
Berechtigungen
Profilinformationen
Anmeldeinformationen
Status aktiv oder deaktiviert
Merksatz:
Benutzerkonto = digitale Identität eines Benutzers.
Persönliche Benutzerkonten
Jeder Benutzer sollte ein eigenes Konto haben.
Vorteile:
Aktionen sind nachvollziehbar.
Rechte können gezielt vergeben werden.
Offboarding ist einfacher.
Passwörter müssen nicht geteilt werden.
Sicherheitsvorfälle lassen sich besser untersuchen.
Merksatz:
Ein Benutzer,
ein persönliches Konto.
Sammelkonten
Sammelkonten sind Konten,
die von mehreren Personen gemeinsam genutzt werden.
Beispiele:
admin
support
praktikant
lager
service
teamkonto
Probleme:
keine eindeutige Zuordnung
Passwortweitergabe
schwieriges Offboarding
schlechte Protokollierung
höheres Missbrauchsrisiko
Merksatz:
Sammelkonten vermeiden,
besonders bei administrativen Zugängen.
Gruppen
Gruppen fassen Benutzer zusammen.
Beispiel:
Alle Benutzer der Buchhaltung kommen in Gruppe Buchhaltung.
Dann können Rechte der Gruppe gegeben werden,
statt jedem Benutzer einzeln.
Vorteile:
übersichtlich
leichter zu verwalten
einfacher bei neuen Benutzern
einfacher bei Rollenwechsel
weniger Einzelberechtigungen
Merksatz:
Rechte möglichst über Gruppen vergeben.
Rollen
Eine Rolle beschreibt eine Aufgabe oder Funktion.
Beispiele:
Helpdesk
Netzwerkadministrator
Serveradministrator
Datenbankadministrator
Backup-Operator
Standardbenutzer
Abteilungsleitung
Leser
Bearbeiter
Prüfer
Merksatz:
Rolle beschreibt Aufgabe,
Gruppe kann Rechte technisch bündeln.
Rollenbasierte Zugriffskontrolle
Rollenbasierte Zugriffskontrolle wird abgekürzt:
RBAC
RBAC steht für:
Role-Based Access Control
Dabei werden Rechte über Rollen vergeben.
Beispiel:
Rolle Helpdesk darf Passwörter zurücksetzen.
Rolle Backup-Operator darf Backups prüfen.
Rolle Netzwerkadministrator darf Switches verwalten.
Merksatz:
RBAC vergibt Rechte nach Rollen.
Attributbasierte Zugriffskontrolle
Attributbasierte Zugriffskontrolle wird abgekürzt:
ABAC
ABAC steht für:
Attribute-Based Access Control
Dabei werden Zugriffe anhand von Eigenschaften entschieden.
Beispiele für Attribute:
Abteilung
Standort
Gerätetyp
Uhrzeit
Sicherheitsstatus des Geräts
Datenklassifizierung
Benutzerrolle
Merksatz:
ABAC entscheidet nach Eigenschaften und Bedingungen.
RBAC und ABAC vergleichen
Modell
Grundlage
Beispiel
RBAC
Rolle
Helpdesk darf Passwörter zurücksetzen
ABAC
Attribute
Zugriff nur aus Firmennetz und mit verwaltetem Gerät
Merksatz:
RBAC arbeitet mit Rollen.
ABAC arbeitet mit Eigenschaften.
Berechtigung
Eine Berechtigung beschreibt,
was ein Benutzer oder Dienst tun darf.
Beispiele:
Datei lesen
Datei schreiben
Datei löschen
Benutzer anlegen
Passwort zurücksetzen
Server neu starten
Firewall-Regel ändern
Datenbank abfragen
Backup wiederherstellen
Merksatz:
Berechtigung = erlaubte Aktion auf ein Ziel.
Recht und Rolle unterscheiden
Recht:
einzelne Erlaubnis
Rolle:
Bündel aus mehreren Rechten für eine Aufgabe
Beispiel:
Recht:
Benutzer darf Ticket lesen.
Rolle:
Supportmitarbeiter darf Tickets lesen,
bearbeiten
und schließen.
Merksatz:
Rechte sind einzelne Erlaubnisse.
Rollen bündeln Rechte.
Least Privilege
Least Privilege bedeutet:
Jeder Benutzer,
Dienst
und Prozess erhält nur die Rechte,
die wirklich benötigt werden.
Beispiele:
Standardbenutzer ohne lokale Adminrechte
Dienstkonto nur mit Zugriff auf benötigte Datenbank
Praktikant nur mit Zugriff auf Schulungsunterlagen
Backup-Operator darf Backups prüfen,
aber keine Benutzer verwalten
Merksatz:
So wenig Rechte wie möglich,
so viele wie nötig.
Need to Know
Need to Know bedeutet:
Zugriff nur auf Informationen,
die für die Aufgabe erforderlich sind.
Beispiel:
Personalabteilung darf Personalakten sehen.
IT-Support muss nicht automatisch Gehaltsdaten sehen.
Projektteam sieht nur Projektdaten.
Merksatz:
Nicht jeder muss alles sehen können.
Trennung von Aufgaben
Aufgabentrennung bedeutet:
kritische Aufgaben werden auf mehrere Personen oder Rollen verteilt.
Beispiele:
Eine Person beantragt Änderung.
Andere Person gibt Änderung frei.
Eine Person erstellt Zahlung.
Andere Person bestätigt Zahlung.
Eine Person richtet Backup ein.
Andere Person prüft Restore-Test.
Merksatz:
Aufgabentrennung reduziert Fehler und Missbrauch.
Vier-Augen-Prinzip
Beim Vier-Augen-Prinzip prüft oder genehmigt mindestens eine zweite Person eine kritische Aktion.
Typische Aktionen:
Adminrechte vergeben
Firewall nach außen öffnen
Backup löschen
Produktivsystem ändern
Benutzer mit hohen Rechten anlegen
kritische Daten exportieren
Merksatz:
Kritische Änderungen nicht allein freigeben.
Administrative Konten
Administrative Konten haben erhöhte Rechte.
Beispiele:
lokaler Administrator
Domänenadministrator
Cloud-Administrator
Firewall-Administrator
Datenbankadministrator
Backup-Administrator
Root-Konto
Merksatz:
Administrative Konten sind besonders schützenswert.
Admin- und Alltagskonto trennen
Administratoren sollten zwei Konten haben:
normales Benutzerkonto für Alltag
separates Adminkonto für Administration
Vorteile:
weniger Risiko bei Phishing
weniger Malware-Schaden
bessere Nachvollziehbarkeit
weniger dauerhafte Rechte
klarere Trennung von Aufgaben
Merksatz:
Nicht dauerhaft mit Adminrechten arbeiten.
Lokale Adminrechte
Lokale Adminrechte auf Clients sind riskant.
Risiken:
Malware kann mehr Schaden anrichten.
Benutzer kann Sicherheitssoftware deaktivieren.
Programme können ungeprüft installiert werden.
Einstellungen können verändert werden.
Angreifer kann Rechte ausnutzen.
Merksatz:
Lokale Adminrechte nur vergeben,
wenn sie wirklich nötig sind.
Domänenadministrator
Ein Domänenadministrator hat sehr weitreichende Rechte in einer Windows-Domäne.
Risiko:
Kompromittierung kann das gesamte Netzwerk betreffen.
Schutz:
nur wenige Personen
MFA
getrennte Admin-Konten
keine Nutzung für Alltag
Protokollierung
regelmäßige Rechteprüfung
sichere Admin-Arbeitsstationen
Merksatz:
Domänenadminrechte gehören zu den kritischsten Rechten.
Root
Root ist das höchste Benutzerkonto auf vielen Unix- und Linux-Systemen.
Root kann:
Dateien ändern
Benutzer verwalten
Dienste steuern
Rechte setzen
Systemkonfiguration ändern
Sicherheitsmechanismen beeinflussen
Merksatz:
Root hat volle Kontrolle über das System.
sudo
sudo erlaubt,
einzelne Befehle mit erhöhten Rechten auszuführen.
Vorteile:
keine dauerhafte Root-Sitzung nötig
Aktionen besser nachvollziehbar
Rechte können gezielter vergeben werden
direkte Root-Anmeldung kann vermieden werden
Merksatz:
sudo ermöglicht kontrollierte Rechteerhöhung.
Dienstkonto
Ein Dienstkonto ist ein Konto,
das von einem Dienst,
einer Anwendung
oder einem automatisierten Prozess genutzt wird.
Beispiele:
Datenbankzugriff einer Webanwendung
Backupdienst
Monitoring-Agent
Synchronisationsdienst
API-Integration
geplante Aufgabe
Merksatz:
Dienstkonten sind technische Identitäten für Dienste.
Risiken bei Dienstkonten
Dienstkonten sind oft kritisch,
weil sie dauerhaft laufen.
Risiken:
zu viele Rechte
Passwort läuft nie ab
Passwort wird im Klartext gespeichert
Konto wird nicht überwacht
Konto bleibt nach Projektende aktiv
Nutzung ist schwer nachvollziehbar
Schlüssel oder Tokens werden nicht rotiert
Merksatz:
Dienstkonten müssen genauso verwaltet werden wie Benutzerkonten.
Dienstkonten sicher betreiben
Maßnahmen:
nur notwendige Rechte
eindeutiger Zweck
Dokumentation
keine interaktive Anmeldung,
wenn nicht nötig
starke Geheimnisse
Secret Manager nutzen
regelmäßige Rotation
Monitoring
Deaktivierung nach Nutzungsende
keine gemeinsamen Allzweckkonten
Merksatz:
Dienstkonto immer zweckgebunden und rechtearm einrichten.
Gruppenrichtlinien
Gruppenrichtlinien werden in Windows-Umgebungen genutzt,
um Einstellungen zentral zu verwalten.
Beispiele:
Passwortregeln
Bildschirmsperre
Firewall-Einstellungen
Laufwerkszuordnung
Softwareverteilung
Sicherheitsoptionen
Einschränkung von Makros
lokale Administratoren
Update-Einstellungen
Merksatz:
Gruppenrichtlinien setzen zentrale Regeln für Benutzer und Computer.
Verzeichnisdienst
Ein Verzeichnisdienst verwaltet Identitäten und Ressourcen zentral.
Typische Inhalte:
Benutzer
Gruppen
Computer
Rollen
Organisationseinheiten
Richtlinien
Zugriffsrechte
Beispiele:
Active Directory
LDAP-basierte Verzeichnisse
Cloud-Verzeichnisdienste
Merksatz:
Verzeichnisdienst = zentrale Verwaltung von Identitäten und Objekten.
Active Directory
Active Directory ist ein Verzeichnisdienst von Microsoft.
Es wird häufig genutzt für:
Benutzerverwaltung
Gruppenverwaltung
Computerverwaltung
zentrale Anmeldung
Gruppenrichtlinien
Rechteverwaltung
Domänenstruktur
Merksatz:
Active Directory verwaltet Benutzer,
Gruppen,
Computer
und Richtlinien zentral.
LDAP
LDAP steht für:
Lightweight Directory Access Protocol
LDAP ist ein Protokoll,
mit dem Verzeichnisdienste abgefragt und genutzt werden können.
Beispiele:
Benutzer suchen
Gruppen prüfen
Anmeldung gegen Verzeichnisdienst
Informationen aus Verzeichnis abrufen
Merksatz:
LDAP ist ein Protokoll für den Zugriff auf Verzeichnisdienste.
Authentifizierung
Authentifizierung bedeutet:
Nachweis der Identität.
Frage:
Wer bist du?
Beispiele:
Anmeldung mit Passwort
Anmeldung mit Zertifikat
Anmeldung mit MFA
Anmeldung per Smartcard
Anmeldung mit SSH-Schlüssel
Merksatz:
Authentifizierung prüft die Identität.
Autorisierung
Autorisierung bedeutet:
Prüfung der Berechtigung.
Frage:
Was darfst du?
Beispiele:
Darf Benutzer Datei öffnen?
Darf Benutzer Drucker verwalten?
Darf Benutzer Server neu starten?
Darf Benutzer Adminbereich nutzen?
Darf Benutzer Datenbank ändern?
Merksatz:
Autorisierung prüft die erlaubten Aktionen.
Authentifizierung und Autorisierung unterscheiden
Begriff
Frage
Beispiel
Authentifizierung
Wer bist du?
Benutzer meldet sich an
Autorisierung
Was darfst du?
Benutzer darf Datei lesen
Merksatz:
Erst Identität prüfen,
dann Rechte prüfen.
ACL
ACL steht für:
Access Control List
Eine ACL ist eine Zugriffskontrollliste.
Sie legt fest,
wer auf ein Objekt zugreifen darf
und welche Aktionen erlaubt sind.
Beispiele:
Datei lesen
Ordner schreiben
Freigabe nutzen
Netzwerkverkehr erlauben
Drucker verwalten
Merksatz:
ACL legt Zugriffsrechte auf Objekte fest.
Dateirechte
Dateirechte bestimmen,
wer Dateien oder Ordner nutzen darf.
Typische Rechte:
lesen
schreiben
ausführen
ändern
löschen
Besitz übernehmen
Rechte ändern
Merksatz:
Dateirechte schützen Daten vor unberechtigtem Zugriff.
Lesen, Schreiben und Ausführen
Lesen:
Dateiinhalt anzeigen
Schreiben:
Datei verändern oder erstellen
Ausführen:
Programm oder Skript starten
Merksatz:
Lesen sieht Daten.
Schreiben verändert Daten.
Ausführen startet Code.
Vererbung von Rechten
Rechte können von übergeordneten Ordnern an Unterordner und Dateien vererbt werden.
Vorteil:
weniger Einzelkonfiguration
Risiko:
falsche Rechte können sich auf viele Dateien auswirken.
Merksatz:
Vererbte Rechte erleichtern Verwaltung,
können aber große Wirkung haben.
Freigaberechte und NTFS-Rechte
In Windows-Umgebungen gibt es oft:
Freigaberechte
und
NTFS-Rechte
Freigaberechte:
gelten beim Zugriff über Netzwerkfreigabe
NTFS-Rechte:
gelten auf Dateisystemebene
Wichtig:
Beim Netzwerkzugriff wirkt die restriktivere Kombination.
Merksatz:
Freigaberechte und NTFS-Rechte zusammen betrachten.
Besitz von Dateien
Der Besitzer einer Datei oder eines Ordners hat besondere Bedeutung.
Er kann je nach System Rechte beeinflussen oder ändern.
Wichtig:
Besitzrechte nicht unkontrolliert vergeben.
Merksatz:
Besitz kann Rechteverwaltung beeinflussen.
Umask
Umask ist ein Konzept in Unix- und Linux-Systemen.
Sie legt fest,
welche Standardrechte bei neuen Dateien oder Ordnern entfernt werden.
Beispielprinzip:
Neue Datei erhält nicht automatisch alle möglichen Rechte,
weil umask bestimmte Rechte wegnimmt.
Merksatz:
umask beeinflusst Standardrechte neuer Dateien und Ordner.
chmod
chmod ist ein Befehl unter Unix- und Linux-Systemen,
um Dateirechte zu ändern.
Rechtearten:
lesen
schreiben
ausführen
für:
Besitzer
Gruppe
andere
Merksatz:
chmod ändert Dateirechte.
chown
chown ist ein Befehl unter Unix- und Linux-Systemen,
um Besitzer und Gruppe einer Datei oder eines Ordners zu ändern.
Merksatz:
chown ändert Besitzer oder Gruppe.
Dateirechte unter Linux: Grundidee
Linux unterscheidet bei Dateirechten typischerweise:
Besitzer
Gruppe
Andere
Rechte:
r = read = lesen
w = write = schreiben
x = execute = ausführen
Merksatz:
Linux-Dateirechte bestehen aus Besitzer,
Gruppe,
Andere
und den Rechten r,
w,
x.
Beispiel für Linux-Rechte
Beispiel:
rwxr-x---
Bedeutung:
Besitzer:
lesen,
schreiben,
ausführen
Gruppe:
lesen,
ausführen
Andere:
keine Rechte
Merksatz:
Linux-Rechte werden für Besitzer,
Gruppe
und Andere getrennt betrachtet.
Besondere Linux-Rechte
Neben normalen Rechten gibt es besondere Rechte.
Beispiele:
SetUID
SetGID
Sticky Bit
Diese Rechte können sicherheitskritisch sein,
weil sie Ausführung,
Gruppenzuordnung
oder Löschverhalten beeinflussen.
Merksatz:
Sonderrechte unter Linux bewusst prüfen.
SetUID
SetUID bewirkt,
dass ein Programm mit den Rechten des Dateibesitzers ausgeführt wird.
Risiko:
Wenn ein SetUID-Programm unsicher ist,
kann es Rechteausweitung ermöglichen.
Merksatz:
SetUID kann Rechte erhöhen und ist sicherheitskritisch.
SetGID
SetGID kann bewirken,
dass ein Programm mit Gruppenrechten ausgeführt wird
oder dass neue Dateien in einem Ordner eine bestimmte Gruppe erhalten.
Merksatz:
SetGID beeinflusst Gruppenrechte.
Sticky Bit
Sticky Bit wird häufig bei gemeinsam genutzten Verzeichnissen verwendet.
Es sorgt dafür,
dass Benutzer dort nicht beliebig Dateien anderer Benutzer löschen können.
Beispiel:
/tmp
Merksatz:
Sticky Bit schützt Dateien in gemeinsamen Verzeichnissen vor fremdem Löschen.
Rechteprüfung in der Praxis
Bei Zugriffsproblemen prüfen:
Welcher Benutzer ist angemeldet?
In welchen Gruppen ist der Benutzer?
Welche Rechte hat die Datei?
Welche Rechte hat der Ordner?
Gibt es vererbte Rechte?
Gibt es Freigaberechte?
Gibt es NTFS-Rechte?
Gibt es ACLs?
Gibt es lokale oder zentrale Gruppen?
Gibt es Deny-Regeln?
Gibt es Sonderrechte?
Merksatz:
Zugriffsprobleme immer systematisch von Benutzer,
Gruppe,
Objekt
und Regel prüfen.
Deny-Regeln
Deny bedeutet:
Zugriff ausdrücklich verweigern.
Deny-Regeln können erlaubende Rechte übersteuern.
Risiko:
falsch gesetzte Deny-Regeln verursachen schwer erkennbare Zugriffsprobleme.
Merksatz:
Deny-Regeln sparsam und bewusst verwenden.
Zugriff verweigert
Wenn ein Benutzer „Zugriff verweigert“ erhält,
kann das viele Ursachen haben.
Mögliche Ursachen:
Benutzer nicht in richtiger Gruppe
fehlende Dateirechte
fehlende Freigaberechte
Deny-Regel
falscher Besitzer
Vererbung unterbrochen
falsche Anmeldung
abgelaufenes Konto
gesperrtes Konto
fehlende Lizenz
Anwendung prüft eigene Rechte
Merksatz:
Zugriff verweigert ist nicht automatisch ein Passwortproblem.
Onboarding
Onboarding bedeutet:
neue Benutzer erhalten benötigte Zugänge,
Geräte
und Rechte.
Gutes Onboarding enthält:
persönliches Benutzerkonto
passende Gruppen
passende Rollen
MFA-Einrichtung
Geräteausgabe
Schulung
Passwortmanager
Sicherheitsrichtlinien
Dokumentation
Merksatz:
Onboarding vergibt Zugänge kontrolliert nach Aufgabe.
Rollenwechsel
Bei einem Rollenwechsel müssen Rechte angepasst werden.
Beispiel:
Benutzer wechselt von Support zu Einkauf.
Dann müssen alte Rechte entfernt
und neue Rechte vergeben werden.
Wichtig:
Rechte nicht nur hinzufügen,
sondern auch nicht mehr benötigte entfernen.
Merksatz:
Rollenwechsel braucht Rechteentzug und Rechtevergabe.
Offboarding
Offboarding bedeutet:
Zugänge werden entfernt,
wenn Benutzer ausscheiden
oder keinen Zugriff mehr benötigen.
Zu prüfen:
Benutzerkonto deaktivieren
Gruppen entfernen
VPN-Zugang entfernen
E-Mail-Zugriff regeln
Cloud-Zugänge entfernen
SSH-Schlüssel löschen
API-Tokens widerrufen
Geräte zurückgeben
lokale Adminrechte entfernen
Weiterleitungen prüfen
Merksatz:
Offboarding verhindert alte,
vergessene Zugänge.
Regelmäßige Rechteprüfung
Rechte sollten regelmäßig überprüft werden.
Zu prüfen:
aktive Benutzer
deaktivierte Benutzer
Adminrechte
Gruppenmitgliedschaften
Dienstkonten
externe Dienstleister
lokale Administratoren
Cloud-Rollen
Freigaben
SSH-Schlüssel
Merksatz:
Rechte altern und müssen regelmäßig geprüft werden.
Rezertifizierung von Rechten
Rezertifizierung bedeutet:
Verantwortliche bestätigen regelmäßig,
ob Rechte noch benötigt werden.
Beispiel:
Abteilungsleiter prüft,
ob seine Mitarbeitenden noch Zugriff auf bestimmte Daten brauchen.
Merksatz:
Rezertifizierung verhindert angesammelte Altberechtigungen.
Rechteausweitung
Rechteausweitung bedeutet:
Ein Benutzer oder Angreifer erhält höhere Rechte als vorgesehen.
Arten:
vertikale Rechteausweitung:
normaler Benutzer wird Administrator
horizontale Rechteausweitung:
Benutzer greift auf Daten anderer Benutzer gleicher Ebene zu
Merksatz:
Rechteausweitung ist Zugriff über das erlaubte Maß hinaus.
Privilegieneskalation
Privilegieneskalation bedeutet:
Rechte werden erhöht,
zum Beispiel von normalem Benutzer zu Administrator.
Ursachen:
Schwachstelle
Fehlkonfiguration
unsichere Dienste
falsche Dateirechte
zu breite sudo-Regeln
unsichere Dienstkonten
Merksatz:
Privilegieneskalation ist Erhöhung von Rechten.
Horizontale Rechteausweitung
Horizontale Rechteausweitung bedeutet:
Ein Benutzer greift auf Daten eines anderen Benutzers mit ähnlicher Rolle zu.
Beispiel:
Benutzer 1001 sieht Rechnung von Benutzer 1002,
obwohl er nur eigene Rechnungen sehen darf.
Merksatz:
Horizontal bedeutet:
Zugriff auf fremde Daten gleicher Ebene.
Vertikale Rechteausweitung
Vertikale Rechteausweitung bedeutet:
Ein Benutzer erhält höhere Rechte.
Beispiel:
normaler Benutzer kann Adminfunktion ausführen.
Merksatz:
Vertikal bedeutet:
Zugriff auf höhere Berechtigungsstufe.
Auditierung von Rechten
Auditierung bedeutet:
Rechte und Zugriffe werden geprüft und dokumentiert.
Ziele:
Missbrauch erkennen
alte Rechte entfernen
Compliance erfüllen
Datenschutz verbessern
Nachvollziehbarkeit schaffen
Merksatz:
Rechte müssen nicht nur vergeben,
sondern auch geprüft werden.
Typische Praxisfehler bei Benutzerrechten
Häufige Fehler:
Rechte direkt auf einzelne Benutzer vergeben
zu viele lokale Adminrechte
Sammelkonten
alte Benutzer aktiv
Dienstkonten mit zu vielen Rechten
keine Dokumentation
keine regelmäßige Prüfung
Admin- und Alltagskonto nicht getrennt
Gruppen unübersichtlich
Deny-Regeln falsch gesetzt
Rechte bei Rollenwechsel nur hinzugefügt
Merksatz:
Rechteverwaltung wird unsicher,
wenn sie nicht gepflegt wird.
Checkliste: Rechte sauber verwalten
Persönliche Konten verwenden.
Sammelkonten vermeiden.
Gruppen statt Einzelrechte nutzen.
Rollen definieren.
Least Privilege anwenden.
Need to Know beachten.
Admin- und Alltagskonto trennen.
Dienstkonten dokumentieren.
Dienstkonten rechtearm einrichten.
Onboarding standardisieren.
Rollenwechsel prüfen.
Offboarding konsequent durchführen.
Rechte regelmäßig prüfen.
Adminrechte besonders kontrollieren.
Audit-Logs aktivieren.
Notfallkonten absichern.
Merksatz:
Gute Rechteverwaltung ist dauerhaft gepflegt,
dokumentiert
und nachvollziehbar.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist ein Benutzerkonto?
- Warum sind persönliche Benutzerkonten wichtig?
- Warum sind Sammelkonten problematisch?
- Warum sollte man Rechte über Gruppen vergeben?
- Was ist eine Rolle?
- Was bedeutet RBAC?
- Was bedeutet ABAC?
- Was ist der Unterschied zwischen Authentifizierung und Autorisierung?
- Was bedeutet Least Privilege?
- Was bedeutet Need to Know?
- Warum sollten Admin- und Alltagskonto getrennt werden?
- Was ist ein Dienstkonto?
- Warum sind Dienstkonten kritisch?
- Was ist ein Verzeichnisdienst?
- Was ist Active Directory?
- Was ist LDAP?
- Was ist eine ACL?
- Was ist der Unterschied zwischen Freigaberechten und NTFS-Rechten?
- Was bedeutet chmod?
- Was bedeutet chown?
- Was ist SetUID?
- Was ist Offboarding?
- Warum ist regelmäßige Rechteprüfung wichtig?
Typische Prüfungsfallen
Authentifizierung und Autorisierung nicht verwechseln.
Benutzerkonto ist Identität,
Berechtigung ist erlaubte Aktion.
Rechte möglichst über Gruppen vergeben.
Rollen bündeln Rechte.
Sammelkonten vermeiden.
Least Privilege bedeutet minimale notwendige Rechte.
Need to Know bezieht sich auf Informationsbedarf.
Admin- und Alltagskonto trennen.
Lokale Adminrechte erhöhen Risiko.
Dienstkonten sind technische Identitäten.
Dienstkonten brauchen klare Rechtebegrenzung.
Active Directory ist ein Verzeichnisdienst.
LDAP ist ein Protokoll für Verzeichniszugriff.
ACL ist Zugriffskontrollliste.
Freigaberechte und NTFS-Rechte zusammen betrachten.
Deny-Regeln können erlaubende Regeln übersteuern.
Zugriff verweigert kann viele Ursachen haben.
Rollenwechsel bedeutet alte Rechte entfernen.
Offboarding muss alle Zugänge entfernen.
Rechte regelmäßig prüfen.
SetUID ist sicherheitskritisch.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Benutzerkonto
digitale Identität eines Benutzers
persönliches Konto
Konto für genau eine Person
Sammelkonto
gemeinsam genutztes Konto
Gruppe
Zusammenfassung von Benutzern
Rolle
Aufgabe mit passenden Rechten
RBAC
rollenbasierte Zugriffskontrolle
ABAC
attributbasierte Zugriffskontrolle
Berechtigung
erlaubte Aktion
Recht
einzelne Erlaubnis
Least Privilege
minimale notwendige Rechte
Need to Know
Zugriff nur bei Informationsbedarf
Aufgabentrennung
kritische Aufgaben trennen
Vier-Augen-Prinzip
Prüfung durch zweite Person
Adminkonto
Konto mit erhöhten Rechten
lokaler Administrator
Admin auf einem einzelnen System
Domänenadministrator
Admin mit weitreichenden Domänenrechten
Root
höchstes Konto auf Unix/Linux
sudo
kontrollierte Rechteerhöhung
Dienstkonto
technische Identität für Dienste
Gruppenrichtlinie
zentrale Windows-Einstellung
Verzeichnisdienst
zentrale Verwaltung von Identitäten
Active Directory
Microsoft-Verzeichnisdienst
LDAP
Protokoll für Verzeichnisdienste
Authentifizierung
Identität prüfen
Autorisierung
Berechtigung prüfen
ACL
Zugriffskontrollliste
Dateirechte
Rechte auf Dateien und Ordner
Vererbung
Weitergabe von Rechten
Freigaberechte
Rechte auf Netzwerkfreigabe
NTFS-Rechte
Rechte auf Windows-Dateisystemebene
umask
Standardrechte unter Unix/Linux beeinflussen
chmod
Dateirechte ändern
chown
Besitzer oder Gruppe ändern
SetUID
Ausführung mit Besitzerrechten
SetGID
Ausführung oder Dateien mit Gruppenbezug
Sticky Bit
Schutz in gemeinsamen Verzeichnissen
Deny
ausdrückliche Verweigerung
Onboarding
geregelte Zugangsvergabe
Offboarding
geregelter Rechteentzug
Rezertifizierung
regelmäßige Bestätigung von Rechten
Rechteausweitung
Zugriff über erlaubtes Maß hinaus
Privilegieneskalation
Erhöhung von Rechten
Auditierung
Prüfung und Dokumentation
IHK-sichere Kurzformulierung
Benutzer-, Gruppen- und Rechteverwaltung sorgt dafür, dass Personen und Dienste nur die Zugriffe erhalten, die sie für ihre Aufgaben benötigen. Benutzer sollten persönliche Konten verwenden, Sammelkonten sollten vermieden werden. Rechte werden möglichst über Gruppen und Rollen vergeben, zum Beispiel nach dem RBAC-Prinzip. Authentifizierung prüft die Identität eines Benutzers, Autorisierung prüft seine Berechtigungen. Wichtige Grundsätze sind Least Privilege, Need to Know, Trennung von Admin- und Alltagskonto, kontrollierte Dienstkonten, regelmäßige Rechteprüfung und konsequentes Offboarding. Dateirechte, ACLs, Freigaberechte, NTFS-Rechte und Linux-Rechte müssen systematisch geprüft werden, wenn Zugriffsprobleme auftreten.
Merksätze
Rechteverwaltung schützt Daten und Systeme.
Benutzerkonto = digitale Identität.
Ein Benutzer,
ein persönliches Konto.
Sammelkonten vermeiden.
Rechte möglichst über Gruppen vergeben.
Rolle beschreibt Aufgabe.
RBAC vergibt Rechte nach Rollen.
ABAC entscheidet nach Eigenschaften.
Berechtigung = erlaubte Aktion.
Rechte sind einzelne Erlaubnisse.
Rollen bündeln Rechte.
Least Privilege = minimale notwendige Rechte.
Need to Know = Zugriff nur bei Bedarf.
Adminrechte besonders schützen.
Admin- und Alltagskonto trennen.
Lokale Adminrechte vermeiden.
Root hat volle Kontrolle.
sudo ermöglicht kontrollierte Rechteerhöhung.
Dienstkonten sind technische Identitäten.
Dienstkonten rechtearm betreiben.
Gruppenrichtlinien setzen zentrale Regeln.
Verzeichnisdienste verwalten Identitäten zentral.
Active Directory ist ein Verzeichnisdienst.
LDAP ist ein Protokoll für Verzeichniszugriff.
Authentifizierung fragt:
Wer bist du?
Autorisierung fragt:
Was darfst du?
ACL legt Zugriffe fest.
Lesen sieht Daten.
Schreiben verändert Daten.
Ausführen startet Code.
Freigaberechte und NTFS-Rechte zusammen prüfen.
Linux-Rechte bestehen aus Besitzer,
Gruppe,
Andere
und r,
w,
x.
chmod ändert Rechte.
chown ändert Besitzer oder Gruppe.
SetUID ist sicherheitskritisch.
Deny-Regeln bewusst einsetzen.
Zugriff verweigert hat viele mögliche Ursachen.
Onboarding vergibt Rechte kontrolliert.
Rollenwechsel braucht Rechteentzug.
Offboarding entfernt alte Zugänge.
Rechte regelmäßig prüfen.
Rezertifizierung verhindert Altberechtigungen.
Privilegieneskalation erhöht Rechte.
Gute Rechteverwaltung ist nachvollziehbar,
dokumentiert
und regelmäßig geprüft.
17.4 Logs, Monitoring und Dienstprüfung in der Praxis
Logs,
Monitoring
und Dienstprüfung gehören zu den wichtigsten Werkzeugen in der Systemadministration.
Sie helfen dabei,
- Fehler zu erkennen
- Angriffe zu erkennen
- Ursachen einzugrenzen
- Änderungen nachzuvollziehen
- Dienste zu überwachen
- Ausfälle schneller zu beheben
- Sicherheitsvorfälle zu untersuchen
- Betrieb zu dokumentieren
Merksatz:
Logs zeigen,
was passiert ist.
Monitoring zeigt,
was gerade passiert oder sich anbahnt.
Warum Logs wichtig sind
Logs protokollieren Ereignisse auf Systemen,
Diensten,
Anwendungen
und Netzwerkkomponenten.
Beispiele:
Benutzer meldet sich an.
Dienst startet.
Dienst stoppt.
Fehler tritt auf.
Firewall blockiert Verbindung.
Backup schlägt fehl.
Admin ändert Konfiguration.
SSH-Login wird abgelehnt.
Webserver liefert Fehlercode.
Datenbank meldet Verbindungsfehler.
Merksatz:
Ohne Logs ist Fehlersuche oft nur Raten.
Warum Monitoring wichtig ist
Monitoring überwacht den Zustand von Systemen und Diensten.
Typische Fragen:
Ist der Server erreichbar?
Läuft der Dienst?
Ist die Festplatte voll?
Ist die CPU überlastet?
Ist genug Arbeitsspeicher frei?
Ist das Backup erfolgreich?
Antwortet die Webseite?
Läuft das Zertifikat bald ab?
Gibt es ungewöhnlich viele Loginfehler?
Merksatz:
Monitoring erkennt Probleme früh,
bevor Benutzer sie melden.
Logs und Monitoring unterscheiden
Bereich
Zweck
Beispiel
Logs
Ereignisse nachvollziehen
Benutzerlogin fehlgeschlagen
Monitoring
Zustand überwachen
CPU dauerhaft bei 95 Prozent
Alerting
Verantwortliche alarmieren
Backup fehlgeschlagen
Reporting
Verlauf dokumentieren
Verfügbarkeit im Monat
Merksatz:
Logs erklären Ereignisse.
Monitoring beobachtet Zustände.
Alerting meldet kritische Abweichungen.
Typische Logquellen
Wichtige Logquellen in der Praxis:
Betriebssystemlogs
Anwendungslogs
Webserverlogs
Datenbanklogs
Authentifizierungslogs
SSH-Logs
RDP-Logs
Firewall-Logs
VPN-Logs
DNS-Logs
DHCP-Logs
E-Mail-Logs
Backup-Logs
Cloud-Audit-Logs
EDR-Logs
SIEM-Ereignisse
Merksatz:
Jede wichtige Komponente sollte nachvollziehbare Logs erzeugen.
Betriebssystemlogs
Betriebssystemlogs zeigen Ereignisse des Systems.
Beispiele:
Start und Stopp des Systems
Kernelmeldungen
Treiberprobleme
Benutzeranmeldungen
Dienststarts
Dienstfehler
Speicherprobleme
Hardwarefehler
Merksatz:
Betriebssystemlogs sind die Grundlage vieler Fehleranalysen.
Anwendungslogs
Anwendungslogs stammen von Programmen oder Diensten.
Beispiele:
Webanwendung meldet Fehler.
Datenbankverbindung schlägt fehl.
API gibt Fehler zurück.
Anwendung kann Datei nicht schreiben.
Lizenzprüfung schlägt fehl.
Benutzeraktion wird protokolliert.
Merksatz:
Anwendungslogs zeigen,
was innerhalb der Anwendung passiert.
Authentifizierungslogs
Authentifizierungslogs zeigen Anmeldeereignisse.
Beispiele:
erfolgreiche Anmeldung
fehlgeschlagene Anmeldung
gesperrtes Konto
falsches Passwort
unbekannter Benutzer
MFA-Fehler
Anmeldung von ungewöhnlichem Ort
Rechteerhöhung mit sudo
Adminlogin
Merksatz:
Authentifizierungslogs sind wichtig für Sicherheit und Zugriffskontrolle.
Firewall-Logs
Firewall-Logs zeigen,
welcher Verkehr erlaubt oder blockiert wurde.
Typische Informationen:
Zeit
Quell-IP
Ziel-IP
Quellport
Zielport
Protokoll
Aktion
Regelname
Interface
Benutzer je nach System
Merksatz:
Firewall-Logs helfen bei Verbindungsproblemen und Angriffserkennung.
VPN-Logs
VPN-Logs zeigen Zugriffe über VPN.
Typische Informationen:
Benutzer
Anmeldezeit
Abmeldezeit
Quell-IP
zugewiesene VPN-IP
Authentifizierungsergebnis
MFA-Status
Verbindungsabbrüche
Fehlercodes
Merksatz:
VPN-Logs zeigen,
wer wann aus der Ferne verbunden war.
DNS-Logs
DNS-Logs zeigen Namensauflösungen.
Beispiele:
welcher Client fragt welchen Namen an?
welcher Name wird häufig abgefragt?
gibt es verdächtige Domains?
gibt es Namensauflösungsfehler?
nutzt ein Client ungewöhnliche DNS-Ziele?
Merksatz:
DNS-Logs helfen bei Fehlersuche und Malware-Erkennung.
DHCP-Logs
DHCP-Logs zeigen automatische IP-Vergaben.
Typische Informationen:
MAC-Adresse
vergebene IP-Adresse
Hostname
Lease-Zeit
Zeitpunkt
DHCP-Server
Fehler bei Vergabe
Merksatz:
DHCP-Logs helfen,
IP-Konflikte und Clientzuordnungen nachzuvollziehen.
Webserverlogs
Webserverlogs zeigen Zugriffe auf Webseiten und APIs.
Typische Informationen:
Client-IP
Zeitpunkt
HTTP-Methode
URL
Statuscode
Antwortgröße
User-Agent
Referrer
Antwortzeit
Merksatz:
Webserverlogs zeigen,
welche Anfragen ein Webdienst erhalten hat.
HTTP-Statuscodes in Logs
Wichtige HTTP-Statuscode-Gruppen:
Bereich
Bedeutung
2xx
erfolgreich
3xx
Weiterleitung
4xx
Clientfehler
5xx
Serverfehler
Beispiele:
200:
Anfrage erfolgreich
301 oder 302:
Weiterleitung
401:
nicht authentifiziert
403:
verboten
404:
nicht gefunden
500:
interner Serverfehler
502:
fehlerhafte Antwort vom Backend
503:
Dienst nicht verfügbar
Merksatz:
4xx deutet oft auf Client- oder Berechtigungsproblem.
5xx deutet oft auf Server- oder Backendproblem.
Backup-Logs
Backup-Logs zeigen,
ob Sicherungen erfolgreich waren.
Zu prüfen:
Backup gestartet?
Backup abgeschlossen?
Datenmenge plausibel?
Fehler aufgetreten?
Ziel erreichbar?
Speicherplatz ausreichend?
Verschlüsselung aktiv?
Aufbewahrung korrekt?
Restore-Test durchgeführt?
Merksatz:
Backup gilt erst als zuverlässig,
wenn Erfolg und Wiederherstellung geprüft wurden.
Cloud-Audit-Logs
Cloud-Audit-Logs zeigen sicherheitsrelevante Aktionen in Cloud-Umgebungen.
Beispiele:
Benutzer angemeldet
Rolle geändert
Firewall-Regel geöffnet
Speicher öffentlich gemacht
API-Schlüssel erzeugt
VM gestartet
Datenbank gelöscht
Backup geändert
MFA deaktiviert
Merksatz:
Cloud-Audit-Logs zeigen,
wer was in der Cloud geändert hat.
Loglevel
Logs haben oft verschiedene Schweregrade.
Typische Loglevel:
Loglevel
Bedeutung
Debug
sehr detaillierte Informationen für Fehlersuche
Info
normale Betriebsinformation
Warning
Warnung, noch kein vollständiger Fehler
Error
Fehler ist aufgetreten
Critical
schwerer Fehler mit hoher Auswirkung
Fatal
Dienst oder Anwendung kann nicht weiterarbeiten
Merksatz:
Nicht jede Warnung ist ein Ausfall,
aber Warnungen können frühe Hinweise sein.
Debug-Logs
Debug-Logs sind sehr detailliert.
Vorteil:
helfen bei genauer Fehlersuche
Nachteil:
erzeugen viele Daten
können sensible Informationen enthalten
können Performance belasten
Merksatz:
Debug-Logging gezielt aktivieren
und danach wieder reduzieren.
Logrotation
Logrotation bedeutet:
Logdateien werden regelmäßig umbenannt,
archiviert
komprimiert
oder gelöscht.
Ziel:
Festplatte läuft nicht voll.
Logs bleiben übersichtlich.
Aufbewahrung wird kontrolliert.
Merksatz:
Ohne Logrotation können Logs Speicherplatzprobleme verursachen.
Logaufbewahrung
Logaufbewahrung legt fest,
wie lange Logs gespeichert werden.
Zu beachten:
gesetzliche Vorgaben
Datenschutz
Sicherheitsanforderungen
Speicherplatz
Nachvollziehbarkeit
forensische Analyse
interne Richtlinien
Merksatz:
Logs so lange wie nötig,
aber nicht unbegrenzt ohne Grund speichern.
Datenschutz bei Logs
Logs können personenbezogene Daten enthalten.
Beispiele:
Benutzername
IP-Adresse
E-Mail-Adresse
Zeitpunkte
Geräteinformationen
aufgerufene URLs
Standortinformationen
Deshalb wichtig:
Zugriff begrenzen
Aufbewahrung regeln
Zweck festlegen
sensible Inhalte vermeiden
Protokollierung dokumentieren
Merksatz:
Logs sind sicherheitsrelevant,
aber auch datenschutzrelevant.
Zentrale Logsammlung
Zentrale Logsammlung bedeutet:
Logs mehrerer Systeme werden an einem zentralen Ort gesammelt.
Vorteile:
bessere Suche
bessere Korrelation
Schutz vor lokaler Manipulation
einfachere Auswertung
bessere Nachvollziehbarkeit
Grundlage für SIEM
Merksatz:
Zentrale Logs helfen,
Ereignisse systemübergreifend zu verstehen.
Syslog
Syslog ist ein verbreiteter Standard zur Übertragung von Logmeldungen.
Häufig genutzt bei:
Linux-Systemen
Netzwerkgeräten
Firewalls
Switches
Routern
Appliances
Merksatz:
Syslog transportiert Logmeldungen zu einem Logserver.
Windows-Ereignisanzeige
Windows-Systeme verwenden Ereignisprotokolle.
Typische Bereiche:
Anwendung
Sicherheit
System
Setup
weitergeleitete Ereignisse
Wichtige Ereignisse:
Anmeldung
Fehlanmeldung
Dienstfehler
Richtlinienänderung
Kontoänderung
Systemfehler
Merksatz:
Die Windows-Ereignisanzeige ist zentrale Logquelle auf Windows-Systemen.
journalctl
Auf vielen Linux-Systemen werden Systemlogs über systemd-journald verwaltet.
Das Werkzeug zur Anzeige heißt:
journalctl
Typische Nutzung:
Systemmeldungen anzeigen
Logs eines Dienstes prüfen
Logs seit bestimmtem Zeitpunkt prüfen
Bootvorgänge untersuchen
Merksatz:
journalctl zeigt systemd-Journal-Logs auf Linux-Systemen.
Dienstprüfung
Dienstprüfung bedeutet:
Es wird geprüft,
ob ein Dienst läuft,
erreichbar ist
und korrekt arbeitet.
Zu prüfen:
läuft der Dienst?
lauscht der Port?
ist die Konfiguration korrekt?
gibt es Fehlerlogs?
antwortet der Dienst?
erreicht er Backend-Systeme?
gibt es Berechtigungsprobleme?
wurde etwas geändert?
Merksatz:
Dienst läuft nicht automatisch gleich Dienst funktioniert vollständig.
Dienststatus
Der Dienststatus zeigt,
ob ein Dienst gestartet,
gestoppt
oder fehlerhaft ist.
Beispiele:
running
stopped
failed
active
inactive
disabled
Merksatz:
Dienststatus ist der erste Blick,
aber nicht die vollständige Prüfung.
Portprüfung
Ein Dienst kann nur erreicht werden,
wenn er auf einem Port lauscht
und der Netzwerkweg erlaubt ist.
Zu prüfen:
lauscht der Dienst auf richtiger IP?
lauscht der Dienst auf richtigem Port?
blockiert lokale Firewall?
blockiert Netzwerkfirewall?
stimmt DNS?
stimmt Routing?
ist der Dienst nur lokal gebunden?
Merksatz:
Dienst erreichbar bedeutet:
Prozess,
Port,
Firewall,
DNS
und Routing müssen passen.
Dienst lauscht nur lokal
Ein Dienst kann nur auf localhost lauschen.
Beispiel:
127.0.0.1
Dann ist er nur vom eigenen System erreichbar.
Wenn andere Systeme zugreifen sollen,
muss geprüft werden,
ob der Dienst auf der passenden Netzwerkschnittstelle lauscht.
Merksatz:
127.0.0.1 bedeutet nur lokal auf demselben System.
Typische Dienstfehler
Häufige Ursachen:
Dienst nicht gestartet
falsche Konfiguration
Port bereits belegt
fehlende Berechtigung
Zertifikat abgelaufen
Datenbank nicht erreichbar
DNS-Fehler
Firewall blockiert
Speicher voll
falsche Zugangsdaten
Update hat Abhängigkeit geändert
Merksatz:
Dienstfehler entstehen oft durch Konfiguration,
Abhängigkeiten
Berechtigungen
oder Ressourcen.
Abhängigkeiten von Diensten
Viele Dienste hängen von anderen Diensten ab.
Beispiele:
Webanwendung braucht Datenbank.
Anwendung braucht Redis oder Cache.
Login braucht Verzeichnisdienst.
Backup braucht Speicherziel.
Monitoring braucht Netzwerkzugriff.
E-Mail-Dienst braucht DNS.
Merksatz:
Bei Fehlern immer auch abhängige Dienste prüfen.
Metriken im Monitoring
Metriken sind messbare Werte.
Typische Metriken:
CPU-Auslastung
RAM-Nutzung
Festplattenbelegung
I/O-Last
Netzwerklast
Paketverlust
Latenz
Antwortzeit
Fehlerquote
Anzahl Loginfehler
Queue-Länge
Verfügbarkeit
Merksatz:
Metriken zeigen messbare Zustände von Systemen und Diensten.
CPU-Auslastung
Hohe CPU-Auslastung kann bedeuten:
Dienst ist überlastet
Prozess hängt
Malware oder Cryptominer aktiv
zu viele Anfragen
schlecht optimierte Anwendung
Backup oder Scan läuft
Hardware zu schwach
Merksatz:
Hohe CPU ist ein Symptom,
nicht automatisch die Ursache.
RAM-Nutzung
Hohe RAM-Nutzung kann bedeuten:
Anwendung braucht viel Speicher
Speicherleck
zu viele Prozesse
Caching
falsche Dimensionierung
Containerlimit zu klein
Datenbank nutzt Speicher intensiv
Merksatz:
RAM-Auslastung immer im Zusammenhang mit Anwendung und System bewerten.
Festplattenbelegung
Volle Festplatten verursachen viele Probleme.
Mögliche Folgen:
Dienst stoppt
Datenbank kann nicht schreiben
Logs können nicht gespeichert werden
Updates schlagen fehl
Backup schlägt fehl
System wird instabil
Merksatz:
Volle Festplatte ist eine häufige Ursache für Dienstfehler.
I/O-Last
I/O beschreibt Ein- und Ausgabe auf Speichergeräten.
Hohe I/O-Last kann auftreten durch:
Datenbank
Backup
Virenscan
Logflut
große Dateioperationen
langsamen Speicher
zu viele gleichzeitige Zugriffe
Merksatz:
Hohe I/O-Last kann Systeme langsam machen,
auch wenn CPU frei ist.
Netzwerklast
Netzwerklast zeigt,
wie stark eine Verbindung genutzt wird.
Hohe Netzwerklast kann entstehen durch:
Backup
Dateiübertragung
Streaming
DDoS
Malware
Synchronisation
falsche Schleife
große Updates
Merksatz:
Netzwerklast immer mit Quelle,
Ziel
und Anwendung betrachten.
Latenz und Paketverlust
Latenz:
Verzögerung bei der Übertragung
Paketverlust:
Pakete gehen verloren
Folgen:
langsame Verbindungen
Verbindungsabbrüche
schlechte Sprachqualität
langsame Remote-Sitzungen
Timeouts
schlechte Anwendungserfahrung
Merksatz:
Latenz und Paketverlust beeinflussen spürbar die Qualität von Netzwerkdiensten.
Antwortzeit
Antwortzeit beschreibt,
wie lange ein Dienst für eine Antwort braucht.
Beispiele:
Webseite lädt langsam.
API antwortet verzögert.
Datenbankabfrage dauert lange.
Login dauert ungewöhnlich lange.
Merksatz:
Dienst ist erreichbar,
kann aber trotzdem zu langsam sein.
Verfügbarkeit
Verfügbarkeit beschreibt,
ob ein Dienst nutzbar ist.
Monitoring kann prüfen:
Ping
TCP-Port
HTTP-Antwort
API-Antwort
Login-Test
Datenbankverbindung
Zertifikat
Backup-Erfolg
Merksatz:
Verfügbarkeit sollte aus Sicht der Nutzung geprüft werden.
Health Check
Ein Health Check prüft,
ob ein Dienst gesund ist.
Beispiele:
Prozess läuft
Port offen
HTTP-Status 200
Datenbank erreichbar
Abhängigkeiten funktionieren
Antwortzeit im Grenzwert
Merksatz:
Ein guter Health Check prüft mehr als nur,
ob ein Prozess läuft.
Alerting
Alerting bedeutet:
Bei kritischen Zuständen wird automatisch alarmiert.
Beispiele:
Festplatte über 90 Prozent
Dienst nicht erreichbar
Backup fehlgeschlagen
Zertifikat läuft bald ab
viele Loginfehler
CPU dauerhaft sehr hoch
ungewöhnlicher Datenexport
Firewall blockiert ungewöhnlich viel
Merksatz:
Monitoring ohne sinnvolles Alerting wird leicht übersehen.
Alarmmüdigkeit
Alarmmüdigkeit entsteht,
wenn zu viele unwichtige Alarme erzeugt werden.
Folge:
wichtige Alarme werden ignoriert.
Gegenmaßnahmen:
sinnvolle Schwellwerte
Prioritäten
Eskalationsregeln
Alarmzusammenfassung
regelmäßige Anpassung
klare Zuständigkeit
Merksatz:
Zu viele schlechte Alarme sind fast so problematisch wie keine Alarme.
Schwellwerte
Schwellwerte legen fest,
wann ein Alarm ausgelöst wird.
Beispiele:
Festplatte über 90 Prozent
CPU länger als 10 Minuten über 95 Prozent
Zertifikat läuft in 14 Tagen ab
Backup zweimal hintereinander fehlgeschlagen
Merksatz:
Schwellwerte sollten zur Kritikalität des Dienstes passen.
SLA, SLO und SLI in der Praxis
SLI:
Messwert
SLO:
Zielwert
SLA:
vertragliche Zusage
Beispiel:
SLI:
gemessene Verfügbarkeit
SLO:
99,9 Prozent Verfügbarkeit als internes Ziel
SLA:
99,5 Prozent vertraglich zugesichert
Merksatz:
SLI misst.
SLO setzt Ziel.
SLA ist Zusage.
Uptime und Verfügbarkeit
Uptime beschreibt,
wie lange ein System ohne Unterbrechung läuft.
Verfügbarkeit beschreibt,
ob ein Dienst für Benutzer nutzbar ist.
Wichtig:
Ein Server kann laufen,
aber die Anwendung kann trotzdem nicht funktionieren.
Merksatz:
Uptime ist nicht automatisch Dienstverfügbarkeit.
Zertifikatsüberwachung
TLS-Zertifikate laufen ab.
Wenn ein Zertifikat abläuft,
können Benutzer Warnungen erhalten
oder Dienste funktionieren nicht mehr.
Monitoring sollte prüfen:
Ablaufdatum
Hostname passt
Zertifikatskette gültig
richtige Zertifizierungsstelle
automatische Erneuerung funktioniert
Merksatz:
Abgelaufene Zertifikate sind vermeidbare Ausfälle.
Backup-Monitoring
Backup-Monitoring prüft,
ob Sicherungen erfolgreich laufen.
Zu überwachen:
letzter erfolgreicher Lauf
Fehlermeldungen
Datenmenge
Laufzeit
Speicherziel
verfügbare Kapazität
Verschlüsselung
Aufbewahrung
Restore-Test
Merksatz:
Backup-Erfolg muss aktiv überwacht werden.
Logauswertung bei Sicherheitsvorfällen
Bei Verdacht auf Sicherheitsvorfall helfen Logs.
Zu prüfen:
ungewöhnliche Loginzeiten
viele Fehlversuche
neue Adminrechte
neue Benutzer
neue Weiterleitungsregeln
Datenexporte
verdächtige DNS-Anfragen
ungewöhnliche Prozesse
Firewall-Drops
VPN-Zugriffe
EDR-Meldungen
Merksatz:
Sicherheitsvorfälle lassen sich nur gut untersuchen,
wenn Logs vorhanden und geschützt sind.
Zeitliche Korrelation
Zeitliche Korrelation bedeutet:
Ereignisse aus verschiedenen Logs werden zeitlich zusammengeführt.
Beispiel:
10:01 VPN-Login
10:03 Adminrechte vergeben
10:05 Zugriff auf Dateiserver
10:10 Datenexport
Merksatz:
Korrelation zeigt Zusammenhänge,
die einzelne Logs allein nicht zeigen.
NTP und Zeitbasis
NTP steht für:
Network Time Protocol
NTP synchronisiert Systemzeiten.
Warum wichtig?
Logs verschiedener Systeme müssen zeitlich vergleichbar sein.
Ohne korrekte Zeit:
Ereignisse sind schwer zuzuordnen.
Sicherheitsanalyse wird ungenau.
Nachweise werden schwieriger.
Merksatz:
Gemeinsame Zeitbasis ist wichtig für Logs und Forensik.
Manipulationsschutz für Logs
Logs können für Angreifer gefährlich sein,
weil sie Spuren enthalten.
Deshalb versuchen Angreifer oft,
Logs zu löschen oder zu verändern.
Schutz:
zentrale Logsammlung
eingeschränkte Rechte
unveränderliche Speicherung
regelmäßige Sicherung
getrennte Systeme
Alarm bei Logausfall
Auditierung
Merksatz:
Logs müssen vor Manipulation geschützt werden.
Dashboard
Ein Dashboard zeigt wichtige Zustände übersichtlich an.
Beispiele:
Systemstatus
Dienstverfügbarkeit
CPU und RAM
Netzwerkstatus
Backupstatus
Sicherheitsalarme
Zertifikatsstatus
offene Incidents
Merksatz:
Dashboard zeigt schnell,
wo Aufmerksamkeit nötig ist.
Runbook
Ein Runbook ist eine Schritt-für-Schritt-Anleitung für wiederkehrende Situationen.
Beispiele:
Dienst ausgefallen
Backup fehlgeschlagen
Zertifikat abgelaufen
Speicherplatz voll
Benutzerkonto gesperrt
VPN funktioniert nicht
Malware-Verdacht
Merksatz:
Runbooks helfen,
Fehler schneller und einheitlicher zu beheben.
Dokumentation bei Störungen
Bei Störungen sollte dokumentiert werden:
Zeitpunkt
betroffene Systeme
Symptome
Fehlermeldungen
Logs
getroffene Maßnahmen
Verantwortliche
Ursache
Lösung
Restprobleme
Lessons Learned
Merksatz:
Gute Dokumentation verhindert,
dass derselbe Fehler immer wieder neu gesucht wird.
Typische Praxisreihenfolge bei Dienstproblemen
Sinnvolle Reihenfolge:
1. Ist das Problem reproduzierbar?
2. Wer ist betroffen?
3. Seit wann besteht das Problem?
4. Gab es Änderungen?
5. Läuft der Dienst?
6. Lauscht der Port?
7. Ist DNS korrekt?
8. Ist Netzwerkverbindung möglich?
9. Blockiert eine Firewall?
10. Gibt es Fehlerlogs?
11. Sind Abhängigkeiten erreichbar?
12. Sind Ressourcen ausreichend?
13. Funktioniert Authentifizierung?
14. Ist ein Zertifikat abgelaufen?
15. Wurde die Lösung dokumentiert?
Merksatz:
Fehlersuche wird schneller,
wenn sie systematisch erfolgt.
Typische Fehler bei Logs und Monitoring
Häufige Fehler:
Logs nicht aktiviert
Logs nur lokal gespeichert
Logs werden zu früh gelöscht
Logs enthalten zu viele sensible Daten
keine zentrale Auswertung
keine Zeitsynchronisation
keine Alarmierung
zu viele unwichtige Alarme
Backupfehler werden nicht bemerkt
Zertifikatsablauf wird nicht überwacht
Dienst läuft,
aber Anwendung wird nicht geprüft
niemand ist für Alarme zuständig
Merksatz:
Monitoring muss betrieben und gepflegt werden,
sonst verliert es seinen Nutzen.
Checkliste: Logs und Monitoring sinnvoll einrichten
Wichtige Systeme erfassen.
Wichtige Dienste erfassen.
Relevante Logs aktivieren.
Logaufbewahrung festlegen.
Datenschutz beachten.
Zentrale Logsammlung nutzen.
Zeitsynchronisation per NTP sicherstellen.
Kritische Metriken überwachen.
Schwellwerte definieren.
Alarmwege festlegen.
Zuständigkeiten klären.
Backup-Erfolg überwachen.
Zertifikate überwachen.
Health Checks einrichten.
Runbooks erstellen.
Alarme regelmäßig prüfen.
Dokumentation aktuell halten.
Merksatz:
Logs und Monitoring brauchen Planung,
Zuständigkeit
und regelmäßige Pflege.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Warum sind Logs wichtig?
- Was ist der Unterschied zwischen Logging und Monitoring?
- Welche Logquellen gibt es?
- Was sind Authentifizierungslogs?
- Wofür nutzt man Firewall-Logs?
- Wofür nutzt man VPN-Logs?
- Was zeigen Webserverlogs?
- Was bedeuten HTTP-Statuscodes 4xx und 5xx?
- Was ist Logrotation?
- Warum ist Logaufbewahrung wichtig?
- Warum sind Logs datenschutzrelevant?
- Was ist zentrale Logsammlung?
- Was ist Syslog?
- Was ist journalctl?
- Was ist ein Health Check?
- Was ist Alerting?
- Was ist Alarmmüdigkeit?
- Warum ist NTP für Logs wichtig?
- Was ist ein Dashboard?
- Was ist ein Runbook?
- Warum sollte Backup-Monitoring eingerichtet werden?
Typische Prüfungsfallen
Logs und Monitoring nicht verwechseln.
Logs zeigen Ereignisse.
Monitoring zeigt Zustände.
Alerting meldet kritische Zustände.
Ohne Logs ist Sicherheitsanalyse schwierig.
Lokale Logs können manipuliert werden.
Zentrale Logsammlung verbessert Nachvollziehbarkeit.
Logs können personenbezogene Daten enthalten.
Logrotation verhindert volle Festplatten.
Debug-Logs nicht dauerhaft unnötig aktiv lassen.
Dienst läuft nicht automatisch gleich Anwendung funktioniert.
4xx bedeutet meist Client- oder Berechtigungsproblem.
5xx bedeutet meist Server- oder Backendproblem.
Uptime ist nicht automatisch Verfügbarkeit.
Health Check sollte mehr prüfen als Prozessstatus.
Backup-Erfolg aktiv überwachen.
Zertifikatsablauf überwachen.
NTP ist wichtig für zeitliche Korrelation.
Zu viele Alarme führen zu Alarmmüdigkeit.
Runbooks helfen bei wiederkehrenden Störungen.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Log
protokolliertes Ereignis
Logging
Aufzeichnung von Ereignissen
Monitoring
Überwachung von Zuständen
Alerting
automatische Alarmierung
Reporting
Auswertung über Zeitraum
Betriebssystemlog
Log des Betriebssystems
Anwendungslog
Log einer Anwendung
Authentifizierungslog
Log zu Anmeldungen
Firewall-Log
Log zu erlaubtem und blockiertem Verkehr
VPN-Log
Log zu VPN-Verbindungen
DNS-Log
Log zu Namensauflösungen
DHCP-Log
Log zu IP-Vergaben
Webserverlog
Log zu HTTP-Anfragen
HTTP-Statuscode
Ergebnis einer Webanfrage
Backup-Log
Log zu Sicherungen
Audit-Log
Log sicherheitsrelevanter Aktionen
Loglevel
Schweregrad einer Logmeldung
Debug
detaillierte Fehlersuche
Info
normale Information
Warning
Warnung
Error
Fehler
Critical
schwerer Fehler
Logrotation
Verwaltung alter Logdateien
Logaufbewahrung
Dauer der Speicherung
zentrale Logsammlung
Sammlung von Logs an zentralem Ort
Syslog
Standard für Logmeldungen
Ereignisanzeige
Windows-Loganzeige
journalctl
Werkzeug für systemd-Journal
Dienstprüfung
Prüfung eines Dienstes
Portprüfung
Prüfung erreichbarer Ports
Metrik
messbarer Wert
CPU-Auslastung
Prozessorlast
RAM-Nutzung
Arbeitsspeichernutzung
I/O-Last
Last durch Ein- und Ausgabe
Latenz
Verzögerung
Paketverlust
verlorene Netzwerkpakete
Antwortzeit
Dauer bis zur Antwort
Verfügbarkeit
Nutzbarkeit eines Dienstes
Health Check
Gesundheitsprüfung eines Dienstes
Schwellwert
Grenze für Alarm
SLI
Service-Messwert
SLO
Service-Zielwert
SLA
vertragliche Servicezusage
NTP
Zeitsynchronisation
Dashboard
Übersicht wichtiger Zustände
Runbook
Schritt-für-Schritt-Anleitung
IHK-sichere Kurzformulierung
Logs protokollieren Ereignisse auf Systemen, Anwendungen, Netzwerkkomponenten und Sicherheitsdiensten. Monitoring überwacht aktuelle Zustände und Metriken wie Verfügbarkeit, CPU-Auslastung, Speicherplatz, Antwortzeiten, Backup-Erfolg und Zertifikatslaufzeiten. Alerting informiert Verantwortliche automatisch bei kritischen Abweichungen. Für eine sinnvolle Analyse sollten wichtige Logs zentral gesammelt, geschützt, mit korrekter Zeitbasis versehen und datenschutzgerecht aufbewahrt werden. Dienstprüfung umfasst die Kontrolle von Dienststatus, Port, Firewall, DNS, Routing, Logs, Ressourcen und Abhängigkeiten. Logs, Monitoring, Health Checks, Dashboards und Runbooks helfen, Fehler schneller zu erkennen, Sicherheitsvorfälle zu untersuchen und den Betrieb nachvollziehbar zu dokumentieren.
Merksätze
Logs zeigen Ereignisse.
Monitoring zeigt Zustände.
Alerting meldet kritische Abweichungen.
Ohne Logs ist Fehlersuche schwierig.
Ohne Monitoring werden Probleme oft zu spät erkannt.
Authentifizierungslogs zeigen Anmeldungen.
Firewall-Logs zeigen erlaubten und blockierten Verkehr.
VPN-Logs zeigen Fernzugriffe.
DNS-Logs helfen bei Namensauflösung und Sicherheit.
DHCP-Logs helfen bei IP-Zuordnung.
Webserverlogs zeigen HTTP-Anfragen.
2xx bedeutet erfolgreich.
3xx bedeutet Weiterleitung.
4xx bedeutet Client- oder Berechtigungsproblem.
5xx bedeutet Server- oder Backendproblem.
Backup-Logs regelmäßig prüfen.
Cloud-Audit-Logs zeigen Änderungen in der Cloud.
Debug-Logs nicht dauerhaft unnötig aktiv lassen.
Logrotation schützt vor voller Festplatte.
Logs können personenbezogene Daten enthalten.
Zentrale Logsammlung verbessert Nachvollziehbarkeit.
Syslog transportiert Logmeldungen.
Windows nutzt Ereignisprotokolle.
journalctl zeigt systemd-Journal-Logs.
Dienststatus ist nur der erste Schritt.
Port,
Firewall,
DNS
und Routing mitprüfen.
127.0.0.1 bedeutet nur lokal erreichbar.
Abhängige Dienste prüfen.
Metriken zeigen messbare Zustände.
Hohe CPU ist Symptom,
nicht automatisch Ursache.
Volle Festplatte verursacht viele Dienstfehler.
Uptime ist nicht automatisch Verfügbarkeit.
Health Check soll echte Nutzbarkeit prüfen.
Zu viele Alarme führen zu Alarmmüdigkeit.
NTP ist wichtig für Logauswertung.
Logs vor Manipulation schützen.
Dashboard schafft Überblick.
Runbooks beschleunigen wiederkehrende Fehlerbehebung.
Störungen dokumentieren.
Logs und Monitoring brauchen Pflege.
17.5 Netzwerk- und Systembefehle in der Praxis
Administratoren nutzen Befehle,
um Systeme,
Netzwerke,
Dienste,
Verbindungen,
IP-Konfigurationen
und Fehlerzustände zu prüfen.
Typische Ziele sind:
- IP-Adresse prüfen
- Gateway prüfen
- DNS prüfen
- Erreichbarkeit testen
- Routing prüfen
- offene Ports prüfen
- aktive Verbindungen anzeigen
- Dienste prüfen
- Logs anzeigen
- Benutzerrechte prüfen
- Systemressourcen prüfen
Merksatz:
Befehle helfen,
Vermutungen durch konkrete Informationen zu ersetzen.
Warum Befehle wichtig sind
Grafische Oberflächen zeigen oft nur einen Teil der Informationen.
Befehle sind wichtig,
weil sie:
schnell sind
genaue Ausgaben liefern
automatisierbar sind
auch per SSH funktionieren
bei Servern ohne GUI nutzbar sind
Fehlersuche systematisch machen
gut dokumentierbare Ergebnisse liefern
Merksatz:
Kommandozeilenwerkzeuge sind praktische Diagnosewerkzeuge.
Befehle richtig einordnen
Ein einzelner Befehl löst selten das ganze Problem.
Wichtig ist die Reihenfolge:
1. IP-Konfiguration prüfen.
2. Gateway prüfen.
3. DNS prüfen.
4. Ziel erreichen.
5. Port prüfen.
6. Dienst prüfen.
7. Logs prüfen.
8. Änderungen prüfen.
9. Ursache dokumentieren.
Merksatz:
Nicht blind Befehle ausführen,
sondern systematisch prüfen.
Windows und Linux unterscheiden
Viele Befehle unterscheiden sich je nach Betriebssystem.
Beispiele:
Aufgabe
Windows
Linux/macOS
IP-Konfiguration anzeigen
ipconfig
ip addr oder ifconfig
Routing anzeigen
route print
ip route oder netstat -rn
DNS testen
nslookup
dig oder nslookup
Erreichbarkeit testen
ping
ping
Route verfolgen
tracert
traceroute
Verbindungen anzeigen
netstat
ss oder netstat
Dienste prüfen
services.msc, sc
systemctl
Logs anzeigen
Ereignisanzeige
journalctl, Logdateien
Merksatz:
Gleiche Aufgabe,
anderes Werkzeug je nach System.
IP-Konfiguration prüfen
Die IP-Konfiguration zeigt,
wie ein System im Netzwerk eingebunden ist.
Zu prüfen:
IP-Adresse
Subnetzmaske oder Präfix
Standardgateway
DNS-Server
DHCP oder statische Adresse
Netzwerkschnittstelle
IPv4 und IPv6
Verbindung aktiv oder getrennt
Merksatz:
Ohne korrekte IP-Konfiguration funktioniert keine saubere Netzwerkkommunikation.
ipconfig unter Windows
Unter Windows zeigt ipconfig die IP-Konfiguration an.
Typische Informationen:
IPv4-Adresse
IPv6-Adresse
Subnetzmaske
Standardgateway
DNS-Suffix
Adaptername
Typische Nutzung:
IP-Adresse prüfen
Gateway prüfen
DHCP-Zuweisung prüfen
DNS-Server prüfen
Merksatz:
ipconfig zeigt die Netzwerkkonfiguration unter Windows.
ipconfig /all
ipconfig /all zeigt detailliertere Informationen.
Zusätzlich sichtbar:
MAC-Adresse
DHCP aktiviert oder nicht
DHCP-Server
DNS-Server
Lease-Zeit
Hostname
DNS-Suffix
Adapterbeschreibung
Merksatz:
ipconfig /all ist genauer als einfaches ipconfig.
ip addr unter Linux
Unter Linux zeigt ip addr IP-Adressen und Schnittstellen an.
Typische Informationen:
Interface-Name
IPv4-Adresse
IPv6-Adresse
MAC-Adresse
Status der Schnittstelle
Präfixlänge
Beispiele für Interface-Namen:
eth0
ens18
enp0s3
wlan0
lo
Merksatz:
ip addr zeigt IP-Adressen und Netzwerkinterfaces unter Linux.
ifconfig
ifconfig ist ein älteres Werkzeug,
das auf vielen Systemen noch bekannt ist.
Es zeigt ebenfalls Netzwerkschnittstellen und IP-Adressen.
Wichtig:
Auf modernen Linux-Systemen wird häufig ip aus dem iproute2-Paket bevorzugt.
Merksatz:
ifconfig ist bekannt,
ip ist auf modernen Linux-Systemen oft aktueller.
MAC-Adresse prüfen
Die MAC-Adresse ist die Hardwareadresse einer Netzwerkschnittstelle.
Sie ist wichtig für:
DHCP-Zuordnung
Switch-MAC-Tabellen
Wake-on-LAN
Netzwerkzugangskontrolle
Fehlersuche auf Schicht 2
Merksatz:
MAC-Adresse hilft bei Layer-2-Analyse.
Gateway prüfen
Das Standardgateway wird benötigt,
wenn ein Ziel außerhalb des eigenen Netzes liegt.
Fehlt das Gateway,
funktioniert meist nur Kommunikation im lokalen Netz.
Typische Symptome:
lokale Geräte erreichbar
Internet nicht erreichbar
andere Netze nicht erreichbar
DNS-Server außerhalb des Netzes nicht erreichbar
Merksatz:
Ohne Gateway kein Weg in andere Netze.
Routing anzeigen unter Windows
Unter Windows zeigt route print die Routing-Tabelle.
Zu prüfen:
Standardroute
Zielnetze
Gateway
Interface
Metrik
IPv4-Routen
IPv6-Routen
Merksatz:
route print zeigt,
wohin Windows Pakete senden will.
Routing anzeigen unter Linux
Unter Linux zeigt ip route die Routing-Tabelle.
Wichtig sind:
default route
lokale Netzroute
Gateway
Interface
spezielle Routen
Metrik
Merksatz:
ip route zeigt Routingentscheidungen unter Linux.
Standardroute
Die Standardroute wird genutzt,
wenn keine spezifischere Route passt.
Sie wird oft angezeigt als:
0.0.0.0/0
oder:
default
Merksatz:
Standardroute ist der allgemeine Weg zu unbekannten Netzen.
Spezifischste Route gewinnt
Wenn mehrere Routen passen,
wird die spezifischste Route verwendet.
Beispiel:
Route zu 192.168.1.0/24 ist spezifischer als 0.0.0.0/0.
Merksatz:
Die genaueste passende Route gewinnt.
ping
ping testet,
ob ein Ziel per ICMP erreichbar ist.
Es prüft:
Ziel antwortet?
Paketlaufzeit?
Paketverlust?
Namensauflösung indirekt,
wenn ein Name genutzt wird
Merksatz:
ping prüft grundlegende Erreichbarkeit per ICMP.
ping richtig interpretieren
ping erfolgreich:
Ziel antwortet per ICMP.
ping fehlgeschlagen bedeutet nicht automatisch:
Ziel ist aus.
Mögliche Ursachen:
Firewall blockiert ICMP
Ziel blockiert ICMP
Routingproblem
DNS-Problem
Ziel offline
Gatewayproblem
Paketverlust
Merksatz:
Kein ping ist ein Hinweis,
aber kein endgültiger Beweis.
ping mit IP-Adresse
Ping auf IP-Adresse prüft vor allem:
Netzwerkweg
Routing
ICMP-Erreichbarkeit
Beispielprinzip:
ping 192.168.1.1
Wenn IP-Ping funktioniert,
aber Name nicht,
liegt der Fehler häufig bei DNS.
Merksatz:
IP-Ping trennt Netzwerkprüfung von Namensauflösung.
ping mit Hostname
Ping auf Hostname prüft zusätzlich DNS.
Beispielprinzip:
ping server.example.local
Wenn Hostname nicht aufgelöst wird,
kann ping gar nicht zum eigentlichen Ziel starten.
Merksatz:
Hostname-Ping prüft DNS und Erreichbarkeit zusammen.
DNS prüfen
DNS-Probleme sind häufige Ursachen für Netzwerkfehler.
Zu prüfen:
richtiger DNS-Server eingetragen?
DNS-Server erreichbar?
Name existiert?
richtige IP wird geliefert?
interner oder externer DNS?
Split-DNS bei VPN?
DNS-Cache veraltet?
Merksatz:
Wenn IP funktioniert,
aber Name nicht,
ist DNS verdächtig.
nslookup
nslookup fragt DNS-Einträge ab.
Es kann genutzt werden für:
Name zu IP-Adresse
IP-Adresse zu Name
bestimmten DNS-Server testen
DNS-Fehler eingrenzen
Merksatz:
nslookup prüft Namensauflösung.
dig
dig ist ein häufiges DNS-Werkzeug unter Linux und macOS.
Es zeigt detaillierte DNS-Antworten.
Nützlich für:
A-Record
AAAA-Record
MX-Record
TXT-Record
CNAME
DNS-Serververgleich
Antwortzeiten
TTL
Merksatz:
dig zeigt DNS-Antworten sehr detailliert.
DNS-Recordtypen
Wichtige DNS-Recordtypen:
Record
Bedeutung
A
Name zu IPv4-Adresse
AAAA
Name zu IPv6-Adresse
CNAME
Alias auf anderen Namen
MX
Mailserver einer Domain
TXT
Textinformationen, oft SPF oder Verifikation
NS
zuständige Nameserver
PTR
Reverse DNS, IP zu Name
Merksatz:
DNS besteht aus unterschiedlichen Recordtypen für unterschiedliche Aufgaben.
DNS-Cache
Betriebssysteme und Anwendungen können DNS-Antworten zwischenspeichern.
Vorteil:
schnellere Namensauflösung
Nachteil:
alte Einträge können Fehler verursachen.
Merksatz:
DNS-Cache kann veraltete Antworten liefern.
tracert unter Windows
tracert zeigt den Weg zu einem Ziel über mehrere Router.
Es hilft bei:
Routingproblemen
Paketverlust unterwegs
falschem Weg
Abbruch an bestimmtem Hop
Erkennung von Übergabepunkten
Merksatz:
tracert zeigt Zwischenstationen auf dem Weg zum Ziel.
traceroute unter Linux und macOS
traceroute erfüllt ähnlich wie tracert die Aufgabe,
den Weg zum Ziel sichtbar zu machen.
Je nach System können unterschiedliche Protokolle genutzt werden.
Merksatz:
traceroute hilft,
den Netzwerkpfad einzugrenzen.
Traceroute richtig interpretieren
Ein Sternchen oder fehlende Antwort bedeutet nicht automatisch,
dass dort ein Fehler ist.
Mögliche Ursachen:
Router antwortet nicht auf Traceroute
ICMP wird blockiert
Rate Limiting
Firewall-Regel
Paket geht trotzdem weiter
Wichtig ist:
Kommt das Ziel am Ende an?
Wo beginnt der Ausfall?
Sind mehrere Ziele betroffen?
Merksatz:
Traceroute-Ausgaben brauchen Interpretation.
netstat
netstat zeigt Netzwerkverbindungen,
lauschende Ports
und Routinginformationen.
Typische Nutzung:
aktive Verbindungen prüfen
offene Ports prüfen
lokale Dienste finden
Verbindungszustände anzeigen
Merksatz:
netstat zeigt Netzwerkstatus und Verbindungen.
ss unter Linux
ss ist ein modernes Werkzeug unter Linux,
um Sockets und Netzwerkverbindungen anzuzeigen.
Es ersetzt häufig netstat.
Typische Informationen:
lauschende Ports
aktive TCP-Verbindungen
UDP-Sockets
Prozesszuordnung je nach Option
Merksatz:
ss zeigt schnell offene Ports und Verbindungen unter Linux.
Offene Ports prüfen
Offene Ports zeigen,
welche Dienste erreichbar sein könnten.
Zu prüfen:
lauscht ein Dienst?
auf welcher IP lauscht er?
TCP oder UDP?
nur localhost oder extern?
welcher Prozess nutzt den Port?
sollte der Port offen sein?
Merksatz:
Ein offener Port ist ein möglicher Zugangspunkt.
localhost und 0.0.0.0 unterscheiden
127.0.0.1:
Dienst ist nur lokal erreichbar.
0.0.0.0:
Dienst lauscht auf allen IPv4-Schnittstellen.
Konkrete IP-Adresse:
Dienst lauscht nur auf dieser Schnittstelle.
Merksatz:
127.0.0.1 ist lokal.
0.0.0.0 ist auf allen Schnittstellen.
TCP-Verbindungszustände
Typische TCP-Zustände:
Zustand
Bedeutung
LISTEN
Dienst wartet auf Verbindungen
ESTABLISHED
Verbindung besteht
TIME_WAIT
Verbindung wurde beendet, Zustand läuft aus
SYN_SENT
Verbindungsaufbau gestartet
SYN_RECEIVED
Verbindungsaufbau teilweise angekommen
CLOSE_WAIT
Gegenseite hat geschlossen, lokale Seite noch nicht
Merksatz:
TCP-Zustände helfen,
Verbindungsprobleme einzugrenzen.
Port erreichbar testen
Um zu prüfen,
ob ein Port erreichbar ist,
kann je nach System ein Werkzeug genutzt werden.
Beispiele für Prinzipien:
TCP-Verbindung zu Zielport testen
HTTP-Antwort testen
Dienstprotokoll prüfen
Zu beachten:
Port offen bedeutet nicht automatisch,
dass die Anwendung korrekt funktioniert.
Merksatz:
Porttest prüft Erreichbarkeit,
nicht vollständige Anwendungsfunktion.
telnet als Porttest
telnet kann technisch genutzt werden,
um einfache TCP-Verbindungen zu testen.
Wichtig:
Telnet als Verwaltungsprotokoll ist unsicher,
weil es unverschlüsselt ist.
Einordnung:
Telnet zur Administration vermeiden.
Als einfacher Porttest historisch bekannt,
aber moderne Alternativen bevorzugen.
Merksatz:
Telnet nicht für sichere Administration verwenden.
curl
curl ruft URLs und APIs über die Kommandozeile ab.
Nützlich für:
HTTP-Status prüfen
Header prüfen
API testen
Zertifikatsprobleme erkennen
Weiterleitungen prüfen
Antwortzeiten grob prüfen
Webserver-Erreichbarkeit testen
Merksatz:
curl ist ein wichtiges Werkzeug für Web- und API-Tests.
HTTP mit curl prüfen
Mit curl kann geprüft werden:
Antwortet der Webserver?
Welcher Statuscode kommt zurück?
Gibt es Weiterleitungen?
Wird HTTPS genutzt?
Stimmen Header?
Kommt eine Fehlermeldung?
Merksatz:
curl prüft Webdienste direkter als ein Browser.
wget
wget kann Dateien oder Webseiten über HTTP,
HTTPS
oder FTP herunterladen.
Nützlich für:
Download testen
Erreichbarkeit prüfen
automatisierte Abrufe
Spiegeln einfacher Inhalte
Merksatz:
wget dient vor allem zum Abrufen und Herunterladen.
Dienststatus unter Linux prüfen
Auf vielen Linux-Systemen wird systemctl genutzt.
Typische Prüfungen:
läuft der Dienst?
ist der Dienst aktiviert?
ist der Dienst fehlgeschlagen?
wann wurde er gestartet?
welche Fehlermeldung gibt es?
Merksatz:
systemctl prüft und verwaltet systemd-Dienste.
journalctl für Dienstlogs
journalctl zeigt Logs des systemd-Journals.
Nützlich für:
Fehler eines Dienstes prüfen
Logs seit Start ansehen
aktuelle Meldungen verfolgen
Bootprobleme analysieren
Merksatz:
journalctl und systemctl gehören bei Linux-Dienstfehlern zusammen.
Dienste unter Windows prüfen
Unter Windows können Dienste geprüft werden über:
Dienste-Verwaltung
Ereignisanzeige
Task-Manager
PowerShell
sc
Zu prüfen:
Dienst gestartet?
Starttyp korrekt?
Abhängigkeiten erfüllt?
Fehler im Ereignisprotokoll?
Dienstkonto korrekt?
Berechtigungen vorhanden?
Merksatz:
Windows-Dienstfehler stehen oft zusätzlich in der Ereignisanzeige.
Prozessprüfung
Prozesse zeigen,
welche Programme gerade laufen.
Zu prüfen:
läuft der Prozess?
verbraucht er viel CPU?
verbraucht er viel RAM?
startet er immer wieder neu?
gehört er zum erwarteten Dienst?
läuft er mit welchem Benutzer?
Merksatz:
Dienstprobleme zeigen sich oft auch in Prozessen.
Ressourcen prüfen
Systemressourcen beeinflussen Dienste.
Wichtige Ressourcen:
CPU
RAM
Festplatte
I/O
Netzwerk
offene Dateien
Prozesslimits
Merksatz:
Ein Dienst kann fehlschlagen,
obwohl Netzwerk und Konfiguration richtig sind,
wenn Ressourcen fehlen.
Speicherplatz prüfen
Volle Datenträger sind häufige Fehlerursachen.
Folgen:
Logs können nicht geschrieben werden.
Datenbank stoppt.
Updates schlagen fehl.
Anwendung kann keine Dateien speichern.
Backup bricht ab.
System wird instabil.
Merksatz:
Bei Dienstproblemen immer Speicherplatz prüfen.
df unter Linux
df zeigt die Belegung von Dateisystemen.
Nützlich für:
freie Kapazität prüfen
volle Partitionen erkennen
Mountpunkte prüfen
Merksatz:
df zeigt,
wie voll Dateisysteme sind.
du unter Linux
du zeigt,
wie viel Speicher bestimmte Ordner oder Dateien belegen.
Nützlich für:
große Ordner finden
Logwachstum prüfen
Speicherfresser eingrenzen
Merksatz:
df zeigt Dateisysteme.
du zeigt Ordner- und Dateigrößen.
top und htop
top zeigt laufende Prozesse und Ressourcennutzung.
htop ist eine komfortablere Variante,
wenn installiert.
Nützlich für:
CPU-lastige Prozesse finden
RAM-Verbrauch prüfen
Prozesszustände ansehen
Systemlast beurteilen
Merksatz:
top und htop zeigen laufende Prozesse und Last.
Task-Manager unter Windows
Der Task-Manager zeigt:
laufende Prozesse
CPU-Auslastung
Arbeitsspeicher
Datenträgerlast
Netzwerk
Autostart
Benutzer
Dienste
Merksatz:
Task-Manager ist ein schneller Überblick über Windows-Systemlast.
PowerShell in der Administration
PowerShell ist eine Verwaltungs- und Automatisierungsumgebung unter Windows.
Sie wird genutzt für:
Benutzerverwaltung
Dienste prüfen
Prozesse prüfen
Dateien verwalten
Netzwerk prüfen
Ereignislogs auswerten
Microsoft-365-Administration
Automatisierung
Merksatz:
PowerShell ist ein zentrales Administrationswerkzeug unter Windows.
Ereignisanzeige unter Windows
Die Ereignisanzeige zeigt Windows-Logs.
Wichtige Bereiche:
Anwendung
Sicherheit
System
Typische Nutzung:
Dienstfehler prüfen
Anmeldeereignisse prüfen
Treiberfehler prüfen
Systemfehler analysieren
Sicherheitsereignisse ansehen
Merksatz:
Windows-Fehleranalyse führt häufig zur Ereignisanzeige.
whoami
whoami zeigt,
unter welchem Benutzer man angemeldet ist.
Nützlich bei:
Rechteproblemen
falscher Anmeldung
Skriptausführung
Dienstkontenprüfung
Remote-Sitzungen
Merksatz:
Erst prüfen,
wer man auf dem System wirklich ist.
Gruppenmitgliedschaften prüfen
Gruppenmitgliedschaften bestimmen oft Rechte.
Zu prüfen:
ist Benutzer in richtiger Gruppe?
fehlt eine Gruppe?
ist eine alte Gruppe noch aktiv?
greifen Gruppenrichtlinien?
wurde Anmeldung neu gestartet?
Merksatz:
Viele Rechteprobleme sind Gruppenprobleme.
Hostname prüfen
Der Hostname identifiziert ein System im Netzwerk.
Wichtig für:
DNS
Dokumentation
Zertifikate
Monitoring
Logs
Inventarisierung
Merksatz:
Hostname,
DNS-Name
Zertifikat
und Dokumentation sollten zusammenpassen.
Datum und Uhrzeit prüfen
Falsche Uhrzeit kann Probleme verursachen.
Beispiele:
Zertifikatsfehler
Kerberos-Probleme
Logauswertung falsch
MFA-Probleme
geplante Aufgaben laufen falsch
Token ungültig
Merksatz:
Zeitabweichungen verursachen viele schwer erkennbare Fehler.
Umgebungsvariablen
Umgebungsvariablen beeinflussen Programme und Skripte.
Beispiele:
PATH
HOME
USER
TEMP
Proxy-Einstellungen
Anwendungskonfiguration
Zugangspfade
Merksatz:
Falsche Umgebungsvariablen können Programme anders verhalten lassen.
Konfigurationsdateien prüfen
Viele Dienste werden über Konfigurationsdateien gesteuert.
Zu prüfen:
Syntax korrekt?
Pfade richtig?
Ports richtig?
Zugangsdaten korrekt?
Zertifikate richtig eingetragen?
Änderungen dokumentiert?
Dienst nach Änderung neu geladen?
Merksatz:
Kleine Fehler in Konfigurationen können ganze Dienste stoppen.
Änderungen prüfen
Bei neuen Fehlern ist die wichtigste Frage oft:
Was wurde zuletzt geändert?
Mögliche Änderungen:
Update
Firewall-Regel
Zertifikat
Passwort
DNS-Eintrag
DHCP-Änderung
Routing
Dienstkonfiguration
Berechtigung
Netzwerkverkabelung
Cloud-Regel
Merksatz:
Neue Fehler hängen oft mit letzten Änderungen zusammen.
Systematische Fehlersuche mit Befehlen
Sinnvolle Reihenfolge:
1. Eigenes System prüfen.
2. IP-Konfiguration prüfen.
3. Gateway prüfen.
4. DNS prüfen.
5. Ziel per IP testen.
6. Ziel per Name testen.
7. Route verfolgen.
8. Port prüfen.
9. Dienststatus prüfen.
10. Logs prüfen.
11. Ressourcen prüfen.
12. Berechtigungen prüfen.
13. Änderungen prüfen.
14. Ergebnis dokumentieren.
Merksatz:
Systematische Befehlsnutzung spart Zeit.
Typische Fehlerbilder und passende Prüfung
Fehlerbild
Erste Prüfungen
Kein Internet
IP, Gateway, DNS, Router
Name geht nicht
DNS, DNS-Server, Cache
IP geht, Name nicht
DNS prüfen
Dienst nicht erreichbar
Port, Firewall, Dienststatus
Webseite 404
URL, Webserver, Pfad
Webseite 500
Anwendung, Backend, Logs
Login schlägt fehl
Benutzer, Passwort, MFA, Logs
Zugriff verweigert
Gruppen, Rechte, ACL
Langsame Verbindung
Latenz, Paketverlust, Last
Zertifikatsfehler
Uhrzeit, Zertifikat, Hostname
Merksatz:
Fehlerbild bestimmt die nächste sinnvolle Prüfung.
Typische Praxisfehler
Häufige Fehler:
DNS wird zu spät geprüft
nur ping genutzt
Firewall vergessen
Gateway nicht geprüft
IPv4 und IPv6 verwechselt
falsches Interface betrachtet
Dienststatus geprüft,
aber Port nicht
Port offen,
aber Anwendung nicht getestet
Logs nicht gelesen
letzte Änderungen ignoriert
Rechteproblem als Netzwerkproblem behandelt
Merksatz:
Fehlersuche braucht mehrere Blickwinkel.
Checkliste: Netzwerk- und Systemprüfung
IP-Adresse prüfen.
Subnetz prüfen.
Gateway prüfen.
DNS-Server prüfen.
Ping zur Gateway-IP testen.
Ping zur Ziel-IP testen.
Namensauflösung testen.
Route prüfen.
Port prüfen.
Dienststatus prüfen.
Prozess prüfen.
Logs prüfen.
Firewall prüfen.
Ressourcen prüfen.
Benutzer und Rechte prüfen.
Zertifikate und Uhrzeit prüfen.
letzte Änderungen prüfen.
Ergebnis dokumentieren.
Merksatz:
Erst Grundlagen prüfen,
dann Spezialfälle.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Wofür nutzt man ipconfig?
- Wofür nutzt man ipconfig /all?
- Wofür nutzt man ip addr?
- Was zeigt eine Routing-Tabelle?
- Was ist eine Standardroute?
- Wofür nutzt man ping?
- Warum beweist ein fehlgeschlagener ping nicht immer,
dass ein Ziel offline ist?
- Wie prüft man DNS?
- Was macht nslookup?
- Was macht dig?
- Wofür nutzt man tracert oder traceroute?
- Was zeigt netstat?
- Was zeigt ss?
- Was bedeutet LISTEN?
- Was bedeutet ESTABLISHED?
- Warum ist 127.0.0.1 besonders?
- Wofür nutzt man curl?
- Was prüft systemctl?
- Was zeigt journalctl?
- Warum sollte man Logs prüfen?
- Warum ist Speicherplatzprüfung wichtig?
- Warum ist die Frage nach letzten Änderungen wichtig?
Typische Prüfungsfallen
ping prüft ICMP,
nicht automatisch jeden Dienst.
Kein ping kann durch Firewall entstehen.
IP funktioniert,
Name nicht:
DNS prüfen.
Hostname funktioniert nicht automatisch,
wenn IP funktioniert.
Standardroute ist wichtig für fremde Netze.
Spezifischste Route gewinnt.
tracert und traceroute zeigen Zwischenstationen,
aber nicht jeder Hop antwortet.
Offener Port bedeutet nicht,
dass Anwendung vollständig funktioniert.
127.0.0.1 ist nur lokal.
0.0.0.0 bedeutet alle IPv4-Schnittstellen.
LISTEN bedeutet Dienst wartet auf Verbindung.
ESTABLISHED bedeutet Verbindung besteht.
Telnet ist als Administrationsprotokoll unsicher.
curl ist nützlich für Webtests.
Dienst läuft nicht automatisch gleich Dienst funktioniert.
Logs liefern oft den entscheidenden Hinweis.
Volle Festplatte ist eine häufige Fehlerursache.
Uhrzeitfehler können Zertifikate und Anmeldung stören.
Letzte Änderungen immer prüfen.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
ipconfig
Windows-IP-Konfiguration anzeigen
ipconfig /all
detaillierte Windows-Netzwerkinformationen
ip addr
Linux-IP-Adressen anzeigen
ifconfig
älteres Werkzeug für Netzwerkschnittstellen
MAC-Adresse
Hardwareadresse einer Netzwerkschnittstelle
Gateway
Übergang in andere Netze
Routing-Tabelle
Liste möglicher Netzwerkwege
Standardroute
allgemeiner Weg zu unbekannten Netzen
ping
ICMP-Erreichbarkeit testen
ICMP
Kontrollprotokoll für Netzwerkmeldungen
nslookup
DNS-Abfragewerkzeug
dig
detailliertes DNS-Abfragewerkzeug
DNS-Cache
zwischengespeicherte DNS-Antworten
tracert
Windows-Wegverfolgung zum Ziel
traceroute
Linux/macOS-Wegverfolgung zum Ziel
netstat
Netzwerkverbindungen anzeigen
ss
moderne Socketanzeige unter Linux
Port
logischer Dienstzugang
LISTEN
Dienst wartet auf Verbindungen
ESTABLISHED
Verbindung besteht
localhost
lokaler Rechner
127.0.0.1
lokale Loopback-Adresse
0.0.0.0
alle IPv4-Schnittstellen
curl
Web- und API-Anfragen testen
wget
Dateien oder Webseiten abrufen
systemctl
systemd-Dienste verwalten
journalctl
systemd-Logs anzeigen
Dienststatus
Zustand eines Dienstes
Prozess
laufendes Programm
df
Dateisystembelegung anzeigen
du
Ordner- und Dateigrößen anzeigen
top
Prozess- und Lastanzeige
htop
komfortablere Prozessanzeige
Task-Manager
Windows-Prozess- und Leistungsanzeige
PowerShell
Windows-Verwaltung und Automatisierung
Ereignisanzeige
Windows-Loganzeige
whoami
aktueller Benutzer
Hostname
Name eines Systems
Umgebungsvariable
System- oder Programmeinstellung
IHK-sichere Kurzformulierung
Netzwerk- und Systembefehle dienen dazu, Fehler systematisch einzugrenzen und Zustände zu prüfen. Mit ipconfig oder ip addr wird die IP-Konfiguration geprüft, mit route print oder ip route die Routing-Tabelle. ping testet grundlegende Erreichbarkeit per ICMP, nslookup oder dig prüfen DNS, tracert oder traceroute zeigen den Weg zum Ziel. netstat oder ss zeigen offene Ports und Verbindungen. curl prüft Webdienste und APIs. systemctl und journalctl helfen bei der Prüfung von Diensten und Logs unter Linux, während unter Windows Task-Manager, Ereignisanzeige und PowerShell wichtige Werkzeuge sind. Bei der Fehlersuche sollten IP-Konfiguration, Gateway, DNS, Route, Port, Dienststatus, Logs, Ressourcen, Rechte und letzte Änderungen systematisch geprüft werden.
Merksätze
Befehle ersetzen Vermutungen durch Fakten.
Erst Grundlagen prüfen,
dann Spezialfälle.
IP-Konfiguration ist die Basis.
Gateway führt in andere Netze.
Ohne Gateway meist kein Zugriff auf fremde Netze.
Routing-Tabelle zeigt Netzwerkwege.
Standardroute ist Weg für unbekannte Ziele.
Spezifischste Route gewinnt.
ping prüft ICMP.
Kein ping ist kein endgültiger Beweis.
IP-Ping trennt DNS von Netzwerkprüfung.
Hostname-Ping prüft DNS mit.
Wenn IP geht,
aber Name nicht:
DNS prüfen.
nslookup prüft DNS.
dig zeigt DNS detailliert.
DNS-Cache kann veraltet sein.
tracert und traceroute zeigen den Weg.
Nicht jeder Hop muss antworten.
netstat zeigt Verbindungen.
ss zeigt Sockets unter Linux.
Offene Ports prüfen.
127.0.0.1 ist lokal.
0.0.0.0 bedeutet alle Schnittstellen.
LISTEN wartet auf Verbindungen.
ESTABLISHED ist aktive Verbindung.
Port offen heißt nicht Anwendung gesund.
Telnet nicht zur sicheren Administration nutzen.
curl prüft Webdienste.
wget lädt Inhalte ab.
systemctl prüft Dienste.
journalctl zeigt Dienstlogs.
Windows nutzt Ereignisanzeige.
Prozesse und Ressourcen mitprüfen.
Volle Festplatte verursacht viele Fehler.
df zeigt Dateisystembelegung.
du findet große Ordner.
top zeigt Prozesslast.
Task-Manager zeigt Windows-Systemlast.
whoami prüft aktuellen Benutzer.
Gruppenmitgliedschaften beeinflussen Rechte.
Hostname muss zur Dokumentation passen.
Falsche Uhrzeit verursacht Zertifikats- und Loginprobleme.
Konfigurationen sorgfältig prüfen.
Letzte Änderungen sind oft der Schlüssel.
Fehlersuche systematisch dokumentieren.
17.6 Dateiübertragung, Freigaben und sichere Datenzugriffe in der Praxis
In der Administration müssen Dateien häufig zwischen Systemen,
Benutzern,
Servern
und Diensten übertragen oder gemeinsam bereitgestellt werden.
Typische Beispiele:
- Konfigurationsdateien übertragen
- Logdateien herunterladen
- Backups ablegen
- Installationsdateien bereitstellen
- Benutzerfreigaben einrichten
- Projektordner bereitstellen
- Dateien zwischen Servern synchronisieren
- Daten sicher mit externen Personen austauschen
Merksatz:
Dateiübertragung und Freigaben brauchen immer Technik,
Rechtekonzept
und Sicherheitsregeln.
Warum Dateiübertragung sicherheitskritisch ist
Dateien können sensible Informationen enthalten.
Beispiele:
Kundendaten
Zugangsdaten
Konfigurationsdateien
Zertifikate
private Schlüssel
Backups
Logdateien
Personalunterlagen
interne Dokumente
Quellcode
Risiken:
Datenabfluss
unberechtigter Zugriff
Manipulation
Malware-Verteilung
Verlust von Vertraulichkeit
falsche Berechtigungen
versehentlich öffentliche Freigaben
Merksatz:
Dateien sind oft genauso kritisch wie Datenbanken.
Grundfragen vor jeder Freigabe
Vor einer Freigabe sollte geklärt werden:
Wer braucht Zugriff?
Auf welche Daten?
Mit welchen Rechten?
Von welchem Ort?
Für welchen Zeitraum?
Muss Zugriff protokolliert werden?
Müssen Daten verschlüsselt übertragen werden?
Müssen Daten verschlüsselt gespeichert werden?
Merksatz:
Keine Freigabe ohne Zweck,
Berechtigung
und Begrenzung.
Lesen, Schreiben und Löschen
Die wichtigsten Dateiaktionen sind:
lesen
schreiben
löschen
Lesen:
Datei anzeigen oder herunterladen
Schreiben:
Datei verändern oder neue Datei erstellen
Löschen:
Datei entfernen
Merksatz:
Schreibrechte sind gefährlicher als Leserechte.
Löschrechte sind besonders kritisch.
Minimal notwendige Rechte
Nicht jeder Benutzer braucht Vollzugriff.
Beispiele:
Leser:
darf Dateien öffnen,
aber nicht verändern
Bearbeiter:
darf Dateien ändern
Besitzer:
darf Rechte ändern
Administrator:
darf technische Verwaltung durchführen
Merksatz:
So wenig Rechte wie möglich,
so viele wie nötig.
Freigabe und Dateisystem unterscheiden
Bei Dateizugriff gibt es oft mehrere Ebenen.
Beispiel Windows:
Freigaberechte
und
NTFS-Rechte
Beispiel Linux:
Samba-Freigaberechte
und
Linux-Dateirechte
Wichtig:
Beide Ebenen müssen zusammenpassen.
Merksatz:
Freigabe erlaubt Zugang.
Dateisystemrechte entscheiden zusätzlich,
was wirklich möglich ist.
SMB
SMB steht für:
Server Message Block
SMB wird häufig für Datei- und Druckerfreigaben in Windows-Netzwerken genutzt.
Typische Nutzung:
Netzlaufwerke
gemeinsame Ordner
Druckerfreigaben
Benutzerprofile
Abteilungsfreigaben
Dateiserver
Standardport:
TCP 445
Merksatz:
SMB ist das typische Protokoll für Windows-Dateifreigaben.
SMB in der Praxis
Beispiele:
\\server\freigabe
Netzlaufwerk verbinden
Abteilungsordner bereitstellen
Scanner speichert in Netzwerkordner
Anwendung greift auf zentrale Dateien zu
Merksatz:
SMB-Freigaben sind praktisch,
aber müssen sauber berechtigt werden.
SMB-Sicherheit
Wichtige Maßnahmen:
alte SMB-Versionen deaktivieren
keine Gastzugriffe
starke Authentifizierung
Rechte über Gruppen vergeben
Freigaben nicht unnötig breit setzen
Zugriff protokollieren
Adminfreigaben schützen
Netzwerkzugriff begrenzen
Verschlüsselung prüfen
Backups schützen
Merksatz:
SMB-Freigaben niemals pauschal für alle öffnen.
SMB-Versionen
Ältere SMB-Versionen sind unsicherer.
Besonders alte Versionen sollten vermieden werden,
wenn sie nicht zwingend benötigt werden.
Wichtig:
moderne SMB-Versionen nutzen
alte Kompatibilität nur bewusst aktivieren
Altgeräte prüfen
Risiken dokumentieren
Merksatz:
Alte SMB-Versionen erhöhen das Sicherheitsrisiko.
NFS
NFS steht für:
Network File System
NFS wird häufig in Unix-,
Linux-
und Serverumgebungen genutzt.
Typische Nutzung:
gemeinsame Verzeichnisse
Serverfreigaben
Linux-Dateiserver
Virtualisierungsspeicher
Container- oder Anwendungsdaten
Backup-Ziele
Merksatz:
NFS ist ein typisches Dateifreigabeprotokoll in Unix- und Linux-Umgebungen.
NFS-Sicherheit
Bei NFS wichtig:
erlaubte Clients begrenzen
Exporte sauber konfigurieren
Schreibrechte nur wenn nötig
Root-Zugriff einschränken
Netzwerksegmentierung nutzen
Firewall-Regeln setzen
NFS-Version beachten
Berechtigungen auf Dateisystemebene prüfen
Merksatz:
NFS-Zugriff immer auf notwendige Clients begrenzen.
FTP
FTP steht für:
File Transfer Protocol
FTP dient zur Dateiübertragung.
Problem:
klassisches FTP überträgt Daten und Zugangsdaten unverschlüsselt.
Standardports:
TCP 21 für Steuerverbindung
Datenverbindungen je nach aktivem oder passivem Modus
Merksatz:
Klassisches FTP ist unsicher,
weil es unverschlüsselt ist.
Warum FTP problematisch ist
Bei klassischem FTP können mitgelesen werden:
Benutzername
Passwort
Dateinamen
Dateiinhalt
Befehle
Risiko:
Sniffing
Passwortdiebstahl
Datenabfluss
Manipulation bei unsicherem Netzwerk
Merksatz:
FTP nicht für vertrauliche Daten oder unsichere Netze verwenden.
SFTP
SFTP steht für:
SSH File Transfer Protocol
SFTP nutzt SSH als sichere Grundlage.
Standardport:
TCP 22
Vorteile:
verschlüsselte Übertragung
SSH-Authentifizierung
Schlüsselanmeldung möglich
häufig auf Servern verfügbar
besser geeignet als klassisches FTP
Merksatz:
SFTP ist sichere Dateiübertragung über SSH.
SCP
SCP steht für:
Secure Copy
SCP wird für Dateiübertragung über SSH genutzt.
Typische Nutzung:
Datei auf Server kopieren
Datei vom Server herunterladen
Dateien zwischen Systemen übertragen
Einordnung:
ebenfalls verschlüsselt über SSH
Merksatz:
SCP kopiert Dateien verschlüsselt über SSH.
SFTP und SCP vergleichen
Merkmal
SFTP
SCP
Grundlage
SSH
SSH
Zweck
Dateiübertragung mit Dateiverwaltung
einfaches Kopieren
Bedienung
eher wie Dateisitzung
eher Kopierbefehl
Verschlüsselung
ja
ja
Standardport
TCP 22
TCP 22
Merksatz:
SFTP und SCP nutzen SSH,
sind aber nicht dasselbe wie FTP.
FTPS
FTPS bedeutet:
FTP mit TLS-Verschlüsselung
FTPS ist nicht dasselbe wie SFTP.
FTPS nutzt FTP-Technik mit TLS.
SFTP nutzt SSH.
Merksatz:
FTPS = FTP über TLS.
SFTP = Dateiübertragung über SSH.
FTP, FTPS und SFTP vergleichen
Protokoll
Verschlüsselung
Grundlage
Einordnung
FTP
nein
FTP
unsicher in Klartext
FTPS
ja
FTP plus TLS
verschlüsseltes FTP
SFTP
ja
SSH
sichere Dateiübertragung über SSH
Merksatz:
SFTP und FTPS nicht verwechseln.
HTTPS-Dateidownload
Dateien können auch über HTTPS bereitgestellt werden.
Beispiele:
Downloadportal
Cloudspeicher-Link
Softwaredownload
internes Webportal
API-Dateiabruf
Vorteile:
verschlüsselte Übertragung
browserfähig
gut für Downloads
Zugriff über Webauthentifizierung möglich
Risiken:
öffentliche Links
falsche Rechte
abgelaufene Links fehlen
keine Zugriffskontrolle
versehentliche Veröffentlichung
Merksatz:
HTTPS schützt die Übertragung,
aber nicht automatisch die Freigaberechte.
WebDAV
WebDAV erweitert HTTP,
damit Dateien über Webprotokolle verwaltet werden können.
Typische Nutzung:
Netzlaufwerk über Webzugriff
Dokumentenablage
Dateiablage über HTTPS
Zusammenarbeit über Webserver
Merksatz:
WebDAV ermöglicht Dateiverwaltung über HTTP oder HTTPS.
Cloud-Speicherfreigaben
Cloud-Speicherfreigaben sind verbreitet.
Beispiele:
Linkfreigabe
Freigabe an Benutzer
Freigabe an Gruppe
externe Freigabe
geteilte Ordner
Ablaufdatum für Links
Risiken:
Link öffentlich weitergegeben
falsche Person berechtigt
Schreibrechte statt Leserechte
kein Ablaufdatum
keine MFA
keine Protokollierung
Merksatz:
Cloud-Freigaben regelmäßig prüfen.
Linkfreigabe
Eine Linkfreigabe erlaubt Zugriff über einen Link.
Mögliche Varianten:
jeder mit Link kann lesen
jeder mit Link kann bearbeiten
nur bestimmte Personen können zugreifen
Link mit Passwort
Link mit Ablaufdatum
Merksatz:
Jeder-mit-Link-Freigaben sind besonders kritisch.
Ablaufdatum für Freigaben
Freigaben sollten zeitlich begrenzt werden,
wenn sie nur vorübergehend benötigt werden.
Beispiele:
externer Projektpartner
Bewerbungsunterlagen
temporärer Austausch
Dienstleisterzugang
Merksatz:
Temporäre Freigaben brauchen ein Ablaufdatum.
Externe Freigaben
Externe Freigaben erlauben Zugriff außerhalb der Organisation.
Risiken:
falsche Empfänger
Datenabfluss
unkontrolliertes Weiterleiten
fehlende MFA
unklare Verantwortlichkeit
Datenschutzproblem
Schutz:
nur bei Bedarf
Genehmigung
Ablaufdatum
Passwort oder MFA
Protokollierung
Datenklassifizierung beachten
Merksatz:
Externe Freigaben nur bewusst und kontrolliert einsetzen.
Datenklassifizierung bei Freigaben
Nicht jede Datei darf gleich behandelt werden.
Beispiele:
öffentlich
intern
vertraulich
streng vertraulich
personenbezogen
Je höher der Schutzbedarf,
desto strenger müssen Freigabe,
Verschlüsselung
und Protokollierung sein.
Merksatz:
Schutzbedarf bestimmt Freigaberegeln.
Verschlüsselung bei Übertragung
Daten sollten bei Übertragung verschlüsselt werden.
Geeignete Protokolle:
SFTP
SCP
FTPS
HTTPS
VPN
SMB-Verschlüsselung je nach Umgebung
Unsicher oder kritisch:
FTP
Telnet
HTTP bei vertraulichen Daten
unverschlüsselte Protokolle
Merksatz:
Vertrauliche Daten nicht unverschlüsselt übertragen.
Verschlüsselung bei Speicherung
Daten können auch im Ruhezustand verschlüsselt werden.
Beispiele:
Festplattenverschlüsselung
Serververschlüsselung
Datenbankverschlüsselung
Backup-Verschlüsselung
Cloud-Speicherverschlüsselung
verschlüsselte Archive
Merksatz:
Verschlüsselung bei Speicherung schützt bei Diebstahl oder unberechtigtem Zugriff auf Speicher.
Passwortgeschützte Archive
Archive können mit Passwort geschützt werden.
Beispiele:
ZIP mit Passwort
7z mit Passwort
Wichtig:
Passwort getrennt vom Archiv übermitteln
starke Verschlüsselung nutzen
Passwort nicht in derselben E-Mail senden
sichere Alternative prüfen
Merksatz:
Passwort und Datei nicht über denselben unsicheren Kanal senden.
Prüfsummen
Prüfsummen helfen,
Dateien auf Integrität zu prüfen.
Beispiele:
SHA-256
SHA-512
Zweck:
feststellen,
ob Datei verändert wurde
Download prüfen
Übertragungsfehler erkennen
Manipulation erkennen
Merksatz:
Prüfsumme prüft Integrität,
aber nicht automatisch Vertrauenswürdigkeit.
Digitale Signatur bei Dateien
Eine digitale Signatur kann prüfen,
ob eine Datei vom erwarteten Herausgeber stammt
und nicht verändert wurde.
Beispiele:
signierte Softwarepakete
signierte Skripte
signierte Installationsdateien
Merksatz:
Signatur prüft Herkunft und Integrität.
Malware-Risiko bei Dateiübertragung
Dateien können Malware enthalten.
Risiken:
Makros in Dokumenten
Skripte
ausführbare Dateien
manipulierte PDFs
Archive mit Schadsoftware
ISO-Dateien
LNK-Dateien
Webshells bei Uploads
Schutz:
Malware-Scan
Dateitypen begrenzen
Makros blockieren
Uploads prüfen
Benutzer schulen
nur vertrauenswürdige Quellen
Merksatz:
Dateiübertragung kann auch Malware übertragen.
Upload-Verzeichnisse
Upload-Verzeichnisse sind besonders kritisch.
Schutzmaßnahmen:
keine Ausführung erlauben
Dateitypen begrenzen
Dateigröße begrenzen
zufällige Dateinamen
Malware-Scan
Speicherung außerhalb des Webroots
Rechte begrenzen
Protokollierung
Merksatz:
Hochgeladene Dateien dürfen nicht ungeprüft ausführbar sein.
Synchronisation
Synchronisation hält Dateien an mehreren Orten gleich.
Beispiele:
Cloud-Sync
Ordnersynchronisation
Server-zu-Server-Sync
Notebook und Cloudspeicher
mobile Geräte
Risiko:
Löschungen werden synchronisiert
Ransomware verschlüsselt synchronisierte Dateien
falsche Version überschreibt richtige Datei
Datenabfluss durch falsche Freigabe
Merksatz:
Synchronisation ist kein Backup.
Backup und Dateiübertragung unterscheiden
Dateiübertragung:
bewegt oder kopiert Dateien
Synchronisation:
hält Orte gleich
Backup:
erstellt wiederherstellbare Sicherungen mit Aufbewahrung
Merksatz:
Kopie,
Sync
und Backup sind nicht dasselbe.
Versionierung
Versionierung speichert ältere Dateiversionen.
Vorteile:
versehentliche Änderungen rückgängig machen
ältere Stände wiederherstellen
Ransomware-Schäden begrenzen
Bearbeitungsverlauf nachvollziehen
Grenze:
Versionierung ersetzt kein vollständiges Backup.
Merksatz:
Versionierung hilft,
aber ersetzt kein Backup-Konzept.
DLP
DLP steht für:
Data Loss Prevention
DLP soll verhindern,
dass sensible Daten unkontrolliert abfließen.
Beispiele:
blockiert Upload vertraulicher Dateien
warnt bei Versand personenbezogener Daten
verhindert Kopieren auf USB
kontrolliert Cloud-Freigaben
erkennt Kreditkartendaten oder Personaldaten
Merksatz:
DLP schützt vor unerwünschtem Datenabfluss.
Freigabeprotokollierung
Freigaben sollten protokolliert werden.
Wichtige Fragen:
Wer hat Datei geöffnet?
Wer hat Datei geändert?
Wer hat Datei gelöscht?
Wer hat Freigabe erstellt?
Wer hat extern geteilt?
Wann wurde Zugriff genutzt?
Von welchem Gerät oder welcher IP?
Merksatz:
Kritische Datenzugriffe müssen nachvollziehbar sein.
Besitzer von Freigaben
Jede Freigabe sollte einen Verantwortlichen haben.
Aufgaben:
Zweck prüfen
Berechtigungen prüfen
alte Freigaben entfernen
externe Zugriffe kontrollieren
Datenklassifizierung beachten
Löschung oder Archivierung entscheiden
Merksatz:
Freigaben ohne Verantwortlichen werden schnell unübersichtlich.
Freigaben regelmäßig prüfen
Zu prüfen:
Gibt es unnötige Freigaben?
Gibt es Jeder- oder Everyone-Rechte?
Gibt es externe Benutzer?
Gibt es Schreibrechte,
obwohl Leserechte reichen?
Gibt es alte Projektordner?
Gibt es Freigaben ohne Besitzer?
Gibt es sensible Daten in falschen Ordnern?
Merksatz:
Freigaben altern und müssen regelmäßig bereinigt werden.
Typische Fehler bei Freigaben
Häufige Fehler:
Jeder hat Vollzugriff
externe Links ohne Ablaufdatum
Schreibrechte statt Leserechte
alte Benutzer noch berechtigt
Gastzugriff aktiv
sensible Daten in öffentlichen Ordnern
Freigabe ohne Besitzer
keine Protokollierung
keine Klassifizierung
Synchronisation wird als Backup verstanden
Merksatz:
Die häufigste Freigabenpanne ist zu breiter Zugriff.
Fehlersuche bei Dateiübertragung
Bei Problemen prüfen:
Ist Ziel erreichbar?
Stimmt DNS?
Stimmt Port?
Blockiert Firewall?
Ist Protokoll korrekt?
Stimmen Benutzername und Passwort?
Hat Benutzer Rechte?
Ist Speicherplatz frei?
Ist Datei gesperrt?
Ist Pfad korrekt?
Ist Zertifikat gültig?
Gibt es Logs?
Ist Dateiname erlaubt?
Ist Datei zu groß?
Merksatz:
Dateiübertragungsfehler können Netzwerk-,
Rechte-,
Speicher-
oder Protokollprobleme sein.
Fehlerbild: Zugriff verweigert
Mögliche Ursachen:
Benutzer nicht berechtigt
Gruppe fehlt
falsche Anmeldung
Freigaberecht fehlt
Dateisystemrecht fehlt
Deny-Regel aktiv
Datei gesperrt
Konto deaktiviert
externe Freigabe abgelaufen
MFA oder Conditional Access blockiert
Merksatz:
Zugriff verweigert ist meistens ein Rechte- oder Identitätsproblem.
Fehlerbild: Verbindung nicht möglich
Mögliche Ursachen:
Server offline
DNS falsch
Port blockiert
Dienst läuft nicht
Firewall blockiert
VPN fehlt
falsches Protokoll
Routingproblem
falsche Adresse
Zugriff nur intern erlaubt
Merksatz:
Keine Verbindung zuerst mit Netzwerk,
Port
und Dienst prüfen.
Fehlerbild: Dateiübertragung langsam
Mögliche Ursachen:
geringe Bandbreite
hohe Latenz
Paketverlust
viele kleine Dateien
Virenscan
langsamer Datenträger
WLAN-Probleme
VPN-Overhead
Serverlast
Cloud-Limitierung
Merksatz:
Langsame Dateiübertragung kann an Netzwerk,
Speicher
oder Anwendung liegen.
Checkliste: sichere Dateiübertragung und Freigaben
Zweck der Freigabe klären.
Datenklassifizierung prüfen.
Benutzer oder Gruppen festlegen.
Nur notwendige Rechte vergeben.
Schreibrechte begrenzen.
Externe Freigaben begründen.
Ablaufdatum setzen.
Verschlüsselte Übertragung nutzen.
Unsichere Protokolle vermeiden.
Zugriff protokollieren.
Freigaben regelmäßig prüfen.
Alte Zugriffe entfernen.
Malware-Scan für Uploads nutzen.
Backups getrennt planen.
Synchronisation nicht als Backup ansehen.
Verantwortlichen für Freigabe benennen.
Merksatz:
Sichere Freigaben sind begrenzt,
verschlüsselt,
dokumentiert
und regelmäßig geprüft.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist SMB?
- Wofür wird SMB genutzt?
- Welchen Standardport nutzt SMB?
- Was ist NFS?
- Wofür wird NFS genutzt?
- Warum ist klassisches FTP unsicher?
- Was ist SFTP?
- Was ist SCP?
- Was ist FTPS?
- Was ist der Unterschied zwischen SFTP und FTPS?
- Warum sollte man vertrauliche Daten verschlüsselt übertragen?
- Was ist eine Linkfreigabe?
- Warum sind Jeder-mit-Link-Freigaben kritisch?
- Warum ist ein Ablaufdatum bei Freigaben sinnvoll?
- Was ist DLP?
- Warum ist Synchronisation kein Backup?
- Was ist Versionierung?
- Was prüft eine Prüfsumme?
- Was prüft eine digitale Signatur?
- Warum sind Upload-Verzeichnisse gefährlich?
Typische Prüfungsfallen
FTP ist unverschlüsselt.
SFTP ist nicht FTP mit TLS.
FTPS ist nicht SFTP.
SFTP nutzt SSH.
SCP nutzt SSH.
SMB nutzt typischerweise TCP 445.
Freigaberechte und Dateisystemrechte zusammen prüfen.
Schreibrechte nicht vergeben,
wenn Leserechte reichen.
Jeder-mit-Link ist besonders kritisch.
Externe Freigaben brauchen Kontrolle.
Ablaufdatum reduziert Risiko.
HTTPS schützt Übertragung,
aber nicht automatisch Berechtigung.
Prüfsumme prüft Integrität,
nicht automatisch Vertrauenswürdigkeit.
Digitale Signatur prüft Herkunft und Integrität.
Uploads können Malware enthalten.
Synchronisation ist kein Backup.
Versionierung ersetzt kein vollständiges Backup.
DLP schützt vor Datenabfluss.
Zugriff verweigert ist nicht automatisch ein Netzwerkproblem.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Dateiübertragung
Kopieren oder Bewegen von Dateien
Freigabe
bereitgestellter Zugriff auf Dateien oder Ordner
Leserecht
Datei anzeigen oder herunterladen
Schreibrecht
Datei ändern oder erstellen
Löschrecht
Datei entfernen
SMB
Windows-Dateifreigabeprotokoll
TCP 445
Standardport für SMB
NFS
Network File System
FTP
unverschlüsseltes Dateiübertragungsprotokoll
SFTP
Dateiübertragung über SSH
SCP
sicheres Kopieren über SSH
FTPS
FTP mit TLS
HTTPS-Download
Dateiabruf über verschlüsseltes Webprotokoll
WebDAV
Dateiverwaltung über HTTP oder HTTPS
Linkfreigabe
Zugriff über Link
externe Freigabe
Freigabe außerhalb der Organisation
Ablaufdatum
zeitliche Begrenzung einer Freigabe
Datenklassifizierung
Einteilung nach Schutzbedarf
Verschlüsselung bei Übertragung
Schutz während Transport
Verschlüsselung bei Speicherung
Schutz ruhender Daten
Prüfsumme
Integritätsprüfung einer Datei
digitale Signatur
Herkunfts- und Integritätsprüfung
Upload-Verzeichnis
Speicherort für hochgeladene Dateien
Synchronisation
Abgleich von Dateien zwischen Orten
Backup
wiederherstellbare Sicherung
Versionierung
Speicherung älterer Dateiversionen
DLP
Data Loss Prevention
Freigabeprotokollierung
Nachvollziehen von Zugriffen
IHK-sichere Kurzformulierung
Dateiübertragung und Freigaben dienen dazu, Dateien zwischen Benutzern, Systemen und Diensten bereitzustellen oder zu übertragen. Dabei müssen Vertraulichkeit, Integrität und Verfügbarkeit beachtet werden. SMB wird häufig für Windows-Dateifreigaben genutzt und verwendet typischerweise TCP-Port 445. NFS wird häufig in Unix- und Linux-Umgebungen eingesetzt. Klassisches FTP ist unsicher, weil es unverschlüsselt überträgt. SFTP und SCP nutzen SSH, FTPS nutzt FTP mit TLS. Freigaben sollten nach Least Privilege eingerichtet, regelmäßig geprüft, protokolliert und bei externem Zugriff zeitlich begrenzt werden. Synchronisation ist kein Backup, da Änderungen oder Löschungen mit übertragen werden können.
Merksätze
Dateien können sehr sensible Informationen enthalten.
Keine Freigabe ohne Zweck.
Rechte so eng wie möglich vergeben.
Schreibrechte nur bei Bedarf.
Löschrechte besonders vorsichtig vergeben.
Freigabe und Dateisystemrechte zusammen prüfen.
SMB ist typisch für Windows-Freigaben.
SMB nutzt typischerweise TCP 445.
Alte SMB-Versionen vermeiden.
NFS ist typisch für Unix- und Linux-Freigaben.
NFS-Zugriff auf notwendige Clients begrenzen.
FTP ist unverschlüsselt.
FTP nicht für vertrauliche Daten nutzen.
SFTP nutzt SSH.
SCP kopiert über SSH.
FTPS ist FTP mit TLS.
SFTP und FTPS nicht verwechseln.
HTTPS schützt Übertragung,
aber nicht automatisch Rechte.
Jeder-mit-Link ist kritisch.
Externe Freigaben kontrollieren.
Temporäre Freigaben mit Ablaufdatum versehen.
Schutzbedarf bestimmt Freigaberegeln.
Vertrauliche Daten verschlüsselt übertragen.
Passwort und Datei getrennt übermitteln.
Prüfsumme prüft Integrität.
Signatur prüft Herkunft und Integrität.
Dateiübertragung kann Malware übertragen.
Upload-Verzeichnisse besonders absichern.
Synchronisation ist kein Backup.
Versionierung hilft,
ersetzt aber kein Backup.
DLP schützt vor Datenabfluss.
Freigaben brauchen Verantwortliche.
Freigaben regelmäßig prüfen.
Zugriff verweigert ist oft ein Rechteproblem.
Keine Verbindung ist oft Netzwerk,
Port
oder Dienst.
Sichere Freigaben sind begrenzt,
dokumentiert
und regelmäßig geprüft.
17.7 Backup, Restore und Notfallmaßnahmen in der Praxis
Backups,
Wiederherstellung
und Notfallmaßnahmen gehören zu den wichtigsten Aufgaben in der Systemadministration.
Sie sorgen dafür,
dass Systeme und Daten nach Fehlern,
Ausfällen
oder Angriffen wiederhergestellt werden können.
Typische Situationen:
- Datei versehentlich gelöscht
- Datenbank beschädigt
- Server ausgefallen
- Ransomware-Angriff
- Hardware defekt
- falsche Konfiguration eingespielt
- Update fehlgeschlagen
- Benutzerkonto kompromittiert
- Cloud-Ressource gelöscht
- Standort nicht erreichbar
Merksatz:
Backup ist nicht nur Datensicherung,
sondern Teil der Wiederherstellungsstrategie.
Warum Backup wichtig ist
Daten können auf viele Arten verloren gehen.
Ursachen:
Bedienfehler
Hardwaredefekt
Softwarefehler
Malware
Ransomware
Sabotage
Diebstahl
Feuer
Wasserschaden
Stromausfall
fehlerhafte Updates
falsche Synchronisation
Cloud-Fehlkonfiguration
Merksatz:
Backup schützt nicht vor jedem Vorfall,
aber es ermöglicht Wiederherstellung.
Backup und Restore unterscheiden
Backup:
Sicherung von Daten,
Systemen
oder Konfigurationen
Restore:
Wiederherstellung aus einer Sicherung
Wichtig:
Ein Backup ist nur dann wertvoll,
wenn der Restore funktioniert.
Merksatz:
Backup ist die Sicherung.
Restore ist die Wiederherstellung.
Backup allein reicht nicht
Ein Backup-Konzept ist unvollständig,
wenn nicht geklärt ist:
was gesichert wird
wie oft gesichert wird
wohin gesichert wird
wie lange gesichert wird
wer Zugriff hat
wie wiederhergestellt wird
wie Restore getestet wird
wie Backups geschützt werden
wie schnell Systeme wieder laufen müssen
Merksatz:
Backup ohne Restore-Plan ist nur halbe Sicherheit.
Restore-Test
Ein Restore-Test prüft,
ob eine Wiederherstellung wirklich funktioniert.
Zu prüfen:
Daten vollständig?
Datei lesbar?
Datenbank konsistent?
Anwendung startet?
Rechte korrekt?
Konfiguration passend?
Schlüssel vorhanden?
Wiederherstellungszeit akzeptabel?
Dokumentation korrekt?
Merksatz:
Nur getestete Backups sind verlässliche Backups.
Typische Backup-Ziele
Backups können gespeichert werden auf:
lokaler Festplatte
NAS
Backup-Server
Bandlaufwerk
externer Festplatte
Cloud-Speicher
Objektspeicher
zweitem Standort
Offline-Medium
Immutable Storage
Merksatz:
Backup-Ziel muss zum Schutzbedarf passen.
Lokales Backup
Ein lokales Backup liegt in derselben Umgebung wie das Hauptsystem.
Vorteile:
schnelle Wiederherstellung
einfache Verwaltung
gute Kontrolle
geringe Latenz
Nachteile:
anfällig bei Feuer,
Diebstahl,
Ransomware
oder Standortausfall
Merksatz:
Lokales Backup ist schnell,
aber nicht ausreichend gegen Standortausfall.
Externes Backup
Ein externes Backup liegt getrennt vom Hauptsystem.
Beispiele:
zweiter Standort
Cloud-Speicher
ausgelagerte Festplatte
Bandsicherung außerhalb des Gebäudes
Vorteil:
Schutz bei Standortschaden
Merksatz:
Externes Backup schützt besser gegen lokale Katastrophen.
Offline-Backup
Ein Offline-Backup ist nicht dauerhaft mit dem produktiven System verbunden.
Vorteile:
besserer Schutz gegen Ransomware
besserer Schutz gegen versehentliches Löschen
besserer Schutz gegen kompromittierte Adminzugänge
Beispiele:
getrennte Festplatte
Band
abgeschottetes Backup-System
zeitweise getrenntes Speichermedium
Merksatz:
Offline-Backup ist nicht dauerhaft erreichbar und dadurch besser geschützt.
Immutable Backup
Immutable bedeutet:
unveränderlich
Ein Immutable Backup kann für eine festgelegte Zeit nicht verändert oder gelöscht werden.
Schützt gegen:
Ransomware
versehentliche Löschung
kompromittierte Adminzugänge
Manipulation von Sicherungen
Merksatz:
Immutable Backup schützt die Wiederherstellungsmöglichkeit.
3-2-1-Regel
Die 3-2-1-Regel lautet:
3 Kopien der Daten
2 unterschiedliche Speicherarten
1 Kopie extern oder getrennt
Beispiel:
Produktivdaten
Backup auf NAS
zusätzliches Backup in Cloud oder auf Offline-Medium
Merksatz:
3-2-1 reduziert das Risiko,
dass alle Kopien gleichzeitig verloren gehen.
3-2-1-1-0-Regel
Eine erweiterte Variante ist:
3 Kopien
2 unterschiedliche Medien
1 Kopie extern
1 Kopie offline oder immutable
0 Fehler bei Restore-Tests
Merksatz:
Die 0 steht für fehlerfrei getestete Wiederherstellung.
Vollbackup
Ein Vollbackup sichert alle ausgewählten Daten vollständig.
Vorteile:
einfache Wiederherstellung
vollständige Sicherung
weniger Abhängigkeit von anderen Sicherungen
Nachteile:
benötigt viel Speicherplatz
dauert länger
erzeugt mehr Last
Merksatz:
Vollbackup sichert alles,
braucht aber mehr Zeit und Speicher.
Inkrementelles Backup
Ein inkrementelles Backup sichert nur Änderungen seit dem letzten Backup.
Das letzte Backup kann sein:
Vollbackup
oder
anderes inkrementelles Backup
Vorteile:
schnell
spart Speicherplatz
Nachteile:
Wiederherstellung benötigt mehrere Sicherungen
Kette darf nicht beschädigt sein
Merksatz:
Inkrementell sichert Änderungen seit dem letzten Backup.
Differenzielles Backup
Ein differenzielles Backup sichert Änderungen seit dem letzten Vollbackup.
Vorteile:
Wiederherstellung einfacher als bei langer inkrementeller Kette
weniger Speicher als tägliches Vollbackup
Nachteile:
wächst bis zum nächsten Vollbackup
Merksatz:
Differenziell sichert Änderungen seit dem letzten Vollbackup.
Vollbackup, inkrementell und differenziell vergleichen
Backup-Art
Sichert
Vorteil
Nachteil
Vollbackup
alles
einfache Wiederherstellung
viel Speicher und Zeit
inkrementell
Änderungen seit letztem Backup
schnell und platzsparend
Restore braucht Backup-Kette
differenziell
Änderungen seit letztem Vollbackup
Restore einfacher als inkrementell
wächst mit der Zeit
Merksatz:
Vollbackup ist vollständig.
Inkrementell bezieht sich auf letztes Backup.
Differenziell bezieht sich auf letztes Vollbackup.
Snapshot
Ein Snapshot ist eine Momentaufnahme eines Systems,
Datenträgers,
Dateisystems
oder einer VM.
Snapshots sind nützlich vor:
Updates
Konfigurationsänderungen
Tests
Softwareinstallationen
Migrationen
Wichtig:
Snapshot ist nicht automatisch ein vollständiges Backup.
Merksatz:
Snapshot hilft bei schneller Rückkehr,
ersetzt aber kein Backup-Konzept.
Warum Snapshot kein vollständiges Backup ist
Snapshots liegen oft auf demselben System oder Speicher.
Risiken:
Speicher defekt
Ransomware erreicht Snapshot
Snapshot-Kette beschädigt
Speicherplatz läuft voll
Snapshot wird versehentlich gelöscht
Standortausfall betrifft Snapshot ebenfalls
Merksatz:
Snapshot ist praktisch,
aber kein Ersatz für getrennte Sicherung.
Image-Backup
Ein Image-Backup sichert ein komplettes Systemabbild.
Typische Inhalte:
Betriebssystem
Anwendungen
Konfiguration
Dateien
Bootinformationen
Vorteil:
gesamtes System kann wiederhergestellt werden
Merksatz:
Image-Backup sichert ein komplettes Systemabbild.
Dateibasiertes Backup
Ein dateibasiertes Backup sichert ausgewählte Dateien und Ordner.
Geeignet für:
Benutzerdateien
Projektdaten
Dokumente
Konfigurationsdateien
Exportdateien
Merksatz:
Dateibasiertes Backup sichert ausgewählte Dateien und Ordner.
Datenbank-Backup
Datenbanken brauchen besondere Sicherungsverfahren.
Wichtig:
Konsistenz
Transaktionen
Schreibzugriffe
Zeitpunkt der Sicherung
Wiederherstellungstest
Point-in-Time-Recovery je nach System
Merksatz:
Datenbankdateien nicht blind kopieren,
sondern datenbankgerechte Backups nutzen.
Konsistentes Backup
Ein konsistentes Backup stellt sicher,
dass Daten in einem gültigen Zustand gesichert werden.
Beispiel:
Eine Datenbank darf nicht mitten in einer Transaktion unsauber kopiert werden.
Mittel:
Datenbankdump
Anwendungsstopp
Snapshot mit Anwendungskonsistenz
Backup-Agent
Transaktionslogs
Merksatz:
Konsistenz ist bei Datenbanken und Anwendungen besonders wichtig.
Point-in-Time-Recovery
Point-in-Time-Recovery bedeutet:
Wiederherstellung auf einen bestimmten Zeitpunkt.
Beispiel:
Datenbank wird auf den Zustand von 10:15 Uhr zurückgesetzt.
Nützlich bei:
versehentlichem Löschen
Datenbankfehler
fehlerhafter Import
beschädigten Daten
Merksatz:
Point-in-Time-Recovery stellt gezielt einen früheren Zeitpunkt wieder her.
RPO
RPO steht für:
Recovery Point Objective
Frage:
Wie viel Datenverlust ist maximal akzeptabel?
Beispiel:
RPO 1 Stunde bedeutet:
Es dürfen höchstens Daten von einer Stunde verloren gehen.
Merksatz:
RPO beschreibt maximal akzeptablen Datenverlust.
RTO
RTO steht für:
Recovery Time Objective
Frage:
Wie lange darf die Wiederherstellung dauern?
Beispiel:
RTO 4 Stunden bedeutet:
Der Dienst soll spätestens nach 4 Stunden wieder laufen.
Merksatz:
RTO beschreibt maximal akzeptable Wiederherstellungszeit.
RPO und RTO unterscheiden
Begriff
Frage
Beispiel
RPO
Wie viel Datenverlust ist erlaubt?
maximal 1 Stunde
RTO
Wie lange darf Wiederherstellung dauern?
maximal 4 Stunden
Merksatz:
RPO = Datenverlust.
RTO = Zeit bis Wiederherstellung.
Backup-Frequenz
Die Backup-Frequenz beschreibt,
wie oft gesichert wird.
Sie hängt ab von:
Änderungsrate der Daten
Schutzbedarf
RPO
Speicherplatz
Systemlast
Wiederherstellungsanforderung
Kosten
Merksatz:
Je kleiner das erlaubte RPO,
desto häufiger muss gesichert werden.
Aufbewahrungszeit
Die Aufbewahrungszeit beschreibt,
wie lange Backups behalten werden.
Zu beachten:
gesetzliche Vorgaben
interne Regeln
Speicherplatz
Datenschutz
Wiederherstellungsbedarf
Schutz vor später entdeckten Fehlern
Merksatz:
Backups müssen lange genug,
aber nicht unbegrenzt ohne Grund aufbewahrt werden.
Retention
Retention bedeutet:
Aufbewahrungsregel für Backups.
Beispiele:
tägliche Backups 14 Tage behalten
wöchentliche Backups 8 Wochen behalten
monatliche Backups 12 Monate behalten
Merksatz:
Retention regelt,
wann alte Backups gelöscht werden.
Großvater-Vater-Sohn-Prinzip
Das Großvater-Vater-Sohn-Prinzip ist ein Rotationsschema.
Typisch:
Sohn:
tägliche Sicherung
Vater:
wöchentliche Sicherung
Großvater:
monatliche Sicherung
Merksatz:
Großvater-Vater-Sohn kombiniert tägliche,
wöchentliche
und monatliche Backups.
Backup-Verschlüsselung
Backups sollten verschlüsselt werden,
besonders wenn sie sensible Daten enthalten
oder extern gespeichert werden.
Wichtig:
Schlüssel sicher aufbewahren
Zugriff begrenzen
Wiederherstellung mit Schlüssel testen
Schlüsselverlust vermeiden
Merksatz:
Verschlüsseltes Backup ist nur nutzbar,
wenn der Schlüssel verfügbar ist.
Backup-Zugriffsrechte
Backups enthalten oft besonders viele Daten.
Deshalb müssen Zugriffe streng begrenzt werden.
Zu vermeiden:
Jeder kann Backups lesen.
normales Benutzerkonto kann Backups löschen.
Backup-Admin nutzt Alltagskonto.
Ransomware kann Backup-Speicher erreichen.
Dienstkonto hat zu viele Rechte.
Merksatz:
Backups brauchen stärkeren Schutz als viele Produktivdaten.
Backup und Ransomware
Ransomware versucht häufig,
Backups zu löschen oder zu verschlüsseln.
Schutzmaßnahmen:
Immutable Backup
Offline-Backup
getrennte Zugangsdaten
getrenntes Backupnetz
keine normalen Schreibrechte
MFA für Backup-Konsole
Backup-Logs überwachen
Restore regelmäßig testen
Merksatz:
Backups müssen vor dem Angreifer geschützt werden,
nicht nur vor Datenverlust.
Backup-Netz
Ein Backup-Netz ist ein getrenntes Netzwerk für Backup-Verkehr oder Backup-Systeme.
Vorteile:
weniger Angriffsfläche
weniger Störung des Produktivnetzes
bessere Kontrolle
Schutz vor lateraler Bewegung
gezieltere Firewall-Regeln
Merksatz:
Backup-Systeme sollten nicht frei aus jedem Netz erreichbar sein.
Backup-Monitoring
Backup-Monitoring prüft,
ob Sicherungen erfolgreich laufen.
Zu überwachen:
letzter erfolgreicher Lauf
Fehlermeldungen
Datenmenge
Laufzeit
Speicherziel
Kapazität
Verschlüsselung
Aufbewahrung
Restore-Tests
Merksatz:
Ein fehlgeschlagenes Backup muss auffallen,
bevor ein Restore gebraucht wird.
Backup-Logs
Backup-Logs zeigen,
was bei einer Sicherung passiert ist.
Zu prüfen:
Startzeit
Endzeit
Erfolg oder Fehler
gesicherte Datenmenge
übersprungene Dateien
Warnungen
Zielsystem
Speicherplatz
Berechtigungsfehler
Merksatz:
Backup-Logs regelmäßig auswerten.
Restore-Reihenfolge
Bei Wiederherstellung ist die Reihenfolge wichtig.
Beispiele:
Netzwerk zuerst
dann
Verzeichnisdienst
dann
Speicher
dann
Datenbank
dann
Anwendung
dann
Benutzerzugriff
Merksatz:
Systeme hängen voneinander ab;
Restore braucht Reihenfolge.
Abhängigkeiten beim Restore
Vor einem Restore prüfen:
Welche Systeme hängen voneinander ab?
Welche Datenbanken werden benötigt?
Welche Zugangsdaten werden gebraucht?
Welche Zertifikate werden gebraucht?
Welche DNS-Namen müssen stimmen?
Welche Firewall-Regeln sind nötig?
Welche Speicherziele sind erreichbar?
Welche Versionen passen zusammen?
Merksatz:
Restore scheitert oft an vergessenen Abhängigkeiten.
Notfallhandbuch
Ein Notfallhandbuch beschreibt,
was bei schweren Störungen oder Sicherheitsvorfällen zu tun ist.
Inhalte:
Ansprechpartner
Prioritäten
Systeme
Wiederherstellungsreihenfolge
Zugangsdatenablage
Kommunikationswege
Eskalationswege
Backup-Orte
Restore-Anleitungen
externe Dienstleister
Entscheidungsbefugnisse
Merksatz:
Im Notfall darf nicht erst gesucht werden,
wer was weiß.
Notfallkontaktliste
Eine Notfallkontaktliste enthält wichtige Kontakte.
Beispiele:
interne IT
Geschäftsleitung
Datenschutzbeauftragte
Sicherheitsverantwortliche
Internetprovider
Cloud-Anbieter
Hardware-Support
Softwaredienstleister
Versicherer
Behörden je nach Vorfall
Merksatz:
Notfallkontakte müssen aktuell und erreichbar sein.
Priorisierung im Notfall
Nicht jedes System ist gleich wichtig.
Zu priorisieren nach:
Geschäftsprozesse
kritische Dienste
Benutzeranzahl
Datenklassifizierung
Abhängigkeiten
RTO
RPO
Sicherheitslage
rechtliche Anforderungen
Merksatz:
Im Notfall zuerst die wichtigsten Dienste wiederherstellen.
Business Continuity
Business Continuity bedeutet:
Geschäftsprozesse sollen trotz Störung weiterlaufen oder schnell wieder anlaufen.
Dazu gehören:
Notfallplanung
Ersatzprozesse
Backup
Wiederanlauf
Kommunikation
Verantwortlichkeiten
Tests
Merksatz:
Business Continuity betrachtet nicht nur IT,
sondern den Betrieb insgesamt.
Disaster Recovery
Disaster Recovery beschreibt die Wiederherstellung von IT nach schweren Störungen.
Beispiele:
Rechenzentrumsausfall
Brand
Ransomware
massiver Hardwaredefekt
Cloud-Ausfall
Datenverlust
Merksatz:
Disaster Recovery ist IT-Wiederherstellung nach schwerem Vorfall.
Failover
Failover bedeutet:
Ein Dienst wird bei Ausfall automatisch oder manuell auf ein Ersatzsystem umgeschaltet.
Beispiele:
zweiter Server übernimmt
zweite Firewall übernimmt
anderer Standort übernimmt
Datenbank-Replikat wird aktiv
Merksatz:
Failover reduziert Ausfallzeit,
ersetzt aber kein Backup.
Redundanz
Redundanz bedeutet:
wichtige Komponenten sind mehrfach vorhanden.
Beispiele:
zwei Netzteile
zwei Firewalls
mehrere Server
mehrere Internetleitungen
RAID
Cluster
mehrere Standorte
Merksatz:
Redundanz erhöht Verfügbarkeit,
ersetzt aber kein Backup.
Replikation
Replikation bedeutet:
Daten werden auf ein anderes System kopiert,
oft nahezu in Echtzeit.
Vorteile:
schnelle Umschaltung
höhere Verfügbarkeit
Risiko:
Fehler,
Löschung
oder Verschlüsselung können mitrepliziert werden.
Merksatz:
Replikation ist kein Backup.
Backup, Redundanz und Replikation unterscheiden
Begriff
Ziel
Grenze
Backup
Wiederherstellung alter Zustände
Restore dauert
Redundanz
Ausfall vermeiden oder abfedern
schützt nicht vor Datenfehlern
Replikation
Daten auf zweitem System aktuell halten
Fehler werden oft mitkopiert
Merksatz:
Backup schützt Wiederherstellung.
Redundanz schützt Verfügbarkeit.
Replikation hält Daten aktuell.
Notfallübung
Eine Notfallübung testet,
ob Notfallpläne funktionieren.
Zu prüfen:
Erreichen wir Kontakte?
Finden wir Dokumentation?
Funktionieren Zugänge?
Können wir Backups wiederherstellen?
Stimmen RTO und RPO?
Funktioniert Kommunikation?
Wer entscheidet was?
Wo fehlen Informationen?
Merksatz:
Notfallpläne müssen geübt werden.
Kommunikation im Notfall
Im Notfall muss klar sein:
Wer informiert wen?
Wer entscheidet?
Welche Kanäle werden genutzt?
Was wird Benutzern gesagt?
Was wird Kunden gesagt?
Was wird dokumentiert?
Wer spricht mit Dienstleistern?
Wer spricht mit Behörden,
falls nötig?
Merksatz:
Schlechte Kommunikation verschlimmert technische Notfälle.
Dokumentation beim Restore
Beim Restore dokumentieren:
Grund der Wiederherstellung
Zeitpunkt
betroffene Systeme
verwendetes Backup
Restore-Schritte
Probleme
Dauer
Ergebnis
Datenverlust
beteiligte Personen
Nacharbeiten
Merksatz:
Restore-Dokumentation hilft bei Nachvollziehbarkeit und Verbesserung.
Nacharbeiten nach Restore
Nach einem Restore prüfen:
Funktioniert der Dienst?
Sind Daten vollständig?
Stimmen Benutzerrechte?
Sind Logs aktiv?
Funktionieren Backups wieder?
Ist Monitoring aktiv?
Sind Zertifikate gültig?
Sind Schnittstellen erreichbar?
Gibt es Sicherheitslücken?
Muss Ursache behoben werden?
Merksatz:
Nach Restore ist die Arbeit nicht automatisch beendet.
Typische Fehler bei Backup und Restore
Häufige Fehler:
Backups nie getestet
Backupziel voll
Backup läuft mit Fehlern
Backups nicht verschlüsselt
Schlüssel nicht auffindbar
Backups im selben Netz wie Ransomware
keine Offline- oder Immutable-Kopie
nur Synchronisation statt Backup
Datenbank unsauber gesichert
Restore-Reihenfolge unbekannt
Dokumentation veraltet
alte Systeme nicht mehr kompatibel
Merksatz:
Der häufigste Backup-Fehler ist:
Man merkt das Problem erst beim Restore.
Checkliste: Backup-Konzept prüfen
Welche Daten sind kritisch?
Welche Systeme sind kritisch?
RPO festlegen.
RTO festlegen.
Backup-Art wählen.
Backup-Frequenz festlegen.
Aufbewahrung festlegen.
Backup-Ziel festlegen.
Verschlüsselung prüfen.
Zugriffsschutz prüfen.
Offline- oder Immutable-Kopie planen.
Backup-Logs überwachen.
Restore regelmäßig testen.
Notfallhandbuch erstellen.
Verantwortlichkeiten festlegen.
Dokumentation aktuell halten.
Merksatz:
Backup-Konzept muss geplant,
geschützt,
überwacht
und getestet werden.
Checkliste: Restore durchführen
Vorfall bewerten.
Ursache eingrenzen.
Passendes Backup auswählen.
Integrität des Backups prüfen.
Abhängigkeiten prüfen.
Zielsystem vorbereiten.
Restore durchführen.
Funktion testen.
Rechte prüfen.
Logs prüfen.
Monitoring prüfen.
Backupbetrieb wieder aktivieren.
Benutzer informieren.
Ergebnis dokumentieren.
Ursache dauerhaft beheben.
Merksatz:
Restore ist ein kontrollierter Prozess,
nicht nur Zurückkopieren von Dateien.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist ein Backup?
- Was ist ein Restore?
- Warum ist ein Restore-Test wichtig?
- Was bedeutet die 3-2-1-Regel?
- Was ist ein Vollbackup?
- Was ist ein inkrementelles Backup?
- Was ist ein differenzielles Backup?
- Was ist ein Snapshot?
- Warum ersetzt ein Snapshot kein Backup?
- Was ist ein Image-Backup?
- Warum brauchen Datenbanken besondere Backups?
- Was bedeutet RPO?
- Was bedeutet RTO?
- Was ist Retention?
- Was ist das Großvater-Vater-Sohn-Prinzip?
- Warum sollten Backups verschlüsselt werden?
- Was ist ein Immutable Backup?
- Warum ist Replikation kein Backup?
- Was ist Disaster Recovery?
- Was ist Business Continuity?
- Was ist ein Notfallhandbuch?
Typische Prüfungsfallen
Backup und Restore unterscheiden.
Backup verhindert keinen Angriff.
Backup ermöglicht Wiederherstellung.
Backup ohne Restore-Test ist unsicher.
Synchronisation ist kein Backup.
Replikation ist kein Backup.
Redundanz ist kein Backup.
Snapshot ist nicht automatisch Backup.
Vollbackup sichert alles.
Inkrementell sichert seit letztem Backup.
Differenziell sichert seit letztem Vollbackup.
RPO ist Datenverlust.
RTO ist Wiederherstellungszeit.
Backups müssen geschützt werden.
Backups können Ziel von Ransomware sein.
Verschlüsselung braucht Schlüsselverwaltung.
Datenbank-Backups müssen konsistent sein.
Restore braucht Reihenfolge.
Notfallhandbuch aktuell halten.
Notfallpläne müssen getestet werden.
Nach Restore Funktion und Sicherheit prüfen.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Backup
Sicherung von Daten oder Systemen
Restore
Wiederherstellung aus Sicherung
Restore-Test
Prüfung der Wiederherstellung
lokales Backup
Sicherung in gleicher Umgebung
externes Backup
Sicherung an getrenntem Ort
Offline-Backup
nicht dauerhaft verbundenes Backup
Immutable Backup
unveränderliches Backup
3-2-1-Regel
drei Kopien, zwei Medien, eine externe Kopie
Vollbackup
vollständige Sicherung
inkrementelles Backup
Änderungen seit letztem Backup
differenzielles Backup
Änderungen seit letztem Vollbackup
Snapshot
Momentaufnahme
Image-Backup
vollständiges Systemabbild
dateibasiertes Backup
Sicherung ausgewählter Dateien
Datenbank-Backup
konsistente Sicherung einer Datenbank
Point-in-Time-Recovery
Wiederherstellung zu bestimmtem Zeitpunkt
RPO
maximal akzeptabler Datenverlust
RTO
maximal akzeptable Wiederherstellungszeit
Backup-Frequenz
Häufigkeit der Sicherung
Retention
Aufbewahrungsregel
Großvater-Vater-Sohn
Backup-Rotationsschema
Backup-Verschlüsselung
Schutz gesicherter Daten
Backup-Netz
getrenntes Netz für Backup
Backup-Monitoring
Überwachung von Sicherungen
Notfallhandbuch
Anleitung für schwere Störungen
Business Continuity
Aufrechterhaltung von Geschäftsprozessen
Disaster Recovery
IT-Wiederherstellung nach schwerem Vorfall
Failover
Umschaltung auf Ersatzsystem
Redundanz
mehrfach vorhandene Komponenten
Replikation
Kopie aktueller Daten auf anderes System
Notfallübung
Test des Notfallplans
IHK-sichere Kurzformulierung
Ein Backup ist eine Sicherung von Daten, Systemen oder Konfigurationen, während Restore die Wiederherstellung aus dieser Sicherung bezeichnet. Backups schützen nicht direkt vor Angriffen oder Ausfällen, ermöglichen aber die Wiederherstellung nach Datenverlust, Ransomware, Fehlkonfiguration oder Hardwaredefekt. Wichtige Konzepte sind Vollbackup, inkrementelles Backup, differenzielles Backup, Snapshot, Image-Backup, RPO, RTO, Retention, 3-2-1-Regel, Offline-Backup und Immutable Backup. Backups müssen geschützt, verschlüsselt, überwacht und regelmäßig durch Restore-Tests geprüft werden. Replikation, Redundanz und Synchronisation ersetzen kein Backup. Ein gutes Notfallkonzept umfasst Wiederherstellungsreihenfolge, Verantwortlichkeiten, Notfallhandbuch, Kommunikation und regelmäßige Übungen.
Merksätze
Backup = Sicherung.
Restore = Wiederherstellung.
Backup ohne Restore-Test ist unsicher.
Backup schützt nicht vor jedem Vorfall,
aber ermöglicht Wiederherstellung.
Synchronisation ist kein Backup.
Replikation ist kein Backup.
Redundanz ist kein Backup.
Snapshot ist nicht automatisch Backup.
Lokales Backup ist schnell,
aber nicht genug gegen Standortausfall.
Externes Backup schützt gegen Standortschaden.
Offline-Backup schützt gegen dauerhaften Zugriff durch Angreifer.
Immutable Backup schützt vor Veränderung und Löschung.
3-2-1 reduziert Gesamtrisiko.
Vollbackup sichert alles.
Inkrementell sichert Änderungen seit letztem Backup.
Differenziell sichert Änderungen seit letztem Vollbackup.
Datenbank-Backups müssen konsistent sein.
Point-in-Time-Recovery stellt einen Zeitpunkt wieder her.
RPO = erlaubter Datenverlust.
RTO = erlaubte Wiederherstellungszeit.
Backup-Frequenz hängt vom RPO ab.
Retention regelt Aufbewahrung.
Verschlüsseltes Backup braucht verfügbaren Schlüssel.
Backups brauchen strenge Zugriffsrechte.
Ransomware greift oft Backups an.
Backup-Monitoring ist Pflicht.
Backup-Logs regelmäßig prüfen.
Restore braucht Reihenfolge.
Abhängigkeiten vor Restore prüfen.
Notfallhandbuch aktuell halten.
Business Continuity betrachtet Geschäftsprozesse.
Disaster Recovery betrachtet IT-Wiederherstellung.
Failover reduziert Ausfallzeit.
Notfallpläne üben.
Kommunikation im Notfall vorbereiten.
Restore dokumentieren.
Nach Restore Funktion,
Sicherheit
und Backupbetrieb prüfen.
17.8 Dokumentation, Change Management und sichere Administration in der Praxis
Dokumentation und Change Management sorgen dafür,
dass IT-Systeme nachvollziehbar,
wartbar
und sicher betrieben werden können.
In der Praxis reicht es nicht,
dass ein System irgendwie funktioniert.
Wichtig ist auch:
- Was wurde eingerichtet?
- Warum wurde es eingerichtet?
- Wer ist verantwortlich?
- Welche Abhängigkeiten gibt es?
- Welche Zugangsdaten oder Rollen werden benötigt?
- Welche Änderungen wurden durchgeführt?
- Wie kann ein Fehler behoben werden?
- Wie kann das System wiederhergestellt werden?
Merksatz:
Gute Administration ist nicht nur Technik,
sondern auch Nachvollziehbarkeit.
Warum Dokumentation wichtig ist
Ohne Dokumentation entstehen viele Probleme.
Beispiele:
niemand kennt die IP-Adresse eines Servers
Firewall-Regeln sind unverständlich
Passwörter oder Schlüssel sind unklar verwaltet
Abhängigkeiten sind unbekannt
alte Systeme werden vergessen
Fehler werden mehrfach gesucht
Vertretung ist schwierig
Notfälle dauern länger
Änderungen können nicht nachvollzogen werden
Merksatz:
Was nicht dokumentiert ist,
ist im Betrieb schwer kontrollierbar.
Dokumentation als Sicherheitsmaßnahme
Dokumentation ist auch eine Sicherheitsmaßnahme.
Sie hilft bei:
Rechteprüfung
Notfallmaßnahmen
Backup und Restore
Schwachstellenmanagement
Patchmanagement
Incident Response
Auditierung
Zugriffskontrolle
Change Management
Betriebssicherheit
Merksatz:
Gute Dokumentation reduziert Fehler,
Ausfallzeiten
und Sicherheitsrisiken.
Was dokumentiert werden sollte
Typische Inhalte:
Systeme
Server
Netzwerkgeräte
IP-Adressen
Hostnamen
Dienste
Ports
Firewall-Regeln
VLANs
Subnetze
DNS-Einträge
DHCP-Bereiche
Benutzerrollen
Gruppen
Backup-Ziele
Restore-Abläufe
Zertifikate
Lizenzen
Wartungsverträge
Verantwortliche
Notfallkontakte
Merksatz:
Dokumentiert werden sollte alles,
was für Betrieb,
Sicherheit
und Wiederherstellung wichtig ist.
Systemdokumentation
Eine Systemdokumentation beschreibt ein einzelnes System oder einen Dienst.
Typische Inhalte:
Systemname
Zweck
Standort
IP-Adresse
Betriebssystem
installierte Dienste
offene Ports
Abhängigkeiten
verantwortliche Person
Backup-Regel
Monitoring-Regel
Wartungsfenster
Besonderheiten
Wiederherstellungsschritte
Merksatz:
Systemdokumentation erklärt,
wofür ein System da ist
und wie es betrieben wird.
Netzwerkdokumentation
Eine Netzwerkdokumentation beschreibt Aufbau und Kommunikation im Netzwerk.
Typische Inhalte:
Netzplan
Subnetze
VLANs
Router
Switches
Firewalls
WLANs
VPNs
IP-Adressbereiche
DHCP-Bereiche
DNS-Struktur
Trunk-Ports
Access-Ports
Uplinks
WAN-Anbindungen
Merksatz:
Netzwerkdokumentation macht Verbindungen und Abhängigkeiten sichtbar.
IP-Adressdokumentation
IP-Adressen sollten nachvollziehbar verwaltet werden.
Zu dokumentieren:
IP-Adresse
Hostname
Gerät
Standort
Zweck
MAC-Adresse bei Bedarf
DHCP oder statisch
VLAN
Verantwortlicher
Reservierung
Datum der Änderung
Merksatz:
IP-Adressen nicht nur merken,
sondern sauber verwalten.
IPAM
IPAM steht für:
IP Address Management
IPAM beschreibt die strukturierte Verwaltung von IP-Adressen,
Subnetzen
und Zuordnungen.
Vorteile:
weniger IP-Konflikte
bessere Übersicht
klare Reservierungen
einfachere Fehlersuche
bessere Planung
saubere Dokumentation
Merksatz:
IPAM ist geordnete IP-Adressverwaltung.
Netzplan
Ein Netzplan stellt die Netzwerkstruktur grafisch dar.
Er kann zeigen:
Standorte
Router
Firewalls
Switches
Server
Clients
VLANs
Subnetze
DMZ
VPN-Verbindungen
Internetzugänge
wichtige Dienste
Merksatz:
Netzplan zeigt,
wie Systeme miteinander verbunden sind.
Physischer und logischer Netzplan
Physischer Netzplan:
zeigt Geräte,
Kabel,
Ports,
Racks
und Standorte
Logischer Netzplan:
zeigt VLANs,
Subnetze,
Routing,
Firewall-Zonen
und Dienste
Merksatz:
Physisch zeigt Verkabelung.
Logisch zeigt Kommunikationsstruktur.
Portdokumentation
Bei Switches und Netzwerkgeräten sollten Ports dokumentiert werden.
Zu dokumentieren:
Portnummer
angeschlossenes Gerät
VLAN
Access oder Trunk
Geschwindigkeit
PoE
Beschreibung
Patchpanel-Port
Raum oder Dose
Merksatz:
Portdokumentation spart Zeit bei Fehlersuche und Umzügen.
Firewall-Dokumentation
Firewall-Regeln sollten verständlich dokumentiert sein.
Wichtige Angaben:
Regelname
Zweck
Quelle
Ziel
Port
Protokoll
Richtung
Aktion
Verantwortlicher
Datum
Ablaufdatum bei temporären Regeln
Ticket oder Änderungsnummer
Merksatz:
Jede Firewall-Regel braucht einen Zweck.
Temporäre Firewall-Regeln
Temporäre Regeln sollten ein Ablaufdatum haben.
Problem ohne Ablaufdatum:
Testregel bleibt dauerhaft aktiv.
Angriffsfläche wächst.
Niemand kennt den Zweck.
Regel wird vergessen.
Merksatz:
Temporäre Regeln ohne Ablaufdatum werden oft zu dauerhaften Risiken.
DNS-Dokumentation
DNS-Einträge sollten sauber gepflegt werden.
Zu dokumentieren:
Name
IP-Adresse
Recordtyp
Zweck
Verantwortlicher
TTL
internes oder externes DNS
betroffener Dienst
Änderungsdatum
Merksatz:
DNS ist kritisch,
weil viele Dienste von Namen abhängig sind.
Zertifikatsdokumentation
Zertifikate müssen überwacht und dokumentiert werden.
Wichtige Angaben:
Domainname
Aussteller
Ablaufdatum
verwendeter Dienst
Speicherort
Erneuerungsverfahren
Verantwortlicher
automatische Erneuerung ja oder nein
Merksatz:
Abgelaufene Zertifikate verursachen vermeidbare Ausfälle.
Backup-Dokumentation
Backup-Dokumentation beschreibt,
was wie gesichert wird.
Wichtige Angaben:
System
Datenumfang
Backup-Art
Backup-Ziel
Frequenz
Aufbewahrung
Verschlüsselung
Verantwortlicher
letzter Restore-Test
Wiederherstellungsanleitung
Merksatz:
Backup-Dokumentation muss auch den Restore beschreiben.
Berechtigungsdokumentation
Berechtigungen sollten nachvollziehbar dokumentiert werden.
Zu dokumentieren:
Rolle
Gruppe
Zweck
zugeordnete Rechte
Verantwortlicher
Genehmigungsprozess
Rezertifizierung
Kritikalität
externe Zugriffe
Merksatz:
Rechte müssen erklärbar und überprüfbar sein.
Betriebsdokumentation
Betriebsdokumentation beschreibt,
wie ein System im Alltag betrieben wird.
Inhalte:
Start und Stopp
Wartung
Updates
Monitoring
Logs
Backup
typische Fehler
Eskalationswege
Ansprechpartner
Notfallmaßnahmen
Merksatz:
Betriebsdokumentation hilft beim täglichen Betrieb.
Runbook
Ein Runbook ist eine Schritt-für-Schritt-Anleitung für wiederkehrende Aufgaben oder Störungen.
Beispiele:
Dienst neu starten
Zertifikat erneuern
Backup prüfen
Speicherplatz freigeben
Benutzer entsperren
VPN-Störung prüfen
Datenbank wiederherstellen
Notfallzugang aktivieren
Merksatz:
Runbook macht Abläufe wiederholbar und nachvollziehbar.
Standard Operating Procedure
Standard Operating Procedure wird oft abgekürzt:
SOP
Eine SOP beschreibt einen standardisierten Ablauf.
Beispiele:
Benutzer anlegen
Notebook ausgeben
Server patchen
Firewall-Regel beantragen
Backup-Restore testen
Sicherheitsvorfall melden
Merksatz:
SOP = standardisierte Vorgehensweise.
Wissensdatenbank
Eine Wissensdatenbank sammelt wiederverwendbares Wissen.
Beispiele:
Fehlerlösungen
Anleitungen
Standardprozesse
häufige Fragen
Konfigurationshinweise
Netzpläne
Checklisten
Lessons Learned
Merksatz:
Wissensdatenbank verhindert,
dass Wissen nur in einzelnen Köpfen bleibt.
Dokumentation aktuell halten
Dokumentation ist nur hilfreich,
wenn sie aktuell bleibt.
Typische Probleme:
Server wurde geändert,
Dokumentation nicht
IP-Adresse wurde geändert,
Liste nicht
Firewall-Regel wurde gelöscht,
Dokumentation nicht
Dienst wurde umgezogen,
Runbook nicht angepasst
Merksatz:
Veraltete Dokumentation kann gefährlicher sein als keine Dokumentation,
weil sie falsche Sicherheit gibt.
Dokumentationsqualität
Gute Dokumentation ist:
verständlich
aktuell
auffindbar
vollständig genug
nicht unnötig kompliziert
einheitlich strukturiert
versioniert
überprüfbar
für Vertretung nutzbar
Merksatz:
Dokumentation muss im Alltag nutzbar sein.
Change Management
Change Management bedeutet:
Änderungen werden kontrolliert geplant,
bewertet,
freigegeben,
umgesetzt,
getestet
und dokumentiert.
Typische Änderungen:
Firewall-Regel ändern
Server aktualisieren
DNS-Eintrag ändern
Zertifikat erneuern
Benutzerrechte ändern
neue Software installieren
Netzwerk umkonfigurieren
Backup-Plan ändern
Cloud-Rolle vergeben
Datenbank migrieren
Merksatz:
Change Management kontrolliert Änderungen im IT-Betrieb.
Warum Change Management wichtig ist
Unkontrollierte Änderungen führen oft zu Fehlern.
Beispiele:
Dienst fällt aus
Firewall blockiert Anwendung
falscher DNS-Eintrag
Benutzer verlieren Zugriff
Backup läuft nicht mehr
Sicherheitslücke entsteht
Dokumentation stimmt nicht mehr
niemand weiß,
was geändert wurde
Merksatz:
Viele Störungen entstehen durch nicht dokumentierte Änderungen.
Change
Ein Change ist eine geplante Änderung an einem IT-System,
einem Dienst,
einer Konfiguration
oder einem Prozess.
Beispiele:
Update installieren
VLAN ändern
Server verschieben
Rechte anpassen
Zertifikat ersetzen
neue Anwendung bereitstellen
Merksatz:
Change = geplante Änderung im IT-Betrieb.
Standard Change
Ein Standard Change ist eine wiederkehrende,
bekannte
und risikoarme Änderung.
Beispiele:
Standardbenutzer anlegen
Drucker zuweisen
Routineupdate nach Prozess
Passwort zurücksetzen
freigegebene Standardsoftware installieren
Merkmale:
häufig durchgeführt
dokumentierter Ablauf
geringes Risiko
meist vorab genehmigt
Merksatz:
Standard Change ist bekannte Routineänderung.
Normal Change
Ein Normal Change ist eine geplante Änderung,
die bewertet und freigegeben werden muss.
Beispiele:
neue Firewall-Regel
größeres Update
neue Serverrolle
Änderung an Produktivdatenbank
Netzwerkänderung
Umzug eines Dienstes
Merksatz:
Normal Change braucht Prüfung und Freigabe.
Emergency Change
Ein Emergency Change ist eine dringende Änderung,
die schnell durchgeführt werden muss.
Beispiele:
kritische Sicherheitslücke schließen
Produktionsausfall beheben
kompromittierten Zugang sperren
Firewall-Regel im Angriff anpassen
defekten Dienst kurzfristig umstellen
Wichtig:
auch Emergency Changes müssen nachträglich dokumentiert werden.
Merksatz:
Emergency Change ist dringend,
aber nicht dokumentationsfrei.
Change Request
Ein Change Request ist ein Änderungsantrag.
Typische Inhalte:
Beschreibung der Änderung
Grund
betroffene Systeme
Risiko
geplanter Zeitpunkt
Verantwortlicher
Testplan
Rollback-Plan
Freigabe
Kommunikationsbedarf
Merksatz:
Change Request beschreibt,
was geändert werden soll und warum.
Risikobewertung bei Changes
Vor Änderungen sollte das Risiko bewertet werden.
Fragen:
Welche Systeme sind betroffen?
Welche Benutzer sind betroffen?
Kann es Ausfall geben?
Gibt es Sicherheitsrisiken?
Gibt es Abhängigkeiten?
Gibt es ein Backup?
Gibt es einen Rollback-Plan?
Wurde getestet?
Wann ist ein geeignetes Wartungsfenster?
Merksatz:
Änderung ohne Risikobewertung ist Blindflug.
Wartungsfenster
Ein Wartungsfenster ist ein geplanter Zeitraum für Änderungen.
Ziel:
Auswirkungen auf Benutzer reduzieren
Beteiligte informieren
Ressourcen einplanen
Rollback ermöglichen
Monitoring beobachten
Merksatz:
Wartungsfenster reduziert Betriebsrisiken bei Änderungen.
Rollback-Plan
Ein Rollback-Plan beschreibt,
wie eine Änderung rückgängig gemacht werden kann.
Beispiele:
Backup zurückspielen
Snapshot zurücksetzen
alte Konfigurationsdatei wiederherstellen
alte Softwareversion installieren
DNS-Eintrag zurücksetzen
Firewall-Regel entfernen
Merksatz:
Vor Änderung wissen,
wie man zurückkommt.
Testplan
Ein Testplan beschreibt,
wie geprüft wird,
ob eine Änderung erfolgreich war.
Beispiele:
Dienst startet
Webseite erreichbar
Login funktioniert
Datenbank erreichbar
Backup läuft
Monitoring grün
Benutzer kann arbeiten
Logs zeigen keine Fehler
Merksatz:
Change ist erst abgeschlossen,
wenn Funktion geprüft wurde.
Kommunikation bei Changes
Bei Änderungen müssen betroffene Personen informiert werden.
Zu klären:
Wer ist betroffen?
Wann findet Änderung statt?
Welche Einschränkungen gibt es?
Wie lange dauert es?
Was ist nach der Änderung zu prüfen?
Wer ist Ansprechpartner?
Was passiert bei Problemen?
Merksatz:
Gute Kommunikation verhindert unnötige Störungen und Rückfragen.
Change-Freigabe
Kritische Änderungen sollten freigegeben werden.
Mögliche Freigaben durch:
Systemverantwortliche
IT-Leitung
Fachbereich
Sicherheitsverantwortliche
Datenschutz
Change Advisory Board je nach Organisation
Merksatz:
Kritische Änderungen nicht ungeprüft durchführen.
Change Advisory Board
Change Advisory Board wird oft abgekürzt:
CAB
Ein CAB bewertet und genehmigt wichtige Änderungen.
Es prüft zum Beispiel:
Risiko
Auswirkung
Zeitpunkt
Abhängigkeiten
Rollback
Kommunikation
Priorität
Merksatz:
CAB koordiniert wichtige Changes.
Configuration Management
Configuration Management bedeutet:
Konfigurationen von Systemen werden strukturiert verwaltet.
Dazu gehören:
Soll-Zustand
Ist-Zustand
Änderungen
Versionen
Abhängigkeiten
Dokumentation
Standardisierung
Merksatz:
Configuration Management hält technische Zustände kontrollierbar.
Configuration Item
Configuration Item wird oft abgekürzt:
CI
Ein CI ist ein verwaltetes Element der IT-Umgebung.
Beispiele:
Server
Anwendung
Datenbank
Switch
Firewall
Laptop
Dienst
Lizenz
Zertifikat
virtuelle Maschine
Merksatz:
CI = verwaltetes IT-Element.
CMDB
CMDB steht für:
Configuration Management Database
Eine CMDB enthält Informationen über Configuration Items und deren Beziehungen.
Beispiele:
Server gehört zu Anwendung
Anwendung nutzt Datenbank
Datenbank läuft auf VM
VM liegt auf Host
Dienst nutzt Zertifikat
Firewall-Regel erlaubt Zugriff
Merksatz:
CMDB zeigt Systeme und Abhängigkeiten strukturiert.
Asset Management
Asset Management verwaltet IT-Vermögenswerte.
Beispiele:
Geräte
Server
Laptops
Monitore
Smartphones
Lizenzen
Verträge
Zubehör
Ziel:
wissen,
was vorhanden ist,
wem es gehört,
wo es ist
und welchen Status es hat
Merksatz:
Asset Management verwaltet IT-Bestand.
Inventarisierung
Inventarisierung ist die Erfassung von IT-Objekten.
Zu erfassen:
Gerätename
Seriennummer
Standort
Benutzer
IP-Adresse
Betriebssystem
Softwarestand
Garantie
Kaufdatum
Zustand
Verantwortlicher
Merksatz:
Ohne Inventar ist Verwaltung und Sicherheit unvollständig.
Lizenzmanagement
Lizenzmanagement stellt sicher,
dass Software korrekt lizenziert ist.
Zu prüfen:
Anzahl installierter Lizenzen
Anzahl gekaufter Lizenzen
Lizenzbedingungen
Laufzeiten
Abonnements
Wartungsverträge
Nutzerzuordnung
Auditfähigkeit
Merksatz:
Lizenzmanagement verhindert Unterlizenzierung,
unnötige Kosten
und Auditprobleme.
Versionierung von Konfigurationen
Konfigurationen sollten versioniert werden.
Vorteile:
Änderungen nachvollziehen
alte Zustände wiederherstellen
Fehler vergleichen
Zusammenarbeit ermöglichen
Rollback erleichtern
Beispiele:
Firewall-Konfiguration
Switch-Konfiguration
Skripte
Webserver-Konfiguration
Infrastrukturdefinitionen
Merksatz:
Versionierung macht Änderungen nachvollziehbar.
Konfigurationsbackup
Viele Geräte brauchen eigene Konfigurationsbackups.
Beispiele:
Switches
Router
Firewalls
WLAN-Controller
NAS
Hypervisor
Backup-Systeme
Merksatz:
Nicht nur Daten,
auch Konfigurationen sichern.
Passwort- und Secret-Dokumentation
Passwörter,
Tokens
und Schlüssel gehören nicht in normale Dokumentation.
Sie gehören in sichere Systeme wie:
Passwortmanager
Secret Manager
PAM-System
verschlüsselter Tresor
Dokumentation sollte nur beschreiben:
wo Secret verwaltet wird
wer Zugriff beantragen darf
wofür es genutzt wird
Merksatz:
Dokumentation beschreibt Secrets,
speichert sie aber nicht im Klartext.
Sichere Ablage von Dokumentation
Dokumentation kann selbst sensible Informationen enthalten.
Beispiele:
Netzpläne
IP-Adressen
Firewall-Regeln
Adminwege
Backup-Orte
Systemdetails
Notfallprozesse
Schutzmaßnahmen:
Zugriff begrenzen
Rollen nutzen
Versionierung
Backup
Verschlüsselung je nach Schutzbedarf
Änderungsverlauf
regelmäßige Prüfung
Merksatz:
IT-Dokumentation ist selbst schützenswert.
Lessons Learned
Lessons Learned bedeutet:
Aus Fehlern,
Störungen
und Projekten werden Verbesserungen abgeleitet.
Fragen:
Was ist passiert?
Warum ist es passiert?
Was hat gut funktioniert?
Was hat nicht funktioniert?
Welche Dokumentation fehlte?
Welche Prozesse müssen angepasst werden?
Welche technische Maßnahme fehlt?
Wie verhindern wir Wiederholung?
Merksatz:
Lessons Learned macht Erfahrungen nutzbar.
Post-Incident-Review
Ein Post-Incident-Review ist die Auswertung nach einem Vorfall.
Ziel:
Ursache verstehen
Reaktion bewerten
Dokumentation verbessern
Sicherheitslücken schließen
Prozesse anpassen
Wiederholung verhindern
Merksatz:
Nach einem Vorfall sollte nicht nur repariert,
sondern gelernt werden.
Typische Praxisfehler
Häufige Fehler:
keine Dokumentation
veraltete Dokumentation
IP-Adressen nur im Kopf
Firewall-Regeln ohne Zweck
temporäre Regeln ohne Ablaufdatum
keine Netzpläne
keine Restore-Anleitung
keine Verantwortlichen
Änderungen ohne Ticket
kein Rollback-Plan
keine Kommunikation
Secrets in Klartextdokumenten
Konfigurationen nicht gesichert
Lizenzen nicht geprüft
Merksatz:
Fehlende Dokumentation wird spätestens im Notfall teuer.
Checkliste: gute IT-Dokumentation
Systeme erfassen.
Dienste erfassen.
IP-Adressen dokumentieren.
Netzpläne pflegen.
Firewall-Regeln beschreiben.
DNS-Einträge dokumentieren.
Zertifikate überwachen.
Backup und Restore beschreiben.
Rechte und Rollen dokumentieren.
Verantwortliche benennen.
Runbooks erstellen.
Notfallkontakte pflegen.
Änderungen versionieren.
Dokumentation regelmäßig prüfen.
Zugriff auf Dokumentation absichern.
Merksatz:
Dokumentation muss aktuell,
auffindbar
und verständlich sein.
Checkliste: Change Management
Änderung beschreiben.
Grund nennen.
Betroffene Systeme bestimmen.
Risiko bewerten.
Abhängigkeiten prüfen.
Backup oder Snapshot prüfen.
Wartungsfenster festlegen.
Testplan erstellen.
Rollback-Plan erstellen.
Freigabe einholen.
Betroffene informieren.
Änderung durchführen.
Funktion testen.
Monitoring prüfen.
Dokumentation aktualisieren.
Ergebnis abschließen.
Merksatz:
Change Management begleitet die Änderung von Planung bis Abschluss.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Warum ist IT-Dokumentation wichtig?
- Was gehört in eine Systemdokumentation?
- Was gehört in eine Netzwerkdokumentation?
- Was ist ein Netzplan?
- Was ist der Unterschied zwischen physischem und logischem Netzplan?
- Was ist IPAM?
- Warum sollten Firewall-Regeln dokumentiert werden?
- Warum brauchen temporäre Regeln ein Ablaufdatum?
- Warum müssen Zertifikate dokumentiert werden?
- Was ist ein Runbook?
- Was ist eine SOP?
- Was ist Change Management?
- Was ist ein Change Request?
- Was ist ein Standard Change?
- Was ist ein Normal Change?
- Was ist ein Emergency Change?
- Was ist ein Rollback-Plan?
- Was ist ein Wartungsfenster?
- Was ist ein CAB?
- Was ist eine CMDB?
- Was ist Asset Management?
- Warum sollten Konfigurationen versioniert werden?
Typische Prüfungsfallen
Dokumentation ist keine Nebensache.
Veraltete Dokumentation kann falsche Entscheidungen verursachen.
Netzplan und IP-Liste sind nicht dasselbe.
Physischer Netzplan zeigt Verkabelung.
Logischer Netzplan zeigt Netzwerkstruktur.
Firewall-Regeln brauchen Zweck und Verantwortlichen.
Temporäre Regeln brauchen Ablaufdatum.
Zertifikate müssen vor Ablauf überwacht werden.
Runbook ist konkrete Anleitung.
SOP ist standardisierter Ablauf.
Change Management verhindert unkontrollierte Änderungen.
Emergency Change muss nachträglich dokumentiert werden.
Rollback-Plan vor Änderung erstellen.
Testplan nach Änderung durchführen.
Wartungsfenster reduziert Auswirkungen.
CMDB zeigt IT-Elemente und Beziehungen.
Asset Management verwaltet Bestand.
Secrets gehören nicht in Klartextdokumentation.
Konfigurationen sollten gesichert und versioniert werden.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Dokumentation
nachvollziehbare Beschreibung von IT-Systemen
Systemdokumentation
Beschreibung eines Systems oder Dienstes
Netzwerkdokumentation
Beschreibung der Netzwerkstruktur
IPAM
IP Address Management
Netzplan
grafische Darstellung eines Netzwerks
physischer Netzplan
Darstellung von Geräten, Kabeln und Ports
logischer Netzplan
Darstellung von VLANs, Subnetzen und Routing
Portdokumentation
Zuordnung von Switchports und Anschlüssen
Firewall-Dokumentation
Beschreibung von Firewall-Regeln
DNS-Dokumentation
Verwaltung von DNS-Einträgen
Zertifikatsdokumentation
Übersicht über Zertifikate und Ablaufdaten
Backup-Dokumentation
Beschreibung von Sicherung und Wiederherstellung
Betriebsdokumentation
Anleitung für laufenden Betrieb
Runbook
Schritt-für-Schritt-Anleitung
SOP
Standard Operating Procedure
Wissensdatenbank
Sammlung wiederverwendbaren Wissens
Change Management
kontrollierter Änderungsprozess
Change
geplante Änderung
Standard Change
bekannte risikoarme Routineänderung
Normal Change
geplante Änderung mit Prüfung
Emergency Change
dringende Änderung
Change Request
Änderungsantrag
Wartungsfenster
geplanter Zeitraum für Änderungen
Rollback-Plan
Plan zur Rücknahme einer Änderung
Testplan
Prüfung nach einer Änderung
CAB
Change Advisory Board
Configuration Management
strukturierte Verwaltung von Konfigurationen
CI
Configuration Item
CMDB
Configuration Management Database
Asset Management
Verwaltung von IT-Bestand
Inventarisierung
Erfassung von IT-Objekten
Lizenzmanagement
Verwaltung von Softwarelizenzen
Konfigurationsbackup
Sicherung technischer Konfigurationen
Lessons Learned
Erkenntnisse aus Fehlern oder Projekten
Post-Incident-Review
Auswertung nach einem Vorfall
IHK-sichere Kurzformulierung
Dokumentation und Change Management sind wichtige Bestandteile sicherer und zuverlässiger IT-Administration. Dokumentation beschreibt Systeme, Netzwerke, IP-Adressen, Dienste, Firewall-Regeln, Berechtigungen, Backups, Zertifikate, Verantwortlichkeiten und Notfallmaßnahmen. Change Management sorgt dafür, dass Änderungen geplant, bewertet, freigegeben, durchgeführt, getestet und dokumentiert werden. Wichtige Elemente sind Change Request, Risikobewertung, Wartungsfenster, Testplan, Rollback-Plan, Kommunikation und Aktualisierung der Dokumentation. Eine CMDB kann Configuration Items und deren Beziehungen verwalten, während Asset Management den IT-Bestand erfasst. Gute Dokumentation muss aktuell, verständlich, geschützt und für Betrieb sowie Notfälle nutzbar sein.
Merksätze
Gute Administration ist nachvollziehbar.
Dokumentation reduziert Fehler.
Dokumentation ist Sicherheitsmaßnahme.
Systeme,
Dienste,
Netze
und Rechte dokumentieren.
IP-Adressen sauber verwalten.
IPAM hilft bei IP-Adressverwaltung.
Netzplan zeigt Verbindungen.
Physischer Netzplan zeigt Verkabelung.
Logischer Netzplan zeigt Kommunikation.
Firewall-Regeln brauchen Zweck.
Temporäre Regeln brauchen Ablaufdatum.
DNS-Dokumentation verhindert Namenschaos.
Zertifikate vor Ablauf überwachen.
Backup-Dokumentation muss Restore enthalten.
Rechte müssen nachvollziehbar sein.
Runbook ist Schritt-für-Schritt-Anleitung.
SOP ist standardisierter Ablauf.
Wissensdatenbank hält Wissen verfügbar.
Dokumentation aktuell halten.
Veraltete Dokumentation kann gefährlich sein.
Change Management kontrolliert Änderungen.
Change Request beschreibt Änderung.
Standard Change ist Routine.
Normal Change braucht Prüfung.
Emergency Change ist dringend,
aber nicht dokumentationsfrei.
Risiko vor Änderung bewerten.
Wartungsfenster planen.
Rollback vor Änderung planen.
Testplan nach Änderung durchführen.
Betroffene informieren.
CAB bewertet wichtige Changes.
Configuration Management verwaltet technische Zustände.
CI ist verwaltetes IT-Element.
CMDB zeigt Beziehungen.
Asset Management verwaltet Bestand.
Inventarisierung ist Grundlage für Betrieb und Sicherheit.
Lizenzmanagement verhindert Kosten- und Auditprobleme.
Konfigurationen versionieren.
Konfigurationen sichern.
Secrets nicht in Klartext dokumentieren.
Dokumentation selbst schützen.
Lessons Learned verbessern Prozesse.
Nach Vorfällen auswerten und verbessern.
17.9 Merksätze und Prüfungswissen zu Netzwerkadministration und Systemzugriff
Diese Seite fasst die wichtigsten Inhalte aus dem Kapitel Praxis,
Netzwerkadministration
und Systemzugriff zusammen.
In diesem Kapitel ging es um praktische Aufgaben der Systemintegration:
- sichere Fernadministration
- SSH und RDP
- Benutzer und Rechte
- Gruppen und Rollen
- Logging und Monitoring
- Dienstprüfung
- Netzwerkbefehle
- Dateiübertragung und Freigaben
- Backup und Restore
- Dokumentation
- Change Management
Merksatz:
Netzwerkadministration verbindet Technik,
Sicherheit,
Betrieb
und Dokumentation.
Grundidee der Netzwerkadministration
Netzwerkadministration bedeutet:
Systeme,
Netzwerke,
Dienste,
Benutzer,
Zugriffe
und Konfigurationen verwalten.
Typische Aufgaben:
Server prüfen
Benutzer anlegen
Rechte vergeben
Netzwerkfehler suchen
Remotezugriff absichern
Logs auswerten
Backups kontrollieren
Dienste überwachen
Änderungen dokumentieren
Merksatz:
Administration ist nicht nur Einrichten,
sondern laufender sicherer Betrieb.
Systemzugriff
Systemzugriff bedeutet:
Zugriff auf ein IT-System zur Nutzung,
Verwaltung
oder Fehlerbehebung.
Arten:
lokaler Zugriff
Remotezugriff
Weboberfläche
SSH
RDP
VPN
Bastion Host
Managementnetz
Cloud-Portal
API
Merksatz:
Je mächtiger der Zugriff,
desto stärker muss er abgesichert werden.
Lokaler Zugriff
Lokaler Zugriff erfolgt direkt am Gerät.
Beispiele:
Serverkonsole
lokale Anmeldung
Tastatur und Monitor
physische Konsole im Serverraum
Vorteil:
funktioniert oft auch bei Netzwerkproblemen
Nachteil:
physischer Zugang nötig
Merksatz:
Lokaler Zugriff ist direkter Zugriff am System.
Remotezugriff
Remotezugriff bedeutet:
Zugriff aus der Ferne.
Beispiele:
SSH
RDP
VPN
Weboberfläche
Remote-Support-Tool
Cloud-Konsole
Risiko:
Remotezugänge sind häufige Angriffsziele.
Merksatz:
Remotezugriff ist praktisch,
aber sicherheitskritisch.
SSH
SSH steht für:
Secure Shell
SSH dient dem verschlüsselten Fernzugriff auf eine Kommandozeile.
Typische Nutzung:
Linux-Server
Unix-Systeme
Netzwerkgeräte
Firewalls
Switches
Router
NAS-Systeme
Dateiübertragung mit SFTP oder SCP
Standardport:
TCP 22
Merksatz:
SSH = verschlüsselter Kommandozeilenzugriff.
SSH-Sicherheit
SSH sollte sicher betrieben werden.
Wichtige Maßnahmen:
Schlüssel statt Passwort nutzen
privaten Schlüssel schützen
Passphrase verwenden
Root-Login vermeiden
sudo nutzen
Zugriff per Firewall begrenzen
MFA prüfen
alte Schlüssel entfernen
Logs überwachen
Host-Key-Warnungen ernst nehmen
Merksatz:
SSH ist verschlüsselt,
aber nur mit sicherer Konfiguration wirklich sicher.
Privater und öffentlicher SSH-Schlüssel
SSH-Schlüsselpaar:
privater Schlüssel
und
öffentlicher Schlüssel
Privater Schlüssel:
bleibt geheim beim Benutzer
Öffentlicher Schlüssel:
wird auf Zielsystemen hinterlegt
Merksatz:
Öffentlicher Schlüssel auf Server,
privater Schlüssel bleibt geheim.
SSH Host Key
Der SSH Host Key identifiziert den Server.
Wenn sich der Host Key unerwartet ändert,
kann das bedeuten:
Server wurde neu installiert
falscher Server wird erreicht
Man-in-the-Middle-Angriff möglich
Merksatz:
SSH-Host-Key-Warnungen nicht blind ignorieren.
RDP
RDP steht für:
Remote Desktop Protocol
RDP ermöglicht grafischen Fernzugriff auf Windows-Systeme.
Standardport:
TCP 3389
Merksatz:
RDP = grafischer Windows-Fernzugriff.
RDP-Sicherheit
RDP sollte nicht breit direkt im Internet erreichbar sein.
Schutzmaßnahmen:
VPN nutzen
RDP Gateway nutzen
MFA aktivieren
Network Level Authentication nutzen
Quell-IP einschränken
starke Passwörter
Account Lockout
Updates einspielen
Logs überwachen
Merksatz:
RDP offen im Internet ist ein hohes Risiko.
VPN
VPN ermöglicht verschlüsselten Zugriff auf ein internes Netzwerk.
Vorteile:
Adminports müssen nicht öffentlich sein
Zugriff zentral steuerbar
MFA möglich
interne Dienste bleiben privat
bessere Protokollierung möglich
Wichtig:
VPN ersetzt keine Rechteverwaltung.
Merksatz:
VPN schützt den Zugang,
aber nicht automatisch das Zielsystem.
Bastion Host und Jump Server
Ein Bastion Host oder Jump Server ist ein geschützter Sprungserver.
Prinzip:
Administrator
verbindet sich zum Sprungserver
und von dort
zum Zielsystem
Vorteile:
weniger direkte Adminzugänge
zentrale Protokollierung
kontrollierter Zugriff
interne Systeme bleiben besser geschützt
Merksatz:
Bastion Host bündelt und schützt Adminzugriffe.
Managementnetz
Ein Managementnetz trennt administrative Zugriffe vom normalen Benutzernetz.
Darin liegen zum Beispiel:
Switch-Management
Firewall-Management
Server-Management
Storage-Management
Backup-Management
Hypervisor-Management
Merksatz:
Managementschnittstellen gehören nicht ins normale Clientnetz.
Out-of-Band-Management
Out-of-Band-Management nutzt einen getrennten Verwaltungsweg.
Beispiele:
iLO
iDRAC
IPMI
serielle Konsole
Vorteil:
Zugriff auch bei Störungen möglich
Risiko:
sehr mächtiger Zugriff
Merksatz:
Out-of-Band-Management besonders stark schützen.
Benutzerkonto
Ein Benutzerkonto ist eine digitale Identität.
Es enthält typischerweise:
Benutzername
Anmeldedaten
Gruppenmitgliedschaften
Rollen
Berechtigungen
Status
Merksatz:
Benutzerkonto = digitale Identität.
Persönliche Konten
Jeder Benutzer sollte ein eigenes persönliches Konto haben.
Vorteile:
Aktionen nachvollziehbar
Rechte gezielt verwaltbar
Offboarding einfacher
keine Passwortweitergabe
bessere Sicherheitsanalyse
Merksatz:
Ein Benutzer,
ein Konto.
Sammelkonten
Sammelkonten werden von mehreren Personen genutzt.
Probleme:
keine eindeutige Nachvollziehbarkeit
Passwortweitergabe
schwieriges Offboarding
höheres Missbrauchsrisiko
schlechte Protokollierung
Merksatz:
Sammelkonten vermeiden,
besonders bei Adminzugängen.
Gruppen und Rollen
Gruppen fassen Benutzer technisch zusammen.
Rollen beschreiben Aufgaben oder Funktionen.
Beispiele:
Helpdesk
Netzwerkadministrator
Serveradministrator
Backup-Operator
Standardbenutzer
Leser
Bearbeiter
Merksatz:
Gruppen vereinfachen Rechtevergabe.
Rollen beschreiben Aufgaben.
RBAC
RBAC steht für:
Role-Based Access Control
Dabei werden Rechte anhand von Rollen vergeben.
Beispiel:
Rolle Helpdesk darf Passwörter zurücksetzen.
Merksatz:
RBAC vergibt Rechte nach Rollen.
ABAC
ABAC steht für:
Attribute-Based Access Control
Dabei werden Zugriffe anhand von Eigenschaften entschieden.
Beispiele:
Standort
Gerätetyp
Uhrzeit
Sicherheitsstatus des Geräts
Abteilung
Datenklassifizierung
Merksatz:
ABAC entscheidet nach Eigenschaften und Bedingungen.
Authentifizierung und Autorisierung
Authentifizierung:
Wer bist du?
Autorisierung:
Was darfst du?
Beispiel:
Benutzer meldet sich an.
Danach wird geprüft,
ob er Datei lesen darf.
Merksatz:
Erst Identität prüfen,
dann Berechtigung prüfen.
Least Privilege
Least Privilege bedeutet:
nur notwendige Rechte vergeben.
Beispiele:
Benutzer ohne lokale Adminrechte
Dienstkonto nur mit benötigten Datenbankrechten
Support nur mit passenden Supportrechten
Adminrechte nur bei Bedarf
Merksatz:
So wenig Rechte wie möglich,
so viele wie nötig.
Need to Know
Need to Know bedeutet:
Zugriff nur auf Informationen,
die für die Aufgabe benötigt werden.
Merksatz:
Nicht jeder muss alles sehen können.
Admin- und Alltagskonto trennen
Administratoren sollten zwei Konten nutzen:
normales Benutzerkonto
und
separates Adminkonto
Vorteile:
weniger Risiko durch Phishing
weniger Malware-Schaden
bessere Nachvollziehbarkeit
weniger dauerhafte Rechte
Merksatz:
Nicht dauerhaft mit Adminrechten arbeiten.
Dienstkonto
Ein Dienstkonto ist eine technische Identität für Dienste,
Anwendungen
oder automatisierte Prozesse.
Beispiele:
Backupdienst
Monitoring-Agent
Webanwendung mit Datenbankzugriff
API-Integration
geplante Aufgabe
Merksatz:
Dienstkonten sind technische Identitäten und müssen rechtearm sein.
Offboarding
Offboarding bedeutet:
Zugänge werden entfernt,
wenn Benutzer ausscheiden
oder keinen Zugriff mehr benötigen.
Zu prüfen:
Benutzerkonto
Gruppen
VPN
SSH-Schlüssel
Cloud-Zugänge
API-Tokens
lokale Adminrechte
Geräte
E-Mail-Weiterleitungen
Merksatz:
Alte Zugänge sind ein Sicherheitsrisiko.
Regelmäßige Rechteprüfung
Rechte sollten regelmäßig geprüft werden.
Besonders wichtig:
Adminrechte
lokale Administratoren
Dienstkonten
externe Dienstleister
Gruppenmitgliedschaften
Cloud-Rollen
Freigaben
SSH-Schlüssel
Merksatz:
Rechte altern und müssen gepflegt werden.
Logs
Logs sind protokollierte Ereignisse.
Beispiele:
Anmeldung
Fehlanmeldung
Dienststart
Dienstfehler
Firewall-Block
VPN-Verbindung
Backup-Fehler
Adminänderung
Merksatz:
Logs zeigen,
was passiert ist.
Monitoring
Monitoring überwacht Zustände und Metriken.
Beispiele:
Verfügbarkeit
CPU-Auslastung
RAM-Nutzung
Speicherplatz
Antwortzeit
Backup-Erfolg
Zertifikatslaufzeit
Dienststatus
Merksatz:
Monitoring zeigt,
was gerade passiert oder sich anbahnt.
Logging, Monitoring und Alerting unterscheiden
Begriff
Zweck
Logging
Ereignisse aufzeichnen
Monitoring
Zustände überwachen
Alerting
bei kritischen Zuständen alarmieren
Reporting
Verlauf auswerten
Merksatz:
Logs erklären Ereignisse.
Monitoring beobachtet Zustände.
Alerting meldet Probleme.
Wichtige Logquellen
Typische Logquellen:
Betriebssystemlogs
Anwendungslogs
Authentifizierungslogs
Firewall-Logs
VPN-Logs
DNS-Logs
DHCP-Logs
Webserverlogs
Backup-Logs
Cloud-Audit-Logs
EDR-Logs
Merksatz:
Wichtige Systeme brauchen nachvollziehbare Logs.
Zentrale Logsammlung
Zentrale Logsammlung bedeutet:
Logs mehrerer Systeme werden zentral gesammelt.
Vorteile:
bessere Suche
bessere Korrelation
Schutz vor lokaler Manipulation
bessere Sicherheitsanalyse
Grundlage für SIEM
Merksatz:
Zentrale Logs helfen,
Zusammenhänge systemübergreifend zu erkennen.
NTP und Logs
NTP synchronisiert Systemzeiten.
Warum wichtig?
Logs verschiedener Systeme müssen zeitlich vergleichbar sein.
Merksatz:
Gemeinsame Zeitbasis ist wichtig für Loganalyse und Forensik.
Dienstprüfung
Dienstprüfung bedeutet:
prüfen,
ob ein Dienst läuft,
erreichbar ist
und korrekt arbeitet.
Zu prüfen:
Dienststatus
Port
Firewall
DNS
Routing
Logs
Ressourcen
Abhängigkeiten
Berechtigungen
Merksatz:
Dienst läuft nicht automatisch gleich Dienst funktioniert.
Netzwerkbefehle
Wichtige Befehle und Werkzeuge:
Aufgabe
Windows
Linux/macOS
IP anzeigen
ipconfig
ip addr
Routing anzeigen
route print
ip route
DNS prüfen
nslookup
dig, nslookup
Erreichbarkeit prüfen
ping
ping
Route verfolgen
tracert
traceroute
Verbindungen anzeigen
netstat
ss, netstat
Dienst prüfen
services.msc, sc, PowerShell
systemctl
Logs prüfen
Ereignisanzeige
journalctl
Merksatz:
Gleiche Aufgabe,
anderes Werkzeug je nach Betriebssystem.
ping
ping testet Erreichbarkeit per ICMP.
Wichtig:
fehlgeschlagener ping beweist nicht automatisch,
dass ein Ziel offline ist.
Mögliche Ursachen:
ICMP blockiert
Firewall
Routingproblem
DNS-Problem
Ziel offline
Paketverlust
Merksatz:
ping ist ein Hinweis,
aber kein vollständiger Diensttest.
DNS-Prüfung
DNS wird geprüft mit:
nslookup
oder
dig
Typische Regel:
IP funktioniert,
Name nicht:
DNS prüfen.
Merksatz:
DNS-Probleme sind häufige Ursachen für Verbindungsfehler.
tracert und traceroute
tracert oder traceroute zeigen den Weg zum Ziel über Zwischenstationen.
Wichtig:
Nicht jeder Hop muss antworten.
Sternchen bedeuten nicht automatisch Ausfall.
Merksatz:
Traceroute-Ausgaben müssen interpretiert werden.
netstat und ss
netstat und ss zeigen Netzwerkverbindungen und lauschende Ports.
Wichtige Zustände:
LISTEN:
Dienst wartet auf Verbindungen.
ESTABLISHED:
Verbindung besteht.
Merksatz:
Offene Ports zeigen mögliche Dienstzugänge.
localhost und 0.0.0.0
127.0.0.1:
nur lokal auf demselben System erreichbar
0.0.0.0:
Dienst lauscht auf allen IPv4-Schnittstellen
Merksatz:
127.0.0.1 ist lokal.
0.0.0.0 ist überall auf dem Host.
curl
curl testet Webdienste und APIs.
Nützlich für:
HTTP-Statuscode
Header
Weiterleitungen
HTTPS
API-Antwort
Erreichbarkeit
Merksatz:
curl prüft Webdienste direkter als ein Browser.
systemctl und journalctl
systemctl:
Dienste prüfen und verwalten
journalctl:
systemd-Logs anzeigen
Merksatz:
systemctl zeigt Dienststatus.
journalctl zeigt passende Logs.
Dateiübertragung und Freigaben
Dateiübertragung und Freigaben müssen sicher geplant werden.
Zu klären:
Wer braucht Zugriff?
Welche Daten?
Welche Rechte?
Wie lange?
Intern oder extern?
Wird protokolliert?
Wird verschlüsselt übertragen?
Merksatz:
Keine Freigabe ohne Zweck und Berechtigung.
SMB
SMB steht für:
Server Message Block
Typische Nutzung:
Windows-Dateifreigaben
Netzlaufwerke
Druckerfreigaben
Standardport:
TCP 445
Merksatz:
SMB ist typisch für Windows-Dateifreigaben.
NFS
NFS steht für:
Network File System
Typische Nutzung:
Unix- und Linux-Freigaben
Serverfreigaben
Virtualisierungsspeicher
Backup-Ziele
Merksatz:
NFS ist typisch für Unix- und Linux-Umgebungen.
FTP, FTPS, SFTP und SCP
Protokoll
Grundlage
Verschlüsselung
FTP
FTP
nein
FTPS
FTP plus TLS
ja
SFTP
SSH
ja
SCP
SSH
ja
Merksatz:
FTP ist unverschlüsselt.
FTPS ist FTP mit TLS.
SFTP ist Dateiübertragung über SSH.
SCP kopiert über SSH.
Synchronisation ist kein Backup
Synchronisation hält Daten an mehreren Orten gleich.
Problem:
Löschung,
Fehler
oder Ransomware-Verschlüsselung
können mitsynchronisiert werden.
Merksatz:
Synchronisation ist kein Backup.
Backup
Backup bedeutet:
Sicherung von Daten,
Systemen
oder Konfigurationen.
Restore bedeutet:
Wiederherstellung aus einer Sicherung.
Merksatz:
Backup ist die Sicherung.
Restore ist die Wiederherstellung.
Restore-Test
Ein Restore-Test prüft,
ob Wiederherstellung wirklich funktioniert.
Zu prüfen:
Daten vollständig?
Anwendung startet?
Rechte korrekt?
Datenbank konsistent?
Schlüssel vorhanden?
Zeit akzeptabel?
Merksatz:
Nur getestete Backups sind verlässlich.
Backup-Arten
Backup-Art
Bedeutung
Vollbackup
sichert alles
inkrementell
Änderungen seit letztem Backup
differenziell
Änderungen seit letztem Vollbackup
Snapshot
Momentaufnahme
Image-Backup
vollständiges Systemabbild
dateibasiert
ausgewählte Dateien und Ordner
Merksatz:
Backup-Art nach Wiederherstellungsziel wählen.
RPO und RTO
RPO:
Recovery Point Objective
maximal akzeptabler Datenverlust
RTO:
Recovery Time Objective
maximal akzeptable Wiederherstellungszeit
Merksatz:
RPO = Datenverlust.
RTO = Wiederherstellungszeit.
3-2-1-Regel
Die 3-2-1-Regel lautet:
3 Kopien
2 unterschiedliche Speicherarten
1 Kopie extern oder getrennt
Merksatz:
3-2-1 reduziert das Risiko,
dass alle Kopien gleichzeitig verloren gehen.
Immutable und Offline Backup
Immutable Backup:
kann für eine festgelegte Zeit nicht verändert oder gelöscht werden
Offline Backup:
ist nicht dauerhaft verbunden
Vorteil:
besserer Schutz gegen Ransomware und Manipulation
Merksatz:
Backups müssen vor Angreifern geschützt werden.
Redundanz, Replikation und Backup unterscheiden
Begriff
Ziel
Backup
Wiederherstellung alter Zustände
Redundanz
Ausfall abfedern
Replikation
Daten aktuell auf zweites System kopieren
Merksatz:
Redundanz und Replikation ersetzen kein Backup.
Dokumentation
Dokumentation beschreibt Systeme,
Netzwerke,
Dienste,
Rechte,
Änderungen
und Notfallmaßnahmen.
Typische Inhalte:
Systeme
IP-Adressen
Hostnamen
Dienste
Ports
Firewall-Regeln
VLANs
DNS-Einträge
Zertifikate
Backups
Verantwortliche
Runbooks
Merksatz:
Gute Dokumentation macht Betrieb nachvollziehbar.
Netzplan
Ein Netzplan zeigt die Netzwerkstruktur.
Physischer Netzplan:
Geräte,
Kabel,
Ports,
Racks,
Standorte
Logischer Netzplan:
VLANs,
Subnetze,
Routing,
Firewall-Zonen,
Dienste
Merksatz:
Physisch zeigt Verkabelung.
Logisch zeigt Kommunikationsstruktur.
IPAM
IPAM steht für:
IP Address Management
IPAM verwaltet IP-Adressen,
Subnetze
und Zuordnungen.
Merksatz:
IPAM verhindert IP-Chaos und IP-Konflikte.
Runbook und SOP
Runbook:
Schritt-für-Schritt-Anleitung für konkrete Aufgaben oder Störungen
SOP:
Standard Operating Procedure,
standardisierter Ablauf
Merksatz:
Runbook hilft bei konkreter Ausführung.
SOP beschreibt standardisierte Vorgehensweise.
Change Management
Change Management bedeutet:
Änderungen werden geplant,
bewertet,
freigegeben,
umgesetzt,
getestet
und dokumentiert.
Merksatz:
Change Management verhindert unkontrollierte Änderungen.
Change-Arten
Change-Art
Bedeutung
Standard Change
bekannte risikoarme Routineänderung
Normal Change
geplante Änderung mit Prüfung
Emergency Change
dringende Änderung
Merksatz:
Emergency Change ist dringend,
aber nicht dokumentationsfrei.
Change Request
Ein Change Request ist ein Änderungsantrag.
Typische Inhalte:
Beschreibung
Grund
betroffene Systeme
Risiko
Zeitpunkt
Testplan
Rollback-Plan
Freigabe
Kommunikation
Merksatz:
Change Request beschreibt,
was geändert werden soll und warum.
Rollback-Plan
Ein Rollback-Plan beschreibt,
wie eine Änderung zurückgenommen wird.
Beispiele:
Backup zurückspielen
Snapshot zurücksetzen
alte Konfiguration wiederherstellen
alte Version installieren
DNS zurücksetzen
Firewall-Regel entfernen
Merksatz:
Vor Änderung wissen,
wie man zurückkommt.
CMDB
CMDB steht für:
Configuration Management Database
Sie enthält Informationen über verwaltete IT-Elemente und deren Beziehungen.
Beispiele:
Server
Anwendung
Datenbank
Firewall
Zertifikat
Lizenz
Dienst
Merksatz:
CMDB zeigt,
welche IT-Elemente zusammenhängen.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist Netzwerkadministration?
- Was ist Remotezugriff?
- Was ist SSH?
- Welchen Port nutzt SSH?
- Was ist RDP?
- Welchen Port nutzt RDP?
- Warum sollte RDP nicht offen im Internet stehen?
- Was ist ein Bastion Host?
- Was ist ein Managementnetz?
- Was ist Out-of-Band-Management?
- Warum sind persönliche Konten wichtig?
- Warum sind Sammelkonten problematisch?
- Was ist RBAC?
- Was ist ABAC?
- Was ist der Unterschied zwischen Authentifizierung und Autorisierung?
- Was bedeutet Least Privilege?
- Was ist ein Dienstkonto?
- Was ist Offboarding?
- Warum sind Logs wichtig?
- Was ist der Unterschied zwischen Logging und Monitoring?
- Warum ist NTP für Logs wichtig?
- Was macht ping?
- Was prüft nslookup?
- Was prüft traceroute?
- Was zeigen netstat oder ss?
- Was ist SMB?
- Was ist SFTP?
- Warum ist FTP unsicher?
- Warum ist Synchronisation kein Backup?
- Was ist Backup?
- Was ist Restore?
- Was bedeutet RPO?
- Was bedeutet RTO?
- Was ist die 3-2-1-Regel?
- Was ist ein Netzplan?
- Was ist IPAM?
- Was ist Change Management?
- Was ist ein Rollback-Plan?
- Was ist eine CMDB?
Typische Prüfungsfallen
SSH ist verschlüsselt,
aber nicht automatisch sicher konfiguriert.
SSH nutzt TCP 22.
RDP nutzt TCP 3389.
RDP nicht direkt öffentlich bereitstellen.
VPN ersetzt keine Rechteverwaltung.
Bastion Host ist ein Sprungserver.
Managementnetz vom Clientnetz trennen.
Out-of-Band-Zugriff ist besonders kritisch.
Sammelkonten vermeiden.
Admin- und Alltagskonto trennen.
Authentifizierung und Autorisierung unterscheiden.
Least Privilege gilt auch für Administratoren.
Dienstkonten brauchen minimale Rechte.
Offboarding muss alle Zugänge entfernen.
Logs zeigen Ereignisse.
Monitoring zeigt Zustände.
Alerting meldet kritische Abweichungen.
Ohne NTP sind Logzeiten schwer vergleichbar.
Dienst läuft nicht automatisch gleich Anwendung funktioniert.
ping prüft ICMP,
nicht jeden Dienst.
Kein ping kann Firewall sein.
IP funktioniert,
Name nicht:
DNS prüfen.
Offener Port bedeutet nicht Anwendung gesund.
127.0.0.1 ist nur lokal.
FTP ist unverschlüsselt.
SFTP ist nicht FTPS.
SMB nutzt TCP 445.
Synchronisation ist kein Backup.
Replikation ist kein Backup.
Redundanz ist kein Backup.
Backup ohne Restore-Test ist unsicher.
RPO ist Datenverlust.
RTO ist Wiederherstellungszeit.
Snapshot ist nicht automatisch Backup.
Dokumentation muss aktuell sein.
Secrets gehören nicht in Klartextdokumentation.
Emergency Change muss nachträglich dokumentiert werden.
Rollback vor Änderung planen.
Wichtige Begriffe kurz erklärt
Begriff
Kurze Erklärung
Netzwerkadministration
Verwaltung von Netzwerken und Systemen
Systemzugriff
Zugriff auf ein IT-System
Remotezugriff
Zugriff aus der Ferne
SSH
verschlüsselter Kommandozeilenzugriff
RDP
grafischer Windows-Fernzugriff
VPN
verschlüsselter Zugang ins interne Netz
Bastion Host
geschützter Sprungserver
Jump Server
Zwischensystem für Administration
Managementnetz
getrenntes Verwaltungsnetz
Out-of-Band
separater Verwaltungsweg
Benutzerkonto
digitale Identität
Gruppe
Zusammenfassung von Benutzern
Rolle
Aufgabe mit Rechten
RBAC
rollenbasierte Zugriffskontrolle
ABAC
attributbasierte Zugriffskontrolle
Authentifizierung
Identität prüfen
Autorisierung
Rechte prüfen
Least Privilege
minimale notwendige Rechte
Dienstkonto
technische Identität
Offboarding
Entfernen alter Zugänge
Log
protokolliertes Ereignis
Monitoring
Überwachung von Zuständen
Alerting
automatische Alarmierung
NTP
Zeitsynchronisation
Health Check
Dienstgesundheitsprüfung
ping
ICMP-Erreichbarkeitstest
nslookup
DNS-Prüfung
dig
detaillierte DNS-Prüfung
tracert
Windows-Wegverfolgung
traceroute
Wegverfolgung unter Linux/macOS
netstat
Netzwerkverbindungen anzeigen
ss
Socketanzeige unter Linux
curl
Web- und API-Test
SMB
Windows-Dateifreigabeprotokoll
NFS
Network File System
FTP
unverschlüsselte Dateiübertragung
FTPS
FTP mit TLS
SFTP
Dateiübertragung über SSH
SCP
Kopieren über SSH
Backup
Sicherung
Restore
Wiederherstellung
RPO
maximaler Datenverlust
RTO
maximale Wiederherstellungszeit
Immutable Backup
unveränderliches Backup
Snapshot
Momentaufnahme
Redundanz
mehrfach vorhandene Komponenten
Replikation
Kopie aktueller Daten
Dokumentation
nachvollziehbare Beschreibung
Netzplan
grafische Netzwerkdarstellung
IPAM
IP-Adressverwaltung
Runbook
Schritt-für-Schritt-Anleitung
SOP
Standardprozess
Change Management
kontrollierter Änderungsprozess
Rollback
Rücknahme einer Änderung
CMDB
Datenbank verwalteter IT-Elemente
IHK-sichere Gesamtformulierung
Netzwerkadministration umfasst den sicheren Betrieb und die Verwaltung von Systemen, Netzwerken, Diensten, Benutzern, Zugängen und Konfigurationen. Remotezugriffe wie SSH und RDP müssen durch VPN, Bastion Hosts, Managementnetze, MFA, Logging und Least Privilege abgesichert werden. Benutzer sollten persönliche Konten nutzen, Rechte sollten über Gruppen und Rollen vergeben und regelmäßig geprüft werden. Logs, Monitoring, Alerting und NTP sind wichtig für Fehlersuche, Sicherheit und Nachvollziehbarkeit. Netzwerkbefehle wie ping, nslookup, traceroute, netstat, ss, curl, ipconfig, ip addr, route print und ip route helfen bei systematischer Analyse. Dateiübertragung und Freigaben müssen verschlüsselt, berechtigt und dokumentiert erfolgen. Backups müssen geschützt, überwacht und durch Restore-Tests geprüft werden. Dokumentation und Change Management stellen sicher, dass Systeme nachvollziehbar betrieben und Änderungen kontrolliert durchgeführt werden.
Wichtigste Merksätze
Netzwerkadministration ist laufender Betrieb.
Adminzugänge besonders schützen.
Remotezugriff ist sicherheitskritisch.
SSH nutzt TCP 22.
RDP nutzt TCP 3389.
RDP nicht offen ins Internet stellen.
VPN schützt Zugang,
ersetzt aber keine Rechte.
Bastion Host schützt interne Systeme.
Managementnetz trennt Verwaltung.
Persönliche Konten statt Sammelkonten.
Admin- und Alltagskonto trennen.
RBAC arbeitet mit Rollen.
ABAC arbeitet mit Eigenschaften.
Authentifizierung fragt:
Wer bist du?
Autorisierung fragt:
Was darfst du?
Least Privilege gilt immer.
Dienstkonten rechtearm betreiben.
Offboarding entfernt alte Zugänge.
Logs zeigen Ereignisse.
Monitoring zeigt Zustände.
Alerting meldet Probleme.
NTP macht Logs vergleichbar.
Dienst läuft nicht automatisch gleich Dienst funktioniert.
ping prüft ICMP.
DNS mit nslookup oder dig prüfen.
traceroute zeigt den Weg.
netstat und ss zeigen Verbindungen.
curl prüft Webdienste.
SMB nutzt TCP 445.
FTP ist unsicher,
weil unverschlüsselt.
SFTP nutzt SSH.
FTPS nutzt FTP mit TLS.
Synchronisation ist kein Backup.
Backup ohne Restore-Test ist unsicher.
RPO ist Datenverlust.
RTO ist Wiederherstellungszeit.
Replikation ersetzt kein Backup.
Redundanz ersetzt kein Backup.
Dokumentation muss aktuell sein.
Change Management kontrolliert Änderungen.
Rollback vor Änderung planen.
Notfallzugänge streng schützen.
Sichere Administration braucht Technik,
Prozesse,
Rechte,
Logs
und Dokumentation.
17.10 Prüfungsvorbereitung und Wiederholung
Prüfungsvorbereitung und Wiederholung
Dieses Kapitel dient zur gezielten Wiederholung vor der Prüfung.
Es verbindet die wichtigsten Themen aus:
- Netzwerktechnik
- OSI-Modell
- TCP/IP
- IP-Adressierung
- Subnetting
- Routing
- Switching
- VLAN
- DNS
- DHCP
- Firewalls
- NAT
- VPN
- Cloud
- Sicherheit
- Administration
- Fehlersuche
Merksatz:
Prüfungsvorbereitung bedeutet nicht nur Auswendiglernen,
sondern Zusammenhänge erkennen.
Warum Wiederholung wichtig ist
Viele Prüfungsthemen hängen zusammen.
Beispiel:
Ein Client kommt nicht ins Internet.
Dafür können mehrere Themen relevant sein:
IP-Adresse
Subnetzmaske
Gateway
DNS
DHCP
Routing
Firewall
NAT
VLAN
WLAN
Proxy
VPN
Dienstverfügbarkeit
Merksatz:
In der Prüfung wird selten nur ein einzelnes Thema isoliert geprüft.
Typische Prüfungslogik
Prüfungsaufgaben fragen oft nicht direkt:
Was ist DNS?
Sondern eher:
Ein Client kann eine Webseite nicht über den Namen erreichen,
aber die IP-Adresse funktioniert.
Welche Ursache ist wahrscheinlich?
Gesuchte Antwort:
DNS-Problem
Merksatz:
Prüfungen testen Anwendung von Wissen,
nicht nur Definitionen.
Wichtigste Grundregel bei Netzwerkfehlern
Immer systematisch prüfen:
1. Physische Verbindung
2. IP-Konfiguration
3. Gateway
4. DNS
5. Routing
6. Firewall
7. Dienst
8. Anwendung
9. Logs
10. Änderungen
Merksatz:
Erst Grundlagen,
dann Spezialfälle.
OSI-Modell als Prüfungswerkzeug
Das OSI-Modell hilft,
Fehler schichtweise einzugrenzen.
OSI-Schicht
Name
Typische Prüfung
1
Bitübertragung
Kabel, Signal, Link
2
Sicherung
MAC, Switch, VLAN, ARP
3
Vermittlung
IP, Routing, ICMP
4
Transport
TCP, UDP, Ports
5
Sitzung
Session, Verbindungssitzung
6
Darstellung
TLS, Codierung, Verschlüsselung
7
Anwendung
DNS, DHCP, HTTP, SMTP, SMB
Merksatz:
OSI hilft,
Fehler strukturiert zu suchen.
TCP/IP-Modell wiederholen
Das TCP/IP-Modell ist praxisnaher als das OSI-Modell.
TCP/IP-Schicht
Entspricht grob OSI
Beispiele
Anwendung
OSI 5 bis 7
HTTP, DNS, SMTP, DHCP
Transport
OSI 4
TCP, UDP
Internet
OSI 3
IP, ICMP, Routing
Netzzugang
OSI 1 bis 2
Ethernet, WLAN, MAC
Merksatz:
TCP/IP ist das praktische Internetmodell.
Kapselung wiederholen
Beim Senden werden Daten schrittweise verpackt.
Beispiel:
Anwendung erzeugt Daten.
TCP ergänzt Portinformationen.
IP ergänzt IP-Adressen.
Ethernet ergänzt MAC-Adressen.
Bits werden übertragen.
Beim Empfangen wird alles wieder entpackt.
Merksatz:
Kapselung bedeutet:
Jede Schicht ergänzt eigene Steuerinformationen.
PDU-Begriffe wiederholen
Schicht
Einheit
Anwendung
Daten
Transport
Segment oder Datagramm
Internet / Netzwerk
Paket
Sicherung
Frame
Bitübertragung
Bits
Merksatz:
Daten werden zu Segmenten,
Paketen,
Frames
und Bits.
MAC-Adresse wiederholen
Eine MAC-Adresse arbeitet auf Schicht 2.
Sie dient der lokalen Zustellung im selben Netzwerksegment.
Wichtig:
MAC-Adressen werden von Switches genutzt.
MAC-Adressen ändern sich an jedem Router-Hop.
MAC-Adressen sind nicht für Routing über Netze hinweg zuständig.
Merksatz:
MAC-Adresse = lokale Zustellung im LAN.
IP-Adresse wiederholen
Eine IP-Adresse arbeitet auf Schicht 3.
Sie dient der logischen Adressierung über Netzgrenzen hinweg.
Wichtig:
IP-Adressen werden für Routing genutzt.
IP-Adressen bestehen aus Netzanteil und Hostanteil.
Subnetzmaske oder Präfix bestimmt die Aufteilung.
Merksatz:
IP-Adresse = logische Adresse für Routing.
Port wiederholen
Ports arbeiten auf Schicht 4.
Sie ordnen Netzwerkverkehr einem Dienst oder Prozess zu.
Beispiele:
TCP 80 HTTP
TCP 443 HTTPS
TCP 22 SSH
TCP 3389 RDP
TCP 25 SMTP
UDP 53 DNS
UDP 67 und 68 DHCP
Merksatz:
Port = Dienstadresse auf einem Host.
MAC, IP und Port unterscheiden
Begriff
Schicht
Aufgabe
MAC-Adresse
2
lokale Zustellung im LAN
IP-Adresse
3
logische Adressierung und Routing
Port
4
Zuordnung zu Dienst oder Anwendung
Merksatz:
MAC findet Gerät im lokalen Netz.
IP findet Netz und Host.
Port findet Dienst.
IPv4-Grundlagen wiederholen
IPv4-Adressen bestehen aus 32 Bit.
Sie werden meist dezimal in vier Oktetten dargestellt.
Beispiel:
192.168.1.10
Dazu gehört eine Subnetzmaske oder Präfixlänge.
Beispiel:
192.168.1.10/24
Merksatz:
IPv4-Adresse plus Präfix bestimmt Netz und Host.
Private IPv4-Adressbereiche
Wichtige private IPv4-Bereiche:
Bereich
CIDR
10.0.0.0 bis 10.255.255.255
10.0.0.0/8
172.16.0.0 bis 172.31.255.255
172.16.0.0/12
192.168.0.0 bis 192.168.255.255
192.168.0.0/16
Merksatz:
Private IP-Adressen werden im Internet nicht direkt geroutet.
Subnetzmaske wiederholen
Die Subnetzmaske trennt Netzanteil und Hostanteil.
Beispiel:
/24 bedeutet:
24 Bit Netzanteil,
8 Bit Hostanteil
Bei IPv4 gilt:
Hostanzahl = 2 hoch Hostbits minus 2
Das minus 2 steht meist für:
Netzadresse
und
Broadcastadresse
Merksatz:
Mehr Hostbits bedeuten mehr mögliche Hosts.
Häufige Präfixe
Präfix
Maske
Adressen
nutzbare Hosts
/24
255.255.255.0
256
254
/25
255.255.255.128
128
126
/26
255.255.255.192
64
62
/27
255.255.255.224
32
30
/28
255.255.255.240
16
14
/29
255.255.255.248
8
6
/30
255.255.255.252
4
2
Merksatz:
Pro zusätzlichem Netzbit halbiert sich die Hostanzahl.
Subnetting-Grundregel
Wenn der Präfix größer wird:
mehr Netzbits
weniger Hostbits
kleinere Subnetze
Wenn der Präfix kleiner wird:
weniger Netzbits
mehr Hostbits
größere Subnetze
Merksatz:
/25 ist kleiner als /24.
/23 ist größer als /24.
Broadcast wiederholen
Die Broadcastadresse ist die letzte Adresse eines IPv4-Subnetzes.
Sie dient dazu,
alle Hosts im Subnetz zu erreichen.
Beispiel bei:
192.168.1.0/24
Broadcast:
192.168.1.255
Merksatz:
Broadcast = letzte Adresse im IPv4-Subnetz.
Netzadresse wiederholen
Die Netzadresse ist die erste Adresse eines Subnetzes.
Sie beschreibt das Netzwerk selbst.
Beispiel bei:
192.168.1.0/24
Netzadresse:
192.168.1.0
Merksatz:
Netzadresse = erste Adresse im Subnetz.
Erste und letzte nutzbare Adresse
Bei einem normalen IPv4-Subnetz gilt:
erste nutzbare Adresse:
Netzadresse plus 1
letzte nutzbare Adresse:
Broadcastadresse minus 1
Beispiel:
Netz:
192.168.1.0/24
erste nutzbare:
192.168.1.1
letzte nutzbare:
192.168.1.254
Merksatz:
Erste nutzbare = Netzadresse + 1.
Letzte nutzbare = Broadcast - 1.
Gateway wiederholen
Das Standardgateway ist der Router,
über den ein Host andere Netze erreicht.
Ohne Gateway funktioniert meist nur Kommunikation im eigenen Subnetz.
Merksatz:
Gateway = Ausgang in andere Netze.
DNS wiederholen
DNS übersetzt Namen in IP-Adressen.
Beispiel:
www.example.com
wird zu:
IP-Adresse
Typische Fehler:
falscher DNS-Server
DNS-Server nicht erreichbar
falscher DNS-Eintrag
DNS-Cache veraltet
Split-DNS bei VPN falsch
Merksatz:
Wenn IP funktioniert,
aber Name nicht:
DNS prüfen.
DHCP wiederholen
DHCP verteilt automatisch Netzwerkkonfiguration.
Typische Informationen:
IP-Adresse
Subnetzmaske
Gateway
DNS-Server
Lease-Zeit
Merksatz:
DHCP nimmt Clients die manuelle IP-Konfiguration ab.
DHCP-Ablauf DORA
DORA steht für:
Discover
Offer
Request
Acknowledge
Ablauf:
Client sucht DHCP-Server.
Server bietet Adresse an.
Client fordert Adresse an.
Server bestätigt die Vergabe.
Merksatz:
DHCP-DORA = Discover,
Offer,
Request,
Acknowledge.
ARP wiederholen
ARP löst IPv4-Adresse in MAC-Adresse auf.
Es funktioniert im lokalen Netz.
Beispiel:
Wer hat 192.168.1.1?
Antwort:
MAC-Adresse des Gateways
Merksatz:
ARP verbindet IPv4 und MAC im lokalen Netz.
Switching wiederholen
Ein Switch arbeitet hauptsächlich auf Schicht 2.
Er lernt MAC-Adressen an Ports
und leitet Frames passend weiter.
Wenn die Ziel-MAC unbekannt ist,
wird geflutet.
Merksatz:
Switch lernt MAC-Adressen und baut eine MAC-Adresstabelle.
VLAN wiederholen
VLANs trennen ein physisches Netzwerk logisch in mehrere getrennte Netze.
Vorteile:
bessere Struktur
weniger Broadcastverkehr pro Segment
Sicherheitszonen
Trennung von Abteilungen
Trennung von Gastnetz und internem Netz
Merksatz:
VLAN trennt logisch auf Schicht 2.
Access-Port und Trunk-Port
Access-Port:
gehört zu einem VLAN
meist für Endgeräte
Trunk-Port:
transportiert mehrere VLANs
meist zwischen Switches,
Router
oder Firewall
Merksatz:
Access = ein VLAN.
Trunk = mehrere VLANs.
Routing wiederholen
Routing verbindet verschiedene IP-Netze.
Router entscheiden anhand der Routing-Tabelle,
wohin Pakete weitergeleitet werden.
Merksatz:
Routing verbindet Netze.
Routing-Tabelle wiederholen
Eine Routing-Tabelle enthält:
Zielnetz
Gateway oder Next Hop
Interface
Metrik
Wichtig:
Die spezifischste passende Route gewinnt.
Merksatz:
Routing-Tabelle bestimmt den nächsten Weg.
ICMP wiederholen
ICMP wird für Kontroll- und Fehlermeldungen genutzt.
Typische Werkzeuge:
ping
traceroute
Merksatz:
ICMP hilft bei Diagnose,
ist aber kein Transportprotokoll für Anwendungen.
TCP wiederholen
TCP ist verbindungsorientiert und zuverlässig.
Eigenschaften:
Verbindungsaufbau
Reihenfolge
Bestätigung
Wiederholung verlorener Daten
Flusskontrolle
Fehlererkennung
Merksatz:
TCP = zuverlässig und verbindungsorientiert.
UDP wiederholen
UDP ist verbindungslos und schlanker.
Eigenschaften:
kein Verbindungsaufbau
keine eingebaute Zustellgarantie
wenig Overhead
schnell
Typische Anwendungen:
DNS
DHCP
VoIP
Streaming
Gaming
Merksatz:
UDP = schnell und verbindungslos.
TCP und UDP vergleichen
Merkmal
TCP
UDP
Verbindung
verbindungsorientiert
verbindungslos
Zuverlässigkeit
hoch
keine eingebaute Garantie
Reihenfolge
wird gesichert
nicht garantiert
Overhead
höher
geringer
Beispiele
HTTP, HTTPS, SSH, SMTP
DNS, DHCP, VoIP
Merksatz:
TCP sicherer in der Zustellung.
UDP schneller und einfacher.
NAT wiederholen
NAT steht für:
Network Address Translation
NAT übersetzt IP-Adressen.
Häufigster Fall:
private interne IP-Adressen werden beim Internetzugriff in eine öffentliche IP-Adresse übersetzt.
Merksatz:
NAT übersetzt Adressen.
PAT wiederholen
PAT steht für:
Port Address Translation
Dabei nutzen viele interne Geräte eine öffentliche IP-Adresse
und werden über Ports unterschieden.
Merksatz:
PAT ermöglicht vielen Clients Internetzugriff über eine öffentliche IP.
Portweiterleitung wiederholen
Portweiterleitung leitet eingehenden Verkehr von außen an einen internen Dienst weiter.
Beispiel:
Extern TCP 443
wird weitergeleitet zu
internem Webserver TCP 443
Merksatz:
Portweiterleitung macht interne Dienste von außen erreichbar.
Firewall wiederholen
Eine Firewall filtert Netzwerkverkehr anhand von Regeln.
Typische Kriterien:
Quelle
Ziel
Port
Protokoll
Richtung
Zustand
Benutzer je nach System
Anwendung je nach System
Merksatz:
Firewall entscheidet,
welcher Verkehr erlaubt oder blockiert wird.
DMZ wiederholen
Eine DMZ ist ein getrenntes Netzwerksegment für öffentlich erreichbare Dienste.
Beispiele:
Webserver
Reverse Proxy
Mail-Gateway
VPN-Gateway
Ziel:
interne Netze schützen
Merksatz:
DMZ trennt öffentliche Dienste vom internen Netz.
VPN wiederholen
VPN stellt einen verschlüsselten Tunnel her.
Typische Arten:
Remote-Access-VPN
Site-to-Site-VPN
Merksatz:
VPN verbindet Netze oder Benutzer sicher über unsichere Netze.
Cloud-Modelle wiederholen
Modell
Bedeutung
IaaS
virtuelle Infrastruktur
PaaS
Plattform für Anwendungen
SaaS
fertige Anwendung
Merksatz:
IaaS bietet Infrastruktur.
PaaS bietet Plattform.
SaaS bietet fertige Software.
Cloud-Bereitstellungsmodelle wiederholen
Modell
Bedeutung
Public Cloud
öffentlich angebotene Cloud
Private Cloud
Cloud für eine Organisation
Hybrid Cloud
Kombination aus lokal und Cloud
Multi Cloud
mehrere Cloud-Anbieter
Merksatz:
Hybrid beschreibt Mischung der Betriebsorte.
Multi Cloud beschreibt mehrere Anbieter.
Shared Responsibility wiederholen
In der Cloud teilen sich Anbieter und Kunde Verantwortung.
Grundidee:
Anbieter schützt die Cloud-Infrastruktur.
Kunde schützt seine Daten,
Identitäten,
Konfigurationen
und Zugriffe.
Merksatz:
Cloud-Anbieter übernimmt nicht automatisch alle Sicherheitsaufgaben.
Informationssicherheit wiederholen
Wichtige Schutzziele:
Vertraulichkeit
Integrität
Verfügbarkeit
Zusätzlich wichtig:
Authentizität
Nichtabstreitbarkeit
Merksatz:
CIA-Triade = Vertraulichkeit,
Integrität,
Verfügbarkeit.
Typische Angriffe wiederholen
Wichtige Angriffe:
Malware
Ransomware
Phishing
Social Engineering
DoS
DDoS
Man-in-the-Middle
Spoofing
SQL Injection
XSS
CSRF
Brute Force
Credential Stuffing
Merksatz:
Angriff immer dem betroffenen Schutzziel zuordnen.
Typische Schutzmaßnahmen wiederholen
Wichtige Schutzmaßnahmen:
Patchmanagement
Hardening
Firewall
IDS
IPS
EDR
SIEM
MFA
Backup
Netzwerksegmentierung
Least Privilege
Monitoring
Logging
Schulung
Incident Response
Merksatz:
Sicherheit entsteht durch mehrere Schutzschichten.
Backup wiederholen
Backup bedeutet:
Sicherung von Daten,
Systemen
oder Konfigurationen.
Restore bedeutet:
Wiederherstellung aus Backup.
Wichtig:
Backup ohne Restore-Test ist unsicher.
Merksatz:
Backup ist erst sicher,
wenn Restore getestet wurde.
RPO und RTO wiederholen
RPO:
maximal akzeptabler Datenverlust
RTO:
maximal akzeptable Wiederherstellungszeit
Merksatz:
RPO = Datenverlust.
RTO = Wiederherstellungszeit.
Prüfungsvorgehen bei Rechenaufgaben
Bei Rechenaufgaben wichtig:
Einheiten beachten.
Bits und Bytes unterscheiden.
Mbit/s und MB/s nicht verwechseln.
Netzadresse und Broadcast prüfen.
Hostanzahl mit Hostbits berechnen.
Zwischenschritte sauber notieren.
Ergebnis auf Plausibilität prüfen.
Merksatz:
Viele Fehler entstehen durch Einheiten und Präfixe.
Bit und Byte wiederholen
1 Byte besteht aus:
8 Bit
Beispiele:
100 Mbit/s
ist nicht dasselbe wie:
100 MB/s
Umrechnung:
Bit durch 8 = Byte
Byte mal 8 = Bit
Merksatz:
Bit ist klein b.
Byte ist großes B.
Typische Einheitenfallen
Schreibweise
Bedeutung
b
Bit
B
Byte
kbit
Kilobit
kB
Kilobyte
Mbit
Megabit
MB
Megabyte
Gbit
Gigabit
GB
Gigabyte
Merksatz:
Großes B ist Byte.
Kleines b ist Bit.
Prüfungsstrategie bei Fehlersuche
Bei Fehlersuche:
Problem genau lesen.
Symptome markieren.
Betroffene Systeme erkennen.
Funktioniert IP?
Funktioniert DNS?
Ist Gateway korrekt?
Ist Dienst erreichbar?
Ist Port offen?
Gibt es Firewall-Regeln?
Gab es Änderungen?
Was ist die wahrscheinlichste Ursache?
Merksatz:
Symptome zuerst,
Lösung danach.
Signalwörter in Prüfungsaufgaben
Typische Signalwörter:
Signalwort
Hinweis
IP geht, Name nicht
DNS
lokal geht, Internet nicht
Gateway oder NAT
nur ein VLAN betroffen
VLAN oder Routing
nur ein Dienst betroffen
Port, Dienst, Firewall
alle Dienste langsam
Netzwerk, Last, DNS oder Speicher
Anmeldung schlägt fehl
Authentifizierung oder Konto
Zugriff verweigert
Autorisierung oder Rechte
Zertifikatswarnung
Zertifikat, Hostname oder Zeit
nach Update defekt
Änderung, Version, Kompatibilität
nur extern nicht erreichbar
Firewall, NAT, DNS, Provider
Merksatz:
Signalwörter zeigen die Richtung der Fehlersuche.
Typische IHK-Prüfungsfallen
OSI-Schichten verwechseln.
TCP und UDP verwechseln.
MAC,
IP
und Port verwechseln.
DNS und DHCP verwechseln.
NAT und Portweiterleitung verwechseln.
Firewall und Router verwechseln.
VLAN trennt Schicht 2,
Routing verbindet Netze.
ping prüft ICMP,
nicht jeden Dienst.
Kein ping bedeutet nicht automatisch Ziel offline.
IP funktioniert,
Name nicht:
DNS prüfen.
RDP nutzt TCP 3389.
SSH nutzt TCP 22.
SMB nutzt TCP 445.
HTTPS nutzt TCP 443.
DHCP nutzt UDP 67 und 68.
DNS nutzt häufig UDP 53,
je nach Fall auch TCP 53.
FTP ist unverschlüsselt.
SFTP ist nicht FTPS.
Backup,
Replikation
und Synchronisation unterscheiden.
RPO und RTO unterscheiden.
Authentifizierung und Autorisierung unterscheiden.
Least Privilege nicht mit Need to Know verwechseln.
Prüfungsantworten kurz und fachlich formulieren
Eine gute Prüfungsantwort ist:
fachlich korrekt
kurz
begründet
auf die Aufgabe bezogen
ohne unnötiges Ausschweifen
Schlechtes Beispiel:
Vielleicht liegt es am Internet.
Besser:
Da die Verbindung zur IP-Adresse funktioniert,
aber die Namensauflösung fehlschlägt,
liegt wahrscheinlich ein DNS-Problem vor.
Merksatz:
Antwort immer aus dem Fehlerbild begründen.
Beispiel: DNS-Fehler erkennen
Fehlerbild:
Webseite ist per IP erreichbar,
aber nicht per Namen.
Wahrscheinliche Ursache:
DNS-Problem
Prüfung:
DNS-Server prüfen
nslookup oder dig nutzen
DNS-Cache prüfen
richtigen DNS-Server konfigurieren
Merksatz:
IP ja,
Name nein:
DNS.
Beispiel: Gateway-Fehler erkennen
Fehlerbild:
Client erreicht lokale Systeme,
aber keine externen Netze.
Wahrscheinliche Ursache:
Standardgateway fehlt oder ist falsch.
Prüfung:
IP-Konfiguration prüfen
Gateway prüfen
Routing-Tabelle prüfen
Gateway anpingen
Merksatz:
Lokal ja,
extern nein:
Gateway prüfen.
Beispiel: Firewall-Fehler erkennen
Fehlerbild:
Server ist erreichbar,
aber bestimmter Dienst nicht.
Mögliche Ursache:
Port wird blockiert
Dienst läuft nicht
Firewall-Regel fehlt
Prüfung:
Dienststatus prüfen
Port prüfen
Firewall-Regeln prüfen
Logs prüfen
Merksatz:
Host erreichbar,
Dienst nicht:
Port,
Dienst
und Firewall prüfen.
Beispiel: Rechteproblem erkennen
Fehlerbild:
Benutzer kann sich anmelden,
aber Datei nicht öffnen.
Wahrscheinliche Ursache:
Autorisierungs- oder Berechtigungsproblem
Prüfung:
Gruppenmitgliedschaft
Freigaberechte
Dateisystemrechte
ACL
Deny-Regeln
Merksatz:
Anmeldung erfolgreich,
Zugriff verweigert:
Rechte prüfen.
Beispiel: Zertifikatsproblem erkennen
Fehlerbild:
Browser meldet Zertifikatswarnung.
Mögliche Ursachen:
Zertifikat abgelaufen
Hostname passt nicht
Zertifikatskette unvollständig
Systemzeit falsch
falsches Zertifikat installiert
Merksatz:
Zertifikatsfehler:
Ablauf,
Name,
Kette
und Zeit prüfen.
Checkliste: letzte Wiederholung vor der Prüfung
OSI-Schichten sicher können.
TCP/IP-Modell sicher können.
MAC,
IP
und Port unterscheiden.
Private IP-Bereiche kennen.
Subnetting üben.
Netzadresse und Broadcast berechnen.
Gateway,
DNS
und DHCP unterscheiden.
TCP und UDP vergleichen.
Standardports wiederholen.
NAT,
PAT
und Portweiterleitung unterscheiden.
Firewall-Regeln verstehen.
VLAN und Routing unterscheiden.
VPN-Arten wiederholen.
Cloud-Modelle unterscheiden.
Sicherheitsangriffe zuordnen.
Schutzmaßnahmen nennen können.
Backup,
Restore,
RPO
und RTO unterscheiden.
Rechte,
Rollen
und Gruppen verstehen.
Logging,
Monitoring
und Alerting unterscheiden.
Fehlersuche systematisch erklären.
Merksatz:
Wer sauber zuordnet,
löst viele Prüfungsaufgaben sicherer.
IHK-sichere Kurzformulierung
In der Prüfungsvorbereitung sollten Netzwerkthemen nicht isoliert, sondern im Zusammenhang wiederholt werden. Das OSI-Modell hilft bei der strukturierten Fehlersuche, während das TCP/IP-Modell die praktische Kommunikation beschreibt. MAC-Adressen arbeiten auf Schicht 2, IP-Adressen auf Schicht 3 und Ports auf Schicht 4. DNS löst Namen auf, DHCP verteilt Netzwerkkonfiguration und das Gateway verbindet einen Host mit anderen Netzen. TCP ist verbindungsorientiert und zuverlässig, UDP ist verbindungslos und schlank. Firewalls filtern Verkehr, NAT übersetzt Adressen, VPNs verschlüsseln Verbindungen und Backups ermöglichen Wiederherstellung. Bei Prüfungsaufgaben sollten Symptome genau gelesen, Signalwörter erkannt und Lösungen fachlich kurz begründet werden.
Wichtigste Merksätze
Prüfungsvorbereitung heißt Zusammenhänge verstehen.
Erst Aufgabe lesen,
dann Lösung ableiten.
OSI hilft bei Fehlersuche.
TCP/IP beschreibt praktische Kommunikation.
Kapselung verpackt Daten schichtweise.
MAC ist Schicht 2.
IP ist Schicht 3.
Port ist Schicht 4.
MAC lokal,
IP logisch,
Port Dienst.
IPv4 hat 32 Bit.
Präfix bestimmt Netz- und Hostanteil.
Pro Netzbit weniger halbiert sich die Hostanzahl.
Pro Hostbit mehr verdoppelt sich die Hostanzahl.
Netzadresse ist erste Adresse.
Broadcast ist letzte Adresse.
Gateway führt in andere Netze.
DNS löst Namen auf.
DHCP verteilt IP-Konfiguration.
ARP löst IPv4 zu MAC auf.
Switch lernt MAC-Adressen.
VLAN trennt logisch.
Routing verbindet Netze.
ICMP hilft bei Diagnose.
TCP ist zuverlässig.
UDP ist schnell und verbindungslos.
NAT übersetzt Adressen.
PAT nutzt Ports zur Zuordnung.
Firewall filtert Verkehr.
DMZ trennt öffentliche Dienste.
VPN verschlüsselt Verbindungen.
IaaS,
PaaS
und SaaS unterscheiden.
Public,
Private,
Hybrid
und Multi Cloud unterscheiden.
Vertraulichkeit,
Integrität
und Verfügbarkeit unterscheiden.
Angriff dem Schutzziel zuordnen.
Schutzmaßnahmen kombinieren.
Backup ohne Restore-Test ist unsicher.
RPO ist Datenverlust.
RTO ist Wiederherstellungszeit.
Bit und Byte unterscheiden.
IP funktioniert,
Name nicht:
DNS prüfen.
Lokal geht,
extern nicht:
Gateway prüfen.
Host geht,
Dienst nicht:
Port,
Dienst
und Firewall prüfen.
Anmeldung geht,
Zugriff nicht:
Rechte prüfen.
Zertifikatsfehler:
Ablauf,
Name,
Kette
und Zeit prüfen.
Signalwörter erkennen.
Prüfungsantwort kurz,
fachlich
und begründet formulieren.
18. Prüfungsvorbereitung und Wiederholung
18.1 Prüfungsstrategie: Aufgaben richtig lesen und sicher beantworten
In Prüfungen reicht Fachwissen allein nicht aus.
Wichtig ist auch,
Aufgaben richtig zu lesen,
Signalwörter zu erkennen
und Antworten fachlich passend zu formulieren.
Viele Fehler entstehen nicht,
weil das Thema unbekannt ist,
sondern weil die Aufgabenstellung falsch verstanden wird.
Merksatz:
Erst verstehen,
dann antworten.
Warum Aufgabenlesen so wichtig ist
Prüfungsaufgaben enthalten oft Hinweise,
die direkt zur Lösung führen.
Diese Hinweise stehen zum Beispiel in:
Fehlerbeschreibung
IP-Konfiguration
Netzplan
Tabellen
Protokollausgabe
Logmeldung
Benutzerbeschreibung
Rahmenbedingungen
Einschränkungen
Formulierung der Frage
Merksatz:
Die Lösung steht oft indirekt schon in der Aufgabe.
Typischer Fehler: zu schnell antworten
Ein häufiger Prüfungsfehler ist:
Man erkennt ein bekanntes Stichwort
und antwortet sofort aus dem Gedächtnis.
Problem:
Die Aufgabe fragt vielleicht etwas anderes.
Beispiel:
In der Aufgabe steht DNS,
aber gefragt ist nicht:
Was ist DNS?
Sondern:
Warum funktioniert die Namensauflösung nur im VPN?
Dann geht es wahrscheinlich um:
Split-DNS
DNS-Server
VPN-Konfiguration
interne und externe Namensauflösung
Merksatz:
Nicht auf das erste bekannte Wort springen.
Drei-Schritte-Methode
Bei jeder Prüfungsaufgabe hilft eine einfache Methode:
1. Aufgabenstellung genau lesen.
2. Gegebene Informationen markieren.
3. Antwort direkt auf die Frage formulieren.
Merksatz:
Frage,
Hinweise,
Antwort.
Schritt 1: Aufgabenstellung genau lesen
Wichtige Fragen:
Was wird wirklich gefragt?
Soll ich erklären?
Soll ich berechnen?
Soll ich vergleichen?
Soll ich begründen?
Soll ich eine Maßnahme nennen?
Soll ich einen Fehler finden?
Soll ich eine Konfiguration bewerten?
Merksatz:
Die Operatoren bestimmen,
wie ausführlich die Antwort sein muss.
Operatoren in Prüfungsaufgaben
Operatoren sind Arbeitsaufträge.
Typische Operatoren:
Operator
Bedeutung
nennen
kurze Stichpunkte oder Begriffe
beschreiben
sachlich darstellen
erklären
Zusammenhang verständlich machen
begründen
warum etwas so ist
vergleichen
Gemeinsamkeiten und Unterschiede
berechnen
rechnerisch ermitteln
ermitteln
aus Angaben ableiten
bewerten
fachlich einschätzen
erläutern
ausführlicher erklären
zuordnen
Begriffe passend einordnen
Merksatz:
Operator beachten,
sonst ist die Antwort schnell zu kurz oder zu lang.
Nennen
Wenn die Aufgabe „nennen“ verlangt,
reichen meist kurze Begriffe.
Beispiel:
Nennen Sie zwei Vorteile von VLANs.
Mögliche Antwort:
Trennung von Broadcast-Domänen
bessere Segmentierung
erhöhte Sicherheit durch logische Netztrennung
Merksatz:
Nennen = kurz und direkt.
Beschreiben
Bei „beschreiben“ soll ein Sachverhalt dargestellt werden.
Beispiel:
Beschreiben Sie die Aufgabe eines DHCP-Servers.
Mögliche Antwort:
Ein DHCP-Server weist Clients automatisch Netzwerkkonfigurationen wie IP-Adresse,
Subnetzmaske,
Standardgateway
und DNS-Server zu.
Merksatz:
Beschreiben = was passiert?
Erklären
Bei „erklären“ soll der Zusammenhang klar werden.
Beispiel:
Erklären Sie,
warum ein Client ohne Standardgateway keine Internetverbindung hat.
Mögliche Antwort:
Das Standardgateway ist der Router in andere Netze.
Ohne Standardgateway kann der Client nur Ziele im eigenen Subnetz erreichen,
aber keine externen Netze wie das Internet.
Merksatz:
Erklären = Zusammenhang zeigen.
Begründen
Bei „begründen“ muss ein Warum enthalten sein.
Beispiel:
Begründen Sie,
warum RDP nicht direkt aus dem Internet erreichbar sein sollte.
Mögliche Antwort:
RDP ist ein häufiges Angriffsziel für Brute-Force-Angriffe,
Credential Stuffing
und Exploits.
Deshalb sollte RDP über VPN,
Gateway,
MFA
und Firewall-Beschränkungen abgesichert werden.
Merksatz:
Begründen = Aussage plus Warum.
Vergleichen
Bei „vergleichen“ sollten mindestens zwei Dinge gegenübergestellt werden.
Beispiel:
Vergleichen Sie TCP und UDP.
Mögliche Antwort:
Merkmal
TCP
UDP
Verbindung
verbindungsorientiert
verbindungslos
Zuverlässigkeit
bestätigt und wiederholt Daten
keine eingebaute Zustellgarantie
Overhead
höher
geringer
Beispiele
HTTP, HTTPS, SSH
DNS, DHCP, VoIP
Merksatz:
Vergleichen = Unterschiede und Gemeinsamkeiten sichtbar machen.
Berechnen
Bei „berechnen“ muss ein Ergebnis aus Zahlen abgeleitet werden.
Typische Themen:
Subnetting
Hostanzahl
Netzadresse
Broadcastadresse
Übertragungszeit
Speicherbedarf
Verfügbarkeit
RPO/RTO
Datenrate
Kosten
Merksatz:
Berechnen = Einheit,
Formel
und Ergebnis sauber beachten.
Bewerten
Bei „bewerten“ soll fachlich eingeschätzt werden.
Beispiel:
Bewerten Sie,
ob eine öffentliche SMB-Freigabe im Internet sinnvoll ist.
Mögliche Antwort:
Eine öffentliche SMB-Freigabe ist aus Sicherheitsgründen kritisch,
da SMB ein häufig angegriffenes Protokoll ist und Dateifreigaben sensible Daten enthalten können.
Besser wäre ein Zugriff über VPN,
SFTP
oder eine abgesicherte Plattform mit Authentifizierung,
Protokollierung
und Rechtebegrenzung.
Merksatz:
Bewerten = fachliche Einschätzung mit Begründung.
Aufgabentext markieren
Beim Lesen sollten wichtige Informationen gedanklich markiert werden.
Besonders wichtig:
IP-Adressen
Subnetzmasken
Gateways
DNS-Server
Ports
Protokolle
Fehlermeldungen
betroffene Systeme
Zeitpunkt
letzte Änderung
Benutzerrechte
Sicherheitsanforderungen
Merksatz:
Zahlen,
Fehler
und Einschränkungen sind meistens prüfungsrelevant.
Signalwörter erkennen
Viele Aufgaben enthalten typische Signalwörter.
Signalwort oder Fehlerbild
Wahrscheinliche Richtung
IP erreichbar, Name nicht
DNS
lokales Netz erreichbar, Internet nicht
Gateway, NAT oder Firewall
nur bestimmter Port geht nicht
Firewall, Dienst oder Port
alle Benutzer betroffen
zentraler Dienst oder Netzwerk
nur ein Benutzer betroffen
Konto, Rechte oder Client
nach Update
Änderung, Version oder Kompatibilität
Zertifikatswarnung
Zertifikat, Hostname, Zeit
Zugriff verweigert
Autorisierung, ACL, Gruppe
Anmeldung fehlgeschlagen
Authentifizierung
falsche IP automatisch erhalten
DHCP
IP 169.254.x.x
keine gültige DHCP-Adresse
nur ein VLAN betroffen
VLAN, Routing oder Firewall
Verbindung langsam
Last, Latenz, Paketverlust oder DNS
Merksatz:
Signalwörter zeigen,
wo die Fehlersuche beginnen sollte.
Aufgaben mit Netzplan
Bei Aufgaben mit Netzplan zuerst prüfen:
Welche Netze gibt es?
Welche Subnetze sind eingetragen?
Wo ist das Gateway?
Welche VLANs gibt es?
Wo steht die Firewall?
Wo findet NAT statt?
Welche Dienste stehen in der DMZ?
Welche Verbindung ist erlaubt?
Welche Verbindung ist blockiert?
Merksatz:
Netzplan zuerst verstehen,
dann Fehler suchen.
Aufgaben mit Tabellen
Tabellen enthalten oft konkrete Hinweise.
Zu prüfen:
stimmen IP-Adressen?
passen Subnetzmasken?
ist Gateway im gleichen Netz?
sind DNS-Server plausibel?
sind Ports korrekt?
sind VLANs richtig zugeordnet?
sind Rechte korrekt?
sind Kosten oder Zeiten korrekt?
Merksatz:
Tabellen nicht überfliegen,
sondern systematisch prüfen.
Aufgaben mit Logs
Logs zeigen Ereignisse.
Bei Logaufgaben prüfen:
Zeitpunkt
Quelle
Ziel
Benutzer
Fehlermeldung
Statuscode
Port
Dienst
erfolgreiche oder fehlgeschlagene Aktion
wiederholte Muster
Merksatz:
Logs beantworten oft:
Wer,
wann,
was,
von wo,
mit welchem Ergebnis?
Aufgaben mit HTTP-Statuscodes
HTTP-Statuscodes richtig einordnen:
Statuscode
Bedeutung
200
erfolgreich
301 / 302
Weiterleitung
400
fehlerhafte Anfrage
401
nicht authentifiziert
403
verboten
404
nicht gefunden
500
interner Serverfehler
502
Fehler beim Gateway oder Backend
503
Dienst nicht verfügbar
Merksatz:
4xx deutet eher auf Client,
Anfrage
oder Rechte.
5xx deutet eher auf Server,
Anwendung
oder Backend.
Aufgaben mit IP-Konfiguration
Bei IP-Konfiguration prüfen:
IP-Adresse vorhanden?
Subnetzmaske korrekt?
Gateway im gleichen Netz?
DNS-Server korrekt?
DHCP oder statisch?
doppelte IP möglich?
APIPA-Adresse vorhanden?
IPv4 oder IPv6 relevant?
Merksatz:
IP,
Maske,
Gateway
und DNS gemeinsam prüfen.
APIPA erkennen
APIPA-Adressen liegen im Bereich:
169.254.0.0/16
Sie entstehen,
wenn ein Client keine gültige DHCP-Adresse erhält.
Typisches Fehlerbild:
Client hat 169.254.x.x
und erreicht keine normalen Netzdienste.
Merksatz:
169.254.x.x deutet auf DHCP-Problem hin.
Gateway im gleichen Netz prüfen
Das Gateway muss für den Client lokal erreichbar sein.
Beispiel:
Client:
192.168.10.50/24
Gateway:
192.168.20.1
Problem:
Gateway liegt nicht im gleichen Subnetz.
Merksatz:
Standardgateway muss im erreichbaren lokalen Netz liegen.
DNS-Problem sicher erkennen
Typisches Fehlerbild:
ping auf IP-Adresse funktioniert
ping oder Zugriff per Name funktioniert nicht
Wahrscheinliche Ursache:
DNS
Prüfen:
DNS-Server
DNS-Eintrag
DNS-Suffix
Split-DNS
DNS-Cache
Merksatz:
IP ja,
Name nein:
DNS.
Firewall-Problem sicher erkennen
Typisches Fehlerbild:
Zielhost ist erreichbar,
aber bestimmter Dienst nicht.
Mögliche Ursachen:
Firewall blockiert Port
Dienst läuft nicht
Dienst lauscht auf falscher Schnittstelle
NAT oder Portweiterleitung fehlt
Prüfen:
Port
Dienststatus
Firewall-Regel
Logs
Merksatz:
Host ja,
Dienst nein:
Port,
Dienst,
Firewall.
Rechteproblem sicher erkennen
Typisches Fehlerbild:
Anmeldung funktioniert,
Zugriff auf Datei oder Anwendung aber nicht.
Wahrscheinliche Ursache:
Autorisierung oder Berechtigung
Prüfen:
Gruppe
Rolle
ACL
Freigaberecht
Dateisystemrecht
Deny-Regel
Lizenz
Anwendungseinstellung
Merksatz:
Login ja,
Zugriff nein:
Rechte.
Authentifizierungsproblem sicher erkennen
Typisches Fehlerbild:
Benutzer kann sich nicht anmelden.
Mögliche Ursachen:
falsches Passwort
Konto gesperrt
Konto deaktiviert
MFA-Problem
Verzeichnisdienst nicht erreichbar
Uhrzeitproblem
Zertifikatsproblem
abgelaufenes Passwort
Merksatz:
Anmeldung scheitert:
Authentifizierung prüfen.
Zeitproblem erkennen
Falsche Uhrzeit kann viele Fehler verursachen.
Typische Auswirkungen:
Zertifikatsfehler
Kerberos-Fehler
MFA-Probleme
ungültige Tokens
falsche Log-Zuordnung
geplante Aufgaben laufen falsch
Merksatz:
Bei Zertifikat,
Kerberos
und Logs immer auch Zeit prüfen.
Subnetting-Aufgaben richtig angehen
Bei Subnetting immer klären:
Welche Adresse ist gegeben?
Welcher Präfix ist gegeben?
Wie viele Hostbits gibt es?
Wie viele Adressen gibt es?
Wie viele nutzbare Hosts gibt es?
Wie groß ist die Blockgröße?
Wo beginnt das Netz?
Wo endet das Netz?
Merksatz:
Subnetting ist systematische Grenzberechnung.
Subnetting-Reihenfolge
Sinnvolle Reihenfolge:
1. Präfix bestimmen.
2. Hostbits berechnen.
3. Gesamtadressen berechnen.
4. Nutzbare Hosts berechnen.
5. Blockgröße bestimmen.
6. Netzadresse bestimmen.
7. Broadcastadresse bestimmen.
8. erste und letzte nutzbare Adresse bestimmen.
Merksatz:
Immer in derselben Reihenfolge rechnen.
Hostanzahl berechnen
Formel:
nutzbare Hosts = 2 hoch Hostbits minus 2
Beispiel:
/26
Hostbits:
32 - 26 = 6
Adressen:
2 hoch 6 = 64
Nutzbare Hosts:
64 - 2 = 62
Merksatz:
Hostbits bestimmen die Hostanzahl.
Blockgröße erkennen
Die Blockgröße zeigt,
in welchen Schritten Subnetze springen.
Beispiel:
/26 entspricht Maske 255.255.255.192
Blockgröße:
256 - 192 = 64
Subnetze im letzten Oktett:
0
64
128
192
Merksatz:
Blockgröße = 256 minus interessanter Maskenwert.
Netzadresse und Broadcast finden
Beispiel:
IP:
192.168.1.70/26
Blockgröße:
64
Subnetze:
192.168.1.0
192.168.1.64
192.168.1.128
192.168.1.192
Die Adresse 70 liegt im Bereich:
192.168.1.64 bis 192.168.1.127
Netzadresse:
192.168.1.64
Broadcast:
192.168.1.127
Nutzbar:
192.168.1.65 bis 192.168.1.126
Merksatz:
IP-Adresse liegt immer in genau einem Subnetzbereich.
Standardports sicher wiederholen
Dienst
Protokoll
Port
SSH
TCP
22
Telnet
TCP
23
SMTP
TCP
25
DNS
UDP/TCP
53
DHCP Server
UDP
67
DHCP Client
UDP
68
HTTP
TCP
80
POP3
TCP
110
IMAP
TCP
143
HTTPS
TCP
443
SMB
TCP
445
SMTPS
TCP
465
IMAPS
TCP
993
POP3S
TCP
995
RDP
TCP
3389
Merksatz:
Ports nicht nur auswendig lernen,
sondern Dienst und Protokoll verstehen.
TCP oder UDP in der Prüfung
Typische Zuordnung:
TCP:
wenn zuverlässige Verbindung wichtig ist
UDP:
wenn geringe Verzögerung oder einfache Anfrage wichtig ist
Beispiele:
HTTP nutzt TCP,
weil Webseiten vollständig übertragen werden sollen.
DNS nutzt häufig UDP,
weil einzelne Anfragen schnell beantwortet werden.
VoIP nutzt häufig UDP,
weil Verzögerung schlimmer ist als einzelner Paketverlust.
Merksatz:
TCP = Zuverlässigkeit.
UDP = wenig Overhead.
Sicherheitsaufgaben richtig beantworten
Bei Sicherheitsfragen immer prüfen:
Welches Schutzziel ist betroffen?
Welche Schwachstelle wird ausgenutzt?
Welche Bedrohung liegt vor?
Welche Maßnahme reduziert das Risiko?
Ist die Maßnahme technisch,
organisatorisch,
personell
oder physisch?
Merksatz:
Sicherheitsantworten mit Schutzziel und Maßnahme begründen.
Schutzziele zuordnen
Schutzziel
Typische Verletzung
Vertraulichkeit
unberechtigtes Lesen
Integrität
unbemerkte Veränderung
Verfügbarkeit
Dienst oder Daten nicht nutzbar
Authentizität
falsche Identität
Nichtabstreitbarkeit
Handlung nicht nachweisbar
Merksatz:
Erst Schutzziel erkennen,
dann Schutzmaßnahme nennen.
Schutzmaßnahmen zuordnen
Risiko
passende Maßnahme
Passwortdiebstahl
MFA, Passwortmanager
Malware
EDR, Patchmanagement, Rechtebegrenzung
Ransomware
Backup, Immutable Backup, Segmentierung
DDoS
DDoS-Schutz, CDN, Rate Limiting
Datenabfluss
DLP, Verschlüsselung, Rechtekonzept
unsichere Freigabe
Least Privilege, Ablaufdatum, Audit
veraltete Software
Patchmanagement
Fehlkonfiguration
Change Management, Vier-Augen-Prinzip
unklare Vorfälle
Logging, SIEM, Monitoring
Merksatz:
Maßnahme muss zum Risiko passen.
Antworten nicht zu allgemein formulieren
Zu allgemein:
Man sollte das sicherer machen.
Besser:
Der Zugriff sollte über VPN und MFA abgesichert werden,
damit der Administrationsdienst nicht direkt aus dem Internet erreichbar ist
und gestohlene Passwörter allein nicht ausreichen.
Merksatz:
Konkrete Maßnahme plus Grund nennen.
Fachbegriffe korrekt verwenden
Häufige Verwechslungen vermeiden:
Nicht verwechseln
Unterschied
Authentifizierung / Autorisierung
Identität prüfen / Rechte prüfen
DNS / DHCP
Namen auflösen / IP-Konfiguration verteilen
NAT / PAT
Adresse übersetzen / Port zur Zuordnung nutzen
IDS / IPS
erkennen / erkennen und blockieren
SFTP / FTPS
SSH-basiert / FTP mit TLS
Backup / Replikation
Wiederherstellung alter Stände / aktuelle Kopie
Redundanz / Backup
Verfügbarkeit / Wiederherstellung
RPO / RTO
Datenverlust / Wiederherstellungszeit
VLAN / Subnetz
Layer-2-Trennung / Layer-3-Netz
Switch / Router
Frames im LAN / Pakete zwischen Netzen
Merksatz:
Fachbegriffe sauber trennen bringt Punkte.
Prüfungsantwort bei Fehlersuche aufbauen
Gute Struktur:
1. Wahrscheinliche Ursache nennen.
2. Begründung aus Fehlerbild geben.
3. Prüfung oder Maßnahme nennen.
Beispiel:
Wahrscheinlich liegt ein DNS-Problem vor,
da die IP-Adresse erreichbar ist,
der Name aber nicht aufgelöst wird.
Der DNS-Server und der entsprechende DNS-Eintrag sollten mit nslookup oder dig geprüft werden.
Merksatz:
Ursache,
Begründung,
Prüfung.
Prüfungsantwort bei Sicherheitsmaßnahme aufbauen
Gute Struktur:
1. Risiko nennen.
2. Maßnahme nennen.
3. Wirkung erklären.
Beispiel:
Das Risiko besteht im Passwortdiebstahl durch Phishing.
Als Maßnahme sollte MFA eingesetzt werden.
Dadurch reicht ein gestohlenes Passwort allein nicht mehr für den Zugriff aus.
Merksatz:
Risiko,
Maßnahme,
Wirkung.
Prüfungsantwort bei Vergleich aufbauen
Gute Struktur:
1. Gemeinsamkeit nennen.
2. Unterschied nennen.
3. Einsatzbeispiel nennen.
Beispiel:
TCP und UDP sind Transportprotokolle.
TCP ist verbindungsorientiert und zuverlässig,
UDP ist verbindungslos und hat weniger Overhead.
TCP wird zum Beispiel bei HTTPS genutzt,
UDP häufig bei DNS oder VoIP.
Merksatz:
Gemeinsamkeit,
Unterschied,
Beispiel.
Prüfungsantwort bei Berechnung aufbauen
Gute Struktur:
1. gegebene Werte nennen
2. Formel oder Regel anwenden
3. Ergebnis mit Einheit angeben
4. Plausibilität prüfen
Beispiel:
Bei /26 gibt es 6 Hostbits.
2 hoch 6 ergibt 64 Adressen.
Davon sind 62 nutzbar,
da Netzadresse und Broadcastadresse nicht für Hosts verwendet werden.
Merksatz:
Ergebnis immer mit Einheit oder Bedeutung angeben.
Wenn mehrere Antworten möglich sind
Manche Aufgaben erlauben mehrere sinnvolle Lösungen.
Dann wichtig:
Maßnahme fachlich begründen
und
zur Aufgabenstellung passend wählen
Beispiel:
RDP absichern
Mögliche Maßnahmen:
VPN
RDP Gateway
MFA
Quell-IP-Beschränkung
NLA
Account Lockout
Logging
Merksatz:
Mehrere Maßnahmen sind möglich,
aber sie müssen zum Problem passen.
Wenn eine Aufgabe nach „zwei Maßnahmen“ fragt
Dann genau zwei nennen,
nicht zehn.
Besser:
1. MFA aktivieren,
damit ein gestohlenes Passwort allein nicht ausreicht.
2. Zugriff per Firewall auf VPN- oder feste Quell-IP-Adressen beschränken,
damit der Dienst nicht breit aus dem Internet erreichbar ist.
Merksatz:
Gefragte Anzahl beachten.
Wenn eine Aufgabe nach Vorteilen und Nachteilen fragt
Antwort sauber trennen.
Beispiel:
Maßnahme
Vorteil
Nachteil
Cloud-Backup
externer Standort, skalierbar
abhängig von Internet und Anbieter
lokales Backup
schneller Restore
Risiko bei Standortausfall
Merksatz:
Vorteile und Nachteile nicht vermischen.
Wenn eine Aufgabe nach Reihenfolge fragt
Reihenfolge ist besonders wichtig bei:
DHCP-Ablauf
TCP-Verbindungsaufbau
Backup-Restore
Incident Response
Fehlersuche
Change Management
Kapselung
OSI-Schichten
Merksatz:
Bei Reihenfolgeaufgaben keine Schritte vertauschen.
Typische Reihenfolgen wiederholen
DHCP:
Discover
Offer
Request
Acknowledge
Incident Response:
erkennen
bewerten
eindämmen
beseitigen
wiederherstellen
verbessern
Change Management:
planen
bewerten
freigeben
umsetzen
testen
dokumentieren
Fehlersuche:
physisch
IP
Gateway
DNS
Routing
Firewall
Dienst
Logs
Merksatz:
Reihenfolgen sind klassische Prüfungspunkte.
Wenn du unsicher bist
Bei Unsicherheit hilft:
Aufgabe nochmals lesen.
Signalwörter suchen.
OSI-Schicht zuordnen.
Schutzziel zuordnen.
Ausschlussverfahren nutzen.
Grundbegriffe sauber verwenden.
Antwort knapp begründen.
Merksatz:
Unsicherheit wird kleiner,
wenn man strukturiert bleibt.
Typische Prüfungsfehler vermeiden
Häufige Fehler:
Frage nicht genau gelesen
Operator ignoriert
zu allgemein geantwortet
falsche Anzahl genannt
Einheiten verwechselt
Bit und Byte verwechselt
IP und DNS verwechselt
Authentifizierung und Autorisierung verwechselt
Backup und Replikation verwechselt
keine Begründung gegeben
Maßnahme passt nicht zum Risiko
Fachwort falsch benutzt
Merksatz:
Viele Punkte gehen durch ungenaue Formulierung verloren.
Checkliste: Aufgabe bearbeiten
Aufgabenstellung vollständig lesen.
Operator markieren.
Zahlen und technische Angaben markieren.
Fehlerbild erkennen.
Betroffene Schicht zuordnen.
Signalwörter beachten.
Gefragte Anzahl beachten.
Antwort direkt zur Frage formulieren.
Fachbegriffe korrekt verwenden.
Kurz begründen.
Ergebnis mit Einheit angeben.
Plausibilität prüfen.
Merksatz:
Jede Antwort muss zur Frage passen.
Checkliste: technische Fehlersuche in Prüfungsaufgaben
Ist das Kabel oder WLAN plausibel?
Hat der Client eine IP-Adresse?
Passt die Subnetzmaske?
Ist das Gateway korrekt?
Funktioniert lokale Kommunikation?
Funktioniert IP-Kommunikation?
Funktioniert DNS?
Ist Routing korrekt?
Blockiert eine Firewall?
Läuft der Dienst?
Lauscht der richtige Port?
Gibt es Rechteprobleme?
Gibt es Loghinweise?
Gab es Änderungen?
Merksatz:
Fehlersuche von unten nach oben denken.
Checkliste: Sicherheitsfrage beantworten
Schutzziel bestimmen.
Schwachstelle erkennen.
Bedrohung benennen.
Risiko beschreiben.
passende Maßnahme nennen.
Wirkung erklären.
technische und organisatorische Maßnahmen unterscheiden.
Least Privilege prüfen.
Logging und Monitoring beachten.
Backup und Restore berücksichtigen.
Merksatz:
Sicherheit immer mit Risiko und Wirkung begründen.
Checkliste: Rechenaufgabe prüfen
Einheit lesen.
Bit oder Byte unterscheiden.
Präfix beachten.
Formel richtig anwenden.
Zwischenschritt prüfen.
Ergebnis mit Einheit angeben.
Plausibilität prüfen.
bei Subnetting Netz und Broadcast beachten.
bei Übertragung Datenmenge und Datenrate passend umrechnen.
Merksatz:
Rechenfehler entstehen oft durch Einheitenfehler.
IHK-sichere Kurzformulierung
Bei Prüfungsaufgaben sollte zuerst die Aufgabenstellung genau gelesen und der Operator erkannt werden. Begriffe wie nennen, erklären, vergleichen, begründen oder berechnen bestimmen die Art der Antwort. Technische Hinweise wie IP-Adressen, Subnetzmasken, Ports, Fehlermeldungen, Logs und Signalwörter müssen sorgfältig ausgewertet werden. Bei Fehlersuche hilft das OSI-Modell, um systematisch von physischer Verbindung über IP, DNS, Routing, Firewall, Dienst und Anwendung zu prüfen. Gute Prüfungsantworten nennen die wahrscheinliche Ursache, begründen sie mit dem Fehlerbild und nennen eine passende Prüfung oder Maßnahme. Bei Sicherheitsfragen sollten Schutzziel, Risiko, Maßnahme und Wirkung klar verbunden werden.
Merksätze
Erst verstehen,
dann antworten.
Operator bestimmt Antwortform.
Nennen heißt kurz.
Erklären heißt Zusammenhang zeigen.
Begründen heißt Warum nennen.
Vergleichen heißt gegenüberstellen.
Berechnen heißt mit Einheit arbeiten.
Signalwörter ernst nehmen.
Netzpläne zuerst verstehen.
Tabellen systematisch prüfen.
Logs beantworten:
wer,
wann,
was,
von wo,
mit welchem Ergebnis.
4xx eher Client oder Rechte.
5xx eher Server oder Backend.
169.254.x.x deutet auf DHCP-Problem.
Gateway muss lokal erreichbar sein.
IP ja,
Name nein:
DNS.
Host ja,
Dienst nein:
Port,
Dienst,
Firewall.
Login ja,
Zugriff nein:
Rechte.
Anmeldung scheitert:
Authentifizierung.
Zertifikatsfehler:
Ablauf,
Name,
Kette,
Zeit.
Subnetting immer gleich lösen.
Hostbits bestimmen Hostanzahl.
Blockgröße hilft bei Netzgrenzen.
Ports sicher wiederholen.
TCP steht für Zuverlässigkeit.
UDP steht für wenig Overhead.
Sicherheitsfragen mit Schutzziel beantworten.
Maßnahme muss zum Risiko passen.
Fachbegriffe sauber trennen.
Gute Fehlerantwort:
Ursache,
Begründung,
Prüfung.
Gute Sicherheitsantwort:
Risiko,
Maßnahme,
Wirkung.
Gefragte Anzahl beachten.
Reihenfolgen nicht vertauschen.
Bei Unsicherheit strukturiert bleiben.
Jede Antwort muss zur Frage passen.
18.2 Typische Prüfungsaufgaben und Musterantworten
Diese Seite enthält typische Aufgabenformen,
wie sie in Prüfungen zur Netzwerktechnik,
Administration
und IT-Sicherheit vorkommen können.
Ziel ist nicht,
Antworten auswendig zu lernen.
Ziel ist,
zu erkennen:
- Was fragt die Aufgabe?
- Welche Hinweise stehen im Text?
- Welches Thema ist betroffen?
- Welche Antwort ist fachlich passend?
- Wie formuliere ich kurz und prüfungssicher?
Merksatz:
Gute Prüfungsantworten sind kurz,
fachlich
und direkt auf die Aufgabe bezogen.
Aufgabe 1: DNS-Fehler erkennen
Aufgabe:
Ein Client kann eine Webseite über die IP-Adresse erreichen,
aber nicht über den Domainnamen.
Nennen Sie eine wahrscheinliche Ursache.
Musterantwort:
Wahrscheinlich liegt ein DNS-Problem vor.
Da die IP-Adresse erreichbar ist,
funktioniert die grundsätzliche Netzwerkverbindung.
Der Name wird aber nicht korrekt in eine IP-Adresse aufgelöst.
Prüfung:
DNS-Server prüfen.
DNS-Eintrag prüfen.
nslookup oder dig verwenden.
DNS-Cache prüfen.
Merksatz:
IP funktioniert,
Name nicht:
DNS prüfen.
Aufgabe 2: Gateway-Fehler erkennen
Aufgabe:
Ein Client erreicht andere Geräte im gleichen Subnetz,
aber keine Systeme im Internet.
Welche Einstellung ist wahrscheinlich falsch oder fehlt?
Musterantwort:
Wahrscheinlich fehlt das Standardgateway
oder es ist falsch konfiguriert.
Das Gateway wird benötigt,
um Ziele außerhalb des eigenen Subnetzes zu erreichen.
Prüfung:
IP-Konfiguration prüfen.
Gateway-Adresse prüfen.
Routing-Tabelle prüfen.
Gateway anpingen.
Merksatz:
Lokal erreichbar,
extern nicht:
Gateway prüfen.
Aufgabe 3: DHCP-Problem erkennen
Aufgabe:
Ein Windows-Client hat die IP-Adresse 169.254.23.18.
Was bedeutet das?
Musterantwort:
Die Adresse liegt im APIPA-Bereich 169.254.0.0/16.
Der Client hat wahrscheinlich keine gültige Adresse von einem DHCP-Server erhalten.
Prüfung:
DHCP-Server prüfen.
Netzwerkverbindung prüfen.
VLAN prüfen.
DHCP-Scope prüfen.
DHCP-Relay prüfen.
Merksatz:
169.254.x.x deutet auf DHCP-Problem hin.
Aufgabe 4: Subnetz prüfen
Aufgabe:
Ein Client hat die Adresse 192.168.10.50/24.
Als Gateway ist 192.168.20.1 eingetragen.
Warum funktioniert der Zugriff in andere Netze nicht?
Musterantwort:
Das Gateway liegt nicht im gleichen Subnetz wie der Client.
Bei /24 gehört der Client zum Netz 192.168.10.0/24.
Das Gateway 192.168.20.1 liegt im Netz 192.168.20.0/24
und ist daher lokal nicht erreichbar.
Merksatz:
Das Standardgateway muss im lokalen Subnetz erreichbar sein.
Aufgabe 5: Netzadresse berechnen
Aufgabe:
Ermitteln Sie die Netzadresse zu 192.168.1.70/26.
Lösung:
/26 bedeutet:
64 Adressen pro Subnetz.
Subnetzbereiche:
192.168.1.0 bis 192.168.1.63
192.168.1.64 bis 192.168.1.127
192.168.1.128 bis 192.168.1.191
192.168.1.192 bis 192.168.1.255
Die Adresse 192.168.1.70 liegt im Bereich:
192.168.1.64 bis 192.168.1.127
Netzadresse:
192.168.1.64
Broadcastadresse:
192.168.1.127
Nutzbare Hosts:
192.168.1.65 bis 192.168.1.126
Merksatz:
Erst Blockgröße bestimmen,
dann Bereich finden.
Aufgabe 6: Hostanzahl berechnen
Aufgabe:
Wie viele nutzbare Hosts sind in einem /27-Netz möglich?
Lösung:
IPv4 hat 32 Bit.
/27 bedeutet 27 Netzbits.
Hostbits:
32 - 27 = 5
Adressen:
2 hoch 5 = 32
Nutzbare Hosts:
32 - 2 = 30
Antwort:
30 nutzbare Hosts
Merksatz:
Nutzbare Hosts = 2 hoch Hostbits minus 2.
Aufgabe 7: TCP und UDP vergleichen
Aufgabe:
Vergleichen Sie TCP und UDP.
Musterantwort:
Merkmal
TCP
UDP
Verbindung
verbindungsorientiert
verbindungslos
Zuverlässigkeit
bestätigt und wiederholt Daten
keine eingebaute Zustellgarantie
Reihenfolge
wird sichergestellt
nicht garantiert
Overhead
höher
geringer
Beispiele
HTTP, HTTPS, SSH
DNS, DHCP, VoIP
Kurzform:
TCP ist verbindungsorientiert und zuverlässig.
UDP ist verbindungslos,
schneller
und hat weniger Overhead.
Merksatz:
TCP = zuverlässig.
UDP = schlank.
Aufgabe 8: Port einem Dienst zuordnen
Aufgabe:
Ordnen Sie den Port TCP 443 einem Dienst zu.
Antwort:
TCP 443 gehört zu HTTPS.
Erklärung:
HTTPS ist HTTP über TLS
und wird für verschlüsselte Webkommunikation genutzt.
Merksatz:
HTTPS nutzt TCP 443.
Aufgabe 9: SSH-Port nennen
Aufgabe:
Welchen Standardport nutzt SSH?
Antwort:
SSH nutzt standardmäßig TCP 22.
Zusatz:
SSH dient dem verschlüsselten Fernzugriff auf die Kommandozeile
und kann auch für SFTP oder SCP genutzt werden.
Merksatz:
SSH = TCP 22.
Aufgabe 10: RDP absichern
Aufgabe:
Ein Unternehmen betreibt RDP direkt erreichbar aus dem Internet.
Nennen Sie zwei Sicherheitsmaßnahmen.
Musterantwort:
1. RDP nur über VPN oder RDP-Gateway erreichbar machen,
damit der Dienst nicht direkt aus dem Internet angreifbar ist.
2. MFA aktivieren,
damit ein gestohlenes Passwort allein nicht für den Zugriff ausreicht.
Weitere mögliche Maßnahmen:
Quell-IP einschränken
Network Level Authentication aktivieren
Account Lockout einrichten
starke Passwörter erzwingen
Logs überwachen
Systeme patchen
Merksatz:
RDP nicht direkt und breit ins Internet öffnen.
Aufgabe 11: VLAN erklären
Aufgabe:
Erklären Sie den Zweck von VLANs.
Musterantwort:
VLANs teilen ein physisches Netzwerk logisch in mehrere getrennte Netzbereiche auf.
Dadurch können zum Beispiel Abteilungen,
Gäste,
Server
oder Managementschnittstellen voneinander getrennt werden.
VLANs reduzieren Broadcastbereiche
und verbessern Struktur und Sicherheit.
Merksatz:
VLAN trennt logisch auf Schicht 2.
Aufgabe 12: Access-Port und Trunk-Port unterscheiden
Aufgabe:
Unterscheiden Sie Access-Port und Trunk-Port.
Musterantwort:
Porttyp
Bedeutung
Access-Port
gehört normalerweise zu genau einem VLAN und wird meist für Endgeräte genutzt
Trunk-Port
transportiert mehrere VLANs und wird meist zwischen Switches, Routern oder Firewalls genutzt
Merksatz:
Access = ein VLAN.
Trunk = mehrere VLANs.
Aufgabe 13: ARP erklären
Aufgabe:
Wofür wird ARP verwendet?
Musterantwort:
ARP löst im lokalen IPv4-Netz eine IP-Adresse in eine MAC-Adresse auf.
Ein Host nutzt ARP,
um die MAC-Adresse des Zielsystems oder des Gateways zu ermitteln.
Merksatz:
ARP verbindet IPv4-Adresse und MAC-Adresse im lokalen Netz.
Aufgabe 14: MAC, IP und Port zuordnen
Aufgabe:
Ordnen Sie MAC-Adresse,
IP-Adresse
und Port den passenden OSI-Schichten zu.
Antwort:
Begriff
OSI-Schicht
Aufgabe
MAC-Adresse
Schicht 2
lokale Zustellung im LAN
IP-Adresse
Schicht 3
logische Adressierung und Routing
Port
Schicht 4
Zuordnung zu Dienst oder Anwendung
Merksatz:
MAC lokal,
IP logisch,
Port Dienst.
Aufgabe 15: NAT und PAT unterscheiden
Aufgabe:
Unterscheiden Sie NAT und PAT.
Musterantwort:
NAT übersetzt IP-Adressen.
PAT ist eine spezielle Form von NAT,
bei der zusätzlich Ports verwendet werden,
damit mehrere interne Geräte über eine öffentliche IP-Adresse kommunizieren können.
Merksatz:
NAT übersetzt Adressen.
PAT nutzt zusätzlich Ports.
Aufgabe 16: Portweiterleitung erklären
Aufgabe:
Was ist eine Portweiterleitung?
Musterantwort:
Eine Portweiterleitung leitet eingehenden Verkehr auf einem bestimmten Port
von einer öffentlichen Adresse
an einen internen Dienst weiter.
Dadurch kann ein interner Server von außen erreichbar gemacht werden.
Beispiel:
extern TCP 443
wird weitergeleitet
auf internen Webserver TCP 443
Merksatz:
Portweiterleitung macht interne Dienste von außen erreichbar.
Aufgabe 17: Firewall-Regel bewerten
Aufgabe:
Eine Firewall-Regel erlaubt Any to Any.
Bewerten Sie diese Regel.
Musterantwort:
Die Regel ist sicherheitskritisch,
weil sie Verkehr von jeder Quelle zu jedem Ziel erlaubt.
Dadurch wird die Angriffsfläche stark vergrößert.
Besser ist eine möglichst genaue Regel mit definierter Quelle,
definiertem Ziel,
benötigtem Port,
Protokoll
und dokumentiertem Zweck.
Merksatz:
Firewall-Regeln so eng wie möglich formulieren.
Aufgabe 18: DMZ erklären
Aufgabe:
Was ist eine DMZ?
Musterantwort:
Eine DMZ ist ein getrenntes Netzwerksegment für öffentlich erreichbare Dienste,
zum Beispiel Webserver,
Reverse Proxy
oder Mail-Gateway.
Sie trennt diese Systeme vom internen Netz,
damit ein kompromittierter öffentlicher Dienst nicht direkt Zugriff auf interne Systeme erhält.
Merksatz:
DMZ trennt öffentliche Dienste vom internen Netz.
Aufgabe 19: VPN-Arten unterscheiden
Aufgabe:
Unterscheiden Sie Remote-Access-VPN und Site-to-Site-VPN.
Musterantwort:
VPN-Art
Bedeutung
Remote-Access-VPN
einzelner Benutzer verbindet sich aus der Ferne mit einem Netzwerk
Site-to-Site-VPN
zwei Netzwerke oder Standorte werden miteinander verbunden
Merksatz:
Remote-Access verbindet Benutzer.
Site-to-Site verbindet Standorte.
Aufgabe 20: IaaS, PaaS und SaaS unterscheiden
Aufgabe:
Unterscheiden Sie IaaS,
PaaS
und SaaS.
Musterantwort:
Modell
Bedeutung
Beispiel
IaaS
virtuelle Infrastruktur
virtuelle Maschine
PaaS
Plattform für Anwendungen
verwaltete Datenbank oder App-Plattform
SaaS
fertige Anwendung
E-Mail-Dienst oder CRM im Browser
Merksatz:
IaaS = Infrastruktur.
PaaS = Plattform.
SaaS = Software.
Aufgabe 21: Shared Responsibility erklären
Aufgabe:
Erklären Sie das Shared-Responsibility-Modell in der Cloud.
Musterantwort:
Beim Shared-Responsibility-Modell teilen sich Cloud-Anbieter und Kunde die Verantwortung.
Der Anbieter schützt die Cloud-Infrastruktur.
Der Kunde bleibt verantwortlich für seine Daten,
Identitäten,
Zugriffsrechte,
Konfigurationen
und Nutzung der Dienste.
Merksatz:
Cloud bedeutet nicht,
dass der Anbieter alles absichert.
Aufgabe 22: Schutzziel zuordnen
Aufgabe:
Ein Angreifer verändert unbemerkt eine Konfigurationsdatei.
Welches Schutzziel ist betroffen?
Antwort:
Integrität
Begründung:
Integrität bedeutet,
dass Daten nicht unbemerkt verändert werden dürfen.
Merksatz:
Unbemerkte Veränderung betrifft Integrität.
Aufgabe 23: Ransomware-Schutzziel zuordnen
Aufgabe:
Ransomware verschlüsselt Firmendaten.
Welches Schutzziel ist hauptsächlich betroffen?
Antwort:
Verfügbarkeit
Begründung:
Die Daten sind nicht mehr nutzbar.
Wenn zusätzlich Daten gestohlen und veröffentlicht werden,
ist auch Vertraulichkeit betroffen.
Merksatz:
Ransomware betrifft Verfügbarkeit,
bei Datenabfluss auch Vertraulichkeit.
Aufgabe 24: Phishing-Maßnahmen nennen
Aufgabe:
Nennen Sie zwei Maßnahmen gegen Phishing.
Musterantwort:
1. MFA einsetzen,
damit gestohlene Passwörter allein nicht ausreichen.
2. Benutzer schulen,
damit verdächtige E-Mails,
Links
und Anhänge besser erkannt werden.
Weitere mögliche Maßnahmen:
E-Mail-Filter
SPF,
DKIM
und DMARC
Passwortmanager
Meldeprozess
sichere Browserkonfiguration
Merksatz:
Gegen Phishing helfen Technik und Schulung zusammen.
Aufgabe 25: IDS und IPS unterscheiden
Aufgabe:
Was ist der Unterschied zwischen IDS und IPS?
Musterantwort:
Ein IDS erkennt verdächtige Aktivitäten und meldet sie.
Ein IPS erkennt verdächtige Aktivitäten ebenfalls,
kann sie aber zusätzlich aktiv blockieren.
Merksatz:
IDS meldet.
IPS blockiert zusätzlich.
Aufgabe 26: SIEM erklären
Aufgabe:
Was ist die Aufgabe eines SIEM?
Musterantwort:
Ein SIEM sammelt,
speichert
und korreliert Sicherheitslogs aus verschiedenen Systemen.
Dadurch können sicherheitsrelevante Zusammenhänge erkannt
und Alarme erzeugt werden.
Merksatz:
SIEM sammelt und verbindet Sicherheitsereignisse.
Aufgabe 27: Authentifizierung und Autorisierung unterscheiden
Aufgabe:
Unterscheiden Sie Authentifizierung und Autorisierung.
Musterantwort:
Begriff
Frage
Beispiel
Authentifizierung
Wer bist du?
Benutzer meldet sich mit Passwort und MFA an
Autorisierung
Was darfst du?
Benutzer darf eine Datei lesen
Merksatz:
Authentifizierung prüft Identität.
Autorisierung prüft Rechte.
Aufgabe 28: Least Privilege erklären
Aufgabe:
Erklären Sie das Prinzip Least Privilege.
Musterantwort:
Least Privilege bedeutet,
dass Benutzer,
Dienste
und Prozesse nur die Rechte erhalten,
die sie für ihre Aufgabe wirklich benötigen.
Dadurch wird der mögliche Schaden bei Fehlern oder Angriffen begrenzt.
Merksatz:
So wenig Rechte wie möglich,
so viele wie nötig.
Aufgabe 29: Dienstkonto erklären
Aufgabe:
Was ist ein Dienstkonto?
Musterantwort:
Ein Dienstkonto ist eine technische Identität,
die von einem Dienst,
einer Anwendung
oder einem automatisierten Prozess genutzt wird.
Es sollte nur die Rechte besitzen,
die für den jeweiligen Zweck erforderlich sind.
Merksatz:
Dienstkonten sind technische Identitäten und müssen rechtearm sein.
Aufgabe 30: Offboarding begründen
Aufgabe:
Warum ist Offboarding sicherheitsrelevant?
Musterantwort:
Beim Offboarding werden nicht mehr benötigte Zugänge entfernt.
Wenn alte Benutzerkonten,
VPN-Zugänge,
SSH-Schlüssel
oder Cloud-Rollen aktiv bleiben,
können sie später missbraucht werden.
Merksatz:
Alte Zugänge sind Sicherheitsrisiken.
Aufgabe 31: Logs und Monitoring unterscheiden
Aufgabe:
Unterscheiden Sie Logging und Monitoring.
Musterantwort:
Begriff
Bedeutung
Logging
Ereignisse werden protokolliert
Monitoring
Zustände und Metriken werden überwacht
Beispiel:
Log:
Benutzeranmeldung fehlgeschlagen.
Monitoring:
CPU-Auslastung dauerhaft über 90 Prozent.
Merksatz:
Logs zeigen Ereignisse.
Monitoring zeigt Zustände.
Aufgabe 32: NTP bei Logs erklären
Aufgabe:
Warum ist NTP für die Logauswertung wichtig?
Musterantwort:
NTP synchronisiert die Systemzeit.
Bei der Analyse von Logs müssen Ereignisse verschiedener Systeme zeitlich korrekt zugeordnet werden können.
Ohne gemeinsame Zeitbasis wird die Fehlersuche und Sicherheitsanalyse erschwert.
Merksatz:
Gleiche Zeitbasis macht Logs vergleichbar.
Aufgabe 33: HTTP-Statuscode einordnen
Aufgabe:
Ein Webserver liefert den Statuscode 403.
Was bedeutet das?
Antwort:
403 bedeutet verboten.
Der Client ist zwar grundsätzlich am Server,
darf aber auf die angeforderte Ressource nicht zugreifen.
Merksatz:
403 = verboten.
Aufgabe 34: HTTP 500 einordnen
Aufgabe:
Eine Webanwendung liefert HTTP 500.
Wo liegt das Problem wahrscheinlich?
Musterantwort:
HTTP 500 weist auf einen internen Serverfehler hin.
Die Ursache liegt wahrscheinlich in der Anwendung,
im Backend,
in einer Abhängigkeit
oder in der Serverkonfiguration.
Merksatz:
5xx deutet eher auf Server oder Backend.
Aufgabe 35: SMB erklären
Aufgabe:
Wofür wird SMB verwendet und welchen Standardport nutzt es?
Musterantwort:
SMB wird für Datei- und Druckerfreigaben genutzt,
besonders in Windows-Netzwerken.
Der Standardport ist TCP 445.
Merksatz:
SMB = Dateifreigaben,
TCP 445.
Aufgabe 36: FTP und SFTP unterscheiden
Aufgabe:
Warum ist FTP unsicher und was ist der Vorteil von SFTP?
Musterantwort:
Klassisches FTP überträgt Daten und Zugangsdaten unverschlüsselt.
SFTP nutzt SSH und überträgt Dateien verschlüsselt.
Dadurch sind Zugangsdaten und Dateiinhalt besser geschützt.
Merksatz:
FTP unverschlüsselt.
SFTP über SSH verschlüsselt.
Aufgabe 37: SFTP und FTPS unterscheiden
Aufgabe:
Unterscheiden Sie SFTP und FTPS.
Musterantwort:
SFTP ist Dateiübertragung über SSH.
FTPS ist FTP mit TLS-Verschlüsselung.
Beide übertragen verschlüsselt,
basieren aber auf unterschiedlichen Protokollen.
Merksatz:
SFTP ist nicht FTPS.
Aufgabe 38: Synchronisation und Backup unterscheiden
Aufgabe:
Warum ist Synchronisation kein Backup?
Musterantwort:
Synchronisation hält Daten an mehreren Orten gleich.
Wenn eine Datei gelöscht,
beschädigt
oder durch Ransomware verschlüsselt wird,
kann diese Änderung mitsynchronisiert werden.
Ein Backup speichert dagegen wiederherstellbare ältere Stände.
Merksatz:
Sync hält gleich.
Backup stellt wieder her.
Aufgabe 39: RPO und RTO unterscheiden
Aufgabe:
Unterscheiden Sie RPO und RTO.
Musterantwort:
Begriff
Bedeutung
RPO
maximal akzeptabler Datenverlust
RTO
maximal akzeptable Wiederherstellungszeit
Beispiel:
RPO 1 Stunde:
maximal Datenverlust von 1 Stunde.
RTO 4 Stunden:
System soll spätestens nach 4 Stunden wieder laufen.
Merksatz:
RPO = Datenverlust.
RTO = Zeit bis Wiederherstellung.
Aufgabe 40: Restore-Test begründen
Aufgabe:
Warum sind Restore-Tests wichtig?
Musterantwort:
Restore-Tests prüfen,
ob Backups tatsächlich wiederhergestellt werden können.
Ohne Restore-Test ist unklar,
ob Daten vollständig,
lesbar,
konsistent
und rechtzeitig wiederherstellbar sind.
Merksatz:
Backup ohne Restore-Test ist unsicher.
Aufgabe 41: Snapshot bewerten
Aufgabe:
Warum ersetzt ein Snapshot kein Backup?
Musterantwort:
Ein Snapshot liegt oft auf demselben System oder Speicher wie die Produktivdaten.
Bei Speicherdefekt,
Ransomware,
versehentlicher Löschung
oder Standortausfall kann auch der Snapshot betroffen sein.
Ein Backup sollte getrennt,
geschützt
und wiederherstellbar sein.
Merksatz:
Snapshot ist Momentaufnahme,
aber kein vollständiges Backup-Konzept.
Aufgabe 42: 3-2-1-Regel erklären
Aufgabe:
Erklären Sie die 3-2-1-Regel.
Musterantwort:
Die 3-2-1-Regel bedeutet:
Es gibt drei Kopien der Daten,
auf zwei unterschiedlichen Speicherarten,
davon eine Kopie extern oder getrennt vom Hauptsystem.
Merksatz:
3 Kopien,
2 Medien,
1 externe Kopie.
Aufgabe 43: Dokumentation begründen
Aufgabe:
Warum ist IT-Dokumentation wichtig?
Musterantwort:
IT-Dokumentation macht Systeme,
IP-Adressen,
Dienste,
Rechte,
Firewall-Regeln,
Backups
und Abhängigkeiten nachvollziehbar.
Sie hilft bei Fehlersuche,
Vertretung,
Notfällen,
Audits
und sicheren Änderungen.
Merksatz:
Dokumentation macht Betrieb nachvollziehbar.
Aufgabe 44: Change Management erklären
Aufgabe:
Was ist Change Management?
Musterantwort:
Change Management ist ein kontrollierter Prozess für Änderungen an IT-Systemen.
Änderungen werden geplant,
bewertet,
freigegeben,
umgesetzt,
getestet
und dokumentiert.
Merksatz:
Change Management verhindert unkontrollierte Änderungen.
Aufgabe 45: Rollback-Plan erklären
Aufgabe:
Warum ist ein Rollback-Plan wichtig?
Musterantwort:
Ein Rollback-Plan beschreibt,
wie eine Änderung rückgängig gemacht werden kann,
falls sie fehlschlägt.
Dadurch können Ausfallzeiten und Folgeschäden reduziert werden.
Merksatz:
Vor Änderung wissen,
wie man zurückkommt.
Aufgabe 46: Emergency Change bewerten
Aufgabe:
Muss ein Emergency Change dokumentiert werden?
Antwort:
Ja.
Ein Emergency Change ist zwar dringend,
muss aber spätestens nachträglich dokumentiert werden.
Sonst sind Ursache,
Wirkung,
Risiko
und geänderte Konfiguration später nicht nachvollziehbar.
Merksatz:
Dringend heißt nicht dokumentationsfrei.
Aufgabe 47: Runbook erklären
Aufgabe:
Was ist ein Runbook?
Musterantwort:
Ein Runbook ist eine Schritt-für-Schritt-Anleitung für wiederkehrende Aufgaben oder Störungen.
Es beschreibt,
wie eine bestimmte administrative Aufgabe oder Fehlerbehebung durchgeführt wird.
Merksatz:
Runbook = konkrete Schritt-für-Schritt-Anleitung.
Aufgabe 48: CMDB erklären
Aufgabe:
Was ist eine CMDB?
Musterantwort:
Eine CMDB ist eine Configuration Management Database.
Sie enthält Informationen über verwaltete IT-Elemente,
sogenannte Configuration Items,
und deren Beziehungen.
Beispiele:
Server
Anwendungen
Datenbanken
Firewalls
Zertifikate
Lizenzen
Merksatz:
CMDB zeigt IT-Elemente und ihre Beziehungen.
Aufgabe 49: Fehlersuche strukturieren
Aufgabe:
Ein Benutzer meldet,
dass er eine interne Anwendung nicht erreichen kann.
Nennen Sie eine sinnvolle Prüfungsreihenfolge.
Musterantwort:
1. Prüfen,
ob nur ein Benutzer oder mehrere betroffen sind.
2. IP-Konfiguration des Clients prüfen.
3. DNS-Auflösung prüfen.
4. Erreichbarkeit des Servers per IP prüfen.
5. Port und Dienst prüfen.
6. Firewall-Regeln prüfen.
7. Logs der Anwendung und des Servers prüfen.
8. Letzte Änderungen prüfen.
Merksatz:
Fehlersuche systematisch eingrenzen.
Aufgabe 50: Sicherheitsmaßnahme passend auswählen
Aufgabe:
Ein Unternehmen möchte verhindern,
dass ein gestohlenes Passwort allein für den Zugriff auf Cloud-Dienste reicht.
Welche Maßnahme ist passend?
Antwort:
Multi-Faktor-Authentifizierung
Begründung:
MFA fordert zusätzlich zum Passwort einen weiteren Faktor,
zum Beispiel einen Token,
eine App-Bestätigung
oder eine Smartcard.
Dadurch reicht ein gestohlenes Passwort allein nicht aus.
Merksatz:
Gestohlenes Passwort allein verhindern:
MFA.
Musterformulierung für Fehlerdiagnose
Gute Antwortform:
Wahrscheinlich liegt ein DNS-Problem vor,
da die IP-Adresse erreichbar ist,
der Name jedoch nicht aufgelöst wird.
Der DNS-Server und der DNS-Eintrag sollten mit nslookup oder dig geprüft werden.
Struktur:
Ursache
plus
Begründung
plus
Prüfung
Merksatz:
Ursache,
Begründung,
Prüfung.
Musterformulierung für Sicherheitsmaßnahmen
Gute Antwortform:
Das Risiko besteht im unberechtigten Zugriff durch gestohlene Zugangsdaten.
Als Maßnahme sollte MFA aktiviert werden.
Dadurch reicht ein Passwort allein nicht mehr aus,
um Zugriff zu erhalten.
Struktur:
Risiko
plus
Maßnahme
plus
Wirkung
Merksatz:
Risiko,
Maßnahme,
Wirkung.
Musterformulierung für Vergleiche
Gute Antwortform:
TCP und UDP sind Transportprotokolle.
TCP ist verbindungsorientiert und zuverlässig,
UDP ist verbindungslos und hat weniger Overhead.
TCP eignet sich für vollständige Datenübertragung,
UDP für zeitkritische Anwendungen wie VoIP.
Struktur:
Gemeinsamkeit
plus
Unterschied
plus
Beispiel
Merksatz:
Gemeinsamkeit,
Unterschied,
Beispiel.
Musterformulierung für Bewertungen
Gute Antwortform:
Die Lösung ist kritisch,
weil der Administrationsdienst direkt aus dem Internet erreichbar ist.
Dadurch steigt das Risiko für Brute-Force-Angriffe und Exploits.
Sicherer wäre ein Zugriff über VPN oder Bastion Host mit MFA und Protokollierung.
Struktur:
Einschätzung
plus
Risiko
plus
bessere Maßnahme
Merksatz:
Bewertung braucht fachliche Begründung.
Typische Prüfungsfallen auf dieser Seite
Antwort nicht auf die Frage bezogen.
Operator übersehen.
Nur Begriff genannt,
obwohl Erklärung verlangt war.
Keine Begründung gegeben.
Maßnahme genannt,
aber Wirkung nicht erklärt.
DNS und DHCP verwechselt.
Authentifizierung und Autorisierung verwechselt.
NAT und PAT verwechselt.
SFTP und FTPS verwechselt.
RPO und RTO verwechselt.
Backup und Synchronisation verwechselt.
VLAN und Subnetz gleichgesetzt.
Firewallproblem behauptet,
ohne Port oder Dienst zu prüfen.
Ping als vollständigen Diensttest verstanden.
Snapshot als vollständiges Backup bezeichnet.
Merksatz:
Viele Fehler entstehen durch ungenaue Begriffe.
Checkliste: Musterantwort prüfen
Vor Abgabe prüfen:
Habe ich die Frage beantwortet?
Habe ich die geforderte Anzahl genannt?
Habe ich den Operator beachtet?
Habe ich Fachbegriffe korrekt verwendet?
Habe ich kurz begründet?
Habe ich bei Berechnungen eine Einheit angegeben?
Habe ich bei Fehlersuche Ursache und Prüfung genannt?
Habe ich bei Sicherheit Risiko und Maßnahme verbunden?
Merksatz:
Eine kurze richtige Antwort ist besser als eine lange ungenaue Antwort.
IHK-sichere Kurzformulierung
Typische Prüfungsaufgaben prüfen nicht nur Definitionen, sondern die Anwendung von Wissen auf Fehlerbilder, Sicherheitsrisiken und technische Szenarien. Gute Antworten nennen die wahrscheinliche Ursache, begründen sie mit den Angaben aus der Aufgabe und nennen eine passende Prüfung oder Maßnahme. Bei Sicherheitsfragen sollten Risiko, Schutzmaßnahme und Wirkung verbunden werden. Bei Vergleichen sollten Unterschiede klar gegenübergestellt werden. Bei Berechnungen müssen Einheit, Präfix, Formel und Ergebnis stimmen. Fachbegriffe wie DNS, DHCP, Authentifizierung, Autorisierung, NAT, PAT, SFTP, FTPS, Backup, Replikation, RPO und RTO müssen sauber unterschieden werden.
Merksätze
Musterantworten zeigen Struktur,
nicht Auswendiglernen.
Gute Antworten sind kurz und fachlich.
Ursache aus Fehlerbild ableiten.
Maßnahme passend zum Risiko wählen.
IP geht,
Name nicht:
DNS.
Lokal geht,
extern nicht:
Gateway.
169.254.x.x:
DHCP-Problem.
Host erreichbar,
Dienst nicht:
Port,
Dienst,
Firewall.
Login geht,
Zugriff nicht:
Rechte.
SSH nutzt TCP 22.
RDP nutzt TCP 3389.
SMB nutzt TCP 445.
HTTPS nutzt TCP 443.
VLAN trennt logisch.
Routing verbindet Netze.
NAT übersetzt Adressen.
PAT nutzt Ports.
IDS meldet.
IPS blockiert zusätzlich.
MFA schützt gegen Passwortmissbrauch.
SIEM sammelt und korreliert Logs.
Backup ohne Restore-Test ist unsicher.
Sync ist kein Backup.
Replikation ist kein Backup.
RPO ist Datenverlust.
RTO ist Wiederherstellungszeit.
Dokumentation macht Betrieb nachvollziehbar.
Change Management kontrolliert Änderungen.
Rollback vor Änderung planen.
Dringend heißt nicht dokumentationsfrei.
Fachbegriffe sauber verwenden.
Antwort immer zur Aufgabe passend formulieren.
18.3 Prüfungschecklisten nach Themen
Diese Seite dient als kompakte Wiederholung,
um kurz vor der Prüfung die wichtigsten Themen systematisch zu prüfen.
Sie ist nach Themenbereichen aufgebaut.
Ziel ist:
- Lücken erkennen
- Begriffe sauber unterscheiden
- typische Fehler vermeiden
- prüfungssichere Kurzantworten vorbereiten
- Zusammenhänge wiederholen
Merksatz:
Eine Checkliste hilft,
Wissen geordnet zu wiederholen.
Checkliste: OSI-Modell
Das solltest du sicher können:
OSI-Schichten 1 bis 7 benennen.
Aufgabe jeder Schicht erklären.
typische Protokolle und Geräte zuordnen.
Fehlerbilder passenden Schichten zuordnen.
Kapselung erklären.
PDUs zuordnen.
Schicht
Name
Typische Begriffe
7
Anwendung
HTTP, DNS, DHCP, SMTP
6
Darstellung
TLS, Verschlüsselung, Codierung
5
Sitzung
Session, Sitzungsaufbau
4
Transport
TCP, UDP, Ports
3
Vermittlung
IP, Routing, ICMP
2
Sicherung
MAC, Ethernet, Switch, VLAN, ARP
1
Bitübertragung
Kabel, Signal, Stecker, Funk
Merksatz:
OSI ist ein Denkmodell für Kommunikation und Fehlersuche.
Checkliste: TCP/IP-Modell
Das solltest du sicher können:
TCP/IP-Schichten benennen.
TCP/IP-Schichten grob OSI zuordnen.
Protokolle passend einordnen.
Unterschied zwischen OSI und TCP/IP erklären.
TCP/IP-Schicht
Entspricht grob OSI
Beispiele
Anwendung
5 bis 7
HTTP, DNS, DHCP, SMTP
Transport
4
TCP, UDP
Internet
3
IP, ICMP
Netzzugang
1 bis 2
Ethernet, WLAN, MAC
Merksatz:
TCP/IP ist praxisnäher,
OSI ist feiner aufgeteilt.
Checkliste: Kapselung
Das solltest du sicher können:
Daten werden beim Senden schrittweise verpackt.
Jede Schicht ergänzt eigene Steuerinformationen.
Beim Empfangen wird entkapselt.
MAC,
IP
und Port gehören zu unterschiedlichen Schichten.
Reihenfolge beim Senden:
Anwendungsdaten
Segment oder Datagramm
Paket
Frame
Bits
Merksatz:
Kapselung bedeutet:
jede Schicht ergänzt ihren eigenen Header.
Checkliste: MAC, IP und Port
Begriff
Schicht
Aufgabe
MAC-Adresse
2
lokale Zustellung im LAN
IP-Adresse
3
logische Adressierung und Routing
Port
4
Zuordnung zu Dienst oder Anwendung
Typische Prüfungsfalle:
MAC-Adresse wird nicht über Router hinweg weiterverwendet.
IP-Adresse bleibt für Routing relevant.
Port zeigt den Dienst auf dem Zielhost.
Merksatz:
MAC lokal,
IP über Netze,
Port zum Dienst.
Checkliste: IPv4
Das solltest du sicher können:
IPv4 besteht aus 32 Bit.
Darstellung in vier Oktetten.
Netzanteil und Hostanteil unterscheiden.
Präfixschreibweise verstehen.
private IPv4-Bereiche kennen.
Netzadresse,
Broadcast
und nutzbare Hosts bestimmen.
Private Bereiche:
Bereich
CIDR
10.0.0.0 bis 10.255.255.255
10.0.0.0/8
172.16.0.0 bis 172.31.255.255
172.16.0.0/12
192.168.0.0 bis 192.168.255.255
192.168.0.0/16
Merksatz:
Private IPv4-Adressen werden im Internet nicht direkt geroutet.
Checkliste: Subnetting
Das solltest du sicher können:
Präfix in Netzbits und Hostbits zerlegen.
Hostanzahl berechnen.
Blockgröße bestimmen.
Netzadresse finden.
Broadcastadresse finden.
erste und letzte nutzbare Adresse bestimmen.
größere und kleinere Präfixe richtig einordnen.
Formel:
nutzbare Hosts = 2 hoch Hostbits minus 2
Beispiel:
/26
Hostbits:
32 - 26 = 6
Adressen:
64
Nutzbare Hosts:
62
Merksatz:
Mehr Hostbits bedeuten mehr Hosts.
Mehr Netzbits bedeuten kleinere Subnetze.
Checkliste: häufige IPv4-Präfixe
Präfix
Maske
Adressen
nutzbare Hosts
/24
255.255.255.0
256
254
/25
255.255.255.128
128
126
/26
255.255.255.192
64
62
/27
255.255.255.224
32
30
/28
255.255.255.240
16
14
/29
255.255.255.248
8
6
/30
255.255.255.252
4
2
Merksatz:
Von /24 zu /25 halbiert sich die Anzahl der Adressen.
Von /25 zu /24 verdoppelt sie sich.
Checkliste: IPv6
Das solltest du sicher können:
IPv6 hat 128 Bit.
Schreibweise in hexadezimalen Blöcken.
führende Nullen können weggelassen werden.
einmalige Kürzung mit doppeltem Doppelpunkt möglich.
kein klassischer IPv4-Broadcast.
SLAAC und DHCPv6 grob einordnen.
Link-Local-Adressen erkennen.
Wichtige Begriffe:
Global Unicast
Link-Local
Multicast
SLAAC
DHCPv6
Präfix
Merksatz:
IPv6 ist nicht einfach nur längeres IPv4.
Checkliste: Gateway und Routing
Das solltest du sicher können:
Gateway ist Router in andere Netze.
Ohne Gateway meist nur lokales Netz erreichbar.
Routing-Tabelle enthält Zielnetz,
Gateway,
Interface
und Metrik.
spezifischste Route gewinnt.
Standardroute ist Weg für unbekannte Ziele.
Typisches Fehlerbild:
lokal erreichbar,
Internet nicht erreichbar
Wahrscheinlich:
Gateway,
NAT
oder Firewall
Merksatz:
Gateway führt aus dem eigenen Netz heraus.
Checkliste: DNS
Das solltest du sicher können:
DNS löst Namen in IP-Adressen auf.
DNS kann auch Reverse Lookup liefern.
wichtige Recordtypen kennen.
DNS-Probleme von IP-Problemen unterscheiden.
nslookup oder dig als Prüfwerkzeuge kennen.
Wichtige Records:
Record
Bedeutung
A
Name zu IPv4
AAAA
Name zu IPv6
CNAME
Alias
MX
Mailserver
TXT
Textinformationen
NS
Nameserver
PTR
Reverse DNS
Merksatz:
IP funktioniert,
Name nicht:
DNS prüfen.
Checkliste: DHCP
Das solltest du sicher können:
DHCP verteilt IP-Konfiguration automatisch.
DHCP vergibt IP-Adresse,
Maske,
Gateway,
DNS
und Lease-Zeit.
DORA-Ablauf kennen.
APIPA erkennen.
DHCP-Relay grob verstehen.
DORA:
Discover
Offer
Request
Acknowledge
APIPA:
169.254.0.0/16
Merksatz:
169.254.x.x bedeutet häufig:
kein DHCP erhalten.
Checkliste: ARP
Das solltest du sicher können:
ARP löst IPv4-Adresse in MAC-Adresse auf.
ARP funktioniert im lokalen Netz.
ARP wird benötigt,
um Frames an das lokale Ziel oder Gateway zu senden.
ARP-Spoofing als Angriff kennen.
Merksatz:
ARP verbindet IPv4 und MAC im lokalen Netz.
Checkliste: Switching
Das solltest du sicher können:
Switch arbeitet hauptsächlich auf Schicht 2.
Switch lernt MAC-Adressen.
MAC-Adresstabelle ordnet MACs Ports zu.
unbekannte Ziel-MAC führt zu Flooding.
Broadcasts werden im VLAN verteilt.
Schleifen können Broadcast-Stürme verursachen.
Merksatz:
Switches leiten Frames anhand von MAC-Adressen weiter.
Checkliste: VLAN
Das solltest du sicher können:
VLAN trennt logisch auf Schicht 2.
VLANs bilden getrennte Broadcast-Domänen.
Access-Port und Trunk-Port unterscheiden.
Inter-VLAN-Routing benötigt Router oder Layer-3-Switch.
VLANs verbessern Struktur und Sicherheit,
ersetzen aber keine Firewall.
Porttyp
Bedeutung
Access-Port
ein VLAN, meistens Endgerät
Trunk-Port
mehrere VLANs, meistens Verbindung zwischen Netzwerkgeräten
Merksatz:
Access = ein VLAN.
Trunk = mehrere VLANs.
Checkliste: STP
Das solltest du sicher können:
STP verhindert Schleifen auf Schicht 2.
Schleifen können Broadcast-Stürme verursachen.
STP blockiert redundante Pfade logisch.
Redundanz ist möglich,
ohne Schleife aktiv zu nutzen.
Merksatz:
STP schützt vor Layer-2-Schleifen.
Checkliste: TCP
Das solltest du sicher können:
TCP ist verbindungsorientiert.
TCP ist zuverlässig.
TCP nutzt Bestätigungen.
TCP kann verlorene Daten erneut übertragen.
TCP stellt Reihenfolge sicher.
TCP nutzt Ports.
TCP hat mehr Overhead als UDP.
Typische Dienste:
HTTP
HTTPS
SSH
SMTP
IMAP
POP3
RDP
Merksatz:
TCP = zuverlässig und verbindungsorientiert.
Checkliste: UDP
Das solltest du sicher können:
UDP ist verbindungslos.
UDP hat wenig Overhead.
UDP garantiert keine Zustellung.
UDP garantiert keine Reihenfolge.
UDP ist gut für schnelle oder zeitkritische Kommunikation.
Typische Dienste:
DNS
DHCP
VoIP
Streaming
Gaming
Merksatz:
UDP = schnell,
schlank
und verbindungslos.
Checkliste: Standardports
Dienst
Protokoll
Port
FTP
TCP
21
SSH
TCP
22
Telnet
TCP
23
SMTP
TCP
25
DNS
UDP/TCP
53
DHCP Server
UDP
67
DHCP Client
UDP
68
HTTP
TCP
80
POP3
TCP
110
IMAP
TCP
143
HTTPS
TCP
443
SMB
TCP
445
SMTPS
TCP
465
IMAPS
TCP
993
POP3S
TCP
995
RDP
TCP
3389
Merksatz:
Ports mit Dienst,
Protokoll
und Zweck lernen.
Checkliste: NAT, PAT und Portweiterleitung
Das solltest du sicher können:
NAT übersetzt IP-Adressen.
PAT nutzt zusätzlich Ports.
PAT ermöglicht vielen Clients eine öffentliche IP.
Portweiterleitung macht internen Dienst extern erreichbar.
NAT ist keine vollwertige Firewall.
Portweiterleitung erhöht Angriffsfläche.
Merksatz:
NAT übersetzt Adressen.
PAT unterscheidet über Ports.
Portweiterleitung veröffentlicht Dienste.
Checkliste: Firewall
Das solltest du sicher können:
Firewall filtert Verkehr.
Regeln enthalten Quelle,
Ziel,
Port,
Protokoll,
Richtung
und Aktion.
Default Deny ist sicherer.
Any-to-Any ist kritisch.
Stateful Firewall kennt Verbindungszustände.
Firewall-Logs helfen bei Fehlersuche.
Merksatz:
Firewall-Regeln so eng wie möglich formulieren.
Checkliste: DMZ
Das solltest du sicher können:
DMZ ist getrenntes Netz für öffentlich erreichbare Dienste.
DMZ schützt internes Netz.
DMZ-Systeme dürfen nur notwendige Verbindungen haben.
typische Systeme sind Webserver,
Reverse Proxy,
Mail-Gateway
und VPN-Gateway.
Merksatz:
DMZ trennt öffentliche Dienste vom internen Netz.
Checkliste: VPN
Das solltest du sicher können:
VPN verschlüsselt Verbindung über unsichere Netze.
Remote-Access-VPN verbindet Benutzer.
Site-to-Site-VPN verbindet Standorte.
VPN ersetzt keine Rechteverwaltung.
VPN braucht Authentifizierung,
Routing,
DNS
und Firewall-Regeln.
Merksatz:
VPN schützt den Transportweg,
aber nicht automatisch alle Zugriffe.
Checkliste: Cloud
Das solltest du sicher können:
IaaS,
PaaS
und SaaS unterscheiden.
Public,
Private,
Hybrid
und Multi Cloud unterscheiden.
Shared Responsibility erklären.
IAM als Zugriffskontrolle verstehen.
Security Groups grob einordnen.
Kostenkontrolle und Monitoring beachten.
Modell
Bedeutung
IaaS
Infrastruktur
PaaS
Plattform
SaaS
fertige Anwendung
Merksatz:
Cloud bedeutet geteilte Verantwortung.
Checkliste: IT-Sicherheit
Das solltest du sicher können:
Vertraulichkeit,
Integrität
und Verfügbarkeit unterscheiden.
Authentizität und Nichtabstreitbarkeit kennen.
Schwachstelle,
Bedrohung
und Risiko unterscheiden.
technische,
organisatorische,
personelle
und physische Maßnahmen unterscheiden.
Merksatz:
Schutzmaßnahme immer zum Risiko und Schutzziel passend wählen.
Checkliste: typische Angriffe
Angriff
Kurzbeschreibung
Malware
Schadsoftware
Ransomware
verschlüsselt oder sperrt Daten
Phishing
Täuschung zur Datenpreisgabe
Social Engineering
Manipulation von Menschen
DoS
Dienstüberlastung
DDoS
verteilter DoS
MitM
Angreifer zwischen Kommunikationspartnern
Spoofing
Identität oder Herkunft vortäuschen
SQL Injection
SQL-Code einschleusen
XSS
Skript im Browser ausführen
CSRF
gültige Sitzung missbrauchen
Brute Force
systematisches Ausprobieren
Merksatz:
Angriff erkennen,
Schutzziel zuordnen,
Maßnahme nennen.
Checkliste: Schutzmaßnahmen
Risiko
Maßnahme
Passwortdiebstahl
MFA
Malware
EDR, Patchmanagement
Ransomware
Backup, Segmentierung
DDoS
DDoS-Schutz, CDN
Datenabfluss
DLP, Verschlüsselung
unsichere Rechte
Least Privilege
alte Software
Patchmanagement
Fehlkonfiguration
Change Management
unklare Vorfälle
Logging, SIEM
Phishing
Schulung, MFA, Mailfilter
Merksatz:
Gute Sicherheit besteht aus mehreren Schutzschichten.
Checkliste: Benutzer und Rechte
Das solltest du sicher können:
Benutzerkonto als digitale Identität erklären.
persönliche Konten statt Sammelkonten.
Gruppen und Rollen unterscheiden.
RBAC und ABAC grob erklären.
Authentifizierung und Autorisierung unterscheiden.
Least Privilege erklären.
Admin- und Alltagskonto trennen.
Dienstkonten rechtearm betreiben.
Offboarding konsequent durchführen.
Merksatz:
Rechte müssen notwendig,
nachvollziehbar
und regelmäßig geprüft sein.
Checkliste: Logs und Monitoring
Das solltest du sicher können:
Logging und Monitoring unterscheiden.
Alerting erklären.
typische Logquellen nennen.
zentrale Logsammlung erklären.
NTP-Bedeutung für Logs kennen.
Health Checks verstehen.
Backup-Monitoring erklären.
Zertifikatsüberwachung beachten.
Begriff
Bedeutung
Logging
Ereignisse aufzeichnen
Monitoring
Zustände überwachen
Alerting
alarmieren
Reporting
auswerten
Merksatz:
Logs zeigen Ereignisse.
Monitoring zeigt Zustände.
Checkliste: Netzwerkbefehle
Aufgabe
Windows
Linux/macOS
IP prüfen
ipconfig
ip addr
Routing prüfen
route print
ip route
DNS prüfen
nslookup
dig
Erreichbarkeit prüfen
ping
ping
Route verfolgen
tracert
traceroute
Verbindungen prüfen
netstat
ss
Dienst prüfen
services.msc, PowerShell
systemctl
Logs prüfen
Ereignisanzeige
journalctl
Merksatz:
Befehle liefern Fakten für die Fehlersuche.
Checkliste: Dateiübertragung
Das solltest du sicher können:
SMB,
NFS,
FTP,
FTPS,
SFTP
und SCP unterscheiden.
FTP als unverschlüsselt erkennen.
SFTP und FTPS nicht verwechseln.
SMB-Port TCP 445 kennen.
Freigabe- und Dateisystemrechte gemeinsam prüfen.
Synchronisation nicht mit Backup verwechseln.
Merksatz:
SFTP nutzt SSH.
FTPS nutzt FTP mit TLS.
Checkliste: Backup und Restore
Das solltest du sicher können:
Backup und Restore unterscheiden.
Restore-Test begründen.
Vollbackup,
inkrementell
und differenziell unterscheiden.
Snapshot einordnen.
RPO und RTO unterscheiden.
3-2-1-Regel erklären.
Immutable und Offline Backup erklären.
Redundanz,
Replikation
und Synchronisation von Backup unterscheiden.
Merksatz:
Backup ohne Restore-Test ist unsicher.
Checkliste: Dokumentation und Change Management
Das solltest du sicher können:
Dokumentation als Betriebs- und Sicherheitsmaßnahme erklären.
Systemdokumentation,
Netzwerkdokumentation
und Runbook unterscheiden.
IPAM erklären.
Netzplan erklären.
Change Management erklären.
Standard Change,
Normal Change
und Emergency Change unterscheiden.
Rollback-Plan erklären.
CMDB und Configuration Item grob einordnen.
Merksatz:
Änderungen müssen geplant,
getestet,
dokumentiert
und bei Bedarf rückgängig machbar sein.
Checkliste: typische Fehlerbilder
Fehlerbild
Wahrscheinliche Richtung
IP geht, Name nicht
DNS
Lokal geht, Internet nicht
Gateway, NAT, Firewall
169.254.x.x
DHCP
Host erreichbar, Dienst nicht
Port, Dienst, Firewall
Anmeldung scheitert
Authentifizierung
Anmeldung geht, Zugriff nicht
Autorisierung, Rechte
Zertifikatswarnung
Zertifikat, Hostname, Zeit
nur ein VLAN betroffen
VLAN, Routing, Firewall
nach Update defekt
Änderung, Version, Kompatibilität
Dateiübertragung langsam
Netzwerk, Speicher, Last
Backup nicht nutzbar
Restore-Test, Konsistenz, Schlüssel
Merksatz:
Fehlerbild zuerst einordnen,
dann Maßnahme ableiten.
Checkliste: Prüfungsantwort formulieren
Eine gute Antwort enthält:
klare Ursache
Bezug zur Aufgabe
Fachbegriff
kurze Begründung
passende Prüfung oder Maßnahme
Einheit bei Berechnung
keine unnötigen Ausschweifungen
Struktur bei Fehler:
Ursache
Begründung
Prüfung
Struktur bei Sicherheit:
Risiko
Maßnahme
Wirkung
Merksatz:
Kurz,
fachlich,
begründet.
Checkliste: Rechenaufgaben
Vor Abgabe prüfen:
Bit oder Byte?
Mbit oder MB?
Präfix korrekt?
Netzbits und Hostbits korrekt?
Netzadresse korrekt?
Broadcast korrekt?
nutzbare Hosts korrekt?
Einheit angegeben?
Ergebnis plausibel?
Merksatz:
Einheitenfehler sind klassische Prüfungsfehler.
Checkliste: letzte 10 Minuten vor Abgabe
Name und Aufgabe prüfen.
Alle Teilaufgaben beantwortet?
Gefragte Anzahl eingehalten?
Einheiten ergänzt?
Rechenwege plausibel?
Fachbegriffe korrekt?
Tabellen vollständig?
Netzadresse und Broadcast geprüft?
RPO und RTO nicht verwechselt?
DNS und DHCP nicht verwechselt?
Authentifizierung und Autorisierung nicht verwechselt?
Antwort lesbar und eindeutig?
Merksatz:
Die letzten Minuten bringen oft noch sichere Punkte.
IHK-sichere Kurzformulierung
Prüfungschecklisten helfen dabei, Themen systematisch zu wiederholen und typische Fehler zu vermeiden. Besonders wichtig sind die sichere Zuordnung von OSI-Schichten, MAC-Adresse, IP-Adresse und Port, die Unterscheidung von DNS und DHCP, Gateway und Routing, TCP und UDP, NAT und PAT, Authentifizierung und Autorisierung sowie Backup, Replikation und Synchronisation. Bei Fehlerbildern sollte zuerst das Symptom eingeordnet und anschließend eine passende Prüfung oder Maßnahme genannt werden. Gute Prüfungsantworten sind kurz, fachlich korrekt, begründet und direkt auf die Aufgabenstellung bezogen.
Merksätze
Checklisten ordnen Wiederholung.
OSI hilft bei Fehlersuche.
TCP/IP ist praxisnah.
Kapselung verpackt Daten.
MAC ist Schicht 2.
IP ist Schicht 3.
Port ist Schicht 4.
IPv4 hat 32 Bit.
Private Adressen werden nicht direkt im Internet geroutet.
Subnetting immer systematisch lösen.
Mehr Hostbits bedeuten mehr Hosts.
Gateway führt in andere Netze.
DNS löst Namen auf.
DHCP verteilt Konfiguration.
ARP löst IPv4 zu MAC auf.
Switch lernt MAC-Adressen.
VLAN trennt logisch.
STP verhindert Schleifen.
TCP ist zuverlässig.
UDP ist schlank.
Ports mit Dienst und Protokoll lernen.
NAT übersetzt Adressen.
PAT nutzt Ports.
Firewall filtert Verkehr.
DMZ trennt öffentliche Dienste.
VPN verschlüsselt Verbindungen.
Cloud bedeutet geteilte Verantwortung.
Sicherheit schützt Vertraulichkeit,
Integrität
und Verfügbarkeit.
Rechte regelmäßig prüfen.
Logs zeigen Ereignisse.
Monitoring zeigt Zustände.
Befehle liefern Fakten.
FTP ist unverschlüsselt.
SFTP ist nicht FTPS.
Backup ohne Restore-Test ist unsicher.
Replikation ist kein Backup.
Dokumentation macht Betrieb nachvollziehbar.
Change Management kontrolliert Änderungen.
Fehlerbild bestimmt Prüfweg.
Prüfungsantwort:
kurz,
fachlich,
begründet.
18.4 Merksätze und Prüfungswissen zur Prüfungsvorbereitung
Diese Seite fasst die wichtigsten Punkte zur Prüfungsvorbereitung zusammen.
Sie dient als Abschluss für das Kapitel Prüfungsvorbereitung und Wiederholung.
Im Mittelpunkt stehen:
- Aufgaben richtig lesen
- Operatoren beachten
- Signalwörter erkennen
- Fehlerbilder einordnen
- Fachbegriffe sauber verwenden
- Rechenaufgaben systematisch lösen
- Antworten kurz und prüfungssicher formulieren
Merksatz:
Prüfungsvorbereitung heißt:
Wissen verstehen,
anwenden
und sauber formulieren.
Wichtigste Grundregel
Die wichtigste Regel in der Prüfung lautet:
Erst die Aufgabe verstehen,
dann antworten.
Nicht sofort auf bekannte Stichwörter reagieren.
Immer prüfen:
Was wird wirklich gefragt?
Welche Informationen sind gegeben?
Welche Einschränkungen stehen in der Aufgabe?
Wie viele Antworten werden verlangt?
Soll ich nennen,
erklären,
begründen,
vergleichen
oder berechnen?
Merksatz:
Die Aufgabenstellung entscheidet,
wie die Antwort aussehen muss.
Operatoren sicher beachten
Operator
Erwartung
nennen
kurze Begriffe oder Stichpunkte
beschreiben
sachlich darstellen
erklären
Zusammenhang deutlich machen
begründen
Warum nennen
vergleichen
Unterschiede und Gemeinsamkeiten darstellen
berechnen
rechnerisch ermitteln
bewerten
fachlich einschätzen
zuordnen
passend einordnen
Merksatz:
Wer den Operator ignoriert,
beantwortet schnell die falsche Frage.
Antworten nach Operator formulieren
Beispiel „nennen“:
Zwei Vorteile von VLANs sind logische Netztrennung
und kleinere Broadcast-Domänen.
Beispiel „erklären“:
VLANs trennen ein physisches Netzwerk logisch in mehrere getrennte Netzbereiche.
Dadurch können Geräte verschiedener Abteilungen oder Sicherheitszonen getrennt werden.
Beispiel „begründen“:
VLANs erhöhen die Struktur und Sicherheit,
weil Broadcastverkehr begrenzt
und Zugriffe zwischen Netzbereichen gezielter geregelt werden können.
Merksatz:
Gleicher Begriff,
andere Antworttiefe je nach Operator.
Signalwörter erkennen
Signalwörter zeigen oft direkt die Richtung der Lösung.
Signalwort oder Fehlerbild
Wahrscheinliches Thema
IP erreichbar, Name nicht
DNS
169.254.x.x
DHCP
lokal erreichbar, extern nicht
Gateway, NAT, Firewall
Host erreichbar, Dienst nicht
Port, Dienst, Firewall
Anmeldung fehlgeschlagen
Authentifizierung
Zugriff verweigert
Autorisierung, Rechte
Zertifikatswarnung
Zertifikat, Hostname, Zeit
nur ein VLAN betroffen
VLAN, Routing, Firewall
nach Update defekt
Change, Version, Kompatibilität
viele fehlgeschlagene Logins
Brute Force, Passwortangriff
verschlüsselte Dateien
Ransomware
gestohlene Zugangsdaten
Phishing, Credential Theft
Backup nicht lesbar
Restore-Test, Konsistenz, Schlüssel
Merksatz:
Signalwörter sind Hinweise,
keine Zufälle.
Typische Fehlerbilder sicher zuordnen
Fehlerbild
Erste Prüfung
kein Netzwerk
Kabel, WLAN, Link, IP
kein Internet
Gateway, DNS, NAT, Firewall
Name funktioniert nicht
DNS
falsche automatische IP
DHCP
Dienst nicht erreichbar
Port, Dienststatus, Firewall
Datei nicht zugreifbar
Rechte, Gruppe, ACL
Login nicht möglich
Konto, Passwort, MFA, Verzeichnisdienst
Webseite 404
URL, Pfad, Webserver
Webseite 500
Anwendung, Backend, Logs
Zertifikatsfehler
Ablaufdatum, Hostname, Kette, Uhrzeit
langsame Verbindung
Latenz, Paketverlust, Last, DNS
Merksatz:
Fehlerbild zuerst einordnen,
dann gezielt prüfen.
OSI-Modell als Prüfungswerkzeug
Das OSI-Modell hilft,
Fehler strukturiert einzugrenzen.
Schicht
Typische Fehler
1
Kabel defekt, kein Link, falscher Stecker
2
VLAN falsch, MAC-Problem, ARP, Switchport
3
IP falsch, Gateway falsch, Routingfehler
4
Port blockiert, TCP/UDP-Problem
5
Sitzung abgelaufen, Sessionproblem
6
TLS, Zertifikat, Codierung
7
DNS, DHCP, HTTP, SMTP, SMB
Merksatz:
Von unten nach oben prüfen:
physisch,
Netzwerk,
Dienst,
Anwendung.
MAC, IP und Port nicht verwechseln
Begriff
Schicht
Aufgabe
MAC-Adresse
2
lokale Zustellung im LAN
IP-Adresse
3
logische Adressierung über Netze
Port
4
Zuordnung zu einem Dienst
Merksatz:
MAC findet lokal.
IP findet das Zielnetz.
Port findet den Dienst.
DNS und DHCP nicht verwechseln
DNS:
löst Namen in IP-Adressen auf
DHCP:
verteilt IP-Konfiguration automatisch
Beispiel DNS-Problem:
IP funktioniert,
Name nicht.
Beispiel DHCP-Problem:
Client erhält 169.254.x.x
oder keine passende IP-Konfiguration.
Merksatz:
DNS beantwortet:
Wie heißt die IP?
DHCP beantwortet:
Welche IP bekomme ich?
Gateway und DNS unterscheiden
Gateway:
Weg in andere Netze
DNS:
Namensauflösung
Typisches Gateway-Problem:
lokales Netz erreichbar,
Internet nicht
Typisches DNS-Problem:
IP erreichbar,
Name nicht
Merksatz:
Gateway ist der Weg.
DNS ist das Telefonbuch.
TCP und UDP sicher unterscheiden
Merkmal
TCP
UDP
Verbindung
verbindungsorientiert
verbindungslos
Zustellung
zuverlässig
keine eingebaute Garantie
Reihenfolge
wird gesichert
nicht garantiert
Overhead
höher
geringer
Einsatz
vollständige Datenübertragung
schnelle oder zeitkritische Kommunikation
Merksatz:
TCP = zuverlässig.
UDP = schlank.
Wichtige Ports sicher können
Dienst
Port
FTP
TCP 21
SSH
TCP 22
Telnet
TCP 23
SMTP
TCP 25
DNS
UDP/TCP 53
DHCP Server
UDP 67
DHCP Client
UDP 68
HTTP
TCP 80
POP3
TCP 110
IMAP
TCP 143
HTTPS
TCP 443
SMB
TCP 445
SMTPS
TCP 465
IMAPS
TCP 993
POP3S
TCP 995
RDP
TCP 3389
Merksatz:
Ports immer mit Dienst und Protokoll lernen.
Subnetting-Prüfungswissen
Bei Subnetting immer gleich vorgehen:
1. Präfix bestimmen.
2. Hostbits berechnen.
3. Adressanzahl berechnen.
4. nutzbare Hosts berechnen.
5. Blockgröße bestimmen.
6. Netzadresse finden.
7. Broadcastadresse finden.
8. erste und letzte nutzbare Adresse bestimmen.
Formel:
nutzbare Hosts = 2 hoch Hostbits minus 2
Merksatz:
Subnetting wird einfacher,
wenn die Reihenfolge immer gleich bleibt.
Subnetting-Merksätze
IPv4 hat 32 Bit.
Präfix gibt die Netzbits an.
Hostbits = 32 minus Präfix.
Mehr Netzbits bedeuten kleinere Netze.
Mehr Hostbits bedeuten mehr Hosts.
Netzadresse ist die erste Adresse.
Broadcastadresse ist die letzte Adresse.
Erste nutzbare Adresse = Netzadresse plus 1.
Letzte nutzbare Adresse = Broadcastadresse minus 1.
Pro zusätzlichem Netzbit halbiert sich die Hostanzahl.
Pro zusätzlichem Hostbit verdoppelt sich die Hostanzahl.
Merksatz:
Präfix größer:
Netz kleiner.
Präfix kleiner:
Netz größer.
NAT, PAT und Portweiterleitung unterscheiden
NAT:
übersetzt IP-Adressen
PAT:
übersetzt zusätzlich Ports,
damit mehrere interne Clients eine öffentliche IP nutzen können
Portweiterleitung:
leitet eingehenden Verkehr auf einen internen Dienst weiter
Merksatz:
NAT übersetzt Adressen.
PAT unterscheidet über Ports.
Portweiterleitung veröffentlicht einen Dienst.
Firewall-Prüfungswissen
Eine Firewall filtert Verkehr anhand von Regeln.
Typische Regelbestandteile:
Quelle
Ziel
Port
Protokoll
Richtung
Aktion
Zustand
Zweck
Sichere Grundregel:
Default Deny
Das bedeutet:
Standardmäßig blockieren,
nur benötigten Verkehr erlauben.
Merksatz:
Firewall-Regeln so eng wie möglich formulieren.
VPN-Prüfungswissen
Remote-Access-VPN:
einzelner Benutzer verbindet sich mit einem Netzwerk
Site-to-Site-VPN:
zwei Netzwerke oder Standorte werden verbunden
Wichtig:
VPN verschlüsselt den Transportweg,
ersetzt aber keine Rechteverwaltung.
Merksatz:
VPN schützt Verbindung,
nicht automatisch jede Berechtigung.
Cloud-Prüfungswissen
IaaS:
virtuelle Infrastruktur
PaaS:
Plattform für Anwendungen
SaaS:
fertige Anwendung
Public Cloud:
öffentlich angebotene Cloud
Private Cloud:
Cloud für eine Organisation
Hybrid Cloud:
Kombination aus lokal und Cloud
Multi Cloud:
Nutzung mehrerer Cloud-Anbieter
Merksatz:
IaaS,
PaaS
und SaaS beschreiben Servicemodelle.
Public,
Private,
Hybrid
und Multi Cloud beschreiben Bereitstellungsmodelle.
Shared Responsibility
Beim Shared-Responsibility-Modell teilen sich Cloud-Anbieter und Kunde die Verantwortung.
Anbieter:
Infrastruktur der Cloud
Kunde:
Daten
Identitäten
Zugriffe
Konfigurationen
Anwendungen je nach Modell
Merksatz:
Cloud-Anbieter übernimmt nicht automatisch alles.
Sicherheitsbegriffe sicher unterscheiden
Begriff
Bedeutung
Vertraulichkeit
Schutz vor unberechtigtem Lesen
Integrität
Schutz vor unbemerkter Veränderung
Verfügbarkeit
Nutzbarkeit von Systemen und Daten
Authentizität
Echtheit einer Identität oder Nachricht
Nichtabstreitbarkeit
Nachweisbarkeit einer Handlung
Schwachstelle
ausnutzbare Lücke
Bedrohung
mögliches schädliches Ereignis
Risiko
Wahrscheinlichkeit und Auswirkung
Maßnahme
reduziert Risiko
Merksatz:
Schwachstelle ist die Lücke.
Bedrohung ist das Ereignis.
Risiko ist die bewertete Gefahr.
Angriffe sicher zuordnen
Angriff
Typisches Ziel
Phishing
Zugangsdaten, Identitäten
Ransomware
Verfügbarkeit, oft auch Vertraulichkeit
DDoS
Verfügbarkeit
Man-in-the-Middle
Vertraulichkeit und Integrität
SQL Injection
Datenbank
XSS
Browser anderer Benutzer
CSRF
gültige Sitzung
Brute Force
Passwort
Credential Stuffing
wiederverwendete Zugangsdaten
Spoofing
Identität oder Herkunft
Merksatz:
Angriff immer dem Ziel und Schutzziel zuordnen.
Schutzmaßnahmen sicher zuordnen
Risiko
passende Maßnahme
gestohlenes Passwort
MFA
zu viele Rechte
Least Privilege
Malware
EDR, Patchmanagement
Ransomware
Backup, Immutable Backup, Segmentierung
DDoS
DDoS-Schutz, CDN, Rate Limiting
unsichere Freigaben
Rechteprüfung, Ablaufdatum
fehlende Nachvollziehbarkeit
Logging, SIEM
Fehlkonfiguration
Change Management
unsichere Benutzer
Schulung, Awareness
veraltete Software
Patchmanagement
Merksatz:
Maßnahme muss direkt zum Risiko passen.
Authentifizierung und Autorisierung
Authentifizierung:
Wer bist du?
Autorisierung:
Was darfst du?
Beispiel:
Benutzer meldet sich mit Passwort und MFA an.
Danach wird geprüft,
ob er auf einen Ordner zugreifen darf.
Merksatz:
Erst Identität,
dann Rechte.
Least Privilege und Need to Know
Least Privilege:
nur notwendige Rechte
Need to Know:
nur notwendige Informationen
Beispiel:
Ein Supportmitarbeiter braucht vielleicht Zugriff auf Gerätedaten,
aber nicht auf Gehaltsdaten.
Merksatz:
Least Privilege begrenzt Rechte.
Need to Know begrenzt Informationen.
Backup, Replikation und Synchronisation unterscheiden
Backup:
wiederherstellbare Sicherung alter Zustände
Replikation:
aktuelle Kopie auf anderem System
Synchronisation:
Abgleich zwischen Speicherorten
Risiko:
Fehler,
Löschung
oder Ransomware können bei Replikation oder Synchronisation mit übertragen werden.
Merksatz:
Sync und Replikation sind kein Backup.
RPO und RTO
RPO:
maximal akzeptabler Datenverlust
RTO:
maximal akzeptable Wiederherstellungszeit
Beispiel:
RPO 1 Stunde:
maximal 1 Stunde Datenverlust
RTO 4 Stunden:
Dienst soll spätestens nach 4 Stunden wieder laufen
Merksatz:
RPO = Datenverlust.
RTO = Zeit bis Wiederherstellung.
Logging, Monitoring und Alerting unterscheiden
Logging:
Ereignisse werden aufgezeichnet
Monitoring:
Zustände werden überwacht
Alerting:
bei kritischen Zuständen wird alarmiert
Reporting:
Zustände werden über einen Zeitraum ausgewertet
Merksatz:
Logs zeigen Ereignisse.
Monitoring zeigt Zustände.
Alerting meldet Probleme.
Wichtige Befehle sicher einordnen
Aufgabe
Werkzeug
IP-Konfiguration Windows
ipconfig
IP-Konfiguration Linux
ip addr
Routing Windows
route print
Routing Linux
ip route
DNS prüfen
nslookup, dig
Erreichbarkeit prüfen
ping
Weg verfolgen
tracert, traceroute
Verbindungen anzeigen
netstat, ss
Webdienst prüfen
curl
Linux-Dienst prüfen
systemctl
Linux-Logs prüfen
journalctl
Windows-Logs prüfen
Ereignisanzeige
Merksatz:
Befehle liefern Fakten,
keine Vermutungen.
Typische Prüfungsfallen
DNS und DHCP verwechseln.
Gateway und DNS verwechseln.
MAC,
IP
und Port verwechseln.
TCP und UDP verwechseln.
NAT,
PAT
und Portweiterleitung verwechseln.
VLAN und Subnetz gleichsetzen.
Firewall und Router verwechseln.
Authentifizierung und Autorisierung verwechseln.
Backup,
Replikation
und Synchronisation verwechseln.
RPO und RTO verwechseln.
SFTP und FTPS verwechseln.
IDS und IPS verwechseln.
Redundanz als Backup bezeichnen.
Snapshot als vollständiges Backup bezeichnen.
ping als vollständigen Diensttest verstehen.
Merksatz:
Prüfungsfallen sind oft Begriffsfallen.
Gute Antwortstruktur bei Fehlersuche
Struktur:
Ursache
Begründung
Prüfung
Beispiel:
Wahrscheinlich liegt ein DNS-Problem vor,
da die IP-Adresse erreichbar ist,
der Name aber nicht aufgelöst wird.
Der DNS-Server und der DNS-Eintrag sollten mit nslookup oder dig geprüft werden.
Merksatz:
Fehlerantwort:
Ursache,
Begründung,
Prüfung.
Gute Antwortstruktur bei Sicherheitsfragen
Struktur:
Risiko
Maßnahme
Wirkung
Beispiel:
Das Risiko besteht im Missbrauch gestohlener Zugangsdaten.
Durch MFA reicht ein gestohlenes Passwort allein nicht mehr aus.
Dadurch wird die Wahrscheinlichkeit eines unberechtigten Zugriffs reduziert.
Merksatz:
Sicherheitsantwort:
Risiko,
Maßnahme,
Wirkung.
Gute Antwortstruktur bei Vergleichen
Struktur:
Gemeinsamkeit
Unterschied
Beispiel
Beispiel:
TCP und UDP sind Transportprotokolle.
TCP ist verbindungsorientiert und zuverlässig,
UDP ist verbindungslos und hat weniger Overhead.
TCP wird zum Beispiel bei HTTPS genutzt,
UDP häufig bei DNS oder VoIP.
Merksatz:
Vergleich:
Gemeinsamkeit,
Unterschied,
Beispiel.
Gute Antwortstruktur bei Berechnungen
Struktur:
gegebene Werte
Formel oder Regel
Rechenschritt
Ergebnis mit Einheit
Plausibilitätsprüfung
Beispiel:
Bei /27 gibt es 5 Hostbits.
2 hoch 5 ergibt 32 Adressen.
Davon sind 30 nutzbar,
weil Netzadresse und Broadcastadresse nicht für Hosts genutzt werden.
Merksatz:
Berechnung immer mit Bedeutung des Ergebnisses angeben.
Letzte Prüfungsminute
Kurz vor Abgabe prüfen:
Habe ich alle Teilfragen beantwortet?
Habe ich die geforderte Anzahl genannt?
Habe ich Einheiten ergänzt?
Habe ich Fachbegriffe sauber verwendet?
Habe ich DNS und DHCP nicht verwechselt?
Habe ich RPO und RTO nicht verwechselt?
Habe ich bei Subnetting Netzadresse und Broadcast geprüft?
Habe ich bei Sicherheitsfragen die Maßnahme begründet?
Habe ich bei Fehlersuche eine Prüfung genannt?
Merksatz:
Die letzte Kontrolle verhindert einfache Punktverluste.
IHK-sichere Gesamtformulierung
Für die Prüfung ist entscheidend, Aufgabenstellungen genau zu lesen, Operatoren zu beachten und technische Hinweise richtig einzuordnen. Netzwerkfehler sollten systematisch nach OSI-Modell geprüft werden: physische Verbindung, IP-Konfiguration, Gateway, DNS, Routing, Firewall, Dienst und Anwendung. Wichtige Begriffe wie MAC-Adresse, IP-Adresse, Port, DNS, DHCP, TCP, UDP, NAT, PAT, Authentifizierung, Autorisierung, Backup, Replikation, RPO und RTO müssen sauber unterschieden werden. Gute Antworten sind kurz, fachlich korrekt und begründet. Bei Fehlersuche werden Ursache, Begründung und Prüfung genannt. Bei Sicherheitsfragen werden Risiko, Maßnahme und Wirkung verbunden.
Wichtigste Merksätze
Erst Aufgabe verstehen,
dann antworten.
Operator beachten.
Signalwörter erkennen.
Fehlerbild einordnen.
OSI als Fehlersuche nutzen.
MAC ist lokal.
IP ist logisch.
Port ist Dienst.
DNS löst Namen auf.
DHCP verteilt Konfiguration.
Gateway führt in andere Netze.
TCP ist zuverlässig.
UDP ist schlank.
NAT übersetzt Adressen.
PAT nutzt Ports.
Portweiterleitung veröffentlicht Dienste.
Firewall filtert Verkehr.
VPN schützt Verbindung.
Cloud bedeutet geteilte Verantwortung.
Vertraulichkeit schützt vor Mitlesen.
Integrität schützt vor Manipulation.
Verfügbarkeit schützt Nutzbarkeit.
MFA schützt gegen Passwortmissbrauch.
Least Privilege begrenzt Rechte.
Backup ist Wiederherstellungsvorsorge.
Replikation ist kein Backup.
Synchronisation ist kein Backup.
RPO ist Datenverlust.
RTO ist Wiederherstellungszeit.
Logging zeigt Ereignisse.
Monitoring zeigt Zustände.
Alerting meldet Probleme.
Befehle liefern Fakten.
Prüfungsfallen sind oft Begriffsfallen.
Fehlerantwort:
Ursache,
Begründung,
Prüfung.
Sicherheitsantwort:
Risiko,
Maßnahme,
Wirkung.
Vergleich:
Gemeinsamkeit,
Unterschied,
Beispiel.
Berechnung:
Regel,
Ergebnis,
Einheit.
Kurz,
fachlich,
begründet.
19. Notizen, Cheatsheets und Spickzettel
19.1 Notizen, Cheatsheets und Spickzettel
Dieses Kapitel enthält kompakte Spickzettel für die schnelle Wiederholung.
Es ist kein neues großes Theoriekapitel,
sondern eine Sammlung wichtiger Übersichten.
Ziel ist:
- kurz vor der Prüfung schnell wiederholen
- Begriffe sicher unterscheiden
- Standardwerte griffbereit haben
- typische Fehlerbilder schneller erkennen
- Rechenwege kompakt nachschlagen
- prüfungssichere Kurzantworten vorbereiten
Merksatz:
Spickzettel ersetzen kein Verständnis,
helfen aber beim schnellen Wiederholen.
Wofür dieses Kapitel gedacht ist
Dieses Kapitel eignet sich besonders für:
letzte Wiederholung vor Klassenarbeit oder Prüfung
schnelles Nachschlagen
Vergleich ähnlicher Begriffe
Wiederholung von Ports
Subnetting-Übersicht
OSI-Zuordnung
Fehlerdiagnose
Sicherheitsbegriffe
Backup-Begriffe
Cloud-Modelle
Admin-Befehle
Merksatz:
Dieses Kapitel ist für kompakte Wiederholung,
nicht für lange Erklärungen.
Aufbau der Spickzettel
Die Spickzettel sollten möglichst kurz und übersichtlich bleiben.
Sinnvolle Seiten in diesem Kapitel:
19.1 Notizen, Cheatsheets und Spickzettel
19.2 OSI- und TCP/IP-Spickzettel
19.3 Standardports-Spickzettel
19.4 Subnetting-Spickzettel
19.5 DNS, DHCP, Gateway und NAT Spickzettel
19.6 TCP, UDP, ICMP und ARP Spickzettel
19.7 VLAN, Switching, Routing und Firewall Spickzettel
19.8 Sicherheitsbegriffe und Angriffe Spickzettel
19.9 Backup, Restore, RPO und RTO Spickzettel
19.10 Admin-Befehle und Fehlersuche Spickzettel
19.11 Prüfungs-Signalwörter und Musterformulierungen
Merksatz:
Kapitel 19 ist die Kurzfassung der wichtigsten Prüfungsthemen.
Was ein guter Spickzettel leisten soll
Ein guter Spickzettel ist:
kurz
eindeutig
fachlich korrekt
schnell überfliegbar
tabellarisch
prüfungsnah
ohne unnötige Theorie
mit klaren Merksätzen
Er sollte nicht:
lange Texte wiederholen
ganze Kapitel ersetzen
unklare Abkürzungen enthalten
Begriffe vermischen
zu viele Randthemen enthalten
Merksatz:
Spickzettel müssen schnell lesbar sein.
Die wichtigsten Grundregeln für die Prüfung
Aufgabe genau lesen.
Operator beachten.
Signalwörter erkennen.
Gefragte Anzahl beachten.
Fachbegriffe sauber verwenden.
Ergebnis mit Einheit angeben.
Bei Fehlern systematisch prüfen.
Bei Sicherheit Risiko und Maßnahme verbinden.
Bei Vergleichen Unterschiede klar darstellen.
Bei Berechnungen Plausibilität prüfen.
Merksatz:
Viele Punkte gehen nicht durch fehlendes Wissen verloren,
sondern durch ungenaue Antworten.
Mini-Spickzettel: OSI-Schichten
Schicht
Name
Typische Begriffe
7
Anwendung
HTTP, DNS, DHCP, SMTP, SMB
6
Darstellung
TLS, Verschlüsselung, Codierung
5
Sitzung
Session, Sitzung, Wiederaufnahme
4
Transport
TCP, UDP, Ports
3
Vermittlung
IP, Routing, ICMP
2
Sicherung
MAC, Ethernet, Switch, VLAN, ARP
1
Bitübertragung
Kabel, Signal, Stecker, Funk
Merksatz:
OSI hilft bei der Fehlersuche von unten nach oben.
Mini-Spickzettel: TCP/IP-Modell
TCP/IP-Schicht
OSI-Zuordnung
Beispiele
Anwendung
OSI 5 bis 7
HTTP, DNS, DHCP, SMTP
Transport
OSI 4
TCP, UDP
Internet
OSI 3
IP, ICMP, Routing
Netzzugang
OSI 1 bis 2
Ethernet, WLAN, MAC
Merksatz:
TCP/IP ist praxisnah,
OSI ist genauer aufgeteilt.
Mini-Spickzettel: MAC, IP und Port
Begriff
Schicht
Aufgabe
MAC-Adresse
2
lokale Zustellung im LAN
IP-Adresse
3
logische Adressierung über Netze
Port
4
Zuordnung zu Dienst oder Anwendung
Merksatz:
MAC findet lokal.
IP findet das Zielnetz.
Port findet den Dienst.
Mini-Spickzettel: wichtige Ports
Dienst
Port
FTP
TCP 21
SSH
TCP 22
Telnet
TCP 23
SMTP
TCP 25
DNS
UDP/TCP 53
DHCP Server
UDP 67
DHCP Client
UDP 68
HTTP
TCP 80
POP3
TCP 110
IMAP
TCP 143
HTTPS
TCP 443
SMB
TCP 445
SMTPS
TCP 465
IMAPS
TCP 993
POP3S
TCP 995
RDP
TCP 3389
Merksatz:
Ports immer mit Dienst,
Protokoll
und Zweck lernen.
Mini-Spickzettel: Subnetting
Wichtige Regeln:
IPv4 hat 32 Bit.
Hostbits = 32 minus Präfix.
nutzbare Hosts = 2 hoch Hostbits minus 2.
Netzadresse = erste Adresse im Subnetz.
Broadcastadresse = letzte Adresse im Subnetz.
erste nutzbare Adresse = Netzadresse + 1.
letzte nutzbare Adresse = Broadcastadresse - 1.
Merksatz:
Präfix größer bedeutet:
kleineres Netz.
Präfix kleiner bedeutet:
größeres Netz.
Mini-Spickzettel: häufige Präfixe
Präfix
Maske
Adressen
nutzbare Hosts
/24
255.255.255.0
256
254
/25
255.255.255.128
128
126
/26
255.255.255.192
64
62
/27
255.255.255.224
32
30
/28
255.255.255.240
16
14
/29
255.255.255.248
8
6
/30
255.255.255.252
4
2
Merksatz:
Jeder Präfixschritt nach rechts halbiert die Adressanzahl.
Mini-Spickzettel: private IPv4-Bereiche
Bereich
CIDR
10.0.0.0 bis 10.255.255.255
10.0.0.0/8
172.16.0.0 bis 172.31.255.255
172.16.0.0/12
192.168.0.0 bis 192.168.255.255
192.168.0.0/16
Merksatz:
Private IPv4-Adressen werden im Internet nicht direkt geroutet.
Mini-Spickzettel: DNS und DHCP
Begriff
Aufgabe
Typisches Fehlerbild
DNS
Namen in IP-Adressen auflösen
IP geht, Name nicht
DHCP
IP-Konfiguration automatisch verteilen
169.254.x.x oder falsche IP
Gateway
Weg in andere Netze
lokal geht, Internet nicht
Merksatz:
DNS gibt Namen eine Adresse.
DHCP gibt Clients eine Konfiguration.
Gateway führt in andere Netze.
Mini-Spickzettel: TCP und UDP
Merkmal
TCP
UDP
Verbindung
verbindungsorientiert
verbindungslos
Zuverlässigkeit
hoch
keine eingebaute Garantie
Reihenfolge
wird gesichert
nicht garantiert
Overhead
höher
geringer
Beispiele
HTTPS, SSH, SMTP
DNS, DHCP, VoIP
Merksatz:
TCP = zuverlässig.
UDP = schnell und schlank.
Mini-Spickzettel: NAT, PAT und Portweiterleitung
Begriff
Bedeutung
NAT
übersetzt IP-Adressen
PAT
übersetzt zusätzlich Ports
Portweiterleitung
leitet externen Port an internen Dienst weiter
Merksatz:
NAT übersetzt Adressen.
PAT unterscheidet über Ports.
Portweiterleitung veröffentlicht Dienste.
Mini-Spickzettel: Firewall und DMZ
Begriff
Bedeutung
Firewall
filtert Netzwerkverkehr
Default Deny
standardmäßig blockieren, nur Erlaubtes freigeben
Any to Any
sehr breite und kritische Regel
DMZ
getrenntes Netz für öffentlich erreichbare Dienste
Merksatz:
Firewall-Regeln so eng wie möglich formulieren.
Mini-Spickzettel: VPN
VPN-Art
Bedeutung
Remote-Access-VPN
einzelner Benutzer verbindet sich mit Netzwerk
Site-to-Site-VPN
zwei Netzwerke oder Standorte werden verbunden
Wichtig:
VPN verschlüsselt den Transportweg,
ersetzt aber keine Berechtigungen.
Merksatz:
VPN schützt Verbindung,
nicht automatisch Rechte.
Mini-Spickzettel: Cloud
Modell
Bedeutung
IaaS
virtuelle Infrastruktur
PaaS
Plattform für Anwendungen
SaaS
fertige Anwendung
Bereitstellung
Bedeutung
Public Cloud
öffentlich angebotene Cloud
Private Cloud
Cloud für eine Organisation
Hybrid Cloud
Kombination aus lokal und Cloud
Multi Cloud
mehrere Cloud-Anbieter
Merksatz:
IaaS,
PaaS
und SaaS sind Servicemodelle.
Public,
Private,
Hybrid
und Multi Cloud sind Bereitstellungsmodelle.
Mini-Spickzettel: Sicherheitsziele
Schutzziel
Bedeutung
Vertraulichkeit
Schutz vor unberechtigtem Lesen
Integrität
Schutz vor unbemerkter Veränderung
Verfügbarkeit
Nutzbarkeit von Systemen und Daten
Authentizität
Echtheit einer Identität oder Nachricht
Nichtabstreitbarkeit
Nachweisbarkeit einer Handlung
Merksatz:
CIA = Vertraulichkeit,
Integrität,
Verfügbarkeit.
Mini-Spickzettel: Angriffe
Angriff
Kurzbeschreibung
Phishing
Täuschung zur Datenpreisgabe
Ransomware
verschlüsselt oder sperrt Daten
DDoS
verteilter Angriff auf Verfügbarkeit
Man-in-the-Middle
Angreifer sitzt zwischen Kommunikationspartnern
Spoofing
Identität oder Herkunft wird vorgetäuscht
SQL Injection
SQL-Code wird eingeschleust
XSS
Skript wird im Browser ausgeführt
CSRF
gültige Sitzung wird missbraucht
Brute Force
systematisches Ausprobieren
Credential Stuffing
geleakte Zugangsdaten werden erneut genutzt
Merksatz:
Angriff erkennen,
Schutzziel zuordnen,
Maßnahme nennen.
Mini-Spickzettel: Schutzmaßnahmen
Risiko
Maßnahme
gestohlenes Passwort
MFA
zu viele Rechte
Least Privilege
Malware
EDR, Patchmanagement
Ransomware
Backup, Segmentierung, Immutable Backup
DDoS
DDoS-Schutz, CDN, Rate Limiting
Datenabfluss
DLP, Verschlüsselung, Rechtekonzept
Fehlkonfiguration
Change Management, Vier-Augen-Prinzip
unklare Vorfälle
Logging, SIEM, Monitoring
Phishing
Schulung, MFA, Mailfilter
Merksatz:
Maßnahme muss zum Risiko passen.
Mini-Spickzettel: Authentifizierung und Autorisierung
Begriff
Frage
Beispiel
Authentifizierung
Wer bist du?
Anmeldung mit Passwort und MFA
Autorisierung
Was darfst du?
Zugriff auf Datei erlaubt oder verboten
Merksatz:
Erst Identität prüfen,
dann Rechte prüfen.
Mini-Spickzettel: Backup
Begriff
Bedeutung
Backup
Sicherung
Restore
Wiederherstellung
Vollbackup
sichert alles
inkrementell
Änderungen seit letztem Backup
differenziell
Änderungen seit letztem Vollbackup
Snapshot
Momentaufnahme
RPO
maximaler Datenverlust
RTO
maximale Wiederherstellungszeit
Immutable Backup
unveränderliches Backup
Merksatz:
Backup ohne Restore-Test ist unsicher.
Mini-Spickzettel: Backup, Sync und Replikation
Begriff
Ziel
Wichtig
Backup
alte Zustände wiederherstellen
schützt Wiederherstellung
Synchronisation
Orte gleich halten
Fehler werden oft übernommen
Replikation
aktuelle Kopie bereitstellen
ersetzt kein Backup
Redundanz
Ausfall abfedern
ersetzt kein Backup
Merksatz:
Sync,
Replikation
und Redundanz sind kein Backup.
Mini-Spickzettel: Logging und Monitoring
Begriff
Bedeutung
Logging
Ereignisse aufzeichnen
Monitoring
Zustände überwachen
Alerting
bei kritischen Zuständen alarmieren
Reporting
Verlauf auswerten
SIEM
Sicherheitslogs sammeln und korrelieren
NTP
Zeit synchronisieren
Merksatz:
Logs zeigen Ereignisse.
Monitoring zeigt Zustände.
Mini-Spickzettel: Admin-Befehle
Aufgabe
Windows
Linux/macOS
IP prüfen
ipconfig
ip addr
Routing prüfen
route print
ip route
DNS prüfen
nslookup
dig
Erreichbarkeit prüfen
ping
ping
Weg verfolgen
tracert
traceroute
Verbindungen prüfen
netstat
ss
Webdienst prüfen
PowerShell oder Browser
curl
Dienst prüfen
services.msc, PowerShell
systemctl
Logs prüfen
Ereignisanzeige
journalctl
Merksatz:
Befehle liefern Fakten für die Fehlersuche.
Mini-Spickzettel: typische Fehlerbilder
Fehlerbild
Wahrscheinliche Richtung
IP geht, Name nicht
DNS
lokal geht, Internet nicht
Gateway, NAT, Firewall
169.254.x.x
DHCP
Host erreichbar, Dienst nicht
Port, Dienst, Firewall
Anmeldung scheitert
Authentifizierung
Anmeldung geht, Zugriff nicht
Autorisierung, Rechte
Zertifikatswarnung
Zertifikat, Hostname, Zeit
nur ein VLAN betroffen
VLAN, Routing, Firewall
nach Update defekt
Change, Version, Kompatibilität
Backup nicht nutzbar
Restore-Test, Konsistenz, Schlüssel
Merksatz:
Fehlerbild bestimmt die erste sinnvolle Prüfung.
Mini-Spickzettel: Antwortstruktur
Bei Fehlersuche:
Ursache
Begründung
Prüfung
Beispiel:
Wahrscheinlich liegt ein DNS-Problem vor,
da die IP-Adresse erreichbar ist,
der Name aber nicht aufgelöst wird.
Der DNS-Server sollte mit nslookup oder dig geprüft werden.
Bei Sicherheitsfragen:
Risiko
Maßnahme
Wirkung
Beispiel:
Das Risiko besteht im Missbrauch gestohlener Zugangsdaten.
MFA reduziert dieses Risiko,
weil ein Passwort allein nicht mehr ausreicht.
Merksatz:
Antwort kurz,
fachlich
und begründet formulieren.
Welche Spickzettel danach sinnvoll sind
Die nächsten Seiten können einzelne Spickzettel ausführlicher und sauber getrennt darstellen:
OSI- und TCP/IP-Spickzettel
Standardports-Spickzettel
Subnetting-Spickzettel
DNS-DHCP-Gateway-Spickzettel
Sicherheitsbegriffe-Spickzettel
Backup-Spickzettel
Admin-Befehle-Spickzettel
Prüfungs-Signalwörter-Spickzettel
Merksatz:
Erst Gesamtübersicht,
dann einzelne Spickzettel.
IHK-sichere Kurzformulierung
Notizen, Cheatsheets und Spickzettel dienen der schnellen Wiederholung wichtiger Prüfungsinhalte. Sie fassen zentrale Begriffe, Standardports, OSI-Schichten, Subnetting-Regeln, Fehlerbilder, Sicherheitsmaßnahmen, Backup-Begriffe und Administrationsbefehle kompakt zusammen. Ein guter Spickzettel ist kurz, eindeutig, fachlich korrekt und schnell lesbar. Er ersetzt nicht das Verständnis der Themen, hilft aber dabei, kurz vor der Prüfung Begriffe sicher zu unterscheiden und typische Aufgaben schneller einzuordnen.
Merksätze
Spickzettel sind Kurzfassungen.
Spickzettel ersetzen kein Verständnis.
OSI hilft bei Fehlersuche.
TCP/IP ist praxisnah.
MAC ist lokal.
IP ist logisch.
Port ist Dienst.
DNS löst Namen auf.
DHCP verteilt Konfiguration.
Gateway führt in andere Netze.
TCP ist zuverlässig.
UDP ist schlank.
NAT übersetzt Adressen.
PAT nutzt Ports.
Firewall filtert Verkehr.
DMZ trennt öffentliche Dienste.
VPN verschlüsselt Verbindung.
Cloud bedeutet geteilte Verantwortung.
CIA bedeutet Vertraulichkeit,
Integrität
und Verfügbarkeit.
MFA schützt gegen Passwortmissbrauch.
Least Privilege begrenzt Rechte.
Backup braucht Restore-Test.
Sync ist kein Backup.
Replikation ist kein Backup.
Logs zeigen Ereignisse.
Monitoring zeigt Zustände.
Befehle liefern Fakten.
Fehlerbilder geben Hinweise.
Antwortstruktur bringt Punkte.
Kurz,
fachlich,
begründet.
19.2 OSI- und TCP/IP-Spickzettel
Dieser Spickzettel fasst die wichtigsten Punkte zum OSI-Modell und TCP/IP-Modell kompakt zusammen.
Er dient zur schnellen Wiederholung vor Prüfung,
Klassenarbeit
oder praktischer Fehlersuche.
Merksatz:
OSI ist das Denkmodell.
TCP/IP ist das Praxismodell.
OSI-Modell Überblick
Schicht
Name
Hauptaufgabe
Typische Begriffe
7
Anwendungsschicht
Netzwerkdienste für Anwendungen
HTTP, DNS, DHCP, SMTP, SMB
6
Darstellungsschicht
Datenformat, Codierung, Verschlüsselung
TLS, SSL, Zeichensatz, Kompression
5
Sitzungsschicht
Sitzungen aufbauen, halten, beenden
Session, Token, Cookie, Timeout
4
Transportschicht
Ende-zu-Ende-Kommunikation
TCP, UDP, Ports
3
Vermittlungsschicht
logische Adressierung und Routing
IP, ICMP, Router, Gateway
2
Sicherungsschicht
lokale Übertragung im Netzwerksegment
MAC, Ethernet, Switch, VLAN, ARP
1
Bitübertragungsschicht
Übertragung von Bits als Signale
Kabel, Funk, Stecker, Signal
Merksatz:
OSI-Schichten von oben:
Anwendung,
Darstellung,
Sitzung,
Transport,
Vermittlung,
Sicherung,
Bitübertragung.
OSI-Schichten kurz erklärt
Schicht
Kurzbeschreibung
7 Anwendung
Protokolle und Dienste, mit denen Anwendungen kommunizieren
6 Darstellung
Daten werden passend dargestellt, codiert, komprimiert oder verschlüsselt
5 Sitzung
Kommunikationssitzungen werden verwaltet
4 Transport
Daten werden Prozessen über Ports zugeordnet
3 Vermittlung
Pakete werden über Netze hinweg geroutet
2 Sicherung
Frames werden im lokalen Netz über MAC-Adressen übertragen
1 Bitübertragung
Bits werden elektrisch, optisch oder per Funk übertragen
Merksatz:
Je höher die Schicht,
desto näher an der Anwendung.
Je niedriger die Schicht,
desto näher am Medium.
TCP/IP-Modell Überblick
TCP/IP-Schicht
Entspricht grob OSI
Hauptaufgabe
Beispiele
Anwendung
OSI 5 bis 7
Anwendungsprotokolle
HTTP, DNS, DHCP, SMTP
Transport
OSI 4
Ende-zu-Ende-Kommunikation
TCP, UDP
Internet
OSI 3
Adressierung und Routing
IP, ICMP
Netzzugang
OSI 1 bis 2
lokale Übertragung
Ethernet, WLAN, MAC
Merksatz:
TCP/IP fasst mehrere OSI-Schichten zusammen.
OSI-Modell und TCP/IP-Modell vergleichen
OSI-Modell
TCP/IP-Modell
theoretisches Referenzmodell
praxisnahes Internetmodell
7 Schichten
meistens 4 Schichten
feiner aufgeteilt
gröber zusammengefasst
gut für Fehlersuche und Erklärung
gut für reale Protokolle
Darstellung und Sitzung getrennt
in Anwendung zusammengefasst
Merksatz:
OSI erklärt genauer.
TCP/IP beschreibt die praktische Internetkommunikation.
Zuordnung OSI zu TCP/IP
OSI-Schicht
OSI-Name
TCP/IP-Schicht
7
Anwendung
Anwendung
6
Darstellung
Anwendung
5
Sitzung
Anwendung
4
Transport
Transport
3
Vermittlung
Internet
2
Sicherung
Netzzugang
1
Bitübertragung
Netzzugang
Merksatz:
TCP/IP-Anwendungsschicht umfasst OSI 5,
6
und 7.
Kapselung beim Senden
Beim Senden werden Daten schrittweise verpackt.
Reihenfolge:
Anwendung erzeugt Daten.
Transportschicht ergänzt TCP- oder UDP-Informationen.
Internetschicht ergänzt IP-Adressen.
Sicherungsschicht ergänzt MAC-Adressen.
Bitübertragungsschicht überträgt Bits als Signal.
Merksatz:
Jede Schicht ergänzt eigene Steuerinformationen.
Entkapselung beim Empfangen
Beim Empfangen werden die Verpackungen wieder entfernt.
Reihenfolge:
Bits werden empfangen.
Frame wird geprüft.
IP-Paket wird ausgewertet.
TCP- oder UDP-Information wird ausgewertet.
Daten werden an die Anwendung übergeben.
Merksatz:
Empfangen ist Kapselung rückwärts.
PDU-Begriffe
PDU bedeutet:
Protocol Data Unit
Damit ist die Dateneinheit einer Schicht gemeint.
Schicht
PDU
Anwendung
Daten
Transport
Segment bei TCP, Datagramm bei UDP
Vermittlung / Internet
Paket
Sicherung
Frame
Bitübertragung
Bits
Merksatz:
Daten werden zu Segmenten,
Paketen,
Frames
und Bits.
Adressarten nach Schicht
Adressart
Schicht
Zweck
MAC-Adresse
Schicht 2
lokale Zustellung im LAN
IP-Adresse
Schicht 3
logische Zustellung über Netze
Portnummer
Schicht 4
Zuordnung zu Dienst oder Prozess
Name / URL
Schicht 7
menschenlesbarer Zugriff auf Dienste
Merksatz:
MAC lokal.
IP logisch.
Port Dienst.
Name Anwendung.
Schicht 1: Bitübertragung
Aufgabe:
Bits als elektrische,
optische
oder Funk-Signale übertragen.
Typische Themen:
Kabel
Stecker
Glasfaser
Funk
Signalqualität
Dämpfung
Link
Geschwindigkeit
Duplex
Auto-Negotiation
Typische Fehler:
Kabel defekt
Stecker falsch
kein Link
falsche Geschwindigkeit
Störung
Dämpfung zu hoch
Merksatz:
Schicht 1 fragt:
Kommt überhaupt ein Signal an?
Schicht 2: Sicherung
Aufgabe:
lokale Kommunikation im gleichen Netzwerksegment.
Typische Themen:
Ethernet
MAC-Adresse
Switch
VLAN
ARP
Frame
MAC-Adresstabelle
STP
Broadcast
Typische Fehler:
falsches VLAN
Switchport falsch
ARP-Problem
MAC-Flooding
Loop
Broadcast-Sturm
Duplexproblem
Merksatz:
Schicht 2 fragt:
Funktioniert die lokale Zustellung?
Schicht 3: Vermittlung
Aufgabe:
Kommunikation zwischen verschiedenen Netzen.
Typische Themen:
IP-Adresse
Subnetzmaske
Gateway
Routing
ICMP
Router
NAT
IPv4
IPv6
Typische Fehler:
falsche IP-Adresse
falsche Subnetzmaske
falsches Gateway
fehlende Route
Routingfehler
NAT-Problem
ICMP blockiert
Merksatz:
Schicht 3 fragt:
Findet das Paket den Weg ins Zielnetz?
Schicht 4: Transport
Aufgabe:
Daten dem richtigen Dienst oder Prozess zuordnen.
Typische Themen:
TCP
UDP
Ports
Verbindungsaufbau
Zustellung
Flusskontrolle
Segment
Datagramm
Typische Fehler:
Port blockiert
Dienst lauscht nicht
falsches Protokoll
TCP-Verbindung scheitert
UDP-Antwort fehlt
Firewall blockiert Port
Merksatz:
Schicht 4 fragt:
Ist der richtige Dienst über den richtigen Port erreichbar?
Schicht 5: Sitzung
Aufgabe:
Kommunikationssitzungen verwalten.
Typische Themen:
Session
Sitzung
Token
Cookie
Timeout
Wiederaufnahme
Sitzungs-ID
Typische Fehler:
Session abgelaufen
Cookie fehlt
Token ungültig
Sitzung wird getrennt
Load Balancer ohne Session Persistence
Merksatz:
Schicht 5 fragt:
Bleibt die Kommunikationssitzung bestehen?
Schicht 6: Darstellung
Aufgabe:
Daten passend darstellen,
codieren,
komprimieren
oder verschlüsseln.
Typische Themen:
TLS
SSL
Zertifikat
Zeichensatz
Codierung
Kompression
Dateiformat
Typische Fehler:
Zertifikat abgelaufen
Hostname passt nicht
falscher Zeichensatz
TLS-Version inkompatibel
Zertifikatskette fehlerhaft
Merksatz:
Schicht 6 fragt:
Können die Daten richtig dargestellt und geschützt werden?
Schicht 7: Anwendung
Aufgabe:
Dienste und Protokolle für Anwendungen bereitstellen.
Typische Themen:
HTTP
HTTPS
DNS
DHCP
SMTP
IMAP
POP3
SMB
LDAP
SNMP
NTP
Typische Fehler:
DNS löst nicht auf
DHCP vergibt keine IP
Webseite liefert Fehler
Mailversand funktioniert nicht
Freigabe nicht erreichbar
Anwendung falsch konfiguriert
Merksatz:
Schicht 7 fragt:
Funktioniert der konkrete Anwendungsdienst?
Fehlersuche nach OSI-Modell
Sinnvolle Reihenfolge:
1. Schicht 1:
Kabel,
Link,
WLAN,
Signal
2. Schicht 2:
VLAN,
MAC,
Switch,
ARP
3. Schicht 3:
IP,
Maske,
Gateway,
Routing
4. Schicht 4:
TCP,
UDP,
Port,
Firewall
5. Schicht 5 bis 7:
Session,
TLS,
DNS,
DHCP,
HTTP,
Anwendung
Merksatz:
Erst Verbindung,
dann Adresse,
dann Dienst,
dann Anwendung.
Typische Fehlerbilder nach Schichten
Fehlerbild
Wahrscheinliche Schicht
kein Link am Switchport
Schicht 1
falsches VLAN
Schicht 2
ARP findet keine MAC-Adresse
Schicht 2
falsche IP-Adresse
Schicht 3
Gateway falsch
Schicht 3
Route fehlt
Schicht 3
Port nicht erreichbar
Schicht 4
TCP-Verbindung scheitert
Schicht 4
Session läuft ab
Schicht 5
Zertifikatswarnung
Schicht 6
DNS-Name wird nicht aufgelöst
Schicht 7
HTTP 500
Schicht 7
Merksatz:
Fehlerbild einer Schicht zuordnen,
dann gezielt prüfen.
Typische Protokolle nach Schicht
Protokoll
Schicht
Zweck
Ethernet
2
lokale Frame-Übertragung
ARP
2 / zwischen 2 und 3
IPv4 zu MAC auflösen
IP
3
logische Adressierung
ICMP
3
Diagnose und Fehlermeldungen
TCP
4
zuverlässiger Transport
UDP
4
verbindungsloser Transport
TLS
6
Verschlüsselung und Zertifikate
DNS
7
Namensauflösung
DHCP
7
automatische IP-Konfiguration
HTTP
7
Webkommunikation
SMTP
7
E-Mail-Versand
SMB
7
Datei- und Druckfreigaben
Merksatz:
Protokolle immer ihrer Aufgabe zuordnen,
nicht nur auswendig lernen.
Typische Geräte nach Schicht
Gerät
Typische Schicht
Aufgabe
Kabel
1
Signal übertragen
Repeater
1
Signal weitergeben
Hub
1
Bits an alle Ports weitergeben
Switch
2
Frames anhand MAC weiterleiten
Access Point
2
WLAN-Zugang ins LAN
Router
3
Netze verbinden
Layer-3-Switch
3
Routing zwischen VLANs
Firewall
3 bis 7
Verkehr filtern
Load Balancer
4 bis 7
Verkehr verteilen
Proxy
7
Anwendungsverkehr vermitteln
Merksatz:
Geräte können je nach Funktion auf mehreren Schichten arbeiten.
Wichtige Prüfungsfalle: Gerät nicht starr einordnen
Ein Gerät kann mehrere Funktionen haben.
Beispiele:
Eine Firewall kann auf Schicht 3 IPs filtern,
auf Schicht 4 Ports filtern
und auf Schicht 7 Anwendungen prüfen.
Ein Layer-3-Switch kann switchen
und routen.
Ein Access Point arbeitet für WLAN-Zugang hauptsächlich auf Schicht 2,
kann aber zusätzliche Sicherheitsfunktionen bieten.
Merksatz:
Entscheidend ist die Funktion,
nicht nur der Gerätename.
Typische Werkzeuge nach Schicht
Werkzeug
Hilft bei
Kabeltester
Schicht 1
Switchport-Status
Schicht 1 / 2
ARP-Tabelle
Schicht 2
ping
Schicht 3
traceroute / tracert
Schicht 3
ipconfig / ip addr
Schicht 3
route print / ip route
Schicht 3
netstat / ss
Schicht 4
nslookup / dig
Schicht 7
curl
Schicht 7
Wireshark
mehrere Schichten
Merksatz:
Das richtige Werkzeug hängt von der vermuteten Schicht ab.
Mini-Diagnose: IP geht, Name nicht
Fehlerbild:
Zugriff per IP-Adresse funktioniert.
Zugriff per Name funktioniert nicht.
Wahrscheinliche Schicht:
Schicht 7
Wahrscheinliches Thema:
DNS
Prüfen:
DNS-Server
DNS-Eintrag
DNS-Suffix
DNS-Cache
Split-DNS bei VPN
Merksatz:
IP ja,
Name nein:
DNS.
Mini-Diagnose: lokal geht, extern nicht
Fehlerbild:
Geräte im gleichen Netz sind erreichbar.
Internet oder andere Netze nicht.
Wahrscheinliche Schicht:
Schicht 3
Wahrscheinliches Thema:
Gateway,
Routing,
NAT
oder Firewall
Prüfen:
Gateway
Routing-Tabelle
NAT
Firewall-Regeln
Providerverbindung
Merksatz:
Lokal ja,
extern nein:
Gateway und Routing prüfen.
Mini-Diagnose: Host geht, Dienst nicht
Fehlerbild:
Server ist per ping erreichbar.
Anwendung oder Dienst aber nicht.
Wahrscheinliche Schicht:
Schicht 4 bis 7
Wahrscheinliches Thema:
Port,
Dienststatus,
Firewall
oder Anwendung
Prüfen:
Port offen?
Dienst läuft?
Firewall erlaubt?
Dienst lauscht auf richtiger Schnittstelle?
Logs prüfen.
Merksatz:
Host erreichbar heißt nicht,
dass der Dienst funktioniert.
Mini-Diagnose: Zertifikatswarnung
Fehlerbild:
Browser oder Anwendung meldet Zertifikatsfehler.
Wahrscheinliche Schicht:
Schicht 6
Prüfen:
Ablaufdatum
Hostname
Zertifikatskette
Uhrzeit
falsches Zertifikat
TLS-Konfiguration
Merksatz:
Zertifikatsfehler:
Name,
Ablauf,
Kette
und Zeit prüfen.
Mini-Diagnose: falsche automatische IP
Fehlerbild:
Client hat 169.254.x.x.
Wahrscheinliche Schicht:
Schicht 7 mit DHCP,
aber Ursache kann auch Schicht 1,
2
oder 3 sein.
Prüfen:
Netzwerkverbindung
VLAN
DHCP-Server
DHCP-Scope
DHCP-Relay
Firewall
Lease-Bereich
Merksatz:
169.254.x.x bedeutet:
DHCP wurde nicht erfolgreich erreicht.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Nennen Sie die sieben OSI-Schichten.
- Ordnen Sie TCP/IP-Schichten den OSI-Schichten zu.
- Erklären Sie Kapselung.
- Was ist eine PDU?
- Ordnen Sie MAC-Adresse,
IP-Adresse
und Port den passenden Schichten zu.
- Auf welcher Schicht arbeitet ein Switch?
- Auf welcher Schicht arbeitet ein Router?
- Welche Schicht ist bei DNS betroffen?
- Welche Schicht ist bei Routing betroffen?
- Welche Schicht ist bei TCP und UDP betroffen?
- Warum hilft das OSI-Modell bei der Fehlersuche?
- Warum ist TCP/IP praxisnäher als OSI?
- Warum kann eine Firewall mehreren Schichten zugeordnet werden?
Typische Prüfungsfallen
OSI und TCP/IP verwechseln.
TCP/IP-Anwendungsschicht nur mit OSI 7 gleichsetzen.
MAC-Adresse der falschen Schicht zuordnen.
IP-Adresse mit MAC-Adresse verwechseln.
Port als Schicht-3-Thema einordnen.
Switch und Router verwechseln.
DNS und DHCP beide einfach nur als „Netzwerk“ bezeichnen.
TLS nur als Anwendung sehen,
obwohl es zur Darstellung/Verschlüsselung passt.
ping als vollständigen Anwendungstest verstehen.
Gerät starr einer Schicht zuordnen,
obwohl die Funktion entscheidend ist.
Merksatz:
Nicht der Name entscheidet,
sondern die Aufgabe im Kommunikationsprozess.
IHK-sichere Kurzformulierung
Das OSI-Modell ist ein siebenschichtiges Referenzmodell zur Beschreibung von Netzwerkkommunikation und Fehlersuche. Die Schichten reichen von der Bitübertragungsschicht bis zur Anwendungsschicht. Das TCP/IP-Modell ist praxisnäher und besteht meist aus Anwendung, Transport, Internet und Netzzugang. Dabei entspricht die TCP/IP-Anwendungsschicht grob den OSI-Schichten 5 bis 7, die Transportschicht OSI 4, die Internetschicht OSI 3 und die Netzzugangsschicht OSI 1 bis 2. Bei der Kapselung ergänzt jede Schicht eigene Steuerinformationen. MAC-Adressen gehören zu Schicht 2, IP-Adressen zu Schicht 3 und Ports zu Schicht 4. Für die Fehlersuche hilft das OSI-Modell, Probleme systematisch von unten nach oben einzugrenzen.
Merksätze
OSI ist das Denkmodell.
TCP/IP ist das Praxismodell.
OSI hat 7 Schichten.
TCP/IP hat meistens 4 Schichten.
TCP/IP-Anwendung umfasst OSI 5 bis 7.
TCP/IP-Transport entspricht OSI 4.
TCP/IP-Internet entspricht OSI 3.
TCP/IP-Netzzugang umfasst OSI 1 bis 2.
Kapselung verpackt Daten schrittweise.
Entkapselung entpackt Daten schrittweise.
PDU bedeutet Protocol Data Unit.
Daten werden zu Segmenten,
Paketen,
Frames
und Bits.
MAC-Adresse ist Schicht 2.
IP-Adresse ist Schicht 3.
Port ist Schicht 4.
Name oder URL ist Schicht 7.
Schicht 1 prüft Signal.
Schicht 2 prüft lokale Zustellung.
Schicht 3 prüft Routing.
Schicht 4 prüft Ports.
Schicht 5 prüft Sitzungen.
Schicht 6 prüft Darstellung und Verschlüsselung.
Schicht 7 prüft den Anwendungsdienst.
Switch arbeitet hauptsächlich auf Schicht 2.
Router arbeitet auf Schicht 3.
Firewall kann mehrere Schichten betreffen.
DNS ist Anwendungsschicht.
DHCP ist Anwendungsschicht.
TCP und UDP sind Transportschicht.
IP und ICMP gehören zur Vermittlungsschicht.
ARP verbindet IPv4 und MAC im lokalen Netz.
Fehler immer schichtweise eingrenzen.
Erst Verbindung,
dann Adresse,
dann Dienst,
dann Anwendung.
19.3 Standardports-Spickzettel
Dieser Spickzettel fasst wichtige Standardports kompakt zusammen.
Er ist besonders wichtig für:
- Firewall-Regeln
- Fehlersuche
- Protokollzuordnung
- Sicherheitsfragen
- Prüfungsaufgaben
- Netzwerkdokumentation
Merksatz:
Ports zeigen,
welcher Dienst auf einem Host angesprochen wird.
Grundidee: Was ist ein Port?
Ein Port ist eine logische Nummer,
mit der ein Dienst oder Prozess auf einem System angesprochen wird.
Beispiel:
IP-Adresse:
Welcher Host?
Port:
Welcher Dienst auf diesem Host?
Beispiel:
192.168.1.10:443
Bedeutung:
Host 192.168.1.10
Dienst auf Port 443
Merksatz:
IP findet den Host.
Port findet den Dienst.
Port und OSI-Schicht
Ports gehören zur Transportschicht.
OSI-Schicht:
Schicht 4
Protokolle:
TCP
UDP
Merksatz:
Ports sind Schicht 4.
TCP und UDP bei Ports
Ein Port allein reicht nicht immer aus.
Wichtig ist auch,
ob TCP oder UDP verwendet wird.
Beispiel:
TCP 53
und
UDP 53
sind nicht dasselbe,
auch wenn die Portnummer gleich ist.
Merksatz:
Portnummer immer zusammen mit TCP oder UDP betrachten.
Well-Known Ports
Well-Known Ports sind bekannte Standardports.
Bereich:
0 bis 1023
Beispiele:
TCP 22 SSH
TCP 80 HTTP
TCP 443 HTTPS
UDP 53 DNS
Merksatz:
Well-Known Ports sind bekannte Dienstports.
Registered Ports
Registered Ports liegen im Bereich:
1024 bis 49151
Sie werden häufig von Anwendungen,
Diensten
oder Herstellern genutzt.
Beispiele:
TCP 3306 MySQL
TCP 5432 PostgreSQL
TCP 8080 alternativer HTTP-Port
Merksatz:
Registered Ports werden oft von Anwendungen genutzt.
Dynamic oder Ephemeral Ports
Dynamische Ports werden häufig für Clientverbindungen genutzt.
Bereich:
49152 bis 65535
Beispiel:
Client verbindet sich von zufälligem hohen Quellport
zu Server TCP 443.
Merksatz:
Server lauscht meist auf bekanntem Port.
Client nutzt oft dynamischen Quellport.
Quellport und Zielport
Bei einer Verbindung gibt es:
Quell-IP
Quellport
Ziel-IP
Zielport
Beispiel:
Client:
192.168.1.50:52344
Server:
93.184.216.34:443
Bedeutung:
Client nutzt dynamischen Quellport.
Server nutzt Zielport HTTPS.
Merksatz:
Zielport zeigt meist den angesprochenen Dienst.
Wichtige Standardports Gesamtübersicht
Dienst
Protokoll
Port
Zweck
FTP Control
TCP
21
klassische FTP-Steuerverbindung
FTP Data
TCP
20
klassische FTP-Datenverbindung im aktiven Modus
SSH
TCP
22
verschlüsselter Kommandozeilenzugriff
Telnet
TCP
23
unverschlüsselter Fernzugriff
SMTP
TCP
25
E-Mail-Versand zwischen Mailservern
DNS
UDP/TCP
53
Namensauflösung
DHCP Server
UDP
67
DHCP-Server
DHCP Client
UDP
68
DHCP-Client
HTTP
TCP
80
unverschlüsselte Webkommunikation
POP3
TCP
110
E-Mail-Abruf
NTP
UDP
123
Zeitsynchronisation
IMAP
TCP
143
E-Mail-Abruf und Synchronisation
SNMP
UDP
161
Netzwerkmanagement
SNMP Trap
UDP
162
SNMP-Ereignismeldungen
LDAP
TCP/UDP
389
Verzeichnisdienst
HTTPS
TCP
443
verschlüsselte Webkommunikation
SMB
TCP
445
Datei- und Druckfreigaben
SMTPS
TCP
465
SMTP über TLS
Syslog
UDP
514
Logübertragung
LDAPS
TCP
636
LDAP über TLS
IMAPS
TCP
993
IMAP über TLS
POP3S
TCP
995
POP3 über TLS
RDP
TCP
3389
Remote Desktop
PostgreSQL
TCP
5432
Datenbankdienst
HTTP Alternate
TCP
8080
alternativer Webport
Merksatz:
Port,
Protokoll
und Dienst zusammen lernen.
Webports
Dienst
Protokoll
Port
Bedeutung
HTTP
TCP
80
unverschlüsselte Webseite
HTTPS
TCP
443
verschlüsselte Webseite
HTTP Alternate
TCP
8080
alternativer Webdienst
HTTPS Alternate
TCP
8443
alternativer verschlüsselter Webdienst
Merksatz:
HTTP ist unverschlüsselt.
HTTPS ist verschlüsselt.
HTTP und HTTPS unterscheiden
HTTP:
Hypertext Transfer Protocol
nutzt meist TCP 80
keine Transportverschlüsselung
HTTPS:
HTTP über TLS
nutzt meist TCP 443
verschlüsselte Verbindung
Merksatz:
HTTPS = HTTP plus TLS.
E-Mail-Ports
Dienst
Protokoll
Port
Zweck
SMTP
TCP
25
Mailserver zu Mailserver
Submission
TCP
587
E-Mail-Versand durch Clients mit Authentifizierung
SMTPS
TCP
465
SMTP über TLS
POP3
TCP
110
E-Mail abrufen
POP3S
TCP
995
POP3 verschlüsselt
IMAP
TCP
143
E-Mail synchronisieren
IMAPS
TCP
993
IMAP verschlüsselt
Merksatz:
SMTP sendet.
POP3 und IMAP empfangen.
SMTP, POP3 und IMAP unterscheiden
SMTP:
E-Mails senden
POP3:
E-Mails abrufen,
eher einfaches Herunterladen
IMAP:
E-Mails auf Server synchron verwalten
Merksatz:
SMTP raus.
POP3 und IMAP rein.
DNS-Ports
Dienst
Protokoll
Port
Zweck
DNS
UDP
53
normale DNS-Abfragen
DNS
TCP
53
große Antworten, Zonentransfers, bestimmte Spezialfälle
Merksatz:
DNS nutzt häufig UDP 53,
kann aber auch TCP 53 nutzen.
DHCP-Ports
Dienst
Protokoll
Port
Bedeutung
DHCP Server
UDP
67
Server empfängt Anfragen
DHCP Client
UDP
68
Client empfängt Antworten
Merksatz:
DHCP nutzt UDP 67 und 68.
DHCP und Broadcast
DHCP nutzt am Anfang Broadcast,
weil der Client noch keine vollständige IP-Konfiguration hat.
Ablauf:
Discover
Offer
Request
Acknowledge
Merksatz:
DHCP-DORA gehört zu UDP 67 und 68.
Fernadministration-Ports
Dienst
Protokoll
Port
Sicherheit
SSH
TCP
22
verschlüsselt
Telnet
TCP
23
unverschlüsselt, unsicher
RDP
TCP
3389
verschlüsselt möglich, stark absichern
Merksatz:
SSH statt Telnet.
RDP nicht offen ins Internet stellen.
SSH
SSH steht für:
Secure Shell
Standardport:
TCP 22
Nutzung:
sichere Kommandozeile
SFTP
SCP
Administration von Servern und Netzwerkgeräten
Merksatz:
SSH = sicherer Fernzugriff über TCP 22.
Telnet
Telnet nutzt:
TCP 23
Problem:
unverschlüsselte Übertragung
Risiko:
Zugangsdaten können mitgelesen werden.
Merksatz:
Telnet ist unsicher und sollte vermieden werden.
RDP
RDP steht für:
Remote Desktop Protocol
Standardport:
TCP 3389
Nutzung:
grafischer Fernzugriff auf Windows-Systeme
Sicherheit:
möglichst über VPN,
RDP-Gateway,
MFA
und Firewall-Beschränkung
Merksatz:
RDP = TCP 3389,
aber nicht offen ins Internet.
Dateiübertragungs- und Freigabeports
Dienst
Protokoll
Port
Zweck
FTP Data
TCP
20
FTP-Datenkanal aktiv
FTP Control
TCP
21
FTP-Steuerkanal
SFTP
TCP
22
Dateiübertragung über SSH
FTPS
TCP
21 oder 990
FTP mit TLS
SMB
TCP
445
Datei- und Druckfreigaben
NFS
TCP/UDP
2049
Unix-/Linux-Dateifreigaben
Merksatz:
SFTP nutzt SSH.
SMB nutzt TCP 445.
FTP, FTPS und SFTP
FTP:
klassisches File Transfer Protocol
meist TCP 21
unverschlüsselt
FTPS:
FTP mit TLS-Verschlüsselung
nutzt FTP-Grundlage
SFTP:
Dateiübertragung über SSH
nutzt TCP 22
Merksatz:
FTPS ist FTP mit TLS.
SFTP ist Dateiübertragung über SSH.
SMB
SMB steht für:
Server Message Block
Standardport:
TCP 445
Nutzung:
Windows-Dateifreigaben
Druckerfreigaben
Netzlaufwerke
Merksatz:
SMB = Dateifreigaben über TCP 445.
NFS
NFS steht für:
Network File System
Standardport:
TCP/UDP 2049
Nutzung:
Unix- und Linux-Dateifreigaben
Serverfreigaben
Virtualisierungsspeicher
Backupziele
Merksatz:
NFS ist typisch für Unix- und Linux-Umgebungen.
Verzeichnisdienst-Ports
Dienst
Protokoll
Port
Zweck
LDAP
TCP/UDP
389
Verzeichnisdienst
LDAPS
TCP
636
LDAP über TLS
Kerberos
TCP/UDP
88
Authentifizierungsprotokoll
Merksatz:
LDAP fragt Verzeichnisinformationen ab.
Kerberos dient der Authentifizierung.
LDAP und LDAPS
LDAP:
Lightweight Directory Access Protocol
nutzt meist TCP/UDP 389
LDAPS:
LDAP über TLS
nutzt meist TCP 636
Merksatz:
LDAPS = LDAP verschlüsselt.
Kerberos
Kerberos ist ein Authentifizierungsprotokoll.
Standardport:
TCP/UDP 88
Wichtig:
Zeitabweichungen können Kerberos-Probleme verursachen.
Merksatz:
Kerberos braucht korrekte Zeit.
Zeit und Management
Dienst
Protokoll
Port
Zweck
NTP
UDP
123
Zeitsynchronisation
SNMP
UDP
161
Netzwerkmanagement
SNMP Trap
UDP
162
Ereignismeldung vom Gerät
Syslog
UDP
514
Logübertragung
Merksatz:
NTP sorgt für gleiche Zeit.
SNMP überwacht Geräte.
Syslog sammelt Logs.
NTP
NTP steht für:
Network Time Protocol
Standardport:
UDP 123
Wichtig für:
Logs
Zertifikate
Kerberos
Tickets
Zeitstempel
geplante Aufgaben
Merksatz:
Ohne korrekte Zeit wird Fehlersuche schwerer.
SNMP
SNMP steht für:
Simple Network Management Protocol
Standardports:
UDP 161 für Abfragen
UDP 162 für Traps
Nutzung:
Netzwerkgeräte überwachen
Status abfragen
Messwerte erfassen
Ereignisse melden
Merksatz:
SNMP fragt ab,
SNMP Trap meldet Ereignisse.
Syslog
Syslog dient zur Übertragung von Logmeldungen.
Standardport:
UDP 514
Nutzung:
zentrale Logsammlung
Firewall-Logs
Switch-Logs
Router-Logs
Server-Logs
Merksatz:
Syslog transportiert Logmeldungen.
Datenbankports
Dienst
Protokoll
Port
Zweck
MySQL / MariaDB
TCP
3306
Datenbankdienst
PostgreSQL
TCP
5432
Datenbankdienst
Microsoft SQL Server
TCP
1433
Datenbankdienst
MongoDB
TCP
27017
Datenbankdienst
Merksatz:
Datenbankports sollten nicht unnötig öffentlich erreichbar sein.
Sicherheitsregel für Datenbankports
Datenbanken sollten normalerweise nur erreichbar sein für:
Anwendungserver
Adminnetz
Backupsysteme
Monitoring
Nicht sinnvoll:
Datenbank direkt öffentlich ins Internet stellen.
Merksatz:
Datenbankports gehören nicht offen ins Internet.
Typische Proxy- und Alternativports
Dienst
Protokoll
Port
Zweck
HTTP Alternate
TCP
8080
alternativer Webdienst
HTTPS Alternate
TCP
8443
alternativer HTTPS-Dienst
Proxy
TCP
3128
häufig genutzter Proxy-Port
SOCKS Proxy
TCP
1080
SOCKS-Proxy
Merksatz:
8080 und 8443 werden oft für Weboberflächen oder Testdienste genutzt.
Portbereiche kompakt
Bereich
Name
Bedeutung
0 bis 1023
Well-Known Ports
bekannte Systemdienste
1024 bis 49151
Registered Ports
registrierte Anwendungsports
49152 bis 65535
Dynamic / Ephemeral Ports
dynamische Clientports
Merksatz:
Niedrige Ports sind oft Serverdienste.
Hohe Ports sind oft Client-Quellports.
Ports in Firewall-Regeln
Firewall-Regeln sollten enthalten:
Quelle
Ziel
Protokoll
Zielport
Aktion
Richtung
Zweck
Beispiel:
Quelle
Ziel
Protokoll
Port
Aktion
Zweck
Client-Netz
Webserver
TCP
443
erlauben
HTTPS-Zugriff
Adminnetz
Server
TCP
22
erlauben
SSH-Administration
Internet
Datenbank
TCP
5432
blockieren
Datenbank schützen
Merksatz:
Firewall-Regeln immer so genau wie möglich formulieren.
Any-to-Any-Regeln
Any-to-Any bedeutet:
jede Quelle
zu
jedem Ziel
Problem:
sehr große Angriffsfläche
schlechte Nachvollziehbarkeit
unnötige Freigaben
hohes Sicherheitsrisiko
Merksatz:
Any-to-Any ist fast immer kritisch.
Ports bei Fehlersuche
Wenn ein Dienst nicht erreichbar ist,
prüfen:
Läuft der Dienst?
Lauscht der Dienst auf dem richtigen Port?
Lauscht der Dienst auf der richtigen Schnittstelle?
Blockiert die lokale Firewall?
Blockiert eine Netzwerkfirewall?
Ist NAT oder Portweiterleitung korrekt?
Stimmt TCP oder UDP?
Zeigen Logs Fehler?
Merksatz:
Host erreichbar heißt nicht,
dass der Port erreichbar ist.
Typische Fehlerbilder mit Ports
Fehlerbild
Mögliche Ursache
Ping funktioniert, Webseite nicht
TCP 80 oder 443, Webdienst oder Firewall
SSH nicht erreichbar
TCP 22 blockiert, Dienst aus, falscher Port
RDP nicht erreichbar
TCP 3389 blockiert, RDP deaktiviert, VPN fehlt
DNS funktioniert nicht
UDP/TCP 53 blockiert oder DNS-Server falsch
DHCP funktioniert nicht
UDP 67/68, VLAN oder DHCP-Relay
SMB-Freigabe nicht erreichbar
TCP 445 blockiert oder Rechteproblem
Mailversand schlägt fehl
SMTP-Port, Authentifizierung oder Mailserver
Datenbank nicht erreichbar
Datenbankport, Firewall oder Dienststatus
Merksatz:
Bei Dienstproblemen immer Port,
Protokoll
und Dienststatus prüfen.
TCP-Status kurz einordnen
Status
Bedeutung
LISTEN
Dienst wartet auf eingehende Verbindung
ESTABLISHED
Verbindung besteht
SYN_SENT
Verbindungsaufbau gestartet
TIME_WAIT
Verbindung wurde beendet, Wartephase
CLOSE_WAIT
Gegenseite hat beendet, lokale Anwendung noch nicht
Merksatz:
LISTEN zeigt:
Ein Dienst wartet auf Verbindungen.
Portscanner fachlich einordnen
Ein Portscanner prüft,
welche Ports auf einem Ziel erreichbar sind.
Nutzung:
Sicherheitsprüfung
Fehlersuche
Inventarisierung
Prüfung von Firewall-Regeln
Wichtig:
Nur mit Erlaubnis einsetzen.
Merksatz:
Portscan zeigt erreichbare Dienste,
aber nicht automatisch deren Sicherheit.
Ports und Sicherheit
Offene Ports bedeuten:
ein Dienst ist erreichbar
Risiko:
Angriffsfläche steigt
Sicherheitsmaßnahmen:
nur notwendige Ports öffnen
Dienste patchen
starke Authentifizierung
Firewall einschränken
Logging aktivieren
nicht benötigte Dienste deaktivieren
keine Adminports öffentlich bereitstellen
Merksatz:
Jeder offene Port ist eine mögliche Angriffsfläche.
Besonders kritische Ports
Kritisch bei direkter Internet-Erreichbarkeit:
TCP 22 SSH
TCP 3389 RDP
TCP 445 SMB
TCP 3306 MySQL
TCP 5432 PostgreSQL
TCP 1433 Microsoft SQL Server
TCP 23 Telnet
Warum kritisch?
Adminzugänge
Dateifreigaben
Datenbanken
unverschlüsselte Protokolle
häufige Angriffsziele
Merksatz:
Admin-,
Datei-
und Datenbankports nicht frei ins Internet stellen.
Prüfungsfalle: Port offen bedeutet nicht Zugriff erlaubt
Ein offener Port bedeutet:
Dienst ist grundsätzlich erreichbar.
Aber Zugriff kann trotzdem scheitern durch:
falsche Zugangsdaten
fehlende Rechte
Anwendungskonfiguration
Zertifikatsproblem
IP-Beschränkung
MFA
Lizenz
interne Fehlermeldung
Merksatz:
Port offen heißt nicht automatisch:
Anwendung funktioniert vollständig.
Prüfungsfalle: Ping ersetzt keinen Porttest
Ping prüft ICMP.
Ping prüft nicht automatisch,
ob ein TCP- oder UDP-Dienst erreichbar ist.
Beispiel:
ping auf Webserver funktioniert
aber
TCP 443 ist blockiert
Ergebnis:
Webseite trotzdem nicht erreichbar.
Merksatz:
Ping prüft Host-Erreichbarkeit,
nicht den Dienst.
Prüfungsfalle: gleicher Port, anderes Protokoll
Beispiel:
DNS nutzt UDP 53
und
DNS kann TCP 53 nutzen.
Eine Firewall-Regel nur für TCP 53 reicht nicht immer aus.
Merksatz:
TCP und UDP getrennt beachten.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Welchen Port nutzt SSH?
- Welchen Port nutzt HTTPS?
- Welchen Port nutzt RDP?
- Welchen Port nutzt SMB?
- Welche Ports nutzt DHCP?
- Warum nutzt DNS UDP und TCP 53?
- Warum ist Telnet unsicher?
- Warum sollte RDP nicht direkt im Internet erreichbar sein?
- Was ist der Unterschied zwischen Quellport und Zielport?
- Was ist ein Well-Known Port?
- Warum ist ein offener Datenbankport kritisch?
- Warum ersetzt ping keinen Porttest?
- Welche Angaben gehören in eine Firewall-Regel?
Typische Prüfungsfallen
TCP und UDP nicht angegeben.
Portnummer richtig,
aber falsches Protokoll.
DNS nur als UDP betrachten,
TCP 53 vergessen.
DHCP-Ports 67 und 68 verwechseln.
SSH und Telnet verwechseln.
SFTP und FTPS verwechseln.
SMTP,
POP3
und IMAP verwechseln.
RDP öffentlich erlauben.
SMB öffentlich erlauben.
Datenbankport öffentlich erlauben.
Ping als Diensttest verstehen.
Offenen Port mit erfolgreicher Anmeldung verwechseln.
Merksatz:
Portwissen muss immer mit Dienst,
Protokoll
und Sicherheitswirkung verbunden werden.
IHK-sichere Kurzformulierung
Ports dienen auf der Transportschicht zur Zuordnung von Netzwerkverkehr zu Diensten oder Prozessen. Ein Zielport zeigt meist den angesprochenen Dienst, zum Beispiel TCP 22 für SSH, TCP 443 für HTTPS, TCP 445 für SMB oder TCP 3389 für RDP. Dabei muss immer zwischen TCP und UDP unterschieden werden. DNS nutzt häufig UDP 53, kann aber auch TCP 53 verwenden. DHCP nutzt UDP 67 für den Server und UDP 68 für den Client. Offene Ports vergrößern die Angriffsfläche und sollten über Firewall-Regeln nur gezielt freigegeben werden. Besonders Admin-, Datei- und Datenbankports sollten nicht unnötig öffentlich erreichbar sein.
Merksätze
Port = Dienstadresse auf einem Host.
Ports gehören zu OSI-Schicht 4.
Port immer mit TCP oder UDP nennen.
Zielport zeigt meist den Dienst.
Quellport ist beim Client oft dynamisch.
Well-Known Ports liegen bei 0 bis 1023.
SSH nutzt TCP 22.
Telnet nutzt TCP 23 und ist unsicher.
HTTP nutzt TCP 80.
HTTPS nutzt TCP 443.
DNS nutzt UDP und TCP 53.
DHCP nutzt UDP 67 und 68.
SMTP nutzt TCP 25.
Submission nutzt TCP 587.
POP3 nutzt TCP 110.
IMAP nutzt TCP 143.
SMB nutzt TCP 445.
RDP nutzt TCP 3389.
NTP nutzt UDP 123.
SNMP nutzt UDP 161 und 162.
LDAP nutzt 389.
LDAPS nutzt 636.
Kerberos nutzt 88.
MySQL nutzt TCP 3306.
PostgreSQL nutzt TCP 5432.
SFTP nutzt SSH und damit TCP 22.
FTPS ist FTP mit TLS.
FTP ist unverschlüsselt.
Jeder offene Port ist Angriffsfläche.
Ping ersetzt keinen Porttest.
Port offen heißt nicht automatisch Anwendung funktioniert.
Datenbankports nicht öffentlich freigeben.
Adminports stark absichern.
Firewall-Regeln genau formulieren.
Any-to-Any ist kritisch.
19.4 Subnetting-Spickzettel
Dieser Spickzettel fasst die wichtigsten Regeln für IPv4-Subnetting kompakt zusammen.
Er ist besonders wichtig für:
- Netzadresse berechnen
- Broadcastadresse berechnen
- nutzbare Hostadressen bestimmen
- Hostanzahl berechnen
- Subnetze vergleichen
- Subnetzmasken verstehen
- Prüfungsaufgaben schneller lösen
Merksatz:
Subnetting ist das Aufteilen eines IP-Netzes in kleinere Teilnetze.
Grundidee von Subnetting
Eine IPv4-Adresse besteht aus:
Netzanteil
und
Hostanteil
Der Netzanteil sagt:
Zu welchem Netzwerk gehört die Adresse?
Der Hostanteil sagt:
Welches Gerät innerhalb dieses Netzwerks ist gemeint?
Merksatz:
Netzanteil findet das Netz.
Hostanteil findet den Host im Netz.
IPv4-Grundregel
IPv4-Adressen haben immer:
32 Bit
Beispiel:
192.168.1.10
Diese Adresse besteht aus vier Oktetten.
Ein Oktett hat:
8 Bit
Vier Oktette:
4 × 8 Bit = 32 Bit
Merksatz:
IPv4 = 32 Bit.
Präfixschreibweise
Beispiel:
192.168.1.10/24
Das /24 bedeutet:
24 Bit Netzanteil
Da IPv4 insgesamt 32 Bit hat:
32 - 24 = 8 Hostbits
Merksatz:
Präfix = Anzahl der Netzbits.
Subnetzmaske
Die Subnetzmaske zeigt,
welcher Teil der IP-Adresse zum Netz gehört.
Beispiel:
Präfix
Subnetzmaske
/24
255.255.255.0
/25
255.255.255.128
/26
255.255.255.192
/27
255.255.255.224
/28
255.255.255.240
/29
255.255.255.248
/30
255.255.255.252
Merksatz:
Subnetzmaske und Präfix beschreiben dieselbe Aufteilung.
Netzbits und Hostbits
Formel:
Hostbits = 32 - Präfix
Beispiele:
Präfix
Netzbits
Hostbits
/24
24
8
/25
25
7
/26
26
6
/27
27
5
/28
28
4
/29
29
3
/30
30
2
Merksatz:
Je mehr Netzbits,
desto weniger Hostbits.
Hostanzahl berechnen
Formel:
nutzbare Hosts = 2 hoch Hostbits minus 2
Warum minus 2?
eine Adresse ist die Netzadresse
eine Adresse ist die Broadcastadresse
Beispiel:
/26
Hostbits:
32 - 26 = 6
Gesamtadressen:
2 hoch 6 = 64
Nutzbare Hosts:
64 - 2 = 62
Merksatz:
Nutzbare Hosts = 2 hoch Hostbits minus 2.
Wichtige Präfixe auswendig können
Präfix
Maske
Gesamtadressen
nutzbare Hosts
/24
255.255.255.0
256
254
/25
255.255.255.128
128
126
/26
255.255.255.192
64
62
/27
255.255.255.224
32
30
/28
255.255.255.240
16
14
/29
255.255.255.248
8
6
/30
255.255.255.252
4
2
Merksatz:
Von /24 zu /25 halbiert sich die Adressanzahl.
Von /25 zu /24 verdoppelt sich die Adressanzahl.
Präfix größer oder kleiner
Wenn der Präfix größer wird:
mehr Netzbits
weniger Hostbits
kleinere Subnetze
weniger Hosts pro Subnetz
Beispiel:
/25 ist kleiner als /24
Wenn der Präfix kleiner wird:
weniger Netzbits
mehr Hostbits
größere Subnetze
mehr Hosts pro Subnetz
Beispiel:
/23 ist größer als /24
Merksatz:
Präfix größer:
Netz kleiner.
Präfix kleiner:
Netz größer.
Netzadresse
Die Netzadresse ist die erste Adresse eines Subnetzes.
Sie bezeichnet das Netz selbst.
Beispiel:
192.168.1.0/24
Netzadresse:
192.168.1.0
Merksatz:
Netzadresse = erste Adresse im Subnetz.
Broadcastadresse
Die Broadcastadresse ist die letzte Adresse eines IPv4-Subnetzes.
Sie dient dazu,
alle Hosts im Subnetz zu erreichen.
Beispiel:
192.168.1.0/24
Broadcastadresse:
192.168.1.255
Merksatz:
Broadcastadresse = letzte Adresse im Subnetz.
Erste und letzte nutzbare Hostadresse
Erste nutzbare Adresse:
Netzadresse + 1
Letzte nutzbare Adresse:
Broadcastadresse - 1
Beispiel:
Netz:
192.168.1.0/24
Netzadresse:
192.168.1.0
erste nutzbare:
192.168.1.1
letzte nutzbare:
192.168.1.254
Broadcast:
192.168.1.255
Merksatz:
Erste nutzbare = Netzadresse + 1.
Letzte nutzbare = Broadcast - 1.
Blockgröße
Die Blockgröße zeigt,
in welchen Schritten Subnetze beginnen.
Formel:
Blockgröße = 256 - interessanter Maskenwert
Beispiel:
/26
Subnetzmaske:
255.255.255.192
Interessanter Maskenwert:
192
Blockgröße:
256 - 192 = 64
Subnetzschritte:
0
64
128
192
Merksatz:
Blockgröße hilft,
Netzgrenzen schnell zu finden.
Interessanter Maskenwert
Der interessante Maskenwert ist das Oktett,
in dem die Subnetzmaske nicht 255 und nicht 0 ist.
Beispiele:
Präfix
Maske
interessanter Wert
/25
255.255.255.128
128
/26
255.255.255.192
192
/27
255.255.255.224
224
/28
255.255.255.240
240
/29
255.255.255.248
248
/30
255.255.255.252
252
Merksatz:
Interessanter Wert ist dort,
wo die Subnetze springen.
Blockgrößen der häufigen Präfixe
Präfix
Maske
Blockgröße
/24
255.255.255.0
256
/25
255.255.255.128
128
/26
255.255.255.192
64
/27
255.255.255.224
32
/28
255.255.255.240
16
/29
255.255.255.248
8
/30
255.255.255.252
4
Merksatz:
Blockgröße und Gesamtadressen sind bei einfachen Subnetzen gleich groß.
Subnetzbereiche bei /25
Ausgangsnetz:
192.168.1.0/24
Aufteilung in /25:
Subnetz
Bereich
nutzbare Hosts
Broadcast
192.168.1.0/25
192.168.1.0 bis 192.168.1.127
192.168.1.1 bis 192.168.1.126
192.168.1.127
192.168.1.128/25
192.168.1.128 bis 192.168.1.255
192.168.1.129 bis 192.168.1.254
192.168.1.255
Merksatz:
/25 teilt ein /24 in zwei gleich große Netze.
Subnetzbereiche bei /26
Ausgangsnetz:
192.168.1.0/24
Aufteilung in /26:
Subnetz
Bereich
nutzbare Hosts
Broadcast
192.168.1.0/26
192.168.1.0 bis 192.168.1.63
192.168.1.1 bis 192.168.1.62
192.168.1.63
192.168.1.64/26
192.168.1.64 bis 192.168.1.127
192.168.1.65 bis 192.168.1.126
192.168.1.127
192.168.1.128/26
192.168.1.128 bis 192.168.1.191
192.168.1.129 bis 192.168.1.190
192.168.1.191
192.168.1.192/26
192.168.1.192 bis 192.168.1.255
192.168.1.193 bis 192.168.1.254
192.168.1.255
Merksatz:
/26 teilt ein /24 in vier Netze mit je 64 Adressen.
Subnetzbereiche bei /27
Ausgangsnetz:
192.168.1.0/24
Blockgröße:
32
Subnetze beginnen bei:
0
32
64
96
128
160
192
224
Beispiel:
192.168.1.96/27
Bereich:
192.168.1.96 bis 192.168.1.127
nutzbar:
192.168.1.97 bis 192.168.1.126
Broadcast:
192.168.1.127
Merksatz:
/27 springt in 32er-Schritten.
Subnetzbereiche bei /28
Ausgangsnetz:
192.168.1.0/24
Blockgröße:
16
Subnetze beginnen bei:
0
16
32
48
64
80
96
112
128
144
160
176
192
208
224
240
Beispiel:
192.168.1.80/28
Bereich:
192.168.1.80 bis 192.168.1.95
nutzbar:
192.168.1.81 bis 192.168.1.94
Broadcast:
192.168.1.95
Merksatz:
/28 springt in 16er-Schritten.
Subnetzaufgabe Schritt für Schritt
Beispiel:
192.168.1.70/26
Schritt 1:
Präfix:
/26
Schritt 2:
Hostbits:
32 - 26 = 6
Schritt 3:
Adressen:
2 hoch 6 = 64
Schritt 4:
nutzbare Hosts:
64 - 2 = 62
Schritt 5:
Blockgröße:
64
Schritt 6:
Subnetzbereiche:
0 bis 63
64 bis 127
128 bis 191
192 bis 255
Schritt 7:
70 liegt im Bereich 64 bis 127
Ergebnis:
Wert
Ergebnis
Netzadresse
192.168.1.64
erste nutzbare Adresse
192.168.1.65
letzte nutzbare Adresse
192.168.1.126
Broadcastadresse
192.168.1.127
nutzbare Hosts
62
Merksatz:
IP-Adresse liegt immer in genau einem Subnetzbereich.
Prüfungsaufgabe: 192.168.10.130/25
Gegeben:
192.168.10.130/25
Präfix:
/25
Hostbits:
32 - 25 = 7
Adressen:
2 hoch 7 = 128
Nutzbare Hosts:
126
Blockgröße:
128
Subnetzbereiche:
192.168.10.0 bis 192.168.10.127
192.168.10.128 bis 192.168.10.255
Die Adresse 192.168.10.130 liegt im zweiten Bereich.
Wert
Ergebnis
Netzadresse
192.168.10.128
erste nutzbare Adresse
192.168.10.129
letzte nutzbare Adresse
192.168.10.254
Broadcastadresse
192.168.10.255
nutzbare Hosts
126
Merksatz:
Bei /25 gibt es zwei Bereiche:
0 bis 127
und 128 bis 255.
Prüfungsaufgabe: 10.0.5.200/27
Gegeben:
10.0.5.200/27
Präfix:
/27
Hostbits:
32 - 27 = 5
Adressen:
2 hoch 5 = 32
Nutzbare Hosts:
30
Blockgröße:
32
Subnetzbereiche im letzten Oktett:
0 bis 31
32 bis 63
64 bis 95
96 bis 127
128 bis 159
160 bis 191
192 bis 223
224 bis 255
Die Adresse 200 liegt im Bereich:
192 bis 223
Wert
Ergebnis
Netzadresse
10.0.5.192
erste nutzbare Adresse
10.0.5.193
letzte nutzbare Adresse
10.0.5.222
Broadcastadresse
10.0.5.223
nutzbare Hosts
30
Merksatz:
Bei /27 springt das letzte Oktett in 32er-Blöcken.
Prüfungsaufgabe: 172.16.8.14/28
Gegeben:
172.16.8.14/28
Präfix:
/28
Hostbits:
32 - 28 = 4
Adressen:
2 hoch 4 = 16
Nutzbare Hosts:
14
Blockgröße:
16
Subnetzbereiche im letzten Oktett:
0 bis 15
16 bis 31
32 bis 47
48 bis 63
Die Adresse 14 liegt im Bereich:
0 bis 15
Wert
Ergebnis
Netzadresse
172.16.8.0
erste nutzbare Adresse
172.16.8.1
letzte nutzbare Adresse
172.16.8.14
Broadcastadresse
172.16.8.15
nutzbare Hosts
14
Wichtig:
172.16.8.14 ist hier die letzte nutzbare Hostadresse,
nicht die Broadcastadresse.
Merksatz:
Broadcast ist bei /28 immer die letzte Adresse des 16er-Blocks.
Subnetzmaske aus Präfix ableiten
Präfix
Binär im letzten interessanten Oktett
Dezimal
/25
10000000
128
/26
11000000
192
/27
11100000
224
/28
11110000
240
/29
11111000
248
/30
11111100
252
Merksatz:
Einsen stehen für Netzbits.
Nullen stehen für Hostbits.
Binärwerte im Oktett
Bitwert
Dezimalwert
10000000
128
01000000
64
00100000
32
00010000
16
00001000
8
00000100
4
00000010
2
00000001
1
Merksatz:
Oktettwerte:
128,
64,
32,
16,
8,
4,
2,
1.
Subnetzmasken binär verstehen
Beispiel:
/26
Binär:
11111111.11111111.11111111.11000000
Dezimal:
255.255.255.192
Bedeutung:
26 Einsen für Netzbits
6 Nullen für Hostbits
Merksatz:
Subnetzmaske ist eine Folge von Einsen und danach Nullen.
Hosts oder Subnetze berechnen
Wenn gefragt wird:
Wie viele Hosts passen in ein Subnetz?
Dann:
Hostbits bestimmen.
Wenn gefragt wird:
Wie viele Subnetze entstehen?
Dann:
geliehene Netzbits bestimmen.
Beispiel:
/24 wird in /26 aufgeteilt.
Geliehene Bits:
26 - 24 = 2
Anzahl Subnetze:
2 hoch 2 = 4
Merksatz:
Hostbits berechnen Hosts.
geliehene Netzbits berechnen Subnetze.
Subnetze aus einem Ausgangsnetz berechnen
Beispiel:
192.168.1.0/24 soll in /26-Netze geteilt werden.
Geliehene Bits:
26 - 24 = 2
Anzahl Subnetze:
2 hoch 2 = 4
Adressen je Subnetz:
64
Subnetze:
192.168.1.0/26
192.168.1.64/26
192.168.1.128/26
192.168.1.192/26
Merksatz:
Neue Subnetze beginnen im Abstand der Blockgröße.
Benötigte Hostanzahl bestimmen
Wenn gefragt wird:
Welches kleinste Subnetz braucht man für 50 Hosts?
Dann prüfen:
Präfix
nutzbare Hosts
/27
30
/26
62
/25
126
Für 50 Hosts reicht:
/26
Warum?
/27 hat nur 30 nutzbare Hosts.
/26 hat 62 nutzbare Hosts.
Merksatz:
Immer das kleinste passende Subnetz wählen.
Beispiel: 100 Hosts benötigt
Gesucht:
kleinstes Subnetz für mindestens 100 Hosts
Prüfen:
Präfix
nutzbare Hosts
/26
62
/25
126
/24
254
Ergebnis:
/25
Begründung:
/26 reicht nicht,
/25 reicht.
Merksatz:
Nicht zu klein,
nicht unnötig groß planen.
VLSM-Grundidee
VLSM steht für:
Variable Length Subnet Mask
Bedeutung:
unterschiedlich große Subnetze innerhalb eines größeren Netzes
Beispiel:
Servernetz braucht 50 Hosts
Büronetz braucht 100 Hosts
Punkt-zu-Punkt-Verbindung braucht 2 Hosts
Dann werden unterschiedlich große Präfixe verwendet.
Merksatz:
VLSM passt Subnetzgrößen an den Bedarf an.
VLSM-Grundregel
Bei VLSM plant man meist:
größte Netze zuerst
danach kleinere Netze
Warum?
Große Netze brauchen größere zusammenhängende Adressbereiche.
Merksatz:
VLSM:
erst große Netze,
dann kleine Netze.
CIDR-Grundidee
CIDR steht für:
Classless Inter-Domain Routing
Bedeutung:
klassenlose Schreibweise mit Präfix
Beispiel:
192.168.1.0/24
Vorteil:
flexible Netzgrößen
Merksatz:
CIDR ist die moderne Schreibweise mit Schrägstrich-Präfix.
Private IPv4-Bereiche
Bereich
CIDR
10.0.0.0 bis 10.255.255.255
10.0.0.0/8
172.16.0.0 bis 172.31.255.255
172.16.0.0/12
192.168.0.0 bis 192.168.255.255
192.168.0.0/16
Merksatz:
Private IPv4-Adressen werden im Internet nicht direkt geroutet.
Sonderfall /31 und /32
In klassischen Prüfungsaufgaben wird meist mit:
Netzadresse
und
Broadcastadresse
gerechnet.
Daher gilt dort oft:
nutzbare Hosts = 2 hoch Hostbits minus 2
Sonderfälle:
/31 kann bei Punkt-zu-Punkt-Verbindungen verwendet werden.
/32 beschreibt eine einzelne Hostadresse.
Merksatz:
Für Standard-IHK-Aufgaben meistens mit minus 2 rechnen,
außer die Aufgabe nennt ausdrücklich Sonderfälle.
Typische Prüfungsfallen
Präfix größer mit größerem Netz verwechseln.
Netzadresse als Hostadresse verwenden.
Broadcastadresse als Hostadresse verwenden.
Minus 2 bei nutzbaren Hosts vergessen.
Gateway außerhalb des Subnetzes eintragen.
Blockgröße falsch berechnen.
/25 und /26 verwechseln.
Subnetzmaske falsch zu Präfix zuordnen.
IP-Adresse liegt nicht im angenommenen Bereich.
erste und letzte nutzbare Adresse vertauschen.
VLSM nicht mit größtem Netz beginnen.
Merksatz:
Die meisten Subnetting-Fehler entstehen durch falsche Grenzen.
Prüfungsfalle: Gateway außerhalb des Subnetzes
Beispiel:
Client:
192.168.10.50/24
Gateway:
192.168.20.1
Problem:
Client-Netz:
192.168.10.0/24
Gateway-Netz:
192.168.20.0/24
Das Gateway ist nicht im gleichen lokalen Subnetz.
Merksatz:
Standardgateway muss für den Client lokal erreichbar sein.
Prüfungsfalle: Broadcast als Host verwenden
Beispiel:
Netz:
192.168.1.64/26
Bereich:
192.168.1.64 bis 192.168.1.127
Broadcast:
192.168.1.127
Nicht als Host verwenden:
192.168.1.127
Merksatz:
Broadcastadresse ist keine Hostadresse.
Prüfungsfalle: Netzadresse als Host verwenden
Beispiel:
Netz:
192.168.1.64/26
Netzadresse:
192.168.1.64
Nicht als Host verwenden:
192.168.1.64
Merksatz:
Netzadresse ist keine Hostadresse.
Schnelle Subnetting-Reihenfolge
Bei jeder Aufgabe:
1. Präfix lesen.
2. Hostbits berechnen.
3. Hostanzahl berechnen.
4. Blockgröße bestimmen.
5. Subnetzbereich finden.
6. Netzadresse bestimmen.
7. Broadcast bestimmen.
8. nutzbare Hosts bestimmen.
Merksatz:
Immer gleiche Reihenfolge,
weniger Fehler.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Wie viele nutzbare Hosts hat ein /26-Netz?
- Welche Subnetzmaske gehört zu /27?
- Welche Netzadresse gehört zu einer bestimmten IP mit Präfix?
- Welche Broadcastadresse gehört zu einem Subnetz?
- Welche erste und letzte nutzbare Adresse gibt es?
- Welches kleinste Subnetz reicht für eine bestimmte Hostanzahl?
- Liegen zwei IP-Adressen im gleichen Subnetz?
- Ist das Gateway korrekt konfiguriert?
- Wie viele Subnetze entstehen aus einer Aufteilung?
- Warum darf die Broadcastadresse nicht als Hostadresse genutzt werden?
IHK-sichere Kurzformulierung
Subnetting teilt ein IPv4-Netz in kleinere Teilnetze auf. Eine IPv4-Adresse besteht aus 32 Bit. Der Präfix gibt an, wie viele Bits zum Netzanteil gehören. Die restlichen Bits bilden den Hostanteil. Die Anzahl der nutzbaren Hosts berechnet sich in klassischen IPv4-Subnetzen mit 2 hoch Hostbits minus 2, weil Netzadresse und Broadcastadresse nicht für Hosts verwendet werden. Die Netzadresse ist die erste Adresse eines Subnetzes, die Broadcastadresse die letzte Adresse. Die erste nutzbare Adresse ist Netzadresse plus 1, die letzte nutzbare Adresse ist Broadcastadresse minus 1. Die Blockgröße hilft, Subnetzgrenzen schnell zu finden.
Merksätze
IPv4 hat 32 Bit.
Präfix = Netzbits.
Hostbits = 32 minus Präfix.
Mehr Netzbits bedeuten kleinere Netze.
Mehr Hostbits bedeuten mehr Hosts.
Nutzbare Hosts = 2 hoch Hostbits minus 2.
Netzadresse = erste Adresse.
Broadcastadresse = letzte Adresse.
Erste nutzbare = Netzadresse + 1.
Letzte nutzbare = Broadcast - 1.
Blockgröße = 256 minus interessanter Maskenwert.
/24 hat 254 nutzbare Hosts.
/25 hat 126 nutzbare Hosts.
/26 hat 62 nutzbare Hosts.
/27 hat 30 nutzbare Hosts.
/28 hat 14 nutzbare Hosts.
/29 hat 6 nutzbare Hosts.
/30 hat 2 nutzbare Hosts.
Präfix größer heißt:
Netz kleiner.
Präfix kleiner heißt:
Netz größer.
Gateway muss im lokalen Subnetz liegen.
Netzadresse nicht als Host verwenden.
Broadcastadresse nicht als Host verwenden.
VLSM:
größte Netze zuerst.
CIDR ist die Schreibweise mit Präfix.
Subnetting immer in gleicher Reihenfolge lösen.
19.5 DNS, DHCP, Gateway und NAT Spickzettel
Dieser Spickzettel fasst vier sehr häufige Prüfungsthemen zusammen:
- DNS
- DHCP
- Gateway
- NAT
Diese Begriffe werden in Aufgaben oft gemeinsam geprüft,
weil sie für normalen Netzwerkzugriff zusammenwirken.
Merksatz:
DNS findet Namen.
DHCP verteilt Konfiguration.
Gateway führt in andere Netze.
NAT übersetzt Adressen.
Grundidee im Überblick
Begriff
Hauptaufgabe
Typisches Fehlerbild
DNS
Namen in IP-Adressen auflösen
IP geht, Name nicht
DHCP
IP-Konfiguration automatisch verteilen
169.254.x.x oder falsche IP
Gateway
Weg in andere Netze bereitstellen
lokal geht, Internet nicht
NAT
private Adressen in öffentliche Adressen übersetzen
intern geht, extern nicht oder Portweiterleitung fehlerhaft
Merksatz:
Jeder Begriff löst ein anderes Problem.
DNS kurz erklärt
DNS steht für:
Domain Name System
Aufgabe:
DNS übersetzt Namen in IP-Adressen.
Beispiel:
www.example.com
wird aufgelöst zu:
einer IPv4- oder IPv6-Adresse
Merksatz:
DNS ist das Namenssystem des Netzwerks.
DNS-Frage in der Prüfung
Typisches Fehlerbild:
Webseite ist per IP-Adresse erreichbar,
aber nicht per Domainname.
Wahrscheinliche Ursache:
DNS-Problem
Mögliche Ursachen:
falscher DNS-Server
DNS-Server nicht erreichbar
falscher DNS-Eintrag
DNS-Cache veraltet
DNS-Suffix falsch
Split-DNS bei VPN falsch
Firewall blockiert DNS
Merksatz:
IP ja,
Name nein:
DNS prüfen.
Wichtige DNS-Records
Record
Bedeutung
A
Name zu IPv4-Adresse
AAAA
Name zu IPv6-Adresse
CNAME
Alias auf anderen Namen
MX
Mailserver einer Domain
TXT
Textinformationen, zum Beispiel SPF
NS
zuständiger Nameserver
PTR
Reverse DNS, IP-Adresse zu Name
Merksatz:
A ist IPv4.
AAAA ist IPv6.
MX ist Mail.
PTR ist rückwärts.
DNS und Ports
DNS nutzt:
UDP 53
und bei Bedarf
TCP 53
UDP 53:
normale DNS-Abfragen
TCP 53:
große Antworten,
Zonentransfers
oder bestimmte Spezialfälle
Merksatz:
DNS ist meistens UDP 53,
aber TCP 53 nicht vergessen.
DNS-Prüfung mit Werkzeugen
Typische Werkzeuge:
nslookup
dig
ping mit Namen
Browser-Test
DNS-Cache prüfen
Wichtig:
ping auf Name testet DNS und ICMP zusammen.
Besser für reine DNS-Prüfung:
nslookup
oder
dig
Merksatz:
DNS gezielt mit nslookup oder dig prüfen.
DNS-Cache
Ein DNS-Cache speichert bereits aufgelöste Namen.
Vorteile:
schnellere Namensauflösung
weniger DNS-Anfragen
Problem:
veraltete Einträge können Fehler verursachen.
Merksatz:
DNS-Cache kann alte Informationen enthalten.
DNS-Suffix
Ein DNS-Suffix ergänzt unvollständige Namen.
Beispiel:
server01
kann ergänzt werden zu:
server01.firma.local
Typische Fehler:
falsches Suchsuffix
anderes Suffix im VPN
interner Name wird extern nicht gefunden
Merksatz:
DNS-Suffix hilft bei kurzen internen Namen.
Split-DNS
Split-DNS bedeutet:
interne und externe DNS-Auflösung können unterschiedliche Antworten liefern.
Beispiel:
intern:
intranet.firma.de zeigt auf private IP-Adresse
extern:
intranet.firma.de ist nicht erreichbar
oder zeigt auf öffentliche Adresse
Typisch bei:
VPN
Intranet
internen Diensten
Hybrid-Umgebungen
Merksatz:
Split-DNS kann je nach Standort unterschiedliche IPs liefern.
DHCP kurz erklärt
DHCP steht für:
Dynamic Host Configuration Protocol
Aufgabe:
DHCP verteilt automatisch Netzwerkkonfiguration an Clients.
Typische Informationen:
IP-Adresse
Subnetzmaske
Standardgateway
DNS-Server
Lease-Zeit
weitere Optionen
Merksatz:
DHCP erspart manuelle IP-Konfiguration.
DHCP-DORA
DORA beschreibt den DHCP-Ablauf:
Schritt
Bedeutung
Discover
Client sucht DHCP-Server
Offer
Server bietet Konfiguration an
Request
Client fordert angebotene Konfiguration an
Acknowledge
Server bestätigt die Vergabe
Merksatz:
DHCP-DORA:
Discover,
Offer,
Request,
Acknowledge.
DHCP und Ports
DHCP nutzt:
Rolle
Protokoll
Port
DHCP-Server
UDP
67
DHCP-Client
UDP
68
Merksatz:
DHCP nutzt UDP 67 und UDP 68.
DHCP und Broadcast
Ein Client hat zu Beginn oft noch keine gültige IP-Adresse.
Deshalb nutzt DHCP am Anfang Broadcast.
Grund:
Der Client kennt den DHCP-Server noch nicht.
Der Client hat noch keine vollständige Netzwerkkonfiguration.
Merksatz:
DHCP beginnt häufig mit Broadcast.
APIPA
APIPA steht für:
Automatic Private IP Addressing
Bereich:
169.254.0.0/16
Bedeutung:
Der Client hat keine gültige DHCP-Adresse erhalten
und vergibt sich selbst eine automatische Adresse.
Typisches Fehlerbild:
Client hat 169.254.x.x
und erreicht keine normalen Netzressourcen.
Merksatz:
169.254.x.x deutet auf DHCP-Problem hin.
DHCP-Scope
Ein DHCP-Scope ist ein Adressbereich,
aus dem DHCP Adressen vergeben darf.
Beispiel:
192.168.10.100 bis 192.168.10.200
Zu einem Scope gehören oft:
IP-Bereich
Subnetzmaske
Gateway
DNS-Server
Lease-Zeit
Ausschlüsse
Reservierungen
Merksatz:
DHCP-Scope = Adresspool für automatische Vergabe.
DHCP-Lease
Eine Lease ist die zeitlich begrenzte Vergabe einer IP-Adresse.
Bedeutung:
Ein Client erhält eine Adresse nicht für immer,
sondern für eine bestimmte Lease-Zeit.
Vorteil:
Adressen können später wiederverwendet werden.
Merksatz:
DHCP-Lease = zeitlich begrenzte IP-Vergabe.
DHCP-Reservierung
Eine DHCP-Reservierung weist einem bestimmten Gerät immer dieselbe IP-Adresse zu.
Meist anhand der:
MAC-Adresse
Typisch für:
Drucker
Server
NAS
Netzwerkgeräte
wichtige Clients
Merksatz:
Reservierung bedeutet:
automatisch,
aber immer dieselbe Adresse.
DHCP-Relay
Ein DHCP-Relay leitet DHCP-Anfragen in ein anderes Netz weiter.
Warum nötig?
DHCP-Broadcasts werden normalerweise nicht über Router weitergeleitet.
Beispiel:
Client in VLAN 20
DHCP-Server in VLAN 10
Dann braucht man oft:
DHCP-Relay
Merksatz:
DHCP-Relay hilft,
wenn Client und DHCP-Server in unterschiedlichen Netzen sind.
DHCP-Fehlerbilder
Fehlerbild
Mögliche Ursache
169.254.x.x
DHCP nicht erreicht
falsches Gateway
falsche DHCP-Option
falscher DNS-Server
falsche DHCP-Option
keine Adresse mehr frei
Scope erschöpft
nur ein VLAN betroffen
DHCP-Relay oder VLAN falsch
manche Geräte bekommen falsche IP
falscher Scope oder falsches VLAN
Gerät bekommt alte IP
Lease oder Reservierung prüfen
Merksatz:
DHCP-Probleme betreffen IP-Konfiguration,
nicht Namensauflösung.
Gateway kurz erklärt
Das Standardgateway ist der Router,
über den ein Host andere Netze erreicht.
Ohne Gateway kann ein Host normalerweise nur mit Geräten im eigenen Subnetz kommunizieren.
Beispiel:
Client:
192.168.10.50/24
Gateway:
192.168.10.1
Merksatz:
Gateway = Ausgang in andere Netze.
Gateway muss im lokalen Netz liegen
Das Gateway muss für den Client lokal erreichbar sein.
Falsches Beispiel:
Client:
192.168.10.50/24
Gateway:
192.168.20.1
Problem:
Client liegt im Netz 192.168.10.0/24.
Gateway liegt im Netz 192.168.20.0/24.
Der Client erreicht sein Gateway nicht lokal.
Merksatz:
Standardgateway muss im gleichen lokalen Subnetz erreichbar sein.
Gateway-Fehler in der Prüfung
Typisches Fehlerbild:
Client erreicht lokale Geräte,
aber keine externen Netze.
Wahrscheinliche Ursache:
Gateway fehlt
oder Gateway falsch
Auch möglich:
Routingfehler
NAT-Problem
Firewall blockiert
Providerverbindung gestört
Merksatz:
Lokal ja,
extern nein:
Gateway,
Routing,
NAT
oder Firewall prüfen.
Routing kurz erklärt
Routing bedeutet:
Weiterleitung von Paketen zwischen verschiedenen IP-Netzen.
Ein Router entscheidet anhand seiner Routing-Tabelle,
wohin ein Paket weitergeleitet wird.
Routing-Tabelle enthält typischerweise:
Zielnetz
Next Hop
Interface
Metrik
Merksatz:
Routing verbindet Netze.
Standardroute
Eine Standardroute ist die Route für alle Ziele,
für die keine speziellere Route existiert.
Schreibweise IPv4:
0.0.0.0/0
Merksatz:
Standardroute = Weg für unbekannte Ziele.
Spezifischste Route gewinnt
Wenn mehrere Routen passen,
wird die spezifischste Route verwendet.
Beispiel:
192.168.10.0/24
ist spezifischer als:
192.168.0.0/16
Merksatz:
Längster passender Präfix gewinnt.
NAT kurz erklärt
NAT steht für:
Network Address Translation
Aufgabe:
NAT übersetzt IP-Adressen.
Häufiger Einsatz:
private interne IPv4-Adressen werden beim Zugriff ins Internet
in eine öffentliche IPv4-Adresse übersetzt.
Merksatz:
NAT übersetzt Adressen.
Warum NAT verwendet wird
Gründe:
private IPv4-Adressen im LAN nutzen
öffentliche IPv4-Adressen sparen
interne Adressen nach außen verbergen
Internetzugriff für viele Clients ermöglichen
Wichtig:
NAT ist keine vollständige Sicherheitsmaßnahme.
Merksatz:
NAT hilft bei Adressübersetzung,
ersetzt aber keine Firewall.
Private IPv4-Bereiche
Bereich
CIDR
10.0.0.0 bis 10.255.255.255
10.0.0.0/8
172.16.0.0 bis 172.31.255.255
172.16.0.0/12
192.168.0.0 bis 192.168.255.255
192.168.0.0/16
Merksatz:
Private IPv4-Adressen werden im Internet nicht direkt geroutet.
PAT kurz erklärt
PAT steht für:
Port Address Translation
PAT ist eine Form von NAT,
bei der zusätzlich Portnummern zur Zuordnung genutzt werden.
Zweck:
viele interne Clients können über eine öffentliche IP-Adresse ins Internet.
Merksatz:
PAT nutzt Ports zur Unterscheidung mehrerer Verbindungen.
NAT und PAT vergleichen
Begriff
Bedeutung
Typischer Einsatz
NAT
übersetzt IP-Adressen
private zu öffentliche IP
PAT
übersetzt IP-Adressen und Ports
viele Clients über eine öffentliche IP
Portweiterleitung
leitet externen Port intern weiter
internen Dienst von außen erreichbar machen
Merksatz:
NAT übersetzt Adressen.
PAT unterscheidet Verbindungen über Ports.
Portweiterleitung kurz erklärt
Portweiterleitung bedeutet:
eingehender Verkehr auf einem externen Port
wird an einen internen Dienst weitergeleitet.
Beispiel:
öffentliche IP: TCP 443
wird weitergeleitet an:
interner Webserver: TCP 443
Merksatz:
Portweiterleitung macht interne Dienste von außen erreichbar.
Portweiterleitung und Risiko
Portweiterleitung erhöht die Angriffsfläche,
weil ein interner Dienst von außen erreichbar wird.
Deshalb prüfen:
Ist der Dienst wirklich nötig?
Ist der Dienst gepatcht?
Gibt es starke Authentifizierung?
Gibt es TLS?
Gibt es Logging?
Gibt es Firewall-Beschränkungen?
Gibt es eine DMZ?
Gibt es Alternativen wie VPN?
Merksatz:
Portweiterleitung nur gezielt und dokumentiert einsetzen.
DNS, DHCP, Gateway und NAT zusammen
Ein normaler Client braucht oft:
IP-Adresse von DHCP
Subnetzmaske von DHCP
Gateway von DHCP
DNS-Server von DHCP
Gateway für andere Netze
NAT für Internetzugriff mit privater IPv4-Adresse
DNS für Namensauflösung
Merksatz:
Internetzugriff braucht meistens mehrere korrekt zusammenspielende Bausteine.
Beispiel: Client kommt nicht ins Internet
Prüfreihenfolge:
1. Hat der Client eine gültige IP-Adresse?
2. Passt die Subnetzmaske?
3. Ist das Gateway eingetragen?
4. Liegt das Gateway im gleichen Subnetz?
5. Ist das Gateway erreichbar?
6. Funktioniert Zugriff auf externe IP?
7. Funktioniert DNS?
8. Funktioniert NAT?
9. Blockiert eine Firewall?
Merksatz:
Erst IP und Gateway,
dann DNS,
dann NAT und Firewall.
Beispiel: Webseite per IP erreichbar, per Name nicht
Fehlerbild:
Zugriff auf 93.184.216.34 funktioniert.
Zugriff auf www.example.com funktioniert nicht.
Wahrscheinliche Ursache:
DNS
Prüfen:
DNS-Server eingetragen?
DNS-Server erreichbar?
DNS-Eintrag korrekt?
anderer DNS-Server testen?
DNS-Cache leeren?
Merksatz:
Wenn IP funktioniert,
ist die Grundverbindung nicht das Hauptproblem.
Beispiel: Client hat 169.254.x.x
Fehlerbild:
Client hat APIPA-Adresse.
Wahrscheinliche Ursache:
DHCP nicht erreichbar
Prüfen:
Kabel oder WLAN
VLAN
DHCP-Server
DHCP-Scope
DHCP-Relay
Firewall
Switchport
Merksatz:
APIPA heißt:
automatische Notadresse statt gültiger DHCP-Adresse.
Beispiel: lokal erreichbar, Internet nicht
Fehlerbild:
Client erreicht Server im eigenen Netz.
Internet funktioniert nicht.
Mögliche Ursachen:
Gateway fehlt
Gateway falsch
Routingfehler
NAT fehlt
Firewall blockiert
DNS bei Namenszugriff zusätzlich möglich
Merksatz:
Lokale Kommunikation beweist nicht,
dass Gateway und NAT funktionieren.
Beispiel: Portweiterleitung funktioniert nicht
Mögliche Ursachen:
falscher externer Port
falsche interne IP
falscher interner Port
Dienst läuft nicht
lokale Firewall blockiert
Router-Firewall blockiert
NAT-Regel fehlt
doppelte NAT-Umgebung
öffentlicher DNS zeigt falsch
Provider blockiert Port
Merksatz:
Bei Portweiterleitung immer externen Port,
internes Ziel,
Dienst
und Firewall prüfen.
Doppeltes NAT
Doppeltes NAT bedeutet:
Verkehr wird durch zwei NAT-Geräte übersetzt.
Beispiel:
Provider-Router
und dahinter
eigener Router
Problem:
Portweiterleitungen werden schwieriger,
weil beide Geräte korrekt konfiguriert sein müssen.
Merksatz:
Doppeltes NAT erschwert eingehende Verbindungen.
CGNAT
CGNAT steht für:
Carrier-Grade NAT
Dabei teilt der Provider öffentliche IPv4-Adressen auf mehrere Kunden auf.
Problem:
Eigene Portweiterleitungen von außen funktionieren oft nicht direkt,
weil der Kunde keine eigene öffentliche IPv4-Adresse hat.
Merksatz:
Bei CGNAT ist eingehender Zugriff von außen eingeschränkt.
DNS bei Portweiterleitung
Für externen Zugriff braucht man oft zusätzlich DNS.
Beispiel:
app.firma.de
zeigt auf:
öffentliche IP-Adresse
Dann leitet NAT/Firewall weiter auf:
internen Server
Mögliche Fehler:
DNS zeigt auf falsche öffentliche IP
alter DNS-Cache
falscher A-Record
Split-DNS-Konflikt
Merksatz:
DNS findet die öffentliche Adresse,
NAT leitet zum internen Dienst.
NAT und Firewall unterscheiden
Begriff
Aufgabe
NAT
Adressen übersetzen
Firewall
Verkehr erlauben oder blockieren
Wichtig:
In vielen Geräten sind NAT und Firewall kombiniert.
Fachlich bleiben es unterschiedliche Funktionen.
Merksatz:
NAT übersetzt.
Firewall filtert.
DNS und DHCP unterscheiden
Begriff
Aufgabe
DNS
Namen auflösen
DHCP
IP-Konfiguration verteilen
Prüfungsfalle:
Ein Client mit 169.254.x.x hat zuerst ein DHCP-Problem,
nicht direkt ein DNS-Problem.
Merksatz:
DHCP gibt die Konfiguration.
DNS nutzt danach diese Konfiguration.
Gateway und NAT unterscheiden
Begriff
Aufgabe
Gateway
Router in andere Netze
NAT
Übersetzung von Adressen
Prüfungsfalle:
Ein Gateway kann vorhanden sein,
aber NAT kann trotzdem fehlen oder falsch sein.
Merksatz:
Gateway leitet weiter.
NAT übersetzt.
Typische Prüfungsfallen
DNS und DHCP verwechseln.
Gateway und DNS verwechseln.
NAT als Firewall bezeichnen.
PAT nicht als Port Address Translation erkennen.
Portweiterleitung mit normalem ausgehendem NAT verwechseln.
Gateway außerhalb des Client-Subnetzes eintragen.
DHCP-Relay vergessen.
APIPA nicht erkennen.
DNS nur mit UDP 53 verbinden und TCP 53 vergessen.
Private IPv4-Adressen als öffentlich routbar ansehen.
CGNAT bei eingehenden Verbindungen ignorieren.
Merksatz:
Die meisten Fehler entstehen durch Verwechslung der Aufgaben.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was macht DNS?
- Was macht DHCP?
- Was bedeutet DORA?
- Welche Ports nutzt DHCP?
- Welche Ports nutzt DNS?
- Was bedeutet eine Adresse aus 169.254.0.0/16?
- Was ist ein DHCP-Scope?
- Was ist eine DHCP-Reservierung?
- Was ist ein DHCP-Relay?
- Was ist ein Standardgateway?
- Warum muss das Gateway im lokalen Subnetz erreichbar sein?
- Was ist NAT?
- Was ist PAT?
- Was ist eine Portweiterleitung?
- Warum ersetzt NAT keine Firewall?
- Warum funktioniert Zugriff per IP,
aber nicht per Name?
IHK-sichere Kurzformulierung
DNS, DHCP, Gateway und NAT erfüllen unterschiedliche Aufgaben im Netzwerk. DNS löst Namen in IP-Adressen auf. DHCP verteilt automatisch Netzwerkkonfigurationen wie IP-Adresse, Subnetzmaske, Gateway und DNS-Server. Das Standardgateway ist der Router, über den ein Client andere Netze erreicht. NAT übersetzt IP-Adressen, häufig private interne IPv4-Adressen in eine öffentliche Adresse. PAT nutzt zusätzlich Ports, damit mehrere interne Clients über eine öffentliche IP-Adresse kommunizieren können. Portweiterleitung macht interne Dienste von außen erreichbar und erhöht dadurch die Angriffsfläche. Typische Fehlerbilder sind: IP funktioniert, Name nicht = DNS; 169.254.x.x = DHCP; lokal funktioniert, Internet nicht = Gateway, Routing, NAT oder Firewall.
Merksätze
DNS löst Namen auf.
DHCP verteilt IP-Konfiguration.
Gateway führt in andere Netze.
NAT übersetzt Adressen.
PAT nutzt Ports.
Portweiterleitung veröffentlicht Dienste.
DNS nutzt UDP und TCP 53.
DHCP nutzt UDP 67 und 68.
DHCP-DORA:
Discover,
Offer,
Request,
Acknowledge.
169.254.x.x deutet auf DHCP-Problem.
DHCP-Scope ist der Adresspool.
DHCP-Lease ist zeitlich begrenzte Vergabe.
DHCP-Reservierung gibt einem Gerät immer dieselbe IP.
DHCP-Relay leitet DHCP-Anfragen in andere Netze.
Gateway muss im lokalen Subnetz erreichbar sein.
Standardroute ist 0.0.0.0/0.
Spezifischste Route gewinnt.
Private IPv4-Adressen werden im Internet nicht direkt geroutet.
NAT ersetzt keine Firewall.
NAT übersetzt,
Firewall filtert.
DNS findet die öffentliche Adresse,
NAT leitet nach intern weiter.
Doppeltes NAT erschwert Portweiterleitungen.
CGNAT erschwert eingehende Verbindungen.
IP ja,
Name nein:
DNS.
169.254.x.x:
DHCP.
Lokal ja,
extern nein:
Gateway,
Routing,
NAT,
Firewall.
Host ja,
Dienst nein:
Port,
Dienst,
Firewall.
19.6 TCP, UDP, ICMP und ARP Spickzettel
Dieser Spickzettel fasst vier wichtige Netzwerkprotokolle kompakt zusammen:
- TCP
- UDP
- ICMP
- ARP
Diese Protokolle tauchen häufig in Prüfungsaufgaben,
Fehlersuche
und Netzwerkanalyse auf.
Merksatz:
TCP und UDP transportieren Daten.
ICMP hilft bei Diagnose.
ARP findet MAC-Adressen im lokalen Netz.
Grundübersicht
Protokoll
Schicht
Hauptaufgabe
TCP
OSI-Schicht 4
zuverlässiger verbindungsorientierter Transport
UDP
OSI-Schicht 4
schneller verbindungsloser Transport
ICMP
OSI-Schicht 3
Kontroll- und Fehlermeldungen
ARP
zwischen Schicht 2 und 3
IPv4-Adresse zu MAC-Adresse auflösen
Merksatz:
TCP und UDP gehören zur Transportschicht.
ICMP gehört zur Netzwerkschicht.
ARP verbindet IPv4 und Ethernet im lokalen Netz.
TCP kurz erklärt
TCP steht für:
Transmission Control Protocol
Eigenschaften:
verbindungsorientiert
zuverlässig
bestätigt Daten
überträgt verlorene Daten erneut
stellt Reihenfolge sicher
nutzt Ports
hat mehr Overhead als UDP
Typische Anwendungen:
HTTPS
HTTP
SSH
SMTP
IMAP
POP3
SMB
RDP
Merksatz:
TCP = zuverlässig und verbindungsorientiert.
TCP-Verbindungsaufbau
TCP baut vor der Datenübertragung eine Verbindung auf.
Der Verbindungsaufbau heißt:
Three-Way Handshake
Ablauf:
1. SYN
2. SYN-ACK
3. ACK
Bedeutung:
Client möchte Verbindung aufbauen.
Server bestätigt und antwortet.
Client bestätigt endgültig.
Merksatz:
TCP startet mit SYN,
SYN-ACK,
ACK.
TCP-Zuverlässigkeit
TCP sorgt für zuverlässige Übertragung durch:
Sequenznummern
Bestätigungen
erneute Übertragung
Reihenfolgeprüfung
Fehlererkennung
Flusskontrolle
Merksatz:
TCP merkt,
ob Daten angekommen sind.
TCP-Ports
TCP nutzt Ports,
um Daten einem Dienst oder Prozess zuzuordnen.
Beispiele:
Dienst
TCP-Port
SSH
22
HTTP
80
HTTPS
443
SMTP
25
IMAP
143
SMB
445
RDP
3389
Merksatz:
TCP-Port zeigt den angesprochenen Dienst.
Typische TCP-Status
Status
Bedeutung
LISTEN
Dienst wartet auf eingehende Verbindungen
SYN_SENT
Client versucht Verbindung aufzubauen
SYN_RECEIVED
Server hat SYN erhalten und geantwortet
ESTABLISHED
Verbindung besteht
FIN_WAIT
Verbindung wird beendet
TIME_WAIT
Verbindung wurde beendet, Wartephase
CLOSE_WAIT
Gegenseite hat beendet, lokale Anwendung noch nicht
Merksatz:
LISTEN heißt:
Dienst wartet.
ESTABLISHED heißt:
Verbindung besteht.
TCP-Fehlerbilder
Fehlerbild
Mögliche Ursache
Verbindung kommt nicht zustande
Port blockiert, Dienst aus, Firewall
SYN_SENT bleibt stehen
Ziel antwortet nicht oder Firewall blockiert
Verbindung bricht ab
Timeout, Anwendung, Netzwerkproblem
Dienst lauscht nicht
Dienst nicht gestartet oder falsche Schnittstelle
viele Verbindungen offen
Last, Angriff oder Anwendung hängt
Merksatz:
TCP-Fehler betreffen oft Port,
Dienst,
Firewall
oder Verbindung.
UDP kurz erklärt
UDP steht für:
User Datagram Protocol
Eigenschaften:
verbindungslos
schnell
wenig Overhead
keine eingebaute Zustellgarantie
keine eingebaute Reihenfolgegarantie
keine erneute Übertragung durch UDP selbst
nutzt Ports
Typische Anwendungen:
DNS
DHCP
VoIP
Streaming
Gaming
NTP
SNMP
Merksatz:
UDP = schnell,
schlank
und verbindungslos.
Warum UDP verwendet wird
UDP wird verwendet,
wenn geringe Verzögerung wichtiger ist als perfekte Zustellung.
Beispiele:
Sprache bei VoIP soll sofort ankommen.
Ein verlorenes Sprachpaket ist weniger schlimm als lange Verzögerung.
DNS-Anfragen sind klein und sollen schnell beantwortet werden.
Streaming kann einzelne Verluste oft besser verkraften als Verzögerung.
Merksatz:
UDP ist sinnvoll,
wenn Geschwindigkeit wichtiger ist als eingebaute Zuverlässigkeit.
UDP-Ports
Dienst
UDP-Port
DNS
53
DHCP Server
67
DHCP Client
68
NTP
123
SNMP
161
SNMP Trap
162
Merksatz:
UDP-Port zeigt ebenfalls den angesprochenen Dienst,
aber ohne TCP-Verbindungsaufbau.
UDP-Fehlerbilder
Fehlerbild
Mögliche Ursache
keine Antwort auf DNS
UDP 53 blockiert, DNS-Server falsch
DHCP funktioniert nicht
UDP 67/68, VLAN, DHCP-Relay
Zeit stimmt nicht
NTP UDP 123 blockiert oder Server falsch
SNMP liefert keine Werte
Community, Rechte, UDP 161, Firewall
VoIP abgehackt
Paketverlust, Jitter, Latenz
Merksatz:
UDP-Probleme erkennt man oft an fehlenden Antworten oder Qualitätseinbußen.
TCP und UDP vergleichen
Merkmal
TCP
UDP
Verbindung
verbindungsorientiert
verbindungslos
Aufbau
Three-Way Handshake
kein Verbindungsaufbau
Zuverlässigkeit
eingebaut
nicht eingebaut
Reihenfolge
wird gesichert
nicht garantiert
Overhead
höher
geringer
Geschwindigkeit
eher langsamer
eher schneller
Beispiele
HTTPS, SSH, SMTP
DNS, DHCP, VoIP
Merksatz:
TCP = zuverlässig.
UDP = wenig Overhead.
Wann TCP?
TCP eignet sich,
wenn Daten vollständig und korrekt ankommen müssen.
Beispiele:
Webseite laden
Datei übertragen
E-Mail senden
Remotezugriff
Datenbankverbindung
Dateifreigabe
Merksatz:
TCP für vollständige und zuverlässige Übertragung.
Wann UDP?
UDP eignet sich,
wenn Geschwindigkeit,
geringe Verzögerung
oder einfache Anfrage-Antwort-Kommunikation wichtig ist.
Beispiele:
DNS
DHCP
VoIP
Livestreaming
Online-Gaming
Zeitabgleich
Merksatz:
UDP für schnelle und zeitkritische Kommunikation.
ICMP kurz erklärt
ICMP steht für:
Internet Control Message Protocol
Aufgabe:
Kontroll-
Fehler-
und Diagnosemeldungen im IP-Netz
Typische Nutzung:
ping
traceroute
Fehlermeldungen bei nicht erreichbaren Zielen
Merksatz:
ICMP transportiert keine Anwendungsdaten,
sondern Kontrollinformationen.
ICMP und OSI-Schicht
ICMP gehört zur Netzwerkschicht.
OSI-Schicht:
Schicht 3
Grund:
ICMP arbeitet mit IP
und meldet Probleme bei IP-Kommunikation.
Merksatz:
ICMP gehört zu Schicht 3.
ping
ping nutzt ICMP Echo Request und Echo Reply.
Aufgabe:
Erreichbarkeit eines Ziels testen
Wichtig:
Ping prüft nicht,
ob ein bestimmter TCP- oder UDP-Dienst funktioniert.
Beispiel:
Ping funktioniert,
aber HTTPS auf TCP 443 ist blockiert.
Merksatz:
ping prüft ICMP-Erreichbarkeit,
nicht den Anwendungsdienst.
traceroute und tracert
traceroute oder tracert zeigen den Weg zum Ziel über Router.
Nutzung:
Pfad prüfen
Routingprobleme eingrenzen
Paketlaufzeit grob erkennen
Hops sichtbar machen
Wichtig:
Nicht jeder Router antwortet auf ICMP oder Traceroute.
Sternchen bedeuten nicht automatisch,
dass der gesamte Weg defekt ist.
Merksatz:
traceroute zeigt den Weg,
aber Ausgaben müssen interpretiert werden.
ICMP-Fehlerbilder
Fehlerbild
Mögliche Bedeutung
ping erfolgreich
Ziel antwortet auf ICMP
ping fehlgeschlagen
Ziel offline, ICMP blockiert, Routingproblem
hohe Antwortzeit
Latenz, Last oder lange Strecke
Paketverlust
Netzproblem, Überlastung oder Funkproblem
traceroute bricht ab
Firewall, Routing, ICMP-Filter
einzelne Hops antworten nicht
Router antwortet nicht auf ICMP, Weg kann trotzdem funktionieren
Merksatz:
Kein ping bedeutet nicht automatisch:
Ziel ist offline.
ICMP und Firewall
ICMP kann in Firewalls erlaubt oder blockiert werden.
Vorteil von ICMP erlauben:
bessere Diagnose
einfachere Fehlersuche
Grund für Einschränkung:
weniger Informationspreisgabe
Schutz gegen bestimmte Missbrauchsarten
Sicherheitsrichtlinie
Merksatz:
ICMP blockieren kann Fehlersuche erschweren.
ARP kurz erklärt
ARP steht für:
Address Resolution Protocol
Aufgabe:
IPv4-Adresse in MAC-Adresse auflösen
Einsatzbereich:
lokales Netzwerksegment
Beispiel:
Ein Client möchte das Gateway 192.168.1.1 erreichen.
Dafür braucht er die MAC-Adresse des Gateways.
Diese ermittelt er mit ARP.
Merksatz:
ARP findet die MAC-Adresse zu einer IPv4-Adresse im lokalen Netz.
Warum ARP nötig ist
IP-Adressen werden für logische Kommunikation genutzt.
Ethernet im lokalen Netz braucht aber MAC-Adressen.
Deshalb muss ein Host wissen:
Welche MAC-Adresse gehört zur Ziel-IP?
Für Ziele außerhalb des eigenen Netzes gilt:
Der Client ermittelt per ARP die MAC-Adresse des Gateways,
nicht die MAC-Adresse des entfernten Zielservers.
Merksatz:
Für entfernte Ziele wird lokal die MAC des Gateways benötigt.
ARP-Ablauf
Typischer Ablauf:
1. Host prüft:
Liegt Ziel im eigenen Subnetz?
2. Wenn Ziel lokal ist:
ARP fragt nach MAC-Adresse des Zielhosts.
3. Wenn Ziel extern ist:
ARP fragt nach MAC-Adresse des Gateways.
4. Antwort wird in ARP-Tabelle gespeichert.
Merksatz:
ARP arbeitet nur im lokalen Netz.
ARP Request und ARP Reply
ARP Request:
Frage per Broadcast:
Wer hat diese IP-Adresse?
ARP Reply:
Antwort per Unicast:
Diese IP-Adresse gehört zu dieser MAC-Adresse.
Merksatz:
ARP Request ist Broadcast.
ARP Reply ist Antwort mit MAC-Adresse.
ARP-Tabelle
Die ARP-Tabelle speichert bekannte Zuordnungen.
Beispiel:
IPv4-Adresse
zu
MAC-Adresse
Vorteil:
nicht bei jedem Paket neu fragen
Problem:
falsche oder alte Einträge können Fehler verursachen.
Merksatz:
ARP-Tabelle ist der lokale Zwischenspeicher für IP-zu-MAC.
ARP und Gateway
Wenn ein Ziel nicht im eigenen Subnetz liegt,
sendet der Client das Ethernet-Frame an die MAC-Adresse des Gateways.
Wichtig:
IP-Ziel bleibt der entfernte Host.
MAC-Ziel ist lokal das Gateway.
Merksatz:
IP zeigt zum Endziel.
MAC zeigt zum nächsten lokalen Hop.
ARP-Fehlerbilder
Fehlerbild
Mögliche Ursache
lokaler Host nicht erreichbar
ARP, VLAN, Switch, Firewall, Ziel aus
Gateway nicht erreichbar
falsches Gateway, ARP, VLAN, Router aus
doppelte IP-Adresse
ARP springt zwischen MAC-Adressen
falsche MAC-Zuordnung
ARP-Spoofing oder Cache-Problem
nur lokales Netz betroffen
Schicht 2 oder ARP prüfen
Merksatz:
ARP-Probleme betreffen lokale IPv4-Kommunikation.
ARP-Spoofing
ARP-Spoofing ist ein Angriff,
bei dem falsche ARP-Antworten gesendet werden.
Ziel:
Datenverkehr umleiten
Man-in-the-Middle ermöglichen
Kommunikation stören
Schutzmaßnahmen:
Dynamic ARP Inspection
statische ARP-Einträge in Sonderfällen
Netzwerksegmentierung
Switch-Sicherheitsfunktionen
Verschlüsselung höherer Schichten
Monitoring
Merksatz:
ARP vertraut lokalen Antworten und kann missbraucht werden.
TCP, UDP, ICMP und ARP gemeinsam einordnen
Frage
Wahrscheinliches Thema
Ist der Dienst über Port erreichbar?
TCP oder UDP
Funktioniert Namensauflösung?
DNS über UDP/TCP 53
Funktioniert IP-Erreichbarkeit grob?
ICMP
Wie kommt IPv4 zur MAC-Adresse?
ARP
Warum geht ping, aber Webseite nicht?
ICMP geht, TCP 80/443 prüfen
Warum geht lokale Kommunikation nicht?
ARP, VLAN, Switch, IP
Warum geht Gateway nicht?
ARP, Gateway-IP, VLAN, Router
Merksatz:
Unterschiedliche Protokolle beantworten unterschiedliche Diagnosefragen.
Beispiel: Ping funktioniert, HTTPS nicht
Fehlerbild:
ping zum Server funktioniert.
Webseite über HTTPS funktioniert nicht.
Bedeutung:
ICMP-Erreichbarkeit ist vorhanden.
Mögliche Ursachen:
TCP 443 blockiert
Webserver läuft nicht
Zertifikatsproblem
Reverse Proxy fehlerhaft
Anwendung fehlerhaft
Firewall-Regel fehlt
Merksatz:
ping erfolgreich heißt nicht,
dass HTTPS funktioniert.
Beispiel: DNS funktioniert nicht
Fehlerbild:
Name wird nicht aufgelöst.
Mögliche Protokolle:
DNS über UDP 53
DNS über TCP 53
Mögliche Ursachen:
DNS-Server falsch
DNS-Server nicht erreichbar
Port 53 blockiert
falscher DNS-Eintrag
DNS-Cache
Split-DNS
Merksatz:
DNS-Probleme sind meist Schicht 7,
nutzen aber TCP oder UDP auf Schicht 4.
Beispiel: DHCP funktioniert nicht
Fehlerbild:
Client erhält 169.254.x.x.
Beteiligte Protokolle:
DHCP über UDP 67 und 68
Mögliche Ursachen:
DHCP-Server nicht erreichbar
falsches VLAN
DHCP-Relay fehlt
Scope erschöpft
Firewall blockiert
Netzwerkverbindung fehlerhaft
Merksatz:
DHCP-Fehler können durch Schicht 1,
2,
3
oder 7 verursacht werden.
Beispiel: lokales Ziel nicht erreichbar
Fehlerbild:
Client und Server sollen im gleichen Subnetz sein,
erreichen sich aber nicht.
Mögliche Prüfungen:
IP-Adresse
Subnetzmaske
VLAN
Switchport
ARP-Tabelle
lokale Firewall
doppelte IP-Adresse
Merksatz:
Im gleichen Subnetz sind ARP,
VLAN
und lokale Firewall besonders wichtig.
Beispiel: externes Ziel nicht erreichbar
Fehlerbild:
Ziel liegt außerhalb des eigenen Subnetzes.
Beteiligte Schritte:
Client prüft Zielnetz.
Client sendet an Gateway.
ARP ermittelt MAC-Adresse des Gateways.
Router leitet IP-Paket weiter.
NAT oder Firewall können beteiligt sein.
Merksatz:
Externe Kommunikation braucht Gateway und Routing.
Typische Werkzeuge
Werkzeug
Hilft bei
ping
ICMP-Erreichbarkeit
traceroute / tracert
Weg über Router
arp
ARP-Tabelle anzeigen
ip neigh
Nachbartabelle unter Linux
ipconfig /all
IP-Konfiguration Windows
ip addr
IP-Konfiguration Linux
netstat
Verbindungen und Ports
ss
Sockets und Ports unter Linux
nslookup
DNS prüfen
dig
DNS detailliert prüfen
tcpdump
Pakete mitschneiden
Wireshark
Pakete grafisch analysieren
Merksatz:
Werkzeug passend zur vermuteten Schicht wählen.
Prüfungsfalle: ping falsch interpretieren
Ping kann fehlschlagen,
obwohl der Dienst erreichbar ist.
Mögliche Gründe:
ICMP blockiert
Ziel antwortet nicht auf ping
Firewall filtert ICMP
Ping kann funktionieren,
obwohl der Dienst nicht erreichbar ist.
Mögliche Gründe:
TCP-Port blockiert
Anwendung läuft nicht
TLS-Problem
Rechteproblem
Merksatz:
ping ist Diagnose,
aber kein vollständiger Funktionstest.
Prüfungsfalle: ARP nur im lokalen Netz
ARP funktioniert nicht über Router hinweg.
Für entfernte Ziele wird nicht die MAC-Adresse des Zielservers gesucht,
sondern die MAC-Adresse des Gateways.
Merksatz:
ARP kennt nur lokale Nachbarn.
Prüfungsfalle: TCP und UDP nicht vermischen
TCP 53 und UDP 53 sind unterschiedliche Regeln.
TCP 443 und UDP 443 sind nicht automatisch dasselbe.
Eine Firewall-Regel muss das richtige Transportprotokoll erlauben.
Merksatz:
Portnummer ohne TCP oder UDP ist unvollständig.
Prüfungsfalle: UDP ist nicht automatisch unsicher
UDP hat keine eingebaute Zustellgarantie.
Das bedeutet aber nicht automatisch,
dass UDP „schlecht“ oder „unsicher“ ist.
Es ist für bestimmte Anwendungen sinnvoll,
zum Beispiel DNS,
DHCP,
VoIP
oder NTP.
Merksatz:
UDP ist nicht schlechter,
sondern für andere Anforderungen gebaut.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist TCP?
- Was ist UDP?
- Vergleichen Sie TCP und UDP.
- Was ist der TCP Three-Way Handshake?
- Warum nutzt DNS häufig UDP?
- Warum eignet sich UDP für VoIP?
- Was macht ICMP?
- Wofür wird ping verwendet?
- Warum ersetzt ping keinen Diensttest?
- Was zeigt traceroute?
- Was macht ARP?
- Warum wird bei externen Zielen die MAC-Adresse des Gateways benötigt?
- Was ist ARP-Spoofing?
- Warum muss man bei Firewall-Regeln TCP und UDP unterscheiden?
IHK-sichere Kurzformulierung
TCP und UDP sind Transportprotokolle der OSI-Schicht 4. TCP ist verbindungsorientiert und zuverlässig. Es nutzt einen Verbindungsaufbau, Bestätigungen und erneute Übertragung verlorener Daten. UDP ist verbindungslos, schlank und hat keine eingebaute Zustellgarantie. Es eignet sich für schnelle oder zeitkritische Kommunikation wie DNS, DHCP, VoIP oder NTP. ICMP arbeitet auf Schicht 3 und dient Kontroll- und Diagnosemeldungen, zum Beispiel bei ping oder traceroute. ARP löst im lokalen IPv4-Netz eine IP-Adresse in eine MAC-Adresse auf. Für Ziele außerhalb des eigenen Subnetzes wird per ARP die MAC-Adresse des Gateways ermittelt.
Merksätze
TCP ist zuverlässig.
TCP ist verbindungsorientiert.
TCP nutzt Ports.
TCP startet mit SYN,
SYN-ACK,
ACK.
UDP ist verbindungslos.
UDP ist schnell und schlank.
UDP hat keine eingebaute Zustellgarantie.
UDP nutzt ebenfalls Ports.
TCP und UDP gehören zu Schicht 4.
ICMP gehört zu Schicht 3.
ICMP dient Diagnose und Fehlermeldungen.
ping nutzt ICMP.
ping ist kein vollständiger Diensttest.
traceroute zeigt den Weg über Router.
Nicht jeder Hop muss antworten.
ARP löst IPv4 zu MAC auf.
ARP arbeitet lokal.
ARP Request ist Broadcast.
ARP Reply liefert die MAC-Adresse.
ARP-Tabelle speichert Zuordnungen.
Für externe Ziele wird die MAC des Gateways genutzt.
IP zeigt zum Endziel.
MAC zeigt zum nächsten lokalen Hop.
ARP-Spoofing kann Verkehr umleiten.
TCP 53 und UDP 53 getrennt beachten.
Portnummer immer mit TCP oder UDP nennen.
Host erreichbar heißt nicht Dienst erreichbar.
ICMP blockiert heißt nicht automatisch Ziel offline.
UDP ist nicht schlechter,
sondern für andere Anforderungen gebaut.
19.7 VLAN, Switching, Routing und Firewall Spickzettel
Dieser Spickzettel fasst vier zentrale Netzwerkthemen kompakt zusammen:
- Switching
- VLAN
- Routing
- Firewall
Diese Themen hängen in Prüfungsaufgaben oft zusammen,
weil sie bestimmen,
wie Geräte im lokalen Netz kommunizieren
und wie Verkehr zwischen Netzen erlaubt oder blockiert wird.
Merksatz:
Switches verbinden Geräte im LAN.
VLANs trennen logisch.
Routing verbindet Netze.
Firewalls filtern Verkehr.
Grundübersicht
Begriff
Hauptaufgabe
Typische Schicht
Switch
Frames im lokalen Netz weiterleiten
OSI-Schicht 2
VLAN
logische Trennung innerhalb eines Switch-Netzes
OSI-Schicht 2
Router
IP-Netze miteinander verbinden
OSI-Schicht 3
Firewall
Verkehr erlauben oder blockieren
Schicht 3 bis 7
Merksatz:
VLAN trennt.
Routing verbindet.
Firewall entscheidet,
was erlaubt ist.
Switching kurz erklärt
Ein Switch verbindet Geräte in einem lokalen Netzwerk.
Er arbeitet hauptsächlich auf:
OSI-Schicht 2
Er leitet Ethernet-Frames anhand von MAC-Adressen weiter.
Merksatz:
Switches arbeiten mit MAC-Adressen.
MAC-Adresstabelle
Ein Switch lernt,
welche MAC-Adresse an welchem Port erreichbar ist.
Beispiel:
MAC-Adresse
Switchport
AA:AA:AA:AA:AA:01
Port 1
AA:AA:AA:AA:AA:02
Port 2
AA:AA:AA:AA:AA:03
Port 3
Der Switch lernt aus der Quell-MAC-Adresse eingehender Frames.
Merksatz:
Switch lernt aus Quell-MAC-Adressen.
Switching-Ablauf
Wenn ein Frame beim Switch ankommt:
1. Switch liest die Quell-MAC-Adresse.
2. Switch speichert:
Diese MAC-Adresse ist an diesem Port erreichbar.
3. Switch liest die Ziel-MAC-Adresse.
4. Wenn Ziel-MAC bekannt ist:
Frame wird gezielt an den passenden Port gesendet.
5. Wenn Ziel-MAC unbekannt ist:
Frame wird geflutet.
Merksatz:
Bekannte Ziel-MAC:
gezielte Weiterleitung.
Unbekannte Ziel-MAC:
Flooding.
Flooding
Flooding bedeutet:
Der Switch sendet einen Frame an alle Ports im VLAN,
außer an den Eingangsport.
Flooding passiert bei:
unbekannter Ziel-MAC-Adresse
Broadcast
bestimmten Multicast-Fällen
Merksatz:
Flooding ist nicht immer Fehler,
sondern bei unbekannter Ziel-MAC normal.
Broadcast
Broadcast bedeutet:
Nachricht an alle Geräte im lokalen Broadcast-Bereich.
Beispiel:
ARP Request
Broadcast bleibt normalerweise innerhalb:
eines VLANs
beziehungsweise
einer Broadcast-Domäne
Merksatz:
Broadcast erreicht alle Geräte im gleichen VLAN.
Broadcast-Domäne
Eine Broadcast-Domäne ist der Bereich,
in dem Broadcasts verteilt werden.
Ohne VLAN:
oft gesamtes Switch-Netz
Mit VLAN:
jedes VLAN ist eigene Broadcast-Domäne
Merksatz:
VLANs trennen Broadcast-Domänen.
VLAN kurz erklärt
VLAN steht für:
Virtual Local Area Network
Ein VLAN trennt ein physisches Netzwerk logisch in mehrere getrennte Netzbereiche.
Beispiele:
VLAN 10 Verwaltung
VLAN 20 Clients
VLAN 30 Server
VLAN 40 Gäste
VLAN 99 Management
Merksatz:
VLAN = logische Trennung auf Schicht 2.
Warum VLANs verwendet werden
Vorteile:
logische Netztrennung
kleinere Broadcast-Domänen
bessere Struktur
Trennung von Abteilungen
Trennung von Gästen und internem Netz
Trennung von Servern und Clients
Managementnetz separat halten
Sicherheitszonen ermöglichen
Merksatz:
VLANs verbessern Struktur,
Übersicht
und Sicherheit.
VLAN ist keine vollständige Firewall
Ein VLAN trennt auf Schicht 2.
Aber:
Kommunikation zwischen VLANs ist über Routing möglich.
Deshalb braucht man für Sicherheit zusätzlich:
Router-Regeln
Firewall-Regeln
ACLs
Merksatz:
VLAN trennt logisch,
Firewall kontrolliert Verkehr.
Access-Port
Ein Access-Port gehört normalerweise zu genau einem VLAN.
Typische Nutzung:
Client
Drucker
Telefon
Access Point im einfachen Betrieb
Arbeitsplatzgerät
Beispiel:
Port 5 ist Access-Port in VLAN 20.
Ein angeschlossenes Endgerät muss das VLAN meist nicht kennen.
Merksatz:
Access-Port = ein VLAN für Endgeräte.
Trunk-Port
Ein Trunk-Port transportiert mehrere VLANs.
Typische Nutzung:
Verbindung zwischen Switches
Verbindung zu Router
Verbindung zu Firewall
Verbindung zu Hypervisor
Verbindung zu VLAN-fähigem Access Point
Merksatz:
Trunk-Port = mehrere VLANs über eine Verbindung.
Access-Port und Trunk-Port vergleichen
Porttyp
VLAN-Anzahl
Typische Nutzung
Access-Port
ein VLAN
Endgeräte
Trunk-Port
mehrere VLANs
Switch, Router, Firewall, Hypervisor
Merksatz:
Access = ein VLAN.
Trunk = mehrere VLANs.
VLAN-Tagging
Bei Trunk-Verbindungen müssen Frames einem VLAN zugeordnet werden.
Dafür wird meistens verwendet:
IEEE 802.1Q
Dabei bekommt der Frame einen VLAN-Tag.
Merksatz:
802.1Q markiert Frames mit VLAN-Information.
Untagged und Tagged
Untagged:
Frame enthält keinen sichtbaren VLAN-Tag für das Endgerät.
Typisch:
Access-Port
Tagged:
Frame enthält VLAN-Information.
Typisch:
Trunk-Port
Merksatz:
Access meist untagged.
Trunk meist tagged.
Native VLAN
Das Native VLAN ist das VLAN,
dessen Frames auf einem Trunk untagged übertragen werden können.
Wichtig:
Native VLAN muss auf beiden Seiten passend konfiguriert sein.
Risiko:
Fehlkonfiguration kann zu unerwarteter Kommunikation führen.
Merksatz:
Native VLAN auf Trunks bewusst und einheitlich konfigurieren.
Management-VLAN
Ein Management-VLAN dient der Verwaltung von Netzwerkgeräten.
Darin liegen zum Beispiel:
Switch-Management
Access-Point-Management
Firewall-Management
Monitoring
Administrationszugriffe
Merksatz:
Managementzugänge nicht ins normale Clientnetz legen.
Gast-VLAN
Ein Gast-VLAN trennt Gäste vom internen Netz.
Typische Regeln:
Zugriff ins Internet erlaubt
Zugriff auf interne Server blockiert
Zugriff auf Managementnetz blockiert
Merksatz:
Gastnetz vom internen Netz trennen.
Voice-VLAN
Ein Voice-VLAN wird für IP-Telefone genutzt.
Vorteile:
Sprachverkehr getrennt vom normalen Clientverkehr
QoS leichter möglich
bessere Übersicht
getrennte Sicherheitsregeln möglich
Merksatz:
Voice-VLAN trennt Telefonie vom normalen Datenverkehr.
Inter-VLAN-Routing
VLANs sind getrennte Layer-2-Netze.
Damit Geräte aus verschiedenen VLANs miteinander kommunizieren können,
braucht man Routing.
Das nennt man:
Inter-VLAN-Routing
Möglich über:
Router
Layer-3-Switch
Firewall
Merksatz:
VLANs trennen.
Inter-VLAN-Routing verbindet sie wieder gezielt.
Router-on-a-Stick
Router-on-a-Stick bedeutet:
Ein Router verbindet mehrere VLANs über eine Trunk-Verbindung.
Der Router hat logische Subinterfaces,
zum Beispiel:
VLAN 10
VLAN 20
VLAN 30
Merksatz:
Router-on-a-Stick routet mehrere VLANs über einen Trunk.
Layer-3-Switch
Ein Layer-3-Switch kann:
switchen auf Schicht 2
und
routen auf Schicht 3
Typische Nutzung:
schnelles Routing zwischen VLANs im internen Netz
Merksatz:
Layer-3-Switch verbindet Switching und Routing.
Routing kurz erklärt
Routing bedeutet:
Pakete zwischen verschiedenen IP-Netzen weiterleiten.
Ein Router entscheidet anhand der Routing-Tabelle,
wohin ein IP-Paket gesendet wird.
Merksatz:
Routing verbindet IP-Netze.
Routing-Tabelle
Eine Routing-Tabelle enthält typischerweise:
Zielnetz
Präfix
Next Hop
Interface
Metrik
Beispiel:
Zielnetz
Next Hop
Bedeutung
192.168.10.0/24
direkt verbunden
lokales Netz
192.168.20.0/24
192.168.10.1
über Router erreichbar
0.0.0.0/0
192.168.10.254
Standardroute
Merksatz:
Routing-Tabelle bestimmt den nächsten Weg.
Standardroute
Die Standardroute ist die Route für alle Ziele,
für die keine spezifischere Route vorhanden ist.
IPv4-Schreibweise:
0.0.0.0/0
Typisch:
Weg zum Internetrouter
Merksatz:
Standardroute = Route für unbekannte Ziele.
Spezifischste Route gewinnt
Wenn mehrere Routen passen,
wird die Route mit dem längsten passenden Präfix verwendet.
Beispiel:
192.168.10.0/24
ist spezifischer als:
192.168.0.0/16
Merksatz:
Längster passender Präfix gewinnt.
Gateway
Das Standardgateway ist der Router,
über den ein Client andere Netze erreicht.
Wichtig:
Das Gateway muss im lokalen Subnetz des Clients erreichbar sein.
Merksatz:
Gateway = Ausgang aus dem eigenen Netz.
Firewall kurz erklärt
Eine Firewall filtert Netzwerkverkehr.
Sie entscheidet anhand von Regeln:
erlauben
oder
blockieren
Typische Kriterien:
Quelle
Ziel
Port
Protokoll
Richtung
Benutzer
Anwendung
Zustand
Zeit
Zone
Merksatz:
Firewall = kontrollierter Verkehr zwischen Bereichen.
Firewall-Regel
Eine gute Firewall-Regel enthält:
Quelle
Ziel
Dienst oder Port
Protokoll
Richtung
Aktion
Zweck
Verantwortlichen
Datum
Beispiel:
Quelle
Ziel
Protokoll
Port
Aktion
Zweck
Client-VLAN
Webserver-DMZ
TCP
443
erlauben
HTTPS-Zugriff
Gast-VLAN
internes Servernetz
any
any
blockieren
internes Netz schützen
Admin-VLAN
Switch-Management
TCP
22
erlauben
SSH-Administration
Merksatz:
Jede Firewall-Regel braucht einen Zweck.
Default Deny
Default Deny bedeutet:
Standardmäßig ist alles verboten.
Nur ausdrücklich erlaubter Verkehr wird zugelassen.
Vorteil:
kleinere Angriffsfläche
bessere Kontrolle
weniger unbeabsichtigte Freigaben
Merksatz:
Erst blockieren,
dann gezielt erlauben.
Any-to-Any
Any-to-Any bedeutet:
jede Quelle
zu
jedem Ziel
Problem:
sehr breite Freigabe
schlechte Nachvollziehbarkeit
große Angriffsfläche
Sicherheitszonen werden umgangen
Merksatz:
Any-to-Any ist in der Regel kritisch.
Stateful Firewall
Eine Stateful Firewall merkt sich den Zustand einer Verbindung.
Beispiel:
Client startet HTTPS-Verbindung nach außen.
Antwortpakete werden automatisch zugelassen,
weil sie zur bestehenden Verbindung gehören.
Merksatz:
Stateful Firewall kennt Verbindungszustände.
Stateless Firewall
Eine Stateless Firewall betrachtet Pakete einzeln,
ohne Verbindungszustand zu merken.
Sie prüft nur einzelne Paketinformationen,
zum Beispiel:
Quelle
Ziel
Port
Protokoll
Merksatz:
Stateless Firewall kennt keinen Verbindungszustand.
Firewall-Zonen
Firewall-Zonen teilen Netzbereiche nach Schutzbedarf.
Beispiele:
Internet
DMZ
internes Netz
Servernetz
Clientnetz
Gastnetz
Managementnetz
Merksatz:
Zonen helfen,
Sicherheitsregeln strukturiert aufzubauen.
DMZ
DMZ steht für:
Demilitarized Zone
Eine DMZ ist ein getrenntes Netz für öffentlich erreichbare Dienste.
Beispiele:
Webserver
Reverse Proxy
Mail-Gateway
VPN-Gateway
Ziel:
interne Netze schützen,
wenn ein öffentlich erreichbarer Dienst kompromittiert wird.
Merksatz:
DMZ trennt öffentliche Dienste vom internen Netz.
ACL
ACL steht für:
Access Control List
Eine ACL ist eine Liste von Regeln,
die Zugriff erlauben oder verweigern.
Einsatz:
Router
Switches
Firewalls
Betriebssysteme
Anwendungen
Merksatz:
ACL = Regelbasierte Zugriffskontrolle.
VLAN und Firewall zusammendenken
VLANs trennen Netzbereiche.
Firewalls regeln,
welcher Verkehr zwischen diesen Bereichen erlaubt ist.
Beispiel:
Quelle
Ziel
Erlaubt?
Grund
Client-VLAN
Internet
ja
normaler Zugriff
Gast-VLAN
internes Servernetz
nein
Schutz interner Daten
Admin-VLAN
Management-VLAN
ja
Administration
Server-VLAN
Datenbank-VLAN
nur benötigter Port
Least Privilege
Merksatz:
VLAN ohne Regeln ist nur Trennung.
Firewall macht daraus kontrollierte Sicherheit.
Typisches Fehlerbild: falsches VLAN
Symptome:
Client bekommt keine passende IP-Adresse.
Client erreicht lokale Systeme nicht.
DHCP funktioniert nicht.
Gerät ist im falschen Netz.
nur ein Switchport betroffen.
Prüfen:
Access-Port-VLAN
Trunk erlaubt VLAN?
VLAN existiert?
DHCP-Scope passt?
Switchport aktiv?
Dokumentation korrekt?
Merksatz:
Falsches VLAN führt oft zu falscher oder fehlender IP-Konfiguration.
Typisches Fehlerbild: Trunk falsch konfiguriert
Symptome:
mehrere VLANs funktionieren nicht
ein bestimmtes VLAN fehlt auf zweitem Switch
Access Points liefern falsche Netze
Hypervisor-VLANs nicht erreichbar
Prüfen:
Trunk-Port aktiv?
VLANs erlaubt?
Tagging korrekt?
Native VLAN gleich?
Gegenstelle passend konfiguriert?
Merksatz:
Trunk-Probleme betreffen oft mehrere VLANs.
Typisches Fehlerbild: Routing fehlt
Symptome:
Geräte im gleichen VLAN erreichen sich.
Geräte in anderen VLANs nicht.
Gateway erreichbar,
aber Zielnetz nicht.
Prüfen:
Routing-Tabelle
Gateway
Layer-3-Switch oder Router
Inter-VLAN-Routing
Firewall-Regeln
Rückroute
Merksatz:
Gleiches VLAN geht,
anderes Netz nicht:
Routing und Firewall prüfen.
Typisches Fehlerbild: Firewall blockiert
Symptome:
Zielhost erreichbar,
aber bestimmter Dienst nicht.
Porttest schlägt fehl.
Firewall-Log zeigt Drop oder Deny.
nach Regeländerung funktioniert Dienst nicht mehr.
Prüfen:
Quelle
Ziel
Port
Protokoll
Richtung
Zone
NAT
Regelreihenfolge
Logs
Merksatz:
Host erreichbar,
Dienst nicht:
Port,
Dienst
und Firewall prüfen.
Typisches Fehlerbild: Rückroute fehlt
Bei Kommunikation zwischen Netzen muss nicht nur der Hinweg funktionieren,
sondern auch der Rückweg.
Symptom:
Anfrage geht raus,
Antwort kommt nicht zurück.
Ursachen:
Rückroute fehlt
falsches Gateway
asymmetrisches Routing
Firewall blockiert Rückverkehr
NAT falsch
Merksatz:
Netzwerkkommunikation braucht Hinweg und Rückweg.
STP kurz erklärt
STP steht für:
Spanning Tree Protocol
Aufgabe:
Schleifen auf Schicht 2 verhindern.
Warum wichtig?
Layer-2-Schleifen können Broadcast-Stürme verursachen.
Merksatz:
STP verhindert Switch-Schleifen.
Broadcast-Sturm
Ein Broadcast-Sturm entsteht,
wenn Broadcasts durch Schleifen immer wieder weitergeleitet werden.
Folgen:
Netz wird langsam
Switches stark belastet
Clients verlieren Verbindung
Dienste brechen ab
Merksatz:
Layer-2-Schleifen können das Netz lahmlegen.
Port Security
Port Security begrenzt,
welche oder wie viele MAC-Adressen an einem Switchport erlaubt sind.
Ziel:
unautorisierte Geräte erschweren
einfache Angriffe reduzieren
Portmissbrauch begrenzen
Merksatz:
Port Security kontrolliert MAC-Adressen am Switchport.
802.1X
802.1X ist portbasierte Netzwerkzugangskontrolle.
Prinzip:
Gerät oder Benutzer muss sich authentifizieren,
bevor Netzwerkzugriff erlaubt wird.
Typisch mit:
RADIUS
Zertifikat
Benutzerkonto
Merksatz:
802.1X prüft Zugriff vor Netzzugang.
Switching, Routing und Firewall unterscheiden
Begriff
Aufgabe
Typische Entscheidung
Switching
Frames im LAN weiterleiten
Welche MAC an welchem Port?
Routing
Pakete zwischen Netzen weiterleiten
Welcher nächste Hop?
Firewall
Verkehr filtern
Erlauben oder blockieren?
Merksatz:
Switch leitet lokal.
Router leitet zwischen Netzen.
Firewall entscheidet über Erlaubnis.
Typische Prüfungsfallen
VLAN und Subnetz gleichsetzen.
Access-Port und Trunk-Port verwechseln.
VLAN ohne Routing als netzübergreifende Verbindung verstehen.
Firewall und Router gleichsetzen.
Routing vergessen,
wenn VLANs miteinander sprechen sollen.
Firewall-Regeln ohne Richtung betrachten.
Rückroute vergessen.
Gateway außerhalb des Subnetzes eintragen.
Any-to-Any als unkritisch ansehen.
VLAN als vollständige Sicherheitsmaßnahme betrachten.
Switch nur als „Verteiler“ ohne MAC-Lernen beschreiben.
Merksatz:
Viele Fehler entstehen,
weil Trennung,
Weiterleitung
und Filterung vermischt werden.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was macht ein Switch?
- Was ist eine MAC-Adresstabelle?
- Was bedeutet Flooding?
- Was ist ein VLAN?
- Warum setzt man VLANs ein?
- Was ist eine Broadcast-Domäne?
- Was ist der Unterschied zwischen Access-Port und Trunk-Port?
- Was bedeutet 802.1Q?
- Was ist Inter-VLAN-Routing?
- Was macht ein Router?
- Was ist eine Standardroute?
- Was bedeutet:
spezifischste Route gewinnt?
- Was macht eine Firewall?
- Was ist Default Deny?
- Warum ist Any-to-Any kritisch?
- Was ist eine DMZ?
- Was ist STP?
- Warum kann eine Rückroute wichtig sein?
IHK-sichere Kurzformulierung
Ein Switch arbeitet hauptsächlich auf OSI-Schicht 2 und leitet Frames anhand von MAC-Adressen weiter. VLANs trennen ein physisches Netzwerk logisch in mehrere Broadcast-Domänen. Access-Ports gehören meist zu einem VLAN, Trunk-Ports transportieren mehrere VLANs mit VLAN-Tagging nach IEEE 802.1Q. Damit Geräte aus unterschiedlichen VLANs kommunizieren können, ist Inter-VLAN-Routing über Router, Layer-3-Switch oder Firewall nötig. Routing verbindet IP-Netze anhand von Routing-Tabellen. Eine Firewall filtert Verkehr anhand von Regeln wie Quelle, Ziel, Port, Protokoll und Aktion. VLANs trennen Netze, Firewalls kontrollieren den erlaubten Verkehr zwischen ihnen.
Merksätze
Switches arbeiten mit MAC-Adressen.
Switch lernt aus Quell-MAC-Adressen.
Unbekannte Ziel-MAC führt zu Flooding.
Broadcast erreicht alle Geräte im gleichen VLAN.
VLAN trennt logisch auf Schicht 2.
VLANs bilden eigene Broadcast-Domänen.
Access-Port = ein VLAN.
Trunk-Port = mehrere VLANs.
802.1Q markiert VLAN-Frames.
Access meist untagged.
Trunk meist tagged.
Managementzugänge gehören nicht ins Clientnetz.
Gast-VLAN vom internen Netz trennen.
VLAN ist keine vollständige Firewall.
Inter-VLAN-Routing verbindet VLANs gezielt.
Routing verbindet IP-Netze.
Standardroute ist 0.0.0.0/0.
Spezifischste Route gewinnt.
Gateway führt aus dem eigenen Netz.
Firewall filtert Verkehr.
Default Deny ist sicherer.
Any-to-Any ist kritisch.
Stateful Firewall kennt Verbindungen.
Stateless Firewall prüft Pakete einzeln.
DMZ trennt öffentliche Dienste.
ACL ist eine Regelliste für Zugriff.
Rückroute nicht vergessen.
STP verhindert Layer-2-Schleifen.
Broadcast-Sturm kann ein Netz lahmlegen.
Port Security kontrolliert MAC-Adressen.
802.1X prüft Netzzugang.
Switch leitet lokal.
Router leitet zwischen Netzen.
Firewall entscheidet,
ob Verkehr erlaubt ist.
19.8 Sicherheitsbegriffe und Angriffe Spickzettel
Dieser Spickzettel fasst wichtige Begriffe der IT-Sicherheit und typische Angriffe kompakt zusammen.
Er ist besonders wichtig für:
- Prüfungsaufgaben zur Informationssicherheit
- Angriffsszenarien
- Schutzmaßnahmen
- Risikoanalyse
- Sicherheitskonzepte
- Fehlersuche bei Sicherheitsvorfällen
Merksatz:
Sicherheit bedeutet:
Risiken erkennen,
Schutzziele verstehen
und passende Maßnahmen auswählen.
Grundidee der Informationssicherheit
Informationssicherheit schützt Informationen und IT-Systeme vor:
unberechtigtem Zugriff
Manipulation
Ausfall
Missbrauch
Datenverlust
Täuschung
Sabotage
Merksatz:
Informationssicherheit schützt Daten,
Systeme
Prozesse
und Zugriffe.
Die drei wichtigsten Schutzziele
Die wichtigsten Schutzziele werden oft als CIA-Triade bezeichnet.
Schutzziel
Bedeutung
Beispielverletzung
Vertraulichkeit
Schutz vor unberechtigtem Lesen
Kundendaten werden gestohlen
Integrität
Schutz vor unbemerkter Veränderung
Konfiguration wird manipuliert
Verfügbarkeit
Systeme und Daten sind nutzbar
Server ist durch DDoS nicht erreichbar
Merksatz:
CIA =
Confidentiality,
Integrity,
Availability.
Auf Deutsch:
Vertraulichkeit,
Integrität,
Verfügbarkeit.
Vertraulichkeit
Vertraulichkeit bedeutet:
Informationen dürfen nur von berechtigten Personen,
Systemen
oder Prozessen gelesen werden.
Beispiele für Verletzungen:
Datenabfluss
unberechtigter Zugriff
mitgelesene Passwörter
verlorener Laptop ohne Verschlüsselung
falsch freigegebener Cloud-Ordner
Schutzmaßnahmen:
Verschlüsselung
Rechtekonzept
MFA
Zugriffskontrolle
DLP
sichere Freigaben
Merksatz:
Vertraulichkeit schützt vor unberechtigtem Mitlesen.
Integrität
Integrität bedeutet:
Daten dürfen nicht unbemerkt verändert werden.
Beispiele für Verletzungen:
manipulierte Konfigurationsdatei
veränderte Überweisung
geänderte Logdatei
manipuliertes Softwarepaket
beschädigte Datenbank
Schutzmaßnahmen:
Hashwerte
digitale Signaturen
Rechtebegrenzung
Versionskontrolle
Logging
Vier-Augen-Prinzip
Merksatz:
Integrität schützt vor unbemerkter Veränderung.
Verfügbarkeit
Verfügbarkeit bedeutet:
Systeme,
Dienste
und Daten stehen bei Bedarf zur Verfügung.
Beispiele für Verletzungen:
Serverausfall
DDoS-Angriff
Ransomware
Stromausfall
defekte Festplatte
Netzwerkstörung
Schutzmaßnahmen:
Redundanz
Backup
Monitoring
Patchmanagement
DDoS-Schutz
Notfallplan
Merksatz:
Verfügbarkeit schützt die Nutzbarkeit.
Weitere Schutzziele
Schutzziel
Bedeutung
Authentizität
Echtheit einer Identität oder Nachricht
Nichtabstreitbarkeit
Handlung kann später nicht glaubhaft bestritten werden
Nachvollziehbarkeit
Ereignisse können geprüft und rekonstruiert werden
Zurechenbarkeit
Aktionen können einer Identität zugeordnet werden
Merksatz:
Authentizität fragt:
Ist es echt?
Nichtabstreitbarkeit fragt:
Kann die Handlung nachgewiesen werden?
Authentizität
Authentizität bedeutet:
Echtheit einer Identität,
Nachricht
oder Quelle.
Beispiele:
Ist der Server wirklich der richtige Server?
Ist die E-Mail wirklich vom angegebenen Absender?
Ist der Benutzer wirklich die angemeldete Person?
Schutzmaßnahmen:
Zertifikate
digitale Signaturen
MFA
sichere Authentifizierung
DNSSEC je nach Einsatz
Merksatz:
Authentizität schützt vor Täuschung über Identität oder Herkunft.
Nichtabstreitbarkeit
Nichtabstreitbarkeit bedeutet:
Eine Handlung kann später nicht glaubhaft abgestritten werden.
Beispiele:
digitale Signatur
revisionssichere Logs
protokollierte Freigaben
signierte Dokumente
Merksatz:
Nichtabstreitbarkeit macht Handlungen nachweisbar.
Schwachstelle, Bedrohung und Risiko
Begriff
Bedeutung
Beispiel
Schwachstelle
ausnutzbare Lücke
ungepatchter Server
Bedrohung
mögliches schädliches Ereignis
Angreifer nutzt Lücke aus
Risiko
Wahrscheinlichkeit und Auswirkung
Datenverlust durch Angriff
Maßnahme
reduziert Risiko
Patch installieren
Merksatz:
Schwachstelle ist die Lücke.
Bedrohung ist das mögliche Ereignis.
Risiko ist die bewertete Gefahr.
Angriff
Ein Angriff ist der Versuch,
eine Schwachstelle auszunutzen
oder ein Schutzziel zu verletzen.
Beispiele:
Passwortangriff
Malware-Infektion
Phishing
DDoS
SQL Injection
Man-in-the-Middle
Merksatz:
Angriff = aktiver Versuch,
Schaden oder unberechtigten Zugriff zu erreichen.
Malware
Malware bedeutet:
Schadsoftware
Beispiele:
Virus
Wurm
Trojaner
Ransomware
Spyware
Keylogger
Rootkit
Botnet-Client
Merksatz:
Malware ist der Oberbegriff für Schadsoftware.
Virus
Ein Virus hängt sich an Dateien oder Programme an
und verbreitet sich,
wenn diese ausgeführt oder weitergegeben werden.
Merksatz:
Virus braucht meist eine Wirtsdatei oder Aktion zur Verbreitung.
Wurm
Ein Wurm verbreitet sich selbstständig über Netzwerke,
ohne zwingend eine Wirtsdatei zu benötigen.
Risiko:
schnelle Ausbreitung
Netzlast
Masseninfektion
Merksatz:
Wurm verbreitet sich selbstständig.
Trojaner
Ein Trojaner tarnt sich als nützliches oder harmloses Programm,
enthält aber schädliche Funktionen.
Merksatz:
Trojaner täuscht Nutzen vor.
Ransomware
Ransomware verschlüsselt oder sperrt Daten
und fordert häufig Lösegeld.
Betroffene Schutzziele:
Verfügbarkeit
bei Datenabfluss zusätzlich:
Vertraulichkeit
Schutzmaßnahmen:
Offline-Backup
Immutable Backup
Patchmanagement
EDR
Segmentierung
Least Privilege
Restore-Test
Merksatz:
Ransomware betrifft vor allem Verfügbarkeit,
bei Datenabfluss auch Vertraulichkeit.
Spyware und Keylogger
Spyware:
spioniert Daten aus
Keylogger:
zeichnet Tastatureingaben auf
Ziel:
Passwörter
Zugangsdaten
vertrauliche Informationen
Merksatz:
Spyware und Keylogger gefährden besonders Vertraulichkeit.
Rootkit
Ein Rootkit versteckt Schadsoftware oder Angreiferzugriff tief im System.
Ziel:
Erkennung erschweren
dauerhaften Zugriff sichern
Spuren verbergen
Merksatz:
Rootkit versteckt Kompromittierung.
Botnet
Ein Botnet besteht aus vielen kompromittierten Geräten,
die zentral gesteuert werden.
Nutzung:
DDoS
Spam
Credential Stuffing
Malware-Verteilung
Kryptomining
Merksatz:
Botnet = viele fremdgesteuerte kompromittierte Geräte.
Phishing
Phishing ist Täuschung,
um vertrauliche Daten zu erhalten.
Typische Ziele:
Passwörter
MFA-Codes
Bankdaten
Zugangsdaten
interne Informationen
Kanäle:
E-Mail
SMS
Messenger
Telefon
QR-Code
gefälschte Webseiten
Merksatz:
Phishing täuscht Benutzer zur Preisgabe von Daten.
Spear Phishing
Spear Phishing ist gezieltes Phishing gegen bestimmte Personen oder Organisationen.
Merkmale:
persönlicher Bezug
glaubwürdiger Absender
Bezug auf echte Projekte
gezielte Vorbereitung
Merksatz:
Spear Phishing ist gezielter und oft glaubwürdiger.
Whaling
Whaling ist Phishing gegen besonders wichtige Personen.
Beispiele:
Geschäftsführung
Abteilungsleitung
Administratoren
Personen mit Zahlungsfreigaben
Merksatz:
Whaling zielt auf große oder besonders wertvolle Ziele.
Social Engineering
Social Engineering nutzt menschliches Verhalten,
Vertrauen
oder Druck aus.
Beispiele:
falscher IT-Support
dringender Anruf vom angeblichen Chef
gefälschter Lieferant
Besucher ohne Berechtigung
manipulierte E-Mail
Merksatz:
Social Engineering greift Menschen an,
nicht nur Technik.
CEO-Fraud
CEO-Fraud ist ein Betrug,
bei dem sich Angreifer als Geschäftsführung oder Vorgesetzte ausgeben.
Ziel:
Zahlung auslösen
vertrauliche Daten erhalten
schnelle Entscheidung erzwingen
Merksatz:
CEO-Fraud nutzt Autorität und Zeitdruck.
Brute Force
Brute Force bedeutet:
systematisches Ausprobieren vieler Passwörter.
Schutzmaßnahmen:
starke Passwörter
Account Lockout
Rate Limiting
MFA
Monitoring
Passwortmanager
Merksatz:
Brute Force probiert viele Möglichkeiten aus.
Password Spraying
Password Spraying bedeutet:
ein häufiges Passwort wird gegen viele Konten getestet.
Beispiel:
Winter2026!
gegen viele Benutzerkonten.
Ziel:
Kontosperren vermeiden,
weil pro Konto nur wenige Versuche stattfinden.
Merksatz:
Password Spraying:
ein Passwort,
viele Konten.
Credential Stuffing
Credential Stuffing nutzt bereits geleakte Zugangsdaten.
Prinzip:
Benutzer verwenden Passwörter oft mehrfach.
Angreifer testen:
bekannte E-Mail-Passwort-Kombinationen
bei anderen Diensten.
Schutzmaßnahmen:
MFA
Passwortmanager
einzigartige Passwörter
Leak-Prüfung
Monitoring
Merksatz:
Credential Stuffing nutzt wiederverwendete Passwörter.
DoS
DoS steht für:
Denial of Service
Ziel:
Dienst überlasten
oder nicht mehr verfügbar machen
Betroffenes Schutzziel:
Verfügbarkeit
Merksatz:
DoS greift Verfügbarkeit an.
DDoS
DDoS steht für:
Distributed Denial of Service
Unterschied zu DoS:
Angriff kommt verteilt von vielen Systemen.
Häufig aus:
Botnetzen
Schutzmaßnahmen:
DDoS-Schutz
CDN
Rate Limiting
Filterung
Skalierung
Provider-Schutz
Merksatz:
DDoS = verteilter Angriff auf Verfügbarkeit.
Man-in-the-Middle
Man-in-the-Middle wird oft abgekürzt:
MitM
Dabei sitzt der Angreifer zwischen zwei Kommunikationspartnern.
Ziele:
mitlesen
verändern
umleiten
Sitzung übernehmen
Schutzmaßnahmen:
TLS
Zertifikatsprüfung
VPN
HSTS
sichere WLANs
ARP-Schutz
Merksatz:
MitM gefährdet Vertraulichkeit und Integrität.
Spoofing
Spoofing bedeutet:
Identität,
Adresse
Absender
oder Herkunft wird vorgetäuscht.
Beispiele:
IP-Spoofing
MAC-Spoofing
DNS-Spoofing
E-Mail-Spoofing
ARP-Spoofing
Merksatz:
Spoofing täuscht Herkunft oder Identität vor.
ARP-Spoofing
ARP-Spoofing manipuliert ARP-Zuordnungen im lokalen Netz.
Ziel:
Datenverkehr umleiten
Man-in-the-Middle ermöglichen
Kommunikation stören
Schutzmaßnahmen:
Dynamic ARP Inspection
Netzwerksegmentierung
Switch-Sicherheitsfunktionen
Monitoring
Verschlüsselung höherer Schichten
Merksatz:
ARP-Spoofing betrifft lokale IPv4-Kommunikation.
DNS-Spoofing
DNS-Spoofing liefert falsche DNS-Antworten.
Ziel:
Benutzer auf falsche Server umleiten
Risiken:
Phishing
Malware
Credential Theft
Man-in-the-Middle
Schutzmaßnahmen:
DNSSEC je nach Einsatz
vertrauenswürdige DNS-Server
TLS-Zertifikatsprüfung
Monitoring
Merksatz:
DNS-Spoofing manipuliert Namensauflösung.
SQL Injection
SQL Injection bedeutet:
Angreifer schleust SQL-Code in Eingaben ein.
Ziel:
Daten auslesen
Daten verändern
Anmeldung umgehen
Daten löschen
Schutzmaßnahmen:
Prepared Statements
Parametrisierung
Eingabevalidierung
Rechtebegrenzung der Datenbankkonten
Web Application Firewall
sichere Fehlerausgaben
Merksatz:
SQL Injection betrifft unsichere Datenbankabfragen.
XSS
XSS steht für:
Cross-Site Scripting
Dabei wird schädlicher Skriptcode in Webseiten eingeschleust,
der im Browser anderer Benutzer ausgeführt wird.
Ziele:
Session stehlen
Benutzeraktionen manipulieren
Inhalte verändern
Phishing innerhalb einer Webseite
Schutzmaßnahmen:
Output Encoding
Eingabevalidierung
Content Security Policy
HttpOnly-Cookies
sichere Frameworks
Merksatz:
XSS greift Benutzer im Browser an.
CSRF
CSRF steht für:
Cross-Site Request Forgery
Dabei wird eine gültige Sitzung des Benutzers missbraucht,
um ungewollte Aktionen auszuführen.
Beispiel:
Benutzer ist angemeldet.
Angreifer bringt ihn dazu,
eine Aktion im Hintergrund auszulösen.
Schutzmaßnahmen:
CSRF-Token
SameSite-Cookies
erneute Bestätigung kritischer Aktionen
Origin-Prüfung
Merksatz:
CSRF missbraucht eine bestehende Sitzung.
Zero-Day
Ein Zero-Day ist eine Schwachstelle,
für die es noch keinen bekannten Patch gibt
oder die gerade erst bekannt wurde.
Risiko:
hohe Gefahr,
weil Schutzmaßnahmen noch nicht vollständig verfügbar sind.
Merksatz:
Zero-Day = Schwachstelle ohne fertige Standardlösung.
Supply-Chain-Angriff
Ein Supply-Chain-Angriff zielt auf Lieferkette,
Softwareabhängigkeiten
oder Dienstleister.
Beispiele:
kompromittiertes Update
manipuliertes Paket
unsicherer Dienstleisterzugang
kompromittierte Bibliothek
Schutzmaßnahmen:
Signaturprüfung
SBOM
Dependency-Scanning
Lieferantenprüfung
Least Privilege für Dienstleister
Monitoring
Merksatz:
Supply-Chain-Angriff kommt über Abhängigkeiten.
Insider Threat
Insider Threat bedeutet:
Gefahr durch Personen innerhalb der Organisation
oder mit berechtigtem Zugriff.
Beispiele:
absichtlicher Datenabfluss
fahrlässige Fehlkonfiguration
Missbrauch von Adminrechten
unbemerkter Zugriff nach Rollenwechsel
Schutzmaßnahmen:
Least Privilege
Rechteprüfung
Vier-Augen-Prinzip
Logging
Trennung von Aufgaben
Offboarding
Merksatz:
Insider haben bereits Zugriff,
deshalb sind Rechte und Logs wichtig.
Technische Schutzmaßnahmen
Beispiele:
Firewall
IDS
IPS
EDR
Antivirus
Verschlüsselung
MFA
Backup
Netzwerksegmentierung
Patchmanagement
Hardening
SIEM
Merksatz:
Technische Maßnahmen wirken direkt auf Systeme und Daten.
Organisatorische Schutzmaßnahmen
Beispiele:
Sicherheitsrichtlinien
Berechtigungskonzept
Notfallplan
Change Management
Vier-Augen-Prinzip
Schulungskonzept
Incident-Response-Prozess
Rollen und Verantwortlichkeiten
Merksatz:
Organisatorische Maßnahmen regeln Abläufe und Verantwortung.
Personelle Schutzmaßnahmen
Beispiele:
Schulungen
Awareness
Rollenklärung
Verpflichtung auf Vertraulichkeit
Hintergrundprüfungen je nach Rolle
Sensibilisierung für Phishing
Merksatz:
Personelle Maßnahmen betreffen Menschen und Verhalten.
Physische Schutzmaßnahmen
Beispiele:
Zutrittskontrolle
Serverraum abschließen
Brandmeldeanlage
USV
Klimatisierung
Diebstahlschutz
Videoüberwachung je nach Rechtslage
Merksatz:
Physische Sicherheit schützt Räume,
Geräte
und Infrastruktur.
Defense in Depth
Defense in Depth bedeutet:
Sicherheit durch mehrere Schutzschichten.
Beispiele:
Firewall
Segmentierung
MFA
EDR
Logging
Backup
Schulung
Patchmanagement
Merksatz:
Nicht eine Maßnahme allein,
sondern mehrere Schichten schützen besser.
Least Privilege
Least Privilege bedeutet:
Benutzer,
Dienste
und Prozesse erhalten nur die Rechte,
die sie wirklich benötigen.
Ziel:
Schaden bei Fehlern oder Angriffen begrenzen.
Merksatz:
So wenig Rechte wie möglich,
so viele wie nötig.
Zero Trust
Zero Trust bedeutet:
keinem Zugriff automatisch vertrauen.
Grundidee:
Identität prüfen
Gerät prüfen
Kontext prüfen
Zugriff begrenzen
kontinuierlich überwachen
Merksatz:
Zero Trust heißt:
Vertrauen wird geprüft,
nicht vorausgesetzt.
MFA
MFA steht für:
Multi-Faktor-Authentifizierung
Dabei werden mehrere Faktoren kombiniert.
Faktoren:
Wissen:
Passwort
Besitz:
Token,
Smartphone,
Smartcard
Sein:
biometrisches Merkmal
Merksatz:
MFA sorgt dafür,
dass ein Passwort allein nicht reicht.
IDS und IPS
System
Bedeutung
Aufgabe
IDS
Intrusion Detection System
erkennt und meldet Angriffe
IPS
Intrusion Prevention System
erkennt und blockiert Angriffe
Merksatz:
IDS meldet.
IPS blockiert zusätzlich.
EDR
EDR steht für:
Endpoint Detection and Response
Aufgabe:
Endgeräte überwachen
verdächtiges Verhalten erkennen
Reaktion ermöglichen
Angriffe analysieren
Merksatz:
EDR schützt und überwacht Endgeräte.
SIEM
SIEM steht für:
Security Information and Event Management
Aufgabe:
Logs sammeln
Sicherheitsereignisse korrelieren
Alarme erzeugen
Vorfälle analysieren
Nachvollziehbarkeit verbessern
Merksatz:
SIEM verbindet Sicherheitsereignisse aus vielen Quellen.
Patchmanagement
Patchmanagement sorgt dafür,
dass Sicherheitsupdates geplant,
getestet
und eingespielt werden.
Ziel:
bekannte Schwachstellen schließen
Merksatz:
Patchmanagement reduziert bekannte Risiken.
Hardening
Hardening bedeutet:
Systeme sicherer konfigurieren,
indem unnötige Funktionen entfernt oder eingeschränkt werden.
Beispiele:
unnötige Dienste deaktivieren
Standardpasswörter ändern
sichere Protokolle verwenden
unsichere Ports schließen
Rechte begrenzen
Logging aktivieren
Merksatz:
Hardening verringert die Angriffsfläche.
Backup als Sicherheitsmaßnahme
Backup schützt besonders gegen:
Datenverlust
Ransomware
Fehlkonfiguration
versehentliche Löschung
Hardwaredefekt
Wichtig:
Restore-Test
Offline-Backup
Immutable Backup
Zugriffsschutz
Verschlüsselung
Merksatz:
Backup ist Wiederherstellungsvorsorge.
Angriffe und Schutzziele zuordnen
Angriff
Betroffenes Schutzziel
Datenabfluss
Vertraulichkeit
Manipulation
Integrität
DDoS
Verfügbarkeit
Ransomware
Verfügbarkeit, eventuell Vertraulichkeit
Man-in-the-Middle
Vertraulichkeit und Integrität
Phishing
Authentizität, Vertraulichkeit
Spoofing
Authentizität
Logmanipulation
Integrität und Nachvollziehbarkeit
Merksatz:
Erst Schutzziel erkennen,
dann passende Maßnahme nennen.
Risiko und Maßnahme zuordnen
Risiko
passende Maßnahme
gestohlenes Passwort
MFA
zu viele Rechte
Least Privilege
Malware
EDR, Patchmanagement
Ransomware
Backup, Segmentierung, Immutable Backup
DDoS
DDoS-Schutz, CDN, Rate Limiting
Datenabfluss
Verschlüsselung, DLP, Rechtekonzept
unsichere Freigaben
Rechteprüfung, Ablaufdatum, Logging
Fehlkonfiguration
Change Management, Vier-Augen-Prinzip
unklare Sicherheitsvorfälle
Logging, SIEM, Monitoring
Phishing
Awareness, Mailfilter, MFA
Merksatz:
Maßnahme muss direkt zum Risiko passen.
Typische Prüfungsfallen
Vertraulichkeit,
Integrität
und Verfügbarkeit verwechseln.
Schwachstelle,
Bedrohung
und Risiko gleichsetzen.
Phishing nur als technisches Problem sehen.
Ransomware nur als Vertraulichkeitsproblem sehen.
DDoS nicht der Verfügbarkeit zuordnen.
IDS und IPS verwechseln.
MFA als Ersatz für Rechtekonzept verstehen.
Backup als Schutz vor Angriff statt Wiederherstellungsvorsorge beschreiben.
Zero Trust als einzelnes Produkt verstehen.
Hardening und Patchmanagement verwechseln.
Brute Force und Credential Stuffing verwechseln.
Merksatz:
Sicherheitsaufgaben prüfen oft saubere Begriffsabgrenzung.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was bedeutet Vertraulichkeit?
- Was bedeutet Integrität?
- Was bedeutet Verfügbarkeit?
- Was ist der Unterschied zwischen Schwachstelle,
Bedrohung
und Risiko?
- Was ist Malware?
- Was ist Ransomware?
- Was ist Phishing?
- Was ist Social Engineering?
- Was ist ein DDoS-Angriff?
- Was ist Man-in-the-Middle?
- Was ist Spoofing?
- Was ist SQL Injection?
- Was ist XSS?
- Was ist CSRF?
- Was ist MFA?
- Was ist Least Privilege?
- Was ist der Unterschied zwischen IDS und IPS?
- Was ist SIEM?
- Was ist Hardening?
- Warum ist Backup bei Ransomware wichtig?
IHK-sichere Kurzformulierung
Informationssicherheit schützt die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit. Vertraulichkeit schützt vor unberechtigtem Lesen, Integrität vor unbemerkter Veränderung und Verfügbarkeit vor Ausfall oder Nichtnutzbarkeit. Eine Schwachstelle ist eine ausnutzbare Lücke, eine Bedrohung ein mögliches schädliches Ereignis und ein Risiko die bewertete Kombination aus Eintrittswahrscheinlichkeit und Auswirkung. Typische Angriffe sind Malware, Ransomware, Phishing, Social Engineering, DDoS, Man-in-the-Middle, Spoofing, SQL Injection, XSS und CSRF. Passende Schutzmaßnahmen sind unter anderem MFA, Least Privilege, Patchmanagement, Hardening, Firewall, IDS, IPS, EDR, SIEM, Backup, Segmentierung und Schulung.
Merksätze
Sicherheit schützt Schutzziele.
CIA bedeutet Vertraulichkeit,
Integrität
und Verfügbarkeit.
Vertraulichkeit schützt vor Mitlesen.
Integrität schützt vor Manipulation.
Verfügbarkeit schützt Nutzbarkeit.
Authentizität schützt Echtheit.
Nichtabstreitbarkeit macht Handlungen nachweisbar.
Schwachstelle ist die Lücke.
Bedrohung ist das mögliche Ereignis.
Risiko ist die bewertete Gefahr.
Maßnahme reduziert Risiko.
Malware ist Schadsoftware.
Virus braucht meist eine Wirtsdatei.
Wurm verbreitet sich selbstständig.
Trojaner täuscht Nutzen vor.
Ransomware verschlüsselt oder sperrt Daten.
Phishing täuscht Benutzer.
Social Engineering greift Menschen an.
Brute Force probiert viele Passwörter.
Password Spraying:
ein Passwort,
viele Konten.
Credential Stuffing nutzt geleakte Zugangsdaten.
DoS greift Verfügbarkeit an.
DDoS ist verteilter DoS.
MitM sitzt zwischen Kommunikationspartnern.
Spoofing täuscht Identität oder Herkunft vor.
SQL Injection betrifft Datenbankabfragen.
XSS betrifft Browser anderer Benutzer.
CSRF missbraucht eine gültige Sitzung.
Zero-Day ist eine neue oder ungepatchte Schwachstelle.
Supply-Chain-Angriff kommt über Abhängigkeiten.
Insider Threat kommt von innen oder mit berechtigtem Zugriff.
MFA schützt gegen Passwortmissbrauch.
Least Privilege begrenzt Rechte.
IDS meldet.
IPS blockiert zusätzlich.
EDR schützt Endgeräte.
SIEM korreliert Sicherheitsereignisse.
Patchmanagement schließt bekannte Lücken.
Hardening verringert Angriffsfläche.
Backup ist Wiederherstellungsvorsorge.
Defense in Depth nutzt mehrere Schutzschichten.
Zero Trust prüft Vertrauen kontinuierlich.
Maßnahme muss zum Risiko passen.
19.9 Backup, Restore, RPO und RTO Spickzettel
Dieser Spickzettel fasst die wichtigsten Begriffe rund um Datensicherung,
Wiederherstellung
und Notfallplanung kompakt zusammen.
Er ist besonders wichtig für:
- Backup-Konzepte
- Restore-Aufgaben
- Ransomware-Schutz
- Notfallplanung
- Verfügbarkeitsanforderungen
- Prüfungsfragen zu RPO und RTO
Merksatz:
Backup ist die Sicherung.
Restore ist die Wiederherstellung.
Grundübersicht
Begriff
Bedeutung
Backup
Sicherung von Daten, Systemen oder Konfigurationen
Restore
Wiederherstellung aus einer Sicherung
RPO
maximal akzeptabler Datenverlust
RTO
maximal akzeptable Wiederherstellungszeit
Retention
Aufbewahrungsregel für Backups
Restore-Test
Prüfung, ob Wiederherstellung funktioniert
3-2-1-Regel
Grundregel für mehrere Backup-Kopien
Immutable Backup
unveränderliches Backup
Offline-Backup
nicht dauerhaft verbundenes Backup
Merksatz:
Ein Backup ist nur dann wertvoll,
wenn der Restore funktioniert.
Backup kurz erklärt
Backup bedeutet:
Daten,
Systeme,
Anwendungen
oder Konfigurationen werden gesichert,
damit sie später wiederhergestellt werden können.
Typische Sicherungsobjekte:
Dateien
Datenbanken
virtuelle Maschinen
Server
Konfigurationen
Benutzerprofile
Cloud-Daten
Anwendungen
Systemeinstellungen
Merksatz:
Backup schützt nicht direkt vor Fehlern,
aber ermöglicht Wiederherstellung.
Restore kurz erklärt
Restore bedeutet:
Wiederherstellung von Daten,
Systemen
oder Konfigurationen aus einem Backup.
Beispiele:
gelöschte Datei wiederherstellen
Datenbank auf früheren Zustand zurücksetzen
Server nach Defekt wiederherstellen
Konfiguration nach Fehler zurückspielen
Merksatz:
Restore ist der eigentliche Beweis,
dass ein Backup brauchbar ist.
Backup und Restore unterscheiden
Begriff
Frage
Ziel
Backup
Was wird gesichert?
Datenverlust vorbeugen
Restore
Wie wird wiederhergestellt?
Betrieb wiederherstellen
Merksatz:
Backup ist Vorbereitung.
Restore ist Wiederherstellung im Ernstfall.
Warum Restore-Tests wichtig sind
Ein Restore-Test prüft,
ob ein Backup wirklich nutzbar ist.
Zu prüfen:
Daten vollständig?
Dateien lesbar?
Datenbank konsistent?
Anwendung startet?
Rechte korrekt?
Schlüssel vorhanden?
Wiederherstellungszeit akzeptabel?
Dokumentation korrekt?
Merksatz:
Backup ohne Restore-Test ist unsicher.
Typische Backup-Arten
Backup-Art
Bedeutung
Vorteil
Nachteil
Vollbackup
sichert alle ausgewählten Daten
einfache Wiederherstellung
viel Speicher und Zeit
inkrementelles Backup
sichert Änderungen seit letztem Backup
schnell, wenig Speicher
Restore braucht Backup-Kette
differenzielles Backup
sichert Änderungen seit letztem Vollbackup
Restore einfacher als inkrementell
wächst bis zum nächsten Vollbackup
Snapshot
Momentaufnahme
schnelle Rückkehr möglich
ersetzt kein vollständiges Backup
Image-Backup
vollständiges Systemabbild
komplettes System wiederherstellbar
größerer Speicherbedarf
dateibasiertes Backup
ausgewählte Dateien und Ordner
gezielt und flexibel
kein komplettes Systemabbild
Merksatz:
Backup-Art nach Wiederherstellungsziel auswählen.
Vollbackup
Ein Vollbackup sichert alle ausgewählten Daten vollständig.
Vorteile:
einfache Wiederherstellung
weniger Abhängigkeiten
vollständiger Sicherungsstand
Nachteile:
benötigt viel Speicherplatz
dauert länger
erzeugt mehr Last
Merksatz:
Vollbackup sichert alles,
braucht aber mehr Speicher und Zeit.
Inkrementelles Backup
Ein inkrementelles Backup sichert nur Änderungen seit dem letzten Backup.
Das letzte Backup kann sein:
Vollbackup
oder
inkrementelles Backup
Vorteile:
schnell
spart Speicherplatz
Nachteile:
Wiederherstellung braucht mehrere Sicherungen
Backup-Kette darf nicht beschädigt sein
Merksatz:
Inkrementell = Änderungen seit letztem Backup.
Differenzielles Backup
Ein differenzielles Backup sichert Änderungen seit dem letzten Vollbackup.
Vorteile:
Restore einfacher als bei langer inkrementeller Kette
weniger Speicher als tägliches Vollbackup
Nachteile:
wird bis zum nächsten Vollbackup immer größer
Merksatz:
Differenziell = Änderungen seit letztem Vollbackup.
Snapshot
Ein Snapshot ist eine Momentaufnahme eines Systems,
Datenträgers,
Dateisystems
oder einer virtuellen Maschine.
Typische Nutzung:
vor Updates
vor Konfigurationsänderungen
vor Tests
vor Softwareinstallationen
Wichtig:
Snapshot ist nicht automatisch ein vollwertiges Backup.
Merksatz:
Snapshot hilft bei schneller Rückkehr,
ersetzt aber kein Backup-Konzept.
Warum Snapshot kein Backup ersetzt
Snapshots liegen oft auf demselben System oder Speicher wie die Produktivdaten.
Risiken:
Speicherdefekt betrifft Snapshot ebenfalls
Ransomware kann Snapshot erreichen
Snapshot kann gelöscht werden
Snapshot-Kette kann beschädigt werden
Speicherplatz kann volllaufen
Standortausfall betrifft alles gemeinsam
Merksatz:
Backup muss getrennt,
geschützt
und wiederherstellbar sein.
Image-Backup
Ein Image-Backup sichert ein komplettes Systemabbild.
Enthalten sein können:
Betriebssystem
Anwendungen
Konfiguration
Dateien
Bootinformationen
Vorteil:
gesamtes System kann wiederhergestellt werden
Merksatz:
Image-Backup = komplettes Systemabbild.
Dateibasiertes Backup
Ein dateibasiertes Backup sichert ausgewählte Dateien oder Ordner.
Geeignet für:
Dokumente
Benutzerdateien
Projektdaten
Konfigurationsdateien
Exporte
einzelne Verzeichnisse
Merksatz:
Dateibasiertes Backup sichert gezielt ausgewählte Inhalte.
Datenbank-Backup
Datenbanken brauchen besondere Sicherungsverfahren.
Wichtig:
Konsistenz
laufende Transaktionen
Schreibzugriffe
Transaktionslogs
Zeitpunkt der Sicherung
Wiederherstellbarkeit
Merksatz:
Datenbanken nicht einfach blind als Datei kopieren.
Konsistentes Backup
Ein konsistentes Backup stellt sicher,
dass Daten in einem gültigen Zustand gesichert werden.
Beispiel:
Eine Datenbank darf nicht mitten in einer unvollständigen Transaktion unsauber kopiert werden.
Mögliche Verfahren:
Datenbankdump
Backup-Agent
Anwendungskonsistenter Snapshot
Transaktionslogs
Wartungsfenster
Merksatz:
Konsistenz ist besonders bei Datenbanken wichtig.
Point-in-Time-Recovery
Point-in-Time-Recovery bedeutet:
Wiederherstellung auf einen bestimmten Zeitpunkt.
Beispiel:
Datenbank auf Zustand von 10:15 Uhr zurücksetzen.
Nützlich bei:
versehentlichem Löschen
fehlerhaftem Import
beschädigten Daten
falscher Änderung
Merksatz:
Point-in-Time-Recovery stellt gezielt einen früheren Zeitpunkt wieder her.
RPO
RPO steht für:
Recovery Point Objective
Frage:
Wie viel Datenverlust ist maximal akzeptabel?
Beispiel:
RPO 1 Stunde
Bedeutung:
Es dürfen höchstens Daten von einer Stunde verloren gehen.
Merksatz:
RPO = maximal akzeptabler Datenverlust.
RTO
RTO steht für:
Recovery Time Objective
Frage:
Wie lange darf die Wiederherstellung dauern?
Beispiel:
RTO 4 Stunden
Bedeutung:
Der Dienst soll spätestens nach 4 Stunden wieder laufen.
Merksatz:
RTO = maximal akzeptable Wiederherstellungszeit.
RPO und RTO vergleichen
Begriff
Frage
Beispiel
RPO
Wie viel Datenverlust ist erlaubt?
maximal 1 Stunde Datenverlust
RTO
Wie lange darf Wiederherstellung dauern?
System läuft nach spätestens 4 Stunden
Merksatz:
RPO betrifft Datenverlust.
RTO betrifft Zeit bis Wiederherstellung.
RPO und Backup-Frequenz
Je kleiner das RPO,
desto häufiger muss gesichert werden.
Beispiel:
RPO
mögliche Backup-Frequenz
24 Stunden
tägliches Backup
1 Stunde
stündliches Backup oder kontinuierliche Sicherung
wenige Minuten
Replikation plus Backup-Konzept oder spezielle Lösung
Merksatz:
Backup-Frequenz muss zum RPO passen.
RTO und Wiederherstellung
Das RTO hängt ab von:
Backup-Größe
Restore-Geschwindigkeit
Netzwerkgeschwindigkeit
Speicherleistung
Systemkomplexität
Abhängigkeiten
Personal
Dokumentation
Tests
Merksatz:
RTO wird nicht nur durch Backup bestimmt,
sondern durch den gesamten Wiederherstellungsprozess.
Retention
Retention bedeutet:
Aufbewahrungsregel für Backups.
Beispiele:
tägliche Backups 14 Tage behalten
wöchentliche Backups 8 Wochen behalten
monatliche Backups 12 Monate behalten
Merksatz:
Retention regelt,
wie lange Backups behalten werden.
Aufbewahrungszeit
Die Aufbewahrungszeit hängt ab von:
gesetzlichen Vorgaben
internen Regeln
Speicherplatz
Datenschutz
Wiederherstellungsbedarf
Kosten
Risiko später entdeckter Fehler
Merksatz:
Backups müssen lange genug,
aber nicht unbegrenzt ohne Grund aufbewahrt werden.
Großvater-Vater-Sohn-Prinzip
Das Großvater-Vater-Sohn-Prinzip ist ein Rotationsschema.
Typisch:
Sohn:
tägliche Sicherung
Vater:
wöchentliche Sicherung
Großvater:
monatliche Sicherung
Merksatz:
Großvater-Vater-Sohn kombiniert tägliche,
wöchentliche
und monatliche Backups.
3-2-1-Regel
Die 3-2-1-Regel lautet:
3 Kopien der Daten
2 unterschiedliche Speicherarten
1 Kopie extern oder getrennt
Beispiel:
Produktivdaten
Backup auf NAS
zusätzliches Backup extern oder in Cloud
Merksatz:
3-2-1 reduziert das Risiko,
dass alle Kopien gleichzeitig verloren gehen.
3-2-1-1-0-Regel
Erweiterte Variante:
3 Kopien
2 unterschiedliche Medien
1 Kopie extern
1 Kopie offline oder immutable
0 Fehler bei Restore-Tests
Merksatz:
Die 0 steht für fehlerfrei getestete Wiederherstellung.
Offline-Backup
Ein Offline-Backup ist nicht dauerhaft mit dem Produktivsystem verbunden.
Beispiele:
getrennte Festplatte
Band
ausgelagertes Medium
abgeschottetes Backup-System
Vorteil:
besserer Schutz gegen Ransomware und versehentliche Löschung
Merksatz:
Offline-Backup ist nicht dauerhaft erreichbar.
Immutable Backup
Immutable bedeutet:
unveränderlich
Ein Immutable Backup kann für eine festgelegte Zeit nicht verändert oder gelöscht werden.
Schützt gegen:
Ransomware
Manipulation
versehentliche Löschung
kompromittierte Adminzugänge
Merksatz:
Immutable Backup schützt die Wiederherstellungsmöglichkeit.
Backup-Verschlüsselung
Backups sollten verschlüsselt werden,
besonders bei sensiblen Daten
oder externer Speicherung.
Wichtig:
Schlüssel sicher aufbewahren
Zugriff begrenzen
Wiederherstellung mit Schlüssel testen
Schlüsselverlust vermeiden
Merksatz:
Verschlüsseltes Backup ist nur nutzbar,
wenn der Schlüssel verfügbar ist.
Backup-Zugriffsrechte
Backups enthalten oft besonders viele Daten.
Deshalb müssen Zugriffe streng begrenzt werden.
Wichtig:
keine normalen Benutzerrechte auf Backup-Speicher
getrennte Adminrechte
MFA für Backup-Konsole
keine unnötigen Löschrechte
Dienstkonten rechtearm halten
Zugriff protokollieren
Merksatz:
Backups brauchen starken Zugriffsschutz.
Backup und Ransomware
Ransomware versucht häufig,
Backups zu löschen oder zu verschlüsseln.
Schutzmaßnahmen:
Offline-Backup
Immutable Backup
getrennte Zugangsdaten
getrenntes Backupnetz
MFA
Monitoring
Restore-Test
Rechtebegrenzung
Merksatz:
Backups müssen auch vor Angreifern geschützt werden.
Backup-Monitoring
Backup-Monitoring prüft,
ob Sicherungen erfolgreich laufen.
Zu überwachen:
letzter erfolgreicher Backup-Lauf
Fehlermeldungen
Datenmenge
Laufzeit
Speicherplatz
Aufbewahrung
Verschlüsselung
Restore-Test
ungewöhnliche Löschungen
Merksatz:
Ein fehlgeschlagenes Backup muss auffallen,
bevor ein Restore benötigt wird.
Backup-Logs
Backup-Logs zeigen,
was bei einer Sicherung passiert ist.
Zu prüfen:
Startzeit
Endzeit
Erfolg oder Fehler
gesicherte Datenmenge
übersprungene Dateien
Warnungen
Zielsystem
Speicherplatz
Berechtigungsfehler
Merksatz:
Backup-Logs regelmäßig prüfen.
Redundanz
Redundanz bedeutet:
wichtige Komponenten sind mehrfach vorhanden.
Beispiele:
zwei Netzteile
RAID
mehrere Server
mehrere Internetleitungen
Cluster
zweite Firewall
Ziel:
Ausfall vermeiden oder abfedern
Merksatz:
Redundanz erhöht Verfügbarkeit,
ersetzt aber kein Backup.
Replikation
Replikation bedeutet:
Daten werden auf ein anderes System kopiert,
oft nahezu aktuell.
Vorteile:
schnelle Umschaltung
aktuelle Kopie
höhere Verfügbarkeit
Risiko:
Fehler,
Löschung
oder Ransomware können mitrepliziert werden.
Merksatz:
Replikation ist kein Backup.
Synchronisation
Synchronisation bedeutet:
Daten werden zwischen Speicherorten abgeglichen.
Problem:
Löschung,
Fehler
oder Verschlüsselung können mitsynchronisiert werden.
Merksatz:
Synchronisation hält Daten gleich,
stellt aber nicht automatisch alte Stände wieder her.
Backup, Redundanz, Replikation und Synchronisation vergleichen
Begriff
Ziel
Ersetzt Backup?
Backup
alte Zustände wiederherstellen
ja, ist Backup
Redundanz
Ausfall abfedern
nein
Replikation
aktuelle Kopie bereitstellen
nein
Synchronisation
Datenstände abgleichen
nein
Merksatz:
Redundanz,
Replikation
und Synchronisation ersetzen kein Backup.
Notfallhandbuch
Ein Notfallhandbuch beschreibt,
was bei schweren Störungen zu tun ist.
Inhalte:
Ansprechpartner
Systeme
Prioritäten
Wiederherstellungsreihenfolge
Backup-Orte
Restore-Anleitungen
Zugangsdatenablage
Kommunikationswege
Eskalationswege
Merksatz:
Im Notfall darf nicht erst gesucht werden,
wer was weiß.
Restore-Reihenfolge
Bei Wiederherstellung ist die Reihenfolge wichtig.
Beispiel:
Netzwerk
Verzeichnisdienst
Speicher
Datenbank
Anwendung
Benutzerzugriff
Merksatz:
Restore braucht Reihenfolge,
weil Systeme voneinander abhängen.
Business Continuity
Business Continuity bedeutet:
Geschäftsprozesse sollen trotz Störung weiterlaufen
oder schnell wieder anlaufen.
Dazu gehören:
Notfallplanung
Ersatzprozesse
Kommunikation
Verantwortlichkeiten
Wiederanlauf
Tests
Merksatz:
Business Continuity betrachtet den Betrieb insgesamt.
Disaster Recovery
Disaster Recovery beschreibt:
Wiederherstellung der IT nach schweren Störungen.
Beispiele:
Ransomware
Brand
Rechenzentrumsausfall
Hardwaredefekt
Cloud-Ausfall
massiver Datenverlust
Merksatz:
Disaster Recovery ist IT-Wiederherstellung nach schwerem Vorfall.
Failover
Failover bedeutet:
Ein Dienst wird bei Ausfall auf ein Ersatzsystem umgeschaltet.
Möglich:
automatisch
oder
manuell
Beispiele:
zweite Firewall übernimmt
Datenbank-Replikat wird aktiv
anderer Server übernimmt Dienst
Merksatz:
Failover reduziert Ausfallzeit,
ersetzt aber kein Backup.
Typische Fehlerbilder
Fehlerbild
Wahrscheinliche Ursache
Backup angeblich erfolgreich, Restore geht nicht
Restore nie getestet
Backupziel voll
Speicherplatz oder Retention falsch
Datenbank nach Restore beschädigt
kein konsistentes Datenbank-Backup
Ransomware verschlüsselt Backups mit
Backup online und beschreibbar
Backup nicht lesbar
Medium defekt oder Datei beschädigt
verschlüsseltes Backup nicht nutzbar
Schlüssel fehlt
Restore dauert zu lange
RTO nicht realistisch geprüft
zu viel Datenverlust
RPO nicht eingehalten
alte Datei fehlt
Retention zu kurz
Dienst startet nach Restore nicht
Abhängigkeiten vergessen
Merksatz:
Backup-Probleme fallen oft erst beim Restore auf.
Typische Prüfungsfallen
Backup und Restore verwechseln.
Backup ohne Restore-Test als sicher ansehen.
Snapshot als vollständiges Backup bezeichnen.
Replikation als Backup bezeichnen.
Synchronisation als Backup bezeichnen.
Redundanz als Backup bezeichnen.
RPO und RTO verwechseln.
Retention mit RPO verwechseln.
Datenbankdateien ohne Konsistenz sichern.
Backup-Verschlüsselung ohne Schlüsselverwaltung planen.
Ransomware-Schutz für Backups vergessen.
Notfallhandbuch nicht berücksichtigen.
Merksatz:
In Prüfungen wird oft gefragt,
was kein Backup ersetzt.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist ein Backup?
- Was ist ein Restore?
- Warum ist ein Restore-Test wichtig?
- Was ist ein Vollbackup?
- Was ist ein inkrementelles Backup?
- Was ist ein differenzielles Backup?
- Was ist ein Snapshot?
- Warum ersetzt ein Snapshot kein Backup?
- Was bedeutet RPO?
- Was bedeutet RTO?
- Was ist Retention?
- Was bedeutet die 3-2-1-Regel?
- Was ist ein Immutable Backup?
- Warum ist ein Offline-Backup sinnvoll?
- Warum ist Replikation kein Backup?
- Warum ist Synchronisation kein Backup?
- Warum ersetzt Redundanz kein Backup?
- Was ist Disaster Recovery?
- Was ist Business Continuity?
- Warum müssen Backups gegen Ransomware geschützt werden?
IHK-sichere Kurzformulierung
Ein Backup ist eine Sicherung von Daten, Systemen oder Konfigurationen. Restore bezeichnet die Wiederherstellung aus dieser Sicherung. Ein Backup ist nur zuverlässig, wenn die Wiederherstellung regelmäßig getestet wird. Vollbackups sichern alle ausgewählten Daten, inkrementelle Backups sichern Änderungen seit dem letzten Backup und differenzielle Backups sichern Änderungen seit dem letzten Vollbackup. RPO beschreibt den maximal akzeptablen Datenverlust, RTO die maximal akzeptable Wiederherstellungszeit. Backups sollten nach geeigneten Regeln aufbewahrt, überwacht, geschützt, verschlüsselt und durch Offline- oder Immutable-Kopien gegen Ransomware abgesichert werden. Replikation, Synchronisation, Redundanz und Snapshots ersetzen kein vollständiges Backup-Konzept.
Merksätze
Backup = Sicherung.
Restore = Wiederherstellung.
Backup ohne Restore-Test ist unsicher.
Vollbackup sichert alles.
Inkrementell sichert seit letztem Backup.
Differenziell sichert seit letztem Vollbackup.
Snapshot ist Momentaufnahme.
Snapshot ersetzt kein vollständiges Backup.
Image-Backup sichert ein Systemabbild.
Datenbank-Backups müssen konsistent sein.
Point-in-Time-Recovery stellt einen Zeitpunkt wieder her.
RPO = Datenverlust.
RTO = Wiederherstellungszeit.
Retention = Aufbewahrungsregel.
Backup-Frequenz muss zum RPO passen.
Restore-Prozess muss zum RTO passen.
3-2-1 reduziert Gesamtrisiko.
3-2-1-1-0 ergänzt Offline oder Immutable und fehlerfreie Restore-Tests.
Offline-Backup ist nicht dauerhaft verbunden.
Immutable Backup ist unveränderlich.
Verschlüsseltes Backup braucht Schlüssel.
Backups brauchen starke Rechtebegrenzung.
Backups müssen vor Ransomware geschützt werden.
Backup-Monitoring ist Pflicht.
Backup-Logs regelmäßig prüfen.
Redundanz ist kein Backup.
Replikation ist kein Backup.
Synchronisation ist kein Backup.
Failover ist kein Backup.
Notfallhandbuch hilft im Ernstfall.
Restore braucht Reihenfolge.
Business Continuity betrachtet Geschäftsprozesse.
Disaster Recovery betrachtet IT-Wiederherstellung.
Im Notfall zählt nicht nur,
ob ein Backup existiert,
sondern ob es schnell und korrekt wiederhergestellt werden kann.
19.10. Admin-Befehle und Fehlersuche Spickzettel
Dieser Spickzettel fasst wichtige Befehle und Werkzeuge für Netzwerkadministration,
Systemprüfung
und Fehlersuche kompakt zusammen.
Er ist besonders wichtig für:
- IP-Konfiguration prüfen
- DNS prüfen
- Routing prüfen
- Ports prüfen
- Dienste prüfen
- Logs prüfen
- Erreichbarkeit testen
- Fehler systematisch eingrenzen
Merksatz:
Befehle liefern Fakten,
keine Vermutungen.
Grundidee der Fehlersuche
Bei Netzwerkproblemen immer systematisch prüfen.
Sinnvolle Reihenfolge:
1. physische Verbindung
2. IP-Konfiguration
3. Gateway
4. DNS
5. Routing
6. Firewall
7. Port
8. Dienst
9. Anwendung
10. Logs
Merksatz:
Erst Verbindung,
dann Adresse,
dann Dienst,
dann Anwendung.
Windows- und Linux-Werkzeuge im Überblick
Aufgabe
Windows
Linux/macOS
IP-Konfiguration anzeigen
ipconfig
ip addr
detaillierte IP-Konfiguration
ipconfig /all
ip addr, ip link
Routing anzeigen
route print
ip route
DNS prüfen
nslookup
dig, nslookup
Erreichbarkeit prüfen
ping
ping
Weg zum Ziel prüfen
tracert
traceroute
Verbindungen anzeigen
netstat
ss, netstat
Ports prüfen
netstat, PowerShell
ss, netstat
Webdienst prüfen
PowerShell, Browser
curl
Dienste prüfen
services.msc, sc, PowerShell
systemctl
Logs prüfen
Ereignisanzeige
journalctl
Prozesse prüfen
Task-Manager, tasklist
ps, top
Speicherplatz prüfen
Explorer, PowerShell
df, du
Benutzer prüfen
whoami
whoami, id
Merksatz:
Gleiche Aufgabe,
anderes Werkzeug je nach Betriebssystem.
IP-Konfiguration prüfen
Windows:
ipconfig
ipconfig /all
Linux/macOS:
ip addr
ip link
Wichtige Angaben:
IP-Adresse
Subnetzmaske oder Präfix
Standardgateway
DNS-Server
MAC-Adresse
DHCP aktiviert ja oder nein
Lease-Informationen
Interface-Status
Merksatz:
IP,
Maske,
Gateway
und DNS immer zusammen prüfen.
ipconfig
ipconfig zeigt unter Windows die IP-Konfiguration.
Wichtige Ausgaben:
IPv4-Adresse
Subnetzmaske
Standardgateway
Mit:
ipconfig /all
sieht man zusätzlich:
DNS-Server
DHCP-Status
MAC-Adresse
Lease-Zeiten
Adapterdetails
Merksatz:
ipconfig /all zeigt die wichtigen Details.
ip addr
ip addr zeigt unter Linux die IP-Adressen der Netzwerkschnittstellen.
Wichtige Punkte:
Interface-Name
IPv4-Adresse
IPv6-Adresse
Präfix
Status
MAC-Adresse
Beispiele für Interface-Namen:
eth0
ens18
enp0s3
wlan0
Merksatz:
ip addr ist unter Linux der Standard für IP-Adressen.
ip link
ip link zeigt den Zustand von Netzwerkschnittstellen.
Wichtige Angaben:
Interface aktiv oder inaktiv
MAC-Adresse
MTU
Link-Status
Typische Begriffe:
UP
DOWN
Merksatz:
ip link hilft,
den Interface-Status zu prüfen.
Gateway prüfen
Windows:
ipconfig
route print
Linux/macOS:
ip route
Wichtig:
Gateway muss im lokalen Subnetz erreichbar sein.
Typisches Fehlerbild:
lokale Geräte erreichbar,
Internet nicht erreichbar
Merksatz:
Lokal ja,
extern nein:
Gateway prüfen.
Routing prüfen
Windows:
route print
Linux/macOS:
ip route
Wichtige Angaben:
Zielnetz
Gateway oder Next Hop
Interface
Metrik
Standardroute
Standardroute IPv4:
0.0.0.0/0
oder unter Linux oft:
default
Merksatz:
Routing-Tabelle zeigt,
wohin Pakete gesendet werden.
route print
route print zeigt unter Windows die Routing-Tabelle.
Wichtig sind:
Netzwerkziel
Netzmaske
Gateway
Schnittstelle
Metrik
Typische Prüfung:
Gibt es eine Standardroute?
Ist das Gateway korrekt?
Gibt es eine spezifische Route zum Zielnetz?
Merksatz:
route print zeigt den Weg aus Sicht des Windows-Clients.
ip route
ip route zeigt unter Linux die Routing-Tabelle.
Typische Ausgabe enthält:
default via 192.168.1.1 dev eth0
Bedeutung:
Standardroute über Gateway 192.168.1.1 über Interface eth0
Merksatz:
default ist die Standardroute.
ping
ping prüft Erreichbarkeit mit ICMP.
Typische Nutzung:
Ziel-IP testen
Gateway testen
DNS-Namen testen
Wichtig:
ping prüft ICMP,
nicht automatisch den Dienst.
Beispiel:
ping funktioniert,
aber HTTPS kann trotzdem blockiert sein.
Merksatz:
ping ist ein Erreichbarkeitstest,
kein vollständiger Diensttest.
ping richtig interpretieren
Ergebnis
Mögliche Bedeutung
Antwort kommt
Ziel antwortet auf ICMP
keine Antwort
Ziel offline, ICMP blockiert, Routingproblem, Firewall
hohe Zeit
Latenz, Last, lange Strecke
Paketverlust
Funkproblem, Überlastung, Leitungsproblem
Name wird nicht gefunden
DNS-Problem
IP geht, Name nicht
DNS prüfen
Merksatz:
Kein ping heißt nicht automatisch,
dass das Ziel offline ist.
DNS prüfen
Windows:
nslookup
Linux/macOS:
dig
nslookup
Prüfen:
Wird der Name aufgelöst?
Welche IP wird geliefert?
Welcher DNS-Server antwortet?
Ist der Record korrekt?
Gibt es interne und externe Unterschiede?
Merksatz:
DNS gezielt mit nslookup oder dig prüfen.
nslookup
nslookup prüft Namensauflösung.
Nützlich für:
A-Record prüfen
AAAA-Record prüfen
DNS-Server testen
Fehler bei Namensauflösung erkennen
Typisches Fehlerbild:
IP-Adresse funktioniert,
Name funktioniert nicht
Wahrscheinlich:
DNS-Problem
Merksatz:
nslookup prüft DNS,
nicht den eigentlichen Dienst.
dig
dig zeigt DNS-Abfragen detailliert an.
Nützlich für:
genaue DNS-Antworten
Recordtypen
TTL
Antwortserver
Debugging
Vergleich verschiedener DNS-Server
Typische Recordtypen:
A
AAAA
MX
CNAME
TXT
NS
PTR
Merksatz:
dig ist besonders hilfreich für detaillierte DNS-Prüfung.
tracert und traceroute
Windows:
tracert
Linux/macOS:
traceroute
Aufgabe:
Weg zum Ziel über Router anzeigen
Nützlich für:
Routingprobleme eingrenzen
Hops sichtbar machen
Latenzen grob erkennen
Unterbrechungen lokalisieren
Merksatz:
traceroute zeigt den Weg,
aber nicht jeder Hop muss antworten.
traceroute richtig interpretieren
Beobachtung
Mögliche Bedeutung
erster Hop fehlt
Gateway oder lokales Netz prüfen
Abbruch nach bestimmtem Hop
Firewall, Routing, Provider
einzelne Sternchen
Hop antwortet nicht, Weg kann trotzdem funktionieren
hohe Latenz ab bestimmtem Hop
Engstelle oder lange Strecke
Ziel antwortet nicht
Ziel blockiert oder nicht erreichbar
Merksatz:
Sternchen bedeuten nicht automatisch Totalausfall.
netstat
netstat zeigt Netzwerkverbindungen und lauschende Ports.
Nützlich für:
offene Ports anzeigen
bestehende Verbindungen prüfen
Dienst lauscht ja oder nein
Quell- und Zielports sehen
TCP-Status prüfen
Typische Zustände:
LISTEN
ESTABLISHED
TIME_WAIT
CLOSE_WAIT
Merksatz:
netstat zeigt,
welche Verbindungen und Ports aktiv sind.
ss
ss ist unter Linux ein modernes Werkzeug für Sockets und Ports.
Nützlich für:
lauschende Ports
TCP-Verbindungen
UDP-Sockets
Prozesszuordnung je nach Berechtigung
schnelle Portprüfung lokal
Merksatz:
ss ersetzt auf vielen Linux-Systemen netstat.
TCP-Status kurz erklärt
Status
Bedeutung
LISTEN
Dienst wartet auf Verbindungen
ESTABLISHED
Verbindung besteht
SYN_SENT
Verbindungsaufbau gestartet
SYN_RECEIVED
SYN empfangen und beantwortet
TIME_WAIT
Verbindung beendet, Wartephase
CLOSE_WAIT
Gegenseite hat beendet, lokale Anwendung noch nicht
Merksatz:
LISTEN bedeutet:
Dienst lauscht.
Portprüfung
Bei Dienstproblemen prüfen:
Läuft der Dienst?
Lauscht der Dienst auf dem richtigen Port?
Lauscht er auf der richtigen Schnittstelle?
Blockiert die lokale Firewall?
Blockiert eine Netzwerkfirewall?
Stimmt TCP oder UDP?
Ist NAT oder Portweiterleitung korrekt?
Merksatz:
Host erreichbar heißt nicht,
dass der Port erreichbar ist.
localhost, 127.0.0.1 und 0.0.0.0
127.0.0.1:
Loopback-Adresse
nur lokal auf demselben System erreichbar
localhost:
Name für lokalen Rechner
0.0.0.0:
Dienst lauscht auf allen IPv4-Schnittstellen des Hosts
Merksatz:
127.0.0.1 ist lokal.
0.0.0.0 bedeutet alle Interfaces.
curl
curl prüft Webdienste,
APIs
und HTTP-Antworten.
Nützlich für:
HTTP-Statuscode
Weiterleitungen
Header
TLS-Verbindung
API-Antwort
Erreichbarkeit ohne Browser
Proxy-Fehler
Backend-Fehler
Merksatz:
curl prüft Webdienste direkter als ein Browser.
HTTP-Statuscodes
Statuscode
Bedeutung
200
erfolgreich
301 / 302
Weiterleitung
400
fehlerhafte Anfrage
401
nicht authentifiziert
403
verboten
404
nicht gefunden
500
interner Serverfehler
502
Gateway oder Backend-Fehler
503
Dienst nicht verfügbar
504
Gateway Timeout
Merksatz:
4xx deutet eher auf Client,
Anfrage
oder Rechte.
5xx deutet eher auf Server,
Anwendung
oder Backend.
Dienste prüfen unter Linux
Wichtige Werkzeuge:
systemctl
journalctl
systemctl prüft und verwaltet Dienste.
journalctl zeigt Logs von systemd-Diensten.
Merksatz:
systemctl zeigt den Dienststatus.
journalctl zeigt die Logs.
systemctl
systemctl wird genutzt für:
Dienststatus prüfen
Dienst starten
Dienst stoppen
Dienst neu starten
Dienst aktivieren
Dienst deaktivieren
Typische Prüfung:
Läuft der Dienst?
Ist der Dienst beim Booten aktiviert?
Gibt es Fehler beim Start?
Merksatz:
systemctl beantwortet:
Läuft der Dienst?
journalctl
journalctl zeigt Logs unter systemd.
Nützlich für:
Dienstfehler
Startprobleme
Abstürze
Berechtigungsfehler
Konfigurationsfehler
Zeitliche Eingrenzung
Merksatz:
journalctl beantwortet:
Warum hat der Dienst Probleme?
Dienste prüfen unter Windows
Wichtige Werkzeuge:
services.msc
Task-Manager
Ereignisanzeige
PowerShell
sc
Typische Fragen:
Läuft der Dienst?
Ist der Starttyp korrekt?
Gibt es Fehlermeldungen?
Gibt es Abhängigkeiten?
Merksatz:
Unter Windows helfen Diensteverwaltung und Ereignisanzeige.
Windows-Ereignisanzeige
Die Ereignisanzeige zeigt Windows-Logs.
Wichtige Bereiche:
Anwendung
Sicherheit
System
Setup
Nützlich für:
Anmeldefehler
Dienstfehler
Systemfehler
Treiberprobleme
Sicherheitsereignisse
Merksatz:
Windows-Logs stehen in der Ereignisanzeige.
Prozesse prüfen
Windows:
Task-Manager
tasklist
Linux/macOS:
ps
top
htop
Nützlich für:
hohe CPU-Last
hoher RAM-Verbrauch
hängende Prozesse
Prozess läuft ja oder nein
Prozess-ID finden
Merksatz:
Prozess läuft nicht automatisch gleich Dienst erreichbar.
Speicherplatz prüfen
Linux/macOS:
df
du
Windows:
Explorer
Datenträgerverwaltung
PowerShell
Wichtige Fragen:
Ist das Dateisystem voll?
Ist die Logpartition voll?
Ist genug Speicher für Backup oder Update vorhanden?
Wächst eine Datei ungewöhnlich stark?
Merksatz:
Volle Datenträger verursachen viele Dienstprobleme.
df und du
df zeigt freien Speicher auf Dateisystemen.
du zeigt Speicherverbrauch von Dateien und Ordnern.
Unterschied:
df:
Wie voll ist das Dateisystem?
du:
Welcher Ordner verbraucht Speicher?
Merksatz:
df zeigt Gesamtfüllstand.
du zeigt Verursacher.
Benutzer und Rechte prüfen
Windows:
whoami
whoami /groups
Linux/macOS:
whoami
id
groups
Prüfen:
Welcher Benutzer bin ich?
In welchen Gruppen bin ich?
Habe ich die nötigen Rechte?
Wird ein anderes Konto verwendet?
Merksatz:
Anmeldung erfolgreich heißt nicht automatisch Zugriff erlaubt.
Dateirechte prüfen unter Linux
Wichtige Begriffe:
Besitzer
Gruppe
Rechte
Lesen
Schreiben
Ausführen
Typische Werkzeuge:
ls -l
chmod
chown
Merksatz:
Linux-Rechte bestehen aus Besitzer,
Gruppe
und anderen.
Freigaberechte prüfen
Bei Dateifreigaben prüfen:
Freigaberechte
Dateisystemrechte
Gruppenmitgliedschaft
Deny-Regeln
Vererbung
Benutzerkontext
Merksatz:
Bei Freigaben zählen oft Freigaberechte und Dateisystemrechte zusammen.
Logs allgemein prüfen
Wichtige Fragen:
Wann trat der Fehler auf?
Welches System meldet den Fehler?
Welcher Benutzer ist betroffen?
Welche Quelle und welches Ziel?
Welche Fehlermeldung?
Wiederholt sich das Muster?
Gab es kurz vorher Änderungen?
Merksatz:
Logs beantworten:
wer,
wann,
was,
von wo,
mit welchem Ergebnis.
Zeit und NTP prüfen
Korrekte Zeit ist wichtig für:
Logs
Zertifikate
Kerberos
MFA
Tokens
geplante Aufgaben
Forensik
Typische Fehler:
Zertifikatswarnung
Kerberos-Fehler
ungültige Tokens
falsche Log-Reihenfolge
Merksatz:
Bei Zertifikaten,
Kerberos
und Logs immer auch Zeit prüfen.
Firewall prüfen
Bei Firewall-Verdacht prüfen:
Quelle
Ziel
Port
Protokoll
Richtung
Zone
Regelreihenfolge
NAT
Logs
lokale Firewall
Netzwerkfirewall
Merksatz:
Firewallprüfung braucht Quelle,
Ziel,
Port
und Protokoll.
NAT und Portweiterleitung prüfen
Prüfen:
öffentliche IP korrekt?
DNS zeigt auf richtige öffentliche IP?
externer Port korrekt?
interne Ziel-IP korrekt?
interner Port korrekt?
Dienst läuft intern?
lokale Firewall erlaubt?
Router-Firewall erlaubt?
doppeltes NAT?
CGNAT?
Merksatz:
Portweiterleitung braucht DNS,
NAT,
Firewall
und laufenden Dienst.
Typische Fehlerbilder und erste Prüfung
Fehlerbild
Erste Prüfung
keine IP-Adresse
DHCP, Kabel, WLAN, VLAN
169.254.x.x
DHCP nicht erreicht
lokales Netz geht, Internet nicht
Gateway, Routing, NAT
IP geht, Name nicht
DNS
ping geht, Webseite nicht
Port, Dienst, Firewall
Login geht, Zugriff nicht
Rechte, Gruppe, ACL
Anmeldung scheitert
Konto, Passwort, MFA, Verzeichnisdienst
Zertifikatswarnung
Zertifikat, Hostname, Uhrzeit
Dienst startet nicht
Logs, Konfiguration, Abhängigkeiten
alles langsam
Last, DNS, Netzwerk, Speicher
Merksatz:
Fehlerbild bestimmt den ersten sinnvollen Test.
Mini-Workflow: Client kommt nicht ins Internet
Prüfen:
1. IP-Adresse vorhanden?
2. APIPA-Adresse 169.254.x.x?
3. Subnetzmaske korrekt?
4. Gateway eingetragen?
5. Gateway erreichbar?
6. externe IP erreichbar?
7. DNS-Auflösung funktioniert?
8. Firewall oder Proxy?
9. NAT oder Provider?
Merksatz:
Erst IP,
dann Gateway,
dann DNS,
dann Firewall und NAT.
Mini-Workflow: Webseite nicht erreichbar
Prüfen:
1. Name wird aufgelöst?
2. Ziel-IP erreichbar?
3. TCP 80 oder 443 erreichbar?
4. Webserver läuft?
5. TLS-Zertifikat gültig?
6. Reverse Proxy korrekt?
7. Anwendung liefert Fehler?
8. Logs prüfen.
Merksatz:
Webfehler können DNS,
Port,
TLS,
Proxy
oder Anwendung betreffen.
Mini-Workflow: Datei-Freigabe nicht erreichbar
Prüfen:
1. Netzwerkverbindung?
2. Namensauflösung?
3. Server erreichbar?
4. SMB-Port TCP 445 erreichbar?
5. Benutzer angemeldet?
6. Freigaberechte?
7. Dateisystemrechte?
8. Gruppenmitgliedschaft?
9. Firewall?
10. Logs?
Merksatz:
Freigabeprobleme können Netzwerk oder Rechte sein.
Mini-Workflow: SSH nicht erreichbar
Prüfen:
1. Ziel-IP erreichbar?
2. TCP 22 erreichbar?
3. SSH-Dienst läuft?
4. Firewall erlaubt Zugriff?
5. richtige Quell-IP erlaubt?
6. Benutzer erlaubt?
7. Schlüssel korrekt?
8. Host-Key-Warnung prüfen.
9. Logs prüfen.
Merksatz:
SSH-Probleme können Port,
Dienst,
Schlüssel,
Benutzer
oder Firewall sein.
Mini-Workflow: DNS-Problem
Prüfen:
1. DNS-Server eingetragen?
2. DNS-Server erreichbar?
3. richtiger Record vorhanden?
4. interner oder externer DNS?
5. DNS-Suffix korrekt?
6. Split-DNS relevant?
7. DNS-Cache veraltet?
8. Firewall blockiert UDP/TCP 53?
Merksatz:
IP ja,
Name nein:
DNS prüfen.
Mini-Workflow: DHCP-Problem
Prüfen:
1. Client im richtigen VLAN?
2. Switchport korrekt?
3. DHCP-Server aktiv?
4. DHCP-Scope frei?
5. DHCP-Relay korrekt?
6. Firewall erlaubt DHCP?
7. Reservierung oder Ausschluss?
8. Lease erneuern.
Merksatz:
169.254.x.x:
DHCP,
VLAN
oder Relay prüfen.
Mini-Workflow: Dienst startet nicht
Prüfen:
1. Dienststatus
2. Logs
3. Konfigurationsdatei
4. Berechtigungen
5. Abhängigkeiten
6. belegter Port
7. Speicherplatz
8. Zertifikate oder Schlüssel
9. letzte Änderung
Merksatz:
Dienstfehler stehen oft in Logs.
Mini-Workflow: langsames Netzwerk
Prüfen:
Latenz
Paketverlust
DNS-Auflösung
WLAN-Signal
Bandbreite
Duplex oder Link-Geschwindigkeit
CPU oder RAM
Speicher-I/O
Firewall oder Proxy
Serverlast
Merksatz:
Langsamkeit ist kein einzelner Fehler,
sondern muss eingegrenzt werden.
Prüfungsfalle: Befehl ohne Interpretation
Ein Befehl allein löst noch keine Aufgabe.
Schlecht:
ping ausführen.
Besser:
Mit ping wird geprüft,
ob das Ziel per ICMP erreichbar ist.
Wenn die IP erreichbar ist,
der Name aber nicht,
sollte DNS geprüft werden.
Merksatz:
In der Prüfung nicht nur Befehl nennen,
sondern Zweck erklären.
Prüfungsfalle: ping als Diensttest
ping prüft ICMP.
ping prüft nicht:
HTTPS
SSH
SMB
Datenbank
Anmeldung
Rechte
Anwendung
Merksatz:
ping erfolgreich heißt nicht,
dass der Dienst funktioniert.
Prüfungsfalle: DNS und Dienst verwechseln
Wenn ein Name nicht aufgelöst wird,
ist zuerst DNS zu prüfen.
Wenn der Name aufgelöst wird,
aber die Anwendung nicht funktioniert,
sind eher Port,
Dienst,
Firewall,
TLS
oder Anwendung zu prüfen.
Merksatz:
DNS findet die Adresse.
Der Dienst muss danach trotzdem funktionieren.
Prüfungsfalle: Rechteproblem als Netzwerkproblem deuten
Fehlerbild:
Benutzer kann sich anmelden,
aber Datei nicht öffnen.
Wahrscheinlich:
Autorisierung,
Gruppenmitgliedschaft,
ACL
oder Freigaberecht
Nicht zuerst:
DNS
Gateway
NAT
Merksatz:
Login ja,
Zugriff nein:
Rechte prüfen.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Welcher Befehl zeigt die IP-Konfiguration unter Windows?
- Welcher Befehl zeigt IP-Adressen unter Linux?
- Wie prüft man DNS?
- Was prüft ping?
- Warum ersetzt ping keinen Diensttest?
- Was zeigt tracert oder traceroute?
- Wie prüft man Routing?
- Wie erkennt man,
ob ein Dienst auf einem Port lauscht?
- Was bedeutet LISTEN?
- Wie prüft man Linux-Dienste?
- Wie prüft man Windows-Logs?
- Warum ist NTP wichtig für Logs?
- Welche Schritte sind sinnvoll,
wenn ein Client nicht ins Internet kommt?
- Wie grenzt man ein Firewallproblem ein?
IHK-sichere Kurzformulierung
Bei der Netzwerk- und Systemfehlersuche sollten zuerst Fakten gesammelt werden. Unter Windows zeigt ipconfig die IP-Konfiguration, unter Linux ip addr. Routing wird mit route print oder ip route geprüft. DNS wird gezielt mit nslookup oder dig geprüft. ping testet ICMP-Erreichbarkeit, ersetzt aber keinen Port- oder Diensttest. tracert oder traceroute zeigen den Weg über Router. netstat oder ss zeigen Verbindungen und lauschende Ports. systemctl prüft Linux-Dienste, journalctl zeigt deren Logs. Unter Windows helfen Diensteverwaltung und Ereignisanzeige. Gute Fehlersuche erfolgt systematisch: Verbindung, IP, Gateway, DNS, Routing, Firewall, Port, Dienst, Anwendung und Logs.
Merksätze
Befehle liefern Fakten.
Erst prüfen,
dann vermuten.
IP,
Maske,
Gateway
und DNS zusammen prüfen.
ipconfig zeigt Windows-IP-Konfiguration.
ip addr zeigt Linux-IP-Konfiguration.
route print zeigt Windows-Routing.
ip route zeigt Linux-Routing.
ping prüft ICMP.
ping ist kein Diensttest.
nslookup prüft DNS.
dig prüft DNS detailliert.
tracert und traceroute zeigen den Weg.
netstat zeigt Verbindungen und Ports.
ss zeigt Sockets und Ports unter Linux.
LISTEN heißt:
Dienst wartet auf Verbindungen.
ESTABLISHED heißt:
Verbindung besteht.
127.0.0.1 ist lokal.
0.0.0.0 bedeutet alle Interfaces.
curl prüft Webdienste.
systemctl prüft Dienststatus.
journalctl zeigt Logs.
Windows-Logs stehen in der Ereignisanzeige.
df zeigt Dateisystemfüllstand.
du zeigt Ordnerverbrauch.
whoami zeigt den Benutzerkontext.
Logs beantworten:
wer,
wann,
was,
von wo,
mit welchem Ergebnis.
NTP macht Logzeiten vergleichbar.
Firewallprüfung braucht Quelle,
Ziel,
Port
und Protokoll.
Portweiterleitung braucht DNS,
NAT,
Firewall
und Dienst.
IP ja,
Name nein:
DNS.
Lokal ja,
extern nein:
Gateway.
Host ja,
Dienst nein:
Port,
Dienst,
Firewall.
Login ja,
Zugriff nein:
Rechte.
Dienst startet nicht:
Logs prüfen.
19.11 Prüfungs-Signalwörter und Musterformulierungen
Dieser Spickzettel hilft dabei,
Prüfungsaufgaben schneller einzuordnen
und Antworten fachlich sauber zu formulieren.
Er ist besonders wichtig für:
- Fehlersuche
- Sicherheitsfragen
- Begründungsaufgaben
- Vergleichsaufgaben
- kurze IHK-Antworten
- typische Fehlerbilder
- Operatoren in Aufgabenstellungen
Merksatz:
Signalwörter zeigen oft,
in welche Richtung die Lösung geht.
Grundidee
In Prüfungsaufgaben stehen oft Hinweise,
die direkt zur Lösung führen.
Diese Hinweise können sein:
IP-Adressen
Subnetzmasken
Ports
Protokolle
Fehlermeldungen
Logeinträge
Benutzerbeschreibung
Zeitpunkte
letzte Änderungen
betroffene Systeme
Begriffe wie „nur intern“,
„nur extern“,
„nach Update“
oder „Zugriff verweigert“
Merksatz:
Die Aufgabe genau lesen,
bevor du antwortest.
Operatoren erkennen
Operator
Erwartete Antwort
nennen
kurze Begriffe oder Stichpunkte
beschreiben
sachlich darstellen
erklären
Zusammenhang deutlich machen
begründen
Warum nennen
vergleichen
Unterschiede und Gemeinsamkeiten darstellen
berechnen
rechnerisch ermitteln
ermitteln
aus gegebenen Informationen ableiten
bewerten
fachlich einschätzen
zuordnen
passend einordnen
erläutern
ausführlicher erklären
Merksatz:
Der Operator bestimmt,
wie tief die Antwort sein muss.
Nennen
Bei „nennen“ reichen kurze Begriffe.
Beispielaufgabe:
Nennen Sie zwei Vorteile von VLANs.
Musterantwort:
logische Netztrennung
kleinere Broadcast-Domänen
Merksatz:
Nennen = kurz und direkt.
Beschreiben
Bei „beschreiben“ soll ein Sachverhalt dargestellt werden.
Beispielaufgabe:
Beschreiben Sie die Aufgabe eines DHCP-Servers.
Musterantwort:
Ein DHCP-Server weist Clients automatisch Netzwerkkonfigurationen wie IP-Adresse,
Subnetzmaske,
Standardgateway
und DNS-Server zu.
Merksatz:
Beschreiben = was passiert?
Erklären
Bei „erklären“ muss der Zusammenhang deutlich werden.
Beispielaufgabe:
Erklären Sie,
warum ein Client ohne Standardgateway keine Internetverbindung hat.
Musterantwort:
Das Standardgateway ist der Router in andere Netze.
Ohne Standardgateway kann der Client nur Ziele im eigenen Subnetz erreichen,
aber keine externen Netze wie das Internet.
Merksatz:
Erklären = Zusammenhang zeigen.
Begründen
Bei „begründen“ muss ein Warum enthalten sein.
Beispielaufgabe:
Begründen Sie,
warum RDP nicht direkt aus dem Internet erreichbar sein sollte.
Musterantwort:
RDP ist ein häufiges Angriffsziel für Brute-Force-Angriffe,
Credential Stuffing
und Exploits.
Deshalb sollte RDP nur über VPN,
RDP-Gateway,
MFA
und Firewall-Beschränkungen erreichbar sein.
Merksatz:
Begründen = Aussage plus Warum.
Vergleichen
Bei „vergleichen“ müssen Unterschiede und Gemeinsamkeiten sichtbar werden.
Beispielaufgabe:
Vergleichen Sie TCP und UDP.
Musterantwort:
Merkmal
TCP
UDP
Verbindung
verbindungsorientiert
verbindungslos
Zuverlässigkeit
eingebaut
keine eingebaute Garantie
Overhead
höher
geringer
Beispiele
HTTPS, SSH
DNS, DHCP, VoIP
Merksatz:
Vergleichen = gegenüberstellen.
Bewerten
Bei „bewerten“ soll eine fachliche Einschätzung gegeben werden.
Beispielaufgabe:
Bewerten Sie eine Firewall-Regel,
die Any-to-Any erlaubt.
Musterantwort:
Die Regel ist sicherheitskritisch,
weil sie Verkehr von jeder Quelle zu jedem Ziel erlaubt.
Dadurch entsteht eine große Angriffsfläche.
Besser ist eine genaue Regel mit definierter Quelle,
definiertem Ziel,
Port,
Protokoll
und dokumentiertem Zweck.
Merksatz:
Bewerten = Einschätzung mit Begründung.
Berechnen
Bei „berechnen“ muss ein Ergebnis aus Zahlen ermittelt werden.
Wichtig:
Einheit beachten
Formel oder Regel nutzen
Zwischenschritte prüfen
Ergebnis mit Bedeutung angeben
Beispiel:
/27 hat 5 Hostbits.
2 hoch 5 ergibt 32 Adressen.
30 Adressen sind nutzbar,
weil Netzadresse und Broadcastadresse nicht für Hosts verwendet werden.
Merksatz:
Berechnen = Ergebnis mit Einheit oder Bedeutung.
Signalwörter bei DNS
Signalwort oder Fehlerbild
Bedeutung
IP erreichbar, Name nicht
DNS-Problem
Domain wird nicht gefunden
DNS prüfen
interner Name funktioniert nur im Büro
Split-DNS oder VPN-DNS
Webseite per IP erreichbar
Grundverbindung funktioniert
falscher Server bei Namenszugriff
falscher DNS-Eintrag
alter Name zeigt noch auf alte IP
DNS-Cache oder alter Record
Musterformulierung:
Wahrscheinlich liegt ein DNS-Problem vor,
da die IP-Adresse erreichbar ist,
der Name aber nicht korrekt aufgelöst wird.
Der DNS-Server und der DNS-Eintrag sollten mit nslookup oder dig geprüft werden.
Merksatz:
IP ja,
Name nein:
DNS.
Signalwörter bei DHCP
Signalwort oder Fehlerbild
Bedeutung
169.254.x.x
DHCP nicht erreicht
keine gültige IP-Adresse
DHCP, Kabel, WLAN oder VLAN prüfen
falsches Gateway automatisch erhalten
DHCP-Option falsch
falscher DNS-Server automatisch erhalten
DHCP-Option falsch
nur ein VLAN betroffen
DHCP-Relay oder VLAN prüfen
Adresspool erschöpft
DHCP-Scope voll
Musterformulierung:
Die Adresse 169.254.x.x liegt im APIPA-Bereich.
Der Client hat wahrscheinlich keine gültige Adresse von einem DHCP-Server erhalten.
DHCP-Server,
VLAN,
Scope
und DHCP-Relay sollten geprüft werden.
Merksatz:
169.254.x.x deutet auf DHCP-Problem hin.
Signalwörter bei Gateway und Routing
Signalwort oder Fehlerbild
Bedeutung
lokale Geräte erreichbar, Internet nicht
Gateway, Routing, NAT oder Firewall
Gateway fehlt
keine Kommunikation in andere Netze
Gateway außerhalb des Subnetzes
Gateway lokal nicht erreichbar
nur andere Netze nicht erreichbar
Routing prüfen
Rückantwort kommt nicht an
Rückroute oder Firewall prüfen
spezifische Ziele gehen, andere nicht
Routing-Tabelle prüfen
Musterformulierung:
Wahrscheinlich ist das Standardgateway falsch oder fehlt,
da lokale Ziele erreichbar sind,
externe Netze jedoch nicht.
Das Gateway muss im lokalen Subnetz des Clients liegen.
Merksatz:
Lokal ja,
extern nein:
Gateway prüfen.
Signalwörter bei Firewall und Ports
Signalwort oder Fehlerbild
Bedeutung
Host erreichbar, Dienst nicht
Port, Dienst oder Firewall
ping funktioniert, HTTPS nicht
TCP 443, Webdienst oder Firewall
Porttest schlägt fehl
Firewall oder Dienst prüfen
nach Regeländerung defekt
Firewall-Regel prüfen
nur ein Dienst betroffen
Port oder Dienst prüfen
Zugriff von intern geht, extern nicht
NAT, Firewall oder DNS prüfen
Musterformulierung:
Da der Host erreichbar ist,
aber der Dienst nicht funktioniert,
sollten Port,
Dienststatus
und Firewall-Regeln geprüft werden.
Merksatz:
Host ja,
Dienst nein:
Port,
Dienst,
Firewall.
Signalwörter bei VLAN und Switching
Signalwort oder Fehlerbild
Bedeutung
nur ein Switchport betroffen
Access-Port, VLAN oder Portstatus
falsche IP im Clientnetz
falsches VLAN oder DHCP-Scope
mehrere VLANs auf Verbindung fehlen
Trunk prüfen
ein VLAN fehlt auf zweitem Switch
VLAN auf Trunk nicht erlaubt
Broadcast-Sturm
Layer-2-Schleife, STP prüfen
Gerät in falschem Netz
VLAN-Zuordnung prüfen
Musterformulierung:
Wahrscheinlich ist der Switchport dem falschen VLAN zugeordnet.
Dadurch erhält der Client eine falsche oder keine passende IP-Konfiguration.
Access-Port,
VLAN
und DHCP-Scope sollten geprüft werden.
Merksatz:
Falsches VLAN führt oft zu falscher IP-Konfiguration.
Signalwörter bei Authentifizierung
Signalwort oder Fehlerbild
Bedeutung
Anmeldung fehlgeschlagen
Authentifizierung
Passwort falsch
Authentifizierung
Konto gesperrt
Authentifizierung
MFA-Code wird nicht akzeptiert
MFA oder Zeitproblem
Verzeichnisdienst nicht erreichbar
AD, LDAP oder Netzwerk prüfen
Kerberos-Fehler
Zeit, Domäne oder Ticket prüfen
Musterformulierung:
Da bereits die Anmeldung fehlschlägt,
liegt wahrscheinlich ein Authentifizierungsproblem vor.
Konto,
Passwort,
MFA,
Verzeichnisdienst
und Systemzeit sollten geprüft werden.
Merksatz:
Anmeldung scheitert:
Authentifizierung prüfen.
Signalwörter bei Autorisierung und Rechten
Signalwort oder Fehlerbild
Bedeutung
Zugriff verweigert
Autorisierung oder Berechtigung
Anmeldung funktioniert, Datei nicht
Rechteproblem
nur ein Benutzer betroffen
Konto, Gruppe oder Rechte
Gruppe fehlt
Rollen- oder Gruppenmitgliedschaft
Freigabe sichtbar, Datei nicht lesbar
Dateisystemrechte prüfen
Deny-Regel vorhanden
verweigernde Regel beachten
Musterformulierung:
Da die Anmeldung funktioniert,
der Zugriff auf die Ressource aber verweigert wird,
liegt wahrscheinlich ein Autorisierungs- oder Berechtigungsproblem vor.
Gruppenmitgliedschaft,
Freigaberechte,
Dateisystemrechte
und ACLs sollten geprüft werden.
Merksatz:
Login ja,
Zugriff nein:
Rechte prüfen.
Signalwörter bei Zertifikaten und TLS
Signalwort oder Fehlerbild
Bedeutung
Zertifikatswarnung
Zertifikat prüfen
Zertifikat abgelaufen
Ablaufdatum
Name passt nicht
CN oder SAN passt nicht zum Hostnamen
Kette nicht vertrauenswürdig
CA oder Zwischenzertifikat fehlt
Fehler nur auf einem Client
Truststore oder Uhrzeit prüfen
plötzlich ungültig
Ablauf, Erneuerung oder Zeitproblem
Musterformulierung:
Bei einer Zertifikatswarnung sollten Ablaufdatum,
Hostname,
Zertifikatskette
und Systemzeit geprüft werden.
Häufig ist das Zertifikat abgelaufen oder passt nicht zum verwendeten Namen.
Merksatz:
Zertifikatsfehler:
Ablauf,
Name,
Kette,
Zeit.
Signalwörter bei Webfehlern
Fehlerbild
Bedeutung
HTTP 200
erfolgreich
HTTP 301 / 302
Weiterleitung
HTTP 400
fehlerhafte Anfrage
HTTP 401
nicht authentifiziert
HTTP 403
verboten
HTTP 404
nicht gefunden
HTTP 500
interner Serverfehler
HTTP 502
Gateway oder Backend-Fehler
HTTP 503
Dienst nicht verfügbar
HTTP 504
Gateway Timeout
Musterformulierung:
Ein HTTP-Statuscode aus dem 5xx-Bereich deutet eher auf ein serverseitiges Problem hin,
zum Beispiel Anwendung,
Backend,
Gateway
oder Serverkonfiguration.
Merksatz:
4xx eher Client,
Anfrage
oder Rechte.
5xx eher Server,
Anwendung
oder Backend.
Signalwörter bei Backup und Restore
Signalwort oder Fehlerbild
Bedeutung
Backup vorhanden, Wiederherstellung geht nicht
Restore-Test fehlt oder Backup defekt
zu viel Datenverlust
RPO nicht eingehalten
Wiederherstellung dauert zu lange
RTO nicht eingehalten
Snapshot vorhanden
nicht automatisch vollständiges Backup
Replikat vorhanden
Replikation ist kein Backup
Datenbank beschädigt nach Restore
kein konsistentes Backup
verschlüsseltes Backup nicht nutzbar
Schlüssel fehlt
Ransomware verschlüsselt Backup
Backup nicht offline oder immutable
Musterformulierung:
Ein Backup ist nur zuverlässig,
wenn die Wiederherstellung regelmäßig getestet wird.
Replikation,
Synchronisation
und Snapshots ersetzen kein vollständiges Backup-Konzept.
Merksatz:
Backup ohne Restore-Test ist unsicher.
Signalwörter bei Sicherheit
Signalwort oder Fehlerbild
Wahrscheinliches Thema
Daten werden mitgelesen
Vertraulichkeit
Daten wurden verändert
Integrität
Dienst nicht erreichbar
Verfügbarkeit
Identität vorgetäuscht
Authentizität, Spoofing
viele Loginversuche
Brute Force
geleakte Passwörter genutzt
Credential Stuffing
ein Passwort gegen viele Konten
Password Spraying
gefälschte E-Mail
Phishing oder Spoofing
verschlüsselte Dateien
Ransomware
Dienst überlastet
DoS oder DDoS
Musterformulierung:
Das betroffene Schutzziel ist Verfügbarkeit,
da der Dienst nicht mehr nutzbar ist.
Eine passende Maßnahme wäre DDoS-Schutz,
Monitoring
und ein Notfallkonzept.
Merksatz:
Sicherheitsfrage:
Schutzziel,
Risiko,
Maßnahme.
Signalwörter bei Malware und Ransomware
Signalwort oder Fehlerbild
Bedeutung
Dateien verschlüsselt
Ransomware
Lösegeldforderung
Ransomware
Tastatureingaben mitgeschnitten
Keylogger
Daten werden ausgespäht
Spyware
Programm tarnt sich als nützlich
Trojaner
verbreitet sich selbstständig
Wurm
viele kompromittierte Geräte
Botnet
Schadsoftware tief versteckt
Rootkit
Musterformulierung:
Ransomware beeinträchtigt vor allem die Verfügbarkeit,
weil Daten nicht mehr nutzbar sind.
Bei zusätzlichem Datenabfluss ist auch die Vertraulichkeit betroffen.
Wichtige Maßnahmen sind Offline- oder Immutable-Backups,
Segmentierung,
Patchmanagement
und Restore-Tests.
Merksatz:
Ransomware:
Verfügbarkeit,
bei Datenabfluss auch Vertraulichkeit.
Signalwörter bei Cloud
Signalwort oder Fehlerbild
Bedeutung
virtuelle Maschine
IaaS
verwaltete Plattform
PaaS
fertige Anwendung im Browser
SaaS
mehrere Cloud-Anbieter
Multi Cloud
lokal plus Cloud
Hybrid Cloud
öffentliche Cloud eines Anbieters
Public Cloud
eigene Cloud für Organisation
Private Cloud
Wer ist verantwortlich?
Shared Responsibility
Zugriff auf Cloud-Ressourcen
IAM
Musterformulierung:
Beim Shared-Responsibility-Modell schützt der Cloud-Anbieter die Cloud-Infrastruktur,
während der Kunde für Daten,
Identitäten,
Zugriffsrechte
und Konfigurationen verantwortlich bleibt.
Merksatz:
Cloud bedeutet geteilte Verantwortung.
Signalwörter bei Change Management
Signalwort oder Fehlerbild
Bedeutung
nach Update defekt
Change prüfen
Änderung nicht dokumentiert
Change Management fehlt
schnelle Notfalländerung
Emergency Change
wiederkehrende risikoarme Änderung
Standard Change
geplante Änderung mit Freigabe
Normal Change
Rückkehr zum alten Zustand
Rollback
Änderung außerhalb Arbeitszeit
Wartungsfenster
Auswirkungen vorab prüfen
Risikobewertung
Musterformulierung:
Da der Fehler nach einer Änderung aufgetreten ist,
sollte der Change geprüft werden.
Wichtig sind Änderungsbeschreibung,
Zeitpunkt,
betroffene Systeme,
Testplan
und Rollback-Plan.
Merksatz:
Nach Änderung defekt:
Change prüfen.
Gute Musterformulierung: Fehlersuche
Struktur:
Ursache
Begründung
Prüfung
Muster:
Wahrscheinlich liegt ein DNS-Problem vor,
da die IP-Adresse erreichbar ist,
der Name aber nicht aufgelöst wird.
Der DNS-Server und der DNS-Eintrag sollten mit nslookup oder dig geprüft werden.
Merksatz:
Fehlerantwort:
Ursache,
Begründung,
Prüfung.
Gute Musterformulierung: Sicherheitsmaßnahme
Struktur:
Risiko
Maßnahme
Wirkung
Muster:
Das Risiko besteht im Missbrauch gestohlener Zugangsdaten.
Als Maßnahme sollte MFA eingesetzt werden.
Dadurch reicht ein gestohlenes Passwort allein nicht mehr für den Zugriff aus.
Merksatz:
Sicherheitsantwort:
Risiko,
Maßnahme,
Wirkung.
Gute Musterformulierung: Vergleich
Struktur:
Gemeinsamkeit
Unterschied
Beispiel
Muster:
TCP und UDP sind Transportprotokolle.
TCP ist verbindungsorientiert und zuverlässig,
UDP ist verbindungslos und hat weniger Overhead.
TCP wird zum Beispiel bei HTTPS genutzt,
UDP häufig bei DNS oder VoIP.
Merksatz:
Vergleich:
Gemeinsamkeit,
Unterschied,
Beispiel.
Gute Musterformulierung: Bewertung
Struktur:
Einschätzung
Risiko
bessere Maßnahme
Muster:
Die Lösung ist kritisch,
weil RDP direkt aus dem Internet erreichbar ist.
Dadurch steigt das Risiko für Brute-Force-Angriffe und Exploits.
Sicherer wäre ein Zugriff über VPN oder RDP-Gateway mit MFA und Protokollierung.
Merksatz:
Bewertung braucht eine fachliche Begründung.
Gute Musterformulierung: Berechnung
Struktur:
Regel
Rechenschritt
Ergebnis
Bedeutung
Muster:
Bei /26 gibt es 6 Hostbits.
2 hoch 6 ergibt 64 Adressen.
Davon sind 62 nutzbar,
weil Netzadresse und Broadcastadresse nicht für Hosts verwendet werden.
Merksatz:
Berechnung:
Regel,
Rechenschritt,
Ergebnis,
Bedeutung.
Kurzformulierungen für häufige Antworten
Thema
Kurzformulierung
DNS
DNS löst Namen in IP-Adressen auf.
DHCP
DHCP verteilt IP-Konfiguration automatisch.
Gateway
Das Gateway verbindet den Client mit anderen Netzen.
NAT
NAT übersetzt IP-Adressen.
PAT
PAT nutzt zusätzlich Ports zur Zuordnung.
VLAN
VLAN trennt ein physisches Netz logisch.
Routing
Routing verbindet verschiedene IP-Netze.
Firewall
Eine Firewall filtert Verkehr anhand von Regeln.
VPN
VPN verschlüsselt eine Verbindung über unsichere Netze.
MFA
MFA verlangt mehr als einen Authentifizierungsfaktor.
Backup
Backup ist eine Sicherung zur späteren Wiederherstellung.
Restore
Restore ist die Wiederherstellung aus einem Backup.
Merksatz:
Kurzantworten müssen fachlich sauber sein.
Antworten vermeiden
Ungenaue Antworten:
Das Internet geht nicht.
Der Server ist kaputt.
Vielleicht Firewall.
Man muss es sicherer machen.
Backup ist vorhanden,
also ist alles sicher.
VLAN macht alles sicher.
Ping geht,
also funktioniert der Dienst.
Besser:
Die IP-Kommunikation funktioniert,
aber die Namensauflösung nicht.
Daher sollte DNS geprüft werden.
Der Host ist erreichbar,
aber der Dienst auf TCP 443 nicht.
Daher sollten Webdienst,
Port
und Firewall-Regeln geprüft werden.
Merksatz:
Keine Vermutungen ohne Bezug zum Fehlerbild.
Gefragte Anzahl beachten
Wenn die Aufgabe fragt:
Nennen Sie zwei Maßnahmen.
Dann genau zwei klare Maßnahmen nennen.
Beispiel:
1. MFA aktivieren,
damit gestohlene Passwörter allein nicht ausreichen.
2. Zugriff per Firewall auf VPN- oder feste Quell-IP-Adressen beschränken,
damit der Dienst nicht breit aus dem Internet erreichbar ist.
Merksatz:
Gefragte Anzahl einhalten.
Antwort bei mehreren möglichen Ursachen
Wenn mehrere Ursachen möglich sind,
die wahrscheinlichste anhand des Fehlerbilds nennen.
Beispiel:
IP funktioniert,
Name nicht
Nicht antworten:
Firewall,
Kabel,
Server,
Internet
Besser:
DNS ist am wahrscheinlichsten,
da die IP-Adresse erreichbar ist,
der Name aber nicht aufgelöst wird.
Merksatz:
Wahrscheinlichste Ursache aus dem Hinweis ableiten.
Typische Prüfungsfallen
Operator übersehen.
Signalwort ignoriert.
Fachbegriff falsch verwendet.
DNS und DHCP verwechselt.
Gateway und DNS verwechselt.
Authentifizierung und Autorisierung verwechselt.
RPO und RTO verwechselt.
NAT und Firewall gleichgesetzt.
Ping als Diensttest verstanden.
Snapshot als Backup bezeichnet.
Maßnahme ohne Wirkung genannt.
Ursache ohne Begründung genannt.
Rechenaufgabe ohne Einheit beantwortet.
Merksatz:
Viele Punktverluste entstehen durch ungenaue Formulierungen.
Checkliste vor Abgabe
Habe ich die Frage wirklich beantwortet?
Habe ich den Operator beachtet?
Habe ich die gefragte Anzahl eingehalten?
Habe ich Fachbegriffe korrekt verwendet?
Habe ich kurz begründet?
Habe ich bei Fehlern eine Prüfung genannt?
Habe ich bei Sicherheit eine Wirkung genannt?
Habe ich bei Berechnung eine Einheit oder Bedeutung angegeben?
Habe ich keine unnötigen Vermutungen geschrieben?
Merksatz:
Kurz,
fachlich,
begründet.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was bedeutet der Operator „erklären“?
- Warum ist bei Prüfungsaufgaben das Fehlerbild wichtig?
- Wie erkennt man ein DNS-Problem?
- Wie erkennt man ein DHCP-Problem?
- Wie erkennt man ein Gateway-Problem?
- Wie erkennt man ein Rechteproblem?
- Wie erkennt man ein Authentifizierungsproblem?
- Wie sollte eine Antwort zur Fehlersuche aufgebaut sein?
- Wie sollte eine Antwort zu Sicherheitsmaßnahmen aufgebaut sein?
- Warum reicht es nicht,
nur „Firewall prüfen“ zu schreiben?
- Warum muss eine Maßnahme zum Risiko passen?
- Warum muss bei Berechnungen eine Einheit angegeben werden?
IHK-sichere Kurzformulierung
Prüfungs-Signalwörter helfen dabei, Fehlerbilder und Aufgabenstellungen schneller richtig einzuordnen. Wenn eine IP-Adresse erreichbar ist, ein Name aber nicht, liegt wahrscheinlich ein DNS-Problem vor. Eine Adresse aus 169.254.0.0/16 deutet auf ein DHCP-Problem hin. Wenn lokale Ziele erreichbar sind, externe Netze aber nicht, sind Gateway, Routing, NAT oder Firewall zu prüfen. Wenn eine Anmeldung funktioniert, der Zugriff aber verweigert wird, liegt wahrscheinlich ein Autorisierungs- oder Berechtigungsproblem vor. Gute Prüfungsantworten nennen die Ursache, begründen sie mit dem Fehlerbild und nennen eine passende Prüfung oder Maßnahme. Bei Sicherheitsfragen sollten Risiko, Maßnahme und Wirkung verbunden werden.
Merksätze
Erst Aufgabe lesen,
dann antworten.
Operator beachten.
Signalwort erkennen.
Fehlerbild einordnen.
Nennen heißt kurz.
Erklären heißt Zusammenhang zeigen.
Begründen heißt Warum nennen.
Vergleichen heißt gegenüberstellen.
Bewerten heißt fachlich einschätzen.
Berechnen heißt mit Einheit arbeiten.
IP ja,
Name nein:
DNS.
169.254.x.x:
DHCP.
Lokal ja,
extern nein:
Gateway,
Routing,
NAT,
Firewall.
Host ja,
Dienst nein:
Port,
Dienst,
Firewall.
Login ja,
Zugriff nein:
Rechte.
Anmeldung scheitert:
Authentifizierung.
Zertifikatsfehler:
Ablauf,
Name,
Kette,
Zeit.
Nach Update defekt:
Change prüfen.
Backup ohne Restore-Test ist unsicher.
Fehlerantwort:
Ursache,
Begründung,
Prüfung.
Sicherheitsantwort:
Risiko,
Maßnahme,
Wirkung.
Vergleich:
Gemeinsamkeit,
Unterschied,
Beispiel.
Bewertung:
Einschätzung,
Risiko,
bessere Maßnahme.
Berechnung:
Regel,
Ergebnis,
Bedeutung.
Gefragte Anzahl beachten.
Fachbegriffe sauber verwenden.
Keine Vermutungen ohne Bezug zum Fehlerbild.
Kurz,
fachlich,
begründet.
20. TRAINER FÜR ALLE KAPITEL
20.1 Trainer – Grundlagen und OSI-Modell
Diese Trainer-Seite wiederholt die Grundlagen der Netzwerktechnik,
das OSI-Modell,
das TCP/IP-Modell
und die wichtigsten Begriffe zur Kommunikation im Netzwerk.
Ziel ist nicht nur Auswendiglernen,
sondern sicheres Zuordnen in typischen IHK-Aufgaben.
Merksatz:
OSI ist das Denkmodell.
TCP/IP ist das Praxismodell.
Die Fehlersuche erfolgt systematisch nach Schichten.
Lernziele
Nach dieser Seite solltest du sicher können:
- die sieben OSI-Schichten nennen
- OSI und TCP/IP unterscheiden
- Protokolle passenden Schichten zuordnen
- MAC-Adresse,
IP-Adresse
und Port unterscheiden
- Kapselung erklären
- typische Fehlerbilder einer Schicht zuordnen
- Prüfungsfragen kurz und fachlich beantworten
Kurzüberblick: OSI-Modell
Schicht
Name
Hauptaufgabe
7
Anwendungsschicht
Dienste für Anwendungen
6
Darstellungsschicht
Datenformat, Codierung, Verschlüsselung
5
Sitzungsschicht
Sitzungen verwalten
4
Transportschicht
Ende-zu-Ende-Kommunikation, Ports
3
Vermittlungsschicht
IP-Adressierung und Routing
2
Sicherungsschicht
lokale Kommunikation über MAC-Adressen
1
Bitübertragungsschicht
Bits als Signale übertragen
Merksatz:
Von unten nach oben:
Signal,
Frame,
Paket,
Segment,
Sitzung,
Darstellung,
Anwendung.
Kurzüberblick: TCP/IP-Modell
TCP/IP-Schicht
Entspricht grob OSI
Beispiele
Anwendung
OSI 5 bis 7
HTTP, DNS, DHCP, SMTP
Transport
OSI 4
TCP, UDP
Internet
OSI 3
IP, ICMP
Netzzugang
OSI 1 bis 2
Ethernet, WLAN, MAC
Merksatz:
TCP/IP fasst OSI-Schichten zusammen.
Aufgabe 1
Ordne die Begriffe der passenden OSI-Schicht zu:
Begriff
OSI-Schicht
MAC-Adresse
?
IP-Adresse
?
Portnummer
?
DNS
?
Kabel
?
Antwort anzeigen
Begriff
OSI-Schicht
MAC-Adresse
Schicht 2
IP-Adresse
Schicht 3
Portnummer
Schicht 4
DNS
Schicht 7
Kabel
Schicht 1
Merksatz:
MAC = lokal.
IP = logisch.
Port = Dienst.
DNS = Anwendung.
Kabel = Signal.
Aufgabe 2
Welche Aussage ist richtig?
A: Ein Switch arbeitet hauptsächlich mit IP-Adressen.
B: Ein Router arbeitet hauptsächlich mit MAC-Adressen.
C: Ein Switch arbeitet hauptsächlich mit MAC-Adressen.
D: DNS gehört zur Bitübertragungsschicht.
Antwort anzeigen
Richtig ist:
C: Ein Switch arbeitet hauptsächlich mit MAC-Adressen.
Begründung:
Ein Switch arbeitet hauptsächlich auf OSI-Schicht 2
und leitet Ethernet-Frames anhand von MAC-Adressen weiter.
Aufgabe 3
Welche Aussage beschreibt das TCP/IP-Modell am besten?
A: Es hat immer genau sieben Schichten.
B: Es ist ein praxisnahes Modell für reale Netzwerkkommunikation.
C: Es ersetzt IP-Adressen durch MAC-Adressen.
D: Es wird nur für WLAN verwendet.
Antwort anzeigen
Richtig ist:
B: Es ist ein praxisnahes Modell für reale Netzwerkkommunikation.
Begründung:
Das OSI-Modell ist ein theoretisches Referenzmodell mit sieben Schichten.
Das TCP/IP-Modell ist praxisnäher und wird zur Beschreibung realer Internetkommunikation genutzt.
Aufgabe 4
Ordne die TCP/IP-Schichten den OSI-Schichten zu.
TCP/IP-Schicht
OSI-Schichten
Anwendung
?
Transport
?
Internet
?
Netzzugang
?
Antwort anzeigen
TCP/IP-Schicht
OSI-Schichten
Anwendung
OSI 5 bis 7
Transport
OSI 4
Internet
OSI 3
Netzzugang
OSI 1 bis 2
Merksatz:
TCP/IP-Anwendung umfasst OSI-Sitzung,
Darstellung
und Anwendung.
Aufgabe 5
Ein Benutzer kann einen Server per IP-Adresse erreichen,
aber nicht per Namen.
Welches Thema ist am wahrscheinlichsten betroffen?
Antwort anzeigen
Wahrscheinlich betroffen:
DNS
Begründung:
Wenn die IP-Adresse erreichbar ist,
aber der Name nicht funktioniert,
ist die Grundverbindung wahrscheinlich vorhanden.
Das Problem liegt wahrscheinlich bei der Namensauflösung.
IHK-sichere Antwort:
Da die IP-Adresse erreichbar ist,
der Name aber nicht aufgelöst wird,
sollte DNS geprüft werden.
Aufgabe 6
Ein Client hat die Adresse:
169.254.12.34
Was bedeutet das typischerweise?
Antwort anzeigen
Das ist eine APIPA-Adresse.
Bedeutung:
Der Client hat wahrscheinlich keine gültige IP-Adresse von einem DHCP-Server erhalten.
Typische Ursachen:
DHCP-Server nicht erreichbar
falsches VLAN
DHCP-Scope erschöpft
DHCP-Relay fehlt
Netzwerkverbindung fehlerhaft
Merksatz:
169.254.x.x deutet auf DHCP-Problem hin.
Aufgabe 7
Ein Client erreicht Geräte im eigenen Netz,
aber keine Ziele im Internet.
Was sollte zuerst geprüft werden?
Antwort anzeigen
Zuerst prüfen:
Standardgateway
Weitere mögliche Ursachen:
Routing
NAT
Firewall
DNS bei Zugriff über Namen
Begründung:
Wenn lokale Kommunikation funktioniert,
aber externe Netze nicht erreichbar sind,
fehlt häufig der Weg aus dem eigenen Netz.
Merksatz:
Lokal ja,
extern nein:
Gateway prüfen.
Aufgabe 8
Was bedeutet Kapselung?
Antwort anzeigen
Kapselung bedeutet:
Beim Senden werden Daten von Schicht zu Schicht weitergegeben
und jede Schicht ergänzt eigene Steuerinformationen.
Beispiel:
Anwendungsdaten
werden zu TCP-Segmenten,
IP-Paketen,
Ethernet-Frames
und schließlich Bits.
IHK-sichere Kurzformulierung:
Kapselung beschreibt das Verpacken von Daten durch die einzelnen Netzwerkschichten.
Jede Schicht ergänzt eigene Informationen,
die für die Kommunikation auf dieser Schicht benötigt werden.
Aufgabe 9
Bringe die PDU-Begriffe in die richtige Reihenfolge von oben nach unten.
Bits
Paket
Daten
Frame
Segment
Antwort anzeigen
Richtige Reihenfolge von oben nach unten:
Daten
Segment
Paket
Frame
Bits
Zuordnung:
Schicht
PDU
Anwendung
Daten
Transport
Segment oder Datagramm
Vermittlung
Paket
Sicherung
Frame
Bitübertragung
Bits
Aufgabe 10
Welche OSI-Schicht ist betroffen,
wenn ein Netzwerkkabel defekt ist?
Antwort anzeigen
Betroffen ist:
OSI-Schicht 1
Begründung:
Ein defektes Kabel betrifft die physische Signalübertragung.
Merksatz:
Kabel,
Stecker,
Funk
und Signal gehören zu Schicht 1.
Aufgabe 11
Welche OSI-Schicht ist betroffen,
wenn ein Gerät im falschen VLAN ist?
Antwort anzeigen
Betroffen ist hauptsächlich:
OSI-Schicht 2
Begründung:
VLANs trennen Netzbereiche auf Layer 2.
Ein falsches VLAN kann dazu führen,
dass ein Gerät im falschen Broadcast-Bereich landet
oder eine falsche IP-Konfiguration erhält.
Aufgabe 12
Welche OSI-Schicht ist betroffen,
wenn die Subnetzmaske falsch ist?
Antwort anzeigen
Betroffen ist:
OSI-Schicht 3
Begründung:
IP-Adresse,
Subnetzmaske,
Gateway
und Routing gehören zur Vermittlungsschicht.
Merksatz:
IP-Konfiguration ist Schicht 3.
Aufgabe 13
Welche OSI-Schicht ist betroffen,
wenn TCP 443 durch eine Firewall blockiert wird?
Antwort anzeigen
Betroffen ist mindestens:
OSI-Schicht 4
Begründung:
TCP und Ports gehören zur Transportschicht.
TCP 443 ist der typische Port für HTTPS.
Wichtig:
Eine Firewall kann je nach Funktion auch auf mehreren Schichten arbeiten.
Aufgabe 14
Welche OSI-Schicht ist betroffen,
wenn ein TLS-Zertifikat abgelaufen ist?
Antwort anzeigen
Betroffen ist hauptsächlich:
OSI-Schicht 6
Begründung:
TLS,
Zertifikate
Verschlüsselung
und Darstellung gehören zur Darstellungsschicht.
Merksatz:
Zertifikatsfehler:
Schicht 6.
Aufgabe 15
Welche OSI-Schicht ist betroffen,
wenn ein Webserver HTTP 500 zurückgibt?
Antwort anzeigen
Betroffen ist hauptsächlich:
OSI-Schicht 7
Begründung:
HTTP ist ein Anwendungsprotokoll.
Ein HTTP-500-Fehler deutet auf einen serverseitigen Anwendungsfehler hin.
Merksatz:
HTTP-Statuscodes gehören zur Anwendungsschicht.
Aufgabe 16
Welche Aussage zu ping ist richtig?
A: ping prüft immer,
ob eine Webseite funktioniert.
B: ping prüft ICMP-Erreichbarkeit.
C: ping prüft,
ob TCP 443 offen ist.
D: ping ersetzt einen DNS-Test.
Antwort anzeigen
Richtig ist:
B: ping prüft ICMP-Erreichbarkeit.
Begründung:
ping nutzt ICMP.
Ein erfolgreicher ping bedeutet nicht automatisch,
dass ein bestimmter Dienst wie HTTPS,
SSH
oder SMB funktioniert.
Merksatz:
ping ist kein Diensttest.
Aufgabe 17
Was ist der Unterschied zwischen Authentifizierung und Autorisierung?
Antwort anzeigen
Authentifizierung:
Prüfung der Identität.
Beispiel:
Benutzer meldet sich mit Passwort und MFA an.
Autorisierung:
Prüfung der Berechtigung.
Beispiel:
Benutzer darf eine Datei lesen oder nicht.
Merksatz:
Authentifizierung:
Wer bist du?
Autorisierung:
Was darfst du?
Aufgabe 18
Ein Benutzer kann sich anmelden,
aber nicht auf eine Datei zugreifen.
Was ist wahrscheinlicher:
Authentifizierungsproblem oder Autorisierungsproblem?
Antwort anzeigen
Wahrscheinlicher ist:
Autorisierungsproblem
Begründung:
Die Anmeldung funktioniert bereits.
Das Problem liegt daher wahrscheinlich bei Berechtigungen,
Gruppen,
ACLs,
Freigaberechten
oder Dateisystemrechten.
Merksatz:
Login ja,
Zugriff nein:
Rechte prüfen.
Aufgabe 19
Was ist der Unterschied zwischen TCP und UDP?
Antwort anzeigen
TCP:
verbindungsorientiert
zuverlässig
bestätigt Daten
stellt Reihenfolge sicher
mehr Overhead
UDP:
verbindungslos
schneller
weniger Overhead
keine eingebaute Zustellgarantie
Beispiele:
TCP
UDP
HTTPS
DNS
SSH
DHCP
SMTP
VoIP
SMB
NTP
Merksatz:
TCP = zuverlässig.
UDP = schnell und schlank.
Aufgabe 20
Was macht ARP?
Antwort anzeigen
ARP steht für:
Address Resolution Protocol
Aufgabe:
ARP löst im lokalen IPv4-Netz eine IP-Adresse in eine MAC-Adresse auf.
Beispiel:
Ein Client möchte sein Gateway erreichen.
Dafür benötigt er die MAC-Adresse des Gateways.
Diese ermittelt er mit ARP.
Merksatz:
ARP findet MAC-Adressen im lokalen IPv4-Netz.
Aufgabe 21
Ein Host möchte ein Ziel außerhalb des eigenen Subnetzes erreichen.
Welche MAC-Adresse wird im lokalen Ethernet-Frame verwendet?
Antwort anzeigen
Verwendet wird:
die MAC-Adresse des Standardgateways
Begründung:
Das IP-Ziel bleibt der entfernte Zielhost.
Aber lokal wird das Frame an den nächsten Hop gesendet,
also an das Gateway.
Merksatz:
IP zeigt zum Endziel.
MAC zeigt zum nächsten lokalen Hop.
Aufgabe 22
Was ist der Unterschied zwischen Switch und Router?
Antwort anzeigen
Switch:
arbeitet hauptsächlich auf Schicht 2
leitet Frames anhand von MAC-Adressen weiter
verbindet Geräte im lokalen Netz
Router:
arbeitet auf Schicht 3
leitet Pakete anhand von IP-Adressen weiter
verbindet unterschiedliche IP-Netze
Merksatz:
Switch verbindet lokal.
Router verbindet Netze.
Aufgabe 23
Was ist der Unterschied zwischen VLAN und Subnetz?
Antwort anzeigen
VLAN:
logische Trennung auf Schicht 2
Subnetz:
logische IP-Aufteilung auf Schicht 3
Wichtig:
In der Praxis wird einem VLAN häufig ein eigenes IP-Subnetz zugeordnet.
Fachlich sind VLAN und Subnetz aber nicht dasselbe.
Merksatz:
VLAN = Layer 2.
Subnetz = Layer 3.
Aufgabe 24
Warum braucht man Inter-VLAN-Routing?
Antwort anzeigen
VLANs sind voneinander getrennte Layer-2-Bereiche.
Damit Geräte aus unterschiedlichen VLANs miteinander kommunizieren können,
braucht man Routing zwischen diesen Netzen.
Das nennt man:
Inter-VLAN-Routing
Möglich über:
Router
Layer-3-Switch
Firewall
Merksatz:
VLANs trennen.
Routing verbindet gezielt.
Aufgabe 25
Was ist der Unterschied zwischen NAT und Firewall?
Antwort anzeigen
NAT:
übersetzt IP-Adressen
Firewall:
erlaubt oder blockiert Verkehr anhand von Regeln
Wichtig:
Viele Geräte kombinieren NAT und Firewall.
Fachlich bleiben es unterschiedliche Funktionen.
Merksatz:
NAT übersetzt.
Firewall filtert.
Aufgabe 26
Was ist PAT?
Antwort anzeigen
PAT steht für:
Port Address Translation
PAT ist eine Form von NAT,
bei der zusätzlich Ports genutzt werden,
um viele interne Verbindungen über eine öffentliche IP-Adresse zu unterscheiden.
Merksatz:
PAT nutzt Ports zur Zuordnung mehrerer Verbindungen.
Aufgabe 27
Warum ist eine Any-to-Any-Firewall-Regel kritisch?
Antwort anzeigen
Any-to-Any ist kritisch,
weil dadurch jede Quelle zu jedem Ziel kommunizieren darf.
Risiken:
große Angriffsfläche
schlechte Nachvollziehbarkeit
Umgehung von Sicherheitszonen
unnötige Freigaben
Besser:
genaue Regeln mit Quelle,
Ziel,
Port,
Protokoll
und Zweck.
Merksatz:
Firewall-Regeln so genau wie möglich formulieren.
Aufgabe 28
Was bedeutet Default Deny?
Antwort anzeigen
Default Deny bedeutet:
Standardmäßig ist Verkehr verboten.
Nur ausdrücklich erlaubter Verkehr wird zugelassen.
Vorteil:
bessere Kontrolle
kleinere Angriffsfläche
weniger ungewollte Freigaben
Merksatz:
Erst blockieren,
dann gezielt erlauben.
Aufgabe 29
Was ist der Unterschied zwischen RPO und RTO?
Antwort anzeigen
RPO:
Recovery Point Objective
maximal akzeptabler Datenverlust
RTO:
Recovery Time Objective
maximal akzeptable Wiederherstellungszeit
Merksatz:
RPO = Datenverlust.
RTO = Zeit bis Wiederherstellung.
Aufgabe 30
Warum ersetzt ein Snapshot kein Backup?
Antwort anzeigen
Ein Snapshot ersetzt kein Backup,
weil er oft auf demselben Speicher oder System liegt wie die Produktivdaten.
Risiken:
Speicherdefekt betrifft Snapshot ebenfalls
Ransomware kann Snapshot erreichen
Snapshot kann gelöscht werden
Speicherplatz kann volllaufen
Merksatz:
Snapshot ist Momentaufnahme,
aber kein vollständiges Backup-Konzept.
Aufgabe 31
Ordne die Angriffe dem passenden Schutzziel zu.
Angriff
Schutzziel
DDoS
?
Datenabfluss
?
Manipulation einer Konfigurationsdatei
?
Ransomware
?
Antwort anzeigen
Angriff
Schutzziel
DDoS
Verfügbarkeit
Datenabfluss
Vertraulichkeit
Manipulation einer Konfigurationsdatei
Integrität
Ransomware
Verfügbarkeit, bei Datenabfluss auch Vertraulichkeit
Merksatz:
Erst Schutzziel erkennen,
dann Maßnahme auswählen.
Aufgabe 32
Was ist der Unterschied zwischen IDS und IPS?
Antwort anzeigen
IDS:
Intrusion Detection System
erkennt und meldet Angriffe
IPS:
Intrusion Prevention System
erkennt und blockiert Angriffe zusätzlich
Merksatz:
IDS meldet.
IPS blockiert.
Aufgabe 33
Was bedeutet Least Privilege?
Antwort anzeigen
Least Privilege bedeutet:
Benutzer,
Dienste
und Prozesse erhalten nur die Rechte,
die sie für ihre Aufgabe wirklich benötigen.
Ziel:
Schaden bei Fehlern oder Angriffen begrenzen.
Merksatz:
So wenig Rechte wie möglich,
so viele wie nötig.
Aufgabe 34
Was bedeutet MFA?
Antwort anzeigen
MFA steht für:
Multi-Faktor-Authentifizierung
Dabei werden mehrere Faktoren kombiniert.
Beispiele:
Wissen:
Passwort
Besitz:
Smartphone,
Token,
Smartcard
Sein:
biometrisches Merkmal
Merksatz:
MFA sorgt dafür,
dass ein Passwort allein nicht reicht.
Aufgabe 35
Was ist der Unterschied zwischen Brute Force,
Password Spraying
und Credential Stuffing?
Antwort anzeigen
Brute Force:
viele Passwortversuche gegen ein Konto oder Ziel
Password Spraying:
ein häufiges Passwort gegen viele Konten
Credential Stuffing:
bereits geleakte Zugangsdaten werden bei anderen Diensten getestet
Merksatz:
Brute Force:
viele Versuche.
Password Spraying:
ein Passwort,
viele Konten.
Credential Stuffing:
geleakte Zugangsdaten.
Aufgabe 36
Was bedeutet Hardening?
Antwort anzeigen
Hardening bedeutet:
ein System sicherer zu konfigurieren,
indem unnötige Funktionen deaktiviert
und Angriffsflächen reduziert werden.
Beispiele:
unnötige Dienste deaktivieren
Standardpasswörter ändern
unsichere Protokolle abschalten
Rechte begrenzen
Logging aktivieren
Updates einspielen
Merksatz:
Hardening verringert die Angriffsfläche.
Aufgabe 37
Was ist der Unterschied zwischen IaaS,
PaaS
und SaaS?
Antwort anzeigen
IaaS:
Infrastructure as a Service
virtuelle Infrastruktur,
zum Beispiel virtuelle Maschinen,
Netzwerk
und Speicher
PaaS:
Platform as a Service
verwaltete Plattform für Anwendungen
SaaS:
Software as a Service
fertige Anwendung aus der Cloud
Merksatz:
IaaS = Infrastruktur.
PaaS = Plattform.
SaaS = Software.
Aufgabe 38
Was bedeutet Shared Responsibility in der Cloud?
Antwort anzeigen
Shared Responsibility bedeutet:
Cloud-Anbieter und Kunde teilen sich die Verantwortung.
Typisch:
Anbieter schützt die Cloud-Infrastruktur.
Kunde schützt Daten,
Identitäten,
Zugriffsrechte,
Konfigurationen
und Anwendungen je nach Modell.
Merksatz:
Cloud bedeutet geteilte Verantwortung.
Aufgabe 39
Welche Antwort ist besser?
Aufgabe:
Ein Client erreicht die Webseite per IP-Adresse,
aber nicht per Namen.
Nennen Sie eine wahrscheinliche Ursache.
Antwort A:
Internet kaputt.
Antwort B:
Wahrscheinlich liegt ein DNS-Problem vor,
weil die IP-Adresse erreichbar ist,
der Name aber nicht aufgelöst wird.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort nennt eine wahrscheinliche Ursache
und begründet sie mit dem Fehlerbild.
Merksatz:
Ursache,
Begründung,
Prüfung.
Aufgabe 40
Welche Antwort ist besser?
Aufgabe:
Warum sollte RDP nicht direkt aus dem Internet erreichbar sein?
Antwort A:
Weil das nicht gut ist.
Antwort B:
RDP ist ein häufiges Angriffsziel für Brute-Force-Angriffe und Exploits.
Sicherer ist der Zugriff über VPN oder RDP-Gateway mit MFA und Firewall-Beschränkung.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort nennt ein konkretes Risiko
und passende Schutzmaßnahmen.
Merksatz:
Sicherheitsantwort:
Risiko,
Maßnahme,
Wirkung.
Mini-Prüfung: 10 schnelle Zuordnungen
Frage
Antwort
DNS gehört zu welcher OSI-Schicht?
Schicht 7
TCP gehört zu welcher OSI-Schicht?
Schicht 4
IP gehört zu welcher OSI-Schicht?
Schicht 3
MAC gehört zu welcher OSI-Schicht?
Schicht 2
Kabel gehört zu welcher OSI-Schicht?
Schicht 1
HTTPS nutzt typischerweise welchen Port?
TCP 443
SSH nutzt typischerweise welchen Port?
TCP 22
SMB nutzt typischerweise welchen Port?
TCP 445
DHCP nutzt welche Ports?
UDP 67 und 68
DNS nutzt welchen Port?
UDP/TCP 53
Mini-Prüfung: Fehlerbild erkennen
Fehlerbild
Wahrscheinlichstes Thema
IP geht, Name nicht
DNS
169.254.x.x
DHCP
lokal geht, extern nicht
Gateway, Routing, NAT oder Firewall
Host erreichbar, Dienst nicht
Port, Dienst oder Firewall
Login geht, Zugriff nicht
Autorisierung / Rechte
Anmeldung scheitert
Authentifizierung
Zertifikatswarnung
TLS/Zertifikat
nach Update defekt
Change prüfen
Daten verschlüsselt und Lösegeldforderung
Ransomware
sehr viele Loginversuche
Brute Force
IHK-sichere Kurzformulierung
Das OSI-Modell hilft, Netzwerkkommunikation und Fehler systematisch einzuordnen. Schicht 1 betrifft Signale und Medien, Schicht 2 lokale Kommunikation mit MAC-Adressen, Schicht 3 IP-Adressierung und Routing, Schicht 4 Transport mit TCP, UDP und Ports und Schicht 7 Anwendungsprotokolle wie DNS, DHCP und HTTP. Das TCP/IP-Modell ist praxisnäher und fasst mehrere OSI-Schichten zusammen. Bei der Fehlersuche sollte man Fehlerbilder auswerten: IP erreichbar, Name nicht deutet auf DNS hin; 169.254.x.x deutet auf DHCP hin; lokal erreichbar, extern nicht deutet auf Gateway, Routing, NAT oder Firewall hin. Gute Prüfungsantworten nennen Ursache, Begründung und passende Prüfung oder Maßnahme.
Merksätze
OSI ist das Denkmodell.
TCP/IP ist das Praxismodell.
Schicht 1:
Signal.
Schicht 2:
MAC und VLAN.
Schicht 3:
IP und Routing.
Schicht 4:
TCP,
UDP
und Ports.
Schicht 7:
Dienste und Anwendungen.
MAC ist lokal.
IP ist logisch.
Port ist Dienstzuordnung.
DNS löst Namen auf.
DHCP verteilt IP-Konfiguration.
Gateway führt in andere Netze.
NAT übersetzt Adressen.
Firewall filtert Verkehr.
ping prüft ICMP,
nicht den Dienst.
IP ja,
Name nein:
DNS.
169.254.x.x:
DHCP.
Lokal ja,
extern nein:
Gateway prüfen.
Host ja,
Dienst nein:
Port prüfen.
Login ja,
Zugriff nein:
Rechte prüfen.
TCP ist zuverlässig.
UDP ist schnell und verbindungslos.
ARP löst IPv4 zu MAC auf.
VLAN trennt logisch.
Routing verbindet Netze.
Backup ohne Restore-Test ist unsicher.
RPO ist Datenverlust.
RTO ist Wiederherstellungszeit.
IDS meldet.
IPS blockiert.
MFA schützt gegen Passwortmissbrauch.
Least Privilege begrenzt Rechte.
Hardening reduziert Angriffsfläche.
Gute Prüfungsantwort:
Ursache,
Begründung,
Prüfung.
20.2 Trainer – Schicht 1 / Übertragungsmedien, Verkabelung
Diese Trainer-Seite wiederholt Übertragungsmedien,
Verkabelung,
Signalqualität
und die OSI-Schicht 1.
Ziel ist,
typische Prüfungsfragen zu Kabeln,
LWL,
WLAN,
Dämpfung,
Duplex,
Auto-Negotiation
und physikalischer Fehlersuche sicher zu beantworten.
Merksatz:
Schicht 1 fragt:
Kommt überhaupt ein Signal an?
Lernziele
Nach dieser Seite solltest du sicher können:
- Kupfer,
LWL
und WLAN unterscheiden
- Koaxialkabel,
Twisted Pair
und Glasfaser einordnen
- Dämpfung erklären
- Duplex und Auto-Negotiation erklären
- typische Schicht-1-Fehler erkennen
- passende Prüfmaßnahmen nennen
- Übertragungsmedien nach Einsatzzweck auswählen
Kurzüberblick: Übertragungsmedien
Medium
Signalart
Typische Nutzung
Twisted Pair
elektrisch
LAN-Verkabelung
Koaxialkabel
elektrisch
ältere Netze, Kabelanschluss, Antennentechnik
Lichtwellenleiter
optisch
hohe Bandbreite, lange Strecken
WLAN
Funk
drahtlose Netzwerkverbindung
Merksatz:
Kupfer überträgt elektrisch.
LWL überträgt optisch.
WLAN überträgt per Funk.
Kurzüberblick: OSI-Schicht 1
OSI-Schicht 1 heißt:
Bitübertragungsschicht
Aufgabe:
Bits als Signale übertragen.
Typische Themen:
Kabel
Stecker
Funk
Licht
elektrische Signale
Dämpfung
Störungen
Link
Geschwindigkeit
Duplex
Auto-Negotiation
Merksatz:
Schicht 1 kümmert sich um die physische Übertragung.
Aufgabe 1
Welche OSI-Schicht ist betroffen,
wenn ein Netzwerkkabel defekt ist?
Antwort anzeigen
Betroffen ist:
OSI-Schicht 1
Begründung:
Ein defektes Kabel betrifft die physische Signalübertragung.
Kabel,
Stecker,
Funk,
Licht
und elektrische Signale gehören zur Bitübertragungsschicht.
Merksatz:
Kabelproblem = Schicht 1.
Aufgabe 2
Ordne die Medien der richtigen Signalart zu.
Medium
Signalart
Twisted Pair
?
Lichtwellenleiter
?
WLAN
?
Koaxialkabel
?
Antwort anzeigen
Medium
Signalart
Twisted Pair
elektrisch
Lichtwellenleiter
optisch
WLAN
Funk
Koaxialkabel
elektrisch
Merksatz:
Kupfer elektrisch,
Glasfaser optisch,
WLAN Funk.
Aufgabe 3
Was ist Twisted-Pair-Kabel?
Antwort anzeigen
Twisted-Pair-Kabel ist ein Kupferkabel,
bei dem Adernpaare miteinander verdrillt sind.
Ziel der Verdrillung:
Störungen reduzieren
Übersprechen verringern
Signalqualität verbessern
Typische Nutzung:
Ethernet-LAN
Merksatz:
Twisted Pair = verdrillte Kupferadern für LAN.
Aufgabe 4
Warum sind die Adernpaare bei Twisted-Pair-Kabeln verdrillt?
Antwort anzeigen
Die Adernpaare sind verdrillt,
um elektromagnetische Störungen und Übersprechen zu reduzieren.
Dadurch wird die Signalqualität verbessert.
Merksatz:
Verdrillung schützt vor Störungen.
Aufgabe 5
Welche Aussage ist richtig?
A: LWL überträgt Daten elektrisch.
B: Twisted Pair überträgt Daten optisch.
C: LWL überträgt Daten mit Licht.
D: WLAN nutzt MAC-Adressen nicht.
Antwort anzeigen
Richtig ist:
C: LWL überträgt Daten mit Licht.
Begründung:
Lichtwellenleiter übertragen Signale optisch
und eignen sich besonders für hohe Bandbreiten
und lange Strecken.
Aufgabe 6
Nenne zwei Vorteile von Lichtwellenleitern gegenüber Kupferkabeln.
Antwort anzeigen
Mögliche Vorteile:
hohe Bandbreite
große Reichweite
unempfindlicher gegen elektromagnetische Störungen
galvanische Trennung
schwerer unbemerkt abzuhören als Kupfer
IHK-sichere Antwort:
Lichtwellenleiter ermöglichen hohe Übertragungsraten über lange Strecken
und sind unempfindlich gegenüber elektromagnetischen Störungen.
Aufgabe 7
Nenne zwei Nachteile von Lichtwellenleitern.
Antwort anzeigen
Mögliche Nachteile:
empfindlicher gegenüber Knicken
aufwendigere Montage
spezielle Spleiß- oder Stecktechnik nötig
oft teurere aktive Komponenten
Verschmutzung an Steckern kann Probleme verursachen
Merksatz:
LWL ist leistungsfähig,
aber empfindlich bei Montage und Handhabung.
Aufgabe 8
Was ist Dämpfung?
Antwort anzeigen
Dämpfung bedeutet:
Das Signal wird auf dem Übertragungsweg schwächer.
Ursachen:
Kabellänge
schlechte Stecker
Knicke
schlechte Spleiße
Störungen
minderwertiges Kabel
Verschmutzung bei LWL
Merksatz:
Dämpfung = Signalverlust auf dem Weg.
Aufgabe 9
Welche Folge kann zu hohe Dämpfung haben?
Antwort anzeigen
Mögliche Folgen:
Verbindungsabbrüche
Paketverluste
geringere Übertragungsrate
instabile Verbindung
kein Link
hohe Fehlerrate
Merksatz:
Zu viel Dämpfung macht Verbindungen langsam,
instabil
oder unmöglich.
Aufgabe 10
Was bedeutet „Link“ bei einer Netzwerkschnittstelle?
Antwort anzeigen
Link bedeutet:
Die physische Verbindung zwischen zwei Netzwerkkomponenten ist erkannt.
Beispiel:
Netzwerkkarte und Switchport erkennen,
dass eine Verbindung besteht.
Wichtig:
Link vorhanden heißt nicht automatisch,
dass IP,
DNS
oder Anwendung funktionieren.
Merksatz:
Link bedeutet physische Verbindung,
nicht vollständige Netzwerkfunktion.
Aufgabe 11
Ein Switchport zeigt keinen Link.
Nenne vier mögliche Ursachen.
Antwort anzeigen
Mögliche Ursachen:
Kabel defekt
Stecker nicht richtig eingesteckt
falscher Port
Netzwerkkarte deaktiviert
Switchport deaktiviert
Gegenstelle ausgeschaltet
falsches oder beschädigtes Patchkabel
SFP-Modul defekt
LWL-Stecker verschmutzt
Merksatz:
Kein Link:
zuerst Schicht 1 prüfen.
Aufgabe 12
Was bedeutet Half-Duplex?
Antwort anzeigen
Half-Duplex bedeutet:
Ein Gerät kann senden oder empfangen,
aber nicht gleichzeitig beides.
Beispiel:
Funkgerät-Prinzip:
Einer spricht,
der andere hört.
Merksatz:
Half-Duplex = nicht gleichzeitig senden und empfangen.
Aufgabe 13
Was bedeutet Full-Duplex?
Antwort anzeigen
Full-Duplex bedeutet:
Ein Gerät kann gleichzeitig senden und empfangen.
Typisch bei:
modernen Ethernet-Verbindungen über Switches
Merksatz:
Full-Duplex = gleichzeitig senden und empfangen.
Aufgabe 14
Warum ist ein Duplex-Mismatch problematisch?
Antwort anzeigen
Ein Duplex-Mismatch entsteht,
wenn eine Seite Full-Duplex
und die andere Seite Half-Duplex verwendet.
Folgen:
schlechte Performance
Kollisionen
Paketverluste
viele Fehler auf dem Interface
langsame oder instabile Verbindung
Merksatz:
Duplex-Mismatch verursacht oft schwer erkennbare Performance-Probleme.
Aufgabe 15
Was bedeutet Auto-Negotiation?
Antwort anzeigen
Auto-Negotiation bedeutet:
Netzwerkgeräte handeln automatisch Geschwindigkeit
und Duplexmodus aus.
Beispiel:
1 Gbit/s Full-Duplex
Vorteil:
weniger manuelle Konfiguration
Problem:
Fehlkonfiguration oder alte Geräte können falsche Werte aushandeln.
Merksatz:
Auto-Negotiation handelt Geschwindigkeit und Duplex aus.
Aufgabe 16
Welche Angaben gehören typischerweise zu einer Schicht-1-Prüfung?
Antwort anzeigen
Typische Prüfungen:
Kabel korrekt gesteckt?
Link vorhanden?
Port aktiv?
Gegenstelle eingeschaltet?
richtige Geschwindigkeit?
richtiger Duplexmodus?
Kabel beschädigt?
Stecker beschädigt?
LWL sauber?
WLAN-Signal ausreichend?
Merksatz:
Schicht 1 prüft Medium,
Signal
und Verbindung.
Aufgabe 17
Was ist der Unterschied zwischen einem Hub und einem Switch?
Antwort anzeigen
Hub:
arbeitet vereinfacht auf Schicht 1
sendet eingehende Bits an alle Ports weiter
keine MAC-Adresstabelle
gemeinsame Kollisionsdomäne
Switch:
arbeitet hauptsächlich auf Schicht 2
lernt MAC-Adressen
leitet Frames gezielt weiter
Merksatz:
Hub verteilt blind.
Switch leitet gezielt.
Aufgabe 18
Was ist ein Repeater?
Antwort anzeigen
Ein Repeater verstärkt oder regeneriert Signale,
damit sie über größere Strecken übertragen werden können.
Typische Schicht:
OSI-Schicht 1
Merksatz:
Repeater verlängert physische Signalübertragung.
Aufgabe 19
Was ist ein Medienkonverter?
Antwort anzeigen
Ein Medienkonverter verbindet unterschiedliche Übertragungsmedien.
Beispiel:
Kupfer-Ethernet
zu
Glasfaser
Typischer Einsatz:
Übergang von Twisted Pair auf LWL
Merksatz:
Medienkonverter verbindet Kupfer und LWL.
Aufgabe 20
Was ist ein SFP-Modul?
Antwort anzeigen
SFP steht für:
Small Form-factor Pluggable
Ein SFP-Modul ist ein steckbares Transceiver-Modul,
zum Beispiel für Glasfaser- oder Kupferverbindungen.
Typische Nutzung:
Switches
Router
Firewalls
Servernetzwerkkarten
Merksatz:
SFP ist ein steckbares Modul für Netzwerkverbindungen.
Aufgabe 21
Warum kann ein verschmutzter LWL-Stecker Probleme verursachen?
Antwort anzeigen
Ein verschmutzter LWL-Stecker kann das Lichtsignal dämpfen oder stören.
Folgen:
hohe Fehlerrate
instabile Verbindung
niedrige Signalqualität
kein Link
Merksatz:
LWL-Stecker müssen sauber sein,
weil Licht präzise übertragen wird.
Aufgabe 22
Was ist der Unterschied zwischen Singlemode und Multimode bei LWL?
Antwort anzeigen
Singlemode:
für sehr lange Strecken geeignet
kleiner Faserkern
meist Laserlicht
Multimode:
eher für kürzere Strecken im Gebäude oder Rechenzentrum
größerer Faserkern
meist kürzere Reichweite als Singlemode
Merksatz:
Singlemode für lange Strecken.
Multimode für kürzere Strecken.
Aufgabe 23
Welche Aussage ist richtig?
A: Multimode ist immer besser als Singlemode.
B: Singlemode eignet sich eher für lange Strecken.
C: LWL ist stärker von elektromagnetischen Störungen betroffen als Kupfer.
D: LWL nutzt elektrische Signale.
Antwort anzeigen
Richtig ist:
B: Singlemode eignet sich eher für lange Strecken.
Begründung:
Singlemode-LWL wird typischerweise für größere Entfernungen verwendet,
während Multimode häufig für kürzere Strecken genutzt wird.
Aufgabe 24
Was bedeutet strukturierte Verkabelung?
Antwort anzeigen
Strukturierte Verkabelung bedeutet:
eine geplante,
normierte
und dokumentierte Verkabelungsstruktur in Gebäuden oder Standorten.
Typische Bereiche:
Primärbereich:
Standort- oder Gebäudeanbindung
Sekundärbereich:
Steigbereich zwischen Etagen
Tertiärbereich:
Etagenverkabelung bis zum Arbeitsplatz
Merksatz:
Strukturierte Verkabelung sorgt für Ordnung,
Erweiterbarkeit
und Wartbarkeit.
Aufgabe 25
Ordne die Bereiche der strukturierten Verkabelung zu.
Bereich
Bedeutung
Primärbereich
?
Sekundärbereich
?
Tertiärbereich
?
Antwort anzeigen
Bereich
Bedeutung
Primärbereich
Standort- oder Gebäudeanbindung
Sekundärbereich
Steigbereich zwischen Etagen
Tertiärbereich
Etagenverkabelung bis zum Arbeitsplatz
Merksatz:
Primär weit,
Sekundär Etagen,
Tertiär Arbeitsplatz.
Aufgabe 26
Was ist ein Patchpanel?
Antwort anzeigen
Ein Patchpanel ist ein Verteilerfeld,
an dem feste Gebäudeverkabelung endet.
Von dort werden Verbindungen mit Patchkabeln zum Switch hergestellt.
Vorteil:
übersichtliche Verkabelung
einfache Änderungen
bessere Dokumentation
Merksatz:
Patchpanel verbindet feste Verkabelung mit flexibler Patchung.
Aufgabe 27
Was ist der Unterschied zwischen Installationskabel und Patchkabel?
Antwort anzeigen
Installationskabel:
fest verlegt
meist in Wänden,
Kabelkanälen
oder Gebäudestruktur
Patchkabel:
flexible kurze Verbindung
zum Beispiel zwischen Patchpanel und Switch
oder zwischen Netzwerkdose und Endgerät
Merksatz:
Installationskabel fest.
Patchkabel flexibel.
Aufgabe 28
Was ist WLAN als Übertragungsmedium?
Antwort anzeigen
WLAN ist ein drahtloses Übertragungsmedium.
Es nutzt Funkwellen,
um Daten zwischen Endgeräten und Access Points zu übertragen.
Typische Vorteile:
Mobilität
flexible Nutzung
weniger Kabelbedarf
Typische Nachteile:
Störungen
geteiltes Medium
Reichweitenbegrenzung
Sicherheitsrisiken bei falscher Konfiguration
Merksatz:
WLAN ist flexibel,
aber störanfälliger als Kabel.
Aufgabe 29
Warum ist WLAN ein geteiltes Medium?
Antwort anzeigen
WLAN ist ein geteiltes Medium,
weil mehrere Geräte denselben Funkkanal verwenden können.
Folge:
Geräte müssen sich die verfügbare Funkzeit teilen.
Dadurch können entstehen:
geringere Datenrate pro Gerät
höhere Latenz
Kollisionen oder Wartezeiten
Leistungseinbruch bei vielen Clients
Merksatz:
WLAN-Bandbreite wird geteilt.
Aufgabe 30
Nenne vier typische Ursachen für schlechtes WLAN.
Antwort anzeigen
Mögliche Ursachen:
zu große Entfernung zum Access Point
Wände oder Hindernisse
Störungen durch andere Funknetze
zu viele Clients
falscher Kanal
schlechte Access-Point-Position
alte WLAN-Standards
schlechte Antennenausrichtung
zu hohe oder zu niedrige Sendeleistung
Merksatz:
WLAN-Probleme hängen oft mit Signal,
Störung,
Kanal
und Auslastung zusammen.
Aufgabe 31
Was bedeutet MIMO?
Antwort anzeigen
MIMO steht für:
Multiple Input Multiple Output
Bedeutung:
Mehrere Antennen werden genutzt,
um Datenübertragung zu verbessern.
Vorteile:
höhere Datenrate
bessere Funkleistung
bessere Ausnutzung des Funkkanals
Merksatz:
MIMO nutzt mehrere Antennen.
Aufgabe 32
Was ist der Unterschied zwischen MIMO und MU-MIMO?
Antwort anzeigen
MIMO:
mehrere Antennen für bessere Übertragung
MU-MIMO:
Multi User MIMO
Access Point kann mehrere Clients effizienter gleichzeitig bedienen
Merksatz:
MU-MIMO verbessert die Bedienung mehrerer Nutzer.
Aufgabe 33
Was ist EIRP?
Antwort anzeigen
EIRP steht für:
Equivalent Isotropically Radiated Power
Bedeutung:
effektive abgestrahlte Sendeleistung bezogen auf einen isotropen Strahler.
Wichtig bei WLAN:
gesetzliche Grenzwerte
Antennengewinn
Sendeleistung
Merksatz:
EIRP beschreibt die wirksame abgestrahlte Leistung.
Aufgabe 34
Was bedeutet dB oder Dezibel?
Antwort anzeigen
Dezibel ist eine logarithmische Einheit,
mit der Verhältnisse beschrieben werden.
In Netzwerken und Funktechnik wird dB genutzt für:
Dämpfung
Verstärkung
Antennengewinn
Signalpegel
Merksatz:
dB beschreibt Verhältnisse,
nicht einfach normale lineare Werte.
Aufgabe 35
Welche Aussage zu WLAN-Sicherheit ist richtig?
A: Ein versteckter WLAN-Name ersetzt Verschlüsselung.
B: WPA2 oder WPA3 schützt WLAN besser als offenes WLAN.
C: MAC-Filter allein ist eine starke Sicherheitsmaßnahme.
D: Gäste sollten immer im internen VLAN sein.
Antwort anzeigen
Richtig ist:
B: WPA2 oder WPA3 schützt WLAN besser als offenes WLAN.
Begründung:
WLAN sollte verschlüsselt und sicher authentifiziert werden.
Gäste sollten getrennt vom internen Netz betrieben werden.
Merksatz:
WLAN-Sicherheit braucht Verschlüsselung,
starke Zugangsdaten
und Netztrennung.
Aufgabe 36
Warum sollte ein Gast-WLAN getrennt vom internen Netz sein?
Antwort anzeigen
Ein Gast-WLAN sollte getrennt sein,
damit Gäste nicht auf interne Systeme zugreifen können.
Schutz:
interne Server
Clients
Drucker
Managementoberflächen
sensible Daten
Typische Umsetzung:
eigenes VLAN
Firewall-Regeln
nur Internetzugriff erlauben
Merksatz:
Gast-WLAN gehört nicht ins interne Netz.
Aufgabe 37
Ein Arbeitsplatz hat keine Netzwerkverbindung.
Nenne eine sinnvolle Prüf-Reihenfolge auf Schicht 1.
Antwort anzeigen
Sinnvolle Reihenfolge:
1. Kabel steckt korrekt?
2. Link-LED aktiv?
3. anderes Patchkabel testen?
4. anderen Switchport testen?
5. Netzwerkdose prüfen?
6. Endgerät-Netzwerkkarte aktiv?
7. Switchport administrativ aktiv?
8. Geschwindigkeit und Duplex prüfen?
Merksatz:
Bei „keine Verbindung“ zuerst physisch prüfen.
Aufgabe 38
Ein Server hat Link,
aber die Verbindung ist extrem langsam und instabil.
Welche Schicht-1-Themen können Ursache sein?
Antwort anzeigen
Mögliche Ursachen:
defektes Kabel
schlechte Steckverbindung
Duplex-Mismatch
falsche Geschwindigkeit
hohe Dämpfung
Störungen
beschädigter Port
fehlerhaftes SFP-Modul
LWL-Stecker verschmutzt
Merksatz:
Link vorhanden heißt nicht,
dass die Signalqualität gut ist.
Aufgabe 39
Welche Antwort ist besser?
Aufgabe:
Ein Client hat keine Netzwerkverbindung.
Nennen Sie eine erste sinnvolle Prüfmaßnahme.
Antwort A:
Server neu installieren.
Antwort B:
Zuerst sollte geprüft werden,
ob die physische Verbindung besteht,
also Kabel,
Stecker,
Link-LED
und Switchport.
Antwort anzeigen
B ist besser.
Begründung:
Bei fehlender Netzwerkverbindung beginnt die Fehlersuche auf Schicht 1.
Erst wenn Link und physische Verbindung passen,
werden IP,
Gateway,
DNS
und Dienste geprüft.
Merksatz:
Erst Schicht 1,
dann höhere Schichten.
Aufgabe 40
Welche Antwort ist besser?
Aufgabe:
Warum kann LWL sinnvoller sein als Kupfer?
Antwort A:
Weil Glasfaser moderner ist.
Antwort B:
LWL ist für hohe Bandbreiten und lange Strecken geeignet
und unempfindlich gegenüber elektromagnetischen Störungen.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort nennt konkrete technische Vorteile
und ist damit prüfungssicherer.
Merksatz:
Nicht „moderner“ schreiben,
sondern technischen Nutzen nennen.
Mini-Prüfung: schnelle Zuordnung
Frage
Antwort
Welche OSI-Schicht ist für Kabel und Signale zuständig?
Schicht 1
Wie heißt OSI-Schicht 1?
Bitübertragungsschicht
Welches Medium nutzt Licht?
LWL
Welches Medium nutzt Funk?
WLAN
Welches Medium nutzt elektrische Signale?
Kupfer
Was bedeutet Dämpfung?
Signalverlust
Was bedeutet Full-Duplex?
gleichzeitig senden und empfangen
Was bedeutet Half-Duplex?
senden oder empfangen, nicht gleichzeitig
Was macht Auto-Negotiation?
Geschwindigkeit und Duplex automatisch aushandeln
Was verbindet Kupfer und LWL?
Medienkonverter
Was ist ein SFP?
steckbares Transceiver-Modul
Was ist ein Patchpanel?
Verteilerfeld für Gebäudeverkabelung
Mini-Prüfung: Fehlerbild erkennen
Fehlerbild
Wahrscheinlichstes Thema
kein Link am Switchport
Schicht 1
Link vorhanden, aber viele Fehler
Kabel, Duplex, Dämpfung, Port
WLAN langsam und instabil
Signal, Störung, Kanal, Auslastung
LWL-Link instabil
Stecker, Dämpfung, SFP, Faser
nur ein Arbeitsplatz betroffen
Kabel, Dose, Patchpanel, Switchport
mehrere Dosen auf Etage betroffen
Verteilung, Switch, Patchfeld
Verbindung bricht bei Bewegung ab
Kabel oder Stecker beschädigt
nach Austausch kein Link
falsches Kabel, falsches Modul, Portkonfiguration
IHK-sichere Kurzformulierung
Die OSI-Schicht 1 ist die Bitübertragungsschicht. Sie beschreibt die physische Übertragung von Bits als elektrische, optische oder Funksignale. Typische Themen sind Kabel, Stecker, Funk, Lichtwellenleiter, Signalqualität, Dämpfung, Link, Geschwindigkeit, Duplex und Auto-Negotiation. Kupferkabel wie Twisted Pair übertragen elektrische Signale, Lichtwellenleiter übertragen optische Signale und WLAN nutzt Funk. Bei Störungen ohne Link oder mit instabiler Verbindung sollte zuerst die physische Verbindung geprüft werden, zum Beispiel Kabel, Stecker, Switchport, Link-LED, SFP-Modul, Dämpfung und Duplexmodus.
Merksätze
Schicht 1 ist die Bitübertragungsschicht.
Schicht 1 überträgt Bits als Signale.
Kupfer überträgt elektrisch.
LWL überträgt optisch.
WLAN überträgt per Funk.
Twisted Pair nutzt verdrillte Adernpaare.
Verdrillung reduziert Störungen.
LWL eignet sich für hohe Bandbreite und lange Strecken.
Singlemode eignet sich eher für lange Strecken.
Multimode eignet sich eher für kürzere Strecken.
Dämpfung bedeutet Signalverlust.
Zu hohe Dämpfung verursacht Fehler oder Verbindungsabbrüche.
Link bedeutet physische Verbindung erkannt.
Link heißt nicht automatisch,
dass IP oder Anwendung funktionieren.
Half-Duplex sendet oder empfängt.
Full-Duplex sendet und empfängt gleichzeitig.
Auto-Negotiation handelt Geschwindigkeit und Duplex aus.
Duplex-Mismatch verursacht Performance-Probleme.
Hub verteilt blind.
Switch leitet gezielt.
Repeater regeneriert Signale.
Medienkonverter verbindet Medien.
SFP ist ein steckbares Transceiver-Modul.
Patchpanel verbindet feste Verkabelung mit Patchkabeln.
Installationskabel ist fest verlegt.
Patchkabel ist flexibel.
WLAN ist ein geteiltes Medium.
WLAN-Probleme hängen oft mit Signal,
Störung,
Kanal
und Auslastung zusammen.
Gast-WLAN gehört getrennt vom internen Netz.
Bei keiner Verbindung zuerst Schicht 1 prüfen.
Erst Kabel,
Link
und Port prüfen,
dann IP,
DNS
und Anwendung.
20.3 Trainer – Schicht 2 / Ethernet, MAC-Adressen, Switching, VLAN und ARP
Diese Trainer-Seite wiederholt die OSI-Schicht 2,
Ethernet,
MAC-Adressen,
Switching,
VLANs
und ARP.
Ziel ist,
typische Prüfungsfragen zur lokalen Netzwerkkommunikation sicher zu lösen.
Merksatz:
Schicht 2 fragt:
Funktioniert die lokale Zustellung im gleichen Netzwerksegment?
Lernziele
Nach dieser Seite solltest du sicher können:
- OSI-Schicht 2 einordnen
- MAC-Adressen erklären
- Ethernet-Frames verstehen
- Switching erklären
- MAC-Adresstabellen nutzen
- Flooding und Broadcast unterscheiden
- VLANs einordnen
- Access-Port und Trunk-Port unterscheiden
- ARP erklären
- typische Schicht-2-Fehler erkennen
Kurzüberblick: OSI-Schicht 2
OSI-Schicht 2 heißt:
Sicherungsschicht
Aufgabe:
Datenübertragung im lokalen Netzwerksegment organisieren.
Typische Begriffe:
Ethernet
Frame
MAC-Adresse
Switch
VLAN
ARP
Broadcast
MAC-Adresstabelle
STP
Loop
Broadcast-Sturm
Merksatz:
Schicht 2 arbeitet lokal mit Frames und MAC-Adressen.
Kurzüberblick: Schicht 2 und Schicht 3
Thema
Schicht
Zweck
MAC-Adresse
2
lokale Zustellung
Ethernet-Frame
2
lokale Dateneinheit
Switch
2
Weiterleitung im LAN
VLAN
2
logische Trennung
IP-Adresse
3
logische Adressierung
Routing
3
Verbindung zwischen Netzen
Merksatz:
MAC lokal.
IP logisch.
Switch lokal.
Router zwischen Netzen.
Aufgabe 1
Wie heißt OSI-Schicht 2?
Antwort anzeigen
OSI-Schicht 2 heißt:
Sicherungsschicht
Englisch:
Data Link Layer
Aufgabe:
lokale Übertragung von Frames über MAC-Adressen.
Merksatz:
Schicht 2 = Sicherungsschicht.
Aufgabe 2
Welche Adresse gehört zu OSI-Schicht 2?
A: IP-Adresse
B: MAC-Adresse
C: Portnummer
D: URL
Antwort anzeigen
Richtig ist:
B: MAC-Adresse
Begründung:
MAC-Adressen werden auf OSI-Schicht 2 zur lokalen Zustellung im LAN verwendet.
Merksatz:
MAC-Adresse = Schicht 2.
Aufgabe 3
Was ist eine MAC-Adresse?
Antwort anzeigen
Eine MAC-Adresse ist eine Hardware-Adresse einer Netzwerkschnittstelle.
Sie dient zur lokalen Kommunikation im Netzwerksegment.
Beispiel:
AA:BB:CC:11:22:33
Typisch:
48 Bit lang
hexadezimale Schreibweise
Merksatz:
MAC-Adresse identifiziert eine Netzwerkschnittstelle im lokalen Netz.
Aufgabe 4
Was ist ein Ethernet-Frame?
Antwort anzeigen
Ein Ethernet-Frame ist die Dateneinheit auf OSI-Schicht 2.
Er enthält unter anderem:
Ziel-MAC-Adresse
Quell-MAC-Adresse
Nutzdaten
Prüfinformationen
Merksatz:
Ethernet überträgt Frames.
Aufgabe 5
Welche Informationen sind typisch in einem Ethernet-Frame enthalten?
Bestandteil
Enthalten?
Ziel-MAC-Adresse
?
Quell-MAC-Adresse
?
Ziel-Port TCP 443
?
IP-Nutzdaten
?
Antwort anzeigen
Bestandteil
Enthalten?
Ziel-MAC-Adresse
ja
Quell-MAC-Adresse
ja
Ziel-Port TCP 443
nicht direkt Schicht 2, sondern Teil der höheren Schichten
IP-Nutzdaten
ja, als Nutzdaten im Frame
Merksatz:
Der Frame transportiert höhere Schichten als Nutzdaten.
Aufgabe 6
Was macht ein Switch?
Antwort anzeigen
Ein Switch verbindet Geräte im lokalen Netzwerk.
Er arbeitet hauptsächlich auf OSI-Schicht 2
und leitet Ethernet-Frames anhand von MAC-Adressen weiter.
Merksatz:
Switch = lokale Weiterleitung anhand MAC-Adressen.
Aufgabe 7
Wie lernt ein Switch seine MAC-Adresstabelle?
Antwort anzeigen
Ein Switch lernt aus der Quell-MAC-Adresse eingehender Frames.
Wenn ein Frame an Port 3 ankommt,
merkt sich der Switch:
Diese Quell-MAC-Adresse ist über Port 3 erreichbar.
Merksatz:
Switch lernt aus Quell-MAC-Adressen.
Aufgabe 8
Ein Switch kennt die Ziel-MAC-Adresse.
Was passiert?
Antwort anzeigen
Der Switch leitet den Frame gezielt an den Port weiter,
an dem die Ziel-MAC-Adresse bekannt ist.
Merksatz:
bekannte Ziel-MAC:
gezielte Weiterleitung.
Aufgabe 9
Ein Switch kennt die Ziel-MAC-Adresse nicht.
Was passiert?
Antwort anzeigen
Der Switch flutet den Frame.
Das bedeutet:
Er sendet den Frame an alle Ports im gleichen VLAN,
außer an den Eingangsport.
Merksatz:
unbekannte Ziel-MAC:
Flooding.
Aufgabe 10
Was bedeutet Flooding?
Antwort anzeigen
Flooding bedeutet:
Ein Switch sendet einen Frame an alle Ports im gleichen VLAN,
außer an den Port,
über den der Frame gekommen ist.
Flooding passiert bei:
unbekannter Ziel-MAC-Adresse
Broadcast
bestimmten Multicast-Fällen
Merksatz:
Flooding ist nicht immer ein Fehler.
Aufgabe 11
Was ist ein Broadcast?
Antwort anzeigen
Ein Broadcast ist eine Nachricht an alle Geräte im gleichen Broadcast-Bereich.
Beispiel:
ARP Request
Broadcasts bleiben normalerweise im gleichen VLAN.
Merksatz:
Broadcast erreicht alle Geräte im gleichen VLAN.
Aufgabe 12
Was ist eine Broadcast-Domäne?
Antwort anzeigen
Eine Broadcast-Domäne ist der Bereich,
in dem Broadcasts verteilt werden.
Ohne VLAN:
oft gesamtes Switch-Netz
Mit VLAN:
jedes VLAN ist eine eigene Broadcast-Domäne
Merksatz:
VLANs trennen Broadcast-Domänen.
Aufgabe 13
Was ist ein VLAN?
Antwort anzeigen
VLAN steht für:
Virtual Local Area Network
Ein VLAN trennt ein physisches Netzwerk logisch in mehrere getrennte Layer-2-Bereiche.
Beispiele:
VLAN 10 Verwaltung
VLAN 20 Clients
VLAN 30 Server
VLAN 40 Gäste
Merksatz:
VLAN = logische Trennung auf Schicht 2.
Aufgabe 14
Nenne zwei Gründe für den Einsatz von VLANs.
Antwort anzeigen
Mögliche Gründe:
logische Netztrennung
kleinere Broadcast-Domänen
bessere Struktur
Trennung von Abteilungen
Trennung von Gästen und internem Netz
Trennung von Servern und Clients
separate Managementnetze
IHK-sichere Antwort:
VLANs werden eingesetzt,
um Netzbereiche logisch zu trennen
und Broadcast-Domänen zu verkleinern.
Aufgabe 15
Ist ein VLAN dasselbe wie ein IP-Subnetz?
Antwort anzeigen
Nein.
VLAN:
logische Trennung auf OSI-Schicht 2
IP-Subnetz:
logische IP-Aufteilung auf OSI-Schicht 3
Wichtig:
In der Praxis bekommt ein VLAN häufig ein eigenes IP-Subnetz.
Fachlich sind VLAN und Subnetz aber nicht dasselbe.
Merksatz:
VLAN = Layer 2.
Subnetz = Layer 3.
Aufgabe 16
Was ist ein Access-Port?
Antwort anzeigen
Ein Access-Port gehört normalerweise zu genau einem VLAN.
Typische Nutzung:
PC
Drucker
Telefon
normales Endgerät
Das Endgerät muss das VLAN meist nicht selbst kennen.
Merksatz:
Access-Port = ein VLAN für Endgeräte.
Aufgabe 17
Was ist ein Trunk-Port?
Antwort anzeigen
Ein Trunk-Port transportiert mehrere VLANs über eine Verbindung.
Typische Nutzung:
Verbindung zwischen Switches
Verbindung zu Router
Verbindung zu Firewall
Verbindung zu Hypervisor
Verbindung zu VLAN-fähigem Access Point
Merksatz:
Trunk-Port = mehrere VLANs über eine Verbindung.
Aufgabe 18
Ordne zu.
Porttyp
Bedeutung
Access-Port
?
Trunk-Port
?
Antwort anzeigen
Porttyp
Bedeutung
Access-Port
ein VLAN, typisch für Endgeräte
Trunk-Port
mehrere VLANs, typisch zwischen Netzwerkgeräten
Merksatz:
Access = ein VLAN.
Trunk = mehrere VLANs.
Aufgabe 19
Was bedeutet VLAN-Tagging?
Antwort anzeigen
VLAN-Tagging bedeutet:
Ein Ethernet-Frame enthält eine VLAN-Information.
Häufiger Standard:
IEEE 802.1Q
Typisch bei:
Trunk-Verbindungen
Merksatz:
802.1Q markiert Frames mit VLAN-Information.
Aufgabe 20
Was ist der Unterschied zwischen untagged und tagged?
Antwort anzeigen
Untagged:
Frame enthält keinen VLAN-Tag für das Endgerät.
Typisch:
Access-Port
Tagged:
Frame enthält VLAN-Information.
Typisch:
Trunk-Port
Merksatz:
Access meist untagged.
Trunk meist tagged.
Aufgabe 21
Was ist ARP?
Antwort anzeigen
ARP steht für:
Address Resolution Protocol
Aufgabe:
ARP löst im lokalen IPv4-Netz eine IP-Adresse in eine MAC-Adresse auf.
Beispiel:
Der Client kennt die IP-Adresse des Gateways,
braucht aber für Ethernet die MAC-Adresse des Gateways.
Merksatz:
ARP findet die MAC-Adresse zu einer IPv4-Adresse.
Aufgabe 22
Warum braucht man ARP?
Antwort anzeigen
IPv4 arbeitet mit IP-Adressen.
Ethernet im lokalen Netz benötigt aber MAC-Adressen.
ARP verbindet diese beiden Ebenen,
indem eine IPv4-Adresse einer MAC-Adresse zugeordnet wird.
Merksatz:
IP sagt,
welches Ziel gemeint ist.
MAC sagt,
wohin lokal gesendet wird.
Aufgabe 23
Ein Client möchte einen Server im gleichen Subnetz erreichen.
Welche MAC-Adresse wird verwendet?
Antwort anzeigen
Verwendet wird:
die MAC-Adresse des Zielservers
Begründung:
Das Ziel liegt im gleichen lokalen Subnetz.
Der Client kann daher direkt lokal per Ethernet an die MAC-Adresse des Zielservers senden.
Merksatz:
gleiches Subnetz:
MAC des Zielhosts.
Aufgabe 24
Ein Client möchte einen Server in einem anderen Subnetz erreichen.
Welche MAC-Adresse wird verwendet?
Antwort anzeigen
Verwendet wird:
die MAC-Adresse des Standardgateways
Begründung:
Das Ziel liegt außerhalb des lokalen Subnetzes.
Der Client sendet das Ethernet-Frame lokal an das Gateway.
Das IP-Ziel bleibt aber der entfernte Server.
Merksatz:
anderes Subnetz:
MAC des Gateways.
Aufgabe 25
Was ist ein ARP Request?
Antwort anzeigen
Ein ARP Request ist eine Anfrage per Broadcast.
Vereinfacht:
Wer hat diese IPv4-Adresse?
Beispiel:
Wer hat 192.168.1.1?
Merksatz:
ARP Request = Broadcast-Frage.
Aufgabe 26
Was ist ein ARP Reply?
Antwort anzeigen
Ein ARP Reply ist die Antwort auf einen ARP Request.
Vereinfacht:
Diese IPv4-Adresse gehört zu dieser MAC-Adresse.
Merksatz:
ARP Reply liefert die MAC-Adresse.
Aufgabe 27
Was ist eine ARP-Tabelle?
Antwort anzeigen
Die ARP-Tabelle speichert bekannte Zuordnungen:
IPv4-Adresse
zu
MAC-Adresse
Vorteil:
Der Host muss nicht für jedes Paket erneut per ARP fragen.
Merksatz:
ARP-Tabelle = Zwischenspeicher für IP-zu-MAC.
Aufgabe 28
Was ist ARP-Spoofing?
Antwort anzeigen
ARP-Spoofing ist ein Angriff,
bei dem falsche ARP-Antworten gesendet werden.
Ziel:
Datenverkehr umleiten
Man-in-the-Middle ermöglichen
Kommunikation stören
Schutzmaßnahmen:
Dynamic ARP Inspection
Netzwerksegmentierung
Switch-Sicherheitsfunktionen
Monitoring
Verschlüsselung höherer Schichten
Merksatz:
ARP-Spoofing manipuliert lokale IP-zu-MAC-Zuordnungen.
Aufgabe 29
Was ist STP?
Antwort anzeigen
STP steht für:
Spanning Tree Protocol
Aufgabe:
Layer-2-Schleifen verhindern
Warum wichtig?
Schleifen können Broadcast-Stürme verursachen
und das Netzwerk stark belasten oder lahmlegen.
Merksatz:
STP verhindert Switch-Schleifen.
Aufgabe 30
Was ist ein Broadcast-Sturm?
Antwort anzeigen
Ein Broadcast-Sturm entsteht,
wenn Broadcasts durch Schleifen immer wieder weitergeleitet werden.
Folgen:
Netz wird langsam
Switches werden überlastet
Clients verlieren Verbindung
Dienste brechen ab
Merksatz:
Layer-2-Schleifen können das Netzwerk lahmlegen.
Aufgabe 31
Ein Client bekommt eine IP-Adresse aus dem falschen Netz.
Welches Schicht-2-Thema ist naheliegend?
Antwort anzeigen
Naheliegend ist:
falsches VLAN
Begründung:
Wenn ein Client am falschen VLAN hängt,
kann er vom falschen DHCP-Scope eine Adresse erhalten.
Merksatz:
falsches VLAN:
häufig falsche IP-Konfiguration.
Aufgabe 32
Ein Client bekommt keine DHCP-Adresse.
Nur dieser eine Switchport ist betroffen.
Welche Ursachen sind wahrscheinlich?
Antwort anzeigen
Mögliche Ursachen:
Switchport deaktiviert
falsches Access-VLAN
Kabel oder Dose defekt
Port Security blockiert
VLAN nicht korrekt zugewiesen
Endgerät defekt
Merksatz:
Nur ein Port betroffen:
Port,
VLAN,
Kabel
und Endgerät prüfen.
Aufgabe 33
Mehrere VLANs funktionieren zwischen zwei Switches nicht richtig.
Was sollte geprüft werden?
Antwort anzeigen
Prüfen:
Trunk-Port aktiv?
VLANs auf Trunk erlaubt?
VLANs auf beiden Switches vorhanden?
Tagging korrekt?
Native VLAN passend?
Gegenstelle korrekt konfiguriert?
Merksatz:
Mehrere VLANs betroffen:
Trunk prüfen.
Aufgabe 34
Ein Gerät ist im richtigen IP-Subnetz,
aber lokale Kommunikation funktioniert trotzdem nicht.
Welche Schicht-2-Themen können Ursache sein?
Antwort anzeigen
Mögliche Ursachen:
falsches VLAN
ARP-Problem
lokale Firewall
Switchport blockiert
Port Security
MAC-Adresstabelle fehlerhaft oder veraltet
Duplex- oder Linkproblem
Merksatz:
Gleiches Subnetz heißt nicht automatisch,
dass Layer 2 sauber funktioniert.
Aufgabe 35
Was ist Port Security?
Antwort anzeigen
Port Security begrenzt,
welche oder wie viele MAC-Adressen an einem Switchport erlaubt sind.
Ziel:
unautorisierte Geräte erschweren
einfache Angriffe reduzieren
Portmissbrauch begrenzen
Merksatz:
Port Security kontrolliert MAC-Adressen am Switchport.
Aufgabe 36
Was ist 802.1X?
Antwort anzeigen
802.1X ist portbasierte Netzwerkzugangskontrolle.
Prinzip:
Ein Gerät oder Benutzer muss sich authentifizieren,
bevor Netzwerkzugriff erlaubt wird.
Typisch mit:
RADIUS
Zertifikaten
Benutzerkonto
Merksatz:
802.1X prüft Zugriff vor Netzzugang.
Aufgabe 37
Welche Aussage ist richtig?
A: VLANs ersetzen immer eine Firewall.
B: VLANs trennen Broadcast-Domänen.
C: VLANs gehören ausschließlich zu OSI-Schicht 7.
D: Ein Access-Port transportiert immer mehrere VLANs.
Antwort anzeigen
Richtig ist:
B: VLANs trennen Broadcast-Domänen.
Begründung:
VLANs trennen Layer-2-Bereiche logisch.
Sie ersetzen aber keine Firewall,
wenn Verkehr zwischen VLANs kontrolliert werden soll.
Merksatz:
VLAN trennt.
Firewall kontrolliert.
Aufgabe 38
Welche Antwort ist besser?
Aufgabe:
Warum braucht man für Kommunikation zwischen VLANs Routing?
Antwort A:
Weil VLANs sonst nicht modern genug sind.
Antwort B:
VLANs sind getrennte Layer-2-Bereiche.
Damit Geräte aus verschiedenen VLANs miteinander kommunizieren können,
müssen die jeweiligen IP-Netze über einen Router,
Layer-3-Switch
oder eine Firewall geroutet werden.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort erklärt die technische Trennung auf Schicht 2
und den Bedarf für Routing auf Schicht 3.
Merksatz:
VLANs trennen.
Routing verbindet.
Aufgabe 39
Welche Antwort ist besser?
Aufgabe:
Ein Switch sendet einen Frame an alle Ports im VLAN.
Ist das automatisch ein Fehler?
Antwort A:
Ja,
immer.
Antwort B:
Nein.
Bei unbekannter Ziel-MAC-Adresse oder Broadcast ist Flooding normales Verhalten.
Es wird erst problematisch,
wenn durch Schleifen oder Fehlkonfigurationen dauerhaft sehr viel Broadcast- oder Flooding-Verkehr entsteht.
Antwort anzeigen
B ist besser.
Begründung:
Flooding ist ein normales Switching-Verhalten,
wenn die Ziel-MAC-Adresse unbekannt ist.
Es ist nicht automatisch ein Fehler.
Merksatz:
Flooding normal,
Broadcast-Sturm kritisch.
Aufgabe 40
Was ist die wichtigste Unterscheidung zwischen MAC-Adresse,
IP-Adresse
und Port?
Antwort anzeigen
MAC-Adresse:
lokale Zustellung auf Schicht 2
IP-Adresse:
logische Adressierung auf Schicht 3
Port:
Zuordnung zu Dienst oder Prozess auf Schicht 4
Merksatz:
MAC lokal.
IP logisch.
Port Dienst.
Mini-Prüfung: schnelle Zuordnung
Frage
Antwort
Welche OSI-Schicht ist Ethernet?
Schicht 2
Welche OSI-Schicht ist MAC?
Schicht 2
Welche OSI-Schicht ist VLAN?
Schicht 2
Welche OSI-Schicht ist IP?
Schicht 3
Welche OSI-Schicht ist TCP?
Schicht 4
Was leitet ein Switch weiter?
Frames
Woran orientiert sich ein Switch?
MAC-Adressen
Was lernt ein Switch aus eingehenden Frames?
Quell-MAC-Adresse
Was passiert bei unbekannter Ziel-MAC?
Flooding
Was trennt VLAN?
Broadcast-Domänen
Was macht ARP?
IPv4 zu MAC auflösen
Was verhindert STP?
Layer-2-Schleifen
Mini-Prüfung: Fehlerbild erkennen
Fehlerbild
Wahrscheinliches Thema
Client im falschen Netz
falsches VLAN
nur ein Switchport betroffen
Access-Port, Kabel, Port Security
mehrere VLANs über Switchverbindung betroffen
Trunk
Broadcasts legen Netz lahm
Loop, STP, Broadcast-Sturm
lokale IP erreichbar, aber MAC ändert sich ständig
doppelte IP oder ARP-Spoofing
gleiches Subnetz, aber keine lokale Kommunikation
VLAN, ARP, Firewall, Switchport
DHCP nur in einem VLAN defekt
VLAN, DHCP-Relay, DHCP-Scope
Gerät bekommt falschen DHCP-Bereich
falsches VLAN
IHK-sichere Kurzformulierung
Die OSI-Schicht 2 ist die Sicherungsschicht. Sie organisiert die lokale Kommunikation im Netzwerksegment. Ethernet nutzt Frames, die unter anderem Quell- und Ziel-MAC-Adressen enthalten. Ein Switch arbeitet hauptsächlich auf Schicht 2 und leitet Frames anhand seiner MAC-Adresstabelle weiter. Diese Tabelle lernt er aus den Quell-MAC-Adressen eingehender Frames. Ist die Ziel-MAC unbekannt, wird der Frame im VLAN geflutet. VLANs trennen ein physisches Netzwerk logisch in mehrere Broadcast-Domänen. Access-Ports gehören meist zu einem VLAN, Trunk-Ports transportieren mehrere VLANs mit VLAN-Tagging nach IEEE 802.1Q. ARP löst im lokalen IPv4-Netz IP-Adressen in MAC-Adressen auf.
Merksätze
Schicht 2 ist die Sicherungsschicht.
Schicht 2 arbeitet mit Frames.
Ethernet nutzt Frames.
MAC-Adresse gehört zu Schicht 2.
Switches arbeiten hauptsächlich auf Schicht 2.
Switches leiten anhand von MAC-Adressen weiter.
Switch lernt aus Quell-MAC-Adressen.
Bekannte Ziel-MAC:
gezielte Weiterleitung.
Unbekannte Ziel-MAC:
Flooding.
Broadcast erreicht alle Geräte im gleichen VLAN.
VLANs trennen Broadcast-Domänen.
VLAN ist Layer 2.
Subnetz ist Layer 3.
VLAN und Subnetz sind nicht dasselbe.
Access-Port = ein VLAN.
Trunk-Port = mehrere VLANs.
802.1Q markiert VLAN-Frames.
Access meist untagged.
Trunk meist tagged.
VLAN trennt.
Firewall kontrolliert.
Inter-VLAN-Kommunikation braucht Routing.
ARP löst IPv4 zu MAC auf.
ARP arbeitet lokal.
ARP Request ist Broadcast.
ARP Reply liefert die MAC-Adresse.
Gleiches Subnetz:
MAC des Zielhosts.
Anderes Subnetz:
MAC des Gateways.
IP zeigt zum Endziel.
MAC zeigt zum nächsten lokalen Hop.
STP verhindert Layer-2-Schleifen.
Broadcast-Sturm kann ein Netz lahmlegen.
Port Security kontrolliert MAC-Adressen.
802.1X prüft Netzzugang.
Falsches VLAN führt oft zu falscher IP-Konfiguration.
Mehrere VLANs betroffen:
Trunk prüfen.
Nur ein Port betroffen:
Port,
VLAN,
Kabel
und Endgerät prüfen.
20.4 Trainer – Schicht 3 / IPv4, Subnetze, Routing, Gateway und ICMP
Trainer – IPv4, Subnetze, Routing, Gateway und ICMP
Diese Trainer-Seite wiederholt die OSI-Schicht 3,
IPv4-Adressen,
Subnetze,
Routing,
Gateway
und ICMP.
Ziel ist,
typische Prüfungsfragen zu IP-Konfiguration,
Subnetting,
Gateway-Fehlern,
Routing
und Ping/Traceroute sicher zu lösen.
Merksatz:
Schicht 3 fragt:
Findet das Paket den Weg ins richtige Zielnetz?
Lernziele
Nach dieser Seite solltest du sicher können:
- OSI-Schicht 3 einordnen
- IPv4-Adresse,
Subnetzmaske
Gateway
und DNS unterscheiden
- Netzadresse und Broadcastadresse bestimmen
- nutzbare Hostadressen erkennen
- Gateway-Fehler erkennen
- Routing erklären
- ICMP,
ping
und traceroute einordnen
- typische Schicht-3-Fehlerbilder lösen
Kurzüberblick: OSI-Schicht 3
OSI-Schicht 3 heißt:
Vermittlungsschicht
oder:
Netzwerkschicht
Aufgabe:
logische Adressierung
Routing zwischen Netzen
Weiterleitung von IP-Paketen
Typische Begriffe:
IPv4
IPv6
IP-Adresse
Subnetzmaske
Präfix
Netzadresse
Broadcastadresse
Gateway
Router
Routing-Tabelle
ICMP
ping
traceroute
Merksatz:
Schicht 3 arbeitet mit IP-Adressen und Routing.
Kurzüberblick: Schicht 2 und Schicht 3
Thema
Schicht
Zweck
MAC-Adresse
2
lokale Zustellung
Ethernet-Frame
2
lokale Übertragung
IP-Adresse
3
logische Adressierung
Subnetzmaske
3
Netz- und Hostanteil trennen
Gateway
3
Weg in andere Netze
Router
3
Netze verbinden
ICMP
3
Diagnose und Fehlermeldungen
Merksatz:
MAC bringt lokal zum nächsten Hop.
IP beschreibt das logische Ziel.
Aufgabe 1
Wie heißt OSI-Schicht 3?
Antwort anzeigen
OSI-Schicht 3 heißt:
Vermittlungsschicht
oder:
Netzwerkschicht
Englisch:
Network Layer
Aufgabe:
logische Adressierung
und Routing zwischen IP-Netzen.
Merksatz:
Schicht 3 = IP und Routing.
Aufgabe 2
Welche Adresse gehört zu OSI-Schicht 3?
A: MAC-Adresse
B: IP-Adresse
C: Portnummer
D: URL
Antwort anzeigen
Richtig ist:
B: IP-Adresse
Begründung:
IP-Adressen gehören zur OSI-Schicht 3
und dienen der logischen Adressierung in Netzwerken.
Merksatz:
IP-Adresse = Schicht 3.
Aufgabe 3
Was ist die Aufgabe einer IPv4-Adresse?
Antwort anzeigen
Eine IPv4-Adresse identifiziert einen Host logisch in einem IP-Netz.
Sie wird verwendet,
damit Pakete zu einem bestimmten Zielsystem gesendet werden können.
Beispiel:
192.168.1.50
Merksatz:
IP-Adresse = logische Adresse eines Hosts.
Aufgabe 4
Wie viele Bit hat eine IPv4-Adresse?
Antwort anzeigen
Eine IPv4-Adresse hat:
32 Bit
Sie besteht aus:
4 Oktetten
Jedes Oktett hat:
8 Bit
Beispiel:
192.168.1.10
Merksatz:
IPv4 = 32 Bit = 4 Oktette.
Aufgabe 5
Was bedeutet die Schreibweise /24?
Antwort anzeigen
Die Schreibweise /24 bedeutet:
24 Bit gehören zum Netzanteil.
Da IPv4 insgesamt 32 Bit hat:
32 - 24 = 8 Hostbits
Merksatz:
Präfix = Anzahl der Netzbits.
Aufgabe 6
Welche Subnetzmaske gehört zu /24?
Antwort anzeigen
Zu /24 gehört:
255.255.255.0
Begründung:
Die ersten 24 Bit sind Netzbits.
Das entspricht drei vollständigen Oktetten mit 255.
Merksatz:
/24 = 255.255.255.0.
Aufgabe 7
Welche Subnetzmaske gehört zu /26?
Antwort anzeigen
Zu /26 gehört:
255.255.255.192
Begründung:
/26 bedeutet:
26 Netzbits.
24 Bit sind:
255.255.255.0
zusätzlich 2 Netzbits im letzten Oktett:
11000000 = 192
Merksatz:
/26 = 255.255.255.192.
Aufgabe 8
Wie viele nutzbare Hosts hat ein /26-Netz?
Antwort anzeigen
Berechnung:
Hostbits = 32 - 26 = 6
Gesamtadressen = 2 hoch 6 = 64
nutzbare Hosts = 64 - 2 = 62
Antwort:
62 nutzbare Hosts
Merksatz:
nutzbare Hosts = 2 hoch Hostbits minus 2.
Aufgabe 9
Wie viele nutzbare Hosts hat ein /27-Netz?
Antwort anzeigen
Berechnung:
Hostbits = 32 - 27 = 5
Gesamtadressen = 2 hoch 5 = 32
nutzbare Hosts = 32 - 2 = 30
Antwort:
30 nutzbare Hosts
Merksatz:
/27 hat 30 nutzbare Hosts.
Aufgabe 10
Welche Aussage ist richtig?
A: Je größer der Präfix,
desto größer das Netz.
B: Je größer der Präfix,
desto kleiner das Netz.
C: /27 ist größer als /24.
D: /30 hat mehr Hosts als /24.
Antwort anzeigen
Richtig ist:
B: Je größer der Präfix,
desto kleiner das Netz.
Begründung:
Ein größerer Präfix bedeutet mehr Netzbits
und weniger Hostbits.
Merksatz:
Präfix größer:
Netz kleiner.
Aufgabe 11
Bestimme Hostbits und nutzbare Hosts.
Präfix
Hostbits
nutzbare Hosts
/24
?
?
/25
?
?
/26
?
?
/27
?
?
Antwort anzeigen
Präfix
Hostbits
nutzbare Hosts
/24
8
254
/25
7
126
/26
6
62
/27
5
30
Merksatz:
Von /24 zu /25 halbiert sich die Adressanzahl.
Von /25 zu /26 halbiert sie sich wieder.
Aufgabe 12
Was ist die Netzadresse?
Antwort anzeigen
Die Netzadresse ist die erste Adresse eines Subnetzes.
Sie bezeichnet das Netz selbst
und wird nicht als normale Hostadresse verwendet.
Beispiel:
192.168.1.0/24
Netzadresse:
192.168.1.0
Merksatz:
Netzadresse = erste Adresse im Subnetz.
Aufgabe 13
Was ist die Broadcastadresse?
Antwort anzeigen
Die Broadcastadresse ist die letzte Adresse eines IPv4-Subnetzes.
Sie dient dazu,
alle Hosts in diesem Subnetz zu erreichen.
Beispiel:
192.168.1.0/24
Broadcastadresse:
192.168.1.255
Merksatz:
Broadcastadresse = letzte Adresse im Subnetz.
Aufgabe 14
Welche Adressen sind in einem normalen IPv4-Subnetz nicht als Hostadresse nutzbar?
Antwort anzeigen
Nicht als normale Hostadressen nutzbar sind:
Netzadresse
Broadcastadresse
Begründung:
Die Netzadresse bezeichnet das Subnetz selbst.
Die Broadcastadresse adressiert alle Hosts im Subnetz.
Merksatz:
Erste und letzte Adresse sind nicht für Hosts.
Aufgabe 15
Bestimme die Daten für:
192.168.1.70/26
Wert
Ergebnis
Netzadresse
?
erste nutzbare Adresse
?
letzte nutzbare Adresse
?
Broadcastadresse
?
nutzbare Hosts
?
Antwort anzeigen
Bei /26 gilt:
Blockgröße 64
Subnetzbereiche:
192.168.1.0 bis 192.168.1.63
192.168.1.64 bis 192.168.1.127
192.168.1.128 bis 192.168.1.191
192.168.1.192 bis 192.168.1.255
Die Adresse 192.168.1.70 liegt im Bereich:
192.168.1.64 bis 192.168.1.127
Wert
Ergebnis
Netzadresse
192.168.1.64
erste nutzbare Adresse
192.168.1.65
letzte nutzbare Adresse
192.168.1.126
Broadcastadresse
192.168.1.127
nutzbare Hosts
62
Merksatz:
IP liegt immer in genau einem Subnetzbereich.
Aufgabe 16
Bestimme die Daten für:
10.0.5.200/27
Wert
Ergebnis
Netzadresse
?
erste nutzbare Adresse
?
letzte nutzbare Adresse
?
Broadcastadresse
?
Antwort anzeigen
Bei /27 gilt:
Blockgröße 32
Bereiche im letzten Oktett:
0 bis 31
32 bis 63
64 bis 95
96 bis 127
128 bis 159
160 bis 191
192 bis 223
224 bis 255
Die Adresse 200 liegt im Bereich:
192 bis 223
Wert
Ergebnis
Netzadresse
10.0.5.192
erste nutzbare Adresse
10.0.5.193
letzte nutzbare Adresse
10.0.5.222
Broadcastadresse
10.0.5.223
Merksatz:
/27 springt in 32er-Schritten.
Aufgabe 17
Was ist die Blockgröße bei /28?
Antwort anzeigen
Zu /28 gehört die Maske:
255.255.255.240
Blockgröße:
256 - 240 = 16
Antwort:
16
Merksatz:
/28 springt in 16er-Schritten.
Aufgabe 18
Welche kleinste Netzgröße reicht für mindestens 50 Hosts?
A: /27
B: /26
C: /28
D: /30
Antwort anzeigen
Richtig ist:
B: /26
Begründung:
/27 hat 30 nutzbare Hosts.
Das reicht nicht.
/26 hat 62 nutzbare Hosts.
Das reicht.
Merksatz:
Immer das kleinste passende Subnetz wählen.
Aufgabe 19
Welche kleinste Netzgröße reicht für mindestens 100 Hosts?
Antwort anzeigen
Prüfung:
/26 = 62 nutzbare Hosts
/25 = 126 nutzbare Hosts
/24 = 254 nutzbare Hosts
Ergebnis:
/25
Begründung:
/26 reicht nicht,
/25 reicht.
Merksatz:
Bedarf prüfen,
dann kleinstes passendes Netz wählen.
Aufgabe 20
Liegen diese beiden IP-Adressen im gleichen /24-Netz?
192.168.10.20/24
192.168.10.200/24
Antwort anzeigen
Ja.
Bei /24 ist das Netz:
192.168.10.0/24
Nutzbarer Bereich:
192.168.10.1 bis 192.168.10.254
Beide Adressen liegen im gleichen Netz.
Merksatz:
Gleiches /24:
gleiche ersten drei Oktette.
Aufgabe 21
Liegen diese beiden IP-Adressen im gleichen /24-Netz?
192.168.10.20/24
192.168.11.20/24
Antwort anzeigen
Nein.
Erste Adresse liegt im Netz:
192.168.10.0/24
Zweite Adresse liegt im Netz:
192.168.11.0/24
Merksatz:
Bei /24 entscheidet das dritte Oktett über das Netz.
Aufgabe 22
Liegen diese beiden IP-Adressen im gleichen /26-Netz?
192.168.1.70/26
192.168.1.100/26
Antwort anzeigen
Ja.
Bei /26 gilt Blockgröße 64.
Bereich:
192.168.1.64 bis 192.168.1.127
Beide Adressen liegen in diesem Bereich.
Merksatz:
/26-Bereiche:
0-63,
64-127,
128-191,
192-255.
Aufgabe 23
Liegen diese beiden IP-Adressen im gleichen /26-Netz?
192.168.1.70/26
192.168.1.130/26
Antwort anzeigen
Nein.
192.168.1.70 liegt im Bereich:
192.168.1.64 bis 192.168.1.127
192.168.1.130 liegt im Bereich:
192.168.1.128 bis 192.168.1.191
Merksatz:
Unterschiedliche Subnetzbereiche brauchen Routing.
Aufgabe 24
Was ist ein Standardgateway?
Antwort anzeigen
Das Standardgateway ist der Router,
über den ein Host Ziele außerhalb seines eigenen Subnetzes erreicht.
Ohne korrektes Gateway kann ein Client normalerweise nur lokal kommunizieren.
Merksatz:
Gateway = Ausgang in andere Netze.
Aufgabe 25
Warum muss das Gateway im lokalen Subnetz des Clients liegen?
Antwort anzeigen
Das Gateway muss lokal erreichbar sein,
damit der Client sein Ethernet-Frame an die MAC-Adresse des Gateways senden kann.
Wenn das Gateway außerhalb des lokalen Subnetzes liegt,
kann der Client es nicht direkt erreichen.
Merksatz:
Gateway muss für den Client lokal erreichbar sein.
Aufgabe 26
Prüfe die Konfiguration:
Client:
192.168.10.50/24
Gateway:
192.168.20.1
Ist das korrekt?
Antwort anzeigen
Nein.
Client-Netz:
192.168.10.0/24
Gateway liegt im Netz:
192.168.20.0/24
Das Gateway liegt nicht im lokalen Subnetz des Clients.
Merksatz:
Gateway außerhalb des Subnetzes ist falsch.
Aufgabe 27
Ein Client erreicht andere Geräte im gleichen Netz,
aber nicht das Internet.
Was ist wahrscheinlich?
Antwort anzeigen
Wahrscheinliche Ursachen:
Gateway fehlt
Gateway falsch
Routingproblem
NAT fehlt oder fehlerhaft
Firewall blockiert
DNS zusätzlich bei Zugriff über Namen
Erste Prüfung:
Standardgateway
Merksatz:
Lokal ja,
extern nein:
Gateway,
Routing,
NAT
oder Firewall prüfen.
Aufgabe 28
Was ist Routing?
Antwort anzeigen
Routing bedeutet:
Weiterleitung von IP-Paketen zwischen verschiedenen IP-Netzen.
Ein Router nutzt seine Routing-Tabelle,
um den nächsten Hop oder das Ausgangsinterface zu bestimmen.
Merksatz:
Routing verbindet IP-Netze.
Aufgabe 29
Was enthält eine Routing-Tabelle typischerweise?
Antwort anzeigen
Eine Routing-Tabelle enthält typischerweise:
Zielnetz
Präfix oder Netzmaske
Next Hop
Interface
Metrik
Merksatz:
Routing-Tabelle bestimmt den nächsten Weg.
Aufgabe 30
Was ist eine Standardroute?
Antwort anzeigen
Eine Standardroute ist die Route für alle Ziele,
für die keine spezifischere Route existiert.
IPv4-Schreibweise:
0.0.0.0/0
Typisch:
Weg zum Internetrouter
Merksatz:
Standardroute = Weg für unbekannte Ziele.
Aufgabe 31
Was bedeutet:
„Die spezifischste Route gewinnt“?
Antwort anzeigen
Wenn mehrere Routen zu einem Ziel passen,
wird die Route mit dem längsten passenden Präfix verwendet.
Beispiel:
192.168.10.0/24
ist spezifischer als:
192.168.0.0/16
Merksatz:
Längster passender Präfix gewinnt.
Aufgabe 32
Was ist ICMP?
Antwort anzeigen
ICMP steht für:
Internet Control Message Protocol
Aufgabe:
Kontroll-
Fehler-
und Diagnosemeldungen im IP-Netz
Typische Nutzung:
ping
traceroute
Merksatz:
ICMP hilft bei Diagnose auf Schicht 3.
Aufgabe 33
Was prüft ping?
Antwort anzeigen
ping prüft,
ob ein Ziel per ICMP Echo Request und Echo Reply erreichbar ist.
Wichtig:
ping prüft nicht,
ob ein bestimmter Dienst wie HTTPS,
SSH
oder SMB funktioniert.
Merksatz:
ping prüft ICMP-Erreichbarkeit,
nicht den Dienst.
Aufgabe 34
Ping auf eine IP-Adresse funktioniert,
aber ping auf den Namen nicht.
Was ist wahrscheinlich?
Antwort anzeigen
Wahrscheinlich:
DNS-Problem
Begründung:
Die IP-Kommunikation funktioniert,
aber der Name wird nicht korrekt aufgelöst.
Merksatz:
IP ja,
Name nein:
DNS.
Aufgabe 35
Ping funktioniert,
aber die Webseite über HTTPS funktioniert nicht.
Was ist wahrscheinlich?
Antwort anzeigen
Ping prüft nur ICMP.
Mögliche Ursachen:
TCP 443 blockiert
Webserver läuft nicht
Firewall blockiert
TLS-Problem
Reverse Proxy fehlerhaft
Anwendung defekt
Merksatz:
Ping erfolgreich heißt nicht,
dass HTTPS funktioniert.
Aufgabe 36
Was zeigt traceroute oder tracert?
Antwort anzeigen
traceroute oder tracert zeigt den Weg zum Ziel über Router.
Es zeigt typischerweise:
Hops
Antwortzeiten
mögliche Unterbrechungen
Wichtig:
Nicht jeder Router antwortet.
Sternchen bedeuten nicht automatisch,
dass der gesamte Weg defekt ist.
Merksatz:
traceroute zeigt den Weg,
muss aber interpretiert werden.
Aufgabe 37
Was bedeutet eine Adresse aus 169.254.0.0/16?
Antwort anzeigen
Das ist eine APIPA-Adresse.
Bedeutung:
Der Client hat wahrscheinlich keine gültige IP-Adresse per DHCP erhalten
und sich selbst eine automatische Adresse gegeben.
Merksatz:
169.254.x.x:
DHCP nicht erreicht.
Aufgabe 38
Welche privaten IPv4-Bereiche gibt es?
Antwort anzeigen
Private IPv4-Bereiche:
Bereich
CIDR
10.0.0.0 bis 10.255.255.255
10.0.0.0/8
172.16.0.0 bis 172.31.255.255
172.16.0.0/12
192.168.0.0 bis 192.168.255.255
192.168.0.0/16
Merksatz:
Private IPv4-Adressen werden im Internet nicht direkt geroutet.
Aufgabe 39
Welche Antwort ist besser?
Aufgabe:
Ein Client erreicht lokale Geräte,
aber keine externen Netze.
Nennen Sie eine wahrscheinliche Ursache.
Antwort A:
DNS ist immer kaputt.
Antwort B:
Wahrscheinlich fehlt das Standardgateway oder es ist falsch konfiguriert,
weil lokale Kommunikation funktioniert,
externe Netze aber nicht erreichbar sind.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort leitet die Ursache aus dem Fehlerbild ab.
Wichtig:
DNS kann zusätzlich betroffen sein,
wenn nur Namen nicht funktionieren.
Wenn aber externe IP-Ziele nicht erreichbar sind,
sind Gateway,
Routing,
NAT
oder Firewall wahrscheinlicher.
Merksatz:
Fehlerbild genau lesen.
Aufgabe 40
Welche Antwort ist besser?
Aufgabe:
Warum ersetzt ping keinen vollständigen Diensttest?
Antwort A:
Weil ping alt ist.
Antwort B:
ping prüft nur ICMP-Erreichbarkeit.
Ein Dienst wie HTTPS,
SSH
oder SMB kann trotzdem blockiert,
gestoppt
oder falsch konfiguriert sein.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort erklärt fachlich,
was ping prüft
und was ping nicht prüft.
Merksatz:
ping prüft Host-Erreichbarkeit,
nicht Dienstfunktion.
Mini-Prüfung: schnelle Zuordnung
Frage
Antwort
Welche OSI-Schicht ist IP?
Schicht 3
Welche OSI-Schicht ist Routing?
Schicht 3
Welche OSI-Schicht ist ICMP?
Schicht 3
Wie viele Bit hat IPv4?
32 Bit
Was bedeutet /24?
24 Netzbits
Welche Maske hat /24?
255.255.255.0
Welche Maske hat /26?
255.255.255.192
Wie viele nutzbare Hosts hat /26?
62
Was ist die Netzadresse?
erste Adresse im Subnetz
Was ist die Broadcastadresse?
letzte Adresse im Subnetz
Was ist das Gateway?
Router in andere Netze
Was ist 0.0.0.0/0?
Standardroute
Mini-Prüfung: Fehlerbild erkennen
Fehlerbild
Wahrscheinlichstes Thema
169.254.x.x
DHCP nicht erreicht
lokale Geräte erreichbar, Internet nicht
Gateway, Routing, NAT, Firewall
IP erreichbar, Name nicht
DNS
ping geht, HTTPS nicht
Port, Dienst, Firewall, TLS, Anwendung
Gateway außerhalb des Subnetzes
falsche IP-Konfiguration
anderes Subnetz nicht erreichbar
Routing oder Firewall
traceroute endet früh
Routing, Firewall oder Provider
Broadcastadresse als Host eingetragen
falsche IP-Konfiguration
Netzadresse als Host eingetragen
falsche IP-Konfiguration
Rückantwort kommt nicht an
Rückroute, Gateway oder Firewall
IHK-sichere Kurzformulierung
Die OSI-Schicht 3 ist die Vermittlungs- oder Netzwerkschicht. Sie ist für logische Adressierung und Routing zwischen IP-Netzen zuständig. IPv4-Adressen haben 32 Bit und werden mit einer Subnetzmaske oder einem Präfix in Netz- und Hostanteil aufgeteilt. Die Netzadresse ist die erste Adresse eines Subnetzes, die Broadcastadresse die letzte Adresse. Beide werden in normalen IPv4-Subnetzen nicht als Hostadressen verwendet. Das Standardgateway ist der Router, über den ein Client andere Netze erreicht und muss im lokalen Subnetz erreichbar sein. ICMP dient Kontroll- und Diagnosemeldungen, zum Beispiel bei ping oder traceroute. ping prüft ICMP-Erreichbarkeit, ersetzt aber keinen Port- oder Diensttest.
Merksätze
Schicht 3 ist die Vermittlungsschicht.
Schicht 3 arbeitet mit IP-Adressen.
Routing verbindet IP-Netze.
IPv4 hat 32 Bit.
Präfix = Netzbits.
Hostbits = 32 minus Präfix.
Nutzbare Hosts = 2 hoch Hostbits minus 2.
Netzadresse = erste Adresse im Subnetz.
Broadcastadresse = letzte Adresse im Subnetz.
Netzadresse nicht als Host verwenden.
Broadcastadresse nicht als Host verwenden.
Erste nutzbare Adresse = Netzadresse + 1.
Letzte nutzbare Adresse = Broadcastadresse - 1.
Präfix größer:
Netz kleiner.
Präfix kleiner:
Netz größer.
/24 hat 254 nutzbare Hosts.
/25 hat 126 nutzbare Hosts.
/26 hat 62 nutzbare Hosts.
/27 hat 30 nutzbare Hosts.
/28 hat 14 nutzbare Hosts.
Gateway = Ausgang in andere Netze.
Gateway muss im lokalen Subnetz liegen.
Standardroute = 0.0.0.0/0.
Spezifischste Route gewinnt.
ICMP gehört zu Schicht 3.
ping prüft ICMP.
ping ist kein Diensttest.
traceroute zeigt den Weg über Router.
IP ja,
Name nein:
DNS.
Lokal ja,
extern nein:
Gateway,
Routing,
NAT
oder Firewall.
169.254.x.x:
DHCP nicht erreicht.
Rückroute nicht vergessen.
20.5 Trainer - Schicht 4 / TCP, UDP, Ports und Schicht 4
Diese Trainer-Seite wiederholt die OSI-Schicht 4,
TCP,
UDP,
Ports
und typische Fehlerbilder auf der Transportschicht.
Ziel ist,
Prüfungsfragen zu zuverlässiger Übertragung,
verbindungsloser Übertragung,
Portnummern,
Dienstzuordnung
und Firewall-Fehlersuche sicher zu beantworten.
Merksatz:
Schicht 4 fragt:
Ist der richtige Dienst über den richtigen Port erreichbar?
Lernziele
Nach dieser Seite solltest du sicher können:
- OSI-Schicht 4 einordnen
- TCP und UDP unterscheiden
- Ports erklären
- Quellport und Zielport unterscheiden
- wichtige Standardports nennen
- TCP-Verbindungsaufbau erklären
- typische TCP-Status einordnen
- Portprobleme erkennen
- erklären,
warum ping keinen Porttest ersetzt
Kurzüberblick: OSI-Schicht 4
OSI-Schicht 4 heißt:
Transportschicht
Aufgabe:
Ende-zu-Ende-Kommunikation zwischen Anwendungen ermöglichen.
Typische Begriffe:
TCP
UDP
Port
Segment
Datagramm
Verbindungsaufbau
Three-Way Handshake
LISTEN
ESTABLISHED
Merksatz:
Schicht 4 ordnet Netzwerkverkehr dem richtigen Dienst zu.
TCP kurz erklärt
TCP steht für:
Transmission Control Protocol
Eigenschaften:
verbindungsorientiert
zuverlässig
bestätigt Daten
stellt Reihenfolge sicher
sendet verlorene Daten erneut
nutzt Ports
Typische Dienste:
HTTPS
SSH
SMTP
IMAP
SMB
RDP
Merksatz:
TCP = zuverlässig und verbindungsorientiert.
UDP kurz erklärt
UDP steht für:
User Datagram Protocol
Eigenschaften:
verbindungslos
schnell
wenig Overhead
keine eingebaute Zustellgarantie
keine eingebaute Reihenfolgegarantie
nutzt Ports
Typische Dienste:
DNS
DHCP
NTP
SNMP
VoIP
Streaming
Merksatz:
UDP = schnell,
schlank
und verbindungslos.
Aufgabe 1
Wie heißt OSI-Schicht 4?
Antwort anzeigen
OSI-Schicht 4 heißt:
Transportschicht
Englisch:
Transport Layer
Aufgabe:
Kommunikation zwischen Anwendungen oder Prozessen über Ports ermöglichen.
Merksatz:
Schicht 4 = TCP,
UDP
und Ports.
Aufgabe 2
Welche Protokolle gehören typisch zu OSI-Schicht 4?
A: TCP und UDP
B: IP und ICMP
C: Ethernet und ARP
D: HTTP und DNS
Antwort anzeigen
Richtig ist:
A: TCP und UDP
Begründung:
TCP und UDP sind Transportprotokolle
und gehören zur OSI-Schicht 4.
Merksatz:
TCP und UDP = Transportschicht.
Aufgabe 3
Was ist ein Port?
Antwort anzeigen
Ein Port ist eine logische Nummer,
mit der ein Dienst oder Prozess auf einem Host angesprochen wird.
Beispiel:
192.168.1.10:443
Bedeutung:
Host:
192.168.1.10
Dienst:
Port 443
Merksatz:
IP findet den Host.
Port findet den Dienst.
Aufgabe 4
Welche OSI-Schicht ist für Portnummern zuständig?
Antwort anzeigen
Portnummern gehören zu:
OSI-Schicht 4
Begründung:
Ports werden von TCP und UDP genutzt,
um Daten dem richtigen Dienst oder Prozess zuzuordnen.
Merksatz:
Ports = Schicht 4.
Aufgabe 5
Was ist der Unterschied zwischen IP-Adresse und Port?
Antwort anzeigen
IP-Adresse:
identifiziert den Host logisch im Netzwerk
Port:
identifiziert den Dienst oder Prozess auf diesem Host
Beispiel:
192.168.1.10:22
192.168.1.10 = Host
22 = SSH-Dienst
Merksatz:
IP = welcher Rechner?
Port = welcher Dienst?
Aufgabe 6
Was ist der Unterschied zwischen Quellport und Zielport?
Antwort anzeigen
Quellport:
Port auf dem sendenden System
beim Client oft dynamisch
Zielport:
Port des angesprochenen Dienstes auf dem Server
Beispiel:
Client:
192.168.1.50:52344
Server:
93.184.216.34:443
Hier ist 52344 der Quellport
und 443 der Zielport.
Merksatz:
Zielport zeigt meistens den Dienst.
Aufgabe 7
Welche Aussage ist richtig?
A: TCP ist verbindungslos.
B: UDP garantiert die Reihenfolge der Pakete.
C: TCP ist verbindungsorientiert und zuverlässig.
D: Ports gehören zu OSI-Schicht 3.
Antwort anzeigen
Richtig ist:
C: TCP ist verbindungsorientiert und zuverlässig.
Begründung:
TCP baut eine Verbindung auf,
bestätigt Daten
und kann verlorene Daten erneut übertragen.
Merksatz:
TCP = zuverlässig.
Aufgabe 8
Welche Aussage ist richtig?
A: UDP ist immer besser als TCP.
B: UDP ist verbindungslos und hat wenig Overhead.
C: UDP baut immer einen Three-Way Handshake auf.
D: UDP nutzt keine Ports.
Antwort anzeigen
Richtig ist:
B: UDP ist verbindungslos und hat wenig Overhead.
Begründung:
UDP verzichtet auf einen Verbindungsaufbau
und auf eingebaute Zustellgarantien.
Dadurch ist es schlanker und schneller,
aber weniger zuverlässig als TCP.
Merksatz:
UDP = verbindungslos und schlank.
Aufgabe 9
Vergleiche TCP und UDP.
Merkmal
TCP
UDP
Verbindung
?
?
Zuverlässigkeit
?
?
Overhead
?
?
Beispiel
?
?
Antwort anzeigen
Merkmal
TCP
UDP
Verbindung
verbindungsorientiert
verbindungslos
Zuverlässigkeit
eingebaut
keine eingebaute Garantie
Overhead
höher
geringer
Beispiel
HTTPS, SSH, SMB
DNS, DHCP, VoIP
Merksatz:
TCP für zuverlässige Übertragung.
UDP für schnelle und schlanke Kommunikation.
Aufgabe 10
Was ist der TCP Three-Way Handshake?
Antwort anzeigen
Der TCP Three-Way Handshake ist der Verbindungsaufbau bei TCP.
Ablauf:
1. SYN
2. SYN-ACK
3. ACK
Bedeutung:
Client fragt Verbindung an.
Server bestätigt und antwortet.
Client bestätigt die Verbindung.
Merksatz:
TCP startet mit SYN,
SYN-ACK,
ACK.
Aufgabe 11
Warum hat TCP mehr Overhead als UDP?
Antwort anzeigen
TCP hat mehr Overhead,
weil es zusätzliche Funktionen bietet.
Dazu gehören:
Verbindungsaufbau
Bestätigungen
Sequenznummern
erneute Übertragung
Reihenfolgeprüfung
Flusskontrolle
Merksatz:
TCP ist aufwendiger,
weil es Zuverlässigkeit bietet.
Aufgabe 12
Warum wird UDP häufig für DNS verwendet?
Antwort anzeigen
DNS-Anfragen sind oft klein
und sollen schnell beantwortet werden.
UDP ist dafür geeignet,
weil es wenig Overhead hat
und keinen TCP-Verbindungsaufbau benötigt.
Wichtig:
DNS kann bei Bedarf auch TCP 53 nutzen.
Merksatz:
DNS nutzt häufig UDP 53,
aber TCP 53 nicht vergessen.
Aufgabe 13
Warum eignet sich UDP für VoIP?
Antwort anzeigen
Bei VoIP ist geringe Verzögerung wichtig.
Ein verlorenes Sprachpaket ist meist weniger schlimm
als eine stark verspätete Übertragung.
UDP ist dafür geeignet,
weil es schnell und verbindungslos arbeitet.
Merksatz:
VoIP braucht geringe Latenz,
daher ist UDP sinnvoll.
Aufgabe 14
Ordne zu.
Dienst
TCP oder UDP?
Port
SSH
?
?
HTTPS
?
?
DNS
?
?
DHCP Server
?
?
RDP
?
?
SMB
?
?
Antwort anzeigen
Dienst
TCP oder UDP?
Port
SSH
TCP
22
HTTPS
TCP
443
DNS
UDP/TCP
53
DHCP Server
UDP
67
RDP
TCP
3389
SMB
TCP
445
Merksatz:
Portnummer immer mit TCP oder UDP lernen.
Aufgabe 15
Welchen Port nutzt SSH typischerweise?
Antwort anzeigen
SSH nutzt typischerweise:
TCP 22
SSH steht für:
Secure Shell
Merksatz:
SSH = TCP 22.
Aufgabe 16
Welchen Port nutzt HTTPS typischerweise?
Antwort anzeigen
HTTPS nutzt typischerweise:
TCP 443
HTTPS bedeutet:
HTTP über TLS
Merksatz:
HTTPS = TCP 443.
Aufgabe 17
Welche Ports nutzt DHCP?
Antwort anzeigen
DHCP nutzt:
UDP 67 für den DHCP-Server
UDP 68 für den DHCP-Client
Merksatz:
DHCP = UDP 67 und 68.
Aufgabe 18
Welchen Port nutzt DNS?
Antwort anzeigen
DNS nutzt:
UDP 53
und bei Bedarf:
TCP 53
Merksatz:
DNS = UDP/TCP 53.
Aufgabe 19
Welchen Port nutzt SMB typischerweise?
Antwort anzeigen
SMB nutzt typischerweise:
TCP 445
SMB wird genutzt für:
Datei- und Druckfreigaben
Netzlaufwerke
Merksatz:
SMB = TCP 445.
Aufgabe 20
Welchen Port nutzt RDP typischerweise?
Antwort anzeigen
RDP nutzt typischerweise:
TCP 3389
RDP steht für:
Remote Desktop Protocol
Merksatz:
RDP = TCP 3389.
Aufgabe 21
Was bedeutet LISTEN bei TCP?
Antwort anzeigen
LISTEN bedeutet:
Ein Dienst wartet auf eingehende Verbindungen.
Beispiel:
Ein Webserver lauscht auf TCP 443.
Merksatz:
LISTEN = Dienst wartet auf Verbindung.
Aufgabe 22
Was bedeutet ESTABLISHED bei TCP?
Antwort anzeigen
ESTABLISHED bedeutet:
Eine TCP-Verbindung besteht.
Client und Server haben eine aktive Verbindung aufgebaut.
Merksatz:
ESTABLISHED = Verbindung besteht.
Aufgabe 23
Was bedeutet SYN_SENT?
Antwort anzeigen
SYN_SENT bedeutet:
Der Client hat einen Verbindungsaufbau gestartet
und wartet auf eine Antwort.
Mögliche Ursache,
wenn es hängen bleibt:
Ziel antwortet nicht
Firewall blockiert
Dienst läuft nicht
Routingproblem
Merksatz:
SYN_SENT hängt oft bei fehlender Antwort.
Aufgabe 24
Ein Host ist per ping erreichbar,
aber SSH funktioniert nicht.
Was ist wahrscheinlich?
Antwort anzeigen
Ping prüft ICMP.
SSH nutzt TCP 22.
Mögliche Ursachen:
TCP 22 blockiert
SSH-Dienst läuft nicht
SSH lauscht auf anderem Port
Firewall blockiert
Zugriff nur aus bestimmten Netzen erlaubt
Benutzer oder Schlüssel falsch
Merksatz:
Host erreichbar heißt nicht,
dass der Dienst erreichbar ist.
Aufgabe 25
Ein Webserver antwortet nicht auf HTTPS,
ping funktioniert aber.
Was sollte geprüft werden?
Antwort anzeigen
Zu prüfen:
TCP 443 erreichbar?
Webserver läuft?
Dienst lauscht auf Port 443?
Firewall erlaubt TCP 443?
Reverse Proxy korrekt?
TLS-Zertifikat korrekt?
Anwendung fehlerfrei?
Merksatz:
ping geht,
HTTPS nicht:
TCP 443,
Dienst
und Firewall prüfen.
Aufgabe 26
Warum ersetzt ping keinen Porttest?
Antwort anzeigen
ping prüft ICMP-Erreichbarkeit.
ping prüft nicht:
TCP 22
TCP 443
TCP 445
UDP 53
Dienststatus
Anmeldung
Rechte
Anwendung
Merksatz:
ping prüft Host-Erreichbarkeit,
nicht Dienstfunktion.
Aufgabe 27
Welche Angaben braucht man für eine saubere Firewall-Regel?
Antwort anzeigen
Eine saubere Firewall-Regel enthält:
Quelle
Ziel
Protokoll
Port
Richtung
Aktion
Zweck
Beispiel:
Quelle:
Adminnetz
Ziel:
Server
Protokoll:
TCP
Port:
22
Aktion:
erlauben
Zweck:
SSH-Administration
Merksatz:
Firewall-Regeln brauchen Quelle,
Ziel,
Port
und Protokoll.
Aufgabe 28
Warum ist die Angabe „Port 53 erlauben“ ungenau?
Antwort anzeigen
Die Angabe ist ungenau,
weil nicht klar ist,
ob TCP 53,
UDP 53
oder beides gemeint ist.
Bei DNS ist wichtig:
UDP 53 für normale Abfragen
TCP 53 für große Antworten,
Zonentransfers
oder bestimmte Spezialfälle
Merksatz:
Portnummer ohne TCP oder UDP ist unvollständig.
Aufgabe 29
Was ist ein Well-Known Port?
Antwort anzeigen
Well-Known Ports sind bekannte Standardports.
Bereich:
0 bis 1023
Beispiele:
TCP 22 SSH
TCP 80 HTTP
TCP 443 HTTPS
UDP/TCP 53 DNS
Merksatz:
Well-Known Ports sind bekannte Dienstports.
Aufgabe 30
Was sind dynamische oder ephemeral Ports?
Antwort anzeigen
Dynamische Ports werden häufig von Clients als Quellports verwendet.
Bereich:
49152 bis 65535
Beispiel:
Client nutzt Quellport 52344
und verbindet sich zu Server TCP 443.
Merksatz:
Server hat bekannten Zielport.
Client nutzt oft dynamischen Quellport.
Aufgabe 31
Ein Client verbindet sich zu einem Webserver.
Client:
192.168.1.50:52344
Server:
93.184.216.34:443
Welcher Port zeigt den Webdienst?
Antwort anzeigen
Der Webdienst wird durch den Zielport angezeigt:
TCP 443
Der Quellport 52344 ist ein dynamischer Clientport.
Merksatz:
Zielport zeigt den Dienst.
Aufgabe 32
Warum sollte RDP nicht direkt aus dem Internet erreichbar sein?
Antwort anzeigen
RDP ist ein häufiges Angriffsziel.
Risiken:
Brute-Force-Angriffe
Credential Stuffing
Exploits
unberechtigter Fernzugriff
Sicherer:
VPN
RDP-Gateway
MFA
Firewall-Beschränkung auf bekannte Quellnetze
Logging
Merksatz:
RDP nicht offen ins Internet stellen.
Aufgabe 33
Warum sollte SMB nicht direkt aus dem Internet erreichbar sein?
Antwort anzeigen
SMB ist für Datei- und Druckfreigaben gedacht
und sollte nicht öffentlich erreichbar sein.
Risiken:
Datenabfluss
Malware-Ausbreitung
Brute Force
Ausnutzung von Schwachstellen
Zugriff auf interne Freigaben
Merksatz:
SMB gehört nicht offen ins Internet.
Aufgabe 34
Was ist der Unterschied zwischen FTP,
FTPS
und SFTP?
Antwort anzeigen
FTP:
klassisches File Transfer Protocol
meist TCP 21
unverschlüsselt
FTPS:
FTP mit TLS-Verschlüsselung
SFTP:
Dateiübertragung über SSH
nutzt TCP 22
Merksatz:
FTPS = FTP mit TLS.
SFTP = Dateiübertragung über SSH.
Aufgabe 35
Welche Aussage ist richtig?
A: SFTP nutzt normalerweise TCP 22.
B: SFTP ist dasselbe wie FTPS.
C: FTP ist immer verschlüsselt.
D: SMB nutzt UDP 53.
Antwort anzeigen
Richtig ist:
A: SFTP nutzt normalerweise TCP 22.
Begründung:
SFTP läuft über SSH
und nutzt daher typischerweise TCP 22.
Merksatz:
SFTP gehört zu SSH,
nicht zu FTPS.
Aufgabe 36
Ein Dienst ist auf dem Server installiert,
aber von außen nicht erreichbar.
Welche Schicht-4-Prüfungen sind sinnvoll?
Antwort anzeigen
Sinnvolle Prüfungen:
Lauscht der Dienst auf dem erwarteten Port?
Nutzt er TCP oder UDP?
Lauscht er auf der richtigen Schnittstelle?
Blockiert die lokale Firewall?
Blockiert eine Netzwerkfirewall?
Ist NAT oder Portweiterleitung korrekt?
Gibt es Logs?
Merksatz:
Bei Dienstproblemen Port,
Protokoll,
Dienststatus
und Firewall prüfen.
Aufgabe 37
Ein DNS-Server antwortet nicht.
Welche Portregel könnte fehlen?
Antwort anzeigen
Möglicherweise fehlt:
UDP 53
und je nach Fall auch:
TCP 53
Begründung:
DNS nutzt meistens UDP 53,
kann aber auch TCP 53 verwenden.
Merksatz:
DNS-Firewallregel:
UDP 53 nicht vergessen,
TCP 53 mitdenken.
Aufgabe 38
Welche Antwort ist besser?
Aufgabe:
Ein Server ist pingbar,
aber die Webseite funktioniert nicht.
Nennen Sie eine wahrscheinliche Ursache.
Antwort A:
Netzwerk kaputt.
Antwort B:
ICMP-Erreichbarkeit ist vorhanden,
aber der Webdienst auf TCP 80 oder TCP 443 könnte blockiert sein,
nicht laufen
oder falsch konfiguriert sein.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort unterscheidet zwischen Host-Erreichbarkeit per ICMP
und Dienst-Erreichbarkeit über TCP-Port.
Merksatz:
Fehlerbild genau nach Protokoll einordnen.
Aufgabe 39
Welche Antwort ist besser?
Aufgabe:
Warum muss man bei Firewall-Regeln TCP und UDP unterscheiden?
Antwort A:
Weil das immer so ist.
Antwort B:
TCP und UDP sind unterschiedliche Transportprotokolle.
Eine Regel für TCP 53 erlaubt nicht automatisch UDP 53.
Deshalb müssen Protokoll und Port gemeinsam angegeben werden.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort erklärt,
warum die Protokollangabe technisch relevant ist.
Merksatz:
Port plus Protokoll nennen.
Aufgabe 40
Welche Antwort ist besser?
Aufgabe:
Warum eignet sich TCP für Dateiübertragung?
Antwort A:
Weil TCP halt normal ist.
Antwort B:
TCP eignet sich,
weil es verbindungsorientiert und zuverlässig ist,
Daten bestätigt,
verlorene Daten erneut überträgt
und die Reihenfolge sicherstellt.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort nennt die technischen Eigenschaften,
die bei Dateiübertragung wichtig sind.
Merksatz:
Bei Begründungen immer die passende Eigenschaft nennen.
Mini-Prüfung: schnelle Zuordnung
Frage
Antwort
Welche OSI-Schicht ist TCP?
Schicht 4
Welche OSI-Schicht ist UDP?
Schicht 4
Welche OSI-Schicht sind Ports?
Schicht 4
Wofür steht TCP?
Transmission Control Protocol
Wofür steht UDP?
User Datagram Protocol
Was ist TCP?
verbindungsorientiert und zuverlässig
Was ist UDP?
verbindungslos und schlank
Wie startet TCP?
SYN, SYN-ACK, ACK
Was bedeutet LISTEN?
Dienst wartet auf Verbindung
Was bedeutet ESTABLISHED?
Verbindung besteht
Welcher Port ist SSH?
TCP 22
Welcher Port ist HTTPS?
TCP 443
Welcher Port ist SMB?
TCP 445
Welcher Port ist RDP?
TCP 3389
Welcher Port ist DNS?
UDP/TCP 53
Welche Ports nutzt DHCP?
UDP 67 und 68
Mini-Prüfung: Fehlerbild erkennen
Fehlerbild
Wahrscheinlichstes Thema
ping geht, SSH nicht
TCP 22, SSH-Dienst, Firewall
ping geht, HTTPS nicht
TCP 443, Webdienst, Firewall, TLS
DNS antwortet nicht
UDP/TCP 53, DNS-Server, Firewall
DHCP funktioniert nicht
UDP 67/68, VLAN, Relay, Scope
Dienst lauscht nicht
Dienststatus oder Portkonfiguration
Port offen, Login scheitert
Authentifizierung
Port offen, Zugriff verweigert
Autorisierung
SYN_SENT bleibt stehen
keine Antwort, Firewall, Dienst oder Routing
RDP aus Internet erreichbar
Sicherheitsrisiko
SMB öffentlich erreichbar
hohes Sicherheitsrisiko
IHK-sichere Kurzformulierung
Die OSI-Schicht 4 ist die Transportschicht. Sie sorgt dafür, dass Daten dem richtigen Dienst oder Prozess zugeordnet werden. Dafür nutzen TCP und UDP Portnummern. TCP ist verbindungsorientiert und zuverlässig. Es baut eine Verbindung über den Three-Way Handshake auf, bestätigt Daten und kann verlorene Daten erneut übertragen. UDP ist verbindungslos, schlank und hat keine eingebaute Zustellgarantie. Es eignet sich für schnelle oder zeitkritische Kommunikation wie DNS, DHCP, NTP oder VoIP. Bei der Fehlersuche muss zwischen Host-Erreichbarkeit und Dienst-Erreichbarkeit unterschieden werden. ping prüft ICMP, aber nicht, ob ein TCP- oder UDP-Port erreichbar ist.
Merksätze
Schicht 4 ist die Transportschicht.
TCP und UDP gehören zu Schicht 4.
Ports gehören zu Schicht 4.
IP findet den Host.
Port findet den Dienst.
Zielport zeigt meist den Dienst.
Quellport ist beim Client oft dynamisch.
TCP ist verbindungsorientiert.
TCP ist zuverlässig.
TCP bestätigt Daten.
TCP stellt Reihenfolge sicher.
TCP startet mit SYN,
SYN-ACK,
ACK.
UDP ist verbindungslos.
UDP ist schlank.
UDP hat keine eingebaute Zustellgarantie.
UDP ist nicht schlechter,
sondern für andere Anforderungen gebaut.
SSH nutzt TCP 22.
HTTP nutzt TCP 80.
HTTPS nutzt TCP 443.
DNS nutzt UDP und TCP 53.
DHCP nutzt UDP 67 und 68.
SMB nutzt TCP 445.
RDP nutzt TCP 3389.
LISTEN heißt:
Dienst wartet.
ESTABLISHED heißt:
Verbindung besteht.
ping ist kein Porttest.
Host erreichbar heißt nicht Dienst erreichbar.
Portnummer ohne TCP oder UDP ist unvollständig.
Firewall-Regeln brauchen Quelle,
Ziel,
Port
und Protokoll.
RDP nicht offen ins Internet stellen.
SMB nicht offen ins Internet stellen.
SFTP nutzt SSH und damit TCP 22.
FTPS ist FTP mit TLS.
Bei Dienstproblemen:
Port,
Protokoll,
Dienststatus
und Firewall prüfen.
20.6 Trainer – Schicht 4 / TCP, UDP, Ports und Schicht 4
Diese Trainer-Seite wiederholt die OSI-Schicht 4,
TCP,
UDP,
Ports
und typische Fehlerbilder auf der Transportschicht.
Ziel ist,
Prüfungsfragen zu zuverlässiger Übertragung,
verbindungsloser Übertragung,
Portnummern,
Dienstzuordnung
und Firewall-Fehlersuche sicher zu beantworten.
Merksatz:
Schicht 4 fragt:
Ist der richtige Dienst über den richtigen Port erreichbar?
Lernziele
Nach dieser Seite solltest du sicher können:
- OSI-Schicht 4 einordnen
- TCP und UDP unterscheiden
- Ports erklären
- Quellport und Zielport unterscheiden
- wichtige Standardports nennen
- TCP-Verbindungsaufbau erklären
- typische TCP-Status einordnen
- Portprobleme erkennen
- erklären,
warum ping keinen Porttest ersetzt
Kurzüberblick: OSI-Schicht 4
OSI-Schicht 4 heißt:
Transportschicht
Aufgabe:
Ende-zu-Ende-Kommunikation zwischen Anwendungen ermöglichen.
Typische Begriffe:
TCP
UDP
Port
Segment
Datagramm
Verbindungsaufbau
Three-Way Handshake
LISTEN
ESTABLISHED
Merksatz:
Schicht 4 ordnet Netzwerkverkehr dem richtigen Dienst zu.
TCP kurz erklärt
TCP steht für:
Transmission Control Protocol
Eigenschaften:
verbindungsorientiert
zuverlässig
bestätigt Daten
stellt Reihenfolge sicher
sendet verlorene Daten erneut
nutzt Ports
Typische Dienste:
HTTPS
SSH
SMTP
IMAP
SMB
RDP
Merksatz:
TCP = zuverlässig und verbindungsorientiert.
UDP kurz erklärt
UDP steht für:
User Datagram Protocol
Eigenschaften:
verbindungslos
schnell
wenig Overhead
keine eingebaute Zustellgarantie
keine eingebaute Reihenfolgegarantie
nutzt Ports
Typische Dienste:
DNS
DHCP
NTP
SNMP
VoIP
Streaming
Merksatz:
UDP = schnell,
schlank
und verbindungslos.
Aufgabe 1
Wie heißt OSI-Schicht 4?
Antwort anzeigen
OSI-Schicht 4 heißt:
Transportschicht
Englisch:
Transport Layer
Aufgabe:
Kommunikation zwischen Anwendungen oder Prozessen über Ports ermöglichen.
Merksatz:
Schicht 4 = TCP,
UDP
und Ports.
Aufgabe 2
Welche Protokolle gehören typisch zu OSI-Schicht 4?
A: TCP und UDP
B: IP und ICMP
C: Ethernet und ARP
D: HTTP und DNS
Antwort anzeigen
Richtig ist:
A: TCP und UDP
Begründung:
TCP und UDP sind Transportprotokolle
und gehören zur OSI-Schicht 4.
Merksatz:
TCP und UDP = Transportschicht.
Aufgabe 3
Was ist ein Port?
Antwort anzeigen
Ein Port ist eine logische Nummer,
mit der ein Dienst oder Prozess auf einem Host angesprochen wird.
Beispiel:
192.168.1.10:443
Bedeutung:
Host:
192.168.1.10
Dienst:
Port 443
Merksatz:
IP findet den Host.
Port findet den Dienst.
Aufgabe 4
Welche OSI-Schicht ist für Portnummern zuständig?
Antwort anzeigen
Portnummern gehören zu:
OSI-Schicht 4
Begründung:
Ports werden von TCP und UDP genutzt,
um Daten dem richtigen Dienst oder Prozess zuzuordnen.
Merksatz:
Ports = Schicht 4.
Aufgabe 5
Was ist der Unterschied zwischen IP-Adresse und Port?
Antwort anzeigen
IP-Adresse:
identifiziert den Host logisch im Netzwerk
Port:
identifiziert den Dienst oder Prozess auf diesem Host
Beispiel:
192.168.1.10:22
192.168.1.10 = Host
22 = SSH-Dienst
Merksatz:
IP = welcher Rechner?
Port = welcher Dienst?
Aufgabe 6
Was ist der Unterschied zwischen Quellport und Zielport?
Antwort anzeigen
Quellport:
Port auf dem sendenden System
beim Client oft dynamisch
Zielport:
Port des angesprochenen Dienstes auf dem Server
Beispiel:
Client:
192.168.1.50:52344
Server:
93.184.216.34:443
Hier ist 52344 der Quellport
und 443 der Zielport.
Merksatz:
Zielport zeigt meistens den Dienst.
Aufgabe 7
Welche Aussage ist richtig?
A: TCP ist verbindungslos.
B: UDP garantiert die Reihenfolge der Pakete.
C: TCP ist verbindungsorientiert und zuverlässig.
D: Ports gehören zu OSI-Schicht 3.
Antwort anzeigen
Richtig ist:
C: TCP ist verbindungsorientiert und zuverlässig.
Begründung:
TCP baut eine Verbindung auf,
bestätigt Daten
und kann verlorene Daten erneut übertragen.
Merksatz:
TCP = zuverlässig.
Aufgabe 8
Welche Aussage ist richtig?
A: UDP ist immer besser als TCP.
B: UDP ist verbindungslos und hat wenig Overhead.
C: UDP baut immer einen Three-Way Handshake auf.
D: UDP nutzt keine Ports.
Antwort anzeigen
Richtig ist:
B: UDP ist verbindungslos und hat wenig Overhead.
Begründung:
UDP verzichtet auf einen Verbindungsaufbau
und auf eingebaute Zustellgarantien.
Dadurch ist es schlanker und schneller,
aber weniger zuverlässig als TCP.
Merksatz:
UDP = verbindungslos und schlank.
Aufgabe 9
Vergleiche TCP und UDP.
Merkmal
TCP
UDP
Verbindung
?
?
Zuverlässigkeit
?
?
Overhead
?
?
Beispiel
?
?
Antwort anzeigen
Merkmal
TCP
UDP
Verbindung
verbindungsorientiert
verbindungslos
Zuverlässigkeit
eingebaut
keine eingebaute Garantie
Overhead
höher
geringer
Beispiel
HTTPS, SSH, SMB
DNS, DHCP, VoIP
Merksatz:
TCP für zuverlässige Übertragung.
UDP für schnelle und schlanke Kommunikation.
Aufgabe 10
Was ist der TCP Three-Way Handshake?
Antwort anzeigen
Der TCP Three-Way Handshake ist der Verbindungsaufbau bei TCP.
Ablauf:
1. SYN
2. SYN-ACK
3. ACK
Bedeutung:
Client fragt Verbindung an.
Server bestätigt und antwortet.
Client bestätigt die Verbindung.
Merksatz:
TCP startet mit SYN,
SYN-ACK,
ACK.
Aufgabe 11
Warum hat TCP mehr Overhead als UDP?
Antwort anzeigen
TCP hat mehr Overhead,
weil es zusätzliche Funktionen bietet.
Dazu gehören:
Verbindungsaufbau
Bestätigungen
Sequenznummern
erneute Übertragung
Reihenfolgeprüfung
Flusskontrolle
Merksatz:
TCP ist aufwendiger,
weil es Zuverlässigkeit bietet.
Aufgabe 12
Warum wird UDP häufig für DNS verwendet?
Antwort anzeigen
DNS-Anfragen sind oft klein
und sollen schnell beantwortet werden.
UDP ist dafür geeignet,
weil es wenig Overhead hat
und keinen TCP-Verbindungsaufbau benötigt.
Wichtig:
DNS kann bei Bedarf auch TCP 53 nutzen.
Merksatz:
DNS nutzt häufig UDP 53,
aber TCP 53 nicht vergessen.
Aufgabe 13
Warum eignet sich UDP für VoIP?
Antwort anzeigen
Bei VoIP ist geringe Verzögerung wichtig.
Ein verlorenes Sprachpaket ist meist weniger schlimm
als eine stark verspätete Übertragung.
UDP ist dafür geeignet,
weil es schnell und verbindungslos arbeitet.
Merksatz:
VoIP braucht geringe Latenz,
daher ist UDP sinnvoll.
Aufgabe 14
Ordne zu.
Dienst
TCP oder UDP?
Port
SSH
?
?
HTTPS
?
?
DNS
?
?
DHCP Server
?
?
RDP
?
?
SMB
?
?
Antwort anzeigen
Dienst
TCP oder UDP?
Port
SSH
TCP
22
HTTPS
TCP
443
DNS
UDP/TCP
53
DHCP Server
UDP
67
RDP
TCP
3389
SMB
TCP
445
Merksatz:
Portnummer immer mit TCP oder UDP lernen.
Aufgabe 15
Welchen Port nutzt SSH typischerweise?
Antwort anzeigen
SSH nutzt typischerweise:
TCP 22
SSH steht für:
Secure Shell
Merksatz:
SSH = TCP 22.
Aufgabe 16
Welchen Port nutzt HTTPS typischerweise?
Antwort anzeigen
HTTPS nutzt typischerweise:
TCP 443
HTTPS bedeutet:
HTTP über TLS
Merksatz:
HTTPS = TCP 443.
Aufgabe 17
Welche Ports nutzt DHCP?
Antwort anzeigen
DHCP nutzt:
UDP 67 für den DHCP-Server
UDP 68 für den DHCP-Client
Merksatz:
DHCP = UDP 67 und 68.
Aufgabe 18
Welchen Port nutzt DNS?
Antwort anzeigen
DNS nutzt:
UDP 53
und bei Bedarf:
TCP 53
Merksatz:
DNS = UDP/TCP 53.
Aufgabe 19
Welchen Port nutzt SMB typischerweise?
Antwort anzeigen
SMB nutzt typischerweise:
TCP 445
SMB wird genutzt für:
Datei- und Druckfreigaben
Netzlaufwerke
Merksatz:
SMB = TCP 445.
Aufgabe 20
Welchen Port nutzt RDP typischerweise?
Antwort anzeigen
RDP nutzt typischerweise:
TCP 3389
RDP steht für:
Remote Desktop Protocol
Merksatz:
RDP = TCP 3389.
Aufgabe 21
Was bedeutet LISTEN bei TCP?
Antwort anzeigen
LISTEN bedeutet:
Ein Dienst wartet auf eingehende Verbindungen.
Beispiel:
Ein Webserver lauscht auf TCP 443.
Merksatz:
LISTEN = Dienst wartet auf Verbindung.
Aufgabe 22
Was bedeutet ESTABLISHED bei TCP?
Antwort anzeigen
ESTABLISHED bedeutet:
Eine TCP-Verbindung besteht.
Client und Server haben eine aktive Verbindung aufgebaut.
Merksatz:
ESTABLISHED = Verbindung besteht.
Aufgabe 23
Was bedeutet SYN_SENT?
Antwort anzeigen
SYN_SENT bedeutet:
Der Client hat einen Verbindungsaufbau gestartet
und wartet auf eine Antwort.
Mögliche Ursache,
wenn es hängen bleibt:
Ziel antwortet nicht
Firewall blockiert
Dienst läuft nicht
Routingproblem
Merksatz:
SYN_SENT hängt oft bei fehlender Antwort.
Aufgabe 24
Ein Host ist per ping erreichbar,
aber SSH funktioniert nicht.
Was ist wahrscheinlich?
Antwort anzeigen
Ping prüft ICMP.
SSH nutzt TCP 22.
Mögliche Ursachen:
TCP 22 blockiert
SSH-Dienst läuft nicht
SSH lauscht auf anderem Port
Firewall blockiert
Zugriff nur aus bestimmten Netzen erlaubt
Benutzer oder Schlüssel falsch
Merksatz:
Host erreichbar heißt nicht,
dass der Dienst erreichbar ist.
Aufgabe 25
Ein Webserver antwortet nicht auf HTTPS,
ping funktioniert aber.
Was sollte geprüft werden?
Antwort anzeigen
Zu prüfen:
TCP 443 erreichbar?
Webserver läuft?
Dienst lauscht auf Port 443?
Firewall erlaubt TCP 443?
Reverse Proxy korrekt?
TLS-Zertifikat korrekt?
Anwendung fehlerfrei?
Merksatz:
ping geht,
HTTPS nicht:
TCP 443,
Dienst
und Firewall prüfen.
Aufgabe 26
Warum ersetzt ping keinen Porttest?
Antwort anzeigen
ping prüft ICMP-Erreichbarkeit.
ping prüft nicht:
TCP 22
TCP 443
TCP 445
UDP 53
Dienststatus
Anmeldung
Rechte
Anwendung
Merksatz:
ping prüft Host-Erreichbarkeit,
nicht Dienstfunktion.
Aufgabe 27
Welche Angaben braucht man für eine saubere Firewall-Regel?
Antwort anzeigen
Eine saubere Firewall-Regel enthält:
Quelle
Ziel
Protokoll
Port
Richtung
Aktion
Zweck
Beispiel:
Quelle:
Adminnetz
Ziel:
Server
Protokoll:
TCP
Port:
22
Aktion:
erlauben
Zweck:
SSH-Administration
Merksatz:
Firewall-Regeln brauchen Quelle,
Ziel,
Port
und Protokoll.
Aufgabe 28
Warum ist die Angabe „Port 53 erlauben“ ungenau?
Antwort anzeigen
Die Angabe ist ungenau,
weil nicht klar ist,
ob TCP 53,
UDP 53
oder beides gemeint ist.
Bei DNS ist wichtig:
UDP 53 für normale Abfragen
TCP 53 für große Antworten,
Zonentransfers
oder bestimmte Spezialfälle
Merksatz:
Portnummer ohne TCP oder UDP ist unvollständig.
Aufgabe 29
Was ist ein Well-Known Port?
Antwort anzeigen
Well-Known Ports sind bekannte Standardports.
Bereich:
0 bis 1023
Beispiele:
TCP 22 SSH
TCP 80 HTTP
TCP 443 HTTPS
UDP/TCP 53 DNS
Merksatz:
Well-Known Ports sind bekannte Dienstports.
Aufgabe 30
Was sind dynamische oder ephemeral Ports?
Antwort anzeigen
Dynamische Ports werden häufig von Clients als Quellports verwendet.
Bereich:
49152 bis 65535
Beispiel:
Client nutzt Quellport 52344
und verbindet sich zu Server TCP 443.
Merksatz:
Server hat bekannten Zielport.
Client nutzt oft dynamischen Quellport.
Aufgabe 31
Ein Client verbindet sich zu einem Webserver.
Client:
192.168.1.50:52344
Server:
93.184.216.34:443
Welcher Port zeigt den Webdienst?
Antwort anzeigen
Der Webdienst wird durch den Zielport angezeigt:
TCP 443
Der Quellport 52344 ist ein dynamischer Clientport.
Merksatz:
Zielport zeigt den Dienst.
Aufgabe 32
Warum sollte RDP nicht direkt aus dem Internet erreichbar sein?
Antwort anzeigen
RDP ist ein häufiges Angriffsziel.
Risiken:
Brute-Force-Angriffe
Credential Stuffing
Exploits
unberechtigter Fernzugriff
Sicherer:
VPN
RDP-Gateway
MFA
Firewall-Beschränkung auf bekannte Quellnetze
Logging
Merksatz:
RDP nicht offen ins Internet stellen.
Aufgabe 33
Warum sollte SMB nicht direkt aus dem Internet erreichbar sein?
Antwort anzeigen
SMB ist für Datei- und Druckfreigaben gedacht
und sollte nicht öffentlich erreichbar sein.
Risiken:
Datenabfluss
Malware-Ausbreitung
Brute Force
Ausnutzung von Schwachstellen
Zugriff auf interne Freigaben
Merksatz:
SMB gehört nicht offen ins Internet.
Aufgabe 34
Was ist der Unterschied zwischen FTP,
FTPS
und SFTP?
Antwort anzeigen
FTP:
klassisches File Transfer Protocol
meist TCP 21
unverschlüsselt
FTPS:
FTP mit TLS-Verschlüsselung
SFTP:
Dateiübertragung über SSH
nutzt TCP 22
Merksatz:
FTPS = FTP mit TLS.
SFTP = Dateiübertragung über SSH.
Aufgabe 35
Welche Aussage ist richtig?
A: SFTP nutzt normalerweise TCP 22.
B: SFTP ist dasselbe wie FTPS.
C: FTP ist immer verschlüsselt.
D: SMB nutzt UDP 53.
Antwort anzeigen
Richtig ist:
A: SFTP nutzt normalerweise TCP 22.
Begründung:
SFTP läuft über SSH
und nutzt daher typischerweise TCP 22.
Merksatz:
SFTP gehört zu SSH,
nicht zu FTPS.
Aufgabe 36
Ein Dienst ist auf dem Server installiert,
aber von außen nicht erreichbar.
Welche Schicht-4-Prüfungen sind sinnvoll?
Antwort anzeigen
Sinnvolle Prüfungen:
Lauscht der Dienst auf dem erwarteten Port?
Nutzt er TCP oder UDP?
Lauscht er auf der richtigen Schnittstelle?
Blockiert die lokale Firewall?
Blockiert eine Netzwerkfirewall?
Ist NAT oder Portweiterleitung korrekt?
Gibt es Logs?
Merksatz:
Bei Dienstproblemen Port,
Protokoll,
Dienststatus
und Firewall prüfen.
Aufgabe 37
Ein DNS-Server antwortet nicht.
Welche Portregel könnte fehlen?
Antwort anzeigen
Möglicherweise fehlt:
UDP 53
und je nach Fall auch:
TCP 53
Begründung:
DNS nutzt meistens UDP 53,
kann aber auch TCP 53 verwenden.
Merksatz:
DNS-Firewallregel:
UDP 53 nicht vergessen,
TCP 53 mitdenken.
Aufgabe 38
Welche Antwort ist besser?
Aufgabe:
Ein Server ist pingbar,
aber die Webseite funktioniert nicht.
Nennen Sie eine wahrscheinliche Ursache.
Antwort A:
Netzwerk kaputt.
Antwort B:
ICMP-Erreichbarkeit ist vorhanden,
aber der Webdienst auf TCP 80 oder TCP 443 könnte blockiert sein,
nicht laufen
oder falsch konfiguriert sein.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort unterscheidet zwischen Host-Erreichbarkeit per ICMP
und Dienst-Erreichbarkeit über TCP-Port.
Merksatz:
Fehlerbild genau nach Protokoll einordnen.
Aufgabe 39
Welche Antwort ist besser?
Aufgabe:
Warum muss man bei Firewall-Regeln TCP und UDP unterscheiden?
Antwort A:
Weil das immer so ist.
Antwort B:
TCP und UDP sind unterschiedliche Transportprotokolle.
Eine Regel für TCP 53 erlaubt nicht automatisch UDP 53.
Deshalb müssen Protokoll und Port gemeinsam angegeben werden.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort erklärt,
warum die Protokollangabe technisch relevant ist.
Merksatz:
Port plus Protokoll nennen.
Aufgabe 40
Welche Antwort ist besser?
Aufgabe:
Warum eignet sich TCP für Dateiübertragung?
Antwort A:
Weil TCP halt normal ist.
Antwort B:
TCP eignet sich,
weil es verbindungsorientiert und zuverlässig ist,
Daten bestätigt,
verlorene Daten erneut überträgt
und die Reihenfolge sicherstellt.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort nennt die technischen Eigenschaften,
die bei Dateiübertragung wichtig sind.
Merksatz:
Bei Begründungen immer die passende Eigenschaft nennen.
Mini-Prüfung: schnelle Zuordnung
Frage
Antwort
Welche OSI-Schicht ist TCP?
Schicht 4
Welche OSI-Schicht ist UDP?
Schicht 4
Welche OSI-Schicht sind Ports?
Schicht 4
Wofür steht TCP?
Transmission Control Protocol
Wofür steht UDP?
User Datagram Protocol
Was ist TCP?
verbindungsorientiert und zuverlässig
Was ist UDP?
verbindungslos und schlank
Wie startet TCP?
SYN, SYN-ACK, ACK
Was bedeutet LISTEN?
Dienst wartet auf Verbindung
Was bedeutet ESTABLISHED?
Verbindung besteht
Welcher Port ist SSH?
TCP 22
Welcher Port ist HTTPS?
TCP 443
Welcher Port ist SMB?
TCP 445
Welcher Port ist RDP?
TCP 3389
Welcher Port ist DNS?
UDP/TCP 53
Welche Ports nutzt DHCP?
UDP 67 und 68
Mini-Prüfung: Fehlerbild erkennen
Fehlerbild
Wahrscheinlichstes Thema
ping geht, SSH nicht
TCP 22, SSH-Dienst, Firewall
ping geht, HTTPS nicht
TCP 443, Webdienst, Firewall, TLS
DNS antwortet nicht
UDP/TCP 53, DNS-Server, Firewall
DHCP funktioniert nicht
UDP 67/68, VLAN, Relay, Scope
Dienst lauscht nicht
Dienststatus oder Portkonfiguration
Port offen, Login scheitert
Authentifizierung
Port offen, Zugriff verweigert
Autorisierung
SYN_SENT bleibt stehen
keine Antwort, Firewall, Dienst oder Routing
RDP aus Internet erreichbar
Sicherheitsrisiko
SMB öffentlich erreichbar
hohes Sicherheitsrisiko
IHK-sichere Kurzformulierung
Die OSI-Schicht 4 ist die Transportschicht. Sie sorgt dafür, dass Daten dem richtigen Dienst oder Prozess zugeordnet werden. Dafür nutzen TCP und UDP Portnummern. TCP ist verbindungsorientiert und zuverlässig. Es baut eine Verbindung über den Three-Way Handshake auf, bestätigt Daten und kann verlorene Daten erneut übertragen. UDP ist verbindungslos, schlank und hat keine eingebaute Zustellgarantie. Es eignet sich für schnelle oder zeitkritische Kommunikation wie DNS, DHCP, NTP oder VoIP. Bei der Fehlersuche muss zwischen Host-Erreichbarkeit und Dienst-Erreichbarkeit unterschieden werden. ping prüft ICMP, aber nicht, ob ein TCP- oder UDP-Port erreichbar ist.
Merksätze
Schicht 4 ist die Transportschicht.
TCP und UDP gehören zu Schicht 4.
Ports gehören zu Schicht 4.
IP findet den Host.
Port findet den Dienst.
Zielport zeigt meist den Dienst.
Quellport ist beim Client oft dynamisch.
TCP ist verbindungsorientiert.
TCP ist zuverlässig.
TCP bestätigt Daten.
TCP stellt Reihenfolge sicher.
TCP startet mit SYN,
SYN-ACK,
ACK.
UDP ist verbindungslos.
UDP ist schlank.
UDP hat keine eingebaute Zustellgarantie.
UDP ist nicht schlechter,
sondern für andere Anforderungen gebaut.
SSH nutzt TCP 22.
HTTP nutzt TCP 80.
HTTPS nutzt TCP 443.
DNS nutzt UDP und TCP 53.
DHCP nutzt UDP 67 und 68.
SMB nutzt TCP 445.
RDP nutzt TCP 3389.
LISTEN heißt:
Dienst wartet.
ESTABLISHED heißt:
Verbindung besteht.
ping ist kein Porttest.
Host erreichbar heißt nicht Dienst erreichbar.
Portnummer ohne TCP oder UDP ist unvollständig.
Firewall-Regeln brauchen Quelle,
Ziel,
Port
und Protokoll.
RDP nicht offen ins Internet stellen.
SMB nicht offen ins Internet stellen.
SFTP nutzt SSH und damit TCP 22.
FTPS ist FTP mit TLS.
Bei Dienstproblemen:
Port,
Protokoll,
Dienststatus
und Firewall prüfen.
20.7 Trainer - Schicht 5-7 Sitzung, Darstellung, Anwendung
Diese Trainer-Seite wiederholt die oberen OSI-Schichten:
- Schicht 5 Sitzungsschicht
- Schicht 6 Darstellungsschicht
- Schicht 7 Anwendungsschicht
Ziel ist,
typische Prüfungsfragen zu Sessions,
TLS,
Zertifikaten,
DNS,
DHCP,
HTTP,
E-Mail,
Dateifreigaben
und Anwendungsfehlern sicher zu beantworten.
Merksatz:
Schicht 5 hält Sitzungen.
Schicht 6 stellt Daten dar und schützt sie.
Schicht 7 stellt Netzwerkdienste für Anwendungen bereit.
Lernziele
Nach dieser Seite solltest du sicher können:
- OSI-Schicht 5,
6
und 7 unterscheiden
- Session,
Cookie
und Token einordnen
- TLS und Zertifikate erklären
- typische Zertifikatsfehler erkennen
- DNS und DHCP einordnen
- HTTP-Statuscodes unterscheiden
- E-Mail-Protokolle zuordnen
- Datei- und Freigabeprotokolle unterscheiden
- typische Anwendungsfehler prüfen
Kurzüberblick: obere OSI-Schichten
OSI-Schicht
Name
Hauptaufgabe
Beispiele
7
Anwendungsschicht
Netzwerkdienste für Anwendungen
HTTP, DNS, DHCP, SMTP, SMB
6
Darstellungsschicht
Datenformat, Codierung, Verschlüsselung
TLS, Zertifikate, Zeichensatz
5
Sitzungsschicht
Sitzungen aufbauen, halten, beenden
Session, Cookie, Token, Timeout
Merksatz:
5 = Sitzung.
6 = Darstellung und Verschlüsselung.
7 = Anwendungsdienste.
Aufgabe 1
Wie heißt OSI-Schicht 5?
Antwort anzeigen
OSI-Schicht 5 heißt:
Sitzungsschicht
Englisch:
Session Layer
Aufgabe:
Kommunikationssitzungen aufbauen,
verwalten
und beenden.
Merksatz:
Schicht 5 = Sitzungen.
Aufgabe 2
Wie heißt OSI-Schicht 6?
Antwort anzeigen
OSI-Schicht 6 heißt:
Darstellungsschicht
Englisch:
Presentation Layer
Aufgabe:
Datenformat,
Codierung,
Kompression
und Verschlüsselung darstellen oder umwandeln.
Merksatz:
Schicht 6 = Darstellung,
Format
und Verschlüsselung.
Aufgabe 3
Wie heißt OSI-Schicht 7?
Antwort anzeigen
OSI-Schicht 7 heißt:
Anwendungsschicht
Englisch:
Application Layer
Aufgabe:
Netzwerkdienste für Anwendungen bereitstellen.
Beispiele:
HTTP
DNS
DHCP
SMTP
IMAP
SMB
Merksatz:
Schicht 7 = Anwendungsprotokolle.
Aufgabe 4
Ordne die Begriffe der richtigen OSI-Schicht zu.
Begriff
OSI-Schicht
Session
?
TLS-Zertifikat
?
HTTP
?
DNS
?
Cookie
?
Zeichensatz
?
Antwort anzeigen
Begriff
OSI-Schicht
Session
Schicht 5
TLS-Zertifikat
Schicht 6
HTTP
Schicht 7
DNS
Schicht 7
Cookie
Schicht 5 / Anwendungskontext
Zeichensatz
Schicht 6
Merksatz:
Session = 5.
TLS = 6.
HTTP und DNS = 7.
Aufgabe 5
Was ist eine Session?
Antwort anzeigen
Eine Session ist eine zusammenhängende Kommunikationssitzung zwischen Client und Server.
Beispiel:
Benutzer meldet sich bei einer Webanwendung an.
Die Anwendung merkt sich über eine Session,
dass der Benutzer angemeldet ist.
Typische Begriffe:
Session-ID
Cookie
Token
Timeout
Merksatz:
Session = zusammenhängende Sitzung.
Aufgabe 6
Was ist ein Session-Timeout?
Antwort anzeigen
Ein Session-Timeout beendet eine Sitzung nach einer bestimmten Zeit ohne Aktivität
oder nach Ablauf einer festgelegten Zeit.
Zweck:
Sicherheit erhöhen
verlassene Sitzungen beenden
Ressourcen freigeben
Merksatz:
Timeout beendet inaktive oder abgelaufene Sitzungen.
Aufgabe 7
Ein Benutzer wird ständig aus einer Webanwendung abgemeldet.
Welche OSI-Schicht ist wahrscheinlich betroffen?
Antwort anzeigen
Wahrscheinlich betroffen:
OSI-Schicht 5
Mögliche Ursachen:
Session-Timeout zu kurz
Cookie wird nicht gespeichert
Token läuft ab
Load Balancer ohne Session Persistence
Browser blockiert Cookies
Merksatz:
Ständige Abmeldung:
Session,
Cookie
oder Token prüfen.
Aufgabe 8
Was ist ein Cookie im Webkontext?
Antwort anzeigen
Ein Cookie ist eine kleine Information,
die der Browser für eine Webseite speichert.
Nutzung:
Session-ID speichern
Login-Status unterstützen
Einstellungen speichern
Warenkorb erhalten
Sicherheitsattribute:
Secure
HttpOnly
SameSite
Merksatz:
Cookie kann helfen,
eine Sitzung wiederzuerkennen.
Aufgabe 9
Was bedeutet das Cookie-Attribut Secure?
Antwort anzeigen
Secure bedeutet:
Das Cookie soll nur über HTTPS übertragen werden.
Ziel:
Schutz vor Übertragung über unverschlüsselte Verbindungen.
Merksatz:
Secure-Cookie nur über HTTPS.
Aufgabe 10
Was bedeutet das Cookie-Attribut HttpOnly?
Antwort anzeigen
HttpOnly bedeutet:
Das Cookie soll nicht durch JavaScript ausgelesen werden können.
Ziel:
Risiko bei XSS-Angriffen reduzieren.
Merksatz:
HttpOnly erschwert Cookie-Diebstahl per JavaScript.
Aufgabe 11
Was bedeutet das Cookie-Attribut SameSite?
Antwort anzeigen
SameSite steuert,
ob Cookies bei seitenübergreifenden Anfragen mitgesendet werden.
Ziel:
Schutz gegen CSRF-Angriffe verbessern.
Merksatz:
SameSite hilft gegen CSRF.
Aufgabe 12
Was ist TLS?
Antwort anzeigen
TLS steht für:
Transport Layer Security
Aufgabe:
verschlüsselte und abgesicherte Kommunikation ermöglichen.
TLS schützt unter anderem:
Vertraulichkeit
Integrität
Authentizität des Servers über Zertifikate
Typisch bei:
HTTPS
Merksatz:
TLS verschlüsselt und schützt die Verbindung.
Aufgabe 13
Welche OSI-Schicht passt am besten zu TLS und Zertifikaten?
Antwort anzeigen
Am besten passt:
OSI-Schicht 6
Begründung:
TLS,
Zertifikate,
Verschlüsselung
und Darstellung der Daten werden typischerweise der Darstellungsschicht zugeordnet.
Merksatz:
TLS und Zertifikate:
Schicht 6.
Aufgabe 14
Was ist ein Zertifikat?
Antwort anzeigen
Ein Zertifikat bestätigt die Identität eines Servers oder einer Stelle.
Es enthält unter anderem:
Namen des Inhabers
öffentlichen Schlüssel
Aussteller
Gültigkeitszeitraum
Signatur der Zertifizierungsstelle
Zweck:
Serverauthentizität prüfen
verschlüsselte Verbindung absichern
Merksatz:
Zertifikat bestätigt:
Dieser Server ist der richtige.
Aufgabe 15
Nenne vier typische Zertifikatsfehler.
Antwort anzeigen
Typische Fehler:
Zertifikat abgelaufen
Hostname passt nicht
Zertifikatskette unvollständig
Zertifizierungsstelle nicht vertrauenswürdig
Systemzeit falsch
falsches Zertifikat installiert
Merksatz:
Zertifikatsfehler:
Ablauf,
Name,
Kette,
Vertrauen,
Zeit.
Aufgabe 16
Ein Browser zeigt eine Zertifikatswarnung.
Was sollte geprüft werden?
Antwort anzeigen
Prüfen:
Ablaufdatum des Zertifikats
Hostname / SAN / CN
Zertifikatskette
vertrauenswürdige CA
Systemzeit des Clients
richtiges Zertifikat auf dem Server
Merksatz:
Zertifikatswarnung:
Ablauf,
Name,
Kette
und Zeit prüfen.
Aufgabe 17
Was ist der Unterschied zwischen HTTP und HTTPS?
Antwort anzeigen
HTTP:
unverschlüsselte Webkommunikation
typischer Port:
TCP 80
HTTPS:
HTTP über TLS
verschlüsselte Webkommunikation
typischer Port:
TCP 443
Merksatz:
HTTPS = HTTP plus TLS.
Aufgabe 18
Welche OSI-Schicht ist HTTP?
Antwort anzeigen
HTTP gehört zu:
OSI-Schicht 7
Begründung:
HTTP ist ein Anwendungsprotokoll für Webkommunikation.
Merksatz:
HTTP = Anwendungsschicht.
Aufgabe 19
Ordne HTTP-Statuscodes zu.
Statuscode
Bedeutung
200
?
301 / 302
?
401
?
403
?
404
?
500
?
502
?
503
?
Antwort anzeigen
Statuscode
Bedeutung
200
erfolgreich
301 / 302
Weiterleitung
401
nicht authentifiziert
403
verboten
404
nicht gefunden
500
interner Serverfehler
502
Gateway oder Backend-Fehler
503
Dienst nicht verfügbar
Merksatz:
4xx eher Client,
Anfrage
oder Rechte.
5xx eher Server,
Anwendung
oder Backend.
Aufgabe 20
Was bedeutet HTTP 401?
Antwort anzeigen
HTTP 401 bedeutet:
nicht authentifiziert
Der Benutzer ist nicht oder nicht korrekt angemeldet.
Merksatz:
401 = Anmeldung fehlt oder ungültig.
Aufgabe 21
Was bedeutet HTTP 403?
Antwort anzeigen
HTTP 403 bedeutet:
verboten
Der Benutzer ist zwar möglicherweise bekannt,
hat aber keine Berechtigung für die Ressource.
Merksatz:
403 = Zugriff verboten.
Aufgabe 22
Was bedeutet HTTP 404?
Antwort anzeigen
HTTP 404 bedeutet:
nicht gefunden
Die angeforderte Ressource existiert unter dieser Adresse nicht
oder ist nicht erreichbar.
Merksatz:
404 = Ressource nicht gefunden.
Aufgabe 23
Was bedeutet HTTP 500?
Antwort anzeigen
HTTP 500 bedeutet:
interner Serverfehler
Das Problem liegt eher auf Serverseite,
zum Beispiel in Anwendung,
Konfiguration
oder Backend.
Merksatz:
500 = serverseitiger Anwendungsfehler.
Aufgabe 24
Was bedeutet HTTP 502?
Antwort anzeigen
HTTP 502 bedeutet:
Bad Gateway
Typisch bei:
Reverse Proxy
Load Balancer
Gateway
Mögliche Ursache:
Backend nicht erreichbar
Backend antwortet fehlerhaft
falsche Proxy-Konfiguration
Merksatz:
502:
Gateway oder Proxy erreicht Backend nicht korrekt.
Aufgabe 25
Was ist DNS?
Antwort anzeigen
DNS steht für:
Domain Name System
Aufgabe:
Namen in IP-Adressen auflösen.
Beispiel:
www.example.com
wird zu:
IPv4- oder IPv6-Adresse
OSI-Schicht:
Schicht 7
Merksatz:
DNS löst Namen auf.
Aufgabe 26
IP-Adresse funktioniert,
Name funktioniert nicht.
Was ist wahrscheinlich?
Antwort anzeigen
Wahrscheinlich:
DNS-Problem
Begründung:
Die IP-Kommunikation funktioniert,
aber die Namensauflösung funktioniert nicht korrekt.
Prüfen:
DNS-Server
DNS-Eintrag
DNS-Cache
DNS-Suffix
Split-DNS
Merksatz:
IP ja,
Name nein:
DNS.
Aufgabe 27
Was ist DHCP?
Antwort anzeigen
DHCP steht für:
Dynamic Host Configuration Protocol
Aufgabe:
automatische Verteilung von Netzwerkkonfigurationen.
Typische Informationen:
IP-Adresse
Subnetzmaske
Standardgateway
DNS-Server
Lease-Zeit
OSI-Schicht:
Schicht 7
Merksatz:
DHCP verteilt IP-Konfiguration.
Aufgabe 28
Was bedeutet DHCP-DORA?
Antwort anzeigen
DORA beschreibt den DHCP-Ablauf:
Discover
Offer
Request
Acknowledge
Merksatz:
DHCP-DORA:
Discover,
Offer,
Request,
Acknowledge.
Aufgabe 29
Welche Ports nutzt DHCP?
Antwort anzeigen
DHCP nutzt:
UDP 67 für den DHCP-Server
UDP 68 für den DHCP-Client
Merksatz:
DHCP = UDP 67 und 68.
Aufgabe 30
Was bedeutet 169.254.x.x?
Antwort anzeigen
169.254.x.x ist eine APIPA-Adresse.
Bedeutung:
Der Client hat wahrscheinlich keine gültige Adresse per DHCP erhalten
und sich selbst eine automatische Adresse gegeben.
Merksatz:
169.254.x.x deutet auf DHCP-Problem hin.
Aufgabe 31
Was ist SMTP?
Antwort anzeigen
SMTP steht für:
Simple Mail Transfer Protocol
Aufgabe:
E-Mails senden
Typische Nutzung:
Mailserver zu Mailserver
Mailversand durch Clients je nach Port und Konfiguration
Merksatz:
SMTP sendet E-Mails.
Aufgabe 32
Was ist IMAP?
Antwort anzeigen
IMAP steht für:
Internet Message Access Protocol
Aufgabe:
E-Mails auf dem Mailserver abrufen und synchron verwalten.
Vorteil:
E-Mails bleiben serverseitig verwaltet
und sind auf mehreren Geräten synchron.
Merksatz:
IMAP synchronisiert E-Mails.
Aufgabe 33
Was ist POP3?
Antwort anzeigen
POP3 steht für:
Post Office Protocol Version 3
Aufgabe:
E-Mails vom Server abrufen.
Typisch:
eher einfaches Herunterladen von E-Mails
Merksatz:
POP3 ruft E-Mails ab,
IMAP synchronisiert sie.
Aufgabe 34
Ordne E-Mail-Protokolle zu.
Protokoll
Aufgabe
SMTP
?
IMAP
?
POP3
?
Antwort anzeigen
Protokoll
Aufgabe
SMTP
E-Mail senden
IMAP
E-Mail abrufen und synchron verwalten
POP3
E-Mail abrufen
Merksatz:
SMTP raus.
IMAP und POP3 rein.
Aufgabe 35
Was ist SMB?
Antwort anzeigen
SMB steht für:
Server Message Block
Aufgabe:
Datei- und Druckfreigaben im Netzwerk bereitstellen.
Typische Nutzung:
Netzlaufwerke
Windows-Freigaben
Druckerfreigaben
Typischer Port:
TCP 445
Merksatz:
SMB = Dateifreigaben über TCP 445.
Aufgabe 36
Was ist der Unterschied zwischen FTP,
FTPS
und SFTP?
Antwort anzeigen
FTP:
klassisches File Transfer Protocol
meist TCP 21
unverschlüsselt
FTPS:
FTP mit TLS
SFTP:
Dateiübertragung über SSH
meist TCP 22
Merksatz:
FTPS = FTP mit TLS.
SFTP = Dateiübertragung über SSH.
Aufgabe 37
Ein Benutzer kann sich anmelden,
aber eine Datei nicht öffnen.
Was ist wahrscheinlich?
Antwort anzeigen
Wahrscheinlich:
Autorisierungs- oder Berechtigungsproblem
Begründung:
Die Anmeldung funktioniert bereits.
Das Problem liegt daher eher bei Rechten,
Gruppen,
ACLs,
Freigaberechten
oder Dateisystemrechten.
Merksatz:
Login ja,
Zugriff nein:
Rechte prüfen.
Aufgabe 38
Ein Benutzer kann sich nicht anmelden.
Was ist wahrscheinlich?
Antwort anzeigen
Wahrscheinlich:
Authentifizierungsproblem
Mögliche Ursachen:
falsches Passwort
Konto gesperrt
MFA-Problem
Verzeichnisdienst nicht erreichbar
Zeitproblem bei Kerberos oder Token
Merksatz:
Anmeldung scheitert:
Authentifizierung prüfen.
Aufgabe 39
Welche Antwort ist besser?
Aufgabe:
Ein Browser zeigt HTTP 500.
Was bedeutet das?
Antwort A:
Das Internet ist kaputt.
Antwort B:
HTTP 500 deutet auf einen internen Serverfehler hin,
zum Beispiel in Anwendung,
Konfiguration
oder Backend.
Server- und Anwendungslogs sollten geprüft werden.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort ordnet den Statuscode fachlich korrekt ein
und nennt eine sinnvolle Prüfung.
Merksatz:
5xx:
Server,
Anwendung
oder Backend prüfen.
Aufgabe 40
Welche Antwort ist besser?
Aufgabe:
Warum ist HTTPS sicherer als HTTP?
Antwort A:
Weil das Schloss im Browser angezeigt wird.
Antwort B:
HTTPS nutzt HTTP über TLS.
Dadurch wird die Verbindung verschlüsselt
und die Identität des Servers kann über Zertifikate geprüft werden.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort nennt die technischen Sicherheitsfunktionen:
Verschlüsselung
und Zertifikatsprüfung.
Merksatz:
HTTPS = HTTP plus TLS.
Mini-Prüfung: schnelle Zuordnung
Frage
Antwort
Welche OSI-Schicht ist Session?
Schicht 5
Welche OSI-Schicht ist TLS?
Schicht 6
Welche OSI-Schicht ist HTTP?
Schicht 7
Welche OSI-Schicht ist DNS?
Schicht 7
Welche OSI-Schicht ist DHCP?
Schicht 7
Was macht DNS?
Namen auflösen
Was macht DHCP?
IP-Konfiguration verteilen
Was macht SMTP?
E-Mail senden
Was macht IMAP?
E-Mail synchron abrufen
Was macht POP3?
E-Mail abrufen
Was macht SMB?
Datei- und Druckfreigaben
Was bedeutet HTTP 404?
nicht gefunden
Was bedeutet HTTP 500?
interner Serverfehler
Was bedeutet 401?
nicht authentifiziert
Was bedeutet 403?
verboten
Mini-Prüfung: Fehlerbild erkennen
Fehlerbild
Wahrscheinlichstes Thema
ständig ausgeloggt
Session, Cookie, Token
Zertifikatswarnung
TLS, Zertifikat, Zeit
IP geht, Name nicht
DNS
169.254.x.x
DHCP
HTTP 401
Authentifizierung
HTTP 403
Autorisierung / Rechte
HTTP 404
Ressource nicht gefunden
HTTP 500
Server oder Anwendung
HTTP 502
Gateway, Proxy oder Backend
Login ja, Datei nein
Berechtigung
Anmeldung scheitert
Authentifizierung
SMB nicht erreichbar
TCP 445, Firewall, Rechte, Dienst
IHK-sichere Kurzformulierung
Die oberen OSI-Schichten behandeln Sitzungen, Darstellung und Anwendungsdienste. Schicht 5 verwaltet Sitzungen, zum Beispiel Session-IDs, Cookies, Token und Timeouts. Schicht 6 ist für Darstellung, Codierung, Kompression und Verschlüsselung zuständig; TLS und Zertifikate werden häufig hier eingeordnet. Schicht 7 stellt Anwendungsprotokolle bereit, zum Beispiel HTTP, DNS, DHCP, SMTP, IMAP, POP3 und SMB. DNS löst Namen in IP-Adressen auf, DHCP verteilt Netzwerkkonfigurationen. HTTP-Statuscodes helfen bei der Fehlersuche: 401 bedeutet nicht authentifiziert, 403 verboten, 404 nicht gefunden und 500 interner Serverfehler. Bei Anwendungsfehlern sollten Dienst, Port, DNS, Rechte, TLS und Logs gezielt geprüft werden.
Merksätze
Schicht 5 ist die Sitzungsschicht.
Schicht 6 ist die Darstellungsschicht.
Schicht 7 ist die Anwendungsschicht.
Session,
Cookie
und Token gehören zur Sitzungsverwaltung.
Timeout beendet Sitzungen.
TLS schützt Verbindungen.
Zertifikate prüfen Serveridentität.
Zertifikatsfehler:
Ablauf,
Name,
Kette,
Vertrauen,
Zeit.
HTTP ist Schicht 7.
HTTPS = HTTP plus TLS.
HTTP nutzt TCP 80.
HTTPS nutzt TCP 443.
DNS löst Namen auf.
DNS nutzt UDP und TCP 53.
DHCP verteilt IP-Konfiguration.
DHCP nutzt UDP 67 und 68.
DHCP-DORA:
Discover,
Offer,
Request,
Acknowledge.
169.254.x.x deutet auf DHCP-Problem hin.
SMTP sendet E-Mails.
IMAP synchronisiert E-Mails.
POP3 ruft E-Mails ab.
SMB stellt Datei- und Druckfreigaben bereit.
SMB nutzt TCP 445.
FTP ist unverschlüsselt.
FTPS ist FTP mit TLS.
SFTP nutzt SSH.
401 = nicht authentifiziert.
403 = verboten.
404 = nicht gefunden.
500 = interner Serverfehler.
502 = Gateway oder Backend-Fehler.
IP ja,
Name nein:
DNS.
Login ja,
Zugriff nein:
Rechte.
Anmeldung scheitert:
Authentifizierung.
5xx:
Server,
Anwendung
oder Backend prüfen.
20.8 Trainer – Firewall, NAT, PAT, Portweiterleitung und DMZ
Diese Trainer-Seite wiederholt Firewalls,
NAT,
PAT,
Portweiterleitung
und DMZ.
Ziel ist,
typische Prüfungsfragen zu Sicherheitszonen,
Firewall-Regeln,
Adressübersetzung,
öffentlichen Diensten
und Fehlersuche sicher zu beantworten.
Merksatz:
Firewall filtert.
NAT übersetzt.
PAT nutzt Ports.
DMZ trennt öffentliche Dienste vom internen Netz.
Lernziele
Nach dieser Seite solltest du sicher können:
- Firewall und NAT unterscheiden
- Firewall-Regeln fachlich sauber beschreiben
- Default Deny erklären
- Any-to-Any-Regeln bewerten
- NAT,
PAT
und Portweiterleitung unterscheiden
- private IPv4-Adressen einordnen
- DMZ erklären
- Sicherheitszonen verstehen
- typische Fehler bei Firewall,
NAT
und Portweiterleitung erkennen
Kurzüberblick
Begriff
Hauptaufgabe
Firewall
Verkehr erlauben oder blockieren
NAT
IP-Adressen übersetzen
PAT
IP-Adressen und Ports übersetzen
Portweiterleitung
externen Port auf internen Dienst weiterleiten
DMZ
öffentlich erreichbare Dienste vom internen Netz trennen
Default Deny
standardmäßig blockieren, nur gezielt erlauben
Any-to-Any
jede Quelle zu jedem Ziel, meist kritisch
Merksatz:
Nicht alles,
was auf demselben Gerät läuft,
ist fachlich dasselbe.
Aufgabe 1
Was macht eine Firewall?
Antwort anzeigen
Eine Firewall filtert Netzwerkverkehr.
Sie entscheidet anhand von Regeln,
ob Verkehr erlaubt oder blockiert wird.
Typische Kriterien:
Quelle
Ziel
Port
Protokoll
Richtung
Zone
Benutzer
Anwendung
Zustand der Verbindung
Merksatz:
Firewall = kontrollierter Verkehr.
Aufgabe 2
Welche Angaben gehören in eine saubere Firewall-Regel?
Antwort anzeigen
Eine saubere Firewall-Regel enthält:
Quelle
Ziel
Protokoll
Port
Richtung
Aktion
Zweck
Verantwortlicher
Datum oder Änderungsgrund
Beispiel:
Quelle
Ziel
Protokoll
Port
Aktion
Zweck
Adminnetz
Server
TCP
22
erlauben
SSH-Administration
Internet
Datenbank
TCP
5432
blockieren
Datenbank schützen
Clientnetz
Webserver-DMZ
TCP
443
erlauben
HTTPS-Zugriff
Merksatz:
Firewall-Regeln brauchen Quelle,
Ziel,
Port,
Protokoll
und Zweck.
Aufgabe 3
Was bedeutet Default Deny?
Antwort anzeigen
Default Deny bedeutet:
Standardmäßig ist Verkehr verboten.
Nur ausdrücklich erlaubter Verkehr wird zugelassen.
Vorteile:
kleinere Angriffsfläche
bessere Kontrolle
weniger unbeabsichtigte Freigaben
klarere Sicherheitsstruktur
Merksatz:
Erst blockieren,
dann gezielt erlauben.
Aufgabe 4
Warum ist eine Any-to-Any-Regel kritisch?
Antwort anzeigen
Any-to-Any bedeutet:
jede Quelle
zu
jedem Ziel
Risiken:
sehr große Angriffsfläche
schlechte Nachvollziehbarkeit
Sicherheitszonen werden umgangen
unnötige Freigaben
Fehler schwerer erkennbar
Besser:
genaue Regel mit Quelle,
Ziel,
Port,
Protokoll
und dokumentiertem Zweck.
Merksatz:
Any-to-Any ist fast immer kritisch.
Aufgabe 5
Was ist der Unterschied zwischen Stateless Firewall und Stateful Firewall?
Antwort anzeigen
Stateless Firewall:
prüft jedes Paket einzeln
merkt sich keinen Verbindungszustand
Stateful Firewall:
merkt sich bestehende Verbindungen
lässt Antwortpakete zu bestehenden Verbindungen automatisch zu
Beispiel:
Client startet HTTPS-Verbindung nach außen.
Stateful Firewall erkennt,
dass die Antwortpakete zur bestehenden Verbindung gehören.
Merksatz:
Stateful Firewall kennt Verbindungszustände.
Aufgabe 6
Was ist eine Firewall-Zone?
Antwort anzeigen
Eine Firewall-Zone ist ein Netzbereich mit bestimmtem Schutzbedarf.
Beispiele:
Internet
DMZ
internes Netz
Servernetz
Clientnetz
Gastnetz
Managementnetz
Ziel:
Regeln übersichtlich nach Sicherheitsbereichen aufbauen.
Merksatz:
Zonen strukturieren Sicherheitsregeln.
Aufgabe 7
Was ist eine DMZ?
Antwort anzeigen
DMZ steht für:
Demilitarized Zone
Eine DMZ ist ein getrenntes Netzwerk für Dienste,
die von außen erreichbar sein müssen.
Beispiele:
Webserver
Reverse Proxy
Mail-Gateway
VPN-Gateway
Ziel:
öffentliche Dienste vom internen Netz trennen.
Merksatz:
DMZ trennt öffentliche Dienste vom internen Netz.
Aufgabe 8
Warum stellt man öffentlich erreichbare Server nicht direkt ins interne Netz?
Antwort anzeigen
Öffentlich erreichbare Server haben eine größere Angriffsfläche.
Wenn ein solcher Server kompromittiert wird,
soll der Angreifer nicht direkt Zugriff auf interne Systeme erhalten.
Deshalb werden solche Systeme in eine DMZ gestellt
und durch Firewall-Regeln vom internen Netz getrennt.
Merksatz:
Öffentliche Dienste gehören in eine getrennte Zone.
Aufgabe 9
Welche Regel ist sicherer?
A:
Internet zu internes Netz,
any,
erlauben
B:
Internet zu Webserver-DMZ,
TCP 443,
erlauben
Antwort anzeigen
Sicherer ist:
B
Begründung:
Die Regel ist gezielter.
Sie erlaubt nur HTTPS-Verkehr zum Webserver in der DMZ.
Regel A erlaubt dagegen sehr breit Verkehr aus dem Internet ins interne Netz.
Merksatz:
Je genauer die Regel,
desto besser kontrollierbar.
Aufgabe 10
Was ist NAT?
Antwort anzeigen
NAT steht für:
Network Address Translation
Aufgabe:
IP-Adressen übersetzen.
Typischer Einsatz:
private interne IPv4-Adressen werden beim Zugriff ins Internet
in eine öffentliche IPv4-Adresse übersetzt.
Merksatz:
NAT übersetzt Adressen.
Aufgabe 11
Warum wird NAT häufig eingesetzt?
Antwort anzeigen
Gründe:
private IPv4-Adressen intern nutzen
öffentliche IPv4-Adressen sparen
vielen Clients Internetzugriff ermöglichen
interne Adressen nach außen verbergen
Wichtig:
NAT ersetzt keine Firewall.
Merksatz:
NAT hilft bei Adressübersetzung,
ist aber kein vollständiges Sicherheitskonzept.
Aufgabe 12
Welche privaten IPv4-Bereiche gibt es?
Antwort anzeigen
Private IPv4-Bereiche:
Bereich
CIDR
10.0.0.0 bis 10.255.255.255
10.0.0.0/8
172.16.0.0 bis 172.31.255.255
172.16.0.0/12
192.168.0.0 bis 192.168.255.255
192.168.0.0/16
Merksatz:
Private IPv4-Adressen werden im Internet nicht direkt geroutet.
Aufgabe 13
Was ist PAT?
Antwort anzeigen
PAT steht für:
Port Address Translation
PAT ist eine Form von NAT,
bei der zusätzlich Portnummern genutzt werden.
Zweck:
Viele interne Clients können über eine öffentliche IP-Adresse ins Internet,
weil Verbindungen über Ports unterschieden werden.
Merksatz:
PAT nutzt Ports zur Unterscheidung mehrerer Verbindungen.
Aufgabe 14
Was ist der Unterschied zwischen NAT und PAT?
Antwort anzeigen
NAT:
übersetzt IP-Adressen
PAT:
übersetzt IP-Adressen und Ports
Typischer Praxisfall:
Viele interne Geräte nutzen über PAT eine gemeinsame öffentliche IP-Adresse.
Merksatz:
NAT übersetzt Adressen.
PAT übersetzt Adressen und Ports.
Aufgabe 15
Was ist Portweiterleitung?
Antwort anzeigen
Portweiterleitung bedeutet:
Eingehender Verkehr auf einem externen Port
wird an einen internen Dienst weitergeleitet.
Beispiel:
öffentliche IP:
TCP 443
wird weitergeleitet an:
interner Webserver:
192.168.10.20 TCP 443
Merksatz:
Portweiterleitung macht interne Dienste von außen erreichbar.
Aufgabe 16
Warum erhöht Portweiterleitung die Angriffsfläche?
Antwort anzeigen
Portweiterleitung macht einen internen Dienst von außen erreichbar.
Dadurch kann der Dienst aus dem Internet angegriffen werden.
Risiken:
Exploits
Brute-Force-Angriffe
Fehlkonfiguration
Datenabfluss
DoS
Schutzmaßnahmen:
nur notwendige Ports freigeben
Dienst patchen
starke Authentifizierung
TLS nutzen
Logging aktivieren
Zugriff einschränken
DMZ verwenden
Merksatz:
Jeder veröffentlichte Port ist eine mögliche Angriffsfläche.
Aufgabe 17
Was ist der Unterschied zwischen ausgehendem NAT und Portweiterleitung?
Antwort anzeigen
Ausgehendes NAT:
interne Clients greifen nach außen zu
private IP wird nach außen übersetzt
Portweiterleitung:
externe Clients greifen auf internen Dienst zu
externer Port wird nach intern weitergeleitet
Merksatz:
NAT nach außen ist nicht dasselbe wie Zugriff von außen nach innen.
Aufgabe 18
Was ist der Unterschied zwischen NAT und Firewall?
Antwort anzeigen
NAT:
übersetzt Adressen
Firewall:
erlaubt oder blockiert Verkehr
Wichtig:
Viele Geräte kombinieren beide Funktionen.
Fachlich bleiben sie verschieden.
Merksatz:
NAT übersetzt.
Firewall filtert.
Aufgabe 19
Ein Client erreicht lokale Geräte,
aber keine Internetziele.
Welche Themen sind wahrscheinlich?
Antwort anzeigen
Mögliche Ursachen:
Standardgateway fehlt
Standardgateway falsch
Routingfehler
NAT fehlt oder fehlerhaft
Firewall blockiert
Providerverbindung gestört
DNS zusätzlich bei Zugriff über Namen
Merksatz:
Lokal ja,
extern nein:
Gateway,
Routing,
NAT
oder Firewall prüfen.
Aufgabe 20
Ein Client erreicht eine externe IP-Adresse,
aber keine Webseite per Namen.
Ist NAT wahrscheinlich das Hauptproblem?
Antwort anzeigen
Eher nein.
Wenn externe IP-Adressen erreichbar sind,
funktionieren Gateway,
Routing
und NAT wahrscheinlich grundsätzlich.
Wenn nur Namen nicht funktionieren,
ist DNS wahrscheinlicher.
Merksatz:
IP ja,
Name nein:
DNS.
Aufgabe 21
Eine Portweiterleitung auf einen internen Webserver funktioniert nicht.
Nenne mögliche Ursachen.
Antwort anzeigen
Mögliche Ursachen:
falscher externer Port
falsche interne IP-Adresse
falscher interner Port
Webdienst läuft nicht
Dienst lauscht nicht auf richtiger Schnittstelle
lokale Firewall blockiert
Router-Firewall blockiert
NAT-Regel fehlt oder falsch
DNS zeigt auf falsche öffentliche IP
doppeltes NAT
CGNAT beim Provider
Zertifikat oder Anwendung fehlerhaft
Merksatz:
Portweiterleitung braucht DNS,
NAT,
Firewall
und laufenden Dienst.
Aufgabe 22
Was ist doppeltes NAT?
Antwort anzeigen
Doppeltes NAT bedeutet:
Verkehr wird durch zwei NAT-Geräte übersetzt.
Beispiel:
Provider-Router
und dahinter
eigener Router
Problem:
Portweiterleitungen werden schwieriger,
weil beide Geräte korrekt konfiguriert werden müssen.
Merksatz:
Doppeltes NAT erschwert eingehende Verbindungen.
Aufgabe 23
Was ist CGNAT?
Antwort anzeigen
CGNAT steht für:
Carrier-Grade NAT
Dabei teilt der Provider öffentliche IPv4-Adressen auf mehrere Kunden auf.
Problem:
Der Kunde hat oft keine eigene öffentlich erreichbare IPv4-Adresse.
Eingehende Portweiterleitungen funktionieren dadurch meist nicht direkt.
Merksatz:
CGNAT erschwert Zugriff von außen auf eigene Dienste.
Aufgabe 24
Warum kann eine Portweiterleitung trotz korrekter Router-Regel nicht funktionieren,
wenn der Provider CGNAT nutzt?
Antwort anzeigen
Bei CGNAT liegt die öffentliche IPv4-Adresse nicht direkt am eigenen Router.
Der Router ist hinter einer NAT-Struktur des Providers.
Dadurch erreichen eingehende Verbindungen die eigene Portweiterleitung nicht direkt.
Merksatz:
Ohne eigene öffentliche IPv4-Adresse ist Portweiterleitung von außen schwierig.
Aufgabe 25
Was ist Hairpin NAT oder NAT Loopback?
Antwort anzeigen
Hairpin NAT oder NAT Loopback bedeutet:
Ein interner Client greift über die öffentliche Adresse oder Domain
auf einen internen Dienst zu.
Der Router leitet die Verbindung wieder zurück ins interne Netz.
Problem:
Nicht jeder Router unterstützt das sauber.
Merksatz:
Hairpin NAT betrifft internen Zugriff über externe Adresse.
Aufgabe 26
Warum kann ein Dienst intern funktionieren,
aber extern nicht?
Antwort anzeigen
Mögliche Ursachen:
Portweiterleitung fehlt
externe Firewall blockiert
öffentliche IP falsch
DNS zeigt falsch
doppeltes NAT
CGNAT
Dienst bindet nur an interne Adresse
Zertifikat oder Hostname falsch
Provider blockiert Port
Merksatz:
Intern erreichbar heißt nicht automatisch extern erreichbar.
Aufgabe 27
Warum kann ein Dienst extern funktionieren,
aber intern über die öffentliche Domain nicht?
Antwort anzeigen
Mögliche Ursachen:
Hairpin NAT fehlt
Split-DNS fehlt
interne DNS-Auflösung zeigt auf falsche Adresse
Firewall-Regel für internen Zugriff fehlt
Zertifikat oder Hostname passt nicht
Merksatz:
Externe Domain intern nutzen:
Hairpin NAT oder Split-DNS prüfen.
Aufgabe 28
Was ist Split-DNS im Zusammenhang mit internen Diensten?
Antwort anzeigen
Split-DNS bedeutet:
Ein Name kann intern und extern unterschiedlich aufgelöst werden.
Beispiel:
extern:
app.firma.de zeigt auf öffentliche IP
intern:
app.firma.de zeigt auf interne IP
Vorteil:
interne Clients können den Dienst direkt intern erreichen,
ohne Hairpin NAT zu benötigen.
Merksatz:
Split-DNS kann interne und externe Wege trennen.
Aufgabe 29
Ein Webserver in der DMZ soll aus dem Internet erreichbar sein.
Welche Regel ist sinnvoll?
Antwort anzeigen
Sinnvolle Regel:
Quelle:
Internet
Ziel:
Webserver in der DMZ
Protokoll:
TCP
Port:
443
Aktion:
erlauben
Zweck:
HTTPS-Zugriff auf Webserver
Wichtig:
Nicht pauschal Zugriff vom Internet ins interne Netz erlauben.
Merksatz:
Öffentlich nur den benötigten Dienst freigeben.
Aufgabe 30
Ein Webserver in der DMZ braucht Zugriff auf eine interne Datenbank.
Wie sollte die Regel aussehen?
Antwort anzeigen
Gezielte Regel:
Quelle:
Webserver-DMZ
Ziel:
Datenbankserver intern
Protokoll:
TCP
Port:
Datenbankport,
zum Beispiel 5432 oder 3306
Aktion:
erlauben
Zweck:
Anwendung greift auf Datenbank zu
Wichtig:
Nur exakt benötigten Zugriff erlauben.
Kein Any-to-Any zwischen DMZ und internem Netz.
Merksatz:
DMZ zu intern nur minimal und gezielt erlauben.
Aufgabe 31
Warum sollte ein Datenbankserver nicht direkt aus dem Internet erreichbar sein?
Antwort anzeigen
Ein Datenbankserver enthält oft sensible Daten
und ist ein attraktives Angriffsziel.
Risiken:
Brute Force
Exploits
Datenabfluss
Manipulation
DoS
Besser:
Zugriff nur vom Anwendungsserver
Firewall-Beschränkung
kein direkter Internetzugriff
starke Authentifizierung
Monitoring
Merksatz:
Datenbankports gehören nicht offen ins Internet.
Aufgabe 32
Was ist eine gute Regel für ein Gastnetz?
Antwort anzeigen
Typische Regeln:
Gastnetz zu Internet:
erlauben
Gastnetz zu internem Netz:
blockieren
Gastnetz zu Managementnetz:
blockieren
Gastnetz zu Servernetz:
blockieren,
außer ausdrücklich benötigte Dienste
Merksatz:
Gastnetz nur ins Internet,
nicht ins interne Netz.
Aufgabe 33
Was ist eine gute Regel für ein Managementnetz?
Antwort anzeigen
Ein Managementnetz sollte nur für Administration genutzt werden.
Typische Regeln:
Adminnetz zu Servern:
benötigte Adminports erlauben
Adminnetz zu Switches:
SSH oder HTTPS erlauben
normale Clientnetze zu Management:
blockieren
Internet zu Management:
blockieren
Merksatz:
Managementzugänge besonders schützen.
Aufgabe 34
Ein Porttest von außen schlägt fehl.
Welche Punkte prüfst du?
Antwort anzeigen
Prüfen:
richtige öffentliche IP?
DNS zeigt auf richtige IP?
Portweiterleitung korrekt?
externe Firewall erlaubt?
interne Firewall erlaubt?
Dienst läuft intern?
Dienst lauscht auf richtigem Port?
Dienst lauscht auf richtiger Schnittstelle?
doppeltes NAT?
CGNAT?
Provider blockiert Port?
Merksatz:
Externer Porttest:
DNS,
NAT,
Firewall,
Dienst
und Provider prüfen.
Aufgabe 35
Warum reicht die Aussage „Firewall prüfen“ in der Prüfung oft nicht aus?
Antwort anzeigen
Die Aussage ist zu ungenau.
Besser ist:
Quelle prüfen
Ziel prüfen
Port prüfen
Protokoll prüfen
Richtung prüfen
Zone prüfen
Regelreihenfolge prüfen
Firewall-Logs prüfen
Merksatz:
Firewallprüfung braucht konkrete Angaben.
Aufgabe 36
Was ist Regelreihenfolge bei Firewalls?
Antwort anzeigen
Viele Firewalls verarbeiten Regeln in einer bestimmten Reihenfolge.
Eine frühere Regel kann spätere Regeln überdecken.
Beispiel:
Eine Block-Regel vor einer Erlauben-Regel kann Zugriff verhindern.
Merksatz:
Bei Firewalls auch Regelreihenfolge prüfen.
Aufgabe 37
Welche Antwort ist besser?
Aufgabe:
Warum ersetzt NAT keine Firewall?
Antwort A:
Weil NAT anders heißt.
Antwort B:
NAT übersetzt IP-Adressen.
Eine Firewall entscheidet dagegen,
welcher Verkehr erlaubt oder blockiert wird.
NAT kann interne Adressen verbergen,
ersetzt aber keine gezielte Zugriffskontrolle.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort trennt die Funktionen fachlich korrekt.
Merksatz:
NAT übersetzt,
Firewall kontrolliert.
Aufgabe 38
Welche Antwort ist besser?
Aufgabe:
Warum ist eine DMZ sinnvoll?
Antwort A:
Weil man das bei Servern macht.
Antwort B:
Eine DMZ trennt öffentlich erreichbare Dienste vom internen Netz.
Wenn ein Server in der DMZ kompromittiert wird,
soll der Zugriff auf interne Systeme durch Firewall-Regeln begrenzt bleiben.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort erklärt den Sicherheitszweck der DMZ.
Merksatz:
DMZ begrenzt Schaden bei öffentlichen Diensten.
Aufgabe 39
Welche Antwort ist besser?
Aufgabe:
Eine Portweiterleitung funktioniert nicht.
Nennen Sie sinnvolle Prüfungen.
Antwort A:
Router ist wahrscheinlich kaputt.
Antwort B:
Es sollten öffentliche IP,
DNS,
externer Port,
interne Ziel-IP,
interner Port,
Dienststatus,
lokale Firewall,
Router-Firewall,
doppeltes NAT
und CGNAT geprüft werden.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort nennt systematisch die beteiligten Komponenten.
Merksatz:
Portweiterleitung ist Zusammenspiel aus DNS,
NAT,
Firewall
und Dienst.
Aufgabe 40
Welche Antwort ist besser?
Aufgabe:
Warum ist Any-to-Any kritisch?
Antwort A:
Weil viel erlaubt ist.
Antwort B:
Any-to-Any erlaubt Verkehr von jeder Quelle zu jedem Ziel.
Dadurch entsteht eine große Angriffsfläche,
Sicherheitszonen werden umgangen
und die Regel ist schwer nachvollziehbar.
Besser sind gezielte Regeln mit Quelle,
Ziel,
Port,
Protokoll
und Zweck.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort nennt konkrete Risiken
und eine bessere Alternative.
Merksatz:
Bewertung braucht Risiko und bessere Maßnahme.
Mini-Prüfung: schnelle Zuordnung
Frage
Antwort
Was macht eine Firewall?
Verkehr filtern
Was macht NAT?
IP-Adressen übersetzen
Was macht PAT?
IP-Adressen und Ports übersetzen
Was macht Portweiterleitung?
externen Port nach intern weiterleiten
Was bedeutet DMZ?
getrennte Zone für öffentliche Dienste
Was bedeutet Default Deny?
standardmäßig blockieren
Warum ist Any-to-Any kritisch?
zu breite Freigabe
Was sind private IPv4-Bereiche?
10/8, 172.16/12, 192.168/16
Was ist CGNAT?
NAT beim Provider
Was ist doppeltes NAT?
zwei NAT-Geräte hintereinander
Was ist Split-DNS?
interne und externe Namensauflösung unterschiedlich
Was ist Hairpin NAT?
interner Zugriff über öffentliche Adresse
Mini-Prüfung: Fehlerbild erkennen
Fehlerbild
Wahrscheinliches Thema
lokal geht, Internet nicht
Gateway, Routing, NAT, Firewall
externe IP geht, Name nicht
DNS
Portweiterleitung extern geht nicht
NAT, Firewall, DNS, Dienst, CGNAT
intern geht, extern nicht
Portweiterleitung, Firewall, öffentliche IP
extern geht, intern über Domain nicht
Hairpin NAT oder Split-DNS
nur bestimmter Port geht nicht
Firewall, Dienst, Portregel
DMZ-Server erreicht Datenbank nicht
Regel DMZ zu intern prüfen
Gastnetz erreicht interne Server
Firewall-Regeln oder VLAN-Trennung falsch
Datenbank öffentlich erreichbar
Sicherheitsrisiko
Any-to-Any-Regel vorhanden
Sicherheitsrisiko
IHK-sichere Kurzformulierung
Eine Firewall filtert Netzwerkverkehr anhand von Regeln wie Quelle, Ziel, Port, Protokoll, Richtung und Aktion. NAT übersetzt IP-Adressen, während PAT zusätzlich Portnummern nutzt, damit mehrere interne Clients über eine öffentliche IP-Adresse kommunizieren können. Portweiterleitung leitet eingehenden Verkehr von einem externen Port an einen internen Dienst weiter und erhöht dadurch die Angriffsfläche. Eine DMZ ist ein getrenntes Netzwerk für öffentlich erreichbare Dienste, damit diese vom internen Netz getrennt sind. Default Deny bedeutet, dass Verkehr standardmäßig blockiert und nur gezielt erlaubt wird. Any-to-Any-Regeln sind kritisch, weil sie sehr breite Kommunikation erlauben und Sicherheitszonen umgehen können.
Merksätze
Firewall filtert.
NAT übersetzt.
PAT nutzt Ports.
Portweiterleitung veröffentlicht interne Dienste.
DMZ trennt öffentliche Dienste vom internen Netz.
Default Deny ist sicherer als alles erlauben.
Any-to-Any ist kritisch.
Firewall-Regeln brauchen Quelle,
Ziel,
Port,
Protokoll,
Richtung
und Zweck.
Stateful Firewall kennt Verbindungen.
Stateless Firewall prüft Pakete einzeln.
NAT ersetzt keine Firewall.
Private IPv4-Adressen werden im Internet nicht direkt geroutet.
10.0.0.0/8 ist privat.
172.16.0.0/12 ist privat.
192.168.0.0/16 ist privat.
PAT ermöglicht vielen Clients eine öffentliche IP.
Portweiterleitung erhöht die Angriffsfläche.
Öffentliche Dienste gehören in eine DMZ.
Datenbankports gehören nicht offen ins Internet.
Gastnetz gehört nicht ins interne Netz.
Managementzugänge besonders schützen.
Doppeltes NAT erschwert Portweiterleitungen.
CGNAT erschwert eingehende Verbindungen.
Hairpin NAT betrifft internen Zugriff über öffentliche Adresse.
Split-DNS kann interne und externe Wege trennen.
Portweiterleitung braucht DNS,
NAT,
Firewall
und Dienst.
Firewallprüfung braucht konkrete Angaben.
Regelreihenfolge beachten.
DMZ zu intern nur minimal erlauben.
Je genauer die Regel,
desto besser kontrollierbar.
20.9 Trainer – VPN, Intranet, Extranet und sicherer Fernzugriff
Diese Trainer-Seite wiederholt VPN,
Intranet,
Extranet,
VPN-Arten,
VPN-Protokolle,
VPN-Routing,
DNS
und typische Fehler beim sicheren Fernzugriff.
Ziel ist,
typische Prüfungsfragen zu verschlüsseltem Zugriff,
Standortvernetzung,
Remote-Arbeit
und VPN-Fehlersuche sicher zu beantworten.
Merksatz:
VPN verbindet sicher über unsichere Netze.
Intranet ist intern.
Extranet ist kontrollierter Zugriff für Externe.
Lernziele
Nach dieser Seite solltest du sicher können:
- VPN erklären
- Intranet und Extranet unterscheiden
- Remote-Access-VPN und Site-to-Site-VPN unterscheiden
- VPN-Protokolle grob einordnen
- Split-Tunneling und Full-Tunneling erklären
- VPN-Routing und VPN-DNS verstehen
- typische VPN-Fehler erkennen
- Sicherheitsmaßnahmen für VPN nennen
- VPN von normaler Portweiterleitung unterscheiden
Kurzüberblick
Begriff
Bedeutung
VPN
verschlüsselte Verbindung über ein unsicheres Netz
Remote-Access-VPN
einzelner Benutzer verbindet sich ins Firmennetz
Site-to-Site-VPN
zwei Standorte oder Netze werden verbunden
Intranet
internes Netz einer Organisation
Extranet
kontrollierter Zugriff für externe Partner
Split-Tunneling
nur bestimmter Verkehr läuft durch VPN
Full-Tunneling
gesamter Verkehr läuft durch VPN
VPN-Gateway
Gegenstelle für VPN-Verbindungen
Merksatz:
VPN ist der Tunnel.
Intranet ist intern.
Extranet ist kontrolliert extern.
Aufgabe 1
Was ist ein VPN?
Antwort anzeigen
VPN steht für:
Virtual Private Network
Ein VPN stellt eine geschützte Verbindung über ein unsicheres Netz her,
zum Beispiel über das Internet.
Typische Ziele:
Vertraulichkeit
Integrität
Authentifizierung
sicherer Fernzugriff
Merksatz:
VPN = verschlüsselter Tunnel über unsicheres Netz.
Aufgabe 2
Warum nutzt man VPN?
Antwort anzeigen
VPN wird genutzt für:
sicheren Fernzugriff
Homeoffice
Standortvernetzung
Zugriff auf interne Dienste
geschützte Administration
sichere Kommunikation über das Internet
Merksatz:
VPN ermöglicht sicheren Zugriff auf interne Ressourcen.
Aufgabe 3
Was ist ein Intranet?
Antwort anzeigen
Ein Intranet ist ein internes Netzwerk oder internes Informationssystem einer Organisation.
Typische Inhalte:
interne Webseiten
interne Dokumente
interne Anwendungen
interne Dateiablagen
interne Kommunikation
Zugriff:
normalerweise nur für berechtigte interne Benutzer.
Merksatz:
Intranet = internes Netz oder internes Informationssystem.
Aufgabe 4
Was ist ein Extranet?
Antwort anzeigen
Ein Extranet ist ein kontrollierter Zugriff auf interne Dienste für externe Personen oder Organisationen.
Beispiele:
Lieferantenportal
Kundenportal
Partnerzugang
externer Dienstleisterzugriff
Wichtig:
Zugriff ist begrenzt und kontrolliert.
Merksatz:
Extranet = kontrollierter Zugriff für Externe.
Aufgabe 5
Was ist der Unterschied zwischen Intranet und Extranet?
Antwort anzeigen
Intranet:
internes Netzwerk oder interne Dienste für eigene Organisation
Extranet:
kontrollierter Zugriff für externe Partner,
Kunden
oder Dienstleister
Merksatz:
Intranet intern.
Extranet kontrolliert extern.
Aufgabe 6
Was ist ein Remote-Access-VPN?
Antwort anzeigen
Remote-Access-VPN bedeutet:
Ein einzelner Benutzer oder Client verbindet sich von außen sicher ins Firmennetz.
Typische Nutzung:
Homeoffice
Außendienst
Administratorzugriff
Zugriff auf interne Anwendungen
Merksatz:
Remote-Access-VPN = einzelner Benutzer ins Netz.
Aufgabe 7
Was ist ein Site-to-Site-VPN?
Antwort anzeigen
Site-to-Site-VPN bedeutet:
Zwei Netzwerke oder Standorte werden über einen VPN-Tunnel verbunden.
Beispiele:
Hauptstandort zu Filiale
Rechenzentrum zu Cloud-Netz
Firma zu Partnernetz
Merksatz:
Site-to-Site-VPN = Netz zu Netz.
Aufgabe 8
Ordne zu.
VPN-Art
Bedeutung
Remote-Access-VPN
?
Site-to-Site-VPN
?
Antwort anzeigen
VPN-Art
Bedeutung
Remote-Access-VPN
einzelner Benutzer verbindet sich ins Firmennetz
Site-to-Site-VPN
zwei Standorte oder Netze werden verbunden
Merksatz:
Remote Access = Benutzer.
Site-to-Site = Standort.
Aufgabe 9
Was ist ein VPN-Gateway?
Antwort anzeigen
Ein VPN-Gateway ist die Gegenstelle,
an der VPN-Verbindungen aufgebaut werden.
Beispiele:
Firewall
Router
VPN-Server
Cloud-VPN-Gateway
Aufgabe:
VPN-Tunnel terminieren
Benutzer oder Gegenstelle authentifizieren
Verkehr entschlüsseln und weiterleiten
Merksatz:
VPN-Gateway = Eingangspunkt des VPN-Tunnels.
Aufgabe 10
Was bedeutet Tunnel bei VPN?
Antwort anzeigen
Ein Tunnel bedeutet:
Daten werden in eine geschützte Verbindung eingepackt
und über ein anderes Netz transportiert.
Der eigentliche Datenverkehr ist dabei für das unsichere Netz geschützt.
Merksatz:
Tunnel = geschützter Transportweg durch ein anderes Netz.
Aufgabe 11
Welche Schutzziele unterstützt VPN besonders?
Antwort anzeigen
VPN unterstützt besonders:
Vertraulichkeit
Integrität
Authentizität
Begründung:
Daten werden verschlüsselt,
Manipulationen können erkannt werden
und Gegenstellen werden authentifiziert.
Merksatz:
VPN schützt nicht nur den Weg,
sondern auch Identität und Datenintegrität.
Aufgabe 12
Was ist Split-Tunneling?
Antwort anzeigen
Split-Tunneling bedeutet:
Nur bestimmter Verkehr läuft durch den VPN-Tunnel.
Beispiel:
Zugriff auf Firmennetz läuft durch VPN.
normaler Internetverkehr läuft direkt ins Internet.
Vorteil:
weniger Last auf VPN-Gateway
oft bessere Internetgeschwindigkeit
Risiko:
weniger zentrale Kontrolle des gesamten Verkehrs
Merksatz:
Split-Tunneling = nur ausgewählter Verkehr durch VPN.
Aufgabe 13
Was ist Full-Tunneling?
Antwort anzeigen
Full-Tunneling bedeutet:
Der gesamte Netzwerkverkehr des Clients läuft durch den VPN-Tunnel.
Beispiel:
interne Dienste
Internetzugriff
DNS
Webverkehr
alles wird über das Firmennetz geleitet.
Vorteil:
zentrale Kontrolle
einheitliche Sicherheitsrichtlinien
Nachteil:
mehr Last auf VPN-Infrastruktur
Merksatz:
Full-Tunneling = gesamter Verkehr durch VPN.
Aufgabe 14
Vergleiche Split-Tunneling und Full-Tunneling.
Merkmal
Split-Tunneling
Full-Tunneling
Verkehr durch VPN
?
?
Last auf VPN
?
?
zentrale Kontrolle
?
?
typisches Risiko
?
?
Antwort anzeigen
Merkmal
Split-Tunneling
Full-Tunneling
Verkehr durch VPN
nur ausgewählter Verkehr
gesamter Verkehr
Last auf VPN
geringer
höher
zentrale Kontrolle
geringer
stärker
typisches Risiko
weniger Kontrolle über Direktverkehr
VPN-Gateway stärker belastet
Merksatz:
Split spart Last.
Full gibt mehr Kontrolle.
Aufgabe 15
Was ist IPsec?
Antwort anzeigen
IPsec ist eine Protokollfamilie zur Absicherung von IP-Kommunikation.
Typische Nutzung:
Site-to-Site-VPN
Remote-Access-VPN
Eigenschaften:
Verschlüsselung
Integritätsschutz
Authentifizierung
Merksatz:
IPsec sichert IP-Verkehr.
Aufgabe 16
Was ist IKEv2?
Antwort anzeigen
IKEv2 steht für:
Internet Key Exchange Version 2
Aufgabe:
Aufbau und Aushandlung von IPsec-Verbindungen unterstützen.
IKEv2 wird häufig zusammen mit IPsec genutzt.
Merksatz:
IKEv2 hilft beim Aufbau von IPsec-VPNs.
Aufgabe 17
Was ist OpenVPN?
Antwort anzeigen
OpenVPN ist eine VPN-Lösung,
die häufig TLS zur Absicherung verwendet.
Typische Nutzung:
Remote-Access-VPN
flexible VPN-Szenarien
Eigenschaften:
weit verbreitet
zertifikatsbasiert möglich
über TCP oder UDP betreibbar
Merksatz:
OpenVPN nutzt häufig TLS und ist flexibel einsetzbar.
Aufgabe 18
Was ist WireGuard?
Antwort anzeigen
WireGuard ist ein modernes VPN-Protokoll.
Eigenschaften:
schlank
vergleichsweise einfach konfigurierbar
nutzt moderne Kryptografie
häufig gute Performance
Merksatz:
WireGuard ist ein schlankes modernes VPN-Protokoll.
Aufgabe 19
Was ist ein TLS-VPN?
Antwort anzeigen
Ein TLS-VPN nutzt TLS zur Absicherung der Verbindung.
Typisch:
Zugriff über VPN-Client
teilweise Zugriff über Browserportal
sichere Verbindung über bekannte Web-Techniken
Merksatz:
TLS-VPN nutzt TLS für geschützte Kommunikation.
Aufgabe 20
Ordne die VPN-Protokolle grob zu.
Begriff
Einordnung
IPsec
?
IKEv2
?
OpenVPN
?
WireGuard
?
TLS-VPN
?
Antwort anzeigen
Begriff
Einordnung
IPsec
Sicherung von IP-Kommunikation
IKEv2
Aushandlung und Aufbau von IPsec
OpenVPN
flexible VPN-Lösung, häufig TLS-basiert
WireGuard
modernes schlankes VPN-Protokoll
TLS-VPN
VPN über TLS-gesicherte Verbindung
Merksatz:
IPsec sichert IP.
IKEv2 handelt IPsec aus.
OpenVPN und TLS-VPN nutzen TLS-Techniken.
WireGuard ist modern und schlank.
Aufgabe 21
Warum braucht ein VPN Authentifizierung?
Antwort anzeigen
VPN muss prüfen,
wer oder was sich verbinden darf.
Mögliche Verfahren:
Benutzername und Passwort
MFA
Zertifikate
Schlüssel
Geräteprüfung
Ziel:
nur berechtigte Benutzer oder Standorte dürfen Zugriff erhalten.
Merksatz:
VPN ohne starke Authentifizierung ist ein hohes Risiko.
Aufgabe 22
Warum ist MFA bei VPN sinnvoll?
Antwort anzeigen
MFA schützt,
wenn ein Passwort gestohlen wurde.
Ohne MFA reicht ein gestohlenes Passwort eventuell für VPN-Zugriff.
Mit MFA wird zusätzlich ein zweiter Faktor benötigt.
Merksatz:
VPN plus MFA schützt besser gegen Passwortmissbrauch.
Aufgabe 23
Welche Risiken entstehen bei offenem VPN-Zugang ohne MFA?
Antwort anzeigen
Risiken:
Passwortmissbrauch
Brute-Force-Angriffe
Credential Stuffing
unberechtigter Zugriff ins interne Netz
laterale Bewegung nach erfolgreichem Login
Datenabfluss
Merksatz:
VPN-Zugang ist ein Eingang ins Netz und muss stark geschützt werden.
Aufgabe 24
Was ist VPN-Routing?
Antwort anzeigen
VPN-Routing bestimmt,
welche Zielnetze über den VPN-Tunnel erreichbar sind.
Beispiele:
10.10.0.0/16 über VPN
192.168.50.0/24 über VPN
Wichtig:
Routen müssen auf Client,
VPN-Gateway
und Gegenseite passen.
Merksatz:
VPN-Tunnel allein reicht nicht.
Die Routen müssen stimmen.
Aufgabe 25
Ein VPN verbindet sich erfolgreich,
aber interne Server sind nicht erreichbar.
Welche Ursachen sind wahrscheinlich?
Antwort anzeigen
Mögliche Ursachen:
fehlende VPN-Route
falsche Route
Firewall-Regel blockiert
DNS löst falsch auf
Benutzer hat keine Berechtigung
Zielnetz nicht erlaubt
Rückroute fehlt
IP-Adresskonflikt
Merksatz:
VPN verbunden heißt nicht automatisch,
dass alle internen Dienste erreichbar sind.
Aufgabe 26
Was ist ein IP-Adresskonflikt bei VPN?
Antwort anzeigen
Ein IP-Adresskonflikt entsteht,
wenn das lokale Netz des Benutzers denselben IP-Bereich nutzt wie das entfernte Firmennetz.
Beispiel:
Heimnetz:
192.168.1.0/24
Firmennetz:
192.168.1.0/24
Problem:
Der Client kann nicht eindeutig entscheiden,
ob ein Ziel lokal oder über VPN erreichbar ist.
Merksatz:
Gleiche Netze auf beiden Seiten verursachen VPN-Routingprobleme.
Aufgabe 27
Warum ist DNS bei VPN wichtig?
Antwort anzeigen
Interne Dienste werden oft über interne Namen angesprochen.
Beispiele:
intranet.firma.local
fileserver.intern
app.firma.de intern
VPN muss häufig passende DNS-Server oder DNS-Suffixe bereitstellen.
Merksatz:
VPN braucht oft internes DNS.
Aufgabe 28
VPN ist verbunden.
Zugriff per interner IP funktioniert,
aber per Name nicht.
Was ist wahrscheinlich?
Antwort anzeigen
Wahrscheinlich:
DNS-Problem im VPN
Mögliche Ursachen:
falscher DNS-Server
DNS-Server nicht über VPN erreichbar
DNS-Suffix fehlt
Split-DNS falsch
DNS-Cache veraltet
Merksatz:
VPN-IP ja,
VPN-Name nein:
VPN-DNS prüfen.
Aufgabe 29
Was ist Split-DNS bei VPN?
Antwort anzeigen
Split-DNS bedeutet:
interne und externe DNS-Auflösung liefern unterschiedliche Antworten.
Beispiel:
intern über VPN:
app.firma.de zeigt auf private IP
extern:
app.firma.de zeigt auf öffentliche IP
Merksatz:
Split-DNS sorgt dafür,
dass interne Namen über VPN passend aufgelöst werden.
Aufgabe 30
Warum kann eine Firewall VPN-Verkehr blockieren?
Antwort anzeigen
Firewalls können VPN-Verkehr blockieren,
wenn benötigte Protokolle oder Ports nicht erlaubt sind.
Außerdem können Regeln nach erfolgreichem VPN-Aufbau den Zugriff auf interne Ziele blockieren.
Prüfen:
VPN-Aufbau erlaubt?
Zielnetz erlaubt?
Benutzergruppe erlaubt?
Port zum Ziel erlaubt?
Richtung korrekt?
Logs prüfen.
Merksatz:
VPN braucht Regeln für Tunnelaufbau und Zielzugriff.
Aufgabe 31
Warum ist ein VPN sicherer als eine direkte Portweiterleitung auf RDP?
Antwort anzeigen
Bei direkter Portweiterleitung ist RDP direkt aus dem Internet erreichbar.
Risiken:
Brute Force
Exploits
Credential Stuffing
Bei VPN:
RDP ist nicht direkt öffentlich erreichbar.
Erst nach VPN-Authentifizierung ist Zugriff möglich.
Zusätzlich sinnvoll:
MFA
Firewall-Regeln
Logging
Zugriff nur für Adminnetz oder Benutzergruppen
Merksatz:
VPN schützt Adminzugriffe besser als direkt veröffentlichte Ports.
Aufgabe 32
Ist VPN automatisch sicher?
Antwort anzeigen
Nein.
VPN muss sicher konfiguriert werden.
Wichtige Maßnahmen:
MFA
starke Authentifizierung
aktuelle VPN-Software
sichere Verschlüsselung
Rechtebegrenzung
Logging
Zugriff nach Gruppen
Geräteprüfung
keine unnötigen Zielnetze freigeben
Merksatz:
VPN ist nur so sicher wie seine Konfiguration.
Aufgabe 33
Was ist Least Privilege bei VPN?
Antwort anzeigen
Least Privilege bei VPN bedeutet:
Benutzer erhalten nur Zugriff auf die Netze und Dienste,
die sie wirklich benötigen.
Beispiele:
Dienstleister nur auf einen Server
Mitarbeiter nur auf benötigte Anwendungen
Adminzugriff nur aus Adminrollen
Merksatz:
VPN-Zugang nicht pauschal ins gesamte Netz erlauben.
Aufgabe 34
Was sollte bei VPN protokolliert werden?
Antwort anzeigen
Sinnvolle Logs:
erfolgreiche Anmeldungen
fehlgeschlagene Anmeldungen
Benutzername
Quell-IP
Zeitpunkt
zugewiesene VPN-IP
verwendete Authentifizierung
getrennte Verbindungen
auffällige Loginversuche
Zugriff auf Zielsysteme je nach System
Merksatz:
VPN-Logs sind wichtig für Sicherheit und Fehlersuche.
Aufgabe 35
Was ist ein Site-to-Site-VPN zwischen Firma und Cloud?
Antwort anzeigen
Ein Site-to-Site-VPN zwischen Firma und Cloud verbindet:
lokales Firmennetz
mit
Cloud-Netzwerk
Beispiel:
internes Rechenzentrum
zu
Cloud-VPC oder virtuellem Netzwerk
Ziel:
private Kommunikation zwischen Standorten und Cloud-Ressourcen.
Merksatz:
Site-to-Site kann auch On-Premises und Cloud verbinden.
Aufgabe 36
Ein Site-to-Site-VPN ist aufgebaut,
aber nur eine Richtung funktioniert.
Welche Ursachen sind möglich?
Antwort anzeigen
Mögliche Ursachen:
Rückroute fehlt
Firewall blockiert Rückverkehr
falsche Phase-2-Netze bei IPsec
NAT-Regel greift falsch
asymmetrisches Routing
Security Group oder Cloud-Firewall blockiert
lokale ACL blockiert
Merksatz:
Kommunikation braucht Hinweg und Rückweg.
Aufgabe 37
Was ist ein VPN-Client?
Antwort anzeigen
Ein VPN-Client ist die Software oder Funktion auf dem Endgerät,
die eine VPN-Verbindung zum VPN-Gateway aufbaut.
Beispiele:
Firmenlaptop mit VPN-Software
Smartphone mit VPN-Profil
Betriebssystemeigener VPN-Client
Merksatz:
VPN-Client baut den Tunnel zum Gateway auf.
Aufgabe 38
Welche Antwort ist besser?
Aufgabe:
VPN ist verbunden,
aber interne Namen funktionieren nicht.
Was prüfen Sie?
Antwort A:
Internet ist kaputt.
Antwort B:
Da interne IP-Adressen erreichbar sind,
interne Namen aber nicht,
sollte die DNS-Konfiguration des VPN geprüft werden,
insbesondere interner DNS-Server,
DNS-Suffix,
Split-DNS
und Erreichbarkeit des DNS-Servers.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort leitet die Prüfung aus dem Fehlerbild ab
und unterscheidet IP-Erreichbarkeit von Namensauflösung.
Merksatz:
IP ja,
Name nein:
DNS.
Aufgabe 39
Welche Antwort ist besser?
Aufgabe:
Warum sollte ein Dienstleister über VPN nicht automatisch Zugriff auf das gesamte Netz erhalten?
Antwort A:
Weil Dienstleister extern sind.
Antwort B:
Nach dem Least-Privilege-Prinzip sollte ein Dienstleister nur Zugriff auf die Systeme und Dienste erhalten,
die er für seine Aufgabe benötigt.
Dadurch wird das Risiko bei kompromittierten Zugangsdaten oder Fehlverhalten begrenzt.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort nennt das Prinzip
und erklärt die Sicherheitswirkung.
Merksatz:
Sicherheitsantwort:
Risiko,
Maßnahme,
Wirkung.
Aufgabe 40
Welche Antwort ist besser?
Aufgabe:
Warum ist VPN besser als RDP direkt ins Internet weiterzuleiten?
Antwort A:
VPN klingt sicherer.
Antwort B:
Bei direkter RDP-Portweiterleitung ist der RDP-Dienst öffentlich erreichbar und damit Angriffen ausgesetzt.
Bei VPN muss sich der Benutzer zuerst am VPN authentifizieren.
Erst danach kann der Zugriff auf RDP zusätzlich per Firewall,
MFA
und Berechtigungen eingeschränkt werden.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort nennt das konkrete Risiko
und beschreibt die bessere Schutzwirkung.
Merksatz:
Nicht Adminports veröffentlichen,
sondern sicheren Zugang davor setzen.
Mini-Prüfung: schnelle Zuordnung
Frage
Antwort
Wofür steht VPN?
Virtual Private Network
Was macht ein VPN?
verschlüsselte Verbindung über unsicheres Netz
Was ist Remote-Access-VPN?
Benutzer verbindet sich ins Firmennetz
Was ist Site-to-Site-VPN?
Netz verbindet sich mit Netz
Was ist Intranet?
internes Netz oder interne Dienste
Was ist Extranet?
kontrollierter Zugriff für Externe
Was ist Split-Tunneling?
nur bestimmter Verkehr durch VPN
Was ist Full-Tunneling?
gesamter Verkehr durch VPN
Was ist ein VPN-Gateway?
Gegenstelle des VPN-Tunnels
Warum MFA bei VPN?
Passwort allein reicht nicht
Warum VPN-DNS?
interne Namen auflösen
Was ist IP-Adresskonflikt?
gleiche Netze lokal und remote
Mini-Prüfung: Fehlerbild erkennen
Fehlerbild
Wahrscheinliches Thema
VPN verbindet nicht
Zugangsdaten, MFA, Gateway, Netzwerk, Firewall
VPN verbunden, aber kein internes Ziel erreichbar
Route, Firewall, Berechtigung, Zielnetz
interne IP geht, Name nicht
VPN-DNS
nur ein internes Netz erreichbar
VPN-Routen oder Berechtigungen
Verbindung bricht regelmäßig ab
Timeout, Netzwerk, WLAN, Client, Gateway
Site-to-Site nur in eine Richtung
Rückroute oder Firewall
Heimnetz und Firmennetz gleich
IP-Adresskonflikt
Dienstleister sieht zu viele Systeme
Least Privilege fehlt
RDP direkt offen
Sicherheitsrisiko
VPN-Loginversuche sehr häufig
Brute Force oder Credential Stuffing
IHK-sichere Kurzformulierung
Ein VPN ist ein virtuelles privates Netzwerk, das eine geschützte Verbindung über ein unsicheres Netz wie das Internet herstellt. Remote-Access-VPN verbindet einzelne Benutzer sicher mit einem Firmennetz, während Site-to-Site-VPN zwei Netzwerke oder Standorte verbindet. Intranet bezeichnet interne Dienste einer Organisation, Extranet kontrollierten Zugriff für externe Partner oder Dienstleister. Split-Tunneling leitet nur bestimmten Verkehr durch den VPN-Tunnel, Full-Tunneling den gesamten Verkehr. Für VPN-Sicherheit sind starke Authentifizierung, MFA, aktuelle Software, passende Firewall-Regeln, Logging und Least Privilege wichtig. Eine erfolgreiche VPN-Verbindung bedeutet nicht automatisch, dass Routing, DNS und Zugriffsrechte korrekt funktionieren.
Merksätze
VPN = Virtual Private Network.
VPN verbindet sicher über unsichere Netze.
Remote-Access-VPN = Benutzer ins Netz.
Site-to-Site-VPN = Netz zu Netz.
Intranet = intern.
Extranet = kontrolliert extern.
VPN-Gateway = Gegenstelle des Tunnels.
Tunnel = geschützter Transportweg.
Split-Tunneling = nur ausgewählter Verkehr über VPN.
Full-Tunneling = gesamter Verkehr über VPN.
IPsec sichert IP-Kommunikation.
IKEv2 hilft beim IPsec-Aufbau.
OpenVPN nutzt häufig TLS.
WireGuard ist schlank und modern.
TLS-VPN nutzt TLS.
VPN braucht starke Authentifizierung.
MFA schützt VPN-Zugang.
VPN ist ein Eingang ins Netz.
VPN verbunden heißt nicht:
alle Dienste funktionieren.
VPN braucht passende Routen.
VPN braucht oft internes DNS.
IP ja,
Name nein:
DNS.
Gleiche Netze lokal und remote verursachen Routingprobleme.
Kommunikation braucht Hinweg und Rückweg.
Dienstleisterzugriff nach Least Privilege begrenzen.
VPN-Logs sind wichtig.
RDP nicht direkt ins Internet weiterleiten.
Adminzugriffe besser über VPN,
MFA
und Firewall beschränken.
VPN ist nur so sicher wie seine Konfiguration.
20.10 Trainer – Cloud, Bereitstellungsmodelle, IAM und Shared Responsibility
Diese Trainer-Seite wiederholt Cloud-Grundlagen,
Bereitstellungsmodelle,
Servicemodelle,
Cloud-Netzwerke,
IAM,
Sicherheit
und typische Prüfungsfragen zur Cloud.
Ziel ist,
IaaS,
PaaS,
SaaS,
Public Cloud,
Private Cloud,
Hybrid Cloud,
Multi Cloud
und Shared Responsibility sicher zu unterscheiden.
Merksatz:
Cloud bedeutet:
IT-Ressourcen werden flexibel über ein Netzwerk bereitgestellt.
Die Verantwortung ist dabei geteilt.
Lernziele
Nach dieser Seite solltest du sicher können:
- Cloud Computing erklären
- IaaS,
PaaS
und SaaS unterscheiden
- Public Cloud,
Private Cloud,
Hybrid Cloud
und Multi Cloud unterscheiden
- Shared Responsibility erklären
- IAM einordnen
- Cloud-Netzwerke grob verstehen
- Security Groups,
VPCs
und Subnetze einordnen
- typische Cloud-Fehlerbilder erkennen
- Cloud-Kosten und Skalierung fachlich erklären
Kurzüberblick
Begriff
Bedeutung
Cloud Computing
Bereitstellung von IT-Ressourcen über ein Netzwerk
IaaS
virtuelle Infrastruktur
PaaS
verwaltete Plattform
SaaS
fertige Software
Public Cloud
Cloud eines öffentlichen Anbieters
Private Cloud
Cloud nur für eine Organisation
Hybrid Cloud
Kombination aus lokal und Cloud
Multi Cloud
Nutzung mehrerer Cloud-Anbieter
IAM
Identitäts- und Zugriffsverwaltung
Shared Responsibility
geteilte Verantwortung zwischen Anbieter und Kunde
Merksatz:
IaaS = Infrastruktur.
PaaS = Plattform.
SaaS = Software.
Aufgabe 1
Was bedeutet Cloud Computing?
Antwort anzeigen
Cloud Computing bedeutet:
IT-Ressourcen werden über ein Netzwerk bereitgestellt
und können flexibel genutzt,
skaliert
und abgerechnet werden.
Beispiele:
virtuelle Server
Speicher
Datenbanken
Anwendungen
Plattformdienste
Netzwerkdienste
Merksatz:
Cloud = IT-Ressourcen flexibel über Netzwerk nutzen.
Aufgabe 2
Nenne typische Vorteile von Cloud Computing.
Antwort anzeigen
Typische Vorteile:
flexible Skalierung
schnelle Bereitstellung
nutzungsabhängige Abrechnung
weniger eigene Hardware
weltweite Verfügbarkeit
verwaltete Dienste
hohe Automatisierbarkeit
schnelle Erweiterbarkeit
Merksatz:
Cloud ist besonders stark bei Flexibilität,
Skalierung
und schneller Bereitstellung.
Aufgabe 3
Nenne typische Nachteile oder Risiken von Cloud Computing.
Antwort anzeigen
Typische Nachteile oder Risiken:
Abhängigkeit vom Anbieter
Datenschutzanforderungen
falsche Konfigurationen
Kostenkontrolle notwendig
Netzwerkabhängigkeit
Vendor Lock-in
geteilte Verantwortung kann missverstanden werden
Zugriffsschutz muss sauber geplant werden
Merksatz:
Cloud nimmt Arbeit ab,
aber nicht die Verantwortung für sichere Nutzung.
Aufgabe 4
Was ist IaaS?
Antwort anzeigen
IaaS steht für:
Infrastructure as a Service
Bedeutung:
Der Anbieter stellt grundlegende Infrastruktur bereit.
Beispiele:
virtuelle Maschinen
virtuelle Netzwerke
Speicher
Firewalls
Load Balancer
Der Kunde verwaltet häufig selbst:
Betriebssystem
Anwendungen
Patches im Gastbetriebssystem
Konfiguration
Merksatz:
IaaS = virtuelle Infrastruktur.
Aufgabe 5
Was ist PaaS?
Antwort anzeigen
PaaS steht für:
Platform as a Service
Bedeutung:
Der Anbieter stellt eine verwaltete Plattform für Anwendungen bereit.
Beispiele:
App-Plattform
verwaltete Datenbank
Laufzeitumgebung
Containerplattform
Entwicklungsplattform
Der Kunde kümmert sich eher um:
Anwendung
Daten
Konfiguration
Zugriffsrechte
Merksatz:
PaaS = Plattform für Anwendungen.
Aufgabe 6
Was ist SaaS?
Antwort anzeigen
SaaS steht für:
Software as a Service
Bedeutung:
Der Anbieter stellt eine fertige Anwendung bereit,
die der Kunde nutzt.
Beispiele:
E-Mail-Dienst
Office-Anwendung im Browser
CRM-System
Ticketsystem
Cloud-Speicheranwendung
Der Kunde verwaltet meist:
Benutzer
Rollen
Daten
Einstellungen
Zugriffsrechte
Merksatz:
SaaS = fertige Software nutzen.
Aufgabe 7
Ordne zu.
Modell
Bedeutung
IaaS
?
PaaS
?
SaaS
?
Antwort anzeigen
Modell
Bedeutung
IaaS
virtuelle Infrastruktur
PaaS
verwaltete Plattform
SaaS
fertige Anwendung
Merksatz:
IaaS unten,
PaaS in der Mitte,
SaaS oben.
Aufgabe 8
Welche Aussage passt zu IaaS?
A: Fertige Anwendung im Browser
B: Virtuelle Maschine mit eigenem Betriebssystem
C: Nur E-Mail-Postfach ohne Serververwaltung
D: Kein Netzwerk notwendig
Antwort anzeigen
Richtig ist:
B: Virtuelle Maschine mit eigenem Betriebssystem
Begründung:
IaaS stellt Infrastruktur bereit,
zum Beispiel virtuelle Maschinen,
Speicher
und Netzwerke.
Das Betriebssystem und Anwendungen werden oft vom Kunden verwaltet.
Merksatz:
Virtuelle Maschine = typisches IaaS-Beispiel.
Aufgabe 9
Welche Aussage passt zu SaaS?
A: Der Kunde installiert und patcht das Betriebssystem selbst.
B: Der Kunde nutzt eine fertige Anwendung.
C: Der Kunde baut ein eigenes Rechenzentrum.
D: Der Kunde verwaltet die Hardware des Anbieters.
Antwort anzeigen
Richtig ist:
B: Der Kunde nutzt eine fertige Anwendung.
Begründung:
SaaS bedeutet,
dass eine fertige Software als Dienst bereitgestellt wird.
Merksatz:
SaaS = benutzen statt betreiben.
Aufgabe 10
Was ist der Unterschied zwischen IaaS,
PaaS
und SaaS?
Antwort anzeigen
IaaS:
virtuelle Infrastruktur,
viel Verantwortung beim Kunden
PaaS:
verwaltete Plattform,
Kunde bringt Anwendung und Daten
SaaS:
fertige Anwendung,
Kunde verwaltet hauptsächlich Nutzung,
Daten,
Benutzer
und Rechte
Merksatz:
Je mehr Richtung SaaS,
desto mehr übernimmt der Anbieter.
Aufgabe 11
Was ist Public Cloud?
Antwort anzeigen
Public Cloud bedeutet:
Cloud-Ressourcen werden von einem öffentlichen Cloud-Anbieter bereitgestellt
und von vielen Kunden getrennt genutzt.
Eigenschaften:
hohe Skalierbarkeit
nutzungsabhängige Abrechnung
Anbieter betreibt Infrastruktur
Mandantentrennung wichtig
Merksatz:
Public Cloud = Cloud eines öffentlichen Anbieters.
Aufgabe 12
Was ist Private Cloud?
Antwort anzeigen
Private Cloud bedeutet:
Cloud-Umgebung wird nur für eine Organisation betrieben.
Möglich:
im eigenen Rechenzentrum
bei einem Dienstleister
dediziert für eine Organisation
Vorteile:
mehr Kontrolle
individuelle Anpassung
besondere Compliance-Anforderungen leichter steuerbar
Merksatz:
Private Cloud = Cloud nur für eine Organisation.
Aufgabe 13
Was ist Hybrid Cloud?
Antwort anzeigen
Hybrid Cloud bedeutet:
lokale IT oder Private Cloud wird mit Public-Cloud-Ressourcen kombiniert.
Beispiele:
lokales Rechenzentrum plus Cloud-Backup
lokale Anwendung plus Cloud-Datenbank
lokales Firmennetz plus Cloud-VPC über VPN
Merksatz:
Hybrid Cloud = lokal und Cloud kombiniert.
Aufgabe 14
Was ist Multi Cloud?
Antwort anzeigen
Multi Cloud bedeutet:
Eine Organisation nutzt mehrere Cloud-Anbieter.
Beispiel:
Anbieter A für Infrastruktur
Anbieter B für Datenanalyse
Anbieter C für Office-Dienste
Gründe:
Vermeidung von Abhängigkeit
passende Dienste verschiedener Anbieter nutzen
Ausfallsicherheit
Kostenoptimierung
Merksatz:
Multi Cloud = mehrere Cloud-Anbieter.
Aufgabe 15
Ordne zu.
Modell
Bedeutung
Public Cloud
?
Private Cloud
?
Hybrid Cloud
?
Multi Cloud
?
Antwort anzeigen
Modell
Bedeutung
Public Cloud
Cloud eines öffentlichen Anbieters
Private Cloud
Cloud nur für eine Organisation
Hybrid Cloud
Kombination aus lokal oder privat und Public Cloud
Multi Cloud
Nutzung mehrerer Cloud-Anbieter
Merksatz:
Hybrid beschreibt Kombination von Umgebungen.
Multi beschreibt mehrere Anbieter.
Aufgabe 16
Was bedeutet Shared Responsibility?
Antwort anzeigen
Shared Responsibility bedeutet:
Cloud-Anbieter und Kunde teilen sich die Verantwortung für Sicherheit und Betrieb.
Der Anbieter ist typischerweise verantwortlich für:
physische Infrastruktur
Rechenzentrum
Grundplattform
Hardware
Der Kunde ist typischerweise verantwortlich für:
Daten
Benutzer
Berechtigungen
Konfigurationen
Anwendungen je nach Modell
Merksatz:
Cloud-Sicherheit ist geteilte Verantwortung.
Aufgabe 17
Warum ist Shared Responsibility wichtig?
Antwort anzeigen
Shared Responsibility ist wichtig,
weil Kunden oft fälschlich glauben,
der Cloud-Anbieter sei für alles verantwortlich.
In Wirklichkeit bleiben viele Aufgaben beim Kunden,
zum Beispiel:
Benutzerrechte
Datenklassifizierung
Zugriffsschutz
sichere Konfiguration
Backup
Verschlüsselung
Monitoring
Merksatz:
Cloud-Anbieter schützt die Cloud.
Kunde schützt seine Nutzung der Cloud.
Aufgabe 18
Wer ist bei SaaS typischerweise für Benutzer und Rechte verantwortlich?
Antwort anzeigen
Typischerweise:
der Kunde
Begründung:
Auch wenn der Anbieter die Anwendung betreibt,
muss der Kunde seine Benutzer,
Gruppen,
Rollen,
Daten
und Freigaben korrekt verwalten.
Merksatz:
SaaS nimmt Betrieb ab,
aber nicht Rechteverwaltung.
Aufgabe 19
Wer ist bei IaaS typischerweise für das Gastbetriebssystem verantwortlich?
Antwort anzeigen
Typischerweise:
der Kunde
Begründung:
Bei IaaS stellt der Anbieter die virtuelle Infrastruktur bereit.
Betriebssystem,
Patches,
Dienste
und Anwendungen in der virtuellen Maschine werden häufig vom Kunden verwaltet.
Merksatz:
IaaS bedeutet mehr Kundenverantwortung als SaaS.
Aufgabe 20
Was ist IAM?
Antwort anzeigen
IAM steht für:
Identity and Access Management
Bedeutung:
Verwaltung von Identitäten,
Rollen,
Rechten
und Zugriffen.
Typische Aufgaben:
Benutzer verwalten
Rollen definieren
Berechtigungen vergeben
MFA erzwingen
Service Accounts verwalten
Zugriff protokollieren
Merksatz:
IAM entscheidet,
wer was darf.
Aufgabe 21
Warum ist IAM in der Cloud besonders wichtig?
Antwort anzeigen
Cloud-Ressourcen sind oft über das Internet erreichbar
und können schnell erstellt,
geändert
oder gelöscht werden.
Fehlerhafte Berechtigungen können zu:
Datenabfluss
Missbrauch von Ressourcen
Kostenexplosion
unberechtigtem Zugriff
Manipulation
führen.
Merksatz:
In der Cloud sind Identitäten oft der wichtigste Sicherheitsperimeter.
Aufgabe 22
Was bedeutet Least Privilege im Cloud-Kontext?
Antwort anzeigen
Least Privilege bedeutet:
Benutzer,
Rollen,
Dienste
und Anwendungen erhalten nur die Berechtigungen,
die sie wirklich benötigen.
Beispiele:
Entwickler darf Logs lesen,
aber keine Produktionsdatenbank löschen.
Anwendung darf in einen Speicher schreiben,
aber keine Benutzer verwalten.
Dienstkonto darf nur auf benötigte Ressourcen zugreifen.
Merksatz:
In der Cloud keine pauschalen Adminrechte vergeben.
Aufgabe 23
Was ist MFA im Cloud-Kontext?
Antwort anzeigen
MFA steht für:
Multi-Faktor-Authentifizierung
Bedeutung:
Anmeldung benötigt mehr als nur ein Passwort.
Beispiele für Faktoren:
Wissen:
Passwort
Besitz:
Smartphone,
Token,
Smartcard
Sein:
biometrisches Merkmal
Merksatz:
MFA schützt Cloud-Konten gegen Passwortmissbrauch.
Aufgabe 24
Was ist ein Service Account?
Antwort anzeigen
Ein Service Account ist ein Konto,
das von Diensten,
Anwendungen
oder Automatisierungen genutzt wird.
Risiken:
zu viele Rechte
Schlüssel liegen unsicher
Zugriff wird nicht überwacht
Konto wird nach Projektende nicht entfernt
Schutzmaßnahmen:
Least Privilege
Schlüsselrotation
kurze Laufzeiten
Logging
keine geteilten Geheimnisse im Klartext
Merksatz:
Service Accounts brauchen besonders saubere Rechteverwaltung.
Aufgabe 25
Was ist eine VPC?
Antwort anzeigen
VPC steht für:
Virtual Private Cloud
Bedeutung:
logisch getrenntes virtuelles Netzwerk in einer Cloud-Umgebung.
Typische Bestandteile:
Subnetze
Routing-Tabellen
Security Groups
Gateways
Firewalls
VPN-Anbindungen
Merksatz:
VPC = virtuelles Cloud-Netzwerk.
Aufgabe 26
Was ist ein Cloud-Subnetz?
Antwort anzeigen
Ein Cloud-Subnetz ist ein IP-Adressbereich innerhalb eines virtuellen Cloud-Netzwerks.
Typische Unterscheidung:
öffentliches Subnetz
privates Subnetz
Öffentliches Subnetz:
Ressourcen können über passende Regeln und öffentliche Adresse aus dem Internet erreichbar sein.
Privates Subnetz:
Ressourcen sind nicht direkt öffentlich erreichbar.
Merksatz:
Subnetze strukturieren Cloud-Netzwerke.
Aufgabe 27
Was ist eine Security Group?
Antwort anzeigen
Eine Security Group ist eine regelbasierte Zugriffskontrolle für Cloud-Ressourcen.
Sie steuert typischerweise:
eingehenden Verkehr
ausgehenden Verkehr
Ports
Protokolle
Quellen
Ziele
Merksatz:
Security Group ist wie eine ressourcennahe Firewall-Regelgruppe.
Aufgabe 28
Was ist der Unterschied zwischen Security Group und klassischer Netzwerkfirewall?
Antwort anzeigen
Security Group:
häufig direkt an Cloud-Ressourcen gebunden
regelt Zugriff auf einzelne Ressourcen oder Gruppen
Klassische Firewall:
oft zentrale Netzwerkkomponente oder Appliance
kontrolliert Verkehr zwischen Netzen oder Zonen
Wichtig:
Beide kontrollieren Verkehr,
aber an unterschiedlichen Stellen.
Merksatz:
Security Groups sind Cloud-nahe Zugriffskontrolle.
Aufgabe 29
Warum sollte eine Cloud-Datenbank nicht öffentlich erreichbar sein?
Antwort anzeigen
Eine Datenbank enthält oft sensible Daten
und ist ein attraktives Angriffsziel.
Risiken:
Brute Force
Exploits
Datenabfluss
Manipulation
Kosten oder Last durch Missbrauch
Besser:
privates Subnetz
Zugriff nur von Anwendungsservern
Security Group einschränken
starke Authentifizierung
Verschlüsselung
Logging
Merksatz:
Datenbanken nicht öffentlich freigeben.
Aufgabe 30
Was bedeutet Skalierung?
Antwort anzeigen
Skalierung bedeutet:
Ressourcen werden an Bedarf angepasst.
Vertikale Skalierung:
eine Ressource wird größer gemacht
Beispiel:
mehr CPU oder RAM für eine VM
Horizontale Skalierung:
mehrere Instanzen werden hinzugefügt
Beispiel:
mehrere Webserver hinter einem Load Balancer
Merksatz:
Vertikal = größer.
Horizontal = mehr.
Aufgabe 31
Was ist Auto Scaling?
Antwort anzeigen
Auto Scaling bedeutet:
Ressourcen werden automatisch erhöht oder reduziert,
abhängig von definierten Bedingungen.
Beispiele:
CPU-Auslastung hoch:
zusätzliche Instanz starten
Last niedrig:
Instanz entfernen
Vorteile:
bessere Verfügbarkeit
flexible Leistung
Kostenkontrolle bei richtiger Konfiguration
Merksatz:
Auto Scaling passt Ressourcen automatisch an Last an.
Aufgabe 32
Was ist ein Load Balancer?
Antwort anzeigen
Ein Load Balancer verteilt Anfragen auf mehrere Ziele.
Beispiele:
mehrere Webserver
mehrere Anwendungsserver
Vorteile:
bessere Verfügbarkeit
Lastverteilung
Wartung einzelner Instanzen leichter möglich
Skalierung
Merksatz:
Load Balancer verteilt Verkehr.
Aufgabe 33
Was bedeutet Cloud-Kostenkontrolle?
Antwort anzeigen
Cloud-Kostenkontrolle bedeutet:
Nutzung,
Ressourcen
Speicher
Datenverkehr
Lizenzen
und laufende Dienste überwachen.
Maßnahmen:
Budgets
Alarme
Tags
Abschalten ungenutzter Ressourcen
passende Größen wählen
Reservierungen oder Pläne prüfen
Speicherklassen nutzen
Merksatz:
Cloud ist flexibel,
aber nicht automatisch günstig.
Aufgabe 34
Warum sind Tags in der Cloud nützlich?
Antwort anzeigen
Tags sind Metadaten an Ressourcen.
Nutzung:
Kostenstellen zuordnen
Besitzer erkennen
Umgebung kennzeichnen
Projektzuordnung
Automatisierung
Compliance
Beispiele:
Projekt = Webshop
Umgebung = Produktion
Besitzer = IT-Team
Merksatz:
Tags helfen bei Ordnung,
Kosten
und Automatisierung.
Aufgabe 35
Was ist Vendor Lock-in?
Antwort anzeigen
Vendor Lock-in bedeutet:
starke Abhängigkeit von einem Anbieter,
weil Dienste,
Schnittstellen
oder Datenformate schwer wechselbar sind.
Risiken:
Wechsel wird teuer
Migration wird schwierig
Preiserhöhungen schwer vermeidbar
technische Abhängigkeiten
Merksatz:
Vendor Lock-in erschwert Anbieterwechsel.
Aufgabe 36
Was ist ein Cloud-Backup?
Antwort anzeigen
Cloud-Backup bedeutet:
Daten oder Systeme werden in einer Cloud-Umgebung gesichert.
Wichtig:
Zugriffsschutz
Verschlüsselung
Retention
Restore-Test
Schutz gegen Ransomware
regionale Speicherung
Kosten
Merksatz:
Auch Cloud-Backups müssen getestet und geschützt werden.
Aufgabe 37
Warum ersetzt Cloud-Synchronisation kein Backup?
Antwort anzeigen
Synchronisation gleicht Datenstände ab.
Problem:
Löschungen
Verschlüsselung durch Ransomware
Fehländerungen
beschädigte Dateien
können mitsynchronisiert werden.
Backup braucht:
alte Versionen
Retention
Restore-Möglichkeit
Schutz vor Manipulation
Merksatz:
Sync hält gleich.
Backup stellt alte Stände wieder her.
Aufgabe 38
Welche Antwort ist besser?
Aufgabe:
Wer ist in der Cloud für Sicherheit verantwortlich?
Antwort A:
Nur der Cloud-Anbieter.
Antwort B:
Die Verantwortung ist geteilt.
Der Anbieter schützt die Cloud-Infrastruktur,
der Kunde bleibt je nach Modell für Daten,
Benutzer,
Rechte,
Konfigurationen
und Anwendungen verantwortlich.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort beschreibt das Shared-Responsibility-Modell korrekt.
Merksatz:
Cloud-Sicherheit ist geteilte Verantwortung.
Aufgabe 39
Welche Antwort ist besser?
Aufgabe:
Warum ist eine öffentlich erreichbare Cloud-Datenbank kritisch?
Antwort A:
Weil Datenbanken wichtig sind.
Antwort B:
Eine öffentlich erreichbare Datenbank erhöht die Angriffsfläche erheblich.
Es drohen Brute-Force-Angriffe,
Ausnutzung von Schwachstellen,
Datenabfluss
und Manipulation.
Besser ist der Betrieb in einem privaten Subnetz mit Zugriff nur durch benötigte Anwendungen.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort nennt konkrete Risiken
und eine bessere Schutzmaßnahme.
Merksatz:
Sicherheitsantwort:
Risiko,
Maßnahme,
Wirkung.
Aufgabe 40
Welche Antwort ist besser?
Aufgabe:
Was ist der Unterschied zwischen IaaS und SaaS?
Antwort A:
SaaS ist irgendwie mehr fertig.
Antwort B:
Bei IaaS stellt der Anbieter virtuelle Infrastruktur bereit,
zum Beispiel virtuelle Maschinen,
Speicher
und Netzwerke.
Der Kunde verwaltet häufig Betriebssystem und Anwendung.
Bei SaaS nutzt der Kunde eine fertige Anwendung
und verwaltet hauptsächlich Benutzer,
Daten,
Rechte
und Einstellungen.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort grenzt beide Modelle fachlich sauber voneinander ab.
Merksatz:
Modelle immer über Verantwortlichkeit und Bereitstellung erklären.
Mini-Prüfung: schnelle Zuordnung
Frage
Antwort
Was bedeutet IaaS?
Infrastructure as a Service
Was bedeutet PaaS?
Platform as a Service
Was bedeutet SaaS?
Software as a Service
Was ist IaaS?
virtuelle Infrastruktur
Was ist PaaS?
verwaltete Plattform
Was ist SaaS?
fertige Anwendung
Was ist Public Cloud?
Cloud eines öffentlichen Anbieters
Was ist Private Cloud?
Cloud nur für eine Organisation
Was ist Hybrid Cloud?
lokal oder privat plus Public Cloud
Was ist Multi Cloud?
mehrere Cloud-Anbieter
Was ist IAM?
Identitäts- und Zugriffsverwaltung
Was ist VPC?
virtuelles Cloud-Netzwerk
Was ist Security Group?
ressourcennahe Firewall-Regelgruppe
Was ist Auto Scaling?
automatische Anpassung von Ressourcen
Was ist Vendor Lock-in?
starke Anbieterabhängigkeit
Mini-Prüfung: Fehlerbild erkennen
Fehlerbild
Wahrscheinliches Thema
Benutzer sieht zu viele Cloud-Ressourcen
IAM / Rechte zu breit
Cloud-Datenbank öffentlich erreichbar
Security Group oder Netzwerk falsch
Kosten steigen unerwartet
Kostenkontrolle, ungenutzte Ressourcen
Anwendung langsam bei Lastspitzen
Skalierung oder Load Balancer prüfen
VM nicht erreichbar
Security Group, Route, Subnetz, Firewall
SaaS-Dateien falsch geteilt
Freigaben und Berechtigungen prüfen
Cloud-Backup nicht wiederherstellbar
Restore-Test fehlt
gelöschte Datei verschwindet überall
Sync statt Backup
Anbieterwechsel sehr schwierig
Vendor Lock-in
Cloud-Ressource ohne Besitzer
fehlende Tags oder Dokumentation
IHK-sichere Kurzformulierung
Cloud Computing bezeichnet die Bereitstellung von IT-Ressourcen über ein Netzwerk. Bei IaaS stellt der Anbieter virtuelle Infrastruktur wie Server, Speicher und Netzwerke bereit. Bei PaaS nutzt der Kunde eine verwaltete Plattform für Anwendungen. Bei SaaS wird eine fertige Anwendung bereitgestellt. Public Cloud ist die Cloud eines öffentlichen Anbieters, Private Cloud eine Cloud für eine Organisation, Hybrid Cloud kombiniert lokale oder private IT mit Public Cloud und Multi Cloud nutzt mehrere Anbieter. Beim Shared-Responsibility-Modell teilen sich Anbieter und Kunde die Verantwortung: Der Anbieter schützt die Cloud-Infrastruktur, der Kunde bleibt je nach Modell für Daten, Identitäten, Rechte, Konfigurationen und Anwendungen verantwortlich.
Merksätze
Cloud = IT-Ressourcen über Netzwerk.
Cloud ist flexibel,
aber nicht automatisch sicher.
Cloud ist flexibel,
aber nicht automatisch günstig.
IaaS = Infrastruktur.
PaaS = Plattform.
SaaS = Software.
Virtuelle Maschine ist typisch IaaS.
Verwaltete Plattform ist typisch PaaS.
Fertige Anwendung ist typisch SaaS.
Public Cloud = öffentlicher Anbieter.
Private Cloud = nur für eine Organisation.
Hybrid Cloud = lokal oder privat plus Cloud.
Multi Cloud = mehrere Anbieter.
Hybrid beschreibt Kombination von Umgebungen.
Multi beschreibt mehrere Anbieter.
Shared Responsibility = geteilte Verantwortung.
Anbieter schützt die Cloud.
Kunde schützt seine Nutzung der Cloud.
IAM entscheidet,
wer was darf.
Cloud-Identitäten sind besonders wichtig.
MFA schützt Cloud-Konten.
Least Privilege gilt auch in der Cloud.
Service Accounts brauchen minimale Rechte.
VPC = virtuelles Cloud-Netzwerk.
Subnetze strukturieren Cloud-Netze.
Security Groups kontrollieren Zugriff.
Datenbanken nicht öffentlich freigeben.
Vertikal skalieren = größer machen.
Horizontal skalieren = mehr Instanzen.
Auto Scaling passt Ressourcen automatisch an.
Load Balancer verteilt Verkehr.
Tags helfen bei Kosten,
Ordnung
und Automatisierung.
Vendor Lock-in erschwert Anbieterwechsel.
Cloud-Sync ist kein Backup.
Auch Cloud-Backups brauchen Restore-Tests.
20.11 Trainer – Angriffe, Schutzmaßnahmen und IT-Sicherheit
Diese Trainer-Seite wiederholt typische Angriffe,
Schutzziele,
Risiken
und passende Schutzmaßnahmen.
Ziel ist,
Sicherheitsfragen in der Prüfung sauber einzuordnen:
- Welches Schutzziel ist betroffen?
- Welche Angriffsmethode liegt vor?
- Welche Maßnahme passt dazu?
- Warum ist die Maßnahme sinnvoll?
Merksatz:
Sicherheitsfragen bestehen oft aus:
Schutzziel,
Risiko,
Maßnahme
und Wirkung.
Lernziele
Nach dieser Seite solltest du sicher können:
- Vertraulichkeit,
Integrität
und Verfügbarkeit unterscheiden
- Schwachstelle,
Bedrohung
und Risiko erklären
- typische Angriffe erkennen
- Malware-Arten unterscheiden
- Phishing und Social Engineering einordnen
- Passwortangriffe unterscheiden
- Webangriffe grob erklären
- IDS,
IPS,
EDR
und SIEM unterscheiden
- passende Schutzmaßnahmen auswählen
- prüfungssichere Sicherheitsantworten formulieren
Kurzüberblick: Schutzziele
Schutzziel
Bedeutung
Beispiel
Vertraulichkeit
Schutz vor unberechtigtem Lesen
Datenabfluss
Integrität
Schutz vor unbemerkter Veränderung
manipulierte Datei
Verfügbarkeit
Systeme und Daten sind nutzbar
DDoS oder Ausfall
Authentizität
Echtheit prüfen
echter Server oder echter Benutzer
Nachvollziehbarkeit
Ereignisse rekonstruieren
Logs und Protokolle
Merksatz:
CIA =
Confidentiality,
Integrity,
Availability.
Deutsch:
Vertraulichkeit,
Integrität,
Verfügbarkeit.
Kurzüberblick: Angriffe und Maßnahmen
Angriff oder Risiko
Passende Maßnahme
gestohlenes Passwort
MFA
zu viele Rechte
Least Privilege
bekannte Sicherheitslücke
Patchmanagement
unnötige Dienste
Hardening
Ransomware
Offline- oder Immutable-Backup
Phishing
Awareness, Mailfilter, MFA
DDoS
DDoS-Schutz, Rate Limiting, CDN
Man-in-the-Middle
TLS, Zertifikatsprüfung, VPN
SQL Injection
Prepared Statements
XSS
Output Encoding, CSP, HttpOnly
unklare Vorfälle
Logging, SIEM, Monitoring
Merksatz:
Maßnahme muss zum Risiko passen.
Aufgabe 1
Was bedeutet Vertraulichkeit?
Antwort anzeigen
Vertraulichkeit bedeutet:
Informationen dürfen nur von berechtigten Personen,
Systemen
oder Prozessen gelesen werden.
Beispielverletzung:
Kundendaten werden unberechtigt ausgelesen.
Passende Maßnahmen:
Verschlüsselung
Rechtekonzept
MFA
Zugriffskontrolle
DLP
Merksatz:
Vertraulichkeit schützt vor unberechtigtem Mitlesen.
Aufgabe 2
Was bedeutet Integrität?
Antwort anzeigen
Integrität bedeutet:
Daten dürfen nicht unbemerkt verändert werden.
Beispielverletzung:
Eine Konfigurationsdatei wird manipuliert.
Passende Maßnahmen:
Hashwerte
digitale Signaturen
Rechtebegrenzung
Versionskontrolle
Logging
Merksatz:
Integrität schützt vor unbemerkter Veränderung.
Aufgabe 3
Was bedeutet Verfügbarkeit?
Antwort anzeigen
Verfügbarkeit bedeutet:
Systeme,
Dienste
und Daten stehen bei Bedarf zur Verfügung.
Beispielverletzung:
Ein Server ist durch DDoS nicht erreichbar.
Passende Maßnahmen:
Redundanz
Monitoring
Backup
DDoS-Schutz
Notfallplan
Merksatz:
Verfügbarkeit schützt Nutzbarkeit.
Aufgabe 4
Ordne das Schutzziel zu.
Ereignis
Schutzziel
Daten werden gestohlen
?
Datei wird manipuliert
?
Server ist nicht erreichbar
?
Absender wird gefälscht
?
Antwort anzeigen
Ereignis
Schutzziel
Daten werden gestohlen
Vertraulichkeit
Datei wird manipuliert
Integrität
Server ist nicht erreichbar
Verfügbarkeit
Absender wird gefälscht
Authentizität
Merksatz:
Lesen = Vertraulichkeit.
Verändern = Integrität.
Ausfall = Verfügbarkeit.
Echtheit = Authentizität.
Aufgabe 5
Was ist der Unterschied zwischen Schwachstelle,
Bedrohung
und Risiko?
Antwort anzeigen
Schwachstelle:
ausnutzbare Lücke
Beispiel:
ungepatchter Server
Bedrohung:
mögliches schädliches Ereignis
Beispiel:
Angreifer nutzt die Lücke aus
Risiko:
bewertete Gefahr aus Wahrscheinlichkeit und Auswirkung
Beispiel:
Datenverlust durch Angriff auf den ungepatchten Server
Merksatz:
Schwachstelle = Lücke.
Bedrohung = mögliches Ereignis.
Risiko = bewertete Gefahr.
Aufgabe 6
Was ist Malware?
Antwort anzeigen
Malware bedeutet:
Schadsoftware
Beispiele:
Virus
Wurm
Trojaner
Ransomware
Spyware
Keylogger
Rootkit
Botnet-Client
Merksatz:
Malware ist der Oberbegriff für Schadsoftware.
Aufgabe 7
Was ist der Unterschied zwischen Virus,
Wurm
und Trojaner?
Antwort anzeigen
Virus:
hängt sich an Dateien oder Programme an
verbreitet sich meist durch Ausführung oder Weitergabe
Wurm:
verbreitet sich selbstständig über Netzwerke
Trojaner:
tarnt sich als nützliches Programm,
enthält aber schädliche Funktionen
Merksatz:
Virus braucht oft Wirt.
Wurm verbreitet sich selbst.
Trojaner täuscht Nutzen vor.
Aufgabe 8
Was ist Ransomware?
Antwort anzeigen
Ransomware ist Schadsoftware,
die Daten verschlüsselt oder Systeme sperrt
und häufig Lösegeld fordert.
Betroffene Schutzziele:
Verfügbarkeit
bei Datenabfluss zusätzlich:
Vertraulichkeit
Passende Maßnahmen:
Offline-Backup
Immutable Backup
Patchmanagement
EDR
Segmentierung
Least Privilege
Restore-Test
Merksatz:
Ransomware betrifft vor allem Verfügbarkeit.
Aufgabe 9
Warum sind Offline- oder Immutable-Backups bei Ransomware wichtig?
Antwort anzeigen
Ransomware versucht häufig,
auch Backups zu löschen oder zu verschlüsseln.
Offline-Backups sind nicht dauerhaft verbunden.
Immutable Backups können für eine festgelegte Zeit nicht verändert oder gelöscht werden.
Dadurch bleibt eine Wiederherstellungsmöglichkeit erhalten.
Merksatz:
Backups müssen vor Angreifern geschützt werden.
Aufgabe 10
Was ist Phishing?
Antwort anzeigen
Phishing ist Täuschung,
um vertrauliche Daten oder Zugangsdaten zu erhalten.
Typische Kanäle:
E-Mail
SMS
Messenger
Telefon
QR-Code
gefälschte Webseite
Ziele:
Passwörter
MFA-Codes
Bankdaten
Zugangsdaten
Merksatz:
Phishing täuscht Benutzer zur Preisgabe von Daten.
Aufgabe 11
Was ist Spear Phishing?
Antwort anzeigen
Spear Phishing ist gezieltes Phishing gegen bestimmte Personen,
Abteilungen
oder Organisationen.
Merkmale:
persönlicher Bezug
glaubwürdiger Absender
Bezug auf echte Projekte
gezielte Vorbereitung
Merksatz:
Spear Phishing ist gezielt und oft glaubwürdiger.
Aufgabe 12
Was ist Social Engineering?
Antwort anzeigen
Social Engineering nutzt menschliches Verhalten,
Vertrauen,
Hilfsbereitschaft
oder Zeitdruck aus.
Beispiele:
falscher IT-Support
angeblicher Chef fordert Zahlung
gefälschter Lieferant
Besucher ohne Berechtigung
manipulierter Anruf
Merksatz:
Social Engineering greift Menschen an,
nicht nur Technik.
Aufgabe 13
Was ist CEO-Fraud?
Antwort anzeigen
CEO-Fraud ist ein Betrug,
bei dem sich Angreifer als Geschäftsführung oder Vorgesetzte ausgeben.
Ziel:
Zahlung auslösen
vertrauliche Daten erhalten
schnelle Entscheidung erzwingen
Typische Methode:
Autorität und Zeitdruck ausnutzen
Merksatz:
CEO-Fraud nutzt Autorität und Druck.
Aufgabe 14
Was ist Brute Force?
Antwort anzeigen
Brute Force bedeutet:
systematisches Ausprobieren vieler Passwörter.
Schutzmaßnahmen:
starke Passwörter
MFA
Account Lockout
Rate Limiting
Monitoring
Passwortmanager
Merksatz:
Brute Force probiert viele Möglichkeiten aus.
Aufgabe 15
Was ist Password Spraying?
Antwort anzeigen
Password Spraying bedeutet:
ein häufiges Passwort wird gegen viele Konten getestet.
Beispiel:
Winter2026!
gegen viele Benutzerkonten.
Ziel:
Kontosperren vermeiden,
weil pro Konto nur wenige Versuche stattfinden.
Merksatz:
Password Spraying:
ein Passwort,
viele Konten.
Aufgabe 16
Was ist Credential Stuffing?
Antwort anzeigen
Credential Stuffing nutzt bereits geleakte Zugangsdaten.
Prinzip:
bekannte E-Mail-Passwort-Kombinationen
werden bei anderen Diensten ausprobiert.
Grund:
Benutzer verwenden Passwörter oft mehrfach.
Schutzmaßnahmen:
MFA
Passwortmanager
einzigartige Passwörter
Leak-Prüfung
Monitoring
Merksatz:
Credential Stuffing nutzt wiederverwendete geleakte Passwörter.
Aufgabe 17
Ordne zu.
Angriff
Beschreibung
Brute Force
?
Password Spraying
?
Credential Stuffing
?
Antwort anzeigen
Angriff
Beschreibung
Brute Force
viele Passwortversuche
Password Spraying
ein Passwort gegen viele Konten
Credential Stuffing
geleakte Zugangsdaten bei anderen Diensten testen
Merksatz:
Brute Force = viele Versuche.
Spraying = ein Passwort, viele Konten.
Stuffing = geleakte Daten.
Aufgabe 18
Was ist DoS?
Antwort anzeigen
DoS steht für:
Denial of Service
Ziel:
einen Dienst überlasten oder nicht mehr verfügbar machen
Betroffenes Schutzziel:
Verfügbarkeit
Merksatz:
DoS greift Verfügbarkeit an.
Aufgabe 19
Was ist DDoS?
Antwort anzeigen
DDoS steht für:
Distributed Denial of Service
Unterschied zu DoS:
Angriff kommt verteilt von vielen Systemen.
Häufige Quelle:
Botnetze
Schutzmaßnahmen:
DDoS-Schutz
CDN
Rate Limiting
Filterung
Provider-Schutz
Skalierung
Merksatz:
DDoS = verteilter Angriff auf Verfügbarkeit.
Aufgabe 20
Was ist Man-in-the-Middle?
Antwort anzeigen
Man-in-the-Middle bedeutet:
Ein Angreifer sitzt zwischen zwei Kommunikationspartnern.
Ziele:
mitlesen
verändern
umleiten
Sitzung übernehmen
Betroffene Schutzziele:
Vertraulichkeit
Integrität
Schutzmaßnahmen:
TLS
Zertifikatsprüfung
VPN
HSTS
sichere WLANs
Merksatz:
MitM gefährdet Vertraulichkeit und Integrität.
Aufgabe 21
Was ist Spoofing?
Antwort anzeigen
Spoofing bedeutet:
Identität,
Adresse,
Absender
oder Herkunft wird vorgetäuscht.
Beispiele:
IP-Spoofing
MAC-Spoofing
DNS-Spoofing
E-Mail-Spoofing
ARP-Spoofing
Merksatz:
Spoofing täuscht Herkunft oder Identität vor.
Aufgabe 22
Was ist ARP-Spoofing?
Antwort anzeigen
ARP-Spoofing manipuliert ARP-Zuordnungen im lokalen Netz.
Ziel:
Datenverkehr umleiten
Man-in-the-Middle ermöglichen
Kommunikation stören
Schutzmaßnahmen:
Dynamic ARP Inspection
Netzwerksegmentierung
Switch-Sicherheitsfunktionen
Monitoring
Verschlüsselung höherer Schichten
Merksatz:
ARP-Spoofing betrifft lokale IPv4-Kommunikation.
Aufgabe 23
Was ist DNS-Spoofing?
Antwort anzeigen
DNS-Spoofing liefert falsche DNS-Antworten.
Ziel:
Benutzer auf falsche Server umleiten.
Risiken:
Phishing
Malware
Credential Theft
Man-in-the-Middle
Schutzmaßnahmen:
vertrauenswürdige DNS-Server
DNSSEC je nach Einsatz
TLS-Zertifikatsprüfung
Monitoring
Merksatz:
DNS-Spoofing manipuliert Namensauflösung.
Aufgabe 24
Was ist SQL Injection?
Antwort anzeigen
SQL Injection bedeutet:
Angreifer schleust SQL-Code in Eingaben ein.
Ziele:
Daten auslesen
Daten verändern
Anmeldung umgehen
Daten löschen
Schutzmaßnahmen:
Prepared Statements
Parametrisierung
Eingabevalidierung
Rechtebegrenzung für Datenbankkonten
sichere Fehlerausgaben
Merksatz:
SQL Injection betrifft unsichere Datenbankabfragen.
Aufgabe 25
Was ist XSS?
Antwort anzeigen
XSS steht für:
Cross-Site Scripting
Dabei wird schädlicher Skriptcode in Webseiten eingeschleust,
der im Browser anderer Benutzer ausgeführt wird.
Ziele:
Session stehlen
Benutzeraktionen manipulieren
Inhalte verändern
Phishing innerhalb einer Webseite
Schutzmaßnahmen:
Output Encoding
Eingabevalidierung
Content Security Policy
HttpOnly-Cookies
Merksatz:
XSS greift Benutzer im Browser an.
Aufgabe 26
Was ist CSRF?
Antwort anzeigen
CSRF steht für:
Cross-Site Request Forgery
Dabei wird eine gültige Sitzung eines Benutzers missbraucht,
um ungewollte Aktionen auszuführen.
Schutzmaßnahmen:
CSRF-Token
SameSite-Cookies
erneute Bestätigung kritischer Aktionen
Origin-Prüfung
Merksatz:
CSRF missbraucht eine bestehende Sitzung.
Aufgabe 27
Ordne Webangriffe zu.
Angriff
Kurzbeschreibung
SQL Injection
?
XSS
?
CSRF
?
Antwort anzeigen
Angriff
Kurzbeschreibung
SQL Injection
SQL-Code in Eingaben einschleusen
XSS
Skriptcode im Browser anderer Benutzer ausführen
CSRF
gültige Sitzung für ungewollte Aktion missbrauchen
Merksatz:
SQLi betrifft Datenbankabfragen.
XSS betrifft Browser.
CSRF betrifft Sitzungen.
Aufgabe 28
Was ist ein Zero-Day?
Antwort anzeigen
Ein Zero-Day ist eine Schwachstelle,
für die es noch keinen bekannten oder verfügbaren Patch gibt
oder die gerade erst bekannt wurde.
Risiko:
hohe Gefahr,
weil Standardmaßnahmen noch nicht vollständig verfügbar sind.
Merksatz:
Zero-Day = neue oder ungepatchte Schwachstelle.
Aufgabe 29
Was ist ein Supply-Chain-Angriff?
Antwort anzeigen
Ein Supply-Chain-Angriff zielt auf Lieferketten,
Softwareabhängigkeiten
oder Dienstleister.
Beispiele:
kompromittiertes Update
manipuliertes Softwarepaket
unsichere Bibliothek
kompromittierter Dienstleisterzugang
Schutzmaßnahmen:
Signaturprüfung
Dependency-Scanning
Lieferantenprüfung
Least Privilege
Monitoring
Merksatz:
Supply-Chain-Angriff kommt über Abhängigkeiten.
Aufgabe 30
Was bedeutet Insider Threat?
Antwort anzeigen
Insider Threat bedeutet:
Gefahr durch Personen innerhalb der Organisation
oder mit berechtigtem Zugriff.
Beispiele:
absichtlicher Datenabfluss
fahrlässige Fehlkonfiguration
Missbrauch von Adminrechten
Zugriff nach Rollenwechsel nicht entfernt
Schutzmaßnahmen:
Least Privilege
Rechteprüfung
Vier-Augen-Prinzip
Logging
Offboarding
Merksatz:
Insider haben bereits Zugriff,
deshalb sind Rechte und Logs wichtig.
Aufgabe 31
Was bedeutet Least Privilege?
Antwort anzeigen
Least Privilege bedeutet:
Benutzer,
Dienste
und Prozesse erhalten nur die Rechte,
die sie wirklich benötigen.
Ziel:
Schaden bei Fehlern oder Angriffen begrenzen.
Merksatz:
So wenig Rechte wie möglich,
so viele wie nötig.
Aufgabe 32
Was bedeutet MFA?
Antwort anzeigen
MFA steht für:
Multi-Faktor-Authentifizierung
Dabei werden mehrere Faktoren kombiniert.
Faktoren:
Wissen:
Passwort
Besitz:
Token,
Smartphone,
Smartcard
Sein:
biometrisches Merkmal
Merksatz:
MFA sorgt dafür,
dass ein Passwort allein nicht reicht.
Aufgabe 33
Was ist Hardening?
Antwort anzeigen
Hardening bedeutet:
Systeme sicherer konfigurieren,
indem unnötige Funktionen deaktiviert
oder eingeschränkt werden.
Beispiele:
unnötige Dienste deaktivieren
Standardpasswörter ändern
unsichere Protokolle abschalten
Rechte begrenzen
sichere Einstellungen setzen
Logging aktivieren
Merksatz:
Hardening verringert die Angriffsfläche.
Aufgabe 34
Was ist Patchmanagement?
Antwort anzeigen
Patchmanagement sorgt dafür,
dass Sicherheitsupdates geplant,
getestet
und eingespielt werden.
Ziel:
bekannte Schwachstellen schließen.
Merksatz:
Patchmanagement reduziert bekannte Risiken.
Aufgabe 35
Was ist der Unterschied zwischen IDS und IPS?
Antwort anzeigen
IDS:
Intrusion Detection System
erkennt und meldet Angriffe
IPS:
Intrusion Prevention System
erkennt Angriffe
und blockiert zusätzlich
Merksatz:
IDS meldet.
IPS blockiert.
Aufgabe 36
Was ist EDR?
Antwort anzeigen
EDR steht für:
Endpoint Detection and Response
Aufgabe:
Endgeräte überwachen
verdächtiges Verhalten erkennen
Reaktion ermöglichen
Angriffe analysieren
Merksatz:
EDR schützt und überwacht Endgeräte.
Aufgabe 37
Was ist SIEM?
Antwort anzeigen
SIEM steht für:
Security Information and Event Management
Aufgabe:
Logs sammeln
Sicherheitsereignisse korrelieren
Alarme erzeugen
Vorfälle analysieren
Nachvollziehbarkeit verbessern
Merksatz:
SIEM verbindet Sicherheitsereignisse aus vielen Quellen.
Aufgabe 38
Welche Antwort ist besser?
Aufgabe:
Ein Dienst ist durch sehr viele Anfragen nicht mehr erreichbar.
Welches Schutzziel ist betroffen?
Antwort A:
Vertraulichkeit,
weil alles geheim ist.
Antwort B:
Verfügbarkeit,
weil der Dienst nicht mehr nutzbar ist.
Antwort anzeigen
B ist besser.
Begründung:
Wenn ein Dienst nicht mehr erreichbar oder nutzbar ist,
ist die Verfügbarkeit betroffen.
Merksatz:
Ausfall = Verfügbarkeit.
Aufgabe 39
Welche Antwort ist besser?
Aufgabe:
Warum ist MFA eine sinnvolle Maßnahme gegen gestohlene Passwörter?
Antwort A:
Weil MFA moderner ist.
Antwort B:
MFA verlangt zusätzlich zum Passwort einen weiteren Faktor.
Dadurch reicht ein gestohlenes Passwort allein nicht mehr aus,
um Zugriff zu erhalten.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort nennt die konkrete Schutzwirkung.
Merksatz:
Maßnahme immer mit Wirkung erklären.
Aufgabe 40
Welche Antwort ist besser?
Aufgabe:
Warum ist Hardening sinnvoll?
Antwort A:
Weil man Systeme härter macht.
Antwort B:
Hardening reduziert die Angriffsfläche,
indem unnötige Dienste,
Standardzugänge,
unsichere Protokolle
und zu weitgehende Rechte entfernt oder eingeschränkt werden.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort erklärt,
wie Hardening wirkt
und warum es sicherheitsrelevant ist.
Merksatz:
Fachbegriff plus Wirkung nennen.
Mini-Prüfung: schnelle Zuordnung
Frage
Antwort
Vertraulichkeit schützt vor was?
unberechtigtem Lesen
Integrität schützt vor was?
unbemerkter Veränderung
Verfügbarkeit schützt was?
Nutzbarkeit
Was ist Malware?
Schadsoftware
Was ist Ransomware?
Verschlüsselung oder Sperrung gegen Lösegeld
Was ist Phishing?
Täuschung zur Datenpreisgabe
Was ist DDoS?
verteilter Angriff auf Verfügbarkeit
Was ist MitM?
Angreifer zwischen Kommunikationspartnern
Was ist Spoofing?
Vortäuschen von Identität oder Herkunft
Was ist SQL Injection?
SQL-Code in Eingaben einschleusen
Was ist XSS?
Skriptcode im Browser anderer Benutzer
Was ist CSRF?
Missbrauch einer bestehenden Sitzung
Was macht IDS?
melden
Was macht IPS?
blockieren
Was macht SIEM?
Sicherheitsereignisse korrelieren
Mini-Prüfung: Angriff und Maßnahme
Angriff oder Risiko
passende Maßnahme
gestohlenes Passwort
MFA
zu viele Rechte
Least Privilege
ungepatchter Server
Patchmanagement
unnötige Dienste
Hardening
Ransomware
Offline- oder Immutable-Backup
Phishing
Awareness, Mailfilter, MFA
SQL Injection
Prepared Statements
XSS
Output Encoding, CSP, HttpOnly
DDoS
DDoS-Schutz, Rate Limiting
Man-in-the-Middle
TLS, Zertifikatsprüfung
unklare Vorfälle
Logging, SIEM
kompromittiertes Endgerät
EDR
Mini-Prüfung: Fehlerbild erkennen
Fehlerbild
Wahrscheinlichstes Thema
viele Loginversuche
Brute Force
ein Passwort gegen viele Konten
Password Spraying
geleakte Zugangsdaten werden getestet
Credential Stuffing
gefälschte Loginseite
Phishing
angeblicher Chef fordert Zahlung
CEO-Fraud
Dateien verschlüsselt, Lösegeldforderung
Ransomware
Dienst überlastet
DoS oder DDoS
falsche DNS-Antwort
DNS-Spoofing
Verkehr wird umgeleitet
Man-in-the-Middle
SQL-Fehler nach Eingabe
SQL Injection
fremdes Skript im Browser
XSS
Aktion über bestehende Sitzung ausgelöst
CSRF
IHK-sichere Kurzformulierung
Informationssicherheit schützt die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit. Vertraulichkeit schützt vor unberechtigtem Lesen, Integrität vor unbemerkter Veränderung und Verfügbarkeit vor Ausfall. Eine Schwachstelle ist eine ausnutzbare Lücke, eine Bedrohung ein mögliches schädliches Ereignis und ein Risiko die bewertete Gefahr. Typische Angriffe sind Malware, Ransomware, Phishing, Social Engineering, Brute Force, Credential Stuffing, DDoS, Man-in-the-Middle, Spoofing, SQL Injection, XSS und CSRF. Passende Schutzmaßnahmen sind unter anderem MFA, Least Privilege, Patchmanagement, Hardening, Firewall, IDS, IPS, EDR, SIEM, Backup, Segmentierung und Awareness.
Merksätze
Sicherheit schützt Schutzziele.
CIA bedeutet Vertraulichkeit,
Integrität
und Verfügbarkeit.
Vertraulichkeit schützt vor Mitlesen.
Integrität schützt vor Manipulation.
Verfügbarkeit schützt Nutzbarkeit.
Authentizität schützt Echtheit.
Schwachstelle ist die Lücke.
Bedrohung ist das mögliche Ereignis.
Risiko ist die bewertete Gefahr.
Maßnahme reduziert Risiko.
Malware ist Schadsoftware.
Virus braucht meist eine Wirtsdatei.
Wurm verbreitet sich selbstständig.
Trojaner täuscht Nutzen vor.
Ransomware verschlüsselt oder sperrt Daten.
Phishing täuscht Benutzer.
Social Engineering greift Menschen an.
Brute Force probiert viele Passwörter.
Password Spraying:
ein Passwort,
viele Konten.
Credential Stuffing nutzt geleakte Zugangsdaten.
DoS greift Verfügbarkeit an.
DDoS ist verteilter DoS.
MitM sitzt zwischen Kommunikationspartnern.
Spoofing täuscht Identität oder Herkunft vor.
SQL Injection betrifft Datenbankabfragen.
XSS betrifft Browser anderer Benutzer.
CSRF missbraucht eine gültige Sitzung.
MFA schützt gegen Passwortmissbrauch.
Least Privilege begrenzt Rechte.
Patchmanagement schließt bekannte Lücken.
Hardening reduziert Angriffsfläche.
IDS meldet.
IPS blockiert.
EDR schützt Endgeräte.
SIEM korreliert Sicherheitsereignisse.
Backup ist Wiederherstellungsvorsorge.
Maßnahme muss zum Risiko passen.
Sicherheitsantwort:
Risiko,
Maßnahme,
Wirkung.
20.12 Trainer – Backup, Restore, RPO, RTO und Notfallmaßnahmen
Diese Trainer-Seite wiederholt Backup,
Restore,
RPO,
RTO,
Retention,
Restore-Test,
Ransomware-Schutz
und Notfallmaßnahmen.
Ziel ist,
typische Prüfungsfragen zu Datensicherung,
Wiederherstellung,
Backup-Arten,
Notfallplanung
und Verfügbarkeit sicher zu beantworten.
Merksatz:
Backup ist die Sicherung.
Restore ist die Wiederherstellung.
Ein Backup ist nur so gut wie sein getesteter Restore.
Lernziele
Nach dieser Seite solltest du sicher können:
- Backup und Restore unterscheiden
- Vollbackup,
inkrementelles Backup
und differenzielles Backup unterscheiden
- RPO und RTO erklären
- Retention erklären
- Restore-Tests begründen
- 3-2-1-Regel erklären
- Offline- und Immutable-Backups einordnen
- Snapshots,
Replikation,
Synchronisation
und Redundanz von Backup unterscheiden
- typische Backup-Fehler erkennen
- Notfallmaßnahmen fachlich beschreiben
Kurzüberblick
Begriff
Bedeutung
Backup
Sicherung von Daten, Systemen oder Konfigurationen
Restore
Wiederherstellung aus einer Sicherung
RPO
maximal akzeptabler Datenverlust
RTO
maximal akzeptable Wiederherstellungszeit
Retention
Aufbewahrungsregel für Backups
Restore-Test
Prüfung, ob Wiederherstellung funktioniert
Offline-Backup
nicht dauerhaft verbundenes Backup
Immutable Backup
unveränderliches Backup
Notfallhandbuch
Anleitung für Störungen und Wiederanlauf
Merksatz:
RPO fragt:
Wie viel Datenverlust ist erlaubt?
RTO fragt:
Wie lange darf die Wiederherstellung dauern?
Aufgabe 1
Was ist ein Backup?
Antwort anzeigen
Ein Backup ist eine Sicherung von Daten,
Systemen,
Anwendungen
oder Konfigurationen.
Ziel:
Daten oder Systeme nach Fehler,
Ausfall,
Löschung,
Defekt
oder Angriff wiederherstellen können.
Beispiele:
Dateisicherung
Datenbanksicherung
VM-Backup
Systemabbild
Konfigurationsbackup
Merksatz:
Backup = Sicherung zur späteren Wiederherstellung.
Aufgabe 2
Was ist ein Restore?
Antwort anzeigen
Restore bedeutet:
Wiederherstellung von Daten,
Systemen
oder Konfigurationen aus einem Backup.
Beispiele:
gelöschte Datei wiederherstellen
Datenbank auf früheren Zustand zurücksetzen
Server nach Ausfall wiederherstellen
Konfiguration zurückspielen
Merksatz:
Restore = Wiederherstellung aus Backup.
Aufgabe 3
Was ist der Unterschied zwischen Backup und Restore?
Antwort anzeigen
Backup:
Daten werden gesichert.
Restore:
gesicherte Daten werden wiederhergestellt.
Merksatz:
Backup ist Vorbereitung.
Restore ist der Ernstfall.
Aufgabe 4
Warum ist ein Restore-Test wichtig?
Antwort anzeigen
Ein Restore-Test prüft,
ob ein Backup wirklich nutzbar ist.
Ohne Restore-Test weiß man nicht sicher:
ob Daten vollständig sind
ob Dateien lesbar sind
ob Datenbanken konsistent sind
ob Schlüssel vorhanden sind
ob Rechte stimmen
ob die Wiederherstellungszeit ausreicht
Merksatz:
Backup ohne Restore-Test ist unsicher.
Aufgabe 5
Was ist ein Vollbackup?
Antwort anzeigen
Ein Vollbackup sichert alle ausgewählten Daten vollständig.
Vorteile:
einfache Wiederherstellung
vollständiger Sicherungsstand
weniger Abhängigkeiten
Nachteile:
benötigt viel Speicherplatz
dauert länger
erzeugt mehr Last
Merksatz:
Vollbackup sichert alles,
braucht aber mehr Speicher und Zeit.
Aufgabe 6
Was ist ein inkrementelles Backup?
Antwort anzeigen
Ein inkrementelles Backup sichert nur Änderungen seit dem letzten Backup.
Das letzte Backup kann sein:
Vollbackup
oder
inkrementelles Backup
Vorteile:
schnell
spart Speicherplatz
Nachteile:
Restore braucht die Backup-Kette
beschädigte Kette kann Wiederherstellung gefährden
Merksatz:
Inkrementell = Änderungen seit letztem Backup.
Aufgabe 7
Was ist ein differenzielles Backup?
Antwort anzeigen
Ein differenzielles Backup sichert alle Änderungen seit dem letzten Vollbackup.
Vorteile:
Restore einfacher als bei langer inkrementeller Kette
weniger Speicherbedarf als tägliches Vollbackup
Nachteile:
wird bis zum nächsten Vollbackup immer größer
Merksatz:
Differenziell = Änderungen seit letztem Vollbackup.
Aufgabe 8
Ordne die Backup-Arten zu.
Backup-Art
Bedeutung
Vollbackup
?
inkrementelles Backup
?
differenzielles Backup
?
Antwort anzeigen
Backup-Art
Bedeutung
Vollbackup
sichert alle ausgewählten Daten
inkrementelles Backup
sichert Änderungen seit letztem Backup
differenzielles Backup
sichert Änderungen seit letztem Vollbackup
Merksatz:
Voll = alles.
Inkrementell = seit letztem Backup.
Differenziell = seit letztem Vollbackup.
Aufgabe 9
Was ist ein Snapshot?
Antwort anzeigen
Ein Snapshot ist eine Momentaufnahme eines Systems,
Datenträgers,
Dateisystems
oder einer virtuellen Maschine.
Typische Nutzung:
vor Updates
vor Tests
vor Konfigurationsänderungen
Wichtig:
Ein Snapshot ersetzt kein vollständiges Backup.
Merksatz:
Snapshot = Momentaufnahme,
nicht automatisch Backup.
Aufgabe 10
Warum ersetzt ein Snapshot kein Backup?
Antwort anzeigen
Snapshots liegen oft auf demselben System oder Speicher wie die Produktivdaten.
Risiken:
Speicherdefekt betrifft Snapshot ebenfalls
Ransomware kann Snapshot erreichen
Snapshot kann gelöscht werden
Snapshot-Kette kann beschädigt werden
Speicherplatz kann volllaufen
Merksatz:
Backup muss getrennt,
geschützt
und wiederherstellbar sein.
Aufgabe 11
Was bedeutet RPO?
Antwort anzeigen
RPO steht für:
Recovery Point Objective
Bedeutung:
maximal akzeptabler Datenverlust.
Beispiel:
RPO 1 Stunde
Bedeutung:
Es dürfen höchstens Daten von einer Stunde verloren gehen.
Merksatz:
RPO = Datenverlust.
Aufgabe 12
Was bedeutet RTO?
Antwort anzeigen
RTO steht für:
Recovery Time Objective
Bedeutung:
maximal akzeptable Wiederherstellungszeit.
Beispiel:
RTO 4 Stunden
Bedeutung:
Der Dienst soll spätestens nach 4 Stunden wieder laufen.
Merksatz:
RTO = Zeit bis Wiederherstellung.
Aufgabe 13
Ordne zu.
Begriff
Frage
RPO
?
RTO
?
Antwort anzeigen
Begriff
Frage
RPO
Wie viel Datenverlust ist maximal erlaubt?
RTO
Wie lange darf die Wiederherstellung maximal dauern?
Merksatz:
RPO betrifft Daten.
RTO betrifft Zeit.
Aufgabe 14
Ein Unternehmen sagt:
Es dürfen maximal 2 Stunden Daten verloren gehen.
Welcher Begriff ist gemeint?
Antwort anzeigen
Gemeint ist:
RPO
Begründung:
Es geht um maximal akzeptablen Datenverlust.
Merksatz:
Datenverlust = RPO.
Aufgabe 15
Ein Unternehmen sagt:
Der Dienst muss spätestens nach 6 Stunden wieder verfügbar sein.
Welcher Begriff ist gemeint?
Antwort anzeigen
Gemeint ist:
RTO
Begründung:
Es geht um die maximal akzeptable Wiederherstellungszeit.
Merksatz:
Wiederherstellungszeit = RTO.
Aufgabe 16
Warum muss die Backup-Frequenz zum RPO passen?
Antwort anzeigen
Wenn das RPO klein ist,
muss häufiger gesichert werden.
Beispiel:
RPO 24 Stunden:
tägliches Backup kann reichen.
RPO 1 Stunde:
stündliches Backup oder kontinuierliche Sicherung nötig.
Merksatz:
Je kleiner das RPO,
desto häufiger muss gesichert werden.
Aufgabe 17
Warum muss der Restore-Prozess zum RTO passen?
Antwort anzeigen
Das RTO beschreibt,
wie schnell ein Dienst wiederhergestellt sein muss.
Der Restore-Prozess muss daher schnell genug sein.
Einflussfaktoren:
Backup-Größe
Netzwerkgeschwindigkeit
Speicherleistung
Abhängigkeiten
Personal
Dokumentation
Tests
Merksatz:
RTO wird durch den gesamten Wiederherstellungsprozess bestimmt.
Aufgabe 18
Was bedeutet Retention?
Antwort anzeigen
Retention bedeutet:
Aufbewahrungsregel für Backups.
Beispiele:
tägliche Backups 14 Tage behalten
wöchentliche Backups 8 Wochen behalten
monatliche Backups 12 Monate behalten
Merksatz:
Retention regelt,
wie lange Backups behalten werden.
Aufgabe 19
Was ist die 3-2-1-Regel?
Antwort anzeigen
Die 3-2-1-Regel lautet:
3 Kopien der Daten
2 unterschiedliche Speicherarten
1 Kopie extern oder getrennt
Beispiel:
Produktivdaten
Backup auf NAS
zusätzliches externes oder Cloud-Backup
Merksatz:
3-2-1 reduziert das Risiko,
dass alle Kopien gleichzeitig verloren gehen.
Aufgabe 20
Was bedeutet die 3-2-1-1-0-Regel?
Antwort anzeigen
Die 3-2-1-1-0-Regel ist eine erweiterte Backup-Regel.
Sie bedeutet:
3 Kopien
2 unterschiedliche Medien
1 Kopie extern
1 Kopie offline oder immutable
0 Fehler bei Restore-Tests
Merksatz:
Die 0 steht für fehlerfrei getestete Wiederherstellung.
Aufgabe 21
Was ist ein Offline-Backup?
Antwort anzeigen
Ein Offline-Backup ist nicht dauerhaft mit dem Produktivsystem verbunden.
Beispiele:
getrennte Festplatte
Band
ausgelagertes Medium
abgeschottetes Backup-System
Vorteil:
besserer Schutz gegen Ransomware
und versehentliche Löschung.
Merksatz:
Offline-Backup ist nicht dauerhaft erreichbar.
Aufgabe 22
Was ist ein Immutable Backup?
Antwort anzeigen
Immutable bedeutet:
unveränderlich.
Ein Immutable Backup kann für eine festgelegte Zeit nicht verändert oder gelöscht werden.
Schützt gegen:
Ransomware
Manipulation
versehentliche Löschung
kompromittierte Adminzugänge
Merksatz:
Immutable Backup schützt die Wiederherstellungsmöglichkeit.
Aufgabe 23
Warum sind Offline- oder Immutable-Backups bei Ransomware wichtig?
Antwort anzeigen
Ransomware versucht häufig,
auch Backups zu löschen oder zu verschlüsseln.
Offline-Backups sind nicht dauerhaft verbunden.
Immutable Backups können für eine festgelegte Zeit nicht verändert oder gelöscht werden.
Dadurch bleibt eine Wiederherstellung möglich.
Merksatz:
Backups müssen auch vor Angreifern geschützt werden.
Aufgabe 24
Was ist Backup-Verschlüsselung?
Antwort anzeigen
Backup-Verschlüsselung schützt Sicherungsdaten vor unberechtigtem Lesen.
Wichtig:
Schlüssel sicher aufbewahren
Zugriff begrenzen
Wiederherstellung mit Schlüssel testen
Schlüsselverlust vermeiden
Merksatz:
Verschlüsseltes Backup ist nur nutzbar,
wenn der Schlüssel verfügbar ist.
Aufgabe 25
Warum brauchen Backups besondere Zugriffsrechte?
Antwort anzeigen
Backups enthalten oft besonders viele oder besonders sensible Daten.
Risiken bei zu breiten Rechten:
Datenabfluss
Manipulation
Löschung
Ransomware kann Backups verschlüsseln
Maßnahmen:
getrennte Adminrechte
MFA
keine normalen Benutzerrechte auf Backup-Speicher
Löschrechte begrenzen
Zugriffe protokollieren
Merksatz:
Backups brauchen starken Zugriffsschutz.
Aufgabe 26
Was ist Backup-Monitoring?
Antwort anzeigen
Backup-Monitoring prüft,
ob Sicherungen erfolgreich laufen.
Zu überwachen:
letzter erfolgreicher Backup-Lauf
Fehlermeldungen
Datenmenge
Laufzeit
Speicherplatz
Retention
ungewöhnliche Löschungen
Restore-Test
Merksatz:
Fehlgeschlagene Backups müssen auffallen,
bevor ein Restore nötig ist.
Aufgabe 27
Was ist ein Datenbank-Backup?
Antwort anzeigen
Ein Datenbank-Backup sichert eine Datenbank so,
dass sie konsistent wiederhergestellt werden kann.
Wichtig:
laufende Transaktionen
Schreibzugriffe
Transaktionslogs
Konsistenz
Wiederherstellungszeitpunkt
Merksatz:
Datenbanken nicht einfach blind als Datei kopieren.
Aufgabe 28
Was bedeutet Point-in-Time-Recovery?
Antwort anzeigen
Point-in-Time-Recovery bedeutet:
Wiederherstellung auf einen bestimmten Zeitpunkt.
Beispiel:
Datenbank auf Zustand von 10:15 Uhr zurücksetzen.
Nützlich bei:
versehentlichem Löschen
fehlerhaftem Import
falscher Änderung
beschädigten Daten
Merksatz:
Point-in-Time-Recovery stellt gezielt einen früheren Zeitpunkt wieder her.
Aufgabe 29
Was ist Replikation?
Antwort anzeigen
Replikation bedeutet:
Daten werden auf ein anderes System kopiert,
oft nahezu aktuell.
Vorteil:
schnelle Umschaltung
aktuelle Kopie
höhere Verfügbarkeit
Risiko:
Fehler,
Löschung
oder Ransomware können mitrepliziert werden.
Merksatz:
Replikation ist kein Backup.
Aufgabe 30
Was ist Synchronisation?
Antwort anzeigen
Synchronisation bedeutet:
Daten werden zwischen Speicherorten abgeglichen.
Problem:
Löschungen,
Fehländerungen,
beschädigte Dateien
oder Ransomware-Verschlüsselung können mitsynchronisiert werden.
Merksatz:
Synchronisation hält Daten gleich,
stellt aber nicht automatisch alte Stände wieder her.
Aufgabe 31
Was ist Redundanz?
Antwort anzeigen
Redundanz bedeutet:
wichtige Komponenten sind mehrfach vorhanden.
Beispiele:
RAID
zwei Netzteile
mehrere Server
zweite Firewall
mehrere Internetleitungen
Ziel:
Ausfall vermeiden oder abfedern.
Wichtig:
Redundanz ersetzt kein Backup.
Merksatz:
Redundanz erhöht Verfügbarkeit,
stellt aber keine alten Datenstände wieder her.
Aufgabe 32
Ordne zu.
Begriff
Ersetzt Backup?
Snapshot
?
Replikation
?
Synchronisation
?
Redundanz
?
Antwort anzeigen
Begriff
Ersetzt Backup?
Snapshot
nein
Replikation
nein
Synchronisation
nein
Redundanz
nein
Begründung:
Diese Verfahren können nützlich sein,
ersetzen aber kein vollständiges Backup-Konzept mit Restore-Möglichkeit.
Merksatz:
Nicht alles,
was Daten kopiert oder verfügbar hält,
ist ein Backup.
Aufgabe 33
Was ist ein Notfallhandbuch?
Antwort anzeigen
Ein Notfallhandbuch beschreibt,
was bei schweren Störungen zu tun ist.
Inhalte:
Ansprechpartner
Prioritäten
Systeme
Wiederherstellungsreihenfolge
Backup-Orte
Restore-Anleitungen
Kommunikationswege
Eskalationswege
Merksatz:
Im Notfall darf nicht erst gesucht werden,
wer was weiß.
Aufgabe 34
Warum ist die Restore-Reihenfolge wichtig?
Antwort anzeigen
Systeme hängen oft voneinander ab.
Beispielhafte Reihenfolge:
Netzwerk
Verzeichnisdienst
Speicher
Datenbank
Anwendung
Benutzerzugriff
Wenn Abhängigkeiten fehlen,
starten Dienste eventuell nicht korrekt.
Merksatz:
Restore braucht Reihenfolge,
weil Systeme voneinander abhängen.
Aufgabe 35
Was ist Disaster Recovery?
Antwort anzeigen
Disaster Recovery beschreibt:
Wiederherstellung der IT nach schweren Störungen.
Beispiele:
Ransomware
Brand
Rechenzentrumsausfall
massiver Datenverlust
Hardwaredefekt
Cloud-Ausfall
Merksatz:
Disaster Recovery = IT-Wiederherstellung nach schwerem Vorfall.
Aufgabe 36
Was ist Business Continuity?
Antwort anzeigen
Business Continuity bedeutet:
Geschäftsprozesse sollen trotz Störung weiterlaufen
oder schnell wieder anlaufen.
Dazu gehören:
Notfallplanung
Ersatzprozesse
Kommunikation
Verantwortlichkeiten
Wiederanlauf
Tests
Merksatz:
Business Continuity betrachtet den Betrieb insgesamt.
Aufgabe 37
Was ist Failover?
Antwort anzeigen
Failover bedeutet:
Ein Dienst wird bei Ausfall auf ein Ersatzsystem umgeschaltet.
Möglich:
automatisch
oder
manuell
Beispiele:
zweite Firewall übernimmt
Datenbank-Replikat wird aktiv
anderer Server übernimmt Dienst
Wichtig:
Failover ersetzt kein Backup.
Merksatz:
Failover reduziert Ausfallzeit,
ist aber kein Backup.
Aufgabe 38
Welche Antwort ist besser?
Aufgabe:
Warum reicht es nicht,
nur Backups zu erstellen?
Antwort A:
Weil man mehr machen muss.
Antwort B:
Backups müssen regelmäßig überwacht und durch Restore-Tests geprüft werden.
Nur so ist sichergestellt,
dass Daten vollständig,
lesbar
und innerhalb der geforderten Zeit wiederherstellbar sind.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort nennt konkrete Anforderungen:
Monitoring,
Restore-Test,
Vollständigkeit
und Wiederherstellungszeit.
Merksatz:
Backup braucht Prüfung.
Aufgabe 39
Welche Antwort ist besser?
Aufgabe:
Warum ist Replikation kein Backup?
Antwort A:
Weil es anders heißt.
Antwort B:
Replikation erstellt eine aktuelle Kopie.
Fehler,
Löschungen
oder Ransomware-Verschlüsselungen können jedoch mitrepliziert werden.
Ein Backup muss auch ältere Zustände wiederherstellen können.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort erklärt den fachlichen Unterschied zwischen aktueller Kopie
und wiederherstellbaren alten Ständen.
Merksatz:
Replikation ist Verfügbarkeit,
Backup ist Wiederherstellung.
Aufgabe 40
Welche Antwort ist besser?
Aufgabe:
Was bedeutet RPO 1 Stunde?
Antwort A:
Das Backup dauert eine Stunde.
Antwort B:
RPO 1 Stunde bedeutet,
dass maximal Daten aus einer Stunde verloren gehen dürfen.
Die Backup-Frequenz oder Sicherungsmethode muss dazu passen.
Antwort anzeigen
B ist besser.
Begründung:
RPO beschreibt Datenverlust,
nicht die Dauer des Backups.
Merksatz:
RPO nicht mit Backup-Dauer verwechseln.
Mini-Prüfung: schnelle Zuordnung
Frage
Antwort
Was ist Backup?
Sicherung
Was ist Restore?
Wiederherstellung
Was bedeutet RPO?
maximal akzeptabler Datenverlust
Was bedeutet RTO?
maximal akzeptable Wiederherstellungszeit
Was bedeutet Retention?
Aufbewahrungsregel
Was ist Vollbackup?
sichert alle ausgewählten Daten
Was ist inkrementell?
Änderungen seit letztem Backup
Was ist differenziell?
Änderungen seit letztem Vollbackup
Was ist Snapshot?
Momentaufnahme
Was ist Offline-Backup?
nicht dauerhaft verbunden
Was ist Immutable Backup?
unveränderliches Backup
Was ist Restore-Test?
Prüfung der Wiederherstellung
Mini-Prüfung: Fehlerbild erkennen
Fehlerbild
Wahrscheinlichstes Thema
Backup vorhanden, Restore geht nicht
Restore-Test fehlt oder Backup defekt
zu viel Datenverlust
RPO nicht eingehalten
Wiederherstellung dauert zu lange
RTO nicht eingehalten
Datenbank nach Restore beschädigt
kein konsistentes Backup
Backupziel voll
Retention oder Speicherplatz
Ransomware verschlüsselt Backups mit
Backup online und beschreibbar
verschlüsseltes Backup nicht nutzbar
Schlüssel fehlt
alte Datei fehlt
Retention zu kurz
Replikat enthält auch gelöschte Daten
Replikation ist kein Backup
Dienst startet nach Restore nicht
Abhängigkeiten oder Reihenfolge vergessen
IHK-sichere Kurzformulierung
Ein Backup ist eine Sicherung von Daten, Systemen oder Konfigurationen. Restore bezeichnet die Wiederherstellung aus dieser Sicherung. Ein Backup ist nur zuverlässig, wenn die Wiederherstellung regelmäßig getestet wird. Vollbackups sichern alle ausgewählten Daten, inkrementelle Backups sichern Änderungen seit dem letzten Backup und differenzielle Backups sichern Änderungen seit dem letzten Vollbackup. RPO beschreibt den maximal akzeptablen Datenverlust, RTO die maximal akzeptable Wiederherstellungszeit. Retention legt fest, wie lange Backups aufbewahrt werden. Snapshots, Replikation, Synchronisation, Redundanz und Failover ersetzen kein vollständiges Backup-Konzept. Gegen Ransomware helfen besonders Offline- oder Immutable-Backups und regelmäßige Restore-Tests.
Merksätze
Backup = Sicherung.
Restore = Wiederherstellung.
Backup ohne Restore-Test ist unsicher.
Vollbackup sichert alles.
Inkrementell sichert seit letztem Backup.
Differenziell sichert seit letztem Vollbackup.
Snapshot ist Momentaufnahme.
Snapshot ersetzt kein Backup.
Datenbanken brauchen konsistente Backups.
Point-in-Time-Recovery stellt einen Zeitpunkt wieder her.
RPO = Datenverlust.
RTO = Wiederherstellungszeit.
Retention = Aufbewahrungsregel.
Backup-Frequenz muss zum RPO passen.
Restore-Prozess muss zum RTO passen.
3-2-1 reduziert Gesamtrisiko.
3-2-1-1-0 ergänzt Offline oder Immutable und fehlerfreie Restore-Tests.
Offline-Backup ist nicht dauerhaft verbunden.
Immutable Backup ist unveränderlich.
Verschlüsseltes Backup braucht Schlüssel.
Backups brauchen starke Rechtebegrenzung.
Backup-Monitoring ist Pflicht.
Backup-Logs regelmäßig prüfen.
Redundanz ist kein Backup.
Replikation ist kein Backup.
Synchronisation ist kein Backup.
Failover ist kein Backup.
Notfallhandbuch hilft im Ernstfall.
Restore braucht Reihenfolge.
Business Continuity betrachtet Geschäftsprozesse.
Disaster Recovery betrachtet IT-Wiederherstellung.
Im Notfall zählt nicht,
ob ein Backup irgendwo existiert,
sondern ob es korrekt und rechtzeitig wiederhergestellt werden kann.
20.13 Trainer – Gemischte Fehlersuche nach dem OSI-Modell
Diese Trainer-Seite wiederholt die systematische Fehlersuche nach dem OSI-Modell.
Ziel ist,
Fehlerbilder nicht wild zu raten,
sondern sauber einzuordnen:
- Welche Schicht ist betroffen?
- Was funktioniert noch?
- Was funktioniert nicht?
- Welche Prüfung passt als nächstes?
- Welche Ursache ist am wahrscheinlichsten?
Merksatz:
Gute Fehlersuche beginnt nicht mit Vermutung,
sondern mit Eingrenzung.
Lernziele
Nach dieser Seite solltest du sicher können:
- Fehler systematisch nach OSI-Schichten eingrenzen
- typische Fehlerbilder erkennen
- passende Prüfwerkzeuge auswählen
- IP,
DNS,
Gateway,
Firewall,
Port,
Dienst
und Rechte unterscheiden
- aus Symptomen wahrscheinliche Ursachen ableiten
- prüfungssichere Antworten formulieren
Grundprinzip der Fehlersuche
Bei Netzwerkproblemen immer fragen:
1. Gibt es eine physische Verbindung?
2. Ist die lokale Verbindung korrekt?
3. Stimmt die IP-Konfiguration?
4. Ist das Zielnetz erreichbar?
5. Ist der Port oder Dienst erreichbar?
6. Funktioniert die Anwendung?
7. Gibt es Berechtigungs- oder Authentifizierungsprobleme?
Merksatz:
Erst Verbindung prüfen,
dann Adresse,
dann Dienst,
dann Anwendung.
OSI-Fehlersuche im Überblick
Schicht
Thema
Typische Prüfung
1
Kabel, Signal, Link
Link-LED, Kabel, Port
2
MAC, VLAN, Switch
VLAN, MAC-Tabelle, ARP
3
IP, Gateway, Routing
IP-Konfiguration, ping, traceroute
4
TCP, UDP, Ports
Porttest, Dienst lauscht?
5
Sitzung
Session, Timeout, Cookie
6
TLS, Zertifikat
Zertifikat, Verschlüsselung
7
Anwendung
DNS, HTTP, Dienst, Logs
Merksatz:
Jede Schicht hat eigene Fehlerbilder.
Aufgabe 1
Ein Client hat keine Link-LED am Netzwerkanschluss.
Welche Schicht ist zuerst betroffen?
Antwort anzeigen
Zuerst betroffen ist:
OSI-Schicht 1
Begründung:
Keine Link-LED deutet auf ein physisches Problem hin.
Prüfen:
Kabel
Stecker
Netzwerkdose
Switchport
Netzwerkkarte
Gegenstelle
Merksatz:
Kein Link:
Schicht 1 prüfen.
Aufgabe 2
Ein Client hat die IP-Adresse:
169.254.23.10
Was ist wahrscheinlich?
Antwort anzeigen
Wahrscheinlich:
DHCP-Problem
Begründung:
169.254.x.x ist eine APIPA-Adresse.
Der Client hat wahrscheinlich keine gültige IP-Adresse vom DHCP-Server erhalten.
Prüfen:
DHCP-Server
VLAN
DHCP-Scope
DHCP-Relay
Netzwerkverbindung
Merksatz:
169.254.x.x:
DHCP nicht erreicht.
Aufgabe 3
Ein Client kann Geräte im gleichen Netz erreichen,
aber keine externen Netze.
Was ist wahrscheinlich?
Antwort anzeigen
Wahrscheinlich:
Gateway,
Routing,
NAT
oder Firewall
Erste Prüfung:
Standardgateway
Begründung:
Lokale Kommunikation funktioniert.
Der Fehler liegt wahrscheinlich beim Weg in andere Netze.
Merksatz:
Lokal ja,
extern nein:
Gateway prüfen.
Aufgabe 4
Ein Client erreicht eine Webseite per IP-Adresse,
aber nicht per Namen.
Was ist wahrscheinlich?
Antwort anzeigen
Wahrscheinlich:
DNS-Problem
Begründung:
Die IP-Kommunikation funktioniert.
Nur die Namensauflösung funktioniert nicht.
Prüfen:
DNS-Server
DNS-Eintrag
DNS-Cache
DNS-Suffix
Split-DNS
Merksatz:
IP ja,
Name nein:
DNS.
Aufgabe 5
Ein Server ist per ping erreichbar,
aber SSH funktioniert nicht.
Was ist wahrscheinlich?
Antwort anzeigen
Ping prüft ICMP.
SSH nutzt TCP 22.
Mögliche Ursachen:
TCP 22 blockiert
SSH-Dienst läuft nicht
SSH lauscht auf anderem Port
lokale Firewall blockiert
Netzwerkfirewall blockiert
Benutzer oder Schlüssel falsch
Merksatz:
ping geht,
Dienst nicht:
Port,
Dienst
und Firewall prüfen.
Aufgabe 6
Ein Webserver ist per ping erreichbar,
aber HTTPS funktioniert nicht.
Was sollte geprüft werden?
Antwort anzeigen
Prüfen:
TCP 443 erreichbar?
Webserver läuft?
Dienst lauscht auf Port 443?
Firewall erlaubt TCP 443?
Reverse Proxy korrekt?
TLS-Zertifikat korrekt?
Anwendung läuft?
Merksatz:
ping ist kein HTTPS-Test.
Aufgabe 7
Ein Browser zeigt HTTP 404.
Was bedeutet das?
Antwort anzeigen
HTTP 404 bedeutet:
nicht gefunden
Die angeforderte Ressource existiert unter dieser Adresse nicht
oder ist dort nicht erreichbar.
Prüfen:
URL
Pfad
Routing der Webanwendung
Webserver-Konfiguration
Reverse Proxy
Merksatz:
404 = Ressource nicht gefunden.
Aufgabe 8
Ein Browser zeigt HTTP 500.
Was bedeutet das?
Antwort anzeigen
HTTP 500 bedeutet:
interner Serverfehler
Das Problem liegt eher auf Serverseite.
Prüfen:
Anwendungslogs
Webserverlogs
Backend
Datenbank
Konfiguration
Berechtigungen
Merksatz:
500 = Server,
Anwendung
oder Backend prüfen.
Aufgabe 9
Ein Browser zeigt HTTP 502.
Was bedeutet das häufig?
Antwort anzeigen
HTTP 502 bedeutet:
Bad Gateway
Typisch bei:
Reverse Proxy
Load Balancer
Gateway
Mögliche Ursachen:
Backend nicht erreichbar
Backend-Port falsch
Backend-Dienst läuft nicht
DNS intern falsch
Proxy-Konfiguration falsch
Merksatz:
502:
Proxy oder Gateway erreicht Backend nicht korrekt.
Aufgabe 10
Ein Benutzer kann sich anmelden,
aber nicht auf eine Datei zugreifen.
Was ist wahrscheinlich?
Antwort anzeigen
Wahrscheinlich:
Autorisierungs- oder Berechtigungsproblem
Begründung:
Die Anmeldung funktioniert.
Der Zugriff auf die Ressource ist aber nicht erlaubt.
Prüfen:
Gruppenmitgliedschaft
ACLs
Freigaberechte
Dateisystemrechte
Rollen
Merksatz:
Login ja,
Zugriff nein:
Rechte prüfen.
Aufgabe 11
Ein Benutzer kann sich gar nicht anmelden.
Was ist wahrscheinlich?
Antwort anzeigen
Wahrscheinlich:
Authentifizierungsproblem
Mögliche Ursachen:
falsches Passwort
Konto gesperrt
MFA-Problem
Verzeichnisdienst nicht erreichbar
Zertifikat abgelaufen
Zeitproblem
Merksatz:
Anmeldung scheitert:
Authentifizierung prüfen.
Aufgabe 12
Ein Client bekommt eine IP-Adresse aus dem falschen Netz.
Was ist wahrscheinlich?
Antwort anzeigen
Wahrscheinlich:
falsches VLAN
Begründung:
Wenn ein Client im falschen VLAN landet,
erhält er eventuell eine Adresse aus dem falschen DHCP-Scope.
Prüfen:
Access-VLAN am Switchport
Trunk-Konfiguration
DHCP-Scope
Dokumentation
Merksatz:
Falsches Netz:
VLAN prüfen.
Aufgabe 13
Mehrere VLANs funktionieren über eine Switch-Verbindung nicht.
Was sollte geprüft werden?
Antwort anzeigen
Prüfen:
Trunk-Port aktiv?
VLANs erlaubt?
VLANs auf beiden Switches vorhanden?
802.1Q-Tagging korrekt?
Native VLAN passend?
Gegenstelle korrekt konfiguriert?
Merksatz:
Mehrere VLANs betroffen:
Trunk prüfen.
Aufgabe 14
Ein einzelner Client kann keine Verbindung herstellen,
andere Clients im gleichen Raum funktionieren.
Was ist wahrscheinlich?
Antwort anzeigen
Mögliche Ursachen:
Patchkabel defekt
Netzwerkdose defekt
Switchport deaktiviert
falsches Access-VLAN
Netzwerkkarte deaktiviert
Port Security blockiert
Client-Konfiguration falsch
Merksatz:
Nur ein Gerät betroffen:
lokal am Gerät,
Kabel
oder Port suchen.
Aufgabe 15
Alle Clients in einem VLAN haben kein Internet.
Was ist wahrscheinlicher als ein einzelnes defektes Patchkabel?
Antwort anzeigen
Wahrscheinlicher sind zentrale Ursachen:
Gateway des VLANs
Firewall-Regel
Routing
NAT
DHCP-Konfiguration
VLAN-Trunk
DNS,
falls nur Namen betroffen sind
Merksatz:
Viele Geräte betroffen:
zentrale Komponente prüfen.
Aufgabe 16
Ein Client kann externe IP-Adressen erreichen,
aber keine Webseiten per Domain.
Was ist wahrscheinlich?
Antwort anzeigen
Wahrscheinlich:
DNS-Problem
Begründung:
Der Weg ins Internet funktioniert.
Nur die Namensauflösung funktioniert nicht.
Prüfen:
DNS-Server
DNS-Erreichbarkeit
DNS-Einträge
DNS-Cache
Merksatz:
Externe IP ja,
Domain nein:
DNS.
Aufgabe 17
Ein Dienst funktioniert intern,
aber nicht von außen über das Internet.
Was sollte geprüft werden?
Antwort anzeigen
Prüfen:
öffentliche IP
DNS
Portweiterleitung
Router-Firewall
lokale Firewall
Dienststatus
Dienstport
doppeltes NAT
CGNAT
Provider-Portblockade
Merksatz:
Intern ja,
extern nein:
NAT,
Firewall,
DNS
und öffentliche IP prüfen.
Aufgabe 18
Ein Dienst funktioniert von außen,
aber intern nicht über die öffentliche Domain.
Was ist wahrscheinlich?
Antwort anzeigen
Mögliche Ursachen:
Hairpin NAT fehlt
Split-DNS fehlt
interne DNS-Auflösung falsch
Firewall-Regel für internen Zugriff fehlt
Merksatz:
Externe Domain intern:
Hairpin NAT oder Split-DNS prüfen.
Aufgabe 19
VPN ist verbunden,
aber interne Namen funktionieren nicht.
Was ist wahrscheinlich?
Antwort anzeigen
Wahrscheinlich:
VPN-DNS-Problem
Prüfen:
interner DNS-Server gesetzt?
DNS-Server über VPN erreichbar?
DNS-Suffix vorhanden?
Split-DNS korrekt?
DNS-Cache veraltet?
Merksatz:
VPN-IP ja,
VPN-Name nein:
VPN-DNS prüfen.
Aufgabe 20
VPN ist verbunden,
aber interne IP-Ziele sind nicht erreichbar.
Was ist wahrscheinlich?
Antwort anzeigen
Mögliche Ursachen:
VPN-Route fehlt
Zielnetz nicht erlaubt
Firewall blockiert
Rückroute fehlt
IP-Adresskonflikt
Berechtigung fehlt
Merksatz:
VPN verbunden heißt nicht automatisch:
Routen und Regeln stimmen.
Aufgabe 21
Ein Heimnetz und Firmennetz nutzen beide 192.168.1.0/24.
Warum ist das bei VPN problematisch?
Antwort anzeigen
Problem:
Der Client kann nicht eindeutig entscheiden,
ob 192.168.1.x lokal
oder über VPN erreichbar sein soll.
Folge:
Routingprobleme
interne Dienste nicht erreichbar
Merksatz:
Gleiche Netze lokal und remote verursachen VPN-Probleme.
Aufgabe 22
Ein Zertifikat ist abgelaufen.
Welches typische Fehlerbild entsteht?
Antwort anzeigen
Typisches Fehlerbild:
Browser oder Client zeigt Zertifikatswarnung.
Mögliche Folgen:
HTTPS-Verbindung wird blockiert
Benutzer erhält Sicherheitswarnung
API-Clients lehnen Verbindung ab
Prüfen:
Ablaufdatum
Hostname
Zertifikatskette
Systemzeit
Merksatz:
Zertifikatswarnung:
Ablauf,
Name,
Kette
und Zeit prüfen.
Aufgabe 23
Ein HTTPS-Zertifikat passt nicht zum Hostnamen.
Was ist die Ursache?
Antwort anzeigen
Ursache:
Der aufgerufene Name steht nicht passend im Zertifikat.
Prüfen:
Common Name
Subject Alternative Name
verwendete Domain
Reverse Proxy
falsches Zertifikat
Merksatz:
Zertifikat muss zum aufgerufenen Namen passen.
Aufgabe 24
Ein Dienst startet nach einem Restore nicht.
Was sollte geprüft werden?
Antwort anzeigen
Prüfen:
Abhängigkeiten
Datenbank erreichbar?
Rechte korrekt?
Konfiguration vorhanden?
Zertifikate vorhanden?
DNS korrekt?
Ports frei?
Logs auswerten
Restore-Reihenfolge eingehalten?
Merksatz:
Restore braucht Abhängigkeiten und Reihenfolge.
Aufgabe 25
Nach einem Update funktioniert ein Dienst nicht mehr.
Was sollte geprüft werden?
Antwort anzeigen
Prüfen:
Änderungsprotokoll
Konfigurationsänderungen
Dienststatus
Logs
Ports
Abhängigkeiten
Berechtigungen
Kompatibilität
Rollback-Möglichkeit
Merksatz:
Nach Änderung:
Change,
Logs
und Rollback prüfen.
Aufgabe 26
Ein Backup ist vorhanden,
aber die Wiederherstellung schlägt fehl.
Was wurde wahrscheinlich versäumt?
Antwort anzeigen
Wahrscheinlich:
Restore-Test
Weitere mögliche Ursachen:
Backup beschädigt
Schlüssel fehlt
Rechte fehlen
Datenbank nicht konsistent gesichert
Backup-Kette unvollständig
Dokumentation fehlt
Merksatz:
Backup ohne Restore-Test ist unsicher.
Aufgabe 27
Ein Server ist sehr langsam,
aber nicht komplett ausgefallen.
Was sollte geprüft werden?
Antwort anzeigen
Prüfen:
CPU-Auslastung
RAM
Festplatten-I/O
Speicherplatz
Netzwerkfehler
Paketverluste
Latenz
Logs
laufende Prozesse
Datenbanklast
Merksatz:
Langsamkeit braucht Messwerte,
nicht nur Vermutung.
Aufgabe 28
Ein Dienst ist nicht erreichbar.
Der Port lauscht aber lokal auf 127.0.0.1.
Warum kann das ein Problem sein?
Antwort anzeigen
127.0.0.1 ist localhost.
Wenn ein Dienst nur auf 127.0.0.1 lauscht,
ist er nur lokal auf dem Server erreichbar,
nicht von anderen Systemen.
Prüfen:
Bind-Adresse
Dienstkonfiguration
Firewall
Merksatz:
127.0.0.1 heißt:
nur lokal erreichbar.
Aufgabe 29
Ein Dienst lauscht auf 0.0.0.0.
Was bedeutet das?
Antwort anzeigen
0.0.0.0 bedeutet bei einem lauschenden Dienst:
Der Dienst lauscht auf allen IPv4-Schnittstellen des Systems.
Wichtig:
Ob er wirklich erreichbar ist,
hängt zusätzlich von Firewall,
Routing
und Netzwerk ab.
Merksatz:
0.0.0.0 heißt:
alle IPv4-Interfaces.
Aufgabe 30
Ein Porttest schlägt fehl,
obwohl der Dienst läuft.
Was kann die Ursache sein?
Antwort anzeigen
Mögliche Ursachen:
Dienst lauscht nur auf localhost
lokale Firewall blockiert
Netzwerkfirewall blockiert
falscher Port
falsches Protokoll TCP/UDP
NAT-Regel fehlt
Routingproblem
Ziel-IP falsch
Merksatz:
Dienst läuft heißt nicht automatisch:
Dienst ist von außen erreichbar.
Aufgabe 31
Ein DNS-Eintrag wurde geändert,
aber Clients nutzen noch die alte IP.
Was ist wahrscheinlich?
Antwort anzeigen
Wahrscheinlich:
DNS-Cache oder TTL
Prüfen:
Client-DNS-Cache
DNS-Server-Cache
TTL des Eintrags
welcher DNS-Server gefragt wird
Merksatz:
DNS-Änderungen wirken nicht immer sofort.
Aufgabe 32
Ein Client erhält keine IP-Adresse,
aber nur in einem bestimmten VLAN.
Was sollte geprüft werden?
Antwort anzeigen
Prüfen:
DHCP-Scope für dieses VLAN
DHCP-Relay
Gateway im VLAN
VLAN-Trunk
Firewall-Regeln
DHCP-Server erreichbar?
Merksatz:
DHCP pro VLAN braucht passenden Scope und Weg zum Server.
Aufgabe 33
Ein Client kann den DNS-Server nicht erreichen.
Welche Folgen kann das haben?
Antwort anzeigen
Folgen:
Namen werden nicht aufgelöst
Webseiten per Domain funktionieren nicht
interne Dienste per Name funktionieren nicht
Anmeldung oder Dienste können verzögert sein
Anwendungen finden Backend-Systeme nicht
Merksatz:
Ohne DNS funktionieren viele Dienste scheinbar nicht,
obwohl IP-Kommunikation möglich sein kann.
Aufgabe 34
Ein Benutzer meldet:
„Das Internet geht nicht.“
Welche Rückfragen oder Prüfungen sind sinnvoll?
Antwort anzeigen
Sinnvoll prüfen:
Betrifft es nur eine Webseite oder alle?
Geht Zugriff per IP?
Geht DNS-Auflösung?
IP-Adresse korrekt?
Gateway erreichbar?
andere Clients betroffen?
WLAN oder Kabel?
Proxy oder VPN aktiv?
Firewall oder Filter?
Merksatz:
„Internet geht nicht“ erst in konkrete Symptome zerlegen.
Aufgabe 35
Ein Benutzer meldet:
„Der Server ist nicht erreichbar.“
Welche Eingrenzung ist sinnvoll?
Antwort anzeigen
Sinnvoll prüfen:
Welcher Server?
per Name oder IP?
ping erreichbar?
Port erreichbar?
Dienst läuft?
nur ein Benutzer betroffen?
Rechteproblem?
DNS korrekt?
Firewall-Regel geändert?
Logs vorhanden?
Merksatz:
Server nicht erreichbar kann DNS,
Routing,
Port,
Dienst
oder Rechte bedeuten.
Aufgabe 36
Ordne Fehlerbilder den Themen zu.
Fehlerbild
Thema
keine Link-LED
?
169.254.x.x
?
IP geht, Name nicht
?
ping geht, HTTPS nicht
?
HTTP 500
?
Login geht, Zugriff nicht
?
Antwort anzeigen
Fehlerbild
Thema
keine Link-LED
Schicht 1 / physische Verbindung
169.254.x.x
DHCP
IP geht, Name nicht
DNS
ping geht, HTTPS nicht
TCP 443, Webdienst, Firewall, TLS
HTTP 500
Server, Anwendung, Backend
Login geht, Zugriff nicht
Autorisierung / Rechte
Merksatz:
Fehlerbild zuerst genau einordnen.
Aufgabe 37
Welche Antwort ist besser?
Aufgabe:
Ein Client erreicht externe IP-Adressen,
aber keine Domains.
Nennen Sie eine wahrscheinliche Ursache.
Antwort A:
Internet ist kaputt.
Antwort B:
Wahrscheinlich liegt ein DNS-Problem vor,
da externe IP-Adressen erreichbar sind,
aber Namen nicht aufgelöst werden.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort leitet die Ursache aus dem Fehlerbild ab
und nennt DNS als konkrete Prüfung.
Merksatz:
Ursache aus Symptom ableiten.
Aufgabe 38
Welche Antwort ist besser?
Aufgabe:
Ein Dienst ist per ping erreichbar,
aber der Port 443 ist nicht erreichbar.
Was prüfen Sie?
Antwort A:
Den Monitor.
Antwort B:
Ich prüfe,
ob der Webdienst läuft,
ob er auf TCP 443 lauscht,
ob lokale oder zentrale Firewalls TCP 443 blockieren
und ob NAT oder Portweiterleitung korrekt eingerichtet sind.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort trennt Host-Erreichbarkeit von Dienst-Erreichbarkeit
und nennt konkrete Prüfungen.
Merksatz:
ping ist kein Porttest.
Aufgabe 39
Welche Antwort ist besser?
Aufgabe:
Nach einem Update funktioniert ein Dienst nicht mehr.
Was tun Sie?
Antwort A:
Alles neu installieren.
Antwort B:
Ich prüfe Dienststatus,
Logs,
geänderte Konfigurationen,
Abhängigkeiten,
Ports
und Berechtigungen.
Falls nötig,
nutze ich den vorbereiteten Rollback-Plan.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort ist systematisch
und berücksichtigt Change Management.
Merksatz:
Nach Änderung:
gezielt prüfen,
nicht blind neu installieren.
Aufgabe 40
Welche Antwort ist besser?
Aufgabe:
Warum ist systematische Fehlersuche besser als Raten?
Antwort A:
Weil das professioneller klingt.
Antwort B:
Systematische Fehlersuche grenzt den Fehler anhand von Schichten,
Symptomen
und Messwerten ein.
Dadurch werden Ursachen schneller gefunden
und unnötige Änderungen vermieden.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort erklärt den Nutzen:
Eingrenzung,
Messbarkeit
und Vermeidung unnötiger Änderungen.
Merksatz:
Fehlersuche braucht Struktur.
Mini-Prüfung: typische Fehlerbilder
Fehlerbild
Wahrscheinlichstes Thema
keine Link-LED
Kabel, Port, Schicht 1
Link ja, aber falsches Netz
VLAN oder DHCP
169.254.x.x
DHCP nicht erreicht
lokale Kommunikation ja, Internet nein
Gateway, Routing, NAT, Firewall
externe IP ja, Name nein
DNS
ping ja, SSH nein
TCP 22, SSH-Dienst, Firewall
ping ja, HTTPS nein
TCP 443, Webdienst, Firewall, TLS
HTTP 401
Authentifizierung
HTTP 403
Autorisierung
HTTP 404
Ressource nicht gefunden
HTTP 500
Anwendung oder Server
HTTP 502
Proxy, Gateway oder Backend
VPN verbunden, IP ja, Name nein
VPN-DNS
Restore schlägt fehl
Restore-Test, Backup, Schlüssel, Rechte
Mini-Prüfung: passende Werkzeuge
Prüfung
Werkzeug oder Ort
IP-Konfiguration prüfen
ipconfig, ip addr
Gateway prüfen
route print, ip route
Erreichbarkeit per ICMP
ping
Weg zum Ziel prüfen
tracert, traceroute
DNS prüfen
nslookup, dig
offene Ports prüfen
ss, netstat, Porttest
HTTP prüfen
Browser, curl
Dienststatus prüfen
systemctl, Diensteverwaltung
Logs prüfen
journalctl, Event Viewer, Anwendungslogs
Firewall prüfen
Firewall-Regeln und Logs
Rechte prüfen
Gruppen, ACLs, Rollen
Backup prüfen
Backup-Job, Restore-Test
IHK-sichere Kurzformulierung
Systematische Fehlersuche bedeutet, ein Problem anhand von Symptomen, Schichten und Messwerten einzugrenzen. Zuerst wird geprüft, ob eine physische Verbindung besteht. Danach folgen lokale Kommunikation, IP-Konfiguration, Gateway, Routing, DNS, Ports, Dienste, Anwendung und Berechtigungen. Typische Fehlerbilder helfen bei der Einordnung: 169.254.x.x deutet auf DHCP hin, IP erreichbar aber Name nicht deutet auf DNS hin, lokale Kommunikation aber kein Internet deutet auf Gateway, Routing, NAT oder Firewall hin. ping prüft nur ICMP und ersetzt keinen Port- oder Diensttest. Gute Prüfungsantworten nennen eine wahrscheinliche Ursache, begründen sie mit dem Fehlerbild und nennen eine passende Prüfung.
Merksätze
Fehlersuche beginnt mit Eingrenzung.
Erst Schicht 1,
dann höhere Schichten.
Kein Link:
Kabel,
Port,
Gegenstelle prüfen.
Falsches Netz:
VLAN oder DHCP prüfen.
169.254.x.x:
DHCP nicht erreicht.
Lokal ja,
extern nein:
Gateway,
Routing,
NAT
oder Firewall.
IP ja,
Name nein:
DNS.
ping ja,
Dienst nein:
Port,
Dienst
und Firewall.
ping ist kein Porttest.
HTTP 401:
nicht authentifiziert.
HTTP 403:
verboten.
HTTP 404:
nicht gefunden.
HTTP 500:
interner Serverfehler.
HTTP 502:
Gateway,
Proxy
oder Backend.
VPN verbunden heißt nicht:
Routen,
DNS
und Rechte stimmen.
Login ja,
Zugriff nein:
Rechte.
Anmeldung scheitert:
Authentifizierung.
Nach Änderung:
Change,
Logs
und Rollback prüfen.
Backup ohne Restore-Test ist unsicher.
Viele Geräte betroffen:
zentrale Komponente prüfen.
Ein Gerät betroffen:
lokales Problem prüfen.
Gute Antwort:
Ursache,
Begründung,
Prüfung.
Nicht raten,
sondern messen.
20.14 Trainer – Gemischte Prüfungsaufgaben AP1/AP2 Netzwerktechnik
Diese Trainer-Seite ist eine gemischte Wiederholung über die wichtigsten Themen der Netzwerktechnik.
Sie verbindet:
- OSI-Modell
- TCP/IP
- IPv4 und Subnetting
- DNS und DHCP
- Switching und VLAN
- Routing und Gateway
- TCP, UDP und Ports
- Firewall, NAT und DMZ
- VPN und Cloud
- Sicherheit
- Backup und Fehlersuche
Ziel ist,
prüfungsnah zu üben und Themen nicht isoliert,
sondern im Zusammenhang zu erkennen.
Merksatz:
In der Prüfung steht selten nur ein Fachbegriff.
Meist musst du aus einem Fehlerbild das richtige Thema ableiten.
Lernziele
Nach dieser Seite solltest du sicher können:
- gemischte Netzwerkaufgaben einordnen
- Fehlerbilder fachlich erkennen
- passende Begriffe verwenden
- kurze IHK-sichere Antworten formulieren
- typische Prüfungsfallen vermeiden
- technische Ursache und passende Maßnahme verbinden
Aufgabe 1
Ein Client hat folgende Konfiguration:
IPv4-Adresse:
192.168.10.50
Subnetzmaske:
255.255.255.0
Gateway:
192.168.20.1
Der Client erreicht lokale Geräte,
aber keine externen Netze.
Was ist falsch?
Antwort anzeigen
Das Gateway ist falsch.
Begründung:
Der Client liegt im Netz:
192.168.10.0/24
Das Gateway liegt im Netz:
192.168.20.0/24
Das Standardgateway muss im lokalen Subnetz des Clients liegen.
IHK-sichere Antwort:
Das Gateway befindet sich nicht im gleichen Subnetz wie der Client.
Dadurch kann der Client das Gateway lokal nicht erreichen
und keine Pakete in andere Netze senden.
Aufgabe 2
Ein Client hat die Adresse:
169.254.44.12
Was bedeutet das?
Antwort anzeigen
Das ist eine APIPA-Adresse.
Bedeutung:
Der Client hat wahrscheinlich keine gültige IP-Adresse per DHCP erhalten.
Mögliche Ursachen:
DHCP-Server nicht erreichbar
falsches VLAN
DHCP-Scope erschöpft
DHCP-Relay fehlt
Netzwerkverbindung fehlerhaft
Merksatz:
169.254.x.x deutet auf DHCP-Problem hin.
Aufgabe 3
Ein Benutzer kann eine interne Webseite per IP-Adresse öffnen,
aber nicht über den Namen.
Welches Thema ist wahrscheinlich betroffen?
Antwort anzeigen
Wahrscheinlich betroffen:
DNS
Begründung:
Die IP-Kommunikation funktioniert.
Nur die Namensauflösung funktioniert nicht.
IHK-sichere Antwort:
Da der Zugriff per IP-Adresse funktioniert,
aber der Name nicht aufgelöst wird,
sollte die DNS-Konfiguration geprüft werden.
Aufgabe 4
Ein Server ist per ping erreichbar,
aber HTTPS funktioniert nicht.
Nenne drei mögliche Ursachen.
Antwort anzeigen
Mögliche Ursachen:
TCP 443 wird durch eine Firewall blockiert
Webserver-Dienst läuft nicht
Dienst lauscht nicht auf TCP 443
TLS-Zertifikat fehlerhaft
Reverse Proxy falsch konfiguriert
Anwendung fehlerhaft
Merksatz:
ping prüft ICMP,
nicht HTTPS.
Aufgabe 5
Ein Switchport ist als Access-Port im falschen VLAN konfiguriert.
Welche Folge kann das haben?
Antwort anzeigen
Mögliche Folgen:
Client landet im falschen Netz
Client erhält falsche DHCP-Adresse
lokale Dienste sind nicht erreichbar
Gateway passt nicht
Sicherheitszonen werden umgangen
IHK-sichere Antwort:
Der Client wird logisch dem falschen Layer-2-Netz zugeordnet.
Dadurch kann er eine falsche IP-Konfiguration erhalten
oder nicht mit den vorgesehenen Systemen kommunizieren.
Aufgabe 6
Was ist der Unterschied zwischen VLAN und Subnetz?
Antwort anzeigen
VLAN:
logische Trennung auf OSI-Schicht 2
Subnetz:
logische IP-Aufteilung auf OSI-Schicht 3
Wichtig:
In der Praxis bekommt ein VLAN oft ein eigenes Subnetz.
Fachlich sind VLAN und Subnetz aber nicht dasselbe.
Merksatz:
VLAN = Layer 2.
Subnetz = Layer 3.
Aufgabe 7
Warum braucht Kommunikation zwischen VLANs Routing?
Antwort anzeigen
VLANs sind getrennte Layer-2-Bereiche.
Damit Geräte aus unterschiedlichen VLANs miteinander kommunizieren können,
muss Verkehr zwischen den jeweiligen IP-Netzen geroutet werden.
Möglich über:
Router
Layer-3-Switch
Firewall
Merksatz:
VLANs trennen.
Routing verbindet gezielt.
Aufgabe 8
Ein Client möchte ein Ziel außerhalb seines Subnetzes erreichen.
Welche MAC-Adresse wird im Ethernet-Frame verwendet?
Antwort anzeigen
Verwendet wird:
die MAC-Adresse des Standardgateways
Begründung:
Das IP-Ziel bleibt der entfernte Zielhost.
Lokal wird das Frame aber an den nächsten Hop gesendet,
also an das Gateway.
Merksatz:
IP zeigt zum Endziel.
MAC zeigt zum nächsten lokalen Hop.
Aufgabe 9
Was macht ARP?
Antwort anzeigen
ARP löst im lokalen IPv4-Netz eine IP-Adresse in eine MAC-Adresse auf.
Beispiel:
Der Client kennt die IP-Adresse des Gateways,
braucht aber die MAC-Adresse,
um ein Ethernet-Frame senden zu können.
Merksatz:
ARP findet MAC-Adressen im lokalen IPv4-Netz.
Aufgabe 10
Bestimme für:
192.168.5.130/25
Wert
Ergebnis
Netzadresse
?
erste nutzbare Adresse
?
letzte nutzbare Adresse
?
Broadcastadresse
?
nutzbare Hosts
?
Antwort anzeigen
Bei /25 gilt:
Blockgröße 128
Bereiche:
192.168.5.0 bis 192.168.5.127
192.168.5.128 bis 192.168.5.255
192.168.5.130 liegt im zweiten Bereich.
Wert
Ergebnis
Netzadresse
192.168.5.128
erste nutzbare Adresse
192.168.5.129
letzte nutzbare Adresse
192.168.5.254
Broadcastadresse
192.168.5.255
nutzbare Hosts
126
Aufgabe 11
Bestimme für:
10.10.10.77/26
Wert
Ergebnis
Netzadresse
?
erste nutzbare Adresse
?
letzte nutzbare Adresse
?
Broadcastadresse
?
Antwort anzeigen
Bei /26 gilt:
Blockgröße 64
Bereiche:
0 bis 63
64 bis 127
128 bis 191
192 bis 255
77 liegt im Bereich 64 bis 127.
Wert
Ergebnis
Netzadresse
10.10.10.64
erste nutzbare Adresse
10.10.10.65
letzte nutzbare Adresse
10.10.10.126
Broadcastadresse
10.10.10.127
Aufgabe 12
Welche kleinste Netzgröße reicht für mindestens 60 Hosts?
Antwort anzeigen
Benötigt:
mindestens 60 nutzbare Hosts
Prüfung:
/27 = 30 nutzbare Hosts
/26 = 62 nutzbare Hosts
Antwort:
/26
Begründung:
/26 ist das kleinste der genannten passenden Netze,
weil es 62 nutzbare Hostadressen bietet.
Aufgabe 13
Welche kleinste Netzgröße reicht für mindestens 120 Hosts?
Antwort anzeigen
Prüfung:
/26 = 62 nutzbare Hosts
/25 = 126 nutzbare Hosts
Antwort:
/25
Merksatz:
Bedarf prüfen,
dann kleinstes passendes Netz wählen.
Aufgabe 14
Warum ist die Broadcastadresse nicht als Hostadresse nutzbar?
Antwort anzeigen
Die Broadcastadresse ist die letzte Adresse eines IPv4-Subnetzes.
Sie adressiert alle Hosts in diesem Subnetz
und wird daher nicht einem einzelnen Host zugewiesen.
Merksatz:
Erste Adresse = Netz.
Letzte Adresse = Broadcast.
Aufgabe 15
Was ist der Unterschied zwischen TCP und UDP?
Antwort anzeigen
TCP:
verbindungsorientiert
zuverlässig
bestätigt Daten
stellt Reihenfolge sicher
UDP:
verbindungslos
schlank
schnell
keine eingebaute Zustellgarantie
Merksatz:
TCP = zuverlässig.
UDP = schnell und schlank.
Aufgabe 16
Ordne Ports zu.
Dienst
Protokoll und Port
SSH
?
HTTP
?
HTTPS
?
DNS
?
DHCP
?
SMB
?
RDP
?
Antwort anzeigen
Dienst
Protokoll und Port
SSH
TCP 22
HTTP
TCP 80
HTTPS
TCP 443
DNS
UDP/TCP 53
DHCP
UDP 67/68
SMB
TCP 445
RDP
TCP 3389
Merksatz:
Portnummer immer mit TCP oder UDP lernen.
Aufgabe 17
Warum ist die Aussage „Port 53 freigeben“ ungenau?
Antwort anzeigen
Die Aussage ist ungenau,
weil nicht klar ist,
ob TCP 53,
UDP 53
oder beides gemeint ist.
DNS nutzt meistens UDP 53,
kann aber auch TCP 53 verwenden.
IHK-sichere Antwort:
Bei Firewall-Regeln müssen Port und Transportprotokoll angegeben werden,
da TCP und UDP getrennte Protokolle sind.
Aufgabe 18
Was bedeutet LISTEN bei TCP?
Antwort anzeigen
LISTEN bedeutet:
Ein Dienst wartet auf eingehende Verbindungen.
Beispiel:
Ein Webserver lauscht auf TCP 443.
Merksatz:
LISTEN = Dienst wartet.
Aufgabe 19
Was bedeutet ESTABLISHED bei TCP?
Antwort anzeigen
ESTABLISHED bedeutet:
Eine TCP-Verbindung besteht.
Merksatz:
ESTABLISHED = Verbindung aktiv.
Aufgabe 20
Was ist der Unterschied zwischen NAT und Firewall?
Antwort anzeigen
NAT:
übersetzt IP-Adressen
Firewall:
erlaubt oder blockiert Verkehr anhand von Regeln
Wichtig:
Viele Geräte kombinieren beide Funktionen.
Fachlich bleiben sie aber unterschiedlich.
Merksatz:
NAT übersetzt.
Firewall filtert.
Aufgabe 21
Was ist PAT?
Antwort anzeigen
PAT steht für:
Port Address Translation
PAT ist eine Form von NAT,
bei der zusätzlich Ports genutzt werden,
um mehrere interne Verbindungen über eine öffentliche IP-Adresse zu unterscheiden.
Merksatz:
PAT nutzt Ports zur Zuordnung mehrerer Verbindungen.
Aufgabe 22
Was ist Portweiterleitung?
Antwort anzeigen
Portweiterleitung bedeutet:
Eingehender Verkehr auf einem externen Port
wird an einen internen Dienst weitergeleitet.
Beispiel:
öffentliche IP TCP 443
zu
interner Webserver 192.168.10.20 TCP 443
Merksatz:
Portweiterleitung veröffentlicht einen internen Dienst.
Aufgabe 23
Warum ist eine Any-to-Any-Firewall-Regel kritisch?
Antwort anzeigen
Any-to-Any erlaubt Verkehr von jeder Quelle zu jedem Ziel.
Risiken:
große Angriffsfläche
schlechte Nachvollziehbarkeit
Sicherheitszonen werden umgangen
unnötige Freigaben
Besser:
genaue Regeln mit Quelle,
Ziel,
Port,
Protokoll
und Zweck.
Merksatz:
Je genauer die Regel,
desto sicherer und nachvollziehbarer.
Aufgabe 24
Was ist eine DMZ?
Antwort anzeigen
Eine DMZ ist ein getrenntes Netzwerk für Dienste,
die von außen erreichbar sein müssen.
Beispiele:
Webserver
Reverse Proxy
Mail-Gateway
VPN-Gateway
Ziel:
öffentliche Dienste vom internen Netz trennen.
Merksatz:
DMZ begrenzt Schaden bei öffentlichen Diensten.
Aufgabe 25
Warum sollte eine Datenbank nicht direkt aus dem Internet erreichbar sein?
Antwort anzeigen
Eine Datenbank enthält oft sensible Daten
und ist ein attraktives Angriffsziel.
Risiken:
Brute Force
Exploits
Datenabfluss
Manipulation
Besser:
Zugriff nur vom Anwendungsserver
Firewall-Beschränkung
privates Netz oder DMZ-Konzept
starke Authentifizierung
Monitoring
Merksatz:
Datenbankports gehören nicht offen ins Internet.
Aufgabe 26
Was ist der Unterschied zwischen Remote-Access-VPN und Site-to-Site-VPN?
Antwort anzeigen
Remote-Access-VPN:
einzelner Benutzer verbindet sich ins Firmennetz
Site-to-Site-VPN:
zwei Netze oder Standorte werden verbunden
Merksatz:
Remote Access = Benutzer.
Site-to-Site = Standort oder Netz.
Aufgabe 27
VPN ist verbunden,
aber interne Namen funktionieren nicht.
Was ist wahrscheinlich?
Antwort anzeigen
Wahrscheinlich:
VPN-DNS-Problem
Prüfen:
interner DNS-Server
DNS-Suffix
Split-DNS
Erreichbarkeit des DNS-Servers
DNS-Cache
Merksatz:
VPN-IP ja,
VPN-Name nein:
VPN-DNS prüfen.
Aufgabe 28
VPN ist verbunden,
aber interne IP-Ziele sind nicht erreichbar.
Was ist wahrscheinlich?
Antwort anzeigen
Mögliche Ursachen:
VPN-Route fehlt
Zielnetz nicht erlaubt
Firewall blockiert
Rückroute fehlt
IP-Adresskonflikt
Benutzergruppe hat keine Berechtigung
Merksatz:
VPN verbunden heißt nicht automatisch:
Routing und Regeln stimmen.
Aufgabe 29
Was bedeutet Shared Responsibility in der Cloud?
Antwort anzeigen
Shared Responsibility bedeutet:
Cloud-Anbieter und Kunde teilen sich die Verantwortung.
Anbieter:
schützt Infrastruktur,
Rechenzentrum
und Plattform je nach Modell.
Kunde:
bleibt verantwortlich für Daten,
Benutzer,
Rechte,
Konfigurationen
und Anwendungen je nach Modell.
Merksatz:
Anbieter schützt die Cloud.
Kunde schützt seine Nutzung der Cloud.
Aufgabe 30
Ordne Cloud-Modelle zu.
Modell
Bedeutung
IaaS
?
PaaS
?
SaaS
?
Antwort anzeigen
Modell
Bedeutung
IaaS
virtuelle Infrastruktur
PaaS
verwaltete Plattform
SaaS
fertige Anwendung
Merksatz:
IaaS = Infrastruktur.
PaaS = Plattform.
SaaS = Software.
Aufgabe 31
Was ist der Unterschied zwischen Hybrid Cloud und Multi Cloud?
Antwort anzeigen
Hybrid Cloud:
Kombination aus lokaler oder privater IT und Public Cloud
Multi Cloud:
Nutzung mehrerer Cloud-Anbieter
Merksatz:
Hybrid beschreibt Kombination von Umgebungen.
Multi beschreibt mehrere Anbieter.
Aufgabe 32
Warum ist IAM in der Cloud besonders wichtig?
Antwort anzeigen
Cloud-Ressourcen sind oft schnell erreichbar,
skalierbar
und über Netzwerke zugänglich.
Fehlerhafte Rechte können führen zu:
Datenabfluss
unberechtigtem Zugriff
Manipulation
Kostenexplosion
Löschung von Ressourcen
Merksatz:
In der Cloud sind Identitäten oft der wichtigste Sicherheitsperimeter.
Aufgabe 33
Ordne Schutzziele zu.
Ereignis
Schutzziel
Daten werden gelesen
?
Datei wird manipuliert
?
Dienst fällt aus
?
Absender wird gefälscht
?
Antwort anzeigen
Ereignis
Schutzziel
Daten werden gelesen
Vertraulichkeit
Datei wird manipuliert
Integrität
Dienst fällt aus
Verfügbarkeit
Absender wird gefälscht
Authentizität
Merksatz:
Lesen = Vertraulichkeit.
Verändern = Integrität.
Ausfall = Verfügbarkeit.
Echtheit = Authentizität.
Aufgabe 34
Was ist der Unterschied zwischen Brute Force,
Password Spraying
und Credential Stuffing?
Antwort anzeigen
Brute Force:
viele Passwortversuche
Password Spraying:
ein häufiges Passwort gegen viele Konten
Credential Stuffing:
geleakte Zugangsdaten werden bei anderen Diensten getestet
Merksatz:
Brute Force = viele Versuche.
Spraying = ein Passwort gegen viele Konten.
Stuffing = geleakte Zugangsdaten.
Aufgabe 35
Ordne Webangriffe zu.
Angriff
Beschreibung
SQL Injection
?
XSS
?
CSRF
?
Antwort anzeigen
Angriff
Beschreibung
SQL Injection
SQL-Code in Eingaben einschleusen
XSS
Skriptcode im Browser anderer Benutzer ausführen
CSRF
gültige Sitzung für ungewollte Aktion missbrauchen
Merksatz:
SQLi betrifft Datenbankabfragen.
XSS betrifft Browser.
CSRF betrifft Sitzungen.
Aufgabe 36
Welche Maßnahme passt zu welchem Risiko?
Risiko
Maßnahme
gestohlenes Passwort
?
ungepatchter Server
?
zu viele Rechte
?
unnötige Dienste
?
Ransomware
?
Antwort anzeigen
Risiko
Maßnahme
gestohlenes Passwort
MFA
ungepatchter Server
Patchmanagement
zu viele Rechte
Least Privilege
unnötige Dienste
Hardening
Ransomware
Offline- oder Immutable-Backups und Restore-Test
Merksatz:
Maßnahme muss zum Risiko passen.
Aufgabe 37
Was ist der Unterschied zwischen IDS und IPS?
Antwort anzeigen
IDS:
erkennt und meldet Angriffe
IPS:
erkennt und blockiert Angriffe zusätzlich
Merksatz:
IDS meldet.
IPS blockiert.
Aufgabe 38
Was ist der Unterschied zwischen Backup,
Replikation
und Synchronisation?
Antwort anzeigen
Backup:
sichert Daten zur Wiederherstellung alter Zustände
Replikation:
erzeugt eine möglichst aktuelle Kopie auf anderem System
Synchronisation:
gleicht Daten zwischen Speicherorten ab
Wichtig:
Replikation und Synchronisation ersetzen kein Backup,
weil Fehler,
Löschungen
oder Ransomware mit übertragen werden können.
Merksatz:
Backup stellt wieder her.
Replikation hält aktuell.
Synchronisation gleicht ab.
Aufgabe 39
Was bedeuten RPO und RTO?
Antwort anzeigen
RPO:
Recovery Point Objective
maximal akzeptabler Datenverlust
RTO:
Recovery Time Objective
maximal akzeptable Wiederherstellungszeit
Merksatz:
RPO = Datenverlust.
RTO = Zeit bis Wiederherstellung.
Aufgabe 40
Warum ist ein Restore-Test wichtig?
Antwort anzeigen
Ein Restore-Test prüft,
ob Backups wirklich wiederherstellbar sind.
Ohne Restore-Test ist unklar:
ob Daten vollständig sind
ob Daten lesbar sind
ob Schlüssel vorhanden sind
ob Rechte stimmen
ob die Wiederherstellungszeit passt
Merksatz:
Backup ohne Restore-Test ist unsicher.
Aufgabe 41
Welche Antwort ist besser?
Aufgabe:
Ein Benutzer kann sich anmelden,
aber nicht auf eine Datei zugreifen.
Was ist wahrscheinlich?
Antwort A:
Das Netzwerk ist kaputt.
Antwort B:
Wahrscheinlich liegt ein Berechtigungsproblem vor,
da die Authentifizierung funktioniert,
der Zugriff auf die Ressource aber verweigert wird.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort trennt Authentifizierung und Autorisierung.
Merksatz:
Login ja,
Zugriff nein:
Rechte prüfen.
Aufgabe 42
Welche Antwort ist besser?
Aufgabe:
Warum ist MFA sinnvoll?
Antwort A:
Weil es sicherer ist.
Antwort B:
MFA verlangt zusätzlich zum Passwort einen weiteren Faktor.
Dadurch reicht ein gestohlenes Passwort allein nicht aus,
um Zugriff zu erhalten.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort erklärt die konkrete Schutzwirkung.
Merksatz:
Maßnahme mit Wirkung erklären.
Aufgabe 43
Welche Antwort ist besser?
Aufgabe:
Warum ersetzt ein Snapshot kein Backup?
Antwort A:
Weil Snapshot und Backup verschiedene Wörter sind.
Antwort B:
Snapshots liegen oft auf demselben System oder Speicher.
Bei Speicherdefekt,
Löschung
oder Ransomware können sie ebenfalls betroffen sein.
Ein Backup muss getrennt,
geschützt
und wiederherstellbar sein.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort nennt die fachliche Ursache
und Anforderungen an ein Backup.
Merksatz:
Fachbegriff plus Begründung.
Aufgabe 44
Welche Antwort ist besser?
Aufgabe:
Warum ist eine öffentlich erreichbare Datenbank kritisch?
Antwort A:
Weil Datenbanken wichtig sind.
Antwort B:
Eine öffentlich erreichbare Datenbank erhöht die Angriffsfläche.
Es drohen Brute-Force-Angriffe,
Ausnutzung von Schwachstellen,
Datenabfluss
und Manipulation.
Besser ist Zugriff nur aus benötigten Netzen oder vom Anwendungsserver.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort nennt Risiko,
Folgen
und bessere Maßnahme.
Merksatz:
Sicherheitsantwort:
Risiko,
Maßnahme,
Wirkung.
Aufgabe 45
Welche Antwort ist besser?
Aufgabe:
Warum ist systematische Fehlersuche wichtig?
Antwort A:
Weil man dann professionell wirkt.
Antwort B:
Systematische Fehlersuche grenzt den Fehler anhand von Symptomen,
Schichten
und Messwerten ein.
Dadurch werden Ursachen schneller gefunden
und unnötige Änderungen vermieden.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort erklärt den Nutzen der systematischen Vorgehensweise.
Merksatz:
Nicht raten,
sondern eingrenzen.
Mini-Prüfung: Gesamtzuordnung
Fehlerbild oder Begriff
Thema
keine Link-LED
Schicht 1
MAC-Adresse
Schicht 2
IP-Adresse
Schicht 3
TCP-Port
Schicht 4
TLS-Zertifikat
Schicht 6
HTTP
Schicht 7
169.254.x.x
DHCP
IP ja, Name nein
DNS
ping ja, HTTPS nein
Port, Dienst, Firewall, TLS
falsches Netz nach DHCP
VLAN oder DHCP
RDP aus Internet offen
Sicherheitsrisiko
Datenbank öffentlich erreichbar
Sicherheitsrisiko
Backup nicht wiederherstellbar
Restore-Test fehlt
Dienst nach Update defekt
Change, Logs, Rollback
VPN verbunden, Name geht nicht
VPN-DNS
Mini-Prüfung: Begriffe kurz erklären
Begriff
Kurzantwort
VLAN
logische Trennung auf Schicht 2
Subnetz
logische IP-Aufteilung auf Schicht 3
Gateway
Router in andere Netze
DNS
Namensauflösung
DHCP
automatische IP-Konfiguration
NAT
Adressübersetzung
PAT
Adress- und Portübersetzung
DMZ
getrennte Zone für öffentliche Dienste
VPN
verschlüsselter Tunnel
IAM
Identitäts- und Rechteverwaltung
MFA
Anmeldung mit mehreren Faktoren
Least Privilege
nur nötige Rechte vergeben
Hardening
Angriffsfläche reduzieren
RPO
maximaler Datenverlust
RTO
maximale Wiederherstellungszeit
Mini-Prüfung: typische Prüfungsfallen
Falle
Richtig denken
ping geht, also Dienst geht
falsch, ping prüft nur ICMP
VLAN ist dasselbe wie Subnetz
falsch, VLAN Layer 2, Subnetz Layer 3
NAT ist Firewall
falsch, NAT übersetzt, Firewall filtert
Cloud-Anbieter ist für alles verantwortlich
falsch, Shared Responsibility
Snapshot ist Backup
falsch, Snapshot ersetzt kein Backup
Sync ist Backup
falsch, Sync gleicht nur ab
Portnummer ohne TCP/UDP reicht
ungenau
Loginproblem und Rechteproblem sind gleich
falsch, Authentifizierung und Autorisierung unterscheiden
Any-to-Any ist praktisch
kritisch, zu breite Freigabe
Mehr Rechte lösen Probleme
unsicher, Least Privilege beachten
IHK-sichere Kurzformulierung
Bei gemischten Netzwerkaufgaben ist entscheidend, das Fehlerbild systematisch einzuordnen. Keine Link-Anzeige deutet auf Schicht 1 hin, MAC-Adressen und VLANs auf Schicht 2, IP-Adressen und Routing auf Schicht 3, TCP, UDP und Ports auf Schicht 4. DNS-Probleme zeigen sich häufig dadurch, dass eine IP-Adresse erreichbar ist, ein Name aber nicht. DHCP-Probleme erkennt man oft an APIPA-Adressen aus 169.254.0.0/16. Firewall-Regeln müssen Quelle, Ziel, Port, Protokoll und Zweck enthalten. NAT übersetzt Adressen, während Firewalls Verkehr filtern. VPN-Verbindungen benötigen neben dem Tunnel auch passende Routen, DNS und Berechtigungen. Sicherheitsantworten sollten Risiko, Maßnahme und Wirkung enthalten. Backup-Fragen müssen Restore, RPO, RTO und Restore-Tests berücksichtigen.
Merksätze
Erst Fehlerbild lesen,
dann Thema zuordnen.
Kein Link:
Schicht 1.
MAC:
Schicht 2.
IP:
Schicht 3.
TCP und UDP:
Schicht 4.
TLS:
Schicht 6.
HTTP und DNS:
Schicht 7.
VLAN ist Layer 2.
Subnetz ist Layer 3.
Switch arbeitet mit MAC-Adressen.
Router arbeitet mit IP-Adressen.
Gateway führt in andere Netze.
DNS löst Namen auf.
DHCP verteilt IP-Konfiguration.
169.254.x.x:
DHCP nicht erreicht.
ping ist kein Diensttest.
IP ja,
Name nein:
DNS.
Lokal ja,
extern nein:
Gateway,
Routing,
NAT
oder Firewall.
ping ja,
Port nein:
Dienst,
Port
oder Firewall.
NAT übersetzt.
Firewall filtert.
PAT nutzt Ports.
DMZ trennt öffentliche Dienste.
VPN braucht Tunnel,
Route,
DNS
und Rechte.
Cloud bedeutet geteilte Verantwortung.
IAM entscheidet,
wer was darf.
MFA schützt gegen Passwortmissbrauch.
Least Privilege begrenzt Schaden.
Patchmanagement schließt bekannte Lücken.
Hardening reduziert Angriffsfläche.
Backup ist Wiederherstellungsvorsorge.
Restore-Test beweist,
dass Backup nutzbar ist.
RPO = Datenverlust.
RTO = Wiederherstellungszeit.
Gute Prüfungsantwort:
Ursache,
Begründung,
passende Prüfung
oder Maßnahme.
Nicht raten,
sondern fachlich eingrenzen.
20.15 Trainer – Abschlussprüfung Netzwerktechnik Gesamtwiederholung
Diese Seite ist die Abschlussseite des Netzwerktechnik-Trainers.
Sie dient als letzte Gesamtwiederholung vor einer Klassenarbeit,
AP1,
AP2
oder vor dem Eintragen eigener Lernnotizen.
Ziel ist,
alle Kernbereiche noch einmal kompakt,
prüfungsnah
und mit typischen Antwortmustern zu wiederholen.
Merksatz:
Am Ende zählt nicht,
ob man Begriffe kennt,
sondern ob man sie im Fehlerbild richtig anwendet.
Lernziele
Nach dieser Abschlussseite solltest du sicher können:
- Netzwerkprobleme nach OSI-Schichten einordnen
- Standardbegriffe kurz erklären
- typische Fehlerbilder erkennen
- passende Prüfungen nennen
- Sicherheitsrisiken bewerten
- technische Maßnahmen begründen
- kurze prüfungssichere Antworten formulieren
Abschluss-Checkliste: OSI-Modell
Schicht
Name
Kernthema
Typische Begriffe
7
Anwendung
Netzwerkdienste
HTTP, DNS, DHCP, SMTP, SMB
6
Darstellung
Format und Verschlüsselung
TLS, Zertifikate, Codierung
5
Sitzung
Sitzungen
Session, Cookie, Token, Timeout
4
Transport
Ports und Transport
TCP, UDP, Port
3
Vermittlung
IP und Routing
IP, Subnetz, Gateway, ICMP
2
Sicherung
lokale Zustellung
MAC, Ethernet, VLAN, Switch
1
Bitübertragung
physische Übertragung
Kabel, Funk, Link, Signal
Merksatz:
1 Kabel.
2 MAC.
3 IP.
4 Port.
5 Sitzung.
6 TLS.
7 Anwendung.
Abschluss-Checkliste: Fehlerbilder
Fehlerbild
Wahrscheinlichstes Thema
keine Link-LED
Kabel, Port, Schicht 1
falsches Netz
VLAN oder DHCP
169.254.x.x
DHCP nicht erreicht
lokal erreichbar, extern nicht
Gateway, Routing, NAT, Firewall
IP erreichbar, Name nicht
DNS
ping funktioniert, Dienst nicht
Port, Dienst oder Firewall
HTTPS-Warnung
TLS-Zertifikat
HTTP 401
Authentifizierung
HTTP 403
Autorisierung
HTTP 404
Ressource nicht gefunden
HTTP 500
Server oder Anwendung
HTTP 502
Proxy, Gateway oder Backend
VPN verbunden, Name geht nicht
VPN-DNS
Login geht, Datei nicht
Rechteproblem
Backup vorhanden, Restore geht nicht
Restore-Test oder Backup defekt
Abschluss-Checkliste: Standardports
Dienst
Protokoll und Port
FTP
TCP 21
SSH
TCP 22
SFTP
TCP 22
SMTP
TCP 25
DNS
UDP/TCP 53
DHCP Server
UDP 67
DHCP Client
UDP 68
HTTP
TCP 80
POP3
TCP 110
NTP
UDP 123
IMAP
TCP 143
SNMP
UDP 161
HTTPS
TCP 443
SMB
TCP 445
SMTPS
TCP 465
IMAPS
TCP 993
POP3S
TCP 995
RDP
TCP 3389
Merksatz:
Portnummer immer mit TCP oder UDP lernen.
Abschluss-Checkliste: IPv4 und Subnetting
Präfix
Subnetzmaske
nutzbare Hosts
/24
255.255.255.0
254
/25
255.255.255.128
126
/26
255.255.255.192
62
/27
255.255.255.224
30
/28
255.255.255.240
14
/29
255.255.255.248
6
/30
255.255.255.252
2
Merksätze:
Hostbits = 32 minus Präfix.
Nutzbare Hosts = 2 hoch Hostbits minus 2.
Netzadresse = erste Adresse.
Broadcastadresse = letzte Adresse.
Erste und letzte Adresse sind im normalen IPv4-Subnetz nicht für Hosts.
Abschluss-Checkliste: private IPv4-Bereiche
Bereich
CIDR
10.0.0.0 bis 10.255.255.255
10.0.0.0/8
172.16.0.0 bis 172.31.255.255
172.16.0.0/12
192.168.0.0 bis 192.168.255.255
192.168.0.0/16
Merksatz:
Private IPv4-Adressen werden im Internet nicht direkt geroutet.
Abschluss-Checkliste: Begriffe kurz erklären
Begriff
Kurzantwort
MAC-Adresse
lokale Adresse einer Netzwerkschnittstelle
IP-Adresse
logische Adresse eines Hosts
Port
Dienst- oder Prozesszuordnung
Gateway
Router in andere Netze
DNS
löst Namen in IP-Adressen auf
DHCP
verteilt IP-Konfiguration automatisch
ARP
löst IPv4-Adresse in MAC-Adresse auf
VLAN
logische Trennung auf Schicht 2
Subnetz
logische IP-Aufteilung auf Schicht 3
NAT
übersetzt IP-Adressen
PAT
übersetzt IP-Adressen und Ports
DMZ
getrennte Zone für öffentliche Dienste
VPN
verschlüsselter Tunnel über unsicheres Netz
IAM
Identitäts- und Rechteverwaltung
MFA
Authentifizierung mit mehreren Faktoren
Backup
Sicherung
Restore
Wiederherstellung
Abschluss-Checkliste: Sicherheit
Risiko
passende Maßnahme
gestohlenes Passwort
MFA
zu viele Rechte
Least Privilege
bekannte Sicherheitslücke
Patchmanagement
unnötige Dienste
Hardening
Ransomware
Offline- oder Immutable-Backup
Phishing
Awareness, Mailfilter, MFA
SQL Injection
Prepared Statements
XSS
Output Encoding, CSP, HttpOnly
CSRF
CSRF-Token, SameSite-Cookies
Man-in-the-Middle
TLS, Zertifikatsprüfung, VPN
DDoS
DDoS-Schutz, Rate Limiting, CDN
unklare Vorfälle
Logging, SIEM, Monitoring
Merksatz:
Risiko,
Maßnahme,
Wirkung.
Abschluss-Checkliste: Backup
Begriff
Bedeutung
Backup
Sicherung
Restore
Wiederherstellung
RPO
maximal akzeptabler Datenverlust
RTO
maximal akzeptable Wiederherstellungszeit
Retention
Aufbewahrungsregel
Vollbackup
sichert alle ausgewählten Daten
inkrementelles Backup
Änderungen seit letztem Backup
differenzielles Backup
Änderungen seit letztem Vollbackup
Snapshot
Momentaufnahme
Offline-Backup
nicht dauerhaft verbunden
Immutable Backup
unveränderliches Backup
Restore-Test
Prüfung der Wiederherstellung
Merksatz:
Backup ohne Restore-Test ist unsicher.
Prüfungssimulation 1
Ein Client meldet:
„Ich komme nicht ins Internet.“
Du stellst fest:
- IP-Adresse ist 192.168.10.55/24
- Gateway ist 192.168.10.1
- Ping auf 192.168.10.1 funktioniert
- Ping auf 8.8.8.8 funktioniert
- Aufruf von Webseiten per Domain funktioniert nicht
Was ist wahrscheinlich?
Antwort anzeigen
Wahrscheinlich:
DNS-Problem
Begründung:
Gateway und externe IP-Adresse sind erreichbar.
Der Weg ins Internet funktioniert also grundsätzlich.
Wenn nur Domains nicht funktionieren,
ist die Namensauflösung wahrscheinlich gestört.
IHK-sichere Antwort:
Da externe IP-Adressen erreichbar sind,
aber Domainnamen nicht funktionieren,
sollte die DNS-Konfiguration geprüft werden,
insbesondere DNS-Server,
DNS-Erreichbarkeit
und DNS-Cache.
Prüfungssimulation 2
Ein Client meldet:
„Ich bekomme keine Netzwerkverbindung.“
Du stellst fest:
- keine Link-LED
- keine IP-Adresse
- andere Clients am Switch funktionieren
Was prüfst du zuerst?
Antwort anzeigen
Zuerst prüfen:
Schicht 1
Konkret:
Kabel
Stecker
Netzwerkdose
Switchport
Netzwerkkarte
anderes Patchkabel
anderen Port
Begründung:
Keine Link-LED deutet zuerst auf ein physisches Problem hin.
IHK-sichere Antwort:
Zuerst wird die physische Verbindung geprüft,
weil ohne Link keine höhere Netzwerkschicht zuverlässig funktionieren kann.
Prüfungssimulation 3
Ein Benutzer kann sich anmelden,
aber nicht auf eine Freigabe zugreifen.
Was ist wahrscheinlich?
Antwort anzeigen
Wahrscheinlich:
Autorisierungs- oder Berechtigungsproblem
Begründung:
Die Authentifizierung funktioniert,
weil die Anmeldung erfolgreich ist.
Der Zugriff auf die Ressource wird aber verweigert.
Prüfen:
Gruppenmitgliedschaft
Freigaberechte
Dateisystemrechte
ACLs
Rollen
Merksatz:
Login ja,
Zugriff nein:
Rechte prüfen.
Prüfungssimulation 4
Ein Webserver ist per ping erreichbar,
aber die Webseite öffnet nicht.
Was ist wichtig?
Antwort anzeigen
Wichtig:
ping prüft nur ICMP.
Zu prüfen:
TCP 80 oder TCP 443 erreichbar?
Webserver-Dienst läuft?
Dienst lauscht auf richtigem Port?
Firewall blockiert?
TLS-Zertifikat korrekt?
Reverse Proxy oder Anwendung fehlerhaft?
IHK-sichere Antwort:
Die ICMP-Erreichbarkeit zeigt nur,
dass der Host erreichbar ist.
Für die Webseite müssen zusätzlich Port,
Dienst,
Firewall
und Anwendung geprüft werden.
Prüfungssimulation 5
Ein Server steht in der DMZ.
Er soll aus dem Internet per HTTPS erreichbar sein
und auf eine interne Datenbank zugreifen.
Welche Regeln sind sinnvoll?
Antwort anzeigen
Sinnvolle Regeln:
Quelle
Ziel
Protokoll
Port
Aktion
Zweck
Internet
Webserver-DMZ
TCP
443
erlauben
HTTPS-Zugriff
Webserver-DMZ
interne Datenbank
TCP
Datenbankport
erlauben
Anwendung benötigt Datenbank
Internet
interne Datenbank
TCP
Datenbankport
blockieren
Datenbank schützen
DMZ
internes Netz
any
any
blockieren, außer benötigte Regeln
Schutz des internen Netzes
IHK-sichere Antwort:
Nur der benötigte HTTPS-Zugriff auf den Webserver wird aus dem Internet erlaubt.
Der Zugriff vom Webserver zur internen Datenbank wird gezielt auf den notwendigen Port beschränkt.
Direkter Zugriff aus dem Internet auf die Datenbank wird blockiert.
Prüfungssimulation 6
Ein VPN verbindet sich erfolgreich,
aber interne Server sind nur per IP-Adresse erreichbar,
nicht per Namen.
Was ist wahrscheinlich?
Antwort anzeigen
Wahrscheinlich:
VPN-DNS-Problem
Prüfen:
interner DNS-Server wird per VPN gesetzt?
DNS-Server ist über VPN erreichbar?
DNS-Suffix ist korrekt?
Split-DNS funktioniert?
DNS-Cache veraltet?
IHK-sichere Antwort:
Da interne IP-Adressen erreichbar sind,
aber Namen nicht aufgelöst werden,
sollte die DNS-Konfiguration des VPN geprüft werden.
Prüfungssimulation 7
Ein Unternehmen nutzt Cloud-Speicher.
Ein Benutzer teilt versehentlich einen Ordner öffentlich.
Welches Thema ist betroffen?
Antwort anzeigen
Betroffen:
Vertraulichkeit
Ursache:
falsche Freigabe oder zu breite Berechtigung
Maßnahmen:
Berechtigungen einschränken
Freigaben regelmäßig prüfen
Least Privilege
MFA
DLP
Audit-Logs
Sensibilisierung
IHK-sichere Antwort:
Durch die öffentliche Freigabe können unberechtigte Personen Daten lesen.
Damit ist die Vertraulichkeit betroffen.
Die Freigabe sollte entfernt,
die Berechtigungen geprüft
und die Zugriffe protokolliert ausgewertet werden.
Prüfungssimulation 8
Ein Server wurde durch Ransomware verschlüsselt.
Die Backups liegen dauerhaft erreichbar auf einer Netzfreigabe
und wurden ebenfalls verschlüsselt.
Was war das Problem?
Antwort anzeigen
Problem:
Backups waren dauerhaft online und beschreibbar erreichbar.
Dadurch konnte Ransomware auch die Backups verschlüsseln.
Bessere Maßnahmen:
Offline-Backup
Immutable Backup
getrennte Backup-Rechte
MFA für Backup-Administration
Restore-Tests
Monitoring
IHK-sichere Antwort:
Backups müssen gegen Manipulation und Verschlüsselung geschützt werden.
Offline- oder Immutable-Backups verhindern,
dass Ransomware alle Sicherungen gleichzeitig zerstört.
Prüfungssimulation 9
Ein Administrator soll erklären,
warum ein Snapshot kein vollständiges Backup ersetzt.
Formuliere eine gute Antwort.
Antwort anzeigen
Gute Antwort:
Ein Snapshot ist eine Momentaufnahme,
liegt aber häufig auf demselben System oder Speicher wie die Produktivdaten.
Bei Speicherdefekt,
Löschung,
Ransomware
oder beschädigter Snapshot-Kette kann er ebenfalls betroffen sein.
Ein Backup muss getrennt,
geschützt
wiederherstellbar
und regelmäßig getestet sein.
Merksatz:
Snapshot ist hilfreich,
aber kein vollständiges Backup-Konzept.
Prüfungssimulation 10
Ein Cloud-Anbieter stellt eine SaaS-Anwendung bereit.
Ein Kunde vergibt allen Benutzern Adminrechte.
Wer ist für dieses Problem verantwortlich?
Antwort anzeigen
Verantwortlich ist typischerweise:
der Kunde
Begründung:
Bei SaaS betreibt der Anbieter die Anwendung.
Der Kunde bleibt aber für Benutzer,
Rollen,
Daten,
Berechtigungen
und Konfigurationen verantwortlich.
IHK-sichere Antwort:
Nach dem Shared-Responsibility-Modell ist der Kunde für die korrekte Rechtevergabe verantwortlich.
Der Anbieter stellt die SaaS-Anwendung bereit,
aber Benutzer- und Berechtigungsverwaltung bleiben Aufgabe des Kunden.
Prüfungssimulation 11
Ein Dienstleister benötigt Zugriff auf einen Server.
Er bekommt VPN-Zugriff auf das gesamte interne Netz.
Bewerte das.
Antwort anzeigen
Bewertung:
Das ist kritisch.
Grund:
Der Dienstleister erhält mehr Zugriff als notwendig.
Besser:
Least Privilege
Zugriff nur auf benötigten Server
nur benötigte Ports
zeitlich begrenzter Zugriff
MFA
Logging
separate Rolle oder Gruppe
IHK-sichere Antwort:
Der Zugriff sollte nach dem Least-Privilege-Prinzip eingeschränkt werden.
Ein Dienstleister sollte nur auf die Systeme und Dienste zugreifen können,
die er für seine Aufgabe benötigt.
Dadurch wird das Risiko bei Missbrauch oder kompromittierten Zugangsdaten reduziert.
Prüfungssimulation 12
Ein Unternehmen öffnet RDP direkt ins Internet,
damit Administratoren leichter zugreifen können.
Bewerte das.
Antwort anzeigen
Bewertung:
Das ist ein hohes Sicherheitsrisiko.
Risiken:
Brute Force
Credential Stuffing
Exploits
unberechtigter Fernzugriff
Besser:
VPN
RDP-Gateway
MFA
Firewall-Beschränkung auf bekannte Quellnetze
Logging
IHK-sichere Antwort:
RDP sollte nicht direkt aus dem Internet erreichbar sein.
Sicherer ist ein Zugriff über VPN oder RDP-Gateway mit MFA,
Zugriffsbeschränkung und Protokollierung.
Abschluss: typische IHK-Antwortmuster
Fehlersuche
Wahrscheinlich liegt ein Problem bei [Thema] vor,
weil [Symptom] funktioniert,
aber [Symptom] nicht funktioniert.
Daher sollte [konkrete Prüfung] geprüft werden.
Beispiel:
Wahrscheinlich liegt ein DNS-Problem vor,
weil die IP-Adresse erreichbar ist,
der Name aber nicht aufgelöst wird.
Daher sollten DNS-Server,
DNS-Eintrag
und DNS-Cache geprüft werden.
Sicherheitsbewertung
Das ist kritisch,
weil [Risiko].
Eine geeignete Maßnahme ist [Maßnahme],
weil dadurch [Wirkung] erreicht wird.
Beispiel:
Eine öffentlich erreichbare Datenbank ist kritisch,
weil sie direkt aus dem Internet angegriffen werden kann.
Besser ist,
den Zugriff nur aus dem Anwendungsserver-Netz zu erlauben
und die Datenbank in einem privaten Netz zu betreiben.
Vergleich
[Begriff A] bedeutet [Erklärung].
[Begriff B] bedeutet [Erklärung].
Der wesentliche Unterschied ist [Unterschied].
Beispiel:
NAT übersetzt IP-Adressen.
Eine Firewall erlaubt oder blockiert Verkehr anhand von Regeln.
Der wesentliche Unterschied ist,
dass NAT Adressen übersetzt,
während die Firewall Verkehr filtert.
Backup-Frage
RPO beschreibt den maximal akzeptablen Datenverlust.
RTO beschreibt die maximal akzeptable Wiederherstellungszeit.
Die Backup-Frequenz muss zum RPO passen,
der Restore-Prozess zum RTO.
Zusätzlich müssen Restore-Tests durchgeführt werden.
Cloud-Frage
Beim Shared-Responsibility-Modell teilen sich Anbieter und Kunde die Verantwortung.
Der Anbieter schützt die Cloud-Infrastruktur.
Der Kunde bleibt je nach Modell für Daten,
Benutzer,
Rechte,
Konfigurationen
und Anwendungen verantwortlich.
Letzte Wiederholung: 30 Sekunden
OSI 1:
Kabel,
Link,
Signal.
OSI 2:
MAC,
Switch,
VLAN.
OSI 3:
IP,
Gateway,
Routing.
OSI 4:
TCP,
UDP,
Ports.
OSI 5:
Session,
Cookie,
Token.
OSI 6:
TLS,
Zertifikat,
Verschlüsselung.
OSI 7:
HTTP,
DNS,
DHCP,
SMB.
DNS:
Name zu IP.
DHCP:
IP-Konfiguration automatisch.
ARP:
IPv4 zu MAC.
NAT:
Adresse übersetzen.
Firewall:
Verkehr filtern.
VPN:
verschlüsselter Tunnel.
Backup:
Sicherung.
Restore:
Wiederherstellung.
RPO:
Datenverlust.
RTO:
Wiederherstellungszeit.
MFA:
Passwort allein reicht nicht.
Least Privilege:
nur nötige Rechte.
Hardening:
Angriffsfläche reduzieren.
Patchmanagement:
bekannte Lücken schließen.
Abschluss-Merksätze
Fehlerbild zuerst lesen.
Nicht raten,
sondern eingrenzen.
IP ja,
Name nein:
DNS.
Lokal ja,
extern nein:
Gateway,
Routing,
NAT
oder Firewall.
ping ja,
Dienst nein:
Port,
Dienst
oder Firewall.
Login ja,
Zugriff nein:
Rechte.
Anmeldung scheitert:
Authentifizierung.
169.254.x.x:
DHCP nicht erreicht.
VLAN ist Layer 2.
Subnetz ist Layer 3.
NAT ist nicht Firewall.
Snapshot ist nicht Backup.
Sync ist nicht Backup.
Cloud ist geteilte Verantwortung.
Portnummer ohne TCP oder UDP ist unvollständig.
Sicherheitsantworten brauchen Risiko,
Maßnahme
und Wirkung.
Gute Prüfungsantworten sind kurz,
fachlich
und begründet.
Stand dieses Trainers
Mit dieser Seite ist der gemischte Netzwerktechnik-Trainer inhaltlich abgeschlossen.
Weitere sinnvolle Ergänzungen wären nur noch separate Spezialtrainer,
zum Beispiel:
- reiner Subnetting-Rechentrainer
- reiner Ports-Trainer
- reiner Firewall-Regel-Trainer
- reiner Fehlersuche-Trainer mit Fällen
- reiner Sicherheitsmaßnahmen-Trainer
- AP1-Simulation mit Zeitdruck
- AP2-Simulation mit komplexem Szenario
Diese wären eigene zusätzliche Trainerseiten
und keine notwendige Fortsetzung dieses Kapitels.
20.16 Spezialtrainer – Subnetting-Rechentrainer
Dieser Spezialtrainer ist eine zusätzliche Übungsseite.
Der allgemeine Netzwerktechnik-Trainer ist bereits abgeschlossen.
Diese Seite dient nur als vertiefender Rechentrainer für IPv4-Subnetting.
Ziel ist,
Subnetting-Aufgaben schneller,
sicherer
und prüfungsnah zu lösen.
Merksatz:
Subnetting ist Übungssache.
Immer zuerst Präfix,
Hostbits,
Blockgröße
und Adressbereich bestimmen.
Lernziele
Nach dieser Seite solltest du sicher können:
- Präfix und Subnetzmaske zuordnen
- Hostbits bestimmen
- nutzbare Hosts berechnen
- Netzadresse bestimmen
- Broadcastadresse bestimmen
- ersten und letzten Host bestimmen
- kleinste passende Netzgröße auswählen
- typische Subnetting-Fallen vermeiden
Subnetting-Grundformeln
Gesucht
Formel oder Regel
Hostbits
32 minus Präfix
Gesamtadressen
2 hoch Hostbits
nutzbare Hosts
Gesamtadressen minus 2
Netzadresse
erste Adresse im Subnetz
Broadcastadresse
letzte Adresse im Subnetz
erster Host
Netzadresse plus 1
letzter Host
Broadcastadresse minus 1
Merksatz:
Erste Adresse ist Netzadresse.
Letzte Adresse ist Broadcastadresse.
Wichtige Präfixe
Präfix
Subnetzmaske
Blockgröße
nutzbare Hosts
/24
255.255.255.0
256
254
/25
255.255.255.128
128
126
/26
255.255.255.192
64
62
/27
255.255.255.224
32
30
/28
255.255.255.240
16
14
/29
255.255.255.248
8
6
/30
255.255.255.252
4
2
Merksatz:
Je größer der Präfix,
desto kleiner das Netz.
Aufgabe 1
Bestimme für:
192.168.1.45/24
Wert
Ergebnis
Netzadresse
?
erste nutzbare Adresse
?
letzte nutzbare Adresse
?
Broadcastadresse
?
nutzbare Hosts
?
Antwort anzeigen
Bei /24 gilt:
Subnetzmaske:
255.255.255.0
Blockgröße:
256
Wert
Ergebnis
Netzadresse
192.168.1.0
erste nutzbare Adresse
192.168.1.1
letzte nutzbare Adresse
192.168.1.254
Broadcastadresse
192.168.1.255
nutzbare Hosts
254
Aufgabe 2
Bestimme für:
192.168.1.130/25
Wert
Ergebnis
Netzadresse
?
erste nutzbare Adresse
?
letzte nutzbare Adresse
?
Broadcastadresse
?
nutzbare Hosts
?
Antwort anzeigen
Bei /25 gilt:
Blockgröße:
128
Bereiche:
192.168.1.0 bis 192.168.1.127
192.168.1.128 bis 192.168.1.255
192.168.1.130 liegt im zweiten Bereich.
Wert
Ergebnis
Netzadresse
192.168.1.128
erste nutzbare Adresse
192.168.1.129
letzte nutzbare Adresse
192.168.1.254
Broadcastadresse
192.168.1.255
nutzbare Hosts
126
Aufgabe 3
Bestimme für:
192.168.1.70/26
Wert
Ergebnis
Netzadresse
?
erste nutzbare Adresse
?
letzte nutzbare Adresse
?
Broadcastadresse
?
nutzbare Hosts
?
Antwort anzeigen
Bei /26 gilt:
Blockgröße:
64
Bereiche:
0 bis 63
64 bis 127
128 bis 191
192 bis 255
192.168.1.70 liegt im Bereich 64 bis 127.
Wert
Ergebnis
Netzadresse
192.168.1.64
erste nutzbare Adresse
192.168.1.65
letzte nutzbare Adresse
192.168.1.126
Broadcastadresse
192.168.1.127
nutzbare Hosts
62
Aufgabe 4
Bestimme für:
192.168.1.190/26
Wert
Ergebnis
Netzadresse
?
erste nutzbare Adresse
?
letzte nutzbare Adresse
?
Broadcastadresse
?
Antwort anzeigen
Bei /26 gilt:
Blockgröße:
64
Bereiche:
0 bis 63
64 bis 127
128 bis 191
192 bis 255
192.168.1.190 liegt im Bereich 128 bis 191.
Wert
Ergebnis
Netzadresse
192.168.1.128
erste nutzbare Adresse
192.168.1.129
letzte nutzbare Adresse
192.168.1.190
Broadcastadresse
192.168.1.191
Wichtig:
192.168.1.190 ist hier die letzte nutzbare Hostadresse,
nicht die Broadcastadresse.
Aufgabe 5
Bestimme für:
10.0.0.33/27
Wert
Ergebnis
Netzadresse
?
erste nutzbare Adresse
?
letzte nutzbare Adresse
?
Broadcastadresse
?
nutzbare Hosts
?
Antwort anzeigen
Bei /27 gilt:
Blockgröße:
32
Bereiche:
0 bis 31
32 bis 63
64 bis 95
96 bis 127
10.0.0.33 liegt im Bereich 32 bis 63.
Wert
Ergebnis
Netzadresse
10.0.0.32
erste nutzbare Adresse
10.0.0.33
letzte nutzbare Adresse
10.0.0.62
Broadcastadresse
10.0.0.63
nutzbare Hosts
30
Aufgabe 6
Bestimme für:
10.0.0.95/27
Wert
Ergebnis
Netzadresse
?
erste nutzbare Adresse
?
letzte nutzbare Adresse
?
Broadcastadresse
?
Antwort anzeigen
Bei /27 gilt:
Blockgröße:
32
Bereiche:
0 bis 31
32 bis 63
64 bis 95
96 bis 127
10.0.0.95 liegt im Bereich 64 bis 95.
Wert
Ergebnis
Netzadresse
10.0.0.64
erste nutzbare Adresse
10.0.0.65
letzte nutzbare Adresse
10.0.0.94
Broadcastadresse
10.0.0.95
Wichtig:
10.0.0.95 ist hier die Broadcastadresse
und nicht als Hostadresse nutzbar.
Aufgabe 7
Bestimme für:
172.16.5.17/28
Wert
Ergebnis
Netzadresse
?
erste nutzbare Adresse
?
letzte nutzbare Adresse
?
Broadcastadresse
?
nutzbare Hosts
?
Antwort anzeigen
Bei /28 gilt:
Blockgröße:
16
Bereiche:
0 bis 15
16 bis 31
32 bis 47
172.16.5.17 liegt im Bereich 16 bis 31.
Wert
Ergebnis
Netzadresse
172.16.5.16
erste nutzbare Adresse
172.16.5.17
letzte nutzbare Adresse
172.16.5.30
Broadcastadresse
172.16.5.31
nutzbare Hosts
14
Aufgabe 8
Bestimme für:
172.16.5.31/28
Wert
Ergebnis
Netzadresse
?
erste nutzbare Adresse
?
letzte nutzbare Adresse
?
Broadcastadresse
?
Antwort anzeigen
Bei /28 gilt:
Blockgröße:
16
172.16.5.31 liegt im Bereich 16 bis 31.
Wert
Ergebnis
Netzadresse
172.16.5.16
erste nutzbare Adresse
172.16.5.17
letzte nutzbare Adresse
172.16.5.30
Broadcastadresse
172.16.5.31
Wichtig:
172.16.5.31 ist die Broadcastadresse
und nicht als Hostadresse nutzbar.
Aufgabe 9
Bestimme für:
192.168.20.200/29
Wert
Ergebnis
Netzadresse
?
erste nutzbare Adresse
?
letzte nutzbare Adresse
?
Broadcastadresse
?
nutzbare Hosts
?
Antwort anzeigen
Bei /29 gilt:
Blockgröße:
8
Bereiche um 200:
192 bis 199
200 bis 207
192.168.20.200 liegt im Bereich 200 bis 207.
Wert
Ergebnis
Netzadresse
192.168.20.200
erste nutzbare Adresse
192.168.20.201
letzte nutzbare Adresse
192.168.20.206
Broadcastadresse
192.168.20.207
nutzbare Hosts
6
Wichtig:
192.168.20.200 ist hier die Netzadresse
und nicht als Hostadresse nutzbar.
Aufgabe 10
Bestimme für:
192.168.20.206/29
Wert
Ergebnis
Netzadresse
?
erste nutzbare Adresse
?
letzte nutzbare Adresse
?
Broadcastadresse
?
Antwort anzeigen
Bei /29 gilt:
Blockgröße:
8
192.168.20.206 liegt im Bereich 200 bis 207.
Wert
Ergebnis
Netzadresse
192.168.20.200
erste nutzbare Adresse
192.168.20.201
letzte nutzbare Adresse
192.168.20.206
Broadcastadresse
192.168.20.207
Aufgabe 11
Bestimme für:
10.10.10.10/30
Wert
Ergebnis
Netzadresse
?
erste nutzbare Adresse
?
letzte nutzbare Adresse
?
Broadcastadresse
?
nutzbare Hosts
?
Antwort anzeigen
Bei /30 gilt:
Blockgröße:
4
Bereiche:
0 bis 3
4 bis 7
8 bis 11
12 bis 15
10.10.10.10 liegt im Bereich 8 bis 11.
Wert
Ergebnis
Netzadresse
10.10.10.8
erste nutzbare Adresse
10.10.10.9
letzte nutzbare Adresse
10.10.10.10
Broadcastadresse
10.10.10.11
nutzbare Hosts
2
Merksatz:
/30 wird klassisch oft für Punkt-zu-Punkt-Verbindungen genutzt.
Aufgabe 12
Welche kleinste Netzgröße reicht für mindestens 12 Hosts?
Antwort anzeigen
Prüfung:
/29 = 6 nutzbare Hosts
/28 = 14 nutzbare Hosts
Antwort:
/28
Begründung:
/29 reicht nicht.
/28 bietet 14 nutzbare Hostadressen.
Aufgabe 13
Welche kleinste Netzgröße reicht für mindestens 25 Hosts?
Antwort anzeigen
Prüfung:
/28 = 14 nutzbare Hosts
/27 = 30 nutzbare Hosts
Antwort:
/27
Aufgabe 14
Welche kleinste Netzgröße reicht für mindestens 55 Hosts?
Antwort anzeigen
Prüfung:
/27 = 30 nutzbare Hosts
/26 = 62 nutzbare Hosts
Antwort:
/26
Aufgabe 15
Welche kleinste Netzgröße reicht für mindestens 100 Hosts?
Antwort anzeigen
Prüfung:
/26 = 62 nutzbare Hosts
/25 = 126 nutzbare Hosts
Antwort:
/25
Aufgabe 16
Welche kleinste Netzgröße reicht für mindestens 200 Hosts?
Antwort anzeigen
Prüfung:
/25 = 126 nutzbare Hosts
/24 = 254 nutzbare Hosts
Antwort:
/24
Aufgabe 17
Liegen diese Hosts im gleichen Netz?
192.168.1.10/24
192.168.1.200/24
Antwort anzeigen
Ja.
Beide liegen im Netz:
192.168.1.0/24
Bereich:
192.168.1.0 bis 192.168.1.255
Nutzbare Hosts:
192.168.1.1 bis 192.168.1.254
Aufgabe 18
Liegen diese Hosts im gleichen Netz?
192.168.1.10/24
192.168.2.10/24
Antwort anzeigen
Nein.
192.168.1.10/24 liegt im Netz:
192.168.1.0/24
192.168.2.10/24 liegt im Netz:
192.168.2.0/24
Für Kommunikation zwischen diesen Netzen wird Routing benötigt.
Aufgabe 19
Liegen diese Hosts im gleichen Netz?
192.168.1.70/26
192.168.1.100/26
Antwort anzeigen
Ja.
Bei /26 gilt Blockgröße 64.
Beide liegen im Bereich:
192.168.1.64 bis 192.168.1.127
Aufgabe 20
Liegen diese Hosts im gleichen Netz?
192.168.1.70/26
192.168.1.130/26
Antwort anzeigen
Nein.
192.168.1.70 liegt im Bereich:
192.168.1.64 bis 192.168.1.127
192.168.1.130 liegt im Bereich:
192.168.1.128 bis 192.168.1.191
Für Kommunikation zwischen diesen Netzen wird Routing benötigt.
Aufgabe 21
Liegen diese Hosts im gleichen Netz?
10.0.0.33/27
10.0.0.62/27
Antwort anzeigen
Ja.
Bei /27 gilt Blockgröße 32.
Beide liegen im Bereich:
10.0.0.32 bis 10.0.0.63
Nutzbare Hosts:
10.0.0.33 bis 10.0.0.62
Aufgabe 22
Liegen diese Hosts im gleichen Netz?
10.0.0.33/27
10.0.0.64/27
Antwort anzeigen
Nein.
10.0.0.33 liegt im Bereich:
10.0.0.32 bis 10.0.0.63
10.0.0.64 liegt im Bereich:
10.0.0.64 bis 10.0.0.95
Wichtig:
10.0.0.64 ist in diesem zweiten Bereich sogar die Netzadresse.
Aufgabe 23
Prüfe die Hostadresse:
192.168.5.0/24
Ist diese Adresse als Hostadresse nutzbar?
Antwort anzeigen
Nein.
Bei /24 ist:
192.168.5.0
die Netzadresse.
Sie ist nicht als normale Hostadresse nutzbar.
Aufgabe 24
Prüfe die Hostadresse:
192.168.5.255/24
Ist diese Adresse als Hostadresse nutzbar?
Antwort anzeigen
Nein.
Bei /24 ist:
192.168.5.255
die Broadcastadresse.
Sie ist nicht als normale Hostadresse nutzbar.
Aufgabe 25
Prüfe die Hostadresse:
192.168.5.254/24
Ist diese Adresse als Hostadresse nutzbar?
Antwort anzeigen
Ja.
Bei 192.168.5.0/24 ist der nutzbare Bereich:
192.168.5.1 bis 192.168.5.254
Die Adresse 192.168.5.254 ist die letzte nutzbare Hostadresse.
Aufgabe 26
Prüfe die Hostadresse:
192.168.5.128/25
Ist diese Adresse als Hostadresse nutzbar?
Antwort anzeigen
Nein.
Bei /25 gibt es zwei Bereiche:
192.168.5.0 bis 192.168.5.127
192.168.5.128 bis 192.168.5.255
Die Adresse 192.168.5.128 ist die Netzadresse des zweiten Bereichs.
Aufgabe 27
Prüfe die Hostadresse:
192.168.5.129/25
Ist diese Adresse als Hostadresse nutzbar?
Antwort anzeigen
Ja.
192.168.5.129 liegt im zweiten /25-Netz:
Netzadresse:
192.168.5.128
Broadcast:
192.168.5.255
nutzbarer Bereich:
192.168.5.129 bis 192.168.5.254
Aufgabe 28
Prüfe die Hostadresse:
10.0.0.63/26
Ist diese Adresse als Hostadresse nutzbar?
Antwort anzeigen
Nein.
Bei /26 gilt Blockgröße 64.
Der Bereich 0 bis 63 hat:
Netzadresse:
10.0.0.0
Broadcastadresse:
10.0.0.63
Die Adresse 10.0.0.63 ist die Broadcastadresse.
Aufgabe 29
Prüfe die Hostadresse:
10.0.0.64/26
Ist diese Adresse als Hostadresse nutzbar?
Antwort anzeigen
Nein.
Bei /26 gilt Blockgröße 64.
Der zweite Bereich beginnt bei:
10.0.0.64
Das ist die Netzadresse dieses Subnetzes.
Aufgabe 30
Prüfe die Hostadresse:
10.0.0.65/26
Ist diese Adresse als Hostadresse nutzbar?
Antwort anzeigen
Ja.
Bei /26 und Bereich 64 bis 127 gilt:
Netzadresse:
10.0.0.64
Broadcastadresse:
10.0.0.127
nutzbarer Bereich:
10.0.0.65 bis 10.0.0.126
Aufgabe 31
Eine Abteilung benötigt 5 nutzbare IP-Adressen.
Welche kleinste Netzgröße reicht?
Antwort anzeigen
Prüfung:
/30 = 2 nutzbare Hosts
/29 = 6 nutzbare Hosts
Antwort:
/29
Aufgabe 32
Eine Abteilung benötigt 14 nutzbare IP-Adressen.
Welche kleinste Netzgröße reicht?
Antwort anzeigen
Antwort:
/28
Begründung:
/28 bietet 14 nutzbare Hostadressen.
Aufgabe 33
Eine Abteilung benötigt 15 nutzbare IP-Adressen.
Welche kleinste Netzgröße reicht?
Antwort anzeigen
Prüfung:
/28 = 14 nutzbare Hosts
/27 = 30 nutzbare Hosts
Antwort:
/27
Merksatz:
15 passt nicht mehr in /28.
Aufgabe 34
Eine Abteilung benötigt 62 nutzbare IP-Adressen.
Welche kleinste Netzgröße reicht?
Antwort anzeigen
Antwort:
/26
Begründung:
/26 bietet genau 62 nutzbare Hostadressen.
Aufgabe 35
Eine Abteilung benötigt 63 nutzbare IP-Adressen.
Welche kleinste Netzgröße reicht?
Antwort anzeigen
Prüfung:
/26 = 62 nutzbare Hosts
/25 = 126 nutzbare Hosts
Antwort:
/25
Merksatz:
63 passt nicht mehr in /26.
Aufgabe 36
Warum wird bei der Hostanzahl meistens minus 2 gerechnet?
Antwort anzeigen
In normalen IPv4-Subnetzen sind zwei Adressen reserviert:
Netzadresse
Broadcastadresse
Deshalb gilt:
nutzbare Hosts = Gesamtadressen minus 2
Beispiel /26:
64 Gesamtadressen
64 - 2 = 62 nutzbare Hosts
Aufgabe 37
Welche Subnetzmaske gehört zu /27?
Antwort anzeigen
Zu /27 gehört:
255.255.255.224
Begründung:
Im letzten Oktett sind 3 zusätzliche Netzbits gesetzt:
11100000 = 224
Aufgabe 38
Welche Subnetzmaske gehört zu /28?
Antwort anzeigen
Zu /28 gehört:
255.255.255.240
Begründung:
Im letzten Oktett sind 4 zusätzliche Netzbits gesetzt:
11110000 = 240
Aufgabe 39
Welche Subnetzmaske gehört zu /29?
Antwort anzeigen
Zu /29 gehört:
255.255.255.248
Begründung:
Im letzten Oktett sind 5 zusätzliche Netzbits gesetzt:
11111000 = 248
Aufgabe 40
Welche Subnetzmaske gehört zu /30?
Antwort anzeigen
Zu /30 gehört:
255.255.255.252
Begründung:
Im letzten Oktett sind 6 zusätzliche Netzbits gesetzt:
11111100 = 252
Mini-Prüfung: Präfixe
Präfix
Maske
nutzbare Hosts
/24
255.255.255.0
254
/25
255.255.255.128
126
/26
255.255.255.192
62
/27
255.255.255.224
30
/28
255.255.255.240
14
/29
255.255.255.248
6
/30
255.255.255.252
2
Mini-Prüfung: Blockgrößen
Präfix
Blockgröße im letzten Oktett
/25
128
/26
64
/27
32
/28
16
/29
8
/30
4
Merksatz:
Blockgröße = 256 minus interessanter Maskenwert.
Typische Subnetting-Fallen
Falle
Richtige Denkweise
Netzadresse als Host verwenden
erste Adresse ist reserviert
Broadcastadresse als Host verwenden
letzte Adresse ist reserviert
/27 größer als /24 denken
größerer Präfix bedeutet kleineres Netz
Hostanzahl ohne minus 2
Netz- und Broadcastadresse abziehen
VLAN mit Subnetz gleichsetzen
VLAN Layer 2, Subnetz Layer 3
Gateway außerhalb des Subnetzes
Gateway muss lokal erreichbar sein
falsche Blockgröße
256 minus Maskenwert rechnen
IP nur grob ansehen
immer Subnetzbereich bestimmen
IHK-sichere Kurzformulierung
Beim Subnetting wird eine IPv4-Adresse mit einer Subnetzmaske oder einem Präfix in Netzanteil und Hostanteil aufgeteilt. Der Präfix gibt an, wie viele Bits zum Netzanteil gehören. Die Hostbits ergeben sich aus 32 minus Präfix. Die Anzahl der nutzbaren Hosts beträgt 2 hoch Hostbits minus 2, weil Netzadresse und Broadcastadresse nicht als normale Hostadressen verwendet werden. Die Netzadresse ist die erste Adresse im Subnetz, die Broadcastadresse die letzte Adresse. Um den richtigen Adressbereich zu finden, wird die Blockgröße bestimmt und geprüft, in welchem Bereich die gegebene IP-Adresse liegt.
Merksätze
Präfix = Netzbits.
Hostbits = 32 minus Präfix.
Nutzbare Hosts = 2 hoch Hostbits minus 2.
Netzadresse = erste Adresse.
Broadcastadresse = letzte Adresse.
Erste nutzbare Adresse = Netzadresse plus 1.
Letzte nutzbare Adresse = Broadcastadresse minus 1.
Größerer Präfix bedeutet kleineres Netz.
Kleinerer Präfix bedeutet größeres Netz.
/24 hat 254 Hosts.
/25 hat 126 Hosts.
/26 hat 62 Hosts.
/27 hat 30 Hosts.
/28 hat 14 Hosts.
/29 hat 6 Hosts.
/30 hat 2 Hosts.
/25 springt in 128er-Schritten.
/26 springt in 64er-Schritten.
/27 springt in 32er-Schritten.
/28 springt in 16er-Schritten.
/29 springt in 8er-Schritten.
/30 springt in 4er-Schritten.
Gateway muss im lokalen Subnetz liegen.
VLAN ist nicht Subnetz.
Subnetting wird sicher durch Wiederholung.
20.17 Spezialtrainer – Standardports und Dienste
Dieser Spezialtrainer ist eine zusätzliche Übungsseite.
Der allgemeine Netzwerktechnik-Trainer ist bereits abgeschlossen.
Diese Seite dient nur als vertiefender Trainer für Standardports,
Dienste,
TCP,
UDP
und typische Port-Fehlerbilder.
Ziel ist,
Portnummern nicht nur auswendig zu lernen,
sondern in Prüfungsaufgaben richtig anzuwenden.
Merksatz:
IP findet den Host.
Port findet den Dienst.
Protokoll sagt,
ob TCP oder UDP gemeint ist.
Lernziele
Nach dieser Seite solltest du sicher können:
- wichtige Standardports nennen
- TCP und UDP bei Ports unterscheiden
- typische Dienste zuordnen
- Firewall-Regeln genauer formulieren
- Port-Fehlerbilder erkennen
- erklären,
warum ping keinen Porttest ersetzt
- unsichere Dienste erkennen
- sichere Alternativen nennen
Kurzüberblick: wichtigste Ports
Dienst
Protokoll und Port
Zweck
FTP
TCP 21
Dateiübertragung, unverschlüsselt
SSH
TCP 22
sichere Fernadministration
SFTP
TCP 22
Dateiübertragung über SSH
SMTP
TCP 25
E-Mail-Übertragung
DNS
UDP/TCP 53
Namensauflösung
DHCP Server
UDP 67
DHCP-Server
DHCP Client
UDP 68
DHCP-Client
HTTP
TCP 80
Web unverschlüsselt
POP3
TCP 110
E-Mail-Abruf
NTP
UDP 123
Zeitsynchronisation
IMAP
TCP 143
E-Mail-Abruf und Synchronisation
SNMP
UDP 161
Netzwerkmanagement
HTTPS
TCP 443
Web verschlüsselt
SMB
TCP 445
Datei- und Druckfreigaben
SMTPS
TCP 465
SMTP über TLS
IMAPS
TCP 993
IMAP über TLS
POP3S
TCP 995
POP3 über TLS
RDP
TCP 3389
Remote Desktop
Merksatz:
Portnummer immer zusammen mit TCP oder UDP lernen.
Aufgabe 1
Welchen Port nutzt SSH typischerweise?
Antwort anzeigen
SSH nutzt typischerweise:
TCP 22
SSH steht für:
Secure Shell
Nutzung:
sichere Fernadministration
verschlüsselte Kommandozeile
SFTP
Merksatz:
SSH = TCP 22.
Aufgabe 2
Welchen Port nutzt HTTPS typischerweise?
Antwort anzeigen
HTTPS nutzt typischerweise:
TCP 443
HTTPS bedeutet:
HTTP über TLS
Nutzung:
verschlüsselte Webkommunikation
Merksatz:
HTTPS = TCP 443.
Aufgabe 3
Welchen Port nutzt HTTP typischerweise?
Antwort anzeigen
HTTP nutzt typischerweise:
TCP 80
Wichtig:
HTTP ist unverschlüsselt.
Besser für sensible Daten:
HTTPS über TCP 443
Merksatz:
HTTP = TCP 80.
HTTPS = TCP 443.
Aufgabe 4
Welchen Port nutzt DNS?
Antwort anzeigen
DNS nutzt:
UDP 53
und bei Bedarf auch:
TCP 53
Typisch:
normale DNS-Abfragen häufig UDP 53
größere Antworten,
Zonentransfers
oder bestimmte Fälle TCP 53
Merksatz:
DNS = UDP/TCP 53.
Aufgabe 5
Welche Ports nutzt DHCP?
Antwort anzeigen
DHCP nutzt:
UDP 67 für den DHCP-Server
UDP 68 für den DHCP-Client
Merksatz:
DHCP = UDP 67 und UDP 68.
Aufgabe 6
Welchen Port nutzt SMB typischerweise?
Antwort anzeigen
SMB nutzt typischerweise:
TCP 445
Nutzung:
Datei- und Druckfreigaben
Netzlaufwerke
Windows-Freigaben
Merksatz:
SMB = TCP 445.
Aufgabe 7
Welchen Port nutzt RDP typischerweise?
Antwort anzeigen
RDP nutzt typischerweise:
TCP 3389
RDP steht für:
Remote Desktop Protocol
Merksatz:
RDP = TCP 3389.
Aufgabe 8
Welchen Port nutzt NTP?
Antwort anzeigen
NTP nutzt typischerweise:
UDP 123
NTP steht für:
Network Time Protocol
Aufgabe:
Zeitsynchronisation
Merksatz:
NTP = UDP 123.
Aufgabe 9
Welchen Port nutzt SNMP?
Antwort anzeigen
SNMP nutzt typischerweise:
UDP 161
SNMP steht für:
Simple Network Management Protocol
Aufgabe:
Netzwerkgeräte überwachen und verwalten
Merksatz:
SNMP = UDP 161.
Aufgabe 10
Ordne die Webports zu.
Dienst
Protokoll und Port
HTTP
?
HTTPS
?
Antwort anzeigen
Dienst
Protokoll und Port
HTTP
TCP 80
HTTPS
TCP 443
Merksatz:
HTTP unverschlüsselt.
HTTPS verschlüsselt mit TLS.
Aufgabe 11
Ordne die E-Mail-Protokolle zu.
Dienst
Protokoll und Port
SMTP
?
POP3
?
IMAP
?
SMTPS
?
POP3S
?
IMAPS
?
Antwort anzeigen
Dienst
Protokoll und Port
SMTP
TCP 25
POP3
TCP 110
IMAP
TCP 143
SMTPS
TCP 465
POP3S
TCP 995
IMAPS
TCP 993
Merksatz:
SMTP sendet.
POP3 und IMAP empfangen.
S am Ende bedeutet verschlüsselte Variante.
Aufgabe 12
Was macht SMTP?
Antwort anzeigen
SMTP steht für:
Simple Mail Transfer Protocol
Aufgabe:
E-Mails senden und zwischen Mailservern übertragen.
Typischer Port:
TCP 25
Merksatz:
SMTP sendet E-Mails.
Aufgabe 13
Was macht POP3?
Antwort anzeigen
POP3 steht für:
Post Office Protocol Version 3
Aufgabe:
E-Mails vom Server abrufen.
Typischer Port:
TCP 110
Verschlüsselte Variante:
POP3S über TCP 995
Merksatz:
POP3 ruft E-Mails ab.
Aufgabe 14
Was macht IMAP?
Antwort anzeigen
IMAP steht für:
Internet Message Access Protocol
Aufgabe:
E-Mails auf dem Server abrufen und synchron verwalten.
Typischer Port:
TCP 143
Verschlüsselte Variante:
IMAPS über TCP 993
Merksatz:
IMAP synchronisiert E-Mails.
Aufgabe 15
Was ist der Unterschied zwischen POP3 und IMAP?
Antwort anzeigen
POP3:
einfacher E-Mail-Abruf
traditionell eher Herunterladen vom Server
IMAP:
serverseitige Verwaltung
Synchronisation über mehrere Geräte
Ordnerstruktur bleibt serverseitig erhalten
Merksatz:
POP3 ruft ab.
IMAP synchronisiert.
Aufgabe 16
Ordne Dateiübertragungsprotokolle zu.
Dienst
Protokoll und Port
Sicherheit
FTP
?
?
SFTP
?
?
FTPS
?
?
Antwort anzeigen
Dienst
Protokoll und Port
Sicherheit
FTP
TCP 21
unverschlüsselt
SFTP
TCP 22
über SSH verschlüsselt
FTPS
TCP 21 oder weitere Ports je nach Modus
FTP mit TLS
Merksatz:
FTP ist unverschlüsselt.
SFTP nutzt SSH.
FTPS ist FTP mit TLS.
Aufgabe 17
Warum ist FTP unsicher?
Antwort anzeigen
FTP ist unsicher,
weil es klassisch unverschlüsselt überträgt.
Risiken:
Zugangsdaten können mitgelesen werden
Daten können mitgelesen werden
Man-in-the-Middle möglich
Bessere Alternativen:
SFTP
FTPS
HTTPS-basierter Upload
Merksatz:
FTP nicht für sensible Daten verwenden.
Aufgabe 18
Was ist der Unterschied zwischen SFTP und FTPS?
Antwort anzeigen
SFTP:
Dateiübertragung über SSH
typischerweise TCP 22
FTPS:
FTP mit TLS-Verschlüsselung
basiert auf FTP
Wichtig:
SFTP und FTPS sind nicht dasselbe.
Merksatz:
SFTP = SSH.
FTPS = FTP mit TLS.
Aufgabe 19
Warum ist „Port 53 freigeben“ ungenau?
Antwort anzeigen
Die Angabe ist ungenau,
weil nicht klar ist,
ob TCP 53,
UDP 53
oder beides gemeint ist.
Bei Firewall-Regeln müssen angegeben werden:
Quelle
Ziel
Protokoll
Port
Aktion
Merksatz:
Portnummer ohne TCP oder UDP ist unvollständig.
Aufgabe 20
Warum ist „Port 443 erlauben“ in einer Firewall-Regel noch nicht vollständig?
Antwort anzeigen
Es fehlen wichtige Angaben:
Quelle
Ziel
Protokoll
Richtung
Aktion
Zweck
Besser:
Quelle:
Internet
Ziel:
Webserver-DMZ
Protokoll:
TCP
Port:
443
Aktion:
erlauben
Zweck:
HTTPS-Zugriff
Merksatz:
Firewall-Regeln brauchen mehr als nur eine Portnummer.
Aufgabe 21
Was bedeutet LISTEN bei einem TCP-Port?
Antwort anzeigen
LISTEN bedeutet:
Ein Dienst wartet auf eingehende Verbindungen.
Beispiel:
Webserver lauscht auf TCP 443.
Merksatz:
LISTEN = Dienst wartet auf Verbindung.
Aufgabe 22
Was bedeutet ESTABLISHED bei TCP?
Antwort anzeigen
ESTABLISHED bedeutet:
Eine TCP-Verbindung besteht aktiv.
Beispiel:
Client hat eine HTTPS-Verbindung zum Server aufgebaut.
Merksatz:
ESTABLISHED = Verbindung besteht.
Aufgabe 23
Was bedeutet SYN_SENT?
Antwort anzeigen
SYN_SENT bedeutet:
Der Client hat einen TCP-Verbindungsaufbau gestartet
und wartet auf Antwort.
Wenn es hängen bleibt,
sind möglich:
Ziel nicht erreichbar
Port blockiert
Dienst antwortet nicht
Firewall blockiert
Routingproblem
Merksatz:
SYN_SENT zeigt:
Anfrage raus,
Antwort fehlt.
Aufgabe 24
Was bedeutet TIME_WAIT?
Antwort anzeigen
TIME_WAIT ist ein TCP-Zustand nach dem Schließen einer Verbindung.
Er sorgt dafür,
dass verspätete Pakete einer alten Verbindung nicht mit neuen Verbindungen verwechselt werden.
Merksatz:
TIME_WAIT nach Verbindungsende ist normal.
Aufgabe 25
Ein Server ist per ping erreichbar,
aber TCP 22 ist nicht erreichbar.
Was ist wahrscheinlich?
Antwort anzeigen
Ping prüft ICMP.
TCP 22 ist SSH.
Mögliche Ursachen:
SSH-Dienst läuft nicht
SSH lauscht auf anderem Port
lokale Firewall blockiert
Netzwerkfirewall blockiert
Zugriff nur aus bestimmten Netzen erlaubt
Dienst lauscht nur auf localhost
Merksatz:
Host erreichbar heißt nicht:
Dienst erreichbar.
Aufgabe 26
Ein Webserver ist intern auf TCP 443 erreichbar,
aber nicht von außen.
Was sollte geprüft werden?
Antwort anzeigen
Prüfen:
öffentliche IP
DNS
Portweiterleitung
Router-Firewall
lokale Firewall
Dienststatus
doppeltes NAT
CGNAT
Provider blockiert Port
Merksatz:
Intern ja,
extern nein:
NAT,
Firewall,
DNS
und öffentliche IP prüfen.
Aufgabe 27
Ein Dienst läuft,
lauscht aber nur auf 127.0.0.1.
Was bedeutet das?
Antwort anzeigen
127.0.0.1 ist localhost.
Wenn ein Dienst nur auf 127.0.0.1 lauscht,
ist er nur lokal auf dem Server erreichbar.
Andere Geräte können ihn nicht direkt erreichen.
Prüfen:
Bind-Adresse
Dienstkonfiguration
Firewall
Merksatz:
127.0.0.1 = nur lokal.
Aufgabe 28
Ein Dienst lauscht auf 0.0.0.0.
Was bedeutet das?
Antwort anzeigen
0.0.0.0 bedeutet bei einem lauschenden Dienst:
Der Dienst lauscht auf allen IPv4-Schnittstellen des Systems.
Wichtig:
Ob der Dienst erreichbar ist,
hängt zusätzlich von Firewall,
Routing,
NAT
und Berechtigungen ab.
Merksatz:
0.0.0.0 = alle IPv4-Interfaces.
Aufgabe 29
Warum ersetzt ping keinen Porttest?
Antwort anzeigen
ping prüft ICMP-Erreichbarkeit.
ping prüft nicht:
TCP-Port
UDP-Port
Dienststatus
Anwendung
Anmeldung
Berechtigungen
Beispiel:
Ein Server kann auf ping antworten,
obwohl TCP 443 blockiert ist.
Merksatz:
ping prüft den Host,
nicht den Dienst.
Aufgabe 30
Welche Werkzeuge oder Methoden eignen sich zur Portprüfung?
Antwort anzeigen
Mögliche Prüfungen:
Dienststatus prüfen
Firewall-Logs prüfen
Porttest vom Client aus
ss oder netstat auf dem Server
curl für HTTP/HTTPS
Verbindungsprüfung mit geeigneten Tools
Logs des Dienstes prüfen
Wichtig:
Immer TCP oder UDP beachten.
Merksatz:
Portprüfung braucht Richtung,
Ziel,
Protokoll
und Dienststatus.
Aufgabe 31
Warum sollte RDP nicht direkt aus dem Internet erreichbar sein?
Antwort anzeigen
RDP ist ein häufiges Angriffsziel.
Risiken:
Brute Force
Credential Stuffing
Exploits
unberechtigter Fernzugriff
Besser:
VPN
RDP-Gateway
MFA
Zugriff nur von bekannten Quellnetzen
Logging
Merksatz:
RDP nicht offen ins Internet stellen.
Aufgabe 32
Warum sollte SMB nicht direkt aus dem Internet erreichbar sein?
Antwort anzeigen
SMB ist für Datei- und Druckfreigaben gedacht
und sollte nicht öffentlich erreichbar sein.
Risiken:
Datenabfluss
Malware-Ausbreitung
Brute Force
Ausnutzung von Schwachstellen
Zugriff auf interne Freigaben
Merksatz:
SMB gehört nicht offen ins Internet.
Aufgabe 33
Warum sollte Telnet nicht verwendet werden?
Antwort anzeigen
Telnet überträgt unverschlüsselt.
Risiken:
Zugangsdaten können mitgelesen werden
Sitzungen können mitgelesen werden
Man-in-the-Middle-Angriffe möglich
Sichere Alternative:
SSH
Merksatz:
Telnet unsicher,
SSH sicherer.
Aufgabe 34
Ordne sichere und unsichere Varianten zu.
Unsicherer Dienst
Sicherere Alternative
Telnet
?
FTP
?
HTTP
?
POP3
?
IMAP
?
Antwort anzeigen
Unsicherer Dienst
Sicherere Alternative
Telnet
SSH
FTP
SFTP oder FTPS
HTTP
HTTPS
POP3
POP3S
IMAP
IMAPS
Merksatz:
Unverschlüsselte Dienste vermeiden,
wenn sensible Daten übertragen werden.
Aufgabe 35
Welcher Port passt zu welchem Dienst?
Port
Dienst
22
?
53
?
67/68
?
80
?
123
?
443
?
445
?
3389
?
Antwort anzeigen
Port
Dienst
22
SSH / SFTP
53
DNS
67/68
DHCP
80
HTTP
123
NTP
443
HTTPS
445
SMB
3389
RDP
Aufgabe 36
Welcher Dienst passt zu welchem Port?
Dienst
Port
SSH
?
DNS
?
DHCP
?
HTTP
?
HTTPS
?
SMB
?
RDP
?
NTP
?
Antwort anzeigen
Dienst
Port
SSH
TCP 22
DNS
UDP/TCP 53
DHCP
UDP 67/68
HTTP
TCP 80
HTTPS
TCP 443
SMB
TCP 445
RDP
TCP 3389
NTP
UDP 123
Aufgabe 37
Ein DNS-Server ist nicht erreichbar.
Welche Firewall-Regel könnte fehlen?
Antwort anzeigen
Möglicherweise fehlt:
UDP 53
und je nach Fall auch:
TCP 53
Saubere Regel:
Quelle:
Clientnetz
Ziel:
DNS-Server
Protokoll:
UDP und TCP
Port:
53
Aktion:
erlauben
Merksatz:
DNS braucht meistens UDP 53,
TCP 53 mitdenken.
Aufgabe 38
Ein Client erhält keine DHCP-Adresse.
Welche Ports sind relevant?
Antwort anzeigen
Relevant sind:
UDP 67
UDP 68
Zusätzlich prüfen:
DHCP-Server
VLAN
DHCP-Relay
DHCP-Scope
Firewall-Regeln
Merksatz:
DHCP = UDP 67 und 68.
Aufgabe 39
Welche Antwort ist besser?
Aufgabe:
Ein Server ist pingbar,
aber die Webseite funktioniert nicht.
Was prüfen Sie?
Antwort A:
Der Server ist erreichbar,
also ist alles gut.
Antwort B:
ping prüft nur ICMP.
Für die Webseite müssen TCP 80 oder TCP 443,
Webdienst,
Firewall,
TLS
und Anwendung geprüft werden.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort unterscheidet Host-Erreichbarkeit
und Dienst-Erreichbarkeit.
Merksatz:
ping ist kein Diensttest.
Aufgabe 40
Welche Antwort ist besser?
Aufgabe:
Warum ist eine Firewall-Regel mit „Port 443 erlauben“ unvollständig?
Antwort A:
Weil man noch mehr schreiben kann.
Antwort B:
Für eine saubere Firewall-Regel fehlen Quelle,
Ziel,
Protokoll,
Richtung,
Aktion
und Zweck.
Außerdem muss TCP 443 genannt werden,
weil Portnummern ohne Transportprotokoll ungenau sind.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort erklärt fachlich,
welche Angaben in einer Regel fehlen.
Merksatz:
Firewall-Regel vollständig formulieren.
Mini-Prüfung: Ports auswendig
Dienst
Protokoll und Port
FTP
TCP 21
SSH
TCP 22
SFTP
TCP 22
SMTP
TCP 25
DNS
UDP/TCP 53
DHCP Server
UDP 67
DHCP Client
UDP 68
HTTP
TCP 80
POP3
TCP 110
NTP
UDP 123
IMAP
TCP 143
SNMP
UDP 161
HTTPS
TCP 443
SMB
TCP 445
SMTPS
TCP 465
IMAPS
TCP 993
POP3S
TCP 995
RDP
TCP 3389
Mini-Prüfung: Fehlerbilder
Fehlerbild
Wahrscheinlichstes Thema
ping geht, SSH nicht
TCP 22, SSH-Dienst, Firewall
ping geht, HTTPS nicht
TCP 443, Webdienst, Firewall, TLS
DNS antwortet nicht
UDP/TCP 53
DHCP funktioniert nicht
UDP 67/68, DHCP, VLAN, Relay
SMB-Freigabe nicht erreichbar
TCP 445, Firewall, SMB-Dienst
RDP geht nicht
TCP 3389, RDP-Dienst, Firewall
Dienst nur lokal erreichbar
bindet nur an 127.0.0.1
Port offen, Login scheitert
Authentifizierung
Port offen, Zugriff verweigert
Autorisierung
SYN_SENT bleibt stehen
Antwort fehlt, Firewall, Routing oder Dienst
Typische Prüfungsfallen
Falle
Richtig denken
Portnummer ohne TCP/UDP
unvollständig
ping ersetzt Porttest
falsch
DNS nur UDP
meistens UDP, aber TCP mitdenken
SFTP und FTPS gleichsetzen
falsch
HTTP und HTTPS gleichsetzen
falsch
RDP ins Internet öffnen
Sicherheitsrisiko
SMB ins Internet öffnen
Sicherheitsrisiko
Dienst läuft = Dienst erreichbar
nicht automatisch
127.0.0.1 als Bind-Adresse übersehen
nur lokal erreichbar
Firewall-Regel ohne Quelle und Ziel
unvollständig
IHK-sichere Kurzformulierung
Ports gehören zur OSI-Schicht 4 und werden von TCP oder UDP genutzt, um Daten dem richtigen Dienst oder Prozess zuzuordnen. Eine IP-Adresse identifiziert den Host, der Port den Dienst. Standardports sollten immer zusammen mit dem Transportprotokoll gelernt werden, zum Beispiel SSH TCP 22, DNS UDP/TCP 53, HTTP TCP 80, HTTPS TCP 443, SMB TCP 445 und RDP TCP 3389. ping prüft nur ICMP-Erreichbarkeit und ersetzt keinen Port- oder Diensttest. Für Firewall-Regeln reicht eine Portnummer allein nicht aus; benötigt werden Quelle, Ziel, Protokoll, Port, Richtung, Aktion und Zweck.
Merksätze
IP findet den Host.
Port findet den Dienst.
Ports gehören zu Schicht 4.
TCP und UDP unterscheiden.
Portnummer ohne TCP oder UDP ist unvollständig.
SSH = TCP 22.
SFTP = TCP 22.
DNS = UDP/TCP 53.
DHCP = UDP 67 und 68.
HTTP = TCP 80.
HTTPS = TCP 443.
SMB = TCP 445.
RDP = TCP 3389.
NTP = UDP 123.
SMTP sendet E-Mails.
IMAP synchronisiert E-Mails.
POP3 ruft E-Mails ab.
FTP ist unverschlüsselt.
SFTP nutzt SSH.
FTPS ist FTP mit TLS.
Telnet vermeiden,
SSH nutzen.
HTTP vermeiden,
HTTPS nutzen.
ping ist kein Porttest.
Host erreichbar heißt nicht:
Dienst erreichbar.
LISTEN heißt:
Dienst wartet.
ESTABLISHED heißt:
Verbindung besteht.
SYN_SENT heißt:
Anfrage raus,
Antwort fehlt.
127.0.0.1 heißt:
nur lokal.
0.0.0.0 heißt:
alle IPv4-Interfaces.
RDP nicht offen ins Internet stellen.
SMB nicht offen ins Internet stellen.
Firewall-Regeln brauchen Quelle,
Ziel,
Protokoll,
Port,
Richtung,
Aktion
und Zweck.
20.18 Spezialtrainer – Firewall-Regeln und Sicherheitszonen
Dieser Spezialtrainer ist eine zusätzliche Übungsseite.
Der allgemeine Netzwerktechnik-Trainer ist bereits abgeschlossen.
Diese Seite dient nur als vertiefender Trainer für Firewall-Regeln,
Sicherheitszonen,
DMZ,
VLAN-Trennung
und typische Prüfungsformulierungen.
Ziel ist,
Firewall-Aufgaben sauber,
vollständig
und prüfungssicher zu beantworten.
Merksatz:
Eine Firewall-Regel ohne Quelle,
Ziel,
Protokoll,
Port,
Aktion
und Zweck ist unvollständig.
Lernziele
Nach dieser Seite solltest du sicher können:
- Firewall-Regeln vollständig formulieren
- Quelle,
Ziel,
Port
und Protokoll unterscheiden
- Sicherheitszonen erklären
- DMZ-Regeln bewerten
- Any-to-Any-Regeln kritisch einordnen
- Default Deny erklären
- typische Fehlkonfigurationen erkennen
- sichere Alternativen zu breiten Freigaben nennen
Grundaufbau einer Firewall-Regel
Eine saubere Firewall-Regel enthält mindestens:
Bestandteil
Bedeutung
Quelle
Von wo kommt der Verkehr?
Ziel
Wohin geht der Verkehr?
Protokoll
TCP, UDP, ICMP oder anderes
Port
Welcher Dienst ist gemeint?
Richtung
Eingehend oder ausgehend
Aktion
Erlauben oder blockieren
Zweck
Warum gibt es diese Regel?
Merksatz:
Quelle,
Ziel,
Protokoll,
Port,
Aktion,
Zweck.
Typische Sicherheitszonen
Zone
Bedeutung
Internet
unsicheres externes Netz
DMZ
Zone für öffentlich erreichbare Dienste
internes Netz
interne Clients und Systeme
Servernetz
interne Server
Managementnetz
Administration von Systemen
Gastnetz
Netz für Gäste oder fremde Geräte
VPN-Netz
Netz für entfernte Benutzer
Backup-Netz
Netz für Sicherungen und Wiederherstellung
Merksatz:
Zonen trennen Systeme nach Schutzbedarf.
Aufgabe 1
Was ist eine Firewall?
Antwort anzeigen
Eine Firewall ist ein System,
das Netzwerkverkehr anhand von Regeln erlaubt oder blockiert.
Typische Kriterien:
Quelle
Ziel
Protokoll
Port
Richtung
Zone
Benutzer
Anwendung
Verbindungszustand
Merksatz:
Firewall = kontrollierter Netzwerkverkehr.
Aufgabe 2
Warum reicht die Regel „Port 443 erlauben“ nicht aus?
Antwort anzeigen
Die Regel ist unvollständig.
Es fehlen:
Quelle
Ziel
Protokoll
Richtung
Aktion
Zweck
Besser:
Quelle:
Internet
Ziel:
Webserver-DMZ
Protokoll:
TCP
Port:
443
Aktion:
erlauben
Zweck:
HTTPS-Zugriff auf Webserver
Merksatz:
Port allein ist keine vollständige Firewall-Regel.
Aufgabe 3
Warum ist „Port 53 erlauben“ ungenau?
Antwort anzeigen
Es fehlt das Transportprotokoll.
DNS nutzt:
UDP 53
und bei Bedarf:
TCP 53
Eine Regel für TCP 53 erlaubt nicht automatisch UDP 53.
Merksatz:
Portnummer immer mit TCP oder UDP nennen.
Aufgabe 4
Was bedeutet Default Deny?
Antwort anzeigen
Default Deny bedeutet:
Standardmäßig ist Verkehr blockiert.
Nur ausdrücklich erlaubter Verkehr wird zugelassen.
Vorteile:
kleinere Angriffsfläche
bessere Kontrolle
weniger unbeabsichtigte Freigaben
klare Sicherheitsstruktur
Merksatz:
Erst blockieren,
dann gezielt erlauben.
Aufgabe 5
Was ist eine Any-to-Any-Regel?
Antwort anzeigen
Any-to-Any bedeutet:
jede Quelle
zu
jedem Ziel
Meist zusätzlich:
alle Ports
alle Protokolle
erlauben
Das ist kritisch,
weil sehr viel Verkehr ungeprüft zugelassen wird.
Merksatz:
Any-to-Any ist eine sehr breite Freigabe.
Aufgabe 6
Warum ist Any-to-Any kritisch?
Antwort anzeigen
Risiken:
große Angriffsfläche
schlechte Nachvollziehbarkeit
Sicherheitszonen werden umgangen
unnötige Freigaben
laterale Bewegung wird erleichtert
Fehler schwerer erkennbar
Besser:
gezielte Regeln mit Quelle,
Ziel,
Port,
Protokoll
und Zweck.
Merksatz:
Je breiter die Regel,
desto größer das Risiko.
Aufgabe 7
Welche Regel ist besser?
A:
Quelle: internes Netz
Ziel: any
Port: any
Aktion: erlauben
B:
Quelle: Clientnetz
Ziel: DNS-Server
Protokoll: UDP/TCP
Port: 53
Aktion: erlauben
Zweck: DNS-Auflösung
Antwort anzeigen
B ist besser.
Begründung:
Die Regel ist genauer.
Sie erlaubt nur den benötigten DNS-Verkehr
zum vorgesehenen DNS-Server.
Regel A ist zu breit,
weil sie jeden Verkehr zu jedem Ziel erlaubt.
Merksatz:
Genau erlauben,
nicht pauschal freigeben.
Aufgabe 8
Ein Webserver in der DMZ soll öffentlich per HTTPS erreichbar sein.
Formuliere eine passende Regel.
Antwort anzeigen
Passende Regel:
Quelle
Ziel
Protokoll
Port
Aktion
Zweck
Internet
Webserver-DMZ
TCP
443
erlauben
HTTPS-Zugriff
Wichtig:
Keine pauschale Freigabe vom Internet ins interne Netz.
Merksatz:
Öffentlich nur den benötigten Dienst freigeben.
Aufgabe 9
Ein Webserver in der DMZ braucht Zugriff auf eine interne Datenbank.
Formuliere eine möglichst sichere Regel.
Antwort anzeigen
Beispielregel:
Quelle
Ziel
Protokoll
Port
Aktion
Zweck
Webserver-DMZ
interner Datenbankserver
TCP
5432
erlauben
Anwendung benötigt Datenbank
Wichtig:
Nur der konkrete Webserver darf auf den konkreten Datenbankserver zugreifen.
Nur der benötigte Datenbankport wird erlaubt.
Kein Any-to-Any zwischen DMZ und internem Netz.
Merksatz:
DMZ zu intern nur minimal und gezielt erlauben.
Aufgabe 10
Warum sollte eine Datenbank nicht direkt aus dem Internet erreichbar sein?
Antwort anzeigen
Eine Datenbank enthält oft sensible Daten
und ist ein attraktives Angriffsziel.
Risiken:
Brute Force
Exploits
Datenabfluss
Manipulation
DoS
Besser:
Zugriff nur vom Anwendungsserver
privates Netz
Firewall-Beschränkung
starke Authentifizierung
Logging
Merksatz:
Datenbankports gehören nicht offen ins Internet.
Aufgabe 11
Ein Gastnetz soll eingerichtet werden.
Welche Regeln sind sinnvoll?
Antwort anzeigen
Typische Regeln:
Quelle
Ziel
Aktion
Zweck
Gastnetz
Internet
erlauben
Internetzugriff für Gäste
Gastnetz
internes Netz
blockieren
interne Systeme schützen
Gastnetz
Servernetz
blockieren
Server schützen
Gastnetz
Managementnetz
blockieren
Administration schützen
Merksatz:
Gastnetz nur ins Internet,
nicht ins interne Netz.
Aufgabe 12
Ein Managementnetz soll geschützt werden.
Welche Regeln sind sinnvoll?
Antwort anzeigen
Sinnvolle Regeln:
Adminnetz zu Servern:
benötigte Adminports erlauben
Adminnetz zu Switches:
SSH oder HTTPS erlauben
Clientnetz zu Managementnetz:
blockieren
Gastnetz zu Managementnetz:
blockieren
Internet zu Managementnetz:
blockieren
Zusätzlich:
MFA
Logging
getrennte Admin-Konten
Least Privilege
Merksatz:
Managementzugänge besonders schützen.
Aufgabe 13
Ein Clientnetz soll nur DNS zum internen DNS-Server nutzen dürfen.
Formuliere die Regel.
Antwort anzeigen
Regel:
Quelle
Ziel
Protokoll
Port
Aktion
Zweck
Clientnetz
interner DNS-Server
UDP/TCP
53
erlauben
DNS-Auflösung
Optional zusätzlich:
Clientnetz zu externen DNS-Servern blockieren,
wenn DNS zentral kontrolliert werden soll.
Merksatz:
DNS-Regeln brauchen UDP 53,
TCP 53 mitdenken.
Aufgabe 14
Ein Clientnetz soll per HTTPS ins Internet.
Formuliere eine sinnvolle Regel.
Antwort anzeigen
Regel:
Quelle
Ziel
Protokoll
Port
Aktion
Zweck
Clientnetz
Internet
TCP
443
erlauben
HTTPS-Webzugriff
Je nach Umgebung zusätzlich:
HTTP TCP 80 erlauben oder blockieren
Proxy verwenden
Webfilter einsetzen
Logging aktivieren
Merksatz:
Webzugriff gezielt und protokolliert erlauben.
Aufgabe 15
Ein Clientnetz soll nicht direkt auf Server-Managementports zugreifen.
Welche Regel ist sinnvoll?
Antwort anzeigen
Sinnvolle Block-Regel:
Quelle
Ziel
Protokoll
Port
Aktion
Zweck
Clientnetz
Servernetz
TCP
22, 3389
blockieren
direkte Administration verhindern
Besser:
Administration nur aus Adminnetz erlauben.
Merksatz:
Normale Clients sollen keine Adminports erreichen.
Aufgabe 16
Warum sollte SSH nur aus dem Adminnetz erlaubt sein?
Antwort anzeigen
SSH ist ein Administrationszugang.
Wenn SSH aus allen Netzen erreichbar ist,
steigt das Risiko für:
Brute Force
Missbrauch gestohlener Zugangsdaten
laterale Bewegung
unautorisierte Administration
Besser:
Quelle auf Adminnetz beschränken
MFA oder Schlüssel nutzen
Logging aktivieren
Merksatz:
Adminzugänge nur aus Adminnetzen erlauben.
Aufgabe 17
Warum sollte RDP nicht direkt aus dem Internet erreichbar sein?
Antwort anzeigen
RDP ist ein häufiges Angriffsziel.
Risiken:
Brute Force
Credential Stuffing
Exploits
unberechtigter Zugriff
Sicherer:
VPN
RDP-Gateway
MFA
Zugriff nur von bekannten Quellnetzen
Logging
Merksatz:
RDP nicht offen ins Internet stellen.
Aufgabe 18
Warum sollte SMB nicht zwischen allen Netzen erlaubt sein?
Antwort anzeigen
SMB ermöglicht Datei- und Druckfreigaben.
Risiken bei breiter Freigabe:
Datenabfluss
Malware-Ausbreitung
laterale Bewegung
Zugriff auf interne Freigaben
Ausnutzung von Schwachstellen
Besser:
SMB nur gezielt zwischen benötigten Systemen erlauben.
Merksatz:
SMB breit freigeben ist riskant.
Aufgabe 19
Was bedeutet Regelreihenfolge bei Firewalls?
Antwort anzeigen
Viele Firewalls verarbeiten Regeln von oben nach unten.
Die erste passende Regel entscheidet.
Problem:
Eine breite Erlauben-Regel kann spätere Block-Regeln wirkungslos machen.
Oder:
Eine frühe Block-Regel kann spätere Erlauben-Regeln überdecken.
Merksatz:
Firewall-Regeln auch in der richtigen Reihenfolge prüfen.
Aufgabe 20
Eine Erlauben-Regel existiert,
aber der Zugriff funktioniert nicht.
Was sollte geprüft werden?
Antwort anzeigen
Prüfen:
Regelreihenfolge
Quelle korrekt?
Ziel korrekt?
Protokoll korrekt?
Port korrekt?
Richtung korrekt?
Zone korrekt?
NAT-Regel nötig?
Rückverkehr erlaubt oder stateful?
lokale Firewall auf Zielsystem
Dienst läuft?
Logs prüfen
Merksatz:
Eine Regel allein beweist noch nicht,
dass der Zugriff funktioniert.
Aufgabe 21
Was ist eine Stateful Firewall?
Antwort anzeigen
Eine Stateful Firewall merkt sich den Zustand von Verbindungen.
Wenn ein Client eine Verbindung nach außen startet,
kann die Firewall passende Antwortpakete automatisch erlauben.
Vorteil:
Rückverkehr muss nicht immer manuell als eigene Regel definiert werden.
Merksatz:
Stateful Firewall kennt Verbindungszustände.
Aufgabe 22
Was ist eine Stateless Firewall?
Antwort anzeigen
Eine Stateless Firewall prüft Pakete einzeln.
Sie merkt sich keinen Verbindungszustand.
Folge:
Regeln für Hin-
und Rückrichtung müssen genauer berücksichtigt werden.
Merksatz:
Stateless Firewall kennt keine Verbindungshistorie.
Aufgabe 23
Was ist der Unterschied zwischen Firewall und ACL?
Antwort anzeigen
ACL steht für:
Access Control List
Eine ACL ist eine Liste von Regeln,
die Zugriff erlaubt oder blockiert.
Eine Firewall kann ACL-ähnliche Regeln nutzen,
bietet aber je nach System weitere Funktionen:
Zustandsprüfung
Logging
NAT
Anwendungskontrolle
Benutzerbezug
IDS/IPS-Funktionen
Merksatz:
ACL ist Regelliste.
Firewall ist oft umfassenderes Schutzsystem.
Aufgabe 24
Was ist eine Security Group in der Cloud?
Antwort anzeigen
Eine Security Group ist eine ressourcennahe Zugriffskontrolle in Cloud-Umgebungen.
Sie steuert typischerweise:
eingehenden Verkehr
ausgehenden Verkehr
Ports
Protokolle
Quellen
Ziele
Merksatz:
Security Group ist wie eine Cloud-nahe Firewall-Regelgruppe.
Aufgabe 25
Eine Cloud-VM ist nicht per SSH erreichbar.
Was sollte geprüft werden?
Antwort anzeigen
Prüfen:
Security Group erlaubt TCP 22?
Quelle korrekt eingeschränkt?
VM hat richtige IP?
Route ins Subnetz korrekt?
Network ACL korrekt?
lokale Firewall der VM?
SSH-Dienst läuft?
SSH lauscht auf TCP 22?
Benutzer oder Schlüssel korrekt?
Merksatz:
Cloud-Zugriff braucht Security Group,
Route,
lokale Firewall
und Dienst.
Aufgabe 26
Eine Webanwendung in der Cloud soll öffentlich erreichbar sein,
die Datenbank aber nicht.
Welche Grundidee ist richtig?
Antwort anzeigen
Richtig:
Webserver oder Load Balancer öffentlich erreichbar machen.
Datenbank in privatem Subnetz betreiben.
Zugriff auf Datenbank nur vom Anwendungsserver erlauben.
Security Group der Datenbank eng einschränken.
Merksatz:
Web nach außen,
Datenbank privat.
Aufgabe 27
Ein VPN-Benutzer soll nur einen Server erreichen dürfen.
Welche Regel ist sinnvoll?
Antwort anzeigen
Beispielregel:
Quelle
Ziel
Protokoll
Port
Aktion
Zweck
VPN-Benutzergruppe Dienstleister
Zielserver
TCP
22
erlauben
Wartung durch Dienstleister
Zusätzlich blockieren:
VPN-Dienstleister zu restlichem internen Netz
Merksatz:
VPN-Zugriff nach Least Privilege begrenzen.
Aufgabe 28
Warum ist „VPN-Benutzer dürfen alles im internen Netz“ kritisch?
Antwort anzeigen
Risiken:
kompromittierte VPN-Zugangsdaten führen zu großem Schaden
laterale Bewegung im Netz möglich
Dienstleister sehen zu viele Systeme
Angriffe können sich leichter ausbreiten
Besser:
Zugriff nach Gruppen
nur benötigte Zielsysteme
nur benötigte Ports
Logging
MFA
Merksatz:
VPN ist ein Eingang ins Netz,
kein Freifahrtschein.
Aufgabe 29
Ein Backup-Server soll besonders geschützt werden.
Welche Regeln sind sinnvoll?
Antwort anzeigen
Sinnvolle Grundidee:
Nur Backup-Clients oder Backup-Agenten dürfen zum Backup-Server kommunizieren.
Normale Benutzer dürfen nicht direkt auf Backup-Speicher zugreifen.
Administration nur aus Adminnetz.
Löschrechte stark begrenzen.
Backup-Logs und Monitoring erlauben.
Beispiel:
Quelle
Ziel
Aktion
Zweck
Backup-Clients
Backup-Server
erlauben
Sicherung durchführen
Clientnetz
Backup-Speicher
blockieren
Schutz vor Manipulation
Adminnetz
Backup-Server
erlauben
Administration
Internet
Backup-Server
blockieren
Schutz vor Angriffen
Merksatz:
Backups brauchen besonders strenge Zugriffskontrolle.
Aufgabe 30
Warum ist eine Firewall-Regel ohne Zweck problematisch?
Antwort anzeigen
Ohne Zweck ist später unklar:
warum die Regel existiert
ob sie noch benötigt wird
wer verantwortlich ist
ob sie entfernt werden kann
welches Risiko sie abdeckt
Folge:
Regelwerke werden unübersichtlich
und unsichere Altregeln bleiben bestehen.
Merksatz:
Jede Firewall-Regel braucht eine Begründung.
Aufgabe 31
Was ist eine Regelwerksprüfung?
Antwort anzeigen
Eine Regelwerksprüfung kontrolliert bestehende Firewall-Regeln.
Geprüft wird:
Ist die Regel noch nötig?
Ist Quelle und Ziel genau genug?
Ist der Port korrekt?
Ist Any-to-Any vorhanden?
Gibt es doppelte Regeln?
Gibt es ungenutzte Regeln?
Ist der Zweck dokumentiert?
Gibt es Ablaufdaten für temporäre Regeln?
Merksatz:
Firewall-Regeln müssen regelmäßig aufgeräumt werden.
Aufgabe 32
Was ist eine temporäre Firewall-Regel?
Antwort anzeigen
Eine temporäre Regel ist nur für begrenzte Zeit gedacht.
Beispiele:
Wartung
Migration
Test
Fehleranalyse
Wichtig:
Ablaufdatum dokumentieren
Verantwortlichen nennen
nach Nutzung entfernen
Merksatz:
Temporäre Regeln dürfen nicht dauerhaft vergessen werden.
Aufgabe 33
Was ist Logging bei Firewall-Regeln?
Antwort anzeigen
Logging bedeutet:
Erlaubter oder blockierter Verkehr wird protokolliert.
Nutzen:
Fehlersuche
Sicherheitsanalyse
Nachvollziehbarkeit
Erkennen von Angriffen
Regelwerksprüfung
Merksatz:
Firewall-Logs zeigen,
was wirklich passiert.
Aufgabe 34
Ein Zugriff funktioniert nicht.
Im Firewall-Log steht „Deny TCP 443“.
Was bedeutet das?
Antwort anzeigen
Bedeutung:
Verkehr zu TCP 443 wurde blockiert.
Prüfen:
Ist der Zugriff gewollt?
Quelle korrekt?
Ziel korrekt?
Regel fehlt?
Regelreihenfolge falsch?
falsche Zone?
falscher Port?
Merksatz:
Deny im Log ist ein konkreter Hinweis,
keine Vermutung.
Aufgabe 35
Ein Zugriff soll blockiert sein,
aber er funktioniert trotzdem.
Was sollte geprüft werden?
Antwort anzeigen
Prüfen:
Gibt es eine frühere Allow-Regel?
Regelreihenfolge korrekt?
falsche Quelle oder falsches Ziel?
falsche Zone?
anderer Port oder anderes Protokoll?
NAT verändert Ziel oder Quelle?
Verbindung bereits bestehend bei Stateful Firewall?
Logs prüfen
Merksatz:
Wenn Block nicht wirkt,
Regelreihenfolge und Matching prüfen.
Aufgabe 36
Welche Antwort ist besser?
Aufgabe:
Warum ist eine Any-to-Any-Regel unsicher?
Antwort A:
Weil sie zu offen ist.
Antwort B:
Eine Any-to-Any-Regel erlaubt Verkehr von jeder Quelle zu jedem Ziel.
Dadurch werden Sicherheitszonen umgangen,
die Angriffsfläche wird stark vergrößert
und laterale Bewegung im Netzwerk wird erleichtert.
Besser sind gezielte Regeln mit Quelle,
Ziel,
Protokoll,
Port
und Zweck.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort nennt Risiko,
Wirkung
und bessere Maßnahme.
Merksatz:
Sicherheitsbewertung braucht Begründung.
Aufgabe 37
Welche Antwort ist besser?
Aufgabe:
Warum soll ein Gastnetz nicht auf interne Server zugreifen?
Antwort A:
Weil Gäste fremd sind.
Antwort B:
Geräte im Gastnetz sind nicht vertrauenswürdig.
Zugriff auf interne Server würde das Risiko für Datenabfluss,
Malware-Ausbreitung
und unberechtigten Zugriff erhöhen.
Deshalb sollte das Gastnetz nur ins Internet dürfen
und vom internen Netz getrennt werden.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort nennt konkrete Risiken und eine passende Maßnahme.
Merksatz:
Risiko und Maßnahme verbinden.
Aufgabe 38
Welche Antwort ist besser?
Aufgabe:
Eine Datenbank soll aus dem Internet erreichbar sein.
Bewerten Sie das.
Antwort A:
Datenbank ist wichtig,
also geht das.
Antwort B:
Das ist kritisch,
weil eine öffentlich erreichbare Datenbank direkt Angriffen wie Brute Force,
Exploits,
Datenabfluss
und Manipulation ausgesetzt ist.
Besser ist,
die Datenbank in einem privaten Netz zu betreiben
und nur Zugriff vom Anwendungsserver auf den benötigten Port zu erlauben.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort bewertet fachlich
und nennt eine sichere Alternative.
Merksatz:
Öffentlich erreichbare Datenbanken vermeiden.
Aufgabe 39
Welche Antwort ist besser?
Aufgabe:
Warum sollten Firewall-Regeln dokumentiert werden?
Antwort A:
Damit man mehr Unterlagen hat.
Antwort B:
Dokumentation macht nachvollziehbar,
warum eine Regel existiert,
wer verantwortlich ist,
welchen Zweck sie erfüllt
und ob sie noch benötigt wird.
Dadurch können unsichere oder veraltete Regeln später entfernt werden.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort erklärt den betrieblichen und sicherheitstechnischen Nutzen.
Merksatz:
Dokumentation hilft Sicherheit und Betrieb.
Aufgabe 40
Welche Antwort ist besser?
Aufgabe:
Ein Dienst funktioniert nicht.
Was prüfen Sie an der Firewall?
Antwort A:
Firewall an oder aus.
Antwort B:
Ich prüfe Quelle,
Ziel,
Protokoll,
Port,
Richtung,
Zone,
Regelreihenfolge
und Firewall-Logs.
Zusätzlich prüfe ich,
ob NAT oder eine lokale Firewall auf dem Zielsystem beteiligt ist.
Antwort anzeigen
B ist besser.
Begründung:
Die Antwort nennt konkrete Prüfpunkte
und ist damit prüfungssicher.
Merksatz:
Firewall prüfen heißt:
Regel-Matching konkret prüfen.
Mini-Prüfung: vollständige Regelangaben
Fehlende Angabe
Warum wichtig?
Quelle
bestimmt, wer senden darf
Ziel
bestimmt, wohin gesendet wird
Protokoll
TCP, UDP, ICMP unterscheiden
Port
Dienst genau bestimmen
Richtung
eingehend oder ausgehend
Aktion
erlauben oder blockieren
Zweck
spätere Nachvollziehbarkeit
Zone
Sicherheitsbereich erkennen
Mini-Prüfung: sichere Grundregeln
Situation
Sichere Grundidee
Webserver öffentlich
nur TCP 443 zur DMZ erlauben
Datenbank
nicht öffentlich, nur Appserver erlauben
Gastnetz
Internet erlauben, intern blockieren
Managementnetz
nur Adminnetz darf zugreifen
VPN-Dienstleister
nur benötigte Ziele und Ports
Backup-Server
kein normaler Benutzerzugriff
DNS
Clientnetz zu DNS-Server UDP/TCP 53
RDP
nicht direkt aus Internet
SMB
nicht breit zwischen allen Netzen
temporäre Regel
Ablaufdatum und Verantwortlichen dokumentieren
Mini-Prüfung: typische Fehlerbilder
Fehlerbild
Wahrscheinliches Thema
Zugriff trotz Block-Regel möglich
Regelreihenfolge, falsches Matching
Zugriff trotz Allow-Regel nicht möglich
Regelreihenfolge, Zone, Port, NAT, lokale Firewall
nur ein Port funktioniert nicht
Firewall-Regel oder Dienst
DMZ-Server erreicht internes Ziel nicht
DMZ-zu-intern-Regel fehlt
Gastnetz erreicht interne Server
Zonentrennung fehlerhaft
VPN-Benutzer sieht alles
Least Privilege fehlt
Datenbank aus Internet erreichbar
kritische Fehlkonfiguration
Backup-Speicher für Clients offen
Ransomware-Risiko
Firewall-Regel unbekannter Zweck
Dokumentationsproblem
Deny im Log
Firewall blockiert konkret
Typische Prüfungsfallen
Falle
Richtig denken
Portnummer ohne TCP/UDP
unvollständig
Quelle und Ziel vergessen
Regel nicht prüfungssicher
Any-to-Any als einfache Lösung
Sicherheitsrisiko
DMZ mit internem Netz gleichsetzen
falsch, DMZ ist getrennte Zone
VLAN ersetzt Firewall
falsch, VLAN trennt nur Layer 2
NAT ersetzt Firewall
falsch, NAT übersetzt
RDP direkt ins Internet
hohes Risiko
Datenbank öffentlich
hohes Risiko
Gastnetz darf intern zugreifen
falsch
temporäre Regel bleibt dauerhaft
Regelwerksrisiko
IHK-sichere Kurzformulierung
Eine Firewall filtert Netzwerkverkehr anhand von Regeln. Eine vollständige Regel enthält Quelle, Ziel, Protokoll, Port, Richtung, Aktion und Zweck. Nach dem Default-Deny-Prinzip wird Verkehr standardmäßig blockiert und nur gezielt erlaubt. Any-to-Any-Regeln sind kritisch, weil sie Verkehr von jeder Quelle zu jedem Ziel erlauben, Sicherheitszonen umgehen und die Angriffsfläche erhöhen. Öffentlich erreichbare Dienste sollten in einer DMZ betrieben werden. Zugriffe aus der DMZ ins interne Netz müssen minimal und zweckgebunden erlaubt werden. Management-, Gast-, VPN- und Backup-Netze benötigen besonders klare Zugriffsbeschränkungen. Firewall-Logs, Regelreihenfolge und Dokumentation sind wichtig für Fehlersuche und Sicherheit.
Merksätze
Firewall filtert Verkehr.
NAT übersetzt Adressen.
VLAN trennt Layer 2.
Firewall kontrolliert Verkehr zwischen Zonen.
Default Deny ist sicherer als Default Allow.
Erst blockieren,
dann gezielt erlauben.
Any-to-Any ist kritisch.
Jede Regel braucht Quelle.
Jede Regel braucht Ziel.
Jede Regel braucht Protokoll.
Jede Regel braucht Port.
Jede Regel braucht Aktion.
Jede Regel braucht Zweck.
Portnummer ohne TCP oder UDP ist unvollständig.
DMZ trennt öffentliche Dienste vom internen Netz.
DMZ zu intern nur minimal erlauben.
Gastnetz nicht ins interne Netz lassen.
Managementnetz besonders schützen.
VPN-Zugriff nach Least Privilege.
Backup-Systeme besonders schützen.
RDP nicht direkt ins Internet.
SMB nicht breit freigeben.
Datenbanken nicht öffentlich erreichbar machen.
Regelreihenfolge beachten.
Firewall-Logs auswerten.
Temporäre Regeln mit Ablaufdatum dokumentieren.
Unbenutzte Regeln entfernen.
Gute Firewall-Antwort:
Risiko,
Regel,
Wirkung.
21. INTERAKTIVER TRAINER – Netzwerktechnik
Interaktive Übungen und Rechner zur Netzwerktechnik – passend für IHK-Vorbereitung, Wiederholung und praktisches Verständnis.
21.1 Trainer – Datenübertragung und Bandbreite
Trainer im Vollbild öffnen
21.2 Trainer – Routing, Subnetting und Fehlersuche
Trainer im Vollbild öffnen
21.2 Trainer – Routing, Subnetting und Fehlersuche
Trainer im Vollbild öffnen