Skip to main content

10.10 Fehlersuche auf OSI-Schicht 7

OSI-Schicht 7 ist die Anwendungsschicht.

Auf dieser Schicht prüft man nicht mehr nur:

Kommt eine Verbindung zustande?

Sondern zusätzlich:

Funktioniert der konkrete Dienst?
Antwortet die Anwendung korrekt?
Stimmen Anmeldung, Rechte, Daten und Protokoll?

Typische Schicht-7-Dienste sind:

- HTTP / HTTPS
- DNS
- DHCP
- SMTP
- IMAP
- POP3
- FTP
- SFTP
- SMB
- LDAP
- SNMP
- NTP
- SSH
- RDP
- APIs

Merksatz:

Schicht 7 prüft den Dienst,
nicht nur die Verbindung.

Grundidee der Schicht-7-Fehlersuche

Bei Schicht 7 geht es um die konkrete Anwendungskommunikation.

Ein Port kann erreichbar sein, aber der Dienst kann trotzdem nicht richtig funktionieren.

Beispiel:

TCP 443 ist offen,
aber die Webseite zeigt HTTP 500.

Oder:

DNS-Server ist erreichbar,
aber der Name wird falsch aufgelöst.

Oder:

SMB-Port 445 ist erreichbar,
aber der Benutzer hat keine Berechtigung.

Merksatz:

Offener Port bedeutet nicht automatisch:
Anwendung funktioniert.

Schicht 7 erst prüfen, wenn die unteren Schichten passen

Vor der Schicht-7-Fehlersuche sollte man prüfen:

Schicht 1:
physische Verbindung vorhanden?

Schicht 2:
richtige MAC-Kommunikation, VLAN, Switch?

Schicht 3:
IP-Adresse, Subnetz, Gateway, Routing?

Schicht 4:
TCP- oder UDP-Port erreichbar?

Erst danach prüft man genauer:

Dienst,
Protokoll,
Anmeldung,
Antwort,
Daten,
Rechte,
Logs.

Merksatz:

Erst unten prüfen,
dann oben analysieren.

Typische Abgrenzung nach Schichten

Fehlerbild wahrscheinliche Schicht
Kein Link 1
Falsches VLAN 2
Kein Gateway erreichbar 3
Port nicht erreichbar 4
Zertifikatswarnung 6
HTTP 404 oder 500 7
Login funktioniert nicht 7
Zugriff verweigert 7
DNS löst falsch auf 7
Mail landet im Spam 7
API lehnt Anfrage ab 7

Merksatz:

Schicht-7-Fehler betreffen Inhalt,
Dienst,
Anmeldung
oder Berechtigung.

Wichtige Prüffragen auf Schicht 7

Bei Anwendungsschichtproblemen stellt man Fragen wie:

Läuft der Dienst?
Antwortet der Dienst korrekt?
Wird das richtige Protokoll verwendet?
Wird der richtige Hostname verwendet?
Ist die URL korrekt?
Ist die Anmeldung korrekt?
Hat der Benutzer die nötigen Rechte?
Sind Zertifikate gültig?
Stimmen Header, Methode und Datenformat?
Gibt es Logs?
Gibt es eine Fehlermeldung?
Betrifft es alle Benutzer oder nur einzelne?

Merksatz:

Schicht 7 fragt:
Was macht der Dienst genau?

Dienst läuft oder läuft nicht

Ein häufiger Fehler ist:

Netzwerk funktioniert,
aber Dienst läuft nicht.

Beispiele:

Webserver gestoppt
Datenbank nicht erreichbar
SSH-Dienst deaktiviert
Maildienst gestört
DNS-Dienst nicht gestartet
Backend-Container nicht aktiv
Anwendung abgestürzt

Typisches Fehlerbild:

Host erreichbar,
aber Dienst antwortet nicht richtig.

Merksatz:

Erreichbarer Server heißt nicht:
Dienst läuft.

Falsches Protokoll

Manchmal wird das falsche Protokoll verwendet.

Beispiele:

http:// statt https://

FTP statt SFTP

LDAP statt LDAPS

IMAP statt POP3

SMB-Pfad statt SFTP-Zugriff

HTTPS zum Backend,
obwohl Backend nur HTTP spricht

Merksatz:

Falsches Protokoll kann wie ein Verbindungsfehler aussehen.

Falscher Port

Ein Dienst kann auf einem anderen Port laufen als erwartet.

Beispiele:

Webserver läuft auf TCP 8080 statt TCP 80.

Adminoberfläche läuft auf TCP 8443 statt TCP 443.

SSH läuft auf anderem Port als TCP 22.

Anwendung läuft intern auf Port 3000,
extern aber über Reverse Proxy auf 443.

Merksatz:

Immer prüfen:
Welcher Dienst lauscht auf welchem Port?

Falscher Hostname

Bei vielen Diensten ist der Hostname wichtig.

Beispiele:

HTTPS-Zertifikat muss zum Hostnamen passen.

Reverse Proxy entscheidet über Host-Header.

Virtuelle Hosts liefern je nach Hostname andere Inhalte.

DNS kann intern und extern unterschiedlich auflösen.

Fehlerbild:

IP ist erreichbar,
aber falsche Webseite oder falsches Zertifikat erscheint.

Merksatz:

Hostname ist auf Schicht 7 oft entscheidend.

DNS-Fehler auf Schicht 7

DNS-Probleme sind typische Schicht-7-Probleme.

Fehlerbilder:

Name löst nicht auf.
Name löst auf falsche IP auf.
Interne und externe Antwort unterscheiden sich.
DNS-Cache ist veraltet.
MX-Record fehlt.
CNAME zeigt falsch.
AAAA-Record zeigt auf nicht erreichbares IPv6-Ziel.

Prüffragen:

Welcher DNS-Server wird gefragt?
Welche Antwort liefert er?
Ist die Antwort intern und extern gleich?
Ist der Cache noch aktiv?
Stimmt die TTL?

Merksatz:

IP geht,
Name nicht:
DNS prüfen.

HTTP-Fehler auf Schicht 7

Bei Webdiensten sind HTTP-Statuscodes sehr hilfreich.

Wichtige Beispiele:

Statuscode Bedeutung
200 OK
301 / 302 Weiterleitung
400 fehlerhafte Anfrage
401 nicht authentifiziert
403 verboten
404 nicht gefunden
405 Methode nicht erlaubt
429 zu viele Anfragen
500 interner Serverfehler
502 Bad Gateway
503 Dienst nicht verfügbar
504 Gateway Timeout

Merksatz:

HTTP-Statuscodes sind wichtige Schicht-7-Hinweise.

401 und 403 bei der Fehlersuche

401 bedeutet:

Benutzer ist nicht authentifiziert.

Typische Ursachen:

- nicht angemeldet
- Token fehlt
- Token ungültig
- Session abgelaufen
- falsche Zugangsdaten

403 bedeutet:

Benutzer ist bekannt,
aber nicht berechtigt.

Typische Ursachen:

- Rolle fehlt
- Gruppe fehlt
- Zugriff verboten
- Richtlinie blockiert
- Ressource nicht erlaubt

Merksatz:

401 = Anmeldung fehlt.
403 = Rechte fehlen.

404 bei der Fehlersuche

404 bedeutet:

Ressource nicht gefunden.

Mögliche Ursachen:

- falscher Pfad
- falsche URL
- Route fehlt
- Datei existiert nicht
- Reverse Proxy leitet falsch weiter
- Anwendung erwartet anderen Basis-Pfad
- Tippfehler im Link

Merksatz:

404 heißt:
Unter diesem Pfad wurde nichts gefunden.

500 bei der Fehlersuche

500 bedeutet:

interner Serverfehler.

Mögliche Ursachen:

- Fehler in der Anwendung
- Datenbank nicht erreichbar
- Konfigurationsfehler
- fehlende Rechte
- Programmfehler
- Speicherproblem
- Abhängigkeit nicht verfügbar

Merksatz:

500 ist meist ein Problem der Anwendung oder des Servers.

502, 503 und 504 bei Reverse Proxys

Diese Fehler treten häufig bei Reverse Proxys auf.

Statuscode typische Bedeutung
502 Proxy bekommt keine gültige Antwort vom Backend
503 Dienst aktuell nicht verfügbar
504 Gateway wartet zu lange auf Backend

Typische Ursachen:

- Backend läuft nicht
- falscher Backend-Port
- falsches Protokoll zum Backend
- Backend überlastet
- Timeout
- falscher Container-Name
- internes DNS-Problem
- Firewall blockiert intern

Merksatz:

Bei 502, 503 und 504 Proxy und Backend prüfen.

API-Fehler auf Schicht 7

APIs haben typische Fehlerquellen.

Prüfpunkte:

- richtige URL?
- richtige HTTP-Methode?
- richtiger Content-Type?
- gültiges JSON?
- Authorization-Header vorhanden?
- Token gültig?
- Berechtigung vorhanden?
- API-Version korrekt?
- Rate Limit erreicht?
- Pflichtfelder vorhanden?

Typische Fehler:

400 Bad Request
401 Unauthorized
403 Forbidden
404 Not Found
405 Method Not Allowed
429 Too Many Requests
500 Internal Server Error

Merksatz:

API-Fehler mit Methode,
Header,
Body,
Token
und Statuscode prüfen.

Datenformatfehler

Schicht 7 ist oft eng mit Schicht 6 verbunden.

Fehler können entstehen durch:

- ungültiges JSON
- ungültiges XML
- falscher Content-Type
- falsche Zeichencodierung
- fehlende Pflichtfelder
- falsches Datumsformat
- falscher Dezimaltrenner
- falsche Groß- und Kleinschreibung
- unerwartete Sonderzeichen

Merksatz:

Anwendung versteht Daten nur,
wenn Format und Inhalt passen.

Authentifizierungsfehler

Authentifizierung prüft:

Wer bist du?

Typische Fehler:

- falscher Benutzername
- falsches Passwort
- Konto gesperrt
- Konto deaktiviert
- Passwort abgelaufen
- MFA fehlt
- Token ungültig
- Zertifikat ungültig
- falscher Identity Provider
- Zeitabweichung

Merksatz:

Loginfehler sind nicht immer nur Passwortfehler.

Autorisierungsfehler

Autorisierung prüft:

Was darfst du?

Typische Fehler:

- Benutzer nicht in richtiger Gruppe
- Rolle fehlt
- Berechtigung fehlt
- Freigaberecht fehlt
- Dateisystemrecht fehlt
- API-Scope fehlt
- Richtlinie blockiert
- Mandant falsch
- alte Session enthält alte Rechte

Merksatz:

Zugriff verweigert bedeutet:
Rechte prüfen.

Session-Fehler

Sessions verbinden mehrere Anfragen zu einer Sitzung.

Typische Fehlerbilder:

Benutzer wird ständig ausgeloggt.
Login-Schleife.
Warenkorb wird vergessen.
Session läuft sofort ab.
Benutzer sieht falschen Zustand.
Zugriff funktioniert nur in einem Browser.

Mögliche Ursachen:

- Cookie wird blockiert
- Cookie-Domain falsch
- Cookie-Pfad falsch
- SameSite-Problem
- Secure-Flag fehlt oder passt nicht
- Zeitabweichung
- Session-Speicher gestört
- Load Balancer ohne Session-Stickiness

Merksatz:

Login-Schleifen sind oft Cookie- oder Session-Probleme.

TLS- und Zertifikatsfehler

Auch wenn TLS eher Schicht 6 zugeordnet wird, wirkt es stark auf Schicht 7.

Typische Fehler:

- Zertifikat abgelaufen
- Name passt nicht
- CA nicht vertrauenswürdig
- Zwischenzertifikat fehlt
- falsche Systemzeit
- TLS-Version zu alt
- Cipher Suite passt nicht
- Reverse Proxy liefert falsches Zertifikat

Merksatz:

HTTPS-Probleme immer mit Zertifikat,
Name
und Zeit prüfen.

Mailprobleme auf Schicht 7

E-Mail nutzt mehrere Anwendungsschichtprotokolle.

Typische Fehlerbilder:

Mail kann nicht gesendet werden.
Mail kann nicht empfangen werden.
Mail landet im Spam.
Mail kommt verzögert an.
Mailclient kann sich nicht anmelden.
Zertifikatswarnung im Mailclient.
NDR wird erzeugt.

Prüfpunkte:

SMTP
IMAP
POP3
MX
SPF
DKIM
DMARC
TLS
Authentifizierung
Spamfilter
Postfachgröße
Mailserver-Logs

Merksatz:

Mailfehler mit Protokoll,
DNS,
Authentifizierung
und Logs prüfen.

SMB-Fehler auf Schicht 7

SMB wird für Datei- und Druckerfreigaben genutzt.

Typische Fehler:

Freigabe nicht erreichbar.
Zugriff verweigert.
Netzlaufwerk verbindet nicht.
Datei kann nicht gespeichert werden.
Datei ist gesperrt.
Benutzer sieht Freigabe nicht.

Prüfpunkte:

DNS-Name
TCP 445
SMB-Dienst
Freigabename
Benutzerkonto
Gruppe
Freigaberecht
Dateisystemrecht
gespeicherte Anmeldedaten
SMB-Version

Merksatz:

SMB-Fehler oft mit Name,
Port,
Anmeldung
und Rechten prüfen.

LDAP-Fehler auf Schicht 7

LDAP wird für Verzeichnisdienste genutzt.

Typische Fehler:

Benutzer wird nicht gefunden.
Anmeldung schlägt fehl.
Gruppen werden nicht erkannt.
Anwendung kann LDAP nicht verbinden.
LDAPS-Zertifikat wird abgelehnt.

Prüfpunkte:

LDAP-Server
Port 389 oder 636
Base-DN
Bind-Benutzer
Passwort
Suchfilter
Gruppenpfad
Zertifikat bei LDAPS
Firewall
DNS

Merksatz:

LDAP-Fehler mit Bind,
Base-DN,
Filter
und Zertifikat prüfen.

SNMP-Fehler auf Schicht 7

SNMP wird für Monitoring genutzt.

Typische Fehler:

Gerät wird als down angezeigt.
Werte werden nicht gelesen.
Interface-Daten fehlen.
Traps kommen nicht an.
Monitoring zeigt falsche Werte.

Prüfpunkte:

SNMP-Agent aktiv?
richtige SNMP-Version?
Community-String korrekt?
SNMPv3-Benutzer korrekt?
UDP 161 erlaubt?
UDP 162 für Traps erlaubt?
OID vorhanden?
MIB korrekt?
Zugriff vom Monitoring-Server erlaubt?

Merksatz:

SNMP-Fehler mit Version,
Zugangsdaten,
Port
und OID prüfen.

NTP-Fehler auf Schicht 7

NTP synchronisiert Zeit.

Typische Fehlerbilder:

Systemzeit falsch.
Zertifikate wirken ungültig.
Kerberos-Anmeldung schlägt fehl.
Logs passen zeitlich nicht zusammen.
Monitoring-Zeitstempel stimmen nicht.

Prüfpunkte:

NTP-Server erreichbar?
UDP 123 erlaubt?
DNS-Name des Zeitservers korrekt?
Zeitzone korrekt?
Zeitquelle vertrauenswürdig?
Zeitabweichung zu groß?
VM-Zeitquelle korrekt?

Merksatz:

Falsche Zeit kann viele scheinbar andere Fehler verursachen.

SSH-Fehler auf Schicht 7

SSH dient sicherem Fernzugriff.

Typische Fehler:

Timeout
Connection refused
Permission denied
Host-Key-Warnung
falscher Schlüssel
Benutzer darf nicht anmelden
Dienst läuft nicht

Prüfpunkte:

TCP 22 erreichbar?
SSH-Dienst aktiv?
richtiger Benutzer?
richtiger Schlüssel?
richtige Dateirechte?
Host-Key plausibel?
Firewall erlaubt Zugriff?
Loginmethode erlaubt?

Merksatz:

SSH-Fehler mit Port,
Dienst,
Benutzer,
Schlüssel
und Host-Key prüfen.

RDP-Fehler auf Schicht 7

RDP dient grafischem Fernzugriff.

Typische Fehler:

Verbindung nicht möglich.
Anmeldung abgelehnt.
RDP ist langsam.
Sitzung wird getrennt.
NLA-Fehler.
Benutzer hat keine Berechtigung.

Prüfpunkte:

TCP 3389 erreichbar?
Remote Desktop aktiviert?
Benutzer berechtigt?
NLA kompatibel?
VPN verbunden?
Firewall erlaubt Zugriff?
Konto gesperrt?
Server überlastet?

Merksatz:

RDP-Fehler mit Verbindung,
Anmeldung,
Berechtigung
und Richtlinien prüfen.

DHCP-Fehler auf Schicht 7

DHCP ist ein Anwendungsschichtprotokoll, liefert aber Schicht-3-Konfiguration.

Typische Fehler:

Client bekommt keine IP.
Client bekommt falsche IP.
Client bekommt 169.254.x.x.
Gateway ist falsch.
DNS ist falsch.
Manche VLANs funktionieren nicht.

Prüfpunkte:

DHCP-Server aktiv?
DHCP-Scope vorhanden?
Adressen frei?
DHCP-Relay korrekt?
VLAN korrekt?
UDP 67/68 erlaubt?
Rogue-DHCP vorhanden?
DHCP-Optionen korrekt?

Merksatz:

DHCP-Fehler mit VLAN,
Scope,
Relay
und Optionen prüfen.

Logs sind auf Schicht 7 besonders wichtig

Auf Schicht 7 liefern Logs oft die beste Information.

Wichtige Logs:

- Webserver-Logs
- Anwendungslogs
- Authentifizierungslogs
- Mailserver-Logs
- DNS-Logs
- DHCP-Logs
- LDAP-Logs
- Reverse-Proxy-Logs
- Firewall-Logs
- Monitoring-Logs
- Systemlogs

Logs zeigen oft:

- Statuscode
- Fehlermeldung
- Benutzer
- Zeit
- Quelle
- Ziel
- Pfad
- angefragte Ressource
- Authentifizierungsgrund
- Backend-Fehler

Merksatz:

Ohne Logs bleibt Schicht-7-Fehlersuche oft ungenau.

Fehlermeldungen richtig lesen

Fehlermeldungen liefern wichtige Hinweise.

Beispiele:

Meldung mögliche Bedeutung
Unauthorized nicht angemeldet oder Token ungültig
Forbidden keine Berechtigung
Not Found Ressource oder Pfad fehlt
Bad Gateway Proxy erreicht Backend nicht sauber
Connection refused Dienst nimmt Verbindung nicht an
Timeout keine Antwort innerhalb der Zeit
Invalid credentials Zugangsdaten falsch
Certificate expired Zertifikat abgelaufen
Name mismatch Zertifikat passt nicht zum Namen

Merksatz:

Fehlermeldung nicht ignorieren,
sondern technisch einordnen.

Fehler nur bei einem Benutzer

Wenn ein Problem nur bei einem Benutzer auftritt, prüft man eher:

- Benutzerkonto
- Passwort
- MFA
- Gruppenmitgliedschaften
- Rollen
- Berechtigungen
- Session
- gespeicherte Anmeldedaten
- Clientprofil
- Browsercache
- lokale Einstellungen

Merksatz:

Einzelner Benutzer betroffen:
Konto und Rechte prüfen.

Fehler bei allen Benutzern

Wenn alle Benutzer betroffen sind, prüft man eher:

- Dienst läuft?
- Server erreichbar?
- DNS korrekt?
- Zertifikat gültig?
- Datenbank erreichbar?
- Backend verfügbar?
- zentrale Authentifizierung erreichbar?
- Reverse Proxy korrekt?
- Lizenz oder Ressourcenproblem?
- allgemeine Störung?

Merksatz:

Alle betroffen:
Dienst, Server oder zentrale Infrastruktur prüfen.

Fehler nur intern oder nur extern

Wenn ein Dienst intern funktioniert, extern aber nicht, prüft man:

- externes DNS
- Firewall
- NAT
- Reverse Proxy
- Zertifikat
- öffentliche IP
- Portweiterleitung
- Geo- oder Zugriffsbeschränkung

Wenn ein Dienst extern funktioniert, intern aber nicht, prüft man:

- internes DNS
- Split DNS
- Hairpin NAT
- interne Firewall
- Proxy-Einstellungen
- Routing intern
- Zertifikat und Hostname intern

Merksatz:

Intern und extern getrennt prüfen.

Fehler nur in einem Browser

Mögliche Ursachen:

- Browsercache
- Cookies
- gespeicherte Zugangsdaten
- Erweiterungen
- CORS-Verhalten
- alte Session
- Zertifikatsspeicher
- Proxy-Einstellungen
- HSTS-Eintrag

Merksatz:

Browserabhängige Fehler oft mit Cache,
Cookies
und Erweiterungen prüfen.

Fehler nur auf einem Client

Mögliche Ursachen:

- falsche DNS-Einstellung
- falsche Systemzeit
- veraltetes Zertifikat
- lokale Firewall
- Proxy-Einstellung
- VPN aktiv oder inaktiv
- falsche gespeicherte Anmeldedaten
- veraltete Anwendung
- defektes Profil

Merksatz:

Einzelner Client betroffen:
lokale Einstellungen prüfen.

Fehler nach Änderung

Nach Änderungen prüft man zuerst, was geändert wurde.

Beispiele:

DNS geändert
Zertifikat erneuert
Passwort geändert
Gruppe geändert
Firewall angepasst
Anwendung aktualisiert
Reverse Proxy geändert
Datenbank verschoben
Container neu gestartet
Port geändert
Lizenz geändert

Merksatz:

Nach Änderung zuerst Änderung prüfen.

Systematische Schicht-7-Fehlersuche

Eine sinnvolle Reihenfolge:

1. Fehlermeldung genau lesen.
2. Betroffene Benutzer und Systeme eingrenzen.
3. Dienst und Protokoll bestimmen.
4. DNS und Hostname prüfen.
5. IP-Erreichbarkeit prüfen.
6. Port prüfen.
7. TLS oder Zertifikat prüfen.
8. Anwendung oder Dienst prüfen.
9. Anmeldung prüfen.
10. Berechtigung prüfen.
11. Datenformat oder Anfrage prüfen.
12. Logs prüfen.
13. letzte Änderungen prüfen.

Merksatz:

Erst eingrenzen,
dann Schicht für Schicht prüfen.

Typische Werkzeuge

Werkzeug Zweck
Browser-Entwicklertools HTTP-Status, Header, Cookies, Netzwerk
curl HTTP/API testen
nslookup DNS einfach prüfen
dig DNS detailliert prüfen
ping IP-Erreichbarkeit grob prüfen
traceroute / tracert Weg zum Ziel prüfen
telnet / nc TCP-Port testen
openssl s_client TLS-Zertifikat prüfen
ssh -v SSH-Verbindung detailliert prüfen
Ereignisanzeige Windows-Logs prüfen
journalctl Linux-Systemlogs prüfen
Webserver-Logs HTTP-Anfragen prüfen
Mailserver-Logs E-Mail-Zustellung prüfen

Merksatz:

Das richtige Werkzeug hängt vom Dienst ab.

curl für Webfehler

curl kann HTTP-Antworten prüfen.

Typische Prüfpunkte:

- Statuscode
- Header
- Weiterleitung
- TLS-Fehler
- Antwortinhalt
- API-Antwort

Beispielgedanke:

Was antwortet der Server wirklich?

Merksatz:

curl zeigt,
was ein Webdienst tatsächlich zurückgibt.

Browser-Entwicklertools

Browser-Entwicklertools helfen bei Webproblemen.

Sie zeigen unter anderem:

- HTTP-Requests
- HTTP-Responses
- Statuscodes
- Header
- Cookies
- Ladezeiten
- CORS-Fehler
- JavaScript-Fehler
- blockierte Inhalte

Merksatz:

Browser-Entwicklertools sind wichtig für Web-Schicht-7-Fehler.

openssl s_client

Mit openssl s_client kann man TLS-Verbindungen prüfen.

Typische Informationen:

- Zertifikat
- Zertifikatskette
- TLS-Version
- Cipher
- Name und Zertifikat
- Ablaufdatum

Besonders hilfreich bei:

- HTTPS
- LDAPS
- IMAPS
- SMTPS
- POP3S

Merksatz:

TLS-Probleme mit Zertifikat und Kette prüfen.

Paketmitschnitt auf Schicht 7

Ein Paketmitschnitt kann helfen, wenn Logs nicht ausreichen.

Man kann sehen:

- DNS-Anfragen
- DHCP-DORA
- TCP-Verbindungsaufbau
- TLS-Handshake
- unverschlüsselte Protokollinhalte
- Fehlercodes
- Wiederholungen
- Timeouts

Wichtig:

Bei verschlüsselten Verbindungen sieht man Inhalte nicht einfach im Klartext.

Merksatz:

Mitschnitt zeigt Verkehr,
aber TLS schützt Inhalte.

Schicht-7-Fehler und Sicherheit

Viele Schicht-7-Fehler haben Sicherheitsbezug.

Beispiele:

- falsche Rechte
- schwache Authentifizierung
- unsichere Cookies
- offene Adminbereiche
- veraltete Webanwendung
- unsicheres FTP
- Telnet statt SSH
- fehlende MFA
- falsche CORS-Konfiguration
- Tokens in URLs
- zu genaue Fehlermeldungen

Merksatz:

Anwendungsschicht ist häufig Angriffsziel.

Was Schicht-7-Fehlersuche nicht ersetzt

Schicht-7-Fehlersuche ersetzt nicht:

- Prüfung der Verkabelung
- VLAN-Prüfung
- Routing-Prüfung
- Firewall-Prüfung
- Portprüfung
- Zertifikatsprüfung
- Berechtigungskonzept
- Sicherheitskonzept
- Backup-Konzept
- Monitoring

Sie ergänzt diese Prüfungen.

Merksatz:

Schicht 7 ist nur ein Teil der gesamten Fehlersuche.

Typische IHK-Fragen

In AP1 und AP2 kann zum Beispiel gefragt werden:

- Warum reicht ein erfolgreicher Ping nicht aus?
- Warum reicht ein offener Port nicht aus?
- Was prüft man bei HTTP 404?
- Was prüft man bei HTTP 500?
- Was bedeutet HTTP 401?
- Was bedeutet HTTP 403?
- Warum kann ein DNS-Fehler wie ein Internetproblem wirken?
- Warum kann ein falsches Zertifikat durch DNS entstehen?
- Wie grenzt man Anmeldeprobleme ein?
- Wie grenzt man Berechtigungsprobleme ein?
- Warum sind Logs bei Schicht-7-Problemen wichtig?
- Welche Rolle spielt der Reverse Proxy bei Webfehlern?
- Warum kann ein Dienst trotz erreichbarem Server nicht funktionieren?

Typische Prüfungsfallen

Ping prüft nicht die Anwendung.

Offener Port heißt nicht,
dass der Dienst korrekt funktioniert.

HTTP-Statuscodes gehören zur Anwendungsschicht.

401 bedeutet nicht authentifiziert.

403 bedeutet nicht berechtigt.

404 bedeutet Ressource nicht gefunden.

500 bedeutet interner Serverfehler.

502 deutet oft auf Proxy-Backend-Problem.

DNS gehört zu Schicht 7.

DHCP gehört zu Schicht 7,
auch wenn es IP-Konfiguration verteilt.

Mailprobleme sind oft DNS-, TLS- oder Spamfilterprobleme.

SMB-Probleme sind oft Rechte- oder Anmeldeprobleme.

LDAP-Probleme sind oft Base-DN-, Bind- oder Filterprobleme.

NTP-Probleme können Zertifikats- und Loginfehler verursachen.

Schicht 7 braucht Logs.

Wichtige Begriffe kurz erklärt

Begriff Kurze Erklärung
Schicht-7-Fehler Fehler im Dienst oder Anwendungsprotokoll
Dienst bereitgestellte Netzwerkfunktion
Statuscode Antwortcode eines Protokolls
HTTP 401 nicht authentifiziert
HTTP 403 nicht berechtigt
HTTP 404 Ressource nicht gefunden
HTTP 500 interner Serverfehler
HTTP 502 Bad Gateway
Backend interner Ziel-Dienst
Reverse Proxy vorgelagerter Webserver
Authentifizierung Identität prüfen
Autorisierung Rechte prüfen
Session Sitzung zwischen Client und Anwendung
Token digitaler Zugriffsnachweis
Log Protokolldatei mit Ereignissen
API Schnittstelle zwischen Anwendungen
Content-Type Datenformat im HTTP-Body
DNS-Cache zwischengespeicherte DNS-Antwort

IHK-sichere Kurzformulierung

Fehlersuche auf OSI-Schicht 7 betrifft die Anwendungsschicht und damit konkrete Dienste und Protokolle wie HTTP, DNS, DHCP, SMTP, SMB, LDAP, SNMP, NTP, SSH, RDP und APIs. Dabei reicht es nicht aus, nur IP-Erreichbarkeit oder offene Ports zu prüfen. Ein Dienst kann trotz erreichbarem Server und offenem Port fehlerhaft antworten. Deshalb prüft man auf Schicht 7 insbesondere Dienststatus, Protokoll, Hostname, URL, HTTP-Statuscodes, Anmeldung, Berechtigungen, Datenformat, Zertifikate, Reverse Proxy, Backend und Logs. Schicht-7-Fehler zeigen sich häufig als falsche DNS-Antworten, HTTP-Fehler, Loginprobleme, Zugriff verweigert, Mailprobleme oder fehlerhafte API-Antworten.

Merksätze

Schicht 7 = Anwendungsschicht.

Schicht 7 prüft den konkreten Dienst.

Ping prüft nicht die Anwendung.

Offener Port heißt nicht:
Anwendung funktioniert.

Dienst läuft nicht immer,
nur weil Server erreichbar ist.

Falsches Protokoll erzeugt Fehler.

Falscher Hostname kann falsches Zertifikat liefern.

DNS-Probleme sind Schicht-7-Probleme.

HTTP-Statuscodes helfen bei Webfehlern.

401 = nicht authentifiziert.

403 = nicht berechtigt.

404 = nicht gefunden.

500 = interner Serverfehler.

502 = Proxy-Backend-Problem.

503 = Dienst nicht verfügbar.

504 = Gateway Timeout.

API-Fehler mit Methode,
Header,
Body
und Token prüfen.

Loginfehler = Authentifizierung prüfen.

Zugriff verweigert = Autorisierung prüfen.

Login-Schleife = Session und Cookies prüfen.

Mailfehler mit DNS,
SMTP,
IMAP,
TLS
und Spamfilter prüfen.

SMB-Fehler mit Name,
Port,
Anmeldung
und Rechten prüfen.

LDAP-Fehler mit Bind,
Base-DN
und Filter prüfen.

SNMP-Fehler mit Version,
Zugangsdaten
und OID prüfen.

NTP-Fehler können viele Folgefehler erzeugen.

Logs sind bei Schicht 7 besonders wichtig.

Erst eingrenzen,
dann Schicht für Schicht prüfen.
Back to top