EuraStudy
Notizen/Informatik/INF-Net - Netzwerke und Internet
AT · Matura

INF-Net - Netzwerke und Internet

Vom Schichtenmodell über IP, TCP und DNS bis HTTPS und REST. Netzwerktechnik ist die Voraussetzung jeder modernen Anwendung.

6 Abschnitte·~22 Min Lesezeit·5 Kompetenzen·Stand 06/2026

T·0555 / 12
Prüfungsprofil
INF-Net-1 · OSI und TCP/IP Schichtenmodell vergleichenINF-Net-2 · IP-Adressierung und Subnetting beherrschenINF-Net-3 · Wichtige Anwendungsprotokolle (DNS, HTTP, HTTPS) erklärenINF-Net-4 · REST APIs und Webservices verstehenINF-Net-5 · WLAN, Router und Heimnetz konfigurieren und absichern
Tiefe

Lesetiefe: Vertiefung

Schrift

Schriftgröße: Standard · Zeilenabstand: Kompakt

Medien immer laden: aus

Inhalt · 6 Abschnitte▾
  1. INF-Net - Netzwerke und Internet
    • 01OSI- und TCP/IP-Schichtenmodell○
    • 02IP-Adressierung und Subnetting◐
    • 03DNS, HTTP/HTTPS und REST APIs◐
    • 04WLAN, Router und Heimnetz○
    • 05Routing, NAT und IPv6◐
    • 06Netzwerksicherheit - Firewall, VPN und TLS●

6 Abschnitte · 30 Merksätze · 2 Formeln · 30 Fehlerwarnungen

§ 01
§ 01

OSI- und TCP/IP-Schichtenmodell#

~3 Min Lesezeit●○○BasisLPINF-Net-1.1

Kernpunkte

Netzwerkkommunikation ist hochkomplex - vom elektrischen Signal bis zur fertigen Webseite. Um das beherrschbar zu machen, zerlegt man sie in Schichten, von denen jede eine klar abgegrenzte Aufgabe hat und nur mit ihren Nachbarn spricht. Zwei Modelle prägen die Praxis ().

OSI-Modell (7 Schichten) vs. TCP/IP (4 Schichten)

OSI (7 Schichten) vs. TCP/IP (4 Schichten)Tabelle mit 3 Spalten und 7 Zeilen, Daten: OSI-Schicht · TCP/IP · Beispiele; 7 Anwendung · Anwendung · HTTP, DNS, SMTP; 6 Darstellung · Anwendung · TLS, Codierung; 5 Sitzung · Anwendung · Sessions, RPC; 4 Transport · Transport · TCP, UDP; 3 Vermittlung · Internet · IP, ICMP; 2 Sicherung · Netzzugang · Ethernet, MAC; 1 Bitübertragung · Netzzugang · Kabel, WLANOSI-SchichtTCP/IPBeispiele7 AnwendungAnwendungHTTP, DNS, SMTP6 DarstellungAnwendungTLS, Codierung5 SitzungAnwendungSessions, RPC4 TransportTransportTCP, UDP3 VermittlungInternetIP, ICMP2 SicherungNetzzugangEthernet, MAC1 BitübertragungNetzzugangKabel, WLAN
Abb. 1Das OSI-Modell ist das Referenzmodell, TCP/IP das Implementierungsmodell des Internets; die OSI-Schichten 5-7 entsprechen zusammen der TCP/IP-Anwendungsschicht. Eselsbrücke (7 nach 1): „Alle Deutschen Schüler trinken viele saure Bier".
Abb. 1 ↓
Das OSI-Modell beschreibt 7 Schichten: (1) Bitübertragung, (2) Sicherung, (3) Vermittlung, (4) Transport, (5) Sitzung, (6) Darstellung, (7) Anwendung. Eselsbrücke von 7 nach 1: „Alle Deutschen Studenten trinken verschiedene Sorten Bier" - die genaue Reihenfolge ist Prüfungsstoff.
Das TCP/IP-Modell ist die praktische Implementierung des Internets und fasst auf 4 Schichten zusammen: Netzzugang (OSI 1-2), Internet (OSI 3), Transport (OSI 4) und Anwendung (OSI 5-7). Es ist gröber, aber genau das, was real auf jedem Rechner läuft.
Jede Schicht trägt charakteristische Protokolle: HTTP/SMTP/DNS auf Schicht 7, TLS auf 5/6, TCP/UDP auf 4 (Transport), IP auf 3 (Vermittlung), Ethernet/WLAN auf 2 (Sicherung) und Kupfer/Glasfaser auf 1. Merke: IP gehört auf Schicht 3, nicht 4; TLS auf 5/6, nicht auf den Transport.
Das tragende Prinzip ist die Kapselung (Encapsulation): Jede Schicht packt die Daten der darüberliegenden in einen eigenen „Umschlag" mit Header (und ggf. Footer) und reicht sie nach unten; beim Empfänger werden die Umschläge schichtweise wieder geöffnet. Eine HTTP-Antwort wird so nacheinander in TCP-, IP- und Ethernet-Header verpackt (siehe Beispiel).
Der Gewinn der Schichtung ist Trennung der Verantwortung und Austauschbarkeit: Man kann WLAN statt Ethernet (Schicht 2) oder IPv6 statt IPv4 (Schicht 3) einsetzen, ohne dass HTTP davon etwas merkt. Häufige Fehler: Schichten in falscher Reihenfolge nennen, IP der Transportschicht zuordnen, oder TLS dem Transport statt der Darstellung/Sitzung.

Vokabeln

→ Kartei
  • OSI-ModellSiebenschichtiges Referenzmodell der Netzwerkkommunikation.
  • KapselungEinpacken der Daten mit einem Kopf je Schicht.
  • ProtokollVereinbarung über Format und Ablauf der Kommunikation.
  • TCPVerbindungsorientiertes Transportprotokoll mit Bestätigung und Reihenfolgesicherung.
  • UDPVerbindungsloses Transportprotokoll ohne Zustellgarantie; schnell und schlank.
  • MAC-AdresseWeltweit eindeutige Hardwareadresse einer Netzwerkschnittstelle.
Wiedergabe lädt Inhalte von YouTube (Google).Auf YouTube öffnen ↗
Musterbeispiel

Kapselung einer HTTP-Antwort

Eine HTTP-Antwort wird auf dem Weg zum Empfänger gekapselt - in welche Header?

  1. 01Schicht 7

    HTTP-Header (Status, Content-Type) und Body.

  2. 02Schicht 4 (TCP)

    TCP-Header mit Source/Destination Port, Sequence, ACK, Flags.

  3. Schicht 3 (IP)

    IP-Header mit Source/Destination IP, TTL.

  4. 04Schicht 2 (Ethernet)

    Ethernet-Frame mit Source/Destination MAC, Prüfsumme.

  5. 05Schicht 1

    Bits über Kupfer/Glas/Funkwelle.

Ergebnis: Jede Schicht hängt ihre Steuerdaten an; beim Empfänger werden sie schichtweise wieder entfernt.

Schritt-für-Schritt Erklärung3 Schritte
  1. 1

    OSI ist die akademische Sicht in 7 Schichten, TCP/IP ist die praktische Implementation in 4 Schichten.

    OSI-Modell (7 Schichten) vs. TCP/IP (4 Schichten)

    OSI (7 Schichten) vs. TCP/IP (4 Schichten)Tabelle mit 3 Spalten und 7 Zeilen, Daten: OSI-Schicht · TCP/IP · Beispiele; 7 Anwendung · Anwendung · HTTP, DNS, SMTP; 6 Darstellung · Anwendung · TLS, Codierung; 5 Sitzung · Anwendung · Sessions, RPC; 4 Transport · Transport · TCP, UDP; 3 Vermittlung · Internet · IP, ICMP; 2 Sicherung · Netzzugang · Ethernet, MAC; 1 Bitübertragung · Netzzugang · Kabel, WLANOSI-SchichtTCP/IPBeispiele7 AnwendungAnwendungHTTP, DNS, SMTP6 DarstellungAnwendungTLS, Codierung5 SitzungAnwendungSessions, RPC4 TransportTransportTCP, UDP3 VermittlungInternetIP, ICMP2 SicherungNetzzugangEthernet, MAC1 BitübertragungNetzzugangKabel, WLAN
    Abb.Das OSI-Modell ist das Referenzmodell, TCP/IP das Implementierungsmodell des Internets; die OSI-Schichten 5-7 entsprechen zusammen der TCP/IP-Anwendungsschicht. Eselsbrücke (7 nach 1): „Alle Deutschen Schüler trinken viele saure Bier".
  2. 2

    Jedes Schichtenmodell folgt dem Prinzip Encapsulation: niedrigere Schichten wissen nicht, was sie transportieren.

  3. 3

    Die Schichten sind austauschbar - WLAN ersetzt Ethernet, ohne dass HTTP es merkt.

SRDP-Aufgaben

SelbsttestAus der Fragenbank7 Punkte

Aufgabenstellung

Erkläre das OSI-Schichtenmodell. Welche Aufgaben übernehmen die einzelnen Schichten? Vergleiche kurz mit dem TCP/IP-Modell.

Maturafokus

  • Nenne alle sieben OSI-Schichten in richtiger Reihenfolge mit je einem Beispielprotokoll.
  • Ordne das TCP/IP-Modell zu: vier Schichten, die die sieben OSI-Schichten zusammenfassen.
  • Erkläre die Kapselung als geschachtelte Umschläge - jede Schicht ergänzt ihren eigenen Kopf.
  • Ordne die Protokolle richtig ein: IP auf der Vermittlungsschicht, TCP und UDP auf der Transportschicht, HTTP auf der Anwendungsschicht.
  • Vergleiche TCP und UDP: verbindungsorientiert und gesichert gegen verbindungslos und schnell.

Typische Fehler

  • Die Schichten werden in falscher Reihenfolge oder mit vertauschten Nummern genannt.
  • TLS wird der Transportschicht zugeordnet; im OSI-Modell liegt es oberhalb, im TCP/IP-Modell in der Anwendungsschicht.
  • IP wird der Transportschicht zugeordnet; es gehört zur Vermittlungs- bzw. Internetschicht.
  • Kapselung wird als Verschlüsselung missverstanden; sie ist reine Verpackung.
  • MAC-Adresse und IP-Adresse werden vermengt; die eine ist geräte-, die andere netzbezogen.

§ 01

Aktive Wiederholung

Ordne folgende Protokolle der OSI-Schicht zu: DHCP, ARP, BGP, IMAP, FTP, HTTPS, SSH, ICMP.

Passende Aufgaben üben50 Fragen zum Thema→

Aktiv abrufen

Erinnere dich an die Kernpunkte — dann aufdecken.

Quellen: Tanenbaum, Wetherall: Computer Networks, 6. Auflage (Pearson) · ISO/IEC 7498-1 - OSI Reference Model (ISO)

§ 02
§ 02

IP-Adressierung und Subnetting#

~3 Min Lesezeit●●○StandardLPINF-Net-2.1

Kernpunkte

Eine IP-Adresse identifiziert einen Netzwerkanschluss auf Schicht 3. IPv4 nutzt 32 Bit, geschrieben als vier Dezimaloktette (z. B. 192.168.0.1). Damit Router wissen, welcher Teil das Netz und welcher den Host bezeichnet, braucht es die Subnetzmaske.
Die CIDR-Notation `/n` gibt die Zahl der Netzbits an: `/24` bedeutet 24 Netzbits und 32−24=832-24=832−24=8 Hostbits. Die zugehörige Subnetzmaske hat genau diese nnn Einsen, gefolgt von Nullen - `/24` === 255.255.255.0 ( listet die gängigen Präfixe).

IPv4-Präfixe und Hostzahlen

IPv4-PräfixeTabelle mit 4 Spalten und 6 Zeilen, Daten: CIDR · Subnetzmaske · Hostbits · nutzbare Hosts; /24 · 255.255.255.0 · 8 · 254; /25 · 255.255.255.128 · 7 · 126; /26 · 255.255.255.192 · 6 · 62; /27 · 255.255.255.224 · 5 · 30; /28 · 255.255.255.240 · 4 · 14; /30 · 255.255.255.252 · 2 · 2CIDRSubnetzmaskeHostbitsnutzbare Hosts/24255.255.255.08254/25255.255.255.1287126/26255.255.255.192662/27255.255.255.224530/28255.255.255.240414/30255.255.255.25222
Abb. 2Je länger das CIDR-Präfix, desto kleiner das Subnetz; nutzbar sind stets 2k−22^{k}-22k−2 Hosts.
Abb. 2 ↓
Pro Subnetz mit kkk Hostbits gibt es 2k−22^{k}-22k−2 nutzbare Hostadressen: Die erste Adresse ist die Netzadresse (alle Hostbits 0), die letzte die Broadcast-Adresse (alle Hostbits 1) - beide sind reserviert. Bei `/26` (6 Hostbits) also 26−2=622^{6}-2 = 6226−2=62 Hosts (siehe Beispiel).
Netzadresse und Broadcast berechnet man durch bitweises UND von IP und Maske (Netz) bzw. Setzen aller Hostbits (Broadcast). Praktischer Trick: Die „Blockgröße" im letzten Oktett ist 256−Maskenwert256 - \text{Maskenwert}256−Maskenwert; bei `/26` (Maske 192) ist sie 64, die Netzgrenzen liegen also bei .0, .64, .128 und .192.
Drei Bereiche sind nach RFC 1918 privat und im Internet nicht routbar: `10.0.0.0/8`, `172.16.0.0/12` und `192.168.0.0/16`. Heimnetze nutzen sie und lassen ihren Verkehr per NAT auf eine öffentliche Adresse übersetzen - eine Antwort auf die IPv4-Knappheit.
IPv6 löst die Knappheit grundlegend: 128-Bit-Adressen (z. B. `2001:db8::1`) ergeben praktisch unbegrenzt viele. Häufige Fehler: beim Hostzählen das −2-2−2 vergessen, das CIDR-Präfix mit den Hostbits verwechseln, oder IPv6-Adressen an den Doppelpunkten nicht als solche erkennen.

Vokabeln

→ Kartei
  • NetzadresseErste Adresse eines Subnetzes; alle Hostbits sind null.
  • BroadcastadresseLetzte Adresse eines Subnetzes; alle Hostbits sind eins.
  • CIDR-PräfixAnzahl der Netzbits, geschrieben als /n.
  • SubnetzmaskeBitmaske, die Netz- und Hostanteil trennt.
  • privater AdressbereichNach RFC 1918 reservierte Bereiche für interne Netze.
  • SubnettingAufteilung eines Netzes in kleinere Teilnetze.

Anzahl Hosts pro IPv4-Subnetz mit Präfix /n

Hosts nutzbar=2(32−n)−2\text{Hosts nutzbar} = 2^{(32 - n)} - 2Hosts nutzbar=2(32−n)−2

nnn ist die Zahl der Netzbits, 32−n32-n32−n die der Hostbits. Abgezogen werden die Netzadresse (alle Hostbits null) und die Broadcastadresse (alle Hostbits eins) - deshalb hat ein /24-Netz 254 und nicht 256 nutzbare Adressen.

Musterbeispiel

IPv4-Subnetting mit /26

Bestimme Netzadresse, Broadcast-Adresse und Anzahl Hosts für 192.168.10.45/26.

  1. 01Präfixlänge

    /26 = 26 Netzbits, 32 - 26 = 6 Hostbits.

  2. 02Subnetzmaske

    11111111.11111111.11111111.11000000 = 255.255.255.192.

  3. 03Netzadresse

    192.168.10.45 AND 255.255.255.192 = 192.168.10.0 (da 45 < 64).

  4. 04Broadcast

    192.168.10.0 + 2^6 - 1 = 192.168.10.63.

  5. 05Hostanzahl

    2^6 - 2 = 62 nutzbare Host-Adressen (Netz- und Broadcast abziehen).

Ergebnis: Netz 192.168.10.0/26, Broadcast 192.168.10.63, 62 Hosts. IP 192.168.10.45 liegt im Bereich.

Schritt-für-Schritt Erklärung3 Schritte
  1. 1

    Subnetting heißt, mit der Maske den Netzanteil von der Hostadresse zu trennen.

  2. 2

    Pro Subnetz gehen 2 Adressen für Netz- und Broadcast verloren.

  3. 3

    IPv6 löst die Adressknappheit - 2^128 Adressen reichen für jeden Sandkörner.

SRDP-Aufgaben

SelbsttestAus der Fragenbank7 Punkte

Aufgabenstellung

Erkläre die Aufgabe einer IP-Adresse und Subnetzmaske. Berechne für 172.16.20.130/27 die Netzadresse und Broadcast-Adresse.

Maturafokus

  • Berechne aus IP und CIDR-Präfix zuerst die Netzadresse (Hostbits null) und dann die Broadcastadresse (Hostbits eins).
  • Bestimme die Zahl nutzbarer Adressen als 2h−22^{h}-22h−2 mit hhh als Anzahl der Hostbits.
  • Merke die privaten Bereiche nach RFC 1918: 10.0.0.0/8, 172.16.0.0/12 und 192.168.0.0/16.
  • Rechne CIDR und Subnetzmaske ineinander um: /24 entspricht 255.255.255.0.
  • Erkenne IPv6 an der hexadezimalen Schreibweise mit Doppelpunkten.

Typische Fehler

  • Netz- und Broadcastadresse werden bei der Hostzahl nicht abgezogen.
  • Das CIDR-Präfix wird als Anzahl der HOSTBITS gelesen; es zählt die Netzbits.
  • IPv6-Adressen werden wegen der Doppelpunkte nicht als solche erkannt.
  • Die Subnetzmaske wird geraten statt aus dem Präfix berechnet.
  • Eine private Adresse wird als im Internet erreichbar angenommen; sie wird von Providern nicht geroutet.

§ 02

Aktive Wiederholung

Berechne für 10.0.5.130/28 die Netz-, Broadcast- und Anzahl nutzbarer Host-Adressen. In welchem Bereich liegt die IP?

Passende Aufgaben üben50 Fragen zum Thema→

Aktiv abrufen

Erinnere dich an die Kernpunkte — dann aufdecken.

Quellen: RFC 791 - Internet Protocol (IETF) · RFC 4291 - IPv6 Addressing Architecture (IETF)

§ 03
§ 03

DNS, HTTP/HTTPS und REST APIs#

~3 Min Lesezeit●●○StandardLPINF-Net-3.1LPINF-Net-4.1

Kernpunkte

Ruft man eine Webseite auf, greifen mehrere Protokolle ineinander - vom Namen zur Adresse, vom Verbindungsaufbau bis zur verschlüsselten Übertragung. Dieser Stapel ist Standard-Prüfungsstoff (siehe Beispiel; zeigt den TCP-Aufbau).

TCP Three-Way-Handshake

Client Server SYN seq=x SYN/ACK seq=y, ack=x+1 ACK ack=y+1 ESTABLISHED ESTABLISHED
Abb. 3SYN -> SYN/ACK -> ACK eröffnet eine verlässliche Verbindung.
Abb. 3 ↓
Das DNS (Domain Name System) übersetzt menschenlesbare Hostnamen in IP-Adressen über eine hierarchische verteilte Datenbank: Der Resolver fragt einen Root-Server (kennt die TLDs), dann den TLD-Server (`.at`), dann den autoritativen Server der Domain, der den A-Record (IPv4) bzw. AAAA-Record (IPv6) liefert. Antworten werden zwischengespeichert (Cache).
Bevor Daten fließen, baut TCP eine Verbindung über den Three-Way-Handshake auf: SYN → SYN/ACK → ACK (). Erst danach steht der zuverlässige, geordnete Bytestrom, auf dem HTTP aufsetzt.
HTTP ist textbasiert und zustandslos (jede Anfrage steht für sich): Methoden sind GET (lesen), POST (erzeugen), PUT (ersetzen), DELETE und PATCH; Statuscodes signalisieren das Ergebnis - 2xx Erfolg, 3xx Weiterleitung, 4xx Client-Fehler (404), 5xx Server-Fehler (500). HTTPS ist kein anderes Protokoll, sondern HTTP über TLS und garantiert Verschlüsselung, Integrität und Authentizität.
Eine REST-API nutzt HTTP konsequent ressourcenorientiert: Jede Ressource hat eine URL, und die HTTP-Methode bestimmt die Operation (GET zum Lesen, POST zum Anlegen, PUT/PATCH zum Ändern, DELETE zum Löschen). REST ist stateless - jede Anfrage trägt alle nötigen Informationen -, und JSON ist das De-facto-Datenformat (alternativ XML).
Häufige Fehler: HTTPS für ein eigenes Protokoll halten (es ist HTTP über TLS), GET für ändernde Aktionen verwenden (verstößt gegen die REST-/Idempotenz-Konvention), oder DNS und IP verwechseln. Für Aufgaben hilft die feste Reihenfolge DNS → TCP → TLS → HTTP.

Vokabeln

→ Kartei
  • DNSNamensauflösungsdienst; er übersetzt Domainnamen in IP-Adressen.
  • URLVollständige Adresse einer Ressource aus Schema, Host, Pfad und optionalen Teilen.
  • HTTP-MethodeVerb der Anfrage; es legt die Operation fest.
  • StatuscodeDreistellige Antwortkennung; ihre erste Ziffer nennt die Kategorie.
  • RESTArchitekturstil mit Ressourcen im Pfad und Operationen in der Methode.
  • IdempotenzEigenschaft, dass mehrfaches Ausführen denselben Zustand ergibt; gilt für GET, PUT und DELETE.
Musterbeispiel

HTTPS-Request: vom DNS bis zur Antwort

Was passiert, wenn ich `https://example.at/profil` im Browser eingebe?

  1. 01DNS

    Browser fragt Resolver -> DNS-Server: A-Record für `example.at` liefert IP 203.0.113.34 (Doku-Adressbereich nach RFC 5737).

  2. 02TCP-Handshake

    SYN -> SYN/ACK -> ACK zur IP, Port 443.

  3. 03TLS-Handshake

    ClientHello, ServerHello, Zertifikataustausch, Schlüsselableitung; ergibt symmetrischen Sitzungsschlüssel.

  4. 04HTTP-Request

    `GET /profil HTTP/1.1\nHost: example.at\nAccept: text/html`

  5. 05Response

    `HTTP/1.1 200 OK\nContent-Type: text/html\n...`

  6. 06Render

    Browser parst HTML, holt verlinkte Ressourcen (CSS, JS, Bilder).

Ergebnis: Eine einzige URL-Anforderung löst mindestens DNS-, TCP-, TLS- und HTTP-Schichten aus.

Schritt-für-Schritt Erklärung3 Schritte
  1. 1

    DNS ist das Telefonbuch des Internets - es macht aus Namen Nummern.

  2. 2

    HTTPS verschlüsselt den HTTP-Verkehr über TLS; das Zertifikat verbürgt die Identität des Servers.

    TCP Three-Way-Handshake

    Client Server SYN seq=x SYN/ACK seq=y, ack=x+1 ACK ack=y+1 ESTABLISHED ESTABLISHED
    Abb.SYN -> SYN/ACK -> ACK eröffnet eine verlässliche Verbindung.
  3. 3

    REST ist ein Stilprinzip, das HTTP konsequent ausnutzt - Ressourcen + Verben statt RPC-Funktionsaufrufe.

SRDP-Aufgaben

SelbsttestAus der Fragenbank7 Punkte

Aufgabenstellung

Erläutere REST als Architekturprinzip für Webservices. Welche HTTP-Methoden werden eingesetzt und warum?

Maturafokus

  • Zerlege eine vollständige URL in Schema, Host, Port, Pfad, Query und Fragment.
  • Nenne die Reihenfolge des Verbindungsaufbaus: DNS-Auflösung, TCP-Verbindung, TLS-Handshake, HTTP-Anfrage.
  • Ordne die HTTP-Methoden ihrer Bedeutung zu: GET liest, POST erzeugt, PUT ersetzt, DELETE entfernt.
  • Erkläre die REST-Konvention: Ressource im Pfad, Operation in der Methode - nicht umgekehrt.
  • Deute die Statuscodes nach Gruppen: 2xx Erfolg, 3xx Umleitung, 4xx Clientfehler, 5xx Serverfehler.

Typische Fehler

  • HTTPS wird als eigenes Protokoll beschrieben; es ist HTTP über eine TLS-gesicherte Verbindung.
  • GET wird für ändernde Aktionen verwendet; GET muss sicher und wiederholbar sein.
  • DNS und IP werden verwechselt; DNS übersetzt Namen in Adressen.
  • Der Statuscode wird ignoriert; ein 200 mit Fehlermeldung im Rumpf ist ein Entwurfsfehler.
  • Die Operation wandert in den Pfad statt in die Methode - etwa /deleteUser statt DELETE /users/7.

§ 03

Aktive Wiederholung

Beschreibe Schritt für Schritt, was passiert, wenn du `https://www.bmbwf.gv.at/index.html` im Browser eingibst. Welche Schichten sind beteiligt?

Passende Aufgaben üben50 Fragen zum Thema→

Aktiv abrufen

Erinnere dich an die Kernpunkte — dann aufdecken.

Quellen: RFC 2616 / RFC 9110 - HTTP/1.1 (IETF) · RFC 8446 - TLS 1.3 (IETF) · Fielding: Architectural Styles - REST (UC Irvine)

§ 04
§ 04

WLAN, Router und Heimnetz#

~3 Min Lesezeit●○○BasisLPINF-Net-5.1

Kernpunkte

Der Heim-Router ist das Herz jedes privaten Netzes - ein einziges Gerät, das mehrere Rollen vereint und die Heimgeräte mit dem Internet verbindet ().

Heimnetz-Topologie

Heimnetz-TopologieNetzgraph, Internet → Router, Router → PC, Router → Laptop, Router → Smartphone, Router → Gast-WLANInternetRouterPCLaptopSmartphoneGast-WLANWANLANWLANWLANisoliert
Abb. 4Der Router (hervorgehoben) verbindet als zentrales Gerät das WAN mit den LAN-Geräten und dem Gastnetz.
Abb. 4 ↓
Ein typischer Router kombiniert: Modem (Anbindung ans Provider-Netz), Switch (LAN-Ports), Access Point (WLAN), DHCP-Server (automatische IP-Vergabe), NAT (Adressübersetzung) und Firewall (Verkehrsfilterung). Diese Bündelung sicher aufzählen zu können ist ein häufiger Prüfungspunkt.
WLAN (IEEE 802.11) überträgt per Funk; die Standards entwickelten sich von 802.11n (2,4/5 GHz) über 802.11ac (5 GHz, Wi-Fi 5) zu 802.11ax (Wi-Fi 6; das 6-GHz-Band erst mit Wi-Fi 6E). Die SSID ist der sichtbare Netzname, die BSSID die MAC-Adresse des Access Points.
Die WLAN-Verschlüsselung hat sich stark entwickelt: WEP gilt als gebrochen, WPA2 (mit AES) ist Mindeststandard, WPA3 ergänzt den SAE-Handshake gegen Offline-Bruteforce. Essentiell sind außerdem ein geändertes Admin-Passwort, aktuelle Firmware, deaktiviertes WPS und ein separates Gastnetz (siehe Beispiel).
NAT übersetzt die privaten LAN-Adressen in die eine öffentliche WAN-Adresse - deshalb genügt einem ganzen Haushalt eine einzige IPv4-Adresse. DHCP weist neuen Geräten automatisch IP, Gateway und DNS-Server zu, befristet auf eine Lease (oft 24 h).
Häufige Fehler: WEP für sicher halten, NAT mit einer Firewall gleichsetzen (NAT übersetzt nur Adressen, eine Firewall filtert nach Regeln), oder DHCP (Adressvergabe) und DNS (Namensauflösung) vermischen.
Ein Heimrouter vereint in einem Gerät, was im Rechenzentrum auf mehrere Systeme verteilt ist, und genau diese Aufzählung wird geprüft: Er ist Modem zum Provider, Router zwischen Heimnetz und Internet, Switch für die kabelgebundenen Geräte, WLAN-Access-Point, DHCP-Server für die automatische Adressvergabe, DNS-Weiterleiter und über NAT zugleich eine grobe Abschottung nach außen. Weil er all das zugleich ist, wird er zum lohnendsten Angriffsziel im Haushalt - veraltete Firmware, das ab Werk gesetzte Kennwort und ein offen erreichbares Fernwartungsinterface sind die drei häufigsten Schwachstellen.

Vokabeln

→ Kartei
  • Access PointGerät, das WLAN-Geräte an ein kabelgebundenes Netz anbindet.
  • WPA2Verbreiteter WLAN-Sicherheitsstandard mit AES-Verschlüsselung.
  • DHCPDienst zur automatischen Vergabe von IP-Adressen im lokalen Netz.
  • NATNetzwerkadressübersetzung zwischen privaten und der öffentlichen Adresse.
  • SSIDKennung eines Funknetzes.
  • FirmwareGerätesoftware des Routers; veraltete Versionen sind die häufigste Schwachstelle.
Musterbeispiel

Router-Konfiguration absichern

Welche Schritte sicheren einen neuen WLAN-Router ab?

  1. 01Standardpasswort ändern

    Admin-Zugang darf nicht "admin/admin" bleiben.

  2. 02Firmware aktualisieren

    Sicherheitsupdates installieren.

  3. 03WPA3 / WPA2-AES

    WPA/WEP deaktivieren; starkes WLAN-Passwort (>= 16 Zeichen).

  4. 04WPS deaktivieren

    WPS-PIN ist anfällig für Bruteforce.

  5. 05Gastnetz

    Separates SSID für Gäste, ohne Zugriff auf LAN.

  6. 06Fernzugriff

    Remote-Management aus dem Internet abschalten, wenn nicht nötig.

Ergebnis: Ein konsequent gehärteter Heimrouter ist die einfachste Maßnahme für Heim-IT-Sicherheit.

Schritt-für-Schritt Erklärung3 Schritte
  1. 1

    Dein Heim-Router ist ein Schweizer Taschenmesser: Modem, Switch, Access Point, NAT, Firewall.

  2. 2

    WLAN-Sicherheit hat sich entwickelt: WEP war ein Bug, WPA2 ist Pflicht, WPA3 ist Stand der Technik.

  3. 3

    NAT ist warum dein Smartphone und Laptop sich eine öffentliche IP teilen können.

SRDP-Aufgaben

SelbsttestAus der Fragenbank7 Punkte

Aufgabenstellung

Beschreibe die Funktion eines Heim-Routers. Welche Komponenten und Sicherheitseinstellungen sind wichtig?

Maturafokus

  • Ordne die WLAN-Verschlüsselung historisch ein: WEP ist gebrochen, WPA2 der verbreitete Standard, WPA3 der aktuelle.
  • Zähle die Funktionen eines Heimrouters vollständig auf: Modem, Router, Switch, Access Point, DHCP-Server, DNS-Weiterleiter, NAT.
  • Erkläre NAT an einem Beispiel mit privater Quelladresse, öffentlicher Adresse und Portzuordnung.
  • Trenne DHCP (verteilt Adressen) von DNS (löst Namen auf) sauber.
  • Nenne die drei häufigsten Schwachstellen im Heimnetz: veraltete Firmware, unverändertes Standardkennwort, offene Fernwartung.

Typische Fehler

  • WEP wird als sicher dargestellt; es ist seit langem gebrochen.
  • NAT wird mit einer Firewall gleichgesetzt; NAT übersetzt Adressen, es filtert nicht nach Regeln.
  • DHCP und DNS werden vermischt.
  • Der Router wird als reines Modem beschrieben; er vereint mehrere Funktionen.
  • Ein verstecktes WLAN (SSID nicht gesendet) wird als Sicherheitsmaßnahme dargestellt; die Kennung ist trivial auslesbar.

§ 04

Aktive Wiederholung

Erkläre am Beispiel deines Heimrouters, welche Funktionen er erfüllt (mindestens 5 nennen). Welche Sicherheitseinstellungen sind essentiell?

Passende Aufgaben üben50 Fragen zum Thema→

Aktiv abrufen

Erinnere dich an die Kernpunkte — dann aufdecken.

Quellen: IEEE 802.11-2020 Standard (IEEE)

§ 05
§ 05

Routing, NAT und IPv6#

~4 Min Lesezeit●●○StandardLPINF-Net-2.1LPINF-Net-2.2

NAT - Adressübersetzung am Router

privates Netz 192.168.0.0/24 192.168.0.10 192.168.0.11 192.168.0.12 Router NAT / PAT 203.0.113.5 Internet Mapping-Tabelle (Auszug) 192.168.0.10:5001 -> 203.0.113.5:40001 192.168.0.11:5001 -> 203.0.113.5:40002 192.168.0.12:443 -> 203.0.113.5:40003
Abb. 5Mehrere private Geräte teilen sich eine öffentliche IP; der Router führt eine Port-Mapping-Tabelle (PAT).

Kernpunkte

Routing ist die Wegewahl von Paketen zwischen Netzen auf Schicht 3; jeder Router trifft anhand seiner Routing-Tabelle eine Weiterleitungsentscheidung (longest prefix match).
Innerhalb einer Organisation arbeiten interne Protokolle (OSPF, RIP), zwischen Providern das Border Gateway Protocol (BGP).
Der Default-Gateway ist die Route für alle Ziele außerhalb des eigenen Subnetzes (`0.0.0.0/0`).
NAT (Network Address Translation) bzw. PAT übersetzt mehrere private IP-Adressen (RFC 1918: `10.0.0.0/8`, `172.16.0.0/12`, `192.168.0.0/16`) auf eine öffentliche Adresse - eine Antwort auf die IPv4-Knappheit.
NAT führt eine Port-Mapping-Tabelle: ausgehende Verbindungen werden auf eindeutige Quellports der öffentlichen IP abgebildet.
IPv6 löst die Adressknappheit grundlegend: 128 Bit ergeben 2128≈3,4⋅10382^{128} \approx 3{,}4 \cdot 10^{38}2128≈3,4⋅1038 Adressen, schreibweise in 8 Hex-Gruppen, NAT wird damit überflüssig.
IPv6 bringt zusätzlich vereinfachte Header, eingebaute Autokonfiguration (SLAAC) und obligatorische Multicast-Unterstützung.
Ein Router entscheidet für jedes Paket anhand seiner Routingtabelle, wohin es weitergereicht wird, und wendet dabei das Prinzip des längsten passenden Präfixes an: Von allen Einträgen, deren Netzanteil zur Zieladresse passt, gewinnt der SPEZIFISCHSTE. Der Eintrag 0.0.0.0/00.0.0.0/00.0.0.0/0 passt auf jede Adresse und ist deshalb genau dann die Wahl, wenn kein spezifischerer Eintrag greift - das ist die Standardroute zum Provider.
NAT wurde als Brückentechnologie gegen die Knappheit der IPv4-Adressen entwickelt: Der Router ersetzt in ausgehenden Paketen die private Quelladresse durch seine eine öffentliche und merkt sich die Zuordnung samt Portnummer in einer Übersetzungstabelle, um die Antwort wieder richtig zuzustellen. Dass dadurch unaufgeforderte Verbindungen von außen ins Leere laufen, ist ein NEBENEFFEKT und keine Sicherheitsfunktion - eine Firewall filtert nach Regeln, NAT übersetzt nur Adressen.
IPv6 löst das Problem an der Wurzel: 128 statt 32 Bit ergeben einen Adressraum, der NAT überflüssig macht. Die Schreibweise ist hexadezimal in acht Gruppen, führende Nullen dürfen entfallen und genau EINE Folge von Nullgruppen darf durch :::::: ersetzt werden - eine zweite Ersetzung wäre mehrdeutig. IPv6 ist kein längeres IPv4, sondern ein eigener, nicht direkt kompatibler Adressraum; deshalb laufen beide Protokolle in der Praxis parallel im Dual-Stack-Betrieb.

Vokabeln

→ Kartei
  • RoutingtabelleZuordnung von Zielnetzen zu Ausgangsschnittstellen und nächsten Zielen.
  • longest prefix matchAuswahlregel: Der spezifischste passende Eintrag gewinnt.
  • StandardrouteEintrag $0.0.0.0/0$; er greift, wenn kein spezifischerer passt.
  • NATÜbersetzung privater Adressen auf eine öffentliche samt Portzuordnung.
  • Dual StackParalleler Betrieb von IPv4 und IPv6 auf demselben Gerät.
  • RFC 1918Norm, die die privaten IPv4-Adressbereiche festlegt.

Größe der Adressräume

232≈4,3⋅109(IPv4)2128≈3,4⋅1038(IPv6)2^{32} \approx 4{,}3 \cdot 10^{9} \quad\text{(IPv4)} \qquad 2^{128} \approx 3{,}4 \cdot 10^{38} \quad\text{(IPv6)}232≈4,3⋅109(IPv4)2128≈3,4⋅1038(IPv6)

IPv4 hat 32 Bit und damit gut vier Milliarden Adressen - weniger als Menschen auf der Erde. IPv6 hat 128 Bit; der Zuwachs ist nicht das Vierfache, sondern der Faktor 2962^{96}296.

Musterbeispiel

Routing-Entscheidung mit longest prefix match

Ein Router hat die Einträge `192.168.10.0/24 -> if1`, `192.168.0.0/16 -> if2`, `0.0.0.0/0 -> if0`. An welches Interface geht ein Paket an 192.168.10.45?

  1. Schritt 1 - Kandidaten prüfen

    192.168.10.45 passt zu `192.168.10.0/24`, zu `192.168.0.0/16` und zur Default-Route `0.0.0.0/0`.

  2. Schritt 2 - longest prefix match

    Von den passenden Routen gewinnt die mit der längsten Präfixmaske: /24 ist spezifischer als /16 und /0.

  3. Schritt 3 - Weiterleitung

    Das Paket wird an `if1` (die /24-Route) weitergeleitet.

Ergebnis: Das Paket geht an if1; die Default-Route greift nur, wenn keine spezifischere Route passt.

Musterbeispiel

NAT-Mapping für zwei Geräte

Zwei Geräte (192.168.0.10 und 192.168.0.11) öffnen je eine HTTPS-Verbindung. Wie unterscheidet der Router die Antworten?

  1. Schritt 1 - ausgehend

    Gerät 1: 192.168.0.10:5001 -> Router übersetzt auf 203.0.113.5:40001. Gerät 2: 192.168.0.11:5001 -> 203.0.113.5:40002.

  2. Schritt 2 - Tabelle

    Der Router speichert beide Mappings in der PAT-Tabelle (privater Sockel <-> öffentlicher Sockel).

  3. Schritt 3 - eingehend

    Antwort an 203.0.113.5:40002 wird laut Tabelle auf 192.168.0.11:5001 zurückübersetzt.

Ergebnis: Durch eindeutige Quellports kann ein Router viele private Geräte hinter einer öffentlichen IP unterscheiden (Port Address Translation).

Schritt-für-Schritt Erklärung3 Schritte
  1. 1

    Routing ist die Wegewahl: jeder Router schaut in seine Tabelle und nimmt die spezifischste passende Route.

    NAT - Adressübersetzung am Router

    privates Netz 192.168.0.0/24 192.168.0.10 192.168.0.11 192.168.0.12 Router NAT / PAT 203.0.113.5 Internet Mapping-Tabelle (Auszug) 192.168.0.10:5001 -> 203.0.113.5:40001 192.168.0.11:5001 -> 203.0.113.5:40002 192.168.0.12:443 -> 203.0.113.5:40003
    Abb.Mehrere private Geräte teilen sich eine öffentliche IP; der Router führt eine Port-Mapping-Tabelle (PAT).
  2. 2

    NAT ist die geniale Notlösung gegen IPv4-Knappheit - ein ganzes Heimnetz hinter einer Adresse.

  3. 3

    IPv6 macht NAT überflüssig, weil es mehr Adressen gibt als Sandkörner auf der Erde.

SRDP-Aufgaben

SelbsttestAus der Fragenbank6 Punkte

Aufgabenstellung

Erläutere, wie NAT die Knappheit von IPv4-Adressen entschärft. Vergleiche IPv4 und IPv6 hinsichtlich Adressraum und Notwendigkeit von NAT.

Maturafokus

  • Erkläre NAT als Antwort auf die IPv4-Knappheit und benenne die Übersetzungstabelle mit Adresse und Port.
  • Vergleiche IPv4 (32 Bit, dezimal-punktiert) und IPv6 (128 Bit, hexadezimal mit Doppelpunkten).
  • Ordne den Eintrag 0.0.0.0/00.0.0.0/00.0.0.0/0 als Standardroute ein und erkläre das Prinzip des längsten passenden Präfixes.
  • Wende die IPv6-Kurzschreibweise korrekt an - genau EINE Folge von Nullgruppen darf durch :::::: ersetzt werden.
  • Unterscheide private und öffentliche Adressbereiche nach RFC 1918.

Typische Fehler

  • NAT wird mit einer Firewall gleichgesetzt.
  • Die privaten Adressbereiche werden nicht gekannt oder mit öffentlichen verwechselt.
  • IPv6 wird als „längeres IPv4" beschrieben; es ist ein eigener, nicht direkt kompatibler Adressraum.
  • Die IPv6-Kurzschreibweise wird mehrfach angewandt; das Ergebnis ist mehrdeutig.
  • Beim Routing wird der ERSTE passende statt des SPEZIFISCHSTEN Eintrags gewählt.

§ 05

Aktive Wiederholung

Erkläre die Funktion von NAT in einem Heimnetz und beurteile, inwiefern IPv6 NAT überflüssig macht.

Passende Aufgaben üben50 Fragen zum Thema→

Aktiv abrufen

Erinnere dich an die Kernpunkte — dann aufdecken.

Quellen: RFC 1918 - Address Allocation for Private Internets (IETF) · RFC 8200 - Internet Protocol, Version 6 (IPv6) (IETF)

§ 06
§ 06

Netzwerksicherheit - Firewall, VPN und TLS#

~5 Min Lesezeit●●●VertiefungLPINF-Net-3.1LPINF-Net-3.2

RSA - Schlüsselpaar und Verschlüsselung

Alice Bob erzeugt (n, e), d PublicKey (n, e) verschlüsselt m c = m^e mod n Chiffretext c entschlüsselt mit d m = c^d mod n n = p·q, e·d ≡ 1 mod φ(n), Sicherheit: Faktorisierung schwierig
Abb. 6Public Key verschlüsselt, Private Key entschlüsselt; Sicherheit beruht auf Faktorisierung.

Kernpunkte

Eine Firewall filtert Datenverkehr nach Regeln (Quell-/Ziel-IP, Port, Protokoll); Stateful-Firewalls verfolgen den Verbindungszustand und lassen Antwortpakete automatisch zu.
Das Default-Deny-Prinzip (alles verbieten, nur Nötiges erlauben) ist sicherer als Default-Allow.
Ein VPN (Virtual Private Network) baut einen verschlüsselten Tunnel über das öffentliche Internet auf (z.B. WireGuard, IPsec, OpenVPN) und schützt Vertraulichkeit und Integrität.
TLS sichert Anwendungsverkehr (HTTPS) durch einen Handshake: Aushandeln der Cipher Suite, Server-Authentifizierung per Zertifikat, Schlüsselaustausch (heute meist ephemeres Diffie-Hellman für Perfect Forward Secrecy), danach symmetrische Verschlüsselung.
Ein Zertifikat bindet einen öffentlichen Schlüssel an eine Identität; eine Zertifizierungsstelle (CA) signiert es, der Browser prüft die Vertrauenskette.
Typische Angriffe: Man-in-the-Middle (durch Zertifikatsprüfung verhindert), DDoS (durch Rate-Limiting/Anycast gemildert), Port-Scanning (durch Firewall begrenzt).
Eine DMZ (demilitarisierte Zone) isoliert öffentlich erreichbare Server (Webserver) vom internen Netz.
Die drei Werkzeuge lösen verschiedene Probleme und dürfen nicht vermengt werden. Eine Firewall FILTERT den Verkehr nach Regeln - nach Quelle, Ziel, Port und bei modernen Systemen auch nach Verbindungszustand. Ein VPN TUNNELT den gesamten Netzverkehr verschlüsselt zu einem entfernten Endpunkt und lässt das Gerät so wirken, als stünde es im dortigen Netz. TLS SICHERT eine einzelne Anwendungsverbindung, typischerweise die zwischen Browser und Webserver.
Der TLS-Handshake läuft in einer festen Reihenfolge ab, die in der Prüfung nachvollzogen werden soll: Der Client meldet seine unterstützten Verfahren, der Server antwortet mit seiner Wahl und seinem Zertifikat, der Client prüft dieses gegen die im Betriebssystem hinterlegten Wurzelzertifikate, beide einigen sich über ein Schlüsselaustauschverfahren auf einen gemeinsamen symmetrischen Sitzungsschlüssel, und erst danach fließen die eigentlichen Daten - symmetrisch verschlüsselt, weil das um Größenordnungen schneller ist.
Das Zertifikat ist dabei die entscheidende Stelle: Es bindet einen öffentlichen Schlüssel an einen Domainnamen und ist von einer Zertifizierungsstelle signiert, der der Browser bereits vertraut. Genau diese Vertrauenskette verhindert den Man-in-the-Middle-Angriff - ein Angreifer könnte zwar einen Schlüssel unterschieben, aber keine gültige Signatur einer anerkannten Stelle dafür beschaffen. Ein selbstsigniertes Zertifikat leistet das nicht und gehört deshalb nicht in den Produktivbetrieb. Für die Regelgestaltung gilt der Grundsatz Default-Deny: Erlaubt wird nur, was ausdrücklich gebraucht wird - alles andere fällt in die Sperre, auch das, woran beim Aufstellen der Regeln niemand gedacht hat.

Vokabeln

→ Kartei
  • FirewallFiltert Netzverkehr nach Regeln über Quelle, Ziel, Port und Zustand.
  • VPNVerschlüsselter Tunnel, der ein Gerät in ein entferntes Netz einbindet.
  • TLS-HandshakeAushandlung von Verfahren und Sitzungsschlüssel vor der Datenübertragung.
  • ZertifikatVon einer Stelle signierte Bindung eines öffentlichen Schlüssels an einen Namen.
  • ZertifizierungsstelleInstanz, deren Signatur Browser und Betriebssysteme vertrauen.
  • Default-DenyGrundhaltung, alles zu sperren und nur Benötigtes freizugeben.
Musterbeispiel

TLS-Handshake Schritt für Schritt

Beschreibe, wie Browser und Webserver beim Aufruf einer HTTPS-Seite eine sichere Verbindung aufbauen.

  1. Schritt 1 - ClientHello

    Der Browser sendet unterstützte TLS-Versionen, Cipher Suites und einen Zufallswert.

  2. Schritt 2 - ServerHello + Zertifikat

    Der Server wählt eine Cipher Suite, sendet sein Zertifikat (mit öffentlichem Schlüssel) und einen Zufallswert.

  3. Schritt 3 - Zertifikatsprüfung

    Der Browser prüft die Signaturkette bis zu einer vertrauenswürdigen CA und die Gültigkeit (Domain, Ablaufdatum).

  4. Schritt 4 - Schlüsselaustausch

    Per ephemerem Diffie-Hellman einigen sich beide auf ein gemeinsames Sitzungsgeheimnis (Perfect Forward Secrecy).

  5. Schritt 5 - Finished

    Beide bestätigen den Handshake; ab jetzt wird symmetrisch (z.B. AES-GCM) verschlüsselt - schnell und sicher.

Ergebnis: TLS erreicht Vertraulichkeit (symmetrische Verschlüsselung), Integrität (MAC/AEAD) und Authentizität (Server-Zertifikat); der MitM-Angriff scheitert an der Zertifikatsprüfung.

Musterbeispiel

Firewall-Regelsatz nach Default-Deny

Ein Webserver soll nur HTTP/HTTPS aus dem Internet annehmen, SSH nur aus dem internen Netz. Entwirf den Regelsatz.

  1. Schritt 1 - Basis

    Default-Policy: alle eingehenden Pakete verwerfen (Default-Deny).

  2. Schritt 2 - Webzugriff

    ALLOW TCP von beliebig nach Port 80 und 443.

  3. Schritt 3 - Adminzugriff

    ALLOW TCP von 192.168.0.0/16 nach Port 22 (SSH), alles andere auf 22 DENY.

  4. Schritt 4 - Prüfung

    Externer SSH-Versuch fällt unter Default-Deny und wird verworfen.

Ergebnis: Nur explizit erlaubter Verkehr passiert; SSH ist auf das interne Netz beschränkt - Angriffsfläche minimal.

Schritt-für-Schritt Erklärung3 Schritte
  1. 1

    Eine Firewall ist der Türsteher des Netzes: erst die Regel, dann der Einlass - am sichersten mit Default-Deny.

  2. 2

    TLS verheiratet asymmetrische und symmetrische Kryptografie: Zertifikat für Vertrauen, Sitzungsschlüssel für Tempo.

    RSA - Schlüsselpaar und Verschlüsselung

    Alice Bob erzeugt (n, e), d PublicKey (n, e) verschlüsselt m c = m^e mod n Chiffretext c entschlüsselt mit d m = c^d mod n n = p·q, e·d ≡ 1 mod φ(n), Sicherheit: Faktorisierung schwierig
    Abb.Public Key verschlüsselt, Private Key entschlüsselt; Sicherheit beruht auf Faktorisierung.
  3. 3

    Ein VPN spannt einen verschlüsselten Tunnel über das offene Internet - so als wäre man im Heimnetz.

SRDP-Aufgaben

SelbsttestAus der Fragenbank7 Punkte

Aufgabenstellung

Erkläre die Aufgaben einer Firewall und den Ablauf eines TLS-Handshakes. Diskutiere, welche Schutzziele jeweils adressiert werden.

Maturafokus

  • Trenne die drei Werkzeuge nach ihrer Aufgabe: Firewall filtert, VPN tunnelt, TLS sichert eine Anwendungsverbindung.
  • Beschreibe den TLS-Handshake in seiner Reihenfolge bis zum gemeinsamen Sitzungsschlüssel.
  • Erkläre die Rolle des Zertifikats und der Zertifizierungsstelle in der Vertrauenskette.
  • Begründe den Grundsatz Default-Deny: Erlaubt wird nur, was ausdrücklich gebraucht wird.
  • Stelle den Man-in-the-Middle-Angriff dar und zeige, woran er an der Zertifikatsprüfung scheitert.

Typische Fehler

  • VPN und TLS werden gleichgesetzt; das eine tunnelt das ganze Netz, das andere sichert eine Verbindung.
  • Es wird angenommen, HTTPS verberge auch den Zielnamen; SNI und DNS geben ihn oft preis.
  • Die Firewall wird als Allheilmittel dargestellt; über erlaubte Ports wie 443 gelangt der Angriff dennoch hinein.
  • Selbstsignierte Zertifikate werden im Produktivbetrieb verwendet; ihnen fehlt die Vertrauenskette.
  • Der Sitzungsschlüssel wird als asymmetrisch beschrieben; die eigentliche Datenübertragung ist symmetrisch verschlüsselt.

§ 06

Aktive Wiederholung

Erkläre den Ablauf eines TLS-Handshakes und beurteile, welche Schutzziele dabei erreicht werden.

Passende Aufgaben üben50 Fragen zum Thema→

Aktiv abrufen

Erinnere dich an die Kernpunkte — dann aufdecken.

Quellen: RFC 8446 - TLS 1.3 (IETF) · BSI - Mindeststandard zur Nutzung von TLS (BSI)

Stand 06/2026 · Vollständige Fassung über den Tiefenregler — gleiche Stelle, gleiche Anker

Inhalt

Abschnitt -- / 06

    • 01OSI- und TCP/IP-Schichtenmodell○
    • 02IP-Adressierung und Subnetting◐
    • 03DNS, HTTP/HTTPS und REST APIs◐
    • 04WLAN, Router und Heimnetz○
    • 05Routing, NAT und IPv6◐
    • 06Netzwerksicherheit - Firewall, VPN und TLS●

0/6 Gelesen

Aus den Notizen ins Training

INF-Net - Netzwerke und Internet

Festige dieses Thema an passenden Aufgaben aus der Fragenbank.

~22
Min
5
Kompetenzen
50
Fragen
Üben
Beispielfrage

Erkläre das OSI-Schichtenmodell. Welche Aufgaben übernehmen die einzelnen Schichten? Vergleiche kurz mit dem TCP/IP-Modell.

7 BE · 2022

Zur Fragenbank
Wiederholung planen

Belege & Quellen

Quellen

Pearson

  • Tanenbaum, Wetherall: Computer Networks, 6. Auflage

ISO

  • ISO/IEC 7498-1 - OSI Reference Model

IETF

  • RFC 791 - Internet Protocol
  • RFC 4291 - IPv6 Addressing Architecture
  • RFC 2616 / RFC 9110 - HTTP/1.1
  • RFC 8446 - TLS 1.3
  • RFC 1918 - Address Allocation for Private Internets
  • RFC 8200 - Internet Protocol, Version 6 (IPv6)

UC Irvine

  • Fielding: Architectural Styles - REST

IEEE

  • IEEE 802.11-2020 Standard

BSI

  • BSI - Mindeststandard zur Nutzung von TLS

Siehe auch

  • INF-Sec - IT-Sicherheit, Kryptografie und DatenschutzTLS, VPN und Firewall sind die Sicherheitsschicht über dem Netzwerkstapel.
  • INF-WebSE - Webentwicklung und Software EngineeringHTTP und REST setzen unmittelbar auf TCP/IP auf.
  • INF-Daten - Informationssysteme, Codierung und ZahlensystemeIP-Adressen und Subnetzmasken sind Binärrechnung in Reinform.

Vorheriges Thema

INF-DB - Datenbanken und relationale Datenmodelle

Nächstes Thema

INF-Sec - IT-Sicherheit, Kryptografie und Datenschutz

EuraStudy·Notizen T·05·MMXXVI

Weiter mit dem nächsten Thema — der Lernpfad bleibt erhalten.