INF-Net - Netzwerke und Internet — Informatik · Matura-Zusammenfassung

OSI- und TCP/IP-Schichtenmodell#

BasisINF-Net-1.1

Netzwerkkommunikation ist hochkomplex - vom elektrischen Signal bis zur fertigen Webseite. Um das beherrschbar zu machen, zerlegt man sie in Schichten, von denen jede eine klar abgegrenzte Aufgabe hat und nur mit ihren Nachbarn spricht. Zwei Modelle prägen die Praxis ().

OSI-Modell (7 Schichten) vs. TCP/IP (4 Schichten)

Abb. 1Das OSI-Modell ist das Referenzmodell, TCP/IP das Implementierungsmodell des Internets; die OSI-Schichten 5-7 entsprechen zusammen der TCP/IP-Anwendungsschicht. Eselsbrücke (7 nach 1): „Alle Deutschen Schüler trinken viele saure Bier".

Das OSI-Modell beschreibt 7 Schichten: (1) Bitübertragung, (2) Sicherung, (3) Vermittlung, (4) Transport, (5) Sitzung, (6) Darstellung, (7) Anwendung. Eselsbrücke von 7 nach 1: „Alle Deutschen Studenten trinken verschiedene Sorten Bier" - die genaue Reihenfolge ist Prüfungsstoff.

Das TCP/IP-Modell ist die praktische Implementierung des Internets und fasst auf 4 Schichten zusammen: Netzzugang (OSI 1-2), Internet (OSI 3), Transport (OSI 4) und Anwendung (OSI 5-7). Es ist gröber, aber genau das, was real auf jedem Rechner läuft.

Jede Schicht trägt charakteristische Protokolle: HTTP/SMTP/DNS auf Schicht 7, TLS auf 5/6, TCP/UDP auf 4 (Transport), IP auf 3 (Vermittlung), Ethernet/WLAN auf 2 (Sicherung) und Kupfer/Glasfaser auf 1. Merke: IP gehört auf Schicht 3, nicht 4; TLS auf 5/6, nicht auf den Transport.

Das tragende Prinzip ist die Kapselung (Encapsulation): Jede Schicht packt die Daten der darüberliegenden in einen eigenen „Umschlag" mit Header (und ggf. Footer) und reicht sie nach unten; beim Empfänger werden die Umschläge schichtweise wieder geöffnet. Eine HTTP-Antwort wird so nacheinander in TCP-, IP- und Ethernet-Header verpackt (siehe Beispiel).

Der Gewinn der Schichtung ist Trennung der Verantwortung und Austauschbarkeit: Man kann WLAN statt Ethernet (Schicht 2) oder IPv6 statt IPv4 (Schicht 3) einsetzen, ohne dass HTTP davon etwas merkt. Häufige Fehler: Schichten in falscher Reihenfolge nennen, IP der Transportschicht zuordnen, oder TLS dem Transport statt der Darstellung/Sitzung.

Musterbeispiel

Kapselung einer HTTP-Antwort

Eine HTTP-Antwort wird auf dem Weg zum Empfänger gekapselt - in welche Header?

Schicht 7
HTTP-Header (Status, Content-Type) und Body.
Schicht 4 (TCP)
TCP-Header mit Source/Destination Port, Sequence, ACK, Flags.
Schicht 3 (IP)
IP-Header mit Source/Destination IP, TTL.
Schicht 2 (Ethernet)
Ethernet-Frame mit Source/Destination MAC, Prüfsumme.
Schicht 1
Bits über Kupfer/Glas/Funkwelle.

Ergebnis: Jede Schicht hängt ihre Steuerdaten an; beim Empfänger werden sie schichtweise wieder entfernt.

Schritt-für-Schritt Erklärung3 Schritte

1
OSI ist die akademische Sicht in 7 Schichten, TCP/IP ist die praktische Implementation in 4 Schichten.
OSI-Modell (7 Schichten) vs. TCP/IP (4 Schichten)
Abb.Das OSI-Modell ist das Referenzmodell, TCP/IP das Implementierungsmodell des Internets; die OSI-Schichten 5-7 entsprechen zusammen der TCP/IP-Anwendungsschicht. Eselsbrücke (7 nach 1): „Alle Deutschen Schüler trinken viele saure Bier".
2
Jedes Schichtenmodell folgt dem Prinzip Encapsulation: niedrigere Schichten wissen nicht, was sie transportieren.
3
Die Schichten sind austauschbar - WLAN ersetzt Ethernet, ohne dass HTTP es merkt.

SRDP-Aufgaben

SelbsttestAus der Fragenbank7 Punkte

Aufgabenstellung

Erkläre das OSI-Schichtenmodell. Welche Aufgaben übernehmen die einzelnen Schichten? Vergleiche kurz mit dem TCP/IP-Modell.

Deine Antwortwird nicht automatisch bewertet

Typische Fehler

Schichten in falscher Reihenfolge benannt.
TLS fälschlich der Transportschicht zugeordnet (gehört in TCP/IP Anwendung, in OSI Schichten 5-6).
IP wird der Transportschicht zugeordnet (richtig: Vermittlung/Internet).

Aktive Wiederholung

Ordne folgende Protokolle der OSI-Schicht zu: DHCP, ARP, BGP, IMAP, FTP, HTTPS, SSH, ICMP.

Aktiv abrufen

Erinnere dich an die Kernpunkte — dann aufdecken.

Quellen: Tanenbaum, Wetherall: Computer Networks, 6. Auflage (Pearson) · ISO/IEC 7498-1 - OSI Reference Model (ISO)

IP-Adressierung und Subnetting#

StandardINF-Net-2.1

Eine IP-Adresse identifiziert einen Netzwerkanschluss auf Schicht 3. IPv4 nutzt 32 Bit, geschrieben als vier Dezimaloktette (z. B. 192.168.0.1). Damit Router wissen, welcher Teil das Netz und welcher den Host bezeichnet, braucht es die Subnetzmaske.

Die CIDR-Notation `/n` gibt die Zahl der Netzbits an: `/24` bedeutet 24 Netzbits und

32-24=8

Hostbits. Die zugehörige Subnetzmaske hat genau diese

n

Einsen, gefolgt von Nullen - `/24`

=

255.255.255.0 ( listet die gängigen Präfixe).

IPv4-Präfixe und Hostzahlen

Abb. 2Je länger das CIDR-Präfix, desto kleiner das Subnetz; nutzbar sind stets

2^{k}-2

Hosts.

Pro Subnetz mit

k

Hostbits gibt es

2^{k}-2

nutzbare Hostadressen: Die erste Adresse ist die Netzadresse (alle Hostbits 0), die letzte die Broadcast-Adresse (alle Hostbits 1) - beide sind reserviert. Bei `/26` (6 Hostbits) also

2^{6}-2 = 62

Hosts (siehe Beispiel).

Netzadresse und Broadcast berechnet man durch bitweises UND von IP und Maske (Netz) bzw. Setzen aller Hostbits (Broadcast). Praktischer Trick: Die „Blockgröße" im letzten Oktett ist

256 - \text{Maskenwert}

; bei `/26` (Maske 192) ist sie 64, die Netzgrenzen liegen also bei .0, .64, .128 und .192.

Drei Bereiche sind nach RFC 1918 privat und im Internet nicht routbar: `10.0.0.0/8`, `172.16.0.0/12` und `192.168.0.0/16`. Heimnetze nutzen sie und lassen ihren Verkehr per NAT auf eine öffentliche Adresse übersetzen - eine Antwort auf die IPv4-Knappheit.

IPv6 löst die Knappheit grundlegend: 128-Bit-Adressen (z. B. `2001:db8::1`) ergeben praktisch unbegrenzt viele. Häufige Fehler: beim Hostzählen das

-2

vergessen, das CIDR-Präfix mit den Hostbits verwechseln, oder IPv6-Adressen an den Doppelpunkten nicht als solche erkennen.

\text{Hosts nutzbar} = 2^{(32 - n)} - 2

Anzahl Hosts pro IPv4-Subnetz mit Präfix /n

Musterbeispiel

IPv4-Subnetting mit /26

Bestimme Netzadresse, Broadcast-Adresse und Anzahl Hosts für 192.168.10.45/26.

Präfixlänge
/26 = 26 Netzbits, 32 - 26 = 6 Hostbits.
Subnetzmaske
11111111.11111111.11111111.11000000 = 255.255.255.192.
Netzadresse
192.168.10.45 AND 255.255.255.192 = 192.168.10.0 (da 45 < 64).
Broadcast
192.168.10.0 + 2^6 - 1 = 192.168.10.63.
Hostanzahl
2^6 - 2 = 62 nutzbare Host-Adressen (Netz- und Broadcast abziehen).

Ergebnis: Netz 192.168.10.0/26, Broadcast 192.168.10.63, 62 Hosts. IP 192.168.10.45 liegt im Bereich.

Schritt-für-Schritt Erklärung3 Schritte

1
Subnetting heisst, mit der Maske den Netzanteil von der Hostadresse zu trennen.
2
Pro Subnetz gehen 2 Adressen für Netz- und Broadcast verloren.
3
IPv6 löst die Adressknappheit - 2^128 Adressen reichen für jeden Sandkörner.

SRDP-Aufgaben

SelbsttestAus der Fragenbank7 Punkte

Aufgabenstellung

Erkläre die Aufgabe einer IP-Adresse und Subnetzmaske. Berechne für 172.16.20.130/27 die Netzadresse und Broadcast-Adresse.

Deine Antwortwird nicht automatisch bewertet

Typische Fehler

Beim Berechnen Netz- und Broadcast-Adresse vergessen abzuziehen.
CIDR-Präfix mit Hostbits verwechselt.
IPv6-Adressen wegen Doppelpunkten nicht erkannt.

Aktive Wiederholung

Berechne für 10.0.5.130/28 die Netz-, Broadcast- und Anzahl nutzbarer Host-Adressen. In welchem Bereich liegt die IP?

Aktiv abrufen

Erinnere dich an die Kernpunkte — dann aufdecken.

Quellen: RFC 791 - Internet Protocol (IETF) · RFC 4291 - IPv6 Addressing Architecture (IETF)

DNS, HTTP/HTTPS und REST APIs#

StandardINF-Net-3.1INF-Net-4.1

Ruft man eine Webseite auf, greifen mehrere Protokolle ineinander - vom Namen zur Adresse, vom Verbindungsaufbau bis zur verschlüsselten Übertragung. Dieser Stapel ist Standard-Prüfungsstoff (siehe Beispiel; zeigt den TCP-Aufbau).

TCP Three-Way-Handshake

Abb. 3SYN -> SYN/ACK -> ACK eröffnet eine verlässliche Verbindung.

Das DNS (Domain Name System) übersetzt menschenlesbare Hostnamen in IP-Adressen über eine hierarchische verteilte Datenbank: Der Resolver fragt einen Root-Server (kennt die TLDs), dann den TLD-Server (`.at`), dann den autoritativen Server der Domain, der den A-Record (IPv4) bzw. AAAA-Record (IPv6) liefert. Antworten werden zwischengespeichert (Cache).

Bevor Daten fließen, baut TCP eine Verbindung über den Three-Way-Handshake auf: SYN → SYN/ACK → ACK (). Erst danach steht der zuverlässige, geordnete Bytestrom, auf dem HTTP aufsetzt.

HTTP ist textbasiert und zustandslos (jede Anfrage steht für sich): Methoden sind GET (lesen), POST (erzeugen), PUT (ersetzen), DELETE und PATCH; Statuscodes signalisieren das Ergebnis - 2xx Erfolg, 3xx Weiterleitung, 4xx Client-Fehler (404), 5xx Server-Fehler (500). HTTPS ist kein anderes Protokoll, sondern HTTP über TLS und garantiert Verschlüsselung, Integrität und Authentizität.

Eine REST-API nutzt HTTP konsequent ressourcenorientiert: Jede Ressource hat eine URL, und die HTTP-Methode bestimmt die Operation (GET zum Lesen, POST zum Anlegen, PUT/PATCH zum Ändern, DELETE zum Löschen). REST ist stateless - jede Anfrage trägt alle nötigen Informationen -, und JSON ist das De-facto-Datenformat (alternativ XML).

Häufige Fehler: HTTPS für ein eigenes Protokoll halten (es ist HTTP über TLS), GET für ändernde Aktionen verwenden (verstößt gegen die REST-/Idempotenz-Konvention), oder DNS und IP verwechseln. Für Aufgaben hilft die feste Reihenfolge DNS → TCP → TLS → HTTP.

Musterbeispiel

HTTPS-Request: vom DNS bis zur Antwort

Was passiert, wenn ich `https://example.at/profil` im Browser eingebe?

DNS
Browser fragt Resolver -> DNS-Server: A-Record für `example.at` liefert IP 203.0.113.34 (Doku-Adressbereich nach RFC 5737).
TCP-Handshake
SYN -> SYN/ACK -> ACK zur IP, Port 443.
TLS-Handshake
ClientHello, ServerHello, Zertifikataustausch, Schlüsselableitung; ergibt symmetrischen Sitzungsschlüssel.
HTTP-Request
`GET /profil HTTP/1.1\nHost: example.at\nAccept: text/html`
Response
`HTTP/1.1 200 OK\nContent-Type: text/html\n...`
Render
Browser parst HTML, holt verlinkte Ressourcen (CSS, JS, Bilder).

Ergebnis: Eine einzige URL-Anforderung löst mindestens DNS-, TCP-, TLS- und HTTP-Schichten aus.

Schritt-für-Schritt Erklärung3 Schritte

1
DNS ist das Telefonbuch des Internets - es macht aus Namen Nummern.
2
HTTPS verschlüsselt den HTTP-Verkehr über TLS; das Zertifikat verbürgt die Identität des Servers.
TCP Three-Way-Handshake
Abb.SYN -> SYN/ACK -> ACK eröffnet eine verlässliche Verbindung.
3
REST ist ein Stilprinzip, das HTTP konsequent ausnutzt - Ressourcen + Verben statt RPC-Funktionsaufrufe.

SRDP-Aufgaben

SelbsttestAus der Fragenbank7 Punkte

Aufgabenstellung

Erläutere REST als Architekturprinzip für Webservices. Welche HTTP-Methoden werden eingesetzt und warum?

Deine Antwortwird nicht automatisch bewertet

Typische Fehler

HTTPS wird als anderes Protokoll als HTTP angesehen (richtig: HTTP über TLS).
GET für änderungsorientierte Aktionen verwendet (Verstoss gegen REST).
DNS und IP werden verwechselt.

Aktive Wiederholung

Beschreibe Schritt für Schritt, was passiert, wenn du `https://www.bmbwf.gv.at/index.html` im Browser eingibst. Welche Schichten sind beteiligt?

Aktiv abrufen

Erinnere dich an die Kernpunkte — dann aufdecken.

Quellen: RFC 2616 / RFC 9110 - HTTP/1.1 (IETF) · RFC 8446 - TLS 1.3 (IETF) · Fielding: Architectural Styles - REST (UC Irvine)

WLAN, Router und Heimnetz#

BasisINF-Net-5.1

Der Heim-Router ist das Herz jedes privaten Netzes - ein einziges Gerät, das mehrere Rollen vereint und die Heimgeräte mit dem Internet verbindet ().

Heimnetz-Topologie

Abb. 4Der Router (hervorgehoben) verbindet als zentrales Gerät das WAN mit den LAN-Geräten und dem Gastnetz.

Ein typischer Router kombiniert: Modem (Anbindung ans Provider-Netz), Switch (LAN-Ports), Access Point (WLAN), DHCP-Server (automatische IP-Vergabe), NAT (Adressübersetzung) und Firewall (Verkehrsfilterung). Diese Bündelung sicher aufzählen zu können ist ein häufiger Prüfungspunkt.

WLAN (IEEE 802.11) überträgt per Funk; die Standards entwickelten sich von 802.11n (2,4/5 GHz) über 802.11ac (5 GHz, Wi-Fi 5) zu 802.11ax (Wi-Fi 6; das 6-GHz-Band erst mit Wi-Fi 6E). Die SSID ist der sichtbare Netzname, die BSSID die MAC-Adresse des Access Points.

Die WLAN-Verschlüsselung hat sich stark entwickelt: WEP gilt als gebrochen, WPA2 (mit AES) ist Mindeststandard, WPA3 ergänzt den SAE-Handshake gegen Offline-Bruteforce. Essentiell sind außerdem ein geändertes Admin-Passwort, aktuelle Firmware, deaktiviertes WPS und ein separates Gastnetz (siehe Beispiel).

NAT übersetzt die privaten LAN-Adressen in die eine öffentliche WAN-Adresse - deshalb genügt einem ganzen Haushalt eine einzige IPv4-Adresse. DHCP weist neuen Geräten automatisch IP, Gateway und DNS-Server zu, befristet auf eine Lease (oft 24 h).

Häufige Fehler: WEP für sicher halten, NAT mit einer Firewall gleichsetzen (NAT übersetzt nur Adressen, eine Firewall filtert nach Regeln), oder DHCP (Adressvergabe) und DNS (Namensauflösung) vermischen.

Musterbeispiel

Router-Konfiguration absichern

Welche Schritte sicheren einen neuen WLAN-Router ab?

Standardpasswort ändern
Admin-Zugang darf nicht "admin/admin" bleiben.
Firmware aktualisieren
Sicherheitsupdates installieren.
WPA3 / WPA2-AES
WPA/WEP deaktivieren; starkes WLAN-Passwort (>= 16 Zeichen).
WPS deaktivieren
WPS-PIN ist anfällig für Bruteforce.
Gastnetz
Separates SSID für Gäste, ohne Zugriff auf LAN.
Fernzugriff
Remote-Management aus dem Internet abschalten, wenn nicht nötig.

Ergebnis: Ein konsequent gehärteter Heimrouter ist die einfachste Massnahme für Heim-IT-Sicherheit.

Schritt-für-Schritt Erklärung3 Schritte

1
Dein Heim-Router ist ein Schweizer Taschenmesser: Modem, Switch, Access Point, NAT, Firewall.
2
WLAN-Sicherheit hat sich entwickelt: WEP war ein Bug, WPA2 ist Pflicht, WPA3 ist Stand der Technik.
3
NAT ist warum dein Smartphone und Laptop sich eine öffentliche IP teilen können.

SRDP-Aufgaben

SelbsttestAus der Fragenbank7 Punkte

Aufgabenstellung

Beschreibe die Funktion eines Heim-Routers. Welche Komponenten und Sicherheitseinstellungen sind wichtig?

Deine Antwortwird nicht automatisch bewertet

Typische Fehler

WEP wird als sicher dargestellt.
NAT wird mit Firewall gleichgesetzt.
DHCP und DNS werden vermischt.

Aktive Wiederholung

Erkläre am Beispiel deines Heimrouters, welche Funktionen er erfüllt (mindestens 5 nennen). Welche Sicherheitseinstellungen sind essentiell?

Aktiv abrufen

Erinnere dich an die Kernpunkte — dann aufdecken.

Quellen: IEEE 802.11-2020 Standard (IEEE)

Routing, NAT und IPv6#

StandardINF-Net-2.1INF-Net-2.2

NAT - Adressübersetzung am Router

Abb. 5Mehrere private Geräte teilen sich eine öffentliche IP; der Router führt eine Port-Mapping-Tabelle (PAT).

Routing ist die Wegewahl von Paketen zwischen Netzen auf Schicht 3; jeder Router trifft anhand seiner Routing-Tabelle eine Weiterleitungsentscheidung (longest prefix match).

Innerhalb einer Organisation arbeiten interne Protokolle (OSPF, RIP), zwischen Providern das Border Gateway Protocol (BGP).

Der Default-Gateway ist die Route für alle Ziele ausserhalb des eigenen Subnetzes (`0.0.0.0/0`).

NAT (Network Address Translation) bzw. PAT übersetzt mehrere private IP-Adressen (RFC 1918: `10.0.0.0/8`, `172.16.0.0/12`, `192.168.0.0/16`) auf eine öffentliche Adresse - eine Antwort auf die IPv4-Knappheit.

NAT führt eine Port-Mapping-Tabelle: ausgehende Verbindungen werden auf eindeutige Quellports der öffentlichen IP abgebildet.

IPv6 löst die Adressknappheit grundlegend: 128 Bit ergeben

2^{128} \approx 3{,}4 \cdot 10^{38}

Adressen, schreibweise in 8 Hex-Gruppen, NAT wird damit überflüssig.

IPv6 bringt zusätzlich vereinfachte Header, eingebaute Autokonfiguration (SLAAC) und obligatorische Multicast-Unterstützung.

2^{32} \approx 4{,}3 \cdot 10^{9} \quad\text{(IPv4)} \qquad 2^{128} \approx 3{,}4 \cdot 10^{38} \quad\text{(IPv6)}

Größe der Adressräume

Musterbeispiel

Routing-Entscheidung mit longest prefix match

Ein Router hat die Einträge `192.168.10.0/24 -> if1`, `192.168.0.0/16 -> if2`, `0.0.0.0/0 -> if0`. An welches Interface geht ein Paket an 192.168.10.45?

Schritt 1 - Kandidaten prüfen
192.168.10.45 passt zu `192.168.10.0/24`, zu `192.168.0.0/16` und zur Default-Route `0.0.0.0/0`.
Schritt 2 - longest prefix match
Von den passenden Routen gewinnt die mit der längsten Präfixmaske: /24 ist spezifischer als /16 und /0.
Schritt 3 - Weiterleitung
Das Paket wird an `if1` (die /24-Route) weitergeleitet.

Ergebnis: Das Paket geht an if1; die Default-Route greift nur, wenn keine spezifischere Route passt.

Musterbeispiel

NAT-Mapping für zwei Geräte

Zwei Geräte (192.168.0.10 und 192.168.0.11) öffnen je eine HTTPS-Verbindung. Wie unterscheidet der Router die Antworten?

Schritt 1 - ausgehend
Gerät 1: 192.168.0.10:5001 -> Router übersetzt auf 203.0.113.5:40001. Gerät 2: 192.168.0.11:5001 -> 203.0.113.5:40002.
Schritt 2 - Tabelle
Der Router speichert beide Mappings in der PAT-Tabelle (privater Sockel <-> öffentlicher Sockel).
Schritt 3 - eingehend
Antwort an 203.0.113.5:40002 wird laut Tabelle auf 192.168.0.11:5001 zurückübersetzt.

Ergebnis: Durch eindeutige Quellports kann ein Router viele private Geräte hinter einer öffentlichen IP unterscheiden (Port Address Translation).

Schritt-für-Schritt Erklärung3 Schritte

1
Routing ist die Wegewahl: jeder Router schaut in seine Tabelle und nimmt die spezifischste passende Route.
NAT - Adressübersetzung am Router
Abb.Mehrere private Geräte teilen sich eine öffentliche IP; der Router führt eine Port-Mapping-Tabelle (PAT).
2
NAT ist die geniale Notlösung gegen IPv4-Knappheit - ein ganzes Heimnetz hinter einer Adresse.
3
IPv6 macht NAT überflüssig, weil es mehr Adressen gibt als Sandkörner auf der Erde.

SRDP-Aufgaben

SelbsttestAus der Fragenbank6 Punkte

Aufgabenstellung

Erläutere, wie NAT die Knappheit von IPv4-Adressen entschärft. Vergleiche IPv4 und IPv6 hinsichtlich Adressraum und Notwendigkeit von NAT.

Deine Antwortwird nicht automatisch bewertet

Typische Fehler

NAT mit Firewall gleichgesetzt - NAT übersetzt Adressen, eine Firewall filtert nach Regeln.
Private IP-Bereiche nicht gekannt oder mit öffentlichen verwechselt.
Annahme, IPv6 sei nur "ein längeres IPv4" - es ist ein eigener, nicht direkt kompatibler Adressraum (Dual Stack nötig).
IPv6-Kurzschreibweise (`::` für Nullgruppen) falsch oder mehrfach angewendet.

Aktive Wiederholung

Erkläre die Funktion von NAT in einem Heimnetz und beurteile, inwiefern IPv6 NAT überflüssig macht.

Aktiv abrufen

Erinnere dich an die Kernpunkte — dann aufdecken.

Quellen: RFC 1918 - Address Allocation for Private Internets (IETF) · RFC 8200 - Internet Protocol, Version 6 (IPv6) (IETF)

Netzwerksicherheit - Firewall, VPN und TLS#

VertiefungINF-Net-3.1INF-Net-3.2

RSA - Schlüsselpaar und Verschlüsselung

Abb. 6Public Key verschlüsselt, Private Key entschlüsselt; Sicherheit beruht auf Faktorisierung.

Eine Firewall filtert Datenverkehr nach Regeln (Quell-/Ziel-IP, Port, Protokoll); Stateful-Firewalls verfolgen den Verbindungszustand und lassen Antwortpakete automatisch zu.

Das Default-Deny-Prinzip (alles verbieten, nur Nötiges erlauben) ist sicherer als Default-Allow.

Ein VPN (Virtual Private Network) baut einen verschlüsselten Tunnel über das öffentliche Internet auf (z.B. WireGuard, IPsec, OpenVPN) und schützt Vertraulichkeit und Integrität.

TLS sichert Anwendungsverkehr (HTTPS) durch einen Handshake: Aushandeln der Cipher Suite, Server-Authentifizierung per Zertifikat, Schlüsselaustausch (heute meist ephemeres Diffie-Hellman für Perfect Forward Secrecy), danach symmetrische Verschlüsselung.

Ein Zertifikat bindet einen öffentlichen Schlüssel an eine Identität; eine Zertifizierungsstelle (CA) signiert es, der Browser prüft die Vertrauenskette.

Typische Angriffe: Man-in-the-Middle (durch Zertifikatsprüfung verhindert), DDoS (durch Rate-Limiting/Anycast gemildert), Port-Scanning (durch Firewall begrenzt).

Eine DMZ (demilitarisierte Zone) isoliert öffentlich erreichbare Server (Webserver) vom internen Netz.

Musterbeispiel

TLS-Handshake Schritt für Schritt

Beschreibe, wie Browser und Webserver beim Aufruf einer HTTPS-Seite eine sichere Verbindung aufbauen.

Schritt 1 - ClientHello
Der Browser sendet unterstützte TLS-Versionen, Cipher Suites und einen Zufallswert.
Schritt 2 - ServerHello + Zertifikat
Der Server wählt eine Cipher Suite, sendet sein Zertifikat (mit öffentlichem Schlüssel) und einen Zufallswert.
Schritt 3 - Zertifikatsprüfung
Der Browser prüft die Signaturkette bis zu einer vertrauenswürdigen CA und die Gültigkeit (Domain, Ablaufdatum).
Schritt 4 - Schlüsselaustausch
Per ephemerem Diffie-Hellman einigen sich beide auf ein gemeinsames Sitzungsgeheimnis (Perfect Forward Secrecy).
Schritt 5 - Finished
Beide bestätigen den Handshake; ab jetzt wird symmetrisch (z.B. AES-GCM) verschlüsselt - schnell und sicher.

Ergebnis: TLS erreicht Vertraulichkeit (symmetrische Verschlüsselung), Integrität (MAC/AEAD) und Authentizität (Server-Zertifikat); der MitM-Angriff scheitert an der Zertifikatsprüfung.

Musterbeispiel

Firewall-Regelsatz nach Default-Deny

Ein Webserver soll nur HTTP/HTTPS aus dem Internet annehmen, SSH nur aus dem internen Netz. Entwirf den Regelsatz.

Schritt 1 - Basis
Default-Policy: alle eingehenden Pakete verwerfen (Default-Deny).
Schritt 2 - Webzugriff
ALLOW TCP von beliebig nach Port 80 und 443.
Schritt 3 - Adminzugriff
ALLOW TCP von 192.168.0.0/16 nach Port 22 (SSH), alles andere auf 22 DENY.
Schritt 4 - Prüfung
Externer SSH-Versuch fällt unter Default-Deny und wird verworfen.

Ergebnis: Nur explizit erlaubter Verkehr passiert; SSH ist auf das interne Netz beschränkt - Angriffsfläche minimal.

Schritt-für-Schritt Erklärung3 Schritte

1
Eine Firewall ist der Türsteher des Netzes: erst die Regel, dann der Einlass - am sichersten mit Default-Deny.
2
TLS verheiratet asymmetrische und symmetrische Kryptografie: Zertifikat für Vertrauen, Sitzungsschlüssel für Tempo.
RSA - Schlüsselpaar und Verschlüsselung
Abb.Public Key verschlüsselt, Private Key entschlüsselt; Sicherheit beruht auf Faktorisierung.
3
Ein VPN spannt einen verschlüsselten Tunnel über das offene Internet - so als wäre man im Heimnetz.

SRDP-Aufgaben

SelbsttestAus der Fragenbank7 Punkte

Aufgabenstellung

Erkläre die Aufgaben einer Firewall und den Ablauf eines TLS-Handshakes. Diskutiere, welche Schutzziele jeweils adressiert werden.

Deine Antwortwird nicht automatisch bewertet

Typische Fehler

VPN und TLS gleichgesetzt - VPN tunnelt das gesamte Netz, TLS sichert eine einzelne Anwendungsverbindung.
Annahme, HTTPS verschlüssele auch die Ziel-IP/Domain (SNI ist teils sichtbar; DNS oft im Klartext).
Firewall als Allheilmittel: sie schützt nicht vor Angriffen über erlaubte Ports (z.B. über Port 443).
Selbstsignierte Zertifikate für Produktion verwendet - keine vertrauenswürdige CA-Kette.

Aktive Wiederholung

Erkläre den Ablauf eines TLS-Handshakes und beurteile, welche Schutzziele dabei erreicht werden.

Aktiv abrufen

Erinnere dich an die Kernpunkte — dann aufdecken.

Quellen: RFC 8446 - TLS 1.3 (IETF) · BSI - Mindeststandard zur Nutzung von TLS (BSI)