Notizen · InformatikDE · Abitur

Systeme und Netze — Rechnerarchitektur, OSI, TCP/IP, Subnetting

Die EPA Informatik fordert grundlegende Kenntnisse zur von-Neumann-Architektur, zum Schichtenmodell der Netzwerke (OSI/TCP-IP) und zu Protokollen, die im Internet zum Einsatz kommen. Subnetting und IP-Adressierung sind Standardthema in Klausuren der LK-Track.

6 Abschnitte~29 Min Lesezeit3 KompetenzenNiveau Basis 1 · Standard 3 · Vertiefung 2Stand 06/2026

T·0555 / 8

Prüfungsprofil

KB-MI · Modellieren und Implementieren — einfache Netzkonfigurationen entwerfen.KB-SD · Strukturieren und Darstellen — Schichtenmodelle und Paketabläufe darstellen.KB-BB · Begründen und Bewerten — Architektur- und Protokollwahl begründen.

Operatoren:erläuternanalysierenberechnenbeurteilendarstellen

grundlegendes Niveau

gA: von-Neumann-Rechner, OSI-Schichten benennen, IPv4-Adresse, Subnetzmaske und MAC-Adresse unterscheiden.

erhöhtes Niveau

eA: Subnetze berechnen (CIDR), TCP- vs. UDP-Eigenschaften gegenüberstellen, NAT/Firewall-Effekte erklären, Routing-Tabellen lesen.

Tiefe

Schrift

Inhalt · 6 Abschnitte

Systeme und Netze — Rechnerarchitektur, OSI, TCP/IP, Subnetting

Von-Neumann-Architektur und Rechnermodell#

BasisKMK-EPA-Inf-StrukturierenNRW-IF5BY-Inf-6

Von-Neumann-Architektur

Abb. 1CPU mit Rechen- und Steuerwerk, Bus-System, gemeinsamer Speicher für Daten und Programme.

Die von-Neumann-Architektur geht auf John von Neumanns „First Draft of a Report on the EDVAC" (1945) zurück und ist bis heute das Bauprinzip nahezu jedes Universalrechners. Sie gliedert den Rechner in fünf Funktionseinheiten: das Steuerwerk (Leitwerk — holt und decodiert Befehle, steuert den Ablauf), das Rechenwerk (ALU, die arithmetisch-logische Einheit), den Speicher (Hauptspeicher für Befehle und Daten), die Eingabe- und die Ausgabeeinheit; verbunden sind sie durch das Bussystem. Steuerwerk, Rechenwerk und die Register (sehr schnelle CPU-interne Zwischenspeicher) bilden zusammen den Prozessor (CPU). Vorläufer wie der ENIAC mussten für jedes neue Programm physisch umverdrahtet werden — die EDVAC-Idee löste das, indem das Programm wie Daten im Speicher liegt.

Das tragende von-Neumann-Prinzip ist das Speicherprogrammprinzip (stored program): Programm und Daten liegen binär codiert im selben Hauptspeicher und sind dort nicht voneinander unterscheidbar — ein Speicherwort kann als Befehl oder als Zahl gedeutet werden, je nachdem, wie der Prozessor es behandelt. Genau das macht den Rechner universell programmierbar (ein neues Programm ist nur ein neuer Speicherinhalt, kein neuer Schaltplan) und ist die praktische Umsetzung der universellen Turingmaschine (Querverweis Theoretische Informatik), die ein Programm als Teil ihrer Eingabe liest. Derselbe Mechanismus erlaubt aber auch, dass Programme sich selbst oder andere Programme als Daten erzeugen und verändern (Compiler, Lader — leider auch Schadcode, der Datenpuffer als Code ausführt).

Der Preis dieser Eleganz ist der von-Neumann-Flaschenhals (Bottleneck): Da Befehle und Daten über einen gemeinsamen Bus zwischen CPU und Speicher transportiert werden, können sie nicht gleichzeitig fließen — die schnelle CPU wartet häufig auf den vergleichsweise langsamen Speicher. Dieser Engpass ist also nicht ein Mangel an CPU-Takt, sondern die begrenzte Bandbreite und Latenz des Speicherzugriffs (oft „memory wall" genannt); Caches und die Harvard-Idee mildern ihn. Das Bussystem selbst besteht aus drei Teilen: dem Datenbus (Breite ≈ Wortbreite, z. B. 64 Bit), dem Adressbus (seine Breite legt den adressierbaren Speicher fest — 32 Adressleitungen adressieren 2³² Byte = 4 GiB) und dem Steuerbus (Lese-/Schreibsignal, Takt, Interrupts).

Programme werden im Befehlszyklus (von-Neumann-Zyklus, fetch–decode–execute) Befehl für Befehl abgearbeitet, getaktet vom Steuerwerk. Im Fetch (Holen) zeigt der Befehlszähler (Program Counter, PC) auf die nächste Befehlsadresse; der Befehl wird über den Adressbus aus dem Speicher in das Befehlsregister geladen, der PC wird erhöht. Im Decode (Decodieren) zerlegt das Steuerwerk den Befehl in Opcode (Operation) und Operanden (Adressen/Werte). Im Execute (Ausführen) führt das Rechenwerk die Operation aus (etwa eine Addition im Akkumulator), das Ergebnis wird ggf. in Register oder Speicher zurückgeschrieben. Ein Sprungbefehl wirkt, indem er den PC auf eine andere Adresse setzt — so entstehen Schleifen und Verzweigungen erst auf Maschinenebene.

Am Pseudo-Assembler-Beispiel durchläuft jeder Befehl genau diesen Zyklus — `LOAD` holt einen Wert aus dem Speicher in ein Register, `ADD` lässt die ALU zwei Register addieren, `STORE` schreibt das Ergebnis zurück in den Hauptspeicher: ``` LOAD R1, 100 ; lade Wert aus Adresse 100 in Register R1 ADD R1, R2 ; ALU: R1 <- R1 + R2 STORE R1, 200 ; speichere R1 in Adresse 200 ```

Die Harvard-Architektur trennt Programm- und Datenspeicher in getrennte Speicher mit getrennten Bussen. Ihr Vorteil: Befehl und Datum lassen sich gleichzeitig holen, der strukturelle Engpass entfällt und die Verarbeitung beschleunigt sich. Ihr Nachteil: Sie ist starrer und teurer, und Code lässt sich nicht mehr so leicht wie Daten behandeln. Eingesetzt wird sie in digitalen Signalprozessoren (DSP) und vielen Mikrocontrollern (z. B. AVR/Arduino); moderne PC-Prozessoren sind „modifizierte Harvard"-Architekturen — nach außen von-Neumann (ein gemeinsamer Hauptspeicher), intern aber mit getrennten L1-Caches für Befehle und Daten.

Den von-Neumann-Flaschenhals mildert die Speicherhierarchie: schnelle, kleine, teure Speicher nah an der CPU, langsame, große, billige fern davon. Von oben nach unten: Register (in der CPU, < 1 ns) → Cache L1 (~64 KiB, ~1 ns) → L2 (~MiB, ~5 ns) → L3 (~zig MiB, ~15 ns) → Hauptspeicher/DRAM (GiB, ~100 ns) → SSD/Festplatte (Bereich ms). Der Cache funktioniert nur wegen der Lokalität der Zugriffe: zeitliche Lokalität (kürzlich Benutztes wird bald wieder gebraucht) und räumliche Lokalität (benachbarte Adressen folgen meist). Bei einem Cache-Hit liefert der schnelle Cache sofort, bei einem Cache-Miss muss aus dem langsamen Hauptspeicher nachgeladen werden — Cache ist also ein Geschwindigkeitsausgleich, kein bloßes „macht schneller".

Typische Fehler

Von-Neumann-Bottleneck als CPU-Geschwindigkeit interpretiert — tatsächlich der gemeinsame Bus zwischen CPU und Speicher (Bandbreite/Latenz).
Register und Cache gleichgesetzt — Register sind direkt adressierte CPU-interne Speicher, der Cache ein transparenter Zwischenspeicher der Hierarchie.
Cache-Hierarchie verkehrt geordnet (groß/langsam zuerst) angegeben — L1 ist am kleinsten und schnellsten.
Steuerwerk und Rechenwerk verwechselt — das Steuerwerk holt/decodiert/taktet, das Rechenwerk (ALU) rechnet.
CPU mit „nur Rechenwerk" gleichgesetzt — sie umfasst Steuerwerk, Rechenwerk und Register.

LK-Vertiefung

eA-Vertiefung: Erläutern Sie, wie eine Befehls-Pipeline (Fetch, Decode, Execute, Write-Back überlappend) den Durchsatz erhöht, und begründen Sie, warum Daten- und Sprungabhängigkeiten (Hazards) den Gewinn begrenzen. Ordnen Sie die moderne „modifizierte Harvard"-Architektur (getrennte L1-Caches bei gemeinsamem Hauptspeicher) zwischen den beiden Reinformen ein.

Aktive Wiederholung

Erläutern Sie den Befehlszyklus eines von-Neumann-Rechners am Beispiel der Addition zweier Zahlen aus dem Hauptspeicher und benennen Sie für jeden Schritt die beteiligte Funktionseinheit und das beteiligte Register.

Aktiv abrufen

Erinnere dich an die Kernpunkte — dann aufdecken.

Schichtenmodelle — OSI und TCP/IP#

StandardKMK-EPA-Inf-StrukturierenNRW-IF5BY-Inf-6

OSI-Referenzmodell (7 Schichten) vs. TCP/IP (4 Schichten)

Abb. 2OSI ist didaktisches Modell mit sieben Schichten; TCP/IP ist das praktisch realisierte Vier-Schichten-Modell des Internets. Datenkapselung: jede Schicht ergänzt beim Senden einen Header, der Empfänger entfernt sie in umgekehrter Reihenfolge.

Vernetzung ist so komplex, dass man sie in Schichten zerlegt — jede Schicht erledigt eine klar umrissene Aufgabe, nimmt einen Dienst der Schicht unter sich in Anspruch und bietet einen Dienst an die Schicht über sich an. Das Leitprinzip ist die Trennung der Belange (separation of concerns): Solange die Schnittstelle gleich bleibt, lässt sich eine Schicht austauschen, ohne die anderen anzufassen — man kann WLAN gegen Ethernet (Schicht 1/2) tauschen, ohne HTTP (Schicht 7) zu ändern. Schichten kommunizieren horizontal nur logisch mit ihrer Gegenschicht auf dem anderen Rechner (peer-to-peer); physisch laufen die Daten beim Sender abwärts durch den Stapel, über das Medium und beim Empfänger wieder aufwärts.

Das OSI-Referenzmodell (ISO/IEC 7498, 1984) ist das didaktische Standardmodell mit 7 Schichten, von unten nach oben: (1) Bitübertragung (Physical — Bits als Signale, Kabel, Spannungen, Stecker), (2) Sicherung (Data Link — Rahmen/Frames, physische MAC-Adressen, Fehlererkennung per CRC; Gerät: Switch), (3) Vermittlung (Network — Routing und logische IP-Adressierung; Gerät: Router), (4) Transport (Ende-zu-Ende-Verbindung, Segmente, TCP/UDP, Ports), (5) Sitzung (Session — Auf-/Abbau und Steuerung von Dialogen), (6) Darstellung (Presentation — Codierung, Kompression, Verschlüsselung), (7) Anwendung (Application — HTTP/HTTPS, SMTP, IMAP, DNS, FTP, SSH).

Das TCP/IP-Modell (DARPA) ist dagegen das tatsächlich im Internet umgesetzte Modell mit nur 4 Schichten: Netzzugang (entspricht OSI 1–2), Internet (OSI 3, hier wohnt IP), Transport (OSI 4, TCP/UDP) und Anwendung (OSI 5–7 verschmolzen). Merksatz: OSI ist das saubere Lehrmodell, TCP/IP die gelebte Praxis; die Zuordnung ist nicht überall trennscharf (so liegt TLS funktional zwischen Transport und Anwendung). Auf Schicht 3 ist IP verbindungslos und „best effort" — es adressiert und vermittelt Pakete weltweit, garantiert aber weder Auslieferung noch Reihenfolge; Zuverlässigkeit stellt erst Schicht 4 (TCP) her.

Beim Senden wird die Nutzlast schichtweise gekapselt (Encapsulation): Jede Schicht setzt ihren eigenen Header (Schicht 2 zusätzlich einen Trailer mit Prüfsumme) vor die von oben erhaltenen Daten. Die Dateneinheiten (PDU) heißen je Schicht anders: Daten (Anwendung) → Segment (Transport, TCP-Header mit Quell-/Zielport und Sequenznummern) → Paket/Datagramm (Internet, IP-Header mit Quell-/Ziel-IP und TTL) → Rahmen/Frame (Netzzugang, Ethernet-Header mit Quell-/Ziel-MAC + CRC-Trailer) → Bits (Medium). Beim Empfänger entfernt jede Schicht ihren eigenen Header wieder (Entkapselung/Decapsulation) und reicht die Nutzlast nach oben weiter.

Konkret am Weg eines HTTPS-Pakets vom Browser zum Webserver: Schicht 7 erzeugt die HTTP-Anfrage (von TLS verschlüsselt), Schicht 4 verpackt sie in ein TCP-Segment an Port 443 mit Sequenznummern, Schicht 3 in ein IP-Paket mit Quell- und Ziel-IP und einer TTL, Schicht 2 in einen Ethernet-/WLAN-Rahmen an die MAC-Adresse des nächsten Hops (meist des Routers), Schicht 1 sendet die Bits. Jeder Router auf dem Weg liest nur bis Schicht 3, ersetzt den Schicht-2-Rahmen pro Teilstrecke neu und verringert die TTL um 1; nur die Endgeräte verarbeiten den Stapel bis hinauf zu Schicht 7. So bleibt das Netz im Kern einfach (nur Vermittlung), die Intelligenz sitzt an den Rändern (Ende-zu-Ende-Prinzip).

Die typische Geräte-zu-Schicht-Zuordnung ist klausurrelevant: ein Hub/Repeater arbeitet auf Schicht 1 (verstärkt nur Signale), ein Switch/Bridge auf Schicht 2 (leitet Rahmen anhand der MAC-Adresse gezielt weiter), ein Router auf Schicht 3 (vermittelt Pakete zwischen Netzen anhand der IP). Querverweis: Die IP-Adressierung und das Subnetting der Schicht 3 vertieft der folgende Abschnitt; die Sicherung der Anwendungsschicht durch HTTPS/TLS greift auf die asymmetrischen Verfahren und Zertifikate aus dem Topic Kryptographie und IT-Sicherheit zurück.

Typische Fehler

OSI- und TCP/IP-Schichten 1:1 gleichgesetzt — in TCP/IP sind OSI 5/6/7 zur Anwendungsschicht und OSI 1/2 zum Netzzugang verschmolzen.
HTTP auf Schicht 4 verortet — HTTP gehört auf Schicht 7, der Port (443) auf Schicht 4.
Den Router auf Schicht 2 oder den Switch auf Schicht 3 verortet — Router = IP (3), Switch = MAC (2).
IP als „zuverlässig" bezeichnet — IP ist verbindungslos und best-effort; Zuverlässigkeit liefert erst TCP auf Schicht 4.
Behauptet, jeder Router lese das gesamte Paket bis Schicht 7 — ein Router verarbeitet nur bis Schicht 3.

LK-Vertiefung

eA-Vertiefung: Erläutern Sie das Ende-zu-Ende-Prinzip („dummes" Kernnetz, intelligente Endgeräte) und begründen Sie, warum Zuverlässigkeit und Verschlüsselung sinnvoll an den Rändern (Schicht 4/7) statt im Vermittlungskern (Schicht 3) angesiedelt werden.

Aktive Wiederholung

Erläutern Sie den Weg eines HTTPS-Pakets vom Browser zum Webserver Schicht für Schicht im TCP/IP-Modell, nennen Sie pro Schicht das eingesetzte Protokoll und die Dateneinheit (PDU) und beschreiben Sie, was ein Router unterwegs damit tut.

Aktiv abrufen

Erinnere dich an die Kernpunkte — dann aufdecken.

IPv4-Adressierung, Subnetting und CIDR#

VertiefungNRW-IF5BY-Inf-6BW-Inf-6

Eine IPv4-Adresse ist 32 Bit lang und wird als vier dezimale Oktette zu je 8 Bit (Wert 0–255) geschrieben, etwa 192.168.1.42. Jede Adresse zerfällt in einen Netzanteil (Netz-ID) und einen Hostanteil (Host-ID); wo die Grenze liegt, legt die Subnetzmaske bzw. das CIDR-Präfix fest. Diese Trennung ist das Fundament des Routings: Router treffen ihre Weiterleitungsentscheidung allein anhand des Netzanteils, während alle Hosts eines Subnetzes denselben Netzanteil teilen und sich nur im Hostanteil unterscheiden. So muss ein Router nicht jede einzelne Adresse kennen, sondern nur Netze.

Die Subnetzmaske besteht aus einer lückenlosen Folge von 1-Bits (Netzanteil), gefolgt von 0-Bits (Hostanteil) — z. B. /24 = 255.255.255.0. Die CIDR-Notation `/p` (Classless Inter-Domain Routing) gibt direkt die Zahl p der Netzbits an. Bei p Netzbits bleiben h = 32 − p Hostbits, daraus folgen 2^h Adressen und 2^h − 2 nutzbare Hosts — die −2 stehen für die Netzadresse (alle Hostbits 0) und die Broadcast-Adresse (alle Hostbits 1), die nicht an Endgeräte vergeben werden. Für /24 ergibt das h = 8, also 2⁸ = 256 Adressen und 254 nutzbare Hosts (nicht 256!).

Die Netzadresse erhält man, indem man IP und Maske bitweise UND-verknüpft (alle Hostbits auf 0 setzt); die Broadcast-Adresse entsteht, indem man alle Hostbits auf 1 setzt. Praktisch rechnet man mit dem Blockgröße-Trick (magic number): Die Blockgröße = 256 − (Wert des letzten nicht-255-Oktetts der Maske); die Subnetzgrenzen liegen bei Vielfachen der Blockgröße. Beispiel 192.168.10.100/26: /26 → Maske 255.255.255.192, Blockgröße 256 − 192 = 64, also Subnetze .0, .64, .128, .192. Die .100 fällt in den Block .64–.127: Netzadresse .64, Broadcast .127, nutzbare Hosts .65 bis .126 (62 Stück = 2⁶ − 2).

Die CIDR-↔-Maske-Umrechnung zählt schlicht die Einsbits: /26 = 11111111.11111111.11111111.11000000 = 255.255.255.192; umgekehrt ergibt 255.255.255.224 ein /27 (drei gesetzte Bits im letzten Oktett: 128+64+32 = 224). Diese beidseitige Umrechnung — und die Tabelle der „runden" Maskenoktette 128/192/224/240/248/252/254/255 — sollte man auswendig parat haben, weil Klausuren beide Richtungen verlangen.

Die privaten Adressbereiche nach RFC 1918 sind im öffentlichen Internet nicht routbar und nur intern hinter NAT nutzbar: 10.0.0.0/8, 172.16.0.0/12 und 192.168.0.0/16. Sondernutzungen sind 127.0.0.0/8 (Loopback, „localhost") und 169.254.0.0/16 (APIPA/Link-local, wenn kein DHCP antwortet). NAT (Network Address Translation) übersetzt diese privaten Adressen auf eine einzige öffentliche IP und ist Standard in jedem Heim-Router; es lindert die IPv4-Knappheit, bricht aber die direkte Ende-zu-Ende-Kommunikation und zwingt dem Router einen Verbindungszustand auf (vertieft im Abschnitt Netzwerksicherheit).

Die eigentliche Lösung der Adressknappheit ist IPv6 mit 128 Bit (2¹²⁸ Adressen, praktisch unerschöpflich), notiert in acht Gruppen zu je 16 Bit in Hexadezimal, durch Doppelpunkte getrennt. Es gelten zwei Kürzungsregeln: führende Nullen je Gruppe dürfen entfallen (00ab → ab), und genau eine zusammenhängende Folge von Null-Gruppen darf durch `::` ersetzt werden — ein zweites `::` wäre mehrdeutig und ist verboten. Beispiel: 2001:0db8:0000:0000:0000:ff00:0042:8329 wird zu 2001:db8::ff00:42:8329.

MAC-Adresse vs. IP-Adresse: Die 48-Bit-MAC adressiert eine Netzschnittstelle physisch und bleibt im LAN konstant (Schicht 2); die IP adressiert logisch und ändert sich je Netz (Schicht 3). Das ARP (Address Resolution Protocol) löst innerhalb eines Subnetzes eine bekannte IPv4- in die zugehörige MAC-Adresse auf (per Broadcast „Wer hat IP x?", Unicast-Antwort); IPv6 nutzt dafür das Neighbor Discovery Protocol (NDP). Merke: Über den Router hinweg bleibt die Ziel-IP konstant, die Ziel-MAC wird pro Teilstrecke (Hop) neu gesetzt — genau das, was der Schichtenmodell-Abschnitt mit „der Rahmen wird pro Hop neu gebaut" meint.

\text{Hosts} = 2^{32 - p} - 2

Nutzbare Hosts in IPv4-Subnetz

p ist die Präfixlänge (z.B. /24 → 254 nutzbare Hosts); −2 wegen Netz- und Broadcast-Adresse.

Musterlösung

Subnetting eines /24-Netzes in vier Subnetze

Teilen Sie das Netz 192.168.10.0/24 in vier gleich große Subnetze. Geben Sie Netz-, erste Host-, letzte Host- und Broadcast-Adresse je Subnetz an.

Schritt 1 — Subnetzmaske bestimmen
4 Subnetze benötigen 2 zusätzliche Bits → neue Präfixlänge /26, Maske 255.255.255.192.
Schritt 2 — Subnetz-Blöcke
256 / 4 = 64 Adressen pro Subnetz. Subnetze: 192.168.10.0, .64, .128, .192 (jeweils /26).
Schritt 3 — Host-Bereiche
Pro Subnetz: 64 − 2 = 62 nutzbare Hosts. Beispiel Subnetz 1 (192.168.10.0/26): Netz .0, erste Host .1, letzte Host .62, Broadcast .63.
Schritt 4 — Tabelle
| Subnetz | Netz | erste Host | letzte Host | Broadcast | |---|---|---|---|---| | 1 | .0 | .1 | .62 | .63 | | 2 | .64 | .65 | .126 | .127 | | 3 | .128 | .129 | .190 | .191 | | 4 | .192 | .193 | .254 | .255 |

Ergebnis: Vier /26-Subnetze mit je 62 nutzbaren Hosts; Maske 255.255.255.192.

Musterlösung

IPv6-Adresse korrekt verkürzen

Verkürzen Sie die IPv6-Adresse 2001:0db8:0000:0000:0000:ff00:0042:8329 nach den beiden Standardregeln und begründen Sie, warum „::" nur einmal vorkommen darf.

Schritt 1 — Achtergruppen identifizieren
Die Adresse besteht aus acht 16-Bit-Gruppen (je vier Hexziffern): 2001 | 0db8 | 0000 | 0000 | 0000 | ff00 | 0042 | 8329.
Schritt 2 — Regel 1: führende Nullen je Gruppe streichen
Innerhalb jeder Gruppe entfallen führende Nullen: 2001 | db8 | 0 | 0 | 0 | ff00 | 42 | 8329. (Eine Gruppe 0000 wird zu „0", nicht leer.)
Schritt 3 — Regel 2: längsten Nullblock durch „::" ersetzen
Der längste zusammenhängende Block aus reinen Nullgruppen (hier die drei mittleren) wird durch „::" ersetzt → 2001:db8::ff00:42:8329. Probe: 2 Gruppen + (3 Nullgruppen via „::") + 3 Gruppen = 8.
Schritt 4 — Warum nur ein „::"
Käme „::" zweimal vor, ließe sich nicht mehr eindeutig rekonstruieren, wie viele Nullgruppen auf jede Stelle entfallen — die Adresse wäre mehrdeutig. Deshalb ist genau ein „::" pro Adresse zulässig.

Ergebnis: 2001:0db8:0000:0000:0000:ff00:0042:8329 = 2001:db8::ff00:42:8329 (eindeutig, da „::" nur einmal genutzt).

Typische Fehler

Vergessen, dass Netz- und Broadcast-Adresse nicht an Hosts vergeben werden (−2) — nutzbare Hosts = 2^h − 2, nicht 2^h.
/24-Maske als 256 nutzbare Hosts angegeben statt 254.
Die zugehörige IP dem falschen Block zugeordnet (Blockgröße falsch oder Grenzen nicht als Vielfache der Blockgröße angesetzt).
IPv6-Verkürzung (`::`) mehr als einmal in einer Adresse genutzt — nur einmal zulässig, sonst mehrdeutig.
Maske mit „Lücken" gebildet (Einsbits nicht zusammenhängend) — eine gültige Subnetzmaske ist stets eine ununterbrochene 1-Folge gefolgt von 0en.

LK-Vertiefung

eA-Vertiefung: Teilen Sie das Netz 10.0.0.0/16 in vier gleich große Subnetze und ermitteln Sie für jedes Subnetz die nutzbaren Hosts und Broadcast-Adressen.

Aktive Wiederholung

Berechnen Sie für das Netz 192.168.20.0/26 die Netzadresse, Broadcast-Adresse, Anzahl nutzbarer Hosts und die ersten drei vergebbaren IP-Adressen.

Aktiv abrufen

Erinnere dich an die Kernpunkte — dann aufdecken.

Betriebssysteme — Prozesse, Threads und Scheduling#

StandardNRW-IF5BY-Inf-6BW-Inf-6

Prozesszustände eines Betriebssystems

Abb. 3Ein Prozess wechselt zwischen bereit, rechnend und blockiert; der Scheduler steuert die Übergänge zwischen bereit und rechnend.

Ein Betriebssystem (BS) hat zwei Rollen: Als Verwalter teilt es die knappen Hardware-Ressourcen (CPU, Hauptspeicher, Ein-/Ausgabe) auf konkurrierende Programme auf; als abstrakte (virtuelle) Maschine verbirgt es die Hardware-Details hinter sauberen Schnittstellen (Dateien statt Sektoren, Prozesse statt CPU-Takte). Es trennt dazu Kernmodus (privilegiert, voller Hardwarezugriff) von Benutzermodus (eingeschränkt); ein Programm fordert privilegierte Dienste über Systemaufrufe (system calls) an. So sichert das BS Schutz (Prozesse können sich nicht gegenseitig den Speicher zerstören) und Multiplexing (viele Programme teilen sich eine CPU, als hätte jedes seine eigene).

Ein Prozess ist ein Programm in Ausführung mit eigenem, geschütztem Adressraum (Code, Daten, Heap, Stack) und einem Prozesskontrollblock (PCB) für seinen Zustand. Ein Thread ist dagegen ein Ausführungsstrang innerhalb eines Prozesses: Mehrere Threads desselben Prozesses teilen Code, Heap und globale Daten, besitzen aber jeweils eigenen Stack, eigene Register und einen eigenen Befehlszähler. Der praktische Unterschied: Threads sind „billiger" (schnellerer Kontextwechsel, direkte Kommunikation über den gemeinsamen Speicher), erkaufen das aber mit dem Zwang zur Synchronisation, weil sie auf dieselben Daten zugreifen.

Ein Prozess durchläuft drei Hauptzustände (siehe Abb. zum Prozesszustandsdiagramm): bereit (lauffähig, wartet auf die CPU), rechnend (besitzt gerade die CPU) und blockiert (wartet auf ein Ereignis, z. B. das Ende einer Ein-/Ausgabe). Die Übergänge: Dispatch (bereit → rechnend, der Scheduler teilt die CPU zu), Timeout/Quantum-Ende (rechnend → bereit, die Zeitscheibe ist abgelaufen), Blockieren (rechnend → blockiert, bei einer E/A-Anforderung) und Aufwecken (blockiert → bereit, das Ereignis ist eingetreten). Der Scheduler entscheidet, welcher bereite Prozess als nächstes rechnet; der Dispatcher führt den eigentlichen Kontextwechsel durch.

Die wichtigsten Scheduling-Strategien unterscheiden sich in Fairness, Effizienz und Verdrängbarkeit. FCFS (First-Come-First-Served) ist eine reine FIFO-Warteschlange — fair und ohne Verdrängung, aber anfällig für den Konvoi-Effekt (ein langer Prozess blockiert viele kurze). SJF (Shortest-Job-First) bedient den kürzesten Prozess zuerst und minimiert beweisbar die mittlere Wartezeit, setzt aber bekannte Bedienzeiten voraus und kann lange Prozesse aushungern (Starvation). Round-Robin weist jedem Prozess reihum eine Zeitscheibe (Quantum) q zu und ist damit verdrängend und ideal für interaktive Systeme; die Wahl von q ist ein Kompromiss: zu klein → der Kontextwechsel-Overhead dominiert, zu groß → Round-Robin entartet zu FCFS. Prioritätsbasiertes Scheduling bevorzugt wichtige Prozesse, braucht gegen Starvation aber ein Aging (Warten erhöht die Priorität).

Für die Bewertung rechnet man zwei Kennzahlen: die Verweilzeit (Durchlaufzeit, turnaround) = Fertigstellungszeit − Ankunftszeit und die Wartezeit = Verweilzeit − Bedienzeit (die reine CPU-Zeit/der CPU-Burst). Beispiel mit FCFS und Ankunft bei t = 0 für P1 (Bedienzeit 8), P2 (4), P3 (2) in dieser Reihenfolge: P1 wartet 0, P2 wartet 8, P3 wartet 12 → mittlere Wartezeit (0+8+12)/3 ≈ 6,7. Bedient man stattdessen nach SJF (P3, P2, P1): 0, 2, 6 → mittlere Wartezeit (0+2+6)/3 ≈ 2,7 — derselbe Prozessmix, deutlich kürzere mittlere Wartezeit, weil die kurzen Prozesse zuerst laufen (das nebenstehende Round-Robin-Rechenbeispiel zeigt die verdrängende Variante).

Eine Verklemmung (Deadlock) ist ein Zustand, in dem mehrere Prozesse zyklisch aufeinander warten und keiner je weiterkommt. Sie kann nur entstehen, wenn die vier Coffman-Bedingungen gleichzeitig gelten: gegenseitiger Ausschluss (eine Ressource ist exklusiv), Hold-and-Wait (ein Prozess hält eine Ressource und fordert eine weitere an), keine Verdrängung (Ressourcen werden nicht zwangsweise entzogen) und zyklisches Warten (eine geschlossene Wartekette). Verhindert man eine davon, ist Deadlock ausgeschlossen — daraus folgen die Strategien Vermeidung (z. B. Bankier-Algorithmus), Verhütung (eine Bedingung strukturell ausschließen) und Erkennung + Auflösung. Sauber abzugrenzen: Deadlock (für immer blockiert) ≠ Livelock (Prozesse sind aktiv, machen aber keinen Fortschritt) ≠ Starvation (ein Prozess wird dauerhaft zurückgestellt).

Greifen mehrere Threads unsynchronisiert auf gemeinsame Daten zu, drohen Race Conditions (das Ergebnis hängt von der zufälligen Verschachtelung ab). Der gefährdete Codeabschnitt heißt kritischer Abschnitt; ihn schützt der gegenseitige Ausschluss (mutual exclusion) über ein Semaphor (Dijkstra; Zählvariable mit den atomaren Operationen P/wait und V/signal), einen Mutex (binäres Schloss) oder einen Monitor (sprachintegriert, z. B. `synchronized` in Java). Schließlich entkoppelt der virtuelle Speicher die logischen Adressen der Prozesse von den physischen über die MMU und eine Seitentabelle; Paging lagert selten benötigte Seiten auf die Platte aus, ein Page Fault löst das Nachladen aus — so kann mehr Speicher genutzt werden, als physisch vorhanden ist, und Prozesse bleiben voneinander isoliert.

\overline{T}_{\text{warte}} = \frac{1}{n}\sum_{i=1}^{n} (B_i - A_i - D_i)

Mittlere Wartezeit eines Schedulers

B_i Beendigung, A_i Ankunft, D_i Bedienzeit (CPU-Burst) des Prozesses i; Maß zur Bewertung von FCFS, SJF, Round-Robin.

Musterlösung

Round-Robin-Scheduling mit Quantum q = 2

Berechnen Sie für drei Prozesse die Beendigungszeit, Verweildauer und mittlere Wartezeit unter Round-Robin (Zeitquantum q = 2). Gegeben: P1 (Ankunft 0, Bedienzeit 5), P2 (Ankunft 1, Bedienzeit 3), P3 (Ankunft 2, Bedienzeit 1).

Schritt 1 — Bereit-Warteschlange aufbauen
Bei t = 0 ist nur P1 bereit. Neu ankommende Prozesse werden hinten eingereiht; ein verdrängter Prozess wird nach den bereits Wartenden wieder angehängt.
Schritt 2 — Ablauf simulieren
P1[0–2] (Rest 3), P2[2–4] (Rest 1), P3[4–5] fertig, P1[5–7] (Rest 1), P2[7–8] fertig, P1[8–9] fertig. Beendigung: P1 = 9, P2 = 8, P3 = 5.
Schritt 3 — Verweildauer und Wartezeit
Verweildauer = Beendigung − Ankunft: P1 = 9, P2 = 7, P3 = 3. Wartezeit = Verweildauer − Bedienzeit: P1 = 4, P2 = 4, P3 = 2.
$\overline{T}_{\text{warte}} = \frac{1}{n}\sum_{i=1}^{n} (B_i - A_i - D_i)$
Mittlere Wartezeit eines Schedulers
B_i Beendigung, A_i Ankunft, D_i Bedienzeit (CPU-Burst) des Prozesses i; Maß zur Bewertung von FCFS, SJF, Round-Robin.
Schritt 4 — Mittelwert und Interpretation
Mittlere Wartezeit = (4 + 4 + 2) / 3 = 10/3 ≈ 3,33 Zeiteinheiten. Round-Robin verhindert das Aushungern langer Prozesse, erhöht aber durch Kontextwechsel den Overhead gegenüber SJF.

Ergebnis: Beendigung P1 = 9, P2 = 8, P3 = 5; mittlere Wartezeit ≈ 3,33 Zeiteinheiten.

Typische Fehler

Prozess und Thread gleichgesetzt — Threads teilen den Adressraum (Code/Heap), besitzen aber je einen eigenen Stack; Prozesse sind voll getrennt.
Wartezeit mit Verweilzeit verwechselt: Wartezeit = Verweilzeit − Bedienzeit (die Bedienzeit ist nicht „Wartezeit").
Round-Robin-Quantum zu klein gewählt — dann dominiert der Kontextwechsel-Overhead; zu groß degeneriert es zu FCFS.
Deadlock mit Livelock oder Starvation vermischt — Deadlock = blockiert, Livelock = aktiv ohne Fortschritt, Starvation = dauerhaft zurückgestellt.
SJF als „immer optimal" gepriesen, ohne die Voraussetzung (bekannte Bedienzeiten) und die Starvation-Gefahr zu nennen.

LK-Vertiefung

eA-Vertiefung: Analysieren Sie ein Erzeuger-Verbraucher-Szenario mit beschränktem Puffer und geben Sie eine korrekte Semaphor-Lösung (leer, voll, mutex) an.

Aktive Wiederholung

Berechnen Sie für vier Prozesse die mittlere Wartezeit unter FCFS und SJF und beurteilen Sie, welche Strategie hier vorteilhafter ist.

Aktiv abrufen

Erinnere dich an die Kernpunkte — dann aufdecken.

Transportschicht — TCP, UDP, Ports und Sockets#

StandardNRW-IF5BY-Inf-6

TCP-Drei-Wege-Handshake und Verbindungsabbau

Abb. 4Verbindungsaufbau über SYN, SYN-ACK, ACK; Abbau über FIN/ACK. Sequenz- und Bestätigungsnummern synchronisieren beide Seiten.

Die Transportschicht stellt eine Verbindung Ende-zu-Ende zwischen Prozessen her (die IP-Schicht adressiert nur Hosts) und unterscheidet zwischen den Diensten desselben Rechners über Ports. Sie bietet zwei gegensätzliche Philosophien an: TCP ist verbindungsorientiert, zuverlässig und reihenfolgetreu (ein geordneter Byte-Strom), UDP ist verbindungslos und ungesichert (einzelne Datagramme). Die Wahl zwischen beiden ist eine der häufigsten Beurteilungsaufgaben der Klausur.

TCP baut eine Verbindung mit dem Drei-Wege-Handshake auf, der die Sequenznummern beider Seiten synchronisiert: Der Client sendet SYN (mit seiner Anfangs-Sequenznummer x), der Server antwortet mit SYN-ACK (eigene Sequenznummer y, Bestätigung ack = x+1), der Client schließt mit ACK (ack = y+1). Drei Schritte sind nötig (nicht zwei), weil beide Seiten bestätigen müssen, dass sie senden und empfangen können — erst danach steht ein gesicherter, bidirektionaler Kanal. Der Abbau erfolgt spiegelbildlich mit FIN/ACK in beide Richtungen (Vier-Wege); der TIME_WAIT-Zustand am Schluss verhindert, dass verspätete Altpakete eine frisch wiederverwendete Verbindung stören.

Die Zuverlässigkeit von TCP ruht auf mehreren Mechanismen: Sequenz- und Bestätigungsnummern zählen Bytes (nicht Pakete) und ordnen so den Strom; Retransmission sendet nach Timeout oder mehrfachen Duplikat-ACKs erneut; die Flusskontrolle (Sliding Window) lässt den Empfänger seine freie Puffergröße ankündigen, damit ein schneller Sender ihn nicht überrennt; die Staukontrolle (Slow Start, Congestion Avoidance) schützt dagegen das Netz vor Überlastung, indem TCP die Senderate vorsichtig erhöht und bei Verlust drosselt. Klausurfalle: Flusskontrolle bändigt den Empfänger, Staukontrolle das Netz — das sind zwei verschiedene Regelkreise.

UDP verzichtet auf Handshake, Bestätigungen und Reihenfolge und kommt mit einem winzigen 8-Byte-Header aus. Es ist daher nicht „unbrauchbar", sondern gerade richtig, wo niedrige Latenz zählt und ein verlorenes Paket weniger schadet als seine verspätete Wiederholung: DNS (eine kurze Anfrage/Antwort), VoIP und Videostreaming (ein nachgeliefertes altes Bild wäre wertlos), Online-Spiele, DHCP. Anwendungen können fehlende Garantien selbst nachrüsten — so setzt das moderne QUIC (Grundlage von HTTP/3) Zuverlässigkeit und Verschlüsselung über UDP, um den langsamen TCP-Verbindungsaufbau zu umgehen.

Ein Port ist eine 16-Bit-Zahl (0–65535) und adressiert den Dienst auf einem Host. Die Well-Known-Ports (0–1023) sind fest vergeben: 80 (HTTP), 443 (HTTPS), 22 (SSH), 25 (SMTP), 53 (DNS), 21 (FTP), 143 (IMAP). Ein Server lauscht auf seinem Well-Known-Port, der Client nutzt einen kurzlebigen ephemeren Port aus dem hohen Bereich. Ein Socket ist das Endpunkt-Paar (IP-Adresse, Port); eine konkrete TCP-Verbindung ist durch das 4-Tupel (Quell-IP, Quell-Port, Ziel-IP, Ziel-Port) eindeutig identifiziert. Genau deshalb kann ein Server-Port 443 gleichzeitig tausende Clients bedienen — jede Verbindung trägt ein anderes 4-Tupel.

Typische Fehler

UDP als „unbrauchbar weil unzuverlässig" abgetan — für latenzkritische, verlusttolerante Dienste ist es gerade richtig.
Handshake auf zwei statt drei Schritte verkürzt — beide Seiten müssen Sende- und Empfangsfähigkeit bestätigen.
Flusskontrolle und Staukontrolle gleichgesetzt — erstere schützt den Empfänger, letztere das Netz.
Port und IP-Adresse verwechselt — die IP adressiert den Host, der Port den Dienst.
TCP-Sequenznummern als bloße Paketzähler statt als Byte-Offsets beschrieben.

LK-Vertiefung

eA-Vertiefung: Erläutern Sie das Sliding-Window-Verfahren der Flusskontrolle (der Empfänger kündigt sein freies Fenster an) und grenzen Sie es vom Slow Start der Staukontrolle ab. Begründen Sie, warum QUIC seine Zuverlässigkeit auf UDP statt auf TCP aufsetzt und welchen Latenzvorteil das bringt.

Aktive Wiederholung

Erläutern Sie den TCP-Drei-Wege-Handshake mit Sequenz- und Bestätigungsnummern und beurteilen Sie, warum für einen Live-Videostream UDP gegenüber TCP bevorzugt wird.

Aktiv abrufen

Erinnere dich an die Kernpunkte — dann aufdecken.

Netzwerksicherheit — Firewall, NAT, VPN und DNS#

VertiefungNRW-IF5BY-Inf-6BW-Inf-6

Eine Firewall filtert den Datenverkehr nach einem Regelwerk, das idealerweise einer „default deny"-Politik folgt (alles verbieten, was nicht ausdrücklich erlaubt ist). Drei Stufen sind zu unterscheiden: Ein Paketfilter prüft zustandslos die Header (Quell-/Ziel-IP, Port, Protokoll) und entscheidet pro Paket isoliert; die Stateful Inspection führt zusätzlich eine Zustandstabelle der bestehenden Verbindungen und lässt Antwortpakete einer von innen aufgebauten Verbindung automatisch durch, ohne eine eigene Eingangsregel; ein Application-Layer-Gateway/Proxy schaut bis in die Schicht-7-Inhalte (z. B. HTTP) hinein. Sensible Server stehen oft in einer DMZ (demilitarisierte Zone) — einem von Firewalls eingefassten Zwischennetz, das vom internen Netz getrennt ist.

NAT (Network Address Translation) übersetzt private auf öffentliche Adressen; in der Heimnetz-Variante PAT/Masquerading multiplext es viele interne Hosts über eine öffentliche IP, indem es in einer NAT-Tabelle (interne IP:Port) ↔ (öffentliche IP:Port) abbildet und so Antwortpakete dem richtigen internen Host zuordnet. Als Nebeneffekt wirkt NAT wie eine grobe Eingangssperre — ein unaufgefordertes Paket von außen findet keinen Tabelleneintrag und wird verworfen —, doch das ist kein Sicherheitsmechanismus: Es prüft keine Inhalte, kennt keine Regeln und ersetzt keine Firewall.

Das DNS löst Domainnamen hierarchisch in IP-Adressen auf: Ein rekursiver Resolver fragt sich von den Root-Servern über die TLD-Server (z. B. für .de) bis zum autoritativen Server der Domain durch und legt Ergebnisse für die TTL-Dauer im Cache ab. Caching beschleunigt, eröffnet aber Angriffe: Klassisches DNS läuft im Klartext und ist anfällig für DNS-Spoofing/Cache-Poisoning (untergeschobene falsche Antworten). Gegenmaßnahmen wirken auf verschiedenen Ebenen — DNSSEC signiert die Antworten und sichert so Integrität und Authentizität (aber keine Vertraulichkeit), während DoH/DoT den Transport verschlüsseln (Vertraulichkeit).

Ein VPN (Virtual Private Network) baut einen verschlüsselten Tunnel über ein unsicheres Netz (IPsec, WireGuard, OpenVPN); es schützt die Vertraulichkeit aller getunnelten Daten und ermöglicht den sicheren Fernzugriff auf interne Netze (Homeoffice). Es ist scharf von einem reinen Proxy zu trennen: Ein Proxy leitet stellvertretend Anfragen weiter, verschlüsselt aber nicht zwingend den gesamten Verkehr — erst der VPN-Tunnel verbirgt Inhalt und (oft) Metadaten durchgängig.

TLS sichert die Anwendungsschicht und leistet drei Dinge zugleich, nicht nur Verschlüsselung: Authentifizierung der Gegenstelle (über ein Zertifikat der PKI), Schlüsselaustausch (DH/ECDHE) und die symmetrische Verschlüsselung plus Integritätssicherung der Nutzdaten (MAC/AEAD). Wer TLS auf „Verschlüsselung" verkürzt, übersieht, dass ohne die Zertifikatsprüfung ein Angreifer sich als der Server ausgeben könnte (Querverweis Kryptographie: Zertifikate, PKI, Forward Secrecy).

Weil kein Einzelmechanismus genügt, kombiniert man Schutzschichten zur Verteidigung in der Tiefe (defense in depth): Firewall, Netz-Segmentierung (DMZ, VLANs), IDS/IPS (Erkennung/Abwehr von Angriffen), Verschlüsselung, Patch-Management, geringste Rechte (least privilege) und Backups. Das modernere Zero-Trust-Prinzip geht noch weiter und gewährt kein implizites Vertrauen aufgrund der Netzposition — jede Anfrage wird authentifiziert, autorisiert und verschlüsselt (vertieft im Abschnitt Cybersicherheit; Bezug zur CIA-Triade).

Typische Fehler

NAT als Sicherheitsmechanismus überschätzt — es prüft keine Inhalte und ersetzt keine Firewall.
VPN und Proxy gleichgesetzt — nur der VPN-Tunnel verschlüsselt durchgängig den gesamten Verkehr.
DNS als verschlüsseltes Protokoll angenommen — klassisches DNS ist im Klartext (erst DoH/DoT verschlüsseln, DNSSEC signiert nur).
DNSSEC und DoH/DoT gleichgesetzt — DNSSEC sichert Integrität/Authentizität, DoH/DoT die Vertraulichkeit des Transports.
TLS auf reine „Verschlüsselung" reduziert — Server-Authentifizierung und Integrität gehören dazu.

LK-Vertiefung

eA-Vertiefung: Erläutern Sie den TLS-Handshake und begründen Sie, warum Forward Secrecy (ephemere DH-Schlüssel) auch bei späterem Diebstahl des privaten Schlüssels die aufgezeichneten Sitzungen schützt.

Aktive Wiederholung

Analysieren Sie ein Heimnetz mit Router-NAT und beurteilen Sie, welche Schutzwirkung NAT bietet und wo eine zusätzliche Firewall erforderlich ist.

Aktiv abrufen

Erinnere dich an die Kernpunkte — dann aufdecken.

Systeme und Netze — Rechnerarchitektur, OSI, TCP/IP, Subnetting

6 Abschnitte~29 Min Lesezeit3 KompetenzenNiveau Basis 1 · Standard 3 · Vertiefung 2Stand 06/2026