IT-Sicherheit

Übungsaufgaben zur Serverraum-Sicherheit: Zutrittskontrolle, Einbruchmeldeanlage, Brandschutz und Klima

Zwei umfangreiche Übungsaufgaben: Für den Serverraum eines Berufskollegs planst Du die RFID-Zutrittskontrolle mit Türöffner, ordnest Angriffe auf RFID-Systeme zu und richtest die Umgebungsüberwachung mit Sensoren, PoE-Budget und Kühlleistung ein. Für einen Fahrradhersteller planst Du die Einbruchmeldeanlage, berechnest den Linienwiderstand und kümmerst Dich um Brandschutz und Potenzialausgleich.

Serverraum absichern: Zutrittskontrolle, Einbruchmeldeanlage, Brandschutz und Klima

Firewalls und Passwörter helfen nichts, wenn jemand den Server aus dem Rack trägt oder der Raum überhitzt. Der Artikel zeigt die physischen Gefahren für einen Serverraum, unterscheidet Zutritts-, Zugangs- und Zugriffskontrolle, erklärt RFID-Zutrittskontrolle und Einbruchmeldeanlage mit Melde- und Sabotagelinie samt Linienwiderstand sowie Brandschutz, Klima und Umgebungsüberwachung.

Unterbrechungsfreie Stromversorgung (USV): Typen, Auswahl und Dimensionierung

Ein Stromausfall von wenigen Millisekunden reicht, damit ein Server abstürzt. Eine USV überbrückt Ausfälle und filtert Netzstörungen. Du unterscheidest die Typen Offline (VFD), Line-Interactive (VI) und Online (VFI) anhand ihrer Blockschaltbilder, wählst eine USV nach Schein- und Wirkleistung mit Reserve aus und berechnest Autonomiezeit, Shutdown-Zeitpunkt und Akkukapazität – dazu Bypass, Einspeisung und die Kommunikation mit den Servern.

Übungsaufgaben zur Hochverfügbarkeit

Drei Übungsaufgaben zur Hochverfügbarkeit: Du berechnest Ausfallzeiten, Umsatzverluste, Verfügbarkeitsklassen und die Gesamtverfügbarkeit eines Onlineshops und erläuterst RTO und RPO, Du findest und beseitigst Single Points of Failure in der Technik eines Barcamps mit Failover-Cluster und Gateway-Redundanz, und Du planst Lastverteilung, Skalierung und unterbrechungsfreie Updates für eine Mitfahr-App.

Hochverfügbarkeit: Ausfallzeiten berechnen, Redundanz planen

Wie lange darf ein Dienst bei 99,9 % Verfügbarkeit ausfallen, und wie erreicht man überhaupt so hohe Werte? Der Artikel zeigt, wie Du Ausfallzeiten, Verfügbarkeitsklassen und die Gesamtverfügbarkeit verketteter und redundanter Komponenten berechnest, Single Points of Failure findest und mit Redundanz, Failover-Cluster, Lastverteilung und Skalierung beseitigst und RTO und RPO für die Wiederherstellung festlegst.

Datensicherung und Archivierung: Sicherungsarten, Generationenprinzip und 3-2-1-Regel

Eine Datensicherung (Backup) ist eine Kopie, mit der sich Daten nach Löschen, Defekt, Diebstahl oder Ransomware wiederherstellen lassen. Der Artikel erklärt Voll-, inkrementelle und differenzielle Sicherung samt Archivbit und Wiederherstellungsreihenfolge, das Generationenprinzip, die 3-2-1-Regel, Speichermedien von der externen Festplatte über LTO-Band bis zur Cloud, die Berechnung von Sicherungszeiten, RPO und RTO, organisatorische Maßnahmen eines Backup-Konzepts und den Unterschied zwischen Datensicherung und revisionssicherer Archivierung.

Übungsaufgaben zum Notfallmanagement

Drei Übungsaufgaben zum Notfallmanagement: Nach einem Ransomwareangriff auf eine Nachbarschule bereitest Du die Notfallvorsorge eines Berufskollegs vor (Stufe 2), prüfst Wiederanlaufziele und einen Disaster-Recovery-Plan für die Fertigungssteuerung eines Rahmenherstellers (Stufe 3) und entwickelst Notfallkonzept, Datenabgleich und Incident Response für ein vernetztes Lager (Stufe 3).

Notfallmanagement: Notfallkonzept, BCM, Disaster Recovery und Incident Response

Ausfälle lassen sich nicht vollständig verhindern – aber vorbereiten. Der Artikel erklärt, wie sich Störung, Notfall und Krise unterscheiden, wie Business Continuity Management (BCM) in vier Phasen funktioniert, wie Du mit einer Business-Impact-Analyse zeitkritische Prozesse sowie RTO und RPO bestimmst, was in Notfallkonzept, Notfallhandbuch und Disaster-Recovery-Plan steht und wie ein Unternehmen auf einen Sicherheitsvorfall wie einen Ransomwareangriff reagiert.

Übungsaufgaben zum Informationssicherheitsmanagement

Zwei Übungsaufgaben zum Informationssicherheitsmanagement: Ein Fahrrad-Onlineshop baut ein ISMS auf – mit Regelwerken, Aufbauschritten, der Rolle der oder des Informationssicherheitsbeauftragten, Risikobewertung und -behandlung, elementaren Gefährdungen und einer Cyberversicherung. Eine Freizeit-App lässt vor dem Relaunch einen Penetrationstest durchführen – mit Phasen, Vertragsfragen, einem englischen Angebotstext, weiteren Prüfungen, Security by Design und by Default sowie Least Privilege und Zero Trust.

Informationssicherheit managen: ISMS, IT-Grundschutz, Risikobehandlung und Penetrationstest

Ein Informationssicherheitsmanagementsystem (ISMS) sorgt dafür, dass Informationssicherheit geplant, umgesetzt, geprüft und verbessert wird. Der Artikel erklärt den Unterschied zum Datenschutz, die Regelwerke ISO/IEC 27001 und IT-Grundschutz, den Aufbau eines ISMS, die Rolle der oder des Informationssicherheitsbeauftragten, Risikobewertung und -behandlung, Cyberversicherung, Security by Design und by Default sowie Audits und Penetrationstests.

Übungsaufgaben zu E-Mail-Diensten

Zwei Übungsaufgaben zum Betrieb von E-Mail-Diensten: einen Mailserver mit IMAP und SMTP-Submission einrichten, Mailprogramme anhand einer Serverantwort konfigurieren, Fehlermeldungen und DNS-Einträge auswerten, SPF, DKIM und DMARC einrichten, einen englischen Fachtext zur Transportverschlüsselung auswerten, S/MIME und OpenPGP vergleichen und Schutzmaßnahmen gegen Spam und Phishing beschreiben.

E-Mail-Dienste sicher betreiben: SMTP, IMAP, SPF, DKIM, DMARC und Verschlüsselung

E-Mail ist alt, offen und gerade deshalb ein beliebtes Einfallstor für Angriffe. Du lernst, welche Stationen eine E-Mail vom Absender bis ins Postfach durchläuft und welche Aufgaben SMTP, IMAP und POP3 dabei übernehmen. Danach geht es um die richtige Einrichtung von Mailprogrammen (Ports, STARTTLS, Anmeldeverfahren), um die Absenderprüfung mit SPF, DKIM und DMARC, um Spam- und Phishingschutz am Mailserver und um den Unterschied zwischen Transport- und Ende-zu-Ende-Verschlüsselung mit S/MIME und OpenPGP. Eine Tabelle typischer Fehlerbilder hilft Dir, Zustellprobleme systematisch einzugrenzen.

Übungsaufgaben zu VPN

Vier Übungsaufgaben zu VPN: Du ordnest VPN-Arten zu, vervollständigst den Netzwerkplan der VPN-Verbindungen eines Fahrradhändlers und bestimmst innere und äußere Adressen im IPsec-Tunnel. In einem Schulnetz suchst Du Fehler bei Lehrkräften im Homeoffice – von Zugangsdaten über Routen bis zur MTU –, und zum Schluss erläuterst Du eine WireGuard-Konfiguration für einen Wartungszugang.

VPN: Arten, IPsec, Auswahl und Fehlersuche

Ein VPN verbindet Geräte oder Netze über das Internet so, als lägen sie in einem gemeinsamen privaten Netz: Die Daten laufen verschlüsselt und authentifiziert durch einen Tunnel. Du lernst die VPN-Arten Site-to-Site, End-to-Site und End-to-End kennen, dazu IPsec, OpenVPN und WireGuard, die Wahl von TCP oder UDP und Split- oder Full-Tunnel. Zum Schluss findest Du eine Checkliste für die Fehlersuche.

Firewall, DMZ, Proxy und IDS/IPS: Netze abschotten und überwachen

Eine Firewall entscheidet anhand von Regeln, welcher Datenverkehr zwischen Netzen erlaubt ist. Der Artikel erklärt Paketfilter, Stateful Packet Inspection und Next Generation Firewall entlang des OSI-Modells, zeigt, wie man Regeltabellen liest und erstellt, wozu eine DMZ dient und wie sie aufgebaut wird, wie sich Forward- und Reverse-Proxy unterscheiden und wie IDS und IPS Angriffe erkennen. Dazu kommen Netzsegmentierung, Zonen in Industrienetzen und das Lesen von Firewall-Datenblättern.

Zertifikate und TLS im Betrieb: Handshake, PKI und Fehlersuche

Vertiefung für alle, die Server, Firewalls oder VPN-Zugänge selbst einrichten: Der Artikel zeigt den TLS-1.3-Handshake Schritt für Schritt, begründet, warum TLS 1.2 abgelöst werden sollte, beschreibt das Beantragen und Einrichten eines Serverzertifikats, die Wahl zwischen interner und externer Zertifizierungsstelle, das Deuten von Zertifikatswarnungen und TLS-Fehlermeldungen, TLS-Inspection auf Firewalls und Proxys, den Umgang mit einem kompromittierten CA-Schlüssel und die Kryptografie im VPN.

Übungsaufgaben zur Kryptografie: Verschlüsselung, Signatur, Zertifikate und Passwörter

Acht Übungsaufgaben zu symmetrischer, asymmetrischer und hybrider Verschlüsselung, TLS und Zertifikaten, Hashfunktionen, digitaler Signatur und HMAC, Codesignierung und dem sicheren Speichern von Passwörtern, Datenträgerverschlüsselung, SSH-Schlüsseln, elektronischer Signatur, Blockchain, TLS-Handshake, Zertifikatsfehlern, TLS-Inspection und dem Betrieb einer PKI – mit Rechen-, Ergänzungs-, Zuordnungs- und Stellungnahme-Aufgaben auf drei Kompetenzstufen.

Kryptografie: symmetrisch, asymmetrisch, hybrid – mit Hash, Signatur und Zertifikat

Verschlüsselung sorgt für Vertraulichkeit, Hashwerte und Signaturen für Integrität und Authentizität, Zertifikate dafür, dass ein öffentlicher Schlüssel wirklich zur richtigen Stelle gehört. Der Artikel erklärt symmetrische, asymmetrische und hybride Verfahren, zeigt, wie TLS sie kombiniert, und behandelt Hashfunktionen, digitale Signatur, Zertifikate mit Vertrauenskette, sicheres Speichern von Passwörtern, Datenträgerverschlüsselung, SSH-Schlüssel und die elektronische Signatur nach eIDAS.

Übungsaufgaben zur Systemhärtung: Betriebssystem, BIOS/UEFI, Rechte und mobile Endgeräte

Sieben Übungsaufgaben zur Systemhärtung: Du härtest neue Büro-PCs, sicherst einen Präsentationsrechner und ein Notebook unterwegs ab, ordnest Gefahren für Flurmonitore zu und erläuterst Least Privilege, Zero Trust, Updates und BYOD. Dazu kommen eine Härtungsliste für einen Datenbankserver, die Auswahl eines Mobile Device Managements, TPM, UEFI und Secure Boot sowie die Planung von Updates ohne Störung des Betriebs.

Systeme härten: Betriebssystem, BIOS/UEFI, Rechte und mobile Endgeräte

Ein frisch installiertes System ist auf Bequemlichkeit eingestellt, nicht auf Sicherheit. Härten heißt, die Angriffsfläche zu verkleinern: Du lernst, was vor der Inbetriebnahme zu tun ist (Lieferkette, Updates, Standardpasswörter), wie Du ein Betriebssystem mit Bordmitteln und Gruppenrichtlinien härtest, warum Protokollierung hilft und wo sie Grenzen hat, wie Least Privilege und Zero Trust umgesetzt werden, welche BIOS/UEFI-Einstellungen mit Secure Boot und TPM einen Rechner absichern und wie Du Notebooks, Smartphones und private Geräte (BYOD) mit Mobile Device Management schützt.

Übungsaufgaben zu Passwörtern, Mehr-Faktor-Authentifizierung und Zugangskontrolle

Sechs Übungsaufgaben zu Passwörtern, Mehr-Faktor-Authentifizierung und Zugangskontrolle: Du sicherst das Orga-Büro eines Barcamps ab, ordnest Maßnahmen Zutritt, Zugang und Zugriff zu, beschreibst die Anmeldung im Backend einer Freizeit-App, rechnest die Dauer eines Brute-Force-Angriffs aus, formulierst eine Passwortregel als if-Anweisung, wählst MFA-Faktoren aus, richtest IEEE 802.1X mit RADIUS ein, berätst eine Schule zu Passkeys und ordnest Identitäten und Rechte nach einem Identity- and Access-Management.

Passwörter, Mehr-Faktor-Authentifizierung und Zugangskontrolle

Wer an Daten will, muss drei Hürden nehmen: Zutritt, Zugang und Zugriff. Der Artikel zeigt, wie eine Anmeldung mit Passwort abläuft, was ein sicheres Passwort ausmacht (mit Rechnung zur Brute-Force-Dauer), wie Du Passwortregeln per Richtlinie durchsetzt und warum ein Passwort allein nicht mehr reicht. Danach geht es um Mehr-Faktor-Authentifizierung, Biometrie und Passkeys, die Anmeldung von Geräten am Netz (IEEE 802.1X mit RADIUS), den Schutz von Verwaltungsoberflächen und Identity- and Access-Management.

Authentifizierung und Autorisierung: Mehr-Faktor, Passwort-Reset, Single Sign-on und OAuth2

Bevor eine Anwendung Daten herausgibt, muss sie zwei Fragen klären: Wer bist Du (Authentifizierung)? Und was darfst Du (Autorisierung)? Der Artikel erklärt Authentifizierungsfaktoren und Mehr-Faktor-Anmeldung, Passkeys, ein sicheres „Passwort vergessen“, Single Sign-on mit seinen Vor- und Nachteilen sowie OAuth2 und OpenID Connect mit dem Ablauf des Authorization Code Flow. Zum Schluss geht es um Rollen und Rechte und um typische Denkfehler.

Übungsaufgaben zu Angriffen und Schadsoftware: Phishing, Malware, DDoS und Man-in-the-Middle

Vier Übungsaufgaben zu Angriffen und Schadsoftware: Du untersuchst eine verdächtige Rechnungsmail, erstellst ein Infoblatt zu Schadsoftware (mit englischem Sicherheitshinweis), bereitest nach einem Ransomware-Vorfall eine Sicherheitsschulung vor und untersuchst Angriffe auf das Netz eines Barcamps: Man-in-the-Middle per ARP-Spoofing im Paketmitschnitt, DDoS, DNS-Spoofing, Zero-Day-Lücken und KI-gestützte Erkennung.

Angriffe und Schadsoftware erkennen und abwehren: Phishing, Malware, DDoS und Man-in-the-Middle

Die meisten erfolgreichen Angriffe beginnen nicht mit genialer Technik, sondern mit einem Klick, einer veralteten Software oder einem überlasteten Server. Du lernst die wichtigsten Arten von Schadsoftware zu unterscheiden, Phishing-Mails und Social Engineering zu erkennen und richtig zu reagieren, den Ablauf von DDoS- und Man-in-the-Middle-Angriffen (inklusive ARP- und DNS-Spoofing) zu erläutern, Exploits und Zero-Day-Lücken einzuordnen und Anzeichen eines erfolgreichen Angriffs zu erkennen. Zu jedem Angriff gehören passende technische und organisatorische Gegenmaßnahmen.

Übungsaufgaben zu Schutzzielen, Sicherheitsrisiken und Datenschutz

Fünf Übungsaufgaben zu Schutzzielen, Schutzbedarfsfeststellung, sicherheitstechnischen Anforderungen, technischen und organisatorischen Maßnahmen von der Zutritts- bis zur Zugriffskontrolle, Zugriffsmodellen, Stand der Technik, ESD-Schutz und Datenträgerentsorgung, Schwachstellen, Gefährdungen und Risikobehandlung sowie zu Datenschutzerklärung, Einwilligung und Betroffenenrechten nach DSGVO.

Schutzziele, Schwachstellen und Sicherheitsrisiken

Vertraulichkeit, Integrität und Verfügbarkeit sind die Grundwerte der Informationssicherheit, ergänzt um Authentizität und Verbindlichkeit. Der Artikel zeigt, wie Du das betroffene Schutzziel erkennst, Schwachstellen, Bedrohungen und Risiken unterscheidest, technische und organisatorische Maßnahmen von der Zutritts- bis zur Zugriffskontrolle ordnest und den Schutzbedarf nach IT-Grundschutz feststellst. Dazu kommen Art. 32 DSGVO, der Stand der Technik, ESD-Schutz und die sichere Entsorgung von Datenträgern.