Datensicherheit, TLS und VPN

IT 12.4 – Netzwerke · Einheit 13 von Teil D „Administration“

Lernziele

Du kannst Zutritts-, Zugangs- und Zugriffskontrolle unterscheiden und Maßnahmen zuordnen, auch als technisch oder organisatorisch, und überprüfen, wie sich ein Umzug in die Cloud auswirkt.
Du kannst Gefahren bei der Übertragung (Mitlesen, Verändern, Vortäuschen) den Schutzzielen zuordnen und erklären, wie TLS davor schützt.
Du kannst beschreiben, was ein Zertifikat enthält und wie der Browser es prüft, und du kannst Zertifikatswarnungen beurteilen.
Du kannst erklären, wie ein VPN funktioniert, Client-to-Site und Site-to-Site unterscheiden und beurteilen, wofür es sich eignet.

Noten von zu Hause eintragen?

Eine Schule speichert die Noten aller Schülerinnen und Schüler auf einem Server im Keller. Bisher konnten Lehrkräfte die Noten nur an Rechnern in der Schule eintragen.

Jetzt sollen sie das auch von zu Hause tun können, manchmal sogar aus dem offenen WLAN eines Cafés. Die Schulleitung fragt: „Ist das sicher? Und was müssen wir eigentlich alles schützen?“

Erinnere dich an Einheit 5: Ein Hub schickt jede Nachricht an alle Geräte. Bei Funk ist es ähnlich: Jedes Gerät in Reichweite kann die Signale empfangen. Und auf dem Weg durch das Internet läuft jede Nachricht über viele fremde Router (Einheit 11).

Erkunden: Daten schützen

Bevor du weiterliest: Bearbeitet die beiden Erkundungen zu zweit. Die Erklärungen weiter unten helfen euch erst danach, eure Ideen zu überprüfen.

Erkundung 1: Der Server im Keller mittel

Auf dem Server im Keller liegen die Noten. Nur berechtigte Lehrkräfte sollen sie sehen, und jede Lehrkraft nur die Noten ihrer eigenen Kurse.

a) Entwickelt mindestens acht Maßnahmen, die die Noten schützen. Denkt dabei auch an Menschen, die gar nicht am Computer sitzen.

b) Ordnet eure Maßnahmen in drei Gruppen. Gebt jeder Gruppe einen Namen.

c) Gebt an, welche eurer Maßnahmen eine Technik brauchen und welche nur aus Regeln bestehen.

Tipp 1

Zu a): Stellt euch eine Person vor, die an die Noten will. Welchen Weg muss sie gehen? Erst in das Gebäude, dann …

Tipp 2

Zu b): Ordnet nach dem, was jeweils geschützt wird: der Raum, das Gerät oder die Daten selbst.

Lösung (mögliche Ideen)

Erkundung 2: Ein Bote, dem du nicht traust mittel

Stell dir vor, deine Nachricht an den Notenserver wird nicht über Kabel, sondern von einem Boten zu Fuß übertragen. Du kennst den Boten nicht. Unterwegs gibt er den Brief an weitere Boten weiter, die du auch nicht kennst.

a) Gib mindestens drei verschiedene Dinge an, die ein unehrlicher Bote mit deinem Brief anstellen könnte.

b) Entwickelt für jede dieser Gefahren eine Gegenmaßnahme.

c) Beurteile, ob ein verschlossener Briefumschlag gegen alle Gefahren aus a) hilft.

d) Ein Brief kommt zurück: „Hier ist der Notenserver. Deine Noten sind gespeichert.“ Erläutere, woran du erkennen könntest, dass der Brief wirklich vom Notenserver stammt.

Tipp 1

Zu a): Er könnte den Brief lesen. Was könnte er noch tun, außer lesen?

Tipp 2

Zu b) und d): Denkt an Geheimschrift, an ein Siegel und an einen Ausweis oder eine Unterschrift.

Lösung (mögliche Ideen)

Drei Stufen: Zutritt, Zugang, Zugriff

Vergleicht eure Gruppen aus Erkundung 1 mit der folgenden Einteilung.

Datensicherheit heißt: Daten werden vor Verlust, Diebstahl und unerlaubter Veränderung geschützt. Der Datenschutz schützt dagegen die Menschen, um deren Daten es geht (zum Beispiel ihre Noten). Datensicherheit ist ein wichtiges Mittel für guten Datenschutz.

Wer an geschützte Daten will, muss drei Hürden überwinden:

Drei Stufen der Kontrolle: erst in den Raum (Zutritt), dann an das Gerät (Zugang), dann an die Daten (Zugriff).

Stufe	Frage	schützt …
Zutrittskontrolle	Wer darf in den Raum, an die Geräte?	den Raum, die Hardware
Zugangskontrolle	Wer darf das System überhaupt benutzen?	das Gerät, das Netz
Zugriffskontrolle	Wer darf welche Daten lesen, ändern oder löschen?	die Daten selbst

Merkhilfe: Raum → Gerät → Daten. Zutritt hat mit „treten“ (in den Raum) zu tun, Zugang mit dem „Eingang“ ins System, Zugriff mit dem „Greifen“ nach den Daten.

Ein zweiter Faktor bei der Zugangskontrolle bedeutet: Neben dem Passwort (etwas, das du weißt) brauchst du noch etwas, das du hast (zum Beispiel einen Code auf dem Handy) oder das du bist (zum Beispiel deinen Fingerabdruck). Wer nur das Passwort erbeutet, kommt dann noch nicht hinein.

Bei der Zugriffskontrolle gilt das Prinzip der geringsten Rechte: Jede Person bekommt nur die Rechte, die sie für ihre Arbeit braucht.

Technische und organisatorische Maßnahmen

Maßnahmen lassen sich außerdem danach unterscheiden, wie sie wirken:

Technische Maßnahmen brauchen ein Gerät oder ein Programm, zum Beispiel ein Türschloss, eine Firewall oder eine Verschlüsselung.
Organisatorische Maßnahmen sind Regeln und Abläufe, an die sich Menschen halten müssen, zum Beispiel eine Schlüsselliste, eine Schulung oder die Regel „Passwörter werden nie am Telefon genannt“.

Beide gehören zusammen: Eine technische Maßnahme braucht meist eine Regel, wie sie benutzt wird.

Man spricht kurz von TOM (technische und organisatorische Maßnahmen). Die Begriffe Zutritts-, Zugangs- und Zugriffskontrolle stammen aus dem früheren Bundesdatenschutzgesetz (Anlage zu § 9 BDSG, gültig bis Mai 2018). Heute verlangt die Datenschutz-Grundverordnung (DSGVO, Art. 32) „geeignete technische und organisatorische Maßnahmen“, ohne diese drei Stufen ausdrücklich zu nennen. In der Praxis werden sie weiter verwendet. (Stand: Oktober 2026.)

Gefahren bei der Übertragung

Vergleicht eure Ideen aus Erkundung 2. Im Netz ist der „Bote“ jedes Gerät auf dem Weg: das WLAN im Café, die Router des Internetanbieters, jeder Router dazwischen. Daraus ergeben sich drei Gefahren und drei Schutzziele:

Gefahr	Beispiel im Boten-Bild	Schutzziel	Frage
Mitlesen	Der Bote liest den Brief.	Vertraulichkeit	Kann nur der richtige Empfänger die Daten lesen?
Verändern	Der Bote ändert den Brief.	Integrität	Kommen die Daten unverändert an?
Vortäuschen	Der Bote schreibt selbst einen Brief.	Authentizität	Ist der Absender wirklich der, für den er sich ausgibt?

Ein viertes Schutzziel ist die Verfügbarkeit: Die Daten und Dienste sollen erreichbar sein, wenn man sie braucht (der Bote wirft den Brief nicht weg). Dagegen helfen zum Beispiel Sicherungskopien und doppelt vorhandene Leitungen.

TLS: die sichere Verbindung

TLS (Transport Layer Security) schützt eine Verbindung zwischen zwei Programmen, zum Beispiel zwischen deinem Browser und einem Webserver. Es liegt zwischen der Transportschicht (TCP) und der Anwendung (Einheit 6). Aus HTTP wird so HTTPS (das S steht für secure, sicher). HTTPS nutzt den Port 443, HTTP den Port 80.

TLS sorgt für alle drei Schutzziele aus der Tabelle:

Vertraulichkeit: Alle Daten werden verschlüsselt.
Integrität: Ein Prüfwert zeigt, ob unterwegs etwas verändert wurde.
Authentizität: Der Server weist sich mit einem Zertifikat aus.

Schau dir an, wie eine TLS-Verbindung aufgebaut wird (stark vereinfacht):

Alle bisherigen Schritte

Der Trick beim gemeinsamen Schlüssel: Browser und Server schicken sich je einen Beitrag. Aus beiden Beiträgen kann jede Seite denselben Schlüssel berechnen. Wer nur die beiden Beiträge mitliest, kann den Schlüssel nicht ausrechnen. Wie das mathematisch geht, ist hier nicht wichtig.

SSL (Secure Sockets Layer) ist der Vorgänger von TLS. SSL und die alten TLS-Versionen 1.0 und 1.1 gelten als unsicher und werden nicht mehr verwendet. Aktuell sind TLS 1.2 und TLS 1.3 (seit 2018). Der alte Name hält sich trotzdem: Oft liest man noch „SSL-Zertifikat“.

Zertifikate: der Ausweis des Servers

Ein Zertifikat ist eine Art digitaler Ausweis für einen Server. Es enthält unter anderem:

den Namen, für den es gilt, zum Beispiel www.example.org,
den öffentlichen Schlüssel des Servers,
den Aussteller, also die Zertifizierungsstelle, die das Zertifikat unterschrieben hat,
den Gültigkeitszeitraum (gültig ab, gültig bis),
die digitale Unterschrift des Ausstellers.

Schlüsselpaar: Der Server hat zwei zusammengehörige Schlüssel. Den öffentlichen Schlüssel darf jeder kennen, er steht im Zertifikat. Den geheimen (privaten) Schlüssel kennt nur der Server. Mit dem geheimen Schlüssel kann der Server etwas unterschreiben. Mit dem öffentlichen Schlüssel kann jeder prüfen, ob die Unterschrift echt ist. Nur wer den geheimen Schlüssel besitzt, kann sich also als Inhaber des Zertifikats ausweisen.

Eine Zertifizierungsstelle (englisch Certificate Authority, CA) prüft vor dem Ausstellen, ob der Antragsteller wirklich über den Namen verfügt, und unterschreibt dann das Zertifikat. Der Browser vertraut einer Liste von Wurzelzertifikaten, die im Browser oder im Betriebssystem gespeichert ist. Meist entsteht eine Kette:

Das Wurzelzertifikat einer Zertifizierungsstelle ist im Browser gespeichert.
Mit ihm ist ein Zwischenzertifikat unterschrieben.
Mit dem Zwischenzertifikat ist das Serverzertifikat unterschrieben.

Der Browser prüft die Kette Glied für Glied, bis er bei einem Wurzelzertifikat ankommt, dem er vertraut. Die gespeicherte Liste der Wurzelzertifikate heißt Zertifikatsspeicher (englisch Trust Store).

Mehrere Namen: Ein Zertifikat kann für mehrere Namen gelten. Sie stehen unter „weitere Namen“, zum Beispiel example.org und www.example.org. Ein Wildcard-Zertifikat für *.example.org gilt für alle Namen mit genau einem Teil vor example.org, also für www.example.org und shop.example.org, aber nicht für example.org selbst und nicht für a.b.example.org.

Eigene Zertifizierungsstelle: Für Server, die nur intern genutzt werden, kann eine Firma Zertifikate auch selbst ausstellen. Damit die Browser ihnen vertrauen, muss das eigene Wurzelzertifikat auf allen Firmenrechnern in den Zertifikatsspeicher eingetragen werden. Für Kundinnen und Kunden außerhalb der Firma eignet sich das nicht, denn deren Geräte kennen dieses Wurzelzertifikat nicht.

Was HTTPS nicht verbirgt: Inhalte, Pfade und Kopfzeilen sind verschlüsselt. Ein Mitleser sieht aber weiterhin die Metadaten: welche IP-Adressen miteinander verbunden sind, über welchen Port, wann und wie viele Daten fließen, und meist auch den Namen des Servers.

Laufzeit: Zertifikate gelten nur begrenzt. Bis März 2026 durften sie höchstens 398 Tage gültig sein. Seitdem wird die Höchstdauer schrittweise verkürzt, ab März 2029 sind es höchstens 47 Tage. Das hat das CA/Browser Forum beschlossen, ein Zusammenschluss von Zertifizierungsstellen und Browserherstellern (Stand: Oktober 2026). Viele Betreiber lassen ihre Zertifikate deshalb automatisch erneuern.

Warum warnt der Browser?

Schlägt eine Prüfung fehl, zeigt der Browser eine Warnung statt der Seite. Die häufigsten Gründe:

Grund	Was ist los?
Name passt nicht	Das Zertifikat gilt für einen anderen Namen als den in der Adressleiste.
abgelaufen oder noch nicht gültig	Das Datum liegt außerhalb des Gültigkeitszeitraums (manchmal geht auch nur die Uhr des eigenen Geräts falsch).
unbekannter Aussteller	Die Kette endet nicht bei einem Wurzelzertifikat, dem der Browser vertraut. Ein Sonderfall ist ein selbstsigniertes Zertifikat: Der Server hat es sich selbst ausgestellt.

In allen drei Fällen kann der Browser nicht bestätigen, dass du wirklich mit dem richtigen Server verbunden bist. Ob man trotzdem weitermachen darf, hängt von der Situation ab (Aufgabe 3).

VPN: ein Tunnel ins Schulnetz

Zurück zur Schule: Der Notenserver hat die private Adresse 10.30.1.10. Private Adressen werden im Internet nicht weitergeleitet (Einheit 7). Eine Lehrkraft zu Hause kann den Server also gar nicht direkt erreichen. Und ihn mit einer öffentlichen Adresse ins Internet zu stellen, wäre riskant: Dann könnte ihn jeder auf der Welt angreifen.

Die Lösung ist ein VPN (virtuelles privates Netz, englisch Virtual Private Network). Die Schule betreibt einen VPN-Server mit öffentlicher Adresse, hier 203.0.113.5. So läuft es ab:

Der Laptop der Lehrkraft baut eine Verbindung zum VPN-Server auf.
Die Lehrkraft meldet sich an (Zugangskontrolle, oft mit zweitem Faktor).
Zwischen Laptop und VPN-Server entsteht ein verschlüsselter Tunnel.
Jedes Paket an das Schulnetz wird verschlüsselt und in ein äußeres Paket an den VPN-Server gesteckt. Der VPN-Server packt es aus und leitet es ins Schulnetz weiter.

Ein VPN baut einen verschlüsselten Tunnel durch das Internet. Im Tunnel steckt das eigentliche Paket für das Schulnetz.

Für den Laptop ist es nun so, als stünde er im Schulnetz. Er bekommt meist sogar eine zweite Adresse aus dem Schulnetz: Unter Windows zeigt ipconfig (Einheit 12) die VPN-Verbindung als eigenen Adapter neben dem WLAN oder Ethernet an, mit eigener IP-Adresse, eigenem Gateway und oft einem DNS-Server aus dem Schulnetz. Die Adresse des Heimnetzes bleibt daneben bestehen. Das „Paket im Paket“ kennst du schon von der Kapselung in Einheit 6. Verbreitete VPN-Verfahren sind zum Beispiel IPsec, OpenVPN und WireGuard.

Man unterscheidet zwei Arten von VPN:

	Client-to-Site (Fernzugriff, Remote Access)	Site-to-Site (Standortvernetzung)
verbindet	ein Gerät mit einem Netz	zwei Netze miteinander
Tunnel zwischen	VPN-Programm auf dem Laptop oder Handy und dem VPN-Server	zwei Routern bzw. VPN-Gateways an den Standorten
Einsatz	Homeoffice, Dienstreise, Außendienst	Filialen und Zentrale einer Firma
Aufwand	jedes Gerät braucht das Programm und eigene Zugangsdaten; bei vielen Nutzern viel Verwaltung	einmal pro Standort eingerichtet; die Geräte dort merken nichts davon

Weitere Einsatzzwecke:

Fremde WLANs: Bis zum VPN-Server ist alles verschlüsselt, auch im offenen WLAN.
Alte Programme absichern: Ein Programm, das selbst nicht verschlüsseln kann, läuft durch den Tunnel trotzdem geschützt, denn das VPN verschlüsselt alle Pakete, egal welches Programm sie schickt.

Manche Netze, zum Beispiel in Hotels oder in einigen Ländern, blockieren VPN-Verbindungen. Dann funktioniert der Zugriff von dort nicht.

Und in der Cloud?

Viele Firmen speichern Daten nicht mehr auf eigenen Servern, sondern in der Cloud: in einem Rechenzentrum eines Anbieters, erreichbar über das Internet. Dadurch verändern sich die drei Kontrollen:

Kontrolle	Was ändert sich?
Zutritt	Das Rechenzentrum schützt der Anbieter. Die Firma gibt diese Aufgabe ab und muss dem Anbieter vertrauen; sie kann zum Beispiel Nachweise oder Zertifizierungen verlangen.
Zugang	Die Anmeldung erfolgt über das Internet, also von überall. Starke Passwörter und ein zweiter Faktor werden noch wichtiger.
Zugriff	Wer welche Daten sehen darf, legt weiterhin die Firma fest. Die bisherigen Rechte lassen sich meist übertragen.

Vorteile der Cloud: keine eigene Hardware und Wartung, Speicher lässt sich leicht vergrößern, Zugriff von überall. Nachteile: Abhängigkeit vom Anbieter und von der eigenen Internetverbindung (vor allem vom Upload), laufende Kosten und der Datenschutz. Bei personenbezogenen Daten braucht die Firma einen Vertrag zur Auftragsverarbeitung mit dem Anbieter (DSGVO Art. 28) und sollte wissen, in welchem Land die Daten gespeichert werden.

Aufgaben

Aufgabe 1: Zutritt, Zugang oder Zugriff? leicht

Ein Steuerbüro hat folgende Maßnahmen eingeführt:

Am Laptop jedes Mitarbeiters muss man sich zusätzlich mit dem Fingerabdruck anmelden.
Der Serverschrank im Flur ist abgeschlossen.
Besucher melden sich am Empfang an und werden zu den Büros begleitet.
Der Bildschirm sperrt sich nach fünf Minuten ohne Eingabe.
Auszubildende dürfen Kundendaten lesen, aber nicht ändern.
Am letzten Arbeitstag eines Mitarbeiters wird sein Benutzerkonto gesperrt.
Die Steuerunterlagen auf dem USB-Stick sind verschlüsselt.
Die Tür zum Archiv öffnet sich nur mit einer Chipkarte.

a) Ordne jede Maßnahme der Zutritts-, Zugangs- oder Zugriffskontrolle zu.

b) Gib jeweils an, ob es sich um eine technische oder eine organisatorische Maßnahme handelt.

Lösung

Aufgabe 2: Welches Schutzziel ist in Gefahr? mittel

a) Ordne jeder Situation die Gefahr (Mitlesen, Verändern, Vortäuschen) und das Schutzziel zu, das verletzt wird.

Im WLAN eines Zuges liest jemand mit, welche Benutzernamen und Passwörter andere Fahrgäste auf einer Seite mit http:// eingeben.
Bei einer Überweisung tauscht ein Angreifer unterwegs die IBAN des Empfängers gegen seine eigene aus.
Ein Angreifer stellt am Bahnhof ein WLAN mit dem Namen „Bahnhof-Gratis“ auf und leitet Aufrufe der Bank auf eine nachgebaute Seite um.
Jemand baut in ein Programm, das man aus dem Internet herunterlädt, unterwegs unbemerkt Schadcode ein.

b) Erkläre für jede Situation aus a), wie HTTPS (also TLS) die Gefahr abwehrt. Gib an, an welcher Stelle der Angriff scheitert.

Tipp 1

Zu a): Frag dich: Bleibt die Nachricht gleich, und es geht nur ums Lesen? Wird die Nachricht geändert? Oder gibt sich jemand als jemand anderes aus?

Tipp 2

Zu b): TLS hat drei Werkzeuge: Verschlüsselung, Prüfwert und Zertifikat. Welches passt zu welcher Gefahr?

Lösung

Aufgabe 3: Zertifikatswarnungen beurteilen mittel

Beurteile jede Situation: Würdest du trotz Warnung weitermachen? Begründe deine Entscheidung und gib an, was du stattdessen tun würdest.

a) Du rufst zu Hause die Einstellungsseite deines eigenen Routers auf (https://192.168.178.1). Der Browser meldet: „Das Zertifikat ist nicht vertrauenswürdig, es ist selbstsigniert.“

b) Du willst dich bei deiner Bank anmelden. Der Browser meldet: „Das Zertifikat ist seit gestern abgelaufen.“

c) Du rufst https://www.example.org auf. Der Browser meldet: „Das Zertifikat gilt für shop.example.net.“

d) Im WLAN eines Hotels zeigt der Browser bei jeder Seite mit HTTPS eine Zertifikatswarnung, auch bei bekannten Seiten.

Tipp 1

Frag dich jeweils: Kann ich auf einem anderen Weg sicher sein, dass ich mit dem richtigen Gerät verbunden bin? Und was steht auf dem Spiel?

Tipp 2

Zu d): Wenn alle Seiten gleichzeitig Probleme haben, liegt es kaum an den Seiten selbst. Was liegt bei allen Verbindungen auf dem Weg?

Lösung

Aufgabe 4: Ein Zertifikat lesen mittel

Ein Browser zeigt diese Angaben zu einem Zertifikat an:

Ausgestellt für:        www.example.org
Weitere Namen:          example.org
Ausgestellt von:        Beispiel Zwischenstelle R7
Gültig ab:              01.09.2026
Gültig bis:             29.11.2026
Öffentlicher Schlüssel: 04:8F:2A:91:… (gekürzt)

a) Bestimme für jeden Fall, ob der Browser das Zertifikat annimmt. Gehe davon aus, dass die Kette bis zur Wurzel in Ordnung ist. Begründe jeweils.

Aufruf von https://example.org am 15.11.2026
Aufruf von https://www.example.org am 02.12.2026
Aufruf von https://shop.example.org am 15.11.2026

b) Erläutere, warum der Browser zusätzlich das Zertifikat der „Beispiel Zwischenstelle R7“ braucht.

c) Erkläre, warum ein Angreifer dieses Zertifikat nicht einfach kopieren und auf seinem eigenen Server verwenden kann, obwohl es öffentlich ist.

Tipp 1

Zu a): Prüfe wie der Browser drei Dinge: Name, Datum, Aussteller.

Tipp 2

Zu c): Was hat der echte Server, das nicht im Zertifikat steht?

Lösung

Aufgabe 5: „Das Schloss zeigt, dass die Seite seriös ist“ schwer

In einem Forum schreibt jemand:

„Wenn in der Adressleiste das Schloss angezeigt wird, ist die Seite geprüft und seriös. Dort kann ich bedenkenlos meine Kreditkartendaten eingeben.“

Nimm Stellung zu dieser Aussage. Erläutere dabei, was das Schloss tatsächlich bestätigt und was nicht. Leite eine Empfehlung ab, wie man eine Seite vor dem Eingeben wichtiger Daten prüfen sollte.

Tipp 1

Was prüft eine Zertifizierungsstelle, bevor sie ein Zertifikat ausstellt? Steht im Zertifikat etwas über die Ehrlichkeit des Betreibers?

Tipp 2

Kann ein Betrüger sich einen eigenen Namen kaufen, zum Beispiel einen, der so ähnlich aussieht wie der einer Bank, und dafür ein Zertifikat bekommen?

Lösung (Beispiel)

Aufgabe 6: Was leistet ein VPN? schwer

a) Ein Außendienstmitarbeiter einer Firma möchte beim Kunden auf die Lagerdatenbank im Firmennetz zugreifen (private Adresse 10.8.0.20). Erläutere, wie ein VPN das ermöglicht. Gehe dabei auf die Adressen der Pakete und auf die Verschlüsselung ein.

b) Ein Anbieter wirbt für seinen VPN-Dienst so:

„Mit unserem VPN bist du im Internet komplett anonym und vor allen Gefahren geschützt, auch vor Viren und Betrugsseiten!“

Beurteile diese Werbeaussage. Erläutere dabei, welche Strecke ein solches VPN schützt und welche nicht.

Tipp 1

Zu a): Schau dir die Abbildung zum VPN-Tunnel an. Welche Adresse steht auf dem äußeren Paket, welche auf dem inneren?

Tipp 2

Zu b): Zeichne den Weg: Laptop → VPN-Server des Anbieters → Webseite. Wo ist der Tunnel zu Ende? Wer sieht ab dort, was du tust?

Lösung (Beispiel)

Aufgabe 7: Ein Schutzkonzept für eine Arztpraxis schwer

Eine Arztpraxis hat einen Empfang mit PC, drei Behandlungsräume mit PCs und einen kleinen Server in einem Abstellraum neben dem Wartezimmer. Laborbefunde kommen über das Internet von einem Labor. Die Ärztin möchte abends von zu Hause Befunde lesen. Im Wartezimmer gibt es ein WLAN für Patientinnen und Patienten.

a) Entwickle ein Schutzkonzept. Gib für Zutritts-, Zugangs- und Zugriffskontrolle je mindestens zwei Maßnahmen an. Kennzeichne jeweils, ob sie technisch oder organisatorisch ist.

b) Entwirf, wie die Übertragung der Laborbefunde und der Zugriff von zu Hause geschützt werden. Begründe deine Wahl.

c) Beurteile, welche Schwachstelle in der beschriebenen Praxis dir am größten erscheint.

Tipp 1

Geht die Praxis gedanklich ab: Wer läuft wo herum? Wer sitzt an welchem PC? Wer braucht welche Daten?

Tipp 2

Zu b) und c): Denke an TLS und VPN. Und schau dir an, wo der Server steht und welches Netz die Patienten benutzen.

Lösung (Beispiel)

Aufgabe 8: Ab in die Cloud? mittel

Ein Architekturbüro mit zwölf Beschäftigten speichert seine Pläne bisher auf einem eigenen Server im Abstellraum. Der Internetanschluss hat 250 Mbit/s im Download und 40 Mbit/s im Upload. Nun soll alles zu einem Cloud-Anbieter umziehen.

a) Überprüfe, wie sich der Umzug auf Zutritts-, Zugangs- und Zugriffskontrolle auswirkt.

b) Nenne je zwei Gründe, die für und gegen den Umzug sprechen. Beziehe dabei die Daten des Internetanschlusses ein.

c) Für Kundinnen und Kunden soll es außerdem eine Seite projekte.architektur.example geben, auf der sie den Stand ihres Bauprojekts sehen. Beim Testen zeigt der Browser „Nicht sicher“. Beschreibe zwei Möglichkeiten, das zu beheben, und beurteile, welche hier geeignet ist.

Tipp 1

Zu b): Pläne sind große Dateien. In welche Richtung fließen die Daten, wenn jemand einen Plan in der Cloud speichert?

Tipp 2

Zu c): Wer soll der Seite vertrauen, nur die Firmenrechner oder auch fremde Geräte?

Lösung (Beispiel)

Aufgabe 9: Eine VPN-Verbindung erkennen mittel

Ein Mitarbeiter arbeitet im Homeoffice und hat sich per VPN mit seiner Firma verbunden. Ein Auszug aus ipconfig /all (gekürzt):

Drahtlos-LAN-Adapter WLAN:
   IPv4-Adresse. . . . . . . . . . . . : 192.168.0.23
   Subnetzmaske. . . . . . . . . . . . : 255.255.255.0
   Standardgateway . . . . . . . . . . : 192.168.0.1
   DHCP-Server . . . . . . . . . . . . : 192.168.0.1
   DNS-Server. . . . . . . . . . . . . : 192.168.0.1

PPP-Adapter Firma-VPN:
   Verbindungsspezifisches DNS-Suffix  : intern.example.com
   IPv4-Adresse. . . . . . . . . . . . : 10.20.30.57
   Subnetzmaske. . . . . . . . . . . . : 255.255.255.0
   Standardgateway . . . . . . . . . . : 10.20.30.1
   DNS-Server. . . . . . . . . . . . . : 10.20.1.5

a) Ermittle die Adresse des Laptops im Heimnetz, die Adresse, die er im VPN-Tunnel bekommen hat, und die Adresse des VPN-Gateways der Firma auf der Firmenseite.

b) Nenne den VPN-Typ. Begründe.

c) Erläutere, warum der Laptop im Tunnel einen eigenen DNS-Server aus dem Firmennetz bekommt.

Tipp 1

Zu a): Welcher Adapter gehört zum WLAN zu Hause, welcher zum Tunnel? Wohin zeigt das Standardgateway des Tunnels?

Tipp 2

Zu c): Wie heißen die Server der Firma, und kennt der Router zu Hause diese Namen?

Lösung

Zusammenfassung

Zutrittskontrolle schützt den Raum, Zugangskontrolle die Benutzung des Systems, Zugriffskontrolle die Daten selbst (Raum → Gerät → Daten).
Maßnahmen sind technisch (Gerät, Programm) oder organisatorisch (Regeln, Abläufe). Sie wirken nur zusammen.
Bei der Übertragung drohen Mitlesen, Verändern und Vortäuschen. Die Schutzziele heißen Vertraulichkeit, Integrität und Authentizität.
TLS (HTTPS, Port 443) verschlüsselt, prüft auf Veränderungen und weist den Server mit einem Zertifikat aus.
Ein Zertifikat enthält Name, öffentlichen Schlüssel, Aussteller und Gültigkeit. Der Browser prüft die Kette bis zu einem Wurzelzertifikat und warnt, wenn etwas nicht stimmt.
Ein Zertifikat kann für mehrere Namen gelten (auch als Wildcard *.example.org). Eigene Zertifikate funktionieren nur auf Geräten, in deren Zertifikatsspeicher das Wurzelzertifikat eingetragen ist. HTTPS verbirgt den Inhalt, nicht die Metadaten.
Ein VPN baut einen verschlüsselten Tunnel zu einem VPN-Server. So erreicht man ein entferntes Netz, als wäre man dort. Client-to-Site verbindet ein Gerät, Site-to-Site zwei Netze.
In der Cloud übernimmt der Anbieter die Zutrittskontrolle; Zugang und Zugriff bleiben Aufgabe der Firma.

Selbstcheck

Geh die Fragen ehrlich durch. Wenn du bei einer unsicher bist, lies den verlinkten Abschnitt noch einmal oder bearbeite die passende Aufgabe.

Kannst du Zutritts-, Zugangs- und Zugriffskontrolle unterscheiden und Maßnahmen als technisch oder organisatorisch zuordnen? → Erkundung 1, Drei Stufen, Technische und organisatorische Maßnahmen, Und in der Cloud?, Aufgabe 1, Aufgabe 7, Aufgabe 8
Kannst du Gefahren bei der Übertragung den Schutzzielen zuordnen und erklären, wie TLS schützt? → Erkundung 2, Gefahren bei der Übertragung, TLS, Aufgabe 2
Kannst du beschreiben, was ein Zertifikat enthält, und Warnungen beurteilen? → Zertifikate, Warum warnt der Browser?, Aufgabe 3, Aufgabe 4, Aufgabe 5, Aufgabe 8
Kannst du erklären, wie ein VPN funktioniert, und beurteilen, wofür es sich eignet? → VPN, Aufgabe 6, Aufgabe 9

Wortspeicher

Begriff	Bedeutung in einfachen Worten
Datensicherheit	Schutz von Daten vor Verlust, Diebstahl und unerlaubter Veränderung
Datenschutz	Schutz der Menschen, um deren Daten es geht
Zutrittskontrolle	regelt, wer in Räume und an Geräte kommt
Zugangskontrolle	regelt, wer ein System benutzen darf
Zugriffskontrolle	regelt, wer welche Daten lesen oder ändern darf
zweiter Faktor	zusätzlicher Nachweis neben dem Passwort, zum Beispiel ein Code auf dem Handy
TOM	technische und organisatorische Maßnahmen
Vertraulichkeit	nur Befugte können die Daten lesen
Integrität	die Daten sind unverändert
Authentizität	der Absender ist wirklich der, für den er sich ausgibt
Verfügbarkeit	Daten und Dienste sind erreichbar, wenn man sie braucht
TLS	Verfahren, das eine Verbindung verschlüsselt und den Server ausweist (Nachfolger von SSL)
HTTPS	HTTP mit TLS, Port 443
Zertifikat	digitaler Ausweis eines Servers
öffentlicher / geheimer Schlüssel	Schlüsselpaar: den öffentlichen darf jeder kennen, den geheimen nur der Besitzer
Zertifizierungsstelle (CA)	Stelle, die Zertifikate prüft und unterschreibt
Wurzelzertifikat	Zertifikat einer Stelle, der der Browser von sich aus vertraut
selbstsigniert	Zertifikat, das sich ein Server selbst ausgestellt hat
VPN	verschlüsselter Tunnel durch das Internet in ein entferntes Netz
VPN-Server	Gerät, an dem der Tunnel endet und das die Pakete ins Netz weiterleitet
Client-to-Site / Site-to-Site	VPN für ein einzelnes Gerät bzw. VPN zwischen zwei Netzen
Zertifikatsspeicher (Trust Store)	Liste der Wurzelzertifikate, denen ein Gerät vertraut
Wildcard-Zertifikat	Zertifikat für alle Namen einer Ebene, z. B. `*.example.org`
Metadaten	Angaben über eine Verbindung (wer, wann, wie viel), nicht der Inhalt
Cloud	Speicher und Dienste im Rechenzentrum eines Anbieters, erreichbar über das Internet

Quellen

Hessisches Kultusministerium: Kerncurriculum Fachoberschule, Fachrichtung Technik, Schwerpunkt Informationstechnik, Themenfeld 12.4 Netzwerke (Stand November 2022).
Bundesdatenschutzgesetz in der bis zum 24.05.2018 geltenden Fassung, Anlage zu § 9 (Zutritts-, Zugangs- und Zugriffskontrolle). Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 32. Rechtsstand bitte vor dem Unterricht prüfen.
TLS 1.3 nach RFC 8446 (2018), Abkündigung von TLS 1.0 und 1.1 nach RFC 8996 (2021).
Laufzeit von Zertifikaten: CA/Browser Forum, Ballot SC-081v3 (beschlossen am 11.04.2025): cabforum.org (Du verlässt jetzt Maternet, englisch).
Beispieladressen nach RFC 1918 und RFC 5737, Beispielnamen nach RFC 2606.
Texte, Beispiele, Aufgaben, Abbildungen und der TLS-Ablauf sind selbst erstellt.