IT-Sicherheit

Lernfokus

AP2 Systemintegration: Netzgrenzen mit Firewall und DMZ absichern, VPN- und Verschlüsselungsverfahren richtig auswählen sowie Zertifikate, Schutzziele und Authentisierung sauber begründen.

• Firewall-Typen und DMZ-Konzepte unterscheiden und nach Default-Deny planen.
• VPN-Modi sowie symmetrische, asymmetrische und hybride Verschlüsselung einordnen.
• PKI, digitale Signatur, CIA-Triade und Mehr-Faktor-Authentisierung erklären.

Firewall & DMZ

Firewalls trennen Netze unterschiedlicher Vertrauensstufe. Eine DMZ (entmilitarisierte Zone) ist ein Zwischennetz für öffentlich erreichbare Dienste, das weder ganz außen noch im internen LAN liegt.

• Paketfilter vs. Stateful Inspection: der zustandslose Filter prüft jedes Paket einzeln, die Stateful-Firewall verfolgt den Verbindungszustand und lässt Antwortpakete gezielt zu.
• DMZ: öffentlich erreichbare Server (Web, Mail) werden isoliert, damit ein Einbruch dort nicht sofort das interne Netz öffnet.
• Screened Subnet: äußere und innere Firewall spannen die DMZ dazwischen auf – ein Angreifer muss beide überwinden.

Merksatz: Ein gutes Regelwerk arbeitet nach Default-Deny: alles verbieten und nur den ausdrücklich benötigten Verkehr freigeben.

VPN & Verschlüsselung

Ein VPN baut über ein unsicheres Netz einen geschützten Tunnel auf. Die dahinterliegenden Verfahren kombinieren meist Geschwindigkeit und sicheren Schlüsselaustausch.

• IPsec: ESP verschlüsselt die Nutzdaten (Vertraulichkeit), AH sichert nur Integrität/Authentizität, IKE handelt die Schlüssel aus.
• Tunnel- vs. Transportmodus: der Tunnelmodus kapselt das ganze Original-Paket (Site-to-Site), der Transportmodus schützt nur die Nutzlast (Host-to-Host).
• Hybridverfahren: das asymmetrische Verfahren tauscht sicher den Sitzungsschlüssel aus, das schnelle symmetrische Verfahren (z. B. AES) verschlüsselt die Massendaten.

Merksatz: Vertraulichkeit heißt mit dem öffentlichen Schlüssel des Empfängers verschlüsseln – nur dessen privater Schlüssel öffnet die Nachricht.

Zertifikate & PKI

Eine Public-Key-Infrastruktur schafft Vertrauen in öffentliche Schlüssel. Digitale Signaturen belegen Echtheit und Urheberschaft.

• CA & Vertrauenskette: die Zertifizierungsstelle signiert Zertifikate; das Vertrauen reicht über Zwischenzertifikate bis zu einer im System hinterlegten Root-CA.
• Digitale Signatur: der Absender signiert mit seinem privaten Schlüssel, jeder prüft mit dem öffentlichen – das sichert Integrität und Nichtabstreitbarkeit.
• Widerruf: zurückgezogene Zertifikate erkennt man über eine Sperrliste (CRL) oder eine OCSP-Abfrage, nicht am Ablaufdatum.

Merksatz: Signieren mit dem privaten Schlüssel, verschlüsseln mit dem öffentlichen Schlüssel des Empfängers – Signatur und Vertraulichkeit nie verwechseln.

Schutzziele & Authentisierung

Die CIA-Triade bündelt die drei zentralen Schutzziele der Informationssicherheit. Authentisierung und Autorisierung sind zwei getrennte Schritte der Zugriffskontrolle.

• CIA-Triade: Vertraulichkeit (kein unbefugtes Lesen), Integrität (keine unbemerkte Veränderung), Verfügbarkeit (erreichbar bei Bedarf).
• 2FA/MFA: echte Mehr-Faktor-Authentisierung kombiniert verschiedene Faktorarten – Wissen, Besitz und Inhärenz (Biometrie).
• Authentisierung vs. Autorisierung: zuerst wird die Identität nachgewiesen, danach werden die Zugriffsrechte festgelegt.

Merksatz: Ein zweiter Faktor zählt nur, wenn er aus einer anderen Kategorie stammt – zwei Passwörter bleiben ein einziger Faktor Wissen.

Prüfungsmodus

Dieser ProtocolCheck führt dich durch die wichtigsten AP2-Aspekte dieses Themas. Du kannst Antworten prüfen, Fragen überspringen und bekommst am Ende eine Auswertung nach Kategorie.