Aus unserem kuratierten Fragenpool von praxisnahen Prüfungsaufgaben nach KMK-Standard. Bearbeiten Sie die Aufgaben und vergleichen Sie Ihre Lösung mit den didaktischen Bewertungskriterien:
IPv4 Subnetting /27 Berechnung
12 Punkte
Einem Subnetz ist die IP-Adresse 172.20.14.98 mit der CIDR-Präfixlänge /27 zugewiesen.
Berechnen Sie: 1. Subnetzmaske in Dezimalpunkt-Notation, 2. Netzwerkadresse, 3. Erste nutzbare Host-IP, 4. Letzte nutzbare Host-IP, 5. Broadcastadresse, 6. Anzahl nutzbarer Hostadressen.
💡 Didaktischer Erwartungshorizont & Punkteverteilung (nach KMK-Kriterien)
1. Subnetzmaske: 255.255.255.224 (/27 entspricht 11111111.11111111.11111111.11100000). (2 Pkt.)
2. Schrittweite: 256 - 224 = 32. Blockgrenzen: 0, 32, 64, 96, 128... -> Netzadresse: 172.20.14.96. (2 Pkt.)
3. Erste nutzbare Host-IP: 172.20.14.97. (2 Pkt.)
4. Broadcastadresse: 172.20.14.127. (2 Pkt.)
5. Letzte nutzbare Host-IP: 172.20.14.126. (2 Pkt.)
6. Nutzbare Hostadressen: 2^5 - 2 = 32 - 2 = 30 Hosts. (2 Pkt.)
VLSM Variable Length Subnet Mask
9 Punkte
Das Basisnetz 192.168.50.0/24 soll mittels VLSM für drei Abteilungen aufgeteilt werden: Vertrieb (55 Hosts), Entwicklung (28 Hosts) und Support (12 Hosts).
Ermitteln Sie für alle drei Subnetze jeweils die Netzadresse und die CIDR-Präfixlänge.
💡 Didaktischer Erwartungshorizont & Punkteverteilung (nach KMK-Kriterien)
Vertrieb (55 Hosts + 2 = 57 Adressen -> 2^6 = 64): Netzadresse 192.168.50.0/26 (Bereich: .0 bis .63). (3 Pkt.)
Entwicklung (28 Hosts + 2 = 30 Adressen -> 2^5 = 32): Netzadresse 192.168.50.64/27 (Bereich: .64 bis .95). (3 Pkt.)
Support (12 Hosts + 2 = 14 Adressen -> 2^4 = 16): Netzadresse 192.168.50.96/28 (Bereich: .96 bis .111). (3 Pkt.)
IPv6 Kürzungsregeln nach RFC 5952
6 Punkte
Ein Client hat die IPv6-Adresse 2001:0db8:0000:0042:0000:0000:0000:0001/64 konfiguriert.
Kürzen Sie die Adresse nach den offiziellen RFC-5952-Regeln und erläutern Sie die Bedeutung der Link-Local-Adresse (fe80::/10).
💡 Didaktischer Erwartungshorizont & Punkteverteilung (nach KMK-Kriterien)
Gekürzte Adresse: 2001:db8:0:42::1/64 (Führende Nullen pro Block weglassen; die längste zusammenhängende Folge von Null-Blöcken einmalig durch :: ersetzen). (3 Pkt.)
Link-Local (fe80::/10): Automatisch generierte, nicht im Internet geroutete Adresse zur lokalen Kommunikation im selben Subnetz (z. B. für Neighbor Discovery Protocol NDP, DHCPv6 und Router Solicitations). (3 Pkt.)
DHCP DORA-Prozess
8 Punkte
Ein neuer Arbeitsplatz-PC wird mit dem Unternehmensnetzwerk per Patchkabel verbunden.
Beschreiben Sie die vier Phasen des DHCP-Lease-Prozesses (DORA) und geben Sie jeweils an, ob die Nachricht als Broadcast oder Unicast gesendet wird.
💡 Didaktischer Erwartungshorizont & Punkteverteilung (nach KMK-Kriterien)
1. DHCPDISCOVER (Broadcast): Client sucht im lokalen Netz nach verfügbaren DHCP-Servern. (2 Pkt.)
2. DHCPOFFER (Unicast oder Broadcast): DHCP-Server bieten dem Client eine freie IP-Adresse samt Parametern an. (2 Pkt.)
3. DHCPREQUEST (Broadcast): Client wählt ein Angebot aus und fordert die Bindung an (Broadcast informiert auch andere Server). (2 Pkt.)
4. DHCPACK (Unicast oder Broadcast): Server bestätigt die Vergabe und überträgt Lease-Dauer, Subnetzmaske, Gateway und DNS. (2 Pkt.)
DNS Resource Records
8 Punkte
Ein Administrator verwaltet die Forward- und Reverse-Lookup-Zonen im internen DNS-Server.
Erklären Sie die jeweilige Funktion der folgenden vier DNS-Resource-Records: A, AAAA, CNAME und PTR.
💡 Didaktischer Erwartungshorizont & Punkteverteilung (nach KMK-Kriterien)
1. A-Record: Löst einen vollqualifizierten Domänennamen (FQDN) in eine IPv4-Adresse auf. (2 Pkt.)
2. AAAA-Record: Löst einen FQDN in eine 128-Bit IPv6-Adresse auf. (2 Pkt.)
3. CNAME-Record (Canonical Name): Dient als Alias/Verweis auf einen anderen bestehenden A- oder AAAA-Record. (2 Pkt.)
4. PTR-Record (Pointer): Ermöglicht das Reverse-DNS-Lookup (Auflösung einer IP-Adresse in den FQDN). (2 Pkt.)
OSI-Referenzmodell Zuordnung
8 Punkte
Netzwerkgeräte und Protokolle werden im 7-Schichten-Modell nach ISO/IEC 7498-1 eingeordnet.
Ordnen Sie die folgenden vier Begriffe der jeweils korrekten Schicht (1 bis 7) mit deutschem und englischem Namen zu: Switch, Router, TCP, HTTP.
💡 Didaktischer Erwartungshorizont & Punkteverteilung (nach KMK-Kriterien)
1. Switch: Schicht 2 (Sicherungsschicht / Data Link Layer - Weiterleitung anhand von MAC-Adressen). (2 Pkt.)
2. Router: Schicht 3 (Vermittlungsschicht / Network Layer - Weiterleitung anhand logischer IP-Adressen). (2 Pkt.)
3. TCP: Schicht 4 (Transportschicht / Transport Layer - End-to-End-Verbindung und Segmentierung). (2 Pkt.)
4. HTTP: Schicht 7 (Anwendungsschicht / Application Layer - Protokoll für Webdienste). (2 Pkt.)
Kupferverkabelung Cat 6a vs Cat 7
6 Punkte
Bei einer Neuausstattung eines Bürogebäudes wird über Cat 6a versus Cat 7 diskutiert.
Nennen Sie Übertragungsfrequenz und max. Datenrate von Cat 6a und erläutern Sie die Bezeichnung S/FTP.
💡 Didaktischer Erwartungshorizont & Punkteverteilung (nach KMK-Kriterien)
Cat 6a: Grenzfrequenz 500 MHz, Datenrate bis zu 10 Gbit/s (10GBASE-T) über die maximale Kanallänge von 100 Metern. (2 Pkt.)
S/FTP: Shielded with Foiled Twisted Pair -> S = Gesamtabschirmung des Kabels durch ein Kupfergeflecht (Braid Screen); FTP = Jedes einzelne der vier Adernpaare ist zusätzlich mit einer Aluminium-Abschirmfolie umwickelt. (4 Pkt.)
LWL Fasertypen Singlemode vs Multimode
8 Punkte
Zwei Firmengebäude im Abstand von 950 Metern sollen über ein Glasfaserkabel miteinander verbunden werden.
Vergleichen Sie Singlemode- (OS2) und Multimode-Glasfasern (OM4) bezüglich Kerndurchmesser, Lichtquelle und Reichweite und begründen Sie Ihre Wahl für das Projekt.
💡 Didaktischer Erwartungshorizont & Punkteverteilung (nach KMK-Kriterien)
Singlemode (OS2): Kerndurchmesser ca. 9 µm, Lichtquelle Laser, Reichweite bis über 40 km, keine Modendispersion. (3 Pkt.)
Multimode (OM4): Kerndurchmesser 50 µm, Lichtquelle VCSEL/LED, Reichweite typisch max. 400-550 Meter bei 10 Gbit/s. (3 Pkt.)
Entscheidung: Für 950 m muss zwingend Singlemode-Glasfaser (OS2) gewählt werden, da Multimode bei 10 Gbit/s die geforderte Distanz überschreitet. (2 Pkt.)
Switch MAC-Address Table & Flooding
6 Punkte
Ein Switch empfängt einen Frame auf Port 3 mit einer Ziel-MAC-Adresse, die nicht in seiner internen SAT-Tabelle (Source Address Table / CAM-Table) verzeichnet ist.
Beschreiben Sie die Reaktion des Switches auf diesen Frame (Unicast Flooding) und erklären Sie, wie der Switch seine MAC-Adresstabelle füllt.
💡 Didaktischer Erwartungshorizont & Punkteverteilung (nach KMK-Kriterien)
Reaktion (Unknown Unicast Flooding): Der Switch leitet den Frame an alle aktiven Ports desselben VLANs weiter, mit Ausnahme des Eingangsports 3. (3 Pkt.)
Lernen (MAC Learning): Der Switch liest bei jedem eingehenden Frame die Quell-MAC-Adresse (Source MAC) aus dem Ethernet-Header und speichert die Zuordnung Port <-> MAC zusammen mit einem Aging-Timer in seiner CAM-Tabelle. (3 Pkt.)
WLAN Wi-Fi 6 (802.11ax) Technologien
6 Punkte
Ein Unternehmen stattet Besprechungsräume mit Wi-Fi 6 Access Points aus.
Nennen und erläutern Sie zwei Schlüsseltechnologien von Wi-Fi 6 (OFDMA und MU-MIMO), die für hohe Clientdichten sorgen.
💡 Didaktischer Erwartungshorizont & Punkteverteilung (nach KMK-Kriterien)
OFDMA (Orthogonal Frequency Division Multiple Access): Teilt einen Funkkanal in viele kleine Unterträger (Resource Units) auf, sodass der AP gleichzeitig mit mehreren Clients Datenpakete in einem einzigen Übertragungszyklus austauschen kann (geringe Latenz). (3 Pkt.)
MU-MIMO (Multi-User MIMO): Ermöglicht gleichzeitiges Senden und Empfangen über mehrere räumliche Streams (Spatial Streams) an mehrere Endgeräte zeitgleich in Up- und Downlink. (3 Pkt.)
Kollisionsdomäne vs Broadcastdomäne
6 Punkte
In einer Netzwerktopologie befinden sich Hubs, Switche und Router.
Definieren Sie die Begriffe Kollisionsdomäne und Broadcastdomäne und geben Sie an, wie viele dieser Domänen ein 24-Port-Layer-2-Switch standardmäßig besitzt.
💡 Didaktischer Erwartungshorizont & Punkteverteilung (nach KMK-Kriterien)
Kollisionsdomäne: Netzwerkbereich, in dem Datenpakete kollidieren können, wenn zwei Stationen gleichzeitig senden (CSMA/CD). (2 Pkt.)
Broadcastdomäne: Netzwerkbereich, in dem ein gesendeter Broadcast-Frame (Ziel: FF:FF:FF:FF:FF:FF) alle angeschlossenen Knoten erreicht. (2 Pkt.)
24-Port-Switch: Besitzt 24 separate Kollisionsdomänen (1 pro Vollduplex-Port) und genau 1 gemeinsame Broadcastdomäne (sofern keine VLANs eingerichtet sind). (2 Pkt.)
CSMA/CD vs CSMA/CA
6 Punkte
Vergleichen Sie das Medienzugriffsverfahren im klassischen kabelgebundenen Halbduplex-Ethernet mit dem im WLAN.
Erläutern Sie den Unterschied zwischen Collision Detection (CD) und Collision Avoidance (CA).
💡 Didaktischer Erwartungshorizont & Punkteverteilung (nach KMK-Kriterien)
CSMA/CD (Ethernet): Stationen senden und hören gleichzeitig die Leitung ab. Erkennt eine Station eine Kollision (Spannungsanstieg), sendet sie ein JAM-Signal, bricht ab und wartet eine zufällige Backoff-Zeit. (3 Pkt.)
CSMA/CA (WLAN): Da Funkgeräte beim Senden ihr eigenes Empfangssignal überlagern, können Kollisionen nicht zuverlässig erkannt werden. Stattdessen wird der Kanal abgehört (Carrier Sense) und vor dem Senden eine zufällige Wartezeit (Contention Window) eingelegt, ggf. ergänzt durch RTS/CTS-Handshakes. (3 Pkt.)
Netzwerk-Übertragungszeit Berechnung
8 Punkte
Ein Backup-Image von 450 GiB soll über eine 1-Gbit/s-Ethernet-Leitung auf ein NAS übertragen werden. Der Protokoll-Overhead (TCP/IP/Ethernet) beträgt 8 % und die durchschnittliche Netto-Leitungsauslastung liegt bei 85 %.
Berechnen Sie die Übertragungsdauer in Stunden und Minuten. (1 GiB = 1024^3 Byte; 1 Gbit/s = 10^9 Bit/s).
💡 Didaktischer Erwartungshorizont & Punkteverteilung (nach KMK-Kriterien)
Dateigröße in Bit: 450 * 1024 * 1024 * 1024 * 8 Bit = 3.865.470.566.400 Bit. (2 Pkt.)
Nutzdatenrate der Leitung: 1.000.000.000 Bit/s * 0,85 * (1 - 0,08) = 782.000.000 Bit/s = 782 Mbit/s. (2 Pkt.)
Dauer in Sekunden: 3.865.470.566.400 / 782.000.000 s = 4943,05 Sekunden. (2 Pkt.)
Umrechnung: 4943,05 / 3600 = 1,373 h -> 1 Stunde und 22 Minuten (82 Minuten). (2 Pkt.)
PoE Power over Ethernet Standards
6 Punkte
Für neue IP-Telefone und Überwachungskameras wird PoE nach IEEE 802.3at (PoE+) auf den Access-Switches benötigt.
Nennen Sie die maximale Leistungsabgabe pro Port nach IEEE 802.3af (PoE) und IEEE 802.3at (PoE+) und erklären Sie den Unterschied zwischen Endspan und Midspan.
💡 Didaktischer Erwartungshorizont & Punkteverteilung (nach KMK-Kriterien)
PoE (802.3af): Max. 15,4 Watt am Switch-Port (min. 12,95 W am Endgerät). (2 Pkt.)
PoE+ (802.3at): Max. 30,0 Watt am Switch-Port (min. 25,5 W am Endgerät). (2 Pkt.)
Endspan: Die Stromversorgung erfolgt direkt über den Ethernet-Switch selbst. (1 Pkt.)
Midspan: Ein separater PoE-Injektor oder Patchpanel wird zwischen Non-PoE-Switch und Endgerät geschaltet. (1 Pkt.)
ARP-Protokoll & ARP-Cache
6 Punkte
Host A (192.168.1.10) möchte ein TCP-Paket an Host B (192.168.1.50) im selben Subnetz senden.
Beschreiben Sie, wie Host A mithilfe des Address Resolution Protocols (ARP) die Ziel-Hardwareadresse ermittelt und was geschieht, wenn der Eintrag im Cache veraltet.
💡 Didaktischer Erwartungshorizont & Punkteverteilung (nach KMK-Kriterien)
1. ARP-Request: Host A prüft seinen ARP-Cache. Ist kein Eintrag vorhanden, sendet er einen ARP-Request als Ethernet-Broadcast (FF:FF:FF:FF:FF:FF) mit dem Inhalt: "Wer hat 192.168.1.50? Bitte antworte an 192.168.1.10!". (2 Pkt.)
2. ARP-Reply: Host B erkennt seine IP und antwortet per Unicast direkt an die MAC von Host A mit seiner MAC-Adresse. (2 Pkt.)
3. Cache & Aging: Host A trägt die MAC in seinen ARP-Cache ein. Nach Ablauf des Aging-Timers (typisch 5-20 Min.) wird der Eintrag gelöscht und muss bei erneutem Bedarf neu angefragt werden. (2 Pkt.)
IPv6 SLAAC vs DHCPv6
8 Punkte
In einem neu eingerichteten IPv6-Netzwerk sollen Clients ihre IP-Adressen automatisch beziehen.
Vergleichen Sie SLAAC (Stateless Address Autoconfiguration) und Stateful DHCPv6 bezüglich Adressvergabe, Router Advertisements und zentraler Protokollierung.
💡 Didaktischer Erwartungshorizont & Punkteverteilung (nach KMK-Kriterien)
SLAAC: Client empfängt vom Router per ICMPv6 Router Advertisement (RA) das 64-Bit-Netzwerkpräfix. Den 64-Bit-Interface Identifier generiert der Client selbst (entweder via EUI-64 aus der MAC-Adresse oder zufällig via Privacy Extensions RFC 4941). Keine zentrale Adressdatenbank. (4 Pkt.)
Stateful DHCPv6: Funktioniert wie traditionelles DHCP: Ein DHCPv6-Server verwaltet einen definierten Adresspool, vergibt spezifische Adressen an Clients und protokolliert diese in einer Lease-Datenbank (zentrale Kontrolle und Auditierbarkeit). (4 Pkt.)
MTU, MSS und Path MTU Discovery
8 Punkte
Nach der Einrichtung eines VPN-Tunnels können Clients zwar kleine Webseiten öffnen, der Download großer Dateien bricht jedoch mit Timeouts ab.
Erklären Sie den Zusammenhang zwischen Ethernet-MTU (Maximum Transmission Unit), TCP-MSS (Maximum Segment Size), VPN-Overhead und Path MTU Discovery (PMTUD).
💡 Didaktischer Erwartungshorizont & Punkteverteilung (nach KMK-Kriterien)
Standard-MTU: Im Ethernet beträgt die MTU maximal 1500 Byte (inkl. 20 Byte IP-Header + 20 Byte TCP-Header -> MSS = 1460 Byte). (2 Pkt.)
VPN-Overhead: Ein VPN-Tunnel (z. B. IPsec/ESP) fügt zusätzliche Header und Padding hinzu (ca. 40-70 Byte). Ein 1500-Byte-Paket überschreitet nun die physische Leitungs-MTU. (2 Pkt.)
PMTUD & DF-Bit: Pakete mit gesetztem "Don't Fragment"-Bit (DF) werden vom Router verworfen, wenn sie größer als die MTU des Zwischenlinks sind. Der Router sendet ein ICMP-Paket "Fragmentation Needed" zurück. (2 Pkt.)
Lösung (Black Hole Vermeidung): Werden ICMP-Nachrichten durch Firewalls blockiert, scheitert PMTUD. Abhilfe: TCP MSS Clamping auf der Firewall (MSS künstlich auf z. B. 1360 Byte reduzieren). (2 Pkt.)
WLAN WPA3-Sicherheit & SAE Handshake
8 Punkte
Die WLAN-Infrastruktur soll von WPA2-Personal (PSK) auf WPA3-Personal migriert werden.
Erläutern Sie, warum WPA2 für Offline-Wörterbuchangriffe anfällig ist und wie der SAE-Handshake (Simultaneous Authentication of Equals / Dragonfly) in WPA3 diesen Angriff unmöglich macht.
💡 Didaktischer Erwartungshorizont & Punkteverteilung (nach KMK-Kriterien)
Schwachstelle WPA2: Beim klassischen 4-Wege-Handshake kann ein Angreifer die Handshake-Frames mitschneiden (Sniffing) und anschließend offline auf Hochleistungs-GPUs Milliarden Passwörter gegen den Hash testen (Dictionary Attack), ohne weitere Verbindung zum AP. (4 Pkt.)
WPA3 / SAE-Verfahren: Verwendet den Dragonfly-Schlüsselaustausch (Diffie-Hellman-Variante auf elliptischen Kurven). Das Passwort wird direkt in die Kurvenberechnung einbezogen. Ein Angreifer kann bei jedem Fehlversuch nur genau ein einziges Passwort online verifizieren; Offline-Wörterbuchangriffe auf mitgeschnittene Pakete sind mathematisch unmöglich (Forward Secrecy). (4 Pkt.)
DNSSEC Funktionsweise
8 Punkte
Zur Abwehr von DNS-Spoofing und Cache Poisoning wird DNSSEC auf den Nameservern implementiert.
Erläutern Sie, wie DNSSEC die Authentizität und Integrität von DNS-Antworten sicherstellt und welche Aufgaben die Records RRSIG und DNSKEY haben.
💡 Didaktischer Erwartungshorizont & Punkteverteilung (nach KMK-Kriterien)
Funktionsweise: DNSSEC nutzt asymmetrische Kryptografie zur hierarchischen digitalen Signatur von DNS-Zonendaten. Clients können über eine lückenlose Vertrauenskette (Chain of Trust) von der DNS-Root-Zone (. ) über die TLD (z. B. .de) bis zur Domäne prüfen, ob die Antwort unverfälscht vom autoritativen Server stammt. (4 Pkt.)
DNSKEY: Enthält den öffentlichen Schlüssel der Zone zur Verifikation von Signaturen. (2 Pkt.)
RRSIG (Resource Record Signature): Enthält die kryptografische Signatur über ein konkretes Resource Record Set (RRSet, z. B. A- oder MX-Records). (2 Pkt.)
Datenübertragungsrate (Mbit/s) vs. Dateigröße (GiB) (Neu 2025)
8 Punkte
Über eine Glasfaser-Internetanbindung mit einer nutzbaren Download-Bandbreite von 250 Mbit/s soll ein virtuelles Festplatten-Image mit einer Dateigröße von 45 GiB heruntergeladen werden. Durch TCP/IP- und Protokoll-Header entsteht ein Overhead von 8 %.
Berechnen Sie die reine Übertragungszeit in Minuten und Sekunden.
💡 Didaktischer Erwartungshorizont & Punkteverteilung (nach KMK-Kriterien)
1. Umrechnung Dateigröße von GiB in Byte und Bit:
45 GiB = 45 * 1.024^3 Byte = 45 * 1.073.741.824 Byte = 48.318.382.080 Byte. (2 Pkt.)
In Bit: 48.318.382.080 * 8 = 386.547.056.640 Bit. (1 Pkt.)
2. Berücksichtigung des Protokoll-Overheads (8 %):
Gesamte zu übertragende Bitmenge = 386.547.056.640 * 1,08 = 417.470.821.171 Bit. (2 Pkt.)
3. Übertragungsrate in Bit/s (SI-Präfix bei Netzwerk!):
250 Mbit/s = 250 * 10^6 Bit/s = 250.000.000 Bit/s. (1 Pkt.)
4. Download-Dauer:
Zeit = 417.470.821.171 / 250.000.000 ≈ 1.669,88 Sekunden. (1 Pkt.)
In Minuten: 1.669,88 / 60 ≈ 27 Minuten und 50 Sekunden (bzw. 27,83 Min.). (1 Pkt.)