Aus unserem Fragenpool von 150 IHK-Prüfungsfragen nach offiziellem ZPA/AkA-Wortlaut. Bearbeiten Sie die Aufgaben und vergleichen Sie Ihre Antwort mit dem Erwartungshorizont:
IPv4 Subnetting /27 Berechnung
12 Punkte
Einem Subnetz ist die IP-Adresse 172.20.14.98 mit der CIDR-Präfixlänge /27 zugewiesen.
Berechnen Sie: 1. Subnetzmaske in Dezimalpunkt-Notation, 2. Netzwerkadresse, 3. Erste nutzbare Host-IP, 4. Letzte nutzbare Host-IP, 5. Broadcastadresse, 6. Anzahl nutzbarer Hostadressen.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
1. Subnetzmaske: 255.255.255.224 (/27 entspricht 11111111.11111111.11111111.11100000). (2 Pkt.)
2. Schrittweite: 256 - 224 = 32. Blockgrenzen: 0, 32, 64, 96, 128... -> Netzadresse: 172.20.14.96. (2 Pkt.)
3. Erste nutzbare Host-IP: 172.20.14.97. (2 Pkt.)
4. Broadcastadresse: 172.20.14.127. (2 Pkt.)
5. Letzte nutzbare Host-IP: 172.20.14.126. (2 Pkt.)
6. Nutzbare Hostadressen: 2^5 - 2 = 32 - 2 = 30 Hosts. (2 Pkt.)
VLSM Variable Length Subnet Mask
9 Punkte
Das Basisnetz 192.168.50.0/24 soll mittels VLSM für drei Abteilungen aufgeteilt werden: Vertrieb (55 Hosts), Entwicklung (28 Hosts) und Support (12 Hosts).
Ermitteln Sie für alle drei Subnetze jeweils die Netzadresse und die CIDR-Präfixlänge.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
Vertrieb (55 Hosts + 2 = 57 Adressen -> 2^6 = 64): Netzadresse 192.168.50.0/26 (Bereich: .0 bis .63). (3 Pkt.)
Entwicklung (28 Hosts + 2 = 30 Adressen -> 2^5 = 32): Netzadresse 192.168.50.64/27 (Bereich: .64 bis .95). (3 Pkt.)
Support (12 Hosts + 2 = 14 Adressen -> 2^4 = 16): Netzadresse 192.168.50.96/28 (Bereich: .96 bis .111). (3 Pkt.)
IPv6 Kürzungsregeln nach RFC 5952
6 Punkte
Ein Client hat die IPv6-Adresse 2001:0db8:0000:0042:0000:0000:0000:0001/64 konfiguriert.
Kürzen Sie die Adresse nach den offiziellen RFC-5952-Regeln und erläutern Sie die Bedeutung der Link-Local-Adresse (fe80::/10).
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
Gekürzte Adresse: 2001:db8:0:42::1/64 (Führende Nullen pro Block weglassen; die längste zusammenhängende Folge von Null-Blöcken einmalig durch :: ersetzen). (3 Pkt.)
Link-Local (fe80::/10): Automatisch generierte, nicht im Internet geroutete Adresse zur lokalen Kommunikation im selben Subnetz (z. B. für Neighbor Discovery Protocol NDP, DHCPv6 und Router Solicitations). (3 Pkt.)
DHCP DORA-Prozess
8 Punkte
Ein neuer Arbeitsplatz-PC wird mit dem Unternehmensnetzwerk per Patchkabel verbunden.
Beschreiben Sie die vier Phasen des DHCP-Lease-Prozesses (DORA) und geben Sie jeweils an, ob die Nachricht als Broadcast oder Unicast gesendet wird.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
1. DHCPDISCOVER (Broadcast): Client sucht im lokalen Netz nach verfügbaren DHCP-Servern. (2 Pkt.)
2. DHCPOFFER (Unicast oder Broadcast): DHCP-Server bieten dem Client eine freie IP-Adresse samt Parametern an. (2 Pkt.)
3. DHCPREQUEST (Broadcast): Client wählt ein Angebot aus und fordert die Bindung an (Broadcast informiert auch andere Server). (2 Pkt.)
4. DHCPACK (Unicast oder Broadcast): Server bestätigt die Vergabe und überträgt Lease-Dauer, Subnetzmaske, Gateway und DNS. (2 Pkt.)
DNS Resource Records
8 Punkte
Ein Administrator verwaltet die Forward- und Reverse-Lookup-Zonen im internen DNS-Server.
Erklären Sie die jeweilige Funktion der folgenden vier DNS-Resource-Records: A, AAAA, CNAME und PTR.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
1. A-Record: Löst einen vollqualifizierten Domänennamen (FQDN) in eine IPv4-Adresse auf. (2 Pkt.)
2. AAAA-Record: Löst einen FQDN in eine 128-Bit IPv6-Adresse auf. (2 Pkt.)
3. CNAME-Record (Canonical Name): Dient als Alias/Verweis auf einen anderen bestehenden A- oder AAAA-Record. (2 Pkt.)
4. PTR-Record (Pointer): Ermöglicht das Reverse-DNS-Lookup (Auflösung einer IP-Adresse in den FQDN). (2 Pkt.)
OSI-Referenzmodell Zuordnung
8 Punkte
Netzwerkgeräte und Protokolle werden im 7-Schichten-Modell nach ISO/IEC 7498-1 eingeordnet.
Ordnen Sie die folgenden vier Begriffe der jeweils korrekten Schicht (1 bis 7) mit deutschem und englischem Namen zu: Switch, Router, TCP, HTTP.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
1. Switch: Schicht 2 (Sicherungsschicht / Data Link Layer - Weiterleitung anhand von MAC-Adressen). (2 Pkt.)
2. Router: Schicht 3 (Vermittlungsschicht / Network Layer - Weiterleitung anhand logischer IP-Adressen). (2 Pkt.)
3. TCP: Schicht 4 (Transportschicht / Transport Layer - End-to-End-Verbindung und Segmentierung). (2 Pkt.)
4. HTTP: Schicht 7 (Anwendungsschicht / Application Layer - Protokoll für Webdienste). (2 Pkt.)
Kupferverkabelung Cat 6a vs Cat 7
6 Punkte
Bei einer Neuausstattung eines Bürogebäudes wird über Cat 6a versus Cat 7 diskutiert.
Nennen Sie Übertragungsfrequenz und max. Datenrate von Cat 6a und erläutern Sie die Bezeichnung S/FTP.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
Cat 6a: Grenzfrequenz 500 MHz, Datenrate bis zu 10 Gbit/s (10GBASE-T) über die maximale Kanallänge von 100 Metern. (2 Pkt.)
S/FTP: Shielded with Foiled Twisted Pair -> S = Gesamtabschirmung des Kabels durch ein Kupfergeflecht (Braid Screen); FTP = Jedes einzelne der vier Adernpaare ist zusätzlich mit einer Aluminium-Abschirmfolie umwickelt. (4 Pkt.)
LWL Fasertypen Singlemode vs Multimode
8 Punkte
Zwei Firmengebäude im Abstand von 950 Metern sollen über ein Glasfaserkabel miteinander verbunden werden.
Vergleichen Sie Singlemode- (OS2) und Multimode-Glasfasern (OM4) bezüglich Kerndurchmesser, Lichtquelle und Reichweite und begründen Sie Ihre Wahl für das Projekt.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
Singlemode (OS2): Kerndurchmesser ca. 9 µm, Lichtquelle Laser, Reichweite bis über 40 km, keine Modendispersion. (3 Pkt.)
Multimode (OM4): Kerndurchmesser 50 µm, Lichtquelle VCSEL/LED, Reichweite typisch max. 400-550 Meter bei 10 Gbit/s. (3 Pkt.)
Entscheidung: Für 950 m muss zwingend Singlemode-Glasfaser (OS2) gewählt werden, da Multimode bei 10 Gbit/s die geforderte Distanz überschreitet. (2 Pkt.)
Switch MAC-Address Table & Flooding
6 Punkte
Ein Switch empfängt einen Frame auf Port 3 mit einer Ziel-MAC-Adresse, die nicht in seiner internen SAT-Tabelle (Source Address Table / CAM-Table) verzeichnet ist.
Beschreiben Sie die Reaktion des Switches auf diesen Frame (Unicast Flooding) und erklären Sie, wie der Switch seine MAC-Adresstabelle füllt.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
Reaktion (Unknown Unicast Flooding): Der Switch leitet den Frame an alle aktiven Ports desselben VLANs weiter, mit Ausnahme des Eingangsports 3. (3 Pkt.)
Lernen (MAC Learning): Der Switch liest bei jedem eingehenden Frame die Quell-MAC-Adresse (Source MAC) aus dem Ethernet-Header und speichert die Zuordnung Port <-> MAC zusammen mit einem Aging-Timer in seiner CAM-Tabelle. (3 Pkt.)
WLAN Wi-Fi 6 (802.11ax) Technologien
6 Punkte
Ein Unternehmen stattet Besprechungsräume mit Wi-Fi 6 Access Points aus.
Nennen und erläutern Sie zwei Schlüsseltechnologien von Wi-Fi 6 (OFDMA und MU-MIMO), die für hohe Clientdichten sorgen.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
OFDMA (Orthogonal Frequency Division Multiple Access): Teilt einen Funkkanal in viele kleine Unterträger (Resource Units) auf, sodass der AP gleichzeitig mit mehreren Clients Datenpakete in einem einzigen Übertragungszyklus austauschen kann (geringe Latenz). (3 Pkt.)
MU-MIMO (Multi-User MIMO): Ermöglicht gleichzeitiges Senden und Empfangen über mehrere räumliche Streams (Spatial Streams) an mehrere Endgeräte zeitgleich in Up- und Downlink. (3 Pkt.)
Kollisionsdomäne vs Broadcastdomäne
6 Punkte
In einer Netzwerktopologie befinden sich Hubs, Switche und Router.
Definieren Sie die Begriffe Kollisionsdomäne und Broadcastdomäne und geben Sie an, wie viele dieser Domänen ein 24-Port-Layer-2-Switch standardmäßig besitzt.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
Kollisionsdomäne: Netzwerkbereich, in dem Datenpakete kollidieren können, wenn zwei Stationen gleichzeitig senden (CSMA/CD). (2 Pkt.)
Broadcastdomäne: Netzwerkbereich, in dem ein gesendeter Broadcast-Frame (Ziel: FF:FF:FF:FF:FF:FF) alle angeschlossenen Knoten erreicht. (2 Pkt.)
24-Port-Switch: Besitzt 24 separate Kollisionsdomänen (1 pro Vollduplex-Port) und genau 1 gemeinsame Broadcastdomäne (sofern keine VLANs eingerichtet sind). (2 Pkt.)
CSMA/CD vs CSMA/CA
6 Punkte
Vergleichen Sie das Medienzugriffsverfahren im klassischen kabelgebundenen Halbduplex-Ethernet mit dem im WLAN.
Erläutern Sie den Unterschied zwischen Collision Detection (CD) und Collision Avoidance (CA).
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
CSMA/CD (Ethernet): Stationen senden und hören gleichzeitig die Leitung ab. Erkennt eine Station eine Kollision (Spannungsanstieg), sendet sie ein JAM-Signal, bricht ab und wartet eine zufällige Backoff-Zeit. (3 Pkt.)
CSMA/CA (WLAN): Da Funkgeräte beim Senden ihr eigenes Empfangssignal überlagern, können Kollisionen nicht zuverlässig erkannt werden. Stattdessen wird der Kanal abgehört (Carrier Sense) und vor dem Senden eine zufällige Wartezeit (Contention Window) eingelegt, ggf. ergänzt durch RTS/CTS-Handshakes. (3 Pkt.)
Netzwerk-Übertragungszeit Berechnung
8 Punkte
Ein Backup-Image von 450 GiB soll über eine 1-Gbit/s-Ethernet-Leitung auf ein NAS übertragen werden. Der Protokoll-Overhead (TCP/IP/Ethernet) beträgt 8 % und die durchschnittliche Netto-Leitungsauslastung liegt bei 85 %.
Berechnen Sie die Übertragungsdauer in Stunden und Minuten. (1 GiB = 1024^3 Byte; 1 Gbit/s = 10^9 Bit/s).
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
Dateigröße in Bit: 450 * 1024 * 1024 * 1024 * 8 Bit = 3.865.470.566.400 Bit. (2 Pkt.)
Nutzdatenrate der Leitung: 1.000.000.000 Bit/s * 0,85 * (1 - 0,08) = 782.000.000 Bit/s = 782 Mbit/s. (2 Pkt.)
Dauer in Sekunden: 3.865.470.566.400 / 782.000.000 s = 4943,05 Sekunden. (2 Pkt.)
Umrechnung: 4943,05 / 3600 = 1,373 h -> 1 Stunde und 22 Minuten (82 Minuten). (2 Pkt.)
PoE Power over Ethernet Standards
6 Punkte
Für neue IP-Telefone und Überwachungskameras wird PoE nach IEEE 802.3at (PoE+) auf den Access-Switches benötigt.
Nennen Sie die maximale Leistungsabgabe pro Port nach IEEE 802.3af (PoE) und IEEE 802.3at (PoE+) und erklären Sie den Unterschied zwischen Endspan und Midspan.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
PoE (802.3af): Max. 15,4 Watt am Switch-Port (min. 12,95 W am Endgerät). (2 Pkt.)
PoE+ (802.3at): Max. 30,0 Watt am Switch-Port (min. 25,5 W am Endgerät). (2 Pkt.)
Endspan: Die Stromversorgung erfolgt direkt über den Ethernet-Switch selbst. (1 Pkt.)
Midspan: Ein separater PoE-Injektor oder Patchpanel wird zwischen Non-PoE-Switch und Endgerät geschaltet. (1 Pkt.)
ARP-Protokoll & ARP-Cache
6 Punkte
Host A (192.168.1.10) möchte ein TCP-Paket an Host B (192.168.1.50) im selben Subnetz senden.
Beschreiben Sie, wie Host A mithilfe des Address Resolution Protocols (ARP) die Ziel-Hardwareadresse ermittelt und was geschieht, wenn der Eintrag im Cache veraltet.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
1. ARP-Request: Host A prüft seinen ARP-Cache. Ist kein Eintrag vorhanden, sendet er einen ARP-Request als Ethernet-Broadcast (FF:FF:FF:FF:FF:FF) mit dem Inhalt: "Wer hat 192.168.1.50? Bitte antworte an 192.168.1.10!". (2 Pkt.)
2. ARP-Reply: Host B erkennt seine IP und antwortet per Unicast direkt an die MAC von Host A mit seiner MAC-Adresse. (2 Pkt.)
3. Cache & Aging: Host A trägt die MAC in seinen ARP-Cache ein. Nach Ablauf des Aging-Timers (typisch 5-20 Min.) wird der Eintrag gelöscht und muss bei erneutem Bedarf neu angefragt werden. (2 Pkt.)
IPv6 SLAAC vs DHCPv6
8 Punkte
In einem neu eingerichteten IPv6-Netzwerk sollen Clients ihre IP-Adressen automatisch beziehen.
Vergleichen Sie SLAAC (Stateless Address Autoconfiguration) und Stateful DHCPv6 bezüglich Adressvergabe, Router Advertisements und zentraler Protokollierung.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
SLAAC: Client empfängt vom Router per ICMPv6 Router Advertisement (RA) das 64-Bit-Netzwerkpräfix. Den 64-Bit-Interface Identifier generiert der Client selbst (entweder via EUI-64 aus der MAC-Adresse oder zufällig via Privacy Extensions RFC 4941). Keine zentrale Adressdatenbank. (4 Pkt.)
Stateful DHCPv6: Funktioniert wie traditionelles DHCP: Ein DHCPv6-Server verwaltet einen definierten Adresspool, vergibt spezifische Adressen an Clients und protokolliert diese in einer Lease-Datenbank (zentrale Kontrolle und Auditierbarkeit). (4 Pkt.)
MTU, MSS und Path MTU Discovery
8 Punkte
Nach der Einrichtung eines VPN-Tunnels können Clients zwar kleine Webseiten öffnen, der Download großer Dateien bricht jedoch mit Timeouts ab.
Erklären Sie den Zusammenhang zwischen Ethernet-MTU (Maximum Transmission Unit), TCP-MSS (Maximum Segment Size), VPN-Overhead und Path MTU Discovery (PMTUD).
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
Standard-MTU: Im Ethernet beträgt die MTU maximal 1500 Byte (inkl. 20 Byte IP-Header + 20 Byte TCP-Header -> MSS = 1460 Byte). (2 Pkt.)
VPN-Overhead: Ein VPN-Tunnel (z. B. IPsec/ESP) fügt zusätzliche Header und Padding hinzu (ca. 40-70 Byte). Ein 1500-Byte-Paket überschreitet nun die physische Leitungs-MTU. (2 Pkt.)
PMTUD & DF-Bit: Pakete mit gesetztem "Don't Fragment"-Bit (DF) werden vom Router verworfen, wenn sie größer als die MTU des Zwischenlinks sind. Der Router sendet ein ICMP-Paket "Fragmentation Needed" zurück. (2 Pkt.)
Lösung (Black Hole Vermeidung): Werden ICMP-Nachrichten durch Firewalls blockiert, scheitert PMTUD. Abhilfe: TCP MSS Clamping auf der Firewall (MSS künstlich auf z. B. 1360 Byte reduzieren). (2 Pkt.)
WLAN WPA3-Sicherheit & SAE Handshake
8 Punkte
Die WLAN-Infrastruktur soll von WPA2-Personal (PSK) auf WPA3-Personal migriert werden.
Erläutern Sie, warum WPA2 für Offline-Wörterbuchangriffe anfällig ist und wie der SAE-Handshake (Simultaneous Authentication of Equals / Dragonfly) in WPA3 diesen Angriff unmöglich macht.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
Schwachstelle WPA2: Beim klassischen 4-Wege-Handshake kann ein Angreifer die Handshake-Frames mitschneiden (Sniffing) und anschließend offline auf Hochleistungs-GPUs Milliarden Passwörter gegen den Hash testen (Dictionary Attack), ohne weitere Verbindung zum AP. (4 Pkt.)
WPA3 / SAE-Verfahren: Verwendet den Dragonfly-Schlüsselaustausch (Diffie-Hellman-Variante auf elliptischen Kurven). Das Passwort wird direkt in die Kurvenberechnung einbezogen. Ein Angreifer kann bei jedem Fehlversuch nur genau ein einziges Passwort online verifizieren; Offline-Wörterbuchangriffe auf mitgeschnittene Pakete sind mathematisch unmöglich (Forward Secrecy). (4 Pkt.)
DNSSEC Funktionsweise
8 Punkte
Zur Abwehr von DNS-Spoofing und Cache Poisoning wird DNSSEC auf den Nameservern implementiert.
Erläutern Sie, wie DNSSEC die Authentizität und Integrität von DNS-Antworten sicherstellt und welche Aufgaben die Records RRSIG und DNSKEY haben.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
Funktionsweise: DNSSEC nutzt asymmetrische Kryptografie zur hierarchischen digitalen Signatur von DNS-Zonendaten. Clients können über eine lückenlose Vertrauenskette (Chain of Trust) von der DNS-Root-Zone (. ) über die TLD (z. B. .de) bis zur Domäne prüfen, ob die Antwort unverfälscht vom autoritativen Server stammt. (4 Pkt.)
DNSKEY: Enthält den öffentlichen Schlüssel der Zone zur Verifikation von Signaturen. (2 Pkt.)
RRSIG (Resource Record Signature): Enthält die kryptografische Signatur über ein konkretes Resource Record Set (RRSet, z. B. A- oder MX-Records). (2 Pkt.)