Inhalte: Wochen 9 bis 12

- Woche 9 Virtualisierung (B1, A8, LF9)
- Woche 10 Verzeichnisdienst und Serverdienste (B3, A6, LF10)
- Woche 11 Netze trennen und verbinden (B2, A6, LF9)
- Woche 12 Kundenauftrag von der Anfrage bis zur Abnahme (A2, A3, A7)

12 Handouts, 36 Merkkarten, 4 Praxisaufgaben, 3 Checklisten,
2 Lernzielkontrollen, 23 Glossareintraege, Themenblock Server und
Virtualisierung. Die Praxisaufgaben 9.1 und 10.1 bauen aufeinander auf:
Der Testserver aus Woche 9 traegt die Testdomaene in Woche 10.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

content/handouts/A7-anforderungen-aufnehmen.md

@@ -0,0 +1,63 @@
+---
+id: A7
+titel: Anforderungen aufnehmen – Lastenheft und Pflichtenheft
+block: arbeitsalltag
+woche: 12
+worum: Die meisten Projekte scheitern nicht an der Technik, sondern daran, dass Auftraggeber und IT unter derselben Anforderung etwas anderes verstanden haben.
+rahmenplan: [A2, A1, B1]
+lernfeld: LF2
+merksatz: Das Lastenheft sagt, was und wofür – vom Kunden. Das Pflichtenheft sagt, wie und womit – von der IT. Beides wird unterschrieben.
+karten:
+  - frage: Was ist der Unterschied zwischen Lastenheft und Pflichtenheft?
+    antwort: Das Lastenheft beschreibt der Auftraggeber – was er braucht und wofür. Das Pflichtenheft schreibt der Auftragnehmer – wie und womit er diese Anforderungen umsetzt. Das Pflichtenheft ist die Antwort auf das Lastenheft.
+  - frage: Woran erkennt man eine gut formulierte Anforderung?
+    antwort: Sie ist eindeutig, überprüfbar und begründet. „Das Notebook soll schnell sein" ist keine Anforderung; „Das Notebook startet die Warenwirtschaft in unter zehn Sekunden" schon.
+  - frage: Was unterscheidet Muss-, Soll- und Kann-Anforderungen?
+    antwort: Muss-Anforderungen sind unverzichtbar, ohne sie ist die Lösung unbrauchbar. Soll-Anforderungen sind wichtig, aber verhandelbar. Kann-Anforderungen sind wünschenswert, wenn Zeit und Budget es hergeben.
+---
+
+## Das Wesentliche
+
+- **Erst verstehen, dann anbieten.** Im ersten Gespräch geht es nicht um Geräte, sondern um
+  die Arbeit: Was soll damit getan werden, von wem, wo, wie lange, mit welchen anderen
+  Systemen?
+- **Offene Fragen stellen:** „Wie läuft ein typischer Arbeitstag ab?" statt „Brauchen Sie
+  16 GB?". Wer nach Technik fragt, bekommt die Technik genannt, die der Kunde kennt.
+- **Das Lastenheft** kommt vom Auftraggeber: Ausgangslage, Ziel, Anforderungen,
+  Rahmenbedingungen (Budget, Termin, Vorgaben). In kleinen Aufträgen schreibt es oft die IT
+  mit – dann lässt man es vom Kunden bestätigen.
+- **Das Pflichtenheft** kommt vom Auftragnehmer: wie die Anforderungen umgesetzt werden, mit
+  welcher Hard- und Software, in welchen Schritten, mit welchem Ergebnis.
+- **Anforderungen müssen prüfbar sein.** Jede Anforderung sollte man am Ende mit Ja oder
+  Nein abhaken können. Was sich nicht prüfen lässt, führt bei der Abnahme zum Streit.
+- **Muss, Soll, Kann** unterscheiden. Damit lässt sich verhandeln, wenn Budget oder Termin
+  nicht reichen, ohne dass das Wesentliche wegfällt.
+- **Nicht-funktionale Anforderungen** nicht vergessen: Verfügbarkeit, Datenschutz,
+  Lautstärke, Ergonomie, Barrierefreiheit, Supportzeiten.
+- **Schriftlich bestätigen lassen.** Eine mündliche Absprache ist nach drei Wochen eine
+  Erinnerung – nach drei Monaten eine Meinung.
+
+## Übersicht
+
+| Unklar | Prüfbar |
+|---|---|
+| Der Rechner soll schnell sein | Die CAD-Anwendung öffnet die Baugruppe X in unter 15 Sekunden |
+| Ausreichend Speicher | 512 GB SSD, davon mindestens 300 GB frei nach Einrichtung |
+| Leise | Unter 30 dB(A) im Leerlauf in 1 m Abstand |
+| Gute Akkulaufzeit | 8 Stunden Arbeit mit Office und Videokonferenz ohne Steckdose |
+| Sicher | Festplattenverschlüsselung, zweiter Faktor, Updates zentral verwaltet |
+
+## Prüfungsfrage
+
+**Frage:** Die Vertriebsleitung wünscht „neue, moderne Notebooks für den Außendienst".
+Welche Fragen stellen Sie, bevor Sie ein Angebot einholen? Nennen Sie fünf und begründen
+Sie zwei davon.
+
+**Antwort:** Fünf aus: (1) Welche Anwendungen werden unterwegs genutzt, auch ohne
+Internetverbindung? (2) Wie lange wird ohne Steckdose gearbeitet? (3) Wie oft und wie
+werden die Geräte transportiert – Robustheit, Gewicht? (4) Werden Videokonferenzen geführt –
+Kamera, Mikrofon, Mobilfunkmodul? (5) Welche Anschlüsse und Peripherie werden beim Kunden
+oder im Büro gebraucht? (6) Wie hoch ist das Budget, und bis wann werden die Geräte gebraucht?
+(7) Welche Daten werden gespeichert – Verschlüsselung, Datenschutz? Begründungen etwa:
+Die Akkulaufzeit bestimmt die Geräteklasse und schließt viele Modelle von vornherein aus.
+Der Termin entscheidet, ob nur sofort lieferbare Geräte infrage kommen.

content/handouts/A8-angebote-rechnen.md

@@ -0,0 +1,65 @@
+---
+id: A8
+titel: Angebote einholen und rechnen – vom Listenpreis zum Bezugspreis
+block: arbeitsalltag
+woche: 12
+worum: Der niedrigste Listenpreis ist nicht das günstigste Angebot. Erst Rabatt, Skonto und Bezugskosten ergeben den Preis, den der Betrieb tatsächlich zahlt.
+rahmenplan: [A3, A2, A7]
+lernfeld: LF2
+merksatz: Listenpreis minus Rabatt minus Skonto plus Bezugskosten. Netto vergleichen, Bedingungen gleich machen.
+karten:
+  - frage: Wie lautet das Schema der Bezugskalkulation?
+    antwort: Listeneinkaufspreis minus Liefererrabatt ergibt den Zieleinkaufspreis, minus Liefererskonto den Bareinkaufspreis, plus Bezugskosten den Bezugspreis.
+  - frage: Ist ein Angebot verbindlich, eine Anfrage aber nicht?
+    antwort: Ja. Eine Anfrage verpflichtet zu nichts. Ein Angebot bindet den Anbieter, es sei denn, er schränkt es ausdrücklich ein, etwa mit „freibleibend" oder „solange Vorrat reicht". Nimmt der Kunde es rechtzeitig an, ist der Vertrag geschlossen.
+  - frage: Warum vergleicht man Angebote für den Betrieb netto, also ohne Umsatzsteuer?
+    antwort: Weil ein vorsteuerabzugsberechtigter Betrieb die Umsatzsteuer vom Finanzamt zurückbekommt. Seine tatsächlichen Kosten sind die Nettopreise.
+---
+
+## Das Wesentliche
+
+- **Mindestens drei Angebote** einholen, mit **derselben Anfrage**: gleiche Menge, gleiche
+  Anforderungen, gleicher Liefertermin. Sonst vergleicht man Äpfel mit Birnen.
+- **Anfrage, Angebot, Bestellung:** Die Anfrage ist unverbindlich. Das Angebot bindet den
+  Anbieter, außer es ist ausdrücklich eingeschränkt. Die rechtzeitige Bestellung auf ein
+  Angebot ist die Annahme – damit ist der Kaufvertrag geschlossen.
+- **Die Bezugskalkulation** macht Angebote vergleichbar:
+  Listeneinkaufspreis − **Rabatt** = Zieleinkaufspreis − **Skonto** = Bareinkaufspreis +
+  **Bezugskosten** (Versand, Verpackung, Zoll) = **Bezugspreis**.
+- **Rabatt** ist ein Preisnachlass, etwa für Menge oder Stammkunden. **Skonto** ist ein Nachlass
+  für schnelle Zahlung innerhalb einer Frist – er zählt nur, wenn die Buchhaltung die Frist
+  auch einhält.
+- **Netto vergleichen.** Der Betrieb kann die Umsatzsteuer als Vorsteuer abziehen; seine
+  Kosten sind die Nettobeträge.
+- **Der Preis ist nicht alles.** Lieferzeit, Garantie, Service vor Ort, Verfügbarkeit von
+  Ersatzteilen gehören in eine Nutzwertanalyse (Handout H3). Die Bezugskalkulation liefert
+  dafür das Kriterium Preis.
+- **Nachfragen ist erlaubt.** Wer zwei gute Angebote hat, kann beide Anbieter um ihr bestes
+  Angebot bitten. Das ist üblich und kein schlechter Stil.
+
+## Übersicht
+
+Fünf gleiche Arbeitsplatzrechner, Preise netto:
+
+| | Angebot A | Angebot B | Angebot C |
+|---|---|---|---|
+| Listeneinkaufspreis (5 × Stückpreis) | 4.495,00 € | 4.245,00 € | 4.395,00 € |
+| − Rabatt | 10 % = 449,50 € | – | 5 % = 219,75 € |
+| = Zieleinkaufspreis | 4.045,50 € | 4.245,00 € | 4.175,25 € |
+| − Skonto | 2 % = 80,91 € | 3 % = 127,35 € | – |
+| = Bareinkaufspreis | 3.964,59 € | 4.117,65 € | 4.175,25 € |
+| + Bezugskosten | 25,00 € | – | 40,00 € |
+| **= Bezugspreis** | **3.989,59 €** | **4.117,65 €** | **4.215,25 €** |
+
+Angebot B hat den niedrigsten Stückpreis, Angebot A den niedrigsten Bezugspreis.
+
+## Prüfungsfrage
+
+**Frage:** Ein Händler bietet einen Switch zum Listenpreis von 1.200,00 € netto an, gewährt
+15 % Rabatt und 2 % Skonto bei Zahlung innerhalb von zehn Tagen; der Versand kostet 18,00 €.
+Berechnen Sie den Bezugspreis.
+
+**Antwort:** Listeneinkaufspreis 1.200,00 € − 15 % Rabatt (180,00 €) = Zieleinkaufspreis
+1.020,00 € − 2 % Skonto (20,40 €) = Bareinkaufspreis 999,60 € + Bezugskosten 18,00 € =
+**Bezugspreis 1.017,60 €** netto. Der Skonto wird vom Zieleinkaufspreis berechnet, nicht vom
+Listenpreis, und nur dann abgezogen, wenn innerhalb der Frist gezahlt wird.

content/handouts/A9-vertrag-und-abnahme.md

@@ -0,0 +1,67 @@
+---
+id: A9
+titel: Vertrag, Abnahme und Gewährleistung
+block: arbeitsalltag
+woche: 12
+worum: Ob eine Leistung als Kauf, Werk oder Dienst vereinbart ist, entscheidet, was geschuldet ist, wann bezahlt wird und was passiert, wenn etwas nicht funktioniert.
+rahmenplan: [A7, A2, C1]
+lernfeld: LF6
+merksatz: Kauf schuldet die Sache, Werk den Erfolg, Dienst die Tätigkeit. Ohne Abnahme kein Werk erledigt.
+karten:
+  - frage: Was unterscheidet einen Werkvertrag von einem Dienstvertrag?
+    antwort: Beim Werkvertrag wird ein Erfolg geschuldet, etwa ein funktionierendes Netzwerk; bezahlt wird nach der Abnahme. Beim Dienstvertrag wird eine Tätigkeit geschuldet, etwa Support nach Stunden – auch wenn das Problem am Ende nicht gelöst ist.
+  - frage: Was ist der Unterschied zwischen Gewährleistung und Garantie?
+    antwort: Die Gewährleistung ist gesetzlich vorgeschrieben – der Verkäufer haftet für Mängel, die bei Übergabe vorhanden waren, bei neuen Sachen in der Regel zwei Jahre. Die Garantie ist ein freiwilliges Versprechen des Herstellers oder Händlers mit selbst festgelegten Bedingungen.
+  - frage: Welche Bedeutung hat die Abnahme bei einem Werkvertrag?
+    antwort: Mit der Abnahme bestätigt der Auftraggeber, dass das Werk im Wesentlichen vertragsgemäß ist. Ab dann wird die Vergütung fällig, die Frist für Mängelansprüche beginnt, und die Gefahr geht auf den Auftraggeber über.
+  - frage: Wie viele Stunden Ausfall im Jahr erlaubt eine vereinbarte Verfügbarkeit von 99,9 Prozent?
+    antwort: Rund 8,8 Stunden – 0,1 Prozent von 8.760 Stunden im Jahr. Auf einen Monat gerechnet sind das etwa 43 Minuten.
+---
+
+## Das Wesentliche
+
+- **Kaufvertrag:** Der Verkäufer schuldet eine mangelfreie Sache und das Eigentum daran, der
+  Käufer den Preis. Typisch: Hardware, Lizenzen.
+- **Werkvertrag:** Der Auftragnehmer schuldet einen **Erfolg** – ein eingerichtetes Netzwerk,
+  eine migrierte Datenbank. Bezahlt wird nach der **Abnahme**.
+- **Dienstvertrag:** Geschuldet ist die **Tätigkeit**, nicht der Erfolg – Support nach
+  Stunden, Beratung, Schulung.
+- **Die Abnahme** hat Folgen: Die Vergütung wird fällig, die Frist für Mängelansprüche beginnt
+  zu laufen, und das Risiko geht auf den Auftraggeber über. Deshalb mit Protokoll, Datum,
+  Unterschrift und einer Liste der Restmängel.
+- **Gewährleistung** ist gesetzlich: Der Verkäufer haftet für Mängel, die bei Übergabe schon
+  bestanden. Zuerst hat er das Recht nachzubessern oder neu zu liefern. Erst wenn das
+  scheitert, kommen Rücktritt, Minderung oder Schadensersatz infrage.
+- **Garantie** ist freiwillig und gilt zusätzlich, zu den Bedingungen des Garantiegebers.
+- **Unter Kaufleuten** gilt die Rügepflicht: Ware unverzüglich nach Lieferung prüfen und
+  Mängel sofort melden. Wer den Karton drei Wochen ungeöffnet stehen lässt, kann offensichtliche
+  Mängel danach unter Umständen nicht mehr geltend machen.
+- **Wartungsverträge und SLAs** legen Reaktionszeiten, Wiederherstellungszeiten und
+  Verfügbarkeit fest. 99,9 Prozent Verfügbarkeit klingen nach „immer" – und erlauben knapp
+  neun Stunden Ausfall im Jahr.
+
+## Übersicht
+
+| Vertragsart | Geschuldet | Beispiel aus der IT | Bezahlt wird |
+|---|---|---|---|
+| Kaufvertrag | Sache und Eigentum | Zehn Notebooks | bei Lieferung bzw. nach Rechnung |
+| Werkvertrag | Erfolg | Netzwerk einrichten, Server migrieren | nach der Abnahme |
+| Dienstvertrag | Tätigkeit | Support nach Stunden, Schulung | nach Aufwand |
+| Mietvertrag / Leasing | Gebrauch auf Zeit | Drucker mit Wartung, Leasing-Notebooks | laufend |
+
+## Prüfungsfrage
+
+**Frage:** Ihr Betrieb hat für einen Kunden ein WLAN eingerichtet. Bei der Abnahme stellt der
+Kunde fest, dass im Besprechungsraum der Empfang schwach ist; alles andere funktioniert.
+Wie gehen Sie vor, und welche Folgen hat die Abnahme?
+
+**Antwort:** Die Einrichtung ist ein Werkvertrag; der Kunde schuldet die Abnahme, wenn das
+Werk im Wesentlichen vertragsgemäß ist, und kann sie wegen unwesentlicher Mängel nicht
+verweigern. Vorgehen: Den Mangel im Abnahmeprotokoll festhalten, mit Beschreibung und einer
+Frist zur Behebung, etwa durch einen zusätzlichen Access Point oder eine Anpassung der
+Kanäle. Beide Seiten unterschreiben das Protokoll mit dem Vorbehalt dieses Mangels. Folgen
+der Abnahme: Die Vergütung wird fällig (ein Teil kann bis zur Behebung zurückgehalten
+werden), die Verjährungsfrist für Mängelansprüche beginnt, und die Gefahr geht auf den
+Kunden über. War vertraglich eine bestimmte Abdeckung im Besprechungsraum vereinbart,
+handelt es sich nicht um einen unwesentlichen Mangel – dann kann der Kunde die Abnahme
+verweigern. Deshalb gehören prüfbare Anforderungen ins Pflichtenheft.

content/handouts/N5-vlans-und-trunks.md

@@ -0,0 +1,64 @@
+---
+id: N5
+titel: VLANs und Trunks – ein Switch, mehrere Netze
+block: netzwerk
+woche: 11
+worum: Mit VLANs trennt man Netze, ohne neue Kabel zu ziehen. Der Preis ist, dass man an jedem Port wissen muss, welches Netz dort ankommt.
+rahmenplan: [B2, A6]
+lernfeld: LF9
+merksatz: Access-Port – ein VLAN, ohne Markierung. Trunk – viele VLANs, markiert. Und jedes VLAN hat sein eigenes Subnetz.
+karten:
+  - frage: Was ist der Unterschied zwischen einem Access-Port und einem Trunk-Port?
+    antwort: Ein Access-Port gehört zu genau einem VLAN und überträgt dessen Rahmen ohne Markierung – dort hängen Endgeräte. Ein Trunk-Port überträgt mehrere VLANs und markiert jeden Rahmen mit seiner VLAN-ID nach IEEE 802.1Q – damit verbindet man Switches, Router und Access Points.
+  - frage: Welche VLAN-IDs sind nutzbar, und warum meidet man VLAN 1?
+    antwort: Die IDs 1 bis 4094. VLAN 1 ist auf allen Ports ab Werk eingestellt und wird von vielen Geräten für Verwaltungsverkehr genutzt – wer es für Benutzer verwendet, landet schnell mit allem im selben Netz.
+  - frage: Warum braucht jedes VLAN ein eigenes Subnetz?
+    antwort: Weil die VLANs auf Schicht 2 getrennt sind und Verkehr zwischen ihnen über einen Router laufen muss. Der Router kann nur zwischen verschiedenen IP-Netzen vermitteln, und jedes VLAN braucht seine eigene Gateway-Adresse.
+---
+
+## Das Wesentliche
+
+- **Ein VLAN ist ein eigenes Netz auf Schicht 2.** Geräte in verschiedenen VLANs sehen sich
+  nicht, auch wenn sie am selben Switch hängen. Broadcasts bleiben im eigenen VLAN.
+- **Wozu trennen?** Sicherheit (Gäste, Produktion und Verwaltung kommen nicht aneinander),
+  Ordnung (Drucker, Telefone, Server je für sich), Begrenzung der Broadcasts.
+- **Access-Port:** genau ein VLAN, Rahmen ohne Markierung. Das Endgerät merkt von VLANs nichts.
+- **Trunk-Port:** mehrere VLANs über ein Kabel, jeder Rahmen trägt eine Markierung nach
+  **IEEE 802.1Q** mit der VLAN-ID. Zwischen Switches, zum Router oder zur Firewall und zu
+  Access Points mit mehreren Funknetzen.
+- **Natives VLAN:** Das eine VLAN, dessen Rahmen auf einem Trunk unmarkiert laufen. Muss an
+  beiden Enden gleich eingestellt sein, sonst landen Pakete im falschen Netz.
+- **Jedes VLAN hat ein eigenes Subnetz** und ein eigenes Gateway. Verkehr zwischen VLANs geht
+  über einen Router, eine Firewall oder einen Layer-3-Switch – und dort lässt er sich regeln.
+- **DHCP über VLAN-Grenzen:** Steht der DHCP-Server in einem anderen VLAN, braucht das Gateway
+  eine DHCP-Weiterleitung.
+- **Ungenutzte Ports** abschalten oder in ein VLAN ohne Verbindung legen, und VLAN 1 nicht für
+  Benutzer verwenden.
+- **Dokumentieren:** Welcher Port, welches VLAN, welches Gerät. Ohne diese Liste wird jede
+  Umsteckaktion zur Fehlersuche.
+
+## Übersicht
+
+| VLAN | Name | Subnetz | Gateway |
+|---|---|---|---|
+| 10 | Verwaltung | 10.10.10.0/24 | 10.10.10.1 |
+| 20 | Server | 10.10.20.0/24 | 10.10.20.1 |
+| 30 | Drucker | 10.10.30.0/24 | 10.10.30.1 |
+| 40 | Produktion | 10.10.40.0/24 | 10.10.40.1 |
+| 90 | Gäste | 10.10.90.0/24 | 10.10.90.1 |
+| 99 | Netzwerkverwaltung | 10.10.99.0/24 | 10.10.99.1 |
+
+Die VLAN-ID im dritten Oktett zu wiederholen, ist keine Pflicht, macht aber jede Adresse
+lesbar.
+
+## Prüfungsfrage
+
+**Frage:** Ein Access Point soll ein Funknetz für Mitarbeiter (VLAN 10) und eines für Gäste
+(VLAN 90) bereitstellen. Wie konfigurieren Sie den Switchport, an dem er hängt? Begründen Sie.
+
+**Antwort:** Der Port wird als Trunk konfiguriert, der VLAN 10 und VLAN 90 markiert
+überträgt; ggf. kommt das Verwaltungs-VLAN des Access Points hinzu, häufig als natives
+VLAN unmarkiert. Ein Access-Port ginge nicht, weil er nur ein einziges VLAN überträgt. Der
+Access Point ordnet jedem Funknetz die passende VLAN-ID zu, sodass Gäste-Datenverkehr
+markiert als VLAN 90 am Switch ankommt und von dort nur zum Gateway des Gästenetzes
+gelangt. Auf dem Trunk werden nur die benötigten VLANs zugelassen, nicht alle.

content/handouts/N6-routing-und-firewallregeln.md

@@ -0,0 +1,67 @@
+---
+id: N6
+titel: Zwischen Netzen – Routing und Firewallregeln
+block: netzwerk
+woche: 11
+worum: Netze zu trennen ist leicht. Die Kunst ist, genau den Verkehr durchzulassen, der gebraucht wird, und zu wissen, welcher Weg genommen wird.
+rahmenplan: [B2, A6, A8]
+lernfeld: LF9
+merksatz: Die genaueste Route gewinnt. Regeln von oben nach unten, die erste passende entscheidet, am Ende ist alles verboten.
+karten:
+  - frage: Welche Route wählt ein Router, wenn mehrere Einträge auf ein Ziel passen?
+    antwort: Die genaueste, also die mit dem längsten Präfix. Für 10.10.30.7 gewinnt 10.10.30.0/24 gegen 10.10.0.0/16, und beide gewinnen gegen die Standardroute 0.0.0.0/0.
+  - frage: In welcher Reihenfolge werden Firewallregeln ausgewertet?
+    antwort: Von oben nach unten. Die erste Regel, auf die ein Paket passt, entscheidet; alle weiteren werden nicht mehr geprüft. Passt keine, greift die Grundregel am Ende – üblicherweise blockieren.
+  - frage: Was bedeutet, dass eine Firewall zustandsbehaftet arbeitet?
+    antwort: Sie merkt sich erlaubte Verbindungen und lässt die zugehörigen Antworten von selbst durch. Man muss deshalb nur die Richtung erlauben, in der die Verbindung aufgebaut wird.
+---
+
+## Das Wesentliche
+
+- **Eine Routingtabelle** sagt für jedes Zielnetz, wohin ein Paket als Nächstes geht:
+  Zielnetz, nächster Router (Next Hop) und Schnittstelle.
+- **Die genaueste Route gewinnt** (längstes Präfix). Passt nichts Genaueres, greift die
+  **Standardroute** `0.0.0.0/0` – meist Richtung Internet.
+- **Routen entstehen** von selbst für direkt angeschlossene Netze, statisch von Hand oder
+  dynamisch über Routingprotokolle. Im kleinen Betrieb reichen fast immer direkt
+  angeschlossene Netze und eine Standardroute.
+- **Zwischen VLANs** routet der Router, die Firewall oder ein Layer-3-Switch. Steht dort eine
+  Firewall, wird aus „getrennt" endlich „geregelt".
+- **Eine Firewallregel** besteht aus Quelle, Ziel, Dienst (Protokoll und Port) und Aktion.
+  Gute Regeln sind so eng wie möglich: nicht „Verwaltung darf ins Servernetz", sondern
+  „Verwaltung darf den Dateiserver über SMB".
+- **Von oben nach unten, erste Regel gewinnt.** Eine weite Erlaubnis oben macht jede Sperre
+  darunter wirkungslos. Spezielle Regeln nach oben, allgemeine nach unten.
+- **Grundregel blockieren.** Was nicht ausdrücklich erlaubt ist, ist verboten – nicht
+  umgekehrt.
+- **Zustandsbehaftet:** Antworten auf erlaubte Verbindungen kommen von selbst durch. Eine
+  zweite Regel für die Rückrichtung ist überflüssig und meist ein Zeichen dafür, dass jemand
+  das Prinzip nicht kannte.
+- **Jede Regel braucht eine Beschreibung** mit Zweck und Ticketnummer. Eine Regel, deren Zweck
+  niemand kennt, traut sich keiner zu löschen.
+
+## Übersicht
+
+| Nr. | Quelle | Ziel | Dienst | Aktion | Zweck |
+|---|---|---|---|---|---|
+| 1 | Gäste | Firewall (Gateway Gäste) | DNS | erlauben | Namensauflösung |
+| 2 | Gäste | alle internen Netze | alle | blockieren | Gäste bleiben draußen |
+| 3 | Gäste | beliebig | HTTP, HTTPS | erlauben | Internetzugang |
+| 4 | Verwaltung | Dateiserver | SMB | erlauben | Ablagen |
+| 5 | Verwaltung | Druckernetz | Druckdienst | erlauben | Drucken |
+| 6 | beliebig | beliebig | alle | blockieren | Grundregel |
+
+Regel 1 steht vor der Sperre, weil das Gateway der Gäste – hier 10.10.90.1 – selbst in einem
+internen Adressbereich liegt. Andersherum würde Regel 2 auch die Namensauflösung sperren.
+
+## Prüfungsfrage
+
+**Frage:** Ein Router hat folgende Einträge: `0.0.0.0/0 → 192.0.2.1`,
+`10.10.0.0/16 → 10.0.0.2`, `10.10.30.0/24 → 10.0.0.3`. Wohin leitet er Pakete an
+10.10.30.7, 10.10.40.5 und 8.8.8.8? Begründen Sie.
+
+**Antwort:** 10.10.30.7 passt auf alle drei Einträge; gewählt wird der genaueste,
+`10.10.30.0/24`, also an 10.0.0.3. 10.10.40.5 passt auf `10.10.0.0/16` und die
+Standardroute; der genauere Eintrag gewinnt, also an 10.0.0.2. 8.8.8.8 passt nur auf die
+Standardroute und geht an 192.0.2.1. Maßgeblich ist jeweils die Präfixlänge, nicht die
+Reihenfolge der Einträge in der Tabelle.

content/handouts/N7-wlan-im-betrieb.md

@@ -0,0 +1,61 @@
+---
+id: N7
+titel: WLAN im Betrieb – Frequenzen, Verschlüsselung, Gästenetz
+block: netzwerk
+woche: 11
+worum: Ein Funknetz, das zu Hause genügt, genügt im Betrieb selten. Entscheidend sind Ausleuchtung, getrennte Netze und Zugangsdaten, die man einer einzelnen Person wieder wegnehmen kann.
+rahmenplan: [B2, A6, A2]
+lernfeld: LF9
+merksatz: Mitarbeiter mit eigenem Zugang, Gäste im eigenen VLAN, Kanäle so verteilt, dass sich die Access Points nicht gegenseitig stören.
+karten:
+  - frage: Welche Kanäle nutzt man im 2,4-GHz-Band, damit sich benachbarte Access Points nicht stören?
+    antwort: Die Kanäle 1, 6 und 11. Sie überlappen sich nicht. Alle anderen Kombinationen stören sich gegenseitig.
+  - frage: Was unterscheidet WPA2/WPA3-Personal von WPA2/WPA3-Enterprise?
+    antwort: Bei Personal teilen sich alle denselben Schlüssel – wer ihn kennt, ist drin, und entziehen lässt er sich nur, indem man ihn für alle ändert. Bei Enterprise meldet sich jeder mit eigenen Zugangsdaten über 802.1X und einen RADIUS-Server an; ein einzelner Zugang lässt sich sperren.
+  - frage: Wie richtet man ein Gäste-WLAN sicher ein?
+    antwort: Eigenes Funknetz in einem eigenen VLAN mit eigenem Subnetz, Firewallregeln, die nur den Weg ins Internet erlauben, Isolation der Gäste untereinander und ein regelmäßig wechselnder Schlüssel oder Zugangscodes.
+---
+
+## Das Wesentliche
+
+- **2,4 GHz** reicht weiter und durch Wände, hat aber nur drei überlappungsfreie Kanäle:
+  **1, 6 und 11**. Es ist voll mit Nachbarnetzen, Bluetooth und Mikrowellen.
+- **5 GHz** hat viele Kanäle und mehr Durchsatz, aber weniger Reichweite. Im Büro die erste
+  Wahl. **6 GHz** (ab Wi-Fi 6E) bietet noch mehr freie Kanäle, setzt aber passende Endgeräte
+  voraus.
+- **Ausleuchten statt raten.** Wo Access Points hängen, entscheidet eine Messung vor Ort,
+  nicht der Grundriss. Stahlregale im Lager und Brandschutztüren dämpfen mehr als jede
+  Rigipswand.
+- **Mehr Access Points mit geringerer Sendeleistung** sind besser als wenige mit voller
+  Leistung. Ein Endgerät, das am fernen Access Point festhängt, bremst alle anderen.
+- **WPA3**, wo die Geräte es können, sonst WPA2 mit AES. WEP und WPA (ohne Zahl) sind
+  gebrochen.
+- **Mitarbeiter über Enterprise (802.1X):** jeder mit eigenen Zugangsdaten oder einem
+  Gerätezertifikat. Verlässt jemand den Betrieb, wird sein Zugang gesperrt – nicht der
+  Schlüssel für alle geändert.
+- **Gäste in ein eigenes VLAN**, nur Internet, keine internen Netze, untereinander isoliert.
+  Den Schlüssel regelmäßig wechseln oder Tageszugänge ausgeben.
+- **Zentral verwalten:** Bei mehr als zwei, drei Access Points gehört ein Controller dazu,
+  der Kanäle, Sendeleistung und Einstellungen einheitlich hält.
+
+## Übersicht
+
+| Funknetz | Verschlüsselung | VLAN | Darf |
+|---|---|---|---|
+| Firma | WPA3-Enterprise (802.1X) | Verwaltung | wie ein Kabelanschluss der Verwaltung |
+| Lager-Scanner | WPA2/WPA3-Personal, eigener Schlüssel | Produktion | nur die Lagerverwaltung |
+| Gäste | WPA2/WPA3-Personal, wechselnder Schlüssel | Gäste | nur Internet, isoliert |
+
+## Prüfungsfrage
+
+**Frage:** Im Betrieb wird ein einziges WLAN mit gemeinsamem Schlüssel für Mitarbeiter und
+Gäste genutzt. Ein ehemaliger Mitarbeiter kennt den Schlüssel. Beschreiben Sie die Risiken
+und eine bessere Lösung.
+
+**Antwort:** Risiken: Jeder, der den Schlüssel kennt – auch ehemalige Mitarbeiter und Gäste –,
+ist im selben Netz wie die internen Systeme und kann sie erreichen. Entziehen lässt sich der
+Zugang nur, indem man den Schlüssel für alle ändert und auf allen Geräten neu einträgt.
+Bessere Lösung: (1) Ein Funknetz für Mitarbeiter mit WPA2/WPA3-Enterprise über 802.1X und
+einen RADIUS-Server, angebunden an die Benutzerkonten – ein ausgeschiedener Mitarbeiter wird
+mit seinem Konto gesperrt. (2) Ein getrenntes Gästenetz in eigenem VLAN, das per Firewall nur
+ins Internet darf und Gäste untereinander isoliert, mit regelmäßig wechselndem Schlüssel.

content/handouts/V1-virtualisierung-grundlagen.md

@@ -0,0 +1,61 @@
+---
+id: V1
+titel: Virtualisierung – viele Server auf einer Maschine
+block: server
+woche: 9
+worum: Ein Hypervisor teilt einen physischen Rechner in viele virtuelle auf. Das spart Hardware, aber nur, wenn man die Ressourcen plant, statt sie zu verteilen, bis nichts mehr geht.
+rahmenplan: [B1, A8, A3]
+lernfeld: LF9
+merksatz: Typ 1 für Server, Typ 2 für den Schreibtisch. Ressourcen planen, Überbuchung bewusst entscheiden.
+karten:
+  - frage: Was unterscheidet einen Hypervisor vom Typ 1 von einem vom Typ 2?
+    antwort: Typ 1 läuft direkt auf der Hardware, ohne Betriebssystem darunter – etwa Proxmox VE, Hyper-V oder VMware ESXi. Typ 2 läuft als Programm auf einem normalen Betriebssystem – etwa VirtualBox. Server virtualisiert man mit Typ 1.
+  - frage: Was bedeutet Überbuchung bei der Virtualisierung?
+    antwort: Den virtuellen Maschinen zusammen mehr Prozessorkerne oder Arbeitsspeicher zuzuweisen, als physisch vorhanden ist. Bei Prozessoren ist das üblich, weil selten alle gleichzeitig rechnen; beim Arbeitsspeicher ist es riskant, weil der Host dann auslagern muss.
+  - frage: Nenne drei Vorteile der Servervirtualisierung.
+    antwort: Bessere Auslastung der Hardware, schnelle Bereitstellung neuer Server aus Vorlagen und die Möglichkeit, virtuelle Maschinen im laufenden Betrieb auf einen anderen Host zu verschieben. Ebenfalls richtig – Snapshots vor Änderungen und einfachere Testumgebungen.
+---
+
+## Das Wesentliche
+
+- **Der Hypervisor** verteilt Prozessor, Arbeitsspeicher, Speicher und Netz eines
+  physischen Rechners (des **Hosts**) auf mehrere **virtuelle Maschinen** (VMs, auch
+  **Gäste**). Jede VM glaubt, einen eigenen Rechner zu haben.
+- **Typ 1** („bare metal") läuft direkt auf der Hardware: Proxmox VE, Microsoft Hyper-V,
+  VMware ESXi. Das ist die Wahl für Server.
+- **Typ 2** läuft als Programm auf Windows, Linux oder macOS: VirtualBox, VMware
+  Workstation. Gut für Tests am Arbeitsplatz, nicht für den Betrieb.
+- **Ressourcen planen.** Eine VM bekommt so viel, wie sie braucht – nicht so viel, wie da
+  ist. Zu viele virtuelle Prozessoren machen eine VM sogar langsamer, weil der Hypervisor
+  sie gleichzeitig bereitstellen muss.
+- **Überbuchung:** Bei Prozessorkernen ist ein Verhältnis von mehreren virtuellen zu einem
+  physischen Kern üblich. Arbeitsspeicher überbucht man höchstens bewusst und knapp.
+- **Ein Host ist ein einzelner Ausfallpunkt.** Fällt er aus, fallen alle VMs darauf aus.
+  Abhilfe schafft ein Verbund aus mehreren Hosts mit gemeinsamem oder repliziertem Speicher,
+  der VMs auf einen anderen Host umzieht.
+- **Container** (etwa Docker) sind leichter als VMs: Sie teilen sich den Kern des
+  Host-Betriebssystems. Schneller und sparsamer, aber weniger stark voneinander getrennt.
+
+## Übersicht
+
+| | Physischer Server | Virtuelle Maschine | Container |
+|---|---|---|---|
+| Eigenes Betriebssystem | ja | ja | nein, teilt den Kern des Hosts |
+| Bereitstellung | Tage bis Wochen | Minuten | Sekunden |
+| Trennung voneinander | vollständig | stark | schwächer |
+| Typischer Einsatz | Host selbst, Spezialhardware | Server aller Art | einzelne Anwendungen und Dienste |
+
+## Prüfungsfrage
+
+**Frage:** Ein Betrieb betreibt fünf ältere physische Server mit geringer Auslastung und
+möchte sie virtualisieren. Nennen Sie zwei Vorteile und zwei Risiken und je eine Maßnahme
+gegen die Risiken.
+
+**Antwort:** Vorteile: (1) Weniger Hardware, Strom, Kühlung und Platz, weil ein oder zwei Hosts
+die Last der fünf Server tragen. (2) Neue Server lassen sich schnell aus Vorlagen bereitstellen,
+und vor Änderungen sind Snapshots möglich. Risiken: (1) Der Host wird zum einzelnen
+Ausfallpunkt – Maßnahme: zwei Hosts im Verbund mit gemeinsamem oder repliziertem Speicher,
+damit VMs bei einem Ausfall auf dem anderen Host weiterlaufen. (2) Die VMs teilen sich die
+Ressourcen; eine VM unter Last bremst die anderen – Maßnahme: Ressourcen vorab anhand der
+gemessenen Auslastung planen, Arbeitsspeicher nicht überbuchen und die Auslastung des Hosts
+überwachen.

content/handouts/V2-snapshots-netze-speicher.md

@@ -0,0 +1,62 @@
+---
+id: V2
+titel: Snapshots, virtuelle Netze und virtueller Speicher
+block: server
+woche: 9
+worum: Drei Dinge, die bei der Virtualisierung anders funktionieren als bei echter Hardware – und an denen man sich am häufigsten verschätzt.
+rahmenplan: [B1, B2, A9]
+lernfeld: LF9
+merksatz: Ein Snapshot ist ein Rückweg für Stunden, keine Sicherung für Wochen.
+karten:
+  - frage: Warum ist ein Snapshot keine Datensicherung?
+    antwort: Er liegt auf demselben Speicher wie die VM und hängt von ihrer Ausgangsdatei ab. Geht der Speicher kaputt, sind VM und Snapshot gemeinsam weg. Außerdem wächst er mit jeder Änderung und bremst die VM, je länger er besteht.
+  - frage: Was ist der Unterschied zwischen Thin und Thick Provisioning?
+    antwort: Beim Thin Provisioning belegt eine virtuelle Festplatte nur so viel Platz, wie tatsächlich beschrieben ist, und wächst mit. Beim Thick Provisioning wird die volle Größe sofort reserviert. Thin spart Platz, kann den Speicher aber unbemerkt volllaufen lassen.
+  - frage: Wie kommt eine virtuelle Maschine ins echte Netz?
+    antwort: Über einen virtuellen Switch auf dem Host, der mit einer physischen Netzwerkkarte verbunden ist. Die VM hängt am virtuellen Switch wie ein Rechner an einem echten Switch – auch VLANs lassen sich dort zuordnen.
+---
+
+## Das Wesentliche
+
+- **Snapshot:** ein eingefrorener Zustand der VM. Ab dem Snapshot schreibt die VM ihre
+  Änderungen in eine eigene Datei; zurückgehen heißt, diese Datei zu verwerfen.
+- **Wofür Snapshots gut sind:** vor einem Update, einer Konfigurationsänderung, einem Test.
+  Ist alles in Ordnung, wird der Snapshot **gelöscht** – das führt die Änderungen zurück in
+  die eigentliche Festplattendatei.
+- **Wofür nicht:** als Sicherung. Er liegt auf demselben Speicher, hängt von der
+  Ausgangsdatei ab und wird mit jedem Tag größer und langsamer.
+- **Bei Datenbanken und Domänencontrollern Vorsicht:** Ein Zurücksetzen kann die
+  Daten durcheinanderbringen, wenn andere Systeme in der Zwischenzeit mit ihnen gearbeitet
+  haben. Hier gilt, was der Hersteller dazu empfiehlt.
+- **Virtueller Switch:** verbindet die VMs untereinander und über eine physische
+  Netzwerkkarte mit dem echten Netz. Ein Switch ohne physische Karte ergibt ein
+  abgeschlossenes Netz – gut für Testumgebungen.
+- **Virtuelle Festplatten** sind Dateien auf dem Speicher des Hosts. **Thin** wächst mit,
+  **thick** ist sofort voll belegt. Wer thin bereitstellt, muss den tatsächlichen
+  Füllstand überwachen, sonst bleiben irgendwann alle VMs gleichzeitig stehen.
+- **Vorlagen:** Eine fertig eingerichtete VM wird zur Vorlage, aus der neue VMs entstehen.
+  Bei Windows vorher mit Sysprep verallgemeinern, sonst haben alle Kopien dieselbe Kennung.
+
+## Übersicht
+
+| Vorhaben | Passendes Werkzeug |
+|---|---|
+| Vor dem Update für zwei Stunden einen Rückweg haben | Snapshot, danach löschen |
+| Den Stand von letzter Woche wiederherstellen | Datensicherung |
+| Zehn gleiche Test-VMs bereitstellen | Vorlage |
+| Eine VM ohne Verbindung zum Firmennetz betreiben | Virtueller Switch ohne physische Karte |
+| Wissen, wann der Speicher voll ist | Überwachung des tatsächlichen Füllstands |
+
+## Prüfungsfrage
+
+**Frage:** Auf einem Host laufen zehn VMs mit Thin-Provisioning, insgesamt 4 TB zugesagt auf
+einem Speicher von 2 TB. Ein Kollege hält das für unproblematisch, weil derzeit nur 1,2 TB
+belegt sind. Bewerten Sie das.
+
+**Antwort:** Die Zusage übersteigt den physischen Speicher um das Doppelte. Solange die VMs
+wenig schreiben, geht das gut; wachsen ihre Daten aber – etwa durch Protokolldateien, Updates
+oder einen Fehler, der eine Datei vollschreibt –, läuft der gemeinsame Speicher voll. Dann
+können **alle** VMs nicht mehr schreiben und bleiben stehen, nicht nur die verursachende. Die
+Überbuchung ist nur vertretbar mit einer Überwachung des tatsächlichen Füllstands mit
+Warnschwellen (etwa bei 70 und 85 Prozent), einem Plan zur Erweiterung des Speichers und
+dem Verzicht auf alte Snapshots, die zusätzlich Platz belegen.

content/handouts/V3-eine-vm-planen.md

@@ -0,0 +1,60 @@
+---
+id: V3
+titel: Eine virtuelle Maschine planen und bereitstellen
+block: server
+woche: 9
+worum: Eine VM ist in fünf Minuten angelegt – und in fünf Jahren noch in Betrieb. Die Planung entscheidet, ob man sie dann noch versteht.
+rahmenplan: [B1, B3, A5]
+lernfeld: LF9
+merksatz: Zweck, Ressourcen, Netz, Sicherung, Verantwortlicher – vor dem Anlegen aufgeschrieben.
+karten:
+  - frage: Welche Angaben gehören zu jeder VM in die Dokumentation?
+    antwort: Zweck, Verantwortlicher, Betriebssystem, zugewiesene Ressourcen, Netz bzw. VLAN und IP-Adresse, Speicherort, ob und wie sie gesichert wird, und das Datum der Bereitstellung.
+  - frage: Woran orientiert man sich bei den Ressourcen einer neuen VM?
+    antwort: An den Mindestanforderungen der Software und an gemessenen Werten vergleichbarer Systeme – mit wenig Reserve beginnen und nach Messung erweitern. Erweitern geht leicht, Verkleinern oft nicht.
+---
+
+## Das Wesentliche
+
+- **Vorher aufschreiben:** Wofür ist die VM, wer ist verantwortlich, wie lange wird sie
+  gebraucht? Eine VM ohne Verantwortlichen wird nie wieder abgeschaltet.
+- **Ressourcen nach Bedarf**, nicht nach Gefühl. Mindestanforderungen der Software, gemessene
+  Werte vergleichbarer Systeme, etwas Reserve. Erweitern ist einfach, Verkleinern einer
+  Festplatte oft nicht.
+- **Getrennte Festplatten** für System und Daten. Dann lassen sich Daten anders sichern,
+  größer machen oder auf einen anderen Speicher legen.
+- **Netz bewusst wählen:** richtiger virtueller Switch, richtiges VLAN, feste IP-Adresse für
+  Server, Eintrag im DNS.
+- **Gasterweiterungen installieren** (bei Proxmox der QEMU Guest Agent, bei Hyper-V die
+  Integrationsdienste). Ohne sie fährt die VM nicht sauber herunter, und Sicherungen
+  können inkonsistent werden.
+- **In die Sicherung aufnehmen**, bevor die VM in Betrieb geht – nicht, wenn die erste Datei
+  verloren ist.
+- **Namen nach Regel:** Der Name sagt, was die VM tut und wo sie steht, etwa `SRV-DATEI-01`.
+  `Test-neu-Peter` ist in einem halben Jahr ein Rätsel.
+
+## Übersicht
+
+| Planungsfrage | Beispielantwort |
+|---|---|
+| Zweck | Dateiserver für die Verwaltung |
+| Verantwortlich | IT, Ansprechpartner: Ausbilder |
+| Betriebssystem | Windows Server 2025 Standard |
+| Prozessor / Arbeitsspeicher | 2 virtuelle Kerne / 8 GB |
+| Festplatten | 80 GB System, 500 GB Daten (thick) |
+| Netz | VLAN Server, 10.10.20.21, DNS-Eintrag `srv-datei-01` |
+| Sicherung | täglich inkrementell, wöchentlich voll |
+
+## Prüfungsfrage
+
+**Frage:** Sie sollen für einen neuen Dienst eine VM bereitstellen. Beschreiben Sie die
+Schritte von der Anfrage bis zur Übergabe in den Betrieb.
+
+**Antwort:** (1) Anforderungen klären: Zweck, Verantwortlicher, benötigte Software und ihre
+Mindestanforderungen, Verfügbarkeitsbedarf. (2) Ressourcen, Festplatten, Netz bzw. VLAN und
+IP-Adresse planen und prüfen, ob der Host die Ressourcen hergibt. (3) Die VM aus einer Vorlage
+oder neu anlegen, Betriebssystem installieren, Gasterweiterungen und Updates einspielen.
+(4) Netzwerk, DNS-Eintrag und Zugriffsrechte einrichten, den Dienst installieren und testen.
+(5) Die VM in Sicherung und Überwachung aufnehmen und einen Wiederherstellungstest
+einplanen. (6) Alles dokumentieren und die VM mit Übergabe an den Verantwortlichen in Betrieb
+nehmen.

content/handouts/V4-active-directory.md

@@ -0,0 +1,63 @@
+---
+id: V4
+titel: Active Directory – Domäne, Organisationseinheiten, Gruppen
+block: server
+woche: 10
+worum: Active Directory ist das Verzeichnis, in dem steht, wer jemand ist und was er darf. Seine Struktur entscheidet, ob es nach fünf Jahren noch beherrschbar ist.
+rahmenplan: [B3, A6, B1]
+lernfeld: LF10
+merksatz: OUs ordnen, Gruppen berechtigen. Konten in globale Gruppen, globale in domänenlokale, Rechte an die domänenlokalen.
+karten:
+  - frage: Wozu dienen Organisationseinheiten und wozu Gruppen im Active Directory?
+    antwort: Organisationseinheiten ordnen Objekte und sind der Ort, an dem Gruppenrichtlinien verknüpft und Verwaltungsaufgaben delegiert werden. Gruppen vergeben Berechtigungen. Ein Konto liegt in genau einer OU, kann aber in vielen Gruppen sein.
+  - frage: Wofür steht AGDLP?
+    antwort: Accounts in Global groups, Global groups in Domain Local groups, Permissions an die Domain Local groups. Die globale Gruppe beschreibt die Rolle (etwa Buchhaltung), die domänenlokale das Recht (etwa Ablage Buchhaltung ändern).
+  - frage: Warum betreibt man mindestens zwei Domänencontroller?
+    antwort: Weil ohne Domänencontroller niemand sich anmelden kann und die Namensauflösung oft ebenfalls ausfällt. Mit zwei Domänencontrollern übernimmt der zweite, wenn einer ausfällt oder gewartet wird.
+---
+
+## Das Wesentliche
+
+- **Die Domäne** ist der Verwaltungsbereich: Benutzer, Computer, Gruppen und Richtlinien an
+  einer zentralen Stelle. Ein Rechner, der Mitglied der Domäne ist, lässt Anmeldungen mit
+  Domänenkonten zu.
+- **Domänencontroller** halten das Verzeichnis und prüfen Anmeldungen. Mindestens zwei, damit
+  ein Ausfall oder eine Wartung niemanden aussperrt.
+- **Active Directory braucht DNS.** Clients finden die Domänencontroller über DNS-Einträge.
+  Ein Client mit falschem DNS-Server findet die Domäne nicht – die häufigste Ursache für
+  „Domäne nicht verfügbar".
+- **Organisationseinheiten (OUs)** ordnen: nach Standort, nach Abteilung oder nach Art des
+  Objekts. An OUs werden Gruppenrichtlinien verknüpft und Verwaltung delegiert. Konten und
+  Computer gehören nicht in die Standardcontainer, sondern in eigene OUs.
+- **Gruppen berechtigen.** Die Struktur nach **AGDLP**: Konten (A) kommen in globale Gruppen
+  nach Rolle (G), diese in domänenlokale Gruppen nach Recht (DL), und nur die domänenlokalen
+  Gruppen bekommen Berechtigungen (P).
+- **Namen nach Regel:** `GG-Buchhaltung` für die Rolle, `DL-FS-Buchhaltung-Aendern` für das
+  Recht. Aus dem Namen soll hervorgehen, wofür die Gruppe da ist.
+- **Ein Konto einrichten heißt nicht, einen Kollegen zu kopieren.** Wer kopiert, kopiert auch
+  alle Rechte, die der Kollege über die Jahre angesammelt hat.
+
+## Übersicht
+
+| Gruppenbereich | Mitglieder | Typischer Zweck |
+|---|---|---|
+| Global | Konten und globale Gruppen derselben Domäne | Rolle: Buchhaltung, Vertrieb, IT |
+| Domänenlokal | Konten und Gruppen aus allen Domänen | Recht an einer Ressource dieser Domäne |
+| Universal | Konten und Gruppen aus allen Domänen | Rollen über mehrere Domänen hinweg |
+
+In einem Betrieb mit einer einzigen Domäne genügen globale und domänenlokale Gruppen.
+
+## Prüfungsfrage
+
+**Frage:** Die Mitarbeiter der Buchhaltung sollen auf der Freigabe `Buchhaltung` Dateien
+ändern dürfen, die Geschäftsführung soll sie nur lesen. Beschreiben Sie die Umsetzung nach
+AGDLP.
+
+**Antwort:** Konten der Buchhaltung kommen in die globale Gruppe `GG-Buchhaltung`, Konten der
+Geschäftsführung in `GG-Geschaeftsfuehrung`. Für die Rechte werden zwei domänenlokale Gruppen
+angelegt: `DL-FS-Buchhaltung-Aendern` und `DL-FS-Buchhaltung-Lesen`. `GG-Buchhaltung` wird
+Mitglied von `DL-FS-Buchhaltung-Aendern`, `GG-Geschaeftsfuehrung` Mitglied von
+`DL-FS-Buchhaltung-Lesen`. Nur die beiden domänenlokalen Gruppen erhalten NTFS-Berechtigungen
+auf dem Ordner – Ändern bzw. Lesen. Wechselt jemand die Abteilung, wird nur seine
+Mitgliedschaft in der globalen Gruppe geändert; an den Berechtigungen auf dem Ordner ändert
+sich nichts.

content/handouts/V5-gruppenrichtlinien.md

@@ -0,0 +1,64 @@
+---
+id: V5
+titel: Gruppenrichtlinien – Einstellungen für alle auf einmal
+block: server
+woche: 10
+worum: Mit Gruppenrichtlinien setzt man Einstellungen zentral, statt sie an jedem Rechner von Hand vorzunehmen. Wer die Reihenfolge der Anwendung nicht kennt, sucht lange nach dem Grund, warum eine Einstellung nicht greift.
+rahmenplan: [B3, A6, A8]
+lernfeld: LF10
+merksatz: Lokal, Standort, Domäne, OU – was zuletzt kommt, gewinnt. gpresult sagt, was wirklich angekommen ist.
+karten:
+  - frage: In welcher Reihenfolge werden Gruppenrichtlinien angewendet, und welche setzt sich durch?
+    antwort: Lokal, Standort, Domäne, Organisationseinheit (von oben nach unten) – kurz LSDOU. Bei widersprüchlichen Einstellungen gewinnt die zuletzt angewendete, also die der untersten OU – es sei denn, eine höhere Richtlinie ist als erzwungen markiert.
+  - frage: Mit welchen Befehlen prüft und erzwingt man die Anwendung von Gruppenrichtlinien auf einem Client?
+    antwort: gpupdate /force wendet die Richtlinien sofort neu an. gpresult /r zeigt, welche Richtlinien für Computer und Benutzer tatsächlich angewendet oder herausgefiltert wurden.
+  - frage: Was ist der Unterschied zwischen Computer- und Benutzerkonfiguration einer Gruppenrichtlinie?
+    antwort: Die Computerkonfiguration wirkt auf Computerkonten und greift beim Start des Rechners, die Benutzerkonfiguration wirkt auf Benutzerkonten und greift bei der Anmeldung. Eine Richtlinie mit Benutzereinstellungen an einer OU, die nur Computer enthält, bewirkt deshalb nichts.
+---
+
+## Das Wesentliche
+
+- **Ein Gruppenrichtlinienobjekt (GPO)** bündelt Einstellungen – etwa Bildschirmsperre,
+  Laufwerkszuordnungen, Updates, Sicherheitsoptionen – und wird an einen Standort, die
+  Domäne oder eine OU **verknüpft**.
+- **Computer- und Benutzerkonfiguration:** Die eine wirkt auf Rechner beim Start, die andere
+  auf Benutzer bei der Anmeldung. Wirksam wird nur, was zu den Objekten in der verknüpften OU
+  passt.
+- **Reihenfolge LSDOU:** lokal, Standort, Domäne, OU, bei geschachtelten OUs von oben nach
+  unten. Was später kommt, überschreibt Früheres.
+- **Ausnahmen:** Eine als **erzwungen** markierte Verknüpfung setzt sich gegen tiefere durch.
+  An einer OU lässt sich die **Vererbung deaktivieren**. Beides sparsam einsetzen – jede
+  Ausnahme ist eine Stelle, an der man später sucht.
+- **Filtern** nach Sicherheitsgruppe, wenn eine Richtlinie nur für einen Teil der Objekte
+  gelten soll – statt dafür eine eigene OU anzulegen.
+- **Aktualisierung:** Clients holen Richtlinien beim Start, bei der Anmeldung und danach etwa
+  alle 90 Minuten. Manche Einstellungen, etwa Softwareverteilung, greifen erst nach Neustart
+  oder Neuanmeldung.
+- **Prüfen statt raten:** `gpresult /r` zeigt am Client, was angekommen ist und was
+  herausgefiltert wurde. `gpupdate /force` wendet sofort neu an.
+- **Eine Richtlinie, ein Zweck.** `GPO-Clients-Bildschirmsperre` ist auffindbar und
+  abschaltbar; eine Richtlinie mit 80 gemischten Einstellungen ist es nicht.
+
+## Übersicht
+
+| Vorhaben | Wo einstellen |
+|---|---|
+| Bildschirmsperre nach 10 Minuten für alle Clients | Computerkonfiguration, verknüpft an die OU der Clients |
+| Laufwerk `S:` für die Buchhaltung | Benutzerkonfiguration (Einstellungen), gefiltert auf die Gruppe der Buchhaltung |
+| Kennwortrichtlinie der Domäne | Standard-Domänenrichtlinie |
+| Ausnahme für einen einzelnen Testrechner | Eigene OU oder Filterung – nicht die Vererbung für alle abschalten |
+
+## Prüfungsfrage
+
+**Frage:** Eine neue Gruppenrichtlinie für eine Bildschirmsperre wirkt auf den Rechnern der
+Verwaltung nicht. Beschreiben Sie Ihr Vorgehen bei der Fehlersuche.
+
+**Antwort:** (1) Prüfen, ob die Richtlinie an die richtige OU verknüpft und die Verknüpfung
+aktiviert ist – und ob die Rechner tatsächlich in dieser OU liegen. (2) Prüfen, ob die
+Einstellung im passenden Teil steht: Liegen in der OU nur Computerkonten, muss sie in der
+Computerkonfiguration stehen. (3) Am Client `gpupdate /force` ausführen, ggf. neu starten,
+und mit `gpresult /r` prüfen, ob die Richtlinie angewendet oder herausgefiltert wurde –
+etwa durch eine Sicherheitsfilterung. (4) Prüfen, ob eine später angewendete oder erzwungene
+Richtlinie die Einstellung überschreibt oder die Vererbung an einer OU deaktiviert ist.
+(5) Bei Fehlern in `gpresult` die Erreichbarkeit des Domänencontrollers und die
+DNS-Einstellungen des Clients prüfen.

content/handouts/V6-datei-und-druckdienste.md

@@ -0,0 +1,66 @@
+---
+id: V6
+titel: Datei- und Druckdienste zentral bereitstellen
+block: server
+woche: 10
+worum: Ein zentraler Dateiserver und ein Druckserver sind unspektakulär – solange sie geplant sind. Ungeplant werden sie zur größten Rumpelkammer im Betrieb.
+rahmenplan: [B3, A9, A8]
+lernfeld: LF10
+merksatz: Struktur nach Abteilungen, Rechte nach Gruppen, Laufwerke per Richtlinie, Treiber nur von der IT.
+karten:
+  - frage: Was sind Schattenkopien auf einem Dateiserver, und ersetzen sie die Datensicherung?
+    antwort: Zeitpunktkopien eines Laufwerks, über die Benutzer selbst frühere Fassungen einer Datei zurückholen können (Vorgängerversionen). Sie liegen auf demselben Laufwerk und ersetzen deshalb keine Datensicherung.
+  - frage: Welchen Vorteil hat ein Druckserver gegenüber direkt verbundenen Druckern an jedem Client?
+    antwort: Treiber, Warteschlangen und Einstellungen werden an einer Stelle gepflegt und per Gruppenrichtlinie verteilt. Ein Treiberwechsel oder ein neuer Drucker muss nicht an jedem Rechner einzeln eingerichtet werden.
+  - frage: Warum ordnet man Laufwerke per Gruppenrichtlinie statt per Hand zu?
+    antwort: Weil die Zuordnung dann für alle gleich ist, sich nach Gruppenzugehörigkeit richtet und bei einem Abteilungswechsel von selbst angepasst wird. Handzuordnungen sind nach dem ersten Rechnerwechsel weg.
+---
+
+## Das Wesentliche
+
+- **Eine Ablagestruktur, die der Betrieb versteht:** oben die Abteilungen, darunter, was die
+  Abteilung selbst gliedert. Dazu ein Bereich für abteilungsübergreifende Projekte und ein
+  Austauschordner, der regelmäßig geleert wird.
+- **Rechte nach AGDLP** und so flach wie möglich: Berechtigungen auf der obersten Ebene einer
+  Abteilung setzen und vererben lassen. Jede Unterbrechung der Vererbung tiefer unten ist
+  eine künftige Supportanfrage.
+- **Freigabe und NTFS:** Freigabe meist „Authentifizierte Benutzer – Ändern" oder
+  „Vollzugriff", die eigentliche Steuerung über NTFS. Siehe Handout S2.
+- **Laufwerke per Gruppenrichtlinie** zuordnen, gefiltert auf die Gruppe. Dann bekommt jeder
+  genau die Laufwerke seiner Rolle – auch am neuen Rechner.
+- **Schattenkopien** einschalten: Benutzer holen versehentlich überschriebene Dateien selbst
+  zurück. Sie ersetzen keine Sicherung, sparen aber viele Tickets.
+- **Kontingente und Dateiprüfung** verhindern, dass ein einzelner Ordner den Server füllt –
+  oder dass dort private Videosammlungen landen.
+- **Druckserver:** Drucker zentral einrichten, Treiber zentral pflegen, Zuordnung per
+  Richtlinie. Standardbenutzer dürfen Druckertreiber seit 2021 nicht mehr ohne Weiteres selbst
+  installieren – Treiber verteilt deshalb die IT.
+- **Drucker an Standorte binden**, nicht an Personen: Wer im Lager arbeitet, braucht den
+  Drucker im Lager, egal an welchem Rechner.
+
+## Übersicht
+
+```
+\\srv-datei-01\Daten
+├── Buchhaltung      DL-FS-Buchhaltung-Aendern / -Lesen
+├── Einkauf          DL-FS-Einkauf-Aendern / -Lesen
+├── Vertrieb         DL-FS-Vertrieb-Aendern / -Lesen
+├── Projekte         je Projekt eine eigene Gruppe
+├── Vorlagen         alle lesen, nur Verwaltung ändert
+└── Austausch        alle ändern, wird jeden Freitag geleert
+```
+
+## Prüfungsfrage
+
+**Frage:** Eine Mitarbeiterin hat am Vormittag eine wichtige Tabelle auf dem Dateiserver
+versehentlich überschrieben. Welche Möglichkeiten der Wiederherstellung gibt es, und in
+welcher Reihenfolge prüfen Sie sie?
+
+**Antwort:** (1) Schattenkopien: Sind sie eingeschaltet, kann die Mitarbeiterin über
+„Vorgängerversionen" im Eigenschaftendialog selbst die letzte Fassung vor der Änderung
+zurückholen – am schnellsten und ohne Eingriff der IT. (2) Programmeigene Versionen, etwa die
+Versionsverwaltung der Anwendung oder automatisch gespeicherte Fassungen. (3) Die
+Datensicherung: Die Datei wird aus der letzten Sicherung vor dem Überschreiben
+wiederhergestellt, am besten unter einem anderen Namen, damit die Mitarbeiterin vergleichen
+kann. Die Reihenfolge folgt dem Aufwand und der Aktualität: Eine Schattenkopie vom Vormittag
+ist näher am verlorenen Stand als die Sicherung der letzten Nacht.