Fassung 1.0.4

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Inhalte: Wochen 9 bis 12
2026-10-04 22:28:43 +02:00 · 2026-10-04 22:28:42 +02:00 · 2026-10-04 22:28:42 +02:00 · 2026-10-04 21:53:10 +02:00 · 2026-10-04 21:53:10 +02:00 · 2026-10-04 18:25:04 +02:00
64 changed files with 3661 additions and 24 deletions
@@ -26,6 +26,85 @@ Vor `npm version` wandert der Abschnitt „Unveröffentlicht" unter eine neue

 ## [Unveröffentlicht]

+## [1.0.4] – 2026-10-04
+
+Vier weitere Wochen Lehrgang – damit steht das erste Vierteljahr.
+
+### Hinzugefügt
+
+- **Woche 9 · Virtualisierung** – Handouts V1 (Hypervisor, Überbuchung,
+  Container), V2 (Snapshots, virtuelle Switches, Thin Provisioning), V3 (eine
+  VM planen), Praxisaufgabe 9.1 (Testserver als VM), Checkliste „Virtuelle
+  Maschine bereitstellen", Lernzielkontrolle
+- **Woche 10 · Verzeichnisdienst und Serverdienste** – Handouts V4 (Active
+  Directory, OUs, AGDLP), V5 (Gruppenrichtlinien, LSDOU, gpresult), V6 (Datei-
+  und Druckdienste), Praxisaufgabe 10.1 (Abteilung im Verzeichnis abbilden),
+  Checkliste „Neuen Mitarbeiter einrichten"
+- **Woche 11 · Netze trennen und verbinden** – Handouts N5 (VLANs und Trunks),
+  N6 (Routing und Firewallregeln), N7 (WLAN im Betrieb), Praxisaufgabe 11.1
+  (Gästenetz im Testaufbau), Lernzielkontrolle
+- **Woche 12 · Kundenauftrag** – Handouts A7 (Lastenheft und Pflichtenheft),
+  A8 (Bezugskalkulation), A9 (Vertragsarten, Abnahme, Gewährleistung),
+  Praxisaufgabe 12.1 (Angebot für neue Arbeitsplätze), Checkliste „Auftrag
+  übergeben und abnehmen lassen"
+- Themenblock „Server und Virtualisierung" (V), 23 Glossareinträge,
+  36 Merkkarten
+
+### Behoben
+
+- **Glossarverweise konnten das HTML eines Handouts aufbrechen.** Nach dem
+  Setzen eines Verweises durchsuchten die folgenden Begriffe auch dessen
+  title-Attribut. Enthielt die Erklärung einen weiteren Glossarbegriff – etwa
+  „OU" in der Erklärung von „Gruppenrichtlinie" –, entstand mitten im Attribut
+  ein zweiter Verweis, und im Text stand plötzlich `– was zuletzt kommt,
+  gewinnt.">Gruppenrichtlinie`. Gesetzte Verweise werden jetzt aus dem
+  weiteren Durchsuchen herausgenommen; ein Test prüft alle Handouts gegen das
+  echte Glossar
+
+## [1.0.3] – 2026-10-04
+
+Vier neue Wochen Lehrgang. Damit ist jede Position des Ausbildungsrahmenplans
+von mindestens einem Inhalt berührt.
+
+### Hinzugefügt
+
+- **Woche 5 · Ausbildung, Betrieb und Zusammenarbeit** – Handouts A4 (Rechte
+  und Pflichten, Aufbau der Abschlussprüfung), A5 (Aufbau- und
+  Ablauforganisation, Mitbestimmung), A6 (Kanalwahl, Ablage, Besprechungen),
+  Praxisaufgabe 5.1 (den Betrieb aus Sicht der IT kartieren),
+  Lernzielkontrolle. Schließt C1, C2 und C5
+- **Woche 6 · IT-Sicherheit und Datenschutz** – Handouts I1 (Schutzziele und
+  Schutzbedarf nach BSI-Standard 200-2), I2 (Passwörter, zweiter Faktor,
+  Phishing), I3 (DSGVO in der Administration), Praxisaufgabe 6.1
+  (Schutzbedarfsfeststellung), Checkliste „Sicherheit eines Arbeitsplatzes
+  prüfen"
+- **Woche 7 · Skripting mit PowerShell** – Handouts P1 (Pipeline und
+  Objekte), P2 (Variablen, Bedingungen, Schleifen), P3 (Skripte, die man
+  betreuen kann), Praxisaufgabe 7.1 (Inventarskript), Lernzielkontrolle.
+  Schließt A4 und A10
+- **Woche 8 · Datensicherung und Speicher** – Handouts S3 (Sicherungsarten,
+  3-2-1, RPO und RTO), S4 (Wiederherstellung testen), S5 (RAID, NAS, SAN),
+  Praxisaufgabe 8.1 (Sicherung eines Bereichs prüfen und zurückspielen),
+  Checkliste „Wiederherstellung testen"
+- Themenblöcke „IT-Sicherheit und Datenschutz" (I) und „Skripting und
+  Automatisierung" (P)
+- 22 Glossareinträge, 38 Merkkarten
+
+Bestehende Installationen: Die neuen Wochen erscheinen im Wochenplan unter
+„noch nicht eingeplant" und werden dort einmal eingeplant.
+
+## [1.0.2] – 2026-10-04
+
+### Hinzugefügt
+
+- **Bremse gegen Passwortraten.** Nach fünf Fehlversuchen wird eine
+  E-Mail-Adresse gesperrt, erst eine Minute, dann doppelt so lang, höchstens
+  15 Minuten. Das gilt auch für Adressen, die es nicht gibt – die Sperre
+  verrät also nicht, welche Konten existieren. Während der Sperre kommt auch
+  das richtige Passwort nicht durch. Ausgesperrt? Ein Neustart des Containers
+  setzt die Zähler zurück. Siehe E42
+- Die Containerabnahme prüft die Sperre im laufenden Abbild
+
 ## [1.0.1] – 2026-10-03

 Das Docker-Abbild ist jetzt aus dem Nichts aufsetzbar.
@@ -471,3 +471,25 @@ Der Grund ist banal und war ein echter Fehler: Wer die dunkle Fassung
 eingestellt hatte, druckte schwarze Flächen. Eine einzelne Regel für `body`
 genügt nicht, weil die Karten, Ränder und Marken ihre Farben aus Merkmalen
 beziehen.
+
+## E42 · Bremse gegen Passwortraten im Speicher, je E-Mail-Adresse
+
+Nach fünf Fehlversuchen wird eine Adresse gesperrt, erst eine Minute, dann
+jeweils doppelt so lang, höchstens 15 Minuten. Eine Stunde ohne Fehlversuch
+oder eine erfolgreiche Anmeldung setzt den Zähler zurück.
+
+- **Je Adresse, nicht je Konto.** Auch eine Adresse, die es nicht gibt, wird
+  gesperrt. Sonst verriete die Sperre, welche Konten existieren (E6).
+- **Nicht je IP-Adresse.** Hinter dem Reverse Proxy käme die Adresse aus
+  `X-Forwarded-For`, und darauf ist nur Verlass, wenn der Proxy richtig
+  eingestellt ist. Bei einer Handvoll Konten lohnt das Durchprobieren vieler
+  Konten mit wenigen Passwörtern ohnehin nicht.
+- **Obergrenze 15 Minuten.** Wer die Adresse des Ausbilders kennt, soll ihn
+  nicht für Stunden aussperren können.
+- **Im Speicher, nicht in der Datenbank.** Es läuft genau ein Prozess. Ein
+  Neustart setzt die Zähler zurück – das kann ein Angreifer nicht auslösen,
+  der Betreiber aber schon, wenn er sich selbst ausgesperrt hat
+  (`docker compose restart lernbar`).
+- **Gezählt wird vor der Prüfung.** Jeder Versuch gilt sofort als Fehlversuch
+  und wird bei Erfolg zurückgenommen. Zwischen Sperrprüfung und Zählen liegt
+  so kein `await`; sonst kämen gleichzeitige Anfragen alle an der Sperre vorbei.
@@ -274,7 +274,8 @@ prüfen.
 `npm run abnahme` prüft über `next start`, betrieben wird aber der Container.
 `npm run abnahme:container` baut deshalb das Abbild, startet es mit leerem
 Volume und geht den Weg aus dieser README: Lebenszeichen, erstes Konto über
-`werkzeuge/konto.js`, Anmeldung, Passwort neu setzen, Sicherung im Container.
+`werkzeuge/konto.js`, Anmeldung, Passwort neu setzen, Sperre nach
+Fehlversuchen, Sicherung im Container.
 Danach werden Container, Volume und Abbild wieder entfernt.

 Voraussetzung: Docker läuft, Port 3398 ist frei (`LERNBAR_CONTAINER_PORT`).
@@ -0,0 +1,53 @@
+---
+id: "10.1"
+titel: Eine Abteilung im Verzeichnisdienst abbilden
+woche: 10
+block: server
+ziel: Du bildest auf dem Testserver eine Abteilung mit OU, Gruppen nach AGDLP, Freigabe, Laufwerkszuordnung und Druckerzuordnung ab und weist mit zwei Testkonten nach, dass jede Rolle genau die vorgesehenen Rechte hat.
+zeitrahmen: 8 Stunden, verteilt auf zwei Tage
+rahmenplan: [B3, A6, B1, A5]
+lernfeld: LF10
+material:
+  - Testserver aus Praxisaufgabe 9.1 mit Domänencontroller-Rolle oder Zugang zur Testdomäne
+  - Ein Testclient, der Mitglied der Testdomäne ist
+  - Abteilungsübersicht aus Praxisaufgabe 5.1
+  - Checkliste „Neuen Mitarbeiter einrichten"
+kriterien:
+  - Ein Plan mit OU-Struktur, Gruppen und Rechten lag vor der Umsetzung vor
+  - Die Gruppen folgen AGDLP und der Namensregel
+  - Berechtigungen sind ausschließlich an domänenlokale Gruppen vergeben, nicht an Konten
+  - Laufwerk und Drucker werden per Gruppenrichtlinie zugeordnet, gefiltert auf die Gruppe
+  - Zwei Testkonten mit unterschiedlicher Rolle haben genau die vorgesehenen Rechte – nachgewiesen durch Anmeldung, nicht durch Ansicht der Einstellungen
+  - gpresult wurde am Client geprüft und das Ergebnis dokumentiert
+  - Ein Abteilungswechsel eines Testkontos wurde durchgespielt, nur durch Änderung der Gruppenzugehörigkeit
+---
+
+## Auftrag
+
+Nimm eine Abteilung aus deiner Übersicht aus Aufgabe 5.1 – etwa den Einkauf – und bilde sie
+in der Testdomäne vollständig ab.
+
+1. **Planen:** OU für die Abteilung, globale Gruppen nach Rolle (Mitarbeitende,
+   Abteilungsleitung), domänenlokale Gruppen nach Recht (Ablage ändern, Ablage lesen).
+   Schreib auf, welche Rolle welches Recht bekommt.
+2. **Ablage:** Ordner auf dem Testserver anlegen, freigeben, NTFS-Rechte an die
+   domänenlokalen Gruppen vergeben.
+3. **Konten:** Zwei Testkonten nach der Checkliste anlegen, eines je Rolle.
+4. **Richtlinien:** Laufwerkszuordnung und Druckerzuordnung per Gruppenrichtlinie, gefiltert
+   auf die Gruppe der Abteilung.
+5. **Nachweisen:** Mit beiden Testkonten am Testclient anmelden, Zugriff prüfen – auch, was
+   **nicht** gehen darf. `gpresult /r` ausführen und festhalten.
+6. **Wechsel durchspielen:** Ein Testkonto wechselt in eine andere Abteilung. Ändere nur die
+   Gruppenzugehörigkeit und prüfe erneut.
+
+## Worauf es ankommt
+
+Der Nachweis per Anmeldung ist der Teil, der zählt. Eine Berechtigung, die im Dialog richtig
+aussieht, aber beim Anmelden nicht wirkt – etwa weil die Freigabe enger ist als NTFS oder
+die Richtlinie herausgefiltert wird –, fällt sonst erst dem Mitarbeiter am ersten Arbeitstag
+auf.
+
+## Zeit
+
+Zwei Tage. Plane am ersten Tag und setze die Ablage um, am zweiten Tag Konten, Richtlinien
+und Nachweis.
@@ -0,0 +1,54 @@
+---
+id: "11.1"
+titel: Ein Gästenetz im Testaufbau einrichten
+woche: 11
+block: netzwerk
+ziel: Du richtest im Testaufbau ein Gästenetz mit eigenem VLAN, Subnetz, DHCP, Firewallregeln und Funknetz ein und weist nach, dass Gäste ins Internet kommen, aber kein internes Netz erreichen.
+zeitrahmen: 7 Stunden
+rahmenplan: [B2, A6, A5, B1]
+lernfeld: LF9
+material:
+  - Testswitch mit VLAN-Unterstützung
+  - Testfirewall (z. B. OPNsense oder pfSense, auch als VM) mit Internetzugang
+  - Ein Access Point, der mehrere Funknetze mit VLAN-Zuordnung kann
+  - Zwei Testgeräte, eines davon ein Smartphone oder Notebook mit WLAN
+  - Netzplan und VLAN-Übersicht des Testaufbaus
+kriterien:
+  - Ein Plan mit VLAN-ID, Subnetz, Gateway, DHCP-Bereich und Firewallregeln lag vor der Umsetzung vor
+  - Switchports sind nach Plan als Access- bzw. Trunk-Port konfiguriert, auf dem Trunk sind nur die benötigten VLANs zugelassen
+  - Ein Gastgerät erhält per DHCP eine Adresse aus dem Gästenetz
+  - Ein Gastgerät erreicht Internetseiten über den Namen
+  - Ein Gastgerät erreicht weder ein internes Netz noch die Verwaltungsoberfläche von Firewall, Switch oder Access Point – nachgewiesen mit Ping und Browser
+  - Zwei Gastgeräte erreichen sich nicht gegenseitig
+  - Jede Firewallregel hat eine Beschreibung mit Zweck
+  - Netzplan und VLAN-Übersicht sind aktualisiert
+---
+
+## Auftrag
+
+Für Besucher und Lieferanten soll es ein Funknetz geben, das ins Internet führt und sonst
+nirgendwohin. Du baust es im Testaufbau.
+
+1. **Planen:** VLAN-ID, Subnetz, Gateway auf der Firewall, DHCP-Bereich, DNS. Schreib die
+   Firewallregeln in der Reihenfolge auf, in der sie stehen sollen – siehe Handout N6.
+2. **Switch:** VLAN anlegen, Port zur Firewall und Port zum Access Point als Trunk mit den
+   benötigten VLANs.
+3. **Firewall:** Schnittstelle für das VLAN, Gateway-Adresse, DHCP, Regeln.
+4. **Access Point:** Funknetz „Gast" mit WPA2/WPA3-Personal, Zuordnung zu VLAN 90, Isolation
+   der Endgeräte.
+5. **Nachweisen:** Mit einem Gastgerät Adresse prüfen, Internetseite öffnen, interne Adressen
+   und die Verwaltungsoberflächen anpingen und im Browser aufrufen – das muss scheitern. Mit
+   zwei Gastgeräten prüfen, dass sie sich nicht erreichen.
+6. **Dokumentieren:** Plan mit den tatsächlichen Werten, Netzplan und VLAN-Übersicht
+   aktualisieren.
+
+## Worauf es ankommt
+
+Der Nachweis, was **nicht** geht, ist wichtiger als der, was geht. Dass ein Gast ins Internet
+kommt, merkt jeder. Dass er auch die Verwaltungsoberfläche der Firewall aufrufen kann, merkt
+man erst, wenn es jemand ausprobiert – und dann besser du.
+
+## Zeit
+
+Sieben Stunden. Teste nach jedem Schritt, nicht erst am Ende – ein falsch eingestellter
+Trunk ist nach dem Einrichten der Firewall nur noch schwer zu finden.
@@ -0,0 +1,51 @@
+---
+id: "12.1"
+titel: Ein Angebot für neue Arbeitsplätze ausarbeiten
+woche: 12
+block: arbeitsalltag
+ziel: Du nimmst die Anforderungen für vier neue Arbeitsplätze auf, holst drei vergleichbare Angebote ein, rechnest und bewertest sie und legst eine begründete Empfehlung samt Pflichtenheft vor.
+zeitrahmen: 10 Stunden, verteilt auf drei Tage
+rahmenplan: [A2, A3, A1, A7]
+lernfeld: LF2
+material:
+  - Gesprächstermin mit dem „Kunden" (Ausbilder oder eine Führungskraft mit echtem Bedarf)
+  - Zugang zu Händlerportalen bzw. Ansprechpartner bei zwei Lieferanten des Betriebs
+  - Vorlage für Nutzwertanalyse (aus Praxisaufgabe 2.2)
+kriterien:
+  - Ein Lastenheft mit prüfbaren Muss-, Soll- und Kann-Anforderungen liegt vor und ist vom Kunden bestätigt
+  - Drei Angebote liegen vor, eingeholt mit derselben Anfrage
+  - Für jedes Angebot ist der Bezugspreis nach Schema berechnet, netto
+  - Die Nutzwertanalyse enthält neben dem Preis mindestens drei weitere gewichtete Kriterien
+  - Die Empfehlung begründet die Wahl und nennt, was gegen die anderen Angebote spricht
+  - Das Pflichtenheft beschreibt Geräte, Einrichtung, Zeitplan und Abnahmekriterien
+  - Die Empfehlung wurde dem Kunden in höchstens zehn Minuten vorgestellt
+---
+
+## Auftrag
+
+Eine Abteilung bekommt vier neue Arbeitsplätze. Du bereitest die Entscheidung so vor, dass
+der Kunde sie in einer Besprechung treffen kann.
+
+1. **Anforderungen aufnehmen:** Gespräch mit dem Kunden nach Handout A7. Schreib das
+   Lastenheft und lass es bestätigen. Jede Anforderung muss prüfbar sein.
+2. **Anfrage stellen:** Eine einheitliche Anfrage an drei Anbieter – Menge, Anforderungen,
+   Liefertermin, gewünschte Garantie.
+3. **Rechnen:** Bezugskalkulation je Angebot nach Handout A8.
+4. **Bewerten:** Nutzwertanalyse nach Handout H3 mit Preis, Lieferzeit, Garantie und Service
+   und den Kriterien, die sich aus dem Lastenheft ergeben.
+5. **Pflichtenheft:** Welche Geräte, wie eingerichtet, bis wann, und woran der Kunde bei der
+   Abnahme prüft, ob alles erfüllt ist.
+6. **Vorstellen:** Höchstens zehn Minuten, eine Seite Handzettel, Empfehlung am Anfang, nicht
+   am Ende.
+
+## Worauf es ankommt
+
+Der Kunde will eine Entscheidung treffen, keine Datenblätter lesen. Eine gute Vorstellung
+beginnt mit der Empfehlung, begründet sie mit zwei, drei Punkten und zeigt die Rechnung nur
+auf Nachfrage. Und: Die Abnahmekriterien im Pflichtenheft sind die Absicherung für den Tag,
+an dem jemand sagt, so habe man sich das nicht vorgestellt.
+
+## Zeit
+
+Drei Tage, davon ein Tag Wartezeit auf Angebote. In dieser Zeit schreibst du das
+Pflichtenheft vor.
@@ -0,0 +1,49 @@
+---
+id: "5.1"
+titel: Den Betrieb aus Sicht der IT kartieren
+woche: 5
+block: arbeitsalltag
+ziel: Du erstellst eine Übersicht aller Abteilungen mit Ansprechpartner, wichtigsten Anwendungen und kritischen Zeiten und legst sie so ab, dass das ganze IT-Team damit arbeiten kann.
+zeitrahmen: 6 Stunden, verteilt auf zwei Tage
+rahmenplan: [C2, C5, A1]
+lernfeld: LF1
+material:
+  - Aktuelles Organigramm (bei der Personalabteilung oder im Intranet)
+  - Geräteliste und Ticketsystem (lesend)
+  - Zugang zur gemeinsamen Dokumentation der IT
+kriterien:
+  - Jede Abteilung aus dem Organigramm ist erfasst, keine fehlt
+  - Je Abteilung sind Ansprechpartner, die drei wichtigsten Anwendungen und die kritischen Zeiten benannt
+  - Die Angaben stammen aus Gesprächen mit den Abteilungen, nicht nur aus vorhandenen Unterlagen
+  - Abhängigkeiten zwischen Abteilungen (Datenaustausch, gemeinsame Anwendungen) sind eingezeichnet
+  - Die Übersicht liegt am vereinbarten Ort in der IT-Dokumentation, mit Datum und Verfasser
+  - Mindestens drei Verbesserungsvorschläge aus den Gesprächen sind als Tickets angelegt
+---
+
+## Auftrag
+
+Die IT kennt die Rechner, aber nicht immer die Arbeit, die darauf läuft. Diese Lücke
+schließt du.
+
+1. Besorge dir das aktuelle Organigramm und lege für jede Abteilung einen Abschnitt an.
+2. Vereinbare mit jeder Abteilung ein Gespräch von höchstens 15 Minuten. Stell die Fragen aus
+   der Übersicht im Handout A5 – nicht mehr, sonst wird es ein Verhör.
+3. Halte fest: Ansprechpartner, die drei wichtigsten Anwendungen, Zeiten, in denen nichts
+   ausfallen darf, und mit wem die Abteilung Daten austauscht.
+4. Zeichne die Abhängigkeiten ein: Welche Abteilung bekommt Daten von welcher, über welche
+   Anwendung?
+5. Lege das Ergebnis in der IT-Dokumentation ab. Benenne die Datei nach der Regel aus
+   Handout A6.
+6. Was dir in den Gesprächen an Beschwerden und Wünschen begegnet, legst du als Ticket an.
+
+## Worauf es ankommt
+
+Die Gespräche sind der eigentliche Wert dieser Aufgabe. Eine Übersicht, die nur aus
+vorhandenen Listen abgeschrieben ist, enthält genau die Fehler, die schon in den Listen
+stehen. Und: Nach dieser Woche kennen dich die Abteilungen. Das spart dir in drei Jahren
+Ausbildung viele Erklärungen.
+
+## Zeit
+
+Zwei halbe Tage. Wenn eine Abteilung keine Zeit hat, notiere das und frag nach einem
+Termin in der nächsten Woche – die Aufgabe kann trotzdem zur Abnahme.
@@ -0,0 +1,51 @@
+---
+id: "6.1"
+titel: Den Schutzbedarf eines Arbeitsbereichs feststellen
+woche: 6
+block: sicherheit
+ziel: Du stellst für einen Arbeitsbereich des Betriebs den Schutzbedarf der Informationen, Anwendungen und IT-Systeme fest, begründest jede Einstufung und leitest daraus drei konkrete Maßnahmen ab.
+zeitrahmen: 5 Stunden
+rahmenplan: [A6, A5, B1]
+lernfeld: LF4
+material:
+  - Übersicht der Abteilungen aus Praxisaufgabe 5.1
+  - Geräteliste und Netzplan
+  - Vorlage für die Schutzbedarfsfeststellung (Tabelle beim Ausbilder)
+  - Gesprächstermin mit der Leitung des gewählten Bereichs
+kriterien:
+  - Die wichtigsten Informationen und Geschäftsabläufe des Bereichs sind erfasst
+  - Für jede Anwendung ist der Schutzbedarf je Schutzziel eingestuft
+  - Jede Einstufung ist mit einem konkreten Schadensszenario begründet
+  - Der Schutzbedarf der IT-Systeme ist nachvollziehbar aus den Anwendungen abgeleitet (Maximumprinzip, ggf. Kumulations- oder Verteilungseffekt)
+  - Drei Maßnahmen sind vorgeschlagen, jeweils mit dem Schutzziel, dem sie dienen
+  - Die Einstufung ist mit der Leitung des Bereichs abgestimmt
+---
+
+## Auftrag
+
+Wähle mit dem Ausbilder einen Arbeitsbereich aus, etwa Personal, Buchhaltung, Lager oder
+Vertrieb.
+
+1. **Informationen und Abläufe:** Welche Informationen werden dort verarbeitet, und für
+   welche Abläufe? Nutze dafür deine Gesprächsnotizen aus Aufgabe 5.1.
+2. **Anwendungen:** Welche Programme und Dienste verarbeiten diese Informationen?
+3. **Schutzbedarf der Anwendungen:** Stufe jede Anwendung für Vertraulichkeit, Integrität
+   und Verfügbarkeit ein – normal, hoch oder sehr hoch. Begründe mit einem der sechs
+   Schadensszenarien aus Handout I1.
+4. **IT-Systeme:** Auf welchen Servern, Clients und Verbindungen laufen die Anwendungen?
+   Leite den Schutzbedarf ab und schreib dazu, welches Prinzip du angewandt hast.
+5. **Abstimmung:** Leg die Einstufung der Leitung des Bereichs vor. Sie kennt die Folgen
+   eines Ausfalls besser als die IT.
+6. **Maßnahmen:** Schlage drei Maßnahmen vor, die dort ansetzen, wo der Bedarf hoch ist und
+   der Schutz heute nicht reicht.
+
+## Worauf es ankommt
+
+Die Begründung ist wichtiger als die Einstufung. „Sehr hoch" ohne Szenario ist wertlos;
+„hoch, weil ein Ausfall von mehr als einem Tag die Lohnabrechnung verzögert und damit gegen
+Arbeitsverträge verstößt" ist eine Aussage, mit der man arbeiten kann.
+
+## Zeit
+
+Fünf Stunden einschließlich Abstimmungsgespräch. Den Bereich lieber klein wählen und
+gründlich bearbeiten als groß und oberflächlich.
@@ -0,0 +1,50 @@
+---
+id: "7.1"
+titel: Ein Inventarskript schreiben
+woche: 7
+block: programmierung
+ziel: Du schreibst ein PowerShell-Skript, das die wichtigsten Angaben eines Rechners erfasst und an eine gemeinsame CSV-Datei anhängt, und weist an drei Rechnern nach, dass es zuverlässig funktioniert.
+zeitrahmen: 8 Stunden, verteilt auf zwei Tage
+rahmenplan: [A10, A4, B3, A5]
+lernfeld: LF5
+material:
+  - Drei Testrechner mit Windows, darunter ein Notebook
+  - Eine Netzwerkfreigabe mit Schreibrecht für die CSV-Datei
+  - Zugang zum Git-Repository der IT
+kriterien:
+  - Das Skript erfasst Rechnername, Hersteller, Modell, Seriennummer, Betriebssystem mit Version, Arbeitsspeicher in GB, freien Platz auf C in GB und den Zeitpunkt des letzten Starts
+  - Der Zielpfad der CSV-Datei ist ein Parameter, kein fester Wert im Code
+  - Ein zweiter Lauf auf demselben Rechner erzeugt keine doppelte Zeile, sondern aktualisiert sie
+  - Ist die Freigabe nicht erreichbar, bricht das Skript mit einer verständlichen Meldung ab
+  - Das Skript hat einen Hilfeblock mit Beschreibung und Beispielaufruf
+  - Die Ergebnisse von drei Rechnern liegen in der CSV-Datei und lassen sich in Excel öffnen
+  - Das Skript liegt mit mindestens drei sinnvoll beschriebenen Commits im Repository
+---
+
+## Auftrag
+
+Die Geräteliste der IT wird von Hand gepflegt und ist deshalb nie ganz aktuell. Dein Skript
+soll das ändern.
+
+1. **Angaben finden:** Ermittle mit `Get-CimInstance`, wo die Angaben stecken. Hilfreich
+   sind die Klassen `Win32_ComputerSystem`, `Win32_BIOS`, `Win32_OperatingSystem` und
+   `Win32_LogicalDisk`. Nutze `Get-Member`, um die Eigenschaften zu finden.
+2. **Ein Objekt bauen:** Fasse alles in einem `[PSCustomObject]` zusammen. Rechne Bytes in
+   Gigabyte um und runde auf eine Nachkommastelle.
+3. **Ablegen:** Lies die vorhandene CSV-Datei ein, ersetze die Zeile des eigenen Rechners
+   oder hänge eine neue an, und schreib die Datei zurück.
+4. **Absichern:** Zielpfad als Parameter, Prüfung mit `Test-Path`, Fehlerbehandlung mit
+   `try`/`catch`.
+5. **Dokumentieren:** Hilfeblock oben im Skript, Commits im Repository.
+6. **Nachweisen:** Lauf auf drei Rechnern, darunter ein zweiter Lauf auf demselben Rechner.
+
+## Worauf es ankommt
+
+Das Aktualisieren statt Anhängen ist der Teil, an dem die meisten hängen bleiben – und genau
+der Teil, der das Skript im Alltag brauchbar macht. Überleg dir vorher, woran du einen
+Rechner eindeutig erkennst. Der Rechnername ist es nicht immer; die Seriennummer schon eher.
+
+## Zeit
+
+Zwei Tage. Wenn du nach zwei Stunden nicht weißt, wo eine Angabe steckt, frag nach – das
+Suchen in den Klassen gehört zur Übung, das Verzweifeln daran nicht.
@@ -0,0 +1,53 @@
+---
+id: "8.1"
+titel: Die Sicherung eines Bereichs prüfen und zurückspielen
+woche: 8
+block: system
+ziel: Du prüfst, ob die bestehende Datensicherung zum Schutzbedarf eines Arbeitsbereichs passt, spielst eine Sicherung auf eine Testumgebung zurück und vergleichst die gemessene Zeit mit dem, was der Bereich verkraftet.
+zeitrahmen: 6 Stunden
+rahmenplan: [A9, A5, A4, A8]
+lernfeld: LF4
+material:
+  - Ergebnis der Schutzbedarfsfeststellung aus Praxisaufgabe 6.1
+  - Lesender Zugang zur Sicherungssoftware und ihren Protokollen
+  - Ein Testserver oder eine virtuelle Maschine als Ziel der Wiederherstellung
+  - Checkliste „Wiederherstellung testen"
+kriterien:
+  - RPO und RTO des Bereichs sind mit der Leitung abgestimmt und schriftlich festgehalten
+  - Die bestehende Sicherung ist beschrieben – Art, Häufigkeit, Aufbewahrung, Speicherorte
+  - Der Abgleich mit der 3-2-1-Regel und mit RPO und RTO ist vollständig, Lücken sind benannt
+  - Die Wiederherstellung wurde auf die Testumgebung durchgeführt, nicht auf das laufende System
+  - Die gemessene Dauer ist dokumentiert und dem RTO gegenübergestellt
+  - Das Ergebnis wurde inhaltlich geprüft, nicht nur die Erfolgsmeldung der Software
+  - Die Testumgebung ist anschließend bereinigt
+  - Für jede gefundene Lücke liegt ein konkreter Verbesserungsvorschlag vor
+---
+
+## Auftrag
+
+Nimm den Bereich, den du in Aufgabe 6.1 untersucht hast. Du kennst seinen Schutzbedarf –
+jetzt prüfst du, ob die Sicherung dazu passt.
+
+1. **Anforderungen festhalten:** Wie viel Datenverlust (RPO) und wie viel Ausfallzeit (RTO)
+   verkraftet der Bereich? Stimme beides mit der Leitung ab.
+2. **Bestand aufnehmen:** Was wird gesichert, wie oft, wie lange aufbewahrt, wohin? Lies dazu
+   Einstellungen und Protokolle der Sicherungssoftware.
+3. **Abgleichen:** Erfüllt die Sicherung die 3-2-1-Regel? Gibt es eine Kopie, die offline oder
+   unveränderlich ist? Reicht die Häufigkeit für das RPO?
+4. **Zurückspielen:** Stelle nach der Checkliste die Daten des Bereichs auf der
+   Testumgebung wieder her. Miss die Zeit vom Entschluss bis zur Arbeitsfähigkeit.
+5. **Prüfen:** Öffne Dateien, starte die Anwendung, vergleiche den Stand mit dem
+   Sicherungszeitpunkt.
+6. **Bewerten und vorschlagen:** Wo liegen Lücken? Was schlägst du vor?
+
+## Worauf es ankommt
+
+Die gemessene Zeit ist das wichtigste Ergebnis. Fast jeder Betrieb schätzt die Dauer einer
+Wiederherstellung zu niedrig ein, weil er die Suche nach dem richtigen Sicherungsstand, das
+Bereitstellen der Umgebung und das Prüfen nicht mitrechnet. Wenn deine Messung über dem RTO
+liegt, ist das kein Misserfolg der Aufgabe – sondern genau der Befund, für den sie da ist.
+
+## Zeit
+
+Sechs Stunden. Arbeite in der Testumgebung, und frag vor dem Zurückspielen den Ausbilder,
+ob Ziel und Umfang stimmen.
@@ -0,0 +1,53 @@
+---
+id: "9.1"
+titel: Einen Testserver als virtuelle Maschine bereitstellen
+woche: 9
+block: server
+ziel: Du planst eine virtuelle Maschine für einen Testserver, stellst sie auf dem Testhost bereit, nimmst sie in Sicherung und Dokumentation auf und weist mit einem Snapshot nach, dass du eine Änderung sauber zurücknehmen kannst.
+zeitrahmen: 6 Stunden
+rahmenplan: [B1, B3, A5, A8]
+lernfeld: LF9
+material:
+  - Zugang zum Testhost (Proxmox VE, Hyper-V oder vergleichbar)
+  - Installationsabbild eines Server-Betriebssystems
+  - Freie IP-Adresse im Testnetz und Zugang zum DNS
+  - Checkliste „Virtuelle Maschine bereitstellen"
+kriterien:
+  - Ein Planungsblatt mit Zweck, Ressourcen, Festplatten, Netz, Sicherung und Verantwortlichem lag vor dem Anlegen vor
+  - Die zugewiesenen Ressourcen sind begründet und passen zu dem, was der Host hergibt
+  - System und Daten liegen auf getrennten virtuellen Festplatten
+  - Die VM hat eine feste Adresse, einen DNS-Eintrag und einen Namen nach der Namensregel
+  - Gasterweiterungen sind installiert, die VM fährt über den Hypervisor sauber herunter
+  - Die VM ist in die Sicherung aufgenommen, ein erster Sicherungslauf ist erfolgreich
+  - Ein Snapshot wurde vor einer Änderung angelegt, die Änderung zurückgenommen und der Snapshot anschließend gelöscht
+  - Die Dokumentation liegt in der IT-Dokumentation
+---
+
+## Auftrag
+
+Die Ausbildung braucht einen eigenen Testserver, auf dem in den nächsten Wochen
+Verzeichnisdienst und Freigaben geübt werden. Du stellst ihn bereit.
+
+1. **Planen:** Fülle das Planungsblatt nach Handout V3 aus und lass es dir vom Ausbilder
+   freigeben, bevor du etwas anlegst.
+2. **Prüfen:** Hat der Testhost genug freien Arbeitsspeicher und Speicherplatz?
+3. **Anlegen und installieren:** VM nach Plan anlegen, Betriebssystem installieren,
+   Gasterweiterungen und Updates einspielen.
+4. **Einbinden:** feste Adresse, DNS-Eintrag, Name nach Regel.
+5. **Absichern:** VM in die Sicherung aufnehmen und einen ersten Lauf abwarten.
+6. **Rückweg üben:** Snapshot anlegen, eine Änderung vornehmen (etwa eine Rolle
+   installieren), auf den Snapshot zurücksetzen, prüfen, dass die Änderung weg ist, und den
+   Snapshot löschen.
+7. **Dokumentieren:** Planungsblatt mit den tatsächlichen Werten in der IT-Dokumentation
+   ablegen.
+
+## Worauf es ankommt
+
+Das Planungsblatt vor dem Anlegen ist kein Formular, sondern der Kern der Aufgabe. Eine VM
+ohne Plan funktioniert genauso – bis jemand in einem Jahr fragt, wofür sie da ist und ob man
+sie abschalten kann.
+
+## Zeit
+
+Sechs Stunden einschließlich Installation. Die Wartezeiten bei Installation und Updates
+nutzt du für die Dokumentation.
@@ -0,0 +1,54 @@
+id: 05-arbeitsplatz-sicherheit-pruefen
+titel: Sicherheit eines Arbeitsplatzes prüfen
+block: sicherheit
+worum: >-
+  Ein Rundgang mit der Liste in der Hand findet mehr als jede Richtlinie. Geprüft
+  wird, was tatsächlich eingestellt ist – nicht, was eingestellt sein sollte.
+rahmenplan: [A6, A5]
+lernfeld: LF4
+mit_ticket: false
+
+gruppen:
+  - id: vorbereiten
+    titel: Vorbereiten
+    schritte:
+      - id: v1
+        text: Arbeitsplatz und Nutzer mit Termin angekündigt, Zweck der Prüfung erklärt
+      - id: v2
+        text: Gerät in der Geräteliste nachgeschlagen, Soll-Zustand (Betriebssystem, Verschlüsselung, Schutzsoftware) notiert
+
+  - id: durchfuehren
+    titel: Durchführen
+    schritte:
+      - id: d1
+        text: Bildschirmsperre greift nach spätestens 10 Minuten, Sperren mit Windows-Taste + L ist bekannt
+      - id: d2
+        text: Betriebssystem und Anwendungen auf aktuellem Stand, keine ausstehenden Neustarts für Updates
+      - id: d3
+        text: Schutzsoftware aktiv, Signaturen aktuell, letzte vollständige Prüfung ohne Befund
+      - id: d4
+        text: Festplattenverschlüsselung aktiv (bei Notebooks Pflicht), Wiederherstellungsschlüssel zentral hinterlegt
+      - id: d5
+        text: Der Nutzer arbeitet ohne lokale Administratorrechte
+      - id: d6
+        text: Keine Passwörter auf Zetteln, unter der Tastatur oder in Textdateien auf dem Desktop
+      - id: d7
+        text: Zweiter Faktor für E-Mail und Fernzugang eingerichtet
+      - id: d8
+        text: Keine vertraulichen Ausdrucke offen am Platz oder im Drucker liegen gelassen
+
+  - id: pruefen
+    titel: Prüfen
+    schritte:
+      - id: p1
+        text: Abweichungen vom Soll-Zustand vollständig notiert, je mit Befund und Risiko
+      - id: p2
+        text: Mit dem Nutzer kurz besprochen, was gefunden wurde – ohne Vorwurf
+
+  - id: abschliessen
+    titel: Abschließen
+    schritte:
+      - id: a1
+        text: Für jede Abweichung ein Ticket angelegt oder die Abweichung sofort behoben und dokumentiert
+      - id: a2
+        text: Wiederkehrende Abweichungen an den Ausbilder gemeldet – sie deuten auf eine fehlende Regel hin
@@ -0,0 +1,60 @@
+id: 06-wiederherstellung-testen
+titel: Wiederherstellung testen
+block: system
+worum: >-
+  Der Test findet auf einer Testumgebung statt, wird gemessen und inhaltlich
+  geprüft. Die Erfolgsmeldung der Sicherungssoftware ist kein Ergebnis.
+rahmenplan: [A9, A5]
+lernfeld: LF4
+mit_ticket: true
+
+gruppen:
+  - id: vorbereiten
+    titel: Vorbereiten
+    schritte:
+      - id: v1
+        text: Umfang des Tests festgelegt (Datei, Ordner, Anwendung oder ganzes System)
+      - id: v2
+        text: RPO und RTO des betroffenen Bereichs nachgeschlagen
+      - id: v3
+        text: Testumgebung bereitgestellt und vom Produktivnetz getrennt
+      - id: v4
+        text: Sicherungsstand gewählt und notiert (Datum, Uhrzeit, Art der Sicherung)
+
+  - id: durchfuehren
+    titel: Durchführen
+    schritte:
+      - id: d1
+        text: Startzeit notiert
+      - id: d2
+        text: Wiederherstellung auf die Testumgebung gestartet – nicht auf das laufende System
+      - id: d3
+        text: Auftretende Meldungen und Wartezeiten mitgeschrieben
+      - id: d4
+        text: Endzeit notiert, sobald mit den Daten gearbeitet werden kann
+
+  - id: pruefen
+    titel: Prüfen
+    schritte:
+      - id: p1
+        text: Stichprobe von mindestens fünf Dateien geöffnet, Inhalt lesbar
+      - id: p2
+        text: Stand entspricht dem gewählten Sicherungszeitpunkt
+      - id: p3
+        text: Berechtigungen sind mit zurückgekommen
+      - id: p4
+        text: Anwendung startet und arbeitet mit den zurückgespielten Daten (falls Teil des Tests)
+      - id: p5
+        text: Gemessene Dauer dem RTO gegenübergestellt
+
+  - id: abschliessen
+    titel: Abschließen
+    schritte:
+      - id: a1
+        text: Testprotokoll mit Datum, Umfang, Sicherungsstand, Dauer und Ergebnis abgelegt
+      - id: a2
+        text: Testumgebung bereinigt, zurückgespielte Daten gelöscht
+      - id: a3
+        text: Abweichungen und Auffälligkeiten als Tickets angelegt
+      - id: a4
+        text: Datum des nächsten Tests festgelegt
@@ -0,0 +1,60 @@
+id: 07-vm-bereitstellen
+titel: Virtuelle Maschine bereitstellen
+block: server
+worum: >-
+  Vom Planungsblatt bis zur VM in Sicherung und Überwachung. Die Schritte nach
+  der Installation sind die, die sonst fehlen.
+rahmenplan: [B1, B3, A5]
+lernfeld: LF9
+mit_ticket: true
+
+gruppen:
+  - id: vorbereiten
+    titel: Vorbereiten
+    schritte:
+      - id: v1
+        text: Zweck und Verantwortlicher der VM schriftlich festgehalten
+      - id: v2
+        text: Ressourcen, Festplatten, Netz bzw. VLAN und IP-Adresse geplant
+      - id: v3
+        text: Geprüft, dass der Host Arbeitsspeicher und Speicherplatz hergibt
+      - id: v4
+        text: Name nach Namensregel vergeben, IP-Adresse reserviert
+
+  - id: durchfuehren
+    titel: Durchführen
+    schritte:
+      - id: d1
+        text: VM angelegt, System- und Datenfestplatte getrennt
+      - id: d2
+        text: Betriebssystem installiert, Gasterweiterungen eingerichtet
+      - id: d3
+        text: Alle verfügbaren Updates eingespielt
+      - id: d4
+        text: Feste IP-Adresse gesetzt, DNS-Eintrag angelegt
+      - id: d5
+        text: Lokales Administratorkennwort nach Vorgabe gesetzt und im Passwortmanager abgelegt
+
+  - id: pruefen
+    titel: Prüfen
+    schritte:
+      - id: p1
+        text: VM über den Namen erreichbar
+      - id: p2
+        text: Herunterfahren über den Hypervisor funktioniert sauber
+      - id: p3
+        text: VM in die Sicherung aufgenommen, erster Lauf erfolgreich
+      - id: p4
+        text: VM in die Überwachung aufgenommen (Erreichbarkeit, Speicherplatz)
+      - id: p5
+        text: Keine Snapshots aus der Einrichtung übrig geblieben
+
+  - id: abschliessen
+    titel: Abschließen
+    schritte:
+      - id: a1
+        text: Planungsblatt mit den tatsächlichen Werten in der IT-Dokumentation abgelegt
+      - id: a2
+        text: VM an den Verantwortlichen übergeben
+      - id: a3
+        text: Ticket geschlossen mit Name, Adresse und tatsächlichem Aufwand
@@ -0,0 +1,56 @@
+id: 08-mitarbeiter-einrichten
+titel: Neuen Mitarbeiter einrichten
+block: server
+worum: >-
+  Rechte kommen aus der Rolle, nicht aus dem Konto eines Kollegen. Und das
+  Erstpasswort wird persönlich übergeben, nie per Mail an den Vorgesetzten.
+rahmenplan: [B3, A6, A7]
+lernfeld: LF10
+mit_ticket: true
+
+gruppen:
+  - id: vorbereiten
+    titel: Vorbereiten
+    schritte:
+      - id: v1
+        text: Meldung der Personalabteilung liegt vor – Name, Eintrittsdatum, Abteilung, Funktion
+      - id: v2
+        text: Benötigte Rollen und Zugänge von der Führungskraft schriftlich angefordert
+      - id: v3
+        text: Gerät reserviert und nach Checkliste vorbereitet
+
+  - id: durchfuehren
+    titel: Durchführen
+    schritte:
+      - id: d1
+        text: Konto nach Namensregel in der OU der Abteilung angelegt – nicht von einem Kollegen kopiert
+      - id: d2
+        text: Konto in die globalen Gruppen der Rolle aufgenommen, keine Einzelberechtigungen
+      - id: d3
+        text: Postfach und Verteilerlisten eingerichtet
+      - id: d4
+        text: Fachanwendungen freigeschaltet, soweit angefordert
+      - id: d5
+        text: Erstpasswort gesetzt, Änderung bei der ersten Anmeldung erzwungen
+      - id: d6
+        text: Gerät in der Geräteliste der Person zugeordnet
+
+  - id: pruefen
+    titel: Prüfen
+    schritte:
+      - id: p1
+        text: Anmeldung am vorgesehenen Gerät funktioniert
+      - id: p2
+        text: Laufwerke und Drucker der Abteilung kommen per Richtlinie an
+      - id: p3
+        text: Zugriff auf eine Ablage, die nicht zur Rolle gehört, wird abgewiesen
+
+  - id: abschliessen
+    titel: Abschließen
+    schritte:
+      - id: a1
+        text: Erstpasswort persönlich übergeben, zweiten Faktor gemeinsam eingerichtet
+      - id: a2
+        text: Kurze Einweisung – Anmelden, Sperren, Ablage, Drucken, wie man ein Ticket aufgibt
+      - id: a3
+        text: Ticket geschlossen mit Gruppen, Gerät und tatsächlichem Aufwand
@@ -0,0 +1,54 @@
+id: 09-auftrag-abnehmen-lassen
+titel: Auftrag übergeben und abnehmen lassen
+block: arbeitsalltag
+worum: >-
+  Die Abnahme ist der Moment, in dem aus „fertig" ein nachweisbares „erledigt"
+  wird. Was hier nicht im Protokoll steht, ist später Verhandlungssache.
+rahmenplan: [A7, A5, A2]
+lernfeld: LF6
+mit_ticket: true
+
+gruppen:
+  - id: vorbereiten
+    titel: Vorbereiten
+    schritte:
+      - id: v1
+        text: Alle Anforderungen aus dem Pflichtenheft einzeln selbst geprüft und abgehakt
+      - id: v2
+        text: Dokumentation für den Kunden fertig – Zugangsdaten getrennt übergeben
+      - id: v3
+        text: Termin mit der Person vereinbart, die abnehmen darf
+      - id: v4
+        text: Abnahmeprotokoll mit den Abnahmekriterien aus dem Pflichtenheft vorbereitet
+
+  - id: durchfuehren
+    titel: Durchführen
+    schritte:
+      - id: d1
+        text: Jedes Abnahmekriterium gemeinsam mit dem Kunden vorgeführt und geprüft
+      - id: d2
+        text: Gefundene Mängel mit Beschreibung und vereinbarter Frist ins Protokoll eingetragen
+      - id: d3
+        text: Kunde bzw. Anwender eingewiesen
+      - id: d4
+        text: Dokumentation übergeben
+
+  - id: pruefen
+    titel: Prüfen
+    schritte:
+      - id: p1
+        text: Protokoll vollständig – Datum, Teilnehmer, Ergebnis je Kriterium, Restmängel
+      - id: p2
+        text: Protokoll von beiden Seiten unterschrieben
+
+  - id: abschliessen
+    titel: Abschließen
+    schritte:
+      - id: a1
+        text: Leistungsnachweis mit tatsächlichem Aufwand an die Abrechnung gegeben
+      - id: a2
+        text: Restmängel als Tickets mit Frist angelegt
+      - id: a3
+        text: Abnahmeprotokoll beim Auftrag abgelegt
+      - id: a4
+        text: Rückmeldung des Kunden eingeholt und notiert
@@ -182,3 +182,359 @@
    SSDs durch Schreibvorgänge – die Kennzahlen für den Zustand sind deshalb
    unterschiedlich.
  siehe_auch: [SMART]
+
+# --- Woche 5: Ausbildung, Betrieb, Zusammenarbeit -------------------------
+
+- begriff: Probezeit
+  erklaerung: >-
+    Der erste Abschnitt der Ausbildung, mindestens einen und höchstens vier
+    Monate lang. In dieser Zeit können beide Seiten jederzeit ohne Frist und ohne
+    Angabe von Gründen kündigen, schriftlich.
+
+- begriff: Ausbildungsnachweis
+  formen: [Berichtsheft, Ausbildungsnachweise, Ausbildungsnachweises]
+  erklaerung: >-
+    Die schriftliche oder elektronische Aufzeichnung dessen, was in der
+    Ausbildung tatsächlich gelernt und getan wurde. Ein ordnungsgemäß geführter
+    Nachweis ist Voraussetzung für die Zulassung zur Abschlussprüfung.
+
+- begriff: Organigramm
+  erklaerung: >-
+    Die zeichnerische Darstellung der Aufbauorganisation eines Betriebs:
+    Abteilungen, Stellen und wer wem gegenüber weisungsbefugt ist.
+
+- begriff: Betriebsrat
+  erklaerung: >-
+    Die gewählte Vertretung der Beschäftigten. Er hat unter anderem ein
+    Mitbestimmungsrecht, wenn technische Einrichtungen eingeführt werden, die
+    Verhalten oder Leistung überwachen können – also bei vielen IT-Projekten.
+  siehe_auch: [Jugend- und Auszubildendenvertretung]
+
+- begriff: Jugend- und Auszubildendenvertretung
+  steht_fuer: JAV
+  formen: [JAV]
+  erklaerung: >-
+    Die Interessenvertretung der Beschäftigten unter 18 und der Auszubildenden
+    unter 25. Sie kann gewählt werden, wo es einen Betriebsrat und in der Regel
+    mindestens fünf solcher Beschäftigten gibt.
+  siehe_auch: [Betriebsrat]
+
+# --- Woche 6: IT-Sicherheit und Datenschutz -------------------------------
+
+- begriff: Schutzziele
+  formen: [Schutzziel, Schutzzielen]
+  erklaerung: >-
+    Die drei Grundwerte der Informationssicherheit: Vertraulichkeit (nur Befugte
+    sehen die Daten), Integrität (die Daten sind unverfälscht) und Verfügbarkeit
+    (sie stehen bereit, wenn sie gebraucht werden).
+  siehe_auch: [Schutzbedarf]
+
+- begriff: Schutzbedarf
+  formen: [Schutzbedarfs, Schutzbedarfsfeststellung]
+  erklaerung: >-
+    Wie viel Schutz eine Information oder ein System braucht – gemessen am
+    Schaden, der entstünde, wenn ein Schutzziel verletzt würde. Der
+    IT-Grundschutz des BSI unterscheidet normal, hoch und sehr hoch.
+  siehe_auch: [Schutzziele, Maximumprinzip]
+
+- begriff: Maximumprinzip
+  erklaerung: >-
+    Ein IT-System übernimmt den höchsten Schutzbedarf aller Anwendungen, die auf
+    ihm laufen. Eine einzige Anwendung mit sehr hohem Bedarf hebt also das ganze
+    System an.
+  siehe_auch: [Schutzbedarf]
+
+- begriff: Phishing
+  formen: [Phishing-Mail, Phishing-Mails]
+  erklaerung: >-
+    Gefälschte Nachrichten oder Webseiten, die zur Eingabe von Zugangsdaten oder
+    zu einer Zahlung verleiten sollen. Erkennungszeichen sind Zeitdruck, ein
+    unpassender Absender und ein Link, dessen Ziel nicht zum Absender passt.
+
+- begriff: Zwei-Faktor-Authentifizierung
+  steht_fuer: 2FA
+  formen: [2FA, MFA, zweiter Faktor, zweiten Faktor]
+  erklaerung: >-
+    Eine Anmeldung, die neben dem Passwort einen zweiten, unabhängigen Nachweis
+    verlangt – etwa einen Code aus einer App oder einen Sicherheitsschlüssel. Ein
+    gestohlenes Passwort allein genügt dann nicht mehr.
+
+- begriff: DSGVO
+  steht_fuer: Datenschutz-Grundverordnung
+  formen: [Datenschutz-Grundverordnung]
+  erklaerung: >-
+    Die europäische Verordnung, die regelt, wie personenbezogene Daten erhoben,
+    verarbeitet und geschützt werden müssen. Sie gilt unmittelbar in allen
+    Mitgliedstaaten.
+  siehe_auch: [personenbezogene Daten]
+
+- begriff: personenbezogene Daten
+  formen: [personenbezogener Daten, personenbezogenen Daten]
+  erklaerung: >-
+    Alle Angaben, die sich einer bestimmten oder bestimmbaren Person zuordnen
+    lassen – Name, E-Mail-Adresse, Personalnummer, aber auch eine IP-Adresse oder
+    ein Foto.
+  siehe_auch: [DSGVO]
+
+# --- Woche 7: Skripting mit PowerShell ------------------------------------
+
+- begriff: Cmdlet
+  formen: [Cmdlets]
+  erklaerung: >-
+    Ein eingebauter PowerShell-Befehl. Cmdlets heißen immer nach dem Muster
+    Verb-Substantiv, etwa Get-Service, und liefern Objekte statt Text.
+  siehe_auch: [Pipeline]
+
+- begriff: Pipeline
+  erklaerung: >-
+    Die Verkettung von Befehlen mit dem senkrechten Strich. In PowerShell wandern
+    dabei Objekte von Befehl zu Befehl, die sich nach ihren Eigenschaften filtern,
+    sortieren und auswählen lassen.
+  siehe_auch: [Cmdlet]
+
+# --- Woche 8: Datensicherung und Speicher ---------------------------------
+
+- begriff: Vollsicherung
+  formen: [Vollsicherungen]
+  erklaerung: >-
+    Eine Sicherung aller ausgewählten Daten, unabhängig davon, ob sie sich
+    geändert haben. Grundlage für inkrementelle und differenzielle Sicherungen.
+  siehe_auch: [inkrementelle Sicherung, differenzielle Sicherung]
+
+- begriff: inkrementelle Sicherung
+  formen: [inkrementellen Sicherung, inkrementellen Sicherungen, inkrementell]
+  erklaerung: >-
+    Sichert nur, was sich seit der letzten Sicherung gleich welcher Art geändert
+    hat. Schnell und platzsparend; zum Zurückspielen braucht man die
+    Vollsicherung und alle inkrementellen Sicherungen seitdem.
+  siehe_auch: [Vollsicherung, differenzielle Sicherung]
+
+- begriff: differenzielle Sicherung
+  formen: [differenziellen Sicherung, differenziellen Sicherungen, differenziell]
+  erklaerung: >-
+    Sichert alles, was sich seit der letzten Vollsicherung geändert hat. Wächst
+    bis zur nächsten Vollsicherung; zum Zurückspielen genügen die Vollsicherung
+    und die letzte differenzielle Sicherung.
+  siehe_auch: [Vollsicherung, inkrementelle Sicherung]
+
+- begriff: RPO
+  steht_fuer: Recovery Point Objective
+  erklaerung: >-
+    Der größte Datenverlust, den ein Bereich verkraftet, gemessen in Zeit. Ein
+    RPO von vier Stunden heißt: Es muss mindestens alle vier Stunden gesichert
+    werden.
+  siehe_auch: [RTO]
+
+- begriff: RTO
+  steht_fuer: Recovery Time Objective
+  erklaerung: >-
+    Die größte Ausfallzeit, die ein Bereich verkraftet, bis nach einem Schaden
+    wieder gearbeitet werden kann. Ob sie eingehalten wird, zeigt nur ein
+    gemessener Wiederherstellungstest.
+  siehe_auch: [RPO]
+
+- begriff: RAID
+  steht_fuer: Redundant Array of Independent Disks
+  erklaerung: >-
+    Ein Verbund mehrerer Festplatten, der je nach Stufe schneller ist oder den
+    Ausfall einzelner Platten übersteht. Ein RAID schützt nicht vor Löschen,
+    Verschlüsselung oder Beschädigung von Dateien – es ist keine Datensicherung.
+
+- begriff: NAS
+  steht_fuer: Network Attached Storage
+  erklaerung: >-
+    Ein Speichergerät im Netzwerk, das Dateien über Freigaben bereitstellt, etwa
+    per SMB oder NFS.
+  siehe_auch: [SAN, RAID]
+
+- begriff: SAN
+  steht_fuer: Storage Area Network
+  erklaerung: >-
+    Ein Speichernetz, das Servern Speicherblöcke bereitstellt, etwa per iSCSI.
+    Der Server sieht eine Festplatte und legt selbst ein Dateisystem darauf an.
+  siehe_auch: [NAS]
+
+# --- Woche 9: Virtualisierung ----------------------------------------------
+
+- begriff: Hypervisor
+  formen: [Hypervisoren, Hypervisors]
+  erklaerung: >-
+    Die Software, die einen physischen Rechner in mehrere virtuelle Maschinen
+    aufteilt. Typ 1 läuft direkt auf der Hardware (für Server), Typ 2 als
+    Programm auf einem Betriebssystem (für Tests am Arbeitsplatz).
+  siehe_auch: [virtuelle Maschine]
+
+- begriff: virtuelle Maschine
+  steht_fuer: VM
+  formen: [virtuellen Maschine, virtuelle Maschinen, virtuellen Maschinen, VM, VMs]
+  erklaerung: >-
+    Ein vollständiger Rechner mit eigenem Betriebssystem, der nicht auf eigener
+    Hardware läuft, sondern sich die Ressourcen eines Hosts mit anderen VMs teilt.
+  siehe_auch: [Hypervisor, Snapshot]
+
+- begriff: Snapshot
+  formen: [Snapshots]
+  erklaerung: >-
+    Ein eingefrorener Zustand einer virtuellen Maschine, zu dem man zurückkehren
+    kann. Gut als Rückweg für Stunden vor einer Änderung, aber keine
+    Datensicherung – er liegt auf demselben Speicher und wird mit der Zeit groß
+    und langsam.
+  siehe_auch: [virtuelle Maschine, Vollsicherung]
+
+- begriff: Thin Provisioning
+  erklaerung: >-
+    Eine virtuelle Festplatte belegt nur den tatsächlich beschriebenen Platz und
+    wächst bei Bedarf. Spart Speicher, kann ihn aber unbemerkt volllaufen lassen,
+    wenn mehr zugesagt ist, als vorhanden ist.
+
+- begriff: Container
+  erklaerung: >-
+    Eine abgeschlossene Laufzeitumgebung für eine Anwendung, die sich den Kern
+    des Host-Betriebssystems teilt. Leichter und schneller als eine virtuelle
+    Maschine, aber weniger stark von anderen getrennt.
+  siehe_auch: [virtuelle Maschine]
+
+# --- Woche 10: Verzeichnisdienst und Serverdienste -------------------------
+
+- begriff: Active Directory
+  steht_fuer: AD
+  erklaerung: >-
+    Der Verzeichnisdienst von Microsoft. Er verwaltet Benutzer, Computer, Gruppen
+    und Richtlinien einer Domäne zentral und prüft Anmeldungen.
+  siehe_auch: [Domänencontroller, Organisationseinheit, Gruppenrichtlinie]
+
+- begriff: Domänencontroller
+  formen: [Domänencontrollern, Domänencontrollers]
+  erklaerung: >-
+    Ein Server, der das Verzeichnis einer Domäne hält und Anmeldungen prüft. Man
+    betreibt mindestens zwei, damit ein Ausfall niemanden aussperrt.
+  siehe_auch: [Active Directory, DNS]
+
+- begriff: Organisationseinheit
+  steht_fuer: OU (Organizational Unit)
+  formen: [Organisationseinheiten, OU, OUs]
+  erklaerung: >-
+    Ein Ordner im Active Directory, der Konten und Computer ordnet. An
+    Organisationseinheiten werden Gruppenrichtlinien verknüpft und
+    Verwaltungsrechte delegiert – Berechtigungen auf Dateien vergibt man dagegen
+    an Gruppen.
+  siehe_auch: [Active Directory, Gruppenrichtlinie, AGDLP]
+
+- begriff: AGDLP
+  erklaerung: >-
+    Die Regel für Gruppen im Active Directory: Accounts in Global groups, Global
+    groups in Domain Local groups, Permissions an die Domain Local groups. Die
+    globale Gruppe beschreibt die Rolle, die domänenlokale das Recht.
+  siehe_auch: [Prinzip der geringsten Rechte, NTFS-Berechtigung]
+
+- begriff: Gruppenrichtlinie
+  steht_fuer: GPO (Group Policy Object)
+  formen: [Gruppenrichtlinien, GPO, GPOs]
+  erklaerung: >-
+    Ein Bündel zentraler Einstellungen für Computer oder Benutzer, das an einen
+    Standort, die Domäne oder eine Organisationseinheit verknüpft wird.
+    Angewendet in der Reihenfolge lokal, Standort, Domäne, OU – was zuletzt
+    kommt, gewinnt.
+  siehe_auch: [Organisationseinheit, Active Directory]
+
+- begriff: Schattenkopie
+  formen: [Schattenkopien]
+  erklaerung: >-
+    Eine Zeitpunktkopie eines Laufwerks auf dem Dateiserver, über die Benutzer
+    frühere Fassungen einer Datei selbst zurückholen können. Liegt auf demselben
+    Laufwerk und ersetzt deshalb keine Datensicherung.
+  siehe_auch: [Vollsicherung]
+
+# --- Woche 11: Netze trennen und verbinden ---------------------------------
+
+- begriff: Trunk
+  formen: [Trunks, Trunk-Port, Trunk-Ports]
+  erklaerung: >-
+    Eine Switchverbindung, die mehrere VLANs gleichzeitig überträgt und jeden
+    Rahmen mit seiner VLAN-ID markiert (IEEE 802.1Q). Verbindet Switches
+    untereinander und mit Routern, Firewalls und Access Points.
+  siehe_auch: [VLAN, Switch]
+
+- begriff: Standardroute
+  formen: [Standardrouten, Default-Route]
+  erklaerung: >-
+    Der Eintrag 0.0.0.0/0 in einer Routingtabelle. Er greift für alle Ziele, für
+    die es keine genauere Route gibt – meist der Weg ins Internet.
+  siehe_auch: [Router, Gateway]
+
+- begriff: 802.1X
+  erklaerung: >-
+    Ein Verfahren, bei dem sich Geräte oder Benutzer vor dem Zugang zum Netz
+    anmelden müssen – im WLAN als WPA2/WPA3-Enterprise, auch an Switchports. Die
+    Prüfung übernimmt meist ein RADIUS-Server.
+  siehe_auch: [RADIUS]
+
+- begriff: RADIUS
+  steht_fuer: Remote Authentication Dial-In User Service
+  erklaerung: >-
+    Ein Dienst, der Anmeldungen am Netz zentral prüft, etwa gegen die
+    Benutzerkonten im Verzeichnisdienst. Wird für WLAN-Zugänge mit eigenen
+    Zugangsdaten je Person gebraucht.
+  siehe_auch: [802.1X]
+
+# --- Woche 12: Kundenauftrag -----------------------------------------------
+
+- begriff: Lastenheft
+  formen: [Lastenhefts, Lastenhefte]
+  erklaerung: >-
+    Die Beschreibung des Auftraggebers, was er braucht und wofür. Die Grundlage,
+    auf die der Auftragnehmer mit dem Pflichtenheft antwortet.
+  siehe_auch: [Pflichtenheft]
+
+- begriff: Pflichtenheft
+  formen: [Pflichtenhefts, Pflichtenhefte]
+  erklaerung: >-
+    Die Beschreibung des Auftragnehmers, wie und womit er die Anforderungen aus
+    dem Lastenheft umsetzt – einschließlich der Kriterien, an denen bei der
+    Abnahme geprüft wird.
+  siehe_auch: [Lastenheft]
+
+- begriff: Bezugspreis
+  formen: [Bezugspreise, Bezugskalkulation]
+  erklaerung: >-
+    Der Preis, den der Betrieb für eine Ware tatsächlich zahlt: Listenpreis minus
+    Rabatt minus Skonto plus Bezugskosten wie Versand und Verpackung.
+  siehe_auch: [Skonto]
+
+- begriff: Skonto
+  erklaerung: >-
+    Ein Preisnachlass für Zahlung innerhalb einer kurzen Frist, etwa 2 Prozent
+    bei Zahlung binnen zehn Tagen. Wird vom Zieleinkaufspreis berechnet, also
+    nach Abzug des Rabatts.
+  siehe_auch: [Bezugspreis]
+
+- begriff: Werkvertrag
+  formen: [Werkvertrags, Werkverträge]
+  erklaerung: >-
+    Ein Vertrag, bei dem ein Erfolg geschuldet wird, etwa ein funktionierendes
+    Netzwerk. Bezahlt wird nach der Abnahme.
+  siehe_auch: [Dienstvertrag, Gewährleistung]
+
+- begriff: Dienstvertrag
+  formen: [Dienstvertrags, Dienstverträge]
+  erklaerung: >-
+    Ein Vertrag, bei dem eine Tätigkeit geschuldet wird, nicht ein Erfolg – etwa
+    Support nach Stunden oder eine Schulung.
+  siehe_auch: [Werkvertrag]
+
+- begriff: Gewährleistung
+  formen: [Mängelhaftung]
+  erklaerung: >-
+    Die gesetzliche Haftung des Verkäufers für Mängel, die bei Übergabe vorhanden
+    waren – bei neuen Sachen in der Regel zwei Jahre. Anders als die Garantie ist
+    sie nicht freiwillig.
+  siehe_auch: [Werkvertrag]
+
+- begriff: SLA
+  steht_fuer: Service Level Agreement
+  formen: [SLAs]
+  erklaerung: >-
+    Eine Vereinbarung über messbare Leistungswerte eines Dienstes, etwa
+    Reaktionszeit, Wiederherstellungszeit und Verfügbarkeit. 99,9 Prozent
+    Verfügbarkeit erlauben knapp neun Stunden Ausfall im Jahr.
+  siehe_auch: [RTO]
@@ -0,0 +1,69 @@
+---
+id: A4
+titel: Rechte und Pflichten in der Ausbildung
+block: arbeitsalltag
+woche: 5
+worum: Der Ausbildungsvertrag ist kein gewöhnlicher Arbeitsvertrag – das Berufsbildungsgesetz regelt, was beide Seiten einander schulden.
+rahmenplan: [C1]
+lernfeld: LF1
+merksatz: Du schuldest das Lernen, der Betrieb schuldet das Ausbilden. Das Berichtsheft beweist beides.
+karten:
+  - frage: Wie lang darf die Probezeit in der Ausbildung sein, und was gilt in dieser Zeit für die Kündigung?
+    antwort: Mindestens einen, höchstens vier Monate. In der Probezeit können beide Seiten jederzeit ohne Frist und ohne Angabe von Gründen kündigen – schriftlich.
+  - frage: Unter welchen Bedingungen kann ein Azubi nach der Probezeit kündigen?
+    antwort: Aus wichtigem Grund ohne Frist, oder mit vier Wochen Frist, wenn er die Ausbildung aufgeben oder einen anderen Beruf lernen will. Immer schriftlich und mit Angabe des Grundes.
+  - frage: Warum ist das Berichtsheft mehr als eine lästige Pflicht?
+    antwort: Ein ordnungsgemäß geführter Ausbildungsnachweis ist Voraussetzung für die Zulassung zur Abschlussprüfung. Ohne ihn keine Prüfung.
+  - frage: Aus welchen Teilen besteht die Abschlussprüfung zum Fachinformatiker Systemintegration?
+    antwort: Aus Teil 1 nach etwa anderthalb Jahren (Einrichten eines IT-gestützten Arbeitsplatzes, 20 %) und Teil 2 am Ende (Projektarbeit 50 %, zwei schriftliche Fachbereiche je 10 %, Wirtschafts- und Sozialkunde 10 %).
+---
+
+## Das Wesentliche
+
+- **Das Berufsbildungsgesetz (BBiG) geht dem Vertrag vor.** Was dort zugunsten des Azubis
+  geregelt ist, lässt sich im Ausbildungsvertrag nicht wegverhandeln.
+- **Deine Pflichten (§ 13 BBiG)** lassen sich in einem Satz zusammenfassen: dich bemühen,
+  den Beruf zu lernen. Dazu gehören die Berufsschule, die Weisungen im Rahmen der
+  Ausbildung, der pflegliche Umgang mit Geräten, Verschwiegenheit über Betriebs- und
+  Geschäftsgeheimnisse und das Führen des Ausbildungsnachweises.
+- **Die Pflichten des Betriebs (§ 14 BBiG):** dir den Beruf planmäßig beibringen,
+  Ausbildungsmittel kostenlos stellen, dich zur Berufsschule freistellen, dir Zeit für das
+  Berichtsheft während der Arbeitszeit geben und es regelmäßig durchsehen. Und: dir nur
+  Aufgaben geben, die der Ausbildung dienen.
+- **Berufsschule ist Arbeitszeit.** Ein Berufsschultag mit mehr als fünf Unterrichtsstunden
+  wird einmal pro Woche als voller Ausbildungstag angerechnet. Danach musst du nicht mehr in
+  den Betrieb.
+- **Probezeit:** ein bis vier Monate. Danach kann der Betrieb nur noch aus wichtigem Grund
+  kündigen.
+- **Vergütung, Urlaub und Arbeitszeit** stehen im Vertrag. Ob zusätzlich ein Tarifvertrag
+  gilt, hängt davon ab, ob der Betrieb tarifgebunden ist oder der Vertrag darauf verweist –
+  frag nach, statt zu raten.
+- **Bei Problemen** sind Ausbilder, Betriebsrat bzw. Jugend- und Auszubildendenvertretung
+  und die Ausbildungsberatung der IHK die Ansprechpartner. In dieser Reihenfolge, aber nicht
+  zwingend.
+
+## Übersicht
+
+| Prüfungsteil | Zeitpunkt | Inhalt | Gewicht |
+|---|---|---|---|
+| Teil 1 | etwa nach 18 Monaten | Einrichten eines IT-gestützten Arbeitsplatzes (schriftlich, 90 Min.) | 20 % |
+| Teil 2 | Ende der Ausbildung | Betriebliches Projekt der Systemintegration mit Dokumentation, Präsentation und Fachgespräch | 50 % |
+| | | Konzeption und Administration von IT-Systemen (schriftlich) | 10 % |
+| | | Analyse und Entwicklung von Netzwerken (schriftlich) | 10 % |
+| | | Wirtschafts- und Sozialkunde (schriftlich) | 10 % |
+
+Teil 1 zählt also schon zur Endnote – er ist keine Zwischenprüfung zum Üben.
+
+## Prüfungsfrage
+
+**Frage:** Ein Auszubildender wird nach der Probezeit regelmäßig zum Brötchenholen und
+Autowaschen eingeteilt. Beurteilen Sie die Situation und nennen Sie zwei Wege, wie er
+reagieren kann.
+
+**Antwort:** Nach § 14 BBiG dürfen Auszubildenden nur Aufgaben übertragen werden, die dem
+Ausbildungszweck dienen und ihren körperlichen Kräften angemessen sind. Regelmäßige
+ausbildungsfremde Tätigkeiten sind damit unzulässig; gelegentliche Gefälligkeiten, die alle
+im Team gleichermaßen übernehmen, sind dagegen kein Verstoß. Der Auszubildende kann
+(1) das Gespräch mit dem Ausbilder suchen und die Tätigkeiten im Berichtsheft wahrheitsgemäß
+eintragen, (2) sich an Betriebsrat oder Jugend- und Auszubildendenvertretung wenden oder
+(3) die Ausbildungsberatung der zuständigen Kammer einschalten.
@@ -0,0 +1,59 @@
+---
+id: A5
+titel: Den Betrieb verstehen – Aufbau, Abläufe, Ansprechpartner
+block: arbeitsalltag
+woche: 5
+worum: Die IT ist für die anderen da. Wer nicht weiß, was eine Abteilung tut und wann es dort brennt, setzt die falschen Prioritäten.
+rahmenplan: [C2, A1]
+lernfeld: LF1
+merksatz: Das Organigramm sagt, wer entscheidet. Die Abläufe sagen, wer leidet, wenn etwas ausfällt.
+karten:
+  - frage: Was ist der Unterschied zwischen Aufbau- und Ablauforganisation?
+    antwort: Die Aufbauorganisation legt fest, wer wo steht – Abteilungen, Stellen, Weisungswege, sichtbar im Organigramm. Die Ablauforganisation legt fest, wie die Arbeit fließt – Reihenfolge, Zuständigkeiten und Übergaben in einem Prozess.
+  - frage: Warum ist die IT in den meisten Betrieben ein Unterstützungsprozess?
+    antwort: Weil sie nicht selbst das verkauft, womit der Betrieb sein Geld verdient, sondern die Kernprozesse – Fertigung, Vertrieb, Verwaltung – am Laufen hält. Ihre Kunden sind die anderen Abteilungen.
+  - frage: Ab wann kann in einem Betrieb eine Jugend- und Auszubildendenvertretung gewählt werden?
+    antwort: Wenn es einen Betriebsrat gibt und in der Regel mindestens fünf Beschäftigte unter 18 Jahren oder Auszubildende unter 25 Jahren dort arbeiten.
+---
+
+## Das Wesentliche
+
+- **Aufbauorganisation** – wer wo steht. Das Organigramm zeigt Abteilungen, Stellen und
+  Weisungswege. Es beantwortet die Frage: Wer darf das entscheiden?
+- **Ablauforganisation** – wie die Arbeit fließt. Ein Auftrag geht vom Vertrieb über die
+  Arbeitsvorbereitung in die Fertigung und zum Versand. Jede Übergabe ist eine Stelle, an
+  der IT gebraucht wird – und an der ein Ausfall auffällt.
+- **Kernprozesse und Unterstützungsprozesse.** Kernprozesse bringen das Geld herein.
+  Die IT gehört fast immer zu den Unterstützungsprozessen: Ihre Kunden sitzen im selben Haus.
+- **Linie, Stab, Matrix.** In der Linie hat jeder genau einen Vorgesetzten. Eine Stabsstelle
+  berät, entscheidet aber nicht (etwa der Datenschutz). In der Matrix gibt es zwei Richtungen
+  der Weisung, zum Beispiel Abteilung und Projekt.
+- **Die Rechtsform** sagt, wer haftet und wer unterschreiben darf. In einer GmbH haftet die
+  Gesellschaft mit ihrem Vermögen; die Geschäftsführung vertritt sie nach außen.
+- **Mitbestimmung:** Ab fünf ständig Beschäftigten kann ein Betriebsrat gewählt werden. Er
+  redet unter anderem mit, wenn Technik eingeführt wird, die Leistung oder Verhalten
+  überwachen kann – und das ist bei fast jeder neuen Software der Fall.
+- **Für die IT zählt vor allem:** Wann wird wo gearbeitet, was darf wann nicht ausfallen, und
+  wer ist der Ansprechpartner, der für die Abteilung sprechen darf.
+
+## Übersicht
+
+| Frage an eine Abteilung | Warum die IT das wissen muss |
+|---|---|
+| Was ist euer wichtigstes Programm? | Bestimmt, was bei einer Störung zuerst wiederhergestellt wird |
+| Wann darf nichts ausfallen? | Wartungsfenster legt man nicht auf den Monatsabschluss der Buchhaltung |
+| Wer spricht für euch? | Änderungen werden mit einer Person abgestimmt, nicht mit allen |
+| Mit wem tauscht ihr Daten aus? | Schnittstellen sind die häufigste Fehlerquelle nach Updates |
+| Was nervt euch an der IT? | Die ehrlichste Liste für Verbesserungen, die es gibt |
+
+## Prüfungsfrage
+
+**Frage:** Die IT-Abteilung soll eine neue Software zur Zeiterfassung einführen. Welche
+Stellen im Betrieb müssen Sie vor der Einführung einbeziehen, und warum?
+
+**Antwort:** (1) Die Geschäftsführung bzw. die verantwortliche Führungskraft, weil sie über
+Einführung und Budget entscheidet. (2) Den Betriebsrat, weil eine Zeiterfassung geeignet
+ist, Verhalten oder Leistung zu überwachen; er hat dabei ein Mitbestimmungsrecht nach § 87
+Abs. 1 Nr. 6 BetrVG. (3) Den Datenschutzbeauftragten, weil personenbezogene Daten verarbeitet
+werden. (4) Die Personalabteilung bzw. Lohnbuchhaltung als fachlich verantwortliche Stelle,
+die mit den Daten arbeitet und die Schnittstelle zur Abrechnung kennt.
@@ -0,0 +1,57 @@
+---
+id: A6
+titel: Digital zusammenarbeiten – der richtige Kanal, der richtige Ort
+block: arbeitsalltag
+woche: 5
+worum: Chat, E-Mail, Ticket, Wiki – jedes Werkzeug ist für etwas anderes gut. Wer alles überall bespricht, findet nichts wieder.
+rahmenplan: [C5, A5]
+lernfeld: LF1
+merksatz: Aufträge ins Ticket, Wissen ins Wiki, Absprachen in den Chat – und was zählt, schriftlich.
+karten:
+  - frage: Wohin gehört eine Absprache, die in drei Monaten noch nachvollziehbar sein muss – Chat, E-Mail oder Ticket?
+    antwort: Ins Ticket, wenn sie zu einem Auftrag gehört, sonst in die gemeinsame Dokumentation. Chats sind für schnelle Abstimmung gedacht und lassen sich später kaum noch durchsuchen.
+  - frage: Was gehört in ein Besprechungsprotokoll, damit es etwas nützt?
+    antwort: Die getroffenen Entscheidungen und die vereinbarten Aufgaben mit Verantwortlichem und Termin. Wer was gesagt hat, ist meist entbehrlich.
+  - frage: Warum schickt man einen Link auf die Datei statt die Datei als Anhang?
+    antwort: Weil sonst mehrere Fassungen entstehen und niemand mehr weiß, welche gilt. Der Link zeigt immer auf den aktuellen Stand und unterliegt den Zugriffsrechten der Ablage.
+---
+
+## Das Wesentliche
+
+- **Den Kanal nach dem Zweck wählen, nicht nach der Gewohnheit.** Eine Frage, die in zwei
+  Minuten geklärt ist, gehört nicht in eine E-Mail mit fünf Empfängern – und eine Zusage an
+  einen Kunden nicht in den Chat.
+- **Ein Ort der Wahrheit.** Jede Information hat genau einen Ablageort. Kopien per Mail,
+  auf dem Desktop oder im privaten Ordner sind am nächsten Tag veraltet.
+- **Dateinamen, die sich sortieren:** `2026-10-05_Netzplan_Halle2_v3.pdf` statt
+  `Netzplan neu final(2).pdf`. Das Datum vorn in der Form JJJJ-MM-TT ordnet sich von selbst.
+- **Besprechungen** haben eine Tagesordnung vorher und ein Protokoll danach. Im Protokoll
+  stehen Entscheidungen und Aufgaben – wer, was, bis wann.
+- **Was nicht in den Chat gehört:** Passwörter, personenbezogene Daten von Kunden oder
+  Kollegen, Kundendaten aus Tickets. Chats werden mitgelesen, weitergeleitet und abfotografiert.
+- **Erreichbarkeit ehrlich halten.** Status setzen, Abwesenheit eintragen, Vertretung nennen.
+  Wer nicht antwortet, ist für die anderen ein ungelöstes Ticket.
+- **Videokonferenz:** Kamera an, wenn es um Abstimmung geht; Mikrofon aus, wenn man nicht
+  spricht; Bildschirm teilen nur mit geschlossenen privaten Fenstern.
+
+## Übersicht
+
+| Anliegen | Kanal | Warum |
+|---|---|---|
+| Störung oder Auftrag | Ticket | Nachvollziehbar, zuweisbar, messbar |
+| Kurze Rückfrage an einen Kollegen | Chat | Schnell, wird nicht aufbewahrt |
+| Zusage, Angebot, Absprache mit Externen | E-Mail | Nachweisbar und an einen Empfänger gerichtet |
+| Eskalation, Konflikt, eilige Störung | Telefon oder persönlich | Tonfall und sofortige Rückfrage |
+| Anleitung, Konfiguration, Netzplan | Wiki bzw. gemeinsame Dokumentation | Auffindbar für alle, auch in zwei Jahren |
+
+## Prüfungsfrage
+
+**Frage:** In Ihrem Team werden Konfigurationsänderungen bisher per Chat angekündigt und
+dort besprochen. Bewerten Sie dieses Vorgehen und schlagen Sie eine Verbesserung vor.
+
+**Antwort:** Der Chat eignet sich für die schnelle Abstimmung, nicht als Nachweis. Ankündigungen
+gehen in anderen Nachrichten unter, sind später schwer auffindbar und enthalten weder
+Begründung noch Rückfallplan in fester Form. Besser ist eine Änderungsanfrage im
+Ticketsystem mit Beschreibung, Zeitpunkt, betroffenen Systemen, Rückfallplan und
+Freigabe; der Chat dient dann nur noch als Hinweis mit Link auf das Ticket. Nach der Änderung
+wird die Dokumentation im Wiki aktualisiert.
@@ -0,0 +1,63 @@
+---
+id: A7
+titel: Anforderungen aufnehmen – Lastenheft und Pflichtenheft
+block: arbeitsalltag
+woche: 12
+worum: Die meisten Projekte scheitern nicht an der Technik, sondern daran, dass Auftraggeber und IT unter derselben Anforderung etwas anderes verstanden haben.
+rahmenplan: [A2, A1, B1]
+lernfeld: LF2
+merksatz: Das Lastenheft sagt, was und wofür – vom Kunden. Das Pflichtenheft sagt, wie und womit – von der IT. Beides wird unterschrieben.
+karten:
+  - frage: Was ist der Unterschied zwischen Lastenheft und Pflichtenheft?
+    antwort: Das Lastenheft beschreibt der Auftraggeber – was er braucht und wofür. Das Pflichtenheft schreibt der Auftragnehmer – wie und womit er diese Anforderungen umsetzt. Das Pflichtenheft ist die Antwort auf das Lastenheft.
+  - frage: Woran erkennt man eine gut formulierte Anforderung?
+    antwort: Sie ist eindeutig, überprüfbar und begründet. „Das Notebook soll schnell sein" ist keine Anforderung; „Das Notebook startet die Warenwirtschaft in unter zehn Sekunden" schon.
+  - frage: Was unterscheidet Muss-, Soll- und Kann-Anforderungen?
+    antwort: Muss-Anforderungen sind unverzichtbar, ohne sie ist die Lösung unbrauchbar. Soll-Anforderungen sind wichtig, aber verhandelbar. Kann-Anforderungen sind wünschenswert, wenn Zeit und Budget es hergeben.
+---
+
+## Das Wesentliche
+
+- **Erst verstehen, dann anbieten.** Im ersten Gespräch geht es nicht um Geräte, sondern um
+  die Arbeit: Was soll damit getan werden, von wem, wo, wie lange, mit welchen anderen
+  Systemen?
+- **Offene Fragen stellen:** „Wie läuft ein typischer Arbeitstag ab?" statt „Brauchen Sie
+  16 GB?". Wer nach Technik fragt, bekommt die Technik genannt, die der Kunde kennt.
+- **Das Lastenheft** kommt vom Auftraggeber: Ausgangslage, Ziel, Anforderungen,
+  Rahmenbedingungen (Budget, Termin, Vorgaben). In kleinen Aufträgen schreibt es oft die IT
+  mit – dann lässt man es vom Kunden bestätigen.
+- **Das Pflichtenheft** kommt vom Auftragnehmer: wie die Anforderungen umgesetzt werden, mit
+  welcher Hard- und Software, in welchen Schritten, mit welchem Ergebnis.
+- **Anforderungen müssen prüfbar sein.** Jede Anforderung sollte man am Ende mit Ja oder
+  Nein abhaken können. Was sich nicht prüfen lässt, führt bei der Abnahme zum Streit.
+- **Muss, Soll, Kann** unterscheiden. Damit lässt sich verhandeln, wenn Budget oder Termin
+  nicht reichen, ohne dass das Wesentliche wegfällt.
+- **Nicht-funktionale Anforderungen** nicht vergessen: Verfügbarkeit, Datenschutz,
+  Lautstärke, Ergonomie, Barrierefreiheit, Supportzeiten.
+- **Schriftlich bestätigen lassen.** Eine mündliche Absprache ist nach drei Wochen eine
+  Erinnerung – nach drei Monaten eine Meinung.
+
+## Übersicht
+
+| Unklar | Prüfbar |
+|---|---|
+| Der Rechner soll schnell sein | Die CAD-Anwendung öffnet die Baugruppe X in unter 15 Sekunden |
+| Ausreichend Speicher | 512 GB SSD, davon mindestens 300 GB frei nach Einrichtung |
+| Leise | Unter 30 dB(A) im Leerlauf in 1 m Abstand |
+| Gute Akkulaufzeit | 8 Stunden Arbeit mit Office und Videokonferenz ohne Steckdose |
+| Sicher | Festplattenverschlüsselung, zweiter Faktor, Updates zentral verwaltet |
+
+## Prüfungsfrage
+
+**Frage:** Die Vertriebsleitung wünscht „neue, moderne Notebooks für den Außendienst".
+Welche Fragen stellen Sie, bevor Sie ein Angebot einholen? Nennen Sie fünf und begründen
+Sie zwei davon.
+
+**Antwort:** Fünf aus: (1) Welche Anwendungen werden unterwegs genutzt, auch ohne
+Internetverbindung? (2) Wie lange wird ohne Steckdose gearbeitet? (3) Wie oft und wie
+werden die Geräte transportiert – Robustheit, Gewicht? (4) Werden Videokonferenzen geführt –
+Kamera, Mikrofon, Mobilfunkmodul? (5) Welche Anschlüsse und Peripherie werden beim Kunden
+oder im Büro gebraucht? (6) Wie hoch ist das Budget, und bis wann werden die Geräte gebraucht?
+(7) Welche Daten werden gespeichert – Verschlüsselung, Datenschutz? Begründungen etwa:
+Die Akkulaufzeit bestimmt die Geräteklasse und schließt viele Modelle von vornherein aus.
+Der Termin entscheidet, ob nur sofort lieferbare Geräte infrage kommen.
@@ -0,0 +1,65 @@
+---
+id: A8
+titel: Angebote einholen und rechnen – vom Listenpreis zum Bezugspreis
+block: arbeitsalltag
+woche: 12
+worum: Der niedrigste Listenpreis ist nicht das günstigste Angebot. Erst Rabatt, Skonto und Bezugskosten ergeben den Preis, den der Betrieb tatsächlich zahlt.
+rahmenplan: [A3, A2, A7]
+lernfeld: LF2
+merksatz: Listenpreis minus Rabatt minus Skonto plus Bezugskosten. Netto vergleichen, Bedingungen gleich machen.
+karten:
+  - frage: Wie lautet das Schema der Bezugskalkulation?
+    antwort: Listeneinkaufspreis minus Liefererrabatt ergibt den Zieleinkaufspreis, minus Liefererskonto den Bareinkaufspreis, plus Bezugskosten den Bezugspreis.
+  - frage: Ist ein Angebot verbindlich, eine Anfrage aber nicht?
+    antwort: Ja. Eine Anfrage verpflichtet zu nichts. Ein Angebot bindet den Anbieter, es sei denn, er schränkt es ausdrücklich ein, etwa mit „freibleibend" oder „solange Vorrat reicht". Nimmt der Kunde es rechtzeitig an, ist der Vertrag geschlossen.
+  - frage: Warum vergleicht man Angebote für den Betrieb netto, also ohne Umsatzsteuer?
+    antwort: Weil ein vorsteuerabzugsberechtigter Betrieb die Umsatzsteuer vom Finanzamt zurückbekommt. Seine tatsächlichen Kosten sind die Nettopreise.
+---
+
+## Das Wesentliche
+
+- **Mindestens drei Angebote** einholen, mit **derselben Anfrage**: gleiche Menge, gleiche
+  Anforderungen, gleicher Liefertermin. Sonst vergleicht man Äpfel mit Birnen.
+- **Anfrage, Angebot, Bestellung:** Die Anfrage ist unverbindlich. Das Angebot bindet den
+  Anbieter, außer es ist ausdrücklich eingeschränkt. Die rechtzeitige Bestellung auf ein
+  Angebot ist die Annahme – damit ist der Kaufvertrag geschlossen.
+- **Die Bezugskalkulation** macht Angebote vergleichbar:
+  Listeneinkaufspreis − **Rabatt** = Zieleinkaufspreis − **Skonto** = Bareinkaufspreis +
+  **Bezugskosten** (Versand, Verpackung, Zoll) = **Bezugspreis**.
+- **Rabatt** ist ein Preisnachlass, etwa für Menge oder Stammkunden. **Skonto** ist ein Nachlass
+  für schnelle Zahlung innerhalb einer Frist – er zählt nur, wenn die Buchhaltung die Frist
+  auch einhält.
+- **Netto vergleichen.** Der Betrieb kann die Umsatzsteuer als Vorsteuer abziehen; seine
+  Kosten sind die Nettobeträge.
+- **Der Preis ist nicht alles.** Lieferzeit, Garantie, Service vor Ort, Verfügbarkeit von
+  Ersatzteilen gehören in eine Nutzwertanalyse (Handout H3). Die Bezugskalkulation liefert
+  dafür das Kriterium Preis.
+- **Nachfragen ist erlaubt.** Wer zwei gute Angebote hat, kann beide Anbieter um ihr bestes
+  Angebot bitten. Das ist üblich und kein schlechter Stil.
+
+## Übersicht
+
+Fünf gleiche Arbeitsplatzrechner, Preise netto:
+
+| | Angebot A | Angebot B | Angebot C |
+|---|---|---|---|
+| Listeneinkaufspreis (5 × Stückpreis) | 4.495,00 € | 4.245,00 € | 4.395,00 € |
+| − Rabatt | 10 % = 449,50 € | – | 5 % = 219,75 € |
+| = Zieleinkaufspreis | 4.045,50 € | 4.245,00 € | 4.175,25 € |
+| − Skonto | 2 % = 80,91 € | 3 % = 127,35 € | – |
+| = Bareinkaufspreis | 3.964,59 € | 4.117,65 € | 4.175,25 € |
+| + Bezugskosten | 25,00 € | – | 40,00 € |
+| **= Bezugspreis** | **3.989,59 €** | **4.117,65 €** | **4.215,25 €** |
+
+Angebot B hat den niedrigsten Stückpreis, Angebot A den niedrigsten Bezugspreis.
+
+## Prüfungsfrage
+
+**Frage:** Ein Händler bietet einen Switch zum Listenpreis von 1.200,00 € netto an, gewährt
+15 % Rabatt und 2 % Skonto bei Zahlung innerhalb von zehn Tagen; der Versand kostet 18,00 €.
+Berechnen Sie den Bezugspreis.
+
+**Antwort:** Listeneinkaufspreis 1.200,00 € − 15 % Rabatt (180,00 €) = Zieleinkaufspreis
+1.020,00 € − 2 % Skonto (20,40 €) = Bareinkaufspreis 999,60 € + Bezugskosten 18,00 € =
+**Bezugspreis 1.017,60 €** netto. Der Skonto wird vom Zieleinkaufspreis berechnet, nicht vom
+Listenpreis, und nur dann abgezogen, wenn innerhalb der Frist gezahlt wird.
@@ -0,0 +1,67 @@
+---
+id: A9
+titel: Vertrag, Abnahme und Gewährleistung
+block: arbeitsalltag
+woche: 12
+worum: Ob eine Leistung als Kauf, Werk oder Dienst vereinbart ist, entscheidet, was geschuldet ist, wann bezahlt wird und was passiert, wenn etwas nicht funktioniert.
+rahmenplan: [A7, A2, C1]
+lernfeld: LF6
+merksatz: Kauf schuldet die Sache, Werk den Erfolg, Dienst die Tätigkeit. Ohne Abnahme kein Werk erledigt.
+karten:
+  - frage: Was unterscheidet einen Werkvertrag von einem Dienstvertrag?
+    antwort: Beim Werkvertrag wird ein Erfolg geschuldet, etwa ein funktionierendes Netzwerk; bezahlt wird nach der Abnahme. Beim Dienstvertrag wird eine Tätigkeit geschuldet, etwa Support nach Stunden – auch wenn das Problem am Ende nicht gelöst ist.
+  - frage: Was ist der Unterschied zwischen Gewährleistung und Garantie?
+    antwort: Die Gewährleistung ist gesetzlich vorgeschrieben – der Verkäufer haftet für Mängel, die bei Übergabe vorhanden waren, bei neuen Sachen in der Regel zwei Jahre. Die Garantie ist ein freiwilliges Versprechen des Herstellers oder Händlers mit selbst festgelegten Bedingungen.
+  - frage: Welche Bedeutung hat die Abnahme bei einem Werkvertrag?
+    antwort: Mit der Abnahme bestätigt der Auftraggeber, dass das Werk im Wesentlichen vertragsgemäß ist. Ab dann wird die Vergütung fällig, die Frist für Mängelansprüche beginnt, und die Gefahr geht auf den Auftraggeber über.
+  - frage: Wie viele Stunden Ausfall im Jahr erlaubt eine vereinbarte Verfügbarkeit von 99,9 Prozent?
+    antwort: Rund 8,8 Stunden – 0,1 Prozent von 8.760 Stunden im Jahr. Auf einen Monat gerechnet sind das etwa 43 Minuten.
+---
+
+## Das Wesentliche
+
+- **Kaufvertrag:** Der Verkäufer schuldet eine mangelfreie Sache und das Eigentum daran, der
+  Käufer den Preis. Typisch: Hardware, Lizenzen.
+- **Werkvertrag:** Der Auftragnehmer schuldet einen **Erfolg** – ein eingerichtetes Netzwerk,
+  eine migrierte Datenbank. Bezahlt wird nach der **Abnahme**.
+- **Dienstvertrag:** Geschuldet ist die **Tätigkeit**, nicht der Erfolg – Support nach
+  Stunden, Beratung, Schulung.
+- **Die Abnahme** hat Folgen: Die Vergütung wird fällig, die Frist für Mängelansprüche beginnt
+  zu laufen, und das Risiko geht auf den Auftraggeber über. Deshalb mit Protokoll, Datum,
+  Unterschrift und einer Liste der Restmängel.
+- **Gewährleistung** ist gesetzlich: Der Verkäufer haftet für Mängel, die bei Übergabe schon
+  bestanden. Zuerst hat er das Recht nachzubessern oder neu zu liefern. Erst wenn das
+  scheitert, kommen Rücktritt, Minderung oder Schadensersatz infrage.
+- **Garantie** ist freiwillig und gilt zusätzlich, zu den Bedingungen des Garantiegebers.
+- **Unter Kaufleuten** gilt die Rügepflicht: Ware unverzüglich nach Lieferung prüfen und
+  Mängel sofort melden. Wer den Karton drei Wochen ungeöffnet stehen lässt, kann offensichtliche
+  Mängel danach unter Umständen nicht mehr geltend machen.
+- **Wartungsverträge und SLAs** legen Reaktionszeiten, Wiederherstellungszeiten und
+  Verfügbarkeit fest. 99,9 Prozent Verfügbarkeit klingen nach „immer" – und erlauben knapp
+  neun Stunden Ausfall im Jahr.
+
+## Übersicht
+
+| Vertragsart | Geschuldet | Beispiel aus der IT | Bezahlt wird |
+|---|---|---|---|
+| Kaufvertrag | Sache und Eigentum | Zehn Notebooks | bei Lieferung bzw. nach Rechnung |
+| Werkvertrag | Erfolg | Netzwerk einrichten, Server migrieren | nach der Abnahme |
+| Dienstvertrag | Tätigkeit | Support nach Stunden, Schulung | nach Aufwand |
+| Mietvertrag / Leasing | Gebrauch auf Zeit | Drucker mit Wartung, Leasing-Notebooks | laufend |
+
+## Prüfungsfrage
+
+**Frage:** Ihr Betrieb hat für einen Kunden ein WLAN eingerichtet. Bei der Abnahme stellt der
+Kunde fest, dass im Besprechungsraum der Empfang schwach ist; alles andere funktioniert.
+Wie gehen Sie vor, und welche Folgen hat die Abnahme?
+
+**Antwort:** Die Einrichtung ist ein Werkvertrag; der Kunde schuldet die Abnahme, wenn das
+Werk im Wesentlichen vertragsgemäß ist, und kann sie wegen unwesentlicher Mängel nicht
+verweigern. Vorgehen: Den Mangel im Abnahmeprotokoll festhalten, mit Beschreibung und einer
+Frist zur Behebung, etwa durch einen zusätzlichen Access Point oder eine Anpassung der
+Kanäle. Beide Seiten unterschreiben das Protokoll mit dem Vorbehalt dieses Mangels. Folgen
+der Abnahme: Die Vergütung wird fällig (ein Teil kann bis zur Behebung zurückgehalten
+werden), die Verjährungsfrist für Mängelansprüche beginnt, und die Gefahr geht auf den
+Kunden über. War vertraglich eine bestimmte Abdeckung im Besprechungsraum vereinbart,
+handelt es sich nicht um einen unwesentlichen Mangel – dann kann der Kunde die Abnahme
+verweigern. Deshalb gehören prüfbare Anforderungen ins Pflichtenheft.
@@ -0,0 +1,60 @@
+---
+id: I1
+titel: Schutzziele und Schutzbedarf – was ist wie viel wert?
+block: sicherheit
+woche: 6
+worum: Nicht alles muss gleich gut geschützt werden. Die Schutzbedarfsfeststellung sagt, wo sich Aufwand lohnt – und begründet ihn.
+rahmenplan: [A6]
+lernfeld: LF4
+merksatz: Erst fragen, was passiert, wenn es schiefgeht. Dann entscheiden, wie viel Schutz es braucht.
+karten:
+  - frage: Welche drei Schutzziele kennt die Informationssicherheit, und was bedeuten sie?
+    antwort: Vertraulichkeit – nur Befugte sehen die Daten. Integrität – die Daten sind vollständig und unverfälscht. Verfügbarkeit – Daten und Systeme stehen bereit, wenn sie gebraucht werden.
+  - frage: Welche drei Schutzbedarfskategorien unterscheidet der IT-Grundschutz des BSI?
+    antwort: Normal – die Schadensauswirkungen sind begrenzt und überschaubar. Hoch – sie können beträchtlich sein. Sehr hoch – sie können existenzbedrohend oder katastrophal sein.
+  - frage: Was besagt das Maximumprinzip bei der Schutzbedarfsfeststellung?
+    antwort: Ein IT-System erbt den höchsten Schutzbedarf aller Anwendungen, die darauf laufen. Läuft eine Anwendung mit hohem Bedarf auf einem Server, hat der Server mindestens hohen Bedarf.
+---
+
+## Das Wesentliche
+
+- **Drei Schutzziele:** Vertraulichkeit, Integrität, Verfügbarkeit. Jede Sicherheitsmaßnahme
+  dient mindestens einem davon. Oft kommt Authentizität hinzu: Man weiß sicher, von wem
+  etwas stammt.
+- **Schutzbedarf ergibt sich aus dem möglichen Schaden**, nicht aus der Technik. Die Frage
+  lautet: Was passiert, wenn diese Information bekannt wird, verfälscht wird oder ausfällt?
+- **Drei Kategorien:** normal, hoch, sehr hoch. Bewertet wird **je Schutzziel** – die
+  Lohnabrechnung hat einen sehr hohen Bedarf an Vertraulichkeit, aber nicht zwingend an
+  Verfügbarkeit in der Stunde.
+- **Sechs Schadensszenarien** helfen beim Einordnen: Verstoß gegen Gesetze oder Verträge,
+  Verletzung von Persönlichkeitsrechten, Gefahr für Leib und Leben, Beeinträchtigung der
+  Aufgabenerfüllung, Ansehensverlust, finanzielle Folgen.
+- **Von oben nach unten:** Erst die Geschäftsprozesse und Informationen bewerten, dann die
+  Anwendungen, dann die IT-Systeme, Räume und Verbindungen, auf denen sie liegen.
+- **Vererbung:** Ein System übernimmt den höchsten Bedarf seiner Anwendungen
+  (Maximumprinzip). Viele kleine Schäden auf einem System können zusammen einen höheren
+  Bedarf ergeben (Kumulationseffekt). Ist eine Anwendung auf mehrere Systeme verteilt,
+  kann der Bedarf des einzelnen Systems niedriger liegen (Verteilungseffekt).
+- **Jede Einstufung braucht eine Begründung.** „Hoch, weil wichtig" ist keine.
+
+## Übersicht
+
+| Kategorie | Bedeutung | Beispiel Verfügbarkeit |
+|---|---|---|
+| normal | begrenzte, überschaubare Auswirkungen | Ausfall des Intranets für einen Tag ist lästig, aber verkraftbar |
+| hoch | beträchtliche Auswirkungen | Ausfall der Warenwirtschaft für einen Tag stoppt Versand und Rechnungen |
+| sehr hoch | existenzbedrohende oder katastrophale Auswirkungen | Ausfall der Produktionssteuerung über Tage mit Vertragsstrafen |
+
+## Prüfungsfrage
+
+**Frage:** Auf einem Server laufen der Dateidienst der Verwaltung (Schutzbedarf
+Vertraulichkeit: normal) und die Personaldatenbank (Vertraulichkeit: sehr hoch). Welchen
+Schutzbedarf hat der Server hinsichtlich der Vertraulichkeit? Begründen Sie und nennen Sie
+eine Alternative.
+
+**Antwort:** Nach dem Maximumprinzip übernimmt der Server den höchsten Schutzbedarf der
+darauf betriebenen Anwendungen, hier also „sehr hoch" für die Vertraulichkeit. Damit
+müssen auch für den Dateidienst die strengeren Maßnahmen gelten – etwa beim Zugriff von
+Administratoren und bei der Sicherung. Alternativ lässt sich die Personaldatenbank auf ein
+eigenes System auslagern; dann kann der Dateiserver mit normalem Schutzbedarf betrieben
+werden, und der hohe Aufwand beschränkt sich auf das System, das ihn wirklich braucht.
@@ -0,0 +1,61 @@
+---
+id: I2
+titel: Konten schützen – Passwörter, zweiter Faktor, Phishing
+block: sicherheit
+woche: 6
+worum: Die meisten Angriffe beginnen nicht mit einer Sicherheitslücke, sondern mit einem Konto, das sich jemand ausgeliehen hat.
+rahmenplan: [A6, B3]
+lernfeld: LF4
+merksatz: Lang statt kompliziert, für jedes Konto ein eigenes, und wo es geht ein zweiter Faktor.
+karten:
+  - frage: Was macht ein Passwort sicher – Länge oder Sonderzeichen?
+    antwort: Vor allem die Länge und dass es nirgends sonst verwendet wird. Eine lange Passphrase aus mehreren Wörtern ist stärker und besser zu merken als ein kurzes Passwort mit Sonderzeichen.
+  - frage: Aus welchen drei Arten von Faktoren kann eine Anmeldung bestehen?
+    antwort: Wissen (Passwort, PIN), Besitz (Smartphone mit App, Sicherheitsschlüssel, Chipkarte) und Sein (Fingerabdruck, Gesicht). Zwei Faktoren müssen aus verschiedenen Arten stammen.
+  - frage: Warum arbeiten Administratoren im Alltag nicht mit ihrem Administratorkonto?
+    antwort: Weil jede Schadsoftware, die sie versehentlich starten, sonst mit vollen Rechten läuft. Für den Alltag dient ein normales Konto, das Administratorkonto nur für die Aufgabe, die es braucht.
+---
+
+## Das Wesentliche
+
+- **Länge schlägt Komplexität.** Eine Passphrase wie `Kaffee-Lager-Gabelstapler-Montag` ist
+  stärker als `K4ff33!` und lässt sich merken.
+- **Für jedes Konto ein eigenes Passwort.** Wird ein Dienst gehackt, probieren Angreifer die
+  erbeuteten Zugangsdaten überall sonst aus. Ein Passwortmanager macht das handhabbar.
+- **Kein Wechsel ohne Anlass.** Regelmäßiger Zwangswechsel führt zu `Sommer2026!`,
+  `Herbst2026!`. Gewechselt wird, wenn ein Verdacht besteht – dann aber sofort.
+- **Zweiter Faktor:** Ein gestohlenes Passwort allein reicht dann nicht mehr. Pflicht für
+  E-Mail, Fernzugang und alle Administratorkonten.
+- **Getrennte Konten für Verwaltungsaufgaben.** Surfen und Mails lesen mit dem normalen
+  Konto, administrieren mit dem Administratorkonto – und nur dafür.
+- **Phishing erkennen:** Zeitdruck, ungewöhnlicher Absender, Link-Ziel passt nicht zum
+  Absender, Aufforderung zur Anmeldung oder Zahlung. Vor dem Klick auf den Link zeigen und
+  die Adresse lesen.
+- **Wer geklickt hat, meldet es sofort.** Nicht schämen, nicht löschen, nicht abwarten. Je
+  früher die IT Bescheid weiß, desto kleiner der Schaden.
+- **Bildschirm sperren**, sobald man den Platz verlässt: Windows-Taste + L.
+
+## Übersicht
+
+| Merkmal einer Phishing-Mail | Beispiel |
+|---|---|
+| Druck und Dringlichkeit | „Ihr Konto wird in 24 Stunden gesperrt" |
+| Absender passt nicht | `support@micros0ft-konto.net` |
+| Link-Ziel weicht ab | Text zeigt `microsoft.com`, Ziel ist eine fremde Adresse |
+| Ungewöhnliche Bitte | Gutscheine kaufen, Kontodaten ändern, Anhang „aktivieren" |
+| Allgemeine Anrede | „Sehr geehrter Kunde" statt des Namens |
+
+## Prüfungsfrage
+
+**Frage:** Eine Mitarbeiterin meldet, dass sie auf einen Link in einer verdächtigen Mail
+geklickt und dort ihr Passwort eingegeben hat. Beschreiben Sie Ihr Vorgehen in der
+richtigen Reihenfolge.
+
+**Antwort:** (1) Sofort das Passwort des betroffenen Kontos ändern und bestehende
+Anmeldesitzungen beenden, damit der Angreifer den Zugang nicht mehr nutzen kann. (2) Prüfen,
+ob der zweite Faktor aktiv ist und ob seit dem Klick ungewöhnliche Anmeldungen,
+Weiterleitungsregeln oder versendete Mails auftreten. (3) Die Mail sichern und andere
+Empfänger warnen bzw. die Mail aus deren Postfächern entfernen. (4) Den Rechner auf
+Schadsoftware prüfen, falls zusätzlich etwas heruntergeladen wurde. (5) Den Vorfall
+dokumentieren und an die Verantwortlichen für Informationssicherheit und Datenschutz
+melden – bei Zugriff auf personenbezogene Daten kann eine Meldepflicht bestehen.
@@ -0,0 +1,64 @@
+---
+id: I3
+titel: Datenschutz in der IT – was du sehen kannst und was du anschauen darfst
+block: sicherheit
+woche: 6
+worum: In der IT hat man Zugriff auf fast alles. Die DSGVO regelt, was man damit tun darf – und das ist deutlich weniger.
+rahmenplan: [A6, C1]
+lernfeld: LF4
+merksatz: Zugriff ist kein Anlass. Hineingeschaut wird nur, wenn der Auftrag es verlangt.
+karten:
+  - frage: Was sind personenbezogene Daten?
+    antwort: Alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen – Name, E-Mail-Adresse, Personalnummer, IP-Adresse, Standortdaten, aber auch ein Foto oder eine Stimmaufnahme.
+  - frage: Innerhalb welcher Frist muss eine Datenschutzverletzung der Aufsichtsbehörde gemeldet werden?
+    antwort: Innerhalb von 72 Stunden, nachdem sie bekannt geworden ist – es sei denn, sie führt voraussichtlich zu keinem Risiko für die Betroffenen. Melden muss der Betrieb; du meldest intern sofort.
+  - frage: Was bedeutet Datenminimierung?
+    antwort: Es werden nur die Daten erhoben und gespeichert, die für den Zweck wirklich nötig sind – und gelöscht, sobald der Zweck erfüllt ist.
+---
+
+## Das Wesentliche
+
+- **Die DSGVO schützt Personen, nicht Daten.** Personenbezogen ist alles, was sich einer
+  bestimmten Person zuordnen lässt – auch eine IP-Adresse oder ein Kennzeichen.
+- **Besonders schützenswert** sind Gesundheitsdaten, religiöse und politische
+  Überzeugungen, Gewerkschaftszugehörigkeit, biometrische Daten und weitere. In der IT
+  begegnen sie dir in Krankmeldungen, Personalakten und Zutrittssystemen.
+- **Die Grundsätze:** rechtmäßig, zweckgebunden, so wenig wie nötig, richtig, nicht länger als
+  nötig gespeichert, sicher verarbeitet. Und der Betrieb muss nachweisen können, dass er sich
+  daran hält.
+- **Technische und organisatorische Maßnahmen (TOM):** Zugriffsrechte, Verschlüsselung,
+  Protokollierung, Datensicherung, Schulungen. Ein großer Teil davon ist IT-Arbeit.
+- **Als Administrator** siehst du Postfächer, Personalordner und Protokolle. Hineinschauen
+  darfst du nur, wenn ein Auftrag es erfordert – und dann nur so weit wie nötig. Was du
+  dabei siehst, bleibt bei dir.
+- **Eine Datenpanne** – verlorenes Notebook, falsch versendete Mail, offener Ordner – meldest
+  du sofort intern. Der Betrieb hat 72 Stunden für die Meldung an die Aufsichtsbehörde, und
+  die Uhr läuft ab dem Moment, in dem jemand im Betrieb davon weiß.
+- **Der Datenschutzbeauftragte** berät und kontrolliert. Er ist Pflicht, sobald in der Regel
+  mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener
+  Daten beschäftigt sind.
+
+## Übersicht
+
+| Situation | Richtig |
+|---|---|
+| Ein Kollege bittet dich, „mal kurz" ins Postfach seiner Chefin zu schauen | Ablehnen – Zugriff nur mit Auftrag der berechtigten Stelle |
+| Ein Notebook ist im Zug liegen geblieben | Sofort melden, Konto sperren, Verschlüsselung prüfen |
+| Du siehst beim Support eine Krankmeldung auf dem Bildschirm | Nicht lesen, nicht erwähnen, Fenster schließen lassen |
+| Alte Festplatten aus der Personalabteilung | Nachweisbar sicher löschen oder vernichten, Protokoll anlegen |
+| Testdaten für eine neue Software gesucht | Keine echten Personaldaten, sondern erfundene oder unkenntlich gemachte |
+
+## Prüfungsfrage
+
+**Frage:** Ein Außendienstmitarbeiter verliert ein Notebook mit Kundendaten. Die Festplatte
+ist mit BitLocker verschlüsselt. Muss der Vorfall der Aufsichtsbehörde gemeldet werden?
+Begründen Sie.
+
+**Antwort:** Grundsätzlich ist der Verlust eines Geräts mit personenbezogenen Daten eine
+Verletzung des Schutzes dieser Daten und binnen 72 Stunden zu melden. Eine Meldung kann
+entfallen, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Betroffenen
+führt. Das ist bei einer wirksamen, dem Stand der Technik entsprechenden Verschlüsselung
+regelmäßig der Fall – vorausgesetzt, das Gerät war ausgeschaltet oder gesperrt und der
+Schlüssel ist nicht mit verloren gegangen. Die Entscheidung trifft der Verantwortliche mit
+dem Datenschutzbeauftragten; der Vorfall wird in jedem Fall intern dokumentiert, und das
+Konto des Mitarbeiters wird vorsorglich gesperrt bzw. das Passwort geändert.
@@ -0,0 +1,64 @@
+---
+id: N5
+titel: VLANs und Trunks – ein Switch, mehrere Netze
+block: netzwerk
+woche: 11
+worum: Mit VLANs trennt man Netze, ohne neue Kabel zu ziehen. Der Preis ist, dass man an jedem Port wissen muss, welches Netz dort ankommt.
+rahmenplan: [B2, A6]
+lernfeld: LF9
+merksatz: Access-Port – ein VLAN, ohne Markierung. Trunk – viele VLANs, markiert. Und jedes VLAN hat sein eigenes Subnetz.
+karten:
+  - frage: Was ist der Unterschied zwischen einem Access-Port und einem Trunk-Port?
+    antwort: Ein Access-Port gehört zu genau einem VLAN und überträgt dessen Rahmen ohne Markierung – dort hängen Endgeräte. Ein Trunk-Port überträgt mehrere VLANs und markiert jeden Rahmen mit seiner VLAN-ID nach IEEE 802.1Q – damit verbindet man Switches, Router und Access Points.
+  - frage: Welche VLAN-IDs sind nutzbar, und warum meidet man VLAN 1?
+    antwort: Die IDs 1 bis 4094. VLAN 1 ist auf allen Ports ab Werk eingestellt und wird von vielen Geräten für Verwaltungsverkehr genutzt – wer es für Benutzer verwendet, landet schnell mit allem im selben Netz.
+  - frage: Warum braucht jedes VLAN ein eigenes Subnetz?
+    antwort: Weil die VLANs auf Schicht 2 getrennt sind und Verkehr zwischen ihnen über einen Router laufen muss. Der Router kann nur zwischen verschiedenen IP-Netzen vermitteln, und jedes VLAN braucht seine eigene Gateway-Adresse.
+---
+
+## Das Wesentliche
+
+- **Ein VLAN ist ein eigenes Netz auf Schicht 2.** Geräte in verschiedenen VLANs sehen sich
+  nicht, auch wenn sie am selben Switch hängen. Broadcasts bleiben im eigenen VLAN.
+- **Wozu trennen?** Sicherheit (Gäste, Produktion und Verwaltung kommen nicht aneinander),
+  Ordnung (Drucker, Telefone, Server je für sich), Begrenzung der Broadcasts.
+- **Access-Port:** genau ein VLAN, Rahmen ohne Markierung. Das Endgerät merkt von VLANs nichts.
+- **Trunk-Port:** mehrere VLANs über ein Kabel, jeder Rahmen trägt eine Markierung nach
+  **IEEE 802.1Q** mit der VLAN-ID. Zwischen Switches, zum Router oder zur Firewall und zu
+  Access Points mit mehreren Funknetzen.
+- **Natives VLAN:** Das eine VLAN, dessen Rahmen auf einem Trunk unmarkiert laufen. Muss an
+  beiden Enden gleich eingestellt sein, sonst landen Pakete im falschen Netz.
+- **Jedes VLAN hat ein eigenes Subnetz** und ein eigenes Gateway. Verkehr zwischen VLANs geht
+  über einen Router, eine Firewall oder einen Layer-3-Switch – und dort lässt er sich regeln.
+- **DHCP über VLAN-Grenzen:** Steht der DHCP-Server in einem anderen VLAN, braucht das Gateway
+  eine DHCP-Weiterleitung.
+- **Ungenutzte Ports** abschalten oder in ein VLAN ohne Verbindung legen, und VLAN 1 nicht für
+  Benutzer verwenden.
+- **Dokumentieren:** Welcher Port, welches VLAN, welches Gerät. Ohne diese Liste wird jede
+  Umsteckaktion zur Fehlersuche.
+
+## Übersicht
+
+| VLAN | Name | Subnetz | Gateway |
+|---|---|---|---|
+| 10 | Verwaltung | 10.10.10.0/24 | 10.10.10.1 |
+| 20 | Server | 10.10.20.0/24 | 10.10.20.1 |
+| 30 | Drucker | 10.10.30.0/24 | 10.10.30.1 |
+| 40 | Produktion | 10.10.40.0/24 | 10.10.40.1 |
+| 90 | Gäste | 10.10.90.0/24 | 10.10.90.1 |
+| 99 | Netzwerkverwaltung | 10.10.99.0/24 | 10.10.99.1 |
+
+Die VLAN-ID im dritten Oktett zu wiederholen, ist keine Pflicht, macht aber jede Adresse
+lesbar.
+
+## Prüfungsfrage
+
+**Frage:** Ein Access Point soll ein Funknetz für Mitarbeiter (VLAN 10) und eines für Gäste
+(VLAN 90) bereitstellen. Wie konfigurieren Sie den Switchport, an dem er hängt? Begründen Sie.
+
+**Antwort:** Der Port wird als Trunk konfiguriert, der VLAN 10 und VLAN 90 markiert
+überträgt; ggf. kommt das Verwaltungs-VLAN des Access Points hinzu, häufig als natives
+VLAN unmarkiert. Ein Access-Port ginge nicht, weil er nur ein einziges VLAN überträgt. Der
+Access Point ordnet jedem Funknetz die passende VLAN-ID zu, sodass Gäste-Datenverkehr
+markiert als VLAN 90 am Switch ankommt und von dort nur zum Gateway des Gästenetzes
+gelangt. Auf dem Trunk werden nur die benötigten VLANs zugelassen, nicht alle.
@@ -0,0 +1,67 @@
+---
+id: N6
+titel: Zwischen Netzen – Routing und Firewallregeln
+block: netzwerk
+woche: 11
+worum: Netze zu trennen ist leicht. Die Kunst ist, genau den Verkehr durchzulassen, der gebraucht wird, und zu wissen, welcher Weg genommen wird.
+rahmenplan: [B2, A6, A8]
+lernfeld: LF9
+merksatz: Die genaueste Route gewinnt. Regeln von oben nach unten, die erste passende entscheidet, am Ende ist alles verboten.
+karten:
+  - frage: Welche Route wählt ein Router, wenn mehrere Einträge auf ein Ziel passen?
+    antwort: Die genaueste, also die mit dem längsten Präfix. Für 10.10.30.7 gewinnt 10.10.30.0/24 gegen 10.10.0.0/16, und beide gewinnen gegen die Standardroute 0.0.0.0/0.
+  - frage: In welcher Reihenfolge werden Firewallregeln ausgewertet?
+    antwort: Von oben nach unten. Die erste Regel, auf die ein Paket passt, entscheidet; alle weiteren werden nicht mehr geprüft. Passt keine, greift die Grundregel am Ende – üblicherweise blockieren.
+  - frage: Was bedeutet, dass eine Firewall zustandsbehaftet arbeitet?
+    antwort: Sie merkt sich erlaubte Verbindungen und lässt die zugehörigen Antworten von selbst durch. Man muss deshalb nur die Richtung erlauben, in der die Verbindung aufgebaut wird.
+---
+
+## Das Wesentliche
+
+- **Eine Routingtabelle** sagt für jedes Zielnetz, wohin ein Paket als Nächstes geht:
+  Zielnetz, nächster Router (Next Hop) und Schnittstelle.
+- **Die genaueste Route gewinnt** (längstes Präfix). Passt nichts Genaueres, greift die
+  **Standardroute** `0.0.0.0/0` – meist Richtung Internet.
+- **Routen entstehen** von selbst für direkt angeschlossene Netze, statisch von Hand oder
+  dynamisch über Routingprotokolle. Im kleinen Betrieb reichen fast immer direkt
+  angeschlossene Netze und eine Standardroute.
+- **Zwischen VLANs** routet der Router, die Firewall oder ein Layer-3-Switch. Steht dort eine
+  Firewall, wird aus „getrennt" endlich „geregelt".
+- **Eine Firewallregel** besteht aus Quelle, Ziel, Dienst (Protokoll und Port) und Aktion.
+  Gute Regeln sind so eng wie möglich: nicht „Verwaltung darf ins Servernetz", sondern
+  „Verwaltung darf den Dateiserver über SMB".
+- **Von oben nach unten, erste Regel gewinnt.** Eine weite Erlaubnis oben macht jede Sperre
+  darunter wirkungslos. Spezielle Regeln nach oben, allgemeine nach unten.
+- **Grundregel blockieren.** Was nicht ausdrücklich erlaubt ist, ist verboten – nicht
+  umgekehrt.
+- **Zustandsbehaftet:** Antworten auf erlaubte Verbindungen kommen von selbst durch. Eine
+  zweite Regel für die Rückrichtung ist überflüssig und meist ein Zeichen dafür, dass jemand
+  das Prinzip nicht kannte.
+- **Jede Regel braucht eine Beschreibung** mit Zweck und Ticketnummer. Eine Regel, deren Zweck
+  niemand kennt, traut sich keiner zu löschen.
+
+## Übersicht
+
+| Nr. | Quelle | Ziel | Dienst | Aktion | Zweck |
+|---|---|---|---|---|---|
+| 1 | Gäste | Firewall (Gateway Gäste) | DNS | erlauben | Namensauflösung |
+| 2 | Gäste | alle internen Netze | alle | blockieren | Gäste bleiben draußen |
+| 3 | Gäste | beliebig | HTTP, HTTPS | erlauben | Internetzugang |
+| 4 | Verwaltung | Dateiserver | SMB | erlauben | Ablagen |
+| 5 | Verwaltung | Druckernetz | Druckdienst | erlauben | Drucken |
+| 6 | beliebig | beliebig | alle | blockieren | Grundregel |
+
+Regel 1 steht vor der Sperre, weil das Gateway der Gäste – hier 10.10.90.1 – selbst in einem
+internen Adressbereich liegt. Andersherum würde Regel 2 auch die Namensauflösung sperren.
+
+## Prüfungsfrage
+
+**Frage:** Ein Router hat folgende Einträge: `0.0.0.0/0 → 192.0.2.1`,
+`10.10.0.0/16 → 10.0.0.2`, `10.10.30.0/24 → 10.0.0.3`. Wohin leitet er Pakete an
+10.10.30.7, 10.10.40.5 und 8.8.8.8? Begründen Sie.
+
+**Antwort:** 10.10.30.7 passt auf alle drei Einträge; gewählt wird der genaueste,
+`10.10.30.0/24`, also an 10.0.0.3. 10.10.40.5 passt auf `10.10.0.0/16` und die
+Standardroute; der genauere Eintrag gewinnt, also an 10.0.0.2. 8.8.8.8 passt nur auf die
+Standardroute und geht an 192.0.2.1. Maßgeblich ist jeweils die Präfixlänge, nicht die
+Reihenfolge der Einträge in der Tabelle.
@@ -0,0 +1,61 @@
+---
+id: N7
+titel: WLAN im Betrieb – Frequenzen, Verschlüsselung, Gästenetz
+block: netzwerk
+woche: 11
+worum: Ein Funknetz, das zu Hause genügt, genügt im Betrieb selten. Entscheidend sind Ausleuchtung, getrennte Netze und Zugangsdaten, die man einer einzelnen Person wieder wegnehmen kann.
+rahmenplan: [B2, A6, A2]
+lernfeld: LF9
+merksatz: Mitarbeiter mit eigenem Zugang, Gäste im eigenen VLAN, Kanäle so verteilt, dass sich die Access Points nicht gegenseitig stören.
+karten:
+  - frage: Welche Kanäle nutzt man im 2,4-GHz-Band, damit sich benachbarte Access Points nicht stören?
+    antwort: Die Kanäle 1, 6 und 11. Sie überlappen sich nicht. Alle anderen Kombinationen stören sich gegenseitig.
+  - frage: Was unterscheidet WPA2/WPA3-Personal von WPA2/WPA3-Enterprise?
+    antwort: Bei Personal teilen sich alle denselben Schlüssel – wer ihn kennt, ist drin, und entziehen lässt er sich nur, indem man ihn für alle ändert. Bei Enterprise meldet sich jeder mit eigenen Zugangsdaten über 802.1X und einen RADIUS-Server an; ein einzelner Zugang lässt sich sperren.
+  - frage: Wie richtet man ein Gäste-WLAN sicher ein?
+    antwort: Eigenes Funknetz in einem eigenen VLAN mit eigenem Subnetz, Firewallregeln, die nur den Weg ins Internet erlauben, Isolation der Gäste untereinander und ein regelmäßig wechselnder Schlüssel oder Zugangscodes.
+---
+
+## Das Wesentliche
+
+- **2,4 GHz** reicht weiter und durch Wände, hat aber nur drei überlappungsfreie Kanäle:
+  **1, 6 und 11**. Es ist voll mit Nachbarnetzen, Bluetooth und Mikrowellen.
+- **5 GHz** hat viele Kanäle und mehr Durchsatz, aber weniger Reichweite. Im Büro die erste
+  Wahl. **6 GHz** (ab Wi-Fi 6E) bietet noch mehr freie Kanäle, setzt aber passende Endgeräte
+  voraus.
+- **Ausleuchten statt raten.** Wo Access Points hängen, entscheidet eine Messung vor Ort,
+  nicht der Grundriss. Stahlregale im Lager und Brandschutztüren dämpfen mehr als jede
+  Rigipswand.
+- **Mehr Access Points mit geringerer Sendeleistung** sind besser als wenige mit voller
+  Leistung. Ein Endgerät, das am fernen Access Point festhängt, bremst alle anderen.
+- **WPA3**, wo die Geräte es können, sonst WPA2 mit AES. WEP und WPA (ohne Zahl) sind
+  gebrochen.
+- **Mitarbeiter über Enterprise (802.1X):** jeder mit eigenen Zugangsdaten oder einem
+  Gerätezertifikat. Verlässt jemand den Betrieb, wird sein Zugang gesperrt – nicht der
+  Schlüssel für alle geändert.
+- **Gäste in ein eigenes VLAN**, nur Internet, keine internen Netze, untereinander isoliert.
+  Den Schlüssel regelmäßig wechseln oder Tageszugänge ausgeben.
+- **Zentral verwalten:** Bei mehr als zwei, drei Access Points gehört ein Controller dazu,
+  der Kanäle, Sendeleistung und Einstellungen einheitlich hält.
+
+## Übersicht
+
+| Funknetz | Verschlüsselung | VLAN | Darf |
+|---|---|---|---|
+| Firma | WPA3-Enterprise (802.1X) | Verwaltung | wie ein Kabelanschluss der Verwaltung |
+| Lager-Scanner | WPA2/WPA3-Personal, eigener Schlüssel | Produktion | nur die Lagerverwaltung |
+| Gäste | WPA2/WPA3-Personal, wechselnder Schlüssel | Gäste | nur Internet, isoliert |
+
+## Prüfungsfrage
+
+**Frage:** Im Betrieb wird ein einziges WLAN mit gemeinsamem Schlüssel für Mitarbeiter und
+Gäste genutzt. Ein ehemaliger Mitarbeiter kennt den Schlüssel. Beschreiben Sie die Risiken
+und eine bessere Lösung.
+
+**Antwort:** Risiken: Jeder, der den Schlüssel kennt – auch ehemalige Mitarbeiter und Gäste –,
+ist im selben Netz wie die internen Systeme und kann sie erreichen. Entziehen lässt sich der
+Zugang nur, indem man den Schlüssel für alle ändert und auf allen Geräten neu einträgt.
+Bessere Lösung: (1) Ein Funknetz für Mitarbeiter mit WPA2/WPA3-Enterprise über 802.1X und
+einen RADIUS-Server, angebunden an die Benutzerkonten – ein ausgeschiedener Mitarbeiter wird
+mit seinem Konto gesperrt. (2) Ein getrenntes Gästenetz in eigenem VLAN, das per Firewall nur
+ins Internet darf und Gäste untereinander isoliert, mit regelmäßig wechselndem Schlüssel.
@@ -0,0 +1,74 @@
+---
+id: P1
+titel: PowerShell – Befehle, Pipeline und Objekte
+block: programmierung
+woche: 7
+worum: PowerShell reicht keine Texte weiter, sondern Objekte mit Eigenschaften. Wer das verstanden hat, braucht kein Textschnipseln mehr.
+rahmenplan: [A10, B3]
+lernfeld: LF5
+merksatz: Verb-Substantiv finden, Get-Member fragen, filtern, sortieren, auswählen – formatiert wird erst ganz am Ende.
+karten:
+  - frage: Wie sind die Befehle (Cmdlets) in PowerShell benannt, und wie findet man einen unbekannten Befehl?
+    antwort: Nach dem Muster Verb-Substantiv, etwa Get-Service oder Stop-Process. Get-Command mit einem Suchbegriff findet Befehle, Get-Help erklärt sie mit Beispielen.
+  - frage: Was unterscheidet die Pipeline in PowerShell von der in einer klassischen Linux-Shell?
+    antwort: In PowerShell wandern Objekte mit Eigenschaften durch die Pipeline, nicht Textzeilen. Man filtert nach Eigenschaften wie Status oder Name, statt Spalten aus Text herauszuschneiden.
+  - frage: Wozu dient Get-Member?
+    antwort: Es zeigt, welche Eigenschaften und Methoden die Objekte haben, die ein Befehl liefert – also womit man in der Pipeline weiterarbeiten kann.
+---
+
+## Das Wesentliche
+
+- **Verb-Substantiv:** `Get-Service`, `Get-Process`, `Get-ChildItem`, `Stop-Service`. Die
+  Verben sind festgelegt – `Get` liest, `Set` ändert, `New` legt an, `Remove` löscht.
+- **Selbst finden statt googeln:** `Get-Command *service*` findet Befehle,
+  `Get-Help Get-Service -Examples` zeigt Beispiele. Einmal `Update-Help` als Administrator.
+- **Objekte statt Text.** `Get-Service` liefert Dienstobjekte mit Eigenschaften wie `Name`,
+  `Status` und `StartType`. Welche es gibt, verrät `Get-Service | Get-Member`.
+- **Die vier Werkzeuge der Pipeline:**
+  - `Where-Object` filtert: `Where-Object Status -eq 'Stopped'`
+  - `Sort-Object` sortiert: `Sort-Object Name`
+  - `Select-Object` wählt Eigenschaften oder Anzahl: `Select-Object Name, Status -First 10`
+  - `ForEach-Object` tut etwas mit jedem Objekt
+- **Vergleiche** heißen `-eq`, `-ne`, `-gt`, `-lt`, `-like` (mit `*` als Platzhalter) und
+  `-match` (regulärer Ausdruck). Groß- und Kleinschreibung spielt dabei keine Rolle.
+- **Ausgeben und weitergeben:** `Export-Csv` schreibt eine Tabelle für Excel,
+  `Out-File` eine Textdatei. `Format-Table` gehört nur ans Ende – danach sind es keine
+  verwertbaren Objekte mehr.
+- **Erst lesen, dann ändern.** Jeder Befehl, der etwas verändert, kennt `-WhatIf`: Er sagt,
+  was er tun würde, und tut es nicht.
+
+## Übersicht
+
+```powershell
+# Alle beendeten Dienste, die automatisch starten sollten
+Get-Service |
+  Where-Object { $_.Status -eq 'Stopped' -and $_.StartType -eq 'Automatic' } |
+  Sort-Object Name |
+  Select-Object Name, DisplayName
+
+# Die fünf Prozesse mit dem höchsten Speicherverbrauch
+Get-Process | Sort-Object WorkingSet -Descending | Select-Object -First 5 Name, Id, WorkingSet
+
+# Dateien im Downloadordner, älter als 90 Tage, als Tabelle für Excel
+Get-ChildItem $HOME\Downloads -File |
+  Where-Object LastWriteTime -lt (Get-Date).AddDays(-90) |
+  Select-Object Name, Length, LastWriteTime |
+  Export-Csv alte-downloads.csv -NoTypeInformation -Encoding UTF8
+```
+
+`$_` steht innerhalb der geschweiften Klammern für das Objekt, das gerade durch die Pipeline
+kommt.
+
+## Prüfungsfrage
+
+**Frage:** Schreiben Sie eine PowerShell-Befehlszeile, die alle laufenden Dienste
+alphabetisch sortiert mit Name und Anzeigename in die Datei `dienste.csv` schreibt, und
+erklären Sie jeden Teil.
+
+**Antwort:**
+`Get-Service | Where-Object Status -eq 'Running' | Sort-Object Name | Select-Object Name, DisplayName | Export-Csv dienste.csv -NoTypeInformation`
+– `Get-Service` liefert alle Dienste als Objekte. `Where-Object` lässt nur die durch, deren
+Eigenschaft `Status` den Wert `Running` hat. `Sort-Object Name` sortiert nach dem Namen.
+`Select-Object` behält nur die beiden gewünschten Eigenschaften. `Export-Csv` schreibt das
+Ergebnis als Tabelle; `-NoTypeInformation` unterdrückt die Typzeile, die ältere
+PowerShell-Fassungen sonst an den Anfang setzen.
@@ -0,0 +1,81 @@
+---
+id: P2
+titel: Variablen, Bedingungen und Schleifen
+block: programmierung
+woche: 7
+worum: Drei Bausteine reichen für fast jedes Verwaltungsskript – sich etwas merken, eine Entscheidung treffen, etwas wiederholen.
+rahmenplan: [A10, A4]
+lernfeld: LF5
+merksatz: Merken mit $, entscheiden mit if, wiederholen mit foreach. Der Rest ist Übung.
+karten:
+  - frage: Was ist der Unterschied zwischen "Hallo $name" und 'Hallo $name' in PowerShell?
+    antwort: In doppelten Anführungszeichen wird die Variable durch ihren Wert ersetzt, also etwa „Hallo Anna". In einfachen Anführungszeichen bleibt der Text genau so stehen, wie er geschrieben ist.
+  - frage: Was gibt dieses Skript aus – $summe = 0; foreach ($z in 1..5) { if ($z % 2 -eq 0) { $summe += $z } }; $summe
+    antwort: 6. Die Schleife läuft über 1 bis 5, die Bedingung lässt nur gerade Zahlen durch (Rest bei Division durch 2 ist 0), also werden 2 und 4 addiert.
+  - frage: Wann nimmt man foreach als Schleife und wann ForEach-Object?
+    antwort: foreach für eine Liste, die schon in einer Variablen liegt – übersichtlich und schnell. ForEach-Object mitten in einer Pipeline, wenn die Objekte direkt aus einem Befehl kommen.
+---
+
+## Das Wesentliche
+
+- **Variablen** beginnen mit `$`: `$pfad = 'D:\Daten'`. Sie können alles aufnehmen – Text,
+  Zahlen, Listen, ganze Objekte aus einem Befehl: `$dienste = Get-Service`.
+- **Text:** In `"…"` werden Variablen eingesetzt, in `'…'` nicht. Für Eigenschaften im Text:
+  `"Freier Platz: $($laufwerk.FreeSpace)"`.
+- **Listen** entstehen mit `@('PC-001', 'PC-002')` oder als Bereich `1..10`. Das erste Element
+  ist `$liste[0]`, die Anzahl `$liste.Count`.
+- **Eigene Objekte** für Berichte: `[PSCustomObject]@{ Name = $n; Status = $s }`. Daraus
+  wird mit `Export-Csv` eine saubere Tabelle.
+- **Bedingungen:** `if (…) { … } elseif (…) { … } else { … }`. In der Klammer steht ein
+  Vergleich mit `-eq`, `-gt`, `-like` usw. – **nicht** mit `=`, das ist eine Zuweisung.
+- **Verknüpfen** mit `-and`, `-or`, `-not`.
+- **Schleifen:** `foreach ($pc in $rechner) { … }` geht jedes Element durch.
+  `while (…) { … }` läuft, solange die Bedingung gilt – und braucht deshalb etwas, das sie
+  irgendwann falsch werden lässt.
+- **Rechnen:** `+ - * /` und `%` für den Rest einer Division. `1GB` ist für PowerShell eine
+  Zahl, `$bytes / 1GB` rechnet also direkt in Gigabyte um.
+
+## Übersicht
+
+```powershell
+$grenze = 15   # Prozent freier Platz, ab dem gewarnt wird
+
+$laufwerke = Get-CimInstance -ClassName Win32_LogicalDisk -Filter 'DriveType = 3'
+
+foreach ($lw in $laufwerke) {
+    $frei = [math]::Round($lw.FreeSpace / $lw.Size * 100, 1)
+
+    if ($frei -lt $grenze) {
+        Write-Warning "$($lw.DeviceID) hat nur noch $frei % frei."
+    }
+    else {
+        Write-Output "$($lw.DeviceID): $frei % frei – in Ordnung."
+    }
+}
+```
+
+`DriveType = 3` sind lokale Festplatten; USB-Sticks (2) und Netzlaufwerke (4) bleiben außen vor.
+
+## Prüfungsfrage
+
+**Frage:** Schreiben Sie ein kurzes PowerShell-Skript, das für eine Liste von drei
+Rechnernamen prüft, ob sie per Ping erreichbar sind, und für jeden Rechner „erreichbar" oder
+„nicht erreichbar" ausgibt.
+
+**Antwort:**
+
+```powershell
+$rechner = @('PC-001', 'PC-002', 'PC-003')
+foreach ($pc in $rechner) {
+    if (Test-Connection -ComputerName $pc -Count 1 -Quiet) {
+        Write-Output "$pc erreichbar"
+    }
+    else {
+        Write-Output "$pc nicht erreichbar"
+    }
+}
+```
+
+Die Liste wird in einer Variablen gehalten, `foreach` geht jeden Namen durch.
+`Test-Connection -Quiet` liefert statt einer ausführlichen Ausgabe nur wahr oder falsch,
+was die `if`-Bedingung direkt auswertet.
@@ -0,0 +1,86 @@
+---
+id: P3
+titel: Ein Skript schreiben, das man in einem Jahr noch versteht
+block: programmierung
+woche: 7
+worum: Ein Skript, das nur sein Verfasser bedienen kann, ist eine Abhängigkeit. Ein gutes Skript erklärt sich, prüft seine Eingaben und meldet Fehler, statt sie zu verschweigen.
+rahmenplan: [A10, A4, A5]
+lernfeld: LF5
+merksatz: Sagen, was es tut. Prüfen, was hineinkommt. Melden, was schiefgeht. Erst mit -WhatIf laufen lassen.
+karten:
+  - frage: Wozu dient ein param-Block am Anfang eines Skripts?
+    antwort: Er legt fest, welche Eingaben das Skript erwartet, mit Typ und ob sie Pflicht sind. Werte stehen dann nicht fest im Code, und PowerShell fragt fehlende Pflichtangaben selbst ab.
+  - frage: Warum fängt ein try-catch-Block manche Fehler nicht ab, und wie behebt man das?
+    antwort: Viele Cmdlets melden Fehler nur und laufen weiter (nicht abbrechende Fehler). Mit -ErrorAction Stop am Befehl wird daraus ein abbrechender Fehler, den catch auffängt.
+  - frage: Was bewirkt die Ausführungsrichtlinie RemoteSigned?
+    antwort: Selbst geschriebene, lokale Skripte laufen; aus dem Internet heruntergeladene Skripte nur, wenn sie signiert sind. Sie schützt vor versehentlichem Ausführen, ist aber keine Sicherheitsgrenze.
+---
+
+## Das Wesentliche
+
+- **Ein Kopf mit Hilfe:** Ein Block `<# .SYNOPSIS … .EXAMPLE … #>` ganz oben macht das
+  Skript für `Get-Help .\skript.ps1` lesbar. Darin steht, was es tut, was es braucht und ein
+  Beispielaufruf.
+- **Eingaben als Parameter**, nicht fest im Code: Pfade, Rechnernamen und Grenzwerte gehören
+  in den `param()`-Block. `[Parameter(Mandatory)]` macht eine Angabe zur Pflicht.
+- **Namen, die etwas sagen:** `$freierPlatzProzent` statt `$x`. Kommentare erklären das
+  **Warum**, nicht das Was – das Was steht im Code.
+- **Fehler nicht verschlucken.** `try { … -ErrorAction Stop } catch { … }` fängt Fehler auf
+  und meldet sie verständlich. Ein leerer `catch`-Block ist schlimmer als gar keiner.
+- **Erst trocken, dann echt.** Mit `[CmdletBinding(SupportsShouldProcess)]` bekommt das eigene
+  Skript `-WhatIf`. Ein Skript, das löscht, ändert oder verschiebt, läuft zuerst so.
+- **Klein anfangen und testen.** Erst an einem Testrechner, dann an einem echten, dann an
+  allen. Jede Stufe mit Blick auf die Ausgabe.
+- **Versionieren.** Skripte gehören in ein Git-Repository der IT, nicht auf den Desktop. So
+  sieht man, wer wann was geändert hat, und kommt zur letzten funktionierenden Fassung zurück.
+- **Ausführungsrichtlinie:** Auf Clients ist meist `RemoteSigned` eingestellt. Sie verhindert
+  versehentliches Ausführen fremder Skripte, ist aber keine Sicherheitsgrenze.
+
+## Übersicht
+
+```powershell
+<#
+.SYNOPSIS
+    Löscht Protokolldateien, die älter als eine bestimmte Anzahl Tage sind.
+.EXAMPLE
+    .\Protokolle-Aufraeumen.ps1 -Pfad D:\Logs -Tage 30 -WhatIf
+#>
+[CmdletBinding(SupportsShouldProcess)]
+param(
+    [Parameter(Mandatory)][string]$Pfad,
+    [int]$Tage = 30
+)
+
+if (-not (Test-Path $Pfad)) {
+    throw "Den Pfad $Pfad gibt es nicht."
+}
+
+$stichtag = (Get-Date).AddDays(-$Tage)
+$alt = Get-ChildItem $Pfad -Filter *.log -File | Where-Object LastWriteTime -lt $stichtag
+
+foreach ($datei in $alt) {
+    if ($PSCmdlet.ShouldProcess($datei.FullName, 'Löschen')) {
+        try {
+            Remove-Item $datei.FullName -ErrorAction Stop
+        }
+        catch {
+            Write-Warning "Konnte $($datei.Name) nicht löschen: $($_.Exception.Message)"
+        }
+    }
+}
+```
+
+## Prüfungsfrage
+
+**Frage:** Ein Kollege hat ein Skript geschrieben, das auf allen Rechnern temporäre Dateien
+löscht. Pfad und Rechnerliste stehen fest im Code, Fehler werden nicht behandelt. Nennen Sie
+vier Verbesserungen und begründen Sie sie.
+
+**Antwort:** (1) Pfad und Rechnerliste als Parameter übergeben – das Skript lässt sich dann
+für andere Fälle nutzen, ohne den Code zu ändern. (2) `-WhatIf` unterstützen und das Skript
+zuerst trocken laufen lassen – bei einem löschenden Skript lässt sich so vorab prüfen, was
+betroffen wäre. (3) Fehlerbehandlung mit `try`/`catch` und `-ErrorAction Stop` – damit nicht
+erreichbare Rechner oder gesperrte Dateien gemeldet und nicht stillschweigend übergangen
+werden. (4) Einen Hilfeblock mit Beschreibung und Beispiel ergänzen und das Skript im
+Repository der IT versionieren – so kann es auch jemand anderes betreuen. Ebenfalls richtig:
+Eingaben prüfen, z. B. mit `Test-Path`, und ein Protokoll der gelöschten Dateien schreiben.
@@ -0,0 +1,63 @@
+---
+id: S3
+titel: Datensicherung planen – voll, differenziell, inkrementell
+block: system
+woche: 8
+worum: Eine Sicherung ist erst dann geplant, wenn feststeht, wie viel Datenverlust und wie viel Ausfallzeit der Betrieb verkraftet.
+rahmenplan: [A9, A6, A8]
+lernfeld: LF4
+merksatz: Drei Kopien, zwei Medien, eine außer Haus – und eine, an die kein Angreifer herankommt.
+karten:
+  - frage: Was ist der Unterschied zwischen einer inkrementellen und einer differenziellen Sicherung?
+    antwort: Die inkrementelle sichert alles, was sich seit der letzten Sicherung gleich welcher Art geändert hat. Die differenzielle sichert alles seit der letzten Vollsicherung – sie wächst also jeden Tag, lässt sich aber schneller zurückspielen.
+  - frage: Was braucht man, um am Donnerstag aus einer Vollsicherung vom Sonntag und täglichen inkrementellen Sicherungen wiederherzustellen?
+    antwort: Die Vollsicherung vom Sonntag und alle inkrementellen Sicherungen von Montag bis Donnerstag, in dieser Reihenfolge. Bei differenziellen Sicherungen genügen die Vollsicherung und die vom Donnerstag.
+  - frage: Was bedeuten RPO und RTO?
+    antwort: RPO (Recovery Point Objective) ist der größte hinnehmbare Datenverlust, gemessen in Zeit – er bestimmt, wie oft gesichert wird. RTO (Recovery Time Objective) ist die größte hinnehmbare Ausfallzeit bis zur Wiederherstellung.
+  - frage: Warum ist ein RAID keine Datensicherung?
+    antwort: Ein RAID schützt nur vor dem Ausfall einer Festplatte. Gelöschte, verschlüsselte oder beschädigte Dateien sind auf allen Platten gleichzeitig weg – das RAID spiegelt den Schaden mit.
+---
+
+## Das Wesentliche
+
+- **Erst die Anforderungen, dann die Technik.** Wie viel Arbeit darf verloren gehen (RPO)?
+  Wie lange darf es dauern, bis wieder gearbeitet werden kann (RTO)? Die Antworten kommen
+  aus der Schutzbedarfsfeststellung, nicht aus dem Datenblatt der Software.
+- **Vollsicherung:** alles, jedes Mal. Einfach zurückzuspielen, aber groß und langsam.
+- **Inkrementell:** nur das Geänderte seit der letzten Sicherung. Klein und schnell beim
+  Sichern, beim Zurückspielen braucht man die ganze Kette.
+- **Differenziell:** das Geänderte seit der letzten Vollsicherung. Wächst bis zur nächsten
+  Vollsicherung, zum Zurückspielen reichen zwei Sicherungen.
+- **3-2-1-Regel:** drei Kopien der Daten, auf zwei verschiedenen Medien, eine davon außer
+  Haus. Gegen Ransomware kommt eine Kopie hinzu, die offline oder unveränderlich ist – sonst
+  verschlüsselt der Angreifer die Sicherung gleich mit.
+- **Generationen:** Tägliche Sicherungen werden einige Tage aufbewahrt, wöchentliche einige
+  Wochen, monatliche länger (Großvater-Vater-Sohn). So findet man auch einen Fehler, der erst
+  nach drei Wochen auffällt.
+- **Keine Sicherung:** ein RAID, eine Synchronisation in die Cloud, ein Papierkorb. Alle drei
+  übernehmen eine Löschung oder Verschlüsselung sofort.
+- **Sicherungen verschlüsseln**, wenn sie den Betrieb verlassen – und den Schlüssel so
+  ablegen, dass man ihn im Notfall findet, ohne die Sicherung zu brauchen.
+
+## Übersicht
+
+| Art | Sichert | Zurückspielen braucht | Platzbedarf |
+|---|---|---|---|
+| Voll | alles | eine Sicherung | hoch |
+| Differenziell | Änderungen seit der letzten Vollsicherung | Vollsicherung + letzte differenzielle | mittel, wächst täglich |
+| Inkrementell | Änderungen seit der letzten Sicherung | Vollsicherung + alle inkrementellen seitdem | gering |
+
+## Prüfungsfrage
+
+**Frage:** Die Buchhaltung verkraftet höchstens vier Stunden Datenverlust und muss nach
+einem Ausfall am selben Arbeitstag wieder arbeiten können. Entwerfen Sie ein passendes
+Sicherungskonzept und begründen Sie es.
+
+**Antwort:** Das RPO von vier Stunden verlangt mindestens alle vier Stunden während der
+Arbeitszeit eine Sicherung, etwa inkrementell um 10, 14 und 18 Uhr, ergänzt durch eine
+nächtliche differenzielle und eine wöchentliche Vollsicherung. Das RTO von einem halben
+Arbeitstag erfordert, dass die Sicherung schnell erreichbar ist – also eine Kopie auf einem
+Sicherungsspeicher im Haus. Nach der 3-2-1-Regel kommt eine Kopie außer Haus hinzu, eine
+davon offline oder unveränderlich gegen Ransomware. Aufbewahrt wird nach Generationen
+(z. B. 14 Tage täglich, 8 Wochen wöchentlich, 12 Monate monatlich). Das Konzept gilt erst als
+umgesetzt, wenn eine Wiederherstellung getestet und die benötigte Zeit gemessen wurde.
@@ -0,0 +1,61 @@
+---
+id: S4
+titel: Wiederherstellen und testen – die Sicherung, die zählt
+block: system
+woche: 8
+worum: Niemand braucht eine Sicherung. Alle brauchen eine Wiederherstellung. Ob sie gelingt, weiß man nur, wenn man sie geübt hat.
+rahmenplan: [A9, A5, A8]
+lernfeld: LF4
+merksatz: Eine Sicherung, die nie zurückgespielt wurde, ist keine Sicherung – sondern eine Hoffnung.
+karten:
+  - frage: Woran erkennt man, ob ein Wiederherstellungstest bestanden ist?
+    antwort: Die Daten sind vollständig, lesbar und auf dem erwarteten Stand, die Anwendung arbeitet damit, und die gemessene Dauer liegt innerhalb des vereinbarten RTO.
+  - frage: Warum gehört der Wiederherstellungsplan auch auf Papier?
+    antwort: Weil er genau dann gebraucht wird, wenn Server, Wiki und Passwortmanager vielleicht nicht erreichbar sind. Ein Plan, der nur auf dem ausgefallenen System liegt, hilft niemandem.
+  - frage: In welcher Reihenfolge stellt man nach einem Totalausfall die Systeme wieder her?
+    antwort: Nach Abhängigkeiten und Schutzbedarf – zuerst die Grundlagen wie Netz, Verzeichnisdienst und Namensauflösung, dann die Systeme mit dem höchsten Verfügbarkeitsbedarf, zuletzt der Rest.
+---
+
+## Das Wesentliche
+
+- **Regelmäßig testen**, nicht erst im Ernstfall. Eine einzelne Datei jeden Monat, eine
+  ganze Anwendung oder ein ganzer Server mindestens einmal im Jahr und nach jeder größeren
+  Änderung an der Sicherung.
+- **Auf eine Testumgebung zurückspielen**, nicht über das laufende System. Sonst wird aus
+  dem Test der Ernstfall.
+- **Messen, nicht schätzen.** Wie lange hat das Zurückspielen gedauert – einschließlich
+  Suchen, Anfordern des Mediums und Prüfen? Das ist die Zahl, die man mit dem RTO vergleicht.
+- **Das Ergebnis prüfen:** Öffnet sich die Datei, startet die Anwendung, stimmt der Stand?
+  Eine fehlerfrei abgeschlossene Wiederherstellung mit leeren Dateien ist ein
+  fehlgeschlagener Test.
+- **Protokollieren:** Datum, was zurückgespielt wurde, von welcher Sicherung, Dauer,
+  Ergebnis, Auffälligkeiten. Das Protokoll ist der Nachweis gegenüber Geschäftsführung,
+  Prüfern und Versicherung.
+- **Der Wiederherstellungsplan** nennt Reihenfolge, Zuständige, Zugangsdaten zum
+  Sicherungssystem und den Ort der Schlüssel. Er liegt ausgedruckt an einem bekannten Ort.
+- **Reihenfolge nach Abhängigkeiten:** Ohne Netz, Verzeichnisdienst und Namensauflösung
+  läuft keine Fachanwendung, egal wie wichtig sie ist.
+
+## Übersicht
+
+| Test | Wie oft | Zeigt |
+|---|---|---|
+| Einzelne Datei oder E-Mail | monatlich | Die Sicherung läuft und ist lesbar |
+| Ganzer Ordner mit Berechtigungen | vierteljährlich | Rechte kommen mit zurück |
+| Ganze Anwendung samt Datenbank | halbjährlich | Die Anwendung arbeitet mit den gesicherten Daten |
+| Ganzer Server bzw. virtuelle Maschine | jährlich | Das RTO ist einzuhalten |
+
+## Prüfungsfrage
+
+**Frage:** Die Sicherungssoftware meldet seit Monaten „erfolgreich". Warum genügt das nicht
+als Nachweis, und wie gehen Sie bei einem Wiederherstellungstest vor?
+
+**Antwort:** Die Meldung bestätigt nur, dass der Sicherungsvorgang ohne Fehler beendet
+wurde – nicht, dass die richtigen Daten gesichert wurden, dass sie lesbar sind und dass sie
+sich in der geforderten Zeit zurückspielen lassen. Vorgehen: (1) Umfang und Ziel des Tests
+festlegen, etwa eine Anwendung samt Datenbank auf einen Testserver. (2) Die Wiederherstellung
+durchführen und die Zeit vom Beginn bis zur Arbeitsfähigkeit messen. (3) Das Ergebnis
+inhaltlich prüfen – Daten vollständig, Anwendung startet, Stand entspricht dem
+Sicherungszeitpunkt. (4) Das Ergebnis mit RPO und RTO vergleichen, protokollieren und
+Abweichungen als Maßnahme erfassen. (5) Die Testumgebung anschließend bereinigen, weil sie
+echte Daten enthält.
@@ -0,0 +1,62 @@
+---
+id: S5
+titel: RAID, NAS und SAN – Speicher, der einen Ausfall übersteht
+block: system
+woche: 8
+worum: Festplatten fallen aus, das ist sicher. Ein RAID sorgt dafür, dass man es erst an der Warnmeldung merkt und nicht am Stillstand.
+rahmenplan: [A9, B1, A3]
+lernfeld: LF2
+merksatz: RAID gegen Plattenausfall, Sicherung gegen alles andere. Das eine ersetzt das andere nie.
+karten:
+  - frage: Wie viel Speicher ist nutzbar, und wie viele Platten dürfen ausfallen – bei RAID 1, RAID 5 und RAID 6?
+    antwort: RAID 1 – die Hälfte, eine Platte je Spiegel. RAID 5 – alle Platten bis auf eine, eine darf ausfallen. RAID 6 – alle Platten bis auf zwei, zwei dürfen ausfallen.
+  - frage: Ein RAID 5 aus fünf Platten mit je 4 TB – wie viel ist nutzbar?
+    antwort: 16 TB. Eine Platte entfällt auf die Paritätsinformation, also (5 − 1) × 4 TB.
+  - frage: Worin unterscheiden sich NAS und SAN?
+    antwort: Ein NAS stellt Dateien über das Netzwerk bereit, etwa per SMB oder NFS – die Clients sehen Freigaben. Ein SAN stellt Speicherblöcke bereit, etwa per iSCSI oder Fibre Channel – der Server sieht eine Festplatte und legt selbst ein Dateisystem an.
+---
+
+## Das Wesentliche
+
+- **RAID 0** verteilt die Daten auf mehrere Platten (Striping). Schnell, aber ohne jede
+  Ausfallsicherheit: Fällt eine Platte aus, ist alles weg. Kein Einsatz für wichtige Daten.
+- **RAID 1** spiegelt zwei Platten. Halbe Kapazität, eine Platte darf ausfallen. Typisch für
+  das Betriebssystem eines Servers.
+- **RAID 5** verteilt Daten und Paritätsinformation über mindestens drei Platten. Eine Platte
+  darf ausfallen. Bei großen Platten ist der Wiederaufbau lang und belastet die übrigen
+  Platten – fällt währenddessen eine zweite aus, sind die Daten verloren.
+- **RAID 6** wie RAID 5 mit doppelter Parität, mindestens vier Platten. Zwei Platten dürfen
+  ausfallen. Heute die bessere Wahl für große Datenspeicher.
+- **RAID 10** ist ein Verbund aus Spiegeln (mindestens vier Platten). Halbe Kapazität, schnell
+  beim Schreiben, je Spiegelpaar darf eine Platte ausfallen. Gut für Datenbanken.
+- **Hot-Spare:** eine Reserveplatte, die bei einem Ausfall sofort einspringt. Der
+  Wiederaufbau beginnt, bevor jemand den Ausfall bemerkt.
+- **Überwachen:** Ein RAID mit ausgefallener Platte läuft weiter und sieht gesund aus.
+  Ohne Benachrichtigung merkt man den ersten Ausfall erst am zweiten.
+- **NAS, SAN, DAS:** NAS liefert Dateien übers Netz, SAN liefert Speicherblöcke an Server, DAS
+  hängt direkt an einem einzigen Server.
+
+## Übersicht
+
+| Stufe | Mindestens | Nutzbar bei n Platten | Darf ausfallen | Typischer Einsatz |
+|---|---|---|---|---|
+| RAID 0 | 2 | n | keine | Zwischenspeicher, Videoschnitt |
+| RAID 1 | 2 | n / 2 | eine | Systemplatten |
+| RAID 5 | 3 | n − 1 | eine | kleinere Datenspeicher |
+| RAID 6 | 4 | n − 2 | zwei | große Datenspeicher, NAS |
+| RAID 10 | 4 | n / 2 | eine je Spiegel | Datenbanken, virtuelle Maschinen |
+
+## Prüfungsfrage
+
+**Frage:** Für ein NAS stehen sechs Festplatten mit je 8 TB zur Verfügung. Vergleichen Sie
+RAID 5, RAID 6 und RAID 10 hinsichtlich nutzbarer Kapazität und Ausfallsicherheit und
+geben Sie eine Empfehlung.
+
+**Antwort:** RAID 5: (6 − 1) × 8 TB = 40 TB nutzbar, eine Platte darf ausfallen. RAID 6:
+(6 − 2) × 8 TB = 32 TB, zwei beliebige Platten dürfen ausfallen. RAID 10: 6 / 2 × 8 TB = 24 TB,
+je Spiegelpaar darf eine Platte ausfallen – fallen beide Platten eines Paares aus, sind die
+Daten verloren. Empfehlung: RAID 6. Bei 8-TB-Platten dauert der Wiederaufbau viele Stunden;
+in dieser Zeit verträgt RAID 5 keinen weiteren Fehler, RAID 6 schon. RAID 10 wäre schneller
+beim Schreiben, kostet aber deutlich mehr Kapazität, und für ein NAS mit Dateiablagen ist
+die Schreibleistung meist nicht entscheidend. Unabhängig davon ersetzt keine RAID-Stufe die
+Datensicherung.
@@ -0,0 +1,61 @@
+---
+id: V1
+titel: Virtualisierung – viele Server auf einer Maschine
+block: server
+woche: 9
+worum: Ein Hypervisor teilt einen physischen Rechner in viele virtuelle auf. Das spart Hardware, aber nur, wenn man die Ressourcen plant, statt sie zu verteilen, bis nichts mehr geht.
+rahmenplan: [B1, A8, A3]
+lernfeld: LF9
+merksatz: Typ 1 für Server, Typ 2 für den Schreibtisch. Ressourcen planen, Überbuchung bewusst entscheiden.
+karten:
+  - frage: Was unterscheidet einen Hypervisor vom Typ 1 von einem vom Typ 2?
+    antwort: Typ 1 läuft direkt auf der Hardware, ohne Betriebssystem darunter – etwa Proxmox VE, Hyper-V oder VMware ESXi. Typ 2 läuft als Programm auf einem normalen Betriebssystem – etwa VirtualBox. Server virtualisiert man mit Typ 1.
+  - frage: Was bedeutet Überbuchung bei der Virtualisierung?
+    antwort: Den virtuellen Maschinen zusammen mehr Prozessorkerne oder Arbeitsspeicher zuzuweisen, als physisch vorhanden ist. Bei Prozessoren ist das üblich, weil selten alle gleichzeitig rechnen; beim Arbeitsspeicher ist es riskant, weil der Host dann auslagern muss.
+  - frage: Nenne drei Vorteile der Servervirtualisierung.
+    antwort: Bessere Auslastung der Hardware, schnelle Bereitstellung neuer Server aus Vorlagen und die Möglichkeit, virtuelle Maschinen im laufenden Betrieb auf einen anderen Host zu verschieben. Ebenfalls richtig – Snapshots vor Änderungen und einfachere Testumgebungen.
+---
+
+## Das Wesentliche
+
+- **Der Hypervisor** verteilt Prozessor, Arbeitsspeicher, Speicher und Netz eines
+  physischen Rechners (des **Hosts**) auf mehrere **virtuelle Maschinen** (VMs, auch
+  **Gäste**). Jede VM glaubt, einen eigenen Rechner zu haben.
+- **Typ 1** („bare metal") läuft direkt auf der Hardware: Proxmox VE, Microsoft Hyper-V,
+  VMware ESXi. Das ist die Wahl für Server.
+- **Typ 2** läuft als Programm auf Windows, Linux oder macOS: VirtualBox, VMware
+  Workstation. Gut für Tests am Arbeitsplatz, nicht für den Betrieb.
+- **Ressourcen planen.** Eine VM bekommt so viel, wie sie braucht – nicht so viel, wie da
+  ist. Zu viele virtuelle Prozessoren machen eine VM sogar langsamer, weil der Hypervisor
+  sie gleichzeitig bereitstellen muss.
+- **Überbuchung:** Bei Prozessorkernen ist ein Verhältnis von mehreren virtuellen zu einem
+  physischen Kern üblich. Arbeitsspeicher überbucht man höchstens bewusst und knapp.
+- **Ein Host ist ein einzelner Ausfallpunkt.** Fällt er aus, fallen alle VMs darauf aus.
+  Abhilfe schafft ein Verbund aus mehreren Hosts mit gemeinsamem oder repliziertem Speicher,
+  der VMs auf einen anderen Host umzieht.
+- **Container** (etwa Docker) sind leichter als VMs: Sie teilen sich den Kern des
+  Host-Betriebssystems. Schneller und sparsamer, aber weniger stark voneinander getrennt.
+
+## Übersicht
+
+| | Physischer Server | Virtuelle Maschine | Container |
+|---|---|---|---|
+| Eigenes Betriebssystem | ja | ja | nein, teilt den Kern des Hosts |
+| Bereitstellung | Tage bis Wochen | Minuten | Sekunden |
+| Trennung voneinander | vollständig | stark | schwächer |
+| Typischer Einsatz | Host selbst, Spezialhardware | Server aller Art | einzelne Anwendungen und Dienste |
+
+## Prüfungsfrage
+
+**Frage:** Ein Betrieb betreibt fünf ältere physische Server mit geringer Auslastung und
+möchte sie virtualisieren. Nennen Sie zwei Vorteile und zwei Risiken und je eine Maßnahme
+gegen die Risiken.
+
+**Antwort:** Vorteile: (1) Weniger Hardware, Strom, Kühlung und Platz, weil ein oder zwei Hosts
+die Last der fünf Server tragen. (2) Neue Server lassen sich schnell aus Vorlagen bereitstellen,
+und vor Änderungen sind Snapshots möglich. Risiken: (1) Der Host wird zum einzelnen
+Ausfallpunkt – Maßnahme: zwei Hosts im Verbund mit gemeinsamem oder repliziertem Speicher,
+damit VMs bei einem Ausfall auf dem anderen Host weiterlaufen. (2) Die VMs teilen sich die
+Ressourcen; eine VM unter Last bremst die anderen – Maßnahme: Ressourcen vorab anhand der
+gemessenen Auslastung planen, Arbeitsspeicher nicht überbuchen und die Auslastung des Hosts
+überwachen.
@@ -0,0 +1,62 @@
+---
+id: V2
+titel: Snapshots, virtuelle Netze und virtueller Speicher
+block: server
+woche: 9
+worum: Drei Dinge, die bei der Virtualisierung anders funktionieren als bei echter Hardware – und an denen man sich am häufigsten verschätzt.
+rahmenplan: [B1, B2, A9]
+lernfeld: LF9
+merksatz: Ein Snapshot ist ein Rückweg für Stunden, keine Sicherung für Wochen.
+karten:
+  - frage: Warum ist ein Snapshot keine Datensicherung?
+    antwort: Er liegt auf demselben Speicher wie die VM und hängt von ihrer Ausgangsdatei ab. Geht der Speicher kaputt, sind VM und Snapshot gemeinsam weg. Außerdem wächst er mit jeder Änderung und bremst die VM, je länger er besteht.
+  - frage: Was ist der Unterschied zwischen Thin und Thick Provisioning?
+    antwort: Beim Thin Provisioning belegt eine virtuelle Festplatte nur so viel Platz, wie tatsächlich beschrieben ist, und wächst mit. Beim Thick Provisioning wird die volle Größe sofort reserviert. Thin spart Platz, kann den Speicher aber unbemerkt volllaufen lassen.
+  - frage: Wie kommt eine virtuelle Maschine ins echte Netz?
+    antwort: Über einen virtuellen Switch auf dem Host, der mit einer physischen Netzwerkkarte verbunden ist. Die VM hängt am virtuellen Switch wie ein Rechner an einem echten Switch – auch VLANs lassen sich dort zuordnen.
+---
+
+## Das Wesentliche
+
+- **Snapshot:** ein eingefrorener Zustand der VM. Ab dem Snapshot schreibt die VM ihre
+  Änderungen in eine eigene Datei; zurückgehen heißt, diese Datei zu verwerfen.
+- **Wofür Snapshots gut sind:** vor einem Update, einer Konfigurationsänderung, einem Test.
+  Ist alles in Ordnung, wird der Snapshot **gelöscht** – das führt die Änderungen zurück in
+  die eigentliche Festplattendatei.
+- **Wofür nicht:** als Sicherung. Er liegt auf demselben Speicher, hängt von der
+  Ausgangsdatei ab und wird mit jedem Tag größer und langsamer.
+- **Bei Datenbanken und Domänencontrollern Vorsicht:** Ein Zurücksetzen kann die
+  Daten durcheinanderbringen, wenn andere Systeme in der Zwischenzeit mit ihnen gearbeitet
+  haben. Hier gilt, was der Hersteller dazu empfiehlt.
+- **Virtueller Switch:** verbindet die VMs untereinander und über eine physische
+  Netzwerkkarte mit dem echten Netz. Ein Switch ohne physische Karte ergibt ein
+  abgeschlossenes Netz – gut für Testumgebungen.
+- **Virtuelle Festplatten** sind Dateien auf dem Speicher des Hosts. **Thin** wächst mit,
+  **thick** ist sofort voll belegt. Wer thin bereitstellt, muss den tatsächlichen
+  Füllstand überwachen, sonst bleiben irgendwann alle VMs gleichzeitig stehen.
+- **Vorlagen:** Eine fertig eingerichtete VM wird zur Vorlage, aus der neue VMs entstehen.
+  Bei Windows vorher mit Sysprep verallgemeinern, sonst haben alle Kopien dieselbe Kennung.
+
+## Übersicht
+
+| Vorhaben | Passendes Werkzeug |
+|---|---|
+| Vor dem Update für zwei Stunden einen Rückweg haben | Snapshot, danach löschen |
+| Den Stand von letzter Woche wiederherstellen | Datensicherung |
+| Zehn gleiche Test-VMs bereitstellen | Vorlage |
+| Eine VM ohne Verbindung zum Firmennetz betreiben | Virtueller Switch ohne physische Karte |
+| Wissen, wann der Speicher voll ist | Überwachung des tatsächlichen Füllstands |
+
+## Prüfungsfrage
+
+**Frage:** Auf einem Host laufen zehn VMs mit Thin-Provisioning, insgesamt 4 TB zugesagt auf
+einem Speicher von 2 TB. Ein Kollege hält das für unproblematisch, weil derzeit nur 1,2 TB
+belegt sind. Bewerten Sie das.
+
+**Antwort:** Die Zusage übersteigt den physischen Speicher um das Doppelte. Solange die VMs
+wenig schreiben, geht das gut; wachsen ihre Daten aber – etwa durch Protokolldateien, Updates
+oder einen Fehler, der eine Datei vollschreibt –, läuft der gemeinsame Speicher voll. Dann
+können **alle** VMs nicht mehr schreiben und bleiben stehen, nicht nur die verursachende. Die
+Überbuchung ist nur vertretbar mit einer Überwachung des tatsächlichen Füllstands mit
+Warnschwellen (etwa bei 70 und 85 Prozent), einem Plan zur Erweiterung des Speichers und
+dem Verzicht auf alte Snapshots, die zusätzlich Platz belegen.
@@ -0,0 +1,60 @@
+---
+id: V3
+titel: Eine virtuelle Maschine planen und bereitstellen
+block: server
+woche: 9
+worum: Eine VM ist in fünf Minuten angelegt – und in fünf Jahren noch in Betrieb. Die Planung entscheidet, ob man sie dann noch versteht.
+rahmenplan: [B1, B3, A5]
+lernfeld: LF9
+merksatz: Zweck, Ressourcen, Netz, Sicherung, Verantwortlicher – vor dem Anlegen aufgeschrieben.
+karten:
+  - frage: Welche Angaben gehören zu jeder VM in die Dokumentation?
+    antwort: Zweck, Verantwortlicher, Betriebssystem, zugewiesene Ressourcen, Netz bzw. VLAN und IP-Adresse, Speicherort, ob und wie sie gesichert wird, und das Datum der Bereitstellung.
+  - frage: Woran orientiert man sich bei den Ressourcen einer neuen VM?
+    antwort: An den Mindestanforderungen der Software und an gemessenen Werten vergleichbarer Systeme – mit wenig Reserve beginnen und nach Messung erweitern. Erweitern geht leicht, Verkleinern oft nicht.
+---
+
+## Das Wesentliche
+
+- **Vorher aufschreiben:** Wofür ist die VM, wer ist verantwortlich, wie lange wird sie
+  gebraucht? Eine VM ohne Verantwortlichen wird nie wieder abgeschaltet.
+- **Ressourcen nach Bedarf**, nicht nach Gefühl. Mindestanforderungen der Software, gemessene
+  Werte vergleichbarer Systeme, etwas Reserve. Erweitern ist einfach, Verkleinern einer
+  Festplatte oft nicht.
+- **Getrennte Festplatten** für System und Daten. Dann lassen sich Daten anders sichern,
+  größer machen oder auf einen anderen Speicher legen.
+- **Netz bewusst wählen:** richtiger virtueller Switch, richtiges VLAN, feste IP-Adresse für
+  Server, Eintrag im DNS.
+- **Gasterweiterungen installieren** (bei Proxmox der QEMU Guest Agent, bei Hyper-V die
+  Integrationsdienste). Ohne sie fährt die VM nicht sauber herunter, und Sicherungen
+  können inkonsistent werden.
+- **In die Sicherung aufnehmen**, bevor die VM in Betrieb geht – nicht, wenn die erste Datei
+  verloren ist.
+- **Namen nach Regel:** Der Name sagt, was die VM tut und wo sie steht, etwa `SRV-DATEI-01`.
+  `Test-neu-Peter` ist in einem halben Jahr ein Rätsel.
+
+## Übersicht
+
+| Planungsfrage | Beispielantwort |
+|---|---|
+| Zweck | Dateiserver für die Verwaltung |
+| Verantwortlich | IT, Ansprechpartner: Ausbilder |
+| Betriebssystem | Windows Server 2025 Standard |
+| Prozessor / Arbeitsspeicher | 2 virtuelle Kerne / 8 GB |
+| Festplatten | 80 GB System, 500 GB Daten (thick) |
+| Netz | VLAN Server, 10.10.20.21, DNS-Eintrag `srv-datei-01` |
+| Sicherung | täglich inkrementell, wöchentlich voll |
+
+## Prüfungsfrage
+
+**Frage:** Sie sollen für einen neuen Dienst eine VM bereitstellen. Beschreiben Sie die
+Schritte von der Anfrage bis zur Übergabe in den Betrieb.
+
+**Antwort:** (1) Anforderungen klären: Zweck, Verantwortlicher, benötigte Software und ihre
+Mindestanforderungen, Verfügbarkeitsbedarf. (2) Ressourcen, Festplatten, Netz bzw. VLAN und
+IP-Adresse planen und prüfen, ob der Host die Ressourcen hergibt. (3) Die VM aus einer Vorlage
+oder neu anlegen, Betriebssystem installieren, Gasterweiterungen und Updates einspielen.
+(4) Netzwerk, DNS-Eintrag und Zugriffsrechte einrichten, den Dienst installieren und testen.
+(5) Die VM in Sicherung und Überwachung aufnehmen und einen Wiederherstellungstest
+einplanen. (6) Alles dokumentieren und die VM mit Übergabe an den Verantwortlichen in Betrieb
+nehmen.
@@ -0,0 +1,63 @@
+---
+id: V4
+titel: Active Directory – Domäne, Organisationseinheiten, Gruppen
+block: server
+woche: 10
+worum: Active Directory ist das Verzeichnis, in dem steht, wer jemand ist und was er darf. Seine Struktur entscheidet, ob es nach fünf Jahren noch beherrschbar ist.
+rahmenplan: [B3, A6, B1]
+lernfeld: LF10
+merksatz: OUs ordnen, Gruppen berechtigen. Konten in globale Gruppen, globale in domänenlokale, Rechte an die domänenlokalen.
+karten:
+  - frage: Wozu dienen Organisationseinheiten und wozu Gruppen im Active Directory?
+    antwort: Organisationseinheiten ordnen Objekte und sind der Ort, an dem Gruppenrichtlinien verknüpft und Verwaltungsaufgaben delegiert werden. Gruppen vergeben Berechtigungen. Ein Konto liegt in genau einer OU, kann aber in vielen Gruppen sein.
+  - frage: Wofür steht AGDLP?
+    antwort: Accounts in Global groups, Global groups in Domain Local groups, Permissions an die Domain Local groups. Die globale Gruppe beschreibt die Rolle (etwa Buchhaltung), die domänenlokale das Recht (etwa Ablage Buchhaltung ändern).
+  - frage: Warum betreibt man mindestens zwei Domänencontroller?
+    antwort: Weil ohne Domänencontroller niemand sich anmelden kann und die Namensauflösung oft ebenfalls ausfällt. Mit zwei Domänencontrollern übernimmt der zweite, wenn einer ausfällt oder gewartet wird.
+---
+
+## Das Wesentliche
+
+- **Die Domäne** ist der Verwaltungsbereich: Benutzer, Computer, Gruppen und Richtlinien an
+  einer zentralen Stelle. Ein Rechner, der Mitglied der Domäne ist, lässt Anmeldungen mit
+  Domänenkonten zu.
+- **Domänencontroller** halten das Verzeichnis und prüfen Anmeldungen. Mindestens zwei, damit
+  ein Ausfall oder eine Wartung niemanden aussperrt.
+- **Active Directory braucht DNS.** Clients finden die Domänencontroller über DNS-Einträge.
+  Ein Client mit falschem DNS-Server findet die Domäne nicht – die häufigste Ursache für
+  „Domäne nicht verfügbar".
+- **Organisationseinheiten (OUs)** ordnen: nach Standort, nach Abteilung oder nach Art des
+  Objekts. An OUs werden Gruppenrichtlinien verknüpft und Verwaltung delegiert. Konten und
+  Computer gehören nicht in die Standardcontainer, sondern in eigene OUs.
+- **Gruppen berechtigen.** Die Struktur nach **AGDLP**: Konten (A) kommen in globale Gruppen
+  nach Rolle (G), diese in domänenlokale Gruppen nach Recht (DL), und nur die domänenlokalen
+  Gruppen bekommen Berechtigungen (P).
+- **Namen nach Regel:** `GG-Buchhaltung` für die Rolle, `DL-FS-Buchhaltung-Aendern` für das
+  Recht. Aus dem Namen soll hervorgehen, wofür die Gruppe da ist.
+- **Ein Konto einrichten heißt nicht, einen Kollegen zu kopieren.** Wer kopiert, kopiert auch
+  alle Rechte, die der Kollege über die Jahre angesammelt hat.
+
+## Übersicht
+
+| Gruppenbereich | Mitglieder | Typischer Zweck |
+|---|---|---|
+| Global | Konten und globale Gruppen derselben Domäne | Rolle: Buchhaltung, Vertrieb, IT |
+| Domänenlokal | Konten und Gruppen aus allen Domänen | Recht an einer Ressource dieser Domäne |
+| Universal | Konten und Gruppen aus allen Domänen | Rollen über mehrere Domänen hinweg |
+
+In einem Betrieb mit einer einzigen Domäne genügen globale und domänenlokale Gruppen.
+
+## Prüfungsfrage
+
+**Frage:** Die Mitarbeiter der Buchhaltung sollen auf der Freigabe `Buchhaltung` Dateien
+ändern dürfen, die Geschäftsführung soll sie nur lesen. Beschreiben Sie die Umsetzung nach
+AGDLP.
+
+**Antwort:** Konten der Buchhaltung kommen in die globale Gruppe `GG-Buchhaltung`, Konten der
+Geschäftsführung in `GG-Geschaeftsfuehrung`. Für die Rechte werden zwei domänenlokale Gruppen
+angelegt: `DL-FS-Buchhaltung-Aendern` und `DL-FS-Buchhaltung-Lesen`. `GG-Buchhaltung` wird
+Mitglied von `DL-FS-Buchhaltung-Aendern`, `GG-Geschaeftsfuehrung` Mitglied von
+`DL-FS-Buchhaltung-Lesen`. Nur die beiden domänenlokalen Gruppen erhalten NTFS-Berechtigungen
+auf dem Ordner – Ändern bzw. Lesen. Wechselt jemand die Abteilung, wird nur seine
+Mitgliedschaft in der globalen Gruppe geändert; an den Berechtigungen auf dem Ordner ändert
+sich nichts.
@@ -0,0 +1,64 @@
+---
+id: V5
+titel: Gruppenrichtlinien – Einstellungen für alle auf einmal
+block: server
+woche: 10
+worum: Mit Gruppenrichtlinien setzt man Einstellungen zentral, statt sie an jedem Rechner von Hand vorzunehmen. Wer die Reihenfolge der Anwendung nicht kennt, sucht lange nach dem Grund, warum eine Einstellung nicht greift.
+rahmenplan: [B3, A6, A8]
+lernfeld: LF10
+merksatz: Lokal, Standort, Domäne, OU – was zuletzt kommt, gewinnt. gpresult sagt, was wirklich angekommen ist.
+karten:
+  - frage: In welcher Reihenfolge werden Gruppenrichtlinien angewendet, und welche setzt sich durch?
+    antwort: Lokal, Standort, Domäne, Organisationseinheit (von oben nach unten) – kurz LSDOU. Bei widersprüchlichen Einstellungen gewinnt die zuletzt angewendete, also die der untersten OU – es sei denn, eine höhere Richtlinie ist als erzwungen markiert.
+  - frage: Mit welchen Befehlen prüft und erzwingt man die Anwendung von Gruppenrichtlinien auf einem Client?
+    antwort: gpupdate /force wendet die Richtlinien sofort neu an. gpresult /r zeigt, welche Richtlinien für Computer und Benutzer tatsächlich angewendet oder herausgefiltert wurden.
+  - frage: Was ist der Unterschied zwischen Computer- und Benutzerkonfiguration einer Gruppenrichtlinie?
+    antwort: Die Computerkonfiguration wirkt auf Computerkonten und greift beim Start des Rechners, die Benutzerkonfiguration wirkt auf Benutzerkonten und greift bei der Anmeldung. Eine Richtlinie mit Benutzereinstellungen an einer OU, die nur Computer enthält, bewirkt deshalb nichts.
+---
+
+## Das Wesentliche
+
+- **Ein Gruppenrichtlinienobjekt (GPO)** bündelt Einstellungen – etwa Bildschirmsperre,
+  Laufwerkszuordnungen, Updates, Sicherheitsoptionen – und wird an einen Standort, die
+  Domäne oder eine OU **verknüpft**.
+- **Computer- und Benutzerkonfiguration:** Die eine wirkt auf Rechner beim Start, die andere
+  auf Benutzer bei der Anmeldung. Wirksam wird nur, was zu den Objekten in der verknüpften OU
+  passt.
+- **Reihenfolge LSDOU:** lokal, Standort, Domäne, OU, bei geschachtelten OUs von oben nach
+  unten. Was später kommt, überschreibt Früheres.
+- **Ausnahmen:** Eine als **erzwungen** markierte Verknüpfung setzt sich gegen tiefere durch.
+  An einer OU lässt sich die **Vererbung deaktivieren**. Beides sparsam einsetzen – jede
+  Ausnahme ist eine Stelle, an der man später sucht.
+- **Filtern** nach Sicherheitsgruppe, wenn eine Richtlinie nur für einen Teil der Objekte
+  gelten soll – statt dafür eine eigene OU anzulegen.
+- **Aktualisierung:** Clients holen Richtlinien beim Start, bei der Anmeldung und danach etwa
+  alle 90 Minuten. Manche Einstellungen, etwa Softwareverteilung, greifen erst nach Neustart
+  oder Neuanmeldung.
+- **Prüfen statt raten:** `gpresult /r` zeigt am Client, was angekommen ist und was
+  herausgefiltert wurde. `gpupdate /force` wendet sofort neu an.
+- **Eine Richtlinie, ein Zweck.** `GPO-Clients-Bildschirmsperre` ist auffindbar und
+  abschaltbar; eine Richtlinie mit 80 gemischten Einstellungen ist es nicht.
+
+## Übersicht
+
+| Vorhaben | Wo einstellen |
+|---|---|
+| Bildschirmsperre nach 10 Minuten für alle Clients | Computerkonfiguration, verknüpft an die OU der Clients |
+| Laufwerk `S:` für die Buchhaltung | Benutzerkonfiguration (Einstellungen), gefiltert auf die Gruppe der Buchhaltung |
+| Kennwortrichtlinie der Domäne | Standard-Domänenrichtlinie |
+| Ausnahme für einen einzelnen Testrechner | Eigene OU oder Filterung – nicht die Vererbung für alle abschalten |
+
+## Prüfungsfrage
+
+**Frage:** Eine neue Gruppenrichtlinie für eine Bildschirmsperre wirkt auf den Rechnern der
+Verwaltung nicht. Beschreiben Sie Ihr Vorgehen bei der Fehlersuche.
+
+**Antwort:** (1) Prüfen, ob die Richtlinie an die richtige OU verknüpft und die Verknüpfung
+aktiviert ist – und ob die Rechner tatsächlich in dieser OU liegen. (2) Prüfen, ob die
+Einstellung im passenden Teil steht: Liegen in der OU nur Computerkonten, muss sie in der
+Computerkonfiguration stehen. (3) Am Client `gpupdate /force` ausführen, ggf. neu starten,
+und mit `gpresult /r` prüfen, ob die Richtlinie angewendet oder herausgefiltert wurde –
+etwa durch eine Sicherheitsfilterung. (4) Prüfen, ob eine später angewendete oder erzwungene
+Richtlinie die Einstellung überschreibt oder die Vererbung an einer OU deaktiviert ist.
+(5) Bei Fehlern in `gpresult` die Erreichbarkeit des Domänencontrollers und die
+DNS-Einstellungen des Clients prüfen.
@@ -0,0 +1,66 @@
+---
+id: V6
+titel: Datei- und Druckdienste zentral bereitstellen
+block: server
+woche: 10
+worum: Ein zentraler Dateiserver und ein Druckserver sind unspektakulär – solange sie geplant sind. Ungeplant werden sie zur größten Rumpelkammer im Betrieb.
+rahmenplan: [B3, A9, A8]
+lernfeld: LF10
+merksatz: Struktur nach Abteilungen, Rechte nach Gruppen, Laufwerke per Richtlinie, Treiber nur von der IT.
+karten:
+  - frage: Was sind Schattenkopien auf einem Dateiserver, und ersetzen sie die Datensicherung?
+    antwort: Zeitpunktkopien eines Laufwerks, über die Benutzer selbst frühere Fassungen einer Datei zurückholen können (Vorgängerversionen). Sie liegen auf demselben Laufwerk und ersetzen deshalb keine Datensicherung.
+  - frage: Welchen Vorteil hat ein Druckserver gegenüber direkt verbundenen Druckern an jedem Client?
+    antwort: Treiber, Warteschlangen und Einstellungen werden an einer Stelle gepflegt und per Gruppenrichtlinie verteilt. Ein Treiberwechsel oder ein neuer Drucker muss nicht an jedem Rechner einzeln eingerichtet werden.
+  - frage: Warum ordnet man Laufwerke per Gruppenrichtlinie statt per Hand zu?
+    antwort: Weil die Zuordnung dann für alle gleich ist, sich nach Gruppenzugehörigkeit richtet und bei einem Abteilungswechsel von selbst angepasst wird. Handzuordnungen sind nach dem ersten Rechnerwechsel weg.
+---
+
+## Das Wesentliche
+
+- **Eine Ablagestruktur, die der Betrieb versteht:** oben die Abteilungen, darunter, was die
+  Abteilung selbst gliedert. Dazu ein Bereich für abteilungsübergreifende Projekte und ein
+  Austauschordner, der regelmäßig geleert wird.
+- **Rechte nach AGDLP** und so flach wie möglich: Berechtigungen auf der obersten Ebene einer
+  Abteilung setzen und vererben lassen. Jede Unterbrechung der Vererbung tiefer unten ist
+  eine künftige Supportanfrage.
+- **Freigabe und NTFS:** Freigabe meist „Authentifizierte Benutzer – Ändern" oder
+  „Vollzugriff", die eigentliche Steuerung über NTFS. Siehe Handout S2.
+- **Laufwerke per Gruppenrichtlinie** zuordnen, gefiltert auf die Gruppe. Dann bekommt jeder
+  genau die Laufwerke seiner Rolle – auch am neuen Rechner.
+- **Schattenkopien** einschalten: Benutzer holen versehentlich überschriebene Dateien selbst
+  zurück. Sie ersetzen keine Sicherung, sparen aber viele Tickets.
+- **Kontingente und Dateiprüfung** verhindern, dass ein einzelner Ordner den Server füllt –
+  oder dass dort private Videosammlungen landen.
+- **Druckserver:** Drucker zentral einrichten, Treiber zentral pflegen, Zuordnung per
+  Richtlinie. Standardbenutzer dürfen Druckertreiber seit 2021 nicht mehr ohne Weiteres selbst
+  installieren – Treiber verteilt deshalb die IT.
+- **Drucker an Standorte binden**, nicht an Personen: Wer im Lager arbeitet, braucht den
+  Drucker im Lager, egal an welchem Rechner.
+
+## Übersicht
+
+```
+\\srv-datei-01\Daten
+├── Buchhaltung      DL-FS-Buchhaltung-Aendern / -Lesen
+├── Einkauf          DL-FS-Einkauf-Aendern / -Lesen
+├── Vertrieb         DL-FS-Vertrieb-Aendern / -Lesen
+├── Projekte         je Projekt eine eigene Gruppe
+├── Vorlagen         alle lesen, nur Verwaltung ändert
+└── Austausch        alle ändern, wird jeden Freitag geleert
+```
+
+## Prüfungsfrage
+
+**Frage:** Eine Mitarbeiterin hat am Vormittag eine wichtige Tabelle auf dem Dateiserver
+versehentlich überschrieben. Welche Möglichkeiten der Wiederherstellung gibt es, und in
+welcher Reihenfolge prüfen Sie sie?
+
+**Antwort:** (1) Schattenkopien: Sind sie eingeschaltet, kann die Mitarbeiterin über
+„Vorgängerversionen" im Eigenschaftendialog selbst die letzte Fassung vor der Änderung
+zurückholen – am schnellsten und ohne Eingriff der IT. (2) Programmeigene Versionen, etwa die
+Versionsverwaltung der Anwendung oder automatisch gespeicherte Fassungen. (3) Die
+Datensicherung: Die Datei wird aus der letzten Sicherung vor dem Überschreiben
+wiederhergestellt, am besten unter einem anderen Namen, damit die Mitarbeiterin vergleichen
+kann. Die Reihenfolge folgt dem Aufwand und der Aktualität: Eine Schattenkopie vom Vormittag
+ist näher am verlorenen Stand als die Sicherung der letzten Nacht.
@@ -0,0 +1,94 @@
+id: woche-05
+woche: 5
+titel: Lernzielkontrolle Woche 5 – Ausbildung, Betrieb und Zusammenarbeit
+dauer_minuten: 40
+hinweis: >-
+  Offene Fragen. Antworten in ganzen Sätzen; bei Rechtsfragen genügt die
+  sinngemäße Regel, die Paragrafennummer ist nicht gefordert.
+
+fragen:
+  - id: f1
+    frage: >-
+      Ein Auszubildender ist seit sechs Wochen im Betrieb und möchte die
+      Ausbildung beenden, weil er doch studieren will. Was muss er beachten?
+      Wie wäre es nach acht Monaten?
+    punkte: 6
+    musterloesung: >-
+      Nach sechs Wochen liegt er in der Probezeit (ein bis vier Monate). Er kann
+      jederzeit ohne Einhaltung einer Frist und ohne Angabe von Gründen kündigen,
+      die Kündigung muss aber schriftlich erfolgen. Nach acht Monaten ist die
+      Probezeit vorbei: Er kann dann mit einer Frist von vier Wochen kündigen,
+      weil er die Berufsausbildung aufgeben will; die Kündigung muss schriftlich
+      und unter Angabe des Grundes erfolgen. (Probezeit 2 P., Kündigung darin 1 P.,
+      Frist danach 2 P., Schriftform mit Grund 1 P.)
+
+  - id: f2
+    frage: >-
+      Nennen Sie je drei Pflichten des Auszubildenden und des Ausbildungsbetriebs.
+    punkte: 6
+    musterloesung: >-
+      Auszubildender (drei aus): sich bemühen, die berufliche Handlungsfähigkeit
+      zu erwerben; übertragene Aufgaben sorgfältig ausführen; an
+      Ausbildungsmaßnahmen und der Berufsschule teilnehmen; Weisungen im Rahmen
+      der Ausbildung befolgen; die Betriebsordnung beachten; Geräte und
+      Werkzeuge pfleglich behandeln; über Betriebs- und Geschäftsgeheimnisse
+      Stillschweigen wahren; den Ausbildungsnachweis führen.
+      Betrieb (drei aus): die Ausbildung planmäßig durchführen; Ausbildungsmittel
+      kostenlos zur Verfügung stellen; zum Besuch der Berufsschule freistellen
+      und anhalten; Zeit zum Führen des Ausbildungsnachweises geben und ihn
+      regelmäßig durchsehen; nur ausbildungsbezogene Aufgaben übertragen; eine
+      angemessene Vergütung zahlen. (Je Pflicht 1 P.)
+
+  - id: f3
+    frage: >-
+      Warum lohnt es sich, das Berichtsheft gewissenhaft zu führen? Nennen Sie
+      zwei Gründe.
+    punkte: 4
+    musterloesung: >-
+      (1) Ein ordnungsgemäß geführter Ausbildungsnachweis ist Voraussetzung für
+      die Zulassung zur Abschlussprüfung. (2) Er belegt gegenüber Betrieb und
+      Kammer, was tatsächlich vermittelt wurde – bei Streit über ausbildungsfremde
+      Tätigkeiten oder Lücken ist er das wichtigste Beweismittel. Ebenfalls
+      richtig: Er hilft bei der Prüfungsvorbereitung, weil er zeigt, welche Themen
+      schon behandelt wurden. (Je Grund 2 P.)
+
+  - id: f4
+    frage: >-
+      Erklären Sie den Unterschied zwischen Aufbau- und Ablauforganisation an
+      einem Beispiel aus Ihrem Betrieb.
+    punkte: 6
+    musterloesung: >-
+      Die Aufbauorganisation beschreibt die Struktur: Abteilungen, Stellen und
+      Weisungsbeziehungen, dargestellt im Organigramm – etwa dass die IT der
+      kaufmännischen Leitung unterstellt ist. Die Ablauforganisation beschreibt,
+      wie Arbeit über die Stellen hinweg fließt – etwa der Weg einer
+      Kundenbestellung vom Vertrieb über die Arbeitsvorbereitung und Fertigung
+      bis zum Versand und zur Rechnung. (Definition je 2 P., stimmiges Beispiel 2 P.)
+
+  - id: f5
+    frage: >-
+      Ein Kollege schreibt Ihnen im Chat das Passwort für einen Serverzugang,
+      damit Sie eine Störung beheben können. Wie bewerten Sie das, und wie wäre
+      es richtig gewesen?
+    punkte: 5
+    musterloesung: >-
+      Passwörter gehören nicht in den Chat: Nachrichten werden gespeichert,
+      lassen sich weiterleiten, sind auf mehreren Geräten sichtbar und oft auch
+      für Administratoren der Plattform lesbar. Richtig wäre, den Zugang über den
+      Passwortmanager des Teams zu teilen oder ein persönliches Konto mit den
+      nötigen Rechten einzurichten. Ist das Passwort bereits im Chat gelandet,
+      wird es nach der Störung geändert. (Bewertung mit Begründung 3 P.,
+      richtiger Weg 2 P.)
+
+  - id: f6
+    frage: >-
+      Ordnen Sie jedem Anliegen den passenden Kommunikationsweg zu und begründen
+      Sie kurz: (a) Der Drucker im Lager druckt nicht. (b) Sie möchten wissen,
+      ob ein Kollege um 14 Uhr Zeit hat. (c) Sie sagen einem Lieferanten einen
+      Liefertermin zu.
+    punkte: 6
+    musterloesung: >-
+      (a) Ticket – die Störung muss erfasst, zugewiesen und nachvollziehbar
+      abgeschlossen werden. (b) Chat oder kurzer Anruf – eine schnelle Absprache
+      ohne Nachweisbedarf. (c) E-Mail – eine Zusage an Externe muss nachweisbar
+      sein und an einen bestimmten Empfänger gehen. (Je Zuordnung mit Begründung 2 P.)
@@ -0,0 +1,86 @@
+id: woche-07
+woche: 7
+titel: Lernzielkontrolle Woche 7 – Skripting mit PowerShell
+dauer_minuten: 45
+hinweis: >-
+  Offene Fragen. Bei Code zählt, dass er funktionieren würde – Schreibweise von
+  Groß- und Kleinbuchstaben und kleine Tippfehler werden nicht abgezogen.
+
+fragen:
+  - id: f1
+    frage: >-
+      Erklären Sie, was in der PowerShell-Pipeline von Befehl zu Befehl
+      weitergereicht wird, und welchen Vorteil das gegenüber einer Shell hat,
+      die Text weiterreicht.
+    punkte: 5
+    musterloesung: >-
+      Weitergereicht werden Objekte mit Eigenschaften und Methoden, keine
+      Textzeilen. Der nächste Befehl kann direkt auf Eigenschaften wie Status,
+      Name oder Größe zugreifen, nach ihnen filtern und sortieren. Bei einer
+      Textshell müsste man die gewünschte Angabe erst aus der Zeile
+      herausschneiden; ändert sich das Ausgabeformat, bricht das Skript.
+      (Objekte 2 P., Vorteil mit Begründung 3 P.)
+
+  - id: f2
+    frage: >-
+      Schreiben Sie eine Befehlszeile, die die zehn größten Dateien im Ordner
+      D:\Daten (ohne Unterordner) mit Name und Größe anzeigt, die größte zuerst.
+    punkte: 6
+    musterloesung: >-
+      Get-ChildItem D:\Daten -File | Sort-Object Length -Descending |
+      Select-Object -First 10 Name, Length. Bewertung: Dateien des Ordners
+      abrufen (2 P.), absteigend nach Length sortieren (2 P.), auf zehn
+      begrenzen und die Eigenschaften auswählen (2 P.). Der Schalter -File ist
+      wünschenswert, aber nicht gefordert.
+
+  - id: f3
+    frage: >-
+      Was gibt das folgende Skript aus? Begründen Sie.
+      $liste = @(3, 8, 12, 5);
+      $treffer = 0;
+      foreach ($zahl in $liste) { if ($zahl -gt 4) { $treffer++ } };
+      $treffer
+    punkte: 4
+    musterloesung: >-
+      Ausgabe: 3. Die Schleife geht alle vier Zahlen durch; die Bedingung ist
+      bei 8, 12 und 5 erfüllt, nicht bei 3. Bei jedem Treffer wird der Zähler
+      um eins erhöht. (Ergebnis 2 P., Begründung 2 P.)
+
+  - id: f4
+    frage: >-
+      Erklären Sie den Unterschied zwischen -eq, -like und -match an je einem
+      Beispiel.
+    punkte: 6
+    musterloesung: >-
+      -eq vergleicht auf Gleichheit: 'PC-001' -eq 'pc-001' ist wahr, weil
+      Groß- und Kleinschreibung keine Rolle spielt. -like vergleicht mit
+      Platzhaltern: 'PC-001' -like 'PC-*' ist wahr. -match prüft gegen einen
+      regulären Ausdruck: 'PC-001' -match '^PC-\d{3}$' ist wahr, weil auf
+      "PC-" genau drei Ziffern folgen. (Je Operator mit Beispiel 2 P.)
+
+  - id: f5
+    frage: >-
+      Ein Skript soll alte Benutzerprofile löschen. Was tun Sie, bevor Sie es
+      auf allen Rechnern ausführen? Nennen Sie drei Schritte.
+    punkte: 6
+    musterloesung: >-
+      (1) Mit -WhatIf laufen lassen und prüfen, welche Profile betroffen wären.
+      (2) Zuerst an einem Testrechner, dann an einem einzelnen echten Rechner
+      ausführen und das Ergebnis kontrollieren. (3) Sicherstellen, dass eine
+      aktuelle Sicherung der betroffenen Daten vorliegt. Ebenfalls richtig:
+      Änderung ankündigen bzw. als Änderungsanfrage freigeben lassen, Protokoll
+      der gelöschten Profile schreiben, Ausschlussliste für Dienst- und
+      Administratorkonten einbauen. (Je Schritt 2 P.)
+
+  - id: f6
+    frage: >-
+      Im folgenden Ausschnitt wird ein Fehler beim Kopieren nicht vom
+      catch-Block aufgefangen. Warum, und wie beheben Sie das?
+      try { Copy-Item \\server\vorlagen\*.docx C:\Vorlagen } catch { Write-Warning 'Kopieren fehlgeschlagen' }
+    punkte: 5
+    musterloesung: >-
+      Copy-Item meldet die meisten Fehler als nicht abbrechende Fehler: Er gibt
+      eine Fehlermeldung aus und läuft weiter, der catch-Block wird nicht
+      erreicht. Abhilfe: -ErrorAction Stop an den Befehl anhängen, dann wird der
+      Fehler zu einem abbrechenden Fehler und vom catch-Block aufgefangen.
+      (Ursache 3 P., Behebung 2 P.)
@@ -0,0 +1,90 @@
+id: woche-09
+woche: 9
+titel: Lernzielkontrolle Woche 9 – Virtualisierung
+dauer_minuten: 40
+hinweis: >-
+  Offene Fragen. Produktnamen sind als Beispiel willkommen, aber nicht
+  gefordert – es zählt das Prinzip.
+
+fragen:
+  - id: f1
+    frage: >-
+      Erklären Sie den Unterschied zwischen einem Hypervisor vom Typ 1 und vom
+      Typ 2 und nennen Sie je einen typischen Einsatz.
+    punkte: 5
+    musterloesung: >-
+      Typ 1 läuft direkt auf der Hardware ohne darunterliegendes Betriebssystem
+      und verwaltet die Ressourcen selbst – Einsatz: Servervirtualisierung im
+      Rechenzentrum, z. B. Proxmox VE, Hyper-V, VMware ESXi. Typ 2 läuft als
+      Anwendung auf einem Wirtsbetriebssystem – Einsatz: Test- und
+      Schulungsumgebungen am Arbeitsplatz, z. B. VirtualBox. (Unterschied 3 P.,
+      Einsatz je 1 P.)
+
+  - id: f2
+    frage: >-
+      Ein Kollege möchte vor einem Update einen Snapshot anlegen und ihn
+      „sicherheitshalber" die nächsten drei Monate behalten. Was raten Sie ihm,
+      und warum?
+    punkte: 6
+    musterloesung: >-
+      Den Snapshot vor dem Update anlegen ist richtig. Nach einer kurzen
+      Beobachtungszeit, wenn das Update fehlerfrei läuft, sollte er ihn aber
+      löschen: Der Snapshot wächst mit jeder Änderung, belegt Speicher und
+      verlangsamt die VM; außerdem hängt er von der Ausgangsdatei ab und liegt
+      auf demselben Speicher, schützt also nicht vor dessen Ausfall. Für einen
+      Rückweg über Wochen ist die Datensicherung zuständig. (Empfehlung 2 P.,
+      Begründung 4 P.)
+
+  - id: f3
+    frage: >-
+      Ein Host hat 16 physische Kerne und 128 GB Arbeitsspeicher. Darauf sollen
+      zwölf VMs mit je 4 virtuellen Kernen und 12 GB laufen. Beurteilen Sie die
+      Planung.
+    punkte: 6
+    musterloesung: >-
+      Prozessor: 48 virtuelle auf 16 physische Kerne, also 3 zu 1 überbucht. Das
+      ist bei Servern mit gemischter Last üblich und meist unproblematisch,
+      sollte aber anhand der Auslastung beobachtet werden. Arbeitsspeicher:
+      12 × 12 GB = 144 GB bei 128 GB physisch – überbucht, zumal der Host selbst
+      ebenfalls Speicher braucht. Das führt zu Auslagerung und spürbaren
+      Einbrüchen. Abhilfe: Speicher je VM nach gemessenem Bedarf verringern,
+      Arbeitsspeicher aufrüsten oder VMs auf einen zweiten Host verteilen.
+      (Prozessor 2 P., Speicher mit Rechnung 3 P., Abhilfe 1 P.)
+
+  - id: f4
+    frage: >-
+      Was versteht man unter Thin Provisioning, und welches Risiko entsteht
+      dabei? Nennen Sie eine Gegenmaßnahme.
+    punkte: 5
+    musterloesung: >-
+      Eine virtuelle Festplatte belegt nur den tatsächlich beschriebenen Platz
+      und wächst bei Bedarf bis zur zugesagten Größe. Werden insgesamt mehr
+      zugesagt als physisch vorhanden, kann der Speicher volllaufen; dann
+      bleiben alle VMs auf diesem Speicher stehen. Gegenmaßnahme: den
+      tatsächlichen Füllstand überwachen und bei Warnschwellen rechtzeitig
+      erweitern oder aufräumen. (Begriff 2 P., Risiko 2 P., Maßnahme 1 P.)
+
+  - id: f5
+    frage: >-
+      Nennen Sie vier Angaben, die zu jeder virtuellen Maschine dokumentiert
+      werden sollten, und begründen Sie eine davon.
+    punkte: 5
+    musterloesung: >-
+      Vier aus: Zweck, Verantwortlicher, Betriebssystem, Ressourcen, Netz bzw.
+      VLAN und IP-Adresse, Speicherort, Sicherung, Datum der Bereitstellung.
+      Beispielbegründung Verantwortlicher: Ohne ihn weiß niemand, ob die VM noch
+      gebraucht wird, wer Änderungen freigibt und wen man bei einer Störung
+      fragt – solche VMs werden nie abgeschaltet und nie gepflegt.
+      (Je Angabe 1 P., Begründung 1 P.)
+
+  - id: f6
+    frage: >-
+      Worin unterscheidet sich ein Container von einer virtuellen Maschine?
+    punkte: 4
+    musterloesung: >-
+      Eine virtuelle Maschine hat ein vollständiges eigenes Betriebssystem auf
+      virtueller Hardware. Ein Container teilt sich den Kern des
+      Host-Betriebssystems und bringt nur die Anwendung mit ihren
+      Abhängigkeiten mit. Container starten dadurch schneller und brauchen
+      weniger Ressourcen, sind aber weniger stark voneinander getrennt.
+      (Unterschied 2 P., Folgen 2 P.)
@@ -0,0 +1,95 @@
+id: woche-11
+woche: 11
+titel: Lernzielkontrolle Woche 11 – Netze trennen und verbinden
+dauer_minuten: 45
+hinweis: >-
+  Offene Fragen. Bei Rechen- und Zuordnungsaufgaben zählt die Begründung.
+
+fragen:
+  - id: f1
+    frage: >-
+      Erklären Sie den Unterschied zwischen einem Access-Port und einem
+      Trunk-Port und nennen Sie je ein Gerät, das typischerweise daran
+      angeschlossen wird.
+    punkte: 5
+    musterloesung: >-
+      Ein Access-Port gehört zu genau einem VLAN und überträgt Rahmen ohne
+      VLAN-Markierung; angeschlossen wird ein Endgerät wie ein Arbeitsplatzrechner
+      oder Drucker. Ein Trunk-Port überträgt mehrere VLANs und markiert die Rahmen
+      nach IEEE 802.1Q mit der VLAN-ID; angeschlossen werden ein weiterer Switch,
+      ein Router bzw. eine Firewall oder ein Access Point mit mehreren
+      Funknetzen. (Unterschied 3 P., Geräte je 1 P.)
+
+  - id: f2
+    frage: >-
+      Aus 10.20.0.0/24 sollen drei VLANs mit je höchstens 50 Geräten versorgt
+      werden. Geben Sie für jedes VLAN Netzadresse, Maske und Gateway an.
+    punkte: 6
+    musterloesung: >-
+      50 Geräte brauchen 52 Adressen, also Blockgröße 64 (/26) mit 62 nutzbaren.
+      VLAN A: 10.20.0.0/26, Gateway 10.20.0.1. VLAN B: 10.20.0.64/26, Gateway
+      10.20.0.65. VLAN C: 10.20.0.128/26, Gateway 10.20.0.129. Ein Block
+      (10.20.0.192/26) bleibt als Reserve. Als Gateway ist auch die jeweils
+      letzte nutzbare Adresse richtig, wenn die Wahl einheitlich ist.
+      (Maske mit Begründung 2 P., je VLAN 1 P., Reserve erkannt 1 P.)
+
+  - id: f3
+    frage: >-
+      Eine Firewall hat für das Gästenetz folgende Regeln in dieser Reihenfolge:
+      (1) Gäste nach beliebig, HTTP und HTTPS – erlauben.
+      (2) Gäste nach 10.10.0.0/16, alle Dienste – blockieren.
+      (3) Gäste nach Firewall, DNS – erlauben.
+      (4) beliebig nach beliebig – blockieren.
+      Ein Gast ruft https://10.10.20.21 auf, einen internen Server. Was passiert,
+      und wie beheben Sie den Fehler?
+    punkte: 6
+    musterloesung: >-
+      Die Verbindung wird erlaubt: Regeln werden von oben nach unten geprüft, und
+      die erste passende entscheidet. HTTPS an eine beliebige Adresse passt auf
+      Regel 1, Regel 2 wird nie erreicht. Behebung: Die Sperre der internen Netze
+      muss vor der allgemeinen Erlaubnis stehen. Die DNS-Regel gehört an den
+      Anfang: Liegt die Adresse der Firewall im Gästenetz ebenfalls in
+      10.10.0.0/16, würde die Sperre sonst auch die Namensauflösung blockieren.
+      Richtige Reihenfolge also 3, 2, 1, 4. (Ergebnis 2 P., Begründung 2 P.,
+      Behebung 2 P. – die Reihenfolge 2, 3, 1, 4 gibt 1 P., wenn die Sperre vor der
+      Erlaubnis erkannt ist.)
+
+  - id: f4
+    frage: >-
+      Ein Router kennt die Routen 0.0.0.0/0 über 192.0.2.1 und 172.16.0.0/12 über
+      10.0.0.2 sowie 172.16.5.0/24 über 10.0.0.3. Wohin gehen Pakete an
+      172.16.5.20, 172.20.1.1 und 172.32.0.1?
+    punkte: 6
+    musterloesung: >-
+      172.16.5.20 passt auf alle drei Routen; die genaueste ist 172.16.5.0/24,
+      also über 10.0.0.3. 172.20.1.1 liegt in 172.16.0.0/12 (172.16.0.0 bis
+      172.31.255.255), also über 10.0.0.2. 172.32.0.1 liegt außerhalb davon und
+      passt nur auf die Standardroute, also über 192.0.2.1. (Je Ziel 2 P.)
+
+  - id: f5
+    frage: >-
+      Warum ist WPA2/WPA3-Enterprise für ein Firmen-WLAN besser geeignet als ein
+      gemeinsamer Schlüssel? Nennen Sie zwei Gründe.
+    punkte: 4
+    musterloesung: >-
+      (1) Jeder meldet sich mit eigenen Zugangsdaten oder einem Zertifikat an; beim
+      Ausscheiden eines Mitarbeiters wird nur dessen Zugang gesperrt, statt den
+      Schlüssel für alle zu ändern. (2) Anmeldungen lassen sich einer Person
+      zuordnen und protokollieren. Ebenfalls richtig: Der Zugang lässt sich an
+      Gruppen im Verzeichnisdienst koppeln und einem VLAN zuweisen; ein
+      weitergegebener Schlüssel öffnet nicht das ganze Netz. (Je Grund 2 P.)
+
+  - id: f6
+    frage: >-
+      Im Lager ist das WLAN trotz voller Sendeleistung der beiden Access Points
+      schlecht. Nennen Sie drei mögliche Ursachen und je eine Maßnahme.
+    punkte: 6
+    musterloesung: >-
+      Drei aus: (1) Dämpfung durch Stahlregale und Waren – Ausleuchtung messen und
+      zusätzliche Access Points an den Gängen anbringen. (2) Beide Access Points
+      auf demselben oder einem überlappenden Kanal im 2,4-GHz-Band – auf 1, 6 und
+      11 verteilen oder 5 GHz nutzen. (3) Zu hohe Sendeleistung, Endgeräte
+      bleiben am fernen Access Point hängen – Sendeleistung senken, mehr Access
+      Points. (4) Störungen durch Fremdnetze oder Geräte – Kanalwahl anhand einer
+      Messung. (5) Veraltete Endgeräte, die nur 2,4 GHz oder alte Standards können –
+      Geräte tauschen oder ein eigenes Funknetz dafür. (Je Ursache mit Maßnahme 2 P.)
@@ -203,3 +203,15 @@ bloecke:
    kuerzel: S
    titel: Betriebssysteme und Dienste
    farbe: petrol
+  - id: sicherheit
+    kuerzel: I
+    titel: IT-Sicherheit und Datenschutz
+    farbe: petrol
+  - id: programmierung
+    kuerzel: P
+    titel: Skripting und Automatisierung
+    farbe: petrol
+  - id: server
+    kuerzel: V
+    titel: Server und Virtualisierung
+    farbe: petrol
@@ -0,0 +1,30 @@
+nummer: 5
+titel: Ausbildung, Betrieb und Zusammenarbeit
+block: arbeitsalltag
+leitfrage: Für wen arbeitet die IT – und woher weißt du, was diese Leute brauchen?
+ziel: >-
+  Du kennst deine Rechte und Pflichten in der Ausbildung, kannst den Aufbau des
+  Betriebs aus Sicht der IT beschreiben und wählst für jede Absprache den
+  passenden Kanal.
+
+handouts: [A4, A5, A6]
+aufgaben: ["5.1"]
+checklisten: []
+lernzielkontrolle: woche-05
+
+tage:
+  - tag: Montag
+    theorie: [A4]
+    praxis: Den eigenen Ausbildungsvertrag und den betrieblichen Ausbildungsplan durchlesen, Fragen notieren und mit dem Ausbilder klären.
+  - tag: Dienstag
+    theorie: [A5]
+    praxis: Praxisaufgabe 5.1 beginnen – Organigramm besorgen, Gesprächstermine mit allen Abteilungen vereinbaren, erste Gespräche führen.
+  - tag: Mittwoch
+    theorie: [A6]
+    praxis: Ablage der IT-Dokumentation sichten, drei veraltete oder doppelte Dokumente finden und einen Vorschlag zur Bereinigung machen.
+  - tag: Donnerstag
+    theorie: []
+    praxis: Praxisaufgabe 5.1 abschließen – restliche Gespräche, Abhängigkeiten einzeichnen, Übersicht ablegen, Tickets anlegen.
+  - tag: Freitag
+    theorie: []
+    praxis: Lernzielkontrolle, danach Berichtsheft schreiben.
@@ -0,0 +1,30 @@
+nummer: 6
+titel: IT-Sicherheit und Datenschutz
+block: sicherheit
+leitfrage: Was ist hier eigentlich wie viel wert – und wer würde es vermissen?
+ziel: >-
+  Du kannst den Schutzbedarf eines Arbeitsbereichs feststellen und begründen,
+  einen Arbeitsplatz auf typische Schwachstellen prüfen und richtig reagieren,
+  wenn ein Konto oder Daten in falsche Hände geraten sind.
+
+handouts: [I1, I2, I3]
+aufgaben: ["6.1"]
+checklisten: [05-arbeitsplatz-sicherheit-pruefen]
+lernzielkontrolle: null
+
+tage:
+  - tag: Montag
+    theorie: [I1]
+    praxis: Drei Anwendungen des Betriebs gemeinsam mit dem Ausbilder einstufen, je Schutzziel mit Begründung.
+  - tag: Dienstag
+    theorie: [I2]
+    praxis: Fünf Arbeitsplätze nach Checkliste prüfen, Abweichungen als Tickets anlegen.
+  - tag: Mittwoch
+    theorie: [I3]
+    praxis: Praxisaufgabe 6.1 beginnen – Bereich wählen, Informationen und Anwendungen erfassen, Gespräch mit der Leitung vereinbaren.
+  - tag: Donnerstag
+    theorie: []
+    praxis: Praxisaufgabe 6.1 abschließen – Systeme ableiten, Einstufung abstimmen, Maßnahmen vorschlagen.
+  - tag: Freitag
+    theorie: []
+    praxis: Ergebnis der Schutzbedarfsfeststellung dem Ausbilder vorstellen, Berichtsheft schreiben.
@@ -0,0 +1,30 @@
+nummer: 7
+titel: Skripting mit PowerShell
+block: programmierung
+leitfrage: Welche Arbeit machst du jede Woche von Hand, obwohl ein Rechner sie besser könnte?
+ziel: >-
+  Du kannst mit der PowerShell-Pipeline Informationen abfragen und filtern,
+  ein Skript mit Variablen, Bedingungen und Schleifen schreiben und es so
+  gestalten, dass andere es sicher benutzen können.
+
+handouts: [P1, P2, P3]
+aufgaben: ["7.1"]
+checklisten: []
+lernzielkontrolle: woche-07
+
+tage:
+  - tag: Montag
+    theorie: [P1]
+    praxis: Zehn Fragen an das eigene System mit der Pipeline beantworten – etwa welche Dienste beendet sind, die automatisch starten sollten.
+  - tag: Dienstag
+    theorie: [P2]
+    praxis: Ein Skript schreiben, das vor knappem Speicherplatz warnt, und an drei Rechnern testen.
+  - tag: Mittwoch
+    theorie: [P3]
+    praxis: Praxisaufgabe 7.1 beginnen – Angaben in den CIM-Klassen finden, Objekt bauen, erster Lauf.
+  - tag: Donnerstag
+    theorie: []
+    praxis: Praxisaufgabe 7.1 abschließen – Aktualisieren statt Anhängen, Fehlerbehandlung, Hilfeblock, Lauf auf drei Rechnern.
+  - tag: Freitag
+    theorie: []
+    praxis: Lernzielkontrolle, danach Berichtsheft schreiben.
@@ -0,0 +1,30 @@
+nummer: 8
+titel: Datensicherung und Speicher
+block: system
+leitfrage: Wie lange dauert es wirklich, bis nach einem Ausfall wieder gearbeitet werden kann?
+ziel: >-
+  Du kannst ein Sicherungskonzept aus dem Schutzbedarf ableiten, eine
+  Wiederherstellung durchführen und messen und die passende RAID-Stufe für
+  einen Datenspeicher begründen.
+
+handouts: [S3, S4, S5]
+aufgaben: ["8.1"]
+checklisten: [06-wiederherstellung-testen]
+lernzielkontrolle: null
+
+tage:
+  - tag: Montag
+    theorie: [S3]
+    praxis: Die Sicherungsaufträge des Betriebs gemeinsam mit dem Ausbilder durchgehen und je Auftrag Art, Häufigkeit und Aufbewahrung notieren.
+  - tag: Dienstag
+    theorie: [S5]
+    praxis: RAID-Zustand und Plattenüberwachung von Server und NAS prüfen, Kapazitäten für drei Ausbaustufen durchrechnen.
+  - tag: Mittwoch
+    theorie: [S4]
+    praxis: Eine einzelne Datei und einen Ordner mit Berechtigungen nach Checkliste zurückspielen.
+  - tag: Donnerstag
+    theorie: []
+    praxis: Praxisaufgabe 8.1 – Sicherung des Bereichs prüfen, auf die Testumgebung zurückspielen, Zeit messen, Vorschläge schreiben.
+  - tag: Freitag
+    theorie: []
+    praxis: Monatliches Feedbackgespräch, danach Berichtsheft schreiben.
@@ -0,0 +1,30 @@
+nummer: 9
+titel: Virtualisierung
+block: server
+leitfrage: Wofür ist diese VM eigentlich da – und wer würde es merken, wenn sie fehlt?
+ziel: >-
+  Du kannst Hypervisoren einordnen, eine virtuelle Maschine planen und
+  bereitstellen, Snapshots richtig einsetzen und erklären, warum sie keine
+  Datensicherung ersetzen.
+
+handouts: [V1, V2, V3]
+aufgaben: ["9.1"]
+checklisten: [07-vm-bereitstellen]
+lernzielkontrolle: woche-09
+
+tage:
+  - tag: Montag
+    theorie: [V1]
+    praxis: Die virtuelle Umgebung des Betriebs mit dem Ausbilder durchgehen – Hosts, VMs, Auslastung – und eine Übersicht zeichnen.
+  - tag: Dienstag
+    theorie: [V2]
+    praxis: Auf dem Testhost eine Test-VM anlegen, Snapshot anlegen, Änderung vornehmen, zurücksetzen und Snapshot löschen.
+  - tag: Mittwoch
+    theorie: [V3]
+    praxis: Praxisaufgabe 9.1 beginnen – Planungsblatt ausfüllen und freigeben lassen, VM anlegen, Betriebssystem installieren.
+  - tag: Donnerstag
+    theorie: []
+    praxis: Praxisaufgabe 9.1 abschließen – einbinden, sichern, Rückweg üben, dokumentieren.
+  - tag: Freitag
+    theorie: []
+    praxis: Lernzielkontrolle, danach Berichtsheft schreiben.
@@ -0,0 +1,30 @@
+nummer: 10
+titel: Verzeichnisdienst und Serverdienste
+block: server
+leitfrage: Woran erkennt man in fünf Jahren noch, warum jemand ein Recht hat?
+ziel: >-
+  Du kannst eine Abteilung im Active Directory mit OUs und Gruppen nach AGDLP
+  abbilden, Einstellungen per Gruppenrichtlinie verteilen und prüfen, und
+  Datei- und Druckdienste so einrichten, dass sie pflegbar bleiben.
+
+handouts: [V4, V5, V6]
+aufgaben: ["10.1"]
+checklisten: [08-mitarbeiter-einrichten]
+lernzielkontrolle: null
+
+tage:
+  - tag: Montag
+    theorie: [V4]
+    praxis: Die OU- und Gruppenstruktur des Betriebs mit dem Ausbilder durchgehen, drei Gruppen auf Zweck und Mitglieder prüfen.
+  - tag: Dienstag
+    theorie: [V5]
+    praxis: In der Testdomäne eine Richtlinie für die Bildschirmsperre anlegen, verknüpfen und mit gpresult nachweisen.
+  - tag: Mittwoch
+    theorie: [V6]
+    praxis: Praxisaufgabe 10.1 beginnen – Plan schreiben, Ablage anlegen, Rechte vergeben.
+  - tag: Donnerstag
+    theorie: []
+    praxis: Praxisaufgabe 10.1 abschließen – Testkonten nach Checkliste, Richtlinien, Nachweis per Anmeldung, Abteilungswechsel.
+  - tag: Freitag
+    theorie: []
+    praxis: Einen echten Neuzugang mit dem Ausbilder nach Checkliste einrichten, falls einer ansteht – sonst Ergebnis 10.1 vorstellen. Berichtsheft schreiben.
@@ -0,0 +1,30 @@
+nummer: 11
+titel: Netze trennen und verbinden
+block: netzwerk
+leitfrage: Wer soll wen erreichen dürfen – und wo im Netz steht das geschrieben?
+ziel: >-
+  Du kannst ein Netz mit VLANs aufteilen, Routing-Entscheidungen nachvollziehen,
+  Firewallregeln in der richtigen Reihenfolge formulieren und ein getrenntes
+  Gäste-WLAN einrichten und prüfen.
+
+handouts: [N5, N6, N7]
+aufgaben: ["11.1"]
+checklisten: []
+lernzielkontrolle: woche-11
+
+tage:
+  - tag: Montag
+    theorie: [N5]
+    praxis: VLAN-Übersicht des Betriebs mit dem Ausbilder durchgehen, an einem Switch Access- und Trunk-Ports nachvollziehen und mit der Dokumentation abgleichen.
+  - tag: Dienstag
+    theorie: [N6]
+    praxis: Routingtabelle und Firewallregeln des Betriebs lesen, zu fünf Regeln Zweck und Reihenfolge erklären.
+  - tag: Mittwoch
+    theorie: [N7]
+    praxis: Praxisaufgabe 11.1 beginnen – Plan schreiben, Switch und Firewall einrichten.
+  - tag: Donnerstag
+    theorie: []
+    praxis: Praxisaufgabe 11.1 abschließen – Access Point, Nachweise mit zwei Gastgeräten, Dokumentation.
+  - tag: Freitag
+    theorie: []
+    praxis: Lernzielkontrolle, danach Berichtsheft schreiben.
@@ -0,0 +1,30 @@
+nummer: 12
+titel: Ein Kundenauftrag von der Anfrage bis zur Abnahme
+block: arbeitsalltag
+leitfrage: Woran erkennen Kunde und IT am Ende gemeinsam, dass der Auftrag erfüllt ist?
+ziel: >-
+  Du kannst Anforderungen prüfbar aufnehmen, Angebote bis zum Bezugspreis
+  rechnen und vergleichen, die passende Vertragsart erkennen und einen Auftrag
+  mit Protokoll abnehmen lassen.
+
+handouts: [A7, A8, A9]
+aufgaben: ["12.1"]
+checklisten: [09-auftrag-abnehmen-lassen]
+lernzielkontrolle: null
+
+tage:
+  - tag: Montag
+    theorie: [A7]
+    praxis: Praxisaufgabe 12.1 beginnen – Gespräch mit dem Kunden, Lastenheft schreiben und bestätigen lassen, Anfrage verschicken.
+  - tag: Dienstag
+    theorie: [A8]
+    praxis: Zehn Übungsaufgaben zur Bezugskalkulation rechnen, danach die ersten eingegangenen Angebote auswerten.
+  - tag: Mittwoch
+    theorie: [A9]
+    praxis: Drei bestehende Verträge des Betriebs (Wartung, Leasing, Support) lesen und Vertragsart, Leistung und Fristen herausschreiben.
+  - tag: Donnerstag
+    theorie: []
+    praxis: Praxisaufgabe 12.1 abschließen – Nutzwertanalyse, Pflichtenheft, Empfehlung vorstellen.
+  - tag: Freitag
+    theorie: []
+    praxis: Monatliches Feedbackgespräch, danach Berichtsheft schreiben.
@@ -1,6 +1,6 @@
 # Abnahmeprotokoll

-Erzeugt am 2026-09-11 17:16 Uhr
+Erzeugt am 2026-10-04 16:24 Uhr

 Erzeugt von `scripts/pruefungen/abnahme.mjs` gegen eine **frische, leere Datenbank**.

@@ -54,15 +54,15 @@ Erzeugt von `scripts/pruefungen/abnahme.mjs` gegen eine **frische, leere Datenba

 - ✓ Der Azubi legt das Wochenblatt der laufenden Woche an
 - ✓ Ein Wochenblatt lässt sich öffnen
- ✓ Das Wochenblatt kommt als PDF heraus — HTTP 200, 2646 Bytes
+- ✓ Das Wochenblatt kommt als PDF heraus — HTTP 200, 2649 Bytes

 ## A8 · Sicherung zurückspielen

- ✓ Die Sicherung läuft durch — lernbar-20260911-171627.tar.gz
+- ✓ Die Sicherung läuft durch — lernbar-20261004-182433.tar.gz
 - ✓ Zum Beweis wird der Datenbestand beschädigt — 2 → 1 Konten
 - ✓ Die Rückspielung läuft durch — ohne Fehler
 - ✓ Der gelöschte Azubi ist wieder da — Tim Vogt
 - ✓ Auch der Lernverlauf kam mit zurück — 1 Einträge
- ✓ Der überschriebene Stand wurde zur Seite gelegt, nicht gelöscht — verdraengt-20260911-171632
+- ✓ Der überschriebene Stand wurde zur Seite gelegt, nicht gelöscht — verdraengt-20261004-182436

 **36 von 36 Prüfungen erfüllt.**
@@ -401,6 +401,7 @@ mitten durchgeschnitten, aufklappbare Abschnitte drucken aufgeklappt.

 | Beobachtung | Woran es liegt |
 |---|---|
+| „Zu viele Fehlversuche" bei der Anmeldung | Nach fünf falschen Passwörtern wird die Adresse für eine Minute gesperrt, bei weiteren Fehlversuchen länger, höchstens 15 Minuten. Abwarten – oder Passwort vom Ausbilder neu setzen lassen. Hat sich das einzige Ausbilderkonto ausgesperrt: `docker compose restart lernbar` setzt die Sperre zurück. |
 | „Diese Seite gibt es nicht" bei fremden Daten | Kein Fehler, sondern die Rechteprüfung. Ob es zu einer Kennung überhaupt Daten gibt, geht Unbefugte nichts an – deshalb 404 und nicht „kein Zugriff". |
 | Die Anwendung startet nicht, nennt aber Datei und Zeile | Ein Inhaltsfehler unter `content/`. Die Meldung sagt genau, wo. `npm run inhalte:pruefen` prüft ohne Start. |
 | Ein Anhang lässt sich nicht hochladen | Über 25 MB. Bei einem Reverse Proxy zusätzlich `client_max_body_size 30m` setzen (siehe README). |
@@ -1,12 +1,12 @@
 {
  "name": "lernbar",
-  "version": "1.0.1",
+  "version": "1.0.4",
  "lockfileVersion": 3,
  "requires": true,
  "packages": {
    "": {
      "name": "lernbar",
-      "version": "1.0.1",
+      "version": "1.0.4",
      "dependencies": {
        "@node-rs/argon2": "^2.0.2",
        "better-sqlite3": "^12.11.1",
@@ -1,6 +1,6 @@
 {
  "name": "lernbar",
-  "version": "1.0.1",
+  "version": "1.0.4",
  "private": true,
  "description": "Lern-Bar – betriebliche Ausbildung Fachinformatiker Systemintegration",
  "engines": {
@@ -10,7 +10,8 @@ import { spawnSync } from 'node:child_process';
 * es nie, und ein frisch aufgesetzter Server stand ohne jedes Konto da.
 *
 * Dieser Lauf baut das Abbild, startet es mit leerem Volume und geht den Weg
- * aus der README: Lebenszeichen, erstes Konto, Anmeldung, Sicherung.
+ * aus der README: Lebenszeichen, erstes Konto, Anmeldung, Sperre bei
+ * Fehlversuchen, Sicherung.
 *
 *   node scripts/pruefungen/container.mjs
 *
@@ -90,6 +91,23 @@ async function anmelden(email, passwort) {
  return angekommen;
 }

+/** Ein Anmeldeversuch, der die angezeigte Meldung zurückgibt. */
+async function meldungNachAnmeldung(email, passwort) {
+  const kontext = await browser.newContext({ locale: 'de-DE' });
+  const seite = await kontext.newPage();
+  seite.setDefaultTimeout(30000);
+  await seite.goto(`${BASIS}/anmelden`);
+  await seite.fill('#email', email);
+  await seite.fill('#passwort', passwort);
+  await seite.click('button[type=submit]');
+  const text = await seite
+    .locator('.hinweis-fehler')
+    .innerText({ timeout: 15000 })
+    .catch(() => '');
+  await kontext.close();
+  return text;
+}
+
 async function main() {
  if (docker(['info'], { stdio: 'ignore' }).status !== 0) {
    console.error('Docker ist nicht erreichbar.');
@@ -141,9 +159,25 @@ async function main() {
  pruefe(neuesPw && (await anmelden(AUSBILDER.email, neuesPw)), 'Mit dem neuen Passwort geht die Anmeldung');
  pruefe(!(await anmelden(AUSBILDER.email, AUSBILDER.pw)), 'Das alte Passwort gilt nicht mehr');

-  // --- C3 Sicherung im Container -------------------------------------------
+  // --- C3 Bremse gegen Passwortraten ----------------------------------------

-  abschnitt('C3 · Sicherung im Container');
+  abschnitt('C3 · Bremse gegen Passwortraten');
+
+  // Eine Adresse, die es nicht gibt: Die Sperre muss genauso greifen, sonst
+  // verriete sie, welche Konten existieren.
+  const unbekannt = 'niemand@betrieb.test';
+  for (let i = 0; i < 5; i += 1) await meldungNachAnmeldung(unbekannt, `geraten-${i}`);
+  const gesperrt = await meldungNachAnmeldung(unbekannt, 'geraten-6');
+  pruefe(gesperrt.includes('Zu viele Fehlversuche'), 'Nach fünf Fehlversuchen wird gesperrt – auch für eine unbekannte Adresse', gesperrt);
+
+  pruefe(neuesPw && (await anmelden(AUSBILDER.email, neuesPw)), 'Ein anderes Konto ist davon nicht betroffen');
+
+  for (let i = 0; i < 5; i += 1) await meldungNachAnmeldung(AUSBILDER.email, `geraten-${i}`);
+  pruefe(!(await anmelden(AUSBILDER.email, neuesPw)), 'Während der Sperre kommt auch das richtige Passwort nicht durch');
+
+  // --- C4 Sicherung im Container -------------------------------------------
+
+  abschnitt('C4 · Sicherung im Container');

  const sicherung = imContainer('/app/werkzeuge/sicherung.sh', '/daten/sicherungen');
  pruefe(sicherung.ende === 0, 'Die Sicherung läuft im Container durch', sicherung.ausgabe.trim().split('\n').at(-1));
@@ -3,6 +3,7 @@
 import { eq } from 'drizzle-orm';
 import { redirect } from 'next/navigation';
 import { datenbank, schema } from '@/lib/db';
+import { anmeldeDrossel, wartezeitText } from '@/lib/auth/drossel';
 import { passwortPruefen } from '@/lib/auth/passwort';
 import { sitzungAnlegen, sitzungBeenden } from '@/lib/auth/sitzung';
 import { jetzt } from '@/lib/zeit';
@@ -19,6 +20,18 @@ export async function anmelden(_vorher: Anmeldezustand, formular: FormData): Pro
    return { fehler: 'Bitte E-Mail-Adresse und Passwort eingeben.', email };
  }

+  // Während einer Sperre wird gar nicht erst geprüft – auch ein richtiges
+  // Passwort kommt dann nicht durch, sonst wäre die Sperre wertlos.
+  const drossel = anmeldeDrossel();
+  const wartezeit = drossel.wartezeit(email);
+  if (wartezeit > 0) {
+    return { fehler: `Zu viele Fehlversuche. Bitte ${wartezeitText(wartezeit)} noch einmal versuchen.`, email };
+  }
+  // Jeder Versuch zählt sofort als Fehlversuch und wird erst bei Erfolg
+  // zurückgenommen. Zwischen Prüfen und Zählen liegt so kein await – sonst
+  // kämen hundert gleichzeitige Anfragen alle an der Sperre vorbei.
+  drossel.fehlversuch(email);
+
  const db = datenbank();
  const benutzer = db.select().from(schema.benutzer).where(eq(schema.benutzer.email, email)).get();

@@ -34,6 +47,8 @@ export async function anmelden(_vorher: Anmeldezustand, formular: FormData): Pro
  const stimmt = await passwortPruefen(benutzer.passwortHash, passwort);
  if (!stimmt) return abweisung;

+  drossel.erfolg(email);
+
  db.update(schema.benutzer).set({ letzteAnmeldungAm: jetzt() }).where(eq(schema.benutzer.id, benutzer.id)).run();
  await sitzungAnlegen(benutzer.id);

@@ -0,0 +1,113 @@
+import { describe, expect, it } from 'vitest';
+import {
+  Drossel,
+  FREIE_VERSUCHE,
+  GRUNDSPERRE_MS,
+  HOECHSTSPERRE_MS,
+  VERGESSEN_NACH_MS,
+  sperreFuer,
+  wartezeitText,
+} from './drossel';
+
+/** Eine Uhr, die nur weiterläuft, wenn man sie stellt. */
+function stehendeUhr(start = 1_000_000) {
+  let zeit = start;
+  return {
+    uhr: () => zeit,
+    vor: (ms: number) => {
+      zeit += ms;
+    },
+  };
+}
+
+function scheitern(drossel: Drossel, schluessel: string, mal: number) {
+  for (let i = 0; i < mal; i += 1) drossel.fehlversuch(schluessel);
+}
+
+describe('sperreFuer', () => {
+  it('lässt die ersten Fehlversuche frei', () => {
+    for (let n = 1; n < FREIE_VERSUCHE; n += 1) expect(sperreFuer(n)).toBe(0);
+  });
+
+  it('sperrt ab dem fünften Fehlversuch und verdoppelt dann', () => {
+    expect(sperreFuer(FREIE_VERSUCHE)).toBe(GRUNDSPERRE_MS);
+    expect(sperreFuer(FREIE_VERSUCHE + 1)).toBe(2 * GRUNDSPERRE_MS);
+    expect(sperreFuer(FREIE_VERSUCHE + 2)).toBe(4 * GRUNDSPERRE_MS);
+  });
+
+  it('bleibt bei der Obergrenze stehen', () => {
+    expect(sperreFuer(FREIE_VERSUCHE + 20)).toBe(HOECHSTSPERRE_MS);
+  });
+});
+
+describe('Drossel', () => {
+  it('sperrt nach fünf Fehlversuchen, nicht vorher', () => {
+    const { uhr } = stehendeUhr();
+    const drossel = new Drossel(uhr);
+    scheitern(drossel, 'a@x.de', FREIE_VERSUCHE - 1);
+    expect(drossel.wartezeit('a@x.de')).toBe(0);
+    drossel.fehlversuch('a@x.de');
+    expect(drossel.wartezeit('a@x.de')).toBe(GRUNDSPERRE_MS);
+  });
+
+  it('gibt nach Ablauf der Sperre wieder frei', () => {
+    const { uhr, vor } = stehendeUhr();
+    const drossel = new Drossel(uhr);
+    scheitern(drossel, 'a@x.de', FREIE_VERSUCHE);
+    vor(GRUNDSPERRE_MS);
+    expect(drossel.wartezeit('a@x.de')).toBe(0);
+  });
+
+  it('verlängert beim nächsten Fehlversuch nach der Sperre', () => {
+    const { uhr, vor } = stehendeUhr();
+    const drossel = new Drossel(uhr);
+    scheitern(drossel, 'a@x.de', FREIE_VERSUCHE);
+    vor(GRUNDSPERRE_MS);
+    drossel.fehlversuch('a@x.de');
+    expect(drossel.wartezeit('a@x.de')).toBe(2 * GRUNDSPERRE_MS);
+  });
+
+  it('setzt nach erfolgreicher Anmeldung zurück', () => {
+    const { uhr } = stehendeUhr();
+    const drossel = new Drossel(uhr);
+    scheitern(drossel, 'a@x.de', FREIE_VERSUCHE - 1);
+    drossel.erfolg('a@x.de');
+    scheitern(drossel, 'a@x.de', FREIE_VERSUCHE - 1);
+    expect(drossel.wartezeit('a@x.de')).toBe(0);
+  });
+
+  it('vergisst Fehlversuche nach einer Stunde Ruhe', () => {
+    const { uhr, vor } = stehendeUhr();
+    const drossel = new Drossel(uhr);
+    scheitern(drossel, 'a@x.de', FREIE_VERSUCHE - 1);
+    vor(VERGESSEN_NACH_MS);
+    drossel.fehlversuch('a@x.de');
+    expect(drossel.wartezeit('a@x.de')).toBe(0);
+  });
+
+  it('zählt jede Adresse für sich', () => {
+    const { uhr } = stehendeUhr();
+    const drossel = new Drossel(uhr);
+    scheitern(drossel, 'a@x.de', FREIE_VERSUCHE);
+    expect(drossel.wartezeit('a@x.de')).toBeGreaterThan(0);
+    expect(drossel.wartezeit('b@x.de')).toBe(0);
+  });
+
+  it('räumt auf, lässt eine laufende Sperre aber nicht verdrängen', () => {
+    const { uhr } = stehendeUhr();
+    const drossel = new Drossel(uhr);
+    scheitern(drossel, 'opfer@x.de', FREIE_VERSUCHE);
+    for (let i = 0; i < 10_050; i += 1) drossel.fehlversuch(`erfunden-${i}@x.de`);
+    expect(drossel.groesse).toBeLessThanOrEqual(10_001);
+    expect(drossel.wartezeit('opfer@x.de')).toBe(GRUNDSPERRE_MS);
+  });
+});
+
+describe('wartezeitText', () => {
+  it('rundet auf ganze Minuten auf', () => {
+    expect(wartezeitText(1)).toBe('in einer Minute');
+    expect(wartezeitText(60_000)).toBe('in einer Minute');
+    expect(wartezeitText(60_001)).toBe('in 2 Minuten');
+    expect(wartezeitText(HOECHSTSPERRE_MS)).toBe('in 15 Minuten');
+  });
+});
@@ -0,0 +1,94 @@
+/**
+ * Bremse gegen Passwortraten.
+ *
+ * Gezählt wird je E-Mail-Adresse – auch für Adressen, die es nicht gibt.
+ * Sonst verriete die Sperre, welche Konten existieren (siehe E6).
+ *
+ * Die ersten Fehlversuche sind frei, danach verdoppelt sich die Sperre bis
+ * zu einer Obergrenze. Die Obergrenze ist Absicht: Wer fremde Adressen
+ * eintippt, soll den Ausbilder nicht für Stunden aussperren können.
+ *
+ * Der Zähler liegt im Speicher des einen Serverprozesses. Ein Neustart setzt
+ * ihn zurück – das ist zugleich der Notausgang, falls man sich selbst
+ * ausgesperrt hat. Siehe E42.
+ */
+
+export const FREIE_VERSUCHE = 5;
+export const GRUNDSPERRE_MS = 60_000;
+export const HOECHSTSPERRE_MS = 15 * 60_000;
+export const VERGESSEN_NACH_MS = 60 * 60_000;
+const HOECHSTZAHL_EINTRAEGE = 10_000;
+
+export type Stand = { fehlversuche: number; zuletzt: number; gesperrtBis: number };
+
+/** Wie lange nach dem n-ten Fehlversuch gesperrt wird. */
+export function sperreFuer(fehlversuche: number): number {
+  if (fehlversuche < FREIE_VERSUCHE) return 0;
+  return Math.min(GRUNDSPERRE_MS * 2 ** (fehlversuche - FREIE_VERSUCHE), HOECHSTSPERRE_MS);
+}
+
+export function nachFehlversuch(stand: Stand | undefined, jetzt: number): Stand {
+  const bisher = stand && jetzt - stand.zuletzt < VERGESSEN_NACH_MS ? stand.fehlversuche : 0;
+  const fehlversuche = bisher + 1;
+  return { fehlversuche, zuletzt: jetzt, gesperrtBis: jetzt + sperreFuer(fehlversuche) };
+}
+
+export function restsperre(stand: Stand | undefined, jetzt: number): number {
+  return stand ? Math.max(0, stand.gesperrtBis - jetzt) : 0;
+}
+
+/** „in 3 Minuten" – aufgerundet, damit niemand zu früh wiederkommt. */
+export function wartezeitText(ms: number): string {
+  const minuten = Math.max(1, Math.ceil(ms / 60_000));
+  return minuten === 1 ? 'in einer Minute' : `in ${minuten} Minuten`;
+}
+
+export class Drossel {
+  private staende = new Map<string, Stand>();
+
+  constructor(private uhr: () => number = Date.now) {}
+
+  /** Restliche Sperre in Millisekunden, 0 heißt: darf versuchen. */
+  wartezeit(schluessel: string): number {
+    return restsperre(this.staende.get(schluessel), this.uhr());
+  }
+
+  fehlversuch(schluessel: string): void {
+    const jetzt = this.uhr();
+    this.staende.set(schluessel, nachFehlversuch(this.staende.get(schluessel), jetzt));
+    if (this.staende.size > HOECHSTZAHL_EINTRAEGE) this.aufraeumen(jetzt);
+  }
+
+  erfolg(schluessel: string): void {
+    this.staende.delete(schluessel);
+  }
+
+  get groesse(): number {
+    return this.staende.size;
+  }
+
+  /**
+   * Wer massenhaft ausgedachte Adressen schickt, soll den Speicher nicht
+   * füllen. Erst fällt weg, was ohnehin vergessen ist, dann das Älteste.
+   * Eine laufende Sperre wird nie weggeräumt – sonst ließe sie sich mit
+   * genug ausgedachten Adressen aus dem Speicher drängen.
+   */
+  private aufraeumen(jetzt: number): void {
+    for (const [schluessel, stand] of this.staende) {
+      if (jetzt - stand.zuletzt >= VERGESSEN_NACH_MS) this.staende.delete(schluessel);
+    }
+    for (const [schluessel, stand] of this.staende) {
+      if (this.staende.size <= HOECHSTZAHL_EINTRAEGE) break;
+      if (stand.gesperrtBis <= jetzt) this.staende.delete(schluessel);
+    }
+  }
+}
+
+// Eine Drossel pro Prozess, am globalThis wie die Datenbankverbindung, damit
+// das Neuladen im Entwicklungsbetrieb die Zähler nicht verdoppelt.
+const halter = globalThis as unknown as { __lernbarDrossel?: Drossel };
+
+export function anmeldeDrossel(): Drossel {
+  halter.__lernbarDrossel ??= new Drossel();
+  return halter.__lernbarDrossel;
+}
@@ -87,26 +87,38 @@ export function verlinkeGlossar(html: string, glossar: GlossarEintrag[]): string
    if (teil.trim() === '') continue;
    if (offen.some((element) => gemiedeneElemente.has(element))) continue;

-    let text = teil;
+    // Ein gesetzter Verweis wird als festes Stück herausgelöst. Die folgenden
+    // Muster durchsuchen nur noch den freien Text – sonst fände etwa „OU" sein
+    // Gegenstück in der Erklärung von „Gruppenrichtlinie" im title-Attribut,
+    // und mitten im Attribut entstünde ein zweiter Verweis.
+    const stuecke: { text: string; fest: boolean }[] = [{ text: teil, fest: false }];
    for (const { muster: regex, eintrag } of muster) {
      if (bereitsVerlinkt.has(eintrag.begriff)) continue;

-      const gefunden = regex.exec(text);
+      for (let s = 0; s < stuecke.length; s += 1) {
+        const stueck = stuecke[s]!;
+        if (stueck.fest) continue;
+
+        const gefunden = regex.exec(stueck.text);
        if (!gefunden) continue;

        const erklaerung = eintrag.steht_fuer
          ? `${eintrag.steht_fuer} – ${eintrag.erklaerung}`
          : eintrag.erklaerung;
+        const verweis = `<a class="glossarbegriff" href="/glossar#${glossarAnker(eintrag.begriff)}" title="${maskiere(erklaerung)}">${gefunden[2]}</a>`;

-      text =
-        text.slice(0, gefunden.index) +
-        gefunden[1] +
-        `<a class="glossarbegriff" href="/glossar#${glossarAnker(eintrag.begriff)}" title="${maskiere(erklaerung)}">${gefunden[2]}</a>` +
-        text.slice(gefunden.index + gefunden[0].length);
-
+        stuecke.splice(
+          s,
+          1,
+          { text: stueck.text.slice(0, gefunden.index) + gefunden[1], fest: false },
+          { text: verweis, fest: true },
+          { text: stueck.text.slice(gefunden.index + gefunden[0].length), fest: false },
+        );
        bereitsVerlinkt.add(eintrag.begriff);
+        break;
      }
-    teile[i] = text;
+    }
+    teile[i] = stuecke.map((stueck) => stueck.text).join('');
  }

  return teile.join('');
@@ -122,6 +122,41 @@ describe('Glossarbegriffe verlinken', () => {
    expect(html).not.toContain('title="Ein "Anführungszeichen"');
  });

+  it('verlinkt nicht in die Erklärung eines schon gesetzten Verweises hinein', () => {
+    // Die Erklärung von „Gruppenrichtlinie" enthält „OU". Ein zweiter Verweis
+    // darf nicht im title-Attribut des ersten landen – sonst bricht das HTML auf.
+    const eintraege = [
+      { begriff: 'Gruppenrichtlinie', formen: [], erklaerung: 'Verknüpft an eine OU – was zuletzt kommt, gewinnt.', siehe_auch: [] },
+      { begriff: 'OU', formen: [], erklaerung: 'Ein Ordner im Verzeichnis.', siehe_auch: [] },
+    ];
+    const html = verlinkeGlossar('<p>Laufwerke per Gruppenrichtlinie zuordnen.</p>', eintraege);
+    expect(html.match(/<a /g)).toHaveLength(1);
+    expect(html).toContain('title="Verknüpft an eine OU – was zuletzt kommt, gewinnt."');
+    expect(html).toContain('>Gruppenrichtlinie</a> zuordnen.');
+  });
+
+  it('verlinkt beide Begriffe, wenn beide im Text stehen', () => {
+    const eintraege = [
+      { begriff: 'Gruppenrichtlinie', formen: [], erklaerung: 'Verknüpft an eine OU.', siehe_auch: [] },
+      { begriff: 'OU', formen: [], erklaerung: 'Ein Ordner im Verzeichnis.', siehe_auch: [] },
+    ];
+    const html = verlinkeGlossar('<p>Die Gruppenrichtlinie hängt an der OU.</p>', eintraege);
+    expect(html.match(/<a /g)).toHaveLength(2);
+    expect(html).toContain('>OU</a>.</p>');
+    expect(html).toContain('title="Verknüpft an eine OU."');
+  });
+
+  it('erzeugt für alle Handouts wohlgeformte Verweise', () => {
+    // Gegen das echte Glossar und die echten Handouts: In keinem title-Attribut
+    // darf ein weiterer Verweis stecken.
+    for (const handout of alle.handouts) {
+      if (!handout.wesentlich) continue;
+      const html = verlinkeGlossar(handout.wesentlich.html, glossar);
+      expect(html, handout.id).not.toMatch(/title="[^"]*<a /);
+      expect((html.match(/<a /g) ?? []).length, handout.id).toBe((html.match(/<\/a>/g) ?? []).length);
+    }
+  });
+
  it('lässt HTML unverändert, wenn das Glossar leer ist', () => {
    expect(verlinkeGlossar('<p>DNS</p>', [])).toBe('<p>DNS</p>');
  });
Author	SHA1	Message	Date
Florian WildeandClaude Opus 5.5	86c0ab4f65	Fassung 1.0.4 Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-04 22:28:43 +02:00
Florian WildeandClaude Opus 5.5	08459d8c99	Inhalte: Wochen 9 bis 12 - Woche 9 Virtualisierung (B1, A8, LF9) - Woche 10 Verzeichnisdienst und Serverdienste (B3, A6, LF10) - Woche 11 Netze trennen und verbinden (B2, A6, LF9) - Woche 12 Kundenauftrag von der Anfrage bis zur Abnahme (A2, A3, A7) 12 Handouts, 36 Merkkarten, 4 Praxisaufgaben, 3 Checklisten, 2 Lernzielkontrollen, 23 Glossareintraege, Themenblock Server und Virtualisierung. Die Praxisaufgaben 9.1 und 10.1 bauen aufeinander auf: Der Testserver aus Woche 9 traegt die Testdomaene in Woche 10. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-04 22:28:42 +02:00
Florian WildeandClaude Opus 5.5	1de38b9b7a	Glossarverweise nicht in title-Attribute setzen Nach dem Setzen eines Verweises liefen die folgenden Suchmuster ueber denselben Text, einschliesslich des frisch eingefuegten title-Attributs. Enthielt die Erklaerung einen weiteren Glossarbegriff, entstand mitten im Attribut ein zweiter Verweis und das HTML brach auf - sichtbar im Handout als `gewinnt.">Gruppenrichtlinie`. Gesetzte Verweise werden jetzt als feste Stuecke herausgeloest; die weiteren Muster durchsuchen nur den freien Text. Ein neuer Test prueft alle Handouts gegen das echte Glossar auf wohlgeformte Verweise. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-04 22:28:42 +02:00
Florian WildeandClaude Opus 5.5	4611974494	Fassung 1.0.3 Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-04 21:53:10 +02:00
Florian WildeandClaude Opus 5.5	7d171f149d	Inhalte: Wochen 5 bis 8 Vier neue Wochen nach Rahmenplan, im bestehenden Format: - Woche 5 Ausbildung, Betrieb und Zusammenarbeit (C1, C2, C5) - Woche 6 IT-Sicherheit und Datenschutz (A6, LF4) - Woche 7 Skripting mit PowerShell (A10, A4) - Woche 8 Datensicherung und Speicher (A9) 12 Handouts, 38 Merkkarten, 4 Praxisaufgaben, 2 Checklisten, 2 Lernzielkontrollen, 22 Glossareintraege, zwei neue Themenbloecke. Jede Berufsbildposition ist jetzt von mindestens einem Inhalt beruehrt. Die Praxisaufgaben bauen aufeinander auf: Die Abteilungsuebersicht aus 5.1 ist Grundlage der Schutzbedarfsfeststellung in 6.1, und deren Ergebnis ist Massstab fuer die Sicherungspruefung in 8.1. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-04 21:53:10 +02:00
Florian WildeandClaude Opus 5.5	052419dd43	Fassung 1.0.2 Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-04 18:25:04 +02:00
Florian WildeandClaude Opus 5.5	31d7779f45	Bremse gegen Passwortraten Nach fuenf Fehlversuchen wird eine E-Mail-Adresse gesperrt, erst eine Minute, dann doppelt so lang, hoechstens 15 Minuten. Gezaehlt wird je Adresse, auch fuer unbekannte - sonst verriete die Sperre, welche Konten es gibt. Waehrend der Sperre kommt auch das richtige Passwort nicht durch. Jeder Versuch zaehlt sofort und wird bei Erfolg zurueckgenommen. Zwischen Sperrpruefung und Zaehlen liegt damit kein await; gleichzeitige Anfragen kommen so nicht alle an der Sperre vorbei. Der Zaehler liegt im Speicher des einen Prozesses. Ein Neustart setzt ihn zurueck - der Notausgang, falls sich das einzige Ausbilderkonto aussperrt. Beim Aufraeumen wird eine laufende Sperre nie verdraengt. Die Containerabnahme prueft die Sperre im laufenden Abbild. Das Abnahmeprotokoll ist gegen diesen Stand neu erzeugt. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-04 18:25:04 +02:00