Fassung 1.0.4

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Inhalte: Wochen 9 bis 12
2026-10-04 22:28:43 +02:00 · 2026-10-04 22:28:42 +02:00 · 2026-10-04 22:28:42 +02:00 · 2026-10-04 21:53:10 +02:00 · 2026-10-04 21:53:10 +02:00 · 2026-10-04 18:25:04 +02:00
64 changed files with 3661 additions and 24 deletions
@@ -26,6 +26,85 @@ Vor `npm version` wandert der Abschnitt „Unveröffentlicht" unter eine neue
 ## [Unveröffentlicht]
 ## [1.0.4] – 2026-10-04
 Vier weitere Wochen Lehrgang – damit steht das erste Vierteljahr.
 ### Hinzugefügt
 - **Woche 9 · Virtualisierung** – Handouts V1 (Hypervisor, Überbuchung,
  Container), V2 (Snapshots, virtuelle Switches, Thin Provisioning), V3 (eine
  VM planen), Praxisaufgabe 9.1 (Testserver als VM), Checkliste „Virtuelle
  Maschine bereitstellen", Lernzielkontrolle
 - **Woche 10 · Verzeichnisdienst und Serverdienste** – Handouts V4 (Active
  Directory, OUs, AGDLP), V5 (Gruppenrichtlinien, LSDOU, gpresult), V6 (Datei-
  und Druckdienste), Praxisaufgabe 10.1 (Abteilung im Verzeichnis abbilden),
  Checkliste „Neuen Mitarbeiter einrichten"
 - **Woche 11 · Netze trennen und verbinden** – Handouts N5 (VLANs und Trunks),
  N6 (Routing und Firewallregeln), N7 (WLAN im Betrieb), Praxisaufgabe 11.1
  (Gästenetz im Testaufbau), Lernzielkontrolle
 - **Woche 12 · Kundenauftrag** – Handouts A7 (Lastenheft und Pflichtenheft),
  A8 (Bezugskalkulation), A9 (Vertragsarten, Abnahme, Gewährleistung),
  Praxisaufgabe 12.1 (Angebot für neue Arbeitsplätze), Checkliste „Auftrag
  übergeben und abnehmen lassen"
 - Themenblock „Server und Virtualisierung" (V), 23 Glossareinträge,
  36 Merkkarten
 ### Behoben
 - **Glossarverweise konnten das HTML eines Handouts aufbrechen.** Nach dem
  Setzen eines Verweises durchsuchten die folgenden Begriffe auch dessen
  title-Attribut. Enthielt die Erklärung einen weiteren Glossarbegriff – etwa
  „OU" in der Erklärung von „Gruppenrichtlinie" –, entstand mitten im Attribut
  ein zweiter Verweis, und im Text stand plötzlich `– was zuletzt kommt,
  gewinnt.">Gruppenrichtlinie`. Gesetzte Verweise werden jetzt aus dem
  weiteren Durchsuchen herausgenommen; ein Test prüft alle Handouts gegen das
  echte Glossar
 ## [1.0.3] – 2026-10-04
 Vier neue Wochen Lehrgang. Damit ist jede Position des Ausbildungsrahmenplans
 von mindestens einem Inhalt berührt.
 ### Hinzugefügt
 - **Woche 5 · Ausbildung, Betrieb und Zusammenarbeit** – Handouts A4 (Rechte
  und Pflichten, Aufbau der Abschlussprüfung), A5 (Aufbau- und
  Ablauforganisation, Mitbestimmung), A6 (Kanalwahl, Ablage, Besprechungen),
  Praxisaufgabe 5.1 (den Betrieb aus Sicht der IT kartieren),
  Lernzielkontrolle. Schließt C1, C2 und C5
 - **Woche 6 · IT-Sicherheit und Datenschutz** – Handouts I1 (Schutzziele und
  Schutzbedarf nach BSI-Standard 200-2), I2 (Passwörter, zweiter Faktor,
  Phishing), I3 (DSGVO in der Administration), Praxisaufgabe 6.1
  (Schutzbedarfsfeststellung), Checkliste „Sicherheit eines Arbeitsplatzes
  prüfen"
 - **Woche 7 · Skripting mit PowerShell** – Handouts P1 (Pipeline und
  Objekte), P2 (Variablen, Bedingungen, Schleifen), P3 (Skripte, die man
  betreuen kann), Praxisaufgabe 7.1 (Inventarskript), Lernzielkontrolle.
  Schließt A4 und A10
 - **Woche 8 · Datensicherung und Speicher** – Handouts S3 (Sicherungsarten,
  3-2-1, RPO und RTO), S4 (Wiederherstellung testen), S5 (RAID, NAS, SAN),
  Praxisaufgabe 8.1 (Sicherung eines Bereichs prüfen und zurückspielen),
  Checkliste „Wiederherstellung testen"
 - Themenblöcke „IT-Sicherheit und Datenschutz" (I) und „Skripting und
  Automatisierung" (P)
 - 22 Glossareinträge, 38 Merkkarten
 Bestehende Installationen: Die neuen Wochen erscheinen im Wochenplan unter
 „noch nicht eingeplant" und werden dort einmal eingeplant.
 ## [1.0.2] – 2026-10-04
 ### Hinzugefügt
 - **Bremse gegen Passwortraten.** Nach fünf Fehlversuchen wird eine
  E-Mail-Adresse gesperrt, erst eine Minute, dann doppelt so lang, höchstens
  15 Minuten. Das gilt auch für Adressen, die es nicht gibt – die Sperre
  verrät also nicht, welche Konten existieren. Während der Sperre kommt auch
  das richtige Passwort nicht durch. Ausgesperrt? Ein Neustart des Containers
  setzt die Zähler zurück. Siehe E42
 - Die Containerabnahme prüft die Sperre im laufenden Abbild
 ## [1.0.1] – 2026-10-03
 Das Docker-Abbild ist jetzt aus dem Nichts aufsetzbar.
@@ -471,3 +471,25 @@ Der Grund ist banal und war ein echter Fehler: Wer die dunkle Fassung
 eingestellt hatte, druckte schwarze Flächen. Eine einzelne Regel für `body`
 genügt nicht, weil die Karten, Ränder und Marken ihre Farben aus Merkmalen
 beziehen.
 ## E42 · Bremse gegen Passwortraten im Speicher, je E-Mail-Adresse
 Nach fünf Fehlversuchen wird eine Adresse gesperrt, erst eine Minute, dann
 jeweils doppelt so lang, höchstens 15 Minuten. Eine Stunde ohne Fehlversuch
 oder eine erfolgreiche Anmeldung setzt den Zähler zurück.
 - **Je Adresse, nicht je Konto.** Auch eine Adresse, die es nicht gibt, wird
  gesperrt. Sonst verriete die Sperre, welche Konten existieren (E6).
 - **Nicht je IP-Adresse.** Hinter dem Reverse Proxy käme die Adresse aus
  `X-Forwarded-For`, und darauf ist nur Verlass, wenn der Proxy richtig
  eingestellt ist. Bei einer Handvoll Konten lohnt das Durchprobieren vieler
  Konten mit wenigen Passwörtern ohnehin nicht.
 - **Obergrenze 15 Minuten.** Wer die Adresse des Ausbilders kennt, soll ihn
  nicht für Stunden aussperren können.
 - **Im Speicher, nicht in der Datenbank.** Es läuft genau ein Prozess. Ein
  Neustart setzt die Zähler zurück – das kann ein Angreifer nicht auslösen,
  der Betreiber aber schon, wenn er sich selbst ausgesperrt hat
  (`docker compose restart lernbar`).
 - **Gezählt wird vor der Prüfung.** Jeder Versuch gilt sofort als Fehlversuch
  und wird bei Erfolg zurückgenommen. Zwischen Sperrprüfung und Zählen liegt
  so kein `await`; sonst kämen gleichzeitige Anfragen alle an der Sperre vorbei.
@@ -274,7 +274,8 @@ prüfen.
 `npm run abnahme` prüft über `next start`, betrieben wird aber der Container.
 `npm run abnahme:container` baut deshalb das Abbild, startet es mit leerem
 Volume und geht den Weg aus dieser README: Lebenszeichen, erstes Konto über
-`werkzeuge/konto.js`, Anmeldung, Passwort neu setzen, Sicherung im Container.
+`werkzeuge/konto.js`, Anmeldung, Passwort neu setzen, Sperre nach
 Fehlversuchen, Sicherung im Container.
 Danach werden Container, Volume und Abbild wieder entfernt.
 Voraussetzung: Docker läuft, Port 3398 ist frei (`LERNBAR_CONTAINER_PORT`).
@@ -0,0 +1,53 @@
 ---
 id: "10.1"
 titel: Eine Abteilung im Verzeichnisdienst abbilden
 woche: 10
 block: server
 ziel: Du bildest auf dem Testserver eine Abteilung mit OU, Gruppen nach AGDLP, Freigabe, Laufwerkszuordnung und Druckerzuordnung ab und weist mit zwei Testkonten nach, dass jede Rolle genau die vorgesehenen Rechte hat.
 zeitrahmen: 8 Stunden, verteilt auf zwei Tage
 rahmenplan: [B3, A6, B1, A5]
 lernfeld: LF10
 material:
  - Testserver aus Praxisaufgabe 9.1 mit Domänencontroller-Rolle oder Zugang zur Testdomäne
  - Ein Testclient, der Mitglied der Testdomäne ist
  - Abteilungsübersicht aus Praxisaufgabe 5.1
  - Checkliste „Neuen Mitarbeiter einrichten"
 kriterien:
  - Ein Plan mit OU-Struktur, Gruppen und Rechten lag vor der Umsetzung vor
  - Die Gruppen folgen AGDLP und der Namensregel
  - Berechtigungen sind ausschließlich an domänenlokale Gruppen vergeben, nicht an Konten
  - Laufwerk und Drucker werden per Gruppenrichtlinie zugeordnet, gefiltert auf die Gruppe
  - Zwei Testkonten mit unterschiedlicher Rolle haben genau die vorgesehenen Rechte – nachgewiesen durch Anmeldung, nicht durch Ansicht der Einstellungen
  - gpresult wurde am Client geprüft und das Ergebnis dokumentiert
  - Ein Abteilungswechsel eines Testkontos wurde durchgespielt, nur durch Änderung der Gruppenzugehörigkeit
 ---
 ## Auftrag
 Nimm eine Abteilung aus deiner Übersicht aus Aufgabe 5.1 – etwa den Einkauf – und bilde sie
 in der Testdomäne vollständig ab.
 1. **Planen:** OU für die Abteilung, globale Gruppen nach Rolle (Mitarbeitende,
   Abteilungsleitung), domänenlokale Gruppen nach Recht (Ablage ändern, Ablage lesen).
   Schreib auf, welche Rolle welches Recht bekommt.
 2. **Ablage:** Ordner auf dem Testserver anlegen, freigeben, NTFS-Rechte an die
   domänenlokalen Gruppen vergeben.
 3. **Konten:** Zwei Testkonten nach der Checkliste anlegen, eines je Rolle.
 4. **Richtlinien:** Laufwerkszuordnung und Druckerzuordnung per Gruppenrichtlinie, gefiltert
   auf die Gruppe der Abteilung.
 5. **Nachweisen:** Mit beiden Testkonten am Testclient anmelden, Zugriff prüfen – auch, was
   **nicht** gehen darf. `gpresult /r` ausführen und festhalten.
 6. **Wechsel durchspielen:** Ein Testkonto wechselt in eine andere Abteilung. Ändere nur die
   Gruppenzugehörigkeit und prüfe erneut.
 ## Worauf es ankommt
 Der Nachweis per Anmeldung ist der Teil, der zählt. Eine Berechtigung, die im Dialog richtig
 aussieht, aber beim Anmelden nicht wirkt – etwa weil die Freigabe enger ist als NTFS oder
 die Richtlinie herausgefiltert wird –, fällt sonst erst dem Mitarbeiter am ersten Arbeitstag
 auf.
 ## Zeit
 Zwei Tage. Plane am ersten Tag und setze die Ablage um, am zweiten Tag Konten, Richtlinien
 und Nachweis.
@@ -0,0 +1,54 @@
 ---
 id: "11.1"
 titel: Ein Gästenetz im Testaufbau einrichten
 woche: 11
 block: netzwerk
 ziel: Du richtest im Testaufbau ein Gästenetz mit eigenem VLAN, Subnetz, DHCP, Firewallregeln und Funknetz ein und weist nach, dass Gäste ins Internet kommen, aber kein internes Netz erreichen.
 zeitrahmen: 7 Stunden
 rahmenplan: [B2, A6, A5, B1]
 lernfeld: LF9
 material:
  - Testswitch mit VLAN-Unterstützung
  - Testfirewall (z. B. OPNsense oder pfSense, auch als VM) mit Internetzugang
  - Ein Access Point, der mehrere Funknetze mit VLAN-Zuordnung kann
  - Zwei Testgeräte, eines davon ein Smartphone oder Notebook mit WLAN
  - Netzplan und VLAN-Übersicht des Testaufbaus
 kriterien:
  - Ein Plan mit VLAN-ID, Subnetz, Gateway, DHCP-Bereich und Firewallregeln lag vor der Umsetzung vor
  - Switchports sind nach Plan als Access- bzw. Trunk-Port konfiguriert, auf dem Trunk sind nur die benötigten VLANs zugelassen
  - Ein Gastgerät erhält per DHCP eine Adresse aus dem Gästenetz
  - Ein Gastgerät erreicht Internetseiten über den Namen
  - Ein Gastgerät erreicht weder ein internes Netz noch die Verwaltungsoberfläche von Firewall, Switch oder Access Point – nachgewiesen mit Ping und Browser
  - Zwei Gastgeräte erreichen sich nicht gegenseitig
  - Jede Firewallregel hat eine Beschreibung mit Zweck
  - Netzplan und VLAN-Übersicht sind aktualisiert
 ---
 ## Auftrag
 Für Besucher und Lieferanten soll es ein Funknetz geben, das ins Internet führt und sonst
 nirgendwohin. Du baust es im Testaufbau.
 1. **Planen:** VLAN-ID, Subnetz, Gateway auf der Firewall, DHCP-Bereich, DNS. Schreib die
   Firewallregeln in der Reihenfolge auf, in der sie stehen sollen – siehe Handout N6.
 2. **Switch:** VLAN anlegen, Port zur Firewall und Port zum Access Point als Trunk mit den
   benötigten VLANs.
 3. **Firewall:** Schnittstelle für das VLAN, Gateway-Adresse, DHCP, Regeln.
 4. **Access Point:** Funknetz „Gast" mit WPA2/WPA3-Personal, Zuordnung zu VLAN 90, Isolation
   der Endgeräte.
 5. **Nachweisen:** Mit einem Gastgerät Adresse prüfen, Internetseite öffnen, interne Adressen
   und die Verwaltungsoberflächen anpingen und im Browser aufrufen – das muss scheitern. Mit
   zwei Gastgeräten prüfen, dass sie sich nicht erreichen.
 6. **Dokumentieren:** Plan mit den tatsächlichen Werten, Netzplan und VLAN-Übersicht
   aktualisieren.
 ## Worauf es ankommt
 Der Nachweis, was **nicht** geht, ist wichtiger als der, was geht. Dass ein Gast ins Internet
 kommt, merkt jeder. Dass er auch die Verwaltungsoberfläche der Firewall aufrufen kann, merkt
 man erst, wenn es jemand ausprobiert – und dann besser du.
 ## Zeit
 Sieben Stunden. Teste nach jedem Schritt, nicht erst am Ende – ein falsch eingestellter
 Trunk ist nach dem Einrichten der Firewall nur noch schwer zu finden.
@@ -0,0 +1,51 @@
 ---
 id: "12.1"
 titel: Ein Angebot für neue Arbeitsplätze ausarbeiten
 woche: 12
 block: arbeitsalltag
 ziel: Du nimmst die Anforderungen für vier neue Arbeitsplätze auf, holst drei vergleichbare Angebote ein, rechnest und bewertest sie und legst eine begründete Empfehlung samt Pflichtenheft vor.
 zeitrahmen: 10 Stunden, verteilt auf drei Tage
 rahmenplan: [A2, A3, A1, A7]
 lernfeld: LF2
 material:
  - Gesprächstermin mit dem „Kunden" (Ausbilder oder eine Führungskraft mit echtem Bedarf)
  - Zugang zu Händlerportalen bzw. Ansprechpartner bei zwei Lieferanten des Betriebs
  - Vorlage für Nutzwertanalyse (aus Praxisaufgabe 2.2)
 kriterien:
  - Ein Lastenheft mit prüfbaren Muss-, Soll- und Kann-Anforderungen liegt vor und ist vom Kunden bestätigt
  - Drei Angebote liegen vor, eingeholt mit derselben Anfrage
  - Für jedes Angebot ist der Bezugspreis nach Schema berechnet, netto
  - Die Nutzwertanalyse enthält neben dem Preis mindestens drei weitere gewichtete Kriterien
  - Die Empfehlung begründet die Wahl und nennt, was gegen die anderen Angebote spricht
  - Das Pflichtenheft beschreibt Geräte, Einrichtung, Zeitplan und Abnahmekriterien
  - Die Empfehlung wurde dem Kunden in höchstens zehn Minuten vorgestellt
 ---
 ## Auftrag
 Eine Abteilung bekommt vier neue Arbeitsplätze. Du bereitest die Entscheidung so vor, dass
 der Kunde sie in einer Besprechung treffen kann.
 1. **Anforderungen aufnehmen:** Gespräch mit dem Kunden nach Handout A7. Schreib das
   Lastenheft und lass es bestätigen. Jede Anforderung muss prüfbar sein.
 2. **Anfrage stellen:** Eine einheitliche Anfrage an drei Anbieter – Menge, Anforderungen,
   Liefertermin, gewünschte Garantie.
 3. **Rechnen:** Bezugskalkulation je Angebot nach Handout A8.
 4. **Bewerten:** Nutzwertanalyse nach Handout H3 mit Preis, Lieferzeit, Garantie und Service
   und den Kriterien, die sich aus dem Lastenheft ergeben.
 5. **Pflichtenheft:** Welche Geräte, wie eingerichtet, bis wann, und woran der Kunde bei der
   Abnahme prüft, ob alles erfüllt ist.
 6. **Vorstellen:** Höchstens zehn Minuten, eine Seite Handzettel, Empfehlung am Anfang, nicht
   am Ende.
 ## Worauf es ankommt
 Der Kunde will eine Entscheidung treffen, keine Datenblätter lesen. Eine gute Vorstellung
 beginnt mit der Empfehlung, begründet sie mit zwei, drei Punkten und zeigt die Rechnung nur
 auf Nachfrage. Und: Die Abnahmekriterien im Pflichtenheft sind die Absicherung für den Tag,
 an dem jemand sagt, so habe man sich das nicht vorgestellt.
 ## Zeit
 Drei Tage, davon ein Tag Wartezeit auf Angebote. In dieser Zeit schreibst du das
 Pflichtenheft vor.
@@ -0,0 +1,49 @@
 ---
 id: "5.1"
 titel: Den Betrieb aus Sicht der IT kartieren
 woche: 5
 block: arbeitsalltag
 ziel: Du erstellst eine Übersicht aller Abteilungen mit Ansprechpartner, wichtigsten Anwendungen und kritischen Zeiten und legst sie so ab, dass das ganze IT-Team damit arbeiten kann.
 zeitrahmen: 6 Stunden, verteilt auf zwei Tage
 rahmenplan: [C2, C5, A1]
 lernfeld: LF1
 material:
  - Aktuelles Organigramm (bei der Personalabteilung oder im Intranet)
  - Geräteliste und Ticketsystem (lesend)
  - Zugang zur gemeinsamen Dokumentation der IT
 kriterien:
  - Jede Abteilung aus dem Organigramm ist erfasst, keine fehlt
  - Je Abteilung sind Ansprechpartner, die drei wichtigsten Anwendungen und die kritischen Zeiten benannt
  - Die Angaben stammen aus Gesprächen mit den Abteilungen, nicht nur aus vorhandenen Unterlagen
  - Abhängigkeiten zwischen Abteilungen (Datenaustausch, gemeinsame Anwendungen) sind eingezeichnet
  - Die Übersicht liegt am vereinbarten Ort in der IT-Dokumentation, mit Datum und Verfasser
  - Mindestens drei Verbesserungsvorschläge aus den Gesprächen sind als Tickets angelegt
 ---
 ## Auftrag
 Die IT kennt die Rechner, aber nicht immer die Arbeit, die darauf läuft. Diese Lücke
 schließt du.
 1. Besorge dir das aktuelle Organigramm und lege für jede Abteilung einen Abschnitt an.
 2. Vereinbare mit jeder Abteilung ein Gespräch von höchstens 15 Minuten. Stell die Fragen aus
   der Übersicht im Handout A5 – nicht mehr, sonst wird es ein Verhör.
 3. Halte fest: Ansprechpartner, die drei wichtigsten Anwendungen, Zeiten, in denen nichts
   ausfallen darf, und mit wem die Abteilung Daten austauscht.
 4. Zeichne die Abhängigkeiten ein: Welche Abteilung bekommt Daten von welcher, über welche
   Anwendung?
 5. Lege das Ergebnis in der IT-Dokumentation ab. Benenne die Datei nach der Regel aus
   Handout A6.
 6. Was dir in den Gesprächen an Beschwerden und Wünschen begegnet, legst du als Ticket an.
 ## Worauf es ankommt
 Die Gespräche sind der eigentliche Wert dieser Aufgabe. Eine Übersicht, die nur aus
 vorhandenen Listen abgeschrieben ist, enthält genau die Fehler, die schon in den Listen
 stehen. Und: Nach dieser Woche kennen dich die Abteilungen. Das spart dir in drei Jahren
 Ausbildung viele Erklärungen.
 ## Zeit
 Zwei halbe Tage. Wenn eine Abteilung keine Zeit hat, notiere das und frag nach einem
 Termin in der nächsten Woche – die Aufgabe kann trotzdem zur Abnahme.
@@ -0,0 +1,51 @@
 ---
 id: "6.1"
 titel: Den Schutzbedarf eines Arbeitsbereichs feststellen
 woche: 6
 block: sicherheit
 ziel: Du stellst für einen Arbeitsbereich des Betriebs den Schutzbedarf der Informationen, Anwendungen und IT-Systeme fest, begründest jede Einstufung und leitest daraus drei konkrete Maßnahmen ab.
 zeitrahmen: 5 Stunden
 rahmenplan: [A6, A5, B1]
 lernfeld: LF4
 material:
  - Übersicht der Abteilungen aus Praxisaufgabe 5.1
  - Geräteliste und Netzplan
  - Vorlage für die Schutzbedarfsfeststellung (Tabelle beim Ausbilder)
  - Gesprächstermin mit der Leitung des gewählten Bereichs
 kriterien:
  - Die wichtigsten Informationen und Geschäftsabläufe des Bereichs sind erfasst
  - Für jede Anwendung ist der Schutzbedarf je Schutzziel eingestuft
  - Jede Einstufung ist mit einem konkreten Schadensszenario begründet
  - Der Schutzbedarf der IT-Systeme ist nachvollziehbar aus den Anwendungen abgeleitet (Maximumprinzip, ggf. Kumulations- oder Verteilungseffekt)
  - Drei Maßnahmen sind vorgeschlagen, jeweils mit dem Schutzziel, dem sie dienen
  - Die Einstufung ist mit der Leitung des Bereichs abgestimmt
 ---
 ## Auftrag
 Wähle mit dem Ausbilder einen Arbeitsbereich aus, etwa Personal, Buchhaltung, Lager oder
 Vertrieb.
 1. **Informationen und Abläufe:** Welche Informationen werden dort verarbeitet, und für
   welche Abläufe? Nutze dafür deine Gesprächsnotizen aus Aufgabe 5.1.
 2. **Anwendungen:** Welche Programme und Dienste verarbeiten diese Informationen?
 3. **Schutzbedarf der Anwendungen:** Stufe jede Anwendung für Vertraulichkeit, Integrität
   und Verfügbarkeit ein – normal, hoch oder sehr hoch. Begründe mit einem der sechs
   Schadensszenarien aus Handout I1.
 4. **IT-Systeme:** Auf welchen Servern, Clients und Verbindungen laufen die Anwendungen?
   Leite den Schutzbedarf ab und schreib dazu, welches Prinzip du angewandt hast.
 5. **Abstimmung:** Leg die Einstufung der Leitung des Bereichs vor. Sie kennt die Folgen
   eines Ausfalls besser als die IT.
 6. **Maßnahmen:** Schlage drei Maßnahmen vor, die dort ansetzen, wo der Bedarf hoch ist und
   der Schutz heute nicht reicht.
 ## Worauf es ankommt
 Die Begründung ist wichtiger als die Einstufung. „Sehr hoch" ohne Szenario ist wertlos;
 „hoch, weil ein Ausfall von mehr als einem Tag die Lohnabrechnung verzögert und damit gegen
 Arbeitsverträge verstößt" ist eine Aussage, mit der man arbeiten kann.
 ## Zeit
 Fünf Stunden einschließlich Abstimmungsgespräch. Den Bereich lieber klein wählen und
 gründlich bearbeiten als groß und oberflächlich.
@@ -0,0 +1,50 @@
 ---
 id: "7.1"
 titel: Ein Inventarskript schreiben
 woche: 7
 block: programmierung
 ziel: Du schreibst ein PowerShell-Skript, das die wichtigsten Angaben eines Rechners erfasst und an eine gemeinsame CSV-Datei anhängt, und weist an drei Rechnern nach, dass es zuverlässig funktioniert.
 zeitrahmen: 8 Stunden, verteilt auf zwei Tage
 rahmenplan: [A10, A4, B3, A5]
 lernfeld: LF5
 material:
  - Drei Testrechner mit Windows, darunter ein Notebook
  - Eine Netzwerkfreigabe mit Schreibrecht für die CSV-Datei
  - Zugang zum Git-Repository der IT
 kriterien:
  - Das Skript erfasst Rechnername, Hersteller, Modell, Seriennummer, Betriebssystem mit Version, Arbeitsspeicher in GB, freien Platz auf C in GB und den Zeitpunkt des letzten Starts
  - Der Zielpfad der CSV-Datei ist ein Parameter, kein fester Wert im Code
  - Ein zweiter Lauf auf demselben Rechner erzeugt keine doppelte Zeile, sondern aktualisiert sie
  - Ist die Freigabe nicht erreichbar, bricht das Skript mit einer verständlichen Meldung ab
  - Das Skript hat einen Hilfeblock mit Beschreibung und Beispielaufruf
  - Die Ergebnisse von drei Rechnern liegen in der CSV-Datei und lassen sich in Excel öffnen
  - Das Skript liegt mit mindestens drei sinnvoll beschriebenen Commits im Repository
 ---
 ## Auftrag
 Die Geräteliste der IT wird von Hand gepflegt und ist deshalb nie ganz aktuell. Dein Skript
 soll das ändern.
 1. **Angaben finden:** Ermittle mit `Get-CimInstance`, wo die Angaben stecken. Hilfreich
   sind die Klassen `Win32_ComputerSystem`, `Win32_BIOS`, `Win32_OperatingSystem` und
   `Win32_LogicalDisk`. Nutze `Get-Member`, um die Eigenschaften zu finden.
 2. **Ein Objekt bauen:** Fasse alles in einem `[PSCustomObject]` zusammen. Rechne Bytes in
   Gigabyte um und runde auf eine Nachkommastelle.
 3. **Ablegen:** Lies die vorhandene CSV-Datei ein, ersetze die Zeile des eigenen Rechners
   oder hänge eine neue an, und schreib die Datei zurück.
 4. **Absichern:** Zielpfad als Parameter, Prüfung mit `Test-Path`, Fehlerbehandlung mit
   `try`/`catch`.
 5. **Dokumentieren:** Hilfeblock oben im Skript, Commits im Repository.
 6. **Nachweisen:** Lauf auf drei Rechnern, darunter ein zweiter Lauf auf demselben Rechner.
 ## Worauf es ankommt
 Das Aktualisieren statt Anhängen ist der Teil, an dem die meisten hängen bleiben – und genau
 der Teil, der das Skript im Alltag brauchbar macht. Überleg dir vorher, woran du einen
 Rechner eindeutig erkennst. Der Rechnername ist es nicht immer; die Seriennummer schon eher.
 ## Zeit
 Zwei Tage. Wenn du nach zwei Stunden nicht weißt, wo eine Angabe steckt, frag nach – das
 Suchen in den Klassen gehört zur Übung, das Verzweifeln daran nicht.
@@ -0,0 +1,53 @@
 ---
 id: "8.1"
 titel: Die Sicherung eines Bereichs prüfen und zurückspielen
 woche: 8
 block: system
 ziel: Du prüfst, ob die bestehende Datensicherung zum Schutzbedarf eines Arbeitsbereichs passt, spielst eine Sicherung auf eine Testumgebung zurück und vergleichst die gemessene Zeit mit dem, was der Bereich verkraftet.
 zeitrahmen: 6 Stunden
 rahmenplan: [A9, A5, A4, A8]
 lernfeld: LF4
 material:
  - Ergebnis der Schutzbedarfsfeststellung aus Praxisaufgabe 6.1
  - Lesender Zugang zur Sicherungssoftware und ihren Protokollen
  - Ein Testserver oder eine virtuelle Maschine als Ziel der Wiederherstellung
  - Checkliste „Wiederherstellung testen"
 kriterien:
  - RPO und RTO des Bereichs sind mit der Leitung abgestimmt und schriftlich festgehalten
  - Die bestehende Sicherung ist beschrieben – Art, Häufigkeit, Aufbewahrung, Speicherorte
  - Der Abgleich mit der 3-2-1-Regel und mit RPO und RTO ist vollständig, Lücken sind benannt
  - Die Wiederherstellung wurde auf die Testumgebung durchgeführt, nicht auf das laufende System
  - Die gemessene Dauer ist dokumentiert und dem RTO gegenübergestellt
  - Das Ergebnis wurde inhaltlich geprüft, nicht nur die Erfolgsmeldung der Software
  - Die Testumgebung ist anschließend bereinigt
  - Für jede gefundene Lücke liegt ein konkreter Verbesserungsvorschlag vor
 ---
 ## Auftrag
 Nimm den Bereich, den du in Aufgabe 6.1 untersucht hast. Du kennst seinen Schutzbedarf –
 jetzt prüfst du, ob die Sicherung dazu passt.
 1. **Anforderungen festhalten:** Wie viel Datenverlust (RPO) und wie viel Ausfallzeit (RTO)
   verkraftet der Bereich? Stimme beides mit der Leitung ab.
 2. **Bestand aufnehmen:** Was wird gesichert, wie oft, wie lange aufbewahrt, wohin? Lies dazu
   Einstellungen und Protokolle der Sicherungssoftware.
 3. **Abgleichen:** Erfüllt die Sicherung die 3-2-1-Regel? Gibt es eine Kopie, die offline oder
   unveränderlich ist? Reicht die Häufigkeit für das RPO?
 4. **Zurückspielen:** Stelle nach der Checkliste die Daten des Bereichs auf der
   Testumgebung wieder her. Miss die Zeit vom Entschluss bis zur Arbeitsfähigkeit.
 5. **Prüfen:** Öffne Dateien, starte die Anwendung, vergleiche den Stand mit dem
   Sicherungszeitpunkt.
 6. **Bewerten und vorschlagen:** Wo liegen Lücken? Was schlägst du vor?
 ## Worauf es ankommt
 Die gemessene Zeit ist das wichtigste Ergebnis. Fast jeder Betrieb schätzt die Dauer einer
 Wiederherstellung zu niedrig ein, weil er die Suche nach dem richtigen Sicherungsstand, das
 Bereitstellen der Umgebung und das Prüfen nicht mitrechnet. Wenn deine Messung über dem RTO
 liegt, ist das kein Misserfolg der Aufgabe – sondern genau der Befund, für den sie da ist.
 ## Zeit
 Sechs Stunden. Arbeite in der Testumgebung, und frag vor dem Zurückspielen den Ausbilder,
 ob Ziel und Umfang stimmen.
@@ -0,0 +1,53 @@
 ---
 id: "9.1"
 titel: Einen Testserver als virtuelle Maschine bereitstellen
 woche: 9
 block: server
 ziel: Du planst eine virtuelle Maschine für einen Testserver, stellst sie auf dem Testhost bereit, nimmst sie in Sicherung und Dokumentation auf und weist mit einem Snapshot nach, dass du eine Änderung sauber zurücknehmen kannst.
 zeitrahmen: 6 Stunden
 rahmenplan: [B1, B3, A5, A8]
 lernfeld: LF9
 material:
  - Zugang zum Testhost (Proxmox VE, Hyper-V oder vergleichbar)
  - Installationsabbild eines Server-Betriebssystems
  - Freie IP-Adresse im Testnetz und Zugang zum DNS
  - Checkliste „Virtuelle Maschine bereitstellen"
 kriterien:
  - Ein Planungsblatt mit Zweck, Ressourcen, Festplatten, Netz, Sicherung und Verantwortlichem lag vor dem Anlegen vor
  - Die zugewiesenen Ressourcen sind begründet und passen zu dem, was der Host hergibt
  - System und Daten liegen auf getrennten virtuellen Festplatten
  - Die VM hat eine feste Adresse, einen DNS-Eintrag und einen Namen nach der Namensregel
  - Gasterweiterungen sind installiert, die VM fährt über den Hypervisor sauber herunter
  - Die VM ist in die Sicherung aufgenommen, ein erster Sicherungslauf ist erfolgreich
  - Ein Snapshot wurde vor einer Änderung angelegt, die Änderung zurückgenommen und der Snapshot anschließend gelöscht
  - Die Dokumentation liegt in der IT-Dokumentation
 ---
 ## Auftrag
 Die Ausbildung braucht einen eigenen Testserver, auf dem in den nächsten Wochen
 Verzeichnisdienst und Freigaben geübt werden. Du stellst ihn bereit.
 1. **Planen:** Fülle das Planungsblatt nach Handout V3 aus und lass es dir vom Ausbilder
   freigeben, bevor du etwas anlegst.
 2. **Prüfen:** Hat der Testhost genug freien Arbeitsspeicher und Speicherplatz?
 3. **Anlegen und installieren:** VM nach Plan anlegen, Betriebssystem installieren,
   Gasterweiterungen und Updates einspielen.
 4. **Einbinden:** feste Adresse, DNS-Eintrag, Name nach Regel.
 5. **Absichern:** VM in die Sicherung aufnehmen und einen ersten Lauf abwarten.
 6. **Rückweg üben:** Snapshot anlegen, eine Änderung vornehmen (etwa eine Rolle
   installieren), auf den Snapshot zurücksetzen, prüfen, dass die Änderung weg ist, und den
   Snapshot löschen.
 7. **Dokumentieren:** Planungsblatt mit den tatsächlichen Werten in der IT-Dokumentation
   ablegen.
 ## Worauf es ankommt
 Das Planungsblatt vor dem Anlegen ist kein Formular, sondern der Kern der Aufgabe. Eine VM
 ohne Plan funktioniert genauso – bis jemand in einem Jahr fragt, wofür sie da ist und ob man
 sie abschalten kann.
 ## Zeit
 Sechs Stunden einschließlich Installation. Die Wartezeiten bei Installation und Updates
 nutzt du für die Dokumentation.
@@ -0,0 +1,54 @@
 id: 05-arbeitsplatz-sicherheit-pruefen
 titel: Sicherheit eines Arbeitsplatzes prüfen
 block: sicherheit
 worum: >-
  Ein Rundgang mit der Liste in der Hand findet mehr als jede Richtlinie. Geprüft
  wird, was tatsächlich eingestellt ist – nicht, was eingestellt sein sollte.
 rahmenplan: [A6, A5]
 lernfeld: LF4
 mit_ticket: false
 gruppen:
  - id: vorbereiten
    titel: Vorbereiten
    schritte:
      - id: v1
        text: Arbeitsplatz und Nutzer mit Termin angekündigt, Zweck der Prüfung erklärt
      - id: v2
        text: Gerät in der Geräteliste nachgeschlagen, Soll-Zustand (Betriebssystem, Verschlüsselung, Schutzsoftware) notiert
  - id: durchfuehren
    titel: Durchführen
    schritte:
      - id: d1
        text: Bildschirmsperre greift nach spätestens 10 Minuten, Sperren mit Windows-Taste + L ist bekannt
      - id: d2
        text: Betriebssystem und Anwendungen auf aktuellem Stand, keine ausstehenden Neustarts für Updates
      - id: d3
        text: Schutzsoftware aktiv, Signaturen aktuell, letzte vollständige Prüfung ohne Befund
      - id: d4
        text: Festplattenverschlüsselung aktiv (bei Notebooks Pflicht), Wiederherstellungsschlüssel zentral hinterlegt
      - id: d5
        text: Der Nutzer arbeitet ohne lokale Administratorrechte
      - id: d6
        text: Keine Passwörter auf Zetteln, unter der Tastatur oder in Textdateien auf dem Desktop
      - id: d7
        text: Zweiter Faktor für E-Mail und Fernzugang eingerichtet
      - id: d8
        text: Keine vertraulichen Ausdrucke offen am Platz oder im Drucker liegen gelassen
  - id: pruefen
    titel: Prüfen
    schritte:
      - id: p1
        text: Abweichungen vom Soll-Zustand vollständig notiert, je mit Befund und Risiko
      - id: p2
        text: Mit dem Nutzer kurz besprochen, was gefunden wurde – ohne Vorwurf
  - id: abschliessen
    titel: Abschließen
    schritte:
      - id: a1
        text: Für jede Abweichung ein Ticket angelegt oder die Abweichung sofort behoben und dokumentiert
      - id: a2
        text: Wiederkehrende Abweichungen an den Ausbilder gemeldet – sie deuten auf eine fehlende Regel hin
@@ -0,0 +1,60 @@
 id: 06-wiederherstellung-testen
 titel: Wiederherstellung testen
 block: system
 worum: >-
  Der Test findet auf einer Testumgebung statt, wird gemessen und inhaltlich
  geprüft. Die Erfolgsmeldung der Sicherungssoftware ist kein Ergebnis.
 rahmenplan: [A9, A5]
 lernfeld: LF4
 mit_ticket: true
 gruppen:
  - id: vorbereiten
    titel: Vorbereiten
    schritte:
      - id: v1
        text: Umfang des Tests festgelegt (Datei, Ordner, Anwendung oder ganzes System)
      - id: v2
        text: RPO und RTO des betroffenen Bereichs nachgeschlagen
      - id: v3
        text: Testumgebung bereitgestellt und vom Produktivnetz getrennt
      - id: v4
        text: Sicherungsstand gewählt und notiert (Datum, Uhrzeit, Art der Sicherung)
  - id: durchfuehren
    titel: Durchführen
    schritte:
      - id: d1
        text: Startzeit notiert
      - id: d2
        text: Wiederherstellung auf die Testumgebung gestartet – nicht auf das laufende System
      - id: d3
        text: Auftretende Meldungen und Wartezeiten mitgeschrieben
      - id: d4
        text: Endzeit notiert, sobald mit den Daten gearbeitet werden kann
  - id: pruefen
    titel: Prüfen
    schritte:
      - id: p1
        text: Stichprobe von mindestens fünf Dateien geöffnet, Inhalt lesbar
      - id: p2
        text: Stand entspricht dem gewählten Sicherungszeitpunkt
      - id: p3
        text: Berechtigungen sind mit zurückgekommen
      - id: p4
        text: Anwendung startet und arbeitet mit den zurückgespielten Daten (falls Teil des Tests)
      - id: p5
        text: Gemessene Dauer dem RTO gegenübergestellt
  - id: abschliessen
    titel: Abschließen
    schritte:
      - id: a1
        text: Testprotokoll mit Datum, Umfang, Sicherungsstand, Dauer und Ergebnis abgelegt
      - id: a2
        text: Testumgebung bereinigt, zurückgespielte Daten gelöscht
      - id: a3
        text: Abweichungen und Auffälligkeiten als Tickets angelegt
      - id: a4
        text: Datum des nächsten Tests festgelegt
@@ -0,0 +1,60 @@
 id: 07-vm-bereitstellen
 titel: Virtuelle Maschine bereitstellen
 block: server
 worum: >-
  Vom Planungsblatt bis zur VM in Sicherung und Überwachung. Die Schritte nach
  der Installation sind die, die sonst fehlen.
 rahmenplan: [B1, B3, A5]
 lernfeld: LF9
 mit_ticket: true
 gruppen:
  - id: vorbereiten
    titel: Vorbereiten
    schritte:
      - id: v1
        text: Zweck und Verantwortlicher der VM schriftlich festgehalten
      - id: v2
        text: Ressourcen, Festplatten, Netz bzw. VLAN und IP-Adresse geplant
      - id: v3
        text: Geprüft, dass der Host Arbeitsspeicher und Speicherplatz hergibt
      - id: v4
        text: Name nach Namensregel vergeben, IP-Adresse reserviert
  - id: durchfuehren
    titel: Durchführen
    schritte:
      - id: d1
        text: VM angelegt, System- und Datenfestplatte getrennt
      - id: d2
        text: Betriebssystem installiert, Gasterweiterungen eingerichtet
      - id: d3
        text: Alle verfügbaren Updates eingespielt
      - id: d4
        text: Feste IP-Adresse gesetzt, DNS-Eintrag angelegt
      - id: d5
        text: Lokales Administratorkennwort nach Vorgabe gesetzt und im Passwortmanager abgelegt
  - id: pruefen
    titel: Prüfen
    schritte:
      - id: p1
        text: VM über den Namen erreichbar
      - id: p2
        text: Herunterfahren über den Hypervisor funktioniert sauber
      - id: p3
        text: VM in die Sicherung aufgenommen, erster Lauf erfolgreich
      - id: p4
        text: VM in die Überwachung aufgenommen (Erreichbarkeit, Speicherplatz)
      - id: p5
        text: Keine Snapshots aus der Einrichtung übrig geblieben
  - id: abschliessen
    titel: Abschließen
    schritte:
      - id: a1
        text: Planungsblatt mit den tatsächlichen Werten in der IT-Dokumentation abgelegt
      - id: a2
        text: VM an den Verantwortlichen übergeben
      - id: a3
        text: Ticket geschlossen mit Name, Adresse und tatsächlichem Aufwand
@@ -0,0 +1,56 @@
 id: 08-mitarbeiter-einrichten
 titel: Neuen Mitarbeiter einrichten
 block: server
 worum: >-
  Rechte kommen aus der Rolle, nicht aus dem Konto eines Kollegen. Und das
  Erstpasswort wird persönlich übergeben, nie per Mail an den Vorgesetzten.
 rahmenplan: [B3, A6, A7]
 lernfeld: LF10
 mit_ticket: true
 gruppen:
  - id: vorbereiten
    titel: Vorbereiten
    schritte:
      - id: v1
        text: Meldung der Personalabteilung liegt vor – Name, Eintrittsdatum, Abteilung, Funktion
      - id: v2
        text: Benötigte Rollen und Zugänge von der Führungskraft schriftlich angefordert
      - id: v3
        text: Gerät reserviert und nach Checkliste vorbereitet
  - id: durchfuehren
    titel: Durchführen
    schritte:
      - id: d1
        text: Konto nach Namensregel in der OU der Abteilung angelegt – nicht von einem Kollegen kopiert
      - id: d2
        text: Konto in die globalen Gruppen der Rolle aufgenommen, keine Einzelberechtigungen
      - id: d3
        text: Postfach und Verteilerlisten eingerichtet
      - id: d4
        text: Fachanwendungen freigeschaltet, soweit angefordert
      - id: d5
        text: Erstpasswort gesetzt, Änderung bei der ersten Anmeldung erzwungen
      - id: d6
        text: Gerät in der Geräteliste der Person zugeordnet
  - id: pruefen
    titel: Prüfen
    schritte:
      - id: p1
        text: Anmeldung am vorgesehenen Gerät funktioniert
      - id: p2
        text: Laufwerke und Drucker der Abteilung kommen per Richtlinie an
      - id: p3
        text: Zugriff auf eine Ablage, die nicht zur Rolle gehört, wird abgewiesen
  - id: abschliessen
    titel: Abschließen
    schritte:
      - id: a1
        text: Erstpasswort persönlich übergeben, zweiten Faktor gemeinsam eingerichtet
      - id: a2
        text: Kurze Einweisung – Anmelden, Sperren, Ablage, Drucken, wie man ein Ticket aufgibt
      - id: a3
        text: Ticket geschlossen mit Gruppen, Gerät und tatsächlichem Aufwand
@@ -0,0 +1,54 @@
 id: 09-auftrag-abnehmen-lassen
 titel: Auftrag übergeben und abnehmen lassen
 block: arbeitsalltag
 worum: >-
  Die Abnahme ist der Moment, in dem aus „fertig" ein nachweisbares „erledigt"
  wird. Was hier nicht im Protokoll steht, ist später Verhandlungssache.
 rahmenplan: [A7, A5, A2]
 lernfeld: LF6
 mit_ticket: true
 gruppen:
  - id: vorbereiten
    titel: Vorbereiten
    schritte:
      - id: v1
        text: Alle Anforderungen aus dem Pflichtenheft einzeln selbst geprüft und abgehakt
      - id: v2
        text: Dokumentation für den Kunden fertig – Zugangsdaten getrennt übergeben
      - id: v3
        text: Termin mit der Person vereinbart, die abnehmen darf
      - id: v4
        text: Abnahmeprotokoll mit den Abnahmekriterien aus dem Pflichtenheft vorbereitet
  - id: durchfuehren
    titel: Durchführen
    schritte:
      - id: d1
        text: Jedes Abnahmekriterium gemeinsam mit dem Kunden vorgeführt und geprüft
      - id: d2
        text: Gefundene Mängel mit Beschreibung und vereinbarter Frist ins Protokoll eingetragen
      - id: d3
        text: Kunde bzw. Anwender eingewiesen
      - id: d4
        text: Dokumentation übergeben
  - id: pruefen
    titel: Prüfen
    schritte:
      - id: p1
        text: Protokoll vollständig – Datum, Teilnehmer, Ergebnis je Kriterium, Restmängel
      - id: p2
        text: Protokoll von beiden Seiten unterschrieben
  - id: abschliessen
    titel: Abschließen
    schritte:
      - id: a1
        text: Leistungsnachweis mit tatsächlichem Aufwand an die Abrechnung gegeben
      - id: a2
        text: Restmängel als Tickets mit Frist angelegt
      - id: a3
        text: Abnahmeprotokoll beim Auftrag abgelegt
      - id: a4
        text: Rückmeldung des Kunden eingeholt und notiert
@@ -182,3 +182,359 @@
    SSDs durch Schreibvorgänge – die Kennzahlen für den Zustand sind deshalb
    unterschiedlich.
  siehe_auch: [SMART]
 # --- Woche 5: Ausbildung, Betrieb, Zusammenarbeit -------------------------
 - begriff: Probezeit
  erklaerung: >-
    Der erste Abschnitt der Ausbildung, mindestens einen und höchstens vier
    Monate lang. In dieser Zeit können beide Seiten jederzeit ohne Frist und ohne
    Angabe von Gründen kündigen, schriftlich.
 - begriff: Ausbildungsnachweis
  formen: [Berichtsheft, Ausbildungsnachweise, Ausbildungsnachweises]
  erklaerung: >-
    Die schriftliche oder elektronische Aufzeichnung dessen, was in der
    Ausbildung tatsächlich gelernt und getan wurde. Ein ordnungsgemäß geführter
    Nachweis ist Voraussetzung für die Zulassung zur Abschlussprüfung.
 - begriff: Organigramm
  erklaerung: >-
    Die zeichnerische Darstellung der Aufbauorganisation eines Betriebs:
    Abteilungen, Stellen und wer wem gegenüber weisungsbefugt ist.
 - begriff: Betriebsrat
  erklaerung: >-
    Die gewählte Vertretung der Beschäftigten. Er hat unter anderem ein
    Mitbestimmungsrecht, wenn technische Einrichtungen eingeführt werden, die
    Verhalten oder Leistung überwachen können – also bei vielen IT-Projekten.
  siehe_auch: [Jugend- und Auszubildendenvertretung]
 - begriff: Jugend- und Auszubildendenvertretung
  steht_fuer: JAV
  formen: [JAV]
  erklaerung: >-
    Die Interessenvertretung der Beschäftigten unter 18 und der Auszubildenden
    unter 25. Sie kann gewählt werden, wo es einen Betriebsrat und in der Regel
    mindestens fünf solcher Beschäftigten gibt.
  siehe_auch: [Betriebsrat]
 # --- Woche 6: IT-Sicherheit und Datenschutz -------------------------------
 - begriff: Schutzziele
  formen: [Schutzziel, Schutzzielen]
  erklaerung: >-
    Die drei Grundwerte der Informationssicherheit: Vertraulichkeit (nur Befugte
    sehen die Daten), Integrität (die Daten sind unverfälscht) und Verfügbarkeit
    (sie stehen bereit, wenn sie gebraucht werden).
  siehe_auch: [Schutzbedarf]
 - begriff: Schutzbedarf
  formen: [Schutzbedarfs, Schutzbedarfsfeststellung]
  erklaerung: >-
    Wie viel Schutz eine Information oder ein System braucht – gemessen am
    Schaden, der entstünde, wenn ein Schutzziel verletzt würde. Der
    IT-Grundschutz des BSI unterscheidet normal, hoch und sehr hoch.
  siehe_auch: [Schutzziele, Maximumprinzip]
 - begriff: Maximumprinzip
  erklaerung: >-
    Ein IT-System übernimmt den höchsten Schutzbedarf aller Anwendungen, die auf
    ihm laufen. Eine einzige Anwendung mit sehr hohem Bedarf hebt also das ganze
    System an.
  siehe_auch: [Schutzbedarf]
 - begriff: Phishing
  formen: [Phishing-Mail, Phishing-Mails]
  erklaerung: >-
    Gefälschte Nachrichten oder Webseiten, die zur Eingabe von Zugangsdaten oder
    zu einer Zahlung verleiten sollen. Erkennungszeichen sind Zeitdruck, ein
    unpassender Absender und ein Link, dessen Ziel nicht zum Absender passt.
 - begriff: Zwei-Faktor-Authentifizierung
  steht_fuer: 2FA
  formen: [2FA, MFA, zweiter Faktor, zweiten Faktor]
  erklaerung: >-
    Eine Anmeldung, die neben dem Passwort einen zweiten, unabhängigen Nachweis
    verlangt – etwa einen Code aus einer App oder einen Sicherheitsschlüssel. Ein
    gestohlenes Passwort allein genügt dann nicht mehr.
 - begriff: DSGVO
  steht_fuer: Datenschutz-Grundverordnung
  formen: [Datenschutz-Grundverordnung]
  erklaerung: >-
    Die europäische Verordnung, die regelt, wie personenbezogene Daten erhoben,
    verarbeitet und geschützt werden müssen. Sie gilt unmittelbar in allen
    Mitgliedstaaten.
  siehe_auch: [personenbezogene Daten]
 - begriff: personenbezogene Daten
  formen: [personenbezogener Daten, personenbezogenen Daten]
  erklaerung: >-
    Alle Angaben, die sich einer bestimmten oder bestimmbaren Person zuordnen
    lassen – Name, E-Mail-Adresse, Personalnummer, aber auch eine IP-Adresse oder
    ein Foto.
  siehe_auch: [DSGVO]
 # --- Woche 7: Skripting mit PowerShell ------------------------------------
 - begriff: Cmdlet
  formen: [Cmdlets]
  erklaerung: >-
    Ein eingebauter PowerShell-Befehl. Cmdlets heißen immer nach dem Muster
    Verb-Substantiv, etwa Get-Service, und liefern Objekte statt Text.
  siehe_auch: [Pipeline]
 - begriff: Pipeline
  erklaerung: >-
    Die Verkettung von Befehlen mit dem senkrechten Strich. In PowerShell wandern
    dabei Objekte von Befehl zu Befehl, die sich nach ihren Eigenschaften filtern,
    sortieren und auswählen lassen.
  siehe_auch: [Cmdlet]
 # --- Woche 8: Datensicherung und Speicher ---------------------------------
 - begriff: Vollsicherung
  formen: [Vollsicherungen]
  erklaerung: >-
    Eine Sicherung aller ausgewählten Daten, unabhängig davon, ob sie sich
    geändert haben. Grundlage für inkrementelle und differenzielle Sicherungen.
  siehe_auch: [inkrementelle Sicherung, differenzielle Sicherung]
 - begriff: inkrementelle Sicherung
  formen: [inkrementellen Sicherung, inkrementellen Sicherungen, inkrementell]
  erklaerung: >-
    Sichert nur, was sich seit der letzten Sicherung gleich welcher Art geändert
    hat. Schnell und platzsparend; zum Zurückspielen braucht man die
    Vollsicherung und alle inkrementellen Sicherungen seitdem.
  siehe_auch: [Vollsicherung, differenzielle Sicherung]
 - begriff: differenzielle Sicherung
  formen: [differenziellen Sicherung, differenziellen Sicherungen, differenziell]
  erklaerung: >-
    Sichert alles, was sich seit der letzten Vollsicherung geändert hat. Wächst
    bis zur nächsten Vollsicherung; zum Zurückspielen genügen die Vollsicherung
    und die letzte differenzielle Sicherung.
  siehe_auch: [Vollsicherung, inkrementelle Sicherung]
 - begriff: RPO
  steht_fuer: Recovery Point Objective
  erklaerung: >-
    Der größte Datenverlust, den ein Bereich verkraftet, gemessen in Zeit. Ein
    RPO von vier Stunden heißt: Es muss mindestens alle vier Stunden gesichert
    werden.
  siehe_auch: [RTO]
 - begriff: RTO
  steht_fuer: Recovery Time Objective
  erklaerung: >-
    Die größte Ausfallzeit, die ein Bereich verkraftet, bis nach einem Schaden
    wieder gearbeitet werden kann. Ob sie eingehalten wird, zeigt nur ein
    gemessener Wiederherstellungstest.
  siehe_auch: [RPO]
 - begriff: RAID
  steht_fuer: Redundant Array of Independent Disks
  erklaerung: >-
    Ein Verbund mehrerer Festplatten, der je nach Stufe schneller ist oder den
    Ausfall einzelner Platten übersteht. Ein RAID schützt nicht vor Löschen,
    Verschlüsselung oder Beschädigung von Dateien – es ist keine Datensicherung.
 - begriff: NAS
  steht_fuer: Network Attached Storage
  erklaerung: >-
    Ein Speichergerät im Netzwerk, das Dateien über Freigaben bereitstellt, etwa
    per SMB oder NFS.
  siehe_auch: [SAN, RAID]
 - begriff: SAN
  steht_fuer: Storage Area Network
  erklaerung: >-
    Ein Speichernetz, das Servern Speicherblöcke bereitstellt, etwa per iSCSI.
    Der Server sieht eine Festplatte und legt selbst ein Dateisystem darauf an.
  siehe_auch: [NAS]
 # --- Woche 9: Virtualisierung ----------------------------------------------
 - begriff: Hypervisor
  formen: [Hypervisoren, Hypervisors]
  erklaerung: >-
    Die Software, die einen physischen Rechner in mehrere virtuelle Maschinen
    aufteilt. Typ 1 läuft direkt auf der Hardware (für Server), Typ 2 als
    Programm auf einem Betriebssystem (für Tests am Arbeitsplatz).
  siehe_auch: [virtuelle Maschine]
 - begriff: virtuelle Maschine
  steht_fuer: VM
  formen: [virtuellen Maschine, virtuelle Maschinen, virtuellen Maschinen, VM, VMs]
  erklaerung: >-
    Ein vollständiger Rechner mit eigenem Betriebssystem, der nicht auf eigener
    Hardware läuft, sondern sich die Ressourcen eines Hosts mit anderen VMs teilt.
  siehe_auch: [Hypervisor, Snapshot]
 - begriff: Snapshot
  formen: [Snapshots]
  erklaerung: >-
    Ein eingefrorener Zustand einer virtuellen Maschine, zu dem man zurückkehren
    kann. Gut als Rückweg für Stunden vor einer Änderung, aber keine
    Datensicherung – er liegt auf demselben Speicher und wird mit der Zeit groß
    und langsam.
  siehe_auch: [virtuelle Maschine, Vollsicherung]
 - begriff: Thin Provisioning
  erklaerung: >-
    Eine virtuelle Festplatte belegt nur den tatsächlich beschriebenen Platz und
    wächst bei Bedarf. Spart Speicher, kann ihn aber unbemerkt volllaufen lassen,
    wenn mehr zugesagt ist, als vorhanden ist.
 - begriff: Container
  erklaerung: >-
    Eine abgeschlossene Laufzeitumgebung für eine Anwendung, die sich den Kern
    des Host-Betriebssystems teilt. Leichter und schneller als eine virtuelle
    Maschine, aber weniger stark von anderen getrennt.
  siehe_auch: [virtuelle Maschine]
 # --- Woche 10: Verzeichnisdienst und Serverdienste -------------------------
 - begriff: Active Directory
  steht_fuer: AD
  erklaerung: >-
    Der Verzeichnisdienst von Microsoft. Er verwaltet Benutzer, Computer, Gruppen
    und Richtlinien einer Domäne zentral und prüft Anmeldungen.
  siehe_auch: [Domänencontroller, Organisationseinheit, Gruppenrichtlinie]
 - begriff: Domänencontroller
  formen: [Domänencontrollern, Domänencontrollers]
  erklaerung: >-
    Ein Server, der das Verzeichnis einer Domäne hält und Anmeldungen prüft. Man
    betreibt mindestens zwei, damit ein Ausfall niemanden aussperrt.
  siehe_auch: [Active Directory, DNS]
 - begriff: Organisationseinheit
  steht_fuer: OU (Organizational Unit)
  formen: [Organisationseinheiten, OU, OUs]
  erklaerung: >-
    Ein Ordner im Active Directory, der Konten und Computer ordnet. An
    Organisationseinheiten werden Gruppenrichtlinien verknüpft und
    Verwaltungsrechte delegiert – Berechtigungen auf Dateien vergibt man dagegen
    an Gruppen.
  siehe_auch: [Active Directory, Gruppenrichtlinie, AGDLP]
 - begriff: AGDLP
  erklaerung: >-
    Die Regel für Gruppen im Active Directory: Accounts in Global groups, Global
    groups in Domain Local groups, Permissions an die Domain Local groups. Die
    globale Gruppe beschreibt die Rolle, die domänenlokale das Recht.
  siehe_auch: [Prinzip der geringsten Rechte, NTFS-Berechtigung]
 - begriff: Gruppenrichtlinie
  steht_fuer: GPO (Group Policy Object)
  formen: [Gruppenrichtlinien, GPO, GPOs]
  erklaerung: >-
    Ein Bündel zentraler Einstellungen für Computer oder Benutzer, das an einen
    Standort, die Domäne oder eine Organisationseinheit verknüpft wird.
    Angewendet in der Reihenfolge lokal, Standort, Domäne, OU – was zuletzt
    kommt, gewinnt.
  siehe_auch: [Organisationseinheit, Active Directory]
 - begriff: Schattenkopie
  formen: [Schattenkopien]
  erklaerung: >-
    Eine Zeitpunktkopie eines Laufwerks auf dem Dateiserver, über die Benutzer
    frühere Fassungen einer Datei selbst zurückholen können. Liegt auf demselben
    Laufwerk und ersetzt deshalb keine Datensicherung.
  siehe_auch: [Vollsicherung]
 # --- Woche 11: Netze trennen und verbinden ---------------------------------
 - begriff: Trunk
  formen: [Trunks, Trunk-Port, Trunk-Ports]
  erklaerung: >-
    Eine Switchverbindung, die mehrere VLANs gleichzeitig überträgt und jeden
    Rahmen mit seiner VLAN-ID markiert (IEEE 802.1Q). Verbindet Switches
    untereinander und mit Routern, Firewalls und Access Points.
  siehe_auch: [VLAN, Switch]
 - begriff: Standardroute
  formen: [Standardrouten, Default-Route]
  erklaerung: >-
    Der Eintrag 0.0.0.0/0 in einer Routingtabelle. Er greift für alle Ziele, für
    die es keine genauere Route gibt – meist der Weg ins Internet.
  siehe_auch: [Router, Gateway]
 - begriff: 802.1X
  erklaerung: >-
    Ein Verfahren, bei dem sich Geräte oder Benutzer vor dem Zugang zum Netz
    anmelden müssen – im WLAN als WPA2/WPA3-Enterprise, auch an Switchports. Die
    Prüfung übernimmt meist ein RADIUS-Server.
  siehe_auch: [RADIUS]
 - begriff: RADIUS
  steht_fuer: Remote Authentication Dial-In User Service
  erklaerung: >-
    Ein Dienst, der Anmeldungen am Netz zentral prüft, etwa gegen die
    Benutzerkonten im Verzeichnisdienst. Wird für WLAN-Zugänge mit eigenen
    Zugangsdaten je Person gebraucht.
  siehe_auch: [802.1X]
 # --- Woche 12: Kundenauftrag -----------------------------------------------
 - begriff: Lastenheft
  formen: [Lastenhefts, Lastenhefte]
  erklaerung: >-
    Die Beschreibung des Auftraggebers, was er braucht und wofür. Die Grundlage,
    auf die der Auftragnehmer mit dem Pflichtenheft antwortet.
  siehe_auch: [Pflichtenheft]
 - begriff: Pflichtenheft
  formen: [Pflichtenhefts, Pflichtenhefte]
  erklaerung: >-
    Die Beschreibung des Auftragnehmers, wie und womit er die Anforderungen aus
    dem Lastenheft umsetzt – einschließlich der Kriterien, an denen bei der
    Abnahme geprüft wird.
  siehe_auch: [Lastenheft]
 - begriff: Bezugspreis
  formen: [Bezugspreise, Bezugskalkulation]
  erklaerung: >-
    Der Preis, den der Betrieb für eine Ware tatsächlich zahlt: Listenpreis minus
    Rabatt minus Skonto plus Bezugskosten wie Versand und Verpackung.
  siehe_auch: [Skonto]
 - begriff: Skonto
  erklaerung: >-
    Ein Preisnachlass für Zahlung innerhalb einer kurzen Frist, etwa 2 Prozent
    bei Zahlung binnen zehn Tagen. Wird vom Zieleinkaufspreis berechnet, also
    nach Abzug des Rabatts.
  siehe_auch: [Bezugspreis]
 - begriff: Werkvertrag
  formen: [Werkvertrags, Werkverträge]
  erklaerung: >-
    Ein Vertrag, bei dem ein Erfolg geschuldet wird, etwa ein funktionierendes
    Netzwerk. Bezahlt wird nach der Abnahme.
  siehe_auch: [Dienstvertrag, Gewährleistung]
 - begriff: Dienstvertrag
  formen: [Dienstvertrags, Dienstverträge]
  erklaerung: >-
    Ein Vertrag, bei dem eine Tätigkeit geschuldet wird, nicht ein Erfolg – etwa
    Support nach Stunden oder eine Schulung.
  siehe_auch: [Werkvertrag]
 - begriff: Gewährleistung
  formen: [Mängelhaftung]
  erklaerung: >-
    Die gesetzliche Haftung des Verkäufers für Mängel, die bei Übergabe vorhanden
    waren – bei neuen Sachen in der Regel zwei Jahre. Anders als die Garantie ist
    sie nicht freiwillig.
  siehe_auch: [Werkvertrag]
 - begriff: SLA
  steht_fuer: Service Level Agreement
  formen: [SLAs]
  erklaerung: >-
    Eine Vereinbarung über messbare Leistungswerte eines Dienstes, etwa
    Reaktionszeit, Wiederherstellungszeit und Verfügbarkeit. 99,9 Prozent
    Verfügbarkeit erlauben knapp neun Stunden Ausfall im Jahr.
  siehe_auch: [RTO]
@@ -0,0 +1,69 @@
 ---
 id: A4
 titel: Rechte und Pflichten in der Ausbildung
 block: arbeitsalltag
 woche: 5
 worum: Der Ausbildungsvertrag ist kein gewöhnlicher Arbeitsvertrag – das Berufsbildungsgesetz regelt, was beide Seiten einander schulden.
 rahmenplan: [C1]
 lernfeld: LF1
 merksatz: Du schuldest das Lernen, der Betrieb schuldet das Ausbilden. Das Berichtsheft beweist beides.
 karten:
  - frage: Wie lang darf die Probezeit in der Ausbildung sein, und was gilt in dieser Zeit für die Kündigung?
    antwort: Mindestens einen, höchstens vier Monate. In der Probezeit können beide Seiten jederzeit ohne Frist und ohne Angabe von Gründen kündigen – schriftlich.
  - frage: Unter welchen Bedingungen kann ein Azubi nach der Probezeit kündigen?
    antwort: Aus wichtigem Grund ohne Frist, oder mit vier Wochen Frist, wenn er die Ausbildung aufgeben oder einen anderen Beruf lernen will. Immer schriftlich und mit Angabe des Grundes.
  - frage: Warum ist das Berichtsheft mehr als eine lästige Pflicht?
    antwort: Ein ordnungsgemäß geführter Ausbildungsnachweis ist Voraussetzung für die Zulassung zur Abschlussprüfung. Ohne ihn keine Prüfung.
  - frage: Aus welchen Teilen besteht die Abschlussprüfung zum Fachinformatiker Systemintegration?
    antwort: Aus Teil 1 nach etwa anderthalb Jahren (Einrichten eines IT-gestützten Arbeitsplatzes, 20 %) und Teil 2 am Ende (Projektarbeit 50 %, zwei schriftliche Fachbereiche je 10 %, Wirtschafts- und Sozialkunde 10 %).
 ---
 ## Das Wesentliche
 - **Das Berufsbildungsgesetz (BBiG) geht dem Vertrag vor.** Was dort zugunsten des Azubis
  geregelt ist, lässt sich im Ausbildungsvertrag nicht wegverhandeln.
 - **Deine Pflichten (§ 13 BBiG)** lassen sich in einem Satz zusammenfassen: dich bemühen,
  den Beruf zu lernen. Dazu gehören die Berufsschule, die Weisungen im Rahmen der
  Ausbildung, der pflegliche Umgang mit Geräten, Verschwiegenheit über Betriebs- und
  Geschäftsgeheimnisse und das Führen des Ausbildungsnachweises.
 - **Die Pflichten des Betriebs (§ 14 BBiG):** dir den Beruf planmäßig beibringen,
  Ausbildungsmittel kostenlos stellen, dich zur Berufsschule freistellen, dir Zeit für das
  Berichtsheft während der Arbeitszeit geben und es regelmäßig durchsehen. Und: dir nur
  Aufgaben geben, die der Ausbildung dienen.
 - **Berufsschule ist Arbeitszeit.** Ein Berufsschultag mit mehr als fünf Unterrichtsstunden
  wird einmal pro Woche als voller Ausbildungstag angerechnet. Danach musst du nicht mehr in
  den Betrieb.
 - **Probezeit:** ein bis vier Monate. Danach kann der Betrieb nur noch aus wichtigem Grund
  kündigen.
 - **Vergütung, Urlaub und Arbeitszeit** stehen im Vertrag. Ob zusätzlich ein Tarifvertrag
  gilt, hängt davon ab, ob der Betrieb tarifgebunden ist oder der Vertrag darauf verweist –
  frag nach, statt zu raten.
 - **Bei Problemen** sind Ausbilder, Betriebsrat bzw. Jugend- und Auszubildendenvertretung
  und die Ausbildungsberatung der IHK die Ansprechpartner. In dieser Reihenfolge, aber nicht
  zwingend.
 ## Übersicht
 | Prüfungsteil | Zeitpunkt | Inhalt | Gewicht |
 |---|---|---|---|
 | Teil 1 | etwa nach 18 Monaten | Einrichten eines IT-gestützten Arbeitsplatzes (schriftlich, 90 Min.) | 20 % |
 | Teil 2 | Ende der Ausbildung | Betriebliches Projekt der Systemintegration mit Dokumentation, Präsentation und Fachgespräch | 50 % |
 | | | Konzeption und Administration von IT-Systemen (schriftlich) | 10 % |
 | | | Analyse und Entwicklung von Netzwerken (schriftlich) | 10 % |
 | | | Wirtschafts- und Sozialkunde (schriftlich) | 10 % |
 Teil 1 zählt also schon zur Endnote – er ist keine Zwischenprüfung zum Üben.
 ## Prüfungsfrage
 **Frage:** Ein Auszubildender wird nach der Probezeit regelmäßig zum Brötchenholen und
 Autowaschen eingeteilt. Beurteilen Sie die Situation und nennen Sie zwei Wege, wie er
 reagieren kann.
 **Antwort:** Nach § 14 BBiG dürfen Auszubildenden nur Aufgaben übertragen werden, die dem
 Ausbildungszweck dienen und ihren körperlichen Kräften angemessen sind. Regelmäßige
 ausbildungsfremde Tätigkeiten sind damit unzulässig; gelegentliche Gefälligkeiten, die alle
 im Team gleichermaßen übernehmen, sind dagegen kein Verstoß. Der Auszubildende kann
 (1) das Gespräch mit dem Ausbilder suchen und die Tätigkeiten im Berichtsheft wahrheitsgemäß
 eintragen, (2) sich an Betriebsrat oder Jugend- und Auszubildendenvertretung wenden oder
 (3) die Ausbildungsberatung der zuständigen Kammer einschalten.
@@ -0,0 +1,59 @@
 ---
 id: A5
 titel: Den Betrieb verstehen – Aufbau, Abläufe, Ansprechpartner
 block: arbeitsalltag
 woche: 5
 worum: Die IT ist für die anderen da. Wer nicht weiß, was eine Abteilung tut und wann es dort brennt, setzt die falschen Prioritäten.
 rahmenplan: [C2, A1]
 lernfeld: LF1
 merksatz: Das Organigramm sagt, wer entscheidet. Die Abläufe sagen, wer leidet, wenn etwas ausfällt.
 karten:
  - frage: Was ist der Unterschied zwischen Aufbau- und Ablauforganisation?
    antwort: Die Aufbauorganisation legt fest, wer wo steht – Abteilungen, Stellen, Weisungswege, sichtbar im Organigramm. Die Ablauforganisation legt fest, wie die Arbeit fließt – Reihenfolge, Zuständigkeiten und Übergaben in einem Prozess.
  - frage: Warum ist die IT in den meisten Betrieben ein Unterstützungsprozess?
    antwort: Weil sie nicht selbst das verkauft, womit der Betrieb sein Geld verdient, sondern die Kernprozesse – Fertigung, Vertrieb, Verwaltung – am Laufen hält. Ihre Kunden sind die anderen Abteilungen.
  - frage: Ab wann kann in einem Betrieb eine Jugend- und Auszubildendenvertretung gewählt werden?
    antwort: Wenn es einen Betriebsrat gibt und in der Regel mindestens fünf Beschäftigte unter 18 Jahren oder Auszubildende unter 25 Jahren dort arbeiten.
 ---
 ## Das Wesentliche
 - **Aufbauorganisation** – wer wo steht. Das Organigramm zeigt Abteilungen, Stellen und
  Weisungswege. Es beantwortet die Frage: Wer darf das entscheiden?
 - **Ablauforganisation** – wie die Arbeit fließt. Ein Auftrag geht vom Vertrieb über die
  Arbeitsvorbereitung in die Fertigung und zum Versand. Jede Übergabe ist eine Stelle, an
  der IT gebraucht wird – und an der ein Ausfall auffällt.
 - **Kernprozesse und Unterstützungsprozesse.** Kernprozesse bringen das Geld herein.
  Die IT gehört fast immer zu den Unterstützungsprozessen: Ihre Kunden sitzen im selben Haus.
 - **Linie, Stab, Matrix.** In der Linie hat jeder genau einen Vorgesetzten. Eine Stabsstelle
  berät, entscheidet aber nicht (etwa der Datenschutz). In der Matrix gibt es zwei Richtungen
  der Weisung, zum Beispiel Abteilung und Projekt.
 - **Die Rechtsform** sagt, wer haftet und wer unterschreiben darf. In einer GmbH haftet die
  Gesellschaft mit ihrem Vermögen; die Geschäftsführung vertritt sie nach außen.
 - **Mitbestimmung:** Ab fünf ständig Beschäftigten kann ein Betriebsrat gewählt werden. Er
  redet unter anderem mit, wenn Technik eingeführt wird, die Leistung oder Verhalten
  überwachen kann – und das ist bei fast jeder neuen Software der Fall.
 - **Für die IT zählt vor allem:** Wann wird wo gearbeitet, was darf wann nicht ausfallen, und
  wer ist der Ansprechpartner, der für die Abteilung sprechen darf.
 ## Übersicht
 | Frage an eine Abteilung | Warum die IT das wissen muss |
 |---|---|
 | Was ist euer wichtigstes Programm? | Bestimmt, was bei einer Störung zuerst wiederhergestellt wird |
 | Wann darf nichts ausfallen? | Wartungsfenster legt man nicht auf den Monatsabschluss der Buchhaltung |
 | Wer spricht für euch? | Änderungen werden mit einer Person abgestimmt, nicht mit allen |
 | Mit wem tauscht ihr Daten aus? | Schnittstellen sind die häufigste Fehlerquelle nach Updates |
 | Was nervt euch an der IT? | Die ehrlichste Liste für Verbesserungen, die es gibt |
 ## Prüfungsfrage
 **Frage:** Die IT-Abteilung soll eine neue Software zur Zeiterfassung einführen. Welche
 Stellen im Betrieb müssen Sie vor der Einführung einbeziehen, und warum?
 **Antwort:** (1) Die Geschäftsführung bzw. die verantwortliche Führungskraft, weil sie über
 Einführung und Budget entscheidet. (2) Den Betriebsrat, weil eine Zeiterfassung geeignet
 ist, Verhalten oder Leistung zu überwachen; er hat dabei ein Mitbestimmungsrecht nach § 87
 Abs. 1 Nr. 6 BetrVG. (3) Den Datenschutzbeauftragten, weil personenbezogene Daten verarbeitet
 werden. (4) Die Personalabteilung bzw. Lohnbuchhaltung als fachlich verantwortliche Stelle,
 die mit den Daten arbeitet und die Schnittstelle zur Abrechnung kennt.
@@ -0,0 +1,57 @@
 ---
 id: A6
 titel: Digital zusammenarbeiten – der richtige Kanal, der richtige Ort
 block: arbeitsalltag
 woche: 5
 worum: Chat, E-Mail, Ticket, Wiki – jedes Werkzeug ist für etwas anderes gut. Wer alles überall bespricht, findet nichts wieder.
 rahmenplan: [C5, A5]
 lernfeld: LF1
 merksatz: Aufträge ins Ticket, Wissen ins Wiki, Absprachen in den Chat – und was zählt, schriftlich.
 karten:
  - frage: Wohin gehört eine Absprache, die in drei Monaten noch nachvollziehbar sein muss – Chat, E-Mail oder Ticket?
    antwort: Ins Ticket, wenn sie zu einem Auftrag gehört, sonst in die gemeinsame Dokumentation. Chats sind für schnelle Abstimmung gedacht und lassen sich später kaum noch durchsuchen.
  - frage: Was gehört in ein Besprechungsprotokoll, damit es etwas nützt?
    antwort: Die getroffenen Entscheidungen und die vereinbarten Aufgaben mit Verantwortlichem und Termin. Wer was gesagt hat, ist meist entbehrlich.
  - frage: Warum schickt man einen Link auf die Datei statt die Datei als Anhang?
    antwort: Weil sonst mehrere Fassungen entstehen und niemand mehr weiß, welche gilt. Der Link zeigt immer auf den aktuellen Stand und unterliegt den Zugriffsrechten der Ablage.
 ---
 ## Das Wesentliche
 - **Den Kanal nach dem Zweck wählen, nicht nach der Gewohnheit.** Eine Frage, die in zwei
  Minuten geklärt ist, gehört nicht in eine E-Mail mit fünf Empfängern – und eine Zusage an
  einen Kunden nicht in den Chat.
 - **Ein Ort der Wahrheit.** Jede Information hat genau einen Ablageort. Kopien per Mail,
  auf dem Desktop oder im privaten Ordner sind am nächsten Tag veraltet.
 - **Dateinamen, die sich sortieren:** `2026-10-05_Netzplan_Halle2_v3.pdf` statt
  `Netzplan neu final(2).pdf`. Das Datum vorn in der Form JJJJ-MM-TT ordnet sich von selbst.
 - **Besprechungen** haben eine Tagesordnung vorher und ein Protokoll danach. Im Protokoll
  stehen Entscheidungen und Aufgaben – wer, was, bis wann.
 - **Was nicht in den Chat gehört:** Passwörter, personenbezogene Daten von Kunden oder
  Kollegen, Kundendaten aus Tickets. Chats werden mitgelesen, weitergeleitet und abfotografiert.
 - **Erreichbarkeit ehrlich halten.** Status setzen, Abwesenheit eintragen, Vertretung nennen.
  Wer nicht antwortet, ist für die anderen ein ungelöstes Ticket.
 - **Videokonferenz:** Kamera an, wenn es um Abstimmung geht; Mikrofon aus, wenn man nicht
  spricht; Bildschirm teilen nur mit geschlossenen privaten Fenstern.
 ## Übersicht
 | Anliegen | Kanal | Warum |
 |---|---|---|
 | Störung oder Auftrag | Ticket | Nachvollziehbar, zuweisbar, messbar |
 | Kurze Rückfrage an einen Kollegen | Chat | Schnell, wird nicht aufbewahrt |
 | Zusage, Angebot, Absprache mit Externen | E-Mail | Nachweisbar und an einen Empfänger gerichtet |
 | Eskalation, Konflikt, eilige Störung | Telefon oder persönlich | Tonfall und sofortige Rückfrage |
 | Anleitung, Konfiguration, Netzplan | Wiki bzw. gemeinsame Dokumentation | Auffindbar für alle, auch in zwei Jahren |
 ## Prüfungsfrage
 **Frage:** In Ihrem Team werden Konfigurationsänderungen bisher per Chat angekündigt und
 dort besprochen. Bewerten Sie dieses Vorgehen und schlagen Sie eine Verbesserung vor.
 **Antwort:** Der Chat eignet sich für die schnelle Abstimmung, nicht als Nachweis. Ankündigungen
 gehen in anderen Nachrichten unter, sind später schwer auffindbar und enthalten weder
 Begründung noch Rückfallplan in fester Form. Besser ist eine Änderungsanfrage im
 Ticketsystem mit Beschreibung, Zeitpunkt, betroffenen Systemen, Rückfallplan und
 Freigabe; der Chat dient dann nur noch als Hinweis mit Link auf das Ticket. Nach der Änderung
 wird die Dokumentation im Wiki aktualisiert.
@@ -0,0 +1,63 @@
 ---
 id: A7
 titel: Anforderungen aufnehmen – Lastenheft und Pflichtenheft
 block: arbeitsalltag
 woche: 12
 worum: Die meisten Projekte scheitern nicht an der Technik, sondern daran, dass Auftraggeber und IT unter derselben Anforderung etwas anderes verstanden haben.
 rahmenplan: [A2, A1, B1]
 lernfeld: LF2
 merksatz: Das Lastenheft sagt, was und wofür – vom Kunden. Das Pflichtenheft sagt, wie und womit – von der IT. Beides wird unterschrieben.
 karten:
  - frage: Was ist der Unterschied zwischen Lastenheft und Pflichtenheft?
    antwort: Das Lastenheft beschreibt der Auftraggeber – was er braucht und wofür. Das Pflichtenheft schreibt der Auftragnehmer – wie und womit er diese Anforderungen umsetzt. Das Pflichtenheft ist die Antwort auf das Lastenheft.
  - frage: Woran erkennt man eine gut formulierte Anforderung?
    antwort: Sie ist eindeutig, überprüfbar und begründet. „Das Notebook soll schnell sein" ist keine Anforderung; „Das Notebook startet die Warenwirtschaft in unter zehn Sekunden" schon.
  - frage: Was unterscheidet Muss-, Soll- und Kann-Anforderungen?
    antwort: Muss-Anforderungen sind unverzichtbar, ohne sie ist die Lösung unbrauchbar. Soll-Anforderungen sind wichtig, aber verhandelbar. Kann-Anforderungen sind wünschenswert, wenn Zeit und Budget es hergeben.
 ---
 ## Das Wesentliche
 - **Erst verstehen, dann anbieten.** Im ersten Gespräch geht es nicht um Geräte, sondern um
  die Arbeit: Was soll damit getan werden, von wem, wo, wie lange, mit welchen anderen
  Systemen?
 - **Offene Fragen stellen:** „Wie läuft ein typischer Arbeitstag ab?" statt „Brauchen Sie
  16 GB?". Wer nach Technik fragt, bekommt die Technik genannt, die der Kunde kennt.
 - **Das Lastenheft** kommt vom Auftraggeber: Ausgangslage, Ziel, Anforderungen,
  Rahmenbedingungen (Budget, Termin, Vorgaben). In kleinen Aufträgen schreibt es oft die IT
  mit – dann lässt man es vom Kunden bestätigen.
 - **Das Pflichtenheft** kommt vom Auftragnehmer: wie die Anforderungen umgesetzt werden, mit
  welcher Hard- und Software, in welchen Schritten, mit welchem Ergebnis.
 - **Anforderungen müssen prüfbar sein.** Jede Anforderung sollte man am Ende mit Ja oder
  Nein abhaken können. Was sich nicht prüfen lässt, führt bei der Abnahme zum Streit.
 - **Muss, Soll, Kann** unterscheiden. Damit lässt sich verhandeln, wenn Budget oder Termin
  nicht reichen, ohne dass das Wesentliche wegfällt.
 - **Nicht-funktionale Anforderungen** nicht vergessen: Verfügbarkeit, Datenschutz,
  Lautstärke, Ergonomie, Barrierefreiheit, Supportzeiten.
 - **Schriftlich bestätigen lassen.** Eine mündliche Absprache ist nach drei Wochen eine
  Erinnerung – nach drei Monaten eine Meinung.
 ## Übersicht
 | Unklar | Prüfbar |
 |---|---|
 | Der Rechner soll schnell sein | Die CAD-Anwendung öffnet die Baugruppe X in unter 15 Sekunden |
 | Ausreichend Speicher | 512 GB SSD, davon mindestens 300 GB frei nach Einrichtung |
 | Leise | Unter 30 dB(A) im Leerlauf in 1 m Abstand |
 | Gute Akkulaufzeit | 8 Stunden Arbeit mit Office und Videokonferenz ohne Steckdose |
 | Sicher | Festplattenverschlüsselung, zweiter Faktor, Updates zentral verwaltet |
 ## Prüfungsfrage
 **Frage:** Die Vertriebsleitung wünscht „neue, moderne Notebooks für den Außendienst".
 Welche Fragen stellen Sie, bevor Sie ein Angebot einholen? Nennen Sie fünf und begründen
 Sie zwei davon.
 **Antwort:** Fünf aus: (1) Welche Anwendungen werden unterwegs genutzt, auch ohne
 Internetverbindung? (2) Wie lange wird ohne Steckdose gearbeitet? (3) Wie oft und wie
 werden die Geräte transportiert – Robustheit, Gewicht? (4) Werden Videokonferenzen geführt –
 Kamera, Mikrofon, Mobilfunkmodul? (5) Welche Anschlüsse und Peripherie werden beim Kunden
 oder im Büro gebraucht? (6) Wie hoch ist das Budget, und bis wann werden die Geräte gebraucht?
 (7) Welche Daten werden gespeichert – Verschlüsselung, Datenschutz? Begründungen etwa:
 Die Akkulaufzeit bestimmt die Geräteklasse und schließt viele Modelle von vornherein aus.
 Der Termin entscheidet, ob nur sofort lieferbare Geräte infrage kommen.
@@ -0,0 +1,65 @@
 ---
 id: A8
 titel: Angebote einholen und rechnen – vom Listenpreis zum Bezugspreis
 block: arbeitsalltag
 woche: 12
 worum: Der niedrigste Listenpreis ist nicht das günstigste Angebot. Erst Rabatt, Skonto und Bezugskosten ergeben den Preis, den der Betrieb tatsächlich zahlt.
 rahmenplan: [A3, A2, A7]
 lernfeld: LF2
 merksatz: Listenpreis minus Rabatt minus Skonto plus Bezugskosten. Netto vergleichen, Bedingungen gleich machen.
 karten:
  - frage: Wie lautet das Schema der Bezugskalkulation?
    antwort: Listeneinkaufspreis minus Liefererrabatt ergibt den Zieleinkaufspreis, minus Liefererskonto den Bareinkaufspreis, plus Bezugskosten den Bezugspreis.
  - frage: Ist ein Angebot verbindlich, eine Anfrage aber nicht?
    antwort: Ja. Eine Anfrage verpflichtet zu nichts. Ein Angebot bindet den Anbieter, es sei denn, er schränkt es ausdrücklich ein, etwa mit „freibleibend" oder „solange Vorrat reicht". Nimmt der Kunde es rechtzeitig an, ist der Vertrag geschlossen.
  - frage: Warum vergleicht man Angebote für den Betrieb netto, also ohne Umsatzsteuer?
    antwort: Weil ein vorsteuerabzugsberechtigter Betrieb die Umsatzsteuer vom Finanzamt zurückbekommt. Seine tatsächlichen Kosten sind die Nettopreise.
 ---
 ## Das Wesentliche
 - **Mindestens drei Angebote** einholen, mit **derselben Anfrage**: gleiche Menge, gleiche
  Anforderungen, gleicher Liefertermin. Sonst vergleicht man Äpfel mit Birnen.
 - **Anfrage, Angebot, Bestellung:** Die Anfrage ist unverbindlich. Das Angebot bindet den
  Anbieter, außer es ist ausdrücklich eingeschränkt. Die rechtzeitige Bestellung auf ein
  Angebot ist die Annahme – damit ist der Kaufvertrag geschlossen.
 - **Die Bezugskalkulation** macht Angebote vergleichbar:
  Listeneinkaufspreis − **Rabatt** = Zieleinkaufspreis − **Skonto** = Bareinkaufspreis +
  **Bezugskosten** (Versand, Verpackung, Zoll) = **Bezugspreis**.
 - **Rabatt** ist ein Preisnachlass, etwa für Menge oder Stammkunden. **Skonto** ist ein Nachlass
  für schnelle Zahlung innerhalb einer Frist – er zählt nur, wenn die Buchhaltung die Frist
  auch einhält.
 - **Netto vergleichen.** Der Betrieb kann die Umsatzsteuer als Vorsteuer abziehen; seine
  Kosten sind die Nettobeträge.
 - **Der Preis ist nicht alles.** Lieferzeit, Garantie, Service vor Ort, Verfügbarkeit von
  Ersatzteilen gehören in eine Nutzwertanalyse (Handout H3). Die Bezugskalkulation liefert
  dafür das Kriterium Preis.
 - **Nachfragen ist erlaubt.** Wer zwei gute Angebote hat, kann beide Anbieter um ihr bestes
  Angebot bitten. Das ist üblich und kein schlechter Stil.
 ## Übersicht
 Fünf gleiche Arbeitsplatzrechner, Preise netto:
 | | Angebot A | Angebot B | Angebot C |
 |---|---|---|---|
 | Listeneinkaufspreis (5 × Stückpreis) | 4.495,00 € | 4.245,00 € | 4.395,00 € |
 | − Rabatt | 10 % = 449,50 € | – | 5 % = 219,75 € |
 | = Zieleinkaufspreis | 4.045,50 € | 4.245,00 € | 4.175,25 € |
 | − Skonto | 2 % = 80,91 € | 3 % = 127,35 € | – |
 | = Bareinkaufspreis | 3.964,59 € | 4.117,65 € | 4.175,25 € |
 | + Bezugskosten | 25,00 € | – | 40,00 € |
 | **= Bezugspreis** | **3.989,59 €** | **4.117,65 €** | **4.215,25 €** |
 Angebot B hat den niedrigsten Stückpreis, Angebot A den niedrigsten Bezugspreis.
 ## Prüfungsfrage
 **Frage:** Ein Händler bietet einen Switch zum Listenpreis von 1.200,00 € netto an, gewährt
 15 % Rabatt und 2 % Skonto bei Zahlung innerhalb von zehn Tagen; der Versand kostet 18,00 €.
 Berechnen Sie den Bezugspreis.
 **Antwort:** Listeneinkaufspreis 1.200,00 € − 15 % Rabatt (180,00 €) = Zieleinkaufspreis
 1.020,00 € − 2 % Skonto (20,40 €) = Bareinkaufspreis 999,60 € + Bezugskosten 18,00 € =
 **Bezugspreis 1.017,60 €** netto. Der Skonto wird vom Zieleinkaufspreis berechnet, nicht vom
 Listenpreis, und nur dann abgezogen, wenn innerhalb der Frist gezahlt wird.
@@ -0,0 +1,67 @@
 ---
 id: A9
 titel: Vertrag, Abnahme und Gewährleistung
 block: arbeitsalltag
 woche: 12
 worum: Ob eine Leistung als Kauf, Werk oder Dienst vereinbart ist, entscheidet, was geschuldet ist, wann bezahlt wird und was passiert, wenn etwas nicht funktioniert.
 rahmenplan: [A7, A2, C1]
 lernfeld: LF6
 merksatz: Kauf schuldet die Sache, Werk den Erfolg, Dienst die Tätigkeit. Ohne Abnahme kein Werk erledigt.
 karten:
  - frage: Was unterscheidet einen Werkvertrag von einem Dienstvertrag?
    antwort: Beim Werkvertrag wird ein Erfolg geschuldet, etwa ein funktionierendes Netzwerk; bezahlt wird nach der Abnahme. Beim Dienstvertrag wird eine Tätigkeit geschuldet, etwa Support nach Stunden – auch wenn das Problem am Ende nicht gelöst ist.
  - frage: Was ist der Unterschied zwischen Gewährleistung und Garantie?
    antwort: Die Gewährleistung ist gesetzlich vorgeschrieben – der Verkäufer haftet für Mängel, die bei Übergabe vorhanden waren, bei neuen Sachen in der Regel zwei Jahre. Die Garantie ist ein freiwilliges Versprechen des Herstellers oder Händlers mit selbst festgelegten Bedingungen.
  - frage: Welche Bedeutung hat die Abnahme bei einem Werkvertrag?
    antwort: Mit der Abnahme bestätigt der Auftraggeber, dass das Werk im Wesentlichen vertragsgemäß ist. Ab dann wird die Vergütung fällig, die Frist für Mängelansprüche beginnt, und die Gefahr geht auf den Auftraggeber über.
  - frage: Wie viele Stunden Ausfall im Jahr erlaubt eine vereinbarte Verfügbarkeit von 99,9 Prozent?
    antwort: Rund 8,8 Stunden – 0,1 Prozent von 8.760 Stunden im Jahr. Auf einen Monat gerechnet sind das etwa 43 Minuten.
 ---
 ## Das Wesentliche
 - **Kaufvertrag:** Der Verkäufer schuldet eine mangelfreie Sache und das Eigentum daran, der
  Käufer den Preis. Typisch: Hardware, Lizenzen.
 - **Werkvertrag:** Der Auftragnehmer schuldet einen **Erfolg** – ein eingerichtetes Netzwerk,
  eine migrierte Datenbank. Bezahlt wird nach der **Abnahme**.
 - **Dienstvertrag:** Geschuldet ist die **Tätigkeit**, nicht der Erfolg – Support nach
  Stunden, Beratung, Schulung.
 - **Die Abnahme** hat Folgen: Die Vergütung wird fällig, die Frist für Mängelansprüche beginnt
  zu laufen, und das Risiko geht auf den Auftraggeber über. Deshalb mit Protokoll, Datum,
  Unterschrift und einer Liste der Restmängel.
 - **Gewährleistung** ist gesetzlich: Der Verkäufer haftet für Mängel, die bei Übergabe schon
  bestanden. Zuerst hat er das Recht nachzubessern oder neu zu liefern. Erst wenn das
  scheitert, kommen Rücktritt, Minderung oder Schadensersatz infrage.
 - **Garantie** ist freiwillig und gilt zusätzlich, zu den Bedingungen des Garantiegebers.
 - **Unter Kaufleuten** gilt die Rügepflicht: Ware unverzüglich nach Lieferung prüfen und
  Mängel sofort melden. Wer den Karton drei Wochen ungeöffnet stehen lässt, kann offensichtliche
  Mängel danach unter Umständen nicht mehr geltend machen.
 - **Wartungsverträge und SLAs** legen Reaktionszeiten, Wiederherstellungszeiten und
  Verfügbarkeit fest. 99,9 Prozent Verfügbarkeit klingen nach „immer" – und erlauben knapp
  neun Stunden Ausfall im Jahr.
 ## Übersicht
 | Vertragsart | Geschuldet | Beispiel aus der IT | Bezahlt wird |
 |---|---|---|---|
 | Kaufvertrag | Sache und Eigentum | Zehn Notebooks | bei Lieferung bzw. nach Rechnung |
 | Werkvertrag | Erfolg | Netzwerk einrichten, Server migrieren | nach der Abnahme |
 | Dienstvertrag | Tätigkeit | Support nach Stunden, Schulung | nach Aufwand |
 | Mietvertrag / Leasing | Gebrauch auf Zeit | Drucker mit Wartung, Leasing-Notebooks | laufend |
 ## Prüfungsfrage
 **Frage:** Ihr Betrieb hat für einen Kunden ein WLAN eingerichtet. Bei der Abnahme stellt der
 Kunde fest, dass im Besprechungsraum der Empfang schwach ist; alles andere funktioniert.
 Wie gehen Sie vor, und welche Folgen hat die Abnahme?
 **Antwort:** Die Einrichtung ist ein Werkvertrag; der Kunde schuldet die Abnahme, wenn das
 Werk im Wesentlichen vertragsgemäß ist, und kann sie wegen unwesentlicher Mängel nicht
 verweigern. Vorgehen: Den Mangel im Abnahmeprotokoll festhalten, mit Beschreibung und einer
 Frist zur Behebung, etwa durch einen zusätzlichen Access Point oder eine Anpassung der
 Kanäle. Beide Seiten unterschreiben das Protokoll mit dem Vorbehalt dieses Mangels. Folgen
 der Abnahme: Die Vergütung wird fällig (ein Teil kann bis zur Behebung zurückgehalten
 werden), die Verjährungsfrist für Mängelansprüche beginnt, und die Gefahr geht auf den
 Kunden über. War vertraglich eine bestimmte Abdeckung im Besprechungsraum vereinbart,
 handelt es sich nicht um einen unwesentlichen Mangel – dann kann der Kunde die Abnahme
 verweigern. Deshalb gehören prüfbare Anforderungen ins Pflichtenheft.
@@ -0,0 +1,60 @@
 ---
 id: I1
 titel: Schutzziele und Schutzbedarf – was ist wie viel wert?
 block: sicherheit
 woche: 6
 worum: Nicht alles muss gleich gut geschützt werden. Die Schutzbedarfsfeststellung sagt, wo sich Aufwand lohnt – und begründet ihn.
 rahmenplan: [A6]
 lernfeld: LF4
 merksatz: Erst fragen, was passiert, wenn es schiefgeht. Dann entscheiden, wie viel Schutz es braucht.
 karten:
  - frage: Welche drei Schutzziele kennt die Informationssicherheit, und was bedeuten sie?
    antwort: Vertraulichkeit – nur Befugte sehen die Daten. Integrität – die Daten sind vollständig und unverfälscht. Verfügbarkeit – Daten und Systeme stehen bereit, wenn sie gebraucht werden.
  - frage: Welche drei Schutzbedarfskategorien unterscheidet der IT-Grundschutz des BSI?
    antwort: Normal – die Schadensauswirkungen sind begrenzt und überschaubar. Hoch – sie können beträchtlich sein. Sehr hoch – sie können existenzbedrohend oder katastrophal sein.
  - frage: Was besagt das Maximumprinzip bei der Schutzbedarfsfeststellung?
    antwort: Ein IT-System erbt den höchsten Schutzbedarf aller Anwendungen, die darauf laufen. Läuft eine Anwendung mit hohem Bedarf auf einem Server, hat der Server mindestens hohen Bedarf.
 ---
 ## Das Wesentliche
 - **Drei Schutzziele:** Vertraulichkeit, Integrität, Verfügbarkeit. Jede Sicherheitsmaßnahme
  dient mindestens einem davon. Oft kommt Authentizität hinzu: Man weiß sicher, von wem
  etwas stammt.
 - **Schutzbedarf ergibt sich aus dem möglichen Schaden**, nicht aus der Technik. Die Frage
  lautet: Was passiert, wenn diese Information bekannt wird, verfälscht wird oder ausfällt?
 - **Drei Kategorien:** normal, hoch, sehr hoch. Bewertet wird **je Schutzziel** – die
  Lohnabrechnung hat einen sehr hohen Bedarf an Vertraulichkeit, aber nicht zwingend an
  Verfügbarkeit in der Stunde.
 - **Sechs Schadensszenarien** helfen beim Einordnen: Verstoß gegen Gesetze oder Verträge,
  Verletzung von Persönlichkeitsrechten, Gefahr für Leib und Leben, Beeinträchtigung der
  Aufgabenerfüllung, Ansehensverlust, finanzielle Folgen.
 - **Von oben nach unten:** Erst die Geschäftsprozesse und Informationen bewerten, dann die
  Anwendungen, dann die IT-Systeme, Räume und Verbindungen, auf denen sie liegen.
 - **Vererbung:** Ein System übernimmt den höchsten Bedarf seiner Anwendungen
  (Maximumprinzip). Viele kleine Schäden auf einem System können zusammen einen höheren
  Bedarf ergeben (Kumulationseffekt). Ist eine Anwendung auf mehrere Systeme verteilt,
  kann der Bedarf des einzelnen Systems niedriger liegen (Verteilungseffekt).
 - **Jede Einstufung braucht eine Begründung.** „Hoch, weil wichtig" ist keine.
 ## Übersicht
 | Kategorie | Bedeutung | Beispiel Verfügbarkeit |
 |---|---|---|
 | normal | begrenzte, überschaubare Auswirkungen | Ausfall des Intranets für einen Tag ist lästig, aber verkraftbar |
 | hoch | beträchtliche Auswirkungen | Ausfall der Warenwirtschaft für einen Tag stoppt Versand und Rechnungen |
 | sehr hoch | existenzbedrohende oder katastrophale Auswirkungen | Ausfall der Produktionssteuerung über Tage mit Vertragsstrafen |
 ## Prüfungsfrage
 **Frage:** Auf einem Server laufen der Dateidienst der Verwaltung (Schutzbedarf
 Vertraulichkeit: normal) und die Personaldatenbank (Vertraulichkeit: sehr hoch). Welchen
 Schutzbedarf hat der Server hinsichtlich der Vertraulichkeit? Begründen Sie und nennen Sie
 eine Alternative.
 **Antwort:** Nach dem Maximumprinzip übernimmt der Server den höchsten Schutzbedarf der
 darauf betriebenen Anwendungen, hier also „sehr hoch" für die Vertraulichkeit. Damit
 müssen auch für den Dateidienst die strengeren Maßnahmen gelten – etwa beim Zugriff von
 Administratoren und bei der Sicherung. Alternativ lässt sich die Personaldatenbank auf ein
 eigenes System auslagern; dann kann der Dateiserver mit normalem Schutzbedarf betrieben
 werden, und der hohe Aufwand beschränkt sich auf das System, das ihn wirklich braucht.
@@ -0,0 +1,61 @@
 ---
 id: I2
 titel: Konten schützen – Passwörter, zweiter Faktor, Phishing
 block: sicherheit
 woche: 6
 worum: Die meisten Angriffe beginnen nicht mit einer Sicherheitslücke, sondern mit einem Konto, das sich jemand ausgeliehen hat.
 rahmenplan: [A6, B3]
 lernfeld: LF4
 merksatz: Lang statt kompliziert, für jedes Konto ein eigenes, und wo es geht ein zweiter Faktor.
 karten:
  - frage: Was macht ein Passwort sicher – Länge oder Sonderzeichen?
    antwort: Vor allem die Länge und dass es nirgends sonst verwendet wird. Eine lange Passphrase aus mehreren Wörtern ist stärker und besser zu merken als ein kurzes Passwort mit Sonderzeichen.
  - frage: Aus welchen drei Arten von Faktoren kann eine Anmeldung bestehen?
    antwort: Wissen (Passwort, PIN), Besitz (Smartphone mit App, Sicherheitsschlüssel, Chipkarte) und Sein (Fingerabdruck, Gesicht). Zwei Faktoren müssen aus verschiedenen Arten stammen.
  - frage: Warum arbeiten Administratoren im Alltag nicht mit ihrem Administratorkonto?
    antwort: Weil jede Schadsoftware, die sie versehentlich starten, sonst mit vollen Rechten läuft. Für den Alltag dient ein normales Konto, das Administratorkonto nur für die Aufgabe, die es braucht.
 ---
 ## Das Wesentliche
 - **Länge schlägt Komplexität.** Eine Passphrase wie `Kaffee-Lager-Gabelstapler-Montag` ist
  stärker als `K4ff33!` und lässt sich merken.
 - **Für jedes Konto ein eigenes Passwort.** Wird ein Dienst gehackt, probieren Angreifer die
  erbeuteten Zugangsdaten überall sonst aus. Ein Passwortmanager macht das handhabbar.
 - **Kein Wechsel ohne Anlass.** Regelmäßiger Zwangswechsel führt zu `Sommer2026!`,
  `Herbst2026!`. Gewechselt wird, wenn ein Verdacht besteht – dann aber sofort.
 - **Zweiter Faktor:** Ein gestohlenes Passwort allein reicht dann nicht mehr. Pflicht für
  E-Mail, Fernzugang und alle Administratorkonten.
 - **Getrennte Konten für Verwaltungsaufgaben.** Surfen und Mails lesen mit dem normalen
  Konto, administrieren mit dem Administratorkonto – und nur dafür.
 - **Phishing erkennen:** Zeitdruck, ungewöhnlicher Absender, Link-Ziel passt nicht zum
  Absender, Aufforderung zur Anmeldung oder Zahlung. Vor dem Klick auf den Link zeigen und
  die Adresse lesen.
 - **Wer geklickt hat, meldet es sofort.** Nicht schämen, nicht löschen, nicht abwarten. Je
  früher die IT Bescheid weiß, desto kleiner der Schaden.
 - **Bildschirm sperren**, sobald man den Platz verlässt: Windows-Taste + L.
 ## Übersicht
 | Merkmal einer Phishing-Mail | Beispiel |
 |---|---|
 | Druck und Dringlichkeit | „Ihr Konto wird in 24 Stunden gesperrt" |
 | Absender passt nicht | `support@micros0ft-konto.net` |
 | Link-Ziel weicht ab | Text zeigt `microsoft.com`, Ziel ist eine fremde Adresse |
 | Ungewöhnliche Bitte | Gutscheine kaufen, Kontodaten ändern, Anhang „aktivieren" |
 | Allgemeine Anrede | „Sehr geehrter Kunde" statt des Namens |
 ## Prüfungsfrage
 **Frage:** Eine Mitarbeiterin meldet, dass sie auf einen Link in einer verdächtigen Mail
 geklickt und dort ihr Passwort eingegeben hat. Beschreiben Sie Ihr Vorgehen in der
 richtigen Reihenfolge.
 **Antwort:** (1) Sofort das Passwort des betroffenen Kontos ändern und bestehende
 Anmeldesitzungen beenden, damit der Angreifer den Zugang nicht mehr nutzen kann. (2) Prüfen,
 ob der zweite Faktor aktiv ist und ob seit dem Klick ungewöhnliche Anmeldungen,
 Weiterleitungsregeln oder versendete Mails auftreten. (3) Die Mail sichern und andere
 Empfänger warnen bzw. die Mail aus deren Postfächern entfernen. (4) Den Rechner auf
 Schadsoftware prüfen, falls zusätzlich etwas heruntergeladen wurde. (5) Den Vorfall
 dokumentieren und an die Verantwortlichen für Informationssicherheit und Datenschutz
 melden – bei Zugriff auf personenbezogene Daten kann eine Meldepflicht bestehen.
@@ -0,0 +1,64 @@
 ---
 id: I3
 titel: Datenschutz in der IT – was du sehen kannst und was du anschauen darfst
 block: sicherheit
 woche: 6
 worum: In der IT hat man Zugriff auf fast alles. Die DSGVO regelt, was man damit tun darf – und das ist deutlich weniger.
 rahmenplan: [A6, C1]
 lernfeld: LF4
 merksatz: Zugriff ist kein Anlass. Hineingeschaut wird nur, wenn der Auftrag es verlangt.
 karten:
  - frage: Was sind personenbezogene Daten?
    antwort: Alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen – Name, E-Mail-Adresse, Personalnummer, IP-Adresse, Standortdaten, aber auch ein Foto oder eine Stimmaufnahme.
  - frage: Innerhalb welcher Frist muss eine Datenschutzverletzung der Aufsichtsbehörde gemeldet werden?
    antwort: Innerhalb von 72 Stunden, nachdem sie bekannt geworden ist – es sei denn, sie führt voraussichtlich zu keinem Risiko für die Betroffenen. Melden muss der Betrieb; du meldest intern sofort.
  - frage: Was bedeutet Datenminimierung?
    antwort: Es werden nur die Daten erhoben und gespeichert, die für den Zweck wirklich nötig sind – und gelöscht, sobald der Zweck erfüllt ist.
 ---
 ## Das Wesentliche
 - **Die DSGVO schützt Personen, nicht Daten.** Personenbezogen ist alles, was sich einer
  bestimmten Person zuordnen lässt – auch eine IP-Adresse oder ein Kennzeichen.
 - **Besonders schützenswert** sind Gesundheitsdaten, religiöse und politische
  Überzeugungen, Gewerkschaftszugehörigkeit, biometrische Daten und weitere. In der IT
  begegnen sie dir in Krankmeldungen, Personalakten und Zutrittssystemen.
 - **Die Grundsätze:** rechtmäßig, zweckgebunden, so wenig wie nötig, richtig, nicht länger als
  nötig gespeichert, sicher verarbeitet. Und der Betrieb muss nachweisen können, dass er sich
  daran hält.
 - **Technische und organisatorische Maßnahmen (TOM):** Zugriffsrechte, Verschlüsselung,
  Protokollierung, Datensicherung, Schulungen. Ein großer Teil davon ist IT-Arbeit.
 - **Als Administrator** siehst du Postfächer, Personalordner und Protokolle. Hineinschauen
  darfst du nur, wenn ein Auftrag es erfordert – und dann nur so weit wie nötig. Was du
  dabei siehst, bleibt bei dir.
 - **Eine Datenpanne** – verlorenes Notebook, falsch versendete Mail, offener Ordner – meldest
  du sofort intern. Der Betrieb hat 72 Stunden für die Meldung an die Aufsichtsbehörde, und
  die Uhr läuft ab dem Moment, in dem jemand im Betrieb davon weiß.
 - **Der Datenschutzbeauftragte** berät und kontrolliert. Er ist Pflicht, sobald in der Regel
  mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener
  Daten beschäftigt sind.
 ## Übersicht
 | Situation | Richtig |
 |---|---|
 | Ein Kollege bittet dich, „mal kurz" ins Postfach seiner Chefin zu schauen | Ablehnen – Zugriff nur mit Auftrag der berechtigten Stelle |
 | Ein Notebook ist im Zug liegen geblieben | Sofort melden, Konto sperren, Verschlüsselung prüfen |
 | Du siehst beim Support eine Krankmeldung auf dem Bildschirm | Nicht lesen, nicht erwähnen, Fenster schließen lassen |
 | Alte Festplatten aus der Personalabteilung | Nachweisbar sicher löschen oder vernichten, Protokoll anlegen |
 | Testdaten für eine neue Software gesucht | Keine echten Personaldaten, sondern erfundene oder unkenntlich gemachte |
 ## Prüfungsfrage
 **Frage:** Ein Außendienstmitarbeiter verliert ein Notebook mit Kundendaten. Die Festplatte
 ist mit BitLocker verschlüsselt. Muss der Vorfall der Aufsichtsbehörde gemeldet werden?
 Begründen Sie.
 **Antwort:** Grundsätzlich ist der Verlust eines Geräts mit personenbezogenen Daten eine
 Verletzung des Schutzes dieser Daten und binnen 72 Stunden zu melden. Eine Meldung kann
 entfallen, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Betroffenen
 führt. Das ist bei einer wirksamen, dem Stand der Technik entsprechenden Verschlüsselung
 regelmäßig der Fall – vorausgesetzt, das Gerät war ausgeschaltet oder gesperrt und der
 Schlüssel ist nicht mit verloren gegangen. Die Entscheidung trifft der Verantwortliche mit
 dem Datenschutzbeauftragten; der Vorfall wird in jedem Fall intern dokumentiert, und das
 Konto des Mitarbeiters wird vorsorglich gesperrt bzw. das Passwort geändert.
@@ -0,0 +1,64 @@
 ---
 id: N5
 titel: VLANs und Trunks – ein Switch, mehrere Netze
 block: netzwerk
 woche: 11
 worum: Mit VLANs trennt man Netze, ohne neue Kabel zu ziehen. Der Preis ist, dass man an jedem Port wissen muss, welches Netz dort ankommt.
 rahmenplan: [B2, A6]
 lernfeld: LF9
 merksatz: Access-Port – ein VLAN, ohne Markierung. Trunk – viele VLANs, markiert. Und jedes VLAN hat sein eigenes Subnetz.
 karten:
  - frage: Was ist der Unterschied zwischen einem Access-Port und einem Trunk-Port?
    antwort: Ein Access-Port gehört zu genau einem VLAN und überträgt dessen Rahmen ohne Markierung – dort hängen Endgeräte. Ein Trunk-Port überträgt mehrere VLANs und markiert jeden Rahmen mit seiner VLAN-ID nach IEEE 802.1Q – damit verbindet man Switches, Router und Access Points.
  - frage: Welche VLAN-IDs sind nutzbar, und warum meidet man VLAN 1?
    antwort: Die IDs 1 bis 4094. VLAN 1 ist auf allen Ports ab Werk eingestellt und wird von vielen Geräten für Verwaltungsverkehr genutzt – wer es für Benutzer verwendet, landet schnell mit allem im selben Netz.
  - frage: Warum braucht jedes VLAN ein eigenes Subnetz?
    antwort: Weil die VLANs auf Schicht 2 getrennt sind und Verkehr zwischen ihnen über einen Router laufen muss. Der Router kann nur zwischen verschiedenen IP-Netzen vermitteln, und jedes VLAN braucht seine eigene Gateway-Adresse.
 ---
 ## Das Wesentliche
 - **Ein VLAN ist ein eigenes Netz auf Schicht 2.** Geräte in verschiedenen VLANs sehen sich
  nicht, auch wenn sie am selben Switch hängen. Broadcasts bleiben im eigenen VLAN.
 - **Wozu trennen?** Sicherheit (Gäste, Produktion und Verwaltung kommen nicht aneinander),
  Ordnung (Drucker, Telefone, Server je für sich), Begrenzung der Broadcasts.
 - **Access-Port:** genau ein VLAN, Rahmen ohne Markierung. Das Endgerät merkt von VLANs nichts.
 - **Trunk-Port:** mehrere VLANs über ein Kabel, jeder Rahmen trägt eine Markierung nach
  **IEEE 802.1Q** mit der VLAN-ID. Zwischen Switches, zum Router oder zur Firewall und zu
  Access Points mit mehreren Funknetzen.
 - **Natives VLAN:** Das eine VLAN, dessen Rahmen auf einem Trunk unmarkiert laufen. Muss an
  beiden Enden gleich eingestellt sein, sonst landen Pakete im falschen Netz.
 - **Jedes VLAN hat ein eigenes Subnetz** und ein eigenes Gateway. Verkehr zwischen VLANs geht
  über einen Router, eine Firewall oder einen Layer-3-Switch – und dort lässt er sich regeln.
 - **DHCP über VLAN-Grenzen:** Steht der DHCP-Server in einem anderen VLAN, braucht das Gateway
  eine DHCP-Weiterleitung.
 - **Ungenutzte Ports** abschalten oder in ein VLAN ohne Verbindung legen, und VLAN 1 nicht für
  Benutzer verwenden.
 - **Dokumentieren:** Welcher Port, welches VLAN, welches Gerät. Ohne diese Liste wird jede
  Umsteckaktion zur Fehlersuche.
 ## Übersicht
 | VLAN | Name | Subnetz | Gateway |
 |---|---|---|---|
 | 10 | Verwaltung | 10.10.10.0/24 | 10.10.10.1 |
 | 20 | Server | 10.10.20.0/24 | 10.10.20.1 |
 | 30 | Drucker | 10.10.30.0/24 | 10.10.30.1 |
 | 40 | Produktion | 10.10.40.0/24 | 10.10.40.1 |
 | 90 | Gäste | 10.10.90.0/24 | 10.10.90.1 |
 | 99 | Netzwerkverwaltung | 10.10.99.0/24 | 10.10.99.1 |
 Die VLAN-ID im dritten Oktett zu wiederholen, ist keine Pflicht, macht aber jede Adresse
 lesbar.
 ## Prüfungsfrage
 **Frage:** Ein Access Point soll ein Funknetz für Mitarbeiter (VLAN 10) und eines für Gäste
 (VLAN 90) bereitstellen. Wie konfigurieren Sie den Switchport, an dem er hängt? Begründen Sie.
 **Antwort:** Der Port wird als Trunk konfiguriert, der VLAN 10 und VLAN 90 markiert
 überträgt; ggf. kommt das Verwaltungs-VLAN des Access Points hinzu, häufig als natives
 VLAN unmarkiert. Ein Access-Port ginge nicht, weil er nur ein einziges VLAN überträgt. Der
 Access Point ordnet jedem Funknetz die passende VLAN-ID zu, sodass Gäste-Datenverkehr
 markiert als VLAN 90 am Switch ankommt und von dort nur zum Gateway des Gästenetzes
 gelangt. Auf dem Trunk werden nur die benötigten VLANs zugelassen, nicht alle.
@@ -0,0 +1,67 @@
 ---
 id: N6
 titel: Zwischen Netzen – Routing und Firewallregeln
 block: netzwerk
 woche: 11
 worum: Netze zu trennen ist leicht. Die Kunst ist, genau den Verkehr durchzulassen, der gebraucht wird, und zu wissen, welcher Weg genommen wird.
 rahmenplan: [B2, A6, A8]
 lernfeld: LF9
 merksatz: Die genaueste Route gewinnt. Regeln von oben nach unten, die erste passende entscheidet, am Ende ist alles verboten.
 karten:
  - frage: Welche Route wählt ein Router, wenn mehrere Einträge auf ein Ziel passen?
    antwort: Die genaueste, also die mit dem längsten Präfix. Für 10.10.30.7 gewinnt 10.10.30.0/24 gegen 10.10.0.0/16, und beide gewinnen gegen die Standardroute 0.0.0.0/0.
  - frage: In welcher Reihenfolge werden Firewallregeln ausgewertet?
    antwort: Von oben nach unten. Die erste Regel, auf die ein Paket passt, entscheidet; alle weiteren werden nicht mehr geprüft. Passt keine, greift die Grundregel am Ende – üblicherweise blockieren.
  - frage: Was bedeutet, dass eine Firewall zustandsbehaftet arbeitet?
    antwort: Sie merkt sich erlaubte Verbindungen und lässt die zugehörigen Antworten von selbst durch. Man muss deshalb nur die Richtung erlauben, in der die Verbindung aufgebaut wird.
 ---
 ## Das Wesentliche
 - **Eine Routingtabelle** sagt für jedes Zielnetz, wohin ein Paket als Nächstes geht:
  Zielnetz, nächster Router (Next Hop) und Schnittstelle.
 - **Die genaueste Route gewinnt** (längstes Präfix). Passt nichts Genaueres, greift die
  **Standardroute** `0.0.0.0/0` – meist Richtung Internet.
 - **Routen entstehen** von selbst für direkt angeschlossene Netze, statisch von Hand oder
  dynamisch über Routingprotokolle. Im kleinen Betrieb reichen fast immer direkt
  angeschlossene Netze und eine Standardroute.
 - **Zwischen VLANs** routet der Router, die Firewall oder ein Layer-3-Switch. Steht dort eine
  Firewall, wird aus „getrennt" endlich „geregelt".
 - **Eine Firewallregel** besteht aus Quelle, Ziel, Dienst (Protokoll und Port) und Aktion.
  Gute Regeln sind so eng wie möglich: nicht „Verwaltung darf ins Servernetz", sondern
  „Verwaltung darf den Dateiserver über SMB".
 - **Von oben nach unten, erste Regel gewinnt.** Eine weite Erlaubnis oben macht jede Sperre
  darunter wirkungslos. Spezielle Regeln nach oben, allgemeine nach unten.
 - **Grundregel blockieren.** Was nicht ausdrücklich erlaubt ist, ist verboten – nicht
  umgekehrt.
 - **Zustandsbehaftet:** Antworten auf erlaubte Verbindungen kommen von selbst durch. Eine
  zweite Regel für die Rückrichtung ist überflüssig und meist ein Zeichen dafür, dass jemand
  das Prinzip nicht kannte.
 - **Jede Regel braucht eine Beschreibung** mit Zweck und Ticketnummer. Eine Regel, deren Zweck
  niemand kennt, traut sich keiner zu löschen.
 ## Übersicht
 | Nr. | Quelle | Ziel | Dienst | Aktion | Zweck |
 |---|---|---|---|---|---|
 | 1 | Gäste | Firewall (Gateway Gäste) | DNS | erlauben | Namensauflösung |
 | 2 | Gäste | alle internen Netze | alle | blockieren | Gäste bleiben draußen |
 | 3 | Gäste | beliebig | HTTP, HTTPS | erlauben | Internetzugang |
 | 4 | Verwaltung | Dateiserver | SMB | erlauben | Ablagen |
 | 5 | Verwaltung | Druckernetz | Druckdienst | erlauben | Drucken |
 | 6 | beliebig | beliebig | alle | blockieren | Grundregel |
 Regel 1 steht vor der Sperre, weil das Gateway der Gäste – hier 10.10.90.1 – selbst in einem
 internen Adressbereich liegt. Andersherum würde Regel 2 auch die Namensauflösung sperren.
 ## Prüfungsfrage
 **Frage:** Ein Router hat folgende Einträge: `0.0.0.0/0 → 192.0.2.1`,
 `10.10.0.0/16 → 10.0.0.2`, `10.10.30.0/24 → 10.0.0.3`. Wohin leitet er Pakete an
 10.10.30.7, 10.10.40.5 und 8.8.8.8? Begründen Sie.
 **Antwort:** 10.10.30.7 passt auf alle drei Einträge; gewählt wird der genaueste,
 `10.10.30.0/24`, also an 10.0.0.3. 10.10.40.5 passt auf `10.10.0.0/16` und die
 Standardroute; der genauere Eintrag gewinnt, also an 10.0.0.2. 8.8.8.8 passt nur auf die
 Standardroute und geht an 192.0.2.1. Maßgeblich ist jeweils die Präfixlänge, nicht die
 Reihenfolge der Einträge in der Tabelle.
@@ -0,0 +1,61 @@
 ---
 id: N7
 titel: WLAN im Betrieb – Frequenzen, Verschlüsselung, Gästenetz
 block: netzwerk
 woche: 11
 worum: Ein Funknetz, das zu Hause genügt, genügt im Betrieb selten. Entscheidend sind Ausleuchtung, getrennte Netze und Zugangsdaten, die man einer einzelnen Person wieder wegnehmen kann.
 rahmenplan: [B2, A6, A2]
 lernfeld: LF9
 merksatz: Mitarbeiter mit eigenem Zugang, Gäste im eigenen VLAN, Kanäle so verteilt, dass sich die Access Points nicht gegenseitig stören.
 karten:
  - frage: Welche Kanäle nutzt man im 2,4-GHz-Band, damit sich benachbarte Access Points nicht stören?
    antwort: Die Kanäle 1, 6 und 11. Sie überlappen sich nicht. Alle anderen Kombinationen stören sich gegenseitig.
  - frage: Was unterscheidet WPA2/WPA3-Personal von WPA2/WPA3-Enterprise?
    antwort: Bei Personal teilen sich alle denselben Schlüssel – wer ihn kennt, ist drin, und entziehen lässt er sich nur, indem man ihn für alle ändert. Bei Enterprise meldet sich jeder mit eigenen Zugangsdaten über 802.1X und einen RADIUS-Server an; ein einzelner Zugang lässt sich sperren.
  - frage: Wie richtet man ein Gäste-WLAN sicher ein?
    antwort: Eigenes Funknetz in einem eigenen VLAN mit eigenem Subnetz, Firewallregeln, die nur den Weg ins Internet erlauben, Isolation der Gäste untereinander und ein regelmäßig wechselnder Schlüssel oder Zugangscodes.
 ---
 ## Das Wesentliche
 - **2,4 GHz** reicht weiter und durch Wände, hat aber nur drei überlappungsfreie Kanäle:
  **1, 6 und 11**. Es ist voll mit Nachbarnetzen, Bluetooth und Mikrowellen.
 - **5 GHz** hat viele Kanäle und mehr Durchsatz, aber weniger Reichweite. Im Büro die erste
  Wahl. **6 GHz** (ab Wi-Fi 6E) bietet noch mehr freie Kanäle, setzt aber passende Endgeräte
  voraus.
 - **Ausleuchten statt raten.** Wo Access Points hängen, entscheidet eine Messung vor Ort,
  nicht der Grundriss. Stahlregale im Lager und Brandschutztüren dämpfen mehr als jede
  Rigipswand.
 - **Mehr Access Points mit geringerer Sendeleistung** sind besser als wenige mit voller
  Leistung. Ein Endgerät, das am fernen Access Point festhängt, bremst alle anderen.
 - **WPA3**, wo die Geräte es können, sonst WPA2 mit AES. WEP und WPA (ohne Zahl) sind
  gebrochen.
 - **Mitarbeiter über Enterprise (802.1X):** jeder mit eigenen Zugangsdaten oder einem
  Gerätezertifikat. Verlässt jemand den Betrieb, wird sein Zugang gesperrt – nicht der
  Schlüssel für alle geändert.
 - **Gäste in ein eigenes VLAN**, nur Internet, keine internen Netze, untereinander isoliert.
  Den Schlüssel regelmäßig wechseln oder Tageszugänge ausgeben.
 - **Zentral verwalten:** Bei mehr als zwei, drei Access Points gehört ein Controller dazu,
  der Kanäle, Sendeleistung und Einstellungen einheitlich hält.
 ## Übersicht
 | Funknetz | Verschlüsselung | VLAN | Darf |
 |---|---|---|---|
 | Firma | WPA3-Enterprise (802.1X) | Verwaltung | wie ein Kabelanschluss der Verwaltung |
 | Lager-Scanner | WPA2/WPA3-Personal, eigener Schlüssel | Produktion | nur die Lagerverwaltung |
 | Gäste | WPA2/WPA3-Personal, wechselnder Schlüssel | Gäste | nur Internet, isoliert |
 ## Prüfungsfrage
 **Frage:** Im Betrieb wird ein einziges WLAN mit gemeinsamem Schlüssel für Mitarbeiter und
 Gäste genutzt. Ein ehemaliger Mitarbeiter kennt den Schlüssel. Beschreiben Sie die Risiken
 und eine bessere Lösung.
 **Antwort:** Risiken: Jeder, der den Schlüssel kennt – auch ehemalige Mitarbeiter und Gäste –,
 ist im selben Netz wie die internen Systeme und kann sie erreichen. Entziehen lässt sich der
 Zugang nur, indem man den Schlüssel für alle ändert und auf allen Geräten neu einträgt.
 Bessere Lösung: (1) Ein Funknetz für Mitarbeiter mit WPA2/WPA3-Enterprise über 802.1X und
 einen RADIUS-Server, angebunden an die Benutzerkonten – ein ausgeschiedener Mitarbeiter wird
 mit seinem Konto gesperrt. (2) Ein getrenntes Gästenetz in eigenem VLAN, das per Firewall nur
 ins Internet darf und Gäste untereinander isoliert, mit regelmäßig wechselndem Schlüssel.
@@ -0,0 +1,74 @@
 ---
 id: P1
 titel: PowerShell – Befehle, Pipeline und Objekte
 block: programmierung
 woche: 7
 worum: PowerShell reicht keine Texte weiter, sondern Objekte mit Eigenschaften. Wer das verstanden hat, braucht kein Textschnipseln mehr.
 rahmenplan: [A10, B3]
 lernfeld: LF5
 merksatz: Verb-Substantiv finden, Get-Member fragen, filtern, sortieren, auswählen – formatiert wird erst ganz am Ende.
 karten:
  - frage: Wie sind die Befehle (Cmdlets) in PowerShell benannt, und wie findet man einen unbekannten Befehl?
    antwort: Nach dem Muster Verb-Substantiv, etwa Get-Service oder Stop-Process. Get-Command mit einem Suchbegriff findet Befehle, Get-Help erklärt sie mit Beispielen.
  - frage: Was unterscheidet die Pipeline in PowerShell von der in einer klassischen Linux-Shell?
    antwort: In PowerShell wandern Objekte mit Eigenschaften durch die Pipeline, nicht Textzeilen. Man filtert nach Eigenschaften wie Status oder Name, statt Spalten aus Text herauszuschneiden.
  - frage: Wozu dient Get-Member?
    antwort: Es zeigt, welche Eigenschaften und Methoden die Objekte haben, die ein Befehl liefert – also womit man in der Pipeline weiterarbeiten kann.
 ---
 ## Das Wesentliche
 - **Verb-Substantiv:** `Get-Service`, `Get-Process`, `Get-ChildItem`, `Stop-Service`. Die
  Verben sind festgelegt – `Get` liest, `Set` ändert, `New` legt an, `Remove` löscht.
 - **Selbst finden statt googeln:** `Get-Command *service*` findet Befehle,
  `Get-Help Get-Service -Examples` zeigt Beispiele. Einmal `Update-Help` als Administrator.
 - **Objekte statt Text.** `Get-Service` liefert Dienstobjekte mit Eigenschaften wie `Name`,
  `Status` und `StartType`. Welche es gibt, verrät `Get-Service | Get-Member`.
 - **Die vier Werkzeuge der Pipeline:**
  - `Where-Object` filtert: `Where-Object Status -eq 'Stopped'`
  - `Sort-Object` sortiert: `Sort-Object Name`
  - `Select-Object` wählt Eigenschaften oder Anzahl: `Select-Object Name, Status -First 10`
  - `ForEach-Object` tut etwas mit jedem Objekt
 - **Vergleiche** heißen `-eq`, `-ne`, `-gt`, `-lt`, `-like` (mit `*` als Platzhalter) und
  `-match` (regulärer Ausdruck). Groß- und Kleinschreibung spielt dabei keine Rolle.
 - **Ausgeben und weitergeben:** `Export-Csv` schreibt eine Tabelle für Excel,
  `Out-File` eine Textdatei. `Format-Table` gehört nur ans Ende – danach sind es keine
  verwertbaren Objekte mehr.
 - **Erst lesen, dann ändern.** Jeder Befehl, der etwas verändert, kennt `-WhatIf`: Er sagt,
  was er tun würde, und tut es nicht.
 ## Übersicht
 ```powershell
 # Alle beendeten Dienste, die automatisch starten sollten
 Get-Service |
  Where-Object { $_.Status -eq 'Stopped' -and $_.StartType -eq 'Automatic' } |
  Sort-Object Name |
  Select-Object Name, DisplayName
 # Die fünf Prozesse mit dem höchsten Speicherverbrauch
 Get-Process | Sort-Object WorkingSet -Descending | Select-Object -First 5 Name, Id, WorkingSet
 # Dateien im Downloadordner, älter als 90 Tage, als Tabelle für Excel
 Get-ChildItem $HOME\Downloads -File |
  Where-Object LastWriteTime -lt (Get-Date).AddDays(-90) |
  Select-Object Name, Length, LastWriteTime |
  Export-Csv alte-downloads.csv -NoTypeInformation -Encoding UTF8
 ```
 `$_` steht innerhalb der geschweiften Klammern für das Objekt, das gerade durch die Pipeline
 kommt.
 ## Prüfungsfrage
 **Frage:** Schreiben Sie eine PowerShell-Befehlszeile, die alle laufenden Dienste
 alphabetisch sortiert mit Name und Anzeigename in die Datei `dienste.csv` schreibt, und
 erklären Sie jeden Teil.
 **Antwort:**
 `Get-Service | Where-Object Status -eq 'Running' | Sort-Object Name | Select-Object Name, DisplayName | Export-Csv dienste.csv -NoTypeInformation`
 – `Get-Service` liefert alle Dienste als Objekte. `Where-Object` lässt nur die durch, deren
 Eigenschaft `Status` den Wert `Running` hat. `Sort-Object Name` sortiert nach dem Namen.
 `Select-Object` behält nur die beiden gewünschten Eigenschaften. `Export-Csv` schreibt das
 Ergebnis als Tabelle; `-NoTypeInformation` unterdrückt die Typzeile, die ältere
 PowerShell-Fassungen sonst an den Anfang setzen.
@@ -0,0 +1,81 @@
 ---
 id: P2
 titel: Variablen, Bedingungen und Schleifen
 block: programmierung
 woche: 7
 worum: Drei Bausteine reichen für fast jedes Verwaltungsskript – sich etwas merken, eine Entscheidung treffen, etwas wiederholen.
 rahmenplan: [A10, A4]
 lernfeld: LF5
 merksatz: Merken mit $, entscheiden mit if, wiederholen mit foreach. Der Rest ist Übung.
 karten:
  - frage: Was ist der Unterschied zwischen "Hallo $name" und 'Hallo $name' in PowerShell?
    antwort: In doppelten Anführungszeichen wird die Variable durch ihren Wert ersetzt, also etwa „Hallo Anna". In einfachen Anführungszeichen bleibt der Text genau so stehen, wie er geschrieben ist.
  - frage: Was gibt dieses Skript aus – $summe = 0; foreach ($z in 1..5) { if ($z % 2 -eq 0) { $summe += $z } }; $summe
    antwort: 6. Die Schleife läuft über 1 bis 5, die Bedingung lässt nur gerade Zahlen durch (Rest bei Division durch 2 ist 0), also werden 2 und 4 addiert.
  - frage: Wann nimmt man foreach als Schleife und wann ForEach-Object?
    antwort: foreach für eine Liste, die schon in einer Variablen liegt – übersichtlich und schnell. ForEach-Object mitten in einer Pipeline, wenn die Objekte direkt aus einem Befehl kommen.
 ---
 ## Das Wesentliche
 - **Variablen** beginnen mit `$`: `$pfad = 'D:\Daten'`. Sie können alles aufnehmen – Text,
  Zahlen, Listen, ganze Objekte aus einem Befehl: `$dienste = Get-Service`.
 - **Text:** In `"…"` werden Variablen eingesetzt, in `'…'` nicht. Für Eigenschaften im Text:
  `"Freier Platz: $($laufwerk.FreeSpace)"`.
 - **Listen** entstehen mit `@('PC-001', 'PC-002')` oder als Bereich `1..10`. Das erste Element
  ist `$liste[0]`, die Anzahl `$liste.Count`.
 - **Eigene Objekte** für Berichte: `[PSCustomObject]@{ Name = $n; Status = $s }`. Daraus
  wird mit `Export-Csv` eine saubere Tabelle.
 - **Bedingungen:** `if (…) { … } elseif (…) { … } else { … }`. In der Klammer steht ein
  Vergleich mit `-eq`, `-gt`, `-like` usw. – **nicht** mit `=`, das ist eine Zuweisung.
 - **Verknüpfen** mit `-and`, `-or`, `-not`.
 - **Schleifen:** `foreach ($pc in $rechner) { … }` geht jedes Element durch.
  `while (…) { … }` läuft, solange die Bedingung gilt – und braucht deshalb etwas, das sie
  irgendwann falsch werden lässt.
 - **Rechnen:** `+ - * /` und `%` für den Rest einer Division. `1GB` ist für PowerShell eine
  Zahl, `$bytes / 1GB` rechnet also direkt in Gigabyte um.
 ## Übersicht
 ```powershell
 $grenze = 15   # Prozent freier Platz, ab dem gewarnt wird
 $laufwerke = Get-CimInstance -ClassName Win32_LogicalDisk -Filter 'DriveType = 3'
 foreach ($lw in $laufwerke) {
    $frei = [math]::Round($lw.FreeSpace / $lw.Size * 100, 1)
    if ($frei -lt $grenze) {
        Write-Warning "$($lw.DeviceID) hat nur noch $frei % frei."
    }
    else {
        Write-Output "$($lw.DeviceID): $frei % frei – in Ordnung."
    }
 }
 ```
 `DriveType = 3` sind lokale Festplatten; USB-Sticks (2) und Netzlaufwerke (4) bleiben außen vor.
 ## Prüfungsfrage
 **Frage:** Schreiben Sie ein kurzes PowerShell-Skript, das für eine Liste von drei
 Rechnernamen prüft, ob sie per Ping erreichbar sind, und für jeden Rechner „erreichbar" oder
 „nicht erreichbar" ausgibt.
 **Antwort:**
 ```powershell
 $rechner = @('PC-001', 'PC-002', 'PC-003')
 foreach ($pc in $rechner) {
    if (Test-Connection -ComputerName $pc -Count 1 -Quiet) {
        Write-Output "$pc erreichbar"
    }
    else {
        Write-Output "$pc nicht erreichbar"
    }
 }
 ```
 Die Liste wird in einer Variablen gehalten, `foreach` geht jeden Namen durch.
 `Test-Connection -Quiet` liefert statt einer ausführlichen Ausgabe nur wahr oder falsch,
 was die `if`-Bedingung direkt auswertet.
@@ -0,0 +1,86 @@
 ---
 id: P3
 titel: Ein Skript schreiben, das man in einem Jahr noch versteht
 block: programmierung
 woche: 7
 worum: Ein Skript, das nur sein Verfasser bedienen kann, ist eine Abhängigkeit. Ein gutes Skript erklärt sich, prüft seine Eingaben und meldet Fehler, statt sie zu verschweigen.
 rahmenplan: [A10, A4, A5]
 lernfeld: LF5
 merksatz: Sagen, was es tut. Prüfen, was hineinkommt. Melden, was schiefgeht. Erst mit -WhatIf laufen lassen.
 karten:
  - frage: Wozu dient ein param-Block am Anfang eines Skripts?
    antwort: Er legt fest, welche Eingaben das Skript erwartet, mit Typ und ob sie Pflicht sind. Werte stehen dann nicht fest im Code, und PowerShell fragt fehlende Pflichtangaben selbst ab.
  - frage: Warum fängt ein try-catch-Block manche Fehler nicht ab, und wie behebt man das?
    antwort: Viele Cmdlets melden Fehler nur und laufen weiter (nicht abbrechende Fehler). Mit -ErrorAction Stop am Befehl wird daraus ein abbrechender Fehler, den catch auffängt.
  - frage: Was bewirkt die Ausführungsrichtlinie RemoteSigned?
    antwort: Selbst geschriebene, lokale Skripte laufen; aus dem Internet heruntergeladene Skripte nur, wenn sie signiert sind. Sie schützt vor versehentlichem Ausführen, ist aber keine Sicherheitsgrenze.
 ---
 ## Das Wesentliche
 - **Ein Kopf mit Hilfe:** Ein Block `<# .SYNOPSIS … .EXAMPLE … #>` ganz oben macht das
  Skript für `Get-Help .\skript.ps1` lesbar. Darin steht, was es tut, was es braucht und ein
  Beispielaufruf.
 - **Eingaben als Parameter**, nicht fest im Code: Pfade, Rechnernamen und Grenzwerte gehören
  in den `param()`-Block. `[Parameter(Mandatory)]` macht eine Angabe zur Pflicht.
 - **Namen, die etwas sagen:** `$freierPlatzProzent` statt `$x`. Kommentare erklären das
  **Warum**, nicht das Was – das Was steht im Code.
 - **Fehler nicht verschlucken.** `try { … -ErrorAction Stop } catch { … }` fängt Fehler auf
  und meldet sie verständlich. Ein leerer `catch`-Block ist schlimmer als gar keiner.
 - **Erst trocken, dann echt.** Mit `[CmdletBinding(SupportsShouldProcess)]` bekommt das eigene
  Skript `-WhatIf`. Ein Skript, das löscht, ändert oder verschiebt, läuft zuerst so.
 - **Klein anfangen und testen.** Erst an einem Testrechner, dann an einem echten, dann an
  allen. Jede Stufe mit Blick auf die Ausgabe.
 - **Versionieren.** Skripte gehören in ein Git-Repository der IT, nicht auf den Desktop. So
  sieht man, wer wann was geändert hat, und kommt zur letzten funktionierenden Fassung zurück.
 - **Ausführungsrichtlinie:** Auf Clients ist meist `RemoteSigned` eingestellt. Sie verhindert
  versehentliches Ausführen fremder Skripte, ist aber keine Sicherheitsgrenze.
 ## Übersicht
 ```powershell
 <#
 .SYNOPSIS
    Löscht Protokolldateien, die älter als eine bestimmte Anzahl Tage sind.
 .EXAMPLE
    .\Protokolle-Aufraeumen.ps1 -Pfad D:\Logs -Tage 30 -WhatIf
 #>
 [CmdletBinding(SupportsShouldProcess)]
 param(
    [Parameter(Mandatory)][string]$Pfad,
    [int]$Tage = 30
 )
 if (-not (Test-Path $Pfad)) {
    throw "Den Pfad $Pfad gibt es nicht."
 }
 $stichtag = (Get-Date).AddDays(-$Tage)
 $alt = Get-ChildItem $Pfad -Filter *.log -File | Where-Object LastWriteTime -lt $stichtag
 foreach ($datei in $alt) {
    if ($PSCmdlet.ShouldProcess($datei.FullName, 'Löschen')) {
        try {
            Remove-Item $datei.FullName -ErrorAction Stop
        }
        catch {
            Write-Warning "Konnte $($datei.Name) nicht löschen: $($_.Exception.Message)"
        }
    }
 }
 ```
 ## Prüfungsfrage
 **Frage:** Ein Kollege hat ein Skript geschrieben, das auf allen Rechnern temporäre Dateien
 löscht. Pfad und Rechnerliste stehen fest im Code, Fehler werden nicht behandelt. Nennen Sie
 vier Verbesserungen und begründen Sie sie.
 **Antwort:** (1) Pfad und Rechnerliste als Parameter übergeben – das Skript lässt sich dann
 für andere Fälle nutzen, ohne den Code zu ändern. (2) `-WhatIf` unterstützen und das Skript
 zuerst trocken laufen lassen – bei einem löschenden Skript lässt sich so vorab prüfen, was
 betroffen wäre. (3) Fehlerbehandlung mit `try`/`catch` und `-ErrorAction Stop` – damit nicht
 erreichbare Rechner oder gesperrte Dateien gemeldet und nicht stillschweigend übergangen
 werden. (4) Einen Hilfeblock mit Beschreibung und Beispiel ergänzen und das Skript im
 Repository der IT versionieren – so kann es auch jemand anderes betreuen. Ebenfalls richtig:
 Eingaben prüfen, z. B. mit `Test-Path`, und ein Protokoll der gelöschten Dateien schreiben.
@@ -0,0 +1,63 @@
 ---
 id: S3
 titel: Datensicherung planen – voll, differenziell, inkrementell
 block: system
 woche: 8
 worum: Eine Sicherung ist erst dann geplant, wenn feststeht, wie viel Datenverlust und wie viel Ausfallzeit der Betrieb verkraftet.
 rahmenplan: [A9, A6, A8]
 lernfeld: LF4
 merksatz: Drei Kopien, zwei Medien, eine außer Haus – und eine, an die kein Angreifer herankommt.
 karten:
  - frage: Was ist der Unterschied zwischen einer inkrementellen und einer differenziellen Sicherung?
    antwort: Die inkrementelle sichert alles, was sich seit der letzten Sicherung gleich welcher Art geändert hat. Die differenzielle sichert alles seit der letzten Vollsicherung – sie wächst also jeden Tag, lässt sich aber schneller zurückspielen.
  - frage: Was braucht man, um am Donnerstag aus einer Vollsicherung vom Sonntag und täglichen inkrementellen Sicherungen wiederherzustellen?
    antwort: Die Vollsicherung vom Sonntag und alle inkrementellen Sicherungen von Montag bis Donnerstag, in dieser Reihenfolge. Bei differenziellen Sicherungen genügen die Vollsicherung und die vom Donnerstag.
  - frage: Was bedeuten RPO und RTO?
    antwort: RPO (Recovery Point Objective) ist der größte hinnehmbare Datenverlust, gemessen in Zeit – er bestimmt, wie oft gesichert wird. RTO (Recovery Time Objective) ist die größte hinnehmbare Ausfallzeit bis zur Wiederherstellung.
  - frage: Warum ist ein RAID keine Datensicherung?
    antwort: Ein RAID schützt nur vor dem Ausfall einer Festplatte. Gelöschte, verschlüsselte oder beschädigte Dateien sind auf allen Platten gleichzeitig weg – das RAID spiegelt den Schaden mit.
 ---
 ## Das Wesentliche
 - **Erst die Anforderungen, dann die Technik.** Wie viel Arbeit darf verloren gehen (RPO)?
  Wie lange darf es dauern, bis wieder gearbeitet werden kann (RTO)? Die Antworten kommen
  aus der Schutzbedarfsfeststellung, nicht aus dem Datenblatt der Software.
 - **Vollsicherung:** alles, jedes Mal. Einfach zurückzuspielen, aber groß und langsam.
 - **Inkrementell:** nur das Geänderte seit der letzten Sicherung. Klein und schnell beim
  Sichern, beim Zurückspielen braucht man die ganze Kette.
 - **Differenziell:** das Geänderte seit der letzten Vollsicherung. Wächst bis zur nächsten
  Vollsicherung, zum Zurückspielen reichen zwei Sicherungen.
 - **3-2-1-Regel:** drei Kopien der Daten, auf zwei verschiedenen Medien, eine davon außer
  Haus. Gegen Ransomware kommt eine Kopie hinzu, die offline oder unveränderlich ist – sonst
  verschlüsselt der Angreifer die Sicherung gleich mit.
 - **Generationen:** Tägliche Sicherungen werden einige Tage aufbewahrt, wöchentliche einige
  Wochen, monatliche länger (Großvater-Vater-Sohn). So findet man auch einen Fehler, der erst
  nach drei Wochen auffällt.
 - **Keine Sicherung:** ein RAID, eine Synchronisation in die Cloud, ein Papierkorb. Alle drei
  übernehmen eine Löschung oder Verschlüsselung sofort.
 - **Sicherungen verschlüsseln**, wenn sie den Betrieb verlassen – und den Schlüssel so
  ablegen, dass man ihn im Notfall findet, ohne die Sicherung zu brauchen.
 ## Übersicht
 | Art | Sichert | Zurückspielen braucht | Platzbedarf |
 |---|---|---|---|
 | Voll | alles | eine Sicherung | hoch |
 | Differenziell | Änderungen seit der letzten Vollsicherung | Vollsicherung + letzte differenzielle | mittel, wächst täglich |
 | Inkrementell | Änderungen seit der letzten Sicherung | Vollsicherung + alle inkrementellen seitdem | gering |
 ## Prüfungsfrage
 **Frage:** Die Buchhaltung verkraftet höchstens vier Stunden Datenverlust und muss nach
 einem Ausfall am selben Arbeitstag wieder arbeiten können. Entwerfen Sie ein passendes
 Sicherungskonzept und begründen Sie es.
 **Antwort:** Das RPO von vier Stunden verlangt mindestens alle vier Stunden während der
 Arbeitszeit eine Sicherung, etwa inkrementell um 10, 14 und 18 Uhr, ergänzt durch eine
 nächtliche differenzielle und eine wöchentliche Vollsicherung. Das RTO von einem halben
 Arbeitstag erfordert, dass die Sicherung schnell erreichbar ist – also eine Kopie auf einem
 Sicherungsspeicher im Haus. Nach der 3-2-1-Regel kommt eine Kopie außer Haus hinzu, eine
 davon offline oder unveränderlich gegen Ransomware. Aufbewahrt wird nach Generationen
 (z. B. 14 Tage täglich, 8 Wochen wöchentlich, 12 Monate monatlich). Das Konzept gilt erst als
 umgesetzt, wenn eine Wiederherstellung getestet und die benötigte Zeit gemessen wurde.
@@ -0,0 +1,61 @@
 ---
 id: S4
 titel: Wiederherstellen und testen – die Sicherung, die zählt
 block: system
 woche: 8
 worum: Niemand braucht eine Sicherung. Alle brauchen eine Wiederherstellung. Ob sie gelingt, weiß man nur, wenn man sie geübt hat.
 rahmenplan: [A9, A5, A8]
 lernfeld: LF4
 merksatz: Eine Sicherung, die nie zurückgespielt wurde, ist keine Sicherung – sondern eine Hoffnung.
 karten:
  - frage: Woran erkennt man, ob ein Wiederherstellungstest bestanden ist?
    antwort: Die Daten sind vollständig, lesbar und auf dem erwarteten Stand, die Anwendung arbeitet damit, und die gemessene Dauer liegt innerhalb des vereinbarten RTO.
  - frage: Warum gehört der Wiederherstellungsplan auch auf Papier?
    antwort: Weil er genau dann gebraucht wird, wenn Server, Wiki und Passwortmanager vielleicht nicht erreichbar sind. Ein Plan, der nur auf dem ausgefallenen System liegt, hilft niemandem.
  - frage: In welcher Reihenfolge stellt man nach einem Totalausfall die Systeme wieder her?
    antwort: Nach Abhängigkeiten und Schutzbedarf – zuerst die Grundlagen wie Netz, Verzeichnisdienst und Namensauflösung, dann die Systeme mit dem höchsten Verfügbarkeitsbedarf, zuletzt der Rest.
 ---
 ## Das Wesentliche
 - **Regelmäßig testen**, nicht erst im Ernstfall. Eine einzelne Datei jeden Monat, eine
  ganze Anwendung oder ein ganzer Server mindestens einmal im Jahr und nach jeder größeren
  Änderung an der Sicherung.
 - **Auf eine Testumgebung zurückspielen**, nicht über das laufende System. Sonst wird aus
  dem Test der Ernstfall.
 - **Messen, nicht schätzen.** Wie lange hat das Zurückspielen gedauert – einschließlich
  Suchen, Anfordern des Mediums und Prüfen? Das ist die Zahl, die man mit dem RTO vergleicht.
 - **Das Ergebnis prüfen:** Öffnet sich die Datei, startet die Anwendung, stimmt der Stand?
  Eine fehlerfrei abgeschlossene Wiederherstellung mit leeren Dateien ist ein
  fehlgeschlagener Test.
 - **Protokollieren:** Datum, was zurückgespielt wurde, von welcher Sicherung, Dauer,
  Ergebnis, Auffälligkeiten. Das Protokoll ist der Nachweis gegenüber Geschäftsführung,
  Prüfern und Versicherung.
 - **Der Wiederherstellungsplan** nennt Reihenfolge, Zuständige, Zugangsdaten zum
  Sicherungssystem und den Ort der Schlüssel. Er liegt ausgedruckt an einem bekannten Ort.
 - **Reihenfolge nach Abhängigkeiten:** Ohne Netz, Verzeichnisdienst und Namensauflösung
  läuft keine Fachanwendung, egal wie wichtig sie ist.
 ## Übersicht
 | Test | Wie oft | Zeigt |
 |---|---|---|
 | Einzelne Datei oder E-Mail | monatlich | Die Sicherung läuft und ist lesbar |
 | Ganzer Ordner mit Berechtigungen | vierteljährlich | Rechte kommen mit zurück |
 | Ganze Anwendung samt Datenbank | halbjährlich | Die Anwendung arbeitet mit den gesicherten Daten |
 | Ganzer Server bzw. virtuelle Maschine | jährlich | Das RTO ist einzuhalten |
 ## Prüfungsfrage
 **Frage:** Die Sicherungssoftware meldet seit Monaten „erfolgreich". Warum genügt das nicht
 als Nachweis, und wie gehen Sie bei einem Wiederherstellungstest vor?
 **Antwort:** Die Meldung bestätigt nur, dass der Sicherungsvorgang ohne Fehler beendet
 wurde – nicht, dass die richtigen Daten gesichert wurden, dass sie lesbar sind und dass sie
 sich in der geforderten Zeit zurückspielen lassen. Vorgehen: (1) Umfang und Ziel des Tests
 festlegen, etwa eine Anwendung samt Datenbank auf einen Testserver. (2) Die Wiederherstellung
 durchführen und die Zeit vom Beginn bis zur Arbeitsfähigkeit messen. (3) Das Ergebnis
 inhaltlich prüfen – Daten vollständig, Anwendung startet, Stand entspricht dem
 Sicherungszeitpunkt. (4) Das Ergebnis mit RPO und RTO vergleichen, protokollieren und
 Abweichungen als Maßnahme erfassen. (5) Die Testumgebung anschließend bereinigen, weil sie
 echte Daten enthält.
@@ -0,0 +1,62 @@
 ---
 id: S5
 titel: RAID, NAS und SAN – Speicher, der einen Ausfall übersteht
 block: system
 woche: 8
 worum: Festplatten fallen aus, das ist sicher. Ein RAID sorgt dafür, dass man es erst an der Warnmeldung merkt und nicht am Stillstand.
 rahmenplan: [A9, B1, A3]
 lernfeld: LF2
 merksatz: RAID gegen Plattenausfall, Sicherung gegen alles andere. Das eine ersetzt das andere nie.
 karten:
  - frage: Wie viel Speicher ist nutzbar, und wie viele Platten dürfen ausfallen – bei RAID 1, RAID 5 und RAID 6?
    antwort: RAID 1 – die Hälfte, eine Platte je Spiegel. RAID 5 – alle Platten bis auf eine, eine darf ausfallen. RAID 6 – alle Platten bis auf zwei, zwei dürfen ausfallen.
  - frage: Ein RAID 5 aus fünf Platten mit je 4 TB – wie viel ist nutzbar?
    antwort: 16 TB. Eine Platte entfällt auf die Paritätsinformation, also (5 − 1) × 4 TB.
  - frage: Worin unterscheiden sich NAS und SAN?
    antwort: Ein NAS stellt Dateien über das Netzwerk bereit, etwa per SMB oder NFS – die Clients sehen Freigaben. Ein SAN stellt Speicherblöcke bereit, etwa per iSCSI oder Fibre Channel – der Server sieht eine Festplatte und legt selbst ein Dateisystem an.
 ---
 ## Das Wesentliche
 - **RAID 0** verteilt die Daten auf mehrere Platten (Striping). Schnell, aber ohne jede
  Ausfallsicherheit: Fällt eine Platte aus, ist alles weg. Kein Einsatz für wichtige Daten.
 - **RAID 1** spiegelt zwei Platten. Halbe Kapazität, eine Platte darf ausfallen. Typisch für
  das Betriebssystem eines Servers.
 - **RAID 5** verteilt Daten und Paritätsinformation über mindestens drei Platten. Eine Platte
  darf ausfallen. Bei großen Platten ist der Wiederaufbau lang und belastet die übrigen
  Platten – fällt währenddessen eine zweite aus, sind die Daten verloren.
 - **RAID 6** wie RAID 5 mit doppelter Parität, mindestens vier Platten. Zwei Platten dürfen
  ausfallen. Heute die bessere Wahl für große Datenspeicher.
 - **RAID 10** ist ein Verbund aus Spiegeln (mindestens vier Platten). Halbe Kapazität, schnell
  beim Schreiben, je Spiegelpaar darf eine Platte ausfallen. Gut für Datenbanken.
 - **Hot-Spare:** eine Reserveplatte, die bei einem Ausfall sofort einspringt. Der
  Wiederaufbau beginnt, bevor jemand den Ausfall bemerkt.
 - **Überwachen:** Ein RAID mit ausgefallener Platte läuft weiter und sieht gesund aus.
  Ohne Benachrichtigung merkt man den ersten Ausfall erst am zweiten.
 - **NAS, SAN, DAS:** NAS liefert Dateien übers Netz, SAN liefert Speicherblöcke an Server, DAS
  hängt direkt an einem einzigen Server.
 ## Übersicht
 | Stufe | Mindestens | Nutzbar bei n Platten | Darf ausfallen | Typischer Einsatz |
 |---|---|---|---|---|
 | RAID 0 | 2 | n | keine | Zwischenspeicher, Videoschnitt |
 | RAID 1 | 2 | n / 2 | eine | Systemplatten |
 | RAID 5 | 3 | n − 1 | eine | kleinere Datenspeicher |
 | RAID 6 | 4 | n − 2 | zwei | große Datenspeicher, NAS |
 | RAID 10 | 4 | n / 2 | eine je Spiegel | Datenbanken, virtuelle Maschinen |
 ## Prüfungsfrage
 **Frage:** Für ein NAS stehen sechs Festplatten mit je 8 TB zur Verfügung. Vergleichen Sie
 RAID 5, RAID 6 und RAID 10 hinsichtlich nutzbarer Kapazität und Ausfallsicherheit und
 geben Sie eine Empfehlung.
 **Antwort:** RAID 5: (6 − 1) × 8 TB = 40 TB nutzbar, eine Platte darf ausfallen. RAID 6:
 (6 − 2) × 8 TB = 32 TB, zwei beliebige Platten dürfen ausfallen. RAID 10: 6 / 2 × 8 TB = 24 TB,
 je Spiegelpaar darf eine Platte ausfallen – fallen beide Platten eines Paares aus, sind die
 Daten verloren. Empfehlung: RAID 6. Bei 8-TB-Platten dauert der Wiederaufbau viele Stunden;
 in dieser Zeit verträgt RAID 5 keinen weiteren Fehler, RAID 6 schon. RAID 10 wäre schneller
 beim Schreiben, kostet aber deutlich mehr Kapazität, und für ein NAS mit Dateiablagen ist
 die Schreibleistung meist nicht entscheidend. Unabhängig davon ersetzt keine RAID-Stufe die
 Datensicherung.
@@ -0,0 +1,61 @@
 ---
 id: V1
 titel: Virtualisierung – viele Server auf einer Maschine
 block: server
 woche: 9
 worum: Ein Hypervisor teilt einen physischen Rechner in viele virtuelle auf. Das spart Hardware, aber nur, wenn man die Ressourcen plant, statt sie zu verteilen, bis nichts mehr geht.
 rahmenplan: [B1, A8, A3]
 lernfeld: LF9
 merksatz: Typ 1 für Server, Typ 2 für den Schreibtisch. Ressourcen planen, Überbuchung bewusst entscheiden.
 karten:
  - frage: Was unterscheidet einen Hypervisor vom Typ 1 von einem vom Typ 2?
    antwort: Typ 1 läuft direkt auf der Hardware, ohne Betriebssystem darunter – etwa Proxmox VE, Hyper-V oder VMware ESXi. Typ 2 läuft als Programm auf einem normalen Betriebssystem – etwa VirtualBox. Server virtualisiert man mit Typ 1.
  - frage: Was bedeutet Überbuchung bei der Virtualisierung?
    antwort: Den virtuellen Maschinen zusammen mehr Prozessorkerne oder Arbeitsspeicher zuzuweisen, als physisch vorhanden ist. Bei Prozessoren ist das üblich, weil selten alle gleichzeitig rechnen; beim Arbeitsspeicher ist es riskant, weil der Host dann auslagern muss.
  - frage: Nenne drei Vorteile der Servervirtualisierung.
    antwort: Bessere Auslastung der Hardware, schnelle Bereitstellung neuer Server aus Vorlagen und die Möglichkeit, virtuelle Maschinen im laufenden Betrieb auf einen anderen Host zu verschieben. Ebenfalls richtig – Snapshots vor Änderungen und einfachere Testumgebungen.
 ---
 ## Das Wesentliche
 - **Der Hypervisor** verteilt Prozessor, Arbeitsspeicher, Speicher und Netz eines
  physischen Rechners (des **Hosts**) auf mehrere **virtuelle Maschinen** (VMs, auch
  **Gäste**). Jede VM glaubt, einen eigenen Rechner zu haben.
 - **Typ 1** („bare metal") läuft direkt auf der Hardware: Proxmox VE, Microsoft Hyper-V,
  VMware ESXi. Das ist die Wahl für Server.
 - **Typ 2** läuft als Programm auf Windows, Linux oder macOS: VirtualBox, VMware
  Workstation. Gut für Tests am Arbeitsplatz, nicht für den Betrieb.
 - **Ressourcen planen.** Eine VM bekommt so viel, wie sie braucht – nicht so viel, wie da
  ist. Zu viele virtuelle Prozessoren machen eine VM sogar langsamer, weil der Hypervisor
  sie gleichzeitig bereitstellen muss.
 - **Überbuchung:** Bei Prozessorkernen ist ein Verhältnis von mehreren virtuellen zu einem
  physischen Kern üblich. Arbeitsspeicher überbucht man höchstens bewusst und knapp.
 - **Ein Host ist ein einzelner Ausfallpunkt.** Fällt er aus, fallen alle VMs darauf aus.
  Abhilfe schafft ein Verbund aus mehreren Hosts mit gemeinsamem oder repliziertem Speicher,
  der VMs auf einen anderen Host umzieht.
 - **Container** (etwa Docker) sind leichter als VMs: Sie teilen sich den Kern des
  Host-Betriebssystems. Schneller und sparsamer, aber weniger stark voneinander getrennt.
 ## Übersicht
 | | Physischer Server | Virtuelle Maschine | Container |
 |---|---|---|---|
 | Eigenes Betriebssystem | ja | ja | nein, teilt den Kern des Hosts |
 | Bereitstellung | Tage bis Wochen | Minuten | Sekunden |
 | Trennung voneinander | vollständig | stark | schwächer |
 | Typischer Einsatz | Host selbst, Spezialhardware | Server aller Art | einzelne Anwendungen und Dienste |
 ## Prüfungsfrage
 **Frage:** Ein Betrieb betreibt fünf ältere physische Server mit geringer Auslastung und
 möchte sie virtualisieren. Nennen Sie zwei Vorteile und zwei Risiken und je eine Maßnahme
 gegen die Risiken.
 **Antwort:** Vorteile: (1) Weniger Hardware, Strom, Kühlung und Platz, weil ein oder zwei Hosts
 die Last der fünf Server tragen. (2) Neue Server lassen sich schnell aus Vorlagen bereitstellen,
 und vor Änderungen sind Snapshots möglich. Risiken: (1) Der Host wird zum einzelnen
 Ausfallpunkt – Maßnahme: zwei Hosts im Verbund mit gemeinsamem oder repliziertem Speicher,
 damit VMs bei einem Ausfall auf dem anderen Host weiterlaufen. (2) Die VMs teilen sich die
 Ressourcen; eine VM unter Last bremst die anderen – Maßnahme: Ressourcen vorab anhand der
 gemessenen Auslastung planen, Arbeitsspeicher nicht überbuchen und die Auslastung des Hosts
 überwachen.
@@ -0,0 +1,62 @@
 ---
 id: V2
 titel: Snapshots, virtuelle Netze und virtueller Speicher
 block: server
 woche: 9
 worum: Drei Dinge, die bei der Virtualisierung anders funktionieren als bei echter Hardware – und an denen man sich am häufigsten verschätzt.
 rahmenplan: [B1, B2, A9]
 lernfeld: LF9
 merksatz: Ein Snapshot ist ein Rückweg für Stunden, keine Sicherung für Wochen.
 karten:
  - frage: Warum ist ein Snapshot keine Datensicherung?
    antwort: Er liegt auf demselben Speicher wie die VM und hängt von ihrer Ausgangsdatei ab. Geht der Speicher kaputt, sind VM und Snapshot gemeinsam weg. Außerdem wächst er mit jeder Änderung und bremst die VM, je länger er besteht.
  - frage: Was ist der Unterschied zwischen Thin und Thick Provisioning?
    antwort: Beim Thin Provisioning belegt eine virtuelle Festplatte nur so viel Platz, wie tatsächlich beschrieben ist, und wächst mit. Beim Thick Provisioning wird die volle Größe sofort reserviert. Thin spart Platz, kann den Speicher aber unbemerkt volllaufen lassen.
  - frage: Wie kommt eine virtuelle Maschine ins echte Netz?
    antwort: Über einen virtuellen Switch auf dem Host, der mit einer physischen Netzwerkkarte verbunden ist. Die VM hängt am virtuellen Switch wie ein Rechner an einem echten Switch – auch VLANs lassen sich dort zuordnen.
 ---
 ## Das Wesentliche
 - **Snapshot:** ein eingefrorener Zustand der VM. Ab dem Snapshot schreibt die VM ihre
  Änderungen in eine eigene Datei; zurückgehen heißt, diese Datei zu verwerfen.
 - **Wofür Snapshots gut sind:** vor einem Update, einer Konfigurationsänderung, einem Test.
  Ist alles in Ordnung, wird der Snapshot **gelöscht** – das führt die Änderungen zurück in
  die eigentliche Festplattendatei.
 - **Wofür nicht:** als Sicherung. Er liegt auf demselben Speicher, hängt von der
  Ausgangsdatei ab und wird mit jedem Tag größer und langsamer.
 - **Bei Datenbanken und Domänencontrollern Vorsicht:** Ein Zurücksetzen kann die
  Daten durcheinanderbringen, wenn andere Systeme in der Zwischenzeit mit ihnen gearbeitet
  haben. Hier gilt, was der Hersteller dazu empfiehlt.
 - **Virtueller Switch:** verbindet die VMs untereinander und über eine physische
  Netzwerkkarte mit dem echten Netz. Ein Switch ohne physische Karte ergibt ein
  abgeschlossenes Netz – gut für Testumgebungen.
 - **Virtuelle Festplatten** sind Dateien auf dem Speicher des Hosts. **Thin** wächst mit,
  **thick** ist sofort voll belegt. Wer thin bereitstellt, muss den tatsächlichen
  Füllstand überwachen, sonst bleiben irgendwann alle VMs gleichzeitig stehen.
 - **Vorlagen:** Eine fertig eingerichtete VM wird zur Vorlage, aus der neue VMs entstehen.
  Bei Windows vorher mit Sysprep verallgemeinern, sonst haben alle Kopien dieselbe Kennung.
 ## Übersicht
 | Vorhaben | Passendes Werkzeug |
 |---|---|
 | Vor dem Update für zwei Stunden einen Rückweg haben | Snapshot, danach löschen |
 | Den Stand von letzter Woche wiederherstellen | Datensicherung |
 | Zehn gleiche Test-VMs bereitstellen | Vorlage |
 | Eine VM ohne Verbindung zum Firmennetz betreiben | Virtueller Switch ohne physische Karte |
 | Wissen, wann der Speicher voll ist | Überwachung des tatsächlichen Füllstands |
 ## Prüfungsfrage
 **Frage:** Auf einem Host laufen zehn VMs mit Thin-Provisioning, insgesamt 4 TB zugesagt auf
 einem Speicher von 2 TB. Ein Kollege hält das für unproblematisch, weil derzeit nur 1,2 TB
 belegt sind. Bewerten Sie das.
 **Antwort:** Die Zusage übersteigt den physischen Speicher um das Doppelte. Solange die VMs
 wenig schreiben, geht das gut; wachsen ihre Daten aber – etwa durch Protokolldateien, Updates
 oder einen Fehler, der eine Datei vollschreibt –, läuft der gemeinsame Speicher voll. Dann
 können **alle** VMs nicht mehr schreiben und bleiben stehen, nicht nur die verursachende. Die
 Überbuchung ist nur vertretbar mit einer Überwachung des tatsächlichen Füllstands mit
 Warnschwellen (etwa bei 70 und 85 Prozent), einem Plan zur Erweiterung des Speichers und
 dem Verzicht auf alte Snapshots, die zusätzlich Platz belegen.
@@ -0,0 +1,60 @@
 ---
 id: V3
 titel: Eine virtuelle Maschine planen und bereitstellen
 block: server
 woche: 9
 worum: Eine VM ist in fünf Minuten angelegt – und in fünf Jahren noch in Betrieb. Die Planung entscheidet, ob man sie dann noch versteht.
 rahmenplan: [B1, B3, A5]
 lernfeld: LF9
 merksatz: Zweck, Ressourcen, Netz, Sicherung, Verantwortlicher – vor dem Anlegen aufgeschrieben.
 karten:
  - frage: Welche Angaben gehören zu jeder VM in die Dokumentation?
    antwort: Zweck, Verantwortlicher, Betriebssystem, zugewiesene Ressourcen, Netz bzw. VLAN und IP-Adresse, Speicherort, ob und wie sie gesichert wird, und das Datum der Bereitstellung.
  - frage: Woran orientiert man sich bei den Ressourcen einer neuen VM?
    antwort: An den Mindestanforderungen der Software und an gemessenen Werten vergleichbarer Systeme – mit wenig Reserve beginnen und nach Messung erweitern. Erweitern geht leicht, Verkleinern oft nicht.
 ---
 ## Das Wesentliche
 - **Vorher aufschreiben:** Wofür ist die VM, wer ist verantwortlich, wie lange wird sie
  gebraucht? Eine VM ohne Verantwortlichen wird nie wieder abgeschaltet.
 - **Ressourcen nach Bedarf**, nicht nach Gefühl. Mindestanforderungen der Software, gemessene
  Werte vergleichbarer Systeme, etwas Reserve. Erweitern ist einfach, Verkleinern einer
  Festplatte oft nicht.
 - **Getrennte Festplatten** für System und Daten. Dann lassen sich Daten anders sichern,
  größer machen oder auf einen anderen Speicher legen.
 - **Netz bewusst wählen:** richtiger virtueller Switch, richtiges VLAN, feste IP-Adresse für
  Server, Eintrag im DNS.
 - **Gasterweiterungen installieren** (bei Proxmox der QEMU Guest Agent, bei Hyper-V die
  Integrationsdienste). Ohne sie fährt die VM nicht sauber herunter, und Sicherungen
  können inkonsistent werden.
 - **In die Sicherung aufnehmen**, bevor die VM in Betrieb geht – nicht, wenn die erste Datei
  verloren ist.
 - **Namen nach Regel:** Der Name sagt, was die VM tut und wo sie steht, etwa `SRV-DATEI-01`.
  `Test-neu-Peter` ist in einem halben Jahr ein Rätsel.
 ## Übersicht
 | Planungsfrage | Beispielantwort |
 |---|---|
 | Zweck | Dateiserver für die Verwaltung |
 | Verantwortlich | IT, Ansprechpartner: Ausbilder |
 | Betriebssystem | Windows Server 2025 Standard |
 | Prozessor / Arbeitsspeicher | 2 virtuelle Kerne / 8 GB |
 | Festplatten | 80 GB System, 500 GB Daten (thick) |
 | Netz | VLAN Server, 10.10.20.21, DNS-Eintrag `srv-datei-01` |
 | Sicherung | täglich inkrementell, wöchentlich voll |
 ## Prüfungsfrage
 **Frage:** Sie sollen für einen neuen Dienst eine VM bereitstellen. Beschreiben Sie die
 Schritte von der Anfrage bis zur Übergabe in den Betrieb.
 **Antwort:** (1) Anforderungen klären: Zweck, Verantwortlicher, benötigte Software und ihre
 Mindestanforderungen, Verfügbarkeitsbedarf. (2) Ressourcen, Festplatten, Netz bzw. VLAN und
 IP-Adresse planen und prüfen, ob der Host die Ressourcen hergibt. (3) Die VM aus einer Vorlage
 oder neu anlegen, Betriebssystem installieren, Gasterweiterungen und Updates einspielen.
 (4) Netzwerk, DNS-Eintrag und Zugriffsrechte einrichten, den Dienst installieren und testen.
 (5) Die VM in Sicherung und Überwachung aufnehmen und einen Wiederherstellungstest
 einplanen. (6) Alles dokumentieren und die VM mit Übergabe an den Verantwortlichen in Betrieb
 nehmen.
@@ -0,0 +1,63 @@
 ---
 id: V4
 titel: Active Directory – Domäne, Organisationseinheiten, Gruppen
 block: server
 woche: 10
 worum: Active Directory ist das Verzeichnis, in dem steht, wer jemand ist und was er darf. Seine Struktur entscheidet, ob es nach fünf Jahren noch beherrschbar ist.
 rahmenplan: [B3, A6, B1]
 lernfeld: LF10
 merksatz: OUs ordnen, Gruppen berechtigen. Konten in globale Gruppen, globale in domänenlokale, Rechte an die domänenlokalen.
 karten:
  - frage: Wozu dienen Organisationseinheiten und wozu Gruppen im Active Directory?
    antwort: Organisationseinheiten ordnen Objekte und sind der Ort, an dem Gruppenrichtlinien verknüpft und Verwaltungsaufgaben delegiert werden. Gruppen vergeben Berechtigungen. Ein Konto liegt in genau einer OU, kann aber in vielen Gruppen sein.
  - frage: Wofür steht AGDLP?
    antwort: Accounts in Global groups, Global groups in Domain Local groups, Permissions an die Domain Local groups. Die globale Gruppe beschreibt die Rolle (etwa Buchhaltung), die domänenlokale das Recht (etwa Ablage Buchhaltung ändern).
  - frage: Warum betreibt man mindestens zwei Domänencontroller?
    antwort: Weil ohne Domänencontroller niemand sich anmelden kann und die Namensauflösung oft ebenfalls ausfällt. Mit zwei Domänencontrollern übernimmt der zweite, wenn einer ausfällt oder gewartet wird.
 ---
 ## Das Wesentliche
 - **Die Domäne** ist der Verwaltungsbereich: Benutzer, Computer, Gruppen und Richtlinien an
  einer zentralen Stelle. Ein Rechner, der Mitglied der Domäne ist, lässt Anmeldungen mit
  Domänenkonten zu.
 - **Domänencontroller** halten das Verzeichnis und prüfen Anmeldungen. Mindestens zwei, damit
  ein Ausfall oder eine Wartung niemanden aussperrt.
 - **Active Directory braucht DNS.** Clients finden die Domänencontroller über DNS-Einträge.
  Ein Client mit falschem DNS-Server findet die Domäne nicht – die häufigste Ursache für
  „Domäne nicht verfügbar".
 - **Organisationseinheiten (OUs)** ordnen: nach Standort, nach Abteilung oder nach Art des
  Objekts. An OUs werden Gruppenrichtlinien verknüpft und Verwaltung delegiert. Konten und
  Computer gehören nicht in die Standardcontainer, sondern in eigene OUs.
 - **Gruppen berechtigen.** Die Struktur nach **AGDLP**: Konten (A) kommen in globale Gruppen
  nach Rolle (G), diese in domänenlokale Gruppen nach Recht (DL), und nur die domänenlokalen
  Gruppen bekommen Berechtigungen (P).
 - **Namen nach Regel:** `GG-Buchhaltung` für die Rolle, `DL-FS-Buchhaltung-Aendern` für das
  Recht. Aus dem Namen soll hervorgehen, wofür die Gruppe da ist.
 - **Ein Konto einrichten heißt nicht, einen Kollegen zu kopieren.** Wer kopiert, kopiert auch
  alle Rechte, die der Kollege über die Jahre angesammelt hat.
 ## Übersicht
 | Gruppenbereich | Mitglieder | Typischer Zweck |
 |---|---|---|
 | Global | Konten und globale Gruppen derselben Domäne | Rolle: Buchhaltung, Vertrieb, IT |
 | Domänenlokal | Konten und Gruppen aus allen Domänen | Recht an einer Ressource dieser Domäne |
 | Universal | Konten und Gruppen aus allen Domänen | Rollen über mehrere Domänen hinweg |
 In einem Betrieb mit einer einzigen Domäne genügen globale und domänenlokale Gruppen.
 ## Prüfungsfrage
 **Frage:** Die Mitarbeiter der Buchhaltung sollen auf der Freigabe `Buchhaltung` Dateien
 ändern dürfen, die Geschäftsführung soll sie nur lesen. Beschreiben Sie die Umsetzung nach
 AGDLP.
 **Antwort:** Konten der Buchhaltung kommen in die globale Gruppe `GG-Buchhaltung`, Konten der
 Geschäftsführung in `GG-Geschaeftsfuehrung`. Für die Rechte werden zwei domänenlokale Gruppen
 angelegt: `DL-FS-Buchhaltung-Aendern` und `DL-FS-Buchhaltung-Lesen`. `GG-Buchhaltung` wird
 Mitglied von `DL-FS-Buchhaltung-Aendern`, `GG-Geschaeftsfuehrung` Mitglied von
 `DL-FS-Buchhaltung-Lesen`. Nur die beiden domänenlokalen Gruppen erhalten NTFS-Berechtigungen
 auf dem Ordner – Ändern bzw. Lesen. Wechselt jemand die Abteilung, wird nur seine
 Mitgliedschaft in der globalen Gruppe geändert; an den Berechtigungen auf dem Ordner ändert
 sich nichts.
@@ -0,0 +1,64 @@
 ---
 id: V5
 titel: Gruppenrichtlinien – Einstellungen für alle auf einmal
 block: server
 woche: 10
 worum: Mit Gruppenrichtlinien setzt man Einstellungen zentral, statt sie an jedem Rechner von Hand vorzunehmen. Wer die Reihenfolge der Anwendung nicht kennt, sucht lange nach dem Grund, warum eine Einstellung nicht greift.
 rahmenplan: [B3, A6, A8]
 lernfeld: LF10
 merksatz: Lokal, Standort, Domäne, OU – was zuletzt kommt, gewinnt. gpresult sagt, was wirklich angekommen ist.
 karten:
  - frage: In welcher Reihenfolge werden Gruppenrichtlinien angewendet, und welche setzt sich durch?
    antwort: Lokal, Standort, Domäne, Organisationseinheit (von oben nach unten) – kurz LSDOU. Bei widersprüchlichen Einstellungen gewinnt die zuletzt angewendete, also die der untersten OU – es sei denn, eine höhere Richtlinie ist als erzwungen markiert.
  - frage: Mit welchen Befehlen prüft und erzwingt man die Anwendung von Gruppenrichtlinien auf einem Client?
    antwort: gpupdate /force wendet die Richtlinien sofort neu an. gpresult /r zeigt, welche Richtlinien für Computer und Benutzer tatsächlich angewendet oder herausgefiltert wurden.
  - frage: Was ist der Unterschied zwischen Computer- und Benutzerkonfiguration einer Gruppenrichtlinie?
    antwort: Die Computerkonfiguration wirkt auf Computerkonten und greift beim Start des Rechners, die Benutzerkonfiguration wirkt auf Benutzerkonten und greift bei der Anmeldung. Eine Richtlinie mit Benutzereinstellungen an einer OU, die nur Computer enthält, bewirkt deshalb nichts.
 ---
 ## Das Wesentliche
 - **Ein Gruppenrichtlinienobjekt (GPO)** bündelt Einstellungen – etwa Bildschirmsperre,
  Laufwerkszuordnungen, Updates, Sicherheitsoptionen – und wird an einen Standort, die
  Domäne oder eine OU **verknüpft**.
 - **Computer- und Benutzerkonfiguration:** Die eine wirkt auf Rechner beim Start, die andere
  auf Benutzer bei der Anmeldung. Wirksam wird nur, was zu den Objekten in der verknüpften OU
  passt.
 - **Reihenfolge LSDOU:** lokal, Standort, Domäne, OU, bei geschachtelten OUs von oben nach
  unten. Was später kommt, überschreibt Früheres.
 - **Ausnahmen:** Eine als **erzwungen** markierte Verknüpfung setzt sich gegen tiefere durch.
  An einer OU lässt sich die **Vererbung deaktivieren**. Beides sparsam einsetzen – jede
  Ausnahme ist eine Stelle, an der man später sucht.
 - **Filtern** nach Sicherheitsgruppe, wenn eine Richtlinie nur für einen Teil der Objekte
  gelten soll – statt dafür eine eigene OU anzulegen.
 - **Aktualisierung:** Clients holen Richtlinien beim Start, bei der Anmeldung und danach etwa
  alle 90 Minuten. Manche Einstellungen, etwa Softwareverteilung, greifen erst nach Neustart
  oder Neuanmeldung.
 - **Prüfen statt raten:** `gpresult /r` zeigt am Client, was angekommen ist und was
  herausgefiltert wurde. `gpupdate /force` wendet sofort neu an.
 - **Eine Richtlinie, ein Zweck.** `GPO-Clients-Bildschirmsperre` ist auffindbar und
  abschaltbar; eine Richtlinie mit 80 gemischten Einstellungen ist es nicht.
 ## Übersicht
 | Vorhaben | Wo einstellen |
 |---|---|
 | Bildschirmsperre nach 10 Minuten für alle Clients | Computerkonfiguration, verknüpft an die OU der Clients |
 | Laufwerk `S:` für die Buchhaltung | Benutzerkonfiguration (Einstellungen), gefiltert auf die Gruppe der Buchhaltung |
 | Kennwortrichtlinie der Domäne | Standard-Domänenrichtlinie |
 | Ausnahme für einen einzelnen Testrechner | Eigene OU oder Filterung – nicht die Vererbung für alle abschalten |
 ## Prüfungsfrage
 **Frage:** Eine neue Gruppenrichtlinie für eine Bildschirmsperre wirkt auf den Rechnern der
 Verwaltung nicht. Beschreiben Sie Ihr Vorgehen bei der Fehlersuche.
 **Antwort:** (1) Prüfen, ob die Richtlinie an die richtige OU verknüpft und die Verknüpfung
 aktiviert ist – und ob die Rechner tatsächlich in dieser OU liegen. (2) Prüfen, ob die
 Einstellung im passenden Teil steht: Liegen in der OU nur Computerkonten, muss sie in der
 Computerkonfiguration stehen. (3) Am Client `gpupdate /force` ausführen, ggf. neu starten,
 und mit `gpresult /r` prüfen, ob die Richtlinie angewendet oder herausgefiltert wurde –
 etwa durch eine Sicherheitsfilterung. (4) Prüfen, ob eine später angewendete oder erzwungene
 Richtlinie die Einstellung überschreibt oder die Vererbung an einer OU deaktiviert ist.
 (5) Bei Fehlern in `gpresult` die Erreichbarkeit des Domänencontrollers und die
 DNS-Einstellungen des Clients prüfen.
@@ -0,0 +1,66 @@
 ---
 id: V6
 titel: Datei- und Druckdienste zentral bereitstellen
 block: server
 woche: 10
 worum: Ein zentraler Dateiserver und ein Druckserver sind unspektakulär – solange sie geplant sind. Ungeplant werden sie zur größten Rumpelkammer im Betrieb.
 rahmenplan: [B3, A9, A8]
 lernfeld: LF10
 merksatz: Struktur nach Abteilungen, Rechte nach Gruppen, Laufwerke per Richtlinie, Treiber nur von der IT.
 karten:
  - frage: Was sind Schattenkopien auf einem Dateiserver, und ersetzen sie die Datensicherung?
    antwort: Zeitpunktkopien eines Laufwerks, über die Benutzer selbst frühere Fassungen einer Datei zurückholen können (Vorgängerversionen). Sie liegen auf demselben Laufwerk und ersetzen deshalb keine Datensicherung.
  - frage: Welchen Vorteil hat ein Druckserver gegenüber direkt verbundenen Druckern an jedem Client?
    antwort: Treiber, Warteschlangen und Einstellungen werden an einer Stelle gepflegt und per Gruppenrichtlinie verteilt. Ein Treiberwechsel oder ein neuer Drucker muss nicht an jedem Rechner einzeln eingerichtet werden.
  - frage: Warum ordnet man Laufwerke per Gruppenrichtlinie statt per Hand zu?
    antwort: Weil die Zuordnung dann für alle gleich ist, sich nach Gruppenzugehörigkeit richtet und bei einem Abteilungswechsel von selbst angepasst wird. Handzuordnungen sind nach dem ersten Rechnerwechsel weg.
 ---
 ## Das Wesentliche
 - **Eine Ablagestruktur, die der Betrieb versteht:** oben die Abteilungen, darunter, was die
  Abteilung selbst gliedert. Dazu ein Bereich für abteilungsübergreifende Projekte und ein
  Austauschordner, der regelmäßig geleert wird.
 - **Rechte nach AGDLP** und so flach wie möglich: Berechtigungen auf der obersten Ebene einer
  Abteilung setzen und vererben lassen. Jede Unterbrechung der Vererbung tiefer unten ist
  eine künftige Supportanfrage.
 - **Freigabe und NTFS:** Freigabe meist „Authentifizierte Benutzer – Ändern" oder
  „Vollzugriff", die eigentliche Steuerung über NTFS. Siehe Handout S2.
 - **Laufwerke per Gruppenrichtlinie** zuordnen, gefiltert auf die Gruppe. Dann bekommt jeder
  genau die Laufwerke seiner Rolle – auch am neuen Rechner.
 - **Schattenkopien** einschalten: Benutzer holen versehentlich überschriebene Dateien selbst
  zurück. Sie ersetzen keine Sicherung, sparen aber viele Tickets.
 - **Kontingente und Dateiprüfung** verhindern, dass ein einzelner Ordner den Server füllt –
  oder dass dort private Videosammlungen landen.
 - **Druckserver:** Drucker zentral einrichten, Treiber zentral pflegen, Zuordnung per
  Richtlinie. Standardbenutzer dürfen Druckertreiber seit 2021 nicht mehr ohne Weiteres selbst
  installieren – Treiber verteilt deshalb die IT.
 - **Drucker an Standorte binden**, nicht an Personen: Wer im Lager arbeitet, braucht den
  Drucker im Lager, egal an welchem Rechner.
 ## Übersicht
 ```
 \\srv-datei-01\Daten
 ├── Buchhaltung      DL-FS-Buchhaltung-Aendern / -Lesen
 ├── Einkauf          DL-FS-Einkauf-Aendern / -Lesen
 ├── Vertrieb         DL-FS-Vertrieb-Aendern / -Lesen
 ├── Projekte         je Projekt eine eigene Gruppe
 ├── Vorlagen         alle lesen, nur Verwaltung ändert
 └── Austausch        alle ändern, wird jeden Freitag geleert
 ```
 ## Prüfungsfrage
 **Frage:** Eine Mitarbeiterin hat am Vormittag eine wichtige Tabelle auf dem Dateiserver
 versehentlich überschrieben. Welche Möglichkeiten der Wiederherstellung gibt es, und in
 welcher Reihenfolge prüfen Sie sie?
 **Antwort:** (1) Schattenkopien: Sind sie eingeschaltet, kann die Mitarbeiterin über
 „Vorgängerversionen" im Eigenschaftendialog selbst die letzte Fassung vor der Änderung
 zurückholen – am schnellsten und ohne Eingriff der IT. (2) Programmeigene Versionen, etwa die
 Versionsverwaltung der Anwendung oder automatisch gespeicherte Fassungen. (3) Die
 Datensicherung: Die Datei wird aus der letzten Sicherung vor dem Überschreiben
 wiederhergestellt, am besten unter einem anderen Namen, damit die Mitarbeiterin vergleichen
 kann. Die Reihenfolge folgt dem Aufwand und der Aktualität: Eine Schattenkopie vom Vormittag
 ist näher am verlorenen Stand als die Sicherung der letzten Nacht.
@@ -0,0 +1,94 @@
 id: woche-05
 woche: 5
 titel: Lernzielkontrolle Woche 5 – Ausbildung, Betrieb und Zusammenarbeit
 dauer_minuten: 40
 hinweis: >-
  Offene Fragen. Antworten in ganzen Sätzen; bei Rechtsfragen genügt die
  sinngemäße Regel, die Paragrafennummer ist nicht gefordert.
 fragen:
  - id: f1
    frage: >-
      Ein Auszubildender ist seit sechs Wochen im Betrieb und möchte die
      Ausbildung beenden, weil er doch studieren will. Was muss er beachten?
      Wie wäre es nach acht Monaten?
    punkte: 6
    musterloesung: >-
      Nach sechs Wochen liegt er in der Probezeit (ein bis vier Monate). Er kann
      jederzeit ohne Einhaltung einer Frist und ohne Angabe von Gründen kündigen,
      die Kündigung muss aber schriftlich erfolgen. Nach acht Monaten ist die
      Probezeit vorbei: Er kann dann mit einer Frist von vier Wochen kündigen,
      weil er die Berufsausbildung aufgeben will; die Kündigung muss schriftlich
      und unter Angabe des Grundes erfolgen. (Probezeit 2 P., Kündigung darin 1 P.,
      Frist danach 2 P., Schriftform mit Grund 1 P.)
  - id: f2
    frage: >-
      Nennen Sie je drei Pflichten des Auszubildenden und des Ausbildungsbetriebs.
    punkte: 6
    musterloesung: >-
      Auszubildender (drei aus): sich bemühen, die berufliche Handlungsfähigkeit
      zu erwerben; übertragene Aufgaben sorgfältig ausführen; an
      Ausbildungsmaßnahmen und der Berufsschule teilnehmen; Weisungen im Rahmen
      der Ausbildung befolgen; die Betriebsordnung beachten; Geräte und
      Werkzeuge pfleglich behandeln; über Betriebs- und Geschäftsgeheimnisse
      Stillschweigen wahren; den Ausbildungsnachweis führen.
      Betrieb (drei aus): die Ausbildung planmäßig durchführen; Ausbildungsmittel
      kostenlos zur Verfügung stellen; zum Besuch der Berufsschule freistellen
      und anhalten; Zeit zum Führen des Ausbildungsnachweises geben und ihn
      regelmäßig durchsehen; nur ausbildungsbezogene Aufgaben übertragen; eine
      angemessene Vergütung zahlen. (Je Pflicht 1 P.)
  - id: f3
    frage: >-
      Warum lohnt es sich, das Berichtsheft gewissenhaft zu führen? Nennen Sie
      zwei Gründe.
    punkte: 4
    musterloesung: >-
      (1) Ein ordnungsgemäß geführter Ausbildungsnachweis ist Voraussetzung für
      die Zulassung zur Abschlussprüfung. (2) Er belegt gegenüber Betrieb und
      Kammer, was tatsächlich vermittelt wurde – bei Streit über ausbildungsfremde
      Tätigkeiten oder Lücken ist er das wichtigste Beweismittel. Ebenfalls
      richtig: Er hilft bei der Prüfungsvorbereitung, weil er zeigt, welche Themen
      schon behandelt wurden. (Je Grund 2 P.)
  - id: f4
    frage: >-
      Erklären Sie den Unterschied zwischen Aufbau- und Ablauforganisation an
      einem Beispiel aus Ihrem Betrieb.
    punkte: 6
    musterloesung: >-
      Die Aufbauorganisation beschreibt die Struktur: Abteilungen, Stellen und
      Weisungsbeziehungen, dargestellt im Organigramm – etwa dass die IT der
      kaufmännischen Leitung unterstellt ist. Die Ablauforganisation beschreibt,
      wie Arbeit über die Stellen hinweg fließt – etwa der Weg einer
      Kundenbestellung vom Vertrieb über die Arbeitsvorbereitung und Fertigung
      bis zum Versand und zur Rechnung. (Definition je 2 P., stimmiges Beispiel 2 P.)
  - id: f5
    frage: >-
      Ein Kollege schreibt Ihnen im Chat das Passwort für einen Serverzugang,
      damit Sie eine Störung beheben können. Wie bewerten Sie das, und wie wäre
      es richtig gewesen?
    punkte: 5
    musterloesung: >-
      Passwörter gehören nicht in den Chat: Nachrichten werden gespeichert,
      lassen sich weiterleiten, sind auf mehreren Geräten sichtbar und oft auch
      für Administratoren der Plattform lesbar. Richtig wäre, den Zugang über den
      Passwortmanager des Teams zu teilen oder ein persönliches Konto mit den
      nötigen Rechten einzurichten. Ist das Passwort bereits im Chat gelandet,
      wird es nach der Störung geändert. (Bewertung mit Begründung 3 P.,
      richtiger Weg 2 P.)
  - id: f6
    frage: >-
      Ordnen Sie jedem Anliegen den passenden Kommunikationsweg zu und begründen
      Sie kurz: (a) Der Drucker im Lager druckt nicht. (b) Sie möchten wissen,
      ob ein Kollege um 14 Uhr Zeit hat. (c) Sie sagen einem Lieferanten einen
      Liefertermin zu.
    punkte: 6
    musterloesung: >-
      (a) Ticket – die Störung muss erfasst, zugewiesen und nachvollziehbar
      abgeschlossen werden. (b) Chat oder kurzer Anruf – eine schnelle Absprache
      ohne Nachweisbedarf. (c) E-Mail – eine Zusage an Externe muss nachweisbar
      sein und an einen bestimmten Empfänger gehen. (Je Zuordnung mit Begründung 2 P.)
@@ -0,0 +1,86 @@
 id: woche-07
 woche: 7
 titel: Lernzielkontrolle Woche 7 – Skripting mit PowerShell
 dauer_minuten: 45
 hinweis: >-
  Offene Fragen. Bei Code zählt, dass er funktionieren würde – Schreibweise von
  Groß- und Kleinbuchstaben und kleine Tippfehler werden nicht abgezogen.
 fragen:
  - id: f1
    frage: >-
      Erklären Sie, was in der PowerShell-Pipeline von Befehl zu Befehl
      weitergereicht wird, und welchen Vorteil das gegenüber einer Shell hat,
      die Text weiterreicht.
    punkte: 5
    musterloesung: >-
      Weitergereicht werden Objekte mit Eigenschaften und Methoden, keine
      Textzeilen. Der nächste Befehl kann direkt auf Eigenschaften wie Status,
      Name oder Größe zugreifen, nach ihnen filtern und sortieren. Bei einer
      Textshell müsste man die gewünschte Angabe erst aus der Zeile
      herausschneiden; ändert sich das Ausgabeformat, bricht das Skript.
      (Objekte 2 P., Vorteil mit Begründung 3 P.)
  - id: f2
    frage: >-
      Schreiben Sie eine Befehlszeile, die die zehn größten Dateien im Ordner
      D:\Daten (ohne Unterordner) mit Name und Größe anzeigt, die größte zuerst.
    punkte: 6
    musterloesung: >-
      Get-ChildItem D:\Daten -File | Sort-Object Length -Descending |
      Select-Object -First 10 Name, Length. Bewertung: Dateien des Ordners
      abrufen (2 P.), absteigend nach Length sortieren (2 P.), auf zehn
      begrenzen und die Eigenschaften auswählen (2 P.). Der Schalter -File ist
      wünschenswert, aber nicht gefordert.
  - id: f3
    frage: >-
      Was gibt das folgende Skript aus? Begründen Sie.
      $liste = @(3, 8, 12, 5);
      $treffer = 0;
      foreach ($zahl in $liste) { if ($zahl -gt 4) { $treffer++ } };
      $treffer
    punkte: 4
    musterloesung: >-
      Ausgabe: 3. Die Schleife geht alle vier Zahlen durch; die Bedingung ist
      bei 8, 12 und 5 erfüllt, nicht bei 3. Bei jedem Treffer wird der Zähler
      um eins erhöht. (Ergebnis 2 P., Begründung 2 P.)
  - id: f4
    frage: >-
      Erklären Sie den Unterschied zwischen -eq, -like und -match an je einem
      Beispiel.
    punkte: 6
    musterloesung: >-
      -eq vergleicht auf Gleichheit: 'PC-001' -eq 'pc-001' ist wahr, weil
      Groß- und Kleinschreibung keine Rolle spielt. -like vergleicht mit
      Platzhaltern: 'PC-001' -like 'PC-*' ist wahr. -match prüft gegen einen
      regulären Ausdruck: 'PC-001' -match '^PC-\d{3}$' ist wahr, weil auf
      "PC-" genau drei Ziffern folgen. (Je Operator mit Beispiel 2 P.)
  - id: f5
    frage: >-
      Ein Skript soll alte Benutzerprofile löschen. Was tun Sie, bevor Sie es
      auf allen Rechnern ausführen? Nennen Sie drei Schritte.
    punkte: 6
    musterloesung: >-
      (1) Mit -WhatIf laufen lassen und prüfen, welche Profile betroffen wären.
      (2) Zuerst an einem Testrechner, dann an einem einzelnen echten Rechner
      ausführen und das Ergebnis kontrollieren. (3) Sicherstellen, dass eine
      aktuelle Sicherung der betroffenen Daten vorliegt. Ebenfalls richtig:
      Änderung ankündigen bzw. als Änderungsanfrage freigeben lassen, Protokoll
      der gelöschten Profile schreiben, Ausschlussliste für Dienst- und
      Administratorkonten einbauen. (Je Schritt 2 P.)
  - id: f6
    frage: >-
      Im folgenden Ausschnitt wird ein Fehler beim Kopieren nicht vom
      catch-Block aufgefangen. Warum, und wie beheben Sie das?
      try { Copy-Item \\server\vorlagen\*.docx C:\Vorlagen } catch { Write-Warning 'Kopieren fehlgeschlagen' }
    punkte: 5
    musterloesung: >-
      Copy-Item meldet die meisten Fehler als nicht abbrechende Fehler: Er gibt
      eine Fehlermeldung aus und läuft weiter, der catch-Block wird nicht
      erreicht. Abhilfe: -ErrorAction Stop an den Befehl anhängen, dann wird der
      Fehler zu einem abbrechenden Fehler und vom catch-Block aufgefangen.
      (Ursache 3 P., Behebung 2 P.)
@@ -0,0 +1,90 @@
 id: woche-09
 woche: 9
 titel: Lernzielkontrolle Woche 9 – Virtualisierung
 dauer_minuten: 40
 hinweis: >-
  Offene Fragen. Produktnamen sind als Beispiel willkommen, aber nicht
  gefordert – es zählt das Prinzip.
 fragen:
  - id: f1
    frage: >-
      Erklären Sie den Unterschied zwischen einem Hypervisor vom Typ 1 und vom
      Typ 2 und nennen Sie je einen typischen Einsatz.
    punkte: 5
    musterloesung: >-
      Typ 1 läuft direkt auf der Hardware ohne darunterliegendes Betriebssystem
      und verwaltet die Ressourcen selbst – Einsatz: Servervirtualisierung im
      Rechenzentrum, z. B. Proxmox VE, Hyper-V, VMware ESXi. Typ 2 läuft als
      Anwendung auf einem Wirtsbetriebssystem – Einsatz: Test- und
      Schulungsumgebungen am Arbeitsplatz, z. B. VirtualBox. (Unterschied 3 P.,
      Einsatz je 1 P.)
  - id: f2
    frage: >-
      Ein Kollege möchte vor einem Update einen Snapshot anlegen und ihn
      „sicherheitshalber" die nächsten drei Monate behalten. Was raten Sie ihm,
      und warum?
    punkte: 6
    musterloesung: >-
      Den Snapshot vor dem Update anlegen ist richtig. Nach einer kurzen
      Beobachtungszeit, wenn das Update fehlerfrei läuft, sollte er ihn aber
      löschen: Der Snapshot wächst mit jeder Änderung, belegt Speicher und
      verlangsamt die VM; außerdem hängt er von der Ausgangsdatei ab und liegt
      auf demselben Speicher, schützt also nicht vor dessen Ausfall. Für einen
      Rückweg über Wochen ist die Datensicherung zuständig. (Empfehlung 2 P.,
      Begründung 4 P.)
  - id: f3
    frage: >-
      Ein Host hat 16 physische Kerne und 128 GB Arbeitsspeicher. Darauf sollen
      zwölf VMs mit je 4 virtuellen Kernen und 12 GB laufen. Beurteilen Sie die
      Planung.
    punkte: 6
    musterloesung: >-
      Prozessor: 48 virtuelle auf 16 physische Kerne, also 3 zu 1 überbucht. Das
      ist bei Servern mit gemischter Last üblich und meist unproblematisch,
      sollte aber anhand der Auslastung beobachtet werden. Arbeitsspeicher:
      12 × 12 GB = 144 GB bei 128 GB physisch – überbucht, zumal der Host selbst
      ebenfalls Speicher braucht. Das führt zu Auslagerung und spürbaren
      Einbrüchen. Abhilfe: Speicher je VM nach gemessenem Bedarf verringern,
      Arbeitsspeicher aufrüsten oder VMs auf einen zweiten Host verteilen.
      (Prozessor 2 P., Speicher mit Rechnung 3 P., Abhilfe 1 P.)
  - id: f4
    frage: >-
      Was versteht man unter Thin Provisioning, und welches Risiko entsteht
      dabei? Nennen Sie eine Gegenmaßnahme.
    punkte: 5
    musterloesung: >-
      Eine virtuelle Festplatte belegt nur den tatsächlich beschriebenen Platz
      und wächst bei Bedarf bis zur zugesagten Größe. Werden insgesamt mehr
      zugesagt als physisch vorhanden, kann der Speicher volllaufen; dann
      bleiben alle VMs auf diesem Speicher stehen. Gegenmaßnahme: den
      tatsächlichen Füllstand überwachen und bei Warnschwellen rechtzeitig
      erweitern oder aufräumen. (Begriff 2 P., Risiko 2 P., Maßnahme 1 P.)
  - id: f5
    frage: >-
      Nennen Sie vier Angaben, die zu jeder virtuellen Maschine dokumentiert
      werden sollten, und begründen Sie eine davon.
    punkte: 5
    musterloesung: >-
      Vier aus: Zweck, Verantwortlicher, Betriebssystem, Ressourcen, Netz bzw.
      VLAN und IP-Adresse, Speicherort, Sicherung, Datum der Bereitstellung.
      Beispielbegründung Verantwortlicher: Ohne ihn weiß niemand, ob die VM noch
      gebraucht wird, wer Änderungen freigibt und wen man bei einer Störung
      fragt – solche VMs werden nie abgeschaltet und nie gepflegt.
      (Je Angabe 1 P., Begründung 1 P.)
  - id: f6
    frage: >-
      Worin unterscheidet sich ein Container von einer virtuellen Maschine?
    punkte: 4
    musterloesung: >-
      Eine virtuelle Maschine hat ein vollständiges eigenes Betriebssystem auf
      virtueller Hardware. Ein Container teilt sich den Kern des
      Host-Betriebssystems und bringt nur die Anwendung mit ihren
      Abhängigkeiten mit. Container starten dadurch schneller und brauchen
      weniger Ressourcen, sind aber weniger stark voneinander getrennt.
      (Unterschied 2 P., Folgen 2 P.)
@@ -0,0 +1,95 @@
 id: woche-11
 woche: 11
 titel: Lernzielkontrolle Woche 11 – Netze trennen und verbinden
 dauer_minuten: 45
 hinweis: >-
  Offene Fragen. Bei Rechen- und Zuordnungsaufgaben zählt die Begründung.
 fragen:
  - id: f1
    frage: >-
      Erklären Sie den Unterschied zwischen einem Access-Port und einem
      Trunk-Port und nennen Sie je ein Gerät, das typischerweise daran
      angeschlossen wird.
    punkte: 5
    musterloesung: >-
      Ein Access-Port gehört zu genau einem VLAN und überträgt Rahmen ohne
      VLAN-Markierung; angeschlossen wird ein Endgerät wie ein Arbeitsplatzrechner
      oder Drucker. Ein Trunk-Port überträgt mehrere VLANs und markiert die Rahmen
      nach IEEE 802.1Q mit der VLAN-ID; angeschlossen werden ein weiterer Switch,
      ein Router bzw. eine Firewall oder ein Access Point mit mehreren
      Funknetzen. (Unterschied 3 P., Geräte je 1 P.)
  - id: f2
    frage: >-
      Aus 10.20.0.0/24 sollen drei VLANs mit je höchstens 50 Geräten versorgt
      werden. Geben Sie für jedes VLAN Netzadresse, Maske und Gateway an.
    punkte: 6
    musterloesung: >-
      50 Geräte brauchen 52 Adressen, also Blockgröße 64 (/26) mit 62 nutzbaren.
      VLAN A: 10.20.0.0/26, Gateway 10.20.0.1. VLAN B: 10.20.0.64/26, Gateway
      10.20.0.65. VLAN C: 10.20.0.128/26, Gateway 10.20.0.129. Ein Block
      (10.20.0.192/26) bleibt als Reserve. Als Gateway ist auch die jeweils
      letzte nutzbare Adresse richtig, wenn die Wahl einheitlich ist.
      (Maske mit Begründung 2 P., je VLAN 1 P., Reserve erkannt 1 P.)
  - id: f3
    frage: >-
      Eine Firewall hat für das Gästenetz folgende Regeln in dieser Reihenfolge:
      (1) Gäste nach beliebig, HTTP und HTTPS – erlauben.
      (2) Gäste nach 10.10.0.0/16, alle Dienste – blockieren.
      (3) Gäste nach Firewall, DNS – erlauben.
      (4) beliebig nach beliebig – blockieren.
      Ein Gast ruft https://10.10.20.21 auf, einen internen Server. Was passiert,
      und wie beheben Sie den Fehler?
    punkte: 6
    musterloesung: >-
      Die Verbindung wird erlaubt: Regeln werden von oben nach unten geprüft, und
      die erste passende entscheidet. HTTPS an eine beliebige Adresse passt auf
      Regel 1, Regel 2 wird nie erreicht. Behebung: Die Sperre der internen Netze
      muss vor der allgemeinen Erlaubnis stehen. Die DNS-Regel gehört an den
      Anfang: Liegt die Adresse der Firewall im Gästenetz ebenfalls in
      10.10.0.0/16, würde die Sperre sonst auch die Namensauflösung blockieren.
      Richtige Reihenfolge also 3, 2, 1, 4. (Ergebnis 2 P., Begründung 2 P.,
      Behebung 2 P. – die Reihenfolge 2, 3, 1, 4 gibt 1 P., wenn die Sperre vor der
      Erlaubnis erkannt ist.)
  - id: f4
    frage: >-
      Ein Router kennt die Routen 0.0.0.0/0 über 192.0.2.1 und 172.16.0.0/12 über
      10.0.0.2 sowie 172.16.5.0/24 über 10.0.0.3. Wohin gehen Pakete an
      172.16.5.20, 172.20.1.1 und 172.32.0.1?
    punkte: 6
    musterloesung: >-
      172.16.5.20 passt auf alle drei Routen; die genaueste ist 172.16.5.0/24,
      also über 10.0.0.3. 172.20.1.1 liegt in 172.16.0.0/12 (172.16.0.0 bis
      172.31.255.255), also über 10.0.0.2. 172.32.0.1 liegt außerhalb davon und
      passt nur auf die Standardroute, also über 192.0.2.1. (Je Ziel 2 P.)
  - id: f5
    frage: >-
      Warum ist WPA2/WPA3-Enterprise für ein Firmen-WLAN besser geeignet als ein
      gemeinsamer Schlüssel? Nennen Sie zwei Gründe.
    punkte: 4
    musterloesung: >-
      (1) Jeder meldet sich mit eigenen Zugangsdaten oder einem Zertifikat an; beim
      Ausscheiden eines Mitarbeiters wird nur dessen Zugang gesperrt, statt den
      Schlüssel für alle zu ändern. (2) Anmeldungen lassen sich einer Person
      zuordnen und protokollieren. Ebenfalls richtig: Der Zugang lässt sich an
      Gruppen im Verzeichnisdienst koppeln und einem VLAN zuweisen; ein
      weitergegebener Schlüssel öffnet nicht das ganze Netz. (Je Grund 2 P.)
  - id: f6
    frage: >-
      Im Lager ist das WLAN trotz voller Sendeleistung der beiden Access Points
      schlecht. Nennen Sie drei mögliche Ursachen und je eine Maßnahme.
    punkte: 6
    musterloesung: >-
      Drei aus: (1) Dämpfung durch Stahlregale und Waren – Ausleuchtung messen und
      zusätzliche Access Points an den Gängen anbringen. (2) Beide Access Points
      auf demselben oder einem überlappenden Kanal im 2,4-GHz-Band – auf 1, 6 und
      11 verteilen oder 5 GHz nutzen. (3) Zu hohe Sendeleistung, Endgeräte
      bleiben am fernen Access Point hängen – Sendeleistung senken, mehr Access
      Points. (4) Störungen durch Fremdnetze oder Geräte – Kanalwahl anhand einer
      Messung. (5) Veraltete Endgeräte, die nur 2,4 GHz oder alte Standards können –
      Geräte tauschen oder ein eigenes Funknetz dafür. (Je Ursache mit Maßnahme 2 P.)
@@ -203,3 +203,15 @@ bloecke:
    kuerzel: S
    titel: Betriebssysteme und Dienste
    farbe: petrol
  - id: sicherheit
    kuerzel: I
    titel: IT-Sicherheit und Datenschutz
    farbe: petrol
  - id: programmierung
    kuerzel: P
    titel: Skripting und Automatisierung
    farbe: petrol
  - id: server
    kuerzel: V
    titel: Server und Virtualisierung
    farbe: petrol
@@ -0,0 +1,30 @@
 nummer: 5
 titel: Ausbildung, Betrieb und Zusammenarbeit
 block: arbeitsalltag
 leitfrage: Für wen arbeitet die IT – und woher weißt du, was diese Leute brauchen?
 ziel: >-
  Du kennst deine Rechte und Pflichten in der Ausbildung, kannst den Aufbau des
  Betriebs aus Sicht der IT beschreiben und wählst für jede Absprache den
  passenden Kanal.
 handouts: [A4, A5, A6]
 aufgaben: ["5.1"]
 checklisten: []
 lernzielkontrolle: woche-05
 tage:
  - tag: Montag
    theorie: [A4]
    praxis: Den eigenen Ausbildungsvertrag und den betrieblichen Ausbildungsplan durchlesen, Fragen notieren und mit dem Ausbilder klären.
  - tag: Dienstag
    theorie: [A5]
    praxis: Praxisaufgabe 5.1 beginnen – Organigramm besorgen, Gesprächstermine mit allen Abteilungen vereinbaren, erste Gespräche führen.
  - tag: Mittwoch
    theorie: [A6]
    praxis: Ablage der IT-Dokumentation sichten, drei veraltete oder doppelte Dokumente finden und einen Vorschlag zur Bereinigung machen.
  - tag: Donnerstag
    theorie: []
    praxis: Praxisaufgabe 5.1 abschließen – restliche Gespräche, Abhängigkeiten einzeichnen, Übersicht ablegen, Tickets anlegen.
  - tag: Freitag
    theorie: []
    praxis: Lernzielkontrolle, danach Berichtsheft schreiben.
@@ -0,0 +1,30 @@
 nummer: 6
 titel: IT-Sicherheit und Datenschutz
 block: sicherheit
 leitfrage: Was ist hier eigentlich wie viel wert – und wer würde es vermissen?
 ziel: >-
  Du kannst den Schutzbedarf eines Arbeitsbereichs feststellen und begründen,
  einen Arbeitsplatz auf typische Schwachstellen prüfen und richtig reagieren,
  wenn ein Konto oder Daten in falsche Hände geraten sind.
 handouts: [I1, I2, I3]
 aufgaben: ["6.1"]
 checklisten: [05-arbeitsplatz-sicherheit-pruefen]
 lernzielkontrolle: null
 tage:
  - tag: Montag
    theorie: [I1]
    praxis: Drei Anwendungen des Betriebs gemeinsam mit dem Ausbilder einstufen, je Schutzziel mit Begründung.
  - tag: Dienstag
    theorie: [I2]
    praxis: Fünf Arbeitsplätze nach Checkliste prüfen, Abweichungen als Tickets anlegen.
  - tag: Mittwoch
    theorie: [I3]
    praxis: Praxisaufgabe 6.1 beginnen – Bereich wählen, Informationen und Anwendungen erfassen, Gespräch mit der Leitung vereinbaren.
  - tag: Donnerstag
    theorie: []
    praxis: Praxisaufgabe 6.1 abschließen – Systeme ableiten, Einstufung abstimmen, Maßnahmen vorschlagen.
  - tag: Freitag
    theorie: []
    praxis: Ergebnis der Schutzbedarfsfeststellung dem Ausbilder vorstellen, Berichtsheft schreiben.
@@ -0,0 +1,30 @@
 nummer: 7
 titel: Skripting mit PowerShell
 block: programmierung
 leitfrage: Welche Arbeit machst du jede Woche von Hand, obwohl ein Rechner sie besser könnte?
 ziel: >-
  Du kannst mit der PowerShell-Pipeline Informationen abfragen und filtern,
  ein Skript mit Variablen, Bedingungen und Schleifen schreiben und es so
  gestalten, dass andere es sicher benutzen können.
 handouts: [P1, P2, P3]
 aufgaben: ["7.1"]
 checklisten: []
 lernzielkontrolle: woche-07
 tage:
  - tag: Montag
    theorie: [P1]
    praxis: Zehn Fragen an das eigene System mit der Pipeline beantworten – etwa welche Dienste beendet sind, die automatisch starten sollten.
  - tag: Dienstag
    theorie: [P2]
    praxis: Ein Skript schreiben, das vor knappem Speicherplatz warnt, und an drei Rechnern testen.
  - tag: Mittwoch
    theorie: [P3]
    praxis: Praxisaufgabe 7.1 beginnen – Angaben in den CIM-Klassen finden, Objekt bauen, erster Lauf.
  - tag: Donnerstag
    theorie: []
    praxis: Praxisaufgabe 7.1 abschließen – Aktualisieren statt Anhängen, Fehlerbehandlung, Hilfeblock, Lauf auf drei Rechnern.
  - tag: Freitag
    theorie: []
    praxis: Lernzielkontrolle, danach Berichtsheft schreiben.
@@ -0,0 +1,30 @@
 nummer: 8
 titel: Datensicherung und Speicher
 block: system
 leitfrage: Wie lange dauert es wirklich, bis nach einem Ausfall wieder gearbeitet werden kann?
 ziel: >-
  Du kannst ein Sicherungskonzept aus dem Schutzbedarf ableiten, eine
  Wiederherstellung durchführen und messen und die passende RAID-Stufe für
  einen Datenspeicher begründen.
 handouts: [S3, S4, S5]
 aufgaben: ["8.1"]
 checklisten: [06-wiederherstellung-testen]
 lernzielkontrolle: null
 tage:
  - tag: Montag
    theorie: [S3]
    praxis: Die Sicherungsaufträge des Betriebs gemeinsam mit dem Ausbilder durchgehen und je Auftrag Art, Häufigkeit und Aufbewahrung notieren.
  - tag: Dienstag
    theorie: [S5]
    praxis: RAID-Zustand und Plattenüberwachung von Server und NAS prüfen, Kapazitäten für drei Ausbaustufen durchrechnen.
  - tag: Mittwoch
    theorie: [S4]
    praxis: Eine einzelne Datei und einen Ordner mit Berechtigungen nach Checkliste zurückspielen.
  - tag: Donnerstag
    theorie: []
    praxis: Praxisaufgabe 8.1 – Sicherung des Bereichs prüfen, auf die Testumgebung zurückspielen, Zeit messen, Vorschläge schreiben.
  - tag: Freitag
    theorie: []
    praxis: Monatliches Feedbackgespräch, danach Berichtsheft schreiben.
@@ -0,0 +1,30 @@
 nummer: 9
 titel: Virtualisierung
 block: server
 leitfrage: Wofür ist diese VM eigentlich da – und wer würde es merken, wenn sie fehlt?
 ziel: >-
  Du kannst Hypervisoren einordnen, eine virtuelle Maschine planen und
  bereitstellen, Snapshots richtig einsetzen und erklären, warum sie keine
  Datensicherung ersetzen.
 handouts: [V1, V2, V3]
 aufgaben: ["9.1"]
 checklisten: [07-vm-bereitstellen]
 lernzielkontrolle: woche-09
 tage:
  - tag: Montag
    theorie: [V1]
    praxis: Die virtuelle Umgebung des Betriebs mit dem Ausbilder durchgehen – Hosts, VMs, Auslastung – und eine Übersicht zeichnen.
  - tag: Dienstag
    theorie: [V2]
    praxis: Auf dem Testhost eine Test-VM anlegen, Snapshot anlegen, Änderung vornehmen, zurücksetzen und Snapshot löschen.
  - tag: Mittwoch
    theorie: [V3]
    praxis: Praxisaufgabe 9.1 beginnen – Planungsblatt ausfüllen und freigeben lassen, VM anlegen, Betriebssystem installieren.
  - tag: Donnerstag
    theorie: []
    praxis: Praxisaufgabe 9.1 abschließen – einbinden, sichern, Rückweg üben, dokumentieren.
  - tag: Freitag
    theorie: []
    praxis: Lernzielkontrolle, danach Berichtsheft schreiben.
@@ -0,0 +1,30 @@
 nummer: 10
 titel: Verzeichnisdienst und Serverdienste
 block: server
 leitfrage: Woran erkennt man in fünf Jahren noch, warum jemand ein Recht hat?
 ziel: >-
  Du kannst eine Abteilung im Active Directory mit OUs und Gruppen nach AGDLP
  abbilden, Einstellungen per Gruppenrichtlinie verteilen und prüfen, und
  Datei- und Druckdienste so einrichten, dass sie pflegbar bleiben.
 handouts: [V4, V5, V6]
 aufgaben: ["10.1"]
 checklisten: [08-mitarbeiter-einrichten]
 lernzielkontrolle: null
 tage:
  - tag: Montag
    theorie: [V4]
    praxis: Die OU- und Gruppenstruktur des Betriebs mit dem Ausbilder durchgehen, drei Gruppen auf Zweck und Mitglieder prüfen.
  - tag: Dienstag
    theorie: [V5]
    praxis: In der Testdomäne eine Richtlinie für die Bildschirmsperre anlegen, verknüpfen und mit gpresult nachweisen.
  - tag: Mittwoch
    theorie: [V6]
    praxis: Praxisaufgabe 10.1 beginnen – Plan schreiben, Ablage anlegen, Rechte vergeben.
  - tag: Donnerstag
    theorie: []
    praxis: Praxisaufgabe 10.1 abschließen – Testkonten nach Checkliste, Richtlinien, Nachweis per Anmeldung, Abteilungswechsel.
  - tag: Freitag
    theorie: []
    praxis: Einen echten Neuzugang mit dem Ausbilder nach Checkliste einrichten, falls einer ansteht – sonst Ergebnis 10.1 vorstellen. Berichtsheft schreiben.
@@ -0,0 +1,30 @@
 nummer: 11
 titel: Netze trennen und verbinden
 block: netzwerk
 leitfrage: Wer soll wen erreichen dürfen – und wo im Netz steht das geschrieben?
 ziel: >-
  Du kannst ein Netz mit VLANs aufteilen, Routing-Entscheidungen nachvollziehen,
  Firewallregeln in der richtigen Reihenfolge formulieren und ein getrenntes
  Gäste-WLAN einrichten und prüfen.
 handouts: [N5, N6, N7]
 aufgaben: ["11.1"]
 checklisten: []
 lernzielkontrolle: woche-11
 tage:
  - tag: Montag
    theorie: [N5]
    praxis: VLAN-Übersicht des Betriebs mit dem Ausbilder durchgehen, an einem Switch Access- und Trunk-Ports nachvollziehen und mit der Dokumentation abgleichen.
  - tag: Dienstag
    theorie: [N6]
    praxis: Routingtabelle und Firewallregeln des Betriebs lesen, zu fünf Regeln Zweck und Reihenfolge erklären.
  - tag: Mittwoch
    theorie: [N7]
    praxis: Praxisaufgabe 11.1 beginnen – Plan schreiben, Switch und Firewall einrichten.
  - tag: Donnerstag
    theorie: []
    praxis: Praxisaufgabe 11.1 abschließen – Access Point, Nachweise mit zwei Gastgeräten, Dokumentation.
  - tag: Freitag
    theorie: []
    praxis: Lernzielkontrolle, danach Berichtsheft schreiben.
@@ -0,0 +1,30 @@
 nummer: 12
 titel: Ein Kundenauftrag von der Anfrage bis zur Abnahme
 block: arbeitsalltag
 leitfrage: Woran erkennen Kunde und IT am Ende gemeinsam, dass der Auftrag erfüllt ist?
 ziel: >-
  Du kannst Anforderungen prüfbar aufnehmen, Angebote bis zum Bezugspreis
  rechnen und vergleichen, die passende Vertragsart erkennen und einen Auftrag
  mit Protokoll abnehmen lassen.
 handouts: [A7, A8, A9]
 aufgaben: ["12.1"]
 checklisten: [09-auftrag-abnehmen-lassen]
 lernzielkontrolle: null
 tage:
  - tag: Montag
    theorie: [A7]
    praxis: Praxisaufgabe 12.1 beginnen – Gespräch mit dem Kunden, Lastenheft schreiben und bestätigen lassen, Anfrage verschicken.
  - tag: Dienstag
    theorie: [A8]
    praxis: Zehn Übungsaufgaben zur Bezugskalkulation rechnen, danach die ersten eingegangenen Angebote auswerten.
  - tag: Mittwoch
    theorie: [A9]
    praxis: Drei bestehende Verträge des Betriebs (Wartung, Leasing, Support) lesen und Vertragsart, Leistung und Fristen herausschreiben.
  - tag: Donnerstag
    theorie: []
    praxis: Praxisaufgabe 12.1 abschließen – Nutzwertanalyse, Pflichtenheft, Empfehlung vorstellen.
  - tag: Freitag
    theorie: []
    praxis: Monatliches Feedbackgespräch, danach Berichtsheft schreiben.
@@ -1,6 +1,6 @@
 # Abnahmeprotokoll
-Erzeugt am 2026-09-11 17:16 Uhr
+Erzeugt am 2026-10-04 16:24 Uhr
 Erzeugt von `scripts/pruefungen/abnahme.mjs` gegen eine **frische, leere Datenbank**.
@@ -54,15 +54,15 @@ Erzeugt von `scripts/pruefungen/abnahme.mjs` gegen eine **frische, leere Datenba
 - ✓ Der Azubi legt das Wochenblatt der laufenden Woche an
 - ✓ Ein Wochenblatt lässt sich öffnen
- ✓ Das Wochenblatt kommt als PDF heraus — HTTP 200, 2646 Bytes
+- ✓ Das Wochenblatt kommt als PDF heraus — HTTP 200, 2649 Bytes
 ## A8 · Sicherung zurückspielen
- ✓ Die Sicherung läuft durch — lernbar-20260911-171627.tar.gz
+- ✓ Die Sicherung läuft durch — lernbar-20261004-182433.tar.gz
 - ✓ Zum Beweis wird der Datenbestand beschädigt — 2 → 1 Konten
 - ✓ Die Rückspielung läuft durch — ohne Fehler
 - ✓ Der gelöschte Azubi ist wieder da — Tim Vogt
 - ✓ Auch der Lernverlauf kam mit zurück — 1 Einträge
- ✓ Der überschriebene Stand wurde zur Seite gelegt, nicht gelöscht — verdraengt-20260911-171632
+- ✓ Der überschriebene Stand wurde zur Seite gelegt, nicht gelöscht — verdraengt-20261004-182436
 **36 von 36 Prüfungen erfüllt.**
@@ -401,6 +401,7 @@ mitten durchgeschnitten, aufklappbare Abschnitte drucken aufgeklappt.
 | Beobachtung | Woran es liegt |
 |---|---|
 | „Zu viele Fehlversuche" bei der Anmeldung | Nach fünf falschen Passwörtern wird die Adresse für eine Minute gesperrt, bei weiteren Fehlversuchen länger, höchstens 15 Minuten. Abwarten – oder Passwort vom Ausbilder neu setzen lassen. Hat sich das einzige Ausbilderkonto ausgesperrt: `docker compose restart lernbar` setzt die Sperre zurück. |
 | „Diese Seite gibt es nicht" bei fremden Daten | Kein Fehler, sondern die Rechteprüfung. Ob es zu einer Kennung überhaupt Daten gibt, geht Unbefugte nichts an – deshalb 404 und nicht „kein Zugriff". |
 | Die Anwendung startet nicht, nennt aber Datei und Zeile | Ein Inhaltsfehler unter `content/`. Die Meldung sagt genau, wo. `npm run inhalte:pruefen` prüft ohne Start. |
 | Ein Anhang lässt sich nicht hochladen | Über 25 MB. Bei einem Reverse Proxy zusätzlich `client_max_body_size 30m` setzen (siehe README). |
@@ -1,12 +1,12 @@
 {
  "name": "lernbar",
-  "version": "1.0.1",
+  "version": "1.0.4",
  "lockfileVersion": 3,
  "requires": true,
  "packages": {
    "": {
      "name": "lernbar",
-      "version": "1.0.1",
+      "version": "1.0.4",
      "dependencies": {
        "@node-rs/argon2": "^2.0.2",
        "better-sqlite3": "^12.11.1",
@@ -1,6 +1,6 @@
 {
  "name": "lernbar",
-  "version": "1.0.1",
+  "version": "1.0.4",
  "private": true,
  "description": "Lern-Bar – betriebliche Ausbildung Fachinformatiker Systemintegration",
  "engines": {
@@ -10,7 +10,8 @@ import { spawnSync } from 'node:child_process';
 * es nie, und ein frisch aufgesetzter Server stand ohne jedes Konto da.
 *
 * Dieser Lauf baut das Abbild, startet es mit leerem Volume und geht den Weg
- * aus der README: Lebenszeichen, erstes Konto, Anmeldung, Sicherung.
+ * aus der README: Lebenszeichen, erstes Konto, Anmeldung, Sperre bei
 * Fehlversuchen, Sicherung.
 *
 *   node scripts/pruefungen/container.mjs
 *
@@ -90,6 +91,23 @@ async function anmelden(email, passwort) {
  return angekommen;
 }
 /** Ein Anmeldeversuch, der die angezeigte Meldung zurückgibt. */
 async function meldungNachAnmeldung(email, passwort) {
  const kontext = await browser.newContext({ locale: 'de-DE' });
  const seite = await kontext.newPage();
  seite.setDefaultTimeout(30000);
  await seite.goto(`${BASIS}/anmelden`);
  await seite.fill('#email', email);
  await seite.fill('#passwort', passwort);
  await seite.click('button[type=submit]');
  const text = await seite
    .locator('.hinweis-fehler')
    .innerText({ timeout: 15000 })
    .catch(() => '');
  await kontext.close();
  return text;
 }
 async function main() {
  if (docker(['info'], { stdio: 'ignore' }).status !== 0) {
    console.error('Docker ist nicht erreichbar.');
@@ -141,9 +159,25 @@ async function main() {
  pruefe(neuesPw && (await anmelden(AUSBILDER.email, neuesPw)), 'Mit dem neuen Passwort geht die Anmeldung');
  pruefe(!(await anmelden(AUSBILDER.email, AUSBILDER.pw)), 'Das alte Passwort gilt nicht mehr');
-  // --- C3 Sicherung im Container -------------------------------------------
+  // --- C3 Bremse gegen Passwortraten ----------------------------------------
-  abschnitt('C3 · Sicherung im Container');
+  abschnitt('C3 · Bremse gegen Passwortraten');
  // Eine Adresse, die es nicht gibt: Die Sperre muss genauso greifen, sonst
  // verriete sie, welche Konten existieren.
  const unbekannt = 'niemand@betrieb.test';
  for (let i = 0; i < 5; i += 1) await meldungNachAnmeldung(unbekannt, `geraten-${i}`);
  const gesperrt = await meldungNachAnmeldung(unbekannt, 'geraten-6');
  pruefe(gesperrt.includes('Zu viele Fehlversuche'), 'Nach fünf Fehlversuchen wird gesperrt – auch für eine unbekannte Adresse', gesperrt);
  pruefe(neuesPw && (await anmelden(AUSBILDER.email, neuesPw)), 'Ein anderes Konto ist davon nicht betroffen');
  for (let i = 0; i < 5; i += 1) await meldungNachAnmeldung(AUSBILDER.email, `geraten-${i}`);
  pruefe(!(await anmelden(AUSBILDER.email, neuesPw)), 'Während der Sperre kommt auch das richtige Passwort nicht durch');
  // --- C4 Sicherung im Container -------------------------------------------
  abschnitt('C4 · Sicherung im Container');
  const sicherung = imContainer('/app/werkzeuge/sicherung.sh', '/daten/sicherungen');
  pruefe(sicherung.ende === 0, 'Die Sicherung läuft im Container durch', sicherung.ausgabe.trim().split('\n').at(-1));
@@ -3,6 +3,7 @@
 import { eq } from 'drizzle-orm';
 import { redirect } from 'next/navigation';
 import { datenbank, schema } from '@/lib/db';
 import { anmeldeDrossel, wartezeitText } from '@/lib/auth/drossel';
 import { passwortPruefen } from '@/lib/auth/passwort';
 import { sitzungAnlegen, sitzungBeenden } from '@/lib/auth/sitzung';
 import { jetzt } from '@/lib/zeit';
@@ -19,6 +20,18 @@ export async function anmelden(_vorher: Anmeldezustand, formular: FormData): Pro
    return { fehler: 'Bitte E-Mail-Adresse und Passwort eingeben.', email };
  }
  // Während einer Sperre wird gar nicht erst geprüft – auch ein richtiges
  // Passwort kommt dann nicht durch, sonst wäre die Sperre wertlos.
  const drossel = anmeldeDrossel();
  const wartezeit = drossel.wartezeit(email);
  if (wartezeit > 0) {
    return { fehler: `Zu viele Fehlversuche. Bitte ${wartezeitText(wartezeit)} noch einmal versuchen.`, email };
  }
  // Jeder Versuch zählt sofort als Fehlversuch und wird erst bei Erfolg
  // zurückgenommen. Zwischen Prüfen und Zählen liegt so kein await – sonst
  // kämen hundert gleichzeitige Anfragen alle an der Sperre vorbei.
  drossel.fehlversuch(email);
  const db = datenbank();
  const benutzer = db.select().from(schema.benutzer).where(eq(schema.benutzer.email, email)).get();
@@ -34,6 +47,8 @@ export async function anmelden(_vorher: Anmeldezustand, formular: FormData): Pro
  const stimmt = await passwortPruefen(benutzer.passwortHash, passwort);
  if (!stimmt) return abweisung;
  drossel.erfolg(email);
  db.update(schema.benutzer).set({ letzteAnmeldungAm: jetzt() }).where(eq(schema.benutzer.id, benutzer.id)).run();
  await sitzungAnlegen(benutzer.id);
@@ -0,0 +1,113 @@
 import { describe, expect, it } from 'vitest';
 import {
  Drossel,
  FREIE_VERSUCHE,
  GRUNDSPERRE_MS,
  HOECHSTSPERRE_MS,
  VERGESSEN_NACH_MS,
  sperreFuer,
  wartezeitText,
 } from './drossel';
 /** Eine Uhr, die nur weiterläuft, wenn man sie stellt. */
 function stehendeUhr(start = 1_000_000) {
  let zeit = start;
  return {
    uhr: () => zeit,
    vor: (ms: number) => {
      zeit += ms;
    },
  };
 }
 function scheitern(drossel: Drossel, schluessel: string, mal: number) {
  for (let i = 0; i < mal; i += 1) drossel.fehlversuch(schluessel);
 }
 describe('sperreFuer', () => {
  it('lässt die ersten Fehlversuche frei', () => {
    for (let n = 1; n < FREIE_VERSUCHE; n += 1) expect(sperreFuer(n)).toBe(0);
  });
  it('sperrt ab dem fünften Fehlversuch und verdoppelt dann', () => {
    expect(sperreFuer(FREIE_VERSUCHE)).toBe(GRUNDSPERRE_MS);
    expect(sperreFuer(FREIE_VERSUCHE + 1)).toBe(2 * GRUNDSPERRE_MS);
    expect(sperreFuer(FREIE_VERSUCHE + 2)).toBe(4 * GRUNDSPERRE_MS);
  });
  it('bleibt bei der Obergrenze stehen', () => {
    expect(sperreFuer(FREIE_VERSUCHE + 20)).toBe(HOECHSTSPERRE_MS);
  });
 });
 describe('Drossel', () => {
  it('sperrt nach fünf Fehlversuchen, nicht vorher', () => {
    const { uhr } = stehendeUhr();
    const drossel = new Drossel(uhr);
    scheitern(drossel, 'a@x.de', FREIE_VERSUCHE - 1);
    expect(drossel.wartezeit('a@x.de')).toBe(0);
    drossel.fehlversuch('a@x.de');
    expect(drossel.wartezeit('a@x.de')).toBe(GRUNDSPERRE_MS);
  });
  it('gibt nach Ablauf der Sperre wieder frei', () => {
    const { uhr, vor } = stehendeUhr();
    const drossel = new Drossel(uhr);
    scheitern(drossel, 'a@x.de', FREIE_VERSUCHE);
    vor(GRUNDSPERRE_MS);
    expect(drossel.wartezeit('a@x.de')).toBe(0);
  });
  it('verlängert beim nächsten Fehlversuch nach der Sperre', () => {
    const { uhr, vor } = stehendeUhr();
    const drossel = new Drossel(uhr);
    scheitern(drossel, 'a@x.de', FREIE_VERSUCHE);
    vor(GRUNDSPERRE_MS);
    drossel.fehlversuch('a@x.de');
    expect(drossel.wartezeit('a@x.de')).toBe(2 * GRUNDSPERRE_MS);
  });
  it('setzt nach erfolgreicher Anmeldung zurück', () => {
    const { uhr } = stehendeUhr();
    const drossel = new Drossel(uhr);
    scheitern(drossel, 'a@x.de', FREIE_VERSUCHE - 1);
    drossel.erfolg('a@x.de');
    scheitern(drossel, 'a@x.de', FREIE_VERSUCHE - 1);
    expect(drossel.wartezeit('a@x.de')).toBe(0);
  });
  it('vergisst Fehlversuche nach einer Stunde Ruhe', () => {
    const { uhr, vor } = stehendeUhr();
    const drossel = new Drossel(uhr);
    scheitern(drossel, 'a@x.de', FREIE_VERSUCHE - 1);
    vor(VERGESSEN_NACH_MS);
    drossel.fehlversuch('a@x.de');
    expect(drossel.wartezeit('a@x.de')).toBe(0);
  });
  it('zählt jede Adresse für sich', () => {
    const { uhr } = stehendeUhr();
    const drossel = new Drossel(uhr);
    scheitern(drossel, 'a@x.de', FREIE_VERSUCHE);
    expect(drossel.wartezeit('a@x.de')).toBeGreaterThan(0);
    expect(drossel.wartezeit('b@x.de')).toBe(0);
  });
  it('räumt auf, lässt eine laufende Sperre aber nicht verdrängen', () => {
    const { uhr } = stehendeUhr();
    const drossel = new Drossel(uhr);
    scheitern(drossel, 'opfer@x.de', FREIE_VERSUCHE);
    for (let i = 0; i < 10_050; i += 1) drossel.fehlversuch(`erfunden-${i}@x.de`);
    expect(drossel.groesse).toBeLessThanOrEqual(10_001);
    expect(drossel.wartezeit('opfer@x.de')).toBe(GRUNDSPERRE_MS);
  });
 });
 describe('wartezeitText', () => {
  it('rundet auf ganze Minuten auf', () => {
    expect(wartezeitText(1)).toBe('in einer Minute');
    expect(wartezeitText(60_000)).toBe('in einer Minute');
    expect(wartezeitText(60_001)).toBe('in 2 Minuten');
    expect(wartezeitText(HOECHSTSPERRE_MS)).toBe('in 15 Minuten');
  });
 });
@@ -0,0 +1,94 @@
 /**
 * Bremse gegen Passwortraten.
 *
 * Gezählt wird je E-Mail-Adresse – auch für Adressen, die es nicht gibt.
 * Sonst verriete die Sperre, welche Konten existieren (siehe E6).
 *
 * Die ersten Fehlversuche sind frei, danach verdoppelt sich die Sperre bis
 * zu einer Obergrenze. Die Obergrenze ist Absicht: Wer fremde Adressen
 * eintippt, soll den Ausbilder nicht für Stunden aussperren können.
 *
 * Der Zähler liegt im Speicher des einen Serverprozesses. Ein Neustart setzt
 * ihn zurück – das ist zugleich der Notausgang, falls man sich selbst
 * ausgesperrt hat. Siehe E42.
 */
 export const FREIE_VERSUCHE = 5;
 export const GRUNDSPERRE_MS = 60_000;
 export const HOECHSTSPERRE_MS = 15 * 60_000;
 export const VERGESSEN_NACH_MS = 60 * 60_000;
 const HOECHSTZAHL_EINTRAEGE = 10_000;
 export type Stand = { fehlversuche: number; zuletzt: number; gesperrtBis: number };
 /** Wie lange nach dem n-ten Fehlversuch gesperrt wird. */
 export function sperreFuer(fehlversuche: number): number {
  if (fehlversuche < FREIE_VERSUCHE) return 0;
  return Math.min(GRUNDSPERRE_MS * 2 ** (fehlversuche - FREIE_VERSUCHE), HOECHSTSPERRE_MS);
 }
 export function nachFehlversuch(stand: Stand | undefined, jetzt: number): Stand {
  const bisher = stand && jetzt - stand.zuletzt < VERGESSEN_NACH_MS ? stand.fehlversuche : 0;
  const fehlversuche = bisher + 1;
  return { fehlversuche, zuletzt: jetzt, gesperrtBis: jetzt + sperreFuer(fehlversuche) };
 }
 export function restsperre(stand: Stand | undefined, jetzt: number): number {
  return stand ? Math.max(0, stand.gesperrtBis - jetzt) : 0;
 }
 /** „in 3 Minuten" – aufgerundet, damit niemand zu früh wiederkommt. */
 export function wartezeitText(ms: number): string {
  const minuten = Math.max(1, Math.ceil(ms / 60_000));
  return minuten === 1 ? 'in einer Minute' : `in ${minuten} Minuten`;
 }
 export class Drossel {
  private staende = new Map<string, Stand>();
  constructor(private uhr: () => number = Date.now) {}
  /** Restliche Sperre in Millisekunden, 0 heißt: darf versuchen. */
  wartezeit(schluessel: string): number {
    return restsperre(this.staende.get(schluessel), this.uhr());
  }
  fehlversuch(schluessel: string): void {
    const jetzt = this.uhr();
    this.staende.set(schluessel, nachFehlversuch(this.staende.get(schluessel), jetzt));
    if (this.staende.size > HOECHSTZAHL_EINTRAEGE) this.aufraeumen(jetzt);
  }
  erfolg(schluessel: string): void {
    this.staende.delete(schluessel);
  }
  get groesse(): number {
    return this.staende.size;
  }
  /**
   * Wer massenhaft ausgedachte Adressen schickt, soll den Speicher nicht
   * füllen. Erst fällt weg, was ohnehin vergessen ist, dann das Älteste.
   * Eine laufende Sperre wird nie weggeräumt – sonst ließe sie sich mit
   * genug ausgedachten Adressen aus dem Speicher drängen.
   */
  private aufraeumen(jetzt: number): void {
    for (const [schluessel, stand] of this.staende) {
      if (jetzt - stand.zuletzt >= VERGESSEN_NACH_MS) this.staende.delete(schluessel);
    }
    for (const [schluessel, stand] of this.staende) {
      if (this.staende.size <= HOECHSTZAHL_EINTRAEGE) break;
      if (stand.gesperrtBis <= jetzt) this.staende.delete(schluessel);
    }
  }
 }
 // Eine Drossel pro Prozess, am globalThis wie die Datenbankverbindung, damit
 // das Neuladen im Entwicklungsbetrieb die Zähler nicht verdoppelt.
 const halter = globalThis as unknown as { __lernbarDrossel?: Drossel };
 export function anmeldeDrossel(): Drossel {
  halter.__lernbarDrossel ??= new Drossel();
  return halter.__lernbarDrossel;
 }
@@ -87,26 +87,38 @@ export function verlinkeGlossar(html: string, glossar: GlossarEintrag[]): string
    if (teil.trim() === '') continue;
    if (offen.some((element) => gemiedeneElemente.has(element))) continue;
-    let text = teil;
+    // Ein gesetzter Verweis wird als festes Stück herausgelöst. Die folgenden
    // Muster durchsuchen nur noch den freien Text – sonst fände etwa „OU" sein
    // Gegenstück in der Erklärung von „Gruppenrichtlinie" im title-Attribut,
    // und mitten im Attribut entstünde ein zweiter Verweis.
    const stuecke: { text: string; fest: boolean }[] = [{ text: teil, fest: false }];
    for (const { muster: regex, eintrag } of muster) {
      if (bereitsVerlinkt.has(eintrag.begriff)) continue;
-      const gefunden = regex.exec(text);
+      for (let s = 0; s < stuecke.length; s += 1) {
        const stueck = stuecke[s]!;
        if (stueck.fest) continue;
        const gefunden = regex.exec(stueck.text);
        if (!gefunden) continue;
        const erklaerung = eintrag.steht_fuer
          ? `${eintrag.steht_fuer} – ${eintrag.erklaerung}`
          : eintrag.erklaerung;
        const verweis = `<a class="glossarbegriff" href="/glossar#${glossarAnker(eintrag.begriff)}" title="${maskiere(erklaerung)}">${gefunden[2]}</a>`;
-      text =
+        stuecke.splice(
-        text.slice(0, gefunden.index) +
+          s,
-        gefunden[1] +
+          1,
-        `<a class="glossarbegriff" href="/glossar#${glossarAnker(eintrag.begriff)}" title="${maskiere(erklaerung)}">${gefunden[2]}</a>` +
+          { text: stueck.text.slice(0, gefunden.index) + gefunden[1], fest: false },
-        text.slice(gefunden.index + gefunden[0].length);
+          { text: verweis, fest: true },
-
+          { text: stueck.text.slice(gefunden.index + gefunden[0].length), fest: false },
        );
        bereitsVerlinkt.add(eintrag.begriff);
        break;
      }
-    teile[i] = text;
+    }
    teile[i] = stuecke.map((stueck) => stueck.text).join('');
  }
  return teile.join('');
@@ -122,6 +122,41 @@ describe('Glossarbegriffe verlinken', () => {
    expect(html).not.toContain('title="Ein "Anführungszeichen"');
  });
  it('verlinkt nicht in die Erklärung eines schon gesetzten Verweises hinein', () => {
    // Die Erklärung von „Gruppenrichtlinie" enthält „OU". Ein zweiter Verweis
    // darf nicht im title-Attribut des ersten landen – sonst bricht das HTML auf.
    const eintraege = [
      { begriff: 'Gruppenrichtlinie', formen: [], erklaerung: 'Verknüpft an eine OU – was zuletzt kommt, gewinnt.', siehe_auch: [] },
      { begriff: 'OU', formen: [], erklaerung: 'Ein Ordner im Verzeichnis.', siehe_auch: [] },
    ];
    const html = verlinkeGlossar('<p>Laufwerke per Gruppenrichtlinie zuordnen.</p>', eintraege);
    expect(html.match(/<a /g)).toHaveLength(1);
    expect(html).toContain('title="Verknüpft an eine OU – was zuletzt kommt, gewinnt."');
    expect(html).toContain('>Gruppenrichtlinie</a> zuordnen.');
  });
  it('verlinkt beide Begriffe, wenn beide im Text stehen', () => {
    const eintraege = [
      { begriff: 'Gruppenrichtlinie', formen: [], erklaerung: 'Verknüpft an eine OU.', siehe_auch: [] },
      { begriff: 'OU', formen: [], erklaerung: 'Ein Ordner im Verzeichnis.', siehe_auch: [] },
    ];
    const html = verlinkeGlossar('<p>Die Gruppenrichtlinie hängt an der OU.</p>', eintraege);
    expect(html.match(/<a /g)).toHaveLength(2);
    expect(html).toContain('>OU</a>.</p>');
    expect(html).toContain('title="Verknüpft an eine OU."');
  });
  it('erzeugt für alle Handouts wohlgeformte Verweise', () => {
    // Gegen das echte Glossar und die echten Handouts: In keinem title-Attribut
    // darf ein weiterer Verweis stecken.
    for (const handout of alle.handouts) {
      if (!handout.wesentlich) continue;
      const html = verlinkeGlossar(handout.wesentlich.html, glossar);
      expect(html, handout.id).not.toMatch(/title="[^"]*<a /);
      expect((html.match(/<a /g) ?? []).length, handout.id).toBe((html.match(/<\/a>/g) ?? []).length);
    }
  });
  it('lässt HTML unverändert, wenn das Glossar leer ist', () => {
    expect(verlinkeGlossar('<p>DNS</p>', [])).toBe('<p>DNS</p>');
  });
Author	SHA1	Message	Date
Florian WildeandClaude Opus 5.5	86c0ab4f65	Fassung 1.0.4 Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-04 22:28:43 +02:00
Florian WildeandClaude Opus 5.5	08459d8c99	Inhalte: Wochen 9 bis 12 - Woche 9 Virtualisierung (B1, A8, LF9) - Woche 10 Verzeichnisdienst und Serverdienste (B3, A6, LF10) - Woche 11 Netze trennen und verbinden (B2, A6, LF9) - Woche 12 Kundenauftrag von der Anfrage bis zur Abnahme (A2, A3, A7) 12 Handouts, 36 Merkkarten, 4 Praxisaufgaben, 3 Checklisten, 2 Lernzielkontrollen, 23 Glossareintraege, Themenblock Server und Virtualisierung. Die Praxisaufgaben 9.1 und 10.1 bauen aufeinander auf: Der Testserver aus Woche 9 traegt die Testdomaene in Woche 10. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-04 22:28:42 +02:00
Florian WildeandClaude Opus 5.5	1de38b9b7a	Glossarverweise nicht in title-Attribute setzen Nach dem Setzen eines Verweises liefen die folgenden Suchmuster ueber denselben Text, einschliesslich des frisch eingefuegten title-Attributs. Enthielt die Erklaerung einen weiteren Glossarbegriff, entstand mitten im Attribut ein zweiter Verweis und das HTML brach auf - sichtbar im Handout als `gewinnt.">Gruppenrichtlinie`. Gesetzte Verweise werden jetzt als feste Stuecke herausgeloest; die weiteren Muster durchsuchen nur den freien Text. Ein neuer Test prueft alle Handouts gegen das echte Glossar auf wohlgeformte Verweise. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-04 22:28:42 +02:00
Florian WildeandClaude Opus 5.5	4611974494	Fassung 1.0.3 Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-04 21:53:10 +02:00
Florian WildeandClaude Opus 5.5	7d171f149d	Inhalte: Wochen 5 bis 8 Vier neue Wochen nach Rahmenplan, im bestehenden Format: - Woche 5 Ausbildung, Betrieb und Zusammenarbeit (C1, C2, C5) - Woche 6 IT-Sicherheit und Datenschutz (A6, LF4) - Woche 7 Skripting mit PowerShell (A10, A4) - Woche 8 Datensicherung und Speicher (A9) 12 Handouts, 38 Merkkarten, 4 Praxisaufgaben, 2 Checklisten, 2 Lernzielkontrollen, 22 Glossareintraege, zwei neue Themenbloecke. Jede Berufsbildposition ist jetzt von mindestens einem Inhalt beruehrt. Die Praxisaufgaben bauen aufeinander auf: Die Abteilungsuebersicht aus 5.1 ist Grundlage der Schutzbedarfsfeststellung in 6.1, und deren Ergebnis ist Massstab fuer die Sicherungspruefung in 8.1. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-04 21:53:10 +02:00
Florian WildeandClaude Opus 5.5	052419dd43	Fassung 1.0.2 Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-04 18:25:04 +02:00
Florian WildeandClaude Opus 5.5	31d7779f45	Bremse gegen Passwortraten Nach fuenf Fehlversuchen wird eine E-Mail-Adresse gesperrt, erst eine Minute, dann doppelt so lang, hoechstens 15 Minuten. Gezaehlt wird je Adresse, auch fuer unbekannte - sonst verriete die Sperre, welche Konten es gibt. Waehrend der Sperre kommt auch das richtige Passwort nicht durch. Jeder Versuch zaehlt sofort und wird bei Erfolg zurueckgenommen. Zwischen Sperrpruefung und Zaehlen liegt damit kein await; gleichzeitige Anfragen kommen so nicht alle an der Sperre vorbei. Der Zaehler liegt im Speicher des einen Prozesses. Ein Neustart setzt ihn zurueck - der Notausgang, falls sich das einzige Ausbilderkonto aussperrt. Beim Aufraeumen wird eine laufende Sperre nie verdraengt. Die Containerabnahme prueft die Sperre im laufenden Abbild. Das Abnahmeprotokoll ist gegen diesen Stand neu erzeugt. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-04 18:25:04 +02:00